Ticket de inicio de sesión de SAP

A continuación se muestra una breve lista de propiedades importantes de SAP NetWeaver Application Server Java para tickets de inicio de sesión de SAP. ^{[ 2 ]}

• login.ticket_client: una cadena numérica de tres caracteres que se utiliza para indicar el cliente que se escribe en el ticket de inicio de sesión de SAP.
• login.ticket_lifetime: indica el período de validez del boleto en términos de horas y minutos (es decir, HH:MM).
• login.ticket_portalid: sí/no/automático para escribir el ID del portal en el ticket.
• ume.login.mdc.hosts: permite que SAP NetWeaver Application Server Java solicite tickets de inicio de sesión a hosts fuera del dominio del portal.
• ume.logon.httponlycookie: verdadero/falso para seguridad contra código de script malicioso del lado del cliente, como JavaScript.
• ume.logon.security.enforce_secure_cookie - Refuerza la comunicación SSL
• ume.logon.security.relax_domain.level: Relaja los subdominios para los que el ticket de inicio de sesión de SAP es válido.

El filtro está disponible a partir de SAP Enterprise Portal 5.0. Para utilizar el filtro en el inicio de sesión único, la aplicación web debe admitir la autenticación mediante variables de encabezado HTTP . El filtro autentica el ticket de inicio de sesión mediante el certificado digital del portal empresarial. Tras la autenticación, se extrae el nombre de usuario del ticket de inicio de sesión y se inserta en el encabezado HTTP. Se puede configurar la variable de encabezado HTTP en el archivo de configuración del filtro (por ejemplo, remote_user_alias).

• Tivoli Access Manager ha desarrollado un servicio de autenticación compatible con SAP Logon Tickets ^{[ 3 ].}
• Sun ONE Identity ha desarrollado una solución que permite a las empresas utilizar SAP Internet Transaction Server (ITS 2.0) y SAP Pluggable Authentication Service (PAS) para la integración con SAP y el inicio de sesión único. Este método utiliza tickets de inicio de sesión y SAPCRYPTOLIB (biblioteca de cifrado de SAP) para el cifrado de servidor a servidor de SAP. La solución de Sun utiliza el método de autenticación externa mediante bibliotecas dinámicas (DLL). ^{[ 4 ]}
• IBM Lotus Domino se puede utilizar como un componente de verificación de tickets técnicos ^{[ 5 ].}

SAP proporciona archivos de ejemplo en Java y C que pueden ofrecer algunas pistas sobre cómo implementar la biblioteca en el código fuente de un lenguaje de programación de alto nivel como Visual Basic, C o Java.

Las aplicaciones web de Microsoft generalmente solo admiten los métodos de autenticación de autenticación básica o autenticación integrada de Windows (Kerberos) proporcionados por el Servidor de Información de Internet (ISA). Sin embargo, Kerberos no funciona bien en Internet debido a la configuración típica de los firewalls del lado del cliente. El inicio de sesión único (SSO) a los sistemas backend de Microsoft en escenarios de extranet se limita al mecanismo de ID de usuario y contraseña. Basándose en la nueva función denominada transición de protocolo mediante delegación restringida, SAP desarrolló el módulo SSO22KerbMap. Este nuevo filtro ISAPI solicita un ticket Kerberos restringido para los usuarios identificados por un ticket de inicio de sesión SAP válido, que puede utilizarse para el SSO a las aplicaciones web de Microsoft en el backend. ^{[ 6 ]}

Es posible utilizar tickets de inicio de sesión de SAP en un entorno Java que no sea de SAP con una pequeña modificación del código. ^{[ 7 ] [ 8 ]}

Los tickets de inicio de sesión permiten el inicio de sesión único en los servidores de aplicaciones ABAP. ^{[ 9 ]} Sin embargo, existen requisitos previos:

• Los nombres de usuario deben ser los mismos para todos los sistemas SAP en los que el usuario desee utilizar el inicio de sesión único. Las contraseñas pueden ser diferentes.
• Los navegadores web deben configurarse para aceptar cookies.
• Todos los servidores web para servidores ABAP deben estar ubicados en el mismo DNS.
• El servidor emisor debe poder firmar digitalmente los tickets de inicio de sesión (es decir, se requieren la clave pública y la clave privada ).
• Los sistemas que aceptan tickets de inicio de sesión deben tener acceso al certificado de clave pública del servidor emisor.

Los servidores Java permiten el inicio de sesión único en los servidores de aplicaciones Java. ^{[ 10 ]} Sin embargo, existen requisitos previos:

• Los nombres de usuario deben ser los mismos para todos los sistemas SAP en los que el usuario desee utilizar el inicio de sesión único. Las contraseñas pueden ser diferentes.
• Los navegadores web deben configurarse para aceptar cookies.
• Todos los servidores web para servidores ABAP deben estar ubicados en el mismo DNS.
• Los relojes para la recepción de billetes están sincronizados con el reloj del servidor emisor.
• El servidor emisor debe poder firmar digitalmente los tickets de inicio de sesión (es decir, se requieren la clave pública y la clave privada ).
• Los sistemas que aceptan tickets de inicio de sesión deben tener acceso al certificado de clave pública del servidor emisor.

• Los tickets de inicio de sesión de SAP no utilizan comunicaciones de red seguras (SNC).
• Problemas típicos relacionados con la seguridad de las cookies almacenadas en un navegador web . Algunos ejemplos son: ^{[ 11 ]}
  • Copiar el ticket de inicio de sesión de SAP mediante la interceptación del tráfico de red o ingeniería social y almacenarlo en otro ordenador para acceder al portal empresarial de SAP.

• Agregación de cuentas mediante SAP NetWeaver
• Utilice tecnología de inicio de sesión único basada en comunicaciones de red seguras de proveedores de seguridad de software independientes.