CloudFormation创建AppFlow Salesforce连接器配置报AuthCode为空错误

当AWS::AppFlow::ConnectorProfile的Salesforce连接器使用ConnectionMode: Public配置时，AppFlow强制要求传入OAuth交互式授权流程生成的临时授权码（AuthCode）。这个授权码必须通过人工登录Salesforce、同意AppFlow访问权限后才能从回调请求中获取，无法通过静态模板配置直接生成，因此模板校验阶段直接抛出AuthCode cannot be blank for connector: SALESFORCE错误。

方案一：使用Private连接模式搭配JWT授权（生产环境首选，零人工介入） #

这是官方推荐的无交互自动化部署方案，完全不需要手动获取AuthCode：

• 前置准备：在Salesforce后台创建Connected App，开启JWT OAuth授权流，上传签名证书，给用于集成的Salesforce用户分配该Connected App的访问权限
• 凭证存储：将Connected App的Client ID、Client Secret、集成用户名、JWT签名私钥统一存入AWS Secrets Manager
• 模板调整：将原模板的ConnectionMode从Public改为Private，ClientCredentialsArn指向存储JWT授权凭证的Secrets Manager ARN即可

修正后的模板参考：

Type: AWS::AppFlow::ConnectorProfile
Properties: 
  ConnectorProfileName: my_salesforce_connection
  ConnectorType: Salesforce
  ConnectionMode: Private
  ConnectorProfileConfig:
    ConnectorProfileProperties:
      Salesforce:
        InstanceUrl: ${env:INSTANCE_URL}
        IsSandboxEnvironment: ${env:IS_TEST_ENV}
    ConnectorProfileCredentials:
      Salesforce:
        ClientCredentialsArn: ${env:SALESFORCE_JWT_CREDS_ARN}

方案二：Public模式下通过CloudFormation自定义资源自动获取AuthCode #

如果业务场景强制要求使用Public连接模式，可通过自定义资源补齐AuthCode参数：

• 在模板中新增Lambda-backed自定义资源，逻辑为自动构造Salesforce OAuth授权链接，通过无头浏览器完成集成用户的登录授权操作，自动捕获回调地址返回的临时AuthCode
• 将自定义资源输出的AuthCode、AccessToken动态传入连接器配置的ConnectorProfileCredentials.Salesforce对应字段
• 该方案需要提前配置Salesforce侧IP白名单、关闭集成用户的登录验证码校验，否则自动化流程会被拦截，稳定性弱于Private模式

• Public模式下的AuthCode是一次性、有效期仅10分钟的临时值，硬编码在模板或环境变量中会快速失效，完全不适合自动化流水线部署
• 使用Private模式时，要给AppFlow关联的服务角色授予对应Secrets Manager的secretsmanager:GetSecretValue权限，否则会出现凭证读取失败的问题

内容的提问来源于stack exchange，提问作者Daxay Makwana