Berechtigungen in SAP-Systemen: worauf Admins achten sollten
PRGN_COMPRESS_TIMES
Wann wurden welche Änderungen an einer Rolle vorgenommen (PFCG)? Klicke in der PFCG oben im Menü auf Hilfsmittel > Änderungen anzeigen, um dir die Änderungsbelege anzeigen zu lassen. Du siehst eine detaillierte Auflistung, welcher Benutzer wann welche Änderung an welchem Objekt vorgenommen hat.
EARLYWATCH: Der Benutzer EARLYWATCH existiert nur im Mandanten 066, denn er dient der Fernwartung durch den SAP-Support. EARLYWATCH hat nur Anzeigerechte für Performance- und Monitoring-Funktionen. Schutzmaßnahmen: Sperren Sie den Benutzer EARLYWATCH, und schalten Sie ihn nur frei, wenn er durch den SAP-Support angefragt wird. Ändern Sie das Passwort, ordnen Sie ihn der Benutzergruppe SUPER zu, und protokollieren Sie ihn mit dem Security Audit Log.
Gewährleistung einer sicheren Verwaltung
Um den sicheren Betrieb von SAP-Systemen zu unterstützen, bietet SAP ein ganzes Portfolio an Services. Wir stellen Ihnen die vom SAP Active Global Support (AGS) angebotenen Security Services vor. Die Sicherheit eines SAP-Systems im Betrieb hängt von vielen Faktoren ab. Es gibt im SAP-Standard verschiedene Sicherheitsfunktionen, wie z. B. die Benutzerverwaltung, Authentifizierungs- und Verschlüsselungsfunktionen, Sicherheitsfunktionen für Webservices oder die verschiedenen Berechtigungskonzepte. Schwachstellen in der Standardsoftware werden ebenfalls regelmäßig in SAP-Hinweisen und Support Packages behoben. Sie sind verantwortlich für den sicheren Betrieb Ihrer SAP-Systemlandschaften; daher müssen Sie diese Funktionen und Korrekturen in Ihre Systeme einspielen. Die AGS Security Services unterstützen Sie dabei, indem Sie die Erfahrungen des AGS in konsolidierten Best Practices bündeln. Wir stellen diese Services vor und beschreiben, wie Sie mit ihrer Hilfe einen Überblick über die Sicherheit Ihres Betriebskonzepts erlangen.
Servicebenutzer werden für den anonymen Zugriff durch mehrere Personen verwendet, z. B. für Webservices. Auch dieser Benutzertyp ist dialogfähig, d. h., dass er sich über SAP GUI am SAP-System anmelden kann. Mit einem Servicebenutzer sind immer Mehrfachanmeldungen möglich, und die Regeln für die Änderung von Passwörtern greifen nicht. Mit der Einführung der Sicherheitsrichtlinien hat sich dieses Verhalten geändert. Denn zuvor waren alle Passwortregeln für den Servicebenutzer ungültig, und nun greifen die Regeln für die Inhalte der Passwörter auch bei ihm (Details zu den Sicherheitsrichtlinien finden Sie in Tipp 5, »Sicherheitsrichtlinien für Benutzer definieren«). Das Passwort einen Servicebenutzers hat immer den Status Produktiv und kann nur durch den Benutzeradministrator geändert werden.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Diese Zuordnung ist als Customizing-Einstellung definiert und bleibt damit auch nach einem Releasewechsel bestehen.
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Beachten Sie, dass das Berechtigungsobjekt S_TCODE immer mit den aktuellen Transaktionen aus dem Rollenmenü gefüllt wird.