【SAP Basis】BTPサブアカウントのシャドウユーザーを洗い出す — IASと突合するn8nワークフロー

SAP Cloud Identity Services（IAS）で無効になったユーザーが、SAP BTP の
サブアカウントにアクセス権を残したままになっていないか。いわゆるシャドウユーザーを、
外部のワークフロー自動化ツール n8n で照合する、コミュニティメンバーの実践記事です。

IAS の Identity Directory API と BTP の `XSUAA` の REST API を OAuth で呼び、
ユーザー一覧を取得します。BTP のユーザー名は設定次第で Global User ID にも
メールアドレスにもなるため、突合はユーザー名ではなくメールアドレスで行い、
前後の空白を除いて小文字に揃えます。結果は、IAS に該当がない `IAS_USER_NOT_FOUND` と、
IAS にはいるが無効な `IAS_USER_INACTIVE` という理由コード付きで CSV に出力されます。

削除を行うノードはデフォルトで無効です。記事は、CSV に出たというだけで BTP ユーザーを
削除してはならないこと、削除の直前に IAS をメールアドレスで再照会して、IAS 側が有効に
戻っている・複数一致する・API が失敗した場合は削除を止めること、緊急用アカウントや
テクニカルユーザー、テナント管理者は一律の削除ルールから除外することを求めています。

最も重要な既知の制約はページネーションの未実装です。一覧 API の1ページ目しか読まないと、
後ろのページにいる有効なユーザーが `IAS_USER_NOT_FOUND` と誤判定されます。
IAS と BTP の両方でページネーションを実装してテストするまで、本番のユーザー母集団に
対して削除を有効にしてはなりません。

本記事はトライアル環境でテスト ID ひとつを使って検証されたもので、SAP が提供する
機能ではありません。また、IAS を経由しない別の経路で BTP に入ったユーザーは、
この照合では見えません。システム停止の要否も切り戻しの手順も記事には
書かれていないため、ご自身の環境でご確認ください。

出典: https://community.sap.com/t5/technology-blog-posts-by-members/who-still-has-access-to-my-sap-btp-subaccount/ba-p/14474594

本エピソードはAIによって生成された音声です。内容には誤りが含まれる可能性があります。実施前に必ず一次情報でご確認ください。
SAP® は SAP SE の登録商標です。本番組は SAP 社とは無関係の非公式なものです。