Keycloak ist die Grundlage des Identitäts- und Authentifizierungsdienstes von SAP Business One. SAP Business One bettet Keycloak als Authentication Server ein, der die Zugriffstoken für den Service Layer ausstellt.
Rolle in SAP Business One
Der Authentication Server ist ein eingebettetes Keycloak. Er läuft auf Port 40020, nutzt den Realm sapb1 und verwendet die Standardpfade von Keycloak für Anmeldung, Token und Abmeldung. Der Service Layer prüft die ausgestellten Token bei jeder Anfrage gegen diesen Server. Ab Feature Package 2602 prüft der Service Layer zusätzlich die Zielgruppe (Audience) des Tokens. Für Versionen vor Feature Package 2608 nennt SAP einen Audience-Mapper in Keycloak als Workaround.
Anbindung externer Identitätsanbieter
Externe Identitätsanbieter bindet SAP Business One über das Identity Brokering von Keycloak an. Der Anwender meldet sich dabei beim externen Anbieter an, zum Beispiel bei Microsoft Entra ID. Das Token für den Service Layer stellt danach weiterhin der eingebettete Keycloak-Server aus. Legt der Administrator einen externen Identitätsanbieter in der SLD an, erzeugt das System automatisch die passende Weiterleitungsadresse.
Hinweis für den Betrieb
Keycloak bietet Funktionen, die SAP für SAP Business One nicht dokumentiert. Ein Beispiel ist ein Endpunkt zum Widerrufen von Token. Integratoren sollten solche Endpunkte deshalb nur aus der Discovery des Servers übernehmen.
Abgrenzung
Keycloak ist in SAP Business One kein externer Identitätsanbieter. Keycloak bildet den eingebetteten Authentication Server, an den der Administrator externe Anbieter wie AD FS, Microsoft Entra ID oder SAP IAS anbindet.
MARIProject 8.0.000: Neues Design, erweiterte Produktion und optimierte Prozesse
Neuerungen in SAP Business One 10.0 FP 2508
Rechnungsabgrenzung in SAP Business One
SAP Business One Webclient – Zusatzfeature oder strategischer Step
Elster 2025 für SAP Business One
