Berechtigungen in SAP BW, HANA und BW/4HANA
Den Berechtigungstrace für die Ermittlung von Vorschlagswerten für kundeneigene Entwicklungen verwenden
Die Passwörter der Benutzer sind im SAP-System als Hash-Werte abgelegt. Die Qualität der Hash-Werte und damit deren Sicherheit, hängt aber von den eingesetzten Hash-Algorithmen ab. Die früher in den SAP-Systemen eingesetzten Hash-Algorithmen sind nicht mehr als sicher einzustufen; sie können innerhalb kurzer Zeit mit einfachen technischen Mitteln geknackt werden. Sie sollten daher die Passwörter in Ihrem System auf verschiedene Weise absichern. Zuerst sollten Sie den Zugang zu den Tabellen, in denen die Hash-Werte der Passwörter abgelegt sind, stark einschränken. Dies betrifft die Tabellen USR02 und USH02 sowie in neueren Releases die Tabelle USRPWDHISTORY. Am besten weisen Sie diesen Tabellen eine eigene Tabellenberechtigungsgruppe zu, wie es in Tipp 55, »Tabellenberechtigungsgruppen pflegen«, beschrieben wird. Zusätzlich sollten Sie auch die Zugriffe über das Berechtigungsobjekt S_TABU_NAM kontrollieren.
Zwei weitere sehr wichtige Einstellungen sind die Aktivierung des Security Audit Logs und der Tabellenprotokollierung. Beide Parameter müssen aktiviert sein, um in weiterer Folge die Nachvollziehbarkeit auf Benutzer- aber auch auf Tabellenebene zu gewährleisten. Es sollte also überprüft werden, ob die Detaileinstellungen für das Security Audit Log gemäß den Unternehmensvorgaben eingerichtet sind und auf jeden Fall ausnahmslos alle Benutzer mit umfassenden Berechtigungen, wie z.B. SAP_ALL, vollständig von der Protokollierung umfasst sind.
Sich einen Überblick über die im System gepflegten Organisationen und ihre Abhängigkeiten verschaffen
Der Fall, dass der Benutzerpuffer nicht aktuell ist, kommt nur sehr selten vor. Über den Profilparameter auth/new_buffering ist mit dem Wert 4 eingestellt, dass die Berechtigungen, d. h. die Änderungen am Benutzerstamm oder an den Rollen bzw. Profilen sofort aktualisiert und in die Datenbanktabelle USRBF2 geschrieben werden, ohne dass eine Neuanmeldung erforderlich ist. Dieser Wert ist standardmäßig eingestellt. Dass der Puffer nicht aktuell ist, erkennen Sie daran, dass vorhandene Berechtigungen, die nicht im Puffer sind, in der Transaktion SU56 mit dem Hinweis "In den Stammdaten, aber nicht im Benutzerpuffer vorhanden" gekennzeichnet sind.
Der Funktionsbaustein wurde offensichtlich nicht für diese Verwendung vorgesehen, unser Vorgehen beeinflusst aber nicht den Programmablauf, und es sind uns keine Einschränkungen durch diese Nutzung bekannt. Diese Vorgehensweise können Sie auch bei anderen BTEs anwenden, die in ähnlicher Form Daten übergeben. Dabei sollten Sie aber immer Vorsicht walten lassen und prüfen, ob die Anwendung bereits Summendatensätze gebildet hat oder ob es andere Abhängigkeiten gibt. Abschließend müssen Sie noch ein von Ihnen entwickeltes Produkt (den Namen können Sie selbst definieren) in der Transaktion FIBF anlegen und dieses zusammen mit dem kundeneigenen Funktionsbaustein dem Business Transaction Event 1650 zuordnen, wie es in der folgenden Abbildung zu sehen ist. Zu einem kundeneigenen Produkt können mehrere Erweiterungen gehören. Es bildet eine logische Klammer um die Erweiterungen und sorgt so für eine bessere Übersicht. Zusätzlich ermöglicht es eine gezielte Aktivierung bzw. Deaktivierung der Implementierungen.
Sollten Sie in die Situation geraten, dass Berechtigungen erforderlich sind, die nicht im Rollenkonzept berücksichtigt wurden, ermöglicht Ihnen "Shortcut for SAP systems" die Zuweisung der Komplettberechtigung für das jeweilige Berechtigungsobjekt.
Es werden allerdings nicht nur die explizit genannten Transaktionen ausgewertet, sondern auch äquivalente Parameter- oder Variantentransaktionen.
Wenn Sie mehr zum Thema SAP Berechtigungen wissen möchten, besuchen Sie die Webseite www.sap-corner.de.
Sie definieren Sicherheitsrichtlinien über die Transaktion SECPOL.