Compréhension de la gestion des accès

Chaque instance SAP S/4HANA Cloud Public Edition utilise SAP Cloud Identity Services - Identity Authentication comme fournisseur d'identités (IdP). Vous pouvez utiliser Identity Authentication nativement comme source d'identités utilisateur ou vous pouvez utiliser une configuration de proxy pour vous connecter à un fournisseur d'identités d'entreprise existant.

Si vous avez déjà mis en place un fournisseur d'identités d'entreprise, vous pouvez configurer Identity Authentication pour qu'il s'exécute en mode proxy. De cette façon, vous pouvez utiliser un seul fournisseur d'identités d'entreprise dans plusieurs applications.

Le principal service SAP Cloud Identity Services gère les identités, l'authentification et l'authentification unique (SSO) dans les solutions Cloud et sur site.

SAP Cloud Identity Services est un groupe de services de SAP Business Technology Platform (SAP BTP) qui vous permettent d'intégrer la gestion des identités et des accès entre les systèmes. L'objectif est de fournir une expérience d'authentification unique fluide dans tous les systèmes tout en garantissant la sécurité de l'accès au système et aux données. SAP Cloud Identity Services inclut Identity Authentication, Identity Provisioning, Identity Directory et Authorization Management.

Un locataire fait référence à votre instance (personnalisée) de SAP Cloud Identity Services. Il vous est fourni dans le cadre d'un regroupement avec une solution SAP Cloud (par exemple SAP S/4HANA Cloud Public Edition) ou dans le cadre d'une demande en libre-service dans le cockpit SAP BTP. Lorsque SAP Cloud Identity Services est regroupé avec une solution SAP Cloud, vous avez droit à un locataire de production et un locataire de test préconfigurés avec la solution SAP Cloud.

Si vous obtenez une autre solution qui regroupe également SAP Cloud Identity Services, vous n'obtenez pas de locataire supplémentaire. Votre version existante est réutilisée.

Il est fourni avec les fonctionnalités suivantes :

Authentification et SSO

Sélectionnez l'une des méthodes d'authentification prises en charge pour contrôler l'accès à votre application, comme Formulaire, SPNEGO, Social ou 2FA. Utilisez OpenID Connect ou SAML 2.0 pour fournir une connexion unique. Intégrez votre application par programmation à l'aide de l'authentification via API.

Persistance des données

Stocker et gérer des utilisateurs et des groupes dans Identity Directory - l'archive utilisateurs de SAP Cloud Identity Services.

Déléguer l'authentification

Déléguer l'authentification à un fournisseur d'identités tiers ou sur site, par défaut ou en fonction d'une condition telle que le fournisseur d'identités, le domaine d'e-mail, le type d'utilisateur ou le groupe d'utilisateurs, et ainsi activer l'authentification unique SSO sur site et dans le Cloud.

Journalisation des jobs et notifications

Affichez et gérez les journaux des jobs et les journaux de provisionnement en temps réel. Abonnez-vous aux systèmes source et recevez des notifications concernant le statut des jobs de mise à disposition.

Autorisations basées sur la directive

Développez des applications SAP BTP avec des autorisations basées sur une instance. Configurez ces autorisations basées sur une instance de manière centralisée comme directives dans SAP Cloud Identity Services.

Authentification basée sur le risque

Aide à appliquer l'authentification à deux facteurs en fonction des plages IP, des groupes d'utilisateurs, du type d'utilisateur ou de la méthode d'authentification pour gérer l'accès à une application de gestion.

Gestion des utilisateurs et des groupes via API :

Utilisez l'API SCIM REST pour gérer les utilisateurs et les groupes, inviter des utilisateurs et personnaliser les textes d'IU des utilisateurs finaux dans n'importe quelle langue.

Attribution de privilèges d'accès aux utilisateurs et aux groupes

Synchronisez les utilisateurs et les groupes entre plusieurs systèmes Cloud et On-Premise pris en charge, à la fois SAP et non-SAP. Filtrez les données. Exécuter les jobs en mode de lecture complète et delta.

La diapositive suivante présente ses principaux composants :

Le graphique peut être expliqué comme suit :

Utilisateur fonctionnel

Dans la partie gauche, vous trouverez l' utilisateur fonctionnel, comme Salariés, Client ou Partenaires.

Fournisseur d'identités d'entreprise

Le fournisseur d'identités d'entreprise (= fournisseur d'identités) est un système qui crée, gère et gère les informations d'identité pour les utilisateurs et offre des services d'authentification au sein d'un réseau fédéré. Les IdP fournissent l'authentification utilisateur en tant que service, ce qui permet aux applications telles que les applications Web d'externaliser l'étape d'authentification. Actuellement, deux types sont utilisés :

• OpenID Connect (OIDC) est une couche d'identité basée sur OAuth. Dans son modèle de domaine, un fournisseur d'identités est un serveur d'autorisation OAuth 2.0 qui émet des jetons d'identité au format JSON pour les parties qui dépendent de l'OIDC via une API HTTP RESTful.
• SAML (Security Assertion Markup Language) est un ensemble de profils permettant d'échanger des données d'authentification et d'autorisation. Dans son modèle de domaine, un fournisseur d'identités est une autorité d'authentification qui émet des assertions d'authentification à l'aide d'un profil SSO de SAML. Une partie utilisatrice qui utilise ces assertions est appelée fournisseur de services SAML.

Exemples: Okta, Auth0, Azure AD, Keycape, …

Les composants suivants sont des éléments de SAP Cloud Identity Services :

Identity Authentication

Il vous fournit un accès contrôlé basé sur le Cloud aux processus de gestion, aux applications et aux données. Elle simplifie votre expérience utilisateur grâce à des mécanismes d'authentification, à l'authentification unique, à l'intégration sur site et à des options pratiques en libre-service.

Identity Provisioning

Simplifie et sécurise la gestion du cycle de vie des identités en automatisant la mise à disposition et l'annulation de la mise à disposition des identités et des autorisations. Il accélère l'intégration et le départ des utilisateurs, prend en charge la gestion centralisée des identités d'entreprise dans le Cloud et peut automatiquement fournir des identités sur site existantes aux applications Cloud.

Gestion des autorisations

Il vous permet d'affiner les politiques d'autorisation qui donnent accès aux ressources dans les applications de gestion SAP BTP activées. Vous pouvez restreindre les ensembles de règles en fonction des valeurs des attributs de l'utilisateur ou de l'objet de gestion. Vous pouvez affecter des stratégies aux utilisateurs avec les fonctionnalités de gestion de groupe du répertoire d'identités. Vous pouvez utiliser les interfaces utilisateur correspondantes de SAP Cloud Identity Services ou l'API SCIM du répertoire d'identités.

Cette fonctionnalité contrôle l'accès à différents services et fonctionnalités dans SAP Business Technology Platform (BTP) et implique la définition de rôles, d'autorisations et de politiques.

Répertoire d'identités

Il s'agit de la couche persistance de SAP Cloud Identity Services, qui fournit un système de stockage et de gestion centralisé pour les utilisateurs et les groupes. Il comporte une API SCIM 2.0 REST qui permet aux clients de définir des schémas personnalisés avec leurs propres attributs. Le répertoire génère l'ID utilisateur global, un identifiant unique distribué par Identity Provisioning aux applications SAP Cloud qui requiert un identifiant utilisateur commun à des fins d'intégration.

Magasins utilisateurs

Référentiel central dans lequel les informations d'identité de l'utilisateur sont stockées. Ces informations incluent généralement des données telles que les noms d'utilisateur, les mots de passe et d'autres attributs pertinents pour les profils utilisateur.

Exemples : ABAP Platform, MS Active Directory, Apache Directory Server, OpenLDAP, …

Astuce

Pour connecter des composants sur site, le connecteur Cloud est utilisé.

Lorsque le locataire SAP Cloud Identity Services est initialement mis à disposition de votre organisation, un seul utilisateur est ajouté en tant qu'administrateur du locataire. Ensuite, en raison d'éventuels problèmes juridiques et de sécurité, SAP ajoute des administrateurs de locataires supplémentaires uniquement dans des cas exceptionnels (par exemple, l'administrateur existant a quitté l'entreprise ou, pour une raison quelconque, il n'existe aucun administrateur actif pour ce locataire). Pour éviter les problèmes d'accès dans de tels cas, il est toujours recommandé d'affecter plusieurs administrateurs. L'ajout d'administrateurs supplémentaires relève exclusivement de la responsabilité des administrateurs de locataires actuels.

Les tâches d'administration et de configuration de SAP Cloud Identity Services sont destinées aux administrateurs. Ils incluent la configuration des paramètres du locataire, les applications, les politiques d'autorisation et la mise à disposition, ainsi que la gestion des utilisateurs et des groupes, pour garantir le bon fonctionnement. Pour ces configurations, les administrateurs utilisent principalement la console d'administration de SAP Cloud Identity Services, une interface utilisateur basée sur Fiori qui s'adapte à la plupart des navigateurs.

Voici quelques-unes des options de configuration possibles :

• Configuration des applications : cette section décrit comment configurer l'authentification utilisateur et l'accès à une application et utiliser un style de marque en fonction des besoins de votre société. Il explique également la configuration de confiance entre Identity Authentication et un fournisseur de services ou un client (partie utilisatrice).
• Configuration des paramètres du locataire : initialement, les locataires sont configurés pour utiliser les paramètres par défaut. Cette section décrit comment, en tant qu’administrateur de locataire, vous pouvez créer des configurations de client personnalisées.
• Configuration des stratégies de mot de passe : les mots de passe pour l'authentification des utilisateurs sont soumis à certaines règles. Ces règles sont définies dans la stratégie de mot de passe. Identity Authentication vous fournit deux stratégies de mot de passe prédéfinies, en plus desquelles vous pouvez créer et configurer jusqu'à trois stratégies de mot de passe personnalisées.
• Configuration des politiques de confidentialité : vous pouvez configurer un document de politique de confidentialité personnalisé en créant un document, en ajoutant et en modifiant ses versions linguistiques et en définissant le document pour une application.
• Configuration des politiques d'autorisation : la gestion des autorisations permet aux administrateurs de SAP Cloud Identity Services d'utiliser les politiques d'autorisation, de les personnaliser et de les affecter aux utilisateurs.
• Configuration des conditions d'utilisation : vous pouvez configurer un document de conditions d'utilisation personnalisé en créant un document, en ajoutant et en modifiant ses versions linguistiques et en définissant le document pour une application.
• Configuration des modèles d'e-mail : les administrateurs des locataires peuvent utiliser le modèle d'e-mail par défaut ou un modèle d'e-mail personnalisé défini pour les processus d'application.
• Gestion des administrateurs : cette section décrit comment, en tant qu'administrateur de locataire, vous pouvez répertorier tous les administrateurs dans la console d'administration de SAP Cloud Identity Services, ajouter de nouveaux administrateurs, modifier les autorisations d'administrateur et supprimer des administrateurs.
• Gestion des utilisateurs : les administrateurs du locataire peuvent gérer les comptes utilisateur via la console d'administration et les API de SAP Cloud Identity Services.
• Gestion des groupes : les administrateurs des locataires peuvent créer des groupes, et affecter et désaffecter ces groupes aux utilisateurs via la console d'administration de SAP Cloud Identity Services.
• Configuration des systèmes de mise à disposition : configurez les systèmes de mise à disposition pour synchroniser les utilisateurs et les groupes entre les applications commerciales.
• Configuration de la mise à disposition en temps réel : en tant qu'administrateur de locataire, vous pouvez configurer la mise à disposition en temps réel pour mettre immédiatement à disposition des entités des systèmes source vers les systèmes cible.
• Configuration des fournisseurs d'identités sociales : en configurant un fournisseur de services sociaux, les utilisateurs peuvent se connecter aux applications avec leurs identifiants de médias sociaux en liant leurs comptes dans Identity Authentication au compte de réseau social.
• Intégration à l'infrastructure client existante : Identity Authentication peut être intégré à une infrastructure client existante et prend en charge différents types d'authentification déléguée.
• Configuration des fournisseurs d'authentification externes : pour gérer les utilisateurs de fournisseurs externes, configurez les fournisseurs d'authentification dans la console d'administration de SAP Cloud Identity Services.
• Configuration d'OpenID Connect : vous pouvez utiliser Identity Authentication pour l'authentification dans les applications protégées OpenID Connect.

Pour plus d'informations, consultez les ressources suivantes :

• SAP Help Portal - Page SAP Cloud Identity Services
• SAP Discovery Center - Services - SAP Cloud Identity Services
• SAP Learning - Présentation de SAP Cloud Identity Services