idbok

Appearance

OpenID Foundation AuthZEN WG 活動レポート (2025年2月) ​

執筆日: 2026-05-18（2025 年 2 月の活動を遡及してまとめたレポートです）

1. 概要 ​

AuthZEN Working Group（WG）は、アプリケーション内外における認可クエリ（PEP-PDP 通信）の標準 API 規格を策定する OpenID Foundation の WG である。Subject・Action・Resource・Context（SARC）の JSON ベース情報モデルを核に、Authorization API のドラフト策定と相互運用性テスト（authzen-interop.net）を並行して進めている。2025 年 2 月時点の共同議長は Omri Gazitt（Aserto）、David Brossard（Axiomatics）、Gerry Gebel（Strata Identity）の 3 名で、定例コールは毎週火曜開催。

2025 年 2 月の AuthZEN WG は、3 月 24〜25 日に開催される Gartner IAM Summit London 2025 での大規模 Interop デモに向けた準備フェーズ に入った月であった。1 月までに固められた Search API のドラフト（Subject Search / Resource Search）に Action Search を追加する提案が David Hyland から提示され、月末の PR #221 として実装された。これと並行して、データベース・GraphQL・SQL フィルタ生成に応用される Partial Evaluation（部分評価）の仕様化が David Brossard 主導で始動し、定例コール外に 2 回の臨時ブレイクアウト（2 月 12 日・19 日）が設定されるなど、月内の論点として特に重く扱われた。

技術議論の主軸は次の 4 点であった:

  • Action Search の追加と Search API パス命名規則の統一 — Subject / Resource に続く 3 つ目の検索カテゴリとして Action Search を追加。2 月 25 日コールで /access/v1/search/{subject,resource,action} への階層パス統一が合意され、api/authorization-api-1_0.md への反映は PR #221（2 月 25 日マージ）で実施。同月内の追加調整は 3 月 11 日マージの PR #253 へ持ち越された
  • Partial Evaluation の基本設計 — David Brossard（Axiomatics）、Vladi Berger（PlainID）、Michiel Trimpe が中心となり、(1) 既存の AuthZEN リクエスト構造に「単一の unknown カテゴリ」を許す形で表現する、(2) 別エンドポイントとして公開する、(3) SQL / GraphQL 等のターゲット系フィルタへの変換は「プロファイル」として後付けする、(4) ベンダー独自関数のための拡張機構を仕様レベルで認める、という 4 つの設計原則を 2 月 18 日コールで確認
  • Interop 拡大と Gateway 統合の本格化 — Tyk Gateway 用 AuthZEN プラグイン（PR #217、asoorm）、Kong（PR #215）、Zuplo（PR #216）、Envoy の PDP 認証対応（PR #234、Alex Olivier）、AWS API Gateway 用テストランナー（PR #205、ogazitt）、SGNL（PR #232）、Hexa（PR #235）、Rock Solid Knowledge（PR #218）、PlainID（PR #207）、Axiomatics（PR #208）と、Gateway 系・PDP 系の interop 実装が一気に authzen-interop.net に取り込まれた
  • Evaluations API のマージ意味論の明確化 — Michiel Trimpe（Strata）が Issue #231 で「evaluations リクエストにおいて、トップレベルの SARC 既定値と各 4-tuple 内の値が衝突した場合、オブジェクト単位で置換するのか、プロパティ単位でマージするのか仕様上曖昧」と指摘。同人による PR #233 が同日（2 月 26 日）にマージされ、解釈が明文化された

なお、2025 年 2 月時点で Authorization API 1.0 は Implementer's Draft 投票よりはるか手前 の Working Group Draft 段階にあり、Final Specification 化（実際には 2026 年 1 月）は遠い将来であった。COAZ（MCP プロファイル）への着手も 2025 年中盤以降であり、本月の議論はまだ純粋に「Evaluation / Evaluations / Search / Partial Evaluation」という Authorization API コア機能の整備に集中していた。

2. 公開された仕様・ドラフト改訂 ​

2025 年 2 月時点での AuthZEN 仕様は Authorization API Working Group Draft 02 が公開済み（2025 年 1 月リリース）の状態にあり、2 月内には Final / Implementer's Draft の新規公開や投票通知（Notice of Vote）は確認できない。WG の作業は次バージョン（Draft 03 候補）に向けた仕様本体への直接編集と、authzen-interop.net への新規実装組み込みを中心に進んでいた。

2 月内に仕様本体（api/authorization-api-1_0.md 等）に対して行われた主要な変更:

  • PR #221 - Added Action Search（dphhyland、2 月 25 日マージ）— Subject Search / Resource Search に続く 3 つ目の検索カテゴリ「Action Search」を仕様本体に追加。マージ時点では GitHub Actions のスペックビルドが失敗していたことが ogazitt のレビューコメントから確認できるが、後続コミットで markdown 不備が修正されている
  • PR #233 - Improved type and merge logic specification of evaluations request（mtrimpe、2 月 26 日マージ）— Issue #231 で提起された「evaluations API におけるトップレベル既定値と 4-tuple 内値のマージ意味論」を明文化。プロパティ単位ではなくオブジェクト単位での置換セマンティクスに整理
  • PR #220 - update gateway scenario to use "identity" instead of "user"（ogazitt、2 月 24 日マージ）— Gateway シナリオドキュメントで user 用語を identity に置換。後の COAZ や MCP プロファイルへの拡張可能性を見据えた語彙整理

2 月 25 日コールでは、Search と Partial Evaluation を 別ドラフトとして並列公開する 戦略が合意された。具体的には:

  • Search を Draft 03 として独立公開
  • Partial Evaluation を Draft 04 として独立公開
  • Final 1.0 の段階で Evaluation / Evaluations / Search / Partial Evaluation / Discovery を統合

この公開戦略は、後の 3 月 11 日コール（3 月レポート 参照）における「Draft 03 への Search API パス階層化反映」と直結しており、2 月の意思決定が翌月の動きを規定している。

3. ミーティングと議論 ​

AuthZEN WG は毎週火曜にコールを開催している。2025 年 2 月の定例コールは 2 月 4 日・11 日・18 日・25 日 の 4 回、加えて 臨時の Partial Evaluation ブレイクアウト が 2 月 12 日（水）と 2 月 19 日（水）の正午（America/Vancouver）に開催された。議事録は ML（pipermail）に投稿され、HackMD @oidf-wg-authzen にも蓄積される。

2025 年 2 月 4 日（火）定例コール ​

  • アジェンダ: Agenda for Feb 04, 2025 call（Gerry Gebel）。(1) Search API 最新版レビュー、(2) Envoy 実装デモ、(3) AWS API Gateway デモ、(4) STS / Tokenetes パターン議論、(5) Design Patterns 文書改訂
  • 議事録: Notes from today's AuthZEN call（Gerry Gebel、2 月 4 日）
  • 参加者（14 名）: Omri Gazitt、Alex Babeanu、Alex Olivier、George Fletcher、Vladi Berger、Mike Kiser、Wade Ellery、Victor Lu、Michiel Trimpe、Gerry Gebel、David Brossard、David Hyland、Roland Baum、Elizabeth Garber
  • Search API（Formal Draft 03 候補）: Subject Search と Resource Search を分離する最新版が公開済み。David Hyland に Action Search プロポーザルの起草を割り当て。「現状の RAR 要件が完全には満たされていない」点が動機として共有された
  • Gartner IAM London 2025 デモ準備: 3 月 24〜25 日に 3 つのスピーキングスロット、合計 最大 15 ベンダー の interop 枠を確保。シナリオは「ToDo アプリケーション」と「API Gateway アーキテクチャ」の 2 系統で評価
  • Envoy デモ（Alex Olivier）: Envoy proxy 上での AuthZEN 実装を披露。PR #201 として既に公開済み
  • AWS API Gateway デモ（Omri Gazitt）: Lambda Authorizer 経由での AuthZEN 統合と、更新済み ToDo アプリケーションの動作を提示
  • STS / Tokenetes 議論: トークンベース認可における開発者エルゴノミクスについて、Tokenetes アプローチと Zanzibar スタイルのキャッシングを比較。George Fletcher が「サービスチェイン上でトークン能力が過剰に積まれていく問題」を指摘し、purpose 用語を使った downscoping 機構を提案。Alex Babeanu に Tokenetes パターンを Design Patterns 文書へ追加する宿題

2025 年 2 月 11 日（火）定例コール ​

  • アジェンダ: Agenda for Feb 11, 2025（Gerry Gebel）。(1) OpenAPI 仕様の起草担当者募集、(2) Interop デモ進捗、(3) Gartner IAM London 参加者確認、(4) Partial Evaluation フィードバック、(5) Action Search API プロポーザル
  • 議事録: Notes from yesterday's call（David Brossard、2 月 12 日）
  • 参加者（11 名）: Omri Gazitt、David Brossard、Michiel Trimpe、Vladi Berger、Amos Alubala、Gerry Gebel、Eve Maler、Alex Babeanu、Roland Baum、Mark Berg、Victor Lu
  • OpenAPI 仕様: Michiel Trimpe が、リポジトリ既存の JSON スキーマを基に OpenAPI 仕様ドラフトを起こすことを名乗り出
  • Interop デモ進捗: 3 つの selector 実装が正規化済み。API Gateway と PDP の selector 動作を披露。AWS / Envoy Gateway のコード例、テストハーネス、参加 PDP の適合性結果テーブルをレビュー
  • Gartner IAM London 参加表明: Aserto、Axiomatics、Cerbos、PlainID、Okta FGA、Zuplo、SGNL、Curity、Layer7、42Crunch が出席を表明または検討中
  • Partial Evaluation: David Brossard、Vladi Berger、Michiel Trimpe による別途ブレイクアウトを設定（後の 2 月 12 日 12:00 PT、2 月 19 日 12:00 PT の臨時コール）
  • Action Search ドラフト: 仕様コンポーネントの事前ドキュメントをレビュー
  • 重要な決定: 「AuthZEN リクエスト / レスポンスの署名は仕様で MANDATE しない。セキュリティガイダンスは別途 implementation guide に切り出す」 ことを決定。これは後の OIDF security review プロセスにおける「AuthZEN は payload format であって通信フレームワークの責務は持たない」という整理（3 月 18 日コールで再確認）の伏線となる
  • Gateway 認可粒度: 仕様自体は細粒度制御を許すが、現状のデモ実装では Gateway のコンテキスト可用性が限定的であり、詳細リクエストには制約があることが共有された

2025 年 2 月 12 日（水）臨時 Partial Evaluation ブレイクアウト ​

David Brossard の招集により、America/Vancouver 時刻の正午〜12:50 に Google Meet で開催（ML #282）。HackMD 上の Partial Evaluation スペック原案をレビューするコールで、議事録自体は ML には共有されていない（HackMD 側で完結）。

2025 年 2 月 18 日（火）定例コール ​

  • アジェンダ: Agenda for today's call（Gerry Gebel）。(1) Partial Evaluation アップデート（David B）、(2) Action Search（David H）、(3) Interop 参加状況（Omri）、(4) OIDF Security Review プロセス（David B）
  • 議事録: Notes from today's call（David Brossard、2 月 19 日）
  • 参加者: Roland Baum、Budhaditya Bhattacharya（Tyk）、David Brossard、David Hyland、Vladi Berger、Michiel Trimpe、George Fletcher、Omri Gazitt
  • Partial Evaluation:
    • 関数を 入れ子可能 な概念として一般化する方針（例: lower(stringEqual())）
    • リクエスト構造は AuthZEN 標準フォーマットに従い、単一の unknown カテゴリ を持つ形に統一
    • Partial Evaluation は 別エンドポイント として公開
    • レスポンスを SQL / GraphQL 等のターゲット系フィルタへ変換するための 「プロファイル」 を仕様レイヤとして規定
    • ベンダー固有関数を許す 拡張機構 を仕様レベルで承認
  • Action Search Profile（David Hyland）: 「アクションは通常フラットで階層を持たないが、full access のように read / write を包含するケースは想定される」。「context カテゴリを Search に含めるか、それとも action カテゴリ自体を除去するか」が論点として残された
  • Interop 進捗: 2 つの確定シナリオ（デモ用と Gateway 用）、3 セッション × 合計 10〜15 スロット、参加者約 8 社で進行中。新規追加候補として Okta OpenFGA と AWS AVP。Gateway 実装は AWS API Gateway、Kong、Zuplo、Envoy が中心
  • OIDF Security Review: OpenID Foundation が「標準化テスト要件」の議論を開始したことを共有。George Fletcher が FAPI の attacker model を参照しつつ、「リクエストの不変性は仕様で保証されているか」「PDP / PEP 間の信頼確立メカニズムをどう扱うか」を核心質問として提示。David Brossard が Gail Hodges（OIDF Executive Director）にフォローアップする宿題
  • Action Items: David Brossard が Axiomatics フィードバックを ML に公開、David Brossard が Partial Evaluation の正式仕様起草、翌日 2 月 19 日に Partial Evaluation 専用ミーティング設定

2025 年 2 月 19 日（水）臨時 Partial Evaluation ブレイクアウト ​

David Brossard の招集により、America/Vancouver 時刻の正午〜12:50 に Google Meet で開催（ML #285）。同日午前に Brossard が Partial Evaluation feedback from Axiomatics（HackMD: @oidf-wg-authzen/partial-evaluation-axio-feedback）を ML に投稿しており、このフィードバックを題材にレビューが行われた。

2025 年 2 月 25 日（火）定例コール ​

  • アジェンダ: Agenda for Feb 25, 2025（Gerry Gebel）。(1) Partial Evaluation アップデート、(2) Gartner Interop アップデートと payload 変更、(3) David Hyland の Action Search プロポーザル（既にメインドキュメントにマージ済）、(4) 仕様公開スケジュール
  • 議事録: Meeting notes for Feb 25, 2025（Gerry Gebel）
  • 参加者（11 名）: Gerry Gebel、Michiel Trimpe、Vladi Berger、Omri Gazitt、Phillip Messerschmidt、Eve Maler、Ahmet Soormally、Roland Baum、David Hyland、Victor Lu、Elie Azerad
  • Gartner Interop アップデート: 「6 PDPs と 5 API Gateway が実装完了」 に到達。SGNL が conformance 達成。Okta と AWS が新規参加。WSO2 と Layer7 は Gateway 実装を継続中。本番前に運営詳細のためのプレコールを設定
  • Action Search API（PR #221 マージ後の調整）:
    • レスポンスプロパティを必須から optional に変更
    • エンドポイント名を /access/v1/search/action、/access/v1/search/resource、/access/v1/search/subject に統一
    • エンドポイント間の context 取り扱いの一貫性に対処
    • 統計データのモーダルレスポンス能力について GitHub issue を起票することを決定（後の Issue #229、#230 として umbrellaassociates により 2 月 26 日に起票）
    • David Hyland が上記をドキュメントに反映する
  • 仕様公開戦略: Search を Draft 03、Partial Evaluation を Draft 04 として個別に公開。最終 1.0 では Evaluation / Evaluations / Search / Partial Evaluation / Discovery を統合

4. メーリングリストの主要スレッド ​

openid-specs-authzen ML（2025 年 2 月アーカイブ）の 2 月総投稿数は 12 件と少なめ。Gartner London demo の運営連絡が本格化する 3 月（27 件）に比べると静かだが、技術論点に関わるスレッドは以下が中心となった。

4.1 Notes from today's AuthZEN call — 2025-02-04 開始（Gerry Gebel、単発） ​

2 月 4 日コールの議事録。Search API の Action 追加を David Hyland に依頼した最初の記録。同コールで Envoy / AWS API Gateway の 2 系統のデモが披露され、Gartner London の 3 スロット × 最大 15 ベンダー枠が確定したことが共有された。George Fletcher の「トークン能力過剰積載問題」と Tokenetes / Zanzibar 比較が技術議論として記録されている。

4.2 Breakout meeting on partial evaluation と Tomorrow's impromptu meeting for partial evaluation — 2025-02-12 / 2025-02-18（David Brossard） ​

定例コール（火曜）に挟まれた 水曜の正午 PT に Partial Evaluation 専用ブレイクアウト を David Brossard が 2 週連続で招集。AuthZEN WG 内に「定例だけでは時間が足りない論点」が形成された最初の例であり、Partial Evaluation が当月のトップ議題であったことを物語る。

4.3 Notes from today's call (Feb 18) — 2025-02-19 開始（David Brossard、単発） ​

2 月 18 日コールの議事録。本月で最も濃密な技術議論ログを含む:

  • Partial Evaluation の 4 大設計原則（unknown カテゴリ、別エンドポイント、プロファイル分離、拡張機構）の確定
  • Action Search で「context カテゴリの扱い」と「action カテゴリ自体を残すか」という根本的問いが提起
  • OIDF Security Review において George Fletcher が FAPI attacker model を参照軸として持ち込み、「リクエストの不変性」と「PDP/PEP 間信頼確立」を核心質問として整理

4.4 Partial Evaluation feedback from Axiomatics — 2025-02-19（David Brossard、単発） ​

Axiomatics チーム（ALFA / XACML 系の老舗 PDP ベンダー）からの Partial Evaluation 仕様への詳細フィードバック。本文は ML に直接含まれず、HackMD @oidf-wg-authzen/partial-evaluation-axio-feedback に集約された形での共有。同日午後の臨時ブレイクアウトのレビュー材料として使われた。Axiomatics の XACML 実装経験からの示唆を AuthZEN に取り込む試みであり、「数十年の PDP 実装知見を新仕様にどう接続するか」という構造的論点が背景にある。

4.5 Meeting notes for Feb 25, 2025 — 2025-02-25（Gerry Gebel、単発） ​

2 月 25 日コールの議事録。Search API エンドポイントの命名規則を /access/v1/search/{action,resource,subject} に統一する という後の Draft 03 PR #253 の方針を確定した記録。同時に「Search を Draft 03、Partial Evaluation を Draft 04 として個別公開」というドラフト分割戦略も合意された。Search API の context 一貫性問題と統計メタデータの扱いを GitHub Issue として切り出す方針も決定され、これが Issue #229 / #230（umbrellaassociates、2 月 25〜26 日起票）に直結している。

5. GitHub 上の議論 ​

openid/authzen リポジトリの 2025 年 2 月活動: 新規 issue 3 件（#229、#230、#231）、マージされた PR 約 25 件（dependabot 系を含む。PR 番号レンジは概ね #205〜#235）。前月 1 月までに固められた Search API の改良と、Gateway / PDP の interop website 組み込みが活動の大半を占める。

5.1 openid/authzen#221 — Added Action Search（dphhyland、2 月 25 日マージ） ​

  • 作成者: David Hyland（Ping Identity）
  • マージ: 2025 年 2 月 25 日（ogazitt approve）
  • 内容: api/authorization-api-1_0.md への Action Search 節追加。Subject Search / Resource Search に続く 3 つ目の検索カテゴリを仕様化
  • レビュー: ogazitt が当初 approve したが直後に「GH Actions による spec ビルドが失敗している。Markdown のバグが数個ある」と changes-requested。後続コミットで修正
  • 意義: 2 月 25 日コールでの「/access/v1/search/{action,resource,subject} 統一」議論を促した直接的なトリガー。Action Search のセマンティクス（フラット vs 階層、context の必要性、action 自体の必要性）という根本的議論を呼び起こした

5.2 openid/authzen#231 → PR #233 — Merge semantics for evaluations API is underspecified（mtrimpe、2 月 26 日 起票・マージ） ​

  • 作成者: Michiel Trimpe（Strata Identity）
  • 問題提起: Authorization API 仕様 §7.1.1 の「evaluations リクエストにおいて、トップレベル既定値と各 4-tuple 内の値が衝突した場合の解釈」が曖昧。具体的には:
    • Option A: トップレベルの値は、4-tuple が同じキーを指定した時点で オブジェクト全体が置換 される
    • Option B: 4-tuple に存在しないプロパティはトップレベルから プロパティ単位でマージ で継承される
  • 解決: 同日 mtrimpe 自身が PR #233 を起票・マージ。オブジェクト単位の置換（Option A）として明文化
  • 意義: evaluations（バッチ評価）API における基本セマンティクスの曖昧性を、提起者自身が即日修正案として実装した「自己完結型」議論。Strata の実装経験から発見された実用上の重要論点

5.3 Search API メタデータ拡張: #229 と #230（umbrellaassociates、2 月 26 日起票） ​

2 月 25 日コールで「統計メタデータを Search レスポンスで返せるようにする issue を起こす」と合意されたことを受けて起票された 2 本:

  • #229 - search API - add context metadata: 「現状の Search レスポンスは results と pages しか持たない」点を指摘し、追加の context フィールドを提案。具体例として (1) SpiceDB の Zookie に類する state token（時刻ベースの resultset 状態トークン、後続 PDP/PIP リクエストでデータベースキャッシュを活かす）、(2) アプリケーション統計（レコード数等）
  • #230 - search API - statistics metadata?: ページネーション用のレコード総数、クエリ性能メトリクス（DB レスポンス時間等）を statistics または context 属性として返すことを提案
  • 意義: SpiceDB / Zanzibar 系のデザインパターンを AuthZEN Search API に取り込む議論の起点。両 issue は 2025 年 9 月 17 日に同時クローズされ、最終的に Search API の context / metadata 設計に統合される

5.4 Interop website 拡充の PR 群 ​

2 月は Gateway 系・PDP 系の interop 実装が一気に取り込まれた月であった:

  • PR #205 - add api gateway test runner and interop website scenario（ogazitt、2 月 7 日）
  • PR #206 - updated interop website homepage（ogazitt、2 月 7 日）
  • PR #207 - PlainID: Add support for api-gw（vladiber、2 月 12 日）
  • PR #208 - Added the Axiomatics test results and endpoints（davidjbrossard、2 月 13 日）
  • PR #210 - add plainid to api-gateway results page（ogazitt、2 月 12 日）
  • PR #212 - update PDP list for gateways（ogazitt、2 月 14 日）
  • PR #214 - update interop table to include axio links（ogazitt、2 月 15 日）
  • PR #215 - Kong gateway fix patterns（vladiber、2 月 18 日）
  • PR #216 - add kong and zuplo to gateway list（ogazitt、2 月 18 日）
  • PR #217 - feat: Add AuthZEN plugin for Tyk Gateway with PDP integration（asoorm、2 月 21 日）
  • PR #218 - add RSK to gateway PDP list（ogazitt、2 月 22 日）
  • PR #219 - add /gatewaypdps endpoint to backend（ogazitt、2 月 23 日）
  • PR #222 - provided makefile to make it easier to compile plugin（asoorm、2 月 25 日）
  • PR #224 - added zuplo source code and topaz as a gateway authorizer（ogazitt、2 月 25 日）
  • PR #232 - added SGNL to gateway PDP list and results（ogazitt、2 月 26 日）
  • PR #234 - envoy: Support PDP AuthN（alexolivier、2 月 26 日）
  • PR #235 - added hexa to gateway PDPs（ogazitt、2 月 27 日）

特筆すべきは PR #217（Tyk Gateway 用 AuthZEN プラグイン） で、Ahmet Soormally（asoorm、Tyk）が Aserto / Axiomatics / Cerbos / PlainID を初期サポート対象 PDP として実装し、JWT トークンからのユーザ identity 抽出、OpenAPI パス照合によるリソースアクセス判定までを一括投入している。これが翌月 Gartner London demo における Tyk の Gateway 枠登壇の前提となった。

5.5 dependabot 系の依存更新 ​

PR #227 などは dependabot による依存ライブラリ更新（golang.org/x/net 等）。interop アプリケーションのメンテナンスサイクルが安定運用されていることを示す。

6. 関連イベント ​

Gartner IAM Summit London 2025 への準備（3 月 24〜25 日開催予定） ​

2 月の AuthZEN WG の対外活動は、ほぼすべてが 翌 3 月の Gartner IAM Summit London 2025 における AuthZEN Interop デモ準備 に向けられていた。2 月時点の状況:

  • 3 つのスピーキングスロット を確保（2 月 4 日コール時点）
  • 最大 15 ベンダー の interop 枠（同上）
  • 参加意向表明済み（2 月 11 日時点）: Aserto、Axiomatics、Cerbos、PlainID、Okta FGA、Zuplo、SGNL、Curity、Layer7、42Crunch
  • 実装完了到達（2 月 25 日時点）: 6 PDPs + 5 API Gateways、SGNL が conformance 達成、Okta と AWS が新規参加、WSO2 / Layer7 は Gateway 実装継続中

WG メンバーに対しては OpenID Foundation の Web サイト経由での登録が呼びかけられた。

OIDF Security Review プロセスへの巻き込み ​

2 月 18 日コールで David Brossard が「OpenID Foundation が標準化テスト要件の議論を開始した」と共有。AuthZEN は payload format として位置付けられ、George Fletcher による FAPI attacker model 参照を通じて「リクエストの不変性」「PDP/PEP 間信頼」が論点として整理された。David Brossard が Gail Hodges へのフォローアップを担当。この議論は後の 3 月 18 日コールで「AuthZEN は本質的に payload format であり、固有のセキュリティリスクは持たない」という結論として収束する（3 月レポート §3 参照）。

7. 今後の予定（2025 年 2 月末時点の視点） ​

2 月末時点で WG が想定していた次月以降の動き:

  • Search API パス命名規則の統一（/access/v1/search/{action,resource,subject}）を仕様本体に反映する PR を David Hyland が起草（実際には 3 月 11 日マージの PR #253 として実現）
  • Partial Evaluation の正式仕様起草（David Brossard 担当）と、Draft 04 としての公開準備
  • Search を Draft 03 として公開（3 月内に PR #253 経由で本体反映）
  • Gartner IAM London 2025 デモ（3 月 24〜25 日）の最終運営調整。プレコールを設定
  • OIDF Security Review プロセスへの対応継続（David Brossard が Gail Hodges へフォローアップ）
  • Search レスポンスの context / statistics メタデータ（Issue #229、#230）の議論継続
  • OpenAPI 仕様の起草（Michiel Trimpe 担当）
  • Tokenetes パターンを Design Patterns 文書に追加（Alex Babeanu 担当）
  • 新規 PDP / Gateway 実装の authzen-interop.net 追加（Layer7、WSO2、AVP、OpenFGA、PingAuthorize 等が翌月以降流入予定）

8. 参考情報源 ​