Configurazione della registrazione dinamica del client OAuth (DCR)

Ultimo aggiornamento: 2026-11-10

OAuth Dynamic Client Registration (DCR) è una funzionalità OAuth a livello di tenant che consente alle applicazioni client OAuth compatibili di registrare client OAuth in modo dinamico. In questo contesto, un'applicazione client OAuth compatibile è un'applicazione che supporta il protocollo OAuth 2.0 DCR e soddisfa i requisiti dei criteri del proprio tenant.

Il caso d'uso principale per DCR è la connessione di client server Model Context Protocol (MCP), ma è possibile utilizzarlo anche per altre applicazioni di terze parti compatibili.

Per ulteriori metodi per connettersi a un client MCP, vedere Creazione di un client OAuth.

Prerequisiti e avvertenze

Prerequisiti:

• Sei un amministratore del tenant in Qlik Cloud.

Avvertenze:

• Quando DCR è abilitato, le applicazioni client OAuth compatibili possono richiedere la registrazione del client OAuth nel tuo tenant in base alla tua policy DCR. Verifica i metodi di autenticazione consentiti e il processo di approvazione prima di abilitare DCR in produzione.

• Ai client creati tramite DCR vengono inizialmente assegnati gli scope user_default, mcp:execute e offline_access. Per ulteriori informazioni su questi ambiti, vedere un elenco completo degli ambiti sul portale per sviluppatori di Qlik nella sezione Ambiti.

• I client DCR non approvati vengono eliminati automaticamente dopo un'ora. Se nessun amministratore del tenant approva il client nell'applicazione di terze parti entro tale periodo, il client viene eliminato e gli utenti devono creare nuovamente la connessione.

Configurazione delle impostazioni DCR

Configura le impostazioni di Dynamic Client Registration per controllare come le applicazioni client OAuth possono registrare client OAuth nel tuo tenant.

Configurazione di DCR in Qlik Cloud

Procedere come segue:

1. Nel centro attività Amministrazione, andare a Impostazioni > Sicurezza.

2. Abilita Registrazione dinamica dei client.

   Quando DCR è disabilitato, nessun nuovo client può essere registrato dinamicamente. I client esistenti registrati dinamicamente rimangono operativi finché non li rimuovi manualmente o non ne revochi l'approvazione.

3. Da Metodi di autenticazione consentiti, selezionare i metodi di autenticazione che i client registrati dinamicamente possono utilizzare:

   • Segreto client: consente client riservati, come applicazioni web con back-end sicuri.

   • Client secret + None: consente sia i client riservati sia i client pubblici.

   • Nessuno: consente client pubblici, come applicazioni a pagina singola o applicazioni native.

   Le applicazioni che tentano di registrarsi con un metodo non consentito dalla tua policy vengono rifiutate.

   Per ulteriori informazioni su questi metodi di autenticazione, vedere la seguente sezione Metodi di autenticazione.

Configurazione del DCR nell'app client OAuth

Dopo aver configurato DCR in Qlik Cloud, configura la connessione DCR nella tua applicazione client OAuth. I dettagli della connessione variano in base al caso d'uso.

Procedere come segue:

1. Utilizzare l'URL di connessione per il proprio caso d'uso quando si configura la connessione nell'applicazione client OAuth:

   Caso di utilizzo	Formato dell'URL di connessione
   Client MCP o GenAI	https://<tenant-id>.<region>.qlikcloud.com/api/ai/mcp Per ulteriori informazioni sulla configurazione MCP, vedere Connessione al Qlik server MCP.
   Altre applicazioni client OAuth	https://<tenant-id>.<region>.qlikcloud.com

2. Verifica il comportamento di approvazione e consenso per i client DCR appena registrati:

   • Verificare che i nuovi client DCR richiedano l'approvazione esplicita del tenant prima di poter essere utilizzati. Nell'applicazione di terze parti, concedi l'approvazione quando richiesto.

   • La prima connessione approvata utilizza il consenso Obbligatorio.

   • Dopo l'approvazione, modifica il client in Qlik Cloud e cambia il relativo metodo di consenso in Attendibile se corrisponde ai tuoi criteri di sicurezza.

   L'approvazione del tenant stabilisce una relazione di attendibilità a livello di tenant tra il tuo tenant Qlik Cloud e l'applicazione client OAuth. Dopo che un amministratore del tenant si connette, si autentica e approva la richiesta di consenso, gli altri utenti possono connettersi a Qlik Cloud tramite la stessa applicazione OAuth senza richiedere la propria approvazione del consenso.

   Il metodo di consenso viene gestito per client dopo l'approvazione. Per ulteriori informazioni, vedere Creazione e gestione di client OAuth.

Metodi di autenticazione

Durante la configurazione delle impostazioni DCR, è possibile specificare quali metodi di autenticazione i client registrati dinamicamente sono autorizzati a utilizzare. Sono disponibili i seguenti metodi di autenticazione:

• Segreto client: consente client riservati che si autenticano tramite un segreto client. Il client riceve un client secret al momento della registrazione. Questo include entrambi i metodi di autenticazione client_secret_basic e client_secret_post.

• Nessuno: consente client pubblici che non utilizzano un segreto client. Questi client utilizzano il flusso del codice di autorizzazione con PKCE (Proof Key for Code Exchange) per l'autenticazione.

Per impostazione predefinita, i client registrati dinamicamente utilizzano il metodo di autenticazione client_secret_basic, se non diversamente specificato durante la registrazione.

Gestione di registrazioni multiple da parte dei fornitori

Molte applicazioni client OAuth registrano dinamicamente un singolo client OAuth con Qlik Cloud. Gli utenti dell'applicazione condividono lo stesso client OAuth.

Alcune applicazioni client OAuth registrano dinamicamente più client OAuth, uno per utente. Questo comportamento è stato riscontrato con:

• Anthropic Claude

• Antigravità

Se visualizzi molti client DCR dello stesso fornitore, verifica come tale applicazione client OAuth registra i client e se è disponibile un'opzione di connettore condiviso. Per eliminare in blocco i client DCR indesiderati, vedere Eliminazione di client OAuth.

Claude e Claude Code supportano CIMD, che evita il problema della registrazione multipla. Vedere Connessione di Claude al server MCP Qlik.

Esempio di accesso MCP

Un caso d'uso per DCR è l'onboarding di client OAuth per le integrazioni del server MCP Qlik. DCR non è limitato a MCP e può essere utilizzato da altre applicazioni client OAuth compatibili. Per le connessioni basate su MCP, l'amministratore del tenant di solito crea la prima connessione e approva il client prima che gli altri utenti si connettano.

Per indicazioni sull'amministrazione e sulla connessione di MCP, vedere:

• Distribuzione e amministrazione Qlik server MCP

• Connessione al Qlik server MCP

Per indicazioni sulla gestione dei client OAuth dopo la loro creazione—inclusa la gestione di registrazioni di più fornitori, l'eliminazione in blocco e l'identificazione dei client DCR o CIMD—vedere Gestione client OAuth.