Integracja jednokrotnego logowania (SSO) Microsoft Entra z SAP HANA

Z tego artykułu dowiesz się, jak zintegrować platformę SAP HANA z usługą Microsoft Entra ID. Po zintegrowaniu platformy SAP HANA z usługą Microsoft Entra ID można wykonywać następujące czynności:

• Kontroluj w usłudze Microsoft Entra ID, kto ma dostęp do platformy SAP HANA.
• Zezwalaj swoim użytkownikom na automatyczne logowanie do platformy SAP HANA przy użyciu kont Microsoft Entra.
• Zarządzaj kontami w jednej centralnej lokalizacji.

Wymagania wstępne

W scenariuszu opisanym w tym artykule przyjęto założenie, że masz już następujące wymagania wstępne:

• Konto użytkownika Microsoft Entra z aktywną subskrypcją. Jeśli jeszcze go nie masz, możesz Utworzyć konto bezpłatnie.
• Jedna z następujących ról:
  • administrator aplikacji
  • administrator aplikacji w chmurze
  • Właściciel Aplikacji.

• Subskrypcja oprogramowania SAP HANA z włączonym logowaniem jednokrotnym
• Wystąpienie oprogramowania HANA działające na dowolnym publicznym IaaS, lokalnie, Azure VM lub w dużych wystąpieniach SAP na platformie Azure.
• Internetowy interfejs administracyjny XSA oraz HANA Studio zainstalowane na instancji HANA

Aby przetestować kroki opisane w tym artykule, wykonaj następujące zalecenia:

• Subskrypcja firmy Microsoft Entra. Jeśli nie masz środowiska Microsoft Entra, możesz uzyskać jedną miesiąc wersji próbnej tutaj
• Subskrypcja oprogramowania SAP HANA z włączoną obsługą logowania jednokrotnego

Opis scenariusza

W tym artykule skonfigurujesz i przetestujesz logowanie jednokrotne firmy Microsoft Entra w środowisku testowym.

• Platforma SAP HANA obsługuje logowanie SSO inicjowane przez dostawcę tożsamości.
• Platforma SAP HANA obsługuje aprowizację użytkowników typu just in time .

Dodawanie oprogramowania SAP HANA z galerii

Aby skonfigurować integrację oprogramowania SAP HANA z usługą Microsoft Entra ID, należy dodać platformę SAP HANA z galerii do listy zarządzanych aplikacji SaaS.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do Identity>Applications>Enterprise applications>New application.
3. W sekcji Dodawanie z galerii wpisz SAP HANA w polu wyszukiwania.
4. Wybierz pozycję SAP HANA z panelu wyników, a następnie dodaj aplikację. Poczekaj kilka sekund, aż aplikacja zostanie dodana do Twojej dzierżawy.

Alternatywnie można również użyć Kreatora konfiguracji aplikacji dla przedsiębiorstw. W tym kreatorze możesz dodać aplikację do twojej dzierżawy, dodać użytkowników/grupy do aplikacji, przypisać role, a także przejść przez konfigurację logowania jednokrotnego (Single Sign-On). Dowiedz się więcej o kreatorach platformy Microsoft 365.

Konfigurowanie i testowanie logowania jednokrotnego Microsoft Entra dla platformy SAP HANA

Skonfiguruj i przetestuj Microsoft Entra SSO z SAP HANA przy użyciu użytkownika testowego o nazwie B.Simon. Aby logowanie jednokrotne działało, należy ustanowić połączenie między użytkownikiem Microsoft Entra a odpowiednim użytkownikiem w SAP HANA.

Aby skonfigurować i przetestować Microsoft Entra SSO z SAP HANA, wykonaj następujące kroki:

1. Skonfiguruj Microsoft Entra SSO — aby umożliwić użytkownikom korzystanie z tej funkcji.
   1. Stwórz użytkownika testowego Microsoft Entra — aby przetestować jednokrotne logowanie Microsoft Entra z Brittą Simon.
   2. Przypisz testowego użytkownika Microsoft Entra — aby umożliwić Britta Simon korzystanie z jednokrotnego logowania Microsoft Entra.
2. Skonfiguruj jednokrotne logowanie dla SAP HANA - aby skonfigurować ustawienia logowania jednokrotnego po stronie aplikacji.
   1. Utwórz użytkownika testowego SAP HANA — aby mieć w SAP HANA odpowiednik Britty Simon połączony z reprezentacją użytkownika w usłudze Microsoft Entra.
3. Testowanie logowania jednokrotnego — aby sprawdzić, czy konfiguracja działa.

Konfigurowanie Microsoft Entra SSO

Wykonaj następujące kroki, aby włączyć Microsoft Entra SSO.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

2. Przejdź do Identity>Applications>Aplikacje Korporacyjne>SAP HANA>Logowanie jednokrotne.

3. Na stronie Wybieranie metody logowania jednokrotnego wybierz pozycję SAML.

4. Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML kliknij ikonę ołówka w sekcji Podstawowa konfiguracja SAML, aby edytować ustawienia.

   

5. W sekcji Podstawowa konfiguracja protokołu SAML wprowadź wartości następujących pól:

   W polu tekstowym Adres URL odpowiedzi wpisz adres URL, korzystając z następującego wzorca: https://<Customer-SAP-instance-url>/sap/hana/xs/saml/login.xscfunc

   Uwaga

   Wartość adresu URL odpowiedzi nie jest prawdziwa. Zaktualizuj ją, stosując rzeczywisty adres URL odpowiedzi. Skontaktuj się z zespołem pomocy technicznej klienta sap HANA, aby uzyskać wartości. Możesz również odwołać się do wzorców przedstawionych w sekcji Podstawowa konfiguracja protokołu SAML.

6. Aplikacja SAP HANA oczekuje asercji SAML w konkretnym formacie. Skonfiguruj następujące oświadczenia dla tej aplikacji. Wartościami tych atrybutów możesz zarządzać w sekcji Atrybuty użytkownika na stronie integracji aplikacji. Na stronie Konfigurowanie logowania jednokrotnego za pomocą protokołu SAML kliknij przycisk Edytuj, aby otworzyć okno dialogowe Atrybuty użytkownika.

   

7. W sekcji Atrybuty użytkownika okna dialogowego Atrybuty i oświadczenia użytkownika wykonaj następujące kroki:

   a. Kliknij ikonę Edytuj, aby otworzyć okno dialogowe Zarządzanie oświadczeniami użytkownika.

   

   

   b. Z listy Przekształcenie wybierz pozycję ExtractMailPrefix().

   c. Z listy Parametr 1 wybierz pozycję user.mail.

   d. Kliknij przycisk Zapisz.

8. Na stronie Konfigurowanie logowania jednokrotnego za pomocą protokołu SAML w sekcji Certyfikat podpisywania SAML kliknij link Pobierz, aby pobrać kod XML metadanych federacji z podanych opcji zgodnie z wymaganiami i zapisać go na komputerze.

   

Tworzenie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji utworzysz użytkownika testowego o nazwie B.Simon.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator użytkowników.
2. Przejdź do sekcji Tożsamość>Użytkownicy>Wszyscy użytkownicy.
3. Wybierz pozycję Nowy użytkownik Utwórz nowego użytkownika> w górnej części ekranu.
4. We właściwościach użytkownika wykonaj następujące kroki:
   1. W polu Nazwa wyświetlana wprowadź B.Simon.
   2. W polu Nazwa główna użytkownika, wprowadź username@companydomain.extension. Na przykład B.Simon@contoso.com.
   3. Zaznacz pole wyboru Pokaż hasło i zanotuj wartość wyświetlaną w polu Hasło.
   4. Wybierz Przejrzyj i utwórz.
5. Wybierz pozycję Utwórz.

Przypisywanie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji włączysz aplikację B.Simon, aby korzystać z logowania jednokrotnego, udzielając dostępu do platformy SAP HANA.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do Identity>Applications>Enterprise applications>SAP HANA.
3. Na stronie przeglądu aplikacji wybierz pozycję Użytkownicy i grupy.
4. Wybierz pozycję Dodaj użytkownika/grupę, a następnie wybierz pozycję Użytkownicy i grupy w oknie dialogowym Dodawanie przypisania .
   1. W oknie dialogowym Użytkownicy i grupy wybierz pozycję B.Simon z listy Użytkownicy, a następnie kliknij przycisk Wybierz w dolnej części ekranu.
   2. Jeśli oczekujesz, że rola zostanie przypisana do użytkowników, możesz wybrać ją z listy rozwijanej Wybierz rolę . Jeśli dla tej aplikacji nie skonfigurowano żadnej roli, zostanie wybrana rola "Dostęp domyślny".
   3. W oknie dialogowym Dodawanie przypisania kliknij przycisk Przypisz.

Konfiguracja SSO SAP HANA

1. Aby skonfigurować logowanie jednokrotne po stronie oprogramowania SAP HANA, zaloguj się do konsoli internetowej XSA oprogramowania HANA, przechodząc do odpowiedniego punktu końcowego HTTPS.

   Uwaga

   W przypadku konfiguracji domyślnej adres URL przekierowuje żądanie do ekranu logowania, który wymaga poświadczeń uwierzytelnionego użytkownika bazy danych SAP HANA. Logujący się użytkownik musi mieć uprawnienia do wykonywania zadań administracyjnych dotyczących technologii SAML.

2. W interfejsie internetowym XSA wybierz pozycję SAML Identity Provider (Dostawca tożsamości SAML). W tym miejscu wybierz przycisk + w dolnej części ekranu, aby wyświetlić okienko Add Identity Provider Info (Dodawanie informacji o dostawcy tożsamości). Następnie wykonaj następujące kroki:

   

   a. W okienku Dodaj informacje o dostawcy tożsamości, wklej zawartość kodu XML metadanych (który został pobrany) do pola Metadane.

   

   b. Jeśli zawartość dokumentu XML jest prawidłowa, proces analizy wyodrębni informacje wymagane dla pól Subject (Podmiot), Entity ID (Identyfikator jednostki) i Issuer (Wystawca) w obszarze ekranu General data (Dane ogólne). Wyodrębni także informacje niezbędne dla pól adresu URL w obszarze ekranu Destination (Cel), na przykład Base URL (Podstawowy adres URL) i SingleSignOn URL (Adres URL logowania jednokrotnego) (*).

   

   c. W polu Name (Nazwa) obszaru ekranu General Data (Dane ogólne) podaj nazwę dla nowego dostawcy tożsamości SAML logowania jednokrotnego.

   Uwaga

   Nazwa IDP SAML jest obowiązkowa i musi być unikatowa. Jest ona pokazywana na liście dostępnych dostawców tożsamości SAML wyświetlanej po wybraniu standardu SAML jako metody uwierzytelniania używanej przez aplikacje XS oprogramowania SAP HANA. Na przykład możesz to zrobić w obszarze ekranu Authentication (Uwierzytelnianie) narzędzia XS Artifact Administration.

3. Wybierz polecenie Save (Zapisz), aby zapisać szczegóły dostawcy tożsamości SAML i dodać nowego dostawcę tożsamości SAML do listy znanych dostawców tożsamości SAML.

   

4. W programie HANA Studio, w właściwościach systemu na karcie Konfiguracja filtruj ustawienia po ciągu saml. Następnie dostosuj parametr assertion_timeout, zmieniając wartość 10 sec na 120 sec.

   

Tworzenie użytkownika testowego oprogramowania SAP HANA

Aby umożliwić użytkownikom firmy Microsoft Entra logowanie się do platformy SAP HANA, należy aprowizować je w oprogramowaniu SAP HANA. Oprogramowanie SAP HANA obsługuje aprowizację just in time, która jest domyślnie włączona.

Jeśli potrzebujesz utworzyć użytkownika ręcznie, wykonaj następujące kroki:

1. Otwórz program SAP HANA Studio jako administrator, a następnie włącz logowanie jednokrotne SAML dla użytkownika DB-User.

2. Zaznacz niewidoczne pole wyboru po lewej stronie pozycji SAML, a następnie wybierz link Configure (Konfiguruj).

3. Wybierz pozycję Add (Dodaj), aby dodać dostawcę tożsamości SAML. Wybierz odpowiedni IdP SAML, a następnie kliknij OK.

4. Dodaj tożsamość zewnętrzną (w tym przypadku BrittaSimon). Następnie wybierz opcję OK.

   Uwaga

   Musisz wypełnić pole Zewnętrzna Tożsamość dla użytkownika, a ta wartość musi być zgodna z polem NameID w tokenie SAML z Microsoft Entra ID. Pole wyboru Any nie powinno być zaznaczone, ponieważ ta opcja wymaga, aby IDP przesłało właściwość SPProviderID w polu NameID, co obecnie nie jest obsługiwane przez Microsoft Entra ID. Aby uzyskać więcej informacji, zobacz Logowanie jednokrotne przy użyciu protokołu SAML 2.0.

5. Dla celów testowych przypisz wszystkie role XS do użytkownika.

   

   Napiwek

   Należy udzielić tylko uprawnień odpowiednich dla danego przypadku użycia.

6. Zapisz użytkownika.

Testowanie logowania jednokrotnego

W tej sekcji przetestujesz konfigurację logowania jednokrotnego do usługi Microsoft Entra z następującymi opcjami.

• Kliknij pozycję Przetestuj tę aplikację i powinno nastąpić automatyczne zalogowanie do platformy SAP HANA, dla której skonfigurowano logowanie jednokrotne

• Możesz użyć usługi Microsoft Moje aplikacje. Po kliknięciu kafelka SAP HANA w Moje aplikacje powinno nastąpić automatyczne zalogowanie do platformy SAP HANA, dla której skonfigurowano logowanie jednokrotne. Aby uzyskać więcej informacji na temat Moje aplikacje, zobacz Wprowadzenie do Moje aplikacje.

Powiązana zawartość

Aprowizowanie z usług SAP Cloud Identity Services do platformy SAP HANA to funkcja beta dostępna na platformie SAP Business Technology Platform. Aby uzyskać więcej informacji, zobacz jak skonfigurować aprowizowanie użytkowników z usługi Microsoft Entra ID do usług SAP Cloud Identity Services oraz jak skonfigurować aprowizowanie użytkowników z usług SAP Cloud Identity Services do bazy danych SAP HANA Database (beta).

Po skonfigurowaniu platformy SAP HANA na potrzeby logowania jednokrotnego można wymusić kontrolę sesji, co uniemożliwia eksfiltrację i infiltrację poufnych danych organizacji w czasie rzeczywistym. Kontrola sesji rozszerza się od dostępu warunkowego. Dowiedz się, jak wymusić kontrolę sesji za pomocą Microsoft Defender dla aplikacji chmurowych.