Conecte seu sistema SAP implantando seu contêiner do agente do conector de dados

Artigo
28/10/2024
Aplica-se a:

Microsoft Sentinel in the Azure portal, Microsoft Sentinel in the Microsoft Defender portal

Para que a solução Microsoft Sentinel para aplicativos SAP funcione corretamente, você deve primeiro obter seus dados SAP no Microsoft Sentinel. Para fazer isso, você precisa implantar o agente de conector de dados SAP da solução.

Este artigo descreve como implantar o contêiner que hospeda o agente do conector de dados SAP e se conectar ao seu sistema SAP e é a terceira etapa na implantação da solução Microsoft Sentinel para aplicativos SAP. Certifique-se de executar as etapas neste artigo na ordem em que são apresentadas.

Diagrama do fluxo de implantação da solução SAP, destacando a etapa Implantar seu contêiner do agente de dados.

O conteúdo deste artigo é relevante para suas equipes de segurança, infraestrutura e SAP BASIS .

Pré-requisitos

Antes de implantar o agente do conector de dados:

Certifique-se de que todos os pré-requisitos de implantação estejam em vigor. Para obter mais informações, consulte Pré-requisitos para implantar a solução Microsoft Sentinel para aplicativos SAP.
Certifique-se de ter a solução Microsoft Sentinel para aplicativos SAP instalada em seu espaço de trabalho Microsoft Sentinel.
Certifique-se de que seu sistema SAP esteja totalmente preparado para a implantação. Se você estiver implantando o agente do conector de dados para se comunicar com o Microsoft Sentinel por SNC, certifique-se de ter concluído Configurar seu sistema para usar o SNC para conexões seguras.

Veja um vídeo de demonstração

Assista a uma das seguintes demonstrações em vídeo do processo de implantação descrito neste artigo.

Um mergulho profundo nas opções do portal:

Inclui mais detalhes sobre como usar o Azure KeyVault. Sem áudio, demonstração apenas com legendas:

Criar uma máquina virtual e configurar o acesso às suas credenciais

Recomendamos a criação de uma máquina virtual dedicada para o contêiner do agente do conector de dados para garantir o desempenho ideal e evitar conflitos potenciais. Para obter mais informações, consulte Pré-requisitos do sistema.

Recomendamos que você armazene seus segredos SAP e de autenticação em um cofre de chaves do Azure. A forma como acede ao cofre de chaves depende do local onde a máquina virtual (VM) está implementada:

Método de implantação	Método de acesso
Contêiner em uma VM do Azure	Recomendamos usar uma identidade gerenciada atribuída ao sistema do Azure para acessar o Cofre da Chave do Azure. Se uma identidade gerenciada atribuída ao sistema não puder ser usada, o contêiner também poderá se autenticar no Cofre da Chave do Azure usando uma entidade de serviço de aplicativo registrado do Microsoft Entra ID ou, como último recurso, um arquivo de configuração.
Um contêiner em uma VM local ou uma VM em um ambiente de nuvem de terceiros	Autentique-se no Cofre de Chaves do Azure usando uma entidade de serviço de aplicativo registrado do Microsoft Entra ID.

Se você não puder usar um aplicativo registrado ou uma entidade de serviço, use um arquivo de configuração para gerenciar suas credenciais, embora esse método não seja preferido. Para obter mais informações, consulte Implantar o conector de dados usando um arquivo de configuração.

Para obter mais informações, consulte:

Sua máquina virtual normalmente é criada pela equipe de infraestrutura . A configuração do acesso a credenciais e o gerenciamento de cofres de chaves geralmente são feitos pela sua equipe de segurança .

Identidade gerida
Candidatura registada

Criar uma identidade gerenciada com uma VM do Azure

Execute o seguinte comando para Criar uma VM no Azure, substituindo nomes reais do seu ambiente pelo <placeholders>:

Azure CLI

az vm create --resource-group <resource group name> --name <VM Name> --image Canonical:0001-com-ubuntu-server-focal:20_04-lts-gen2:latest --admin-username <azureuser> --public-ip-address "" --size  Standard_D2as_v5 --generate-ssh-keys --assign-identity --role <role name> --scope <subscription Id>

Para obter mais informações, consulte Guia de início rápido: criar uma máquina virtual Linux com a CLI do Azure.

Importante

Depois que a VM for criada, certifique-se de aplicar todos os requisitos de segurança e procedimentos de proteção aplicáveis em sua organização.

Este comando cria o recurso VM, produzindo uma saída semelhante a esta:

JSON

{
  "fqdns": "",
  "id": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/resourcegroupname/providers/Microsoft.Compute/virtualMachines/vmname",
  "identity": {
    "systemAssignedIdentity": "yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy",
    "userAssignedIdentities": {}
  },
  "location": "westeurope",
  "macAddress": "00-11-22-33-44-55",
  "powerState": "VM running",
  "privateIpAddress": "192.168.136.5",
  "publicIpAddress": "",
  "resourceGroup": "resourcegroupname",
  "zones": ""
}

Copie o GUID systemAssignedIdentity , pois ele será usado nas próximas etapas. Esta é a sua identidade gerida.

Registrar um aplicativo para criar uma identidade de aplicativo

Execute o seguinte comando na linha de comando do Azure para criar e registrar um aplicativo:

Azure CLI
```
az ad sp create-for-rbac
```
Este comando cria o aplicativo, produzindo uma saída semelhante a esta:

JSON
```
{
  "appId": "aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa",
  "displayName": "azure-cli-2022-01-28-17-59-06",
  "password": "ssssssssssssssssssssssssssssssssss",
  "tenant": "bbbbbbbb-bbbb-bbbb-bbbb-bbbbbbbbbbbb"
}
```
Para obter mais informações, consulte a documentação de referência da CLI do Azure.
Copie o appId, o locatário e a senha da saída. Você precisa deles para atribuir a política de acesso ao cofre de chaves e executar o script de implantação nas próximas etapas.
Antes de prosseguir, crie uma máquina virtual na qual implantar o agente. Você pode criar essa máquina no Azure, em outra nuvem ou localmente.

Criar um cofre de chaves

Este procedimento descreve como criar um cofre de chaves para armazenar as informações de configuração do agente, incluindo os segredos de autenticação SAP. Se estiver a utilizar um cofre de chaves existente, avance diretamente para o passo 2.

Para criar o cofre da chave:

Execute os seguintes comandos, substituindo nomes reais para os <placeholder> valores.

Azure CLI

az keyvault create \
  --name <KeyVaultName> \
  --resource-group <KeyVaultResourceGroupName>

Copie o nome do cofre de chaves e o nome do grupo de recursos. Você precisará deles quando atribuir as permissões de acesso ao cofre de chaves e executar o script de implantação nas próximas etapas.

Atribuir permissões de acesso ao cofre de chaves

No seu cofre de chaves, atribua as seguintes permissões de controle de acesso baseado em função do Azure ou de política de acesso ao cofre no escopo de segredos à identidade que você criou e copiou anteriormente.

Modelo de permissão Permissões necessárias

Controlo de acesso baseado em funções do Azure Usuário do Key Vault Secrets

Política de acesso ao Vault get, list

Use as opções no portal para atribuir as permissões ou execute um dos seguintes comandos para atribuir permissões de segredos do cofre de chaves à sua identidade, substituindo nomes reais pelos <placeholder> valores. Selecione a guia para o tipo de identidade que você criou.

A política especificada nos comandos permite que a VM liste e leia segredos do cofre de chaves.
- Modelo de permissão de controle de acesso baseado em função do Azure:
  - Identidade gerida
  - Candidatura registada
  Azure
```
az role assignment create --assignee-object-id <ManagedIdentityId> --role "Key Vault Secrets User" --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName> /providers/Microsoft.KeyVault/vaults/<KeyVaultName>
```
  Azure
```
az role assignment create --assignee-object-id <ServicePrincipalObjectId> --role "Key Vault Secrets User" --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName>/providers/Microsoft.KeyVault/vaults/<KeyVaultName>
```
  Para localizar a ID do objeto da entidade de serviço do registro do aplicativo, vá para a página de aplicativos Enterprise do portal Microsoft Entra ID. Procure o nome do registro do aplicativo e copie o valor de ID do objeto.
  
  Importante
  
  Não confunda o ID do objeto da página Aplicativos Empresariais com o ID do objeto de registro do aplicativo encontrado na página Registros do aplicativo. Somente o ID do objeto da página de aplicativos corporativos funcionará.
- Modelo de permissão da política de acesso ao Vault:
  - Identidade gerida
  - Candidatura registada
  Azure
```
az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --object-id <ManagedIdentityId> --secret-permissions get list
```
  Azure
```
az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --spn <ApplicationId> --secret-permissions get list
```
  Para encontrar a ID do objeto do registro do aplicativo, vá para a página Registros de aplicativos do portal Microsoft Entra ID. Procure o nome do registro do aplicativo e copie o valor do ID do aplicativo (cliente).
No mesmo cofre de chaves, atribua as seguintes permissões de controle de acesso baseado em função do Azure ou de política de acesso ao cofre no escopo de segredos ao usuário que está configurando o agente do conector de dados:

Modelo de permissão Permissões necessárias

Controlo de acesso baseado em funções do Azure Oficial de Segredos do Cofre de Chaves

Política de acesso ao Vault get, list, set, delete

Use as opções no portal para atribuir as permissões ou execute um dos seguintes comandos para atribuir permissões de segredos do cofre de chaves ao usuário, substituindo nomes reais pelos <placeholder> valores:
- Modelo de permissão de controle de acesso baseado em função do Azure:
  
  Azure
```
az role assignment create --role "Key Vault Secrets Officer" --assignee <UserPrincipalName> --scope /subscriptions/<KeyVaultSubscriptionId>/resourceGroups/<KeyVaultResourceGroupName>/providers/Microsoft.KeyVault/vaults/<KeyVaultName>
```
- Modelo de permissão da política de acesso ao Vault:
  
  Azure
```
az keyvault set-policy -n <KeyVaultName> -g <KeyVaultResourceGroupName> --upn <UserPrincipalName>--secret-permissions get list set delete
```

Modelo de permissão	Permissões necessárias
Controlo de acesso baseado em funções do Azure	Usuário do Key Vault Secrets
Política de acesso ao Vault	`get`, `list`

Modelo de permissão	Permissões necessárias
Controlo de acesso baseado em funções do Azure	Oficial de Segredos do Cofre de Chaves
Política de acesso ao Vault	`get`, `list`, `set`, `delete`

Implantar o agente do conector de dados a partir do portal (Visualização)

Agora que você criou uma VM e um Cofre de Chaves, sua próxima etapa é criar um novo agente e conectar-se a um de seus sistemas SAP. Embora você possa executar vários agentes de conector de dados em uma única máquina, recomendamos que você comece com apenas um, monitore o desempenho e, em seguida, aumente o número de conectores lentamente.

Este procedimento descreve como criar um novo agente e conectá-lo ao seu sistema SAP usando os portais Azure ou Defender. Recomendamos que sua equipe de segurança execute este procedimento com a ajuda da equipe do SAP BASIS .

A implantação do agente do conector de dados a partir do portal tem suporte no portal do Azure e no portal do Defender se você integrou seu espaço de trabalho à plataforma unificada de operações de segurança.

Embora a implantação também seja suportada a partir da linha de comando, recomendamos que você use o portal para implantações típicas. Os agentes do conector de dados implantados usando a linha de comando podem ser gerenciados somente através da linha de comando, e não através do portal. Para obter mais informações, consulte Implantar um agente do conector de dados SAP a partir da linha de comando.

Importante

A implantação do contêiner e a criação de conexões com sistemas SAP a partir do portal estão atualmente em visualização. Os Termos Suplementares do Azure Preview incluem termos legais adicionais que se aplicam a funcionalidades do Azure que estão em versão beta, pré-visualização ou ainda não disponibilizadas para disponibilidade geral.

Pré-requisitos:

Para implantar seu agente de conector de dados por meio do portal, você precisa:
- Autenticação através de uma identidade gerida ou de uma aplicação registada
- Credenciais armazenadas em um Cofre de Chaves do Azure
Se você não tiver esses pré-requisitos, implante o agente do conector de dados SAP a partir da linha de comando.
Para implantar o agente do conector de dados, você também precisa de privilégios sudo ou root na máquina do agente do conector de dados.
Se você quiser ingerir logs Netweaver/ABAP em uma conexão segura usando Secure Network Communications (SNC), você precisa:
- O caminho para o binário e libsapcrypto.so a sapgenpse biblioteca
- Os detalhes do seu certificado de cliente
Para obter mais informações, consulte Configurar o sistema para usar o SNC para conexões seguras.

Para implantar o agente do conector de dados:

Entre na VM recém-criada na qual você está instalando o agente, como um usuário com privilégios sudo.
Faça download e/ou transfira o SAP NetWeaver SDK para a máquina.
No Microsoft Sentinel, selecione Conectores de dados de configuração>.
Na barra de pesquisa, digite SAP. Selecione Microsoft Sentinel for SAP nos resultados da pesquisa e, em seguida, na página Abrir conector.
Na área Configuração, selecione Adicionar novo agente (Visualização).

No painel Criar um agente de coletor, insira os seguintes detalhes do agente:

Nome	Descrição
Nome do agente	Insira um nome de agente significativo para sua organização. Não recomendamos nenhuma convenção de nomenclatura específica, exceto que o nome pode incluir apenas os seguintes tipos de caracteres: a-z A-Z 0-9 _ (sublinhado) . (ponto) - (traço)
Cofre da chave de subscrição /	Selecione o Cofre de Assinatura e Chave em seus respetivos menus suspensos.
Caminho do arquivo zip do SDK NWRFC na VM do agente	Insira o caminho na VM que contém o arquivo (.zip do SAP NetWeaver Remote Function Call (RFC) Software Development Kit (SDK). Verifique se esse caminho inclui o número da versão do SDK na seguinte sintaxe: `<path>/NWRFC<version number>.zip`. Por exemplo: `/src/test/nwrfc750P_12-70002726.zip`.
Ativar suporte a conexão SNC	Selecione para ingerir logs NetWeaver/ABAP em uma conexão segura usando SNC. Se você selecionar essa opção, insira o caminho que contém o binário e `libsapcrypto.so` a `sapgenpse` biblioteca, em Caminho da Biblioteca Criptográfica SAP na VM do agente. Se você quiser usar uma conexão SNC, certifique-se de selecionar Ativar suporte a conexão SNC neste estágio, pois não é possível voltar e habilitar uma conexão SNC depois de concluir a implantação do agente. Se você quiser alterar essa configuração posteriormente, recomendamos que você crie um novo agente.
Autenticação no Cofre da Chave do Azure	Para autenticar no cofre de chaves usando uma identidade gerenciada, deixe a opção Identidade gerenciada padrão selecionada. Para autenticar no cofre de chaves usando um aplicativo registrado, selecione Identidade do aplicativo. Você deve ter a identidade gerenciada ou o aplicativo registrado configurado com antecedência. Para obter mais informações, consulte Criar uma máquina virtual e configurar o acesso às suas credenciais.

Por exemplo:

Captura de tela da área Criar um agente de coletor.

Selecione Criar e revise as recomendações antes de concluir a implantação:
A implantação do agente do conector de dados SAP requer que você conceda a identidade da VM do agente com permissões específicas para o espaço de trabalho do Microsoft Sentinel, usando as funções Operador e Leitor do Microsoft Sentinel Business Applications Agent.

Para executar os comandos nesta etapa, você deve ser proprietário de um grupo de recursos no espaço de trabalho do Microsoft Sentinel. Se você não for proprietário de um grupo de recursos em seu espaço de trabalho, esse procedimento também poderá ser executado após a conclusão da implantação do agente.

Em Apenas mais algumas etapas antes de terminarmos, copie os comandos de atribuição de função da etapa 1 e execute-os na VM do agente, substituindo o espaço reservado [Object_ID] pelo ID do objeto de identidade da VM. Por exemplo:

Para localizar sua ID de objeto de identidade de VM no Azure:
- Para uma identidade gerenciada, a ID do objeto é listada na página Identidade da VM.
- Para uma entidade de serviço, vá para Aplicativo empresarial no Azure. Selecione Todos os aplicativos e, em seguida, selecione sua VM. O ID do objeto é exibido na página Visão geral .
Esses comandos atribuem as funções Microsoft Sentinel Business Applications Agent Operator e Reader Azure à identidade gerenciada ou de aplicativo da sua VM, incluindo apenas o escopo dos dados do agente especificado no espaço de trabalho.

Importante

A atribuição das funções de Operador e Leitor do Microsoft Sentinel Business Applications Agent por meio da CLI atribui as funções somente no escopo dos dados do agente especificado no espaço de trabalho. Esta é a opção mais segura e, portanto, recomendada.

Se você precisar atribuir as funções por meio do portal do Azure, recomendamos atribuir as funções em um escopo pequeno, como apenas no espaço de trabalho do Microsoft Sentinel.
Selecione Copiar ao lado do comando de implantação do agente na etapa 2. Por exemplo:
Copie a linha de comando para um local separado e selecione Fechar.

As informações relevantes do agente são implantadas no Cofre de Chaves do Azure e o novo agente fica visível na tabela em Adicionar um agente de coletor baseado em API.

Nesta fase, o estado de saúde do agente é "Instalação incompleta. Por favor, siga as instruções". Depois que o agente é instalado com êxito, o status muda para Agente íntegro. Esta atualização pode demorar até 10 minutos. Por exemplo:

Nota

A tabela exibe o nome do agente e o status de integridade somente para os agentes que você implanta por meio do portal do Azure. Os agentes implantados usando a linha de comando não são exibidos aqui. Para obter mais informações, consulte a guia Linha de comando.
Na VM em que você planeja instalar o agente, abra um terminal e execute o comando de implantação do Agente copiado na etapa anterior. Esta etapa requer privilégios sudo ou root na máquina do agente do conector de dados.

O script atualiza os componentes do sistema operacional e instala a CLI do Azure, o software Docker e outros utilitários necessários, como jq, netcat e curl.

Forneça parâmetros extras para o script conforme necessário para personalizar a implantação do contêiner. Para obter mais informações sobre as opções de linha de comando disponíveis, consulte Referência de script Kickstart.

Se precisar copiar o comando novamente, selecione Exibir à direita da coluna Integridade e copie o comando ao lado de Comando de implantação do agente no canto inferior direito.
Na página do conector de dados do aplicativo Microsoft Sentinel solution for SAP, na área Configuração , selecione Adicionar novo sistema (Visualização) e insira os seguintes detalhes:
- Em Selecione um agente, selecione o agente criado anteriormente.
- Em Identificador do sistema, selecione o tipo de servidor:
  - Servidor ABAP
  - Servidor de mensagens para usar um servidor de mensagens como parte de um ABAP SAP Central Services (ASCS).
- Continue definindo detalhes relacionados para seu tipo de servidor:
  - Para um servidor ABAP, insira o endereço IP/FQDN do servidor de aplicativos ABAP, o ID e o número do sistema e o ID do cliente.
  - Para um servidor de mensagens, insira o endereço IP/FQDN do servidor de mensagens, o número da porta ou o nome do serviço e o grupo de logon
Quando terminar, selecione Avançar: Autenticação.

Por exemplo:
Na guia Autenticação, insira os seguintes detalhes:
- Para autenticação básica, insira o usuário e a senha.
- Se você selecionou uma conexão SNC ao configurar o agente, selecione SNC e insira os detalhes do certificado.
Quando terminar, selecione Avançar: Logs.
Na guia Logs, selecione os logs que deseja ingerir do SAP e selecione Avançar: revisar e criar. Por exemplo:
(Opcional) Para obter os melhores resultados no monitoramento da tabela SAP PAHI, selecione Histórico de configuração. Para obter mais informações, consulte Verificar se a tabela PAHI é atualizada em intervalos regulares.
Reveja as definições que definiu. Selecione Anterior para modificar as configurações ou selecione Implantar para implantar o sistema.

A configuração do sistema que você definiu é implantada no cofre de chaves do Azure que você definiu durante a implantação. Agora você pode ver os detalhes do sistema na tabela em Configurar um sistema SAP e atribuí-lo a um agente coletor. Esta tabela exibe o nome do agente associado, o ID do sistema SAP (SID) e o status de integridade dos sistemas que você adicionou por meio do portal ou de outra forma.

Nesta fase, o estado de saúde do sistema está pendente. Se o agente for atualizado com êxito, ele extrai a configuração do cofre da Chave do Azure e o status será alterado para Integridade do sistema. Esta atualização pode demorar até 10 minutos.

Verificar conectividade e integridade

Depois de implantar o agente do conector de dados SAP, verifique a integridade e a conectividade do agente. Para obter mais informações, consulte Monitorar a integridade e a função de seus sistemas SAP.

Próximo passo

Depois que o conector for implantado, prossiga para configurar o conteúdo da solução Microsoft Sentinel para aplicativos SAP. Especificamente, configurar detalhes nas listas de observação é uma etapa essencial para permitir deteções e proteção contra ameaças.

Habilite deteções SAP e proteção contra ameaças

Microsoft Ignite

Partilhar via