[SAP] SECPOL 설정 및 주요 파라미터 정리

 

안녕하세요, 패일오버입니다.

SAP 시스템을 운영하다 보면 로그인 실패 시 계정 잠금, 패스워드 복잡성, 세션 타임아웃 같은 보안 정책을 설정할 일이 많습니다.

 

그런데 최근 많이 도입하는 SAP Private Cloud Edition 환경에서는 로그인 및 SSO 설정 등 특정 파라미터를 설정해야 하는 경우 소명을 요청하는 경우가 많이 생겼습니다.

 

S-user를 보유한 분들은 아래의 링크에 있는 ECS 산하의 ABAP 시스템이 어떤 파라미터 및 서비스 등을 통제하고 있는지를 확인하는 것을 권장 드립니다.

3250501 - Information on mandatory Security Parameters & Hardening requirements for ABAP systems in SAP Enterprise Cloud Services (ECS) - SAP for Me

https://me.sap.com/notes/3250501

 

 

 SAP의 보안 정책을 설정하는 트랜잭션 코드인 **SECPOL(Security Policy)**은 SAP ECS 조직에서 스탠다드하게 유지 관리하는 파라미터를 우회적으로 적용할 수 있는 내부적인 정책을 만들 수 있는 보안관련 정책 수립 및 설정이 가능한 트랜잭션 코드로 이해하면 됩니다.

---

1. SECPOL이란?

**SECPOL (Security Policy)**는 SAP 사용자 계정과 비밀번호 관리, 세션 보안 등을 설정하는 정책(Policy)을 관리하는 트랜잭션 코드입니다.

시스템 전체에 적용되는 글로벌 파라미터 외에도, 사용자 그룹 또는 개별 사용자 단위로 세부 정책을 설정할 수 있는 장점이 있습니다.

 

SECPOL 실행 화면

---

2. SECPOL에서 설정하는 주요 파라미터

2.1 비밀번호 정책 (Password Policy)

• Minimum Password Length (login/min_password_lng)
  • 사용자가 설정해야 하는 최소 비밀번호 길이
• Password Complexity (login/min_password_digits, login/min_password_letters, login/min_password_specials)
  • 숫자, 대소문자, 특수문자 포함 여부
• Password History (login/password_history_size)
  • 과거 n회 사용한 비밀번호 재사용 금지
• Password Lifetime (login/password_expiration_time)
  • 비밀번호 변경 주기 (일 단위)

2.2 로그인 실패 정책 (Logon Failure Policy)

• Failed Logon Attempts before Lock (login/fails_to_user_lock)
  • 잘못된 비밀번호 입력 시 계정 잠금 횟수
• User Lock Duration (login/failed_user_auto_unlock)
  • 잠금 해제까지의 대기 시간 (분 단위)

2.3 세션 보안 정책 (Session Security Policy)

• Idle Session Timeout (rdisp/gui_auto_logout)
  • GUI 비활성 상태에서 자동 로그아웃까지의 시간
• Multiple Logon Restriction (login/disable_multi_gui_login)
  • 동일 사용자 ID의 중복 로그인을 허용할지 여부

2.4 기타 보안 정책

• Detailed Error Messages (login/show_detailed_errors)
  • 로그인 오류 시 상세 메시지 출력 여부 (보안 이슈 관련)
• Initial Password Change Required (login/password_change_for_SSO)
  • 최초 로그인 시 비밀번호 변경 강제 여부

SECPOL 정책 리스트

---

3. SECPOL의 적용 범위

• 기본 정책(Default Policy): 전체 사용자에게 적용
• 개별 정책(User-Specific Policy): 특정 사용자 또는 그룹에만 적용 가능
• 여러 정책을 만들고 **사용자 마스터 레코드(SU01)**에서 할당 가능

---

4. SECPOL 설정 예시

예를 들어 신규 입사자 그룹을 위해 아래와 같은 정책을 만들 수 있습니다:

• 비밀번호 최소 길이 12자리
• 대소문자, 숫자, 특수문자 필수
• 3개월마다 비밀번호 변경
• 5회 로그인 실패 시 30분 잠금

이렇게 SECPOL을 활용하면 보안 정책을 사용자 그룹별로 세밀하게 적용할 수 있습니다.

기존의 프로파일 파라미터(login/*) 만으로는 세부 그룹별 정책 적용이 어렵지만, SECPOL을 활용하면 다양한 사용자별 보안 정책을 효율적으로 관리할 수 있습니다.

 

제가 남기는 블로그들은 저의 경험에 비추어 작성되는 것이다 보니까 모든 파라미터를 다루지는 않으나 이런 맥락으로 SAP PCE 시스템을 구축할 때 이벤트가 있던 점들을 주로 올리고 있습니다.

 

오늘도 좋은하루 되세요~