Lightning Out からの認証

Lightning Out では認証は自動的に処理されません。$Lightning.use() 関数は、提供された認証トークンが何であれ、それをセキュリティサブシステムに渡すだけです。ほとんどの組織の場合、トークンはセッション ID または OAuth トークンです。

Lightning Out には、認証トークンから取得するセッションと同じ権限があります。{! $Api.Session_ID } を使用する Visualforce の場合、セッションには現在のユーザと同じ権限があります。OAuth の場合は、OAuth 接続アプリケーションに定義されている OAuth 範囲設定と同じです。通常、Lightning Out と OAuth を共に使用するには、OAuth トークンを返す接続アプリケーションに「フルアクセス」範囲を付与する必要があります。

Lightning Out の認証済みセッションがセッションアクセストークンで付与されている場合、セッションは有効なブラウザセッションで実行されているすべての lightning.force.com ドメインへのアクセスを保持します。ユーザが有効なアクセストークンでログインすると、有効なブラウザセッションで実行されているすべての Salesforce アプリケーションでセッションのログイン情報が検証されます。

Salesforce システム管理者は、セッションの永続化を回避するためにセッションをログイン時の IP アドレスにロックできます。このオプションを選択するには、次の場所に移動します。

[設定] > [セキュリティ] > [セッションの設定]

[ログイン時の IP アドレスとセッションをロックする] チェックボックスをオンにします。