✒️SAP BASIS El concepto de autorización

Las autorizaciones de los usuarios son creadas usando roles y perfiles.

OBJETOS Y CHEQUEO DE AUTORIZACIÓN.

Acciones y accesos de los datos están protegidos a través de los objetos de autorización.
Los objetos de autorización están divididos en diferentes clases.
Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción. Las condiciones son especificas en los campos de autorización para el objeto de autorización y son evaluados estos campos mediante la condición lógica AND para la verificación.

Los objetos de autorización y los campos que contienen tienen nombres técnicos y descriptivos.
Un objeto de autorización puede incluir hasta diez campos de autorización.
Una autorización siempre se asocia con solo un objeto de autorización y está formada por el valor para los campos del objeto de autorización. Una autorización es un permiso para realizar cierta acción en el sistema SAP. La acción es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización.

Cuando un usuario se loguea a un cliente de un sistema SAP, sus autorizaciones son cargadas en el contexto de usuario. El contexto de usuario se encuentra en el buffer (en la memoria principal, puedes consultarla mediante la trx SU56) del servidor de aplicación.

TRX SU56: Utilizada para monitorear el número de objetos que están en buffer referentes a los roles de autorización y perfiles del usuario.

Dependiendo de la trx, el usuario puede crear datos o seleccionar acciones. Cuando el usuario realiza la acción, los datos son enviados al dispatcher, el cual pasa a un work process para que ejecute el procesamiento.

Verificaciones de autorización (AUTHORITY-CHECK) son realizadas durante la ejecución en el work process son programadas dentro del código por los desarrolladores ABAP para proteger los datos y las acciones que van a realizarse.

Si el contexto del usuario contiene todas las autorizaciones requeridas para la verificación (código de retorno = 0), los datos y las acciones son procesadas y la próxima pantalla es devuelta al usuario. Si falta alguna de las autorizaciones requeridas, el procesamiento no se realiza.

Esto se controla mediante la evaluación del código de retorno. En este caso, no seria igual a 0.
Todo aquello que no está explícitamente permitido está prohibido. Esto se le conoce como concepto de autorización positivo.

MANTENIMIENTO DE ROLES: MENU Y AUTORIZACIONES.

El mantenimiento de Roles simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios.

TRX PFCG: Es una de las más utilizadas en cuanto a seguridad del sistema dado que mediante la misma se crean los roles con las autorizaciones que luego serán asignadas a los usuarios.

En el mantenimiento de roles, las transacciones, desde el punto de vista de la compañía, pertenecen a un mismo grupo se seleccionan. El mantenimiento de roles crea las autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la trx elegida.

Puedes acceder al mantenimiento de roles con la trx PFCG o mediante el menú de la pantalla inicial del sistema en Tools > Administration > User Maintenance > Role Administration > Roles. Ingresa el nombre del rol y presiona el botón Create o Change. Selecciona la solapa Menú.

Selecciona y modifica las funciones: En el árbol de menú se pueden realizar ajustes para los roles individuales. Se pueden insertar o borrar trx en el árbol de trx.

Si se lecciona el botón Report, puedes integrar reportes (programas ABAP). En este caso la trx PFCG se encarga de crear los códigos de trx (si es que no existen para el reporte) con el cual los reportes lego pueden ser accedidos.
Si seleccionamos el botón Other, es posible agregar direcciones de internet o vínculos a archivos.
Modificación de Menús: podemos crear, mover, borrar y renombrar directorios y subdirectorios si es necesario. La funcion Drag&Drop se puede utilizar también.

Todos los valores de autorización deben de ser verificados manualmente y ajustados si fuese necesario para que concuerden con los requerimientos y permisos que se deben otorgar con el rol.

Selecciona la solapa Authorizations y luego el botón Change Authorization Data o Display Authorization Data, dependiendo cual modo estemos trabajando en la trx PFCG.
En la pantalla que ingresamos podremos ver y modificar el contenido de las autorizaciones, o sea los valores propuestos para los campos de autorización.

El significado de los indicadores es el siguiente:

Luz verde: El objeto de autorización tiene un valor propuesto para cada uno de los campos.
Luz amarilla: El objeto de autorización necesita mantenimiento manual al menos para uno de los campos.
Luz roja: Los niveles organizacionales no están definidos.

Algunos campos aparecen en muchas autorizaciones por lo que estos campos se denominan Niveles Organizacionales. Si editamos una entrada en el nivel organizacional utilizando el boton "Organizational Levels.." entonces los cambios afectarán a todos los objetos de autorización que lo contienen.

¿Que son los Niveles Organizacionales?
Son campos determinados por SAP con el Concepto de Autorización que se refieren a la estructua de la compañía. Estos campos aparecen en la mayoría de las autorizaciones.
El botón "Organizational Levels.." en la trx PFCG facilita su mantenimiento.

Una vez que todas las autorizaciones han sido mantenidas como se requiere, el perfil de autorización puede ser generado mediante el botón "Generate". Las autorizaciones se combinan en un perfil. Los perfiles deben ingresarse en los registros maestros de usuarios, esto se denomina Comparación de Registros Maestros de Usuarios ( User Master Record Comparission).

USUARIOS Y ROLES.

La asignación de usuarios a roles se realiza mediante la trx PFCG (mantenimiento de roles) o en la trx mantenimiento de usuario SU01. Selecciona la solapa User y los ID de usuarios a los que se les asignará el rol.
La asignación de roles a los usuarios no otorga automaticamente las correspondientes autorizaciones a los usuarios. Para asignar las autorizaciones, es necesario realizar una comparación de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario.

Una comparación de registros maestros de usuarios determina si los perfiles de autorización deben ser agregados o eliminados del usuario basándose en la asignación de roles para este.

Durante una comparación se agregaran perfiles al maestro de usuario si nuevos roles son agregados.
Si la asignación de roles es removida manualmente o porque se cumple la fecha de vencimiento del rol para el usuario los perfiles correspondientes son eliminados del registro maestro de usuario.

La comparación puede realizarse por cada rol individualmente. Seleccioanndo el rol en la funcion de mantenimiento de roles en la solapa User y luego seleccionando USer comparison. En la ventana que aparece, seleccionamos Complete comparison.
Durante una comparación completa, los perfiles obsoletos son eliminados.
Si múltiples asignaciones de roles va a ser actualizada, puedes realizar una comparación e la trx PFCG seleccionando Utilities > Mass Comparison o llamando a la trx PFUD. Puedes seleccionar los roles que dessees o actualizar todas las asignaciones si ingresas el caracter asterisco (*).

También puedes activar una comparación de registros maestros de usuarios periódicamente si seleccionas Utilities > Mass Comparison. Selecciona la opción Schedule o Check job for full reconciliation. El sistema muestra una ventana de buqueda para el job background PFCG_TIME_DEPENDENCY. Si no encuentra el job, tenemos la opcion de crear uno. El valor por defecto es que todos los registros maestros de usuario serán comparados una vez por día.