OAuth によるアプリケーションの承認
OAuth は、クライアントアプリケーションを承認し、トークンを交換して保護されたリソースのデータにアクセスできるようにするオープンプロトコルです。基本的に、OAuth トークンはクライアントアプリケーションに付与される権限です。
必要なエディション
| 使用可能なインターフェース: Salesforce Classic および Lightning Experience の両方 |
| 使用可能なエディション: すべてのエディション |
リソースサーバーは、トークンを検証し、定義済みの保護されたリソースへのアクセスをクライアントアプリケーションに許可できます。Salesforce では、OAuth 認証を使用して、クライアントアプリケーションが組織の保護されたリソースにアクセスすることを承認できます。
重要 ユーザーの ID を認証するために OAuth を個別に使用することはできません。代わりに、OAuth 認証に加えて OpenID Connect を認証サービスとして使用します。
- OAuth 認可フロー
OAuth 認可フローは、クライアントアプリケーションにリソースサーバーの保護されたリソースへの制限付きアクセス権を付与します。クライアントアプリケーションへのアクセスを承認するプロセスは各 OAuth フローで異なりますが、一般的なフローは 3 つの主要なステップで構成されます。クライアントアプリケーションは、認可フローを開始するために、保護されたリソースへのアクセスを要求します。応答として、認証サーバーはアクセストークンをクライアントアプリケーションに付与します。その後、リソースサーバーは、これらのアクセストークンを検証し、保護されたリソースへのアクセスを承認します。 - UI セッションに連結するためのフロントドア URL の生成
ユーザーが Salesforce や他のアプリケーションを中断せずにアクセスできるようにするには、既存のセッションを使用して、ユーザーがログイン情報を再度入力することなく自動的に新しい UI にログインできるようにします。たとえば、ユーザーをカスタムアプリケーションから Salesforce の特定のレコードにリダイレクトします。あるセッションから別のセッションにブリッジするには、シングルアクセス UI ブリッジ API (UI Bridge API の略称) を使用します。この API を使用して、アクセストークンをフロントドア URL と交換し、新しいセッションの読み込みに使用できます。新しいセッションが開始されたときにユーザーを送信するリダイレクト URI を指定することもできます。 - Proof Key for Code Exchange (PKCE) 拡張
OAuth および認証プロバイダー実装のセキュリティを強化するには、OAuth 2.0 Proof Key for Code Exchange (PKCE) 拡張を使用します。PKCE は、組織全体で要求することも、特定の接続アプリケーションで要求することも、サポートされる認証プロバイダーで自動的に有効化することもできます。 - OAuth トークンおよび範囲
OAuth トークンは保護されたリソースへのアクセスを承認します。認証後、接続アプリケーションはクライアントの代わりにトークンを受信します。範囲は、接続アプリケーションがアクセスできる保護されたリソースの種別をさらに定義します。接続アプリケーションの作成時に範囲を割り当てると、認証フロー中に OAuth トークンに範囲が含まれます。 - アクセストークン
アクセストークンは Salesforce API に不可欠です。クライアントが認証フローを正常に完了したら、標準 OAuth 2.0 フローであるか、ヘッドレス ID フローであるかに関係なく、Salesforce は保護されている Salesforce データにアクセスするために使用できるアクセストークンを発行します。Salesforce では、不透明トークンと JSON Web トークン (JWT) ベースの 2 種類のアクセストークンがサポートされています。各種別には、使用事例に基づく独自のメリットと制限があります。 - Data Cloud アクセストークンの取り消し
Data Cloud アクセストークンを取り消して、Salesforce Data Cloud データへのクライアントアクセスを削除します。 - Oauth カスタム範囲
外部クライアントアプリケーションは、OAuth 認証プロトコルを使用して保護されたリソースにアクセスできます。プロトコルに含まれる OAuth デフォルト範囲によって、アプリケーションが Salesforce 内の保護されたリソースにアクセスする権限が微調整されます。ただし、保護されたリソースを外部エンティティがホストしている場合、これらのデフォルト範囲では不十分です。このシナリオでは、Salesforce は OAuth 認証プロバイダーの役割を果たしますが、保護するリソースに関する情報をほとんど持っていません。外部エンティティによってホストされる保護されたリソースにアクセスするための外部クライアントアプリケーションの権限を定義するには、OAuth カスタム範囲を作成します。カスタム範囲は、外部クライアントアプリケーションがどの情報にアクセスできるかを外部エンティティに指示します。 - ID URL
ID URL は、OAuth 2.0 ユーザーエージェントまたは Web サーバーフローを使用してアクセスできる Salesforce Identity サービスへのゲートウェイです。これらのフローでは、id範囲を持つ接続アプリケーションが正常に承認された場合、アクセストークンと共に ID URL を受信します。その後、接続アプリケーションは、アクセストークンのある GET 要求を ID URL に送信します。応答として、Salesforce はクエリ対象ユーザーと組織に関する詳細を返します。 - OAuth エンドポイント
OAuth エンドポイントとは、Salesforce に対する OAuth 認証要求を行うために使用する URL です。各 OAuth フローには、使用するエンドポイントと指定する要求データが定義されています。 - OAuth 2.0 エコーエンドポイント
単一ページアプリケーションなどの公開クライアントの認証コードとログイン情報フローを設定する場合、OAuth 2.0 エコーエンドポイントを使用して開発を簡略化します。ヘッドレス登録、パスワードなしのログイン、ゲストユーザーフローなどの認証コードとログイン情報フローのバリエーションでこのエンドポイントを使用することもできます。 - OAuth エンドポイント用の CORS の有効化
Web アプリケーションでは、クロスオリジンリソース共有 (CORS) を使用して、他のオリジンからのリソースを要求します。たとえば、Web ページで CORS を使用して [私のドメイン] のログイン URL または Experience Cloud サイトの URL からユーザーに関する情報を要求できます。公開および許可リストに登録された Web ページに加えて、Salesforce では [私のドメイン] のログイン URL または Experience Cloud サイトの URL から要求された場合に特定の OAuth エンドポイントの CORS がサポートされます。 - ユーザー情報のクエリ
接続アプリケーションは、UserInfo エンドポイントで接続アプリケーションのアクセストークンに関連付けられたユーザーに関する情報を照会できます。Salesforce は、ユーザーに関する基本的な個人情報と、接続アプリケーションが通信できる重要なエンドポイント (写真、アクセス可能な API エンドポイントなど) を返します。UserInfo エンドポイントは、現在のユーザーに対してのみ、情報へのアクセスを提供します。組織の他のユーザーへのアクセスは提供しません。 - OpenID Connect 設定のクエリ
OpenID Connect 検出エンドポイントを使用して Salesforce OpenID Connect 設定に関する情報を照会します。Salesforce は、エンドポイント、サポートされる範囲、および OpenID Connect 認証で使用するその他の値に関する基本情報を返します。 - SAML 認証設定の照会
認証設定エンドポイントを照会し、組織または Experience Cloud サイトの SAML シングルサインオン (SSO) および認証プロバイダーの設定に関する情報を確認できます。オンデマンドでこうした情報を必要とするアプリケーションを開発するときに、この機能を使用します。
関連項目:
この記事で問題は解決されましたか?
ご意見をお待ちしております。