Configurazione di Salesforce

Questa pagina descrive come un amministratore di Salesforce attiva il server MCP chiamato dal connettore Salesforce e configura l'autenticazione OAuth 2.0 in Salesforce. Entrambi sono prerequisiti per connettere Salesforce a Gemini Enterprise.

Scegli un metodo di autenticazione

Poiché il flusso OAuth 2.0 viene eseguito sugli endpoint di My Domain della tua organizzazione anziché su un host di accesso Salesforce condiviso, la tua organizzazione Salesforce deve considerare attendibile un'app client OAuth prima che un utente possa autorizzare il connettore. Puoi configurare l'autenticazione in uno dei seguenti modi:

  • OAuth gestito daGoogle (OAuth 2.0 (gestito da Google), predefinito): Google pubblica il pacchetto gestito Gemini Enterprise - Salesforce Connector su Salesforce AppExchange. Quando installi il pacchetto nella tua organizzazione Salesforce, non crei la tua app Salesforce né inserisci un ID client o un client secret in Gemini Enterprise. Consulta Installa il pacchetto gestito da Google.
  • Bring Your Own App (OAuth 2.0 (Bring Your Own App)): se la tua organizzazione non può installare i pacchetti AppExchange o vuole gestire direttamente la propria applicazione OAuth e le proprie policy di sicurezza, puoi creare la tua app client esterna in Salesforce e inserire il relativo ID client (chiave utente) e client secret (secret utente) in Gemini Enterprise. Consulta Crea la tua app OAuth.

Prima di iniziare

Prima di configurare Salesforce, assicurati di quanto segue:

  • Hai eseguito l'accesso a Salesforce come amministratore:

    • Per installare il pacchetto gestito da Google, il tuo profilo utente deve includere l'autorizzazione Download AppExchange Packages (inclusa nel profilo Amministratore di sistema).
    • Per utilizzare la tua app, il tuo profilo utente deve disporre dell'autorizzazione per creare e gestire app client esterne in Setup (Configurazione) di Salesforce.

  • Sai quale organizzazione stai collegando. Completa la configurazione nella stessa organizzazione di cui prevedi di inserire l'URL di My Domain come URI istanza quando crei il datastore.

  • La tua organizzazione ha attivato ed eseguito il deployment di My Domain. Il connettore esegue l'autorizzazione con l'host del tuo dominio, ad esempio https://example.my.salesforce.com.

  • La tua organizzazione utilizza una versione di Salesforce supportata. Il connettore supporta le versioni Professional, Enterprise, Unlimited e Developer.

  • Il server MCP SObject All è attivo nella tua organizzazione. Il server non è attivo per impostazione predefinita. Consulta Abilita il server MCP nella tua organizzazione.

Abilita il server MCP nella tua organizzazione

Il connettore chiama il server MCP SObject All ospitato da Salesforce, che espone le operazioni di creazione, lettura, aggiornamento ed eliminazione alla base delle azioni del connettore. Il connettore si connette solo all'endpoint del server MCP SObject All; i server MCP separati per operazione non sono supportati. L'attivazione è obbligatoria sia per OAuth 2.0 (gestito da Google) sia per OAuth 2.0 (Bring Your Own App).

Poiché il server è inattivo per impostazione predefinita, un amministratore deve attivarlo nella tua organizzazione.

Per attivarla, segui questi passaggi:

  1. In Salesforce, vai a Setup (Configurazione).

  2. Vai a Integrazioni > Catalogo API > Server MCP.

  3. Nella scheda Server Salesforce, trova SObject All, descritto come Crea, legge, aggiorna ed elimina i record Salesforce.

  4. Imposta Stato server su Attivo.

L'attivazione del server MCP SObject All abilita il server per la tua organizzazione senza richiedere un'autorizzazione dell'utente separata per il server MCP e non concede agli utenti l'autorizzazione per creare, aggiornare o eliminare record autonomamente. L'accesso in scrittura ed eliminazione è controllato su due livelli:

  • In Gemini Enterprise: le azioni di sola lettura sono attive per impostazione predefinita, mentre le azioni che creano, aggiornano o eliminano i record sono disattivate per impostazione predefinita. Durante la configurazione o la gestione del datastore, l'amministratore Google Cloud sceglie quali azioni di creazione, aggiornamento o eliminazione attivare o le lascia tutte disattivate in modo che il connettore sia di sola lettura. Consulta Attiva le azioni.
  • In Salesforce: ogni azione viene eseguita nell'account Salesforce dell'utente autorizzante e rispetta le autorizzazioni a livello di oggetto, la sicurezza a livello di campo e le regole di condivisione di quell'utente.

Installa il pacchetto gestito da Google

Se prevedi di utilizzare OAuth 2.0 (gestito da Google), installa il pacchetto gestito di Gemini Enterprise da Salesforce AppExchange:

  1. Accedi alla tua organizzazione Salesforce come amministratore.

  2. Vai alla scheda Gemini Enterprise - Salesforce Connector su Salesforce AppExchange.

  3. Fai clic su Scarica adesso.

  4. Scegli l'ambiente in cui eseguire l'installazione:

    • Install in Production (Installa in produzione) per la tua organizzazione di produzione.
    • Install in Sandbox (Installa in sandbox) per un'organizzazione sandbox.

  5. Scegli gli utenti che possono accedere all'app:

    • Install for Admins Only (Installa solo per gli amministratori): solo gli utenti con il profilo di amministratore di sistema possono utilizzare l'app.
    • Installa per profili specifici: solo gli utenti con i profili selezionati possono utilizzare l'app.
    • Installa per tutti gli utenti (opzione consigliata): ogni utente dell'organizzazione può utilizzare l'app senza ulteriori configurazioni del profilo.

    Il pacchetto gestito include già gli ambiti OAuth richiesti (mcp_api e refresh_token). Ogni utente che accede per autorizzare il connettore in Gemini Enterprise deve avere accesso all'app in base all'opzione che scegli. Un utente il cui profilo non dispone dell'accesso non può completare il passaggio di accesso.

  6. Se Salesforce lo richiede, approva l'accesso di terze parti, poi fai clic su Installa o Esegui l'upgrade.

  7. Attendi il completamento dell'installazione. Per un'organizzazione di grandi dimensioni, Salesforce potrebbe completare l'installazione in modo asincrono e inviarti un'email al termine.

Dopo l'installazione, l'app viene visualizzata in Setup (Configurazione) di Salesforce come Gemini Enterprise. Successivamente, imposta il criterio IP di accesso per l'app.

Crea la tua app OAuth

Se prevedi di utilizzare OAuth 2.0 (Bring Your Own App), crea e configura un'app client esterna in Salesforce per ottenere una chiave utente (ID client) e un secret utente (Client secret):

  1. Accedi alla tua organizzazione Salesforce come amministratore e vai a Setup (Configurazione).

  2. Nel campo Ricerca rapida, inserisci External Client App Manager e seleziona Gestione app client esterna.

  3. Fai clic su New External Client App (Nuova app client esterna) e, in Basic Information (Informazioni di base), inserisci le informazioni richieste (External Client App Name (Nome app client esterna), API Name (Nome API) e Contact Email (Email di contatto)).

  4. Nella sezione API (Enable OAuth Settings) (API (Abilita impostazioni OAuth)), seleziona Enable OAuth (Abilita OAuth) e configura le seguenti impostazioni:

    1. In App Settings (Impostazioni app), per Callback URL (URL di callback), inserisci:

      https://vertexaisearch.cloud.google.com/oauth-redirect

    2. In Ambiti OAuth, aggiungi entrambi i seguenti ambiti:

      • Accedi ai server MCP della piattaforma API Salesforce (mcp_api)
      • Perform requests at any time (refresh_token, offline_access) (Esegui richieste in qualsiasi momento (refresh_token, offline_access))

      Questi concedono gli ambiti mcp_api e refresh_token richiesti dal connettore.

    3. In Sicurezza, assicurati che siano selezionate le seguenti opzioni:

      • Richiedi l'estensione PKCE (Proof Key for Code Exchange) per i flussi di autorizzazione supportati
      • Emetti token di accesso basati su JSON Web Token (JWT) per gli utenti con nome

  5. Fai clic su Crea.

  6. Configura le policy OAuth dell'app:

    1. In Setup (Configurazione), vai ad Apps > External Client App Manager (App > Gestione app client esterna), fai clic sulla tua app client esterna, seleziona la scheda Policies (Policy) e fai clic su Edit (Modifica).

    2. In Utenti autorizzati, seleziona Tutti gli utenti possono eseguire l'autorizzazione autonoma (opzione consigliata) oppure seleziona Gli utenti approvati dall'amministratore sono preautorizzati e assegna i profili o i set di autorizzazioni per tutti gli utenti che autorizzeranno il connettore (incluso l'amministratore che verifica l'autenticazione durante la creazione del datastore).

    3. In IP Relaxation (Rilassamento IP), seleziona Relax IP restrictions (Rilassa le restrizioni IP). Per maggiori dettagli sul motivo per cui questa impostazione è obbligatoria, consulta Imposta il criterio IP di accesso per l'app.

    4. Fai clic su Salva.

  7. Copia le credenziali OAuth dell'app:

    1. Seleziona la scheda Settings (Impostazioni), espandi OAuth Settings (Impostazioni OAuth) e fai clic su Consumer Key and Secret (Chiave utente e secret).
    2. Copia e salva la chiave utente e il secret consumer. Inserisci questi valori come Client ID (ID client) e Client Secret (Secret client) quando crei il datastore in Gemini Enterprise.

Imposta la policy IP di accesso per l'app

Gli indirizzi IP statici per datastore non sono supportati per il connettore Salesforce. Invece, la convalida dell'IP di accesso è regolata dall'app client esterna in Salesforce:

  • Chiamate di autenticazione (scambio e aggiornamento dei token OAuth): quando un utente autorizza il connettore, Gemini Enterprise scambia e aggiorna i token Salesforce dell'utente dai server di Google. Queste richieste non provengono dagli indirizzi IP della tua organizzazione. Se l'app applica limitazioni IP e i profili degli utenti hanno intervalli IP di accesso, le richieste vengono rifiutate e il passaggio Verifica autenticazione o Autorizza non va a buon fine. Imposta la policy IP Relaxation (Rilassamento IP) dell'app su Relax IP restrictions (Rilassa le restrizioni IP). Per l'app Gemini Enterprise gestita daGoogle, Google limita già le richieste di token agli intervalli IP in uscita di Googlee questo controllo si applica indipendentemente dall'impostazione della policy.
  • Chiamate di dati: solo le richieste di accesso e di token vengono verificate rispetto alle limitazioni degli indirizzi IP. Dopo che un utente autorizza il connettore, Salesforce gestisce le richieste di dati del connettore in base al token di accesso valido dell'utente.

Per impostare la policy per l'app gestita da Google(o per la tua app client esterna):

  1. In Salesforce, vai a Setup (Configurazione).

  2. Vai ad App > Gestione app client esterne e fai clic su Gemini Enterprise (o sul nome della tua app client esterna personalizzata).

  3. Seleziona la scheda Norme e fai clic su Modifica.

  4. Nella sezione OAuth Policies (Policy OAuth), imposta IP Relaxation (Rilassamento IP) su Relax IP restrictions (Rilassa le restrizioni IP).

  5. Fai clic su Salva.

Connetti un'organizzazione sandbox

Una sandbox è un'organizzazione Salesforce separata con il proprio host Il mio dominio e i propri pacchetti e app installati. La configurazione della produzione non configura la sandbox.

Per connettere un'organizzazione sandbox, attiva il server MCP SObject All nella sandbox, quindi installa il pacchetto AppExchange nella sandbox (scegliendo Install in Sandbox) o crea l'app client esterna nella sandbox. Per le impostazioni del datastore richieste da una connessione sandbox, consulta Configura un datastore Salesforce.

Cosa succede dopo aver configurato Salesforce

La configurazione dell'app in Salesforce non comporta alcuna connessione. Rende l'app OAuth disponibile per la tua organizzazione in modo che i singoli utenti possano autorizzarla.

Dopo che un amministratore Google Cloud ha creato il datastore Salesforce in Gemini Enterprise e lo ha collegato a un'app (vedi Configura un datastore Salesforce), ogni utente finale (inclusi gli amministratori che utilizzano l'app web) autorizza Gemini Enterprise ad accedere a Salesforce per suo conto utilizzando l'autenticazione dell'utente finale per utente. Quando un utente esegue per la prima volta una query sui dati di Salesforce nell'app web Gemini Enterprise, viene reindirizzato alla pagina di accesso a Salesforce della tua organizzazione, dove concede all'app gli ambiti mcp_api e refresh_token. Per saperne di più, consulta Autorizza il connettore.

Poiché ogni utente autorizza individualmente, Gemini Enterprise accede ai record di Salesforce con le autorizzazioni di quell'utente. Un utente vede e modifica solo i record che può già visualizzare e modificare in Salesforce.

Risoluzione dei problemi

Sintomo Causa probabile
Il passaggio Verifica autenticazione o Autorizza non va a buon fine oppure la pagina di accesso di Salesforce segnala un'applicazione client sconosciuta, non valida o non autorizzata. Se utilizzi OAuth 2.0 (Google Managed), verifica che il pacchetto gestito sia installato nell'organizzazione esatta (inclusa una sandbox) a cui punta l'URI dell'istanza. Se utilizzi OAuth 2.0 (Bring Your Own App), verifica che l'ID client e il client secret corrispondano all'app nell'organizzazione, che l'URL di callback sia impostato su https://vertexaisearch.cloud.google.com/oauth-redirect, che gli ambiti mcp_api e refresh_token siano selezionati e che l'opzione Require Proof Key for Code Exchange (PKCE) extension for Supported Authorization Flows (Richiedi l'estensione Proof Key for Code Exchange (PKCE) per i flussi di autorizzazione supportati) sia abilitata.
Alcuni utenti possono autorizzare e altri no. La policy Permitted Users (Utenti autorizzati) dell'app limita l'accesso a profili o set di autorizzazioni specifici che non includono questi utenti oppure l'opzione IP Relaxation (Rilassamento IP) non è impostata su Relax IP restrictions (Allenta restrizioni IP). In Setup (Configurazione), apri la scheda Policies (Policy) dell'app, fai clic su Edit (Modifica), aggiungi i profili o i set di autorizzazioni interessati (o imposta Permitted Users (Utenti autorizzati) su All users may self-authorize (Tutti gli utenti possono autorizzarsi autonomamente)) e verifica che IP Relaxation (Rilassamento IP) sia impostato su Relax IP restrictions (Allenta restrizioni IP).
L'autorizzazione va a buon fine, ma le query o le azioni non riescono nell'app web Gemini Enterprise. Il server MCP SObject All non è attivo nell'organizzazione oppure l'opzione Emetti token di accesso basati su JSON Web Token (JWT) per gli utenti denominati non è selezionata nell'app client esterna. Attiva il server nella configurazione di Salesforce (consulta Attiva il server MCP nella tua organizzazione) e verifica che l'app client esterna emetta token di accesso basati su JWT.
L'autorizzazione va a buon fine, ma non vengono restituiti dati di Salesforce. L'utente autorizzante potrebbe non avere l'accesso a livello di record in Salesforce. Il connettore rispetta le autorizzazioni Salesforce dell'utente.

Passaggi successivi