Udostępnij za pośrednictwem

Zarządzanie tożsamościami i dostępem dla oprogramowania SAP

  • Artykuł

Ten artykuł opiera się na kilku zagadnieniach i zaleceniach zdefiniowanych w artykule Obszar projektowania strefy docelowej platformy Azure na potrzeby zarządzania tożsamościami i dostępem. W tym artykule opisano zalecenia dotyczące zarządzania tożsamościami i dostępem dotyczące wdrażania platformy SAP na platformie Microsoft Azure. SAP to platforma o znaczeniu krytycznym, dlatego należy uwzględnić wskazówki dotyczące obszaru projektowania strefy docelowej platformy Azure w projekcie.

Uwagi dotyczące projektowania

  • Przejrzyj wymagane działania administracyjne i związane z zarządzaniem platformą Azure dla twojego zespołu. Weź pod uwagę środowisko sap na platformie Azure. Określ najlepszą możliwą dystrybucję obowiązków w organizacji.

  • Określ granice administrowania zasobami platformy Azure w porównaniu z granicami administrowania platformą SAP Basis między zespołami infrastruktury i platformy SAP Basis. Rozważ udostępnienie zespołowi SAP Basis z podwyższonym poziomem uprawnień dostępu do administrowania zasobami platformy Azure w środowisku nieprodukcyjnym SAP. Na przykład nadaj im rolę Współautor maszyny wirtualnej. Można również nadać im częściowo podwyższony poziom dostępu administracyjnego, na przykład częściowy współautor maszyny wirtualnej w środowisku produkcyjnym. Obie opcje osiągną dobrą równowagę między rozdzieleniem obowiązków i wydajnością operacyjną.

  • W przypadku centralnych zespołów IT i SAP Basis należy rozważyć użycie usługi Privileged Identity Management (PIM) i uwierzytelniania wieloskładnikowego w celu uzyskania dostępu do zasobów maszyny wirtualnej SAP z witryny Azure Portal i podstawowej infrastruktury.

Poniżej przedstawiono typowe działania administracyjne i związane z zarządzaniem oprogramowaniem SAP na platformie Azure:

Zasób platformy Azure Dostawca zasobów platformy Azure Działania
Maszyny wirtualne Microsoft.Compute/virtualMachines Uruchamianie, zatrzymywanie, ponowne uruchamianie, cofanie przydziału, wdrażanie, ponowne wdrażanie, zmienianie rozmiaru, rozszerzenia, zestawy dostępności, grupy umieszczania w pobliżu
Maszyny wirtualne Microsoft.Compute/disks Odczyt i zapis na dysku
Storage Microsoft.Storage Odczyt, zmiana kont magazynu (na przykład diagnostyka rozruchu)
Storage Microsoft.NetApp Odczyt, zmiana w pulach pojemności i woluminach usługi NetApp
Storage Microsoft.NetApp Migawki anf
Storage Microsoft.NetApp Replikacja między regionami ANF
Sieć Microsoft.Network/networkInterfaces Odczytywanie, tworzenie i zmienianie interfejsów sieciowych
Sieć Microsoft.Network/loadBalancers Odczytywanie, tworzenie i zmienianie modułów równoważenia obciążenia
Sieć Microsoft.Network/networkSecurityGroups Odczytywanie sieciowej grupy zabezpieczeń
Sieć Microsoft.Network/azureFirewalls Odczyt zapory

  • Jeśli używasz usług SAP Business Technology Platform (BTP), rozważ użycie propagacji podmiotu zabezpieczeń w celu przekazywania tożsamości z aplikacji SAP BTP do środowiska SAP przy użyciu narzędzia SAP Cloud Połączenie or.

  • Rozważ usługę aprowizacji firmy Microsoft, aby automatycznie aprowizować i cofać aprowizację użytkowników i grup w usłudze SAP Analytics Cloud i SAP Identity Authentication.

  • Należy wziąć pod uwagę, że migracja na platformę Azure może być okazją do przejrzenia i zrównania procesów zarządzania tożsamościami i dostępem. Przejrzyj procesy w środowisku SAP i procesy na poziomie przedsiębiorstwa:

    • Zapoznaj się z zasadami blokady użytkownika uśpionego oprogramowania SAP.
    • Przejrzyj zasady hasła użytkownika SAP i dostosuj je do identyfikatora Entra firmy Microsoft.
    • Przejrzyj procedury opuszczające, osoby przenoszące i startery (LMS) i dostosuj je do identyfikatora Entra firmy Microsoft. Jeśli używasz rozwiązania SAP Human Capital Management (HCM), rozwiązanie SAP HCM prawdopodobnie napędza proces LMS.

  • Rozważ aprowizowanie użytkowników z usługi SuccessFactors Employee Central do identyfikatora Entra firmy Microsoft z opcjonalnym zapisem zwrotnym adresu e-mail do rozwiązania SuccessFactors.

  • Bezpieczna komunikacja systemu plików sieciowych (NFS) między usługą Azure NetApp Files i usługą Azure Virtual Machines przy użyciu szyfrowania klienta NFS przy użyciu protokołu Kerberos. Usługa Azure NetApp Files obsługuje połączenia domena usługi Active Directory Services (AD DS) i Microsoft Entra Domain Services dla połączeń firmy Microsoft Entra. Rozważ efekt wydajności protokołu Kerberos w systemie plików NFS w wersji 4.1.

  • Rozwiązanie SAP Identity Management (IDM) integruje się z usługą Microsoft Entra ID przy użyciu aprowizacji tożsamości w chmurze SAP jako usługi proxy. Rozważ użycie identyfikatora Entra firmy Microsoft jako centralnego źródła danych dla użytkowników korzystających z programu SAP IDM. Zabezpieczanie komunikacji sieciowej systemu plików (NFS) między usługą Azure NetApp Files i usługą Azure Virtual Machines przy użyciu szyfrowania klienta NFS przy użyciu protokołu Kerberos. Usługa Azure NetApp Files wymaga połączenia usług AD DS lub Microsoft Entra Domain Services na potrzeby obsługi biletów protokołu Kerberos. Rozważ efekt wydajności protokołu Kerberos w systemie plików NFS w wersji 4.1.

  • Bezpieczne połączenia wywołania funkcji zdalnej (RFC) między systemami SAP z bezpieczną komunikacją sieciową (SNC) przy użyciu odpowiednich poziomów ochrony, takich jak jakość ochrony (QoP). Ochrona SNC generuje pewne obciążenie związane z wydajnością. Aby chronić komunikację RFC między serwerami aplikacji tego samego systemu SAP, firma SAP zaleca używanie zabezpieczeń sieci zamiast SNC. Następujące usługi platformy Azure obsługują połączenia RFC chronione przez SNC z systemem docelowym SAP: dostawcy Azure Monitor dla rozwiązań SAP, własnego środowiska Integration Runtime w usłudze Azure Data Factory oraz lokalna brama danych w przypadku usług Power BI, Power Apps, Power Automate, Azure Analysis Services i Azure Logic Apps. Usługa SNC jest wymagana do skonfigurowania logowania jednokrotnego w takich przypadkach.

Zalecenia dotyczące projektowania