Salesforce 身份验证

支持的版本

要在 Salesforce 上进行身份验证，您的版本必须包含 API 支持。Salesforce 连接器可用于（但不限于）以下版本：

• Salesforce Sales Cloud（提供 API 支持的企业版或专业版）

对于未列出的所有其他版本，请联系 UiPath 代表以获取帮助。

备注：

连接器使用 Salesforce REST API。在继续之前，请确认您的 Salesforce 版本包含 API 访问权限。

先决条件

要创建连接，您需要以下凭据：

• OAuth 2.0 授权代码：用户名、密码。
• OAuth 2.0 密码：用户名、密码、安全令牌。
• 请自带 OAuth 2.0 应用程序：客户端 ID、客户端密码。
• 个人访问令牌 (PAT)：JWT base64 编码密钥、受众、颁发者、主题。

此外，如果您的 Salesforce 组织强制执行多重身份验证 (MFA)，则可能需要在手机上安装身份验证器应用程序。

在创建连接之前，另请确保以下几点：

1. 您有 Salesforce Sales Cloud 企业版、具有 API 支持的专业版或上面列出的其他受支持的版本。
2. 您在 Salesforce Sales Cloud 中拥有管理员权限，可设置应用程序。如果您没有这些权限，请联系系统管理员。
3. 已为您的 Salesforce 用户配置文件激活 “API 启用”权限。如要验证：打开 Salesforce 并转到“设置”>“管理”>“用户”>“配置文件”，选择相关的配置文件，然后确认选中“启用 API”。

提示：

• 如何查看分配给您的配置文件：单击 Salesforce 右上角您的配置文件头像，然后单击“设置” >“高级用户详细信息” 。您的配置文件名称将在“配置文件”字段中列出。或者，转到“设置”>“管理”>“用户”>“用户” ，然后查看“个人资料”列中您的用户名。
• 我们建议为 UiPath 连接配置和分配专用的 Salesforce 集成用户。连接继承用于身份验证的帐户的权限，包括访问字段和对象。使用专用用户可以确保一致、可审核的访问。

身份验证方法

UiPath Salesforce 连接器支持以下身份验证方法。所需的凭据取决于您选择的方法：

身份验证方法	描述	所需凭据
OAuth 2.0 授权代码	重定向到 Salesforce 以登录并同意。	Salesforce 用户名和密码
OAuth 2.0 密码	适用于较旧的 Salesforce 帐户/应用程序的旧版身份验证。根据Salesforce 发行说明，默认情况下阻止新组织。仅用于特殊场景。	用户名、密码、安全令牌
JWT 持有者 (PAT)	使用数字证书的基于 JSON 网页令牌的服务器到服务器身份验证。适用于无法进行交互式登录的无人值守自动化。	JWT base64 编码的私钥、受众、颁发者（客户端 ID）、主题（用户名）
自带应用程序 (BYOA)	使用您在 Salesforce 中创建的私有应用程序。由 UiPath 推荐，因为它使您可以完全控制作用域、策略和品牌。	客户端 ID、客户端密码（来自 Salesforce 外部客户端应用程序）

要了解有关 Salesforce 可用的不同类型身份验证的更多信息，请参阅创建外部客户端应用程序中的官方 Salesforce 文档。

OAuth 2.0 授权代码

此方法使用与 UiPath 连接的公共应用程序，并将您重定向到 Salesforce 进行身份验证。请执行以下步骤：

1. 从 UiPath 产品启动器中选择“Orchestrator”。
2. 选择一个文件夹，然后导航到“连接”选项卡。
3. 选择“添加连接”。
4. 搜索并从列表中选择Salesforce连接器。
5. 选择环境： “生产 ”或“沙盒” 。
6. 选择“OAuth 2.0 授权代码”作为身份验证方法。
7. 选择“连接” 。系统会将您重定向到 Salesforce 登录页面。
8. 输入您的 Salesforce 用户名和密码。
9. 如果 MFA 提示，请输入身份验证器应用程序中的验证码。
10. 查看 UiPath 请求的权限，然后单击允许。
11. 您将被重定向回 Orchestrator。连接状态应显示为已连接。

自定义域：如果您的 Salesforce 组织使用自定义域，请单击 Salesforce 登录屏幕上的“使用自定义域” ，输入您的自定义域 URL（例如，yourcompany.my.salesforce.com）然后单击“继续”并输入您的凭据。

备注：

此方法使用公共的 UiPath Connected 应用。如果遇到OAUTH_APPROVAL_ERROR_GENERIC错误，请参阅故障排除部分。

OAuth 2.0 密码（旧版）

警告：

默认情况下，新的 Salesforce 组织无法使用此身份验证方法。在大多数用例中，Salesforce 已弃用用户名-密码 OAuth 流程。仅当您的组织出于向后兼容性明确要求使用此方法时，才使用此方法。

如果您需要使用此方法，请首先按照 Salesforce 文档启用它：适用于特殊场景的 OAuth 2.0 用户名-密码流程。则：

1. 请按照上述 OAuth 2.0 授权代码说明中的步骤 1-5 操作。
2. 选择“OAuth 2.0 密码”作为身份验证方法。
3. 输入您的 Salesforce 用户名、密码和安全令牌。
4. Select Connect.

获取您的安全令牌：在 Salesforce 中，转到您的个人资料设置 >“重置我的安全令牌”。令牌将发送到您的电子邮件。连接时将其附加到您的密码。

JWT 持有者身份验证 (PAT)

JWT 持有者身份验证使用数字证书对 JWT 请求进行签名，从而无需交互式登录即可实现服务器到服务器集成。这非常适合 Unattended 自动化。请执行以下步骤：

1. 创建私钥和自签名数字证书。请参阅 Salesforce 指南：创建私钥和自签名数字证书。
2. 在 Salesforce 中创建外部客户端应用程序。转到“设置”>“Apps”>“外部客户端应用程序”>“外部客户端应用程序管理器”，然后单击“新建外部客户端应用程序”。在应用程序配置中上传您的数字证书。（有关详细步骤，请参阅下面的BYOA/外部客户端应用程序设置部分。）
3. 配置 JWT 持有者流程。在“外部客户端应用程序”设置中，在“流程启用”下启用“JWT 持有者”流程。分配所需的 OAuth 作用域。
4. 为集成用户预授权应用程序。转到“设置”>“连接的Apps”>“管理连接的Apps”，找到您的应用程序，并在“策略”下，将“允许的用户”设置为“管理员批准的用户已获得预授权”。然后添加相关的配置文件或权限集。
5. 在 UiPath Orchestrator 中，选择“Orchestrator”>“文件夹”>“连接”>“添加连接”>“Salesforce”。
6. 选择环境（“生产”或“沙盒”）。
7. 选择“个人访问令牌 (PAT)”作为身份验证方法。
8. 输入所需凭据：
   • JWT base64 编码密钥：您的 Base64 格式私钥。
   • 颁发者：外部客户端应用程序中的 OAuth 客户端 ID（使用者密钥）。
   • 主题：您要以谁身份进行身份验证的 Salesforce 用户的用户名。
   • 受众： Salesforce 令牌端点 URL（例如，适用于生产的https://login.salesforce.com或适用于沙盒的https://test.salesforce.com ）。
9. Select Connect.

有关启用 JWT 令牌的更多详细信息，请参阅 Salesforce 文档：用于服务器到服务器集成的 OAuth 2.0 JWT 持有者流程、启用基于 JSON Web 令牌 (JWT) 的访问令牌和基于 JWT 的访问令牌。

自带应用程序 (BYOA)（推荐）

重要提示：

Salesforce 已弃用旧版已连接的应用程序模型。必须将所有新应用程序创建为“外部客户端 Apps”。现有的已连接的应用程序可以继续运行，但 Salesforce 建议您迁移到外部客户端 Apps。以下步骤反映了新的外部客户端应用程序工作流。

此方法使用您在 Salesforce 中创建和管理的私有应用程序，从而使您可以完全控制 OAuth 作用域和安全策略。请执行以下步骤：

步骤 A：在 Salesforce 中创建外部客户端应用程序

1. 登录到您的 Salesforce 帐户并转到“设置”。
2. 导航到“Apps” > “外部客户端应用程序” > “外部客户端应用程序管理器” 。
3. 单击“新建外部客户端应用程序” 。
4. 填写必填字段：
   • 外部客户端应用程序名称：描述性名称（例如“UiPath 集成”）。
   • API 名称：必须仅包含下划线和字母数字字符、必须唯一、以字母开头，不能以下划线结尾或包含连续的下划线。
   • 联系人电子邮件：应用程序所有者的电子邮件地址。
   • “分发状态”：选择“本地”（对于单个组织）或“打包”。
5. 展开API（启用 OAuth 设置）部分，然后选中启用 OAuth 。
6. 在“回调 URL”字段中，输入 Orchestrator 连接设置屏幕中提供的 UiPath OAuth 回调 URL。
7. 选择所需的 OAuth 作用域，并将其移动到选定的 OAuth 作用域。至少应包括：访问身份 URL 服务、通过 API 管理用户数据，并随时执行请求。
8. 在“启用流程”下，选择“启用授权代码和凭据流程” 。
9. 在“安全性”下，同时选中“Web 服务器流程需要密码”和“刷新令牌流程需要密码” 。
10. 单击“创建”。

步骤 A.1：配置策略（必需）

创建外部客户端应用程序后，您必须配置其策略：

1. 转到“设置”>“已连接的 Apps”>“管理已连接的 Apps” 。
2. 找到您的外部客户端应用程序，然后单击编辑策略。
3. 设置以下内容：
   • 允许的用户： “所有用户均可自行授权”
   • IP 放宽： “放宽 IP 限制”
   • 刷新令牌策略： “刷新令牌在撤销前一直有效”
4. 单击“保存”。

步骤 B：检索客户端 ID 和客户端密码

1. 在外部客户端应用程序中，转到“设置”选项卡。
2. 展开“OAuth 设置” 。
3. 单击“使用者密钥和密码” 。
4. 输入您的凭据（如果系统提示，还需输入 OTP）。
5. 复制使用者密钥（这是您的客户端 ID）和使用者密码（这是您的客户端密码）。请安全保存。

备注：

创建或修改外部客户端应用程序后，Salesforce最多可能需要 10 分钟来传播更改。尝试连接前请稍候。

步骤 C：在 UiPath Orchestrator 中连接

1. 在 Orchestrator 中，转到您的文件夹>“连接”> “添加连接” >“Salesforce”。
2. 选择环境（ “生产”或“沙盒” ）。
3. 选择“自带 OAuth 2.0 应用程序”作为身份验证方法。
4. 输入步骤 B 中的客户端 ID和客户端密码。
5. Select Connect.
6. 完成 Salesforce 登录并授权应用程序。

有关更多详细信息，请参阅 Salesforce 文档：配置外部客户端应用程序 OAuth 设置和启用 API 集成的 OAuth 设置。

令牌过期与刷新

OAuth 令牌可能会在一定时间后过期，具体取决于您的 Salesforce 配置。为防止生产工作流中意外断开连接，请执行以下操作：

• 在 Salesforce 连接应用程序或外部客户端应用程序设置中将刷新令牌策略设置为“刷新令牌在撤销前有效” 。
• 确保授予“随时执行请求”作用域。此作用域启用离线刷新，并且不包含在“完全访问”作用域中，必须单独配置。

有关详细的配置步骤，请参阅 Salesforce 指南：管理已连接应用程序的 OAuth 访问策略和OAuth 令牌和作用域。

沙盒设置

要设置沙盒帐户，请按照 Salesforce 官方文档：沙盒设置注意事项中所述的步骤操作。

Salesforce 沙箱与您的生产组织隔离。在沙盒中执行的操作不会影响生产数据，反之亦然。沙盒与生产环境几乎相同，但存在一些差异 — 有关详细信息，请参阅 Salesforce 文档。

提示：

首次开始将 UiPath 与 Salesforce 一起使用时，我们建议在沙盒帐户或使用非基本数据进行测试。这可以防止关键数据丢失，尤其是因为通过自动化执行的操作可能无法轻松撤消。

权限

UiPath 中的 Salesforce 连接继承用于身份验证的帐户的权限。以下是所需权限的综合指南。

所需的 OAuth 作用域（公共 UiPath 应用程序）

通过公共 UiPath 应用程序创建连接时，连接器将请求以下权限：

权限/作用域	用途
访问身份 URL 服务	检索用户身份信息
通过 API 管理用户数据	通过 API 读取和写入 Salesforce 记录
通过网页浏览器管理用户数据	基于浏览器的数据访问
访问 Connect REST API 资源	Chatter 和 Connect API 访问权限
访问 Visualforce 应用程序	与 Visualforce 页面交互
访问唯一用户标识符	用于映射的唯一用户 ID 访问权限
访问自定义权限	读取自定义权限分配
访问分析 REST API 资源	通过 API 生成的报告和仪表板
访问分析 REST API 图表地理数据资源	分析中的地理数据
管理中心连接	中心连接管理
管理 Pardot 服务	Pardot 营销自动化访问权限
访问 Lightning 应用程序	Lightning Orchestrator 访问权限
访问内容资源	内容库访问权限
管理 Salesforce CDP 提取 API 数据	CDP 数据提取
管理 Salesforce CDP 配置文件数据	CDP 配置文件管理
对 Salesforce CDP 数据执行 ANSI SQL 查询	CDP 数据查询
访问聊天机器人服务	AI Center 机器人服务
随时执行请求	离线刷新令牌访问
对 Salesforce CDP 数据执行分段	CDP 细分

已启用 API 的权限

您必须在 Salesforce 中拥有“启用 API”权限。配置方法：转到“设置”>“管理”>“用户”>“配置文件” ，选择相关的配置文件，并确保选中“管理权限”下的“启用 API”。

标准和自定义对象权限

我们建议已连接用户的帐户具有对与自动化交互的标准对象或自定义对象进行读取、写入、编辑、删除、查看全部和修改全部内容的权限。要配置该应用程序，请执行以下操作：

• 转到“设置”>“管理”>“用户”>“配置文件”（或“权限集” ）。
• 找到相关的标准或自定义对象并分配所需的权限。
• 对象级安全性是控制数据访问的最广泛的方法。它配置用户查看、创建、编辑或删除特定对象类型（例如，潜在客户、商机）记录的能力。如果某个对象对集成用户隐藏，则该对象不会显示在 UiPath 中。

备注：

如果 UiPath 中没有显示预期的 Salesforce 对象，请咨询 Salesforce 管理员，以确认集成用户有权访问所有必需对象。

字段级安全性

字段级安全性控制对象（包括相关列表、列表视图、报告和搜索结果）中各个字段的可见性。它还确定用户是否可以查看或编辑字段值。这使您可以保护敏感数据，而无需隐藏整个对象。

通过 Salesforce 中的配置文件或权限集配置字段级别安全性。如果 UiPath 中未显示预期字段，请咨询您的 Salesforce 管理员，以确认集成用户有权访问必填字段。

配置文件和权限集

用户权限和访问设置控制用户可以在您的 Salesforce 组织中执行的操作：

• 配置文件：为一组用户定义基线权限。系统会为每个用户分配一个配置文件。使用配置文件分配所需的最低权限。
• 权限集：在配置文件基础上添加其他权限。一个用户可以拥有多个权限集。使用这些策略根据集成的需要对额外访问权限进行分层。

故障排除

错误/症状	分辨率
OAuth_批准_错误_通用	Salesforce 正在阻止 UiPath 应用程序，因为该应用程序未安装。这仅适用于公共 UiPath Connected Apps only （不适用于 BYOA 外部客户端 Apps，这些 Apps 默认是安全的，并且不受此限制的限制）。要解决以下问题： 安装应用程序： Salesforce 管理员必须转到“设置” >“已连接的Apps OAuth 使用情况”，找到 UiPath 连接器，然后单击“安装”。安装后，根据需要配置 OAuth 策略。 分配绕过权限： Salesforce 管理员可以分配“批准卸载的已连接的Apps” （在未启用“API 访问控制”时可用）或“使用任何 API 客户端” （在启用“API 访问控制”时可用）。
Invalid_client_id /“客户端标识符无效”	无法识别使用者密钥（客户端 ID）。常见原因： 传播延迟 — 创建或修改外部客户端应用程序后，最多等待 10 分钟，以便 Salesforce 传播更改。 使用者密钥错误 — 从“外部客户端应用程序”的“设置”选项卡 >“OAuth 设置”>“使用者密钥和密码”重新复制它。 沙盒/生产不匹配 — 确保在 UiPath 中选择的环境与创建应用程序的位置匹配（沙盒使用test.salesforce.com ，生产使用login.salesforce.com ）。
缺少所需的代码质询	强制执行 PKCE（代码交换证明密钥）。请在两个位置将其禁用: 组织级别：“设置”>“身份”>“OAuth 和 OpenID 连接设置” — 关闭“对于受支持的授权流程，需要用于 Code Exchange (PKCE) 扩展程序的证明密钥”。 应用程序级别：在外部客户端应用程序的 OAuth 设置中，取消选中“PKCE”要求。 组织级别设置将覆盖应用程序级别设置 — 两者都必须关闭。禁用后，请等待几分钟并清除浏览器缓存，然后重试。
用 OAuth 代码交换令牌失败	已发出授权代码，但令牌交换失败。影响外部客户端 Apps 的常见原因： 回调 URL 不匹配 — 验证外部客户端应用程序中的 URL 与 UiPath 发送的 URL 完全匹配（检查http与https 、尾部斜杠、大小写）。 客户端密码错误 — 从“设置”>“OAuth 设置”>“使用者密钥和密码”重新复制。 未配置策略 — 转到“设置”>“连接的 Apps”>“管理连接的 Apps”，找到该应用程序，单击“编辑策略”，然后将“允许的用户”设置为“所有用户都可以自我授权”，将“IP 放宽”设置为“放宽 IP 限制”，并将“刷新令牌策略”设置为更改为“刷新令牌在撤销前一直有效”。 令牌限制 — Salesforce 允许每个应用程序每个用户最多使用 5 个并发令牌；前往“设置”>“安全”>“会话管理”，撤销旧令牌。
连接意外断开	刷新令牌可能已过期。将“刷新令牌策略”设置为“刷新令牌在撤销前有效”，并确保授予“随时执行请求”作用域。请参阅令牌过期和刷新部分。
UiPath 中缺少对象或字段	对象级别或字段级别安全设置正在阻止可见性。请咨询 Salesforce 管理员，以确认集成用户的配置文件具有对必填对象和字段的读取/写入访问权限。
启用 API 错误/权限不足	已连接用户的配置文件没有“已启用 API”权限。转到“设置”>“配置文件”，选择配置文件，然后在“管理权限”下启用它。
连接期间 MFA 提示	您的组织需要多重身份验证。使用身份验证器应用程序完成验证步骤。对于自动化（无人值守）场景，请考虑使用 JWT 持有者身份验证，它不需要交互式 MFA。
无法识别的自定义域	单击 Salesforce 登录屏幕上的“使用自定义域”，输入完整的自定义域 URL（例如，yourcompany.my.salesforce.com），，然后单击“继续”，然后输入凭据。

最佳实践

• 使用专用的集成用户。为 UiPath 集成创建专用 Salesforce 用户，而不是使用个人帐户。这可确保权限一致，简化审核，并避免单个用户角色更改角色时造成的中断。
• 先在沙盒中进行测试。在部署到生产之前，请始终在 Salesforce 沙盒环境中测试新的连接和自动化。通过 UiPath 执行的操作并不总是可撤销的。
• 应用最低特权。仅授予自动化实际需要的对象和字段访问权限。将配置文件用于基线访问，将权限集用于其他作用域。
• 配置令牌刷新策略。将刷新令牌策略设置为“撤销前有效”，并授予“随时执行请求”作用域，以避免意外断开连接。
• 使用有意义的连接名称。在 Orchestrator 中创建连接时，请使用指示环境和目的的描述性名称（例如“Salesforce-Production-OrderSync”）以使管理更轻松。
• 规划 Salesforce 的外部客户端应用程序迁移。Salesforce 已弃用旧版已连接的应用程序模型。所有新 Apps 均应创建为“外部客户端应用程序”。根据 Salesforce 的指南计划迁移现有的已连接的 Apps。