CData SyncでSalesforceへの接続にOAuthJWTを使う #Salesforce

CData Syncとは

CData Syncは多くのSaas, DBのデータを別のDBやDWHに同期するためのETLアプリケーションです。
200種類以上のデータソースが用意されており、大体のSaas,DBのデータに接続できるかと思います。

CData Syncの特徴については、こちらの記事が分かりやすいかと思います。ご参考にどうぞ。

CData SyncからSalesforceに接続する

CData Syncに用意されているデータソースにはSalesforceも含まれております。
すなわち、Salesforceをデータソースとして、他のDBにデータを同期させることができます。

CData SyncからSalesforceに接続する方法としては、以下のものが用意されています。

Basic
OAuth
OAuthPassword
OAuthJWT
OneLogin
PingFederate
OKTA
ADFS
AzureAD

よく使われるパターンとしては、Basic(ユーザ名とパスワード)だと思いますが、今回は「OAuthJWT」を使う手順について紹介します。
（いざ試そうとして、ちょっとだけハマってしまったので...）

Salesforceへの接続方法としては、JWT Bearer Tokenフローというものがありまして、この方法を使って、CData Syncから接続する、という具合になります。

使用するCData Syncのバージョン

今回使用するCData Syncのバージョンは、23.2.8659.0になります。

事前準備

1. JWTの電子署名を行うための秘密鍵および証明書を用意

以下、OpenSSLを使ってRSA公開暗号鍵ペアを生成し、自己証明書を作成するコマンドのサンプルになります。有効期限は適宜変更してお試しください。

$ openssl genrsa 2048 > sfdc.pem
$ openssl req -new -key sfdc.pem -out sfdc.csr
(...略)
$ openssl x509 -req -days 3650 -in sfdc.csr -signkey sfdc.pem -out sfdc.crt

2. Salesforceへ接続するための接続アプリケーションを作成

接続先のSalesforce組織の管理者アカウントでログインして、接続アプリケーションを作成します。

接続アプリケーションの作成画面で、「API(OAuth 設定の有効化)」にチェックを入れると、設定メニューが表示されますので、チェックを入れてください。

コールバックURL
- 今回は使いませんが、Salesforceが用意しているログインURLでも指定しておきます。
デジタル署名
- 先ほど作成したsfdc.crtを選択します。
選択したOAuth範囲
- 「フルアクセス」と「ユーザに変わっていつでも要求を実行」を指定します。

3. 接続アプリケーションの設定を変更

接続アプリケーションを作成した後、接続アプリケーション画面の「Manage」ボタンをクリックして、接続アプリケーションの詳細画面に移動します

「ポリシーを編集」ボタンをクリックして、OAuthポリシーを編集します。
編集画面内の「OAuthポリシー」セクションで、許可されているユーザとして「管理者が承認したユーザは事前承認済み」を選択して保存します。

そして、そのままの画面で、「プロファイル」関連リストから、接続を許可するユーザのプロファイルを選択してリストに追加します。「プロファイルを管理する」ボタンで、プロファイルを選択する画面に移動しますので、そこでプロファイルを指定ください。
＊大抵は「システム管理者」プロファイルになると思いますが、接続したいユーザのプロファイルを指定ください。

4. `client id`と`client secret`を取得

最後に、接続アプリケーションのclient idとclient secretを取得します。
接続アプリケーションの管理画面に戻って（あるいは、アプリケーションマネージャーから作成した接続アプリケーションに移動）、「コンシューマーの詳細を管理」ボタンをクリックします。

別タブが開いて、IDを検証する画面が開きます。
確認コードはメールで通知されますので、メールをご確認ください。（件名が「SalesforceでIDを確認」というメールです）

確認コードによる検証が正常に完了すると、client idとclient secretが表示された画面に移動します。

ここで「コンシューマー鍵」をコピーしておきます。

CData SyncでSalesforceへの接続を作成する

ここからCData Syncにうつります。（ようやく）
管理画面から「接続」 > 「+接続を追加」で新規接続を作成します。

データソースタブで「Salesforce」を選択します

「新しい接続」画面で、以下のように値を設定します

項目	設定する値
接続名	(接続名は任意に指定ください)
Auth Scheme	`OAuthJWT`
OAuth JWT Cert	(接続アプリケーションの用意で作成した秘密鍵の内容をそのままセット)¹
OAuth JWT Cert Type	`PEMKEY_BLOB`
OAuth JWT Issuer	(接続アプリケーションのclient id(コンシューマー鍵)
OAuth JWT Cert Password	`.csr`ファイルを作成する際に指定したパスワード (指定してなければ空のまま)
OAuth JWT Cert Subject	`*`
OAuth JWT Subject	(接続するSalesforceユーザID)
API Version	(デフォルトの`56.0`で構いません)
Login URL	sandbox環境 -> `https://test.salesforce.com` production環境 -> `https://login.salesforce.com`
Use Sandbox	sandbox環境 -> `true` production環境 -> `false`

設定が正しければ、最下部にある「Salesforceへの接続」ボタンをクリックして、接続に成功するかどうか検証します。接続に成功すれば、完了です。

さいごに

CData Syncの古いバージョンでは、Basic(ユーザ名とパスワードで接続)か、OAuthで接続するようになっていたと思います。諸事情でBasicを指定して運用しておりました。
そういった運用の場合、Salesforce側でパスワード変更が発生すると、CData Syncでもパスワードを入れ直さないと接続できなくなります。
そのような事故を回避するための策として、OAuthJWTを使って接続するというのも良いかと思いますので、試してみてください。（お試しする際には、まずはSandbox環境で）

ただ、Salesforce接続アプリケーションの証明書が切れたら、似たような事故になってしまいますので、そこだけご注意ください。

もし、接続設定でうまくいかない場合、CData社のサポートも活用してみてください。
レスポンスが良く、非常に親身に粘り強くサポートして頂けるので、大変有難いです。
（いつもありがとうございます）

それでは非常に楽チンなCData Syncご利用を！

（本記事はCData Software Advent Calendar 2023の3日目の記事になります）

CData Syncの古いバージョンだと、入力フィールドが複数行可能なテキストエリアになっていないかもしれません。その場合は、秘密鍵ファイルの内容を改行コードを全て除去して1行にしてセットしてみてください。 ↩

CData SyncでSalesforceへの接続にOAuthJWTを使う