Bagikan melalui

Menyebarkan konektor data Microsoft Azure Sentinel untuk SAP dengan menggunakan SNC

  • Artikel

Artikel ini menunjukkan kepada Anda cara menyebarkan konektor data Microsoft Sentinel untuk SAP untuk menyerap log SAP NetWeaver dan SAP ABAP melalui koneksi aman dengan menggunakan Secure Network Communications (SNC).

Agen konektor data SAP biasanya terhubung ke server SAP ABAP dengan menggunakan koneksi panggilan fungsi jarak jauh (RFC) dan nama pengguna dan kata sandi untuk autentikasi.

Namun, beberapa lingkungan mungkin mengharuskan koneksi dibuat pada saluran terenkripsi, dan beberapa lingkungan mungkin memerlukan sertifikat klien untuk digunakan untuk autentikasi. Dalam kasus ini, Anda dapat menggunakan SNC dari SAP untuk menghubungkan konektor data Anda dengan aman. Selesaikan langkah-langkah seperti yang diuraikan dalam artikel ini.

Prasyarat

Untuk menyebarkan konektor data Microsoft Sentinel untuk SAP dengan menggunakan SNC, Anda memerlukan:

  • Pustaka Kriptografi SAP.
  • Konektivitas jaringan. SNC menggunakan port 48xx (di mana xx adalah nomor instans SAP) untuk terhubung ke server ABAP.
  • Server SAP dikonfigurasi untuk mendukung autentikasi SNC.
  • Sertifikat yang diterbitkan otoritas sertifikat (CA) yang ditandatangani sendiri atau perusahaan untuk autentikasi pengguna.

Catatan

Artikel ini menjelaskan contoh kasus untuk mengonfigurasi SNC. Di lingkungan produksi, kami sangat menyarankan Anda berkonsultasi dengan administrator SAP untuk membuat rencana penyebaran.

Mengekspor sertifikat server

Untuk memulai, ekspor sertifikat server:

  1. Masuk ke klien SAP dan jalankan transaksi STRUST.

  2. Di panel kiri, buka SNC SAPCryptolib dan perluas bagian .

  3. Pilih sistem, lalu pilih nilai untuk Subjek.

    Informasi sertifikat server ditampilkan di bagian Sertifikat .

  4. Pilih Ekspor sertifikat.

    Screenshot that shows how to export a server certificate.

  5. Dalam dialog Ekspor Sertifikat:

    1. Untuk format file, pilih Base64.

    2. Di samping Jalur File, pilih ikon kotak ganda.

    3. Pilih nama file untuk mengekspor sertifikat.

    4. Pilih tanda centang hijau untuk mengekspor sertifikat.

Mengimpor sertifikat

Bagian ini menjelaskan cara mengimpor sertifikat sehingga dipercaya oleh server ABAP Anda. Anda perlu memahami sertifikat yang perlu diimpor ke dalam sistem SAP. Hanya kunci publik sertifikat yang perlu diimpor ke dalam sistem SAP.

  • Jika sertifikat pengguna ditandatangani sendiri: Impor sertifikat pengguna.

  • Jika sertifikat pengguna dikeluarkan oleh OS perusahaan: Impor sertifikat OS perusahaan. Jika server CA root dan subordinat digunakan, impor sertifikat publik CA akar dan subordinat.

Untuk mengimpor sertifikat Anda:

  1. Jalankan transaksi STRUST.

  2. Pilih Tampilkan<->Ubah.

  3. Pilih Impor sertifikat.

  4. Dalam dialog Impor sertifikat:

    1. Di samping Jalur file, pilih ikon kotak ganda dan buka sertifikat.

    2. Buka file yang berisi sertifikat (hanya untuk kunci umum) dan pilih tanda centang hijau untuk mengimpor sertifikat.

      Informasi sertifikat ditampilkan di bagian Sertifikat.

    3. Pilih Tambahkan ke Daftar Sertifikat.

      Sertifikat muncul di bagian Daftar Sertifikat.

Mengaitkan sertifikat dengan akun pengguna

Untuk mengaitkan sertifikat dengan akun pengguna:

  1. Jalankan transaksi SM30.

  2. Di Tabel/Tampilan, masukkan USRACLEXT, lalu pilih Pertahankan.

  3. Tinjau output dan identifikasi apakah pengguna target sudah memiliki nama SNC terkait. Jika tidak ada nama SNC yang terkait dengan pengguna, pilih Entri Baru.

    Screenshot that shows how to create a new entry in the USERACLEXT table.

  4. Untuk Pengguna, masukkan nama pengguna. Untuk Nama SNC, masukkan nama subjek sertifikat pengguna yang diawali dengan p:, lalu pilih Simpan.

    Screenshot that shows how to create a new user in USERACLEXT table.

Memberikan hak masuk dengan menggunakan sertifikat

Untuk memberikan hak masuk:

  1. Jalankan transaksi SM30.

  2. Di Tabel/Tampilan, masukkan VSNCSYSACL, lalu pilih Pertahankan.

  3. Dalam perintah informasi yang muncul, konfirmasikan bahwa tabel tersebut adalah lintas klien.

  4. Di Tentukan Area Kerja: Entri, masukkan E untuk Jenis entri ACL, lalu pilih tanda centang hijau.

  5. Tinjau output dan identifikasi apakah pengguna target sudah memiliki nama SNC terkait. Jika pengguna tidak memiliki nama SNC terkait, pilih Entri Baru.

    Screenshot that shows how to create a new entry in the VSNCSYSACL table.

  6. Masukkan ID sistem dan nama subjek sertifikat pengguna Anda dengan awalan p:.

    Screenshot that shows how to create a new user in the VSNCSYSACL table.

  7. Pastikan bahwa kotak centang untuk Entri untuk RFC diaktifkan dan Entri untuk sertifikat yang diaktifkan dipilih, lalu pilih Simpan.

Memetakan pengguna penyedia layanan ABAP ke ID pengguna eksternal

Untuk memetakan pengguna penyedia layanan ABAP ke ID pengguna eksternal:

  1. Jalankan transaksi SM30.

  2. Di Tabel/Tampilan, masukkan VUSREXTID, lalu pilih Pertahankan.

  3. Di Tentukan Area Kerja: Entri, pilih jenis ID DN untuk Area Kerja.

  4. Masukkan nilai berikut:

    • Untuk ID Eksternal, masukkan CN=Sentinel, C=US.
    • Untuk Seq. Tidak, masukkan 000.
    • Untuk Pengguna, masukkan SENTINEL.

  5. Pilih Simpan, lalu pilih Enter.

    Screenshot that shows how to set up the SAP VUSREXTID table.

Menyiapkan kontainer

Catatan

Jika Anda menyiapkan kontainer agen konektor data SAP dengan menggunakan UI, jangan selesaikan langkah-langkah yang dijelaskan di bagian ini. Sebagai gantinya, lanjutkan untuk menyiapkan konektor di halaman konektor.

Untuk menyiapkan kontainer:

  1. Transfer file libsapcrypto.so dan sapgenpse ke sistem tempat kontainer akan dibuat.

  2. Transfer sertifikat klien (kunci privat dan publik) ke sistem tempat kontainer akan dibuat.

    Sertifikat dan kunci klien dapat dalam format .p12, .pfx, atau Base64 .crt dan .key .

  3. Transfer sertifikat server (hanya kunci publik) ke sistem tempat kontainer akan dibuat.

    Sertifikat server harus dalam format Base64 .crt .

  4. Jika sertifikat klien dikeluarkan oleh otoritas sertifikasi perusahaan, transfer sertifikat CA dan CA akar penerbitan ke sistem tempat kontainer akan dibuat.

  5. Dapatkan skrip kickstart dari repositori GitHub Microsoft Sentinel:

    wget https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-sentinel-kickstart.sh

  6. Ubah izin skrip untuk membuatnya dapat dieksekusi:

    chmod +x ./sapcon-sentinel-kickstart.sh

  7. Jalankan skrip dan tentukan parameter dasar berikut:

    ./sapcon-sentinel-kickstart.sh \
--use-snc \
--cryptolib <path to sapcryptolib.so> \
--sapgenpse <path to sapgenpse> \
--server-cert <path to server certificate public key> \

    Jika sertifikat klien dalam format .crt atau .key , gunakan sakelar berikut:

    --client-cert <path to client certificate public key> \
--client-key <path to client certificate private key> \

    Jika sertifikat klien dalam format .pfx atau .p12 , gunakan sakelar ini:

    --client-pfx <pfx filename>
--client-pfx-passwd <password>

    Jika sertifikat klien dikeluarkan oleh OS perusahaan, tambahkan sakelar ini untuk setiap CA dalam rantai kepercayaan:

    --cacert <path to ca certificate>

    Misalnya:

    ./sapcon-sentinel-kickstart.sh \
--use-snc \
--cryptolib /home/azureuser/libsapcrypto.so \
--sapgenpse /home/azureuser/sapgenpse \
--client-cert /home/azureuser/client.crt \
--client-key /home/azureuser/client.key \
--cacert /home/azureuser/issuingca.crt
--cacert /home/azureuser/rootca.crt
--server-cert /home/azureuser/server.crt \

Untuk informasi selengkapnya tentang opsi yang tersedia di skrip kickstart, lihat Referensi: Skrip kickstart.

Pemecahan masalah dan referensi

Untuk informasi penyelesaian masalah, lihat artikel berikut:

Untuk referensi, lihat artikel berikut ini:

Konten terkait