外部システムからSalesforce REST APIに接続する手順｜ブログ

なぜ認証の設計が要るのか

外部システムからSalesforceのREST APIを呼ぶときも、必ず誰かとしてログインした状態が要ります。データを扱うエンドポイントは、匿名では叩けません。呼び出す側のユーザにAPIへのアクセス権があるか、そのユーザのプロファイルで「API の有効化」が許可されているかを、まず確認します。

接続アプリケーションは新規作成できない

Spring '26以降、Salesforceは新規の接続アプリケーション（Connected App）の作成を既定で止めています。API・画面のどちらから作成しようとしても、パッケージのインストールで作られる場合を除いてブロックされます。既存の接続アプリケーションはそのまま動きますが、これから外部システムを繋ぐなら、次世代版の外部クライアントアプリ（External Client App）を使います。

外部クライアントアプリは、開発者側の設定と管理者側のポリシーを分けて管理できるなど、接続アプリケーションの弱点を補う位置づけです。ユーザプロビジョニングが必要な連携だけは、まだ接続アプリケーションのみが対応しています。

外部クライアントアプリを作る

App Managerを開く
「設定」の検索欄で「App Manager」を開きます。
新規外部クライアントアプリを選ぶ
一覧右上の「新規外部クライアントアプリ」から、アプリ名・API参照名・連絡先メール（xxxxxxxx@example.com）を入力します。
OAuth設定を有効化する
「OAuth設定を有効化」をオンにし、コールバックURLと、必要なOAuth範囲だけを選びます。範囲は広く取らず、実際に使う分だけにします。
保存してコンシューマの詳細を確認する
保存後、アプリの操作メニューから「表示」を開き、「コンシューマの詳細を管理」でコンシューマ鍵とコンシューマの秘密を確認します。本人確認を求められ、表示できる時間も限られています。控えたら、安全な場所に保管します。

接続に使うユーザの権限を絞る

接続用のユーザには、システム管理者のプロファイルを使いません。最小権限のプロファイルにユーザを所属させ、必要なオブジェクト・項目へのアクセスだけを権限セットで足します。プロファイルで「API の有効化」が許可されていることも確認します。この連携が何にアクセスできるかを、権限セット1つで説明できる状態が目安です。

プロファイルのシステム管理者権限一覧。「API の有効化」に赤枠とチェックが付いている — 接続に使うユーザのプロファイル設定です。「API の有効化」にチェックが入っているかを確認します。

フローを選ぶ

フロー	向いている場面	特徴
クライアントクレデンシャル	サーバー間の定期連携、ユーザの操作を挟まない	コンシューマ鍵とコンシューマの秘密だけで認証。指定した統合ユーザとして実行される
JWTベアラー	サーバー間の自動連携、証明書を管理できる	デジタル証明書で署名したJWTを送る。パスワードを一切使わない
認可コード（PKCE付き）	ユーザ自身が同意してログインするWebアプリ	ブラウザ経由でユーザがログインし、同意した範囲だけにアクセスする

⚠️ ユーザ名パスワードフローは使いません。Summer '23以降に作成された組織では既定でブロックされています。ユーザ名とパスワードをそのまま送る形なので、Salesforceも上の3つのフローへの切り替えを勧めています。

クライアントクレデンシャルフローで接続する

ユーザの操作を挟まない定期連携なら、クライアントクレデンシャルフローが単純です。外部クライアントアプリでこのフローを構成し、実行ユーザに接続用ユーザを指定してから、トークンエンドポイントへ次のリクエストを送ります。

curl -X POST "https://xxxx.my.salesforce.com/services/oauth2/token" \
  -d "grant_type=client_credentials" \
  -d "client_id=xxxxxxxx" \
  -d "client_secret=xxxxxxxx"

コンシューマ鍵とコンシューマの秘密だけでアクセストークンを取得します。パスワードは送りません。

レスポンスの access_token を、以降のAPI呼び出しの Authorization: Bearer に使います。

トークン取得のレスポンスJSON。access_token・instance_url・token_typeなどの値は黒く塗られている — トークン取得のレスポンスです。この access_token を次の呼び出しで使います。

アクセストークンでオブジェクトの情報を取得する

curl "https://xxxx.my.salesforce.com/services/data/v67.0/sobjects/Account/describe" \
  -H "Authorization: Bearer xxxxxxxx"

取引先のメタ情報を取得します。バージョンは数値のほか latest も指定できます。

バージョンを付けない /services/data/ へのGETは認証なしで叩け、利用できるバージョン一覧がそのまま返ります。接続先の組織がどのバージョンまで対応しているかを、ここで確かめられます。

APIクライアントのGET欄。describeのエンドポイントURLが入力されている — オブジェクト情報を取得するリクエストです。メソッドはGET、宛先は describe のエンドポイントです。

APIクライアントのToken入力欄。値は黒く塗られている — 認証情報の指定です。Bearer Token として、先ほどの access_token をここに入れます。

当時の手順書。レコード取得リクエストのメソッド・エンドポイント・Authorization設定が並んでいる — 当時の手順書です。メソッド、エンドポイント、Authorizationの3つをどう指定したかがまとまっています。

ステータス200 OKと、取引先のdescribe結果のJSON。childRelationshipsなどが並ぶ — 取得できたレスポンスです。200 OK が返り、取引先のメタ情報がJSONで戻ってきます。

当時の手順書。レコード取得レスポンスの200 OKとJSON本文が貼られている — 当時の手順書のレスポンス側です。どこまでが1件分の情報かを、この形で確認していました。

ここで間違えやすい

間違い	何が起きるか
接続アプリケーションを新規作成しようとする	Spring '26以降は既定でブロックされます。外部クライアントアプリを使います
ユーザ名パスワードフローで組もうとする	新しい組織では既定でブロックされ、認証が通りません
接続用ユーザにシステム管理者権限を与える	侵害時の影響が広がります。権限セットで必要な分だけ足します
OAuth範囲を全部選んでおく	実際に使わない範囲まで許可され、監査時に説明できません