Die Rolle des SAP Cloud Connector

Der SAP Cloud Connector ist ein zentraler Bestandteil hybrider SAP-Systemlandschaften. Er ermöglicht Ihnen eine sichere Integration der Services und Subskriptionen in der SAP Business Technology Platform (SAP BTP) in Ihre On-Premise-Landschaft. Die SAP BTP wurde vor 2021 auch SAP Cloud Platform (SAP CP) genannt. Ein gutes Verständnis der Grundlagen des SAP Cloud Connector ist für einen schnellen, effizienten und sicheren Start unerlässlich. Die Grundlagen erfahren Sie in diesem Artikel.

In unseren Expert Talk Videos erklären wir Ihnen auf unserem legendären Lightboard alles zum SAP Cloud Connector. Das Lightboard ist ein handgefertigtes Unikat das fantastische Erklärungen möglich macht – lassen Sie sich überraschen.

Inhalt

• Funtionsweise
• Voraussetzungen
• Installationsoptionen
• Einsatzszenarien
• Konnektivität
  • Verbindung mit der SAP BTP
  • Verbindung mit den Backends
• Sicherheit
  
  • Benutzerauthentifizierung
  • SSL-Zertifikat
• Lightboard-Video SAP CC Grundlagen
• Mehrsystemlandschaften
  • Verwendung der Location ID
  • Empfehlungen
• Lightboard-Video Mehrsystemlandschaft 

Über den Autor

Wie funktioniert der SAP Cloud Connector ?

Der SAP Cloud Connector ist eine Softwarekomponente die Sie in Ihrer On-Premise-Landschaft installieren und einen TLS Tunnel in die SAP BTP herstellen. Um konkret zu sein wird eine Verbindung zu Ihrem Subaccount hergestellt.

Der SAP Cloud Connector verwendet den Reverse-Invoke-Proxy Ansatz. D.h. er stellt Ihnen auf Ebene des Subaccount Endpunkte bereit, die von den SAP Cloud Services wie SAP Cloud Integration, SAP WebIDE, SAP Mobile Services oder SAP Cloud Portal aufgerufen werden. Er nimmt Ihre Aufrufe aus der SAP Cloud entgegen und leitet Sie an die gewünschten On-Premise-Systeme weiter.

SAP Cloud Connector vs. HANA Cloud Connector

Sie werden in vielen Blogs und auf Webseiten noch vom HANA Cloud Connector lesen. Dieser wurde im Jahr 2017 auf den Namen SAP Cloud Connector umgetauft. Sollten Sie noch vom SAP HANA Cloud Connector oder der HANA Cloud Platform lesen, raten wir Ihnen sich aktuellere, zeit- und technologiegemäße Blogs zu suchen. Die Zeitspanne von mehr als drei Jahren seit der Umbenennung sind im Cloud Zeitalter ungefähr so wie wenn Sie noch immer in der Bronzezeit leben und denken würden.

Welche Voraussetzung bestehen für den Cloud Connector ?

Für den Betrieb des SAP CC benötigen Sie lediglich eine JVM. Er steht seit Jänner 2021 in der Version 2.13 für Sie zur Verfügung. Netzwerkkonnektivität ist eine wesentliche Voraussetzung die Sie beachten müssen.

Der SAP CC muss ausgehend unter Verwendung des HTTPS-Protokolls die Hosts der SAP Business Technology Platform ansprechen können. Andererseits müssen Sie auch die gewünschten Backendsysteme technisch erreichbar machen. Mit der Version 2.13 sind einige spannende Neuerung gekommen. Vor allem mit Blick auf Principal Propagation aus der Cloud Foundry Umgebung hat SAP sehr viel getan um Sie bestmöglich zu unterstützen.

Installationsoptionen

Sie können den SAP Cloud Connector auf Windows, MacOS und Linux ausgeführen. Die aktuellste Version 2.13 können Sie über https://tools.hana.ondemand.com/#cloud beziehen. Sie können Sie Installation sowohl standalone als auch hochverfügbar durchführen. Hochverfügbar bedeutet dass Sie einen Master Node und einen Shadow Node installieren. Es spielt keine Rolle ob Sie die Installation auf Ihrem lokalen Rechner, in Ihrem Rechenzentrum, bei Ihrem Hosting-Anbieter oder sogar in der HANA Enterprise Cloud (HEC) durchführen.

Was bedeutet On-Premise ?

Mit dieser Frage werden wir häufig konfrontiert und sie lässt sich einfach beantworten. Unter On-Premise verstehen wir die von Ihnen oder Ihrem Hosting-Anbieter betriebenen Systeme. Diese laufen entweder in Ihrem eigenen Rechnezentrum, bei Ihrem Hosting-Anbieter oder in der SAP HEC.  

Einsatzszenarien des SAP Cloud Connector

Wie Sie bereits gelesen haben, spielt der SAP Cloud Connector eine zentrale Rolle, wenn Sie eine sichere Verbindung zwischen der SAP Cloud und Ihrer OnPremise Landschaft herstellen möchten. Er ermöglicht Ihnen, sowohl die SAP Neo als auch die SAP Cloud Foundry Umgebung sicher anzubinden. Typischerweise verwenden Sie ihn für die Kommunikation in Cloud-2-OnPremise Szeanrien verwendet. Es ist aber für bestimmte Szenarien auch möglich dass Sie den SAP Cloud Connector für die Kommunikation OnPremise-2-Cloud verwenden.

Verbindung mit der SAP Business Technology Platform

Der SAP Cloud Connector verbindet sich mit der Business Technology Platform auf Ebene des von Ihnen verwalteten Subaccount. Der SAP CC authentifiziert sich mit einem Benutzer der vom Ihrem Platform Identity Provider (Platform IdP) verwaltet wird. Als Platform IdP können Sie entweder den SAP ID Service oder den SAP Identity Authentication Service (SAP IAS) verwenden. Bei der erstmaligen Anmeldung, die Sie währen der Konfiguration durchführen, wird für den Benutzer ein Client Zertifikat erstellt. Das Zertifikat wird in weiterer Folge für die Authentifizierung gegen Ihren Subaccountverwendet wird. Es wird am Dateisystem Ihres Cloud Connectors gespeichert. Daher müssen Sie bei einer Änderung des Kennworts am IdP das Kennwort im Cloud Connector nicht aktualiseren.

Anbindung der Backend-Systeme

Der SAP Cloud Connector stellt Ihre Backend-Systeme im Subaccount unter einem virtuellen Hostnamen und zugehörigem Port bereit. Diesen virtuellen Hostnamen müssen Sie in den Cloud Services auf Ebene der Subaccounts zwingend verwenden. Für die Verbindung kommt im Subaccount der sogenannten Connectivity Service zur Verwendung. Er stellt über den On-Premise-Proxy technisch die Verbindung zum Ihrem Cloud Connector her.

Der Cloud Connector bildet den virtuellen Hostnamen auf den physischen Hostnamen Ihrer OnPremise Systeme ab. D.h. Sie verwenden im Subaccount den virtuellen Host und er führt ein Mapping auf den physischen Host durch. Zusätzlich müssen Sie im Cloud Connector definieren, welche Ressourcen aus dem Backend über den Cloud Connector angesprochen werden können. Dies entspricht im Falle eines SAP-ABAP-Systems den ICF-Knoten. Sie können den Cloud Connector für folgende Protokolle verwenden:

• HTTP / HTTPS
• RFC / RFC (SNC)
• TCP / TCPS
• Mail (SMTP, POP3, IMAP)
• LDAP / LDAPS
• SFTP / FTP / FTPS

Sicherheitsaspekte

Es gibt eine Reihe an sicherheitsrelevanten Aspekten die Sie im Cloud Connector beachten müssen. Die Authentifizierung Ihrer Administratoren und anderen Benutzer gegen einen LDAP Server ist eine essentielle Empfehlung. Sie sollten auch das selbst signierte SSL-Zertifikat mit dem der CC im Standard ausgeliefert wird so schnell wie möglich durch eines mit dem Hostnamen als CN ersetzen.

UI Zugriff via HTTP / SSL Zertifikat

Das Administrations User Interface des SAP Cloud Connector erreichen Sie ausschließlich über https. Sollten Sie sich für eine Standardinstallation entscheiden, wird es an den Port 8443 gebunden. Den Port können Sie jederzeit über das Skript changeport.bat bzw. changeport.sh ändern. Der SAP Cloud Connector wird mit einem selbstsignierten SSL Zertifikat ausgeliefert. Wir empfehlen Ihnen dieses Zertifikat durch ein offizielles Zertifikat zu ersetzen. Im SAP Cloud Connector können Sie dafür direkt einen Certificate Signing Request (CSR) erstellen.

Benutzerauthentifizierung

Im Standard wird der Cloud Connector als Single-User Instanz ausgeführt. Den SAP Cloud Connector müssen ausschließlich Ihre Administratoren erreichen. Der Standard-Benutzername lautet Administrator und das zugehörige Kennwort lautet manage. Das Kennwort müssen Sie beim ersten Start zwingend ändern. Wir empfehlen Ihnen zur Authentifizierung der Administratoren eine Anbindung an einen LDAP Server. Dadurch können unterschiedliche Administratoren Ihres Unternehmens gleichzeitig mit dem SAP Cloud Connector arbeiten. Sie können somit im Audit Log auch festgestellen welcher Benutzer welche Änderungen durchgeführt hat. Bei der Authentifizierung mittels LDAP stehen Ihnen vier Rollen zur Verfügung:

• Administrator (sccadmin)
• Display (sccdisplay)
• Monitor (sccmonitor)
• Support (sccsupport)

Die Rollennamen im LDAP können Sie übersteuern. Die Anbindung des LDAP können Sie optional auch über das LDAPS durchführen. Zusätzlich haben Sie die Möglichkeit einen alternativen LDAP Server anzubinden und Sie sind somit für den Ausfall des LDAP Servers gerüstet.

Das Architekturvideo zum Expert Talk

Im Video zeigen wir Ihnen Schritt für Schritt wie der SAP Cloud Connector funktioniert. Wir hoffen Ihnen damit weiterhelfen zu können. Kontaktieren Sie und für Fragen und auch Unterstützung in Projekten. Wir sind für Sie da – Online und auch weltweit vor Ort.

Folgen Sie unserem Youtube Channel um keine Neuigkeiten zu verpassen. Wir veröffentlich in regelmäßigen Intervallen Videos zur SAP BTP die Sie interessieren werden.

Verschieden Cloud Connector Instanzen mit demselben Subaccount verbinden

Sie können den SAP Cloud Connector (CC) für unterschiedlichste Szenarien verwenden. Unter anderem auch um sich aus einer geografisch verteilten Systemlandschaft mit einem Subaccount der SAP BTP zu verbinden. Damit können Sie unter Verwendung der SAP Cloud Platform Integration (SAP CPI) bzw. der SAP Integration Suite Schnittstellen in die On-Premise-Landschaft sicher umsetzen. Wir zeigen Ihnen wie die SAP Cloud Connector Location Identifier richtig verwendet wird.

SAP Cloud Integration Kommunikation über den SAP Cloud Connector

Gehen wir von folgender Annahme aus. Sie haben eine SAP CPI (Cloud Platform Integration) oder die SAP Integration Suite mit aktiver Cloud Integration Capability. Sie möchten aus der Cloud Integration heraus über den SAP Cloud Connector (CC) eine Verbindung zu einem System in der On-Premise-Landschaft herstellen. Der SAP Cloud Connector öffnet dazu einen TLS Tunnel (=Transport Level Security) zum Subaccount. Über diesen Tunnel läuft der gesamte Traffic aus der Cloud in die On-Premise-Systemlandschaft. Dies funktioniert sowohl bei SAP- als auch bei Non-SAP-Systemen.

Unsere Empfehlung

Wir verwenden in unseren Projekten, die wir gerne auch für Sie übernehmen, SAP Cloud Connector Location Identifier die an die IATA 3-Letter-Codes in der Luftfahrt angelehnt sind. Die Begründung dafür ist recht einfach. Ich bin ausgebildeter Linienpilot und Fluglotse. Ich habe erkannt hat dass man die Standardisierung und Normierung in der Luftfahrt absolut gewinnbringend in der IT verwendet werden kann. Wenn Sie die Liste der IATA-Codes prüfen, werden Sie erkenne, dass es kein Duplikate gibt. Folgende Beispiele für Location-IDs können wir Ihnen als Inspiration geben:

• Wien (VIE)
• Berlin (BER) – mittlerweile ja fertiggestellt…
• Frankfurt (FRA)
• New York (NYC)
• Sydney (SYD)
• Dubai (DUB)

Unser Video Expert Talk zum Location Identifier

Im Video bauen wir diese Szenario Schritt für Schritt für Sie auf. Wir hoffen Ihnen damit weiterhelfen zu können und Sie dem Cloud Connector Expert Level einen Schritt näher zu bringen. Für Fragen und auch Unterstützung in Projekten stehen wir Ihnen gerne zur Verfügung.

Folgen Sie unserem Youtube Channel um keine Neuigkeiten zu verpassen. Wir veröffentlich in regelmässigen Intervallen Videos zur SAP Cloud Platform.

Download und Ressourcen

SAP Cloud Connector Download

SAP Community – SAP Cloud Identity Services

Blick ins Buch: SAP® Business Technology Platform- Sicherheit und Berechtigungen

Literaturhinweis und WDECPS SAP Training - Vom CloudDNA Autorenteam

Im Juni 2021 ist unter dem Rheinwerk Verlag (SAP Press) ein Buch zum Thema SAP BTP Sicherheit und Berechtigungen mit Martin Koch als Autor erscheinen. Sie können das Buch bereits bestellen. Wir garantieren Ihnen - Sie werden nicht enttäuscht sein!  Ausserdem haben wir die SAP von unserem Kurs mit mindestens 2o Praxisbeispielen überzeugt und sind im SAP Schulungskatalog gelistet:

Link zum WDECPS Training

Link zum Buch