Нужно избавится от использования профиля sap_all для большинства пользователей, т.е. не должно быть админовских функций - как то создание и изменение пользователей, авторизаций, профилей; изменение, копирование, удаление клиентов. Подскажите как это грамотно сделать.
Заранее благодарен всем откликнувшимся на мой вопрос.

Роль SAP_ALL_RESTRICTED.

Создаешь роль с нужными транзакциями и генерируешь профиль к ней.

Можно скопировать существующую и удалить из профиля не нужное.

Прикольно, сейчас посмотрела, а мы с Генералом оба "От туда" . Привет, земляку

Вот те на
А я всегда думала, что "От туда" и "Оттуда" - два совершенно разных места
Но вам, конечно, виднее

Чтобы грамотно это сделать, познакомьтесь поближе с концепцией полномочий по методологии ASAP.

Оттуда - первое что приходит на ум в ответ на вопрос "Откуда?"

Всем, кто давал советы, спаибо ! А землякам - привет !

Народ, подскажите еще. Есть ли в SAPе профиль, который отрубает не только полномочия администрирования, а и разработки. Т.е. можно чтоб выполнялись только прикладные транзакции.

Роль SAP_ALL_RESTRICTED (имеется в версиях ниже 4.70) отрубает весь базис, включая разработки.
Но некоторые базисные транзакции, нужные для работы в прикладных модулях, всё равно придётся потом добавлять.
Создай для этого маленькую дополнительную рольку.

Минэ, конечно, нэ виднэе, вед я нэ русский
Ну, акцент, хоть получился

Для Denya.
ИМХО. Можно попробовать сгенерировать профили для определенных групп пользователей на основании меню областей. Затем, в любом случае, что-то из базиса придется добавлять. Для этого можно создать роль с профилем, который бы включал, например, полномочия на SAPoffice, спул, печать, связь, запуск программ и т.д. Без этого не обойтись. А затем можно будет комбинировать эти несколько ролей.