Autenticazione con i token di accesso

Questo documento mostra come configurare l'autenticazione per accedere a Google Cloud quando il sistema SAP è ospitato su un'istanza VM di Compute Engine.

Abilita le API Google Cloud

Nel tuo progetto Google Cloud , abilita le API Google Cloud richieste.

• Per la replica CDC tramite Pub/Sub, abilita le seguenti API:

  • API Pub/Sub
  • API BigQuery
  • API IAM Service Account Credentials

• Per la replica dei dati di streaming, abilita le seguenti API:

  • API BigQuery
  • API IAM Service Account Credentials

Per informazioni su come abilitare le API Google Cloud , vedi Abilitazione delle API.

Crea un account di servizio

BigQuery Connector per SAP ha bisogno di un account di servizio IAM per l'autenticazione e l'autorizzazione per accedere alle risorse Google Cloud .

Questo account di servizio deve essere un principal nel progetto Google Cloud che contiene le API Google Cloud attivate. Se crei ilaccount di serviziot nello stesso progetto delle Google Cloud API, iaccount di serviziont viene aggiunto automaticamente come entità al progetto.

Se crei il account di servizio in un progetto diverso da quello che contiene le API Google Cloud attivate, devi aggiungere il account di servizio al progetto delle API Google Cloud attivate in un passaggio aggiuntivo.

Per creare un service account:

1. Nella Google Cloud console, vai alla pagina IAM e amministrazione > Service account.

   Vai ad Account di servizio

2. Se richiesto, seleziona il tuo progetto Google Cloud .

3. Fai clic su Crea account di servizio.

4. Specifica un nome per l'account di servizio e, facoltativamente, una descrizione.

5. Fai clic su Crea e continua.

6. Se stai creando il account di servizio nello stesso progetto delle API Google Cloud attivate, nel riquadro Concedi a questo account di servizio l'accesso al progetto, seleziona i ruoli in base alle esigenze:

   Per la replica CDC tramite Pub/Sub, seleziona i seguenti ruoli:

   • Pub/Sub Editor
   • Editor dati BigQuery
   • Utente job BigQuery

   Per la replica dei dati in streaming, seleziona i seguenti ruoli:

   • Editor dati BigQuery
   • Utente job BigQuery

   Se stai creando l'account di servizio in un progetto diverso da quello delle API Google Cloud attivate, non concedere ruoli all'account di servizio.

7. Fai clic su Continua.

8. Se necessario, concedi ad altri utenti l'accesso al account di servizio.

9. Fai clic su Fine. Il account di servizio viene visualizzato nell'elenco dei service account per il progetto.

10. Se hai creato il account di servizio in un progetto diverso da quello che contiene le API Google Cloud attivate, annota il nome del account di servizio. Specifichi il nome quando aggiungi il service account al progetto API Google Cloud attivate. Per ulteriori informazioni, vedi Aggiungi l'account di servizio al progetto BigQuery.

Ora il account di servizio è elencato come entità nella pagina Autorizzazioni IAM del progetto Google Cloud in cui è stato creato.

Aggiungi il account di servizio al progetto di destinazione

Se hai creato l'account di servizio per BigQuery Connector per SAP in un progetto diverso da quello che contiene le API Google Cloud abilitate, devi aggiungere l'account di servizio al progetto API Google Cloud abilitate.

Se hai creato il account di servizio nello stesso progetto delle API Google Cloud attivate, puoi saltare questo passaggio.

Per aggiungere un account di servizio esistente al progetto del set di dati BigQuery, completa i seguenti passaggi:

1. Nella console Google Cloud , vai alla pagina Autorizzazioni IAM:

   Vai alle autorizzazioni IAM

2. Verifica che il nome del progetto che contiene le APIGoogle Cloud abilitate sia visualizzato nella parte superiore della pagina. Ad esempio:

   Autorizzazioni per il progetto "PROJECT_NAME"

   In caso contrario, cambia progetto.

3. Nella pagina IAM, fai clic su addpersonAggiungi. Si apre la finestra di dialogo Aggiungi entità a "PROJECT_NAME".

4. Nella finestra di dialogo Aggiungi entità a "PROJECT_NAME", completa i seguenti passaggi:

   1. Nel campo Nuove entità, specifica il nome del account di servizio.
   2. Nel campo Seleziona un ruolo, specifica BigQuery Data Editor.
   3. Fai clic su AGGIUNGI UN ALTRO RUOLO. Viene visualizzato di nuovo il campo Seleziona un ruolo.
   4. Nel campo Seleziona un ruolo, specifica Utente job BigQuery.
   5. Per la replica CDC tramite Pub/Sub, ripeti il passaggio precedente e specifica Pub/Sub Editor.
   6. Fai clic su Salva. Il account di servizio viene visualizzato nell'elenco dei principali del progetto nella pagina IAM.

Configura la sicurezza sulla VM host

BigQuery Connector per SAP richiede che la VM Compute Engine che ospita SAP LT Replication Server sia configurata con le seguenti opzioni di sicurezza:

• Gli ambiti di accesso della VM host devono essere impostati in modo da consentire l'accesso completo alle API Cloud.
• Il account di servizio della VM host deve includere il ruolo IAM Creatore token service account.

Se queste opzioni non sono configurate nella VM host, devi configurarle.

Controlla gli ambiti di accesso API della VM host

Controlla l'impostazione dell'ambito di accesso corrente della VM host di SAP LT Replication Server. Se la VM ha già accesso completo a tutteAPI Cloudd, non devi modificare gli ambiti di accesso.

Per controllare l'ambito di accesso di una VM host:

Modificare gli ambiti di accesso API della VM host

Se la VM host di SAP LT Replication Server non ha accesso completo alle APIGoogle Cloud , modifica gli ambiti di accesso per consentire l'accesso completo a tutte le API Cloud.

Per modificare l'impostazione degli ambiti di accesso API Cloud per una VM host, svolgi le seguenti operazioni:

Abilitare la VM host per ottenere token di accesso

Devi creare un account di servizio dedicato per la VM host e concedere al account di servizio l'autorizzazione per ottenere i token di accesso richiesti da BigQuery Connector per SAP per accedere a Google Cloud.

Per consentire alla VM host di ottenere token di accesso:

1. Nella console Google Cloud , crea un account di servizio IAM per l'istanza VM host.

   Vai ad Account di servizio

   Per informazioni su come creare un account di servizio, vedi Creare un service account.

2. Concedi il ruolo Service Account Token Creator al account di servizio. Per informazioni su come concedere un ruolo, consulta Concedere un singolo ruolo.

3. Collega il account di servizio all'istanza VM in cui è in esecuzione il tuo workload SAP.

   Per informazioni su come collegare un account di servizio a un'istanza VM, vedi Creare una VM e collegare il service account.

La VM host ora ha l'autorizzazione per creare token di accesso.

Crea un set di dati BigQuery

Per creare un set di dati BigQuery, il tuo account utente deve disporre delle autorizzazioni IAM appropriate per BigQuery. Per maggiori informazioni, consulta la sezione Autorizzazioni richieste.

1. Nella console Google Cloud , vai alla pagina BigQuery:

   Vai a BigQuery

2. Accanto all'ID progetto, fai clic sull'icona Visualizza azioni, more_vert, quindi fai clic su Crea set di dati.

   

3. Nel campo ID set di dati, inserisci un nome univoco. Per ulteriori informazioni, vedi Denominare i set di dati.

Per ulteriori informazioni sulla creazione di set di dati BigQuery, consulta Creazione di set di dati.

Configurare i certificati TLS/SSL e HTTPS

La comunicazione tra BigQuery Connector per SAP e i servizi Google è protetta tramite TLS/SSL e HTTPS.

1. Per la connessione ai servizi Google, segui i suggerimenti di Google Trust Services. Come minimo, devi scaricare tutti i certificati CA radice dal repository Google Trust Services.

   Per assicurarti di utilizzare i certificati CA radice attendibili più recenti, ti consigliamo di aggiornare l'archivio dei certificati radice del sistema ogni sei mesi. Google annuncia i certificati CA radice nuovi e rimossi su Google Trust Services. Per ricevere notifiche automatiche, iscriviti al feed RSS su Google Trust Services.

2. Nella GUI SAP, utilizza la transazione STRUST per importare i certificati CA radice nella cartella PSE SSL client SSL Client (Standard).

   Per ulteriori informazioni da SAP, consulta SAP Help - Maintain PSE Certification list.

3. Sull'host SAP LT Replication Server, verifica che eventuali regole firewall o proxy siano configurati per consentire il traffico in uscita dalla porta HTTPS all'API BigQuery.

   In particolare, SAP LT Replication Server deve essere in grado di accedere alle seguenti APIGoogle Cloud :

   • https://bigquery.googleapis.com
   • https://iamcredentials.googleapis.com
   • https://pubsub.googleapis.com

   Se vuoi che BigQuery Connector per SAP acceda alle API Google Cloud tramite gli endpoint Private Service Connect nella tua rete VPC, devi configurare le destinazioni RFC e specificare gli endpoint Private Service Connect in queste destinazioni RFC. Per ulteriori informazioni, vedi Destinazioni RFC.

Per ulteriori informazioni di SAP sulla configurazione di TLS/SSL, consulta la nota SAP 510007 - Considerazioni aggiuntive per la configurazione di TLS/SSL su Application Server ABAP.

Specificare le impostazioni di accesso in /GOOG/CLIENT_KEY

Utilizza la transazione SM30 per specificare le impostazioni di accesso a Google Cloud. BigQuery Connector per SAP archivia le impostazioni come record nella tabella di configurazione personalizzata /GOOG/CLIENT_KEY.

Per specificare le impostazioni di accesso:

1. Nella GUI SAP, inserisci il codice di transazione SM30.

2. Seleziona la tabella di configurazione /GOOG/CLIENT_KEY.

3. Inserisci i valori per i seguenti campi della tabella:

   Campo	Tipo di dati	Descrizione
   Nome	Stringa	Specifica un nome descrittivo per la configurazione CLIENT_KEY, ad esempio BQC_CKEY. Il nome di una chiave client è un identificatore univoco utilizzato da BigQuery Connector per SAP per identificare le configurazioni per l'accesso a Google Cloud.
   Nome account di servizio	Stringa	Il nome del account di servizio, nel formato dell'indirizzo email, che è stato creato per BigQuery Connector per SAP nel passaggio Crea un service account. Ad esempio: sap-example-svc-acct@example-project-123456.iam.gserviceaccount.com.
   Ambito	Stringa	L'ambito di accesso. Specifica l'ambito di accesso all'API https://www.googleapis.com/auth/cloud-platform, come consigliato da Compute Engine. Questo ambito di accesso corrisponde all'impostazione Allow full access to all Cloud APIs sulla VM host. Per ulteriori informazioni, vedi Imposta gli ambiti di accesso sulla VM host.
   ID progetto	Stringa	L'ID del progetto che contiene il set di dati BigQuery di destinazione.
   Nome comando	Stringa	Lascia vuoto questo campo.
   Authorization Class	Stringa	Specifica /GOOG/CL_GCP_AUTH_GOOGLE
   Campo Autorizzazione	Non applicabile	Lascia vuoto questo campo.
   Secondi di aggiornamento del token	Numero intero	Il periodo di tempo, in secondi, prima della scadenza di un token di accesso e del relativo aggiornamento. Il valore predefinito è 3500. Puoi sovrascrivere questo valore predefinito impostando un valore per il parametro CMD_SECS_DEFLT nelle impostazioni avanzate. Se specifichi un valore compreso tra 1 e 3599, il tempo di scadenza predefinito viene sostituito. Se specifichi 0, il BigQuery Connector per SAPP utilizza il valore predefinito.
   Memorizzazione nella cache dei token	Booleano	Il flag che determina se i token di accesso recuperati da Google Cloud vengono memorizzati nella cache. Ti consigliamo di attivare la memorizzazione nella cache dei token dopo aver terminato la configurazione di BigQuery Connector per SAP e il test della connessione a Google Cloud. Per maggiori informazioni sulla memorizzazione nella cache dei token, vedi Attivare la memorizzazione nella cache dei token.

Configurare le destinazioni RFC

Per connettere BigQuery Connector per SAP a Google Cloud, ti consigliamo di utilizzare le destinazioni RFC.

Le destinazioni RFC di esempio GOOG_IAMCREDENTIALS e GOOG_BIGQUERY vengono importate nell'ambito del trasporto di BigQuery Connector per SAP.

Devi creare nuove destinazioni RFC copiando quelle di esempio.

Per configurare le destinazioni RFC:

1. Nella GUI SAP, inserisci il codice di transazione SM59.

2. (Consigliato) Crea nuove destinazioni RFC copiando le destinazioni RFC di esempio, quindi prendi nota dei nuovi nomi delle destinazioni RFC. Li utilizzerai nei passaggi successivi.

   BigQuery Connector per SAP utilizza le destinazioni RFC per connettersi alle APIGoogle Cloud .

   Se vuoi testare la connettività basata sulla destinazione RFC, puoi saltare questo passaggio e utilizzare le destinazioni RFC di esempio.

3. Per le destinazioni RFC che hai creato:

   1. Vai alla scheda Impostazioni tecniche e assicurati che il campo Numero di servizio sia impostato con il valore 443. Questa è la porta utilizzata dalla destinazione RFC per la comunicazione sicura.

   2. Vai alla scheda Accesso e sicurezza e assicurati che il campo Certificato SSL sia impostato con l'opzione Client SSL predefinito (standard).

   3. Facoltativamente, puoi configurare le impostazioni proxy, abilitare la compressione HTTP e specificare gli endpoint Private Service Connect.

   4. Salva le modifiche.

   5. Per testare la connessione, fai clic su Test connessione.

      Una risposta contenente 404 Not Found è accettabile e prevista perché l'endpoint specificato nella destinazione RFC corrisponde a un servizioGoogle Cloud e non a una risorsa specifica ospitata dal servizio. Una risposta di questo tipo indica che il servizio di destinazione Google Cloud è raggiungibile e che non è stata trovata alcuna risorsa di destinazione.

4. Nella GUI SAP, inserisci il codice di transazione SM30.

5. Nella tabella /GOOG/CLIENT_KEY che hai creato nella sezione precedente, annota il valore del campo Nome.

6. Nella tabella /GOOG/SERVIC_MAP, crea voci con i seguenti valori dei campi:

   Nome della chiave Google Cloud	Nome del servizio Google	Destinazione RFC
   CLIENT_KEY_TABLE_NAME	bigquery.googleapis.com	Specifica il nome della destinazione RFC che ha come target BigQuery. Se utilizzi la destinazione RFC di esempio a scopo di test, specifica GOOG_BIGQUERY.
   CLIENT_KEY_TABLE_NAME	pubsub.googleapis.com	Specifica il nome della destinazione RFC che ha come target Pub/Sub. Se utilizzi la destinazione RFC di esempio a scopo di test, specifica GOOG_PUBSUB.
   CLIENT_KEY_TABLE_NAME	iamcredentials.googleapis.com	Specifica il nome della destinazione RFC che ha come target IAM. Se utilizzi la destinazione RFC di esempio a scopo di test, specifica GOOG_IAMCREDENTIALS.

   Sostituisci CLIENT_KEY_TABLE_NAME con il nome della chiave client che hai annotato nel passaggio precedente.

Configurare le impostazioni proxy

Quando utilizzi le destinazioni RFC per connetterti a Google Cloud, puoi instradare la comunicazione da BigQuery Connector per SAP tramite il server proxy che utilizzi nel tuo panorama SAP.

Se non vuoi utilizzare un server proxy o non ne hai uno nel tuo panorama SAP, puoi saltare questo passaggio.

Per configurare le impostazioni del server proxy per BigQuery Connector per SAP, completa i seguenti passaggi:

1. Nella GUI SAP, inserisci il codice di transazione SM59.

2. Seleziona la destinazione RFC che ha come target IAM.

3. Vai alla scheda Impostazioni tecniche, quindi inserisci i valori per i campi nella sezione Opzioni proxy HTTP.

4. Ripeti il passaggio precedente per la destinazione RFC che ha come target BigQuery.

Abilitare la compressione HTTP

Quando utilizzi le destinazioni RFC per connetterti a Google Cloud, puoi attivare la compressione HTTP.

Se non vuoi attivare questa funzionalità, puoi saltare questo passaggio.

Per attivare la compressione HTTP:

1. Nella GUI SAP, inserisci il codice di transazione SM59.

2. Seleziona la destinazione RFC che ha come target BigQuery.

3. Vai alla scheda Opzioni speciali.

4. Per il campo Versione HTTP, seleziona HTTP 1.1.

5. Per il campo Compressione, seleziona un valore appropriato.

   Per informazioni sulle opzioni di compressione, vedi Nota SAP 1037677 - La compressione HTTP comprime solo determinati documenti

Specifica gli endpoint Private Service Connect

Se vuoi che BigQuery Connector per SAP utilizzi gli endpoint Private Service Connect per consentire l'utilizzo privato di BigQuery e IAM, devi creare questi endpoint nel tuo progetto Google Cloud e specificarli nelle rispettive destinazioni RFC.

Se vuoi che BigQuery Connector per SAP continui a utilizzare gli endpoint API pubblici predefiniti per connettersi a BigQuery e IAM, salta questo passaggio.

Per configurare BigQuery Connector per SAP in modo che utilizzi gli endpoint Private Service Connect, procedi nel seguente modo:

1. Nella GUI SAP, inserisci il codice di transazione SM59.

2. Verifica di aver creato nuove destinazioni RFC per BigQuery e IAM. Per istruzioni su come creare queste destinazioni RFC, vedi Configurare le destinazioni RFC.

3. Seleziona la destinazione RFC che ha come target BigQuery e poi fai quanto segue:

   1. Vai alla scheda Impostazioni tecniche.

   2. Per il campo Host di destinazione, inserisci il nome dell'endpoint Private Service Connect che hai creato per accedere a BigQuery.

   3. Vai alla scheda Accesso e sicurezza.

   4. Per il campo Numero servizio, assicurati che sia specificato il valore 443.

   5. Per il campo Certificato SSL, assicurati che sia selezionata l'opzione Client SSL predefinito (standard).

4. Seleziona la destinazione RFC che ha come target IAM e poi fai quanto segue:

   1. Vai alla scheda Impostazioni tecniche.

   2. Per il campo Host di destinazione, inserisci il nome dell'endpoint Private Service Connect che hai creato per accedere a IAM.

   3. Vai alla scheda Accesso e sicurezza.

   4. Per il campo Numero servizio, assicurati che sia specificato il valore 443.

   5. Per il campo Certificato SSL, assicurati che sia selezionata l'opzione Client SSL predefinito (standard).

Convalida le porte HTTP e HTTPS in Internet Communication Manager (ICM)

I metadati VM vengono archiviati su un server metadati, accessibile solo tramite una porta HTTP. Pertanto, devi verificare che una porta HTTP insieme a una porta HTTPS sia creata e attiva per accedere ai metadati della VM.

1. Nella GUI SAP, inserisci il codice di transazione SMICM.
2. Nella barra dei menu, fai clic su Vai a > Servizi. Un segno di spunta verde nella colonna Attiva indica che le porte HTTP e HTTPS sono attive.

Per informazioni sulla configurazione delle porte HTTP e HTTPS, vedi Impostazioni HTTP(S) in ICM.

Test Google Cloud autenticazione e autorizzazione

Conferma di aver configurato Google Cloud l'autenticazione correttamente richiedendo un token di accesso e recuperando informazioni sul tuo set di dati BigQuery.

Utilizza la seguente procedura per testare l'autenticazione e l'autorizzazione di Google Cloud dalla VM host SAP LT Replication Server:

1. Sulla VM host di SAP LT Replication Server, apri una shell a riga di comando.

2. Passa all'utente sidadm.

3. Richiedi il primo token di accesso al server di metadati della VM host:

   curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" -H "Metadata-Flavor: Google"

   Il server dei metadati restituisce un token di accesso simile al seguente esempio, in cui ACCESS_TOKEN_STRING_1 è una stringa del token di accesso che copi nel comando del passaggio successivo:

   {"access_token":"ACCESS_TOKEN_STRING_1",
   "expires_in":3599,"token_type":"Bearer"}

4. Richiedi il secondo token di accesso dall'API IAM emettendo il seguente comando dopo aver sostituito i valori segnaposto:

   Linux

   curl --request POST \
   "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT:generateAccessToken" \
     --header "Authorization: Bearer ACCESS_TOKEN_STRING_1" \
     --header "Accept: application/json" \
     --header "Content-Type: application/json" \
     --data "{"scope":["https://www.googleapis.com/auth/bigquery"],"lifetime":"300s"}" \
     --compressed
   

   Windows

   curl --request POST `
   "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/SERVICE_ACCOUNT:generateAccessToken" `
     --header "Authorization: Bearer ACCESS_TOKEN_STRING_1" `
     --header "Accept: application/json" `
     --header "Content-Type: application/json" `
     --data "{"scope":["https://www.googleapis.com/auth/bigquery"],"lifetime":"300s"}" `
     --compressed
   

   Sostituisci quanto segue:

   • SERVICE_ACCOUNT: l'account di servizio che hai creato per BigQuery Connector per SAP in un passaggio precedente.
   • ACCESS_TOKEN_STRING_1: la prima stringa del token di accesso del passaggio precedente.

   L'API IAM restituisce un secondo token di accesso, ACCESS_TOKEN_STRING_2, simile al seguente esempio. Nel passaggio successivo, copia questa seconda stringa di token in una richiesta all'API BigQuery.

   {"access_token":"ACCESS_TOKEN_STRING_2","expires_in":3599,"token_type":"Bearer"}

5. Recupera informazioni sul tuo set di dati BigQuery emettendo il seguente comando dopo aver sostituito i valori segnaposto:

   Linux

   curl "https://bigquery.googleapis.com/bigquery/v2/projects/PROJECT_ID/datasets/DATASET_NAME" \
   -H "Accept: application/json" -H "Authorization: Bearer ACCESS_TOKEN_STRING_2"
   

   Windows

   curl "https://bigquery.googleapis.com/bigquery/v2/projects/PROJECT_ID/datasets/DATASET_NAME" `
   -H "Accept: application/json" -H "Authorization: Bearer ACCESS_TOKEN_STRING_2"
   

   Sostituisci quanto segue:

   • PROJECT_ID: l'ID del progetto che contiene il tuo set di dati BigQuery.
   • DATASET_NAME: il nome del set di dati di destinazione come definito in BigQuery.
   • ACCESS_TOKEN_STRING_2: la stringa del token di accesso restituita dall'API IAM nel passaggio precedente.

   Se l' Google Cloud autenticazione è configurata correttamente, vengono restituite le informazioni sul set di dati.

   Se non è configurato correttamente, consulta la sezione Risoluzione dei problemi di BigQuery Connector per SAP.

Passaggi successivi

• Configurare il connettore per la replica CDC tramite Pub/Sub

• Configurare il connettore per la replica dei dati in streaming