Exchange Online-integratie voor e-mail uitgaand van SAP NetWeaver
Het verzenden van e-mailberichten vanuit uw SAP-back-end is een standaardfunctie die algemeen wordt gedistribueerd voor gebruiksvoorbeelden, zoals waarschuwingen voor batchtaken, wijzigingen in sap-werkstroomstatussen of factuurdistributie. Veel klanten hebben de installatie ingesteld met behulp van Exchange Server on-premises. Met een verschuiving naar Microsoft 365 en Exchange Online is een set cloudeigen benaderingen die van invloed zijn op die installatie.
In dit artikel wordt de installatie beschreven voor uitgaande e-mailcommunicatie van SAP-systemen op basis van NetWeaver naar Exchange Online. Dit geldt voor SAP ECC, S/4HANA, SAP RISE beheerd en elk ander op NetWeaver gebaseerd systeem.
Overzicht
Bestaande implementaties waren afhankelijk van SMTP-verificatie en een verhoogde vertrouwensrelatie, omdat de verouderde Exchange Server on-premises dicht bij het SAP-systeem zelf kon wonen en door klanten zelf werd beheerd. Met Exchange Online is er een verschuiving in verantwoordelijkheden en connectiviteitsparadigma. Microsoft levert Exchange Online als een Software-as-a-Service-aanbieding die is gebouwd om veilig en zo effectief mogelijk te worden gebruikt vanaf elke locatie ter wereld via het openbare internet.
Volg onze standaardhandleiding voor meer informatie over de algemene configuratie van een apparaat dat e-mail wil verzenden via Microsoft 365.
Belangrijk
SMTP-verificatie is uitgesloten van het basisverificatie-functieondergangsproces voor continue ondersteuning. Dit is echter een beveiligingsrisico voor uw activa. Bekijk het laatste bericht van ons Exchange Online-team.
Overwegingen bij het instellen
Gezien de zonsonderganguitzondering van SMTP-verificatie zijn er vier verschillende opties die worden ondersteund door SAP NetWeaver die we willen beschrijven. De eerste drie correleren met de scenario's die worden beschreven in de Exchange Online-documentatie.
- SMTP-verificatieclient verzenden
- SMTP Direct Verzenden
- Exchange Online SMTP-relayconnector gebruiken
- SMTP-relayserver gebruiken als intermediair voor Exchange Online
Ter beknoptheid verwijzen we naar het SAP Connect-beheerprogramma dat wordt gebruikt voor het instellen van de e-mailserver alleen door de transactiecode SCOT.
Optie 1: SMTP-verificatieclient verzenden
Kies deze optie als u e-mail wilt verzenden naar personen binnen en buiten uw organisatie.
Koppel SAP-toepassingen rechtstreeks aan Microsoft 365 met behulp van HET SMTP-verificatie-eindpunt smtp.office365.com in SCOT.
Er is een geldig e-mailadres vereist voor verificatie bij Microsoft 365. Het e-mailadres van het account dat wordt gebruikt voor verificatie met Microsoft 365, wordt weergegeven als de afzender van berichten uit de SAP-toepassing.
Vereisten voor SMTP-VERIFICATIE
- SMTP-verificatie: moet zijn ingeschakeld voor het postvak dat wordt gebruikt. SMTP-verificatie is uitgeschakeld voor organisaties die na januari 2020 zijn gemaakt, maar kunnen per postvak worden ingeschakeld. Zie voor meer informatie Geverifieerde client SMTP-verzending (SMTP AUTH) in- of uitschakelen Exchange Online.
- Verificatie: Gebruik basisverificatie (wat simpelweg een gebruikersnaam en wachtwoord is) om e-mail te verzenden vanuit de SAP-toepassing. Als SMTP-VERIFICATIE opzettelijk is uitgeschakeld voor de organisatie, moet u optie 2, 3 of 4 hieronder gebruiken.
- Postvak: U moet een gelicentieerd Microsoft 365-postvak hebben waaruit u e-mail wilt verzenden.
- Transport Layer Security (TLS): uw SAP-toepassing moet TLS-versie 1.2 en hoger kunnen gebruiken.
- Poort: Poort 587 (aanbevolen) of poort 25 is vereist en moet worden gedeblokkeerd in uw netwerk. Sommige netwerkfirewalls of internetproviders blokkeren poorten, met name poort 25, omdat dat de poort is die e-mailservers gebruiken om e-mail te verzenden.
- DNS: gebruik de DNS-naam smtp.office365.com. Gebruik geen IP-adres voor de Microsoft 365-server, omdat IP-adressen niet worden ondersteund.
SMTP-verificatie inschakelen voor postvakken in Exchange Online
Er zijn twee manieren om SMTP-VERIFICATIE in te schakelen in Exchange Online:
- Voor één account (per postvak) dat de tenantbrede instelling overschrijft of
- op organisatieniveau.
Notitie
als uw verificatiebeleid basisverificatie voor SMTP uitschakelt, kunnen clients het SMTP-verificatieprotocol niet gebruiken, zelfs niet als u de instellingen inschakelt die in dit artikel worden beschreven.
De instelling per postvak om SMTP-VERIFICATIE in te schakelen, is beschikbaar in het Microsoft 365-beheer Center of via Exchange Online PowerShell.
Open de Microsoft 365-beheercentrum en ga naar Gebruikers -> Actieve gebruikers.
Selecteer de gebruiker, volg de wizard en klik op E-mail.
Klik in de sectie E-mailapps op E-mail-apps beheren.
Controleer de geverifieerde SMTP-instelling (uitgeschakeld = uitgeschakeld, ingeschakeld = ingeschakeld)
Wijzigingen opslaan.
Hiermee schakelt u SMTP-verificatie in voor die afzonderlijke gebruiker in Exchange Online die u nodig hebt voor SCOT.
SMTP-verificatie configureren met SCOT
Ping of telnet smtp.office365.com op poort 587 vanaf uw SAP-toepassingsserver om ervoor te zorgen dat poorten open en toegankelijk zijn.
Zorg ervoor dat de PARAMETER SAP Internet Communication Manager (ICM) is ingesteld in uw exemplaarprofiel. Zie hieronder een voorbeeld:
parameter waarde icm/server-port-1 PROT=SMTP,PORT=25000,TIMEOUT=180,TLS=1 Start de ICM-service opnieuw vanuit SMICM-transactie en zorg ervoor dat de SMTP-service actief is.
Activeer de SAPConnect-service in SICF-transactie.
Ga naar SCOT en selecteer SMTP-knooppunt (dubbelklik) zoals hieronder wordt weergegeven om door te gaan met de configuratie:
Voeg smtp.office365.com e-mailhost toe met poort 587. Raadpleeg de Exchange Online-documenten ter referentie.
Klik op de knop Instellingen (naast het veld Beveiliging) om indien nodig TLS-instellingen en basisverificatiegegevens toe te voegen, zoals vermeld in punt 2. Zorg ervoor dat uw ICM-parameter dienovereenkomstig is ingesteld.
Zorg ervoor dat u een geldige e-mail-id en wachtwoord van Microsoft 365 gebruikt. Daarnaast moet het dezelfde gebruiker zijn die u hebt ingeschakeld voor SMTP-verificatie aan het begin. Deze e-mail-id wordt weergegeven als de afzender.
Teruggaan naar het vorige scherm: klik op de knop Instellen en schakel 'Internet' onder Ondersteunde adrestypen in. Als u de optie '*' met jokertekens gebruikt, kunt u zonder beperking e-mailberichten verzenden naar alle domeinen.
Volgende stap: standaarddomein instellen in SCOT.
Plan de taak om e-mail te verzenden naar de wachtrij voor inzending. Selecteer 'Verzendtaak' in SCOT:
Geef indien nodig een taaknaam en variant op.
Test het verzenden van e-mail met behulp van transactiecode SBWP en controleer de status met behulp van SOST-transactie.
Beperkingen van SMTP AUTH-clientinzending
- In SCOT worden aanmeldingsreferenties voor slechts één gebruiker opgeslagen, dus op deze manier kan slechts één Microsoft 365-postvak worden geconfigureerd. Voor het verzenden van e-mail via afzonderlijke SAP-gebruikers moet de machtiging Verzenden als worden geïmplementeerd die wordt aangeboden door Microsoft 365.
- Microsoft 365 legt enkele verzendlimieten op. Zie Limieten voor Exchange Online: limieten ontvangen en verzenden voor meer informatie.
Optie 2: SMTP Direct verzenden
Microsoft 365 biedt de mogelijkheid om direct verzenden vanaf de SAP-toepassingsserver te configureren. Deze optie is beperkt omdat het alleen toestaat dat e-mail wordt doorgestuurd naar adressen in uw eigen Microsoft 365-organisatie met een geldig e-mailadres, daarom niet kan worden gebruikt voor externe geadresseerden (bijvoorbeeld leveranciers of klanten).
Optie 3: Microsoft 365 SMTP-relayconnector gebruiken
Kies deze optie alleen wanneer:
- In uw Microsoft 365-omgeving is SMTP-VERIFICATIE uitgeschakeld.
- SMTP-client indienen (optie 1) is niet compatibel met uw bedrijfsbehoeften of met uw SAP-toepassing.
- U kunt direct verzenden (optie 2) niet gebruiken omdat u e-mail moet verzenden naar externe geadresseerden.
Met SMTP-relay kunnen e-mailberichten van Microsoft 365 namens u worden doorgestuurd met behulp van een connector die is geconfigureerd met uw openbare IP-adres of een TLS-certificaat. Vergeleken met de andere opties verhoogt de configuratie van de connector de complexiteit.
Vereisten voor SMTP-relay
- SAP-parameter: de geconfigureerde SAP-exemplaarparameter en de SMTP-service worden geactiveerd, zoals wordt uitgelegd in optie 1. Volg stap 2 tot en met 4 in de sectie SMTP-verificatie configureren met SCOT.
- E-mailadres: elk e-mailadres in een van uw door Microsoft 365 geverifieerde domeinen. Dit e-mailadres heeft geen postvak nodig. Bijvoorbeeld:
noreply@*yourdomain*.com. - Transport Layer Security (TLS): SAP-toepassing moet TLS-versie 1.2 en hoger kunnen gebruiken.
- Poort: poort 25 is vereist en moet worden gedeblokkeerd in uw netwerk. Sommige netwerkfirewalls of internetproviders blokkeren poorten, met name poort 25 vanwege het risico op misbruik voor spam.
- MX-record: uw Mail Exchanger-eindpunt (MX) voor bijvoorbeeld yourdomain.mail.protection.outlook.com. Meer informatie over de volgende sectie.
- Relaytoegang: een openbaar IP-adres of SSL-certificaat is vereist om te verifiëren bij de relayconnector. Om te voorkomen dat u directe toegang configureert, is het raadzaam om SNAT (Source Network Translation) te gebruiken, zoals beschreven in dit artikel. Gebruik SNAT (Source Network Address Translation) voor uitgaande verbindingen.
Stapsgewijze configuratie-instructies voor SMTP-relay in Microsoft 365
Verkrijg het openbare (statische) IP-adres van het eindpunt dat de e-mail verzendt met behulp van een van de methoden die in het bovenstaande artikel worden vermeld. Een dynamisch IP-adres wordt niet ondersteund of toegestaan. U kunt uw statische IP-adres delen met andere apparaten en gebruikers, maar het IP-adres niet delen met iemand buiten uw bedrijf. Noteer dit IP-adres voor later gebruik.
Notitie
Raadpleeg de bovenstaande informatie in Azure Portal met behulp van het overzicht van de virtuele machine van de SAP-toepassingsserver.
Meld u aan bij het Microsoft 365-beheer Center.
Ga naar Settings ->Domains, selecteer uw domein (bijvoorbeeld contoso.com) en zoek de Mail Exchanger-record (MX).
De Mail Exchanger-record (MX) bevat gegevens voor punten naar adres of waarde die er ongeveer als
yourdomain.mail.protection.outlook.comvolgt uitziet.Noteer de gegevens van punten naar adres of waarde voor de Mail Exchanger-record (MX), waarnaar we verwijzen als uw MX-eindpunt.
In Microsoft 365 selecteert u Beheerder en vervolgens Exchange om naar het nieuwe Exchange-beheercentrum te gaan.
De nieuwe EAC-portal (Exchange Admin Center) wordt geopend.
Ga in het Exchange-beheercentrum (EAC) naar E-mailstroom ->Connectors. Hieronder ziet u het scherm Connectors . Als u met het klassieke EAC werkt, volgt u stap 8, zoals beschreven in onze documenten.
Klik op Een connector toevoegen
Kies de e-mailserver van uw organisatie.
Klik op Volgende. Het scherm Connectornaam wordt weergegeven.
Geef een naam op voor de connector en klik op Volgende. Het scherm Verificatie verzonden e-mail wordt weergegeven.
Kies Door te controleren of het IP-adres van de verzendende server overeenkomt met een van deze IP-adressen die exclusief bij uw organisatie horen en voeg het IP-adres toe uit stap 1 van de stapsgewijze configuratie-instructies voor SMTP-relay in de sectie Microsoft 365 .
Controleer en klik op Connector maken.
Nu u klaar bent met het configureren van uw Microsoft 365-instellingen, gaat u naar de website van uw domeinregistrar om uw DNS-records bij te werken. Bewerk de SPF-record (Sender Policy Framework). Neem het IP-adres op dat u in stap 1 hebt genoteerd. De voltooide tekenreeks moet er ongeveer als
v=spf1 ip4:10.5.3.2 include:spf.protection.outlook.com \~allvolgt uitzien, waarbij 10.5.3.2 uw openbare IP-adres is. Als u deze stap overslaat, kunnen e-mailberichten worden gemarkeerd als spam en terechtkomen in de map Ongewenste e-mail van de geadresseerde.
Stappen in SAP-toepassingsserver
- Zorg ervoor dat de SAP ICM-parameter en SMTP-service is geactiveerd, zoals wordt uitgelegd in optie 1 (stap 2-4)
- Ga naar SCOT-transactie in SMTP-knooppunt, zoals wordt weergegeven in de vorige stappen van optie 1.
- Voeg de recordwaarde Mail Host toe als Mail Exchanger (MX) die is genoteerd in stap 4 (bijvoorbeeld yourdomain.mail.protection.outlook.com).
E-mailhost: yourdomain.mail.protection.outlook.com
Poort: 25
Klik op Instellingen naast het veld Beveiliging en zorg ervoor dat TLS indien mogelijk is ingeschakeld. Zorg er ook voor dat er geen eerdere aanmeldingsgegevens met betrekking tot SMTP-VERIFICATIE aanwezig zijn. Verwijder anders bestaande records met de bijbehorende knop eronder.
Test de configuratie met behulp van een test-e-mail van uw SAP-toepassing met transactie-SBWP en controleer de status in SOST-transactie.
Optie 4: SMTP-relayserver gebruiken als intermediair voor Exchange Online
Een tussenliggende relayserver kan een alternatief zijn voor een directe verbinding van de SAP-toepassingsserver met Microsoft 365. Deze server kan worden gebaseerd op elke e-mailserver die directe verificatie en relayservices toestaat.
Het voordeel van deze oplossing is dat deze kan worden geïmplementeerd in de hub van een virtueel hub-spoke-netwerk in uw Azure-omgeving of binnen een DMZ om uw SAP-toepassingshosts te beveiligen tegen directe toegang. Het maakt ook gecentraliseerde uitgaande routering mogelijk om al het e-mailverkeer onmiddellijk te offloaden naar een centrale relay bij het verzenden vanaf meerdere toepassingsservers.
De configuratiestappen zijn hetzelfde als voor de Microsoft 365 SMTP Relay-connector (optie 3) met de enige verschillen dat de SCOT-configuratie moet verwijzen naar de e-mailhost die de relay uitvoert in plaats van rechtstreeks naar Microsoft 365. Afhankelijk van het e-mailsysteem dat wordt gebruikt voor de relay, wordt het ook rechtstreeks geconfigureerd om verbinding te maken met Microsoft 365 met behulp van een van de ondersteunde methoden en een geldige gebruiker met een wachtwoord. Het wordt aanbevolen om een testmail rechtstreeks vanuit de relay te verzenden om ervoor te zorgen dat deze met Microsoft 365 kan communiceren voordat u de SAP SCOT-configuratie en het testen als normaal voltooit.
De voorbeeldarchitectuur die wordt weergegeven, illustreert meerdere SAP-toepassingsservers met één e-mailrelayhost in de hub. Afhankelijk van het volume van e-mail dat moet worden verzonden, is het raadzaam om een gedetailleerde handleiding voor de grootte te volgen die de leverancier van de e-mail moet gebruiken als relay. Hiervoor zijn mogelijk meerdere e-mailrelaishosts vereist die werken met een Azure Load Balancer.