Sicherheit in Entwicklungssystemen
Dialogbenutzer
Im Rahmen der Lösung SAP Access Control dient die Komponente Business Role Management der zentralen Rollenverwaltung. Sie bietet neben weiteren nützlichen Funktionen die Automatisierung der Massenpflege von Rollenableitungen. Hierzu müssen Sie zunächst die Organisationsmatrix im Customizing (Transaktion SPRO) hinterlegen, d. h., dass Sie im Bereich Details der Organisationsebenenzuordnung für die unterschiedlichen Organisationsfelder die Werte oder Wertebereiche eintragen. Zu diesem Zeitpunkt spezifizieren Sie allerdings noch nicht, welche Referenzrollen für diese Organisationswerte abgeleitet werden sollen.
Das Setzen der Kennzeichen für die Vertraulichkeit oder die Verschlüsselung in der Methode SEND_EMAIL_FOR_USER wirkt sich auf die Anzeige der E-Mail in der Business Communication Services Administration aus (Transaktion SCOT). Ist die E-Mail als vertraulich gekennzeichnet, kann sie nur durch den Absender oder den Ersteller der E-Mail eingesehen werden. Der Absender und der Ersteller müssen nicht zwingend identisch sein, z. B. wenn Sie als Absender das System eingetragen haben. Der Ersteller der E-Mail ist derjenige, der die Anwendung ausgeführt hat, in deren Kontext die E-Mail erstellt wurde. Durch das Kennzeichen zur Verschlüsselung wird automatisch auch die Vertraulichkeit der E-Mail gesetzt. Die E-Mail wird also nicht verschlüsselt im System abgelegt, sondern durch das Vertraulichkeitskennzeichen gegen unbefugte Einsicht geschützt. Der Zugriff durch den Absender oder Ersteller ist aber weiterhin möglich. Außerdem sollten Sie beachten, dass der Betreff der E-Mail nicht verschlüsselt ist.
Den Berechtigungstrace für die Ermittlung von Vorschlagswerten für kundeneigene Entwicklungen verwenden
Planen Sie den Report RHAUTUPD_NEW einmal täglich, am besten nach Mitternacht bzw. vor dem ersten Anmelden der Anwender ein. Dieser Hintergrundjob ist für den täglichen Abgleich zuständig. Führen Sie den Report RHAUTUPD_NEW mit der Option Bereinigung durchführen wöchentlich oder monatlich aus. Dadurch werden z. B. Profile samt ihrer Benutzerzuordnung gelöscht, wenn keine passende PFCG-Rolle existiert, oder fehlerhafte Zuordnungen zwischen Benutzern und Rollen bereinigt.
Bei der Tabellenprotokollierung muss sichergestellt sein, dass der SAP®-Hinweis 112388 (protokollierungspflichtige Tabellen) vollständig umgesetzt ist und zusätzlich alle Tabellen, welche finanzrelevante Daten beinhalten, von der Protokollierung umfasst werden. Das gilt selbstverständlich auch für alle Z-Tabellen! Als letzten Punkt der wichtigen Parametereinstellungen sind jene für die Definition der Kennworteinstellungen. Hier sollte sichergestellt werden, dass die Parameter ebenfalls gemäß der Unternehmensvorgaben eingerichtet sind. Die Überprüfung sollte allerdings nicht nur auf die globalen, für alle Benutzer gültigen, Einstellungen liegen, sondern auch all jene Benutzer umfassen, welche eigene Sicherheitsrichtlinien zugewiesen wurden. Gerade für diese muss eine entsprechende Begründung schriftlich vorliegen.
Im Go-Live ist die Zuweisung notwendiger Berechtigungen besonders zeitkritisch. Die Anwendung "Shortcut for SAP systems" hält dafür Funktionen bereit, so dass der Go-Live nicht wegen fehlender Berechtigungen ins Stocken gerät.
In diesen Fällen werden die Gesamtberechtigungen aus den Feldern RFC_SYSID, RFC_CLIENT und RFC_USER nicht übernommen.
Da es sich um einen dynamischen Profilparameter handelt, wird dieser beim Durchstarten des Anwendungsservers wieder zurückgesetzt.