Berechtigungen in SAP-Systemen: worauf Admins achten sollten
Grenzen von Berechtigungstools
Identifizieren Sie Schwachstellen in der Konfiguration Ihrer RFC-Schnittstellen, also RFC-Verbindungen, in denen Benutzer mit weitreichenden Berechtigungen (z. B. mit dem Profil SAP_ALL) eingetragen sind. Diese RFC-Verbindungen können für das sogenannte RFC-Hopping verwendet werden, bei dem Zugriffe auf ein SAP-System über eine solch umfangreich berechtigte RFC-Verbindung erfolgen.
Unternehmen bekämpfen historisch gewachsenen Wildwuchs bei den Berechtigungen am besten dadurch, dass dieser verhindert wird. Hier hilft eine Analyse, ob das aktuelle Berechtigungskonzept für das Unternehmen ausreichend ist.
Change-Management
Unsere Beispielrolle MODELING macht deutlich, dass es möglich ist, verschiedene Privilegtypen einer Rolle zuzuordnen. Das SAP HANA Studio zeigt Ihnen in der Administrationsoberfläche an, welcher Benutzer (der sogenannte Grantor) das jeweilige Privileg dieser Rolle zugeordnet (granted) hat. Durch Filtern und Sortieren können Sie die Darstellung der Rolleninhalte optimieren. Je nach Typ des Privilegs werden Ihnen durch Markieren eines Eintrags die entsprechenden Details angezeigt.
Wie in anderen Systemen auch, ist die Benutzerpflege und Rollen-/Profilzuordnung auf den Kreis der Benutzeradministratoren einzugrenzen. Im Gegensatz zu den Vorsystemen werden hier jedoch die Rollen und Profile gepflegt, so dass entsprechende Rechte an die Rollen-/Profiladministratoren zu vergeben sind.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Ist der Status gelb, gibt es unterschiedliche Wertebereiche für das Feld innerhalb der Rolle; die Rolle muss also bereinigt werden.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Die Ereignisse sind als unkritisch, schwerwiegend oder kritisch kategorisiert.