SAP 创建新用户SU01 角色管理PFCG

SAP ABAP系统用户管理

在管理SAP ABAP系统时，用户及其权限管理是日常管理中很常见的一项内容。本篇分享用户管理部分的内容，后续再分享权限管理的内容。在SAP系统中，用户是通过User ID来标记的，每个用户都是一条主数据记录，包含很多方面的内容信息。用户和权限数据是依附于Client的，通过给用户分组可以对用户进行批量管理。

创建用户组

用户组是为了方便用户管理进行的逻辑分组，只有拥有用户组管理权限(S_USER_GRP)的管理员才能管理该组用户成员。

T-code: SUGR

在初始界面，输入用户组名，单击创建按钮。

输入用户组描述和添加对应的用户，单击保存按钮，然后下面提示用户组创建成功。

同样的步骤，创建另一个用户组ZTEST_02。

创建用户

系统安装完成后，默认创建了一些用户，比如SAP*和DDIC，系统管理员首先使用这些用户登陆，然后创建系统管理账户和业务用户账户。

T-code: SU01

在初始页面，输入用户名，点击创建按钮。另外也可以为用户创建别名。

进入用户维护信息页面后，通过单击不同Tab维护不同方面的信息。

• Documentation：用户的描述信息和详细文档信息

• Address：用户的地址信息

• Logon Data：用户的登录信息、用户类型等

• Secure Network Communications (SNC) ：安全功能，不是直接可用的

• Defaults：用户的默认选项，比如默认打印机、登录语言等

• Parameters: SAP标准字段的用户特定值

• Roles：赋予用户的角色

• Profiles ：用户使用的profile

• Groups：用户所在的组

• Personalization：显示用户的自定义对象

• License Data：可以将用户指定为外包人员(contractual user type)，用户审计过程中会用到

这里仅输入必填字段来创建用户，包括LastName和初始密码，然后单击保存按钮，状态栏显示用户创建成功。

同样的步骤，创建另一个用户ZTEST_02。

在创建用户过程中，需要指定用户类型，默认为Dialog类型。

• Dialog：最基本的用户类型，用户可以通过SAPGUI登录系统并执行业务操作

• SYSTEM:  系统用户不能从前台登录，用于系统内的通讯或后台作业处理

• Communication Data：账户用于系统间的通讯

• service：通常用作匿名用户访问 ，可以从前台访问

• Reference：账号不能登录，用于为Dialog用户添加额外的权限

另外，上图中看到创建用户过程中有两个地方可以维护用户组信息，Logon Data下面的是用于权限检查管理的用户组，即可以给不同用户组分配不同的管理员；而Groups下面维护的用户组是为了进行批量操作用户。

添加到用户组

用户创建过程中或创建完成后，可以将用户添加到用户组，方便后续的用户批量管理。

用户组添加完成后，可以回到用户组那里再次确认。

常用事务码

• SU01：用户创建、删除、解锁等操作

• SU10: 批量用户管理

• SUGR：用户组管理

• SM04：在线用户管理

• SU53：权限检查失败记录

• SU56：用户权限的上下文环境

• SECPOL：安全策略设置

• SUIM:  用户信息系统

• Report RSUSR_LOCK_USERS：批量解锁用户

• STAUTHTRACE: 权限检查Trace分析

• ST01：系统Trace

相关系统参数

在ABAP系统实例层面，可以通过设置用户登陆和密码相关的参数增加系统的安全性。下面罗列了一些常用的参数。

参数	描述	默认值	值范围
login/min_password_lng	密码的最小长度	6	3-40
login/min_password_digits	密码中数字的最小数目	0	0-40
login/min_password_letters	密码中字母的最小数目	0	0-40
login/min_password_lowercase	密码中小写字母的最小数目	0	0-40
login/min_password_uppercase	密码中大写字母的最小数目	0	0-40
login/min_password_specials	密码中特殊字符的最小数目	0	0-40
login/password_expiration_time	密码过期时间	0	0-1000天
login/password_max_idle_initial	初始密码未使用的过期时间	0	0-24000天
login/password_max_idle_productive	用户未使用密码的最大过期时间	0	0-24000天
login/min_password_diff	与历史密码的最小差异	1	1-40
login/fails_to_session_end	登录失败几次后登录退出	3	1-99
login/fails_to_user_lock	登录失败几次后用户被锁定	5	1-99
login/failed_user_auto_unlock	登录失败被锁定的用户是否自动解锁	0	0 or 1
login/disable_multi_gui_login	是否允许用户多次登录	0	0 or 1
login/multi_login_users	允许多次登录的用户	-	username
login/server_logon_restriction	系统维护期间限制用户访问	0	0-4
login/no_automatic_user_sapstar	是否允许用户SAP*登录	1	0 or 1