Über die Wichtigkeit des Berechtigungskonzept bei der Umstellung auf SAP S/4HANA
Ausführbare Transaktionscodes ermitteln
Bei Zugriffen von Prüferbenutzern (aus der Tabelle TPCUSERN) werden im Anwendungs-Log die Selektionsparameter der aufgerufenen Transaktion protokolliert und können mit dem Report CA_TAXLOG ausgewertet werden. Im Beispiel wurde hier die Einzelpostenliste für das Kreditorenkonto 100000 aufgerufen.
Im Vorfeld wurden im Gros wichtige SAP Reports zum Thema Rollen- und Berechtigungsverwaltung vorgestellt. Da diese und das gesamte SAP System bekannterweise auf dem ABAP Coding aufbauen, ist die Analyse des Quellcodes, besonders bei der Nutzung von Eigenentwicklungen, genauso wichtig. Diese Inhouse Entwicklungen stellen oftmals gravierende Sicherheitslücken dar, da sie nur unzureichende Berechtigungsprüfungen im Coding besitzen. Um nach expliziten Strings zu suchen und die Eigenentwicklungen entsprechend zu kategorisieren kann der Report RS_ABAP_SOURCE_SCAN genutzt werden. Dadurch können vorhanden Programme im Backend nach gezielten Prüfmustern durch den Berechtigungsadministrator explizit überprüft und etwaige Fehlstellungen durch die entsprechenden Entwickler bereinigt werden. Berechtigungsrelevante Prüfmuster bei solch einem Scan sind bspw. “AUTHORITY-CHECK“ oder SQL Statements wie SELECT, UPDATE oder DELETE. Erstere prüft, ob überhaupt Berechtigungsprüfungen im Quellcode vorhanden sind. Die Prüfung auf Open SQL Muster analysiert die Codestruktur auf direkte SELECT, MODIFY oder INSERT Anweisungen, die vermieden bzw. berechtigungsseitig geschützt werden müssen. Die Best Practice Maßnahme ist in diesem Fall die Verwendung von SAP BAPIs. Das präventive Best Practice Vorgehen wäre es, Entwickler und Berechtigungsadministratoren schon während der Konzeptionierung der Eigenentwicklung gleichermaßen zu involvieren.
Benutzerinformationssystem SUIM
Der Report RSUSR008_009_NEW (Liste der Benutzer mit kritischen Berechtigungen) wird ab SAP Web Application Server 6.20 mit den folgenden Support Packages bereitgestellt: Release 6.20, beginnend mit SAPKB62039 Release 6.40, beginnend mit SAPKB64003 Sie können die alten Reports RSUSR008 und RSUSR009 bis zum Release 6.40 weiterverwenden. Der Report RSUSR008_009_NEW wird mit den alten SAPVorschlägen für kritische Berechtigungsdaten ausgeliefert, die schon für den Report RSUSR009 verwendet wurden.
Welche Berechtigungsdaten hat eine Rolle (PFCG)? Auch hierbei startest du die Transaktion PFCG und lässt dir eine Rolle anzeigen. Verzweige dann auf den Reiter Berechtigungen und klicke auf den Button mit der “Brille” (unten links): Berechtigungsdaten anzeigen.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Nur für den Fall, dass eine Benutzersperre durch Falschanmeldungen gesetzt ist, muss der Benutzer zusätzlich entsperrt werden.
Prüfen Sie sie einfach darauf, ob SAP-Standardverfahren verwendet werden und das Berechtigungswesen nach SAP-Best-Practices bewirtschaftet wird.