SAP C4C-Agent

Übersicht

• SAP-C4C-Entitäten, Datensätze und Felder über Blockbrain suchen und durchsuchen

• Datensätze in beliebigen abfragbaren oder beschreibbaren C4C-OData-Entitäten erstellen und aktualisieren (Konten, Kontakte, Leads, Opportunities, Aktivitäten, Serviceanfragen/-tickets und kundenspezifische Erweiterungsentitäten)

• Standard- und benutzerdefinierte OData-Sammlungsnamen automatisch aus Beschreibungen in natürlicher Sprache mithilfe des C4C auflösen $metadata Dokument

• CRM- und Servicedatensätze nach Status, Verantwortlichem, Datum, Konto oder einem beliebigen verfügbaren Feld auflisten, filtern und analysieren

• Unterstützung sowohl für standardmäßige SAP-C4C-Entitäten als auch für kundenerweiterte (KUT / SDK) Entitäten

Voraussetzungen

• Schließen Sie die allgemeinen Einrichtungsschritte von der Haupt- KI-Agenten Seite

• Stellen Sie sicher, dass Benutzer aktive SAP-C4C-Konten mit der relevanten Geschäftsrolle und dem Zugriffsbeschränkungskontext haben

• Vergewissern Sie sich, dass Ihr C4C-Tenant den standardmäßigen OData-Endpunkt bereitstellt (/sap/c4c/odata/v1/c4codataapi/) und dass OAuth 2.0 aktiviert ist

• Ein C4C-Administrator mit Berechtigung zur Registrierung von OAuth-2.0-Clients über Anwendungs- und Benutzerverwaltung → OAuth-2.0-Clientregistrierung

Wie sich SAP-Authentifizierung von anderen Agenten unterscheidet

SAP ist kein OAuth mit Browser-Weiterleitung. Jeder andere Blockbrain-Agent (Salesforce, Outlook, Google, Atlassian, …) verwendet OAuth 2.0 Authorization Code — der Benutzer klickt auf Verbinden, wird über https://nango.theblockbrain.ai/oauth/callbackzur Anmeldeseite des Anbieters weitergeleitet, stimmt zu und wird mit einem Zugriffstoken zurückgeleitet.

SAP-Integrationen funktionieren anders: es gibt keine Browser-Weiterleitung, keinen Zustimmungsbildschirm und auf der SAP-Seite ist keine Callback-URL erforderlich. Stattdessen stellt ein SAP-Administrator die Anmeldedaten im SAP-Tenant im Voraus aus, und diese Anmeldedaten werden einmalig in die Blockbrain-Connect-UI eingefügt. Der Agent authentifiziert sich dann Server-zu-Server.

Der SAP-C4C-Agent unterstützt zwei nicht-interaktive Authentifizierungsflüsse. Wählen Sie denjenigen, für den Ihr SAP-C4C-Tenant konfiguriert ist:

Die folgende Konfiguration geht von OAuth 2.0 Client Credentialsaus, was dem von den bestehenden SAP-Integrationen von Blockbrain verwendeten Muster entspricht (z. B. SAP Concur). Wenn Ihr Tenant stattdessen für SAML 2.0 Bearer Assertion eingerichtet ist, siehe den Abschnitt SAML 2.0 Bearer Assertion (Alternative) weiter unten.

SAP C4C OAuth-2.0-Clientregistrierung

Erforderliche OAuth-Konfiguration

Konfigurieren Sie bei der Registrierung Ihres SAP-C4C-OAuth-2.0-Clients Folgendes:

Scope-Klärung: SAP C4C nicht veröffentlicht keine feste Liste von OAuth-Scope-Strings wie Salesforce. Mit dem Client Credentials Ablauf wird die Autorisierung an die Geschäftsrolle und Zugriffsbeschränkung des an den OAuth-Client gebundenen technischen Benutzers delegiert — der C4C-OAuth-Client selbst hat keine Scope-Strings außer denen, die durch die Work-Center-Zuweisungen dieses Benutzers gewährt werden. Blockbrain bittet Sie daher nicht nicht darum, während der Konfiguration eine Scope-Liste einzufügen. [TODO mit Blockbrain Technical PM bestätigen — die Botticelli-Konfiguration könnte für Tenants mit benutzerdefiniert registrierten Scopes dennoch ein optionales Scope-Feld anzeigen.]

Erstellen des SAP-C4C-OAuth-2.0-Clients

1. Melden Sie sich bei SAP Cloud for Customer als Administrator an

2. Öffnen Sie den Anwendungs- und Benutzerverwaltung Arbeitsbereich → OAuth-2.0-Clientregistrierung (Auf älteren Tenants befindet sich dies unter Administrator → Allgemeine Einstellungen → OAuth-2.0-Clientregistrierung.)

3. Klicken Sie auf Neu um einen neuen OAuth-2.0-Client zu erstellen

4. Füllen Sie das Formular aus:

   • Beschreibung / Client-Name: Blockbrain

   • Ausgabeeinstellungen → Methode: Client Credentials

   • Ausgabeeinstellungen → Token-Lebensdauer (Sekunden): auf Standard belassen, sofern Ihre Richtlinie keine kürzere Dauer erfordert

   • Bindung → Benutzer: wählen Sie den dedizierten technischen/Kommunikationsbenutzer aus, als der diese Verbindung handeln soll. (Erstellen Sie zuerst einen über Geschäftsbenutzer falls er noch nicht existiert.) Die Geschäftsrolle des Benutzers bestimmt, welche Entitäten und Felder der Agent lesen und schreiben kann

5. Für Client Credentials ist keine Redirect-URI erforderlich. Lassen Sie das Feld Redirect URI leer, sofern Ihr Tenant nicht ausdrücklich einen Wert erzwingt

6. Klicken Sie auf Speichern — und beachten Sie SAPs Hinweis, dass das Client-Secret nur einmal angezeigt wird

7. Klicken Sie auf Secret anzeigen (oder Secret zurücksetzen) und kopieren Sie das generierte Client-Secret — bewahren Sie es sicher für den nächsten Schritt auf

8. Kopieren Sie auf demselben Bildschirm die Client-ID (automatisch von SAP generiert)

Hinweis zur Tenant-URL: Ihre C4C-Tenant-URL folgt dem Muster https://my{tenant-id}.crm.ondemand.com — z. B. https://my300001.crm.ondemand.com. Sie benötigen diese Basis-URL während des Blockbrain-Konfigurationsschritts; sie wird sowohl als OData-Host als auch zur Ableitung des OAuth-Token-Endpunkts verwendet.

Hinweis zur Redirect-URL: Da der Client-Credentials-Ablauf keine Browser-Weiterleitung hat, https://nango.theblockbrain.ai/oauth/callback ist nicht der standardmäßige Blockbrain-Callback auf der SAP-Seite erforderlich und Sie müssen nicht ihn in C4C auf die Whitelist setzen.

Abrufen Ihrer Anmeldedaten

Nach dem Speichern des OAuth-2.0-Clients in C4C:

1. Öffnen Sie den neu erstellten Client aus der OAuth-2.0-Clientregistrierung Liste

2. Kopieren Sie das Client-ID (oben im Formular sichtbar)

3. Klicken Sie auf Secret anzeigen um das Client-Secret anzuzeigen — kopieren Sie es sofort, da SAP das Secret pro Generierung nur einmal anzeigt

4. Notieren Sie sich die Tenant-URL (https://my{tenant-id}.crm.ondemand.com) — Blockbrain leitet daraus automatisch den OAuth-Token-Endpunkt ab (/sap/bc/sec/oauth2/token) [TODO Ableitungslogik mit Botticelli-Konfiguration bestätigen]

Wichtig: Nach dem Erstellen eines neuen OAuth-Clients in SAP C4C kann es einige Minuten dauern, bis die Konfiguration übernommen wurde. Wenn die Verbindung unmittelbar nach der Aktivierung fehlschlägt, warten Sie kurz und versuchen Sie es erneut. [TODO typische Übertragungsdauer für C4C bestätigen]

SAP-C4C-Agent-Konfiguration in Blockbrain

Verbindungsdetails

• Auth-Flow: OAuth 2.0 Client Credentials (keine Browser-Weiterleitung, keine Zustimmung durch den Endbenutzer)

• Redirect-URL auf der SAP-Seite: nicht erforderlich

• Tenant-URL: https://my{tenant-id}.crm.ondemand.com

• Anmeldedaten, die Sie in Blockbrain einfügen:

  • Tenant-URL / Host

  • Client-ID

  • Client-Secret

• Im Hintergrund: Blockbrain (über Nango) stellt eine Server-zu-Server- client_credentials Token-Anfrage an https://my{tenant-id}.crm.ondemand.com/sap/bc/sec/oauth2/token und speichert das resultierende Zugriffstoken; Token werden automatisch erneuert, sobald sie ablaufen

Konfigurationsschritte

1. Agenteneinstellungen aufrufen:

   • Navigieren Sie zu Ihrem Blockbrain-Admin-Panel

   • Gehen Sie zu Admin > Agenten > Tools

   • Suchen Sie SAP-C4C-Tools (oder SAP-Tools) und aktivieren Sie den Schalter [TODO genauen UI-Text bestätigen]

   • Klicken Sie auf Installieren (oder das Zahnradsymbol für die Konfiguration)

2. Geben Sie die SAP-C4C-Verbindungsdetails ein:

   • Tenant-URL / Host: fügen Sie Ihre C4C-Basis-URL ein, z. B. https://my300001.crm.ondemand.com [TODO Feldname in Botticelli bestätigen]

   • Client-ID: fügen Sie die Client-ID aus dem Bildschirm zur C4C-OAuth-2.0-Clientregistrierung ein

   • Client-Secret: fügen Sie das Client-Secret aus C4C ein (verwenden Sie das Augensymbol, um die Sichtbarkeit umzuschalten)

3. Zusätzliche Konfiguration (optional):

   • Konfigurieren Sie benutzerdefinierte Schlüssel-Wert-Paare für spezielle organisatorische Anforderungen (z. B. einen nicht standardmäßigen OData-Dienstpfad, wenn Ihr Tenant einen angepassten Erweiterungsdienst verwendet) [TODO bestätigen, ob der Agent benutzerdefinierte OData-Dienstpfade unterstützt]

   • Richten Sie bei Bedarf organisationsspezifische Zugriffsbeschränkungen für Datensätze ein

4. Konfiguration speichern:

   • Klicken Sie auf Speichern um alle Einstellungen zu übernehmen

   • Warten Sie auf die Bestätigungsmeldung

Kein Pop-up-Fenster „Verbinden“. Anders als bei den Outlook-/Salesforce-/Google-Flows sehen Sie kein Browser-Pop-up, das Sie zu einem SAP-Login-Bildschirm weiterleitet. Beim ersten Aufruf von C4C tauscht Blockbrain die Client-Anmeldedaten im Hintergrund gegen ein Zugriffstoken aus und fährt fort.

Abschnitt SAML 2.0 Bearer Assertion (Alternative)

Wenn Ihr C4C-Tenant für OAuth 2.0 mit dem SAML 2.0 Bearer Assertion Grant-Typ statt Client Credentials konfiguriert ist, entspricht die Einrichtung der Art und Weise, wie Blockbrain SAP SuccessFactors heute handhabt:

1. Registrieren Sie in C4C Ihren OAuth-2.0-Client mit Ausgabeeinstellungen → Methode = SAML 2.0 Bearer Assertion und laden Sie das X.509-öffentliche Zertifikat hoch, das mit dem privaten Schlüssel gekoppelt ist, mit dem Sie Assertions signieren werden

2. Erzeugen Sie lokal einen 2048-Bit-RSA-Privatschlüssel und ein selbstsigniertes X.509-Zertifikat und registrieren Sie das Zertifikat beim OAuth-Client:

3. Erstellen Sie für jeden authentifizierenden Benutzer eine Base64-kodierte SAML-2.0-Bearer-Assertion, signiert mit private.pem. Der Empfänger der Assertion muss https://my{tenant-id}.crm.ondemand.com/sap/bc/sec/oauth2/token sein, und die Assertion muss auf den C4C- Geschäftsbenutzer verweisen, als der der Agent handeln soll

4. In Blockbrain fügen Sie ein:

   • Tenant-URL / Host

   • Client-ID

   • Firmen-/Geschäftsbenutzer-ID [TODO genauen Feldnamen bestätigen]

   • SAML 2.0 Bearer Assertion (Base64)

5. Speichern. Blockbrain (über Nangos zweistufigen Ablauf) sendet die Assertion per POST an den C4C-Token-Endpunkt mit grant_type=urn:ietf:params:oauth:grant-type:saml2-bearer und speichert das resultierende Token

Wann dieser Ablauf gewählt werden sollte: Wählen Sie SAML 2.0 Bearer, wenn (a) Sie Agentenaktionen auf einen bestimmten benannten Geschäftsbenutzer statt auf einen einzelnen technischen Benutzer beschränken müssen oder (b) Ihre IT-Richtlinie den Client-Credentials-Grant für SAP-Integrationen verbietet. Andernfalls ist Client Credentials einfacher zu betreiben.

Testen des SAP-C4C-Agenten

Verifizierungsschritte

Verbindungstest:

• Verwenden Sie das integrierte Verbindungstest-Tool von Blockbrain

• Verifizieren Sie, dass die erste Token-Anfrage an /sap/bc/sec/oauth2/token erfolgreich ist und ein Token gespeichert wird

Datensatzzugriff:

• Lassen Sie einen Testbenutzer den Agenten auffordern, Datensätze für eine bekannte Entität aufzulisten (z. B. Konten, Kontakte, oder Opportunities)

• Verifizieren Sie das Abrufen von Datensatzinhalten (z. B. das Lesen der Felder eines bestimmten Leads oder Tickets)

Erstellungsfunktion:

• Testen Sie das Erstellen eines neuen Datensatzes in einer sicheren/Testentität (z. B. einem Sandbox- Lead)

• Verifizieren Sie, dass schreibgeschützte Felder aus der Nutzlast ausgeschlossen werden

• Bestätigen Sie, dass der neue Datensatz in C4C erscheint

Aktualisierungsfunktion:

• Testen Sie die Aktualisierung eines vorhandenen Datensatzfelds (z. B. einer Opportunity-Phase oder einer Kontakt-Telefonnummer)

• Bestätigen Sie, dass die Änderung direkt in C4C angezeigt wird

Entitätsermittlung:

• Bitten Sie Blockbrain, eine Entität anhand einer Bezeichnung zu identifizieren (z. B. „Service Tickets“ oder „Sales Quotes“)

• Verifizieren Sie, dass der Agent sie korrekt in den C4C-OData-Sammlungsnamen auflöst (z. B. ServiceRequestCollection, SalesQuoteCollection)

• Bestätigen Sie, dass der aufgelöste Name in einer nachfolgenden Operation verwendet wird

Häufige Anwendungsfälle der Integration

Lead- und Kontaktverwaltung

• Lead-Suche: Leads nach Name, Status, Konto, Qualifikationsstufe oder Erstellungsdatum finden und filtern

• Kontaktabfrage: Kontaktdetails für ein beliebiges Konto oder eine Person abrufen

• Datensatzerstellung: Neue Leads oder Kontakte direkt aus einer Blockbrain-Konversation hinzufügen

Konto- und Opportunity-Verwaltung

• Kontorecherche: Vollständige Kontodetails, zugehörige Kontakte und offene Opportunities abrufen

• Pipeline-Tracking: Opportunities nach Vertriebsphase, erwartetem Abschlussdatum oder Verantwortlichem auflisten

• Deal-Updates: Opportunity-Vertriebsphasen, erwartete Umsätze oder Abschlussdaten aktualisieren, ohne den Chat zu verlassen

Service und Ticketing

• Ticket-Triage: Offene Service-Tickets nach Priorität, Bearbeiter oder Servicekategorie abrufen

• Ticket-Updates: Ticketstatus ändern, Notizen hinzufügen oder den verantwortlichen Bearbeiter direkt aus dem Chat neu zuweisen

• Aktivitätsprotokollierung: Termine, Telefonanrufdatensätze oder Aufgaben erstellen, die Konten oder Tickets zugeordnet sind

CRM-Datenanalyse

• Datensatzzusammenfassungen: Strukturierte Zusammenfassungen beliebiger C4C-Datensätze erhalten

• Feldextraktion: Bestimmte Feldwerte über mehrere Datensätze hinweg extrahieren

• Unterstützung benutzerdefinierter Entitäten: Tenant-spezifische Erweiterungsentitäten (KUT / SDK) anhand von Beschreibungen in natürlicher Sprache abfragen und verwalten

Fehlerbehebung

Authentifizierungsprobleme

Warum gibt es kein Browser-Pop-up?

Anders als Salesforce oder Outlook verwendet SAP C4C einen Server-zu-Server-Token-Grant. Es gibt keinen OAuth-Zustimmungsbildschirm, keine Benutzerweiterleitung und keine https://nango.theblockbrain.ai/oauth/callback Whitelist-Einträge auf der SAP-Seite. Wenn Sie nach dem Drücken von nach einer „Bei SAP anmelden“-Schaltfläche suchen Speichern, ist das erwartetes Verhalten — die Verbindung ist bereits aktiv, sobald die erste Token-Anfrage erfolgreich ist.

Datensatzzugriffsfehler

Feld- und Schreibfehler

SAML-2.0-Bearer-Assertion-spezifische Probleme

(Gilt nur, wenn Sie den SAML-2.0-Bearer-Assertion-Ablauf gewählt haben.)

Sicherheit und Compliance

Datenschutz

• Datensatzsicherheit: Alle SAP-C4C-Daten werden gemäß den Sicherheitsrichtlinien von Blockbrain verarbeitet

• Feldprivatsphäre: Der Zugriff auf Feldebene berücksichtigt das C4C-Geschäftsrollen- und Zugriffsbeschränkungsmodell

• Tokensicherheit: OAuth-Tokens werden in Nango sicher gespeichert und verschlüsselt — Anmeldedaten werden Endbenutzern niemals offengelegt

• Geheimnis-Hygiene: Das C4C-OAuth-Client-Secret wird verschlüsselt gespeichert; wenn es jemals offengelegt wird, rotieren Sie es in C4C und fügen Sie es in Blockbrain erneut ein

Compliance-Überlegungen

• DSGVO-Konformität: Der Zugriff auf CRM-Datensätze und deren Verarbeitung erfolgt gemäß den DSGVO-Anforderungen

• Datenaufbewahrung: Keine SAP-C4C-Datensatzinhalte werden dauerhaft von Blockbrain gespeichert — Daten werden in Echtzeit verarbeitet

• Audit-Protokollierung: Alle Aktivitäten des SAP-C4C-Agenten werden für die Compliance-Berichterstattung auf der Blockbrain-Seite protokolliert. Außerdem erscheint jeder OData-Aufruf im C4C-Audit-Log unter dem zugeordneten technischen/Kommunikationsbenutzer — Ihr C4C-Administrator kann jede Aktion, die der Agent ausführt, bis zu dieser einzelnen Identität zurückverfolgen

Zugriffskontrolle

• Modell mit technischem Benutzer (Client Credentials): jeder Agentenaufruf übernimmt die Geschäftsrolle und Zugriffsbeschränkung des technischen Benutzers, der mit dem OAuth-Client verknüpft ist — eine Privilegieneskalation ist nicht möglich. Wählen Sie die Rolle des Benutzers sorgfältig aus — sie setzt eine harte Obergrenze dafür, was der Agent jemals tun kann

• Benutzermodell (SAML 2.0 Bearer Assertion): jeder Agentenaufruf ist auf den in der Assertion identifizierten benannten Geschäftsbenutzer beschränkt — am besten für Mandanten, die eine benutzerspezifische Nachverfolgbarkeit in Audit-Logs benötigen

• Sicherheit auf Entitätsebene: Berücksichtigt die C4C-Arbeitsbereichs- und Ansichtszuweisungen

• Sicherheit auf Feldebene: Schreibgeschützte und zugriffsbeschränkte Felder werden automatisch identifiziert und von Schreibvorgängen ausgeschlossen

Nächste Schritte

Nach erfolgreicher Konfiguration des SAP C4C Agent:

1. Benutzerschulung: Teilen Sie das SAP-C4C-Agent-Benutzerhandbuch mit den Endanwendern

2. Berechtigungsprüfung: Überprüfen Sie regelmäßig die Geschäftsrolle des zugeordneten technischen Benutzers (Client Credentials) oder die vom IdP ausgestellten Zertifikate (SAML Bearer), um sicherzustellen, dass sie weiterhin angemessen sind

3. Integrationsüberwachung: Überwachen Sie die OAuth-Verbindung auf kontinuierliche Funktionsfähigkeit — insbesondere das Ablaufdatum des Client Secret und die Gültigkeit des X.509-Zertifikats

4. Funktionsadoption: Ermutigen Sie Teams, Lead-Management, Pipeline-Tracking, Ticket-Triage und benutzerdefinierte Entitäten zu nutzen

Support und Ressourcen

Für Unterstützung bei der Konfiguration des SAP C4C Agent:

• Blockbrain-Support: Kontaktieren Sie Ihren Customer Success Manager für funktionsspezifische Hilfe

• SAP-Dokumentation: Verweisen Sie auf die SAP Cloud for Customer OData API-Dokumentation und das SAP-C4C OAuth-2.0-Clientregistrierung Hilfethema [TODO durch den aktuellen C4C-OAuth-Hilfelink ersetzen] für detaillierte Informationen zu Berechtigungen

• SAP C4C-Administratoren: Für OAuth-Client-Richtlinien auf Mandantenebene, Bereitstellung von Kommunikationsbenutzern und Zuweisung von Geschäftsrollen wenden Sie sich an Ihren SAP C4C-Administrator