Authentication Service (SAP Business One)

Der Authentication Service (SAP Business One) ist der Identitäts- und Authentifizierungsdienst von SAP Business One, der Zugriffstoken für den Service Layer ausstellt. Er baut auf Keycloak auf und lässt sich an weitere Identitätsanbieter anbinden.

Funktionsweise

Bei aktivem Identity and Authentication Management (IAM) meldet sich eine Fremdanwendung nicht per Login-Aufruf beim Service Layer an. Stattdessen schickt die Anwendung bei jeder Anfrage ein Zugriffstoken und die Mandanten-ID mit. Der Service Layer prüft das Token gegen den Authentication Server. Über die Benutzerbindung in der SLD ermittelt er anschließend, welcher Benutzer in welchem Mandanten gemeint ist. Ein Session-Cookie entfällt auf diesem Weg. Der Authentication Server ist ein eingebettetes Keycloak und arbeitet mit dem Protokoll OIDC beziehungsweise OAuth2. Anwendungen ermitteln seine Adresse über die SLD.

Registrierung von Fremdanwendungen

Ab Feature Package 2208 registriert der Administrator Fremdanwendungen im Extension Single Sign-On Manager. Diese Anwendung wird mit dem Extension Manager installiert. SAP unterscheidet fünf Client-Typen: Web App, Daemon Service, Desktop App, Single Page App und Mobile App. Der Daemon Service steht ab Feature Package 2502 bereit. Er verbindet Maschinen untereinander und nutzt dafür einen technischen Benutzer.

Externe Identitätsanbieter

Ab Feature Package 2405 bindet der Administrator im Cloud Control Center externe Identitätsanbieter über OIDC an. Unterstützt sind AD FS, Microsoft Entra ID und SAP IAS (in diesem Release als Beta). Der Anwender meldet sich dann beim externen Anbieter an. Das Token für den Service Layer stellt jedoch weiterhin der Authentication Server von SAP Business One aus. Ab Feature Package 2508 unterstützt der Dienst zusätzlich den OIDC Back-Channel-Logout.

Voraussetzungen

Der Dienst setzt Feature Package 2208 oder höher voraus. Der Administrator muss IAM im SLD Control Center aktivieren, und mindestens ein Identitätsanbieter muss aktiv sein. Jeder Endnutzer braucht eine Bindung an seinen Benutzer in SAP Business One. Außerdem müssen die Uhren synchron laufen.

Abgrenzung

Der Authentication Service ist kein externer Identitätsanbieter. SAP IAS ist zum Beispiel ein externer Identitätsanbieter und nicht der Authentication Service selbst. Der Authentication Service stellt die Token aus. Die Prüfung der Objektberechtigungen übernimmt dagegen weiterhin das Berechtigungsmodell von SAP Business One.

SAP B1 Blog