SAP Security - การปกป้องผู้ใช้มาตรฐาน
เมื่อคุณติดตั้งระบบ SAP เป็นครั้งแรกมีผู้ใช้ดีฟอลต์สองสามรายที่สร้างขึ้นเพื่อดำเนินงานด้านการดูแลระบบ โดยค่าเริ่มต้นจะสร้างไคลเอนต์สามตัวใน SAP Environment ซึ่ง ได้แก่ -
ไคลเอนต์ 000 - ไคลเอนต์อ้างอิง SAP
ไคลเอนต์ 001 - ไคลเอนต์เทมเพลตจาก SAP
ไคลเอนต์ 066 - SAP Early Watch Client
SAP สร้างผู้ใช้มาตรฐานในไคลเอนต์ที่กล่าวถึงข้างต้นในระบบ ผู้ใช้มาตรฐานแต่ละคนมีรหัสผ่านเริ่มต้นของตัวเองเมื่อติดตั้งครั้งแรก
ผู้ใช้มาตรฐานในระบบ SAP ประกอบด้วยผู้ใช้ต่อไปนี้ภายใต้ไคลเอ็นต์เริ่มต้น -
| ผู้ใช้ | รายละเอียด | ลูกค้า | รหัสผ่านเริ่มต้น |
|---|---|---|---|
| SAP | SAP System Super User | 000, 001, 066 | 6071992 |
| ลูกค้าใหม่ทั้งหมด | ผ่าน | ||
| DDIC | ABAP Dictionary Super User | 000, 001 | 19920706 |
| SAPCPIC | ผู้ใช้ CPI-C สำหรับ SAP | 000, 001 | แอดมิน |
| EARLYWATCH | ผู้ใช้ Early Watch | 66 | สนับสนุน |
เหล่านี้คือผู้ใช้มาตรฐานภายใต้ไคลเอ็นต์ SAP Default เพื่อดำเนินการดูแลระบบและงานคอนฟิกูเรชันในระบบ SAP เพื่อรักษาความปลอดภัยในระบบ SAP คุณควรปกป้องผู้ใช้เหล่านี้ -
คุณควรเพิ่มผู้ใช้เหล่านี้ในกลุ่ม SUPER เพื่อให้ผู้ใช้เหล่านี้ได้รับการแก้ไขโดยผู้ดูแลระบบที่มีสิทธิ์เพิ่ม / แก้ไขผู้ใช้ในกลุ่ม SUPER เท่านั้น
ควรเปลี่ยนรหัสผ่านเริ่มต้นสำหรับผู้ใช้มาตรฐาน
จะดูรายชื่อลูกค้าในระบบ SAP ได้อย่างไร
คุณสามารถดูรายการไคลเอ็นต์ทั้งหมดในสภาพแวดล้อม SAP ของคุณโดยใช้ธุรกรรม SM30แสดงตาราง T000.
เมื่อคุณเข้าสู่ตารางและคลิกที่ Displayมันจะแสดงรายชื่อลูกค้าทั้งหมดในระบบ SAP ของคุณ ตารางนี้มีรายละเอียดของไคลเอ็นต์เริ่มต้นทั้งหมดและไคลเอ็นต์ใหม่ที่คุณสร้างในสภาพแวดล้อมสำหรับการแบ่งปันทรัพยากร
คุณสามารถใช้รายงาน RSUSR003 เพื่อให้แน่ใจว่า SAP ของผู้ใช้ถูกสร้างขึ้นในไคลเอนต์ทั้งหมดและมีการเปลี่ยนรหัสผ่านมาตรฐานสำหรับ SAP, DDIC และ SAPCPIC
ไปที่ ABAP Editor SE38 และป้อนชื่อรายงานและคลิกที่ดำเนินการ
ป้อนชื่อรายงานและคลิกที่ Executeปุ่ม. มันจะแสดงไคลเอนต์และผู้ใช้มาตรฐานทั้งหมดในระบบ SAP, สถานะรหัสผ่าน, เหตุผลในการใช้ล็อค, Valid From และ Valid To เป็นต้น
การปกป้อง SAP System Super User
ในการป้องกัน SAP System Super User“ SAP” คุณสามารถทำตามขั้นตอนต่อไปนี้ในระบบ -
Step 1- คุณต้องกำหนด Super User ใหม่ในระบบ SAP และปิดใช้งานผู้ใช้ SAP โปรดทราบว่าคุณต้องไม่ลบผู้ใช้ SAP ในระบบ ในการปิดใช้งานผู้ใช้แบบฮาร์ดโค้ดคุณสามารถใช้พารามิเตอร์โปรไฟล์:login/no_automatic_user_sapstar.
หากลบเร็กคอร์ดหลักผู้ใช้ของผู้ใช้ SAP * คุณสามารถเข้าสู่ระบบด้วย“ SAP” และรหัสผ่านเริ่มต้น PASS
ผู้ใช้“ SAP” มีคุณสมบัติดังต่อไปนี้ -
ผู้ใช้มีการอนุญาตแบบสมบูรณ์เนื่องจากไม่มีการตรวจสอบการอนุญาต
ไม่สามารถเปลี่ยนรหัสผ่านเริ่มต้น PASS ได้
คุณสามารถใช้พารามิเตอร์โปรไฟล์ login/no_automatic_user_sapstar เพื่อปิดใช้งานคุณสมบัติพิเศษเหล่านี้ของ SAP และควบคุมการล็อกอินอัตโนมัติของผู้ใช้ SAP *
Step 2 - ในการตรวจสอบค่าของพารามิเตอร์นี้ให้เรียกใช้ Transaction RZ11 และป้อนชื่อพารามิเตอร์
Values allowed - 0, 1 ซึ่ง -
0 - ผู้ใช้อัตโนมัติ SAP * ได้รับอนุญาต
1 - ผู้ใช้อัตโนมัติ SAP * ถูกปิดใช้งาน
Step 3 - ในระบบต่อไปนี้คุณจะเห็นค่าของพารามิเตอร์นี้ถูกตั้งค่าเป็น 1 ซึ่งแสดงว่าผู้ใช้ขั้นสูง“ SAP” ถูกปิดใช้งานในระบบ
Step 4 - คลิกที่ Display และคุณจะเห็นค่าปัจจุบันของพารามิเตอร์นี้
ในการสร้างผู้ใช้ Super ใหม่ในระบบให้กำหนดเรกคอร์ดหลักผู้ใช้ใหม่และกำหนดโปรไฟล์ SAP_ALL ให้กับผู้ใช้ขั้นสูงนี้
การคุ้มครองผู้ใช้ DDIC
จำเป็นต้องมีผู้ใช้ DDIC สำหรับงานบางอย่างที่เกี่ยวข้องกับ Software Logistics, ABAP Dictionary และงานที่เกี่ยวข้องกับการติดตั้งและอัปเกรด เพื่อป้องกันผู้ใช้รายนี้ขอแนะนำให้ล็อกผู้ใช้รายนี้ในระบบ SAP คุณไม่ควรลบผู้ใช้รายนี้เพื่อใช้งานฟังก์ชันบางอย่างเพื่อใช้ในอนาคต
ในการล็อกผู้ใช้ให้ใช้รหัสธุรกรรม: SU01.
หากคุณต้องการปกป้องผู้ใช้รายนี้คุณสามารถกำหนดไฟล์ SAP_ALL การอนุญาตให้กับผู้ใช้รายนี้ในขณะที่ติดตั้งและล็อกภายหลัง
การปกป้องผู้ใช้ SAPCPIC
ผู้ใช้ SAPCPIC ใช้สำหรับการเรียกโปรแกรมและโมดูลฟังก์ชันบางอย่างในระบบ SAP และเป็นผู้ใช้ที่ไม่โต้ตอบ
คุณควรล็อกผู้ใช้รายนี้และเปลี่ยนรหัสผ่านสำหรับผู้ใช้รายนี้เพื่อป้องกัน ในรีลีสก่อนหน้านี้เมื่อคุณล็อกผู้ใช้ SAPCPIC หรือเปลี่ยนรหัสผ่านจะมีผลกับโปรแกรมเพิ่มเติม RSCOLL00, RSCOLL30 และ LSYPGU01
การปกป้อง Early Watch
ไคลเอ็นต์ 066 - สิ่งนี้เรียกว่า SAP Early watch และใช้สำหรับการสแกนวินิจฉัยและบริการตรวจสอบในระบบ SAP และผู้ใช้ EARLYWATCH คือผู้ใช้แบบโต้ตอบสำหรับบริการ Early Watch ในไคลเอนต์ 066 เพื่อรักษาความปลอดภัยให้กับผู้ใช้รายนี้คุณสามารถดำเนินการดังต่อไปนี้ -
- ล็อกผู้ใช้ EARLYWATCH จนกว่าจะไม่จำเป็นต้องใช้ในสภาพแวดล้อม SAP
- เปลี่ยนรหัสผ่านเริ่มต้นสำหรับผู้ใช้รายนี้
ประเด็นสำคัญ
ในการปกป้องผู้ใช้ SAP Standard และเพื่อปกป้องไคลเอนต์ในแนวนอน SAP คุณควรพิจารณาประเด็นสำคัญต่อไปนี้ -
คุณควรดูแลรักษาไคลเอ็นต์ในระบบ SAP อย่างเหมาะสมและตรวจสอบให้แน่ใจว่าไม่มีไคลเอนต์ที่ไม่รู้จักอยู่
คุณต้องตรวจสอบให้แน่ใจว่าผู้ใช้ระดับสูงของ SAP“ SAP” มีอยู่และถูกปิดใช้งานในไคลเอนต์ทั้งหมด
คุณต้องแน่ใจว่ามีการเปลี่ยนรหัสผ่านเริ่มต้นสำหรับผู้ใช้ SAP มาตรฐานทั้งหมดผู้ใช้ SAP, DDIC และ EARLYWATCH
คุณต้องตรวจสอบให้แน่ใจว่าได้เพิ่มผู้ใช้มาตรฐานทั้งหมดลงในกลุ่ม SUPER ในระบบ SAP แล้วและบุคคลเดียวที่ได้รับอนุญาตให้ทำการเปลี่ยนแปลงกับกลุ่ม SUPER เท่านั้นที่สามารถแก้ไขผู้ใช้เหล่านี้ได้
คุณต้องตรวจสอบให้แน่ใจว่ามีการเปลี่ยนรหัสผ่านเริ่มต้นสำหรับ SAPCPIC และผู้ใช้รายนี้ถูกล็อกและปลดล็อกเมื่อจำเป็น
ผู้ใช้มาตรฐาน SAP ทั้งหมดควรถูกล็อกและสามารถปลดล็อกได้เมื่อจำเป็นเท่านั้น รหัสผ่านควรได้รับการปกป้องอย่างดีสำหรับผู้ใช้เหล่านี้
จะเปลี่ยนรหัสผ่านของผู้ใช้มาตรฐานได้อย่างไร?
คุณควรตรวจสอบให้แน่ใจว่าควรเปลี่ยนรหัสผ่านสำหรับผู้ใช้มาตรฐาน SAP ทั้งหมดในไคลเอนต์ทั้งหมดที่อยู่ใน Table T000 และผู้ใช้“ SAP” ควรมีอยู่สำหรับลูกค้าทั้งหมด
ในการเปลี่ยนรหัสผ่านให้เข้าสู่ระบบด้วย Super user ป้อนรหัสผู้ใช้ในฟิลด์ชื่อผู้ใช้ที่คุณต้องการเปลี่ยนรหัสผ่าน คลิกที่เปลี่ยนตัวเลือกรหัสผ่านดังที่แสดงในภาพหน้าจอต่อไปนี้ -
ป้อนรหัสผ่านใหม่รหัสผ่านซ้ำแล้วคลิกที่ Apply. คุณควรทำขั้นตอนเดียวกันซ้ำสำหรับผู้ใช้มาตรฐานทั้งหมด
