OAuth Dynamic Client Registration の設定

OAuth Dynamic Client Registration (DCR) は、対応する OAuth クライアント アプリケーションが OAuth クライアントを動的に登録できるようにする、テナント レベルの OAuth 機能です。ここでいう、対応する OAuth クライアント アプリケーションとは、OAuth 2.0 DCR プロトコルをサポートし、テナント ポリシーの要件を満たすアプリケーションを指します。

テナントが複数の OAuth クライアントをオンボードする必要があり、認証、ユーザー同意、スコープ管理に関するテナント側の制御を維持しながら、手動設定の手間を減らしたい場合には DCR を使用してください。DCR の主なユース ケースは Model Context Protocol (MCP) サーバー クライアントの接続ですが、対応するその他のサードパーティ製アプリケーションにも利用できます。 各クライアントを個別に作成および管理する場合は、手動による OAuth クライアント設定を使用してください。手動設定の詳細については、「OAuth クライアントの作成」を参照してください。

前提条件と注意事項

前提条件:

• Qlik Cloud のテナント管理者であること。

注意事項:

• DCR を有効にすると、対応する OAuth クライアントアプリケーションは、DCR ポリシーに従って、テナント内で OAuth クライアントの登録を要求できるようになります。本番環境で DCR を有効にする前に、許可する認証方式および承認プロセスを確認してください。

• DCR によって作成されたクライアントには、初期状態で user_default、mcp:execute、および offline_access スコープが割り当てられます。これらのスコープの詳細については、Qlik 開発者ポータルの「スコープ」に掲載されているスコープ一覧を参照してください。

• 未承認の DCR クライアントは、1 時間後に自動的に削除されます。この期間内にテナント管理者がサードパーティ製アプリケーション内でクライアントを承認しなかった場合、そのクライアントは削除され、ユーザーは接続を再作成する必要があります。

DCR 設定を構成する

Dynamic Client Registration 設定を構成して、OAuth クライアント アプリケーションがテナントに OAuth クライアントを登録する方法を制御します。

Qlik Cloud で DCR を構成する

次の手順に従ってください。

1. 管理 アクティビティ センターで、 [設定] をクリックします。

2. [Dynamic Client Registration] を有効にします。

   DCR が無効になっている場合、新しいクライアントを動的に登録できません。動的に登録された既存のクライアントは、手動で削除するか、承認を取り消すまで機能し続けます。

3. 動的に登録されたクライアントが使用できる認証方法を選択します。

   • クライアント シークレット: 機密クライアント用 (セキュアなバックエンドを持つ Web アプリケーション)

   • なし: パブリック クライアント用 (シングルページ アプリケーションまたはネイティブ アプリケーション)

   複数の認証方法を選択できます。ポリシーで許可されていない方法で登録を試みるアプリケーションは拒否されます。

   認証方法の詳細については、次のセクション「認証方法」を参照してください。

OAuth クライアント アプリで DCR を構成する

Qlik Cloud で DCR を構成した後、OAuth クライアント アプリケーションで DCR 接続を構成します。接続の詳細はユース ケースに応じて異なります。

次の手順に従ってください。

1. OAuth クライアント アプリケーションで接続を構成する際は、ユース ケースに応じて次の接続 URL を使用します。

   ユース ケース	接続 URL フォーマット
   MCP または GenAI クライアント	https://<tenant-id>.<region>.qlikcloud.com/api/ai/mcp MCP 構成の詳細については、「Qlik MCP サーバーへの接続」を参照してください。
   その他の OAuth クライアント アプリケーション	https://<tenant-id>.<region>.qlikcloud.com

2. 新規登録された DCR クライアントの承認および同意の動作を確認します。

   • 新しい DCR クライアントを使用する前に、明示的なテナントの承認が必要であることを確認します。サードパーティのアプリケーションで、プロンプトが表示されたら承認を実行します。

   • 最初に承認された接続は、 [必須] 同意を使用します。

   • 承認後、Qlik Cloud でクライアントを編集し、セキュリティ ポリシーに適合する場合は、その同意方法を [信頼済み] に変更します。

   テナントの承認により、Qlik Cloud テナントと OAuth クライアント アプリケーションの間にテナント レベルの信頼が確立されます。テナント管理者が接続、認証、同意要求の承認を行った後は、他のユーザーは個別の同意承認を必要とすることなく、同じ OAuth アプリケーションを介して Qlik Cloud に接続できます。

   同意方法は、承認後にクライアントごとに管理されます。詳細については、「OAuth クライアントの作成と管理」を参照してください。

認証方法

DCR 設定を構成する際、動的に登録されたクライアントの使用を許可する認証方法を指定できます。次の認証方法を利用できます。

• クライアント シークレット] クライアント シークレットを使用して認証を行う機密クライアントを許可します。クライアントは、登録時にクライアント シークレットを受け取ります。これには、client_secret_basic および client_secret_post の両方の認証方法が含まれます。

• なし: クライアント シークレットを使用しないパブリック クライアントを許可します。これらのクライアントは、認証に PKCE (Proof Key for Code Exchange) を伴う認可コードフローを使用します。

動的に登録されたクライアントは、登録時に別の方式が指定されていない限り、既定で client_secret_basic 認証方式を使用します。

DCR クライアントを管理する

ベンダーからの複数の登録を管理する

多くの OAuth クライアントアプリケーションでは、Qlik Cloud に対して1 つの OAuth クライアントを動的に登録します。アプリケーションのユーザーは、同じ OAuth クライアントを共有します。

一部の OAuth クライアントアプリケーションでは、ユーザーごとに 1 つの OAuth クライアントを動的に登録します。この動作は次で確認されています。

• Anthropic Claude

• Antigravity

同じベンダーからの DCR クライアントが多数表示される場合は、その OAuth クライアントアプリケーションがどのようにクライアントを登録しているか、および共有コネクタ オプションが利用可能かどうかを確認してください。

Anthropic Claude について、Qlik は Anthropic のディレクトリ向けに専用の Qlik Cloud MCP Connector を提供することを検討しています。Anthropic に受け入れられた場合、このコネクタによって複数登録の問題を軽減できる可能性があります。利用可能になるまでは、複数の DCR 登録が懸念事項である場合は、「Claude への接続」の静的 Claude OAuth 構成に従ってください。

OAuth クライアントを一括削除する

テナントに多数の OAuth クライアントがある場合は、次を実行します。

1. OAuth クライアント リストのフィルタリングを使用して、ベンダーまたは名前パターンでクライアントを検索します。

2. 一致するクライアントを選択します。

3. 選択したクライアントを一括削除します。

動的に登録されたクライアントを識別する

動的に登録されたクライアントは、次の方法で手動で作成されたクライアントと区別できます。

• 管理 では、OAuth クライアント リストに [ソース] 列が表示されます。DCR クライアントのソース値は DCR であり、手動で作成されたクライアントのソース値は User です。

• API レスポンスには、動的に登録されたクライアントに対しては dcr、手動で作成されたクライアントに対しては user に設定された createdByType フィールドが含まれます。

MCP アクセスの例

DCR のユースケースの 1 つは、Qlik MCP サーバー統合用の OAuth クライアントのオンボーディングです。DCR は MCP 専用ではなく、対応する他の OAuth クライアント アプリケーションでも使用できます。MCP ベースの接続の場合、通常は他のユーザーが接続する前に、テナント管理者が最初の接続を作成してクライアントを承認します。

MCP の管理および接続ガイドについては、次を参照してください。

• テナントへの Qlik MCP サーバーの展開

• Qlik MCP サーバーへの接続