Berechtigungsrollen (Transaktion PFCG)
Durch rollenbasierte Berechtigungen Ordnung schaffen
Für die Anlage eines Berechtigungsobjekts müssen Sie zuerst den Ergebnisbereich und die Form der Ergebnisrechnung (kalkulatorisch oder buchhalterisch) auswählen, für den das Berechtigungsobjekt geprüft werden soll. Dazu müssen Sie den Namen des anzulegenden Berechtigungsobjekts eingeben und auf den Button (Weiter) klicken. Anschließend legen Sie einen Text für das Berechtigungsobjekt fest und selektieren maximal zehn Berechtigungsfelder für das Objekt über den Button Felder. Dabei ist nur eine Selektion der für den Ergebnisbereich festgelegten Merkmale – und für die kalkulatorische Ergebnisrechnung auch der Wertfelder – möglich. Nun können Sie unterschiedliche Berechtigungsobjekte zu den Kennzahlen und Merkmalen anlegen oder die relevanten Felder in einem Berechtigungsobjekt zusammenfassen. Wir raten Ihnen, nur ein Objekt mit allen relevanten Feldern zu definieren, da dies die Berechtigungspflege erleichtert. In unserem Beispiel haben wir ein buchhalterisches Berechtigungsobjekt für die Merkmale Profitcenter, Vertriebsweg und Werk im Infosystem angelegt.
Zusätzlich können Sie im SOS auch kundeneigene Berechtigungsprüfungen definieren und dabei auch Kombinationen von Berechtigungsobjekten und deren Werten festlegen. Sie können bis zu 1.000 kundeneigene Berechtigungsprüfungen im Check-ID-Namensraum 9000 bis 9999 anlegen. Auch für diese Berechtigungsprüfungen können Sie wieder Whitelists definieren, die entweder für einzelne oder alle kundeneigenen Berechtigungsprüfungen gelten. Die Konfiguration ist im SAP-Hinweis 837490 beschrieben.
RSUSR008_009_NEW
Im Prüfungsergebnis werden die Sicherheitslücken nach Prioritäten sortiert aufgelistet, wobei eine hohe Priorität mit einer hohen Treffersicherheit einer Fundstelle und eine niedrige Priorität mit einer niedrigen Treffersicherheit einhergehen. Zudem sind zu jeder Fundstelle weitergehende Informationen innerhalb des ABAP-Editors verfügbar. Mithilfe dieses Prioritätsindikators können Sie leichter erkennen, ob es sich um ein False Positive oder um ein tatsächliches Sicherheitsproblem handelt. Bei den Prioritäten 1 und 2 handelt es sich mit großer Wahrscheinlichkeit um eine echte Fundstelle. Das Tool gibt Empfehlungen, wie der Quelltext geändert werden kann, um die Schwachstellen zu beseitigen. Neben den individuellen Checks für einzelne Entwickler bietet das Werkzeug auch Massenchecks an, etwa um eine gesamte Anwendung in einem Schritt auf Schwachstellen zu prüfen.
Wenn Sie den Button Initialisierung SU24-Daten wählen, entspricht das Schritt 1, und Sie überschreiben für die ausgewählten Anwendungen Ihre SU24-Daten mit den SU22-Daten. Die Auswahl Automatischer Abgleich entspricht Schritt 2a. Alle neuen SU22-Daten werden in die Transaktion SU24 übernommen. Geänderte SU24-Daten werden erkannt und müssen manuell abgeglichen werden. Diese Informationen werden Ihnen jedoch in der Spalte Ermittelter Abgleichstatus mitgegeben. Möchten Sie für bestimmte Anwendungen Ihre SU24-Daten so behalten, wie sie sind, wählen Sie dafür den Button Setze Status »Geprüft« aus. Um Ihnen mehr Transparenz hinsichtlich der Auswirkung Ihrer Tätigkeiten zu geben, gibt es einen Rollenverwendungsnachweis über den Button Rollen. Hierüber können Sie für die ausgewählten Anwendungen prüfen, in welchen Rollen diese Verwendung finden. Mit der Auswahl Änderungsvorschau sehen Sie, welche Vorschlagswerte für Ihre Auswahl in der Transaktion SU24 geändert würden.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Bevor Sie die Systemempfehlungen einsetzen, empfehlen wir Ihnen die Implementierung der Korrekturen in den SAP-Hinweisen 1554475 und 1577059.
Wie Sie den Zugriff auf das SAP-Menü verhindern und dem Benutzer ausschließlich das Benutzermenü anzeigen können, haben wir in Tipp 47, »Customizing der Benutzer- und Berechtigungsverwaltung einstellen«, beschrieben.