OAuth 2.0 für AS Java konfigurieren

Die OAuth-2.0-Implementierung für SAP NetWeaver AS für Java erlaubt es einer Fremdanbieteranwendung (Client), einen eingeschränkten Zugriff auf eine Web-Anwendung (Ressource) zu erhalten, die auf SAP NetWeaver AS für Java deployt wird. Die OAuth-2.0-Implementierung ermöglicht eine aufeinander abgestimmte Genehmigungsinteraktion zwischen dem Ressourcenverantwortlichen und SAP NetWeaver AS für Java. Weitere Informationen finden Sie unter OAuth-2.0-Autorisierungs-Framework.

• OAuth-Administratorrolle

  Für die Verwendung von Administrationswerkzeugen muss ein OAuth-Administrator die zugeordnete Rolle SAP_OAUTH_ADMIN haben.

• OAuth-Benutzerrolle

  Um Benutzerwerkzeuge verwenden und einem Client den Zugriff auf Benutzerressourcen gewähren zu können, benötigt ein Benutzer die Rolle SAP_OAUTH_USER.

Weitere Informationen über das Zuordnen von Rollen zu Benutzern finden Sie unter Benutzer, Gruppen und Rollen verwalten.

• SAP NetWeaver AS für Java fungiert sowohl als Ressourcenserver, auf dem die Ressourcen gehostet werden, als auch als Autorisierungsserver, der dem Client nach Authentifizierung des Ressourcenverantwortlichen und nach dem Erhalt der Berechtigung Zugriffstoken ausstellt.

• OAuth 2.0 für SAP NetWeaver AS für Java verwendet die dynamischen Berechtigungen der User Management Engine (UME), um den OAuth-Berechtigungsmechanismus zu implementieren. Weitere Informationen finden Sie unter Dynamische Berechtigungen.

  OAuth 2.0 für SAP NetWeaver AS für Java verwendet den Modus DENY_ROLES_WITHOUT_SCOPE der dynamischen UME-Berechtigungen.

• Jede von OAuth 2.0 geschützte Web-Anwendung sollte in ihrem Login-Modul-Stack OAuth2LoginModule einfügen (der Klassenname ist com.sap.security.oauth2.login.OAuth2LoginModule).

  Das OAuth2LoginModule ist für die Authentifizierung eingehender OAuth-2.0-Anforderungen für eine OAuth-2.0-geschützte Web-Anwendung verantwortlich. Weitere Informationen finden Sie unter Configuring the Login Module on the AS Java.

• Die Anforderung einer Berechtigungserteilung für Scopes, die nicht für den beantragenden Client registriert sind, wird fehlschlagen.

• Die Anforderung einer Berechtigungserteilung, bei der vom beantragenden Client keine Scopes angegeben werden, wird fehlschlagen.

• Die vom Autorisierungsserver ausgestellten Token können bis zu 32 Zeichen haben.

• Der vom Autorisierungsserver ausgestellte Berechtigungscode hat 32 Zeichen.