Berechtigungskonzept für RFC erstellen 
Bevor Sie Berechtigungen an RFC-Benutzer vergeben, sollten Sie ein Konzept erarbeiten, das den Umfang der vergebenen Berechtigungen auf ein Minimum reduziert.
Voraussetzungen
Sie verfügen mindestens über folgende Informationen, die Sie zu Erstellung des Konzepts benötigen:
Anwendung
Quellsystem (RFC Client), Mandant
Zielsysteme (RFC Server), Mandant, RFC-Benutzer
Benötigte und tatsächlich zugeordnete Berechtigungen (RFC + Anwendung)
Daten und Funktionen, die über diese Verbindung laufen
Verantwortlicher für die Sicherheit dieser Verbindung
Verweise auf Revisionsberichte
Vorgehensweise
Für die Erstellung eines Berechtigungskonzepts hat sich das folgende schrittweise Vorgehen bewährt:
Schritt 1: Analyse und Dokumentation der Kommunikationsbeziehungen innerhalb der Systemlandschaft
Schritt 2: Trace der verwendeten Berechtigungen pro User
Schritt 3: Berechtigungskonzept für zwei Benutzergruppen erstellen: Service-Benutzer und
'normale' Benutzer
Schritt 4: Verfeinerung des Konzepts für weitere Benutzergruppen
Schritt 5: Regelmäßige Überwachung der vergebenen Berechtigungen
Schritt 1: Prüfung der RFC-Destinationen und Anmeldedaten
Gehen Sie folgendermaßen vor, um einen Überblick über die Anmeldedaten Ihrer RFC-Destinationen zu erhalten:
1. Führen Sie den Report RSRFCCHK aus, um alle im System angelegten RFC-Destinationen mit den dazugehörigen Anmeldedaten (User und Passwort) aufzulisten. Dadurch erhalten Sie einen Überblick über alle in RFC-Destinationen verwendeten Benutzer.
2. Prüfen Sie den Benutzertyp der aufgelisteten Benutzer mit Hilfe der Transaktion SU01 (Benutzerverwaltung).
Schritt 2: Mehrstufige Einführung eines Berechtigungskonzeptes für S_RFC
Mit folgender Vorgehensweise können Sie die potentiell aufrufbaren RFC-Funktionen auf die tatsächlich verwendeten Funktionsgruppen beschränken:
1. Aktivieren Sie den Security Audit Log Trace (SM19/SM20) für einen längeren Zeitraum (ca. 1 Monat), um die von jedem Benutzer tatsächlich verwendeten Funktionsgruppen zu erfassen.
2. Vergeben Sie an jeden Benutzer, der die Gesamtberechtigung für S_RFC besitzt, nur die im Trace erfassten S_RFC-Rechte.
3. Verteilen Sie die Tracedaten auf normale RFC Benutzer und RFC Service Benutzer. Geben Sie jeder Gruppe nur die Berechtigungen, die benötigt werden.
Schritt 3: Zuordnung von Berechtigungen zu Benutzergruppen
Definieren Sie pro Benutzergruppe Rollen, die die entsprechenden RFC-Berechtigungen enthalten.
Schritt 4: Weitere Benutzergruppen
Verfeinern Sie das Berechtigungskonzept, indem Sie je nach Funktion weitere Gruppen definieren (Administratoren, anwendungsspezifische Benutzer, Manager etc.), denen entsprechende Rollen mit den erforderlichen RFC-Berechtigungen zugeordnet werden.
Schritt 5: Überwachung
Werten Sie die Tracedaten des Security Audit Log in regelmäßigen Abständen aus, um die Vergabe von Berechtigungen ggf. anzupassen.
Weitere Informationen
Weitere Informationen zum Erstellen von Security Audit Log Traces erhalten Sie hier: