Der SAP Web Dispatcher ist bei vielen Kunden das Tor zu SAP Fiori, zu Schnittstellen und zu externen Partnern – oft in der DMZ, oft ohne eigenes Monitoring. Fällt er aus oder laufen ihm die ICM-Threads aus, merken es zuerst die Anwender. Mit SAP Cloud ALM lässt sich der Web Dispatcher im Health Monitoring überwachen: Status, Heartbeat, ICM-Auslastung und Betriebssystem, mit Ereignissen und Benachrichtigungen.
Wichtig vorab: SAP unterstützt im Health Monitoring nur den eigenständigen (standalone) SAP Web Dispatcher – das ist auch die Empfehlung von SAP für produktive Systeme (SAP-Hinweis 908097). Ein Web Dispatcher, der in die (A)SCS-Instanz eingebettet ist, wird nicht unterstützt.
Dieser Beitrag zeigt, wie wir einen eigenständigen SAP Web Dispatcher auf Windows Server in der DMZ an SAP Cloud ALM angebunden haben, welche Metriken danach zur Verfügung stehen und an welchen Stellen es in der Praxis gehakt hat.
So funktioniert die Anbindung
Den Web Dispatcher bindet nicht ein ABAP-System an, sondern der SAP Host Agent auf demselben Host. Er sammelt die Daten des Web Dispatchers und des Betriebssystems und sendet sie selbst per HTTPS an Cloud ALM. Daraus folgt:
- Der Host Agent muss aktuell genug sein, um Cloud ALM zu unterstützen. Erkennbar ist das am Menüpunkt SAP Cloud ALM in der WebUI des Host Agents.
- Die Verbindung geht nur von innen nach aussen. In der DMZ braucht es keine eingehende Freigabe, nur ausgehendes HTTPS (TCP 443) zu zwei Cloud-ALM-Endpunkten.
- Die Zugangsdaten stammen aus einem Service Key des Cloud-ALM-Tenants und werden im Host Agent hinterlegt.
Voraussetzungen
| Bereich | Was benötigt wird |
|---|---|
| SAP Web Dispatcher | Eigenständige Installation (standalone, eigene SID). In die (A)SCS-Instanz eingebettete Web Dispatcher werden nicht unterstützt. |
| SAP Host Agent | Aktueller Stand von 7.22 mit dem Konfigurationsbereich «SAP Cloud ALM» in der WebUI. Bei uns fehlte er mit 7.22 PL68 und war nach dem Upgrade auf PL72 vorhanden. |
| Cloud ALM: Rolle | Zum Aktivieren von Services in der Landschaftsverwaltung die Rolle «Administrator für Landschaftssicherheit» (Landscape Security Administrator); nach der Zuweisung neu anmelden. |
| Cloud ALM: Registrierung | In den Registrierungseinstellungen «Registrierung für unbekannte Systeme zulassen» aktiv. |
| Cloud ALM: Service Key | Token Endpoint, Client ID, Client Secret und API URL des Tenants. |
| Netzwerk | Ausgehend TCP 443 vom Web-Dispatcher-Host zum Token Endpoint (<tenant>.authentication.<region>.hana.ondemand.com) und zur API (<region>-<nr>.alm.cloud.sap), DNS-Auflösung beider Namen. |
Schritt für Schritt
1. Version des Host Agents prüfen
Die WebUI des Host Agents ist über https://<host>:1129/WebUI/ erreichbar (Anmeldung mit sapadm). Unter Monitoring → Version Information stehen Version und Patch Level. Fehlt unter Configuration der Eintrag SAP Cloud ALM, ist zuerst ein Upgrade fällig. Auf der Kommandozeile geht es auch:
saphostexec -version2. Host Agent aktualisieren
Das aktuelle Paket SAPHOSTAGENT (SAR-Archiv) aus dem SAP Software Center laden und das Upgrade mit dem installierten Host Agent ausführen – unter Windows als Administrator aus dessen Programmverzeichnis:
cd "C:\Program Files\SAP\hostctrl\exe"
saphostexec.exe -upgrade -archive C:\Temp\SAPHOSTAGENT<SP>.SARUnter Linux entsprechend /usr/sap/hostctrl/exe/saphostexec -upgrade -archive <pfad>/SAPHOSTAGENT<SP>.SAR. Danach zeigt die WebUI den neuen Patch Level und unter Configuration den Menüpunkt SAP Cloud ALM.
3. Cloud ALM vorbereiten
In der Anwendung Verwaltung der Landschaft über das Zahnrad die Konfiguration öffnen:
- Unter Registrierungseinstellungen «Registrierung für unbekannte Systeme zulassen» einschalten. Nur so kann sich ein System registrieren, das Cloud ALM noch nicht kennt.
- Unter SAP-Cloud-ALM-Service-Schlüssel den Service Key des Tenants anzeigen oder herunterladen.
4. Host Agent mit Cloud ALM verbinden
In der WebUI unter Configuration → SAP Cloud ALM die Werte aus dem Service Key eintragen und anschliessend Register wählen (alternativ Register w/ Service Key mit dem kompletten Schlüssel):
| Feld | Quelle im Service Key |
|---|---|
| Token Endpoint | URL des Authentifizierungsdienstes (https://<tenant>.authentication.<region>.hana.ondemand.com) |
| Client ID | clientid |
| Client Secret | clientsecret |
| API URL | https://<region>-<nr>.alm.cloud.sap/api |
Kurz nach der Registrierung erscheint der Web Dispatcher in Cloud ALM als eigenes System vom Typ SAP Web Dispatcher – mit Rolle, Betriebssystem, Host-Agent-Version und Heartbeat.
5. Firewall in der DMZ freigeben
Weil der Host Agent die Verbindung selbst aufbaut, reichen zwei ausgehende Regeln. Wir empfehlen FQDN-Objekte statt fester IP-Adressen, weil sich die Adressen der SAP-Cloud-Dienste ändern können. Vorab lässt sich die Erreichbarkeit unter Windows prüfen:
Test-NetConnection <region>-<nr>.alm.cloud.sap -Port 443
Test-NetConnection <tenant>.authentication.<region>.hana.ondemand.com -Port 443Läuft der Verkehr über einen Proxy oder eine TLS-inspizierende Firewall, muss deren Zertifikat auf dem Host vertrauenswürdig sein – sonst scheitert die Registrierung ohne klare Meldung.
6. Health Monitoring einrichten
Unter Health Monitoring → Konfiguration für Systeme das neue System auswählen, die Überwachung aktivieren und Metriken, Schwellenwerte und Benachrichtigungen prüfen. Die Übersicht gliedert sich danach in die Bereiche Web Dispatcher, Operating System und Host Agent.
Welche Metriken Cloud ALM liefert
SAP liefert für den Web Dispatcher 17 Metriken in drei Bereichen. Die Standard-Schwellenwerte stammen aus unserer Einrichtung; bei Quoten-Metriken sind 80 % (Warnung) und 95 % (kritisch) voreingestellt:
| Bereich | Metrik und Bedeutung | Typ und Standard-Schwellenwert |
|---|---|---|
| Web Dispatcher | Web-Dispatcher-Status Betriebszustand des Web-Dispatcher-Prozesses. | Status: Grün = OK, Gelb = Warnung, Rot und Grau = kritisch |
| Web Dispatcher | ICM-Verbindungen Aktive Verbindungen im ICM – die gesamte eingehende Last auf dem Web Dispatcher. | Quote: 80 / 95 % |
| Web Dispatcher | ICM-Threads Aktive ICM-Worker-Threads im Verhältnis zum konfigurierten Maximum, also die Auslastung der Verarbeitungskapazität. | Quote: 80 / 95 % |
| Web Dispatcher | ICM-Queue-Länge Anfragen, die im ICM auf einen freien Thread warten. Eine wachsende Queue zeigt einen Engpass beim Durchsatz. | Performance, ohne Schwellenwert |
| Web Dispatcher | ICM-Cache-Belegung Belegung des ICM-Speicherpuffers (MPI-Puffer) in Prozent. Hohe Werte bedeuten Speicherdruck, der Antwortzeiten verschlechtert oder Anfragen scheitern lässt. | Quote: 80 / 95 % |
| Web Dispatcher | Connections per System Aktive HTTP/HTTPS-Verbindungen je Backend-System. Zeigt ungleich verteilte Last oder ein gesättigtes Backend. | Quote: 80 / 95 % |
| Web Dispatcher | Reaktionszeit pro System Durchschnittliche Antwortzeit in Millisekunden je Backend-System. Dauerhaft hohe Werte weisen auf Performance-Probleme im Backend oder Netzwerklatenz hin. | Performance, ohne Schwellenwert |
| Web Dispatcher | Stateful Requests pro System Kumulierte Anzahl zustandsbehafteter Anfragen je Backend. Viele im Verhältnis zu stateless können auf eine ungünstige Lastverteilung hindeuten. | Performance, ohne Schwellenwert |
| Web Dispatcher | Stateless Requests pro System Kumulierte Anzahl zustandsloser Anfragen je Backend – die Basis für den Durchsatz pro Backend. | Performance, ohne Schwellenwert |
| Betriebssystem | Host-CPU Aktuelle CPU-Auslastung des Hosts in Prozent. | Quote: 80 / 95 % |
| Betriebssystem | Durchschnittliche CPU-Auslastung des Hosts (Load Average) Durchschnittliche Zahl der Prozesse, die in der letzten Minute auf die CPU gewartet haben. Liegt der Wert dauerhaft über der Zahl der CPU-Kerne, ist die CPU der Engpass. | Performance: 6 / 10 |
| Betriebssystem | Host-Speicher (ohne FS-Cache) Belegter physischer Speicher ohne Dateisystem-Cache, also der tatsächliche Speicherbedarf der Anwendungen. | Quote: 80 / 95 % |
| Betriebssystem | Host-Paging-Bereich Belegung des Swap- bzw. Paging-Bereichs in Prozent. Hohe Werte bedeuten zu wenig physischen Speicher. | Quote: 80 / 95 % |
| Betriebssystem | Dateisystem Belegung jedes eingehängten Dateisystems in Prozent. Volle Dateisysteme führen zu Fehlern und Instabilität. | Quote: 80 / 95 % |
| Betriebssystem | BS-Version Installierte Version und Patch Level des Betriebssystems. | Status, ohne Schwellenwert |
| Host Agent | Heartbeat Regelmässiges Lebenszeichen des SAP Host Agents. Fehlt es, ist der Host oder der Agent nicht erreichbar. | Heartbeat |
| Host Agent | SAP-Host-Agent-Version Installierte Version des SAP Host Agents. | Status, ohne Schwellenwert |
Die Performance-Metriken ohne Schwellenwert sind zunächst nur sichtbar, nicht alarmierend. Für die Reaktionszeit pro System und die ICM-Queue-Länge lohnt es sich, nach ein bis zwei Wochen Beobachtung eigene Schwellen zu setzen. Besonders aussagekräftig sind die Werte pro System: Sie zeigen, ob ein einzelnes Backend langsam ist oder die Last ungleich verteilt wird.
Ereignisse und Benachrichtigungen
Für den Web Dispatcher stellt Cloud ALM acht Ereignisse bereit. Standardmässig ist nicht für alle eine Benachrichtigung aktiv – das sollte man bewusst festlegen:
| Ereignis | Unsere Empfehlung |
|---|---|
| Web Dispatcher Not Running | Benachrichtigung aktivieren, an Bereitschaft |
| Host Agent Not Responding | Benachrichtigung aktivieren – ohne Host Agent fehlen alle Daten |
| ICM Thread Pool Exhaustion | Benachrichtigung aktivieren, typischer Vorbote von Ausfällen |
| ICM Connection Capacity | Benachrichtigung aktivieren |
| ICM Cache Memory Pressure | an das Basis-Team, nicht an die Bereitschaft |
| File System Near Full | Benachrichtigung aktivieren (Traces und Logs wachsen) |
| High Host CPU Utilization | an das Basis-Team |
| High Host Paging Area Usage | an das Basis-Team |
Empfänger und Kanäle (E-Mail, Ticket-System, Microsoft Teams) werden in Cloud ALM über Benachrichtigungen und Alert-Weiterleitung gepflegt. Wer bereits ein ITSM-Tool einsetzt, leitet die kritischen Ereignisse besser dorthin als in ein Sammelpostfach.
Stolpersteine aus der Praxis
Fehlermeldung zur Rolle in Cloud ALM
Beim Aktivieren eines Services in der Landschaftsverwaltung meldete Cloud ALM, die Rolle «Administrator für Landschaftssicherheit» fehle. Die Rolle muss ein Benutzeradministrator des Tenants zuweisen; danach ist eine neue Anmeldung nötig.
«saphostexec.exe» wird nicht gefunden
Wer das SAR-Archiv entpackt und das Upgrade aus dem Entpackverzeichnis startet, erhält unter Windows schnell die Meldung, saphostexec.exe sei kein bekannter Befehl. Zuverlässiger ist der Weg aus Schritt 2: das Upgrade mit dem bereits installierten saphostexec und dem Parameter -archive starten.
Menüpunkt «SAP Cloud ALM» fehlt
Der Host Agent ist zu alt. Nach dem Upgrade auf einen aktuellen Patch Level erscheint der Eintrag unter Configuration; der Host Agent muss dafür nicht neu installiert werden.
Zertifikatswarnung der WebUI
Die WebUI auf Port 1129 meldet sich im Browser oft als «nicht sicher», weil ein selbstsigniertes Zertifikat verwendet wird. Für die Funktion spielt das keine Rolle; für den Betrieb empfiehlt sich trotzdem ein vertrauenswürdiges Zertifikat, und Port 1129 gehört nur in das Administrationsnetz.
Eingebetteter Web Dispatcher wird nicht unterstützt
Läuft der Web Dispatcher als Teil der (A)SCS-Instanz, lässt er sich im Health Monitoring nicht überwachen – SAP unterstützt nur den eigenständigen Web Dispatcher (SAP-Hinweis 908097). Wer ihn überwachen will, sollte ihn ohnehin als eigene Instanz betreiben, idealerweise auf einem eigenen Host in der DMZ. Ältere Aussagen in der SAP Community, der Web Dispatcher werde gar nicht unterstützt, sind damit überholt; bei Problemen beim Aktivieren hilft der KBA 3521509.
Checkliste
- Web Dispatcher läuft eigenständig (standalone), nicht in der (A)SCS-Instanz
- Host Agent auf aktuellen Patch Level, Menüpunkt «SAP Cloud ALM» vorhanden
- Rolle «Administrator für Landschaftssicherheit» zugewiesen
- «Registrierung für unbekannte Systeme zulassen» aktiv
- Service Key vorhanden und vertraulich abgelegt
- Ausgehend TCP 443 zu Token Endpoint und API freigegeben, DNS geprüft
- Host Agent registriert, Heartbeat in Cloud ALM grün
- Benachrichtigungen für «Web Dispatcher Not Running» und «Host Agent Not Responding» aktiv
- Schwellen für Reaktionszeit und ICM-Queue nach einer Beobachtungsphase gesetzt
- Host Agent in den regelmässigen Patch-Zyklus aufgenommen
Häufige Fragen
Braucht der Web Dispatcher in der DMZ eine eingehende Firewall-Freigabe für Cloud ALM?
Wird ein in die ASCS-Instanz eingebetteter Web Dispatcher unterstützt?
Muss auf dem Web-Dispatcher-Host ein Cloud Connector installiert werden?
Welche Version des SAP Host Agents ist nötig?
Was passiert mit dem Client Secret aus dem Service Key?
Fazit
Die Überwachung des SAP Web Dispatchers in SAP Cloud ALM ist mit wenig Aufwand eingerichtet: Host Agent aktualisieren, Service Key hinterlegen, zwei ausgehende Firewall-Regeln – und der Web Dispatcher erscheint mit Status, ICM-Auslastung und Betriebssystemwerten im Health Monitoring. Die eigentliche Arbeit liegt danach in sinnvollen Schwellenwerten und Benachrichtigungen, damit aus Daten auch rechtzeitig Alarme werden.
Sie möchten Ihren Web Dispatcher oder Ihre ganze SAP-Landschaft in Cloud ALM überwachen? Wir richten das Health Monitoring ein und stimmen Schwellen und Benachrichtigungen auf Ihren Betrieb ab – mehr dazu bei unserem SAP Basis Support und im Beitrag SAP Cloud ALM im Überblick.
Quellen
- SAP Help Portal: SAP Cloud ALM – Setup and Administration, Web Dispatcher
- SAP Support Portal: Health Monitoring – SAP Web Dispatcher
- SAP Support Portal: Health Monitoring in SAP Cloud ALM
- SAP-Hinweis 908097: SAP Web Dispatcher – Release, Installation, Patches, Dokumentation
- SAP-Hinweis 1031096: Installing Package SAPHOSTAGENT
- SAP KBA 3521509: Unable to enable monitoring for WebDispatcher on CloudALM
SAP, SAP Cloud ALM und SAP Web Dispatcher sind Marken beziehungsweise eingetragene Marken der SAP SE in Deutschland und anderen Ländern. Die Nennung erfolgt ausschliesslich zu Beschreibungszwecken.
