SAP システムをMicrosoft Sentinelに接続する

SAP アプリケーションのMicrosoft Sentinel ソリューションが正しく動作するためには、まず SAP データをMicrosoft Sentinelに取り込む必要があります。 これを行うには、Microsoft SentinelのSAPエージェントレスデータコネクタを接続してください。

この記事に従う前に、前のデプロイ手順 ( ワークスペースへの SAP ソリューションのインストール と SAP システムの準備) が完了していることを確認してください。 前提条件の完全な一覧については、「前提条件」セクション を 参照してください。

この記事の内容は、 セキュリティ チームに関連します。

前提条件

SAP システムをMicrosoft Sentinelに接続する前に、次の手順を実行します。

• デプロイの前提条件がすべて満たされていることを確認します。 詳細については、「SAP アプリケーションのソリューションMicrosoft Sentinelデプロイするための前提条件」を参照してください。

  Important

  関連するAzureリソースを正常にデプロイするには、Entra IDアプリケーション開発者以上のロールが必要です。 このアクセス許可がない場合は、プロセスを完了するためのアクセス許可を持つ同僚と協力してください。 完全な手順については、「 エージェントレス データ コネクタの接続 」セクションを参照してください。

• Microsoft Sentinel ワークスペースに SAP アプリケーション用のMicrosoft Sentinel ソリューションがデプロイされていることを確認します。 詳細については、SAP アプリケーションのMicrosoft Sentinel ソリューションのデプロイを参照してください。

• SAP システムが完全に準備されていることを確認します。 詳細については、Microsoft Sentinel ソリューション用の SAP システムの準備を参照してください。

コネクタの導入動画を視聴する

オンボード ビデオを使用して、このドキュメントで説明されているMicrosoft Sentinel ソリューション for SAP - エージェントレス データ コネクタのデプロイと構成をサポートします。

エージェントレス データ コネクタを接続する

1. Microsoft Sentinelで、Configuration > データ コネクタ ページに移動し、Microsoft Sentinel for SAP - agentless データ コネクタを見つけます。

2. Configuration 領域で、ステップ 1 を展開します。必要なAzure リソース/SOC エンジニアの自動デプロイをトリガーし、必要なAzure リソースのデプロイを選択します。

   Important

   Entra ID Application Developer ロール以上を持っていなくても、必要な Azure リソースのデプロイを選択すると、"必要な Azure リソースのデプロイ" などのエラー メッセージが表示されます (エラーは異なる場合があります)。 つまり、データ収集規則 (DCR) とデータ収集エンドポイント (DCE) が作成されましたが、Entra ID アプリの登録が承認されていることを確認する必要があります。 引き続き正しい承認を設定します。

   Note

   SAP アプリケーション (エージェントレス) のMicrosoft Sentinel ソリューションに必要なAzure リソースをデプロイする場合、Azure Resource Manager (ARM) がリソース プロバイダーの操作を完了するまでに最大 45 秒かかる場合があります。 この間、デプロイが遅れているように見える場合があります。 この動作は想定内です。 操作が完了するのを待ってから、再試行または再デプロイします。

3. 次のいずれかを行ってください:

   • Entra ID アプリケーション開発者ロール以上の場合は、次の手順に進みます。
   • Entra ID アプリケーション開発者ロール以上が付与されていない場合:
     • DCR ID を、必要なアクセス許可を持つEntra ID 管理者または同僚と共有します。
     • Entra ID アプリ登録のクライアント ID を使用して、サービス プリンシパルの割り当てとして、Monitoring Metrics Publisher ロールが DCR に割り当てられていることを確認してください。
     • DCR での承認に使用するEntra ID アプリ登録からクライアント ID とクライアント シークレットを取得します。 SAP 管理者は、クライアント ID とクライアント シークレット情報を使用して DCR に投稿します。

4. 下にスクロールし、[ SAP クライアントの追加] を選択します。

5. [ SAP クライアントへの接続 ] サイド ウィンドウで、次の詳細を入力します。

   フィールド	Description
   RFC 宛先名	BTP 宛先から取得した RFC 宛先の名前。
   SAP エージェントレス クライアント ID	プロセス・インテグレーション・ランタイム・サービス・キーのJSONファイルから取得したclientidの値。
   SAP エージェントレス クライアント シークレット	Process Integration Runtime のサービスキー JSON ファイルから取得した clientsecret の値。
   承認サーバー URL	Process Integration Runtime サービス キーの JSON ファイルから取得した tokenurl の値。 例えば： https://your-tenant.authentication.region.hana.ondemand.com/oauth/token
   Integration Suite エンドポイント	プロセスインテグレーションランタイムサービスキー JSON ファイルから取得された url 値。 例えば： https://your-tenant.it-account-rt.cfapps.region.hana.ondemand.com

6. 接続を選択します。

SAP システムを大規模にオンボードする

SAP システムを大規模な SAP アプリケーション向け Sentinel ソリューションにオンボードするには、API と CLI ベースのアプローチをお勧めします。 Microsoft Sentinel用 SAP Integration Suite ツールの使用を開始します。

BTP クライアント シークレットをローテーションする

データ コネクタで使用される BTP サブアカウント クライアント シークレットを定期的にローテーションすることをお勧めします。 プラットフォームベースの自動化されたアプローチについては、Azure Key Vaultを使用した SAP BTP トラスト ストア証明書の自動更新に関する記事、または有効期限の考え方を一度だけ停止する方法 (SAP ブログ) を参照してください。

Microsoft Sentinel用の SAP Integration Suite ツールは、既存のデータ コネクタを新しいシークレットで更新する自動プロセスを示しています。

データ コネクタの動作をカスタマイズする (省略可能)

Microsoft Sentinel 用の SAP エージェントレス データ コネクタがある場合は、SAP Integration Suite を使用して、エージェントレス データ コネクタが SAP システムから Microsoft Sentinel にデータを取り込む方法をカスタマイズできます。

この手順は、SAP エージェントレス データ コネクタの動作をカスタマイズする場合にのみ関連します。 既定の機能に問題がない場合は、この手順をスキップします。 たとえば、Sybase を使用している場合は、 collect-changedocs-logs パラメーターを構成して、SAP Integration Suite 統合フローの Change Docs ログのインジェストをオフにすることをお勧めします。 データベースのパフォーマンスの問題により、Change Docs ログ Sybase の取り込みはサポートされていません。

データ コネクタの動作をカスタマイズするための前提条件

データ コネクタの動作をカスタマイズする前に、次の前提条件が満たされていることを確認します。

• 値マッピングを作成および編集するためのアクセス許可を持つ SAP Integration Suite にアクセスできる必要があります。
• 値マッピング成果物のホスト専用の、既存または新規の個別の SAP 統合パッケージ。 マーケットプレースからインストールされた SAP 統合パッケージのMicrosoft Sentinelは構成専用モードであるため、そこに追加することはできません。

値マッピング成果物を作成し、設定をカスタマイズする

SAP Integration Suite テナントに値マッピング成果物を作成し、オーバーライドするパラメーターのみを追加します。 定義しないパラメーターは、既定値を保持します。

成果物を所定の位置に取得するには、次の 2 つのオプションがあります。

• オプション 1 (推奨): SAP コミュニティ リポジトリのMicrosoft Sentinelから事前構築済みのキー値マップをインポートします。 リポジトリには、カスタマイズ用に事前に設定された データ コレクター のカスタマイズ (キー値マップ) ブループリントが付属しています。 リリース ページから最新のベース パッケージをダウンロードし、SAP Integration Suite テナントにインポートします。 次に、次のカスタマイズ手順に進みます。

  Tip

  SAP コミュニティ リポジトリのMicrosoft Sentinelでは、エージェントレス データ コネクタと共に導入できる他のMicrosoft提供の統合レシピ (SAP Ariba、SAP S/4HANA Cloud public Edition (GROW)、SAP User Block、SAP Table Reader など) もホストされます。 統合成果物フォルダーを参照して、完全な一覧と最新の一覧を確認します。 コミュニティコントリビューションを歓迎します。

• オプション 2: 成果物を手動で作成します。 専用パッケージで、新しい 値マッピング 成果物を作成します。 詳細については、 値マッピングの作成に関する SAP ドキュメントを参照してください。

値マッピング成果物が配置されたら、カスタマイズしてアクティブ化します。

1. データ コネクタの動作をカスタマイズするエントリを追加します。 次のいずれかの方法を使用します。

   • すべての SAP システムで設定をカスタマイズするには、ソース キーとしてパラメーター名を使用し、ターゲット値としてオーバーライドを使用して、 グローバル 双方向マッピング機関の下に値マッピングを追加します。
   • 特定の SAP システムの設定をカスタマイズするには、SAP システムごとに個別の双方向マッピング機関を作成します。 カスタマイズする RFC 宛先の名前と完全に一致するように各機関に名前を付け (たとえば、 myRfc, key, myRfc, value)、その機関の下にパラメーター エントリを追加します。

   詳細については、 値マッピングの構成に関する SAP ドキュメントを参照してください。

2. 値マッピング成果物を保存して デプロイ して、更新された設定をアクティブにします。

値マッピング成果物に入力する内容のガイドとして、次の表を使用します。 オーバーライドするパラメーターの行のみを追加します。

次の表に、Microsoft Sentinel 用の SAP エージェントレス データ コネクタのカスタマイズ可能なパラメーターを示します。

コレクションの全般制御

次のパラメーターは、エージェントレス コネクタの全体的なデータ収集動作を制御します。

監査ログ パラメーター

次のパラメーターは、監査ログの収集動作を制御します。

Docs パラメーターを変更する

次のパラメーターは、Change Docs ログ収集を制御します。

ユーザーの詳細パラメーター

次のパラメーターは、ユーザーの詳細コレクションを制御します。

ロール承認パラメーター

次のパラメーターは、ロール承認データの収集を制御します。

セーフガードの切り捨て動作

いずれかの制限に達すると、マーカー レコードが出力に書き込まれ、どの制限に達したか、実際のレコード数、および収集時間枠を示す説明メッセージが表示されます。 2 つの制限により、Sentinel で区別できるように、別々のマーカー（TRUNCATED_HEADERS と TRUNCATED_DETAILS）が生成されます。

接続と正常性を確認する

SAPデータコネクタを展開した後、コネクタの健康状態と接続性を確認してください。 詳細については、「 SAP システムの正常性と役割を監視する」を参照してください。

コネクタがデプロイされたら、SAP アプリケーション コンテンツのMicrosoft Sentinel ソリューションの構成に進みます。 具体的には、ウォッチリストで詳細を構成することは、検出と脅威の保護を有効にする上で不可欠な手順です。

次のステップ