Ungeklärte Zuständigkeiten, besonders zwischen Fachbereich und IT
Security Automation bei SAP Security Checks
Mit den Releases SAP NetWeaver 7.03 und 7.30 wurden für Web-Dynpro- ABAP-Anwendungen (sowie für weitere Web-Dynpro-ABAP-Funktionen, siehe SAP-Hinweis 1413011) die Prüfung der Berechtigung zum Start derartiger Anwendungen eingeführt. Das Berechtigungsobjekt, das diese Startberechtigung steuert ist S_START. Dieses Berechtigungsobjekt wird analog zum Berechtigungsobjekt S_TCODE eingesetzt.
Die Auswertungsperformance des Security Audit Logs wurde ab SAP NetWeaver 7.31 optimiert. Für die Einspielung dieser Erweiterung brauchen Sie einen Kernel-Patch. Die Korrekturen und eine Übersicht über die erforderlichen Support Packages finden Sie in SAP-Hinweis 1810913.
Berechtigungen in SAP-Systemen: worauf Admins achten sollten
Sicherheitswarnungen des Security Audit Logs können Sie außerdem über das Alert-Monitoring Ihres Computing Center Management Systems (CCMS) überwachen. Die erzeugten Sicherheitswarnungen entsprechen dabei den Auditklassen der Ereignisse, die im Security Audit Log definiert sind. Viele Unternehmen haben zusätzlich die Anforderung, die Ereignisse des Security Audit Logs auch in anderen Anwendungen darzustellen. Hierzu ist eine Auswertung durch externe Programme erforderlich, die über die XMI-BAPIs (XML Metadata Interchange) erfolgen kann. Für eine entsprechende Konfiguration müssen Sie der Dokumentation zur XMI-Schnittstelle folgen. Außerdem können Sie das Beispielprogramm RSAU_READ_AUDITLOG_ EXTERNAL als Vorlage nutzen. Eine Beschreibung zu diesem Programm finden Sie im SAP-Hinweis 539404.
Standardberechtigungen, die für eine funktional vollständig zu beschreibende Rolle benötigt werden, sollten entsprechend gepflegt werden. Es ist empfehlenswert, nicht benötigte Berechtigungen oder auch ganze Berechtigungszweige zu deaktivieren und nicht zu löschen. Berechtigungen, die auf den Aktivstatus Inaktiv gesetzt wurden, werden zum einen bei einem erneuten Abmischen nicht erneut als neue Berechtigungen in den Berechtigungsbaum aufgenommen, und zum anderen werden diese Berechtigungen bei der Profilgenerierung nicht mitberücksichtigt und somit auch nicht im zugrunde liegende Profil einer Rolle zugewiesen.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Profil und Berechtigungen löschen und neu anlegen Alle Berechtigungen werden neu angelegt.
Hierbei kann der Systemlastmonitor helfen.