Traceauswertung optimieren
Sicherheitshinweise mithilfe der Systemempfehlungen einspielen
Der Zugriff auf diese Daten, ist kritisch, da über Tools die Hashwerte evtl. entschlüsselt werden können und somit eine unautorisierte Anmeldung an das SAP-System möglich ist. Da oftmals identische Kennwörter für verschiedene Systeme verwendet werden, ist das ermittelte Kennwort somit evtl. auch für nachgelagerte Systeme nutzbar. Die aktuellen bzw. ehemaligen Hashwerte der Kennwörter werden in den Tabellen USR02, USH02, USRPWDHISTORY, USH02_ARC_TMP, VUSER001 und VUSR02_PWD vorgehalten. Auf diese Tabellen kann entweder über klassische Tabellenzugriffs-Transaktionen wie z.B. SE16 oder aber über Datenbankadministrartions-Transaktionen wie DBACOCKPIT zugegriffen werden. Die benötigten Berechtigungen für Tabellenzugriffe über Datenbankwerkzeuge sind abhängig von der jeweiligen Systemkonfiguration und sollten ggf. über einen Berechtigungs-Trace (Transaktion STAUTHTRACE) verifiziert werden.
Mit der apm Suite stellen Sie sich Ihre individuelle GRC/SOX-konforme Lösung für SAP Berechtigungen nach Bedarf zusammen. Hilfreich ist das zum Beispiel, um SAP Rollen optimal zu verwalten, für die Ermittlung kritischer Rechte, den SAP Benutzerantrag, das Auditieren von Notfallusern oder den Passwort Self Service. Mit der apm Suite verlieren Sie nie den Überblick über Ihre Compliance im SAP Berechtigungsmanagement.
Berechtigungen in SAP-Systemen: worauf Admins achten sollten
Vereinfachen Sie Ihr Berechtigungskonzept nicht, bevor Sie alle Anforderungen kennen, sondern fragen Sie sich erst, was es zu erreichen gilt. Analysieren Sie also zunächst die Prozesse (wenn möglich auch technisch), und schaffen Sie erst dann ein Konzept. Viele Berechtigungskonzepte, die wir bei Kunden vorfanden, waren nicht dazu geeignet, den Anforderungen gerecht zu werden. Teilweise handelte es sich um »gewachsene« Berechtigungskonzepte (d. h., dass immer wieder Anforderungen hinzukamen) oder um gekaufte Berechtigungskonzepte. Vielen dieser Konzepte war gemeinsam, dass sie nicht einfach, sondern zu stark vereinfacht worden waren. Ein schönes Beispiel sind Berechtigungskonzepte, die alle Organisationsebenen in Werterollen oder Organisationsrollen zusammenfassen. Es gibt wenige Beispiele, wie z. B. den Rollenmanager der Branchenlösung SAP for Defense and Security, in denen das Ergebnis eines Werterollenkonzepts für den Benutzer noch sinnvoll und angemessen ist. Die Annahme, dass man »mal eben« alle Berechtigungsobjekte separiert, die eine Organisationsebene enthalten, ist zwar einfach, aber eben nicht sinnvoll. Die Vereinfachung, dass nur ein Benutzer ohne Berechtigungen definitiv keine rechtswidrigen Berechtigungen haben kann, haben wir in der Praxis nicht vorgefunden. Allerdings gab es immer wieder den Fall, dass Benutzer viel zu viele Berechtigungen besaßen und das System damit nicht mehr rechtskonform war.
Möchten Sie den Benutzern nur Zugriff auf einzelne Tabellenzeilen erlauben, können Sie auf das Berechtigungsobjekt S_TABU_LIN zurückgreifen, das den Zugriff auf bestimmte Zeilen einer Tabelle für dafür definierte Organisationskriterien erlaubt. Voraussetzung für diese Art der Berechtigung ist, dass die Tabellen über Spalten mit solchen organisatorischen Werten, wie z. B. Werk, Land, Buchungskreis usw., verfügen. Diese organisatorischen Werte müssen Sie nun im System als Organisationskriterien, die betriebswirtschaftliche Arbeitsbereiche abbilden, konfigurieren; sie dienen als Brücke zwischen den organisatorischen Spalten in den Tabellen und der Verwendung als Berechtigungsfeld im Berechtigungsobjekt. Da die Organisationskriterien in mehreren Tabellen vorkommen, muss diese Berechtigungsprüfung nicht an bestimmte Tabellen gebunden sein und kann tabellenübergreifend definiert werden.
Berechtigungen können auch über "Shortcut for SAP systems" zugewiesen werden.
So viele Informationen... wie kann man die aufheben, so dass man sie bei Bedarf wiederfindet? Dafür eignet sich Scribble Papers ganz hervorragend.
Ebenso verhält es sich mit dem Konzept der Dateneigentümerschaft.
Selektieren Sie die Attribute, für die Sie eigene Werte pflegen möchten, und tragen Sie die Werte entsprechend ein.