login/password_expiration_time

4月份因为内部Audit的原因，加强了Security,新增（更改）了部份login parameter
login/password_expiration_time 60
login/no_automatic_user_sapstar 0
login/failed_user_auto_unlock 1

特别要指出没有login/password_expiration_time在profile时SAP取的defaul value是0，当添加后从0改成60然后重启生效，哪么所有Dialog用户被要求改密码；这个参数第一次的从0到60的更改的副作用有点象reset "almost" users'password;而这里为什么说almost user,是因为第一次是0到60，估计绝对大部分用户的password都不符合SAP password policy,所以这里他们都要更改密码，而更改过后，如果你再次改login/password_expiration_time，用户就不要再次更改了，直到password_expiration_time到期。所以有Admin异想天开用它来更新password policy（象密码长度、字符变动）,的确是好注意！我试过从profile再次删掉login/password_expiration_time,让SAP取默认值0，重启生效，同一用户不必更改密码；下一测试添加login/password_expiration_time＝60重启生效，同一用户同样不必更改密码；下一测试更改login/password_expiration_time＝120，同一用户同样不必更改密码；具体测试过程如下

Profile Active value Change password
N/A 0
login/password_expiration_time 60 YES
login/password_expiration_time 120 NO
delete the parameter from profile 0 NO
login/password_expiration_time 20 NO
login/password_expiration_time 60 NO
login/password_expiration_time 120 NO



但如果要避免更改密码，似乎没什么好办法，但也不没有方法，只是不是针对所有用户：
1，前面有提到更改密码只涉及Dialog用户，所以可以将有需要的用户（如大BOSS）变成Service用户；
2，in the table USR02, just set a date far in the future for the field BCDA1 (password last change). For example, if you want to set it so user SMITH does not have to change his password until 2010, you can use the following SQL script : update USR02 set BCDA1 = '20101231' where BNAME='SMITH' Just replace the values for BCDA1 and BNAME with your own values ! This script is for MS SQL Server + R/3 46B and 46C, but the syntax should not be very different for other database systems and R/3 versions.

但从国内的企业应用来看，60天似乎太短了，下一阶段要设成120天；在ECC6 IDES测试过，从60到120，用户不需要更改密码。

相关的表：USR02

另外要说明的是login/failed_user_auto_unlock，明显的是一鸡肋，用户一但发现因密码错误不能登录，他就会不停的试不确定的密码直至被锁，而被锁后，根本不会等第二天自动解锁，他们会直接找Admin.[@more@]

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/167898/viewspace-1009014/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/167898/viewspace-1009014/