ファンデーションサービス：概要と機能マップ

JinJin48

SAP Consultant | BTP · S/4HANA · US Global Rollout

May 12, 2026 · 25 min read

本記事の位置づけ#

参考資料#

1) 基盤サービスランドスケープ#

SAP Learning によると、Foundation Services は「プラットフォーム上のすべてのアプリケーションとサービスを実行、管理、保護、拡張するために必要な基本機能を提供する、不可欠かつ横断的なサービスの集合体」です。これらは独立した製品階層ではなく、SAP BTP アカウントにバンドルされており、すべてのアプリケーションドメインの前提条件レイヤーとして存在します。

これらは代替ではありません。プロジェクトでは、ビジネスアプリケーションが稼働する前に、4つのグループすべてが運用可能である必要があります。

2) S/4HANA への接続方法#

Foundation Services は、SAP BTP プラットフォーム層とビジネスアプリケーション（SAP S/4HANA Cloud、オンプレミス S/4HANA、または BTP 拡張機能のいずれか）の間に位置します。以下の図は、一般的な SAP S/4HANA 拡張シナリオと、各 Foundation Service が動作する場所を示しています。

┌─────────────────────────────────────────────────────────────┐
│                    SAP BTP (Cloud)                          │
│                                                             │
│  ┌──────────────┐   ┌────────────────────────────────────┐  │
│  │ BTP Extension│   │       Foundation Services          │  │
│  │ Application  │◄──│  IAS (AuthN) → XSUAA/AMS (AuthZ)  │  │
│  │ (CF / Kyma)  │   │  Destination Svc → Cloud Connector │  │
│  └──────┬───────┘   │  Cloud ALM (Monitoring)            │  │
│         │           │  cTMS (Artifact Transport)         │  │
│         │           └────────────────────────────────────┘  │
│         │                                                   │
└─────────┼───────────────────────────────────────────────────┘
          │ Cloud Connector (outbound tunnel, no inbound ports)
          │
┌─────────▼───────────────────────────────────────────────────┐
│            On-Premise Network                               │
│                                                             │
│  ┌─────────────────┐    ┌──────────────────────────────┐   │
│  │  SAP S/4HANA    │    │  Corporate Identity Provider │   │
│  │  (on-premise)   │    │  (Azure AD, Okta, LDAP)      │   │
│  └─────────────────┘    └──────────────────────────────┘   │
└─────────────────────────────────────────────────────────────┘

SAP BTP Connectivity ヘルプページに記載されている通り、Cloud Connector はリバースインボークプロキシパターンを採用しています。接続は常にオンプレミス側から SAP BTP に向けて開始されるため、企業ネットワークにインバウンドのファイアウォールルールは不要です。IAS はアイデンティティプロキシとして機能し、企業 IdP の ID を BTP にフェデレーションすることで、エンドユーザーは重複アカウントなしで SSO を利用できます。Cloud ALM は BTP ランタイムとオンプレミスの SAP システムの両方からテレメトリを受信し、運用チームにハイブリッド環境全体の単一の監視コンソールを提供します。

重要ポイント: 基盤サービスは、顧客の既存のオンプレミスSAP環境とBTPを統合するための接着剤です。これらが正しく設定されていないと、BTP拡張機能はユーザー認証、バックエンドAPIの呼び出し、または本番環境への安全な昇格ができません。

3) 成熟度マップ#

4) 要件チェックリスト#

Identity Authentication (IAS)#

Identity Provisioning (IPS)#

XSUAA と AMS（認可）#

Cloud Connector と Destination Service#

Cloud ALM#

Cloud Transport Management (cTMS)#

5) 意思決定基準#

最初に問うべき3つの質問#

Q1. Foundation Services の設定によって解決される具体的な運用上の課題は何ですか？

答えは測定可能でなければなりません。「セキュリティが必要」はペインポイントではありません。「エンドユーザーがBTP拡張機能に企業の認証情報でログインできない」や「BTPアプリからのオンプレミスBAPI呼び出しが、セキュアなトンネルがないために失敗している」といったものがペインポイントです。各Foundation Serviceは特定の運用上のニーズに対応しており、そのニーズを明確に説明できないプロジェクトは、過剰に設定するか、最後のスプリントまで何も設定しない傾向があります。

Q2. このデプロイメントにおけるデータレジデンシーとアイデンティティガバナンスの要件は何ですか？

IASテナント、Identity Directory、およびXSUAA/AMS構成は、ユーザーIDデータを保存・処理します。一部の顧客には、データ保存に関する要件（EUデータはEUリージョンのみ）や、IPSソースシステムの使用可否やCloud ALMテレメトリの保存場所に影響を与える人事データ分類ルールがあります。これらの制約は、Foundation Serviceをプロビジョニングする前に特定する必要があります。

Q3. 稼働後の基盤サービスの運用について、予算権限と組織上の責任は誰が負いますか？

Foundation Services には継続的な管理が必要です。ロールコレクションのレビュー、IPS プロビジョニングジョブの監視、Cloud Connector のバージョンアップグレード、Cloud ALM アラートルーティングなどが含まれます。予算権限を持つ指名された所有者がいない場合、サービスは静かに劣化します。基盤設計を確定する前に、社内スポンサーと運用チームを確認してください。

プロジェクトコンテキストによるドメイン選択#

ライセンスとコスト#

6) よくある障害#

障害 1: IAM設計の実装フェーズへの先送り

最も一般的なFoundation Servicesの障害は、ID管理とアクセス管理をアーキテクチャ上の決定ではなく、設定タスクとして扱うことです。チームはアプリケーションを構築した後までIAS/XSUAA/AMSの設計を先延ばしにし、IdPフェデレーショントポロジ、ロールモデル、またはトークン発行者URLを再デプロイメントなしでは変更できないことに気付きます。IAM設計は、アプリケーション開発の最初のスプリントが始まる前に完了し、顧客のセキュリティチームによって承認されなければなりません。

障害 2: Cloud Connector スコープの過剰公開

セキュリティチームがCloud Connectorの設定をレビューすると、特定のAPIエンドポイントやRFCファンクションモジュールではなく、ホストパス全体が公開されているケースが頻繁に見つかります。これは最小権限の原則に違反し、監査結果として本番移行を遅らせる原因となります。 公開リストはレビューされ、Cloud Connectorを非開発システムに接続する前に、顧客のセキュリティアーキテクトの承認を得る必要があります。

障害 3: XSUAA ロールコレクションが未文書化かつ未管理

本番稼働時にロールコレクションのマトリックスが文書化されておらず、サブアカウントごとに管理責任者が割り当てられていないプロジェクトでは、時間の経過とともに未レビューのアクセスが蓄積されます。要件フェーズでは、指名された責任者を含むロールコレクション設計文書を作成する必要があり、運用への引き継ぎには正式なレビューステップを含める必要があります。

障害4：本番稼働の1週間前までトランスポートパイプラインが存在しない

cTMS のトランスポートルート設計は一貫して過小評価されています。チームは最終スプリントで DEV → QA → PROD のプロモーションパスを構築し、グローバルアカウント間のトランスポートには顧客の SAP 契約管理者が関与する追加の認可が必要であることを発見し、本番稼働が遅れます。 cTMS トランスポートランドスケープ設計は、プロジェクトの最終四半期ではなく、最初の四半期に実施しなければなりません。

障害 5: クラウドALMがゴーライブ後までオンボーディングされない

Cloud ALMのオンボーディングは、アプリケーション稼働後に行える「運用タスク」として扱われています。その結果、本番運用の最初の数週間は、ヘルスモニタリング、統合例外アラート、ビジネスプロセスの可視性がなく、手探り状態となります。すべての対象ランタイムに対するCloud ALMのオンボーディングは、ゴーライブのゲート基準とすべきです。

障害 6: オンプレミスABAP向けプリンシパル伝播の設定ミス

プリンシパル伝播（X.509証明書を介してBTPエンドユーザーのIDをオンプレミスのABAPバックエンドに転送すること）は、要件定義の段階で頻繁にスコープに含まれますが、ABAP側の設定（STRUSTSSO2、SM59、証明書の信頼）にBasisチームの関与が必要であり、そのスケジュールが組まれていないため、正しく実装されることはほとんどありません。この設定のためのBasisリソースの確保は、要件定義時にプロジェクトの依存関係として確認する必要があります。

障害 7: プロビジョニング開始前にIPS削除ポリシーが合意されていない

IPS は、ソース側で削除イベントが発生した場合に、ターゲットシステム内のユーザーレコードをハードデリート（完全削除）できます。本番プロビジョニングジョブを実行する前に、削除管理ポリシーがお客様のデータガバナンスチームと明示的に合意されていない場合、IPS は SAP S/4HANA Cloud や SuccessFactors に対してハードデリートを連鎖させ、トランザクション履歴や監査証跡を削除する可能性があります。削除ポリシーの承認は、要件定義時に正式なサインオフ項目として必須です。

FAQ#

Q: クラウドネイティブアプリケーション向けにSAP BTPを利用しており、オンプレミス接続がないお客様にとって、Foundation Servicesは関連性がありますか？

はい。純粋なクラウドネイティブなBTPデプロイメントであっても、 ユーザー認証にはIAS、アプリケーション認可にはXSUAAまたはAMS、環境間でのアプリケーションアーティファクトのプロモーションにはCloud Transport Managementが必要です。Cloud Connectorは、オンプレミスのバックエンドが存在しない場合にのみ、真にオプションとなるFoundation Serviceです。

Q: Foundation Services のライセンスポジションはどうなっていますか — 別途購入が必要ですか？

ほとんどのFoundation Servicesは、SAP BTPアカウント、対象となるSAPクラウドサブスクリプション、およびEnterprise Support契約にバンドルされています。 Cloud ALMは対象サブスクリプションに追加費用なしで含まれています。XSUAAとCF環境のエンタイトルメントは、CF環境の割り当てに含まれています。Cloud Transport Managementにはサブスクリプション（StandardまたはFree Tier）が必要です。Cloud Connectorは、お客様が所有するインフラストラクチャ上で動作する無料のダウンロードです。IASテナントのエンタイトルメントは、対象となるBTPグローバルアカウントに含まれています。具体的な条件については、SAP契約管理者にご確認ください。

Q: プロジェクトからFoundation Servicesをスコープ外とするのはどのような場合ですか？

スコープ対象にオンプレミスのバックエンドシステムがない場合は、Descope Cloud Connector。顧客の契約に対象となるサブスクリプションが含まれておらず、追加予算もない場合は、Descope Cloud ALM — ただし、これは運用リスクとして文書化すること。本番稼働するBTPプロジェクトからIAS、XSUAA/AMS、cTMSをスコープ除外しないこと。これらは本番グレードのデプロイメントに必須であり、譲歩できない。

Q: XSUAAは非推奨ですか？新しいプロジェクトでも引き続き使用すべきですか？

XSUAAは非推奨ではなく、 2026年5月12日時点で公に確定したサポート終了日はありません。SAPが表明する戦略的方向性は、XSUAAからIAS + AMSへの認可移行であり、SAPは新規アプリケーションでは当初からIAS + AMSを採用することを推奨しています。新規BTPプロジェクトでは、認可の推奨開始点はIAS + AMSです。ただし、顧客のBTPチームに既存の専門知識があり、認可モデルにインスタンスレベルのポリシーが必要ない場合は、XSUAAも許容されます。

Q: Foundation Servicesの要件はどのように文書化すべきですか？

基盤サービスの要件は、プロジェクトのアーキテクチャ決定記録（ADR）または同等の文書に記載する必要があります。対象範囲は以下の通りです。(1) IAMトポロジ — IdPフェデレーション図、ロールモデル、トークン発行者。(2) 接続マップ — すべてのオンプレミスシステム、公開リソース、Destination定義。(3) トランスポートランドスケープ — ノードトポロジ、承認ワークフロー、CI/CD統合。(4) 運用範囲 — 対象となるCloud ALMのユースケースとその所有者。これらの4つの文書は要件フェーズ中に作成され、詳細設計の開始前に承認される必要があります。

概要#

Foundation Servicesは単一の製品ではなく、すべてのSAP BTP導入における運用基盤です。 機能マップでは、これらを4つの領域に分類しています。セキュリティ＆アイデンティティ（IAS、IPS、XSUAA、AMS）、接続性（Cloud Connector、Destination Service）、運用（Cloud ALM、Alert Notification）、DevOps（Cloud Transport Management）です。各グループには、プロジェクトの要件フェーズで対処しなければならない明確な要件があります。BTPプロジェクトで最も高くつくミス（稼働開始の遅延、セキュリティ監査の指摘事項、追跡不可能なユーザーアクセス）は、実装段階まで先送りされたFoundation Servicesの判断に起因します。本シリーズの後続の記事では、各機能について詳細に掘り下げます。

次に読むべきもの#