Los Roles y Perfiles
Por qué y para qué requerimos autorizaciones?: Requerimos las autorizaciones para poder cumplir con las expectativas de la seguridad, éstas nos permiten:
- Proteger la Información sensitiva de negocio: leyes, acuerdos, regulaciones, cuestiones pertinentes a la legislación del país, puede incluir la protección para a ley de datos personales, datos sobre acuerdos de proveedores y clientes, puede ser externa o interna a la organización.
- Permite ver la Relación Costo beneficio: hay una gran cant. de amenazas, de la cual una organización debe protegerse. Una perfecta seguridad es conseguida con una relación de asignación interdimensional de autorizaciones. Sin embargo los beneficios de conseguirlo se encuentran en relación a los costos incurridos. En algunas ocasiones es mas barato reemplazar una perdida que proteger una información a alto costo. Por eso una compañía debe darse cuenta lo que realmente es un aporte de beneficio en materia de seguridad de la info.
- No obstrucción del proceso de negocio: Es desventajoso si todo el proceso de negocio esta controlado con autorizaciones de tal manera que todas conducen a continuos mensajes de error. Una situación en este sentido no permite un favorable funcionamiento o proceso de la compañía. La asignación de autorizaciones debería ser confeccionada en forma estructurada de forma que tal el administrador pueda usar un núm. pequeños de roles.
SAP posee dos controles principales:
- Control de acceso al sist.: Para que SAP funcione, requiere que: el usuario tenga un único ID de usuario con el que él mismo pueda identificarse dentro del sistema. Los usuarios deben identificarse a si mismos en el sist., mediante configuración de control de acceso al sist. (tales como reglas para contraseñas). Este mismo usuario debe constar con una contraseña que puede tener diversas características determinadas por la configuración del control de acceso al sistema (reglas para contraseñas).
- Control de Acceso: Permiten proteger la info del negocio y funciones ante accesos no autorizados, para esto utiliza: Permisos de accesos para funciones e información debe ser permitida explícitamente usando autorizaciones. Mediante chequeos de autorización para: transacciones/ reportes, ejecución de programas. Para esto, el sistema SAP utiliza chequeos de autorización para transacciones y reportes, por lo tanto, cada ejecución de un programa realiza la comprobación sobre los efectos y transacciones, para los cuales el usuario ha sido autorizado. (La autorización se asigna utilizando perfiles en forma de roles, los cuales son ingresados en el dato maestro del usuario).
Tanto los roles y perfiles son aspectos significativos en un proyecto de implementación y mantenimiento de como consultor es fundamental reconocer los aspectos característicos sobre los objetos de autorización, la funcionalidad de los roles, la configuración de perfiles y la asignación de los elementos.
Usuarios, Perfiles, Roles y Transacciones:
Transacciones: las transacciones son asignadas a roles.
Roles: son asignados a perfiles.
Perfiles: los perfiles son asignados a usuarios.
- Los usuarios o empleados ejecutan las transacciones que pertenecen a escenarios de negocio determinados, para esto se asignan las funciones de roles.
- Un rol es un grupo de actividades o transacciones ejecutadas dentro de los escenarios de negocio.
- El rol, además de poseer las transacciones, posee los objetos de autorización o información de negocio a la que puede acceder al usuario.
- Un escenario de negocio puede necesitar una gran amplia necesidad de roles por ese motivo son asignados los roles a diferentes perfiles.
Ejemplo:
1- Modificación a cargo del grupo Basis: Control de modificación de contraseña (blanqueo de clave de acceso), se utiliza cuando el usuario se ha olvidado de la misma.
Transacción SU01 > ID de usuario > Modificar >Solapa Datos Logon > Clave inicial - confirmar clave de accesos / Grabar
Una vez que se ingresa Ingresamos al Logon de SAP con usuario al sistema con la nueva contraseña queda asociada al maestro de usuario.
2- Bloqueo o desbloqueo del maestro del usuario
Transacción SU01 > (icono de candado)
El status actual del maestro de usuario puede variar dependiendo de algún evento.
- Bloqueo por reiterados intentos fallidos del usuario y/o contraseña
- Bloqueado por responsable de sistema
- Se puede bloquear y desbloquear procediendo de la misma manera
3- Control de accesos: Autorización para transacciones y objetos
Ej. (Acceso a VA01 no permitido)
Para la autorización ingresamos: Transacción SU01 > ID de usuario > Modificar >Solapa Roles
Se ingresa en el campo Rol: [ zservicioalcliente ] - que posee las transacciones y objetos deseados, (el administrador del grupo de basic tiene conocimiento sobre los elementos que posee dicho rol).
Una vez asignado el Rol podemos ver en la Solapa Perfiles que un Perfil [T-S=820009] se ha asignado automáticamente ya que el mismo se encuentra vinculado al Rol.
Para analizar las características del Rol volveremos a la solapa de roles, seleccionamos el Rol correspondiente y luego haremos click en <visualizar roles>, nos posicionamos en la <Solapa Autorizaciones>, en esta solapa podemos identificar en el apartado Información sobre perfil de autorizaciones, el Perfil que se asignara automáticamente este Rol, el Texto del perfil y el Status del mismo.
Para analizar los objetos que comprenden este perfil podemos hacer click en la opción <visualizar> Datos de autorización, podemos ver las autorizaciones que posee por ejemplo a organización de ventas está asociado.
Luego de haber analizado las autorizaciones del perfil grabamos para que las modificaciones surjan efecto.
Transacción SUIM: nos permite corroborar los roles, perfiles y transacciones que tiene usuarios específicos.