🚀PROMO #PLANCARRERA2024 - 🔥Bonificaciones, Precios Congelados y Cuotas

 X 

✒️SAP BASIS El concepto de autorización

SAP BASIS El concepto de autorización

SAP BASIS El concepto de autorización

Las autorizaciones de los usuarios son creados usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de las autorizaciones asociadas


1. Objetos de autorización y chequeo de autorización

El concepto de autorización de SAP requiere el conocimiento del rol y perfil de autorización en el registro maestro de un usuario

Las acciones y los accesos a los datos están protegidos a través de los objetos de autorización en SAP. Estos objetos de autorización se encuentran en SAP

Para facilitar un poco la organización, los objetos de autorización están divididos en diferentes clases

Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones para una acción. Las condiciones son especificadas en los campos de autorización para el objeto de autorización y son evaluados mediante la condición lógica AND para la verificación. Se deben cumplir todas las condiciones para que la verificación de autorización sea exitosa

Los objetos de autorización y los campos que contienen, tienen nombres técnicos y descriptivos.

El objeto de autorización User Master Maintenance: User Groups (nombre técnico: S_USER_GRP) contiene dos campos de autorización: Actividad (nombre técnico: ACTVT) y User Group in User Master Record (nombre técnico: Class)

El objeto de autorización S_USER_GRP protege el registro maestro de usuario justamente. Un objeto de autorización puede incluir hasta diez campos de autorización

Una autorización siempre se asocia con solo un objeto de autorización y está formada por el valor para los campos del objeto de autorización. Una autorización es un permiso para realizar acciones en SAP. La acción es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización

Por ejemplo, la autorización B para el objeto de autorización S_USER_GRP permite mostrar todos los registros de usuario que NO están asignados al grupo SUPER. La autorización A, en cambio, permite mostrar registros de usuarios pertenecientes a ese grupo

Es posible que existan múltiples autorizaciones para un objeto de autorización. Algunas autorizaciones ya están incluídas en el sistema por SAP, pero la mayor parte son creadas específicamente por requerimiento

Cuando un usuario se loguea a SAP, sus autorizaciones son cargadas en el contexto de usuario, que se encuentra en el buffer (en la memoria principal, se consulta con SU56) del servidor de aplicación

* SU56
Transacción que es utilizada para monitorear el número de objetos que están en un buffer referentes a los roles de autorización y perfiles del usuario

Cuando el usuario llama a la transacción, el sistema verifica si el usuario tiene la autorización para acceder a la transacción. Las verificaciones de autorización usan las autorizaciones que existen en el contexto de usuario. Si se asignan nuevas autorizaciones podría ser necesario volverse a loguear para usarlas

Si la verificación de autorización es exitosa, el sistema muestra la transacción y dependiendo de ésta, el usuario puede crear datos o seleccionar acciones. Cuando el usuario realiza la acción, los datos son enviados al dispatcher, el cual los pasa a un work process para que ejecute el procesamiento

Verificaciones de autorización (AUTHORITY-CHECK) que son realizadas durante la ejecución en el work process son programadas dentro del código por los desarrolladores ABAP para proteger los datos y acciones a realizar

Si el contexto de usuario contiene todas las autorizaciones requeridas para la verificación (código de retorno = 0) los datos y las acciones son procesadas y la próxima pantalla es devuelta al usuario. Si falta alguna autorización, el procesamiento no se realiza y el usuario recibe un mensaje que indica que las autorizaciones son insuficientes

Esto se controla mediante la evaluación del código de retorno. En este caso, no sería igual a 0

Todas las autorizaciones son permisos. No hay autorizaciones para prohibir

> Todo aquello que no está explícitamente permitido está prohibido. Esto es lo que se conoce como concepto de autorización positivo.


2. Mantenimiento de Roles: Menú y Autorizaciones

El mantenimiento de roles simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios

* PFCG
Previamente llamada Profile Generator o Actividades de Grupo, es una de las transacciones más utilizadas en cuanto a seguridad del sistema dado que mediante la misma se crean los roles con las autorizaciones que luego serán asignadas a los usuarios

En el mantenimiento de roles, las transacciones, que desde el punto de vista de la compañía, pertenecen a un mismo grupo se seleccionan. El mantenimiento de roles crea las autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la transacción elegida

Un rol puede ser asignado a varios usuarios. Los cambios a un rol tienen efecto sobre todos estos usuarios. Los usuarios pueden ser asignados a más de un rol

El menú de usuario se compone del menú de rol y contiene las entradas (transacciones, URLs, reportes, etc) que son asignadas a través de los roles

Se puede acceder al mantenimiento de roles con PFCG o mediante el menú de la pantalla inicial del sistema en Tools -> Administration –> User Maintenance –> Role Administration –> Roles. Ingresa el nombre del rol y presiona el botón Create o Change

Selecciona y modifica las funciones: En el árbol de menú se realizan ajustes para los roles individuales. Se pueden insertar o borrar transacciones en el árbol de transacciones

Si se selecciona el botón Report, puedes integrar reportes (programas ABAP) En este caso la transacción PFCG se encarga de crear los códigos de transacciones (si es que no existen para el reporte) con el cual los reportes luego pueden ser accedidos

Si seleccionamos el botón Other, es posible agregar direcciones de internet o vínculos a archivos

Modificación de Menús: podemos crear, mover, borrar y renombrar directorios y sub-directorios si es necesario. La función Drag&Drop se puede utilizar también

El mantenimiento de roles automáticamente crea las autorizaciones que están asociadas con lsa transacciones especificas en el árbol del menú. Todos los valores de autorización deben ser verificados manualmente y ajustados si fuese necesario para que concuerden con los requerimientos y permisos que se otorgan con el rol

El administrador del sistema es responsable para esta tarea, junto con el área apropiada para quien se están creando o modificando los roles

Selecciona la solapa Authorizations y luego el botón Change Authorization Data o Display Authorization Data, dependiendo el modo de trabajo en la transacción PFCG

En la pantalla que ingresamos podemos ver y modificar el contenido de las autorizaciones, o sea los valores propuestos para los campos de los objetos de autorización

El significado de los indicadores es el siguiente:

> Luz verde: El objeto de autorización tiene un valor propuesto para cada uno de los campos
> Luz amarilla: El objeto de autorización necesita mantenimiento manual al menos para uno de los campos
> Luz roja: Los niveles organizacionales no están definidos

La falta de un valor propuesto por PFCG para alguno de los campos del objeto de autorización puede ser por ejemplo en los casos de accesos a archivos externos donde no se puede determinar si el acceso será de lectura o de lectura/escritura

Algunos campos aparecen en muchas autorizaciones por lo que estos campos se denominan niveles organizacionales. Si editamos una entrada en el nivel organizacional utilizando el botón: Organizational levels, los cambios afectarán a todos los objetos de autorización que lo contienen

* Qué son los niveles organizacionales?
- Son campos determinados por SAP en el concepto de autorización que se refieren a la estructura de la compañía. Estos campos aparecen en la mayoría de las autorizaciones. Dentro de un rol estos campos pueden aparecer muchas veces. El botón Organizational levels.. en la transacción PFCG facilita su mantenimiento

Una vez que todas las autorizaciones han sido mantenidas, el perfil de autorización puede ser generado mediante el botón Generate, las autorizaciones se combinan en un perfil. Los perfiles deben ingresarse en registros maestros de usuarios, esto es Comparación de Registros Maestros de Usuarios (User master Record Comparission)


3. Usuarios y Roles

La asignación de usuarios a roles se realiza mediante la transacción PFCG o en la transacción de mantenimiento de usuario SU01. Selecciona la solapa User y los ID de usuarios a los que se les asignará el rol

Los usuarios pueden recibir mas de un rol, esto es útil para algunas actividades (como impresión) que serán permitidas para la mayoría de los usuarios

La asignación de roles a los usuarios no otorga automáticamente las correspondientes autorizaciones a los usuarios. Para asignar las autorizaciones, es necesario realizar una comparación de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario

Una comparación de registros maestros de usuarios determina si los perfiles de autorización deben ser agregados o eliminados del usuario basándose en la asignación de roles para este

Durante una comparación se agregarán perfiles al maestro de usuario si nuevos roles son agregados

Si la asignación de roles es removida manualmente o porque se cumple la fecha de vencimiento del rol para el usaurio los perfiles correspondientes son eliminados del registro maestro de usuario

La comparación puede realizarse por cada rol indivialmente. Seleccionando el rol en la función de mantenimiento de roles en la solapa User y luego seleccionando User comparison. En la ventana que aparece, seleccionamos complete comparison

Para más información, selecciona el botón de información en la transacción PFCG y el mismo botón en la comparación de maestros de usuarios

Durante una comparación completa, los perfiles obsoletos son eliminados

Si multiples asignaciones de roles va a ser actualizada, se puede realizar una comparación en la transacción PFCG seleccionando Utilities – Mass comparison o llamando a la transacción PFUD. Se pueden seleccionar los roles o actualizar todas las asignaciones ingresando el caracter asterisco (*)

También se puede activar una comparación de registros maestros de usuarios periódicamente si seleccionas Utilitties – Mass comparison. Se selecciona la opción Schedule o Check job for full reconciliation. El sistema mostrará una ventana de búsqueda para el job de background PFCG_TIME_DEPENDENCY. Si no encuentra job se tiene la opción de crear uno. El valor por defecto es que todos los registros maestros de usuarios serán comprados una vez por día


 

 

 


Sobre el autor

Publicación académica de Ruben Lugo, en su ámbito de estudios para la Carrera Consultor Basis NetWeaver.

SAP Senior

Ruben Lugo

Mexico - Legajo: UX67S

✒️Autor de: 48 Publicaciones Académicas

🎓Egresado del módulo:

Presentación:

Experienced developer oracle

Certificación Académica de Ruben Lugo

✒️+Comunidad Académica CVOSOFT

Continúe aprendiendo sobre el tema "El concepto de autorización" de la mano de nuestros alumnos.

SAP SemiSenior

Concepto de autorización: El objeto de autorización User Master Maintenance, contiene 2 campos de autorización: Actividad y User Group, el objeto de autorización puede incluir hasta 10 campos de autorización. En el caso de las autorizaciones de aplica el concepto de Autorización Positivo, es decir, todo aquello que no esté explícitamente permitido está prohibido, en SAP no hay autorizaciones para prohibir. Recomendación: Llevar un planilla con los roles de usuarios para la administración de los mismos en el sistema.

Acceder a esta publicación

Creado y Compartido por: Jean Carlos Lopez / Disponibilidad Laboral: FullTime

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Master

OBJETOS DE AUTORIZACIÓN Y CHEQUEO DE AUTORIZACIÓN Comprender, el concepto de autorización de SAP requiere el conocimiento del rol y perfil de autorización en el registro maestro de un usuario.

Acceder a esta publicación

Creado y Compartido por: John Ferney Dominguez Rendon

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Master

Concepto de autorización Transacción PFCG - Generador de perfiles Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de las autorizaciones asociadas Una autorización siempre se asocia con solo un objeto de autorización y está formada por el valor de los campos del objeto de autorización. Una autorización tiene campos, un campo tiene valores Cuando un usuario se loguea a un cliente de un sistema SAP, sus autorizaciones son cargadas en el contexto de usuario. El contexto de usuario se encuentra en el buffer del SA y se puede consultar mediante la transacción SU53. Cuando el usuario...

Acceder a esta publicación

Creado y Compartido por: Julio Avila Pascual

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Senior

CONCEPTO DE AUTORIZACION Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean roles y el sistema provee el soporte para la creación de las autorizaciones asociadas. OBJETOS DE AUTORIZACIONES Y CHEQUEO DE AUTORIZACION Comprender el concepto de autorización en SAP requiere el conocimiento del rol y el perfil de autorización en el régimen de un maestro de usuario. Esta lección provee el conocimiento necesario para poder crear los roles y autorizaciones propios. Las acciones y los accesos a los datos están protegidos a través de los objetos de autorización en el sistema SAP. Los objetos de autorización se encuentran en el sistema SAP. Los...

Acceder a esta publicación

Creado y Compartido por: Arnaldo Jose Salazar

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Senior

Objetos de Autorización y chequeo de autorización Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción. Las condiciones son especificadas en los campos de autorización para el objeto de autorización y son evaluados estos campos mediante la condición lógica AND para la verificación. O sea, se deben cumplir todas las condiciones para que la verificación de autorización sea exitosa. Su56 es utilizada para monitorear el número de objetos que están en buffer referentes a los roles de autorización y perfiles del usuario. PCFG se crean los roles...

Acceder a esta publicación

Creado y Compartido por: Jamer Alejandro Guiza Rico / Disponibilidad Laboral: FullTime + Carta Presentación

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Master

Lección: Concepto de Autorización [ 2º de 6 ] Objetos de autorización y chequeo de autorización: Es necesario comprender y saber de los roles y perfiles de autorización en el registro maestro de usuarios. Las acciones y los accesos a los datos estan protegidos a tráves de los objetos de autorización en SAP. Los objetos de autorización se encuentran en el sistema de SAP y estan divididos en diferentes clases. Los objetos de autorización permiten verificaciones complejas que involucran condiciones que permiten a un usuario realizar una acción. SU56: Se usa para monitorear el numero de objetos que estan en buffer referente a los roles de autorización y perfiles...

Acceder a esta publicación

Creado y Compartido por: Jose Alejandro Parada Martinez / Disponibilidad Laboral: FullTime + Carta Presentación

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP SemiSenior

LECCION 2. CONCEPTO DE AUTORIZACION Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los Administradores crean los roles y el sistema provee el soporte para la creaciòn de las autorizaciones asociadas. 1. Objetos de Autorizacion y chequeo de Autorizaciòn SAP requiere el concepto de Rol y perfil de autorizacion en el registro maestro del usuario. Aca provee el conocimiento para crear los roles y autrorizaciones propias. -Las acciones y los accesos a los datos estàn protegidos a travès de los objetos de autorizaciòn en el sistema SAP. Los objetos de autrizaciòn se encuentran en el sistema SAP. Los Objetos de autorizaciòn estàn divididos en diferentes clases: Los...

Acceder a esta publicación

Creado y Compartido por: Edwin Vargas Guzman

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP SemiSenior

Unidad 5, Lección 2: Concepto de Autorización 1- Objetos de Autorización y Chequeo de Autorización -Comprender el concepto de autorización de SAP requiere el conocimiento del rol y perfil de autorización en el registro maestro de un usuario. -Las acciones y accesos a los datos están protegidos x los objetos de autorización, los que se dividen en diferentes clases para facilitar la organización -Permiten verificaciones complejas a condiciones que permiten a un usuario realizar una acción -Estas condiciones se especifican en los campos de autorización para el objeto de autorizacion -Los objetos de autorización y los campos contienen nombres técnicos...

Acceder a esta publicación

Creado y Compartido por: Aileen Paz Calzadilla Oliva / Disponibilidad Laboral: PartTime

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Senior

CONCEPTO DE AUTORIZACIÓN Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de las autorizaciones asociadas. Esta lección provee el conocimiento necesario para poder crear los roles y autorizaciones propios. TRANSACCIÓN SU56: es utilizada para monitorear el número de objetos que están en buffer referentes a los roles de autorización y perfiles del usuario. Es de tener en cuenta que todo aquello que no está explícitamente permitido está prohibido, esto es lo que se conoce como concepto de autorización positivo. El mantenimiento de roles simplifica la creación...

Acceder a esta publicación

Creado y Compartido por: Jhon Sstivens Rojas Martin / Disponibilidad Laboral: FullTime

*** CVOSOFT - Nuestros Alumnos - Nuestro Mayor Orgullo como Academia ***

SAP Senior

El objeto de autorización S_USER_GRP protege el registro maestro de usuario justamente. Un objeto de autorización puede incluir hasta diez campos de autorización. Una autorización es un permiso para realizar cierta acción en el sistema SAP. Transacción SU56 es la utilizada para monitorear el número de objetos que están en buffer referentes a los roles de autorización y perfiles de usuario. Todo aquello que no está explícitamente permitido está prohibido. esto es lo que se conoce como concepto de autorización positivo. Transacción PFCG (Profile Generator o Actividades de Grupo), es una de las más utilizadas en cuanto a seguridad del sistema...

Acceder a esta publicación

Creado y Compartido por: Cesar Antonio Tot Soto

 


 

👌Genial!, estos fueron los últimos artículos sobre más de 79.000 publicaciones académicas abiertas, libres y gratuitas compartidas con la comunidad, para acceder a ellas le dejamos el enlace a CVOPEN ACADEMY.

Buscador de Publicaciones:

 


 

No sea Juan... Solo podrá llegar alto si realiza su formación con los mejores!