System-Trace-Funktion ST01
Löschen von Änderungsbelegen
Sie möchten für Anwendungen, die SAP HANA verwenden, ein Berechtigungskonzept aufbauen? Erfahren Sie, was Sie dabei bezüglich der technischen Grundlagen und Tools beachten sollten. Wie es in Tipp 22, »Lösungen für die Benutzerverwaltung in SAP HANA anwenden«, beschrieben wird, gibt es unterschiedliche Anwendungsszenarien, bei denen die Berechtigungsvergabe auf der HANA-Datenbank erforderlich ist.
Zusätzlich zur Definition von Berechtigungen für den externen RFC-Zugriff über das Berechtigungsobjekt S_RFC besteht die Möglichkeit, den externen Aufruf von Funktionsbausteinen grundsätzlich zu unterbinden. Ab SAP Net-Weaver AS ABAP 7.40 gibt es dafür die zusätzliche Sicherheitsschicht SAP Unified Connectivity (UCON). Sie steuert den externen Zugriff auf RFC-Funktionsbausteine unabhängig von Benutzern oder Rollen und lässt sich mandantenabhängig konfigurieren. Dabei werden alle Funktionsbausteine, die per RFC ausführbar sein sollen, in die UCON Communication Assembly eingetragen. Ist ein Funktionsbaustein dort nicht hinterlegt, wird der Aufruf blockiert. UCON wurde so konzipiert, dass es die Performance bei RFC-Aufrufen so wenig wie möglich beeinflusst. Die Identifizierung der erforderlichen Funktionsbausteine erfolgt im UCON Phase Tool (Transaktion UCONPHTL), das konstant alle externen RFC-Aufrufe überwacht und eine Einführung der UCON Communication Assembly unterstützt. So können Aufrufe von neuen Funktionsbausteinen (z. B. kundeneigene Entwicklungen, Änderungen durch Support Packages) analysiert und gegebenenfalls für den externen Zugriff freigegeben werden. Zusätzlich bietet UCON die Möglichkeit, die Konfiguration im Rahmen einer Evaluierungsphase zu prüfen. In einem ERP-System gibt es circa 40.000 RFC-fähige Funktionsbausteine; üblicherweise werden davon nicht mehr als ein paar Hundert verwendet. Mit dem Einsatz von UCON erhöhen Sie daher die Sicherheit Ihres Systems.
Die Anatomie der SAP Berechtigung oder Dokumentationen zu SAP Berechtigungsobjekten und Berechtigungsfeldwerten
Beim Zugriff auf Tabellen oder Views wird mit dem Berechtigungsobjekt S_TABU_DIS die Berechtigung für eine bestimmte Tabellenberechtigungsgruppe in der Berechtigungsprüfung erteilt. Beachten Sie in diesem Zusammenhang auch Tipp 73 »Berechtigungsobjekte für die Tabellenbearbeitung verwenden« und das dort vorgestellte Berechtigungsobjekt S_TABU_NAM. Tabellenberechtigungsgruppen legen Sie mithilfe der Transaktion SE54 oder über den Pflegedialog V_TBRG_54 an. Sie fallen unter das mandantenabhängige Customizing und können bis SAP NetWeaver 7.31 SP 2 lediglich vier Zeichen beinhalten. Zum Anlegen einer Tabellenberechtigungsgruppe rufen Sie die Transaktion SE54 auf und wählen dort im Bereich Bearbeiten Tabelle/View die Option Berechtigungsgruppen aus. Über den Button Anlegen/Ändern gelangen Sie zur Übersicht der bereits vorhandenen Tabellenberechtigungsgruppen. Auf diesem Weg können Sie z. B. auch die Bezeichnung einer Tabellenberechtigungsgruppe ändern. In der Übersicht der Tabellenberechtigungsgruppen klicken Sie auf den Button Neue Einträge, um eine neue Tabellenberechtigungsgruppe anzulegen. Vergeben Sie einen Namen für Ihre Berechtigungsgruppe und eine sprechende Bezeichnung. Nachdem Sie die neuen Einträge gespeichert haben, ist Ihre kundeneigene Tabellenberechtigungsgruppe angelegt.
Voraussetzung für eine gelungene Berechtigungsprüfung ist eine sorgfältige Vorbereitung. Für alle kundeneigenen Funktionalitäten muss eine funktionale Spezifikation erstellt werden. Dies zwingt dazu, darüber nachzudenken, was die eigentlichen Anforderungen der Anwendung sind, und anschließend die mögliche Umsetzung zu beschreiben. Dabei müssen sicherheitsrelevante Aspekte, wie die Berechtigungsprüfung und -vergabe beachtet werden. Legen Sie fest, was man mit diesem Programm ausführen darf, und auch, was man explizit nicht können darf! Bei einer Berechtigungsprüfung kann nicht nur die auszuführende Aktivität wie Lesen, Ändern, Anlegen usw. geprüft werden. Auch können Sie den Zugriff auf die Datensätze anhand bestimmter Kriterien einschränken, wie z. B. anhand von Feldinhalten oder organisatorischen Trennern.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Die Ergebnisse werden in einer Tabelle dargestellt, bei der jede Zeile einem Werteintervall einer Berechtigung entspricht.
Zusätzlich untersucht der Auditor, ob die vier wichtigen Konzepte der SAP Security, namentlich das Dateneigentümer-, das Eigenentwicklungen-, das Berechtigungs- und das Notfalluserkonzept, den Anforderungen genügen.