Logon Checks: Overview

手順

ICFサービスがSAPABAPアプリケーションサーバの外部クライアントを介して呼び出されると、一連のチェックが実行されて、発信者が認証されます。このドキュメントでは、これらのチェックの概要を実行順に説明します。

初期チェックは、呼び出されたサービスが存在し、アクティブであることを確認するために使用されます。サービスが存在し、アクティブである場合、次のステップでは、サービスがパブリックか非パブリックかを確認します。ログオンをチェックせずに、システムでパブリックサービスを呼び出すことができます。

呼び出されているサービスが非公開の場合、サービス構成を使用して、必須のログオンデータまたはSSL証明書が必要かどうかを確認します。

• [必要なログオンデータ]が選択されている場合、ログオン手順では、このサービスに指定された匿名ログオンデータが使用されます。

  • 属性認証方法IF_HTTP_SERVERのがに設定されているAUTHMETHOD_SERVICE。

• SSLを使用するクライアント証明書が選択されている場合、これがログオン手順に使用されます。

  • 属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_CERTIFICATE。

これらの手順のいずれも必要ない場合、システムは標準ログオン順序または代替ログオン順序が選択されているかどうかをチェックします。

• 標準のログオン順序が選択されている場合、システムは次の順序でユーザーのログオンを試みます。

  1. HTTPフィールド（HTTPヘッダーフィールドまたはフォームフィールド）を使用してログオンします。

     • 樹液言語

     • sap-client

     • sap-user

     • sap-alias

     • sap-password

     sap-userが指定されている場合、 sap-aliasは重要ではありません（基本認証を参照）。

     • 属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_FIELD。

  2. SSL証明書（HTTPSおよび証明書）を使用してログオンします。この場合、システムはクライアント証明書とSSLを使用してユーザーにログオンしようとします。次の条件を満たす必要があります。

     • 適切なヘッダーフィールドが設定されます。

     • HTTPSの接続が構成されます。

     • クライアント証明書が存在します。

     属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_CERTIFICATE。

     SSL証明書を使用したログオンを参照してください

  3. SAPログオン/アサーションチケットまたはSAPアサーションチケット（MYSAPSSO2 cookieフィールド）を使用してログオンします。ログオンデータがフォームフィールドまたはヘッダーフィールドとして転送されない場合、システムはSSOチケットを使用してログオンを試みます。これを有効にするには、CookieフィールドMYSAPSSO2を設定する必要があります。

     属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_SSO。

     チケットを使用したログオンを参照してください。

  4. 基本認証を使用してログオンします。要求に基本認証のヘッダーフィールドが含まれている場合、ユーザー名は、基本認証で行われた設定に応じて、標準SAPユーザー（デフォルト）またはインターネットユーザー（ユーザー名エイリアス、トランザクションSU01を参照）として解釈されます。

     属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_BASIC。

     基本認証を使用したログオンを参照してください

  5. SAPログオンを使用してログオンします。これは、クライアント、ユーザー、パスワード、およびログオン言語を使用した通常のログオン手順です。この方法は主にSAPシステム間で使用され、Webブラウザを使用したログオンにはあまり使用されません。ヘッダーフィールドは、このログオン方法を使用する必要があることを示すためにも使用されます。

     属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_SAP。

  6. SPNEGO（Kerberos）を使用してログオンします。

  7. SAMLを使用してログオンします。

  8. サービスデータを使用してログオンします。

  9. リクエストにログオン手順に関する情報が含まれていないためにこれらの方法のいずれも不可能な場合は、デフォルトのログオン手順が使用されます。サービスユーザーアカウントを使用してログオンします。匿名ログオンデータを入力した場合、ログオン手順ではこのユーザー名、クライアント、およびログオン言語が使用されます。匿名ユーザーのデータを入力していない場合は、HTTP応答401が送信されます。Webブラウザを使用している場合、この応答はダイアログボックスに表示されます。その後、ユーザーはこのダイアログボックスでHTTP基本認証を使用してSAPシステムにログオンできます。問題のユーザーのデフォルトのクライアントとログオン言語が使用されます。

     属性認証方法のIF_HTTP_SERVERに設定されていますAUTHMETHOD_SERVICE。

     • 代替ログオン順序が適用される場合、標準ログオン順序（またはそれらの選択）で説明されている手順は、ユーザー定義の順序で実行されます。

     選択したログオン手順のいずれも成功しなかった場合、システムは、サービスに対して個別のエラーページが設定されているかどうかを確認します。

     エラーページが存在しない場合は、デフォルトの応答（http 401）が、ダイアログボックスの基本認証プロンプトとともに呼び出し元に送信されます。