Condividi tramite

Distribuire e configurare il contenitore che ospita l'agente del connettore dati SAP

  • Articolo

Questo articolo illustra come distribuire il contenitore che ospita l'agente del connettore dati SAP e come usarlo per creare connessioni ai sistemi SAP. Questo processo in due passaggi è necessario per inserire i dati SAP in Microsoft Sentinel, come parte della soluzione Microsoft Sentinel per le applicazioni SAP.

Il metodo consigliato per distribuire il contenitore e creare connessioni ai sistemi SAP avviene tramite il portale di Azure. Questo metodo è spiegato nell'articolo e illustrato anche in questo video su YouTube. Illustrato anche in questo articolo è un modo per raggiungere questi obiettivi chiamando uno script kickstart dalla riga di comando.

In alternativa, è possibile distribuire manualmente l'agente contenitore Docker del connettore dati, ad esempio in un cluster Kubernetes. Per altre informazioni, aprire un ticket di supporto.

Importante

La distribuzione del contenitore e la creazione di connessioni ai sistemi SAP tramite il portale di Azure è attualmente in ANTEPRIMA. Le condizioni aggiuntive per l'anteprima di Azure includono termini legali aggiuntivi che si applicano a funzionalità di Azure in versione beta, anteprima o diversamente non ancora disponibili a livello generale.

Microsoft Sentinel è disponibile come parte della piattaforma unificata per le operazioni di sicurezza nel portale di Microsoft Defender. Microsoft Sentinel nel portale di Defender è ora supportato per l'uso in produzione. Per altre informazioni, vedere Microsoft Sentinel nel portale di Microsoft Defender.

Attività cardine della distribuzione

La distribuzione della soluzione Microsoft Sentinel per le applicazioni SAP® è suddivisa nelle sezioni seguenti:

  1. Panoramica della distribuzione

  2. Prerequisiti di distribuzione

  3. Usare la soluzione in più aree di lavoro (ANTEPRIMA)

  4. Preparare l'ambiente SAP

  5. Configurare il controllo

  6. Distribuire l'agente del connettore dati (qui)

  7. Distribuire la soluzione Microsoft Sentinel per le applicazioni® SAP dall'hub del contenuto

  8. Configurare la soluzione Microsoft Sentinel per le applicazioni SAP®

  9. Passaggi di distribuzione facoltativi

Panoramica della distribuzione dell'agente del connettore dati

Affinché la soluzione Microsoft Sentinel per il corretto funzionamento delle applicazioni SAP, è prima necessario ottenere i dati SAP in Microsoft Sentinel. A tale scopo, è necessario distribuire l'agente del connettore dati SAP della soluzione.

L'agente del connettore dati viene eseguito come contenitore in una macchina virtuale Linux. Questa macchina virtuale può essere ospitata in Azure, in un cloud di terze parti o in locale. È consigliabile installare e configurare questo contenitore usando il portale di Azure (in ANTEPRIMA). Tuttavia, è possibile scegliere di distribuire il contenitore usando uno script kickstart. Se si vuole distribuire manualmente l'agente contenitore Docker del connettore dati, ad esempio in un cluster Kubernetes, aprire un ticket di supporto per altri dettagli.

L'agente si connette al sistema SAP per eseguire il pull dei log e di altri dati da esso, quindi invia tali log all'area di lavoro di Microsoft Sentinel. A tale scopo, l'agente deve eseguire l'autenticazione nel sistema SAP, per questo motivo è stato creato un utente e un ruolo per l'agente nel sistema SAP nel passaggio precedente.

Sono disponibili alcune opzioni su come e dove archiviare le informazioni di configurazione dell'agente, inclusi i segreti di autenticazione SAP. La decisione di quale usare può essere interessata dalla distribuzione della macchina virtuale e dal meccanismo di autenticazione SAP che si decide di usare. Queste sono le opzioni, in ordine decrescente di preferenza:

  • Un'istanza di Azure Key Vault, accessibile tramite un'identità gestita assegnata dal sistema di Azure
  • Un insieme di credenziali delle chiavi di Azure, accessibile tramite un'entità servizio registrata dell'applicazione Microsoft Entra ID
  • Un file di configurazione di testo non crittografato

Per uno di questi scenari, è possibile eseguire l'autenticazione con i certificati SNC (Secure Network Communication) e X.509 di SAP. Questa opzione offre un livello superiore di sicurezza dell'autenticazione, ma è solo un'opzione pratica in un set limitato di scenari.

La distribuzione del contenitore agente connettore dati include i passaggi seguenti:

  1. Creazione della macchina virtuale e configurazione dell'accesso alle credenziali di sistema SAP. Questa procedura può essere eseguita da un altro team dell'organizzazione, ma deve essere eseguita prima delle altre procedure descritte in questo articolo.

  2. Configurare e distribuire l'agente del connettore dati.

  3. Configurare l'agente per la connessione a un sistema SAP.

Prerequisiti

Prima di distribuire l'agente del connettore dati, assicurarsi di disporre di tutti i prerequisiti di distribuzione. Per altre informazioni, vedere Prerequisiti per la distribuzione della soluzione Microsoft Sentinel per le applicazioni SAP.

Inoltre, se si prevede di inserire i log NetWeaver/ABAP tramite una connessione sicura tramite Secure Network Communications (SNC), eseguire i passaggi preliminari pertinenti. Per altre informazioni, vedere Distribuire microsoft Sentinel per il connettore dati SAP tramite SNC.

Creare una macchina virtuale e configurare l'accesso alle credenziali

Idealmente, i segreti di configurazione e autenticazione SAP possono e devono essere archiviati in Azure Key Vault. Il modo in cui si accede all'insieme di credenziali delle chiavi dipende dalla posizione in cui viene distribuita la macchina virtuale:

  • Un contenitore in una macchina virtuale di Azure può usare un'identità gestita assegnata dal sistema di Azure per accedere facilmente ad Azure Key Vault.

    Nel caso in cui non sia possibile usare un'identità gestita assegnata dal sistema, il contenitore può anche eseguire l'autenticazione in Azure Key Vault usando un'entità servizio dell'applicazione registrata con ID Microsoft Entra o, come ultima risorsa, un file di configurazione.

  • Un contenitore in una macchina virtuale locale o in una macchina virtuale in un ambiente cloud di terze parti non può usare l'identità gestita di Azure, ma può eseguire l'autenticazione in Azure Key Vault usando un'entità servizio dell'applicazione registrata con ID Microsoft Entra.

  • Se per qualche motivo non è possibile usare un'entità servizio dell'applicazione registrata, è possibile usare un file di configurazione, anche se questo non è preferibile.

Nota

Questa procedura può essere eseguita da un altro team dell'organizzazione, ma deve essere eseguita prima delle altre procedure descritte in questo articolo.

Selezionare una delle schede seguenti, a seconda del modo in cui si prevede di archiviare e accedere alle credenziali di autenticazione e ai dati di configurazione.

Creare un'identità gestita con una macchina virtuale di Azure

  1. Eseguire il comando seguente per creare una macchina virtuale in Azure (sostituire i nomi effettivi dell'ambiente per ):<placeholders>

    az vm create --resource-group <resource group name> --name <VM Name> --image Canonical:0001-com-ubuntu-server-focal:20_04-lts-gen2:latest --admin-username <azureuser> --public-ip-address "" --size  Standard_D2as_v5 --generate-ssh-keys --assign-identity --role <role name> --scope <subscription Id>

    Per altre informazioni, vedere Avvio rapido: Creare una macchina virtuale Linux con l'interfaccia della riga di comando di Azure.

    Importante

    Dopo aver creato la macchina virtuale, assicurarsi di applicare eventuali requisiti di sicurezza e procedure di protezione avanzata applicabili nell'organizzazione.

    Il comando precedente creerà la risorsa macchina virtuale, generando output simile al seguente:

    {
  "fqdns": "",
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.Compute/virtualMachines/vmname",
  "identity": {
    "systemAssignedIdentity": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy",
    "userAssignedIdentities": {}
  },
  "location": "westeurope",
  "macAddress": "00-11-22-33-44-55",
  "powerState": "VM running",
  "privateIpAddress": "192.168.136.5",
  "publicIpAddress": "",
  "resourceGroup": "resourcegroupname",
  "zones": ""
}

  2. Copiare il GUID systemAssignedIdentity , come verrà usato nei passaggi successivi. Si tratta dell'identità gestita.

Creare un insieme di credenziali delle chiavi

Questa procedura descrive come creare un insieme di credenziali delle chiavi per archiviare le informazioni di configurazione dell'agente, inclusi i segreti di autenticazione SAP. Se si usa un insieme di credenziali delle chiavi esistente, passare direttamente al passaggio 2.

Per creare l'insieme di credenziali delle chiavi:

  1. Eseguire i comandi seguenti, sostituendo i nomi effettivi per i <placeholder> valori.

    az keyvault create \
  --name <KeyVaultName> \
  --resource-group <KeyVaultResourceGroupName>

  2. Copiare il nome dell'insieme di credenziali delle chiavi e il nome del relativo gruppo di risorse. Questi elementi saranno necessari quando si assegnano le autorizzazioni di accesso all'insieme di credenziali delle chiavi ed eseguire lo script di distribuzione nei passaggi successivi.

Assegnare autorizzazioni di accesso all'insieme di credenziali delle chiavi

  1. Nell'insieme di credenziali delle chiavi assegnare le autorizzazioni seguenti per il controllo degli accessi in base al ruolo di Azure o i criteri di accesso dell'insieme di credenziali nell'ambito dei segreti all'identità creata e copiata in precedenza.

    Modello di autorizzazione Autorizzazioni obbligatorie
    Controllo degli accessi in base al ruolo di Azure Utente dei segreti di Key Vault
    Criteri di accesso all'insieme di credenziali get, list

    Usare le opzioni nel portale per assegnare le autorizzazioni o eseguire uno dei comandi seguenti per assegnare le autorizzazioni dei segreti dell'insieme di credenziali delle chiavi all'identità, sostituendo i nomi effettivi per i <placeholder> valori. Selezionare la scheda per il tipo di identità creata.

    Eseguire uno dei comandi seguenti, a seconda del modello di autorizzazione di Key Vault preferito, per assegnare le autorizzazioni dei segreti dell'insieme di credenziali delle chiavi all'identità gestita assegnata dal sistema della macchina virtuale. Il criterio specificato nei comandi consente alla macchina virtuale di elencare e leggere i segreti dall'insieme di credenziali delle chiavi.

    • Modello di autorizzazione per il controllo degli accessi in base al ruolo di Azure:

      az role assignment create --assignee-object-id <ManagedIdentityId> --role "Key Vault Secrets User" --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName> /providers/Microsoft.KeyVault/vaults/<KeyVaultName>

    • Modello di autorizzazione dei criteri di accesso dell'insieme di credenziali:

      az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --object-id <ManagedIdentityId> --secret-permissions get list

  2. Nello stesso insieme di credenziali delle chiavi assegnare le autorizzazioni seguenti per il controllo degli accessi in base al ruolo di Azure o i criteri di accesso dell'insieme di credenziali per l'ambito dei segreti all'utente che configura l'agente del connettore dati:

    Modello di autorizzazione Autorizzazioni obbligatorie
    Controllo degli accessi in base al ruolo di Azure Responsabile dei segreti di Key Vault
    Criteri di accesso all'insieme di credenziali get, list, setdelete

    Usare le opzioni nel portale per assegnare le autorizzazioni oppure eseguire uno dei comandi seguenti per assegnare all'utente le autorizzazioni dei segreti dell'insieme di credenziali delle chiavi, sostituendo i nomi effettivi per i <placeholder> valori:

    • Modello di autorizzazione per il controllo degli accessi in base al ruolo di Azure:

      az role assignment create --role "Key Vault Secrets Officer" --assignee <UserPrincipalName> --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName>/providers/Microsoft.KeyVault/vaults/<KeyVaultName>

    • Modello di autorizzazione dei criteri di accesso dell'insieme di credenziali:

      az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --upn <UserPrincipalName>--secret-permissions get list set delete

Distribuire l'agente del connettore dati

Dopo aver creato una macchina virtuale e un insieme di credenziali delle chiavi, il passaggio successivo consiste nel creare un nuovo agente e connettersi a uno dei sistemi SAP.

  1. Accedere alla macchina virtuale appena creata in cui si installa l'agente, come utente con privilegi sudo.

  2. Scaricare o trasferire SAP NetWeaver SDK nel computer.

Usare uno dei set di procedure seguenti, a seconda che si usi un'identità gestita o un'applicazione registrata per accedere all'insieme di credenziali delle chiavi e se si usa il portale di Azure o la riga di comando per distribuire l'agente:

Suggerimento

Il portale di Azure può essere usato solo con un insieme di credenziali delle chiavi di Azure. Se invece si usa un file di configurazione, usare l'opzione della riga di comando pertinente.

opzioni portale di Azure (anteprima)

Selezionare una delle schede seguenti, a seconda del tipo di identità in uso per accedere all'insieme di credenziali delle chiavi.

Nota

Se gli agenti del connettore SAP sono stati installati manualmente o usando gli script kickstart, non è possibile configurare o gestire tali agenti nel portale di Azure. Se si vuole usare il portale per configurare e aggiornare gli agenti, è necessario reinstallare gli agenti esistenti usando il portale.

Questa procedura descrive come creare un nuovo agente tramite il portale di Azure, autenticando con un'identità gestita:

  1. Dal menu di spostamento di Microsoft Sentinel selezionare Connettori dati.

  2. Nella barra di ricerca immettere SAP.

  3. Selezionare Microsoft Sentinel per SAP nei risultati della ricerca e selezionare Apri connettore pagina.

  4. Per raccogliere dati da un sistema SAP, è necessario seguire questi due passaggi:

    1. Creare un nuovo agente
    2. Connessione l'agente in un nuovo sistema SAP

Creare un nuovo agente

  1. Nell'area Configurazione selezionare Aggiungi nuovo agente (anteprima).

    Screenshot delle istruzioni per aggiungere un agente agente di raccolta basato su API SAP.

  2. In Crea un agente di raccolta a destra definire i dettagli dell'agente:

    Nome Descrizione
    Nome agente Immettere un nome agente, inclusi i caratteri seguenti:
    • a-z
    • A-Z
    • 0-9
    • _ (carattere di sottolineatura)
    • . (period)
    • - (trattino)
    Insieme di credenziali delle chiavi di sottoscrizione / Selezionare la sottoscrizione e l'insieme di credenziali delle chiavi nei rispettivi elenchi a discesa.
    Percorso del file ZIP dell'SDK NWRFC nella macchina virtuale dell'agente Immettere il percorso nella macchina virtuale che contiene l'archivio di SAP NetWeaver Remote Function Call (RFC) Software Development Kit (SDK) (.zip file).

    Assicurarsi che questo percorso includa il numero di versione dell'SDK nella sintassi seguente: <path>/NWRFC<version number>.zip. Ad esempio: /src/test/nwrfc750P_12-70002726.zip.
    Abilitare il supporto per la connessione SNC Selezionare questa opzione per inserire i log netWeaver/ABAP tramite una connessione sicura tramite Secure Network Communications (SNC).

    Se si seleziona questa opzione, immettere il percorso che contiene il file binario e libsapcrypto.so la sapgenpse libreria, in Percorso della libreria di crittografia SAP nella macchina virtuale dell'agente.
    Autenticazione in Azure Key Vault Per eseguire l'autenticazione nell'insieme di credenziali delle chiavi usando un'identità gestita, lasciare selezionata l'opzione Identità gestita predefinita.

    È necessario che l'identità gestita sia configurata in anticipo. Per altre informazioni, vedere Creare una macchina virtuale e configurare l'accesso alle credenziali.

    Nota

    Se si vuole usare una connessione SNC, assicurarsi di selezionare Abilita supporto connessione SNC in questa fase perché non è possibile tornare indietro e abilitare una connessione SNC dopo aver completato la distribuzione dell'agente. Per altre informazioni, vedere Distribuire microsoft Sentinel per il connettore dati SAP tramite SNC.

    Ad esempio:

    Screenshot dell'area Crea agente agente di raccolta.

  3. Selezionare Crea ed esaminare le raccomandazioni prima di completare la distribuzione:

    Screenshot della fase finale della distribuzione dell'agente.

  4. Per distribuire l'agente del connettore dati SAP è necessario concedere all'identità della macchina virtuale dell'agente autorizzazioni specifiche per l'area di lavoro di Microsoft Sentinel, usando i ruoli Agente applicazioni aziendali e Lettore di Microsoft Sentinel.

    Per eseguire i comandi in questo passaggio, è necessario essere un proprietario del gruppo di risorse nell'area di lavoro di Microsoft Sentinel. Se non si è proprietari di un gruppo di risorse nell'area di lavoro, questa procedura può essere eseguita anche al termine della distribuzione dell'agente.

    Copiare i comandi di assegnazione di ruolo dal passaggio 1 ed eseguirli nella macchina virtuale dell'agente, sostituendo il segnaposto con l'ID Object_ID oggetto identità della macchina virtuale. Ad esempio:

    Screenshot dell'icona Copia per il comando del passaggio 1.

    Per trovare l'ID oggetto identità della macchina virtuale in Azure, passare a Applicazione aziendale>Tutte le applicazioni e selezionare il nome della macchina virtuale. Copiare il valore del campo ID oggetto da usare con il comando copiato.

    Questi comandi assegnano i ruoli agente di Microsoft Sentinel Business Applications Agent e Lettore di Azure all'identità gestita della macchina virtuale, incluso solo l'ambito dei dati dell'agente specificato nell'area di lavoro.

    Importante

    L'assegnazione dei ruoli agente e lettore di Microsoft Sentinel Business Applications Tramite l'interfaccia della riga di comando assegna i ruoli solo nell'ambito dei dati dell'agente specificato nell'area di lavoro. Questa è l'opzione più sicura e pertanto consigliata.

    Se è necessario assegnare i ruoli tramite il portale di Azure, è consigliabile assegnare i ruoli in un ambito di piccole dimensioni, ad esempio solo nell'area di lavoro di Microsoft Sentinel.

  5. Selezionare CopiaScreenshot dell'icona Copia. accanto al comando Di distribuzione agente nel passaggio 2. Ad esempio:

    Screenshot del comando Agent da copiare nel passaggio 2.

  6. Dopo aver copiato la riga di comando, selezionare Chiudi.

    Le informazioni dell'agente pertinenti vengono distribuite in Azure Key Vault e il nuovo agente è visibile nella tabella in Aggiungere un agente agente di raccolta basato su API.

    In questa fase, lo stato di integrità dell'agente è "Installazione incompleta. Seguire le istruzioni". Una volta installato correttamente l'agente, lo stato diventa Integro di Agent. L'aggiornamento può richiedere fino a 10 minuti. Ad esempio:

    Screenshot degli stati di integrità degli agenti dell'agente di raccolta basati su API nella pagina del connettore dati SAP.

    Nota

    Nella tabella vengono visualizzati il nome dell'agente e lo stato di integrità solo per gli agenti distribuiti tramite il portale di Azure. Gli agenti distribuiti tramite la riga di comando non vengono visualizzati qui.

  7. Nella macchina virtuale in cui si prevede di installare l'agente aprire un terminale ed eseguire il comando di distribuzione agente copiato nel passaggio precedente.

    Lo script aggiorna i componenti del sistema operativo e installa l'interfaccia della riga di comando di Azure, il software Docker e altre utilità necessarie, ad esempio jq, netcat e curl.

    Specificare parametri aggiuntivi per lo script in base alle esigenze per personalizzare la distribuzione del contenitore. Per altre informazioni sulle opzioni della riga di comando disponibili, vedere Informazioni di riferimento sullo script Kickstart.

    Se è necessario copiare di nuovo il comando, selezionare VisualizzaScreenshot dell'icona Visualizza. a destra della colonna Integrità e copiare il comando accanto al comando Di distribuzione agente in basso a destra.

Connessione a un nuovo sistema SAP

Chiunque aggiunge una nuova connessione a un sistema SAP deve disporre dell'autorizzazione di scrittura per l'insieme di credenziali delle chiavi in cui sono archiviate le credenziali SAP. Per altre informazioni, vedere Creare una macchina virtuale e configurare l'accesso alle credenziali.

  1. Nell'area Configurazione selezionare Aggiungi nuovo sistema (anteprima).In the Configuration area, select Add new system (Preview).

    Screenshot dell'area Aggiungi nuovo sistema.

  2. In Selezionare un agente selezionare l'agente creato nel passaggio precedente.

  3. In Identificatore di sistema selezionare il tipo di server e specificare i dettagli del server.

  4. Al termine, selezionare Avanti: Autenticazione.

  5. Per l'autenticazione di base, specificare l'utente e la password. Se è stata selezionata una connessione SNC quando si configura l'agente, selezionare SNC e specificare i dettagli del certificato.

  6. Selezionare Avanti: Log.

  7. Selezionare i log da cui eseguire il pull da SAP e selezionare Avanti: Rivedi e crea.

  8. Esaminare le impostazioni definite. Selezionare Indietro per modificare le impostazioni oppure selezionare Distribuisci per distribuire il sistema.

  9. La configurazione di sistema definita viene distribuita in Azure Key Vault. È ora possibile visualizzare i dettagli di sistema nella tabella in Configurare un sistema SAP e assegnarlo a un agente di raccolta. Questa tabella visualizza il nome dell'agente associato, l'ID sistema SAP (SID) e lo stato di integrità per i sistemi aggiunti tramite il portale di Azure o tramite altri metodi.

    In questa fase, lo stato di integrità del sistema è In sospeso. Se l'agente viene aggiornato correttamente, esegue il pull della configurazione dall'insieme di credenziali delle chiavi di Azure e lo stato diventa Integro del sistema. L'aggiornamento può richiedere fino a 10 minuti.

    Altre informazioni su come monitorare l'integrità del sistema SAP.

Opzioni della riga di comando

Selezionare una delle schede seguenti, a seconda del tipo di identità in uso per accedere all'insieme di credenziali delle chiavi:

Creare un nuovo agente usando la riga di comando, eseguendo l'autenticazione con un'identità gestita:

  1. Scaricare ed eseguire lo script Kickstart per la distribuzione:

    Per il cloud commerciale pubblico di Azure, il comando è:

    wget -O sapcon-sentinel-kickstart.sh https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-sentinel-kickstart.sh && bash ./sapcon-sentinel-kickstart.sh

    • Per Microsoft Azure gestito da 21Vianet, aggiungere --cloud mooncake alla fine del comando copiato.

    • Per Azure per enti pubblici - Stati Uniti, aggiungere --cloud fairfax alla fine del comando copiato.

    Lo script aggiorna i componenti del sistema operativo, installa l'interfaccia della riga di comando di Azure e il software Docker e altre utilità necessarie (jq, netcat, curl) e richiede i valori dei parametri di configurazione. È possibile fornire parametri aggiuntivi allo script per ridurre al minimo il numero di richieste o per personalizzare la distribuzione del contenitore. Per altre informazioni sulle opzioni della riga di comando disponibili, vedere Informazioni di riferimento sullo script Kickstart.

  2. Seguire le istruzioni visualizzate per immettere i dettagli di SAP e Key Vault e completare la distribuzione. Al termine della distribuzione, viene visualizzato un messaggio di conferma:

    The process has been successfully completed, thank you!

    Prendere nota del nome del contenitore Docker nell'output dello script. Per visualizzare l'elenco dei contenitori Docker nella macchina virtuale, eseguire:

    docker ps -a

    Nel passaggio successivo si userà il nome del contenitore Docker.

  3. Per distribuire l'agente del connettore dati SAP è necessario concedere all'identità della macchina virtuale dell'agente autorizzazioni specifiche per l'area di lavoro di Microsoft Sentinel, usando i ruoli Agente applicazioni aziendali e Lettore di Microsoft Sentinel.

    Per eseguire il comando in questo passaggio, è necessario essere un proprietario del gruppo di risorse nell'area di lavoro di Microsoft Sentinel. Se non si è proprietari di un gruppo di risorse nell'area di lavoro, questa procedura può essere eseguita anche in un secondo momento.

    Assegnare i ruoli Operatore e lettore dell'agente di applicazioni aziendali di Microsoft Sentinel all'identità della macchina virtuale:

    1. Ottenere l'ID agente eseguendo il comando seguente, sostituendo il <container_name> segnaposto con il nome del contenitore Docker creato con lo script Kickstart:

      docker inspect <container_name> | grep -oP '"SENTINEL_AGENT_GUID=\K[^"]+

      Ad esempio, un ID agente restituito potrebbe essere 234fba02-3b34-4c55-8c0e-e6423ceb405b.

    2. Assegnare i ruoli Operatore e lettore dell'agente di applicazioni aziendali di Microsoft Sentinel eseguendo i comandi seguenti:

    az role assignment create --assignee-object-id <Object_ID> --role --assignee-principal-type ServicePrincipal "Microsoft Sentinel Business Applications Agent Operator" --scope /subscriptions/<SUB_ID>/resourcegroups/<RESOURCE_GROUP_NAME>/providers/microsoft.operationalinsights/workspaces/<WS_NAME>/providers/Microsoft.SecurityInsights/BusinessApplicationAgents/<AGENT_IDENTIFIER>

az role assignment create --assignee-object-id <Object_ID> --role --assignee-principal-type ServicePrincipal "Reader" --scope /subscriptions/<SUB_ID>/resourcegroups/<RESOURCE_GROUP_NAME>/providers/microsoft.operationalinsights/workspaces/<WS_NAME>/providers/Microsoft.SecurityInsights/BusinessApplicationAgents/<AGENT_IDENTIFIER>

    Sostituire i valori segnaposto come segue:

    Segnaposto Valore
    <OBJ_ID> ID oggetto identità della macchina virtuale.

    Per trovare l'ID oggetto identità della macchina virtuale in Azure, passare a Applicazione aziendale>Tutte le applicazioni e selezionare il nome della macchina virtuale. Copiare il valore del campo ID oggetto da usare con il comando copiato.
    <SUB_ID> ID sottoscrizione dell'area di lavoro di Microsoft Sentinel
    <RESOURCE_GROUP_NAME> Nome del gruppo di risorse dell'area di lavoro di Microsoft Sentinel
    <WS_NAME> Nome dell'area di lavoro di Microsoft Sentinel
    <AGENT_IDENTIFIER> ID agente visualizzato dopo l'esecuzione del comando nel passaggio precedente.

  4. Per configurare il contenitore Docker per l'avvio automatico, eseguire il comando seguente, sostituendo il <container-name> segnaposto con il nome del contenitore:

    docker update --restart unless-stopped <container-name>

Passaggi successivi

Dopo aver distribuito il connettore, procedere con la distribuzione del contenuto della soluzione Microsoft Sentinel per le applicazioni SAP®:

Distribuire il contenuto della soluzione dall'hub del contenuto

Vedi questo video di YouTube, sul canale YouTube della community di sicurezza Microsoft, per indicazioni su come controllare l'integrità e la connettività del connettore SAP.