ERP de SAP

SAP ERP es un software de planificación de recursos empresariales desarrollado por SAP SE. SAP ERP incorpora las principales funciones empresariales de una organización. El conector SAP ERP permite invocar funciones RFC y BAPI mediante una puerta de enlace de datos local.

Este conector está disponible en los siguientes productos y regiones:

Service	Class	Regions
Copilot Studio	Premium	Todas las regiones de Power Automate
Power Apps	Premium	Todas las regiones de Power Apps
Power Automate	Premium	Todas las regiones de Power Automate

Contacto
Nombre	Microsoft
URL	https://learn.microsoft.com/connectors/saperp/

Metadatos del conector
Publicador	Microsoft
Sitio web	https://www.sap.com/products/enterprise-management-erp.html
Directiva de privacidad	https://www.sap.com/about/legal/privacy.html
Categorías	Productividad

Uso del conector SAP ERP

Para empezar a usar este conector, lea las siguientes entradas de blog:

Requisitos previos

El conector SAP ERP tiene una dependencia de los siguientes componentes, que se deben instalar en la misma máquina:

Puerta de enlace de datos local (versión de octubre de 2023: 3000.194 o posterior)
Versión 14.x de la DLL en tiempo de ejecución de Microsoft C++ (Visual Studio 2015, 2017, 2019 y 2022) (dependencia de SAP NCo)
Conector de SAP .NET desde SAP
- Elija la versión de 64 bits de NCo 3.1 (no se admiten 32 bits).
- No instale NCo 3.0 (no compatible)
- Requiere un usuario S válido para el acceso de descarga. Es posible que tenga que ponerse en contacto con el equipo de SAP.

Autorizaciones de SAP

La cuenta de usuario de SAP necesita acceso al RFC_METADATA grupo de funciones y a los módulos de función correspondientes para las siguientes operaciones:

Operations	Acceso a módulos de función
Acciones rfC	`RFC_GROUP_SEARCH`, `DD_LANGU_TO_ISOLA`
Acciones de BAPI	`BAPI_TRANSACTION_COMMIT`, `BAPI_TRANSACTION_ROLLBACK`, `RPY_BOR_TREE_INIT`, , `SWO_QUERY_METHODS`, `SWO_QUERY_API_METHODS`
Acciones de IDoc	`IDOCTYPES_LIST_WITH_MESSAGES`, `IDOCTYPES_FOR_MESTYPE_READ`, `INBOUND_IDOCS_FOR_TID`, `OUTBOUND_IDOCS_FOR_TID`, , `GET_STATUS_FROM_IDOCNR`, `IDOC_RECORD_READ`
Lectura de la acción de tabla de SAP	`RFC BBP_RFC_READ_TABLE` o `RFC_READ_TABLE`
Acceso mínimo	`RFC_METADATA_GET`, `RFC_METADATA_GET_TIMESTAMP`

Autenticación

El conector admite la autenticación de SAP, la autenticación de Windows, el identificador de Microsoft Entra con Kerberos y el identificador de Microsoft Entra con certificados.

Dado que el conector está diseñado para que lo usen varios usuarios de una aplicación, las conexiones no se comparten. En su lugar, cada usuario se autenticará con el sistema SAP. Las credenciales de usuario se proporcionan en la conexión, mientras que se proporcionan detalles adicionales necesarios para conectarse al sistema SAP (como los detalles del servidor, la configuración de seguridad) como parte de la acción.

Autenticación de SAP

Autenticación básica de SAP mediante el nombre de usuario y la contraseña de SAP.

Autenticación de Windows

Requiere una configuración adicional para la comunicación de red segura (SNC). Requiere una configuración adicional para el inicio de sesión único basado en Kerberos desde Power Platform a orígenes de datos locales.

Id. de Microsoft Entra (con Kerberos)

Id. de Microsoft Entra (con certificados)

Requiere una configuración adicional para la comunicación de red segura (SNC). Requiere una configuración adicional para el inicio de sesión único basado en certificados de Power Platform a orígenes de datos locales.

Configuración del inicio de sesión único basado en Kerberos

El nombre de SAP SNC para un usuario (p:CN=JANEDOE@REDMOND.CORP.CONTOSO.COM) debe ser igual al nombre de dominio completo de Microsoft Entra ID (JANEDOE@REDMOND.CORP.CONTOSO.COM) para la autenticación de Identificador de Microsoft Entra y Windows.

Nombre SNC

Propiedad	Description
Uso de SNC	Establezca en "Sí" si desea habilitar SNC.
Biblioteca SNC	Nombre o ruta de acceso de la biblioteca SNC relativa a la ubicación de instalación de NCo o ruta de acceso absoluta. Algunos ejemplos son `sapcrypto.dll` o `.\security\sapcrypto.dll`, o `c:\security\sapcrypto.dll`.
SNC SSO	Especifica si el conector usará la identidad del servicio o las credenciales del usuario final.
Mi nombre de SNC	Si es necesario, especifique la identidad que se va a usar.
Nombre del asociado de SNC	Nombre del servidor SNC de back-end
Calidad de protección de SNC	Calidad del servicio que se va a usar para la comunicación SNC de este destino o servidor concretos. El sistema back-end define el valor predeterminado. El valor máximo se define mediante el producto de seguridad usado para SNC.

Si se necesita el identificador de Entra de Microsoft o la autenticación de Windows para el conector SAP ERP, debe:

Configuración del inicio de sesión único basado en Kerberos desde Power Platform a orígenes de datos locales
Configuración de SAP ERP para habilitar mediante CommonCryptoLib (sapcrypto.dll)

Configuración del inicio de sesión único basado en Kerberos desde Power Platform a orígenes de datos locales requisitos previos

Después de la instalación de Data Gateway, la puerta de enlace se ejecuta como la cuenta de servicio local de la máquina, NT Service\PBIEgwService. Para habilitar la delegación restringida de Kerberos, tiene dos opciones:

La puerta de enlace debe ejecutarse como una cuenta de dominio, consulte la documentación sobre cómo cambiar la cuenta de servicio de puerta de enlace ; o
Hacer que la instancia de Id. de Microsoft Entra se sincronice con la instancia local de Microsoft Entra ID (mediante Microsoft Entra ID DirSync/Connect)

Pasos de configuración:

Obtención de derechos de administrador de dominio para configurar los SPN (SetSPN) y la configuración de delegación restringida de Kerberos
Configuración de la delegación restringida de Kerberos para la puerta de enlace y el origen de datos
Configuración de un SPN para la cuenta de servicio de puerta de enlace
Si es necesario, agregue una cuenta de servicio de puerta de enlace al grupo de autorización y acceso de Windows.
Decida el tipo de delegación restringida de Kerberos que se va a usar:
- Configuración de la cuenta de servicio de puerta de enlace para la delegación restringida de Kerberos estándar
- Configuración de la cuenta de servicio de puerta de enlace para la delegación restringida de Kerberos basada en recursos
Concesión de derechos de directiva local de la cuenta de servicio de puerta de enlace en la máquina de puerta de enlace
Establecimiento de parámetros de configuración de asignación de usuarios en la máquina de puerta de enlace (si es necesario)

Para más información sobre cómo configurar esto, consulte la documentación de Power BI para configurar el inicio de sesión único basado en Kerberos desde el servicio Power BI a orígenes de datos locales.

Configuración de SAP ERP para habilitar mediante CommonCryptoLib (sapcrypto.dll)

Asegúrese de que el servidor SAP ERP está configurado correctamente para el inicio de sesión único de Kerberos mediante CommonCryptoLib. Si es así, puede usar el inicio de sesión único para acceder al servidor SAP ERP con una herramienta de SAP como la GUI de SAP configurada para usar CommonCryptoLib. Para obtener más información sobre los pasos de configuración, consulte Inicio de sesión único de SAP: Autenticación con Kerberos/SPNEGO. El servidor debe usar CommonCryptoLib como su biblioteca SNC y tener un nombre de SNC que comience por CN. Para obtener más información sobre los requisitos de nombre de SNC (en concreto, el snc/identity/as parámetro ), consulte Parámetros de SNC para la configuración de Kerberos.
Asegúrese de que sap Secure Login Client (SLC) no se está ejecutando en el equipo en el que está instalada la puerta de enlace. SLC almacena en caché vales kerberos de forma que pueda interferir con la capacidad de la puerta de enlace de usar Kerberos para el inicio de sesión único. Si SLC está instalado, desinstálelo o asegúrese de salir del cliente de inicio de sesión seguro de SAP. Haga clic con el botón derecho en el icono de la bandeja del sistema y seleccione Cerrar sesión y salir antes de intentar una conexión de SSO mediante la puerta de enlace. SLC no se admite para su uso en máquinas Windows Server. Para obtener más información, consulte Sap Note 2780475 (s-user required).

Cliente de inicio de sesión seguro

Si desinstala SLC o selecciona Cerrar sesión y salir, abra una ventana cmd y escriba klist purge para borrar los vales de Kerberos almacenados en caché antes de intentar una conexión de SSO a través de la puerta de enlace.
Descargue CommonCryptoLib de 64 bits (sapcrypto.dll) versión 8.5.25 o posterior desde SAP Launchpad y cópielo en una carpeta de la máquina de puerta de enlace. En el mismo directorio donde copió sapcrypto.dll, cree un archivo denominado sapcrypto.ini, con el siguiente contenido:

ccl/snc/enable_kerberos_in_client_role = 1

El .ini archivo contiene información de configuración requerida por CommonCryptoLib para habilitar el inicio de sesión único en el escenario de puerta de enlace.

Nota:

Estos archivos deben almacenarse en la misma ubicación; en otras palabras, /path/to/sapcrypto/ debe contener y sapcrypto.dllsapcrypto.ini .

Tanto el usuario del servicio de puerta de enlace como el usuario de id. de Microsoft Entra que el usuario del servicio suplanta necesitan permisos de lectura y ejecución para ambos archivos. Se recomienda conceder permisos tanto en los .ini archivos como .dll en el grupo Usuarios autenticados. Con fines de prueba, también puede conceder explícitamente estos permisos al usuario del servicio de puerta de enlace y al usuario de Id. de Microsoft Entra que use para realizar pruebas. En la captura de pantalla siguiente hemos concedido permisos de lectura y ejecución al grupo Usuarios autenticados para sapcrypto.dll:

Conceder permisos de lectura y ejecución para usuarios autenticados

Si aún no tiene un origen de datos de SAP BW asociado a la puerta de enlace a la que desea que fluya la conexión SSO, agregue uno en la página Administrar puertas de enlace en el servicio Power BI. Si ya tiene un origen de datos de este tipo, edítelo:

Elija SAP Business Warehouse como tipo de origen de datos si desea crear una conexión SSO a un servidor de aplicaciones BW.
Seleccione Servidor de mensajes de Sap Business Warehouse si desea crear una conexión SSO a un servidor de mensajes BW.

Cree una CCL_PROFILE variable de entorno del sistema y establezca su valor en la ruta de acceso a sapcrypto.ini.

CCL_PROFILE variable de entorno del sistema:

Crear y establecer variables de entorno del sistema entorno

Los sapcrypto.dll archivos y .ini deben existir en la misma ubicación. En el ejemplo anterior, sapcrypto.ini y sapcrypto.dll se encuentran en el escritorio.

Reinicie el servicio de puerta de enlace.

Reinicio de los servicios de servicio de puerta de enlace

Autenticación de Microsoft Entra ID

Este tipo de autenticación solo funcionará con las siguientes acciones:

Llamada a la función SAP (V2)
Creación de una sesión con estado
Lectura de la tabla de SAP con análisis

La cuenta de entidad de servicio de SAP de Microsoft Entra ID debe tener AES 128 o AES 256 definido en el msDS-SupportedEncryptionType atributo . Esta entrada de blog contiene una tabla para ayudar a calcuate valores decimales/hexadecimales para los tipos de cifrado admitidos.

Problemas conocidos y limitaciones

A continuación se muestran algunos de los problemas conocidos y las limitaciones del conector SAP ERP:

El conector solo admite RFC y BAPIs.
El conector no admite la recepción de mensajes de SAP Server.
No se admiten RFC transaccionales (TRFC).
La puerta de enlace tiene un límite de carga de 2 MB para las operaciones de escritura y un límite de respuesta de datos comprimidos de 8 MB para las operaciones de lectura.
Las acciones de SAP con estado no admiten clústeres de puerta de enlace de datos en modo de equilibrio de carga. Las comunicaciones con estado deben permanecer en el mismo nodo de clúster de puerta de enlace de datos. Para las acciones de SAP con estado, use la puerta de enlace de datos en modo no clúster o en un clúster configurado solo para la conmutación por error.
Actualice la puerta de enlace de datos local a la versión más reciente si recibe un error durante la creación de flujos similar a: Length of the name of the RFC '<RFC_NAME>?honorSapOptionalFlag=1' is larger than the maximum allowed limit of 30
Los parámetros RFC/BAPI capturados de SAP se almacenan en caché en la puerta de enlace de datos local. Reinicie el servicio de puerta de enlace de datos local para borrar la memoria caché y recuperar nuevos valores.

Recopilación de registros

Los registros siguientes son útiles para solucionar problemas del conector sapErp al ponerse en contacto con el soporte técnico de Microsoft:

Habilite Additional logging en la configuración de la Diagnostics aplicación de puerta de enlace de datos local para obtener Informational los registros extendidos del adaptador de SAP y los seguimientos del adaptador de SapErp.
Actualice la siguiente configuración en el archivo Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.configde configuración . Normalmente, este archivo de configuración se encuentra donde está instalada la puerta de enlace de datos local (por ejemplo, C:\Program Files\On-premises data gateway\Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.config).
```
<setting name="SapTraceLevel" serializeAs="String">
   <value>Verbose</value>
</setting>
```

Guía de propiedades del sistema SAP

Para las acciones que admiten el SAP system parámetro , use la tabla siguiente para obtener instrucciones.

Propiedad	Description
AppServerHost	Nombre de host del servidor de aplicaciones de SAP.
AppServerService	Nombre de servicio o número de puerto del servidor de aplicaciones de SAP específico al que conectarse (opcional para el tipo de conexión (Inicio de sesión) A - Servidor de aplicaciones).
Client	Identificador de cliente de SAP para conectarse al sistema SAP. Cliente de back-end de SAP (o "Mandant") en el que se va a iniciar sesión. Es un número comprendido entre 000 y 999.
Language	Código de idioma con el que conectarse al sistema SAP. Código ISO 639-1 de dos letras. Debe instalarse en SAP. Esto invalida la configuración de idioma del explorador.
LogonGroup	Grupo de inicio de sesión para el sistema SAP, desde el que el servidor de mensajes seleccionará un servidor de aplicaciones (solo disponible si el tipo de conexión (inicio de sesión) es B - Servidor de mensajes (grupo)).
Tipo de inicio de sesión	Tipo de inicio de sesión en el sistema SAP, inicio de sesión del servidor de aplicaciones (tipo A) o inicio de sesión de grupo (tipo B también conocido como servidor de mensajes). Valores permitidos: ApplicationServer, Group
MessageServerHost	El nombre de host del servidor de mensajes del sistema SAP (instancia central) también conocido como nombre del sistema R3 (obligatorio si el tipo de conexión (inicio de sesión) es B - Servidor de mensajes (grupo)).
MessageServerService	El nombre del servicio (tal como se define en etc/services) o el número de puerto en el que el servidor de mensajes está escuchando solicitudes de equilibrio de carga (obligatorio si el tipo de conexión (Inicio de sesión) es B: servidor de mensajes (grupo) y el identificador del sistema no está presente).
SafeTyping	De forma predeterminada, al crear la conexión de SAP, se usa una escritura segura para comprobar si hay valores no válidos mediante la validación en el esquema. Este comportamiento puede ayudarle a detectar problemas anteriormente. La opción Escritura segura está disponible para la compatibilidad con versiones anteriores y solo comprueba la longitud de la cadena. Valores permitidos: true, false
SncCertificate	Certificado X.509 en formato codificado en Base64, sin las etiquetas de certificado inicial o final.
SncMyName	La solución de SNC instalada normalmente conoce su propio nombre de SNC. Solo para las soluciones que admiten "varias identidades", es posible que deba especificar la identidad que se usará para este destino o servidor (opcional). Este parámetro distingue mayúsculas de minúsculas, así que compruebe con los administradores de SAP Basis el valor correcto.
SncLibraryPath	Nombre o ruta de acceso de la biblioteca de SNC que se va a usar. Con la puerta de enlace de datos local, la ruta de acceso puede ser absoluta o relativa a la biblioteca de NCo.
SncPartnerName	El nombre de SNC de los back-end (obligatorio cuando el tipo de inicio de sesión es servidor de aplicaciones). Este parámetro distingue mayúsculas de minúsculas, así que compruebe con los administradores de SAP Basis el valor correcto.
SncQop	Calidad del servicio que se usará para la comunicación SNC de este destino o servidor. Valores permitidos: Autenticación, Integridad, Privacidad, Valor predeterminado, Máximo
SncSso	El inicio de sesión único de SNC especifica si se deben usar las credenciales o identidades de SNC proporcionadas en el nivel de RFC.
SsoCertificateSubject	Asunto del certificado en la máquina Windows OPDG para la autenticación basada en certificados con el identificador entra de Microsoft
SystemId	El identificador de sistema de tres letras del sistema SAP (obligatorio si el tipo de conexión (inicio de sesión) es B: servidor de mensajes (grupo) y el servicio de servidor de mensajes no está presente).
SystemNumber	Número de sistema del sistema SAP. Es un número comprendido entre 00 y 99 (obligatorio si el tipo de conexión (Inicio de sesión) es A - Servidor de aplicaciones).
UseSnc	Cuando se selecciona, las conexiones se protegerán con SNC. Valores permitidos: Sí

Migrando de `Call SAP Function` a `Call SAP Function (v2)`

El Call SAP Function objeto quedó en desuso en julio de 2023 y el soporte técnico finalizará en julio de 2026. Los usuarios tendrán que migrar sus acciones existentes de la versión 1 antes de ese tiempo, o sus flujos se interrumpirán.

Reemplace varios campos de formulario por una sola cadena JSON para las propiedades de conexión.
Use la siguiente asignación de propiedades:

Etiqueta de campo v1	v2 (propiedad)
AS Host	AppServerHost
Client	Client
Número de sistema as	SystemNumber
Nombre de la función de SAP	N/A: no relevante para la cadena de conexión
Sesión con estado	N/A: las sesiones con estado están disponibles en "Opciones avanzadas" donde se puede especificar un identificador para `Session Id`. Los pasos con el mismo `Session Id` se ejecutarán como parte de la misma sesión con estado.
Uso de SNC	UseSnc
Biblioteca SNC	SncLibraryPath
SNC SSO	SncSso
Mi nombre de SNC	SncMyName
Nombre del asociado de SNC	SncPartnerName
Calidad de protección de SNC	SncQop

Example

Llamada a la función SAP V1:

Llamada a sap Function v1

Llamada a sap Function V2:

Llamada a sap Function v2

Dada la captura de pantalla, la cadena de conexión tendría el siguiente aspecto:

{
  "AppServerHost": "sap.example.com",
  "Client": 100,
  "SystemNumber": "00"
}

Puesto que Use SNC es "No" en la captura de pantalla, no se necesita ninguna propiedad. El valor predeterminado es "false"

Uso de variables de entorno

Los flujos integrados en soluciones pueden administrar estas cadenas de conexión mediante variables de entorno. Este es el método recomendado, ya que permite cambiar los parámetros de conexión en función del entorno. Si el flujo no está en una solución, mantenga la cadena útil para copiar y pegar.

Límites generales

Nombre	Importancia
Número máximo de propiedades admitidas por el esquema dinámico. Se puede usar la acción analizar JSON para generar esquema a partir de una carga de ejemplo si se supera el número máximo de propiedades.	1024

Creación de una conexión

El conector admite los siguientes tipos de autenticación:


Identificador de Entra de Microsoft (con certificados)	Use la propagación de la entidad de seguridad de identificador de Microsoft Entra a través de certificados X509 para acceder a SAP.	Todas las regiones	No se puede compartir
Id. de Microsoft Entra (con Kerberos)	Use la propagación de entidad de seguridad de Microsoft Entra ID a través de Kerberos para acceder a SAP.	Todas las regiones	No se puede compartir
Autenticación de SAP	Use el nombre de usuario y la contraseña de SAP para acceder al servidor SAP.	Todas las regiones	No se puede compartir
Autenticación de Windows	Use el nombre de usuario y la contraseña de Windows para acceder a sap Server.	Todas las regiones	No se puede compartir
Valor predeterminado [EN DESUSO]	Esta opción solo es para conexiones anteriores sin un tipo de autenticación explícito y solo se proporciona para la compatibilidad con versiones anteriores.	Todas las regiones	No se puede compartir

Identificador de Entra de Microsoft (con certificados)

Identificador de autenticación: UpnX509Certificate

Aplicable: Todas las regiones

Use la propagación de la entidad de seguridad de identificador de Microsoft Entra a través de certificados X509 para acceder a SAP.