SAP ERP

SAP ERP 是由 SAP SE 开发的企业资源规划软件。 SAP ERP 整合了组织的主要业务功能。 SAP ERP 连接器允许使用本地数据网关调用 RFC 和 BAPI 函数。

此连接器在以下产品和区域中可用：

服务	Class	区域
Copilot Studio	高级	所有 Power Automate 区域
Power Apps	高级	所有 Power Apps 区域
Power Automate	高级	所有 Power Automate 区域

联系人
Name	Microsoft
URL	https://learn.microsoft.com/connectors/saperp/

连接器元数据
发布者	Microsoft
网站	https://www.sap.com/products/enterprise-management-erp.html
隐私策略	https://www.sap.com/about/legal/privacy.html
类别	生产力

使用 SAP ERP 连接器

若要开始使用此连接器，请阅读以下博客文章：

先决条件

SAP ERP 连接器依赖于以下组件，这些组件必须安装在同一台计算机上：

本地数据网关（版本 2023 年 10 月 - 3000.194 或更高版本）
Microsoft C++运行时 DLL 版本 14.x （Visual Studio 2015、2017、2019 和 2022）（SAP NCo 依赖项）
SAP .NET 连接器
- 选择 NCo 3.1 64 位版本（不支持 32 位）
- 请勿安装 NCo 3.0（不受支持）
- 需要有效的 S 用户进行下载访问。可能需要联系 SAP 团队。

SAP 授权

SAP 用户帐户需要访问 RFC_METADATA 函数组和相应的函数模块才能执行以下作：

Operations	访问函数模块
RFC作	`RFC_GROUP_SEARCH`、`DD_LANGU_TO_ISOLA`
BAPI作	`BAPI_TRANSACTION_COMMIT`、`BAPI_TRANSACTION_ROLLBACK`、`RPY_BOR_TREE_INIT`、`SWO_QUERY_METHODS`、`SWO_QUERY_API_METHODS`
IDoc作	`IDOCTYPES_LIST_WITH_MESSAGES`、`IDOCTYPES_FOR_MESTYPE_READ`、`INBOUND_IDOCS_FOR_TID`、`OUTBOUND_IDOCS_FOR_TID`、`GET_STATUS_FROM_IDOCNR`、`IDOC_RECORD_READ`
读取 SAP 表作	`RFC BBP_RFC_READ_TABLE` 或 `RFC_READ_TABLE`
最低访问权限	`RFC_METADATA_GET`、`RFC_METADATA_GET_TIMESTAMP`

Authentication

该连接器支持 SAP 身份验证、Windows 身份验证、使用 Kerberos Microsoft Entra ID，以及使用证书Microsoft Entra ID。

由于连接器旨在由应用的多个用户使用，因此不会共享连接。相反，每个用户都会向 SAP 系统进行身份验证。连接中提供了用户凭据，而连接到 SAP 系统所需的其他详细信息（例如服务器详细信息、安全配置）作为作的一部分提供。

SAP 身份验证

使用 SAP 用户名和密码进行基本 SAP 身份验证。

Windows 身份验证

需要对安全网络通信（SNC）进行其他设置。需要对基于 Kerberos 的 SSO 进行其他设置，从 Power Platform 到本地数据源。

Microsoft Entra ID （使用 Kerberos）

需要对安全网络通信（SNC）进行其他设置。需要对基于 Kerberos 的 SSO 进行其他设置，从 Power Platform 到本地数据源。

Microsoft Entra ID （带证书）

需要对安全网络通信（SNC）进行其他设置。需要为从 Power Platform 到本地数据源的基于证书的 SSO 进行其他设置。

配置基于 Kerberos 的 SSO

用户的 SAP SNC 名称（p:CN=JANEDOE@REDMOND.CORP.CONTOSO.COM）必须与 Windows 和 Microsoft Entra ID 身份验证Microsoft Entra ID 完全限定的域名（JANEDOE@REDMOND.CORP.CONTOSO.COM）相等。

SAP SNC 名称

资产	Description
使用 SNC	如果要启用 SNC，则设置为“是”
SNC 库	相对于 NCo 安装位置或绝对路径的 SNC 库名称或路径。 `sapcrypto.dll`例如，或 `.\security\sapcrypto.dllc:\security\sapcrypto.dll`。
SNC SSO	指定连接器是使用服务标识还是最终用户凭据
SNC My Name	如果需要，请指定要使用的标识
SNC 合作伙伴名称	后端 SNC 服务器的名称
SNC 保护质量	要用于此特定目标或服务器的 SNC 通信的服务质量。默认值由后端系统定义。最大值由用于 SNC 的安全产品定义。

如果 SAP ERP 连接器需要Microsoft条目 ID 或 Windows 身份验证，则需要：

配置从 Power Platform 到本地数据源的基于 Kerberos 的 SSO
将 SAP ERP 配置为使用 CommonCryptoLib 启用（sapcrypto.dll）

配置从 Power Platform 到本地数据源的基于 Kerberos 的 SSO 先决条件

安装数据网关后，网关将作为计算机本地服务帐户 NT Service\PBIEgwService 运行。若要启用 Kerberos 约束委派，有两个选项：

网关必须作为域帐户运行，请参阅有关如何更改网关服务帐户的文档 ;或
让Microsoft Entra ID 实例与本地Microsoft Entra ID 实例同步（使用 Microsoft Entra ID DirSync/Connect）

配置步骤：

获取域管理员权限以配置 SPN（SetSPN）和 Kerberos 约束委派设置
为网关和数据源配置 Kerberos 约束委派
为网关服务帐户配置 SPN
根据需要将网关服务帐户添加到 Windows 授权和访问组
确定要使用的 Kerberos 约束委派的类型：
- 为标准 Kerberos 约束委派配置网关服务帐户
- 为基于资源的 Kerberos 约束委派配置网关服务帐户
授予网关计算机上的网关服务帐户本地策略权限
在网关计算机上设置用户映射配置参数（如有必要）

有关如何配置此功能的更多详细信息，请参阅有关从 Power BI 服务配置基于 Kerberos 的 SSO 到本地数据源的 Power BI 文档。

将 SAP ERP 配置为使用 CommonCryptoLib 启用（sapcrypto.dll）

确保使用 CommonCryptoLib 为 Kerberos SSO 正确配置 SAP ERP 服务器。如果是，可以使用 SSO 通过 SAP 工具（例如已配置为使用 CommonCryptoLib）的 SAP GUI 来访问 SAP ERP 服务器。有关设置步骤的详细信息，请参阅 SAP 单一登录：使用 Kerberos/SPNEGO 进行身份验证。服务器应使用 CommonCryptoLib 作为其 SNC 库，并且具有以 CN 开头的 SNC 名称。有关 SNC 名称要求（特别是 snc/identity/as 参数）的详细信息，请参阅 Kerberos 配置的 SNC 参数。
确保 SAP Secure Login Client （SLC）未在安装网关的计算机上运行。 SLC 以干扰网关使用 Kerberos 进行 SSO 的能力的方式缓存 Kerberos 票证。如果安装了 SLC，请卸载它或确保退出 SAP Secure Login Client。右键单击系统托盘中的图标，然后在尝试使用网关进行 SSO 连接之前选择“注销”和“退出”。不支持在 Windows Server 计算机上使用 SLC。有关详细信息，请参阅 SAP 说明2780475（需要 s-user）。

SAP Secure Login Client

如果卸载 SLC 或选择“注销并退出”，请打开 cmd 窗口并输入 klist purge 以清除任何缓存的 Kerberos 票证，然后再尝试通过网关建立 SSO 连接。
从 SAP Launchpad 下载 64 位 CommonCryptoLib（sapcrypto.dll） 8.5.25 或更高版本，并将其复制到网关计算机上的文件夹。在复制 sapcrypto.dll的同一目录中，创建包含以下内容的命名 sapcrypto.ini文件：

ccl/snc/enable_kerberos_in_client_role = 1

该文件 .ini 包含 CommonCryptoLib 在网关方案中启用 SSO 所需的配置信息。

注释

这些文件必须存储在同一位置;换句话说， /path/to/sapcrypto/ 应同时包含和 sapcrypto.inisapcrypto.dll。

网关服务用户和Microsoft服务用户模拟的 Entra ID 用户都需要读取和执行这两个文件的权限。建议向经过身份验证的用户组授予对.ini.dll文件和文件的权限。出于测试目的，还可以向网关服务用户和用于测试的 Microsoft Entra ID 用户显式授予这些权限。在以下屏幕截图中，我们向经过身份验证的用户组授予了读取和执行权限 sapcrypto.dll：

为经过身份验证的用户授予权限授予读取和执行权限

如果还没有与要通过 SSO 连接的网关关联的 SAP BW 数据源，请在 Power BI 服务的“管理网关”页上添加一个。如果已有此类数据源，请对其进行编辑：

如果要创建与 BW 应用程序服务器的 SSO 连接，请选择 SAP Business Warehouse 作为数据源类型。
如果要创建与 BW 消息服务器的 SSO 连接，请选择“Sap Business Warehouse Message Server”。

创建 CCL_PROFILE 系统环境变量并将其值设置为路径 sapcrypto.ini。

CCL_PROFILE 系统环境变量：

创建和设置系统环境变量环境变量

这些文件sapcrypto.dll.ini必须位于同一位置。在上面的示例中， sapcrypto.ini 两 sapcrypto.dll 者都位于桌面上。

重启网关服务。

重启网关服务服务

Microsoft Entra ID 身份验证

此身份验证类型仅适用于以下作：

调用 SAP 函数（V2）
创建有状态会话
使用分析读取 SAP 表

Microsoft Entra ID SAP 服务主体帐户必须具有在属性上 msDS-SupportedEncryptionType 定义的 AES 128 或 AES 256。此博客文章包含一个表，可帮助计算支持的加密类型的十进制/十六进制值。

已知问题和限制

以下是 SAP ERP 连接器的一些已知问题和限制：

连接器仅支持 RFC 和 BAPIs。
连接器不支持从 SAP Server 接收消息。
不支持事务 RFC（tRFC）。
网关具有 2 MB 的写入作有效负载限制，以及读取作的 8 MB 压缩数据响应限制。
有状态 SAP作不支持负载均衡模式下的数据网关群集。有状态通信必须保留在相同的数据网关群集节点上。对于有状态 SAP作，请使用非群集模式下的数据网关，或者在仅为故障转移设置的群集中使用数据网关。
如果在流创作过程中收到类似于以下内容的错误，请将本地数据网关升级到最新版本： Length of the name of the RFC '<RFC_NAME>?honorSapOptionalFlag=1' is larger than the maximum allowed limit of 30
从 SAP 提取的 RFC/BAPI 参数将缓存在本地数据网关中。重启本地数据网关服务以清除缓存并检索新值。

收集日志

联系Microsoft支持人员时，以下日志可用于排查 SapErp 连接器问题：

在本地Diagnostics数据网关应用的设置中启用Additional logging，以获取 Informational SAP 适配器的扩展日志和 SapErp 适配器的跟踪。
更新配置文件 Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.config中的以下设置。通常，此配置文件位于安装本地数据网关的位置（例如 C:\Program Files\On-premises data gateway\Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.config）。
```
<setting name="SapTraceLevel" serializeAs="String">
   <value>Verbose</value>
</setting>
```

SAP 系统属性指南

对于支持 SAP system 参数的作，请使用下表获取指导。

资产	Description
AppServerHost	SAP 应用程序服务器的主机名。
AppServerService	要连接到的特定 SAP 应用程序服务器的服务名称或端口号（可选，用于连接类型（登录）A - 应用程序服务器）。
客户	要连接到 SAP 系统的 SAP 客户端 ID。要登录的 SAP 后端客户端（或“Mandant”）。它是一个介于 000 到 999 的数字。
语言	要连接到 SAP 系统的语言代码。两个字母 ISO 639-1 代码。必须在 SAP 中安装。这会替代浏览器语言设置。
LogonGroup	SAP 系统的登录组，消息服务器应从中选择应用程序服务器（仅当连接类型（登录）为 B - 消息服务器（组）时才可用）。
登录类型	登录到 SAP 系统的类型，应用程序服务器登录（类型 A）或组登录（类型 B 为消息服务器）。允许的值：ApplicationServer、Group
MessageServerHost	SAP 系统的消息服务器（中央实例）的主机名，即 R3 系统名称（如果连接类型（登录）为 B - 消息服务器（组），则是必需的。
MessageServerService	服务名称（在 etc/services 中定义）或消息服务器正在侦听负载均衡请求的端口号（如果连接类型（登录）为 B - 消息服务器（组）且系统 ID 不存在，则是必需的。
SafeTyping	默认情况下，创建 SAP 连接时，强键入用于通过针对架构执行验证来检查无效值。此行为可以帮助你更早地检测问题。 “安全键入”选项可用于向后兼容性，并且仅检查字符串长度。允许的值：true、false
SncCertificate	Base64 编码形式的 X.509 证书，无需开始或结束证书标记。
SncMyName	已安装的 SNC 解决方案通常知道自己的 SNC 名称。仅对于支持“多个标识”的解决方案，可能需要指定要用于此目标/服务器的标识（可选）。此参数区分大小写，因此请与 SAP 基础管理员检查正确的值。
SncLibraryPath	要使用的 SNC 库的名称或路径。使用本地数据网关时，路径可以是绝对的或相对于 NCo 库。
SncPartnerName	后端的 SNC 名称（登录类型为应用程序服务器时必需）。此参数区分大小写，因此请与 SAP 基础管理员检查正确的值。
SncQop	用于此目标/服务器的 SNC 通信的服务质量。允许的值：身份验证、完整性、隐私、默认值、最大值
SncSso	SNC SSO 指定是使用 RFC 级别提供的 SNC 标识还是凭据。
SsoCertificateSubject	OPDG Windows 计算机上的证书使用者，用于使用 Microsoft Entra ID 进行基于证书的身份验证
SystemId	SAP 系统的三字母系统 ID（如果连接类型（登录）为 B - 消息服务器（组）且消息服务器服务不存在，则是必需的。
系统编号	SAP 系统的系统编号。它是一个介于 00 到 99 的数字（如果连接类型（登录）是 A - 应用程序服务器，则是必需的。
UseSnc	选择后，将使用 SNC 保护连接。允许的值：是

从 `Call SAP Function` 中迁移到 `Call SAP Function (v2)`

Call SAP Function 2023 年 7 月弃用，支持将于 2026 年 7 月结束。用户需要在该时间之前迁移其现有 v1作，否则其流将中断。

将多个窗体字段替换为连接属性的单个 JSON 字符串。
使用以下属性映射：

v1 字段标签	v2 属性
AS 主机	AppServerHost
客户	客户
AS 系统编号	系统编号
SAP 函数名称	N/A - 与连接字符串无关
有状态会话	N/A - 在“高级选项”中提供有状态会话，其中可以为其中指定 `Session Id`ID。具有相同 `Session Id` 步骤的步骤将作为同一有状态会话的一部分运行。
使用 SNC	UseSnc
SNC 库	SncLibraryPath
SNC SSO	SncSso
SNC My Name	SncMyName
SNC 合作伙伴名称	SncPartnerName
SNC 保护质量	SncQop

Example

调用 SAP 函数 V1：

调用 SAP 函数 v1

调用 SAP 函数 V2：

调用 SAP 函数 v2

鉴于屏幕截图，连接字符串如下所示：

{
  "AppServerHost": "sap.example.com",
  "Client": 100,
  "SystemNumber": "00"
}

由于 Use SNC 屏幕截图中为“否”，因此不需要任何属性。默认值为“false”

使用环境变量

内置解决方案中的流可以使用环境变量管理这些连接字符串。这是建议的方法，因为它允许你根据环境更改连接参数。如果流不在解决方案中，请将字符串保留为方便复制/粘贴。

常规限制

Name	价值
动态架构支持的最大属性数。如果超出最大属性数，则分析 JSON作可用于从示例有效负载生成架构。	1024

正在创建连接

连接器支持以下身份验证类型：


Microsoft Entra ID （带证书）	通过 X509 证书使用 Microsoft Entra ID 主体传播来访问 SAP。	所有区域	不可共享
Microsoft Entra ID （使用 Kerberos）	通过 Kerberos 使用 Microsoft Entra ID 主体传播来访问 SAP。	所有区域	不可共享
SAP 身份验证	使用 SAP 用户名和密码访问 SAP 服务器。	所有区域	不可共享
Windows 身份验证	使用 Windows 用户名和密码访问 SAP Server。	所有区域	不可共享
默认值 [已弃用]	此选项仅适用于没有显式身份验证类型的较旧连接，并且仅用于向后兼容性。	所有区域	不可共享