Digital Credentials Harmonized Presentation WGが発足

OpenID Foundation（OIDF）は、新しいワーキンググループである「Digital Credentials Harmonized Presentation　ワーキンググループ」（DCHP WG）を立ち上げました。

新しいDCHP WGは、ISO/IEC JTC1/SC 17（ISO）WG10およびWG4の専門家とOIDFのDigital Credentials Protocols ワーキンググループ (DCP WG)  の専門家による共同イニシアティブをサポートし、クレデンシャルプレゼンテーションプロトコルの調和を目指しています。

現在、ISO/IEC 18013-7 Device Request/Device ResponseおよびOpenID for Verifiable Presentations（OID4VP）Authorization Request/Authorization Responseは、クレデンシャルプレゼンテーションに対して異なるアプローチを採用しています。DCHP WGは、これらを統合した調和型デジタルクレデンシャルリクエストプロトコルの技術仕様を開発し、複数のクレデンシャル形式（mdocおよびSD-JWT VC）の互換性をサポートします。

ワーキンググループの憲章は、両ワーキンググループの専門家により相互に合意され、その目的、範囲、および作業方法を完全に規定しています。この憲章は、OIDF プロセス文書に従い、仕様評議会により承認されています。

仕様はISO WG10およびOIDFのDCP WGの両者による採択を意図しているため、DCHP WGはこの目標を達成するために設計された合意されたワーキング手続きに従います。

初回会議および参加方法

DCHP WGの初回会議は、2026年6月29日（月）太平洋時間午前6時から午前9時に開催されます。参加に関心のある方は、DCHP WGページでZoomリンクをご確認ください。

進捗状況をフォローし、ワーキンググループメンバーとつながるには、openid-specs-dchp@lists.openid.netにご連絡いただきメーリングリストにご参加ください。

ワーキンググループ内の仕様に貢献するため、Intellectual Property Rights (IPR) contribution agreement（知的財産権貢献契約書）を電子的または紙面で提出することができます。その際は、「すべてのWG」または「DCHP WG」のみを選択してください。

OpenID Foundationがエージェント時代の認可を推進：新しいAuthZENワーキンググループドラフトを発表

アイデンティティコミュニティがIdentiverse 2026に集結する中、認可はエージェント時代の重要な課題として挙げられています。OpenID Foundation（OIDF）は、この分野における重要な進展をお知らせできることを喜びとしています。

AuthZENワーキンググループは、AuthZEN Access Request and Approval Profile（AARP）およびAuthZEN Profile for Model Context Protocol Tool Authorization（COAZ）の公式ワーキンググループドラフトを承認しました。

AARPドラフトは、アプリケーション、サービス、およびAIシステムがより自律的になるにつれて中心的な課題となっている問題に対処します。すなわち、『条件に満たないと実行を許可できない場合、システムはどう対応すべきか』という問題です。承認、同意、委任された権限、証明、リスク評価、または追加の正当化が、実行前に必要となる場合があります。AARPは、これらの前提条件のリクエスト、追跡、充足、および再評価のための相互運用可能なパターンを定義し、アプリケーション、認可システム、ガバナンスプラットフォーム、およびエージェントがポリシーを最終的な権限として保ちながら調整できるようにします。

COAZドラフトは、異なるソース情報モデルからAuthZEN Subject-Action-Resource-Context（SARC）構造へのマッピングを標準化するためのプロファイルを追加します。これはAuthorization API 1.0を構成し、メタデータを介してAPI、AIゲートウェイ、サービスメッシュ、またはダウンストリームシステムなどの異なる実行ポイントが、互換性のあるPDPに対してリクエストを認可する方法を認識できるようにします。初期の目標は、モデルコンテキストプロトコルツールがツール呼び出しに必要な認可チェックを公開し、エージェント的ワークフローに制御をもたらすことを可能にすることです。

なぜ今なのか

認可は長らく、単純な許可または拒否の決定として扱われてきました。実際には、組織は常にアクセスに関する人間が関与するガバナンスに依存してきました。承認、同意、例外処理、委任された決定、およびポリシーレビューは、すでにエンタープライズセキュリティの一部です。

新しいのは、その頻度とスピードです。従来のアプリケーションは事前に定義されたワークフロー内で実行されていました。追加の承認が必要な場合、担当者が一時的に対応し、別のプロセスを完了後、再開しました。エージェントはそのように機能しません。エージェントはツールを動的に発見し、実行時にサービスを呼び出し、システム全体で調整し、固定されたスクリプトではなく目標を追求します。その結果、ポリシーがまだアクションを認可できない時点に定期的に到達し、「まだ認可できない、そして以下が必要である」と表現する相互運用可能な方法がありませんでした。現在、そのギャップは独自の統合によって埋められています。業界には、共通のパターンが必要です。

認可への入力としての承認

歴史的に、認可システムは1つの質問に答えていました。「このアクションは今すぐ実行できるか？」です。また、次の質問にも答える必要があります。「ポリシーがこのアクションを認可できるようになる前に、何が必要か？」です。

これは権限の変化ではなく、形の変化です。目標はポリシーを迂回することや、認可システムをワークフローエンジンに変えることではありません。アプリケーション、エージェント、ガバナンスプラットフォーム、トラストサービスが連携して、ポリシーが求める条件を整えてから、ポリシーに再度判断を求めることです。承認、同意、委任、証明、およびリスク評価はそれぞれ決定への入力となります。決定を下すのはポリシーであり、その評価は実行の瞬間に行われます。

ベンダー支払いを支援するAIエージェントを考えてみてください。設定されたしきい値を超える送金を試みる場合、ポリシーは単にアクションを拒否するのではなく、リクエストが承認可能であること、および何が必要かを示します。エージェントは保留中のリクエストへのハンドルを記録し、後で引き継ぐまたは再開することができます。マネージャーは組織の既存プロセスを通じて承認し、ポリシーが再評価され、その後のみアクションを進行します。つまり、『ダメ』という判定がいったん下されたら、それを無視してアクションを実行することはできませんし、『良い』という承認が出たからといって、それだけで自動的に実行が許可されるわけではありません。その承認は、ポリシーが改めて判断を下す際の『参考情報の1つ』に過ぎないということです。

これは、認可の前提条件に対するClient-Initiated Backchannel Authentication（CIBA）が認証承認に対するものです。CIBAと同様に、AARPは標準化された非同期のアウトオブバンド相互作用を定義し、ここではポリシーに一般化され、人または自動ガバナンスシステムによって満たされることができます。

一貫したOIDFのストーリー

20年以上にわたって、OIDFは独立したシステム全体で信頼がどのように確立されるかを定義してきました。AARPとCOAZは明確な進展を拡張しています。

• OpenID Connectは、システムがアイデンティティを確立する方法を標準化しました
• OAuthは委任されたアクセスを標準化しました
• CIBAは、デバイスとチャネル全体での非同期でユーザーを仲介して認可と承認する方法を標準化しました
• Verifiable Credentialsに関する仕事で、ポータブルな信頼、権限、および証明を標準化しました
• AARPは、ポリシーがアクションを認可できるようになる前に、システムがポリシーが必要とする前提条件をどのように取得および管理するかを標準化しています

AARPとCOAZは、認可リクエストとポリシー決定のための共通インターフェースを確立し、組織が認可ロジックをアプリケーションから分離するのに役立つAuthZEN Authorization APIの上に直接構築されています。APIは決定を相互運用可能にします。AARPは決定にまだ到達できない場合に必要な手順を定義し、COAZはそれを他の情報モデルにポータブルにします。これらは認可を、OpenID ConnectおよびOAuthが認証と委任されたアクセスにもたらした相互運用性の方向に進めています。

業界参加

OIDFは、アイデンティティ、認可、ガバナンス、およびAIエコシステム全体からの参加を歓迎しています。この作業の開発およびレビューに貢献している組織には以下が含まれます。

• Axiomatics AB（com）
• C1（ai）
• Cerbos（dev）
• Indykite（ai）
• Keycard（ai）
• Okta（com）
• SailPoint（com）

従来からの有力なエンタープライズセキュリティベンダーから新興のAIインフラストラクチャプロバイダーまで、参加者の多様性は、認可がアプリケーション、ガバナンスシステム、信頼インフラストラクチャ、およびポリシーサービスにまたがる相互作用に依存するようになったことを認識する傾向の高まりを示しています。

「認可は長すぎる間、見過ごされてきました。『何が起こることができるか』という問題に標準化された方法で取り組む時が来ました。サイロ化され、ハードコードされ、脆弱な認可は、既に今日のアプリケーションで問題となっています。AIはこの課題を前例のないスケールで複合化しています。解決策は、よく設計された、高度に分離され、標準ベースの認可システムから生まれます。これらのシステムは、現代的なAIアーキテクチャのすべてのコンポーネントへのフックを提供します。AARPは、AuthZEN、Shared Signals、およびALFAなどの他の標準とともに、将来耐性のあるAI認可フレームワークの基盤となります。」

-- David Brossard、AuthZEN共同議長、Axiomatics（Leonardo Company傘下）CTO

「認可はもはや『許可』または『拒否』に答えるだけではありません。特にAIエージェントを含む現代的なシステムは、決定を下す前に、承認、証明、委任された権限、またはその他の前提条件が必要になることがよくあります。AARPは、アプリケーション、ガバナンスシステム、および認可サービスがポリシーを最終的な権限として保ちながら、これらの相互作用を調整するための標準的な方法を提供します。」

-- Alex Olivier、AuthZEN共同議長、Cerbos共同創業者

「AuthZENの新しいAARPおよびCOAZプロファイルは、真の エージェント的ワークフローガバナンスへの道を開き、AIエージェントが Access Management の世界で今まで遭遇したものとは本当に異なるエンティティであるという事実を認識しています。」

-- Alex Babeanu、AuthZEN共同議長、Indykite Lead PM

「AIエージェントは『ノー』に対処する適切な方法が必要です。今日、ポリシー境界に直面するエージェントは、ますます複雑な方法で回避策を講じています。その行動は職場に属すべきではありません。AARPおよびCOAZはエージェントに拒否に応答し、ポリシーがそれらをクリアした後にのみ進行する実際の方法を与えます。これにより、組織はエージェントに可能な限り最小の権限を与えながら、それらを有用に保つことができます。Oktaはこの作業をサポートして、エンタープライズでのAIの安全な採用を推進することを誇りに思っています。」

-- Nick Davis、Okta プロダクト管理担当副社長

「企業はAIエージェントを迅速に展開しようとしていますが、採択はまずこれらのエージェントを保護することに依存しており、セキュリティはコントロールに依存しています。リアルタイムガバナンスと認可はそのコントロールが存在する場所です。AuthZENおよび関連する標準は、組織がすべてのエージェントアクションの中心にポリシーを保ち、エージェントが必要なものをリクエストし、承認または証明を待ち、ポリシーがそれを許可した後にのみ行動することができるようにします。これが、最小権限とガバナンスを自律システムに拡張して、リアルタイムコントロールを実現する方法です。SailPointはこの作業をサポートすることを誇りに思っています。」

-- Levent Besik、SailPoint チーフプロダクトオフィサー

今後の展開

ワーキンググループは、コミュニティレビュー、実装フィードバック、および相互運用性テストを通じてドラフトの改善を続け、アプリケーション、認可システム、ガバナンスプラットフォーム、およびAIインフラストラクチャが共通のパターンを使用して認可の前提条件を中心に調整できるようにする実用的な標準の達成を目指しています。

20年以上にわたって、業界はシステムがユーザーを認証し、アクセスを許可する方法を標準化してきました。ソフトウェアがますます人々に代わって行動するようになるにつれて、次のステップは、認可をまだ決定できない場合に、システムが安全に必要なものを取得するのを支援することです。AuthZEN Access Request and Approval ProfileおよびMCP用COAZプロファイルのワーキンググループドラフトとしての承認は、エージェント時代向けに構築された認可インフラストラクチャに向けた重要な一歩です。

OIDFは、この作業の形成に関心のあるベンダー、エンタープライズ、実装者、研究者、および標準貢献者を歓迎しています。

OIDF適合性テストがラ・シオタで成果

OpenID Foundationは、先週フランスのラ・シオタで開催された第13回ISO mDL相互運用性テストイベントに参加し、業界全体から集まった実装者に対して適合性テストスイートを紹介しました。これは、国際標準化のスケジュールの中で最も重要なデジタルアイデンティティ実装者向けイベントの一つです。

5月28～29日に開催された2日間のイベントは、ISO/IEC 18013-5およびISO/IEC TS 18013-7に対する相互運用性テストに焦点を当てており、ドラフト付録（OpenID for Verifiable Presentations（VP）1.0 最終仕様およびHigh Assurance Interoperability Profile（HAIP）1.0 最終仕様を参照）を含んでいました。これらは、モバイル運転免許証および関連ドキュメントタイプの基礎となる標準です。

適合性テストにおける実践

このイベントは、OpenID4VPおよびHAIPの実装者に対して、OpenID Foundationの適合性テストを通じてソリューションを実行する機会を提供し、当日、多くの実装がテストに合格しました。

実装の改善が必要な場合、テストはその設計目的通りに機能し、実装者に特定の問題について明確で詳細なフィードバックを提供し、彼らが迅速に問題を解決し、自信を持って前に進むことができるようにしました。

OpenID Foundationの標準スペシャリスト兼認定ディレクターであるJoseph Heenan氏は、この国際イベントでプレゼンテーションを行い、適合性テストの意義、OpenID Foundationのテストスイートの使い方、そして現在の開発状況について説明しました。続いて、HAIP準拠のウォレット上で動作する適合性スイートのライブデモが行われ、標準化団体、政府関係者、業界の実装者など、世界中から集まった参加者の前で実際のテストの様子が披露されました。

また、本イベントを通じて参加者からテストのさらなる改善に向けた貴重なフィードバックが寄せられ、OpenID Foundationのチームはすでにこれらの意見への対応を進めています。

Heenan氏は次のように述べています。「ラ・シオタで確認できた数多くの実装の成功は、OpenID for Verifiable PresentationsとHAIPが実環境での展開に向けて準備が整っていることを示す力強い証です。今回のOpenID Foundationによるテスト結果は、適合性テストが単なる形式的な確認作業ではないことを明らかにしました。適合性テストは、拡張性と相互運用性を備えたエコシステムを構築するうえで重要な役割を果たしているのです。」

無償で利用できるオープンソーステスト

OpenID for Verifiable Presentations、OpenID for Verifiable Credential Issuance、およびHAIPの実装者は、実装の構築に役立つオープンソーステストを利用できます。以下のリンクから無料でアクセスが可能です。

• OpenID for Verifiable Presentations 1.0 + HAIP 1.0向けテスト（SD-JWTおよびmdoc対応）
• OpenID for Verifiable Credential Issuance 1.0 + HAIP 1.0向けテスト（SD-JWTおよびmdoc対応）

OpenID Foundationは、テストの改善につながるあらゆるフィードバックを歓迎しています。ご意見は certification@oidf.org までお送りください。

CrowdStrikeがSustaining Corporate MemberとしてOIDFに参画

OpenID Foundationは、CrowdStrikeを新たなSustaining Corporate Memberとして迎え入れられることを喜ばしく思います。

CrowdStrikeは、エンタープライズ環境全体でリアルタイム脅威検知、エンドポイント保護、高精度のセキュリティインテリジェンスを提供するソリューション「CrowdStrike Falcon®」プラットフォームを提供する、グローバルのサイバーセキュリティリーダーです。

CrowdStrikeは、リアルタイム脅威検知とセキュリティ脅威インテリジェンスに関する豊富な専門知識をもたらすでしょう。アイデンティティが攻撃者の主要な標的となっている中、組織は、一度きりの認証に依存するのではなく、現在のリスクを反映したアクセス制御をますます必要としています。同社のFalconプラットフォームは、Continuous Access Evaluation Profile (CAEP) のような標準がアイデンティティシステム間で共有するように設計されている種類のシグナルを既に生成しています。

そして、2026年2月のSGNLの買収により、CrowdStrikeはこのエコシステム内で確立された存在感を持ってOpenID Foundationに参加します。SGNLは、Shared SignalsやAuthZEN、そしてOpenID AI and Identity Managementコミュニティグループを含む、OpenIDワーキンググループと標準開発への積極的なコントリビューターでした。この活動の中心となるのは、OpenID Shared Signals Framework (SSF) やCAEPのような標準であり、これらはシステムがイベント発生時にセキュリティシグナルを交換することを可能にし、アイデンティティに関する決定が変化する状況に継続的に適応できるようにします。

これまでのそれらの関わりは、現在、CrowdStrikeのメンバーシップに引き継がれています。

OpenID FoundationのエグゼクティブディレクターであるGail Hodges氏は次のように述べています。「CrowdStrikeのアイデンティティセキュリティにおけるリーダーシップと、オープンなアイデンティティ標準の強化へのコミットメントは、OpenID Foundationのワーキンググループと理事会にとって非常に貴重な存在となります。彼らの参加は、サイバーセキュリティ全体に強力なメッセージを送ります。AIによって加速化された攻撃の時代において、オープンなアイデンティティ標準はオプションではなく、効果的でリアルタイムな防御のための基盤となる要件です。」

CrowdStrikeはまた、開発者がCAEPの実装をテストし、オープンソースコンポーネントを使用してトランスミッターとレシーバーを構築するための実用的なツールを提供するプラットフォーム、caep.devも運営しており、より広範なエコシステム全体での採用を支援しています。

CrowdStrikeのContinuous Identity Strategy担当シニアディレクターであるAtul Tulshibagwale氏は次のように述べています。「CrowdStrikeは、オープン標準への深いコミットメントを反映し、OpenID FoundationにSustaining Corporate Memberとして参加することを誇りに思います。そのコミットメントは、OpenID標準であるSSF、CAEP、AuthZENをサポートする当社の製品に既に体現されています。」

Sustaining Corporate MemberとしてCrowdStrikeは、アイデンティティ、デジタルプラットフォーム、エコシステムコミュニティから集まるその他のグローバルな思想リーダーたちの一員として、Foundationの理事会に加わります。彼らは協力して、OpenID Foundationがオープン標準団体としての使命を果たすことを確実なものとするでしょう。

長い間OpenID Foundationは、堅牢で相互運用可能なアイデンティティ標準が、業界全体の広範な協力に依存していると考えてきました。CrowdStrikeのメンバーシップは、その集合的な取り組みを大きく強化します。