Salesforce の認証

サポートされているエディション

Salesforce で認証するには、API サポートを含むエディションが必要です。Salesforce コネクタは、以下のエディションで動作します (これらに限定されません)。

• Salesforce Sales Cloud (API がサポートされる Enterprise または Professional)

記載されていない他のすべてのエディションについては、UiPath の担当者にお問い合わせください。

注:

コネクタは Salesforce REST API を使用します。続行する前に、Salesforce エディションに API アクセスが含まれていることを確認します。

前提条件

コネクションを作成するには、次の資格情報が必要です。

• OAuth 2.0 認可コード: ユーザー名、パスワード。
• OAuth 2.0 パスワード: ユーザー名、パスワード、セキュリティ トークン。
• 独自の OAuth 2.0 アプリ (クライアント ID、クライアント シークレット) を使用します。
• 個人用アクセス トークン (PAT): JWT base64 でエンコードされたキー、対象ユーザー、発行者、サブジェクト。

また、Salesforce 組織が多要素認証 (MFA) を適用している場合は、携帯電話に認証アプリケーションをインストールする必要があります。

コネクションを作成する前に、以下の点も確認してください。

1. Salesforce Sales Cloud Enterprise Edition、API をサポートする Professional Edition、または上記の別のサポート対象エディションがある。
2. Salesforce Sales Cloud でアプリケーションを設定するための管理者権限を持っている。これらの権限がない場合は、システム管理者にお問い合わせください。
3. Salesforce ユーザー プロファイルに対して [API 有効] 権限が有効化されている。確認するには、Salesforce を開き、[設定] > [管理] > [ユーザー] > [プロファイル] に移動し、関連するプロファイルを選択して、[API 有効] がオンになっていることを確認します。

ヒント:

• 割り当てられたプロファイルの確認方法: Salesforce の右上隅にあるプロファイルアバターをクリックし、[ 設定] > [高度なユーザの詳細] をクリックします。プロファイル名が [プロファイル ] フィールドに表示されます。または、[ 設定] > [管理] > [ユーザー] > [ ユーザー] に移動し、ユーザー名の [プロファイル] 列を確認します。
• UiPath のコネクションに専用の Salesforce 連携ユーザーをプロビジョニングして割り当てることをお勧めします。コネクションは、フィールドやオブジェクトへのアクセスなど、認証に使用するアカウントの権限を継承します。専用のユーザーを使用することで、監査可能な一貫性のあるアクセスが保証されます。

認証方法

UiPath Salesforce コネクタは、以下の認証方法をサポートしています。必要な資格情報は、選択した方法によって異なります。

認証方法	説明	必要な資格情報
OAuth 2.0 の認可コード	ログインと同意を得るために Salesforce にリダイレクトされます。	Salesforce のユーザー名とパスワード
OAuth 2.0 パスワード	古い Salesforce アカウント/アプリケーションに対するレガシ認証。Salesforce のリリース ノートのとおり、新しい組織では既定でブロックされています。特別なシナリオでのみ使用してください。	ユーザー名、パスワード、セキュリティ トークン
JWT ベアラー (PAT)	デジタル証明書を使用した JSON Web トークンベースのサーバー間認証。対話型ログインができない無人オートメーションに最適です。	JWT Base64 でエンコードされた秘密キー、対象ユーザー、発行者 (クライアント ID)、件名 (ユーザー名)
独自のアプリを使用 (BYOA)	Salesforce で作成した非公開アプリケーションを使用します。スコープ、ポリシー、ブランディングを完全に制御できるため、UiPath が推奨しています。	クライアント ID、クライアント シークレット (Salesforce 外部クライアント アプリケーションから)

注:

When registering your OAuth application in Salesforce, make sure to set the callback URL to the value displayed on the connection creation page, for example https://cloud.uipath.com/provisioning_/callback for Automation Cloud.

Salesforce で使用できる様々な種類の認証について詳しくは、Salesforce の公式ドキュメントの「 外部クライアント アプリの作成」をご覧ください。

OAuth 2.0 の認可コード

このメソッドは、UiPath の接続パブリック アプリケーションを使用し、認証のためにユーザーを Salesforce にリダイレクトします。次の手順を実行します。

1. UiPath 製品ランチャーから [Orchestrator] を選択します。
2. フォルダーを選択し、[ コネクション ] タブに移動します。
3. [ コネクションを追加] を選択します。
4. リストから Salesforce コネクタを検索して選択します。
5. 環境を [ Production ] または [ Sandbox] から選択します。
6. 認証方法として [ OAuth 2.0 認可コード ] を選択します。
7. [ 接続] を選択します。Salesforce のログイン ページにリダイレクトされます。
8. Salesforce のユーザー名とパスワードを入力します。
9. MFA によってプロンプトが表示されたら、認証アプリケーションから認証コードを入力します。
10. UiPath が要求する権限を確認し、[ 許可] をクリックします。
11. Orchestrator にリダイレクトされます。接続ステータスが [接続済み] と表示されます。

カスタム ドメイン: Salesforce 組織がカスタムドメインを使用している場合は、Salesforce ログイン画面で [ カスタムドメインを使用 ] をクリックし、カスタムドメインの URL (例: yourcompany.my.salesforce.com) を入力します。をクリックし、[続行] をクリックして資格情報を入力します。

注:

この方法では、パブリックの UiPath 接続アプリを使用します。OAUTH_APPROVAL_ERROR_GENERIC エラーが発生した場合は、「トラブルシューティング」セクションをご覧ください。

OAuth 2.0 パスワード (レガシ)

警告:

新しい Salesforce 組織では、この認証方法は既定でブロックされます。Salesforce では、ほとんどの使用事例でユーザ名とパスワードの OAuth フローを廃止しました。この方法は、組織で下位互換性のために明示的に必要な場合にのみ使用してください。

この方法を使用する必要がある場合は、まず Salesforce のドキュメント「 OAuth 2.0 Username-Password Flow for Special Scenarios」に従って有効化します。そうしたら：

1. 上記の「OAuth 2.0 認可コード」の手順 1 から 5 に従います。
2. 認証方法として [ OAuth 2.0 パスワード ] を選択します。
3. Salesforce のユーザー名、パスワード、セキュリティ トークンを入力します。
4. [接続] を選択します。

セキュリティ トークンを取得する Salesforce で、プロファイル設定> [私のセキュリティ トークンをリセット] に移動します。トークンがユーザーのメールアドレスに送信されます。接続時にパスワードに追加してください。

JWT ベアラー認証 (PAT)

JWT ベアラー認証では、デジタル証明書を使用して JWT 要求に署名し、対話型ログインなしでサーバー間統合を可能にします。これは無人オートメーションに最適です。次の手順を実行します。

1. 秘密キーと自己署名デジタル証明書を作成します。Salesforce ガイドの「 秘密キーと自己署名デジタル証明書の作成」をご覧ください。
2. Salesforce での外部クライアント アプリケーションの作成[外部クライアント Apps マネージャー] > [外部クライアント Apps] > [> Apps を設定する] に移動し、[新しい外部クライアント Apps] をクリックします。アプリの構成でデジタル証明書をアップロードします。(詳細な手順については、以下の「 BYOA/外部クライアント アプリの設定 」セクションをご覧ください)。
3. JWT ベアラー フローを設定します。外部クライアントアプリケーション設定の [フローの有効化] で [JWT ベアラー] フローを有効にします。必要な OAuth スコープを割り当てます。
4. 連携ユーザーに対してアプリを事前承認します。[設定] > [接続Appsの管理] > [接続Appsの管理] に移動してアプリケーションを見つけ、[ポリシー] で [許可されたユーザ] を [管理者が承認したユーザは事前承認済み] に設定します。次に、関連するプロファイルまたは権限セットを追加します。
5. UiPath Orchestrator の [Orchestrator > フォルダー] > [コネクション] > [Salesforce >コネクションを追加] を選択します。
6. 環境 ([Production] または [Sandbox]) を選択します。
7. 認証方法として [ 個人用アクセス トークン (PAT)] を選択します。
8. 必要な資格情報を入力します。
   • JWT Base64 でエンコードされたキー: Base64 形式の秘密キー。
   • 発行者： 外部クライアント アプリの OAuth クライアント ID (コンシューマー キー) です。
   • 件名： 認証する Salesforce ユーザーのユーザー名です。
   • 観客： Salesforce トークンのエンドポイント URL (例: 運用環境の場合は https://login.salesforce.com 、サンドボックスの場合は https://test.salesforce.com )。
9. [接続] を選択します。

JWT トークンの有効化について詳しくは、Salesforce のドキュメント「 OAuth 2.0 JWT Bearer Flow for Server-to-Server Integration」、「 Enable JSON Web Token (JWT) based access tokens」、および「 JWT ベースのアクセス トークン」をご覧ください。

独自のアプリを使用する (BYOA) (推奨)

重要:

Salesforce は従来の接続アプリケーションモデルを廃止しました。新しいアプリケーションはすべて、外部クライアント Apps として作成する必要があります。既存の接続アプリケーションは引き続き機能しますが、Salesforce は外部クライアントアプリケーションに移行することをお勧めします。以下の手順は、新しい外部クライアント アプリのワークフローを反映しています。

この方法では、Salesforce で作成および管理する非公開アプリケーションを使用して、OAuth の範囲とセキュリティポリシーを完全に制御できます。次の手順を実行します。

ステップ A: Salesforce での外部クライアントアプリケーションの作成

1. Salesforce アカウントにサインインし、[設定] に移動します。
2. [ 外部クライアント アプリ マネージャー] > [外部クライアント アプリ] > [Apps] に移動します。
3. [新しい外部クライアント アプリ] をクリックします。
4. 必要なフィールドに入力します。
   • 外部クライアント アプリ名: わかりやすい名前 (例: 「UiPath Integration」)
   • API 名: アンダースコアと英数字のみを含み、一意で、文字で始まり、アンダースコアで終わったり、連続するアンダースコアを含めたりすることはできません。
   • 連絡先メールアドレス: アプリ所有者のメール アドレスです。
   • 配布状態: [ローカル] (単一組織で使用する場合) または [パッケージ済み] を選択します。
5. [API (OAuth 設定を有効にする)] セクションを展開し、[OAuth を有効にする] をオンにします。
6. [ コールバック URL ] フィールドに、Orchestrator の接続設定画面に表示された UiPath OAuth コールバック URL を入力します。
7. 必要な [OAuth スコープ] を選択し、[選択した OAuth スコープ] に移動します。少なくとも、ID URL サービスへのアクセス、API を介したユーザー データの管理、およびいつでも要求の実行を含めます。
8. [フローの有効化(Flow Enablement)] で、[認可コードとクレデンシャルフローの有効化(Enable Authorization Code and Credentials Flow)] を選択します。
9. [セキュリティ] で、[Web サーバー フローにシークレットが必要] と [更新トークン フローにシークレットが必要] の両方をオンにします。
10. [Create] をクリックします。

手順 A.1: ポリシーを設定する (必須)

外部クライアント アプリを作成したら、そのポリシーを設定する必要があります。

1. [ 接続Apps>設定] > [接続Appsの管理] に移動します。
2. 外部クライアント アプリを見つけて、[ ポリシーを編集] をクリックします。
3. 以下を設定します。
   • 許可されたユーザー: 「すべてのユーザーが自己認証できます」
   • IP緩和: 「IP制限を緩和する」
   • 更新トークン ポリシー: 「更新トークンは取り消されるまで有効です」
4. [保存] をクリックします。

手順 B: クライアント ID とクライアント シークレットを取得する

1. 外部クライアント アプリで、[ 設定 ] タブに移動します。
2. [OAuth 設定] を展開します。
3. [ コンシューマー キーとシークレット] をクリックします。
4. 資格情報 (プロンプトが表示されたら OTP) を入力します。
5. [コンシューマー キー] (クライアント ID) と [コンシューマー シークレット] (クライアント シークレット) をコピーします。これらを安全に保管してください。

注:

外部クライアントアプリケーションを作成または変更した後、Salesforce が変更を反映するまでに 最大 10 分 かかることがあります。しばらく待ってから接続を試みます。

手順 C: UiPath Orchestrator で接続する

1. Orchestrator で、[コネクション] > [ Salesforce >コネクションを追加 ] >フォルダーに移動します。
2. 環境 ([Production ] または [ Sandbox]) を選択します。
3. 認証方法として [ Bring your own OAuth 2.0 app ] を選択します。
4. 手順 B の クライアント ID と クライアント シークレット を入力します。
5. [接続] を選択します。
6. Salesforce ログインを完了し、アプリを承認します。

詳しくは、Salesforce のドキュメント「 Configure the external client app OAuth settings 」および 「Enable OAuth settings for API integration」をご覧ください。

トークンの有効期限と更新

OAuth トークンは、Salesforce の設定によっては、設定した時間が経過すると期限切れになる場合があります。運用環境のワークフローで予期しない切断を防ぐには、以下の手順を実行します。

• Salesforce 接続アプリケーションまたは外部クライアントアプリケーションの設定で、更新トークンポリシーを「更新トークンは取り消されるまで有効」に設定します。
• 「いつでも要求を実行」スコープが付与されていることを確認します。このスコープはオフラインでの更新を有効化します。「フル アクセス」スコープには含まれないため、個別に設定する必要があります。

詳細な設定手順については、Salesforce ガイドの「 接続アプリケーションの OAuth アクセス ポリシーの管理 」および「 OAuth トークンとスコープ」をご覧ください 。

サンドボックスの設定

Sandbox アカウントを設定するには、Salesforce の公式ドキュメント「 Sandbox の設定に関する考慮事項」に記載されている手順に従います。

Salesforce Sandbox は本番組織から分離されます。サンドボックスで実行された操作は本番データに影響を与えません。その逆も同様です。サンドボックスは本番環境とほぼ同じですが、いくつかの違いがあります — 詳細はSalesforceのドキュメントを参照してください。

ヒント:

Salesforce で UiPath を初めて使用する場合は、サンドボックス アカウントか、重要ではないデータを使用してテストすることをお勧めします。これにより、特にオートメーションによって実行された操作は簡単には元に戻せない可能性があるため、重要なデータが失われるのを防ぎます。

権限

UiPath の Salesforce コネクションは、認証に使用するアカウントの権限を継承します。以下は、必要な権限の包括的なガイドです。

必要な OAuth スコープ (パブリック UiPath アプリ)

パブリック UiPath アプリケーションを介してコネクションを作成する場合、コネクタは次の権限を要求します。

権限/スコープ	目的
ID URL サービスにアクセスする	ユーザー ID 情報を取得する
API を使用してユーザー データを管理する	API を使用した Salesforce レコードの参照および書き込み
Web ブラウザーを使用してユーザー データを管理する	ブラウザーベースのデータ アクセス
Connect REST API リソースにアクセスする	Chatter および Connect API アクセス
Visualforce アプリケーションにアクセスする	Visualforce ページの操作
一意のユーザー識別子にアクセスする	マッピングのための一意のユーザー ID アクセス
カスタム権限にアクセスする	カスタム権限の割り当てを読み取る
Analytics REST API リソースにアクセスする	API によるレポートとダッシュボード
Analytics REST API Charts Geodata リソースにアクセスする	分析の地理データ
ハブ接続を管理する	ハブ接続の管理
Pardot サービスを管理する	Pardot マーケティングオートメーションアクセス
Lightning アプリケーションにアクセスする	Lightning Experience アクセス
コンテンツ リソースにアクセスする	コンテンツ ライブラリへのアクセス
Salesforce CDP 取り込み API データを管理する	CDP データの取り込み
Salesforce CDP のプロファイル データを管理する	CDPプロファイル管理
Salesforce CDP データに対して ANSI SQL クエリを実行する	CDPデータクエリ
チャットボット サービスにアクセスする	Einstein ボットサービス
いつでも要求を実行する	オフライン更新トークンへのアクセス
Salesforce CDP データに対してセグメンテーションを実行する	CDPのセグメンテーション

API が有効なアクセス許可

Salesforce で [API の有効化 ] 権限が必要です。設定するには、以下の手順を実行します。 [ 設定] > [管理] > [ユーザー>プロファイル] に移動し、関連するプロファイルを選択して、[管理権限] の [API 有効] がオンになっていることを確認します。

標準オブジェクトとカスタム オブジェクトの権限

接続しているユーザーのアカウントに、オートメーションが操作する標準オブジェクトまたはカスタム オブジェクトの読み取り、書き込み、編集、削除、すべての表示、およびすべての変更の権限を付与することをお勧めします。以下の手順で設定します。

• [ 設定] > [管理] > [ユーザ] >プロファイル (または 権限セット) に移動します。
• 関連する標準オブジェクトまたはカスタム オブジェクトを見つけて、必要な権限を割り当てます。
• オブジェクト レベルのセキュリティは、データ アクセスを制御する最も広範な方法です。特定のオブジェクトの種類 (リード、商談など) のレコードを表示、作成、編集、削除するユーザの権限を設定します。インテグレーション ユーザーに対してオブジェクトが非表示になっている場合、そのオブジェクトは UiPath に表示されません。

注:

期待した Salesforce オブジェクトが UiPath に表示されない場合は、Salesforce 管理者に問い合わせて、連携ユーザーが必要なすべてのオブジェクトにアクセスできることを確認してください。

フィールドレベルのセキュリティ

項目レベルセキュリティは、関連リスト、リストビュー、レポート、検索結果など、オブジェクト内の個々の項目の表示を制御します。また、ユーザーがフィールド値を表示または編集できるかどうかも決定します。これにより、オブジェクト全体を隠さずに機密データを保護できます。

Salesforce のプロファイルまたは権限セットを使用して項目レベルセキュリティを設定します。予期したフィールドが UiPath に表示されない場合は、Salesforce 管理者に問い合わせて、連携ユーザーが必須フィールドへのアクセス権を持っていることを確認してください。

プロファイルと権限セット

ユーザ権限とアクセス設定は、Salesforce 組織でユーザが実行できる操作を制御します。

• プロファイル： ユーザー グループのベースライン権限を定義します。ユーザーごとに 1 つのプロファイルが割り当てられます。プロファイルを使用して、必要最低限の権限を割り当てます。
• 権限セット: プロファイルの上に権限を追加します。ユーザーは複数の権限セットを持つことができます。これらを使用して、連携に必要な追加のアクセス権を階層化します。

トラブルシューティング

エラー/症状	解決方法
OAUTH_APPROVAL_ERROR_GENERIC	Salesforce は、UiPath アプリがインストールされていないためブロックしています。これは 、パブリックの UiPath 接続アプリにのみ適用されます 。BYOA 外部クライアント Apps は既定でセキュリティで保護されており、この制限から除外されています。解決するには、次の手順を実行します。 アプリをインストールします。 Salesforce 管理者は、[設定] > [接続Apps の OAuth の使用状況] に移動し、UiPath コネクタを見つけて [インストール] をクリックする必要があります。インストール後、必要に応じて OAuth ポリシーを設定します。 バイパス権限を割り当てます。 Salesforce システム管理者は、[ アンインストールされた接続Appsの承認 ] (API アクセス制御が有効になっていない場合に使用可能) または [任意の API クライアントを使用] (API アクセス制御が有効な場合に動作) を割り当てることができます。
invalid_client_id / 「クライアント識別子が無効です」	コンシューマー キー (クライアント ID) が認識されません。一般的な原因: 伝播遅延 — 外部クライアントアプリケーションを作成または変更した後、Salesforce に変更が反映されるまで最大 10 分間待機します。 コンシューマー キーが間違っている — 外部クライアントの [アプリの設定] タブ> [OAuth 設定] > [コンシューマー キーとシークレット] から再コピーします。 サンドボックスと運用環境が一致しません — UiPath で選択した環境が、アプリが作成された場所と一致していることを確認してください (サンドボックスでは test.salesforce.comを使用し、運用環境では login.salesforce.comを使用します)。
必要なコードの不足に関する課題	PKCE (Proof Key for Code Exchange) が適用されます。次の 2 か所で無効にします。 組織レベル: Identity > OAuth および OpenID Connect の設定> — [サポートされている認可フローに Require Proof Key for Code Exchange (PKCE) Extension for Code Exchange (PKCE) 拡張機能が必要] をオフに切り替えます。 アプリ レベル: 外部クライアント アプリの [OAuth 設定] で、[PKCE 要件] をオフにします。 組織レベルの設定がアプリケーション レベルの設定よりも優先されます。両方ともオフにする必要があります。無効化したら、数分待ってからブラウザのキャッシュをクリアしてから再試行してください。
OAuth コードをトークンと交換できなかった	認可コードは発行されましたが、トークンの交換に失敗しました。外部クライアント Apps の一般的な原因は次のとおりです。 コールバック URL の不一致 — 外部クライアント アプリの URL が UiPath の送信内容と完全に一致していることを確認します ( http と httpsの違い、末尾のスラッシュ、大文字/小文字を確認してください)。 Incorrect Client Secret — [設定] から [OAuth 設定] > [コンシューマー キーとシークレット] を再コピー>。 [未設定のポリシー] — [接続Apps>の設定] > [接続Appsの管理] に移動し、アプリケーションを見つけて [ポリシーの編集] をクリックし、[許可されたユーザ] を [すべてのユーザが自己認証できる] に、[IP 緩和] を [IP 制限の緩和] に、[更新トークンポリシー] を [失効するまで有効] に設定します。 トークン制限 — Salesforce では、アプリごとにユーザごとに最大 5 つの同時トークンが許可されます。[セットアップ] > [セキュリティ] > [セッション管理] を使用して古いトークンを取り消す。
接続が予期せず切断される	更新トークンの有効期限が切れている可能性があります。更新トークン ポリシーを「更新トークンは取り消されるまで有効」に設定し、「いつでも要求を実行する」スコープが付与されていることを確認します。「トークンの有効期限と更新」セクションをご覧ください。
UiPath にオブジェクトまたはフィールドが見つからない	オブジェクトレベルまたはフィールドレベルのセキュリティ設定が可視性を妨げています。Salesforce 管理者に問い合わせて、連携ユーザーのプロファイルに必要なオブジェクトやフィールドに対する読み取り/書き込みアクセス権が付与されていることを確認してください。
API が有効なエラー/権限が不十分	接続ユーザーのプロファイルに [API 有効] 権限がありません。[設定] > [プロファイル] に移動し、プロファイルを選択して、[管理権限] で有効化します。
接続中の MFA プロンプト	組織で多要素認証が必要である。認証アプリケーションを使用して、検証手順を完了します。自動 (無人) シナリオでは、対話型 MFA を必要としない JWT ベアラー認証の使用を検討してください。
カスタム ドメインが認識されない	Salesforce ログイン画面で [カスタムドメインを使用] をクリックし、完全なカスタムドメインの URL (例: yourcompany.my.salesforce.com) を入力します。をクリックし、資格情報を入力する前に [続行] をクリックします。

ベスト プラクティス

• 専用の連携ユーザーを使用する個人アカウントを使用するのではなく、UiPath との連携専用の Salesforce ユーザーを作成します。これにより、権限の一貫性が確保され、監査が簡素化されるほか、個々のユーザーがロールを変更した場合の中断を回避できます。
• 最初にサンドボックスでテストします。運用環境にデプロイする前に、必ず Salesforce サンドボックス環境で新しいコネクションとオートメーションをテストしてください。UiPath で実行された操作は、必ずしも元に戻せるとは限りません。
• 最小限の特権のアクセス許可を適用します。オートメーションに実際に必要なオブジェクトとフィールドへのアクセス権のみを付与します。ベースラインアクセスにはプロファイルを使用し、追加範囲には権限セットを使用します。
• トークン更新ポリシーを設定します。更新トークン ポリシーを "取り消されるまで有効" に設定し、予期しない切断を回避するには "いつでも要求を実行する" スコープを付与します。
• 意味のあるコネクション名を使用します。Orchestrator でコネクションを作成するときは、管理しやすいように、環境と目的を示すわかりやすい名前 (例: 「Salesforce-Production-OrderSync」) を使用します。
• Salesforce の外部クライアントアプリケーションの移行を計画します。Salesforce は従来の接続アプリケーションモデルを廃止しました。新しいAppsはすべて、外部クライアント アプリとして作成する必要があります。Salesforce のガイダンスに従って、既存の接続Appsの移行を計画します。