Geavanceerd authenticatiepatroon: OAuth 2.1-stroom voor clientinloggegevens

Een MCP-server zonder authenticatie registreren

Voor het implementeren van een geavanceerd authenticatiepatroon is de eerste stap het registreren van een MCP-server in Agentforce Registry.

Een externe authenticatie-identiteitsleverancier maken

Externe authenticatie-identiteitsleveranciers verkrijgen OAuth-tokens voor uitgaande aanroepen naar externe systemen. Ze vormen de eerste stap bij het maken van benoemde en externe inloggegevens die OAuth 2.0- en 2.1-authenticatie gebruiken.

1. Geef vanuit Set-up Benoemde gegevens op in het vak Snel zoeken en selecteer vervolgens Benoemde gegevens.
2. Klik op het tabblad Externe authenticatieleverancier.
3. Klik op Nieuw en vul de volgende velden in.

   Label	Een gebruikersvriendelijke naam voor de externe authenticatie-identiteitsleverancier. We raden een label aan dat is gerelateerd aan de MCP-server die u registreert en dat u kunt gebruiken in de gehele authenticatiestack.
   Naam	Een unieke identifier die wordt gebruikt om naar deze externe authenticatie-identiteitsleverancier te verwijzen vanuit aanroepdefinities en via de API. De naam kan alleen onderstrepingstekens en alfanumerieke lettertekens bevatten. Het moet uniek zijn, beginnen met een letter, mag geen spaties bevatten, mag niet eindigen met een onderstrepingsteken en mag gaan twee opeenvolgende onderstrepingstekens bevatten.
   Beschrijving	Een beschrijving van de externe authenticatie-identiteitsleverancier.
   Authenticatieprotocol	OAuth 2.0
   Type authenticatiestroom	Clientgegevens
   Client-ID	De unieke ID van de MCP-server, die wordt gebruikt om toegang aan te vragen via de autorisatieserver.
   Clientgeheim	Een wachtwoord dat alleen bekend is bij de MCP-server en de autorisatieserver, dat wordt gebruikt om de MCP-server te authenticeren bij het aanvragen van toegangstokens. Moet veilig worden bewaard.
   Token-eindpunt-URL	De OAuth-token-URL van de autorisatieserver. Bijvoorbeeld https://auth.partner.com/token

4. Sla uw wijzigingen op.

De resourceparameter toevoegen aan uw externe authenticatie-identiteitsleverancier

Voeg een resourceparameter toe als een aangepaste autorisatieaanvraagparameter en een aangepaste tokenaanvraagparameter. Dit is het belangrijkste verschil tussen OAuth 2.0, waar deze parameter optioneel is, en OAuth 2.1, waar deze parameter verplicht is.De resourcewaarde geeft aan de autorisatieserver door voor welke MCP-server dit token moet worden geaccepteerd. De MCP-server wijst elk token af dat niet overeenkomt.

Opmerking Sommige autorisatieservers vereisen een andere parameter, bijvoorbeeld doelgroep in plaats van resource. Deze stappen kunnen ook voor andere klantparameters worden gevolgd.

1. Klik in de sectie Aangepaste verzoekparameters op Nieuw.
2. Geef de volgende velden op.

   Naam	resource
   Waarde	De URL van de API die u aanroept Bijvoorbeeld https://api.partner.com Deze waarde is hetzelfde als de gekoppelde URL van het benoemde inloggegeven, omdat deze dezelfde API vertegenwoordigen die u aanroept. De resourceparameter vertelt de autorisatieserver voor wie het token is. Het benoemde inloggegeven geeft het platform aan waar het verzoek naartoe moet worden verzonden.
   Verzoektype	Aanvraag autoriseren
   Parameterlocatie	Queryparameter

3. Sla uw wijzigingen op.
4. Herhaal de stappen met deze velden.

   Naam	resource
   Waarde	De URL van de API die u aanroept Bijvoorbeeld https://api.partner.com Deze waarde is hetzelfde als de gekoppelde URL van het benoemde inloggegeven, omdat deze dezelfde API vertegenwoordigen die u aanroept. De resourceparameter vertelt de autorisatieserver voor wie het token is. Het benoemde inloggegeven geeft het platform aan waar het verzoek naartoe moet worden verzonden.
   Verzoektype	Tokenaanvraag
   Parameterlocatie	Lichaamsparameter

5. Sla uw wijzigingen op.

https://auth.partner.com/authorize?
 response_type=code
 &client_id=YOUR_CLIENT_ID
 &redirect_uri=https://login.salesforce.com/services/authcallback/...
 &scope=read+write
 &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
 &code_challenge_method=S256
 &resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

POST /token HTTP/1.1
Host: auth.partner.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTHORIZATION_CODE
&redirect_uri=https://login.salesforce.com/services/authcallback/...
&client_id=YOUR_CLIENT_ID
&client_secret=YOUR_CLIENT_SECRET
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
&resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

Het gekoppelde externe inloggegeven bewerken

Een extern OAuth 2.0- of OAuth 2.1-inloggegeven dat de stroom Clientinloggegevens gebruikt die wordt beheerd door een externe authenticatie-identiteitsleverancier, gebruikt de clientidentificatie die is geconfigureerd in de gekoppelde externe authenticatie-identiteitsleverancier.

1. Geef vanuit Set-up Benoemde gegevens op in het vak Snel zoeken en selecteer vervolgens Benoemde gegevens.
2. Klik op het tabblad Externe inloggegevens.
3. Zoek het externe inloggegeven dat is gekoppeld aan de MCP-server die u hebt geregistreerd. Selecteer vervolgens Bewerken in het vervolgkeuzemenu.
4. Geef de volgende velden op.

   Label	Een gebruikersvriendelijke naam voor de externe authenticatie-identiteitsleverancier. We raden een label aan dat is gerelateerd aan de MCP-server die u registreert en dat u kunt gebruiken in de gehele authenticatiestack.
   Naam	Een unieke ID die wordt gebruikt om te verwijzen naar dit externe inloggegeven vanuit aanroepdefinities en door middel van de API. De naam kan alleen onderstrepingstekens en alfanumerieke lettertekens bevatten. De naam moet uniek zijn, beginnen met een letter, mag geen spaties bevatten, mag niet eindigen met een onderstrepingsteken en mag gaan twee opeenvolgende onderstrepingstekens bevatten.
   Authenticatieprotocol	OAuth 2.0
   Type authenticatiestroom	Geconfigureerd in een externe authenticatie-identiteitsleverancier
   Bereik	Optioneel. Een lijst machtigingen die de MCP-server nodig heeft voor de client voor toegang tot servertools en API's, opgemaakt als een met komma's gescheiden lijst.
   Externe authenticatie-identiteitsleverancier	Selecteer de externe authenticatie-identiteitsleverancier die u in de vorige stappen hebt gemaakt.

5. Sla uw wijzigingen op.

(Optioneel) Het gekoppelde benoemde gegeven bewerken

Benoemde inloggegevens geven de URL van een eindpunt van een aanroep aan.

1. Geef vanuit Set-up Benoemde gegevens op in het vak Snel zoeken en selecteer vervolgens Benoemde gegevens.
2. Klik op het tabblad Benoemde gegevens.
3. Zoek het benoemde gegeven dat is gekoppeld aan de MCP-server die u hebt geregistreerd. Selecteer vervolgens Bewerken in het vervolgkeuzemenu.
4. Bewerk het label, de naam en de beschrijving.
5. Sla uw wijzigingen op.

Postvereisten

Nu u de authenticatiestack voor uw server hebt ingesteld, plaatst u de servertools op een goedgekeurde lijst die u met uw agent wilt gebruiken en past u desgewenst beleidsvormen toe.