Potentielle Sicherheitsrisiken bei Antragsprozessen in IDM-Systemen
„EINE SAP LANDSCHAFT WIE KEINE ANDERE“
Der nachfolgenden Abbildung können Sie die Protokollierung für die SAP Standardgruppe „SUPER“ entnehmen. Für diese Gruppe werden in allen Mandanten sämtliche Aktivitäten aufgezeichnet.
Das sogenannte Service Level Management (SLM) dient der langfristigen Überwachung und Optimierung. Es wird bereits von vielen IT-Organisationen zum Management der Beziehungen zwischen den einzelnen Service-providern und dem Geschäftsprozessinhaber eingesetzt. Als Service Level Management bezeichnet man eine strukturierte, proaktive Methode, die das Ziel hat, den Benutzern einer IT-Anwendung ein adäquates Serviceniveau zu garantieren – in Übereinstimmung mit den betriebswirtschaftlichen Zielen des Auftraggebers und bei optimalen Kosten. Diese Methode beinhaltet klar definierte, überprüfbare Ziele und eine klare Kommunikation zwischen den Geschäftsprozessinhabern und den Betreibern einer Lösung (dies können für Server, Datenbanken, Netzwerke etc. mehrere interne oder externe Betreiber sein). Das Service Level Management besteht zunächst aus einem Service Level Agreement, in dem die oben zu erreichenden Ziele im Hinblick auf Verfügbarkeit, Performance, Korrektheit und Sicherheit definiert werden und auch festgelegt wird, wie das Erreichen dieser Ziele gemessen und kommuniziert werden soll. Das Service Level Reporting berichtet über die Zielerreichung in einem festgelegten Zeitraum. Primäres Ziel des Service Level Reportings ist es also, festzustellen, ob die festgelegten Betriebsziele erreicht wurden, und mögliches Optimierungspotenzial aufzuzeigen.
Design der SAP-Landschaft
Der Erweiterte Speicher enthält also vor allem Nutzerkontexte von verschiedenen Workprozessen, falls diese nicht vollständig in den Rollbereich geladen werden können. Da der Speicherbereich für alle Workprozesse erreichbar ist, können die Workprozesse also auch auf fremde Nutzerkontexte, die hier liegen zugreifen. Außerdem enthält der Erweiterte Speicher einen Globalen Bereich in dem Daten unabhängig von Nutzerkontexten abgelegt werden können. Die Größe des erweiterten Speichers wird bestimmt durch die Werte von em/initial_size_MB und em/global_area_MB. Hierbei bestimmt der erste Parameter die Größe des Speicherbereichs in dem Nutzerkontexte abgelegt werden können und der zweite die Größe des globalen Bereichs. Parameter für den Privaten Speicher Zu guter Letzt gibt es noch den privaten Speicher, welcher nur dann genutzt wird, wenn der Nutzerkontext eines Workprozesses alle anderen ihm zur Verfügung stehenden Speicherbereiche aufgebraucht hat, also seinen Anteil des erweiterten Speichers und seinen Rollbereich. In diesem Fall geht der Workprozess in den PRIV modus. Ein Workprozess im privaten Modus ist an seinen aktuellen Nutzerkontext gebunden und wird erst dann wieder frei für andere Aufgaben, wenn die aktuelle Anfrage abgeschlossen ist. Falls er dabei den ihm zugewiesenen privaten Speicher vollständig aufgebraucht hat, wird der Workprozess anschließend neu gestartet und der Speicher wieder freigegeben. Dieses verhalten wird mit dem Parameter abap/heaplimit kontrolliert. Zeitweise kann der Nutzerkontext der Wert von abap/heaplimit dabei auch überschreiten. Die Parameter abap/heap_area_total, abap/heap_area_dia und abap/heap_area_nondia bestimmen eine obere Grenze für den privaten Speicher. Der Parameter abap/heap_area_total definiert wie viel privaten Speicher alle Workprozesse insgesamt nutzen können. Die Parameter abap/heap_area_dia und abap/heap_area_nondia hingegen bestimmen, wie viel privaten Speicher ein einzelner (Nicht-)Dialog-Workprozess nutzen darf.
Anhand der Workload-Analyse diagnostizieren Sie ein allgemeines Performanceproblem. Anhand des Vergleichs der Workload-Daten für unterschiedliche Tage grenzen Sie das Problem auf einen bestimmten Zeitraum ein. Auffällig sind in diesem Zeitraum hohe Datenbankzeiten, insbesondere für logische Änderungen. Bei näherer Analyse der Fehlerprotokolldatei der Datenbank stellt sich heraus, dass nachts ein Archiver Stuck aufgetreten ist. Ein Archiver Stuck tritt bei einer Oracle-Datenbank auf, wenn das Archive-Verzeichnis für Redo-Log-Dateien voll ist. Somit kann keine Redo- Information mehr geschrieben werden; die Datenbank und damit auch die SAP-Instanzen bleiben stehen. Nachdem das Problem behoben worden ist, setzen Datenbank und SAP-Instanzen ihre Arbeit ohne Fehler fort. Morgens wird das Problem vom Datenbankadministrator behoben. Im Tagesmittel führt der Archiver Stuck an diesem Tag zu erhöhten Datenbankzeiten (insbesondere für logische Änderungen). Diese suggerieren bei der Analyse des Workload-Monitors eine schlechte Datenbankperformance, obwohl diese in Wirklichkeit gut ist, nachdem das Problem behoben wurde.
Etliche Aufgaben im Bereich der SAP Basis können mit "Shortcut for SAP Systems" wesentlich erleichtert werden.
Wir empfehlen die Entwicklung eines Konzepts zur kurzfristigen Vergabe der zusätzlichen Berechtigungen.
Im Rahmen des Projekts „die SAP-Basis von morgen“ wurden sowohl aktuelle Fragestellungen der Unternehmen als auch die Fragestellung der SAP-Basis der Zukunft im Hinblick auf IT-Landschaft, Prozesse und Aufbauorganisation diskutiert und erarbeitet.