共用方式為

教學課程：將 Microsoft Entra 單一登入 (SSO) 與 SAP Analytics Cloud 整合

  • 發行項

在本教學課程，您會了解如何將 SAP HANA 與 Microsoft Entra ID 整合。 SAP HANA 與 Microsoft Entra ID 整合後，您可以：

  • 在 Microsoft Entra ID 中控制可存取 SAP HANA 的人員。
  • 讓使用者以其 Microsoft Entra 帳戶自動登入 SAP HANA。
  • 在一個集中式位置管理您的帳戶。

必要條件

若要設定 Microsoft Entra 與 SAP HANA 的整合，您需要下列項目：

  • Microsoft Entra 訂用帳戶
  • 啟用單一登入 (SSO) 的 SAP Hana 訂用帳戶
  • 執行於任何公用 IaaS、內部部署、Azure VM 或 Azure 中 SAP 大型執行個體的 HANA 執行個體
  • XSA 管理網頁介面，以及安裝在 HANA 執行個體上的 HANA Studio

注意

我們不建議使用 SAP Hana 的實際執行環境，測試本教學課程中的步驟。 先在應用程式的開發或預備環境中測試整合，再使用於實際執行環境。

若要測試本教學課程中的步驟，請遵循下列建議：

  • Microsoft Entra 訂用帳戶。 如果您沒有 Microsoft Entra 環境，可以在 [此處] 取得一個月的試用
  • 啟用 SAP HANA 單一登入的訂用帳戶

案例說明

在本教學課程，您會在測試環境中設定及測試 Microsoft Entra 單一登入。

  • SAP Hana 支援由 IDP 發起的 SSO。
  • SAP HANA 支援即時使用者佈建。

注意

此應用程式的識別碼是固定的字串值，因此一個租用戶中只能設定一個執行個體。

若要設定將 SAP HANA 整合至 Microsoft Entra ID ，您需要從資源庫將 SAP HANA 新增到您的受控 SaaS app 清單。

  1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。
  2. 瀏覽至 [身分識別]>[應用程式]>[企業應用程式]>[新增應用程式]。
  3. 在 [從資源庫新增] 區段的搜尋框中輸入 [SAP HANA]。
  4. 從結果面板選取 [SAP HANA]，然後新增應用程式。 將應用程式新增至您的租用戶時，請稍候幾秒鐘。

或者，您也可以使用企業應用程式組態精靈。 在此精靈中，您可以將應用程式新增至租用戶、將使用者/群組新增至應用程式、指派角色，以及逐步進行 SSO 設定。 深入了解 Microsoft 365 精靈。

設定及測試適用於 SAP Hana 的 Microsoft Entra SSO

以名為 B.Simon 的測試使用者，設定及測試使用 SAP Hana 的 Microsoft Entra SSO。 若要讓 SSO 能夠運作，您必須建立 Microsoft Entra 使用者與 SAP Hana 中相關使用者之間的連結關聯性。

若要設定及測試使用 SAP HANA 的 Microsoft Entra SSO，請執行下列步驟：

  1. 設定 Microsoft Entra SSO - 讓使用者能夠使用此功能。
    1. 建立 Microsoft Entra 測試使用者 - 以 Britta Simon 身分測試 Microsoft Entra 單一登入。
    2. 指派 Microsoft Entra 測試使用者 - 讓 Britta Simon 得以使用 Microsoft Entra 單一登入。
  2. 設定 SAP HANA SSO - 在應用程式端設定單一登入設定。
    1. 建立 SAP Hana 測試使用者 - 在 SAP Hana 中建立 Britta Simon 的對應項目，連結到 Microsoft Entra 中該使用者的代表項目。
  3. 測試 SSO - 確認組態是否正常運作。

設定 Microsoft Entra SSO

遵循下列步驟來啟用 Microsoft Entra SSO。

  1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。

  2. 瀏覽至 [身分識別]>[應用程式]>[企業應用程式]>[SAP Hana]>[單一登入]。

  3. 在 [選取單一登入方法] 頁面上，選取 [SAML]。

  4. 在以 SAML 設定單一登入頁面，按一下 [基本 SAML 設定] 的鉛筆圖示，來編輯設定。

    編輯基本 SAML 組態

  5. 在 [基本 SAML 組態] 區段上，輸入下列欄位的值：

    在 [回覆 URL] 文字方塊中，使用下列模式來輸入 URL：https://<Customer-SAP-instance-url>/sap/hana/xs/saml/login.xscfunc

    注意

    「回覆 URL」不是真正的值。 請使用實際的「回覆 URL」來更新此值。 請連絡 SAP HANA 客戶支援小組，取得這些值。 您也可以參考基本 SAML 設定區段中所示的模式。

  6. SAP Hana 應用程式需要特定格式的 SAML 判斷提示。 設定此應用程式的下列宣告。 您可以在應用程式整合頁面的 [使用者屬性] 區段中，管理這些屬性的值。 在 [以 SAML 設定單一登入] 頁面上，按一下 [編輯] 按鈕，開啟 [使用者屬性] 對話方塊。

    顯示「使用者屬性」區段的螢幕擷取畫面，其中已選取「編輯」圖示。

  7. 在 [使用者屬性與宣告] 對話方塊的 [使用者屬性] 區段中，執行下列步驟：

    a. 按一下 [編輯] 圖示，開啟 [管理使用者宣告] 對話方塊。

    顯示「使用者屬性和宣告」對話方塊的螢幕擷取畫面，其中已選取「編輯」圖示。

    圖片

    b. 從 [轉換] 清單中，選取 [ExtractMailPrefix()]。

    c. 從 [參數 1] 清單中，選取 [user.mail]。

    d. 按一下 [儲存]。

  8. 在 [以 SAML 設定單一登入] 頁面的 [SAML 簽署憑證] 區段，按一下 [下載]，依據您的需求從指定選項下載 [同盟中繼資料 XML]，並儲存在您的電腦。

    憑證下載連結

建立 Microsoft Entra 測試使用者

在本節中，您將建立名為 B.Simon 的測試使用者。

  1. 以至少使用者系統管理員的身分登入 Microsoft Entra 系統管理中心。
  2. 瀏覽至 [身分識別]>[使用者]>[所有使用者]。
  3. 在畫面頂端選取 [新增使用者]>[建立新使用者]。
  4. 在 [使用者] 屬性中，執行下列步驟：
    1. 在 [顯示名稱] 欄位中輸入 B.Simon。
    2. 在 [使用者主體名稱] 欄位中輸入 username@companydomain.extension。 例如：B.Simon@contoso.com 。
    3. 選取 [顯示密碼] 核取方塊，然後記下 [密碼] 方塊中顯示的值。
    4. 選取 [檢閱 + 建立]。
  5. 選取 [建立]。

指派 Microsoft Entra 測試使用者

在本節，您會將 SAP Hana 的存取權授與 B.Simon，以使用單一登入。

  1. 以至少 雲端應用程式系統管理員 的身分登入 Microsoft Entra 系統管理中心。
  2. 瀏覽至 [身分識別]>[應用程式]>[企業應用程式]>[SAP HANA]。
  3. 在應用程式的概觀頁面，選取 [使用者和群組]。
  4. 選取 [新增使用者/群組]，然後在 [新增指派] 對話方塊中選取 [使用者和群組]。
    1. 在 [使用者和群組] 對話方塊中，從 [使用者] 列表中選取 [B.Simon]，然後按一下畫面底部的 [選取] 按鈕。
    2. 如果預期將角色指派給使用者，則可以從 [選取角色] 下拉式清單中選取該角色。 如果未為此應用程式設定任何角色，會看到已選取 [預設存取權] 角色。
    3. 在 [新增指派] 對話方塊中，按一下 [指派] 按鈕。

設定 SAP HANA SSO

  1. 若要在 SAP Hana 端設定單一登入，請瀏覽至個別的 HTTPS 端點，登入您的 HANA XSA Web 主控台。

    注意

    在預設組態中，URL 會將要求重新導向到登入畫面，這需要已驗證 SAP Hana 資料庫使用者的認證。 登入的使用者必須具備執行 SAML 系統管理工作的權限。

  2. 在 XSA 網頁介面，前往 [SAML 識別提供者]。 從該處畫面底部選取 + 按鈕，顯示 [新增識別提供者資訊] 窗格。 然後採取下列步驟：

    新增識別提供者

    a. 在 [新增識別提供者資訊] 窗格中，將中繼資料 XML 內容（您已下載的內容）貼到 [中繼資料] 方塊。

    螢幕擷取畫面顯示了「新增識別提供者資訊」窗格，並已醒目提示「中繼資料」和「名稱」方塊。

    b. 如果 XML 文件的內容有效，剖析程序會擷取 [一般資料] 畫面區域中的 [主旨、實體識別碼和簽發者] 欄位所需的資訊。 這程序也會擷取 [目的地] 畫面區域中 URL 欄位的所需資訊，例如 [基底 URL 和 SingleSignOn URL (*)] 欄位。

    新增識別提供者設定

    c. 在 [一般資料] 畫面區域的 [名稱] 方塊中，輸入新 SAML SSO 識別提供者的名稱。

    注意

    SAML IDP 的名稱是必要項目，且必須是唯一的。 當您選擇 SAML 作為 SAP HANA XS 應用程式要使用的驗證方法時，會顯示在可用 SAML IDP 清單。 例如，您可以在 XS Artifact 管理工具的 [驗證] 畫面區域中執行此操作。

  3. 選取 [儲存]，存儲 SAML 識別提供者的詳細資料，並將新的 SAML IDP 新增至已知 SAML IDP 清單。

    儲存按鈕

  4. 在 HANA Studio 中 [設定] 索引標籤的系統屬性，按 saml 篩選設定。 然後將 [assertion_timeout] 從 10 秒調整為 120 秒。

    assertion_timeout 設定

建立 SAP Hana 測試使用者

若要讓 Microsoft Entra 使用者登入 SAP HANA，必須在 SAP HANA 中佈建這些使用者。 SAP Hana 支援預設啟用的即時佈建。

如果您需要手動建立使用者，請採取下列步驟：

注意

您可以變更使用者所使用的外部驗證。 他們可以使用外部系統（例如 Kerberos）進行驗證。 如需外部身分識別的詳細資訊，請連絡網域系統管理員。

  1. 以系統管理員身分開啟 SAP Hana Studio，然後為 SAML SSO 啟用 DB-User。

  2. 選取 [SAML] 左側的隱藏核取方塊，並選取 [設定] 連結。

  3. 選取 [新增]，新增 SAML IDP。 選取適當的 SAML IDP，然後選取 [確定]。

  4. 新增 [外部身分識別]（在此情況下為 BrittaSimon 身分）。 然後選取 [確定]。

    注意

    您必須填入使用者的 [外部身分識別] 欄位，且必須符合 Microsoft Entra ID 的 SAML 權杖中的 [NameID] 欄位。 不應勾選任何核取方塊，因為此選項需要「NameID」欄位中的 IDP 傳送 SPProviderID 屬性，Microsoft Entra ID 目前不支援此動作。 如需詳細資訊，請參閱使用 SAML 2.0 單一登入。

  5. 為了進行測試，請對使用者指派所有 XS 角色。

    指派角色

    提示

    您應該只提供適用於您使用案例的權限。

  6. 儲存使用者。

測試 SSO

在本節，將使用下列選項來測試 Microsoft Entra 單一登入設定。

  • 按一下 [測試此應用程式]，應該會自動登入您已設定 SSO 的 SAP HANA

  • 您可以使用 Microsoft 我的應用程式。 按一下「我的應用程式」中的 [SAP HANA] 圖磚時，應該會自動登入您設定 SSO 的 SAP HANA。 如需「我的應用程式」的詳細資訊，請參閱我的應用程式簡介。

下一步

從 SAP 雲端身分識別服務佈建至 SAP HANA 是 SAP 商業技術平台 (BTP) 上提供的搶鮮版 (Beta) 功能。 如需詳細資訊，請參閱如何設定從 Microsoft Entra ID 佈建至 SAP 雲端身分識別服務的使用佈建，以及如何設定從 SAP 雲端身分識別服務佈建至 SAP Hana 資料庫搶鮮版 (Beta)的使用者佈建。

設定 SAP HANA 的 SSO 後，可以強制執行工作階段控制項，即時防止組織的敏感資料遭到外洩和滲透。 工作階段控制項會從條件式存取延伸。 了解如何使用 Microsoft Defender for Cloud Apps 來強制執行工作階段控制項。