Upgradenacharbeiten für Berechtigungsvorschlagswerte in Y-Landschaften durchführen
Fehleranalyse bei Berechtigungen (Teil 1)
Berechtigungen für Entwicklungspakete (Package Privileges): Package Privileges sind Berechtigungen, die den Zugriff auf Entwicklungspakete in der SAP-HANA-Datenbank steuern. Pakete enthalten Design- Time-Versionen von Objekten, die mit diesem Paket mittels einer Delivery Unit transportiert und somit für andere Systeme zur Verfügung gestellt werden können.
Das Herunterladen der Tabelle muss monatsweise erfolgen. Sie können sich das Herunterladen zusätzlich erleichtern; dazu stellt Frank Buchholz in seinem Blog Programme vor, die Sie nutzen können (siehe http://wiki.scn.sap.com/wiki/display/Snippets/Show+RFC+Workload+Statistic+to+build+authorizations+for+authorization+object+S_RFC). Optional ist der nächste Schritt, in dem Sie Funktionsgruppen zu den Funktionsbausteinen ermitteln. Diese finden Sie im Feld AREA der Tabelle ENLFDIR. Wir empfehlen Ihnen allerdings die Berechtigungsvergabe auf der Ebene der Funktionsbausteine, da Funktionsgruppen häufig sehr viele Funktionsbausteine enthalten und die Zugriffsmöglichkeiten so unnötig erweitert werden.
Mitigierung von GRC-Risiken für SAP-Systeme
Sie können bestimmte Wörter oder auch Sonderzeichen als Passwort ausschließen, indem Sie sie in die Tabelle USR40 (Tabelle für verbotene Kennwörter) eintragen. In diese Tabelle können Sie sowohl konkrete Passwörter (z. B. den Namen Ihres Unternehmens) als auch Muster für Passwörter (z. B. 1234*) eintragen. Dabei stehen * für beliebig viele weitere Zeichen (Wildcard) und ? für ein beliebiges Zeichen. Beachten Sie allerdings bei der Pflege der Tabelle USR40, dass die Anzahl und die Art der Einträge Auswirkungen auf die Performance haben.
Bei fehlenden Berechtigungen hilft neben der bekannten SU53 zur näheren Analyse von Berechtigungsobjekten auch die SAP Basis mit einen Berechtigungstrace weiter. Im Artikel "SAP Basis Basic oder dank SU53 oder ST01 Trace fehlende Berechtigungen finden" ist darauf näher eingegangen worden.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Einige nützliche Tipps aus der Praxis zum Thema SAP Berechtigungen finden Sie auch auf der Seite www.sap-corner.de.
Die Information, welche Werte eingetragen werden können, können Sie aus dem Systemtrace für Berechtigungen lesen und manuell in der PFCG-Rolle pflegen.
Identifizieren Sie Schwachstellen in der Konfiguration Ihrer RFC-Schnittstellen, also RFC-Verbindungen, in denen Benutzer mit weitreichenden Berechtigungen (z. B. mit dem Profil SAP_ALL) eingetragen sind.