✒️SAP BASIS El concepto de autorización

Unidad 5. Lección 2. Concepto de Autorización.

Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de autorizaciones asociadas.

1. Objetivos de Autorización y Chequeo de Autorización.

El concepto de autorización de SAP requiere de conocer el rol y el perfil de autorización en el registro maestro del usuario.

Las acciones y los accesos a lo datos estan protegidos a traves de los objetos de autorizacion en el sistema SAP. Los objetos de autorizacion estan en el sistema SAP. Los objetos de autorización estan divididos en clases.

Los objetos de autorizacion permiten verificaciones complejas que involucran multiples condiciones que permiten a un usuario realizar una acción. Las condiciones son especificadas en los campos de autorización para el objeto de autorización y son evaluados estos campos mediante la condicion logica AND para la verificación, es decir, que cumplan todas las condiciones para que la verificación de autorización sea exitosa.

Los objetos de autorización y los campos que contienen, tienen nombres tecnicos y descriptivos.

N En el ejemplo de la figura 522, el objeto de autorizacion User Master Maintenance: User Groups (nombre tecnico S_USER_GRP) contiene dos campos de autorización: Actividad (nombre tecnico: ACTVT) y User Group in User Master Record (nombre técnico: CLASS).

El objeto de autorización S_USER_GRP protege el registro maestro de usuario justamente. Un objeto de autorización puede incluir hasta diez campos de autorización.

Una autorización siempre se asocia con un solo objeto de autorización y esta formada por el valor para los campos del objeto de autorización.

Una autorización es un permiso para realizar cierta acción en el sistema SAP. La accion es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización.

Por ejemplo, la autorización B en la figura para el objeto de autorización S_USER_GRP permite mostrar todos los registros de usuarios que NO estan asignados al grupo SUPER. La autorización A, en cambio, permite mostrar registros de usuarios pertenecientes a ese grupo.

Es posible que existan multiples autorizaciones para un objeto de autorización. Algunas autorizaciones ya estan incluidas en el sistema por SAP, pero la mayor parte son creadas especificamente por requerimientos de los clientes.

Cuando un usuario se logea a un cliente de SAP, sus autorizaciones son cargadas en el contexto de usuario. El contexto de usuario se encuentra en el buffer (en la memoria principal, puedes consultarla mediante la transacción SU56) del servidor de aplicacion.

Tx SU56. Es utilizada para monitorear el numero de objetos que estan en buffer, referentes a los roles de autorización y perfiles del usuario.

Cuando el usuario llama una transaccion, el sistema verifica si el usuario tiene autorización necesaria en el contexto de usuario, para acceder a dicha transaccion.

Las verificaciones de autorización utilizan las autorizaciones que existen en el contexto de usuario. Si se asignan nuevas autorizaciones a un usuario, el usuario puede ser que tenga que logearse nuevamente en el sistema.

si la verificacion de autorizacion para llamar una tx es exitosa, el sistema muestra la pantalla de la tx, y el usuario podra crear datos o realizar alguna acción, y estos datos son enviados al dispatcher, el cual pasa a un work process para que ejecute el procesamiento.

Las Verificaciones de autorización (AUTHORITY - CHECK) que son realizadas durante la ejecución en el work process, son programadas dentro del codigo por los desarrolladores ABAP para proteger los datos y las acciones que van a realizarse.

Si el contexto de usuario tiene todas las autorizaciones requeridas para la verificacion (codigo de retorno = 0), los datos y las acciones son procesadas y la proxima pantalla es devuelta al usuario.

Si falta alguna de las autorizaciones requeridas, el procesamiento no se realiza y el usuario recibe un mensaje que indica que las autorizaciones son insuficientes.

Esto se controla mediante la evaluacion del codigo de retorno. En este caso no seria igual a 0.

Todas las autorizaciones son permisos, no hay autorizaciones para prohibir.

Concepto de autorización positivo: Todo aquello que no esta explicitamente permitido esta prohibido.

2. Mantenimiento de Roles: Menú y Autorizaciones.

El mantenimiento de Roles, Tx PFCG tambien llamada Profile Generator o Actividades de Grupo, simplifica la creación de autorizaciones y respectivas asignaciones a los usuarios.

TX PFCG. es una de las mas utilizadas para seguridad del sistema, dado que mediante la misma se crean roles con las autorizaciones que luego seran asignadas a usuarios.

El mantenimiento de roles crea las autorizacones con los valores de campos requeridos para los objetos de autorización que son verificados en la transaccion elegida. Un Rol puede ser asignado a varios usuarios. Los cambios a un rol po rlo tanto tienen efecto sobre todos estos usuarios. Los usuarios pueden ser asignados a mas de un rol.

El menú de usuario se compone del menú de rol y contiene las entradas (transacciones, URLs, reportes, etc) que son asignadas al usuario a traves de los roles.

Acceso al mantenimiento de roles:

• Tx PFCG menu Tools -> Administration -> User Maintenance -> Role Administracion -> Roles. Ingresar el nombre del rol y click boton create o change. Selecciona solapa Menu.
• selecciona y modifica las funciones: en el arbol de menu se pueden realizar ajustes para los roles individuales, se pueden Insertar o borrar transacciones.
• si se selecciona el Boton Report se pueden integrar reportes (programas ABAP). En este caso la tx PFCG se encarga de crear los codigos de transaccion (si es que no existen para el reporte) con el cual los reportes luego pueden ser accedidos.
• si seleccionamos el boton Other, es posible agregar direcciones de internet o vinculos a archivos.
• Modificacion de menus: se puede crear, mover, borrar y renombrar directorios y sub-directiorios. La funcion cortar y pegar se puede utilizar.

El mantenimiento de roles automaticamente crea las autorizaciones que estan asociadas con las transacciones especificadas en el arbol del menu. Todos los valores de autorizacon deben ser verificados manualmente y ajustados si fuese necesario para que concuerden con los requerimientos y permisos que se deben otorgar con el rol. El administrador del sistema es responsable de esto asi como el area apropiada de crear o modificar roles.

Selecciona la solapa Authorizations y luego boton Change Authorization Data o Display Authorization Data, dependiendo del modo q estemos trabajando en la tx PFCG. En la pantalla que ingresamos veremos el contenido o valores propuestos para los campos de los objetos de autorizacion, con la opcion de modificarlos.

significado de indicadores:

• Luz Verde: el objeto de autorización tiene un valor propuesto para cada uno de los campos.
• Luz Amarilla: El objeto de autorización necesita mantenimiento manual al menos para uno de los campos.
• Luz Roja: Los niveles organizacionales no estan definidos.

Nota: La falta de un valor propuesto por PFCG para alguno de los campos del objeto de autorización puede ser por ejemplo en los casos de accesos a archivos externos donde no se puede determinar si el acceso sera de lectura o de lectura/escritura.

Algunos campos aparecen en muchas autorizaciones por lo que estos campos se denominan Niveles Organizacionales. Si se edita una entrada en el nivel organizacional utilizando el boton Organizational Levels entonces los cambios afectaran a todos los objetos de autorizacion que lo contienen.

Niveles Organizacionales. son campos determinados por SAP en el Concepto de Autorización que se refieren a la estructura de la compañia. Estos campos aparecen en la mayoria de las autorizaciones. Por lo tanto dentro de un rol estos campos pueden aparecer muchas veces. El boton Organizational levels. en la tx PFCG facilita su mantenimiento.

Una vez que han sido mantenidas las autorizaciones como se desean, el perfil de autorizacion puede ser generado con el boton Generate Las autorizaciones se combinan en un perfil. Los perfiles deben ingresarse en los registros maestros de los ususarios, lo que se denomina Maestros de Usuarios (User Master Record Comparission)

3. Usuarios y Roles.

La asignacion de usuarios a roles se realiza mendiente la tx PFCG (mantenimiento de roles) o en la tx de mantenimiento a usuarios SU01.

Seleccionar la solapa User y los ID de los usuarios a los que se les asignara el rol.

Los usuarios pueden recibir mas de un rol, esto es util para algunas actividades como para impresion, que seran utilizadas para la mayoria de los usuarios.

La asignacion de roles a los usuarios no otorga automaticamente las correspondientes autorizacones a los usuarios. Para asignar las autorizaciones, es necesario realizar una comparacion de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario.

Una comparacion de registros maestros de usuarios, determina si los perfiles de autorizacion deben ser agregados o eliminados del usuario basandose en la asignación de roles para este. Durante la comparación se agregaran perfiles al maestro de usuario si nuevos roles son agregados.

Si la asignacion de roles es removida manualmente o por una fecha de vencimiento del rol, son eliminados del registro maestro de usuario.

La comparación puede realizarse por cada rol individualmente. Seleccionando el rol en la función de mantenimiento de roles en la solapa User y luego seleccionando User comparison, y en la ventana que aparece seleccionar complete comparison. Durante la comparación completa, los perfiles obsoletos son eliminados.

Para mas informacion, selecciona el boton de informacion.

Si multiples asignaciones de roles va a ser actualizada, puedes realiar una comparación en la transaccion PFCG seleccionando Utilies ->Mass comparison, o llamando Tx PFUD. Se pueden seleccionar los roles que se deseen o actualizar todas las asignaciones con el caracter ( * ) .

Tambien se puede activar una comparación de registros maestros de usuarios periodicamente si seleccionas Utilities->Mass comparision. Seleccionar opcion Schedule o Check job for full reconciliation. El sistema mostrara una ventana de busqueda para el job de background PFCG_TIME_DEPENDENCY. Si no encuentra el job, tenemos la opcion de crear uno. El valor por default es que todos los registros maestros de usuarios seran comparados una vez por dia.

TIP. Es importante planear con anticipacion los roles cuando estamos frente a un proyecto a largo plazo ya que generalmente se dejan al ultimo y complica la salida a productivo, lo que provoca que se liberen a los usuarios con muchos permisos o bien se les nieguen y no puedan operar. Lo correcto es crear los roles en el desarrollo, importarlos al ambiente de testing, pasarlos a un grupo de funcionales que conozcan el negocio y los prueben para ver si acceden a todas las operaciones q estan ligadas a cada rol. Esta tarea suele ser tediosa pero debe realizarse de manera organizada asi evitaremos que los usuarios entren a transacciones y datos no autorizados. Nosotros como administradores debemos de llevar una planilla con todos los roles creados y las asignacones q tienen a cada uno de los usuarios, para que sea mas facil el mantenimiento de los usuarios que no es una tarea menor.