提问
SAP Single Sign-On

在具有双向信任的多域多林环境中将Kerberos用于SNC

2020-09-24 17:43发布

站内问答 / Basis
1835 5 4

点击此处---> 群内免费提供SAP练习系统（在群公告中）加入QQ群：457200227（SAP S4 HANA技术交流） 群内免费提供SAP练习系统（在群公告中）大家好， 我需要您的建议。 我...

         点击此处--->   EasySAP.com群内免费提供SAP练习系统（在群公告中）

加入QQ群：457200227（SAP S4 HANA技术交流） 群内免费提供SAP练习系统（在群公告中）


大家好，

我需要您的建议。 我们有一个具有多个AD域的客户，他们彼此信任（双向信任）。 因此，假设我们在顶层具有 corporation.com 作为资源域（根），并且我们获得了 corporate.de 以及 corporation.uk 和 corporation .fr 作为德国，英国和法国的子域。

我们现在需要针对该客户的SAP环境，基于Kerberos（和Web的SPNEGO）设置SNC。

问题：

我们是否需要为每个域创建一个密钥表，还是仅为根域中的每个SAP系统创建一个服务帐户并仅在根域中注册SPN就足够了？

想法：

对于SAP系统上的SNC，我们将创建一个 SAPSNCSKERB.pse ，其中仅包含 ServiceAccount @ CORPORATION的一个密钥标签。 COM ，然后将SPN设置为 SAP/

我认为来自 CORPORATION.DE 的用户将能够连接到SAP 也可以通过以下方式通过SNC进行系统：

  1. SAP服务器的SNC名称为 snc/identity/as = p：CN = ，O = Corporation
  2. 客户端将使用 作为SPN，并向其KDC查询SAP/ @ CORPORATION.DE
  3. CORPORATION.DE 的KDC找不到SPN，而是询问全局目录（整个森林）
  4. ...发生了一些AD魔术...？
  5. 客户端从为 USER@CORPORATION.DE ，但使用 ServiceAccount@CORPORATION.COM 的密码进行了加密，SAP AS可以使用以下密码对其进行解密： 其keytab/PSE。
  6. 服务票证包含用户的Kerberos主体名称

那行得通吗？

谢谢，卡斯滕