Configurare SAP Business Technology Platform per l'accesso Single Sign-On con Microsoft Entra ID

Questo articolo illustra come integrare SAP Business Technology Platform con Microsoft Entra ID. Integrando SAP Business Technology Platform con Microsoft Entra ID, è possibile:

• Controllare in Microsoft Entra ID chi può accedere a SAP Business Technology Platform.
• Abilitare gli utenti per l'accesso automatico a SAP Business Technology Platform con gli account Microsoft Entra personali.
• Gestire gli account in un'unica posizione centrale.
• Assegnare gli utenti in Microsoft Entra ai ruoli di SAP Business Technology Platform.

Prerequisiti

Lo scenario descritto in questo articolo presuppone che siano già disponibili i prerequisiti seguenti:

• Un account utente di Microsoft Entra con una sottoscrizione attiva. Se non è già disponibile, è possibile creare gratuitamente un account.
• Uno dei ruoli seguenti:
  • Amministratore dell'applicazione
  • Amministratore di applicazioni cloud
  • Proprietario dell'applicazione.

• Sottoscrizione di SAP Business Technology Platform con sign-on unico (SSO) abilitato.

Importante

Per testare l'accesso Single Sign-On, è necessario distribuire un'applicazione o sottoscrivere un'applicazione nell'account SAP Business Technology Platform. In questo articolo un'applicazione viene distribuita nell'account.

Descrizione dello scenario

In questo articolo viene configurato e testato l'accesso Single Sign-On di Microsoft Entra in un ambiente di test.

• SAP Business Technology Platform supporta SSO avviato da SP.

Aggiungere SAP Business Technology Platform dalla Galleria

Per configurare l'integrazione di SAP Business Technology Platform in Microsoft Entra ID, è necessario aggiungere SAP Business Technology Platform dalla raccolta all'elenco di app SaaS gestite.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di applicazioni cloud .
2. Passare a Entra ID>applicazioni aziendali>Nuova applicazione.
3. Nella sezione Aggiungi dalla raccolta digitare SAP Business Technology Platform nella casella di ricerca.
4. Selezionare SAP Business Technology Platform nel pannello dei risultati e quindi aggiungere l'app. Attendi alcuni secondi mentre l'app viene aggiunta al tenant.

In alternativa, è anche possibile usare la Configurazione guidata app aziendale. In questa procedura guidata è possibile aggiungere un'applicazione al tenant, aggiungere utenti/gruppi all'app, assegnare i ruoli e procedere alla configurazione dell'accesso SSO. Scopri di più sulle procedure guidate di Microsoft 365.

Configurare e testare Microsoft Entra SSO for SAP Business Technology Platform

Configurare e testare l'accesso SSO di Microsoft Entra con SAP Business Technology Platform usando un utente di test di nome B.Simon. Per consentire il funzionamento dell'accesso Single Sign-On, è necessario stabilire una relazione di collegamento tra un utente di Microsoft Entra e l'utente correlato in SAP Business Technology Platform.

Per configurare e testare l'accesso SSO di Microsoft Entra con SAP Business Technology Platform, seguire questa procedura:

1. Configurare l'accesso Single Sign-On di Microsoft Entra : per consentire agli utenti di usare questa funzionalità.
   1. Creare un utente di test di Microsoft Entra - per testare la funzionalità Single Sign-On di Microsoft Entra con Britta Simon.
   2. Assegnare l'utente di test di Microsoft Entra - per abilitare Britta Simon a utilizzare la funzionalità Single Sign-On di Microsoft Entra.
2. Configurare l'SSO di SAP Business Technology Platform per configurare le impostazioni di Single Sign-On sul lato dell'applicazione.
   1. Creare l'utente di test di SAP Business Technology Platform : per avere una controparte di Britta Simon in SAP Business Technology Platform collegata alla rappresentazione dell'utente in Microsoft Entra.
3. Testare l'accesso SSO : per verificare se la configurazione funziona.

Configurare SSO di Microsoft Entra

Seguire questa procedura per abilitare l'accesso Single Sign-On di Microsoft Entra.

1. Accedi all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di applicazioni cloud .

2. Accedere a Entra ID>Enterprise apps>SAP Business Technology Platform>Single sign-on.

3. Nella pagina Selezionare un metodo di accesso Single Sign-On selezionare SAML.

4. Nella pagina Configura accesso Single Sign-On con SAML selezionare l'icona a forma di matita per Configurazione SAML di base per modificare le impostazioni.

   

5. Nella sezione Configurazione SAML di base immettere i valori per i campi seguenti:

   un. Nella casella di testo Identificatore inserisci un URL per il tuo tipo di SAP Business Technology Platform utilizzando uno dei seguenti modelli:

   Identificatore
   https://hanatrial.ondemand.com/<instancename>
   https://hana.ondemand.com/<instancename>
   https://us1.hana.ondemand.com/<instancename>
   https://ap1.hana.ondemand.com/<instancename>

   b. Nella casella di testo URL di risposta digitare un URL usando uno dei modelli seguenti:

   URL di risposta
   https://<subdomain>.hanatrial.ondemand.com/<instancename>
   https://<subdomain>.hana.ondemand.com/<instancename>
   https://<subdomain>.us1.hana.ondemand.com/<instancename>
   https://<subdomain>.dispatcher.us1.hana.ondemand.com/<instancename>
   https://<subdomain>.ap1.hana.ondemand.com/<instancename>
   https://<subdomain>.dispatcher.ap1.hana.ondemand.com/<instancename>
   https://<subdomain>.dispatcher.hana.ondemand.com/<instancename>

   c. Nella casella di testo URL di accesso digitare l'URL usato dagli utenti per accedere all'applicazione SAP Business Technology Platform . Si tratta dell'URL specifico dell'account di una risorsa protetta nell'applicazione SAP Business Technology Platform. L'URL si basa sul modello seguente: https://<applicationName><accountName>.<landscape host>.ondemand.com/<path_to_protected_resource>

   Nota

   Si tratta dell'URL nell'applicazione SAP Business Technology Platform che richiede l'autenticazione dell'utente.

   URL di accesso
   https://<subdomain>.hanatrial.ondemand.com/<instancename>
   https://<subdomain>.hana.ondemand.com/<instancename>

   Nota

   Questi valori non sono reali. Aggiornare questi valori con l'identificatore effettivo, l'URL di risposta e l'URL di accesso. Per ottenere Sign-On URL e identificatore, contattare il team di supporto clienti di SAP Business Technology Platform . URL di risposta che è possibile ottenere dalla sezione relativa alla gestione dell'attendibilità, illustrata più avanti nell'articolo.

6. Nella sezione Certificato di firma SAML della pagina Configura single Sign-On con SAML selezionare Scarica per scaricare il file XML dei metadati della federazione dalle opzioni specificate in base alle esigenze e salvarlo nel computer.

   

Creare e assegnare l'utente di test di Microsoft Entra

Seguire le linee guida nella guida introduttiva creare e assegnare un account utente per creare un account di test chiamato B.Simon.

Configurare SSO di SAP Business Technology Platform

1. In un'altra finestra del Web browser, accedere al SAP Business Technology Platform Cockpit in https://account.<landscape host>.ondemand.com/cockpit(ad esempio, https://account.hanatrial.ondemand.com/cockpit).

2. Selezionare la scheda Attendibilità .

   

3. Nella sezione Gestione attendibilità, in Provider di servizi locali, seguire questa procedura:

   

   un. Selezionare Modifica.

   b. In Tipo di configurazione selezionare Personalizzato.

   c. In Local Provider Name (Nome provider locale) lasciare il valore predefinito. Copiare questo valore e incollarlo nel campo identificatore nella configurazione di Microsoft Entra per SAP Business Technology Platform.

   d. Per generare una chiave di firma e una coppia di chiavi del certificato di firma , selezionare Genera coppia di chiavi.

   e. In Propagazione principale, selezionare Disabilitato.

   f. In Forza autenticazione selezionare Disabilitato.

   g. Selezionare Salva.

4. Dopo aver salvato le impostazioni del provider di servizi locali , eseguire le operazioni seguenti per ottenere l'URL di risposta:

   

   un. Scaricare il file di metadati di SAP Business Technology Platform selezionando Recupera metadati.

   b. Aprire il file XML dei metadati di SAP Business Technology Platform scaricato e quindi individuare il tag ns3:AssertionConsumerService .

   c. Copiare il valore dell'attributo Location e incollarlo nel campo URL di risposta nella configurazione di Microsoft Entra per SAP Business Technology Platform.

5. Selezionare la scheda Trusted Identity Provider (Provider di identità attendibile ) e quindi selezionare Add Trusted Identity Provider (Aggiungi provider di identità attendibile).

   

   Nota

   Per gestire l'elenco dei provider di identità attendibili, è necessario aver scelto il tipo di configurazione personalizzato nella sezione Provider di servizi locali. Per il tipo di configurazione predefinito, hai un trust non modificabile e implicito per il servizio ID SAP. Non hai impostazioni di attendibilità per Nessuno.

6. Selezionare la scheda Generale e quindi selezionare Sfoglia per caricare il file di metadati scaricato.

   

   Nota

   Dopo aver caricato il file di metadati, i valori per URL Single Sign-On, URL disconnessione singola e Certificato di firma vengono popolati automaticamente.

7. Selezionare la scheda Attributi .

8. Nella scheda Attributi seguire questa procedura:

   

   un. Selezionare Aggiungi attributo Assertion-Based e quindi aggiungere gli attributi basati sull'asserzione seguenti:

   Attributo di asserzione	Attributo principal
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname	nome di battesimo
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname	Cognome
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	E-mail

   Nota

   La configurazione degli attributi dipende dal modo in cui vengono sviluppate le applicazioni in SCP, ovvero quali attributi si aspettano nella risposta SAML e con quale nome (attributo principale) accedono a questo attributo nel codice.

   b. L'attributo predefinito nello screenshot è solo a scopo illustrativo. Non è necessario fare in modo che lo scenario funzioni.

   c. I nomi e i valori per l'attributo principal visualizzati nello screenshot dipendono dalla modalità di sviluppo dell'applicazione. È possibile che l'applicazione richieda mapping diversi.

Gruppi basati su asserzioni

Come passaggio facoltativo, è possibile configurare gruppi basati su asserzioni per il provider di identità Microsoft Entra.

L'uso di gruppi in SAP Business Technology Platform consente di assegnare dinamicamente uno o più utenti a uno o più ruoli nelle applicazioni SAP Business Technology Platform, determinati dai valori degli attributi nell'asserzione SAML 2.0.

Ad esempio, se l'asserzione contiene l'attributo "contract=temporary", è possibile che tutti gli utenti interessati vengano aggiunti al gruppo "TEMPORARY". Il gruppo "TEMPORARY" può contenere uno o più ruoli da una o più applicazioni distribuite nell'account SAP Business Technology Platform.

Usare i gruppi basati su asserzioni quando si vogliono assegnare simultaneamente molti utenti a uno o più ruoli di applicazioni nell'account SAP Business Technology Platform. Se si vuole assegnare solo un singolo o piccolo numero di utenti a ruoli specifici, è consigliabile assegnarli direttamente nella scheda "Autorizzazioni" del pannello di controllo sap Business Technology Platform.

Creare l'utente di test di SAP Business Technology Platform

Per consentire agli utenti di Microsoft Entra di accedere a SAP Business Technology Platform, è necessario assegnare loro ruoli in SAP Business Technology Platform.

Per assegnare un ruolo a un utente, seguire questa procedura:

1. Accedi al cockpit della tua SAP Business Technology Platform.

2. Eseguire le operazioni seguenti:

   

   un. Selezionare Autorizzazione.

   b. Selezionare la scheda Utenti .

   c. Nella casella di testo Utente digitare l'indirizzo di posta elettronica dell'utente.

   d. Selezionare Assegna per assegnare l'utente a un ruolo.

   e. Selezionare Salva.

Testare la funzionalità SSO

In questa sezione viene testata la configurazione dell'accesso Single Sign-On di Microsoft Entra con le opzioni seguenti.

• Selezionare Test this application (Testa questa applicazione), questa opzione reindirizza all'URL di accesso di SAP Business Technology Platform in cui è possibile avviare il flusso di accesso.

• Passare direttamente all'URL di accesso di SAP Business Technology Platform e avviare il flusso di accesso da questa posizione.

• È possibile usare Microsoft My Apps. Quando si seleziona il riquadro di SAP Business Technology Platform in My Apps, si dovrebbe accedere automaticamente all'applicazione SAP Business Technology Platform per cui si è configurato l'accesso SSO. Per altre informazioni sulle app personali, vedere Introduzione alle app personali.

Creare gruppi per i ruoli dell'applicazione SAP Business Technology Platform e assegnare i gruppi alla raccolta di ruoli Business Technology Platform.

È possibile creare gruppi di sicurezza di Microsoft Entra ed eseguire il mapping di tali ID di gruppo ai ruoli dell'applicazione. Per altre informazioni, vedere Gestione dell'accesso a SAP BTP.

Contenuto correlato

• Dopo aver configurato SAP Business Technology Platform, è possibile applicare il controllo sessione che consente di proteggere in tempo reale l'esfiltrazione e l'infiltrazione dei dati sensibili dell'organizzazione. Il controllo sessione si estende dall'accesso condizionale. Informazioni su come applicare il controllo sessione con Microsoft Defender for Cloud Apps.