接続アプリケーションの使用制限変更の準備

新しいユーザー権限「インストールされていない接続アプリケーションを承認」

この新しいユーザー権限は、システム管理者標準プロファイルに自動的に割り当てられます。システム管理者標準プロファイルから以前にコピーしたプロファイルを含め、カスタムプロファイルは自動的に更新されません。

2025 年 9 月に接続アプリケーションの使用制限が適用されると、このユーザー権限では新しい使用制限を回避して、未インストール接続アプリケーションを使用するためのアクセス権が付与されます。システム管理者や接続アプリケーションのインテグレーションの管理またはテストに関与するユーザーなど、信頼性の高いユーザーのみに割り当てる必要があります。
このユーザー権限を割り当てるときは、十分に注意することをお勧めします。たとえば、システム管理者ユーザーと接続アプリケーションのインテグレーションを管理し、他のエンドユーザーがアクセスできるように組織にアプリケーションをインストールする前にテストする必要があるユーザーにのみ付与します。

変更に向けた準備

周知計画

システム管理者または接続アプリケーションの管理を担当するユーザーは、次のことを行う必要があります。

• 変更についてエンドユーザーに周知し、ユーザーが接続アプリケーションにアクセスできない場合の問題を回避します。次に例を示します。「9 月上旬以降、未インストールアプリケーションへのアクセス制限が実施されたため、一部の接続アプリケーションへのアクセスで問題が発生する可能性があります。問題が発生した場合は、Salesforce 組織のシステム管理者に連絡して、アクセスしようとしているアプリケーションの名前とアクセスが必要な理由を伝えてください。」
• 最小権限の原則に従って、未インストールアプリケーションの新しいエンドユーザーアクセス要求を処理するプロセスを確立します。
• Signature および Premier のお客様は、セキュリティ担当者の情報を更新し、今後のセキュリティに関する変更について情報を受け取れるようにしてください。詳細なガイダンスについては、「Salesforce 組織のセキュリティ担当者の管理」の記事を参照してください。

接続アプリケーションの OAuth 利用状況の確認

接続アプリケーションの管理を担当するシステム管理者またはユーザーは、接続アプリケーションの OAuth 利用状況を確認して、現在使用されている未インストールアプリケーションを特定し、そのアプリケーションが信頼済みでインストールが必要か、信頼されていないアプリケーションでありブロックする必要があるかを判断します。
変更前にこの手順を実行し、信頼済みアプリケーションをインストールすると、継続的なユーザーアクセスを確保し、中断を最小限に抑えることができます。信頼済みアプリケーションをインストールしないと、この変更が有効になったときにほとんどのエンドユーザーがこれらのアプリケーションを使用できなくなります。レビュープロセスは変更後にも行われる可能性があるため、最小権限の原則を維持するために接続アプリケーションの使用状況を定期的にレビューすることをお勧めします。

1. [設定] で [接続アプリケーションの OAuth 利用状況] を検索して選択します。
2. [アクション] 列を確認します。アプリケーションがインストールされていない場合、アクション列に [インストール] ボタンが表示されます。

3. [インストール] ボタンが表示されているアプリケーションごとに、アプリケーションの詳細とユーザー数を確認します。

4. アプリケーションを使用しているユーザーに関する詳細情報を表示するには、[ユーザー数] 列の数値をクリックします。アプリケーションを使用しているユーザー、最初に接続した日時、最後に使用した日時、使用数を確認できます。

   

5. 未インストールアプリケーションを 2 つのカテゴリにグループ化します。
   a. 信頼済みアプリケーション
   b. 信頼されていないアプリケーション - 見覚えのないアプリケーション名や異常な使用パターンを探します。

信頼済み接続アプリケーションのインストール

1. [設定] で [接続アプリケーション OAuth 利用状況] を検索して選択します。
2. 信頼済みアプリケーションごとに、[インストール] をクリックします。Salesforce でインストールページが表示されます。
3. もう一度 [インストール] をクリックします。

インストール後の接続アプリケーションへのアクセスの管理

接続アプリケーションの組織へのインストールが完了したら、接続アプリケーションへのアクセスを管理できます。接続アプリケーションにアクセスできるユーザーを設定するには、[許可されているユーザー] 設定を選択します。

1. [設定] で [クイック検索] ボックスに「接続アプリケーション」と入力し、[接続アプリケーションを管理する] を選択します。
2. アクセス設定を行う接続アプリケーションの横にある [編集] をクリックします。
3. [OAuth ポリシー] で [許可されているユーザー ] ドロップダウンメニューをクリックし、次のいずれかのオプションを選択します。

• すべてのユーザーは自己承認可能 (デフォルト) — 組織のすべてのユーザーがサインインに成功した後にアプリケーションを承認できるようにします。ユーザはアプリケーションに初めてアクセスするときに、アプリケーションを承認する必要があります。
• 管理者が承認したユーザーは事前承認済み — 関連付けられたプロファイルまたは権限セットを持つユーザーのみがアプリケーションにアクセスできます。このユーザーは最初にアプリケーションを承認する必要はありません。このオプションを選択した後、各プロファイルの [接続アプリケーションへのアクセス] リストを編集して、アプリケーションのプロファイルを管理します。または、各権限セットの [割り当てられた接続アプリケーション] リストを編集して、アプリケーションの権限セットを管理します。
• Group Edition 組織では、プロファイルを使用して個々のユーザーアクセスを管理することはできません。ただし、接続アプリケーションの OAuth 設定を編集するときに、すべてのユーザーのアクセスを管理できます。

注意: [管理者が承認したユーザーは事前承認済み] 設定を使用することをお勧めします。この設定では、管理者がプロファイルと権限セットを使用してアクセス権を明示的に付与し、アクセス権を承認されたユーザーのみに制限することで、接続アプリケーションにアクセスできるユーザーを細かく制御できます。

接続アプリケーションへのアクセスの管理の詳細については、こちらのヘルプ記事を参照してください。

信頼されてない接続アプリケーションのブロック

このステップにより、ユーザーは信頼されていないアプリケーションにアクセスできなくなります。アプリケーションをブロックすると、現在のすべてのユーザーセッションが終了し、以降のセッションが阻止されます。

1. アプリケーションアクセスの変更についてユーザーに通知します。
2. [設定] で [接続アプリケーションの OAuth 利用状況] を検索して選択します。
3. 信頼されていないアプリケーションごとに、[ブロック] をクリックします。

エンドユーザーエラーメッセージ

未インストール接続アプリケーションへのアクセスがブロックされたユーザーには、エラーメッセージが表示されます。エラー動作は、組織で API アクセスコントロールが有効になっているかどうかによって異なります 

エラーシナリオ: API アクセスコントロールが有効になっていない場合

API アクセスコントロールが有効になっていない場合、エンドユーザーが未インストールアプリケーションにアクセスしようとすると、UI に次のエラーメッセージが表示されます。「OAuth エラーのため、あなたを認証できません。詳細は、Salesforce システム管理者にお問い合わせください。」というメッセージと「OAUTH_APPROVAL_ERROR_GENERIC」メッセージが表示されます。

エラーの詳細は、URL のパラメーターとして返されます。

• error=invalid_client

• error_description=app must be installed into org

このエラーを含む URL の例を次に示します。

https://example[.]com?error=invalid_client&error_description=app+must+be+installed+into+org

エラーシナリオ: API アクセスコントロールが有効になっている場合

API アクセス コントロールが有効になっている場合、エンドユーザは接続アプリケーションの OAuth 設定で設定されたコールバック URL (redirect_uri) にリダイレクトされます。

エラーの詳細は、URL のパラメーターとして返されます。

• error=OAUTH_APP_BLOCKED

• error_description=this+app+is+blocked+by+admin

このエラーを含む URL の例を次に示します。

https://example[.]com?error=OAUTH_APP_BLOCKED&error_description=this+app+is+blocked+by+admin

エラーシナリオ:  適切な権限を持つユーザーが接続アプリケーションをインストールする際、「Sandbox アプリケーションを外部の非 Sandbox 組織にインストールすることはできません」というエラーメッセージが表示される

このシナリオの対応手順については、記事 「Resolving "Cannot Install a Sandbox App" Error for Connected Apps」 を参照してください。

エラーシナリオ:  設定の「接続アプリケーションの OAuth の利用状況」で、接続アプリケーションの「インストール/アンインストール」ボタンが表示されない。

接続アプリケーションの OAuth の利用状況ページで、接続アプリケーションに「インストール/アンインストール」のボタンが表示されず、「ブロック」が表示される場合、その接続アプリケーションは明示的に組織に作成・インストールされていることを示します。組織内で作成・管理される接続アプリケーションにはインストールボタンは表示されません。

エラーシナリオ:  ユーザー/管理者が接続アプリケーションのインストールを試みた際にブロックされ、「このアプリケーションはすでにインストールされています」というエラーメッセージが表示される

同じ名前の接続アプリケーションが重複している場合、インストールできるのは 1 インスタンスのみです。

以下の手順をお試しください：

1- 既存の接続アプリケーションをリネームする – 接続アプリケーションの所有者である場合は、既存アプリケーションのラベルを更新し、再度インストールを試みてください。管理パッケージ経由の接続アプリケーションの場合は、パッケージ提供元に連絡しラベルの更新を依頼してください。

2 - 削除 接続アプリケーションの所有者である場合、以下の手順で既存のアプリケーションを削除できます。（使用されていない場合）

削除手順：設定 > アプリケーションマネージャー > アプリ名を検索 > ドロップダウンをクリック > [参照]をクリック > 削除オプションが表示されます。

注意：既存アプリケーションを削除する前に、使用されていないことを必ず確認してください。削除は現在の設定に影響を与える可能性があります。新しい接続アプリケーションのインストールを続行してください。また、管理パッケージに含まれている接続アプリケーションの削除はできません（これらのコンポーネントは管理パッケージの一部であるため）。接続アプリケーションのラベルの変更については、パッケージ提供元へ連絡してください。

よくある質問 (FAQ)

「アンインストール済み接続アプリケーション」とは何ですか？また、使用されているアプリケーションを特定するにはどうすればよいですか？

「アンインストール済み接続アプリケーション」とは、お客様組織のシステム管理者が組織に明示的にインストールしたアプリケーションではありません。組織のユーザーがログインし、OAuth 認証ページを介してアクセスを許可することで直接承認したものです。

未インストール接続アプリケーションを見つけるには、[設定] の「接続アプリケーションの OAuth 利用状況」ページに移動します。「アクション」列に「インストール」ボタンが表示されているアプリケーションを探します。これらが新しい制限の影響を受けるアプリケーションです。なお、最近使用されていないアプリケーションはこのページに表示されない場合がありますのでご注意ください。

この機能変更にはどのような利点がありますか?
この更新により、接続アプリケーションの制御が強化され、不正な接続アプリケーションアクセスのリスクが軽減されます。

この変更による影響は?
ユーザーは、未インストール接続アプリケーションへのアクセスをブロックされます。新しい接続アプリケーションにアクセスするには、アプリケーションが組織にインストールされている必要があります。以前にインストールされていない接続アプリケーションを承認したユーザーは引き続きそれらのアプリケーションを使用できますが、新しいユーザーが同じ未インストールアプリケーションにアクセスしようとするとブロックされます。また、ユーザーが以前にアプリケーションを承認していたとしても、OAuth 2.0 デバイスフローを使用する未インストールアプリケーションの使用はすべてブロックされます。
インストールされていない接続アプリケーションを使用するには、特定のユーザー権限 (「インストールされていない接続アプリケーションを承認」および「任意の API クライアントを使用」) が必要になりました。これらの権限では、未インストール接続アプリケーションの使用制限を回避できるため、割り当てには注意することをお勧めします。たとえば、システム管理者や開発者など、接続アプリケーションを管理するユーザーにのみこれらの権限を付与することもできます。これらのユーザーは、他のエンドユーザーがアクセスできるように組織にアプリケーションをインストールする前に、接続アプリケーションをテストする必要があります。

この変更の影響を受けないものはありますか?
この変更より前にインストールされた接続アプリケーションは、中断することなく引き続き機能します。
この変更の前に Salesforce エンドユーザーが接続アプリケーションを承認している場合、そのユーザーは、組織にアプリケーションがインストールされていなくても、中断することなく引き続き使用できます。

APIアクセス制御と新しい接続アプリケーションの使用制限の違いは何ですか?
API アクセスコントロールは、ユーザーが Salesforce API にアクセスすることを制限するために使用できる既存のオプション機能です。この機能を有効にすると、ユーザーは許可リストに登録された特定の接続アプリケーションを介してのみ Salesforce API にアクセスできます。許可リストの条件を決定できます。API アクセス制御を有効にするには、Salesforce カスタマーサポートにお問い合わせください。
新しい接続アプリケーションの使用制限は、すべての組織で自動的に有効になる新しい必須の制限です。無効にすることはできません。エンドユーザーが未インストール接続アプリケーションにアクセスすることが制限されます。

組織内で作成および管理されている接続アプリケーションへの影響はありますか？ 

組織内で作成および管理されている接続アプリケーションに、この変更による影響はありません。

自分の組織に変更が適用されたことを確認するにはどうすればよいですか？ 

組織へ未インストール接続アプリケーションの制限が正常に適用されたかどうかは以下をご確認ください。

• 未接続ユーザーでテストする: 未接続ユーザーで未インストール接続アプリケーションの自己承認を試みます。
• エラーメッセージを探す: ユーザーがブロックされ、URLのエラー詳細（error_description）に「app must be installed into org」と表示された OAuth エラーメッセージが表示された場合、変更は適用されています。

なお、システム管理者は、これらの制限が完全に展開される前であっても、[設定]で標準のシステム管理者プロファイルに「インストールされていない接続アプリケーションを承認」ユーザー権限が割り当てられているのを確認できる場合があります。

ブラウザ拡張機能への影響はありますか？ 

ブラウザ拡張機能は他の接続アプリケーションと同様、同じ制限の対象となります。

これらの変更は、以前に未インストールのアプリケーションを承認した既存のユーザーと、初めてアクセスしようとする新規ユーザーとでは、どのように影響が異なりますか？

• 既存ユーザーの利用：以前に未インストールのアプリケーションを承認したユーザー（かつ、OAuth 2.0デバイスフローを使用していない場合）は、直ちに中断することなく引き続き使用できます。
• 新規ユーザーの利用：既存ユーザーにて以前に承認された未インストールアプリケーションでも、すべての新規ユーザーはブロックされます。
• OAuth 2.0デバイスフローの影響：特にOAuth 2.0デバイスフローを使用する未インストールアプリケーションの利用は、ユーザーがこの変更前にアプリケーションを承認していたとしてもブロックされます。デバイスフローは通常、入力機能が制限されたデバイスで使用されます。