Seguridad Hana - tres escenarios

Hana se puede utilizar como base de datos en una arquitectura tradicional, otra opción es utilizar Hana como plataforma o integrar Hana como mercado de datos en un entorno de BW.

Los tres escenarios diferentes influyen directamente en el concepto de seguridad de Hana.

Primero: Base de datos en una arquitectura tradicional de 3 niveles: En este escenario, la base de datos situada bajo el servidor de aplicaciones se sustituye por Hana.

Segundo: Hana como plataforma: En este escenario, la base de datos también se sustituye por Hana, pero las aplicaciones también se proporcionan en la plataforma Hana.

Tercero: Hana como mercado de datos en un entorno de BW: En este escenario de implementación, Hana se utiliza en paralelo con una base de datos existente. Los datos pueden replicarse desde varios sistemas de origen, por ejemplo desde un sistema SAP o de terceros, a la base de datos SAP Hana.

Hana también ha introducido una nueva terminología en el tema de la seguridad. En Hana, se distingue entre roles de catálogo y roles de repositorio. Los roles de catálogo contienen objetos en tiempo de ejecución (esquemas, tablas, vistas y roles), mientras que los roles de repositorio contienen objetos en tiempo de diseño (paquetes, vistas, autorizaciones y roles).

Otra característica es que los roles de repositorio - como cualquier otro objeto en el Repositorio Hana - son transportables, mientras que este no es el caso de los roles de catálogo.

Los roles del repositorio tienen como propietario al usuario _SYS_REPO, mientras que los roles del catálogo tienen como propietario al desarrollador, lo que significa que si se elimina el usuario desarrollador, también se elimina el contenido de los roles del catálogo.

Los roles en el contenedor Hana para las autorizaciones de acceso son similares a los de Abap. Las autorizaciones (privilegios) se agrupan de forma estructurada en un rol.

Los roles en Hana son objetos y el acceso se controla en consecuencia a través de las autorizaciones de los objetos (privilegios de los objetos). Sin embargo, los roles también pueden contener otros roles además de autorizaciones.

Modelo de seguridad

El modelo de seguridad de Hana prevé varios tipos de autorización (tipos de privilegios):

Privilegios de objeto: Los privilegios de objeto se utilizan para controlar el acceso a los objetos. En Hana, por ejemplo, se trata de tablas/vistas, roles, procedimientos almacenados y sinónimos. En el caso de tablas o vistas, los "Object Privileges" podrían compararse con el objeto S_TABU_NAM en el mundo Abap.

Privilegios analíticos: El acceso al modelo de datos de Hana se controla mediante los privilegios analíticos. Mientras que los privilegios de objeto controlan el acceso al objeto (tabla, vista), los privilegios analíticos controlan el acceso a datos específicos del objeto a un nivel granular.

La contrapartida en Abap sería el objeto de autorización S_TABU_LIN, que también se puede utilizar para controlar el acceso a determinadas filas en consecuencia. Sin embargo, los Privilegios Analíticos están pensados para el acceso de sólo lectura a los modelos de información de Hana (Vista de Atributos, Vistas Analíticas, Vistas de Cálculo).

Los datos maestros se modelan en una vista de atributos de Hana y una vista de atributos puede realizar tareas similares a los universos vinculados en SAP BO. Una tabla de hechos con sus atributos asociados se modela en una vista analítica de Hana.

Una Vista Analítica puede compararse con un universo SAP-BO con exactamente una tabla de hechos. Las vistas de cálculo de Hana se utilizan para asignar múltiples hechos o uniones calculadas y permiten la conexión de múltiples tablas de hechos, comparable a los contextos de SAP BO en universos.

Privilegios del sistema: El acceso a las funciones administrativas se controla mediante los privilegios del sistema.

Paquete Privilegios: Los paquetes se utilizan en Hana para estructurar el contenido del repositorio. Los privilegios de paquete se utilizan para controlar el acceso al paquete y a todos los subpaquetes asociados. La estructura de los paquetes no está especificada por SAP y se deja en manos del cliente.

Privilegios de aplicación: El acceso a la aplicación Hana XS y a sus funciones se controla mediante los privilegios de la aplicación. Esto controla, por ejemplo, qué aplicaciones se pueden iniciar y qué funciones y pantallas se muestran.

Funciones - Buenas prácticas: Por las razones ya mencionadas, a la hora de crear roles se debe dar prioridad a los roles de repositorio. El propio SAP recomienda el uso de roles de repositorio.

Cada vez más, las aplicaciones integradas -que se entregan con Hana- también se proporcionan con roles de repositorio predefinidos. En cualquier caso, los requisitos de seguridad deben tenerse en cuenta a tiempo durante la fase de diseño y el proceso de desarrollo.

La personalización posterior puede suponer un esfuerzo considerable. Al diseñar la estructura de los paquetes, es aconsejable tener en cuenta también los controles correspondientes (privilegios de los paquetes), por ejemplo HR, No HR/Sensible, No sensible.