SAP ERP

O SAP ERP é um software de planejamento de recursos corporativo desenvolvido pelo SAP SE. O SAP ERP incorpora as principais funções de negócios de uma organização. O conector SAP ERP permite invocar funções RFC e BAPI usando um gateway de dados local.

Esse conector está disponível nos seguintes produtos e regiões:

Service	Class	Regions
Copilot Studio	Premium	Todas as regiões do Power Automate
Power Apps	Premium	Todas as regiões do Power Apps
Power Automate	Premium	Todas as regiões do Power Automate

Contato
Nome	Microsoft
URL	https://learn.microsoft.com/connectors/saperp/

Metadados do conector
Publicador	Microsoft
Site	https://www.sap.com/products/enterprise-management-erp.html
Política de privacidade	https://www.sap.com/about/legal/privacy.html
Categorias	Produtividade

Usando o conector SAP ERP

Para começar a usar esse conector, leia as seguintes postagens no blog:

Pré-requisitos

O conector SAP ERP tem uma dependência dos seguintes componentes, que devem ser instalados no mesmo computador:

Gateway de dados local (versão de outubro de 2023 – 3000.194 ou superior)
DLL do Runtime do Microsoft C++ versão 14.x (Dependência sap NCo do Visual Studio 2015, 2017, 2019 e 2022) (dependência sap nco)
Conector SAP .NET do SAP
- Escolha a versão NCo 3.1 de 64 bits (não há suporte para 32 bits)
- Não instale o NCo 3.0 (sem suporte)
- Requer um usuário S válido para acesso de download. Talvez seja necessário entrar em contato com sua equipe do SAP.

Autorizações sap

Sua conta de usuário SAP precisa de acesso ao RFC_METADATA grupo de funções e aos respectivos módulos de função para as seguintes operações:

Operations	Acesso a módulos de função
Ações rfc	`RFC_GROUP_SEARCH`, `DD_LANGU_TO_ISOLA`
Ações de BAPI	`BAPI_TRANSACTION_COMMIT`, `BAPI_TRANSACTION_ROLLBACK`, `RPY_BOR_TREE_INIT`, , `SWO_QUERY_METHODSSWO_QUERY_API_METHODS`
Ações IDoc	`IDOCTYPES_LIST_WITH_MESSAGES`, `IDOCTYPES_FOR_MESTYPE_READ`, `INBOUND_IDOCS_FOR_TID`, `OUTBOUND_IDOCS_FOR_TID`, `GET_STATUS_FROM_IDOCNR`, , `IDOC_RECORD_READ`
Ler a ação da tabela SAP	`RFC BBP_RFC_READ_TABLE` ou `RFC_READ_TABLE`
Acesso mínimo	`RFC_METADATA_GET`, `RFC_METADATA_GET_TIMESTAMP`

Authentication

O conector dá suporte à Autenticação SAP, à Autenticação do Windows, à ID do Microsoft Entra com Kerberos e à ID do Microsoft Entra com Certificados.

Como o conector foi projetado para ser usado por vários usuários de um aplicativo, as conexões não são compartilhadas. Em vez disso, cada usuário se autenticará com o sistema SAP. As credenciais do usuário são fornecidas na conexão, enquanto detalhes adicionais necessários para se conectar ao sistema SAP (como os detalhes do servidor, configuração de segurança) são fornecidos como parte da ação.

Autenticação SAP

Autenticação básica do SAP usando o nome de usuário e a senha do SAP.

Autenticação do Windows

Requer configuração adicional para snc (comunicação de rede segura). Requer uma configuração adicional para o SSO baseado em Kerberos do Power Platform para fontes de dados locais.

ID do Microsoft Entra (com Kerberos)

Requer configuração adicional para snc (comunicação de rede segura). Requer uma configuração adicional para o SSO baseado em Kerberos do Power Platform para fontes de dados locais.

ID do Microsoft Entra (com certificados)

Requer configuração adicional para snc (comunicação de rede segura). Requer uma configuração adicional para o SSO baseado em certificado do Power Platform para fontes de dados locais.

Configurar o SSO baseado em Kerberos

O nome SNC do SAP para um usuário (p:CN=JANEDOE@REDMOND.CORP.CONTOSO.COM) deve ser igual ao nome de domínio totalmente qualificado da ID do Microsoft Entra dos usuários (JANEDOE@REDMOND.CORP.CONTOSO.COM) para autenticação da ID do Windows e do Microsoft Entra.

Nome SAP SNC

Propriedade	Description
Usar o SNC	Defina como "Sim" se você quiser habilitar o SNC
Biblioteca SNC	O nome da biblioteca SNC ou o caminho relativo ao local de instalação do NCo ou ao caminho absoluto. Exemplos são `sapcrypto.dll` ou `.\security\sapcrypto.dll`, ou `c:\security\sapcrypto.dll`.
SNC SSO	Especifica se o conector usará a identidade do serviço ou as credenciais do usuário final
SNC My Name	Se necessário, especifique a identidade a ser usada
Nome do parceiro SNC	O nome do servidor SNC de back-end
Qualidade de proteção do SNC	A qualidade do serviço a ser usado para comunicação SNC deste destino ou servidor específico. O valor padrão é definido pelo sistema de back-end. O valor máximo é definido pelo produto de segurança usado para SNC.

Se a ID do Microsoft Entra ou a Autenticação do Windows for necessária para o Conector SAP ERP, você precisará:

Configurar o SSO baseado em Kerberos do Power Platform para fontes de dados locais
Configurar o SAP ERP para habilitar usando CommonCryptoLib (sapcrypto.dll)

Configurar o SSO baseado em Kerberos do Power Platform para pré-requisitos de fontes de dados locais

Após a instalação do Gateway de Dados, o gateway é executado como a conta de serviço local do computador, NT Service\PBIEgwService. Para habilitar a delegação restrita do Kerberos, você tem duas opções:

O gateway deve ser executado como uma conta de domínio, consulte a documentação sobre como alterar a conta de serviço do Gateway ; ou
Tenha sua instância do Microsoft Entra ID sincronizada com a instância local da ID do Microsoft Entra (usando o Microsoft Entra ID DirSync/Connect)

Etapas de configuração:

Obter direitos de administrador de domínio para configurar as configurações de delegação restrita de SPNs (SetSPN) e Kerberos
Configurar a delegação restrita do Kerberos para o gateway e a fonte de dados
Configurar um SPN para a conta de serviço do gateway
Adicionar conta de serviço de gateway ao Grupo de Autorização e Acesso do Windows, se necessário
Decida sobre o tipo de delegação restrita kerberos a ser usada:
- Configurar a conta de serviço do gateway para delegação restrita kerberos padrão
- Configurar a conta de serviço do gateway para delegação restrita kerberos baseada em recursos
Conceder direitos de política local da conta de serviço do gateway no computador do gateway
Definir parâmetros de configuração de mapeamento de usuário no computador do gateway (se necessário)

Para obter mais detalhes sobre como configurar isso, consulte a documentação do Power BI para configurar o SSO baseado em Kerberos do serviço do Power BI para fontes de dados locais.

Configurar o SAP ERP para habilitar usando CommonCryptoLib (sapcrypto.dll)

Verifique se o servidor SAP ERP está configurado corretamente para o SSO do Kerberos usando CommonCryptoLib. Se for, você pode usar o SSO para acessar o servidor SAP ERP com uma ferramenta SAP, como a SAP GUI, que foi configurada para usar CommonCryptoLib. Para obter mais informações sobre as etapas de instalação, consulte Logon Único do SAP: Autenticar com Kerberos/SPNEGO. Seu servidor deve usar CommonCryptoLib como sua Biblioteca SNC e ter um nome SNC que comece com CN. Para obter mais informações sobre os requisitos de nome SNC (especificamente, o snc/identity/as parâmetro), consulte Parâmetros SNC para Configuração kerberos.
Verifique se o SAP Secure Login Client (SLC) não está em execução no computador no qual o gateway está instalado. O SLC armazena em cache os tíquetes Kerberos de uma maneira que pode interferir na capacidade do gateway de usar Kerberos para SSO. Se o SLC estiver instalado, desinstale-o ou certifique-se de sair do cliente de logon do SAP Secure. Clique com o botão direito do mouse no ícone na bandeja do sistema e selecione Sair e Sair antes de tentar uma conexão SSO usando o gateway. Não há suporte para SLC para uso em computadores windows server. Para obter mais informações, consulte a nota sap 2780475 (s-user required).

secure login Cliente sap

Se você desinstalar o SLC ou selecionar Sair e Sair, abra uma janela cmd e digite klist purge para limpar todos os tíquetes Kerberos armazenados em cache antes de tentar uma conexão SSO por meio do gateway.
Baixe o CommonCryptoLib de 64 bits (sapcrypto.dll) versão 8.5.25 ou superior do Sap Launchpad e copie-o para uma pasta no computador do gateway. No mesmo diretório em que você copiou sapcrypto.dll, crie um arquivo chamado sapcrypto.inicom o seguinte conteúdo:

ccl/snc/enable_kerberos_in_client_role = 1

O .ini arquivo contém informações de configuração exigidas pelo CommonCryptoLib para habilitar o SSO no cenário de gateway.

Observação

Esses arquivos devem ser armazenados no mesmo local; em outras palavras, /path/to/sapcrypto/ deve conter ambos sapcrypto.ini e sapcrypto.dll.

O usuário do serviço de gateway e o usuário da ID do Microsoft Entra que o usuário do serviço representa precisam de permissões de leitura e execução para ambos os arquivos. É recomendável conceder permissões nos arquivos e .dll nos .ini arquivos para o grupo Usuários Autenticados. Para fins de teste, você também pode conceder explicitamente essas permissões ao usuário do serviço de gateway e ao usuário da ID do Microsoft Entra usado para teste. Na captura de tela a seguir, concedemos ao grupo Usuários Autenticados permissões de leitura e execução para sapcrypto.dll:

Conceder permissões de leitura e execução para permissões de autenticados

Se você ainda não tiver uma fonte de dados SAP BW associada ao gateway que deseja que a conexão SSO flua, adicione uma na página Gerenciar gateways no serviço do Power BI. Se você já tiver essa fonte de dados, edite-a:

Escolha o SAP Business Warehouse como o Tipo de Fonte de Dados se você quiser criar uma conexão SSO com um Servidor de Aplicativos BW.
Selecione o Servidor de Mensagens do Sap Business Warehouse se quiser criar uma conexão SSO com um Servidor de Mensagens BW.

Crie uma CCL_PROFILE variável de ambiente do sistema e defina seu valor como o caminho para sapcrypto.ini.

CCL_PROFILE variável de ambiente do sistema:

Criar e definir variáveis de ambiente do sistema

O sapcrypto.dll arquivo e o arquivo .ini devem existir no mesmo local. No exemplo acima, sapcrypto.ini e sapcrypto.dll ambos estão localizados na área de trabalho.

Reinicie o serviço de gateway.

Reiniciar os serviços de gateway

Autenticação do Microsoft Entra ID

Esse tipo de autenticação só funcionará com as seguintes ações:

Chamar função SAP (V2)
Criar sessão com estado
Ler tabela SAP com análise

A conta da Entidade de Serviço SAP da ID do Microsoft Entra deve ter o AES 128 ou o AES 256 definidos no msDS-SupportedEncryptionType atributo. Esta postagem de blog contém uma tabela para ajudar a calcuar valores decimal/hex para tipos de criptografia com suporte.

Problemas e limitações conhecidos

Veja a seguir alguns dos problemas e limitações conhecidos do conector SAP ERP:

O conector dá suporte apenas a RFCs e BAPIs.
O conector não dá suporte ao recebimento de mensagens do SERVIDOR SAP.
Não há suporte para RFCs transacionais (tRFCs).
O gateway tem um limite de carga de 2 MB para operações de gravação e um limite de resposta de dados compactados de 8 MB para operações de leitura.
Não há suporte para clusters de gateway de dados no modo de balanceamento de carga por ações sap com estado. As comunicações com estado devem permanecer no mesmo nó de cluster do gateway de dados. Para ações sap com estado, use o gateway de dados no modo não cluster ou em um cluster configurado apenas para failover.
Atualize o gateway de dados local para a versão mais recente se você receber um erro durante a criação de fluxo semelhante a: Length of the name of the RFC '<RFC_NAME>?honorSapOptionalFlag=1' is larger than the maximum allowed limit of 30
Os parâmetros RFC/BAPI buscados do SAP são armazenados em cache no gateway de dados local. Reinicie o serviço de gateway de dados local para limpar o cache e recuperar novos valores.

Coletando logs

Os logs a seguir são úteis para solucionar problemas do conector SapErp ao entrar em contato com o suporte da Microsoft:

Habilite Additional logging as Diagnostics configurações do aplicativo de gateway de dados local para obter Informational os logs estendidos do Adaptador sap e os rastreamentos do Adaptador sapErp.
Atualize a seguinte configuração no arquivo Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.configde configuração. Normalmente, esse arquivo de configuração fica onde o gateway de dados local está instalado (por exemplo, C:\Program Files\On-premises data gateway\Microsoft.PowerBI.DataMovement.Pipeline.GatewayCore.dll.config).
```
<setting name="SapTraceLevel" serializeAs="String">
   <value>Verbose</value>
</setting>
```

Diretrizes de propriedade do sistema SAP

Para ações que dão suporte ao SAP system parâmetro, use a tabela a seguir para obter diretrizes.

Propriedade	Description
AppServerHost	O nome do host do Servidor de Aplicativos SAP.
AppServerService	O nome do serviço ou o número da porta do Servidor de Aplicativos SAP específico ao qual se conectar (opcional para o tipo de conexão (Logon) A – Servidor de Aplicativos).
Cliente	A ID do cliente SAP para se conectar ao sistema SAP. O cliente de back-ends do SAP (ou 'Mandant') no qual fazer logon. É um número que varia de 000 a 999.
Linguagem	O código de idioma com o qual se conectar ao sistema SAP. Um código ISO 639-1 de duas letras. Deve ser instalado no SAP. Isso substitui a configuração de linguagem de navegadores.
LogonGroup	O Grupo de Logon para o sistema SAP, do qual o Servidor de Mensagens deve selecionar um Servidor de Aplicativos (disponível somente se o tipo de conexão (Logon) for B – Servidor de Mensagens (Grupo)).
Tipo de Logon	O tipo de logon no Sistema SAP, logon do Servidor de Aplicativos (Tipo A) ou Logon de Grupo (Tipo B, também conhecido como Servidor de Mensagens). Valores permitidos: ApplicationServer, Group
MessageServerHost	O nome do host do Servidor de Mensagens do Sistema SAP (instância central) também conhecido como Nome do Sistema R3 (Obrigatório se o tipo de conexão (Logon) for B – Servidor de Mensagens (Grupo)).
MessageServerService	O Nome do Serviço (conforme definido em etc/serviços) ou o Número da Porta sob o qual o Servidor de Mensagens está escutando solicitações de balanceamento de carga (Obrigatório se o tipo de conexão (Logon) for B – Servidor de Mensagens (Grupo) e ID do Sistema não estiver presente).
SafeTyping	Por padrão, quando você cria sua conexão SAP, a digitação forte é usada para verificar valores inválidos executando a validação no esquema. Esse comportamento pode ajudá-lo a detectar problemas anteriormente. A opção De digitação segura está disponível para compatibilidade com versões anteriores e verifica apenas o comprimento da cadeia de caracteres. Valores permitidos: true, false
SncCertificate	Certificado X.509 no formulário codificado em Base64, sem as marcas de certificado de início ou de término.
SncMyName	A solução SNC instalada geralmente sabe seu próprio nome SNC. Somente para soluções que dão suporte a 'várias identidades', talvez seja necessário especificar a identidade a ser usada para esse destino/servidor (opcional). Esse parâmetro diferencia maiúsculas de minúsculas, portanto, verifique com os administradores da Base SAP o valor correto.
SncLibraryPath	Nome ou caminho da biblioteca SNC a ser usada. Com o Gateway de Dados Local, o caminho pode ser absoluto ou relativo à biblioteca NCo.
SncPartnerName	O nome SNC dos back-ends (obrigatório quando o Tipo de Logon é o Servidor de Aplicativos). Esse parâmetro diferencia maiúsculas de minúsculas, portanto, verifique com os administradores da Base SAP o valor correto.
SncQop	Qualidade do serviço a ser usada para comunicação SNC deste destino/servidor. Valores permitidos: Autenticação, Integridade, Privacidade, Padrão, Máximo
SncSso	O SSO do SNC especifica se é necessário usar a identidade SNC ou as credenciais fornecidas no nível de RFC.
SsoCertificateSubject	Assunto do certificado no computador OPDG windows para autenticação baseada em certificado com a ID do Microsoft Entra
SystemId	A ID do sistema de três letras do sistema SAP (obrigatório se o tipo de conexão (Logon) for B – o Servidor de Mensagens (Grupo) e o Serviço de Servidor de Mensagens não estiverem presentes).
SystemNumber	O número do sistema SAP. É um número que varia de 00 a 99 (obrigatório se o tipo de conexão (Logon) for A – Servidor de Aplicativos).
UseSnc	Quando selecionadas, as conexões serão protegidas com SNC. Valores permitidos: Sim

Migrando de `Call SAP Function` para `Call SAP Function (v2)`

O Call SAP Function foi preterido em julho de 2023, e o suporte terminará em julho de 2026. Os usuários precisarão migrar suas ações v1 existentes antes desse horário ou seus fluxos serão interrompidos.

Substitua vários campos de formulário por uma única cadeia de caracteres JSON para propriedades de conexão.
Use o seguinte mapeamento de propriedades:

Rótulo de campo v1	Propriedade v2
AS Host	AppServerHost
Cliente	Cliente
Número do sistema AS	SystemNumber
Nome da função SAP	N/A – não relevante para a cadeia de conexão
Sessão com estado	N/A – sessões com estado estão disponíveis em "Opções Avançadas", em que uma ID pode ser especificada para `Session Id`. As etapas com o mesmo `Session Id` serão executadas como parte da mesma sessão com estado.
Usar o SNC	UseSnc
Biblioteca SNC	SncLibraryPath
SNC SSO	SncSso
SNC My Name	SncMyName
Nome do parceiro SNC	SncPartnerName
Qualidade de proteção do SNC	SncQop

Example

Chame a função SAP V1:

Chamar função SAP v1

Chame a função SAP V2:

Chamar função SAP v2

Dada a captura de tela, a cadeia de conexão teria esta aparência:

{
  "AppServerHost": "sap.example.com",
  "Client": 100,
  "SystemNumber": "00"
}

Como Use SNC é "Não" na captura de tela, nenhuma propriedade é necessária. O padrão é "false"

Usando variáveis de ambiente

Fluxos de soluções internas podem gerenciar essas cadeias de conexão usando variáveis de ambiente. Esse é o método recomendado, pois permite que você altere os parâmetros de conexão com base no ambiente. Se o fluxo não estiver em uma solução, mantenha a cadeia de caracteres à mão para copiar/colar.

Limites Gerais

Nome	Value
Número máximo de propriedades compatíveis com o esquema dinâmico. A ação analisar JSON pode ser usada para gerar esquema de uma carga de exemplo se exceder o número máximo de propriedades.	1024

Criando uma conexão

O conector dá suporte aos seguintes tipos de autenticação:


ID do Microsoft Entra (com certificados)	Use a Propagação da Entidade de ID do Microsoft Entra por meio de certificados X509 para acessar o SAP.	Todas as regiões	Não compartilhável
ID do Microsoft Entra (com Kerberos)	Use a Propagação da Entidade de ID do Microsoft Entra via Kerberos para acessar o SAP.	Todas as regiões	Não compartilhável
Autenticação SAP	Use o nome de usuário e a senha do SAP para acessar o servidor SAP.	Todas as regiões	Não compartilhável
Autenticação do Windows	Use o nome de usuário e a senha do Windows para acessar o servidor SAP.	Todas as regiões	Não compartilhável
Padrão [PRETERIDO]	Essa opção é apenas para conexões mais antigas sem um tipo de autenticação explícita e é fornecida apenas para compatibilidade com versões anteriores.	Todas as regiões	Não compartilhável

ID do Microsoft Entra (com certificados)

ID de autenticação: UpnX509Certificate

Aplicável: todas as regiões

Use a Propagação da Entidade de ID do Microsoft Entra por meio de certificados X509 para acessar o SAP.