SAP ERP

SAP ERP est un logiciel de planification des ressources d’entreprise développé par SAP SE. SAP ERP intègre les principales fonctions métier d’une organisation. Le connecteur SAP ERP vous permet d’appeler des fonctions RFC et BAPI à l’aide d’une passerelle de données locale.

Ce connecteur est disponible dans les produits et régions suivants :

Service	classe	Régions
Copilot Studio	Premium	Toutes les régions Power Automate
Power Apps	Premium	Toutes les régions Power Apps
Power Automate	Premium	Toutes les régions Power Automate

Contact
Nom	Microsoft
URL	https://learn.microsoft.com/connectors/saperp/

Métadonnées du connecteur
Éditeur	Microsoft
Site internet	https://www.sap.com/products/enterprise-management-erp.html
Politique de confidentialité	https://www.sap.com/about/legal/privacy.html
Catégories	Productivité

Utilisation du connecteur SAP ERP

Pour commencer à utiliser ce connecteur, lisez les billets de blog suivants :

Conditions préalables

Le connecteur SAP ERP a une dépendance sur les composants suivants, qui doivent être installés sur le même ordinateur :

Passerelle de données locale (version 2023 - 3000.194 ou ultérieure)
DLL runtime Microsoft C++ version 14.x (Visual Studio 2015, 2017, 2019 et 2022) (dépendance NCo SAP)
Connecteur SAP .NET à partir de SAP
- Choisissez la version 3.1 64 bits de NCo (la version 32 bits n’est pas prise en charge)
- Ne pas installer NCo 3.0 (non pris en charge)
- Nécessite un accès S-user valide pour le téléchargement. Vous devrez peut-être contacter votre équipe SAP.

Autorisations SAP

Votre compte d’utilisateur SAP a besoin d’accéder au RFC_METADATA groupe de fonctions et aux modules de fonction respectifs pour les opérations suivantes :

Operations	Accès aux modules de fonction
Actions RFC	`RFC_GROUP_SEARCH`, `DD_LANGU_TO_ISOLA`
Actions BAPI	`BAPI_TRANSACTION_COMMIT`, `BAPI_TRANSACTION_ROLLBACK`, , `RPY_BOR_TREE_INIT`, `SWO_QUERY_METHODS`, `SWO_QUERY_API_METHODS`
Actions IDoc	`IDOCTYPES_LIST_WITH_MESSAGES`, , `IDOCTYPES_FOR_MESTYPE_READ`, `INBOUND_IDOCS_FOR_TIDOUTBOUND_IDOCS_FOR_TID`, , `GET_STATUS_FROM_IDOCNRIDOC_RECORD_READ`
Lire l’action de table SAP	`RFC BBP_RFC_READ_TABLE` ou `RFC_READ_TABLE`
Accès minimal	`RFC_METADATA_GET`, `RFC_METADATA_GET_TIMESTAMP`

Authentication

Le connecteur prend en charge l’authentification SAP, l’authentification Windows, l’ID Microsoft Entra avec Kerberos et l’ID Microsoft Entra avec des certificats.

Étant donné que le connecteur est conçu pour être utilisé par plusieurs utilisateurs d’une application, les connexions ne sont pas partagées. Au lieu de cela, chaque utilisateur s’authentifie auprès du système SAP. Les informations d’identification de l’utilisateur sont fournies dans la connexion, tandis que des détails supplémentaires sont nécessaires pour se connecter au système SAP (comme les détails du serveur, la configuration de sécurité) sont fournis dans le cadre de l’action.

Authentification SAP

Authentification SAP de base à l’aide du nom d’utilisateur et du mot de passe SAP.

Authentification de Windows

Nécessite une configuration supplémentaire pour la communication réseau sécurisée (SNC). Nécessite une configuration supplémentaire pour l’authentification unique basée sur Kerberos de Power Platform vers des sources de données locales.

ID Microsoft Entra (avec Kerberos)

ID Microsoft Entra (avec certificats)

Nécessite une configuration supplémentaire pour la communication réseau sécurisée (SNC). Nécessite une configuration supplémentaire pour l’authentification unique basée sur des certificats de Power Platform vers des sources de données locales.

Configurer l’authentification unique Basée sur Kerberos

Le nom SNC SAP d’un utilisateur (p:CN=JANEDOE@REDMOND.CORP.CONTOSO.COM) doit être égal aux utilisateurs de l’ID Microsoft Entra complet (JANEDOE@REDMOND.CORP.CONTOSO.COM) pour l’authentification Windows et Microsoft Entra ID.

NOM SAP SNC NOM

Propriété	Descriptif
Utiliser SNC	Défini sur « Oui » si vous souhaitez activer SNC
Bibliothèque SNC	Nom ou chemin de la bibliothèque SNC par rapport à l’emplacement d’installation de NCo ou chemin absolu. Des exemples sont `sapcrypto.dll` ou `.\security\sapcrypto.dll`, ou `c:\security\sapcrypto.dll`.
SNC SSO	Spécifie si le connecteur utilisera l’identité du service ou les informations d’identification de l’utilisateur final
SNC My Name	Si nécessaire, spécifiez l’identité à utiliser
Nom du partenaire SNC	Nom du serveur SNC principal
Qualité de la protection SNC	Qualité de service à utiliser pour la communication SNC de cette destination ou serveur particulier. La valeur par défaut est définie par le système back-end. La valeur maximale est définie par le produit de sécurité utilisé pour SNC.

Si l’ID Microsoft Entra ou l’authentification Windows est nécessaire pour le connecteur SAP ERP, vous devez :

Configurer l’authentification unique Basée sur Kerberos à partir de Power Platform vers des sources de données locales
Configurer SAP ERP pour activer l’utilisation de CommonCryptoLib (sapcrypto.dll)

Configurer l’authentification unique Basée sur Kerberos à partir de Power Platform vers des sources de données locales préalablement requises

Après l’installation de la passerelle de données, la passerelle s’exécute en tant que compte de service local de l’ordinateur, NT Service\PBIEgwService. Pour activer la délégation Kerberos contrainte, vous avez deux options :

La passerelle doit s’exécuter en tant que compte de domaine, consultez la documentation sur la modification du compte de service de passerelle ; ou
Synchroniser votre instance d’ID Microsoft Entra avec votre instance Microsoft Entra ID locale (à l’aide de Microsoft Entra ID DirSync/Connect)

Étapes de configuration :

Obtenir des droits d’administrateur de domaine pour configurer les noms de principal de service (SetSPN) et les paramètres de délégation Kerberos contraints
Configurer la délégation Kerberos contrainte pour la passerelle et la source de données
Configurer un SPN pour le compte de service de passerelle
Ajouter un compte de service de passerelle au groupe d’autorisation et d’accès Windows si nécessaire
Choisissez le type de délégation Kerberos contrainte à utiliser :
- Configurer le compte de service de passerelle pour la délégation Kerberos standard contrainte
- Configurer le compte de service de passerelle pour la délégation Kerberos contrainte basée sur les ressources
Accorder les droits de stratégie locale du compte de service de passerelle sur l’ordinateur de passerelle
Définir des paramètres de configuration de mappage utilisateur sur l’ordinateur de passerelle (si nécessaire)

Pour plus d’informations sur la configuration de ce paramètre, reportez-vous à la documentation Power BI pour configurer l’authentification unique Basée sur Kerberos à partir du service Power BI vers des sources de données locales.

Configurer SAP ERP pour activer l’utilisation de CommonCryptoLib (sapcrypto.dll)

Vérifiez que votre serveur SAP ERP est correctement configuré pour l’authentification unique Kerberos à l’aide de CommonCryptoLib. Si c’est le cas, vous pouvez utiliser l’authentification unique pour accéder à votre serveur SAP ERP avec un outil SAP tel que l’interface graphique utilisateur SAP configurée pour utiliser CommonCryptoLib. Pour plus d’informations sur les étapes de configuration, consultez SAP Single Sign-On : Authenticate with Kerberos/SPNEGO. Votre serveur doit utiliser CommonCryptoLib comme bibliothèque SNC et avoir un nom SNC qui commence par CN. Pour plus d’informations sur les exigences de nom SNC (en particulier, le paramètre), consultez Paramètres SNC pour la snc/identity/as configuration Kerberos.
Vérifiez que sap Secure Login Client (SLC) n’est pas en cours d’exécution sur l’ordinateur sur lequel la passerelle est installée. SLC met en cache les tickets Kerberos d’une manière qui peut interférer avec la capacité de la passerelle à utiliser Kerberos pour l’authentification unique. Si SLC est installé, désinstallez-le ou veillez à quitter sap Secure Login Client. Cliquez avec le bouton droit sur l’icône dans la barre d’état système, puis sélectionnez Déconnexion et sortie avant de tenter une connexion d’authentification unique à l’aide de la passerelle. SLC n’est pas pris en charge pour une utilisation sur les machines Windows Server. Pour plus d’informations, consultez la note SAP 2780475 (s-user required).

Sap Secure Login Client

Si vous désinstallez SLC ou sélectionnez Déconnexion et sortie, ouvrez une fenêtre cmd et entrez klist purge pour effacer les tickets Kerberos mis en cache avant d’essayer une connexion d’authentification unique via la passerelle.
Téléchargez CommonCryptoLib () 64 bits (sapcrypto.dll) version 8.5.25 ou ultérieure à partir de SAP Launchpad, puis copiez-le dans un dossier sur votre ordinateur de passerelle. Dans le même répertoire que celui où vous avez copié sapcrypto.dll, créez un fichier nommé sapcrypto.ini, avec le contenu suivant :

ccl/snc/enable_kerberos_in_client_role = 1

Le .ini fichier contient des informations de configuration requises par CommonCryptoLib pour activer l’authentification unique dans le scénario de passerelle.

Note

Ces fichiers doivent être stockés dans le même emplacement ; en d’autres termes, /path/to/sapcrypto/ doit contenir à la fois sapcrypto.ini et sapcrypto.dll.

L’utilisateur du service de passerelle et l’utilisateur Microsoft Entra ID que l’utilisateur de service emprunte l’identité ont besoin d’autorisations de lecture et d’exécution pour les deux fichiers. Nous vous recommandons d’accorder des autorisations sur les fichiers et .dll les .ini fichiers au groupe Utilisateurs authentifiés. À des fins de test, vous pouvez également accorder explicitement ces autorisations à l’utilisateur du service de passerelle et à l’utilisateur Microsoft Entra ID que vous utilisez pour les tests. Dans la capture d’écran suivante, nous avons accordé les autorisations de lecture et d’exécution du groupe Utilisateurs authentifiés pour sapcrypto.dll:

Accorder des autorisations de lecture et d’exécution pour les utilisateurs authentifiés

Si vous n’avez pas encore de source de données SAP BW associée à la passerelle à laquelle vous souhaitez que la connexion d’authentification unique transite, ajoutez-en une dans la page Gérer les passerelles dans le service Power BI. Si vous disposez déjà d’une telle source de données, modifiez-la :

Choisissez SAP Business Warehouse comme type de source de données si vous souhaitez créer une connexion d’authentification unique à un serveur d’applications BW.
Sélectionnez Sap Business Warehouse Message Server si vous souhaitez créer une connexion d’authentification unique à un serveur de messages BW.

Créez une variable d’environnement CCL_PROFILE système et définissez sa valeur sur le chemin d’accès sapcrypto.ini.

CCL_PROFILE variable d’environnement système :

Créer et définir des variables d’environnement système

Les fichiers sapcrypto.dll et .ini doivent exister dans le même emplacement. Dans l’exemple ci-dessus, sapcrypto.ini et sapcrypto.dll se trouvent tous les deux sur le bureau.

Redémarrez le service de passerelle.

Redémarrer les services de service de passerelle

Authentification Microsoft Entra ID

Ce type d’authentification fonctionne uniquement avec les actions suivantes :

Appeler la fonction SAP (V2)
Créer une session avec état
Lire la table SAP avec analyse

Le compte de principal du service SAP Microsoft Entra ID doit avoir AES 128 ou AES 256 défini sur l’attribut msDS-SupportedEncryptionType . Ce billet de blog contient une table qui permet de calcuer les valeurs décimales/hexadécimales pour les types de chiffrement pris en charge.

Problèmes connus et limitations

Voici quelques-uns des problèmes connus et des limitations du connecteur SAP ERP :

Le connecteur prend uniquement en charge les RFC et les BAP.
Le connecteur ne prend pas en charge la réception de messages à partir de SAP Server.
Les RFC transactionnels (TRFC) ne sont pas pris en charge.
La passerelle a une limite de charge utile de 2 Mo pour les opérations d’écriture et une limite de réponse de données compressée de 8 Mo pour les opérations de lecture.
Les clusters de passerelle de données en mode d’équilibrage de charge ne sont pas pris en charge par les actions SAP avec état. Les communications avec état doivent rester sur le même nœud de cluster de passerelle de données. Pour les actions SAP avec état, utilisez la passerelle de données en mode non cluster ou dans un cluster configuré uniquement pour le basculement.
Mettez à niveau votre passerelle de données locale vers la dernière version si vous recevez une erreur lors de la création de flux similaire à : Length of the name of the RFC '<RFC_NAME>?honorSapOptionalFlag=1' is larger than the maximum allowed limit of 30
Les paramètres RFC/BAPI récupérés à partir de SAP sont mis en cache dans la passerelle de données locale. Redémarrez le service de passerelle de données locale pour effacer le cache et récupérer de nouvelles valeurs.

Collecte des journaux

Les journaux suivants sont utiles pour résoudre les problèmes de connecteur SapErp lors du contact avec le support Microsoft :

Activez Additional logging les paramètres de votre application de passerelle de données locale pour obtenir Informational les Diagnostics journaux étendus de l’adaptateur SAP et les traces de l’adaptateur SapErp.
Mettez à jour le paramètre suivant dans le fichier Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.configde configuration . En règle générale, ce fichier de configuration se trouve où votre passerelle de données locale est installée (par exemple, C:\Program Files\On-premises data gateway\Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.config).
```
<setting name="SapTraceLevel" serializeAs="String">
   <value>Verbose</value>
</setting>
```

Aide sur les propriétés système SAP

Pour les actions qui prennent en charge le SAP system paramètre, utilisez le tableau suivant pour obtenir des conseils.

Propriété	Descriptif
AppServerHost	Nom d’hôte du serveur d’applications SAP.
AppServerService	Nom du service ou numéro de port du serveur d’applications SAP spécifique auquel se connecter (facultatif pour le type de connexion (Ouverture de session) A - Serveur d’applications).
Client	ID client SAP à connecter au système SAP. Le client des back-ends SAP (ou « Mandant ») dans lequel se connecter. Il s’agit d’un nombre allant de 000 à 999.
Language	Code de langue avec lequel se connecter au système SAP. Un code ISO 639-1 à deux lettres. Doit être installé dans SAP. Cela remplace le paramètre de langue des navigateurs.
LogonGroup	Le groupe d’ouverture de session pour le système SAP, à partir duquel le serveur de messages doit sélectionner un serveur d’applications (disponible uniquement si le type de connexion (ouverture de session) est B - Serveur de messages (groupe)).
Type de connexion	Type d’ouverture de session au système SAP, ouverture de session du serveur d’applications (type A) ou ouverture de session de groupe (type B aka Message Server). Valeurs autorisées : ApplicationServer, Group
MessageServerHost	Le nom d’hôte du serveur de messages du système SAP (instance centrale) aka R3 System Name (Obligatoire si le type de connexion (Ouverture de session) est B - Message Server (Groupe)).
MessageServerService	Le nom du service (tel que défini dans etc/services) ou le numéro de port sous lequel le serveur de messages écoute les demandes d’équilibrage de charge (obligatoire si le type de connexion (ouverture de session) est B - Message Server (Groupe) et l’ID système n’est pas présent.
Saisie sécurisée	Par défaut, lorsque vous créez votre connexion SAP, la saisie forte est utilisée pour vérifier les valeurs non valides en effectuant une validation sur le schéma. Ce comportement peut vous aider à détecter les problèmes précédemment. L’option Saisie sécurisée est disponible pour la compatibilité descendante et vérifie uniquement la longueur de la chaîne. Valeurs autorisées : true, false
SncCertificate	Certificat X.509 encodé en Base64, sans balises de certificat de début ou de fin.
SncMyName	La solution SNC installée connaît généralement son propre nom SNC. Uniquement pour les solutions prenant en charge « plusieurs identités », vous devrez peut-être spécifier l’identité à utiliser pour cette destination/serveur (facultatif). Ce paramètre respecte la casse. Vérifiez donc avec les administrateurs SAP Basis la valeur correcte.
SncLibraryPath	Nom ou chemin d’accès de la bibliothèque SNC à utiliser. Avec la passerelle de données locale, le chemin d’accès peut être absolu ou relatif à la bibliothèque NCo.
SncPartnerName	Nom SNC des back-ends (obligatoire lorsque le type d’ouverture de session est serveur d’applications). Ce paramètre respecte la casse. Vérifiez donc avec vos administrateurs SAP Basis la valeur correcte.
SncQop	Qualité de service à utiliser pour la communication SNC de ce serveur/destination. Valeurs autorisées : Authentification, Intégrité, Confidentialité, Valeur par défaut, Maximum
SncSso	L’authentification unique SNC spécifie s’il faut utiliser l’identité SNC ou les informations d’identification fournies au niveau RFC.
SsoCertificateSubject	Objet du certificat sur l’ordinateur Windows OPDG pour l’authentification basée sur des certificats avec Microsoft Entra ID
SystemId	L’ID système à trois lettres du système SAP (obligatoire si le type de connexion (Ouverture de session) est B - Message Server (Groupe) et message Server Service n’est pas présent.
SystemNumber	Numéro système du système SAP. Il s’agit d’un nombre compris entre 00 et 99 (Obligatoire si le type de connexion (Ouverture de session) est A - Serveur d’applications).
UseSnc	Lorsque cette option est sélectionnée, les connexions sont sécurisées avec SNC. Valeurs autorisées : Oui

Migration de `Call SAP Function` vers vers `Call SAP Function (v2)`

L’opération Call SAP Function a été déconseillée en juillet 2023 et le soutien prendra fin en juillet 2026. Les utilisateurs devront migrer leurs actions v1 existantes avant cette heure, ou leurs flux seront rompus.

Remplacez plusieurs champs de formulaire par une chaîne JSON unique pour les propriétés de connexion.
Utilisez le mappage de propriétés suivant :

Étiquette de champ v1	v2, propriété
Hôte AS	AppServerHost
Client	Client
Numéro système AS	SystemNumber
Nom de la fonction SAP	N/A : non pertinent pour la chaîne de connexion
Session avec état	N/A : les sessions avec état sont disponibles dans « Options avancées » où un ID peut être spécifié pour `Session Id`. Les étapes avec la même `Session Id` opération sont exécutées dans le cadre de la même session avec état.
Utiliser SNC	UseSnc
Bibliothèque SNC	SncLibraryPath
SNC SSO	SncSso
SNC My Name	SncMyName
Nom du partenaire SNC	SncPartnerName
Qualité de la protection SNC	SncQop

Example

Appelez la fonction SAP V1 :

Appeler la fonction SAP v1

Appelez la fonction SAP V2 :

Appeler la fonction SAP v2

Étant donné la capture d’écran, la chaîne de connexion se présente comme suit :

{
  "AppServerHost": "sap.example.com",
  "Client": 100,
  "SystemNumber": "00"
}

Étant Use SNC donné que « Non » dans la capture d’écran, aucune propriété n’est nécessaire. La valeur par défaut est « false »

Utilisation de variables d’environnement

Les flux intégrés de solutions peuvent gérer ces chaînes de connexion à l’aide de variables d’environnement. Il s’agit de la méthode recommandée, car elle vous permet de modifier les paramètres de connexion en fonction de l’environnement. Si votre flux n’est pas dans une solution, gardez la chaîne pratique pour copier/coller.

Limites générales

Nom	Valeur
Nombre maximal de propriétés prises en charge par le schéma dynamique. L’action JSON d’analyse peut être utilisée pour générer un schéma à partir d’un exemple de charge utile si le nombre maximal de propriétés dépasse.	1024

Création d’une connexion

Le connecteur prend en charge les types d’authentification suivants :


ID Microsoft Entra (avec certificats)	Utilisez la propagation du principal d’ID Microsoft Entra via des certificats X509 pour accéder à SAP.	Toutes les régions	Non partageable
ID Microsoft Entra (avec Kerberos)	Utilisez la propagation du principal d’ID Microsoft Entra via Kerberos pour accéder à SAP.	Toutes les régions	Non partageable
Authentification SAP	Utilisez le nom d’utilisateur ET le mot de passe SAP pour accéder au serveur SAP.	Toutes les régions	Non partageable
Authentification Windows	Utilisez le nom d’utilisateur windows et le mot de passe pour accéder à votre serveur SAP.	Toutes les régions	Non partageable
Valeur par défaut [DÉCONSEILLÉE]	Cette option concerne uniquement les connexions plus anciennes sans type d’authentification explicite et est fournie uniquement pour la compatibilité descendante.	Toutes les régions	Non partageable