SAP安全 - 用户身份验证和单点登录

单点登录(SSO) 是允许您登录到一个系统的关键概念之一，您可以在后端访问多个系统. SSO允许用户通过后端的SAP系统访问软件资源.

使用NetWeaver的SSO 平台提供用户身份验证并帮助系统管理员管理用户在复杂的SAP系统架构中加载.
SSO配置通过增强安全措施并减少多个系统的密码管理任务，简化了用户登录SAP系统和应用程序的过程.

SSO帮助组织减少通过减少与密码问题相关的服务台调用次数来降低运营成本，从而提高业务用户的工作效率. SAP NetWeaver集成机制允许您轻松地将SAP
NetWeaver系统集成到SSO概念中，并在SAP System Landscape Environment中提供对后端系统的轻松访问.

SAP单点登录概念

可以使用mySAP Workplace配置单点登录，允许用户每天登录mySAP Workplace，他们可以访问应用程序而无需重复输入用户名和密码.

您可以使用以下身份验证方法使用mySAP Workplace配置SSO

• 用户名和密码

• SAP登录门票

• X.509客户端证书

单点登录中的集成

使用NetWeaver平台的SSO提供用户身份验证，并帮助系统管理员管理复杂SAP系统环境中的用户负载.
SSO配置通过增强安全措施并减少多个系统的密码管理任务，简化了用户登录SAP系统和应用程序的过程.

使用SAP NetWeaver可以配置不同的机制授权用户使用SSO方法访问NetWeaver系统.系统中的登录机制取决于SAP
NetWeaver系统的技术以及用于访问这些系统的不同通信渠道.

在SAP GUI中配置单点登录

要配置单点登录，您需要访问以下T代码

• RZ10

• STRUST

一旦你有这些T代码，你应该按照下面给出的步骤减去;

第1步 使用SAP GUI登录任何SAP ECC系统，转到T代码 RZ10.

第2步 之后选择默认配置文件和扩展维护.

第3步 单击更改，您将看到配置文件的参数列表.

步骤4 更改以下配置文件参数

• login/create_sso2_ticket = 1

• login/accept_sso2_ticket = 1

第5步 保存并激活配置文件.它将生成一个新的个人资料.

第6步 从信任管理器导出 R3SSO 证书，转到事务 STRUST.

第7步 双击"自己的证书"右侧的文本框.显示证书信息.请记下此证书的值，因为您需要输入值.

步骤8 单击图标导出证书.

步骤9 将文件另存为< R3_Name> - < Client> .crt.

示例 EBS-300.crt

第10步 单击复选框以在父目录中创建文件.

步骤11 使用管理员工具将 R3 SSO 证书导入Java引擎.

注意 确保Java引擎已启动.

步骤12 打开Java管理工具.

步骤13 输入Java Engine管理员密码，然后单击Connect.

步骤14 选择Server → 服务Key → 存储.

步骤15 单击"视图"面板中的"票证密钥库".

步骤16 单击"条目"组框中的"加载".选择您在上一步中导出的.crt文件.

步骤17 使用管理员工具在SAP Java引擎中配置安全提供程序服务.

步骤18 选择服务器服务安全提供程序.

步骤19 在"组件"面板中选择票证，然后转到"验证"选项卡.

步骤20 修改评估故障单登录模块的选项，并将以下属性添加到要配置SSO的每个后端系统.

基于Web的访问的单点登录

您可以使用SSO配置多个选项以访问SAP NetWeaver系统.您还可以通过Web浏览器或其他Web客户端访问SAP NetWeaver
System.使用SSO，用户可以访问位于公司网络中的后端系统和其他安全信息.

SSO允许您使用多种安全身份验证方法在NetWeaver应用服务器上集成基于Web的用户访问.您还可以实现各种网络通信安全方法，如加密，以通过网络发送信息.

可以使用SSO配置以下身份验证方法，以通过应用程序服务器访问数据

• 使用用户ID和密码验证

• 使用登录门票

• 使用X.509客户端证书

• 使用SAML浏览器工件

• 使用SAML 2.0

• 使用Kerberos身份验证

通过互联网访问数据时，您还可以使用网络和传输层中的安全机制.

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础 时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境 时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作 时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

给新手小白的入门建议：
新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！