Настройка Microsoft Entra ID и SAP Cloud Identity Services для автоматического обеспечения пользователей в SAP HANA

В этой статье описываются шаги, которые необходимо выполнить в SAP Cloud Identity Services и Microsoft Entra ID для настройки автоматического предоставления пользователей. При настройке Microsoft Entra ID автоматически создает и удаляет пользователей в SAP HANA с помощью службы подготовки Microsoft Entra и SAP Cloud Identity Services. Важные сведения о том, что делает Microsoft Entra provisioning, как это работает и часто задаваемые вопросы см. в статье Автоматизация создания и удаления учетных записей пользователей для приложений SaaS с Microsoft Entra ID.

Поддерживаемые возможности

Предварительные условия

В сценарии, описанном в этой статье, предполагается, что у вас уже есть следующие предварительные требования:

• Учетная запись пользователя Microsoft Entra с активной подпиской. Если ее нет, можно создать учетную запись бесплатно.
• Одна из следующих ролей:
  • Администратор приложений
  • Администратор облачных приложений
  • владелец приложения.

• SAP HANA Cloud или база данных SAP HANA
• Клиент служб облачных удостоверений SAP
• Учетная запись пользователя в консоли администрирования SAP Identity Provisioning с разрешениями администратора. Убедитесь, что у вас есть доступ к прокси-системам в консоли администрирования предоставления удостоверений. Если вы не видите элемент Proxy Systems (Прокси-системы), создайте инцидент для компонента BC-IAM-IP, чтобы запросить доступ к этому элементу.

Шаг 1. Планирование развертывания обеспечения ресурсами

Microsoft Entra имеет соединители для SAP ECC, SAP облачные службы идентификации и SAP SuccessFactors. Для настройки в SAP HANA или других приложениях необходимо, чтобы пользователи уже были в Microsoft Entra ID. Как только у вас появятся пользователи в Microsoft Entra ID, вы сможете предоставить их из Microsoft Entra ID в SAP Cloud Identity Services. Затем облачные службы удостоверений SAP подготавливают пользователей, происходящих из Microsoft Entra ID, которые находятся в каталоге SAP Cloud Identity Directory, в последующие приложения SAP, включая SAP HANA Cloud и 'SAP HANA Database' через облачный соединитель SAP и другие.

Шаг 2. Убедитесь, что у вас есть правильные пользователи в идентификаторе Microsoft Entra

Вы можете использовать входящие HR данные из таких источников, как SuccessFactors, чтобы поддерживать список пользователей в Microsoft Entra ID в актуальном виде, когда сотрудники присоединяются к организации, перемещаются или покидают ее. Если планируется использовать группы или назначения ролей приложения для определения области доступа к SAP HANA или какие роли они получат, а у клиента есть лицензия на Управление идентификацией Microsoft Entra, вы также можете автоматизировать изменения назначений ролей приложения в Microsoft Entra ID для приложений, представляющих SAP Cloud Identity Services или SAP HANA. Дополнительные сведения о выполнении разделения обязанностей и других проверок соответствия требованиям перед выделением ресурсов см. в разделе сценарии управления жизненным циклом доступа.

Пошаговое руководство по управлению жизненным циклом идентификации пользователей с использованием приложений SAP в качестве целевого объекта см. в статье "Планирование развертывания Microsoft Entra для подготовки пользователей с исходными и целевыми приложениями SAP".

Шаг 3. Настройка подготовки из Microsoft Entra ID в SAP Cloud Identity Services

Чтобы подготовить пользователей к подготовке к работе с SAP HANA или другими приложениями SAP, интегрированными с облачными службами удостоверений SAP, убедитесь, что в облачных службах удостоверений SAP есть необходимые сопоставления схем для этих приложений. Затем настройте развертывание пользователей из Microsoft Entra ID в SAP Cloud Identity Services. При необходимости облачные службы удостоверений SAP будут поставлять пользователей в последующие приложения SAP.

Существует два способа предоставления пользователей из Microsoft Entra в SAP Cloud Identity Services.

• Если вы используете группы из Microsoft Entra ID, например, для назначения пользователям ролей в облаке SAP HANA, то используйте предоставление облачных служб удостоверений SAP. Сначала создайте группы Microsoft Entra для бизнес-ролей SAP, используемых в облаке SAP Analytics. Затем в службах управления облачными удостоверениями SAP настройте Microsoft Entra ID в качестве источника, чтобы перенести пользователей и группы из Microsoft Entra ID в службы управления облачными удостоверениями SAP и сопоставьте созданные группы с вашими бизнес-ролями SAP. Для получения более подробной информации см. документацию SAP о том, как предоставлять пользователям доступ из Microsoft Azure AD в SAP Cloud Identity Services - Identity Authentication.

• Кроме того, если вам не нужно использовать группы в Microsoft Entra ID, можно использовать службу подготовки Microsoft Entra. В этом сценарии создайте приложение, представляющее SAP HANA, и назначьте пользователей, которым требуется доступ к SAP HANA в этом приложении. Затем настройте автоматическое предоставление пользователей в Microsoft Entra ID для SAP Cloud Identity Services. Подождите, пока эти пользователи будут добавлены в облачные службы удостоверений SAP, и убедитесь, что у них есть атрибуты, необходимые для вашей целевой системы SAP HANA.

Шаг 4. Настройка проведения из Служб облачной идентификации SAP в SAP HANA

На этом шаге используйте сервис SAP Cloud Identity Services для провизирования, чтобы настроить SAP HANA в качестве целевой системы, где вы можете проводить провизирование пользователей и членов группы. Сведения о sap HANA Cloud или базе данных SAP HANA см. в документации по подготовке к sap HANA Cloud или базе данных SAP HANA.

Шаг 5. Настройка единого входа

После настройки подготовки пользователей в приложениях SAP необходимо включить единый вход для них. Идентификатор Microsoft Entra может служить поставщиком удостоверений и центром проверки подлинности для приложений SAP. Если вы еще этого не сделали, настройте интеграцию единого входа Microsoft Entra с SAP Cloud Identity Services.

Дополнительные сведения о настройке единого входа в SAP SaaS и современных приложениях см. в статье "Включение единого входа".

Связанный контент

• Настройка служб облачных удостоверений SAP для автоматической подготовки пользователей с помощью идентификатора Microsoft Entra