Compréhension de la gestion des identités

La gestion des identités et des accès (IAM) vous permet de contrôler l'accès des utilisateurs aux applications et d'indiquer ce que les utilisateurs fonctionnels peuvent faire et voir dans les applications. Cela garantit la conformité réglementaire et les normes de sécurité. La gestion des identités et des accès dans SAP S/4HANA Cloud Public Edition comprend la gestion des utilisateurs et des identités, les rôles et les autorisations, ainsi que l'authentification.

À propos de l'authentification, dont nous avons parlé dans la leçon précédente.

Dans cette leçon, nous aimerions présenter brièvement les utilisateurs, les rôles et les autorisations en mettant l'accent sur la composante SAP S/4HANA Cloud Public Edition. Si vous voulez définir un concept des autorisations, nous vous recommandons de vérifier les sources supplémentaires à la fin de ce sujet.

Nous nous concentrons sur les composants suivants dans l'infrastructure à 3 systèmes :

Il existe différentes catégories d'utilisateurs à différentes fins et avec différentes fonctionnalités. Les utilisateurs fonctionnels représentent des utilisateurs finaux exécutant des tâches de gestion quotidiennes. Elles constituent des données à caractère personnel et leur cycle de vie est régi par des politiques de conservation et de suppression.

Les utilisateurs techniques sont utilisés en arrière-plan pour les tâches système telles que la communication inter-systèmes, l'impression et le support.

La figure suivante présente les différentes catégories d'utilisateur :

Utilisateurs fonctionnels

Relation entre les salariés et les utilisateurs fonctionnels

Les salariés sont des enregistrements de métadonnées contenant des données personnelles et liées à l'activité. Les salariés ne peuvent pas accéder directement au système, mais uniquement via les utilisateurs fonctionnels correspondants.

Un utilisateur fonctionnel correspond à une personne réelle qui travaille de manière interactive avec le système. Des utilisateurs fonctionnels sont créés pour permettre à une personne d'accéder au système. Vous pouvez gérer les utilisateurs fonctionnels dans l'application Gérer utilisateurs fonctionnels.

L'authentification et la connexion des utilisateurs fonctionnels ont lieu au niveau du fournisseur d'identités.

Vous pouvez affecter des utilisateurs fonctionnels à des rôles utilisateur dans l'application Gestion de rôles utilisateur. Cependant, l'objectif principal de l'application est de créer et d'adapter des rôles utilisateur.

Cycle de vie de l'utilisateur fonctionnel. Les utilisateurs fonctionnels qui ne l'ont pas utilisé depuis un certain temps peuvent être bloqués automatiquement. La conservation et la suppression finale des utilisateurs fonctionnels bloqués sont régies par la composante Information Lifecycle Management (ILM). Vous trouverez plus d'informations sur l'ILM ici.

Utilisateurs techniques

Les utilisateurs techniques correspondent à un processus local ou distant, généralement une partie du processus de gestion Cloud (comme la mise à disposition du système, le support) ou des processus système intrinsèques. Certains utilisateurs techniques appartiennent au fournisseur de logiciels ou de services et d'autres appartiennent au client.

Vous pouvez obtenir une synthèse de tous les utilisateurs techniques dans l'application Afficher utilisateurs techniques.

Voici quelques exemples d'utilisateurs techniques :

• Utilisateurs de communication : l'utilisateur de communication est un type d'utilisateur technique destiné à la communication technique. Un utilisateur de communication correspond à un système distant qui se connecte à votre système. Vous pouvez définir des utilisateurs de communication dans l'application Gestion des utilisateurs de communication.
• Utilisateurs support : les utilisateurs support sont un type distinct d'utilisateur technique pour l'accès temporaire. Ces utilisateurs sont destinés aux salariés SAP qui accèdent au système sur la base d'un ticket de support du client. L'application Afficher utilisateurs techniques affiche quels utilisateurs support ont été créés pour le système et sur quel incident.

Remarque

Il existe également d'autres types d'utilisateurs techniques, tels que : Utilisateur d'exécution de workflow SAP, Utilisateur de communication fournisseur, Utilisateur technique SAP, etc.

Comme indiqué, la gestion des identités et des accès (IAM) vous permet de contrôler l'accès des utilisateurs aux applications et d'indiquer ce que les utilisateurs fonctionnels peuvent faire et voir dans les applications.

Les principaux éléments d'IAM sont les catalogues fonctionnels, les rôles utilisateur et les utilisateurs fonctionnels. Les applications IAM sécurisent l'accès à votre solution en fonction de ces éléments.

L'accès aux applications de gestion est contrôlé par une gestion des autorisations basée sur les rôles. Cela signifie que vous affectez des rôles utilisateur aux utilisateurs, ce qui vous permet d'accéder à des tâches de gestion spécifiques.

La figure suivante illustre les principaux éléments :

SAP divise la fonctionnalité de gestion en catalogues fonctionnels sémantiquement significatifs, représentant des tâches ou des sous-processus au sein d'un processus de gestion. Les catalogues fonctionnels accordent l'accès à une application, à un ensemble d'applications ou à des aspects individuels d'une application. Certains catalogues fonctionnels ont des restrictions. Ces restrictions vous permettent d'indiquer la manière dont les utilisateurs interagissent avec l'application ; par exemple, ils peuvent accorder un accès en écriture ou en lecture.

Les catalogues fonctionnels sont regroupés en collections appelées rôles utilisateur. Un rôle utilisateur contient généralement plusieurs catalogues fonctionnels et correspond à un ensemble d'autorisations requises pour exécuter les tâches d'une description de job particulière, par exemple, un magasinier. Au niveau du rôle utilisateur, les valeurs de restriction des catalogues fonctionnels contenus sont définies. Un catalogue fonctionnel peut être contenu dans différents rôles utilisateur et peut avoir différentes valeurs de restriction affectées dans ces différents rôles utilisateur.

Les catalogues fonctionnels sont un concept bien établi pour pré-regrouper les autorisations. Ils combinent les autorisations pour les fonctionnalités de gestion (sélection d'applications) en modules sémantiquement significatifs en tant que meilleures pratiques fournies par SAP qui représentent des tâches ou des sous-processus pour un poste de travail spécifique dans un processus de gestion global. Avec l'introduction des variantes d'autorisation d'application, les catalogues fonctionnels passent d'entités indivisibles à des entités qui regroupent des variantes d'autorisation d'application qui peuvent être activées ou désactivées. Par conséquent, les variantes d'autorisation d'application deviennent la plus petite entité pour la conception des rôles utilisateur, offrant ainsi une plus grande flexibilité pour gérer les autorisations des utilisateurs fonctionnels, y compris les applications qu'ils peuvent utiliser.

Mais Adam veut voir à quoi cela ressemble dans le Système. Par conséquent, il demande à Carl de décrire le concept des autorisations dans SAP S/4HANA Cloud Public Edition. Carl explique ensuite l'idée de base de la gestion des identités et des accès (IAM) :

Il existe deux types d'utilisateurs dans SAP S/4HANA Cloud Public Edition : les travailleurs et les utilisateurs fonctionnels.

• Les travailleurs peuvent être permanents ou temporaires, selon leur type de travailleur (avec ses connaissances de base sur l'ERP sur site, Adam aurait appelé cela « Rôle partenaire » : BUP003 (employé) pour permanent, BBP005 (travailleur temporaire) pour intérimaire. Elles peuvent être importées à l'aide de l'application Gestion des effectifs. Cette application est incluse dans les rôles utilisateur BR_ADMINISTRATOR_HRINFO et SAP_BR_ADMINISTRATOR (via le catalogue fonctionnel SAP_BUM_BC_MNG_WORKFORCE_PC).
• Un utilisateur fonctionnel doit d'abord être un salarié de l'entreprise avant d'avoir un compte utilisateur dans le système SAP. Adam peut utiliser l'application ​Gestion des rôles utilisateur​ ou ​Gestion des utilisateurs fonctionnels​ pour affecter des rôles utilisateur aux utilisateurs fonctionnels. Les deux applications sont incluses dans le rôle utilisateur SAP_BR_ADMINISTRATOR (via les catalogues fonctionnels SAP_CORE_BC_IAM_RM et/ou SAP_CORE_BC_IAM_UM).

Carl continue à dire que l'accès aux applications de gestion est contrôlé par une gestion des autorisations basée sur les rôles. Cela signifie que l'administrateur des utilisateurs affecte des rôles utilisateur aux utilisateurs fonctionnels et que ces rôles (via l'affectation de catalogues fonctionnels) permettent d'accéder à des tâches de gestion spécifiques.

Après cette réunion, Adam a appris qu'il doit utiliser l'application Gestion des utilisateurs fonctionnels pour sélectionner l'utilisateur fonctionnel en question, puis lui affecter le rôle utilisateurAdministrateur (SAP_BR_ADMINISTRATOR) pour faire de cet utilisateur un administrateur.

En règle générale, pour définir un rôle utilisateur à partir de zéro à l'aide de l'application Gestion de rôles utilisateur, vous devez exécuter les étapes suivantes :

1. Gérer les détails généraux du rôle
2. Affecter catalogues fonctionnels
3. Gestion des restrictions
4. Affecter espaces et pages de la barre de lancement

Les modifications apportées aux rôles utilisateur ne doivent pas être effectuées directement dans les systèmes de production.

SAP vous recommande de définir des rôles utilisateur dans un système de développement et de les transporter dans le système de production au lieu d'apporter des modifications locales.

Les tâches de suivi et d'analyse font partie du travail quotidien en tant qu'administrateur.

Les activités courantes dans ce contexte sont les suivantes :

• Rechercher des utilisateurs fonctionnels disposant inutilement de droits élevés (par exemple, trop d'utilisateurs administrateurs)
• Rechercher des utilisateurs fonctionnels avec des combinaisons d'autorisations critiques ou inutiles (résultat d'un changement de privilège)
• Rechercher des rôles utilisateur accordant un accès trop généreux aux données (c'est-à-dire ayant des restrictions non gérées)
• Analyser la cause profonde des erreurs d'autorisation

L'image suivante présente des exemples d'applications de gestion des identités et des accès (IAM) :

Les applications suivantes sont disponibles :

Système d'information IAM

Cette application vous permet d'obtenir une synthèse des utilisateurs fonctionnels dans votre système et des rôles et restrictions qui leur sont affectés. Cette application vous permet d'afficher des informations sur l'utilisation des rôles utilisateur, des catalogues fonctionnels, des utilisateurs fonctionnels, des restrictions et de la manière dont ils sont liés.

Si vous voulez rechercher plus d'informations sur un rôle utilisateur, un rôle utilisateur dérivé, un utilisateur fonctionnel, un catalogue fonctionnel, un modèle de rôle utilisateur ou une restriction, vous pouvez accéder directement à l'application correspondante en cliquant sur l'entité. Cette application vous permet d'effectuer des tâches administratives dans le cadre de votre travail quotidien.

Fonctionnalités clés :

• Vérifiez l'utilisation des entités suivantes et la manière dont elles sont liées : rôle utilisateur, rôle utilisateur dérivé, modèle de rôle utilisateur, application, utilisateur fonctionnel, catalogue fonctionnel, restriction, espace de barre de lancement, page de barre de lancement.
• Vérifiez, par exemple, quels rôles utilisateur sont affectés à un utilisateur fonctionnel, quels catalogues fonctionnels et restrictions sont affectés à l'utilisateur fonctionnel et à quelles applications un utilisateur a accès. Vous pouvez aussi télécharger une liste des utilisateurs et des catalogues fonctionnels.
• Vérifiez, par exemple, quels rôles utilisateur et catalogues fonctionnels sont requis pour rendre une application spécifique visible pour un utilisateur fonctionnel dans la barre de lancement SAP Fiori.

Remarque

Vous pouvez également afficher les éléments de périmètre dont dépendent les catalogues fonctionnels. Les catalogues fonctionnels qui ne dépendent d'aucun élément de périmètre sont toujours visibles dans le système. Pour ces catalogues fonctionnels, les éléments de périmètre (0) sont affichés dans l'onglet pertinent et le message suivant apparaît dans la table : Le catalogue fonctionnel ne dépend pas du périmètre.

Indicateurs IAM

Les diagrammes dans l'application Indicateurs IAM vous aident à augmenter la sécurité dans votre domaine et à réduire les coûts en affichant les utilisateurs fonctionnels qui sont inactifs et peuvent être supprimés. Ils fournissent également une bonne synthèse qui peut être utile avant la mise en production pour vous aider, par exemple, à évaluer si l'utilisateur fonctionnel et la répartition des rôles dans votre domaine sont prêts à être utilisés.

Pour définir des valeurs seuils, vous pouvez utiliser des codes couleur pour les barres de vos graphiques (vert : Accepté, jaune : Avertissement, rouge : Critique). Vous pouvez, par exemple, définir les couleurs en fonction de certaines périodes. Si un utilisateur ne s'est pas connecté au système pendant 6 mois et souhaite utiliser ce point comme valeur seuil, vous pouvez déterminer que la barre correspondante dans le diagramme est rouge.

Vous pouvez également accéder directement à l'application Gestion des utilisateurs fonctionnels ou Gestion des rôles utilisateur si vous avez besoin de plus d'informations sur les utilisateurs fonctionnels ou les rôles utilisateur affichés dans les diagrammes de synthèse.

Cette application vous permet d'afficher les informations suivantes :

• Nombre d'utilisateurs fonctionnels affectés à des rôles utilisateur
• Mois de la dernière connexion de l'utilisateur fonctionnel
• Nombre d'utilisateurs fonctionnels bloqués et débloqués
• Validité des utilisateurs fonctionnels
• Nombre de rôles utilisateur avec restrictions non gérées
• Nombre de rôles utilisateur avec accès illimité Note
• Vous pouvez filtrer les rôles utilisateur productifs dans votre domaine, par exemple en ajoutant un espace nom spécifique suivi d'un astérisque (*) dans la zone Filtrer par ID de rôle utilisateur dans la configuration des vignettes.
• Catégories de prix de l'utilisateur fonctionnel
• Rôles utilisateur avec valeurs par défaut des catalogues fonctionnels. Les valeurs par défaut sont fournies automatiquement et ne peuvent pas être écrasées. Cela signifie qu'un astérisque (*) écrase toutes les valeurs définies ou que des constantes sont ajoutées aux restrictions que vous avez définies. Les rôles utilisateur affectés par ces valeurs non modifiables sont affichés en rouge dans le diagramme de synthèse.

Les applications suivantes ne sont pas affichées dans la diapositive :

Afficher trace des autorisations

Cette application vous permet d'activer une trace des autorisations pour un utilisateur fonctionnel. Cela vous permet d'analyser si des autorisations sont manquantes ou insuffisantes.

Fonctionnalités clés

• Activer ou désactiver une trace
• Afficher les résultats du contrôle des autorisations, y compris les autorisations déjà affectées et les contrôles ayant échoué
• Afficher tous les rôles utilisateur accordant l'accès aux zones et valeurs sélectionnées

Un maximum de 10 000 ensembles de données est possible. Par conséquent, SAP vous recommande d'en tenir compte lors de la définition des critères de sélection, en particulier la plage de dates.

Afficher utilisateurs techniques

Fournit une synthèse des utilisateurs techniques dans le système. Par exemple, des utilisateurs de communication et des utilisateurs support SAP sont fournis.

Gérer sessions utilisateur

Cette application vous permet d'analyser les sessions contenant un blocage et de rechercher l'utilisateur fonctionnel associé.

• Aide SAP - SAP S/4HANA Cloud Public Edition - Gestion des identités et des accès - Phase : Configuration des autorisations pour les utilisateurs fonctionnels dans SAP S/4HANA Cloud Public Edition (dans cette section, recherchez le Guide de gestion des identités et des accès (IAM)).
• SAP Learning - Gestion des identités et accès des utilisateurs dans SAP S/4HANA Cloud Public Edition