Расширенная схема проверки подлинности: Поток регистрационных данных клиента OAuth 2.1

Регистрация сервера MCP без проверки подлинности

Чтобы внедрить схему расширенной проверки подлинности, первым шагом является регистрация сервера MCP в реестре Agentforce.

Создание внешнего поставщика удостоверений подлинности

Внешние поставщики удостоверений подлинности получают маркеры OAuth для исходящих выносок во внешние системы. Они являются первым шагом в создании именованных и внешних регистрационных данных, использующих проверку подлинности OAuth 2.0 и 2.1.

1. Введите строку «Именованные регистрационные данные» в поле «Быстрый поиск» меню «Настройка» и выберите пункт «Именованные регистрационные данные».
2. Нажмите вкладку «Внешний поставщик удостоверений подлинности».
3. Нажмите «Создать» и заполните следующие поля.

   Метка	Пользовательское имя внешнего поставщика удостоверений подлинности. Рекомендуем использовать метку, связанную с регистрируемым сервером MCP, в стеке проверки подлинности.
   Имя	Уникальный идентификатор, используемый для обращения к внешнему поставщику удостоверений подлинности из определений выноски и посредством API. Имя может содержать только буквы, цифры и символы подчеркивания. Имя должно быть уникальным и начинаться с буквы; не может содержать пробелов и двух последовательных символов подчеркивания, а также не может заканчиваться символом подчеркивания.
   Описание	Описание внешнего поставщика удостоверений подлинности.
   Протокол проверки подлинности	OAuth 2.0
   Тип потока проверки подлинности	Регистрационные данные клиента
   Код клиента	Уникальный код сервера MCP, используемый для запроса доступа посредством сервера авторизации.
   Секрет клиента	Пароль, известный только серверу MCP и серверу авторизации, используемый для проверки подлинности сервера MCP при запросе маркеров доступа. Должны быть под охраной.
   URL-адрес конечной точки маркера	URL-адрес маркера OAuth с сервера авторизации. Например, https://auth.partner.com/token

4. Сохраните внесенные изменения.

Добавление параметра ресурса к внешнему поставщику удостоверений подлинности

Добавьте параметр ресурса в качестве настраиваемого параметра запроса авторизации и настраиваемого параметра запроса маркера. Это ключевое отличие между OAuth 2.0, где этот параметр необязателен, и OAuth 2.1, где этот параметр обязателен.Значение ресурса сообщает серверу авторизации, для какого сервера MCP принять этот маркер. Сервер MCP отклоняет любой несоответствующий маркер.

Примечание Некоторые серверы авторизации требуют другого параметра (например, аудитория вместо ресурса). Эти действия можно выполнить и для других параметров клиента.

1. В разделе «Параметры настраиваемого запроса» нажмите «Создать».
2. Укажите следующие поля.

   Имя	ресурс
   Значение	URL-адрес вызываемого API Например, https://api.partner.com Это значение аналогично связанному URL-адресу именованных регистрационных данных, поскольку они представляют тот же API, что и вы. Параметр ресурса сообщает серверу авторизации, для кого предназначен маркер. Именованные регистрационные данные сообщают платформе, куда отправить запрос.
   Тип запроса	Запрос на авторизацию
   Расположение параметра	Параметр запроса

3. Сохраните внесенные изменения.
4. Повторите действия с данными полями.

   Имя	ресурс
   Значение	URL-адрес вызываемого API Например, https://api.partner.com Это значение аналогично связанному URL-адресу именованных регистрационных данных, поскольку они представляют тот же API, что и вы. Параметр ресурса сообщает серверу авторизации, для кого предназначен маркер. Именованные регистрационные данные сообщают платформе, куда отправить запрос.
   Тип запроса	Запрос маркера
   Расположение параметра	Параметр тела

5. Сохраните внесенные изменения.

https://auth.partner.com/authorize?
 response_type=code
 &client_id=YOUR_CLIENT_ID
 &redirect_uri=https://login.salesforce.com/services/authcallback/...
 &scope=read+write
 &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
 &code_challenge_method=S256
 &resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

POST /token HTTP/1.1
Host: auth.partner.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTHORIZATION_CODE
&redirect_uri=https://login.salesforce.com/services/authcallback/...
&client_id=YOUR_CLIENT_ID
&client_secret=YOUR_CLIENT_SECRET
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
&resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

Редактирование связанных внешних регистрационных данных

Внешние регистрационные данные OAuth 2.0 или OAuth 2.1, использующие поток регистрационных данных клиента, управляемый внешним поставщиком удостоверений подлинности, используют идентификацию клиента, настроенную в связанном внешнем поставщике удостоверений подлинности.

1. Введите строку «Именованные регистрационные данные» в поле «Быстрый поиск» меню «Настройка» и выберите пункт «Именованные регистрационные данные».
2. Откройте вкладку «Внешние регистрационные данные».
3. Найдите внешние регистрационные данные, связанные с зарегистрированным сервером MCP. Потом в раскрывающемся меню выберите «Правка».
4. Укажите следующие поля.

   Метка	Пользовательское имя внешнего поставщика удостоверений подлинности. Рекомендуем использовать метку, связанную с регистрируемым сервером MCP, в стеке проверки подлинности.
   Имя	Уникальный идентификатор, используемый для обращения к внешним регистрационным данным из определений выносок через API-интерфейс. Имя может содержать только буквы, цифры и символы подчеркивания. Имя должно быть уникальным и начинаться с буквы; не может содержать пробелов и двух последовательных символов подчеркивания, а также не может заканчиваться символом подчеркивания.
   Протокол проверки подлинности	OAuth 2.0
   Тип потока проверки подлинности	Настройка во внешнем поставщике удостоверений подлинности
   Область	Дополнительно. Список полномочий, необходимых серверу MCP для доступа клиента к инструментам сервера и API, отформатированный как список через запятую.
   Внешний поставщик удостоверений подлинности	Выберите внешнего поставщика удостоверений подлинности, созданного на предыдущих этапах.

5. Сохраните внесенные изменения.

(Дополнительно) Редактирование связанных именованных регистрационных данных

Именованные регистрационные данные определяют URL-адрес конечной точки выноски.

1. Введите строку «Именованные регистрационные данные» в поле «Быстрый поиск» меню «Настройка» и выберите пункт «Именованные регистрационные данные».
2. Нажмите вкладку «Именованные регистрационные данные».
3. Найдите именованные регистрационные данные, связанные с зарегистрированным сервером MCP. Потом в раскрывающемся меню выберите «Правка».
4. Отредактируйте метку, имя и описание.
5. Сохраните внесенные изменения.

Постреквизиты

Теперь, когда вы настроили стек проверки подлинности для сервера, добавьте в список разрешенных инструменты сервера, которые вы хотите использовать с агентом, и, по желанию, примените политики.