Modul
Analyse der Qualität des Berechtigungskonzeptes – Teil 1
Das Setzen der Kennzeichen für die Vertraulichkeit oder die Verschlüsselung in der Methode SEND_EMAIL_FOR_USER wirkt sich auf die Anzeige der E-Mail in der Business Communication Services Administration aus (Transaktion SCOT). Ist die E-Mail als vertraulich gekennzeichnet, kann sie nur durch den Absender oder den Ersteller der E-Mail eingesehen werden. Der Absender und der Ersteller müssen nicht zwingend identisch sein, z. B. wenn Sie als Absender das System eingetragen haben. Der Ersteller der E-Mail ist derjenige, der die Anwendung ausgeführt hat, in deren Kontext die E-Mail erstellt wurde. Durch das Kennzeichen zur Verschlüsselung wird automatisch auch die Vertraulichkeit der E-Mail gesetzt. Die E-Mail wird also nicht verschlüsselt im System abgelegt, sondern durch das Vertraulichkeitskennzeichen gegen unbefugte Einsicht geschützt. Der Zugriff durch den Absender oder Ersteller ist aber weiterhin möglich. Außerdem sollten Sie beachten, dass der Betreff der E-Mail nicht verschlüsselt ist.
Wir stellen Ihnen hier verschiedene Szenarien für den Prozess des Zurücksetzens von Passwörtern vor. In allen Szenarien wählt der Benutzer das System und den Mandanten, in denen ein Passwort zurückgesetzt werden soll, über eine Webseite aus. Es sollten nur Systeme und Mandanten angezeigt werden, in denen dieser Benutzer bereits existiert und eine Berechtigung zugewiesen hat. Anschließend wird ein Initialpasswort generiert und an die E-Mail-Adresse des Benutzers verschickt. Nur für den Fall, dass eine Benutzersperre durch Falschanmeldungen gesetzt ist, muss der Benutzer zusätzlich entsperrt werden. Bei einer Administratorsperre sollte der Benutzer entsprechend informiert werden. Bevor Sie den Self-Service implementieren, sollten Sie sich Gedanken über die in Ihren Systemen eingestellten Passwortregeln und den Einsatz von Sicherheitsrichtlinien machen. Denn über diese Einstellungen können Sie steuern, wie Passwörter in Ihren Systemen generiert werden. Wir empfehlen Ihnen, dazu die Erläuterungen in den Tipps 4, »Passwortparameter und gültige Zeichen für Passwörter einstellen«, und 5, »Sicherheitsrichtlinien für Benutzer definieren«, zu lesen.
Benutzerpuffer analysieren SU56
Spielen Sie den SAP-Hinweis 1433352 in Ihr System ein. Mit diesem Hinweis wird der Report RSAUDIT_SYSTEM_STATUS ausgeliefert. Dieser Report dokumentiert den aktuellen Status der Einstellungen zur Mandanten- und Systemänderbarkeit in einer Übersicht, die Sie bei Bedarf zur Auswertung auch ausdrucken können. Der Vorteil dieses Reports ist, dass reine Anzeigeberechtigungen zu dessen Ausführung notwendig sind.
Zunächst müssen die Softwareentwickler der Webanwendung geeignete Berechtigungsprüfungen implementieren und für die Nutzung bei der Rollenpflege in der Transaktion PFCG verfügbar machen. Dies beinhaltet auch die Vorschlagswertepflege in der Transaktion SU22. Alle hierzu notwendigen Details liefert der SAP-Hinweis 1413012 (neue wiederverwendbare Startberechtigungsprüfung).
Die Möglichkeit der Zuweisung von Berechtigungen im Go-Live kann durch den Einsatz von "Shortcut for SAP systems" zusätzlich abgesichert werden.
Neben der Authentifizierung via Benutzername und Passwort können Sie die Methoden Kerberos und SAML durch Anklicken der entsprechenden Optionen konfigurieren.
Sie können sie ohne Bedenken löschen, da ein externer Service für eine Berechtigung nur einmal im Rollenmenü erscheinen muss.