idbok

Appearance

OpenID Foundation AuthZEN WG 活動レポート (2025年12月) ​

執筆日: 2026-04-20（遡及執筆）

1. 概要 ​

AuthZEN Working Group (WG) は、Policy Decision Point (PDP) と Policy Enforcement Point (PEP) 間の標準化された認可 API を策定する OpenID Foundation のワーキンググループである。2025年12月は、WG にとって Authorization API 1.0 仕様が最終承認投票フェーズへ移行した歴史的な節目の月となった。

最大のトピックは 60日間のパブリックレビュー期間の完了と投票開始である。12月23日をもって60日間のレビュー期間が終了し、コメントゼロのまま通過した。同日、OIDF 会員による最終承認投票（投票リンク: https://openid.net/foundation/members/polls/394）が開始され、2026年1月6日正午（太平洋時間）まで実施される予定となった。

また、Gartner IAM London イベント（12月初旬）でのメインステージ発表が大きな反響を呼んだ。20件の実装チームによるインターオペラビリティデモを実施し、75〜100名の聴衆が集まった。この成功を受け、2026年に向けたウェビナー開催の議論も始まった。

月末には、WG 創設以来リードしてきた共同議長 Gerry Gebel と Omri Gazitt が 1.0 リリースをもって退任することが発表され、後継共同議長の選出投票が2026年1月8日に予定された。

2. 公開された仕様・ドラフト改訂 ​

Authorization API 1.0 パブリックレビュー完了と投票開始 ​

  • パブリックレビュー期間: 2025年10月中旬〜12月23日（60日間）
  • コメント受領数: 0件（レビュー期間中に意見なし）
  • 投票期間: 2025年12月23日 〜 2026年1月6日正午（太平洋時間）
  • 投票 URL: https://openid.net/foundation/members/polls/394

12月4日の定例コールで David Brossard が「Notice of Vote to Approve Proposed Authorization API 1.0 Final Specification」を ML に投稿（ML メッセージ #000500）。12月23日の投票開始の「It's time to vote」メール（#000506）では、「The vote to ratify the draft specification as standard 1.0 is now open」と全会員に通知された。

Authorization API 1.0 は、PEP が PDP に対して「主体（Subject）がリソース（Resource）に対するアクション（Action）を許可されているか」を問い合わせる REST API を標準化する仕様である。

インターオペラビリティテスト結果の大規模更新 ​

12月中に以下の PR がマージされ、仕様リポジトリのインターオペラビリティドキュメントが大幅に拡充された：

  • PR #408: Curity・Keycloak・PingFed・PingOne を IdP として追加（12月1日マージ）
  • PR #410: EmpowerID を IdP および PDP リストに追加（12月3日マージ）
  • PR #412: Permit.io のインターオペラビリティ結果を新規ドキュメント permit.md として作成（12月5日マージ）
  • PR #413: IndyKite のテストハーネス結果を追加（12月5日マージ）
  • PR #414: Thales を IdP として追加、Permit 結果を修正（12月5日マージ）
  • PR #415: Gluu の URL 更新（12月9日マージ）

これにより、Curity・Keycloak・PingFed・PingOne・EmpowerID・Thales・Permit.io・IndyKite・Gluu など多数の実装による相互接続性の記録が蓄積された。

3. ミーティングと議論 ​

AuthZEN WG の定例コールは毎週火曜日 11:00 太平洋時間に開催されており、12月は少なくとも2回（4日・11日）実施された。

2025年12月4日 定例コール ​

開始時刻を通常より2時間遅らせて開催（ホリデーシーズン配慮のための調整）。

主要議題と決定事項:

  1. IdP インターオペラビリティ参加者確認: Auth0・Curity・Keycloak・Duende・Ping・EmpowerID・Thales がアイデンティティプロバイダーとして参加確認。PDP 側は Cerbos・Topaz・Axiomatics・Apache KIE・SGNL などが参加。
  2. Gartner IAM イベント（12月3〜5日）のロジスティクス確認: メインセッションは火曜日10:30〜11:00。付属のデモドロップインセッションも設定。
  3. 仕様ステータス報告: 60日間レビュー期間は12月23日終了予定。レビュー期間中コメントなし。投票は12月23日〜1月6日実施予定。
  4. Bloomberg が OpenID Foundation に加入し、AuthZEN への直接資金提供を確約したことが発表された。
  5. 認証テストインフラ進捗: Edmund Jay が評価 API コンポーネントから着手した認証テストインフラの開発状況を報告。

議事録は ML メッセージ #000499「Notes from Dec 4th meeting」として配布。

2025年12月11日 定例コール ​

Gartner IAM London イベントの振り返りを中心に議論が行われた。

主要議題と決定事項:

  1. Gartner イベント振り返り:

    • メインステージ発表には「約75〜100名が参加」
    • 20件の実装が開発中または展開済みであることが確認（「Twenty (20) implementations!!」と議事録に記録）
    • 参加者の反応: 「技術的な側面を超えて、セキュリティリーダーにとって重要なことにメッセージをアップレベルする必要がある」という課題認識が共有された
    • インターオペラビリティデモセッションのロジスティクス改善点も議論された

  2. 投票状況: 投票期間中であり、会員への投票呼びかけが行われた。

  3. 共同議長の退任と後継選出: 現共同議長の Omri Gazitt と Gerry Gebel が 1.0 リリース後に退任することが再確認。後継共同議長の投票は2026年1月8日の定例コールで実施予定。

議事録は ML メッセージ #000502「Notes from Dec 11 call」として配布。

4. メーリングリストの主要スレッド ​

Notes from Dec 11 call - 2025年12月11日開始（返信3件） ​

最も活発なスレッドは12月11日のコール議事録への返信スレッドで、2026年に向けたウェビナー開催について議論が展開された。

Gail Hodges（OIDF スタッフ）の提案:

Gartner イベントでの成果（20実装チームによるインターオペラビリティ、60日レビュー完了、1.0 正式化）を受け、セキュリティエグゼクティブ向けのリモートウェビナー開催を提案した。2026年の取り組みとして、OIDF スタッフメンバー Elizabeth Garber と調整し、リーチ拡大のために別の非営利団体との共催も検討するよう推奨した。

David Brossard（Axiomatics）の回答:

「Yes, I think it would be fantastic to build on the momentum and host a webinar.」と熱意をもって賛同。Gartner カンファレンスでの発表資料を再利用することができると述べ、自ら登壇を申し出た。

Gail Hodges の実施ガイダンス:

ウェビナー実施には Elizabeth Garber への申請が必要であること、WG ボランティアおよび各実装チームの参加が必要であることを確認。初期費用は発生しない見込みで、各組織チャンネルでの告知にも活用できる再利用可能なアセットとなると強調した。

論点: ウェビナー対象者をCISO/CIO レベルに設定し、技術詳細より業務的価値に焦点を当てたメッセージングにシフトすることの重要性が共有された。

Notice of Vote to Approve Proposed Authorization API 1.0 Final Specification - 2025年12月4日 ​

David Brossard が WG メンバーへの投票通知を投稿。「We are one step closer to the final specification」と述べ、openid.net で公開された公式投票通知を共有。

It's time to vote - 2025年12月23日 ​

David Brossard が投票開始を告知。会員定足数達成のために早期投票を呼びかけた。

5. GitHub 上の議論 ​

openid/authzen#416 - [Feature Request] Add 'delegation_chain' to Subject for AI Agent and Multi-Actor Scenarios ​

開始日: 2025年12月29日（loveyana 氏による） ステータス: オープン（議論中）

問題提起の内容:

現行の AuthZEN 仕様では Subject オブジェクトに一つの主体しか表現できないため、AI エージェントがユーザーに代わってアクションを実行するシナリオや、サービス間の委任チェーンを表現する方法がない。

提案内容:

Subject オブジェクトにオプションの delegation_chain フィールドを追加する。このフィールドは既存の Subject 構造（type・id・properties）を再利用した順序付き配列として、委任チェーン全体を表現する。

提案ユースケース例：

  • ユーザー → Claude Assistant → MCP Tool という認可チェーン
  • サービス間の委任（サービス A がサービス B を呼び出す場合）
  • マルチエージェントオーケストレーションワークフロー

利点として挙げられた点:

  • オプションフィールドのため後方互換性を維持
  • 人間の関与を追跡してコンプライアンスを確保可能
  • OAuth 2.0 Token Exchange（RFC 8693）の act クレームと整合
  • 委任パス全体のスコープ縮小（scope attenuation）を実現可能

この issue は AI エージェント時代のアクセス制御という観点から注目を集め、WG 内の 2026 年ロードマップ議論との関連も予想される。

インターオペラビリティ PR 群（PR #408〜#415） ​

12月中にマージされた6件の PR はいずれも openid/authzen リポジトリのインターオペラビリティドキュメントに関するもので、Gartner IAM イベントに向けた実装エコシステムの記録整備が加速した。各 PR に対して Gerry Gebel（WG 共同議長）がレビューを担当した。

6. 関連イベント ​

Gartner IAM London（2025年12月3〜5日） ​

AuthZEN WG にとって最大の対外イベント。メインステージで 10:30〜11:00 の発表セッションが行われ、75〜100名が参加した。発表後には付属のインターオペラビリティデモドロップインセッションが実施された。

20チームによる実装のインターオペラビリティが実証され、「AuthZENとは何か」から「どう実装するか」へと参加者の関心が移行していることが確認された。Gartner のアナリストや業界アナリストとの調整について、次回へ向けた改善点も共有された。

OpenID Foundation および AuthZEN WG にとって重要なアウトリーチの場となり、実装コミュニティの成熟を対外的に示す機会となった。

7. 今後の予定 ​

2025年12月末時点で予定・予測されていた動き：

  • 2026年1月6日: Authorization API 1.0 承認投票の締め切り
  • 2026年1月8日: 定例コールにて後継共同議長の選出投票を実施予定
  • 2026年初頭: OIDF ウェビナーの企画・実施（Elizabeth Garber を通じて申請予定）
  • 認定プログラム: Edmund Jay による認証テストインフラ開発継続（評価 API コンポーネントから段階的拡張）
  • AI エージェント対応: Issue #416 の delegation_chain 提案を皮切りに、AI エージェントシナリオへの対応が技術ロードマップに加わる可能性

8. 参考情報源 ​