SAP-Systeme und -Module lassen sich an LDAP-fähige Verzeichnisdienste wie Microsoft Active Directory und OpenText eDirectory (ehemals Novell eDirectory) anbinden. Vorteile sind eine konsistente Datenbasis, Wegfall doppelter Pflegeaufwände und vereinfachte Registrierungsprozesse.
Verzeichnisdienste und LDAP-Protokoll
Verzeichnisdienste (englisch Directories) bilden die gesamte Struktur eines Unternehmens IT-seitig ab. Ausgehend von einem „Root Directory” verzweigen sie baumartig in Länder, Organisationen, Organisationseinheiten und Individuen (Benutzer, Personen und technische Assets aller Art wie PCs, Drucker, Server etc.) Ein verbreiteter Verzeichnisdienst ist Microsoft Active Directory mit den Active Directory Domain Services (AD DS) als zentraler Komponente. Das frühere Novell eDirectory wird heute unter dem Namen OpenText eDirectory angeboten.
Mittels des Netzwerkprotokolls LDAP (= Lightweight Directory Access Protocol) lässt sich die Baumstruktur verteilter Verzeichnisse einfach durchsuchen und darauf Abfragen und Änderungen durchführen. Oftmals verwechselt, ist LDAP also nicht das Verzeichnis selbst, sondern ein Protokoll, welches Informationen eines LDAP-Verzeichnisses abfragt. Es ging hervor aus dem deutlich umfangreicheren X.500-Standard und wurde an der Universität von Michigan entwickelt. Dort definierten Forscher 1993 erstmals ein Vorschlag für eine vereinfachte Variante des DAP (Directory Access Protocol) als RFC.
LDAP-Verzeichnisse bestehen aus hierarchisch angeordneten Einträgen, die durch Attribute beschrieben werden. Objektklassen und ein Verzeichnisschema legen fest, welche Attribute für die jeweiligen Einträge vorgesehen sind. Mittlerweile hat sich LDAP als De-facto-Standard für den Umgang mit Verzeichnisdiensten etabliert. Die bekannteste und meistverbreitete LDAP-Implementierung stellt heute Microsoft AD dar.
Anwendungsbereich von SAP LDAP
Anwendungsfälle für LDAP sind die Verwaltung von Benutzern und Systemen, Protokoll- und RFC-Zuordnungen, Boot-Informationen, die Organisation von Alias-Namen in E-Mail-Systemen und DHCP- (Dynamic Host Configuration Protocol)-Servern sowie die Verwaltung von DNS-Zonendaten. So beinhaltet das LDAP-Verzeichnis in Windows AD sämtliche Informationen über Benutzer, Computer, deren Gruppenzugehörigkeit sowie weitere Objekte wie zum Beispiel die Zertifikate eines Computers.
In dieser SAP Solution Manager Schulung vermitteln wir Ihnen die Funktionsweise des SAP Solution Managers. Sie erhalten das nötige Know-how, um selbst die Einführung des SAP SolMan durchzuführen.
Über eine LDAP-Anbindung können andere Anwendungen wie SAP-Systeme, Personalmanagementsysteme oder DMS-Lösungen auf LDAP-Verzeichnisse zugreifen und Benutzerinformationen für ihre eigene Verwaltung nutzen. SAP-spezifische Rollen und Berechtigungen werden dabei weiterhin separat gesteuert.
Für die Anbindung wird der Verzeichnisserver über die Transaktion LDAP konfiguriert. Über LDAPMAP lassen sich SAP-Datenfelder den Attributen des Verzeichnisdienstes zuordnen und die Synchronisierungsrichtung festlegen. Die Synchronisierung kann anschließend über den Report RSLDAPSYNC_USER erfolgen.
Für die technische Verbindung empfiehlt SAP das ICM-LDAP-Plug-In anstelle des älteren LDAP Connectors. Es unterstützt unter anderem verschlüsselte Verbindungen über LDAPS oder StartTLS.
Szenario Personalverwaltung
In SAP besteht die Möglichkeit, HR-Daten einem LDAP-Verzeichnis bereitzustellen. Die Daten werden im HR-System über eine Suchfunktion bzw. über einen ABAP-Report beschafft und/oder im System aufbereitet (Abbilden von Suchfeldern auf logische SAP-Datenfelder). Anschließend werden sie im LDAP-Verzeichnisdienst zur Verfügung gestellt.
Je nach Konfiguration kann der Datenaustausch zwischen SAP und LDAP in eine oder beide Richtungen erfolgen. So können Änderungen von Beschäftigtenstammdaten (Adresse, Telefonnummer) automatisch zwischen Verzeichnisdienst und Personalsoftware transferiert werden. Welches System dabei führend ist, hängt von der jeweiligen Systemlandschaft und den festgelegten Datenflüssen ab. Wird SAP HCM als führendes System für Personaldaten verwendet, können diese Informationen an einen Verzeichnisdienst übertragen und für die anschließende Benutzeranlage genutzt werden. Die Erstellung von AD-Konten erfordert einen entsprechend eingerichteten Provisionierungsprozess. Diese Anbindung ist insbesondere für bestehende SAP-NetWeaver-Portal-Landschaften relevant.
Vorteile von SAP LDAP
Durch die Bereitstellung im LDAP-Verzeichnis kann ein Unternehmen seine HR-Daten applikations- und plattformübergreifend nutzbar machen; der Zugriff darauf findet über ein standardisiertes Protokoll statt. Die Zugriffsrechte auf die Daten orientieren sich dabei an den für einen Benutzer definierten Berechtigungen.
Benutzerinformationen können zwischen SAP und einem LDAP-Verzeichnis synchronisiert und für die Benutzerverwaltung genutzt werden. Die Berechtigungsstruktur der jeweiligen Anwendung bleibt dabei grundsätzlich eigenständig. Dadurch lässt sich der Aufwand für die zusätzliche manuelle Erfassung und Pflege von Benutzerdaten reduzieren.
Auch Anmelde- und Registrierungsprozesse können durch eine zentrale Benutzerverwaltung vereinfacht werden. LDAP allein stellt jedoch kein Single Sign-On bereit. Für eine einheitliche Anmeldung über mehrere Systeme sind zusätzliche Authentifizierungsverfahren erforderlich. Bei der LDAP-Benutzersynchronisierung in ABAP-Systemen werden Passwörter nicht automatisch übertragen.
In modernen SAP-Landschaften übernehmen auch die SAP Cloud Identity Services Aufgaben bei der Identitätsverwaltung und Authentifizierung. Über Identity Provisioning lässt sich beispielsweise Microsoft Active Directory als Quelle für Benutzer- und Gruppeninformationen einbinden.
Websession: SAP LDAP
Sollten Sie Fragen zu SAP LDAP oder auch weiteren Umstellungsprojekten haben, dann vereinbaren Sie eine kostenlose Websession mit uns. Ich freue mich auf den Austausch mit Ihnen.
Einführung & Best Practices
Sie haben Fragen zur Anbindung des bestehenden SAP NetWeaver Portals, des HCM-Moduls für Personalverwaltung oder weiterer SAP-Komponenten an LDAP? Profitieren Sie von Best Practices erfahrener Experten und Berater von mindsquare! Wir sind ein Technologie-Beratungsunternehmen, das sich auf die Beratung und Entwicklung im SAP- und Salesforce-Umfeld spezialisiert hat. Unsere SAP-Berater beschäftigen sich seit vielen Jahren intensiv mit Technologien rund um die LDAP-Anbindung und unterstützen Sie auf Basis unserer langjährigen Projekterfahrung bei der Entwicklung und Implementierung von Berechtigungs-Self-Service-Anwendungen. Vereinbaren Sie ein unverbindliches Beratungsgespräch und machen Sie den nächsten Schritt in Ihrer digitalen Transformation.
Dieser Artikel erschien bereits im September 2024. Der Artikel wurde am 28.10.2026 erneut geprüft und mit leichten Anpassungen aktualisiert.
