Documente Academic
Documente Profesional
Documente Cultură
Página 1 de 49
Tabla de Contenidos
0-OBJETIVO ............................................................................................................................................. 3
1-ALCANCE ............................................................................................................................................... 3
2-INTRODUCCIÓN ................................................................................................................................. 4
3.1-PFCG ................................................................................................................................................. 7
3.1.1 Nomenclatura de GA .............................................................................................................. 8
3.1.2 GA - Simple............................................................................................................................. 9
3.1.3 Solapa MENU ....................................................................................................................... 10
3.1.3.1 Asignación de transacción – Modo estándar .......................................................... 11
3.1.3.2 Asignación de transacción – Desde el menú de SAP............................................... 12
3.1.3.3 Asignación de transacción – Desde un GA ............................................................. 14
3.1.3.4 Asignación de transacción – Desde un archivo TXT ............................................... 19
3.1.4 Solapa AUTORIZATIONS .................................................................................................... 20
3.1.5 Niveles Organizacionales ..................................................................................................... 22
3.1.6 Solapa USERS ...................................................................................................................... 28
3.1.6.1 Asignación de usuario ............................................................................................. 28
3.1.6.2 Desafectar usuario de un GA .................................................................................. 30
3.1.6.3 Desafectar usuarios de un GA en modo masivo ...................................................... 31
3.1.6.4 Datos básicos de usuario......................................................................................... 32
3.1.7 GA - Derivado ...................................................................................................................... 33
3.1.7.1 Modificación de un GAD ......................................................................................... 35
3.1.7.2 Autorizaciones distribuidas ..................................................................................... 37
3.1.7.3 Problemas en las Autorizaciones ............................................................................ 41
3.1.7.4 Otras funciones........................................................................................................ 44
3.2-SU53 ............................................................................................................................................... 46
3.2.1 Ejecutando SU53 para transacciones................................................................................... 46
3.2.2 Ejecutando SU53 para autorizaciones ................................................................................. 48
Página 2 de 49
0-Objetivo
Demostrar el funcionamiento de la herramienta para entender en que sitio del
sistema impactan los cambios que se desarrollan en los grupos de actividad asociados
a los usuarios.
1-Alcance
Este curso pretende llegar a la mínima granularidad en lo que respecta a la
seguridad de SAP R/3, pasando por las herramientas estándar de creación de grupos
de actividad, informes de auditoria de seguridad, tablas de seguridad y funcionales,
parámetros básicos de usuarios, creación de usuarios, definición de roles, etc.
Página 3 de 49
2-Introducción
En principio veamos algunos conceptos básicos que demos tener en cuenta
sobre la teoría de seguridad en SAP R/3. Estos conceptos nos serán de gran ayuda a
lo largo del curso, ya que con estos conceptos daremos la totalidad del curso.
2.1-Grupo de actividad
El grupo de actividad, también denominado erróneamente ROL, nos es más
que un sub.-conjunto de un rol. El mismo, posee una pequeña porción de las funciones
que desempeñara un recursos o puesto de trabajo (Varios recursos).
Página 4 de 49
2.2-Rol
Un Rol, es un conjunto de GAD´s agrupados para desempeñar una función
preestablecida. Esta función nace de un análisis funcional y de proceso que no
abarcaremos en este curso.
2.2-Rol compuesto
Un rol compuesto, es un conjunto de Roles o GAD para realizar una tarea
CROSS o abarcativa de varios puestos de trabajo. Los Roles compuestos son muy
difíciles de mantener dado que se crean con un propósito especifico y terminan siendo
alterados por el desconocimiento del proceso, o por directrices mal gestionadas.
Página 5 de 49
3-Interactuando con el sistema
En esta sección vamos a ver las distintas transacciones que involucran a la
seguridad en SAP R/3. Algunas de ellas son de impacto directo, mientras que otras
son de investigación en forma indirecta a la seguridad.
Página 6 de 49
16. USR21(Datos de usuario)
17. USOBT (Objetos chequeados por transacciones (Standard))
18. USOBT_C (Idem anterior (Copia))
3.1-PFCG
La transacción PFCG (Profile Generador), es utilizada generalmente para la
creación de GA, asignación de autorizaciones y eventualmente asignación de usuarios
al GA creado o modificado. También se utiliza para remover usuarios de los GA
indicados por personal jerárquico.
Dicha transacción, tiene muchas mas funcionalidades que serán vistas a los
largo de este punto.
Figura 1
Página 7 de 49
3.1.1 Nomenclatura de GA
Igualmente, no hay una regla de oro para la nomenclatura que utilicemos, para
este caso preciso, utilizaremos la denominación PRUEBA, cuya inicial no es “Y” ni “Z”.
En los casos prácticos (Servidores DEV – QUA - PRD) inexorablemente deberán
comenzar con las consonantes antes mencionadas.
Página 8 de 49
3.1.2 GA - Simple
Figura 2
Podemos observar que una vez creado el GA, pasamos a ver una serie de
solapas en donde podemos definir el Menu del usuario, las Autorizaciones para las
transacciones que posee en el menú y la asignación a el/los usuarios que harán uso
del GA creado. Veamos paso por paso como se construye un grupo de actividad.
Página 9 de 49
En la solapa “Descripción”, daremos detalle de que se trata el GA para futuros
cambios a los que pueda ser sometido el GA. A continuación, en la figura 3 y 4
veremos los dos primeros pasos descriptos anteriormente.
Figura 3
Como podemos ver, la descripción queda a la entrada al GA, vale decir, que de
ahora en mas cuando queramos modificar el GA, lo primero que nos aparecerá en
pantalla es la pantalla de la figura 3.
Página 10 de 49
Figura 4
Figura 5
Página 11 de 49
En los espacios en blanco, definiremos las transacciones que queremos que
formen parte del grupo de actividad, en este caso, solo hemos incorporado la
transacción SM37.
Ahora, vamos a incorporar una transacción desde el menú sap. Para ello,
Figura 6
Página 12 de 49
En esta pantalla podremos seleccionar las transacciones a partir del menú
SAP. Las mismas, están ordenadas en carpetas y bajo ese mismo esquema es como
las importara. Veamos un ejemplo en la figuras 7 y 8.
Figura 7
Página 13 de 49
Figura 8
Ahora veamos los tres métodos restantes que son de gran utilidad a la hora de
simplificar trabajo en el diseño de GA´s. Comúnmente, estos métodos no son
utilizados ya que los mantenimientos se realizan en forma manual. Lo ideal seria
mantener el esquema propuesto por SAP, ya que de esta manera, los GA se
convertirían en estándares.
Para comenzar con este método, debemos hacer un clic en el botón “from other
Página 14 de 49
Figura 9
Figura 10
Página 15 de 49
En la figura 10 observamos gran parte de los grupos de actividad creados en el
sistema. Ahí, seleccionamos el GA al que deseamos para heredar el menú y luego
Figura 11
Página 16 de 49
Una vez seleccionada la transacción que se adecuaba a nuestro GA, haremos
Figura 12
Página 17 de 49
Figura 13
Figura 14
Página 18 de 49
transacciones. Esto es exclusivamente así cuando seleccionamos toda el área como lo
haremos nosotros.
Por ultimo, resta ver como armar el menú de transacciones desde un archivo
de texto. Cabe destacar, que esta opción no tiene una frecuente utilización. El caso
donde se aplica con frecuencia esta modalidad, es en la recopilación de roles tanto en
reingenierías como puestas en marcha.
La aplicación que genera la salida del archivo TXT podría ser una macro en
Excel, o bien, un desarrollo propio.
FORMAT 1.2B
NODE 000030000100001FOLDER
TEXT 00003ENAdministration of role
NODE 000060000300003TRANSACTION PFCG
TEXT 00006ENProfile Generator
El archivo esta compuesto en este caso, por cinco (5) líneas. La primera de
ellas, cumple la función de cabecera del archivo. Algo que no nos aporta mucho, pero
que el sistema interpreta.
NODE 00003 00001 00001 FOLDER -Æ Esta linea marca los cuatro
parámetros que comentaba anteriormente.
Página 19 de 49
El primero de ellos (00003) es el ID con el que llamara a la etiqueta TEXT.
Luego, aparecen dos grupos de parámetros (00001 00001) donde nos muestra la hoja
o el nodo padre, en este caso: FORMAT 1.2B.
El cuarto parámetro denominado FOLDER, nos indica que el nodo será una
carpeta que contendrá una o un grupo de transacciones.
NODE 00006 00003 00003 TRANSACTION PFCG indica un nuevo nodo que
tiene como padre al 00003. Vale decir, que este nodo estará por debajo del nodo
FOLDER con una jerarquía menor. Pero este nodo es del tipo TRANSACTION, con lo
que deberemos indicarle un nuevo parámetro, que en nuestro caso es PFCG.
Figura 15
Página 20 de 49
Ahora, siguiendo en la transacción PFCG, veamos la solapa
AUTHORIZATIONS.
Figura 16
Como podemos apreciar, esta pantalla nos es mas que informativa. Tenemos
datos como:
Página 21 de 49
3.1.5 Niveles Organizacionales
El sistema viene con niveles organizacionales por defecto, que si bien nunca
son utilizados, para este curso nos servirán de ejemplo. En la siguiente pantalla,
veremos que los niveles organizacionales aun no fueron configurados. En este tipo de
situaciones, el sistema arroja la siguiente pantalla como ilustra la figura 17.
Figura 17
Página 22 de 49
Figura 18
Figura 19
Página 23 de 49
-Æ Significa que están faltando valores NO ORGANIZACIONALES, tales
como por ejemplo: ACTIVIDAD.
Figura 20
Observemos que los desplegados son los que están en AMARILLO y uno
VERDE. Cada uno de estos objetos esta faltante de datos, pero es como SAP
presenta de forma Standard. Si nos remitimos a la figura 19 podremos ver lo
antedicho.
Página 24 de 49
Figura 21
Figura 22
Página 25 de 49
Figura 23
Figura 24
Como vemos, el objeto agregado manualmente figura como tal, pero el grupo
de objetos figura igual. Esto es muy interesante ya que a primera vista podremos
observar si alguien hizo modificaciones manuales. Este status no es más que una
inserción de un objeto y el mismo, no ocasiona ningún problema. Lo unico que
debemos tener en cuenta, es que el objeto a insertar, no genere conflictos funcionales
o por contraposición de funciones.
Página 26 de 49
Figura 25
En la figura 25, vemos todos los grupos de objetos con sus datos cargados, lo
que restaría, es generar el GA. En la cabecera de la imagen, el Status del GA es
Figura 26
Figura 27
Página 27 de 49
3.1.6 Solapa USERS
Figura 28
Figura 29
Página 28 de 49
En la pantalla de la figura 29, seleccionaremos el usuario HROSSI, y luego
Figura 30
Página 29 de 49
Figura 31
Figura 32
Página 30 de 49
Figura 33
Para ello, seguiremos una serie de pasos que veremos en la figura 34.
Figura 34
Página 31 de 49
3.1.6.4 Datos básicos de usuario
Figura 35
Esta pantalla como podemos ver, solo es de modo informativa, sin poder
realizar modificaciones sobre ella.
Página 32 de 49
3.1.7 GA - Derivado
Como vimos anteriormente, los GAD solo contendrán las autorizaciones, vale
decir, que el GA padre, tendrá todas las transacciones que constituirán el GA
completo.
Figura 37
Página 33 de 49
1. El GAD se lo denomino PRUEBA_GRAL.
2. No tiene transacciones ni autorizaciones.
3. Aun no fue asignado a ningún usuario.
Veamos que en la figura 37, hay un campo denominado DERIVE FROM ROLE,
donde el mismo esta claramente marcado con un ovalo rojo. En este campo, debemos
indicar el GA padre que será el que sedera las transacciones. En la figura 38, vemos lo
que estamos describiendo.
Figura 38
En la figura 39, veamos que las transacciones son heredadas del GA padre.
Las misma no pueden ser eliminadas ni modificadas ya que el owner de las misma, es
el GA padre.
Página 34 de 49
Figura 39
Página 35 de 49
Figura 40
Figura 41
Página 36 de 49
Figura 42
Veamos un caso práctico, donde los GAD ya están creados y solo resta
configurar las autorizaciones. En las figuras 42 y 43 veremos los GAD con variante en
la ORGANIZACIÓN DE COMPRAS.
Página 37 de 49
Figura 42
Figura 43
Página 38 de 49
Figura 44
Como podemos ver, los semáforos verdes indican que los valores solicitados
fueron cargados, mientras que los que están en rojo indican que los niveles
organizacionales no fueron ingresados. Estos últimos, serán ingresados en los GAD.
Figura 45
Página 39 de 49
Como indica el círculo rojo de la figura 45, el botón hereda las autorizaciones
(SOLO LAS NO ORGANIZACIONALES) del GA al GAD. Ahora, veamos por ejemplo a
GAD PRUEBA_0001 en la figura 46.
Figura 46
Figura 47
Página 40 de 49
Observemos, que las autorizaciones organizacionales han completado la
totalidad de las configuraciones del GAD. Ahora, el GAD PRUEBA_0001 será limitado
a la organización de compras 0001, este es el concepto puro de una variante.
Figura 48
En la figura 48, lo único que podemos identificar, es que hay objetos nuevos en
el GAD, ahora, si observamos bien, hay objetos nuevos que figuran como
MAINTAINED. Esto, en condiciones normales, suena muy extraño, que por ser nuevo
no debería estar mantenido. Veamos la figura 49, donde este status se aclarara.
Página 41 de 49
Figura 49
Figura 50
Página 42 de 49
Veamos que los objetos inhabilitados son los que aparecen en la parte superior
en la jerarquía de objetos. Siempre debe ser de esta manera, ya que, cuando SAP
quiere insertar un nuevo objeto, chequea que el mismo este activo, de lo contrario
omite el agregado del mismo.
Figura 51
Página 43 de 49
3.1.7.4 Otras funciones
Este botón tiene como función mostrar todos los objetos del
sistema agrupados por su categoría. De aquí, seleccionaremos el objeto que
deseamos y luego será añadido al GA en modificación. Veamos un ejemplo en la
figura 52.
Figura 52
Los grupos de objetos están señalizados con el signo (+), mientras que cuando
los desplegamos quedan con el signo (-). Luego, vemos a los objetos con un
símbolo , esto quiere decir que el mismo no fue seleccionado aun. En el caso de que
lo seleccionemos, el mismo quedara con el símbolo , lo que indica que este objeto
será añadido al GA en modificación.
Página 44 de 49
Este botón tiene como función, el agregado de objetos de forma manual.
Para utilizar dicha función, debemos tener bien en claro, que objeto se debe agregar o
por medio de un reporte, que nos dará la información precisa del objeto a añadir.
Página 45 de 49
3.2-SU53
Lo primero que debemos hacer antes que nada, es generar un error para ver
como el sistema genera el reporte. Para ello, ejecutaremos una transacción que no
esta asignada al GAD que tiene el usuario. En la figura 53 veremos este
procedimiento.
Figura 53
Página 46 de 49
Como vemos en la figura 53, la transacción que se ejecuto y a la que no tuvo
acceso en la MK01. Este, seria el caso más sencillo dentro de los errores de
autorización. En la figura 54, veremos el reporte que genera la transacción SU53, para
ello, debemos ejecutar la misma inmediatamente que el sistema arroja el error. En
este caso, podemos ejecutarla directamente, pero en el caso de que estemos dentro
de una transacción y ocurra un error de autorización, a la misma se deberá anteponer
el código “/N” ó “/O”.
Figura 54
En la primer sección del reporte, nos indica que autorización esta haciendo
falta. En este caso, solicita para la clase de objeto AAAB, el objeto S_TCODE, el valor
MK01.
Página 47 de 49
En este caso, el valor MK01, no debe ser cargado a mano en el objeto ya que
en los mismos se contemplan variables. Si llegáramos a modificar manualmente este
campo, cada vez que agreguemos una transacción por menú, la misma, no será
cargada en el campo del objeto S_TCODE. Lo mismo sucede, si lo que estamos
modificando manualmente es un Nivel Organizacional. Mas adelante veremos este
caso.
Figura 55
Página 48 de 49
En la figura 56 veremos el reporte que genera la transacción SU53 respecto de
este error.
Figura 56
Este error, debe ser tratado desde los niveles organizacionales del GA
asignado al usuario, ya que el CODIGO de COMPAÑÍA esta sujeto a una variable
igual que el campo de la S_TCODE. En este caso, el objeto que esta solicitando el
valor 0001 es el F_BKPK_BUK, cuya actividad es correcta, pero el campo restante
solo tiene seteado AR01 faltando 0001.
Página 49 de 49