Wildwuchs mit dem Systemlastmonitor verhindern
WARUM ACCESS CONTROL
WF-BATCH: Der Benutzer WF-BATCH dient der Hintergrundverarbeitung in SAP Business Workflow und wird beim Customizing von Workflows automatisch angelegt. WF-BATCH ist häufig das Profil SAP_ALL zugeordnet, da die genauen Anforderungen an die Berechtigungen von der Nutzung des Benutzers abhängig sind. Das Passwort des Benutzers können Sie über die Transaktion SWU3 setzen und synchronisieren. Schutzmaßnahmen: Ändern Sie nach der automatischen Generierung das Passwort des Benutzers, und ordnen Sie ihn der Benutzergruppe SUPER zu.
Die für das System verantwortlichen Personen sollten Rollenbeschreibungen am besten vorab mit Ihren Fachbereichen erarbeiten und außerhalb von SAP SuccessFactors dokumentieren (wie bspw. in Abb. 2). Bei Rückfragen können sie mit dieser Grundlage genau erklären, warum jemand eine bestimmte Berechtigung bekommen hat. Die Rollenbeschreibungen und der Bericht helfen dabei, DSGVO-konform zu arbeiten. Da sich der Bericht automatisch aktualisiert, haben Unternehmen keinen zusätzlichen Aufwand für das Dokumentieren der Änderungen – eine ungeliebte (und oft „vergessene“) Aufgabe weniger.
Transaktionale und Native oder analytische Kacheln in der FIORI Umgebung
Die Berechtigungsprüfungen werden als Teil des Systemtrace in Transaktion ST01 protokolliert. Er zeichnet alle Berechtigungsprüfungen samt der geprüften Berechtigungswerte für einen bestimmten Anwendungsserver auf und gibt mandantenabhängig an, ob die Berechtigungsprüfungen erfolgreich waren oder nicht. Die Darstellung des Trace ist nun verbessert worden (siehe auch SAP-Hinweis 1373111).
Wie Sie Sicherheitsrichtlinien pflegen und Ihren Benutzern zuordnen, haben wir in Tipp 5, »Sicherheitsrichtlinien für Benutzer definieren«, beschrieben. Sie brauchen für die Umsetzung dieses Tipps eine eigene Sicherheitsrichtlinie für Administratoren, was häufig auch aus anderen Gründen sinnvoll ist. In dieser Sicherheitsrichtlinie setzen Sie dann das Richtlinienattribut SERVER_LOGON_PRIVILEGE auf den Wert 1. Beispielsweise können Sie auch die Einstellung des Richtlinienattributs DISABLE_PASSWORD_LOGON aufnehmen, da für Administratoren häufig auch eine Anmeldung mit Passwort am System möglich sein soll.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Beim Einsatz des SAP-Solution-Managers („ChaRM“) für die Transportsteuerung sollen hier beispielsweise normalerweise nur die Berechtigungen zur Freigabe von Transport-Aufgaben vergeben werden.
Damit vermeide ich es, dass der Benutzer bei Aufruf der Transaktion SU53 ggf. nochmals einen Berechtigungsfehler erzeugt, der den ursprünglichen überdeckt.