Samouczek: integracja logowania jednokrotnego (SSO) firmy Microsoft z platformą SAP HANA

Z tego samouczka dowiesz się, jak zintegrować platformę SAP HANA z usługą Microsoft Entra ID. Po zintegrowaniu platformy SAP HANA z usługą Microsoft Entra ID można wykonywać następujące czynności:

• Kontroluj w usłudze Microsoft Entra ID, kto ma dostęp do platformy SAP HANA.
• Zezwalaj swoim użytkownikom na automatyczne logowanie do platformy SAP HANA przy użyciu kont Microsoft Entra.
• Zarządzaj kontami w jednej centralnej lokalizacji.

Wymagania wstępne

Aby skonfigurować integrację firmy Microsoft Entra z platformą SAP HANA, potrzebne są następujące elementy:

• Subskrypcja firmy Microsoft Entra
• Subskrypcja oprogramowania SAP HANA z włączonym logowaniem jednokrotnym
• Wystąpienie oprogramowania HANA uruchomionego w ramach dowolnego dużego wystąpienia publicznego usługi IaaS, lokalnej, Azure VM lub SAP na platformie Azure
• Internetowy interfejs administracyjny XSA oraz program HANA Studio zainstalowane w wystąpieniu oprogramowania HANA

Uwaga

Nie zalecamy używania środowiska produkcyjnego oprogramowania SAP HANA do testowania kroków w tym samouczku. Integrację należy najpierw przetestować w środowisku programistycznym lub przejściowym aplikacji, a dopiero później użyć środowiska produkcyjnego.

Aby przetestować kroki w tym samouczku, musisz mieć dostęp do następujących elementów:

• Subskrypcja firmy Microsoft Entra. Jeśli nie masz środowiska Microsoft Entra, możesz uzyskać jedną miesiąc wersji próbnej tutaj
• Subskrypcja oprogramowania SAP HANA z włączoną obsługą logowania jednokrotnego

Opis scenariusza

W tym samouczku skonfigurujesz i przetestujesz logowanie jednokrotne firmy Microsoft Entra w środowisku testowym.

• Platforma SAP HANA obsługuje logowanie jednokrotne inicjowane przez dostawcę tożsamości.
• Platforma SAP HANA obsługuje aprowizację użytkowników typu just in time .

Uwaga

Identyfikator tej aplikacji jest stałą wartością ciągu, więc w jednej dzierżawie można skonfigurować tylko jedno wystąpienie.

Dodawanie oprogramowania SAP HANA z galerii

Aby skonfigurować integrację oprogramowania SAP HANA z usługą Microsoft Entra ID, należy dodać platformę SAP HANA z galerii do listy zarządzanych aplikacji SaaS.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do sekcji Identity Applications Enterprise applications>New application (Aplikacje dla przedsiębiorstw w aplikacji> dla>przedsiębiorstw).
3. W sekcji Dodawanie z galerii wpisz SAP HANA w polu wyszukiwania.
4. Wybierz pozycję SAP HANA z panelu wyników, a następnie dodaj aplikację. Zaczekaj kilka sekund na dodanie aplikacji do dzierżawy.

Alternatywnie można również użyć Kreatora konfiguracji aplikacji dla przedsiębiorstw. W tym kreatorze możesz dodać aplikację do dzierżawy, dodać użytkowników/grupy do aplikacji, przypisać role, a także przejść przez konfigurację logowania jednokrotnego. Dowiedz się więcej o kreatorach platformy Microsoft 365.

Konfigurowanie i testowanie logowania jednokrotnego microsoft Entra dla platformy SAP HANA

Skonfiguruj i przetestuj logowanie jednokrotne firmy Microsoft w oprogramowaniu SAP HANA przy użyciu użytkownika testowego O nazwie B.Simon. Aby logowanie jednokrotne działało, należy ustanowić relację połączenia między użytkownikiem firmy Microsoft Entra i powiązanym użytkownikiem platformy SAP HANA.

Aby skonfigurować i przetestować logowanie jednokrotne firmy Microsoft w oprogramowaniu SAP HANA, wykonaj następujące kroki:

1. Skonfiguruj logowanie jednokrotne firmy Microsoft Entra — aby umożliwić użytkownikom korzystanie z tej funkcji.
   1. Tworzenie użytkownika testowego aplikacji Microsoft Entra — aby przetestować logowanie jednokrotne firmy Microsoft Entra z użytkownikiem Britta Simon.
   2. Przypisz użytkownika testowego aplikacji Microsoft Entra — aby umożliwić użytkownikowi Britta Simon korzystanie z logowania jednokrotnego firmy Microsoft Entra.
2. Konfigurowanie logowania jednokrotnego platformy SAP HANA — aby skonfigurować ustawienia logowania jednokrotnego po stronie aplikacji.
   1. Tworzenie użytkownika testowego platformy SAP HANA — aby mieć w oprogramowaniu SAP HANA odpowiednik użytkownika Britta Simon połączony z reprezentacją użytkownika w usłudze Microsoft Entra.
3. Testowanie logowania jednokrotnego — aby sprawdzić, czy konfiguracja działa.

Konfigurowanie logowania jednokrotnego firmy Microsoft

Wykonaj następujące kroki, aby włączyć logowanie jednokrotne firmy Microsoft.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

2. Przejdź do sekcji Identity>Applications Enterprise Applications>>— logowanie jednokrotne SAP HANA.>

3. Na stronie Wybieranie metody logowania jednokrotnego wybierz pozycję SAML.

4. Na stronie Konfigurowanie logowania jednokrotnego przy użyciu protokołu SAML kliknij ikonę ołówka podstawową konfigurację protokołu SAML, aby edytować ustawienia.

   

5. W sekcji Podstawowa konfiguracja protokołu SAML wprowadź wartości następujących pól:

   W polu tekstowym Adres URL odpowiedzi wpisz adres URL, korzystając z następującego wzorca: https://<Customer-SAP-instance-url>/sap/hana/xs/saml/login.xscfunc

   Uwaga

   Wartość adresu URL odpowiedzi nie jest prawdziwa. Zaktualizuj ją, stosując rzeczywisty adres URL odpowiedzi. Skontaktuj się z zespołem pomocy technicznej klienta sap HANA, aby uzyskać wartości. Możesz również odwołać się do wzorców przedstawionych w sekcji Podstawowa konfiguracja protokołu SAML.

6. Aplikacja SAP HANA oczekuje asercji SAML w konkretnym formacie. Skonfiguruj następujące oświadczenia dla tej aplikacji. Wartościami tych atrybutów możesz zarządzać w sekcji Atrybuty użytkownika na stronie integracji aplikacji. Na stronie Konfigurowanie logowania jednokrotnego za pomocą protokołu SAML kliknij przycisk Edytuj, aby otworzyć okno dialogowe Atrybuty użytkownika.

   

7. W sekcji Atrybuty użytkownika okna dialogowego Atrybuty i oświadczenia użytkownika wykonaj następujące kroki:

   a. Kliknij ikonę Edytuj, aby otworzyć okno dialogowe Zarządzanie oświadczeniami użytkownika.

   

   

   b. Z listy Przekształcenie wybierz pozycję ExtractMailPrefix().

   c. Z listy Parametr 1 wybierz pozycję user.mail.

   d. Kliknij przycisk Zapisz.

8. Na stronie Konfigurowanie logowania jednokrotnego za pomocą protokołu SAML w sekcji Certyfikat podpisywania SAML kliknij link Pobierz, aby pobrać kod XML metadanych federacji z podanych opcji zgodnie z wymaganiami i zapisać go na komputerze.

   

Tworzenie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji utworzysz użytkownika testowego o nazwie B.Simon.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator użytkowników.
2. Przejdź do pozycji Tożsamość>Użytkownicy>Wszyscy użytkownicy.
3. Wybierz pozycję Nowy użytkownik Utwórz nowego użytkownika> w górnej części ekranu.
4. We właściwościach użytkownika wykonaj następujące kroki:
   1. W polu Nazwa wyświetlana wprowadź wartość B.Simon.
   2. W polu Główna nazwa użytkownika wprowadź username@companydomain.extensionwartość . Na przykład B.Simon@contoso.com.
   3. Zaznacz pole wyboru Pokaż hasło i zanotuj wartość wyświetlaną w polu Hasło.
   4. Wybierz pozycję Przejrzyj i utwórz.
5. Wybierz pozycję Utwórz.

Przypisywanie użytkownika testowego aplikacji Microsoft Entra

W tej sekcji włączysz aplikację B.Simon, aby korzystać z logowania jednokrotnego, udzielając dostępu do platformy SAP HANA.

1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.
2. Przejdź do witryny Identity>Applications Enterprise Applications>>SAP HANA.
3. Na stronie przeglądu aplikacji wybierz pozycję Użytkownicy i grupy.
4. Wybierz pozycję Dodaj użytkownika/grupę, a następnie wybierz pozycję Użytkownicy i grupy w oknie dialogowym Dodawanie przypisania .
   1. W oknie dialogowym Użytkownicy i grupy wybierz pozycję B.Simon z listy Użytkownicy, a następnie kliknij przycisk Wybierz w dolnej części ekranu.
   2. Jeśli oczekujesz, że rola zostanie przypisana do użytkowników, możesz wybrać ją z listy rozwijanej Wybierz rolę . Jeśli dla tej aplikacji nie skonfigurowano żadnej roli, zostanie wybrana rola "Dostęp domyślny".
   3. W oknie dialogowym Dodawanie przypisania kliknij przycisk Przypisz.

Konfigurowanie logowania jednokrotnego sap HANA

1. Aby skonfigurować logowanie jednokrotne po stronie oprogramowania SAP HANA, zaloguj się do konsoli internetowej XSA oprogramowania HANA, przechodząc do odpowiedniego punktu końcowego HTTPS.

   Uwaga

   W przypadku konfiguracji domyślnej adres URL przekierowuje żądanie do ekranu logowania, który wymaga poświadczeń uwierzytelnionego użytkownika bazy danych SAP HANA. Logujący się użytkownik musi mieć uprawnienia do wykonywania zadań administracyjnych dotyczących technologii SAML.

2. W interfejsie internetowym XSA wybierz pozycję SAML Identity Provider (Dostawca tożsamości SAML). W tym miejscu wybierz przycisk + w dolnej części ekranu, aby wyświetlić okienko Add Identity Provider Info (Dodawanie informacji o dostawcy tożsamości). Następnie wykonaj następujące kroki:

   

   a. W okienku Dodawanie informacji o dostawcy tożsamości wklej zawartość kodu XML metadanych (który został pobrany) w polu Metadane.

   

   b. Jeśli zawartość dokumentu XML jest prawidłowa, proces analizy wyodrębni informacje wymagane dla pól Subject (Podmiot), Entity ID (Identyfikator jednostki) i Issuer (Wystawca) w obszarze ekranu General data (Dane ogólne). Wyodrębni także informacje niezbędne dla pól adresu URL w obszarze ekranu Destination (Cel), na przykład Base URL (Podstawowy adres URL) i SingleSignOn URL (Adres URL logowania jednokrotnego) (*).

   

   c. W polu Name (Nazwa) obszaru ekranu General Data (Dane ogólne) podaj nazwę dla nowego dostawcy tożsamości SAML logowania jednokrotnego.

   Uwaga

   Nazwa dostawcy tożsamości SAML jest wymagana i musi być unikatowa. Jest ona pokazywana na liście dostępnych dostawców tożsamości SAML wyświetlanej po wybraniu standardu SAML jako metody uwierzytelniania używanej przez aplikacje XS oprogramowania SAP HANA. Na przykład możesz to zrobić w obszarze ekranu Authentication (Uwierzytelnianie) narzędzia XS Artifact Administration.

3. Wybierz polecenie Save (Zapisz), aby zapisać szczegóły dostawcy tożsamości SAML i dodać nowego dostawcę tożsamości SAML do listy znanych dostawców tożsamości SAML.

   

4. W programie Studio HANA na karcie Configuration (Konfiguracja) przefiltruj ustawienia za pomocą ciągu saml. Następnie dostosuj parametr assertion_timeout, zmieniając wartość 10 sec na 120 sec.

   

Tworzenie użytkownika testowego oprogramowania SAP HANA

Aby umożliwić użytkownikom firmy Microsoft Entra logowanie się do platformy SAP HANA, należy aprowizować je w oprogramowaniu SAP HANA. Oprogramowanie SAP HANA obsługuje aprowizację just in time, która jest domyślnie włączona.

Jeśli potrzebujesz utworzyć użytkownika ręcznie, wykonaj następujące kroki:

Uwaga

Opcjonalnie zmień uwierzytelnianie zewnętrzne używane przez użytkownika. Uwierzytelnianie można przeprowadzać za pomocą systemu zewnętrznego, takiego jak Kerberos. Aby uzyskać szczegółowe informacje o tożsamościach zewnętrznych, skontaktuj się z administratorem domeny.

1. Otwórz program SAP HANA Studio jako administrator, a następnie włącz logowanie jednokrotne SAML dla użytkownika DB-User.

2. Zaznacz niewidoczne pole wyboru po lewej stronie pozycji SAML, a następnie wybierz link Configure (Konfiguruj).

3. Wybierz pozycję Add (Dodaj), aby dodać dostawcę tożsamości SAML. Wybierz odpowiedniego dostawcę tożsamości SAML, a następnie wybierz pozycję OK.

4. Dodaj tożsamość zewnętrzną (w tym przypadku BrittaSimon). Następnie wybierz opcję OK.

   Uwaga

   Musisz wypełnić pole Tożsamość zewnętrzna dla użytkownika i ta wartość musi być zgodna z polem NameID w tokenie SAML z identyfikatora Entra firmy Microsoft. Pole wyboru Dowolne nie powinno być zaznaczone, ponieważ ta opcja wymaga od dostawcy tożsamości wysłania właściwości SPProviderID w polu NameID , która nie jest obecnie obsługiwana przez identyfikator Entra firmy Microsoft. Aby uzyskać więcej informacji, zobacz Logowanie jednokrotne przy użyciu protokołu SAML 2.0.

5. Dla celów testowych przypisz wszystkie role XS do użytkownika.

   

   Napiwek

   Należy udzielić tylko uprawnień odpowiednich dla danego przypadku użycia.

6. Zapisz użytkownika.

Testowanie logowania jednokrotnego

W tej sekcji przetestujesz konfigurację logowania jednokrotnego firmy Microsoft z następującymi opcjami.

• Kliknij pozycję Przetestuj tę aplikację i powinno nastąpić automatyczne zalogowanie do platformy SAP HANA, dla której skonfigurowano logowanie jednokrotne

• Możesz użyć usługi Microsoft Moje aplikacje. Po kliknięciu kafelka SAP HANA w Moje aplikacje powinno nastąpić automatyczne zalogowanie do platformy SAP HANA, dla której skonfigurowano logowanie jednokrotne. Aby uzyskać więcej informacji na temat Moje aplikacje, zobacz Wprowadzenie do Moje aplikacje.

Następne kroki

Aprowizowanie z usług SAP Cloud Identity Services do platformy SAP HANA to funkcja beta dostępna na platformie SAP Business Technology Platform. Aby uzyskać więcej informacji, zobacz jak skonfigurować aprowizowanie użytkowników z usługi Microsoft Entra ID do usług SAP Cloud Identity Services oraz jak skonfigurować aprowizowanie użytkowników z usług SAP Cloud Identity Services do bazy danych SAP HANA Database (beta).

Po skonfigurowaniu platformy SAP HANA na potrzeby logowania jednokrotnego można wymusić kontrolę sesji, co uniemożliwia eksfiltrację i infiltrację poufnych danych organizacji w czasie rzeczywistym. Kontrola sesji rozszerza się od dostępu warunkowego. Dowiedz się, jak wymusić kontrolę sesji za pomocą Microsoft Defender dla Chmury Apps.