Berechtigungen in SAP-Systemen: worauf Admins achten sollten
Organisatorische Zuordnung
Berechtigungen für das Datenbanksystem (System Privileges): System Privileges sind SQL-Berechtigungen, die administrative Aktionen auf der gesamten Datenbank steuern. Derartige Aktionen sind z. B. das Anlegen eines (Datenbank-)schemas (CREATE SCHEMA), das Anlegen und Ändern von Rollen (ROLE ADMIN), das Anlegen und Löschen eines Benutzers (USER ADMIN) oder das Ausführen eines Datenbank-Backups (BACKUP ADMIN).
Zum Schluss möchten wir Sie noch auf den SAP-Hinweis 1781328 aufmerksam machen, der den Report PFCG_ORGFIELD_ROLES_UPD bereitstellt. Mit diesem Report wird eine Massenaktualisierung bestehender Rollenableitungen ermöglicht. Dabei wird allerdings nicht das Konzept der Organisationsmatrix verwendet, sondern Sie müssen die neuen Organisationswerte direkt beim Aufruf des Reports hinterlegen. Deshalb erfordert diese Funktion einen hohen Grad an Verständnis für die im Hintergrund laufenden Anpassungen und ist aus diesem Grund nur als Pilothinweis verfügbar. Das heißt, dass dieser Hinweis explizit über eine Kundenmeldung angefragt werden muss und erst daraufhin vom SAP-Support gegebenenfalls für Sie freigegeben wird. Es ist aktuell nicht geplant, den Hinweis etwa über ein Support Package allgemein verfügbar zu machen.
Benutzerinformationssystem SUIM
Im Rahmen des Erkennens von Berechtigungsproblemen sollte dokumentiert werden, was die Gefahren sind, wenn die aktuelle Situation beibehalten wird. Oftmals wollen Verantwortliche im Unternehmen keine Korrektur vornehmen, weil diese Kosten und Arbeit verursacht. Wenn das aktuelle Konzept funktioniert und Sicherheitslücken abstrakt sind, scheuen sich viele Verantwortliche, etwas zu ändern. Aus diesen Gründen sollte zunächst dokumentiert werden, welche Probleme und Gefahren lauern, wenn das aktuelle Konzept nicht korrigiert wird: Zunächst erhöht sich die Gefahr von Betrug, Diebstahl sowie Datenschutz- und Sicherheitsverstößen. Die Dokumentation kann helfen zu erkennen, wo Gefahren liegen. Es besteht grundsätzlich das Problem, dass dem Unternehmen ein finanzieller Schaden entsteht, wenn nicht gehandelt wird. Eine weitere Gefahr besteht darin, dass Anwender mit ihren Berechtigungen experimentieren und Schaden verursachen, der sich durch eine saubere Berechtigungsstruktur vermeiden lässt. Ebenfalls ein Problem ist der erhöhte Administrationsaufwand der Berechtigungsvergabe und -Verwaltung. Der Aufwand steigt an, wenn die aktuelle Rollenzuordnungen nicht transparent und optimal strukturiert sind.
Benötigen Sie alte Auditergebnisse nicht mehr, können Sie diese mit der Transaktion SAIS über den Button (Administration der Auditumgebung) archivieren oder löschen. Die Selektion der Auditergebnisse erfolgt anhand der Auditstrukturen, der Prüfnummern oder des Eintragsdatums (siehe Abbildung nächste Seite).
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Schließlich könnten Sie noch die Transaktion COAT nutzen (siehe SAP-Hinweis 1089923), um z. B. Ihren kundeneigenen Tabellen und Reports zusätzliche Attribute zuzuordnen.
Transaktion PFCG bietet Ihnen ebenfalls die Möglichkeit des automatischen Zusammenfassens von Berechtigungen.