Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengintegrasikan SAP ERP dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan SAP ERP dengan Google Security Operations.

Integrasi SAP ERP menghubungkan Google SecOps ke lingkungan SAP ERP Anda melalui layanan gateway Cloud Run. Untuk mengetahui informasi selengkapnya tentang cara memantau dan mengamankan lingkungan SAP di Google SecOps, lihat Mengamankan aplikasi SAP dengan Google SecOps.

Kasus penggunaan

Integrasi SAP ERP menggunakan kemampuan Google SecOps untuk mendukung kasus penggunaan berikut:

Membatasi akun pengguna SAP yang disusupi: Segera kunci akun pengguna SAP selama playbook respons insiden otomatis saat aktivitas mencurigakan, penyalahgunaan kredensial, atau eskalasi hak istimewa yang tidak sah terdeteksi.
Menghentikan sesi pengguna aktif: Mengakhiri sesi SAP aktif untuk nama pengguna dan klien yang ditargetkan guna mencabut akses yang sedang berlangsung setelah akun disusupi atau terjadi pelanggaran kebijakan.
Menerapkan logging audit keamanan: Aktifkan Log Audit Keamanan SAP dari jarak jauh pada instance dan klien SAP target untuk memastikan peristiwa keamanan aplikasi penting dicatat.
Memvalidasi konektivitas gateway: Verifikasi Google Cloud autentikasi dan konektivitas jaringan antara Google SecOps dan layanan gateway Cloud Run.

Sebelum memulai

Sebelum mengonfigurasi integrasi SAP ERP di Google SecOps, selesaikan langkah-langkah prasyarat berikut:

Deploy dan konfigurasikan Gateway RFC SAP Cloud Run untuk meneruskan tindakan ke instance SAP ERP Anda.
Konfigurasikan Google Cloud autentikasi dan izin IAM menggunakan Workload Identity atau kunci JSON akun layanan.
Konfigurasi izin SAP untuk pengguna komunikasi gateway di klien SAP target Anda.
Verifikasi konektivitas jaringan antara Google SecOps, layanan Cloud Run, dan instance SAP ERP Anda.

Men-deploy dan mengonfigurasi Gateway RFC SAP Cloud Run

Integrasi SAP ERP berkomunikasi dengan sistem SAP Anda melalui layanan Gateway RFC SAP Cloud Run. Layanan ini meneruskan tindakan dari Google SecOps ke instance SAP target Anda dengan aman.

Pastikan layanan gateway Cloud Run Anda di-deploy dan dikonfigurasi dengan detail koneksi untuk setiap instance SAP target (SAP Instance Name) dan klien SAP tiga digit (SAP Client Number). Catat URL HTTPS layanan Cloud Run untuk parameter integrasi Cloud Run Service URL.

Mengonfigurasi Google Cloud autentikasi dan izin IAM

Untuk mengautentikasi permintaan ke layanan gateway Cloud Run, konfigurasikan akun layanan Google Cloud menggunakan salah satu metode berikut:

Workload Identity (direkomendasikan): Menggunakan peniruan akun layanan sehingga Anda tidak perlu mendownload atau mengelola kunci JSON statis.
Kunci JSON akun layanan: Menggunakan file kunci JSON yang didownload. Gunakan metode ini hanya jika Anda tidak dapat mengonfigurasi Workload Identity. Jika Anda memberikan Service Account JSON dan Workload Identity Email, integrasi akan menggunakan Service Account JSON.

Ikuti prinsip hak istimewa terendah saat menetapkan Google Cloud peran IAM. Hindari memberikan peran administratif yang luas seperti roles/owner atau roles/editor. Berikan hanya peran minimal yang tercantum dalam tabel berikut:

Utama	Resource target	Peran IAM yang diperlukan	Tujuan
Akun layanan (dikonfigurasi di `Workload Identity Email` atau `Service Account JSON`)	Layanan Gateway RFC SAP Cloud Run	Cloud Run Invoker (`roles/run.invoker`)	Memungkinkan akun layanan memanggil layanan gateway Cloud Run.
Identitas instance Google SecOps (hanya saat menggunakan `Workload Identity Email`)	Akun layanan yang ditentukan di `Workload Identity Email`	Service Account Token Creator (`roles/iam.serviceAccountTokenCreator`)	Mengizinkan instance Google SecOps Anda meniru identitas akun layanan saat memanggil gateway.

Melakukan autentikasi dengan Workload Identity (direkomendasikan)

Untuk melakukan autentikasi menggunakan Workload Identity, buat akun layanan, beri akun tersebut akses untuk memanggil layanan Cloud Run Anda, dan beri otorisasi kepada instance Google SecOps Anda untuk meniru identitas akun layanan tersebut.

Membuat akun layanan dan memberikan akses Cloud Run

Di konsol Google Cloud , buka IAM & Admin > Service Accounts.
Klik Create service account, masukkan nama untuk akun layanan, lalu klik Create and continue.
Klik Selesai untuk menyelesaikan pembuatan akun layanan, dan salin alamat emailnya.
Di konsol Google Cloud , buka Cloud Run dan pilih layanan SAP RFC Gateway Anda.
Buka tab Security atau Permissions, lalu klik Add principal.
Di kolom New principals, tempel alamat email akun layanan Anda.
Di menu Select a role, pilih Cloud Run Invoker (roles/run.invoker), lalu klik Save.

Memberikan izin peniruan identitas ke instance Google SecOps Anda

Di Google SecOps, buka Content Hub > Response Integrations.
Pilih integrasi SAP ERP, masukkan Cloud Run Service URL, dan masukkan email akun layanan Anda di Workload Identity Email.
Klik Save > Test. Pengujian diperkirakan akan gagal sebelum Anda memberikan izin peniruan identitas.
Klik close_small di samping Test dan temukan email akun layanan instance Google SecOps dalam pesan error (diformat sebagai gke-init-python@PROJECT.iam.gserviceaccount.com atau soar-python@TENANT_PROJECT.iam.gserviceaccount.com). Salin alamat email ini.
Di konsol Google Cloud , buka IAM & Admin > Service Accounts dan pilih akun layanan Anda.
Buka Permissions > Grant access.
Di bagian New principals, tempel alamat email instance Google SecOps yang Anda salin.
Di bagian Assign roles, pilih Service Account Token Creator (roles/iam.serviceAccountTokenCreator) dan klik Save.

Catatan: Perubahan IAM dapat memerlukan waktu beberapa menit untuk diterapkan sebelum pengujian integrasi berhasil.

Melakukan autentikasi dengan kunci JSON akun layanan

Jika Anda tidak dapat menggunakan Workload Identity, buat akun layanan dan ekstrak file kunci JSON-nya:

Di konsol Google Cloud , buka IAM & Admin > Service Accounts.
Pilih akun layanan yang ada atau klik Create service account untuk membuat akun layanan khusus.
Pastikan akun layanan memiliki peran Cloud Run Invoker (roles/run.invoker) di layanan Gateway RFC SAP Cloud Run Anda.
Pilih akun layanan Anda dan buka Keys > Add key > Create new key.
Pilih JSON sebagai jenis kunci dan klik Create. File kunci JSON akan didownload ke komputer Anda.
Buka file yang didownload di editor teks, salin seluruh konten JSON, dan tempelkan ke parameter Service Account JSON di Google SecOps.

Mengonfigurasi izin SAP

Di setiap klien SAP target, berikan pengguna komunikasi SAP yang dikonfigurasi di gateway Cloud Run Anda hanya izin minimal yang diperlukan untuk tindakan yang ingin Anda jalankan:

Tindakan	Izin SAP yang diperlukan
Mengaktifkan Log Audit	Izin untuk mengaktifkan Log Audit Keamanan SAP dari jarak jauh di klien SAP target.
Menghapus Sesi Pengguna	Izin untuk menjalankan modul fungsi `TH_DELETE_USER` guna menghentikan sesi pengguna aktif di klien SAP target.
Mengunci Pengguna SAP	Izin untuk mengunci akun pengguna di klien SAP target.

Memverifikasi konektivitas jaringan

Pastikan lingkungan Anda memenuhi persyaratan jaringan berikut:

Google SecOps (atau agen jarak jauh Anda) dapat menjangkau URL Gateway RFC SAP Cloud Run Anda melalui HTTPS (port 443).
Layanan Cloud Run SAP RFC Gateway Anda memiliki konektivitas jaringan ke instance SAP ERP target Anda.

Parameter integrasi

Integrasi SAP ERP memerlukan parameter berikut:

Parameter	Deskripsi
`Cloud Run Service URL`	Wajib. URL HTTPS layanan gateway Cloud Run yang terhubung ke instance SAP ERP Anda.
`Service Account JSON`	Opsional. Kunci JSON akun layanan yang digunakan untuk melakukan autentikasi dengan layanan gateway Cloud Run. Jika `Service Account JSON` dan `Workload Identity Email` disediakan, integrasi akan menggunakan `Service Account JSON`.
`Workload Identity Email`	Opsional. Alamat email akun layanan yang digunakan untuk autentikasi Workload Identity (direkomendasikan). Digunakan saat `Service Account JSON` kosong.
`Verify SSL`	Opsional. Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server gateway Cloud Run. Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Mengaktifkan Log Audit

Gunakan tindakan Activate Audit Log untuk mengaktifkan Log Audit Keamanan SAP di instance dan klien SAP target melalui Gateway RFC SAP Cloud Run.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Activate Audit Log memerlukan parameter berikut:

Parameter Deskripsi

Parameter	Deskripsi
`SAP Client Number`	Wajib. Nomor klien SAP numerik tiga digit.
`SAP Instance Name`	Wajib. Nama instance SAP target yang dikonfigurasi di Gateway RFC SAP Cloud Run.

SAP Client Number

Wajib.

Nomor klien SAP numerik tiga digit.

SAP Instance Name

Wajib.

Nama instance SAP target yang dikonfigurasi di Gateway RFC SAP Cloud Run.

Output tindakan

Tindakan Activate Audit Log memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Activate Audit Log:

{
  "status": "SUCCESS",
  "functionId": "ACTIVATE_AUDIT_LOG",
  "sap_instance": "PRD",
  "client": "100",
  "return": [
    {
      "type": "S",
      "message": "Security Audit Log activated successfully."
    }
  ]
}

Pesan output

Tindakan Activate Audit Log dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
`Successfully activated SAP audit log.`	Tindakan berhasil.
`Error executing action - "Activate Audit Log". Reason: Failed to activate audit log. SAP Error: ERROR_SUMMARY`	Tindakan gagal karena sistem SAP menampilkan error. Pastikan instance dan klien SAP target dapat dijangkau dan pengguna komunikasi gateway memiliki izin untuk mengaktifkan Log Audit Keamanan.
`Error executing action - "Activate Audit Log". Reason: SAP Client Number must be a 3-digit numeric string (got 'SAP_CLIENT_NUMBER').`	Tindakan gagal dalam validasi parameter. Berikan string numerik tiga digit yang valid untuk `SAP Client Number`, seperti `100`.
`Error executing action - "Activate Audit Log". Reason: Proxy request failed (HTTP STATUS_CODE): ERROR_DETAIL`	Permintaan ke Cloud Run SAP RFC Gateway gagal. Verifikasi `Cloud Run Service URL`, izin akun layanan, dan log gateway.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Activate Audit Log:

Nama hasil skrip	Nilai
`is_success`	`true` atau `false`

Menghapus Sesi Pengguna

Gunakan tindakan Delete User Session untuk menghentikan sesi aktif pengguna di SAP melalui Cloud Run SAP RFC Gateway.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Delete User Session memerlukan parameter berikut:

Parameter Deskripsi

Parameter	Deskripsi
`SAP Username`	Wajib. Nama pengguna SAP yang sesi aktifnya ingin Anda hentikan.
`SAP Client Number`	Wajib. Nomor klien SAP numerik tiga digit.
`SAP Instance Name`	Wajib. Nama instance SAP target yang dikonfigurasi di Gateway RFC SAP Cloud Run.

SAP Username

Wajib.

Nama pengguna SAP yang sesi aktifnya ingin Anda hentikan.

SAP Client Number

Wajib.

Nomor klien SAP numerik tiga digit.

SAP Instance Name

Wajib.

Nama instance SAP target yang dikonfigurasi di Gateway RFC SAP Cloud Run.

Output tindakan

Tindakan Delete User Session memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Hapus Sesi Pengguna:

{
  "status": "SUCCESS",
  "functionId": "DELETE_USER_SESSION",
  "sap_instance": "PRD",
  "client": "100",
  "return": [
    {
      "type": "S",
      "message": "User session terminated."
    }
  ]
}

Pesan output

Tindakan Hapus Sesi Pengguna dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
`Successfully deleted user session for SAP_USERNAME.`	Tindakan berhasil.
`Error executing action - "Delete User Session". Reason: Failed to delete user session for SAP_USERNAME. SAP Error: ERROR_SUMMARY`	Tindakan gagal karena sistem SAP menampilkan error. Pastikan nama pengguna ada di klien SAP yang ditentukan dan pengguna komunikasi gateway memiliki izin untuk menjalankan `TH_DELETE_USER`.
`Error executing action - "Delete User Session". Reason: SAP Client Number must be a 3-digit numeric string (got 'SAP_CLIENT_NUMBER').`	Tindakan gagal dalam validasi parameter. Berikan string numerik tiga digit yang valid untuk `SAP Client Number`, seperti `100`.
`Error executing action - "Delete User Session". Reason: Proxy request failed (HTTP STATUS_CODE): ERROR_DETAIL`	Permintaan ke Cloud Run SAP RFC Gateway gagal. Verifikasi `Cloud Run Service URL`, izin akun layanan, dan log gateway.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Hapus Sesi Pengguna:

Nama hasil skrip	Nilai
`is_success`	`true` atau `false`

Mengunci Pengguna SAP

Gunakan tindakan Lock SAP User untuk mengunci akun pengguna tertentu di SAP melalui Cloud Run SAP RFC Gateway.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tindakan Lock SAP User memerlukan parameter berikut:

Parameter Deskripsi

Parameter	Deskripsi
`SAP Username`	Wajib. Nama pengguna SAP dari akun yang akan dikunci.
`SAP Client Number`	Wajib. Nomor klien SAP numerik tiga digit.
`SAP Instance Name`	Wajib. Nama instance SAP target yang dikonfigurasi di Gateway RFC SAP Cloud Run.

SAP Username

Wajib.

Nama pengguna SAP dari akun yang akan dikunci.

SAP Client Number

Wajib.

Nomor klien SAP numerik tiga digit.

SAP Instance Name

Wajib.

Nama instance SAP target yang dikonfigurasi di Gateway RFC SAP Cloud Run.

Output tindakan

Tindakan Lock SAP User memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Lock SAP User:

{
  "status": "SUCCESS",
  "functionId": "USER_LOCK",
  "sap_instance": "PRD",
  "client": "100",
  "return": [
    {
      "type": "S",
      "message": "User locked successfully."
    }
  ]
}

Pesan output

Tindakan Lock SAP User dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
`Successfully locked user SAP_USERNAME.`	Tindakan berhasil.
`Error executing action - "Lock SAP User". Reason: Failed to lock user SAP_USERNAME. SAP Error: ERROR_SUMMARY`	Tindakan gagal karena sistem SAP menampilkan error. Pastikan nama pengguna ada di klien SAP yang ditentukan dan pengguna komunikasi gateway memiliki izin untuk mengunci akun pengguna.
`Error executing action - "Lock SAP User". Reason: SAP Client Number must be a 3-digit numeric string (got 'SAP_CLIENT_NUMBER').`	Tindakan gagal dalam validasi parameter. Berikan string numerik tiga digit yang valid untuk `SAP Client Number`, seperti `100`.
`Error executing action - "Lock SAP User". Reason: Proxy request failed (HTTP STATUS_CODE): ERROR_DETAIL`	Permintaan ke Cloud Run SAP RFC Gateway gagal. Verifikasi `Cloud Run Service URL`, izin akun layanan, dan log gateway.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Lock SAP User:

Nama hasil skrip	Nilai
`is_success`	`true` atau `false`

Ping

Gunakan tindakan Ping untuk menguji autentikasi dan konektivitas jaringan ke layanan gateway Cloud Run SAP ERP.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan	Ketersediaan
Lampiran repositori kasus	Tidak tersedia
Link repositori kasus	Tidak tersedia
Tabel repositori kasus	Tidak tersedia
Tabel pengayaan	Tidak tersedia
Hasil JSON	Tidak tersedia
Pesan output	Tersedia
Hasil skrip	Tersedia

Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output	Deskripsi pesan
`Successfully connected to the SAP ERP server with the provided connection parameters!`	Tindakan berhasil.
`Failed to connect to the SAP ERP server! Error is Failed to generate Google Cloud authentication token. Verify service account credentials and permissions.`	Tindakan ini gagal membuat token autentikasi Google Cloud . Verifikasi konfigurasi `Service Account JSON` atau `Workload Identity Email` Anda.
`Failed to connect to the SAP ERP server! Error is Authentication to Cloud Run failed (HTTP STATUS_CODE). Verify the caller has roles/run.invoker on the service.`	Gateway Cloud Run menolak permintaan autentikasi. Pastikan akun layanan memiliki peran Cloud Run Invoker (`roles/run.invoker`) di layanan Cloud Run.
`Failed to connect to the SAP ERP server! Error is Cloud Run service returned unexpected HTTP STATUS_CODE: ERROR_DETAIL`	Gateway Cloud Run menampilkan kode status HTTP yang tidak terduga. Verifikasi `Cloud Run Service URL` dan periksa log layanan Cloud Run.

Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip	Nilai
`is_success`	`true` atau `false`

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.