Salesforce CLI-Login iwwer eng VPN: CLI, Browser an API-Host

Feeler beim Salesforce CLI-Login ginn als ee Problem gemellt a sinn meeschtens dräi. Den CLI-Prozess leeft irgendwou, de Browser deen de Web-Floss fäerdeg mécht leeft irgendwou, an dee spéideren API-Ofruff leeft irgendwou, an déi dräi Plazen brauche keng Route, keen Resolver oder eng Erlaabneslëscht ze deelen. Si ze vergläichen ass de séierste Wee erauszefannen, wéi en den Tunnel tatsächlech blockéiert. Näischt an der Ausgab vum Login seet, wéi en vun den dräi versot huet.

Dräi Hosts, eng Login-Geschicht

De Web-Login-Floss gëtt d'Identitéitsschrëtt un e Browser of, an dee Browser ass dacks um Laptop, während d'CLI op engem remote Entwécklungshost oder an engem Container sëtzt. De Laptop huet de VPN-Client, den remote Host huet wat d'Plattformteam him ginn huet, an keng vun den zwou Arrangements deckt déi aner automatesch of. E VPN-Ikon an der Statusleescht seet näischt iwwer en Host, op deem de Client ni gelaf ass.

No dem Login mécht d'CLI hir eege API-Ufroen duerch wou de Prozess lieft. Déi Ufroe brauchen DNS, Routing, TLS-Vertrauen an d'Client-Autorisatioun op der Org-Säit, wat véier getrennt Kontrollen sinn a jidderee kann eleng versoen. E Browser deen wonnerschéi ageloggt ass seet Iech näischt iwwer jiddwereen dovun.

Hält béid Hälften op enger Zäitlinn, awer bewäert se getrennt. Dann kann een Ticket soe wéi eng Halschent gebrach ass, ouni datt et eng Diskussioun iwwer Proprietéit gëtt.

Huelt den Org-Andrag vun der Org, net aus dem Gediechtnes

De Web-Floss hëlt eng Instanz-URL a späichert d'Resultat ënner engem Alias, an déi zwee Wäerter solle vum Org-Besëtzer kommen an net aus der Terminalhistorie vun engem Kolleg. En Sandbox-Host deen aus engem ale Ticket kopéiert gouf ass eng heefeg Ursaach fir e Login, deen sech géint déi falsch Org authentifizéiert an duerno all Query versot.

Benotzt d'Form déi de installéierte Plugin dokumentéiert, mat Ärem eegenen ugehollenen Host an Alias. Déi Dokumentatioun ass d'Referenz fir d'Fahnen déi sech tëscht sfdx an der aktueller CLI geännert hunn.

sf org login web --instance-url https://acme--uat.sandbox.my.salesforce.com --alias uat
sf org display --target-org uat

Den Hostnumm an den Alias uewendriwwer sinn Beispiller, keng Standardwäerter déi Dir sollt kopéieren. Fëllt déi normal Browser-Identitéits- an MFA-Schrëtt of, amplaz se mat engem Skript ze ëmgoen, an setzt ni e Passwuert, eng Sessiounsidentifikatioun oder en Authenticator-Seed an eng Shell-Kommando fir de Prompt ze iwwersprangen.

Wat déi gecachte Autorisatioun beweist

En Alias deen an der lokaler Autorisatiounslëscht opdaucht beweist datt e Login eng Kéier op där Maschinn gelungen ass. D'Lëscht gëtt aus lokalem Späicher gelies an hëlt keen Kontakt mat der Org op fir ze bestätegen datt den Token nach funktionnéiert, sou datt en gesond ausgesinn Andrag an en ofgeleenten API-Ofruff allebéid wouer kënne sinn. Behandelt de Cache als en Archiv vun der Vergaangenheet, net als en Test vun der Live-Verbindung. Eng Cache-Kontroll beäntwert eng Support-Fro, awer se schléisst ni eng Verbindungsënnersuchung of.

Déiselwecht Ënnerscheedung gëllt fir d'Browser-Sessioun. En Tab deen d'Org nach weist bedeit net datt den gespäicherten Token vun der CLI zum aktuellen Politik passt, well Token-Liewensdauer, IP-Agrenzungen an d'Regele vun der Client-App op der API-Grenz duerchgesat ginn.

Liest den lokalen Andrag ier Dir e läscht, well den Alias an den Org-Host déi zwou Fakten sinn déi den Support freet. En Alias ewechhuelen ass ëmdréibar, awer de falschen ewechhuelen an der Mëtt vun engem Incident füügt just en zweete Problem bäi.

Wou d'API-Ufro tatsächlech ofgeleent gëtt

Verfollegt eng Ufro vun Ufank bis Enn a notéiert wéi eng Komponent äntwert. En TLS-Fehler nennt en anert Problem wéi en 403, deen en anert Problem nennt wéi en Timeout, an en Timeout ass deen eenzegen vun den dräi deen den Tunnel als éischte Verdächtegen uweist. D'Feelerklass virun der Noriicht ze liese spuert vill Rotschléi. Schreift d'Klass op ier Dir eppes nach eng Kéier ausféiert.

Quelladress-Agrenzungen sinn de Fall dee en Login ergëtt dee funktionnéiert an eng Query déi net, well de Browser-Floss an den API-Ofruff duerch verschidden Adressen erausgoe kënnen. Dat mat enger méi breeder Erlaabneslëscht ze fixéieren ass eng Entscheedung vum Org-Besëtzer, net eng Commoditéit, an et sollt dee klengsten Beräich sinn deen den Host deckt.

Halt d'Kommando déi versot, den Alias, den Ausféierungshost an den Zäitstempel fest, a loosst den Token aus allem wat Dir an den Ticket pecht. Dee véier-Zeile Resumé ass wat den Org-Besëtzer brauch fir seng Säit ze kontrolléieren.

Kontrolléiert de Floss vun deem Host deen en benotze wäert

Test vun der Maschinn déi d'Aarbechtslaascht ausféiere wäert. E Login deen op Ärem Laptop verifizéiert gouf seet näischt iwwer en Build-Agent an enger anerer Netzwierkzone, an den Ënnerscheed ass genau dat wat Dir versicht ze fannen.

Benotzt eng harmlos autoriséiert Liesung fir d'Kontroll, a behält den éischte Feeler wa se versot.

sf org list auth
sf org display --target-org uat
sf data query --target-org uat --query "select Id, Name from Organization"

Wann de Login geléngt awer d'Query versot, sinn déi verbleiwen Kandidaten DNS, Routing, TLS-Ofaangen an d'Client-Politik op der Org-Säit, an all huet säin eegenen Eegentümer. Wann de Login selwer versot, sinn de Browser an d'CLI wahrscheinlech net op demselwechte Host, an de Fix gehéiert zum Arrangement tëscht hinnen an net zum Tunnel. D'Automatiséierung kritt nach eng Regel: eng oniwwerwaacht Aufgab brauch en ugehollene zertifikaatsbaséierte Login, well eng gecachte interaktiv Sessioun déi op e Worker kopéiert gouf keen Identitéitsdesign ass.