Usuarios estándar
Hay dos tipos de usuarios estándar, los creados por la instalación del sistema SAP y los creados durante la copia de un cliente. Durante la instalación del sistema, el cliente 000 y 066 son creados
El usuario estándar SAP*
Es el único usuario para el cual no se requiere de registro maestro de usuario, es decir no existe una entrada en las tablas de usuarios, y se encuentra definido en el kernel del sistema, SAP* tiene por defecto la contraseña pass y autorización de acceso irrestricto para el sistema
Cuando instalamos un sistema SAP, un registro maestro de usuario se crea automáticamente para SAP* en el cliente 000. la contraseña se define durante el proceso de instalación y no se puede omitir
Usuario DDIC
Este usuario es responsable de mantener el diccionario ABAP y la logística de software, cuando se instala el sistema, un registro maestro maestro de usuario de crea automáticamente en el cliente 000
Solo el usuario DDIC puede realizar tareas de logon al sistema durante la instalación de una nueva versión (upgadre)
El usuario EarlyWatch se crea en el cliente 066 y esta protegido por la contraseña support. Los expertos de SAP del servicio EarlyWatch son quienes utilizan este usuario. Este usuario no debe ser borrado ni la contraseña cambiada
Esté usuario solo debe ser usado para funciones de monitoreo y performance, las autorizaciones necesarias para este usuario ya son rpovistas durante el proceso de instalación
Si copias un cliente, el usuario SAP* siempre está disponible. Este usuario no tiene registro maestro de usuario y está programado en el código del sistema (kernel). Para proteger el sistema contra accesos no autorizados, despues de la copia debemos crear un registro de usuario para este usuario estandar, con autorizaciones totales en el sistema (perfil SAP_ALL)
Si borramos el registro de usuario SAP* (tabla USR02), la contraseña inicial pass con las propiedades vuelven a ser validas nuevamente, el usuario tiene autorizaciones totales que no se realizan verificaciones de autorizacion para este usuario. la contraseña estandar no puede ser modificada
Se puede desactivar el usuario SAP* configurando el parametro login/no_automatic_user_sapstar con valor 1, si el parametro esta activo, o sea con el valor 1, SAP* no es valido en el sistema. Si el registro maestro de usuario SAP* es borrado, el logon con la contraseña PASS no funciona, cambiar este valor requiere reinicio del sistema
Es conveniente activar el parametro en el perfil global del sistema default.pfl para que tenga efecto en todas las instancias del sistema, debemos considerar que si existiera el parametro con valor 0 en un perfil de instancia, este sobrescribe el que esta en el perfil global
Tambien crear el registro maestro de usuario SAP* en todas las instancias y asi asegurar que no se podrá ingresar con la clave pass si el parámetro es desactivado