Salesforce-Konfiguration

Auf dieser Seite wird beschrieben, wie ein Salesforce-Administrator den MCP-Server aktiviert, der vom Salesforce-Connector aufgerufen wird, und die OAuth 2.0-Authentifizierung in Salesforce konfiguriert. Beides sind Voraussetzungen für die Verbindung von Salesforce mit Gemini Enterprise.

Authentifizierungsmethode auswählen

Da der OAuth 2.0-Vorgang über die „Meine Domain“-Endpunkte Ihrer Organisation und nicht über einen freigegebenen Salesforce-Anmeldehost ausgeführt wird, muss Ihre Salesforce-Organisation einer OAuth-Client-App vertrauen, bevor ein Nutzer den Connector autorisieren kann. Sie können die Authentifizierung auf zwei Arten konfigurieren:

• VonGoogleverwaltetes OAuth (OAuth 2.0 (von Google verwaltet), Standard): Google veröffentlicht das verwaltete Paket Gemini Enterprise – Salesforce Connector auf Salesforce AppExchange. Wenn Sie das Paket in Ihrer Salesforce-Organisation installieren, erstellen Sie keine eigene Salesforce-App und geben keine Client-ID oder keinen Clientschlüssel in Gemini Enterprise ein. Siehe Von Googleverwaltetes Paket installieren.
• Eigene App verwenden (OAuth 2.0 (Eigene App verwenden)): Wenn Ihre Organisation keine AppExchange-Pakete installieren kann oder ihre eigene OAuth-Anwendung und ihre eigenen Sicherheitsrichtlinien direkt verwalten möchte, können Sie Ihre eigene externe Client-App in Salesforce erstellen und ihre Client-ID (Consumer-Key) und ihren Clientschlüssel (Consumer-Secret) in Gemini Enterprise eingeben. Weitere Informationen finden Sie unter Eigene OAuth-Anwendung erstellen.

Hinweis

Bevor Sie Salesforce konfigurieren, müssen Sie Folgendes tun:

• Sie sind als Administrator in Salesforce angemeldet:

  • Wenn Sie das von Googleverwaltete Paket installieren möchten, muss Ihr Nutzerprofil die Berechtigung AppExchange-Pakete herunterladen enthalten (im Profil Systemadministrator enthalten).
  • Wenn Sie Ihre eigene App verwenden möchten, muss Ihr Nutzerprofil die Berechtigung zum Erstellen und Verwalten externer Client-Apps in der Einrichtung von Salesforce haben.

• Sie wissen, welche Organisation Sie verbinden. Schließen Sie die Einrichtung in derselben Organisation ab, deren „Meine Domain“-URL Sie beim Erstellen des Datenspeichers als Instanz-URI eingeben möchten.

• In Ihrer Organisation ist „Meine Domain“ aktiviert und bereitgestellt. Der Connector autorisiert sich gegenüber Ihrem „Meine Domain“-Host, z. B. https://example.my.salesforce.com.

• Ihre Organisation verwendet eine unterstützte Salesforce-Version. Der Connector unterstützt die Versionen Professional, Enterprise, Unlimited und Developer.

• Der MCP-Server SObject All ist in Ihrer Organisation aktiv. Der Server ist standardmäßig nicht aktiv. Weitere Informationen finden Sie unter MCP-Server in Ihrer Organisation aktivieren.

Hinweis: Sandbox und Produktion sind separate Salesforce-Organisationen. Wenn Sie eine Sandbox-Organisation verbinden möchten, müssen Sie die Konfiguration sowohl in dieser Sandbox als auch in der Produktion abschließen. Weitere Informationen finden Sie unter Sandbox-Organisation verbinden.

MCP-Server in Ihrer Organisation aktivieren

Der Connector ruft den von Salesforce gehosteten MCP-Server SObject All auf, der die Erstellungs-, Lese-, Aktualisierungs- und Löschvorgänge hinter den Aktionen des Connectors bereitstellt. Der Connector stellt nur eine Verbindung zum MCP-Serverendpunkt SObject All her. Separate MCP-Server pro Vorgang werden nicht unterstützt. Die Aktivierung ist sowohl für OAuth 2.0 (von Google verwaltet) als auch für OAuth 2.0 (Bring Your Own App) erforderlich.

Da der Server standardmäßig inaktiv ist, muss ein Administrator ihn in Ihrer Organisation aktivieren.

So aktivierst du die Funktion:

1. Gehen Sie in Salesforce zu Setup.

2. Rufen Sie Integrationen > API-Katalog > MCP-Server auf.

3. Suchen Sie auf dem Tab Salesforce-Server nach SObject All, das als Erstellt, liest, aktualisiert und löscht Salesforce-Einträge beschrieben wird.

4. Setzen Sie den Serverstatus auf Aktiv.

Wenn Sie den MCP-Server SObject All aktivieren, wird der Server für Ihre Organisation aktiviert, ohne dass eine separate MCP-Server-Nutzerberechtigung erforderlich ist. Nutzer erhalten dadurch nicht die Berechtigung, Datensätze zu erstellen, zu aktualisieren oder zu löschen. Der Schreib- und Löschzugriff wird auf zwei Ebenen gesteuert:

• In Gemini Enterprise: Aktionen mit Lesezugriff sind standardmäßig aktiviert. Aktionen, mit denen Datensätze erstellt, aktualisiert oder gelöscht werden, sind standardmäßig deaktiviert. Beim Einrichten oder Verwalten des Datenspeichers wählt der Google Cloud -Administrator aus, welche Aktionen zum Erstellen, Aktualisieren oder Löschen aktiviert werden sollen, oder lässt alle deaktiviert, sodass der Connector schreibgeschützt ist. Weitere Informationen finden Sie unter Aktionen aktivieren.
• In Salesforce: Jede Aktion wird unter dem Salesforce-Konto des autorisierenden Nutzers ausgeführt und berücksichtigt die Berechtigungen auf Objektebene, die Sicherheit auf Feldebene und die Freigaberegeln dieses Nutzers.

Von Googleverwaltetes Paket installieren

Wenn Sie OAuth 2.0 (von Google verwaltet) verwenden möchten, installieren Sie das verwaltete Gemini Enterprise-Paket von Salesforce AppExchange:

1. Melden Sie sich als Administrator in Ihrer Salesforce-Organisation an.

2. Rufen Sie den Eintrag Gemini Enterprise – Salesforce Connector auf Salesforce AppExchange auf.

3. Klicken Sie auf Jetzt holen.

4. Wählen Sie die Umgebung für die Installation aus:

   • In Produktion installieren für Ihre Produktionsorganisation.
   • In Sandbox installieren für eine Sandbox-Organisation.

5. Wählen Sie aus, welche Nutzer Zugriff auf die App erhalten:

   • Install for Admins Only (Nur für Systemadministratoren installieren): Nur Nutzer mit dem Profil „System Administrator“ können die App verwenden.
   • Für bestimmte Profile installieren: Nur Nutzer mit den von Ihnen ausgewählten Profilen können die App verwenden.
   • Für alle Nutzer installieren (empfohlen): Alle Nutzer in der Organisation können die App ohne zusätzliche Profilkonfiguration verwenden.

   Das verwaltete Paket enthält bereits die erforderlichen OAuth-Bereiche (mcp_api und refresh_token). Alle Nutzer, die sich anmelden, um den Connector in Gemini Enterprise zu autorisieren, müssen gemäß der von Ihnen ausgewählten Option Zugriff auf die App haben. Ein Nutzer, dessen Profil keinen Zugriff hat, kann die Anmeldung nicht abschließen.

6. Genehmigen Sie den Zugriff durch Drittanbieter, wenn Sie von Salesforce dazu aufgefordert werden, und klicken Sie dann auf Installieren oder Upgrade.

7. Warte, bis die Installation abgeschlossen ist. In einer großen Organisation schließt Salesforce die Installation möglicherweise asynchron ab und sendet Ihnen eine E-Mail, wenn sie abgeschlossen ist.

Nach der Installation wird die App in der Salesforce-Einrichtung als Gemini Enterprise angezeigt. Legen Sie als Nächstes die IP-Richtlinie für die Anmeldung in der App fest.

Eigene OAuth-Anwendung erstellen

Wenn Sie OAuth 2.0 (Bring Your Own App) verwenden möchten, erstellen und konfigurieren Sie eine externe Client-App in Salesforce, um einen Consumer-Key (Client-ID) und ein Consumer-Secret (Clientschlüssel) zu erhalten:

1. Melden Sie sich als Administrator in Ihrer Salesforce-Organisation an und rufen Sie Einrichtung auf.

2. Geben Sie im Feld Schnellsuche External Client App Manager ein und wählen Sie Manager für externe Client-Apps aus.

3. Klicken Sie auf New External Client App (Neue externe Client-App) und geben Sie unter Basic Information (Allgemeine Informationen) die erforderlichen Informationen ein (External Client App Name (Name der externen Client-App), API Name (API-Name) und Contact Email (Kontakt-E-Mail-Adresse)).

4. Wählen Sie im Bereich API (OAuth-Einstellungen aktivieren) die Option OAuth aktivieren aus und konfigurieren Sie die folgenden Einstellungen:

   1. Geben Sie unter App Settings (App-Einstellungen) für Callback URL (Callback-URL) Folgendes ein:

      https://vertexaisearch.cloud.google.com/oauth-redirect
      

   2. Fügen Sie unter OAuth-Bereiche die beiden folgenden Bereiche hinzu:

      • Auf die MCP-Server der Salesforce API Platform (mcp_api) zugreifen
      • Jederzeit Anfragen ausführen (refresh_token, offline_access)

      Dadurch werden die vom Connector benötigten Bereiche mcp_api und refresh_token gewährt.

   3. Achten Sie darauf, dass unter Sicherheit die folgenden Optionen ausgewählt sind:

      • PKCE-Erweiterung (Proof Key for Code Exchange) für unterstützte Autorisierungsabläufe erforderlich
      • JSON Web Token (JWT)-basierte Zugriffstokens für namentlich genannte Nutzer ausstellen

5. Klicken Sie auf Erstellen.

6. Konfigurieren Sie die OAuth-Richtlinien der App:

   1. Gehen Sie unter Einrichtung zu Apps > External Client App Manager, klicken Sie auf Ihre externe Client-App, wählen Sie den Tab Richtlinien aus und klicken Sie auf Bearbeiten.

   2. Wählen Sie unter Zulässige Nutzer die Option Alle Nutzer dürfen sich selbst autorisieren (empfohlen) oder Vom Administrator genehmigte Nutzer sind vorautorisiert aus und weisen Sie die Profile oder Berechtigungssätze allen Nutzern zu, die den Connector autorisieren (einschließlich des Administrators, der die Authentifizierung während der Erstellung des Datenspeichers überprüft).

   3. Wählen Sie für IP-Lockerung die Option IP-Einschränkungen lockern aus. Weitere Informationen dazu, warum diese Einstellung erforderlich ist, finden Sie unter Anmelde-IP-Richtlinie für die Anwendung festlegen.

   4. Klicken Sie auf Speichern.

7. Kopieren Sie die OAuth-Anmeldedaten der App:

   1. Wählen Sie den Tab Settings (Einstellungen) aus, maximieren Sie OAuth Settings (OAuth-Einstellungen) und klicken Sie auf Consumer Key and Secret (Consumer-Key und ‑Secret).
   2. Kopieren und speichern Sie den Consumer-Key und das Consumer-Secret. Diese Werte geben Sie als Client-ID und Clientschlüssel ein, wenn Sie den Datenspeicher in Gemini Enterprise erstellen.

IP-Richtlinie für die Anmeldung in der App festlegen

Statische IP-Adressen pro Datenspeicher werden für den Salesforce-Connector nicht unterstützt. Stattdessen wird die Validierung der Login-IP-Adresse von der externen Client-App in Salesforce gesteuert:

• Authentifizierungsaufrufe (OAuth-Tokenaustausch und ‑aktualisierung): Wenn ein Nutzer den Connector autorisiert, tauscht Gemini Enterprise die Salesforce-Tokens dieses Nutzers von den Servern von Googleaus und aktualisiert sie. Diese Anfragen stammen nicht von den IP-Adressen Ihrer Organisation. Wenn die App IP-Einschränkungen erzwingt und die Profile Ihrer Nutzer IP-Bereiche für die Anmeldung haben, werden die Anfragen abgelehnt und der Schritt Verify Auth (Authentifizierung prüfen) oder Authorize (Autorisieren) schlägt fehl. Legen Sie die Richtlinie IP-Lockerung der Anwendung auf IP-Einschränkungen lockern fest. Bei der vonGoogleverwalteten Gemini Enterprise-App beschränkt Google Tokenanfragen bereits auf die eigenen IP-Bereiche für ausgehenden Traffic von Google. Diese Prüfung gilt unabhängig von der Richtlinieneinstellung.
• Datenaufrufe: Nur Anmelde- und Tokenanfragen werden auf IP-Einschränkungen geprüft. Nachdem ein Nutzer den Connector autorisiert hat, verarbeitet Salesforce die Datenanfragen des Connectors basierend auf dem gültigen Zugriffstoken des Nutzers.

So legen Sie die Richtlinie für die von Googleverwaltete App (oder Ihre eigene externe Client-App) fest:

1. Gehen Sie in Salesforce zu Setup.

2. Gehen Sie zu Apps > External Client App Manager und klicken Sie auf Gemini Enterprise (oder den Namen Ihrer benutzerdefinierten externen Client-App).

3. Wählen Sie den Tab Richtlinien aus und klicken Sie auf Bearbeiten.

4. Legen Sie im Bereich OAuth-Richtlinien für IP-Lockerung die Option IP-Einschränkungen lockern fest.

5. Klicken Sie auf Speichern.

Sandbox-Organisation verbinden

Eine Sandbox ist eine separate Salesforce-Organisation mit einem eigenen „Meine Domain“-Host und eigenen installierten Paketen und Apps. Wenn Sie die Produktion konfigurieren, wird die Sandbox nicht konfiguriert.

Wenn Sie eine Sandbox-Organisation verbinden möchten, aktivieren Sie den MCP-Server SObject All in der Sandbox und installieren Sie dann entweder das AppExchange-Paket in der Sandbox (wählen Sie In Sandbox installieren aus) oder erstellen Sie Ihre externe Client-App in der Sandbox. Informationen zu den Datenspeichereinstellungen, die für eine Sandbox-Verbindung erforderlich sind, finden Sie unter Salesforce-Datenspeicher einrichten.

Was passiert, nachdem Sie Salesforce konfiguriert haben?

Durch die Konfiguration der App in Salesforce wird keine Verbindung hergestellt. Dadurch wird die OAuth-Anwendung für Ihre Organisation verfügbar gemacht, sodass einzelne Nutzer sie autorisieren können.

Nachdem ein Google Cloud -Administrator den Salesforce-Datenspeicher in Gemini Enterprise erstellt und mit einer App verbunden hat (siehe Salesforce-Datenspeicher einrichten), autorisiert jeder Endnutzer (einschließlich Administratoren, die die Web-App verwenden) Gemini Enterprise, in seinem Namen über die Endnutzerauthentifizierung pro Nutzer auf Salesforce zuzugreifen. Wenn ein Nutzer zum ersten Mal Salesforce-Daten in der Gemini Enterprise Web-App abfragt, wird er zur Salesforce-Anmeldeseite Ihrer Organisation weitergeleitet. Dort gewährt er der App die Bereiche mcp_api und refresh_token. Weitere Informationen finden Sie unter Connector autorisieren.

Da jeder Nutzer einzeln autorisiert wird, greift Gemini Enterprise mit den eigenen Berechtigungen des Nutzers auf Salesforce-Datensätze zu. Nutzer können nur Datensätze sehen und ändern, die sie bereits in Salesforce sehen und ändern können.

Fehlerbehebung

Symptom	Wahrscheinliche Ursache
Der Schritt Authentifizierung prüfen oder Autorisieren schlägt fehl oder auf der Salesforce-Anmeldeseite wird eine unbekannte, ungültige oder nicht autorisierte Clientanwendung gemeldet.	Wenn Sie OAuth 2.0 (von Google verwaltet) verwenden, prüfen Sie, ob das verwaltete Paket in der Organisation (einschließlich Sandbox) installiert ist, auf die der Instanz-URI verweist. Wenn Sie OAuth 2.0 (Bring Your Own App) verwenden, prüfen Sie, ob die Client-ID und der Clientschlüssel mit der App in dieser Organisation übereinstimmen, die Callback-URL auf https://vertexaisearch.cloud.google.com/oauth-redirect festgelegt ist, die Bereiche mcp_api und refresh_token ausgewählt sind und Erweiterung „Proof Key for Code Exchange (PKCE)“ für unterstützte Autorisierungsabläufe erforderlich aktiviert ist.
Einige Nutzer können die Autorisierung vornehmen, andere nicht.	Die Richtlinie Permitted Users (Zulässige Nutzer) der App schränkt den Zugriff auf bestimmte Profile oder Berechtigungssätze ein, die diese Nutzer nicht enthalten, oder IP Relaxation (IP-Lockerung) ist nicht auf Relax IP restrictions (IP-Einschränkungen lockern) festgelegt. Öffnen Sie unter Einrichtung den Tab Richtlinien der App, klicken Sie auf Bearbeiten, fügen Sie die betroffenen Profile oder Berechtigungssätze hinzu (oder legen Sie Zulässige Nutzer auf Alle Nutzer dürfen sich selbst autorisieren fest) und prüfen Sie, ob IP-Lockerung auf IP-Einschränkungen lockern festgelegt ist.
Die Autorisierung ist erfolgreich, aber Abfragen oder Aktionen in der Gemini Enterprise-Web-App schlagen fehl.	Der MCP-Server SObject All ist in der Organisation nicht aktiv oder Issue JSON Web Token (JWT)-based access tokens for named users ist in Ihrer externen Client-App nicht ausgewählt. Aktivieren Sie den Server in Salesforce Setup (siehe MCP-Server in Ihrer Organisation aktivieren) und prüfen Sie, ob Ihre externe Client-App JWT-basierte Zugriffstokens ausgibt.
Die Autorisierung ist erfolgreich, aber es werden keine Salesforce-Daten zurückgegeben.	Der autorisierende Nutzer hat möglicherweise keinen Zugriff auf Datensatzebene in Salesforce. Der Connector berücksichtigt die Salesforce-Berechtigungen des Nutzers.

Nächste Schritte

• Informationen zum Erstellen des Datenspeichers finden Sie unter Salesforce-Datenspeicher einrichten.