AuthZENが、ガートナーIAMサミットでエンタープライズ対応の準備状況を説明

2年にわたる検討を経て、AuthZENワーキンググループは、今月テキサス州グレープバインで開催されたGartner Identity & Access Management Summit において重要な節目に到達しました。エンタープライズの実務家は、実装に向けた明確な準備ができていることを示しました。

AuthZENのメインセッションには約100名が参加し、そこでの質問は市場の成熟度に関する重要な変化を示していました。標準ベースの認可が機能するかどうかを問うのではなく、参加者は自社環境での実装の具体を理解したいと考えていました。これは、AuthZENの成果物が概念から実用的な技術へ移行したことを明確に示しています。

仕様から実装へ

中核となるプレゼンテーションには、OpenID FoundationのAuthZENワーキンググループ共同議長であるOmri Gazitt氏（Aserto共同創業者兼CEO）、David Brossard氏（Axiomatics CTO）、Alex Olivier氏（Cerbos共同創業者兼CPO）に加え、ガートナーのVPアナリストであるHoman Farahmand氏が登壇しました。各登壇者は、節目の背景、ビジネスケース、技術アーキテクチャ、相互運用性といった観点をそれぞれ担当しました。

Omri氏は次のように述べました。「AuthZENは、認可において最も重要な問い――『このユーザーは、このリソースに対して、このアクションを実行できますか？』――を、どのように問い合わせるかを標準化することに焦点を当てています。初めて、アーキテクチャや思想に関係なく、あらゆる認可システムが容易に実装できる仕様ができました。」

同氏は続けて、「RBAC、ABAC、ReBACの各システムが、同じ認可クエリに同じ方法で答えられるようになり、真のソフトウェア相互運用性が可能になります」と述べました。主要なEコマース企業や保険会社からの質問は、実運用での展開に焦点が当たっていました。具体的には、トランザクショントークンや新興標準との統合、トークン拡張（エンリッチメント）の方法、既存のIDプロバイダとの互換性などでした。質問の具体性は、一般的な関心ではなく、真剣な技術評価が進んでいることを示していました。

Alex氏は次のように述べました。「この相互運用（interop）のタイミングは、まさに最適でした。」

同氏はさらに、「仕様が1.0に近づくにつれ、会場の議論は理論から離れ、大小さまざまな企業が、標準ベースのきめ細かな認可を本番環境でどのように設計し、展開しているのか、という点へ移っていきました」と述べました。

ベンダー参加が示す成熟度

5回のハンズオン相互運用セッションでは、複数ベンダーにわたる動作する実装が示され、仕様が異なるシステム間で実用的な相互運用性を提供できることが実証されました。

デモは、基本的な能力に焦点を当てていました。すなわち、ユーザーが認証した際に、アイデンティティシステムが最新の認可ポリシーを確認して適切なアクセスを判断できるようにし、既存のアイデンティティ基盤の上に動的なアクセス制御を構築できる、という点です。デモには8つの実装者が参加し、IDプロバイダとしてEmpowerID、Gluu、Curity、Thalesが、ポリシー判定プラットフォームとしてAxiomatics、EmpowerID、Cerbos、SGNL、WSO2、Topazが参加しました。

さらに、より広い相互運用プログラムには、9つのポリシー判定ポイント（PDP）と9つのIDプロバイダが参加しました。

より広いセキュリティアーキテクチャとの統合

会期中、Shared Signals Frameworkワーキンググループ共同議長のAtul Tulshibagwale氏が、ガートナーのアナリストであるErik Wahlström氏とともに、Shared Signals、CAEP、AuthZEN、トランザクショントークンなどの各標準が、現代的なセキュリティアーキテクチャをどのように可能にするかを説明しました。

アトゥル氏（SGNL CTO、OpenID Foundationのコーポレートボードメンバー）は次のように述べました。「アイデンティティ標準は、ばらばらなクラウドサービス、独自アプリ、多様なデバイス、そしてAIエージェントが連携し、グローバル企業を安全に守るために協調動作する唯一の方法です。」

このセッションは、エンタープライズのセキュリティチームにとって実務的な問い――これらの仕様はどのように連携して動くのか――に答えるものでした。ここでは、個別の解決策を単独で実装するのではなく、複数の標準が効果的に相互運用する包括的なセキュリティ枠組みを組織が構築していることが示されました。参加者の多さと好意的な反応は、こうした統合パターンの理解に対する明確な関心を示していました。

市場の準備状況を示す指標

AuthZENワーキンググループへの参加方法を尋ねる参加者の数も、前向きなシグナルになりました。多くの方が今後の開発に貢献したい意向を示し、単なる傍観ではない、エンタープライズ側のコミットメントの高まりを示唆していました。

AuthZEN 1.0仕様の投票は1月上旬に終了予定であり、2年にわたる開発プロセスによって、完全な仕様、複数実装者による相互運用テストの成功、そしてエンタープライズの関心の実証という、実装に向けた基盤が確立されました。

ある参加者は、業界が「AuthZENが全体の中でどこに位置づくのかについての認知と理解」を深めており、さらに「Shared Signals、AuthZEN、トランザクショントークンといった新しい仕様が、より良いセキュリティアーキテクチャにどう貢献できるか」へのコミュニティの関心が高まっている、と述べました。ガートナーサミットでの反応は、仕様が完成に近づく中で、組織が評価と実装計画を開始する準備ができていることを示唆しています。

ガートナーのサミット公式推奨は、AuthZENのデモが実務で示したことを裏付けました。ガートナーは「2025 Executive Summary of the Identity & Access Management Summit」において、顧客は「ベンダーロックインを減らし、相互運用性を高めるために、AuthZENのような標準を採用すべきです」と述べました。

デイビッド氏は次のように付け加えました。「標準は、お客様が外部化された認可（externalized authorization）を採用する決定を下すうえで、推進力になってきました。」

同氏はさらに、「20年前のXACML初期から、今日のAuthZENやALFAのような現代的標準へと、強い進化を私たちは見てきました。これは、お客様がより効率的に安全性を維持するのに役立っています」と述べました。

ロードマップ

AuthZENワーキンググループは、2026年に向けた主要領域として次を挙げています。Shared Signals Frameworkなど追加標準との統合、HL7やOpen Bankingのような業界別標準との統合、APIゲートウェイ、IDプロバイダ、MCPベースのAIアーキテクチャとの統合に対応するためのプロファイル策定です。

AIに関してデイビッド氏は次のように述べています。「Model Context Protocol（MCP）ワーキンググループが提示している設計案は、AuthZENが可能にするNISTゼロトラストやABACアーキテクチャと非常に整合しています。その結果、MCPベースのAIフローを保護するためにAuthZEN APIを適用するのは容易となります。」