Security Automation bei HR Berechtigungen
Alten Stand lesen und mit den neuen Daten abgleichen
Dieser Report prüft das Customizing der CRM-Business-Rolle, für die die PFCG-Rolle erstellt werden soll und schreibt alle Bereichsstartseiten und logischen Links in Form von externen Services in eine Textdatei. Diese Textdatei wird lokal im SAP-Ordner unter c:/Benutzer//SAP gespeichert. Auf der Registerkarte Menü der PFCG-Rolle können Sie diese Textdatei über Übernahme von Menüs > Import aus Datei hochladen.
Organisationsebenen sorgen für eine effizientere Pflege der Berechtigungsrollen. Sie pflegen sie einmalig in der Transaktion PFCG über den Button Orgebenen. Die Werte für jeden Eintrag dieses Feldes werden in den Berechtigungen der Rolle eingetragen. Dies bedeutet, dass Sie innerhalb einer Rolle immer nur die gleichen Werte für das Organisationsebenenfeld eintragen können. Ändern Sie die Werte der einzelnen Felder in den Berechtigungsobjekten unabhängig von der übergreifenden Pflege, erhalten Sie eine Warnmeldung, dass Sie dieses Feld nun nicht mehr über den Button Orgebenen verändern können und dass bei der Anpassung von abgeleiteten Rollen dieser individuelle Wert überschrieben wird. Daher raten wir Ihnen dringend davon ab, eine individuelle Pflege der Organisationsebenenfelder vorzunehmen. Wenn Sie sich an diesen Ratschlag halten, kann es, wie oben beschrieben, immer nur einen Wertebereich für ein Organisationsebenenfeld geben. So ist z. B. die Kombination aus der Anzeige aller Buchungskreise und der Änderung eines einzelnen Buchungskreises innerhalb einer Rolle nicht umzusetzen. Dies hat natürlich Auswirkungen, wenn Sie ein Feld in die Organisationsebene hochstufen möchten. Ein Feld, das bisher nicht als Organisationsebene fungierte, kann solche Einträge mit unterschiedlichen Werten innerhalb einer Rolle beinhalten. Diese Einträge müssen Sie bereinigen, bevor Sie ein Feld als Organisationsebene deklarieren. Zusätzlich wirkt sich die Definition eines Feldes als Organisationsebene auch auf die Berechtigungsvorschlagswerte des Profilgenerators aus.
Sicherheit innerhalb des Entwicklungssystems
Alle Berechtigungsprüfungen werden in Tabellenform als ALV-Liste ausgegeben. Diese Liste können Sie nach Spalten sortieren oder filtern. Des Weiteren sind sämtliche Neuerungen aus der Transaktion ST01, die wir zu Beginn dieses Tipps aufgeführt haben, für die Auswertung übernommen worden. Durch einen Doppelklick auf ein Berechtigungsobjekt gelangen Sie direkt zur Berechtigungsobjektdefinition, und mit einem Doppelklick auf die Transaktion werden Sie direkt zur Programmstelle geleitet, in der die Berechtigungsprüfung erfolgt. Weitere Verwendungstipps für diesen Trace geben wir Ihnen in Tipp 32, »Berechtigungswerte mithilfe von Traceauswertungen pflegen«, und in Tipp 39, »Vorschlagswerte unter der Zuhilfenahme von Traceauswertungen pflegen«.
SAP-Basis bezieht sich auf die Verwaltung des SAP-Systems, die Aktivitäten wie Installation und Konfiguration, Lastausgleich und Leistung von SAP-Anwendungen, die auf dem Java-Stack und SAP ABAP laufen, umfasst. Dazu gehört auch die Wartung verschiedener Dienste in Bezug auf Datenbank, Betriebssystem, Anwendungs- und Webserver in der SAP-Systemlandschaft sowie das Stoppen und Starten des Systems. Hier finden Sie einige nützliche Informationen zu dem Thema SAP Basis: www.sap-corner.de.
Eine Massenanlage von Rollen für einen Roll-out ist eine sehr nützliche Sache. Dabei kann man durchaus auch Excel-basierte Daten verwenden – so wie beim skizzierten Anwendungsfall mit eCATT – da es sich für die betrachteten Rollen um eine einmalige Aktion handelt und im Hintergrund SAP-Standardprogramme verwendet werden. Eine andauernde Pflege des Berechtigungswesens mit fortwährenden Änderungen von Rollen und deren Detailberechtigungen erfordert jedoch die Abbildung wesentlich komplexerer Vorgänge. Eine ausschließliche Steuerung über Office-Programme sollte gut überlegt sein. Dies bedeutet natürlich nicht, dass es nicht auch sehr gute Partnerprodukte für die Pflege von Rollen gibt. Prüfen Sie sie einfach darauf, ob SAP-Standardverfahren verwendet werden und das Berechtigungswesen nach SAP-Best-Practices bewirtschaftet wird.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Sie setzen neben der SAP-Standardsoftware auch kundeneigene ABAP-Programme ein? Erfahren Sie, wie Sie mithilfe des SAP Code Vulnerability Analyzers Ihren Kundencode auf potenzielle Sicherheitslücken scannen und diese gegebenenfalls bereinigen können.
Um die vielen Informationen zum Thema SAP - und auch anderen - in einer Wissensdatenbank zu speichern, eignet sich Scribble Papers.
Dies ist z. B. im Feld Aktivität der Fall.