Segurança SAP - Guia rápido

Em um ambiente distribuído SAP, sempre há a necessidade de proteger suas informações e dados críticos contra acesso não autorizado. Erros humanos, provisionamento de acesso incorreto não deve permitir acesso não autorizado a qualquer sistema e é necessário manter e revisar as políticas de perfil e de segurança do sistema em seu ambiente SAP.

Para tornar o sistema seguro, você deve ter um bom conhecimento dos perfis de acesso do usuário, políticas de senha, criptografia de dados e métodos de autorização a serem usados no sistema. Você deve verificar regularmenteSAP System Landscape e monitorar todas as alterações feitas nos perfis de configuração e acesso.

Os superusuários padrão devem estar bem protegidos e os parâmetros e valores do perfil do usuário devem ser definidos cuidadosamente para atender aos requisitos de segurança do sistema.

Ao se comunicar em uma rede, você deve compreender a topologia da rede e os serviços de rede devem ser revisados e ativados após verificações consideráveis. Os dados na rede devem ser bem protegidos com o uso de chaves privadas.

Por que a segurança é necessária?

Para acessar as informações em um ambiente distribuído, existe a possibilidade de que informações e dados críticos vazem para acesso não autorizado e a segurança do sistema seja interrompida devido a: - Falta de políticas de senha, superusuários padrão não são bem mantidos ou qualquer outro motivo.

Algumas razões principais de violação de acesso em um sistema SAP são as seguintes -

As políticas de senha forte não são mantidas.
Usuários padrão, superusuário e usuários de banco de dados não são mantidos de maneira adequada e as senhas não são alteradas regularmente.
Os parâmetros do perfil não estão definidos corretamente.
Tentativas de logon malsucedidas não são monitoradas e as políticas de final de sessão de usuário ocioso não são definidas.
A segurança da comunicação de rede não é considerada durante o envio de dados pela Internet e sem o uso de chaves de criptografia.
Os usuários do banco de dados não são mantidos adequadamente e nenhuma medida de segurança é considerada ao configurar o banco de dados de informações.
O Single Sign-on não é configurado e mantido adequadamente em um ambiente SAP.

Para superar todos os motivos acima, é necessário definir políticas de segurança em seu ambiente SAP. Os parâmetros de segurança devem ser definidos e as políticas de senha devem ser revisadas após intervalos regulares de tempo.

A segurança do banco de dados é um dos componentes essenciais para proteger seu ambiente SAP. Portanto, é necessário que você gerencie os usuários do seu banco de dados e verifique se as senhas estão bem protegidas.

O seguinte mecanismo de segurança deve ser aplicado no sistema para proteger o ambiente SAP de qualquer acesso não autorizado -

Autenticação e gerenciamento de usuários
Segurança de comunicação de rede
Protegendo usuários padrão e superusuários
Proteções de logons malsucedidos
Parâmetros de perfil e políticas de senha
Segurança do sistema SAP na plataforma Unix e Windows
Conceito de logon único

Portanto, a segurança do sistema SAP é necessária em um ambiente distribuído e você precisa ter certeza de que seus dados e processos suportam suas necessidades de negócios sem permitir acesso não autorizado a informações críticas. Em um sistema SAP, erros humanos, negligência ou tentativa de manipulação no sistema podem resultar na perda de informações críticas.

Se um usuário não autorizado puder acessar o sistema SAP com um usuário autorizado conhecido, poderá fazer alterações na configuração e manipular a configuração do sistema e as principais políticas. Se um usuário autorizado tiver acesso a dados e informações importantes de um sistema, esse usuário também poderá acessar outras informações críticas. Isso aprimora o uso de autenticação segura para proteger a disponibilidade, integridade e privacidade de um sistema do usuário.

Mecanismo de autenticação em um sistema SAP

O mecanismo de autenticação define a maneira como você acessa seu sistema SAP. Vários métodos de autenticação são fornecidos -

IDs de usuários e ferramentas de gerenciamento de usuários
Comunicação de rede segura
Tíquetes de logon SAP
Certificados de cliente X.509

IDs de usuário e ferramentas de gerenciamento de usuários

O método mais comum de autenticação em um sistema SAP é usando o nome de usuário e a senha para fazer o login. As IDs de usuário para login são criadas pelo Administrador SAP. Para fornecer um mecanismo de autenticação seguro por meio de nome de usuário e senha, é necessário definir políticas de senha que não permitam aos usuários definir uma senha fácil de prever.

SAP fornece vários parâmetros padrão que você deve definir para definir as políticas de senha - comprimento da senha, complexidade da senha, alteração de senha padrão, etc.

Ferramentas de gerenciamento de usuários em um sistema SAP

SAP NetWeaver Systemfornece várias ferramentas de gerenciamento de usuário que podem ser usadas para gerenciar efetivamente os usuários em seu ambiente. Eles fornecem um método de autenticação muito forte para os dois tipos de servidores de aplicativos NetWeaver - Java e ABAP.

Algumas das ferramentas de gerenciamento de usuário mais comuns são -

Gerenciamento de usuários para servidor de aplicativos ABAP (código de transação: SU01)

Você pode usar o código de transação SU01 de gerenciamento de usuários para manter usuários em seus servidores de aplicativos baseados em ABAP.

SAP NetWeaver Identity Management

Você pode usar SAP NetWeaver Identity Management para gerenciamento de usuários, bem como para gerenciar funções e atribuições de funções em seu ambiente SAP.

Funções PFCG

Você pode usar o gerador de perfil PFCG para criar funções e atribuir autorizações a usuários em sistemas baseados em ABAP.

Transaction Code - PFCG

Administração Central de Usuários

Você pode usar CUA para manter usuários para vários sistemas baseados em ABAP. Você também pode sincronizá-lo com seus servidores de diretório. Usando esta ferramenta, você pode gerenciar todo o cadastro do usuário centralmente a partir do mandante do sistema.

Transaction Code - SCUA e criar modelo de distribuição.

User Management Engine UME

Você pode usar funções do UME para controlar a autorização do usuário no sistema. Um administrador pode usar ações que representam a menor entidade de função do UME que um usuário pode usar para criar direitos de acesso.

Você pode abrir o console de administração do UME usando a opção SAP NetWeaver Administrator.

Política de senha

Uma política de senha é definida como um conjunto de instruções que um usuário deve seguir para melhorar a segurança do sistema usando senhas fortes e usando-as corretamente. Em muitas organizações, a política de senha é compartilhada como parte do treinamento de conscientização sobre segurança e é obrigatório para os usuários manterem a política de segurança de sistemas e informações essenciais em uma organização.

Usando a política de senha em um sistema SAP, um administrador pode configurar os usuários do sistema para implantar senhas fortes que não são fáceis de quebrar. Isso também ajuda a alterar a senha em intervalos regulares para segurança do sistema.

As seguintes políticas de senha são comumente usadas em um sistema SAP -

Alteração de senha padrão / inicial

Isso permite que os usuários alterem a senha inicial imediatamente quando usada pela primeira vez.

Comprimento da senha

Em um sistema SAP, o comprimento mínimo para senhas em sistemas SAP é 3 por padrão. Este valor pode ser alterado usando o parâmetro de perfil e o comprimento máximo permitido é 8.

Transaction Code - RZ11

Parameter Name - login / min_password_lng

Você pode clicar na documentação do parâmetro de perfil para esta política e pode ver a documentação detalhada no SAP da seguinte forma -

Parameter - login / min_password_lng

Short text - Comprimento mínimo da senha

Parameter Description- Este parâmetro especifica o comprimento mínimo da senha de logon. A senha deve ter pelo menos três caracteres. No entanto, o administrador pode especificar um comprimento mínimo maior. Esta configuração se aplica quando novas senhas são atribuídas e quando as senhas existentes são alteradas ou redefinidas.

Application Area - Logon

Parameter Unit - Número de caracteres (alfanuméricos)

Default Value - 6

Who is permitted to make changes? Cliente

Operating System Restrictions - nenhum

Database System Restrictions - nenhum

Senhas ilegais

Você não pode selecionar o primeiro caractere de nenhuma senha como ponto de interrogação (?) Ou de exclamação (!). Você também pode adicionar os outros caracteres que deseja restringir na tabela de senhas ilegais.

Transaction Code - Nome da tabela SM30: USR40.

Depois de entrar na mesa - USR40 e clique em Display na parte superior, ele mostrará a lista de todas as senhas não permitidas.

Depois de clicar em New Entries, você pode inserir os novos valores para esta tabela e também selecionar a caixa de seleção que diferencia maiúsculas de minúsculas.

Padrão de senha

Você também pode definir que os primeiros três caracteres da senha não possam aparecer na mesma ordem como parte do nome do usuário. Diferentes padrões de senha que podem ser restritos usando a política de senha incluem -

Os três primeiros caracteres não podem ser todos iguais.
Os primeiros três caracteres não podem incluir caracteres de espaço.
A senha não pode ser PASS ou SAP.

Mudança de senha

Nesta política, um usuário pode ter permissão para alterar sua senha quase uma vez por dia, mas um administrador pode redefinir a senha de um usuário sempre que necessário.

Um usuário não deve ter permissão para reutilizar as últimas cinco senhas. No entanto, um administrador pode redefinir a senha que é usada por um usuário anteriormente.

Parâmetros de Perfil

Existem diferentes parâmetros de perfil que você pode definir em um sistema SAP para gerenciamento de usuário e política de senha.

Em um sistema SAP, você pode exibir a documentação para cada parâmetro de perfil acessando Tools → CCMS → Configuration →Profile Maintenance(Transação: RZ11). Insira o nome do parâmetro e clique emDisplay.

Na próxima janela que aparecer, você deve inserir o nome do parâmetro, você pode ver 2 opções -

Display - Para exibir o valor dos parâmetros no sistema SAP.

Display Docu - Para exibir a documentação SAP para esse parâmetro.

Ao clicar no botão Exibir, você será movido para Maintain Profile Parametertela. Você pode ver os seguintes detalhes -

Name
Type
Critério de seleção
Grupo de Parâmetros
Descrição do parâmetro e muitos mais

Na parte inferior, você tem o valor atual do parâmetro login/min_password_lng

Quando você clica em Display Doc opção, ele exibirá a documentação SAP para o parâmetro.

Descrição do Parâmetro

Este parâmetro especifica o comprimento mínimo da senha de logon. A senha deve ter pelo menos três caracteres. No entanto, o administrador pode especificar um comprimento mínimo maior. Esta configuração se aplica quando novas senhas são atribuídas e quando as senhas existentes são alteradas ou redefinidas.

Cada parâmetro tem um valor padrão, valor permitido conforme abaixo -

Existem diferentes parâmetros de senha em um sistema SAP. Você pode inserir cada parâmetro noRZ11 transação e pode ver a documentação.

Para alterar o valor do parâmetro, execute Transaction RZ10 e selecione o Perfil conforme mostrado abaixo -

Multiple application servers - Use o perfil DEFAULT.
Single Application servers - Use o perfil de instância.

Selecione Extended Maintenance e clique Display.

Selecione o parâmetro que deseja alterar e clique em Parameter no topo.

Ao clicar na guia Parâmetro, você pode alterar o valor do parâmetro em uma nova janela. Você também pode criar o novo parâmetro clicando emCreate (F5).

Você também pode ver o status do parâmetro nesta janela. Digite o valor do parâmetro e clique emCopy.

Você será solicitado a salvar ao sair da tela. Clique em Sim para salvar o valor do parâmetro.

Secure Network Communication (SNC)também pode ser usado para fazer login em um servidor de aplicativos usando o método de autenticação seguro. Você pode usar SNC para autenticação de usuário via SAP GUI para Windows ou usando uma conexão RFC.

O SNC usa um produto de segurança externo para realizar a autenticação entre os parceiros de comunicação. Você pode usar medidas de segurança como PKI de infraestrutura de chave pública e procedimentos para gerar e distribuir pares de chaves.

Você deve definir a topologia de rede que pode eliminar ameaças e evitar ataques à rede. Quando os usuários não conseguem fazer login no aplicativo ou na camada de banco de dados, os invasores não conseguem acessar o sistema SAP ou o sistema de banco de dados para acessar informações críticas.

Uma topologia de rede bem definida não permite que invasores se conectem à LAN da empresa e, portanto, nenhum acesso a brechas de segurança nos serviços de rede ou no sistema SAP.

Topologia de rede em um sistema SAP

A arquitetura de sua rede física depende completamente do tamanho do seu sistema SAP. Um sistema SAP é comumente implementado com uma arquitetura cliente-servidor e cada sistema é comumente dividido nas três camadas a seguir -

Camada de Banco de Dados
Camada de aplicação
Camada de apresentação

Quando seu sistema SAP é pequeno, ele pode não ter um aplicativo separado e um servidor de banco de dados. No entanto, em um sistema grande, muitos servidores de aplicativos se comunicam com um servidor de banco de dados e vários front-ends. Isso define a topologia de rede de um sistema de simples a complexo e você deve considerar diferentes cenários ao organizar sua topologia de rede.

Em uma organização de grande escala, é recomendado que você instale seu aplicativo e servidor de banco de dados em máquinas diferentes e coloque em uma LAN separada do sistema front-end.

Na imagem a seguir, você pode ver a topologia de rede preferencial de um sistema SAP -

Quando você coloca seu banco de dados e servidor de aplicativos em uma VLAN separada da VLAN de front-ends, isso permite que você melhore o sistema de controle de acesso e, portanto, aumenta a segurança do seu sistema SAP. Os sistemas front-end estão em VLANs diferentes, portanto, não é fácil entrar na VLAN do servidor e, portanto, ignorar a segurança de seu sistema SAP.

Serviços de rede SAP

Em seu sistema SAP, existem vários serviços que são ativados, no entanto, apenas alguns são necessários para executar o sistema SAP. Em um sistema SAP, oLandscape, Database e Application Serverssão o alvo mais comum de ataques à rede. Muitos serviços de rede estão rodando em sua paisagem que permite o acesso a esses servidores e esses serviços devem ser monitorados cuidadosamente.

Em suas máquinas Windows / UNIX, esses serviços são mantidos em /etc/services. Você pode abrir este arquivo em uma máquina Windows, indo para o seguinte caminho -

system32/drivers/etc/services

Você pode abrir este arquivo em um Bloco de notas e revisar todos os serviços ativados em seu servidor -

Recomenda-se que você desative todos os serviços desnecessários em servidores de paisagem. Às vezes, esses serviços contêm alguns erros que podem ser usados por invasores para obter acesso não autorizado. Ao desabilitar esses serviços, você reduz as chances de um ataque à sua rede.

Para alto nível de segurança, também é recomendável usar arquivos de senha estática em seu ambiente SAP.

Chaves Privadas

O SNC usa um produto de segurança externo para realizar a autenticação entre os parceiros de comunicação. Você pode usar medidas de segurança comoPublic Key Infrastructure (PKI) e outros procedimentos para gerar e distribuir pares de chaves e para garantir que as chaves privadas dos usuários estejam devidamente protegidas.

Existem diferentes maneiras de proteger as chaves privadas para uma autorização de rede -

Solução de Hardware
Solução de Software

Vamos agora discuti-los em detalhes.

Solução de Hardware

Você pode proteger as chaves privadas para usuários usando solução de hardware onde você emite cartão inteligente para usuários individuais. Todas as chaves são armazenadas em um cartão inteligente e o usuário deve se autenticar em seus cartões inteligentes por meio da biometria, usando impressões digitais ou uma senha PIN.

Esses cartões inteligentes devem ser protegidos contra roubo ou perda por cada usuário individual e os usuários podem usar o cartão para criptografar os documentos.

Os usuários não têm permissão para compartilhar os cartões inteligentes ou dá-los a outros usuários.

Solução de Software

Também é possível usar a solução de software para armazenar chaves privadas para usuários individuais. A solução de software é uma solução menos cara em comparação com a solução de hardware, mas também é menos segura.

Quando os usuários armazenam chaves privadas em arquivos e detalhes do usuário, é necessário proteger esses arquivos para acesso não autorizado.

Quando você instala o sistema SAP pela primeira vez, alguns usuários padrão são criados para executar tarefas administrativas. Por padrão, ele cria três clientes no ambiente SAP, que são -

Cliente 000 - Cliente de Referência SAP
Cliente 001 - Cliente Modelo da SAP
Cliente 066 - Cliente SAP Early Watch

SAP cria usuários padrão no cliente mencionado acima no sistema. Cada usuário padrão tem sua própria senha padrão na primeira instalação.

Usuários padrão em um sistema SAP incluem os seguintes usuários no cliente padrão -

Do utilizador	Detalhes	Cliente	Senha padrão
SEIVA	Superusuário do sistema SAP	000.001.066	6071992
Todos os novos clientes			PASSAR
DDIC	Superusuário do dicionário ABAP	000, 001	19920706
SAPCPIC	Usuário CPI-C para SAP	000, 001	admin
EARLYWATCH	Usuário de observação antecipada	66	Apoio, suporte

Esses são os usuários padrão nos clientes SAP Default para executar tarefas administrativas e de configuração no sistema SAP. Para manter a segurança em um sistema SAP, você deve proteger esses usuários -

Você deve adicionar esses usuários ao grupo SUPER, de forma que eles sejam modificados apenas por um Administrador que tenha o privilégio de adicionar / modificar usuários ao grupo SUPER.
A senha padrão para usuários padrão deve ser alterada.

Como ver a lista de clientes em um sistema SAP?

Você pode ver a lista de todos os clientes em seu ambiente SAP usando Transaction SM30, mostre a mesa T000.

Quando você entrar na mesa, clique em Display, ele mostrará a lista de todos os clientes em seu sistema SAP. Esta tabela inclui detalhes de todos os clientes padrão e novos clientes que você cria em um ambiente para compartilhamento de recursos.

Você pode usar o relatório RSUSR003 para certificar-se de que o usuário SAP foi criado em todos os clientes e que as senhas padrão foram alteradas para SAP, DDIC e SAPCPIC.

Vamos para ABAP Editor SE38 e digite o nome do relatório e clique em EXECUTAR.

Insira o título do relatório e clique em Executebotão. Ele exibirá todos os clientes e usuários padrão no sistema SAP, Status da senha, Motivo do bloqueio de uso, Válido desde e Válido até, etc.

Protegendo o superusuário do sistema SAP

Para proteger um Superusuário do sistema SAP “SAP”, você pode executar as seguintes etapas em um sistema -

Step 1- Você precisa definir o novo Superusuário em um sistema SAP e desativar o usuário SAP. Observe que você não deve excluir o usuário SAP do sistema. Para desativar o usuário embutido no código, você pode usar o parâmetro de perfil:login/no_automatic_user_sapstar.

Se o registro mestre do usuário SAP * for excluído, é possível fazer logon com “SAP” e a senha inicial PASS.

O usuário “SAP” tem as seguintes propriedades -

O usuário tem autorizações completas, uma vez que nenhuma verificação de autorização é executada.

A senha padrão PASS não pode ser alterada.
Você pode usar o parâmetro de perfil login/no_automatic_user_sapstar desativar essas propriedades especiais do SAP e controlar o login automático do usuário SAP *.

Step 2 - Para verificar o valor deste parâmetro, execute Transaction RZ11 e insira o nome do parâmetro.

Values allowed - 0, 1, em que -

0 - O usuário SAP * automático é permitido.
1 - O usuário SAP * automático é desativado.

Step 3 - No sistema a seguir, você pode ver que o valor deste parâmetro está definido como 1. Isso mostra que o Superusuário “SAP” está desativado no sistema.

Step 4 - Clique em Display e você pode ver o valor atual deste parâmetro.

Para criar um novo Superusuário no sistema, defina um novo registro mestre de usuário e atribua o perfil SAP_ALL para este superusuário.

Proteção do usuário DDIC

Um usuário DDIC é necessário para certas tarefas relacionadas à logística de software, dicionário ABAP e tarefas relacionadas à instalação e atualização. Para proteger este usuário, é aconselhável bloqueá-lo em um sistema SAP. Você não deve excluir este usuário para executar algumas funcionalidades para uso futuro.

Para bloquear o usuário, use o código de transação: SU01.

Se você deseja proteger este usuário, você pode atribuir o SAP_ALL autorização a este usuário no momento da instalação e posteriormente bloqueá-lo.

Protegendo o usuário SAPCPIC

Um usuário SAPCPIC é usado para chamar certos programas e módulos de função em um sistema SAP e não é um usuário de diálogo.

Você deve bloquear esse usuário e alterar a senha dele para protegê-lo. Nos releases anteriores, quando você bloqueia o usuário SAPCPIC ou altera a senha, isso afeta os programas adicionais RSCOLL00, RSCOLL30 e LSYPGU01.

Protegendo o Early Watch

A 066 Client - Isso é chamado SAP Early watch e é usado para varreduras de diagnóstico e serviço de monitoramento no sistema SAP e o usuário EARLYWATCH é o usuário interativo para o serviço Early Watch no Cliente 066. Para proteger este usuário, você pode executar as seguintes ações -

Bloqueie o usuário EARLYWATCH até que não seja necessário em um ambiente SAP.
Altere a senha padrão para este usuário.

Pontos chave

Para proteger os usuários SAP Standard e os clientes no ambiente SAP, você deve considerar os seguintes pontos-chave -

Você deve manter os clientes adequadamente em um sistema SAP e garantir que não existam clientes desconhecidos.
Você precisa garantir que o superusuário SAP “SAP” exista e tenha sido desativado em todos os clientes.
Você precisa garantir que a senha padrão seja alterada para todos os usuários SAP padrão SAP, DDIC e usuário EARLYWATCH.
Você precisa se certificar de que todos os usuários Standard foram adicionados ao grupo SUPER em um sistema SAP e a única pessoa autorizada a fazer alterações no grupo SUPER só pode editar esses usuários.
Você precisa se certificar de que a senha padrão para SAPCPIC foi alterada e este usuário está bloqueado e está desbloqueado quando necessário.
Todos os usuários SAP standard devem ser bloqueados e só podem ser desbloqueados quando necessário. A senha deve ser bem protegida para todos esses usuários.

Como alterar a senha de um usuário padrão?

Você deve garantir que a senha de todos os usuários padrão SAP seja alterada em todos os clientes mantidos em Table T000 e o usuário “SAP” deve existir para todos os clientes.

Para alterar a senha, faça o login com Superusuário. Digite a ID do usuário no campo Nome de usuário para o qual deseja alterar a senha. Clique na opção Alterar senha, conforme mostrado na imagem a seguir -

Digite a nova senha, repita a senha e clique em Apply. Você deve repetir o mesmo processo para todos os usuários padrão.

Para implementar a segurança em um sistema SAP, é necessário monitorar o login malsucedido em um ambiente SAP. Quando alguém tenta fazer o login em um sistema usando uma senha incorreta, o sistema deve bloquear o nome de usuário por algum tempo ou a sessão deve ser encerrada após um número definido de tentativas.

Vários parâmetros de segurança podem ser definidos para tentativas de logon não autorizadas -

Encerrando uma Sessão
Bloqueando o usuário
Ativando protetores de tela
Monitorando tentativas de logon sem sucesso
Gravando tentativas de logon

Vamos agora discutir cada um deles em detalhes.

Encerrando uma Sessão

Quando houver um número múltiplo de tentativas de login malsucedidas em um único ID de usuário, o sistema encerrará a sessão para esse usuário. Deve ser enviado usando um parâmetro de Perfil -login/fails_to_session_end.

Para alterar o valor do parâmetro, execute a transação RZ10e selecione o Perfil como mostrado na imagem a seguir. Selecione Manutenção Estendida e clique emDisplay.

Selecione o parâmetro que deseja alterar e clique no Parameter botão na parte superior como mostrado abaixo.

Ao clicar na guia Parâmetro, você pode alterar o valor do parâmetro em uma nova janela. Você também pode criar o novo parâmetro clicando noCreate (F5) botão.

Para ver os detalhes desse parâmetro, execute o Código de transação: RZ11 e digite o nome do perfil - login/fails_to_session_end e o clique em Display Document.

Parameter - login / fail_to_session_end
Short text - Número de tentativas de login inválidas até o final da sessão.
Parameter Description - Número de tentativas de login inválidas que podem ser feitas com um registro mestre do usuário até que o procedimento de login seja encerrado.
Application Area - Logon
Default Value - 3
Who is permitted to make changes? - Cliente
Operating System Restrictions - nenhum
Database System Restrictions - nenhum
Are other parameters affected or dependent? - nenhum
Values allowed - 1 - 99

Na imagem acima, você pode ver que o valor deste parâmetro está definido como 3, ou seja, o valor padrão também. Após 3 tentativas de login malsucedidas, a sessão será encerrada para um único usuário.

Bloqueando o usuário

Você também pode verificar uma ID de usuário específica, se um número definido de tentativas consecutivas sem sucesso de logon for excedido em uma única ID de usuário. Defina o número de tentativas de logon inválidas permitidas no parâmetro de perfil:login/fails_to_user_lock.

É possível definir um bloqueio em IDs de usuário específicos.
Os bloqueios são aplicados em um ID de usuário até meia-noite. No entanto, ele também pode ser removido manualmente a qualquer momento por um administrador do sistema.
Em um sistema SAP, você também pode definir um valor de parâmetro que permite que o bloqueio seja colocado na ID do usuário até que sejam removidos manualmente. Nome do parâmetro:login/failed_user_auto_unlock.

Profile parameter: login/fails_to_user_lock

Cada vez que uma senha de logon incorreta é inserida, o contador de logon com falha para o registro mestre de usuário relevante é aumentado. As tentativas de logon podem ser registradas no Log de auditoria de segurança. Se o limite especificado por este parâmetro for excedido, o usuário relevante é bloqueado. Este processo também é registrado no Syslog.

O bloqueio não é mais válido após o término do dia atual. (Outra condição −login / failed_user_auto_unlock)

O contador de logon com falha é redefinido assim que o usuário faz logon usando a senha correta. Logons que não são baseados em senha não têm nenhum efeito no contador de logon com falha. No entanto, os bloqueios de logon ativo são verificados para cada logon.

Values allowed - 1 - 99

Para ver o valor atual deste parâmetro, use T-Code: RZ11.

Parameter name - login / failed_user_auto_unlock
Short text - Desative o desbloqueio automático do usuário bloqueado à meia-noite.
Parameter Description- Controla o desbloqueio de usuários bloqueados por login incorreto. Se o parâmetro for definido como 1, os bloqueios que foram definidos devido a tentativas de logon com senha com falha se aplicam apenas no mesmo dia (como o bloqueio). Se o parâmetro for definido como 0, os bloqueios permanecem em vigor.
Application Area - Logon.
Default Value - 0.

Ativando protetores de tela

Os administradores do sistema também podem ativar protetores de tela para proteger a tela do frontend de qualquer acesso não autorizado. Esses protetores de tela podem ser protegidos por senha.

Monitoramento de tentativas de logon malsucedidas e registro de tentativas de logon

Em um sistema SAP, você pode usar o relatório RSUSR006para verificar se há usuários que tentaram alguma tentativa malsucedida de logon no sistema. Este relatório contém detalhes sobre o número de tentativas de login incorretas por um usuário e os bloqueios do usuário e você pode agendar este relatório de acordo com sua necessidade.

Vamos para ABAP Editor SE38 e digite o nome do relatório e clique em EXECUTE.

Neste relatório, você tem detalhes diferentes como nome de usuário, tipo, criado em, criador, senha, bloqueio e detalhes de login incorretos.

Em um sistema SAP, também é possível usar o Log de auditoria de segurança (transações SM18, SM19 e SM20) para registrar todas as tentativas de logon bem ou malsucedidas. Você pode analisar os logs de auditoria de segurança usando a transação SM20, mas a auditoria de segurança deve ser ativada no sistema para monitorar os logs de auditoria de segurança.

Desconectando usuários ociosos

Quando um usuário já está conectado a um sistema SAP e a sessão está inativa por um período específico, você também pode configurá-lo para fazer logoff para evitar qualquer acesso não autorizado.

Para ativar essa configuração, você precisa especificar este valor no parâmetro do perfil: rdisp/gui_auto_logout.

Parameter Description- Você pode definir que os usuários SAP GUI inativos sejam desconectados automaticamente de um sistema SAP após um período predefinido. O parâmetro configura desta vez. O logoff automático no sistema SAP é desativado por padrão (valor 0), ou seja, os usuários não são desconectados mesmo que não executem nenhuma ação por um período maior.
Values allowed- n [unidade], onde n> = 0 e Unidade = S | M | H | D

Para ver o valor atual do parâmetro, execute o T-Code: RZ11.

A tabela a seguir mostra a lista de parâmetros-chave, seus valores padrão e permitidos em um sistema SAP -

Parâmetro	Descrição	Padrão	Valor Permitido
Login / fail_to_session_end	Número de tentativas de login inválidas até o final da sessão	3	1-99
Login / fail_to_user_lock	Número de tentativas de login inválidas até o bloqueio do usuário	12	1-99
Login / failed_user_auto_unlock	Quando conjuntos t 1: os bloqueios são aplicados no dia em que são definidos. Eles são removidos no dia seguinte quando o usuário faz logon	1	0 ou 1
rdisp / gui_auto_output	Tempo máximo de inatividade para um usuário em segundos	0 (sem limite)	irrestrito

O SAP System Authorization Concept trata da proteção do sistema SAP contra a execução de transações e programas contra acesso não autorizado. Você não deve permitir que os usuários executem transações e programas no sistema SAP até que tenham definido a autorização para esta atividade.

Para tornar seu sistema mais seguro e implementar uma autorização forte, você precisa revisar seu plano de autorização para se certificar de que ele atende aos requisitos de segurança da empresa e que não há violações de segurança.

Tipos de usuário

Em versões anteriores do sistema SAP, os tipos de usuário eram divididos apenas em duas categorias - usuários de diálogo e usuários sem diálogo e apenas usuários sem diálogo eram recomendados para comunicação entre dois sistemas. Com SAP 4.6C, os tipos de usuário foram divididos nas seguintes categorias -

Dialog User- Este usuário é usado para acesso individual ao sistema interativo e a maior parte do trabalho do cliente é realizada usando um usuário de diálogo. A senha pode ser alterada pelo próprio usuário. No diálogo do usuário, vários logons de diálogo podem ser evitados.
Service User- Isso é usado para executar o acesso do sistema interativo para executar alguma tarefa predeterminada, como exibição do catálogo de produtos. Vários logins permitidos para este usuário e apenas um administrador pode alterar a senha deste usuário.
System User- Este ID de usuário é usado para realizar a maioria das tarefas relacionadas ao sistema - Sistema de Gerenciamento de Transporte, Definição de Fluxos de Trabalho e ALE. Não é um usuário dependente do sistema interativo e há vários logins permitidos para este usuário.
Reference User- Um usuário de referência não é usado para fazer login em um sistema SAP. Este usuário é usado para fornecer autorização adicional para usuários internos. Em um sistema SAP, você pode ir para a guia Funções e especificar um usuário de referência para direitos adicionais para usuários de diálogo.
Communication Users- Este tipo de usuário é usado para manter o login sem diálogo entre diferentes sistemas como conexão RFC, CPIC. O logon de diálogo usando SAP GUI não é possível para usuários de comunicação. Um tipo de usuário pode alterar suas senhas como usuários comuns de diálogo. O módulo funcional RFC pode ser usado para alterar a senha.

O Código de Transação: SU01é usado para criação de usuário em um sistema SAP. Na tela a seguir, você pode ver diferentes tipos de usuário em um sistema SAP na Transação SU01.

Criação de um usuário

Para criar um usuário ou vários usuários com direitos de acesso diferentes em um sistema SAP, você deve seguir as etapas fornecidas a seguir.

Step 1 - Use o código de transação - SU01.

Step 2 - Digite o nome de usuário que deseja criar, clique no ícone criar como mostrado na imagem a seguir.

Step 3- Você será direcionado para a próxima guia - a guia Endereço. Aqui, você precisa inserir os detalhes como nome, sobrenome, número de telefone, ID de e-mail, etc.

Step 4 - Você será direcionado para a próxima guia - Logon Data. Insira o tipo de usuário na guia Logon data. Temos cinco tipos de usuários diferentes.

Step 5 - Digite a primeira senha de login → Nova senha → Repetir senha.

Step 6 - Você será direcionado para a próxima guia - Funções - Atribua as funções ao usuário.

Step 7 - Você será direcionado para a próxima guia - Perfis - Atribuir os perfis aos usuários.

Step 8 - Clique em Salvar para receber a confirmação.

Administração Central de Usuários (CUA)

A Administração Central de Usuários é um dos principais conceitos que permite gerenciar todos os usuários em um panorama do sistema SAP usando um sistema central. Usando esta ferramenta, você pode gerenciar todos os registros mestre do usuário centralmente em um sistema. Um administrador central de usuários permite que você economize dinheiro e recursos no gerenciamento de usuários semelhantes em um system landscape.

As vantagens da Administração Central de Usuários são -

Ao configurar o CUA no SAP landscape, você pode criar ou excluir usuários usando apenas o sistema central.
Todas as funções e autorizações necessárias existem em um sistema filho em formulários ativos.
Todos os usuários são monitorados e gerenciados centralmente, o que torna a tarefa de administração fácil e uma visão mais clara de todas as atividades de gerenciamento de usuários em um cenário de sistema complexo.
O Administrador Central de Usuários permite que você economize dinheiro e recursos no gerenciamento de usuários semelhantes em um panorama do sistema.

As trocas de dados realizadas usando o ALE paisagem chamada de Application Link Enablingque permite a troca de dados de forma controlada. O ALE é usado pelo Administrador Central de Usuários para troca de dados com sistemas filho em uma paisagem do sistema SAP.

Em um ambiente de paisagem complexo, você define um sistema como o sistema Central com ambiente ALE e isso é vinculado a todos os sistemas filho usando a troca de dados bidirecional. O sistema filho na paisagem não está conectado entre si.

Para implementar a Administração Central de Usuários, os seguintes pontos devem ser considerados:

Você precisa de um ambiente SAP com vários clientes em um ambiente único / distribuído.
Administrador para gerenciar usuários, precisa de autorização nos seguintes códigos de transação -
- SU01
- SCC4
- SCUA
- SCUM
- SM59
- BD54
- BD64
Você deve criar uma relação de confiança confiável entre os sistemas.
Você deve criar usuários do sistema no sistema central e no sistema filho.
Crie o sistema lógico e atribua o sistema lógico ao cliente correspondente.
Crie a vista do modelo e BAPI para a vista do modelo.
Crie um administrador central de usuários e defina os parâmetros de distribuição dos campos.
Sincronizar endereços de empresas
Transferir usuários

Em um ambiente gerenciado centralmente, você precisa primeiro criar um Administrador. Faça logon em todos os sistemas lógicos do futuro CUA como usuário SAP * com a senha padrão PASS.

Execute a transação SU01 e criar um usuário com função de administrador atribuída a ele.

Para definir um sistema lógico use Transaction BD54. Clique em New Entries para criar um novo sistema lógico.

Crie um novo nome lógico em letras maiúsculas para a Administração Central do Usuário para sistemas centrais e todos os sistemas filho, incluindo aqueles de outros sistemas SAP.

Para identificar facilmente o sistema, você tem a seguinte convenção de nomenclatura que pode ser usada para identificar o sistema de Administração Central do Usuário -

<System ID>CLNT<Client>

Insira alguma descrição útil de um sistema lógico. Salve sua entrada clicando noSavebotão. Em seguida, é criar o nome do sistema lógico para o sistema central em todos os sistemas filho.

Para atribuir um sistema lógico a um cliente, use Transação SCC4 e mude para o modo Alterar.

Abra o cliente que deseja atribuir ao sistema lógico clicando duas vezes ou clicando no Detailsbotão. Um cliente só pode ser atribuído a um sistema lógico.

Em um campo de sistema lógico nos detalhes do cliente, insira um nome de sistema lógico ao qual deseja atribuir este cliente.

Execute as etapas acima para todos os clientes em um ambiente SAP que você deseja incluir no Administrador Central de Usuários. Para salvar suas configurações, clique noSave botão na parte superior.

Protegendo Perfis Específicos no SAP

Para manter a segurança em um sistema SAP, você precisa manter perfis específicos que contenham autorização crítica. Existem vários perfis de autorização SAP que você precisa proteger em um sistema SAP com autorização total.

Alguns perfis que precisam ser protegidos em um sistema SAP são -

SAP_ALL
SAP_NEW
P_BAS_ALL

SAP_ALL Authorization Profile

Um perfil de autorização SAP_ALL permite que o usuário execute todas as tarefas em um sistema SAP. Este é o perfil composto que contém todas as autorizações em um sistema SAP. Os usuários com esta autorização podem realizar todas as atividades em um sistema SAP, portanto este perfil não deve ser atribuído a nenhum usuário em seu sistema.

Recomenda-se que um único usuário seja mantido com um perfil. Embora a senha deva ser bem protegida para esse usuário e só deve ser usada quando for necessária.

Em vez de atribuir autorizações SAP_ALL, você deve atribuir autorizações individuais aos usuários apropriados. Seu sistema Superusuário / Administração do sistema, em vez de atribuir autorização SAP_ALL a eles, você deve usar as autorizações individuais necessárias.

Autorização SAP_NEW

Uma autorização SAP_NEW contém todas as autorizações exigidas em uma nova versão. Quando uma atualização do sistema é feita, este perfil é usado para que algumas tarefas sejam executadas corretamente.

Você deve se lembrar dos seguintes pontos sobre esta autorização -

Quando uma atualização do sistema é executada, você precisa excluir os perfis SAP_NEW das versões anteriores.
Você precisa atribuir autorizações separadas no perfil SAP_NEW a diferentes usuários em seu ambiente.
Este perfil não deve ser mantido ativo por muito tempo.
Quando você tem uma longa lista de perfis SAP_NEW no ambiente, isso mostra que você precisa revisar sua política de autorização no sistema.

Para ver a lista de todos os perfis SAP_NEW, você deve selecionar este perfil clicando duas vezes e então → ir para Choose.

P_BAS_ALL Autorização

Esta autorização permite que o usuário visualize o conteúdo das tabelas de outros aplicativos. Esta autorização contémP_TABU_DISautorização. Esta autorização permite que o usuário PA veja o conteúdo da tabela que não pertence ao seu grupo.

Manutenção da função PFCG

A manutenção de funções PFCG pode ser usada para gerenciar funções e autorização em um sistema SAP. No PFCG, a função representa um trabalho que uma pessoa realiza relacionado a cenários da vida real. O PFCG permite definir um conjunto de transações que podem ser atribuídas a uma pessoa para realizar seu trabalho diário.

Quando as funções são criadas em uma transação PFCG, você pode usar a transação SU01para atribuir essas funções a usuários individuais. Um usuário em um sistema SAP pode ser atribuído a vários números de funções e que estão relacionadas às suas tarefas diárias na vida real.

Essas funções estão em conexão entre o usuário e as autorizações em um sistema SAP. As autorizações e perfis reais são armazenados na forma de objetos em um sistema SAP.

Usando o PFCG Role Maintenance, você pode executar as seguintes funções -

Alteração e atribuição de funções
Criação de funções
Criação de funções compostas
Funções de transporte e distribuição

Vamos agora discutir essas funções em detalhes.

Alteração e atribuição de funções

Executar transação: PFCG

Isso o levará à janela de manutenção de funções. Para alterar a função existente, insira o nome da função entregue no campo.

Copie a função padrão clicando no botão Copiar função. Insira o nome do namespace. Clique no botão de seleção de valor e selecione a função para a qual deseja copiar.

Você também pode selecionar as funções entregues pelo SAP começa com SAP_, mas as funções padrão serão substituídas.

Para alterar a função, clique no Change botão na manutenção da função.

Navegue até a guia Menu para alterar o menu do usuário na página da guia Menu. Vá para a guia Autorização para alterar os dados de autorização desse usuário.

Você também pode usar o Modo especialista para ajustar as autorizações para as alterações do menu em Autorização. Clique no botão Gerar para gerar o perfil para esta função.

Para atribuir os usuários a esta função, vá para a guia Usuário na opção Modificar função. Para atribuir um usuário a esta função, ela deve existir no sistema.

Você também pode realizar uma comparação de usuário, se necessário. Clique na opção Comparação de usuários. Você também pode clicar no botão Informações para saber mais sobre funções simples e compostas e a opção Comparação de usuários para comparar os registros mestre.

Criação de funções no PFCG

Você pode criar funções únicas e funções compostas no PFCG. Insira o nome da função e clique em Create Single ou Composite Roles como mostrado na captura de tela abaixo.

Você pode selecionar no namespace do cliente como Y_ ou Z_. As funções entregues pela SAP começam com SAP_ e você não pode tirar o nome das funções entregues pela SAP.

Depois de clicar no botão Criar função, você deve adicionar transações, relatórios e endereços da Web na guia MENU na definição de função.

Navegue até a guia Autorização para gerar o Perfil, clique na opção Alterar dados de autorização.

De acordo com sua seleção de atividades, você será solicitado a inserir os níveis organizacionais. Quando você insere um determinado valor na caixa de diálogo, os campos de autorização de matriz da função são mantidos automaticamente.

Você pode adaptar a referência para as funções. Depois que uma definição de função é feita, você precisa gerar a função. Clique em Gerar (Shift + F5).

Nesta estrutura, quando você vê semáforos vermelhos, mostra os níveis organizacionais sem valores. Você pode inserir e alterar os níveis organizacionais com os níveis da organização ao lado da guia Mantido.

Insira o nome do Perfil e clique na opção de marcação para concluir a etapa Gerar.

Clique em Savepara salvar o perfil. Você pode atribuir essa função diretamente aos usuários, acessando as guias Usuário. De maneira semelhante, você pode criar funções compostas usando a opção de manutenção de funções PFCG.

Funções de transporte e distribuição

Execute a Transação - PFCG e insira o nome da função que deseja transportar e clique em Função de Transporte.

Você alcançará a opção de transporte de função. Você tem várias opções nas funções de transporte -

Transporte funções únicas para funções compostas.
Perfis gerados de transporte para funções.
Dados de personalização.

Na próxima caixa de diálogo, você deve mencionar a atribuição do usuário e os dados de personalização também devem ser transportados. Se as atribuições do usuário também forem transportadas, elas substituirão toda a atribuição de funções do usuário no sistema de destino.

Para bloquear um sistema de forma que as atribuições de funções do usuário não possam ser importadas, insira-o na tabela do Customizing PRGN_CUST usando transação SM30 e selecione o campo de valor USER_REL_IMPORT number.

Esta função é inserida na solicitação de customizing. Você pode ver isso usando TransactionSE10.

Na solicitação do Customizing, os perfis de autorização são transportados junto com as funções.

Transação do sistema de informações de autorização - SUIM

No Gerenciamento de autorização, SUIM é uma ferramenta-chave com a qual você pode localizar os perfis de usuário em um sistema SAP e também atribuir esses perfis a essa ID de usuário. O SUIM fornece uma tela inicial que fornece opções para Pesquisar usuários, funções, perfis, autorizações, transações e comparação.

Para abrir o Sistema de Informações do Usuário, execute a transação: SUIM.

Em um Sistema de informação do usuário, existem nós diferentes que podem ser usados para executar funções diferentes em um sistema SAP. Como em um nó de usuário, você pode realizar uma pesquisa em usuários com base em critérios de seleção. Você pode obter a lista bloqueada de usuários, usuários com acesso a um determinado conjunto de transações, etc.

Ao expandir cada guia, você tem a opção de gerar relatórios diferentes com base em critérios de seleção diferentes. Como quando você expande a guia do usuário, você tem as seguintes opções -

Ao clicar em usuários por critérios de seleção complexos, você pode aplicar várias condições de seleção simultaneamente. A captura de tela a seguir mostra os diferentes critérios de seleção.

Nó de Função

De maneira semelhante, você pode acessar diferentes nós, como Funções, Perfis, Autorizações e várias outras opções neste sistema de informações do usuário.

Você também pode usar a ferramenta SUIM para pesquisar funções e perfis. Você pode atribuir uma lista de transações a um determinado conjunto de IDs de usuário, executando uma pesquisa por transação e atribuição no SUIM e atribuir essas funções a esse ID de usuário.

Usando o sistema de informações do usuário, você pode realizar várias pesquisas em um sistema SAP. Você pode inserir diferentes critérios de seleção e obter os relatórios com base em usuários, perfis, funções, transações e vários outros critérios.

RSUSR002 - Usuários por critérios de seleção complexos.

Você precisa tomar várias medidas de segurança ao usar certas propriedades, arquivos ou serviços Unix, proteger arquivos de senha e desativar serviços remotos BSD para rlogin e remsh.

Proteção de senha

Em uma plataforma Unix, um invasor pode usar o programa de ataque de dicionário para descobrir informações de senha armazenadas no sistema operacional Unix. Você pode armazenar as senhas em um arquivo de senha de sombra e apenas um usuário root pode ter acesso a esse arquivo para melhorar a segurança em um sistema.

Desativando Serviços Remotos

Os serviços BSD Remote permitem acesso remoto a sistemas Unix. Quando uma conexão remota é iniciada/etc/host.equiv e $HOME/.rhosts são usados e caso esses arquivos contenham informações sobre o nome do host e o endereço IP da fonte de conexão ou qualquer caractere curinga, não há necessidade de inserir a senha ao efetuar login.

Os serviços remotos rlogin e remsh são uma ameaça à segurança neste cenário e você precisa desativar esses serviços. Você pode desativar esses serviços acessandoinetd.conf arquivo no sistema Unix.

Em um sistema Unix, o rlogin é um cliente shell remoto (como SSH), que é projetado para ser rápido e pequeno. Não é criptografado, o que pode ter algumas pequenas desvantagens em ambientes de alta segurança, mas pode operar em velocidades muito altas. O servidor e o cliente não usam muita memória.

Protegendo o sistema de arquivos de rede no UNIX

Em uma plataforma UNIX, um Network File System é usado para acessar os diretórios de transporte e trabalho na rede a partir de um sistema SAP. Para acessar diretórios de trabalho, o processo de autenticação envolve endereços de rede. É possível que o acesso não autorizado seja obtido por invasores no Network File System usando falsificação de IP.

Para tornar o sistema seguro, você não deve distribuir o diretório inicial pelo Network File System e a autorização de gravação para esses diretórios deve ser cuidadosamente atribuída.

SAP System Directory Access para SAP System em UNIX

Você deve definir os seguintes direitos de acesso para SAP System Directories no UNIX -

SAP Directory	Octal form Access Privilege	Proprietário	Grupo
/ sapmnt / <SID> / exe	775	<sid> adm	sapsys
/ sapmnt / <SID> / exe / saposcol	4755	raiz	sapsys
/ sapmnt / <SID> / global	700	<sid> adm	sapsys
/ sapmnt / <SID> / profile	755	<sid> adm	sapsys
/ usr / sap / <SID>	751	<sid> adm	sapsys
/ usr / sap / <SID> / <Instance ID>	755	<sid> adm	sapsys
/ usr / sap / <SID> / <Instance ID> / *	750	<sid> adm	sapsys
/ usr / sap / <SID> / <Instance ID> / s	700	<sid> adm	sapsys
/ usr / sap / <SID> / SYS	755	<sid> adm	sapsys
/ usr / sap / <SID> / SYS / *	755	<sid> adm	sapsys
/ usr / sap / trans	775	<sid> adm	sapsys
/ usr / sap / trans / *	770	<sid> adm	sapsys
/usr/sap/trans/.sapconf	775	<sid> adm	sapsys
<diretório inicial de <sid> adm>	700	<sid> adm	sapsys
<diretório inicial de <sid> adm> / *	700	<sid> adm	sapsys

Você precisa criar diferentes usuários e grupos na plataforma Windows para executar seu sistema SAP com segurança. Para facilitar a tarefa de gerenciamento de usuários, sugere-se adicionar todos os usuários WIN NT ao grupo de usuários com direitos de acesso corretos no nível do sistema operacional. No sistema operacional Windows, existem diferentes níveis de grupo -

Grupos Globais
Grupos Locais

Grupos Globais

Grupos globais no WIN estão disponíveis no nível do domínio e podem ser usados para atribuir usuários de vários servidores. Os grupos globais estão disponíveis para todos os servidores em um domínio.

Você pode selecionar o nome dos grupos globais de acordo com sua conveniência. No entanto, é recomendado o uso de convenções de nomenclatura de acordo com oSAP R/3 System Installation, que é o grupo global padrão para administradores de sistema SAP e é definido como SAP_<SID>_GlobalAdmin.

Na plataforma Windows, existem vários grupos globais comumente criados que podem ser usados para executar um sistema SAP -

SAPadmin - Este grupo contém uma lista de todos os administradores do sistema SAP.
SAPusers - Este grupo contém uma lista de todos os usuários do aplicativo SAP.
SAPservices - Este grupo contém uma lista de todos os programas do sistema SAP.
Domain Admin - Este grupo contém uma lista de todos os administradores de todos os domínios.

Grupos Locais

Os grupos locais na plataforma Windows são limitados a um servidor em um domínio. Durante a instalação, os direitos são atribuídos a usuários individuais e não a grupos. No entanto, é recomendável atribuir direitos de acesso a grupos locais em vez de usuários únicos.

Os grupos locais são usados para aumentar a segurança do ambiente Windows em domínios compartilhados. Você pode ainda atribuir usuários globais e grupos globais a um grupo local. Você pode criar um grupo local com qualquer nome, mas é recomendável usar o nome do grupo local como:SAP_<SID>_LocalAdmin.

Você pode definir várias relações entre usuários, grupos locais e grupos globais -

Um único usuário pode fazer parte de um grupo global e também de um grupo local.
Você também pode incluir um grupo global em um grupo local.

Usuários padrão em uma plataforma Windows

Quando você executa o sistema SAP em uma plataforma Windows, existem usuários padrão que devem ser gerenciados com cuidado. A seguir estão alguns dos usuários padrão do Windows -

Window NT User -

Administrator - Contas de administrador com acesso a todos os recursos.
Guest - Acesso apenas de convidado a todos os recursos do sistema.

SAP System User -

<SID>ADM SAP - Administrador do sistema com acesso total a todos os recursos SAP.
SAPService<SID> - Usuário especial responsável pela execução de serviços SAP.

Database Users -

<DBService> - Para executar serviços específicos de banco de dados na plataforma Windows.
<DBuser> - Usuário de banco de dados para realizar operações gerais de banco de dados.

Além disso, observe que os usuários Administrador e Convidado são criados durante o processo de instalação e são usados para executar tarefas específicas do Windows. Todos esses usuários devem ser protegidos em uma plataforma Windows.

É crítico e essencial proteger seus usuários de banco de dados em um sistema SAP. Um banco de dados pode ser um banco de dados Oracle, SQL Server ou um banco de dados MYSQL. Você precisa proteger os usuários padrão desses bancos de dados. A senha deve ser protegida para usuários padrão e deve ser alterada regularmente.

Usuários Oracle Standard

A tabela a seguir mostra a lista de usuários padrão no ambiente Windows. A senha deve ser mantida para todos esses usuários.

Nome do usuário	Tipo	Método de alteração de senha
<SID> ADM	Usuário do sistema operacional	OPS $ mecanismo
SAPServic <SID>	Usuário do sistema operacional	OPS $ mecanismo
SYS (interno)	Usuário do sistema operacional	SAPDBA
SISTEMA	Usuário do sistema operacional	SAPDBA
SAPR3	Usuário do sistema operacional	SAPDBA

Como criar um usuário OPS $ para <SID> ADM?

Para criar um usuário OPS $, você precisa fazer o login com o <SID> ADM. Você deve primeiro parar o sistema SAP se ele estiver em execução e, em seguida, executar o comando fornecido a seguir.

Create user OPS$<adm_user> default tablespace psapuserid temporary tablespace psaptemp identified externally;

Aqui, o <adm_user> está -

<SID> ADM para versões mais antigas do Oracle
<domain_name> \ <SID> Lançamentos mais recentes do ADM

Então você deve seguir os passos abaixo -

Conceda conexão, recurso para OPS $ <adm_user & gtl;
Conecte /
Criar tabela SAPUSER (USERID Varchar (20), PASSWD VARCHAR2 (20));
Inserir em valores SAPUSER ('SAPR3', '<senha>);
Conecte interno
Altere o usuário SAPR3 identificado por <password>;

De maneira semelhante, você pode criar OPS$ para SAPService<SID>. No comando a seguir, você deve usar SAP_service_user em vez de adm_user.

Create user OPS$<SAP_service_user> default tablespace psapuserid temporary tablespace psaptemp identified externally;

Aqui, o <SAP_service_user> é -

SAPService <SID> para versões mais antigas da Oracle
<domain_name> \ SAPservice <SID> para versões mais recentes

Gerenciamento de senha para usuários de banco de dados

É necessário gerenciar senhas para usuários padrão em seu banco de dados. Existem vários utilitários que você pode usar para alterar a senha.

Como alterar a senha de um usuário DBA usando SAPDBA?

A senha pode ser alterada para um usuário DBA usando a linha de comando ou GUI. Para alterar a senha usando a linha de comando, você deve usar o seguinte comando -

Sapdba [-u <user1>/<user1_password>] –user2 <user2_password>

No comando acima, user1 é o usuário do banco de dados que SAPDBA usa para fazer logon no banco de dados.

<user1_password> é a senha para a senha do usuário1.
<user2> mostra o usuário do banco de dados para o qual a senha deve ser alterada.
<user2_password> é a nova senha para o mesmo usuário.

Caso queira fazer o login usando o nome de usuário “SYSTEM” com sua senha padrão, você pode omitir –u do comando.

Sapdba –u system/<system_password>] –sapr3 <sapr3_password>

Como alterar a senha do SAPR3 usando SVRMGRL?

O SVRMGRL é um utilitário antigo enviado com versões anteriores do Oracle e usado para executar as funções de banco de dados mencionadas abaixo. Nas versões mais recentes, os comandos do Server Manager agora estão disponíveis emSQL*Plus.

Criando Banco de Dados
Iniciar e desligar o banco de dados
Recuperação de Banco de Dados
Gerenciamento de senha

Para alterar a senha, você deve seguir os passos abaixo -

Inicie o SVRMGRL.
Conecte-se ao banco de dados usando o comando connect internal.
SVRMGR> conectar interno.
Connected.

A próxima etapa é atualizar a tabela SAPUSER inserindo o comando fornecido a seguir -

Update OPS$ <SID>ADM.SAPUSER set PASSWD = ’<new_password>’ where USERID = ’SAPR3’;

Você deve atualizar a senha para SAPR3 no banco de dados usando a linha de comando.

Alter o usuário sapr3 é identificado por <new_password>

Single Sign-On (SSO)é um dos principais conceitos que permite que você faça o login em um sistema e possa acessar vários sistemas no backend. O SSO permite que o usuário acesse recursos de software em sistemas SAP no back-end.

o SSO with NetWeaverA plataforma fornece autenticação de usuário e ajuda os administradores de sistema a gerenciar as cargas de usuário em um cenário de sistema SAP complexo. A configuração de SSO simplifica o processo de como um usuário efetua login nos sistemas SAP e aplicativos em paisagem, melhorando as medidas de segurança e reduzindo as tarefas de gerenciamento de senha para vários sistemas.

O SSO ajuda uma organização a reduzir seu custo operacional, diminuindo o número de chamadas para o Service Desk relacionadas a problemas de senha e, portanto, aumentar a produtividade dos usuários de negócios. O mecanismo de integração SAP NetWeaver permite que você integre facilmente seu sistema SAP NetWeaver no conceito SSO e fornece acesso fácil a sistemas de back-end no SAP System Landscape Environment.

Conceito SAP Single Sign-On

O Single Sign-On pode ser configurado com mySAP Workplace, que permite que um usuário efetue login no mySAP Workplace diariamente e eles podem acessar os aplicativos sem inserir repetidamente seu nome de usuário e senha.

Você pode configurar o SSO com mySAP Workplace usando os seguintes métodos de autenticação -

Usuário e senha
Tíquetes de logon SAP
Certificados de cliente X.509

Integração em Single Sign-On

O SSO com plataforma NetWeaver fornece autenticação de usuário e ajuda os administradores de sistema a gerenciar as cargas de usuário em um cenário de sistema SAP complexo. A configuração SSO simplifica o processo de login do usuário em sistemas SAP e aplicativos em paisagem, aprimorando as medidas de segurança e reduzindo as tarefas de gerenciamento de senha para vários sistemas.

O uso do SAP NetWeaver permite configurar diferentes mecanismos que usuários autorizados usam para acessar o sistema NetWeaver usando o método SSO. O mecanismo de login no sistema depende da tecnologia do sistema SAP NetWeaver e dos diferentes canais de comunicação usados para acessar esses sistemas.

Configurando o Single Sign-On em um SAP GUI

Para configurar um Single Sign-On, você precisa ter acesso aos seguintes códigos T -

RZ10
STRUST

Depois de ter esses códigos T, você deve seguir as etapas abaixo -

Step 1 - Faça login em qualquer sistema SAP ECC usando o SAP GUI, vá para o código T RZ10.

Step 2 - Selecione o perfil Padrão e Manutenção estendida depois disso.

Step 3 - Clique em Alterar e você verá a lista de parâmetros do perfil.

Step 4 - Altere os seguintes parâmetros de perfil -

Step 5- Salvar e ativar o perfil. Isso irá gerar um novo perfil.

Step 6 - Exporte o R3SSO certificado do Trust Manager, vá para a transação STRUST.

Step 7- Clique duas vezes na caixa de texto à direita do certificado próprio. As informações do certificado são exibidas. Anote os valores deste certificado conforme você precisa inseri-los.

Step 8 - Clique no ícone Exportar certificado.

Step 9 - Salve o arquivo como <R3_Name> - <Client> .crt.

Example - EBS-300.crt

Step 10 - Clique na caixa de seleção para criar o arquivo no diretório pai.

Step 11 - Importar R3 SSO certificado para o mecanismo Java usando a ferramenta do administrador.

Note - Certifique-se de que o mecanismo Java foi iniciado.

Step 12 - Abra a ferramenta de administração Java.

Step 13 - Digite a senha do administrador do Java Engine e clique em Conectar.

Step 14 - Escolha Servidor → Chave de serviços → Armazenamento.

Step 15 - Clique em Ticket Key Store no painel View.

Step 16- Clique em Carregar na caixa de grupo Entrada. Selecione o arquivo .crt que você exportou na etapa anterior.

Step 17 - Configure o serviço Security Provider no mecanismo SAP Java usando a ferramenta Administrator.

Step 18 - Escolha o provedor de segurança de serviços de servidor.

Step 19 - Escolha o tíquete no painel Componente e vá para a guia Autenticação.

Step 20 - Modifique as opções de Avaliar Módulo de Login do Ticket e adicione as seguintes propriedades a cada sistema back-end no qual você deseja configurar o SSO.

Logon único para acesso baseado na web

Você pode configurar várias opções com SSO para acessar o sistema SAP NetWeaver. Você também pode acessar o sistema SAP NetWeaver por meio de um navegador da web ou de algum outro cliente da web. Usando o SSO, os usuários podem acessar sistemas de back-end e outras informações seguras localizadas na rede da empresa.

O SSO permite que você use vários métodos de autenticação de segurança para integrar o acesso do usuário baseado na web em servidores de aplicativos NetWeaver. Você também pode implementar vários métodos de segurança de comunicação de rede, como criptografia, para enviar as informações pela rede.

Os métodos de autenticação a seguir podem ser configurados com SSO para acessar dados em servidores de aplicativos -

Usando ID de usuário e autenticação de senha
Usando tíquetes de logon
Usando certificados de cliente X.509
Usando artefatos do navegador SAML
Usando SAML 2.0
Usando autenticação Kerberos

Ao acessar dados pela Internet, você também pode usar o mecanismo de segurança na Camada de Rede e Transporte.

Você pode configurar os tíquetes de logon SAP assinados digitalmente para configurar com um Single Sign-On para acessar aplicativos integrados em um ambiente SAP. Você pode configurar um portal para emitir tíquetes de logon SAP para os usuários e os usuários precisam autenticar este sistema para acesso inicial. Quando tíquetes de logon SAP são emitidos para usuários, eles são salvos em navegadores da web e permitem que o usuário faça logon em sistemas diferentes com o uso de SSO.

Em um servidor de aplicativos ABAP, existem dois tipos diferentes de tíquete de logon que podem ser configurados -

Logon Tickets - Esses tíquetes permitem acesso baseado na web usando o método SSO.
Authentication Assertion Tickets - Esses tickets são usados para comunicação de sistema para sistema.

Para configurar tíquetes de logon SAP, os seguintes parâmetros devem ser definidos no perfil do usuário.

login / accept_sso2_ticket

Você pode usar tickets de Single Sign-On (SSO) para permitir um SSO entre sistemas SAP e até mesmo além dos sistemas não SAP. Um tíquete SSO pode ser um tíquete de logon ou um tíquete de asserção. O tíquete de logon é transferido como um cookie com o nomeMYSAPSSO2. O tíquete de asserção é transferido como uma variável de cabeçalho HTTP com o nome MYSAPSSO2.

Note- Isso requer etapas de configuração adicionais para emitir e aceitar os sistemas. Os sistemas de componentes SSO devem permitir o logon por um tíquete SSO (login / accept_sso2_ticket = 1).

Se apenas o procedimento (certificado de cliente X.509) for usado para um Single Sign-On, ou se você não quiser usar o Single Sign-On para este sistema, você pode desativar este logon por tíquete SSO (login / accept_sso2_ticket = 0).

Para definir o parâmetro, use Transaction RZ11

Values allowed - 0/1

login / create_sso2_ticket

Você pode usar os tickets de Single Sign-On (SSO) para permitir um SSO entre sistemas SAP e até mesmo além de sistemas não SAP. Um tíquete SSO pode ser um tíquete de logon ou um tíquete de asserção. O tíquete de logon é transferido como um cookie com o nome MYSAPSSO2. O tíquete de asserção é transferido como uma variável de cabeçalho HTTP com o nome MYSAPSSO2.

Note - Isso requer etapas de configuração adicionais para a emissão e aceitação dos sistemas.

O sistema de emissão deve permitir a geração de um bilhete SSO -

Values allowed- 0/1/2/3

login / ticket_expiration_time

Para tornar possível ter um Single Sign-On (SSO) ao usar o mySAP.com Workplace, tíquetes SSO podem ser usados. Ao criar um tíquete SSO, você pode definir o período de validade. Depois de expirar, o tíquete SSO não pode mais ser usado para fazer logon nos sistemas de componentes do local de trabalho. O usuário então precisa fazer logon no servidor do local de trabalho novamente para obter um novo tíquete SSO.

Values allowed - <Horas> [: <Minutos>]

Se valores incorretos forem inseridos, o valor padrão é usado (8 horas).

Os valores corretos serão os mostrados abaixo -

24 → 24 horas
1:30 → 1 hora, 30 minutos
0:05 → 5 minutos

Os valores incorretos serão os seguintes -

40 (0:40 seria correto)
0:60 (1 seria correto)
10: 000 (10 seria correto)
24: (24 seria correto)
1:A3

Certificados de cliente X.509

Usando um método SSO, você pode usar certificados de cliente X.509 para autenticar o servidor de aplicativos NetWeaver. Os certificados de cliente usam métodos de criptografia muito fortes para proteger o acesso do usuário ao servidor de aplicativos NetWeaver, portanto, seu servidor de aplicativos NetWeaver deve ser habilitado com técnicas de criptografia fortes.

Você deve ter SSL configurado em seus servidores de aplicativos SAP NetWeaver, pois a autenticação ocorre usando o protocolo SSL sem inserir nenhum nome de usuário e senha. Para usar o protocolo SSL, é necessária uma conexão HTTPS para se comunicar entre o navegador da Web e o servidor de aplicativos ABAP NetWeaver.

Linguagem de marcação para asserção de segurança (SAML2.0)

O SAML2.0 pode ser usado como autenticação com SSO de logon único e habilita o SSO em diferentes domínios. SAML 2.0 é desenvolvido por uma organização chamada OASIS. Ele também fornece uma opção de Logout Único, o que significa que quando um usuário faz logoff de todos os sistemas, o provedor de serviços no sistema SAP notifica os provedores de identidade que, por sua vez, encerram todas as sessões.

A seguir estão as vantagens de usar a autenticação SAML2.0 -

Você pode diminuir a sobrecarga de manutenção da autenticação para o sistema que hospeda o aplicativo para outro sistema.
Você também pode manter a autenticação para provedores de serviços externos sem manter as identidades dos usuários nos sistemas.
Opção de logout único em todos os sistemas.
Para mapear as contas de usuário automaticamente.

Autenticação Kerberos

Você também pode usar a autenticação Kerberos para o servidor de aplicativos SAP NetWeaver usando o acesso por meio de clientes e navegadores da web. Ele usa mecanismo de negociação de API GSS simples e protegidoSPNegoque também requer um Single Sign-On SSO 2.0 ou versão superior com licenças adicionais para usar esta autenticação. oSPNego não oferece suporte à segurança da camada de transporte, portanto, é recomendável usar o protocolo SSL para adicionar segurança da camada de transporte para se comunicar com o NetWeaver Application Server.

Na captura de tela acima, você pode ver diferentes métodos de autenticação que podem ser configurados em um perfil de usuário para fins de autenticação.

Cada método de autenticação no SAP tem suas próprias vantagens e pode ser usado em diferentes cenários.

↰ Previous page