システムグループのセキュリティ 

開発システム

開発システムを初めてインストールする場合は、ユーザは、開発者およびシステム管理者を含むプロジェクトチームメンバが主体です。新たにインストールされた SAP システムの大部分のユーザは、最初、ユーザマスタレコードに権限プロファイル SAP_ALL が割り当てられています。このプロファイルにより、システムですべてのタスクを実行することができます。プロジェクトが進行するにつれて、ユーザアクセスを制限することが必要になります。開発システムユーザは、通常、品質保証システムユーザまたは本稼動システムユーザとして、より有効範囲の広いアクセス権を持っています。

権限管理者は、このフェーズで SAP 権限コンセプトを理解する必要があります。SAP_ALL をテンプレートとして使用し、最初にロールまたはプロファイル <会社>_ALL をスーパーユーザ権限なしで定義することを推奨します。そのために、以下の手順に従います。

...

       1.      ツール → 管理 → ユーザ管理 → ロールと選択して、ロールを登録します。

       2.      トランザクションは入力せず、権限タブページを選択して次に権限データ変更を選択します。

       3.      テンプレートをコピーせずに、編集 → 権限追加 → 全権限を選択します。

       4.      ベーシス管理オブジェクトクラスを展開します。

ここでは、一般的に重要とされる権限が提供されています。

       5.      ユーザマスタ更新で始まる権限またはオブジェクト名に "S_USER_*" を含む権限、およびその他重要だと思われる権限をすべて無効化します。

       6.      ロール管理ツールを使用して、新規プロファイルを生成し、それを新規名称で保存します。

ユーザ管理で、登録したロールを関連ユーザに割り当てることができます。ロールの割当を参照してください。

このコントロールによって、システムの保全性と安定性が確実になります。

ベーシス権限オブジェクトは、トランザクション AUTH_DISPLAY_OBJECTS で文書化されます。オブジェクトクラスベーシス - 管理の権限オブジェクトは、S_USER_* です。権限オブジェクトにカーソルを合わせ、情報を選択します。

ベーシスシステムおよび SAP ワークエリア権限に関する追加情報については、ツール → AcceleratedSAP → カスタマイジング → プロジェクトの編集を選択し、SAP 完全版 IMG ボタンを押します。エントリユーザまたは権限を検索し、権限セクションを呼び出します。

権限管理者は、開発用システムのエンドユーザに対してロールを登録します。このロールは、本稼動システムに移行する前に、品質保証システムでの最終テストにあわせて移送されます。ユーザマスタレコードは、通常、本稼動の直前に本稼動システムに登録されます。ロールは、必要に応じて、移送された権限データとともに本稼動システムのエンドユーザに割り当てられます。

権限管理者は、どのクライアントをカスタマシステムに登録する必要があるのかを知っておく必要があります。新規クライアント登録時には、ロールの自動コピーは行われません。ユーザ、ロール、権限プロファイル、および権限はクライアント依存のため、クライアントのコピー管理者も、どのユーザマスタレコードをコピーする必要があるのかを知っておく必要があります。

品質保証システム

権限管理者は、設定時に開発用システムから品質保証システムにロール移送を開始することができます。

たとえば FI プロジェクトチームのメンバは、モデルユーザ ID により買掛金管理で以下のチェックを行うことができます。

●      ユーザに割り当てられているロールにトランザクションへのアクセス権があるかどうか

●      これらのトランザクションが、債務管理に対して会社が定義するロールに対応しているかどうか

●      モデルユーザ ID に、特定のトランザクションに対する未許可のアクセス権限があるかどうか

エンドユーザはテスト環境にログオンして、ユーザ権限をテストするために本稼動処理をシミュレートすることができます。

トレーニングクライアントは、通常、品質保証システムに作成されます。これは、品質保証システムに最新の設定が含まれているためです。より大規模なシステムの場合、トレーニングシステムを別に構築している場合もあります。

本稼動システム

ロールおよび権限プロファイルが品質保証システムで完全にテストされ、エンドユーザまたはプロジェクトチームの承認が得られれば、ロールを本稼動システムに移送することができます。これでユーザ ID の登録が可能になります。

本稼動 R/3 システムに対しては、決して変更を加えないでください。そのためには、本稼動システムでは次の権限をユーザに割り当てないようにする必要があります。

●      ABAP ワークベンチ (権限オブジェクト ABAP ワークベンチ (S_DEVELOP) および移送オーガナイザ (S_TRANSPRT)) の権限

●      SAP システムオペレーティングシステムコマンド実行権限 (トランザクション SM52) (システム権限 (S_ADMI_FCD) 値 UNIX)

●      権限オブジェクト S_USER_OBJ を使用して権限チェックを無効化する権限 (トランザクション AUTH_SWITCH_OBJECTS)