Zugriff auf Daten über API-Integration

Wenn OAuth 2.0 noch neu für Sie ist, empfehlen wir Ihnen, sich mit der gebräuchlichen Terminologie des Protokolls vertraut zu machen, die Sie im Artikel Verbundene Anwendungen und OAuth – Terminologie finden.

Sie können eine verbundene Anwendung verwenden, um im Namen einer externen Anwendung Zugriff auf Salesforce-Daten anzufordern. Damit eine verbundene Anwendung Zugriff anfordern kann, muss sie mithilfe des OAuth 2.0-Protokolls in die Salesforce-API integriert werden. OAuth 2.0 ist ein offenes Protokoll, das die Autorisierung und den sicheren Datenaustausch zwischen Anwendungen über den Austausch von Token ermöglicht. Wenn Entwickler Ihre Anwendung in Salesforce integrieren möchten, verwenden sie OAuth-APIs. Diese OAuth-APIs ermöglichen einem Benutzer, in einer Anwendung zu arbeiten, aber die Daten aus einer anderen Anwendung zu betrachten.

Wenn Sie die mobile Salesforce-Anwendung öffnen, um auf Ihre Salesforce-Daten zuzugreifen, leiten Sie einen OAuth 2.0-Autorisierungs-Flow ein. Bei diesem Flow ist Ihre Salesforce-Organisation der Ressourcenserver und die mobile Salesforce-Anwendung der Client, der Zugriff anfordert. Sie autorisieren die mobile Salesforce-Anwendung, jederzeit über das Internet auf Ihre Salesforce-Daten zuzugreifen und diese zu verwalten.

Der Flow der Ereignisse bei der OAuth-Autorisierung hängt vom Status der Authentifizierung auf dem Gerät ab.

Flow bei der erstmaligen Autorisierung

1. Sie öffnen die mobile Salesforce-Anwendung.
2. Eine Authentifizierungsaufforderung wird angezeigt.
3. Sie geben Ihren Benutzernamen und Ihr Kennwort ein.
4. Die mobile Salesforce-Anwendung sendet Ihre Anmeldeinformationen an Salesforce und leitet den OAuth-Autorisierungs-Flow ein.
5. Sie genehmigen die Anforderung und gewähren Zugriff auf die mobile Salesforce-Anwendung, wie in der Abbildung oben gezeigt.
6. Salesforce sendet an die mobile Anwendung Zugriffs- und Aktualisierungs-Token als Bestätigung einer erfolgreichen Autorisierung.
7. Die mobile Salesforce-Anwendung wird gestartet.

Laufende Autorisierung

1. Sie öffnen die mobile Salesforce-Anwendung.
2. Ist die Sitzung aktiv, wird die mobile Salesforce-Anwendung sofort gestartet. Ist die Sitzung inaktiv, verwendet die mobile Salesforce-Anwendung das Aktualisierungs-Token aus der ersten Autorisierung, um eine aktualisierte Sitzung zu erhalten.
3. Die mobile Salesforce-Anwendung wird gestartet.

Um eine externe Webanwendung mit der Salesforce-API zu integrieren, verwenden Sie den OAuth 2.0-Webserver-Flow. Bei diesem Flow muss der Server, der die Webanwendung hostet, in der Lage sein, die Identität der verbundenen Anwendung zu schützen, die durch die Client-ID und das Client-Geheimnis bestimmt wird.

Angenommen, Sie haben vor Kurzem eine Website entwickelt, die einen sicheren Zugriff auf den Status eines Kundenauftrags ermöglicht. Die Auftragsstatusdaten werden sicher auf Ihrer Salesforce CRM-Plattform gespeichert. Um Helpdesk-Benutzer zu autorisieren, den Auftragsstatus eines Kunden anzuzeigen, entwickeln Sie die Anwendung "Auftragsstatus" und konfigurieren sie als verbundene Anwendung mit dem Webserver-Flow.

1. Ein Helpdesk-Benutzer klickt auf die Webanwendung "Auftragsstatus".
2. Die verbundene Anwendung leitet den Benutzer an Salesforce weiter, um die Anwendung zu authentifizieren und ihr den Zugriff auf die Auftragsstatusdaten zu gestatten.
3. Der Benutzer genehmigt, dass die Anwendung "Auftragsstatus" auf die Daten zugreift.
4. Salesforce sendet an die Anwendung "Auftragsstatus" einen Rückruf mit einem Autorisierungscode.
5. Die Anwendung "Auftragsstatus" übergibt den Autorisierungscode an den Endpunkt des Salesforce-Tokens und fordert ein Zugriffs-Token an.
6. Salesforce bestätigt den Autorisierungscode und sendet ein Zugriffs-Token zurück, das die zugehörigen Berechtigungen in Form von Geltungsbereichen enthält.
7. Die Anwendung "Auftragsstatus" sendet eine Anforderung zurück an Salesforce, um auf die Auftragsstatusdaten zuzugreifen. Ihre Anforderung umfasst das Zugriffs-Token mit den zugehörigen Geltungsbereichen.
8. Salesforce bestätigt das Zugriffs-Token und die zugehörigen Geltungsbereiche.
9. Die Anwendung "Auftragsstatus" kann auf die geschützten Daten zugreifen. Der Auftragsstatus des Kunden wird in der Anwendung angezeigt.

Für die Verbindung zwischen einer mobilen Anwendung und Salesforce wird hauptsächlich eine verbundene Anwendung verwendet. Wenngleich nicht erforderlich, können Sie mit dem Salesforce Mobile SDK mobile Anwendungen als verbundene Anwendungen erstellen. Diese Anwendungen können auf Salesforce OAuth-Services zugreifen und Salesforce-REST-APIs aufrufen.

Angenommen, Sie nutzen das Salesforce Mobile SDK, um eine mobile Anwendung zu entwickeln, die Kundenkontaktdaten aus Ihrer Salesforce-Organisation abruft. Das Mobile SDK implementiert den OAuth 2.0-Benutzeragenten-Flow für Ihre verbundene Anwendung, integriert die mobile Anwendung in Ihre Salesforce-API und gewährt ihr autorisierten Zugriff auf die festgelegten Daten.

1. Der Endbenutzer öffnet die mobile Anwendung.
2. Die verbundene Anwendung leitet den Benutzer an Salesforce weiter, um die mobile Anwendung zu authentifizieren und zu autorisieren.
3. Der Benutzer genehmigt den Zugriff für diesen Autorisierungs-Flow.
4. Die Anwendung empfängt den Rückruf von Salesforce an den Umleitungs-URL, der die Zugriffs- und Aktualisierungs-Token extrahiert.
5. Die verbundene Anwendung verwendet das Zugriffstoken, um im Namen des Endbenutzers auf Daten zuzugreifen.

Weitere Informationen zum Salesforce Mobile SDK finden Sie im Trailhead-Modul "Salesforce Mobile SDK – Grundlagen".

In einigen Fällen müssen Sie Server autorisieren, ohne sich jedes Mal interaktiv anzumelden, wenn die Server Informationen austauschen müssen.

Um eine Autorisierung zwischen Servern zu ermöglichen, können Sie den Flow für OAuth 2.0 JWT Bearer (JSON Web Token) verwenden. Dieser Flow erfordert eine vorherige Genehmigung der Client-Anwendung.

1. Der Berichtsservice beginnt seinen nächtlichen Batch-Bericht.
2. Die verbundene Anwendung sendet das JWT, das den Austausch von Identitäts- und Sicherheitsinformationen zwischen den Sicherheitsdomänen ermöglicht, an den Salesforce-Token-Endpunkt.
3. Salesforce bestätigt das JWT auf Grundlage einer Signatur unter Verwendung eines zuvor konfigurierten Zertifikats und zusätzlicher Parameter.
4. Vorausgesetzt, dass das JWT gültig ist und die verbundene Anwendung eine vorherige Genehmigung erhalten hat, stellt Salesforce ein Zugriffs-Token aus. Die vorherige Genehmigung erfolgt auf eine dieser Arten.
   • Wenn Ihre Richtlinie für verbundene Anwendungen auf "Vom Administrator autorisierte Benutzer sind vorab autorisiert" festgelegt ist, können Sie Profile und Berechtigungssätze verwenden.
   • Wenn Ihre Richtlinie für verbundene Anwendungen auf "Alle Benutzer können sich selbst autorisieren" festgelegt ist, können Sie mit der Genehmigung durch den Endbenutzer und Ausstellung eines Aktualisierung-Tokens arbeiten. Der Client benötigt jedoch kein aktuelles oder gespeichertes Aktualisierungs-Token. Der Client muss auch kein Client-Geheimnis an den Token-Endpunkt übergeben.
5. Die verbundene Anwendung verwendet das Zugriffs-Token, um auf die geschützten Daten auf dem Salesforce-Server zuzugreifen.
6. Der Berichtsservice ruft die autorisierten Daten per Pull in seinen nächtlichen Bericht ab.

Um Geräte mit eingeschränkten Eingabe- oder Anzeigemöglichkeiten, wie z. B. Smart TVs, zu integrieren, können Sie verbundene Anwendungen mit dem OAuth 2.0-Geräte-Flow konfigurieren.

Mit dem Geräte-Flow können Endbenutzer verbundene Anwendungen für den Zugriff auf Salesforce-Daten über einen Webbrowser autorisieren.

Ein Kunde nutzt beispielsweise Ihr Bluetooth-Gerät, um seine Hausbeleuchtung zu steuern, während er abends außer Haus ist. Sie können eine verbundene Anwendung für das Bluetooth-Gerät erstellen, um diesen Flow zu ermöglichen.

1. Der Benutzer öffnet die Bluetooth-Anwendung auf seinem Mobilgerät und tippt auf "Lichter einschalten".
2. Die verbundene Anwendung sendet eine Anforderung an den Salesforce-Autorisierungsendpunkt.
3. Salesforce verifiziert die Anforderung und gibt einen vom Menschen lesbaren Benutzercode, einen Verifizierungs-URL und einen Gerätecode zurück.
4. Die Bluetooth-Anwendung zeigt den Gerätecode an und weist den Benutzer an, ihn über den angegebenen Verifizierungs-URL einzugeben. Die Anwendung beginnt auch mit der Abfrage des Salesforce-Token-Endpunkts für die Autorisierung.
5. Der Benutzer klickt auf den Link zum Verifizierungs-URL und gibt den Code ein.
6. Der Benutzer autorisiert daraufhin die Anwendung, auf ihre geschützten Daten zuzugreifen, in diesem Fall auf den Standort ihres Hauses.
7. Salesforce sendet ein Zugriffs- und Aktualisierungs-Token an die verbundene Anwendung.
8. Die Bluetooth-Anwendung kann auf den Wohnort des Benutzers zugreifen und die Lichter einschalten.

Für die IoT-Integration können Sie auch den Datenbestands-Token-Flow verwenden. Dieser Flow verwendet ein JWT, das Benutzer und Gerät miteinander verbindet, um das Gerät zu autorisieren. Weitere Informationen zu diesem Flow finden Sie im Salesforce-Hilfeartikel: OAuth 2.0 – Datenbestands-Token-Flow.

Zusätzlich zu den oben genannten Beispielen können Sie auch die folgenden OAuth 2.0-Abläufe mit verbundenen Anwendungen verwenden.

Nachdem Sie mehr darüber erfahren haben, wann Sie verbundene Anwendungen für den Zugriff auf Daten in Ihrer Salesforce-Organisation verwenden sollten, lassen Sie uns nun mit der Verwendung von verbundenen Anwendungen für Single Sign-On fortfahren.