SAP Joule freischalten: Welche Rollen und Berechtigungen Nutzer brauchen und was Joule damit darf

Der Beitrag richtet sich an SAP-Berechtigungsverantwortliche, Basis- und Identitätsteams sowie Projektleitungen, die einen Joule-Pilot vorbereiten. Er beantwortet die Pilotfrage, die die Seite SAP für Unternehmen für Joule stellt: Welche Rolle, Anwendung und Berechtigung braucht der Nutzer? Sinnvoll beginnt man mit einer kleinen Pilotgruppe, deren Rollen man genau kennt, und mit einem Vorgang, der eher liest als ändert.

Wo Rollen und Rechte im SAP-Angebot stehen

Joule ist laut SAP eine Anwendung auf der SAP Business Technology Platform (BTP), die in die jeweilige SAP-Lösung eingebettet wird. Welche Fähigkeiten es dort gibt, hängt von der Lösung ab, wie der Joule-Unternehmenscheck zeigt. Dieser Beitrag behandelt die Zugriffssteuerung für Nutzer: Anmeldung, Freischaltung, Rollen und die Rechte im Fachsystem. Er behandelt nicht die Bauwege für eigene Agenten mit Joule Studio und die API Policy, dazu gibt es den Beitrag zu Joule Studio, und nicht die Freigabestufen für Aktionen in Oberflächen, dazu der Beitrag zur Joule Action Bar.

Grundlage ist der SAP-Leitfaden „Integrating Joule with SAP Solutions“ in der Fassung vom 4. November 2026. Er beschreibt die Einrichtung je Lösung. Die Schritte unterscheiden sich, das Prinzip ist überall gleich.

Geltungsbereich: Dieser Beitrag beschreibt die vom Kunden verwaltete Einrichtung, bei der das Unternehmen Joule im BTP-Cockpit abonniert, Rollen zuweist und mit dem Booster einrichtet. Davon unterscheidet SAP inzwischen das von SAP verwaltete Modell. Laut SAP Architecture Center gibt es Joule Work nur dort: SAP übernimmt Bereitstellung, Updates, Absicherung und Überwachung, die Aktivierung läuft über SAP for Me, und statt SAP Build Work Zone liefert ein Business Content Service den rollenbezogenen Kontext. Wer bestehende Integrationen auf Joule Work umstellen will, muss sie laut SAP vorher trennen. Wie Rollen in Joule Work verwaltet werden, beschreibt die Seite nicht im Detail; die Prüfung der Fachrechte bleibt aber auch dort nötig. Mehr dazu im Beitrag zu SAP Joule Work.

Die drei Schranken vor einer Joule-Antwort

Das SAP Architecture Center beschreibt, wie Joule zur Laufzeit entscheidet: Es verbindet den angemeldeten Nutzer, seine gespeicherten Rollenzuordnungen und eine Zuordnung von Inhalten zu Rollen, um festzulegen, welche Joule-Funktionen der Nutzer in dieser Sitzung verwenden kann. Ruft Joule dann eine Funktion auf, geschieht das über den Destination Service der BTP im Namen des Nutzers. SAP nennt das Principal Propagation. Die Antwort spiegelt deshalb die Rechte dieses Nutzers im Fachsystem.

Daraus ergeben sich drei Schranken, die nacheinander greifen. Die Animation zeigt sie an drei erfundenen Nutzern.

Redaktionelle, schematische Darstellung von AI-Fabrik nach dem SAP-Integrationsleitfaden und dem SAP Architecture Center, kein Produkt-Screenshot. Die Nutzer sind erfunden. Die genauen Einstellungen je Schranke unterscheiden sich je SAP-Lösung.

Schranke 1: Wer Joule überhaupt sieht

In S/4HANA Cloud Public Edition ist die Voreinstellung großzügig. Laut Leitfaden wird Joule beim Einschalten über den Joule Booster für alle Nutzer freigegeben. Gesteuert wird das über die Eigenschaft „Plug-In Activation State“ im Kommunikationsszenario SAP_COM_0882. Ist sie leer, steht Joule allen Nutzern zur Verfügung. Steht sie auf ROLE, sehen Joule nur Nutzer, deren Geschäftsrolle den Katalog SAP_CORE_BC_UI_JOU_PC (User Interface – Joule Plugin) enthält. Ab Release 2602 SP06 ist die rollenbasierte Variante Standard, und die Vorlagerolle SAP_BR_EMPLOYEE enthält diesen Katalog. Bestehende Einstellungen ändert SAP laut Leitfaden nicht automatisch.

Das hat zwei Folgen. Wer Joule vor diesem Release eingerichtet hat, sollte die Einstellung prüfen. Und wer die rollenbasierte Freischaltung nutzt, sollte wissen, dass eine breit vergebene Mitarbeiterrolle Joule ebenfalls sehr breit freischaltet. Für einen Pilot ist eine eigene Pilotrolle mit dem Katalog die kontrolliertere Lösung. Sie begrenzt den Zugang aber nur, wenn keine andere zugewiesene Rolle den Katalog ebenfalls enthält, etwa eine Kopie von SAP_BR_EMPLOYEE.

In SuccessFactors heißt die Schranke anders: Nutzer brauchen laut Leitfaden die Berechtigung „Access to Joule“ unter den allgemeinen Nutzerberechtigungen. Für den eigenständigen Joule-Webclient auf der BTP nennt SAP die Rollen end_user für Fachanwender und extensibility_developer für Entwickler, die Fähigkeiten bauen und bereitstellen. Sie werden über Rollensammlungen im BTP-Cockpit vergeben. Für andere Lösungen, etwa SAP Concur, beschreibt der Leitfaden eine Pilotgruppe in den SAP Cloud Identity Services, über deren Mitgliedschaft der Zugang gesteuert wird.

Schranke 2: Welche Fähigkeiten Joule anbietet

Welche Joule-Funktionen ein Nutzer sieht, hängt an seinen Rollen in den Fachsystemen. Damit Joule sie kennt, überträgt der Identity Provisioning Service (IPS) Nutzer und Rollenzuordnungen aus den Anwendungen, meist über SCIM, unter anderem in SAP Build Work Zone. Joule nutzt laut Leitfaden den Navigationsdienst von Work Zone für rollenbasierte Szenarien. In S/4HANA Cloud werden dafür die Inhalte der Fiori-Rollen an die BTP übergeben, entweder alle oder nur ausgewählte Geschäftsrollen.

Diese Kette über Work Zone gilt für die vom Kunden verwaltete Einrichtung; bei Joule Work übernimmt der Business Content Service diese Aufgabe. Praktisch heißt das: Eine neue oder geänderte Rolle wirkt in Joule erst, wenn die Übertragung gelaufen ist. Wie oft der IPS-Job läuft und wer Fehler darin bemerkt, gehört deshalb in den Betriebsplan. Sonst meldet ein Pilotnutzer „Joule kann das nicht“, obwohl nur die Rolle noch nicht übertragen ist.

Schranke 3: Was im Fachsystem erlaubt ist

Für SuccessFactors formuliert SAP es unmissverständlich: Joule hat die Berechtigungen des Nutzers, der es bedient. Wer diese Berechtigungen prüfen will, soll das tun, bevor er Joule freigibt. Das Architecture Center beschreibt dasselbe Prinzip allgemein über die Principal Propagation. Die Rechte des Nutzers begrenzen also jeden dieser Aufrufe. Umgekehrt kann Joule nicht jede erlaubte Transaktion ausführen, sondern nur die Funktionen, die für die Rollen des Nutzers freigeschaltet sind.

Identität: eine Person, eine Kennung

Laut Leitfaden müssen Joule und alle angebundenen SAP-Lösungen denselben Mandanten der SAP Cloud Identity Services verwenden. Nutzer müssen in allen Anwendungen mit derselben Identität geführt werden, der globalen Nutzerkennung (Global User ID), die in Joule über das Attribut user_uuid ankommt. Ist das falsch eingerichtet, kann dieselbe Person in Joule und den angebundenen Anwendungen als verschiedene Nutzer gelten. SAP warnt vor Funktionsstörungen bei allem, was auf eine eindeutige Zuordnung angewiesen ist.

Für Unternehmen mit mehreren SAP-Cloud-Lösungen ist das oft der aufwendigste Teil. Die Qualität der Identitätsdaten wird zur Voraussetzung für den Pilot: doppelte Konten, abweichende Kennungen oder nicht gepflegte Austritte zeigen sich spätestens hier. Die Anmeldung läuft über SAP Cloud Identity Authentication, das an einen vorhandenen Firmen-Identitätsdienst weiterleiten kann.

Weitere Einstellungen, die vor dem Start feststehen sollten

• Gesprächsprotokolle: Ob Joule Gesprächsprotokolle speichert, wird laut Leitfaden beim Einrichten im Booster gewählt. Eine spätere Änderung geht über ein Ticket bei SAP oder über Kündigung und Neueinrichtung, wobei alle Daten des Mandanten gelöscht werden. Die Entscheidung gehört deshalb vor den Start, mit Datenschutz und, in Deutschland regelmäßig, dem Betriebsrat.
• Personenbezogene Daten: Für S/4HANA Cloud Public Edition schreibt SAP, Joule sei nicht für die Verarbeitung personenbezogener oder sensibler Daten ausgelegt, solche Daten sollen nicht in Joule eingegeben werden. Das gehört in die Nutzerhinweise der Pilotgruppe.
• Verarbeitungsort: Je nach Region können einzelne Fähigkeiten in S/4HANA Cloud Public Edition laut Leitfaden Daten an einem anderen geografischen Ort verarbeiten. SAP verweist dazu auf einen eigenen Hinweis, der vor dem Einschalten gelesen werden sollte.
• Lizenz: Für Joule in mehreren Lösungen können zusätzliche Berechtigungen im Vertrag nötig sein. Das klärt der Account-Kontakt bei SAP, nicht das Berechtigungsteam.

Ein Pilot mit klarer Rollenführung

Ein hypothetisches Beispiel zeigt, wie das zusammenpasst. Ein Großhändler mit S/4HANA Cloud Public Edition will Joule im Einkauf testen. Die Basis stellt die Aktivierung auf ROLE und legt eine Pilotrolle an, die den Joule-Katalog enthält und nur den zwölf Personen der Pilotgruppe zugewiesen wird. Danach prüft sie, welche anderen Geschäftsrollen den Katalog noch enthalten, und entfernt ihn aus der breit vergebenen Mitarbeiterrolle. Das Berechtigungsteam prüft deren Einkaufsrollen und entfernt das Recht, Lieferantenstammdaten zu ändern, das zwei Personen aus einem früheren Projekt behalten hatten. Gesprächsprotokolle werden nach Abstimmung mit Datenschutz und Betriebsrat bewusst entschieden. Erst danach wird Joule für die Gruppe sichtbar.

Je nach Größe sieht die Umsetzung anders aus. Ein kleines Unternehmen mit einer SAP-Lösung kommt mit einer Pilotrolle, einer kurzen Rollenprüfung und einer benannten Person für die Identitäten aus. Wer mehrere Cloud-Lösungen anbindet und Joule breit ausrollen will, braucht ein abgestimmtes Rollenmodell über alle Systeme, eine Überwachung der Rollenübertragung und regelmäßige Rezertifizierung der Rechte.

Pilotfragen zu Rollen und Berechtigungen

1. Über welche Einstellung wird Joule in unserer Lösung freigeschaltet, ist sie auf eine Pilotgruppe begrenzt, und enthält keine andere zugewiesene Rolle ebenfalls die Joule-Freischaltung?
2. Welche Rechte haben die Pilotnutzer heute im Fachsystem, und welche davon sollte ein Assistent nicht ausführen dürfen?
3. Nutzen alle angebundenen Systeme denselben Identity-Mandanten und dieselbe globale Nutzerkennung, und sind doppelte Konten bereinigt?
4. Wie oft überträgt der Identity Provisioning Service Rollen, und wer bemerkt, wenn die Übertragung fehlschlägt?
5. Wer hat Administrator- und Entwicklerrechte für Joule auf der BTP, und wer hat die Speicherung der Gesprächsprotokolle entschieden?

Fazit: Das Rollenkonzept ist die erste Joule-Aufgabe

Quellen

Weiterführende Artikel auf AI-Fabrik