Betriebskonfiguration

SPOT 2.0 trennt Producer und Reader: Der Agent schreibt SAP-Telemetrie schema_version=2 in metrics und logs; das Backend liest dieselben Data Streams. Separate Felder für Jobs-, Events- oder WPInfo-Indizes gibt es nicht.

Storage

Backend spot.yaml und Agent .spot-agent-sap.yaml konfigurieren nur Elasticsearch-URL, Zugangsdaten und namespace. SPOT leitet daraus spot-integration-<namespace>-metrics, spot-integration-<namespace>-logs sowie den getrennten operativen Agent-Log- Stream ab. Storage-, Exporter-, SAP-Index- oder Pipeline-Selektoren gibt es nicht.

Embedded Setup aktiviert manage_data_streams_ilm. Bei externen Targets bleibt es aus; Bootstrap prüft dann nur die Verbindung. Wenn ausdrücklich aktiviert, verwaltet SPOT ausschließlich metrics und logs.

TLS-Vertrauen und zielgebundene Secrets

Importieren Sie Unternehmens-CAs unter Configuration > Trust store. SPOT zeigt Name, SHA-256-Fingerprint, Subject, Issuer, Ablauf und zugeordnete Ziele. Systempakete speichern sie unter /etc/spot/tls, portable Installationen unter $SPOT_HOME/config/tls. Die UI akzeptiert keine beliebigen Pfade und löscht keine zugeordnete CA.

Externes Elastic, LDAP/AD und HTTPS-KI-Provider können System-CAs, eine importierte CA oder ausdrücklich insecure_skip_verify verwenden. Die Ausnahme schaltet HTTPS nicht auf HTTP um, erlaubt keine Redirects und deaktiviert keine DNS-/IP-Kontrollen. Solange sie aktiv ist, bleibt eine Warnung sichtbar und Save/Test werden auditiert.

Ein maskiertes Credential gehört zur exakten Zielidentität. Ändern sich Protokoll, Host, Port, Base Path, Authentifizierung, Benutzer/Bind-DN, SNI, CA oder TLS-Richtlinie, muss das vollständige Secret erneut eingegeben werden. Test und Save verwenden dieselbe Regel und testen nie ein altes Secret gegen ein neues Ziel.

LDAP und Active Directory

LDAPS und StartTLS werden einschließlich RFC1918-Zielen unterstützt. Wählen Sie strikte Prüfung, eine importierte CA oder deaktivierte Zertifikatsprüfung. Das Bind-Passwort ist an Protokoll, Host, Port, Bind-DN, SNI und TLS-Richtlinie gebunden. SPOT verbindet sich mit der bereits validierten IP, um DNS Rebinding zu verhindern.

KI-Provider

Provider mit API-Key benötigen HTTPS. Sie können eine gültige CA oder deaktivierte Zertifikatsprüfung verwenden; Redirects sind gesperrt. Loopback-HTTP ist nur ohne API-Key erlaubt. Privates LAN-HTTP verlangt ebenfalls keinen API-Key und eine ausdrückliche Risikoakzeptanz; die UI zeigt dieses Risiko getrennt von ungeprüftem HTTPS.

Quellen und Sammlungen

Jede SAP-Quelle hat eine stabile ID, IANA-Zeitzone und sieben Sammlungen:

Familie	Standard	Inhalt
Metrics	300 s	CCMS- und Operations-Metriken
CCMS events	300 s	Normalisierte Events
Jobs	300 s	Runs und Logzeilen
Work processes	300 s	Prozess-Snapshots
ABAP dumps	300 s	Bereinigte ST22-Evidenz
RFC failures	300 s	tRFC/aRFC/qRFC/bgRFC ohne Payload
Certificates	86400 s	Öffentliches Inventar und Übergänge

Jedes Intervall ist eine an der Uhr ausgerichtete feste Frequenz. Bei 300 Sekunden starten die Familien in deterministischen Phasen innerhalb der ersten Minute jedes Fünf-Minuten-Blocks. Jede Kombination aus Quelle und Familie läuft unabhängig, sodass ein langsamer Aufruf die übrigen nicht verschiebt. Start und Konfigurations-Reload führen eine gestaffelte Bootstrap-Extraktion aus und fassen verpasste Zyklen zusammen, statt verspätete Läufe aufzustauen.

Jede Fähigkeit meldet supported, unauthorized, unavailable oder error, letzten Erfolg und einen bereinigten Fehler. Fehlende Teilfähigkeiten stoppen die übrigen Sammlungen nicht.

SAP-Passwörter sind nur schreibbar. SPOT behält ein gespeichertes Passwort bei anderen Änderungen nur dann bei, wenn Verbindungs-ID, ASHOST, Systemnummer, Mandant und RFC-Benutzer unverändert bleiben. Ändert sich einer dieser Werte, muss das vollständige Passwort neu eingegeben werden; eine Maske oder ein leeres Feld verwendet die vorherige Anmeldeinformation nicht für das neue Ziel.

Dieselben Zielkontrollen blockieren Cloud-Metadata, Link-local, Multicast und unspecified Adressen. RFC1918 ist on-prem erlaubt; insecure_skip_verify umgeht diese Grenzen nicht.

Inkrementeller Zustand und Sicherheit

Watermarks/Fähigkeiten liegen unter /var/lib/spot-agent-sap (oder $SPOT_HOME/data). Vollständige Paginierung, Überlappung und deterministische event_id schützen Neustarts; der erste Jobs-/Dump-/RFC-Backfill umfasst 24 Stunden.

Dumps schließen Speicher-/Geschäftsdaten aus, RFC-Datensätze den Call-Payload und Zertifikatsdaten private Schlüssel. Viewer/Admin-Lesezugriffe bleiben source-scoped; nur Admins ändern die Konfiguration. ML nutzt sparse Dump-/RFC-Zähler, Zertifikate sind deterministisch ohne Forecast. AI-Tools sind read-only und source-scoped.

Backend 2.0 filtert ausschließlich schema_version=2. Ein älterer on-prem Producer erscheint als Agent upgrade required / producer_upgrade_required, niemals als synthetische Null.