Aktivieren von OAuth-Einstellungen für die API-Integration

Im Geräte-Flow wird kein Rückmeldungs-URL verwendet. Wenn dieser Flow aktiviert ist, wird als Wert für den Rückmeldungs-URL jedoch standardmäßig ein Platzhalter verwendet. Sie können bei Bedarf einen Rückmeldungs-URL angeben, beispielsweise wenn derselbe Client für einen anderen Flow verwendet wird.

Je nachdem, welchen OAuth-Flow Sie verwenden, wird als URL in der Regel derjenige ausgewählt, zu dem der Browser eines Benutzers nach einer erfolgreichen Autorisierung umgeleitet wird.

Da dieser URL bei einigen OAuth-Flows für die Übergabe eines Zugriffstokens verwendet wird, muss für den URL sicheres HTTP (HTTPS) oder ein benutzerdefiniertes URI-Schema verwendet werden.

Wenn Sie zur Laufzeit mehrere Rückmeldungs-URLs eingeben, gleicht Salesforce den durch die Anwendung angegebenen Rückmeldungs-URL-Wert mit einem der Werte im Rückmeldungs-URL ab. Er muss mit einem der Werte übereinstimmen, um die Validierung zu bestehen. Trennen Sie mehrere Rückmeldungs-URLs durch Zeilenumbrüche. Das Feld für den Rückmeldungs-URL ist auf insgesamt 2.000 Zeichen begrenzt. Wenn Sie mehrere URLs eingeben, die diese Obergrenze überschreiten, erstellen Sie eine weitere verbundene Anwendung, um zusätzliche Rückmeldungs-URLs unterzubringen.

Für diese Einstellung ist PKCE für den Webserver-Flow, den hybriden Webserver-Flow, den Flow für Autorisierungscode und Anmeldeinformationen und alle Variationen des Flows für Autorisierungscode und Anmeldeinformationen erforderlich, einschließlich der Headless-Registrierung, der Headless-Anmeldung ohne Kennwort und der Headless-Identität für Gastbenutzer. Wenn diese Einstellung aktiviert ist, werden alle diese Flows, bei denen PKCE nicht implementiert ist, für diese verbundene Anwendung blockiert. Weitere Informationen zum Verwenden von PKCE zum Schutz Ihrer Anwendungen finden Sie unter PKCE-Erweiterung (Proof Key for Code Exchange).

Sie können diese Option für webserverbasierte Anwendungen auswählen, die in der Lage sind, Client-Geheimnisse zu schützen. Bei Anwendungen, die nicht in der Lage sind, Client-Geheimnisse zu schützen, etwa mobile oder auf dem Computer eines Benutzers installierte Anwendungen, empfehlen wir jedoch, diese Option nicht auszuwählen.

Das Aktivieren dieser Einstellung ist eine bewährte Vorgehensweise zur Sicherheit. Wenn diese Einstellung aktiviert ist, wird das alte Aktualisierungstoken nach seiner Verwendung automatisch ungültig, sodass jedes Token nur einmal verwendet wird. Wenn jemand versucht, ein abgelaufenes Aktualisierungstoken zu verwenden, macht Salesforce das aktuelle Aktualisierungstoken und alle zugehörigen Zugriffstoken ungültig.

Standardmäßig können alle verbundenen Anwendungen ihre eigenen Token selbst prüfen. Zusätzlich kann ein OAuth-Client, der verbundene OAuth 2.0-Anwendungen direkt über den dynamischen Client-Registrierungsendpunkt registriert, die Token für sich selbst und seine registrierten Anwendungen überprüfen. Siehe Token-Selbstprüfung in OpenID Connect.

Wenn die OAuth-Anforderung den Umfang Allow access to your unique identifier (openid) (Zugriff auf Ihre eindeutige Kennung zulassen (openid)) beinhaltet, kann das zurückgegebene Token das ID-Token enthalten.

Das ID-Token ist in Zugriffstokenantworten immer enthalten.

Wenn die primäre ID-Token-Einstellung aktiviert ist, konfigurieren Sie die sekundären Einstellungen, mit denen die ID-Token-Inhalte in Zugriffs- und Aktualisierungstoken-Antworten bestimmt werden. Geben Sie diese Einstellungen an.

Einstellung	Beschreibung
Token gültig für	Gibt an, wie lange das ID-Token gültig ist, nachdem es ausgestellt wurde. Die Dauer kann 1–720 Minuten betragen. Der Standardwert beträgt 2 Minuten.
ID-Token-Zielgruppen	Die vorgesehenen Verbraucher des ID-Tokens, beispielsweise der Zielservice, für den Sie das ID-Token verwenden, etwa "https://ihr_service.com".
Standardanforderungen einschließen	Schließen Sie die Standardanforderungen ein, die Informationen über den Benutzer wie Namen, Profil, Telefonnummer und Adresse des Benutzers enthalten. Die OpenID Connect-Spezifikationen definieren einen Satz von Standardanforderungen, die im ID-Token zurückgegeben werden sollen.
Benutzerdefinierte Attribute einschließen	Wenn für Ihre Anwendung benutzerdefinierte Attribute angegeben wurden, schließen Sie diese in das ID-Token ein.
Benutzerdefinierte Berechtigungen einschließen	Wenn für Ihre Anwendung benutzerdefinierte Berechtigungen angegeben wurden, schließen Sie diese in das ID-Token ein.

Einstellung	Beschreibung
Token gültig für	Die Gültigkeitsdauer des Datenbestands-Tokens nach dessen Herausgabe.
Signierzertifikat für Datenbestand	Das selbstsignierte Zertifikat, das Sie zum Signieren von Asset-Tokens erstellt haben. Die Zertifikatsgröße ist auf 4 KB begrenzt.
Zielgruppen für Datenbestand	Die vorgesehenen Verbraucher des Datenbestands-Tokens. Beispiel: Der Backend-Service für Ihr verbundenes Gerät, wie https://ihr_geräte-backend.com.
Benutzerdefinierte Attribute einschließen	Wenn für Ihre Anwendung benutzerdefinierte Attribute angegeben wurden, schließen Sie diese in das Datenbestands-Token ein.
Benutzerdefinierte Berechtigungen einschließen	Wenn für Ihre Anwendung benutzerdefinierte Berechtigungen angegeben wurden, schließen Sie diese in das Datenbestands-Token ein.

Geben Sie in jedem Fall den Rückmeldungs-URL (Endpunkt) an. Beispiel: https://ihr_geräte-backend.com/callback.

Wählen Sie die OAuth-Geltungsbereiche Zugriff auf Ihre Daten und Datenverwaltung (api) und Zugriff auf Ihre eindeutige Kennung zulassen (openid) aus, die für Datenbestands-Token erforderlich sind.

Diese Einstellungen sind nur ein Teil einer Single Logout-Konfiguration. Legen Sie den URL fest, zu dem Benutzer nach der Abmeldung umgeleitet werden, und geben Sie Informationen an Ihren OpenID Connect-Anbieter weiter, um die Einrichtung der Single Logout-Funktion abzuschließen. Entsprechende Informationen finden Sie unter Konfigurieren von OpenID Connect Single Logout mit Salesforce als OpenID Connect-Anbieter.