高级身份验证模式：OAuth 2.1 客户端凭据流

注册无身份验证 MCP 服务器

要实施高级身份验证模式，第一步是在 Agentforce 注册表中注册 MCP 服务器。

创建外部身份验证身份提供商

外部身份验证身份提供商获取 OAuth 令牌，用于外部系统的出站标注。它们是使用 OAuth 2.0 和 2.1 身份验证创建命名凭据和外部凭据的第一步。

1. 从“设置”中，在快速查找框中输入命名凭据，然后选择命名凭据。
2. 单击外部身份验证身份提供商选项卡。
3. 单击新建，并填写以下字段。

   标签	外部身份验证身份提供商的用户友好名称。我们建议使用与您注册的 MCP 服务器相关的标签，您可以在整个身份验证堆栈中使用。
   名称	用于从标注定义和通过 API 引用此外部身份验证身份提供商的唯一标识符。名称仅能包含下划线和字母数字字符。它必须是唯一的，以字母开头，不包括空格，不以下划线结束，且不能包含两个连续的下划线。
   备注	外部身份验证身份提供商的描述。
   验证协议	OAuth 2.0
   身份验证流类型	客户端凭据
   客户端 ID	MCP 服务器的唯一 ID，用于通过授权服务器请求访问。
   客户端密码	只有 MCP 服务器和授权服务器知道的密码，用于在请求访问令牌时对 MCP 服务器进行身份验证。必须保持安全。
   令牌端点 URL	来自授权服务器的 OAuth 令牌 URL。例如，https://auth.partner.com/token

4. 保存更改。

将资源参数添加到外部身份验证身份提供商

将资源参数添加为自定义授权请求参数和自定义令牌请求参数。这是 OAuth 2.0 和 OAuth 2.1 之间的关键区别，前者此参数是可选的，后者此参数是必填项。资源值告诉授权服务器哪个 MCP 服务器接受此令牌。MCP 服务器拒绝任何不匹配的令牌。

备注 一些授权服务器需要不同的参数，例如，受众，而不是资源。其他客户参数也可以遵循这些步骤。

1. 在“自定义请求参数”部分，单击新建。
2. 指定以下字段。

   名称	资源
   值	您正在调用的 API 的 URL 例如 https://api.partner.com。该值与关联的命名凭据 URL 相同，因为它们代表您正在调用的相同 API。资源参数告诉授权服务器令牌用于谁。命名凭据告诉平台将请求发送到何处。
   请求类型	授权请求
   参数位置	查询参数

3. 保存更改。
4. 对这些字段重复这些步骤。

   名称	资源
   值	您正在调用的 API 的 URL 例如 https://api.partner.com。该值与关联的命名凭据 URL 相同，因为它们代表您正在调用的相同 API。资源参数告诉授权服务器令牌用于谁。命名凭据告诉平台将请求发送到何处。
   请求类型	令牌请求
   参数位置	正文参数

5. 保存更改。

https://auth.partner.com/authorize?
 response_type=code
 &client_id=YOUR_CLIENT_ID
 &redirect_uri=https://login.salesforce.com/services/authcallback/...
 &scope=read+write
 &code_challenge=E9Melhoa2OwvFrEMTJguCHaoeK1t8URWbuGJSstw-cM
 &code_challenge_method=S256
 &resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

POST /token HTTP/1.1
Host: auth.partner.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTHORIZATION_CODE
&redirect_uri=https://login.salesforce.com/services/authcallback/...
&client_id=YOUR_CLIENT_ID
&client_secret=YOUR_CLIENT_SECRET
&code_verifier=dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk
&resource=https%3A%2F%2Fapi.partner.com    ← added by the custom parameter

编辑关联的外部凭据

使用外部身份验证身份提供商管理的客户端凭据流的 OAuth 2.0 或 OAuth 2.1 外部凭据使用在链接的外部身份验证身份提供商中配置的客户端标识。

1. 从“设置”中，在快速查找框中输入命名凭据，然后选择命名凭据。
2. 单击外部凭据选项卡。
3. 查找与您注册的 MCP 服务器关联的外部凭据。然后，从下拉菜单中选择编辑。
4. 指定以下字段。

   标签	外部身份验证身份提供商的用户友好名称。我们建议使用与您注册的 MCP 服务器相关的标签，您可以在整个身份验证堆栈中使用。
   名称	用于从标注定义和通过 API 引用此外部凭据的唯一标识符。名称仅能包含下划线和字母数字字符。它必须是唯一的，以字母开头，不包括空格，不以下划线结束，且不能包含两个连续的下划线。
   验证协议	OAuth 2.0
   身份验证流类型	在外部身份验证身份提供商中配置
   范围	可选。MCP 服务器需要客户端访问服务器工具和 API 的权限列表，格式为逗号分隔列表。
   外部身份验证身份提供商	选择您在以上步骤中创建的外部身份验证身份提供商。

5. 保存更改。

（可选）编辑关联的命名凭据

命名凭据指定标注端点的 URL。

1. 从“设置”中，在快速查找框中输入命名凭据，然后选择命名凭据。
2. 单击命名凭据选项卡。
3. 查找与您注册的 MCP 服务器关联的命名凭据。然后，从下拉菜单中选择编辑。
4. 编辑标签、名称和描述。
5. 保存更改。

先决条件

现在，您已为服务器设置身份验证堆栈，请将要与客服人员一起使用的服务器工具列入允许列表，并应用策略（可选）。