SAP S/4HANA Cloud, Private Edition – Integration einrichten

Bevor Sie Payhawk an SAP S/4HANA® Cloud, Private Edition, anbinden, müssen Sie Ihr SAP-System für eine sichere externe Kommunikation vorbereiten.

Je nach IT-Infrastruktur und Sicherheitsarchitektur Ihres Unternehmens können Sie eine von zwei Verbindungsstrategien wählen:

1. Direkte Verbindung, die Payhawk direkt mit Ihrer SAP S/4HANA Private Cloud über ein sicheres Port- und Zertifikats-Mapping verbindet.

2. Verbindung über SAP BTP, die den Payhawk-Verkehr sicher über die SAP Business Technology Platform (BTP) leitet, indem sie den SAP Cloud Connector verwendet, ohne interne Ports offenzulegen.

Strategie 1: Direkte Verbindung

Dieser Ansatz erfordert die Installation des Sicherheitszertifikats von Payhawk direkt in Ihrem SAP S/4HANA-System, die Erstellung einer Benutzerzuordnungsregel und die Öffnung eines dedizierten Netzwerkports für die Kommunikation.

Schritt 1: Zertifikat in Trust Manager installieren (STRUST)

So stellen Sie sicher, dass Ihr SAP S/4HANA-System eingehende Anfragen von Payhawk als vertrauenswürdig einstuft:

1. Melden Sie sich am SAP GUI an und öffnen Sie den Transaktionscode STRUST.

2. Doppelklicken Sie auf der linken Seite auf den Ordner SSL-Server Standard PSE.

3. Klicken Sie unten im Abschnitt Zertifikat auf Zertifikat importieren.

4. Wählen Sie die vom Payhawk-Einrichtungsassistenten bereitgestellte Zertifikatsdatei aus und klicken Sie auf Eingabe.

5. Klicken Sie auf Zur Zertifikatsliste hinzufügen, um das Zertifikat von Payhawk zu Ihrer Vertrauensliste hinzuzufügen.

6. Klicken Sie auf Speichern, um die Änderungen zu übernehmen.

Schritt 2: Zertifikat einem SAP-Benutzer zuordnen (CERTRULE)

Als nächstes müssen Sie SAP mitteilen, welcher technische Systembenutzer dem Zertifikat entspricht:

1. Legen Sie in der Transaktion SU01 einen dedizierten technischen oder Kommunikationsbenutzer mit den erforderlichen Berechtigungen für Payhawk-Daten an oder identifizieren Sie ihn.

2. Öffnen Sie den Transaktionscode CERTRULE.

3. Klicken Sie auf Zertifikat importieren und wählen Sie die gleiche Payhawk-Zertifikatsdatei aus.

4. Klicken Sie auf die Schaltfläche Regel, um eine neue Zuordnungsregel zu erstellen.

5. Weisen Sie diese Regel Ihrer technischen oder Kommunikations-Benutzerkennung zu, damit eingehende Payhawk-Anrufe automatisch unter diesem Benutzer eingeloggt werden.

6. Klicken Sie auf Speichern.

Schritt 3: Port für eingehende Anrufe öffnen

1. Führen Sie den Transaktionscode SMICM aus und wählen Sie Springen > Dienste, um Ihre aktiven HTTPS-Ports anzuzeigen.

2. Stellen Sie sicher, dass Ihre Unternehmensfirewall, Ihr Reverse-Proxy oder Ihr SAP Web Dispatcher so konfiguriert ist, dass eingehender Datenverkehr von den von Payhawk angegebenen IP-Adressen direkt an diesen HTTPS-Port zugelassen wird.

Strategie 2: Verbindung über SAP BTP

Wenn die Sicherheitsrichtlinien Ihres Unternehmens das Öffnen eingehender Firewall-Ports strikt untersagen, können Sie die Verbindung sicher über SAP Business Technology Platform (BTP) und den SAP Cloud Connector leiten.

Schritt 1: SAP Cloud Connector (SCC) installieren und konfigurieren

Der Cloud Connector fungiert als sicherer, von außen initiierter Tunnel zwischen Ihrem privaten Netzwerk und der Cloud.

1. Installieren Sie die SAP Cloud Connector-Software in Ihrer privaten Cloud-Umgebung, falls sie noch nicht läuft.

2. Melden Sie sich im Verwaltungsbereich des Cloud Connectors an.

3. Klicken Sie auf Unterkonto hinzufügen und geben Sie die Details Ihres SAP BTP-Unterkontos ein (Region, Unterkonto-ID und Anmeldedaten), um die sichere Verbindung herzustellen.

4. Navigieren Sie im Seitenmenü zu Cloud zu On-Premise und wechseln Sie zur Registerkarte Zuordnung von virtuellen zu internen Systemen.

5. Klicken Sie auf die Schaltfläche + (Hinzufügen) und erstellen Sie eine Zuordnung:

   1. Wählen Sie als Backend-Typ ABAP-System.

   2. Geben Sie die Details Ihres internen SAP S/4HANA-Systems ein (interner Host und Port).

   3. Definieren Sie einen Namen für den virtuellen Host und den virtuellen Port (z. B. s4virtual:443). Dies ist der Alias, den BTP für die Kommunikation mit Ihrem System verwendet.

6. Klicken Sie unten im Abschnitt Zugängliche Ressourcen auf Hinzufügen, um festzulegen, welche API-URLs Payhawk verwenden darf.

7. Geben Sie die spezifischen OData/SOAP-Basispfade ein, die von Payhawk benötigt werden, und wählen Sie Pfad und alle Unterpfade. Klicken Sie auf Speichern.

Schritt 2: SAP BTP Application Router (App Router) einrichten

Der BTP App Router fungiert als zentraler Zugangspunkt für die Cloud-APIs von Payhawk und leitet Anfragen sicher an den Cloud Connector weiter.

1. Melden Sie sich bei Ihrem SAP BTP Cockpit an und navigieren Sie zu Ihrem Unterkonto.

2. Gehen Sie zu Verbindungen > Ziele und klicken Sie auf Neues Ziel.

3. Legen Sie eine Destination an, die auf Ihr SAP-System verweist, und geben Sie dabei die folgenden Details an:

   • Typ: HTTP

   • Proxy-Typ: OnPremise

   • URL: Geben Sie den virtuellen Host und den virtuellen Port ein, den Sie im Cloud Connector definiert haben (z. B. http://s4virtual:443).

   • Authentifizierung: Konfigurieren Sie die technischen Benutzeranmeldedaten oder die Details zur Zertifikatszuordnung, die für Payhawk erstellt wurden.

4. Stellen Sie Ihre SAP BTP Application Router-Anwendung in Ihrem BTP Space bereit.

5. Ordnen Sie in der Routing-Konfigurationsdatei des App Routers (xs-app.json) die von Payhawk kommenden eingehenden Routen dem neu erstellten BTP-Ziel zu.

Nach Abschluss des Vorgangs führt Payhawk sicher API-Aufrufe an Ihren in der Cloud gehosteten BTP App Router durch, der den Datenverkehr über den Cloud Connector direkt in Ihre S/4HANA-Private-Cloud-Instanz weiterleitet.

Schritt 2: SAP BTP Application Router (App Router) einrichten

Der BTP App Router fungiert als zentraler Zugangspunkt für die Cloud-APIs von Payhawk und leitet Anfragen sicher an den Cloud Connector weiter.

1. Erstellen Sie das BTP-Ziel: Navigieren Sie in Ihrem SAP BTP Cockpit zu Ihrem Unterkonto, gehen Sie zu VerbindungZiele und klicken Sie auf Neues Ziel. Erstellen Sie ein Ziel, das auf Ihren virtuellen Host verweist, und verwenden Sie dabei die technischen Benutzerdaten Ihres SAP-Systems oder eine Zertifikatszuordnung.

   • Typ: HTTP

   • Proxy-Typ: OnPremise

   • URL: Geben Sie den virtuellen Host und den virtuellen Port ein, den Sie im Cloud Connector definiert haben (z. B. http://s4virtual:443).

   • Authentifizierung: Konfigurieren Sie die technischen Benutzeranmeldedaten.

2. Erstellen Sie die erforderlichen Dienstinstanzen:Um sicheres Routing und eine sichere Verbindung zu ermöglichen, navigieren Sie in Ihrem BTP-Cockpit zu Dienste > Instanzen und Abonnements und erstellen Sie für jeden der folgenden Dienste eine Instanz:

   • Bestimmungsort Dienst

   • Verbindungsdienst

   • XSUAA-Dienst (Dienst für Autorisierung und Vertrauensmanagement)

3. App Router installieren:

4. Verbinden Sie den App Router mit dem Payhawk-Assistenten:

   1. Sobald der App Router bereitgestellt ist, kopieren Sie seine öffentliche URL (Route).

   2. Öffnen Sie den Payhawk-Integrationsassistenten und geben Sie diese App Router-Route ein.

   3. Der Payhawk-Assistent generiert dann eine JSON-Konfigurationsdatei, die Sie herunterladen können.

5. Erzeugen Sie den XSUAA-Service-Schlüssel:

   1. Kehren Sie zu Ihrem SAP BTP Cockpit zurück und suchen Sie die zuvor erstellte XSUAA-Dienstinstanz.

   2. Erstellen Sie für diese Instanz einen neuen Dienstschlüssel, indem Sie den Inhalt der heruntergeladenen Payhawk-JSON-Datei in die Konfigurationsparameter einfügen.

   3. Speichern und öffnen Sie den neu erstellten Dienstschlüssel. Kopieren Sie die Client-ID (clientid) und die Token-URL (url) aus dem Textfeld „Anmeldedaten“.

   4. Fügen Sie die Client-ID und die Token-URL wieder in den Payhawk-Assistenten ein, um die sichere Authentifizierungsverbindung abzuschließen.

Nächste Schritte

• Payhawk mit SAP S/4HANA Cloud, Private Edition, verbinden