Cloud コネクタのインストール、保護、および運用

Cloud Connector は、クラウドアプリケーションをオンプレミスアプリケーションに接続する安全な手段を提供します。サービスチャネルにより、オンプレミスデータベースツールから特定の SAP BTP サービスへのアクセスを許可できます。

追加参照: SAP Help Portal の Cloud コネクタ

SAP Cloud Connector をインストールする前に、システムが必要な前提条件 (サポートされているオペレーティングシステムや Java Development Kit (JDK) の適切なバージョンなど) を満たしていることを確認してください。設定、監査ログ、およびトレースファイル用に 1 ～ 20 GB のディスク領域を割り当てます。SAPUI5 で構築された Cloud コネクタ管理 UI には、サポートされている任意の Web ブラウザからアクセスできます。一般的なネットワークトポロジーを理解し、さまざまなネットワークゾーン内での Cloud コネクタの最適な配置を決定することが重要です。最後に、CPU、RAM、およびディスク領域の要件を考慮して、小、中、および大規模なインストールに対するハードウェアサイジングの推奨事項に従ってください。

詳細については、SAP Help Portal で Cloud コネクタの前提条件を参照してください。

クラウドコネクタは、以下のオペレーティングシステムで利用可能です。

• Linux
• Windows

• macOS

クラウドコネクタは、以下のインストールモードのいずれかを使用してインストールできます。

• Portable バージョン
• インストーラバージョン

ポータブルバージョンは、圧縮されたアーカイブを空のディレクトリに抽出することで、簡単にインストールできます。インストールに管理者権限または root 権限は不要であり、同じホストで複数のインスタンスを実行できます。

インストーラバージョンには、インストールに対して root の各管理者権限が必要です。また、を Linux デーモンとしてバックグラウンドまたは Windows サービスで実行するように設定することもできます。簡単にアップグレードでき、すべての設定とカスタマイジングが保持されます。

Linux に Cloud コネクタをインストールするための前提条件として、最初に以下を確認してください。

• サポートされている 64 ビットオペレーティングシステムを使用します。
• サポートされている JDK を準備しておきます。
• ポータブルバージョン (tar.gz アーカイブとして) またはインストーラバージョン (圧縮された RPM インストーラとして) をダウンロードしておきます。

ポータブルバージョン

1. コマンド tar - xzof sapcc - ﹤version﹥ - linux - ﹤platform﹥.tar.gz を使用して、tar.gz ファイルをローカルファイルシステムの任意のディレクトリに抽出します。
2. このディレクトリに移動し、go.sh スクリプトを使用して Cloud コネクタを起動します。

インストーラバージョン

1. コマンド unzip sapcc - ﹤VERSION﹥ - linux - ﹤platform﹥.zip を使用して、sapcc - ﹤version﹥ - linux - ﹤platform﹥.zip アーカイブを任意のディレクトリに抽出します。
2. このディレクトリに移動し、ルートユーザとしてコマンド rpm -i com.sap.scc-ui - ﹤VERSION﹥ を使用して、抽出された RPM をインストールします。﹤arch﹥.rpm

以下のデモでは、Linux に Cloud コネクタをインストールする方法を確認します。

RPM マネージャによるインストール後、クラウドコネクタプロセスが自動的に開始され、デーモンプロセスとして登録されます。これにより、システムのリブート後に Cloud コネクタが自動的に再起動されるようになります。

プロセスを明示的に起動、停止、または再起動するには、コマンドシェルを開き、root パーミッションが必要な次のコマンドを使用します。

• service scc_daemon start|stop|restart (システム V ディストリビューション上)
• systemctl start|stop|scc_daemon の再起動 (systemd ディストリビューション上)

Windows に Cloud コネクタをインストールするための前提条件として、最初に以下を確認してください。

• サポートされている 64 ビットオペレーティングシステムを使用します。
• Microsoft Visual Studio C++ 2013 および Microsoft Visual Studio C++ 2019 ランタイムライブラリ (SAP JVM に必要) をインストールしておきます。
• サポートされている JDK を準備しておきます。
• ポータブルバージョン (ZIP アーカイブとして) またはインストーラバージョン (MSI パッケージとして) をダウンロードしておきます。

ポータブルバージョン

1. ローカルファイルシステム上の任意のディレクトリに ZIP ファイル ﹤sapcc-﹤version﹥-windows-x64.zip﹥ を抽出します。
2. 環境変数 JAVA_HOME を、Cloud コネクタの実行に使用する JDK のインストールディレクトリに設定します。または、JDK インストールディレクトリの bin サブディレクトリを PATH 環境変数に追加することもできます。
3. Cloud Connector インストールディレクトリに移動し、go.bat バッチファイルを使用して起動します。

インストーラバージョン

1. インストーラをダブルクリックして起動します。
2. インストーラの指示に従って、インストールを実行します。ダイアログの一部を以下に示します。
   1. 必要なインストールディレクトリ
   2. 管理 UI のポート (デフォルト値は 8443)
   3. JDK

Cloud Connector は、本稼働の使用ケースで Windows サービスとして開始されます。したがって、インストールには管理権限が必要です。インストール後、コントロールパネル→管理ツール→サービスでこのサービスを管理します。サービス名は Cloud Connector です。限定された権限を持つユーザでサービスが実行されることを確認します。通常、サービスユーザに対して許可される権限は、会社ポリシーによって定義されます。フォルダおよびファイルの権限を調整して、このユーザおよびシステム管理者のみが管理できるようにします。

macOS に Cloud コネクタをインストールするための前提条件として、最初に以下を確認してください。

• サポートされている 64 ビットオペレーティングシステムを使用します。
• サポートされている JDK を準備しておきます。
• macOS での開発者使用ケース用の tar.gz アーカイブをダウンロードしておきます。

ポータブルバージョン

1. コマンド tar - xzof sapcc - ﹤version﹥ - macosx-x64.tar.gz を使用して、tar.gz ファイルをローカルファイルシステムの任意のディレクトリに抽出します。
2. このディレクトリに移動し、go.sh スクリプトを使用して Cloud Connector を起動します。

これで、クラウドコネクタをインストールできるようになりました。

その他の参考資料：

• SAP Help Portal での Linux OS へのインストール
• SAP Help Portal での Microsoft Windows OS へのインストール
• SAP Help Portal での macOS X へのインストール

Cloud Connector は、主に Web インタフェースを使用して設定および管理されます。クラウドコネクタユーザインタフェースにアクセスするには、サポートされている Web ブラウザに以下の URL を入力します。

https://﹤hostname﹥:﹤port﹥

• ﹤hostname﹥ は、クラウドコネクタがインストールされているマシンを指します。マシンにインストールされている場合は、単に localhost と入力できます。
• ﹤port﹥ は Cloud Connector ポートです (デフォルトポートは 8443)。

ログオン画面で、以下の認証情報を入力します。

• ユーザ名: 管理者
• パスワード: manage

初回ログイン時には、続行する前にパスワードを変更する必要があります。Cloud Connector では、新規パスワードの強度はチェックされません。簡単に推測できない強力なパスワードを選択してください。

デフォルトでは、Cloud コネクタは自己署名型 UI 証明書を使用します。これは、ブラウザの管理 UI と Cloud コネクタ間の通信の暗号化に使用されます。セキュリティ上の理由から、この証明書を独自の証明書に置き換えて、ブラウザがセキュリティ警告なしで証明書を受け入れるようにする必要があります。

この図は、UI 証明書の交換方法を示しています。

マスタインスタンスの UI 証明書を交換するには、以下のステップを実行します。

1. 管理 UI 内で、設定にナビゲートし、ユーザインタフェースにナビゲートします。
2. UI Certificate セクションで、Generate a certificate signment request アイコンを選択して、証明書署名を要求する手順を開始します。
3. Generate CSR ウィンドウで、Cloud コネクタのホスト名に適したキーサイズと共通名を指定します。サブジェクトの別名セクションで、追加ボタンを押して他の値を追加することができます。たとえば、DNS オプションを使用して、仮想ホスト名またはワイルドカード名 (*.sap.com など) を指定することができます。
4. 生成を選択します。
5. 証明書署名要求 (CSR) をファイルに保存するように求められます。ファイルの内容は、PEM 形式の署名要求です。
6. 証明書署名要求は、認証機関 (CA) (会社内の認証機関) または信頼できる別の認証機関 (CA) に提供する必要があります。CA が要求に署名し、返された応答は PEM 形式を使用してファイルに保存する必要があります。
7. Browse を選択してそのファイルを特定し、Import ボタンを選択します。
8. クラウドコネクタを再起動して、新しい証明書を有効化します。

以下の演習問題では、クラウドコネクタの UI 証明書を置き換えます。

概要:

これで、UI 証明書を交換できるようになります。

その他の参考資料：

SAP Help Portal の管理 UI での UI 証明書の交換

Cloud コネクタを使用できるようにするには、少なくとも 1 つの SAP BTP サブアカウントを設定する必要があります。最初の接続を確立するには、以下のデータが必要です。

• SAP BTP 登録に使用される電子メールアドレス
• SAP BTP 登録に使用されるパスワード
• サブアカウント ID
• 地域

SAP BTP コックピット内で、アカウントエクスプローラにナビゲートし、それぞれのサブアカウントのプロバイダおよび地域フィールドを書き留めます。サブアカウント ID を特定するには、それぞれのサブアカウントを表すタイルを選択します。

Cloud コネクタの管理 UI 内で、Define Subaccount にナビゲートし、以下のデータを入力します。入力を保存すると、クラウドコネクタと SAP BTP サブアカウントの間のセキュアトンネルが確立されます。

SAP BTP コックピット内の接続→ Cloud コネクタで、サブアカウントに接続されている Cloud コネクタのステータスを確認できます。

以下のデモは、最初のサブアカウントの設定方法を示しています。

単一の Cloud コネクタインストール内で複数のサブアカウントに接続できます。これらのサブアカウントでは、Cloud コネクタを異なる設定で同時に使用できます。ドロップダウンボックスからサブアカウントを選択すると、すべてのタブエントリに、このサブアカウント固有の設定、監査、およびステータスが表示されます。監査およびトレースの場合、サブアカウント間の情報は UI のサブアカウント固有の部分とマージされます。

追加のサブアカウントをオンプレミスランドスケープに接続する場合は、Add Subaccount ボタンを押すだけで、最初の接続の確立時に初期設定操作と同様のダイアログが開きます。

これで、クラウドコネクタでサブアカウントを設定できるようになりました。

その他の参考資料：

SAP Help Portal でのサブアカウントの管理

クラウドコネクタとそれが接続するバックエンドシステムとの間の相互認証を設定するには、X.509 クライアント証明書を Cloud コネクタにインポートします。その後、Cloud コネクタでは、クライアント証明書を要求または必要とするバックエンドへのすべての HTTPS 要求に対して、いわゆるシステム証明書が使用されます。Cloud コネクタのクライアント証明書に署名した CA は、Cloud コネクタの接続先となるすべてのバックエンドシステムで認証されている必要があります。

システム証明書の提供方法には、以下の 3 つのオプションがあります。

• 既存の X.509 証明書のアップロード
• 署名済 UI 証明書のアップロード
• 自己署名型システム証明書の生成 (例: デモシナリオの場合)

すべてのオプションは、Cloud コネクタ管理 UI の設定→ON PREMISE→システム証明書で提供されています。

デフォルトでは、HTTPS を使用してオンプレミスシステムに接続する場合、Cloud コネクタはオンプレミスシステムを信頼しません。安全な通信を有効にするには、信頼できる認証機関 (CA) を許可リストに追加する必要があります。これらの CA のいずれかによって発行されたサーバ証明書は、信頼できるとみなされます。

トラストストアを更新するには、Cloud コネクタ管理 UI で、設定→ON PREMISE→トラストストアにナビゲートします。

クラウドアプリケーションからイントラネット上の特定のバックエンドシステムに HTTP 経由でアクセスできるようにするには、そのシステムを Cloud コネクタで指定する必要があります。

これを行うには、Cloud To On-Premise→ACCESS CONTROL で Cloud Connector Administration UI で提供されるウィザードを開始します。

AS ABAP ベースのオンプレミス SAP システムを公開するには、以下を指定します。

1. バックエンドタイプ: ABAP システム。
2. プロトコル: HTTP または HTTPS。
3. Internal Host および Internal Port: イントラネット内でオンプレミス SAP システムにアクセスできる実際のホストおよびポート。
4. Virtual Host および Virtual Port: SAP BTP の HTTP 宛先設定の ﹤URL﹥ プロパティで指定されたとおりにホスト名を正確に入力します。仮想ホストは偽名にすることができ、存在する必要はありません。Virtual Port により、バックエンドシステムのさまざまなエントリポイント (HTTP/80 や HTTPS/443 など) を区別し、それらに対して異なるアクセス制御設定のセットを設定することができます。
5. Allow Principal Propagation: このマッピングに対して任意の種類のプリンシパル伝送を許可するかどうかを定義します。選択した場合、HTTP 要求内でオンプレミス SAP システムに送信されるプリンシパルタイプの種類も定義します。
6. ログオン用のシステム証明書: バックエンドでの認証に Cloud コネクタのシステム証明書を使用するかどうかを選択します。
7. Host In Request Header では、対象サーバに送信されるホストヘッダで使用されるホストを定義します。Use Internal Host を選択すると、実際のホスト名が使用されます。Use Virtual Host を選択すると、仮想ホストが使用されます。
8. 説明: オプションの説明テキスト。
9. 内部ホストのチェック: これにより、Cloud コネクタがオンプレミス SAP システムに実際にアクセスできることを確認できます。

特定のホストおよびポートへのアクセスを許可するだけでなく、そのホストで呼び出すことができるリソース (URL パス、別名: インターネット通信 (ICF) サービス) も指定する必要があります。Cloud コネクタでは、アクセス制御に厳密な許可リストが使用されます。明示的にアクセス権を付与した ICF サービスのみが許可されます。その他のすべての HTTP(S) 要求は、クラウドコネクタによって拒否されます。

以下の演習問題では、アクセス制御を設定します。

概要: これで、HTTP(S) アクセス用に AS ABAP ベースの SAP システムを公開できるようになりました。

追加参照: SAP Help Portal でのアクセス制御の設定