Mewngofnodi Salesforce CLI dros VPN: CLI, porwr a gwesteiwr API

Adroddir methiannau mewngofnodi Salesforce CLI fel un broblem, ac fel arfer maent yn dair. Mae'r broses CLI yn rhedeg yn rhywle, mae'r porwr sy'n cwblhau'r llif gwe yn rhedeg yn rhywle, ac mae'r alwad API ddiweddarach yn rhedeg yn rhywle, ac nid oes rhaid i'r tri lle hynny rannu llwybr, datryswr na rhestr ganiatáu. Cymharu'r rhain yw'r ffordd gyflymaf i ddarganfod pa un y mae'r twnnel yn ei rwystro mewn gwirionedd. Nid yw unrhyw beth yn allbwn y mewngofnodi yn enwi pa un o'r tri a fethodd.

Tri gwesteiwr, un stori fewngofnodi

Mae'r llif mewngofnodi gwe yn trosglwyddo'r cam hunaniaeth i borwr, ac mae'r porwr hwnnw'n aml ar eich gliniadur tra bod y CLI ar westaiwr datblygu o bell neu mewn cynhwysydd. Mae gan y gliniadur gleient VPN, mae gan y gwesteiwr o bell beth bynnag a roddodd tîm y platfform iddo, ac nid yw'r naill drefniant yn cwmpasu'r llall yn awtomatig. Nid yw eicon VPN yn y bar statws yn dweud dim am westeiwr nad yw erioed wedi rhedeg y cleient.

Ar ôl mewngofnodi, mae'r CLI yn gwneud ei geisiadau API ei hun o ble bynnag y mae'r broses yn byw. Mae'r ceisiadau hynny angen DNS, llwybro, ymddiriedaeth TLS ac awdurdodi cleient ochr yr org, sef pedwar gwiriad ar wahân y gall pob un fethu ar ei ben ei hun. Nid yw porwr a fewngofnododd yn hardd yn dweud dim wrthych am unrhyw un ohonynt.

Cadwch y ddwy hanner ar un llinell amser, ond sgoriwch nhw ar wahân. Yna gall un tocyn ddweud pa hanner a dorrodd heb ei droi'n ddadl am berchnogaeth.

Cymerwch gofnod yr org o'r org, nid o'r cof

Mae'r llif gwe yn cymryd URL enghraifft ac yn storio'r canlyniad o dan lysenw, a dylai'r ddau werth ddod gan berchennog yr org yn hytrach nag o hanes terfynell cydweithiwr. Mae gwesteiwr sandbox a gopïwyd o docyn hen yn achos cyffredin o fewngofnodi sy'n dilysu yn erbyn yr org anghywir ac yna'n methu pob ymholiad.

Defnyddiwch y ffurf y mae'r ategyn gosodedig yn ei dogfennu, gyda'ch gwesteiwr a'ch llysenw cymeradwy eich hun. Y ddogfennaeth honno yw'r cyfeiriad ar gyfer baneri a newidiodd rhwng sfdx a'r CLI presennol.

sf org login web --instance-url https://acme--uat.sandbox.my.salesforce.com --alias uat
sf org display --target-org uat

Mae'r enw gwesteiwr a'r llysenw uchod yn enghreifftiau, nid diofynion y dylech eu copïo. Cwblhewch y camau hunaniaeth porwr a MFA arferol yn lle sgriptio o'u cwmpas, ac na roddwch byth gyfrinair, dynodwr sesiwn na hedyn dilysydd mewn gorchymyn cragen i osgoi'r anogwr.

Beth mae'r awdurdodiad storio yn ei brofi

Mae llysenw sy'n ymddangos yn y rhestr awdurdodi leol yn profi bod mewngofnodi wedi llwyddo unwaith ar y peiriant hwnnw. Darllenir y rhestr o storfa leol ac nid yw'n cysylltu â'r org i gadarnhau bod y tocyn yn dal i weithio, felly gall cofnod sy'n edrych yn iach a galwad API a wrthodwyd fod yn wir ar yr un pryd. Triniwch y storfa fel cofnod o'r gorffennol, nid fel prawf cysylltedd byw. Mae gwiriad storfa yn ateb cwestiwn cymorth, ond nid yw byth yn cau ymchwiliad cysylltedd.

Mae'r un gwahaniaeth yn berthnasol i sesiwn y porwr. Nid yw tab sy'n dal i ddangos yr org yn golygu bod tocyn storio'r CLI yn cyfateb i'r polisi presennol, oherwydd gorfeddir oes y tocyn, cyfyngiadau IP a rheolau'r ap cleient ar ffin yr API.

Darllenwch y cofnod lleol cyn ei ddileu, gan mai'r llysenw a gwesteiwr yr org yw'r ddau ffaith y bydd cymorth yn gofyn amdanynt. Mae symud llysenw yn gildroadwy, ond mae symud yr un anghywir yng nghanol digwyddiad yn ychwanegu ail broblem yn unig.

Lle mae'r cais API yn cael ei wrthod mewn gwirionedd

Dilynwch un cais o'r dechrau i'r diwedd a nodwch pa gydran sy'n ateb. Mae methiant TLS yn enwi problem wahanol i 403, sy'n enwi problem wahanol i derfyn amser, a'r terfyn amser yw'r unig un o'r tri sy'n pwyntio at y twnnel fel y prif amheuai. Mae darllen dosbarth y gwall cyn y neges yn arbed llawer o ddyfalu. Ysgrifennwch y dosbarth cyn ailredeg unrhyw beth.

Cyfyngiadau cyfeiriad ffynhonnell yw'r achos sy'n cynhyrchu mewngofnodi sy'n gweithio ac ymholiad nad yw'n gweithio, oherwydd gall llif y porwr a'r alwad API adael trwy gyfeiriadau gwahanol. Mae trwsio hynny gyda rhestr ganiatáu ehangach yn benderfyniad perchennog yr org, nid yn hwylustod, a dylai fod yr ystod lleiaf sy'n cwmpasu'r gwesteiwr.

Cofnodwch y gorchymyn sy'n methu, y llysenw, gwesteiwr y gweithredu a'r stamp amser, a gadewch y tocyn allan o bopeth a gludwch i'r tocyn cymorth. Mae'r crynodeb pedair llinell hwnnw'n beth sydd ei angen ar berchennog yr org i wirio eu hochr.

Gwiriwch y llif o'r gwesteiwr a fydd yn ei ddefnyddio

Profwch o'r peiriant a fydd yn rhedeg y llwyth gwaith. Nid yw mewngofnodi a wirwyd ar eich gliniadur yn dweud dim am asiant adeiladu mewn parth rhwydwaith arall, a'r gwahaniaeth yw'n union yr hyn rydych yn ceisio'i ddarganfod.

Defnyddiwch ddarlleniad awdurdodedig diniwed ar gyfer y gwiriad, a chadwch y gwall cyntaf os bydd yn methu.

sf org list auth
sf org display --target-org uat
sf data query --target-org uat --query "select Id, Name from Organization"

Pan fydd y mewngofnodi yn llwyddo ond yr ymholiad yn methu, y canlynol posibl sy'n weddill yw DNS, llwybro, rhyng-gipio TLS a pholisi cleient ochr yr org, ac mae gan bob un ei berchennog ei hun. Pan fydd y mewngofnodi ei hun yn methu, mae'n debyg nad yw'r porwr a'r CLI ar yr un gwesteiwr, ac mae'r atgyweiriad yn perthyn i'r trefniant rhyngddynt yn hytrach na'r twnnel. Mae awtomeiddio yn cael un rheol arall: mae angen mewngofnodi cymeradwy sy'n seiliedig ar dystysgrif ar swydd heb oruchwyliaeth, oherwydd nid yw sesiwn ryngweithiol storio a gopïwyd i weithiwr yn ddyluniad hunaniaeth.