El sistema de autorizaciones SAP permite gestionar los permisos lectura y escritura sobre los elementos que todo usuario

tiene asignados. El sistema se vehicula a travs de papeles o roles (simples o compuestos) que agrupan una serie de objetos de autorizacin. Cada objeto de autorizacin incorpora permisos para un elemento de nuestro sistema. Cada uno de estos objetos ser el elemento mnimo que nos permitir conceder un permiso para ejecutar la tarea, sea sta el acceso a una transaccin, a un rea de ventas, a un grupo de compras, etc. El siguiente esquema muestra cmo acta el sistema de autorizaciones y est extrado de la help de SAP:

Concepto de autorizacin segn la help de SAP Es decir, cada transaccin, cada sociedad, cada centro en definitiva cada tarea a la cual tiene acceso un usuario se encuentra definida de un campo de autorizacin. Este campo se encuentra en un objeto de autorizacin, y ste a su vez en un rol. Todas las tareas a las cuales tiene permiso un usuario se definen como la suma de objetos de autorizacin que conforman uno o ms roles.

Proyectos de autorizacin
Montar un proyecto de autorizaciones es complejo y conlleva el anlisis de los trabajos que realiza cada usuario para asignar las autorizaciones que le son necesarias. En un proyecto de este tipo hay que:

Analizar las tareas que realiza cada usuario. Agrupar usuarios segn tareas comunes. Crear roles que se ajusten a cada tarea. En mi opinin los roles deberan ser lo ms especficos posibles. Asociar las autorizaciones especficas a cada rol. Hay que poner especial atencin en las transacciones que se incorporan en cada rol y procurar siempre que se pueda que la misma transaccin y, en general, la misma autorizacin no se encuentra en diferentes roles. Asignar los roles segn las tareas que realiza cada usuario.

Dentro de cada usuario hacer un anlisis de incompatibilidades de transacciones. Esto es determinar aquellas autorizaciones que juntas nunca las debe poseer el mismo usuario. Esto pasa a veces cuando el usuario tiene dos roles que incluyen la misma autorizacin. Por ejemplo, la persona que se encarga de hacer pedidos de cliente no debe tambin poseer autorizacin para facturarlos. En ese aspecto nos puede ayudar la informacin de la tabla SUKRI. Esta tabla se entrega vaca y es responsabilidad del cliente su llenado a travs de la transaccin SU98 Una vez detectadas las incompatibilidades, solucionarlas ajustando los roles existentes, creando nuevos roles o eliminando roles dentro del perfil de usuario.

Para mayor informacin sobre proyectos de autorizacin aconsejo la lectura de este artculo del blog de seguridadsap.

Asignar autorizaciones a transacciones.

Una vez montado el proyecto, cmo mantenemos y asignamos nuevas transacciones a cada rol?

Para empezar debemos saber qu autorizacin necesita el usuario. Para eso pediremos al usuario que tan pronto SAP le enve el mensaje de falta de autorizacin ejecute la transaccin SU53 que nos muestra el objeto de autorizacin necesario. Una vez tengamos esto podemos decidir por modificar el rol directamente o a travs del usuario. En seguridadsap explican cmo hacerlo directamente (transaccin PFCG). Pero en este post yo voy a mostrar los pasos para asignar autorizacin a travs del usuario. Entramos en el perfil del usuario y visualizamos la pestaa Roles. Aqu veremos todos los roles que tiene asignado el usuario. Herramientas / Gestin / Actualizacin de usuarios / SU01 Usuarios

Identificamos el rol a modificar y hacemos doble click sobre l. Se nos abre una ventana para este rol. Nos movemos hacia la pestaa Men y lo modificamos aadiendo las transacciones a las que queremos dar autorizacin.

Nos movemos a la pestaa Autorizaciones y pulsamos el botn Modificar datos de autorizacin. Buscamos el objeto de autorizacin S_TCODE dentro del rbol del rol. Para ello vamos a Tratar / Buscar. Pero si no lo encontramos o no es posible modificarlo, entonces podemos optar por aadir manualmente la transaccin a travs del botn Manualmente.

Seleccionamos el objeto y aadimos nuestras transacciones.

Grabamos y generamos (botn generar) el cambio.

Ms informacin en el captulo 5 del libro As es SAP R/3 de J.A. Hernndez Muoz y en la help de SAP