高度な認証パターン: OAuth 2.1 クライアントログイン情報フロー

No Auth MCP Server の登録

高度な認証パターンを実装するには、まず MCP サーバを Agentforce レジストリに登録します。

外部認証 ID プロバイダーの作成

外部認証 ID プロバイダーは、外部システムへの発信コールアウト用の OAuth トークンを取得します。これは、OAuth 2.0 および 2.1 認証を使用する指定ログイン情報と外部ログイン情報を作成するための最初のステップです。

1. [設定] から、[クイック検索] ボックスに「指定ログイン情報」と入力し、[指定ログイン情報] を選択します。
2. ［External Auth Identity Provider］ タブをクリックします。
3. [新規] をクリックし、次のフィールドに入力します。

   表示ラベル	外部認証 ID プロバイダーのわかりやすい名前。登録する MCP サーバーに関連し、認証スタック全体で使用できる表示ラベルをお勧めします。
   名前	コールアウト定義および API からこの外部認証プロバイダーを参照する場合に使用される一意の ID。名前には、アンダースコアと英数字のみを使用できます。一意であること、最初は文字であること、空白は使用しない、最後にアンダースコアを使用しない、2 つ続けてアンダースコアを使用しないという制約があります。
   説明	外部認証 ID プロバイダーの説明。
   認証プロトコル	OAuth 2.0
   認証フロー種別	クライアントログイン情報
   クライアント ID	認証サーバー経由でアクセスを要求するために使用される MCP サーバーの一意の ID。
   クライアントの秘密	MCP サーバーと認証サーバーのみが知っているパスワード。アクセストークンを要求するときに MCP サーバーを認証するために使用されます。セキュリティを維持する必要があります。
   トークンエンドポイント URL	認証サーバーからの OAuth トークン URL。例: https://auth.partner.com/token

4. 変更内容を保存します。

外部認証 ID プロバイダーへのリソースパラメーターの追加

resource パラメーターをカスタム認証要求パラメーターおよびカスタムトークン要求パラメーターとして追加します。これは、このパラメーターが省略可能な OAuth 2.0 と、このパラメーターが必須の OAuth 2.1 の主な違いです。リソース値は、このトークンを受け入れる MCP サーバーを認証サーバーに指示します。MCP サーバーは、一致しないトークンを拒否します。

メモ 一部の認証サーバーでは、リソースではなく利用者など、異なるパラメーターが必要です。この手順は、他の顧客パラメーターでも実行できます。

1. [Custom Request Parameters (カスタム要求パラメーター)] セクションで、[新規] をクリックします。
2. 次の項目を指定します。

   名前	リソース
   値	コールする API の URL (例: https://api.partner.com)。この値は、コールする API と同じ API を表すため、関連付けられた指定ログイン情報 URL と同じです。resource パラメーターは、トークンの目的を認証サーバーに指示します。指定ログイン情報は、要求の送信先をプラットフォームに指示します。
   要求種別	承認要求
   パラメータの場所	クエリパラメーター

3. 変更内容を保存します。
4. 次の項目でこの手順を繰り返します。

   名前	リソース
   値	コールする API の URL (例: https://api.partner.com)。この値は、コールする API と同じ API を表すため、関連付けられた指定ログイン情報 URL と同じです。resource パラメーターは、トークンの目的を認証サーバーに指示します。指定ログイン情報は、要求の送信先をプラットフォームに指示します。
   要求種別	トークン要求
   パラメータの場所	Body パラメーター

5. 変更内容を保存します。

https://auth.partner.com/authorize?
 response_type=code
 &client_id=YOUR_CLIENT_ID
 &redirect_uri=https://login.salesforce.com/services/authcallback/...
 &scope=read+write
 &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
 &code_challenge_method=S256
 &resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

POST /token HTTP/1.1
Host: auth.partner.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTHORIZATION_CODE
&redirect_uri=https://login.salesforce.com/services/authcallback/...
&client_id=YOUR_CLIENT_ID
&client_secret=YOUR_CLIENT_SECRET
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
&resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

関連付けられた外部ログイン情報の編集

外部認証 ID プロバイダーによって管理されるクライアントログイン情報フローを使用する OAuth 2.0 または OAuth 2.1 外部ログイン情報では、リンクされた外部認証 ID プロバイダーで設定されたクライアント ID が使用されます。

1. [設定] から、[クイック検索] ボックスに「指定ログイン情報」と入力し、[指定ログイン情報] を選択します。
2. [External Credentials (外部ログイン情報)] タブをクリックします。
3. 登録した MCP Server に関連付けられた外部ログイン情報を見つけます。次に、ドロップダウンメニューから [編集] を選択します。
4. 次の項目を指定します。

   表示ラベル	外部認証 ID プロバイダーのわかりやすい名前。登録する MCP サーバーに関連し、認証スタック全体で使用できる表示ラベルをお勧めします。
   名前	コールアウト定義および API からこの外部ログイン情報を参照する場合に使用される一意の ID。名前には、アンダースコアと英数字のみを使用できます。一意であること、最初は文字であること、空白は使用しない、最後にアンダースコアを使用しない、2 つ続けてアンダースコアを使用しないという制約があります。
   認証プロトコル	OAuth 2.0
   認証フロー種別	外部認証 ID プロバイダーで設定されている
   範囲	省略可能。クライアントがサーバーツールおよび API にアクセスするために MCP サーバーが必要とする権限のリスト。カンマ区切りリストとして書式設定されます。
   External Auth Identity Provider	前のステップで作成した外部認証 ID プロバイダーを選択します。

5. 変更内容を保存します。

(省略可能) 関連付けられた指定ログイン情報の編集

指定ログイン情報では、コールアウトエンドポイントの URL を指定します。

1. [設定] から、[クイック検索] ボックスに「指定ログイン情報」と入力し、[指定ログイン情報] を選択します。
2. [指定ログイン情報] タブをクリックします。
3. 登録した MCP Server に関連付けられた指定ログイン情報を見つけます。次に、ドロップダウンメニューから [編集] を選択します。
4. 表示ラベル、名前、説明を編集します。
5. 変更内容を保存します。

前提条件

サーバーの認証スタックを設定したら、エージェントで使用するサーバーツールを許可リストに登録し、必要に応じてポリシーを適用します。