Шығын және желі TLS 1.2 cipher үшін басқарылатын шлюзден кейін, SAP Process Integration/Process Orchestration/Process Orchestration (PI/PO) шығыс хабарларым Ariba Integration Suite жүйесіне жіберілген, шығындарды басқаруға арналған басқарылатын шлюз және SAP Business Network жүйесіне арналған басқарылатын шлюз SSL өңдеу қатесінен төмен сәтсіз аяқталады:

Өңдеу кезіндегі SSLException: әріптес ескерту жіберді: ескерту елеулі: растау ақауы

1. TLS 1.2 кодтарының бір бөлігі ретінде SAP Integration Suite және SAP Business Network үшін басқарылатын шлюз SAP Integration Suite, Spend Management және SAP Business Network үшін басқарылатын шлюздер SAP Integration Suite, басқарылатын шлюз ескірген. Олар Perfect Forward Secrecy (PFS) функциясына қолдау көрсетпеу үшін жойылды және TLS өңдеу кезінде ендігәрі ұсынылмайды. Егер сыртқы клиенттеріңіздің кез келгені әлі де SSL қол жетімділігін орнату үшін келесі ескірген cipit жинақтарын пайдаланса, SAP Integration Suite, Spend Management және SAP Business Network үшін басқарылатын шлюзмен байланысу мүмкін болмайды. Нәтижесінде транзакциялар SSL тексеру қателерімен сәтсіз аяқталады.

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
TLS_DHE_RSA_WITH_AES_256_CBC_SHA256

2. Клиенттік сервер архитектурасы бойынша клиент каскадерлер тізімін көрсетіп, сервер қолдау көрсетілетін кастрюльдер мен SSL тұтқаларын таңдайды. SAP PI клиенті кем дегенде бір SAP Integration Suite жібермесе, шығындарды басқаруға арналған SAP Business Network үшін басқарылатын шлюз және SAP Integration Suite жүйесімен TLS өңдеу кезінде қолдау көрсетілетін SAP Business Network шлюзі, шығындарды басқаруға арналған басқарылатын шлюз және SAP Business Network сервері үшін басқарылатын шлюз болса, SSL Handshake ақауы орын алады.

SAP PI нұсқасының IAIK Java кітапханасы (AS Java үшін SAP NetWeaver) шығын және желі хостының URL мекенжайына арналған басқарылатын шлюзмен сәтті SSL өңдеу әдісін орнату үшін төмендегі өңдеушілерге (яғни ECDHE немесе DHE) қолдау көрсететініне көз жеткізіңіз. Шығын және желі үшін қай басқарылатын шлюз қосылғанына байланысты бұл URL мекенжайы өзгереді.

• TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
• TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
• TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

Жоғарыдағы ECDHE немесе DHE кэштерін әр SAP PI жүйесінде әдепкі бойынша қосуға болмайды және арнайы SAP PI нұсқасына тәуелді болуы мүмкін. KBA менің SAP PI Java орындау уақытында қосылған Cipher сутегтерінің тізімін қалай тексеруге болады? орындау уақытында SAP PI жүйесінде қосылған кэштер тізімін тексеру қадамдарына арналған.

SAP PI жүйесінде ECHDE немесе DHE кеңейтімдерін қосу жолын білу үшін жоғары деңгейлі нұсқаулықтың төменгі қадамдарын қараңыз:

• SAP PI нұсқасында жоғарыда тізімделген TLS_ECDHE кэштерін қолдау туралы ақпаратты төмендегі жерден қараңыз:
  
  1. SAP PI жүйесінде тек TLS_ECDHE кэштерін ғана пайдалану қажет болса, жалғыз опциялар SAP KBA 2538934 - Handshake тек TLS_DHE cipers серверіне қосылу кезінде өнімдерде сипатталған опциялар болады.
  2. ECDHE кэштерін қосу үшін SAP PI жүйесін қосу үшін SAP 2708581 ескертпесі - SAP NW AS Java ішіндегі шығыс байланыстар үшін ECC қолдау көрсету іске асырылуы мүмкін нұсқада болуы керек. Бұл ескертпе тек NetWeaver AS Java 7.50 қолдау бумасы 08 немесе одан кейінгі нұсқасы үшін қолжетімді.
  3. Егер SAP PI жүйеңіз жоғарыда көрсетілгендей кез келген төмен нұсқада болса, мысалы. SAP PI 7.50 SP07 және т.б. ECDHE кэштеріне қолдау көрсетпейді. Бұл жағдайда SSLContext.properties арқылы ECDHE қоспаңыз немесе барлық интеграцияларға әсер ететін мәселелер пайда болады.
  
  
• SAP PI нұсқаңыз тізімдегі ECDHE cipphipers жүйесіне қолдау көрсетпесе, SAP Integration Suite, шығындарды басқаруға арналған басқарылатын шлюз мен SAP Business Network соңғы нүктесінің әлі де қолдау көрсетілетін тізімінің бөлігі болып табылатын DHE кэштерін қосуға болады. SAP PI нұсқасында DHE кэштеріне қолдау көрсету туралы ақпаратты төмендегі жерден қараңыз:
  
  1. DHE офистерін қосу үшін SAP KBA 2569156 - SSLContext.properties файлын жасау, өзгерту және тексеру жолын орындау мақсатында бұл AS Java 7.1X/7.7.2/7.3X/7.5 SAP PI орталарына арналған SAP NetWeaver жүйесіне қолданылады.
  2. SSLContext.properties файлында Cipher жиынтық енгізілімі болмаса, бұл әдепкі мән SAP 2284059 ескертпесінде пайдаланылатындығын білдіреді - "Әдепкі конфигурацияда Cipher suites" бөлімінде NW Java серверіндегі SSL кітапханасын жаңарту.
  3. Әдепкі мәннен басқа Cipher жиынтық конфигурациясын пайдаланғыңыз келсе, SAP 2284059 ескертпесі мен KBA 2616983 ішінде SSL кітапханасын жаңарту - cipherSuite=<cipSuite=<ipsuite параметрімен cipher suites қызметін реттеу жолын қараңыз SSLContext.properties.
  4. Бір ғана осындай жол өшіріліп, осы параметрді теңшеген кезде әдепкі кэштерді әлі де пайдалану қажет болса, олардың тізімі анық көрсетілуі тиіс.
  
  
• SSLContext.properties жүйесі AS Java іске қосылғанда жүктеледі, сондықтан осы файлдағы кез келген өзгерістер жүйеңізде қолжетімді өзгерістерді жасау үшін жүйені қайта іске қосуды талап етеді. Сондықтан бір немесе бірнеше жоғарыдағы қадам SAP PI қайта іске қосуды талап етуі мүмкін, сондықтан сәйкесінше жоспарлауды жоспарлаңыз.
  
  
• Осы қадамдардың ешқайсысына ешқандай уақытша шешім жоқ және SAP PI сәтті транзакция үшін SAP Integration Suite, басқарылатын шлюзде және SAP Business Network соңғы нүктесінде тізімделген қолдау көрсетілетін тіркесімдердің кем дегенде біреуімен үйлесімді болуын қамтамасыз ету керек.

• SAP PI нұсқасы жоғарыда көрсетілген SAP Integration Suite, Spend Management және SAP Business Network үшін басқарылатын шлюздің кез келгенімен үйлесімді екенін тексеру бойынша кез келген қосымша мәліметтер алу үшін ішкі SAP PI негізіне/қауіпсіздік топтарына хабарласыңыз және сәйкесінше PI нұсқасына сәйкес келетін өзгерістерді ендіріңіз.
  
  
• SAP PI негізі/қауіпсіздік топтарына SAP PI жүйесінде өзгерістерді енгізу жолы туралы қосымша түсініктеме қажет болса немесе жоғарыда оқығаннан кейін де сценарийіңізге қатысты қандай да бір сұрақтар бар болса, BC-JAS-SEC-SEC-CAG (SAP XI-CON-AFSEC) немесе BC-XI-CON-AFSEC (Қауіпсіздік) - бұл негізгі қауіпсіздік конфигурациясы. SAP OSS оқиғасын жасау туралы қадамдар FAQ SAP OSS оқиғасын қалай жасауға болады?
  
  
• Қосымша ақпарат алу үшін SAP KBA төмендегісін қараңыз:
  
  1. SAP KBA 1240081 бойынша JCE шектеусіз саясаттарын қосу - Java Cryptography Extension (JCE) юрисдикциясы саясатының файлдары. 256 Cipher Suites тек осы опциямен қолжетімді.
  2. 2284059 - NW Java серверіндегі SSL кітапханасын жаңарту
  3. 2604240 - SNI кеңейтімінің болмауына байланысты TLS растау ақауы

SAP Integration Suite Managed Gateway > Managed Gateway for Business Network
SAP Integration Suite Managed Gateway > Managed Gateway for Business Network SCC > Managed Gateway for Buyer Business Network SCC
SAP Integration Suite Managed Gateway > Managed Gateway for Sourcing Integration