✒️SAP BASIS El concepto de autorización
SAP BASIS El concepto de autorización
Objetos de Autorización y Chequeo de Autorización:
Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de las autorizaciones asociadas.
Las acciones y los accesos a los datos están protegidos a través de los objetos de autorización en SAP. Estos últimos, están divididos en diferentes clases.
Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción. Para que una verificación de autorización sea exitosa, se deben cumplir todas las condiciones.
Una autorización es un permiso para realizar cierta acción en SAP. Según los valores que pueden tener cada uno de los campos del objeto de autorización, se permite realizar o no dicha acción.
Un objeto de autorización puede incluir hasta 10 campos de autorización.
Cuando un usuario se loguea a un cliente de un sistema SAP, sus autorizaciones son cargadas en el contexto de usuario. Este contexto se encuentra en el buffer del servidor de aplicación, y se puede consultar mediante la transacción SU56.
Transacción SU56: Esta transacción es utilizada para monitorear el número de objetos que están en buffer referentes a los roles de autorización y perfiles del usuario.
Cuando el usuario llama a la transacción, el sistema verifica si el usuario tiene la autorización necesaria en el contexto de usuario para acceder a la transacción. Las verificaciones de autorización utilizan las autorizaciones que existen en el contexto de usuario.
Cuando el usuario realiza una acción dentro de una transacción, los datos son enviados al dispatcher, el cual los procesa mediante un work process. En ese momento, se realizan verificaciones de autorización según la programación por parte de los desarrolladores ABAP:
- Si el contexto de usuario contiene todas la autorizaciones requeridas para la verificación (código de retorno = 0), los datos y las acciones son procesadas correctamente.
- Si falta alguna autorización requerida, el procesamiento no se realiza y el usuario recibe un mensaje que indica que las autorizaciones son insuficientes.
Concepto de autorización positivo: Todo aquello que no está explícitamente permitido está prohibido.
Mantenimiento de Roles: Menú y Autorizaciones:
El mantenimiento de Roles simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios. Se utiliza la transacción PFCG
Transacción PFCG: Mediante esta transacción se crean los roles con las autorizaciones que serán asignadas a los usuarios.
El mantenimiento de roles crea las autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la transacción elegida.
Un rol puede ser asignado a varios usuarios, por lo tanto, si modificamos éste afectaría a todos los usuarios que estén asignados al mismo.
El menú de usuario se compone del menú de rol y contiene las entradas (transacciones) que son asignadas al usuario a través de los roles.
Creación de Roles: Los pasos para crear roles son:
- Ingresamos a la transacción PFCG
- Introducimos el nombre del rol y presionamos en "Create" o "Change"
- Vamos a la solapa de "menú"
- En el árbol de menú podemos insertar o borrar transacciones.
- También se pueden insertar reportes (programas ABAP), en donde se crean los códigos de transacción pertinentes a dichos reportes.
- Seleccionando el botón "Other", es posible agregar direcciones de internet o vínculos a archivos.
El mantenimiento de roles crea automáticamente las autorizaciones que están asociadas con las transacciones especificadas en el árbol del menú. Sin embargo, a veces el administrador debe cargar/modificar los valores de estas autorizaciones de acuerdo a los permisos que debe tener el rol.
Significado de los indicadores de las autorizaciones:
- Luz verde: El objeto de autorización tiene un valor propuesto para cada uno de los campos.
- Luz amarilla: El objeto de autorización necesita mantenimiento manual al menos para uno de los campos
- Luz roja: Los niveles organizacionales no están definidos.
Niveles organizacionales: Son aquellos campos que aparecen en muchas autorizaciones. Estos campos están determinados por SAP en el Concepto de Autorización que se refieren a la estructura de la compañía. Si editamos una entrada en el nivel organizacional, entonces los cambios afectarán a todos los objetos de autorización que lo contienen.
Una vez que todas las autorizaciones han sido mantenidas como se requiere, el perfil de autorización puede ser generado mediante el botón "Generate".
Las autorizaciones se combinan en un perfil, los cuales deben ingresarse en los registros maestros de usuarios (esto se denomina Comparación de Registros Maestros de Usuarios).
Usuarios y Roles:
La asignación de roles se realiza mediante la transacción PFCG en la transacción de mantenimiento de usuario SU01. Se selecciona la solapa "User" y se escribe los ID de usuarios a los que se les asignará el rol.
IMPORTANTE: Para asignar las autorizaciones, es necesario realizar una comparación de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario.
Una comparación de registros maestros de usuarios determina si los perfiles de autorización deben ser agregados o eliminados del usuario basándose en la asignación de roles para este.
Si la asignación de roles es removida manualmente o se cumple la fecha de vencimiento del rol, entonces los perfiles correspondientes son eliminados del registro maestro de usuario.
Durante una comparación completa, los perfiles obsoletos son eliminados.
Si múltiples asignaciones de roles va a ser actualizada, se puede realizar la comparación mediante la transacción PFUD.
Transacción PFUD: Permite realizar una comparación masiva de roles introduciendo el asterisco (*), o con roles específicos.
Esta transacción también permite activar una comparación de registros maestros de usuarios periódicamente mediante la creación de un job. El valor por defecto es que todos los registros maestros de usuarios serán comparados una vez por día.
 
 
 
Sobre el autor
Publicación académica de Rodrigo Leonardo Mar?a Garc?a, en su ámbito de estudios para la Carrera Consultor Basis NetWeaver.
Rodrigo Leonardo Mar?a Garc?a
Profesión: Analista de Administraci?n Sap - Argentina - Legajo: CM14L
✒️Autor de: 96 Publicaciones Académicas
🎓Egresado de los módulos:
Disponibilidad Laboral: FullTime
Presentación:
Me llamo rodrigo, tengo 23 a?os y vivo en argentina. soy ingeniero en sistemas de informaci?n y actualmente trabajo en una empresa nacional como administrador sap.
Certificación Académica de Rodrigo Mar?a