{"id":2934,"date":"2021-06-08T11:13:24","date_gmt":"2021-06-08T09:13:24","guid":{"rendered":"https:\/\/sast-solutions.de\/blog-de\/?p=2934"},"modified":"2021-06-21T13:58:28","modified_gmt":"2021-06-21T11:58:28","slug":"trusted-system-beziehungen-vereinfachen-anmeldeverfahren-rfc-kommunikation-wie-sinnvoll-und-sicher","status":"publish","type":"post","link":"https:\/\/sast-solutions.de\/blog-de\/2021\/06\/08\/trusted-system-beziehungen-vereinfachen-anmeldeverfahren-rfc-kommunikation-wie-sinnvoll-und-sicher\/","title":{"rendered":"Trusted-System-Beziehungen vereinfachen das Anmeldeverfahren f\u00fcr die RFC-Kommunikation \u2013 doch wie sinnvoll und sicher ist deren Nutzung?"},"content":{"rendered":"

\"SASTDer RFC (Remote Function Call) ist die zentrale SAP-Technologie zum Austausch von Daten zwischen SAP-Systemen. Neben den Standard RFC-Verbindungen besteht die M\u00f6glichkeit, auch sogenannte Vertrauensbeziehungen einzurichten. In unserem Technik-Tipp erfahren Sie, wann Trusted-System-Beziehungen eingesetzt werden sollten und wie sie sich sicher nutzen lassen.<\/p>\n

<\/p>\n

 <\/p>\n

Aufbau von Trusted-System-Beziehungen ohne Passwort<\/strong><\/h2>\n

Im Unterschied zur Standard-Verbindung ist bei der Trusted-System-Verbindung keine Passworteingabe erforderlich. Das Anmeldeverfahren f\u00fcr die RFC-Kommunikation wird hierdurch erleichtert. Eine solche Verbindung l\u00e4sst sich aufbauen, wenn das rufende System dem gerufenen System zuvor als „Trusted-System“ bekannt gegeben und das gerufene System gleichzeitig als „Trusting-System“ registriert wurde. Beide SAP-Systeme sollten dabei auf einem Sicherheitslevel stehen.<\/p>\n

Bei einem Zugriff pr\u00fcft das vertrauende SAP-System (Trusting-System), ob der Zugriff von einem vertrauten SAP-System (Trusted-System) aus erfolgt.<\/p>\n

\"SAST<\/p>\n

Mit dem Berechtigungsobjekt S_RFCACL k\u00f6nnen Sie im Zielsystem steuern, welche Benutzer Aufrufe ohne Passwortangabe durchf\u00fchren d\u00fcrfen. Hier besteht die M\u00f6glichkeit nach SAP-System-ID (SAPSID), Mandant und aufrufender Transaktion zu unterscheiden. Die Anmeldedaten eines Benutzers sind dann mit Hilfe des Funktionsbausteins AUTHORITY_CHECK_TRUSTED_SYSTEM \u00fcberpr\u00fcfbar.<\/p>\n

Anders als die Standard RFC-Verbindungen werden die Trusted RFC-Verbindungen nicht direkt \u00fcber die Transaktion SM59 angelegt, sondern \u00fcber die Transaktion SMT1 getestet und gepflegt. Beim Anlegen einer Verbindung zu einem Trusting-System bekommen Sie alle ben\u00f6tigten Informationen wie Name des Anwendungsservers und Sicherheitsschl\u00fcssels automatisch bereitgestellt. Die Transaktion SMT2 erm\u00f6glicht Ihnen, sich die Trusting-Systeme anzeigen zu lassen.<\/p>\n

Was Sie bei der Nutzung von Trusted RFC-Verbindungen beachten sollten<\/strong><\/h2>\n
    \n
  • Setzten Sie Trusted-System-Beziehungen nur nach gr\u00fcndlicher Analyse und Risikobewertung ein.<\/li>\n
  • Bei der Anbindung von SAP-Systemen an einen Solution Manager werden aus Performancegr\u00fcnden standardm\u00e4\u00dfig Trusted RFC-Verbindungen genutzt. Pr\u00fcfen Sie, ob dieser Verbindungstyp, gerade bei Systemen mit unternehmenskritischen Daten, nicht besser durch eine Standard RFC-Verbindung mit System-User und Passwort ausgetauscht werden sollte.<\/li>\n
  • Achten Sie darauf, dass f\u00fcr das Berechtigungsobjekt S_RFCACL keine Einstellung mit „*“ vorhanden ist.<\/li>\n
  • F\u00fcr RFC-Verbindungen zu vertrauenden SAP-Systemen gilt: Speichern Sie keine Benutzerinformationen, da sonst im vertrauenden System nicht mehr nach den aufrufenden Benutzern unterschieden werden kann.<\/li>\n
  • Setzen Sie bei RFC-Verbindungen nur technische Nutzer oder Systemnutzer ein, die ausschlie\u00dflich \u00fcber die f\u00fcr diesen Zweck erforderlichen Berechtigungen verf\u00fcgen.<\/li>\n
  • Verwenden Sie keine Trusted-Verbindungen von niedrig klassifizierten zu h\u00f6her klassifizierten Systemen.<\/li>\n<\/ul>\n

    Wie Sie die Absicherung der RFC-Kommunikation gew\u00e4hrleisten<\/strong><\/h2>\n
      \n
    • Wenn der RFC-Zugriff \u00fcber eine Trusted-System-Beziehung erfolgt, achten Sie darauf, im Berechtigungsobjekt S_RFCACL zuvor genau festzulegen, welcher Benutzer im Zielsystem Funktionsaufrufe ohne Angabe des Passworts durchf\u00fchren darf.<\/li>\n
    • Um die RFC-Sicherheit weiter zu erh\u00f6hen, raten wir dazu das SAP-Gateway zu pr\u00fcfen und zu h\u00e4rten, insbesondere die ACL-Dateien secinfo, reginfo und prxyinfo. Weitere Informationen hierzu erhalten Sie in unserem Blogbeitrag https:\/\/sast-solutions.de\/blog-de\/2019\/02\/01\/schritt-fuer-schritt-sap-gateway-sichern\/<\/a><\/li>\n
    • Zudem empfehlen wir Ihnen den Einsatz von Secure Network Communications (SNC) zum Schutz der Datenkommunikation per RFC-Protokoll.<\/li>\n<\/ul>\n

      Abschlie\u00dfend geben wir Ihnen noch einen weiteren Techniktipp mit auf den Weg:<\/p>\n

      Die Tabellen RFCDES, RFCTRUST und RFCSYSACL sind standardm\u00e4\u00dfig zur Protokollierung vorgesehen. Bei aktivierter Tabellenprotokollierung \u00fcber den Systemparameter rec\/client=1 k\u00f6nnen Sie \u00fcber den Report RSTBHIST oder RSVTPROT (oder \u00fcber die Transaktion SCU3) nachvollziehen, welche \u00c4nderungen an den Einstellungen der Vertrauensbeziehungen erfolgt sind.<\/p>\n

      Wenn Sie dar\u00fcber hinaus noch Informationen zur Nutzung von Trusted-Systembeziehungen oder Unterst\u00fctzung bei der Absicherung von Trusted RFC-Verbindungen ben\u00f6tigen, besuchen Sie unsere Website<\/a> oder schreiben Sie uns an<\/a>.<\/p>\n

      \"Matthias
      \nMatthias Anst\u00f6tz (SAP Security Consultant, SAST SOLUTIONS)<\/strong><\/p>\n

       <\/p>\n

      Weitere Beitr\u00e4ge zum Thema:<\/h2>\n

      RFC-Schnittstellen in SAP-Landschaften: ein \u00dcberblick<\/a><\/p><\/blockquote>\n