基于OAuth认证实现SAP API Management与SuccessFactors的连接

一、可行的SAML持有者断言生成方案 #

并非只有离线工具或Microsoft Azure这两个选项，以下两种方案更适配SAP生态的集成场景：

• SAP Cloud Identity Services (SCIS) 生成断言
  这是SAP官方推荐的替代方案，完美适配SuccessFactors与APIM的集成需求：
  1. 在SCIS中创建OAuth客户端，配置信任关系指向SuccessFactors的SP实体ID
  2. 使用客户端ID和密钥调用SCIS的令牌端点，请求urn:ietf:params:oauth:grant-type:saml2-bearer类型的令牌，直接获取符合要求的SAML断言
• APIM内置脚本动态生成断言
  利用APIM的Groovy/JavaScript脚本策略，在代理流程内直接生成并签名SAML断言：
  1. 提前准备签名证书，并在SuccessFactors侧配置信任该证书
  2. 在APIM的PreFlow或自定义流中添加脚本策略，构建包含issuer、subject、audience等必要字段的SAML断言XML结构，并用证书完成签名

二、集成到APIM代理策略的具体步骤 #

方案1：集成SCIS生成断言 #

1. 添加Send Request策略调用SCIS令牌端点：

   <SendRequest async="false" continueOnError="false" enabled="true" xmlns='http://www.sap.com/apimgmt'>
       <HttpRequest>
           <Set>
               <Headers>
                   <Header name="Content-Type">application/x-www-form-urlencoded</Header>
               </Headers>
               <FormParams>
                   <FormParam name="grant_type">urn:ietf:params:oauth:grant-type:saml2-bearer</FormParam>
                   <FormParam name="client_id">你的SCIS客户端ID</FormParam>
                   <FormParam name="client_secret">你的SCIS客户端密钥</FormParam>
                   <FormParam name="assertion">生成的SAML断言</FormParam>
                   <FormParam name="scope">你的SuccessFactors权限范围</FormParam>
               </FormParams>
           </Set>
           <URL>https://你的SCIS租户.accounts.ondemand.com/oauth2/token</URL>
       </HttpRequest>
       <Response>scis-token-response</Response>
   </SendRequest>
   

2. 添加Extract Variable策略，从SCIS响应中提取SAML断言，供后续OAuth流程使用
3. 将提取的断言传入调用SuccessFactors令牌端点的请求参数中

方案2：APIM脚本生成断言 #

1. 添加Groovy脚本策略（示例片段）：

   import com.sap.gateway.ip.core.customdev.util.Message
   import org.opensaml.saml2.core.Assertion
   import org.opensaml.saml2.core.impl.AssertionBuilder
   
   def message = message as Message
   // 自定义方法构建并签名SAML断言，需引入OpenSAML依赖
   def samlAssertion = buildAndSignSamlAssertion()
   message.setProperty("saml_assertion", samlAssertion)
   

2. 在后续Send Request策略中，引用saml_assertion属性作为参数传递给SuccessFactors的OAuth端点
3. 在SuccessFactors管理后台，将脚本使用的签名证书添加到信任列表

三、关键注意事项 #

• 确保SAML断言的issuer、audience、subject等字段完全匹配SuccessFactors的SP配置要求
• 定期监控签名证书有效期，避免因证书过期导致集成中断
• 生产环境优先选择SCIS方案，比自定义脚本更稳定且便于维护

内容的提问来源于stack exchange，提问作者VoiceOfReason