Esercitazione: Integrazione dell'accesso Single Sign-On di Microsoft Entra con SAP Fiori

Articolo
03/25/2024

In questa esercitazione si apprenderà come integrare SAP Fiori con Microsoft Entra ID. Integrando SAP Fiori con Microsoft Entra ID, è possibile:

Controllare in Microsoft Entra ID chi può accedere a SAP Fiori.
Abilitare gli utenti per l'accesso automatico a SAP Fiori con gli account Microsoft Entra personali.
Gestire gli account in un'unica posizione centrale.

Prerequisiti

Per iniziare, sono necessari gli elementi seguenti:

Una sottoscrizione di Microsoft Entra. Se non si possiede una sottoscrizione, è possibile ottenere un account gratuito.
Sottoscrizione di SAP Fiori abilitata per l'accesso Single Sign-On (SSO).

Descrizione dello scenario

In questa esercitazione viene configurato e testato l'accesso SSO di Microsoft Entra in un ambiente di test.

SAP Fiori supporta l'accesso SSO avviato da SP

Nota

Per l'autenticazione iFrame avviata da SAP Fiori, è consigliabile usare il parametro IsPassive in SAML AuthnRequest per l'autenticazione invisibile all'utente. Per altre informazioni sul parametro IsPassive, vedere Le informazioni sull'accesso Single Sign-On di Microsoft Entra SAML.

Aggiunta di SAP Fiori dalla raccolta

Per configurare l'integrazione di SAP Fiori in Microsoft Entra ID, è necessario aggiungere SAP Fiori dalla raccolta all'elenco di app SaaS gestite.

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
Passare a Applicazioni di identità>Applicazioni>aziendali>Nuova applicazione.
Nella sezione Aggiungi dalla raccolta digitare SAP Fiori nella casella di ricerca.
Selezionare SAP Fiori nel pannello dei risultati e quindi aggiungere l'app. Attendere alcuni secondi che l'app venga aggiunta al tenant.

In alternativa, è anche possibile usare l'Enterprise Configurazione app Wizard. In questa procedura guidata è possibile aggiungere un'applicazione al tenant, aggiungere utenti/gruppi all'app, assegnare ruoli, nonché esaminare la configurazione dell'accesso SSO. Altre informazioni sulle procedure guidate di Microsoft 365.

Configurare e testare l'accesso SSO di Microsoft Entra per SAP Fiori

Configurare e testare l'accesso SSO di Microsoft Entra con SAP Fiori usando un utente di test di nome B.Simon. Per consentire il funzionamento dell'accesso Single Sign-On, è necessario stabilire una relazione di collegamento tra un utente di Microsoft Entra e l'utente correlato in SAP Fiori.

Per configurare e testare l'accesso SSO di Microsoft Entra con SAP Fiori, seguire questa procedura:

Configurare l'accesso Single Sign-On di Microsoft Entra: per consentire agli utenti di usare questa funzionalità.
1. Creare un utente di test di Microsoft Entra: per testare l'accesso Single Sign-On di Microsoft Entra con B.Simon.
2. Assegnare l'utente di test di Microsoft Entra : per abilitare B.Simon all'uso dell'accesso Single Sign-On di Microsoft Entra.
Configurare l'accesso SSO di SAP Fiori: per configurare le impostazioni dell'accesso Single Sign-On sul lato applicazione.
1. Creare l'utente di test di SAP Fiori: per avere una controparte di B.Simon in SAP Fiori collegata alla rappresentazione dell'utente in Microsoft Entra.
Testare l'accesso Single Sign-On: per verificare se la configurazione funziona.

Configurare l'accesso Single Sign-On di Microsoft Entra

Seguire questa procedura per abilitare l'accesso Single Sign-On di Microsoft Entra.

Aprire una nuova finestra del Web browser e accedere al sito SAP Fiori aziendale come amministratore.
Assicurarsi che i servizi http e https siano attivi e che le relative porte siano assegnate al codice di transazione SMICM.
Accedere al client SAP aziendale per il sistema SAP T01, in cui è obbligatorio l’accesso Single Sign-On. Attivare quindi la gestione della sessione di sicurezza HTTP.
1. Selezionare il codice di transazione SICF_SESSIONS. Verranno visualizzati tutti i parametri di profilo rilevanti con i valori correnti. Il risultato dovrebbe essere simile al seguente:
```
login/create_sso2_ticket = 2
login/accept_sso2_ticket = 1
login/ticketcache_entries_max = 1000
login/ticketcache_off = 0  login/ticket_only_by_https = 0
icf/set_HTTPonly_flag_on_cookies = 3
icf/user_recheck = 0  http/security_session_timeout = 1800
http/security_context_cache_size = 2500
rdisp/plugin_auto_logout = 1800
rdisp/autothtime = 60
```
  Nota
  
  Configurare i parametri in base alle esigenze dell'organizzazione. I parametri precedenti sono forniti solo come esempio.
2. Se necessario, modificare i parametri del profilo predefinito e riavviare il sistema SAP.
3. Fare doppio clic sul client appropriato per abilitare la sessione di sicurezza HTTP.
4. Attivare i servizi SICF seguenti:
```
/sap/public/bc/sec/saml2
/sap/public/bc/sec/cdc_ext_service
/sap/bc/webdynpro/sap/saml2
/sap/bc/webdynpro/sap/sec_diag_tool (This is only to enable / disable trace)
```
Selezionare il codice di transazione SAML2 nel client aziendale del sistema SAP [T01/122]. L’interfaccia utente di configurazione viene aperta in una nuova finestra del browser. In questo esempio, utilizziamo il client aziendale per il sistema SAP 122.
Immettere nome utente e password, quindi selezionare Accedi.
Nella casella Nome del provider, sostituire T01122 con http://T01122, quindi selezionare Salva.

Nota

Per impostazione predefinita, il nome del provider è nel formato <sid><client>. Microsoft Entra ID prevede il nome nel formato <protocol>://<name>. È consigliabile mantenere il nome del provider come client> https://< sid><in modo da poter configurare più motori SAP Fiori ABAP in Microsoft Entra ID.
Selezionare la secheda Provider locale>Metadati.
Nella finestra di dialogo Metadati SAML 2.0, scaricare il file XML con i metadati generati e salvarlo nel computer.
Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
Passare ad Applicazioni di identità>Applicazioni>aziendali>SAP Fiori>Single Sign-On.
Nella pagina Selezionare un metodo di accesso Single Sign-On selezionare SAML.
Nella pagina Configura l'accesso Single Sign-On con SAML fare clic sull'icona della matita per modificare le impostazioni di Configurazione SAML di base.
Nella sezione Configurazione SAML di base, se si dispone di un file di metadati di un provider di servizi, seguire questa procedura:
1. Fare clic su Carica il file di metadati.
2. Fare clic su logo cartella per selezionare il file di metadati e fare quindi clic su Upload.
3. Dopo il caricamento del file di metadati, i valori di Identificatore e URL di risposta vengono inseriti automaticamente nel riquadro Configurazione SAML di base. Nella casella URL di accesso immettere un URL con il formato seguente: https://<your company instance of SAP Fiori>.
  Nota
  
  Alcuni clienti hanno rilevato un errore di un URL di risposta non corretto configurato per l'istanza. Se viene visualizzato un errore di questo tipo, usare questi comandi di PowerShell. Aggiornare prima gli URL di risposta nell'oggetto applicazione con l'URL di risposta, quindi aggiornare l'entità servizio. Usare Get-MgServicePrincipal per ottenere il valore dell'ID entità servizio.
```
$params = @{
   web = @{
      redirectUris = "<Your Correct Reply URL>"
   }
}
Update-MgApplication -ApplicationId "<Application ID>" -BodyParameter $params
Update-MgServicePrincipal -ServicePrincipalId "<Service Principal ID>" -ReplyUrls "<Your Correct Reply URL>"
```
L'applicazione SAP Fiori prevede un formato specifico per le asserzioni SAML. Configurare le attestazioni seguenti per questa applicazione. Per gestire questi valori di attributo, nel riquadro Configura l'accesso Single Sign-On con SAML, selezionare Modifica.
Nel riquadro Attributi utente e attestazioni, configurare gli attributi del token SAML come illustrato nell'immagine precedente. Quindi, completare i passaggi seguenti:
1. Selezionare Modifica per aprire il riquadro Gestisci attestazioni utente.
2. Nell'elenco Trasformazione, selezionare ExtractMailPrefix().
3. Nell'elenco Parametro 1 selezionare user.userprincipalname.
4. Seleziona Salva.
Nella sezione Certificato di firma SAML della pagina Configura l'accesso Single Sign-On con SAML individuare il file XML dei metadati della federazione e selezionare Scarica per scaricare il certificato e salvarlo nel computer.
Nella sezione Configura SAP Fiori copiare gli URL appropriati in base alle proprie esigenze.

Creare un utente di test di Microsoft Entra

In questa sezione verrà creato un utente di test di nome B.Simon.

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un utente Amministrazione istrator.
Passare a Identità>Utenti>Tutti gli utenti.
Selezionare Nuovo utente Crea nuovo utente> nella parte superiore della schermata.
Nelle proprietà Utente seguire questa procedura:
1. Nel campo Nome visualizzato immettere B.Simon.
2. Nel campo Nome entità utente immettere .username@companydomain.extension Ad esempio: B.Simon@contoso.com.
3. Selezionare la casella di controllo Mostra password e quindi prendere nota del valore visualizzato nella casella Password.
4. Selezionare Rivedi e crea.
Seleziona Crea.

Assegnare l'utente di test di Microsoft Entra

In questa sezione si abiliterà B.Simon all'uso dell'accesso Single Sign-On concedendole l'accesso a SAP Fiori.

Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
Passare ad Applicazioni di identità>Applicazioni>aziendali>SAP Fiori.
Nella pagina di panoramica dell'app selezionare Utenti e gruppi.
Selezionare Aggiungi utente/gruppo, quindi utenti e gruppi nella finestra di dialogo Aggiungi assegnazione .
1. Nella finestra di dialogo Utenti e gruppi selezionare B.Simon dall'elenco degli utenti e quindi fare clic sul pulsante Seleziona nella parte inferiore della schermata.
2. Se si prevede che agli utenti venga assegnato un ruolo, è possibile selezionarlo nell'elenco a discesa Selezionare un ruolo. Se per questa app non è stato configurato alcun ruolo, il ruolo selezionato è "Accesso predefinito".
3. Nella finestra di dialogo Aggiungi assegnazione fare clic sul pulsante Assegna.

Configurare l'accesso SSO di SAP Fiori

Accedere al sistema SAP e selezionare il codice di transazione SAML2. Verrà aperta una nuova finestra del browser con la pagina di configurazione SAML.
Per configurare gli endpoint per un provider di identità attendibile (Microsoft Entra ID), selezionare la scheda Provider attendibili.
Selezionare Aggiungi e scegliere Carica file di metadati dal menu di scelta rapida.
Caricare il file di metadati scaricato. Seleziona Avanti.
Nella pagina successiva, nella casella Alias, immettere il nome di alias. Ad esempio, aadsts. Seleziona Avanti.
Assicurarsi che il valore della casella Algoritmo con classificazione sia SHA-256. Seleziona Avanti.
In Endpoint Single Sign-On, selezionare HTTP POST, quindi Avanti.
In Single Logout Endpoints (Endpoint di disconnessione singolo), selezionare Reindirizzamento HTTP, quindi Avanti.
In Artifact Endpoints (Endpoint artefatto), selezionare Avanti per continuare.
In Requisiti per l’autenticazione, selezionare Fine.
Selezionare Provider attendibile>Federazione delle identità nella parte inferiore della pagina. Seleziona Modifica.
Selezionare Aggiungi.
Nella finestra di dialogo Supported NameID Formats (Formati NameID supportati), selezionare Non specificato. Seleziona OK.

I valori per Origine ID utente e Modalità mapping ID utente determinano il collegamento tra l'utente SAP e l'attestazione Microsoft Entra.

Scenario 1: mapping utente SAP a Microsoft Entra utente
1. In SAP, sotto Details of NameID Format "Unspecified" (Dettagli formato NameID "Non specificato"), annotare i dettagli:
2. Nella portale di Azure, in Attributi utente e attestazioni prendere nota delle attestazioni richieste dall'ID Microsoft Entra.
Scenario 2: selezionare l'ID utente SAP in base all'indirizzo di posta elettronica configurato in SU01. In questo caso l'ID posta elettronica deve essere configurato in SU01 per ogni utente che richiede l'accesso SSO.
1. In SAP, sotto Details of NameID Format "Unspecified" (Dettagli formato NameID "Non specificato"), annotare i dettagli:
2. Nella portale di Azure, in Attributi utente e attestazioni prendere nota delle attestazioni richieste dall'ID Microsoft Entra.
Fare clic su Salva, quindi su Abilita per abilitare il provider di identità.
Selezionare OK quando richiesto.

Creare l'utente di test di SAP Fiori

In questa sezione viene creato un utente di nome Britta Simon in SAP Fiori. Collaborare con il team di esperti SAP interno o con il partner SAP dell'organizzazione per aggiungere l’utente alla piattaforma SAP Fiori.

Testare l'accesso SSO

Dopo aver attivato l'ID Microsoft Entra del provider di identità in SAP Fiori, provare ad accedere a uno degli URL seguenti per testare l'accesso Single Sign-On (non è consigliabile richiedere un nome utente e una password):
- https://<sap-url>/sap/bc/bsp/sap/it00/default.htm
- https://<sap-url>/sap/bc/bsp/sap/it00/default.htm
Nota

Sostituire <sap-url> con il nome host SAP effettivo.
L'URL di test consente di accedere alla pagina di test successiva in SAP. Se si apre la pagina, viene configurato correttamente l'accesso Single Sign-On di Microsoft Entra.
Se viene chiesto di immettere nome utente e password, abilitare l’analisi per agevolare la diagnosi del problema. Usare l'URL seguente per la traccia:

https://<sap-url>/sap/bc/webdynpro/sap/sec_diag_tool?sap-client=122&sap-language=EN#.

Passaggi successivi

Dopo aver configurato SAP Fiori, è possibile applicare il controllo sessione che consente di proteggere in tempo reale l'esfiltrazione e l'infiltrazione dei dati sensibili dell'organizzazione. Il controllo sessione costituisce un'estensione dell'accesso condizionale. Informazioni su come applicare il controllo sessione con app Microsoft Defender per il cloud.

Condividi tramite