# 設定 OAuth 動態用戶端註冊

OAuth 動態用戶端註冊 (DCR) 是一項租用戶層級的 OAuth 功能，可讓相容的 OAuth 用戶端應用程式動態註冊 OAuth 用戶端。在此情境下，相容的 OAuth 用戶端應用程式是指支援 OAuth 2.0 DCR 通訊協定，且符合您的租用戶原則需求的應用程式。

DCR 的主要使用案例是連線 Model Context Protocol (MCP) 伺服器用戶端，但您也可以將其用於其他相容的第三方應用程式。

如需連線至 MCP 用戶端的更多方法，請參閱 [選擇 OAuth 用戶端建立方法](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/QlikMCP/Connecting-Qlik-MCP-server.htm#ConnectiAuth)。

資訊備註

發布與同意是分開的控制項：

* 發佈會限制相同區域中的其他租用戶是否可以使用 OAuth 用戶端。

* 同意方法 (必要或 受信任) 可控制在授權期間是否會提示使用者。

如需手動設定和同意行為的詳細資訊（包括發布限制），請參閱 [建立 OAuth 用戶端](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-oauth-client.htm#Creating2) 和 [建立並管理 OAuth 用戶端](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-oauth-client.htm#Consent)。

## 先決條件與注意事項

必要條件：

* 您是 Qlik Cloud 的租用戶管理員。

注意事項：

* 啟用 DCR 時，相容的 OAuth 用戶端應用程式可根據您的 DCR 原則，在您的租用戶中要求 OAuth 用戶端註冊。在生產環境中啟用 DCR 之前，請檢視您允許的驗證方法和核准流程。

* 透過 DCR 建立的用戶端最初會被指派 `user_default`、`mcp:execute` 和 `offline_access` 範圍。若要深入瞭解這些範圍， 請在 Qlik 開發人員入口網站[範圍](https://qlik.dev/manage/access-control/scopes/)參閱完整的範圍清單。

* 未核准的 DCR 用戶端會在一小時後自動刪除。若在該期間內沒有租用戶管理員於第三方應用程式中核准該用戶端，該用戶端將會遭到刪除，且使用者必須重新建立連線。

## 設定 DCR 設定

設定動態用戶端註冊設定，以控制 OAuth 用戶端應用程式如何在您的租用戶中註冊 OAuth 用戶端。

### 在 Qlik Cloud 中設定 DCR

請執行下列動作：

1. 在 管理 活動中心，前往 設定 > 安全性。

2. 啟用 動態用戶端註冊。

   當停用 DCR 時，無法動態註冊新的用戶端。現有動態註冊的用戶端會維持正常運作，直到您手動將其移除或撤銷其核准為止。

3. 從 允許的驗證方法 中，選取動態註冊的用戶端可使用的驗證方法：

   * 用戶端密碼：允許機密用戶端，例如具有安全後端的 Web 應用程式。

   * 用戶端密鑰 + 無：同時允許機密用戶端與公開用戶端。

   * 無：允許公開用戶端，例如單頁面應用程式或原生應用程式。

   嘗試使用您的政策不允許的方法進行註冊的應用程式將會遭到拒絕。

   如需這些驗證方法的詳細資訊，請參閱下列區段 [身分驗證方法](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/oauth-dynamic-client-registration.htm#Authenti)。

### 在 OAuth 用戶端應用程式中設定 DCR

在您於 Qlik Cloud 中設定 DCR 之後，請在您的 OAuth 用戶端應用程式中設定 DCR 連線。連線詳細資訊因使用案例而異。

請執行下列動作：

1. 在 OAuth 用戶端應用程式中設定連線時，請使用符合您使用案例的連線 URL：

   | 使用案例 | 連線 URL 格式 |
   | --- | --- |
   | MCP 或 GenAI 客戶端 | `https://<tenant-id>.<region>.qlikcloud.com/api/ai/mcp`<br><br>如需更多 MCP 設定資訊，請參閱[連線至 Qlik MCP 伺服器](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/QlikMCP/Connecting-Qlik-MCP-server.htm)。 |
   | 其他 OAuth 用戶端應用程式 | `https://<tenant-id>.<region>.qlikcloud.com` |

2. 檢視新註冊 DCR 用戶端的核准與同意行為：

   * 確認新的 DCR 用戶端需要明確的租用戶核准後才能使用。在第三方應用程式中，於系統提示時授予核准。

   * 第一個核准的連線使用 必要 同意。

   * 核准後，在 Qlik Cloud 中編輯用戶端；若符合您的安全性原則，請將其同意方式變更為 受信任。

   租用戶核准會在您的 Qlik Cloud 租用戶與 OAuth 用戶端應用程式之間建立租用戶層級的信任。在租用戶管理員連線、驗證並核准同意要求後，其他使用者即可透過相同的 OAuth 應用程式連線至 Qlik Cloud，而無需其本身的同意核准。

   同意方式在核准後會依個別用戶端進行管理。如需詳細資訊，請參閱[建立並管理 OAuth 用戶端](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-oauth-client.htm#Consent)。

### 身分驗證方法

設定 DCR 設定時，您可以指定允許動態註冊的用戶端使用哪些驗證方法。有下列驗證方法可用：

* 用戶端密碼：允許使用用戶端密碼進行驗證的機密用戶端。用戶端在註冊時會收到用戶端密鑰。這包括 `client_secret_basic` 和 `client_secret_post` 兩種驗證方法。

* 無：允許不使用用戶端密碼的公用用戶端。這些用戶端使用搭配 PKCE (Proof Key for Code Exchange) 的授權碼流程進行驗證。

依預設，動態註冊的用戶端會使用 `client_secret_basic` 驗證方法，除非在註冊時另有指定。

## 管理來自廠商的多重註冊

許多 OAuth 用戶端應用程式會向 Qlik Cloud 動態註冊單一 OAuth 用戶端。應用程式的使用者共用相同的 OAuth 用戶端。

某些 OAuth 用戶端應用程式會動態註冊多個 OAuth 用戶端，每個使用者一個。已在下列項目中觀察到此行為：

* Anthropic Claude

* 反重力

如果您看到許多來自相同廠商的 DCR 用戶端，請檢閱該 OAuth 用戶端應用程式如何註冊用戶端，以及是否有可用的共用連接器選項。若要批次刪除不需要的 DCR 用戶端，請參閱 [刪除 OAuth 用戶端](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-oauth-client.htm#Deleting)。

Claude 與 Claude Code 支援 CIMD，可避免重複註冊的問題。請參閱 [連接至 Claude](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/QlikMCP/Connecting-Qlik-MCP-server.htm#Connecti2)。

## MCP 存取範例

DCR 的其中一個使用案例是為 Qlik MCP 伺服器整合導入 OAuth 用戶端。DCR 不僅限於 MCP，也可供其他相容的 OAuth 用戶端應用程式使用。針對以 MCP 為基礎的連線，租用戶管理員通常會在其他使用者連線之前建立第一個連線並核准用戶端。

如需 MCP 管理與連線指南，請參閱：

* [部署和管理Qlik MCP 伺服器](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/QlikMCP/Administering-Qlik-MCP.htm)

* [連線至 Qlik MCP 伺服器](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/QlikMCP/Connecting-Qlik-MCP-server.htm)

如需建立 OAuth 用戶端後的管理指引—包括處理多個廠商註冊、批次刪除以及識別 DCR 或 CIMD 用戶端—請參閱 [管理 OAuth 用戶端](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-oauth-client.htm#Managing2)。