SNC kullanarak SAP veri bağlayıcısı için Microsoft Sentinel'i dağıtma
Bu makalede, Güvenli Ağ İletişimleri (SNC) kullanarak güvenli bir bağlantı üzerinden SAP NetWeaver ve SAP ABAP günlüklerini almak üzere SAP veri bağlayıcısı için Microsoft Sentinel'in nasıl dağıtılacağı gösterilmektedir.
SAP veri bağlayıcısı aracısı genellikle uzak işlev çağrısı (RFC) bağlantısı ve kimlik doğrulaması için kullanıcı adı ve parola kullanarak sap ABAP sunucusuna bağlanır.
Ancak, bazı ortamlar şifreli bir kanalda bağlantının yapılmasını ve bazı ortamların kimlik doğrulaması için istemci sertifikalarının kullanılmasını gerektirebilir. Böyle durumlarda, veri bağlayıcınızı güvenli bir şekilde bağlamak için SAP'den SNC kullanabilirsiniz. Bu makalede özetlenen adımları tamamlayın.
Önkoşullar
SNC kullanarak SAP veri bağlayıcısı için Microsoft Sentinel'i dağıtmak için şunları yapmanız gerekir:
- SAP Şifreleme Kitaplığı.
- Ağ bağlantısı. SNC, ABAP sunucusuna bağlanmak için 48xx numaralı bağlantı noktasını (burada xx SAP örnek numarasıdır) kullanır.
- SNC kimlik doğrulamasını destekleyecek şekilde yapılandırılmış bir SAP sunucusu.
- Kullanıcı kimlik doğrulaması için otomatik olarak imzalanan veya kurumsal sertifika yetkilisi (CA) tarafından verilen bir sertifika.
Not
Bu makalede SNC'yi yapılandırmaya yönelik örnek bir durum açıklanmaktadır. Üretim ortamında, dağıtım planı oluşturmak için SAP yöneticilerine danışmanızı kesinlikle öneririz.
Sunucu sertifikasını dışarı aktarma
Başlamak için sunucu sertifikasını dışarı aktarın:
SAP istemcinizde oturum açın ve STRUST işlemini çalıştırın.
Sol bölmede SNC SAPCryptolib'e gidin ve bölümü genişletin.
Sistemi seçin ve konu için bir değer seçin.
Sunucu sertifikası bilgileri Sertifika bölümünde gösterilir.
Sertifikayı dışarı aktar'ı seçin.
Sertifikayı Dışarı Aktar iletişim kutusunda:
Dosya biçimi için Base64'i seçin.
Dosya Yolu'nu yanındaki çift kutu simgesini seçin.
Sertifikayı dışarı aktarmak için bir dosya adı seçin.
Sertifikayı dışarı aktarmak için yeşil onay işaretini seçin.
Sertifikanızı içeri aktarma
Bu bölümde, ABAP sunucunuz tarafından güvenilen bir sertifikanın nasıl içeri aktarılacağını açıklar. SAP sistemine hangi sertifikanın içeri aktarılması gerektiğini anlamak önemlidir. SAP sistemine yalnızca sertifikaların ortak anahtarlarının içeri aktarılması gerekir.
Kullanıcı sertifikası otomatik olarak imzalandıysa: Kullanıcı sertifikasını içeri aktarın.
Kullanıcı sertifikası bir kurumsal CA tarafından verildiyse: Kurumsal CA sertifikasını içeri aktarın. Hem kök hem de alt CA sunucuları kullanılıyorsa, hem kök hem de alt CA ortak sertifikalarını içeri aktarın.
Sertifikanızı içeri aktarmak için:
STRUST işlemini çalıştırın.
Görüntüle-Değiştir'i>< seçin.
Sertifikayı içeri aktar'ı seçin.
Sertifikayı içeri aktar iletişim kutusunda:
Dosya yolu'nın yanındaki çift kutu simgesini seçin ve sertifikaya gidin.
Sertifikayı içeren dosyaya gidin (yalnızca ortak anahtar için) ve sertifikayı içeri aktarmak için yeşil onay işaretini seçin.
Sertifika bilgileri Sertifika bölümünde görüntülenir.
Sertifika Listesine Ekle'yi seçin.
Sertifika, Sertifika Listesi bölümünde görüntülenir.
Sertifikayı bir kullanıcı hesabıyla ilişkilendirme
Sertifikayı bir kullanıcı hesabıyla ilişkilendirmek için:
SM30 işlemini çalıştırın.
Tablo/Görünüm'de USRACLEXT yazın ve Ardından Koru'ya tıklayın.
Çıktıyı gözden geçirin ve hedef kullanıcının zaten ilişkili bir SNC adına sahip olup olmadığını belirleyin. Kullanıcıyla ilişkili SNC adı yoksa Yeni Girişler'i seçin.
Kullanıcı için kullanıcının kullanıcı adını girin. SNC Adı için, kullanıcının p: ön ekli sertifika konu adını girin ve Kaydet'i seçin.
Sertifikayı kullanarak oturum açma hakları verme
Oturum açma hakları vermek için:
SM30 işlemini çalıştırın.
Tablo/Görünüm'de VSNCSYSACL girin ve Ardından Koru'ya tıklayın.
Görüntülenen bilgi isteminde, tablonun istemciler arası olduğunu onaylayın.
Çalışma Alanını Belirleme: Giriş alanına ACL girişi türü için E girin ve yeşil onay işaretini seçin.
Çıktıyı gözden geçirin ve hedef kullanıcının zaten ilişkili bir SNC adına sahip olup olmadığını belirleyin. Kullanıcının ilişkili bir SNC adı yoksa Yeni Girişler'i seçin.
Sistem kimliğinizi ve kullanıcı sertifikası konu adınızı bir p: ön eki ile girin.
RFC için Girdi etkinleştirildi ve Sertifika için girdi etkinleştirildi onay kutularının seçili olduğundan emin olun ve kaydet'i seçin.
ABAP hizmet sağlayıcısı kullanıcılarını dış kullanıcı kimlikleriyle eşleme
ABAP hizmet sağlayıcısı kullanıcılarını dış kullanıcı kimlikleriyle eşlemek için:
SM30 işlemini çalıştırın.
Tablo/Görünüm'de VUSREXTID yazın ve Ardından Koru'ya tıklayın.
Çalışma Alanını Belirleme: Giriş bölümünde, Çalışma Alanı için DN Kimlik türünü seçin.
Aşağıdaki değerleri girin:
- Dış Kimlik için CN=Sentinel, C=US girin.
- Seq. No alanına 000 girin.
- Kullanıcı için SENTINEL girin.
Kaydet'i ve ardından Enter'ı seçin.
Kapsayıcıyı ayarlama
Not
SAP veri bağlayıcısı aracı kapsayıcısını kullanıcı arabirimini kullanarak ayarlarsanız, bu bölümde açıklanan adımları tamamlamayın. Bunun yerine bağlayıcıyı bağlayıcı sayfasında ayarlamaya devam edin.
Kapsayıcıyı ayarlamak için:
libsapcrypto.so ve sapgenpse dosyalarını kapsayıcının oluşturulacağı sisteme aktarın.
İstemci sertifikasını (hem özel hem de ortak anahtarlar) kapsayıcının oluşturulacağı sisteme aktarın.
İstemci sertifikası ve anahtarı .p12, .pfx veya Base64 .crt ve .key biçiminde olabilir.
Sunucu sertifikasını (yalnızca ortak anahtar) kapsayıcının oluşturulacağı sisteme aktarın.
Sunucu sertifikası Base64 .crt biçiminde olmalıdır.
İstemci sertifikası bir kuruluş sertifika yetkilisi tarafından verildiyse, veren CA ve kök CA sertifikalarını kapsayıcının oluşturulacağı sisteme aktarın.
Microsoft Sentinel GitHub deposundan başlangıç betiğini alın:
wget https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Solutions/SAP/sapcon-sentinel-kickstart.shYürütülebilir hale getirmek için betiğin izinlerini değiştirin:
chmod +x ./sapcon-sentinel-kickstart.shBetiği çalıştırın ve aşağıdaki temel parametreleri belirtin:
./sapcon-sentinel-kickstart.sh \ --use-snc \ --cryptolib <path to sapcryptolib.so> \ --sapgenpse <path to sapgenpse> \ --server-cert <path to server certificate public key> \İstemci sertifikası .crt veya .key biçimindeyse aşağıdaki anahtarları kullanın:
--client-cert <path to client certificate public key> \ --client-key <path to client certificate private key> \İstemci sertifikası .pfx veya .p12 biçimindeyse şu anahtarları kullanın:
--client-pfx <pfx filename> --client-pfx-passwd <password>İstemci sertifikası bir kurumsal CA tarafından verildiyse, güven zincirindeki her CA için bu anahtarı ekleyin:
--cacert <path to ca certificate>Örneğin:
./sapcon-sentinel-kickstart.sh \ --use-snc \ --cryptolib /home/azureuser/libsapcrypto.so \ --sapgenpse /home/azureuser/sapgenpse \ --client-cert /home/azureuser/client.crt \ --client-key /home/azureuser/client.key \ --cacert /home/azureuser/issuingca.crt --cacert /home/azureuser/rootca.crt --server-cert /home/azureuser/server.crt \
Başlangıç betiğinde kullanılabilen seçenekler hakkında daha fazla bilgi için bkz . Başvuru: Kickstart betiği.
Sorun giderme ve başvuru
Sorun giderme bilgileri için şu makalelere bakın:
- SAP uygulamaları dağıtımı için Microsoft Sentinel çözümünüzün sorunlarını giderme
- Microsoft Sentinel çözümleri
Başvuru için şu makalelere bakın:
- SAP uygulamaları için Microsoft Sentinel çözümü veri başvurusu
- SAP uygulamaları için Microsoft Sentinel çözümü: Güvenlik içeriği başvurusu
- Kickstart betik başvurusu
- Betik başvurusunu güncelleştirme
- Systemconfig.ini dosya başvurusu
İlgili içerik
Geri Bildirim
Çok yakında: 2024 boyunca, içerik için geri bildirim mekanizması olarak GitHub Sorunları’nı kullanımdan kaldıracak ve yeni bir geri bildirim sistemiyle değiştireceğiz. Daha fazla bilgi için bkz. https://aka.ms/ContentUserFeedback.
Gönderin ve geri bildirimi görüntüleyin