Security Audit Log konfigurieren
Berechtigungen in SAP BW, HANA und BW/4HANA
Noch kritischer ist die Vergabe des umfassenden SAP®-Standardprofil SAP_ALL, welches nahezu alle Rechte im System beinhaltet. Deshalb sollte es maximal an einen sogenannten Notfallbenutzer zugewiesen werden. Der Umgang mit dem Notfallbenutzer ist auch im schriftlich dokumentierten Berechtigungskonzept vorzugeben. In jedem Fall sollten die Aktivitäten des Notfallbenutzers protokolliert und regelmäßig kontrolliert werden. Deshalb ist es essenziell in der Vorbereitung auf die Jahresabschlussprüfung, die aktuellen, aber auch die historischen Zuweisungen, von SAP_ALL zu überprüfen. Es ist also nicht ausreichend, im Vorfeld der Jahresabschlussprüfung einfach schnell den Benutzern das Profil SAP_ALL zu entziehen. Es muss auch nachgewiesen werden, dass über den Prüfzeitraum das Profil SAP_ALL nicht kurzfristig für ein paar wenige Tage vergeben wurde. Sollte es doch zu Zuweisungen von SAP_ALL gekommen sein, wurde diese im Idealfall bereits dokumentiert und kontrolliert. Sollte dies nicht der Fall sein, ist unbedingt eine nicht veränderbare Dokumentation anzulegen, in welcher nachgewiesen wird, warum die Zuweisung notwendig war und dass der User darüber hinaus keine kritischen Aktionen durchgeführt hat (Ablage und Review der Protokollierung).
Es bestehen umfangreiche Revisionsanforderungen an die Passwortregeln. Erfahren Sie hier, wie Sie diese Anforderungen global definieren, welche Sonderzeichen vom SAP-Standard akzeptiert werden und wie Sie die Vorgaben für generierte Passwörter einstellen. Sie möchten nicht die SAP-Standardregeln für die Passworterstellung nutzen, sondern Ihre eigenen Anforderungen an die Passwörter Ihrer Benutzer stellen? Sie müssen interne oder externe Sicherheitsanforderungen, z. B. vonseiten der Revision, umsetzen? Sie möchten bestimmte Wörter nicht als Passwörter erlauben, bestimmte Sonderzeichen ausschließen oder die Formate der vom SAP-System generierten Passwörter ändern? Wir geben Ihnen im Folgenden eine Übersicht zu den möglichen Zeichen, zu den vorhandenen Profilparametern und den Customizing-Einstellungen für Passwörter.
Vorteile von Berechtigungskonzepten
SAPCPIC: SAPCPIC ist kein Dialogbenutzer, sondern dient in älteren Releases der EDI-Nutzung (EDI = Electronic Data Interchange); im Standard hat SAPCPIC Berechtigungen für RFC-Zugriffe. Für diese sollten Sie diesen Benutzer aber nicht verwenden, ebenso wenig wie für Batch-Prozesse, sondern Sie müssen für diese Anwendungen andere Benutzer erstellen. Schutzmaßnahmen: Sperren Sie den Benutzer, ändern Sie das Passwort, ordnen Sie ihn der Benutzergruppe SUPER zu, und protokollieren Sie ihn mit dem Security Audit Log.
Der Pflegestatus von Berechtigungen in PFCG-Rollen spielt eine wichtige Rolle bei der Verwendung des Rollenmenüs. Mithilfe des Pflegestatus können Sie eine Aussage darüber treffen, wie das Berechtigungsobjekt in die Rolle gelangt ist und wie es dort gepflegt wurde. Die Abmischfunktion von Berechtigungsdaten der Rollenpflege in der Transaktion PFCG ist ein mächtiges Werkzeug, das Sie bei der Rollenbearbeitung unterstützt. Wenn das Rollenmenü geändert wurde, werden mithilfe der Abmischfunktion die in einer Einzelrolle enthaltenen Berechtigungsvorschläge automatisch ergänzt. Grundlage hierzu sind die in der Transaktion SU24 definierten Berechtigungsvorschlagswerte, deren Pflegestatus in der Berechtigungspflege Standard ist. Diese Berechtigungswerte werden auch als Standardberechtigungen bezeichnet. Berechtigungen mit anderen Pflegestatus, also Gepflegt, Verändert oder Manuell werden während des Abmischens nicht geändert – Ausnahme ist das Entfernen von Transaktionen.
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Zudem wird definiert, wie die Suche auf dem Org-Baum erfolgt.
Beachten Sie, dass die Transaktion PFCG wirklich ausgeführt wird, die Rolle also tatsächlich im System angelegt wird! Kontrollieren Sie zunächst in der Transaktion SCC4, ob die Ausführung von eCATT erlaubt ist.