- 26. November 2014

SAP-Stern freischalten – Notfallbenutzer SAP* in SAP NetWeaver aktivieren

Schnittstellen

Haben Sie sich schon einmal aus dem SAP System ausgeschlossen und nach einem Weg gesucht, den Notfallbenutzer SAP-Stern freischalten zu können (Benutzer SAP*)? Möglicherweise kennen Sie folgendes Szenario: Im Rahmen der Vorbereitungen für eine Wartung sollen alle Benutzer in den Produktivmandanten gesperrt werden. Das ist z.B. mit Hilfe der SU10 schnell gemacht. Vergisst man nun z.B. den DDIC-Benutzer aus der Liste zu entfernen oder ist dieser beispielsweise durch zu viele Falschanmeldungen gesperrt, dann ist man aus dem System ausgesperrt.

Wir übernehmen Basisaufgaben und führen SAP Basis Projekte für Sie durch
Fachbereichsleiter Tobias Harmes

Ob Sie ein Systemupgrade durchführen wollen oder einfach nur Unterstützung bei der Konfiguration Ihrer SAP Systemlandschaft benötigen, wir bieten Ihnen unsere kompetenten Berater an: SAP Basis und SAP Security Berater von RZ10 buchen.

Unsere Referenzen finden Sie hier.

Kontaktieren Sie mich: Telefon 0211.9462 8572-25 oder per E-Mail harmes@rz10.de.

In einem unverbindlichen Gespräch kann ich mit Ihnen über Ihre Ausgangslage sprechen und Ihnen Möglichkeiten aufzeigen. Selbstverständlich können wir danach auch ein unverbindliches Angebot unterbreiten.

Es gibt zahlreiche Gründe, welche die Ursache für einen Mandanten ohne ungesperrten Benutzer sein können. Im besten Fall lässt sich das Sperrkennzeichen bei einem Benutzer direkt aus der Datenbank löschen. Was ist aber zu tun, wenn die Kennwörter der Administrator-Benutzer nicht bekannt sind? Auch dafür gibt es einen Weg, welchen ich Ihnen heute gerne vorstellen möchte.

Mit dem Notfallbenutzer SAP* kann man sich an ABAP-Systemen anmelden, auch wenn alle Benutzer gesperrt oder gelöscht wurden. Dieser Standardbenutzer ist im Programmcode des Systems definiert und verfügt über uneingeschränkte Zugriffsberechtigungen. Bevor Sie weitere Schritte versuchen, sollten Sie in jedem Fall testen, ob das Standardkennwort des Benutzers (PASS) funktioniert [Anmerkung: Aus Sicherheitsgründen sollten Sie die Standardkennwörter der Standardbenutzer dringend ändern!]

Der Kernel-Benutzer SAP* kann über einen Profilparameter aktiviert werden. Bei der Installation eines Systems wird automatisch in jedem Mandanten ein Benutzerstamm für SAP* angelegt.

Es gibt zwei Schutzmechanismen:

  1. Der Benutzer kann über Profilparameter aktiviert werden.
  2. Über einen gleichnamigen Benutzerstamm für SAP* kann dieser überlagert werden.

Nachfolgend wird beschrieben, welche Schritte Sie ausführen müssen, um den Notfallbenutzer SAP-Stern freischalten zu können (Benutzer SAP*).

SAP-Stern

Profilparameter

Um den Benutzer zu aktivieren muss der Profilparameter login/no_automatic_user_sapstar auf den Wert 0 gesetzt werden. Dies kann bspw. über die Transaktion RZ10 ausgeführt werden. Das System muss anschließend neu gestartet werden.

Benutzerstamm

Damit eine Anmeldung am System möglich ist, muss sichergestellt werden, dass der Notfallbenutzer nicht von einem gleichnamigen Benutzer SAP* übersteuert wird. Falls das so ist, muss der gleichnamige Benutzer via SU01 umbenannt werden.

SAP-Stern freischalten

Falls eine Anmeldung am System jedoch nicht möglich ist, kann dies auch direkt per SQL in der Datenbank geändert werden. Mit folgenden Befehl kann für einen bestimmten Mandanten der Name des Benutzers SAP* aus dem Benutzerstamm geändert werden:

update [SCHEMA].usr02
set BNAME=“SAP*_old“
where BNAME=“SAP*“ and MANDT=“[Zielmandant]“

Für das <SCHEMA> der Tabelle USR02 muss die System-ID eingetragen werden. Alternativ kann der existierende Benutzerstamm auch gelöscht werden. Bitte beachten Sie, dass das SQL-Kommando unter Umständen an das jeweilige Datenbank-Management-System angepasst werden muss. Bitte prüfen Sie den Befehl genau, bevor Sie das Kommando ausführen.

Sobald Sie den Benutzer SAP-Stern freischalten konnten, ist eine Anmeldung mit dem Standardkennwort PASS möglich. Dieses Password ist im Programmcode festgesetzt und kann nicht geändert werden.

Nach der Reparatur muss der Profilparameter login/no_automatic_user_sapstar wieder auf einen Wert größer 0 gesetzt werden und ggf. ein Benutzerstamm SAP* mit generiertem Kennwort angelegt werden. Dieser sollte der Benutzergruppe SUPER angehören, gesperrt sein und über keine Berechtigungen verfügen.

Ihre Ergänzungen zu SAP-Stern

Haben Sie noch weitere Tipps oder Ergänzungen? Ich freue mich auf Ihr Feedback!

Jetzt das kostenlose E-Book zum Thema SAP Basis herunterladen:

Jetzt das kostenlose E-Book mit ausgewählten Fachartikeln herunterladen:


SHARE



2 Kommentare zu "SAP-Stern freischalten – Notfallbenutzer SAP* in SAP NetWeaver aktivieren"

Stephan Goldstein - 2. Dezember 2014 | 11:05

Der Initialuser SAP* ist eine Systemschwachstelle im SAP (schon zu R2-Zeiten) und muss gesondert unter Kontrolle gehalten werden. Der Verweis auf die absolute Notfall-Lösung über SQL ist schon fast ein Anreiz zum Ausleben von krimineller Energie! So etwas sollte nicht veröffentlicht werden!

Antworten
Tobias Harmes - 26. Januar 2015 | 12:21

Hallo Herr Goldstein.

Vielen Dank für Ihren Hinweis. Ich stimme Ihnen absolut zu bei dem Hinweis, dass der sap*-User besonders kontrolliert werden muss (am Besten automatisiert). Unsere Anleitung unterstreicht die Notwendigkeit dafür. Unsere Sicherheitskonzepte, die wir für Kunden entwickeln, weisen auch immer darauf hin, dass „die Sache gelaufen ist“ wenn jemand das Level des SQL-Zugriff in Produktion erreicht.

Mit freundlichen Grüßen,
Tobias Harmes

Antworten

Schreiben Sie einen Kommentar

Bitte füllen Sie alle mit * gekennzeichneten Felder aus. Ihre E-Mail Adresse wird nicht veröffentlicht.