外部アプリから Salesforce API にアクセスする方法

みなさん、こんにちは！外部のアプリケーションから Salesforce のデータにアクセスしたいと思ったことはありませんか？この記事では、最小手順で外部クライアントアプリケーションを使って Salesforce API にアクセスする方法について解説します。

動画での解説はこちらからご覧いただけます。

※この記事の内容を試すには、API アクセス権限のある Salesforce 組織が必要です。まだ環境をお持ちでない方は、無料で取得可能な Developer Edition をご利用ください。

この記事のポイント

外部クライアントアプリケーションは、接続アプリケーションの「次世代版」
開発者と管理者の役割が明確に分離された設計

1. なぜ「外部クライアントアプリケーション」なのか

接続アプリケーションの課題

従来の接続アプリケーション（Connected App）は長年にわたり Salesforce の外部連携を支えてきましたが、いくつかの課題がありました。

セキュリティ: デフォルトでグローバルに公開されるため、意図しないアクセスのリスク
役割の混在: 開発者と管理者の設定が同じ場所に混在し、管理が複雑
パッケージング: 2GP（第2世代パッケージング）での利用に手動ステップが必要
設定反映の遅延: 変更が反映されるまで最大10分かかる場合がある

外部クライアントアプリケーションのメリット

外部クライアントアプリケーションは、これらの課題を解決するために設計されました。

観点	接続アプリケーション	外部クライアントアプリケーション
セキュリティ	デフォルトでグローバル公開	デフォルトでローカル・セキュア
役割分離	設定が混在	「設定」と「ポリシー」で明確に分離
パッケージング	1GP/2GP（2GPは制限あり）	2GP ネイティブ対応
設定反映	最大10分	即時反映

Salesforce は外部クライアントアプリケーションを「次世代の接続アプリケーション」と位置づけており、今後の新規開発ではこちらの利用が推奨されています。

※ 接続アプリケーションから外部クライアントアプリケーションへの移行機能も提供されています。（英語）

2. 事前準備

外部クライアントアプリケーションを作成する前に、以下を確認してください。

Salesforce 組織（Developer Edition、Sandbox、または本番環境）
API アクセス権限のあるユーザー
組織の My Domain URL（後で使用します）

My Domain URL は、設定画面のクイック検索で「私のドメイン」と入力して確認できます。

3. 外部クライアントアプリケーションの設定

ステップ 1：アプリの作成

設定画面を開く
クイック検索で「外部クライアントアプリケーションマネージャー」を検索
「新規外部クライアントアプリケーション」をクリック
基本情報を入力
- 外部クライアントアプリケーション名: 任意（例: My API Client）
- 取引先責任者メール: 自分のメールアドレス

ステップ 2：OAuth 設定

※ curl コマンドで簡単に試してみる場合の設定。詳しくは 4. OAuth フローの選び方を参照

「OAuth を有効化」にチェック
以下を設定：
- コールバック URL: https://login.salesforce.com/services/oauth2/callback
- OAuth 範囲: 「API を使用してユーザーデータを管理 (api)」を追加
- フローの有効化: 「クライアントログイン情報フローを有効化」にチェック
- セキュリティ: 「サポートされる認証フローにProof Key for Code Exchange (PKCE) 拡張を要求」のチェックを外す
「作成」をクリック

ステップ 3：ポリシー設定

ここが外部クライアントアプリケーションの特徴的な部分です。設定（開発者向け）とポリシー（管理者向け）が明確に分かれています。

作成後、「ポリシー」タブを開く
「編集」をクリック
「クライアントログイン情報フローを有効化」にチェック
「(ユーザー名) として実行」に API を実行するユーザーを設定
「保存」をクリック

※ 「実行ユーザー」の設定は Client Credentials Flow に必須です。このユーザーの権限で API が実行されます。

ステップ 4：認証情報の取得

「設定」タブを開く
OAuth 設定からアプリケーション設定内にある「コンシューマ鍵と秘密」をクリック
受信したメールに記載されているコードで検証し、本人確認を完了
コンシューマー鍵とコンシューマーの秘密をコピーして安全に保管

4. OAuth フローの選び方

外部クライアントアプリケーションは、今回ご紹介している手順以外にも複数の OAuth フローをサポートしています。ユースケースに応じて適切なフローを選択してください。

Client Credentials Flow（推奨：サーバー間連携）

特徴:

ユーザーのログイン操作が不要
サーバー間（M2M）連携に最適
事前に「実行ユーザー」の設定が必要

適したユースケース: バッチ処理、定期的なデータ同期、バックエンドサービス

認可コードフロー + PKCE（推奨：ユーザー操作を伴うアプリ）

特徴:

ユーザーがブラウザでログイン・認可を行う
PKCE（Proof Key for Code Exchange）により認可コードの横取り攻撃を防止
Consumer Secret が不要（公開クライアント向け）

適したユースケース: Web アプリケーション、モバイルアプリ、SPA（シングルページアプリケーション）

認可コードフロー（PKCE なし）

特徴:

ユーザーがブラウザでログイン・認可を行う
Consumer Secret が必要
PKCE より設定がシンプル

適したユースケース: サーバーサイドで Secret を安全に管理できる Web アプリケーション

どれを選ぶべきか（一例）

ユースケース	推奨フロー
バッチ処理・定期同期	Client Credentials
モバイルアプリ	認可コード + PKCE
SPA（React, Vue など）	認可コード + PKCE
サーバーサイド Web アプリ	認可コード（PKCE 任意）
CLI ツール	Client Credentials または認可コード

5. curl での動作確認

Client Credentials Flow を使って、curl で API アクセスを確認してみましょう。

トークン取得

成功すると、以下のようなレスポンスが返ります：

API 呼び出し

取得した access_token を使って Account データを取得します：

※ Mac のターミナル（zsh）では、トークンに ! が含まれる場合があるため、シングルクォートで囲むことをおすすめします。

6. よくあるエラーと対処法

invalid_grant: request not supported on this domain

原因: login.salesforce.com や test.salesforce.com を使用している

対処: 組織固有の My Domain URL を使用してください

unsupported_grant_type: grant type not supported

原因: Client Credentials Flow が有効化されていない

対処: ポリシー設定で「クライアントログイン情報フローを有効化」にチェックを入れてください

invalid_client_id

原因: コンシューマー鍵が間違っている、またはアプリがまだ有効化されていない

対処:

コンシューマー鍵を再確認
アプリ作成直後は数分待ってから再試行

INVALID_SESSION_ID: Session expired or invalid

原因: アクセストークンが無効または期限切れ

対処: トークンを再取得してください

まとめ

外部クライアントアプリケーションは、Salesforce が提供する次世代の外部連携ソリューションです。従来の接続アプリケーションと比較して、セキュリティ、役割分離、パッケージングの面で大きく改善されています。まずは Developer Edition で試してみてください。

参考リソース（英語）

Salesforce Help: Create an External Client App
Salesforce Help: External Client Apps and Connected Apps
Salesforce Help: Comparison of Connected Apps and External Client Apps