LOS PARAMETROS DE LOGON Y LOS USUARIOS ESTANDAR.
1)Los parametros del sistema para logon de usuarios.
- Longitud minima de la contraseña: login/min_password_Ing
- Periodo de validez de las contraseñas: login/password_expiration_time
- Dity periodo de contraseñas iniciales no utilizados: login/password_max_idle_initial
- ldity periodo para contraseñas de usuario no utilizadas: login/password_max_idle_productive
- lmum diferencia de caracteres de la contraseña: login/min_password_diff
Existen algunas reglas generales sobre las contraseñas que no pueden desactivarse.
Una contraseña:
- Debe tener al menos 6 caracteres de largo
- No puede comenzar con "?" o "!"
- No puede ser pass
- La nueva contraseña debe diferir de la anterior al menos en 1 caracter.
El parametro login/password_max_idle_initial indica por cuanto tiempo una contraseña nueva (seleccionada por un administrador) permanece valida si no es utilizada.
El administrador de usuarios puede reactivar la contraseña asignando una contraseña nueva inicial. Otro parametro que nos sirve para observar cuanto tiempo queda de una contraseña productiva (seleccionada por el usuario) permanece valida, es login/password_max_idle_productive. Una vez caducada la contraseña, no se puede ser utilizada para autenticacion.
Con el parametro login/min_password_diff, el administrador puede definir un numero de caracteres nuevos, comparado con la anterior contraseña.
PARAMETROS DEL SISTEMA DE PERFILES.
- Finalizar el procedimiento de inicio de sesion: login/fails_to_sesion_end
- El numero maximo de intentos de inicio de sesion fallidos: login/fails_to:user_lock
- Desactivacion del desbloqueo automatico: login/failed_user_auto_unlock
- Desactivacion de dialogo. Inicio de sesion multiple: login/disable_multi_gui_login
- Usuarios especiales (inicio de sesion multiple): login/multi_login_users
El administrados puede bloquear, desbloquear o asignar una nueva contraseña a los usuarios en la transaccion SU01
Si el parametro login/disable_multi_gui_login se configura con el valor 1, solamente puede iniciar sesion una vez el cliente, esto sirve como metodo de seguridad del sistema. El usuario tendra las siguientes opciones cuando abre mas de una sesion:
- Continuar con este logn y finalizar cualquier otro logon en el sistema.
- Terminar este logon.
Tenemos la opcion de excluir a los usuarios que especifiquemos en el parametro login/multi_login_users separados por comas y sin espacios.
2) Los usuarios estandar.
Esencialmente, hay dos tipos de usuarios estandar: aquellos creados por la instalacion del sistema SAP y aquellos creados durante la copia de un cliente. Estos usuarios son predefinidos en los clientes. Como estos nombres de usuarios y sus contraseñas son estandar, pueden ser conocidos por otras personas, por lo tanto como administrados del sistema protejemos estos usuarios a accesos no autorizados.
El usuario estandar del sistema SAP
SAP es el unico usuario para el cual no requiere un registro maestro de usuario, ya que esta definido en el kernel (es un software que actua de sistema operativo), tiene una contraseña y autorizacion en el sistema.
Cuando instalamos SAP, un registro maestro se nos crea automaticamente en el cliente 000 (y 001 si existe), donde tenemos que colocar una contraseña para proseguir con la instalacion.
El usuario DDIC
Este usuario se encarga de mantener el diccionario ABAP y la logistica de software. (debe cambiarse la contraseña)
El usuario EarlyWatch
Se crea en el cliente 006 y esta protegido con la contraseña support. Los expertos de SAP del servicio EarlyWatch (monitoreo y peformance) son los que utilizan este usuario. No se debe borrar la contraseña ni cambiarla.
Si borramos el registro de usuario SAP (tabla USR02), el usuario tendria autorizacion total, ya que no se realizan verificaciones de autorizacion para este usuario.
La contrasela estandar no puede ser cambiada.
¿Como se protege el sistema, contra este acceso no autorizado?
Se puede desactivar el usuario SAP que viene incluido en el sistema. Debemos configurar el parametro login/no_automatic_user_sapstar con el valor 1. Si el parametro esta activo con el valor 1, no es valido para el sistema. Si el registro maestro de usuario es borrado de SAP, el logon con la contraseña PASS no funciona.
Si deseamos reinstalar el comportamiento anterior, tendriamos que poner como valor 0 (cero) y reiniciar el sistema).