Gestión de usuarios y autorizaciones
Modelo de Seguridad en R/3
Las restricciones se dan por:
- Proteger datos que afecten a la estrategia de la empresa para no ofrecer ventajas a la competencia.
- Evitar fraudes en la contabilidad o en los cobros y pagos
- Obligación legal de proteger información ajena a la propia empresa como los datos personales de sus empleados, las condiciones económicas de los proveedores
SAP implementa un modelo de seguridad que permite proteger de una manera flexible los datos y las operaciones que se hacen sobre ellos. Según siguientes componentes: Maestro de usuarios- grupos de actividad - perfiles - autorizaciones- objeto de autorización - campos.
El modelo de seguridad se implementa por niveles:
- Autorizaciones: Asignación de valores a los campos de un objeto de autorización (FB01: transacción correspondiente a la contabilización de documentos)
- Perfiles: Agrupación de varias autorizaciones. Es la unidad mínima de seguridad que puede ser asignada a un usuario. Se crea un perfil que contenga autorizaciones y este se incluye a los usuarios
- Grupos de Actividad/Roles/Papeles: Agrupa transacciones y actividades que se crean con el generador de Perfiles. Los grupos contienen perfiles y estos autorizaciones y se asignan directamente a los usuarios.
- Usuarios: Usuarios de SAP que tiene asignados grupos y/o perfiles de autorización para realizar las tareas de su puesto de trabajo. Son los que acceden al sistema, disponen de un código de usuario en SAP.
Los Objetos de Autorización: Están compuestos por campos y representan lo que queremos proteger. Por ejemplo:
- S_TCODE: Protege el código de transacción y sólo contiene un campo que es la transacción. Es el más importante de todos los objetos porque se empieza por el acceso a una transacción.
- S_TABU_DIS: Protege el contenido de tablas de customizing. Sus campos son: DICBERCLS grupo de autorizaciones de la tabla a la que se quiere acceder y ACTVT actividad a ejecutar (crear, modificar, borrar...)
- F_BKPF_BUK: Protege la contabilidad de documentos por sociedad financiera. Sus campos son BUKRS sociedad a cuyos documentos contables queremos acceder y ACTVT actividad a ejecutar.
TIPOS DE USUARIOS EN SAP
- Usuarios de Dialogo: Son los usuarios finales que interactúan con el sistema a través de SAP GUI. Todos los parametros de logueo definidos son verificados al iniciar la sesión como las restricciones de login múltiple, la mayoría deben estar entre este tipo de usuarios.
- Usuarios del sistema: No son interactivos ni se loguean a través de SAP GUI al sistema. Usuarios de procesamiento por lote o Workflow, procesos ALE, etc. Su contraseña sólo puede ser cambiada por el administrador del sistema y permite logueos múltiples.
- Usuario de comunicación: Permite la comunicación RFC entre sistemas, se usa para interfaces con otros sistemas SAP, no es posible los logueos.
- Usuario de servicio: Usuarios que requieren acceso anónimo, tienen muchas restricciones y pocas autorizaciones. Deben evitarse.
- Usuario de Referencia: poco utilizado, Pueden traspasar sus autorizaciones al usuario que lo tiene como referente.
Mantenimiento de Usuarios - Transacción SU01 (transacción estándar que es utilizada para la administración de los usuarios del sistema SAP).
Permite crear y mantenimiento de usuarios (crear, modificar, cambiar clave de acceso, bloquear...) Los anteojos permiten visualizar las propiedades del Usuario en el sistema. 6 pestañas que componen el registro maestro de un usuario:
- Dirección: Datos personales del usuario (nombre, apellido, teléfono
- Datos Logon: Clave inicial del usuario, aunque en la primera conexión se le pedirá que la cambie, limitar validez de acceso.
- Valores fijos: Menú inicial de entrada al sistema, impresora SAP, parámetros de impresión por defecto, formato fechas, importes en transacciones SAP. Esta última opción con la del uso horario, es vital para empresas multinacionales que tienen empleados en diversos países.
- Parámetros: Asignar parámetros por defecto para multitud de campos de todos los módulos de SAP como el relleno automático de campos con "x" valor. (Si un empleado solo realiza entradas de mercancías en el centro 1000 se le asigna ese valor en el parámetro para que esté relleno automáticamente con el valor 1000)
- Perfiles y Roles: Operaciones a las que está autorizado el usuario. Al asignarle un papel le estamos añadiendo perfiles, pero existe la posibilidad de incluir perfiles manualmente con versiones anteriores pero no es el modo de trabajo desde la versión 4.6A.
- Grupos: Agrupación de usuarios para facilitar la gestión o mantenimiento de los mismos. Podemos autorizar a diversos administradores a gestionar los usuarios que pertenezcan a determinados grupos.
Generador de Perfiles
Creación de perfiles y autorizaciones con la ventaja de que ya no es necesario conocer la funcionalidad de las transacciones ya que incluye una base de datos que relaciona cada transacción con los objetos que comprueba.
Crear un Papel/ Grupo de autorización/ Rol - Transacción PFCG (actualización básica: menú, perfiles, otros objetos) es una transacción estándar del sistema que se utiliza para la administración de Roles (papeles o grupos de autorización).
Consta de 4 partes crear grupos de papeles:
- Descripción: descripción corta del papel y en el campo de descripción inferior indicar instrucciones sobre a quién se debe asignar este perfil o cual es su función específica.
- Menú: Transacciones, informes, direcciones web (módulo FI) esto implica que el usuario al que se le asigne este perfil podrá ejecutar la transacción FB01 (para crear asientos contables)
- Autorizaciones: Asignación de valores a objetos de autorización, este indica a cual departamento o sociedad financiera va crear los asientos.
- Usuario: Permite asignar el rol a uno o varios usuarios. Podemos poner en la tabla de usuarios los códigos (nombre lo llena el programa) a los que queremos incluir el papel y la fecha de validez de la asignación.