Migrar al conector de datos SAP sin agentes de Microsoft Sentinel

  • Se aplica a: Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

Sigue esta guía para migrar del agente SAP contenedor al conector de datos sin agente para la solución Microsoft Sentinel para aplicaciones SAP.

El agente conector de datos contenedorizado para SAP se retiró el 14 de septiembre de 2026 y no está soportado ni mantenido. Los agentes compatibles con TLS existentes podrían seguir enviando registros a través de la API HTTP Data Collector retirada. El 14 de octubre de 2026, se eliminarán las imágenes de contenedor, lo que impedirá nuevas extracciones, instalaciones, redespliegues, operaciones de escalado, reemplazos y la recuperación ante desastres. Los clientes deben migrar al conector SAP sin agente compatible. Los clientes que usan el conector de datos sin agente no se ven afectados.

¿Por qué pasar al conector de datos sin agente?

El conector sin agente ofrece estas ventajas:

  • Despliegue simplificado sin huella en SAP NetWeaver.
  • Reducción de la carga de mantenimiento sin gestión de contenedores y actualizaciones estándar de SAP.
  • Arquitectura a prueba de futuro basada en SAP Integration Suite y SAP Cloud Connector.
  • Mejorada escalabilidad.

El proceso de migración implica desplegar el conector sin agente junto al agente contenedor existente, validar la recuperación de logs desde el conector sin agente y luego desmantelar el agente contenedorizado.

Las reglas de analítica, libros de trabajo y manuales existentes para la solución Microsoft Sentinel para aplicaciones SAP siguen funcionando con el conector de datos sin agente. Las mejoras de las funciones KQL soportan ambos métodos de ingestión de datos en paralelo. Las funciones utilizan el operador unión difusa para combinar datos de ambas fuentes cuando están disponibles.

Ruta de migración

La creación de nuevos agentes en contenedores está deshabilitada. Utiliza el conector de datos sin agente cuando incorpores nuevos sistemas SAP y migra los agentes contenedores existentes lo antes posible. Migración completa antes de que se eliminen las imágenes del contenedor el 14 de octubre de 2026.

  1. Evaluar: revise la implementación del agente sap en contenedor existente para identificar los sistemas SAP supervisados, los tipos de registro recopilados y las configuraciones personalizadas.
  2. Revisión: Compara las opciones de configuración y capacidades del agente contenedor y del conector de datos sin agente.
  3. Desplegar: Configura el conector de datos sin agente siguiendo Despliega la solución Microsoft Sentinel para aplicaciones SAP.
  4. Validar: Confirma que todas las tablas y tipos de registro SAP requeridos se están recopilando correctamente de tus sistemas SAP mediante el conector de datos sin agente. Utiliza consultas KQL para verificar la ingestión de registros. 
    let startTime = ago(1h);
let endTime = now();
ABAPAuditLog
| where TimeGenerated between (startTime .. endTime)
| summarize Count = count() by SourceSystem, bin(TimeGenerated, 5m)
| order by TimeGenerated desc
  5. Monitorear: Ejecutar tanto el agente contenedorizado como el conector de datos sin agente en paralelo durante un periodo definido para asegurar una recogida de registros estable y completa. Comprueba que las reglas de análisis, los libros de trabajo, las consultas de búsqueda y los guiones de acción devuelvan los resultados esperados con los registros importados por el conector sin agente.
  6. Retirada del servicio: Una vez validado el conector de datos sin agente, retira del servicio el agente SAP en contenedor siguiendo Detener la recopilación de datos de SAP.

Sugerencia

Siga la lista de reproducción de vídeo de migración sin agente para obtener información más reciente para una transición sin problemas.

Importante

Revise las autorizaciones del usuario Sentinel y el rol en los sistemas SAP usados con el agente contenedorizado. El conector de datos sin agente requiere menos autorizaciones pero diferentes en comparación con el agente de SAP en contenedor. Consulte la guía de configuración para obtener más información y el ejemplo de rol de SAP para obtener autorizaciones mínimas.

Warning

La jubilación no cambia los precios ni los contadores. Sin embargo, el conector de datos sin agente utiliza métodos de identificación diferentes al conector de datos contenedorizado. Revisa las exclusiones de facturación para SIDs SAP seleccionados y contacta con tu representante de cuenta antes de migrar.

Paridad de características

El conector de datos sin agente ofrece paridad funcional integrada con el agente de SAP en contenedores para la mayoría de los casos de uso más importantes relacionados con las reglas analíticas y los libros de trabajo. Consulte la referencia de contenido para obtener más información.

Todas las reglas de analítica y los libros de trabajo construidos sobre las fuentes SAP subyacentes mencionadas en la tabla de referencia siguen funcionando sin ningún cambio.

Estas fuentes incluyen, pero no se limitan a, los siguientes registros:

  • Registro de auditoría de seguridad (ABAPAuditLog_CL vs. ABAPAuditLog)

  • Registro de Cambios de Documentos (ABAPChangeDocsLog_CL vs. ABAPChangeDocsLog)

  • Detalles de usuario y de autorización de usuario (varias tablas ABAPUser frente a ABAPUserDetails y ABAPAuthorizationDetails)

El ámbito de la solución se puede ampliar a través de patrones de extensiones disponibles para el conector de datos sin agente. Las listas de reproducción y los cuadernos de estrategias siguen siendo totalmente funcionales sin cambios.

El prefijo "SAPCon" proviene de reglas analíticas eliminadas para mayor claridad.

Las detecciones de nivel de sistema operativo o base de datos de SAP HANA están fuera del ámbito de la comparación porque están cubiertas por sus propios conectores en Microsoft Sentinel.

Nota:

La opción de despliegue entre espacios de trabajo (instalar datos SAP y datos SOC en espacios de trabajo separados) ya no es necesaria con el espacio de trabajo unificado en el portal de Microsoft Defender y ha sido eliminada de la experiencia del portal. Si aún necesitas un despliegue dividido, las APIs ARM subyacentes siguen soportándolo; la opción solo se elimina de la interfaz.

Pasos siguientes

  • Se actualizó por última vez el