SAP PI: Benutzer für den Nachrichtenaustauch (Kommunikationsuser)

Motivation

Für die Kommunikation externer Applikationen bzw. Systeme mit SAP PI empfiehlt es sich sog. technische Benutzer (Service User) zu verwenden. Sie sind nicht an eine bestimmte Person gebunden, können sich nicht einloggen (wie etwa Dialog User) und laufen nicht ab. Zudem erleichtert die Verwendung verschiedener Kommunikationsuser später das Monitoring und die Fehlersuche.

Benutzertypen

In SAP PI gibt es zwei Benutzertypen:

• Dialog User:
  Repräsentieren „menschliche“ Benutzer, die Zugriff auf die PI Tools (ESR, ID oder SLD) benötigen
• Service User:
  Technische Benutzer, die eine Kommunikation zwischen den verschiedenen PI Komponenten ermöglichen. Das gilt sowohl für die interne Kommunikation, als auch für die Kommunikation von externen Applikationen mit dem PI, aka Message Exchange.

Kommunikationsuser für PI

Damit eine Anwendung mit dem PI kommunizieren kann, verbindet sie sich entweder mit der Adapter Engine (J2EE Stack), oder direkt mit der Integration Engine (ABAP-Stack). Bei der Standard-Installation von PI ist es notwendig dem Benutzer die Rolle SAP_XI_APPL_SERV_USER im ABAP Stack zuzuweisen. Für die Verwendung der Advanced Adapter Engine Extended (AEX) bzw. die J2EE Stand-Alone-Installation siehe User Management for AEX.

Die Rolle SAP_XI_APPL_SERV_USER beinhaltet automatisch die Berechtigung zur Ausführung des IDOC-Adapters und des Plain-HTTP-Adapters! Desweiteren ist sie ausreichend zur Kommunikation mit folgenden Komponenten:

• ABAP Proxy Sender und Empfänger
• Java Proxy Sender und Empfänger
• Advanced Adapter Engine (AAE)
• Integration Server

Während der Installation von SAP PI wird der Benutzer PIAPPLUSER angelegt und die Rolle SAP_XI_APPL_SERV_USER zugewiesen. PIAPPLUSER sollte als Referenzkopie für weitere Kommunikationsuser verwendet werden.

Für die AAE und das PCK (Partner Connectivity Kit) wird die Rolle xi_af_receiver der Komponente sap.com/com.sap.aii.af.ms.app*MessagingSystem für die Verarbeitung eingehender Nachrichten benötigt.

Links:

SAP Help Portal: SAP Netweaver PI

SAP Help Portal : Message Exchange

SAP Help Portal: SAP NetWeaver Process Integration Security Guide (> User Management and Authorization Concepts)

SAP NetWeaver 7.3.1 Process Integration Troubleshooting Guide (7.3, 7.11)

Motivation

It is a good idea to use so called technical users (aka service users) for the message exchange of external application with SAP Netweaver Process Integration (PI). Why? Because they have several advantages compared with a ‚human‘ user (aka dialog user): they are not bound to an individual person, they cannot login to the PI system and their password will not expire. Furthermore, especially in a productive environment, different communication users for different applications or scenarios simplify monitoring and troubleshooting.

Types of users

Pi distinguish mainly between the following user types:

• Dialog User:Human users that need access to PI tools like (ESR, ID oder SLD)
• Service User:Technical users that enable the communication between the different PI components. They are used for the internal communication and for the Message Exchange with external applications or systems as well.

Communication user for PI

An external application or system usually wants to connect to the Adapter Engine (running on the J2EE stack) or directly with the Integration Engine (running on the ABAP stack). To enable the communication with the ABAP stack, you have to assign the role  SAP_XI_APPL_SERV_USER to a communication user. For communication with the Advanced Adapter Engine Extended (AEX) which is the J2EE Stand-Alone-Installation of PI, please have a look at User Management for AEX.

The role SAP_XI_APPL_SERV_USER includes the execution of the IDOC and the Plain-HTTP-Adapters! Furthermore it enables the communication with the following PI components:

• ABAP proxy sender and receiver
• Java proxy sender and receiver
• Advanced Adapter Engine (AAE)
• Integration Server

To create a communication user, you can use the user PIAPPLUSER as a master copy, which is created during the installation of PI – it has already the role SAP_XI_APPL_SERV_USER assigned.

For the AAE and the PCK (Partner Connectivity Kit) you have to assign the role xi_af_receiver of component sap.com/com.sap.aii.af.ms.app*MessagingSystem to enable execution of incoming messages.

Links:

SAP Help Portal: SAP Netweaver PI

SAP Help Portal : Message Exchange

SAP Help Portal: SAP NetWeaver Process Integration Security Guide (> User Management and Authorization Concepts)

SAP NetWeaver 7.3.1 Process Integration Troubleshooting Guide (7.3, 7.11)