商務(wù)咨詢
SAP Business One 9.2如何啟用外部瀏覽器訪問(wèn)-選擇處理外部請(qǐng)求的方法
SAP Business One瀏覽器訪問(wèn)服務(wù)可幫助你在公司網(wǎng)絡(luò)之外使用SAP Business One.為了安全訪問(wèn),你必須確保執(zhí)行以下操作:
1. 使用適當(dāng)?shù)姆椒ㄌ幚硗獠空?qǐng)求.
2. 使用有效的證書(shū)安裝相關(guān)的SAP Business One服務(wù).
3. 為每個(gè)相關(guān)的SAP Business One服務(wù)分配一個(gè)外部地址.
4. 在外部地址和內(nèi)部地址之間建立正確的映射.
或者,你可以使用Citrix或類(lèi)似解決方案進(jìn)行外部訪問(wèn).這些第三方解決方案不在本指南中.
一、選擇處理外部請(qǐng)求的方法
由于瀏覽器訪問(wèn)服務(wù)使你能夠從外部網(wǎng)絡(luò)訪問(wèn)SAP Business One,因此外部請(qǐng)求可以正確發(fā)送到內(nèi)部服務(wù)至關(guān)重要.
為了處理外部請(qǐng)求,我們建議部署逆向代理,而不是使用NAT / PAT(網(wǎng)絡(luò)地址轉(zhuǎn)換/端口地址轉(zhuǎn)換).與NAT / PTA相比,反向代理更靈活,可以過(guò)濾傳入請(qǐng)求.
注意
無(wú)論使用何種方法,數(shù)據(jù)庫(kù)服務(wù)都不會(huì)暴露給外部網(wǎng)絡(luò);僅顯示SAP Business One服務(wù).但是,你不能直接為安裝了SAP Business One組件的任何服務(wù)器直接分配外部IP地址.
要提高橫向安全性,可以在不是持有SAP Business One組件的計(jì)算機(jī)上安裝數(shù)據(jù)庫(kù)服務(wù)器.
反向代理
反向代理作為內(nèi)部SAP Business One服務(wù)和外部客戶端之間的交換.所有外部客戶端向逆向代理發(fā)送請(qǐng)求,逆向代理將請(qǐng)求轉(zhuǎn)發(fā)到內(nèi)部SAP Business One服務(wù).
要使用反向代理來(lái)處理傳入的外部請(qǐng)求,你需要:
1. 在安裝過(guò)程中為所有SAP Business One服務(wù)導(dǎo)入受信任的根證書(shū).
證書(shū)可以由第三方證書(shū)頒發(fā)機(jī)構(gòu)(CA)或本地企業(yè)CA頒發(fā).有關(guān)設(shè)置本地證書(shū)頒發(fā)機(jī)構(gòu)頒發(fā)內(nèi)部證書(shū)的說(shuō)明,請(qǐng)參閱Microsoft文檔.
SAP Business One格局中的所有組件(包括反向代理)都應(yīng)該信任為所有SAP Business One服務(wù)頒發(fā)內(nèi)部證書(shū)的根CA.
1. 從第三方公共CA購(gòu)買(mǎi)證書(shū),并將證書(shū)導(dǎo)入到反向代理服務(wù)器.
請(qǐng)注意,此證書(shū)必須不同于第一個(gè)證書(shū).雖然第一個(gè)證書(shū)允許反向代理信任CA,反過(guò)來(lái),SAP Business One服務(wù),第二個(gè)證書(shū)允許反向代理被外部客戶端信任.
來(lái)自外部網(wǎng)絡(luò)的所有客戶端自然地信任公共CA,反過(guò)來(lái),信任反向代理.因此,從內(nèi)部SAP Business One服務(wù)到逆向代理和外部客戶端建立了一個(gè)信任鏈.
NAT/PAT(網(wǎng)絡(luò)地址映射/端口地址映射)
如果你喜歡NAT / PAT到反向代理,請(qǐng)注意所有客戶端直接連接到內(nèi)部SAP Business One服務(wù),外部客戶端和內(nèi)部客戶端.
要使用NAT / PAT,必須從第三方CA購(gòu)買(mǎi)證書(shū),并將證書(shū)導(dǎo)入到隨SAP Business One服務(wù)安裝的所有計(jì)算機(jī).所有客戶必須信任此第三方公共CA.
二、準(zhǔn)備HTTPS服務(wù)的證書(shū)
任何偵聽(tīng)HTTPS的服務(wù)都需要有效的PKCS12(.pfx)證書(shū)才能正常工作,特別是對(duì)使用瀏覽器訪問(wèn)服務(wù)的外部訪問(wèn).
如何準(zhǔn)備PKCS12(.pfx)證書(shū)取決于你計(jì)劃如何將SAP Business One服務(wù)(包括瀏覽器訪問(wèn)服務(wù))公開(kāi)到Internet(外部網(wǎng)絡(luò))
準(zhǔn)備證書(shū)時(shí),請(qǐng)注意以下幾點(diǎn):
· 確保整個(gè)證書(shū)鏈包含在證書(shū)中.
· 要簡(jiǎn)化證書(shū)管理,請(qǐng)?jiān)O(shè)置通配符DNS(* .DomainName).
· 公鑰必須是2048位RSA密鑰.
注意,JAVA不支持4096位RSA密鑰,并且1024位不再是安全的.
或者,你可以使用256位ECDH鍵,但建議使用RSA-2048.
· 簽名散列算法必須至少為SHA-2(例如,SHA256).
反向代理(推薦)
對(duì)于反向代理,請(qǐng)為內(nèi)部域準(zhǔn)備內(nèi)部證書(shū),并將內(nèi)部根證書(shū)導(dǎo)入所有Windows服務(wù)器.然后為外部域購(gòu)買(mǎi)由第三方CA頒發(fā)的另一個(gè)外部證書(shū),并將此證書(shū)導(dǎo)入反向代理服務(wù)器.
NAT/PAT(網(wǎng)絡(luò)地址映射/端口地址映射)
如果使用NAT / PAT處理外部客戶端請(qǐng)求,請(qǐng)購(gòu)買(mǎi)第三方CA針對(duì)內(nèi)部域和外部域頒發(fā)的證書(shū).
如果內(nèi)部域和外部域具有不同的名稱,則此證書(shū)應(yīng)在”主題備用名稱”字段中列出兩個(gè)域.但是,我們建議你對(duì)內(nèi)部和外部域使用相同的域名.
三、準(zhǔn)備外部地址
要將SAP Business One服務(wù)公開(kāi)到Internet(外部網(wǎng)絡(luò)),必須為相關(guān)組件準(zhǔn)備外部地址.
注意
服務(wù)層僅用于內(nèi)部組件調(diào)用,你不需要將其公開(kāi)到Internet
請(qǐng)注意以下幾點(diǎn):
· 每個(gè)組件的外部地址和內(nèi)部地址必須不同;否則,外部網(wǎng)絡(luò)不能與內(nèi)部網(wǎng)絡(luò)區(qū)分開(kāi),使得瀏覽器訪問(wèn)錯(cuò)誤.
· 僅支持一組外部地址.通過(guò)外部地址的DNS別名進(jìn)行通信將導(dǎo)致錯(cuò)誤.
反向代理模式
如果你打算使用反向代理處理客戶端請(qǐng)求,我們建議你為內(nèi)部域和外部域使用不同的域名.例如,內(nèi)部域是abc.corp,外部域是def.com.
準(zhǔn)備外部地址如下:
· 為每個(gè)組件準(zhǔn)備一個(gè)外部地址:
· 系統(tǒng)架構(gòu)目錄(SLD)
· 瀏覽器訪問(wèn)服務(wù)
· 集成框架(如果使用SAP Business One移動(dòng)解決方案)
· 每個(gè)組件的內(nèi)部地址必須與內(nèi)部域的證書(shū)的公用名稱匹配;每個(gè)組件的外部地址必須與為外部域購(gòu)買(mǎi)的證書(shū)的公用名稱匹配.
例子
組件的內(nèi)部URL如下:
o 系統(tǒng)架構(gòu)目錄: https://SLDInternalAddress.abc.corp:Port
o 瀏覽器訪問(wèn)服務(wù): https://BASInternalAddress.abc.corp:Port/dispatcher
o 集成框架: https://B1iInternalAddress.abc.corp:Port/B1iXcellerator
外部URL如下:
o 系統(tǒng)架構(gòu)目錄:https://SLDExternalAddress.def.com:Port
o 瀏覽器訪問(wèn)服務(wù):https://BASExternalAddress.def.com:Port/dispatcher
o 集成框架: https://B1iExternalAddress.def.com:Port/B1iXcellerator
NAT/PAT(網(wǎng)絡(luò)地址映射/端口地址映射)
如果你打算使用NAT / PAT處理客戶端請(qǐng)求,我們建議你在內(nèi)部和外部網(wǎng)絡(luò)中使用相同的域名.例如,內(nèi)部域和外部域都是abc.com.
準(zhǔn)備外部地址如下:
· 為每個(gè)組件準(zhǔn)備一個(gè)外部地址(主機(jī)名或IP地址):
· 系統(tǒng)架構(gòu)目錄(SLD)
· 瀏覽器訪問(wèn)服務(wù)
· 集成框架(如果使用SAP Business One移動(dòng)解決方案)
· 對(duì)于這些組件,外部地址和端口的組合必須不同.換句話說(shuō),如果兩個(gè)組件具有相同的外部地址,則它們偵聽(tīng)的端口必須不同;反之亦然.
· 每個(gè)組件的內(nèi)部地址和外部地址必須與為內(nèi)部域和外部域購(gòu)買(mǎi)的證書(shū)的公用名稱匹配.
例子
組件的內(nèi)部URL如下:
o 系統(tǒng)架構(gòu)目錄: https://SLDInternalAddress.abc.com:Port
o 瀏覽器訪問(wèn)服務(wù): https://BASInternalAddress.abc.com:Port/dispatcher
o 集成框架:https://B1iInternalAddress.abc.com:Port/B1iXcellerator
外部URL如下:
o 系統(tǒng)架構(gòu)目錄: https://SLDExternalAddress.abc.com:Port
o 瀏覽器訪問(wèn)服務(wù): https://BASExternalAddress.abc.com:Port/dispatcher
o 集成框架:https://B1iExternalAddress.abc.com:Port/B1iXcellerator
四、配置瀏覽器訪問(wèn)服務(wù)
The Browser Access service enables remote access to the SAP Business One client in a Web browser. The Windows service name is SAP Business One Browser Access Server Gatekeeper.
瀏覽器訪問(wèn)服務(wù)允許在Web瀏覽器中遠(yuǎn)程訪問(wèn)SAP Business One客戶端. Windows服務(wù)名稱是SAP Business One Browser Access Server Gatekeeper.
先決條件
確保瀏覽器訪問(wèn)服務(wù)器上的日期和時(shí)間與數(shù)據(jù)庫(kù)服務(wù)器同步.
過(guò)程
2. Web瀏覽器中,使用以下URL登錄到系統(tǒng)格式目錄:https://
2. 在服務(wù)選項(xiàng)卡上,選擇特定瀏覽器訪問(wèn)服務(wù)器的瀏覽器訪問(wèn)條目,然后單擊編輯.
3. 在”編輯服務(wù)”窗口中,編輯以下信息:
· 服務(wù)URL:編輯用于訪問(wèn)服務(wù)的URL.
例如,你可能要使用IP地址而不是主機(jī)名.或者主機(jī)名,IP地址或端口已更改,你必須更新服務(wù)URL以反映更改.
· 初始進(jìn)程:指定瀏覽器訪問(wèn)服務(wù)托管的SAP Business One客戶端進(jìn)程的初始數(shù)量.
· 最大進(jìn)程數(shù):指定瀏覽器訪問(wèn)服務(wù)可以托管的最大SAP Business One客戶端進(jìn)程數(shù).
· 空閑進(jìn)程:指定備用SAP Business One客戶端進(jìn)程的數(shù)量.當(dāng)新的SAP Business One用戶嘗試登錄時(shí),可以使用空閑進(jìn)程.
· 說(shuō)明:輸入此瀏覽器訪問(wèn)服務(wù)器的說(shuō)明.
例子
指定以下內(nèi)容:
o 初始過(guò)程:20
o 最大過(guò)程:100
空閑進(jìn)程:2
二十(20)個(gè)SAP Business One客戶端進(jìn)程在瀏覽器訪問(wèn)服務(wù)器上不斷運(yùn)行,并允許20個(gè)SAP Business One用戶在Web瀏覽器中同時(shí)訪問(wèn)SAP Business One客戶端.
當(dāng)?shù)?9個(gè)SAP Business One用戶登錄時(shí),啟動(dòng)一(1)個(gè)SAP Business One進(jìn)程,以確保兩(2)個(gè)空閑進(jìn)程總是在后臺(tái)運(yùn)行.
如果更多SAP Business One用戶嘗試在Web瀏覽器中訪問(wèn)SAP Business One客戶端,則會(huì)啟動(dòng)更多空閑進(jìn)程,但最多允許100個(gè)用戶進(jìn)行并行訪問(wèn).
4. 要保存更改,請(qǐng)選擇”確定”.
5. 要立即應(yīng)用更改,請(qǐng)?jiān)跒g覽器訪問(wèn)服務(wù)器上重新啟動(dòng)SAP Business One瀏覽器訪問(wèn)服務(wù)器Gatekeeper服務(wù).
五、將外部地址映射到內(nèi)部地址
你必須在系統(tǒng)架構(gòu)目錄中注冊(cè)以下每個(gè)組件的外部地址與其內(nèi)部地址之間的映射:
· 系統(tǒng)架構(gòu)目錄(SLD)
· 瀏覽器訪問(wèn)服務(wù)
請(qǐng)注意,你不需要注冊(cè)集成框架的映射.
過(guò)程
3. 在Web瀏覽器中,使用以下URL登錄到系統(tǒng)格式目錄:https://
6. 在”外部地址映射”選項(xiàng)卡上,選擇”注冊(cè)”
7. 在”注冊(cè)外部地址”窗口中,指定以下信息:
1. 組件
1. 安裝組件的計(jì)算機(jī)的主機(jī)名或IP地址
2. 外部URL
外部訪問(wèn)URL必須具有格式
例子
http://10.58.9.100:8080
8. 選擇確定.
補(bǔ)充必要條件
完成將外部地址映射到所有必需組件后,必須在安裝它們的計(jì)算機(jī)上重新啟動(dòng)服務(wù).
例如,如果你已為瀏覽器訪問(wèn)服務(wù)器注冊(cè)了外部地址映射,則必須重新啟動(dòng)SAP Business One瀏覽器訪問(wèn)服務(wù)器Gatekeeper服務(wù).
請(qǐng)注意,重新啟動(dòng)SAP Business One Browser Access Server Gatekeeper服務(wù)可能需要5到10分鐘.
六、在Web瀏覽器中訪問(wèn)SAP Business One
缺省情況下,沒(méi)有應(yīng)用負(fù)載均衡機(jī)制.你可以創(chuàng)建Web訪問(wèn)門(mén)戶,并使用你自己選擇的負(fù)載平衡機(jī)制將請(qǐng)求重定向到不同的瀏覽器訪問(wèn)服務(wù)器,例如循環(huán).
先決條件
· 你已確?？梢缘卿浀綖g覽器訪問(wèn)服務(wù)器上安裝的SAP Business One客戶端.
· 你使用的是以下Web瀏覽器之一:
· Mozilla Firefox
· Google Chrome
· Microsoft Edge
確保已啟用自動(dòng)檢測(cè)Intranet網(wǎng)絡(luò).
· Apple Safari (Mac 和 IPad)
確保你已啟用Adobe Flash Player.這是Crystal儀表板的先決條件.
過(guò)程
以下過(guò)程說(shuō)明如何在Web瀏覽器中直接訪問(wèn)SAP Business One.
4. 在Web瀏覽器中,導(dǎo)航到瀏覽器訪問(wèn)服務(wù)的外部URL.例如:https://BASExternalAddress.abc.com:Port/dispatcher
如果你不確定,可以檢查SLD中的外部地址映射.
打開(kāi)瀏覽器訪問(wèn)頁(yè)面.
9. 選擇公司并登錄.
現(xiàn)在,你可以在Web瀏覽器中使用SAP Business One.
七、監(jiān)視瀏覽器訪問(wèn)進(jìn)程
從版本9.2 PL02開(kāi)始,你可以使用以下URL監(jiān)控網(wǎng)頁(yè)中的瀏覽器訪問(wèn)進(jìn)程:https://dispatcherHostname:port/dispatcher/serviceMonitor/.
八、日志
瀏覽器訪問(wèn)服務(wù)的日志文件存儲(chǔ)在<安裝文件夾> SAP Business One BAS GateKeeper tomcat logs中.
如果需要排除問(wèn)題,請(qǐng)編輯文件<安裝文件夾> SAP Business One BAS GateKeeper tomcat webapps dispatcher WEB-INF classes logback.xml,并將日志記錄級(jí)別從默認(rèn)WARN更改為DEBUG.請(qǐng)注意,在調(diào)查之后,必須將日志記錄級(jí)別更改回缺省值.
TransInfo斯凱普斯是SAP制造業(yè)解決方案核心合作伙伴，SAP金牌實(shí)施商，專(zhuān)注上海/無(wú)錫/蘇州/廣州/深圳/東莞/成都等地SAP ERP軟件SAP制造業(yè)ERP軟件、 電子制造ERP、醫(yī)藥行業(yè)ERP、精細(xì)化工ERP、機(jī)械制造設(shè)備行業(yè)ERP實(shí)施服務(wù)。
