Esercitazione: Integrazione di Microsoft Entra con SAP HANA

Questa esercitazione descrive come integrare SAP HANA con Microsoft Entra ID. Integrando SAP HANA con Microsoft Entra ID, è possibile:

• Controllare in Microsoft Entra ID chi può accedere a SAP HANA.
• Abilitare gli utenti per l'accesso automatico a SAP HANA con gli account Microsoft Entra personali.
• Gestire gli account in un'unica posizione centrale.

Prerequisiti

Per configurare l'integrazione di Microsoft Entra con SAP HANA, sono necessari gli elementi seguenti:

• Una sottoscrizione di Microsoft Entra
• Sottoscrizione di SAP HANA abilitata per l'accesso Single Sign-On (SSO)
• Istanza di HANA in esecuzione in qualsiasi VM IaaS pubblica, locale o di Azure oppure in istanze di grandi dimensioni di SAP in Azure
• Interfaccia Web di amministrazione di XSA e HANA Studio installati nell'istanza di HANA

Nota

Non è consigliabile usare un ambiente di produzione SAP HANA per testare i passaggi di questa esercitazione. Testare prima l'integrazione nell'ambiente di sviluppo o di gestione temporanea dell'applicazione e successivamente usare l'ambiente di produzione.

A questo scopo, seguire queste indicazioni:

• Una sottoscrizione di Microsoft Entra. Se non si ha un ambiente Microsoft Entra, è possibile ottenere una versione di valutazione di un mese qui
• Sottoscrizione di SAP HANA abilitata per l'accesso Single Sign-On

Descrizione dello scenario

In questa esercitazione viene configurato e testato l'accesso Single Sign-On di Microsoft Entra in un ambiente di test.

• SAP HANA supporta l'accesso SSO avviato da IDP .
• SAP HANA supporta il provisioning utenti JIT .

Nota

Dal momento che l'identificatore di questa applicazione è un valore stringa fisso, è possibile configurare una sola istanza in un solo tenant.

Aggiunta di SAP HANA dalla raccolta

Per configurare l'integrazione di SAP HANA in Microsoft Entra ID, è necessario aggiungere SAP HANA dalla raccolta all'elenco di app SaaS gestite.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
2. Passare a Applicazioni di identità>Applicazioni>aziendali>Nuova applicazione.
3. Nella sezione Aggiungi dalla raccolta digitare SAP HANA nella casella di ricerca.
4. Selezionare SAP HANA nel pannello dei risultati e quindi aggiungere l'app. Attendere alcuni secondi che l'app venga aggiunta al tenant.

In alternativa, è anche possibile usare l'Enterprise Configurazione app Wizard. In questa procedura guidata è possibile aggiungere un'applicazione al tenant, aggiungere utenti/gruppi all'app, assegnare ruoli, nonché esaminare la configurazione dell'accesso SSO. Altre informazioni sulle procedure guidate di Microsoft 365.

Configurare e testare l'accesso Single Sign-On di Microsoft Entra per SAP HANA

Configurare e testare l'accesso SSO di Microsoft Entra con SAP HANA usando un utente di test di nome B.Simon. Per consentire il funzionamento dell'accesso Single Sign-On, è necessario stabilire una relazione di collegamento tra un utente di Microsoft Entra e l'utente correlato in SAP HANA.

Per configurare e testare l'accesso SSO di Microsoft Entra con SAP HANA, seguire questa procedura:

1. Configurare l'accesso Single Sign-On di Microsoft Entra: per consentire agli utenti di usare questa funzionalità.
   1. Creare un utente di test di Microsoft Entra: per testare l'accesso Single Sign-On di Microsoft Entra con Britta Simon.
   2. Assegnare l'utente di test di Microsoft Entra : per abilitare Britta Simon all'uso dell'accesso Single Sign-On di Microsoft Entra.
2. Configurare l'accesso Single Sign-On di SAP HANA: per configurare le impostazioni dell'accesso Single Sign-On sul lato applicazione.
   1. Creare l'utente di test di SAP HANA: per avere una controparte di Britta Simon in SAP HANA collegata alla rappresentazione dell'utente in Microsoft Entra.
3. Testare l'accesso Single Sign-On: per verificare se la configurazione funziona.

Configurare l'accesso Single Sign-On di Microsoft Entra

Seguire questa procedura per abilitare l'accesso Single Sign-On di Microsoft Entra.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.

2. Passare ad Applicazioni di identità>Applicazioni>aziendali>SAP HANA>Single Sign-On.

3. Nella pagina Selezionare un metodo di accesso Single Sign-On selezionare SAML.

4. Nella pagina Configura l'accesso Single Sign-On con SAML fare clic sull'icona della matita per modificare le impostazioni di Configurazione SAML di base.

   

5. Nella sezione Configurazione SAML di base immettere i valori per i campi seguenti:

   Nella casella di testo URL di risposta digitare un URL nel formato seguente: https://<Customer-SAP-instance-url>/sap/hana/xs/saml/login.xscfunc

   Nota

   Il valore di URL di risposta non è reale. è necessario aggiornare questo valore con l'URL di risposta effettivo. Per ottenere questi valori, contattare il team di supporto clienti di SAP HANA. È anche possibile fare riferimento ai modelli illustrati nella sezione Configurazione SAML di base.

6. L'applicazione SAP HANA prevede un formato specifico per le asserzioni SAML. Configurare le attestazioni seguenti per questa applicazione. È possibile gestire i valori di questi attributi dalla sezione Attributi utente nella pagina di integrazione dell'applicazione. Nella pagina Configura l'accesso Single Sign-On con SAML fare clic sul pulsante Modifica per aprire la finestra di dialogo Attributi utente.

   

7. Nella sezione Attributi utente della finestra di dialogo Attributi utente e attestazioni eseguire questa procedura:

   a. Fare clic sull'icona Modifica per aprire la finestra di dialogo Gestisci attestazioni utente.

   

   

   b. Nell'elenco Trasformazione selezionare ExtractMailPrefix().

   c. Nell'elenco Parametro 1 selezionare user.mail.

   d. Fare clic su Salva.

8. Nella sezione Certificato di firma SAML della pagina Configura l'accesso Single Sign-On con SAML fare clic su Scarica per scaricare il file XML dei metadati della federazione definito dalle opzioni specificate in base ai propri requisiti e salvarlo nel computer in uso.

   

Creare un utente di test di Microsoft Entra

In questa sezione verrà creato un utente di test di nome B.Simon.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un utente Amministrazione istrator.
2. Passare a Utenti>identità>Tutti gli utenti.
3. Selezionare Nuovo utente Crea nuovo utente> nella parte superiore della schermata.
4. Nelle proprietà Utente seguire questa procedura:
   1. Nel campo Nome visualizzato immettere B.Simon.
   2. Nel campo Nome entità utente immettere .username@companydomain.extension Ad esempio: B.Simon@contoso.com.
   3. Selezionare la casella di controllo Mostra password e quindi prendere nota del valore visualizzato nella casella Password.
   4. Selezionare Rivedi e crea.
5. Seleziona Crea.

Assegnare l'utente di test di Microsoft Entra

In questa sezione si abiliterà B.Simon all'uso dell'accesso Single Sign-On concedendole l'accesso a SAP HANA.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
2. Passare a Applicazioni di identità>Applicazioni>aziendali>SAP HANA.
3. Nella pagina di panoramica dell'app selezionare Utenti e gruppi.
4. Selezionare Aggiungi utente/gruppo, quindi utenti e gruppi nella finestra di dialogo Aggiungi assegnazione .
   1. Nella finestra di dialogo Utenti e gruppi selezionare B.Simon dall'elenco degli utenti e quindi fare clic sul pulsante Seleziona nella parte inferiore della schermata.
   2. Se si prevede che agli utenti venga assegnato un ruolo, è possibile selezionarlo nell'elenco a discesa Selezionare un ruolo. Se per questa app non è stato configurato alcun ruolo, il ruolo selezionato è "Accesso predefinito".
   3. Nella finestra di dialogo Aggiungi assegnazione fare clic sul pulsante Assegna.

Configurare l'accesso SSO per SAP HANA

1. Per configurare l'accesso Single Sign-On sul lato SAP HANA, accedere alla console Web HANA XSA passando al relativo endpoint HTTPS.

   Nota

   Nella configurazione predefinita l'URL reindirizza la richiesta a una schermata di accesso, che richiede le credenziali di un utente del database SAP HANA autenticato. L'utente che effettua l'accesso deve disporre delle autorizzazioni per eseguire attività di amministrazione di SAML.

2. Nell'interfaccia Web XSA passare a SAML Identity Provider (Provider di identità SAML). A questo punto selezionare il pulsante + nella parte inferiore della schermata per visualizzare il riquadro Add Identity Provider Info (Aggiungi informazioni provider di identità). Seguire quindi questa procedura:

   

   a. Nel riquadro Aggiungi informazioni provider di identità incollare il contenuto del file XML metadati (scaricato) nella casella Metadati.

   

   b. Se il contenuto del documento XML è valido, il processo di analisi estrae le informazioni necessarie per i campi Subject, Entity ID, and Issuer (Oggetto, ID entità e Autorità di certificazione) nell'area dello schermo General data (Dati generali). Vengono estratte anche le informazioni necessarie per i campi relativi agli URL nell'area dello schermo Destination (Destinazione), ad esempio i campi Base URL e SingleSignOn URL (*) (URL di base e URL Single Sign-On).

   

   c. Nella casella Name (Nome) dell'area dello schermo General Data (Dati generali) immettere un nome per il nuovo provider di identità SSO SAML.

   Nota

   Il nome del provider di identità SAML è obbligatorio e deve essere univoco. Viene visualizzato nell'elenco di provider di identità SAML disponibili che viene visualizzato quando si seleziona SAML come metodo di autenticazione per le applicazioni SAP HANA XS da usare. Ad esempio, è possibile eseguire questa procedura nell'area dello schermo Authentication (Autenticazione) dello strumento di amministrazione di elementi XS.

3. Selezionare Save (Salva) per salvare i dettagli del provider di identità SAML e aggiungere il nuovo provider di identità SAML all'elenco di provider noti.

   

4. In HANA Studio, nella scheda Configuration, filtrare le impostazioni all'interno delle proprietà del sistema in base a saml. Modificare quindi il valore del parametro assertion_timeout da 10 sec a 120 sec.

   

Creare un utente di test di SAP HANA

Per consentire agli utenti di Microsoft Entra di accedere a SAP HANA, è necessario effettuarne il provisioning in SAP HANA. SAP HANA supporta il provisioning JIT, che è abilitato per impostazione predefinita.

Per creare un utente manualmente, seguire questa procedura:

Nota

È possibile modificare l'autenticazione esterna usata dagli utenti. Questi possono autenticarsi con un sistema esterno, ad esempio Kerberos. Per informazioni dettagliate sulle identità esterne, contattare l'amministratore di dominio.

1. Aprire SAP HANA Studio come amministratore e quindi abilitare DB-User per l'accesso SSO SAML.

   

2. Selezionare la casella di controllo invisibile a sinistra di SAML e quindi selezionare il collegamento Configura.

3. Selezionare Aggiungi per aggiungere il provider di identità SAML. Selezionare il provider di identità SAML appropriato e quindi OK.

4. Aggiungere l'identità esterna (in questo caso BrittaSimon). Quindi, seleziona OK.

   Nota

   È necessario popolare il campo Identità esterna per l'utente e che deve corrispondere al campo NameID nel token SAML da Microsoft Entra ID. Qualsiasi casella di controllo non deve essere selezionata perché questa opzione richiede all'IDP di inviare la proprietà SPProvderID nel campo NameID che non è attualmente supportato da Microsoft Entra ID. Per altri dettagli, fare riferimento a questo documento.

5. A scopo di test, assegnare tutti i ruoli XS all'utente.

   

   Suggerimento

   È consigliabile assegnare solo le autorizzazioni appropriate per i casi d'uso.

6. Salvare l'utente.

Testare l'accesso SSO

In questa sezione viene testata la configurazione dell'accesso Single Sign-On di Microsoft Entra con le opzioni seguenti.

• Fare clic su Test this application (Testa questa applicazione) e si dovrebbe accedere automaticamente all'istanza di SAP HANA per cui si è configurato l'accesso SSO

• È possibile usare App personali Microsoft. Quando si fa clic sul riquadro di SAP HANA in App personali, si dovrebbe accedere automaticamente all'istanza di SAP HANA per cui si è configurato l'accesso SSO. Per altre informazioni su App personali, vedere l'introduzione ad App personali.

Passaggi successivi

Dopo aver configurato SAP HANA, è possibile applicare il controllo sessione che consente di proteggere in tempo reale l'esfiltrazione e l'infiltrazione dei dati sensibili dell'organizzazione. Il controllo sessione costituisce un'estensione dell'accesso condizionale. Informazioni su come applicare il controllo sessione con app Microsoft Defender per il cloud.