【Salesforce】OAuth接続が一部ユーザーだけ見えない時の監査ログと履歴で追う方法

Salesforceで外部アプリケーションとOAuth連携をしている際に、特定のユーザーのみ接続が表示されなかったり、接続済みのOAuthトークンが見えないという事象が発生することがあります。この問題は、プロファイル権限や接続アプリのポリシー、ユーザーごとのトークン状態など複数の要因が絡むため、原因の切り分けには監査ログと履歴情報を活用するのが効果的です。本記事では、OAuth接続が一部ユーザーだけ見えない場合に、Salesforceが提供する監査ログや履歴機能を使って原因を特定し、管理者が次のアクションを判断できる手順を解説します。

OAuth接続が一部ユーザーに見えない代表的な原因

OAuth接続が一部ユーザーだけ利用できない原因は、主に以下の3つに分類されます。それぞれの特徴を理解し、監査ログで確認すべきポイントを押さえましょう。

プロファイル権限の不足

接続アプリの利用許可は、プロファイルまたは権限セット単位で設定されます。該当ユーザーのプロファイルに「接続アプリの使用」権限や、特定の接続アプリに対するアクセス権が付与されていない場合、接続アプリ自体がユーザー画面に表示されません。この場合、OAuthトークンも発行されず、監査ログには「アクセス拒否」や権限不足のエラーレコードが残る可能性があります。確認手順としては、設定メニューから「接続アプリケーション」を開き、該当の接続アプリを編集して「プロファイル」タブで許可対象を確認してください。権限セットを使用している場合は、権限セットの「接続アプリケーションのアクセス」設定も見直します。

接続アプリのOAuthポリシー設定

接続アプリのOAuthポリシーには、ユーザーが自分でOAuthトークンを発行できる「管理者承認済み」と「ユーザー承認」の2種類があります。「管理者承認済み」に設定されている場合、ユーザーは自身でOAuth接続を開始できず、管理者が事前に承認する必要があります。この承認が行われていないユーザーは、接続画面にそのアプリが表示されなかったり、トークンが発行されなかったりします。監査ログの「OAuthトークンの使用状況」を確認すると、トークンが存在しないユーザーが発見できます。

ユーザーごとのOAuthトークン状態

過去に一度OAuth認証を行った後、トークンが失効(例えばパスワード変更や管理者による強制失効)した場合、ユーザーは再認証を求められますが、その際にエラーが発生して接続が表示されないケースがあります。この状態は、ユーザーの個人設定メニューにある「OAuth接続済みアプリケーション」からトークンの有無を確認できます。監査ログでは、失効日時や理由を追跡できます。

監査ログと履歴で確認する手順

以下の手順に沿って、Salesforceの標準機能を使って原因を特定します。操作はシステム管理者権限で実施してください。

1. 「OAuthトークンの使用状況」レポートを作成する
   設定メニューから「レポート」→「新規レポート」→「その他」カテゴリ→「OAuthトークンの使用状況」を選択します。ユーザー名、トークン作成日、最終使用日、失効状態などを列に追加し、問題のユーザーでフィルタリングしてトークンの有無と状態を確認します。
2. 「設定監査証跡」を確認する
   設定画面で「設定監査証跡」を開き、該当ユーザーに関連する接続アプリの権限変更やOAuthポリシー変更の記録がないか確認します。日付とユーザーでフィルタリングし、「接続アプリケーション」や「OAuth」というキーワードで検索すると効率的です。
3. 「ログイン履歴」を調査する
   ユーザー詳細ページから「ログイン履歴」を開き、該当ユーザーがOAuth認証を試行したログインイベントを確認します。特に「OAuth」「アプリ」などのログインタイプがあれば、成功/失敗のステータスを確認します。
4. ユーザーの「OAuth接続済みアプリケーション」を確認する
   ユーザーとしてログインできる場合(代理ログイン可)、個人設定の「OAuth接続済みアプリケーション」一覧を見ます。対象のアプリが表示されていればトークン有り、表示されなければ未発行または失効です。
5. 接続アプリのOAuthポリシーを確認する
   設定の「接続アプリケーション」から該当アプリを編集し、「OAuthポリシー」の「許可ユーザー」と「管理者承認が必要」の設定を確認します。管理者承認が必要な場合、ユーザーごとに承認状況を確認するには「OAuthトークンの使用状況」レポートで「管理者承認済み」列を追加します。

確認すべきログ・レポートの比較表

以下の表に、原因特定に役立つ主要なログ・レポートとその使い分けをまとめました。状況に応じて適切なものを選択してください。

ログ・レポート名	確認できる内容	必要な権限	主な用途
OAuthトークンの使用状況	ユーザーごとのトークン有無、作成日、最終使用日、失効状態、管理者承認状況	システム管理者	トークンが発行されているか確認、失効の有無、承認状況の把握
設定監査証跡	接続アプリの設定変更、OAuthポリシー変更、権限変更の履歴	システム管理者	いつ、誰が、どのような設定変更を行ったかを追跡
ログイン履歴	OAuth認証試行の記録(成功/失敗、IPアドレス、ユーザーエージェント)	システム管理者またはユーザー自身	OAuth認証が行われたか、失敗理由を確認
Event Monitoring(有料)	詳細なOAuth関連イベント、API呼び出し、権限エラーの詳細	システム管理者(有料ライセンス)	より詳細な原因特定、APIレベルのエラー把握

失敗パターンと対処例

実際に発生しやすい失敗パターンと、監査ログを使った原因特定と対処方法を紹介します。

パターン1:プロファイル権限不足
あるユーザーだけ接続アプリが表示されない。監査ログ「OAuthトークンの使用状況」でトークンが存在せず、設定監査証跡に権限変更の記録なし。この場合、ユーザーのプロファイルに接続アプリのアクセス権が付与されていない可能性が高い。接続アプリのプロファイル設定を確認し、権限を追加します。

パターン2:OAuthトークンの失効
ユーザーが「OAuth接続済みアプリケーション」を見ると、以前利用していたアプリが表示されない。監査ログ「OAuthトークンの使用状況」で該当ユーザーのトークンが「失効」状態。原因としてパスワード変更や管理者による失効が考えられる。ユーザーに再認証を促すか、管理者が手動でトークンを再発行します。

パターン3:管理者承認が必要なOAuthポリシー
複数ユーザーで接続アプリを利用しているが、一部ユーザーだけ接続できない。監査ログ「OAuthトークンの使用状況」で該当ユーザーの「管理者承認済み」列が「いいえ」になっている。接続アプリのOAuthポリシーが「管理者承認済み」に設定されているため、管理者が個別に承認する必要があります。接続アプリの「OAuthポリシー」→「ユーザーの管理」から承認済みユーザーを追加します。

管理者へ確認すべき情報と伝え方

トラブルシューティングの際、管理者が迅速に原因を特定するために、以下の情報を整理して伝えるとスムーズです。

• 対象ユーザーのユーザー名と、問題が発生している接続アプリの名称
• 「OAuthトークンの使用状況」レポートのスクリーンショット(トークン有無・状態が分かるもの)
• 「設定監査証跡」で該当期間の変更履歴(特に権限やOAuthポリシーの変更)
• ユーザーが「OAuth接続済みアプリケーション」を開いた際の画面キャプチャ(表示されない場合)
• 問題が発生した日時と、その前後に行った設定変更(あれば)

これらの情報をもとに、管理者はプロファイル権限やOAuthポリシーの設定、トークンの有効期限などをチェックします。特に、複数のユーザーで同じ症状が出ている場合は、プロファイルや権限セットの変更が影響している可能性が高いため、設定監査証跡で最近の変更を重点的に確認します。

よくある質問

Q: 監査ログが見つかりません。どこにありますか?
A: 設定画面のクイック検索ボックスに「監査証跡」と入力して表示される「設定監査証跡」を開いてください。「OAuthトークンの使用状況」レポートはレポートタブから作成します。いずれもシステム管理者権限が必要です。

Q: 特定のユーザーだけOAuthトークンが発行されません。原因はIP制限ですか?
A: IP制限の可能性もあります。接続アプリのOAuthポリシーで「IP制限」が有効になっている場合、許可されたIP範囲外からのアクセスではトークンが発行されません。ログイン履歴でユーザーのIPアドレスを確認し、許可リストに含まれているか調べてください。また、プロファイルのログインIP範囲も確認します。

Q: ユーザーが自分でOAuth接続を追加できなくなりました。どうすればよいですか?
A: 接続アプリのOAuthポリシーが「管理者承認済み」に変更された可能性があります。設定監査証跡で変更履歴を確認し、必要に応じてポリシーを「ユーザー承認」に戻すか、管理者がユーザーを承認してください。また、プロファイル権限で「接続アプリケーションの使用」が無効になっていないかも確認します。

まとめ

SalesforceでOAuth接続が一部ユーザーだけ見えない問題は、プロファイル権限、OAuthポリシー、トークン状態の3つの観点から監査ログと履歴を使って切り分けることが重要です。無料で利用できる「OAuthトークンの使用状況」レポートと「設定監査証跡」をまず確認し、必要に応じてログイン履歴も組み合わせることで、多くの原因を特定できます。

有料のEvent Monitoringは詳細な分析に有用ですが、まずは標準機能で十分対応できるケースが多いため、初期調査では標準機能を優先してください。問題の再発を防ぐためには、定期的にOAuthトークンの使用状況レポートを監視し、接続アプリの権限設定やポリシー変更を記録・レビューする運用を推奨します。

本記事の手順を参考に、監査ログと履歴を活用して迅速に原因を突き止め、適切な対処を行ってください。