Ein System im eigenen Netzwerk verbinden

Manche Systeme – SAP Business One ist das, welches wir heute unterstützen – laufen auf Ihrer eigenen Hardware statt in der Cloud eines Anbieters. Eines davon zu verbinden erfordert etwas Arbeit von zwei verschiedenen Personen: jemandem, der Ihr Netzwerk betreut, und einer Administratorin oder einem Administrator Ihres Workspace. Diese Seite ist für beide geschrieben, und jede Hälfte sagt, für wen sie gilt.

Wer macht was

Keine der beiden Hälften funktioniert allein, und die Reihenfolge zählt: Die Firewall-Regel muss existieren, bevor die Verbindung hergestellt werden kann.

Teil 1 – für Ihr IT- oder Netzwerkteam

Fünf Schritte. Auf Ihren Servern wird nichts installiert, und wir brauchen keinen Zugriff auf den SAP-Client, dessen Datenbank oder die Maschine, auf der er läuft.

1. Den Service Layer veröffentlichen – oder bestätigen, dass er es ist

   Wir sprechen mit SAP Business One über dessen Service Layer, die mitgelieferte Weboberfläche. Diese Oberfläche muss aus dem öffentlichen Internet erreichbar sein. Betreibt ein Hosting-Partner das System für Sie, veröffentlicht er ihn sehr wahrscheinlich bereits: Fragen Sie ihn nach der Service-Layer-URL und springen Sie zu Schritt 3. Andernfalls geben Sie ihm einen öffentlichen Hostnamen und leiten auf die interne Maschine weiter, so wie Sie jeden anderen Webdienst veröffentlichen würden.

2. Ein Zertifikat einer öffentlichen Zertifizierungsstelle einrichten

   HTTPS ist erforderlich, und das Zertifikat muss auf eine öffentliche Wurzel zurückführen. Ein selbstsigniertes Zertifikat wird abgelehnt – das lohnt sich vorab zu wissen, weil interne Installationen sehr oft eines haben. Ein kostenloses Zertifikat von Let’s Encrypt für den öffentlichen Hostnamen genügt.

3. Eingehenden Verkehr auf unsere eine feste Adresse beschränken

   Sie werden den Service Layer nicht dem ganzen Internet öffnen wollen, und das müssen Sie auch nicht. Lassen Sie eingehende Verbindungen von der unten genannten Adresse zu; mehr muss ihn nicht erreichen.

4. Die genaue Adresse bestätigen, mit Port und Version

   Wir brauchen die vollständige Service-Layer-Wurzel, nicht nur den Host. Üblicherweise lauscht er auf Port 50000 und endet auf ein Versionssegment. Sowohl /b1s/v1 als auch /b1s/v2 funktionieren.

5. Einen eigenen Benutzer für uns anlegen

   Legen Sie für diese Verbindung bitte einen eigenen Business-One-Benutzer an, statt einen zu verwenden, der einer Person gehört. Alles, was wir tun, ist dann in den Protokollen des Systems diesem Benutzer zuzuordnen, Sie können unseren Zugriff durch Deaktivieren eines einzigen Kontos entziehen, und es bricht nicht, wenn jemand sein Passwort ändert oder das Unternehmen verlässt. Geben Sie ihm nur die Berechtigungen, die wir haben sollen – was nicht erteilt ist, wird schlicht abgelehnt, und das ist das richtige Ergebnis und kein Fehler.

Jede Anfrage, die wir an ein System im Netzwerk eines Kunden richten, verlässt uns über diese eine Adresse – mehr müssen Sie nicht öffnen. Falls diese Einschränkung für Sie ein Problem ist, sagen Sie uns das, bevor Sie die Regel bauen.

Dieselbe Adresse steht auch im Produkt selbst, im Verbindungsformular und unter Einstellungen › Integrationen › Ziele im privaten Netzwerk – niemand muss sie aus dieser Seite abschreiben.

Prüfen, ob die Regel wirklich greift

Führen Sie das von einer Maschine außerhalb Ihres Netzwerks aus – nicht aus dem Büro-LAN, denn genau das lässt einen geschlossenen Port offen aussehen:

curl -sS -o /dev/null -w "%{http_code} %{ssl_verify_result}\n" \
  https://sap.yourcompany.com:50000/b1s/v1/

Jeder HTTP-Status bedeutet, dass der Weg funktioniert. Eine zweite Zahl von 0 bedeutet, dass das Zertifikat verifiziert wurde. Ein Hängenbleiben oder eine abgelehnte Verbindung bedeutet, dass die Regel nicht das tut, wonach sie aussieht.

Teil 2 – für die Workspace-Administration

Das tun Sie, sobald Ihr IT-Team Teil 1 abgeschlossen hat. Es dauert ein paar Minuten und erfordert keine technischen Kenntnisse – für den ersten Schritt müssen Sie allerdings Administratorin oder Administrator des Workspace sein.

1. Uns sagen, welchen Server wir aufrufen dürfen

   Fügen Sie unter Einstellungen › Integrationen › Ziele im privaten Netzwerk den Hostnamen des Servers hinzu – nur den Host, ohne Port und ohne Pfad, zum Beispiel sap.ihrunternehmen.de. Diese Liste beginnt leer, und nichts ist erlaubt, bis Sie es eintragen.

2. Verbinden

   Öffnen Sie Integrationen, suchen Sie SAP Business One und klicken Sie auf Verbinden. Sie werden nach vier Werten gefragt: der vollständigen Service-Layer-URL, dem Namen der Firmendatenbank sowie Benutzername und Passwort.

3. Festlegen, was es darf

   Nach dem Verbinden öffnen Sie Integrationen › SAP Business One, um alle angebotenen Aktionen zu sehen und einzeln ein- oder auszuschalten. Aktionen, die Daten verändern, sind gekennzeichnet, und Sie können verlangen, dass sie vor der Ausführung von jemandem bestätigt werden.

Was Sie beim Verbinden brauchen

Zwei Listen, die in entgegengesetzte Richtungen zeigen

Die Firewall-Regel aus Teil 1 sagt, welche Adresse Ihr System erreichen darf. Die Einstellung aus Teil 2 sagt, welche Ihrer Systeme wir erreichen dürfen. Das ist nicht dieselbe Liste, und keine ersetzt die andere.

Die zweite existiert, weil die Service-Layer-Adresse ein Wert ist, den jemand eintippt, und die Maschine, die ihn abruft, in unserem eigenen Netzwerk steht. Ohne diese Liste könnte ein vertippter oder böswilliger Wert unsere Infrastruktur auf eine Adresse richten, die niemand gewählt hat. Jede Änderung daran wird in Ihr Audit-Log geschrieben, und das Entfernen eines Hosts stoppt die darauf gerichteten Verbindungen sofort und nicht erst bei ihrer nächsten Erneuerung.

Wenn es abgelehnt wird – was die Meldung bedeutet