ファンデーションサービス：ユースケースと意思決定パターン

JinJin48

SAP Consultant | BTP · S/4HANA · US Global Rollout

May 12, 2026 · 25 min read

本記事の位置づけ#

参考資料#

1) 基盤サービスランドスケープ#

SAPのBTPソリューションアーキテクト学習パスによると、Foundation Servicesは「プラットフォーム上のすべてのアプリケーションとサービスを実行、管理、保護、拡張するために必要な基本機能を提供する、不可欠で横断的なサービスの集合体」です。これらはすべてのSAP BTPアカウントにバンドルされており、個別のサブスクリプションではありません。

これらは代替ではありません。各サービスは異なる課題に対応しており、本番環境のBTPランドスケープでは通常、5つすべてが連携して動作する必要があります。

2) S/4HANA への接続方法#

Foundation ServicesはS/4HANAを実現要素として取り巻いており、認証、ネットワークパス、コンテンツプロモーション、運用の可視性を処理します。これにより、BTPからS/4HANAへの統合が可能になり、管理可能になります。 SAP Architecture Centerのリファレンスでは、Cloud ConnectorまたはPrivate Linkのどちらがネットワークパスを提供する場合でも、SAP Destination Serviceが常に関与することが確認されています。

  Developer / End User
         |
         | (SSO via SAML/OIDC)
         v
  ┌─────────────┐
  │  IAS / IPS  │ ← authenticates users; proxies to corporate IdP if needed
  └──────┬──────┘
         |
         v
  ┌─────────────────────────────────────┐
  │         SAP BTP Application         │
  │  (CAP / Extension / Integration)   │
  └──────────────────┬──────────────────┘
                     |
          ┌──────────┴──────────┐
          |                     |
          v                     v
  ┌──────────────┐     ┌──────────────────┐
  │Cloud Connector│     │ Private Link Svc │
  │(on-premise,   │     │(Azure/AWS VM,    │
  │RFC + HTTP)    │     │HTTP only)        │
  └──────┬───────┘     └────────┬─────────┘
         |                      |
         v                      v
  ┌──────────────────────────────┐
  │    SAP S/4HANA (ABAP system) │
  │  on-premise or cloud VM      │
  └──────────────────────────────┘
         ^
         |
  ┌──────────────────────────────┐
  │  Cloud ALM                   │ ← monitors health, deploys releases
  │  + cTMS                      │ ← promotes MTA/iFlow artifacts
  └──────────────────────────────┘

重要ポイント: BTPアプリケーションがユーザーを認証し、S/4HANAに到達するためには、IASと接続レイヤー（Cloud ConnectorまたはPrivate Link）の両方が事前に整備されている必要があります。Cloud ALMとcTMSは、このベースラインの上で動作し、変更の展開方法とタイミングを管理します。

3) 成熟度マップ#

以下の表は、2025年時点で公開されている機能と既知の制限事項を反映しています。最新バージョンの詳細については、 SAP Help Portal for Cloud Connector および Private Link を参照してください。

4) 要件チェックリスト#

Identity and Authentication (IAS/IPS)#

IAS/IPSの全機能リファレンスについては、 SAP Cloud Identity Services on SAP Communityを参照してください。

Cloud Connector#

インストールおよび設定の要件については、 SAPヘルプポータルのCloud Connectorを参照してください。

SAP Private Link Service#

完全な前提条件とサポートされる構成は、 SAP Private Link Service ヘルプポータルページに文書化されています。

SAP Cloud ALM#

Cloud ALMのエンタイトルメントとベースティアの制限については、 SAP Cloud ALMサポートポータルページに記載されています。

Cloud Transport Management (cTMS)#

対応するコンテンツタイプ、価格、および統合パターンについては、 SAP CommunityのcTMS FAQで説明されています。

5) 意思決定基準#

最初に問うべき3つの質問#

Q1. 私たちが解決する、測定可能な接続性、ID、または運用上の課題は何ですか？

明確な課題（ペインポイント）がなければ、Foundation Servicesは「必須だから」という理由でデフォルトでインストールされ、設定不足やスコープの誤りにつながります。この質問は具体性を強制します。課題は、BTPからオンプレミスERPへのRFCレイテンシでしょうか？40のBTPサブアカウントにまたがるIDの乱立でしょうか？iFlowの例外に対する可視性の欠如でしょうか？それぞれの答えが、異なるプライマリサービスを指し示します。

Q2. ターゲットシステムはどこで動作しており、BTPとそれらのシステム間のネットワーク経路は誰が所有していますか？

これはコネクティビティの意思決定において最も重要なインプットです。RFC要件があるオンプレミスまたはデータセンターのターゲットは、 Cloud Connector を指します。HTTP要件があるAzureまたはAWS VMのターゲットは、 Private Link を指します。「まだ確定していない」という回答の場合、コネクティビティアーキテクチャを最終化できず、プロジェクトのタイムラインにはこの依存関係を考慮する必要があります。

Q3. 基盤サービスのライセンスおよび運用責任について、予算権限を持つ内部スポンサーは誰ですか？

Cloud ALMはEnterprise Supportに含まれていますが、その管理には専任チームが必要です。cTMS Standardプランは約18 EUR/GB/月で提供されています。Private Linkエンドポイントの料金はSAPの営業部門に確認が必要です。IASテナント管理にはアイデンティティチームが必要です。Foundation Servicesは単にインストールするだけでなく、運用上の責任を伴います。

プロジェクトコンテキストによるドメイン選択#

ライセンスとコスト#

6) よくある障害#

障害 1: 統合設計後に決定された接続アーキテクチャ

チームは、BTP拡張機能が呼び出すAPIやファンクションモジュールを頻繁に確定した後、接続レイヤーが選択されていないことに気づきます。誤ったオプションでプロトタイプを作成した場合、是正には宛先サービスとファイアウォールルールの再設定、そして多くの場合アプリケーションの再デプロイが必要になります。統合設計を開始する前に、接続アーキテクチャを確定させてください。

障害 2: Private Link 経由で RFC が可能と想定

Cloud ConnectorのRFCサポートに精通したプロジェクトチームは、 Private Linkも同様に機能すると想定しますが、実際は異なります。Private LinkではRFCが明示的にサポートされていません。このことは、開発者がPrivate Linkエンドポイントに対してRFC接続先を設定しようとした際に後になって判明し、Cloud Connectorへの移行やS/4HANA側でのOData/RESTラッパーの導入を余儀なくされます。

障害 3: サブアカウントごとにID信頼が設定されており、IAS経由ではない

マルチサブアカウント環境では、各BTPサブアカウントと企業IdPとの間で直接トラストを設定し、IASを経由しない構成を取るチームもいます。企業IdPの証明書がローテーションされると、すべてのサブアカウントのトラスト設定を個別に更新する必要が生じます。正しいパターンは、すべてのサブアカウントがIASを信頼し、IASがプロキシモードで企業IdPを信頼するというものです。これにより、変更は一箇所で済みます。

障害 4: 本番環境で計画なしに使用された cTMS フリー ティア

チームは、プロトタイピングのために cTMS Free ティアをサブスクライブし、本番稼働前にはアップグレードを行いません。Free ティアでは、アーティファクトストレージが2 GB、保持期間が7日間に制限されており、単一の大規模なMTAアーカイブでこの制限に達する可能性があります。保持期間が切れると、トランスポート履歴は失われ、再インポートには再アップロードが必要になります。最初の本番デプロイメントの前に、Standardプランをプロビジョニングしてください。

障害 5: 誤ったグローバルアカウントに構築された Cloud ALM–cTMS 統合

初期導入者は、 Cloud ALMの独自のグローバルアカウント内でcTMSを設定していましたが、お客様のBTPグローバルアカウント内ではありませんでした。SAPは、Cloud ALMのグローバルアカウントに組み込まれたcTMSは非推奨となる予定であることを確認しています。正しいパターンは、お客様自身のBTPグローバルアカウントでcTMSをサブスクライブし、サービスキーとAPIエンドポイントを介してCloud ALMに接続することです。

障害 6: Cloud ALMの変更管理が成熟する前にSolution Manager ChaRMが廃止された

クラウドツールへの移行を急ぐ組織は、 Cloud ALMがABAP主体のシステム環境に対応できる状態になる前に、Solution ManagerのChaRMを廃止しています。2024～2025年時点で、Cloud ALMはSolution Managerの詳細なABAP変更管理機能をすべて複製していません。機能の同等性が確認されるまでは、両方を並行運用してください。Cloud ALMは運用とBTPデプロイメントに、Solution ManagerはABAP変更ガバナンスに使用します。

障害 7: RACIにおいてファンデーションサービスの運用責任が割り当てられていない

IASテナント管理、Cloud Connector VMのパッチ適用、Cloud ALMアラートルーティング、cTMSトランスポート承認には、すべて指名された所有者が必要です。明確なRACI割り当てがないと、アラートが見逃され、コネクタ証明書が期限切れになり、トランスポートリクエストが未承認のまま放置されます。基盤サービス運用のRACIは、カットオーバー後ではなく、カットオーバー前に承認される必要があります。

FAQ#

Q: すべてのSAP BTPプロジェクトに5つのFoundation Servicesすべてが必要ですか？

いいえ。必要なサブセットはプロジェクトのコンテキストに依存します。純粋なSaaS監視プロジェクトでは、 Cloud ALMとIASが必要ですが、Cloud Connector、Private Link、cTMSは不要です。グリーンフィールドのAzure拡張プロジェクトでは、5つすべてを使用する可能性が高いです。§5の判断表を使用して、プロジェクトのコンテキストを必要なサービスにマッピングし、5つすべてを必須のデフォルトとして扱わないでください。

Q: プライベートリンクはオンプレミスシステム上のクラウドコネクタを置き換えることができますか？

いいえ。 Private Link は、ターゲットシステムが Azure または AWS 上で動作している必要があります。企業ネットワーク、VPN、または ExpressRoute 経由で接続される従来のオンプレミスシステムには、Cloud Connector が必要です。また、Private Link は、ABAP ベースのオンプレミス統合で一般的な RFC プロトコルをサポートしていません。両方のサービスは、異なる統合経路のために同じランドスケープ内で共存できます。

Q: Cloud ALMは無料ですか？また、具体的に何が含まれていますか？

Cloud ALMは、 SAP Cloud ALMサポートページに記載されている通り、SAP Enterprise SupportまたはProduct Support for Large Enterprisesをご利用のお客様には追加費用なしで含まれています。基本ティアには、顧客番号あたり1テナント、8 GBのSAP HANAメモリ、月間8 GBのAPIデータ転送が含まれます。標準サポートをご利用のお客様は、導入を計画する前にSAPと権利を確認する必要があります。

Q: プロジェクトはいつcTMSの対象範囲を外し、手動またはCIのみのデプロイメントを使用すべきですか？

以下の場合、cTMSのスコープを外します。(1) プロジェクトに単一のBTP環境があり、プロモーションパスがない場合、(2) アーティファクトタイプがcTMSでサポートされていない場合、(3) 手動ゲートなしで完全に自動化されたCI/CDパイプラインで十分な場合。複数の環境があり、規制または監査要件として追跡可能な変更記録が必要なエンタープライズプロジェクトでは、 cTMS with Cloud ALM Deployment Management が必要なガバナンストレイルを提供します。

Q: IASプロキシモードパターンは要件定義書にどのように文書化すべきですか？

3つの項目を文書化する：(1) ソースIdP（例：「Microsoft Entra ID テナントID xxx」）、(2) フェデレーションプロトコル（SAML 2.0 または OIDC — 新規設定ではSAPはOIDCを推奨）、(3) IASを信頼するBTPサブアカウントのリスト。BTPサブアカウントが企業IdPとの直接信頼を確立しないことを明記する。MFAおよび条件付きアクセスポリシーの要件は、BTPサブアカウントレベルの項目ではなく、IAS設定項目として含める。

Q: 顧客に既存の企業IdPがない場合はどうなりますか？

IASはプライマリIdPとして使用され、プロキシとして機能するのではなく、ユーザーに直接IDを発行します。IPSは、HRソースシステム（例：SuccessFactors）からユーザーをプロビジョニングするか、IAS管理コンソールを介して手動で管理するように設定されています。リスクベース認証とMFAは引き続きIASで設定されます。このトポロジはプロキシモードよりもシンプルですが、IDチームがIASユーザーストアを直接管理する必要があります。

Q: 単一プロジェクト内でABAPトランスポートとBTPトランスポートを組み合わせて扱うにはどうすればよいですか？

推奨されるアプローチは、お客様のBTPグローバルアカウント内のcTMSを Cloud ALM Deployment Managementに接続し、Cloud ALMの変更ドキュメントを使用してABAPとBTPの両方のトランスポート手順を調整することです。グローバルアカウント間のABAPトランスポートは、引き続きネイティブのABAP TMSを別途使用する必要があります。統合されたCloud ALM変更ドキュメントにより、単一の監査証跡が提供されます。

概要#

基盤サービスはオプションのインフラではなく、すべてのSAP BTPプロジェクトが稼働するためのID、接続性、トランスポート、運用基盤です。適切な組み合わせを選択するには、以下の3つの基本的な制約を理解する必要があります。対象システムの設置場所（オンプレミス vs クラウドVM）、必要なプロトコル（RFCの場合は Cloud Connectorが必須、HTTPのみの場合は Private Linkが利用可能）、そして各サービスの継続運用を担当するチームです。

この領域で最も高額なミスは要件定義段階で発生します。接続アーキテクチャの選定が遅すぎる、Private Link経由でRFCが可能と想定する、IAS信頼をサブアカウントごとに個別設定し中央管理しない、本番稼働前にcTMS Free ティアをアップグレードしない、運用責任者が未割り当てのまま放置する、といったものです。これらの失敗にはそれぞれ明確な防止策があり、§4の要件チェックリストで直接対応しています。

ほとんどのグリーンフィールドのAzureベースBTPプロジェクトでは、IAS（企業IdPへのプロキシ）+ Private Link（クラウドVM接続）+ cTMS（アーティファクト昇格）+ Cloud ALM（監視とデプロイ）の組み合わせが採用されます。ハイブリッドなオンプレミスプロジェクトの場合は、Private LinkをCloud Connectorに置き換えます。

次に読むべきもの#