SAP Cloud Identity Services unterstützen Unternehmen dabei, Identity and Access Management (IAM) in Cloud- und Hybrid-Landschaften zu integrieren. Sie ermöglichen sichere Authentifizierung, Single Sign-On, automatisiertes User Provisioning und zunehmend eine zentrale Übersicht über Identitäten, Gruppen, Anwendungszuordnungen und Policies.
Eine durchdachte IAM-Strategie ist unerlässlich, wenn User, Anwendungen und Geschäftsprozesse über mehrere SAP- und Non-SAP-Umgebungen verteilt sind. Sie reduziert den manuellen Verwaltungsaufwand, stärkt die Sicherheit, unterstützt Compliance-Anforderungen und schafft eine konsistentere User Experience.
In diesem Artikel zeigen wir Ihnen die zentralen Komponenten der SAP Cloud Identity Services, ihren geschäftlichen Nutzen, SAPs strategische Ausrichtung sowie die Unterstützung, die Xiting bei Implementierung und Weiterentwicklung bietet.
Die SAP Cloud Identity Services stellen eine zentrale Lösung innerhalb der SAP Business Technology Platform (BTP) für die Integration eines umfassenden Identity and Access Managements (IAM) dar. Sie stellen Funktionen für Authentifizierung, Single-Sign-On (SSO), Identity Provisioning, Identitätsspeicherung und richtlinienbasierte Autorisierung bereit.
Wieso ist sauberes IAM so wichtig?
Eine durchdachte IAM-Strategie ist unerlässlich, wenn User, Anwendungen und Geschäftsprozesse über mehrere SAP- und Non-SAP-Umgebungen verteilt sind. Sie reduziert den manuellen Verwaltungsaufwand, stärkt die Sicherheit, unterstützt Compliance-Anforderungen und schafft eine konsistentere User Experience.
Die Dienste unterstützen etablierte Industriestandards wie SAML 2.0, OpenID Connect, OAuth 2.0, SCIM sowie FIDO-basierte Authentifizierungsszenarien. Das ermöglicht die Integration mit SAP-Anwendungen, Non-SAP-Lösungen, unternehmensweiten Identity Providern und bestehenden Identity-Governance-Plattformen.
In vielen Unternehmen übernimmt SAP Identity Authentication die Rolle eines Brokers zwischen dem unternehmensweiten Identity Provider und den SAP-Anwendungen. Dadurch entfällt die Notwendigkeit, jede SAP-Anwendung einzeln anzubinden, und Authentifizierungsabläufe, Attribute sowie anwendungsspezifische Claims lassen sich konsistenter verwalten.
Zu den vier zentralen Komponenten der Cloud Identity Services zählen:
Identity Authentication Service (IAS) und Identity Provisioning (IPS) sind nach wie vor die bekanntesten Dienste und bilden das Fundament für das Identity and Access Management innerhalb der SAP Cloud Identity Services. Die beiden Dienste sind in vielen SAP-SaaS-Lösungen integriert und haben sich als Standard für Authentifizierung und Benutzerverwaltung etabliert. Sie basieren auf demselben Technologiestack und sind Kernkomponenten der BTP.
IAS und IPS können sowohl einzeln als auch zusammen genutzt werden. In Kombination ermöglichen IAS und IPS konsistente Authentifizierungsprozesse und eine automatisierte Synchronisation von Benutzern und Gruppen für zahlreiche SAP-Cloud-, On-Premise- und Non-SAP-Anwendungen.
Schon gewusst?
Die Dienste IAS, IPS und AMS werden über das gemeinsame Identity Directory (IdDS) integriert, das als zentrale Benutzerdatenbank dient.
SAP baut jedoch die Rolle von Identity Directory und Authorization Management als Teil einer breiteren Identity- und Governance-Schicht für die SAP-Cloud-Landschaft konsequent aus.
Der SAP Identity Authentication Service sorgt für sichere Benutzerauthentifizierung und Single Sign-On. Er kann selbst als Identity Provider fungieren oder als Proxy und Broker für einen bestehenden unternehmensweiten Identity Provider, etwa Microsoft Entra ID, eingesetzt werden.
IAS unterstützt dabei Szenarien wie Multi-Faktor-Authentifizierung, risiko- und kontextbasierte Authentifizierung, Self-Service-Funktionen, externen User-Zugriff sowie die Integration mehrerer Identity Provider. Zudem bildet der Dienst Attribute ab und reichert Tokens an, sodass angebundene Anwendungen die benötigten Informationen erhalten.
Der SAP Identity Provisioning Service automatisiert die Synchronisation von Usern, Gruppen und ausgewählten Zuordnungen zwischen Quell- und Zielsystemen. Er kann HR-Systeme, Identity-Management- oder Governance-Plattformen, SAP-Cloud-Anwendungen und On-Premise-Systeme miteinander verbinden.
IPS unterstützt die Umsetzung von Identity-Lifecycle-Prozessen wie dem Anlegen, Aktualisieren und Deaktivieren von Benutzerkonten. Der Dienst reduziert manuelle Übertragungen und sorgt für zuverlässigere Joiner-Mover-Leaver-Prozesse. Die anwendungsspezifische Ausgestaltung von Berechtigungen sowie Genehmigungsprozesse bleiben jedoch weiterhin in der Verantwortung Ihrer zuständigen Governance- und Fachbereiche.
Schon gewusst?
SAP IPS lässt sich eigenständig oder als Proxy für IAM-Tools einsetzen.
Das Identity Directory ist der gemeinsame Identitätsspeicher der SAP Cloud Identity Services. Es verwaltet User- und Gruppendaten und unterstützt das Zusammenspiel von Identity Authentication, Identity Provisioning und Authorization Management.
Seine strategische Bedeutung wächst stetig, denn SAP positioniert das Identity Directory zunehmend als zentrale Quelle für Identitäten, Gruppen, Anwendungszuordnungen und rollenbezogene Informationen innerhalb der SAP-Cloud-Landschaft. Das ist besonders für anwendungsübergreifende Dienste wie SAP Build Work Zone, Joule und künftige agentenbasierte Geschäftsszenarien relevant.
Für Unternehmen bedeutet das: Datenqualität, Identitätskorrelation, Attributmodelle und die konsistente Nutzung der SAP Global User ID gewinnen an Bedeutung. Die Global User ID hilft dabei, Konten derselben Person systemübergreifend zu korrelieren – sie ist nicht lediglich ein weiterer Single-Sign-On-Mechanismus.
SAP Authorization Management ermöglicht richtlinienbasierte Autorisierung für SAP-BTP-Anwendungen und neuere Szenarien, in denen klassische Rollenkonzepte allein nicht ausreichend Flexibilität bieten. Richtlinien können dabei Kontextfaktoren wie Benutzerattribute, organisatorische Informationen, Ressourcen, angefragte Aktionen oder die aufrufende Anwendung berücksichtigen.
Authorization Management ersetzt nicht automatisch die detaillierten Berechtigungsmodelle von SAP S/4HANA, SuccessFactors, Concur oder anderen Business-Anwendungen. SAPs Zielarchitektur kombiniert zentrales Identity- und Policy-Management mit anwendungsspezifischen Rollen und deren Durchsetzung in den Zielsystemen.
SAP entwickelt Cloud Identity Services von einer operativen Authentifizierungs- und Provisioning-Plattform zu einer breiteren Identity-, Trust- und Governance-Schicht für die SAP-Cloud- und KI-Landschaft weiter.
Für Unternehmen sind dabei drei Entwicklungen besonders relevant:
Diese Entwicklung steht in engem Zusammenhang mit Joule, SAP Business AI, SAP Build Work Zone und zunehmend vernetzten SAP-Cloud-Anwendungen. Sie zeigt zugleich, warum die Identity-Architektur nicht länger als einmaliges technisches Setup betrachtet werden sollte. Unternehmen benötigen ein tragfähiges Modell für Identitätsdaten, Lifecycle-Prozesse, Anwendungszuordnungen, Governance, Monitoring und künftige KI-Anwendungsfälle.
SAP-Roadmap-Aussagen sind als strategische Ausrichtung zu verstehen, nicht als garantierte Liefertermine. Sie können Ihr Unternehmen dennoch bereits jetzt vorbereiten, indem Sie Ihre Identitätsquellen, die Nutzung der Global User ID, Provisioning-Prozesse, Gruppen- und Rollenmodelle, Audit-Anforderungen sowie Ihre Bereitschaft für SAP-verwaltete Szenarien überprüfen.
Eine durchdachte Implementierung der SAP Cloud Identity Services bringt folgende Vorteile mit sich:
Konsistente Authentifizierung und Identitätsverwaltung über SAP-Cloud-Anwendungen und hybride Landschaften hinweg.
Single Sign-On und einheitliche Authentifizierungsprozesse reduzieren Login-Hürden.
Die Synchronisation von Usern und Gruppen reduziert manuellen Aufwand und unterstützt ein zeitnahes Onboarding, Änderungen und Offboarding.
Offene Standards und Broker-Funktionen vereinfachen die Anbindung an unternehmensweite Identity Provider, SAP-Anwendungen und Drittsysteme.
Das Identity Directory schafft eine konsistentere Sicht auf Identitäten und Anwendungszuordnungen in der gesamten SAP-Landschaft.
Zentrale Identitätsdaten, Policies und Protokolle unterstützen in Kombination mit einer geeigneten Access-Governance-Lösung Compliance- und Audit-Prozesse.
Eine saubere Identitätsgrundlage unterstützt Joule, Work Zone, SAP-verwaltete Integrationen und kontrollierte KI-Agenten-Szenarien.
SAP Cloud Identity Services können innerhalb einer Xiting Security Platform (XSP) -Zielarchitektur die Authentifizierung, zentrale Identitätsablage und technische Provisionierung unterstützen. XSP ergänzt diese SAP-Identity-Schicht um Funktionen wie Identity Consolidation, systemübergreifende Risikoanalyse, User Access Review, Lifecycle-Prozesse und Security Monitoring. So lassen sich Identitäten, Konten, Rollen und Risiken über SAP-Cloud-, On-Premise- und ausgewählte Non-SAP-Systeme hinweg konsistent verknüpfen
Je nach Zielarchitektur lässt sich XSP in bestehende IAM- und Access-Governance-Lösungen integrieren oder für ausgewählte Funktionen als zentrale Plattform einsetzen.
Eine erfolgreiche Implementierung erfordert mehr als das Aktivieren eines Tenants und die Anbindung eines Identity Providers. Die Zielarchitektur muss zu Ihrer bestehenden IAM-Landschaft, Ihren SAP-Anwendungen, Ihren Benutzergruppen, Ihrem Governance-Modell und Ihren betrieblichen Prozessen passen.
Xiting begleitet Ihr Unternehmen vom initialen Assessment über die Implementierung bis hin zur laufenden Optimierung. Je nach Ausgangslage umfassen unsere Leistungen unter anderem:
Für einen schnellen und strukturierten Einstieg bietet der Xiting QuickStart Implementation Service eine vorkonfigurierte Grundlage für Identity Authentication und Identity Provisioning. Er kann die Anbindung ausgewählter SAP-Cloud-Anwendungen, die Föderation mit einem bestehenden Identity Provider sowie ein maßgeschneidertes Gruppenkonzept umfassen.
Für komplexere Landschaften erweitert Xiting diese Grundlage zu einer skalierbaren IAM-Architektur, die technische Integration mit Governance, Sicherheit, Compliance und zukünftigen SAP-Cloud-Initiativen in Einklang bringt. So stellen Sie sicher, dass Cloud Identity Services nicht nur heute korrekt implementiert sind, sondern auch auf SAPs sich weiterentwickelnde Identity- und KI-Strategie vorbereitet sind.
SAP Identity Authentication Service (IAS) ist die Authentifizierungs- und Single-Sign-On-Komponente der SAP Cloud Identity Services. Er überprüft Benutzeridentitäten und kann sowohl als Identity Provider als auch als Broker für einen bestehenden unternehmensweiten Identity Provider fungieren.
SAP Identity Provisioning Service (IPS) synchronisiert User, Gruppen und ausgewählte Zuordnungen zwischen angebundenen Systemen. Es unterstützt automatisierte Account-Lifecycle-Prozesse und reduziert den manuellen Verwaltungsaufwand.
Identity Authentication überprüft, wer ein User ist, und steuert den Anmeldeprozess. Identity Provisioning stellt sicher, dass die erforderlichen Benutzerkonten und Zuordnungen in den angebundenen Systemen angelegt, aktualisiert oder entfernt werden. Detaillierte fachliche Berechtigungen werden weiterhin in den jeweiligen Anwendungen oder Governance-Systemen definiert und durchgesetzt.
SAP Identity and Access Management umfasst Prozesse und Lösungen zur Verwaltung digitaler Identitäten, ihrer Benutzerkonten und ihrer Zugriffsrechte über den gesamten Lifecycle. Ziel ist es, den richtigen Identitäten zur richtigen Zeit den angemessenen Zugriff bereitzustellen und diesen bei Änderungen oder Austritt zuverlässig anzupassen beziehungsweise zu entziehen. Kurz gesagt: IAM sorgt dafür, dass die richtigen Identitäten zur richtigen Zeit den richtigen Zugriff erhalten – und dass dieser entzogen wird, sobald er nicht mehr benötigt wird.
Unternehmen sollten sich auf SAPs strategische Ausrichtung vorbereiten, indem sie ihre führende Identitätsquelle, ihre Joiner-Mover-Leaver-Prozesse, das Global-User-ID-Mapping, die Identitätsdatenqualität, Anwendungszuordnungen, Audit-Anforderungen und Governance-Zuständigkeiten überprüfen. Zudem sollten sie bewerten, wie sich Joule, Work Zone, SAP-verwaltete Integrationen und künftige KI-Agenten-Szenarien auf ihre Identity-Architektur auswirken können.
Sie sehen gerade einen Platzhalterinhalt von Vimeo. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen