Imagina que tu empresa es un edificio y SAP controla quién entra, a qué planta puede ir cada persona y qué puede hacer una vez dentro. Sin eso, cualquiera podría cambiar un sueldo, borrar un pedido o leer información confidencial.
Esta lección explica cómo funciona ese control sin necesidad de ser administrador. Y, sobre todo, qué cambia cuando quien actúa en SAP es un agente de IA.
Usuario, rol y autorización
Hay tres conceptos que conviene distinguir, porque todo lo demás se apoya en ellos:
Usuario
Tu identidad en el sistema. Cuando entras en SAP, todo lo que haces queda asociado a tu usuario.
Rol
Un conjunto de permisos pensado para un puesto: «Analista de ventas», «Contable de proveedores». A cada usuario se le asignan uno o varios.
Autorización
El permiso concreto y con límites: «ver facturas de la sociedad 1000», «crear pedidos de compra hasta 10.000 euros».
La regla de oro: separar funciones
La segregación de funciones dice que una misma persona no debe poder pedir, aprobar y pagar una compra. Si pudiera, un error o un fraude pasaría sin que nadie lo viera. Recorre cómo se reparte:
Un técnico crea la solicitud de pedido. Su rol le permite pedir, no aprobar.
La seguridad que no ves
Casi nunca piensas en ella, pero está en cada pantalla: solo ves las aplicaciones que tu rol permite, algunos campos se muestran u ocultan según quién los mire y cada cambio queda registrado: quién, cuándo y qué. Ese registro es la base para cumplir normativas y para investigar si algo raro ocurre.
Lo nuevo: cuando actúa un agente de IA
Aquí está el cambio de verdad. Un agente también necesita permisos para hacer cosas, y hay dos formas muy distintas de dárselos:
Usuario técnico
una cuenta propia del agente
- El agente entra con su propio usuario de servicio
- Si ese usuario tiene muchos permisos, el agente también
- En el registro aparece la cuenta del agente, no quién lo pidió
- Hay que acotar sus permisos con mucho cuidado
En tu nombre
propagación de identidad
- El agente actúa con **tu** identidad y **tus** permisos
- No puede ver ni hacer nada que tú no puedas
- El registro dice quién pidió qué
- Es como funciona Joule y lo que SAP exige en sus vías avaladas
Sea cual sea la vía, las reglas son las mismas que para una persona, y alguna más:
Mínimo · Menor privilegio
Solo los permisos que necesita para su tarea. Si solo lee, que no pueda escribir; si trabaja con una sociedad, que no vea las demás.
Un agente conectado con un usuario técnico que tiene permisos de administrador responde a una petición de un empleado sin permisos. ¿Cuál es el problema?
Para recordar
0 de 5 clarosMarca lo que ya tienes claro.
Próxima parada: tu carrera SAP en la era de la IA: los perfiles que se buscan.