Bereitstellen und Konfigurieren des Containers für den SAP-Datenconnector-Agent

  • Artikel

Dieser Artikel zeigt Ihnen, wie Sie den Container bereitstellen, der den SAP-Datenkonnektoragent hostet, und wie Sie ihn zum Erstellen von Verbindungen zu Ihren SAP-Systemen verwenden. Dieser zweistufige Prozess ist erforderlich, um SAP-Daten im Rahmen der Microsoft Sentinel-Lösung für SAP-Anwendungen in Microsoft Sentinel zu erfassen.

Die empfohlene Methode zum Bereitstellen des Containers und zum Erstellen von Verbindungen mit SAP-Systemen ist über das Azure-Portal. Diese Methode wird im Artikel erläutert und auch in diesem Video auf YouTube demonstriert. In diesem Artikel wird auch gezeigt, wie Sie diese Ziele erreichen können, indem Sie ein Kickstart-Skript über die Befehlszeile aufrufen.

Alternativ können Sie den Datenkonnektoragent für den Docker-Container manuell bereitstellen, z. B. in einem Kubernetes-Cluster. Um weitere Informationen zu erhalten, öffnen Sie ein Supportticket.

Wichtig

Das Bereitstellen des Containers und das Erstellen von Verbindungen mit SAP-Systemen über das Azure-Portal befindet sich derzeit in der VORSCHAU. In den zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen finden Sie weitere rechtliche Bedingungen, die für Azure-Features gelten, die sich in der Beta- oder Vorschauversion befinden oder anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.

Microsoft Sentinel ist als Teil der öffentlichen Vorschau für die einheitlichen Security Operations-Plattform im Microsoft Defender-Portal verfügbar. Weitere Informationen finden Sie unter Microsoft Sentinel im Microsoft Defender-Portal.

Bereitstellungsmeilensteine

Die Bereitstellung der Microsoft Sentinel-Lösung für SAP®-Anwendungen ist in die folgenden Abschnitte unterteilt:

  1. Übersicht über die Bereitstellung

  2. Voraussetzungen für die Bereitstellung

  3. Mit der Lösung über mehrere Arbeitsbereiche hinweg arbeiten (VORSCHAU)

  4. Vorbereiten einer SAP-Umgebung

  5. Konfigurieren der Überwachung

  6. Bereitstellen der Microsoft Sentinel-Lösung für SAP®-Anwendungen aus dem Inhaltshub

  7. Bereitstellen des Datenkonnektoragents (Sie sind hier)

  8. Konfigurieren der Microsoft Sentinel-Lösung für SAP®-Anwendungen

  9. Optionale Bereitstellungsschritte

Übersicht zur Bereitstellung des Datenconnector-Agents

Damit die Microsoft Sentinel-Lösung für SAP-Anwendungen ordnungsgemäß funktioniert, müssen Sie zuerst Ihre SAP-Daten in Microsoft Sentinel übertragen. Zu diesem Zweck müssen Sie den SAP-Datenconnector-Agent der Lösung bereitstellen.

Der Datenconnector-Agent wird als Container auf einem virtuellen Linux-Computer (VM) ausgeführt. Diese VM kann entweder in Azure, in der Cloud eines Drittanbieters oder lokal gehostet werden. Wir empfehlen Ihnen, diesen Container mithilfe des Azure-Portals (in der VORSCHAU) zu installieren und zu konfigurieren, Sie können ihn jedoch auch mit einem Kickstart-Skript bereitstellen. Wenn Sie den Datenkonnektoragent für den Docker-Container manuell bereitstellen möchten, z. B. in einem Kubernetes-Cluster, öffnen Sie ein Supportticket, um weitere Details zu erhalten.

Der Agent stellt eine Verbindung mit Ihrem SAP-System her, um die Protokolle und andere Daten daraus abzurufen, und sendet diese Protokolle dann an Ihren Microsoft Sentinel-Arbeitsbereich. Dazu muss sich der Agent bei Ihrem SAP-System authentifizieren – deshalb haben Sie im vorherigen Schritt einen Benutzer und eine Rolle für den Agent in Ihrem SAP-System erstellt.

Sie haben einige Auswahlmöglichkeiten, wie und wo die Konfigurationsinformationen Ihres Agents gespeichert werden sollen, einschließlich Ihrer SAP-Authentifizierungsschlüssel. Die Entscheidung, welche der Möglichkeiten Sie verwenden möchten, kann davon beeinflusst werden, wo Sie Ihre VM bereitstellen und welchen SAP-Authentifizierungsmechanismus Sie verwenden möchten. Dies sind die Optionen in absteigender Reihenfolge der Eignung:

  • Ein Azure Key Vault, auf den durch eine systemseitig zugewiesene verwaltete Azure-Identität zugegriffen wird
  • Eine Azure Key Vault-Instanz, auf die über einen registrierten Microsoft Entra ID-Anwendungsdienstprinzipal zugegriffen wird.
  • Eine Konfigurationsdatei in Klartext

Für jedes dieser Szenarien haben Sie die zusätzliche Möglichkeit, sich mit SNC (Secure Network Communication) von SAP und X.509-Zertifikaten zu authentifizieren. Diese Option bietet eine höhere Ebene der Authentifizierungssicherheit, ist aber nur in einer begrenzten Gruppe von Szenarien eine praktikable Option.

Die Bereitstellung des Containers für den Datenkonnektoragent umfasst die folgenden Schritte:

  1. Erstellen der VM und Einrichten des Zugriffs auf Ihre SAP-Systemanmeldeinformationen. Diese Prozedur muss möglicherweise von einem anderen Team in Ihrer Organisation, aber vor den anderen Prozeduren in diesem Artikel ausgeführt werden.

  2. Richten Sie den Datenkonnektoragent ein, und stellen Sie ihn bereit.

  3. Konfigurieren Sie den Agent, um eine Verbindung mit einem SAP-System herzustellen.

Voraussetzungen

Bevor Sie den Datenkonnektoragent bereitstellen, stellen Sie sicher, dass alle Bereitstellungsvoraussetzungen vorhanden sind. Weitere Informationen finden Sie unter Voraussetzungen für die Bereitstellung der Microsoft Sentinel-Lösung für SAP-Anwendungen.

Wenn Sie außerdem beabsichtigen, NetWeaver/ABAP-Protokolle über eine sichere Verbindung mithilfe von Secure Network Communications (SNC) zu erfassen, führen Sie die entsprechenden Vorbereitungsschritte aus. Weitere Informationen finden Sie unter Bereitstellen des Microsoft Sentinel für SAP-Datenkonnektors mithilfe von SNC.

Erstellen einer VM und Konfigurieren des Zugriffs auf Ihre Anmeldeinformationen

Idealerweise können und sollten Ihre SAP-Konfigurations- und Authentifizierungsgeheimnisse in einem Azure Key Vault gespeichert werden. Wie Sie auf Ihren Schlüsseltresor zugreifen, hängt davon ab, wo Ihre VM bereitgestellt wird:

Hinweis

Diese Prozedur muss möglicherweise von einem anderen Team in Ihrer Organisation, aber vor den anderen Prozeduren in diesem Artikel ausgeführt werden.

Wählen Sie eine der folgenden Registerkarten aus, je nachdem, wie Sie Ihre Authentifizierungsanmeldeinformationen und Konfigurationsdaten speichern und darauf zugreifen möchten.

Erstellen einer verwalteten Identität mit einer Azure-VM

  1. Führen Sie den folgenden Befehl aus, um in Azure eine VM zu erstellen (ersetzen Sie die <placeholders> durch die tatsächlichen Namen aus Ihrer Umgebung):

    az vm create --resource-group <resource group name> --name <VM Name> --image Canonical:0001-com-ubuntu-server-focal:20_04-lts-gen2:latest --admin-username <azureuser> --public-ip-address "" --size  Standard_D2as_v5 --generate-ssh-keys --assign-identity --role <role name> --scope <subscription Id>

    Weitere Informationen finden Sie unter Schnellstart: Erstellen einer Linux-VM mit der Azure CLI.

    Wichtig

    Achten Sie nach dem Erstellen der VM unbedingt darauf, alle Sicherheitsanforderungen und Härtungsverfahren anzuwenden, die in Ihrer Organisation gültig sind.

    Der Befehl oben erstellt die VM-Ressource, wodurch die folgende Ausgabe erzeugt wird:

    {
  "fqdns": "",
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.Compute/virtualMachines/vmname",
  "identity": {
    "systemAssignedIdentity": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy",
    "userAssignedIdentities": {}
  },
  "location": "westeurope",
  "macAddress": "00-11-22-33-44-55",
  "powerState": "VM running",
  "privateIpAddress": "192.168.136.5",
  "publicIpAddress": "",
  "resourceGroup": "resourcegroupname",
  "zones": ""
}

  2. Kopieren Sie die systemAssignedIdentity-GUID, da sie in den kommenden Schritten verwendet wird. Dies ist Ihre verwaltete Identität.

Erstellen eines Schlüsseltresors

Diese Prozedur beschreibt, wie Sie einen Schlüsseltresor zum Speichern der Konfigurationsinformationen Ihres Agents erstellen, einschließlich Ihrer SAP-Authentifizierungsgeheimnisse. Wenn Sie einen vorhandenen Schlüsseltresor verwenden, fahren Sie direkt mit Schritt 2 fort.

So erstellen Sie Ihren Schlüsseltresor:

  1. Führen Sie die folgenden Befehle aus, und ersetzen Sie die <placeholder>-Werte mit tatsächlichen Namen.

    az keyvault create \
  --name <KeyVaultName> \
  --resource-group <KeyVaultResourceGroupName>

  2. Kopieren Sie den Namen Ihres Schlüsseltresors und den Namen seiner Ressourcengruppe. Sie benötigen diese, wenn Sie die Zugriffsberechtigungen für den Schlüsseltresor zuweisen und das Bereitstellungsskript in den nächsten Schritten ausführen.

Schlüsseltresor-Zugriffsberechtigungen zuweisen

  1. Weisen Sie in Ihrem Schlüsseltresor der Identität, die Sie zuvor erstellt und kopiert haben, die folgenden Berechtigungen für die rollenbasierte Zugriffssteuerung in Azure oder die Tresorzugriffsrichtlinie für den Geheimnisbereich zu.

    Berechtigungsmodell Erforderliche Berechtigungen
    Rollenbasierte Zugriffssteuerung (Azure) Key Vault-Geheimnisbenutzer
    Tresorzugriffsrichtlinie get, list

    Verwenden Sie die Optionen im Portal, um die Berechtigungen zuzuweisen, oder führen Sie einen der folgenden Befehle aus, um Ihrer Identität Berechtigungen für die Schlüsseltresorgeheimnisse zuzuweisen, und ersetzen Sie die <placeholder>-Werte mit tatsächlichen Namen. Wählen Sie die Registerkarte für den Identitätstyp aus, den Sie erstellt haben.

    Führen Sie einen der folgenden Befehle aus, abhängig von Ihrem bevorzugten Key Vault-Berechtigungsmodell, um der systemseitig zugewiesenen verwalteten Identität Ihrer VM Berechtigungen für Schlüsseltresorgeheimnisse zuzuweisen. Mit der in den Befehlen angegebenen Richtlinie kann die VM Geheimnisse aus dem Schlüsseltresor auflisten und lesen.

    • Berechtigungsmodell für die rollenbasierte Zugriffssteuerung in Azure:

      az role assignment create --assignee-object-id <ManagedIdentityId> --role "Key Vault Secrets User" --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName> /providers/Microsoft.KeyVault/vaults/<KeyVaultName>

    • Berechtigungsmodell für die Tresorzugriffsrichtlinie:

      az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --object-id <ManagedIdentityId> --secret-permissions get list

  2. Weisen Sie im gleichen Schlüsseltresor dem Benutzer, der den Datenkonnektoragent konfiguriert, die folgenden Berechtigungen für die rollenbasierte Zugriffssteuerung in Azure oder die Tresorzugriffsrichtlinie für den Geheimnisbereich zu:

    Berechtigungsmodell Erforderliche Berechtigungen
    Rollenbasierte Zugriffssteuerung (Azure) Key Vault-Geheimnisbeauftragter
    Tresorzugriffsrichtlinie get, list, set, delete

    Verwenden Sie die Optionen im Portal, um die Berechtigungen zuzuweisen, oder führen Sie einen der folgenden Befehle aus, um dem Benutzer Berechtigungen für die Schlüsseltresorgeheimnisse zuzuweisen, und ersetzen Sie die <placeholder>-Werte mit tatsächlichen Namen:

    • Berechtigungsmodell für die rollenbasierte Zugriffssteuerung in Azure:

      az role assignment create --role "Key Vault Secrets Officer" --assignee <UserPrincipalName> --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName>/providers/Microsoft.KeyVault/vaults/<KeyVaultName>

    • Berechtigungsmodell für die Tresorzugriffsrichtlinie:

      az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --upn <UserPrincipalName>--secret-permissions get list set delete

Bereitstellen des Agenten für den Datenconnector

Nachdem Sie nun eine VM und einen Key Vault erstellt haben, besteht der nächste Schritt darin, einen neuen Agent zu erstellen und eine Verbindung mit einem Ihrer SAP-Systeme herzustellen.

  1. Melden Sie sich bei der neu erstellten VM, auf der Sie den Agent installieren, als Benutzer mit sudo-Berechtigungen an.

  2. Laden Sie das SAP NetWeaver SDK auf den Computer herunter, oder übertragen Sie es.

Verwenden Sie eine der folgenden Prozeduren, je nachdem, ob Sie eine verwaltete Identität oder eine registrierte Anwendung verwenden, um auf Ihren Schlüsseltresor zuzugreifen, und ob Sie das Azure-Portal oder die Befehlszeile für die Bereitstellung des Agenten verwenden:

Tipp

Das Azure-Portal kann nur mit einem Azure-Schlüsseltresor verwendet werden. Wenn Sie stattdessen eine Konfigurationsdatei verwenden, verwenden Sie die entsprechende Befehlszeilenoption.

Optionen im Azure-Portal (Vorschau)

Wählen Sie eine der folgenden Registerkarten aus, abhängig vom Identitätstyp, den Sie für den Zugriff auf Ihren Schlüsseltresor verwenden.

Hinweis

Wenn Sie zuvor SAP-Konnektoragenten manuell oder mithilfe der Kickstartskripts installiert haben, können Sie diese Agents im Azure-Portal nicht konfigurieren oder verwalten. Wenn Sie das Portal zum Konfigurieren und Aktualisieren von Agents verwenden möchten, müssen Sie Ihre vorhandenen Agents über das Portal neu installieren.

Diese Prozedur beschreibt, wie Sie einen neuen Agent über das Azure-Portal erstellen und mit einer verwalteten Identität authentifizieren:

  1. Wählen Sie im Microsoft Sentinel-Navigationsmenü die Option Datenconnectors aus.

  2. Geben Sie in der Suchleiste SAP ein.

  3. Wählen Sie Microsoft Sentinel für SAP aus den Suchergebnissen und dann die Seite „Konnektor öffnen aus.

  4. Um Daten aus einem SAP-System zu sammeln, müssen Sie diese beiden Schritte ausführen:

    1. Erstellen eines neuen Agents
    2. Verbinden des Agents mit einem neuen SAP-System

Erstellen eines neuen Agents

  1. Wählen Sie im Bereich Konfiguration die Option Neuen Agent hinzufügen (Vorschau) aus.

    Screenshot der Anweisungen zum Hinzufügen eines API-basierten SAP-Collector-Agents.

  2. Definieren Sie unter Erstellen eines Collector-Agents auf der rechten Seite die Agentdetails:

    Name Beschreibung
    Agentname Geben Sie einen Agentnamen ein, einschließlich eines der folgenden Zeichen:
    • a – z
    • A – Z
    • 0-9
    • _ (Unterstrich)
    • . (period)
    • - (Bindestrich)
    Abonnement / Schlüsseltresor Wählen Sie das Abonnement und den Schlüsseltresor aus den jeweiligen Dropdownlisten aus.
    NWRFC SDK ZIP-Dateipfad auf der Agent-VM Geben Sie den Pfad in Ihrer VM ein, der das Software Development Kit (SDK)-Archiv (ZIP-Datei) für den SAP NetWeaver-Remote-Funktionsaufruf (Remote Function Call, RFC) enthält.

    Stellen Sie sicher, dass dieser Pfad die SDK-Versionsnummer in der folgenden Syntax enthält: <path>/NWRFC<version number>.zip. Beispiel: /src/test/nwrfc750P_12-70002726.zip
    Aktivieren der SNC-Verbindungsunterstützung Wählen Sie aus, dass NetWeaver/ABAP-Protokolle über eine sichere Verbindung mit Secure Network Communications (SNC) erfasst werden sollen.

    Wenn Sie diese Option auswählen, geben Sie unter dem SAP Cryptographic Library-Pfad auf der Agent-VM den Pfad an, der die sapgenpse-Binärdatei und die libsapcrypto.so-Bibliothek enthält.
    Authentifizierung beim Azure Key Vault Um sich mit einer verwalteten Identität bei Ihrem Schlüsseltresor zu authentifizieren, lassen Sie die Standardoption Verwaltete Identität ausgewählt.

    Sie müssen die verwaltete Identität vorab eingerichtet haben. Weitere Informationen finden Sie unter Erstellen einer VM und Konfigurieren des Zugriffs auf Ihre Anmeldeinformationen.

    Hinweis

    Wenn Sie eine SNC-Verbindung verwenden möchten, stellen Sie sicher, dass Sie in dieser Phase die SNC-Verbindungsunterstützung aktivieren, da Sie nicht zurückkehren und eine SNC-Verbindung aktivieren können, nachdem Sie die Bereitstellung des Agents abgeschlossen haben. Weitere Informationen finden Sie unter Bereitstellen des Microsoft Sentinel für SAP-Datenkonnektors mithilfe von SNC.

    Zum Beispiel:

    Screenshot des Bereichs „Erstellen eines Collector-Agents“.

  3. Wählen Sie Erstellen aus, und überprüfen Sie die Empfehlungen, bevor Sie die Bereitstellung abschließen:

    Screenshot der letzten Phase der Agent-Bereitstellung.

  4. Für die Bereitstellung des SAP-Datenkonnektoragents müssen Sie der VM-Identität Ihres Agents bestimmte Berechtigungen für den Microsoft Sentinel-Arbeitsbereich gewähren, indem Sie die Rolle Agent-Operator für Microsoft Sentinel-Geschäftsanwendungen verwenden.

    Um den Befehl in diesem Schritt auszuführen, müssen Sie ein Ressourcengruppenbesitzer in Ihrem Microsoft Sentinel-Arbeitsbereich sein. Wenn Sie kein Ressourcengruppenbesitzer in Ihrem Arbeitsbereich sind, kann diese Prozedur auch ausgeführt werden, nachdem die Bereitstellung des Agents abgeschlossen ist.

    Kopieren Sie den Rollenzuweisungsbefehl aus Schritt 1, und führen Sie ihn auf Ihrer Agent-VM aus, und ersetzen Sie den Object_ID-Platzhalter durch die Objekt-ID Ihrer VM-Identität. Zum Beispiel:

    Screenshot des Symbols „Kopieren“ für den Befehl aus Schritt 1.

    Um die Objekt-ID Ihrer VM-Identität in Azure zu finden, wechseln Sie zu Unternehmensanwendung>Alle Anwendungen, und wählen Sie Ihren VM-Namen aus. Kopieren Sie den Wert des Felds Objekt-ID, das mit dem kopierten Befehl verwendet werden soll.

    Mit diesem Befehl wird die Azure-Rolle Agent-Operator für Microsoft Sentinel-Geschäftsanwendungen der verwalteten Identität Ihrer VM zugewiesen, wobei nur der Bereich der Daten des angegebenen Agenten im Arbeitsbereich eingeschlossen wird.

    Wichtig

    Durch Zuweisen der Rolle Agent-Operator für Microsoft Sentinel-Geschäftsanwendungen über die CLI wird die Rolle nur für den Bereich der Daten des angegebenen Agents im Arbeitsbereich zugewiesen. Dies ist die sicherste und daher die empfohlene Option.

    Wenn Sie die Rolle über das Azure-Portal zuweisen müssen, empfehlen wir die Zuweisung der Rolle in einem kleinen Bereich, z. B. nur im Microsoft Sentinel-Arbeitsbereich.

  5. Wählen Sie KopierenScreenshot des Symbols „Kopieren“. neben dem Befehl „Agent“ in Schritt 2 aus. Zum Beispiel:

    Screenshot des Befehls „Agent“, der in Schritt 2 kopiert werden soll.

  6. Nachdem Sie die Befehlszeile kopiert haben, wählen Sie Schließen aus.

    Die relevanten Agentinformationen werden in Azure Key Vault bereitgestellt, und der neue Agent ist in der Tabelle unter Hinzufügen eines API-basierten Collector-Agents sichtbar.

    In dieser Phase lautet der Integritätsstatus des Agents „Unvollständige Installation. Bitte folgen Sie den Anweisungen“. Wenn der Agent erfolgreich hinzugefügt wurde, ändert sich der Status in Agent fehlerfrei. Diese Aktualisierung kann bis zu zehn Minuten dauern. Zum Beispiel:

    Screenshot der Integritätsstatus von API-basierten Collector-Agents auf der Seite „SAP-Datenkonnektor“.

    Hinweis

    Die Tabelle zeigt den Agentnamen und den Integritätsstatus nur für die Agents, die Sie über das Azure-Portal bereitstellen. Agents, die über die Befehlszeile bereitgestellt werden, werden hier nicht angezeigt.

  7. Öffnen Sie auf der VM, auf der Sie den Agent installieren wollen, ein Terminal, und führen Sie den Befehl „Agent“ aus, den Sie im vorherigen Schritt kopiert haben.

    Das Skript aktualisiert die Betriebssystemkomponenten und installiert die Azure CLI, Docker-Software und andere erforderliche Dienstprogramme, z. B. jq, netcat und curl.

    Stellen Sie dem Skript nach Bedarf zusätzliche Parameter bereit, um die Containerbereitstellung anzupassen. Weitere Informationen zu verfügbaren Befehlszeilenoptionen finden Sie unter Kickstart-Skriptreferenz.

    Wenn Sie Ihren Befehl erneut kopieren müssen, wählen Sie AnsichtScreenshot des Symbols „Ansicht“. rechts neben der Spalte Integrität aus, und kopieren Sie den Befehl neben dem Agent-Befehl rechts unten.

Herstellen einer Verbindung mit einem neuen SAP-System

Jeder, der eine neue Verbindung zu einem SAP-System hinzufügt, muss über Schreibberechtigungen verfügen für den Schlüsseltresor, in dem die SAP-Anmeldeinformationen gespeichert sind. Weitere Informationen finden Sie unter Erstellen einer VM und Konfigurieren des Zugriffs auf Ihre Anmeldeinformationen.

  1. Wählen Sie im Bereich Konfiguration die Option Neues System hinzufügen (Vorschau) aus.

    Screenshot des Bereichs „Neues System hinzufügen“.

  2. Wählen Sie unter Agent auswählen den Agent, den Sie im vorherigen Schritt erstellt haben.

  3. Wählen Sie unter Systembezeichner den Servertyp aus, und geben Sie die Serverdetails an.

  4. Wählen Sie Weiter: Authentifizierung aus.

  5. Geben Sie für die Standardauthentifizierung den Benutzer und das Kennwort an. Wenn Sie beim Einrichten des Agents eine SNC-Verbindung ausgewählt haben, wählen Sie SNC aus, und geben Sie die Zertifikatdetails an.

  6. Wählen Sie Weiter: Protokolle aus.

  7. Wählen Sie aus, welche Protokolle Sie aus SAP pullen wollen, und wählen Sie Weiter: Überprüfen und Erstellen aus.

  8. Überprüfen Sie die von Ihnen definierten Einstellungen. Wählen Sie Zurück aus, um Einstellungen zu ändern, oder wählen Sie Bereitstellen aus, um das System bereitzustellen.

  9. Die von Ihnen definierte Systemkonfiguration wird in Azure Key Vault bereitgestellt. Die Systemdetails werden jetzt in der Tabelle unter Konfigurieren eines SAP-Systems und Zuweisen zu einem Collector-Agent angezeigt. Diese Tabelle zeigt den zugehörigen Agentnamen, die SAP-System-ID (SID) und den Integritätsstatus für Systeme angezeigt, die Sie über das Azure-Portal oder über andere Methoden hinzugefügt haben.

    In dieser Phase ist der Integritätsstatus des Systems Ausstehend. Wenn der Agent erfolgreich aktualisiert wurde, pullt er die Konfiguration aus dem Azure Key Vault, und der Status ändert sich in System fehlerfrei. Diese Aktualisierung kann bis zu zehn Minuten dauern.

    Erfahren Sie mehr darüber, wie Sie die Integrität Ihres SAP-Systems überwachen.

Befehlszeilenoptionen

Wählen Sie eine der folgenden Registerkarten aus, abhängig vom Identitätstyp, den Sie für den Zugriff auf Ihren Schlüsseltresor verwenden:

Erstellen Sie einen neuen Agent mithilfe der Befehlszeile, und authentifizieren Sie sich mit einer verwalteten Identität:

  1. Laden Sie das Kickstart-Skript der Bereitstellung herunter, und führen Sie es aus:

    Für die öffentliche kommerzielle Azure-Cloud lautet der Befehl wie folgt:

    wget -O sapcon-sentinel-kickstart.sh https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-sentinel-kickstart.sh && bash ./sapcon-sentinel-kickstart.sh

    • Für Microsoft Azure, betrieben von 21Vianet, fügen Sie --cloud mooncake an das Ende des kopierten Befehls hinzu.

    • Für Azure Government – USA fügen Sie --cloud fairfax an das Ende des kopierten Befehls hinzu.

    Das Skript aktualisiert die Betriebssystemkomponenten, installiert die Azure CLI- und Docker-Software und weitere erforderliche Dienstprogramme (jq, netcat, curl) und fordert Sie dann auf, die Werte für Konfigurationsparameter einzugeben. Sie können zusätzliche Parameter für das Skript angeben, um die Anzahl der Eingabeaufforderungen zu minimieren oder die Containerbereitstellung anzupassen. Weitere Informationen zu verfügbaren Befehlszeilenoptionen finden Sie unter Kickstart-Skriptreferenz.

  2. Befolgen Sie die Anweisungen auf dem Bildschirm, um Ihre SAP- und Key Vault-Details einzugeben und die Bereitstellung abzuschließen. Nach Abschluss der Bereitstellung wird eine Bestätigungsmeldung angezeigt:

    The process has been successfully completed, thank you!

    Beachten Sie den Namen des Docker-Containers in der Skriptausgabe. Um die Liste der Docker-Container auf Ihrer VM anzuzeigen, führen Sie Folgendes aus:

    docker ps -a

    Sie werden den Namen des Docker-Containers im nächsten Schritt verwenden.

  3. Für die Bereitstellung des SAP-Datenkonnektoragents müssen Sie der VM-Identität Ihres Agents bestimmte Berechtigungen für den Microsoft Sentinel-Arbeitsbereich gewähren, indem Sie die Rolle Agent-Operator für Microsoft Sentinel-Geschäftsanwendungen verwenden.

    Um den Befehl in diesem Schritt auszuführen, müssen Sie ein Ressourcengruppenbesitzer in Ihrem Microsoft Sentinel-Arbeitsbereich sein. Wenn Sie kein Ressourcengruppenbesitzer in Ihrem Arbeitsbereich sind, kann diese Prozedur auch später ausgeführt werden.

    Weisen Sie die Rolle Agent-Operator für Microsoft Sentinel-Geschäftsanwendungen der Identität der VM zu:

    1. Rufen Sie die Agent-ID ab, indem Sie den folgenden Befehl ausführen und dabei den <container_name>-Platzhalter durch den Namen des Docker-Containers ersetzen, den Sie mit dem Kickstartskript erstellt haben:

      docker inspect <container_name> | grep -oP '"SENTINEL_AGENT_GUID=\K[^"]+

      Eine zurückgegebene Agent-ID kann z. B. 234fba02-3b34-4c55-8c0e-e6423ceb405b sein.

    2. Weisen Sie den Agent-Operator für Microsoft Sentinel-Geschäftsanwendungen zu, indem Sie den folgenden Befehl ausführen:

    az role assignment create --assignee <OBJ_ID> --role "Microsoft Sentinel Business Applications Agent Operator" --scope /subscriptions/<SUB_ID>/resourcegroups/<RESOURCE_GROUP_NAME>/providers/microsoft.operationalinsights/workspaces/<WS_NAME>/providers/Microsoft.SecurityInsights/BusinessApplicationAgents/<AGENT_IDENTIFIER>

    Ersetzen Sie Platzhalterwerte wie folgt:

    Platzhalter Wert
    <OBJ_ID> Die Objekt-ID Ihrer VM-Identität.

    Um die Objekt-ID Ihrer VM-Identität in Azure zu finden, wechseln Sie zu Unternehmensanwendung>Alle Anwendungen, und wählen Sie Ihren VM-Namen aus. Kopieren Sie den Wert des Felds Objekt-ID, das mit dem kopierten Befehl verwendet werden soll.
    <SUB_ID> Die Abonnement-ID für Ihren Microsoft Sentinel-Arbeitsbereich
    <RESOURCE_GROUP_NAME> Der Ressourcengruppenname Ihres Microsoft Sentinel-Arbeitsbereichs
    <WS_NAME> Der Name Ihres Microsoft Sentinel-Arbeitsbereichs
    <AGENT_IDENTIFIER> Die Agent-ID, die nach dem Ausführen des Befehls im vorherigen Schritt angezeigt wird.

  4. Um den Docker-Container so zu konfigurieren, dass er automatisch gestartet wird, führen Sie den folgenden Befehl aus, und ersetzen Sie dabei den <container-name>-Platzhalter durch den Namen Ihres Containers:

    docker update --restart unless-stopped <container-name>

Nächste Schritte

Nachdem der Connector bereitgestellt wurde, fahren Sie mit der Bereitstellung der Inhalte für die Microsoft Sentinel-Lösung für SAP®-Anwendungen fort:

Bereitstellen des Lösungsinhalts aus dem Inhaltshub

Sehen Sie sich dieses YouTube-Video im YouTube-Kanal der Microsoft Security-Community an, um Anleitungen zur Überprüfung der Integrität und Konnektivität des SAP-Konnektors zu erhalten.