Maria Joanna Born
 - 6. März 2018

SAP RFC Gateway Sicherheit durch secinfo und reginfo ACL Dateien

Businessman on blurred background using shield safe protection to protect his datas 3D rendering Die Sicherheit eines SAP Systems benötigt den Schutz vor unerlaubten Zugriffen, z.B. durch die Dateien secinfo und reginfo. Ein sauber umgesetztes Berechtigungskonzept schützt vor Angriffen innerhalb des SAP-Systems. Es ist jedoch auch möglich ihr SAP System über das Netzwerk anzugreifen. Über den RFC Gateway Server kommuniziert Ihr System mit externen Servern und Programmen. Eine besonders effektive Möglichkeit der Absicherung sind sogenannte Access-Control-Listen (ACL). Erfahren Sie hier, was das ist und wie Sie es nutzen können, um Ihr SAP System noch besser zu schützen.

Der SAP Standard bietet verschiedene Ansätze für die Absicherung des Gateways. Dabei können alle Methoden in Kombination für eine noch höhere Sicherheit sorgen.  Es ist zum Beispiel möglich mit Hilfe von Access-Control-Lists (ACL) genau zu kontrollieren welche externen Programme und welche Hosts mit dem Gateway kommunizieren können. Eine weitere Möglichkeit ist es das Gateway so zu konfigurieren, dass Secure Network Communication (SNC) unterstützt. Zu guter Letzt gibt es diverse Sicherheitsparameter für das Gateway. Dieser Artikel konzentriert sich auf die Verwendung von ACL-Dateien wie die secinfo und reginfo-Dateien.

Was ist eine ACL?

Access-Control-Lists sind Dateien in denen erlaubte oder verbotene Kommunikationspartner festgehalten werden können. Damit das Gateway diese ACL-Dateien verwendet, müssen Parameter im Standardprofil des SAP Systems gesetzt und natürlich die Dateien entsprechend gepflegt werden. Mit Hilfe von Logs und Traces, die extra zu diesem Zweck konfiguriert werden können, kann im Vorfeld der Aktivierung eine genaue Untersuchung gemacht werden, welche Verbindungen zur Zeit über das Gateway laufen. So können sie verhindern, dass wichtige Anwendungen, mit denen Ihr System kommuniziert durch die ACL-Dateien blockiert werden. Die Regeln in den ACL-Dateien werden von oben nach unten vom Gateway gelesen, um zu entscheiden, ob eine Kommunikationsanfrage erlaubt wird. Entspricht keine der Regeln dem anfragenden Programm, wird es blockiert.

Netzwerkbasierte ACL

Die Netzwerkbasierte ACL-Datei enthält erlaubte und verbotene Subnetze oder spezifische Clients. Es ist möglich für jede Regel in der ACL-Datei ein Trace-Level anzugeben, um jeden Kommunikationskanal individuell zu überwachen. Sie lässt sich ohne weitere Konfiguration mit SNC verwenden. Die Verwendung der Datei wird über den Parameter gw/acl_file gesteuert, indem er einfach auf den entsprechenden Dateinamen gesetzt wird.

Tobias Harmes
Wir übernehmen Basisaufgaben und führen SAP Basis Projekte für Sie durch
Fachbereichsleiter Tobias Harmes

Ob Sie ein Systemupgrade durchführen wollen oder einfach nur Unterstützung bei der Konfiguration Ihrer SAP Systemlandschaft benötigen, wir bieten Ihnen unsere kompetenten Berater an: SAP Basis und SAP Security Berater von RZ10 buchen.

Unsere Referenzen finden Sie hier.

Kontaktieren Sie mich: Telefon 0211.9462 8572-25 oder per E-Mail info@rz10.de.

In einem unverbindlichen Gespräch kann ich mit Ihnen über Ihre Ausgangslage sprechen und Ihnen Möglichkeiten aufzeigen. Selbstverständlich können wir danach auch ein unverbindliches Angebot unterbreiten.

Verwendung von externen Programmen

Wenn ein externes Programm mit Ihrem SAP System kommunizieren will, muss es sich zunächst am Gateway registrieren. Welchen Programmen dies genehmigt wird, wird über die ACL-Datei reginfo gesteuert. Hier werden also Regeln definiert, die bestimmte Programme erlauben oder aber verbieten. Die Syntax der Datei lässt es dabei zu, nicht nur den Namen des Programms, sondern auch den Host auf dem das Programm läuft und Hosts die das Programm verwenden und beenden können zu definieren. Zur Verwendung dieser Datei muss der Parameter gw/reg_info gesetzt sein.

Außerdem gibt es die ACL-Datei secinfo, mit der es möglich ist zu konfigurieren, welche User ein externes Programm starten können. Hier werden also Regeln definiert, die bestimmten Usernamen aus dem SAP System erlauben bestimmte externe Programme zu verwenden. Zusätzlich können auch hier die Hosts definiert werden auf denen diese Programme ausgeführt werden. So ist es zum Beispiel möglich einem User zu erlauben das Programm „BSP“ auf dem Host „XYZ“ auszuführen, aber nicht auf dem Host „ABC“. Diese Datei wird über den Parameter gw/sec_info gesteuert.

Verwendung des Gateways als Proxy

Da das Gateway Ihres SAP Systems außerdem als Proxy-Server dienen kann, sollte zusätzlich die ACL-Datei prxyinfo über den Parameter gw/prxy_info aktiviert werden. Nehmen wir an, sie haben 3 SAP Systeme in Ihrem Netzwerk: SRC, TRG und PRX. Wenn SRC nicht direkt mit TRG kommunizieren kann, aber beide mit PRX wäre es möglich das Gateway des Systems PRX als Proxy-Server zu verwenden, also darüber zu kommunizieren. Damit dies nicht jedem erlaubt ist, sollte diese Eigenschaft also dringend eingeschränkt werden. Wie schon bei den anderen ACL-Dateien werden hier Regeln definiert, welche Hosts über das Gateway mit welchen Hosts kommunizieren können.

Die Syntax der verschiedenen ACL-Dateien kann je nach Release-Stand abweichen. Es ist deshalb ratsam sie vor der Aktivierung der ACL-Dateien in der entsprechenden SAP Dokumentation nachzulesen. Weitere Unterstützung bei der Verwendung von ACL-Dateien finden Sie auch im SAP Community Wiki. Haben Sie schon Erfahrungen mit der Verwendung von ACL-Dateien zum Schutz Ihres SAP Systems gemacht oder haben Sie Fragen? Ich freue mich über Ihre Kommentare!

Maria Joanna Born

Mein Name ist Maria Joanna Born und ich bin SAP Consultant für Basis und Security bei mindsquare. Das bedeutet für mich vor allem Sie als vertrauter Ansprechpartner bei der Lösung Ihrer Probleme zu unterstützen.

Sie haben Fragen? Kontaktieren Sie mich!

Kostenloses E-Book zum Thema SAP GRC als Download:

Kostenloses E-Book zum Thema SAP RFC-Schnittstellen als Download:

Jetzt das kostenlose E-Book zum Thema SAP Basis herunterladen:

Jetzt das kostenlose E-Book mit ausgewählten Fachartikeln herunterladen:




Das könnte Sie auch interessieren


Schreiben Sie einen Kommentar

Bitte füllen Sie alle mit * gekennzeichneten Felder aus. Ihre E-Mail Adresse wird nicht veröffentlicht.





Angebot anfordern
Preisliste herunterladen
Expert Session
Support