Configuración Single SignOn

La implementación de sistemas de Single SignOn nos permite sustituir las pesadas validaciones en cada uno de los sistemas donde trabajamos y a la vez evita el uso de usuarios genéricos que no garantizan la seguridad de nuestros sistemas. Todo esto se realiza mediante un mecanismo de autentificación entre aplicaciones transparente al usuario. La base es aprovechar la primera validación en el sistema operativo, para que con las credenciales adquiridas en esta validación pueden autentificarse en el resto de aplicaciones.

Una de las formas más extendidas de implementar Single SignOn es mediante la utilización del protocolo Kerberos. Este protocolo nos permitirá validarnos entre diferentes aplicaciones sin tener que utilizar mecanismos de Usuario/password en estas validadciones. Normalmente todos los Sitemas Operativos soportan protocolo Kerberos para la autentificación, el procedimiento es similar en todos los sistemas operativos, al entrar en el sistema operativo este genera un ticket que a su vez te permite solicitar ticket de acceso a las diferentes aplicaciones. A su vez las aplicaciones se deben configurar para autorizar la validación mediante ticket. De este modo un usuario de dominio Windows, solo con conectarse al dominio obtendría un ticket que le permitirá entrar en SAP sin necesidad de teclear usuario y clave.

Otra de las opciones para validarse en un entorno SAP es mediante el uso de certificados digitales. El usuario deberá tener un certificado instalado en su ordenador que enviará en la petición al sistema SAP. El sistema SAP se deberá configurar para ser capaz de validar esta petición, para esto se deberá introducir en el contenedor de certificados del sistema SAP el certificado de la entidad certificadora, y además se deberá asociar cada uno de los certificados con un usuario SAP.

Otra opción mediante la cual se puede implementar un sistema de validación Single SignOn con sistemas SAP es la validación mediante SAPLogon Ticket. Este mecanismo se suele utilizar para los entornos WEB. El funcionamiento es sencillo: el sistema SAP genera una cookie de sesión (SAPSSO2cookie) que es la que se envía en cada una de las peticiones que se realizan desde el navegador. El servidor valida esta Cookie y permite el acceso al sistema. El cómo se genera la cookie variará según el entorno de trabajo, en el caso de hacerlo con ITS, hay un servicio previa autentificación en el entorno Windows que se encarga de pedir la cookie al sistema SAP. En el caso del SAPportal es el propio portal el que genera la cookie y lo único que es necesario es la incorporación del certificado al contenedor del backend y el cambio de algunos parámetros.