重要
注意：根据世纪互联发布的公告，2026 年 8 月 18 日，Microsoft Sentinel 的所有功能将在中国区域的 Azure 中正式停用。
本文介绍如何准备 SAP 环境以连接到 SAP 数据连接器。 在开始之前，请确保已查看部署 SAP 应用程序的Microsoft Sentinel解决方案的先决条件。
本文是为 SAP 应用程序部署 Microsoft Sentinel 解决方案的第二步的一部分。
本文中的过程通常由您的 SAP BASIS 团队执行。
先决条件
- 在开始之前，请确保查看 为 SAP 应用程序部署 Microsoft Sentinel 解决方案的先决条件。
配置 Microsoft Sentinel 角色
若要使 SAP 数据连接器可以连接到 SAP 系统，必须专门为此创建 SAP 系统角色。
建议通过部署 NPLK900271 SAP 更改请求（CR）：K900271.NPL | R900271.NPL 来创建此角色
根据需要在 SAP 系统上部署 CR， 就像部署其他 CR 一样。 强烈建议由经验丰富的 SAP 系统管理员完成部署 SAP CR。 有关详细信息，请参阅有关 部署传输更改请求的 SAP 文档。
或者，从 MSFTSEN_SENTINEL_CONNECTOR 文件加载角色授权，其中包括数据连接器运行的所有基本权限。
有经验的 SAP 管理员可以选择手动创建角色并为其分配适当的权限。 在这种情况下，手动创建具有所需授权的角色，以便采集您想要的日志。 有关详细信息，请参阅 所需的 ABAP 授权。 文档中的示例使用 /MSFTSEN/SENTINEL_RESPONDER 名称。
配置角色时，建议： 请按照以下步骤进行操作：
- 通过执行 PFCG 事务，为 Microsoft Sentinel 生成活动角色配置文件。
- 使用
/MSFTSEN/SENTINEL_RESPONDER作为角色名称。
有关详细信息，请参阅有关 创建角色的 SAP 文档。
创建用户
适用于 SAP 的 Microsoft Sentinel 解决方案应用程序要求用户帐户连接到 SAP 系统。 创建用户时：
- 请确保创建系统用户。
- 将 /MSFTSEN/SENTINEL_RESPONDER 角色分配给配置Microsoft Sentinel角色时创建的用户。
有关详细信息，请参阅 SAP 文档。
配置 SAP 审核
默认情况下，SAP 系统的某些安装可能未启用审核日志。 在评估适用于 SAP 的 Microsoft Sentinel 解决方案应用程序的性能和效果时，为获得最佳结果，请对 SAP 系统启用审核并配置审核参数。
建议为审核日志中的所有消息（而不是仅特定日志）配置审核。 引入成本差异通常很小，并且数据对于 Microsoft Sentinel 检测以及入侵后调查和搜寻很有用。
小窍门
如果要引入 SAP HANA DB 日志，请确保同时为 SAP HANA DB 启用审核。 有关详细信息，请参阅 在 Microsoft Sentinel 中收集 SAP HANA 审核日志
小窍门
对于由 SAP RISE/ECS 管理的 SAP 系统，安全审核日志启用是共同责任协议的一部分。 如果审核默认处于活动状态，或者是否需要执行任何其他步骤，请与 SAP 联系人进行验证。
有关详细信息，请参阅 安全审核日志（SM19/RSAU）的分析和建议设置。
将系统配置为使用 SNC 进行安全连接
默认情况下，SAP 数据连接器代理使用远程函数调用 (RFC) 连接以及用户名和密码连接到 SAP 服务器进行身份验证。
但是，可能需要在加密通道上建立连接，或使用客户端证书进行身份验证。 在这些情况下，请使用 SAP 中的智能网络通信 (SNC) 来保护数据连接，如本部分所述。
在生产环境中，强烈建议你咨询 SAP 管理员来创建配置 SNC 的部署计划。 有关详细信息，请参阅有关 配置 SNC 的 SAP 文档。
配置 SNC 时：
- 如果客户端证书是由企业证书颁发机构颁发的，请将颁发的 CA 和根 CA 证书传输到计划创建数据连接器代理的系统。
- 确保在 配置 SAP 数据连接器代理容器时输入相关值并使用相关过程。
配置对额外数据检索的支持（推荐）
启用额外数据检索是可选的，但建议启用 SAP 数据连接器，以便从 SAP 系统检索以下内容信息：
- DB 表和缓冲输出日志
- 安全审核日志中的客户端 IP 地址信息
根据您的 SAP 版本，从 Microsoft Sentinel GitHub 存储库部署相关的 CR：
SAP Basis 版本 建议的 CR 750 及更高 NPLK900202： K900202.NPL、 R900202.NPL
部署此 CR 时，下面任何 SAP 版本还会部署 2641084 - 对安全审核日志数据的标准化读取访问：
- 750 SP04 到 SP12
- 751 SP00 到 SP06
- 752 SP00 到 SP02740 NPLK900201： K900201.NPL、 R900201.NPL 根据需要在 SAP 系统上部署 CR， 就像部署其他 CR 一样。 强烈建议由经验丰富的 SAP 系统管理员完成部署 SAP CR。 有关详细信息，请参阅有关 部署传输更改请求的 SAP 文档。
有关详细信息，请参阅 安全审核日志（SM19/RSAU） 和 SAP 文档的分析和建议设置。
若要支持 SAP BASIS 版本 7.31-7.5 SP12 将客户端 IP 地址信息发送到 Microsoft Sentinel，请激活 SAP 表 USR41 的日志记录。 有关详细信息，请参阅 SAP 文档。
验证 PAHI 表是否定期更新
SAP PAHI 表包括有关 SAP 系统、数据库和 SAP 参数的历史记录数据。 在某些情况下，由于配置缺失或错误，适用于 SAP 的 Microsoft Sentinel 解决方案 应用程序无法定期监视 SAP PAHI 表。 请务必更新 PAHI 表并经常对其进行监视，以便适用于 SAP 的 Microsoft Sentinel 解决方案 应用程序可以针对全天随时可能发生的可疑操作发出警报。 有关详细信息，请参阅：
如果 PAHI 表定期更新，则会计划 SAP_COLLECTOR_FOR_PERFMONITOR 作业并每小时运行一次。 如果 SAP_COLLECTOR_FOR_PERFMONITOR 作业不存在，请确保根据需要对其进行配置。
有关详细信息，请参阅 后台处理中的数据库收集器 和 配置数据收集器。