使用 Microsoft Entra ID 将 SAP Cloud Identity Services 配置为单一登录

本文介绍如何将 SAP Cloud Identity Services 与 Microsoft Entra ID 集成，以便进行单一登录。 将 SAP Cloud Identity Services 与 Microsoft Entra ID 集成后，可以：

  • 控制Microsoft Entra ID用户如何向 SAP Cloud Identity Services 进行身份验证。
  • 让用户使用其Microsoft Entra帐户自动登录到 SAP Cloud Identity Services 和下游 SAP 应用程序。
  • 在中心位置管理帐户。

提示

按照建议和最佳实践指南“使用Microsoft Entra ID来保护对 SAP 平台和应用程序的访问”以实施设置。

先决条件

本文中概述的方案假定你已具备以下先决条件：

如果还没有 Microsoft Entra ID 中的用户，请从文章规划部署 Microsoft Entra，以便使用 SAP 源和目标应用进行用户预配开始。 本文介绍了如何将 Microsoft Entra 与组织中员工列表的权威来源（例如 SAP SuccessFactors）进行连接。 它还演示如何使用Microsoft Entra为这些辅助角色设置标识，以便他们可以登录到一个或多个 SAP 应用程序，例如 SAP ECC 或 SAP S/4HANA。

如果要在生产环境中配置对 SAP Cloud Identity Services 的单一登录，并且需要使用 Microsoft Entra ID 治理 来管理对 SAP 工作负载的访问，请查看 配置 Microsoft Entra ID 进行标识治理之前的前提条件，然后再继续操作。

方案描述

在本文中，您将配置并测试使用 Microsoft Entra 的 SAP Cloud Identity Services 单点登录。

  • SAP Cloud Identity Services 支持使用 SAML 的服务提供商 (SP) 和标识提供商 (IDP) 发起的 SSO。 SAP Cloud Identity Services 还支持 OpenID Connect，但本文未介绍该选项。
  • SAP Cloud Identity Services 还支持从Microsoft Entra ID进行用户和组预配。 有关详细信息，请参阅 自动用户预配。

深入了解技术细节前，先理解后面将会遇到的概念至关重要。 借助 SAP Cloud Identity Services，可以跨 SAP 应用程序和服务实现 SSO，其 SSO 体验与非 SAP 应用程序直接集成 Microsoft Entra ID 作为标识提供者的效果相同。

SAP Cloud Identity Services 充当其他 SAP 用用程序的代理标识提供者，这些应用程序用作目标系统。 Microsoft Entra ID反过来充当此设置中的主要标识提供者。

下图说明了信任关系：

关于 SAP 应用程序、SAP 云标识服务和 Microsoft Entra之间信任关系体系结构的图示。

通过此设置，SAP Cloud Identity Services 配置为Microsoft Entra ID中的一个或多个应用程序。 Microsoft Entra 被配置为 SAP Cloud Identity Services 中的 企业身份提供者 (Corporate Identity Provider)。

要以这种方式提供单一登录的所有 SAP 应用程序和服务随后都配置为 SAP Cloud Identity Services 中的应用程序。

SSO 和 SAP 应用程序、SAP Cloud Identity Services 及 Microsoft Entra 之间预配流的体系结构示意图。

通过在 Microsoft Entra 中将用户分配至 SAP Cloud Identity Services 应用程序角色，控制 Microsoft Entra 向 SAP Cloud Identity Services 颁发令牌。 授予对特定 SAP 应用程序和服务的访问权限以及这些 SAP 应用程序的角色分配的授权发生在 SAP Cloud Identity Services 和应用程序本身中。 此授权可基于从 Microsoft Entra ID 预配的用户和组。

注意

目前，只有 Web SSO 已通过双方测试。 应用到 API 通信或 API 间通信所需的流应该可以正常运行，但尚未经过测试。 将在后续活动中测试这些模式。

若要配置 SAP Cloud Identity Services 与Microsoft Entra ID的 SAML 集成，需要从库中将 SAP Cloud Identity Services 添加到托管 SaaS 应用列表。

  1. 以至少 云应用程序管理员 的身份登录到 Microsoft Entra 管理中心。
  2. 浏览到 Entra ID>企业应用>新建应用程序。
  3. 在从画廊添加部分，搜索框中键入SAP 云标识服务。
  4. 从结果面板中选择“SAP 云标识服务”，然后添加该应用。 请稍等几秒钟，直到应用程序被添加到您的租户。

或者，也可以使用企业应用配置向导。 在此向导中，还可以将应用程序添加到租户、将用户/组添加到应用、分配角色以及演练 SSO 配置。 详细了解 Microsoft 365 向导。

配置和测试 Microsoft Entra 的 SAP Cloud Identity Services 单点登录 (SSO)功能

配置和测试 Microsoft Entra 单点登录 (SSO) 与 SAP 云身份服务，使用名为 B.Simon 的测试用户。 若要正常使用 SSO，需要在Microsoft Entra用户与 SAP Cloud Identity Services 相关用户之间建立链接关系。

若要配置和测试 SAP Cloud Identity Services Microsoft Entra SSO，请执行以下步骤：

  1. Configure Microsoft Entra SSO - 让用户能够使用此功能。
    1. 创建Microsoft Entra测试用户 - 使用 B.Simon 测试Microsoft Entra单一登录。
    2. 分配Microsoft Entra测试用户 - 使 B.Simon 能够使用Microsoft Entra单一登录。
  2. 配置 SAP 云标识服务 SSO - 在应用程序端配置单一登录设置。
    1. 创建 SAP Cloud Identity Services 测试用户 - 在 SAP Cloud Identity Services 中创建与 B.Simon 对应的用户，并链接到用户的 Microsoft Entra 表示形式。
  3. 测试 SSO - 验证配置是否正常工作。

获取 SAP 云身份服务的联合元数据

  1. 登录到 SAP 云标识服务管理控制台。 URL 具有以下模式： https://<tenant-id>.accounts.ondemand.com/admin 或 https://<tenant-id>.trial-accounts.ondemand.com/admin。

  2. 在 “应用程序和资源”下，选择 “租户设置”。

    显示租户设置的屏幕截图。

  3. 在“ 单一登录 ”选项卡中，选择 “SAML 2.0 配置”。 然后选择 “下载元数据文件 ”以下载 SAP Cloud Identity Services 的联合元数据。

    显示下载元数据按钮的屏幕截图。

配置 Microsoft Entra SSO

按照以下步骤启用 Microsoft Entra SSO。

  1. 以至少 云应用程序管理员 的身份登录到 Microsoft Entra 管理中心。

  2. 浏览到 Entra ID>企业应用。 键入应用程序的名称，例如 SAP Cloud Identity Services。 选择应用程序，然后选择 “单一登录”。

  3. 在“选择单一登录方法”页上选择“SAML” 。

  4. 在 “基本 SAML 配置 ”部分中，如果 SAP Cloud Identity Services 中有 服务提供商元数据文件 ，请执行以下步骤：

    a。 选择“上传元数据文件”。

    b. 选择 文件夹徽标 以选择从 SAP 下载的元数据文件，然后选择“ 上传”。

    选择元数据文件的屏幕截图

    c. 成功上传元数据文件后，“标识符”和“回复 URL”值会自动填充在“基本 SAML 配置”部分。

    显示 URL 的屏幕截图。

    注意

    如果未自动填充 标识符 和 回复 URL 值，请根据要求手动填写值。

  5. 如果要进行进一步的配置，请在“ 设置 SAML 单一登录 ”页上，选择 基本 SAML 配置的 铅笔图标以编辑设置。

    编辑基本 SAML 配置

    在 “登录 URL”（可选） 文本框中，键入特定的业务应用程序登录 URL。

    注意

    请将此值更新为实际登录 URL。 有关详细信息，请参阅 SAP 知识库文章3128585。 如有任何问题，请联系 SAP Cloud Identity Services 客户端支持团队 。

  6. SAP 云标识服务应用程序需要特定格式的 SAML 断言，因此，需要在 SAML 令牌属性配置中添加自定义属性映射。 以下屏幕截图显示了默认属性的列表。

    显示属性的屏幕截图。

  7. 除上述属性以外，SAP 云标识服务应用程序还要求在 SAML 响应中传回其他几个属性，如下所示。 这些属性也是预先填充的，但可以根据要求查看它们。

    名称 源属性
    firstName user.givenname

  8. 在“ 使用 SAML 设置单一 Sign-On ”页上的 “SAML 签名证书 ”部分中，选择“ 下载 ”，根据要求从给定选项下载 元数据 XML ，并将其保存在计算机上。

    证书下载链接

  9. 在“设置 SAP 云标识服务”部分，根据要求复制相应的 URL。

    复制配置 URL

创建和分配Microsoft Entra测试用户

请遵循创建和分配用户帐户快速指南中的指引，创建一个名为 B.Simon 的测试用户帐户。

配置 SAP 云标识服务 SSO

在本部分中，将在 SAP Cloud Identity Services 管理控制台中创建企业标识提供者。 有关详细信息，请参阅 管理控制台中的“创建企业 IdP”。

  1. 登录到 SAP 云标识服务管理控制台。 URL 具有以下模式： https://<tenant-id>.accounts.ondemand.com/admin 或 https://<tenant-id>.trial-accounts.ondemand.com/admin。

  2. 在“标识提供者”下，选择“企业标识提供者”图块。

  3. 选择 “+ 创建 ”以创建标识提供者。

    标识提供者的屏幕截图。

  4. 在“创建标识提供者”对话框中执行以下步骤。

    “创建标识提供者”的屏幕截图。

    a。 在“显示名称”中提供有效的名称。

    b. 从下拉列表中选择 Microsoft ADFS/Entra ID （SAML 2.0）。

    c. 选择“创建”。

  5. 转到“信任”->“SAML 2.0 配置”。 在 Metadata File 的字段中，选择 Browse 上传从 Microsoft Entra SSO 配置下载的 Metadata XML 文件。

    显示标识提供者配置的屏幕截图。

  6. 选择“保存”。

  7. 仅当要为另一个 SAP 应用添加和启用 SSO 时，才继续执行以下步骤。 重复执行“从画廊添加 SAP 云标识服务”部分下的步骤。

  8. 在 Entra 端的“SAP 云标识服务”应用程序集成页上，选择“链接登录”。

    “配置关联登录”的屏幕截图

  9. 保存配置。

  10. 有关详细信息，请阅读有关 SAP Cloud Identity Services 的文档，Integration with Microsoft Entra ID。

注意

新应用利用旧 SAP 应用的单一登录配置。 确保在 SAP 云标识服务管理控制台中使用相同的企业标识提供者。

创建 SAP 云标识服务测试用户

无需在 SAP 云标识服务上创建用户。 Microsoft Entra 用户存储中的用户可以使用 SSO 功能。

SAP 云标识服务支持“联合身份验证”选项。 使用此选项，应用程序可以检查 SAP 云标识服务的用户存储中是否有经过公司标识提供者验证的用户。

“联合身份验证”选项默认处于禁用状态。 如果启用了“联合身份验证”，只有已导入 SAP 云标识服务的用户才能访问应用。

若要详细了解如何启用或禁用 SAP 云标识服务的联合身份验证，请参阅配置 SAP 云标识服务用户存储的联合身份验证中的“启用 SAP 云标识服务的联合身份验证”。

注意

SAP 云标识服务还支持自动用户预配，有关如何配置自动用户预配的更多详细信息，请参见此处。

测试 SSO

在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置：“SP 发起”和“IDP 发起”。

如果遇到使用相关 ID 登录到 SAP Cloud Identity Services 时出错，则可以在 SAP Cloud Identity Services 管理控制台中搜索该关联 ID 的故障排除日志 。 有关详细信息，请参阅 SAP 知识库文章2698571 和 SAP 知识库文章3201824。

SP 发起：

  • 选择“ 测试此应用程序”，此选项将重定向到 SAP Cloud Identity Services 登录 URL，可在其中启动登录流。

  • 直接转到 SAP 云标识服务登录 URL，并从那里启动登录流。

IDP 发起：

  • 选择“ 测试此应用程序”，应会自动登录到为其设置了 SSO 的 SAP Cloud Identity Services

还可以使用Microsoft 我的应用在任何模式下测试应用程序。 在我的应用中选择 SAP Cloud Identity Services 磁贴时，如果是在 SP 模式下配置的，你会重定向到应用程序登录页来启动登录流;如果是在 IDP 模式下配置的，则应会自动登录到为其设置了 SSO 的 SAP Cloud Identity Services。 有关我的应用的详细信息，请参阅 我的应用。

发现 SAP Cloud Identity Services 中的现有用户

在与 Microsoft Entra 集成之前，SAP Cloud Identity Services 帐户可能已有一个或多个用户。 使用帐户发现功能，可以生成 SAP Cloud Identity Services 中所有用户的报告，确定哪些用户在 Entra 中具有匹配的帐户，以及哪些用户是 SAP Cloud Identity Services 的本地用户，只需单击一下即可。 在此处了解有关帐户 发现功能的详细信息。 这样，便可以简化 Entra 的入职流程，同时定期监控未经授权的访问。

相关内容

若要将用户从Microsoft Entra同步到 SAP Cloud Identity Services，请启用自动用户预配。

配置 SAP Cloud Identity Services 的单一登录后，还可以将 SAP Cloud Identity Services 配置为向Microsoft Entra发出所有 SSO 请求。 在 SAP Cloud Identity Services 中启用此选项时，每当用户首次尝试访问连接到 SAP Cloud Identity Services 的应用程序时，SAP Cloud Identity Services 都会将身份验证请求转发到Microsoft Entra，即使用户已在 SAP Cloud Identity Services 中具有活动会话也是如此。

还可以强制实施会话控制，实时防止组织的敏感数据外泄和渗透。 会话控制从条件访问扩展而来。 了解如何使用 Microsoft Defender for Cloud Apps 强制实行会话控制。

还可使用 Microsoft Entra ID 治理填充与 BTP 角色集合中的角色关联的组，从而管理对 SAP BTP 应用程序的访问。 有关详细信息，请参阅 管理对 SAP BTP的访问权限。

请参阅建议和最佳做法指南来执行设置操作。

  • Last updated on