Tutorial: configurar o Microsoft Entra ID e o SAP Cloud Identity Services para o provisionamento automático de usuário no SAP BTP
Este tutorial descreve as etapas que você precisa executar no SAP Cloud Identity Services e no Microsoft Entra ID para configurar o provisionamento automático de usuários. Quando configurado, o Microsoft Entra ID provisiona e desprovisiona automaticamente usuários e grupos para o SAP BTP usando o serviço de provisionamento do Microsoft Entra e o SAP Cloud Identity Services. Para obter detalhes importantes sobre o que o provisionamento do Microsoft Entra faz, como ele funciona e perguntas frequentes, confira Automatizar o provisionamento e o desprovisionamento de usuário para aplicativos SaaS com o Microsoft Entra ID.
Funcionalidades com suporte
- Criar usuários no SAP BTP para habilitar o logon único no SAP BTP
- Remover usuários no SAP BTP quando eles não precisarem mais de acesso
- Manter os atributos de usuário sincronizados entre o Microsoft Entra ID e o SAP BTP
Pré-requisitos
O cenário descrito neste tutorial pressupõe que você já tem os seguintes pré-requisitos:
- Um locatário do Microsoft Entra
- Uma das seguintes funções: Administrador de Aplicativos, Administrador de Aplicativos de Nuvem ou Proprietário de Aplicativos.
- Um aplicativo SAP BTP (ambiente SAP BTP ABAP ou SAP BTP XS Advanced UAA Cloud Foundry)
- Locatário do SAP Cloud Identity Services
- Uma conta de usuário no console de administração do SAP Identity Provisioning com permissões de Administrador. Verifique se você tem acesso aos sistemas de proxy no console de administração do Provisionamento de Identidade. Se você não vir o bloco Sistemas de Proxy, crie um incidente para o componente BC-IAM-IPS para solicitar acesso a esse bloco.
Etapa 1: planeje a implantação do provisionamento
O Microsoft Entra tem conectores para SAP ECC, SAP Cloud Identity Services e SAP SuccessFactors. O provisionamento no SAP BTP ou em outros aplicativos requer que os usuários estejam presentes primeiro no Microsoft Entra ID. Depois de ter usuários no Microsoft Entra ID, você poderá provisionar esses usuários do Microsoft Entra ID para o SAP Cloud Identity Services. Em seguida, o SAP Cloud Identity Services provisiona os usuários provenientes do Microsoft Entra ID que estão no SAP Cloud Identity Directory nos aplicativos SAP downstream, incluindo SAP BTP ABAP environment, 'SAP BTP XS Advanced UAA (Cloud Foundry)' e outros.
Etapa 2: verifique se os usuários corretos estão no Microsoft Entra ID
Você pode usar a entrada de RH de fontes como SuccessFactors para manter a lista de usuários no Microsoft Entra ID atualizada à medida que os funcionários ingressarem, moverem e saírem. Se planeja usar grupos ou atribuições de função de aplicativo para definir o escopo de quem pode acessar o SAP BTP ou quais funções essas pessoas terão e seu locatário tiver uma licença para o Microsoft Entra ID Governance, você também pode automatizar as alterações nas atribuições de função de aplicativo do Microsoft Entra ID para aplicativos que representam o SAP Cloud Identity Services ou o SAP BTP. Para obter mais informações sobre como executar a separação de tarefas e outras verificações de conformidade antes do provisionamento, consulte migrar cenários de gerenciamento do ciclo de vida de acesso.
Para obter diretrizes passo a passo sobre o ciclo de vida de identidade com aplicativos SAP como destino, consulte Planejar a implantação do Microsoft Entra para provisionamento de usuários com aplicativos de origem e destino do SAP.
Etapa 3: configurar o Microsoft Entra ID para provisionar usuários no SAP Cloud Identity Services
Para se preparar para provisionar usuários no SAP BTP e em aplicativos SAP integrados ao SAP Cloud Identity Services, confirme se o SAP Cloud Identity Services tem os mapeamentos de esquema necessários para esses aplicativos. Em seguida, configure o provisionamento de usuários do Microsoft Entra ID para o SAP Cloud Identity Services. O SAP Cloud Identity Services posteriormente provisionará os usuários nos aplicativos SAP downstream conforme necessário.
Há duas maneiras de provisionar usuários do Microsoft Entra no SAP Cloud Identity Services.
Se você estiver usando grupos do Microsoft Entra ID, como para atribuir usuários a funções no SAP BTP, use o provisionamento do SAP Cloud Identity Services. Primeiro, crie grupos do Microsoft Entra para suas funções corporativas do SAP usadas no SAP Analytics Cloud. Em seguida, no provisionamento do SAP Cloud Identity Services, configure o Microsoft Entra ID como uma origem para levar usuários e grupos do Microsoft Entra ID para o SAP Cloud Identity Services e mapeie os grupos criados para suas funções corporativas do SAP. Para obter mais informações, consulte a documentação do SAP sobre como provisionar usuários do Microsoft Azure AD para o SAP Cloud Identity Services – Identity Authentication.
Como opção, se não precisar usar grupos do Microsoft Entra ID, você pode usar o serviço de provisionamento do Microsoft Entra. Nesse cenário, crie um aplicativo que represente o SAP BTP e atribua a esse aplicativo usuários que precisam de acesso ao SAP BTP. Em seguida, configure o provisionamento automático de usuários com o Microsoft Entra ID para o SAP Cloud Identity Services. Aguarde até que esses usuários sejam provisionados no SAP Cloud Identity Services e verifique se eles têm os atributos necessários para o destino do SAP BTP.
Observação
Comece pequeno. Teste com um pequeno conjunto de usuários e grupos antes de implementar para todos. Verifique se os usuários têm o acesso correto nos destinos downstream do SAP e se, ao se conectarem, eles têm as funções corretas.
Etapa 4: configure o provisionamento do SAP Cloud Identity Services para o SAP BTP
Nesta etapa, use o SAP Cloud Identity Services Identity Provisioning para configurar o SAP BTP como um sistema de destino no qual é possível provisionar usuários e membros do grupo. Para o ambiente SAP BTP ABAP, consulte a documentação do SAP sobre provisionamento para o ambiente SAP BTP AAP. Para o SAP BTP XS Advanced UAA (Cloud Foundry), consulte a documentação do SAP sobre provisionamento para o SAP BTP XS Advanced UAA (Cloud Foundry).
Etapa 5: configurar o logon único
Depois de configurar o provisionamento para usuários em seus aplicativos SAP, você deverá habilitar o logon único para eles. O Microsoft Entra ID pode servir como provedor de identidade e autoridade de autenticação para seus aplicativos SAP. Configure a integração de logon único (SSO) do Microsoft Entra com o SAP Cloud Identity Services se ainda não tiver feito isso.
Para obter mais informações sobre como configurar o logon único no SAP SaaS e aplicativos modernos, consulte habilitar o SSO.