Security Automation bei HR Berechtigungen
Alten Stand lesen und mit den neuen Daten abgleichen
Wenn Sie nun die Zeile mit der von Ihnen erstellten Parametertransaktion markieren und auf den Button Vorschlagswerte klicken, wird automatisch das Berechtigungsobjekt S_TABU_NAM mit den korrekten Vorschlagswerten, also dem Tabellennamen in der Transaktion SU24 angelegt. Prüfen Sie diese Vorschlagswerte, indem Sie auf Ja in der Spalte S_TABU_NAM klicken. Sie landen nun in einem View aus der Transaktion SU24 und können in den Tabellen Berechtigungsobjekte und Berechtigungsvorschlagswerte (für alle Berechtigungsobjekte) prüfen, welche Änderungen am Objekt S_TABU_NAM automatisch vorgenommen worden sind. Nutzen Sie den SAP-Hinweis 1500054 für weitere Informationen und eine Implementierungsanleitung. Der SAP-Hinweis liefert darüber hinaus den Analysereport SUSR_TABLES_WITH_AUTH, der Tabellenberechtigungen für Anwender oder Einzelrollen angibt. Dieser Report prüft auf Benutzer- oder Einzelrollenebene, für welche Tabellen aufgrund der Berechtigungsobjekte S_TABU_DIS oder S_TABU_NAM Berechtigungen vorhanden sind. Der Report prüft nicht, ob der Anwender über die ebenfalls notwendigen Transaktionsstartberechtigungen, wie z. B. S_TCODE, verfügt. Prüfen Sie z. B., welche Tabellenberechtigungen ein bestimmter Benutzer aufgrund des Berechtigungsobjekts S_TABU_DIS hat, erhalten Sie die Informationen zu den Tabellennamen, zur dazugehörigen Tabellenberechtigungsgruppe und zu den berechtigten Aktivitäten. Die Berechtigungen zum Zugriff auf Tabellen direkt zu vergeben, ist flexibel und sinnvoll, ist nur dann nicht empfehlenswert, wenn der Mechanismus ausgehebelt wird, indem der Anwender über generische Pflegetools generellen Tabellenzugriff erhält.
Im Rahmen der Einführung eines Security-Patch-Prozesses werden Sie, abhängig von Ihrem Release- und Support-Package-Stand, viele Sicherheitshinweise auswerten müssen. In diesem Fall können Sie mithilfe des Reports RSECNOTE bzw. mithilfe des EarlyWatch Alerts auswerten, welche Sicherheitshinweise durch den SAP Active Global Support als besonders kritisch eingestuft wurden. Der Report RSECNOTE wird seit März 2013 nur noch sehr eingeschränkt gepflegt und enthält daher nur wenige neue Sicherheitshinweise. Trotzdem bietet er gute Anhaltspunkte für die initiale Bereinigung von Sicherheitslücken.
Berechtigungsobjekte
SAPconnect verwendet den S/MIME-Standard (Secure/Multipurpose Internet Mail Extensions) für die Signierung beim Versand von E-Mails, bzw. um empfangene E-Mails zu verifizieren und zu entschlüsseln. S/MIME wird von den meisten E-Mail-Clients unterstützt und erfordert X.509-basierte Zertifikate.
Zahlen/Mahnen: Die Steuerung des Zahlungs- bzw. Mahnlaufs erfolgt ausschließlich auf der Basis von Informationen der Erfassungssicht (insbesondere Tabelle BSEG). Bei Debitoren- und Kreditorenbuchungen ist das Profit-Center im Standard nicht in den SAP-Erfassungsmasken enthalten und daher auch nicht in den entsprechenden BSEG-Belegzeilen verfügbar. Da Zahlen und Mahnen üblicherweise zentral gesteuerte Prozesse sind, dürfte dies in der Praxis kein Problem darstellen.
Mit "Shortcut for SAP systems" steht ein Tool zur Verfügung, das die Zuweisung von Berechtigungen auch bei Ausfall des IdM-Systems ermöglicht.
Die Prozesse lassen sich immer wieder optimieren.
Dass Organisationsebenen manuell gepflegt worden sind, erkennen Sie, wenn Sie Werte über den Button Orgebenen eintragen, die Änderungen aber nicht in das Berechtigungsobjekt übernommen werden.