本文介绍如何将 SAP HANA 与 Microsoft Entra ID 集成。 将 SAP HANA 与 Microsoft Entra ID 集成后，可以：
- 在 Microsoft Entra ID 中控制谁有权访问 SAP HANA。
- 让用户能够使用其 Microsoft Entra 帐户自动登录到 SAP HANA。
- 在中心位置管理帐户。
先决条件
本文中概述的方案假定你已具备以下先决条件：
- 已启用单一登录 (SSO) 的 SAP HANA 订阅
- 一个在任何公共 IaaS、本地、Azure VM 或 Azure 中的 SAP 大型实例上运行的 HANA 实例
- 安装在 HANA 实例上的 XSA 管理 Web 界面和 HANA Studio
注意
不建议使用 SAP HANA 的生产环境来测试本文中的步骤。 首先在应用程序的开发环境或过渡环境中测试集成，然后使用生产环境。
若要测试本文中的步骤，请遵循以下建议：
- 一个 Microsoft Entra 订阅。 如果没有 Microsoft Entra 环境，可以在此处获取一个月的试用版
- 启用了 SAP HANA 单一登录的订阅
方案描述
本文中，您将在测试环境中配置和测试 Microsoft Entra 的单一登录功能。
- SAP HANA 支持 IDP 发起的 SSO。
- SAP HANA 支持实时用户预配。
注意
此应用程序的标识符是一个固定字符串值，因此只能在一个租户中配置一个实例。
从库中添加 SAP HANA
若要配置 SAP HANA 与 Microsoft Entra ID 的集成，需要从库中将 SAP HANA 添加到托管 SaaS 应用列表。
- 至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
- 请导航到 Entra ID>企业应用>新应用。
- 在“从库中添加”部分的搜索框中，键入“SAP HANA” 。
- 从结果面板中选择“SAP HANA”，然后添加该应用。 在该应用添加到租户时等待几秒钟。
或者，也可以使用企业应用配置向导。 在此向导中，还可以将应用程序添加到租户、将用户/组添加到应用、分配角色以及演练 SSO 配置。 详细了解 Microsoft 365 向导。
配置并测试 SAP HANA 的 Microsoft Entra SSO
使用名为 B.Simon 的测试用户配置并测试 SAP HANA 的 Microsoft Entra SSO。 若要使 SSO 正常工作，需要在 Microsoft Entra 用户与 SAP HANA 中的相关用户之间建立关联。
若要配置并测试 SAP HANA 的 Microsoft Entra SSO，请执行以下步骤：
-
配置 Microsoft Entra SSO - 使用户能够使用此功能。
- 创建 Microsoft Entra 测试用户 - 测试 Britta Simon 的 Microsoft Entra 单一登录。
- 分配 Microsoft Entra 测试用户 - 使 Britta Simon 能够使用 Microsoft Entra 单一登录。
-
配置 SAP HANA SSO - 在应用程序端配置单一登录设置。
- 创建 SAP HANA 测试用户 - 在 SAP HANA 中创建一个与 Britta Simon 对应的测试用户，该用户与 Microsoft Entra 中的用户表示形式相链接。
- 测试 SSO - 验证配置是否正常工作。
配置 Microsoft Entra SSO
按照以下步骤启用 Microsoft Entra SSO。
至少以云应用程序管理员身份登录到 Microsoft Entra 管理中心。
浏览到 Entra ID>企业应用>SAP HANA>单点登录。
在“选择单一登录方法”页上选择“SAML” 。
在 “使用 SAML 设置单一登录 ”页上，选择 基本 SAML 配置的 铅笔图标以编辑设置。
在“基本 SAML 配置”部分，输入以下字段的值：
在“回复 URL”文本框中，使用以下模式键入 URL：
注意
“回复 URL”值不是实际值。 请使用实际回复 URL 更新此值。 请联系 SAP HANA 客户支持团队获取这些值。 还可参考“基本 SAML 配置”部分中显示的模式。
SAP HANA 应用程序需要特定格式的 SAML 断言。 请为此应用程序配置以下声明。 可以在应用程序集成页的“用户属性”部分管理这些属性的值。 在“设置 SAML 单一登录”页上，单击“编辑”按钮以打开“用户属性”对话框。
在“用户属性和声明”对话框中的“用户属性”部分，执行以下步骤：
a。 选择 “编辑”图标 以打开 “管理用户声明 ”对话框。
b. 从“转换”列表中，选择“ExtractMailPrefix()” 。
选项c. 从“参数 1”列表中，选择“user.mail” 。
d。 选择“保存”。
在“设置 SAML 单一登录”页的“SAML 签名证书”部分，选择“下载”以根据要求下载从给定选项提供的“联合元数据 XML”并将其保存在计算机上。
创建和分配 Microsoft Entra 测试用户
请遵循创建和分配用户帐户快速指南中的指引，创建一个名为 B.Simon 的测试用户帐户。
配置 SAP HANA SSO
若要在 SAP HANA 端配置单一登录，请通过转到相应的 HTTPS 终结点登录到“HANA XSA Web 控制台”。
注意
在默认配置中，URL 将请求重定向到登录屏幕，这需要经过身份验证的 SAP HANA 数据库用户的凭据。 登录的用户必须有权执行 SAML 管理任务。
在 XSA Web 界面中，转到“SAML 标识提供者”。 选择屏幕底部的 + 按钮显示“添加标识提供者信息”窗格。 然后执行以下步骤：
a。 在“添加标识提供者信息”窗格中，将下载的元数据 XML 内容粘贴到“元数据”框中。
b. 如果 XML 文档的内容有效，则分析过程会提取“常规数据”屏幕区域中的“使用者、实体 ID 和颁发者”字段所需的信息。 此外，还会提取“目标”屏幕区域中的 URL 字段（例如，“基 URL”和“单一登录 URL (*)” 字段）所需的信息。
选项c. 在“常规数据”屏幕区域的“名称”框中，输入新 SAML SSO 标识提供者的名称。
注意
SAML IDP 的名称是必需的，且必须唯一。 当你选择 SAML 作为 SAP HANA XS 应用程序要使用的身份验证方法时，它将显示在可用的 SAML IDP 列表中。 例如，可以在 XS 项目管理工具的“身份验证”屏幕区域中执行此操作。
选择“保存” 保存 SAML 标识提供者的详细信息并将新 SAML IDP 添加到已知 SAML IDP 列表。
在 HANA Studio 的“配置”选项卡的系统属性中，按 saml 筛选设置。 然后将 assertion_timeout 从 10 秒调整为 120 秒。
创建 SAP HANA 测试用户
若要使 Microsoft Entra 用户能够登录到 SAP HANA，必须在 SAP HANA 中预配这些用户。 SAP HANA 支持默认启用的“实时预配” 。
如果需要手动创建用户，请执行以下步骤：
注意
可更改用户使用的外部身份验证。 他们可以使用 Kerberos 等外部系统进行身份验证。 有关外部标识的详细信息，请联系域管理员。
以管理员身份打开 SAP HANA Studio，并为 DB-User 启用 SAML SSO。
选中“SAML” 左侧隐藏的复选框，并选择“配置”链接。
选择“添加”以添加 SAML IDP。 选择相应的 SAML IDP，再选择“确定”。
添加“外部标识”（本例中为 BrittaSimon）。 然后选择“确定”。
注意
必须填充用户的“外部标识”字段，且该字段需要与 Microsoft Entra ID 的 SAML 令牌中的 NameID 字段匹配。 不应选中 “任何 ”复选框，因为此选项要求 IDP 在 NameID 字段中发送 SPProviderID 属性，该属性当前不受Microsoft Entra ID 支持。 有关详细信息，请参阅使用 SAML 2.0 的单一登录。
针对测试，请将所有“XS” 角色分配给该用户。
提示
请只授予适合用例的权限。
保存用户。
测试 SSO
在本部分，你将使用以下选项测试 Microsoft Entra 单一登录配置。
选择“ 测试此应用程序”，应会自动登录到为其设置了 SSO 的 SAP HANA
你可使用 Microsoft 的“我的应用”。 在“我的应用”中选择 SAP HANA 磁贴后，您应会自动登录到您已为其设置 SSO 的 SAP HANA。 有关“我的应用”的详细信息，请参阅“我的应用”简介。
相关内容
从 SAP 云标识服务预配到 SAP HANA 是 SAP Business Technology Platform 上提供的一项 beta 功能。 有关详细信息，请参阅如何配置从 Microsoft Entra ID 到 SAP 云标识服务的用户预配，以及如何配置从 SAP 云标识服务到 SAP HANA 数据库（Beta 版本）的用户预配。
配置 SAP HANA 的 SSO 后，可以强制实施会话控制，实时防止组织的敏感数据发生外泄和渗透。 会话控制从条件访问扩展而来。 了解如何通过 Microsoft Defender for Cloud Apps 强制实施会话控制。