SAP-BTP-Sicherheit — Identity Authentication (IAS), Identity Provisioning, Rollensammlungen und Vertrauen
Stand
Sie lernen, wie SAP BTP Authentifizierung und Autorisierung trennt: SAP Cloud Identity Services (Identity Authentication und Identity Provisioning) belegen, wer ein Benutzer ist, und kopieren Identitäten, während der Dienst SAP Authorization and Trust Management Scopes, Rollenvorlagen und Rollensammlungen in die Berechtigungen übersetzt, die eine Anwendung prüft. Sie richten Vertrauen zwischen einem Subaccount und einem IAS-Tenant ein, ordnen eine Gruppe des Identitätsanbieters einer Rollensammlung zu, schreiben einen xs-security.json-Deskriptor und prüfen das Ergebnis im Token. Das Modul endet mit dem Analytics- und KI-Blick: Anmeldung in SAC und Datasphere, Principal Propagation für Live-Verbindungen, Agentenidentität.
Was Sie lernen
- Security → Trust Configuration eines Subaccounts lesen und jeden vertrauten Identitätsanbieter samt Anmeldeverfügbarkeit benennen
- Vertrauen zwischen Subaccount und IAS-Tenant per OpenID Connect oder SAML einrichten
- Eine xs-security.json mit einem Scope, einer Rollenvorlage und einer Rollensammlung schreiben und die xsuaa-Instanz anlegen
- Eine IdP-Gruppe einer Rollensammlung zuordnen und den Scope im dekodierten JWT bestätigen
- Ein Quell- und Zielsystem in Identity Provisioning konfigurieren und eine Transformation lesen
Überblick: wer Sie sind und was Sie dürfen, auf SAP BTP im Jahr 2026
Drei getrennte Bausteine beantworten drei getrennte Fragen auf SAP BTP. SAP Cloud Identity Services beantwortet „Wer ist diese Person?“ (Identity Authentication, IAS) und „Welche Identitäten existieren wo?“ (Identity Provisioning, IPS). Der Dienst SAP Authorization and Trust Management (technischer Name xsuaa) beantwortet „Was darf diese Person in dieser Anwendung?“ über Scopes, Rollenvorlagen, Rollen und Rollensammlungen. Der Unternehmens-Identitätsanbieter (Microsoft Entra ID, Okta oder Ähnliches, hier nur als Beispiele genannt) bleibt das führende System für Personen und Gruppen. Wer diese drei Ebenen vermischt, erzeugt die meisten BTP-Sicherheitstickets.
2026 kommt eine Namensebene obendrauf. SAP hat SAP Business AI Platform im Mai 2026 auf der SAP Sapphire angekündigt; sie bündelt Fähigkeiten von SAP BTP, SAP Business Data Cloud, AI Foundation und SAP HANA Cloud, und ihre Säule Govern nennt Identity and Access Management sowie Security Services (SAP Learning — Introducing SAP Business AI Platform). Ein von SAP verfasster Community-Beitrag erläutert, was das für bestehende SAP-BTP-Kunden bedeutet (SAP Community). In diesem Modul bleibt „SAP BTP“ die technische Ebene: Global Account, Subaccount, Services. So spricht auch das Cockpit und help.sap.com.
Voraussetzungen
- Ein SAP-BTP-Trial- oder Free-Tier-Subaccount in der Cloud-Foundry-Umgebung
- Grundkenntnisse zu SAML 2.0 oder OpenID Connect und JSON Web Tokens
Lernergebnisse
- Authentifizierung (IAS) von Autorisierung (xsuaa) in einer BTP-Landschaft unterscheiden
- Die Kette Scope, Rollenvorlage, Rolle, Rollensammlung erklären und wo jede definiert wird
- Zwischen Standardanbieter, automatischem OIDC-Vertrauen und manuellem SAML-Vertrauen je Landschaft wählen
- Eine Zuordnungstabelle Gruppe zu Rollensammlung für eine Fachanwenderpopulation entwerfen
- Agentenidentität und Principal Propagation als Erweiterung derselben Vertrauenskette einordnen
Vollständiges Modul im Consultant-Tarif — 19,90 €/Monat. Das vollständige Modul ergänzt: den Entscheidungsrahmen · das durchgehende Szenario · die KPI-Scorecard · die Anti-Muster · die Codeblöcke · die Wissenskontrolle · die Schemata.
Offene SAP-Projekte
Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.