народ, пока копаю информацию по теме - но может кто-нибудь уже это делал и наставит на путь истинный. Клиент хочет, чтобы пользователи подключались в системы без запроса логина/пароля - используя SAPGUI. В принципе возможно ли это? про ITS - уже читала - портал не предлагать:) Про синхронизацию данных Active Directory и основных записей пользователя в SAP в курсе. У клиента появилось желание, чтобы имя/пароль бралось GUi из AD - происходил мэппинг в SAP-зверя - поскольку в SAP своя структура наименований пользователя - и передавались данные в WAS для регистрации. Все права доступа - брались из SAP ролей.

Какие варианты реализаций кто знает?:) может без мэппинга...

А вообще интересно - кто какие схемы связи SAP-AD использует?

SSO for SAP: SECUDE PSE Management

http://secude-products.com/html/index.php?id=903

Secude конечно хорошо, но плохо что его нет официально в России.
В общем целом для windows всё описано в help саповском , но там так в общих чертах+ есть маленькие везде вставки типа :
Therefore, we recommend that you only use BC-SNC certified Single Sign-On solutions
В общем и целом :
http://help.sap.com/saphelp_nwmobile71/ ... ontent.htm
http://help.sap.com/erp2005_ehp_04/help ... ameset.htm
Есть ещё несколько компаний которые сертифицированы для SNC, через которые соответственно и работает SSO -->

Крестьянский метод: бросьте им на рабочий стол ярлыки соединений, с сохраненными именем пользователя и паролем

Крестьянский метод не подходит:( безопасность свою работу показывает - еле добились изменение паролей не чаще чем раз в три месяца....
SNC вешать там, где континенты стоят - тоже как-то не камильфо - мне кажется - двойное шифрование мда...
И да кстати сервера под AIX - поэтому виндовозный Microsoft NTLM SSP не подходит...

Есть еще какие-нибудь идеи?:) Ну может приблуду какую к гую кто писал?:)

А кстати никто вообще не коннектит SAP к AD? - или только для того чтобы получить информацию о пользователе?

а может клиент все-таки потратит денюжку и поставит, например, oracle identity manager?
хорошая штука. себе такую хотим ставить.

клиент уже потратил денюжку на тиволи identity manager:) - только интегратор не может с ним разобраться:)

ну понятно, безопасники как всегда мудрят.. пароли в ярлыках при "крестьянском методе" хранятся зашифрованными... за доступ к рабочему столу отвечает безопасность Windows.... та самая к которой вы хотите привязать GUI?

виндовс, виндовс - boot-флэшка со слаксой и platin-гуем и щастье - никаких проблем - ушёл - брелок забрал

Были ведь отечественные разработки по SNC - в Мекомпе - надо автора спросить, есть ли развитие , и вторая Лисси так что ли?
Если этого нет, ИМХО надо тиволи копать, поскольку он уже есть.

да - лисси - активно на ржд юзается

Если для настройки КриптоПро у каждого клиента надо будет исполнить столько же разных па с бубном и приседаниями, сколько и в настройке КриптоПро для банк-клиентов - то ну его в болото три раза.

Здравствуйте.

Получилось ли у кого-нибудь штатными средствами получить искомое?

Пробую по http://www.realtech.com/wInternational/ ... sv5_en.pdf настроить.

Только у меня сап не на linux, а на hp-ux и W2k3 с AD пока установил свой. Соответственно DNS-имена у компьютеров отличаются от суффикса в моём AD. Запнулся на "3.4 Initialize Kerberos: Ticket Granting Ticket (TGT)". у меня соответствующая команда kinit выдаёт "kinit: Cannot contact any KDC for requested realm while getting initial credentials" вместо "Authenticated to Kerberos v5". Яндекс с гуглем говорят проверить конфиги кербероса. Но это как бы ни о чём - я ж переписываю с руководства. Есть ли возможность более широкой диагностики, что конкретно ему не нравится?

еще есть гостовый продукт "Блокхост-SNC", сертифицирован под AIX, Solaris и Окна

не реклама, так для сведения