En SAP, además de crear el usuario, hay que controlar qué puede hacer dentro del sistema. Ese control se hace con autorizaciones. Cada vez que un usuario intenta ejecutar una transacción o una función, el programa ABAP hace un chequeo de autorización: si el usuario tiene la autorización correcta, puede entrar o seguir con la acción; si no, el sistema le devuelve un mensaje de “falta autorización”. Todo lo que no está permitido de forma explícita queda automáticamente prohibido.
Las autorizaciones no se manejan “una por una”, sino a través de objetos de autorización. Cada objeto agrupa campos que el sistema quiere controlar, por ejemplo actividad (crear, modificar, visualizar) y algún dato organizativo (clase de usuario, sociedad, etc.). A cada usuario se le asignan valores para esos campos; cuando el programa ejecuta un AUTHORITY-CHECK, compara lo que pide con lo que el usuario tiene en ese objeto. Los objetos, a su vez, se agrupan en clases para ordenarlos mejor. SAP entrega muchos objetos estándar y, en función del negocio, se pueden ajustar o usar sólo un subconjunto.
Para no asignar autorizaciones “a mano” usuario por usuario, SAP utiliza roles mantenidos con la transacción PFCG. Un rol tiene por un lado un menú (transacciones, reports, URLs, apps Fiori, etc.) y por otro lado los datos de autorización. A partir del menú, el sistema propone los objetos de autorización necesarios; el administrador completa o ajusta los valores y luego genera el perfil de autorización que queda dentro del rol. Ese rol se asigna a los usuarios (desde SU01 o desde la misma PFCG), y de esa manera heredan todas las autorizaciones definidas en el rol.
Este enfoque con objetos de autorización, chequeos en los programas ABAP y mantenimiento centralizado por roles hace que la seguridad sea más fina y ordenada: se controla exactamente quién entra a cada transacción, qué puede hacer adentro y sobre qué datos organizativos, manteniendo todo de forma consistente desde Basis.