Verbindungen

Wie man einen saprouter als eigenes System oder eigene Instanz installieren kann

Auf den saprouter selbst möchte ich hier gar nicht weiter eingehen. Seine Funktionen etc. sind unter help.sap.com ganz gut beschrieben. Da ich ein Freund von Automatisierung und möglichst einfachen Administrationslösungen bin habe ich mich dazu entschlossen den saprouter nicht etwa als Unixdaemon laufen zu lassen oder irgendwie per Script zu starten, sondern das Framework der SAP mit SAP Kernel dafür zu nutzen.

Die Vorteile dieser Lösung liegen für mich in dem Einheitlichen Starten und Stoppen des Systems und sogar der Möglichkeit der Prozessüberwachung per sapcontrol. Wenn jemand ein reguläres SAP System per startsap oder stopsap stoppen kann, so kann er auch den saprouter in dieser Lösung mit genau dem gleichen Vorgehen starten und stoppen. Die Anmeldung als <sid>adm ist analog zu einem SAP System. Der Rest ist ebenfalls analog zu betrachten.

Was benötigt man für die Umsetzung? Etwa 3-4 GB Plattenplatz, das SAP Standard Filesystem Layout mit /sapmnt sowie /usr/sap, einen <sid>adm mit Gruppe sapsys und als Software ein zur Hardware passendes SAP Kernel Exe Patch SAR Archive (SAPEXE_*.SAR) als Unicode Ausführung. Es reicht aus den Plattenplatz komplett unter /sapmnt/ zur Verfügung zu stellen wenn man keine zwei Filesysteme (zusätzliches /usr/sap/) einrichten möchte kann man hier auch mit Links arbeiten.
[Read more…]

SAP Gateway Security mittels secinfo und reginfo

Das SAP Systeme laut Sicherheitsleitfaden besonderer Schutzvorkehrungen bedürfen ist schon lange kein Geheimnis mehr. In der Regel stellt man die Systeme in eine eigene DMZ und sichert so schon mal die vielen Netzwerk Ports der Systeme ab und verhindert direkte Datenbankverbindungen, die nicht erwünscht sind. Soweit, so gut. Gegebenenfalls wird noch ein SAP Router als zentraler Zugangspunkt für Verbindungen eingerichtet. Den Rest erledigt man über die SAP hinterlegten Berechtigungsabfragen.

Sollte reichen wird der ein oder andere denken. Stimmt, reicht ja auch. Wenn da nicht das SAP Gateway einer jeden SAP Instanz wäre. Ist doch nicht so schlimm, ich habe doch extra eine DMZ eingerichtet, an das Gateway kommt man von außen nicht direkt. Und wie sieht es mit dem SAP Router aus? Sicher, dass nicht doch irgendwo eine unglückliche Portrange freigeschaltet ist? Und selbst wenn – solange der entsprechende Eindringling kein passenden ABAP User samt Passwort hat kann ja nichts passieren wird man jetzt argumentieren.

Leider stimmt das nicht ganz. [Read more…]