Configurer l’accès MCP à REDA AI

Le protocole MCP (Model Context Protocol) permet à un assistant d’IA connecté d’utiliser les agents métier configurés dans REDA AI. L’assistant délègue une demande à un agent, qui travaille avec ses instructions, son contexte métier, ses outils et ses actions. Ce guide accompagne l’administrateur Salesforce pour connecter Claude à REDA AI 1.16000 ou version ultérieure.

Vous configurez trois éléments : un site Salesforce qui publie le point de terminaison, une application cliente externe qui gère la connexion Salesforce, puis les agents et utilisateurs autorisés. Les captures proviennent de l’organisation interne de démonstration de REDA et montrent Salesforce en anglais. Les noms entre parenthèses permettent de reconnaître ces contrôles ; certains libellés peuvent varier selon votre langue et votre version.

Avant de commencer

• Dans Configuration → Packages installés, vérifiez que REDA AI est en version 1.16000 ou ultérieure. Demandez les informations d’installation à votre interlocuteur REDA ou à support@reda.one. La mise à niveau ne réalise pas les étapes ci-dessous.
• Utilisez un compte administrateur autorisé à gérer les sites, les applications clientes externes et les ensembles d’autorisations. Un ensemble d’autorisations regroupe des droits attribués à un utilisateur. Consultez Accès à l’application et autorisations.
• Prévoyez une licence REDA AI active, des crédits disponibles, un agent Interne configuré et un utilisateur Salesforce ayant accès aux enregistrements métier concernés.
• Vous devez pouvoir ajouter des connecteurs personnalisés dans Claude. Pour un espace de travail administré, impliquez son administrateur. Ce guide couvre la connexion hébergée de Claude qui a été testée ; faites confirmer les autres clients par REDA avant de vous y fier.

Vérifier les limites de traitement et d’accès

N’activez que les agents et utilisateurs nécessaires. Les instructions guident l’agent ; les autorisations, les validations et les approbations d’actions configurées constituent les limites imposées par le système. La description MCP est visible par l’assistant connecté : n’y placez ni identifiants secrets ni données sensibles d’enregistrements.

1. Publier le point de terminaison du site

1. Ouvrez le menu en forme d’engrenage de Salesforce → Configuration. Recherchez Sites dans Recherche rapide.
2. Si aucun domaine de sites n’existe, enregistrez-en un au moyen de la procédure Salesforce. Créez un site actif ou utilisez un site approuvé par votre administrateur. Certaines éditions limitent leur nombre : vérifiez d’abord les sites existants. Notez l’adresse HTTPS et son éventuel préfixe de chemin.
3. Ouvrez le site et sélectionnez Paramètres d’accès public (Public Access Settings) pour identifier son utilisateur invité. Il prend en charge l’entrée publique du point de terminaison ; ce n’est pas l’identité utilisée pour une demande métier authentifiée.
4. Accédez à Configuration → Ensembles d’autorisations → REDA AI MCP Guest → Gérer les attributions → Ajouter des attributions. Attribuez l’ensemble à l’utilisateur invité de ce site. Il donne accès à la classe du point de terminaison MCP, pas aux objets ni aux champs métier. Examinez séparément les autres droits déjà accordés à cet invité.
5. Construisez l’URL : https://<site-host>/<prefix>/services/apexrest/redaai/mcp/v1. Remplacez les paramètres par ceux de votre site et supprimez /<prefix> en l’absence de préfixe. Conservez /redaai/ ; n’utilisez pas l’URL Lightning d’un enregistrement.

Résultat attendu : le point de terminaison doit être accessible en HTTPS depuis le cloud de Claude. Une requête sans jeton utilisateur doit recevoir une demande d’authentification (HTTP 401), pas des données métier. Un accès limité à votre ordinateur ou réseau privé ne suffit pas.

2. Créer l’application cliente externe

L’application cliente externe enregistre la connexion dans votre organisation Salesforce. OAuth permet à l’utilisateur de s’authentifier auprès de Salesforce sans communiquer son mot de passe à Claude. Cette configuration est une étape distincte, réalisée par le client.

1. Dans Configuration → Recherche rapide, recherchez le Gestionnaire d’applications clientes externes (External Client App Manager).
2. Ouvrez-le et cliquez sur Nouvelle application cliente externe (New External Client App).
3. Complétez Informations de base (Basic Information). Les champs facultatifs de téléphone, logo et description peuvent suivre les conventions de votre organisation.

Développez API (Enable OAuth Settings), puis cochez Enable OAuth pour afficher l’URL de rappel, les étendues et la sécurité. Terminez les étapes 3 et 4 avant de cliquer sur Créer. Pour une application existante, ouvrez son nom, puis Paramètres (Settings) → Modifier → OAuth Settings et mettez à jour les mêmes champs.

3. Saisir l’URL de rappel et les étendues OAuth

Dans Callback URL, saisissez exactement https://claude.ai/api/mcp/auth_callback. Salesforce redirige l’utilisateur vers cette adresse après la connexion. Elle est différente de l’URL du connecteur de votre site.

Dans Available OAuth Scopes, sélectionnez chacune des étendues suivantes et utilisez la flèche droite pour la déplacer vers Selected OAuth Scopes :

• Manage user data via APIs (api) : autorise l’accès à l’API Salesforce utilisé par cette connexion.
• Perform requests at any time (refresh_token, offline_access) : permet de renouveler l’accès conformément à la politique de jetons.

Utilisez ces deux étendues pour le point de terminaison REDA. Ne remplacez pas api par mcp_api, réservé aux serveurs MCP hébergés par Salesforce, et n’ajoutez pas Full access (full) pour résoudre un problème de connexion. Les étendues ne remplacent pas les droits de l’utilisateur sur les objets, champs et enregistrements.

4. Configurer le flux et la sécurité

Utilisez le profil ci-dessous pour cette connexion testée. Proof Key for Code Exchange (PKCE) lie l’échange du code d’autorisation au client qui l’a initié. Ce profil utilise un ID client et PKCE sans secret client ; cela ne signifie pas que toute intégration OAuth doit se passer d’un secret.

Cliquez sur Créer pour une nouvelle application ou Enregistrer pour une application existante. Rouvrez Settings, vérifiez les valeurs enregistrées et confirmez que App Status indique Enabled. Salesforce conseille d’attendre jusqu’à 30 minutes pour la disponibilité d’une nouvelle application ; tenez compte de cette propagation avant de conclure à un défaut de configuration.

5. Définir les utilisateurs autorisés et l’expiration des sessions

Ouvrez l’application → Politiques (Policies) → Modifier → OAuth Policies. Choisissez explicitement la politique Permitted Users :

• Admin approved users are pre-authorized : à utiliser si l’administrateur doit approuver les utilisateurs éligibles. Après enregistrement, autorisez le groupe d’accès concerné dans les contrôles Permission Sets ou Profiles de l’application, par exemple REDA AI MCP User. Les utilisateurs doivent aussi disposer de cette attribution.
• All users can self-authorize : chaque utilisateur donne son consentement. C’est la politique de la démonstration. Les contrôles d’autorisation MCP et d’accès aux agents de REDA AI continuent de s’appliquer ; cela n’accorde pas l’accès à tous les agents ou enregistrements.

Dans App Authorization, examinez avec l’administrateur de sécurité la Refresh Token Policy, la période et l’unité de validité, IP Relaxation, le délai de session et les exigences de niveau d’assurance élevé. Ces choix appartiennent à votre organisation ; ne recopiez pas les valeurs sans examen. La permutation se règle dans Settings ; l’expiration, ici dans Policies.

Si votre politique exige une liste d’adresses IP autorisées pour l’actualisation des jetons, vérifiez Settings → OAuth Settings → Security et Refresh Token IP Allowlist. Confirmez les plages IP de sortie actuelles du fournisseur du connecteur avant d’activer ce contrôle. La connexion hébergée de Claude provient de son cloud, pas de l’adresse IP de vos bureaux. Conservez les contrôles obligatoires pendant le diagnostic.

6. Copier la clé consommateur pour Claude

1. Ouvrez l’application → Settings → OAuth Settings.
2. Cliquez sur Consumer Key and Secret et suivez toute vérification demandée par Salesforce.
3. Copiez uniquement Consumer Key. Claude l’appelle OAuth Client ID.
4. Transmettez cet ID et l’URL du site de l’étape 1 à l’administrateur du connecteur. Pour ce profil, ne fournissez ni Consumer Secret, ni mot de passe Salesforce, ni jeton d’accès.

La clé consommateur identifie l’application. Gardez le secret et tous les jetons utilisateur confidentiels. La capture App Settings situe le bouton sans montrer les valeurs.

7. Activer les agents et attribuer les utilisateurs

1. Ouvrez Lanceur d’application → REDA AI → Définitions d’agent et choisissez un agent actif du canal Interne. MCP est une surface d’accès supplémentaire, pas une nouvelle valeur de Canal.
2. Ouvrez Détails → AI Assistant Access (MCP). Modifiez l’enregistrement, cochez MCP Enabled et renseignez MCP Instructions avec l’objectif de l’agent et les situations dans lesquelles l’invoquer. Enregistrez.
3. Si les champs manquent, ouvrez Configuration → Gestionnaire d’objet → Définition d’agent → Présentations de page. Modifiez la présentation utilisée par le profil et le type d’enregistrement concernés et placez les deux champs dans une section adaptée. Avec les formulaires dynamiques, vérifiez aussi la page d’enregistrement Lightning. Contrôlez l’accès aux champs dans les ensembles personnalisés. Consultez la liste de mise à niveau de la version.
4. Dans Configuration → Ensembles d’autorisations, attribuez REDA AI User et REDA AI MCP User via Gérer les attributions → Ajouter des attributions. Examinez tous les droits : l’ensemble MCP permet aussi de modifier les deux champs de configuration de l’agent. L’ensemble de l’invité du site est une attribution distincte.
5. Vérifiez que les utilisateurs voient la Définition d’agent et possèdent les droits nécessaires sur les objets, champs et enregistrements. Une réussite en tant qu’administrateur ne démontre pas l’accès d’un utilisateur ordinaire.

Exemple : « Assistant du service client : consulte l’état des requêtes et prépare les tâches de suivi. À utiliser pour l’avancement, les prochaines étapes et les actions de service approuvées. » Conservez les procédures opérationnelles détaillées, les outils et les règles d’approbation dans la configuration normale de l’agent. Testez des demandes sans enregistrement ouvert : les prompts qui supposent une page ou un bouton Lightning peuvent nécessiter une adaptation. Consultez Prompts personnalisés par agent et Confirmations d’actions.

8. Vérifier les origines et la continuité

Pour un client qui envoie un en-tête Origin, ouvrez Administration REDA AI → Configuration → Canaux externes et ajoutez son origine HTTPS exacte autorisée dans le paramètre des origines MCP. Séparez les origines par des virgules. N’utilisez ni domaine générique ni chemin de rappel. Un champ vide n’ajoute aucune origine ; les clients sans en-tête Origin restent pris en charge.

Vérifiez la Fenêtre de conversation (heures). Vide utilise la valeur par défaut de l’organisation, initialement 30 minutes ; une valeur positive définit la fenêtre de l’agent ; 0 désactive la reprise automatique. Ce paramètre règle la continuité d’une conversation récente entre surfaces compatibles, pas la conservation ou la suppression des données.

9. Connecter et vérifier avec un utilisateur ordinaire

1. Dans Claude, ouvrez Paramètres → Connecteurs et ajoutez un connecteur personnalisé avec un nom reconnaissable et l’URL complète du site.
2. Dans les options OAuth ou avancées, choisissez Use your own OAuth client et saisissez Consumer Key dans Client ID. Laissez Client Secret vide pour ce profil.
3. Connectez-vous via Salesforce avec l’utilisateur prévu. Vérifiez l’organisation affichée sur l’écran de connexion ou de consentement. Consultez le guide d’utilisation de MCP.
4. Vérifiez la présence de l’agent. Commencez par une demande en lecture seule sur un enregistrement connu et autorisé ; comparez le résultat à Salesforce.
5. Testez un enregistrement que l’utilisateur ne doit pas consulter. Ensuite, dans votre environnement de test, demandez une action configurée pour exiger une confirmation : examinez la proposition, approuvez-la et vérifiez l’enregistrement ou le statut obtenu.
6. Ouvrez REDA AI → Conversations IA et examinez les messages. Via MCP identifie ceux issus de MCP. Consultez Consultation des conversations.

Critère de réussite : le bon utilisateur accède au bon agent, obtient les données autorisées, ne voit pas les données interdites et une action contrôlée respecte sa règle d’approbation. Reconnectez-vous pour tester les changements du catalogue : l’assistant peut conserver la liste des agents en cache.

Résoudre les problèmes et retirer l’accès

Pour retirer l’accès d’un utilisateur, retirez REDA AI MCP User et révoquez son autorisation OAuth existante. Pour retirer un agent, décochez MCP Enabled. Pour arrêter toute la connexion, désactivez OAuth dans l’application ; désactiver un site partagé peut aussi interrompre d’autres services. Vérifiez le résultat depuis l’assistant.

Références de plateforme : Paramètres OAuth des applications clientes externes Salesforce et Authentification des connecteurs Claude.