SAPセキュリティ-システム認証の概念

SAP System Authorization Conceptは、SAPシステムをトランザクションやプログラムの実行から不正アクセスから保護することを目的としています。このアクティビティの権限を定義するまで、ユーザーがSAPシステムでトランザクションとプログラムを実行することを許可しないでください。

システムをより安全にし、強力な承認を実装するには、承認計画を見直して、会社のセキュリティ要件を満たし、セキュリティ違反がないことを確認する必要があります。

ユーザータイプ

SAPシステムの以前のリリースでは、ユーザータイプはダイアログユーザーと非ダイアログユーザーの2つのカテゴリにのみ分類され、2つのシステム間の通信には非ダイアログユーザーのみが推奨されていました。SAP 4.6Cでは、ユーザータイプは次のカテゴリに分類されています-

Dialog User−このユーザーは、個々の対話型システムアクセスに使用され、クライアントの作業のほとんどは、ダイアログユーザーを使用して実行されます。パスワードはユーザー自身が変更できます。ダイアログユーザーでは、複数のダイアログログオンを防ぐことができます。
Service User−これは、インタラクティブなシステムアクセスを実行して、製品カタログの表示などの所定のタスクを実行するために使用されます。このユーザーには複数のログインが許可されており、管理者のみがこのユーザーのパスワードを変更できます。
System User−このユーザーIDは、システム関連のほとんどのタスク（移送管理システム、ワークフローの定義、およびALE）を実行するために使用されます。これはインタラクティブなシステム依存ユーザーではなく、このユーザーには複数のログインが許可されています。
Reference User−SAPシステムへのログインに参照ユーザーは使用されません。このユーザーは、内部ユーザーに追加の承認を提供するために使用されます。SAPシステムでは、[ロール]タブに移動して、ダイアログユーザーの追加権限の参照ユーザーを指定できます。
Communication Users−このユーザータイプは、RFC接続、CPICなどの異なるシステム間でダイアログなしのログインを維持するために使用されます。SAP GUIを使用したダイアログログオンは、コミュニケーションユーザーには使用できません。ユーザータイプは、一般的なダイアログユーザーのようにパスワードを変更できます。RFC機能モジュールを使用してパスワードを変更できます。

トランザクションコード： SU01SAPシステムでのユーザー作成に使用されます。次の画面では、SU01トランザクションの下のSAPシステムのさまざまなユーザタイプを確認することができます。

ユーザーの作成

SAPシステムで異なるアクセス権を持つ1人または複数のユーザーを作成するには、以下の手順に従う必要があります。

Step 1 −トランザクションコードを使用する— SU01。

Step 2 −作成するユーザー名を入力し、次のスクリーンショットに示すように作成アイコンをクリックします。

Step 3−次のタブである[アドレス]タブに移動します。ここでは、名、姓、電話番号、メールIDなどの詳細を入力する必要があります。

Step 4 −さらに次のタブに移動します— Logon Data。[ログオンデータ]タブでユーザータイプを入力します。5つの異なるユーザータイプがあります。

Step 5 −最初のログインパスワード→新しいパスワード→繰り返しパスワードを入力します。

Step 6 −次のタブに移動します—役割−ユーザーに役割を割り当てます。

Step 7 −さらに次のタブ—プロファイル−ユーザーにプロファイルを割り当てます。

Step 8 − [保存]をクリックして確認を受け取ります。

中央ユーザー管理（CUA）

中央ユーザー管理は、中央システムを使用してSAPシステムランドスケープ内のすべてのユーザーを管理できるようにする重要な概念の1つです。このツールを使用すると、すべてのユーザーマスタレコードを1つのシステムで一元管理できます。中央ユーザー管理者を使用すると、1つのシステムランドスケープで同様のユーザーを管理する際の費用とリソースを節約できます。

サーバーの全体管理の利点は次のとおりです。

SAPランドスケープでCUAを設定すると、セントラルシステムのみを使用してユーザを登録または削除することができます。
必要なすべての役割と承認は、アクティブな形式で子システムに存在します。
すべてのユーザーは一元的に監視および管理されるため、管理タスクは、複雑なシステムランドスケープ内のすべてのユーザー管理アクティビティを簡単かつ明確に把握できます。
中央ユーザー管理者を使用すると、1つのシステムランドスケープで同様のユーザーを管理する際の費用とリソースを節約できます。

を使用して実行されるデータ交換 ALE と呼ばれる風景 Application Link Enablingこれにより、制御された方法でデータを交換できます。ALEは、SAPシステムランドスケープ内の子システムへのデータ交換のために中央ユーザー管理者によって使用されます。

複雑なランドスケープ環境では、1つのシステムをALE環境を備えたセントラルシステムとして定義し、これは双方向データ交換を使用してすべての子システムにリンクされます。ランドスケープの子システムは相互に接続されていません。

サーバーの全体管理を実装するには、次の点を考慮する必要があります。

単一/分散環境に複数のクライアントがあるSAP環境が必要です。
ユーザーを管理する管理者は、次のトランザクションコードの認証が必要です-
- SU01
- SCC4
- SCUA
- SCUM
- SM59
- BD54
- BD64
システム間に信頼できる信頼関係を作成する必要があります。
中央システムと子システムでシステムユーザーを作成する必要があります。
論理システムを作成し、対応するクライアントに論理システムを割り当てます。
モデルビューとモデルビューへのBAPIを作成します。
中央ユーザー管理者を作成し、フィールドの配布パラメーターを設定します。
会社の住所を同期する
ユーザーの転送

一元管理された環境では、最初に管理者を作成する必要があります。将来のCUAのすべての論理システムに、デフォルトのパスワードPASSを使用してユーザーSAP *としてログオンします。

トランザクションを実行する SU01 管理者の役割が割り当てられたユーザーを作成します。

論理システムを定義するには、トランザクションを使用します BD54. [新しいエントリ]をクリックして、新しい論理システムを作成します。

中央および他のSAPシステムからのものを含むすべての子システムの中央ユーザー管理用に大文字で新しい論理名を作成します。

システムを簡単に識別できるように、サーバーの全体管理システムを識別するために使用できる次の命名規則があります。

<System ID>CLNT<Client>

論理システムの有用な説明を入力します。をクリックしてエントリを保存しますSaveボタン。次に、すべての子システムで中央システムの論理システム名を作成します。

論理システムをクライアントに割り当てるには、トランザクションを使用します SCC4 変更モードに切り替えます。

ダブルクリックするか、をクリックして、論理システムに割り当てるクライアントを開きます。 Detailsボタン。クライアントは、1つの論理システムにのみ割り当てることができます。

クライアント詳細の論理システム項目に、このクライアントを割り当てる論理システム名を入力します。

Central UserAdministratorに含めるSAP環境のすべてのクライアントに対して上記の手順を実行します。設定を保存するには、をクリックしますSave 上部のボタン。

SAPで特定のプロファイルを保護する

SAPシステムのセキュリティを維持するには、重要な権限を含む特定のプロファイルを維持する必要があります。完全な権限を持つSAPシステムで保護する必要のあるさまざまなSAP権限プロファイルがあります。

SAPシステムで保護する必要のあるいくつかのプロファイルは次のとおりです。

SAP_ALL
SAP_NEW
P_BAS_ALL

SAP_ALL権限プロファイル

SAP_ALL権限プロファイルにより、ユーザーはSAPシステムのすべてのタスクを実行できます。これは、SAPシステムのすべての権限を含む複合プロファイルです。この権限を持つユーザーはSAPシステムのすべてのアクティビティを実行できるため、このプロファイルをシステムのどのユーザーにも割り当てないでください。

プロファイルを使用して1人のユーザーを管理することをお勧めします。パスワードはそのユーザーに対して十分に保護する必要があり、必要な場合にのみ使用する必要があります。

SAP_ALL権限を割り当てる代わりに、適切なユーザーに個別の権限を割り当てる必要があります。システムスーパーユーザー/システム管理では、SAP_ALL権限を割り当てる代わりに、必要な個別の権限を使用する必要があります。

SAP_NEW認証

SAP_NEW権限には、新しいリリースで必要なすべての権限が含まれています。システムのアップグレードが完了すると、このプロファイルが使用され、一部のタスクが適切に実行されます。

この認証については、次の点に注意してください。

システムアップグレードを実行するときは、これより前のリリースのSAP_NEWプロファイルを削除する必要があります。
SAP_NEWプロファイルの下で、環境内のさまざまなユーザーに個別の権限を割り当てる必要があります。
このプロファイルは、あまり長くアクティブにしないでください。
環境にSAP_NEWプロファイルの長いリストがある場合は、システムで認証ポリシーを確認する必要があることを示しています。

すべてのSAP_NEWプロファイルのリストを表示するには、ダブルクリックしてこのプロファイルを選択し、→に移動する必要があります。 Choose。

P_BAS_ALL認証

この承認により、ユーザーは他のアプリケーションからテーブルのコンテンツを表示できます。この承認には次のものが含まれますP_TABU_DIS承認。この許可により、PAユーザーは自分のグループに属していないテーブルコンテンツを見ることができます。

PFCGロールメンテナンス

PFCGロール更新を使用して、SAPシステムのロールと権限を管理することができます。PFCGでは、役割は、実際のシナリオに関連して人が実行する作業を表します。PFCGを使用すると、日常業務を実行するために人に割り当てることができる一連のトランザクションを定義できます。

ロールがPFCGトランザクションで作成されると、トランザクションを使用できます。 SU01これらの役割を個々のユーザーに割り当てます。SAPシステムのユーザーには、実際の日常業務に関連する複数のロールを割り当てることができます。

これらのロールは、SAPシステムのユーザーと権限に関連しています。実際の権限とプロファイルは、SAPシステムにオブジェクトの形式で保存されます。

PFCGロール更新を使用すると、以下の機能を実行することができます。

役割の変更と割り当て
役割の作成
複合ロールの作成
役割の転送と配布

これらの機能について詳しく説明します。

役割の変更と割り当て

トランザクションの実行：PFCG

役割のメンテナンスウィンドウに移動します。既存の役割を変更するには、提供された役割名をフィールドに入力します。

[役割のコピー]ボタンをクリックして、標準の役割をコピーします。名前空間から名前を入力します。値選択ボタンをクリックして、これをコピーする役割を選択します。

SAPが提供するロールを選択することもできます。 SAP_, ただし、デフォルトの役割は上書きされます。

役割を変更するには、をクリックします Change ロールメンテナンスのボタン。

[メニュー]タブに移動して、[メニュー]タブページのユーザーメニューを変更します。[認証]タブに移動して、そのユーザーの認証データを変更します。

エキスパートモードを使用して、[認証]の下のメニュー変更の認証を調整することもできます。[生成]ボタンをクリックして、このロールのプロファイルを生成します。

ユーザーをこの役割に割り当てるには、[役割の変更]オプションの[ユーザー]タブに移動します。ユーザーをこのロールに割り当てるには、システムに存在している必要があります。

必要に応じて、ユーザー比較を実行することもできます。[ユーザー比較]オプションをクリックします。[情報]ボタンをクリックして、単一および複合の役割と、マスターレコードを比較するためのユーザー比較オプションについて詳しく知ることもできます。

PFCGでの役割の作成

PFCGでは、単一の役割と複合の役割の両方を作成できます。以下のスクリーンショットに示すように、役割名を入力し、[単一または複合役割の作成]をクリックします。

Y_やZ_などのCustomer名前空間から選択できます。SAPが提供するロールはSAP_で始まり、SAPが提供するロールから名前を取得することはできません。

[ロールの作成]ボタンをクリックしたら、ロール定義の[メニュー]タブにトランザクション、レポート、およびWebアドレスを追加する必要があります。

[認証]タブに移動してプロファイルを生成し、[認証データの変更]オプションをクリックします。

アクティビティの選択に従って、組織レベルを入力するように求められます。ダイアログボックスに特定の値を入力すると、ロールの権限フィールドが自動的に維持されます。

参照を役割に適合させることができます。ロールの定義が完了したら、ロールを生成する必要があります。[生成]（Shift + F5）をクリックします。

この構造では、赤い信号が表示されている場合、値のない組織レベルが表示されます。[保守]タブの横にある[組織レベル]を使用して、組織レベルを入力および変更できます。

プロファイル名を入力し、チェックオプションをクリックして、生成ステップを完了します。

クリック Saveプロファイルを保存します。[ユーザー]タブに移動して、この役割をユーザーに直接割り当てることができます。同様の方法で、PFCGロールメンテナンスオプションを使用して複合ロールを作成できます。

役割の転送と配布

トランザクション– PFCGを実行し、移送するロール名を入力して、移送ロールをクリックします。

ロールトランスポートオプションに到達します。移送ロールの下に複数のオプションがあります-

複合ロールの単一ロールを移送します。
生成されたロールのプロファイルを転送します。
パーソナライズデータ。

次のダイアログボックスで、ユーザーの割り当てについて言及し、パーソナライズデータも転送する必要があります。ユーザー割り当ても転送される場合、それらはターゲットシステムのロールのユーザー割り当て全体を置き換えます。

ロールのユーザ割当をインポートできないようにシステムをロックするには、カスタマイジングテーブルにシステムを入力します。 PRGN_CUST トランザクションを使用する SM30 値フィールドを選択します USER_REL_IMPORT number。

このロールは、カスタマイジング依頼で入力されます。これは、トランザクションを使用して表示できますSE10。

カスタマイジング依頼では、権限プロファイルがロールとともに移送されます。

承認情報システムトランザクション– SUIM

権限管理では、SUIMは、SAPシステムでユーザープロファイルを検索し、それらのプロファイルをそのユーザーIDに割り当てることができる重要なツールです。SUIMは、ユーザー、ロール、プロファイル、承認、トランザクション、および比較を検索するためのオプションを提供する初期画面を提供します。

ユーザー情報システムを開くには、トランザクションを実行します。 SUIM。

ユーザー情報システムには、SAPシステムでさまざまな機能を実行するために使用できるさまざまなノードがあります。ユーザーノードと同様に、選択基準に基づいてユーザーを検索できます。ロックされたユーザーのリスト、特定のトランザクションセットにアクセスできるユーザーなどを取得できます。

各タブを展開すると、さまざまな選択基準に基づいてさまざまなレポートを生成するオプションがあります。ユーザータブを展開するときと同様に、次のオプションがあります-

複雑な選択基準でユーザーをクリックすると、複数の選択条件を同時に適用できます。次のスクリーンショットは、さまざまな選択基準を示しています。

ロールノード

同様の方法で、このユーザー情報システムの下で、役割、プロファイル、承認、その他のさまざまなオプションなどのさまざまなノードにアクセスできます。

SUIMツールを使用して役割とプロファイルを検索することもできます。SUIMでトランザクションによる検索と割り当てを実行し、それらのロールをそのユーザーIDに割り当てることにより、トランザクションのリストを特定のユーザーIDのセットに割り当てることができます。

ユーザー情報システムを使用すると、SAPシステムでさまざまな検索を実行できます。さまざまな選択基準を入力し、ユーザー、プロファイル、役割、トランザクション、およびその他のさまざまな基準に基づいてレポートをプルできます。

RSUSR002 −複雑な選択基準によるユーザー。