使用安全审计日志 - SAP S/4 Basis Tips

2024-01-14 22:41:34

适用场景

在日常BASIS运维工作中，我们可以使用 SM21 查看系统日志，但如果希望获得一些更详细的日志，如用户登录记录(Dialog/RFC)，RFC调用记录，事务/报表执行记录，系统操作记录等各项工作，我们可以开启安全审计日志(Security Audit Log)，这样在出现安全问题时，我们可以通过该日志查看是谁进行的操作。本文介绍了Security Audit Log 的配置，查看和清理方法。

本文参考自官方手册：“System Security for SAP NetWeaver AS for ABAP Only”->"Security Audit Log"章节(https://help.sap.com/viewer/280f016edb8049e998237fcbd80558e7/1709%20000/en-US/4d41bec4aa601c86e10000000a42189b.html)，有英文能力的同学可以仔细阅读下该手册。

安全审计日志的开启

使用事务码 SM19，可以打开审计日志配置界面，首先我们会看到三个页签，首先我们应点击 Kernel Parameters 这个页签，配置 Kernel Parameters。

配置 Kernel Parameters

Kernel Parameters 用来控制安全审计日志的全局参数，如是否启用审计日志，是否启用用户筛选，日志记录方法(每日一个文件或每日多个文件) 和文件大小限制等；所做的修改保存后立刻生效，无需重启SAP，此外我们也可以在RZ10 中配置审计日志参数(不推荐)，Kernel Parameters 一旦配置后，优先级高于RZ10，如果我们坚持要在RZ10中配置，需要先点击此界面右上角的"删除"按钮，RZ10的设置才会生效，具体各参数的含义，及对应的RZ10中的参数，请查阅 “System Security for SAP NetWeaver AS for ABAP Only”->"Security Audit Log"->“Preparing the Security Audit Log"。

如下图所示，创建 Kernel Parameters，按照自己的需求修改后，保存。审计文件即可生效。

配置 Static Profile

然后我们切换到 Static Configuration 页签，此处我们可以创建审计参数文件，并将其激活，激活的参数文件需重启SAP后才可生效，我们可以在此界面创建多个版本的审计参数文件，但每次只能激活一个

1) 创建 Profile 起个合适的名字

2) 在下方我们可以设置多个Filter，Filter 的数量取决于" Kernel Parameters"页签中定义的参数"Number of Selection Filters"(该配置需重启SAP才生效)，本例中，我配置两个Filter，用于满足对不同用户组配置不同的审计级别

Filter1 审计所有用户的登录和RFC调用：

Filter2 审计管理员(SUPER用户组的用户)对用户主记录的修改和授权记录：

3) 然后保存该Profile，建议部署给所有的服务器，一旦选择了Yes，则该Profile对所有实例立刻生效，且无需重启SAP(具体原因将在下面的 Dynamic Config 中解释)。

按照如上方法，我们可以创建多个Profile，然后选中一个，激活该Profile(只允许激活一个)：

在如上配置之后，该审计日志 profile已被激活，理论上重启SAP服务器后即可生效

配置 Dynamic Config

和 Static Configuration 页签不同，Dynamic Config 页签的配置无需重启服务器，激活后立刻生效，一旦配置且激活了"Dynamic Config"，"Static Configuration"页签中配置的 Profile 将不会生效。

我们切换到 ”Dynamic Config“页签，一般情况下，我们会发现已经有一个处于激活状态的配置了，且配置和"Static Configuration"中的完全一样：

还记得在我们配置 Static Profile 的时候，第3步，保存时弹出的那个窗口吗？一旦选择了"Yes"，则SAP会将该Profile复制到 Dynamic Config. 下并将其激活，因此我们即使不重启SAP服务器，审计配置也会立刻生效!

我们也可以手工修改 Dynamic Config，然后激活，配置将立即生效

需注意的是，一旦重启了SAP服务器，"Dynamic Config"的配置会失效且丢失！！，系统将会使用"Static Configuration"页签下，激活的 Profile，因此对Dynamic Config 的配置仅用于临时测试，请及时在 Static Congifuration中修改Profile并激活。

安全审计日志的分析

接下来我们可以使用事务码 SM20 设置筛选条件，查看审计日志

建议将结果导出到 Excel中，用Excel进行分析会更加的方便。

安全审计日志的存储

SAP的日志存储位置，由参数"DIR_AUDIT"决定存储位置，由参数"FN_AUDIT"决定文件命名规则，我们可以用RZ11 查看这两个参数，并在服务器上找到该目录下的文件，如果我们想要保留大量的，详细的审计日志的话，建议修改该参数，将日志目录改到单独的存储服务(如单独磁盘、NFS服务器、NAS服务器等) 上。