Berechtigungswerte mithilfe von Traceauswertungen pflegen
Grenzen von Berechtigungstools
Die wichtigsten Security Services im Hinblick auf Berechtigungen sind der EarlyWatch Alert (EWA) und der SAP Security Optimization Service (SOS). Sie vergleichen die Einstellungen in Ihren SAP-Systemen mit den Empfehlungen von SAP. Beide Services werden als teilautomatisierte Remote Services geliefert; den SOS können Sie auch als vollautomatisierten Self-Service nutzen. Im EWA und SOS werden Berechtigungsprüfungen durchgeführt, deren Ergebnis immer wie folgt aufgebaut ist: Die Überschrift benennt den betreffenden Check. Ein kurzer Text beschreibt die Bedeutung der geprüften Berechtigung und das Risiko, das bei einer unnötigen Vergabe entsteht. Eine Liste gibt die Anzahl der Benutzer mit der geprüften Berechtigung in den verschiedenen Mandanten des analysierten SAP-Systems an. Im SOS können Sie sich die Benutzer zusätzlich aufführen lassen. Im SOS folgt für jeden Check eine Empfehlung, wie Sie das identifizierte Risiko minimieren können. Eine abschließende formale Beschreibung stellt die geprüften Berechtigungen dar. Es werden allerdings nicht nur die explizit genannten Transaktionen ausgewertet, sondern auch äquivalente Parameter- oder Variantentransaktionen.
Wenn Sie die Konfigurationsvalidierung nutzen, empfehlen wir Ihnen trotzdem die gelegentliche Nutzung der AGS Security Services, wie des EarlyWatch Alerts und des SAP Security Optimization Services, die wir in Tipp 93 »AGS Security Services nutzen«, beschreiben. SAP hält die Vorgaben und Empfehlungen in den AGS Security Services aktuell und passt sie an neue Angriffsmethoden und Sicherheitsvorgaben an. Haben Sie im Rahmen eines Security Services neue Sicherheitsaspekte erkannt, können Sie Ihre Zielsysteme entsprechend einstellen und diese Aspekte künftig ebenfalls überwachen.
Leseberechtigungen für Steuerprüfungen geschäftsjahresabhängig steuern
Sie müssen das Berechtigungsobjekt S_TABU_NAM in Ihr bestehendes Berechtigungskonzept integrieren? In diesem Tipp zeigen wir Ihnen, welche Schritte dazu notwendig sind – von der Pflege der Vorschlagswerte bis hin zum Überblick über berechtigte Tabellen. Sie haben Ihr Berechtigungskonzept um das Berechtigungsobjekt S_TABU_NAM erweitert, sodass die Anwender nicht nur über das Berechtigungsobjekt S_TABU_DIS, sondern auch über S_TABU_NAM Zugriff auf die Tabellen erhalten. Damit wird der Zugriff auf die Tabellen über Tabellenberechtigungsgruppen oder, wenn der Zugriff über Tabellenberechtigungsgruppen nicht erlaubt ist, über die Berechtigung auf die Tabelle direkt geregelt (siehe Tipp 73, »Berechtigungsobjekte für die Tabellenbearbeitung verwenden«). Sie möchten nun die Tabellen bzw. die erstellten Parametertransaktionen, die den Zugriff nur auf bestimmte Tabellen erlauben, ermitteln, um für diese Vorschlagswerte in der Transaktion SU24 zu pflegen? Auf diese Weise wird das Pflegen von PFCG-Rollen erleichtert. Des Weiteren wäre ein Werkzeug sinnvoll, das Ihnen einen Überblick über die Tabellen verschafft, für die ein Anwender berechtigt ist.
Haben Sie schon einmal versucht manuell nachzuvollziehen, wer von den Nutzern in Ihrem SAP-System kritische Berechtigungen besitzt? Je nach Kenntnisstand und Erfahrung nimmt diese Arbeit viel Zeit in Anspruch. Sind zudem Wirtschaftsprüfungen angekündigt, ist der Druck besonders hoch. Denn manuell ist es schwierig, alle Anforderungen in Bezug auf SAP Berechtigungen zu erfüllen.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Suchen Sie dazu in den Systemempfehlungen nach SAP-Hinweisen zur Komponente BC-UPG-NA.
Der Wert 2 im Profilparameter unterbindet nicht die Anmeldung mit dem Notfallbenutzer SAP*, sofern dieser nicht als Benutzerstammsatz angelegt ist und der Profilparameter login/no_automatic_user_sapstar auf den Wert 0 gesetzt ist.