SAP BTP et extensibilité

SAP Cloud Connector

SAP Cloud Connector est un agent on-premise de SAP BTP Connectivity qui relie les applications SAP BTP aux systèmes du réseau de l'entreprise via un tunnel TLS ouvert par l'agent en sortie, si bien qu'aucun port entrant du pare-feu n'est nécessaire. SAP Cloud Connector n'expose, sous des noms virtuels, que les hôtes et chemins d'URL explicitement autorisés par un administrateur.

L'essentiel

Type: Agent de connectivité on-premise (reverse invoke proxy)
Couche: SAP BTP (couloir latéral) ; installé dans le réseau du client
S'exécute sur: Hôte Windows ou Linux avec un JDK complet ; macOS pour un usage hors production
Administré dans: Interface d'administration du Cloud Connector (port 8443 par défaut)
Fonctionne avec: Service SAP BTP Connectivity et destinations de proxy type OnPremise
Qui l'utilise: Équipes Basis, réseau et sécurité ; administrateurs SAP BTP
S'applique à: SAP BTP avec SAP S/4HANA on-premise et Private Edition

Couche : SAP BTPOù se situe-t-il ? ▾

Couche : SAP BTP

Ouvrir la carte d'architecture →

Comment fonctionne SAP Cloud Connector ?

SAP Cloud Connector inverse le sens habituel d'une connexion :

Un administrateur installe SAP Cloud Connector sur un hôte du réseau de l'entreprise, à proximité des systèmes back-end.
L'administrateur enregistre un ou plusieurs subaccounts SAP BTP. SAP Cloud Connector ouvre alors vers chaque subaccount un tunnel sortant chiffré en TLS.
Une application de ce subaccount appelle une destination de proxy type OnPremise, qui désigne un hôte et un port virtuels.
Le service SAP BTP Connectivity envoie la requête à travers le tunnel.
SAP Cloud Connector vérifie sa liste d'autorisation, fait correspondre l'hôte virtuel à l'hôte interne réel et transmet l'appel en HTTP, RFC ou via un autre protocole pris en charge.

Seules les applications du subaccount enregistré peuvent utiliser le tunnel, et SAP Cloud Connector consigne le trafic entrant et les modifications de configuration dans son journal d'audit. SAP Cloud Connector est donc une passerelle contrôlée que le client ouvre de l'intérieur, et non une brèche dans le pare-feu.

Que configure-t-on dans SAP Cloud Connector ?

Paramètre	Ce qu'il contrôle
Subaccount	Les subaccounts SAP BTP autorisés à utiliser ce SAP Cloud Connector
Location ID	Distingue plusieurs connecteurs rattachés au même subaccount
Access control	Type de back-end, protocole, hôte et port internes, hôte et port virtuels
Ressources	Chemins d'URL ou modules fonction autorisés sur chaque système, exacts ou avec sous-chemins
Principal propagation	Transmission de l'identité de l'utilisateur cloud au back-end pour l'authentification unique (single sign-on)
Haute disponibilité	Une instance master et une instance shadow qui prend le relais en cas de défaillance du master

Exemple typique : Alder Manufacturing fait correspondre l'hôte virtuel s4-alder:443 à son hôte SAP S/4HANA réel et n'autorise que les chemins des services OData dont ses applications SAP BTP ont besoin. Le nom virtuel masque le nom d'hôte interne vis-à-vis de SAP BTP. Toute requête hors de la liste d'autorisation est refusée. Configurer SAP Cloud Connector revient surtout à décider de ce qu'il faut exposer, et non de la manière de se connecter.

Quels sont les atouts de SAP Cloud Connector ?

Aucune modification du pare-feu en entrée : le tunnel est ouvert de l'intérieur ; aucun port vers le réseau interne n'a donc à être ouvert et aucun reverse proxy n'a besoin d'être placé en DMZ.
Exposition fine : les administrateurs exposent des hôtes et des chemins précis plutôt que des segments réseau entiers.
Protocoles SAP inclus : outre HTTP, SAP Cloud Connector prend en charge RFC, ce qui permet aux applications cloud d'appeler nativement des modules fonction ABAP.
Propagation de l'identité : la principal propagation permet aux autorisations back-end de s'appliquer à l'utilisateur réel plutôt qu'à un utilisateur technique partagé.
Fonctions d'exploitation : la reconnexion automatique, la journalisation d'audit et une configuration de haute disponibilité master–shadow sont fournies avec le produit, que SAP prend en charge en standard.

Pour les paysages hybrides, SAP Cloud Connector est la méthode SAP standard pour permettre à SAP BTP d'atteindre des systèmes qui doivent rester hors d'Internet.

Où s'arrête SAP Cloud Connector ?

Du transport, pas de l'intégration. SAP Cloud Connector achemine des requêtes ; il ne transforme pas les données, n'orchestre pas les appels et ne relance pas la logique métier. Ces tâches relèvent de l'application appelante ou d'un service d'intégration.
Un composant de plus à exploiter. Le client l'installe, le met à jour, le dimensionne et le supervise, JDK compris. Un SAP Cloud Connector défaillant entraîne dans sa chute tous les scénarios SAP BTP qui en dépendent.
La haute disponibilité dépend du réseau. Le master et le shadow communiquent en dehors de SAP BTP : une liaison instable entre eux peut donc déclencher une bascule alors que le master fonctionne encore.
Pas pour tous les systèmes. SAP documente que SAP Cloud Connector ne peut pas être installé dans les solutions SaaS de SAP, y compris SAP S/4HANA Cloud Public Edition.

Ces limites sont voulues : SAP Cloud Connector sécurise le chemin vers le réseau, tandis que ce qui y circule est conçu ailleurs.

Comment SAP Cloud Connector s'applique-t-il à chaque option de déploiement de SAP S/4HANA ?

SAP S/4HANA on-premise : le client installe SAP Cloud Connector dans son propre réseau, de préférence avec la version installer, qui s'exécute en tant que service et prend en charge les mises à niveau.
SAP S/4HANA Cloud Private Edition : SAP cite des environnements hébergés par SAP, comme SAP HANA Enterprise Cloud, parmi les endroits où SAP Cloud Connector peut s'exécuter ; confirmez avec SAP qui l'installe et l'exploite dans votre paysage.
SAP S/4HANA Cloud Public Edition : SAP Cloud Connector n'y est pas installé. SAP BTP atteint la Public Edition via Internet au moyen de communication arrangements et de destinations.
Hébergement IaaS : les systèmes du client sur une infrastructure d'hyperscaler comptent comme un réseau comparable à l'on-premise ; SAP Cloud Connector peut donc aussi s'y exécuter.

SAP Cloud Connector est pertinent partout où le système SAP S/4HANA se trouve derrière un pare-feu contrôlé par le client.

Pourquoi un appel via SAP Cloud Connector échoue-t-il ?

Procédez de SAP BTP vers le back-end :

État du tunnel. Dans l'interface d'administration, vérifiez que le subaccount apparaît comme connecté.
Location ID. Si plusieurs connecteurs desservent le subaccount, le location ID de la destination doit correspondre à celui visé.
Hôte virtuel. L'hôte et le port de l'URL de la destination doivent correspondre exactement à l'hôte et au port virtuels de l'access control.
Ressources. Le chemin demandé doit figurer dans la liste d'autorisation, et les chemins sont sensibles à la casse. L'absence de l'option de sous-chemins est une cause fréquente d'appels refusés.
Accessibilité interne. SAP Cloud Connector doit atteindre l'hôte interne directement, sans proxy.
Identité. Avec la principal propagation, vérifiez la configuration de confiance et le mapping des utilisateurs dans le back-end.

La plupart des échecs de SAP Cloud Connector sont des incohérences entre la destination et l'entrée d'access control, pas des pannes réseau.

SAP Cloud Connector ou destinations SAP BTP : quelle différence ?

	SAP Cloud Connector	Destination SAP BTP
Ce que c'est	Agent installé dans le réseau du client	Objet de configuration dans un subaccount ou une instance de service
Où il se trouve	Hôte on-premise ou IaaS exploité par le client	Cockpit SAP BTP ou Destination service
Question à laquelle il répond	Quels systèmes et chemins internes SAP BTP peut-il atteindre ?	Quelle URL et quelle authentification une application utilise-t-elle ?
Nécessaire lorsque	La cible se trouve derrière un pare-feu du client	Tout appel sortant d'une application SAP BTP, vers Internet ou l'on-premise
Échec typique	Chemin non autorisé ou tunnel coupé	URL, identifiants ou location ID erronés

Une destination indique à une application SAP BTP où appeler ; SAP Cloud Connector décide si une cible on-premise peut, ou non, être atteinte.

Questions fréquentes

SAP Cloud Connector exige-t-il d'ouvrir des ports entrants sur le pare-feu ?

Non. SAP Cloud Connector ouvre un tunnel TLS sortant vers SAP BTP, et les requêtes de SAP BTP reviennent par ce tunnel. SAP indique que le pare-feu on-premise n'a pas besoin de règles autorisant l'accès externe aux systèmes internes, à condition que les connexions sortantes vers SAP BTP soient permises.

Plusieurs SAP Cloud Connectors peuvent-ils se connecter à un même subaccount SAP BTP ?

Oui. Plusieurs instances de SAP Cloud Connector peuvent se rattacher au même subaccount, à condition que chacune utilise un location ID différent. Les destinations indiquent alors le location ID pour choisir le connecteur, ce qui est utile lorsque des usines ou des régions disposent de réseaux distincts.

SAP Cloud Connector est-il nécessaire pour SAP S/4HANA Cloud Public Edition ?

Pas pour atteindre la Public Edition elle-même. SAP documente que SAP Cloud Connector ne peut pas être installé dans SAP S/4HANA Cloud Public Edition, et SAP BTP appelle ses API libérées via Internet. SAP Cloud Connector reste pertinent pour les autres systèmes on-premise du même paysage.

Comment rendre SAP Cloud Connector hautement disponible ?

Installez une seconde instance en tant que shadow et connectez-la au master. Le master transmet sa configuration au shadow, et le shadow reprend le tunnel si le master ne répond plus. SAP précise que le master et le shadow ont besoin d'un réseau stable entre eux.

Qu'est-ce qu'un hôte virtuel dans SAP Cloud Connector ?

Un hôte virtuel est le nom que les destinations SAP BTP utilisent à la place du nom d'hôte interne réel. SAP Cloud Connector le fait correspondre à l'hôte et au port internes, si bien que l'adresse interne n'apparaît jamais dans la configuration SAP BTP. Le nom virtuel n'a pas besoin d'exister dans le DNS.

Sources

S'applique à: SAP BTP · SAP S/4HANA on-premise · SAP S/4HANA Cloud Private Edition
Dernière relecture: 2026-11-09

Destinations (SAP BTP)SAP Business Technology Platform (SAP BTP)