Salesforce

Foundry の Salesforce コネクターを使用すると、Salesforce と Foundry データセット間でデータを同期できます。

サポートされている機能

データモデル

このコネクターは、利用可能なすべての標準 ↗およびカスタムの Salesforce オブジェクトを Foundry データセットとしてモデル化します。スキーマは動的に取得されます。探索ビューでは、データモデルの一覧を見たり、Salesforce オブジェクトを Foundry にインポートしたときの表示をプレビューしたりできます。

データ型のマッピング

このコネクターは、Salesforce API のデータ型を以下の Foundry フィールドのデータ型にマッピングします。

パフォーマンスと制限

このコネクターは、デフォルトで Salesforce Bulk API ↗ を使用します。この API は、2000行を超えるデータを扱うすべてのデータ操作に推奨されています。Bulk API の制限 ↗について、詳しくはこちらをご覧ください。

JDBC プロパティ UseBulkAPI を false に設定すると、このコネクターで Salesforce SOAP API ↗ を使用することもできます。SOAP API にも Salesforce SOAP API の呼び出し制限 ↗が適用されます。

セットアップ

1. Data Connection アプリケーションを開き、画面の右上にある + 新規ソースを選択します。
2. 利用可能なコネクターの種類から Salesforce を選択します。
3. 追加の設定プロンプトに従い、以下のセクションの情報を使用してコネクターのセットアップを続行します。

Foundry でのコネクターの設定については、詳しくはこちらをご覧ください。

認証

Salesforce 接続の認証に使用する資格情報の方式として、JWT トークンまたはユーザー名とパスワードを選択します。

JWT トークン

OAuth 2.0 の JSON Web Token（JWT）ベアラーフロー ↗を使用すると、リクエストのたびに対話的にログインすることなく、Foundry にデータへのアクセスを許可できます。

JWT 認証を有効にするには、証明書を生成し、外部クライアントアプリの作成時にアップロードしてから、統合ユーザーを承認する必要があります。

パート1：証明書を生成する

まず、Salesforce ユーザーを作成し、API および変更する Salesforce オブジェクトへのアクセス権限があることを確認します。後のステップでこのユーザーとして承認を行う必要があるため、統合ユーザーとしてログインできることを確認してください。

次に、JWT 証明書を作成します。Salesforce の JWT ベアラーフロー ↗には、X.509 証明書とそれに対応する秘密鍵が必要です。秘密鍵を生成するには、コマンドラインで openssl を使用し、次のコマンドを実行します。

1. x.509 の公開鍵と秘密鍵のペアを生成します。

   Copied!
   1
   2
   openssl genrsa 1024 | openssl pkcs8 -topk8 -inform PEM -out key.pem -nocrypt
   openssl req -new -x509 -key key.pem -out cert.pem -days 3650

2. 証明書を PFX ストアにエクスポートし、Base64 に変換して、クリップボードにコピーします。

   Copied!
   1
   openssl pkcs12 -export -in cert.pem -inkey key.pem | openssl base64 | pbcopy

パート2：外部クライアントアプリを作成する

Salesforce 組織に、このコネクターで動作する接続アプリケーションがすでにある場合は、そのまま使用できます。Salesforce は新しい接続アプリケーションの作成を制限しましたが、既存のものは無効にしていません。既存の接続アプリケーションについては、OAuth アクセスの管理に関する Salesforce のガイダンス ↗を確認してください。

開始する前に、Salesforce 組織で外部クライアントアプリ（旧称：接続アプリケーション）が有効になっていることを確認してください。また、Salesforce ユーザーには、外部クライアントアプリの作成とそのポリシーの編集が許可されている必要があります。

Salesforce の外部クライアントアプリの作成に関するドキュメント ↗、または Trailhead の単元「API 用の外部クライアントアプリを作成および設定する ↗」に沿って、アプリを作成します。このコネクターに影響するのは、以下の設定のみです。作成フォームの残りのセクションはデフォルトのままにします。

完了時には、アプリが次の要件を満たしている必要があります。

• OAuth が有効： コネクターは OAuth を通じて認証するため、OAuth が有効になっていないアプリは使用できません。
• コールバック URL が https://localhost:12345： Salesforce ではコールバック URL が必要ですが、コネクターがそれを送信することはありません。パート3のブラウザーによる承認の選択肢と一致するように、この値を使用します。
• パート1の X.509 証明書がアップロード済み： cert.pem ファイルをアップロードします。証明書をアップロードすることで、JWT ベアラーフローが有効になります。このフローを有効にするための別の設定はありません。
• OAuth スコープ： api を付与します。パート3のブラウザーによる承認の選択肢を使用する場合に限り、offline_access と refresh_token も付与します。

アプリのコンシューマー鍵を取得し、安全な場所に保存します。以下のコネクター設定で、この値をコンシューマー鍵として入力します。鍵は表示操作を行うまで非表示になっており、Salesforce は表示前に、メールアドレスに送信した検証コードの確認を求める場合があります。コネクターは署名付き JWT 内でコンシューマー鍵を送信するため、Salesforce が鍵とともに発行するコンシューマーシークレットは不要です。

新しい外部クライアントアプリは、すぐには使用できない場合があります。アプリの作成直後に認証に失敗した場合は、設定を変更する前に最大30分待ってから再試行してください。

パート3：ユーザーを承認する

コネクターが外部クライアントアプリを使用するには、事前に統合ユーザーがそのアプリで承認されている必要があります。コネクターは署名付き JWT で認証し、ブラウザーフローで生成される認証コードを交換することはないため、事前承認を推奨します。

• ユーザーを事前承認する： アプリの OAuth ポリシーで、許可されているユーザーを管理者が承認したユーザーは事前承認済みに設定します。次に、そのユーザーに割り当てられたプロファイル、またはそのユーザーを含む権限セットを通じて、統合ユーザーにアクセス権を付与します。この付与がない場合、ポリシーだけではユーザーは承認されません。利用可能なポリシー値については、Salesforce の外部クライアントアプリのドキュメント ↗を確認してください。
• 1回限りの承認を行う： ブラウザーで統合ユーザーとして Salesforce のログインフローを1回完了します。この選択肢を使用するには、アプリに offline_access と refresh_token のスコープも必要です。
  1. 次の Salesforce URL に移動します。https://<salesforce-url>/services/oauth2/authorize?client_id=<CONSUMER_KEY>&redirect_uri=<CALLBACK_URL>&scope=api%20offline_access%20refresh_token&response_type=code&response_mode=query&nonce=bebmwgu22zh
     • <CONSUMER_KEY> をコンシューマー鍵に、<CALLBACK_URL> をアプリで設定したコールバック URL に置き換えます。
     • <salesforce-url> を Salesforce インスタンスの URL（<site>.my.salesforce.com）に置き換えます。
  2. ログインフローを完了し、要求されたスコープを承認します。表示されているユーザー名が個人アカウントではなく、統合ユーザーであることを確認してください。誤ったユーザーを承認すると、コネクターは動作しているように見えても、その誤ったユーザーの権限が原因で後に失敗します。
  3. 最後に、ブラウザーの https://localhost:12345 で「Not Found」エラーが表示されます。コールバック URL は実際のエンドポイントではないため、このエラーはフローが完了したことを示します。

以下の JWT 認証の設定オプションを使用して、Foundry で Salesforce コネクターの設定を続けます。

ユーザー名とパスワード

ユーザー名とパスワード ↗の認証方式で Salesforce に接続するには、Salesforce でサービスユーザーアカウントと外部クライアントアプリを作成する必要があります。次に、サービスユーザーの資格情報を Salesforce コネクターに追加します。

ユーザー名とパスワードによる認証フローを有効にするには、以下の手順に従います。

1. Salesforce ユーザーを作成し、API と、変更する Salesforce オブジェクトへのアクセス権限があることを確認します。後で参照できるように、ユーザーのユーザー名とパスワードを控えておきます。

2. パート2に従って外部クライアントアプリを作成します。ただし、以下の点が異なります。

   • 証明書は不要です。
   • アプリがアクティブユーザーに利用可能なすべてのデータにアクセスできるように、api の代わりにフルアクセス (full) の OAuth スコープを付与します。
   • アプリの OAuth ポリシーで、許可ユーザーをすべてのユーザーは自己承認可能に設定します。
   • コンシューマー鍵は不要です。この認証方式では、以下で設定するユーザー名とパスワードのみを使用します。

ユーザー名とパスワードによる認証方式では、以下の設定オプションがサポートされています。

ネットワーク

直接接続で Salesforce コネクターを実行している場合は、接続を許可リストに登録するためにネットワークエグレスポリシーを追加する必要があります。

既存のポリシーを追加するか、新しいポリシーを作成するかを選択します。

Salesforce の直接接続を許可リストに登録するには、以下のポリシーを追加します。

• ログイン URL：DNS、ポート 443 (HTTPS)、および以下のいずれかが必要です。

  • login.salesforce.com（本番） または
  • test.salesforce.com（サンドボックス）

• インスタンス URL：<site>.my.salesforce.com の DNS と、ポート 443 (HTTPS) が必要です。

証明書と秘密鍵

SSL 接続ではサーバー証明書を検証します。通常、SSL の検証は証明書チェーンを通じて行われます。デフォルトでは、Agent と Foundry ワーカーのどちらも、業界標準の証明書チェーンの大半を信頼します。接続先のサーバーに自己署名証明書がある場合、または検証中に TLS インターセプションが発生する場合は、コネクターがその証明書を信頼する必要があります。Data Connection での証明書の使用について、詳しくはこちらをご覧ください。

設定オプション

Salesforce コネクターでは、以下の設定オプションがサポートされています。

Salesforce からデータを同期する

テーブルを同期するには、探索表示を使用します。同期を編集するときに、追加の設定オプションを利用できます。

インクリメンタル（差分連携）

Salesforce コネクターによるインクリメンタル同期では、インクリメンタル列の値が、前回観測された最大値以上の場合に、新しいデータが同期されます。この動作は同期データの精度と正確性を確保するために必要ですが、出力データセットに重複行が生じます。インクリメンタルパイプラインには、必ず重複排除のステップを含める必要があります。

フィルタリング

同期の設定に行フィルターを適用して、設定された条件に一致しないデータを除外できます。 条件ツリーを使用してフィルターを定義します。

• 論理演算子：
  • ALL：配下にネストされたすべてのノードが true である必要があります。
  • ANY：ネストされたノードのうち1つ以上が true である必要があります。
• 条件：
  • 利用可能な列のリストから選択します。
  • 列のデータ型に応じて、適切な演算子を選択します。
  • 選択した列と比較する値を設定します。

設定を同期に適用するために、必ず保存してください。

移行

すでに Salesforce コネクターを使用している場合、レガシーバージョンを実行している可能性があります。コネクターのバージョンを確認するには、接続設定 > 接続情報に移動します。ソース設定に type: salesforce フィールドを含むカスタムYAMLセクションが表示される場合は、レガシー Salesforce コネクターを使用しています。バグ修正以外の Palantir サポートを受けるには、最新バージョンに移行する必要があります。

コネクターを移行する

1. Data Connection アプリケーションを開き、画面右上の + 新規ソースを選択します。
   1. 利用可能なコネクターの種類から Salesforce を選択します。
   2. 以下のセクションの情報を使用し、追加の設定プロンプトに従ってコネクターの設定を続けます。
2. レガシーソースと一致するように認証を設定します。レガシーソースの設定で、カスタム YAML 内の auth-method または authentication-method ブロックを探します。
   • type: oauth2-jwt の場合は、JWT 認証で新しいソースを設定します。
     • カスタム YAML の claim-sub は、新しいコネクター設定のユーザー名に対応します。
     • x509-cert は PFX にエクスポートし、Base64 エンコードして、証明書として使用します。証明書については、上記の JWT 認証セクションで詳しくはこちらをご覧ください。
   • PFX がパスワードで保護されている場合は、証明書はパスワードで保護されていますをオンにし、証明書のパスワードを入力します。
     • カスタム YAML の claim-iss は、新しいコネクター設定のコンシューマー鍵に対応します。
   • type: oauth2-username-password の場合は、ユーザー名とパスワードによる認証で新しいソースを設定します。
     • カスタム YAML の username は、新しいコネクター設定のユーザー名に対応します。
     • カスタム YAML の password は、新しいコネクター設定のパスワードに対応します。
     • レガシーソースの client-id および client-secret プロパティは、新しいコネクターでは不要です。
3. ほかのプロパティを設定します。
   • カスタム YAML の auth-url は、新しいコネクター設定のログイン URL に対応します。
   • カスタム YAML の auth-url の値が test.salesforce.com だった場合は、新しいコネクター設定で Salesforce サンドボックスアカウントをオンにします。

同期を移行する

新しい Salesforce コネクターを設定したら、レガシーコネクターで以前同期していたオブジェクトの同期を作成します。探索ビューを使用して複数のオブジェクトを一括で同期し、新しいデータセットを作成します。

同じ API バージョンを使用する場合、レガシー Salesforce コネクターと新しい Salesforce コネクターは同じスキーマを使用します。入力を再マッピングすれば、すべての下流のアプリケーションは引き続き機能するはずです。

新しい同期データセットを使用するように下流のパイプラインを移行する必要があります。レガシーデータセットを必要とするほかの利用先がないことを確認したら、そのデータセット、関連する同期、および接続を削除できます。Data Lineage を使用して、環境内でレガシーデータセットが使用されている場所を確認します。