カテゴリ一 AWS ブログ開発クラウド

2025-12-23 #AWS #salesforce #Kendra

こんにちは！エンジニアの岩間です。

今回は、Amazon Kendra Salesforce Connector V2を使ってSalesforceと連携するときにハマったポイントと解決策についてまとめました。

1 背景
2 前提
3 手順
4 Tips
5 注意ポイント
6 Bedrockとの連携について
7 まとめ

背景

SalesforceのデータをAWS側で取得して、Bedrockで質問回答するRAGの仕組みを作りたいというのがもともとの目的でした。

Bedrockナレッジベースのデータソース統合（現在Preview版）で良さそうに見えますが、現時点ではSalesforceのカスタムフィールドおよびカスタムオブジェクトが取得できないようです。

他の方法として、Salesforceからレポートをcsvでエクスポートして S3に配置→ナレッジベースにする方法もありますが、データの同期が大変です。

もっといい方法がないか探したところ、Kendra Salesforce Connector V2.0を発見したので使ってみることにしました。

前提

SalesforceはDeveloper Editionを使用

手順

基本は公式ドキュメントと公式ブログの手順に従って設定します。

上記手順を参考にAmazon Kendra のインデックス、Salesforce のデータソースを作成し、データの同期を行いました。

その際にSalesforceの認証エラーが発生しました。

1	[invalid_grant] - Error while generating access token.Possible reason can be- Setting in Salesforce- Introspect All Tokens in API Enable OAuth Settings is not selected?

ハマりポイント①：OAuthユーザー名パスワードフローの許可

Salesforce側で「OAuthユーザー名パスワードフローを許可」する必要がありました。

設定 → 検索窓から「OAuth および OpenID Connect 設定」→「OAuthユーザー名パスワードフローを許可」トグルをONにします。

参考：OAuth 2.0 認証エラー

ハマりポイント②：接続アプリケーションの種類

Salesforce側で「外部アプリケーション」ではなく「接続アプリケーション」を作成する必要がありました。

最初は外部クライアントアプリケーション（接続アプリケーションとは別のもの）を作成して「すべてのトークンを調査」を有効にするなど試行錯誤しましたが、調べてみると、外部クライアントアプリケーションではユーザー名パスワードフローがサポートされていないようです。

外部クライアントアプリケーションでは、ユーザー名とパスワードフローはサポートされていません。ユーザー名とパスワードフローを使用する接続アプリケーションを移行する場合、フローは外部クライアントアプリケーションでは機能しません。ユーザー名パスワードフローの代わりに、コード交換の証明鍵 (PKCE) を使用する OAuth 2.0 Web サーバーフロー、または OAuth 2.0 クライアントログイン情報フローを使用することをお勧めします。

Kendraはユーザー名パスワードで認証するので、外部クライアントアプリケーションではダメでした。

引用元：https://help.salesforce.com/s/articleView?id=xcloud.connected_app_to_external_client_app_migration.htm&type=5