在 SAP BTP 上配置云到云/云到本地连接…

当需要配置 SAP BTP Destination、Cloud Connector、OAuth/Principal Propagation、RFC/LDAP/MAIL/TCP 连接，或在 Kyma/Kubernetes 中部署连接代理并排查 405/407/503 等连接错误时使用。

适用场景

解决思路

1. 创建 HTTP Destination（Cloud Foundry）：在 BTP Cockpit 中进入 Connectivity > Destinations，选择 Create > From Scratch，配置 Name、Type: HTTP、URL、ProxyType: Internet、Authentication: OAuth2ClientCredentials，并填写 clientId、clientSecret、tokenServiceURL。
2. 安装 Cloud Connector：从 SAP Tools 下载，访问 https://localhost:8443，使用 Administrator/manage 登录并立即修改密码，然后添加 subaccount 连接。
3. 在应用中访问 Destination（Node.js）：使用 @sap-cloud-sdk/connectivity 的 getDestination({ destinationName: 'my-destination' }) 获取目标。
4. 云到云场景：设置 ProxyType: Internet，认证使用 OAuth2ClientCredentials 或 OAuth2SAMLBearerAssertion。
5. 云到本地场景：设置 ProxyType: OnPremise，认证使用 BasicAuthentication 或 PrincipalPropagation，并需在本地网络安装 Cloud Connector。
6. 本地到云场景：通过 Cloud Connector 的 Service Channels 让本地系统访问 SAP BTP 服务。
7. 按 Destination 类型配置：HTTP 用于 REST/OData API（Internet/OnPremise，OAuth2/Basic/证书）；RFC 用于 SAP 系统（OnPremise，Basic/PrincipalPropagation）；LDAP 用于目录服务（Internet，Basic/NoAuth）；MAIL 用于邮件协议（Internet，Basic/NoAuth）；TCP 用于通用 TCP（OnPremise，Basic）。
8. 配置 OAuth2ClientCredentials（服务到服务）：设置 Authentication: OAuth2ClientCredentials，并提供 clientId、clientSecret、tokenServiceURL。
9. 配置 OAuth2SAMLBearerAssertion（用户传播）：设置 Authentication: OAuth2SAMLBearerAssertion，并提供 audience、clientKey、tokenServiceURL、KeyStoreLocation。
10. 配置 PrincipalPropagation（本地 SSO）：设置 Authentication: PrincipalPropagation 和 ProxyType: OnPremise，并需在 Cloud Connector 中生成 X.509 证书。
11. Cloud Connector 安装方式：生产环境使用 Windows MSI/Linux RPM 包（注册为服务），开发环境使用便携归档（手动运行）。
12. Cloud Connector 初始配置：访问 https://<hostname>:8443，使用 Administrator/manage 登录，立即修改密码，选择 Master 或 Shadow 模式，添加 subaccount 连接。
13. 配置 Cloud Connector 访问控制：选择 Backend Types（ABAP System、SAP Gateway、Non-SAP System、SAP HANA），并配置 HTTP Access Control（系统映射 + 资源路径 + 策略）。
14. 配置 Cloud Connector 高可用：使用 Master-Shadow 模式（主 + 备，配置同步），要求网络稳定、机器分离、版本一致。
15. 在 Kubernetes/Kyma 中安装 Connectivity Proxy：执行 helm install connectivity-proxy oci://registry-1.docker.io/sapse/connectivity-proxy --version <version> --namespace <namespace> -f values.yaml。
16. 在 Kubernetes/Kyma 中安装 Transparent Proxy：执行 helm install transparent-proxy oci://registry-1.docker.io/sapse/transparent-proxy --version <version> --namespace <namespace> -f values.yaml；通过创建 Destination Custom Resource 并以 Kubernetes Service 方式访问。
17. 排查 HTTP 错误码：400 检查请求语法；401 校验凭据/令牌；405 改用 http:// 并加端口 20003；407 添加 Proxy-Authorization: Bearer <token>；503 检查 Cloud Connector 连接与 Location ID。
18. 排查 Cloud Connector 无法连接 subaccount：验证 region host URL、检查防火墙是否允许出站 HTTPS、验证 subaccount 凭据。
19. 排查 Cloud Connector 资源访问被拒：检查访问控制配置、验证虚拟主机映射、检查资源路径策略。
20. Cloud Connector 安全实践：部署在 DMZ 并由 IT 管控，立即修改默认密码，配置 LDAP 用户管理，启用审计日志（生产环境为 All 级别），部署高可用（master + shadow）。
21. Destination 安全实践：优先使用 OAuth 而非 Basic 认证，凭据存储在 Destination Service 而非代码中，所有连接启用 TLS，使用 mTLS 增强安全性。
22. 必须遵守：立即修改 Cloud Connector 默认密码；所有外部连接使用 HTTPS；暴露资源前先配置访问控制；生产环境启用审计日志；合理缓存令牌和 Destination。
23. 禁止事项：不要将 Cloud Connector UI 暴露到互联网；不要在应用代码中存储凭据；不要跳过访问控制配置；不要修改 Cloud Connector Tomcat 配置文件；不要运行多个 master 实例（避免脑裂）。

适用边界 · 注意事项

• 不涉及 SAP BTP 或 SAP 生态系统的连接配置场景
• 没有 Cloud Connector 或 SAP BTP 账号/订阅时无法执行相关配置
• 非 SAP 的通用 Kubernetes 网络代理场景