Konfigurieren der dynamischen Client-Registrierung (DCR) für OAuth

Letzte Aktualisierung: 20.10.2026

OAuth Dynamic Client Registration (DCR) ist eine OAuth-Funktion auf Mandantenebene, die es kompatiblen OAuth-Client-Anwendungen ermöglicht, OAuth-Clients dynamisch zu registrieren. In diesem Kontext ist eine kompatible OAuth-Clientanwendung eine, die das OAuth 2.0-DCR-Protokoll unterstützt und die Richtlinienanforderungen Ihres Mandanten erfüllt.

Der primäre Anwendungsfall für DCR ist das Verbinden von Model Context Protocol (MCP)-Server-Clients, Sie können es jedoch auch für andere kompatible Drittanbieteranwendungen verwenden.

Weitere Methoden zur Verbindung mit einem MCP-Client finden Sie unter Auswählen einer Methode zur Erstellung eines OAuth-Clients.

Voraussetzungen und Vorsichtsmaßnahmen

Voraussetzungen:

• Sie sind Mandantenadministrator in Qlik Cloud.

Vorsichtshinweise:

• Wenn DCR aktiviert ist, können kompatible OAuth-Client-Anwendungen eine OAuth-Client-Registrierung in Ihrem Mandanten gemäß Ihrer DCR-Richtlinie anfordern. Überprüfen Sie Ihre zulässigen Authentifizierungsmethoden und den Genehmigungsprozess, bevor Sie DCR in der Produktionsumgebung aktivieren.

• Über DCR erstellten Clients werden anfänglich die Scopes user_default, mcp:execute und offline_access zugewiesen. Um mehr über diese Anwendungsbereiche zu erfahren, finden Sie eine vollständige Liste der Anwendungsbereiche im Qlik Developer Portal unter Scopes.

• Nicht genehmigte DCR-Clients werden nach einer Stunde automatisch gelöscht. Wenn kein Mandantenadministrator den Client innerhalb dieses Zeitraums in der Drittanbieteranwendung genehmigt, wird der Client gelöscht und Benutzer müssen die Verbindung erneut erstellen.

DCR-Einstellungen konfigurieren

Konfigurieren Sie die Einstellungen für Dynamic Client Registration, um zu steuern, wie OAuth-Clientanwendungen OAuth-Clients in Ihrem Mandanten registrieren können.

Konfigurieren von DCR in Qlik Cloud

Gehen Sie folgendermaßen vor:

1. Gehen Sie im Verwaltung-Aktivitätscenter zu Einstellungen > Sicherheit.

2. Aktivieren Sie Dynamische Client-Registrierung.

   Wenn DCR deaktiviert ist, können keine neuen Clients dynamisch registriert werden. Vorhandene dynamisch registrierte Clients bleiben funktionsfähig, bis Sie sie manuell entfernen oder deren Genehmigung widerrufen.

3. Wählen Sie unter Zulässige Authentifizierungsmethoden die Authentifizierungsmethoden aus, die dynamisch registrierte Clients verwenden können:

   • Client-Secret: Ermöglicht vertrauliche Clients wie beispielsweise Webanwendungen mit sicheren Backends.

   • Client-Secret + Keine: Lässt sowohl vertrauliche Clients als auch öffentliche Clients zu.

   • Keine: Lässt öffentliche Clients wie Einzelseiten-Anwendungen oder native Anwendungen zu.

   Anwendungen, die versuchen, sich mit einer Methode zu registrieren, die durch Ihre Richtlinie nicht zulässig ist, werden abgelehnt.

   Weitere Informationen zu diesen Authentifizierungsmethoden finden Sie im folgenden Abschnitt Authentifizierungsmethoden.

Konfigurieren von DCR in der OAuth-Client-App

Nachdem Sie DCR in Qlik Cloud konfiguriert haben, konfigurieren Sie die DCR-Verbindung in Ihrer OAuth-Clientanwendung. Die Verbindungsdetails unterscheiden sich je nach Anwendungsfall.

Gehen Sie folgendermaßen vor:

1. Verwenden Sie die Verbindungs-URL für Ihren Anwendungsfall, wenn Sie die Verbindung in der OAuth-Client-Anwendung konfigurieren:

   Anwendungsfall	Format der Verbindungs-URL
   MCP- oder GenAI-Clients	https://<tenant-id>.<region>.qlikcloud.com/api/ai/mcp Weitere Informationen zur MCP-Konfiguration finden Sie unter Verbinden mit dem Qlik MCP-Server.
   Andere OAuth-Client-Anwendungen	https://<tenant-id>.<region>.qlikcloud.com

2. Überprüfen Sie das Genehmigungs- und Einwilligungsverhalten für neu registrierte DCR-Clients:

   • Stellen Sie sicher, dass neue DCR-Clients eine explizite Genehmigung des Mandanten erfordern, bevor sie verwendet werden können. Erteilen Sie in der Drittanbieteranwendung die Genehmigung, wenn Sie dazu aufgefordert werden.

   • Die erste genehmigte Verbindung verwendet die Einwilligung Erforderlich.

   • Nach der Genehmigung bearbeiten Sie den Client in Qlik Cloud und ändern seine Zustimmungsmethode in Trusted, wenn dies Ihren Sicherheitsrichtlinien entspricht.

   Die Mandantengenehmigung stellt eine Vertrauensstellung auf Mandantenebene zwischen Ihrem Qlik Cloud-Mandanten und der OAuth-Clientanwendung her. Nachdem ein Mandantenadministrator die Verbindung hergestellt, sich authentifiziert und die Einwilligungsanfrage genehmigt hat, können andere Benutzer über dieselbe OAuth-Anwendung eine Verbindung zu Qlik Cloud herstellen, ohne dass eine eigene Genehmigung der Einwilligung erforderlich ist.

   Die Einwilligungsmethode wird nach der Genehmigung pro Client verwaltet. Weitere Informationen finden Sie unter Erstellen und Verwalten von OAuth-Clients.

Authentifizierungsmethoden

Beim Konfigurieren der DCR-Einstellungen können Sie festlegen, welche Authentifizierungsmethoden dynamisch registrierte Clients verwenden dürfen. Die folgenden Authentifizierungsmethoden stehen zur Verfügung:

• Client-Secret: Lässt vertrauliche Clients zu, die sich mithilfe eines Client-Secrets authentifizieren. Der Client erhält bei der Registrierung ein Client-Secret. Dies umfasst sowohl client_secret_basic- als auch client_secret_post-Authentifizierungsmethoden.

• Keine: Lässt öffentliche Clients zu, die kein Client-Geheimnis verwenden. Diese Clients verwenden den Authorization Code Flow mit PKCE (Proof Key for Code Exchange) zur Authentifizierung.

Standardmäßig verwenden dynamisch registrierte Clients die Authentifizierungsmethode client_secret_basic, sofern bei der Registrierung nichts anderes angegeben ist.

Verwalten mehrerer Registrierungen von Lieferanten

Viele OAuth-Clientanwendungen registrieren dynamisch einen einzelnen OAuth-Client bei Qlik Cloud. Benutzer der Anwendung teilen sich denselben OAuth-Client.

Einige OAuth-Client-Anwendungen registrieren dynamisch mehrere OAuth-Clients, einen pro Benutzer. Dieses Verhalten wurde beobachtet bei:

• Anthropic Claude

• Antigravitation

Wenn Sie viele DCR-Clients desselben Anbieters sehen, überprüfen Sie, wie diese OAuth-Client-Anwendung Clients registriert und ob eine Option für einen gemeinsam genutzten Konnektor verfügbar ist. Um unerwünschte DCR-Clients gesammelt zu löschen, siehe OAuth-Clients löschen.

Claude und Claude Code unterstützen CIMD, wodurch das Problem der Mehrfachregistrierung vermieden wird. Siehe Verbinden mit Claude.

MCP-Zugriffsbeispiel

Ein Anwendungsfall für DCR ist das Onboarding von OAuth-Clients für Qlik MCP-Server-Integrationen. DCR ist nicht auf MCP beschränkt und kann von anderen kompatiblen OAuth-Client-Anwendungen verwendet werden. Bei MCP-basierten Verbindungen erstellt in der Regel der Mandantenadministrator die erste Verbindung und genehmigt den Client, bevor andere Benutzer eine Verbindung herstellen.

Für Hinweise zur MCP-Administration und -Verbindung siehe:

• Bereitstellen und Verwalten des Qlik MCP-Servers

• Verbinden mit dem Qlik MCP-Server

Informationen zur Verwaltung von OAuth-Clients nach ihrer Erstellung – einschließlich der Handhabung mehrerer Anbieterregistrierungen, der Massenlöschung und der Identifizierung von DCR- oder CIMD-Clients – finden Sie unter Verwalten von OAuth-Clients.