Configurar o acesso MCP ao REDA AI

O Protocolo de Contexto de Modelo (MCP) permite que um assistente de IA conectado utilize os agentes de negócio configurados no REDA AI. O assistente delega uma solicitação ao agente, que trabalha com suas instruções, contexto, ferramentas e ações. Este guia orienta o administrador do Salesforce na conexão do Claude ao REDA AI 1.16000 ou posterior.

Você configura três partes: um site do Salesforce que publica o endpoint, um aplicativo cliente externo que gerencia o login e os agentes e usuários autorizados. As capturas são da organização interna de demonstração da REDA, com Salesforce em inglês. Os nomes entre parênteses ajudam a localizar os controles; o idioma e a versão da sua organização podem alterar alguns rótulos.

Antes de começar

• Em Configuração → Pacotes instalados, confirme a versão 1.16000 ou posterior do REDA AI. Solicite os dados de instalação ao executivo da sua conta ou a support@reda.one. Atualizar o pacote não conclui as etapas abaixo.
• Use um administrador que possa gerenciar sites, aplicativos clientes externos e conjuntos de permissões. Um conjunto de permissões reúne direitos de acesso atribuídos a um usuário. Consulte Acesso ao aplicativo e permissões.
• Tenha uma licença ativa do REDA AI, créditos disponíveis, um agente Interno configurado e um usuário do Salesforce com acesso aos registros de negócio necessários.
• Tenha acesso a conectores personalizados no Claude. Em um espaço de trabalho gerenciado, envolva o administrador. Este roteiro cobre a conexão hospedada do Claude já testada; confirme outros clientes com a REDA antes de depender deles.

Revise os limites de dados e acesso

Habilite somente os agentes e usuários necessários. As instruções orientam o agente; permissões, validações e aprovações de ações configuradas estabelecem os limites aplicados pelo sistema. O assistente conectado vê a descrição MCP do agente: não inclua credenciais ou conteúdo sensível de registros.

1. Publique o endpoint do site do Salesforce

1. No menu de engrenagem do Salesforce, abra Configuração. Procure Sites em Busca rápida.
2. Se ainda não houver um domínio de sites, registre-o pelo processo do Salesforce. Crie um site ativo ou utilize um site aprovado pelo administrador. Algumas edições limitam a quantidade de sites; verifique os existentes primeiro. Anote o endereço HTTPS e o prefixo do caminho, se houver.
3. Abra o site e selecione Configurações de acesso público (Public Access Settings) para identificar o usuário convidado. Ele atende à entrada pública do endpoint; não é a identidade usada em uma solicitação de negócio autenticada.
4. Acesse Configuração → Conjuntos de permissões → REDA AI MCP Guest → Gerenciar atribuições → Adicionar atribuições. Atribua o conjunto ao convidado desse site. Ele permite acessar a classe do endpoint MCP, não objetos nem campos de negócio. Revise separadamente outras permissões já atribuídas ao convidado.
5. Monte a URL: https://<site-host>/<prefix>/services/apexrest/redaai/mcp/v1. Substitua os marcadores pelo seu site e remova /<prefix> quando não houver prefixo. Mantenha /redaai/ e não use uma URL de registro do Lightning.

Resultado esperado: o endpoint deve estar acessível por HTTPS a partir da nuvem do Claude. Uma solicitação sem token de usuário deve receber um desafio de autenticação (HTTP 401), não dados de negócio. Não basta a URL funcionar no seu computador ou na rede privada.

2. Crie o aplicativo cliente externo

O aplicativo cliente externo registra a conexão na sua organização. O OAuth permite fazer login pelo Salesforce sem fornecer sua senha ao Claude. É uma configuração separada, realizada pelo cliente.

1. Em Configuração → Busca rápida, procure o Gerenciador de aplicativos clientes externos (External Client App Manager).
2. Abra-o e clique em Novo aplicativo cliente externo (New External Client App).
3. Preencha Informações básicas (Basic Information). Os campos opcionais de telefone, logotipo e descrição podem seguir as convenções da organização.

Expanda API (Enable OAuth Settings) e marque Enable OAuth para exibir a URL de retorno, os escopos e os controles de segurança. Conclua as etapas 3 e 4 antes de clicar em Criar. Para um aplicativo existente, abra o nome e acesse Configurações (Settings) → Editar → OAuth Settings para alterar os mesmos campos.

3. Informe a URL de retorno e os escopos OAuth

Em Callback URL, informe exatamente https://claude.ai/api/mcp/auth_callback. O Salesforce retorna o usuário a esse endereço após o login. Ele é diferente da URL do conector do seu site.

Em Available OAuth Scopes, selecione cada escopo abaixo e use a seta para a direita para movê-lo para Selected OAuth Scopes:

• Manage user data via APIs (api): permite o acesso à API do Salesforce usado pela conexão.
• Perform requests at any time (refresh_token, offline_access): permite renovar o acesso conforme a política de tokens.

Use esses dois escopos no endpoint da REDA. Não substitua api por mcp_api, destinado aos servidores MCP hospedados pelo Salesforce, nem adicione Full access (full) para resolver um erro de login. Os escopos não substituem as permissões do usuário sobre objetos, campos e registros.

4. Configure o fluxo e a segurança

Use o perfil abaixo para esta conexão testada. Proof Key for Code Exchange (PKCE) vincula a troca do código de autorização ao cliente que a iniciou. Este perfil utiliza ID de cliente e PKCE sem segredo de cliente; isso não significa que todas as integrações OAuth devam dispensar um segredo.

Clique em Criar para um aplicativo novo ou Salvar para um existente. Reabra Settings, confira os valores salvos e confirme App Status: Enabled. O Salesforce orienta aguardar até 30 minutos para a disponibilidade de um aplicativo novo; considere essa propagação antes de concluir que uma falha imediata é um defeito de configuração.

5. Defina quem pode conectar e quando as sessões expiram

Abra o aplicativo → Políticas (Policies) → Editar → OAuth Policies. Escolha deliberadamente a política Permitted Users:

• Admin approved users are pre-authorized: use quando o administrador precisar aprovar os usuários elegíveis. Depois de salvar, autorize o grupo de acesso nos controles Permission Sets ou Profiles do aplicativo, por exemplo REDA AI MCP User. Os usuários também precisam ter essa atribuição.
• All users can self-authorize: cada usuário concede o próprio consentimento. É a política da demonstração. Os controles de permissão MCP e de acesso aos agentes do REDA AI continuam valendo; ela não concede acesso a todos os agentes ou registros.

Em App Authorization, revise com o administrador de segurança a Refresh Token Policy, o período e a unidade de validade, IP Relaxation, o tempo de sessão e os requisitos de alta garantia. São escolhas da organização; não copie os valores da imagem sem revisão. A rotação fica em Settings; a expiração, aqui em Policies.

Se a política exigir uma lista de IPs permitidos para renovar tokens, revise Settings → OAuth Settings → Security e Refresh Token IP Allowlist. Confirme os intervalos atuais de IP de saída do provedor do conector antes de ativar a exigência. A conexão hospedada do Claude parte da nuvem dele, não dos IPs do escritório. Mantenha os controles obrigatórios ao diagnosticar falhas.

6. Copie a chave do consumidor para o Claude

1. Abra o aplicativo → Settings → OAuth Settings.
2. Clique em Consumer Key and Secret e conclua qualquer verificação solicitada pelo Salesforce.
3. Copie somente Consumer Key, chamada de OAuth Client ID pelo Claude.
4. Entregue ao administrador do conector o ID e a URL do site da etapa 1. Não forneça Consumer Secret, senha do Salesforce ou token de acesso para este perfil.

A chave do consumidor identifica o aplicativo. Mantenha confidenciais o segredo e todos os tokens de usuário. A captura de App Settings mostra o botão sem revelar os valores.

7. Habilite agentes e atribua usuários

1. Abra Iniciador de aplicativos → REDA AI → Definições de agente e escolha um agente ativo do canal Interno. MCP é uma superfície adicional de acesso, não outro valor de Canal.
2. Abra Detalhes → AI Assistant Access (MCP). Edite o registro, marque MCP Enabled e preencha MCP Instructions com o objetivo do agente e quando invocá-lo. Salve.
3. Se os campos não aparecerem, acesse Configuração → Gerenciador de objetos → Definição de agente → Layouts de página. Edite o layout utilizado pelo perfil e tipo de registro relevantes e posicione os dois campos em uma seção adequada. Para formulários dinâmicos, revise também a página de registro Lightning. Verifique o acesso aos campos nos conjuntos personalizados. Consulte a lista de atualização da versão.
4. Em Configuração → Conjuntos de permissões, atribua REDA AI User e REDA AI MCP User pelos controles Gerenciar atribuições → Adicionar atribuições. Revise todos os direitos: o conjunto MCP também permite editar seus dois campos de configuração no agente. O conjunto do convidado do site é uma atribuição diferente.
5. Confirme a visibilidade da Definição de agente e o acesso necessário a objetos, campos e registros. Um teste como administrador não comprova o acesso do usuário comum.

Exemplo: “Assistente de atendimento: consulta o status de casos e prepara tarefas de acompanhamento. Use para andamento, próximos passos e ações de serviço aprovadas”. Mantenha os procedimentos operacionais detalhados, as ferramentas e as regras de aprovação na configuração normal do agente. Teste solicitações sem um registro aberto: prompts que pressupõem uma página ou botão Lightning podem precisar de ajustes. Consulte Prompts personalizados por agente e Confirmações de ações.

8. Revise origens e continuidade da conversa

Para clientes que enviam um cabeçalho Origin, abra Administração do REDA AI → Configuração → Canais externos e adicione a origem HTTPS exata aprovada no campo de origens MCP. Separe várias origens por vírgulas. Não use curingas nem caminhos de retorno. Vazio não acrescenta origens; clientes que não enviam Origin continuam compatíveis.

Revise Janela de conversa (horas). Vazio usa o padrão da organização, inicialmente 30 minutos; um valor positivo define a janela do agente; 0 desativa a retomada automática. Essa opção controla a continuidade de uma conversa recente entre superfícies compatíveis, não a retenção ou exclusão de dados.

9. Conecte e verifique com um usuário comum

1. No Claude, abra Configurações → Conectores e adicione um conector personalizado com um nome reconhecível e a URL completa do site.
2. Nas opções OAuth ou avançadas, escolha Use your own OAuth client e informe Consumer Key como Client ID. Deixe Client Secret vazio neste perfil.
3. Conecte e faça login pelo Salesforce como o usuário previsto. Confira a organização exibida na tela de login ou consentimento. Consulte o guia de uso de MCP.
4. Confirme que o agente aparece. Comece com uma consulta somente leitura de um registro conhecido e permitido; compare o resultado com o Salesforce.
5. Teste um registro que o usuário não deve acessar. Depois, no ambiente de testes, solicite uma ação configurada para exigir confirmação: revise, aprove e confira o registro ou status resultante.
6. Abra REDA AI → Conversas de IA e revise as mensagens. Via MCP identifica mensagens MCP. Consulte Visualização de conversas.

Critério de conclusão: o usuário correto acessa o agente correto, recebe os dados permitidos, não vê dados restritos e uma ação controlada respeita sua aprovação. Reconecte ao testar mudanças no catálogo: o assistente pode armazenar a lista de agentes em cache.

Solucione problemas e remova o acesso

Para remover o acesso de um usuário, retire REDA AI MCP User e revogue sua autorização OAuth existente. Para remover um agente, desmarque MCP Enabled. Para interromper toda a conexão, desative OAuth no aplicativo; desativar um site compartilhado também pode afetar outros serviços. Verifique o resultado pelo assistente.

Referências da plataforma: Configurações OAuth de aplicativos clientes externos do Salesforce e Autenticação de conectores do Claude.