Erweitertes Authentifizierungsmuster: OAuth 2.1-Flow für Client-Anmeldeinformationen

Registrieren eines MCP-Servers ohne Authentifizierung

Zum Implementieren eines erweiterten Authentifizierungsmusters müssen Sie zunächst einen MCP-Server in der Agentforce Registry registrieren.

Erstellen eines Identitätsanbieters für die externe Authentifizierung

Identitätsanbieter für die externe Authentifizierung rufen OAuth-Token für ausgehende Callouts an externe Systeme ab. Sie sind der erste Schritt beim Erstellen von Anmeldeinformationen mit Namen und externen Daten, die die OAuth 2.0- und 2.1-Authentifizierung verwenden.

1. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text Anmeldeinformationen mit Namen ein und wählen Sie dann Anmeldeinformationen mit Namen aus.
2. Klicken Sie auf die Registerkarte Externer Authentifizierungsanbieter.
3. Klicken Sie auf Neu und füllen Sie die folgenden Felder aus.

   Bezeichnung	Ein benutzerfreundlicher Name für den Identitätsanbieter der externen Authentifizierung. Es wird eine Bezeichnung empfohlen, die sich auf den MCP-Server bezieht, den Sie registrieren, und die Sie im gesamten Authentifizierungsstapel verwenden können.
   Name	Eine eindeutige Kennung, die verwendet wird, um über Callout-Definitionen und über die API auf diesen Identitätsanbieter für die externe Authentifizierung zu verweisen. Der Name darf nur Unterstriche und alphanumerische Zeichen enthalten. Der Name muss eindeutig sein, muss mit einem Buchstaben beginnen, darf keine Leerzeichen enthalten und nicht mit einem Unterstrich enden oder zwei aufeinanderfolgende Unterstriche enthalten.
   Beschreibung	Eine Beschreibung für den Identitätsanbieter für die externe Authentifizierung.
   Authentifizierungsprotokoll	OAuth 2.0
   Authentifizierungs-Flow-Typ	Client-Anmeldeinformationen
   Client-ID	Die eindeutige ID des MCP-Servers, die verwendet wird, um den Zugriff über den Autorisierungsserver anzufordern.
   Client-Geheimnis	Ein Kennwort, das nur dem MCP-Server und dem Autorisierungsserver bekannt ist und zur Authentifizierung des MCP-Servers beim Anfordern von Zugriffstoken verwendet wird. Muss sicher sein.
   Token-Endpunkt-URL	Der OAuth-Token-URL des Autorisierungsservers. Beispiel: https://auth.partner.com/token

4. Speichern Sie Ihre Änderungen.

Hinzufügen des Ressourcenparameters zu Ihrem Identitätsanbieter für die externe Authentifizierung

Fügen Sie einen Ressourcenparameter als benutzerdefinierten Autorisierungsanforderungsparameter und einen benutzerdefinierten Tokenanforderungsparameter hinzu. Dies ist der Schlüsselunterschied zwischen OAuth 2.0, wo dieser Parameter optional ist, und OAuth 2.1, wo dieser Parameter erforderlich ist.Der Ressourcenwert teilt dem Autorisierungsserver mit, für welchen MCP-Server dieses Token akzeptiert werden soll. Der MCP-Server lehnt alle Token ab, die nicht übereinstimmen.

Hinweis Für einige Autorisierungsserver ist ein anderer Parameter erforderlich, beispielsweise Zielgruppe statt Ressource. Diese Schritte können auch für andere Kundenparameter ausgeführt werden.

1. Klicken Sie im Abschnitt "Benutzerdefinierte Anforderungsparameter" auf Neu.
2. Geben Sie die folgenden Felder an.

   Name	Ressource
   Wert	Der URL der API, die Sie aufrufen, beispielsweise https://api.partner.com Dieser Wert ist mit dem URL der zugeordneten Anmeldeinformation mit Namen identisch, da er dieselbe API darstellt, die Sie aufrufen. Der Ressourcenparameter informiert den Autorisierungsserver darüber, für wen das Token bestimmt ist. Die Anmeldeinformationen mit Namen geben der Plattform an, wohin sie die Anforderung senden soll.
   Anforderungstyp	Autorisierungsanforderung
   Parameterposition	Abfrageparameter

3. Speichern Sie Ihre Änderungen.
4. Wiederholen Sie die Schritte mit diesen Feldern.

   Name	Ressource
   Wert	Der URL der API, die Sie aufrufen, beispielsweise https://api.partner.com Dieser Wert ist mit dem URL der zugeordneten Anmeldeinformation mit Namen identisch, da er dieselbe API darstellt, die Sie aufrufen. Der Ressourcenparameter informiert den Autorisierungsserver darüber, für wen das Token bestimmt ist. Die Anmeldeinformationen mit Namen geben der Plattform an, wohin sie die Anforderung senden soll.
   Anforderungstyp	Tokenanforderung
   Parameterposition	Textparameter

5. Speichern Sie Ihre Änderungen.

https://auth.partner.com/authorize?
 response_type=code
 &client_id=YOUR_CLIENT_ID
 &redirect_uri=https://login.salesforce.com/services/authcallback/...
 &scope=read+write
 &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
 &code_challenge_method=S256
 &resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

POST /token HTTP/1.1
Host: auth.partner.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTHORIZATION_CODE
&redirect_uri=https://login.salesforce.com/services/authcallback/...
&client_id=YOUR_CLIENT_ID
&client_secret=YOUR_CLIENT_SECRET
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
&resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

Bearbeiten der zugeordneten externen Anmeldeinformationen

Externe OAuth 2.0- oder OAuth 2.1-Anmeldeinformationen, die den von einem externen Authentifizierungsanbieter verwalteten Flow für Client-Anmeldeinformationen verwenden, verwenden die Client-Identifikation, die im verknüpften externen Authentifizierungsanbieter konfiguriert ist.

1. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text Anmeldeinformationen mit Namen ein und wählen Sie dann Anmeldeinformationen mit Namen aus.
2. Klicken Sie auf die Registerkarte Externe Anmeldeinformationen.
3. Suchen Sie nach den externen Anmeldeinformationen, die dem MCP-Server zugeordnet sind, den Sie registriert haben. Wählen Sie dann im Dropdown-Menü Bearbeiten aus.
4. Geben Sie die folgenden Felder an.

   Bezeichnung	Ein benutzerfreundlicher Name für den Identitätsanbieter der externen Authentifizierung. Es wird eine Bezeichnung empfohlen, die sich auf den MCP-Server bezieht, den Sie registrieren, und die Sie im gesamten Authentifizierungsstapel verwenden können.
   Name	Eine eindeutige Kennung, die verwendet wird, um über Callout-Definitionen und durch die API auf diese externen Anmeldeinformationen zu verweisen. Der Name darf nur Unterstriche und alphanumerische Zeichen enthalten. Der Name muss eindeutig sein, muss mit einem Buchstaben beginnen, darf keine Leerzeichen enthalten und nicht mit einem Unterstrich enden oder zwei aufeinanderfolgende Unterstriche enthalten.
   Authentifizierungsprotokoll	OAuth 2.0
   Authentifizierungs-Flow-Typ	Konfiguriert in einem Identitätsanbieter für die externe Authentifizierung
   Umfang	Optional. Eine Liste der Berechtigungen, die der MCP-Server benötigt, damit der Client auf Servertools und APIs zugreifen kann, formatiert als kommagetrennte Liste.
   External Auth Identity Provider (Identitätsanbieter für die externe Authentifizierung)	Wählen Sie den Identitätsanbieter für die externe Authentifizierung aus, den Sie in den vorherigen Schritten erstellt haben.

5. Speichern Sie Ihre Änderungen.

(Optional) Bearbeiten der zugeordneten Anmeldeinformationen mit Namen

Anmeldeinformationen mit Namen geben den URL eines Callout-Endpunkts an.

1. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text Anmeldeinformationen mit Namen ein und wählen Sie dann Anmeldeinformationen mit Namen aus.
2. Klicken Sie auf die Registerkarte Anmeldeinformationen mit Namen.
3. Suchen Sie nach den Anmeldeinformationen mit Namen, die dem MCP-Server zugeordnet sind, den Sie registriert haben. Wählen Sie dann im Dropdown-Menü Bearbeiten aus.
4. Bearbeiten Sie die Bezeichnung, den Namen und die Beschreibung.
5. Speichern Sie Ihre Änderungen.

Voraussetzungen

Nachdem Sie den Authentifizierungsstapel für Ihren Server eingerichtet haben, setzen Sie die Servertools, die Sie mit Ihrem Agenten verwenden möchten, auf die Zulassungsliste und wenden Sie optional Richtlinien an.