OAuth Dynamic Client Registration の設定

最終更新日時: 2026/10/09

OAuth Dynamic Client Registration (DCR) は、対応する OAuth クライアントアプリケーションが OAuth クライアントを動的に登録できるようにする、テナントレベルの OAuth 機能です。ここでいう、対応する OAuth クライアントアプリケーションとは、OAuth 2.0 DCR プロトコルをサポートし、テナントポリシーの要件を満たすアプリケーションを指します。

DCR の主なユースケースは Model Context Protocol (MCP) サーバークライアントの接続ですが、対応するその他のサードパーティ製アプリケーションにも利用できます。

MCP クライアントに接続するその他の方法については、「OAuth クライアントの作成方法の選択」を参照してください。

公開と同意は、それぞれ独立した制御項目です。

公開は、同じリージョン内の他のテナントが OAuth クライアントを使用できるかどうかを制限します。
同意方法 (必須または信頼済み) は、認可時にユーザーにプロンプトを表示するかどうかを制御します。

公開制限を含む、手動設定と同意の動作の詳細については、「OAuth クライアントの作成」および「OAuth クライアントの作成と管理」を参照してください。

前提条件と注意事項

前提条件:

Qlik Cloud のテナント管理者であること。

注意事項:

DCR を有効にすると、対応する OAuth クライアントアプリケーションは、DCR ポリシーに従って、テナント内で OAuth クライアントの登録を要求できるようになります。本番環境で DCR を有効にする前に、許可する認証方式および承認プロセスを確認してください。
DCR によって作成されたクライアントには、初期状態で user_default、mcp:execute、および offline_access スコープが割り当てられます。これらのスコープの詳細については、Qlik 開発者ポータルの「スコープ」に掲載されているスコープ一覧を参照してください。
未承認の DCR クライアントは、1 時間後に自動的に削除されます。この期間内にテナント管理者がサードパーティ製アプリケーション内でクライアントを承認しなかった場合、そのクライアントは削除され、ユーザーは接続を再作成する必要があります。

DCR 設定を構成する

Dynamic Client Registration 設定を構成して、OAuth クライアントアプリケーションがテナントに OAuth クライアントを登録する方法を制御します。

Qlik Cloud で DCR を構成する

次の手順に従ってください:

管理アクティビティセンターで、 [設定] > [セキュリティ] に移動します。
[Dynamic Client Registration] を有効にします。

DCR が無効になっている場合、新しいクライアントを動的に登録できません。動的に登録された既存のクライアントは、手動で削除するか、承認を取り消すまで機能し続けます。
[許可された認証方法] から、動的に登録されたクライアントが使用できる認証方法を選択します。
- クライアントシークレット: 機密クライアント (セキュアなバックエンドを持つ Web アプリケーションなど) を許可します。
- クライアントシークレット + なし：機密クライアントとパブリッククライアントの両方を許可します。
- なし：パブリッククライアント用 (シングルページアプリケーションまたはネイティブアプリケーションなど) を許可します。
ポリシーで許可されていない方法で登録を試みるアプリケーションは拒否されます。

認証方法の詳細については、次のセクション「認証方法」を参照してください。

OAuth クライアントアプリで DCR を構成する

Qlik Cloud で DCR を構成した後、OAuth クライアントアプリケーションで DCR 接続を構成します。接続の詳細はユースケースに応じて異なります。

次の手順に従ってください:

OAuth クライアントアプリケーションで接続を構成する際は、ユースケースに応じて次の接続 URL を使用します。

ユースケース:	接続 URL フォーマット
MCP または GenAI クライアント	https://<tenant-id>.<region>.qlikcloud.com/api/ai/mcp MCP 構成の詳細については、「Qlik MCP サーバーへの接続」を参照してください。
その他の OAuth クライアントアプリケーション	https://<tenant-id>.<region>.qlikcloud.com

新規登録された DCR クライアントの承認および同意の動作を確認します。
- 新しい DCR クライアントを使用する前に、明示的なテナントの承認が必要であることを確認します。サードパーティのアプリケーションで、プロンプトが表示されたら承認を実行します。
- 最初に承認された接続は、 [必須] 同意を使用します。
- 承認後、Qlik Cloud でクライアントを編集し、セキュリティポリシーに適合する場合は、その同意方法を [信頼済み] に変更します。
テナントの承認により、Qlik Cloud テナントと OAuth クライアントアプリケーションの間にテナントレベルの信頼が確立されます。テナント管理者が接続、認証、同意要求の承認を行った後は、他のユーザーは個別の同意承認を必要とすることなく、同じ OAuth アプリケーションを介して Qlik Cloud に接続できます。

同意方法は、承認後にクライアントごとに管理されます。詳細は、OAuth クライアントの作成と管理をご覧ください。

認証方法

DCR 設定を構成する際、動的に登録されたクライアントの使用を許可する認証方法を指定できます。次の認証方法を利用できます。

クライアントシークレット] クライアントシークレットを使用して認証を行う機密クライアントを許可します。クライアントは、登録時にクライアントシークレットを受け取ります。これには、client_secret_basic および client_secret_post の両方の認証方法が含まれます。
なし: クライアントシークレットを使用しないパブリッククライアントを許可します。これらのクライアントは、認証に PKCE (Proof Key for Code Exchange) を伴う認可コードフローを使用します。

動的に登録されたクライアントは、登録時に別の方式が指定されていない限り、既定で client_secret_basic 認証方式を使用します。

ベンダーからの複数の登録を管理する

多くの OAuth クライアントアプリケーションでは、Qlik Cloud に対して1 つの OAuth クライアントを動的に登録します。アプリケーションのユーザーは、同じ OAuth クライアントを共有します。

一部の OAuth クライアントアプリケーションでは、ユーザーごとに 1 つの OAuth クライアントを動的に登録します。この動作は次で確認されています。

Anthropic Claude
Antigravity

同じベンダーからの DCR クライアントが多数表示される場合は、その OAuth クライアントアプリケーションがどのようにクライアントを登録しているか、および共有コネクタオプションが利用可能かどうかを確認してください。不要な DCR クライアントを一括削除するには、「OAuth クライアントの削除」を参照してください。

Claude および Claude Code は CIMD をサポートしており、多重登録の問題を回避します。「Claude への接続」を参照してください。

MCP アクセスの例

DCR のユースケースの 1 つは、Qlik MCP サーバー統合用の OAuth クライアントのオンボーディングです。DCR は MCP 専用ではなく、対応する他の OAuth クライアントアプリケーションでも使用できます。MCP ベースの接続の場合、通常は他のユーザーが接続する前に、テナント管理者が最初の接続を作成してクライアントを承認します。

MCP の管理および接続ガイドについては、次を参照してください。

作成後の OAuth クライアントの管理 (複数のベンダー登録の処理、一括削除、DCR または CIMD クライアントの特定などを含む) に関するガイダンスについては、「OAuth クライアントの管理」を参照してください。

このページは役に立ちましたか?

このページまたはコンテンツにタイポ、ステップの省略、技術的エラーなどの問題が見つかった場合はお知らせください。

こちらにフィードバックをお寄せください