✒️SAP BASIS / El concepto de autorización Por Juan Poderoso Blasco

CONCEPTO DE AUTORIZACION

Reflexión: Las autorizaciones de los usuarios son creadas usando roles y perfiles. Los administradores crean los roles y el sistema provee el soporte para la creación de autorizaciones asociadas.

1.- OBJETOS DE AUTORIZACION Y CHEQUEO DE AUTORIZACION

Las acciones y los accesos a los datos están protegidos a través de los objetos de autorización.

Los objetos de autorización están dividido en diferentes clases.

Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción.

Las condiciones son especificadas en los campos de autorización para el objeto de autorización.

Los campos son evaluados mediante la lógica AND para verificación, eso quiere decir que se deben cumplir todas las condiciones para que la verificación de autorización sea válida.

Los objetos de autorización y los campos que contienen tienen nombres técnicos y descriptivos.

Por ejemplo:

User Master Maintenance: User Groups (nombre técnico: S_USER_RGP) contiene los campos de autorización: Actividad (nombre técnico: ACTVT) y User Group in User Master Record (nombre técnico: CLASS)

El objeto de autorización S_USER_GRP protege el registro maestro de usuario.

Un objeto de autorización puede incluir hasta diez campos de autorización.

Una autorización es un permiso para realizar cierta acción en el sistema SAP. La acción es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización.

Es posible que existan múltiples autorizaciones para un objeto de autorización. Algunas ya están incluidas en el sistema por SAP, pero la mayor parte son creadas específicamente por requerimiento de clientes.

Cuando un usuario se loga a un cliente de un sistema SAP, sus autorizaciones son cargadas en el contexto de usuario.

El contexto de usuario se encuentra en el buffer (en la memoria principal, se puede consultar mediante la transacción SU56) del servidor de aplicación.

-- Transacción SU56: monitoria el número de objetos que están en buffer referentes a los roles de autorización y perfiles del usuario.

Cuando un usuario llama a la transacción:

· El sistema verifica si el usuario tiene autorización necesaria en el contexto de usuarios

· Las verificaciones de autorización utilizan las autorizaciones que están en el contexto de usuario.

· Si se asignan nuevas autorizaciones, puede ser necesario que el usuario deba logarse de nuevo a SAP para que se actualizar el contexto de usuario.

· Si la verificación de autorización es exitosa:

· El sistema muestra la pantalla inicial de la transacción

· Dependiendo de la transacción el usuario puede crear datos o realizar acciones.

· Cuando el usuario realiza la acción los datos son enviados al dispatcher

· Se pasan al work process para que ejecute el procesamiento

· Durante la ejecución del work process se hace verificaciones de autorización (AUTHORITY-CHECK) estas están programadas dentro del código por los desarrolladores ABAP para proteger los datos y las acciones que van a realizarse.

Si el contexto de usuario contiene todas las autorizaciones requeridas para la verificación (código de retorno = 0 ) los datos y acciones son procesadas.

Si falta alguna de las autorizaciones requeridas, el procesamiento no se realiza y el usuario recibe un mensaje de error indicando que no tiene autorización suficiente.

Esto se controla mediante la evaluación del código de retorno, en este caso no sería igual a 0.

Todas las autorizaciones son permisos. No hay autorización para prohibir.

Todo aquello que no está explícitamente permitido, está prohibido. Estos es conocido como concepto de autorización positivo.

2.- MANTENIMIENTO DE ROLES: MENU Y AUTORIZACIONES

Transacción PFCG: mediante esta se crean los roles con las autorizaciones que luego serán asignados a los usuarios.

PFCG (Progile Generator o Actividades de grupo) simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios.

En el mantenimiento de roles, las transacciones que desde el punto de vista de la compañía pertenecen a un mismo grupo se seleccionan.

El mantenimiento de roles crea la autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la transacción elegida.

Un rol puede ser asignado a varios usuarios.

Los cambios a un rol tienen efecto sobre todos los usuarios que tienen ese rol.

Los usuarios pueden ser asignados a más de un rol.

El menú de usuario se compone del menú de rol y contiene las entradas (transacciones, urls, reportes, etc) que son asignados al usuario a través de los roles.

Se puede acceder

Escribiendo la transacción PFCG

MENU-> Tools -> administración -> User Maintenance -> Role Administration -> Roles.

Podemos:

· Seleccionar y modificar las funciones: en el árbol de menú se pueden realizar ajustes para los roles individuales. Se pueden insertar o borrar transacciones en el árbol de transacciones

· Si se selecciona el botón report, puede integrar reportes (programas ABAP). En ese caso la transacción PFCG se encarga de crear los código de transacción (si es que no existen para el reporte) para que los reportes se puedan acceder.

· Si pulsamos el botón other, es posible agregar direcciones de internet o vínculos a archivos

· Modificación de menús: podemos crear, mover, borrar y renombrar directorios y sub-directorios si es necesario. Se puede usar Drag&Drop

El mantenimiento de roles PFCG crea las autorizaciones que están asociadas con las transacción especificada en el árbol de menú.

Los valores de autorización deben ser verificados manualmente y ajustados si fuese necesario para que concuerden con los requerimientos y permisos que se deben otorgar con el rol.

El administrador del sistema es responsable para esta tarea.

Pulsando en la solapa Authorizations y luego pulsando el botón Change Auhorization Data (lápiz) o Display Auhorization Data (gafas) podemos ver o cambiar el contenido de las autorizaciones.

El significado de los indicadores es:

· Luz verde: el objeto de autorización tiene un valor propuesto para cada uno de los campos.

· Luz amarilla: el objeto de autorización necesita mantenimiento manual al menos para uno de los campos.

· Luz roja: Los niveles organizacionales no están definidos.

Nota: La falta de un valor propuesto por PFCG para alguno de los campos del objeto puede ser por ejemplo en los casos de acceso a archivos externos donde no se puede determinar si el acceso será de lectura o de lectura/escritura.

Algunos campos aparecen en muchas autorizaciones, estos se denominan Niveles Organizacionales. Si editamos una entrada en el nivel organizaciones utilizando el botón ORGANIZATION LEVELS, entonces los cambios afectaran a todos los objetos de autorización que lo contienen.

Sabías Qué - ¿Qué SON LOS NIEVELS ORGANIZACIONALES? -

· Son campos determinados por SAP en el concepto de autorización que se refieren a la estructura de la compañía.

· Estos aparecen en la mayoría delas autorizaciones

· Dentro de un rol estos campos pueden aparecer muchas veces. EL botón ORGANIZATIONAL LEVELS en la transacción PFCG facilita su mantenimiento.

Una vez que se han mantenido como se requiere las autorizaciones, se debe generar el perfil de autorización pulsando el botón GENERATE.

Las autorizaciones se combinan en un perfil

Los perfiles deben ingresarse en los registros maestros de usuarios.

Esto se denomina Comparación de registros Maestros de usuarios (user master record comparission)

3.- USUARIOS Y ROLES

La asignación de usuarios a roles de realiza mediante:

· Transacción PFCG (mantenimiento de roles)

· Transacción SU01 (mantenimiento de usuarios).

Los usuarios pueden tener más de un rol, eso es útil para algunas actividades (como impresión) que serán permitidas para la mayoría de los usuarios.

La asignación de roles a los usuarios no otorga automáticamente las correspondientes autorización a los usuarios.

Para asignar las autorizaciones, es necesario o realizar una comparación de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario.

La comparación de registro maestros de usuarios determina si los perfiles de autorización deben ser agregados o eliminados del usuario basándose en la asignación de roles para este.

Durante una comparación se agregaran los perfiles nuevos

Si la asignación de roles es eliminada manualmente o se cumple la fecha de vencimiento del rol para el usuario, los perfiles correspondientes son eliminados del registro maestro de usuario.

La comparación puede realizarse por cada rol individualmente.

Seleccionando el rol en la función de mantenimiento de roles, en la solapa user y lego seleccionando user comparison. En la ventana que se nos muestra seleccionamos COMPLETE COMPARISON

Durante una comparación completa, los perfiles obsoletos son eliminados.

Si se quiere realizar una actualización de múltiples roles mediante la transacción PFCG, seleccionamos Utilities -> Mass comparison o utilizar la transacción PFUD. Podemos seleccionar los roles que deseamos y actualizar todas las asignaciones si ponemos un asterisco

También podemos activan una comparación de registros maestros de usuarios con la opción Shedule o Check job for full reconciliation. El sistema muestra una ventana de búsqueda para el job de background PFCG_TIME_DEPENDENCY. Si no encontramos el JOB, podemos crear uno. El valor por defecto es que todos los registros maestros de usuarios serna comparados una vez por día.