SAP CPI 的安全机制

      SAP Cloud platform integration（CPI） 是基于BTP下的云集成组件，在现在云产品更新迭代加快的时期，SAP的云端集成产品应运而生。 早几年大家可能不太看重云产品，必定核心数据都被第三方服务供应商托管，存在一定风险。但细想，自己运维一堆服务器硬件的成本其实也不少，拿给一帮专业的人员帮忙管理岂不是更好。
     当然大家最关心的莫过于“数据安全”.
     第一，sap云的账号也就是所谓subaccount与tanent挂钩 ，tanent用于实现数据的物理分割，不同云用户可能访问相同服务器数据库，但无权访问其他tanent用户的数据（也包括MPL和访问数据），甚至于tanent 管理员不能访问其他tanent下的管理数据.从技术架构上，JAVA VM为每个用户单独启用工作流，保证数据处理的不共享.
     第二，作为云集成产品，要保证系统与CPI交互的安全性，一方面支持HTTPS- TLS架构，另一方面有大量的消息层面的加密工具，避免非法篡改和获取.
CPI常用的三种交互层面的访问安全方式：
  basic authorization
  Oauth认证
  Client认证
其中SAP推荐后面两种
先看下inbound端的配置：
     涉及basic 授权，就是为service instance启动一个用户角色下的安全钥匙， 在调用CPI时候使用 ，由于是明文传输，容易被窃取，尤其是Intergration flow使用单一的用户角色的时候，如下图： 

    

 

   
    Oauth认证是基于双向验证的加密token机制，需要在安全目录下创建该认证，并在Adapter使用.
     可以参见官方论坛网站：Cloud Platform Integration OAuth2 Credentials | SAP Blogs

     至于Client 认证是基于CA 认证链的技术，可以参见SAP官方论坛的资料进行相关配置.
     可以参见官方论坛网站：

     
当然SAP 提供了丰富的Open connecter，可以和大量应用进行快速集成.

总而言之，CPI确实在安全性上做了很多努力，在认证上支持PGP HHS等大量认证方式，在数据层面也做到了绝对分割。

以上内容为@惊涛骇浪-2023的看法，如和官方知识有偏差，请多多见谅和指正，谢谢！

转至：SAP CPI 的安全机制 - 惊涛骇浪-2023 - 博客园 (cnblogs.com)