（三）SAP 用户和权限_用户主记录

综述：企业数据的保密性和完整性是SAP系统组内的关键方面。除了为SAP系统开发了其他安全工具之外，还开发出了权限概念，权限概念允许将不同的权限指派给用户，使已经明确定义的用户访问SAP系统。SAP是以事务为基础的，但是它并不允许用户访问所有与给定事务相关的数据（如果没有更多权限的话）。若需要访问所有与给定事务相关的数据，则所需的权限一方面是一个企业之内已经定义且实施的组织单位为基础，另外一方面是以内部和外部规则和法定要求为基础。

SAP权限实施的风险、目标、费用、益处和环境暂时不写。

SAP_用户_用户主记录概念
SAP用户主记录的存在是登录到系统的前提交条件，每个用户均必须拥有一个唯一的用户主记录，通过制定复合角色允许将个人数据和权限保存在这个唯一用户主记录中。从技术上说也可以通过单一角色、组合参数文件以及单一参数文件将权限指定给用户。
当用户登录到SAP系统时，系统将会装载为该特定用户定义的用户主记录，读取已经指定给此用户的所有数据和特权，并且保存在用户缓冲器之中。
对用户缓冲器修改之后以及在系统的最新版本中，如果用户管理员对用户主记录进行更改，用户不必重新登录（如添加事务及关联新的权限对象）。但在实施项目的过程中，我依旧推荐重新登录一次。
维护用户主记录的功能位于菜单路径（SAP GUI 760版本）“主界面-工具-管理-用户维护下”，也可以输入事务代码SU10（今后文章会补充）
管理员有权创建新的用户主记录，也可以复制已有用户主记录来创建新的主记录，用户名允许长度为12个字符。


用户主记录由用户名及其属性两部分组成。在标签页之中，这些属性显示为用户主记录的一个组成部分并在其中予以维护。

地址数据
使用地址数据标签页来记录指定用户的地址数据。在此标签页之中，至少要输入用户的姓。此类信息可以识别实际的雇员(姓、名、部门、电话号码、业务地址等)以及长度为12个字符的用户名。
登录数据
为了维护用户主记录的用户信息，需要使用登录数据。除了需要指定初始密码，还可以有选择地为用户主记录指定最长有效期间，如用于临时员工和实施组成员。
当用户管理员创建一个新用户主记录时，系统将提示需要指定初始密码。出于安全的考虑，要求将初始密码重复输人两次。若新用户第一次登录到此系统或重置密码时，系统将会提示用户选择新的个人密码。
用户缺省值
使用缺省值标签页指定用户缺省值，例如标准打印机、池控制、日期格式以及小数格式、登录之后的个人开始菜单以及登录语言。管理员可以选择此标签，也可不选;用户可在事务SU3之中维护其自有用户缺省值。
参数
为了保存字段(例如每个用户的公司代码、工厂以及销售组织)的缺省值，可使用参数标签页设置或获取参数。为了创建定义，必须定义SAP字段名称(例如，将BUKRS定义为公司代码)以及所需值(例如0001)。对于管理员而言，这些设置是可选的(例如，如果公司仅使用一个公司代码，则可在用户初始上载期间预先指定类似值)，而且用户本人在任何时候均可使用事务代码SU3维护SAP字段名称和上述所需值定义预先指定的值可使用户再次碰到组织单位时，能更容易地进人其中。维护这些参数值有助于减少输入错误。
参数文件
使用角色标签页可将单角色或复合角色指定给用户。使用值帮助(F4键)可找到必要的角色。指定复合角色时，系统会自动将单角色指定给该用户。将单角色或复合角色指定给用户记录之后，相应的权限参数文件将会同时保存在用户参数文件之中，无需明确的用户比较。
组
使用组标签页可将用户分配到一个或一个以上预先定义好的用户组之中。这将有助于划分用户数据，这样会促进集中用户管理。未激活全局用户管理员(GUM)时，此标签页将会被取消。
个性化
使用个性化标签页允许甩户预先指定应用程序参数，该标签页包括的参数要多于事务代码SU3提供的用户参数。系统将把用户主记录的最新写人访问保存为更改文档，此更改文档含有用户名以及更改日期(字段最新更改日期)。

值得注意的几点：
1.由于SAP系统之中的集团概念原因，用户主记录通常仅在其所创建的集团(逻辑上的SAP系统)之中存在。如果用户在数个集团中工作，则系统必须为每个集团创建单独的用户记录(该用户记录包括相应的权限)，这一过程很耗时。SAP后续版本已经对其进行更改，管理员使用集中用户管理CUA，在一个已定义好的主系统之中对用户进行创建和维护，然后通过分配机制，将这些用户分配给已经连接的目标系统。
2.除了创建、更改和复制用户记录之外，管理员还可以锁定或和删除任何主记录（在已经批准的请求之上）。但出于审计目的，员工离岗之后锁定主记录即可。
3.用户管理员可以手动锁定用户主记录，SAP系统也可以自动锁定用户主记录。例如登录失败次数过多。
4.大批量用户和权限的初始数据上载，尽量避免逐个手工创建，应该尽可能使用批量导入手段辅助上载。或者在SAP业务应用程序编程界面(BAPI)系列(例如"BAPI_ USER-CREATE”、“BAPIL USER-GET-DETAIL”、“BAPI_USER-CHANGE”以及“BAPIUSER-DELETE")的基础之上、用外部工具创建并管理用户主记录。您还可选择使用SAP CATT(计算机辅助测试工具)，或者参考SAP与EXCEL交互。