SAP BTP y extensibilidad

SAP Cloud Connector

SAP Cloud Connector es un agente on-premise de SAP BTP Connectivity que conecta aplicaciones de SAP BTP con sistemas de la red corporativa mediante un túnel TLS que el propio agente abre hacia fuera, de modo que no se necesita ningún puerto de entrada en el firewall. SAP Cloud Connector expone solo los hosts y rutas URL que un administrador permite explícitamente, con nombres virtuales.

Datos clave

Tipo: Agente de conectividad on-premise (reverse invoke proxy)
Capa: SAP BTP (carril lateral); instalado en la red del cliente
Se ejecuta en: Host Windows o Linux con un JDK completo; macOS para uso no productivo
Se administra en: UI de administración de Cloud Connector (puerto predeterminado 8443)
Funciona con: Servicio SAP BTP Connectivity y destinations con proxy type OnPremise
Quién trabaja con ello: Equipos de Basis, redes y seguridad; administradores de SAP BTP
Se aplica a: SAP BTP con SAP S/4HANA on-premise y Private Edition

Capa: SAP BTPDónde se ubica ▾

Capa: SAP BTP

Abrir el mapa de arquitectura →

¿Cómo funciona SAP Cloud Connector?

SAP Cloud Connector invierte la dirección habitual de una conexión:

Un administrador instala SAP Cloud Connector en un host dentro de la red corporativa, junto a los sistemas back-end.
El administrador registra uno o varios subaccounts de SAP BTP. A continuación, SAP Cloud Connector abre un túnel saliente, cifrado con TLS, hacia cada subaccount.
Una aplicación de ese subaccount llama a una destination con proxy type OnPremise, que indica un host y un puerto virtuales.
El servicio SAP BTP Connectivity envía la solicitud a través del túnel.
SAP Cloud Connector comprueba su lista de permitidos, asigna el host virtual al host interno real y reenvía la llamada por HTTP, RFC u otro protocolo compatible.

Solo las aplicaciones del subaccount registrado pueden usar el túnel, y SAP Cloud Connector registra el tráfico entrante y los cambios de configuración en su registro de auditoría. Por lo tanto, SAP Cloud Connector es una puerta de enlace controlada que el cliente abre desde dentro, no un agujero en el firewall.

¿Qué se configura en SAP Cloud Connector?

Ajuste	Qué controla
Subaccount	Qué subaccounts de SAP BTP pueden usar este SAP Cloud Connector
Location ID	Distingue varios conectores vinculados al mismo subaccount
Control de acceso	Tipo de back-end, protocolo, host y puerto internos, host y puerto virtuales
Recursos	Rutas URL o módulos de función permitidos en cada sistema, exactos o con subrutas
Principal propagation	Reenvío de la identidad del usuario de la nube al back-end para el single sign-on
Alta disponibilidad	Una instancia master y una instancia shadow que toma el control cuando falla la master

Un ejemplo típico: Alder Manufacturing asigna el host virtual s4-alder:443 a su host real de SAP S/4HANA y permite solo las rutas de los servicios OData que necesitan sus apps de SAP BTP. El nombre virtual oculta a SAP BTP el nombre del host interno. Toda solicitud fuera de la lista de permitidos se rechaza. Configurar SAP Cloud Connector es sobre todo una decisión sobre qué exponer, no sobre cómo conectarse.

¿Cuáles son las ventajas de SAP Cloud Connector?

Sin cambios de entrada en el firewall: el túnel se abre desde dentro, por lo que no hay que abrir ningún puerto hacia la red interna ni colocar un proxy inverso en la DMZ.
Exposición granular: los administradores exponen hosts y rutas concretos en lugar de segmentos de red completos.
Protocolos de SAP incluidos: además de HTTP, SAP Cloud Connector admite RFC, de modo que las aplicaciones en la nube pueden llamar de forma nativa a módulos de función ABAP.
Propagación de identidad: principal propagation permite que las autorizaciones del back-end se apliquen al usuario real y no a un usuario técnico compartido.
Funciones operativas: la reconexión automática, el registro de auditoría y una configuración de alta disponibilidad master–shadow vienen con el producto, que SAP soporta de forma estándar.

Para panoramas híbridos, SAP Cloud Connector es la forma estándar de SAP de permitir que SAP BTP llegue a sistemas que deben permanecer fuera de internet.

¿Dónde termina el alcance de SAP Cloud Connector?

Transporte, no integración. SAP Cloud Connector traslada solicitudes; no mapea datos, no orquesta llamadas ni reintenta lógica de negocio. Esas tareas corresponden a la aplicación que llama o a un servicio de integración.
Un componente más que operar. El cliente lo instala, le aplica parches, lo dimensiona y lo supervisa, incluido su JDK. Un SAP Cloud Connector caído arrastra consigo todos los escenarios de SAP BTP que dependen de él.
La alta disponibilidad depende de la red. La master y la shadow se comunican entre sí fuera de SAP BTP, por lo que un enlace inestable entre ellas puede provocar una toma de control mientras la master sigue funcionando.
No para todos los sistemas. SAP documenta que SAP Cloud Connector no puede instalarse en las soluciones SaaS de SAP, incluida SAP S/4HANA Cloud Public Edition.

Son límites por diseño: SAP Cloud Connector protege el camino hacia la red, mientras que lo que circula por él se diseña en otro lugar.

¿Cómo se aplica SAP Cloud Connector a cada opción de implementación de SAP S/4HANA?

SAP S/4HANA on-premise: el cliente instala SAP Cloud Connector en su propia red, preferiblemente con la versión con instalador, que se ejecuta como servicio y admite actualizaciones.
SAP S/4HANA Cloud Private Edition: SAP incluye entornos alojados por SAP, como SAP HANA Enterprise Cloud, entre los lugares donde puede ejecutarse SAP Cloud Connector; confirme con SAP quién lo instala y lo opera en su panorama de sistemas.
SAP S/4HANA Cloud Public Edition: SAP Cloud Connector no se instala allí. SAP BTP llega a Public Edition por internet mediante communication arrangements y destinations.
Alojamiento IaaS: los sistemas del cliente en infraestructura de hyperscalers cuentan como una red comparable a on-premise, por lo que SAP Cloud Connector también puede ejecutarse allí.

SAP Cloud Connector es relevante dondequiera que el sistema SAP S/4HANA esté detrás de un firewall controlado por el cliente.

¿Por qué falla una llamada a través de SAP Cloud Connector?

Avance desde SAP BTP hacia el back-end:

Estado del túnel. En la UI de administración, compruebe que el subaccount aparece como conectado.
Location ID. Si varios conectores atienden al subaccount, el location ID de la destination debe coincidir con el previsto.
Host virtual. El host y el puerto de la URL de la destination deben coincidir exactamente con el host y el puerto virtuales del control de acceso.
Recursos. La ruta solicitada debe estar en la lista de permitidos, y las rutas distinguen entre mayúsculas y minúsculas. La falta de la opción de subrutas es una causa frecuente de llamadas rechazadas.
Accesibilidad interna. SAP Cloud Connector debe llegar al host interno directamente, sin proxy.
Identidad. Con principal propagation, compruebe la configuración de confianza y la asignación de usuarios en el back-end.

La mayoría de los fallos de SAP Cloud Connector son discrepancias entre la destination y la entrada de control de acceso, no caídas de la red.

SAP Cloud Connector frente a las destinations de SAP BTP: ¿cuál es la diferencia?

	SAP Cloud Connector	Destination de SAP BTP
Qué es	Agente instalado en la red del cliente	Objeto de configuración en un subaccount o en una instancia de servicio
Dónde reside	Host on-premise o IaaS operado por el cliente	SAP BTP cockpit o Destination service
Pregunta que responde	¿A qué sistemas y rutas internos puede llegar SAP BTP?	¿Qué URL y qué autenticación usa una app?
Necesario cuando	El destino está detrás de un firewall del cliente	Cualquier llamada saliente de una app de SAP BTP, a internet u on-premise
Fallo típico	Ruta no permitida o túnel caído	URL, credenciales o location ID incorrectos

Una destination indica a una app de SAP BTP adónde llamar; SAP Cloud Connector decide si un destino on-premise es accesible en absoluto.

Preguntas frecuentes

¿SAP Cloud Connector requiere abrir puertos de entrada en el firewall?

No. SAP Cloud Connector abre un túnel TLS saliente hacia SAP BTP, y las solicitudes de SAP BTP regresan por ese túnel. SAP indica que el firewall on-premise no necesita reglas que permitan el acceso externo a los sistemas internos, siempre que se permitan las conexiones salientes hacia SAP BTP.

¿Pueden varios SAP Cloud Connectors conectarse a un mismo subaccount de SAP BTP?

Sí. Varias instancias de SAP Cloud Connector pueden vincularse al mismo subaccount siempre que cada una use un location ID distinto. Las destinations indican entonces el location ID para elegir el conector, lo que resulta útil cuando las plantas o las regiones tienen redes separadas.

¿Se necesita SAP Cloud Connector para SAP S/4HANA Cloud Public Edition?

No para llegar a la propia Public Edition. SAP documenta que SAP Cloud Connector no puede instalarse en SAP S/4HANA Cloud Public Edition, y SAP BTP llama a sus API liberadas por internet. SAP Cloud Connector sigue siendo relevante para otros sistemas on-premise del mismo panorama.

¿Cómo se configura SAP Cloud Connector en alta disponibilidad?

Instale una segunda instancia como shadow y conéctela a la master. La master envía su configuración a la shadow, y la shadow toma el control del túnel si la master deja de responder. SAP advierte que la master y la shadow necesitan una red estable entre ellas.

¿Qué es un host virtual en SAP Cloud Connector?

Un host virtual es el nombre que usan las destinations de SAP BTP en lugar del nombre real del host interno. SAP Cloud Connector lo asigna al host y al puerto internos, de modo que la dirección interna nunca aparece en la configuración de SAP BTP. No es necesario que el nombre virtual exista en el DNS.

Fuentes

Se aplica a: SAP BTP · SAP S/4HANA on-premise · SAP S/4HANA Cloud Private Edition
Última revisión: 2026-11-09

Destinations (SAP BTP)SAP Business Technology Platform (SAP BTP)