動的アプリ (CIMD)

動的アプリを利用すると、OAuth クライアントは事前登録なしでテナントに接続できます。Logto によって発行された client ID の代わりに、クライアントは自身の client_id として公開 HTTPS URL を使用します。この URL はクライアントを記述する JSON ドキュメント（クライアント ID メタデータドキュメント (CIMD)）を提供します。Logto はこのドキュメントを取得し、クライアントをサードパーティアプリケーションとして扱います。

動的アプリは IETF ドラフト OAuth Client ID Metadata Document を実装しています。

動的アプリを使うタイミング

事前登録はパートナーが分かっている場合に有効ですが、どのクライアントでも接続できる場合（Model Context Protocol (MCP) エコシステムでよくあります）には機能しません。例えば、ユーザーが自身の AI エージェントにサービスへの接続を依頼し、そのエージェントがこれまでテナントと通信したことがない場合です。

動的アプリでは、クライアントが所有する URL で自身のメタデータを公開し、その URL がアイデンティティとなります。テナント側で事前に何かを作成する必要はありません。

	登録済みサードパーティアプリ	動的アプリ
Client ID	Logto により発行	クライアントが所有する HTTPS URL
登録	必須	不要
クライアントシークレット	サポートあり	サポートなし
権限	アプリごと	すべての動的クライアントで共有
グラントタイプ	アプリタイプによる	`authorization_code` および `refresh_token`

動的クライアントは公開クライアントであるため、常に PKCE を使用します。両方のモデルを同時に利用できます。信頼できるパートナーは、独自の権限を持つ登録済みアプリを引き続き持つことができます。

動的アプリを有効化する

コンソール > アプリケーションに移動し、サードパーティアプリ タブを開きます。
アプリケーションの作成 をクリックし、動的アプリ カードを選択します。これはアプリケーションを作成するのではなく、テナントレベルの機能を有効化します。
ダイアログで確認します。有効化されると、有効な公開 HTTPS クライアント ID URL を持つ任意の OAuth クライアントがテナントへの認可リクエストを開始できます。
アプリケーションリストから動的アプリを開き、権限タブで権限を付与します。

動的アプリには編集可能な名前、リダイレクト URI、認証情報はありません。各クライアントが自身のメタデータドキュメントでそれらを提供します。

注記:

動的アプリは OIDC プロバイダー SSRF 保護が必要です。Logto がインターネットからメタデータドキュメントを取得するためです。これを無効化しているセルフホスト環境では動的アプリを有効化できません。

権限を付与する

権限タブでは、すべての動的クライアントで共有される最大権限を定義します。これは登録済みサードパーティアプリの権限管理と同様に動作し、ユーザー および組織セクションがあります。

付与されていないユーザー権限をリクエストするとエラーとなり、付与されていない API リソースや組織権限は無視されます。ユーザーは自身のロールを通じて持つ権限のみ同意します。

すべての動的クライアントがこのセットを共有するため、最小限に抑えてください。

クライアント ID メタデータドキュメントを公開する

Logto に接続するクライアントを構築する場合、メタデータドキュメントをホストし、その URL を client_id として使用します。URL は https スキームを使用し、フラグメント、ユーザー情報、ドットパスセグメントを含んではいけません。Logto はその URL に GET リクエストを送り、JSON オブジェクトを期待します。

例えば、Claude Code は https://claude.ai/oauth/claude-code-client-metadata を使用し、次の内容を提供します：

{
  "client_id": "https://claude.ai/oauth/claude-code-client-metadata",
  "client_name": "Claude Code",
  "client_uri": "https://claude.ai",
  "redirect_uris": ["http://localhost/callback", "http://127.0.0.1/callback"],
  "token_endpoint_auth_method": "none"
}

フィールド名は OAuth 2.0 Dynamic Client Registration と同じです。注意点：

client_id はドキュメントを提供する URL と完全に一致する必要があります。
動的クライアントは公開クライアントです。ドキュメントに client_secret を含めてはいけません。また、token_endpoint_auth_method は共有シークレット方式であってはいけません。代わりに PKCE を使用してください。
client_uri、logo_uri、tos_uri、policy_uri などのメタデータ URI は絶対 https URL でなければなりません。これは redirect_uris には適用されないため、上記例のようにネイティブクライアントはループバックアドレスも利用できます。
redirect_uris は完全一致でマッチしますが、ループバックアドレスの場合は任意のポートでマッチします。ワイルドカードパターンもサポートされています。
scope、grant_types、response_types は Logto によって決定されます。ドキュメントで宣言されていても値は無視されます。動的クライアントは認可コードフローとリフレッシュトークンのみ利用できます。

Logto はドキュメントを最大 24 時間キャッシュし、レスポンスの Cache-Control および Expires ヘッダーに従います。ドキュメントの更新頻度に応じて設定してください。

動的クライアントはサードパーティアプリケーションであるため、同意画面が常に表示されます。

同意画面にはクライアントが未登録である旨の注意書きも表示されます。クライアント名やロゴはメタデータドキュメントから取得されるため、任意のブランドを模倣することが可能です。クライアント ID URL のホスト名も表示されます。これはクライアントが偽装できない唯一の部分です。

認可の管理

動的クライアントに付与された認可は通常のサードパーティグラントです。ユーザーはアカウント設定で確認・取り消しができ、管理者は Management API を通じて管理できます。クライアントの識別にはクライアント ID URL が使われます。

動的アプリを無効化すると新規認可リクエストは停止しますが、既存のグラントは保持されます。グラントを取り消すと、クライアントは再度ユーザー認可を取得する必要がありますが、既に発行されたアクセストークンは有効期限まで利用可能です。

制限事項

PKCE を用いた認可コードフローとリフレッシュトークンのみサポートされます。クライアントクレデンシャル、デバイスフロー、トークンエクスチェンジは利用できません。
権限やブランディングはクライアントごとに設定できません。
アプリレベルのアクセス制御は動的クライアントには適用されません（アプリケーションレコードが存在しないため）。

サードパーティアプリ (OAuth / OIDC)

MCP サーバーへのサードパーティ AI エージェントアクセスの有効化

動的アプリを使うタイミング​

動的アプリを有効化する​

権限を付与する​

クライアント ID メタデータドキュメントを公開する​

同意画面 (Consent screen)​

認可の管理​

制限事項​

関連リソース​