Unser Angebot
Architektur von Berechtigungskonzepten
Wenn Sie die Kommunikation zwischen dem Client und den Anwendungsservern nicht verschlüsseln, ist es für einen Dritten erstaunlich einfach, den Benutzernamen und das dazugehörige Passwort abzufangen. Verschlüsseln Sie diese Schnittstelle daher unbedingt! Es gibt häufig Unklarheit darüber, ob das Passwort in SAP-Systemen im Standard verschlüsselt ist und ob es während der Kommunikation zwischen dem Client und den Anwendungsservern im Standard eine Verschlüsselung gibt. Dieses Unwissen kann zu fatalen Sicherheitslücken in Ihrer Systemlandschaft führen. Wir möchten Ihnen daher an dieser Stelle erklären, wie Sie die Passwörter in Ihrem System absichern und sich gegen ein Abgreifen der Passwörter während der Übertragung schützen können.
Es wird in einem solchen Fall in der SU53 der letzte Fehler angezeigt oder Anzeige ist leer. Man kommt dann nicht umhin, die Fehlermeldung der Transaktion zu analysieren. Noch einen Tipp zum Schluss: Weisen Sie den Benutzer an, mit den Screen-Shot machen, damit wird das ganze aktive Window in die Zwischenablage gestellt, und Sie können erkennen, um welche Transaktion, welches System und in welchem Kontext der Transaktion es sich handelt. Kleinere „SnagIt“s sind meist nicht zu gebrauchen und führen zu unnötigen Rückfragen.
Passwörter schützen
Das Rollenmenü der PFCG-Rolle besteht nun aus Ordnern, die alle logischen Links innerhalb einer Bereichsstartseite repräsentieren, und aus externen Services, die die logischen Links sowie die Bereichsstartseiten an sich repräsentieren. Das heißt, dass jeder im Rollenmenü aufgelistete externe Service für eine Bereichsstartseite bzw. einen logischen Link berechtigt. Wird ein solcher externer Service aus dem Rollenmenü entfernt und die PFCG-Rolle generiert, hat der Anwender dieser PFCG-Rolle keine Berechtigungen zum Ansehen dieses externen Services (siehe Abbildung nächste Seite). Sie werden doppelte, vielleicht sogar dreifache Einträge von externen Services finden. Diese sind hauptsächlich in den Ordnern der Homepage und unter GENERIC_OP_LINKS zu finden. Sie können sie ohne Bedenken löschen, da ein externer Service für eine Berechtigung nur einmal im Rollenmenü erscheinen muss. Zur besseren Übersicht ist es darüber hinaus sinnvoll, die externen Services bzw. Ordner so umzubenennen, wie diese auch im SAP CRM Web Client dargestellt sind.
Über Berechtigungsobjekte können Sie den Zugriff auf Tabellen bzw. auf deren Inhalte über Transaktionen, wie z. B. SE16 oder SM30, einschränken. Mit dem Berechtigungsobjekt S_TABU_DIS können Sie Zugriff auf Tabellen gewähren, die bestimmten Tabellenberechtigungsgruppen zugeordnet sind. Sie können Tabellenberechtigungsgruppen in der Transaktion SE54 einsehen, pflegen und sie Tabellen zuweisen (siehe Tipp 55, »Tabellenberechtigungsgruppen pflegen«). Soll ein Administrator z. B. Zugriff auf Tabellen der Benutzerverwaltung erhalten, prüfen Sie den Berechtigungsstatus mithilfe der Transaktion SE54. Sie werden feststellen, dass sämtliche Tabellen der Benutzerverwaltung der Tabellenberechtigungsgruppe SC zugeordnet sind.
Wenn aber Ihr Identity Management System gerade nicht verfügbar oder der Genehmigungsweg unterbrochen ist, können Sie mit "Shortcut for SAP systems" dringend benötigte Berechtigungen dennoch zuweisen.
Dieses kann einer Linienorganisation entsprechen, die aus Organisationseinheiten besteht, denen Planstellen zugeordnet sind.
Sie sollten allerdings einiges beachten.