Creación de roles estándar

¿Qué es la actualización de roles?

La actualización de roles es la herramienta central para generar autorizaciones y perfiles de autorización y asignarlos a usuarios.

En Actualización de roles, los administradores del sistema seleccionan transacciones, ramas de menú (desde el menú SAP) o menús de ámbito. Las funciones seleccionadas corresponden al campo de actividad de un usuario o grupo de usuarios. La actualización de roles ofrece dos vistas de actualización diferentes:

• Actualización básica (menús, perfiles y otros objetos)

• Vista completa (Gestión de organización y flujo de trabajo)

El árbol de menús configurado por los administradores del sistema para usuarios con un rol específico en la empresa corresponde al menú de usuario que aparece si un usuario (al que se ha asignado el rol correspondiente) entra al sistema SAP.

La actualización de roles proporciona automáticamente las autorizaciones correspondientes para las funciones seleccionadas. Algunas de estas autorizaciones tienen valores predeterminados. Los símbolos de semáforo indican qué valores debe actualizar.

Finalmente, la actualización de roles genera un perfil de autorización a partir de estos datos, que puede asignar mediante el rol.

¿Qué son los roles?

Un rol es un conjunto de funciones que describen un área de trabajo específica. El rol "Contable de deudores", por ejemplo, contiene transacciones, informes y/o enlaces de Internet/Intranet que un contable de deudores necesita para su trabajo diario. Mediante los roles, también puede asignar las autorizaciones que el usuario, en el ejemplo, el contable de deudores, necesita para acceder a las transacciones, informes, etc., incluidos en el menú.

Los roles se utilizan para implementar los menús con los que los usuarios pueden trabajar después de haber iniciado sesión en el sistema SAP. Puede utilizar roles predefinidos por SAP y roles que haya creado usted mismo. Puede encontrar los roles predefinidos utilizando la ayuda "F4" en Menú SAP: HerramientasAdministraciónActualización de usuariosAdministración de rolesRoles, o mediante el acceso vía menús Menú→Visualizar menú de roles, o seleccionando el botón "Otro menú".

Puede utilizar el report RSUSR070 para visualizar los modelos de rol suministrados por SAP.

Además de los usuarios de "inicio de sesión" normales, puede asignar tipos de objeto como funciones, unidades organizativas o posiciones a roles. Esto se conoce como integración mediante Gestión de organización.

Todos los pasos de trabajo que debe realizar para crear un rol, incluida la asignación del rol al usuario, se enumeran a continuación como un hilo.

Para llamar la actualización de roles, seleccione el "menú Crear" en la pantalla inicial de SAP Easy Access o seleccione el siguiente acceso vía menús: Herramientas→Administración→Actualización de usuarios→Administración de roles→Roles. El código de transacción correspondiente es "PFCG".

• - El primer paso es definir el rol e introducir una descripción breve de su contenido.
• - En el segundo paso, defina las actividades para el rol de usuario. El resultado de este proceso de definición es un rol (o varios roles) que recopila todas las actividades del rol, representadas por medio de transacciones, informes y direcciones web.
• - Al mismo tiempo, defina cómo debe ser el árbol de menús para el nuevo rol de usuario.
• - A partir de entonces, se crean las autorizaciones para las actividades seleccionadas y se generan perfiles. Este paso normalmente implica el mayor esfuerzo de mantenimiento administrativo.
• - Posteriormente, los usuarios se asignan a los roles.
• - Finalmente, en función de las parametrizaciones en PFCG, se realiza la comparación con los registros maestros de usuario de los usuarios que se acaban de asignar a los roles.

Mantenimiento básico le permiten:

• Acceder a todas las funciones para la actualización de roles

• Asigne los roles solo a usuarios de SAP

La Vista completa (Gestión de organización) muestra todas las asignaciones y los datos de un rol.

Esta vista es útil para los usuarios de Planificación y desarrollo de personal, especialmente para la gestión organizativa y el flujo de trabajo. La Vista completa le permite:

• Acceder a todas las funciones para la actualización de roles

• Modificar el período de validez del rol

• Vincular tareas con un rol

• Asignar el rol a objetos en el plan de organización y restringir las fechas de validez para cada asignación

Para que el proceso de creación de un rol sea más fácil de recordar, todos los pasos del proceso se muestran repetidamente en la lista de tareas "pendientes" de esta lección.

que los roles suministrados por SAP empiezan con el prefijo "SAP_" y se pueden utilizar como plantillas. Si desea crear sus propios roles de usuario, no utilice el área de nombres de SAP.

SAP no utiliza nombres diferentes para roles individuales y compuestos. Al crear o nombrar sus roles, debe considerar un concepto de nombre que diferencie entre roles individuales y compuestos. También es útil incluir una abreviatura de sistema en el concepto de denominación.

de los roles:

Mediante los roles, se definen las actividades que se asignan a un rol específico en la empresa. El administrador de autorizaciones selecciona las transacciones en la Actualización de roles que los usuarios con un rol específico en la empresa deben realizar regularmente. El administrador también selecciona cualquier dirección web si son útiles para el trabajo diario de un titular de rol (por ejemplo, un servicio de previsión meteorológica sería de interés para el personal de servicio externo). Además, los informes que se necesitan con frecuencia también se pueden añadir al menú de usuario.

Puede crear roles completamente nuevos si es necesario. En la mayoría de los casos, sin embargo, es más fácil utilizar los roles suministrados por SAP como modelo, copiarlos y luego modificarlos para satisfacer sus propios requisitos. Puede seleccionar el icono de copia en la pantalla inicial de la transacción PFCG.

Tiene dos opciones al copiar:

1. "Copiar selectivamente"

   Decida qué se copia.

2. "Copiar todo"

   La personalización y la asignación de usuario también se copian automáticamente.

Modificar las funciones:

Puede ajustar las transacciones enumeradas en el árbol de menús de un rol para satisfacer sus necesidades individuales:

• Puede borrar transacciones que no necesite y añadir nuevas (seleccionando el botón "Transacción" o copiando transacciones "de otros roles" o de otros "menús").

• Puede añadir informes (seleccionando el botón "Informe"). La actualización de roles genera un código de transacción (que se crea automáticamente o que usted mismo define) que se puede utilizar para iniciar el informe desde el menú. También puede incluir consultas, informes BW y transacciones con variantes de esta manera.

• Puede añadir sitios de Internet (seleccionando el botón "Otros"). De forma similar, puede añadir enlaces a documentos (como archivos de Microsoft Excel). Puede añadir enlaces a documentos del mismo modo que añade enlaces a páginas de Internet. En lugar del URL, introduzca la vía de acceso del archivo necesario.

  Consejo

  Al definir direcciones web o vías de acceso de fichero, puede especificar variables definidas en la transacción SM30_SSM_VAR. A continuación, debe introducir las variables en mayúsculas entre paréntesis angulares en la dirección web, como "<VARIABLE_NAME". Cuando se inicia la dirección web, la variable se sustituye automáticamente por el valor asociado.

Modificar los menús:

Puede crear, eliminar, mover o renombrar directorios. La operación es similar a la de los administradores de archivos gráficos.

Para distribuir el rol a un sistema de destino concreto, seleccione Distribuir. Tenga en cuenta que los datos de autorización para el rol no se distribuyen junto con el rol. Por lo tanto, debe añadir los datos de autorización para roles distribuidos en el sistema de destino. Existen otras opciones que debe tener en cuenta para esta distribución. Para obtener más información, consulte la ayuda F1.

También puede utilizar la transacción ROLE_CMP para comparar y ajustar los menús de roles en todos los sistemas.

Mostrar u ocultar aplicaciones con variantes

La creación de variantes de aplicación en la transacción SU24 (variantes de cliente) o SU22 (variantes estándar de SAP) le permite actualizar valores predeterminados de autorización que se adaptan a los requisitos especiales de determinadas soluciones sectoriales. Sustituya o amplíe los valores propuestos de autorización de la aplicación fuente de modo que no necesite modificar los valores estándar en la actualización de datos de autorización de roles si las variantes están diseñadas de forma óptima.

En la nueva pestaña Aplicaciones en la transacción PFCG, el administrador de roles define qué variantes de las aplicaciones de menú de un rol individual se tienen en cuenta en la actualización de datos de autorización. Sin embargo, se visualizan todas las aplicaciones en lugar de solo las aplicaciones con variantes. Después de la implementación de esta corrección, hay dos opciones de visualización disponibles.

Independientemente del modo de procesamiento (visualizar o modificar), hay disponible un botón en la etiqueta Aplicaciones a la izquierda encima de la lista de aplicaciones. Puede utilizarlo para mostrar u ocultar aplicaciones sin variantes. El texto de tabla visualizado describe el conjunto de aplicaciones que se espera al pulsar el botón. Las aplicaciones con variantes no se ven afectadas; siempre se visualizan. Si solo solicita ver aplicaciones con variantes, pero el menú de roles solo contiene aplicaciones sin variantes, la lista permanecerá vacía.

La última vista seleccionada se graba como parametrización de usuario personal en la base de datos y se reutiliza la próxima vez que se llame la transacción PFCG.

de las autorizaciones y los perfiles de autorización:

La actualización de roles genera automáticamente autorizaciones en función de las funciones de menú que ha seleccionado anteriormente. Sin embargo, la actualización de roles no puede proponer autorizaciones "de valores por defecto" que sean adecuadas para todos los miembros de la empresa. Por lo tanto, el administrador de autorizaciones normalmente debe procesar posteriormente las autorizaciones manualmente en cooperación con las áreas de especialización y la división de auditoría. Al seleccionar "Niveles de organización", puede actualizar simultáneamente una gran cantidad de campos de autorización. Esto simplifica enormemente el trabajo de procesamiento posterior manual.

En el ejemplo, la transacción SO01 (SAP Office) se ha añadido al rol "MY_ROLE" (que se ha creado copiando el modelo SAP). Como resultado, los semáforos amarillos aparecen en el árbol de menús en el ejemplo anterior. La autorización para el acceso a archivos es un buen ejemplo para mostrar por qué es necesario el procesamiento posterior manual. La actualización de roles no puede saber si los usuarios solo deben tener acceso de lectura o también acceso de escritura a los archivos.

la actualización de roles genera automáticamente las autorizaciones, también puede añadir autorizaciones manualmente a un perfil existente, lo que puede ser deseable en algunos casos. Para ello, seleccione el botón "Modificar datos de autorización" en la etiqueta "Autorizaciones" y, a continuación, "Editar→Insertar autorizaciones". Las opciones disponibles son las siguientes:

• Criterios de selección:

  Aquí puede encontrar autorizaciones para objetos agrupados por clase de objeto.

• Entrada manual:

  Si conoce el nombre del objeto de autorización para el que desea añadir autorizaciones manualmente, puede introducirlo aquí directamente.

• Autorización total:

  Esta opción rellena todas las autorizaciones con el valor "*".

• De perfil...:

  Aquí puede utilizar autorizaciones de perfiles individuales.

• Desde la plantilla...:

  Si desea crear un usuario con "casi todas" las autorizaciones, puede utilizar los modelos de autorización de SAP diseñados para este fin.

¿Por qué desea insertar un objeto "manualmente"?

¿Por qué no permitir la actualización de roles proponer este objeto?

¿Es razonable insertar un objeto manualmente?

A menudo escuchará declaraciones como:

• Se ha desarrollado como parte del estándar de cliente.

• Falta en las propuestas de SAP.

• El usuario final no está pensado para verlo solo en el menú de usuario (se aplica a S_TCODE).

Para obtener más información, consulte la transacción SU24 (Actualizar asignación de objetos de autorización) o la función del botón "Propuesta de autorización" en la etiqueta "Menú".

actualizado las autorizaciones de acuerdo con las políticas de su empresa, puede generar el perfil de autorización. Sólo entonces surtirán efecto las autorizaciones contenidas.

Durante la generación, la actualización de roles recopila todos los valores introducidos y los asigna a un perfil. Sin embargo, un perfil solo puede contener una determinada cantidad de autorizaciones. Por lo tanto, es posible que un rol tenga varios perfiles. Puede reconocer estos perfiles por el hecho de que tienen nombres idénticos para los primeros 10 caracteres y un número añadido que empieza por 1-99 (nota SAP 16466). Estos se conocen como perfiles secuenciales.

Esta división se realiza automáticamente y se decide mediante la actualización de roles. Depende de los campos utilizados y del número de entradas.

usuarios:

Debe asignar roles a usuarios para que los usuarios dispongan del árbol de menús para su rol cuando inicien sesión en el sistema.

Asigne roles a usuarios añadiendo los nombres correspondientes a la lista en la etiqueta Usuario de Actualización de roles. Los usuarios se pueden asignar a más de un rol. Tiene sentido definir roles para actividades específicas válidas para todos los roles. Un ejemplo es la actividad "Imprimir". Independientemente de su función, todos los usuarios (que tienen autorización para imprimir) se pueden asignar a un rol con la actividad "Imprimir". Esto elimina la necesidad de añadir la transacción "Imprimir" a un gran número de roles, lo que es una tarea engorrosa.

También es posible asignar roles a los usuarios durante un período de tiempo limitado. Esto tiene sentido, por ejemplo, para el cierre del ejercicio: las actividades de inventario físico solo se deben permitir durante un tiempo limitado. Para que una asignación dependiente del tiempo de un perfil de actividades a un registro maestro de usuario sea efectiva, debe realizar una comparación (véase la figura Comparar registro maestro de usuario).

Existen dos formas de hacerlo:

1. Como job de fondo: El report pfcg_time_dependence se ejecuta antes del inicio del día laborable, pero después de la medianoche, lo que significa que los perfiles de autorización en el registro maestro de usuario siempre tienen el estado más actualizado por la mañana.

2. Como alternativa, mediante la transacción PFUD (Reconciliación de datos maestros de usuario).

   Como administrador, debe ejecutar regularmente esta transacción como una verificación. De este modo, puede procesar manualmente los errores que se hayan producido y se hayan notificado durante el job de fondo. Seleccione el botón de selección Reconciliación completa para comparar todos los roles.

El último paso a realizar es el ajuste del maestro de usuarios de la transacción PFCG.

del maestro de usuario:

Para que los usuarios puedan ejecutar las transacciones contenidas en el árbol de menús de sus roles, su registro maestro de usuario debe contener el perfil para los roles correspondientes.

Puede iniciar el proceso de comparación de usuarios desde Actualización de roles (etiqueta "Usuario" y botón "Comparación de usuarios"). Como resultado de la comparación, el perfil generado por la actualización de roles se introduce en el registro maestro de usuario.

Si asigna roles a usuarios solo durante un período de tiempo limitado, debe realizar una comparación al principio y al final del período de validez. Le recomendamos que programe el job de fondo pfcg_time_dependence en estos casos.