Sicherheits-Einstellungen testen 

Verwendung

Nachdem Sie die Checkliste für die Konfiguration der Sicherheits-Funktionalität und des ICM durchgegangen sind, sollten Sie Ihre Einstellungen testen.

Mit SAP Web AS 6.20 Support-Package 23 enthält die Logon-Applikation SYSTEM eine Testseite sso2test.htm, mit der Sie feststellen können, ob die SSO2-Einstellungen korrekt sind. Starten Sie einfach die Seite im Browser und folgen Sie den Anweisungen.

Der Test muss erfolgreich beendet werden, damit die SYSTEM-Applikation einwandfrei funktioniert.

Ausgangssituation

Die Ausgangssituation stellt sich folgendermaßen dar:

Schritt 1	Beim Aufrufen einer URL (z.B. eine Seite einer BSP-Applikation) sendet der Browser einen GET-Requests an den Server. Der Server besitzt keinerlei Authentifizierungsinformationen und fordert sie daher an (Returncode 401).
	Er bringt ein Popup mit der Abfrage von Benutzernamen und Kennwort zur Anzeige im Browser.
Schritt 2	Sobald sich der Benutzer einmal über diese Angaben authentifiziert hat (Basic Authentification), werden beim nächsten GET-Request diese Informationen im Header mitgegeben.
	Daher erkennt der Server, dass der Benutzer berechtigt ist, die URL anzeigen zu lassen und bringt entsprechend den Inhalt der Seite zur Anzeige (Returncode 200). Hierbei kann es auch sein, dass zusätzliche SSO2-Informationen vom Server mitgeschickt werden, jedoch läßt sich dies nicht verifizieren. Sobald ein einziges Mal Basic Authentification zum Tragen kommt, wird es im Folgenden immer wieder eingesetzt.
Schritt 3	Nun wird eine andere URL (z.B. eine Seite einer anderen BSP-Applikation) aufgerufen, d.h. ein weiterer GET-Request mit einer neuen URL wird an den Server geschickt. Auch hierbei werden die Basic-Authentication-Informationen im Header mitgereicht. Ob ebenfalls SSO2-Informationen mitgegeben werden, ist zwar theoretisch möglich, jedoch wieder nicht verifizierbar.
	Aufgrund der Basic-Authentication-Informationen wird auf jeden Fall die angeforderte Seite im Browser angezeigt (Returncode 200).

Hier ist es nicht möglich, herauszufinden, ob SSO2-Informationen übergeben werden und ob SSO2 überhaupt eingesetzt wird.  Daher muss im folgenden Test-Szenario Basic Authentication unterdrückt werden.

Test-Szenario

Das Test-Szenario sieht folgendermaßen aus:

Schritt 0	Alle Browser-Fenster werden geschlossen, um alle bisherigen Basic-Authentication-Informationen loszuwerdern.
Schritt 1	Als nächstes wird Server-Authentication erzwungen, ohne Basic Authentication einzusetzen. Dies geschieht durch die Übergabe von Name und Kennwort direkt in der ersten URL.
	Zurückgegeben werden der Inhalt der URL (Returncode 200) sowie – hoffentlich – SSO2-Informationen.
Schritt 2	Nun wird ein neuer GET-Request an den Server gesendet. Bei dieser zweiten URL werden jedoch nicht Name und Kennwort explizit mit übergeben. Statt dessen sind diese Informationen, wenn alles richtig läuft, implizit im SSO2-Cookie vorhanden.
	Zurückgegeben wird entweder der Returncode 200 oder der Returncode 401: ·        Wenn SSO2 funktioniert, dann wird Returncode 200 gesendet und der Inhalt im Browser zur Anzeige gebracht. ·        Wenn dagegen SSO2 nicht korrekt funktioniert, dann wird Returncode 401 mit einer Authentifizierungs-Aufforderung gesendet, da der Server keine Authentifizierungs-Informationen besitzt und diese erst explizit anfordern muss.

Vorgehensweise

...

       1.      Schließen Sie alle Browser-Fenster.

       2.      Wählen Sie eine BSP-Applikation zum Testen aus, z.B. die allgemeine BSP-Applikation TUTORIAL_1.

Beachten Sie, dass es sich dabei nicht um eine BSP-Applikation handelt, für die in der SICF ein anonymer Anzeige-User eingetragen ist.

       3.      Wählen Sie eine Seite diese BSP-Applikation aus, für die Sie den Test durchführen möchten und rufen Sie sie im Browser auf.
Beispiel für eine Seite:
http://ls0028.wdf.sap-ag.de:1080/sap/bc/bsp/sap/tutorial_1/default.htm

       4.      Bei der folgenden Authentifizierungs-Abfrage wählen Sie Cancel.

       5.      Erweitern Sie nun manuell im Browser die URL um Angaben zu Benutzernamen und Kennwort.
Beispiel für eine erweiterte URL:
http://ls0028.wdf.sap-ag.de:1080/sap/bc/bsp/sap/tutorial_1/default.htm?sap-client=000&sap-user=testuser&sap-password=test

       6.      Wählen Sie die Enter-Taste.

Die angeforderte Seite wird im Browser angezeigt.

       7.      Wählen Sie nun eine andere BSP-Applikation, von der Sie sich eine Seite für den Test anzeigen lassen möchten und geben Sie die entsprechende URL im Browser ein.

Beachten Sie, dass es sich dabei ebenfalls nicht um eine BSP-Applikation handelt, für die in der SICF ein anonymer Anzeige-User eingetragen ist.
Und diesmal geben Sie nicht die Informationen des Benutzernamens und Kennwort in der URL mit.

Beispiel für eine Seite:
http://ls0028.wdf.sap-ag.de:1080/sap/bc/bsp/sap/tutorial_3/search.htm

       8.      Wählen Sie die Enter-Taste..

Ergebnis

Als Ergebnis können zwei Fälle auftreten:

·        Die Anwendung wird korrekt angezeigt (Returncode 200).
Die Sicherheits-Einstellungen (SSO2) in Ihrem SAP Web AS System sind korrekt konfiguriert.

·        Die Anwendung wird nicht angezeigt, sondern Sie erhalten einen Returncode 401 (Authentifizierungs-Anfrage).
In diesem Fall sollten Sie die Einstellungen zur Sicherheit und zum ICM in Ihrem System überprüfen (siehe Voraussetzungen).