Berechtigungstools – Vorteile und Grenzen
Fehlgeschlagene Berechtigungsprüfungen in der Transaktion SU53 zentral einsehen
Das Auslesen der Änderungsbelege der Benutzer- und Berechtigungsverwaltung dauert Ihnen einfach zu lange? Mit einem guten Archivierungskonzept können Sie die Performance verbessern. Durch die Anwendungen der Benutzer- und Berechtigungsverwaltung werden Änderungsbelege geschrieben, deren Menge mit der Zeit beträchtlich zunehmen und es daher zu langen Wartezeiten beim Auslesen dieser Belege kommen kann. Um die Wartezeiten zu reduzieren, sollten Sie die Belege archivieren und einen logischen Index für zentrale Änderungsbelege setzen. Dafür brauchen Sie allerdings einen Gesamtüberblick über die Speicherorte und auch über die Auswertungsmöglichkeiten und Archivierungsszenarien. Wir zeigen Ihnen im Folgenden, wie Sie das Änderungsbelegmanagement der Benutzer- und Berechtigungsverwaltung optimieren können.
Für die Anlage eines Berechtigungsobjekts müssen Sie zuerst den Ergebnisbereich und die Form der Ergebnisrechnung (kalkulatorisch oder buchhalterisch) auswählen, für den das Berechtigungsobjekt geprüft werden soll. Dazu müssen Sie den Namen des anzulegenden Berechtigungsobjekts eingeben und auf den Button (Weiter) klicken. Anschließend legen Sie einen Text für das Berechtigungsobjekt fest und selektieren maximal zehn Berechtigungsfelder für das Objekt über den Button Felder. Dabei ist nur eine Selektion der für den Ergebnisbereich festgelegten Merkmale – und für die kalkulatorische Ergebnisrechnung auch der Wertfelder – möglich. Nun können Sie unterschiedliche Berechtigungsobjekte zu den Kennzahlen und Merkmalen anlegen oder die relevanten Felder in einem Berechtigungsobjekt zusammenfassen. Wir raten Ihnen, nur ein Objekt mit allen relevanten Feldern zu definieren, da dies die Berechtigungspflege erleichtert. In unserem Beispiel haben wir ein buchhalterisches Berechtigungsobjekt für die Merkmale Profitcenter, Vertriebsweg und Werk im Infosystem angelegt.
Konzepte der SAP Security
Seit SAP NetWeaver 7.02 ist eine solche Funktion verfügbar, d. h., dass Sie auf die Daten des Berechtigungstrace aus dem Systemtrace zugreifen können, um PFCG-Rollen zu pflegen. Im Folgenden zeigen wir Ihnen, wie Sie die Berechtigungswerte aus dem Berechtigungstrace in Ihre Rolle übernehmen können. Dazu zeichnen Sie in einem ersten Schritt Anwendungen anhand ihrer Berechtigungsprüfungen auf und können diese anschließend in Ihr Rollenmenü übernehmen.
Spielen Sie die SAP-Hinweise 1656965 und 1793961 in Ihr System ein. Mit diesen Hinweisen wird der Report RSUSR_LOCK_USERS ausgeliefert bzw. erweitert. Dieser Report unterstützt die automatisierte Selektion und Sperrung von inaktiven Benutzern. Dazu müssen Sie im Selektionsbild des Reports RSUSR_LOCK_USERS die Kriterien auswählen, nach denen Sie Benutzer sperren bzw. ungültig setzen möchten. Die Auswahl der Benutzer können Sie anhand verschiedener Kriterien bestimmen. Es empfiehlt sich hierbei besonders, den Zeitraum seit der letzten Anmeldung im Feld Tage seit letzter Anmeldung und den Passwortstatus im Feld Tage seit Kennwortänderung zu berücksichtigen. Sie haben die Möglichkeit, das Ergebnis der Selektion zu prüfen und sich die gefundenen Benutzer anzeigen zu lassen. Wählen Sie dazu im Bereich Auswahl der Aktion die Aktion Test der Selektion aus. Auch können Sie in diesem Bereich zwischen den Maßnahmen Sperren der Benutzer (Lokale Sperre) und Entsperren der Benutzer (Lokale Sperre) wählen. Das Ende der Gültigkeit eines Benutzers können Sie durch Anklicken der entsprechenden Optionen für »heute« oder »gestern« festlegen. Beachten Sie dabei, dass Sie die Gültigkeit nur für aktuell gültige Benutzer setzen können.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Das Risiko durch falsch vergebene Entwicklerberechtigungen ist auch durch das Wegfallen des Zusatz-Schutzes über Entwickler- und Objektschlüssel in S/4 HANA Systemen gestiegen (siehe u.a. SAP-Hinweis 2309060).
Auf www.sap-corner.de finden Sie ebenfalls viele nützliche Informationen zum Thema SAP Berechtigungen.
Die Dokumentationen für den sicheren Betrieb von SAP-Systemen sind im SAP End-to-End Solution Operations Standard for Security (Secure Operations Standard) zusammengestellt.