Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Integra SAP ERP con Google SecOps

Questo documento spiega come integrare SAP ERP con Google Security Operations.

L'integrazione di SAP ERP connette Google SecOps al tuo ambiente SAP ERP tramite un servizio gateway Cloud Run. Per saperne di più sul monitoraggio e sulla protezione degli ambienti SAP in Google SecOps, consulta Proteggi le applicazioni SAP con Google SecOps.

Casi d'uso

L'integrazione di SAP ERP utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

Contenimento degli account utente SAP compromessi: blocca immediatamente gli account utente SAP durante i playbook di risposta agli incidenti automatizzati quando vengono rilevate attività sospette, abuso di credenziali o escalation dei privilegi non autorizzata.
Termina le sessioni utente attive: termina le sessioni SAP attive per un nome utente e un client target per revocare l'accesso in corso dopo la compromissione di un account o una violazione delle policy.
Applicare l'audit logging della sicurezza: attiva da remoto l'audit log della sicurezza SAP sulle istanze e sui client SAP di destinazione per assicurarti che vengano registrati gli eventi di sicurezza delle applicazioni critici.
Convalida la connettività del gateway: verifica Google Cloud l'autenticazione e la connettività di rete tra Google SecOps e il servizio gateway Cloud Run.

Prima di iniziare

Prima di configurare l'integrazione di SAP ERP in Google SecOps, completa i seguenti passaggi preliminari:

Esegui il deployment e configura il gateway RFC SAP di Cloud Run per inoltrare le azioni alle tue istanze SAP ERP.
Configura Google Cloud l'autenticazione e le autorizzazioni IAM utilizzando Workload Identity o una chiave JSON account di servizio.
Configura le autorizzazioni SAP per l'utente di comunicazione del gateway nei client SAP di destinazione.
Verifica la connettività di rete tra Google SecOps, il servizio Cloud Run e le istanze SAP ERP.

Esegui il deployment e configura il gateway RFC SAP di Cloud Run

L'integrazione SAP ERP comunica con i tuoi sistemi SAP tramite un servizio gateway RFC SAP di Cloud Run. Questo servizio inoltra in modo sicuro le azioni da Google SecOps alle istanze SAP di destinazione.

Assicurati che il servizio gateway Cloud Run sia stato sottoposto a deployment e configurato con i dettagli di connessione per ogni istanza SAP di destinazione (SAP Instance Name) e client SAP a tre cifre (SAP Client Number). Registra l'URL HTTPS del servizio Cloud Run per il parametro di integrazione Cloud Run Service URL.

Configura l'autenticazione Google Cloud e le autorizzazioni IAM

Per autenticare le richieste al servizio gateway Cloud Run, configura un service account Google Cloud utilizzando uno dei seguenti metodi:

Workload Identity (consigliato): utilizza la simulazione dell'identità dei service account in modo da non dover scaricare o gestire chiavi JSON statiche.
Chiave JSON del service account: utilizza un file della chiave JSON scaricato. Utilizza questo metodo solo se non puoi configurare Workload Identity. Se fornisci sia Service Account JSON che Workload Identity Email, l'integrazione utilizza Service Account JSON.

Segui il principio del privilegio minimo quando assegni i ruoli Google Cloud IAM. Evita di concedere ruoli amministrativi ampi come roles/owner o roles/editor. Concedi solo i ruoli minimi elencati nella tabella seguente:

Entità	Risorsa di destinazione	Ruolo IAM richiesto	Finalità
Service account (configurato in `Workload Identity Email` o `Service Account JSON`)	Servizio gateway RFC SAP Cloud Run	Cloud Run Invoker (`roles/run.invoker`)	Consente al account di servizio di chiamare il servizio gateway Cloud Run.
Identità dell'istanza Google SecOps (solo se utilizzi `Workload Identity Email`)	Service account specificato in `Workload Identity Email`	Creatore token service account (`roles/iam.serviceAccountTokenCreator`)	Consente alla tua istanza Google SecOps di simulare l'identità del account di servizio quando chiami il gateway.

Esegui l'autenticazione con Workload Identity (consigliato)

Per eseguire l'autenticazione utilizzando Workload Identity, crea un account di servizio, concedigli l'accesso per richiamare il tuo servizio Cloud Run e autorizza la tua istanza Google SecOps a impersonare quel account di servizio.

Crea un account di servizio e concedi l'accesso a Cloud Run

Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.
Fai clic su Crea service account, inserisci un nome per il account di servizio e fai clic su Crea e continua.
Fai clic su Fine per completare la creazione del account di servizio e copia il suo indirizzo email.
Nella console Google Cloud , vai a Cloud Run e seleziona il servizio gateway RFC SAP.
Vai alla scheda Sicurezza o Autorizzazioni e fai clic su Aggiungi entità.
Nel campo Nuove entità, incolla l'indirizzo email del account di servizio.
Nel menu Seleziona un ruolo, seleziona Cloud Run Invoker (roles/run.invoker) e fai clic su Salva.

Concedi le autorizzazioni di impersonificazione alla tua istanza Google SecOps

In Google SecOps, vai a Content Hub > Integrazioni di risposta.
Seleziona l'integrazione SAP ERP, inserisci Cloud Run Service URL e inserisci l'indirizzo email del account di servizio in Workload Identity Email.
Fai clic su Salva > Verifica. Il test dovrebbe non riuscire prima di concedere le autorizzazioni di simulazione dell'identità.
Fai clic su close_small accanto a Test e individua l'indirizzo email del service account dell'istanza Google SecOps nel messaggio di errore (formattato come gke-init-python@PROJECT.iam.gserviceaccount.com o soar-python@TENANT_PROJECT.iam.gserviceaccount.com). Copia questo indirizzo email.
Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio e seleziona il tuo service account.
Vai a Autorizzazioni > Concedi l'accesso.
In Nuove entità, incolla l'indirizzo email dell'istanza Google SecOps che hai copiato.
In Assegna ruoli, seleziona Creatore token account di servizio (roles/iam.serviceAccountTokenCreator) e fai clic su Salva.

Nota: la propagazione delle modifiche IAM può richiedere alcuni minuti prima che il test di integrazione venga eseguito correttamente.

Autenticati con una chiave JSON del account di servizio

Se non puoi utilizzare Workload Identity, crea un account di servizio ed estrai il file della chiave JSON:

Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.
Seleziona un account di servizio esistente o fai clic su Crea service account per crearne uno dedicato.
Assicurati che il account di servizio disponga del ruolo Cloud Run Invoker (roles/run.invoker) sul servizio gateway RFC SAP di Cloud Run.
Seleziona il tuo account di servizio e vai a Chiavi > Aggiungi chiave > Crea nuova chiave.
Seleziona JSON come tipo di chiave e fai clic su Crea. Un file della chiave JSON viene scaricato sul computer.
Apri il file scaricato in un editor di testo, copia l'intero contenuto JSON e incollalo nel parametro Service Account JSON in Google SecOps.

Configura le autorizzazioni SAP

In ogni client SAP di destinazione, concedi all'utente di comunicazione SAP configurato nel gateway Cloud Run solo le autorizzazioni minime richieste per le azioni che prevedi di eseguire:

Azione	Autorizzazione SAP obbligatoria
Attiva l'audit log	Autorizzazione per attivare da remoto l'audit log di sicurezza SAP nel client SAP di destinazione.
Elimina sessione utente	Autorizzazione per eseguire il modulo di funzione `TH_DELETE_USER` per terminare le sessioni utente attive nel client SAP di destinazione.
Blocca utente SAP	Autorizzazione a bloccare gli account utente nel client SAP di destinazione.

Verifica la connettività di rete

Assicurati che il tuo ambiente soddisfi i seguenti requisiti di rete:

Google SecOps (o il tuo agente remoto) può raggiungere l'URL del gateway RFC SAP di Cloud Run tramite HTTPS (porta 443).
Il servizio gateway RFC SAP Cloud Run dispone di connettività di rete alle istanze SAP ERP di destinazione.

Parametri di integrazione

L'integrazione con SAP ERP richiede i seguenti parametri:

Parametro	Descrizione
`Cloud Run Service URL`	Obbligatorio. L'URL HTTPS del servizio gateway Cloud Run che si connette alla tua istanza SAP ERP.
`Service Account JSON`	Facoltativo. La chiave JSON del service account utilizzata per l'autenticazione con il servizio gateway Cloud Run. Se vengono forniti sia `Service Account JSON` che `Workload Identity Email`, l'integrazione utilizza `Service Account JSON`.
`Workload Identity Email`	Facoltativo. L'indirizzo email del account di servizio utilizzato per l'autenticazione di Workload Identity (consigliato). Utilizzato quando `Service Account JSON` è vuoto.
`Verify SSL`	Facoltativo. Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server gateway Cloud Run. Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Attiva audit log

Utilizza l'azione Attiva audit log per attivare l'audit log di sicurezza SAP su un'istanza e un client SAP di destinazione tramite il gateway RFC SAP di Cloud Run.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Attiva audit log richiede i seguenti parametri:

Parametro Descrizione

Parametro	Descrizione
`SAP Client Number`	Obbligatorio. Il numero di client SAP numerico di tre cifre.
`SAP Instance Name`	Obbligatorio. Il nome dell'istanza SAP di destinazione configurata nel gateway RFC SAP di Cloud Run.

SAP Client Number

Obbligatorio.

Il numero di client SAP numerico di tre cifre.

SAP Instance Name

Obbligatorio.

Il nome dell'istanza SAP di destinazione configurata nel gateway RFC SAP di Cloud Run.

Output azione

L'azione Attiva audit log fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Attiva audit log:

{
  "status": "SUCCESS",
  "functionId": "ACTIVATE_AUDIT_LOG",
  "sap_instance": "PRD",
  "client": "100",
  "return": [
    {
      "type": "S",
      "message": "Security Audit Log activated successfully."
    }
  ]
}

Messaggi di output

L'azione Attiva audit log può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully activated SAP audit log.`	L'azione è riuscita.
`Error executing action - "Activate Audit Log". Reason: Failed to activate audit log. SAP Error: ERROR_SUMMARY`	L'azione non è riuscita perché il sistema SAP ha restituito un errore. Verifica che l'istanza e il client SAP di destinazione siano raggiungibili e che l'utente di comunicazione del gateway disponga dell'autorizzazione per attivare l'audit log di sicurezza.
`Error executing action - "Activate Audit Log". Reason: SAP Client Number must be a 3-digit numeric string (got 'SAP_CLIENT_NUMBER').`	La convalida dei parametri dell'azione non è riuscita. Fornisci una stringa numerica di tre cifre valida per `SAP Client Number`, ad esempio `100`.
`Error executing action - "Activate Audit Log". Reason: Proxy request failed (HTTP STATUS_CODE): ERROR_DETAIL`	La richiesta al gateway RFC SAP di Cloud Run non è riuscita. Verifica `Cloud Run Service URL`, le autorizzazioni del account di servizio e i log del gateway.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Attiva audit log:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Elimina sessione utente

Utilizza l'azione Elimina sessione utente per terminare le sessioni attive di un utente in SAP tramite il gateway RFC SAP di Cloud Run.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Elimina sessione utente richiede i seguenti parametri:

Parametro Descrizione

Parametro	Descrizione
`SAP Username`	Obbligatorio. Il nome utente SAP di cui vuoi terminare le sessioni attive.
`SAP Client Number`	Obbligatorio. Il numero di client SAP numerico di tre cifre.
`SAP Instance Name`	Obbligatorio. Il nome dell'istanza SAP di destinazione configurata nel gateway RFC SAP di Cloud Run.

SAP Username

Obbligatorio.

Il nome utente SAP di cui vuoi terminare le sessioni attive.

SAP Client Number

Obbligatorio.

Il numero di client SAP numerico di tre cifre.

SAP Instance Name

Obbligatorio.

Il nome dell'istanza SAP di destinazione configurata nel gateway RFC SAP di Cloud Run.

Output azione

L'azione Elimina sessione utente fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Elimina sessione utente:

{
  "status": "SUCCESS",
  "functionId": "DELETE_USER_SESSION",
  "sap_instance": "PRD",
  "client": "100",
  "return": [
    {
      "type": "S",
      "message": "User session terminated."
    }
  ]
}

Messaggi di output

L'azione Elimina sessione utente può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully deleted user session for SAP_USERNAME.`	L'azione è riuscita.
`Error executing action - "Delete User Session". Reason: Failed to delete user session for SAP_USERNAME. SAP Error: ERROR_SUMMARY`	L'azione non è riuscita perché il sistema SAP ha restituito un errore. Verifica che il nome utente esista nel client SAP specificato e che l'utente di comunicazione del gateway disponga dell'autorizzazione per eseguire `TH_DELETE_USER`.
`Error executing action - "Delete User Session". Reason: SAP Client Number must be a 3-digit numeric string (got 'SAP_CLIENT_NUMBER').`	La convalida dei parametri dell'azione non è riuscita. Fornisci una stringa numerica di tre cifre valida per `SAP Client Number`, ad esempio `100`.
`Error executing action - "Delete User Session". Reason: Proxy request failed (HTTP STATUS_CODE): ERROR_DETAIL`	La richiesta al gateway RFC SAP di Cloud Run non è riuscita. Verifica `Cloud Run Service URL`, le autorizzazioni del account di servizio e i log del gateway.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Elimina sessione utente:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Blocca utente SAP

Utilizza l'azione Blocca utente SAP per bloccare un account utente specificato in SAP tramite il gateway RFC SAP di Cloud Run.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

L'azione Blocca utente SAP richiede i seguenti parametri:

Parametro Descrizione

Parametro	Descrizione
`SAP Username`	Obbligatorio. Il nome utente SAP dell'account da bloccare.
`SAP Client Number`	Obbligatorio. Il numero di client SAP numerico di tre cifre.
`SAP Instance Name`	Obbligatorio. Il nome dell'istanza SAP di destinazione configurata nel gateway RFC SAP di Cloud Run.

SAP Username

Obbligatorio.

Il nome utente SAP dell'account da bloccare.

SAP Client Number

Obbligatorio.

Il numero di client SAP numerico di tre cifre.

SAP Instance Name

Obbligatorio.

Il nome dell'istanza SAP di destinazione configurata nel gateway RFC SAP di Cloud Run.

Output azione

L'azione Blocca utente SAP fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Blocca utente SAP:

{
  "status": "SUCCESS",
  "functionId": "USER_LOCK",
  "sap_instance": "PRD",
  "client": "100",
  "return": [
    {
      "type": "S",
      "message": "User locked successfully."
    }
  ]
}

Messaggi di output

L'azione Blocca utente SAP può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully locked user SAP_USERNAME.`	L'azione è riuscita.
`Error executing action - "Lock SAP User". Reason: Failed to lock user SAP_USERNAME. SAP Error: ERROR_SUMMARY`	L'azione non è riuscita perché il sistema SAP ha restituito un errore. Verifica che il nome utente esista nel client SAP specificato e che l'utente di comunicazione del gateway disponga dell'autorizzazione per bloccare gli account utente.
`Error executing action - "Lock SAP User". Reason: SAP Client Number must be a 3-digit numeric string (got 'SAP_CLIENT_NUMBER').`	La convalida dei parametri dell'azione non è riuscita. Fornisci una stringa numerica di tre cifre valida per `SAP Client Number`, ad esempio `100`.
`Error executing action - "Lock SAP User". Reason: Proxy request failed (HTTP STATUS_CODE): ERROR_DETAIL`	La richiesta al gateway RFC SAP di Cloud Run non è riuscita. Verifica `Cloud Run Service URL`, le autorizzazioni del account di servizio e i log del gateway.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Blocca utente SAP:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Dindin

Utilizza l'azione Ping per testare l'autenticazione e la connessione di rete al servizio gateway Cloud Run di SAP ERP.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
`Successfully connected to the SAP ERP server with the provided connection parameters!`	L'azione è riuscita.
`Failed to connect to the SAP ERP server! Error is Failed to generate Google Cloud authentication token. Verify service account credentials and permissions.`	L'azione non è riuscita a generare un token di autenticazione Google Cloud . Verifica la configurazione di `Service Account JSON` o `Workload Identity Email`.
`Failed to connect to the SAP ERP server! Error is Authentication to Cloud Run failed (HTTP STATUS_CODE). Verify the caller has roles/run.invoker on the service.`	Il gateway Cloud Run ha rifiutato la richiesta di autenticazione. Assicurati che il account di servizio disponga del ruolo Cloud Run Invoker (`roles/run.invoker`) sul servizio Cloud Run.
`Failed to connect to the SAP ERP server! Error is Cloud Run service returned unexpected HTTP STATUS_CODE: ERROR_DETAIL`	Il gateway Cloud Run ha restituito un codice di stato HTTP imprevisto. Verifica `Cloud Run Service URL` e controlla i log del servizio Cloud Run.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
`is_success`	`true` o `false`

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.