Microsoft Entra ID を使用してシングル サインオン用に SAP Cloud Identity Services を構成する

この記事では、SAP Cloud Identity Services と Microsoft Entra ID を統合する方法について説明します。 SAP Cloud Identity Services と Microsoft Entra ID を統合すると、次のことができます:

• SAP Cloud Identity Services にアクセスできるユーザーを Microsoft Entra ID で制御します。
• ユーザーが自分の Microsoft Entra アカウントを使用して SAP Cloud Identity Services およびダウンストリーム SAP アプリケーションに自動的にサインインできるようにします。
• 1 つの場所でアカウントを管理します。

前提条件

この記事で説明するシナリオでは、次の前提条件が既にあることを前提としています。

• アクティブなサブスクリプションを持つ Microsoft Entra ユーザー アカウント。 アカウントをまだお持ちでない場合は、 無料でアカウントを作成できます。
• 次のいずれかのロール:
  • アプリケーション管理者
  • クラウド アプリケーション管理者
  • アプリケーション所有者。

• SAP Cloud Identity Services テナント
• 管理者アクセス許可を持つ SAP Cloud Identity Services のユーザー アカウント。

Microsoft Entra ID にユーザーがまだいない場合は、 SAP ソース アプリとターゲット アプリを使用したユーザー プロビジョニングのために Microsoft Entra をデプロイする記事計画から始めます。 この記事では、Microsoft Entra を、SAP SuccessFactors などの組織内のワーカーの一覧の権限のあるソースと接続する方法について説明します。 また、Microsoft Entra を使用してこれらのワーカーの ID を設定し、SAP ECC や SAP S/4HANA などの 1 つ以上の SAP アプリケーションにサインインできるようにする方法についても説明します。

Microsoft Entra ID ガバナンスを使用して SAP ワークロードへのアクセスを管理する運用環境で SAP Cloud Identity Services へのシングル サインインを構成する場合は、続行する 前に、ID ガバナンス用に Microsoft Entra ID を構成する前に前提条件 を確認してください。

シナリオの説明

この記事では、テスト環境で Microsoft Entra のシングル サインオンを構成し、テストします。

• SAP Cloud Identity Services では、サービス プロバイダー (SP) と ID プロバイダー (IDP) によって開始される SSO がサポートされます。
• SAP Cloud Identity Services では、 自動ユーザー プロビジョニングがサポートされます。

技術的な詳細の説明に入る前に、調べようとしている事柄の概念を理解する必要があります。 SAP Cloud Identity Services を使用すると、ID プロバイダーとして Microsoft Entra ID と直接統合された SAP 以外のアプリケーションと同じ SSO エクスペリエンスを使用して、SAP アプリケーションとサービス全体に SSO を実装できます。

SAP Cloud Identity Services は、 ターゲット システムとして他の SAP アプリケーションに対するプロキシ ID プロバイダーとして機能します。 さらに Microsoft Entra ID は、このセットアップにおける主要な ID プロバイダーとして機能します。

次の図は、信頼関係を示しています。

このセットアップでは、SAP Cloud Identity Services が Microsoft Entra ID で 1 つ以上のアプリケーションとして構成されます。 Microsoft Entra は、SAP Cloud Identity Services で企業 ID プロバイダー として構成されます。

この方法でシングル サインインを提供するすべての SAP アプリケーションとサービスは、その後、SAP Cloud Identity Services でアプリケーションとして構成されます。

Microsoft Entra の SAP Cloud Identity Services アプリケーション ロールへのユーザー割り当てにより、SAP Cloud Identity Services への Microsoft Entra トークンの発行が制御されます。 特定の SAP アプリケーションとサービスへのアクセスを許可するための承認と、それらの SAP アプリケーションのロールの割り当ては、SAP Cloud Identity Services とアプリケーション自体で行われます。 この承認は、Microsoft Entra ID からプロビジョニングされたユーザーとグループに基づいて行うことができます。

ギャラリーからの SAP Cloud Identity Services の追加

Microsoft Entra ID への SAP Cloud Identity Services の統合を構成するには、ギャラリーから管理対象 SaaS アプリの一覧に SAP Cloud Identity Services を追加する必要があります。

1. Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。
2. Entra ID>エンタープライズ アプリ>新しいアプリケーションに移動します。
3. [ギャラリーからの追加] セクションで、検索ボックスに「SAP Cloud Identity Services」と入力します。
4. 結果パネルから SAP Cloud Identity Services を 選択し、アプリを追加します。 お使いのテナントにアプリが追加されるのを数秒待機します。

または、 エンタープライズ アプリ構成ウィザードを使用することもできます。 このウィザードでは、テナントにアプリケーションを追加したり、ユーザー/グループをアプリに追加したり、ロールを割り当てたり、SSO 構成を確認したりできます。 Microsoft 365 ウィザードの詳細を確認します。

SAP Cloud Identity Services 用の Microsoft Entra SSO の構成とテスト

B.Simon というテスト ユーザーを使用して、SAP Cloud Identity Services に対する Microsoft Entra SSO を構成してテストします。 SSO を機能させるには、Microsoft Entra ユーザーと SAP Cloud Identity Services の関連ユーザーとの間にリンク関係を確立する必要があります。

SAP Cloud Identity Services に対する Microsoft Entra SSO を構成してテストするには、次の手順に従います。

1. Microsoft Entra SSO を構成 する - ユーザーがこの機能を使用できるようにします。
   1. Microsoft Entra テスト ユーザーの作成 - B.Simon で Microsoft Entra のシングル サインオンをテストします。
   2. Microsoft Entra テスト ユーザーを割り当てる - B.Simon が Microsoft Entra シングル サインオンを使用できるようにします。
2. SAP Cloud Identity Services の SSO の構成 - アプリケーション側でシングル サインオン設定を構成します。
   1. SAP Cloud Identity Services テスト ユーザーを作成 - Microsoft Entra における B.Simon の表現に対応するユーザーを SAP Cloud Identity Services で作成し、リンクさせます。
3. SSO のテスト - 構成が機能するかどうかを確認します。

SAP Cloud Identity Services フェデレーション メタデータを取得する

1. SAP Cloud Identity Services 管理コンソールにサインインします。 URL には、 https://<tenant-id>.accounts.ondemand.com/admin または https://<tenant-id>.trial-accounts.ondemand.com/adminというパターンがあります。

2. [ アプリケーションとリソース] で、[ テナント設定] を選択します。

   

3. [ シングル サインオン ] タブで、[ SAML 2.0 構成] を選択します。 次に、[ メタデータ ファイルのダウンロード ] を選択して、SAP Cloud Identity Services のフェデレーション メタデータをダウンロードします。

   

Microsoft Entra SSO の構成

次の手順に従って Microsoft Entra SSO を有効にします。

1. Microsoft Entra 管理センターに、少なくともクラウド アプリケーション管理者としてサインインします。

2. Entra ID>エンタープライズ アプリを参照します。 アプリケーションの名前 ( SAP Cloud Identity Services など) を入力します。 アプリケーションを選択し、[ シングル サインオン] を選択します。

3. [ シングル サインオン方法の選択 ] ページで、[SAML] を選択 します。

4. [ 基本的な SAML 構成] セクションで、SAP Cloud Identity Services のサービス プロバイダー メタデータ ファイル がある場合は、次の手順を実行します。

   ある。 [ メタデータ ファイルのアップロード] を選択します。

   b。 フォルダー ロゴを選択して、SAP からダウンロードしたメタデータ ファイルを選択し、[アップロード] を選択します。

   

   c. メタデータ ファイルが正常にアップロードされると、[基本的な SAML 構成] セクションに 識別子 と 応答 URL の値が自動的に設定されます。

   

   注

   識別子と応答 URL の値が自動的に設定されない場合は、要件に従って値を手動で入力します。

5. さらに構成する場合は、[ SAML でシングル サインオンを設定 する] ページで、[ 基本的な SAML 構成 ] の鉛筆アイコンを選択して設定を編集します。

   

   [ サインオン URL (省略可能)] テキスト ボックスに、特定のビジネス アプリケーションのサインオン URL を入力します。

   注

   この値を実際のサインオン URL で更新してください。 詳細については、 SAP ナレッジ ベースの記事3128585を参照してください。 ご質問がある場合は、 SAP Cloud Identity Services クライアント サポート チーム にお問い合わせください。

6. SAP Cloud Identity Services アプリケーションでは、特定の形式の SAML アサーションが予測されるため、SAML トークン属性の構成にカスタム属性マッピングを追加する必要があります。 次のスクリーンショットには、既定の属性一覧が示されています。

   

7. 上記に加えて、SAP Cloud Identity Services アプリケーションでは、下に示すいくつかの追加の属性が SAML 応答で戻されることが予測されます。 これらの属性も値が事前に設定されますが、要件に従ってそれらの値を確認することができます。

   名前	ソース属性
   ファーストネーム	User.givenname

8. [ SAML を使用した単一 Sign-On のセットアップ ] ページの [ SAML 署名証明書 ] セクションで、[ ダウンロード ] を選択し、要件に従って指定されたオプションから メタデータ XML をダウンロードし、コンピューターに保存します。

   

9. [ SAP Cloud Identity Services のセットアップ ] セクションで、要件に従って適切な URL をコピーします。

   

Microsoft Entra テスト ユーザーの作成と割り当て

ユーザー アカウントの作成と割り当ての クイックスタートのガイドラインに従って、B.Simon というテスト ユーザー アカウントを作成します。

SAP Cloud Identity Services の SSO の構成

このセクションでは、SAP Cloud Identity Services 管理コンソールで企業 ID プロバイダーを作成します。 詳細については、 管理コンソールでの企業 IdP の作成を参照してください。

1. SAP Cloud Identity Services 管理コンソールにサインインします。 URL には、 https://<tenant-id>.accounts.ondemand.com/admin または https://<tenant-id>.trial-accounts.ondemand.com/adminというパターンがあります。

2. [ ID プロバイダー] で、[ 企業 ID プロバイダー] タイルを 選択します。

3. [ + 作成 ] を選択して ID プロバイダーを作成します。

   

4. [ID プロバイダーの作成] ダイアログ ボックスで次の手順を実行します。

   

   ある。 [表示名] に有効な名前を付けます。

   b。 ドロップダウンから Microsoft ADFS/Entra ID (SAML 2.0) を選択します。

   c. 作成を選択します。

5. [信頼] -> [SAML 2.0 構成] に移動します。 [ メタデータ ファイル] のフィールドで、[ 参照 ] を選択して、Microsoft Entra SSO 構成からダウンロードした メタデータ XML ファイルをアップロードします。

   

6. [保存] を選択します。

7. 以降は、もう 1 つの SAP アプリケーションに対して SSO を追加して有効にする場合にのみ行います。 「ギャラリーからの SAP Cloud Identity Services の追加」セクションの手順を繰り返します。

8. Entra 側の SAP Cloud Identity Services アプリケーション統合ページで、[ リンクされたサインオン] を選択します。

   

9. 構成を保存します。

10. 詳細については、 Microsoft Entra ID との統合に関する SAP Cloud Identity Services に関するドキュメントを参照してください。

SAP Cloud Identity Services のテスト ユーザーの作成

SAP Cloud Identity Services でユーザーを作成する必要はありません。 Microsoft Entra ユーザー ストアに存在するユーザーは、SSO 機能を使用できます。

SAP Cloud Identity Services では、ID フェデレーション オプションがサポートされています。 このオプションにより、アプリケーションは、会社の ID プロバイダーによって認証されたユーザーが、SAP Cloud Identity Services のユーザー ストアに存在するかどうかを確認できます。

既定では、ID フェデレーション オプションは無効になっています。 ID フェデレーションが有効になっていると、SAP Cloud Identity Services にインポートされているユーザーのみがアプリケーションにアクセスできます。

SAP Cloud Identity Services との ID フェデレーションを有効または無効にする方法の詳細については、「SAP Cloud Identity Services の ユーザー ストアとの ID フェデレーションの構成」の「SAP Cloud Identity Services との ID フェデレーションを有効にする」を参照してください。

SSO のテスト

このセクションでは、 SP Initiated と IDP Initiated の次のオプションを使用して、Microsoft Entra のシングル サインオン構成をテストします。

関連付け ID を使用して SAP Cloud Identity Services へのサインイン時にエラーが発生した場合は、SAP Cloud Identity Services 管理コンソールで、その関連付け ID の トラブルシューティング ログを検索 できます。 詳細については、 SAP ナレッジ ベースの記事2698571 および SAP ナレッジ ベースの記事3201824を参照してください。

SP Initiated:

• [ このアプリケーションをテストする] を選択すると、このオプションはログイン フローを開始できる SAP Cloud Identity Services のサインオン URL にリダイレクトされます。

• SAP Cloud Identity Services のサインオン URL に直接移動し、そこからログイン フローを開始します。

IDP Initiated:

• [ このアプリケーションをテストする] を選択すると、SSO を設定した SAP Cloud Identity Services に自動的にサインインします

また、Microsoft マイ アプリを使用して、任意のモードでアプリケーションをテストすることもできます。 マイ アプリで [SAP Cloud Identity Services] タイルを選択すると、SP モードで構成されている場合は、ログイン フローを開始するためのアプリケーション サインオン ページにリダイレクトされます。IDP モードで構成されている場合は、SSO を設定した SAP Cloud Identity Services に自動的にサインインされます。 マイ アプリの詳細については、「マイ アプリの 概要」を参照してください。

関連コンテンツ

Microsoft Entra から SAP Cloud Identity Services にユーザーを同期するには、 自動ユーザー プロビジョニングを有効にします。

SAP Cloud Identity Services へのシングル サインオンを構成したら、 すべての SSO 要求 を Microsoft Entra に転送するように SAP Cloud Identity Services を構成することもできます。 このオプションが SAP Cloud Identity Services で有効になっている場合、ユーザーが SAP Cloud Identity Services に初めて接続されたアプリケーションにアクセスしようとするたびに、SAP Cloud Identity Services は、ユーザーが SAP Cloud Identity Services でアクティブなセッションを持っている場合でも、認証要求を Microsoft Entra に転送します。

また、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用することもできます。 セッション制御は、条件付きアクセスを拡張したものです。 Microsoft Defender for Cloud Apps でセッション制御を適用する方法について説明します。

また、Microsoft Entra ID ガバナンスを使用して、BTP ロール コレクション内のロールに関連付けられているグループを設定することで、SAP BTP アプリケーションへのアクセスを管理することもできます。 詳細については、 SAP BTP へのアクセスの管理を参照してください。

セットアップを運用化するには 、推奨事項とベスト プラクティス ガイド を参照してください。