Tutorial: Integration des einmaligen Anmeldens (SSO) von Microsoft Entra in SAP Business ByDesign

In diesem Tutorial erfahren Sie, wie Sie SAP Business ByDesign in Microsoft Entra ID integrieren. Die Integration von SAP Business ByDesign mit Microsoft Entra ID ermöglicht Folgendes:

• Steuern Sie in Microsoft Entra ID, wer Zugriff auf SAP Business ByDesign hat.
• Ermöglichen Sie es Ihren Benutzer*innen, sich mit ihren Microsoft Entra-Konten automatisch bei SAP Business ByDesign anzumelden.
• Verwalten Sie Ihre Konten an einem zentralen Ort.

Voraussetzungen

Für die ersten Schritte benötigen Sie Folgendes:

• Ein Microsoft Entra-Abonnement. Falls Sie über kein Abonnement verfügen, können Sie ein kostenloses Azure-Konto verwenden.
• Ein SAP Business ByDesign-Abonnement, für das einmaliges Anmelden (Single Sign-On, SSO) aktiviert ist

Beschreibung des Szenarios

In diesem Tutorial konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra in einer Testumgebung.

• SAP Business ByDesign unterstützt SP-initiiertes einmaliges Anmelden.

Hinzufügen von SAP Business ByDesign aus dem Katalog

Zum Konfigurieren der Integration von SAP Business ByDesign in Microsoft Entra ID müssen Sie SAP Business ByDesign aus dem Katalog der Liste der verwalteten SaaS-Apps hinzufügen.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.
2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>Neue Anwendung.
3. Geben Sie im Abschnitt Aus Katalog hinzufügen den Suchbegriff SAP Business ByDesign in das Suchfeld ein.
4. Wählen Sie im Ergebnisbereich SAP Business ByDesign aus, und fügen Sie dann die App hinzu. Warten Sie einige Sekunden, während die App Ihrem Mandanten hinzugefügt wird.

Alternativ können Sie auch den Enterprise App Configuration Wizard verwenden. In diesem Assistenten können Sie Ihrem Mandanten eine Anwendung hinzufügen, der App Benutzer und Gruppen hinzufügen, Rollen zuweisen und die SSO-Konfiguration einrichten. Erfahren Sie mehr über Microsoft 365-Assistenten.

Konfigurieren und Testen des einmaligen Anmeldens (SSO) von Microsoft Entra

Konfigurieren und testen Sie das einmalige Anmelden von Microsoft Entra mit SAP Business ByDesign mithilfe eines Testbenutzers namens B. Simon. Damit SSO funktioniert, muss eine Linkbeziehung zwischen einem Microsoft Entra-Benutzer und dem entsprechenden Benutzer in SAP Business ByDesign eingerichtet werden.

Führen Sie die folgenden Schritte aus, um das einmalige Anmelden von Microsoft Entra mit SAP Business ByDesign zu konfigurieren und zu testen:

1. Konfigurieren des einmaligen Anmeldens von Microsoft Entra, um Ihren Benutzer*innen die Verwendung dieses Features zu ermöglichen.
   1. Erstellen Sie einen Microsoft Entra-Testbenutzer, um Microsoft Entra SSO mit dem Testbenutzerkonto B. Simon zu testen.
   2. Zuweisen der Microsoft Entra-Testbenutzerin, um B.Simon die Verwendung des einmaligen Anmeldens von Microsoft Entra zu ermöglichen.
2. Konfigurieren des einmaligen Anmeldens für SAP Business ByDesign, um die Einstellungen für einmaliges Anmelden auf der Anwendungsseite zu konfigurieren.
   1. Erstellen eines SAP Business ByDesign-Testbenutzers, um eine Entsprechung von Britta Simon in SAP Business ByDesign zu erhalten, die mit ihrer Darstellung in Microsoft Entra verknüpft ist.
3. Testen des einmaligen Anmeldens , um zu überprüfen, ob die Konfiguration funktioniert

Konfigurieren des einmaligen Anmeldens (SSO) von Microsoft Entra

Gehen Sie wie folgt vor, um das einmalige Anmelden von Microsoft Entra zu aktivieren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.

2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>SAP Business ByDesign>Einmaliges Anmelden.

3. Wählen Sie auf der Seite SSO-Methode auswählen die Methode SAML aus.

4. Klicken Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten auf das Stiftsymbol für Grundlegende SAML-Konfiguration, um die Einstellungen zu bearbeiten.

   

5. Führen Sie im Abschnitt Grundlegende SAML-Konfiguration die folgenden Schritte aus:

   a. Geben Sie im Textfeld Anmelde-URL eine URL im folgenden Format ein: https://<servername>.sapbydesign.com.

   b. Geben Sie im Textfeld Bezeichner (Entitäts-ID) eine URL im folgenden Format ein: https://<servername>.sapbydesign.com.

   Hinweis

   Hierbei handelt es sich um Beispielwerte. Ersetzen Sie diese Werte durch die tatsächliche Anmelde-URL und den tatsächlichen Bezeichner. Wenden Sie sich an das Clientsupportteam von SAP Business ByDesign, um diese Werte zu erhalten. Sie können sich auch die Muster im Abschnitt Grundlegende SAML-Konfiguration ansehen.

6. Die SAP Business ByDesign-Anwendung erwartet die SAML-Assertionen in einem bestimmten Format. Konfigurieren Sie die folgenden Ansprüche für diese Anwendung. Sie können die Werte dieser Attribute im Abschnitt Benutzerattribute auf der Anwendungsintegrationsseite verwalten. Klicken Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten auf die Schaltfläche Bearbeiten, um das Dialogfeld Benutzerattribute zu öffnen.

   

7. Klicken Sie auf das Symbol Bearbeiten, um den Wert für Namensbezeichner zu bearbeiten.

   

8. Führen Sie im Abschnitt Benutzeransprüche verwalten die folgenden Schritte aus:

   

   a. Wählen Sie als Quelle die Option Transformation aus.

   b. Wählen Sie in der Dropdownliste Transformation den Eintrag ExtractMailPrefix() aus.

   Hinweis

   Standardmäßig verwendet SAP Business ByDesign das NameID-Format, das für die Benutzerzuordnung nicht spezifiziert ist. Diese Anwendung ordnet die NameID von SAML-Assertionen für den SAP Business ByDesign-Benutzeralias zu. Darüber hinaus unterstützt diese Anwendung das Namens-ID-Format emailAddress. In diesem Fall ordnet die Anwendung die NameID der SAML-Assertion der SAP Business ByDesign-Benutzer-E-Mail-Adresse der SAP Business ByDesign-Mitarbeiterkontaktdaten zu. Weitere Informationen finden Sie unter Single Sign-On (SSO) mit SAP Business ByDesign.

9. Klicken Sie auf der Seite Einmaliges Anmelden (SSO) mit SAML einrichten im Abschnitt SAML-Signaturzertifikat auf Herunterladen, um den Ihren Anforderungen entsprechenden Verbundmetadaten-XML-Code aus den verfügbaren Optionen herunterzuladen und auf Ihrem Computer zu speichern.

   

10. Kopieren Sie im Abschnitt SAP Business ByDesign einrichten die entsprechenden URLs nach Bedarf für die Anwendung.

    

Erstellen einer Microsoft Entra-Testbenutzerin

In diesem Abschnitt wird eine Testbenutzerin namens B.Simon erstellt.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Benutzeradministrator an.
2. Browsen Sie zu Identität>Benutzer>Alle Benutzer.
3. Wählen Sie oben auf dem Bildschirm Neuer Benutzer>Neuen Benutzer erstellen aus.
4. Führen Sie unter den Eigenschaften für Benutzer die folgenden Schritte aus:
   1. Geben Sie im Feld Anzeigename den Namen B.Simon ein.
   2. Geben Sie im Feld Benutzerprinzipalname ein username@companydomain.extension. Beispiel: B.Simon@contoso.com.
   3. Aktivieren Sie das Kontrollkästchen Kennwort anzeigen, und notieren Sie sich den Wert aus dem Feld Kennwort.
   4. Klicken Sie auf Überprüfen + erstellen.
5. Klicken Sie auf Erstellen.

Zuweisen der Microsoft Entra-Testbenutzerin

In diesem Abschnitt wird B. Simon die Verwendung des einmaligen Anmeldens ermöglicht, indem Sie ihr Zugriff auf SAP Business ByDesign gewähren.

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Cloudanwendungsadministrator an.

2. Navigieren Sie zu Identität>Anwendungen>Unternehmensanwendungen>SAP Business ByDesign.

3. Navigieren Sie auf der Übersichtsseite der App zum Abschnitt Verwalten, und wählen Sie Benutzer und Gruppen aus.

4. Wählen Sie Benutzer hinzufügen und anschließend im Dialogfeld Zuweisung hinzufügen die Option Benutzer und Gruppen aus.

5. Wählen Sie im Dialogfeld Benutzer und Gruppen in der Liste „Benutzer“ den Eintrag B. Simon aus, und klicken Sie dann unten auf dem Bildschirm auf die Schaltfläche Auswählen.

6. Wenn die App unterschiedliche Rollen unterstützt, die den Benutzern zugewiesen werden sollen, können Sie die Rolle im Dropdownmenü Rolle auswählen auswählen. Wenn für diese App keine Rollen verfügbar sind, wird die Rolle „Standardzugriff“ ausgewählt.

7. Klicken Sie im Dialogfeld Zuweisung hinzufügen auf die Schaltfläche Zuweisen.

Konfigurieren des einmaligen Anmeldens für SAP Business ByDesign

1. Melden Sie sich beim SAP Business ByDesign-Portal mit Administratorrechten an.

2. Navigieren Sie zum allgemeinen Task für die Anwendungs- und Benutzerverwaltung, und klicken Sie auf die Registerkarte Identitätsanbieter.

3. Klicken Sie auf Neuer Identitätsanbieter und wählen Sie die XML-Metadatendatei aus, die Sie heruntergeladen haben. Nachdem Sie die Metadaten importiert haben, lädt die Anwendung automatisch das erforderliche Signaturzertifikat und das Verschlüsselungszertifikat hoch.

   

4. Um die Assertion Consumer Service-URL in der SAML-Anforderung hinzuzufügen, aktivieren Sie Include Assertion Consumer Service URL (Assertion Consumer Service-URL aufnehmen).

5. Klicken Sie auf Activate Single Sign-On(Einmaliges Anmelden aktivieren).

6. Speichern Sie die Änderungen.

7. Klicken Sie auf die Registerkarte My System (Mein System).

   

8. Fügen Sie in das Textfeld Microsoft Entra ID-Anmelde-URL den Wert für die Anmelde-URL ein, den Sie zuvor kopiert haben.

   

9. Geben Sie an, ob der Mitarbeiter manuell zwischen der Anmeldung mit Benutzer-ID und Kennwort oder SSO wählen kann. Aktivieren Sie dazu die Option Manual Identity Provider Selection (Manuelle Auswahl des Identitätsanbieters).

10. Geben Sie im Abschnitt SSO URL die URL an, die von Mitarbeitern für die Anmeldung bei der Anwendung verwendet werden soll. In der Dropdownliste „URL Sent to Employee“ (An Mitarbeiter gesendete URL) können Sie zwischen den folgenden Optionen wählen:

    Non-SSO URL

    Das System sendet nur die normale System-URL an den Mitarbeiter. Der Mitarbeiter kann sich nicht mit SSO anmelden und muss stattdessen ein Kennwort oder Zertifikat verwenden.

    SSO-URL

    Das System sendet nur die SSO-URL an den Mitarbeiter. Der Mitarbeiter kann sich mit SSO anmelden. Die Authentifizierungsanforderung wird über den IdP umgeleitet.

    Automatische Auswahl

    Ist SSO nicht aktiv, sendet das System die normale System-URL an den Mitarbeiter. Wenn SSO aktiv ist, überprüft das System, ob der Mitarbeiter über ein Kennwort verfügt. Ist ein Kennwort verfügbar, werden sowohl die SSO-URL als auch die URL ohne SSO an den Mitarbeiter gesendet. Besitzt der Mitarbeiter kein Kennwort, wird jedoch nur die SSO-URL an den Mitarbeiter gesendet.

11. Speichern Sie die Änderungen.

Erstellen eines SAP Business ByDesign-Testbenutzers

In diesem Abschnitt erstellen Sie in SAP Business ByDesign einen Benutzer mit dem Namen Britta Simon. Wenden Sie sich an das Clientsupportteam von SAP Business ByDesign, um die Benutzer in der SAP Business ByDesign-Plattform hinzuzufügen.

Hinweis

Stellen Sie sicher, dass der Wert für „NameID“ mit dem Feld „username“ der SAP Business ByDesign-Plattform übereinstimmt.

Testen des einmaligen Anmeldens

In diesem Abschnitt testen Sie die Microsoft Entra-Konfiguration für einmaliges Anmelden mit den folgenden Optionen.

1. Klicken Sie auf Diese Anwendung testen, die den Webbrowser an die SAP Business ByDesign Sign-On-URL umleitet, in der Sie den Anmeldeflow initiieren können.

2. Rufen Sie direkt die SAP Business ByDesign-Anmelde-URL auf, und initiieren Sie den Anmeldeflow.

3. Sie können „Meine Apps“ von Microsoft verwenden. Wenn Sie in „Meine Apps“ auf die Kachel „SAP Business ByDesign“ klicken, leitet der Webbrowser zur URL „SAP Business ByDesign Sign-on“ um. Weitere Informationen zu „Meine Apps“ finden Sie in dieser Einführung.

Nächste Schritte

• Nachdem Sie SAP Business ByDesign für SSO konfiguriert haben, können Sie die Sitzungssteuerung erzwingen, wodurch Exfiltration und Infiltration vertraulicher Daten Ihrer Organisation in Echtzeit verhindert wird. Die Sitzungssteuerung basiert auf bedingtem Zugriff. Erfahren Sie, wie Sie die Sitzungssteuerung mit Microsoft Defender for Cloud Apps erzwingen.