Anmeldung am Anwendungsserver einschränken
User- & Berechtigungs-Management mit SIVIS as a Service
Abhilfe schafft hier der SAP-Hinweis 1903323. Die Funktionalität wird nur über Support Packages für die NetWeaver Releases 7.31 und 7.40 ausgeliefert. Diese Korrektur erweitert die Namenskonventionen, sodass Namensräume im Format /XYZ/ bis zu maximal acht Zeichen verwendet werden können. Beim Entwickeln und Anlegen von Berechtigungsobjekten sind einige Funktionalitäten des SAP-Hinweises überaus hilfreich, die wir in diesem Tipp vorstellen.
Wie alle anderen Security-Themen auch müssen die SAP-Berechtigungen ins genutzte Framework integriert werden. Die Risiken durch falsch vergebene Berechtigungen sind als sehr hoch einzustufen. Die Definition eines ganzheitlichen Governance-, Risk- und Compliance-Management Systems ist erforderlich. Dieses stellt sicher, dass Risiken frühzeitig erfasst, analysiert, bewertet, koordiniert und innerhalb des Unternehmens weitergeleitet werden. Dementsprechend fließen auch die Risiken, die durch falsch vergebene SAP-Berechtigungen oder durch einen fehlenden Prozess zur Überwachung der Berechtigungen entstehen, hier mit ein.
Fazit
Eine Einschränkung der Berechtigungen wird oftmals nicht durchgeführt, da häufig die Informationen dazu fehlen, wie das Objekt auszuprägen ist. Die Ermittlung der erforderlichen Funktionsbausteine wird häufig als zu aufwendig eingestuft und die Risiken durch eine fehlende Einschränkung als zu niedrig eingeschätzt.
In unserem Beispiel meldet sich der Endanwender in einem SCM-System an, kann von hier aus aber auch ERP-Transaktionen aufrufen. Um diese ERPTransaktionen in SAP SCM verfügbar zu haben, legen Sie eine neue PFCGEinzelrolle in SAP SCM an, z. B. ZS:XXXX:ERP_MENU. Die ERP-Transaktionen, auf die der Benutzer Zugriff haben soll, fügen Sie dem Rollenmenü über die Option Übernahme von Menüs > Aus anderer Rolle > Zielsystem hinzu. Wählen Sie nun das entsprechende ERP-System und anschließend die entsprechende PFCG-Rolle aus SAP ERP aus. Für diese »Menürolle« benötigen Sie kein Profil, da diese Rolle nur das ERP-Menü beinhaltet. Die Anordnung der Transaktionen können Sie nun im Bereich Hierarchie über Drag & Drop oder über die Pfeiltasten so sortieren, wie Sie sie im NWBC benötigen.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Diese Transaktion ist eigentlich für Migrationsaufgaben gedacht, eignet sich aber ebenfalls sehr gut, um eine bestimmte Transaktion wiederholt und automatisiert durchlaufen zu lassen.
Diese beinhalten die Benutzer-ID, den Funktionsbaustein sowie die Anzahl der Aufrufe.