SAP-Wiki

SAP Cloud Identity Services

SAP Cloud Identity Services ist ein Bündel cloudbasierter Dienste für Identitäts- und Zugriffsverwaltung in SAP-Landschaften, bestehend aus Identity Authentication Service und Identity Provisioning Service. Es steuert Single Sign-on, Benutzeranlage und Rollenzuweisung zentral über alle angebundenen SAP- und Nicht-SAP-Systeme hinweg und ersetzt schrittweise ältere Identity-Management-Lösungen.

Definition

Was ist SAP Cloud Identity Services?

SAP hat die Cloud Identity Services entwickelt, um Identitätsprüfung und Benutzerverwaltung aus einzelnen Anwendungen herauszulösen und zentral in der SAP Business Technology Platform zu bündeln. Kern sind zwei Dienste: der Identity Authentication Service für Anmeldung und Single Sign-on, und der Identity Provisioning Service für die automatisierte Anlage und Pflege von Benutzerkonten. Damit reagiert SAP auf die wachsende Zahl an Cloud-Anwendungen, die eine klassische, systeminterne Benutzerverwaltung nicht mehr effizient abdeckt.

Relevant sind die Cloud Identity Services für jedes Unternehmen, das mehrere SAP-Cloud-Lösungen parallel betreibt, etwa SAP S/4HANA Cloud, SAP SuccessFactors oder SAP BTP-Anwendungen. Statt für jedes System eigene Benutzerkonten zu pflegen, meldet sich der Anwender einmal an und erhält Zugriff auf alle verknüpften Dienste. IT-Abteilungen profitieren von einer zentralen Stelle für Passwortrichtlinien, Multi-Faktor-Authentifizierung und die Anbindung an ein bestehendes Unternehmensverzeichnis wie Microsoft Entra ID.

Die Einrichtung beginnt mit der Anbindung einer vertrauenswürdigen Quelle, meist das bestehende Active Directory, gefolgt von der Konfiguration der Single-Sign-on-Vertrauensstellungen je Anwendung. Häufige Stolperstellen sind uneinheitliche Benutzerattribute zwischen Altsystem und Cloud-Diensten sowie unterschätzter Abstimmungsaufwand zwischen Fachbereich und IT-Sicherheit bei der Rollenzuordnung. Wer die Berechtigungslogik nicht vorab bereinigt, überträgt bestehende Unordnung in ein neues System.

Funktionen

Wie funktioniert SAP Cloud Identity Services?

Der Identity Authentication Service übernimmt die Anmeldung: Er prüft Zugangsdaten, erzwingt bei Bedarf Multi-Faktor-Authentifizierung und stellt darüber einen Single-Sign-on-Zugang für alle angebundenen Anwendungen bereit, technisch über die Standards SAML 2.0 und OpenID Connect. Der Identity Provisioning Service arbeitet im Hintergrund und synchronisiert Benutzerkonten samt Rollenzuordnung zwischen einer maßgeblichen Quelle, etwa einem HR-System oder Verzeichnisdienst, und den angeschlossenen Zielsystemen. Legt ein neuer Mitarbeiter im Quellsystem an, entstehen die passenden Konten in SAP-Cloud-Anwendungen automatisch, ohne manuelle Einzelpflege.

Im Zusammenspiel mit SAP BTP bilden die Cloud Identity Services die Sicherheitsbasis für Erweiterungen und Integrationsszenarien, die über die SAP Integration Suite laufen. Für klassische On-Premise-Systeme wie SAP ECC oder frühe S/4HANA-Releases lässt sich die Anbindung über zusätzliche Konnektoren realisieren, vollständig ersetzt wird die klassische SAP-Benutzerverwaltung dort aber nicht automatisch. Unternehmen mit gewachsenen Identity-Management-Lösungen sollten die Ablösung schrittweise planen statt in einem einzigen Schnitt.

Vorteile

Ein Login für alle Dienste

Single Sign-on über SAP-Cloud-Anwendungen hinweg reduziert Passwortverwaltung und Supportaufwand für den Helpdesk spürbar.

Automatisierte Benutzerpflege

Neue und ausscheidende Mitarbeiter werden über den Provisioning Service systemübergreifend angelegt oder gesperrt, ohne manuelle Einzelschritte.

Zentrale Sicherheitsrichtlinien

Passwortregeln und Multi-Faktor-Authentifizierung lassen sich an einer Stelle pflegen statt in jeder Anwendung einzeln.

Offene Standards

SAML 2.0 und OpenID Connect ermöglichen die Anbindung an gängige Verzeichnisdienste und auch an Nicht-SAP-Anwendungen.

Grenzen

Kein Ersatz für On-Premise-Berechtigungen

Die feingranulare Rollenpflege in SAP ECC oder klassischem S/4HANA bleibt bestehen, die Cloud Identity Services regeln vor allem die Anmeldung, nicht das Berechtigungskonzept im System selbst.

Abhängigkeit von der Quelle

Fehler oder Lücken im maßgeblichen Verzeichnisdienst wirken sich direkt auf alle angebundenen Cloud-Anwendungen aus, die Datenqualität an der Quelle entscheidet über den Erfolg.

Einrichtungsaufwand unterschätzt

Die Konfiguration der Vertrauensstellungen je Anwendung und die Bereinigung der Rollenlogik brauchen mehr Abstimmung, als der reine Cloud-Dienst vermuten lässt.

FAQ

Häufige Fragen zu SAP Cloud Identity Services

Ersetzt SAP Cloud Identity Services das klassische SAP-Berechtigungskonzept?

Nein, beide Ebenen ergänzen sich. Die Cloud Identity Services regeln Anmeldung und Single Sign-on, das Berechtigungskonzept in SAP S/4HANA oder SAP ECC regelt weiterhin, welche Transaktionen und Daten ein Benutzer innerhalb des Systems nutzen darf.

Brauche ich SAP Cloud Identity Services, wenn ich nur ein SAP-System nutze?

Bei einem einzelnen On-Premise-System ist der Nutzen begrenzt, die klassische Benutzerverwaltung reicht oft aus. Sobald mehrere Cloud-Anwendungen wie SAP SuccessFactors oder S/4HANA Cloud parallel laufen, zeigt sich der Nutzen deutlich klarer.

Wie hängen Identity Authentication Service und Identity Provisioning Service zusammen?

Der Authentication Service kümmert sich um Anmeldung und Single Sign-on, der Provisioning Service um die automatisierte Anlage und Pflege der Benutzerkonten im Hintergrund. In den meisten Projekten werden beide Dienste gemeinsam eingeführt, weil sie sich ergänzen.

Wie aufwendig ist die Einführung der Cloud Identity Services?

Der Cloud-Dienst selbst ist schnell eingerichtet, der eigentliche Aufwand steckt in der Bereinigung bestehender Benutzerdaten und der Abstimmung der Rollenlogik zwischen Fachbereich und IT-Sicherheit. Wer diese Vorarbeit unterschätzt, verlängert das Projekt spürbar.

Funktioniert SAP Cloud Identity Services auch mit Nicht-SAP-Anwendungen?

Ja, über die offenen Standards SAML 2.0 und OpenID Connect lassen sich auch Anwendungen außerhalb der SAP-Welt anbinden. Das macht den Dienst auch für gemischte Systemlandschaften mit Microsoft- oder anderen Cloud-Diensten interessant.

Ihr Kontakt

Gabriele Görtz

Head of Sales & Growth

Sprechen Sie mit uns.

Ein Erstgespräch dauert 30 Minuten. Sie können auch direkt mit einem konkreten Thema kommen. Rufen Sie an oder schreiben Sie uns.

+49 40 69 658 50-0

Anwender-Helpdesk für Bestandskunden:

0800 52388 55 (kostenfrei)