Kundeneigene Berechtigungen
SAP Berechtigungstrace – Einfache Übersicht über Berechtigungen
Die Berechtigungsprüfung für das Objekt S_PATH erfolgt, wie beschrieben, nur für Dateien, die einem Pfad mit Berechtigungsgruppe in der Tabelle SPTH entsprechen. In unserem Beispiel müssten Sie daher für den Zugriff auf Dateien mit dem Pfad /tmp/myfiles* eine Berechtigung für das Objekt S_PATH mit dem Wert FILE im Feld FS_BRGRU erteilen. Beachten Sie dabei, dass das Berechtigungsobjekt nur zwei Zugriffsarten unterscheidet. In diesen beiden Werten werden die Zugriffsarten des Berechtigungsobjekt S_DATASET zusammengefasst. Der Wert Ändern entspricht den Werten Löschen, Schreiben und Schreiben mit Filter; der Wert Anzeigen entspricht den Werten Lesen und Lesen mit Filter.
Die mit dem Berechtigungstrace (mit Filter für das Berechtigungsobjekt S_DATASET) gewonnenen Daten können Sie natürlich auch gleich zur Ausprägung von Berechtigungen für das Objekt selbst verwenden. Hierzu sollten Sie in jedem Fall auch die für das Feld PROGRAM gewonnenen Werte nutzen. Auf diese Weise schließen Sie den Missbrauch durch modifizierte Kopien von ABAP-Programmen aus. Diese Einschränkung der zugreifenden Programme stellt bereits einen Sicherheitsgewinn dar, auch wenn Sie den Zugriff auf Pfade und Dateien nicht einschränken möchten.
Standardberechtigung
Mit dem Enhancement Package (EHP) 3 zu SAP ERP 6.0 hat SAP in der Business Function FIN_GL_CI_1 eine Erweiterung der Berechtigungsprüfungen zur Verfügung gestellt, mit der die Berechtigungsobjekte für Profit-Center bereits in FI geprüft werden können. Die Business Function FIN_GL_CI_1 müssen Sie zunächst im Switch Framework (Transaktion SFW5) einschalten. Danach können Sie die neue Funktionalität im Customizing über diesen Pfad aktivieren: Finanzwesen (neu) > Grundeinstellungen Finanzwesen (neu) > Berechtigungen > Berechtigungsprüfung für Profitcenter aktivieren.
Identifizieren Sie Schwachstellen in der Konfiguration Ihrer RFC-Schnittstellen, also RFC-Verbindungen, in denen Benutzer mit weitreichenden Berechtigungen (z. B. mit dem Profil SAP_ALL) eingetragen sind. Diese RFC-Verbindungen können für das sogenannte RFC-Hopping verwendet werden, bei dem Zugriffe auf ein SAP-System über eine solch umfangreich berechtigte RFC-Verbindung erfolgen.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Dadurch verringert sich der Einführungsaufwand für das SAP-System beträchtlich.
Die Tabelle wird damit zu einer White List.