Manuelle Migration verwenden

Die Verwendung einer cloudbasierten Integrationsplattform stellt dem Softwareanbieter (SAP), der die Plattform hostet, und den Kunden, die die Plattform verwenden, spezielle Sicherheitsanforderungen.

Kunden, die Cloud Integration nutzen, sind sich einig, dass ein wesentlicher Teil ihrer sensiblen Daten (und ihrer Kunden) von einer Infrastruktur, die nicht sich selbst gehört, verarbeitet und dort gespeichert wird.

Die Kernaufgabe einer Integrationsplattform besteht darin, als Versandort für Nachrichten zu dienen, die sensible Kundendaten enthalten können. In erster Linie müssen diese Nachrichten vor Abhören und unberechtigtem Zugriff geschützt werden.

Um Nachrichten sicher von einem Quellsystem an ein Zielsystem über Middleware wie SAP Cloud Integration zu übertragen, müssen mehrere Schlüsseltypen von Sicherheitskomponenten auf jedem Cloud-Integration-Tenant sicher gespeichert und verwaltet werden.

Diese Sicherheitskomponenten können wie folgt kategorisiert werden:

• Eingehende HTTP-Verbindung konfigurieren

  Senderadapter ermöglichen es einem Sendersystem, Nachrichten über das HTTP-Protokoll mit mehreren Benutzerauthentifizierungsoptionen an Cloud Integration zu senden. Zu diesen Optionen gehören:

  • Client-Zertifikatsauthentifizierung.
  • OAuth mit Client-Credentials-Erteilung.
  • Standardauthentifizierung mit Client-Credentials aus dem Serviceschlüssel.
  • Standardauthentifizierung für einen Benutzer, der bei einem Identity-Provider registriert ist.

  Ein SAP-BTP-Tenant-Administrator kann die erforderlichen Service-Schlüssel generieren.

• Sicherheitsmaterial

  Auf der Seite Operationen des Cloud-Integration-Tenants bietet der Bereich Sicherheit verwalten einen Überblick über sicherheitsbezogene Artefakte. Wählen Sie die Kachel Sicherheitsmaterial, um den Bereich Sicherheitsmaterial verwalten zu öffnen, in dem Sicherheitsmaterialien angelegt und hochgeladen werden können.

• Keystore-Einträge

  Die Sicht Cloud Integration Operations enthält den Keystore-Monitor. Mit dem Keystore-Monitor kann ein Tenant-Administrator den Tenant-Keystore und seine Einträge (X.509-Zertifikate und Schlüsselpaare) verwalten.

• Zugriffsrichtlinien

  Zugriffsrichtlinien in SAP BTP werden verwendet, um Aktionen einzuschränken, die für ein Artefakt ausgeführt werden können, und um den Datenzugriff zur Laufzeit einzuschränken. Die Richtlinien können den Zugriff auf Integration-Flows, verschiedene API-Definitionen, JMS-Message-Queues, globale Datastores und Variablen steuern. Sie bieten eine detaillierte Kontrolle, indem sie verschiedenen Benutzern oder Gruppen unterschiedliche Zugriffsberechtigungen zuordnen.

  Zugriffsrichtlinien können definiert werden, indem Sie eine benutzerdefinierte Rolle anlegen, den Zugriff über die Web-UI definieren und die Rolle den relevanten Benutzern zuordnen. Verschiedene Aktionen wie Bearbeiten, Kopieren, Löschen und Konfigurieren können unter diesen Richtlinien eingeschränkt werden. Zugriffsrichtlinien dienen dem Schutz von Geschäftsdaten und der Verhinderung unberechtigter Zugriffe.

• JDBC-Material

  Die Seite Operations des Cloud-Integration-Tenants enthält den Bereich Manage Security, der sicherheitsbezogene Artefakte anzeigt und JDBC-Materialien (Java Database Connectivity) verwaltet. Sie können über die Kachel JDBC-Material darauf zugreifen.

  Es werden zwei Arten von JDBC-Materialien gespeichert: JDBC-Datenquellen und JDBC-Treiber. Datenquellen ermöglichen das Anlegen und Verwalten von Artefaktverbindungen für die Interaktion mit Datenbanken, einschließlich Informationen zum Datenbanktyp und relevanten Konfigurationsparametern. JDBC-Treiber werden in der Regel vom Tenant-Administrator konfiguriert und ermöglichen die Verbindung zu einer von einem Drittanbieter verwalteten Datenbank, die vom Datenbankanbieter bereitgestellt werden muss.

• Benutzerrollen

  Einem Benutzerkonto, das eine Person darstellt, können verschiedene Rollen zugeordnet sein, die die Berechtigungen des Benutzers in Organisationen und Spaces festlegen.

  Die Rolle definiert, auf welche Funktionen ein Benutzer zugreifen kann und welche Aktionen er ausführen kann. Benutzerrollen können in der Ansicht Überwachen im Abschnitt Sicherheit verwalten angezeigt werden. Es werden sowohl von SAP definierte als auch vom Tenant-Administrator definierte Rollen angezeigt. Rollen können hinzugefügt, geändert oder gelöscht werden, während die tatsächliche Zuordnung zu Benutzern von einem autorisierten Administrator über das SAP-BTP-Cockpit vorgenommen werden muss.

Destinationen sind wichtige Bausteine in SAP BTP und werden verwendet, um Verbindungen für die ausgehende Kommunikation von Ihrer Anwendung zu Remote-Systemen zu definieren. Diese Remote-Systeme können On-Premise oder in der Cloud sein. In der Regel kann Cloud Integration direkt auf die virtuellen Systeme zugreifen, die vom Cloud Connector bereitgestellt werden, mit Ausnahme des RFC-Kanals. In Cloud Integration muss für den RFC-Kanal eine Destination im SAP-BTP-Cockpit konfiguriert werden.

Ähnlich wie Destinationen in SAP BTP können Sie in SAP Process Orchestration für einige Kommunikationskanäle RFC-/HTTP-Destinationen pflegen, um sie so oft wie nötig wiederzuverwenden, z.B. wenn Sie SAP Process Orchestration mit Ihrem ECC-Empfänger verbinden möchten.

Eine Destination hat einen Namen, eine URL, Authentifizierungsdetails und andere Konfigurationsdetails, die für die Anforderung und den Typ der Destination spezifisch sind.

Eine vollständige Hilfedokumentation zur Verwendung des Destinationseditors (und anderer Methoden zur Pflege von Destinationen) und zur Einrichtung der verschiedenen Destinationstypen finden Sie unter SAP BTP Connectivity - Initial Setup.

Um die Sicherheit und den Schutz des Nachrichtenaustauschs zu gewährleisten, sind mehrere Lösungen möglich. Es ist möglich, Methoden zum Ver- und Entschlüsseln des Nachrichteninhalts zu verwenden und die Nachricht digital zu signieren und zu verifizieren. Eine weitere Möglichkeit, die Kommunikation auf Transportebene zu sichern, besteht darin, das HTTPS- oder SFTP-Protokoll auszuwählen und bestimmte Authentifizierungsmethoden zu verwenden.

Auf das in einem Cloud-Integration-Tenant implementierte und verwaltete Sicherheitsmaterial wird zur Laufzeit von Integration-Flows und APIs zugegriffen, um zwei Arten von Sicherheit zu implementieren:

• Die Transportebenensicherheit (TLS) umfasst die Verschlüsselung der Verkehrskommunikation zwischen zwei Systemen über ein Netzwerk hinweg.

  Die Sicherheit auf Transportebene bietet Kommunikationssicherheit und Schutz der Datenintegrität und -sicherheit zwischen zwei kommunizierenden Anwendungen. Sie wird für Webbrowser und andere Anwendungen verwendet, die einen sicheren Datenaustausch in einem Netzwerk erfordern.

• Die Sicherheit auf Nachrichtenebene (MLS) umfasst die Verschlüsselung der tatsächlich übertragenen Nachrichten-Payload und sie bleiben verschlüsselt, bis die Payload explizit mit einem gültigen Schlüssel entschlüsselt wird.

  Mit der Sicherheit auf Nachrichtenebene können Sie eine Nachricht digital verschlüsseln oder entschlüsseln und eine Nachricht (oder beides) signieren oder verifizieren. Sie kann verwendet werden, wenn die Sicherheit auf Transportebene nicht implementiert werden kann. Dies geschieht, wenn ein alter Kommunikationsendpunkt diese Option nicht unterstützt.

Weitere Informationen zur Sicherheit auf Transportebene oder zur Sicherheit auf Nachrichtenebene in SAP Integration Suite finden Sie unter folgendem Link: https://help.sap.com/docs/cloud-integration/sap-cloud-integration/security-elements-transport-level-security?locale=en-US