Microsoft Entra ID でシングルサインオン用に SAP Fiori を構成する

2025-05-20

この記事では、SAP Fiori と Microsoft Entra ID を統合する方法について説明します。 SAP Fiori を Microsoft Entra ID と統合すると、次のことができます。

SAP Fiori にアクセスできるユーザーを Microsoft Entra ID で制御する。
ユーザーが自分の Microsoft Entra アカウントを使用して SAP Fiori に自動的にサインインできるようにする。
1 つの中央の場所でアカウントを管理します。

[前提条件]

この記事で説明するシナリオでは、次の前提条件が既にあることを前提としています。

アクティブなサブスクリプションを持つ Microsoft Entra ユーザーアカウント。アカウントをまだお持ちでない場合は、無料でアカウントを作成できます。
次のいずれかのロール:

SAP Fiori でのシングルサインオン (SSO) が有効なサブスクリプション。

シナリオの説明

この記事では、テスト環境で Microsoft Entra SSO を構成してテストします。

SAP Fiori では、 SP Initiated SSO がサポートされます

注

SAP Fiori によって開始される iFrame 認証の場合は、サイレント認証に SAML AuthnRequest で IsPassive パラメーターを使用することをお勧めします。 IsPassive パラメーターの詳細については、Microsoft Entra SAML のシングルサインオン情報を参照してください。

ギャラリーからの SAP Fiori の追加

Microsoft Entra ID への SAP Fiori の統合を構成するには、ギャラリーからマネージド SaaS アプリのリストに SAP Fiori を追加する必要があります。

Microsoft Entra 管理センターに、少なくともクラウドアプリケーション管理者としてサインインします。
Entra ID>エンタープライズアプリ>新しいアプリケーションに移動します。
[ギャラリーからの追加] セクションで、検索ボックスに「SAP Fiori」と入力します。
結果パネルから SAP Fiori を選択し、アプリを追加します。お使いのテナントにアプリが追加されるのを数秒待機します。

または、エンタープライズアプリ構成ウィザードを使用することもできます。このウィザードでは、テナントにアプリケーションを追加したり、ユーザー/グループをアプリに追加したり、ロールを割り当てたり、SSO 構成を確認したりできます。 Microsoft 365 ウィザードの詳細を確認します。

SAP Fiori 用の Microsoft Entra SSO を構成してテストする

B.Simon というテストユーザーを使用して、SAP Fiori に対する Microsoft Entra SSO を構成してテストします。 SSO を機能させるには、Microsoft Entra ユーザーと SAP Fiori の関連ユーザーとの間にリンク関係を確立する必要があります。

SAP Fiori で Microsoft Entra SSO を構成してテストするには、次の手順を行います。

Microsoft Entra SSO を構成 する - ユーザーがこの機能を使用できるようにします。
1. Microsoft Entra テストユーザーの作成 - B.Simon で Microsoft Entra のシングルサインオンをテストします。
2. Microsoft Entra テストユーザーを割り当てる - B.Simon が Microsoft Entra シングルサインオンを使用できるようにします。
SAP Fiori SSO の構成 - アプリケーション側でシングルサインオン設定を構成します。
1. SAP Fiori テストユーザーを作成 - B.Simon の対応として、SAP Fiori のユーザーを作成し、Microsoft Entra にリンクさせます。
SSO のテスト - 構成が機能するかどうかを確認します。

Microsoft Entra SSO の構成

Microsoft Entra SSO を有効にするには、次の手順に従います。

新しい Web ブラウザーウィンドウを開き、SAP Fiori 企業サイトに管理者としてサインインします。
http サービスと https サービスがアクティブであり、関連するポートがトランザクションコード SMICM に割り当てられていることを確認します。
シングルサインオンが必要な SAP Business Client for SAP システム T01 にサインインします。次に、HTTP セキュリティセッション管理を有効にします。
1. トランザクションコード SICF_SESSIONSに移動します。すべての関連プロファイルパラメーターとその現在の値が表示されます。次の例のようになります。
```
login/create_sso2_ticket = 2
login/accept_sso2_ticket = 1
login/ticketcache_entries_max = 1000
login/ticketcache_off = 0  login/ticket_only_by_https = 0
icf/set_HTTPonly_flag_on_cookies = 3
icf/user_recheck = 0  http/security_session_timeout = 1800
http/security_context_cache_size = 2500
rdisp/plugin_auto_logout = 1800
rdisp/autothtime = 60
```
  注
  
  組織の要件に基づいて、パラメーターを調整します。上のパラメーターは、単に例として挙げたものです。
2. 必要に応じて SAP システムのインスタンス (既定) プロファイルでパラメーターを調整し、SAP システムを再起動します。
3. 関連するクライアントをダブルクリックして、HTTP セキュリティセッションを有効にします。
4. 以下の SICF サービスをアクティブ化します。
```
/sap/public/bc/sec/saml2
/sap/public/bc/sec/cdc_ext_service
/sap/bc/webdynpro/sap/saml2
/sap/bc/webdynpro/sap/sec_diag_tool (This is only to enable / disable trace)
```
Business Client for SAP システムのトランザクションコード SAML2 [T01/122] に移動します。新しいブラウザーウィンドウで構成 UI が開きます。この例では、SAP システム 122 の Business Client を使用します。
ユーザー名とパスワードを入力し、[ログオン] を選択 します。
[ プロバイダー名 ] ボックスで、 T01122 を http://T01122に置き換え、[ 保存] を選択します。

注

既定では、プロバイダー名は <sid><client> という形式です。 Microsoft Entra ID では、<プロトコル>://<名前> という形式の名前が必要です。 Microsoft Entra ID で複数の SAP Fiori ABAP エンジンを構成できるように、プロバイダー名を https://<sid><クライアント> として保持することをお勧めします。
[ ローカルプロバイダー] タブ>Metadata を選択します。
[SAML 2.0 メタデータ] ダイアログボックスで、生成されたメタデータ XML ファイルをダウンロードし、コンピューターに保存します。
Microsoft Entra 管理センターに、少なくともクラウドアプリケーション管理者としてサインインします。
Entra ID>Enterprise apps>SAP Fiori>シングルサインオンにアクセスします。
[ シングルサインオン方法の選択 ] ページで、[SAML] を選択 します。
[ SAML でのシングルサインオンの設定 ] ページで、[ 基本的な SAML 構成 ] の鉛筆アイコンを選択して設定を編集します。
[ 基本的な SAML 構成] セクションで、 サービスプロバイダーメタデータファイルがある場合は、次の手順を実行します。
1. [ メタデータファイルのアップロード] を選択します。
2. フォルダーロゴを選択してメタデータファイルを選択し、[アップロード] を選択します。
3. メタデータファイルが正常にアップロードされると、[基本的な SAML 構成] ウィンドウに識別子と応答 URL の値が自動的に設定されます。 [ サインオン URL ] ボックスに、次のパターンを持つ URL を入力します: https://<your company instance of SAP Fiori>。
  注
  
  一部のお客様からは、インスタンスに対して構成された応答 URL に誤りがあるというエラーの報告を受けています。このようなエラーが発生した場合は、これらの PowerShell コマンドを使用します。まず、アプリケーションオブジェクト内の応答 URL をこの応答 URL で更新してから、サービスプリンシパルを更新します。 Get-MgServicePrincipal を使用して、サービスプリンシパル ID 値を取得します。
```
$params = @{
   web = @{
      redirectUris = "<Your Correct Reply URL>"
   }
}
Update-MgApplication -ApplicationId "<Application ID>" -BodyParameter $params
Update-MgServicePrincipal -ServicePrincipalId "<Service Principal ID>" -ReplyUrls "<Your Correct Reply URL>"
```
SAP Fiori アプリケーションは、特定の形式の SAML アサーションを受け入れます。このアプリケーションに対して次の要求を構成します。これらの属性値を管理するには、[SAML を 使用した単一 Sign-On の設定 ] ウィンドウで [編集] を選択 します。
[ ユーザー属性と要求 ] ウィンドウで、前の図に示すように SAML トークン属性を構成します。次に、次の手順を実行します。
1. [ 編集] を 選択して、[ ユーザー要求の管理 ] ウィンドウを開きます。
2. 変換の一覧で、ExtractMailPrefix()を選択します。
3. パラメーター 1 の一覧で user.userprincipalname を選択します。
4. [保存] を選択します。
[ SAML でのシングルサインオンの設定 ] ページの [ SAML 署名証明書 ] セクションで、 フェデレーションメタデータ XML を探し、[ ダウンロード ] を選択して証明書をダウンロードし、コンピューターに保存します。
[ SAP Fiori のセットアップ ] セクションで、要件に基づいて適切な URL をコピーします。

Microsoft Entra テストユーザーの作成と割り当て

ユーザーアカウントの作成と割り当てのクイックスタートのガイドラインに従って、B.Simon というテストユーザーアカウントを作成します。

SAP Fiori の SSO の構成

SAP システムにサインインし、トランザクションコード SAML2 に移動します。新しいブラウザーウィンドウで SAML 構成ページが開かれます。
信頼できる ID プロバイダー (Microsoft Entra ID) のエンドポイントを構成するには、[ 信頼されたプロバイダー ] タブを選択します。
[ 追加] を選択し、コンテキストメニューから [メタデータファイルのアップロード ] を選択します。
ダウンロードしたメタデータファイルをアップロードします。 [ 次へ] を選択します。
次のページの [ エイリアス ] ボックスにエイリアス名を入力します。たとえば、 aadsts などです。 [ 次へ] を選択します。
[ダイジェストアルゴリズム] ボックスの値が SHA-256 であることを確認します。 [ 次へ] を選択します。
[ 単一 Sign-On エンドポイント] で [ HTTP POST] を選択し、[ 次へ] を選択します。
[ 単一ログアウトエンドポイント] で、[ HTTP リダイレクト] を選択し、[ 次へ] を選択します。
[ アーティファクトエンドポイント] で、[ 次へ ] を選択して続行します。
[ 認証要件] で [完了] を選択 します。
[信頼されたプロバイダー>識別フェデレーション] を選択します (ページの下部)。 [ 編集] を選択します。
追加を選択します。
[ サポートされている NameID 形式 ] ダイアログボックスで、[ 未指定] を選択します。 [ OK] を選択します。

ユーザー ID ソースとユーザー ID マッピングモードの値によって、SAP ユーザーと Microsoft Entra 要求の間のリンクが決まります。

シナリオ 1: SAP ユーザーから Microsoft Entra へのユーザーマッピング
1. SAP の NameID 形式の詳細 "Unspecified" の下で、詳細を書き留めます。
2. Azure portal の [ ユーザー属性と要求] で、Microsoft Entra ID から必要な要求を書き留めます。
シナリオ 2: SU01 で構成された電子メールアドレスに基づいて SAP ユーザー ID を選択します。このケースでは、SSO を必要とする各ユーザーに対して、SU01 でメール ID を構成する必要があります。
1. SAP の NameID 形式の詳細 "Unspecified" の下で、詳細を書き留めます。
  
  SAP の [NameID フォーマット「Unspecified」ダイアログボックス] についての詳細
2. Azure portal の [ ユーザー属性と要求] で、Microsoft Entra ID から必要な要求を書き留めます。
[ 保存] を選択し、[ 有効] を選択して ID プロバイダーを有効にします。
メッセージが表示されたら 、[OK] を選択します 。

SAP Fiori のテストユーザーの作成

このセクションでは、SAP Fiori で Britta Simon というユーザーを作成します。組織内の SAP 専門家チームまたは組織の SAP パートナーと協力して、SAP Fiori プラットフォームにユーザーを追加してください。

SSO のテスト

SAP Fiori で ID プロバイダー Microsoft Entra ID がアクティブ化された後、次のいずれかの URL にアクセスしてみて、シングルサインオンをテストします (ユーザー名とパスワードの入力は求められないはずです)。
- https://<sap-url>/sap/bc/bsp/sap/it00/default.htm
- https://<sap-url>/sap/bc/bsp/sap/it00/default.htm
注

<sap-url> は実際の SAP のホスト名に置き換えます。
テスト URL によって、SAP の以下のテストアプリケーションページに移動するはずです。ページが開いた場合は、Microsoft Entra シングルサインオンが正常に設定されています。
ユーザー名とパスワードの入力を求められた場合は、問題の診断に役立つトレースを有効にします。トレースには次の URL を使用します。

https://<sap-url>/sap/bc/webdynpro/sap/sec_diag_tool?sap-client=122&sap-language=EN#。

SAP Fiori を構成したら、組織の機密データを流出と侵入からリアルタイムで保護するセッション制御を適用することができます。セッション制御は条件付きアクセスから拡張されます。 Microsoft Defender for Cloud Apps でセッション制御を適用する方法について説明します。

フィードバック

このページはお役に立ちましたか?

次の方法で共有

Microsoft Entra ID でシングル サインオン用に SAP Fiori を構成する