Benutzer aus der Zwischenablage in die Auswahl von Transaktion SU10 kopieren
WARUM ACCESS CONTROL
Im Vorfeld wurden im Gros wichtige SAP Reports zum Thema Rollen- und Berechtigungsverwaltung vorgestellt. Da diese und das gesamte SAP System bekannterweise auf dem ABAP Coding aufbauen, ist die Analyse des Quellcodes, besonders bei der Nutzung von Eigenentwicklungen, genauso wichtig. Diese Inhouse Entwicklungen stellen oftmals gravierende Sicherheitslücken dar, da sie nur unzureichende Berechtigungsprüfungen im Coding besitzen. Um nach expliziten Strings zu suchen und die Eigenentwicklungen entsprechend zu kategorisieren kann der Report RS_ABAP_SOURCE_SCAN genutzt werden. Dadurch können vorhanden Programme im Backend nach gezielten Prüfmustern durch den Berechtigungsadministrator explizit überprüft und etwaige Fehlstellungen durch die entsprechenden Entwickler bereinigt werden. Berechtigungsrelevante Prüfmuster bei solch einem Scan sind bspw. “AUTHORITY-CHECK“ oder SQL Statements wie SELECT, UPDATE oder DELETE. Erstere prüft, ob überhaupt Berechtigungsprüfungen im Quellcode vorhanden sind. Die Prüfung auf Open SQL Muster analysiert die Codestruktur auf direkte SELECT, MODIFY oder INSERT Anweisungen, die vermieden bzw. berechtigungsseitig geschützt werden müssen. Die Best Practice Maßnahme ist in diesem Fall die Verwendung von SAP BAPIs. Das präventive Best Practice Vorgehen wäre es, Entwickler und Berechtigungsadministratoren schon während der Konzeptionierung der Eigenentwicklung gleichermaßen zu involvieren.
Welche Berechtigungsobjekte werden geprüft (SU22)? Beim Aufruf einer Transaktion, wie bspw. die ME23N, werden diverse Berechtigungsobjekte geprüft. Eine Übersicht erhältst du wie folgt: Rufe die Transaktion SU22 (SAP-Tabellen) oder SU24 (Kunden-Tabellen) auf, gib bei „Transaktionscode“ bspw. „ME23N“ ein und führe die Transaktion aus. Als Ergebnis werden dir alle Berechtigungsobjekte angezeigt, die beim Aufruf der Transaktion ME23N geprüft werden.
Berechtigung zum Zugriff auf Web-Dynpro-Anwendungen mit S_START einrichten
Sie haben Anwendungen selbst entwickelt und möchten Vorschlagswerte für diese pflegen? Das geht am einfachsten mithilfe des Berechtigungstrace. Auch bei selbst entwickelten Anwendungen werden Berechtigungsprüfungen durchgeführt. Diese Anwendungen müssen somit in die PFCG-Rollen aufgenommen werden. Werden sie in einem Rollenmenü gepflegt, wird Ihnen auffallen, dass neben den Startberechtigungen (wie z. B. S_TCODE) keine weiteren Berechtigungsobjekte in die PFCG-Rolle übernommen werden. Der Grund dafür ist, dass auch für kundeneigene Anwendungen Vorschlagswerte gepflegt werden müssen, um sicherzustellen, dass die PFCG-Rollenpflege regelkonform abläuft, und um die Pflege für Sie zu erleichtern. Bisher mussten die Werte von kundeneigenen Anwendungen entweder manuell in der PFCG-Rolle nachgepflegt werden, oder die Vorschlagswertepflege in der Transaktion SU24 wurde manuell durchgeführt.
Wenn Sie Ihre Kriterien für die Ausführung des Reports festgelegt haben, können Sie verschiedene Varianten für den Report anlegen und entsprechende Jobs einplanen, um die inaktiven Benutzer automatisiert zu sperren bzw. für ungültig zu setzen. Sollten Sie den Report in einem System starten, das an eine Zentrale Benutzerverwaltung angeschlossen ist, müssen Sie die folgenden Punkte beachten: Sie können nur lokale Benutzersperren setzen. Sie können den Gültigkeitszeitraum nur setzen, falls die Pflege dafür in den Einstellungen der Zentralen Benutzerverwaltung auf Lokal eingestellt ist (diese Einstellung erfolgt in der Transaktion SCUM).
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
Das System ermittelt die Menge (M2) aller Organisationsobjekte, die diesen Organisationseinheiten zugeordnet sind.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Dies ist nur möglich, wenn der Profilparameter AUTH/NO_CHECK_IN_SOME_CASES den Wert Y hat.