事務局メンバーによる、OpenID関連のあれやこれや
カリフォルニア州サンラモン、2026年8月7日 -OpenID Foundationは、OpenID for Verifiable Presentations(OpenID4VP)およびOpenID for Verifiable Credential Issuance(OpenID4VCI)の各プロトコルを、High Assurance Interoperability Profile(HAIP)と組み合わせて使用する場合の適合性テストスイートを完了し、自己認定を開始しました。
OpenID4VPとOpenID4VCIは、デジタルIDウォレットに関して世界で最も広く採用されている仕様であり、英国、スイス、インド、そしてEUデジタルアイデンティティウォレットプログラムを通じたEU加盟国を含む30以上の法域で採用されています。これまで、各実装者は仕様を実装することはできても、OpenID4VCIやOpenID4VPの実装がHigh Assurance Interoperability Profileに準拠していることを、独立した第三者を通じて公に主張することはできませんでした。
適合性認定プログラムの完了により、これらの仕様を実装する政府、ウォレット提供者、発行者、検証者、技術ベンダーは、自らのデジタルIDシステムが世界標準に準拠し、意図通りに相互運用できることを、共通かつ公に認知された仕組みを通じて正式に示せるようになりました。これはエコシステムのパートナー、規制当局、顧客に対して実質的な重みを持つことになります。
OpenID Foundationの事務局長であるGail Hodges氏は次のように述べました。「私たちは今、人々が必要以上の情報を明かすことなく、自分が何者であるかをデジタルにオンラインで証明できる世界へと初めて向かっています。これまでは、OpenID for Verifiable PresentationsとOpenID for Verifiable Credential Issuanceの異なる実装同士が実際に連携し、これらの仕様に組み込まれたセキュリティ要件を満たしているかどうかを、政府、規制当局、エコシステムのパートナーが独立して検証する手段はありませんでした。この適合性認定プログラムはそれを変えます。検証可能な資格情報は、これで自信を持って構築し、テストし、展開できるようになりました。」
「これはまた、各法域が自らの具体的なニーズに合わせて独自の適合性要件を構築・調整するための確かな土台でもあります。私たちはOpenID4VP、OpenID4VCI、HAIPのすべての実装者に対し、今すぐ自己認定を行い、このグローバル標準を満たしていることが公に認知される最初の一群に加わるよう呼びかけます。」
人々自身によるデータのコントロール
OpenID4VCファミリーの仕様は、デジタル資格情報の発行と提示を可能にすると同時に、個人が共有する情報についてより大きな管理権を持てるようにします。
18歳以上であることを証明したい人は、生年月日全体や自宅住所、その他の個人情報を明かすことなく、その事実だけを確認できます。資格情報は発行者によって署名され、不要な個人データの開示を最小限に抑える形で提示できます。同様に、資格情報を発行する組織は、その資格情報がその後どこでどのように使用されたかを把握することができず、これによりユーザーのプライバシーが守られます。
こうした特性により、各国政府や産業界はOpenID4VCを、国家レベルおよび分野別のデジタルIDプログラムの基盤として採用してきました。適合性認定テストが完了したことで、実装者は展開前に自らのシステムが仕様に準拠していることを検証するための共通の手段を手に入れました。
適合性テストと自己認定
適合性テストにより、各組織は仕様を正しく実装できているかどうかを判断できます。テストは、どの要件が満たされ、どこにさらなる対応が必要かを示す詳細なレポートを生成します。テストはOpenID Foundationがホストするインフラ上で無償で実行することも、各組織自身のシステム上で実行することもできます。
実装が適合性テストに正常に合格すると、各組織はOpenID Foundationの自己認定を申請できます。審査の後、Foundationはその結果を公開し、政府、エコシステムのパートナー、顧客に対して、当該実装が関連する仕様に準拠していることの公的な証拠を提供します。
自己認定は、各仕様で定義された実装ロールごとに利用できます。OpenID4VPでは、組織はウォレットまたは検証者/リライング・パーティとして認定を取得できます。OpenID4VCIでは、発行者とウォレット提供者向けにそれぞれ専用のテストプロファイルが用意されており、認定を取得できます。
両テストスイートは、複数回にわたる実環境での相互運用性テストを通じて検証され、OpenID4VPでは90%を超える合格率、OpenID4VCIでは87%の合格率を達成した上で、OpenID FoundationのDigital Credentials Protocolsワーキンググループが2026年7月にテストの準備完了を確認しました。
早期対応者が示す基準
本プログラムは、世界中のデジタルIDおよびOpen Bankingのエコシステムに既に組み込まれているOpenID ConnectおよびFAPIセキュリティプロファイルで確立された認定モデルを踏襲するものです。ブラジルでは、OpenID Foundationの仕様に対する認定は、任意プログラムとして始まり、その後規制要件へと発展しました。現在では、同国のOpen Bankingエコシステムへの参加のための義務条件となっています。
OpenID Foundationは、EUデジタルアイデンティティウォレットのエコシステムや他の法域と、OpenID Foundationのオープンソーステストおよび適合性ツールがそれぞれの地域のエコシステム要件をどのように支援できるかについて、積極的な対話を行っています。自己認定はまだすべてのエコシステムで普遍的な要件とはなっていませんが、その方向性は明確です。
これを踏まえ、OpenID FoundationはOpenID4VPおよびOpenID4VCIを実装する組織に対し、今すぐ自己認定を行うよう呼びかけています。今行動する組織は、OpenID FoundationのWebサイトに公式に掲載される最初の組織の一群に加わり、エコシステムのパートナーが実際の適合性がどのようなものかを判断する際の基準として参照する存在となるでしょう。
実装者の声
以下の組織は、OpenID4VPおよびOpenID4VCIの相互運用性テストプログラムに参加した16の団体の一部です。適合性認定プログラムの完了について、それぞれの見解を寄せています。
Google、Android Auth, Identity and Payments担当リーダーのLee Campbellは次のように述べました。「デジタルIDエコシステムの成功は、広く採用され正しく実装されたグローバルな相互運用可能な標準にかかっています。私たちはこの数年間、OpenID4VP、OpenID4VCI、HAIPの各仕様に積極的に貢献しており、OpenID Foundationが最終版を公開したことを嬉しく思います。私たちは、すべてのアプリおよびウォレット開発者が当社のプラットフォーム上でこれらの標準を正しく実装できるよう支援したいと考えています。これらの適合性テストの公開により、Androidエコシステム全体でセキュリティ、相互運用性、一貫性を確保するための実証済みの仕組みが得られました。」
SpruceIDの創業者兼CEOであるWayne Changは次のように述べました。「SpruceIDは、発行者、保有者、検証者間の相互運用性を実現するOpenID Foundationの標準化の取り組みを支援できることを誇りに思います。この取り組みは、Web上でユーザーが自身のデータを管理できるようにするという私たちのミッションを直接的に支えるものであり、州の給付金申請や銀行口座開設など、ユーザーが有用な検証可能なデジタル資格情報を取得し、それを安全かつ意味のある形で利用できる多様な方法があることを保証します。標準への適合性は、システムがユーザーの選択肢を広げ、不正を防止し、プライバシーを保護する形で構築されることを保証します。」
Fikuaの創業者であるOriol Canadésは次のように述べました。「私たちがEUデジタルアイデンティティウォレットに向けて開発を進める中で、OpenID4VP、OpenID4VCI、HAIPへの適合性はもはや任意ではなく、規制当局やリライング・パーティが依拠する基盤となっています。OpenID Foundationのテストスイートにより、Fikuaは自社の発行者、ウォレット、検証者のすべてが欧州の他の関係者と同じ言語を話していることを検証できます。」
Authleteの共同創業者であるTakahiko Kawasakiは次のように述べました。「OpenID標準の長年の実装者かつ貢献者として、AuthleteはOpenID4VCI向けHAIPテストスイートを含む複数のOpenID Foundation適合性テストスイートの開発を支援するテストインフラを提供してきました。オープンスタンダードは、正しく実装され、実際に安全かつ相互運用可能な形で機能して初めて、その価値を十分に発揮すると私たちは考えています。堅牢な適合性テストは、実装者、規制当局、リライング・パーティに対し、異なるシステムが意図通りに連携することへの確信を与えます。私たちの貢献が、検証可能な資格情報のエコシステム全体の信頼を強化する一助となっていることを誇りに思います。」
Meecoの最高製品責任者であるJan Vereeckenは次のように述べました。「OpenID4VC HAIPは、欧州のみならず世界的に見ても、高保証の検証可能なデジタル資格情報にとって最も重要なプロファイルの一つになりつつあります。発行者、ウォレット、検証者にまたがるOpenID4VCIとOpenID4VPの両方をカバーするOpenID Foundationの適合性スイートは、この仕様に実効性を与えています。必須機能とオプション機能、成功シナリオと失敗シナリオの両方を網羅するその広範さは、まさにエコシステムが必要としているものです。Meecoでは、適合性テストをチェックボックスにチェックを入れるだけの作業ではなく、不可欠な取り組みの一部だと捉えています。それは、私たちのプラットフォームが書類上だけでなく実際に相互運用可能であるという確信を、パートナーや協業先に与える手段なのです。」
Turing SpaceのCTOであるHenry Hangは次のように述べました。「適合性テストは、実世界での相互運用性を構築する上で不可欠です。私たちは、エコシステムの強化に貢献し、世界をより信頼できるものにすることを誇りに思います。」
以上
詳細については、以下までお問い合わせください。
編集者への注記
OpenID Foundationは、OpenID for Verifiable Presentations(OpenID4VP)およびOpenID for Verifiable Credential Issuance(OpenID4VCI)の各プロトコルを、High Assurance Interoperability Profile(HAIP)と組み合わせて使用する場合の適合性認定テストスイートがいずれも完了し、自己認定が可能になったことを発表できることを嬉しく思います。
ウォレット提供者、発行者、検証者、政府機関、ベンダーは、今すぐ無償でテストスイートを実行できるようになりました。また、記録に残る形で適合性を自己認定したい場合は、OpenID Foundationに少額の手数料を支払うことでそれが可能になります。
OpenID4VPとOpenID4VCIは、デジタルIDウォレットおよび検証可能な資格情報に関して世界で最も広く採用されている2つの仕様です。OpenID4VPは、資格情報を安全かつ一貫した基準で提示・検証する方法を定義します。OpenID4VCIは、そもそもそれらの資格情報がどのようにウォレットへ発行されるかを定義します。この2つの仕様は、すでに世界30以上の法域のデジタルIDプログラムで運用されています。
この進展の重要性は、デジタルウォレットがどのように機能するかという基本を考えれば明らかになります。デジタルIDウォレットの安全性、相互運用性、導入のしやすさは、それを支える実装の品質に左右されます。OpenID Foundationのオープンソーステストは、そうした実装を無償で構築・検証することを可能にし、自己認定によって適合性を公に宣言できるようになりました。
導入はすでに進行中です。世界各国の政府やプラットフォームは、OpenID4VPとOpenID4VCIを自国のデジタルIDプログラムの基盤として選定しています。その中には、EIDAS 2.0の一環としての全EU加盟国、英国、スイス、インド、カリフォルニア州が含まれます。西バルカン諸国やブラジルをはじめ、さらに数十の法域が追随する見込みです。これらのプログラムが選定段階から実装段階へと移行するにつれ、実装者は自らの実装が仕様に正しく従っていることを示す、明確で実証済みの手段を必要としています。
テストスイートには、High Assurance Interoperability Profile 1.0の文脈におけるOpenID4VP 1.0およびOpenID4VCI 1.0の各仕様を包括的に網羅する、成功ケースと失敗ケースの両方のテストが含まれています。
両テストスイートは、世界各地の実装者が複数回の実環境での相互運用性テストを通じて実際の条件下でテストを重ねてきた、集団的な取り組みの成果を反映しています。
2025年5月、OpenID Foundationは、世界各地から十数社のウォレット提供者と検証者を集めた画期的な相互運用性イベントを開催しました。224通りの組み合わせが可能な中、153件のテストが実施され、90%以上が合格しました。これは、OpenID4VP仕様がプラットフォーム、デバイス、資格情報フォーマットを横断して実環境で機能することの明確な証拠となりました。
2025年7月、OpenID Foundationは3回目となるOpenID4VCI相互運用性イベントを開催し、7社の発行者と5社のウォレット提供者を集めて、欧州、ニュージーランド、北米などにまたがるペア単位のテストを行いました。テストされた47ペアのうち87%が合格し、仕様やテストスイートに重大な懸念は見つかりませんでした。
2025年11月、OpenID Foundationは、OpenID4VPとOpenID4VCIの重要なプロファイルであるHAIP 1.0の仕様とテストスイートを成熟させることに焦点を当てたイベントを開催しました。OpenID4VP 1.0+HAIP 1.0は98%の合格率を、OpenID4VCI 1.0+HAIP 1.0は2つの異なる構成でそれぞれ73%と82%の合格率を記録しました。これは、HAIP 1.0を2025年12月に最終化するための最終関門の一部でした。
オープンソースの適合性認定テストは、両プロセスにおいて中心的な役割を果たしました。実装者はこれらを用いて、他者との突き合わせテストを行う前に自らの実装を検証し、その知見をDigital Credentials Protocolsワーキンググループ(DCP WG)にフィードバックしました。そのフィードバックは反映済みです。DCP WGは両イベントの結果を審査し、両テストスイートが展開可能な状態にあることを確認しました。
自己認定は、実装者が自らの実装がHAIP 1.0仕様と組み合わせたOpenID4VPおよびOpenID4VCIプロトコルに準拠していることを、公に、かつ正式に示す手段となります。これは各エコシステムにおいて重要となるロールを軸に構成されています。
OpenID4VPでは、実装者はウォレットまたは検証者という2つの異なるロールに対して認定を取得できます。OpenID4VCIでは、発行者またはウォレット提供者という2つの異なるロールに対して自己認定を宣言できます。各ロールにはそれぞれ専用のテストプロファイルがあり、実装者は自らが関わるエコシステムの特定の部分について認定を取得できます。
さらに、ウォレットはOpenID4VPのW3C Browser API附属書についても認定を取得できます。
発行者にとって----デジタルID資格情報を発行する政府機関であれ、職業資格を発行するプラットフォームであれ----自己認定は、自らの実装が世界中の展開と同等の高いセキュリティ・相互運用性基準を満たしていることの検証可能かつ公的な証拠となります。ベンダーやウォレット提供者にとっては、コンプライアンスの水準が高まりつつあるエコシステムの中で、信頼できる準拠済みパートナーとして差別化され、認知される機会となります。
テストはOpenID Foundationのサーバー上でも、実装者自身のインフラ上でも無償で実行できます。テストに合格し、少額の手数料を支払った後、その結果をOpenID Foundationに提出することで、Foundationのウェブサイトに掲載され、「OpenID Certified」ロゴの使用権が付与されます。長期的に見れば、共通のグローバル標準に対して認定された実装は、国境を越えたユースケースや相互運用性を将来にわたって確かなものにする助けにもなります。
本プログラムは、OpenID ConnectおよびFAPIセキュリティプロファイルを支える認定モデルを基盤としており、これらはすでに数十カ国のOpen Bankingおよびデジタル IDプログラムのインフラに組み込まれています。ブラジルでは、OpenID Foundationの仕様に対する認定は、任意プログラムとして始まり、その後、同国のオープンバンキングエコシステムへの参加のための必須条件となりました。
OpenID Foundationは、EUデジタルアイデンティティウォレットのエコシステムや他の法域と、それぞれのエコシステムおよびOpenID4VP、OpenID4VCI、HAIPの地域の実装者を支援するための適合性要件やプログラムについて、積極的な対話を行っています。
一部の実装者は、自らのエコシステムのガバナンスや規制の枠組みが将来的にそれを求めることになるために自己認定を行うでしょう。また別の実装者は、その要件を先取りし、公に認知され、パートナーや顧客に対して自らの実装がすでにその水準に達していることを示すために、今すぐ自己認定を行うでしょう。今行動する者は、OpenID Foundationのウェブサイトに最初に公に掲載される名前となり、エコシステムのパートナーが「良い実装とはどのようなものか」の基準として参照する存在となります。
OpenID Foundation事務局長のGail Hodgesは次のように述べました。
「私たちは、人々が必要以上の情報を明かすことなく、自分が何者であるかをデジタルに証明できる世界へと向かっています。これまでは、OpenID for Verifiable PresentationsとOpenID for Verifiable Credential Issuanceの異なる実装同士が実際に連携し、これらの仕様に組み込まれたセキュリティ要件を満たしているかどうかを、政府、規制当局、エコシステムのパートナーが独立して検証する手段はありませんでした。
「これはまた、各法域が自らの具体的なニーズに合わせて独自の適合性要件を構築・調整するための確かな土台でもあります。私たちはOpenID4VP、OpenID4VCI、HAIPのすべての実装者に対し、今すぐ自己認定を行い、このグローバル標準を満たしていることが公に認知される最初の一群に加わるよう呼びかけます。」
実装者は、https://openid.net/certification/how-to-certify-your-implementation/から自らの実装を認定する方法を確認でき、支援が必要な場合はcertification@oidf.orgに問い合わせることができます。OpenID4VPおよびOpenID4VCIの両方について手順が用意されています。
早期対応者へのインセンティブとして、OIDFは自己認定が開始されてから14日以内に1つ以上の仕様について自己認定を完了した実装者を表彰する予定です。
エコシステムのリーダーは、OIDFとの戦略的関係のメリット、エコシステム向け料金、(承認済みのTest Service Providerを通じた)第三者ライセンスの選択肢など、適合性プログラムやベストプラクティスに関する情報について、director@oidf.orgに問い合わせることができます。
Google、Android Auth, Identity and Payments担当リーダーのLee Campbell氏は次のように述べました。「デジタルIDエコシステムの成功は、広く採用され正しく実装されたグローバルな相互運用可能な標準にかかっています。私たちはこの数年間、OpenID4VP、OpenID4VCI、HAIPの各仕様に積極的に貢献しており、OpenID Foundationが最終版を公開したことを嬉しく思います。私たちは、すべてのアプリおよびウォレット開発者が当社のプラットフォーム上でこれらの標準を正しく実装できるよう支援したいと考えています。これらの適合性認定テストの公開により、Androidエコシステム全体でセキュリティ、相互運用性、一貫性を確保するための実証済みの仕組みが得られました。」
Authleteの共同創業者である川崎 貴彦氏は次のように述べました。「OpenID標準の長年の実装者かつ貢献者として、AuthleteはOpenID4VCI向けHAIPテストスイートを含む複数のOpenID Foundation適合性認定テストスイートの開発を支援するテストインフラを提供してきました。オープンスタンダードは、正しく実装され、実際に安全かつ相互運用可能な形で機能して初めて、その価値を十分に発揮すると私たちは考えています。堅牢な適合性認定テストは、実装者、規制当局、リライング・パーティに対し、異なるシステムが意図通りに連携することへの確信を与えます。私たちの貢献が、検証可能な資格情報のエコシステム全体の信頼を強化する一助となっていることを誇りに思います。」
Tessaliqの創業者であるOlivier Meunier氏は次のように述べました。「OpenID4VP 1.0+HAIP 1.0の検証者向け適合性スイートを実行することで、自社の実装が仕様に従っているかどうかについて、他の実装と比較する必要のない、単一の客観的な答えが得られました。この種の独立した基準こそが、EUの検証者エコシステムを実務上成立させるものです。」
TrustID Solutions氏のマネージングパートナーであるTamas Horvat氏は次のように述べました。「OpenIDの自己評価テストは、あらゆるウォレットやリライング・パーティの自己評価・登録プロセスにとって貴重な基盤となります。EUDIエコシステムにおける信頼は、標準化された実装と一貫した高品質の保証を通じてのみ構築できます。それこそが、私たちが信じ、目指している未来です。」
MyMahiのCTOであるStefan Charsley氏は次のように述べました。「OpenID4VCの適合性認定テストは、成功シナリオと失敗シナリオの両方で実装が整合していることを確認し、見つけにくいエッジケースを解消し、世界のどこにいても相互運用性を促進するための不可欠なツールです。」
Lissi GmbHのCEOであるHelge Michael氏は次のように述べました。「OpenID4VCのテストスイートは、デジタルIDウォレットを用いたユースケースの実装を大幅に容易にし、グローバルな相互運用性を保証します。」
Hopae S.A.のリサーチ責任者であるLukas Han氏は次のように述べました。「OpenID4VCのテストスイートは、エコシステムにおける重要な空白を埋めるものです。実装者として私たちは、互いの仕様解釈同士を突き合わせるのではなく、仕様そのものに対して適合性を検証する手段を長年必要としてきました。これこそが、相互運用性を理想論ではなく現実のものにするのです。」
Meecoの最高製品責任者であるJan Vereecken氏は次のように述べました。「OpenID4VC HAIPは、欧州のみならず世界的に見ても、高保証の検証可能なデジタル資格情報にとって最も重要なプロファイルの一つになりつつあります。発行者、ウォレット、検証者にまたがるOpenID4VCIとOpenID4VPの両方をカバーするOpenID Foundationの適合性スイートは、この仕様に実効性を与えています。必須機能とオプション機能、成功シナリオと失敗シナリオの両方を網羅するその広範さは、まさにエコシステムが必要としているものです。Meecoでは、適合性認定テストをチェックボックスにチェックを入れるだけの作業ではなく、不可欠な取り組みの一部だと捉えています。それは、私たちのプラットフォームが書類上だけでなく実際に相互運用可能であるという確信を、パートナーや協業先に与える手段なのです。」
Fikuaの創業者であるOriol Canadés氏は次のように述べました。「私たちがEUデジタルアイデンティティウォレットに向けて開発を進める中で、OpenID4VP、OpenID4VCI、HAIPへの適合性はもはや任意ではなく、規制当局やリライング・パーティが依拠する基盤となっています。OpenID Foundationのテストスイートにより、Fikuaは自社の発行者、ウォレット、検証者のすべてが欧州の他の関係者と同じ言語を話していることを検証できます。」
SpruceIDの創業者兼CEOであるWayne Chang氏は次のように述べました。「SpruceIDは、発行者、保有者、検証者間の相互運用性を実現するOpenID Foundationの標準化の取り組みを支援できることを誇りに思います。この取り組みは、Web上でユーザーが自身のデータを管理できるようにするという私たちのミッションを直接的に支えるものであり、州の給付金申請や銀行口座開設など、ユーザーが有用な検証可能なデジタル資格情報を取得し、それを安全かつ意味のある形で利用できる多様な方法があることを保証します。標準への適合性は、システムがユーザーの選択肢を広げ、不正を防止し、プライバシーを保護する形で構築されることを保証します。」
SphereonのCTOであるNiels Klomp氏は次のように述べました。「Sphereonは、初期のドラフトの頃から、資格情報の発行と検証に関するOpenID仕様のためのオープンソースライブラリを開発してきました。相互運用性の実現が難しいことは経験上よく分かっており、適合性は相互運用性そのものと混同すべきではないものの、自らを尊重するあらゆるソリューションにとって絶対的な前提条件です。」
Turing SpaceのCTOであるHenry Hang氏は次のように述べました。「適合性認定テストは、実世界での相互運用性を構築する上で不可欠です。私たちは、エコシステムの強化に貢献し、世界をより信頼できるものにすることを誇りに思います。」
著者: Atul Tulshibagwale、Alex Olivier(OpenID Foundation AuthZENワーキンググループ共同議長)
本記事で述べられている見解は、AuthZENワーキンググループ共同議長としての著者個人の見解であり、OpenID Foundation全体の立場を必ずしも代表するものではありません。
AuthZENは認可を外部化するための優れた方法です。しかし、あなたのAPI、プロトコル、システムには、そうした外部化された認可判断を行うために必要なパラメータを表現する独自の方法があるかもしれません。COAZ(「コージー」と発音します)は、APIやプロトコルなど任意のソースシステムにおける操作を、AuthZENの評価呼び出しにマッピングするフレームワークであり、その結果、呼び出し元はその操作を続行させてよいかどうかを知ることができます。
これを踏まえ、OpenID FoundationのAuthZENワーキンググループは、2つの新しいドラフト仕様の公開を発表します。COAZ FrameworkとCOAZ-MCP Bindingです。
セキュリティはリンクの最も強度の弱い部分で決まるため、企業にとって、組織全体のポリシーをすべての資産にわたって一貫して、継続的に、そして文脈に応じて適用することが重要です。しかし、これをシステムごとに独自の方法で行うのはコストがかかり、対応が分断され、結果としてポリシーの適用に一貫性がなくなりかねません。
AuthZEN Authorization APIは、Subject-Action-Resource-Context(SARC)モデルを用いて、きめ細かな認可判断を要求するための標準的な方法を提供します。しかし、これを組織全体の技術基盤にわたって行うには、開発者は依然として、自らのアプリケーション固有の入力をAuthZEN形式に変換する標準化された方法を必要とします。
そこで登場するのがCOAZです。
COAZ(Compatible with OpenID AuthZENの略)は、任意のプロトコルやインターフェースの情報モデルをAuthZENの認可リクエストにマッピングするための汎用フレームワークです。
HTTPリクエストであれ、JSON-RPCメッセージであれ、OpenAPIで記述されたルートであれ、COAZは単一のプロトコルに依存しないパターンを確立します。COAZは、受信した操作の入力(リクエストフィールド、ヘッダー、認可トークンなど)を受け取り、宣言的なマッピングを通じてそれらをAuthZENのSARC構造へ射影します。
新しいAPIやプロトコルが登場するたびに独自のミドルウェアを書く代わりに、PEP(Policy Enforcement Point)はCOAZマッピングに頼ることができます。これらのマッピングは、リテラル定数と式(既定ではCommon Expression Language(CEL)で記述)を用いて、PDP(Policy Decision Point)へのAuthZEN認可リクエストを動的に構築します。COAZ Frameworkは抽象的なものですが、MCP向けに私たちが行ったように、特定のプロトコルやAPI向けに具体化することができます。以下をご覧ください。
MCPマッピングの例:
|
マッピング仕様 |
|
{ "evaluation": { "subject": {"type": "identity", "id": "$token.sub"}, "action": {"name": "$tool.name"}, "resource": {"type": "customer", "id": "$params.customerId"}, "context": {"agent": "$token.?client_id", "case": "$params.caseId"} } } |
|
実際のAuthZEN呼び出しの結果 |
|
{ "subject": {"type": "identity", "id": "alice@example.com"}, "action": {"name": "get_customer"}, "resource": {"type": "customer", "id": "cust-12345"}, "context": {"agent": "http://agentprovider.com/agent-app-id", "case": "case-67890"} } |
私たちは同時に、Model Context Protocol(MCP)向けのCOAZバインディングのドラフトであるCOAZ-MCPも公開します。
AIエージェントがMCPを通じて企業のワークフローに深く統合されるにつれ、エージェントはさまざまな委任アクセスモードでユーザーに代わって行動するようになります。個々のMCPリソースやツール呼び出しをどのように認可するかについて注意を払わないと、上位レベルでの意図した認可が下位レベルでの不正アクセスをもたらしてしまう、いわゆる「Confused-deputy(混乱した代理人)」問題に容易に陥ってしまいます。
さらに、エージェントが関わる認可判断には、ユーザープリンシパルだけでなく、エージェントのIDと両者の関係も含まれます。COAZ-MCPはこの点にも対応しています。
COAZ-MCPは、COAZフレームワークをMCPの情報モデルに直接適用し、AIクライアントからのすべてのJSON-RPCメッセージが実行前に認可されることを保証します。
セキュリティロジックを基盤となるビジネスコードから切り離すことで、開発者は標準的なWeb APIで使用しているのとまったく同じ、外部化されたAuthZENポリシーエンジンを用いてMCPツールを保護できます。
また、COAZ-MCPは、MCPゲートウェイのような仲介者がこのバインディングを実施できるようにし、それによってビジネスロジック(バインディングを表現する側)を、ゲートウェイを管理する集中的なITチームが制御できるポリシー実施から分離します。
COAZ FrameworkとCOAZ-MCP Bindingのドラフト公開は、従来型のAPIと新興のエージェント型Webの両方における、相互運用可能な外部化認可にとって重要な前進を意味します。これらは現時点では単なるドラフトであり、今後成熟のプロセスを経て、将来のバージョンがOpenID Foundation全体によって承認される「Implementer's Draft」として提案され、最終的にはOpenID Foundationが「最終版」を承認することになります。
そこで、今こそID専門家、セキュリティアーキテクト、開発者の皆さんに、OpenID AuthZEN GitHubホームページで公開されているドラフト仕様をレビューし、貢献していただく絶好の機会です。COAZとCOAZ-MCPはあなたの直近のニーズに応えるものでしょうか。現行のドラフトが対応していない、COAZに求めたい機能はあるでしょうか。ドラフトに矛盾や不整合な点はないでしょうか。ご意見があれば、issueを作成してください。
AuthZENワーキンググループに参加し、GitHub上のディスカッションに参加して、標準化された認可の未来を共に形作っていきましょう。
著者について:
Atul Tulshibagwaleは、OpenID AuthZENワーキンググループの共同議長であり、SGNL買収後のCrowdStrikeでContinuous Identity Strategy担当のシニアディレクターを務めています(SGNLではCTOでした)。Atulはフェデレーテッドアイデンティティのパイオニアであり、CAEPの発明者です。以前はGoogleのソフトウェアエンジニアとして、OpenID FoundationのShared Signals and Eventsワーキンググループの基盤となっているContinuous Access Evaluation Protocol(CAEP)を構想しました。それ以前は、Trustgenix(Hewlett Packardに買収)の共同創業者兼CEOとして、後にほぼすべてのIDベンダーに採用されることになる「フェデレーションサーバー」という概念を定義しました。彼はLiberty AllianceやSAML 2.0といったオープンスタンダードの策定にも貢献しました。その後、HPでFederation担当ディレクターを務めました。
Alex Olivierは、OpenID AuthZENワーキンググループの共同議長であり、AuthZEN標準の実装者であるAuthorization Management PlatformCerbosの共同創業者兼最高製品責任者でもあります。認可システムを専門とし、近年はワークロードIDとAIセキュリティに注力しています。Microsoft、Qubit、Zencargo、複数のスタートアップで10年以上にわたり認可システムの構築とスケーリングに携わった経験を持ち、Model Context Protocol(MCP)サーバーおよびAIエージェントの保護について幅広く執筆・発表してきました。ISC2 Congress、Identiverse、EIC、KubeCon、Google Cloud NEXTなど、認可・AI・セキュリティ・IDに関するイベントで頻繁に登壇しており、標準の策定と実践的な実装経験を組み合わせながら、従来型アプリケーション、分散ワークロード、新興のAIシステムにおける認可の未来に注力しています。
デンマークが政府主導のデジタルウォレット「AltID」を立ち上げたことを受け、この新技術が市民にとって何を意味するのか、また既存のデジタルID制度とどう異なるのかについて疑問の声が上がりました。
DRを含むデンマークの主要全国メディアがこの新技術を報じました。Ekstra Bladet、Input Magazine、Mere Mobil、IT Kanalenなど複数の有力メディアが、OpenID Foundationコミュニティに専門家としてのコメントを求めました。Iduraのスタッフソフトウェアエンジニアであり、OpenID FoundationのDigital Credentials Protocolsワーキンググループの活発な参加者でもあるFrederik Krogsdal Jacobsen氏が、この技術の仕組み、従来のアプローチとの違い、そして残る実務上の課題について説明しました。
Frederik氏は、MitIDの中央集権的な認証モデルからAltIDの選択的開示（selective disclosure）方式への転換について、実際の例を用いて解説しました。例えば、完全な身分証明書を提示せずに18歳以上であることを証明する、あるいは住所を明かさずに氏名を証明する、といった具合です。
同氏はまた、さらに検討が必要な2つの点を指摘しました。第一に、AltIDはスマートフォンに依存しているため、少数のグローバルなモバイルプラットフォームに依存することになり、専用の物理デバイスなど代替のアクセス手段を長期的に検討することが重要になるという点です。第二に、MitIDと同様に、高齢のユーザーの中にはこの技術の導入を難しく感じる人もいるだろうという点です。
AltIDは、ドイツ、イタリア、その他すべてのEU加盟国で進行中のプログラムと並び、より広範なEUデジタルIDウォレット（EUDIW）構想の一環として導入されている複数の国別デジタルウォレットの一つです。
OpenID Foundationは、AltIDのようなデジタルウォレットが一貫した方法でクレデンシャルを発行・検証できるようにするオープンな国際標準を策定してきました。これらは、EUデジタルIDウォレット（EUDIW）プログラムを支える標準と同じものです。2026年12月時点で、EU加盟国は法的に、認定済み（Notified）EUDIウォレットからのクレデンシャルを信頼することが義務付けられており、これが国境を越えた相互承認の基盤を築いています。AltIDが認定されれば、この標準に基づいて構築されたクレデンシャルはデンマーク国内だけでなく欧州全域で信頼されるようになり、世界的な相互運用性の基盤にもなります。
そのため、AltIDのような国別の立ち上げが一国にとどまらない疑問を提起する際、Foundationのコミュニティは自然な相談先となります。実際に選択的開示が何を意味するのか、ウォレットが従来のものとどう異なるのか、規模拡大に向けて何を解決する必要があるのか、といった疑問です。
導入国が増えるにつれ、一般の関心も高まるでしょう。この関心は、こうした仕組みが既存のシステムと比較してプライバシーとセキュリティをどのように保護するかの理解に集中することになります。利用履歴が記録されるeIDシステムに慣れているデンマークの利用者にとっては、選択的開示がデータの露出をどのように制限するかを理解することが、より差し迫った関心事です。
一方でジャーナリストは、商業的利害を持たず、信頼できる形でこれを説明できる専門家を求めています。そのため、基盤技術に不慣れな評論家ではなく、標準の専門家が、こうした立ち上げが続く中で不可欠な情報源となりつつあります。
AltIDの立ち上げは、各国のデジタルID開発が独立した技術専門知識への需要を生み出している一例です。欧州全域でデジタルウォレットの展開が続く中、OpenID Foundationのコミュニティは、これらの取り組みの背後にある標準、相互運用性、実装上の考慮事項について文脈を提供する上で有利な立場にあり、必要とされる場所でその専門知識を提供できることを誇りに思います。
BIS Innovation Hub は、国境を越えたオープンファイナンスにとって重要な節目であり、OpenID Foundationが長年提唱してきたオープン標準アプローチの意義深い実証となるProject Apertaレポートを公開しました。
Project Apertaは、英国、UAE、ブラジル、香港、インドのオープンファイナンスネットワークを接続する、API経由の国境を越えたオープンファイナンス相互接続のプロトタイプの設計、開発、検証を行ってきました。本プロジェクトは、既存の銀行インフラをゼロから再構築することなく、安全かつ相互運用可能な国境を越えたデータ共有が実現可能であることを証明しています。
OpenID Foundationはオブザーバー会員としてProject Apertaに貢献し、Foundation副ChairのDima Postnikov氏と理事のMark Verstege氏がプロジェクトへの連絡窓口を務めました。
両氏は、シンガポール金融管理局、インド準備銀行、Swift、世界経済フォーラム、国連国際商取引法委員会（UNCITRAL）を含む、中央銀行、規制当局、国際機関にまたがるオブザーバーのリストに加わりました。このオブザーバーコミュニティの広がりは、Project Apertaが世界の金融コミュニティにとって持つ重要性を反映しています。
Project Apertaは、基盤となるセキュリティプロファイルとしてFAPI 2.0を採用しています。これは、複数のオープンファイナンス導入事例ですでに実証されている業界標準のパターンを活用し、法域ごとに独自のセキュリティ設計を行うことを避けるために特に選ばれました。
同レポートはまた、プロジェクトのトラストフレームワークをOpenID Federationの原則に基づかせており、国境を越えたオープンファイナンスの相互運用性の次の段階における望ましいアーキテクチャとして位置付けています。
Dima氏は次のように述べています。「FAPI 2.0とOpenID Federationは、すでに世界の複数の法域でオープンファイナンスのエコシステムを支えています。5大陸の中央銀行や規制当局が関わるBIS主導のこの取り組みでこのレベルの採用がなされたことは、OpenID Foundationコミュニティがこれらの標準の策定に注いできた取り組みの重要な実証です。Project Apertaは、実証されたオープン標準を真に困難な相互運用性の課題に適用したときに何が可能になるかを示しています。」
Project Apertaは、中小企業向け銀行業務および貿易金融を具体的なテストケースとして用い、既存の銀行エコシステムの中で安全な国境を越えたデータポータビリティが実現可能であることを実証しています。アーキテクチャ文書、トラストおよびIDシステムの設計、参照コードを含む成果物は、中央銀行コミュニティが活用できるよう一般に公開されています。
今後は、成熟したオープンファイナンスエコシステムを持つ少数の法域グループが、より広範な世界的採用に必要な運用、法制、ガバナンスの基盤を構築するため、さらなる実世界のユースケースを試験導入できる可能性があると同レポートは示唆しています。
OpenID Foundation事務局長のGail Hodges氏は次のように述べています。「Project Apertaはまさに、OpenID Foundationの標準が支援するために設計された類いの取り組みです。トラストサービス、セキュリティプロファイル、エコシステム統合に関する取り組みについてOIDF会員のRaidiamに、そしてFAPI準拠のリファレンス実装に関する取り組みについてOzone APIに感謝します。国境を越えたオープンデータ、およびFAPI 2.0とOpenID Federationのその他の最先端の応用に関するこの取り組みの次の段階を楽しみにしています。」