Azure-identitás- és biztonsági szolgáltatások az SAP RISE használatával

Cikk
07/20/2024

Ez a cikk az Azure-identitás- és biztonsági szolgáltatások SAP RISE számítási feladattal való integrálását ismerteti. Emellett néhány Azure monitorozási szolgáltatás használatát is elmagyarázzák az SAP RISE-környezethez.

Egyszeri bejelentkezés az SAP-hoz

Az egyszeri bejelentkezés (SSO) számos SAP-környezethez van konfigurálva. Az ECS/RISE rendszerben futó SAP-számítási feladatok esetén a megvalósítás lépései nem különböznek a natívan futtatott SAP-rendszerektől. A Microsoft Entra ID-alapú egyszeri bejelentkezéssel való integrációs lépések a tipikus ECS/RISE felügyelt számítási feladatokhoz érhetők el:

Egyszeri bejelentkezés metódusa	Identitásszolgáltató	Tipikus használati eset	Megvalósítás
SAML/OAuth	Microsoft Entra ID	SAP Fiori, webes grafikus felület, portál, HANA	Konfiguráció ügyfél szerint
SNC	Microsoft Entra ID	SAP GUI	Konfiguráció ügyfél szerint
SPNEGO	Active Directory (AD)	Webes grafikus felület, SAP Enterprise Portal	Konfigurálás ügyfél és SAP szerint

Az ECS/RISE által felügyelt SAP-környezethez tartozó Windows-tartomány Active Directory (AD) általi egyszeri bejelentkezése az SAP SSO biztonságos bejelentkezési ügyfélprogrammal AD-integrációt igényel a végfelhasználói eszközökhöz. Az SAP RISE használatával a Windows-rendszerek nincsenek integrálva az ügyfél Active Directory-tartományával. A tartományintegráció nem szükséges az egyszeri bejelentkezéshez az AD/Kerberos szolgáltatással, mivel a tartományi biztonsági jogkivonat beolvassa az ügyféleszközön, és biztonságosan kicseréli az SAP-rendszerrel. Lépjen kapcsolatba az SAP-val, ha az AD-alapú egyszeri bejelentkezés integrálásához vagy az SAP SSO biztonságos bejelentkezési ügyféltől eltérő harmadik féltől származó termékek használatához bármilyen módosítást igényel, mivel a RISE által felügyelt rendszereken bizonyos konfigurációkra lehet szükség.

A Copilot for Security és az SAP RISE

A Copilot for Security egy generatív AI biztonsági termék, amely lehetővé teszi a biztonsági és informatikai szakemberek számára a kiberfenyegetésekre, a folyamatjelekre való reagálást, valamint a kockázatnak való kitettség felmérését a mesterséges intelligencia sebességével és méretével. Saját portállal és beágyazott felületekkel rendelkezik a Microsoft Defender XDR-ben, a Microsoft Sentinelben és az Intune-ban.

Bármilyen adatforrással használható, amelyet a Defender XDR és a Sentinel támogat, beleértve az SAP RISE/ECS-t is. Az alábbiakban az önálló élményt mutatjuk be.

Emellett a Copilot for Security felület beágyazva van a Defender XDR portálra. Az AI által létrehozott összefoglalás mellett a javaslatok és a szervizelés, például az SAP jelszó-alaphelyzetbe állítása is elérhető. További információ az SAP automatikus támadási zavarairól.

Microsoft Sentinel és SAP RISE

Az SAP RISE által az SAP-alkalmazásokhoz készült Microsoft Sentinel-megoldás lehetővé teszi a gyanús tevékenységek monitorozását, észlelését és megválaszolását. A Microsoft Sentinel védi a kritikus adatokat az Azure-ban, más felhőkben vagy helyszíni infrastruktúrában üzemeltetett SAP-rendszerek kifinomult kibertámadásai ellen. A Microsoft Sentinel Solution for SAP BTP kiterjeszti ezt a lefedettséget az SAP Business Technology Platformra (BTP).

A megoldás lehetővé teszi, hogy áttekintse az SAP RISE/ECS és az SAP üzleti logikai rétegei felhasználói tevékenységeit, és alkalmazza a Sentinel beépített tartalmát.

Egyetlen konzol használatával monitorozza az összes vállalati tulajdont, beleértve az SAP RISE/ECS-példányokat az Azure-ban és más felhőkben, az SAP Azure natív és helyszíni tulajdonát
Fenyegetések észlelése és automatikus reagálása: gyanús tevékenységek észlelése, beleértve a jogosultságok eszkalálását, a jogosulatlan módosításokat, a bizalmas tranzakciókat, az adatkiszivárgást és egyebeket a beépített észlelési képességekkel
Az SAP-tevékenység korrelációja más jelekkel: pontosabban észlelheti az SAP-fenyegetéseket a végpontok, a Microsoft Entra-adatok és egyebek közötti keresztkorrelációval
Testreszabás az igényei alapján – saját észlelések készítése a bizalmas tranzakciók és egyéb üzleti kockázatok monitorozásához
Adatok vizualizációja beépített munkafüzetekkel

Az SAP RISE/ECS esetében a Microsoft Sentinel-megoldást az ügyfél Azure-előfizetésében kell üzembe helyezni. A Sentinel-megoldás minden részét az ügyfél kezeli, nem az SAP. A magánhálózati kapcsolat az ügyfél virtuális hálózatáról az SAP RISE/ECS által felügyelt SAP-környezetek eléréséhez szükséges. Ez a kapcsolat általában a meglévő virtuális hálózatok közötti társviszonyon vagy a jelen dokumentumban ismertetett alternatívákon keresztül történik.

A megoldás engedélyezéséhez csak egy jogosult RFC-felhasználóra van szükség, és semmit sem kell telepíteni az SAP-rendszerekre. A megoldáshoz mellékelt tárolóalapú SAP-adatgyűjtési ügynök virtuális gépen vagy AKS-en/bármely Kubernetes-környezetben telepíthető. A gyűjtőügynök egy SAP-szolgáltatás felhasználóját használja az alkalmazásnaplók adatainak felhasználásához az SAP-környezetből az RFC-felületen keresztül standard RFC-hívások használatával.

Az SAP RISE-ban támogatott hitelesítési módszerek: SAP felhasználónév és jelszó vagy X509/SNC-tanúsítványok
Sap RISE/ECS-környezetekben jelenleg csak RFC-alapú kapcsolatok lehetségesek

Fontos

A Microsoft Sentinel SAP RISE/ECS környezetben való futtatásához a következő naplómezőkre/forrásra vonatkozó SAP-átviteli változáskérés importálása szükséges: Ügyfél IP-címadatai az SAP biztonsági auditnaplójából, db táblanaplók (előzetes verzió), készlet kimeneti naplója. A Sentinel beépített tartalmai (észlelések, munkafüzetek és forgatókönyvek) széles körű lefedettséget és korrelációt biztosítanak ezen naplóforrások nélkül.
Az SAP-infrastruktúra és az operációs rendszer naplói a megosztott felelősségi modell miatt nem érhetők el a Sentinel számára a RISE-ban.

Automatikus válasz a Sentinel szárnyalási képességeivel

Előre összeállított forgatókönyvek használatával gyorsan reagálhat a fenyegetésekre a biztonsági, vezénylési, automatizálási és reagálási képességek (SOAR) érdekében. Az első népszerű forgatókönyv az SAP felhasználói blokkolása a Microsoft Teams beavatkozási lehetőségével. Az integrációs minta bármilyen incidenstípusra és célszolgáltatásra alkalmazható, amely az SAP Business Technology Platform (BTP) vagy a Microsoft Entra ID felé terjed a támadási felület csökkentése érdekében.

További információ a Microsoft Sentinelről és az SAP-hoz készült SOAR-ról: a Kritikus SAP biztonsági jelzéseit a Microsoft Sentinellel a nullától a fő biztonsági lefedettségig című blogsorozatban tekintheti meg.

További információ a Microsoft Sentinelről és az SAP-ról, beleértve az üzembe helyezési útmutatót is, lásd a Sentinel termékdokumentációját.

Azure Monitoring for SAP with SAP RISE

Az Azure Monitor az SAP-megoldásokhoz egy natív Azure-megoldás az SAP-rendszer figyeléséhez. Kibővíti az Azure Monitor platform monitorozási képességét, és támogatja az SAP NetWeaver, az adatbázis és az operációs rendszer adatainak gyűjtését.

Az SAP RISE/ECS az SAP-környezet teljes körűen felügyelt szolgáltatása, így az Azure Monitoring for SAP nem használható ilyen felügyelt környezetekhez. Az SAP RISE/ECS nem támogatja az Azure Monitor sap-megoldásokkal való integrációját. Az SAP saját monitorozási és jelentéskészítési szolgáltatása az ügyfél számára az SAP szolgáltatásleírásában meghatározottak szerint történik.

Azure Center for SAP Solutions

Az SAP-megoldásokhoz készült Azure Monitoringhoz hasonlóan az SAP RISE/ECS sem támogatja az Azure Center for SAP Solutions szolgáltatással való integrációt. Az SAP RISE összes számítási feladatát üzembe helyezi az SAP, és az SAP Azure-bérlőjében és előfizetésében fut anélkül, hogy az ügyfél hozzáfér az Azure-erőforrásokhoz.

Következő lépések

Tekintse meg a dokumentációt:

Megosztás a következőn keresztül: