SAP Berechtigungstrace – Einfache Übersicht über Berechtigungen
Dateneigentümerkonzept
Sämtliche externe Services zur Cross-Navigation sind im Rollenmenü im Ordner GENERIC_OP_LINKS gespeichert. Neben diesen Informationen enthält dieser Ordner außerdem externe Services, die die bereits erwähnten Bereichsstartseiten und logischen Links repräsentieren. Letztere können Sie löschen, da es sich hier um Duplikate aus den anderen Ordnern oder nicht relevante externe Services handelt. Um nun korrekte Berechtigungen für die unüberschaubaren externen Services im Ordner GENERIC_OP_LINKS einzurichten, können Sie die externen Services identifizieren, die Sie für Ihre CRM-Business-Rolle benötigen, und alle anderen externen Services löschen. Hier besteht aber wie gesagt die Gefahr, dass zu viele externe Services gelöscht werden und die Cross-Navigation oder das Aufrufen der gespeicherten Suchen nicht mehr funktioniert. Besser ist es daher, wenn Sie den Ordner GENERIC_OP_LINKS in eine separate Rolle auslagern.
Werten Sie die Kritikalität der Sicherheitshinweise für Ihr Unternehmen aus und berücksichtigen Sie dabei auch die Risiken, die durch das Einspielen der SAP-Hinweise entstehen können. Dies können z. B. Risiken oder Aufwände durch Veränderung und die entsprechenden Tests in einem produktiv genutzten Geschäftsprozess sein. Abhängig von dieser Auswertung entscheiden Sie, welche Sicherheitshinweise Sie direkt einspielen und welche Hinweise im Rahmen des nächsten Wartungszyklus implementiert werden sollen.
Berechtigungsprüfungen
Die mit dem Berechtigungstrace (mit Filter für das Berechtigungsobjekt S_DATASET) gewonnenen Daten können Sie natürlich auch gleich zur Ausprägung von Berechtigungen für das Objekt selbst verwenden. Hierzu sollten Sie in jedem Fall auch die für das Feld PROGRAM gewonnenen Werte nutzen. Auf diese Weise schließen Sie den Missbrauch durch modifizierte Kopien von ABAP-Programmen aus. Diese Einschränkung der zugreifenden Programme stellt bereits einen Sicherheitsgewinn dar, auch wenn Sie den Zugriff auf Pfade und Dateien nicht einschränken möchten.
In erster Linie sind rechtliche Grundlagen zu nennen und auf gesetzeskritische Berechtigungen konkret hinzuweisen, die nicht (bzw. allenfalls an den Notfallbenutzer) vergeben werden dürfen. Ein Beispiel ist die Berechtigung “Debugging mit Replace“, zu der das Objekt S_DEVELOP mit den Werten ACTVT = 02 und OBJTYPE = DEBUG legitimiert und worüber sich Daten per Hauptspeicheränderung manipulieren lassen. Das verstieße jedoch gegen § 239 HGB, das sogenannte „Radierverbot“.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
In SAP HANA ist es sowohl möglich, eine Rolle mehreren Rollen als auch mehrere Rollen einer Rolle zuzuordnen.
Binden Sie die Exit-Definition (UGALI) über die Transaktion GGB0 ein.