アクセス管理の理解

すべての SAP S/4HANA Cloud Public Edition インスタンスでは、アイデンティティプロバイダ (IdP) として SAP Cloud Identity Services - Identity Authentication が使用されます。Identity Authentication をユーザ ID のソースとしてネイティブに使用することも、プロキシ設定を使用して既存のコーポレート IdP に接続することもできます。

コーポレートアイデンティティプロバイダがすでにある場合は、プロキシモードで実行するように Identity Authentication を設定できます。これにより、複数のアプリケーションで単一のコーポレートアイデンティティプロバイダを使用できます。

SAP Cloud Identity Services プライマリは、クラウドソリューションとオンプレミスソリューション全体で ID、認証、およびシングルサインオン (SSO) を管理します。

SAP Cloud Identity Services は、システム間の ID およびアクセス管理の統合を可能にする、SAP Business Technology Platform (SAP BTP) のサービスのグループです。目標は、システムとデータアクセスの安全性を確保しながら、システム全体でシームレスなシングルサインオンエクスペリエンスを提供することです。SAP Cloud Identity Services には、Identity Authentication、Identity Provisioning、Identity Directory、および権限管理が含まれています。

テナントは、SAP Cloud Identity Services の (カスタマ固有の) インスタンスを参照します。これは、SAP クラウドソリューション (SAP S/4HANA Cloud Public Edition など) を含むバンドルの一部として、または SAP BTP コックピットのセルフサービス要求の一部として提供されます。SAP Cloud Identity Services が SAP クラウドソリューションとバンドルされている場合、SAP クラウドソリューションに事前設定された 1 つの本稼動テナントと 1 つのテストテナントに対する権限が付与されます。

SAP Cloud Identity Services もバンドルする別のソリューションを取得した場合、追加のテナントは取得されません。既存のテンプレートが再利用されます。

これには、以下の機能があります。

認証および SSO

サポートされている認証方法のいずれかを選択して、Form、SPNEGO、Social、2FA などのアプリケーションへのアクセスを制御します。OpenID Connect または SAML 2.0 を使用して、シングルサインオンを提供します。API による認証を使用して、アプリケーションをプログラムで統合します。

データパーシスタンス

アイデンティティディレクトリ (SAP Cloud Identity Services のユーザストア) でユーザおよびグループを保存および管理します。

認証の委任

デフォルトで、または IdP、電子メールドメイン、ユーザタイプ、ユーザグループなどの条件に基づいて、サードパーティまたはオンプレミス IdP に認証を委任し、オンプレミスおよびクラウド全体で SSO を有効化します。

ジョブのロギングおよび通知

ジョブログおよびリアルタイムプロビジョニングログを表示および管理します。ソースシステムにサブスクライブし、プロビジョニングジョブのステータスに関する通知を受信します。

ポリシーベースの権限

インスタンスベースの権限を使用して SAP BTP アプリケーションを開発します。これらのインスタンスベースの権限は、SAP Cloud Identity Services 内でポリシーとして一元的に設定します。

リスクベース認証

IP 範囲、ユーザグループ、ユーザタイプ、または認証方法に基づいて 2 要素認証を実施し、ビジネスアプリケーションへのアクセスを管理するのに役立ちます。

API によるユーザおよびグループ管理:

SCIM REST API を使用して、ユーザおよびグループの管理、ユーザの招待、および任意の言語でのエンドユーザ UI テキストのカスタマイズを行います。

ユーザおよびグループのプロビジョニング

サポートされている複数のクラウドシステムとオンプレミスシステム (SAP システムと非 SAP システムの両方) 間でユーザおよびグループを同期します。データをフィルタリングします。完全読込モードおよびデルタ読込モードでジョブを実行します。

以下のスライドは、これが主なコンポーネントであることを示しています。

この図は、以下のように説明することができます。

ビジネスユーザ

左側には、従業員、得意先、パートナなどのビジネスユーザが表示されます。

コーポレート IdP

コーポレート IdP (= アイデンティティプロバイダ) は、ユーザの ID 情報を作成、更新、および管理し、連携ネットワーク内で認証サービスを提供するシステムです。IdP はユーザ認証をサービスとして提供し、Web アプリなどのアプリケーションが認証ステップをアウトソースできるようにします。現在、以下の 2 つのタイプが使用されています。

• OpenID Connect (OIDC) は、OAuth 上に構築されたアイデンティティレイヤです。ドメインモデルでは、アイデンティティプロバイダは、RESTful HTTP API を介して OIDC 依存パーティに JSON 形式のアイデンティティトークンを発行する OAuth 2.0 認可サーバです。
• SAML (Security Assertion Markup Language) は、認証および権限データを交換するための一連のプロファイルです。ドメインモデルでは、アイデンティティプロバイダは SAML の SSO プロファイルを使用して認証アサーションを発行する認証機関です。これらのアサーションを使用する信頼関係者は、SAML サービスプロバイダと呼ばれます。

例：Okta、Auth0、Azure AD、Keycloak、…

以下のコンポーネントは、SAP Cloud Identity Services の要素です。

Identity Authentication

ビジネスプロセス、アプリケーション、およびデータへのクラウドベースの制御されたアクセスが提供されます。認証メカニズム、シングルサインオン、オンプレミス統合、および便利なセルフサービスオプションにより、ユーザエクスペリエンスが簡略化されます。

Identity Provisioning

ID と権限のプロビジョニングおよびプロビジョニング解除を自動化することで、ID ライフサイクル管理を簡素化および保護します。これにより、ユーザのオンボーディングとオフボーディングが高速化され、クラウドでの企業 ID の一元管理がサポートされ、既存のオンプレミス ID をクラウドアプリケーションに自動的にプロビジョニングできます。

Authorization Management

これにより、有効化された SAP BTP ベースのビジネスアプリケーションでリソースへのアクセスを付与する権限ポリシーを絞り込むことができます。ユーザまたはビジネスオブジェクト属性の値に基づいてポリシーを制限することができます。アイデンティティディレクトリのグループ管理機能を使用して、ユーザにポリシーを割り当てることができます。SAP Cloud Identity Services の対応するユーザインタフェースまたはアイデンティティディレクトリの SCIM API を使用できます。

この機能では、SAP Business Technology Platform (BTP) 内のさまざまなサービスおよび機能へのアクセスを制御し、ロール、権限、およびポリシーの定義が含まれます。

アイデンティティディレクトリ

これは SAP Cloud Identity Services のパーシスタンスレイヤであり、ユーザおよびグループに一元化されたストレージおよび管理システムを提供します。これは、顧客が独自の属性を使用してカスタムスキーマを定義できるようにする SCIM 2.0 REST API を備えています。ディレクトリにより、グローバルユーザ ID が生成されます。これは、Identity Provisioning によって統合目的で共通ユーザ ID を必要とする SAP クラウドアプリケーションに配信される一意の ID です。

ユーザストア

ユーザ ID 情報が保存されるセントラルリポジトリ。通常、この情報には、ユーザ名、パスワード、ユーザプロファイルに関連するその他の属性などのデータが含まれます。

例：ABAP プラットフォーム、MS Active Directory、Apache Directory Server、OpenLDAP など

ヒント

オンプレミスコンポーネントに接続するには、クラウドコネクタを使用します。

SAP Cloud Identity Services テナントが最初に組織にプロビジョニングされると、1 人のユーザのみがテナント管理者として追加されます。その後、法的およびセキュリティ上の問題が発生する可能性があるため、SAP は例外的なケースでのみテナント管理者を追加します (たとえば、既存の管理者が退職した場合や、何らかの理由でこのテナントに対して有効な管理者がいない場合など)。このような場合にアクセス関連の問題を回避するには、常に複数の管理者を割り当てることをお奨めします。追加のテナント管理者の追加は、現在のテナント管理者のみが担当します。

SAP Cloud Identity Services の管理タスクおよび設定タスクは、管理者を対象としています。これには、テナント設定、アプリケーション、権限ポリシー、およびプロビジョニングの設定、および適切な運用を確保するためのユーザおよびグループの管理が含まれます。これらの設定には、管理者が主に SAP Cloud Identity Services の管理コンソール (ほとんどのブラウザに適応する Fiori ベースのユーザインタフェース) を使用します。

使用可能な設定オプションの一部を以下に示します。

• アプリケーションの設定: このセクションでは、ユーザ認証およびアプリケーションへのアクセスを設定し、会社の要件に従ってブランディングスタイルを使用する方法について説明します。また、Identity Authentication とサービスプロバイダまたはクライアント (信頼するパーティ) の間のトラスト設定についても説明します。
• テナント設定の実行: 最初は、テナントはデフォルト設定を使用するように設定されています。このセクションでは、テナント管理者がカスタムテナント設定を作成する方法について説明します。
• パスワードポリシーの設定: ユーザの認証用のパスワードには、特定のルールが適用されます。これらのルールは、パスワードポリシーで定義されます。Identity Authentication では、2 つの事前定義されたパスワードポリシーが提供されます。これに加えて、最大 3 つのカスタムパスワードポリシーを作成および設定することができます。
• プライバシーポリシーの設定: 新しい文書を作成し、その言語バージョンを追加および編集し、アプリケーションの文書を定義することで、カスタムプライバシーポリシー文書を設定できます。
• 権限ポリシーの設定: 権限管理では、SAP Cloud Identity Services 管理者が権限ポリシーの使用、権限ポリシーのカスタマイズ、およびユーザへの割当を行うことができます。
• 利用規約の設定: 新しい文書を作成し、その言語バージョンを追加および編集し、アプリケーションの文書を定義することで、カスタム利用規約文書を設定することができます。
• 電子メールテンプレートの設定: テナント管理者は、アプリケーションプロセスにデフォルトまたはカスタムの電子メールテンプレートセットを使用できます。
• 管理者の管理: このセクションでは、テナント管理者が SAP Cloud Identity Services の管理コンソールですべての管理者を一覧表示する方法、新しい管理者の追加、管理者権限の編集、および管理者の削除を行う方法について説明します。
• ユーザの管理: テナント管理者は、SAP Cloud Identity Services 管理コンソールおよび API を使用してユーザアカウントを管理できます。
• グループの管理: テナント管理者は、SAP Cloud Identity Services の管理コンソールを使用して、グループを作成し、それらのグループのユーザへの割り当ておよび割り当て解除を行うことができます。
• プロビジョニングシステムの設定: ビジネスアプリケーション間でユーザおよびグループを同期するためのプロビジョニングシステムを設定します。
• リアルタイムプロビジョニングの設定: テナント管理者は、リアルタイムプロビジョニングを設定して、ソースシステムからターゲットシステムにエンティティを即時にプロビジョニングできます。
• ソーシャルアイデンティティプロバイダの設定: ソーシャルプロバイダを設定することで、ユーザは Identity Authentication のアカウントをソーシャルメディアアカウントにリンクすることで、ソーシャルメディア認証情報を使用してアプリケーションにログオンできます。
• 既存のカスタマランドスケープとの統合: Identity Authentication を既存のカスタマランドスケープと統合し、さまざまなタイプの委任された認証をサポートすることができます。
• 外部認証プロバイダの設定: 外部プロバイダからのユーザを管理するには、SAP Cloud Identity Services の管理コンソールで認証プロバイダを設定します。
• OpenID Connect の設定: OpenID Connect で保護されたアプリケーションでの認証に Identity Authentication を使用できます。

詳細については、以下のリソースを確認してください。

• SAP Help Portal - SAP Cloud Identity Services ページ
• SAP Discovery Center - サービス - SAP Cloud Identity Services
• SAP Learning - SAP Cloud Identity Services の概要