Sécurité SAP - Guide rapide

Dans un environnement distribué SAP, il est toujours nécessaire de protéger vos informations et données critiques contre tout accès non autorisé. Les erreurs humaines, le provisionnement d'accès incorrect ne doivent pas autoriser l'accès non autorisé à un système et il est nécessaire de maintenir et de réviser les stratégies de profil et de sécurité système dans votre environnement SAP.

Pour sécuriser le système, vous devez avoir une bonne compréhension des profils d'accès des utilisateurs, des politiques de mot de passe, du cryptage des données et des méthodes d'autorisation à utiliser dans le système. Vous devriez vérifier régulièrementSAP System Landscape et surveillez toutes les modifications apportées aux profils de configuration et d'accès.

Les super-utilisateurs standard doivent être bien protégés et les paramètres et valeurs du profil utilisateur doivent être définis avec soin pour répondre aux exigences de sécurité du système.

Lorsque vous communiquez sur un réseau, vous devez comprendre la topologie du réseau et les services réseau doivent être examinés et activés après des vérifications approfondies. Les données sur le réseau doivent être bien protégées en utilisant des clés privées.

Pourquoi la sécurité est-elle requise?

Pour accéder aux informations dans un environnement distribué, il est possible que des informations et des données critiques soient divulguées vers un accès non autorisé et que la sécurité du système soit rompue en raison de: - Manque de politiques de mot de passe, les super-utilisateurs standard ne sont pas bien gérés, ou pour toute autre raison.

Voici quelques raisons principales de violation d'accès dans un système SAP:

  • Les politiques de mot de passe solides ne sont pas maintenues.

  • Les utilisateurs standard, les super utilisateurs, les utilisateurs de bases de données ne sont pas correctement gérés et les mots de passe ne sont pas modifiés régulièrement.

  • Les paramètres de profil ne sont pas correctement définis.

  • Les tentatives de connexion infructueuses ne sont pas surveillées et les stratégies de fin de session utilisateur inactif ne sont pas définies.

  • La sécurité de la communication réseau n'est pas prise en compte lors de l'envoi de données sur Internet et aucune utilisation de clés de cryptage.

  • Les utilisateurs de la base de données ne sont pas correctement gérés et aucune mesure de sécurité n'est prise en compte lors de la configuration de la base de données d'informations.

  • Les authentifications uniques ne sont pas correctement configurées et gérées dans un environnement SAP.

Pour surmonter toutes les raisons ci-dessus, vous devez définir des politiques de sécurité dans votre environnement SAP. Les paramètres de sécurité doivent être définis et les politiques de mot de passe doivent être revues après des intervalles de temps réguliers.

La sécurité de la base de données est l'un des composants critiques de la sécurisation de votre environnement SAP. Il est donc nécessaire de gérer les utilisateurs de votre base de données et de veiller à ce que les mots de passe soient bien protégés.

Le mécanisme de sécurité suivant doit être appliqué dans le système pour protéger l'environnement SAP de tout accès non autorisé -

  • Authentification et gestion des utilisateurs
  • Sécurité des communications réseau
  • Protéger les utilisateurs standard et les super utilisateurs
  • Protections des ouvertures de session infructueuses
  • Paramètres de profil et politiques de mot de passe
  • Sécurité du système SAP sous Unix et plateforme Windows
  • Concept d'authentification unique

Ainsi, la sécurité du système SAP est requise dans un environnement distribué et vous devez vous assurer que vos données et processus répondent aux besoins de votre entreprise sans permettre un accès non autorisé aux informations critiques. Dans un système SAP, les erreurs humaines, la négligence ou les tentatives de manipulation sur le système peuvent entraîner la perte d'informations critiques.

Si un utilisateur non autorisé peut accéder au système SAP sous un utilisateur autorisé connu et peut apporter des modifications de configuration et manipuler la configuration du système et les politiques clés. Si un utilisateur autorisé a accès aux données et informations importantes d'un système, cet utilisateur peut également accéder à d'autres informations critiques. Cela améliore l'utilisation de l'authentification sécurisée pour protéger la disponibilité, l'intégrité et la confidentialité d'un système utilisateur.

Mécanisme d'authentification dans un système SAP

Le mécanisme d'authentification définit la manière dont vous accédez à votre système SAP. Il existe différentes méthodes d'authentification fournies -

  • ID utilisateur et outils de gestion des utilisateurs
  • Communication réseau sécurisée
  • Billets de connexion SAP
  • Certificats clients X.509

ID utilisateur et outils de gestion des utilisateurs

La méthode d'authentification la plus courante dans un système SAP consiste à utiliser le nom d'utilisateur et le mot de passe pour se connecter. Les ID utilisateur pour se connecter sont créés par l'administrateur SAP. Pour fournir un mécanisme d'authentification sécurisé via le nom d'utilisateur et le mot de passe, il est nécessaire de définir des politiques de mot de passe qui ne permettent pas aux utilisateurs de définir un mot de passe facile à prévoir.

SAP fournit divers paramètres par défaut que vous devez définir pour définir les politiques de mot de passe: longueur du mot de passe, complexité du mot de passe, changement de mot de passe par défaut, etc.

Outils de gestion des utilisateurs dans un système SAP

SAP NetWeaver Systemfournit divers outils de gestion des utilisateurs qui peuvent être utilisés pour gérer efficacement les utilisateurs de votre environnement. Ils fournissent une méthode d'authentification très forte pour les deux types de serveurs d'applications NetWeaver - Java et ABAP.

Certains des outils de gestion des utilisateurs les plus courants sont:

Gestion des utilisateurs pour le serveur d'applications ABAP (code de transaction: SU01)

Vous pouvez utiliser le code de transaction SU01 de gestion des utilisateurs pour gérer les utilisateurs dans vos serveurs d'applications ABAP.

Gestion des identités SAP NetWeaver

Vous pouvez utiliser SAP NetWeaver Identity Management pour la gestion des utilisateurs ainsi que pour la gestion des rôles et des attributions de rôles dans votre environnement SAP.

Rôles PFCG

Vous pouvez utiliser le générateur de profils PFCG pour créer des rôles et attribuer des autorisations aux utilisateurs dans des systèmes basés sur ABAP.

Transaction Code - PFCG

Administration centrale des utilisateurs

Vous pouvez utiliser CUA pour gérer les utilisateurs de plusieurs systèmes ABAP. Vous pouvez également le synchroniser avec vos serveurs d'annuaire. Grâce à cet outil, vous pouvez gérer toutes les fiches utilisateur de manière centralisée à partir du client du système.

Transaction Code - SCUA et créer un modèle de distribution.

Moteur de gestion des utilisateurs UME

Vous pouvez utiliser les rôles UME pour contrôler l'autorisation utilisateur dans le système. Un administrateur peut utiliser des actions qui représentent la plus petite entité du rôle UME qu'un utilisateur peut utiliser pour créer des droits d'accès.

Vous pouvez ouvrir la console d'administration UME à l'aide de l'option Administrateur SAP NetWeaver.

Politique de mot de passe

Une stratégie de mot de passe est définie comme un ensemble d'instructions qu'un utilisateur doit suivre pour améliorer la sécurité du système en utilisant des mots de passe forts et en les utilisant correctement. Dans de nombreuses organisations, la politique de mot de passe est partagée dans le cadre de la formation sur la sensibilisation à la sécurité et il est obligatoire pour les utilisateurs de maintenir la politique de sécurité des systèmes et des informations critiques dans une organisation.

En utilisant la politique de mot de passe dans un système SAP, un administrateur peut configurer les utilisateurs du système pour déployer des mots de passe forts qui ne sont pas faciles à casser. Cela permet également de changer le mot de passe à intervalles réguliers pour la sécurité du système.

Les stratégies de mot de passe suivantes sont couramment utilisées dans un système SAP -

Changement de mot de passe par défaut / initial

Cela permet aux utilisateurs de changer le mot de passe initial immédiatement lors de la première utilisation.

Longueur du mot de passe

Dans un système SAP, la longueur minimale des mots de passe dans les systèmes SAP est de 3 par défaut. Cette valeur peut être modifiée à l'aide du paramètre de profil et la longueur maximale autorisée est de 8.

Transaction Code - RZ11

Parameter Name - login / min_password_lng

Vous pouvez cliquer sur la documentation du paramètre de profil pour cette politique et vous pouvez voir la documentation détaillée à partir de SAP comme suit -

Parameter - login / min_password_lng

Short text - Longueur minimale du mot de passe

Parameter Description- Ce paramètre spécifie la longueur minimale du mot de passe de connexion. Le mot de passe doit comporter au moins trois caractères. Cependant, l'administrateur peut spécifier une longueur minimale plus élevée. Ce paramètre s'applique lorsque de nouveaux mots de passe sont attribués et lorsque les mots de passe existants sont modifiés ou réinitialisés.

Application Area - Connexion

Parameter Unit - Nombre de caractères (alphanumériques)

Default Value - 6

Who is permitted to make changes? Client

Operating System Restrictions - Aucun

Database System Restrictions - Aucun

Mots de passe illégaux

Vous ne pouvez pas sélectionner le premier caractère d'un mot de passe comme point d'interrogation (?) Ou point d'exclamation (!). Vous pouvez également ajouter les autres caractères que vous souhaitez restreindre dans la table des mots de passe illégaux.

Transaction Code - Nom de la table SM30: USR40.

Une fois que vous entrez dans la table - USR40 et cliquez sur Display en haut, il vous montrera la liste de tous les mots de passe non autorisés.

Une fois que vous cliquez sur New Entries, vous pouvez entrer les nouvelles valeurs dans ce tableau et également cocher la case sensible à la casse.

Modèle de mot de passe

Vous pouvez également définir que les trois premiers caractères du mot de passe ne peuvent pas apparaître dans le même ordre dans le cadre du nom d'utilisateur. Différents modèles de mot de passe pouvant être restreints à l'aide de la politique de mot de passe comprennent:

  • Les trois premiers caractères ne peuvent pas tous être identiques.
  • Les trois premiers caractères ne peuvent pas inclure de caractères d'espacement.
  • Le mot de passe ne peut pas être PASS ou SAP.

Changement de mot de passe

Dans cette politique, un utilisateur peut être autorisé à changer son mot de passe presque une fois par jour, mais un administrateur peut réinitialiser le mot de passe d'un utilisateur aussi souvent que nécessaire.

Un utilisateur ne devrait pas être autorisé à réutiliser les cinq derniers mots de passe. Cependant, un administrateur peut réinitialiser le mot de passe précédemment utilisé par un utilisateur.

Paramètres de profil

Il existe différents paramètres de profil que vous pouvez définir dans un système SAP pour la gestion des utilisateurs et la politique de mot de passe.

Dans un système SAP, vous pouvez afficher la documentation de chaque paramètre de profil en accédant à Tools → CCMS → Configuration →Profile Maintenance(Transaction: RZ11). Entrez le nom du paramètre et cliquez surDisplay.

Dans la fenêtre suivante qui apparaît, vous devez entrer le nom du paramètre, vous pouvez voir 2 options -

Display - Pour afficher la valeur des paramètres dans le système SAP.

Display Docu - Pour afficher la documentation SAP pour ce paramètre.

Lorsque vous cliquez sur le bouton Afficher, vous serez déplacé vers Maintain Profile Parameterécran. Vous pouvez voir les détails suivants -

  • Name
  • Type
  • Les critères de sélection
  • Groupe de paramètres
  • Description des paramètres et bien d'autres

En bas, vous avez la valeur actuelle du paramètre login/min_password_lng

Lorsque vous cliquez sur Display Doc option, il affichera la documentation SAP pour le paramètre.

Description des paramètres

Ce paramètre spécifie la longueur minimale du mot de passe de connexion. Le mot de passe doit comporter au moins trois caractères. Cependant, l'administrateur peut spécifier une longueur minimale plus élevée. Ce paramètre s'applique lorsque de nouveaux mots de passe sont attribués et lorsque les mots de passe existants sont modifiés ou réinitialisés.

Chaque paramètre a une valeur par défaut, valeur autorisée comme ci-dessous -

Il existe différents paramètres de mot de passe dans un système SAP. Vous pouvez saisir chaque paramètre dans leRZ11 transaction et peut consulter la documentation.

  • login/min_password_diff
  • login/min_password_digits
  • login/min_password_letters
  • login/min_password_specials
  • login/min_password_lowercase
  • login/min_password_uppercase
  • login/disable_password_logon
  • login/password_charset
  • login/password_downwards_compatibility
  • login/password_compliance_to_current_policy

Pour modifier la valeur du paramètre, exécutez Transaction RZ10 et sélectionnez le profil comme indiqué ci-dessous -

  • Multiple application servers - Utilisez le profil DEFAULT.

  • Single Application servers - Utilisez le profil d'instance.

Sélectionner Extended Maintenance et cliquez Display.

Sélectionnez le paramètre que vous souhaitez modifier et cliquez sur Parameter au sommet.

Lorsque vous cliquez sur l'onglet Paramètres, vous pouvez modifier la valeur du paramètre dans une nouvelle fenêtre. Vous pouvez également créer le nouveau paramètre en cliquant surCreate (F5).

Vous pouvez également voir l'état du paramètre dans cette fenêtre. Saisissez la valeur du paramètre et cliquez surCopy.

Vous serez invité à enregistrer lorsque vous quitterez l'écran. Cliquez sur Oui pour enregistrer la valeur du paramètre.

Secure Network Communication (SNC)peut également être utilisé pour se connecter à un serveur d'applications à l'aide d'une méthode d'authentification sécurisée. Vous pouvez utiliser SNC pour l'authentification des utilisateurs via SAP GUI pour Windows ou en utilisant une connexion RFC.

Le SNC utilise un produit de sécurité externe pour effectuer l'authentification entre les partenaires de communication. Vous pouvez utiliser des mesures de sécurité telles que l'infrastructure à clé publique PKI et des procédures pour générer et distribuer des paires de clés.

Vous devez définir la topologie du réseau qui peut éliminer les menaces et empêcher les attaques réseau. Lorsque les utilisateurs ne peuvent pas se connecter à l'application ou à la couche de base de données, les attaquants ne peuvent pas accéder au système SAP ou au système de base de données pour accéder aux informations critiques.

Une topologie de réseau bien définie ne permet pas aux intrus de se connecter au LAN de l'entreprise et donc aucun accès aux trous de boucle de sécurité sur les services réseau ou sur le système SAP.

Topologie de réseau dans un système SAP

L'architecture de votre réseau physique dépend entièrement de la taille de votre système SAP. Un système SAP est généralement mis en œuvre avec une architecture client-serveur et chaque système est généralement divisé en trois couches:

  • Couche de base de données
  • Couche d'application
  • Couche de présentation

Lorsque votre système SAP est petit, il se peut qu'il ne dispose pas d'une application et d'un serveur de base de données distincts. Cependant, dans un grand système, de nombreux serveurs d'applications communiquent avec un serveur de base de données et plusieurs interfaces. Cela définit la topologie de réseau d'un système de simple à complexe et vous devez envisager différents scénarios lors de l'organisation de votre topologie de réseau.

Dans une organisation à grande échelle, il est recommandé d'installer votre application et votre serveur de base de données sur des machines différentes et de les placer dans un réseau local distinct du système frontal.

Dans l'image suivante, vous pouvez voir la topologie réseau préférée d'un système SAP -

Lorsque vous placez votre base de données et votre serveur d'applications dans un VLAN distinct du VLAN frontal, cela vous permet d'améliorer le système de contrôle d'accès et donc d'augmenter la sécurité de votre système SAP. Les systèmes frontaux sont dans des VLAN différents, il n'est donc pas facile d'accéder au serveur VLAN et donc de contourner la sécurité de votre système SAP.

Services réseau SAP

Dans votre système SAP, divers services sont activés, mais seuls quelques-uns sont nécessaires pour exécuter le système SAP. Dans un système SAP, leLandscape, Database et Application Serverssont la cible la plus courante des attaques réseau. De nombreux services réseau en cours d'exécution dans votre paysage permettent l'accès à ces serveurs et ces services doivent être soigneusement surveillés.

Sur vos machines Windows / UNIX, ces services sont maintenus dans /etc/services. Vous pouvez ouvrir ce fichier sur la machine Windows en accédant au chemin suivant -

system32/drivers/etc/services

Vous pouvez ouvrir ce fichier dans un bloc-notes et consulter tous les services activés sur votre serveur -

Il est recommandé de désactiver tous les services non requis sur les serveurs de paysage. Parfois, ces services contiennent quelques erreurs qui peuvent être utilisées par des intrus pour obtenir un accès non autorisé. Lorsque vous désactivez ces services, vous réduisez les risques d'attaque sur votre réseau.

Pour un niveau de sécurité élevé, il est également recommandé d'utiliser des fichiers de mots de passe statiques dans votre environnement SAP.

Clés privées

SNC utilise un produit de sécurité externe pour effectuer l'authentification entre les partenaires de communication. Vous pouvez utiliser des mesures de sécurité commePublic Key Infrastructure (PKI) et d'autres procédures pour générer et distribuer des paires de clés et pour garantir que les clés privées des utilisateurs sont correctement sécurisées.

Il existe différentes manières de sécuriser les clés privées pour une autorisation réseau -

  • Solution matérielle
  • Solution logicielle

Parlons-en maintenant en détail.

Solution matérielle

Vous pouvez protéger les clés privées des utilisateurs à l'aide d'une solution matérielle dans laquelle vous émettez une carte à puce à des utilisateurs individuels. Toutes les clés sont stockées dans une carte à puce et l'utilisateur doit s'authentifier sur ses cartes à puce via la biométrie en utilisant des empreintes digitales ou en utilisant un mot de passe PIN.

Ces cartes à puce doivent être protégées contre le vol ou la perte par chaque utilisateur individuel et les utilisateurs peuvent utiliser la carte pour crypter les documents.

Les utilisateurs ne sont pas autorisés à partager les cartes à puce ou à les donner à d'autres utilisateurs.

Solution logicielle

Il est également possible d'utiliser une solution logicielle pour stocker des clés privées pour des utilisateurs individuels. La solution logicielle est une solution moins coûteuse que la solution matérielle, mais elle est également moins sécurisée.

Lorsque les utilisateurs stockent des clés privées dans des fichiers et des détails utilisateur, il est nécessaire de sécuriser ces fichiers pour un accès non autorisé.

Lorsque vous installez le système SAP pour la première fois, quelques utilisateurs par défaut sont créés pour effectuer des tâches administratives. Par défaut, il crée trois clients dans l'environnement SAP, qui sont -

  • Client 000 - Client de référence SAP

  • Client 001 - Client modèle de SAP

  • Client 066 - Client SAP Early Watch

SAP crée des utilisateurs standard dans le client mentionné ci-dessus dans le système. Chaque utilisateur standard a son propre mot de passe par défaut lors de la première installation.

Les utilisateurs standard dans un système SAP incluent les utilisateurs suivants sous le client par défaut -

Utilisateur Détails Client Mot de passe par défaut
SÈVE Super utilisateur du système SAP 000, 001, 066 6071992
Tous les nouveaux clients PASSER
DDIC Super utilisateur du dictionnaire ABAP 000, 001 19920706
SAPCPIC Utilisateur CPI-C pour SAP 000, 001 admin
EARLYWATCH Utilisateur Early Watch 66 soutien

Il s'agit des utilisateurs standard sous les clients SAP par défaut pour effectuer des tâches d'administration et de configuration dans le système SAP. Pour maintenir la sécurité dans un système SAP, vous devez protéger ces utilisateurs -

  • Vous devez ajouter ces utilisateurs au groupe SUPER, afin qu'ils ne soient modifiés que par un administrateur qui a le privilège d'ajouter / modifier des utilisateurs au groupe SUPER.

  • Le mot de passe par défaut des utilisateurs standard doit être modifié.

Comment voir la liste des clients dans un système SAP?

Vous pouvez voir la liste de tous les clients de votre environnement SAP en utilisant Transaction SM30, affichez le tableau T000.

Lorsque vous entrez dans le tableau, et cliquez sur Display, il vous montrera la liste de tous les clients de votre système SAP. Ce tableau comprend des détails sur tous les clients par défaut et les nouveaux clients que vous créez dans un environnement pour le partage de ressources.

Vous pouvez utiliser le rapport RSUSR003 pour vous assurer que l'utilisateur SAP a été créé dans tous les clients et que les mots de passe standard ont été modifiés pour SAP, DDIC et SAPCPIC.

Aller à ABAP Editor SE38 et entrez le nom du rapport et cliquez sur EXECUTER.

Entrez le titre du rapport et cliquez sur Executebouton. Il affichera tous les clients et utilisateurs standard dans le système SAP, l'état du mot de passe, le verrouillage de la raison d'utilisation, le début de validité et le délai de validité, etc.

Protection du super utilisateur du système SAP

Pour protéger un super utilisateur système SAP «SAP», vous pouvez effectuer les étapes suivantes dans un système:

Step 1- Vous devez définir le nouveau super utilisateur dans un système SAP et désactiver l'utilisateur SAP. Notez que vous ne devez pas supprimer l'utilisateur SAP dans le système. Pour désactiver l'utilisateur codé en dur, vous pouvez utiliser le paramètre de profil:login/no_automatic_user_sapstar.

Si la fiche utilisateur de l'utilisateur SAP * est supprimée, il est possible de se connecter avec «SAP» et le mot de passe initial PASS.

L'utilisateur «SAP» possède les propriétés suivantes -

L'utilisateur dispose des autorisations complètes, car aucun contrôle d'autorisation n'est effectué.

  • Le mot de passe par défaut PASS ne peut pas être modifié.

  • Vous pouvez utiliser le paramètre de profil login/no_automatic_user_sapstar pour désactiver ces propriétés spéciales de SAP et pour contrôler la connexion automatique de l'utilisateur SAP *.

Step 2 - Pour vérifier la valeur de ce paramètre, exécutez Transaction RZ11 et entrez le nom du paramètre.

Values allowed - 0, 1, où -

  • 0 - L'utilisateur automatique SAP * est autorisé.

  • 1 - L'utilisateur automatique SAP * est désactivé.

Step 3 - Dans le système suivant, vous pouvez voir que la valeur de ce paramètre est définie sur 1. Cela indique que le super utilisateur «SAP» est désactivé dans le système.

Step 4 - Cliquez sur Display et vous pouvez voir la valeur actuelle de ce paramètre.

Pour créer un nouveau super utilisateur dans le système, définissez une nouvelle fiche utilisateur et attribuez le profil SAP_ALL à ce super utilisateur.

Protection des utilisateurs DDIC

Un utilisateur DDIC est requis pour certaines tâches liées à la logistique logicielle, au dictionnaire ABAP et aux tâches liées à l'installation et à la mise à niveau. Pour protéger cet utilisateur, il est conseillé de verrouiller cet utilisateur dans un système SAP. Vous ne devez pas supprimer cet utilisateur pour exécuter quelques fonctionnalités pour une utilisation future.

Pour verrouiller l'utilisateur, utilisez le code de transaction: SU01.

Si vous souhaitez protéger cet utilisateur, vous pouvez attribuer le SAP_ALL l'autorisation à cet utilisateur au moment de l'installation et le verrouiller plus tard.

Protéger l'utilisateur SAPCPIC

Un utilisateur SAPCPIC est utilisé pour appeler certains programmes et modules fonction dans un système SAP et n'est pas un utilisateur de dialogue.

Vous devez verrouiller cet utilisateur et modifier le mot de passe de cet utilisateur pour le protéger. Dans les versions précédentes, lorsque vous verrouillez l'utilisateur SAPCPIC ou modifiez le mot de passe, cela affecte les programmes supplémentaires RSCOLL00, RSCOLL30 et LSYPGU01.

Protéger Early Watch

A 066 Client - Ceci s'appelle SAP Early Watch et est utilisé pour les analyses de diagnostic et le service de surveillance dans le système SAP et l'utilisateur EARLYWATCH est l'utilisateur interactif du service Early Watch dans le client 066. Pour sécuriser cet utilisateur, vous pouvez effectuer les actions suivantes:

  • Verrouillez l'utilisateur EARLYWATCH jusqu'à ce qu'il ne soit plus requis dans un environnement SAP.
  • Modifiez le mot de passe par défaut de cet utilisateur.

Points clés

Pour protéger les utilisateurs SAP Standard et pour protéger les clients dans le paysage SAP, vous devez tenir compte des points clés suivants:

  • Vous devez gérer correctement les clients dans un système SAP et vous assurer qu'aucun client inconnu n'existe.

  • Vous devez vous assurer que le super utilisateur SAP «SAP» existe et a été désactivé dans tous les clients.

  • Vous devez vous assurer que le mot de passe par défaut est modifié pour tous les utilisateurs SAP standard Utilisateur SAP, DDIC et EARLYWATCH.

  • Vous devez vous assurer que tous les utilisateurs Standard ont été ajoutés au groupe SUPER dans un système SAP et que la seule personne autorisée à apporter des modifications au groupe SUPER peut uniquement modifier ces utilisateurs.

  • Vous devez vous assurer que le mot de passe par défaut pour SAPCPIC a été modifié et que cet utilisateur est verrouillé et déverrouillé lorsque cela est nécessaire.

  • Tous les utilisateurs standard SAP doivent être verrouillés et ne peuvent être déverrouillés que lorsque cela est nécessaire. Le mot de passe doit être bien protégé pour tous ces utilisateurs.

Comment changer le mot de passe d'un utilisateur standard?

Vous devez vous assurer que le mot de passe de tous les utilisateurs standard SAP doit être modifié dans tous les clients gérés dans Table T000 et l'utilisateur «SAP» doit exister pour tous les clients.

Pour changer le mot de passe, connectez-vous avec Super utilisateur. Entrez l'ID utilisateur dans le champ Nom d'utilisateur pour lequel vous souhaitez modifier le mot de passe. Cliquez sur l'option Modifier le mot de passe comme indiqué dans la capture d'écran suivante -

Entrez le nouveau mot de passe, répétez le mot de passe et cliquez sur Apply. Vous devez répéter le même processus pour tous les utilisateurs standard.

Pour mettre en œuvre la sécurité dans un système SAP, il est nécessaire de surveiller les échecs de connexion dans un environnement SAP. Quand quelqu'un essaie de se connecter à un système en utilisant un mot de passe incorrect, le système doit soit verrouiller le nom d'utilisateur pendant un certain temps, soit cette session doit être interrompue après un nombre défini de tentatives.

Différents paramètres de sécurité peuvent être définis pour les tentatives de connexion non autorisées -

  • Mettre fin à une session
  • Verrouiller l'utilisateur
  • Activation des économiseurs d'écran
  • Surveillance des tentatives de connexion infructueuses
  • Enregistrement des tentatives de connexion

Examinons maintenant chacun de ces éléments en détail.

Mettre fin à une session

Lorsqu'il y a plusieurs tentatives de connexion infructueuses effectuées sur un seul identifiant d'utilisateur, le système met fin à la session pour cet utilisateur. Cela doit être envoyé en utilisant un paramètre de profil -login/fails_to_session_end.

Pour modifier la valeur du paramètre, exécutez Transaction RZ10et sélectionnez le profil comme indiqué dans la capture d'écran suivante. Sélectionnez Maintenance étendue et cliquez surDisplay.

Sélectionnez le paramètre que vous souhaitez modifier et cliquez sur le Parameter bouton en haut comme indiqué ci-dessous.

Lorsque vous cliquez sur l'onglet Paramètre, vous pouvez modifier la valeur du paramètre dans une nouvelle fenêtre. Vous pouvez également créer le nouveau paramètre en cliquant sur leCreate (F5) bouton.

Pour voir les détails de ce paramètre, exécutez le code de transaction: RZ11 et entrez le nom du profil - login/fails_to_session_end et le clic sur Display Document.

  • Parameter - login / échoue_à_session_end

  • Short text - Nombre de tentatives de connexion non valides jusqu'à la fin de la session.

  • Parameter Description - Nombre de tentatives de connexion non valides pouvant être effectuées avec une fiche utilisateur jusqu'à ce que la procédure de connexion soit terminée.

  • Application Area - Connexion

  • Default Value - 3

  • Who is permitted to make changes? - Client

  • Operating System Restrictions - Aucun

  • Database System Restrictions - Aucun

  • Are other parameters affected or dependent? - Aucun

  • Values allowed - 1 - 99

Dans la capture d'écran ci-dessus, vous pouvez voir que la valeur de ce paramètre est définie sur 3, c'est-à-dire également la valeur par défaut. Après 3 tentatives de connexion infructueuses, la session sera terminée pour un seul utilisateur.

Verrouiller l'utilisateur

Vous pouvez également vérifier un ID utilisateur spécifique, si un nombre défini de tentatives de connexion infructueuses consécutives est dépassé sous un seul ID utilisateur. Définissez le nombre de tentatives de connexion non valides autorisées dans le paramètre de profil:login/fails_to_user_lock.

  • Il est possible de définir un verrou sur des ID utilisateur spécifiques.

  • Les verrous sont appliqués sur un identifiant d'utilisateur jusqu'à minuit. Cependant, il peut également être supprimé manuellement à tout moment par un administrateur système.

  • Dans un système SAP, vous pouvez également définir une valeur de paramètre qui permet de verrouiller l'ID utilisateur jusqu'à ce qu'il soit supprimé manuellement. Le nom du paramètre:login/failed_user_auto_unlock.

Profile parameter: login/fails_to_user_lock

Chaque fois qu'un mot de passe de connexion incorrect est saisi, le compteur d'échec de connexion pour la fiche utilisateur correspondante est augmenté. Les tentatives de connexion peuvent être enregistrées dans le journal d'audit de sécurité. Si la limite spécifiée par ce paramètre est dépassée, l'utilisateur concerné est verrouillé. Ce processus est également enregistré dans Syslog.

Le verrou n'est plus valide après la fin de la journée en cours. (Autre condition -login / failed_user_auto_unlock)

Le compteur d'échec de connexion est réinitialisé une fois que l'utilisateur se connecte avec le mot de passe correct. Les ouvertures de session qui ne sont pas basées sur un mot de passe n'ont aucun effet sur le compteur d'échec d'ouverture de session. Cependant, les verrous de connexion actifs sont vérifiés pour chaque ouverture de session.

  • Values allowed - 1 - 99

Pour voir la valeur actuelle de ce paramètre, utilisez T-Code: RZ11.

  • Parameter name - login / failed_user_auto_unlock

  • Short text - Désactivez le déverrouillage automatique de l'utilisateur verrouillé à minuit.

  • Parameter Description- Contrôle le déverrouillage des utilisateurs verrouillés en se connectant de manière incorrecte. Si le paramètre est défini sur 1, les verrous qui ont été définis en raison d'échecs de tentatives de connexion par mot de passe ne s'appliquent que le même jour (comme le verrouillage). Si le paramètre est défini sur 0, les verrous restent actifs.

  • Application Area - Connexion.

  • Default Value - 0.

Activation des économiseurs d'écran

Les administrateurs système peuvent également activer les économiseurs d'écran pour protéger l'écran frontal de tout accès non autorisé. Ces économiseurs d'écran peuvent être protégés par mot de passe.

Surveillance des tentatives de connexion infructueuses et enregistrement des tentatives de connexion

Dans un système SAP, vous pouvez utiliser le rapport RSUSR006pour vérifier si des utilisateurs ont tenté des tentatives de connexion infructueuses dans le système. Ce rapport contient des détails sur le nombre de tentatives de connexion incorrectes par un utilisateur et les verrous de l'utilisateur et vous pouvez planifier ce rapport selon vos besoins.

Aller à ABAP Editor SE38 et entrez le nom du rapport puis cliquez sur EXECUTE.

Dans ce rapport, vous avez différents détails tels que Nom d'utilisateur, Type, Créé le, Créateur, Mot de passe, Verrouillage et Détails de connexion incorrects.

Dans un système SAP, il est également possible que vous utilisiez Security Audit Log (transactions SM18, SM19 et SM20) pour enregistrer toutes les tentatives de connexion réussies et infructueuses. Vous pouvez analyser les journaux d'audit de sécurité à l'aide de la transaction SM20, mais l'audit de sécurité doit être activé dans le système pour surveiller les journaux d'audit de sécurité.

Déconnexion des utilisateurs inactifs

Lorsqu'un utilisateur est déjà connecté à un système SAP et que la session est inactive pendant une période spécifique, vous pouvez également le configurer pour qu'il se déconnecte pour éviter tout accès non autorisé.

Pour activer ce paramètre, vous devez spécifier cette valeur dans le paramètre de profil: rdisp/gui_auto_logout.

  • Parameter Description- Vous pouvez définir que les utilisateurs SAP GUI inactifs sont automatiquement déconnectés d'un système SAP après une période prédéfinie. Le paramètre configure cette fois. La déconnexion automatique dans le système SAP est désactivée par défaut (valeur 0), c'est-à-dire que les utilisateurs ne sont pas déconnectés même s'ils n'exécutent aucune action pendant une période plus longue.

  • Values allowed- n [unité], où n> = 0 et Unité = S | M | H | ré

Pour voir la valeur actuelle du paramètre, exécutez T-Code: RZ11.

Le tableau suivant présente la liste des paramètres clés, leur valeur par défaut et leur valeur autorisée dans un système SAP -

Paramètre La description Défaut Valeur autorisée
Connexion / échecs_à_session_end Nombre de tentatives de connexion non valides jusqu'à la fin de la session 3 1 à 99
Login / fail_to_user_lock Nombre de tentatives de connexion non valides jusqu'au verrouillage de l'utilisateur 12 1 à 99
Login / failed_user_auto_unlock Lorsque les valeurs t 1: les verrous s'appliquent le jour de leur activation et sont supprimés le jour suivant lorsque l'utilisateur se connecte 1 0 ou 1
rdisp / gui_auto_output Temps d'inactivité maximal pour un utilisateur en nombre de secondes 0 (pas de limite) libre

Le concept d'autorisation du système SAP traite de la protection du système SAP contre l'exécution des transactions et des programmes contre les accès non autorisés. Vous ne devez pas autoriser les utilisateurs à exécuter des transactions et des programmes dans le système SAP tant qu'ils n'ont pas défini l'autorisation pour cette activité.

Pour rendre votre système plus sécurisé et mettre en œuvre une autorisation forte, vous devez examiner votre plan d'autorisation pour vous assurer qu'il répond aux exigences de sécurité de l'entreprise et qu'il n'y a pas de violation de la sécurité.

Types d'utilisateurs

Dans les versions précédentes du système SAP, les types d'utilisateurs n'étaient divisés qu'en deux catégories: les utilisateurs Dialog et Non Dialog et seuls les utilisateurs non Dialog étaient recommandés pour la communication entre deux systèmes. Avec SAP 4.6C, les types d'utilisateurs ont été divisés dans les catégories suivantes -

  • Dialog User- Cet utilisateur est utilisé pour l'accès individuel au système interactif et la plupart du travail du client est effectué à l'aide d'un utilisateur de dialogue. Le mot de passe peut être modifié par l'utilisateur lui-même. Dans l'utilisateur de dialogue, plusieurs ouvertures de session de dialogue peuvent être empêchées.

  • Service User- Ceci est utilisé pour effectuer un accès interactif au système pour effectuer certaines tâches prédéterminées comme l'affichage du catalogue de produits. Plusieurs connexions sont autorisées pour cet utilisateur et seul un administrateur peut modifier le mot de passe de cet utilisateur.

  • System User- Cet ID utilisateur est utilisé pour effectuer la plupart des tâches liées au système - Système de gestion du transport, définition des flux de travail et ALE. Il ne s'agit pas d'un utilisateur dépendant du système interactif et plusieurs connexions sont autorisées pour cet utilisateur.

  • Reference User- Un utilisateur de référence n'est pas utilisé pour se connecter à un système SAP. Cet utilisateur est utilisé pour fournir une autorisation supplémentaire aux utilisateurs internes. Dans un système SAP, vous pouvez accéder à l'onglet Rôles et spécifier un utilisateur de référence pour des droits supplémentaires pour les utilisateurs de boîte de dialogue.

  • Communication Users- Ce type d'utilisateur est utilisé pour maintenir une connexion sans dialogue entre différents systèmes tels que la connexion RFC, CPIC. La connexion Dialog à l'aide de SAP GUI n'est pas possible pour les utilisateurs de Communication. Un type d'utilisateur peut modifier ses mots de passe comme les utilisateurs de boîte de dialogue courants. Le module fonctionnel RFC peut être utilisé pour changer le mot de passe.

Le code de transaction: SU01est utilisé pour la création d'utilisateurs dans un système SAP. Dans l'écran suivant, vous pouvez voir différents types d'utilisateurs dans un système SAP sous la transaction SU01.

Créer un utilisateur

Pour créer un ou plusieurs utilisateurs avec des droits d'accès différents dans un système SAP, vous devez suivre les étapes ci-dessous.

Step 1 - Utiliser le code de transaction - SU01.

Step 2 - Entrez le nom d'utilisateur que vous souhaitez créer, cliquez sur l'icône de création comme indiqué dans la capture d'écran suivante.

Step 3- Vous serez dirigé vers l'onglet suivant - l'onglet Adresse. Ici, vous devez entrer les détails tels que le prénom, le nom, le numéro de téléphone, l'adresse e-mail, etc.

Step 4 - Vous serez ensuite dirigé vers l'onglet suivant - Logon Data. Entrez le type d'utilisateur sous l'onglet Données de connexion. Nous avons cinq types d'utilisateurs différents.

Step 5 - Tapez le premier mot de passe de connexion → Nouveau mot de passe → Répéter le mot de passe.

Step 6 - Vous serez dirigé vers l'onglet suivant - Rôles - Attribuez les rôles à l'utilisateur.

Step 7 - Vous serez ensuite dirigé vers l'onglet suivant - Profils - Attribuer les profils aux utilisateurs.

Step 8 - Cliquez sur Enregistrer pour recevoir une confirmation.

Administration centrale des utilisateurs (CUA)

L'administration centrale des utilisateurs est l'un des concepts clés qui vous permet de gérer tous les utilisateurs dans un paysage système SAP à l'aide d'un système central. À l'aide de cet outil, vous pouvez gérer toutes les fiches utilisateur de manière centralisée dans un seul système. Un administrateur d'utilisateurs central vous permet d'économiser de l'argent et des ressources en gérant des utilisateurs similaires dans un même paysage système.

Les avantages de l'administration centrale des utilisateurs sont:

  • Lorsque vous configurez CUA dans SAP Landscape, vous pouvez créer ou supprimer des utilisateurs en utilisant uniquement le système central.

  • Tous les rôles et autorisations requis existent dans un système enfant sous des formes actives.

  • Tous les utilisateurs sont surveillés et gérés de manière centralisée, ce qui rend la tâche d'administration une vue plus simple et plus claire de toutes les activités de gestion des utilisateurs dans un paysage système complexe.

  • L'administrateur central des utilisateurs vous permet d'économiser de l'argent et des ressources en gérant des utilisateurs similaires dans un seul environnement système.

Les échanges de données réalisés à l'aide du ALE paysage appelé Application Link Enablingcela permet d'échanger les données de manière contrôlée. ALE est utilisé par l'administrateur central des utilisateurs pour l'échange de données avec les systèmes enfants dans un paysage système SAP.

Dans un environnement de paysage complexe, vous définissez un système comme système central avec environnement ALE et il est lié à tous les systèmes enfants à l'aide d'un échange de données bidirectionnel. Les systèmes enfants dans le paysage ne sont pas connectés les uns aux autres.

Pour implémenter l'administration centrale des utilisateurs, les points suivants doivent être pris en compte -

  • Vous avez besoin d'un environnement SAP avec plusieurs clients dans un environnement unique / distribué.

  • Administrateur pour gérer les utilisateurs, besoin d'une autorisation sur les codes de transaction suivants -

    • SU01

    • SCC4

    • SCUA

    • SCUM

    • SM59

    • BD54

    • BD64

  • Vous devez créer une relation de confiance et de confiance entre les systèmes.

  • Vous devez créer des utilisateurs système dans le système central et enfant.

  • Créez un système logique et attribuez un système logique au client correspondant.

  • Créez une vue de modèle et une BAPI en vue de modèle.

  • Créez un administrateur d'utilisateurs central et définissez les paramètres de distribution des champs.

  • Synchroniser les adresses de l'entreprise

  • Transférer des utilisateurs

Dans un environnement géré de manière centralisée, vous devez d'abord créer un administrateur. Connectez-vous à tous les systèmes logiques du futur CUA en tant qu'utilisateur SAP * avec le mot de passe par défaut PASS.

Exécutez la transaction SU01 et créez un utilisateur avec le rôle d'administrateur qui lui est attribué.

Pour définir un système logique, utilisez Transaction BD54. Cliquez sur Nouvelles entrées pour créer un nouveau système logique.

Créez un nouveau nom logique en majuscules pour l'administration centrale des utilisateurs pour les systèmes centraux et tous les systèmes enfants, y compris ceux d'autres systèmes SAP.

Pour identifier facilement le système, vous disposez de la convention de dénomination suivante qui peut être utilisée pour identifier le système d'administration centrale des utilisateurs:

<System ID>CLNT<Client>

Entrez une description utile d'un système logique. Enregistrez votre entrée en cliquant sur leSavebouton. Il faut ensuite créer le nom logique du système pour le système central dans tous les systèmes enfants.

Pour attribuer un système logique à un client, utilisez Transaction SCC4 et passez en mode Changement.

Ouvrez le client que vous souhaitez affecter au système logique en double-cliquant ou en cliquant sur le Detailsbouton. Un client ne peut être affecté qu'à un seul système logique.

Dans un champ de système logique dans les détails du client, entrez un nom de système logique auquel vous souhaitez attribuer ce client.

Exécutez les étapes ci-dessus pour tous les clients d'un environnement SAP que vous souhaitez inclure dans l'administrateur central des utilisateurs. Pour enregistrer vos paramètres, cliquez sur leSave bouton en haut.

Protéger des profils spécifiques dans SAP

Pour maintenir la sécurité dans un système SAP, vous devez gérer des profils spécifiques contenant des autorisations critiques. Il existe différents profils d'autorisation SAP que vous devez protéger dans un système SAP disposant d'une autorisation complète.

Quelques profils qui doivent être protégés dans un système SAP sont:

  • SAP_ALL
  • SAP_NEW
  • P_BAS_ALL

Profil d'autorisation SAP_ALL

Un profil d'autorisation SAP_ALL permet à l'utilisateur d'exécuter toutes les tâches dans un système SAP. Il s'agit du profil composite qui contient toutes les autorisations dans un système SAP. Les utilisateurs disposant de cette autorisation peuvent effectuer toutes les activités dans un système SAP, ce profil ne doit donc être attribué à aucun utilisateur de votre système.

Il est recommandé de conserver un seul utilisateur avec un profil. Alors que le mot de passe doit être bien protégé pour cet utilisateur et il ne doit être utilisé que lorsqu'il est nécessaire.

Au lieu d'attribuer des autorisations SAP_ALL, vous devez attribuer des autorisations individuelles aux utilisateurs appropriés. Votre superutilisateur système / Administration système, au lieu de leur attribuer l'autorisation SAP_ALL, vous devez utiliser les autorisations individuelles requises.

Autorisation SAP_NEW

Une autorisation SAP_NEW contient toutes les autorisations requises dans une nouvelle version. Lorsqu'une mise à niveau du système est effectuée, ce profil est utilisé pour que certaines tâches s'exécutent correctement.

Vous devez vous rappeler les points suivants concernant cette autorisation -

  • Lorsqu'une mise à niveau du système est effectuée, vous devez supprimer les profils SAP_NEW pour les versions antérieures.

  • Vous devez attribuer des autorisations distinctes sous le profil SAP_NEW à différents utilisateurs de votre environnement.

  • Ce profil ne doit pas rester actif trop longtemps.

  • Lorsque vous disposez d'une longue liste de profils SAP_NEW dans l'environnement, cela indique que vous devez revoir votre stratégie d'autorisation dans le système.

Pour voir la liste de tous les profils SAP_NEW, vous devez sélectionner ce profil en double-cliquant puis → aller à Choose.

Autorisation P_BAS_ALL

Cette autorisation permet à l'utilisateur de visualiser le contenu des tableaux d'autres applications. Cette autorisation contientP_TABU_DISautorisation. Cette autorisation permet à l'utilisateur PA de voir le contenu de la table qui n'appartient pas à son groupe.

Maintenance des rôles PFCG

La gestion des rôles PFCG peut être utilisée pour gérer les rôles et les autorisations dans un système SAP. Dans PFCG, le rôle représente un travail qu'une personne effectue en rapport avec des scénarios de la vie réelle. PFCG vous permet de définir un ensemble de transactions qui peuvent être attribuées à une personne pour effectuer son travail quotidien.

Lorsque les rôles sont créés dans une transaction PFCG, vous pouvez utiliser Transaction SU01pour attribuer ces rôles à des utilisateurs individuels. Un utilisateur dans un système SAP peut se voir attribuer plusieurs rôles et qui sont liés à sa tâche quotidienne dans la vie réelle.

Ces rôles sont en relation entre l'utilisateur et les autorisations dans un système SAP. Les autorisations et profils réels sont stockés sous forme d'objets dans un système SAP.

À l'aide de la maintenance des rôles PFCG, vous pouvez exécuter les fonctions suivantes:

  • Modification et attribution de rôles
  • Créer des rôles
  • Création de rôles composites
  • Transport et distribution de rôles

Parlons maintenant de ces fonctions en détail.

Modification et attribution de rôles

Exécuter la transaction: PFCG

Cela vous mènera à la fenêtre de maintenance des rôles. Pour modifier le rôle existant, saisissez le nom du rôle livré dans le champ.

Copiez le rôle standard en cliquant sur le bouton Copier le rôle. Entrez le nom de l'espace de noms. Cliquez sur le bouton de sélection de valeur et sélectionnez le rôle dans lequel vous souhaitez copier cela.

Vous pouvez également sélectionner les rôles fournis par SAP commence par SAP_, mais les rôles par défaut seront écrasés.

Pour changer de rôle, cliquez sur le Change bouton dans la maintenance des rôles.

Accédez à l'onglet Menu pour modifier le menu utilisateur sur la page à onglet Menu. Accédez à l'onglet Autorisation pour modifier les données d'autorisation de cet utilisateur.

Vous pouvez également utiliser le Mode Expert pour ajuster les autorisations pour les changements de menu sous Autorisation. Cliquez sur le bouton Générer pour générer le profil de ce rôle.

Pour affecter les utilisateurs à ce rôle, accédez à l'onglet Utilisateur dans l'option Changements de rôle. Pour affecter un utilisateur à ce rôle, il doit exister dans le système.

Vous pouvez également effectuer une comparaison d'utilisateurs si nécessaire. Cliquez sur l'option Comparaison des utilisateurs. Vous pouvez également cliquer sur le bouton Information pour en savoir plus sur les rôles simples et composites et l'option de comparaison d'utilisateurs pour comparer les enregistrements principaux.

Création de rôles dans PFCG

Vous pouvez créer à la fois des rôles uniques et des rôles composites dans PFCG. Entrez le nom du rôle et cliquez sur Créer des rôles uniques ou composites comme indiqué dans la capture d'écran ci-dessous.

Vous pouvez sélectionner un espace de noms client comme Y_ ou Z_. Les rôles fournis par SAP commencent par SAP_ et vous ne pouvez pas prendre le nom des rôles fournis par SAP.

Une fois que vous avez cliqué sur le bouton Créer un rôle, vous devez ajouter des transactions, des rapports et des adresses Web sous l'onglet MENU dans la définition de rôle.

Accédez à l'onglet Autorisation pour générer le profil, cliquez sur l'option Modifier les données d'autorisation.

Conformément à votre sélection d'activités, vous êtes invité à entrer les niveaux organisationnels. Lorsque vous entrez une valeur particulière dans la boîte de dialogue, les champs d'autorisation du rôle sont automatiquement gérés.

Vous pouvez adapter la référence pour les rôles. Une fois la définition de rôle effectuée, vous devez générer le rôle. Cliquez sur Générer (Shift + F5).

Dans cette structure, lorsque vous voyez des feux rouges, cela montre les niveaux organisationnels sans valeurs. Vous pouvez entrer et modifier des niveaux d'organisation avec Niveaux d'organisation en regard de l'onglet Géré.

Entrez le nom du profil et cliquez sur l'option de coche pour terminer l'étape Générer.

Cliquer sur Savepour enregistrer le profil. Vous pouvez attribuer directement ce rôle aux utilisateurs en accédant aux onglets Utilisateur. De la même manière, vous pouvez créer des rôles composites à l'aide de l'option de maintenance des rôles PFCG.

Transport et distribution de rôles

Exécutez la transaction - PFCG et entrez le nom du rôle que vous souhaitez transporter et cliquez sur Transport Role.

Vous atteindrez l'option de transport de rôle. Vous avez plusieurs options sous les rôles de transport -

  • Transporter des rôles uniques pour les rôles composites.
  • Transporter les profils générés pour les rôles.
  • Données de personnalisation.

Dans la boîte de dialogue suivante, vous devez mentionner l'affectation de l'utilisateur et les données de personnalisation doivent également être transportées. Si les affectations d'utilisateurs sont également transportées, elles remplaceront l'ensemble de l'attribution des rôles utilisateur dans le système cible.

Pour verrouiller un système afin que les affectations de rôles utilisateur ne puissent pas être importées, saisissez-le dans le tableau du Customizing PRGN_CUST en utilisant la transaction SM30 et sélectionnez le champ de valeur USER_REL_IMPORT number.

Ce rôle est saisi dans la demande de personnalisation. Vous pouvez voir cela à l'aide de TransactionSE10.

Dans la demande de Customizing, les profils d'autorisation sont transportés avec les rôles.

Transaction du système d'informations d'autorisation - SUIM

Dans la gestion des autorisations, SUIM est un outil clé à l'aide duquel vous pouvez trouver les profils utilisateur dans un système SAP et peut également affecter ces profils à cet ID utilisateur. SUIM fournit un écran initial qui fournit des options de recherche d'utilisateurs, de rôles, de profils, d'autorisations, de transactions et de comparaison.

Pour ouvrir le système d'information utilisateur, exécutez la transaction: SUIM.

Dans un système d'information utilisateur, vous disposez de différents nœuds qui peuvent être utilisés pour exécuter différentes fonctions dans un système SAP. Comme dans un nœud Utilisateur, vous pouvez effectuer une recherche sur les utilisateurs en fonction de critères de sélection. Vous pouvez obtenir la liste verrouillée des utilisateurs, des utilisateurs ayant accès à un ensemble particulier de transactions, etc.

Lorsque vous développez chaque onglet, vous avez la possibilité de générer différents rapports en fonction de différents critères de sélection. Comme lorsque vous développez l'onglet utilisateur, vous avez les options suivantes -

Lorsque vous cliquez sur des utilisateurs selon des critères de sélection complexes, vous pouvez appliquer plusieurs conditions de sélection simultanément. La capture d'écran suivante vous montre différents critères de sélection.

Nœud de rôle

De la même manière, vous pouvez accéder à différents nœuds tels que les rôles, les profils, les autorisations et diverses autres options sous ce système d'information utilisateur.

Vous pouvez également utiliser l'outil SUIM pour rechercher des rôles et des profils. Vous pouvez attribuer une liste de transactions à un ensemble particulier d'ID utilisateur en effectuant une recherche par transaction et affectation dans SUIM et attribuer ces rôles à cet ID utilisateur.

À l'aide du système d'information utilisateur, vous pouvez effectuer diverses recherches dans un système SAP. Vous pouvez entrer différents critères de sélection et extraire les rapports en fonction des utilisateurs, des profils, des rôles, des transactions et de divers autres critères.

RSUSR002 - Utilisateurs par critères de sélection complexes.

Vous devez prendre diverses mesures de sécurité lors de l'utilisation de certaines propriétés, fichiers ou services Unix, de la protection des fichiers de mots de passe et de la désactivation des services à distance BSD pour rlogin et remsh.

Mot de passe de protection

Dans une plate-forme Unix, un attaquant peut utiliser un programme d'attaque par dictionnaire pour découvrir les informations de mot de passe stockées dans le système d'exploitation Unix. Vous pouvez stocker les mots de passe dans un fichier de mots de passe cachés et seul un utilisateur root peut avoir accès à ce fichier pour améliorer la sécurité dans un système.

Désactivation des services à distance

Les services BSD Remote permettent un accès à distance aux systèmes Unix. Lorsqu'une connexion à distance est initiée/etc/host.equiv et $HOME/.rhosts sont utilisés et dans le cas où ces fichiers contiennent des informations sur le nom d'hôte et l'adresse IP de la source de connexion ou des caractères génériques, il n'est pas nécessaire de saisir le mot de passe lors de la connexion.

Les services distants rlogin et remsh constituent une menace pour la sécurité dans ce scénario et vous devez désactiver ces services. Vous pouvez désactiver ces services en accédant àinetd.conf fichier dans le système Unix.

Dans un système Unix, rlogin est un client shell distant (comme SSH), qui est conçu pour être rapide et petit. Il n'est pas crypté, ce qui peut avoir quelques petits inconvénients dans les environnements de haute sécurité, mais il peut fonctionner à des vitesses très élevées. Le serveur et le client n'utilisent pas beaucoup de mémoire.

Sécurisation du système de fichiers réseau sous UNIX

Dans une plate-forme UNIX, un système de fichiers réseau est utilisé pour accéder aux répertoires de transport et de travail sur le réseau à partir d'un système SAP. Pour accéder aux répertoires de travail, le processus d'authentification implique des adresses réseau. Il est possible qu'un accès non autorisé puisse être obtenu par des attaquants sur le système de fichiers réseau en utilisant l'usurpation d'adresse IP.

Pour sécuriser le système, vous ne devez pas distribuer de répertoire personnel sur le système de fichiers réseau et l'autorisation d'écriture sur ces répertoires doit être soigneusement attribuée.

Accès au répertoire système SAP pour le système SAP sous UNIX

Vous devez définir les droits d'accès suivants pour les répertoires système SAP sous UNIX -

Annuaire SAP Privilège d'accès de la forme octale Propriétaire Groupe
/ sapmnt / <SID> / exe 775 <sid> adm sapsys
/ sapmnt / <SID> / exe / saposcol 4755 racine sapsys
/ sapmnt / <SID> / global 700 <sid> adm sapsys
/ sapmnt / <SID> / profile 755 <sid> adm sapsys
/ usr / sap / <SID> 751 <sid> adm sapsys
/ usr / sap / <SID> / <ID d'instance> 755 <sid> adm sapsys
/ usr / sap / <SID> / <ID d'instance> / * 750 <sid> adm sapsys
/ usr / sap / <SID> / <ID d'instance> / s 700 <sid> adm sapsys
/ usr / sap / <SID> / SYS 755 <sid> adm sapsys
/ usr / sap / <SID> / SYS / * 755 <sid> adm sapsys
/ usr / sap / trans 775 <sid> adm sapsys
/ usr / sap / trans / * 770 <sid> adm sapsys
/usr/sap/trans/.sapconf 775 <sid> adm sapsys
<répertoire personnel de <sid> adm> 700 <sid> adm sapsys
<répertoire personnel de <sid> adm> / * 700 <sid> adm sapsys

Vous devez créer différents utilisateurs et groupes sur la plateforme Windows pour exécuter votre système SAP en toute sécurité. Pour faciliter la tâche de gestion des utilisateurs, il est suggéré d'ajouter tous les utilisateurs WIN NT au groupe d'utilisateurs avec des droits d'accès corrects au niveau du système d'exploitation. Dans le système d'exploitation Windows, il existe différents niveaux de groupe -

  • Groupes mondiaux
  • Groupes locaux

Groupes mondiaux

Les groupes globaux dans WIN sont disponibles au niveau du domaine et peuvent être utilisés pour attribuer des utilisateurs à partir de plusieurs serveurs. Les groupes globaux sont disponibles pour tous les serveurs dans un domaine.

Vous pouvez sélectionner le nom des groupes globaux selon votre convenance. Cependant, il est recommandé d'utiliser les conventions de dénomination selon leSAP R/3 System Installation, qui est le groupe global standard pour les administrateurs système SAP et il est défini comme SAP_<SID>_GlobalAdmin.

Dans la plate-forme Windows, il existe divers groupes globaux couramment créés qui peuvent être utilisés pour exécuter un système SAP -

  • SAPadmin - Ce groupe contient une liste de tous les administrateurs système SAP.

  • SAPusers - Ce groupe contient une liste de tous les utilisateurs de l'application SAP.

  • SAPservices - Ce groupe contient une liste de tous les programmes système SAP.

  • Domain Admin - Ce groupe contient une liste de tous les administrateurs de tous les domaines.

Groupes locaux

Les groupes locaux de la plate-forme Windows sont limités à un serveur dans un domaine. Lors de l'installation, les droits sont attribués à des utilisateurs individuels et non à des groupes. Cependant, il est recommandé d'attribuer des droits d'accès à des groupes locaux plutôt qu'à des utilisateurs uniques.

Les groupes locaux sont utilisés pour augmenter la sécurité de l'environnement Windows dans les domaines partagés. Vous pouvez en outre affecter des utilisateurs globaux et des groupes globaux à un groupe local. Vous pouvez créer un groupe local avec n'importe quel nom, mais il est recommandé d'utiliser le nom du groupe local comme:SAP_<SID>_LocalAdmin.

Vous pouvez définir diverses relations entre les utilisateurs, les groupes locaux et les groupes globaux -

  • Un seul utilisateur peut également faire partie d'un groupe global et d'un groupe local.
  • Vous pouvez également inclure un groupe global dans un groupe local.

Utilisateurs standard dans une plate-forme Windows

Lorsque vous exécutez le système SAP sur une plate-forme Windows, certains utilisateurs standard doivent être soigneusement gérés. Voici quelques-uns des utilisateurs standard de Windows -

Window NT User -

  • Administrator - Comptes administrateur avec accès à toutes les ressources.

  • Guest - Seul l'accès invité à toutes les ressources du système.

SAP System User -

  • <SID>ADM SAP - Administrateur système avec un accès complet sur toutes les ressources SAP.

  • SAPService<SID> - Utilisateur spécial chargé d'exécuter les services SAP.

Database Users -

  • <DBService> - Pour exécuter des services spécifiques à la base de données dans la plate-forme Windows.

  • <DBuser> - Utilisateur de base de données pour effectuer des opérations générales de base de données.

Notez également que les utilisateurs Administrateur et Invité sont créés pendant le processus d'installation et sont utilisés pour effectuer des tâches spécifiques à Windows. Tous ces utilisateurs doivent être protégés dans une plateforme Windows.

Il est essentiel et essentiel de protéger les utilisateurs de votre base de données dans un système SAP. Une base de données peut être une base de données Oracle, SQL Server ou une base de données MYSQL. Vous devez protéger les utilisateurs standard de ces bases de données. Le mot de passe doit être protégé pour les utilisateurs standard et doit être changé régulièrement.

Utilisateurs Oracle Standard

Le tableau suivant présente la liste des utilisateurs standard dans l'environnement Windows. Le mot de passe doit être conservé pour tous ces utilisateurs.

Nom d'utilisateur Type Méthode de changement de mot de passe
<SID> ADM Utilisateur du système d'exploitation Mécanisme OPS $
SAPServic <SID> Utilisateur du système d'exploitation Mécanisme OPS $
SYS (interne) Utilisateur du système d'exploitation SAPDBA
SYSTÈME Utilisateur du système d'exploitation SAPDBA
SAPR3 Utilisateur du système d'exploitation SAPDBA

Comment créer un utilisateur OPS $ pour <SID> ADM?

Pour créer un utilisateur OPS $, vous devez vous connecter avec le <SID> ADM. Vous devez d'abord arrêter le système SAP s'il est en cours d'exécution, puis exécuter la commande ci-dessous.

Create user OPS$<adm_user> default tablespace psapuserid temporary tablespace psaptemp identified externally;

Ici, <adm_user> est -

  • <SID> ADM pour les anciennes versions d'Oracle

  • <nom_domaine> \ <SID> Dernières versions d'ADM

Ensuite, vous devez suivre les étapes ci-dessous -

  • Accordez connexion, ressource à OPS $ <adm_user & gtl;

  • Relier /

  • Créer la table SAPUSER (USERID Varchar (20), PASSWD VARCHAR2 (20));

  • Insérer dans les valeurs SAPUSER ('SAPR3', '<mot de passe>);

  • Connecter en interne

  • Modifier l'utilisateur SAPR3 identifié par <mot de passe>;

De la même manière, vous pouvez créer OPS$ pour SAPService<SID>. Dans la commande suivante, vous devez utiliser SAP_service_user au lieu de adm_user.

Create user OPS$<SAP_service_user> default tablespace psapuserid temporary tablespace psaptemp identified externally;

Ici, <SAP_service_user> est -

  • SAPService <SID> pour les anciennes versions d'Oracle

  • <nom_domaine> \ SAPservice <SID> pour les dernières versions

Gestion des mots de passe pour les utilisateurs de bases de données

Il est nécessaire de gérer les mots de passe des utilisateurs standard dans votre base de données. Il existe différents utilitaires que vous pouvez utiliser pour un changement de mot de passe.

Comment changer le mot de passe d'un utilisateur DBA à l'aide de SAPDBA?

Le mot de passe peut être modifié pour un utilisateur DBA à l'aide de la ligne de commande ou de l'interface graphique. Pour changer le mot de passe à l'aide de la ligne de commande, vous devez utiliser la commande suivante -

Sapdba [-u <user1>/<user1_password>] –user2 <user2_password>

Dans la commande ci-dessus, user1 est l'utilisateur de base de données utilisé par SAPDBA pour se connecter à la base de données.

  • <user1_password> est le mot de passe du mot de passe de l'utilisateur1.

  • <user2> montre l'utilisateur de la base de données pour lequel le mot de passe doit être modifié.

  • <user2_password> est le nouveau mot de passe du même utilisateur.

Si vous souhaitez vous connecter en utilisant le nom d'utilisateur «SYSTEM» avec son mot de passe par défaut, vous pouvez omettre –u de la commande.

Sapdba –u system/<system_password>] –sapr3 <sapr3_password>

Comment changer le mot de passe pour SAPR3 à l'aide de SVRMGRL?

SVRMGRL est un ancien utilitaire fourni avec les versions précédentes d'Oracle et utilisé pour exécuter les fonctions de base de données mentionnées ci-dessous. Dans les dernières versions, les commandes du Gestionnaire de serveur sont désormais disponibles dansSQL*Plus.

  • Créer une base de données
  • Démarrer et arrêter la base de données
  • Récupération de la base de données
  • Gestion des mots de passe

Pour changer le mot de passe, vous devez suivre les étapes ci-dessous -

  • Démarrez SVRMGRL.
  • Connectez-vous à la base de données à l'aide de la commande connect internal.
  • SVRMGR> connecter interne.
  • Connected.

L'étape suivante consiste à mettre à jour la table SAPUSER en entrant la commande donnée ci-dessous -

Update OPS$ <SID>ADM.SAPUSER set PASSWD = ’<new_password>’ where USERID = ’SAPR3’;

Vous devez mettre à jour le mot de passe pour SAPR3 dans la base de données en utilisant la ligne de commande.

Modifier l'utilisateur sapr3 est identifié par <nouveau mot de passe>

Single Sign-On (SSO)est l'un des concepts clés qui vous permet de vous connecter à un système et vous pouvez accéder à plusieurs systèmes dans le backend. SSO permet à l'utilisateur d'accéder aux ressources logicielles des systèmes SAP dans le back-end.

le SSO with NetWeaverLa plate-forme fournit l'authentification des utilisateurs et aide les administrateurs système à gérer les charges d'utilisateurs dans un paysage système SAP complexe. La configuration SSO simplifie le processus de connexion d'un utilisateur aux systèmes et applications SAP dans le paysage en améliorant les mesures de sécurité et en réduisant les tâches de gestion des mots de passe pour plusieurs systèmes.

SSO aide une organisation à réduire ses coûts de fonctionnement en diminuant le nombre d'appels au Service Desk liés aux problèmes de mot de passe et par conséquent à augmenter la productivité des utilisateurs professionnels. Le mécanisme d'intégration SAP NetWeaver vous permet d'intégrer facilement votre système SAP NetWeaver dans le concept SSO et fournit un accès facile aux systèmes backend dans SAP System Landscape Environment.

Concept d'authentification unique SAP

L'authentification unique peut être configurée avec mySAP Workplace, ce qui permet à un utilisateur de se connecter quotidiennement à mySAP Workplace et d'accéder aux applications sans saisir à plusieurs reprises son nom d'utilisateur et son mot de passe.

Vous pouvez configurer SSO avec mySAP Workplace à l'aide des méthodes d'authentification suivantes -

  • Nom d'utilisateur et mot de passe
  • Billets de connexion SAP
  • Certificats client X.509

Intégration dans Single Sign-On

La plateforme SSO avec NetWeaver fournit l'authentification des utilisateurs et aide les administrateurs système à gérer les charges d'utilisateurs dans un paysage système SAP complexe. La configuration SSO simplifie le processus de connexion des utilisateurs aux systèmes et applications SAP dans le paysage en améliorant les mesures de sécurité et en réduisant les tâches de gestion des mots de passe pour plusieurs systèmes.

L'utilisation de SAP NetWeaver vous permet de configurer différents mécanismes que les utilisateurs autorisés utilisent pour accéder au système NetWeaver à l'aide de la méthode SSO. Le mécanisme de connexion dans le système dépend de la technologie du système SAP NetWeaver et des différents canaux de communication utilisés pour accéder à ces systèmes.

Configuration de l'authentification unique dans une interface graphique SAP

Pour configurer une connexion unique, vous devez avoir accès aux codes T suivants -

  • RZ10
  • STRUST

Une fois que vous avez ces codes T, vous devez suivre les étapes ci-dessous -

Step 1 - Connectez-vous à n'importe quel système SAP ECC à l'aide de l'interface graphique SAP, accédez au code T RZ10.

Step 2 - Sélectionnez ensuite le profil par défaut et la maintenance étendue.

Step 3 - Cliquez sur Modifier et vous verrez la liste des paramètres du profil.

Step 4 - Modifiez les paramètres de profil suivants -

  • login / create_sso2_ticket = 1
  • login / accept_sso2_ticket = 1

Step 5- Enregistrez et activez le profil. Cela générera un nouveau profil.

Step 6 - Exportez le R3SSO certificat du Trust Manager, accédez à la transaction STRUST.

Step 7- Double-cliquez sur la zone de texte à droite de Certificat personnel. Les informations du certificat s'affichent. Notez les valeurs de ce certificat car vous devez entrer les valeurs.

Step 8 - Cliquez sur Icon Export Certificate.

Step 9 - Enregistrez le fichier sous <R3_Name> - <Client> .crt.

Example - EBS-300.crt

Step 10 - Cliquez sur la case à cocher pour créer le fichier dans le répertoire parent.

Step 11 - Importer R3 SSO certificat au moteur Java à l'aide de l'outil administrateur.

Note - Assurez-vous que le moteur Java est démarré.

Step 12 - Ouvrez l'outil d'administration Java.

Step 13 - Entrez le mot de passe de l'administrateur Java Engine et cliquez sur Se connecter.

Step 14 - Choisissez Serveur → Clé de services → Stockage.

Step 15 - Cliquez sur Ticket Key Store dans le panneau View.

Step 16- Cliquez sur Charger dans la zone de groupe Entrée. Sélectionnez le fichier .crt que vous avez exporté à l'étape précédente.

Step 17 - Configurez le service Security Provider dans le moteur SAP Java à l'aide de l'outil Administrator.

Step 18 - Choisissez le fournisseur de sécurité des services serveur.

Step 19 - Choisissez le ticket dans le panneau Composant et accédez à l'onglet Authentification.

Step 20 - Modifiez les options du module Evaluate Ticket Login et ajoutez les propriétés suivantes à chaque système backend sur lequel vous souhaitez configurer SSO.

Authentification unique pour l'accès Web

Vous pouvez configurer plusieurs options avec SSO pour accéder au système SAP NetWeaver. Vous pouvez également accéder au système SAP NetWeaver via un navigateur Web ou à partir d'un autre client Web. Grâce à SSO, les utilisateurs peuvent accéder aux systèmes backend et à d'autres informations sécurisées situées dans le réseau de l'entreprise.

SSO vous permet d'utiliser plusieurs méthodes d'authentification de sécurité pour intégrer l'accès utilisateur Web sur les serveurs d'applications NetWeaver. Vous pouvez également implémenter diverses méthodes de sécurité de communication réseau comme la cryptographie pour envoyer les informations sur le réseau.

Les méthodes d'authentification suivantes peuvent être configurées avec SSO pour accéder aux données via les serveurs d'applications -

  • Utilisation de l'authentification par ID utilisateur et mot de passe
  • Utilisation des tickets de connexion
  • Utilisation des certificats clients X.509
  • Utilisation des artefacts du navigateur SAML
  • Utilisation de SAML 2.0
  • Utilisation de l'authentification Kerberos

Lors de l'accès aux données sur Internet, vous pouvez également utiliser le mécanisme de sécurité dans la couche réseau et transport.

Vous pouvez configurer les tickets de connexion SAP signés numériquement à configurer avec une authentification unique pour accéder aux applications intégrées dans un environnement SAP. Vous pouvez configurer un portail pour émettre des tickets de connexion SAP aux utilisateurs et les utilisateurs doivent authentifier ce système pour l'accès initial. Lorsque les tickets de connexion SAP sont émis aux utilisateurs, ils sont enregistrés dans les navigateurs Web et permettent à l'utilisateur de se connecter à différents systèmes à l'aide de l'authentification unique.

Dans un serveur d'applications ABAP, il existe deux types différents de ticket de connexion qui peuvent être configurés -

  • Logon Tickets - Ces tickets permettent un accès Web en utilisant la méthode SSO.

  • Authentication Assertion Tickets - Ces tickets sont utilisés pour la communication de système à système.

Pour configurer les tickets de connexion SAP, les paramètres suivants doivent être définis dans le profil utilisateur.

login / accept_sso2_ticket

Vous pouvez utiliser des tickets d'authentification unique (SSO) pour autoriser un SSO entre les systèmes SAP et même au-delà des systèmes non SAP. Un ticket SSO peut être un ticket de connexion ou un ticket d'assertion. Le ticket de connexion est transféré sous forme de cookie avec le nomMYSAPSSO2. Le ticket d'assertion est transféré en tant que variable d'en-tête HTTP avec le nom MYSAPSSO2.

Note- Cela nécessite des étapes de configuration supplémentaires pour émettre et accepter les systèmes. Les systèmes de composants SSO doivent permettre la connexion par un ticket SSO (login / accept_sso2_ticket = 1).

Si seule la procédure (certificat client X.509) est utilisée pour une connexion unique, ou si vous ne souhaitez pas utiliser la connexion unique pour ce système, vous pouvez désactiver cette connexion par ticket SSO (login / accept_sso2_ticket = 0).

Pour définir le paramètre, utilisez Transaction RZ11

Values allowed - 0/1

login / create_sso2_ticket

Vous pouvez utiliser les tickets d'authentification unique (SSO) pour autoriser un SSO entre les systèmes SAP et même au-delà vers des systèmes non SAP. Un ticket SSO peut être un ticket de connexion ou un ticket d'assertion. Le ticket de connexion est transféré sous forme de cookie avec le nom MYSAPSSO2. Le ticket d'assertion est transféré en tant que variable d'en-tête HTTP avec le nom MYSAPSSO2.

Note - Cela nécessite des étapes de configuration supplémentaires pour l'émission et l'acceptation des systèmes.

Le système émetteur doit permettre la génération d'un ticket SSO -

  • login / create_sso2_ticket = 1: ticket SSO avec certificat

  • login / create_sso2_ticket = 2: ticket SSO sans certificat

  • login / create_sso2_ticket = 3: Générer uniquement des tickets d'assertion

Values allowed- 0/1/2/3

login / ticket_expiration_time

Pour permettre la connexion unique (SSO) lors de l'utilisation de mySAP.com Workplace, des tickets SSO peuvent être utilisés. Lors de la création d'un ticket SSO, vous pouvez définir la période de validité. Une fois ce délai expiré, le ticket SSO ne peut plus être utilisé pour se connecter aux systèmes de composants du lieu de travail. L'utilisateur doit ensuite se reconnecter au serveur du lieu de travail pour obtenir un nouveau ticket SSO.

Values allowed - <Heures> [: <Minutes>]

Si des valeurs incorrectes sont saisies, la valeur par défaut est utilisée (8 heures).

Les valeurs correctes seront comme indiqué ci-dessous -

  • 24 → 24 heures
  • 1h30 → 1 heure, 30 minutes
  • 0:05 → 5 minutes

Les valeurs incorrectes seront les suivantes -

  • 40 (0:40 serait correct)
  • 0:60 (1 serait correct)
  • 10: 000 (10 serait correct)
  • 24: (24 serait correct)
  • 1:A3

Certificats clients X.509

À l'aide d'une méthode SSO, vous pouvez utiliser des certificats clients X.509 pour authentifier le serveur d'applications NetWeaver. Les certificats clients utilisent des méthodes de cryptographie très puissantes pour sécuriser l'accès des utilisateurs au serveur d'applications NetWeaver. Votre serveur d'applications NetWeaver doit donc être activé avec des techniques de cryptographie fortes.

Vous devez avoir configuré SSL sur vos serveurs d'applications SAP NetWeaver car l'authentification s'effectue à l'aide du protocole SSL sans entrer de nom d'utilisateur et de mot de passe. Pour utiliser le protocole SSL, il faut une connexion HTTPS pour communiquer entre le navigateur Web et le serveur d'applications NetWeaver ABAP.

Langage de balisage d'assertion de sécurité (SAML2.0)

Le SAML2.0 peut être utilisé comme authentification avec SSO Single Sign-On et il active SSO sur différents domaines. SAML 2.0 est développé sous le nom d'organisation OASIS. Il fournit également une option de déconnexion unique, ce qui signifie que lorsqu'un utilisateur se déconnecte de tous les systèmes, le fournisseur de services du système SAP notifie les fournisseurs d'identité qui, à leur tour, déconnectent toutes les sessions.

Voici les avantages de l'utilisation de l'authentification SAML2.0 -

  • Vous pouvez réduire la surcharge liée au maintien de l'authentification du système hébergeant l'application sur un autre système.

  • Vous pouvez également conserver l'authentification pour les fournisseurs de services externes sans conserver les identités des utilisateurs dans les systèmes.

  • Option de déconnexion unique dans tous les systèmes.

  • Pour mapper automatiquement les comptes utilisateurs.

Authentification Kerberos

Vous pouvez également utiliser l'authentification Kerberos pour le serveur d'applications SAP NetWeaver en utilisant l'accès via des clients Web et des navigateurs Web. Il utilise un mécanisme de négociation d'API GSS simple et protégéSPNegoqui nécessite également une authentification unique SSO 2.0 ou version supérieure avec des licences supplémentaires pour utiliser cette authentification. leSPNego ne prend pas en charge la sécurité de la couche de transport, il est donc recommandé d'utiliser le protocole SSL pour ajouter la sécurité de la couche de transport pour communiquer avec le serveur d'applications NetWeaver.

Dans la capture d'écran ci-dessus, vous pouvez voir différentes méthodes d'authentification qui peuvent être configurées dans un profil utilisateur à des fins d'authentification.

Chaque méthode d'authentification dans SAP a ses propres avantages et peut être utilisée dans différents scénarios.