如何锁定 (SU01) 和解锁 (SU10) SAP 用户
编辑团队
⚡ 智能摘要
锁定和解锁 SAP 用户可通过事务代码 SU01 和 SU10 暂时停用帐户，从而保护系统访问权限。本资源解释了单个用户和批量用户操作流程、自动锁定参数、锁定状态验证以及安全用户管理的最佳实践。
锁定用户
In SAP锁定用户是一种安全措施，它会暂时阻止帐户登录。锁定用户的目的是暂时停用帐户，使该用户无法再访问系统，但用户主记录本身保持不变，并且可以随时重新激活。
可以通过两种方式锁定用户：-
- 自动
- 明确/强制
自动地： - 用户被自动锁定时有两种可能的情况：
- 最大失败尝试次数：通过参数控制 登录/失败_到_用户_锁定。 如果该值设置为 3，则表示 3 次尝试失败后用户将被锁定。
- 自动解锁时间：-“登录/失败用户自动解锁”定义了用户是否因操作失败而被锁定 登录尝试 应在午夜自动删除。
明确/强制： 管理员可以通过两种方式锁定和解锁用户：
- 锁定单个用户（SU01)
- 锁定多个用户（SU10)
SU01 与 SU10：主要区别
在锁定或解锁账户之前，了解哪个交易代码适合该任务很有帮助。这两个代码都用于管理用户访问权限，但它们的操作规模不同，因此正确选择可以节省时间并避免错误。
| 比较基础 | SU01（用户维护） | SU10（用户批量维护） |
|---|---|---|
| 主要目的 | 维护单个用户 | 维护多个用户的一致性 |
| 最适合用于 | 锁定或解锁一个帐户 | 同时锁定或解锁多个帐户 |
| 用户选择 | 输入一个用户名 | 用户列表可通过地址和授权数据输入或选择。 |
| 批量变更的速度 | 速度较慢，逐一处理 | 速度更快，一次操作即可应用于所有情况 |
| 典型场景 | 服务台正在处理一个请求 | 管理员负责管理大规模入职或离职流程 |
简而言之，使用 SU01 可以快速更改单个帐户，而当必须同时对一组用户执行相同的锁定或解锁操作时，请使用 SU10。
锁定单个用户的步骤
按照 SU01 交易中的以下步骤锁定一个特定账户。
步骤1） 执行 T 代码 SU01
步骤2） 请输入用户名 用户 领域。
步骤3） 按 锁定/解锁 按钮。
步骤4） 在下一个屏幕中，按下 锁 再次按下按钮即可锁定用户。
锁定多个用户的步骤
当需要将多个帐户锁定在一起时，事务 SU10 会一次性将该操作应用于整个列表。
步骤1） 执行 T 代码 SU10
步骤2） 输入用户名 用户 领域。
步骤3） 按 锁定/解锁 按钮。
所有被列入名单的用户都将被锁定。
解锁用户的过程
解锁操作会解除锁定并恢复访问权限。使用事务代码 SU01 解锁一个帐户。
步骤1） 执行 T 代码 SU01
步骤2） 请输入用户名。 用户 领域。
步骤3） 按 锁/开锁 按钮。
步骤4） 按 开锁 按钮。
解锁多个用户的步骤
要一次性恢复多个帐户的访问权限，请使用事务 SU10 同时解锁它们。
步骤1） 执行 T 代码 SU10
步骤2） 输入用户名 用户 领域。
步骤3） 按 开锁 按钮。
用户将被解锁。
如何检查是否 SAP 用户已被锁定。
锁定账户后，管理员通常需要确认当前状态或查看系统中的每个已锁定账户。 SAP 用户主表中会记录锁定状态，一些标准工具无需任何更改即可显示该状态。在例行安全审查期间检查状态也是一种良好做法，因为它可以发现那些已被自动锁定但随后被遗忘的帐户。
您可以使用以下任一方法查看锁定状态：
- 交易 SU01： 在 SU01 中打开用户。锁定/解锁屏幕显示帐户当前是已锁定还是已解锁，以及原因。
- 报告RSUSR200： 运行报表 RSUSR200，该报表也可通过用户信息系统（事务代码 SUIM）访问。它按登录日期和密码状态列出用户，并可筛选整个客户端中被锁定的帐户，因此非常适合定期审计。
- 表格 USR02： 使用 SE16 或 SE11 查看表 USR02 并进行检查 UFLAG 该字段用于记录用户帐户状态。除 0 以外的任何值都表示帐户已被锁定。同一张表还存储了锁定日期和登录失败次数，这有助于进行根本原因分析。
UFLAG 字段还会解释锁定的原因，这有助于您确定正确的解决方法：
- 0 用户未被锁定。
- 64 – 用户被管理员锁定（通过 SU01 或 SU10 手动锁定）。
- 128 – 用户因多次错误登录尝试而被锁定。
- 192 – 用户已被管理员锁定，并且由于登录尝试失败而被锁定。
首先查看原因，可以判断是直接解锁账户，还是在恢复访问权限之前先调查多次登录失败的原因。例如，如果错误代码为 128 或 192，则表示您应该在解锁账户之前确认用户身份并检查是否存在密码攻击。
锁定和解锁的最佳实践 SAP 用户
一致的流程可确保用户管理的安全性和审计准备。在锁定或解锁帐户时，请牢记以下最佳实践：
- 下线时立即锁定： 对于离职或角色变更的员工，应立即锁定其帐户，而不是删除帐户，以便保留审计历史记录和任务分配信息。
- 批量作业首选SU10： 使用 SU10 进行项目滚动或部门变更等群组操作，可以节省时间并应用一致的操作。
- 记录原因： 注意账户被锁定的原因，以便其他管理员在解锁账户之前了解情况。
- Rev查看失败的登录锁： 在解锁之前，请先调查因登录错误而被锁定的帐户，因为反复失败可能表明忘记了密码或遭受了攻击。
- 限制锁定授权： 限制 S_USER_GRP 授权，以便只有受信任的管理员才能锁定或解锁用户。
- 结合自动锁和手动锁： 配置 login/fails_to_user_lock 参数，以便在登录失败后自动锁定帐户，并将手动 SU01 或 SU10 锁定保留给计划内的管理操作，例如休假或离职。
