You are on page 1of 12

UNIDAD 5 LECCION 2

Las autorizaciones de los usuarios son creadas usando roles y perfiles.
Los administradores crean los roles y el sistema provee el soporte para
la creación de las autorizaciones asociadas.

1| Objetos de Autorización y Chequeo de Autorización

Comprender el concepto de autorización de SAP requiere el
conocimiento del rol y perfil de autorización en el registro maestro de un
usuario. Esta lección provee el conocimiento necesario para poder crear
los roles y autorizaciones propios.

Figura 521 – Objetos de Autorización

el objeto de autorización User Master Maintenance: User Groups (nombre técnico: S_USER_GRP) contiene dos campos de autorización: Actividad (nombre técnico: ACTVT) y User Group in User Master Record (nombre técnico: CLASS). La acción es definida sobre la base de los valores para cada uno de los campos de un objeto de autorización. En el ejemplo de la figura 521. Es posible que existan múltiples autorizaciones para un objeto de autorización. pero la mayor parte son creadas específicamente por requerimientos de los clientes. Una autorización siempre se asocia con solo un objeto de autorización y está formada por el valor para los campos del objeto de autorización. Las condiciones son especificadas en los campos de autorización para el objeto de autorización y son evaluados estos campos mediante la condición lógica AND para la verificación. la autorización B en la figura para el objeto de autorización S_USER_GRP permite mostrar todos los registros de usuarios que NO están asignados al grupo SUPER. Los objetos de autorización y los campos que contienen tienen nombres técnicos y descriptivos. Los objetos de autorización permiten verificaciones complejas que involucran múltiples condiciones que permiten a un usuario realizar una acción. en cambio. Por ejemplo. La autorización A. Para facilitar un poco la organización. Los objetos de autorización se encuentran en el sistema SAP. los objetos de autorización están divididos en diferentes clases. Algunas autorizaciones ya están incluidas en el sistema por SAP. Un objeto de autorización puede incluir hasta diez campos de autorización. se deben cumplir todas las condiciones para que la verificación de autorización sea exitosa. O sea. . Una autorización es un permiso para realizar cierta acción en el sistema SAP. permite mostrar registros de usuarios pertenecientes a ese grupo.Las acciones y los accesos a los datos están protegidos a través de los objetos de autorización en el sistema SAP. El objeto de autorización S_USER_GRP protege el registro maestro de usuario justamente.

Cuando el usuario llama a la transacción. Si la verificación de autorización para llamar a la transacción es exitosa. el usuario puede crear datos o . puedes consultarla mediante la transacción SU56) del servidor de aplicación. sus autorizaciones son cargadas en el contexto de usuario. Las verificaciones de autorización utilizan las autorizaciones que existen en el contexto de usuario.Figura 522 – Verificación de Autorización Cuando un usuario se loguea a un cliente de un sistema SAP. Si se asignan nuevas autorizaciones al usuario. Dependiendo de la transacción. podría ser necesario para este usuario volverse a loguear al sistema SAP para poder utilizar estas nuevas autorizaciones. El contexto de usuario se encuentra en el buffer (en la memoria principal. el sistema luego muestra la pantalla inicial de la transacción. el sistema verifica si el usuario tiene la autorización necesaria en el contexto de usuario para acceder a la transacción.

Si el contexto de usuario contiene todas las autorizaciones requeridas para la verificación (código de retorno = 0). Esto es lo que se conoce como concepto de autorización positivo. los datos son enviados al dispatcher. el cual los pasa a un work process para que ejecute el procesamiento. Verificaciones de autorización (AUTHORITY-CHECK) que son realizadas durante la ejecución en el work process son programadas dentro del código por los desarrolladores ABAP para proteger los datos y las acciones que van a realizarse. En este caso. los datos y las acciones son procesadas y la próxima pantalla es devuelta al usuario. Todo aquello que no está explícitamente permitido está prohibido.seleccionar acciones. 2| Mantenimiento de Roles: Menú y Autorizaciones . no sería igual a 0. Todas las autorizaciones son permisos. Cuando el usuario realiza la acción. Esto se controla mediante la evaluación del código de retorno. Si falta alguna de las autorizaciones requeridas. No hay autorizaciones para prohibir. el procesamiento no se realiza y el usuario recibe un mensaje que indica que las autorizaciones son insuficientes.

las transacciones. pertenecen a un mismo grupo se seleccionan. Un rol puede ser asignado a varios usuarios. reportes. Los cambios a un rol por lo tanto tienen efecto sobre todos estos usuarios. que desde el punto de vista de la compañía. En el mantenimiento de roles. . etc) que son asignadas al usuario a través de los roles. Los usuarios pueden ser asignados a más de un rol. previamente también llamada Profile Generator o Activades de Grupo) simplifica la creación de autorizaciones y sus respectivas asignaciones a los usuarios. El mantenimiento de roles crea las autorizaciones con los valores de campos requeridos para los objetos de autorización que son verificados en la transacción elegida.Figura 523 – Mantenimiento de Roles El Mantenimiento de Roles (transacción PFCG. URLs. El menú de usuario se compone del menú de rol y contiene las entradas (transacciones.

Selecciona la solapa Menu. Si seleccionamos el botón Other. es posible agregar direcciones de . puedes integrar reportes (programas ABAP). Ingresa el nombre del rol y presiona el botón Create o Change. Se pueden insertar o borrar transacciones en el árbol de transacciones. Si se selecciona el botón Report.Figura 524 – Menú de usuario Puedes acceder al mantenimiento de roles con la transacción PFCG o mediante el menú de la pantalla inicial del sistema en Tools → Administration → User Maintenance → Role Administration → Roles. En este caso la transacción PFCG se encarga de crear los códigos de transacción (si es que no existen para el reporte) con el cual los reportes luego pueden ser accedidos. Selecciona y modifica las funciones: En el árbol de menú se pueden realizar ajustes para los roles individuales.

borrar y renombrar directorios y sub-directorios si es necesario. junto con el área apropiada para quien se están creando o modificando los roles. En la pantalla que ingresamos podremos ver y modificar el contenido de las autorizaciones. dependiendo en cual modo estemos trabajando en la transacción PFCG. El administrador del sistema es responsable para esta tarea. .internet o vínculos a archivos. todos los valores de autorización deben ser verificados manualmente y ajustados si fuese necesario para que concuerden con los requerimientos y permisos que se deben otorgar con el rol. De todas maneras. Figura 525 – Generando Perfiles de Autorización El mantenimiento de roles automáticamente crea las autorizaciones que están asociadas con las transacciones especificadas en el árbol del menú. La función Drag&Drop se puede utilizar también. Selecciona la solapa Authorizations y luego el botón Change Authorization Data o Display Authorization Data. o sea los valores propuestos para los campos de los objetos de autorización. mover. Modificación de Menús: podemos crear.

Luz roja: Los niveles organizacionales no están definidos. Luz amarilla: el objeto de autorización necesita mantenimiento manual al menos para uno de los campos. Figura 525_b – Significado de los indicadores La falta de un valor propuesto por PFCG para alguno de los campos del objeto de autorización puede ser por ejemplo en los casos de accesos a archivos externos donde no se puede determinar si el .El significado de los indicadores es el siguiente: Luz verde: el objeto de autorización tiene un valor propuesto para cada uno de los campos.

acceso será de lectura o de lectura/escritura. Las autorizaciones se combinan en un perfil. Por lo tanto dentro de un rol estos campos pueden aparecer muchas veces. . El botón Organizational levels… en la transacción PFCG facilita su mantenimiento. Algunos campos aparecen en muchas autorizaciones por lo que estos campos se denominan Niveles Organizacionales. Los perfiles deben ingresarse en los registros maestros de usuarios. Una vez que todas las autorizaciones han sido mantenidas como se requiere. esto se denomina Comparación de Registros Maestros de Usuarios (User Master Record Comparission) 3| Usuarios y Roles La asignación de usuarios a roles se realiza mediante la transacción PFCG (mantenimiento de roles) o en la transacción de mantenimiento de usuario SU01. el perfil de autorización puede ser generado mediante el botón Generate . Si editamos una entrada en el nivel organizacional utilizando el botón entonces los cambios afectarán a todos los objetos de autorización que lo contienen. ¿Qué son los Niveles Organizacionales? Son campos determinados por SAP en el Concepto de Autorización que se refieren a la estructura de la compañía. Estos campos aparecen en la mayoría de las autorizaciones. Selecciona la solapa User y los ID de usuarios a los que se les asignará el rol.

Para asignar las autorizaciones. . La asignación de roles a los usuarios no otorga automáticamente las correspondientes autorizaciones a los usuarios. esto es útil para algunas actividades (como impresión) que serán permitidas para la mayoría de los usuarios.Figura 526 – Asignación de Roles a Usuarios Los usuarios pueden recibir más de un rol. es necesario realizar una comparación de registros de usuarios mediante la cual los perfiles de los roles son insertados en el registro maestro de usuario.

La comparación puede realizarse por cada rol individualmente. selecciona el botón de información en la transacción PFCG y el mismo botón en la comparación de maestros de usuarios. seleccionamos Complete comparison. Si la asignación de roles es removida manualmente o porque se cumple la fecha de vencimiento del rol para el usuario los perfiles correspondientes son eliminados del registro maestro de usuario. Seleccionando el rol en la función de mantenimiento de roles en la solapa User y luego seleccionando User comparison. Para más información. los perfiles obsoletos son eliminados.Figura 527 – Comparación de Registro Maestro de Usuario Una comparación de registros maestros de usuarios determina si los perfiles de autorización deben ser agregado o eliminados del usuario basándose en la asignación de roles para este. Durante una comparación completa. . En la ventana que aparece. Durante una comparación se agregarán perfiles al maestro de usuario si nuevos roles son agregados.

.Si múltiples asignaciones de roles va a ser actualizada. puedes realizar una comparación en la transacción PFCG seleccionando Utilities → Mass comparison o llamando a la transacción PFUD. objeto de autorización. El valor por defecto es que todos los registros maestros de usuarios serán comparados una vez por día. ¿Qué aprendiste en esta lección? Ahora puedes comprender y diferenciar los términos. Puedes seleccionar los roles que desees o actualizar todas las asignaciones si ingresas el caracter asterisco (*). autorización. perfil y rol en SAP. Selecciona la opción Schedule o Check job for full reconciliation. tenemos la opción de crear uno. También puedes activar una comparación de registros maestros de usuarios periódicamente si seleccionas Utilities → Mass comparison. Si no encuentra el job. El sistema luego muestra una ventana de búsqueda para el job de background PFCG_TIME_DEPENDENCY. También vimos la herramienta para la administración de roles PFCG.