Generierte Profilnamen in komplexen Systemlandschaften verwalten
Benutzerstammdaten
Das Berechtigungsobjekt S_RFCACL wird durch das Einspielen des SAP-Hinweises 1416085 aus dem Profil SAP_ALL entfernt. Dieser Hinweis ist in allen neueren Support Packages für die Basiskomponente enthalten; dies betrifft also alle Systeme bis herunter zum Basisrelease 4.6C. Grund für diese Änderung ist, dass das Berechtigungsobjekt S_RFCACL und vor allem die Ausprägung Gesamtberechtigung (*) für dessen Felder RFC_SYSID, RFC_CLIENT und RFC_USER als besonders kritisch eingestuft wird. Diese Felder legen fest, aus welchen Systemen und Mandanten bzw. für welche Benutzerkennungen Anmeldungen am Zielsystem erlaubt sein sollen. Die Gesamtberechtigung für diese Felder erlaubt also die Anmeldung aus beliebigen Systemen und Mandanten bzw. für beliebige Benutzer und erzeugt dadurch erhebliche Sicherheitsrisiken.
Ab SAP NetWeaver 7.31 ermöglicht das Security Audit Log die vollständige Darstellung von längeren Ereignisparametern in Meldungen. Dazu wurde der maximale Speicherplatz für Variablen in Meldungen auf 2 GB angehoben. Zur Einspielung dieser Erweiterung benötigen Sie einen Kernel- Patch. Die Korrekturen und eine Übersicht über die erforderlichen Support Packages finden Sie in SAP-Hinweis 1819317.
Kompensierende Maßnahmen für Funktionstrennungskonflikte
Zentrale Plattform für alle technisch unterstützten Services ist dabei der SAP Solution Manager, denn dort stehen Ihnen Informationen zu den angeschlossenen Systemen zur Verfügung, wenn Sie Datensammlungen für diese Systeme über Hintergrundjobs einplanen. Die Dokumentationen für den sicheren Betrieb von SAP-Systemen sind im SAP End-to-End Solution Operations Standard for Security (Secure Operations Standard) zusammengestellt. Dieser bietet Ihnen einen Überblick zu Sicherheitsaspekten des SAP-Betriebs und soll Sie durch die vorhandenen Informationen und Empfehlungen führen und auf relevante Inhalte verweisen.
SAP-Basis bezieht sich auf die Verwaltung des SAP-Systems, die Aktivitäten wie Installation und Konfiguration, Lastausgleich und Leistung von SAP-Anwendungen, die auf dem Java-Stack und SAP ABAP laufen, umfasst. Dazu gehört auch die Wartung verschiedener Dienste in Bezug auf Datenbank, Betriebssystem, Anwendungs- und Webserver in der SAP-Systemlandschaft sowie das Stoppen und Starten des Systems. Hier finden Sie einige nützliche Informationen zu dem Thema SAP Basis: www.sap-corner.de.
Servicebenutzer werden für den anonymen Zugriff durch mehrere Personen verwendet, z. B. für Webservices. Auch dieser Benutzertyp ist dialogfähig, d. h., dass er sich über SAP GUI am SAP-System anmelden kann. Mit einem Servicebenutzer sind immer Mehrfachanmeldungen möglich, und die Regeln für die Änderung von Passwörtern greifen nicht. Mit der Einführung der Sicherheitsrichtlinien hat sich dieses Verhalten geändert. Denn zuvor waren alle Passwortregeln für den Servicebenutzer ungültig, und nun greifen die Regeln für die Inhalte der Passwörter auch bei ihm (Details zu den Sicherheitsrichtlinien finden Sie in Tipp 5, »Sicherheitsrichtlinien für Benutzer definieren«). Das Passwort einen Servicebenutzers hat immer den Status Produktiv und kann nur durch den Benutzeradministrator geändert werden.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Gegebenenfalls werden außerdem weitere, über die Transaktion SE93 gepflegte Berechtigungen beim Aufruf der Transaktion geprüft.
Schluss mit der unübersichtlichen Zettelwirtschaft macht die Freeware Scribble Papers. Allerdings eignet sich das Tool auch dazu, neben Notizen Textdokumente und Textschnipseln aller Art abzulegen, zu strukturieren und schnell aufzufinden.
Diese sollten dann entsprechend bewertet und für eine fehlerfreie Abarbeitung der Geschäftsvorfälle in die dazu passenden Berechtigungsrollen aufgenommen werden.