✒️SAP BASIS El concepto de autorización
SAP BASIS El concepto de autorización
Objetos de autorización y chequeo de Autorización:
"Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de las autorizaciones asociadas."
Las acciones y los accesos a los datos están protegidos a travéz de los objetos de autorización en el sistema SAP. Los objetos de autorizacicón se encuentran en el sistema SAP.
Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción. Las condiciones son específicadas en los campos de autorización para el objeto de autorización y son evaluados estos campos mediante la condición lógica AND para la verificación. o sea se deben cumplir todas las condiciones para que la verificación de autorización sea exitosa.
Por ejemplo, el objeto de autorización S_USER_GRP protege el registro maestro de usuario justamente. Un objeto de autorización puede incluir hasta diez campos de autorización.
Una autorización siempre se asocia con un solo objeto de autorización y esta formada por el valor para los campos del objeto de autorización. Una autorización es un permiso para realizar cierta acción en el sistema SAP. La acción es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización.
Es posible que existan múltiples autorizaciones para un objeto de autorización. Algunas autorizaciones ya estan incluidas en el sistema por SAP, pero la mayor parte son creadas específicamente por requerimientos de los clientes.
Cuando un usuario se loguea a un cliente de un sistema SAP, sus autorizaciones son cargadas en el contexto de usuario. este se encuentra en el buffer (en la memoria principal, puedes consultarla mediante la transacción SU56) del servidor de aplicación.
"La transacción SU56 es utilizada para monitorear el número de objetos que estan en buffer referentes a los roles de autorización y perfiles del usuario".
Cuando en usuario llama a una transacción, el sistema verifica que el usuario tenga las autorizaciones necesarias en el contexto de usuario para acceder a la transacción, estas verificaciones de autorizacion utilizan las autorizaciones que existen en el contexto de usuario, Si se asignan nuevas autorizaciones al usuario, podría ser necesario para este usuario volverse a loguear al sistema SAP para poder utilizar estas nuevas autorizaciones.
Si la llamada a la transacción es exitosa los datos son enviados de la transacción son enviados al dispatcher, el cual los pasa a un work process para que se ejecute el procesamiento.
Verificaciones de autorización (AUTHORITY-CHECK) que son realizadas durante la ejecución en el work process son programadas dentro del código por los desarrolladores ABAP para proteger los dstos y las acciones que van a realizarse.
Si una alguna de las autorizaciones falta en el ingreso a una transacción el procesamiento no se realiza y el sistema envía un mensaje de error indicando que las autorizaciones son insuficientes.
Todo aquello que no está explicitamente permitido está prohibido. Esto es lo que se conoce como concepto de autorización positivo.
Mantenimiento de Roles: Menu y Autorizaciones
El mantenimiento de roles (Transacción PFCG, previamente también llamada profile Generator o Actividades de grupo) simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios.
"La transacción PFCG es una de las más utilizadas en cuanto a segutidad del sistema dado que mediante la misma se crean los roles con las autorizaciones que luego serán asignadas a los usuarios".
En el mantenimiento de roles, las transacciones, que desde el punto de vista de la empresa, pertenecen a un mismo grupo se seleccionan, el mantenimiento de roles crea las autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la transacción elegida.
Un rol puede ser asignado a varios usuarios. los cambios en un rol afectan por lo tanto a todos los usuarios que lo tienen asignados, los usuarios pueden ser asignados a mas de un rol.
Para acceder al mantenimiento de roles es con la transacción PFCG, o en el menú de la pantalla, ingresar el nombre del rol y presionar el boton create o change, luego seleccionar la solpa Menu
El mantenimiento de roles automáticamente crea las autorizaciones que estan asociadas con las transacciones especificadas en el árbol del menú. De todas maneras, todos los valores de autorización deben ser verificados manualmente y ajustados si fuese neecsario para que concuerden con los requerimientos y permisos que se deben otorgar con el rol.
El significado de los indicadores es el siguiente:
Luz verde: EL objeto de autorización tiene un valor propuesto para cada uno de los campos.
Luz amarilla; El objeto de autorización necesita mantenimiento manual al menos para uno de los campos.
Luz Roja: Los niveles organizacionales no esta definidos.
"La falta de un valor popuesto por PFCG para alguno de los campos del objeto de autorización puede ser por ejemplo en los casos de accesos a archivos exernos donde no se puede determinar si el acceso será de lectura o de lectura/escritura."
Niveles Organizacionales:
Son campos determinados por SAP en el concepto de Autorización que se refieren a la estructura de la compañia. Estos campos aparecen en la mayoría de las autorizaciones.
Por lo tanto dentro de un rol estos campos pueden aparecer muchas veces. El botón organizational levels... en la transacción PFCG facilita su mantenimiento.
las autorizaciones se combinan con un perfil. Los perfiles deben ingresarse en los registros maestros , Esto se denomina comparación de Registros Maestros de Usuarios (User Master Record Comparission)
Usuarios y Roles:
la asignación de usuarios a roles se realiza mediante la transacción PFCG (mantenimiento de roles) o en la transacción de mantenimiento de usuario SU01. Seleccionar la solapa USER y los ID de usuaarios a los que se les asignará el rol.
 
 
 
Sobre el autor
Publicación académica de Miguel Angel Mazariegos, en su ámbito de estudios para la Carrera Consultor Basis NetWeaver.
Miguel Angel Mazariegos
Profesión: Ingeniero en Ciencias y Sistemas - Guatemala - Legajo: CO73X
✒️Autor de: 79 Publicaciones Académicas
🎓Egresado de los módulos:
Certificación Académica de Miguel Mazariegos