sap-btp-cloud-identity-services

SAP Cloud Identity Services

SAP Cloud Identity Services は、クラウドシステムとオンプレミスシステム全体の ID とアクセスを管理する、SAP BTP 上のサービス群です。シングルサインオン、ユーザーのプロビジョニング、ポリシーベースの認可を提供します。

サービスは次のとおりです。

• Identity Authentication (IAS) — クラウドベースの認証、SSO（OIDC/SAML 2.0）、企業 IdP のフェデレーション、条件付き認証、ユーザーストア管理を提供します。SAP BTP アプリケーションの ID プロバイダーとして機能します。
• Identity Provisioning (IPS) — サービスとしての ID ライフサイクル管理です。全件読み取りモードと差分読み取りモード、リアルタイムプロビジョニング、変換のサポートにより、ソースシステムとターゲットシステム（SAP および SAP 以外）の間でユーザーとグループを同期します。
• Identity Directory — 中央ユーザーストアです。SCIM 2.0 REST API とカスタムスキーマを提供し、IPS が SAP クラウドアプリケーションに配布する Global User ID を生成します。
• Authorization Management (AMS) — BTP アプリケーション向けのポリシーベースの認可です。開発者は Data Control Language (DCL) でポリシーを定義し、管理者は管理コンソールからポリシーを調整して割り当てます。

関連スキル

• sap-btp-connectivity — destination サービスと接続認証の仕組み（OAuth クライアントクレデンシャル、Cloud Connector を介したプリンシパル伝播）
• sap-cap-capire — CAP アプリケーションレベルでの認証の使用方法（ロールテンプレート、@requires アノテーション、xs-security.json を使用した cds deploy）
• sap-btp-best-practices — セキュリティガバナンスと本番環境へのデプロイパターンの概要
• sap-btp-cloud-platform — BTP アカウントのセットアップ、サブアカウントの設定、サービスインスタンスの作成

このスキルを使用する場面

• IAS で OIDC または SAML 2.0 アプリケーションを登録するとき
• 企業 ID プロバイダーのフェデレーション（IdP プロキシ）を設定するとき
• BTP サブアカウントと IAS テナント間の信頼を確立するとき
• Identity Provisioning のソース／ターゲットシステムとジョブを設定するとき
• AMS 認可ポリシー（DCL）を作成または調整するとき
• XSUAA から IAS ベースの認証に移行するとき
• トークン検証、audience、または issuer の不一致エラーをトラブルシューティングするとき
• 条件付き認証（リスクベース、MFA）を設定するとき
• IAS を SAP BTP Identity サービスと統合するとき（OIDC アプリの自動作成）

クイックリファレンス

サービス	目的	主なオブジェクト
IAS	認証と SSO	アプリケーション（OIDC/SAML）、IdP、条件付き認証、ユーザーストア
IPS	ユーザー／グループのプロビジョニング	ソースシステム、ターゲットシステム、プロキシシステム、変換、ジョブ
Identity Directory	ユーザーの永続化	ユーザー、グループ、カスタムスキーマ、Global User ID
AMS	ポリシーベースの認可	認可ポリシー、DCL ルール、ポリシーテンプレート、制限

Identity Authentication (IAS)

IAS は、SAP BTP アプリケーションの認証におけるエントリーポイントです。OIDC および SAML 2.0 プロトコルをサポートし、ID プロバイダーまたは企業 IdP へのプロキシとして機能します。また、ユーザー属性、メールドメイン、ユーザーグループ、IP 範囲に基づく条件付き認証を提供します。

アプリケーションの登録

IAS 管理コンソールの Applications and Resources > Applications でアプリケーションを登録します。各アプリケーションでは、次の項目を定義します。

• Application Type — OIDC または SAML 2.0
• Trust Configuration — SP メタデータのアップロード（SAML）またはリダイレクト URI（OIDC）
• Authentication — 方式、条件付きルール、IdP の選択
• User Attributes — トークン／アサーションで送信する属性

SAP BTP Identity サービス（xsuaa の代替）を使用すると、サービスインスタンスが IAS に OIDC アプリケーションを自動的に作成します。手動で登録する必要はありません。

企業 IdP のフェデレーション

IAS はプロキシとして機能できます。エンドユーザーは企業 IdP（Azure AD、Okta など）で認証され、IAS が SAP アプリケーション向けにトークンを中継します。Applications and Resources > Corporate Identity Providers で設定します。

詳細については、references/identity-authentication.md を参照してください。

ID プロビジョニング（IPS）

IPS は、システム間でユーザーとグループを同期します。設定可能な変換とスケジュール機能を備え、ソース、ターゲット、プロキシのシステムタイプをサポートします。

主な概念

• ソースシステム — ユーザー／グループを読み取るシステム（例：SAP SuccessFactors、Azure AD、SAP S/4HANA Cloud）
• ターゲットシステム — ユーザー／グループを書き込むシステム（例：IAS テナント、SAP BTP XSUAA、SAP Analytics Cloud）
• プロキシシステム — IPS があるシステムから読み取り、別のシステムを介して書き込むハイブリッドシナリオ
• 変換 — ソースとターゲットのスキーマ間で属性をマッピングする、JSON ベースの設定
• ジョブ — スケジュール実行またはオンデマンド実行のプロビジョニング（完全読み取りまたは差分読み取り）
• リアルタイムプロビジョニング — エンティティをソースからターゲットへ即時に伝播

詳細は、references/identity-provisioning.md を参照してください。

認可管理（AMS）

AMS は、BTP アプリケーション向けに、ポリシーベースのインスタンスレベルの認可を実現します。開発者は、データ制御言語（DCL）（SQL に似た言語）で認可ポリシーを定義し、アプリケーションとともにデプロイします。管理者は IAS 管理コンソールでポリシーを調整します。

ポリシーのライフサイクル

1. 開発者が DCL でポリシーを定義し、アプリケーションとともにデプロイします
2. 基本ポリシーが IAS 管理コンソールの 認可ポリシーに表示されます
3. 管理者が制限を細かく設定したカスタムポリシー（基本ポリシーのコピー）を作成します
4. 管理者がグループを介してユーザーにポリシーを割り当てます

DCL の例

DEFINE POLICY SalesOrderAccess
  AS (SELECT FROM SalesOrder
      WHERE buyer = CONTEXT('userIdentityLogonName')
      OR region = CONTEXT('userAttributes.region'));

詳細は、references/authorization-management.md を参照してください。

XSUAA から IAS への移行

SAP は、BTP の認証を XSUAA（SAP Authorization and Trust Management Service）から Cloud Identity Services へ移行しています。推奨される方針は次のとおりです。

• 新しい BTP アプリケーション：Identity service（BTP サービス）と IAS を使用します。Identity service により、IAS での OIDC アプリケーション作成が自動化されます。
• 既存の XSUAA アプリケーション：共存がサポートされています。移行は段階的に進められます。SAP は、後方互換性のために XSUAA を維持しつつ、認証を IAS に移行することを推奨しています。
• 認可：SAP は、新しいアプリケーションで、XSUAA のスコープベースの認可を AMS のポリシーベースの認可に置き換えています。既存のロールコレクションのパターンも引き続きサポートされます。

移行ガイドの全文は、references/xsuaa-to-ias-migration.md を参照してください。

信頼設定

Identity service を使用すると、BTP サブアカウントと IAS の間の信頼関係が自動的に確立されます。手動で設定する場合は、次のとおりです。

• SAML 2.0：SP メタデータ XML を IAS アプリケーションの信頼設定にアップロードします
• OIDC：リダイレクト URI、ログアウト後の URI、クライアント認証を設定します

BTP サブアカウントの信頼

BTP コックピットの セキュリティ > 信頼設定では、サービスバインディングの確立後に IAS テナントが表示されます。Identity service が信頼関係を自動的に作成します。

詳細は、references/troubleshooting.md および references/app-integration-patterns.md を参照してください。

よくあるエラーと解決策

エラー	原因	解決策
Invalid redirect URI	IAS アプリのリダイレクト URI が approuter のコールバック URL と一致しません	IAS アプリ > Trust > Redirect URIs に正確な URI（プロトコルと末尾のスラッシュを含む）を追加します
Token audience mismatch	トークンの aud クレームに想定されるクライアント ID が含まれていません	アプリケーションのクライアント ID が IAS のものと一致することを確認し、Identity サービスのバインディングを確認します
Trust not established	BTP サブアカウントに IAS テナントへの信頼関係がありません	Identity サービスインスタンスを再バインドするか、BTP コックピットで IAS を信頼設定として手動で追加します
Missing role collections	ユーザーに BTP のロールが割り当てられていません	BTP コックピット > Security > Role Collections でロールコレクションを割り当てるか、AMS ポリシーを設定します
401 on service-to-service call	クライアント認証情報が無効か、設定されていません	クライアントシークレット／証明書を再生成し、バインディングの認証情報を確認します
SAML assertion expired	IdP と IAS の間で時刻にずれがあります	システムクロックを同期し、IAS テナントの SAML 設定を確認します
Provisioning job failed	ソースシステムまたはターゲットシステムの接続に問題があります	IPS 管理コンソールでシステムプロパティ、証明書、接続状態を確認します
Issuer mismatch in token	IAS テナントの URL が変更されたか、テナントが誤っています	iss クレームが、BTP の信頼設定で構成された IAS テナント URL と一致することを確認します

同梱リソース

1. references/identity-authentication.md — IAS アプリの登録、OIDC／SAML の設定、企業 IdP のフェデレーション、条件付き認証、ユーザーストア
2. references/identity-provisioning.md — IPS のソース／ターゲット／プロキシシステム、ジョブ、変換、リアルタイムプロビジョニング、トラブルシューティング
3. references/authorization-management.md — AMS ポリシー言語（DCL）、ポリシーのライフサイクル、CAP／BTP との統合、インスタンスベースの認可
4. references/xsuaa-to-ias-migration.md — XSUAA と IAS の選択ガイド、共存、移行手順、ロールコレクションのマッピング
5. references/app-integration-patterns.md — Approuter + IAS、CAP + IAS／AMS、SAPUI5 フロントエンド、サービス間通信向け mTLS／証明書認証
6. references/troubleshooting.md — 信頼関係のエラー、トークン検証の失敗、オーディエンス／発行者の不一致、SAML と OIDC の注意点

ドキュメントへのリンク

• SAP Cloud Identity Services — 主なドキュメント
• What Are Cloud Identity Services — サービスの概要
• Operation Guide — 管理コンソールのガイド
• Configuring Authorization Policies — AMS の管理
• Configuring Provisioning Systems — IPS のセットアップ
• Identity Service of SAP BTP — IAS の自動統合
• CAP IAS/XSUAA Guide — CAP フレームワークとの統合
• SAP-docs GitHub Mirror — プレーンな Markdown 形式のドキュメント