SAP S/4HANA Cloud のシステム構成・セキュリティ・運用
プロアクシアコンサルティングでは SAP S/4HANA Cloud, Public Edition のご紹介・ご提案から導入のご支援までご提供させていますが、本ブログでは SAP S/4HANA Cloud における ”システム構成・セキュリティ・運用など”、いわゆる非機能要件について、その特徴および概要を説明します。
目次
サービス稼働要件
SAP S/4HANA Cloud, Public Edition は、基本的には365日24時間提供されるサービスです。
ただし、SAP によるアップグレードや最新機能のリリース、バグフィックス等の即時提供の視点により下記の2つの計画停止が存在しています。
※ システムアップデート/アップグレードの内容については、以下を参照してください。
システムアップグレードとアップデート
計画停止実施日付・タスク別/地域別のダウンタイムについては、SAP により Upgrade & Maintenance Schedule として公開されており、事前にシステムの稼働予定に対して、業務日程との調整を行うことが可能です。
特に24時間365日稼働される必要がある業種・業態のお客様の場合は十分な確認が必要です。
Upgrade & Maintenance Schedule
SAP for Me からは、ご利用中のクラウドシステムの可用性に関する情報やイベント計画などを リアルタイムに確認することができます。
https://support.sap.com/ja/my-support/systems-installations/cac.html
システム構成
データセンタロケーション
SAP は自社のワークロードを実行するためにパブリッククラウドプロバイダーを認定しています。
認定プロバイダーは、Amazon Web Services (AWS)、Microsoft Azure、IBM Cloud、Google Cloud、Oracle Cloud、Alibaba Cloud、Huawei Cloud などで、世界各国のデータセンタにおいてサービス提供中です(2023年末時点)。
※ SAP が公開しているデータセンターロケーション情報については、こちらから確認できますので、ご使用中のロケーションの状況の参照も可能です。
データセンタロケーション
※ データセンターのセキュリティ対策については、以下をご参照ください。
セキュリティ対策
システム環境構成
SAP S/4HANA Cloud, Public Edition サービスのシステム構成概要は、マルチテナント型のアーキテクチャを採用しています。
マルチテナントは、同一のクラウド環境を複数のユーザーが利用しますが、利用者ごとに物理データベースを用意するなどして、システム内のデータアクセスを適切に制御して、テナントを分離・管理しています。
なお、SAP S/4HANA Cloud, Public Edition は、SaaS サービスであり、サーバ側のリソースは他の顧客とも共有されることから、SAP は必要なリソース・冗長性を加味した構成を取っていますが、サーバの詳細機器スペックおよび個々のテナント毎の詳細なスペックについては公開されていません。
※ 各テナントへのアクセス制御については、以下をご参照ください。
セキュリティ対策
SAP S/4HANA Cloud, Public Edition システムランドスケープ
ユーザーごとにテナント内のシステム構成は、開発/テスト/本番の3システムランドスケープでの提供となります。
これにより、本番環境に影響を与えることなく開発・テストを行うことができ、かつ開発途中の状態が各種テストに影響を及ぼすことを抑止します。
開発システムでは、2つのテナント (クライアント) が顧客に提供され、Fit to Standard 分析結果をシステム設定として反映したり、拡張開発を行う為に用いられます。
なお、開発システムに対しては、CBC (Central Business Configuration) が提供されており、開発・カスタマイズの両テナントに対して、システムの設定をサポートします。
※ 注意点として、現状カスタマイズテナント → 開発テナント間のパラメータ定義やキーユーザー拡張のコピーはできない為、必要な設定は両テナントに対して実施する必要があります。
テストシステムでは、開発システムで実装された内容に基づいて、システム間の統合テストやユーザーによる受け入れ検証、移行テストなど、様々なのテストを行う為の環境となります。
問題がなければ次の本番機へと移送することになります。
※ パラメータ定義などのシステム設定や勘定コードは移送の仕組みで反映されますが、権限設定やキーユーザー拡張などについてはソフトウェアコレクションのオブジェクトを通じてシステム間で反映されます。
※ オンプレミス環境のような複数クライアントの利用が制限されており、テストシステム内の環境が単一クライアントの利用となる為、各種テストの実施においては、時間軸や会社コードで分割する等、テスト計画時点で使用するデータ帯域も定義しておく必要があります。
本番システムは、実際にユーザが業務で使用する環境となります。
データやシステムも開発/テストシステムとは独立しており、アップグレード作業や不具合対応等が本番運用に影響することなくと、並行で対応することができます。
※ アップグレードとシステムランドスケープの関係性は、以下をご参照ください。
システムアップグレードとアップデート
セキュリティ対策
SAP の提供情報により、SAP S/4HANA Cloud 環境に対して、以下のようなセキュリティ対策が講じられています。
また、クラウド上にデータを保管されており、万一災害が起きた際などにもデータをそのまま利用できるため、BCP 対策にもつながります。
データセンタ/物理アクセス管理
SAP データセンタへのアクセスは、生体認証を用いた入退館管理を行っており、許可された人物以外はアクセス出来ません。
システムアクセス管理
クラウドサービスが運用されているネットワークセグメントは、SAP の社内ネットワークから物理的に分断されており、クラウドサービス運用に関係者以外はアクセス出来ません。
なお、運用チームがシステムアクセスを行う場合にも、作業内容/スケジュールを含む事前申請 ～ 承認と、システムへのアクセスも踏み台サーバ経由に限定することで、作業ログの取得等、厳格な運用管理を行っています。
また、アクセス権限が SAP 人事プロセスと統合管理されており、人事異動等による対象者の変動があった場合にも、適切な権限管理が担保されています。
ログ監視異常時対応体制
SAP クラウドサービスを提供している各システムで取得されたログは、セントラルログシステムに収集され、分析ツールによる異常検知およびエキスパートによるマニュアル分析、異常検知を行っています。
異常が検知された場合、セキュリティインシデントが登録され、即座にセキュリティ対策チームによる分析、対応方法の決定および実行が行われ、問題の迅速な解決を図ります。
システム侵入対策
ネットワーク階層における Firewall 設置、IDS および IPS を使った侵入検知/防御に加えて、アプリケーション階層での WAF により、不正なアクセスや侵入・Web サイト攻撃等のパターンを監視・検知、不正な通信を遮断してシステムを悪意のある外部からの攻撃から守ります。
マルウェア対策
常に最新のシグネチャーファイルを使用して、週次でのフルウィルススキャンおよびファイルアップロード時のリアルタイムスキャンを行っています。
脆弱性対策
OS、DB、ネットワーク機器、アプリケーションの各階層で、週次の計画停止時間を使って必要なセキュリティパッチを随時適用しています。
SAP S/4HANA Cloud のアプリケーションコードについては、開発段階での脆弱性チェック/テストに加えて、定期的な外部機関による脆弱性評価/ペネトレーションテストを実施しています。
アクセス認証
SAP BTP Cloud Identity Service に含まれる Identity Authentication Service (IAS) により、ユーザ ID / パスワードによる基本認証やルールベースのリスクベース認証を行います。
パスワードの管理ポリシーの設定により、パスワードの文字数や文字種別の組合せ、パスワード更新サイクル等の設定、2要素認証や接続元 IP アドレス範囲の限定といったルール設定を行うことが可能です。
また、自社で既に認証プロバイダ (IdP) を利用している場合は、SAP BTP IAS を認証プロキシとして利用して、SAML 2.0 統合によるシングルサインオン (SSO) 環境を構築することも可能です。
また、IAS は、SAP Analytics Cloud や Build Work Zone とも統合させることも可能です。
※ SAP が運用するデータセンタやセキュリティ対策・方針に関する総合情報サイトとして、SAP Trust Center が提供されています。
https://www.sap.com/japan/about/trust-center.html
バックアップ
SAP によるバックアップは、本番環境とテスト環境に対してフルバックアップと日中にログバックアップを行う運用となっています。
ただし、本番環境が日次＋28日/28世代の実施に対して、テスト環境は週次＋14日/2世代となります。
なお、バックアップのリストアについては、SAP におけるクラウド運用上必要な場合にのみ顧客と相談の上リストアされますが、ユーザー側の要望によるリストアは行えない点は注意が必要です。
大規模災害対応としては、バックアップファイルを遠隔 D/C にも転送保管することでデータの損失を防止し、バックアップリストアによる早期復旧を行います。
これに加えて、災害復旧 (DR:Disaster Recovery) オプション (有償) を利用することで、待機系のシステム構築とデータレプリケーションによる同期化で、災害時に待機系システムへ切替ることでサービスを継続することもできます。
システムアップグレードとアップデート
SAP S/4HANA Cloud, Public Edition は、システムアップグレードとシステムアップデートを通じて、常に最新のシステムを利用することで、新機能を順次活用していくことが可能です。
システムアップグレードは、年間2回実施され、前回アップグレード以降にアップデートで提供された新機能を含むすべての内容を含んでおり、最新のリリースバージョンを確実に適用することができます。
これに加えて、月次レベルの短サイクルのシステムアップデートにより新しい技術や機能・機能改善が反映されることになります (有効化/無効化の選択が可能)。
SAP Activate で定義される、SAP S/4HANA Cloud, Public Edition の定期的なアップグレードのロードマップとなります。
準備・実現化の2つのフェーズで構成されており、導入ロードマップと同様に推奨タスクやアクセラレータが提供されています。
機能更新の情報については、RASD (Release Assessment and Scope Dependency) ツールによるユーザー毎の有効なスコープに基いた影響分析や What’s New Viewer で各リリースバージョンごとの詳細な変更内容を検索・確認もできますし、SAP Road Map Explorer で将来計画されているリリース予定機能を確認することも可能です。
※ SAP S/4HANA Cloud, Public Edition のアップグレードとテストプランに関する事例については、こちらのブログもご参照ください。
https://www.proaxia-consulting.co.jp/engineerblog/blog2024-04/
まとめ
S/4 HANA Cloud のシステム構成やセキュリティ・運用の考え方などについてご説明してきました。
オンプレミスからパブリッククラウドへの移行により、上記のように IT インフラストラクチャー・データ管理のプラットフォームからロケーションの考え方が変わります。
これにより、セキュリティ管理やバックアップ等のサーバの運用管理の負担が下がり、最新技術や機能を活用できるというメリットが享受できます。
標準化された業務プロセスはクラウドで管理し、自社の業務の源泉となるものなど標準機能に適合しきれないものは SAP の外部で開発、またはオンプレミスでの管理を行うなど自社の業務とシステムを整理して、パブリッククラウドをうまく活用することで企業価値を高めることにお役立ていただきたいと思います。
※製品/サービスに関する詳しいお問い合わせや機能デモのご依頼・ご相談は、弊社 Web サイトよりお問い合わせください。
