Безопасность SAP - Краткое руководство

В распределенной среде SAP всегда необходимо защищать важную информацию и данные от несанкционированного доступа. Человеческие ошибки, неправильное предоставление доступа не должно допускать несанкционированного доступа к какой-либо системе, и существует необходимость поддерживать и пересматривать политики профиля и политики безопасности системы в вашей среде SAP.

Чтобы сделать систему безопасной, вы должны хорошо понимать профили доступа пользователей, политики паролей, методы шифрования данных и авторизации, которые будут использоваться в системе. Вам следует регулярно проверятьSAP System Landscape и отслеживать все изменения, которые вносятся в конфигурацию и профили доступа.

Стандартные суперпользователи должны быть хорошо защищены, а параметры и значения профиля пользователя должны быть тщательно настроены в соответствии с требованиями безопасности системы.

При общении по сети вы должны понимать, что топология сети и сетевые службы должны быть проверены и включены после значительных проверок. Данные в сети должны быть хорошо защищены с помощью закрытых ключей.

Почему требуется безопасность?

Для доступа к информации в распределенной среде существует вероятность утечки критически важной информации и данных в результате несанкционированного доступа, а безопасность системы нарушается либо из-за - отсутствия политик паролей, либо из-за плохого обслуживания стандартных суперпользователей, либо по любым другим причинам.

Вот несколько основных причин нарушения доступа в системе SAP:

Политики надежных паролей не поддерживаются.
Стандартные пользователи, суперпользователи, пользователи БД не обслуживаются должным образом, а пароли не меняются регулярно.
Параметры профиля определены неправильно.
Неудачные попытки входа в систему не отслеживаются, и политики завершения сеанса пользователя в режиме ожидания не определяются.
Безопасность сетевой связи не учитывается при отправке данных через Интернет и при использовании ключей шифрования.
Пользователи базы данных не обслуживаются должным образом, и никакие меры безопасности не принимаются во внимание при настройке информационной базы данных.
Система единого входа неправильно настроена и не поддерживается в среде SAP.

Чтобы преодолеть все вышеперечисленные причины, необходимо определить политики безопасности в среде SAP. Необходимо определить параметры безопасности и пересматривать политики паролей через определенные промежутки времени.

Безопасность базы данных - один из важнейших компонентов защиты вашей среды SAP. Итак, вам необходимо управлять пользователями базы данных и следить за тем, чтобы пароли были хорошо защищены.

В системе должен применяться следующий механизм безопасности для защиты среды SAP от любого несанкционированного доступа:

Аутентификация и управление пользователями
Безопасность сетевой связи
Защита обычных пользователей и суперпользователей
Защита от неудачных попыток входа
Параметры профиля и политики паролей
Безопасность системы SAP на платформе Unix и Windows
Концепция единого входа

Таким образом, безопасность в системе SAP требуется в распределенной среде, и вы должны быть уверены, что ваши данные и процессы поддерживают потребности вашего бизнеса, не допуская несанкционированного доступа к важной информации. В системе SAP человеческие ошибки, халатность или попытки манипуляций с системой могут привести к потере важной информации.

Если неавторизованный пользователь может получить доступ к системе SAP от имени известного авторизованного пользователя и может вносить изменения в конфигурацию и управлять конфигурацией системы и ключевыми политиками. Если авторизованный пользователь имеет доступ к важным данным и информации системы, то этот пользователь также может получить доступ к другой важной информации. Это расширяет возможности использования безопасной аутентификации для защиты доступности, целостности и конфиденциальности пользовательской системы.

Механизм аутентификации в системе SAP

Механизм аутентификации определяет способ доступа к вашей системе SAP. Предусмотрены различные методы аутентификации -

Идентификатор пользователя и инструменты управления пользователями
Безопасная сетевая связь
Билеты на вход в SAP
Сертификаты клиента X.509

ID пользователей и инструменты управления пользователями

Наиболее распространенный метод аутентификации в системе SAP - использование имени пользователя и пароля для входа в систему. Идентификаторы пользователя для входа создаются администратором SAP. Чтобы обеспечить безопасный механизм аутентификации с помощью имени пользователя и пароля, необходимо определить политики паролей, которые не позволяют пользователям устанавливать простой предсказываемый пароль.

SAP предоставляет различные параметры по умолчанию, которые следует установить для определения политик паролей - длина пароля, сложность пароля, изменение пароля по умолчанию и т. Д.

Инструменты управления пользователями в системе SAP

SAP NetWeaver Systemпредоставляет различные инструменты управления пользователями, которые можно использовать для эффективного управления пользователями в вашей среде. Они обеспечивают очень надежный метод аутентификации для обоих типов серверов приложений NetWeaver - Java и ABAP.

Некоторые из наиболее распространенных инструментов управления пользователями:

Управление пользователями для сервера приложений ABAP (код транзакции: SU01)

Вы можете использовать код транзакции управления пользователями SU01 для поддержки пользователей на ваших серверах приложений на основе ABAP.

SAP NetWeaver Identity Management

Вы можете использовать SAP NetWeaver Identity Management для управления пользователями, а также для управления ролями и назначениями ролей в среде SAP.

Роли PFCG

Вы можете использовать генератор профилей PFCG для создания ролей и назначения полномочий пользователям в системах на основе ABAP.

Transaction Code - PFCG

Центральное управление пользователями

Вы можете использовать CUA для поддержки пользователей для нескольких систем на основе ABAP. Вы также можете синхронизировать его со своими серверами каталогов. Используя этот инструмент, вы можете централизованно управлять всей основной записью пользователя с клиента системы.

Transaction Code - SCUA и создать модель распространения.

Система управления пользователями UME

Вы можете использовать роли UME для управления авторизацией пользователей в системе. Администратор может использовать действия, которые представляют собой наименьшую сущность роли UME, которую пользователь может использовать для создания прав доступа.

Вы можете открыть консоль администрирования UME с помощью опции администратора SAP NetWeaver.

Политика паролей

Политика паролей определяется как набор инструкций, которым должен следовать пользователь для повышения безопасности системы за счет использования надежных паролей и их правильного использования. Во многих организациях политика паролей используется совместно в рамках обучения по вопросам безопасности, и пользователи обязаны поддерживать политику безопасности критически важных систем и информации в организации.

Используя политику паролей в системе SAP, администратор может настроить пользователей системы на развертывание надежных паролей, которые нелегко взломать. Это также помогает регулярно менять пароль в целях безопасности системы.

В системе SAP обычно используются следующие политики паролей:

Изменение пароля по умолчанию / начального пароля

Это позволяет пользователям сразу изменять первоначальный пароль при первом использовании.

Длина пароля

В системе SAP минимальная длина паролей в системах SAP по умолчанию равна 3. Это значение можно изменить с помощью параметра профиля, а максимальная допустимая длина - 8.

Transaction Code - RZ11

Parameter Name - логин / min_password_lng

Вы можете щелкнуть документацию по параметру профиля для этой политики, и вы можете увидеть подробную документацию от SAP следующим образом:

Parameter - логин / min_password_lng

Short text - Минимальная длина пароля

Parameter Description- Этот параметр указывает минимальную длину пароля для входа. Пароль должен состоять не менее чем из трех символов. Однако администратор может указать большую минимальную длину. Этот параметр применяется при назначении новых паролей, а также при изменении или сбросе существующих паролей.

Application Area - Вход в систему

Parameter Unit - Количество символов (буквенно-цифровые)

Default Value - 6

Who is permitted to make changes? Клиент

Operating System Restrictions - нет

Database System Restrictions - нет

Незаконные пароли

Вы не можете выбрать первый символ любого пароля как вопросительный знак (?) Или восклицательный знак (!). Вы также можете добавить другие символы, которые вы хотите ограничить, в таблицу недопустимых паролей.

Transaction Code - Имя таблицы SM30: USR40.

Как только вы войдете в стол - USR40 и нажмите на Display вверху он покажет вам список всех недопустимых паролей.

Как только вы нажмете на New Entries, вы можете ввести новые значения в эту таблицу, а также установить флажок с учетом регистра.

Шаблон пароля

Вы также можете установить, что первые три символа пароля не могут появляться в том же порядке, что и часть имени пользователя. Различные шаблоны паролей, которые можно ограничить с помощью политики паролей, включают:

Первые три символа не могут быть одинаковыми.
Первые три символа не могут включать пробелы.
Пароль не может быть PASS или SAP.

Смена пароля

В этой политике пользователю может быть разрешено менять свой пароль почти один раз в день, но администратор может сбрасывать пароль пользователя так часто, как это необходимо.

Пользователю не должно быть разрешено повторно использовать последние пять паролей. Однако администратор может сбросить пароль, который ранее использовался пользователем.

Параметры профиля

Существуют различные параметры профиля, которые вы можете определить в системе SAP для управления пользователями и политики паролей.

В системе SAP вы можете просмотреть документацию по каждому параметру профиля, перейдя в Tools → CCMS → Configuration →Profile Maintenance(Транзакция: RZ11). Введите имя параметра и нажмитеDisplay.

В следующем появившемся окне вы должны ввести имя параметра, вы увидите 2 варианта -

Display - Для отображения значения параметров в системе SAP.

Display Docu - Для отображения документации SAP для этого параметра.

Когда вы нажмете кнопку «Показать», вы перейдете в Maintain Profile Parameterэкран. Вы можете увидеть следующие детали -

Name
Type
Критерий отбора
Группа параметров
Описание параметра и многое другое

Внизу отображается текущее значение параметра login/min_password_lng

Когда вы нажимаете на Display Doc вариант, он отобразит SAP-документацию для параметра.

Параметр Описание

Этот параметр указывает минимальную длину пароля для входа. Пароль должен состоять не менее чем из трех символов. Однако администратор может указать большую минимальную длину. Этот параметр применяется при назначении новых паролей, а также при изменении или сбросе существующих паролей.

Каждый параметр имеет значение по умолчанию, допустимое значение, как показано ниже -

В системе SAP есть разные параметры пароля. Вы можете ввести каждый параметр вRZ11 транзакции и можете просмотреть документацию.

Чтобы изменить значение параметра, запустите Transaction RZ10 и выберите Профиль, как показано ниже -

Multiple application servers - Используйте профиль ПО УМОЛЧАНИЮ.
Single Application servers - Используйте профиль экземпляра.

Выбрать Extended Maintenance и нажмите Display.

Выберите параметр, который вы хотите изменить, и нажмите Parameter на вершине.

Когда вы нажимаете на вкладку Parameter, вы можете изменить значение параметра в новом окне. Вы также можете создать новый параметр, нажав наCreate (F5).

В этом окне вы также можете увидеть статус параметра. Введите значение параметра и нажмитеCopy.

Вам будет предложено сохранить при выходе из экрана. Щелкните Да, чтобы сохранить значение параметра.

Secure Network Communication (SNC)также может использоваться для входа на сервер приложений с использованием безопасного метода аутентификации. Вы можете использовать SNC для аутентификации пользователя через SAP GUI для Windows или с помощью соединения RFC.

SNC использует внешний продукт безопасности для аутентификации между партнерами по обмену данными. Вы можете использовать такие меры безопасности, как инфраструктура открытых ключей PKI и процедуры для создания и распространения пар ключей.

Вы должны определить топологию сети, которая может устранить угрозы и предотвратить сетевые атаки. Когда пользователи не могут войти в уровень приложения или базы данных, злоумышленники не могут получить доступ к системе SAP или системе базы данных для доступа к важной информации.

Четко определенная топология сети не позволяет злоумышленникам подключаться к локальной сети компании и, следовательно, не имеет доступа к лазейкам безопасности в сетевых службах или в системе SAP.

Топология сети в системе SAP

Ваша физическая сетевая архитектура полностью зависит от размера вашей системы SAP. Система SAP обычно реализуется с архитектурой клиент-сервер, и каждая система обычно делится на следующие три уровня:

Уровень базы данных
Уровень приложения
Слой презентации

Если ваша система SAP небольшая, она может не иметь отдельного приложения и сервера базы данных. Однако в большой системе многие серверы приложений взаимодействуют с сервером базы данных и несколькими интерфейсами. Это определяет топологию сети системы от простой до сложной, и вы должны учитывать различные сценарии при организации топологии вашей сети.

В крупномасштабной организации рекомендуется устанавливать приложение и сервер базы данных на разных машинах и размещать их в локальной сети, отличной от внешней системы.

На следующем изображении вы можете увидеть предпочтительную топологию сети системы SAP -

Когда вы размещаете свою базу данных и сервер приложений в отдельной VLAN от внешних VLAN, это позволяет улучшить систему контроля доступа и, следовательно, повысить безопасность вашей системы SAP. Системы фронтендов находятся в разных VLAN, поэтому нелегко попасть в серверную VLAN и, следовательно, обойти безопасность вашей системы SAP.

Сетевые услуги SAP

В вашей системе SAP включены различные службы, однако для запуска системы SAP требуются лишь некоторые из них. В системе SAPLandscape, Database и Application Serversявляются наиболее частой целью сетевых атак. Многие сетевые службы работают в вашем ландшафте, что позволяет получить доступ к этим серверам, и эти службы следует тщательно контролировать.

На ваших машинах Window / UNIX эти службы поддерживаются в /etc/services. Вы можете открыть этот файл на машине с Windows, перейдя по следующему пути -

system32/drivers/etc/services

Вы можете открыть этот файл в Блокноте и просмотреть все активированные службы на вашем сервере -

Рекомендуется отключить все ненужные службы на ландшафтных серверах. Иногда эти службы содержат несколько ошибок, которые могут быть использованы злоумышленниками для получения несанкционированного доступа. Отключив эти службы, вы уменьшите вероятность атаки на вашу сеть.

Для обеспечения высокого уровня безопасности также рекомендуется использовать файлы статических паролей в среде SAP.

Частные ключи

SNC использует внешний продукт безопасности для аутентификации между партнерами по обмену данными. Вы можете использовать такие меры безопасности, какPublic Key Infrastructure (PKI) и другие процедуры для генерации и распределения пар ключей и обеспечения надлежащей защиты закрытых ключей для пользователей.

Есть разные способы защиты закрытых ключей для авторизации в сети -

Аппаратное решение
Программное решение

Давайте теперь обсудим их подробно.

Аппаратное решение

Вы можете защитить закрытые ключи для пользователей с помощью аппаратного решения, в котором вы выдаете смарт-карту отдельным пользователям. Все ключи хранятся на смарт-карте, и пользователь должен пройти аутентификацию на своих смарт-картах с помощью биометрических данных, используя отпечатки пальцев или пароль PIN.

Эти смарт-карты должны быть защищены от кражи или потери каждым пользователем, и пользователи могут использовать карту для шифрования документов.

Пользователям не разрешается делиться смарт-картами или передавать их другим пользователям.

Программное решение

Также возможно использование программного решения для хранения закрытых ключей для отдельных пользователей. Программные решения менее дорогие по сравнению с аппаратными решениями, но они также менее безопасны.

Когда пользователи хранят закрытые ключи в файлах и сведениях о пользователях, необходимо защитить эти файлы от несанкционированного доступа.

При первой установке системы SAP создается несколько пользователей по умолчанию для выполнения административных задач. По умолчанию он создает три клиента в среде SAP, которые:

Клиент 000 - эталонный клиент SAP
Клиент 001 - шаблон клиента от SAP
Клиент 066 - клиент SAP Early Watch

SAP создает стандартных пользователей в вышеупомянутом клиенте в системе. Каждый стандартный пользователь имеет свой собственный пароль по умолчанию при первой установке.

Стандартные пользователи в системе SAP включают следующих пользователей под клиентом по умолчанию:

Пользователь	Детали	Клиент	Пароль по умолчанию
SAP	Суперпользователь системы SAP	000, 001, 066	6071992
Все новые клиенты			ПРОХОДИТЬ
DDIC	Суперпользователь словаря ABAP	000, 001	19920706
SAPCPIC	Пользователь CPI-C для SAP	000, 001	админ
РАННЯЯ ЧАСТЬ	Пользователь Early Watch	66	служба поддержки

Это стандартные пользователи клиентов SAP по умолчанию для выполнения задач администрирования и настройки в системе SAP. Чтобы поддерживать безопасность в системе SAP, вы должны защитить этих пользователей -

Вы должны добавить этих пользователей в группу SUPER, чтобы они изменялись только администратором, который имеет право добавлять / изменять пользователей в группу SUPER.
Пароль по умолчанию для обычных пользователей следует изменить.

Как просмотреть список клиентов в системе SAP?

Вы можете просмотреть список всех клиентов в вашей среде SAP с помощью транзакции SM30, отобразить таблицу T000.

Когда вы войдете в таблицу и нажмете на Display, он покажет вам список всех клиентов в вашей системе SAP. Эта таблица включает подробную информацию обо всех клиентах по умолчанию и новых клиентах, которые вы создаете в среде для совместного использования ресурсов.

Вы можете использовать отчет RSUSR003 чтобы убедиться, что пользователь SAP был создан во всех клиентах и что стандартные пароли были изменены для SAP, DDIC и SAPCPIC.

Идти к ABAP Editor SE38 введите имя отчета и нажмите ВЫПОЛНИТЬ.

Введите заголовок отчета и нажмите Executeкнопка. Он будет отображать всех клиентов и стандартных пользователей в системе SAP, статус пароля, причину блокировки использования, действителен с и действителен до и т. Д.

Защита суперпользователя системы SAP

Чтобы защитить суперпользователя системы SAP «SAP», вы можете выполнить в системе следующие шаги:

Step 1- Вам необходимо определить нового суперпользователя в системе SAP и деактивировать пользователя SAP. Обратите внимание, что вы не должны удалять пользователя SAP в системе. Чтобы деактивировать жестко запрограммированного пользователя, вы можете использовать параметр профиля:login/no_automatic_user_sapstar.

Если основная запись пользователя SAP * удалена, можно войти в систему с «SAP» и начальным паролем PASS.

Пользователь «SAP» имеет следующие свойства:

Пользователь имеет полные полномочия, поскольку проверки авторизации не выполняются.

Пароль по умолчанию PASS изменить нельзя.
Вы можете использовать параметр профиля login/no_automatic_user_sapstar отключить эти специальные свойства SAP и настроить автоматический вход пользователя SAP *.

Step 2 - Чтобы проверить значение этого параметра, запустите Transaction RZ11 и введите имя параметра.

Values allowed - 0, 1, в котором -

0 - Допускается автоматический пользовательский SAP *.
1 - Автоматический пользовательский SAP * отключен.

Step 3 - В следующей системе вы можете видеть, что значение этого параметра установлено на 1. Это показывает, что суперпользователь «SAP» деактивирован в системе.

Step 4 - Нажмите на Display и вы можете увидеть текущее значение этого параметра.

Чтобы создать нового суперпользователя в системе, определите новую основную запись пользователя и назначьте профиль SAP_ALL этому суперпользователю.

Защита пользователей DDIC

Пользователь DDIC требуется для выполнения определенных задач, связанных с логистикой программного обеспечения, словарем ABAP и задачами, связанными с установкой и обновлением. Чтобы защитить этого пользователя, рекомендуется заблокировать этого пользователя в системе SAP. Вы не должны удалять этого пользователя, чтобы использовать некоторые функции в будущем.

Чтобы заблокировать пользователя, используйте код транзакции: SU01.

Если вы хотите защитить этого пользователя, вы можете назначить SAP_ALL авторизация для этого пользователя во время установки, а затем блокировка.

Защита пользователя SAPCPIC

Пользователь SAPCPIC используется для вызова определенных программ и функциональных модулей в системе SAP и не является пользователем диалога.

Вы должны заблокировать этого пользователя и изменить пароль для этого пользователя, чтобы защитить его. В предыдущих выпусках, когда вы блокируете пользователя SAPCPIC или меняете пароль, это влияет на дополнительные программы RSCOLL00, RSCOLL30 и LSYPGU01.

Защита раннего дозора

Клиент 066 - это называется SAP Early Watch и используется для диагностического сканирования и службы мониторинга в системе SAP, а пользователь EARLYWATCH является интерактивным пользователем службы Early Watch в клиенте 066. Чтобы защитить этого пользователя, вы можете выполнить следующие действия:

Заблокируйте пользователя EARLYWATCH до тех пор, пока он не понадобится в среде SAP.
Измените пароль по умолчанию для этого пользователя.

Ключевые моменты

Чтобы защитить пользователей SAP Standard и защитить клиентов в ландшафте SAP, вы должны учитывать следующие ключевые моменты:

Вы должны правильно поддерживать клиентов в системе SAP и следить за тем, чтобы не было неизвестных клиентов.
Вам необходимо убедиться, что суперпользователь SAP «SAP» существует и деактивирован во всех клиентах.
Вам необходимо убедиться, что пароль по умолчанию изменен для всех стандартных пользователей SAP. Пользователь SAP, DDIC и EARLYWATCH.
Вам необходимо убедиться, что все стандартные пользователи были добавлены в группу SUPER в системе SAP, и единственное лицо, уполномоченное вносить изменения в группу SUPER, может только редактировать этих пользователей.
Вам необходимо убедиться, что пароль по умолчанию для SAPCPIC был изменен, и этот пользователь заблокирован и разблокирован, когда это необходимо.
Все стандартные пользователи SAP должны быть заблокированы и могут быть разблокированы только тогда, когда это необходимо. Пароль должен быть хорошо защищен для всех этих пользователей.

Как изменить пароль обычного пользователя?

Вы должны убедиться, что пароль для всех стандартных пользователей SAP должен быть изменен на всех клиентах, обслуживаемых в Table T000 и пользователь «SAP» должен существовать для всех клиентов.

Чтобы изменить пароль, войдите в систему с суперпользователем. Введите идентификатор пользователя в поле «Имя пользователя», для которого вы хотите изменить пароль. Нажмите на опцию «Изменить пароль», как показано на следующем снимке экрана -

Введите новый пароль, повторите пароль и нажмите Apply. Вы должны повторить тот же процесс для всех стандартных пользователей.

Чтобы реализовать безопасность в системе SAP, необходимо отслеживать неудачный вход в систему в среде SAP. Когда кто-то пытается войти в систему, используя неверный пароль, система должна либо заблокировать имя пользователя на некоторое время, либо этот сеанс должен быть завершен после определенного количества попыток.

Для попыток несанкционированного входа в систему можно установить различные параметры безопасности -

Завершение сеанса
Блокировка пользователя
Активация хранителей экрана
Мониторинг неудачных попыток входа в систему
Запись попыток входа в систему

Давайте теперь обсудим каждый из них подробно.

Завершение сеанса

Когда имеется несколько неудачных попыток входа в систему для одного идентификатора пользователя, система завершает сеанс для этого пользователя. Это должно быть отправлено с использованием параметра профиля -login/fails_to_session_end.

Чтобы изменить значение параметра, запустите транзакцию RZ10и выберите Профиль, как показано на следующем снимке экрана. Выберите расширенное обслуживание и нажмитеDisplay.

Выберите параметр, который вы хотите изменить, и нажмите на Parameter кнопку вверху, как показано ниже.

Щелкнув вкладку «Параметры», вы можете изменить значение параметра в новом окне. Вы также можете создать новый параметр, нажав наCreate (F5) кнопка.

Чтобы просмотреть подробную информацию об этом параметре, запустите Transaction Code: RZ11 и введите имя профиля - login/fails_to_session_end и нажмите на Display Document.

Parameter - логин / fails_to_session_end
Short text - Количество недействительных попыток входа в систему до завершения сеанса.
Parameter Description - Количество недействительных попыток входа в систему, которые могут быть выполнены с помощью основной записи пользователя, пока процедура входа в систему не будет завершена.
Application Area - Вход в систему
Default Value - 3
Who is permitted to make changes? - Заказчик
Operating System Restrictions - нет
Database System Restrictions - нет
Are other parameters affected or dependent? - нет
Values allowed - 1–99

На приведенном выше снимке экрана вы можете увидеть, что значение этого параметра установлено на 3, то есть также значение по умолчанию. После 3 неудачных попыток входа в систему сеанс для одного пользователя будет завершен.

Блокировка пользователя

Вы также можете установить проверку на конкретный идентификатор пользователя, если заданное количество последовательных неудачных попыток входа в систему превышено для одного идентификатора пользователя. Задайте количество недопустимых попыток входа в систему, которые разрешены в параметре профиля:login/fails_to_user_lock.

Можно установить блокировку для определенных идентификаторов пользователей.
Блокировки применяются к идентификатору пользователя до полуночи. Однако ее также может удалить вручную системный администратор в любое время.
В системе SAP вы также можете установить значение параметра, которое позволяет устанавливать блокировку на идентификатор пользователя до тех пор, пока они не будут удалены вручную. Название параметра:login/failed_user_auto_unlock.

Profile parameter: login/fails_to_user_lock

Каждый раз, когда вводится неправильный пароль для входа, счетчик неудачных попыток входа в систему для соответствующей основной записи пользователя увеличивается. Попытки входа в систему можно регистрировать в журнале аудита безопасности. Если предел, указанный в этом параметре, превышен, соответствующий пользователь блокируется. Этот процесс также регистрируется в системном журнале.

Блокировка больше не действует по истечении текущего дня. (Другое условие -login / failed_user_auto_unlock)

Счетчик неудачных попыток входа в систему сбрасывается, когда пользователь входит в систему с правильным паролем. Вход в систему, не основанный на пароле, не влияет на счетчик неудачных попыток входа. Однако активные блокировки входа проверяются при каждом входе в систему.

Values allowed - 1–99

Чтобы увидеть текущее значение этого параметра, используйте T-Code: RZ11.

Parameter name - логин / failed_user_auto_unlock
Short text - Отключить автоматическую разблокировку заблокированного пользователя в полночь.
Parameter Description- Управляет разблокировкой пользователей, заблокированных некорректным входом в систему. Если для параметра установлено значение 1, блокировки, которые были установлены из-за неудачных попыток входа в систему с паролем, применяются только в тот же день (как и блокировка). Если параметр установлен на 0, блокировки остаются в силе.
Application Area - Войдите в систему.
Default Value - 0.

Активация хранителей экрана

Системные администраторы также могут включить хранители экрана для защиты экрана внешнего интерфейса от любого несанкционированного доступа. Эти заставки можно защитить паролем.

Мониторинг неудачных попыток входа в систему и запись попыток входа в систему

В системе SAP вы можете использовать отчет RSUSR006чтобы проверить, есть ли пользователи, которые пытались безуспешно войти в систему. Этот отчет содержит подробную информацию о количестве неправильных попыток входа в систему пользователем и пользовательских блокировках, и вы можете запланировать этот отчет в соответствии с вашими требованиями.

Идти к ABAP Editor SE38 и введите название отчета, а затем нажмите EXECUTE.

В этом отчете у вас есть разные данные, такие как имя пользователя, тип, дата создания, создатель, пароль, блокировка и неверные данные для входа.

В системе SAP также возможно использование журнала аудита безопасности (транзакции SM18, SM19 и SM20) для записи всех успешных и неудачных попыток входа в систему. Вы можете анализировать журналы аудита безопасности с помощью транзакции SM20, но аудит безопасности должен быть активирован в системе для мониторинга журналов аудита безопасности.

Выход из системы бездействующих пользователей

Если пользователь уже вошел в систему SAP и сеанс неактивен в течение определенного периода, вы также можете настроить его на выход, чтобы избежать несанкционированного доступа.

Чтобы включить этот параметр, необходимо указать это значение в параметре профиля: rdisp/gui_auto_logout.

Parameter Description- Вы можете определить, что неактивные пользователи SAP GUI автоматически выходят из системы SAP по истечении заранее определенного периода. На этот раз настраивает параметр. Автоматический выход из системы в системе SAP отключен по умолчанию (значение 0), то есть пользователи не выходят из системы, даже если они не выполняют никаких действий в течение более длительного периода.
Values allowed- n [unit], где n> = 0 и Unit = S | M | H | D

Чтобы увидеть текущее значение параметра, запустите T-Code: RZ11.

В следующей таблице показан список ключевых параметров, их значения по умолчанию и разрешенные значения в системе SAP.

Параметр	Описание	По умолчанию	Допустимое значение
Войти / fails_to_session_end	Количество недействительных попыток входа до конца сеанса	3	1-99
Войти / fails_to_user_lock	Количество недействительных попыток входа до блокировки пользователя	12	1-99
Войти / failed_user_auto_unlock	При установке t 1: блокировки применяются в тот день, когда они установлены. Они снимаются на следующий день, когда пользователь входит в систему.	1	0 или 1
rdisp / gui_auto_output	Максимальное время простоя для пользователя в секундах	0 (без ограничений)	неограниченный

Концепция авторизации системы SAP занимается защитой системы SAP от выполняемых транзакций и программ от несанкционированного доступа. Вы не должны позволять пользователям выполнять транзакции и программы в системе SAP, пока они не определят полномочия для этого действия.

Чтобы сделать вашу систему более безопасной и реализовать строгую авторизацию, вам необходимо пересмотреть свой план авторизации, чтобы убедиться, что он соответствует требованиям безопасности компании и нет нарушений безопасности.

Типы пользователей

В предыдущих выпусках системы SAP типы пользователей были разделены только на две категории - пользователи с диалогом и пользователи без диалога, и только пользователи без диалога были рекомендованы для связи между двумя системами. В SAP 4.6C типы пользователей были разделены на следующие категории:

Dialog User- Этот пользователь используется для индивидуального интерактивного доступа к системе, и большая часть клиентской работы выполняется с помощью диалогового пользователя. Пароль может быть изменен самим пользователем. В диалоговом режиме пользователя можно предотвратить несколько диалоговых входов в систему.
Service User- Это используется для выполнения интерактивного доступа к системе для выполнения некоторой заранее определенной задачи, такой как отображение каталога продуктов. Для этого пользователя разрешено несколько входов в систему, и только администратор может изменить пароль для этого пользователя.
System User- Этот идентификатор пользователя используется для выполнения большинства задач, связанных с системой - Система управления транспортом, Определение рабочих процессов и ALE. Это не зависимый от интерактивной системы пользователь, и этому пользователю разрешено несколько входов в систему.
Reference User- Ссылочный пользователь не используется для входа в систему SAP. Этот пользователь используется для дополнительной авторизации внутренних пользователей. В системе SAP вы можете перейти на вкладку Роли и указать ссылочного пользователя для дополнительных прав для диалоговых пользователей.
Communication Users- Этот тип пользователя используется для поддержки входа в систему без диалога между различными системами, такими как соединение RFC, CPIC. Диалоговый вход с использованием SAP GUI невозможен для пользователей связи. Тип пользователя может изменять свои пароли, как обычные диалоговые пользователи. Функциональный модуль RFC может использоваться для изменения пароля.

Код транзакции: SU01используется для создания пользователей в системе SAP. На следующем экране вы можете увидеть различные типы пользователей в системе SAP в транзакции SU01.

Создание пользователя

Чтобы создать пользователя или нескольких пользователей с разными правами доступа в системе SAP, вы должны выполнить шаги, указанные ниже.

Step 1 - Использовать код транзакции - SU01.

Step 2 - Введите имя пользователя, которое вы хотите создать, щелкните значок создания, как показано на следующем снимке экрана.

Step 3- Вы будете перенаправлены на следующую вкладку - вкладку «Адрес». Здесь вам нужно ввести такие данные, как имя, фамилия, номер телефона, адрес электронной почты и т. Д.

Step 4 - Далее вы будете перенаправлены на следующую вкладку - Logon Data. Введите тип пользователя на вкладке «Данные для входа». У нас есть пять разных типов пользователей.

Step 5 - Введите первый пароль для входа → Новый пароль → Повторите пароль.

Step 6 - Вы будете перенаправлены на следующую вкладку - Роли - Назначьте роли пользователю.

Step 7 - Далее вы будете перенаправлены на следующую вкладку - Профили - Назначьте профили пользователям.

Step 8 - Нажмите «Сохранить», чтобы получить подтверждение.

Центральное управление пользователями (CUA)

Централизованное администрирование пользователей - одна из ключевых концепций, позволяющих управлять всеми пользователями в системном ландшафте SAP с помощью центральной системы. Используя этот инструмент, вы можете централизованно управлять всеми основными записями пользователей в одной системе. Центральный администратор пользователей позволяет экономить деньги и ресурсы при управлении похожими пользователями в одной системной среде.

Преимущества централизованного администрирования пользователей:

При настройке CUA в ландшафте SAP вы можете создавать или удалять пользователей, используя только центральную систему.
Все необходимые роли и авторизация существуют в дочерней системе в активных формах.
Все пользователи контролируются и управляются централизованно, что упрощает задачу администрирования и дает более четкое представление обо всех действиях по управлению пользователями в сложной системной среде.
Центральный администратор пользователей позволяет экономить деньги и ресурсы при управлении похожими пользователями в одной системной среде.

Обмен данными осуществляется с помощью ALE пейзаж называется Application Link Enablingчто позволяет обмениваться данными контролируемым образом. ALE используется центральным администратором пользователей для обмена данными с дочерними системами в системном ландшафте SAP.

В сложной ландшафтной среде вы определяете одну систему как центральную систему со средой ALE, и она связана со всеми дочерними системами с помощью двунаправленного обмена данными. Дочерние системы в ландшафте не связаны друг с другом.

Чтобы реализовать централизованное администрирование пользователей, следует учитывать следующие моменты:

Вам нужна среда SAP с несколькими клиентами в единой / распределенной среде.
Администратору для управления пользователями требуется авторизация по следующим кодам транзакций -
- SU01
- SCC4
- SCUA
- SCUM
- SM59
- BD54
- BD64
Вы должны создать доверительные отношения между системами.
Вы должны создать системных пользователей в центральной и дочерней системе.
Создайте логическую систему и назначьте логическую систему соответствующему клиенту.
Создайте вид модели и BAPI для просмотра модели.
Создайте центрального администратора пользователей и установите параметры распределения для полей.
Синхронизировать адреса компаний
Перенести пользователей

В среде с централизованным управлением сначала необходимо создать администратора. Войдите во все логические системы будущего CUA как пользователь SAP * с паролем по умолчанию PASS.

Запустить транзакцию SU01 и создайте пользователя с назначенной ему ролью администратора.

Для определения логической системы используйте транзакцию BD54. Щелкните New Entries, чтобы создать новую логическую систему.

Создайте новое логическое имя заглавными буквами для Central User Administration для центральной и всех дочерних систем, включая системы из других систем SAP.

Чтобы легко идентифицировать систему, у вас есть следующее соглашение об именах, которое можно использовать для идентификации системы Central User Administration:

<System ID>CLNT<Client>

Введите какое-нибудь полезное описание логической системы. Сохраните запись, нажав наSaveкнопка. Затем необходимо создать логическое системное имя для центральной системы во всех дочерних системах.

Чтобы назначить логическую систему клиенту, используйте Transaction SCC4 и переключитесь в режим изменения.

Откройте клиент, который вы хотите назначить логической системе, дважды щелкнув или щелкнув значок Detailsкнопка. Клиент может быть назначен только одной логической системе.

В поле логической системы в сведениях о клиенте введите имя логической системы, которой вы хотите назначить этого клиента.

Выполните указанные выше шаги для всех клиентов в среде SAP, которые вы хотите включить в Central User Administrator. Чтобы сохранить настройки, нажмите кнопкуSave кнопку вверху.

Защита определенных профилей в SAP

Чтобы поддерживать безопасность в системе SAP, вам необходимо поддерживать определенные профили, содержащие критическую авторизацию. Существуют различные профили авторизации SAP, которые необходимо защитить в системе SAP с полной авторизацией.

Несколько профилей, которые необходимо защитить в системе SAP:

SAP_ALL
SAP_NEW
P_BAS_ALL

Профиль полномочий SAP_ALL

Профиль авторизации SAP_ALL позволяет пользователю выполнять все задачи в системе SAP. Это составной профиль, содержащий все полномочия в системе SAP. Пользователи с этой авторизацией могут выполнять все действия в системе SAP, поэтому этот профиль не следует назначать ни одному пользователю в вашей системе.

Рекомендуется поддерживать одного пользователя с профилем. Хотя пароль должен быть хорошо защищен для этого пользователя, и его следует использовать только тогда, когда это необходимо.

Вместо присвоения полномочий SAP_ALL следует назначить отдельные полномочия соответствующим пользователям. Ваш системный суперпользователь / системное администрирование, вместо того, чтобы назначать им полномочия SAP_ALL, вы должны использовать индивидуальные необходимые полномочия.

SAP_NEW Авторизация

Полномочия SAP_NEW содержат все полномочия, необходимые для новой версии. После завершения обновления системы этот профиль используется для правильного выполнения некоторых задач.

Вы должны помнить следующие моменты об этой авторизации -

Когда выполняется обновление системы, вам необходимо удалить профили SAP_NEW для выпусков до этого.
Вам необходимо назначить отдельные полномочия в профиле SAP_NEW для разных пользователей в вашей среде.
Этот профиль не должен оставаться активным слишком долго.
Если у вас есть длинный список профилей SAP_NEW в среде, это означает, что вам необходимо пересмотреть свою политику авторизации в системе.

Чтобы увидеть список всех профилей SAP_NEW, вы должны выбрать этот профиль, дважды щелкнув его, а затем → перейти к Choose.

P_BAS_ALL Авторизация

Эта авторизация позволяет пользователю просматривать содержимое таблиц из других приложений. Это разрешение содержитP_TABU_DISавторизация. Эта авторизация позволяет пользователю PA видеть содержимое таблицы, которое не принадлежит его группе.

Сохранение роли PFCG

PFCG Role Maintenance можно использовать для управления ролями и авторизацией в системе SAP. В PFCG роль представляет собой выполняемую человеком работу, связанную с реальными сценариями. PFCG позволяет вам определять набор транзакций, которые могут быть назначены человеку для выполнения своей повседневной работы.

Когда роли создаются в транзакции PFCG, вы можете использовать транзакцию SU01чтобы назначить эти роли отдельным пользователям. Пользователю в системе SAP может быть назначено несколько ролей, связанных с его / ее повседневной задачей в реальной жизни.

Эти роли связаны между пользователем и полномочиями в системе SAP. Фактические полномочия и профили хранятся в форме объектов в системе SAP.

Используя PFCG Role Maintenance, вы можете выполнять следующие функции:

Изменение и назначение ролей
Создание ролей
Создание составных ролей
Транспортные и распределительные роли

Давайте теперь обсудим эти функции подробно.

Изменение и назначение ролей

Выполнить транзакцию: PFCG

Вы перейдете к окну обслуживания роли. Чтобы изменить существующую роль, введите полученное имя роли в поле.

Скопируйте стандартную роль, нажав кнопку Копировать роль. Введите имя из пространства имен. Нажмите кнопку выбора значения и выберите роль, в которую вы хотите его скопировать.

Вы также можете выбрать роли, поставленные SAP, начиная с SAP_, но тогда роли по умолчанию будут перезаписаны.

Чтобы изменить роль, нажмите на Change в разделе "Обслуживание ролей".

Перейдите на вкладку «Меню», чтобы изменить меню пользователя на странице вкладки «Меню». Перейдите на вкладку «Авторизация», чтобы изменить данные авторизации для этого пользователя.

Вы также можете использовать экспертный режим, чтобы настроить права доступа для изменений меню в разделе «Авторизация». Нажмите кнопку «Создать», чтобы создать профиль для этой роли.

Чтобы назначить пользователям эту роль, перейдите на вкладку «Пользователь» в параметре «Изменить роль». Чтобы назначить пользователю эту роль, он должен существовать в системе.

При необходимости вы также можете выполнить сравнение пользователей. Нажмите на опцию сравнения пользователей. Вы также можете нажать кнопку «Информация», чтобы узнать больше об отдельных и составных ролях, и о параметре «Сравнение пользователей», чтобы сравнить основные записи.

Создание ролей в PFCG

В PFCG можно создавать как отдельные роли, так и составные роли. Введите имя роли и нажмите «Создать одиночные или составные роли», как показано на скриншоте ниже.

Вы можете выбрать из пространства имен Customer, например Y_ или Z_. Поставляемые SAP роли начинаются с SAP_, и вы не можете взять имя из доставленных SAP ролей.

После того, как вы нажмете кнопку «Создать роль», вы должны добавить транзакции, отчеты и веб-адреса на вкладке МЕНЮ в определении роли.

Перейдите на вкладку «Авторизация», чтобы сгенерировать профиль, нажмите «Изменить данные авторизации».

В соответствии с выбранным вами видом деятельности вам будет предложено ввести организационные уровни. Когда вы вводите определенное значение в диалоговом окне, поля авторизации роли сохраняются автоматически.

Вы можете адаптировать ссылку для ролей. После того, как определение роли выполнено, вам необходимо сгенерировать роль. Нажмите «Создать» (Shift + F5).

В этой структуре, когда вы видите красный светофор, это означает, что уровни организации не имеют значений. Вы можете вводить и изменять уровни организации с помощью Уровни организации рядом с вкладкой Поддерживаемые.

Введите имя профиля и нажмите на галочку, чтобы завершить этап создания.

Нажмите на Saveчтобы сохранить профиль. Вы можете напрямую назначить эту роль пользователям, перейдя на вкладки «Пользователь». Аналогичным образом вы можете создавать составные роли, используя опцию обслуживания ролей PFCG.

Транспортные и распределительные роли

Запустите транзакцию - PFCG, введите имя роли, которую вы хотите перенести, и нажмите «Транспортная роль».

Вы дойдете до ролевого транспортного средства. У вас есть несколько вариантов в разделе транспортных ролей -

Перенос одиночных ролей для составных ролей.
Перенос сгенерированных профилей для ролей.
Данные персонализации.

В следующем диалоговом окне вы должны упомянуть назначение пользователя, и данные персонализации также должны быть перенесены. Если назначения пользователей также переносятся, они заменят все назначения ролей пользователям в целевой системе.

Чтобы заблокировать систему, чтобы нельзя было импортировать назначения ролей пользователям, введите ее в таблицу настройки. PRGN_CUST используя транзакцию SM30 и выберите поле значения USER_REL_IMPORT number.

Эта роль вводится в запросе настройки. Вы можете просмотреть это с помощью транзакцииSE10.

В запросе настройки профили полномочий переносятся вместе с ролями.

Транзакция в информационной системе авторизации - SUIM

В управлении авторизацией SUIM является ключевым инструментом, с помощью которого вы можете найти профили пользователей в системе SAP, а также назначить эти профили этому идентификатору пользователя. SUIM предоставляет начальный экран, который предоставляет параметры для поиска пользователей, ролей, профилей, авторизации, транзакций и сравнения.

Чтобы открыть информационную систему пользователя, запустите транзакцию: SUIM.

В информационной системе пользователя у вас есть разные узлы, которые можно использовать для выполнения различных функций в системе SAP. Как и в узле «Пользователь», вы можете выполнять поиск пользователей на основе критериев выбора. Вы можете получить заблокированный список пользователей, пользователей, имеющих доступ к определенному набору транзакций и т. Д.

Когда вы раскрываете каждую вкладку, у вас есть возможность создавать разные отчеты на основе разных критериев выбора. Как и при раскрытии вкладки пользователя, у вас есть следующие параметры:

Когда вы нажимаете на пользователей по сложным критериям выбора, вы можете применять несколько условий выбора одновременно. На следующем снимке экрана показаны различные критерии выбора.

Ролевой узел

Таким же образом вы можете получить доступ к различным узлам, таким как роли, профили, авторизации и другим параметрам в этой информационной системе пользователя.

Вы также можете использовать инструмент SUIM для поиска ролей и профилей. Вы можете назначить список транзакций определенному набору идентификаторов пользователей, выполнив поиск по транзакциям и назначению в SUIM и назначив эти роли этому идентификатору пользователя.

Используя информационную систему пользователя, вы можете выполнять различные поиски в системе SAP. Вы можете ввести различные критерии выбора и получить отчеты на основе пользователей, профилей, ролей, транзакций и других критериев.

RSUSR002 - Пользователи по сложным критериям отбора.

Вам необходимо принять различные меры безопасности при использовании определенных свойств, файлов или служб Unix, защиты файлов паролей и деактивации удаленных служб BSD для rlogin и remsh.

Защита паролем

На платформе Unix злоумышленник может использовать программу атаки по словарю для обнаружения информации о пароле, хранящейся в ОС Unix. Вы можете хранить пароли в файле теневых паролей, и только пользователь root может иметь доступ к этому файлу для повышения безопасности в системе.

Деактивация удаленных служб

Службы BSD Remote обеспечивают удаленный доступ к системам Unix. Когда инициируется удаленное соединение/etc/host.equiv и $HOME/.rhosts используются, и в случае, если эти файлы содержат информацию об имени хоста и IP-адресе источника подключения или любые символы подстановки, нет необходимости вводить пароль при входе в систему.

Удаленные службы rlogin и remsh представляют собой угрозу безопасности в этом сценарии, и вам необходимо деактивировать эти службы. Вы можете отключить эти службы, перейдя вinetd.conf файл в системе Unix.

В системе Unix rlogin - это клиент удаленной оболочки (например, SSH), который разработан, чтобы быть быстрым и небольшим. Он не зашифрован, что может иметь некоторые небольшие недостатки в средах с высоким уровнем безопасности, но он может работать на очень высоких скоростях. И сервер, и клиент не используют много памяти.

Защита сетевой файловой системы в UNIX

На платформе UNIX сетевая файловая система используется для доступа к транспортным и рабочим каталогам по сети из системы SAP. Для доступа к рабочим каталогам в процессе аутентификации используются сетевые адреса. Возможно, что несанкционированный доступ может быть получен злоумышленниками через сетевую файловую систему с помощью IP-спуфинга.

Чтобы обеспечить безопасность системы, вам не следует распространять домашний каталог по сетевой файловой системе, а права на запись в эти каталоги должны быть тщательно назначены.

Доступ к каталогу системы SAP для системы SAP в UNIX

Вы должны установить следующие права доступа для системных каталогов SAP в UNIX:

Каталог SAP	Восьмеричная форма Права доступа	Владелец	Группа
/ sapmnt / <SID> / exe	775	<sid> ADM	sapsys
/ sapmnt / <SID> / exe / saposcol	4755	корень	sapsys
/ sapmnt / <SID> / глобальный	700	<sid> ADM	sapsys
/ sapmnt / <SID> / профиль	755	<sid> ADM	sapsys
/ usr / sap / <SID>	751	<sid> ADM	sapsys
/ usr / sap / <SID> / <ID экземпляра>	755	<sid> ADM	sapsys
/ usr / sap / <SID> / <ID экземпляра> / *	750	<sid> ADM	sapsys
/ usr / sap / <SID> / <Instance ID> / сек	700	<sid> ADM	sapsys
/ usr / sap / <SID> / SYS	755	<sid> ADM	sapsys
/ usr / sap / <SID> / SYS / *	755	<sid> ADM	sapsys
/ USR / SAP / транс	775	<sid> ADM	sapsys
/ usr / sap / trans / *	770	<sid> ADM	sapsys
/usr/sap/trans/.sapconf	775	<sid> ADM	sapsys
<домашний каталог <sid> adm>	700	<sid> ADM	sapsys
<домашний каталог <sid> adm> / *	700	<sid> ADM	sapsys

Вам необходимо создать разных пользователей и группы на платформе Windows для безопасной работы вашей системы SAP. Чтобы упростить задачу управления пользователями, предлагается добавить всех пользователей WIN NT в группу пользователей с правильными правами доступа на уровне ОС. В операционной системе Windows есть разные уровни групп -

Глобальные группы
Локальные группы

Глобальные группы

Глобальные группы в WIN доступны на уровне домена и могут использоваться для назначения пользователей с нескольких серверов. Глобальные группы доступны для всех серверов в одном домене.

Вы можете выбрать название глобальных групп по своему усмотрению. Однако рекомендуется использовать соглашения об именах в соответствии сSAP R/3 System Installation, которая является стандартной глобальной группой для системных администраторов SAP и определяется как SAP_<SID>_GlobalAdmin.

В платформе Windows есть различные часто создаваемые глобальные группы, которые можно использовать для запуска системы SAP:

SAPadmin - Эта группа содержит список всех системных администраторов SAP.
SAPusers - Эта группа содержит список всех пользователей приложения SAP.
SAPservices - Эта группа содержит список всех системных программ SAP.
Domain Admin - Эта группа содержит список всех администраторов со всех доменов.

Локальные группы

Локальные группы в платформе Windows ограничены одним сервером в домене. Во время установки права назначаются отдельным пользователям, а не группам. Однако рекомендуется назначать права доступа локальным группам, а не отдельным пользователям.

Локальные группы используются для повышения безопасности среды Windows в общих доменах. Вы также можете назначить глобальных пользователей и глобальные группы локальной группе. Вы можете создать локальную группу с любым именем, но рекомендуется использовать имя локальной группы как:SAP_<SID>_LocalAdmin.

Вы можете определить различные отношения между пользователями, локальными группами и глобальными группами -

Один пользователь может быть частью глобальной группы, а также локальной группы.
Вы также можете включить глобальную группу в локальную группу.

Стандартные пользователи на платформе Windows

Когда вы запускаете систему SAP на платформе Windows, есть стандартные пользователи, которыми следует тщательно управлять. Ниже приведены некоторые из стандартных пользователей Windows:

Window NT User -

Administrator - Учетные записи администратора с доступом ко всем ресурсам.
Guest - Только гостевой доступ ко всем ресурсам в системе.

SAP System User -

<SID>ADM SAP - Системный администратор с полным доступом ко всем ресурсам SAP.
SAPService<SID> - Специальный пользователь, ответственный за запуск сервисов SAP.

Database Users -

<DBService> - Для запуска сервисов, специфичных для базы данных, на платформе Windows.
<DBuser> - Пользователь базы данных для выполнения общих операций с БД.

Также обратите внимание, что пользователи «Администратор» и «Гость» создаются в процессе установки и используются для выполнения задач, специфичных для Windows. Все эти пользователи должны быть защищены в платформе Windows.

Очень важно и важно защитить пользователей вашей базы данных в системе SAP. База данных может быть базой данных Oracle, SQL Server или базой данных MYSQL. Вам необходимо защитить обычных пользователей от этих баз данных. Пароли для обычных пользователей должны быть защищены, и их следует регулярно менять.

Стандартные пользователи Oracle

В следующей таблице показан список стандартных пользователей в среде Windows. Для всех этих пользователей следует сохранять пароль.

Имя пользователя	Тип	Метод смены пароля
<SID> ADM	Пользователь операционной системы	Механизм OPS $
SAPServic <SID>	Пользователь операционной системы	Механизм OPS $
SYS (внутренний)	Пользователь операционной системы	SAPDBA
СИСТЕМА	Пользователь операционной системы	SAPDBA
САПР3	Пользователь операционной системы	SAPDBA

Как создать пользователя OPS $ для <SID> ADM?

Чтобы создать пользователя OPS $, вам необходимо войти в систему с помощью <SID> ADM. Вы должны сначала остановить SAP-систему, если она работает, а затем выполнить приведенную ниже команду.

Create user OPS$<adm_user> default tablespace psapuserid temporary tablespace psaptemp identified externally;

Здесь <adm_user> -

<SID> ADM для более старых выпусков Oracle
<domain_name> \ <SID> Последние выпуски ADM

Затем вы должны выполнить шаги, указанные ниже -

Разрешить подключение, ресурс к OPS $ <adm_user & gtl;
Подключить /
Создайте таблицу SAPUSER (USERID Varchar (20), PASSWD VARCHAR2 (20));
Вставить в SAPUSER значения ('SAPR3', '<пароль>);
Подключить внутренний
Изменить пользователя SAPR3, идентифицированного <пароль>;

Подобным образом вы можете создать OPS$ за SAPService<SID>. В следующей команде вы должны использовать SAP_service_user вместо adm_user.

Create user OPS$<SAP_service_user> default tablespace psapuserid temporary tablespace psaptemp identified externally;

Здесь <SAP_service_user> -

SAPService <SID> для более старых выпусков Oracle
<domain_name> \ SAPservice <SID> для последних выпусков

Управление паролями для пользователей БД

Необходимо управлять паролями для стандартных пользователей в вашей базе данных. Существуют различные утилиты, которые можно использовать для смены пароля.

Как изменить пароль для пользователя DBA с помощью SAPDBA?

Пароль пользователя DBA можно изменить с помощью командной строки или графического интерфейса. Чтобы изменить пароль с помощью командной строки, вы должны использовать следующую команду -

Sapdba [-u <user1>/<user1_password>] –user2 <user2_password>

В приведенной выше команде user1 - это пользователь базы данных, который SAPDBA использует для входа в базу данных.

<user1_password> - пароль для пароля пользователя user1.
<user2> показывает пользователя базы данных, для которого нужно изменить пароль.
<user2_password> - новый пароль для того же пользователя.

Если вы хотите войти, используя имя пользователя «SYSTEM» с паролем по умолчанию, вы можете опустить –u из команды.

Sapdba –u system/<system_password>] –sapr3 <sapr3_password>

Как изменить пароль для SAPR3 с помощью SVRMGRL?

SVRMGRL - это старая утилита, которая поставлялась с предыдущими выпусками Oracle и использовалась для выполнения функций базы данных, упомянутых ниже. В последних выпусках команды диспетчера серверов теперь доступны вSQL*Plus.

Создание базы данных
Запуск и завершение работы базы данных
Восстановление базы данных
Управление паролями

Чтобы изменить пароль, вы должны выполнить шаги, указанные ниже -

Запустите SVRMGRL.
Подключитесь к базе данных с помощью внутренней команды подключения.
SVRMGR> подключай внутреннюю.
Connected.

Следующим шагом является обновление таблицы SAPUSER, введя команду, приведенную ниже -

Update OPS$ <SID>ADM.SAPUSER set PASSWD = ’<new_password>’ where USERID = ’SAPR3’;

Вам следует обновить пароль для SAPR3 в базе данных с помощью командной строки.

Другой пользователь sapr3 идентифицируется <new_password>

Single Sign-On (SSO)это одна из ключевых концепций, позволяющих вам войти в одну систему и получить доступ к нескольким системам в бэкэнде. SSO позволяет пользователю получать доступ к программным ресурсам в системах SAP в серверной части.

В SSO with NetWeaverПлатформа обеспечивает аутентификацию пользователей и помогает системным администраторам управлять пользовательской нагрузкой в сложной системной среде SAP. Конфигурация единого входа упрощает процесс входа пользователя в системы и приложения SAP в ландшафте за счет усиления мер безопасности и сокращения задач управления паролями для нескольких систем.

SSO помогает организации снизить операционные расходы за счет уменьшения количества обращений в службу поддержки, связанных с проблемами пароля, и, следовательно, повысить продуктивность бизнес-пользователей. Механизм интеграции SAP NetWeaver позволяет легко интегрировать вашу систему SAP NetWeaver в концепцию единого входа и обеспечивает легкий доступ к серверным системам в SAP System Landscape Environment.

Концепция единого входа в SAP

Единый вход можно настроить с помощью mySAP Workplace, что позволяет пользователю ежедневно входить в mySAP Workplace и получать доступ к приложениям без повторного ввода имени пользователя и пароля.

Вы можете настроить единый вход с mySAP Workplace, используя следующие методы аутентификации:

Имя пользователя и пароль
Билеты на вход в SAP
Сертификаты клиента X.509

Интеграция в систему единого входа

SSO с платформой NetWeaver обеспечивает аутентификацию пользователей и помогает системным администраторам управлять пользовательской нагрузкой в сложной системной среде SAP. Конфигурация единого входа упрощает процесс входа пользователей в системы и приложения SAP в ландшафте за счет усиления мер безопасности и сокращения задач управления паролями для нескольких систем.

Использование SAP NetWeaver позволяет настраивать различные механизмы, которые авторизованные пользователи используют для доступа к системе NetWeaver с использованием метода единого входа. Механизм входа в систему зависит от технологии системы SAP NetWeaver и различных каналов связи, используемых для доступа к этим системам.

Настройка единого входа в SAP GUI

Чтобы настроить систему единого входа, вам необходимо иметь доступ к следующим T-кодам:

RZ10
STRUST

После того, как у вас есть эти T-коды, вы должны выполнить шаги, указанные ниже -

Step 1 - Войдите в любую систему SAP ECC с помощью графического интерфейса SAP, перейдите в T-код RZ10.

Step 2 - После этого выберите профиль по умолчанию и расширенное обслуживание.

Step 3 - Нажмите «Изменить», и вы увидите список параметров профиля.

Step 4 - Измените следующие параметры профиля -

логин / create_sso2_ticket = 1
логин / accept_sso2_ticket = 1

Step 5- Сохранить и активировать профиль. Будет создан новый профиль.

Step 6 - Экспорт R3SSO сертификат от Trust Manager, перейти к транзакции STRUST.

Step 7- Дважды щелкните текстовое поле справа от «Собственный сертификат». Отображается информация о сертификате. Запишите значения этого сертификата, поскольку вам нужно ввести значения.

Step 8 - Щелкните значок Экспорт сертификата.

Step 9 - Сохраните файл как <R3_Name> - <Client> .crt.

Example - EBS-300.crt

Step 10 - Установите флажок, чтобы создать файл в родительском каталоге.

Step 11 - Импорт R3 SSO сертификат для механизма Java с помощью инструмента администратора.

Note - Убедитесь, что движок Java запущен.

Step 12 - Откройте инструмент администрирования Java.

Step 13 - Введите пароль администратора Java Engine и нажмите «Подключиться».

Step 14 - Выберите Сервер → Ключ служб → Хранилище.

Step 15 - Щелкните Хранилище ключей билетов на панели просмотра.

Step 16- Щелкните Загрузить в рамке группы Entry. Выберите файл .crt, который вы экспортировали на предыдущем шаге.

Step 17 - Настройте службу Security Provider в ядре SAP Java с помощью инструмента администратора.

Step 18 - Выберите «Поставщик безопасности серверных служб».

Step 19 - Выберите тикет на панели «Компонент» и перейдите на вкладку «Аутентификация».

Step 20 - Измените параметры модуля Evaluate Ticket Login Module и добавьте следующие свойства в каждую внутреннюю систему, в которой вы хотите настроить SSO.

Единый вход для доступа через Интернет

Вы можете настроить несколько параметров с помощью SSO для доступа к системе SAP NetWeaver. Вы также можете получить доступ к системе SAP NetWeaver через веб-браузер или другой веб-клиент. Используя SSO, пользователи могут получить доступ к серверным системам и другой защищенной информации, расположенной в сети компании.

SSO позволяет использовать несколько методов аутентификации безопасности для интеграции доступа пользователей через Интернет к серверам приложений NetWeaver. Вы также можете реализовать различные методы безопасности сетевой связи, такие как криптография, для отправки информации по сети.

Следующие методы аутентификации могут быть настроены с помощью единого входа для доступа к данным через серверы приложений:

Использование идентификатора пользователя и аутентификации по паролю
Использование билетов входа в систему
Использование клиентских сертификатов X.509
Использование артефактов браузера SAML
Использование SAML 2.0
Использование аутентификации Kerberos

При доступе к данным через Интернет вы также можете использовать механизм безопасности на сетевом и транспортном уровне.

Вы можете настроить билеты входа в SAP с цифровой подписью для настройки с помощью единого входа для доступа к интегрированным приложениям в среде SAP. Вы можете настроить портал для выдачи пользователям билетов входа в систему SAP, и пользователям необходимо аутентифицировать эту систему для первоначального доступа. Когда пользователям выдаются билеты входа в систему SAP, они сохраняются в веб-браузерах и позволяют пользователю входить в различные системы с использованием единого входа.

На сервере приложений ABAP можно настроить два разных типа билета входа в систему:

Logon Tickets - Эти билеты позволяют доступ через Интернет с использованием метода единого входа.
Authentication Assertion Tickets - Эти билеты используются для связи системы с системой.

Чтобы настроить билеты входа в систему SAP, в профиле пользователя должны быть установлены следующие параметры.

войти / accept_sso2_ticket

Вы можете использовать билеты единого входа (SSO), чтобы разрешить SSO между системами SAP и даже за пределами систем, не относящихся к SAP. Билет SSO может быть билетом входа в систему или билетом подтверждения. Билет на вход передается в виде файла cookie с именемMYSAPSSO2. Билет подтверждения передается как переменная заголовка HTTP с именем MYSAPSSO2.

Note- Это требует дополнительных шагов настройки для выпуска и приема систем. Системы компонентов SSO должны разрешать вход в систему с помощью билета SSO (login / accept_sso2_ticket = 1).

Если для единого входа используется только процедура (сертификат клиента X.509) или если вы не хотите использовать единый вход для этой системы, вы можете деактивировать этот вход с помощью билета SSO (login / accept_sso2_ticket = 0).

Чтобы установить параметр, используйте Transaction RZ11

Values allowed - 0/1

войти / create_sso2_ticket

Вы можете использовать билеты единого входа (SSO), чтобы разрешить единый вход между системами SAP и даже за пределами систем, не относящихся к SAP. Билет SSO может быть билетом входа в систему или билетом подтверждения. Билет на вход передается в виде файла cookie с именем MYSAPSSO2. Билет подтверждения передается как переменная заголовка HTTP с именем MYSAPSSO2.

Note - Это требует дополнительных шагов настройки для выпуска и приема систем.

Система выдачи должна разрешать создание билета SSO -

Values allowed- 0/1/2/3

логин / ticket_expiration_time

Чтобы сделать возможным использование единого входа (SSO) при использовании mySAP.com Workplace, можно использовать билеты SSO. При создании билета SSO вы можете установить срок действия. По истечении этого срока билет SSO больше не может использоваться для входа в компонентные системы рабочего места. Затем пользователю необходимо снова войти на сервер рабочего места, чтобы получить новый билет SSO.

Values allowed - <Часы> [: <Минуты>]

Если введены неправильные значения, используется значение по умолчанию (8 часов).

Правильные значения будут такими, как показано ниже -

24 → 24 часа
1:30 → 1 час, 30 минут
0:05 → 5 минут

Неправильные значения будут следующими -

40 (0:40 было бы правильно)
0:60 (1 будет правильным)
10: 000 (10 было бы правильно)
24: (24 было бы правильно)
1:A3

Сертификаты клиента X.509

Используя метод единого входа, вы можете использовать сертификаты клиента X.509 для аутентификации сервера приложений NetWeaver. В клиентских сертификатах используются очень надежные методы криптографии для защиты доступа пользователей к серверу приложений NetWeaver, поэтому на вашем сервере приложений NetWeaver должны быть задействованы методы надежной криптографии.

У вас должен быть настроен SSL на ваших серверах приложений SAP NetWeaver, так как аутентификация происходит с использованием протокола SSL без ввода имени пользователя и пароля. Для использования протокола SSL требуется соединение HTTPS для связи между веб-браузером и сервером приложений NetWeaver ABAP.

Язык разметки утверждения безопасности (SAML2.0)

SAML2.0 может использоваться в качестве аутентификации с единым входом для единого входа и обеспечивает единый вход в разных доменах. SAML 2.0 разработан под названием OASIS. Он также предоставляет возможность единого выхода, что означает, что, когда пользователь выходит из всех систем, поставщик услуг в системе SAP уведомляет поставщиков удостоверений, которые, в свою очередь, завершают все сеансы.

Ниже приведены преимущества использования аутентификации SAML2.0.

Вы можете уменьшить накладные расходы на поддержку аутентификации для системы, в которой размещено приложение, в другой системе.
Вы также можете поддерживать аутентификацию для внешних поставщиков услуг, не сохраняя идентификационные данные пользователей в системах.
Возможность единого выхода из системы во всех системах.
Для автоматического сопоставления учетных записей пользователей.

Проверка подлинности Kerberos

Вы также можете использовать Kerberos Authentication для сервера приложений SAP NetWeaver, используя доступ через веб-клиенты и веб-браузеры. Он использует простой и защищенный механизм согласования API GSS.SPNegoдля которого также требуется единый вход SSO 2.0 или более поздней версии с дополнительными лицензиями для использования этой аутентификации. ВSPNego не поддерживает безопасность транспортного уровня, поэтому рекомендуется использовать протокол SSL для добавления безопасности транспортного уровня для связи с сервером приложений NetWeaver.

На приведенном выше снимке экрана вы можете увидеть различные методы аутентификации, которые можно настроить в профиле пользователя для целей аутентификации.

Каждый метод аутентификации в SAP имеет свои преимущества и может использоваться в разных сценариях.