サーバー間インテグレーション用の OAuth 2.0 クライアントログイン情報フロー

アクセストークンの要求

クライアントログイン情報フローでアクセストークンを取得するプロセスを詳しく説明します。

フローを開始するために、外部クライアントアプリケーションはクライアントログイン情報を Salesforce トークンエンドポイントに投稿します。クライアントログイン情報をパラメーターとしてリクエストボディに含めることができます。または、セキュリティを強化するために、クライアントログイン情報を基本認証ヘッダーに配置します。

重要 OAuth インテグレーションを開発するときは、常に機密情報を POST 要求の本文または要求ヘッダーで渡します。機密情報を渡すために URL クエリ文字列で GET パラメーターを使用しないでください。機密情報には、ユーザー名、パスワード、OAuth トークン、クライアントの秘密、個人識別情報が含まれますが、これらに限定されません。セキュリティのベストプラクティスについての詳細は、『Secure Coding Guide (セキュアコーディングガイド)』の「Storing Sensitive Data (機密データの保存)」を参照してください。

リクエストボディにクライアントログイン情報が含まれる POST 要求の例を次に示します。

POST /services/oauth2/token HTTP/1.1
Host: MyDomainName.my.salesforce.com
grant_type=client_credentials&
client_id=*******************&
client_secret=*******************

このフローでは、https://login.salesforce.comおよびhttps://test.salesforce.comへの要求はサポートされていません。代わりに [私のドメイン] の URL を使用します。[私のドメイン] の URL を見つけるには、[設定] から、[クイック検索] ボックスに「私のドメイン」と入力し、[私のドメイン] を選択します。

これらのパラメーターを要求に含める必要があります。

基本認証ヘッダーにクライアントログイン情報が含まれる例を次に示します。この形式では、client_id は client_id:client_secret 形式で client_secret に追加され、結果の値は Base64 でエンコードされます。

POST /services/oauth2/token HTTP/1.1
Host: MyDomainName.my.salesforce.com
Header: Authorization: Basic 
TXlDbGllbnRJRDpNeUNsaWVudFNlY3JldA==
grant_type=client_credentials

この形式を使用する場合、grant_type がリクエストボディの唯一の必須パラメーターになります。grant_type は client_credentials に設定する必要があります。

メモ Salesforce ではトークンエンドポイントで範囲がサポートされていないため、要求に範囲を含めることはできません。代わりに、範囲を外部クライアントアプリケーションに割り当てます。

Salesforce によるアクセストークンの付与

クライアントログイン情報が検証されると、Salesforce によりアクセストークンと要求された範囲を含む応答が返されます。アプリケーションはアクセストークンを使用して、Salesforce 内の保護されているデータにアクセスできす。

{
    "access_token": "*******************",
    "instance_url": "https://yourInstance.salesforce.com",
    "id": "https://login.salesforce.com/id/XXXXXXXXXXXXXXXXXX/XXXXXXXXXXXXXXXXXX",
    "token_type": "Bearer",
    "scope": "id api",
    "issued_at": "1657741493799",
    "signature": "c2lnbmF0dXJl"
}

これらのパラメーターは応答に含まれます。