SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场sap-btp-connectivity

sap-btp-connectivity

部署与运维

查看项目

更新于 10-15 14:07

技能介绍

用途

SAP BTP Connectivity 技能用于在 SAP BTP 应用与远程服务之间建立安全连接，覆盖云端、本地（on-premise）和 VPC 环境。当需要配置 BTP 目标（Destination）、Cloud Connector、OAuth 流程、主体传播（Principal Propagation）、RFC/LDAP/MAIL/TCP 连接、Kubernetes/Kyma 连接代理、多租户目标访问，或排查 405、407、503 及代理故障等连接错误时，可使用本技能。

核心组件

  • Destination Service：管理连接元数据、认证与路由。
  • Connectivity Service：使 Kubernetes 工作负载可通过 Cloud Connector 访问。
  • Cloud Connector：用于安全本地隧道的反向代理。
  • Connectivity Proxy：Kubernetes 组件，用于本地访问。
  • Transparent Proxy：Kubernetes 组件，用于统一目标访问。

支持环境：Cloud Foundry、ABAP Environment、Kyma。 支持协议：HTTP/HTTPS、RFC、TCP（SOCKS5）、LDAP/LDAPS、Mail。

主要能力

  • 目标类型配置：HTTP（REST/OData API）、RFC（SAP 系统）、LDAP（目录服务）、MAIL（邮件协议）、TCP（通用 TCP）。
  • 认证配置：OAuth2ClientCredentials（服务到服务）、OAuth2SAMLBearerAssertion（用户传播）、PrincipalPropagation（本地 SSO）等 17 种以上类型。
  • Cloud Connector 安装与配置：生产环境使用 Windows MSI/Linux RPM 包，开发环境使用便携归档；初始配置包括访问 https://<hostname>:8443、修改默认密码、选择 Master 或 Shadow 模式、添加子账户连接。
  • 访问控制：配置本地资源访问，包括后端类型（ABAP System、SAP Gateway、Non-SAP System、SAP HANA）、HTTP 访问控制（系统映射 + 资源路径 + 策略）。
  • 高可用：Master-Shadow 主备配置同步，要求稳定网络、独立机器、相同版本。
  • Kubernetes/Kyma 连接：通过 Helm 安装 Connectivity Proxy 和 Transparent Proxy，将 BTP 目标暴露为 Kubernetes Service。

使用方式

创建 HTTP 目标（Cloud Foundry）：在 BTP Cockpit 中进入 Connectivity > Destinations，选择 Create > From Scratch，配置 Name、Type（HTTP）、URL、ProxyType（Internet）、Authentication（OAuth2ClientCredentials）及 clientId、clientSecret、tokenServiceURL。

在应用中访问目标（Node.js）：

const { getDestination } = require('@sap-cloud-sdk/connectivity');
const destination = await getDestination({ destinationName: 'my-destination' });

安装 Connectivity Proxy：

helm install connectivity-proxy \
  oci://registry-1.docker.io/sapse/connectivity-proxy \
  --version <version> --namespace <namespace> -f values.yaml

安装 Transparent Proxy：

helm install transparent-proxy \
  oci://registry-1.docker.io/sapse/transparent-proxy \
  --version <version> --namespace <namespace> -f values.yaml

适用场景

  • 云到云连接：ProxyType 为 Internet，认证使用 OAuth2ClientCredentials 或 OAuth2SAMLBearerAssertion。
  • 云到本地连接：ProxyType 为 OnPremise，认证使用 BasicAuthentication 或 PrincipalPropagation，需在本地网络安装 Cloud Connector。
  • 本地到云（服务通道）：本地系统通过 Cloud Connector 访问 SAP BTP 服务。
  • Kubernetes/Kyma 工作负载访问本地系统或统一目标访问。

常见问题排查

  • 400：请求格式错误，检查请求语法。
  • 401：认证失败，验证凭据/令牌。
  • 405：应使用 HTTP 而非 HTTPS，使用 http:// 加端口 20003。
  • 407：缺少授权，添加 Proxy-Authorization: Bearer <token>。
  • 503：Cloud Connector 离线，检查 CC 连接和 Location ID。
  • Cloud Connector 无法连接子账户：验证区域主机 URL、防火墙允许出站 HTTPS、子账户凭据。
  • 资源访问被拒：检查访问控制配置、虚拟主机映射、资源路径策略。

安全最佳实践

  • Cloud Connector：部署在 DMZ 并由 IT 控制；立即修改默认密码；配置 LDAP 用户管理；启用审计日志（生产环境为 All 级别）；部署高可用（master + shadow）。
  • 目标：优先使用 OAuth 而非基本认证；凭据存储在 Destination Service 而非代码中；所有连接启用 TLS；使用 mTLS 增强安全性。

关键规则

始终：立即修改 Cloud Connector 默认密码；所有外部连接使用 HTTPS；在暴露资源前配置访问控制；生产环境启用审计日志；适当缓存令牌和目标。

禁止：将 Cloud Connector UI 暴露到互联网；在应用代码中存储凭据；跳过访问控制配置；修改 Cloud Connector Tomcat 配置文件；运行多个 master 实例（脑裂）。

限制

本技能资料未提供具体收费、价格、平台限制或效果保证等信息。