Esercitazione: Integrazione dell'accesso Single Sign-On di Microsoft Entra con SAP HANA

In questa esercitazione si apprenderà come integrare SAP HANA con Microsoft Entra ID. L’integrazione di SAP HANA con Microsoft Entra ID permette di:

• Controllare in Microsoft Entra ID chi può accedere a SAP HANA.
• Abilitare gli utenti per l'accesso automatico a SAP HANA con gli account Microsoft Entra personali.
• Gestire gli account in un'unica posizione centrale.

Prerequisiti

Per configurare l'integrazione di Microsoft Entra con SAP HANA, sono necessari gli elementi seguenti:

• Una sottoscrizione di Microsoft Entra
• Sottoscrizione di SAP HANA abilitata per l'accesso Single Sign-On (SSO)
• Istanza di HANA in esecuzione in qualsiasi VM IaaS pubblica, locale o di Azure oppure in istanze di grandi dimensioni di SAP in Azure
• Interfaccia Web di amministrazione di XSA e HANA Studio installati nell'istanza di HANA

Nota

Non è consigliabile usare un ambiente di produzione SAP HANA per testare i passaggi di questa esercitazione. Testare prima l'integrazione nell'ambiente di sviluppo o di gestione temporanea dell'applicazione e successivamente usare l'ambiente di produzione.

A questo scopo, seguire queste indicazioni:

• Una sottoscrizione di Microsoft Entra. Se non si dispone di un ambiente Microsoft Entra, è possibile ottenere una versione di valutazione di un mese qui
• Sottoscrizione di SAP HANA abilitata per l'accesso Single Sign-On

Descrizione dello scenario

In questa esercitazione, viene configurato e testato l'accesso Single Sign-On di Microsoft Entra in un ambiente di testing.

• SAP HANA supporta l'accesso SSO avviato da IDP
• SAP HANA supporta il provisioning Just-In-Time degli utenti.

Nota

Dal momento che l'identificatore di questa applicazione è un valore stringa fisso, è possibile configurare una sola istanza in un solo tenant.

Aggiunta di SAP HANA dalla raccolta

Per configurare l'integrazione di SAP HANA in Microsoft Entra, aggiungere prima di tutto SAP HANA dalla raccolta all'elenco di app SaaS gestite.

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore applicazione cloud.
2. Passare a Identità>Applicazioni>Applicazioni aziendali>Nuova applicazione.
3. Nella sezione Aggiungi dalla raccolta digitare SAP HANA nella casella di ricerca.
4. Selezionare SAP HANA nel pannello dei risultati e quindi aggiungere l'app. Attendere alcuni secondi che l'app venga aggiunta al tenant.

In alternativa, è anche possibile usare Configurazione guidata app aziendali. In questa procedura guidata è possibile aggiungere un'applicazione al tenant, aggiungere utenti/gruppi all'app, assegnare ruoli, nonché esaminare la configurazione dell'accesso SSO. Altre informazioni sulle procedure guidate di Microsoft 365.

Configurare e testare l'accesso SSO di Microsoft Entra per SAP HANA

Configurare e testare l'accesso SSO di Microsoft Entra con SAP HANA usando un utente di test denominato B. Simon. Per il corretto funzionamento dell'accesso Single Sign-On è necessario stabilire una relazione di link tra un utente di Microsoft Entra e l'utente correlato in SAP HANA.

Per configurare e testare l'accesso SSO di Microsoft Entra con SAP HANA, seguire questa procedura:

1. Configurare l'accesso Single Sign-On di Microsoft Entra per consentire agli utenti di usare questa funzionalità.
   1. Creare un utente di test di Microsoft Entra: per testare l'accesso Single Sign-On di Microsoft Entra con Britta Simon.
   2. Assegnare l'utente di test di Microsoft Entra: per abilitare Britta Simon all'uso dell'accesso Single Sign-On di Microsoft Entra.
2. Configurare l'accesso Single Sign-On di SAP HANA: per configurare le impostazioni dell'accesso Single Sign-On sul lato applicazione.
   1. Creare un utente di test di SAP HANA: per avere una controparte di Britta Simon in SAP HANA collegata alla rappresentazione dell'utente in Microsoft Entra.
3. Testare l'accesso Single Sign-On: per verificare se la configurazione funziona.

Configurare l'accesso Single Sign-On di Microsoft Entra

Seguire questa procedura per abilitare l'accesso Single Sign-On di Microsoft Entra.

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore applicazione cloud.

2. Andare a Identità>Applicazioni>Applicazioni aziendali>SAP HANA>Single Sign-On.

3. Nella pagina Selezionare un metodo di accesso Single Sign-On selezionare SAML.

4. Nella pagina Configura l'accesso Single Sign-On con SAML fare clic sull'icona della matita per modificare le impostazioni di Configurazione SAML di base.

   

5. Nella sezione Configurazione SAML di base immettere i valori per i campi seguenti:

   Nella casella di testo URL di risposta digitare un URL nel formato seguente: https://<Customer-SAP-instance-url>/sap/hana/xs/saml/login.xscfunc

   Nota

   Il valore di URL di risposta non è reale. Aggiornare il valore con l'URL di risposta effettivo. Per ottenere questi valori, contattare il team di supporto clienti di SAP HANA. È anche possibile fare riferimento ai criteri di cui alla sezione Configurazione SAML di base.

6. L'applicazione SAP HANA prevede un formato specifico per le asserzioni SAML. Configurare le attestazioni seguenti per questa applicazione. È possibile gestire i valori di questi attributi dalla sezione Attributi utente nella pagina di integrazione dell'applicazione. Nella pagina Configura l'accesso Single Sign-On con SAML fare clic sul pulsante Modifica per aprire la finestra di dialogo Attributi utente.

   

7. Nella sezione Attributi utente della finestra di dialogo Attributi utente e attestazioni eseguire questa procedura:

   a. Fare clic sull'icona Modifica per aprire la finestra di dialogo Gestisci attestazioni utente.

   

   

   b. Nell'elenco Trasformazione selezionare ExtractMailPrefix().

   c. Nell'elenco Parametro 1 selezionare user.mail.

   d. Fare clic su Salva.

8. Nella sezione Certificato di firma SAML della pagina Configura l'accesso Single Sign-On con SAML fare clic su Scarica per scaricare il file XML dei metadati della federazione definito dalle opzioni specificate in base ai propri requisiti e salvarlo nel computer in uso.

   

Creare un utente di test di Microsoft Entra

In questa sezione verrà creato un utente di test di nome B.Simon.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra almeno come Amministratore utenti.
2. Passare a Identità>Utenti>Tutti gli utenti.
3. Selezionare Nuovo utente>Crea nuovo utente nella parte superiore della schermata.
4. In Proprietà utente seguire questa procedura:
   1. Nel campo Nome visualizzato inserire B.Simon.
   2. Nel campo Nome entità utente, immettere username@companydomain.extension. Ad esempio: B.Simon@contoso.com.
   3. Selezionare la casella di controllo Mostra password e quindi prendere nota del valore visualizzato nella casella Password.
   4. Selezionare Rivedi e crea.
5. Seleziona Crea.

Assegnare l'utente di test di Microsoft Entra

In questa sezione si abiliterà B. Simon all'uso dell'accesso Single Sign-On concedendole l'accesso a SAP HANA.

1. Accedere all'Interfaccia di amministrazione di Microsoft Entra almeno come Amministratore applicazione cloud.
2. Passare a Applicazioni>Identità>Applicazioni aziendali>SAP HANA.
3. Nella pagina della panoramica dell'app selezionare Utenti e gruppi.
4. Selezionare Aggiungi utente/gruppo, quindi Utenti e gruppi nella finestra di dialogo Aggiungi assegnazione.
   1. Nella finestra di dialogo Utenti e gruppi selezionare B.Simon dall'elenco degli utenti e quindi fare clic sul pulsante Seleziona nella parte inferiore della schermata.
   2. Se si prevede che agli utenti venga assegnato un ruolo, è possibile selezionarlo nell'elenco a discesa Selezionare un ruolo. Se per questa app non è stato configurato alcun ruolo, il ruolo selezionato è "Accesso predefinito".
   3. Nella finestra di dialogo Aggiungi assegnazione fare clic sul pulsante Assegna.

Configurare l'accesso SSO per SAP HANA

1. Per configurare l'accesso Single Sign-On sul lato SAP HANA, accedere alla console Web HANA XSA passando al relativo endpoint HTTPS.

   Nota

   Nella configurazione predefinita l'URL reindirizza la richiesta a una schermata di accesso, che richiede le credenziali di un utente del database SAP HANA autenticato. L'utente che effettua l'accesso deve disporre delle autorizzazioni per eseguire attività di amministrazione di SAML.

2. Nell'interfaccia Web XSA passare a SAML Identity Provider (Provider di identità SAML). A questo punto selezionare il pulsante + nella parte inferiore della schermata per visualizzare il riquadro Aggiungi informazioni provider di identità. Seguire quindi questa procedura:

   

   a. Nel riquadro Aggiungi informazioni provider di identità, incollare i contenuti del file XML metadati scaricato dal portale di Azure nella casella Metadati.

   

   b. Se il contenuto del documento XML è valido, il processo di analisi estrae le informazioni necessarie per i campi Oggetto, ID entità e Autorità di certificazione nell'area dello schermo Dati generali. Vengono estratte anche le informazioni necessarie per i campi relativi agli URL nell'area dello schermo Destinazione, ad esempio i campi URL di base e URL Single Sign-On.

   

   c. Nella casella Nome dell'area dello schermo Dati generali immettere un nome per il nuovo provider di identità SSO SAML.

   Nota

   Il nome del provider di identità SAML è obbligatorio e deve essere univoco. Viene visualizzato nell'elenco di provider di identità SAML disponibili che viene visualizzato quando si seleziona SAML come metodo di autenticazione per le applicazioni SAP HANA XS da usare. Ad esempio, è possibile eseguire questa procedura nell'area dello schermo Autenticazione dello strumento di amministrazione di elementi XS.

3. Selezionare Salva per salvare i dettagli del provider di identità SAML e aggiungere il nuovo provider di identità SAML all'elenco di provider noti.

   

4. In HANA Studio, nella scheda Configurazione, filtrare le impostazioni all'interno delle proprietà del sistema in base a saml. Modificare quindi il valore del parametro assertion_timeout da 10 sec a 120 sec.

   

Creare un utente di test di SAP HANA

Per consentire agli utenti di Microsoft Entra di accedere a SAP HANA, è necessario effettuarne il provisioning in SAP HANA. SAP HANA supporta il provisioning JIT, che è abilitato per impostazione predefinita.

Per creare un utente manualmente, seguire questa procedura:

Nota

È possibile modificare l'autenticazione esterna usata dagli utenti. Questi possono autenticarsi con un sistema esterno, ad esempio Kerberos. Per informazioni dettagliate sulle identità esterne, contattare l'amministratore di dominio.

1. Aprire SAP HANA Studio come amministratore e quindi abilitare DB-User per l'accesso SSO SAML.

2. Selezionare la casella di controllo invisibile a sinistra di SAML e quindi selezionare il collegamento Configura.

3. Selezionare Aggiungi per aggiungere il provider di identità SAML. Selezionare il provider di identità SAML appropriato e quindi OK.

4. Aggiungere l’Identità esterna (in questo caso BrittaSimon). Quindi, selezionare OK.

   Nota

   È necessario popolare il campo Identità esterna per l'utente e tale valore deve corrispondere al campo NameID nel token SAML da Microsoft Entra ID. La casella di controllo Qualsiasi non deve essere selezionata, perché questa opzione richiede all'IDP di inviare una proprietà SPProviderID nel campo NameID, attualmente non supportata da Microsoft Entra ID. Per altre informazioni, vedere Single Sign-On con SAML 2.0.

5. A scopo di test, assegnare tutti i ruoli XS all'utente.

   

   Suggerimento

   È consigliabile assegnare solo le autorizzazioni appropriate per i casi d'uso.

6. Salvare l'utente.

Testare l'accesso SSO

In questa sezione viene testata la configurazione dell'accesso Single Sign-On di Microsoft Entra con le opzioni seguenti.

• Dopo aver fatto clic su Testa questa applicazione, si dovrebbe accedere automaticamente a SAP HANA per cui si è configurato l'accesso SSO

• È possibile usare App personali Microsoft. Quando si fa clic sul riquadro di SAP HANA in App personali, si dovrebbe accedere automaticamente all'istanza di SAP HANA per cui si è configurato l'accesso SSO. Per altre informazioni su App personali, vedere l'introduzione ad App personali.

Passaggi successivi

Il provisioning dal servizio di gestione delle identità SAP Cloud a SAP HANA è una funzionalità beta disponibile in SAP Business Technology Platform. Per altre informazioni, vedere come configurare il provisioning degli utenti da Microsoft Entra ID al servizio di gestione delle identità SAP Cloud e come configurare il provisioning degli utenti dal servizio di gestione delle identità SAP Cloud al database SAP HANA (Beta).

Dopo aver configurato SAP HANA per SSO, è possibile applicare il controllo sessione che impedisce l'esfiltrazione e l'infiltrazione dei dati sensibili dell'organizzazione in tempo reale. Il controllo sessione costituisce un'estensione dell'accesso condizionale. Informazioni su come applicare il controllo della sessione con Microsoft Defender for Cloud Apps.