Como vimos en la entrada anterior, integracion-de-correo-microsoft-365-en-sap-correo-saliente, es posible configurar el correo saliente de SAP con Microsoft 365. En esta entrada trataremos el caso opuesto, configurando la integración de correo entrante Microsoft 365 en SAP.
Ésta casuística puede ser más complicada ya que pueden darse múltiples configuraciones, casi tantas posibilidades como entornos existan. Muchas de estas peculiaridades pueden suponer un reto a la hora de realizar una implementación sencilla.
Para ilustrar este post, vamos a basarnos en un caso con las siguientes premisas:
- Correo corporativo en Microsoft 365
- Un único dominio
- Un entorno grande consolidado que busca el mínimo de cambios sobre la estructura actual
- Conservación de todos los correos en las cuentas entrantes
- Necesidad de reforzar la seguridad.
Visión general
Para la integración de correo entrante Microsoft 365 en SAP con este caso práctico, dado que Office recepcionará los correos entrantes y deben permanecer en las cuentas originales, deberemos indicarle cual y cómo es el destino al cual debe reenviar una copia de dichos correos.
Para ello generaremos una o más reglas y uno o más conectores según sean las necesidades. Habremos de tener en cuenta dos particularidades del entorno de correo:
- Microsoft 365 solo enviará información al puerto 25 del destino del conector que definamos. En entornos unix no es recomendable utilizar puertos por debajo del 1024, por lo que utilizaremos el firewall para redirigir el tráfico, evitando así tener que enlazar puertos del sistema.
- Microsoft 365 utiliza internamente el protocolo propietario TNEF (Transport Neutral Encapsulation Format), por lo que todos los correos enviados hacia uno de los dominios propios utilizará dicho protocolo salvo que se modifique. Puede desactivarse de forma global, pero dado que se va a intentar maximizar la compatibilidad y minimizar los cambios en la infraestructura ya existente, se llevará a cabo una alternativa.
Éstos puntos serán importantes en la solución que se va a proporcionar.
Entorno de Red
Como en la entrada anterior, el primer punto es configurar las conexiones, esta vez en sentido inverso. Debe permitirse el tráfico entrante que llegue desde Microsoft a nuestro entorno, denegando las que lleguen de cualquier otra dirección. Deberemos además redireccionar el tráfico entrante en el puerto 25 a nuestro sistema y puerto adecuado que definiremos más adelante (en este caso el puerto 25000).
Podemos ver las direcciones e ips de Microsoft aquí.
Perfiles, servicio SMTP y SAPConnect [incoming]
Deberemos configurar el parámetro para levantar un servicio SMTP con el arranque de SAP similar al siguiente:
icm/server_port_X, donde X es un número correlativo para los servicios del ICM que hayamos definido.
En este parámetro estaremos indicando que se haga uso de un servicio smtp por el puerto 25000 con autenticación TLS/SSL.
El valor TLS especifica los posibles valores para el cifrado TLS usando STARTTLS. Los valores para este parámetro son:
- 0: indica que no debe utilizarse
- 1: se ofrece pero es opcional
- 2: que su uso es obligatorio.
Tal y como indica Microsoft, esta última es la opción correcta.
Hay otros valores que podría ser interesante añadir como TIMEOUT y PROCTIMEOUT para limitar el intervalo antes del timeout y tiempo de procesamiento respectivamente, que típicamente suelen ser valores entre 60 y 120 segundos. En caso de no indicarlos se tomará el valor por defecto del kernel que suele ser de 60.
Es necesario utilizar un puerto que no interfiera con otros ya activos, como los reservados para el sistema operativo. En entornos linux, si fuera necesario, podríamos utilizar la opción EXTBIND=1 para autorizar el uso de puertos dentro del rango <1024 (más info: 421359 – ICM: Binding ports < 1024 on UNIX), siempre y cuando no exista ya un servicio smtp activo en dicho puerto.
Para que estos parámetros tomen efecto deberemos reiniciar el ICM o directamente la instancia. Podremos ver los valores aplicados en la transacción SMICM → Pasar a → Servicios:
Una vez el parámetro está definido hay algunos campos que podemos modificar dinámicamente:
Podemos comprobar que el servicio se ha creado y responde con un telnet:
Para poder recepcionar los correos desde SAP es necesario activar el servicio SAPConnect en la transacción SICF:
Una vez llegados hasta este punto el entorno SAP está listo para recibir emails, aunque aún deberemos hacérselos llegar.
Conectores y reenvíos Office 365
En este apartado las combinaciones son numerosas, podríamos reenviar a SAP todos los correos que lleguen a un buzón o solo aquellos con determinado asunto, etc.
Para una de estas posibilidades podemos crear un conector similar al siguiente en el centro de administración de Exchange → Flujo de correo → Conectores:
En la siguiente imagen podríamos, en caso de tener dos dominios, utilizar uno en exclusiva para el reenvío de correos a SAP, aunque en este caso dejaremos la elección del envío en manos de otras reglas:
Indicaremos la(s) IP(s) a la que se intentará realizar el envío, detrás de la cual tendremos el servicio SAP:
Con preferencia, y tal como hemos definido en el parámetro del servicio smtp, utilizaremos siempre la capa de seguridad TLS
Será preciso completar un test aunque sea incorrecto para poder avanzar y guardar el conector. Para ello pulsamos validar:
Y finalmente pulsamos en crear conector:
Podremos utilizar este conector para reenviar correos a través de él mediante reglas con mayor o menor complejidad. Por ejemplo, podemos crear una regla para que todos los correos enviados a una cuenta en concreto, se canalicen hasta SAP a través del conector:
Es importante tener en cuenta que con dicha configuración estándar el correo no llegará al buzón, sino que será redirigido exclusivamente a SAP salvo error en el conector.
En caso de que quisiéramos que se mantuviera en el buzón, podemos crear una regla para que se envíe una copia dentro del propio buzón marcando la opción de conservar:
Transacción SOIN
Podemos verificar los correos entrantes en la transacción SOIN.
Es probable que durante las pruebas iniciales queramos realizar traces a todos los correos entrantes para poder determinar su correcto enrutamiento. Podemos gestionar el uso del trace mediante la opción SOIN →Utilidades → Parametrizaciones de trace:
Es importante desactivarlo o activarlo sólo cuando recibamos errores para evitar más traces de los necesarios.
Podremos ver los traces en la transacción SOIN → Utilidades → Selección de trace.
Con ésto habremos terminado la integración de correo entrante Microsoft 365 en SAP. Opcionalmente conviene tener en cuenta el siguiente punto acerca de el formato TNEF.
Formato TNEF [opcional]
Por defecto Outlook, Ms Exchange y por extensión Office 365 utilizan el formato propietario TNEF (https://es.wikipedia.org/wiki/TNEF) siempre y cuando sea posible. Es posible Es probable que por ello nos encontremos con el inconveniente de que lleguen correos a SAP con adjuntos de tipo winmail.dat que nos será imposible tratar dentro del sistema. Dentro de este adjunto encontraríamos la información codificada en dicho formato pero no podremos hacer uso de ella.
Para abordar este problema Microsoft propone dos soluciones:
- Cambiar el formato para los contactos externos
- Cambiar el formato para los contactos de un dominio específico.
Para poder aplicar cualquiera de las dos soluciones deberemos conectarnos a la PowerShell de nuestro Exchange Online:
Instalamos el proveedor de paquetes a instalar
Install-PackageProvider -Name NuGet -Force Install-Module -Name PowerShellGet -Force
Instalamos el módulo EXOV2, ExchangeOnlineManagement, que contiene un pequeño conjunto de cmdlets nuevos y optimizados para escenarios de recuperación de datos en masa (miles y miles de objetos).
Install-Module -Name ExchangeOnlineManagement
Modificamos la política para hacerla menos restrictiva:
Set-ExecutionPolicy RemoteSigned
Importamos los modulos:
Import-Module ExchangeOnlineManagement; Get-Module ExchangeOnlineManagement
Import-Module ExchangeOnlineManagement
Nos conectamos para poder operar:
Esto nos abre una ventana de login y nos conectamos.
Finalmente configuramos nuestro exchange como mejor nos convenga.
