Salesforce 設定

本頁面說明 Salesforce 管理員如何啟用 Salesforce 連接器呼叫的 MCP 伺服器，並在 Salesforce 中設定 OAuth 2.0 驗證。這兩項資訊是將 Salesforce 連結至 Gemini Enterprise 的必要條件。

選擇驗證方式

由於 OAuth 2.0 流程是針對貴組織的「我的網域」端點執行，而非共用的 Salesforce 登入主機，因此 Salesforce 組織必須信任 OAuth 用戶端應用程式，使用者才能授權連接器。您可以透過下列兩種方式設定驗證：

  • Google代管的 OAuth (OAuth 2.0 (Google 代管)，預設)：Google 在 Salesforce AppExchange 發布 Gemini Enterprise - Salesforce Connector 代管套件。在 Salesforce 組織中安裝套件時，您不必建立自己的 Salesforce 應用程式，也不必在 Gemini Enterprise 輸入用戶端 ID 或用戶端密鑰。請參閱「安裝 Google代管套件」。
  • 自備應用程式 (OAuth 2.0 (自備應用程式))：如果貴組織無法安裝 AppExchange 套件，或想直接管理自己的 OAuth 應用程式和安全性政策，可以在 Salesforce 建立自己的外部用戶端應用程式，並在 Gemini Enterprise 輸入其用戶端 ID (用戶端金鑰) 和用戶端密鑰 (用戶端密鑰)。請參閱「建立自己的 OAuth 應用程式」。

事前準備

設定 Salesforce 前，請確認下列事項：

  • 以管理員身分登入 Salesforce：

    • 如要安裝 Google代管套件，您的使用者個人資料必須包含「Download AppExchange Packages」權限 (包含在「系統管理員」設定檔中)。
    • 如要自備應用程式，使用者個人資料必須具備在 Salesforce 設定中建立及管理外部用戶端應用程式的權限。

  • 您知道要連結哪個組織。請在同一個組織中完成設定，並在建立資料儲存庫時，將該組織的「我的網域」網址輸入為執行個體 URI。

  • 貴組織已啟用並部署「我的網域」。連接器會對「我的網域」主機進行授權，例如 https://example.my.salesforce.com。

  • 貴機構使用支援的 Salesforce 版本。連接器支援 Professional、Enterprise、Unlimited 和 Developer 版本。

  • 貴組織已啟用 SObject All MCP 伺服器。伺服器預設為停用。請參閱「為貴組織啟用 MCP 伺服器」。

在組織中啟用 MCP 伺服器

連接器會呼叫 Salesforce 代管的 SObject All MCP 伺服器，該伺服器會公開連接器動作背後的建立、讀取、更新和刪除作業。連接器只會連線至 SObject All MCP 伺服器端點，不支援個別作業的 MCP 伺服器。無論是 OAuth 2.0 (Google 代管) 還是 OAuth 2.0 (自備應用程式)，都必須啟用這項功能。

伺服器預設為停用，因此管理員必須在貴組織中啟用。

如要啟用，請按照下列步驟操作：

  1. 在 Salesforce 中前往「Setup」。

  2. 依序前往「整合」>「API 目錄」>「MCP 伺服器」。

  3. 在「Salesforce Servers」(Salesforce 伺服器) 分頁中，找出「SObject All」(SObject 全部)，其說明為「Creates, reads, updates, and deletes Salesforce records」(建立、讀取、更新及刪除 Salesforce 記錄)。

  4. 將「伺服器狀態」設為「有效」。

啟用 SObject All MCP 伺服器後，貴組織就能使用該伺服器，不需另外取得 MCP 伺服器使用者授權，也不會授予使用者自行建立、更新或刪除記錄的權限。寫入和刪除權限則由兩個層級控管：

  • Gemini Enterprise：預設會啟用唯讀動作，並停用建立、更新或刪除記錄的動作。設定或管理資料儲存庫時， Google Cloud 管理員會選擇要啟用哪些建立、更新或刪除動作，或全部停用，讓連接器變成唯讀。請參閱「啟用動作」。
  • 在 Salesforce 中：每項動作都會在授權使用者的 Salesforce 帳戶下執行，並遵循該使用者的物件層級權限、欄位層級安全性設定和共用規則。

安裝 Google代管套件

如果打算使用 OAuth 2.0 (Google 代管)，請從 Salesforce AppExchange 安裝 Gemini Enterprise 代管套件：

  1. 以管理員身分登入 Salesforce 組織。

  2. 前往 Salesforce AppExchange 的 Gemini Enterprise - Salesforce Connector 頁面。

  3. 按一下「立即取得」。

  4. 選擇要安裝的環境：

    • 針對正式版組織，請按一下「Install in Production」。
    • 如果是沙箱機構，請按一下「Install in Sandbox」。

  5. 選擇哪些使用者可以存取應用程式：

    • Install for Admins Only：只有具備系統管理員設定檔的使用者才能使用應用程式。
    • Install for Specific Profiles：只有具備所選設定檔的使用者才能使用應用程式。
    • 為所有使用者安裝 (建議)：組織中的每位使用者都能使用應用程式，不需額外設定設定檔。

    受管理套件已包含必要的 OAuth 範圍 (mcp_api 和 refresh_token)。每位登入 Gemini Enterprise 授權連接器的使用者，都必須能存取您所選選項下的應用程式。如果使用者的設定檔沒有存取權，就無法完成登入步驟。

  6. 如果 Salesforce 提示您核准第三方存取權，請核准，然後按一下「Install」(安裝) 或「Upgrade」(升級)。

  7. 等待安裝完成。如果是大型組織，Salesforce 可能會以非同步方式完成安裝，並在完成後傳送電子郵件通知您。

安裝完成後，應用程式會顯示在 Salesforce 的「Setup」中，名稱為「Gemini Enterprise」。接著，設定應用程式的登入 IP 政策。

建立自己的 OAuth 應用程式

如果打算使用 OAuth 2.0 (自備應用程式)，請在 Salesforce 建立及設定外部用戶端應用程式，取得用戶端金鑰 (用戶端 ID) 和用戶端密鑰 (用戶端密鑰)：

  1. 以管理員身分登入 Salesforce 組織，然後前往「Setup」(設定)。

  2. 在「Quick Find」(快速尋找) 欄位中輸入 External Client App Manager，然後選取「External Client App Manager」(外部用戶端應用程式管理員)。

  3. 按一下「New External Client App」，然後在「Basic Information」下方輸入必要資訊 (「External Client App Name」、「API Name」和「Contact Email」)。

  4. 在「API (Enable OAuth Settings)」部分，選取「Enable OAuth」，然後調整下列設定：

    1. 在「App Settings」下方的「Callback URL」中，輸入：

      https://vertexaisearch.cloud.google.com/oauth-redirect

    2. 在「OAuth Scopes」(OAuth 範圍) 中，新增下列兩個範圍：

      • 存取 Salesforce API Platform MCP 伺服器 (mcp_api)
      • Perform requests at any time (refresh_token, offline_access)

      這些角色會授予連接器所需的 mcp_api 和 refresh_token 範圍。

    3. 在「Security」(安全性) 下方，確認已選取下列選項：

      • 支援的授權流程需要 Proof Key for Code Exchange (PKCE) 擴充功能
      • 為指定使用者核發 JSON Web Token (JWT) 存取權杖

  5. 點選「建立」。

  6. 設定應用程式的 OAuth 政策：

    1. 在「Setup」中，依序前往「Apps」>「External Client App Manager」，點選外部用戶端應用程式，選取「Policies」分頁標籤，然後按一下「Edit」。

    2. 在「Permitted Users」部分，選取「All users may self-authorize」(建議)，或選取「Admin approved users are pre-authorized」，並為所有要授權連接器的使用者 (包括在建立資料儲存庫時驗證驗證的管理員) 指派設定檔或權限集。

    3. 在「IP relaxation」部分，選取「Relax IP restrictions」。如要進一步瞭解為何需要這項設定，請參閱「設定應用程式的登入 IP 政策」。

    4. 按一下「儲存」。

  7. 複製應用程式的 OAuth 憑證：

    1. 選取「Settings」分頁，展開「OAuth Settings」，然後按一下「用戶端金鑰和密鑰」。
    2. 複製並儲存「用戶端金鑰」和「Consumer Secret」。在 Gemini Enterprise 建立資料儲存庫時，請將這些值輸入為「Client ID」(用戶端 ID) 和「Client Secret」(用戶端密鑰)。

設定應用程式的登入 IP 政策

Salesforce 連接器不支援個別資料儲存庫的靜態 IP 位址。而是由 Salesforce 中的外部用戶端應用程式控管登入 IP 驗證：

  • 驗證呼叫 (OAuth 權杖交換和更新)：使用者授權連接器後，Gemini Enterprise 會從 Google的伺服器交換及更新該使用者的 Salesforce 權杖。這些要求並非來自貴機構的 IP 位址。如果應用程式強制執行 IP 限制，且使用者的設定檔有登入 IP 範圍，系統就會拒絕要求，且「驗證授權」或「授權」步驟會失敗。將應用程式的「IP Relaxation」政策設為「Relax IP restrictions」。對於Google代管的 Gemini Enterprise 應用程式， Google 已將權杖要求限制在 Google自己的輸出 IP 範圍內，無論政策設定為何，都會套用這項檢查。
  • 資料呼叫：只有登入和權杖要求會根據 IP 限制進行檢查。使用者授權連接器後，Salesforce 會根據使用者的有效存取權杖，提供連接器的資料要求。

如要為 Google代管的應用程式 (或您自己的外部用戶端應用程式) 設定政策，請按照下列步驟操作：

  1. 在 Salesforce 中前往「Setup」。

  2. 依序前往「Apps」>「External Client App Manager」，然後點選「Gemini Enterprise」 (或自訂外部用戶端應用程式的名稱)。

  3. 選取「政策」分頁標籤，然後按一下「編輯」。

  4. 在「OAuth Policies」部分，將「IP Relaxation」設為「Relax IP restrictions」。

  5. 按一下「儲存」。

連結沙箱組織

沙箱是獨立的 Salesforce 組織，有自己的「我的網域」主機，以及安裝的套件和應用程式。設定正式環境不會影響沙箱。

如要連結沙箱組織，請在沙箱中啟用 SObject All MCP 伺服器，然後將 AppExchange 套件安裝到沙箱 (選擇「Install in Sandbox」)，或在沙箱中建立外部用戶端應用程式。如要瞭解 Sandbox 連線所需的資料儲存庫設定，請參閱「設定 Salesforce 資料儲存庫」。

設定 Salesforce 後會發生什麼事

在 Salesforce 設定應用程式不會自動連結任何項目。這樣一來，貴組織就能使用 OAuth 應用程式，個別使用者也能授權該應用程式。

Google Cloud 管理員在 Gemini Enterprise 建立 Salesforce 資料儲存庫，並連結至應用程式後 (請參閱「設定 Salesforce 資料儲存庫」)，每位使用者 (包括使用網頁應用程式的管理員) 都要授權 Gemini Enterprise，代表他們使用每位使用者的驗證機制存取 Salesforce。使用者首次在 Gemini Enterprise 網頁應用程式中查詢 Salesforce 資料時，系統會將他們重新導向至貴組織的 Salesforce 登入頁面，並要求授予應用程式 mcp_api 和 refresh_token 範圍。詳情請參閱「授權連接器」。

由於每位使用者都必須個別授權，Gemini Enterprise 會依據使用者的權限存取 Salesforce 記錄。使用者只能查看及修改他們在 Salesforce 中已有權查看及修改的記錄。

疑難排解

問題 可能原因
「Verify Auth」(驗證授權) 或「Authorize」(授權) 步驟失敗，或 Salesforce 登入頁面回報未知、無效或未經授權的用戶端應用程式。 如果您使用 OAuth 2.0 (Google 代管)，請確認受管理套件安裝在「執行個體 URI」指向的確切組織 (包括沙箱)。如果使用 OAuth 2.0 (自備應用程式)，請確認「用戶端 ID」和「用戶端密鑰」與該組織中的應用程式相符、回呼網址設為 https://vertexaisearch.cloud.google.com/oauth-redirect、已選取 mcp_api 和 refresh_token 範圍，且已啟用「Require Proof Key for Code Exchange (PKCE) extension for Supported Authorization Flows」。
部分使用者可以授權，其他使用者則無法授權。 應用程式的「Permitted Users」政策限制存取特定設定檔或權限集，而這些設定檔或權限集不包含這些使用者，或「IP Relaxation」未設為「Relax IP restrictions」。在「設定」中，開啟應用程式的「政策」分頁，按一下「編輯」，新增受影響的設定檔或權限集 (或將「允許的使用者」設為「所有使用者皆可自行授權」)，然後確認「IP 放寬」已設為「放寬 IP 限制」。
授權成功，但 Gemini Enterprise 網頁應用程式中的查詢或動作失敗。 組織中未啟用 SObject All MCP 伺服器，或外部用戶端應用程式未選取「Issue JSON Web Token (JWT)-based access tokens for named users」。請在 Salesforce 設定中啟用伺服器 (請參閱「在組織中啟用 MCP 伺服器」)，並確認外部用戶端應用程式會核發以 JWT 為基礎的存取權杖。
授權成功，但未傳回任何 Salesforce 資料。 授權使用者可能沒有 Salesforce 的記錄層級存取權。連接器會遵循使用者自己的 Salesforce 權限。

後續步驟