 |
| ||||||||
在 Spend&Network：管理閘道 TLS 1.2 加密套件強化活動後，所有傳送到 Ariba SAP Integration Suite：Spend Management 和 SAP Business Network (CIG) 管理閘道的 SAP Process Integration/Process Orchestration (PI/PO) 外傳訊息皆失敗，錯誤如下 SSL 交握錯誤：
握手時發生 SSLException：同儕傳送警示：嚴重警示：交握失敗
1.作為 TLS 1.2 加密套件的一部份，SAP Integration Suite：費用管理和 SAP Business Network 的管理閘道將淘汰下列 SAP Integration Suite：費用管理和 SAP Business Network 的管理閘道密碼。由於不支援完美轉送保密 (PFS)，因此已移除，且在 TLS 交握期間將不再提供。若您的外部用戶端仍使用下列任何已淘汰的密碼套件，以建立 SSL 握手，則無法與 SAP Integration Suite：Spend Management 和 SAP Business Network 的管理閘道通訊。因此，在 SSL 交握錯誤下交易將會失敗。
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
TLS_DHE_RSA_WITH_AES_256_CBC_SHA256
2.根據用戶端伺服器架構，用戶端會顯示密碼和伺服器清單，選取已建立支援的密碼和 SSL 交握作業。若您的 SAP PI 用戶端未在 TLS 與 SAP Integration Suite：費用管理和 SAP Business Network 伺服器的管理閘道交握期間至少傳送其中一個 SAP Integration Suite：Spend Management 和 SAP Business Network 的管理閘道支援加密，則會發生 SSL 交握失敗。
請確認您 SAP PI 版本的 IAIK Java 程式庫 (SAP NetWeaver for AS Java) 支援下列任何密碼 (例如 ECDHE 或 DHE)，以與 Spend&Network：管理閘道主機 URL 建立成功的 SSL 交握方式。根據您連線的 Spend&Network：資料中心的管理閘道，此 URL 將變更。
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
- TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
上述的 ECDHE 或 DHE 密碼可能依預設在每個 SAP PI 系統中皆未啟用，且取決於您的特定 SAP PI 版本。請參閱 KBA 如何檢查 SAP PI AS Java 執行時期中啟用的密碼套件清單？在執行時期用於檢查 SAP PI 系統中啟用密碼清單的步驟。
請參閱以下步驟以取得高階指引，瞭解如何在 SAP PI 系統中啟用 ECHDE 或 DHE 密碼：
- 如需 SAP PI 版本中列出 TLS_ECDHE 密碼的支援資訊，請參閱下方：
1.若您僅要在您的 SAP PI 中使用 TLS_ECDHE 密碼，則唯一選項為 SAP KBA 2538934 中所述的選項 - 連線至僅支援 TLS_ECDHE 密碼的伺服器時，PI 中的握手作業失敗。
2.若要啟用 ECDHE 密碼，您的 SAP PI 系統必須為可建置 SAP NetWeaver AS Java 中「SAP 註記 2708581 - ECC 支援外傳連線」的版本。此註記僅適用於 NetWeaver AS Java 7.50 支援套件 08 或更高版本。
3.若您的 SAP PI 系統版本低於上述版本，例如：SAP PI 7.50 SP07 等，不支援 ECDHE 密碼。在此情況下，請不要使用 SSLContext.properties 啟用 ECDHE，否則將導致影響所有整合的問題。 - 若您的 SAP PI 版本不支援列出的 ECDHE 密碼，則可啟用仍屬於上述 SAP Integration Suite：費用管理和 SAP Business Network 端點管理閘道支援清單的 DHE 密碼。 如需有關 SAP PI 版本中 DHE 密碼支援的資訊，請參閱下方：
1.若要啟用 DHE 密碼，您可遵循 SAP KBA 2569156 - 如何建立、修改和驗證 SSLContext.properties 檔案，這適用於 SAP NetWeaver for AS Java 7.1X/7.2/7.3X/7.4/7.5 SAP PI 環境。
2.請注意，若 SSLContext.properties 檔案中沒有密碼套件輸入項，則表示預設項目會列於 SAP 註記 2284059 中 - 更新 NW Java 伺服器「預設組態中支援的密碼套件」部份中的 SSL 程式庫。
3.若您要使用預設的其他密碼套件組態，請參閱 SAP 註記 2284059 的「修改支援的密碼套件清單」部份 - 更新 NW Java 伺服器中的 SSL 程式庫，以及 KBA 2616983 - 如何使用參數 cipherSuite=<ciper suite> 自訂 SSLContext.properties 檔案中的密碼套件。
4.請注意，僅有一行會停用所有預設密碼，若您仍想在組態此參數時使用預設密碼，則必須明確列出。 - 當您的 AS Java 啟動時，系統會載入 SSLContext.properties，因此此檔案中的任何更改需要系統重新啟動才可在系統中使用。因此，上述一或多個步驟可能需要重新啟動 SAP PI，因此請進行相應規劃。
- 這些步驟沒有解決方法，您應確保 SAP PI 與 SAP Integration Suite：費用管理和 SAP Business Network 的管理閘道中列出的至少一個支援密碼相容，以成功交易。
- 如需驗證 SAP PI 版本是否與上述任何 SAP Integration Suite：費用管理的管理閘道和 SAP Business Network 支援的密碼相容，請聯絡內部 SAP PI Basis/安全性團隊，並建置符合您 PI 版本的更改。
- 若您的 SAP PI Basis/安全團隊需要進一步說明如何在 SAP PI 系統中建置更改，或即使閱讀上述內容仍對方案有相關問題時，請在 BC-JAS-SEC-CPG (SAP Netweaver AS Java) 或 BC-XI-CON-AFW-SEC (安全性) 元件下記錄 SAP PI OSS 事件，因為這是純 SAP PI 基礎/安全性組態。建立 SAP OSS 事件的步驟詳述於常見問題如何建立 SAP OSS 事件？
- 如需其他資訊，請參閱下方 SAP KBA：
1.SAP KBA 根據 1240081 - Java Cryptography Extension (JCE) JCE Jurisdiction Policy Files 啟用 JCE 無限政策。256 個密碼套件僅可透過此選項使用。
2. 2284059 - 更新 NW Java 伺服器中的 SSL 程式庫
3. 2604240 - 由於缺少 SNI 延伸，因此 TLS 交握失敗
SAP Integration Suite：管理閘道 > SAP Business Network 的管理閘道
SAP Integration Suite：管理閘道 > SAP Business Network 的管理閘道 SCC > 採購商 Business Network 的管理閘道 SCC
SAP Integration Suite：管理閘道 > 尋源的管理閘道整合