✒️SAP BASIS El concepto de autorización
SAP BASIS El concepto de autorización
Concepto de autorización
Objetos de autorización y chequeo de autorización
Las acciones y los accesos a los datos están protegidos a través de los objetos de autorización en el sistema SAP. Para facilitar la organización los objetos están divididos en clases.
Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción. Las condiciones son especificadas en los campos de autorización para el objeto de autorización y son evaluados estos campos mediante la condición lógica AND para la verificación. O sea, se deben cumplir todas las condiciones para que la verificación de autorización sea exitosa.
Los objetos de autorización y los campos que contienen nombres descriptivos. El objeto de autorización S_USER_GRP protege el registro maestro de usuario, un objeto de autorización puede incluir hasta 10 de campos de autorización.
Una autorización siempre se asocia con solo un objeto de autorización y está formada por el valor para los campos del objeto de autorización. Una autorización es un permiso para realizar cierta acción en el sistema SAP. La acción es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización.
Es posible que existan múltiples autorizaciones para un objeto de autorización, algunas autorizaciones ya están incluidas en el sistema, pero la mayor parte son creadas específicamente por requerimientos de los clientes.
Cuando un usuario se loguea a un cliente de un sistema SAP, sus autorizaciones son cargadas en el contexto de usuario, el contexto de usuario se encuentra en el buffer (memoria principal, se puede consultar mediante SU56).
Cuando un usuario llama a la transacción, el sistema verifica si el usuario tiene la autorización necesaria en el contexto de usuario para acceder a la transacción. Las verificaciones de autorizaciones utilizan las autorizaciones que existen en el contexto de usuario. Si se asignan nuevas autorizaciones al usuario, podría ser necesario para este usuario volverse a loguear al sistema SAP para poder utilizar las nuevas autorizaciones.
Si la verificación de autorización para llamar a la transacción es exitosa el sistema muestra la pantalla inicial de la transacción, de lo contrario muestra un mensaje que indica autorizaciones insuficientes.
Verificaciones de autorización (AUTHORITY-CHECK) que son realizadas durante la ejecución en el work process son programadas dentro del código por los desarrolladores ABAP para proteger los datos y las acciones que van a realizarse.
Todas las autorizaciones son permisos, no hay autorizaciones para prohibir. Todo aquello que no está explícitamente permitido está prohibido, esto se conoce como autorización positivo.
Mantenimiento de roles: menú y autorizaciones
El mantenimiento de roles (transacción PFCG, llamada profile generator o actividades de grupo) simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios.
En el mantenimiento de roles, las transacciones, que desde el punto de vista de la compañía, pertenecen a un mismo grupo se seleccionan. El mantenimiento de roles crea las autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la transacción elegida.
Un rol puede ser asignado a varios usuarios, los cambios a un rol por lo tanto tienen efecto sobre todos estos usuarios, los usuarios pueden ser asignados a más de un rol.
El menú de usuario se compone del menú de rol y contiene las entradas (transacciones, URLs, reportes, etc) que son asignadas al usuario a través de roles.
Se puede acceder al mantenimiento de roles con la transacción PFCG o mediante el menú de la pantalla inicial del sistema en Tools--Administration--User Maintenance--Role Administration--Roles. Ingresa el nombre del rol y presiona el botón Create o Change.
Selecciona y modifica las funciones: en el árbol de menú se pueden realizar ajustes para los roles individuales, se pueden insertar o borrar transacciones en el árbol de transacciones.
El mantenimiento de roles automáticamente crea las autorizaciones que están asociadas con las transacciones especificadas en el árbol del menú. Todos los valores de autorización deben ser verificados manualmente y ajustados si fuese necesario para que concuerden con los requerimientos y permisos que se deben otorgar con el rol.
En la pantalla que ingresamos podremos ver y modificar el contenido de las autorizaciones, o sea los valores propuestos para los campos de los objetos de autorización.
El significado de los indicadores es el siguiente:
- Luz verde: el objeto tiene un valor propuesto para cada uno de los campos.
- Luz amarilla: el objeto necesita mantenimiento manual al menos para uno de los campos.
- Luz roja: los niveles organizacionales no están definidos.
Usuarios y roles
La asignación de usuarios a roles se realiza mediante la transacción PFCG (mantenimiento de roles) o en la transacción de mantenimiento de usuario SU01. Selecciona la solapa User y los ID de usuarios a los que se les asignara el rol.
Los usuarios pueden recibir más de un rol, esto es útil para algunas actividades (como impresión) que serán permitidas para la mayoría de los usuarios.
La asignación de roles a los usuarios no otorga automáticamente las correspondientes autorizaciones a los usuarios. Para asignar las autorizaciones, es necesario realizar una comparación de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario.
Una comparación de registros maestros de usuarios determina si los perfiles de autorización deben ser agregados o eliminados del usuario asándose en la asignación de roles para este.
Una comparación de registros de maestros de usuarios determina si los perfiles de autorización deben ser agregados o eliminados del usuario basándose en la asignación de roles para este.
Si la asignación de roles es removida manualmente o porque se cumple la fecha de vencimiento del rol para el usuario los perfiles correspondientes son eliminados del registro maestro de usuario.
Sobre el autor
Publicación académica de Wander Jorge Andujar Ortiz, en su ámbito de estudios para la Carrera Consultor Basis NetWeaver.
SAP Master
Wander Jorge Andujar Ortiz
Profesión: Ingeniero en Sistemas y Computación - Republica Dominicana - Legajo: XO87G
✒️Autor de: 104 Publicaciones Académicas
🎓Egresado de los módulos:
Disponibilidad Laboral: FullTime
