Настройка Microsoft Entra ID и SAP Cloud Identity Services для автоматического предоставления пользователей в решениях SAP Spend Management

В этой статье описываются шаги, которые необходимо выполнить в SAP Cloud Identity Services и Microsoft Entra ID для настройки автоматического предоставления пользователей. При настройке Microsoft Entra ID автоматически подготавливает и удаляет пользователей для решений SAP Spend Management, используя службу подготовки Microsoft Entra и облачные службы удостоверения личности SAP. Важные сведения о том, что делает предоставление Microsoft Entra, как это работает, и часто задаваемые вопросы можно найти в разделе Автоматизация предоставления и отмены предоставления пользователей в приложениях SaaS с помощью Microsoft Entra ID.

Поддерживаемые возможности

Предварительные условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если ее нет, можно создать учетную запись бесплатно.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • владелец приложения.

• Приложение решения для управления затратами SAP (SAP Ariba Category Management или SAP Ariba Central Invoice Management)
• Клиент служб облачных удостоверений SAP
• Учетная запись пользователя в консоли администрирования SAP Identity Provisioning с разрешениями администратора. Убедитесь, что у вас есть доступ к прокси-системам в консоли администрирования "Провизия удостоверений". Если вы не видите элемент Proxy Systems (Прокси-системы), создайте инцидент для компонента BC-IAM-IP, чтобы запросить доступ к этому элементу.

Шаг 1. Планируйте развертывание провизии

Microsoft Entra имеет соединители для SAP ECC, SAP Cloud Identity Services и SAP SuccessFactors. Провизирование в приложениях решения SAP Spend Management или других приложениях требует, чтобы пользователи сначала были зарегистрированы в Microsoft Entra ID. Как только у вас есть пользователи в Microsoft Entra ID, вы можете предоставить доступ этим пользователям в SAP Cloud Identity Services. Затем облачные службы удостоверений SAP подготавливают пользователей, поступающих из идентификатора Microsoft Entra, которые находятся в каталоге SAP Cloud Identity Directory в подчиненных приложениях SAP, в том числе SAP Ariba Category Management"SAP Ariba Central Invoice Management", через облачный соединитель SAP и другие.

Шаг 2. Убедитесь, что у вас есть правильные пользователи в идентификаторе Microsoft Entra

Вы можете использовать входящие данные из HR из таких источников, как SuccessFactors, чтобы поддерживать список пользователей в Microsoft Entra ID в актуальном состоянии, когда сотрудники приходят, перемещаются и уходят. Если вы планируете использовать группы или назначения ролей приложения для определения, кто может получить доступ к приложениям решения SAP Spend Management и какие роли у них будут, и если у клиента есть лицензия на Управление идентификацией Microsoft Entra, вы также можете автоматизировать изменения назначений ролей приложения в Microsoft Entra ID для приложений, представляющих облачные службы удостоверений SAP или приложения решения SAP Spend Management. Дополнительную информацию о выполнении разделения обязанностей и других проверок соответствия требованиям перед подготовкой см. в разделе модели управления жизненным циклом доступа.

Пошаговое руководство по управлению жизненным циклом удостоверений с приложениями SAP в качестве целевой системы см. в статье "Планирование развертывания Microsoft Entra для подготовки пользователей с приложениями SAP в качестве источника и цели".

Шаг 3. Настройка провижининга из Microsoft Entra ID в SAP Cloud Identity Services

Чтобы подготовить пользователей к подготовке к работе с приложениями решения SAP Spend Management или другими приложениями SAP, интегрированными с облачными службами удостоверений SAP, убедитесь, что в облачных службах удостоверений SAP есть необходимые сопоставления схем для этих приложений. Затем настройте подготовку пользователей из Microsoft Entra ID в SAP Cloud Identity Services. Сервисы облачной аутентификации SAP будут затем, как требуется, интегрировать пользователей в последующие приложения SAP.

Существует два способа предоставления доступа пользователям из Microsoft Entra в SAP Cloud Identity Services.

• Если вы используете группы из Microsoft Entra ID, например, для назначения пользователям ролей в приложениях решения SAP Spend Management, используйте SAP Cloud Identity Services для предоставления. Сначала создайте группы Microsoft Entra для бизнес-ролей SAP, используемых в облаке SAP Analytics. Затем в службах предоставления облачных удостоверений SAP настройте Microsoft Entra ID в качестве источника, чтобы перенести пользователей и группы из Microsoft Entra ID в SAP Cloud Identity Services и сопоставить созданные группы с бизнес-ролями SAP. Дополнительные сведения см. в документации SAP по предоставлению пользователей из Microsoft Azure AD в SAP Cloud Identity Services — Identity Authentication.

• Кроме того, если вам не нужно использовать группы в Microsoft Entra ID, можно воспользоваться службой подготовки Microsoft Entra. В этом сценарии создайте приложение, представляющее приложение решения SAP Spend Management, и назначьте пользователям, которым требуется доступ к приложению решения SAP Spend Management, этому приложению. Затем настройте автоматическое предоставление пользователей с помощью Microsoft Entra ID в SAP Cloud Identity Services для. Дождитесь назначения этих пользователей в облачные сервисы удостоверений SAP и убедитесь, что они обладают атрибутами, необходимыми для назначенного приложения решения SAP Spend Management.

Шаг 4. Настройка предоставления из служб облачной идентификации SAP в SAP Ariba

На этом шаге используйте SAP Cloud Identity Services Identity Provisioning для настройки приложения SAP Spend Management в качестве целевой системы, где можно назначать пользователей и участников группы. Сведения об управлении категориями SAP Ariba см. в документации SAP о предоставлении доступа к управлению категориями SAP Ariba. Сведения о системе централизованного управления счетами SAP Ariba см. в документации SAP по предоставлению доступа к SAP Ariba Central Invoice Management.

Шаг 5. Настройка единого входа

После настройки подготовки пользователей в приложениях SAP необходимо включить единый вход для них. Идентификатор Microsoft Entra может служить поставщиком удостоверений и центром проверки подлинности для приложений SAP. Если вы еще этого не сделали, настройте интеграцию единого входа Microsoft Entra с SAP Cloud Identity Services.

Дополнительные сведения о настройке единого входа в SAP SaaS и современных приложениях см. в статье "Включение единого входа".

Связанный контент

• Настройка служб облачных удостоверений SAP для автоматической подготовки пользователей с помощью идентификатора Microsoft Entra