SAP アプリケーションのデプロイに関するMicrosoft Sentinel ソリューションのトラブルシューティング

エージェントレス データ コネクタを使用する場合、ほとんどのトラブルシューティングは SAP Integration Suite で直接行われます。ここで、発生した問題の性質を示すエラーがメッセージ ログに表示されます。

まず、メッセージ処理ログを調べます。 詳細については、 SAP ドキュメントを参照してください。 そこに表示されるエラー メッセージは、アクセス許可の不足、接続エラー、およびその他の構成ミスに関する問題を診断するのに役立ちます。

問題に関連するエラーが表示されない場合は、詳細なトラブルシューティングのためにトレース ログを有効にします。 詳細については、 SAP ドキュメントを参照してください。

前提条件を確認する

初期コネクタ構成の実行中にデプロイされるエージェントレス データ コネクタ パッケージには、SAP 管理者が SAP 環境構成に関連する問題を診断して修正するのに役立つツールが含まれています。

ツールを構成してデプロイするには:

1. 統合パッケージを開き、[成果物] タブに移動し、[前提条件チェッカー] iflow >[構成] を選択します。
2. リモート関数呼び出し (RFC) のターゲット宛先名を、チェックする SAP システムに設定します。 たとえば、「 A4H-100-Sentinel-RFC 」のように入力します。
3. SAP システムの場合と同様に、iflow をデプロイします。
4. 最良の結果を得るには、1 分の頻度で 24 時間チェッカーを実行し、不正な夜間バッチ ジョブや不明な使用量の急増などの異常をキャッチします。

チェックの状態を確認するには:

1. SAP Cloud Integration で Monitor>Integrations を開き、ウォッチ期間 (例: 24 時間) に従って 前提条件チェッカー iflow の実行を見つけます。 実行が状態 Completed (HTTP 200) で完了していること、および応答ペイロードに警告やエラーが含まれていないことを確認します。 スケジューラは、SAP Cloud Integration の内部的な動作により、状態が "破棄済み" のメッセージを生成する場合があります。 これらのメッセージは無視でき、"トリガー タイマー イベントは既に別のプロセスによって処理されているため、メッセージ処理は破棄されました" のようなテキストを含めることができます。
2. メッセージ処理ログ (MPL) の添付ファイルとプロパティを調べて、チェックごとの結果を確認します。 MPL エントリに添付されているファイルを開きます。

結果を解釈するには、次の表を使用します。

状態	意味	次の手順
完了、警告なし	すべての前提条件が満たされています。	引き続き SAP システムをMicrosoft Sentinelに接続します。
完了(警告あり)	前提条件が部分的に満たされています。	接続する前に、応答の詳細を確認し、修復します。
失敗または 200 以外の状態	チェッカーがターゲット SAP システムに到達できなかったか、構成エラーが発生しました。	RFC の宛先と資格情報を確認し、iflow を再デプロイして再実行します。

結果が残っている場合は、修復手順に関するガイダンスについては、応答の詳細を参照してください。 従来の SAP システムでは、多くの場合、追加の SAP ノートが必要です。 さらに、一般的な問題と解決策については、「 トラブルシューティング」セクション を参照してください。

完了後:

SAP システム チェックが正常に完了したら、スケジュールされた前提条件チェッカー iflow をデプロイ解除します。 オンボードする新しい SAP システムごとに、このシーケンスを繰り返します。

従来の SAP システムに機能がありません

一部のレガシ SAP システムには、 RFC_READ_TABLE 汎用モジュールに必要な機能が不足している場合があります。 SAP 管理者が SAP ノートの3390051と382318を確認し、それに応じてシステムに修正プログラムを適用していることを確認します。

詳細については、「 SAP Cloud Connector の設定を構成する」を参照してください。

データ コネクタのセットアップ時に "必要なAzure リソースをデプロイする" エラー

SAP - エージェントレス データ コネクタのMicrosoft Sentinelを設定すると、[初期コネクタ構成] > [手順 1: 必要なAzure リソース/SOC エンジニアの自動デプロイをトリガーする] で、[必要なリソースのデプロイ] を選択すると、"必要なAzure リソースのデプロイ" エラーまたは同様のエラー (エラーが異なる場合があります) が表示される場合があります。 このエラーは、Entra ID アプリの登録に必要なアクセス許可が不足していることを示している可能性があります。

Entra ID アプリケーション開発者ロール以上がない場合は、このアクセス許可を持つ同僚と協力して、Azure リソースの設定を完了する必要があります。 詳細については、 データ コネクタ エージェントの接続 手順の手順に従います。

"Last address routed" が見つかりません

セキュリティ監査ログに、最後にルーティングされたアドレス (IP アドレス) が見つからないというエラーが表示される場合は、SAP Note 3566290のガイダンスに従ってください。

不完全な SAP ユーザーマスタデータ

SAP ユーザーマスターデータが不完全であるか、ABAPAuthorizationDetails Microsoft Sentinelテーブルにデータが存在しないというエラーが表示された場合は、次の操作を行います。

1. SIAG_ROLE_GET_AUTH SAP 汎用モジュールが SAP ソースシステムに存在することを確認します。
2. 関連するソリューションの SAP Note 3088309のガイダンスに従ってください。

Sentinelの SAP システム接続の状態コード 500

Sentinelから SAP Cloud Integration への接続プロセス中に状態コード 500 でエラーが発生した場合は、SAP Cloud Integration の統合フロー "Data Collector" を監視している SAP 同僚に問い合わせてください。 本質的に、エラー メッセージの詳細は SAP の メッセージ処理ログでのみ使用できます。

SAP Cloud Integration での長いメッセージ処理時間またはメッセージ ボリュームの異常

SAP Cloud Integration でメッセージ ボリュームと処理時間が急激に急増する場合は、NetWeaver 側で責任あるソースをフィルター処理することを検討してください。 使用できるオプションは 2 つあります。

1. トランザクション SM19 と SAP のベスト プラクティス を使用して、急増の原因となっているユーザーおよびメッセージ クラスにフィルター設定を適用する
2. SAP Cloud Integration のSentinel パッケージのフィルター機能を使用して、ログ読み取りでフィルター処理を適用します。 パラメーターの max-rows は、統合フローを設計によるメッセージ・フラッディングから保護するために事前に設定されます。

NetWeaver のログ フィルターはソースの監査ログに書き込まれるものに影響しますが、SAP Cloud Integration のフィルターでは、問題のあるエントリを読み取らない場合にのみ選択されることに注意してください。

コネクタの登録またはログ ポーリング中のタイムアウト

Microsoft Sentinel エージェントレス ポーリングャーは、SAP Cloud Integration Data Collector iflow を呼び出すときに 2 つのタイムアウトを適用します。 いずれかの制限を超えると、インジェストが不完全になるか、再試行が繰り返されます。

初期接続 (45 秒の制限) – 部分的なデータと失敗したコネクタの登録

Microsoft Sentinelで新しい SAP システムを接続する場合、データ コレクター iflow への初期ハンドシェイクは 45 秒以内に完了する必要があります。 SAP 統合の応答に時間がかかる場合、コネクタは部分的なデータを取り込み、コネクタの登録は失敗します。

修復するには:

1. 前提条件チェッカー iflow を実行し、ランタイム測定値を確認して、低速ダウンストリーム呼び出し (RFC 宛先、監査ログの読み取り、ユーザー マスター読み取り) を特定します。
2. SAP Cloud Integration のダウンストリームの SAP 統合を調整して、応答時間を 45 秒未満にします。 一般的なレバーには、監査ログ フィルター設定 (SM19/RSAU のベスト プラクティス)、 max-rows や offset-in-seconds などのデータ コネクタ パラメーターのオーバーライド ( 「データ コネクタの動作のカスタマイズ」を参照)、SAP Cloud Connector/RFC のサイズ設定などがあります。
3. 応答時間を短縮できない場合は、SAP コミュニティ リポジトリのMicrosoft Sentinelからデータ コレクター スケジューラ iflow をデプロイして、SAP CPI-内部スケジューラ アプローチに切り替えます。 スケジューラ iflow では、Microsoft Sentinelはコネクタをポーリングまたは登録しません。SAP Cloud Integration によってプッシュされたデータのみを受信します。 このアプローチでは、リアルタイムの脅威保護を交換して、実行時間の長い SAP 応答に対する許容度を高めます。

トレードオフのエンド ツー エンドの説明については、ブログ記事「 エージェントレス SAP コネクタをコスト効率よく実行する」を参照してください。

実行時間の長い iflow (180 秒の制限) – PROCESSING/ABANDONED 状態とスノーボールの再試行

進行中のログ ポーリングの場合、データ コレクター iflow は 180 秒以内に 1 つのメッセージを完了する必要があります。 iflow がこの制限を超えると、通常、SAP Cloud Integration で PROCESSING や ABANDONED などのメッセージ処理ログの状態が表示されます。 Microsoft Sentinelポーリングャーは応答に成功しないため、同じタイム スライスを繰り返し再試行します。これにより、実行時間の長い iflow 実行が重複し、SAP システムの速度がさらに低下する可能性があります。

回復し、再発を防ぐには:

1. Microsoft Sentinelからコネクタを削除し、スケジュールされたSentinel要求が落ち着くのを待ちます。 これにより、再試行スノーボールが中断されます。
2. 前提条件チェッカー iflow を実行して、SAP での監査ログの読み取り応答時間が遅くなる根本原因を特定します (たとえば、インデックスが見つからない、監査ログのサイズが大きすぎる、レガシ リリースでコストのかかるユーザー マスターの読み取りなど)。
3. Microsoft Sentinelでデータ コネクタを再接続する前に、関連する修復 (監査ログ フィルターのチューニング (SM19/RSAU のベスト プラクティス) とデータ コレクター パラメーターのオーバーライド (max-rowsやoffset-in-secondsなど) を適用します (「データ コネクタの動作をカスタマイズする」を参照)。
4. 応答時間が 180 秒の制限を下回らない場合は、SAP コミュニティ リポジトリのMicrosoft Sentinelからデータ コレクター スケジューラ iflow をデプロイします。 SAP CPI-内部スケジューラに切り替えると、リアルタイムの脅威保護が侵害されますが、Microsoft Sentinelポーリングャーによって適用される再試行パターンは回避されます。

選択したトラブルシューティング手順は、データ コネクタ エージェントが コマンド ライン経由でデプロイされている場合にのみ関連します。 推奨される手順を使用して ポータルからエージェントをデプロイした場合は、ポータルを使用して構成を変更します。

役に立つ Docker コマンド

SAP データ コネクタのMicrosoft Sentinelのトラブルシューティングを行うときは、次のコマンドが役立つ場合があります。

機能	command
Docker コンテナーを停止する	docker stop sapcon-[SID]
Docker コンテナーを起動する	docker start sapcon-[SID]
Docker システム ログを表示する	docker logs -f sapcon-[SID]
Docker コンテナーを入力します	docker exec -it sapcon-[SID] bash

詳細については、 Docker CLI のドキュメントを参照してください。

システム ログを確認する

データ コネクタをインストールまたはリセットした後、システム ログを確認することを強くお勧めします。

実行：

docker logs -f sapcon-[SID]

デバッグ モードの印刷を有効または無効にする

この手順は、 コマンド ラインからデータ コネクタ エージェントをデプロイした場合にのみサポートされます。

1. データ コレクター エージェント コンテナー仮想マシンで、 /opt/sapcon/[SID]/systemconfig.json ファイルを 編集します。

2. 以前に定義されていない場合は、[ 全般] セクションを定義します。 このセクションでは、デバッグ モードの印刷を有効にする logging_debug = True を定義するか、無効にする logging_debug = False を定義します。

   例:

   [General]
   logging_debug = True
   

3. ファイルを保存します。

この変更は、ファイルを保存してから約 2 分後に有効になります。 Docker コンテナーを再起動する必要はありません。

すべてのコンテナー実行ログを表示する

SAP アプリケーションのデータ コネクタデプロイ用のMicrosoft Sentinel ソリューションのコネクタ実行ログは、/opt/sapcon/[SID]/log/内の VM に格納されます。 ログ ファイル名が OmniLog.log。 ログ ファイルの履歴は保持され、サフィックスは .[number] ( OmniLog.log.1、 OmniLog.log.2 など)。

SAP エージェント コネクタ構成ファイルのMicrosoft Sentinelを確認して更新する

この手順は、 コマンド ラインからデータ コネクタ エージェントをデプロイした場合にのみサポートされます。 ポータルを使用してエージェントをデプロイした場合は、引き続きポータルを使用して構成設定を維持および変更します。

コマンド ラインを使用してデプロイした場合は、次の手順を実行します。

1. VM で、構成ファイル sapcon/[SID]/systemconfig.jsonを開きます。

2. 必要に応じて構成を更新し、ファイルを保存します。 詳細については、SAP アプリケーションのMicrosoft Sentinel ソリューションsystemconfig.jsonファイル リファレンスを参照してください。

この変更は、ファイルを保存してから約 2 分後に有効になります。 Docker コンテナーを再起動する必要はありません。

SAP データ コネクタのMicrosoft Sentinelをリセットする

次の手順では、過去 30 分間にコネクタと再び SAP ログをリセットします。

1. コネクタを停止します。 実行：

   docker stop sapcon-[SID]
   

2. /opt/sapcon/[SID] ディレクトリからmetadata.db ファイルを削除します。 実行：

   cd /opt/sapcon/<SID>
   rm metadata.db
   

   注:

   metadata.db ファイルには、各ログの最後のタイムスタンプが含まれており、重複を防ぐために機能します。

3. コネクタをもう一度起動します。 実行：

   docker start sapcon-[SID]
   

完了したら、 システム ログを確認 してください。

一般的な問題

SAP データ コネクタのMicrosoft Sentinelとセキュリティ コンテンツの両方をデプロイすると、次のエラーまたは問題が発生する可能性があります。

SAP SDK ファイルが破損しているか見つからない

このエラーは、コネクタが PyRfc で起動できない場合、または zip 関連のエラー メッセージが表示された場合に発生する可能性があります。

1. SAP SDK を再インストールします。
2. nwrfc750P_8-70002752.zip など、正しいLinux 64 ビット バージョンであることを確認します。

データ コネクタを手動でインストールした場合は、SDK ファイルを Docker コンテナーにコピーしたことを確認します。

実行：

docker cp nwrfc750P_8-70002752.zip /sapcon-app/inst/

ABAP ランタイム エラーが大規模なシステムに表示される

この手順は、 コマンド ラインからデータ コネクタ エージェントをデプロイした場合にのみサポートされます。

大規模なシステムで ABAP ランタイム エラーが発生する場合は、チャンク サイズを小さく設定してみてください。

1. /opt/sapcon/[SID]/systemconfig.json ファイルを編集し、[コネクタの構成] セクションでtimechunk = 5を定義します。

   例:

   [Connector Configuration]
   timechunk = 5
   

2. ファイルを保存します。

この変更は、ファイルを保存してから約 2 分後に有効になります。 Docker コンテナーを再起動する必要はありません。

特別なエラー メッセージを含めずに、監査ログを空にするか、監査ログを取得しなかった

1. SAP で監査ログが有効になっていることを確認します。
2. SM19 または RSAU_CONFIG トランザクションを確認します。
3. 必要に応じてイベントを有効にします。
4. コネクタ ログに特別なエラーが表示されることなく、メッセージが SAP SM20 または RSAU_READ_LOGに到着して存在するかどうかを確認します。

キー コンテナー内のワークスペース ID またはキーが正しくありません

デプロイ スクリプトに正しくないワークスペース ID またはキーを入力した場合は、Azure Key Vaultに格納されている資格情報を更新します。

KeyVault Azureで資格情報を確認したら、コンテナーを再起動します。

docker restart sapcon-[SID]

キー コンテナー内の SAP ABAP ユーザー資格情報が正しくありません

資格情報を確認し、必要に応じて修正し、Azure Key Vaultの ABAPUSER 値と ABAPPASS 値に正しい値を適用します。

次に、コンテナーを再起動します。

docker restart sapcon-[SID]

固定構成の SAP ABAP ユーザー資格情報が正しくありません

このセクションは、 コマンド ラインからデータ コネクタ エージェントをデプロイした場合にのみサポートされます。

固定構成とは、パスワードが systemconfig.json 構成ファイルに直接格納される場合です。

資格情報が正しくない場合は、資格情報を確認します。

base64 暗号化を使用して、ユーザーとパスワードを暗号化します。 オンライン暗号化ツールを使用して、 https://www.base64encode.org/などの資格情報を暗号化できます。

ABAP (SAP ユーザー) のアクセス許可がありません

のようなエラー メッセージが表示される場合: ..バックエンド RFC 承認がありません。..,SAP の承認とロールが正しく適用されませんでした。

1. MSFTSEN/SENTINEL_CONNECTOR ロールが変更要求トランスポートの一部としてインポートされ、コネクタ ユーザーに適用されていることを確認します。

2. SAP トランザクション PFCG を使用して、ロール生成とユーザー比較プロセスを実行します。

ブックまたはアラートにデータが見つからない

Microsoft Sentinelブックまたはアラートにデータが見つからない場合は、コンテナー ログ ファイルでエラーが発生せず、SAP 側で監査ログ ポリシーが適切に有効になっていることを確認します。

この手順では 、RSAU_CONFIG_LOG トランザクションを使用します。

詳細については、MICROSOFT SENTINELの SAP ドキュメントと SAP HANA 監査ログの収集に関するページを参照してください。

特定のログだけでなく、監査ログ からのすべての メッセージに対して監査を構成することをお勧めします。 インジェストコストの違いは一般的に最小限であり、データはMicrosoft Sentinel検出や侵害後の調査やハンティングに役立ちます。 詳細については、「 SAP 監査の構成」を参照してください。

SAP 監査ログに IP アドレスまたはトランザクション コード フィールドがない

SAP BASIS 7.5 SP12 以降のバージョンを持つ SAP システムでは、Microsoft Sentinelは、ABAPAuditLog_CLテーブルとSAPAuditLogテーブルに追加のフィールドを反映できます。

7.5 SP12 より大きい SAP BASIS バージョンを使用していて、SAP 監査ログに IP アドレスまたはトランザクション コード フィールドがない場合は、データの抽出元の SAP システムに関連する変更要求 (トランスポート) が含まれていることを確認します。 詳細については、「 追加のデータ取得のサポートを構成する (推奨)」を参照してください。

SAP 変更要求が見つからない

必要な SAP 変更要求が見つからないというエラーが表示される場合は、システムに対する正しい SAP 変更要求がインポートされていることを確認してください。 詳細については、「SAP の前提条件」および「Microsoft Sentinel ソリューションの SAP システムの構成」を参照してください。

SAP テーブル データ ログにデータが表示されない

SAP BASIS 7.5 SP12 以降のバージョンを持つ SAP システムでは、ABAPTableDataLog_CL テーブルのテーブル データ ログの変更を反映Microsoft Sentinel。

ABAPTableDataLog_CLテーブルにデータが表示されていない場合は、データを抽出する SAP システムに関連する変更要求 (トランスポート) が含まれていることを確認します。 詳細については、「 追加のデータ取得のサポートを構成する (推奨)」を参照してください。

レコードなし/遅延レコード

データ コレクター エージェントは、正しいタイム ゾーン情報に依存しています。 SAP 監査ログと変更ログにレコードがない場合、またはレコードが数時間遅れている場合は、SAP TZCUSTHELP レポートにエラーが表示されるかどうかをチェックします。 詳細については、「 SAP Note 481835」を参照してください。

また、データ コレクター エージェント コンテナーがホストされている仮想マシン上のクロックに問題があり、UTC からの VM 上のクロックからの逸脱がデータ収集に影響する可能性もあります。 さらに重要なのは、SAP システム マシンとデータ コレクター エージェント マシンの両方のクロックが一致している必要があります。

特定のログだけでなく、監査ログ からのすべての メッセージに対して監査を構成することをお勧めします。 インジェストコストの違いは一般的に最小限であり、データはMicrosoft Sentinel検出や侵害後の調査やハンティングに役立ちます。 詳細については、「 SAP 監査の構成」を参照してください。

ネットワーク接続の問題

SAP 環境またはMicrosoft Sentinelにネットワーク接続の問題が発生している場合は、ネットワーク接続をチェックして、データが期待どおりに流れているかどうかを確認します。

一般的な問題は次のとおりです。

• Docker コンテナーと SAP ホストの間のファイアウォールがトラフィックをブロックしている可能性があります。 SAP ホストは、32xx、5xx13、および 33xx の TCP ポートを介して通信を受信します。xx は SAP インスタンス番号です。

• SAP エージェント ホストから Microsoft Container Registry または Azure への送信通信には、プロキシ構成が必要です。 これは通常、インストールに影響を与え、 HTTP_PROXY と HTTPS_PROXY 環境変数を構成する必要があります。 コンテナーを作成するときに、docker create / run コマンドに -e フラグを追加することで、環境変数を docker コンテナーに取り込むこともできます。

監査ログの取得が警告で失敗する

このセクションは、 コマンド ラインからデータ コネクタ エージェントをデプロイした場合にのみサポートされます。

必要な構成なしで監査ログを取得しようとして、プロセスが警告で失敗した場合は、次のいずれかの方法を使用して SAP Auditlog を取得できることを確認します。

• 以前のバージョンで XAL と呼ばれる互換モードを使用する
• 最近パッチが適用されていないバージョンの使用
• Microsoft Sentinel データ コネクタ エージェントに接続するための変更は行われません。 詳細については、「Microsoft Sentinel ソリューションの SAP システムを構成する」を参照してください。

必要に応じて、システムは自動的に互換モードに切り替える必要があります。手動で切り替える必要がある場合があります。 互換モードに手動で切り替えるには:

1. /opt/sapcon/[SID]/systemconfig.json ファイルを編集します。

2. [ コネクタの構成] セクションで、次の定義を行います。 auditlogforcexal = True

   例:

   [Connector Configuration]
   auditlogforcexal = True
   

3. ファイルを保存します。

この変更は、ファイルを保存してから約 2 分後に有効になります。 Docker コンテナーを再起動する必要はありません。

SAPCONTROL または JAVA サブシステムが接続できない

OS ユーザーが有効であり、ターゲット SAP システムで次のコマンドを実行できることを確認します。

sapcontrol -nr <SID> -function GetSystemInstanceList

SAPCONTROL または JAVA サブシステムがタイム ゾーン関連のエラー メッセージで失敗する

SAPCONTROL または JAVA サブシステムが、次のようなタイムゾーン関連のエラー メッセージで失敗した場合は、SAP サーバーへの構成とネットワーク アクセスをチェックしてください - 'Etc/NZST' は、標準のタイムゾーン コードを使用していることを確認してください。

たとえば、 javatz = GMT+12 または abaptz = GMT-3**を使用します。

初期読み込み後に取り込まれていない監査ログ データ

RSAU_READ_LOADトランザクションまたは SM200 トランザクションで表示される SAP 監査ログ データが、初期読み込み後にMicrosoft Sentinelに取り込まれていない場合、SAP システムと SAP ホスト オペレーティング システムの構成が誤っている可能性があります。

• 初期読み込みは、SAP データ コネクタ用のMicrosoft Sentinelを新しくインストールした後、またはmetadata.db ファイルが削除された後に取り込まれます。
• サンプルの構成ミスは、STZAC トランザクションで SAP システムのタイムゾーンが CET に設定されているが、SAP ホスト オペレーティング システムのタイム ゾーンが UTC に設定されている場合です。

構成ミスをチェックするには、トランザクション SE38 で RSDBTIME レポートを実行します。 SAP システムと SAP ホスト オペレーティング システムの間に不一致が見つかる場合:

1. Docker コンテナーを停止します。 実行

   docker stop sapcon-[SID]
   

2. /opt/sapcon/[SID] ディレクトリからmetadata.db ファイルを削除します。 実行：

   rm /opt/sapcon/[SID]/metadata.db
   

3. SAP システムと SAP ホスト オペレーティング システムを更新して、一致する設定 (同じタイム ゾーンなど) が設定されるようにします。 詳細については、 SAP Community Wiki を参照してください。

4. コンテナーをもう一度起動します。 実行：

   docker start sapcon-[SID]
   

その他の予期しない問題

この記事に記載されていない予期しない問題がある場合は、次の手順を試してください。

• コネクタをリセットしてログを再読み込みする
• コネクタを 最新バージョンにアップグレードします。

• データ コネクタ エージェント コンテナーをデプロイして SAP システムを接続する
• SAP HANA 監査ログを収集する

• Kickstart スクリプト リファレンス
• スクリプトリファレンスを更新する
• SAP アプリケーション用のMicrosoft Sentinel ソリューションsystemconfig.jsonファイル リファレンス