Strukturelle Berechtigungen
Sicherheitsrichtlinien für Benutzer definieren
Wenn Sie die Konfigurationsvalidierung nutzen, empfehlen wir Ihnen trotzdem die gelegentliche Nutzung der AGS Security Services, wie des EarlyWatch Alerts und des SAP Security Optimization Services, die wir in Tipp 93 »AGS Security Services nutzen«, beschreiben. SAP hält die Vorgaben und Empfehlungen in den AGS Security Services aktuell und passt sie an neue Angriffsmethoden und Sicherheitsvorgaben an. Haben Sie im Rahmen eines Security Services neue Sicherheitsaspekte erkannt, können Sie Ihre Zielsysteme entsprechend einstellen und diese Aspekte künftig ebenfalls überwachen.
Müssen die Berechtigungen für eine selbst entwickelte UI-Komponente für den SAP CRM Web Client immer manuell gepflegt werden? Nicht unbedingt – wenn Sie sie als Vorschlagswerte für externe Services definieren. Haben Sie in SAP CRM eigene UI-Komponenten im Kundennamensraum entwickelt, und möchten Sie diese nun über den Standardprozess berechtigen, d. h. mithilfe des Reports CRMD_UI_ROLE_PREPARE ein Rollenmenü für eine PFCG-Rolle erstellen, müssen Sie zunächst einige Vorarbeiten leisten. Wenn Sie den Report ausführen, werden Sie feststellen, dass die externen Services zu Ihren Eigenentwicklungen nicht vorhanden sind und somit auch nicht im Rollenmenü auftauchen. Der einzige Weg zur Berechtigung Ihrer UI-Komponenten wäre nun ein manuelles Pflegen des Berechtigungsobjekts UIU_COMP. Jedoch können Sie Ihre eigenen UI-Komponenten als externe Services mit Vorschlagswerten in der Transaktion SU24 pflegen und sich diese Informationen in der PFCG-Rollenpflege zunutze machen.
RS_ABAP_SOURCE_SCAN
Sie benutzen das Profil SAP_ALL für Schnittstellenbenutzer, und nach dem Upgrade auf ein neues Support Package entstehen Berechtigungsfehler? Wir können die Verwendung des Profils SAP_ALL zwar nicht empfehlen, beschreiben hier aber, wie Sie dieses Problem kurzfristig beheben können. In neueren SAP-NetWeaver-Releases enthält das Profil SAP_ALL keine Berechtigung mehr für das Berechtigungsobjekt S_RFCACL. Dies kann zu Berechtigungsfehlern, z. B. bei Schnittstellenbenutzern führen, wenn diesen das Profil SAP_ALL zugeordnet wurde. Wir weisen an dieser Stelle darauf hin, dass wir die Verwendung des Profils SAP_ALL nur für absolute Notfallbenutzer empfehlen können. Anstatt diesen Tipp anzuwenden, sollten Sie daher vorzugsweise die Berechtigungen Ihrer Schnittstellenbenutzer bereinigen. Wie Sie dabei vorgehen, erfahren Sie in Tipp 27, »S_RFC-Berechtigungen mithilfe von Nutzungsdaten definieren«. Eine solche Bereinigung der Berechtigungen Ihrer Schnittstellenbenutzer kann allerdings nicht von heute auf morgen erfolgen. Daher erklären wir Ihnen hier, wie Sie das Problem kurzfristig beheben.
Bevor Sie die Systemempfehlungen einsetzen, empfehlen wir Ihnen die Implementierung der Korrekturen in den SAP-Hinweisen 1554475 und 1577059. Außerdem ist es erforderlich, dass die zu verwaltenden Systeme an den SAP Solution Manager angeschlossen sind und in der Transaktion SMSY einem produktiven System und einer SAP-Lösung zugeordnet wurden. Planen Sie dann in den Einstellungen der Systemempfehlungen einen Hintergrundjob ein, der die relevanten Informationen zu den angeschlossenen Systemen sammelt. Relevante Informationen sind Ihr Release- und Support- Package-Stand, sowie eingespielte SAP-Hinweise und deren Versionen. Über eine OSS-Verbindung des SAP Solution Managers, die Sie zuvor einrichten müssen, wird dann im SAP Global Support Backbone eine Berechnung durchgeführt, die die erforderlichen Hinweise ermittelt, d. h., dass im SAP Solution Manager selbst kaum Last durch die Berechnung entsteht. Für einen automatischen Abgleich des Sicherheitsstands Ihrer Systeme sollten Sie diese Berechnung ebenfalls als Hintergrundjob einplanen.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Der Schwerpunkt liegt dabei bei den Benutzern und Rollen in dem jeweiligen Mandanten und Systemschienen.
Das Tool gibt Empfehlungen, wie der Quelltext geändert werden kann, um die Schwachstellen zu beseitigen.