User- & Berechtigungs-Management mit SIVIS as a Service
Eine Berechtigung für externe Services von SAP CRM vergeben
Grundsätzlich können alle Berechtigungsfelder in die Organisationsebene hochgestuft werden; es gibt allerdings technische Ausnahmen und Felder, bei denen dies nicht sinnvoll ist. Technisch sind die Felder ausgenommen, die im Kontext zur Prüfung der Startbarkeit einer Applikation stehen, also die Felder der Berechtigungsobjekte S_TCODE, S_START, S_USER_STA, S_SERVICE, S_RFC, S_PROGRAM und S_USER_VAL. Außerdem können Sie das Feld ACTVT nicht zur Organisationsebene erheben. Sinnvoll sind nur die Felder, die innerhalb einer Rolle mit einem Wertebereich belegt werden können. Dies muss natürlich übergreifend für das Berechtigungskonzept betrachtet werden. So sind Felder, die mehr als eine Bedeutung haben, wie z. B. die Berechtigungsgruppe (BEGRU) in der Materialwirtschaft nicht geeignet. Mit dem Report PFCG_ORGFIELD_CREATE können Sie ein Berechtigungsfeld als Organisationsebene definieren. Der Report trägt das Feld in die Tabelle USORG ein, ändert die Berechtigungsvorschlagswerte zu diesem Feld und geht alle Rollen durch, die eine Ausprägung zu dem Feld enthalten.
Im Jahr 2020 gab es in Deutschland 82.761 Fälle von Computerbetrug. Fünf Jahre zuvor war die Zahl der Fälle noch deutlich niedriger - 23.562 Fälle - und haben ab dann stetig zugenommen. Je kleiner der Personenkreis mit Zugriff, desto kleiner wird das Risiko, dass Daten in falsche Hände gelangen können. Ein effizientes und durchdachtes Berechtigungsmanagement trägt maßgeblich zur Risikominimierung bei und ist ein guter Schutz vor unerlaubten Zugriffen, Datenmissbrauch und Industriespionage. Ohne ein schlüssiges, durchdachtes Konzept ist die Regelung von Zugriffen und Berechtigungen für die User bzw. KeyUser eines SAP-Systems eine ernstzunehmende Sicherheitslücke.
Manuelle Berechtigungen
Die kontextabhängigen Berechtigungen vereinen die allgemeinen und strukturellen Berechtigungen miteinander und vermeiden solche Situationen wie im oben genannten Beispiel. Die kontextabhängigen Berechtigungen sind so fein auseinandersteuerbar, dass eine Funktionstrennung lückenlos ermöglicht werden kann. Im Grunde werden bei den kontextabhängigen Berechtigungen die Berechtigungsobjekte durch strukturelle Berechtigungsprofile ergänzt. Dies führt dazu, dass Berechtigungen nicht mehr allgemein sondern nur noch für die Objekte des Berechtigungsprofil vergeben werden. Durch den Einsatz der kontextabhängigen Berechtigungen werden also die bekannten Berechtigungsobjekte P_ORGIN durch P_ORGINCON und P_ORGXX durch P_ORGXXCON ersetzt. In den neuen Berechtigungsobjekten ist dann ein Parameter für das Berechtigungsprofil enthalten.
Wildwuchs bei den in Benutzer-IDs verwendeten Zeichen kann negative Auswirkungen haben. Schieben Sie diesem einen Riegel vor, indem Sie den Zeichenvorrat von vornherein einschränken. Im SAP-System können Sie, abhängig vom Release der Softwarekomponente SAP_BASIS, Benutzer anlegen, deren Namen »alternative« Leerzeichen enthalten können. In Unicode-Systemen existieren verschiedene Leerzeichen, die durch unterschiedliche Hexadezimalwerte abgebildet werden. Das übliche Leerzeichen hat den Hexadezimalwert 20, aber es gibt alternative Leerzeichen (engl. Wide Spaces), die z. B. von doppelter Breite oder überhauptnicht als Zeichenabstand zu erkennen sind. Durch Tastenkombinationen mit der (Alt)-Taste können Sie solche alternativen Leerzeichen bei der Eingabe der Benutzer-ID verwenden. So kann die Tastenkombination (Alt) + 0160 ein Leerzeichen mit unterdrücktem Zeilenumbruch (engl. Non-breaking Space) erzeugen. Auch können Sie einen Benutzer anlegen, dessen ID nur aus alternativen Leerzeichen besteht. Für Benutzer mit solchen IDs werden zwar alle Änderungsbelege geschrieben, die IDs können aber trotzdem zu Verwirrungen führen, wenn sie z. B. nicht als Benutzer-ID erkennbar sind oder es so aussieht, als werde kein Benutzer zum Änderungsbeleg angezeigt. Zusätzlich können bestimmte Sonderzeichen in anderen Anwendungen (z. B. im Transportmanagement) Probleme erzeugen. Daher zeigen wir Ihnen im Folgenden, wie Sie solche Probleme verhindern, indem Sie den Zeichenvorrat einschränken.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Aus dem Ergebnis der statistischen Nutzungsdaten können Sie ablesen, welche Transaktionen (ENTRY_ID) wie häufig (COUNTER) und von wie vielen verschiedenen Benutzern verwendet wurden.
Um Ihre Prozesse nachhaltig zu verbessern, liefert eine Datenbank Informationen über mögliche Optimierungen bei den SAP Lizenzen.