SAP S/4HANA Cloud Private Editionにおいて、RISE側のサーバからインターネット経由で外部システムへHTTP(S)方式でアクセスしたいケースがあるかと存じます。なお、本記事は、お客様がご利用のPlatformがCloud(AWS/Azure/GCP)であることを前提に記載しております。
その際に利用するのが、下記のService Request(以下、SR)です。
SRテンプレート: Allowlist Squid Proxy access HTTP/HTTPS(80/443): OUTBOUND to EXTERNAL
反対に、外部システムからインターネット経由でRISE側のサーバへアクセスしたい場合は、RISE側にLoadBalancerを設置し、システムをインターネットに公開する必要があります。LoadBalancerを作成する場合は、下記のSRテンプレートをご利用ください。
SRテンプレート: Create Hyperscaler LB for INBOUND traffic from an EXTERNAL source (Azure/AWS/GCP)
SRを起票される前に、下記の点をご認識いただけますようお願いいたします。
- SRを起票する前に、インターネット経由でのアクセス先を確認し、現状アクセスできていないことをご確認ください。なお、動的に変更されるIPアドレスは、Squid Proxyのホワイトリストに追加しないようお願いいたします。IPアドレスが動的に変更されるため、変更された時点でアクセスできなくなります。
- 本作業はシステムを停止せずに実施でき、業務への影響(ダウンタイム)は発生いたしません。
- SRのサービス説明に記載されているとおり、本SRは基本的にSIDごとではなく、CID単位で一度のみ申請してください。
リクエストはSIDごとではなく、ネットワークセグメントごとに1件提出するだけで十分です。SIDを選択すると、SAPは関連するCSN(Customer Secure Network)またはCGS(Customer Gateway Service)ノードを特定し、そのノードにプロキシ設定を適用します。プロキシはネットワーク層で動作するため、同一のCSN/CGSノードに接続されているすべてのSAPシステムが同じ設定を継承します。
補足として、Squid ProxyはCSNまたはCGS上で稼働しており、内部で冗長化されています。なお、障害などにより切り替えが発生した際には、セッションが引き継がれない点をご認識いただけますようお願いいたします。
以下では、現時点で提供されている4つの”CIFS Operations”をもとにご説明いたします。
Domain Name: To enter your preferred Domain Name in “Enter Domain Name” field.
FQDN (Fully Qualified Domain Name): To enter your preferred FQDN in “Enter FQDN (Fully Qualified Domain Name)” field.
IP Address: To enter your preferred IP Address in “Enter IP Address” field.
IP Address Range: To enter your preferred IP Address Range in “Enter IP Address Range” field.
Domain Name
Input Typeにて”Domain Name”を選択し、必要なドメイン名を入力してください。必要に応じて、一度に複数のドメイン名を入力することも可能です。
ドメイン名sap.com（ドットなし）は、sap.comのみへのアクセスが許可されます。
ドメイン名.amazon.com（ドットあり）は、そのドメインおよびすべてのサブドメインが許可されます。
例えば、下記のようなFQDNへのアクセスが可能となります。
aws.amazon.com
signin.aws.amazon.com
ap-northeast-1.signin.aws.amazon.com
アクセスを許可したいドメイン名にドットが必要な場合は、明確に記載いただけますようお願いいたします。
FQDN
Input Typeにて”FQDN (Fully Qualified Domain Name)”を選択し、必要なFQDNを入力してください。必要に応じて、一度に複数のFQDNを入力することも可能です。
上記の場合、本SR対応完了後に、下記のFQDNへのアクセスが許可されます。
www.sap.com
dc.services.visualstudio.com
IP Address
Input Typeにて”IP Address”を選択し、必要なIPアドレスを入力してください。必要に応じて、一度に複数のIPアドレスを入力することも可能です。
前述のとおり、IPアドレスをホワイトリストに追加する場合は、動的に変更されるIPアドレスを避けていただけますようお願いいたします。IPアドレスレンジが分かっている場合は”IP Address Range”をご利用いただき、変更される可能性のあるIPアドレスが複数ある場合は、すべてのIPアドレスを申請してください。
IP Address Range
Input Typeにて”IP Address Range”を選択し、必要なIPアドレスレンジを入力してください。必要に応じて、一度に複数のIPアドレスレンジを入力することも可能です。
まとめ
本記事では、RISE側のサーバからHTTP(S)プロトコルを利用し、インターネット経由で外部システムと連携する際に必要となるSRの申請方法についてご紹介しました。アクセス先の指定方法には、Domain Name、FQDN、IP Address、IP Address Rangeの4つのInput Typeがあり、要件に応じて使い分けていただくことが可能です。
申請にあたっては、事前にアクセス先と現状を確認すること、動的に変更されるIPアドレスはホワイトリストに追加しないこと、そしてCID単位で一度のみ申請することがポイントとなります。本記事が、RISE環境における外部システム連携の設定を進める際の一助となれば幸いです。
#SAPCHANNEL