SAP – Gateway-beveiligingsbestanden secinfo en reginfo

Gateway-beveiligingsbestanden secinfo en reginfo

Gebruik

Het beveiligingsbestand secinfo wordt gebruikt om het ongeoorloofd starten van externe programma’s te voorkomen. Het bestand reginfo controleert de registratie van externe programma’s in de gateway.

U kunt het pad naar het bestand definiëren met de profielparameters gw/sec_info en gw/reg_info. De standaardwaarde is:

gw/sec_info = $(DIR_DATA)/secinfo

gw/reg_info = $(DIR_DATA)/reginfo

Wanneer de gateway wordt gestart, leest deze beide beveiligingsbestanden opnieuw in. U kunt dynamische wijzigingen aanbrengen door vermeldingen in het reginfo-bestand te wijzigen, toe te voegen of te verwijderen. Vervolgens kan het bestand onmiddellijk worden geactiveerd door de beveiligingsbestanden te herladen.

Let op: Als een van de bestanden geen enkele vermelding bevat of als de syntaxis onjuist is, stopt de gateway.

Onderhoud van de beveiligingsbestanden

U kunt de bestanden op de volgende manier bewerken:

  1. Gebruik de gateway-monitor in AS ABAP (transactie SMGW). Deze procedure wordt aanbevolen door SAP en wordt beschreven in “Configuratie van beveiligingsparameters voor externe programma’s”.

  2. Gebruik een editor en wijzig de bestanden op het niveau van het besturingssysteem. U moet de syntaxis van de bestanden, die hieronder wordt beschreven, precies naleven.

Er zijn twee verschillende versies van de syntaxis voor beide bestanden: syntaxis versie 1 staat het niet toe om het starten of registreren van programma’s expliciet te verbieden. Daarom kunt u alternatief werken met syntaxis versie 2, die conform is aan de permissietabel voor routering van de SAProuter. Als u deze syntaxis wilt gebruiken, moet het gehele bestand dienovereenkomstig gestructureerd zijn en moet de eerste regel de vermelding #VERSION=2 bevatten (precies in dit formaat geschreven).

Zodra de wijziging is voltooid, kunt u de bestanden herladen zonder de gateway opnieuw te hoeven starten. Kies hiervoor in de gateway-monitor (transactie SMGW): Springen > Expertfuncties > Externe beveiliging > Opnieuw inlezen.

Structuur

secinfo

De volgende syntaxis is geldig voor het secinfo-bestand.

Versie 1

Een regel in het bestand heeft het volgende formaat:

TP=tp, USER=user, HOST=host, [USER-HOST=user_host]

Deze volgorde is niet verplicht. Als scheidingsteken kunt u komma’s of spaties gebruiken. Als de naam TP zelf spaties bevat, moet u in plaats daarvan komma’s gebruiken. Gebruik een regel van dit formaat om de gebruiker user toe te staan het programma tp te starten op de host host. U kunt deze autorisatiecontrole versterken door de optionele parameter USER-HOST te definiëren. De waarde internal voor de host-opties (HOST en USER-HOST) is van toepassing op alle hosts van het SAP-systeem. De gateway vervangt deze intern door de lijst van alle applicatieservers van het SAP-systeem.

Let op: Beide opties zijn hoofdlettergevoelig. Voor de optie HOST geldt bijvoorbeeld:

Correct: HOST

Onjuist: Host, host, hOst

Voorbeelden:

  • USER=mueller, HOST=hw1414, TP=test : De gebruiker mueller kan het testprogramma uitvoeren op host hw1414.

  • USER=hugo, USER-HOST=hw1234, HOST=hw1414, TP=prog : De gebruiker hugo is gemachtigd om het programma prog uit te voeren op host hw1414, op voorwaarde dat hij verbinding heeft gemaakt met de gateway vanaf host hw1234.

Als de gebruiker de CMSCSU-aanroep heeft gebruikt om de beveiligingsgebruiker te definiëren, wordt deze ook gebruikt voor de verificatie. Het teken * kan worden gebruikt als generieke specificatie (wildcard) voor elk van de parameters. Als USER-HOST niet is gespecificeerd, wordt de waarde * geaccepteerd.

Versie 2

Het formaat van de eerste regel is #VERSION=2, alle volgende regels zijn als volgt gestructureerd:

P|D TP=tp, USER=user, HOST=host, [USER-HOST=user_host]

Hier heeft de regel die begint met P of D, gevolgd door een spatie of een tab, de volgende betekenis: P betekent dat het programma mag worden gestart (identiek aan een regel met de oude syntaxis). D voorkomt het starten van dit programma. De volgorde van de resterende vermeldingen is niet van belang.

Voorbeeld van een secinfo-bestand in nieuwe syntaxis:

#VERSION=2

D HOST=* USER=* TP=/bin/sap/cpict4

P HOST=* USER=* TP=/bin/sap/cpict*

P TP=hugo HOST=local USER=*

P TP=* USER=* USER-HOST=internal HOST=internal

Dit bestand betekent:

  1. Het programma cpict4 mag niet worden gestart.

  2. Alle andere programma’s die beginnen met cpict mogen worden gestart (op elke host en door elke gebruiker).

  3. Het programma hugo mag worden gestart op elke lokale host en door elke gebruiker.

  4. Alle programma’s gestart door hosts binnen het SAP-systeem kunnen op alle hosts van het systeem worden gestart.

reginfo

Sommige programma’s kunnen toestemming krijgen om zich op de gateway te registreren vanaf een externe host door de relevante informatie op te geven. U kunt ook de toegang tot geregistreerde programma’s controleren en geregistreerde programma’s annuleren.

Zodra een programma zich in de gateway heeft geregistreerd, worden de attributen van de opgehaalde vermelding (specifiek ACCESS) doorgegeven aan het geregistreerde programma. Dit betekent dat als het bestand wordt gewijzigd en de nieuwe vermeldingen onmiddellijk worden geactiveerd, de reeds verbonden servers nog steeds de oude attributen hebben. Om de nieuwe parameters ook aan de geregistreerde programma’s toe te wijzen (als ze zijn gewijzigd), moeten de servers eerst worden afgemeld en vervolgens opnieuw worden geregistreerd.

Succesvolle en geweigerde registraties, evenals aanroepen van geregistreerde programma’s, kunnen worden gecontroleerd met behulp van Gateway-logboekregistratie (Gateway Logging) met de indicator S. Alle foutregels worden in het tracebestand dev_rd geplaatst en worden niet gelezen.

Het bestand reginfo heeft de volgende syntaxis. Er zijn twee verschillende syntaxisversies die u kunt gebruiken (niet gelijktijdig).

Versie 1

Een regel in het bestand heeft het volgende formaat:

TP=tp [HOST=hostname,…] [NO=n] [ACCESS=hostname,…] [CANCEL=hostname,…]

De waarde internal voor de host-opties (HOST en USER-HOST) is van toepassing op alle hosts van het SAP-systeem. De gateway vervangt deze intern door de lijst van alle applicatieservers van het SAP-systeem.

Let op: Beide opties zijn hoofdlettergevoelig. Voor de optie HOST geldt bijvoorbeeld:

Correct: HOST

Onjuist: Host, host, hOst

Commentaarregels beginnen met #. De afzonderlijke opties kunnen de volgende waarden hebben:

  • TP-naam (TP=): Maximaal 64 tekens, spaties niet toegestaan. De wildcard * staat voor elk aantal tekens; de vermelding * betekent dus geen beperking, fo* staat voor alle namen die beginnen met fo; foo staat precies voor de naam foo.

  • Hostnaam (HOST=, ACCESS= en/of CANCEL=): De wildcard * staat voor elke hostnaam, .sap.com voor een domein, sapprod voor de host sapprod. Als de optie ontbreekt, is dit gelijk aan HOST=*.

  • IP-adressen (HOST=, ACCESS= en/of CANCEL=): U kunt IP-adressen gebruiken in plaats van hostnamen. Voorbeelden van geldige adressen:

    • 1.2.3.4

    • A:B:C:D:E:F:1:2

    • A:B:C:D:E:F:1.2.3.4

    • A:B

    • Standaard adresvoorvoegsels: 192.1.1.3/12 of A:B:C:D:E:1:2/60

    • Oude SAProuter wildcards: 192.1.1.* of 1.1.101xxxxx

  • Aantal (NO=): Getal tussen 0 en 65535. Als de TP-naam is opgegeven zonder wildcards, kunt u hier het aantal toegestane registraties opgeven.

    • Voorbeeld: TP=Foo NO=1 betekent dat slechts één programma met de naam foo zich mag registreren. Alle andere pogingen worden geweigerd. Als dit ontbreekt, mag elk aantal servers met dezelfde ID verbinding maken.

  • ACCESS-lijst: Om ook de toegang aan de clientzijde te controleren, kunt u voor elke vermelding een toegangslijst definiëren. Dit is een lijst met hostnamen die aan de bovenstaande regels moeten voldoen. Als er geen toegangslijst is opgegeven, kan het programma vanaf elke client worden gebruikt. De lokale gateway waar het programma is geregistreerd, heeft altijd toegang. Belangrijk is dat de controle wordt uitgevoerd op basis van hosts en niet op gebruikersniveau.

    • Voorbeeld: TP=foo ACCESS=.sap.com. Programma foo mag alleen worden gebruikt door hosts uit het domein .sap.com.

  • CANCEL-lijst: Om het annuleren van geregistreerde programma’s te controleren. Als er geen lijst is opgegeven, kan elke client het programma annuleren. De lokale gateway kan dit altijd. In SMGW: Springen > Verbonden clients > Selecteer programma > Springen > Verbonden clients > Client verwijderen.

Tabel met voorbeelden van geldige vermeldingen:

Vermelding Betekenis
TP=* HOST=* Alle registraties toegestaan
TP=foo* HOST=* Registraties beginnend met foo (en niet f of fo) zijn toegestaan
TP=foo* Alle registraties beginnend met foo (ontbrekende HOST wordt geëvalueerd als *)
TP=* HOST=.sap.com Alle registraties uit het domein .sap.com zijn toegestaan
TP=* ACCESS=.sap.com Alleen clients uit het domein .sap.com mogen communiceren met dit programma
TP=* ACCESS=local Alleen clients van de lokale applicatieserver mogen communiceren

Versie 2

Het formaat van de eerste regel is #VERSION=2, alle volgende regels zijn als volgt gestructureerd:

P|D TP=tp [HOST=hostname,…] [NO=n] [ACCESS=hostname,…] [CANCEL=hostname,…]

P betekent dat het programma mag worden geregistreerd. D voorkomt de registratie op de gateway.

Voorbeeld Versie 2:

#VERSION=2

P TP=cpict4 HOST=10.18.210.140

D TP=* HOST=10.18.210.140

P TP=cpict2 ACCESS=ld8060,localhost CANCEL=ld8060,localhost

P TP=cpict4

P TP=* USER=* HOST=internal

Dit bestand betekent:

  1. Programma cpict4 mag worden geregistreerd als het afkomstig is van host 10.18.210.140.

  2. Alle andere programma’s van host 10.18.210.140 mogen zich niet registreren.

  3. Programma cpict2 mag worden geregistreerd, maar alleen worden uitgevoerd/gestopt op de lokale host of ld8060.

  4. Programma cpict4 mag door elke host worden geregistreerd.

  5. Programma’s binnen het systeem mogen zich registreren.