Konfigurieren von SAP Business ByDesign für einmaliges Anmelden mit Microsoft Entra ID

In diesem Artikel erfahren Sie, wie Sie SAP Business ByDesign mit Microsoft Entra ID integrieren. Die Integration von SAP Business ByDesign mit Microsoft Entra ID ermöglicht Folgendes:

• Steuern Sie in Microsoft Entra ID, wer Zugriff auf SAP Business ByDesign hat.
• Ermöglichen Sie es Ihren Benutzer*innen, sich mit ihren Microsoft Entra-Konten automatisch bei SAP Business ByDesign anzumelden.
• Verwalten Sie Ihre Konten an einem zentralen Ort.

Voraussetzungen

In diesem Artikel wird davon ausgegangen, dass Sie bereits über die folgenden Voraussetzungen verfügen:

• Ein Microsoft Entra-Benutzerkonto mit einem aktiven Abonnement. Wenn Sie noch kein Konto besitzen, können Sie kostenlos ein Konto erstellen.
• Eine der folgenden Rollen:
  • Anwendungsadministrator
  • Cloudanwendungsadministrator
  • Anwendungsbesitzer.

• Ein SAP Business ByDesign-Abonnement, für das einmaliges Anmelden (Single Sign-On, SSO) aktiviert ist

Beschreibung des Szenarios

In diesem Artikel konfigurieren und testen Sie Microsoft Entra SSO in einer Testumgebung.

• SAP Business ByDesign unterstützt SP-eingeleitetes SSO

Hinzufügen von SAP Business ByDesign aus dem Katalog

Zum Konfigurieren der Integration von SAP Business ByDesign in Microsoft Entra ID müssen Sie SAP Business ByDesign aus dem Katalog der Liste der verwalteten SaaS-Apps hinzufügen.

1. Melden Sie sich mindestens als Cloudanwendungsadministrator beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Entra ID>Enterprise-Apps>Neue Anwendung.
3. Geben Sie im Abschnitt "Aus der Galerie hinzufügen" im Suchfeld "SAP Business ByDesign" ein.
4. Wählen Sie sap Business ByDesign aus dem Ergebnisbereich aus, und fügen Sie die App hinzu. Warten Sie einige Sekunden, während die App Ihrem Mandanten hinzugefügt wird.

Alternativ können Sie auch den Konfigurations-Assistenten für Enterprise-Apps verwenden. In diesem Assistenten können Sie Ihrem Mandanten eine Anwendung hinzufügen, der App Benutzer und Gruppen hinzufügen, Rollen zuweisen und die SSO-Konfiguration einrichten. Erfahren Sie mehr über Microsoft 365-Assistenten.

Konfigurieren und Testen des einmaligen Anmeldens (SSO) von Microsoft Entra

Konfigurieren und testen Sie Microsoft Entra SSO mit SAP Business ByDesign mithilfe eines Testbenutzers namens B.Simon. Damit SSO funktioniert, muss eine Linkbeziehung zwischen einem Microsoft Entra-Benutzer und dem entsprechenden Benutzer in SAP Business ByDesign eingerichtet werden.

Führen Sie die folgenden Schritte aus, um das einmalige Anmelden von Microsoft Entra mit SAP Business ByDesign zu konfigurieren und zu testen:

1. Konfigurieren Sie Microsoft Entra SSO – damit Ihre Benutzer dieses Feature verwenden können.
   1. Erstellen Sie einen Microsoft Entra-Testbenutzer – um microsoft Entra Single Sign-On mit B.Simon zu testen.
   2. Weisen Sie den Microsoft Entra-Testbenutzer zu – damit B.Simon das Einmalige Anmelden von Microsoft Entra verwenden kann.
2. Konfigurieren Sie SAP Business ByDesign SSO – um die Einstellungen für einmaliges Anmelden auf Anwendungsseite zu konfigurieren.
   1. Erstellen Sie SAP Business ByDesign-Testbenutzer – um ein Gegenstück von Britta Simon in SAP Business ByDesign zu haben, das mit der Microsoft Entra-Darstellung des Benutzers verknüpft ist.
3. Testen Sie SSO – um zu überprüfen, ob die Konfiguration funktioniert.

Konfigurieren des einmaligen Anmeldens (SSO) von Microsoft Entra

Gehen Sie wie folgt vor, um das einmalige Anmelden von Microsoft Entra zu aktivieren.

1. Melden Sie sich mindestens als Cloudanwendungsadministrator beim Microsoft Entra Admin Center an.

2. Navigieren Sie zu Entra ID>Enterprise-Apps>SAP Business ByDesign>Single Sign-On.

3. Wählen Sie auf der Seite " Single Sign-On-Methode auswählen " SAML aus.

4. Wählen Sie auf der Seite " Einmaliges Anmelden mit SAML einrichten " das Stiftsymbol für die grundlegende SAML-Konfiguration aus, um die Einstellungen zu bearbeiten.

   

5. Führen Sie im Abschnitt "Grundlegende SAML-Konfiguration " die folgenden Schritte aus:

   a) Geben Sie im Textfeld "Anmelde-URL " eine URL mit dem folgenden Muster ein: https://<servername>.sapbydesign.com

   b. Geben Sie im Textfeld Id (Entitäts-ID) eine URL mit dem folgenden Muster ein: https://<servername>.sapbydesign.com

   Hinweis

   Diese Werte sind nicht real. Ersetzen Sie diese Werte durch die tatsächliche Anmelde-URL und den tatsächlichen Bezeichner. Wenden Sie sich an das SAP Business ByDesign Client-Supportteam , um diese Werte abzurufen. Sie können auch auf die Muster verweisen, die im Abschnitt "Grundlegende SAML-Konfiguration " angezeigt werden.

6. Die SAP Business ByDesign-Anwendung erwartet die SAML-Assertionen in einem bestimmten Format. Konfigurieren Sie die folgenden Ansprüche für diese Anwendung. Sie können die Werte dieser Attribute über den Abschnitt " Benutzerattribute " auf der Anwendungsintegrationsseite verwalten. Wählen Sie auf der Seite " Einzelne Sign-On mit SAML einrichten " die Schaltfläche "Bearbeiten " aus, um das Dialogfeld " Benutzerattribute " zu öffnen.

   

7. Wählen Sie das Symbol "Bearbeiten" aus, um den Namenbezeichnerwert zu bearbeiten.

   

8. Führen Sie im Abschnitt "Benutzeransprüche verwalten " die folgenden Schritte aus:

   

   a) Wählen Sie "Transformation " als Quelle aus.

   b. Wählen Sie in der Dropdownliste "Transformation " die Option ExtractMailPrefix().

   Hinweis

   Standardmäßig verwendet SAP Business ByDesign das NameID-Format, das für die Benutzerzuordnung nicht angegeben ist . Diese Anwendung ordnet die NameID von SAML-Assertionen für den SAP Business ByDesign-Benutzeralias zu. Darüber hinaus unterstützt diese Anwendung das Namens-ID-Format "emailAddress". In diesem Fall ordnet die Anwendung die NameID der SAML-Assertion der SAP Business ByDesign-Benutzer-E-Mail-Adresse der SAP Business ByDesign-Mitarbeiterkontaktdaten zu. Weitere Informationen finden Sie unter Single Sign-On (SSO) mit SAP Business ByDesign.

9. Wählen Sie auf der Seite "Einzelne Sign-On mit SAML einrichten" im Abschnitt "SAML-Signaturzertifikat" die Option "Herunterladen" aus, um das Federation Metadata XML aus den gegebenen Optionen herunterzuladen und speichern Sie es auf Ihrem Computer.

   

10. Kopieren Sie im Abschnitt "SAP Business ByDesign einrichten " die entsprechenden URLs nach Bedarf für die Anwendung.

    

Erstellen und Zuweisen eines Microsoft Entra-Testbenutzers

Befolgen Sie die Richtlinien in der Schnellstart-Anleitung zum Erstellen und Zuweisen eines Benutzerkontos, um ein Testbenutzerkonto namens B.Simon zu erstellen.

Konfigurieren des einmaligen Anmeldens für SAP Business ByDesign

1. Melden Sie sich beim SAP Business ByDesign-Portal mit Administratorrechten an.

2. Navigieren Sie zur allgemeinen Aufgabe "Anwendung" und "Benutzerverwaltung ", und wählen Sie die Registerkarte " Identitätsanbieter " aus.

3. Wählen Sie "Neuer Identitätsanbieter " aus, und wählen Sie die metadaten-XML-Datei aus, die Sie heruntergeladen haben. Nachdem Sie die Metadaten importiert haben, lädt die Anwendung automatisch das erforderliche Signaturzertifikat und das Verschlüsselungszertifikat hoch.

   

4. Um die Assertion Consumer Service-URL in die SAML-Anforderung einzuschließen, wählen Sie "Assertion Consumer Service-URL einschließen" aus.

5. Wählen Sie "Einmaliges Anmelden aktivieren" aus.

6. Speichern Sie die Änderungen.

7. Wählen Sie die Registerkarte "Mein System " aus.

   

8. Fügen Sie im Textfeld " Microsoft Entra ID Sign On URL" den Anmelde-URL-Wert ein, den Sie zuvor kopiert haben.

   

9. Geben Sie an, ob der Mitarbeiter manuell zwischen der Anmeldung mit Benutzer-ID und Kennwort oder SSO wählen kann, indem Sie die Auswahl des manuellen Identitätsanbieters auswählen.

10. Geben Sie im Abschnitt "SSO-URL " die URL an, die vom Mitarbeiter zum Anmelden bei der Anwendung verwendet werden soll. In der Dropdownliste „URL Sent to Employee“ (An Mitarbeiter gesendete URL) können Sie zwischen den folgenden Optionen wählen:

    Nicht-SSO-URL

    Das System sendet nur die normale System-URL an den Mitarbeiter. Der Mitarbeiter kann sich nicht mit SSO anmelden und muss stattdessen ein Kennwort oder Zertifikat verwenden.

    SSO-URL

    Das System sendet nur die SSO-URL an den Mitarbeiter. Der Mitarbeiter kann sich mit SSO anmelden. Die Authentifizierungsanforderung wird über den IdP umgeleitet.

    Automatische Auswahl

    Ist SSO nicht aktiv, sendet das System die normale System-URL an den Mitarbeiter. Wenn SSO aktiv ist, überprüft das System, ob der Mitarbeiter über ein Kennwort verfügt. Ist ein Kennwort verfügbar, werden sowohl die SSO-URL als auch die URL ohne SSO an den Mitarbeiter gesendet. Besitzt der Mitarbeiter kein Kennwort, wird jedoch nur die SSO-URL an den Mitarbeiter gesendet.

11. Speichern Sie die Änderungen.

Erstellen eines SAP Business ByDesign-Testbenutzers

In diesem Abschnitt erstellen Sie in SAP Business ByDesign einen Benutzer mit dem Namen Britta Simon. Bitte arbeiten Sie mit dem Supportteam von SAP Business ByDesign Client zusammen, um die Benutzer auf der SAP Business ByDesign-Plattform hinzuzufügen.

Hinweis

Stellen Sie sicher, dass der Wert für „NameID“ mit dem Feld „username“ der SAP Business ByDesign-Plattform übereinstimmt.

Testen des einmaligen Anmeldens

In diesem Abschnitt testen Sie die Microsoft Entra-Konfiguration für einmaliges Anmelden mit den folgenden Optionen.

1. Wählen Sie "Diese Anwendung testen" aus, die den Webbrowser an die URL "SAP Business ByDesign Sign-on" umleitet, in der Sie den Anmeldefluss initiieren können.

2. Rufen Sie direkt die SAP Business ByDesign-Anmelde-URL auf, und initiieren Sie den Anmeldeflow.

3. Sie können „Meine Apps“ von Microsoft verwenden. Wenn Sie die Kachel "SAP Business ByDesign" in "Meine Apps" auswählen, leitet der Webbrowser zur URL "SAP Business ByDesign Sign-on" um. Weitere Informationen zu "Meine Apps" finden Sie in der Einführung in "Meine Apps".

Verwandte Inhalte

• Nachdem Sie SAP Business ByDesign für SSO konfiguriert haben, können Sie die Sitzungssteuerung erzwingen, wodurch Exfiltration und Infiltration vertraulicher Daten Ihrer Organisation in Echtzeit verhindert wird. Die Sitzungssteuerung basiert auf bedingtem Zugriff. Erfahren Sie, wie Sie die Sitzungssteuerung mit Microsoft Defender für Cloud-Apps erzwingen.