1.1 本书的关注点 1
第1章 介绍 1
1.1.1 各章简介 2
1.1.2 目标集团 3
1.1.3 本书重点 5
1.2 SAP R/3环境 5
1.2.1 SAP R/3安全 6
1.2.2 IT基础结构 7
1.2.3 安全方面和基础结构的集成 9
1.2.4 Web结构的进一步发展（Internet事务服务器） 11
1.2.5 mySAP工作台／SAP企业门户 12
1.3 复杂的系统架构 14
1.4 总结 17
2.1 初步评论——SAP R/3系统中的安全 19
第2章 SAP R/3用户和权限 19
2.1.1 风险 20
2.1.2 目标 20
2.1.3 费用 21
2.1.4 益处 21
2.1.5 环境 21
2.2 SAP R/3用户 22
2.2.1 用户主记录 22
2.2.2 用户组 27
2.2.3 用户类型 28
2.2.4 密码规则 28
2.2.5 SAP R/3标准用户 31
2.2.6 与用户主记录相关的SAP表格 32
2.3 SAP R/3权限概念 33
2.3.1 参数文件生成器 34
2.3.2 事务、权限对象以及权限 35
2.3.3 企业结构和组织级别 39
2.3.4 角色 40
2.3.5 权限参数文件 42
2.3.6 技术流程——SAP参数文件生成器 44
2.3.7 命名惯例 48
2.3.8 与权限和角色相关的SAP表 49
2.3.9 划分管理职责 51
2.4 系统缺省设置 52
2.4.1 实例和技术参数文件 54
2.4.2 将SAP建议转移到客户表 55
2.5 SAP应用程序中的权限检查 58
2.6 保护表 63
2.7 保护报表 67
2.7.1 ABAP/4程序 67
2.7.2 保护程序 67
2.7.3 使用客户开发事务 69
2.8 基础安全 69
2.8.1 初步评论 69
2.8.2 受影响的基础权限 69
2.9 人力资源安全 74
2.9.1 权限对象——权限主开关 75
2.9.2 个人编号检查 77
2.9.3 额外的主数据检查 79
2.9.4 结构权限 79
2.9.5 您可激活的更多权限检查 82
2.9.6 总结 83
2.10 4.6版的新特征 84
2.11 集中用户管理以及全局用户管理员 86
2.11.1 集中用户管理 86
2.11.2 全局用户管理员 88
2.12 SAP技术在权限范围内的历史 88
2.12.1 背景 88
2.12.2 面向对象的概念 89
2.12.3 含有S_TCODE的面向对象的概念 89
2.12.4 迁移和迁移工具 90
2.13 汇总与总结 91
2.13.1 系统访问保护 91
2.13.3 权限概念 92
2.13.2 用户管理 92
2.13.4 访问保护系统的文档 94
2.13.5 保持期间 94
2.14 权限范围中重要的SAP注释 94
第3章 内部控制系统中的嵌入 95
3.1 内部控制系统的必要性 96
3.1.1 确定风险环境 98
3.1.2 识别风险源（流程、范围等） 101
3.1.3 风险分析 102
3.2 传输到控制环境 104
3.2.1 控制环境的结构 105
3.2.2 控制环境的要求 106
3.2.3 控制类别 108
3.2.4 控制类型 109
3.3.1 SAP R/3权限概念 111
3.3 确定实施 111
3.3.2 实施——限制 112
3.3.3 补偿控制 113
3.3.4 权限控制的分类 114
3.3.5 控制归档 114
3.4 监控以及审计内部控制系统 114
3.4.1 内部审计 114
3.4.2 外部审计 115
3.4.3 企业的意识 115
第4章 设计权限概念的程序模型 117
4.1 IBM的阶段模型 117
4.1.1 简介 117
4.1.2 项目准备以及框架条件 118
4.1.3 定义企业之中的功能（角色） 119
4.1.4 粗略设计——创建任务／功能矩阵 120
4.1.5 详细的设计概念——创建组织／值矩阵 124
4.1.6 实施——创建单角色和参数文件 126
4.1.7 实施——创建复合角色 126
4.1.8 测试、归档和检查 127
4.1.9 配置用户主记录 127
4.1.10 定义支持概念 127
4.1.11 上线准备——知识传递与培训 127
4.1.12 展开支持和上线支持 128
4.1.13 监控和检查 128
4.2 涉及各方 128
4.2.1 概述 128
4.2.2 指导委员会 130
4.2.3 项目管理 130
4.2.6 来自用户部门的联系人 131
4.2.4 审计员 131
4.2.5 模块专家和流程专家 131
4.2.7 用户和权限管理 132
4.3 详细介绍一些重要方面 132
4.3.1 11条基本规则 132
4.3.2 框架条件 134
4.3.3 SAP权限概念的详细程度 136
4.3.4 权限角色归档 137
4.3.5 模板方案 140
4.3.6 命名惯例 143
4.4 工作范围的定义 149
4.4.1 定义使用的SAP功能范围 149
4.4.2 定义企业中角色的程序 149
5.1 概述 157
第5章 实施权限概念的过程模型 157
5.2 实施 158
5.2.1 参数文件生成器——概述 158
5.2.2 初始化参数文件生成器 162
5.2.3 SAP提供的角色 165
5.2.4 用户菜单 165
5.2.5 生成权限 167
5.2.6 复制角色和继承功能 170
5.2.7 复合角色 172
5.3 测试已实施角色 173
5.3.1 要求 173
5.3.2 单元测试 174
5.3.3 角色集成测试 174
5.3.6 角色测试的技术实施 175
5.3.4 用户接受测试 175
5.3.5 最后检查 175
5.3.7 手工维护权限数据 178
5.4 配置用户主记录 181
5.5 上线 182
5.6 日常操作 183
5.6.1 生产系统中的权限概念 183
5.6.2 用户管理和角色管理 184
5.6.3 更改请求程序 186
5.7 紧急事件概念 189
5.7.1 背景 189
5.7.2 多级的紧急事件概念 189
5.8 技术细节 190
5.7.3 请求和登录的流程和处理 190
5.8.1 “权限”信息系统 191
5.8.2 减少权限检查的范围 191
5.8.3 SAP_ALL和SAP_NEW 192
第6章 SAP R/3权限概念的审计 195
6.1 用户信息系统 196
6.1.1 结构 196
6.1.2 总结 199
6.2 审计信息系统 199
6.2.1 历史 199
6.2.2 审计途径 199
6.2.3 结构 200
6.2.4 系统审计 203
6.2.5 审计信息系统子树“用户管理” 206
6.2.6 审计信息系统的权限 208
6.2.7 审计信息系统角色概念 209
6.2.8 审计权限概念的权限 211
6.2.9 数据收集和评估技巧 212
6.2.10 总结 214
6.2.11 关于审计信息系统的更多信息 215
6.3 直接表存取 215
6.4 补充审计范围 215
6.5 其他审计工具 216
6.5.1 SAP审计——CheckAud（检查审计） 217
6.5.2 ACE 218
6.5.3 APM 219
6.5.4 更多工具 220
6.5.5 总结 221
7.1 一般方面 223
第7章 SAP企业门户 223
7.2 门户组件 225
7.2.1 Web服务器 226
7.2.2 应用服务器 226
7.2.3 运行和开发环境 226
7.2.4 目录服务 226
7.2.5 数据库 227
7.2.6 搜索引擎 227
7.3 门户和SAP R/3之间的交互 227
7.3.1 拖放／关联 229
7.4 访问控制和管理 230
7.4.1 识别和鉴别 231
7.4.2 用户管理 233
7.4.3 角色 235
7.4.5 同步 236
7.4.4 个性化 236
7.4.6 单点登录 237
7.5 其他安全控制 241
7.5.1 要求 241
7.5.2 风险 241
7.5.3 物理安全 243
7.5.4 组织安全 244
7.5.5 安装更新 244
7.5.6 防病毒软件 244
7.5.7 互联网的安全周长 245
7.5.8 入侵检测系统 245
7.5.9 加密和完整校验 245
7.5.11 总结 246
7.5.10 安全操作系统配置 246
第8章 未来发展和方法 249
8.1 引言 249
8.1.1 访问企业目录（轻量级目录访问协议） 250
8.1.2 集中用户管理 252
8.1.3 权限和角色管理（SAP Web应用服务器） 252
8.1.4 用户鉴别 254
8.2 相关事宜 255
8.2.1 其他事务 256
8.3 现状 257
附录A 权限对象 259
附录B SAP注释 265
附录C 关于作者 271