Modelo de seguridad en R/3
Existe información a la que puede acceder solo algunos usuarios por:
- Proteger datos que afecten a la estrategia de la empresa para no ofrecer a la competencia
- Evitar fraudes en la contabilidad o en los cobros y pagos
- Obligación legal de proteger información ajena a la propia empresa como los datos personales de sus empleados, condiciones económicas de los proveedores.
El sistema de seguridad de SAP permite proteger de una manera flexible los datos y las operaciones que se hacen sobre ellos.
Por un lado tenemos:
1) Objetos de autorización que poseen campos. Estos objetos representan lo que queremos proteger. Por ejemplo:
- S_TCODE: Protege el código de transacción y contiene un sólo campo que es la transacción. Es el más importante de todos porque es el acceso a una transacción.
- S_TABU_DIS: Protección del contenido de tablas de customizing. Campos: DICBERCLS: Grupo de autorizaciones de la tabla a la que quiere acceder. ACTVT: Actividad que se quiere ejecutar: Crear, modificar, borrar.
- F_BKPF_BUK: Protección de la contabilización de documentos por sociedad financiera. Campos: BUKRS: la sociedad a cuyos documentos queremos acceder y ACTTVT la actividad que se quiere hacer
2) Estructura modular que va desde la autorización simple sobre un objeto de autorización hasta el maestro de usuarios que son los que acceden al sistema. Los niveles son:
- Autorizaciones: Consiste de una asignación de valores a los campos de un objeto de autorización. Por ejemplo creamos una autorización para el objeto S_TCODE que tenga el valor FB01.
- Perfiles: Agrupación de varias autorizaciones que hayamos creado anteriormente. Es la unidad mínima de seguridad que le podemos asignar a un usuario, es decir, la única forma de asignar las dos autorizaciones del ejemplo anterior es incluirlas en un perfil que llamaremos CONTABLE e incluir este perfil en los usuarios.
- GRUPOS DE ACTIVIDAD: Agrupaciones de transacciones y actividades que se crean con el generador de perfiles. Estos grupos contienen internamente perfiles y se asignan directamente a los usuarios.
- USUARIOS: Para que un empleado tenga accedo a los datos de gestión de la empresa debe disponer de un código de usuario en SAP. Este usuario tendráa asignados unos grupos de actividad o unos perfiles de autorización (o ambos) para poder realizar las tareas que exige su función o puesto de trabajo
Mantenimiento de Usuarios (SU01):
Con el ícono Anteojos -> vamos a propiedades del usuario. Y podemos ver las siguientes pestañas:
- Dirección: Datos personales del usuario. Y en el campo edición esta el nombre de usuario que aparecerá en listados y transacciones.
- Datos Logon: Es obligatorio indicar una clave inicial (después la deberá cambiar). También pueden tener una validez temporal (por ejemplo empleados por contrato, le damos hasta fin de mes)
- Valores fijos: Se define menú inicial de entrada al sistema, la impresora SAP, algunos parámetros de impresión por defecto, el formato en que debe ver usuario las fechas y los importes en todas las transacciones. Esta última opción, junto con la del uso horario, es vital para empresas multinacionales que tienen empleados en diversos países.
- Parámetros: Existe la posibilidad de asignar parámetros por defecto para campos en todos los módulos. Por ejemplo setear el nro. de zona en la que trabaja.
- Roles y Perfiles: Operaciones a las que está autorizado un usuario vienen determinadas por los valores que le ponemos en estas dos pestañas.- (Existe la posibilidad de incluir perfiles manualmente, pero es solo por compatibilidad con versiones anteriores no es la que se debe usar a partir de la versión 4.6A)
- Grupos: A la hora de descentralizar el mantenimiento de un Nro. enorme de usuarios debemos agruparlos en grupos. Así podemos autorizar a varios administradores a gestionar los usuarios que pertenezcan a determinados grupos.-
Generador de perfiles (PFCG):
Incluye una BD que relaciona cada transacción con los objetos que comprueba.
Administra Roles. En la primer pantalla le ponemos un nombre y Crear. Y después hay que hacer la definición. Hay que definir las siguientes pestañas:
- Descripción: Descripción del nombre y de a quien le debemos asignar ese perfil.
- Menú: Le damos permisos a transacciones, informes, y direcciones web. (Acá le decimos que puede ejecutar tal transacción, por ejemplo creación de asientos contables, pero no hemos determinado aún para que sociedades financieras, cuentas o deudores podrá hacerlo.)
- Autorizaciones: Asignación de valores a los objetos de autorización. En este caso son 4 los objetos de la gestión financiera que chequea esta transacción y habrá que dar valores correspondientes para el grupo de actividad.
- Usuario: Cuando grabamos el grupo podemos asignarlo a uno o varios usuarios. Y la fecha de validez de la asignación.
Tipos de usuarios en SAP:
- Usuarios de diálogo: son los usuarios finales que necesitan interactuar con el sistema a través del SAPGUI. Todos los parámetros de logueo y las restricciones de loguin múltiple son verificados al iniciar la sesión. Normalmente la mayoría de los usuarios de nuestra empresa son este tipo.
- Usuarios de sistema. Son usuarios no interactivos (no pueden loguearse a traves del SAP GUI al sistema). Generalmente son usados para procesamiento por lote, workflow, procesos ALE, etc. Su contraseña solo puede ser cambiada por el administrador del sistema y se permiten logueos múltiples.
- Usuario de comunicación: Que son utilizados para comunicación RFC entre sistemas. Para interfaces con otros sistemas SAP. No es posible establecer logueos por parte de los usuarios finales a traves del SAP GUI.
- Usuario de servicio: Lo usan los usuarios que requieren acceso anónimo, no respetan la norma de expiración de contraseña y la misma solo puede ser cambiada por el administrador del sistema. Las autorizaciones que se le otorgan deben ser mínimas y restringidas específicamente a la necesidad por la cual se creo este tipo de usuario. Su uso no es recomendable porque puede loguearse a traves del SAP GUI.
- Usuario de referencia: Poco usado. No admite logon de diálogo y puede ser utilizado para traspasar sus autorizaciones al usuario que lo tiene como referente.