Een extern OAuth-gegeven maken of bewerken met de browserstroom
Met een extern OAuth 2.0-inloggegeven dat de browserstroom gebruikt, loggen een of meer gebruikers in bij het externe systeem via een webbrowser om een callback te activeren die toegangstokens bevat. De geretourneerde tokens authenticeren aanroepen naar het eindpunt dat is gedefinieerd in het benoemde gegeven.
Vereiste editions
| Beschikbaar in: Salesforce Classic (niet in alle organisaties beschikbaar) en Lightning Experience |
| Beschikbaar in: alle editions |
| Benodigde gebruikersmachtigingen | |
|---|---|
| Externe inloggegevens weergeven: | Set-up en configuratie weergeven |
| Externe inloggegevens maken, bewerken of verwijderen: | Benoemde gegevens beheren of toepassingen aanpassen |
Deze Help-inhoud beschrijft hoe u een extern OAuth-inloggegeven instelt met de browserstroom. Zie Voorbeeld van benoemd gegeven voor een end-to-end voorbeeldimplementatie: OAuth 2.0-browserstroom met een benoemde principal.
- Gebruik vanuit Set-up het vak Snel zoeken om Benoemde gegevens te zoeken en te selecteren.
- Klik op Externe inloggegevens.
- Klik op Nieuw om een nieuwe Extern inloggegeven te maken. Als u een bestaand extern inloggegeven wilt bewerken, klikt u op de koppeling ervan in de lijst met externe inloggegevens en klikt u vervolgens op Bewerken.
-
Vul de velden in.
Veld Beschrijving Label Een gebruikersvriendelijke naam voor het externe inloggegeven die wordt weergegeven in de Salesforce-gebruikersinterface, zoals in lijstweergaven. Naam Een unieke ID die wordt gebruikt om te verwijzen naar dit externe inloggegeven vanuit aanroepdefinities en door middel van de API.
De naam kan alleen onderstrepingstekens en alfanumerieke lettertekens bevatten. De naam moet uniek zijn, beginnen met een letter, mag geen spaties bevatten, mag niet eindigen met een onderstrepingsteken en mag gaan twee opeenvolgende onderstrepingstekens bevatten.
Authenticatieprotocol Selecteer OAuth 2.0. Type authenticatiestroom Selecteer Browserstroom. Zie Authenticatieprotocollen voor benoemde gegevens. Bereik Optioneel. Geeft het bereik aan van machtigingen die de toegangstoken aan kunnen vragen. Een bereik dat hier staat, is een bereik op inloggegevensniveau dat van toepassing is op alle aanroepen die dit inloggegeven gebruiken. Uw authenticatieleverancier bepaalt de toegestane waarden. Zie OAuth-tokens en -bereiken en Gebruik van de parameter Bereik.
Het veld Bereik accepteert statische waarden en formules. Gebruik bijvoorbeeld een statische bereikwaarde die aangeeft dat alle aanroepen die deze inloggegevensaanvraag gebruiken, offline toegang hebben. Of geef een formule op om dynamisch toegang aan te vragen. In dit voorbeeld wordt het bereik
session:rolegebruikt om toegang op inloggegevensniveau aan te vragen op basis van de afdeling van elke gebruiker.{!"session:role:" + $User.Department}Wanneer u de principal van een extern inloggegeven maakt, kunt u ook bereiken op principalniveau opgeven, die alleen per principal van toepassing zijn. Maak bijvoorbeeld een bereik op principalniveau om alleen toegang aan te vragen voor gebruikers die op de afdelingen Beheer of Beheer werken.
Wanneer u het bereik van het inloggegeven instelt, houdt u deze overwegingen in gedachten.
- De waarde die u opgeeft, vervangt de waarde voor Standaardbereiken, die is gedefinieerd in de opgegeven authenticatieleverancier.
- Een bereik kan beïnvloeden of elke OAuth-stroom de gebruiker een aanwijzing geeft in de vorm van een scherm voor toestemming.
- U wordt aangeraden om een vernieuwingstoken of offline toegang aan te vragen. Anders verliest u toegang tot het externe systeem wanneer het token komt te vervallen.
Identiteitsleverancier Selecteer of het externe inloggegeven een authenticatieleverancier of een externe authenticatie-identiteitsleverancier gebruikt om OAuth-tokens te verkrijgen. Geef vervolgens de authenticatieleverancier voor het externe inloggegeven op. Zie SSO voor authenticatieleverancier en Een externe authenticatie-identiteitsleverancier maken of bewerken. Aanvullende statuscodes voor tokenvernieuwing Geef HTTP-statuscodes op die Salesforce activeren om verlopen of ongeldige toegangstokens te vernieuwen, naast de standaardreactie van de 401. - Sla het externe inloggegeven op.
Principals maken
Nadat u een extern inloggegeven maakt dat OAuth-authenticatie gebruikt met de browserstroom, maakt u hiervoor principals. U koppelt een extern inloggegeven aan machtigingensets of gebruikersprofielen via principals en tijdens run-time zorgt het platform ervoor dat de gebruiker de machtigingenset heeft voordat de gebruiker toegang krijgt tot het externe systeem.
- Klik in de pagina Inloggegevens op naam op Extern inloggegeven.
- Selecteer het externe inloggegeven dat u hebt gemaakt.
- Scrol naar Principals.
-
Als u een principal wilt maken voor het externe gegeven, klikt u op Nieuw of selecteert u Bewerken in het menu Acties van een bestaande principal.
Bij het bewerken van een bestaande principal kunt u niet alle hier vermelde velden aanpassen.
-
Geef de gegevens voor de principal op.
Veld Beschrijving Parameternaam Geef een naam op voor de principal, zoals Beheerder of Marketinggroep. Volgordenummer Geef een volgnummer op. Een volgnummer geeft de volgorde aan van principals die moeten worden toegepast wanneer een gebruiker aan meer dan één principal deelneemt. Een gebruiker kan bijvoorbeeld deel uitmaken van meerdere machtigingensets die van toepassing zijn op een leverancier van inloggegevens. Prioriteit loopt op van lagere naar hogere nummers. Identiteitstype Kies Principal op naam of Principal per gebruiker.
U kunt elk extern gegeven zo instellen dat authenticatie plaatsvindt op basis van een principal op naam voor de hele organisatie, of per gebruiker. Bij een principal op naam wordt hetzelfde inloggegeven of dezelfde authenticatieconfiguratie gebruikt voor de hele organisatie. Bij authenticatie per gebruiker wordt toegang verleend op het niveau van individuele gebruikers.
Bereik Optioneel. Geef een bereik op principalniveau op.
Dit bereik is een aanvulling op het bereik voor het optionele inloggegevensniveau. U kunt dit gebruiken om toegangsparameters op te geven op basis van principals. Zo kan in het bereik op inloggegevensniveau offline tokentoegang zijn opgegeven, terwijl in het bereik op hoofdniveau toegang opgegeven kan zijn voor gebruikers met bepaalde rollen, zoals Marketing of Systeembeheerder.
Bereiken op inloggegevensniveau en op principalniveau worden aaneengevoegd in aanroepen en verzonden als een door spaties gescheiden lijst. Deze bereiken overschrijven de standaardbereiken van een authenticatieaanbieder, als de toegevoegde lijst niet-null is.
Dit voorbeeld gebruikt een bereik op principalniveau om een groep geauthenticeerde gebruikers te koppelen aan rollen op een externe site. Het bereik is
session:role:<role>. Als een gebruiker Sales of Service in de afdelingsnaam heeft, wordt het bereik ingesteld alssession:role:Salesofsession:role:Service.{!IF(OR(CONTAINS($User.Department, "Sales"), CONTAINS($User.Department, "Service")), "session:role:" + $User.Department, "")} -
Sla de principal op.
U kunt de principalnaam en het identiteitstype van een bestaande principal niet wijzigen. Als u deze parameters wilt wijzigen, verwijdert u de principal en maakt u deze opnieuw.
-
Nu u het externe inloggegeven en de principal ervan hebt gemaakt, is het tijd om het verbonden naaminloggegeven te maken. Zie Een benoemd gegeven maken of bewerken.
Zie Benoemde inloggegevens en externe inloggegevens maken voor een overzicht van alle stappen die vereist zijn voor het configureren van een benoemd gegeven.
Nadat u het benoemde inloggegeven hebt geconfigureerd en toegang hebt verleend via machtigingensets, moet u het externe OAuth-inloggegeven verifiëren bij het externe systeem.
Wanneer het identiteitstype van de principal is ingesteld op Met naam genoemde principal, selecteert u in de sectie Principals van het externe inloggegeven Authenticatie in het menu Acties van de principal. Authenticeer uzelf vervolgens bij het externe systeem. Voer bijvoorbeeld een gebruikersnaam en wachtwoord in. Ga terug naar Salesforce om te bevestigen dat u uw Salesforce-organisatie wilt toestaan om namens u met het externe systeem te werken.
Wanneer Identiteitstype van de principal is ingesteld op Per gebruiker principal, verifieert elke gebruiker bij het externe systeem vanaf de pagina Externe inloggegevens in zijn of haar persoonlijke instellingen. Klik in de tegel van het externe inloggegeven dat u wilt verifiëren op Toegang toestaan. Authenticeer bij het externe systeem en ga vervolgens terug naar Salesforce om te bevestigen dat u uw Salesforce-organisatie wilt toestaan om namens u met het externe systeem te werken. Nadat het externe inloggegeven is geauthenticeerd, toont de tegel ervan Geconfigureerd. Als u authenticatie voor een extern inloggegeven wilt intrekken, klikt u op Toegang intrekken.
