idbok

Appearance

OpenID Foundation AuthZEN WG 活動レポート (2026年4月) ​

執筆日: 2026-05-17（2026年4月の活動を遡及してまとめたレポートです）

1. 概要 ​

AuthZEN Working Group（WG）は、アプリケーション内外における認可クエリの標準 API 規格を策定する OpenID Foundation の WG である。PEP（Policy Enforcement Point）と PDP（Policy Decision Point）間の通信プロトコルを、Subject・Action・Resource・Context（SARC）の JSON ベース情報モデルで標準化することを目的とする。

2026年4月は、1月に Authorization API 1.0 が Final Specification として承認された後の「次フェーズ」に向けた議論が、特に MCP（Model Context Protocol）プロファイル＝COAZ の整備に集中した月となった。x-coaz-mapping のシンタックス設計を巡る具体的な技術論（CEL vs JSONPath、文字列リテラルか構造化オブジェクトか）が GitHub 上で活発に展開され、4月14日の WG コール後には MCP プロファイル関連の Issue が一気に 10 本近く追加されている。月末の 4月30日定例コールは IIW 参加と議長都合により中止となり、IIW でのフィードバック持ち帰りが翌週以降に持ち越された。

月次活動の要点：

  • COAZ MCP プロファイルにおける式表現を JSONPath から CEL に置き換える PR #466 がマージ（4月9日）。続いて静的文字列の扱いを巡る論点が噴出
  • 4月14日 WG コール後、MCP プロファイルの未決事項が Issue #481〜#487 として一斉に切り出される。COAZ モデルにおける OAuth スコープ、ユーザ ID 表現、自律エージェント文脈などが論点
  • 4月16日 WG コール後、x-coaz-mapping 構文を「{value: ...} / {expr: ...} のオブジェクト型」に変更する PR #496 がマージ（4月28日）。しかし直後に PR #497 でリバートされ、構文設計の議論が継続
  • IETF WIMSE WG 関係者（Telefónica の Lucia Cabanillas）から Policy-as-Code 共有モデル（draft-cabanillas-nmop-authz-policy-sharing-model）の連携提案
  • 4月30日定例コールは IIW 参加のため中止、IIW にて COAZ ドラフトをプレゼンテーション予定

2. 公開された仕様・ドラフト改訂 ​

2026年4月時点で、Authorization API 1.0 Final Specification（2026年1月承認）が WG の最新確定仕様である。当月内に新たな Final / Implementer's Draft の公式リリースや投票通知（Notice of Vote）は確認できない。

WG の作業は次バージョン（v1.1）系のドラフトと、COAZ（MCP プロファイル）ドラフトに集約されている。COAZ ドラフトは GitHub Actions による自動ビルドが PR #475 で 4月初旬に整備され、PR ベースでの編集サイクルが回り始めた。

なお Obligations 仕様の PR #449（3月11日オープン）について、4月内に新規コミットや公開議論の進展は確認できなかった。WG コールのアジェンダ（4月9日／4月16日）に「obligations proposal」として再掲はされているものの、メーリングリスト上で独立スレッドとして議論された記録は乏しい。

3. ミーティングと議論 ​

AuthZEN WG は毎週木曜にコールを開催している（HackMD @oidf-wg-authzen 配下に議事録が蓄積される）。本稿執筆時点で 4月分の HackMD 議事録ページに直接到達できなかったため、以下は ML 上に Alex Olivier が事前共有したアジェンダと、ML スレッド・GitHub 上の議論から再構成した内容である。

2026年4月9日 WG コール ​

事前アジェンダ（ML 投稿 #559、Alex Olivier）より:

  • MCP プロファイル: PR と ML 提案への最終コメント
  • 実装者向けツーリング: Atul の caep.dev 運用経験からの示唆
  • Obligations 提案 の議論
  • アウトリーチ: OIDF pre-IIW（AlexO、Atul）、EIC の AuthZEN/OIDF ワークショップ（David、AlexO）、Identiverse セッション、Forrester との対話可能性
  • 認定（Certification）プログラム の進捗

コール直後の動きとして、Alex Olivier 主導の PR #466（JSONPath → CEL 置換）が同日中にマージされている。

2026年4月16日 WG コール ​

事前アジェンダ（ML 投稿 #564、Alex Olivier）より:

  • MCP → AuthZEN マッピング の正式提案と未決論点:
    • initialize / ping のような全メッセージに認可が必要か
    • elicitation と sampling のモデル化
    • MCP 仕様の進化への追随方法
  • Obligations 提案 の継続議論
  • 4月9日と同様のアウトリーチ・認定議題

このコール中に Omri Gazitt（@ogazitt）から「COAZ マッピングのスキーマを、evaluation / evaluations 呼び出しに渡すパラメータと同じ形にして、配列から変換するステップを削減してはどうか」という提案が出されたことが Issue #494 のスレッド冒頭に記録されている。同コール後、Atul Tulshibagwale（@tulshi）が COAZ プロファイルへのフィードバックを一気に Issue として登録した（Issue #481〜#487）。

2026年4月23日 WG コール ​

ML には独立した議事録共有メッセージは確認できないが、4月29日付けで Alex Olivier が「30日コールはキャンセル」と通知していること、また PR #496 等の議論時系列から、23日のコールは定常開催されたとみるのが自然である。

2026年4月30日 WG コール（中止） ​

Alex Olivier より「IIW 出席と議長の都合により 4月30日コールはキャンセル。AlexO と Atul は IIW で COAZ ドラフトをプレゼンテーション予定、翌週のコールで IIW でのフィードバックを取り上げる」との通知（ML 投稿 #565）。

4. メーリングリストの主要スレッド ​

openid-specs-authzen ML の 2026年4月アーカイブには全 18 通が投稿された。主なスレッドは以下のとおり。

Policy administration & WIMSE - 2026-04-01 開始（David Brossard） ​

David Brossard が、IETF NMOP/WIMSE 領域で活動する Lucia Cabanillas（Telefónica）からの問い合わせを ML に転送した。Lucia は「動的かつ細粒度な認可」を扱うチームに所属し、Policy-as-Code（REGO、Cedar、ALFA 等）アプローチで認可ポリシーを共有・配布するモデルを以下のリソースで提案している:

  • draft-cabanillas-nmop-authz-policy-sharing-model（IETF I-D）
  • IETF 125 で発表された「distributed authorization policy sharing」スライド

Brossard はこれを AuthZEN と WIMSE WG の連携機会と位置付け、「ワークロード認可のユースケース定義」と「ポリシー共有モデルの探求」を出発点として提案した。AuthZEN 1.0 がランタイムの認可判定 API を扱う一方、WIMSE 側はポリシー配布層を扱っており、両者は補完関係にある旨が示唆されている。

MCP Profile - New proposal - 2026-04-03 開始（Alex Babeanu、返信複数） ​

Alex Babeanu（Indykite）が、COAZ（AuthZEN MCP プロファイル）ドラフトの構成を「ユースケース別 3 セクション」に再編する案を提示した。

  • Section 1: MCP Server の Tool / Resource 自体が PEP となる基本シナリオ。技術マッピングと CEL 実装のみで完結
  • Section 2: MCP クライアント要件。coaz MCP フラグとマッピングオブジェクトを導入し、クライアントが MCP メッセージを構成できるようにする MCP 仕様への拡張
  • Section 3: MCP Gateway シナリオ（現ドラフトのシーケンス図）。「Gateway でのファイングレイン制御は実現可能か」「Gateway がサポートする AuthZEN 仕様の範囲」「マッピング不在時の挙動」「全コンポーネントが coaz-aware の場合の最適化」「層間で認可要求をどう伝達するか」など未解決論点を列挙

Alex は「まず Section 1・2 を simpler easy wins として優先し、複雑な Section 3 は後回しに、少なくとも議論を分けるべき」と主張。トラフィック最適化と MCP コンポーネント間の信頼境界について明確化が必要だと強調した。このスレッドは 4月中で最も長い議論（10 通超の返信）に発展し、後段の Issue 群（#481〜#487 など）の起点となっている。

Feedback from MCP community - 2026-04-14（Atul Tulshibagwale） ​

Atul Tulshibagwale が、MCP コミュニティの Discord「auth-ig」チャネルで COAZ ドラフトを共有し、Twilio の Max Gerber からフィードバックを受け取った旨を報告。受領したフィードバックは GitHub の mcp-profile ラベル付き Issue として整理されていることを通知し、https://github.com/openid/authzen/issues?q=state%3Aopen+label%3A%22mcp-profile%22 を案内した。この通知の前後で Issue #481〜#487 が tulshi によって連続して登録されている。

Updated COAZ proposal - 4月初旬（Alex Olivier 経由） ​

3月から継続している「Updated COAZ proposal」スレッドの 4月分応答。COAZ プロファイルの位置付けと範囲を巡って Alex Babeanu の新提案（前掲）に流れ込んだ。

5. GitHub 上の議論 ​

openid/authzen リポジトリで 2026年4月に作成された Issue は約 11 本、PR は 21 本（うち多くは Dependabot 更新）。MCP プロファイル設計を巡る議論が中心となった。

openid/authzen#466 - Replace JSONPath with CEL in COAZ MCP profile（マージ済） ​

  • 作成者: Alex Olivier
  • マージ: 2026年4月9日（tulshi による承認後）
  • 内容: COAZ MCP プロファイルにおいて、MCP tools/call パラメータを AuthZEN SARC モデルにマッピングする式表現を JSONPath から CEL（Common Expression Language）に置換。CEL 入力変数として params（JSON-RPC リクエスト）と token（デコード済み JWT クレーム）の 2 つを導入し、エラーハンドリングを MCP のプロトコルモデルに沿った 3 区分に再編
  • 議論: baboulebou から「CEL 条件を使ったより複雑な非規範例が欲しい」「Gateway が COAZ 対応でないシナリオはどう扱うか」という設計上の懸念が出された。回答として、x-coaz-mapping は PEP のみが消費する宣言的メタデータであり、評価の重複は発生しないことが確認され、Gateway 非対応のケースは非規範の Security Considerations 節として追記する方針となった。tulshi からは tools/call の完全なコンテキストを例示するよう要請があり、続くコミットで取り込まれた
  • 参加者: alexolivier、tulshi、baboulebou、embesozzi（Martin Besozzi）

openid/authzen#491 → #496 → #497 - x-coaz-mapping の静的文字列構文 ​

x-coaz-mapping で静的文字列を CEL リテラルとして扱う設計（"type": "'customer'" のようにシングルクォートで囲む）の是非を巡る一連のサイクル。

  • Issue #491（2026-04-16、vatsalgupta 起票）: 「クォートを忘れると静的文字列が変数参照として silently 解釈される footgun。JSON Schema や OpenAPI が採用する構造的識別（オブジェクトラッパー）に揃えるべき」と提起。{"value": "customer"} / {"expr": "params.arguments.id"} のような構造化形式を提案
  • PR #496（2026-04-16 オープン、2026-04-28 マージ、alexolivier）: 上記提案を取り込み、Expression Syntax 節を Value Syntax 節にリライト。get_weather / get_customer / copy_object / transfer_funds の 4 例を全面書き換え、生の JSON スカラーはマッピングエラーとして扱う設計に変更。tulshi が承認しマージ
  • PR #497: マージ直後にリバート PR がオープン。コミュニティフィードバックを受けて構文設計を再検討することとなった

このサイクルは、AuthZEN の「実装者にとっての安全性」と「JSON ベース DSL の表現力・簡潔さ」というトレードオフを正面から扱った例として記録される。

tulshi による MCP プロファイル質問群（Issue #481〜#487、2026-04-14） ​

4月14日の WG コール直後、Atul Tulshibagwale（@tulshi）が COAZ MCP プロファイルドラフトに対する未解決質問を Issue として連続登録した。Twilio の Max Gerber からの外部フィードバックを取り込んだ形でもある。主なものを抜粋:

  • #481 - Client usage example の追加要請
  • #482 - 「ユーザの ID はどう表現されるか」（§4.3 で SARC データの一部が access token から来るとされている点について）
  • #483 - 「ユーザプリンシパルを伴わない自律エージェントのユースケース」をどう扱うか。「context は agent の identity を含まなければならない」要件を自律エージェント限定にせず一般化すべきという論点。tagged union を使う polymorphic ツールスキーマ（Block の make_api_request 例）が x-coaz-mapping で十分に表現できるかも併せて問題提起
  • #485 - coaz: true フラグは必須か
  • #486 - 新規フィールドは _meta フィールド配下に置くべき
  • #487 - OAuth スコープはどう機能するか（同一ユーザがクライアント A には read-write、クライアント B には read-only を付与している場合、SARC でどう表現するか、PDP が判定するのか）

openid/authzen#494 - evaluation/evaluations 構文の採用（2026-04-16、tulshi） ​

Omri Gazitt が 4月16日 WG コール中に提案した内容を Atul Tulshibagwale が起票。「COAZ マッピングを、evaluation / evaluations 呼び出しに渡すパラメータの形そのものにすれば、配列を経由した変換が不要になる」というシンプル化提案。mcp-profile ラベル付きで継続議論中。

dependabot 更新群 ​

PR #467〜#474、#476〜#480、#488〜#490 は Dependabot による依存ライブラリ更新（axios、vite、lodash、brace-expansion、follow-redirects 等）。COAZ ビルドツールチェーンが PR #475「added building mcp profile to github actions」で 4月初旬に整備されたことに伴い、サブディレクトリ単位で重複した更新 PR が複数生成されている。

6. 関連イベント ​

Internet Identity Workshop (IIW) - 2026年4月下旬 ​

4月30日定例コールが「IIW/chair availability」の理由でキャンセルされ、Alex Olivier と Atul Tulshibagwale が IIW で COAZ ドラフトをプレゼンテーションする旨が通知された。IIW は通常マウンテンビューの Computer History Museum で年 3 回（春・秋・冬）開催されるアンカンファレンスで、4月開催回は春のセッションに該当する。WG はフォローアップを翌週コール（5月7日想定）で扱う計画とした。

来月以降のイベント準備 ​

4月の WG アジェンダで継続的に取り上げられたアウトリーチ予定:

  • OIDF pre-IIW: AlexO・Atul 出席
  • EIC（European Identity Conference）: David Brossard・Alex Olivier による AuthZEN/OIDF ワークショップ
  • Identiverse 2026: David・Alex Olivier ほかのセッション + ワークショップ
  • Forrester との対話可能性

7. 今後の予定（2026年4月末時点の視点） ​

2026年4月末時点で WG が想定していた直近の動き:

  • IIW フィードバックの取り込み: 5月初旬コールで COAZ ドラフトに対する IIW 参加者からのフィードバックを反映
  • COAZ プロファイルの構文確定: PR #496 のリバート（#497）を受けた x-coaz-mapping 構文の再設計。{value, expr} 構造化案 vs CEL 統一案 vs evaluation/evaluations パススルー案（Issue #494）のトレードオフ整理
  • MCP プロファイル未決 Issue 群の解消: Issue #481〜#487、#492〜#494 の段階的クローズ
  • Obligations 仕様（PR #449）の進展: 3月以降停滞気味だが、WG アジェンダには継続的に再掲
  • EIC（5月開催予定）でのワークショップ準備
  • IETF WIMSE との連携検討: Policy-as-Code 共有モデル（Lucia Cabanillas のドラフト）について、AuthZEN 側のユースケース整理
  • 認定プログラム: 認定レベル・ティアの定義作業継続

8. 参考情報源 ​