事務局メンバーによる、OpenID関連のあれやこれや
著者:Sar Haidar(MIT Open Learning プラットフォームエンジニア)
私たちが今日使っているすべてのID標準は、その瞬間に目の前にあった問題を解決するために作られたものです。OAuth、OIDC、SAML、そして私たちがキャリアを通じて磨き続けているトークンフロー――そのどれもが、目前の問いに対する緊急の答えとして始まりました。これは、私が今年のIdentiverseで行った講演の前提であり、次にIDがどこへ向かうのかを考えるすべての人にとって、改めて述べる価値があります。私たちは、システム全体を目的に設計したことなど一度もありません。60年間、一度に一つの緊急課題に対処しながら、継ぎ接ぎを重ねてきたのです。このパターンを理解することこそが、次の継ぎ接ぎがどこに向かうのかを見通すための最良の手段です。
始まりは1961年、MITのCompatible Time Sharing Systemが、一台のコンピュータを複数人が同時に使うことを初めて可能にしたときにさかのぼります。これにより、それまで誰も直面したことのなかった問いが即座に浮上しました。「コンピュータはどのファイルが誰のものかをどう知るのか?」というものです。Fernando Corbatóが出した答えがパスワードでした。しかしその1年以内に、Allan Scherrという大学院生がパスワードファイルを印刷し、他のユーザーになりすましてログインして、より多くの計算時間を得ていました。これはしばしば最初に記録された資格情報窃取事件とされます。そして業界の対応が、その後のすべての雛形を決定づけました。その雛形とは、秘密情報をより良く保護すること、そしてそもそも共有された秘密がモデルとして正しかったのかを問い直すことは一切しないこと、というものでした。
このパターンは、規模が変わるたびに繰り返されます。ハッシュ化とソルト付加(Morris and Thompson、1979年)は盗まれたパスワードを使いにくくしましたが、根底にある前提には触れませんでした。Kerberos(MITのProject Athena、1980年代半ば)は、ネットワーク化されたワークステーションが並ぶキャンパス全体での認証を解決しました。それは一つの信頼境界の中では見事に機能しましたが、その外側にあるものについては何も見えていませんでした。1988年のMorrisワームは、同僚同士の個人的信頼の上に築かれたネットワークが、いつの間にか見知らぬ者たちの都市になったときに何が起こるかを露呈しました。X.500は単一の普遍的なグローバルディレクトリでこれに答えようとして、その複雑さゆえに崩壊しました。LDAPは「十分に良い」ことで勝利を収めました。Cookieは1994年のNetscapeにおける現実的で限定的な問題――ステートレスなHTTPでは再訪問者を認識できないという問題――を解決するものでしたが、ほとんど偶然にサーベイランス広告のインフラへと変貌しました。
世紀の変わり目までに、この問題には新しい名前がついていました。グローバル規模での断片化です。Microsoftが初期に試みたPassport(1999年)のような単一の集中型IDプロバイダというアプローチは、誰も一企業に全員のIDの鍵を渡そうとはしなかったため失敗しました。SAML(2001年から2002年)は、すでに互いを信頼している組織同士では見事に機能しましたが、見知らぬ相手には役に立ちませんでした。OpenID(2005年)は、最も哲学的に誠実な答え――自分のURLを自分のIDとし、ゲートキーパーは不要とする案――を提示しましたが、ログインのためにURLを入力することがあまりに手間だったため、ほとんど誰にも使われませんでした。フェデレーションの問題は、明確な答えを得ることはありませんでした――代わりに外部委託されたのです。まずは非公式に、OAuthを利用したソーシャルログインという形で外部委託され、今では3、4社が消費者向けウェブの大部分の身元を保証するようになりました。そして次に、サービスとして、新世代のIDベンダーを通じて外部委託されました。そしてスマートフォンが、Touch IDとFace IDによって、認証されていることと自分自身であることとの境界線を、静かに消し去りました。
講演は現在の転換点で締めくくられます。AIエージェントという話題と、次のような世界のために作られたことのないIDスタックです。すなわち、呼び出しを行う「ユーザー」がそもそも人間ではないかもしれず、非人間のIDと人間のIDの比率についてすら誰も合意しておらず、まして自律的な呼び出しが誤動作したときに誰が責任を負うのかもわからない、そのような世界です。
しかし、講演後に人々が話題にしたのはそこではありませんでした。セッション後の会話で繰り返し出てきたのは、60年にわたるIDの歴史を、頭字語やプロトコル名の羅列としてではなく、シンプルで人間的な物語として語るという選択についてでした。人々は、この技術に偏らない語り口――これらの標準の一つひとつが、非常に差し迫った、非常に人間的な問題を解決しようとした誰かによって生み出されたものであり、その本人でさえ、しばしばそれが数十年後に何になるかを知る由もなかったという感覚――を評価していると語りました。このフィードバックはじっくり考える価値があります。私たちの業界は、IDを技術的な問題として語ることには長けています。しかし、それを人間的な問題として語る訓練ははるかに少ないのです。そしてエージェントの時代は、その2つ目の流暢さを、1つ目と同じくらい必要なものにしようとしています。
これは抽象的な懸念ではありません。まさにこれこそ、OpenID FoundationのArtificial Intelligence Identity Management(AIIM)コミュニティグループが対処するために設立された、まさにそのギャップです。すなわち、AIコミュニティとIDコミュニティの間のサイロ化、そして、セキュリティ、プライバシー、相互運用性について苦労して得られた教訓が、最初から適用されるのではなく、エージェント型システムの内部で再び痛い思いをしながら学び直されてしまうリスクです。Foundationによる2025年のエージェント型AI IDに関する白書、そして進行中のOn Behalf Of(OBO)トークン交換に関する取り組みは、講演が提起するのと同じ問い――エージェントが行動するとき、それは誰の権限の下で行動しているのか、そして生の権限借用や静的なAPIキーに逆戻りすることなく、複数回の委任のホップを通じて説明責任をどう維持するのか――に対する直接的な回答です。Phil Windleyによる「認可された軌跡(authorized trajectories)」に関する研究は、ジャストインタイムの資格情報だけでは不十分かもしれず、エージェントの行動の意図された経路全体について推論する必要があるかもしれないという発想であり、異なる角度から同じ未解決の問いを指し示しています。
歴史のパターンが示唆するのは、私たちはこの問題の技術的な側面を、いつものやり方で――うまく、そしてぎりぎりのタイミングで――解決するだろうということです。より難しい課題、聴衆が何度も立ち返っていた課題は、それと並行して人間的な側面を保持し続けることです。あなたの名において行動するエージェントは、あなたの次の行動を予測する統計モデルであり、有用ではあるものの、あなた自身ではありません。その区別は標準化作業の脚注などではありません。それこそが、標準化作業が重要である理由なのです。
著者について:Sarは、MIT Open Learningのプラットフォームエンジニアであり、学びを大規模にアクセス可能にするシステムを構築しています。また、SyntheticAuth.aiの創設者でもあり、そこで技術的な深さと懐疑心を織り交ぜながらIDとAIについて執筆しています。彼は活発なオープンソース貢献者であり、信頼を統治するシステムは透明で協働的であるべきだと信じています。
本記事は、Identiverse 2026(ラスベガス、マンダレイ・ベイ、6月16日)で行われた、「How We Got Here: The Story Behind Your Identity Stack and the Assumptions We Must Leave Behind」と題されたセッションに基づいています。
異なるベンダーのMCPクライアント、ゲートウェイ、サーバーが、企業内および企業間でAIエージェントを共同で保護できることを証明する。
OpenID FoundationのArtificial Intelligence Identity Managementコミュニティグループ(AIIM CG)は、Model Context Protocol(MCP)のフローがオープンID標準によって保護できることを示す相互運用性イベントを実施します。このイベントはラスベガスで開催されるGartner Identity & Access Management Summit 2026で行われ、AIIM CGは実装者に参加を呼びかけています。
MCPは、AIエージェントを企業内のツール、サービス、データに接続するための手段として急速に採用が進んでいます。エージェントが人や組織に代わって行動し始めるにつれ、最も重要となる3つの問いが浮かび上がります。すなわち、「このエージェントは誰なのか」「何を行うことが許可されているのか」「それは組織の垣根を越えても変わらず適用されるのか」という点です。
OpenID 標準は、人やワークロードについて、これらに類する問いへの答えをすでに提供しています。Gartnerでの相互運用性イベントでは、これらの標準がMCPにも適用できること、そして標準が適用された際に異なるベンダーの実装同士が連携して機能することを示します。
このイベントでは、コアのMCP仕様、MCP拡張機能、あるいはその他の標準を用いて、企業内および企業間でMCPフローを保護するためにID基盤の制御をどのように適用できるかを実証します。
重要なのは相互運用性です。これらの標準が正しく実装されていれば、組織は自らのMCPクライアント、ゲートウェイ、サーバーを自由に選択でき、どの製品を選んでもセキュリティ特性が保たれることが期待できます。
テストは以下の2つのシナリオに焦点を当てます。
参加者は以下について相互運用性をテストします。
MCPクライアント、認可サーバー、MCPサーバーがある状態で、以下のように進みます。
詳細なテスト計画はこちらを参照してください。
参加者は、MCPクライアント、OpenID Provider、OAuth認可サーバー、MCPゲートウェイ、MCPサーバーのうち少なくとも1つの役割を担います。そして、補完的な役割を持つ他の参加者との間で、少なくとも1つのインタラクションをテストしなければなりません。例えば、CIMDについてクライアントが認可サーバーに対してテストを行う、といった形です。
各参加者は、どの標準を何社のパートナーとテストしたかを記録した独自の相互運用性マトリクスを保持します。結果は提出前に双方が合意し、AIIM CGがこれらを取りまとめて公開結果とします。これにより、何が何と相互運用できたかについての明確かつ実証的な記録が残ります。
参加を決める前に詳しく知りたい関係者は、AIIM CGの週次インフォメーションコールへの参加が推奨されます。参加するにはこの会議をカレンダーに追加してください。
参加者は、2026年8月10日(太平洋時間)の終わりまでにコミットする必要があります。参加は誰でも無料で可能です。参加を希望する場合は、OpenID AIIM CG共同議長のAtul Tulshibagwale(atul.tulshibagwale@crowdstrike.com)にメールで連絡してください。
その後、AIIM CGは参加者を支援するための週次コールを開催し、参加者が質問できるようにしたり、他の参加者との相互運用性テストの日程を調整したりします。
10月16日までに、参加者は少なくとも1つのユースケースについて、パートナーとの少なくとも1回の成功したテストを示せるようにする必要があります。12月のGartner IAM Summitまで、マトリクスに相互運用性のユースケースを追加し続けることが推奨されています。
結果は、Gartner IAM Summitにおいて、OpenID FoundationのAtul Tulshibagwaleと、GartnerのErik Wahlströmによって発表される予定です。成功した参加者のうち限られた数には、自社の実装をデモンストレーションする機会も提供されます。AIIM CGは、コミット期限までにデモ枠の優先順位付けの方法についてガイダンスを公開します。
MCPのコアメンテナーであるPaul Carleton氏は次のように述べています。「企業規模でエージェントを展開する者は誰でも、このイベントがテストしている課題、すなわちエージェントガバナンスと、組織の境界を越えても維持されるIDという課題に直面します。CIMDやID-JAGのような標準が連携して機能することを、エコシステム全体からの実装が証明するのを楽しみにしています。」
OpenID AIIM CG共同議長であり、CrowdStrikeのContinuous Identity Strategy担当シニアディレクターであるAtul Tulshibagwale氏は次のように述べています。「エージェントガバナンス、組織間のID保証、そしてシームレスなアクセスは、企業がMCPベースのAIエージェントを展開する中で取り組んでいる重要な課題です。この相互運用性イベントは、Gartner IAM Summitの参加者が、複数の実装者によるその実践を目の当たりにできる素晴らしい場を提供します。」
GartnerのErik Wahlström氏(IAM担当VPアナリスト)は次のように述べています。「業界は、AIエージェント向けのIAM標準を定義する上で大きく前進しました。今こそ、それが機能することを証明する時です。この取り組みは実装間の相互運用性を検証し、IAMエコシステム全体での展開を加速させる助けとなります。私たちは、コミュニティがこの重要な取り組みに関わり、これらの標準が試される場を提供できることを嬉しく思います。」
著者:Alex Olivier
認可、とりわけAIエージェントの認可は、今年を象徴する最大の課題として浮上しました。その変化はIdentiverse 2026において顕著に見られました。この分野がどれほど進展したかを示す一つの指標は、AuthZENのセッションが、1、2年前まではこうした話題が扱われていたようなサイドの「Birds-of-a-feather (有志による非公式セッション)」ではなく、本格的なマスタークラスおよび本プログラムの講演として開催されたことです。
私は、AuthZEN共同議長およびCerbosのCPO(最高製品責任者)として、両セッションを共同発表しました。共に登壇したのは、AuthZENワーキンググループの共同議長であるAtul Tulshibagwale(CrowdStrike)、そしてMark Berg(Axiomatics)です。会場はいずれも満席となり、両セッション後の質疑応答は、AIエージェントをいかに安全に認可するかという点に集中しました。
マスタークラスでは、AuthZENの核心にあるスコープの規律が改めて強調されました。この標準が定義するのは、Policy Enforcement Point (PEP)とPolicy Decision Point(PDP)の間のインターフェースのみです。ポリシー言語ではありませんし、PDPがどのように情報を取得するかを規定するものでもありません。その情報モデルはSubject、Action、Resource、Context(SARC)を軸に構築されており、その決まりは意図的に厳格です。すなわち、拒否(deny)が4xxになることは決してなく、不正な形式のリクエストが「decision: false」になることもありません。最も関心を集めたのは、Model Context Protocolのツール認可のためのAuthZENプロファイル(COAZ)を通じたエージェント認可でした。これは、OAuthスコープでは答えられない問い――このエージェントが、このユーザーに代わって、これらの引数でこのツールを呼び出してよいか――に対し、ツールが実行される前にゲートウェイやMCPサーバーがPDPに問い合わせることによって答えるものです。
2つ目のセッションでは、AuthZENをより広い展望の中に位置づけました。認証(authentication)はほぼ解決済みですが、認可(authorization)はそうではなく、単一の仕様だけでこれを解決することはできません。その強みは組み合わせにあります。3つの標準が組み合わさります。決定ポイントに新しいセキュリティコンテキストをもたらすShared Signals(SSF/CAEP)、高速なローカルのPEP/PDP判断を行うAuthZEN、そしてアプリケーション内のサービス全体にその決定を伝播させるTransaction Tokens(TraTs、IETF OAuthワーキンググループのドラフト)です。
会場は熱心かつ実践的で、この標準が重要かどうかではなく、具体的なシステムにどう適用されるかに関心が集まっていました。最も議論を呼んだ問いは、現実世界における難しい課題でした。すなわち、エージェントがユーザーに代わって行動する際に委任認可をどう扱うか、そして判断にヒューマン・イン・ザ・ループが必要な場合に承認フローがどう組み込まれるか、というものです。何人かの参加者は直接貢献したいとの意向を示し、ある新しい組織はセッション後にワーキンググループへの参加意向を表明しました(詳細が固まり次第、追ってお知らせします)。これら2つの論点はすでに議題に上がっており、会場で提起された承認フローの課題には、AuthZENのAccess Request and Approval Profile(ARAP)が対応することになっています。
エージェントは、アクセス制御という課題の形そのものを変えます。ユーザーに代わって行動する非決定的なシステムが、暗黙的に委任されたアクセス権を持つという構図は、まさに「confused-deputy(混乱した代理人)」型の失敗――あるコンポーネントが騙されて自らの権限を誤用してしまう状態――を生み出す設定そのものです。しかも今や、それがマシン並みの速度と規模で起こります。コミュニティはこれまで長年にわたり、プリンシパル(主体)が自分が誰であるかを証明する方法を標準化することに取り組んできました。エージェントの時代においては、そのプリンシパルがその後何を行うことを許されるのかについても、同じ厳密さと相互運用性をもって標準化することが急務となっています。
OpenID Foundationの認可に関する取り組みは、まさにこの点に位置しています。AuthZENワーキンググループは、PEP/PDPの決定インターフェースを標準化し、ARAPおよびCOAZプロファイルを通じて、それを承認フローとエージェントのツール認可へと拡張しています。その相互運用性イベントと適合性認定プログラムにより、独立した実装同士が互いを信頼できるようになります。この取り組みはShared Signalsワーキンググループ、およびIETFのTransaction Tokensとも組み合わさり、特定のベンダーや信頼領域に縛られることなく、ベンダーや信頼領域を横断して機能するオープンで相互運用可能な標準という財団の使命を前進させています。
堅牢で相互運用可能な認可標準は、業界全体の幅広い協力にかかっています。Identiverse 2026での対話は、その協力がいかに重要であるか、そして各ワーキンググループ、各ベンダー、そしてPEP/PDPインターフェース自体を横断して、共に取り組むべき課題がいかに多く残っているかを明らかにしました。エージェント時代のアクセス制御の課題は、こうして解決されていくのです。
本記事は、OpenID AuthZENワーキンググループの共同議長らがIdentiverse 2026(ラスベガス、6月15日〜19日)で行った2つのセッション――マスタークラス「Mastering the OpenID Authorization Standard」および「Beyond Authentication: Updates from the Authorization Frontier」――をもとにしています。
著者について:Alex Olivierは、OpenID AuthZENワーキンググループの共同議長であり、Authorization Management Platformであり、AuthZEN標準の実装者でもあるCerbosの共同創業者兼最高製品責任者(CPO)でもあります。認可システムを専門とし、近年はワークロードIDとAIセキュリティに注力しています。Microsoft、Qubit、Zencargoをはじめとする複数のスタートアップで認可システムの構築とスケーリングに10年以上携わってきた経験を持ち、Model Context Protocol(MCP)サーバーおよびAIエージェントのセキュリティ確保について数多くの記事を発表しています。ISC2 Congress、Identiverse、EIC、KubeCon、Google Cloud NEXTなど、認可・AI・セキュリティ・IDに関するイベントに頻繁に登壇しており、標準化活動と実践的な実装経験を組み合わせながら、従来型アプリケーション、分散ワークロード、そして新興のAIシステムにおける認可の未来に取り組んでいます。
カリフォルニア州サンラモン、2026年8月7日 -OpenID Foundationは、OpenID for Verifiable Presentations(OpenID4VP)およびOpenID for Verifiable Credential Issuance(OpenID4VCI)の各プロトコルを、High Assurance Interoperability Profile(HAIP)と組み合わせて使用する場合の適合性テストスイートを完了し、自己認定を開始しました。
OpenID4VPとOpenID4VCIは、デジタルIDウォレットに関して世界で最も広く採用されている仕様であり、英国、スイス、インド、そしてEUデジタルアイデンティティウォレットプログラムを通じたEU加盟国を含む30以上の法域で採用されています。これまで、各実装者は仕様を実装することはできても、OpenID4VCIやOpenID4VPの実装がHigh Assurance Interoperability Profileに準拠していることを、独立した第三者を通じて公に主張することはできませんでした。
適合性認定プログラムの完了により、これらの仕様を実装する政府、ウォレット提供者、発行者、検証者、技術ベンダーは、自らのデジタルIDシステムが世界標準に準拠し、意図通りに相互運用できることを、共通かつ公に認知された仕組みを通じて正式に示せるようになりました。これはエコシステムのパートナー、規制当局、顧客に対して実質的な重みを持つことになります。
OpenID Foundationの事務局長であるGail Hodges氏は次のように述べました。「私たちは今、人々が必要以上の情報を明かすことなく、自分が何者であるかをデジタルにオンラインで証明できる世界へと初めて向かっています。これまでは、OpenID for Verifiable PresentationsとOpenID for Verifiable Credential Issuanceの異なる実装同士が実際に連携し、これらの仕様に組み込まれたセキュリティ要件を満たしているかどうかを、政府、規制当局、エコシステムのパートナーが独立して検証する手段はありませんでした。この適合性認定プログラムはそれを変えます。検証可能な資格情報は、これで自信を持って構築し、テストし、展開できるようになりました。」
「これはまた、各法域が自らの具体的なニーズに合わせて独自の適合性要件を構築・調整するための確かな土台でもあります。私たちはOpenID4VP、OpenID4VCI、HAIPのすべての実装者に対し、今すぐ自己認定を行い、このグローバル標準を満たしていることが公に認知される最初の一群に加わるよう呼びかけます。」
人々自身によるデータのコントロール
OpenID4VCファミリーの仕様は、デジタル資格情報の発行と提示を可能にすると同時に、個人が共有する情報についてより大きな管理権を持てるようにします。
18歳以上であることを証明したい人は、生年月日全体や自宅住所、その他の個人情報を明かすことなく、その事実だけを確認できます。資格情報は発行者によって署名され、不要な個人データの開示を最小限に抑える形で提示できます。同様に、資格情報を発行する組織は、その資格情報がその後どこでどのように使用されたかを把握することができず、これによりユーザーのプライバシーが守られます。
こうした特性により、各国政府や産業界はOpenID4VCを、国家レベルおよび分野別のデジタルIDプログラムの基盤として採用してきました。適合性認定テストが完了したことで、実装者は展開前に自らのシステムが仕様に準拠していることを検証するための共通の手段を手に入れました。
適合性テストと自己認定
適合性テストにより、各組織は仕様を正しく実装できているかどうかを判断できます。テストは、どの要件が満たされ、どこにさらなる対応が必要かを示す詳細なレポートを生成します。テストはOpenID Foundationがホストするインフラ上で無償で実行することも、各組織自身のシステム上で実行することもできます。
実装が適合性テストに正常に合格すると、各組織はOpenID Foundationの自己認定を申請できます。審査の後、Foundationはその結果を公開し、政府、エコシステムのパートナー、顧客に対して、当該実装が関連する仕様に準拠していることの公的な証拠を提供します。
自己認定は、各仕様で定義された実装ロールごとに利用できます。OpenID4VPでは、組織はウォレットまたは検証者/リライング・パーティとして認定を取得できます。OpenID4VCIでは、発行者とウォレット提供者向けにそれぞれ専用のテストプロファイルが用意されており、認定を取得できます。
両テストスイートは、複数回にわたる実環境での相互運用性テストを通じて検証され、OpenID4VPでは90%を超える合格率、OpenID4VCIでは87%の合格率を達成した上で、OpenID FoundationのDigital Credentials Protocolsワーキンググループが2026年7月にテストの準備完了を確認しました。
早期対応者が示す基準
本プログラムは、世界中のデジタルIDおよびOpen Bankingのエコシステムに既に組み込まれているOpenID ConnectおよびFAPIセキュリティプロファイルで確立された認定モデルを踏襲するものです。ブラジルでは、OpenID Foundationの仕様に対する認定は、任意プログラムとして始まり、その後規制要件へと発展しました。現在では、同国のOpen Bankingエコシステムへの参加のための義務条件となっています。
OpenID Foundationは、EUデジタルアイデンティティウォレットのエコシステムや他の法域と、OpenID Foundationのオープンソーステストおよび適合性ツールがそれぞれの地域のエコシステム要件をどのように支援できるかについて、積極的な対話を行っています。自己認定はまだすべてのエコシステムで普遍的な要件とはなっていませんが、その方向性は明確です。
これを踏まえ、OpenID FoundationはOpenID4VPおよびOpenID4VCIを実装する組織に対し、今すぐ自己認定を行うよう呼びかけています。今行動する組織は、OpenID FoundationのWebサイトに公式に掲載される最初の組織の一群に加わり、エコシステムのパートナーが実際の適合性がどのようなものかを判断する際の基準として参照する存在となるでしょう。
実装者の声
以下の組織は、OpenID4VPおよびOpenID4VCIの相互運用性テストプログラムに参加した16の団体の一部です。適合性認定プログラムの完了について、それぞれの見解を寄せています。
Google、Android Auth, Identity and Payments担当リーダーのLee Campbellは次のように述べました。「デジタルIDエコシステムの成功は、広く採用され正しく実装されたグローバルな相互運用可能な標準にかかっています。私たちはこの数年間、OpenID4VP、OpenID4VCI、HAIPの各仕様に積極的に貢献しており、OpenID Foundationが最終版を公開したことを嬉しく思います。私たちは、すべてのアプリおよびウォレット開発者が当社のプラットフォーム上でこれらの標準を正しく実装できるよう支援したいと考えています。これらの適合性テストの公開により、Androidエコシステム全体でセキュリティ、相互運用性、一貫性を確保するための実証済みの仕組みが得られました。」
SpruceIDの創業者兼CEOであるWayne Changは次のように述べました。「SpruceIDは、発行者、保有者、検証者間の相互運用性を実現するOpenID Foundationの標準化の取り組みを支援できることを誇りに思います。この取り組みは、Web上でユーザーが自身のデータを管理できるようにするという私たちのミッションを直接的に支えるものであり、州の給付金申請や銀行口座開設など、ユーザーが有用な検証可能なデジタル資格情報を取得し、それを安全かつ意味のある形で利用できる多様な方法があることを保証します。標準への適合性は、システムがユーザーの選択肢を広げ、不正を防止し、プライバシーを保護する形で構築されることを保証します。」
Fikuaの創業者であるOriol Canadésは次のように述べました。「私たちがEUデジタルアイデンティティウォレットに向けて開発を進める中で、OpenID4VP、OpenID4VCI、HAIPへの適合性はもはや任意ではなく、規制当局やリライング・パーティが依拠する基盤となっています。OpenID Foundationのテストスイートにより、Fikuaは自社の発行者、ウォレット、検証者のすべてが欧州の他の関係者と同じ言語を話していることを検証できます。」
Authleteの共同創業者であるTakahiko Kawasakiは次のように述べました。「OpenID標準の長年の実装者かつ貢献者として、AuthleteはOpenID4VCI向けHAIPテストスイートを含む複数のOpenID Foundation適合性テストスイートの開発を支援するテストインフラを提供してきました。オープンスタンダードは、正しく実装され、実際に安全かつ相互運用可能な形で機能して初めて、その価値を十分に発揮すると私たちは考えています。堅牢な適合性テストは、実装者、規制当局、リライング・パーティに対し、異なるシステムが意図通りに連携することへの確信を与えます。私たちの貢献が、検証可能な資格情報のエコシステム全体の信頼を強化する一助となっていることを誇りに思います。」
Meecoの最高製品責任者であるJan Vereeckenは次のように述べました。「OpenID4VC HAIPは、欧州のみならず世界的に見ても、高保証の検証可能なデジタル資格情報にとって最も重要なプロファイルの一つになりつつあります。発行者、ウォレット、検証者にまたがるOpenID4VCIとOpenID4VPの両方をカバーするOpenID Foundationの適合性スイートは、この仕様に実効性を与えています。必須機能とオプション機能、成功シナリオと失敗シナリオの両方を網羅するその広範さは、まさにエコシステムが必要としているものです。Meecoでは、適合性テストをチェックボックスにチェックを入れるだけの作業ではなく、不可欠な取り組みの一部だと捉えています。それは、私たちのプラットフォームが書類上だけでなく実際に相互運用可能であるという確信を、パートナーや協業先に与える手段なのです。」
Turing SpaceのCTOであるHenry Hangは次のように述べました。「適合性テストは、実世界での相互運用性を構築する上で不可欠です。私たちは、エコシステムの強化に貢献し、世界をより信頼できるものにすることを誇りに思います。」
以上
詳細については、以下までお問い合わせください。
編集者への注記
OpenID Foundationは、OpenID for Verifiable Presentations(OpenID4VP)およびOpenID for Verifiable Credential Issuance(OpenID4VCI)の各プロトコルを、High Assurance Interoperability Profile(HAIP)と組み合わせて使用する場合の適合性認定テストスイートがいずれも完了し、自己認定が可能になったことを発表できることを嬉しく思います。
ウォレット提供者、発行者、検証者、政府機関、ベンダーは、今すぐ無償でテストスイートを実行できるようになりました。また、記録に残る形で適合性を自己認定したい場合は、OpenID Foundationに少額の手数料を支払うことでそれが可能になります。
OpenID4VPとOpenID4VCIは、デジタルIDウォレットおよび検証可能な資格情報に関して世界で最も広く採用されている2つの仕様です。OpenID4VPは、資格情報を安全かつ一貫した基準で提示・検証する方法を定義します。OpenID4VCIは、そもそもそれらの資格情報がどのようにウォレットへ発行されるかを定義します。この2つの仕様は、すでに世界30以上の法域のデジタルIDプログラムで運用されています。
この進展の重要性は、デジタルウォレットがどのように機能するかという基本を考えれば明らかになります。デジタルIDウォレットの安全性、相互運用性、導入のしやすさは、それを支える実装の品質に左右されます。OpenID Foundationのオープンソーステストは、そうした実装を無償で構築・検証することを可能にし、自己認定によって適合性を公に宣言できるようになりました。
導入はすでに進行中です。世界各国の政府やプラットフォームは、OpenID4VPとOpenID4VCIを自国のデジタルIDプログラムの基盤として選定しています。その中には、EIDAS 2.0の一環としての全EU加盟国、英国、スイス、インド、カリフォルニア州が含まれます。西バルカン諸国やブラジルをはじめ、さらに数十の法域が追随する見込みです。これらのプログラムが選定段階から実装段階へと移行するにつれ、実装者は自らの実装が仕様に正しく従っていることを示す、明確で実証済みの手段を必要としています。
テストスイートには、High Assurance Interoperability Profile 1.0の文脈におけるOpenID4VP 1.0およびOpenID4VCI 1.0の各仕様を包括的に網羅する、成功ケースと失敗ケースの両方のテストが含まれています。
両テストスイートは、世界各地の実装者が複数回の実環境での相互運用性テストを通じて実際の条件下でテストを重ねてきた、集団的な取り組みの成果を反映しています。
2025年5月、OpenID Foundationは、世界各地から十数社のウォレット提供者と検証者を集めた画期的な相互運用性イベントを開催しました。224通りの組み合わせが可能な中、153件のテストが実施され、90%以上が合格しました。これは、OpenID4VP仕様がプラットフォーム、デバイス、資格情報フォーマットを横断して実環境で機能することの明確な証拠となりました。
2025年7月、OpenID Foundationは3回目となるOpenID4VCI相互運用性イベントを開催し、7社の発行者と5社のウォレット提供者を集めて、欧州、ニュージーランド、北米などにまたがるペア単位のテストを行いました。テストされた47ペアのうち87%が合格し、仕様やテストスイートに重大な懸念は見つかりませんでした。
2025年11月、OpenID Foundationは、OpenID4VPとOpenID4VCIの重要なプロファイルであるHAIP 1.0の仕様とテストスイートを成熟させることに焦点を当てたイベントを開催しました。OpenID4VP 1.0+HAIP 1.0は98%の合格率を、OpenID4VCI 1.0+HAIP 1.0は2つの異なる構成でそれぞれ73%と82%の合格率を記録しました。これは、HAIP 1.0を2025年12月に最終化するための最終関門の一部でした。
オープンソースの適合性認定テストは、両プロセスにおいて中心的な役割を果たしました。実装者はこれらを用いて、他者との突き合わせテストを行う前に自らの実装を検証し、その知見をDigital Credentials Protocolsワーキンググループ(DCP WG)にフィードバックしました。そのフィードバックは反映済みです。DCP WGは両イベントの結果を審査し、両テストスイートが展開可能な状態にあることを確認しました。
自己認定は、実装者が自らの実装がHAIP 1.0仕様と組み合わせたOpenID4VPおよびOpenID4VCIプロトコルに準拠していることを、公に、かつ正式に示す手段となります。これは各エコシステムにおいて重要となるロールを軸に構成されています。
OpenID4VPでは、実装者はウォレットまたは検証者という2つの異なるロールに対して認定を取得できます。OpenID4VCIでは、発行者またはウォレット提供者という2つの異なるロールに対して自己認定を宣言できます。各ロールにはそれぞれ専用のテストプロファイルがあり、実装者は自らが関わるエコシステムの特定の部分について認定を取得できます。
さらに、ウォレットはOpenID4VPのW3C Browser API附属書についても認定を取得できます。
発行者にとって----デジタルID資格情報を発行する政府機関であれ、職業資格を発行するプラットフォームであれ----自己認定は、自らの実装が世界中の展開と同等の高いセキュリティ・相互運用性基準を満たしていることの検証可能かつ公的な証拠となります。ベンダーやウォレット提供者にとっては、コンプライアンスの水準が高まりつつあるエコシステムの中で、信頼できる準拠済みパートナーとして差別化され、認知される機会となります。
テストはOpenID Foundationのサーバー上でも、実装者自身のインフラ上でも無償で実行できます。テストに合格し、少額の手数料を支払った後、その結果をOpenID Foundationに提出することで、Foundationのウェブサイトに掲載され、「OpenID Certified」ロゴの使用権が付与されます。長期的に見れば、共通のグローバル標準に対して認定された実装は、国境を越えたユースケースや相互運用性を将来にわたって確かなものにする助けにもなります。
本プログラムは、OpenID ConnectおよびFAPIセキュリティプロファイルを支える認定モデルを基盤としており、これらはすでに数十カ国のOpen Bankingおよびデジタル IDプログラムのインフラに組み込まれています。ブラジルでは、OpenID Foundationの仕様に対する認定は、任意プログラムとして始まり、その後、同国のオープンバンキングエコシステムへの参加のための必須条件となりました。
OpenID Foundationは、EUデジタルアイデンティティウォレットのエコシステムや他の法域と、それぞれのエコシステムおよびOpenID4VP、OpenID4VCI、HAIPの地域の実装者を支援するための適合性要件やプログラムについて、積極的な対話を行っています。
一部の実装者は、自らのエコシステムのガバナンスや規制の枠組みが将来的にそれを求めることになるために自己認定を行うでしょう。また別の実装者は、その要件を先取りし、公に認知され、パートナーや顧客に対して自らの実装がすでにその水準に達していることを示すために、今すぐ自己認定を行うでしょう。今行動する者は、OpenID Foundationのウェブサイトに最初に公に掲載される名前となり、エコシステムのパートナーが「良い実装とはどのようなものか」の基準として参照する存在となります。
OpenID Foundation事務局長のGail Hodgesは次のように述べました。
「私たちは、人々が必要以上の情報を明かすことなく、自分が何者であるかをデジタルに証明できる世界へと向かっています。これまでは、OpenID for Verifiable PresentationsとOpenID for Verifiable Credential Issuanceの異なる実装同士が実際に連携し、これらの仕様に組み込まれたセキュリティ要件を満たしているかどうかを、政府、規制当局、エコシステムのパートナーが独立して検証する手段はありませんでした。
「これはまた、各法域が自らの具体的なニーズに合わせて独自の適合性要件を構築・調整するための確かな土台でもあります。私たちはOpenID4VP、OpenID4VCI、HAIPのすべての実装者に対し、今すぐ自己認定を行い、このグローバル標準を満たしていることが公に認知される最初の一群に加わるよう呼びかけます。」
実装者は、https://openid.net/certification/how-to-certify-your-implementation/から自らの実装を認定する方法を確認でき、支援が必要な場合はcertification@oidf.orgに問い合わせることができます。OpenID4VPおよびOpenID4VCIの両方について手順が用意されています。
早期対応者へのインセンティブとして、OIDFは自己認定が開始されてから14日以内に1つ以上の仕様について自己認定を完了した実装者を表彰する予定です。
エコシステムのリーダーは、OIDFとの戦略的関係のメリット、エコシステム向け料金、(承認済みのTest Service Providerを通じた)第三者ライセンスの選択肢など、適合性プログラムやベストプラクティスに関する情報について、director@oidf.orgに問い合わせることができます。
Google、Android Auth, Identity and Payments担当リーダーのLee Campbell氏は次のように述べました。「デジタルIDエコシステムの成功は、広く採用され正しく実装されたグローバルな相互運用可能な標準にかかっています。私たちはこの数年間、OpenID4VP、OpenID4VCI、HAIPの各仕様に積極的に貢献しており、OpenID Foundationが最終版を公開したことを嬉しく思います。私たちは、すべてのアプリおよびウォレット開発者が当社のプラットフォーム上でこれらの標準を正しく実装できるよう支援したいと考えています。これらの適合性認定テストの公開により、Androidエコシステム全体でセキュリティ、相互運用性、一貫性を確保するための実証済みの仕組みが得られました。」
Authleteの共同創業者である川崎 貴彦氏は次のように述べました。「OpenID標準の長年の実装者かつ貢献者として、AuthleteはOpenID4VCI向けHAIPテストスイートを含む複数のOpenID Foundation適合性認定テストスイートの開発を支援するテストインフラを提供してきました。オープンスタンダードは、正しく実装され、実際に安全かつ相互運用可能な形で機能して初めて、その価値を十分に発揮すると私たちは考えています。堅牢な適合性認定テストは、実装者、規制当局、リライング・パーティに対し、異なるシステムが意図通りに連携することへの確信を与えます。私たちの貢献が、検証可能な資格情報のエコシステム全体の信頼を強化する一助となっていることを誇りに思います。」
Tessaliqの創業者であるOlivier Meunier氏は次のように述べました。「OpenID4VP 1.0+HAIP 1.0の検証者向け適合性スイートを実行することで、自社の実装が仕様に従っているかどうかについて、他の実装と比較する必要のない、単一の客観的な答えが得られました。この種の独立した基準こそが、EUの検証者エコシステムを実務上成立させるものです。」
TrustID Solutions氏のマネージングパートナーであるTamas Horvat氏は次のように述べました。「OpenIDの自己評価テストは、あらゆるウォレットやリライング・パーティの自己評価・登録プロセスにとって貴重な基盤となります。EUDIエコシステムにおける信頼は、標準化された実装と一貫した高品質の保証を通じてのみ構築できます。それこそが、私たちが信じ、目指している未来です。」
MyMahiのCTOであるStefan Charsley氏は次のように述べました。「OpenID4VCの適合性認定テストは、成功シナリオと失敗シナリオの両方で実装が整合していることを確認し、見つけにくいエッジケースを解消し、世界のどこにいても相互運用性を促進するための不可欠なツールです。」
Lissi GmbHのCEOであるHelge Michael氏は次のように述べました。「OpenID4VCのテストスイートは、デジタルIDウォレットを用いたユースケースの実装を大幅に容易にし、グローバルな相互運用性を保証します。」
Hopae S.A.のリサーチ責任者であるLukas Han氏は次のように述べました。「OpenID4VCのテストスイートは、エコシステムにおける重要な空白を埋めるものです。実装者として私たちは、互いの仕様解釈同士を突き合わせるのではなく、仕様そのものに対して適合性を検証する手段を長年必要としてきました。これこそが、相互運用性を理想論ではなく現実のものにするのです。」
Meecoの最高製品責任者であるJan Vereecken氏は次のように述べました。「OpenID4VC HAIPは、欧州のみならず世界的に見ても、高保証の検証可能なデジタル資格情報にとって最も重要なプロファイルの一つになりつつあります。発行者、ウォレット、検証者にまたがるOpenID4VCIとOpenID4VPの両方をカバーするOpenID Foundationの適合性スイートは、この仕様に実効性を与えています。必須機能とオプション機能、成功シナリオと失敗シナリオの両方を網羅するその広範さは、まさにエコシステムが必要としているものです。Meecoでは、適合性認定テストをチェックボックスにチェックを入れるだけの作業ではなく、不可欠な取り組みの一部だと捉えています。それは、私たちのプラットフォームが書類上だけでなく実際に相互運用可能であるという確信を、パートナーや協業先に与える手段なのです。」
Fikuaの創業者であるOriol Canadés氏は次のように述べました。「私たちがEUデジタルアイデンティティウォレットに向けて開発を進める中で、OpenID4VP、OpenID4VCI、HAIPへの適合性はもはや任意ではなく、規制当局やリライング・パーティが依拠する基盤となっています。OpenID Foundationのテストスイートにより、Fikuaは自社の発行者、ウォレット、検証者のすべてが欧州の他の関係者と同じ言語を話していることを検証できます。」
SpruceIDの創業者兼CEOであるWayne Chang氏は次のように述べました。「SpruceIDは、発行者、保有者、検証者間の相互運用性を実現するOpenID Foundationの標準化の取り組みを支援できることを誇りに思います。この取り組みは、Web上でユーザーが自身のデータを管理できるようにするという私たちのミッションを直接的に支えるものであり、州の給付金申請や銀行口座開設など、ユーザーが有用な検証可能なデジタル資格情報を取得し、それを安全かつ意味のある形で利用できる多様な方法があることを保証します。標準への適合性は、システムがユーザーの選択肢を広げ、不正を防止し、プライバシーを保護する形で構築されることを保証します。」
SphereonのCTOであるNiels Klomp氏は次のように述べました。「Sphereonは、初期のドラフトの頃から、資格情報の発行と検証に関するOpenID仕様のためのオープンソースライブラリを開発してきました。相互運用性の実現が難しいことは経験上よく分かっており、適合性は相互運用性そのものと混同すべきではないものの、自らを尊重するあらゆるソリューションにとって絶対的な前提条件です。」
Turing SpaceのCTOであるHenry Hang氏は次のように述べました。「適合性認定テストは、実世界での相互運用性を構築する上で不可欠です。私たちは、エコシステムの強化に貢献し、世界をより信頼できるものにすることを誇りに思います。」