【SAP Basis】Joule Agent の OAuth 設定 — ClientCredentials / JWT Bearer / MCP の使い分け

SAP BTP 上の Joule から自社の Agent や S/4HANA を呼び出すときの OAuth 設定を、
用途別に整理したガイド記事です。

認証方式は3つで、サービス間のマシン・トゥ・マシンに使う `OAuth2ClientCredentials`、
Joule を呼んだユーザーの身元を S/4HANA などの後続システムへ引き継ぐ
`OAuth2JWTBearer`、技術ユーザーとパスワードによるレガシー向けの `OAuth2Password`
です。記事が設定手順を書いているのは前の2つで、3つ目の章は MCP サーバー連携
（`OAuth2ClientCredentials` のまま Destination にプロパティを1つ足す形）に
充てられています。

作業は BTP Cockpit での Destination 作成と、IAS（Identity Authentication）での
アプリ登録だけでは終わりません。Agent 側でも `mta.yaml` で identity サービスを
バインドし、`package.json` で認証方式を `ias` に切り替えたうえで、IAS が発行した
JWT を Agent 自身が検証する必要があります。

つまずきどころは2つです。JWT Bearer ではプロキシアプリに `api_read_access`
スコープが無いとトークン交換が失敗します。MCP では Destination に
`sap-joule-studio-mcp-server=true` が無いと、認証が通っていても Joule Studio の
ツール一覧に出てきません。

なお、システム停止の要否も切り戻しの可否も記事には書かれていないため、
検証環境で一通り通してから本番に持っていくことをおすすめします。
エピソード内で触れる監査ログの話は、記事の記述ではなく一般的な経験によるものです。

出典: https://community.sap.com/t5/crm-and-cx-blog-posts-by-sap/oauth-for-joule-agents-step-by-step-developer-guide/ba-p/14471643

本エピソードはAIによって生成された音声です。内容には誤りが含まれる可能性があります。実施前に必ず一次情報でご確認ください。
SAP® は SAP SE の登録商標です。本番組は SAP 社とは無関係の非公式なものです。