Benutzergruppe als Pflichtfeld definierbar
Vorteile von Berechtigungstools
Im Hinblick auf das SAP Berechtigungswesen stellen Rollen und die damit einhergehenden Berechtigungsobjekte, -felder und -werte das Fundament dar. Daher stehen vor allem diese Prüfkriterien im besonderen Fokus der Berechtigungsanalyse sicherheitsrelevanter Ausprägungen eines jeden Berechtigungsadministrator. Der Report RSUSRAUTH dient der Anzeige von Rollen- bzw. Berechtigungsdaten im jeweiligen Mandanten. Dabei analysiert der Report alle Rollendaten, die in der Tabelle AGR_1251 verankert sind. Dadurch kann man nicht nur durch die Wahl des Pflegestatus der Berechtigungen, sondern vor allem auch durch das Hinterlegen bestimmter Berechtigungsobjekte und deren Aussteuerung fehlerhafte und sicherheitskritische Ausprägungen schnell finden und bereinigen. Diese Adhoc Analyse bietet Ihnen somit eine zeitsparende Methode, viele Rollen auf einmal nach Ihren eigenen kritischen Merkmalen zu prüfen. Durch das Einspielen des SAP Hinweises 2069683 können Sie dieses Programm dann vollumfänglich nutzen.
Die Berechtigungsprüfung für die Berechtigungsobjekte PS_RMPSORG und PS_RMPSOEH läuft im Anschluss an eine Benutzereingabe folgendermaßen ab: Das System ermittelt die Organisationseinheit, der der Benutzer zugeordnet ist. Von dieser Organisationseinheit ausgehend, erstellt das System eine Liste aller Organisationseinheiten, die der im ersten Schritt ermittelten Organisationseinheit in der Hierarchie übergeordnet sind. Das System ermittelt die Menge (M1) aller Organisationsobjekte, die diesen Organisationseinheiten zugeordnet sind. Das System ermittelt die Organisationseinheit, der das zu bearbeitende Objekt zugeordnet ist (entspricht der federführenden Organisationseinheit in den Attributen des zu bearbeitenden Objekts). Von dieser federführenden Organisationseinheit ausgehend, erstellt das System eine Liste aller Organisationseinheiten, die der ermittelten Organisationseinheit innerhalb der Hierarchie übergeordnet sind. Das System ermittelt die Menge (M2) aller Organisationsobjekte, die diesen Organisationseinheiten zugeordnet sind. Das System bildet die Schnittmenge (aus M1 und M2) der übereinstimmenden Organisationsobjekte von Benutzer und zu bearbeitendem Objekt. Das System ermittelt die Organisationsebenen, die für den Benutzer und das zu bearbeitende Objekt übereinstimmen. Sobald eine übereinstimmende Organisationsebene gefunden wird, führt das System die Berechtigungsprüfung für die anderen Felder des Berechtigungsobjekts (z. B. Art des Objekts oder Aktivität) aus; wenn das System keine gemeinsame Organisationsebene ermitteln kann, wird die Verarbeitung abgelehnt. Wenn der Benutzer die gewünschte Aktivität ausführen darf, ist die Verarbeitung erlaubt; andernfalls wird die Verarbeitung vom System abgelehnt.
Aktivitätslevel
Nachträglich können Sie die Aufbewahrungszeit nicht mehr hochsetzen; daher sollten Sie die Konfiguration rechtzeitig vor Beginn eines Projekts anpassen. Zusätzlich sollten Sie die Einstellungen der Profilparameter stat/rfcrec und stat/rfc/distinct ändern. Den Wert für stat/rfcrec sollten Sie z. B. auf den Wert 30 erhöhen, und stat/rfc/distinct sollten Sie auf den Wert 1 setzen. Dies verbessert die Vollständigkeit der aufgezeichneten RFC-Nutzungsdaten. Details zu den technischen Verbesserungen finden Sie im SAP-Hinweis 1964997.
In erster Linie sind rechtliche Grundlagen zu nennen und auf gesetzeskritische Berechtigungen konkret hinzuweisen, die nicht (bzw. allenfalls an den Notfallbenutzer) vergeben werden dürfen. Ein Beispiel ist die Berechtigung “Debugging mit Replace“, zu der das Objekt S_DEVELOP mit den Werten ACTVT = 02 und OBJTYPE = DEBUG legitimiert und worüber sich Daten per Hauptspeicheränderung manipulieren lassen. Das verstieße jedoch gegen § 239 HGB, das sogenannte „Radierverbot“.
Für die Zuweisung vorhandener Rollen erfordern die regulären Berechtigungs-Workflows ein gewisses Minimum an Durchlaufzeiten, und nicht jeder Genehmiger steht zu jeder Zeit bei jedem Go-Live zur Verfügung. Mit "Shortcut for SAP systems" stehen Ihnen Möglichkeiten zur Verfügung, dringend benötigte Berechtigungen dennoch zuzuweisen und Ihren Go-Live zusätzlich abzusichern.
Legen Sie ein bestimmtes Kürzel oder Zeichen fest, um zu kennzeichnen, ob Ihre Rolle über kritische Zugriffe verfügt, sodass für solche Rollen gesonderte Zuweisungs- bzw. Genehmigungsregeln beachtet werden können.
Die Webseite www.sap-corner.de bietet viele nützliche Informationen zum Thema SAP Berechtigungen.
Haben Sie den Haken bei Ausschließlich Anwendungen mit veränderten SU22-Daten berücksichtigen gesetzt, werden nur Anwendungen verwendet, bei denen die Vorschlagswerte durch einen Import, z. B. durch Support Packages oder Enhancement Packages, verändert wurden.