通过

教程：Microsoft Entra 与 SAP HANA 的单一登录 (SSO) 集成

  • 项目

本教程介绍如何将 SAP HANA 与 Microsoft Entra ID 相集成。 将 SAP HANA 与 Microsoft Entra ID 集成后，可以：

  • 在 Microsoft Entra ID 中控制谁有权访问 SAP HANA。
  • 让用户能够使用其 Microsoft Entra 帐户自动登录到 SAP HANA。
  • 在中心位置管理帐户。

先决条件

若要配置 Microsoft Entra 与 SAP HANA 的集成，需要以下项目：

  • 一个 Microsoft Entra 订阅
  • 已启用单一登录 (SSO) 的 SAP HANA 订阅
  • 一个在任何公共 IaaS、本地、Azure VM 或 Azure 中的 SAP 大型实例上运行的 HANA 实例
  • XSA 管理 Web 接口以及安装在 HANA 实例上的 HANA Studio

注意

我们不建议使用 SAP HANA 的生产环境测试本教程中的步骤。 首先在应用程序的开发环境或过渡环境中测试集成，然后使用生产环境。

若要测试本教程中的步骤，请遵循以下建议：

  • 一个 Microsoft Entra 订阅。 如果没有 Microsoft Entra 环境，可以在此处获取一个月的试用版
  • 启用了 SAP HANA 单一登录的订阅

方案描述

在本教程中，你将在测试环境中配置并测试 Microsoft Entra 单一登录。

  • SAP HANA 支持 IDP 发起的 SSO。
  • SAP HANA 支持实时用户预配。

注意

此应用程序的标识符是一个固定字符串值，因此只能在一个租户中配置一个实例。

若要配置 SAP HANA 与 Microsoft Entra ID 的集成，需要从库中将 SAP HANA 添加到托管 SaaS 应用列表。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览至“标识”>“应用程序”>“企业应用程序”>“新建应用程序”。
  3. 在“从库中添加”部分的搜索框中，键入“SAP HANA” 。
  4. 从结果面板中选择“SAP HANA”，然后添加该应用。 在该应用添加到租户时等待几秒钟。

或者，也可以使用企业应用配置向导。 在此向导中，可以将应用程序添加到租户、将用户/组添加到应用、分配角色，以及逐步完成 SSO 配置。 详细了解 Microsoft 365 向导。

配置并测试 SAP HANA 的 Microsoft Entra SSO

使用名为 B.Simon 的测试用户配置并测试 SAP HANA 的 Microsoft Entra SSO。 若要使 SSO 正常工作，需要在 Microsoft Entra 用户与 SAP HANA 中的相关用户之间建立关联。

若要配置并测试 SAP HANA 的 Microsoft Entra SSO，请执行以下步骤：

  1. 配置 Microsoft Entra SSO - 使用户能够使用此功能。
    1. 创建 Microsoft Entra 测试用户 - 使用 Britta Simon 测试 Microsoft Entra 单一登录。
    2. 分配 Microsoft Entra 测试用户 - 使 Britta Simon 能够使用 Microsoft Entra 单一登录。
  2. 配置 SAP HANA SSO - 在应用程序端配置单一登录设置。
    1. 创建 SAP HANA 测试用户 - 在 SAP HANA 中创建 Britta Simon 的对应用户，将其链接到用户的 Microsoft Entra 表示形式。
  3. 测试 SSO - 验证配置是否正常工作。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。

  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“SAP HANA”>“单一登录”。

  3. 在“选择单一登录方法”页上选择“SAML” 。

  4. 在“设置 SAML 单一登录”页面上，单击“基本 SAML 配置”旁边的铅笔图标以编辑设置 。

    编辑基本 SAML 配置

  5. 在“基本 SAML 配置”部分，输入以下字段的值：

    在“回复 URL”文本框中，使用以下模式键入 URL：

    注意

    答复 URL 值不是真实值。 请使用实际回复 URL 更新此值。 请联系 SAP HANA 客户支持团队获取这些值。 还可参考“基本 SAML 配置”部分中显示的模式。

  6. SAP HANA 应用程序需要特定格式的 SAML 断言。 请为此应用程序配置以下声明。 可以在应用程序集成页的“用户属性”部分管理这些属性的值。 在“使用 SAML 设置单一登录” 页上，单击“编辑” 按钮以打开“用户属性” 对话框。

    显示“用户属性”部分的屏幕截图，其中已选择“编辑”图标。

  7. 在“用户属性和声明”对话框中的“用户属性”部分，执行以下步骤：

    a. 单击“编辑图标”，打开“管理用户声明”对话框 。

    显示“用户属性和声明”对话框的屏幕截图，其中选择了“编辑”图标。

    image

    b. 从“转换”列表中，选择“ExtractMailPrefix()” 。

    c. 从“参数 1”列表中，选择“user.mail” 。

    d. 单击“ 保存”。

  8. 在“使用 SAML 设置单一登录”页的“SAML 签名证书”部分，单击“下载”以根据要求下载从给定选项提供的“联合元数据 XML”并将其保存在计算机上 。

    证书下载链接

创建 Microsoft Entra 测试用户

在本部分，你将创建名为 B.Simon 的测试用户。

  1. 至少以用户管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览到“标识”>“用户”>“所有用户”。
  3. 选择屏幕顶部的“新建用户”>“创建新用户”。
  4. 在“用户”属性中执行以下步骤：
    1. 在“显示名称”字段中输入 B.Simon。
    2. 在“用户主体名称”字段中，输入 username@companydomain.extension。 例如 B.Simon@contoso.com。
    3. 选中“显示密码”复选框，然后记下“密码”框中显示的值。
    4. 选择“查看 + 创建”。
  5. 选择“创建”。

分配 Microsoft Entra 测试用户

在本部分，将通过授予 B.Simon 访问 SAP HANA 的权限，使其能够使用单一登录。

  1. 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
  2. 浏览到“标识”>“应用程序”>“企业应用程序”>“SAP HANA”。
  3. 在应用的概述页面中，选择“用户和组”。
  4. 选择“添加用户/组”，然后在“添加分配”对话框中选择“用户和组” 。
    1. 在“用户和组”对话框中，从“用户”列表中选择“B.Simon”，然后单击屏幕底部的“选择”按钮。
    2. 如果你希望将某角色分配给用户，可以从“选择角色”下拉列表中选择该角色。 如果尚未为此应用设置任何角色，你将看到选择了“默认访问权限”角色。
    3. 在“添加分配”对话框中，单击“分配”按钮。

配置 SAP HANA SSO

  1. 若要在 SAP HANA 端配置单一登录，请通过转到相应的 HTTPS 终结点登录到“HANA XSA Web 控制台”。

    注意

    在默认配置中，URL 将请求重定向到登录屏幕，这需要经过身份验证的 SAP HANA 数据库用户的凭据。 登录的用户必须有权执行 SAML 管理任务。

  2. 在 XSA Web 界面中，转到“SAML 标识提供者”。 选择屏幕底部的 + 按钮显示“添加标识提供者信息”窗格。 然后执行以下步骤：

    添加标识提供者

    a. 在“添加标识提供者信息”窗格中，将下载的元数据 XML 内容粘贴到“元数据”框中。

    屏幕截图显示了“添加标识提供者信息”窗格，其中突出显示了“元数据”和“名称”框。

    b. 如果 XML 文档的内容有效，则分析过程会提取“常规数据”屏幕区域中的“使用者、实体 ID 和颁发者”字段所需的信息。 此外，还会提取“目标”屏幕区域中的 URL 字段（例如，“基 URL”和“单一登录 URL (*)” 字段）所需的信息。

    添加标识提供者设置

    c. 在“常规数据”屏幕区域的“名称”框中，输入新 SAML SSO 标识提供者的名称。

    注意

    SAML IDP 的名称是必需的，且必须唯一。 将 SAML 选作 SAP HANA XS 应用程序要使用的身份验证方法时，该名称会显示在可用的 SAML IDP 列表中。 例如，可以在 XS 项目管理工具的“身份验证”屏幕区域中执行此操作。

  3. 选择“保存” 保存 SAML 标识提供者的详细信息并将新 SAML IDP 添加到已知 SAML IDP 列表。

    “保存”按钮

  4. 在 HANA Studio 的“配置”选项卡的系统属性中，按 saml 筛选设置。 然后将 assertion_timeout 从 10 秒调整为 120 秒。

    assertion_timeout 设置

创建 SAP HANA 测试用户

若要使 Microsoft Entra 用户能够登录到 SAP HANA，必须在 SAP HANA 中预配这些用户。 SAP HANA 支持默认启用的“实时预配” 。

如果需要手动创建用户，请执行以下步骤：

注意

可更改用户使用的外部身份验证。 他们可以使用 Kerberos 等外部系统进行身份验证。 有关外部标识的详细信息，请联系域管理员。

  1. 以管理员身份打开 SAP HANA Studio，并为 DB-User 启用 SAML SSO。

  2. 选中“SAML” 左侧隐藏的复选框，并选择“配置”链接。

  3. 选择“添加”以添加 SAML IDP。 选择相应的 SAML IDP，再选择“确定”。

  4. 添加“外部标识”（本例中为 BrittaSimon）。 然后选择“确定”。

    注意

    必须填充用户的“外部标识”字段，且该字段需要与 Microsoft Entra ID 的 SAML 令牌中的 NameID 字段匹配。 不应选中“任何”复选框，因为此选项要求 IDP 将 SPProviderID 属性发送到目前不受 Microsoft Entra ID 支持的 NameID 字段。 有关详细信息，请参阅使用 SAML 2.0 的单一登录。

  5. 针对测试，请将所有“XS” 角色分配给该用户。

    分配角色

    提示

    请只授予适合用例的权限。

  6. 保存用户。

测试 SSO

在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置。

  • 单击“测试此应用程序”，你应当会自动登录到为其设置了 SSO 的 SAP HANA

  • 你可使用 Microsoft 的“我的应用”。 单击“我的应用”中的 SAP HANA 磁贴时，应会自动登录到为其设置了 SSO 的 SAP HANA。 有关“我的应用”的详细信息，请参阅“我的应用”简介。

后续步骤

从 SAP 云标识服务预配到 SAP HANA 是 SAP Business Technology Platform 上提供的一项 beta 功能。 有关详细信息，请参阅如何配置从 Microsoft Entra ID 到 SAP 云标识服务的用户预配，以及如何配置从 SAP 云标识服务到 SAP HANA 数据库（Beta 版本）的用户预配。

配置 SAP HANA 的 SSO 后，可以强制实施会话控制，实时防止组织的敏感数据发生外泄和渗透。 会话控制从条件访问扩展而来。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。