Memecahkan masalah solusi Microsoft Azure Sentinel Anda untuk penyebaran aplikasi SAP®

  • Artikel

Perintah Docker yang berguna

Saat memecahkan masalah konektor data Microsoft Sentinel untuk SAP, Anda mungkin merasa perintah berikut ini berguna:

Fungsi Perintah
Menghentikan kontainer Docker. docker stop sapcon-[SID]
Memulai kontainer Docker docker start sapcon-[SID]
Melihat log sistem Docker docker logs -f sapcon-[SID]
Memasukkan kontainer Docker docker exec -it sapcon-[SID] bash

Untuk informasi selengkapnya, lihat Dokumentasi CLI Docker.

Meninjau log sistem

Sebaiknya Anda meninjau log sistem setelah menginstal atau mengatur ulang konektor data.

Jalankan:

docker logs -f sapcon-[SID]

Mengaktifkan/menonaktifkan pencetakan mode debug

Mengaktifkan pencetakan mode debug:

  1. Pada VM Anda, edit file /opt/sapcon/[SID]/systemconfig.ini .

  2. Tentukan bagian Umum jika sebelumnya tidak ditentukan. Di bagian ini, tentukan logging_debug = True.

    Contohnya:

    [General]
logging_debug = True

  3. Simpan file.

Perubahan berlaku dua menit setelah Anda menyimpan file. Anda tidak perlu menghidupkan ulang kontainer Docker.

Menonaktifkan pencetakan mode debug:

  1. Pada VM Anda, edit file /opt/sapcon/[SID]/systemconfig.ini .

  2. Di bagian Umum, tentukan logging_debug = False.

    Contohnya:

    [General]
logging_debug = False

  3. Simpan file.

Perubahan berlaku dua menit setelah Anda menyimpan file. Anda tidak perlu menghidupkan ulang kontainer Docker.

Menampilkan semua log eksekusi kontainer

log eksekusi Koneksi or untuk solusi Microsoft Sentinel Anda untuk penyebaran konektor data aplikasi SAP® disimpan di VM Anda di /opt/sapcon/[SID]/log/. Nama file log OmniLog.log. Riwayat logfiles disimpan, ditampung dengan .[ angka] seperti OmniLog.log.1, OmniLog.log.2 dll

Tinjau dan perbarui konfigurasi konektor data Microsoft Sentinel untuk SAP

Jika Anda ingin memeriksa file konfigurasi konektor data Microsoft Sentinel untuk SAP dan membuat pembaruan manual, lakukan langkah-langkah berikut:

  1. Pada VM Anda, buka file konfigurasi:

    • sapcon/[SID]/systemconfig.json untuk versi agen yang dirilis pada atau setelah 22 Juni 2023.
    • sapcon/[SID]/systemconfig.ini untuk versi agen yang dirilis sebelum 22 Juni 2023.

  2. Perbarui konfigurasi jika diperlukan, dan simpan file.

Perubahan berlaku dua menit setelah Anda menyimpan file. Anda tidak perlu menghidupkan ulang kontainer Docker.

Setel ulang konektor data Microsoft Sentinel untuk SAP

Langkah-langkah berikut akan menyetel ulang konektor dan menyerap ulang log SAP dari periode 30 menit terakhir.

  1. Hentikan konektor. Jalankan:

    docker stop sapcon-[SID]

  2. Hapus file metadata.db dari direktori /opt/sapcon/[SID]. Jalankan:

    cd /opt/sapcon/<SID>
rm metadata.db

    Catatan

    File metadata.db berisi tanda waktu terakhir untuk setiap log, dan akan mencegah terjadinya duplikasi.

  3. Mulai instans konektor kembali. Jalankan:

    docker start sapcon-[SID]

Pastikan untuk Meninjau log sistem setelah Anda selesai.

Alamat IP atau bidang kode transaksi yang hilang di log audit SAP

Solusi ini memungkinkan sistem SAP dengan versi untuk SAP BASIS 7.5 SP12 ke atas untuk mencerminkan bidang tambahan dalam ABAPAuditLog_CL tabel dan SAPAuditLog .

Jika Anda menggunakan versi SAP BASIS yang lebih tinggi dari 7,5 SP12 dan alamat IP atau bidang kode transaksi yang hilang di log audit SAP, verifikasi bahwa sistem SAP tempat Anda mengekstrak data berisi permintaan perubahan (transportasi) yang relevan. Untuk mempelajari lebih lanjut, tinjau bagian Ambil informasi tambahan dari SAP di prasyarat.

Tidak ada data yang ditampilkan dalam log data tabel SAP

Solusi ini memungkinkan sistem SAP dengan versi untuk SAP BASIS 7.5 SP12 ke atas untuk mencerminkan perubahan log data tabel dalam ABAPTableDataLog_CL tabel.

Jika tidak ada data yang ditampilkan dalam ABAPTableDataLog_CL tabel, verifikasi bahwa sistem SAP tempat Anda mengekstrak data berisi permintaan perubahan (transportasi) yang relevan. Untuk mempelajari lebih lanjut, tinjau bagian Ambil informasi tambahan dari SAP di prasyarat.

Masalah umum

Setelah menyebarkan konektor data Microsoft Sentinel untuk SAP dan konten keamanan, Anda mungkin mengalami kesalahan atau masalah berikut:

File SDK SAP yang rusak atau hilang

Kesalahan ini mungkin terjadi ketika konektor gagal melakukan boot dengan PyRfc, atau pesan kesalahan terkait zip ditampilkan.

  1. Pasang kembali SDK SAP.
  2. Pastikan bahwa milik Anda adalah versi Linux 64-bit yang benar. Pada tanggal saat ini, nama file rilis adalah: nwrfc750P_8-70002752.zip.

Jika Anda telah menginstal konektor data secara manual, pastikan bahwa Anda telah menyalin file{i>

Jalankan:

Docker cp SDK by running docker cp nwrfc750P_8-70002752.zip /sapcon-app/inst/

Kesalahan runtime ABAP muncul pada sistem yang besar

Jika kesalahan runtime ABAP muncul pada sistem yang besar, coba atur ukuran gugus yang lebih kecil:

  1. Edit file /opt/sapcon/[SID]/systemconfig.ini dan di bagian Konfigurasi Koneksi or tentukan timechunk = 5.

    Contohnya:

    [Connector Configuration]
timechunk = 5

  2. simpan file.

Perubahan berlaku dua menit setelah Anda menyimpan file. Anda tidak perlu menghidupkan ulang kontainer Docker.

Catatan

Ukuran timechunk ditentukan dalam menit.

Tidak ada log audit yang diambil kosong, tanpa pesan kesalahan khusus

  1. Periksa apakah log audit sudah diaktifkan di SAP.
  2. Verifikasi transaksi SM19 atau RSAU_CONFIG.
  3. Aktifkan kejadian apa pun sesuai kebutuhan.
  4. Verifikasikan apakah pesan sampai dan ada di SAP SM20 atau RSAU_READ_LOG, tanpa kesalahan khusus apa pun pada log konektor.

ID atau kunci ruang kerja Microsoft Sentinel salah

Jika Anda menyadari bahwa Anda telah memasukkan ID ruang kerja atau kunci yang salah dalam skrip penyebaran, perbarui informasi masuk yang disimpan di Azure Key Vault.

Setelah memverifikasi informasi masuk Anda di Azure KeyVault, hidupkan ulang kontainer:

docker restart sapcon-[SID]

Informasi pengguna SAP ABAP yang salah dalam konfigurasi tetap

Konfigurasi tetap terjadi saat kata sandi disimpan secara langsung dalam file konfigurasi systemconfig.ini.

Jika informasi masuk Anda salah, verifikasi informasi masuk Anda.

Gunakan enkripsi base64 untuk mengenkripsi pengguna dan kata sandi. Anda dapat menggunakan alat enkripsi online untuk mengenkripsi informasi masuk Anda, seperti https://www.base64encode.org/.

Informasi masuk pengguna SAP ABAP salah di brankas kunci

Periksa kredensial Anda dan lakukan perbaikan sesuai kebutuhan dengan menerapkan nilai yang benar ke nilai ABAPUSER dan ABAPPASS di Azure Key Vault.

Kemudian, hidupkan ulang kontainer:

docker restart sapcon-[SID]

Izin ABAP (pengguna SAP) yang hilang

Jika Anda mendapatkan pesan kesalahan yang mirip dengan: ..Tidak ada Otorisasi RFC Backend.., artinya otorisasi SAP dan peran Anda tidak diterapkan dengan benar.

  1. Pastikan bahwa peran MSFTSEN/SENTINEL_CONNECTOR diimpor sebagai bagian dari transportasi ubah permintaan, dan terapkan ke pengguna konektor.

  2. Jalankan proses pembuatan peran dan perbandingan pengguna dengan menggunakan PFCG transaksi SAP.

Data yang hilang di buku kerja atau pemberitahuan Anda

Jika Anda mendapati bahwa ada data yang hilang dalam buku kerja atau peringatan Microsoft Sentinel, pastikan bahwa kebijakan Auditlog diaktifkan dengan benar di SAP, dan tidak ada kesalahan dalam file log.

Gunakan transaksi RSAU_CONFIG_LOG untuk langkah ini.

Permintaan perubahan SAP yang hilang

Jika Anda melihat kesalahan permintaan ubah SAP yang diperlukan, pastikan bahwa Anda telah mengimpor permintaan perubahan SAP yang benar untuk sistem Anda.

Untuk informasi selengkapnya, lihat Langkah validasi lingkungan ValidateSAP.

Tidak ada rekaman / rekaman yang terlambat

Agen bergantung pada informasi zona waktu agar benar. Jika Anda melihat bahwa tidak ada catatan dalam audit SAP dan log perubahan, atau jika rekaman terus-menerus beberapa jam di belakang, periksa apakah laporan SAP TZCUSTHELP menunjukkan kesalahan apa pun. Ikuti catatan SAP 481835 untuk detail selengkapnya. Selain itu, mungkin ada masalah dengan jam pada VM tempat solusi Microsoft Sentinel untuk agen aplikasi SAP® dihosting. Penyimpangan jam VM dari UTC akan memengaruhi pengumpulan data. Lebih penting lagi, jam VM SAP dan jam VM agen Sentinel harus cocok.

Masalah konektivitas jaringan

Jika Anda mengalami masalah konektivitas jaringan ke lingkungan SAP atau ke Microsoft Sentinel, periksa konektivitas jaringan Anda untuk memastikan bahwa data mengalir seperti yang diharapkan.

Masalah umum mencakup:

  • Firewall antara kontainer docker dan host SAP mungkin memblokir lalu lintas. Host SAP menerima komunikasi melalui port TCP berikut, yang harus terbuka: 32xx,5xx13, dan 33xx, dengan xx merupakan nomor instans SAP.

  • Komunikasi keluar dari host SAP Anda ke Microsoft Container Registry atau Azure memerlukan konfigurasi proksi. Hal ini biasanya berdampak pada penginstalan dan mengharuskan Anda mengonfigurasi variabel lingkungan HTTP_PROXY dan HTTPS_PROXY. Anda juga dapat melakukan ingest variabel lingkungan ke dalam kontainer docker saat membuat kontainer, dengan menambahkan bendera -e ke perintah create / run docker.

Kesalahan tak terduga lainnya

Jika Anda memiliki masalah tak terduga yang tidak tercantum dalam artikel ini, coba lakukan langkah berikut:

Tip

Mengatur ulang konektor Anda dan memastikan bahwa Anda memiliki peningkatan terbaru juga direkomendasikan setelah terjadi sejumlah perubahan konfigurasi apa pun.

Pengambilan log audit gagal dengan peringatan

Jika upaya Anda untuk mengambil log audit, tanpa permintaan perubahan yang diperlukan yang disebarkan atau pada versi yang lebih lama/yang tidak di-patch, dan prosesnya gagal dengan peringatan, verifikasi bahwa Auditlog SAP dapat diambil dengan menggunakan salah satu metode berikut:

  • Menggunakan mode kompatibilitas yang disebut sebagai XAL pada versi yang lebih lama
  • Menggunakan versi yang belum lama ini di-patch
  • Tanpa pemasangan permintaan perubahan yang diperlukan

Meskipun sistem Anda harus secara otomatis beralih ke mode kompatibilitas jika diperlukan, Anda mungkin perlu beralih secara manual. Untuk beralih ke mode kompatibilitas secara manual:

  1. Edit file /opt/sapcon/[SID]/systemconfig.ini

  2. Di bagian Konfigurasi Konektor tentukan: auditlogforcexal = True

    Contohnya:

    [Connector Configuration]
auditlogforcexal = True

  3. simpan file.

Perubahan berlaku dua menit setelah Anda menyimpan file. Anda tidak perlu menghidupkan ulang kontainer Docker.

Subsistem SAPCONTROL atau JAVA tidak dapat tersambung

Periksa apakah pengguna OS valid dan dapat menjalankan perintah berikut pada sistem SAP target:

sapcontrol -nr <SID> -function GetSystemInstanceList

Jika subsistem SAPCONTROL atau JAVA Anda gagal dengan pesan kesalahan terkait zona waktu, seperti: Periksa konfigurasi dan akses jaringan ke server SAP - 'Etc/NZST' , pastikan bahwa Anda menggunakan kode zona waktu standar.

Misalnya, gunakan javatz = GMT+12 atau abaptz = GMT-3** .

Tidak bisa mengimpor transportasi permintaan perubahan ke SAP

Jika Anda tidak dapat mengimpor permintaan perubahan log SAP yang diperlukan dan mendapatkan kesalahan tentang versi komponen yang tidak valid, tambahkan ignore invalid component version saat Anda mengimpor permintaan perubahan tersebut.

Data log audit tidak terserap melewati muatan awal

Jika data log audit SAP, yang terlihat di transaksi RSAU_READ_LOAD maupun SM200, tidak diproses ke Microsoft Sentinel melewati muatan awal, mungkin terdapat kesalahan konfigurasi pada sistem SAP dan sistem operasi host SAP.

  • Beban awal diserap setelah penginstalan baru Microsoft Sentinel untuk konektor data SAP, atau setelah file metadata.db dihapus.
  • Contoh kesalahan konfigurasi mungkin terjadi ketika zona waktu sistem SAP Anda diatur ke CET dalam transaksi STZAC, tetapi zona waktu sistem operasi host SAP diatur ke UTC.

Untuk memeriksa kesalahan konfigurasi, jalankan laporan RSDBTIME dalam transaksi SE38. Jika Anda menemukan ketidakcocokan antara sistem SAP dan sistem operasi host SAP:

  1. Hentikan kontainer Docker. jalankan

    docker stop sapcon-[SID]

  2. Hapus file metadata.db dari direktori /opt/sapcon/[SID]. Jalankan:

    rm /opt/sapcon/[SID]/metadata.db

  3. Perbarui sistem SAP dan sistem operasi host SAP agar memiliki pengaturan yang sesuai, seperti zona waktu yang sama. Untuk informasi selengkapnya, lihat Wiki Komunitas SAP.

  4. Jalankan kembali kontainer. Jalankan:

    docker start sapcon-[SID]

Alamat IP atau bidang kode transaksi yang hilang di log audit SAP

Solusi ini memungkinkan sistem SAP dengan versi untuk SAP BASIS 7.5 SP12 ke atas untuk mencerminkan bidang tambahan dalam tabel ABAPAuditLog_CL dan SAPAuditLog. Jika Anda menggunakan versi SAP BASIS yang lebih tinggi dari 7,5 SP12 dan alamat IP atau bidang kode transaksi yang hilang di log audit SAP, verifikasi bahwa sistem SAP tempat Anda mengekstrak data berisi permintaan perubahan (transportasi) yang relevan. Lihat Mengambil informasi tambahan dari SAP (opsional) untuk detail selengkapnya.

Tidak ada data yang ditampilkan dalam log data tabel SAP

Solusi ini memungkinkan sistem SAP dengan versi untuk SAP BASIS 7.5 SP12 ke atas untuk mencerminkan perubahan log data tabel dalam tabel ABAPTableDataLog_CL. Jika tidak ada data yang ditampilkan di ABAPTableDataLog_CL, verifikasi bahwa sistem SAP tempat Anda mengekstrak data berisi permintaan perubahan (transportasi) yang relevan. Lihat Mengambil informasi tambahan dari SAP (opsional) untuk detail selengkapnya.

Langkah berikutnya

Pelajari selengkapnya tentang solusi Microsoft Azure Sentinel untuk aplikasi SAP®:

File referensi:

Untuk mengetahui informasi selengkapnya, lihat Solusi Microsoft Sentinel.