ERP-Systeme in das Identity und Access Management integrieren Best Practices für SAP S/4 HANA und IAM-Programme

Anbieter zum Thema

One Identity GmbH

sysob IT-Distribution GmbH & Co. KG

ERP-Systeme wie SAP S/4 HANA sind essenziell für den Geschäftsbetrieb und verwalten kritische Bereiche und Informationen. Ein IAM-Programm ermöglicht die unternehmensweite Verwaltung und Kontrolle der wachsenden Zahl an Identitäten, was sicheren Zugriff auf diese Informationen gewährleistet. Daher muss ein ERP-System in ein umfassendes IAM-Programm integriert werden.

In vielen Unternehmen ist ein ERP-System (Enterprise Resource Planning) eine der wichtigsten Softwarelösungen für den Geschäftsbetrieb. ERP-Lösungen umfassen wichtige Geschäftsprozesse wie etwa den Bereich Finanzen, das Personalwesen, die Fertigungssteuerung, das Lieferkettenmanagement, Dienstleistungen und das Beschaffungswesen. Ein ERP-System ist für den Betrieb eines Unternehmens von zentraler Bedeutung. Deshalb ist es so wichtig ERP-Systeme ordnungsgemäß in ein IAM- Sicherheitsprogramm zu integrieren. Das dient zum einen der Rationalisierung, sorgt zum anderen aber auch dafür, dass Sicherheitsmaßnahmen eingerichtet und unternehmensweit aufrechterhalten werden. Mit der neuesten Version des SAP Business Suite 4 SAP HANA (SAP S/4HANA) bietet SAP eine kostengünstige, effiziente, sichere und zuverlässige Plattform für Geschäftslösungen an. Die neueste Version der SAP ERP Lösung SAP S/4HANA basiert auf der In-Memory-Datenbank SAP HANA und bietet Kunden sowohl lokal, in einem hybriden Setup als auch in der Cloud eine strategische Unterstützung ihrer Geschäftslösungen an.

Schließlich werden alle zentralen Bereiche einer Unternehmung über eben dieses ERP-System gesteuert. Sicherheit verlangt dort ein besonderes Augenmerk. Alle Personen beziehungsweise Identitäten, die Zugriff auf diese kritischen Systeme haben, müssen dementsprechend geschützt werden. Heutzutage ist die Identität längst der neue Perimeter. Unseren Untersuchungen zufolge sind viele Firmen aber nur unzureichend darauf vorbereitet, mit der ständig wachsenden Zahl digitaler Identitäten umzugehen.

Ein Identity and Access Management (IAM)-Programm bildet das Rahmenwerk aus Geschäftsprozessen, Richtlinien und Technologien und steuert als solches die Verwaltung digitaler Identitäten. Diese Identitäten können Mitarbeitern, Auftragnehmern, Geschäftspartnern und sogar Komponenten für die Automatisierung von geschäftlichen Prozessen wie etwa Diensten für künstliche Intelligenz (KI) zugeordnet werden.

Ein IAM-Programm bietet die Möglichkeit, all diese Identitäten unternehmensweit zu verwalten und zu überwachen. Dies gewährleistet einen sicheren Identitätszugriff auf kritische Informationen innerhalb der gesamten Organisation.

Wildwuchs bei Identitäten eindämmen – im Sinne der Sicherheit

Obwohl der Bereich Identitätssicherheit schon seit Jahrzehnten existiert, besteht bei vielen Firmen noch Optimierungspotenzial bei der Herangehensweise. Aktuell gibt die Hälfte aller Unternehmen an, mehr als 25 verschiedene Systeme zur Verwaltung von Zugriffsberechtigungen zu verwenden. Schlimmer noch: Mehr als jeder fünfte Befragte räumt ein, sogar mehr als 100 (!) Systeme im Einsatz zu haben. Bei dieser fragmentierten Herangehensweise arbeiten Unternehmen in den typischen Silos, und schaffen dadurch völlig neue Bedrohungsvektoren.

Identitäten haben Zugriff auf kritische Ressourcen und Komponenten. Die Betrachtung von Identitäten und Zugriffsberechtigungen zieht sich wie ein roter Faden durch die Cyberangriffe der letzten Jahre. Ein Weg, potenziellen identitätsbasierten Bedrohungen entgegenzuwirken, besteht darin, die Identitätssicherheit ganzheitlich zu betrachten. In die Verwaltung durch ein ganzheitliches IAM-Programm gehört zwangläufig eine so zentrale Komponente wie das ERP-System.

ERP-Systeme und IAM-Programme sind für die Sicherheitslage eines Unternehmens gleichermaßen wichtig. Deshalb wollen wir einen genaueren Blick darauf werfen, welche Rolle ein ERP-System wie S/4 HANA in einem IAM-Programm spielen kann.

Anforderungen an die Identitätssicherheit erfüllen

Um ein effektives und ganzheitliches IAM-Programm zu erstellen, muss man zunächst sämtliche Aspekte der Identitätssicherheit bewerten. Das gewährleistet zwei Dinge: zum einen, dass keine Sicherheitslücken bestehen, zum anderen, dass alle implementierten Identitätssicherheitsfunktionen das Gesamtprogramm ergänzen.

Beispielsweise sollte die Erstellung der Identität einer Person nahtlos erfolgen. Und zwar auf Basis der Informationen, die das jeweilige ERP-System bereitstellt, einschließlich der zugehörigen Berechtigungen bis hin zum detaillierten Zugriff auf andere nachgelagerte Lösungen, auf welche die betreffende Identität möglicherweise Zugriff benötigt. Diese Personen können interne Mitarbeiter, Auftragnehmer oder Geschäftspartner sein.

Der implementierte IAM-Lösungssatz sollte nicht nur Funktionen für die Identitätsverwaltung und -administration, das Zugriffsmanagement und die Verwaltung privilegierter Konten unterstützen, sondern auch andere sicherheitsrelevante Technologien. Dazu zählen beispielsweise SASE (Secure Access Service Edge) und CIEM (Cloud Infrastructure Entitlement Management).

Kompatibilität sicherstellen

Die S/4 HANA-Lösung von SAP verfügt über ein umfassendes und komplexes Sicherheitsmodell. Sie nutzt in den meisten Fällen die mit der ABAP-Plattform bereitgestellten Mechanismen für die Benutzerverwaltung und Authentifizierung, insbesondere den ABAP-Applikationsserver und die SAP HANA-Plattform. Vor diesem Hintergrund sollten Sie bei der Integration von S/4 HANA in ein IAM-Programm die Sicherheitsrichtlinien und Empfehlungen für die Benutzerverwaltung und -authentifizierung im „Application Server for ABAP Security Guide“, dem „Security Guide for SAP S/4HANA“ in der aktuellen Fassung und in der SAP HANA Plattform-Dokumentation als primäre Ausgangsreferenzen verwenden. Ein SAP-zertifizierter ABAP-Konnektor als Teil des IAM-Programms ist insbesondere für Lifecycle-Funktionen von entscheidender Bedeutung. Nur so kann man eine vollständige Kompatibilität mit der ABAP-Plattform gewährleisten.

Einen ganzheitlichen Ansatz verfolgen

SAP hat kürzlich eine Referenzarchitektur veröffentlicht. Diese liefert ein genaues Bild von der Vision des Unternehmens, nicht nur was die unterstützten SAP-Cloud-, On-Premises- und Hybrid-Cloud-Produkte anbelangt, sondern auch für die Integration von Identitätssicherheitslösungen von Drittanbietern in diese Architektur.

Die Unterstützung von SAP S/4 HANA über ein zertifiziertes ABAP BAPI ist eine Kernkomponente. Die Fähigkeiten einer IAM-Lösung sollten aber jede SAP-Lösung einbeziehen, die derzeit im Unternehmen eingesetzt wird und ABAP oder SCIM unterstützt. Einschließlich des bald auslaufenden SAP IDM. Dies bedeutet, dass ein Unternehmen SAP-Produkte in sein IAM-Programm integrieren kann, ohne das bereits definierte Sicherheitsmodell zu ändern.

Im Idealfall steht Firmen ein umfassendes IAM-Lösungspaket zur Verfügung. Das vereint Funktionen wie das Lebenszyklusmanagement von Identitäten, die Identitäts-Governance, Rezertifizierungen und Aufgabentrennung (SoD), Anwendungs-Governance, verhaltensgesteuerte Governance, Compliance- und Audit-Berichte, Self-Service-Zugang, privilegierte Zugriffe und weitere mehr.

Im folgenden Beispiel wurde das S/4 HANA-System mit den entsprechenden Clients, Benutzern und Attributen verbunden, und das Datenmodell anschließend mit einer IGA-Lösung synchronisiert. Im Idealfall kann man Konten und Zugriffsberechtigungen von einer einzigen Instanz aus verwalten. Mitarbeiter haben meist als nur ein Benutzerkonto. Ein umfassender Ansatz gestattet es, diese Benutzerkonten zu verwalten und diese Konten mit einer spezifischen Identität zu assoziieren.

So erhält man eine vollständige, geschäftsorientierte Sicht auf das komplette Unternehmen sowie IT-relevante Daten aus den verwalteten SAP- und Nicht-SAP-Systemen.

Identity Manager bietet an dieser Stelle eine integrierte Verwaltung von SAP, unabhängig von der Komplexität der SAP-Infrastruktur. Je komplexer ein SAP-System ist, desto mehr profitiert ein Unternehmen von diesem Ansatz.

Das Lebenszyklusmanagement steuert über definierte Regelwerke und Policies die Benutzerkonten in den geschäftlichen Anwendungen, in diesem Fall SAP S/4HANA.

Durch sogenannte „Kontendefinitionen“ wird im One Identity Manager das Regelwerk für die Anlage eines Benutzerkontos im Zielsystem gesteuert. In diesen Kontendefinitionen werden beispielsweise Parameter festgelegt, welche die Anlage, Änderung und das Löschen der Konten beeinflussen.

SAP-Profile und Rollen (und die dazugehörigen Profile) können dann über verschiedene Wege den Benutzerkonten zugewiesen werden. Das können Berechtigungen sein, die bereits im SAP S/4HANA oder im One Identity Manager durch Administratoren vergeben wurden (direkte Zuweisung) oder auch solche, die über „Strukturen“ (wie die einer Abteilung, eines Standorts, einer Kostenstelle oder von Rollen etc.) zugewiesen beziehungsweise vererbt werden. Weiterhin Berechtigungen, die über das Self-Service Portal durch die Benutzer selbst beantragt wurden.

Die berechtigten Personengruppen (Administratoren, Vorgesetzte, Auditoren, die Compliance-Abteilung, etc.) können sämtliche Konten einer Identität und die mit dem Konto verbundenen Berechtigungen über eine grafische Oberfläche einfach einsehen.

Zertifizierte Konnektoren für hybride Umgebungen und umfassende Unterstützung für das SAP-Ökosystem

Um zuverlässige und skalierbare IAM-Funktionen für Hunderte von Systemen aufzubauen, ist zusätzlich zu diesen Kernfunktionen eine große Auswahl zertifizierter Konnektoren und Konnektor-Methoden hilfreich. Etwa für SAP-Kunden, die bereits in einer hybriden Welt arbeiten und RISE verwenden, um Dienste in die Cloud zu migrieren oder die klassischen On-Premises-Produkte von SAP nutzen.

One Identity unterstützt beispielsweise auch SAP IAG und integriert Anwendungen direkt auf der SAP Business Technology Plattform (SAP BTP). Kunden, die SAP SuccessFactors, SAP Concur, SAP Ariba und andere Cloud-gehostete Lösungen einsetzen, können diese auch innerhalb der IGA-Lösung verwalten.

Fazit

Ein IAM-Programm ist ein sich ständig weiterentwickelnder Satz von Prozessen für die Identitätssicherheit, der Summe menschlicher Fähigkeiten und Technologien. Unternehmen entwickeln sich weiter, Technologien verändern sich. Das IAM-Programm sollte das Potenzial haben, sich entsprechend mit entwickeln zu können.

Ein Erfolgsfaktor ist die Möglichkeit, wichtige Geschäftslösungen wie SAP S/4 HANA in das Programm zu integrieren. Integrierte Lösungen für die Identitätssicherheit innerhalb der Unternehmensumgebung decken Identity Governance und Administration (IGA), Access Management (AM) und Privileged Access Management (PAM) ab und unterstützen die Verzeichnisverwaltung vor Ort und in der Cloud (Active Directory und IDPs wie OneLogin oder Entra ID). In Kombination bilden sie die Kernfunktionen für ein robustes und leistungsfähiges IAM-Programm.

Kunden bekommen die Möglichkeit, SAP-Benutzerkonten für ihre Mitarbeiter automatisiert, regel- und Policy-basierend oder über einen Self-Service Request erstellen zu lassen. Verlässt ein Mitarbeiter das Unternehmen, lassen sich diese Konten entsprechend deaktivieren beziehungsweise löschen.

Änderungen, die für das SAP-System relevant sind (Namensänderungen, Standortänderungen, Änderungen innerhalb der Organisation, etc.), werden sie an das System weitergegeben. Kurz gesagt: das Lebenszyklus-Management für die Mitarbeitenden wird auf die SAP-Welt ausgeweitet. Durch die Eingliederung in ein einheitliches IAM- Programm lässt sich die Verwaltung deutlich vereinfachen.

Die Autoren

Robert Kraczek ist Global IAM Strategist,
Cengiz Tuztas ist EMEA Presales Manager, beide One Identity.

(ID:50209479)