Prüfung auf Berechtigungen für die alte Benutzergruppe bei der Zuweisung einer neuen Benutzergruppe zu einem Benutzer
Kritische Berechtigungen
Ein typisches Einsatzgebiet ergibt sich bei der Anforderung eines neuen SAP-Benutzers. Der Dateneigentümer prüft nun, ob der Beantragende und die zu berechtigende Person überhaupt jeweils dafür befugt sind, welche Daten betroffen wären, ob evtl. bereits ein SAP-User besteht, dem neue Rollen zugeteilt und alte entzogen werden können, ob der Datenzugriff zeitlich begrenzt werden kann etc..
Haben Sie eigene Anwendungen erstellt, empfehlen wir Ihnen, dafür immer eine eigene Berechtigungsprüfung zu implementieren und sich nicht nur auf die Anwendungsstartberechtigungen wie S_TCODE, S_START, S_SERVICE und S_RFC zu verlassen. Möchten Sie Standardanwendungen um eigene Prüfungen erweitern, müssen Sie dafür erst die geeignete Stelle zur Implementierung der Prüfung finden. Um modifikationsfrei zu entwickeln, bietet SAP für solche Fälle User-Exits oder Business Add-ins (BAdIs). Einige SAP-Anwendungen haben außerdem eigene Frameworks im Einsatz, die ein modifikationsfreies Implementieren von eigenen Berechtigungsprüfungen erlauben, wie z. B. die Access Control Engine (ACE) in SAP CRM.
Kundenspezifische Berechtigungen einsetzen
Konzeptuell wird zwischen den Benutzertypen Database User und Technical User unterschieden. Database User sind Benutzer, die eine reale Person in der Datenbank repräsentieren. Sobald ein Database User gelöscht wird, werden zugleich alle (!) Datenbankobjekte, die von diesem Database User angelegt worden sind, ebenfalls gelöscht. Technical User sind Benutzer, die technische Aufgaben in der Datenbank wahrnehmen. Beispiele hierzu sind die Benutzer SYS und _SYS_REPO, mit denen administrative Aufgaben, wie z. B. die Erzeugung eines neuen Datenbankobjekts oder das Zuweisen von Privilegien, ermöglicht werden.
Zentrale Plattform für alle technisch unterstützten Services ist dabei der SAP Solution Manager, denn dort stehen Ihnen Informationen zu den angeschlossenen Systemen zur Verfügung, wenn Sie Datensammlungen für diese Systeme über Hintergrundjobs einplanen. Die Dokumentationen für den sicheren Betrieb von SAP-Systemen sind im SAP End-to-End Solution Operations Standard for Security (Secure Operations Standard) zusammengestellt. Dieser bietet Ihnen einen Überblick zu Sicherheitsaspekten des SAP-Betriebs und soll Sie durch die vorhandenen Informationen und Empfehlungen führen und auf relevante Inhalte verweisen.
Mit "Shortcut for SAP systems" können Sie die Zuweisung von Rollen nach einem Go-Live automatisieren.
Ein eigenes Programm – eine eigene Berechtigung.
In diesem Tipp konzentrieren wir uns auf die technische Umsetzung der Implementierung von Berechtigungsprüfungen.