SAP BTP e extensibilidade

SAP Cloud Connector

O SAP Cloud Connector é um agente on-premise do SAP BTP Connectivity que liga aplicativos do SAP BTP a sistemas dentro da rede corporativa por meio de um túnel TLS que o próprio agente abre de dentro para fora, de modo que nenhuma porta de entrada no firewall é necessária. O SAP Cloud Connector expõe apenas os hosts e caminhos de URL que um administrador libera explicitamente, sob nomes virtuais.

Resumo

Tipo: Agente de conectividade on-premise (reverse invoke proxy)
Camada: SAP BTP (faixa lateral); instalado na rede do cliente
Executa em: Host Windows ou Linux com JDK completo; macOS para uso não produtivo
Administrado em: UI de administração do Cloud Connector (porta padrão 8443)
Funciona com: Serviço SAP BTP Connectivity e destinations com proxy type OnPremise
Quem trabalha com ele: Equipes de Basis, rede e segurança; administradores do SAP BTP
Aplica-se a: SAP BTP com SAP S/4HANA on-premise e Private Edition

Camada: SAP BTPOnde se encaixa ▾

Camada: SAP BTP

Abrir o mapa de arquitetura →

Como funciona o SAP Cloud Connector?

O SAP Cloud Connector inverte a direção usual de uma conexão:

Um administrador instala o SAP Cloud Connector em um host dentro da rede corporativa, ao lado dos sistemas de back-end.
O administrador registra um ou mais subaccounts do SAP BTP. O SAP Cloud Connector então abre um túnel de saída, criptografado com TLS, para cada subaccount.
Um aplicativo nesse subaccount chama uma destination com proxy type OnPremise, que indica um host e uma porta virtuais.
O serviço SAP BTP Connectivity envia a requisição pelo túnel.
O SAP Cloud Connector verifica sua allowlist, mapeia o host virtual para o host interno real e encaminha a chamada por HTTP, RFC ou outro protocolo suportado.

Apenas aplicativos do subaccount registrado podem usar o túnel, e o SAP Cloud Connector registra o tráfego de entrada e as mudanças de configuração no seu audit log. O SAP Cloud Connector é, portanto, um gateway controlado que o cliente abre de dentro, e não um buraco no firewall.

O que se configura no SAP Cloud Connector?

Configuração	O que controla
Subaccount	Quais subaccounts do SAP BTP podem usar este SAP Cloud Connector
Location ID	Diferencia vários conectores ligados ao mesmo subaccount
Access control	Tipo de back-end, protocolo, host e porta internos, host e porta virtuais
Resources	Caminhos de URL ou function modules permitidos em cada sistema, exatos ou com subcaminhos
Principal propagation	Encaminhamento da identidade do usuário da nuvem ao back-end para single sign-on
Alta disponibilidade	Uma instância master mais uma instância shadow que assume quando a master falha

Um exemplo típico: a Alder Manufacturing mapeia o host virtual s4-alder:443 para o seu host SAP S/4HANA real e libera apenas os caminhos dos serviços OData de que seus apps do SAP BTP precisam. O nome virtual esconde o hostname interno do SAP BTP. Toda requisição fora da allowlist é negada. Configurar o SAP Cloud Connector é sobretudo uma decisão sobre o que expor, e não sobre como conectar.

Quais são os pontos fortes do SAP Cloud Connector?

Sem mudanças de entrada no firewall: o túnel é aberto de dentro, então nenhuma porta em direção à rede interna precisa ser aberta e nenhum reverse proxy precisa ficar na DMZ.
Exposição granular: os administradores expõem hosts e caminhos individuais em vez de segmentos de rede inteiros.
Protocolos SAP incluídos: além de HTTP, o SAP Cloud Connector suporta RFC, de modo que aplicativos na nuvem podem chamar function modules ABAP nativamente.
Propagação de identidade: a principal propagation faz com que as autorizações do back-end se apliquem ao usuário real, e não a um usuário técnico compartilhado.
Recursos operacionais: reconexão automática, audit logging e uma configuração de alta disponibilidade master–shadow vêm com o produto, que a SAP suporta como standard.

Para landscapes híbridos, o SAP Cloud Connector é a forma padrão da SAP de permitir que o SAP BTP alcance sistemas que precisam ficar fora da internet.

Onde o SAP Cloud Connector chega ao limite?

Transporte, não integração. O SAP Cloud Connector transporta requisições; não mapeia dados, não orquestra chamadas nem repete lógica de negócio. Essas tarefas pertencem ao aplicativo chamador ou a um serviço de integração.
Mais um componente para operar. O cliente instala, aplica patches, dimensiona e monitora o componente, incluindo o seu JDK. Um SAP Cloud Connector com falha derruba junto todos os cenários do SAP BTP que dependem dele.
A alta disponibilidade depende da rede. Master e shadow se comunicam fora do SAP BTP, então um link instável entre eles pode disparar uma troca enquanto a master ainda está rodando.
Não serve para todo sistema. A SAP documenta que o SAP Cloud Connector não pode ser instalado em soluções SaaS da SAP, incluindo o SAP S/4HANA Cloud Public Edition.

São limites por design: o SAP Cloud Connector protege o caminho para dentro da rede, enquanto o que trafega por ele é desenhado em outro lugar.

Como o SAP Cloud Connector se aplica a cada opção de implantação do SAP S/4HANA?

SAP S/4HANA on-premise: o cliente instala o SAP Cloud Connector na própria rede, de preferência com a versão de instalador, que roda como serviço e suporta upgrades.
SAP S/4HANA Cloud Private Edition: a SAP lista ambientes hospedados pela SAP, como o SAP HANA Enterprise Cloud, entre os locais onde o SAP Cloud Connector pode rodar; confirme com a SAP quem o instala e opera no seu landscape.
SAP S/4HANA Cloud Public Edition: o SAP Cloud Connector não é instalado ali. O SAP BTP alcança a Public Edition pela internet, por meio de communication arrangements e destinations.
Hospedagem em IaaS: sistemas do cliente em infraestrutura de hyperscaler contam como uma rede comparável à on-premise, então o SAP Cloud Connector também pode rodar ali.

O SAP Cloud Connector é relevante sempre que o sistema SAP S/4HANA fica atrás de um firewall controlado pelo cliente.

Por que uma chamada pelo SAP Cloud Connector falha?

Avance do SAP BTP em direção ao back-end:

Status do túnel. Na UI de administração, verifique se o subaccount aparece como conectado.
Location ID. Se vários conectores atendem o subaccount, o location ID da destination precisa corresponder ao pretendido.
Host virtual. O host e a porta na URL da destination precisam corresponder exatamente ao host e à porta virtuais no access control.
Resources. O caminho solicitado precisa estar na allowlist, e os caminhos diferenciam maiúsculas de minúsculas. A ausência da opção de subcaminhos é uma causa frequente de chamadas negadas.
Alcance interno. O SAP Cloud Connector precisa alcançar o host interno diretamente, sem proxy.
Identidade. Com principal propagation, verifique a configuração de confiança e o mapeamento de usuários no back-end.

A maioria das falhas do SAP Cloud Connector é de divergência entre a destination e a entrada de access control, não de quedas de rede.

SAP Cloud Connector vs. destinations do SAP BTP: qual é a diferença?

	SAP Cloud Connector	Destination do SAP BTP
O que é	Agente instalado na rede do cliente	Objeto de configuração em um subaccount ou instância de serviço
Onde fica	Host on-premise ou IaaS operado pelo cliente	SAP BTP cockpit ou Destination service
Pergunta que responde	Quais sistemas e caminhos internos o SAP BTP pode alcançar?	Qual URL e qual autenticação um app usa?
Necessário quando	O destino está atrás de um firewall do cliente	Qualquer chamada de saída de um app do SAP BTP, para a internet ou on-premise
Falha típica	Caminho fora da allowlist ou túnel caído	URL, credenciais ou location ID errados

Uma destination diz a um app do SAP BTP para onde chamar; o SAP Cloud Connector decide se um destino on-premise pode ser alcançado.

Perguntas frequentes

O SAP Cloud Connector exige abrir portas de entrada no firewall?

Não. O SAP Cloud Connector abre um túnel TLS de saída para o SAP BTP, e as requisições vindas do SAP BTP voltam por esse túnel. A SAP afirma que o firewall on-premise não precisa de regras que permitam acesso externo a sistemas internos, desde que as conexões de saída para o SAP BTP sejam permitidas.

Vários SAP Cloud Connectors podem se conectar a um subaccount do SAP BTP?

Sim. Várias instâncias do SAP Cloud Connector podem se ligar ao mesmo subaccount, desde que cada uma use um location ID diferente. As destinations então indicam o location ID para escolher o conector, o que é útil quando fábricas ou regiões têm redes separadas.

O SAP Cloud Connector é necessário para o SAP S/4HANA Cloud Public Edition?

Não para alcançar a própria Public Edition. A SAP documenta que o SAP Cloud Connector não pode ser instalado no SAP S/4HANA Cloud Public Edition, e o SAP BTP chama suas APIs liberadas pela internet. O SAP Cloud Connector continua relevante para outros sistemas on-premise no mesmo landscape.

Como deixar o SAP Cloud Connector em alta disponibilidade?

Instale uma segunda instância como shadow e conecte-a à master. A master envia sua configuração para a shadow, e a shadow assume o túnel se a master parar de responder. A SAP alerta que master e shadow precisam de uma rede estável entre elas.

O que é um host virtual no SAP Cloud Connector?

Um host virtual é o nome que as destinations do SAP BTP usam no lugar do hostname interno real. O SAP Cloud Connector o mapeia para o host e a porta internos, de modo que o endereço interno nunca aparece na configuração do SAP BTP. O nome virtual não precisa existir no DNS.

Fontes

Aplica-se a: SAP BTP · SAP S/4HANA on-premise · SAP S/4HANA Cloud Private Edition
Última revisão: 2026-11-09

Destinations (SAP BTP)SAP Business Technology Platform (SAP BTP)