Esercitazione: Integrazione dell'accesso SSO di Microsoft Entra con SAP Business Technology Platform

Questa esercitazione descrive come integrare SAP Business Technology Platform con Microsoft Entra ID. Integrando SAP Business Technology Platform con Microsoft Entra ID, è possibile:

• Controllare in Microsoft Entra ID chi può accedere a SAP Business Technology Platform.
• Abilitare gli utenti per l'accesso automatico a SAP Business Technology Platform con gli account Microsoft Entra personali.
• Gestire gli account in un'unica posizione centrale.

Prerequisiti

Per iniziare, sono necessari gli elementi seguenti:

• Una sottoscrizione di Microsoft Entra. Se non si possiede una sottoscrizione, è possibile ottenere un account gratuito.
• Sottoscrizione di SAP Business Technology Platform abilitata per l'accesso Single Sign-On (SSO).

Descrizione dello scenario

In questa esercitazione viene configurato e testato l'accesso Single Sign-On di Microsoft Entra in un ambiente di test.

• SAP Business Technology Platform supporta l'accesso SSO avviato da SP .

Aggiungere SAP Business Technology Platform dalla raccolta

Per configurare l'integrazione di SAP Business Technology Platform in Microsoft Entra ID, è necessario aggiungere SAP Business Technology Platform dalla raccolta all'elenco di app SaaS gestite.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
2. Passare a Applicazioni di identità>Applicazioni>aziendali>Nuova applicazione.
3. Nella sezione Aggiungi dalla raccolta digitare SAP Business Technology Platform nella casella di ricerca.
4. Selezionare SAP Business Technology Platform nel pannello dei risultati e quindi aggiungere l'app. Attendere alcuni secondi che l'app venga aggiunta al tenant.

In alternativa, è anche possibile usare l'Enterprise Configurazione app Wizard. In questa procedura guidata è possibile aggiungere un'applicazione al tenant, aggiungere utenti/gruppi all'app, assegnare ruoli, nonché esaminare la configurazione dell'accesso SSO. Altre informazioni sulle procedure guidate di Microsoft 365.

Configurare e testare Microsoft Entra SSO for SAP Business Technology Platform

Configurare e testare l'accesso SSO di Microsoft Entra con SAP Business Technology Platform usando un utente di test di nome B.Simon. Per consentire il funzionamento dell'accesso Single Sign-On, è necessario stabilire una relazione di collegamento tra un utente di Microsoft Entra e l'utente correlato in SAP Business Technology Platform.

Per configurare e testare l'accesso SSO di Microsoft Entra con SAP Business Technology Platform, seguire questa procedura:

1. Configurare l'accesso Single Sign-On di Microsoft Entra: per consentire agli utenti di usare questa funzionalità.
   1. Creare un utente di test di Microsoft Entra: per testare l'accesso Single Sign-On di Microsoft Entra con Britta Simon.
   2. Assegnare l'utente di test di Microsoft Entra : per abilitare Britta Simon all'uso dell'accesso Single Sign-On di Microsoft Entra.
2. Configurare l'accesso Single Sign-On di SAP Business Technology Platform: per configurare le impostazioni di Single Sign-On sul lato applicazione.
   1. Creare l'utente di test di SAP Business Technology Platform: per avere una controparte di Britta Simon in SAP Business Technology Platform collegata alla rappresentazione dell'utente in Microsoft Entra.
3. Testare l'accesso Single Sign-On: per verificare se la configurazione funziona.

Configurare l'accesso Single Sign-On di Microsoft Entra

Seguire questa procedura per abilitare l'accesso Single Sign-On di Microsoft Entra.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.

2. Passare a Applicazioni di identità>Applicazioni>aziendali>SAP Business Technology Platform>Single Sign-On.

3. Nella pagina Selezionare un metodo di accesso Single Sign-On selezionare SAML.

4. Nella pagina Configura l'accesso Single Sign-On con SAML fare clic sull'icona della matita per modificare le impostazioni di Configurazione SAML di base.

   

5. Nella sezione Configurazione SAML di base immettere i valori per i campi seguenti:

   a. Nella casella di testo Identificatore si fornirà il tipo di URL di SAP Business Technology Platform usando uno dei modelli seguenti:

   Identifier
   https://hanatrial.ondemand.com/<instancename>
   https://hana.ondemand.com/<instancename>
   https://us1.hana.ondemand.com/<instancename>
   https://ap1.hana.ondemand.com/<instancename>

   b. Nella casella di testo URL di risposta digitare un URL corrispondente al modello seguente:

   URL di risposta
   https://<subdomain>.hanatrial.ondemand.com/<instancename>
   https://<subdomain>.hana.ondemand.com/<instancename>
   https://<subdomain>.us1.hana.ondemand.com/<instancename>
   https://<subdomain>.dispatcher.us1.hana.ondemand.com/<instancename>
   https://<subdomain>.ap1.hana.ondemand.com/<instancename>
   https://<subdomain>.dispatcher.ap1.hana.ondemand.com/<instancename>
   https://<subdomain>.dispatcher.hana.ondemand.com/<instancename>

   c. Nella casella di testo URL di accesso digitare l'URL usato dagli utenti per accedere all'applicazione SAP Business Technology Platform . Si tratta dell'URL specifico dell'account di una risorsa protetta nell'applicazione SAP Business Technology Platform. L'URL è basato sul formato seguente: https://<applicationName><accountName>.<landscape host>.ondemand.com/<path_to_protected_resource>

   Nota

   Si tratta dell'URL nell'applicazione SAP Business Technology Platform che richiede l'autenticazione dell'utente.

   URL di accesso
   https://<subdomain>.hanatrial.ondemand.com/<instancename>
   https://<subdomain>.hana.ondemand.com/<instancename>

   Nota

   Poiché questi non sono i valori reali, Aggiornare questi valori con l'identificatore effettivo, l'URL di risposta e l'URL di accesso. Per ottenere l'URL e l'identificatore, contattare il team di supporto clienti di SAP Business Technology Platform. URL di risposta che è possibile ottenere dalla sezione di gestione trust, illustrata più avanti nell'esercitazione.

6. Nella sezione Certificato di firma SAML della pagina Configura l'accesso Single Sign-On con SAML fare clic su Scarica per scaricare il file XML dei metadati della federazione definito dalle opzioni specificate in base ai propri requisiti e salvarlo nel computer in uso.

   

Creare un utente di test di Microsoft Entra

In questa sezione verrà creato un utente di test di nome B.Simon.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un utente Amministrazione istrator.
2. Passare a Utenti>identità>Tutti gli utenti.
3. Selezionare Nuovo utente Crea nuovo utente> nella parte superiore della schermata.
4. Nelle proprietà Utente seguire questa procedura:
   1. Nel campo Nome visualizzato immettere B.Simon.
   2. Nel campo Nome entità utente immettere .username@companydomain.extension Ad esempio, B.Simon@contoso.com.
   3. Selezionare la casella di controllo Mostra password e quindi prendere nota del valore visualizzato nella casella Password.
   4. Selezionare Rivedi e crea.
5. Seleziona Crea.

Assegnare l'utente di test di Microsoft Entra

In questa sezione si abiliterà B.Simon all'uso dell'accesso Single Sign-On concedendole l'accesso a SAP Business Technology Platform.

1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un'applicazione cloud Amministrazione istrator.
2. Passare a Applicazioni di identità>Applicazioni>aziendali>SAP Business Technology Platform.
3. Nella pagina di panoramica dell'app selezionare Utenti e gruppi.
4. Selezionare Aggiungi utente/gruppo, quindi utenti e gruppi nella finestra di dialogo Aggiungi assegnazione .
   1. Nella finestra di dialogo Utenti e gruppi selezionare B.Simon dall'elenco degli utenti e quindi fare clic sul pulsante Seleziona nella parte inferiore della schermata.
   2. Se si prevede che agli utenti venga assegnato un ruolo, è possibile selezionarlo nell'elenco a discesa Selezionare un ruolo. Se per questa app non è stato configurato alcun ruolo, il ruolo selezionato è "Accesso predefinito".
   3. Nella finestra di dialogo Aggiungi assegnazione fare clic sul pulsante Assegna.

Configurare l'accesso Single Sign-On di SAP Business Technology Platform

1. In un'altra finestra del Web browser accedere al pannello di controllo sap Business Technology Platform all'indirizzo https://account.<landscape host>.ondemand.com/cockpit(ad esempio: https://account.hanatrial.ondemand.com/cockpit).

2. Scegliere la scheda Trust .

   

3. Nella sezione Trust Management, in Local Service Provider, eseguire la procedura seguente:

   

   a. Fare clic su Modifica.

   b. In Configuration Type selezionare Custom.

   c. In Local Provider Namelasciare il valore predefinito. Copiare questo valore e incollarlo nel campo Identificatore nella configurazione di Microsoft Entra per SAP Business Technology Platform.

   d. Per generare una chiave per la firma e una coppia di chiavi del certificato di firma, fare clic su Generate Key Pair.

   e. In Propagazione entità selezionare Disabilitato.

   f. In Force Authentication selezionare Disabled.

   g. Fare clic su Salva.

4. Dopo il salvataggio delle impostazioni Local Service Provider, eseguire le operazioni seguenti per ottenere l'URL di risposta:

   

   a. Scaricare il file di metadati di SAP Business Technology Platform facendo clic su Recupera metadati.

   b. Aprire il file XML dei metadati di SAP Business Technology Platform scaricato e quindi individuare il tag ns3:AssertionConsumerService .

   c. Copiare il valore dell'attributo Location e incollarlo nel campo URL di risposta nella configurazione di Microsoft Entra per SAP Business Technology Platform.

5. Fare clic sulla scheda Trusted Identity Provider, quindi fare clic su Add Trusted Identity Provider.

   

   Nota

   Per gestire l'elenco dei provider di identità attendibili, è necessario aver scelto il tipo di configurazione Personalizza nella sezione Provider di servizi locale. Per il tipo di configurazione predefinito è presente una relazione di trust implicita e non modificabile per il servizio SAP ID. Per Nessuno, non sono disponibili impostazioni di trust.

6. Fare clic sulla scheda General, quindi fare clic su Browse per caricare il file di metadati scaricati.

   

   Nota

   Dopo aver caricato il file di metadati, i valori per URL Single Sign-On, URL disconnessione singola e Certificato di firma vengono popolati automaticamente.

7. Fare clic sulla scheda Attributes .

8. Nella scheda Attributes eseguire la procedura seguente:

   

   a. Fare clic su Add Assertion-Based Attribute e quindi aggiungere gli attributi basati su asserzione seguenti:

   Attributo di asserzione	Attributo di entità
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname	firstname
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname	lastname
   http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress	posta elettronica

   Nota

   La configurazione degli attributi dipende da come le applicazioni per SCP vengono sviluppate, vale a dire quali attributi sono previsti nella risposta SAML e con quale nome (attributo di entità) accedono a questo attributo nel codice.

   b. L'attributo predefinito presente nella schermata è solo a scopo illustrativo. Non è necessario per il funzionamento dello scenario.

   c. I nomi e i valori per l'attributo di entità illustrati nella schermata dipendono dal modo in cui viene sviluppata l'applicazione. È possibile che l'applicazione richieda mapping diversi.

Gruppi basati su asserzione

Come passaggio facoltativo, è possibile configurare gruppi basati su asserzioni per il provider di identità Microsoft Entra.

L'uso di gruppi in SAP Business Technology Platform consente di assegnare dinamicamente uno o più utenti a uno o più ruoli nelle applicazioni SAP Business Technology Platform, determinati dai valori degli attributi nell'asserzione SAML 2.0.

Ad esempio, se l'asserzione contiene l'attributo "contract=temporary", si potrebbe volere che tutti gli utenti interessati siano aggiunti al gruppo"TEMPORARY". Il gruppo "TEMPORARY" può contenere uno o più ruoli da una o più applicazioni distribuite nell'account SAP Business Technology Platform.

Usare i gruppi basati su asserzioni quando si vogliono assegnare simultaneamente molti utenti a uno o più ruoli di applicazioni nell'account SAP Business Technology Platform. Se si vuole assegnare solo un singolo o piccolo numero di utenti a ruoli specifici, è consigliabile assegnarli direttamente nella scheda "Autorizzazioni" del pannello di controllo sap Business Technology Platform.

Creare l'utente di test di SAP Business Technology Platform

Per consentire agli utenti di Microsoft Entra di accedere a SAP Business Technology Platform, è necessario assegnare loro ruoli in SAP Business Technology Platform.

Per assegnare un ruolo a un utente, seguire questa procedura:

1. Accedere al cockpit di SAP Business Technology Platform .

2. Eseguire questi passaggi:

   

   a. Fare clic su Authorization.

   b. Fare clic sulla scheda Utenti .

   c. Nella casella di testo User digitare l'indirizzo di posta elettronica dell'utente.

   d. Fare clic su Assign per assegnare l'utente a un ruolo.

   e. Fare clic su Salva.

Testare l'accesso SSO

In questa sezione viene testata la configurazione dell'accesso Single Sign-On di Microsoft Entra con le opzioni seguenti.

• Fare clic su Test this application (Testa questa applicazione), verrà eseguito il reindirizzamento all'URL di accesso di SAP Business Technology Platform in cui è possibile avviare il flusso di accesso.

• Passare direttamente all'URL di accesso di SAP Business Technology Platform e avviare il flusso di accesso da questa posizione.

• È possibile usare App personali Microsoft. Quando si fa clic sul riquadro di SAP Business Technology Platform nell'App personali, si dovrebbe accedere automaticamente all'applicazione SAP Business Technology Platform per cui si è configurato l'accesso SSO. Per altre informazioni su App personali, vedere l'introduzione ad App personali.

Passaggi successivi

Dopo aver configurato SAP Business Technology Platform, è possibile applicare il controllo sessione che consente di proteggere in tempo reale l'esfiltrazione e l'infiltrazione dei dati sensibili dell'organizzazione. Il controllo sessione costituisce un'estensione dell'accesso condizionale. Informazioni su come applicare il controllo sessione con app Microsoft Defender per il cloud.