idbok

Appearance

OpenID Foundation Shared Signals WG 活動レポート (2025年2月) ​

執筆日: 2026-05-18（2025 年 2 月分の遡及執筆）

1. 概要 ​

Shared Signals Working Group（以下 SSF WG、旧称 RISC WG）は、ゼロトラスト・継続的アクセス評価のための非同期セキュリティイベント共有プロトコルを策定する OpenID Foundation のワーキンググループである。共同議長は Atul Tulshibagwale (SGNL) ほか。主要成果物は openid/sharedsignals で管理されている以下 3 仕様である:

  • Shared Signals Framework (SSF): Transmitter / Receiver 間の非同期通信 API 基盤
  • Continuous Access Evaluation Profile (CAEP): ゼロトラストにおけるアクセス状態変化通知プロファイル
  • Risk Incident Sharing and Coordination (RISC) Profile: クレデンシャル詰め込み・アカウント乗っ取り対策プロファイル

2025 年 2 月時点では、SSF / CAEP / RISC の 3 仕様はいずれも Implementer's Draft フェーズ にあり、Final 化（実際には 7 か月後の 2025 年 9 月）はまだ視界に入っていない段階であった。WG はこの月、「v1Final へ向けた仕様確定作業の序盤」に位置し、(1) v1Final ラベル付き Issue の取捨選択、(2) 3 月後半に控える Gartner IAM Summit London (3/24-25) での CAEP / SSF 相互運用デモに向けた Interop kick-off の立ち上げ、(3) Conformance テスト基盤の Staging 環境構築、の 3 つを並行して進めていた。

定例 WG コールはこの時点では 火曜日に隔週開催 されており、2 月は 2/4・2/11・2/18・2/25 の 4 回すべて開催 された（毎週開催への切替は翌 3 月から）。これに加えて、Gartner IAM Summit London を見据えた Interop coordination call（木曜 8 AM PT） が 2/6 から新規に立ち上がり、2/13 にも開催されたことが特徴的である。Interop call は Atul の 2/4 アナウンスを起点として 2 月中に少なくとも 2 回開催され、Conformance テストの結果共有と Gartner デモの構成検討が中心議題となった。

月内の主要議題:

  • PR #231（CAEP risk-level-change イベント）の 2/11 マージと、それに伴う Issue #200 のクローズ
  • PR #225（well-known への events_supported 追加）の 2/11 FragLegs 承認、ただし「v1 範囲外として v1Final 後への先送り」方針の合意
  • PR #233（Section 10 の大規模リファクタ）の 2/12 起票と、Apoorva Deshpande レビューを受けた event_data 切り出し
  • Conformance テスト Staging 環境（staging.certification.openid.net）の公開と、Stream Configuration aud の意味論を巡る議論
  • Gartner IAM Summit London 向け Interop coordination call の立ち上げ（2/6 kick-off、6 社程度の参加企業）
  • Issue #236（Mark Haine の自動仕様整合性チェックツール導入）の起票（2/18, tulshi）
  • Michael Jones 経由の他 WG（AB/Connect WG）からの OpenID Provider Commands 寄贈レビュー依頼の受領

openid-specs-risc ML の 2 月の投稿数は週次インデックス合計で約 25 通であるが、その大半は GitHub bot による issue / PR コメント通知である。人手による技術投稿は WG コール議事録 4 本（2/4・2/11・2/18・2/25）、Interop call 議事録 2 本（2/6・2/13）、Mike Jones のクロス WG レビュー依頼 1 本、Shared Signals 仕様一覧の openid.net 掲載漏れ指摘とその応答 2 本 に限られ、実質的な技術議論はすべて GitHub の PR / Issue と HackMD 議事録上で行われていた。

2. 公開された仕様・ドラフト改訂 ​

2025 年 2 月中に Final 仕様の新規公開、Implementer's Draft 投票通知、パブリックレビュー開始通知のいずれも確認できなかった。WG はこの月、v1Final ドラフトに向けて、v1Final ラベル付き Issue を仕分けしていく工程の入り口に立っていた。

2 月にマージされた主要 PR は以下:

PRタイトルauthorマージ日概要
#231New CAEP event - Risk level change eventappsdesh2/11CAEP に新規イベント risk-level-change を追加（current_level 必須・previous_level 任意）。先行 PR #205 を引き継ぐ形で起票され、ips クレームは PR から外して Issue #201（IP アドレス format 化）として別管理
#232Update build-everything.ymltulshi2/12GitHub Actions ビルド環境から Ruby が外れた件への対応。Ruby バージョン指定の修正と CAEP のビルドエラー解消、SSF Profile テキスト参照の復旧
#234updated version of upload-pages-artifacttulshi2/13upload-pages-artifact Action のバージョン更新
#235Fix build 3tulshi2/14upload-pages-artifact および deploy-pages のバージョン更新（FragLegs が「one liner」と評した最小修正）

2 月に 新規起票された PR で月内にマージに至らなかったものは以下:

PRタイトルauthor起票2 月末時点
#233Refactor section 10tulshi2/12open 継続。レビュー中（実マージは 3/5）。Apoorva の指摘を受けて event_data 切り出しが行われた
#237IP Addresses as a formatappsdesh2/25open 継続（実マージは 3/4）。PR #206 を引き継ぐ形で起票、命名（ips vs ip-addresses）の議論中

PR #225（events_supported を well-known に追加、beyond-james-slocum 起票、2025-01-23）は 2/11 に FragLegs が承認し、同日 tulshi が v1Final ラベルを除去した。これは、2/11 のコールで「当機能は v1 範囲外として v1Final 後に再検討する」方針が合意されたためで、PR 自体は open のまま継続（実マージは 3/3、しかしその翌日 3/4 のコールでリバート方針が再確認され、PR #239 のリバート PR へと繋がる経緯は翌月レポートで述べた通り）。

PR #231 のマージにより、CAEP 仕様に「リスクレベル変化」を表現する標準イベントが初めて追加された。これは CAEP の表現力を一段引き上げる変更で、後の Gartner IAM Summit London 相互運用デモでも「risk level changed」イベントが対応必須項目の 1 つとして組み込まれることになる（Program Rules に明記）。Issue #200（appsdesh, 2024-08-30 起票）が同 PR で同時にクローズされた。

3. ミーティングと議論 ​

Shared Signals WG は 2 月時点で 火曜 1pm-2pm EST に隔週開催（実態としては 2 月は毎週開催）の定例 WG コールと、Gartner IAM Summit London 向けの Interop coordination call（木曜 8 AM PT） の 2 系統で活動していた。2025 年 2 月の開催状況は以下の通り:

日付種別状態
2025-02-04 (火)定例 WG開催。8 名参加
2025-02-06 (木)Interop kick-off開催（Gartner IAM Summit London 向け立ち上げ）
2025-02-11 (火)定例 WG開催。10 名参加
2025-02-13 (木)Interop開催。6 社程度が参加表明
2025-02-18 (火)定例 WG開催。7 名参加
2025-02-25 (火)定例 WG開催。6 名参加

3.1 2025-02-04 定例 WG コール ​

参加者は Atul Tulshibagwale (SGNL)、Thomas Darimont (OIDF)、Mike Kiser (SailPoint)、Stan Bounev (VeriClouds)、Martin Gallo (Individual)、Shayne Miel (Cisco)、Aaron Parecki (Okta)、Jen Schreiber (Workday) の 8 名（議事録 HackMD 2025-02-04 および ML Call notes より）。主要議題は (1) v1Final に含める Issue の取捨選択、(2) Conformance テスト整備、(3) Gartner IAM Summit London 向け Interop イベント立ち上げ の 3 点であった。

主要議論:

  • 議論のあり方: 「仕様への意見・提案は GitHub Issue または PR の中で行う」「ML やコールではなく GitHub に書き込む」という運営原則が再確認された。これは以後の WG 運営全体を貫く基本方針となる。
  • 後方互換性: Shayne Miel が「これまで未定義だった挙動（例: エラーコード）に新たな MUST 文言を入れることは破壊的変更にあたるのか」を問題提起。コールでは「エラーコードのような曖昧領域に明確な MUST を入れることは『仕様の明確化』として許容される」「ただし将来の進化を阻害しないよう注意が必要」という方向で議論された。
  • Deprecation メカニズム: 「v1 で導入された機能を将来 1.1 等のマイナー改訂で deprecate できる枠組みを作っておくべきか」という議論。具体的方針までは固まらず、継続検討事項として残された。
  • Conformance テスト整備: Thomas Darimont が以下を報告:
    • 直近のワークショップで判明した問題は週末までにロールアウト予定
    • 新規 Staging 環境 staging.certification.openid.net を公開（Google または GitLab 認証）
    • Stream Configuration の aud 値の決定主体（Transmitter / Receiver どちら）が未整理。Shayne は Receiver 側が aud を決められる設計だとセキュリティ上の懸念があると指摘
    • Conformance テストは両方の実装パターン（Transmitter 主導 / Receiver 主導）に対応できるよう調整の余地あり
    • Thomas 自身が Keycloak への SSF Receiver 実装を進めており、Receiver 側要件の理解を深める意図と説明
  • Gartner IAM Summit London 向け Interop: Atul が「3/24-25 の Gartner IAM Summit London で SSF / CAEP の相互運用デモを実施。木曜 8 AM PT に Interop coordination call を新設」と告知。Program Rules は openid.net に公開済み（Program Rules: 2025 CAEP Interop at Gartner Summit London）。

3.2 2025-02-06 Interop kick-off コール ​

Atul は Notes from the interop kick-off call（2025-02-06 23:20 UTC）でキックオフ内容を ML に共有した。参加企業は SGNL、Relock、OIDF、Omnissa、SailPoint、Jamf の 6 社。

主要決定事項:

  • Push delivery の必須化: 「Push 配信は MUST。クラウド上でテスト可能にする必要がある」
  • Update 機能の除外: テスト範囲から update 系（pause stream を含む）をすべて除外する方向で合意。Gartner デモを成立させるための最小スコープ設計
  • メタデータ発見の認証要否: 「.well-known のセキュリティ考慮事項は書き込みに対する保護しか述べていない」という指摘が出され、メタデータ発見エンドポイントへの認証は 必須ではない（任意） とする方向性
  • Interop test log フォーマット: Atul が pairwise conformance test の結果共有のための ログフォーマットを策定することを引き受け

Interop call の詳細議事録は OIDF 共有 Google Drive 上に置かれ、参加者間で共有された。

3.3 2025-02-11 定例 WG コール ​

参加者は Atul Tulshibagwale (SGNL)、Yair Sarig (Omnissa)、Thomas Darimont (OIDF)、Shayne Miel (Cisco)、Colton Chojnacki (Beyond Identity)、James Slocum (Beyond Identity)、Martin Gallo (Individual)、Tushar Raibhandare (Google)、Brian Soby (AppOmni)、Apoorva Deshpande (Okta) の 10 名（議事録 HackMD 2025-02-11 および ML call notes より）。主要議題は (1) ビルド環境の Ruby 欠落問題、(2) PR #231 のマージ、(3) Stream ID 文字制約の v1Final 化、(4) events_supported メタデータの扱い の 4 点であった。

主要議論:

  • ビルド環境: GitHub Actions の Ubuntu イメージから Ruby がデフォルトで外れたことで仕様ビルドが失敗するように。tulshi が PR #232 を起票して対応中

  • PR #231 (Risk level change イベント): 当該コール中にマージへ。CAEP に risk-level-change イベントが追加された。Issue #200 を同時クローズ

  • Stream ID 文字セット (Issue #229): tulshi が v1Final ラベルを付与。Shayne Miel は「後方互換性を保つため、文言は『RECOMMENDED』とすべき」と提案。実装が破壊的変更を被らないよう、強い MUST ではなく RECOMMENDED で文字制約を導入する方向性が示された（最終的に PR #242 として 3/28 マージ）

  • events_supported メタデータ (PR #225): ここが 2 月最大の論点。コールでは以下のような対立軸が議論された:

    • 賛成派: Receiver が headless で discovery を成立させるために必要。実装側の利便性向上
    • 慎重派: 「機能の任意性 (more optionality) が増えると相互運用性は損なわれる (more incompatibility)」「メタデータが本当に必要なユースケースを満たしているのか、それとも人為的な要求なのか」という根本的疑問

    最終的に 「v1Final リリース後まで議論を先送り」 で合意。tulshi が同日 PR #225 から v1Final ラベルを除去した。James Slocum が PR の文言に 「deprecation 言語を追加する」「Transmitter は metadata に列挙していないイベントも追加でサポートしてよい」 という旨を盛り込むアクションを引き受けた。

    「機能の任意性が増えるほど相互運用性が損なわれる」（議事録 2025-02-11 より要約）

  • Stream TTL: 関連 PR の作業が継続中であることが報告された

3.4 2025-02-13 Interop コール ​

Atul は Notes from the interop call on 2/13（2025-02-13 16:33 UTC）で内容を ML に共有した。

主要内容:

  • Conformance テスト実施状況: Mike Kiser (SailPoint) がテスト完了。Jamf と Beyond Identity も Thomas との共同で問題を解消しテストを実行。追加で 1 社がテスト完了の報告
  • 技術的課題: ルートドメイン側で TLS 1.1 を許容する設定との衝突が判明。Thomas は問題を認識済み、Jamf 側で回避策を準備中
  • Interop イベント構成: 参加表明は約 6 社。発表構成として:
    • CAEP / SSF が可能にする実ビジネス上の成果をデモで示す
    • 標準の概要を来場者向けに明確に説明する
    • ベンダ個別の話に入る前に 共通テーブル を設置して基礎情報を提供する案
    • Gareth Narinesingh がガイダンス提供役として割り当てられ、タブレットでの提示や持ち帰り資料の準備を担当

OIDF Slack へのアクセスは Mike Leszcz 経由で提供される旨が記録された。

3.5 2025-02-18 定例 WG コール ​

参加者は SGNL、Beyond Identity、OIDF、Okta などからの 7 名（議事録 HackMD 2025-02-18 および ML Call notes より）。主要議題は (1) PR #233 (Section 10 リファクタ) のレビュー、(2) Conformance テストへの社外フィードバック収集、(3) Interop 参加企業の追加、(4) Program Rules の HTML 化、(5) Mark Haine の自動仕様整合性チェックツール の 5 点。

主要議論:

  • PR #233 (Section 10 リファクタ): tulshi がレビューを受けて整理中。「規範的記述の追加なし、構造のみ変更」というスタンスが確認された。event_data の扱いは後続 PR に切り出す方針（Apoorva の提案）
  • Conformance テストへのフィードバック: Gail Hodges が certification@oidf.org への意見・提案投稿 を呼びかけ。「コミュニティが Interop に関与できる最も入りやすい入口」として位置付けられた
  • Interop 参加企業の追加: 当週新たに Thales と IBM が Interop イニシアチブに参画。SGNL / Relock / OIDF / Omnissa / SailPoint / Jamf に加えて、テスト実施企業の幅が広がった
  • Program Rules の HTML 化: 現在 Google Drive 上で共有されている Interop の Program Rules を openid.net 上の HTML ページとして公開 することが議論された（実際には Program Rules: 2025 CAEP Interop at Gartner Summit London として公開済みだが、編集の継続性とアクセス性の観点で再整備の方針）
  • Mark Haine の自動仕様整合性チェックツール: Gail Hodges が Mark Haine 作成の 自動仕様整合性チェックツール を紹介。「章構成・ドラフト番号などを自動で検証」する内容で、これまで Mike Jones が手作業で行ってきた工程を自動化できるツール。WG での導入を tulshi が引き受け、後に Issue #236 として登録（次節）

3.6 2025-02-25 定例 WG コール ​

参加者は Atul Tulshibagwale (SGNL)、Sean O'Dell (Disney)、Yair Sarig (Omnissa)、James Slocum (Beyond Identity)、Jay Leslie (Easy Dynamics)、Apoorva Deshpande (Okta) の 6 名（議事録 HackMD 2025-02-25 および ML Call notes より）。短いコールで議題は (1) PR #206（IP Address）の未マージ理由、(2) PR #233 の進捗の 2 点に絞られた。

主要議論:

  • PR #206 (IP Address): tulshi が「Tim からのオープンコメントが残っている」と説明。実際には PR #206 は最終的にクローズされ、appsdesh が新規 PR #237 を 2/25 同日に起票する形で対応が引き継がれた
  • PR #233 (Section 10): Apoorva が event_data フィールドの扱いを質問。tulshi は「本 PR がマージされた後に別 PR として追加する」と回答。リファクタ専念の原則を維持

このコールは 2 月最後の WG コールであり、後の 3/4 コール（参加 9 名）への伏線となる。James Slocum、Apoorva Deshpande が連続して定例コールに参加するようになるのは、まさにこの 2 月の終盤からである。

4. メーリングリストの主要スレッド ​

openid-specs-risc ML のアーカイブは週次インデックス形式で提供されている。2025 年 2 月の状況:

アーカイブ週投稿数主な内容
Week-of-Mon-2025020382/4 WG コール議事録、2/6 Interop kick-off 議事録、Issue #214/#224/#207/#230 への GitHub コメント転送
Week-of-Mon-2025021092/11 WG コール議事録、2/13 Interop コール議事録、Mike Jones の OpenID Provider Commands レビュー依頼、Issue #200 クローズ通知
Week-of-Mon-2025021752/18 WG コール議事録、Issue #236 新規起票通知、Shared Signals 仕様一覧の openid.net 掲載漏れ指摘
Week-of-Mon-2025022432/25 WG コール議事録、Issue #206/#238 への GitHub コメント転送

人手による技術投稿は WG コール議事録 4 本 + Interop コール議事録 2 本 + Mike Jones のクロス WG レビュー依頼 1 本 + Shared Signals 仕様一覧の openid.net 掲載漏れ指摘とその応答 2 本 の計 9 本に限られ、それ以外はすべて GitHub bot による issue / PR コメントの転送である。2 月の ML は 「コール議事録の共有」と「他 WG / OIDF 公式ページとの連携」 が中核を占めた。

4.1 Call notes (2025-02-04) - Atul Tulshibagwale, 2025-02-04 開始 ​

2/4 WG コール直後の議事録共有。v1Final に向けた Issue 取捨選択の方針、後方互換性議論、Conformance テスト Staging 環境の公開、Gartner IAM Summit London 向け Interop コール設置がまとめられている。「議論は GitHub の Issue / PR で行う」原則 がこの投稿で広く周知された。

4.2 Notes from the interop kick-off call - Atul Tulshibagwale, 2025-02-06 開始 ​

Gartner IAM Summit London 向け Interop 立ち上げ会の議事録。Push 配信の必須化、update 系のテスト範囲除外、メタデータ発見の認証は任意 という Interop デモの基本構成方針が固まった重要投稿。Interop test log フォーマットの策定を Atul が引き受けた点は、後の Conformance プログラム運営の出発点となった。

4.3 call notes (2025-02-11) - Atul Tulshibagwale, 2025-02-11 開始 ​

2/11 WG コール直後の議事録共有。PR #231 のマージ、events_supported の v1Final 後送り合意、Stream ID 文字制約の v1Final ラベル付与、James Slocum の PR #225 への修正コミットメントがまとめられている。「機能の任意性が増えると相互運用性が損なわれる」 という Shayne Miel の指摘は、以後の WG 設計議論で繰り返し参照される。

4.4 Notes from the interop call on 2/13 - Atul Tulshibagwale, 2025-02-13 開始 ​

2/13 Interop コール議事録。Conformance テスト実施企業の追加（SailPoint, Jamf, Beyond Identity）、TLS 1.1 関連の技術的課題、Gartner デモの構成戦略（ビジネス成果ベースのデモ + 共通テーブル + Gareth Narinesingh のガイダンス役）が要約されている。

4.5 Requesting Shared Signals reviews of OpenID Provider Commands contribution - Michael Jones, 2025-02 開始 ​

AB/Connect WG 議長としての Mike Jones から、SSF WG に対して Dick Hardt と Karl McGuiness の OpenID Provider Commands 寄贈 のレビュー依頼。「OpenID Connect 参加者間のバックチャネルでコマンドを送る」仕様であり、Shared Signals でバックチャネル経由でシグナルを送る発想と関連が深いことから、SSF WG のレビュー知見が求められた。レビューは openid-specs-ab ML へ 1 週間以内に送ることが求められ、AB/Connect 側では 2/13 の初回コール議論を経て次ステップを 1 週間後に検討する予定とされた。WG 間連携の事例として記録された。

4.6 Call notes (2025-02-18) - Atul Tulshibagwale, 2025-02-18 開始 ​

2/18 WG コール議事録。PR #233 のレビュー進捗、Conformance テストへのコミュニティ意見募集、Thales / IBM の Interop 参画、Program Rules の HTML 化、Mark Haine の自動仕様整合性チェックツール導入計画が要約されている。

4.7 The Shared Signals specs are missing from https://openid.net/wg/connect/specifications/ - Michael Jones, 2025-02-19 開始 ​

Mike Jones による openid.net 公式ページの整備指摘。OpenID Connect の specifications ページに Shared Signals 仕様（SSF, CAEP, RISC）が掲載されていない問題、および Shared Signals 専用ページ openid.net/wg/sharedsignals/specifications/ を 他 WG の specifications ページと同じ構造 に揃える提案。CAEP 1.0 のリンクを ID2 ドラフトから最終仕様版に切り替え、ドラフト版は別途リンクを設ける（RISC Profile 1.0 と同じ並び）という具体的指示も含まれた。

Atul は Re: ... で「Mike ありがとう。Elizabeth Garber、対応をお願いできるか」と OIDF 事務局へエスカレートした。実際の developers ページへの追加は 2/19 時点で完了し、Shared Signals 専用 specifications ページの整備が以後の事務 TODO として残った。

4.8 Call notes (2025-02-25) - Atul Tulshibagwale, 2025-02-25 開始 ​

2/25 WG コール議事録。PR #206（IP Address）の Tim 由来の未解決コメント、PR #233 の event_data 切り出し方針が要約されている。短い議事録だが、3 月以降の PR #237 起票（appsdesh）と PR #233 の 3/5 マージへの伏線となる重要な記録。

5. GitHub 上の議論 ​

openid/sharedsignals リポジトリの 2025 年 2 月の活動:

  • Issue 新規起票: 1 件（#236）
  • PR 新規起票: 6 件（#231, #232, #233, #234, #235, #237）
  • PR マージ: 4 件（#231, #232, #234, #235）
  • Issue クローズ: #200（PR #231 経由）

2 月は 「Implementer's Draft 上の小〜中粒度の修正を積み重ねる」「Interop / Conformance 整備のために CI 周りを整える」「v1Final ラベル付き Issue の意味を実地で決めていく」 という 3 つの作業ベクトルが同時並行する月であった。

5.1 openid/sharedsignals#236 — Run Mark Haine's automated spec consistency tool（新規起票） ​

  • author: tulshi (Atul Tulshibagwale, SGNL)
  • 起票: 2025-02-18
  • 2 月末時点: open（v1Final ラベル）
  • 最終ステータス: クローズ（2025-11-17）

2/18 WG コール（§3.5）で Gail Hodges が紹介した Mark Haine 作成の自動仕様整合性チェックツール を Shared Signals 仕様にも適用するためのトラッキング Issue。本文に詳細記述はなく、「章構成・ドラフト番号・基本的な体裁を自動検証する」というツールの意図のみが文脈として残された。v1Final ラベル付きで、Final 化前に必ず通すべきプロセスとして位置付けられた。

これは「Mike Jones がこれまで手作業で行ってきた仕様体裁チェックを自動化することで、v1Final 化のレビューサイクルを短縮する」という、運営面でも重要な施策である。

5.2 openid/sharedsignals#231 — New CAEP event - Risk level change event ​

  • author: appsdesh (Apoorva Deshpande, Okta)
  • 起票: 2025-02-11（PR #205 の引き継ぎ）
  • マージ: 2025-02-11

CAEP に risk-level-change イベントを追加する PR。current_level（必須、LOW/MEDIUM/HIGH）と previous_level（任意）を持つ。先行 PR #205 がブランチ・GitHub 権限の問題でマージ困難となったため、本 PR が引き継いだ。

主要論点（PR #205 から継続）:

  • 規範性の懸念: 「Risk level change のような高レベル抽象イベントを標準化すると、実装者が他の細かい CAEP イベント（session-revoked / credentials-change 等）を実装せず、risk-level-change 1 つで済ませてしまうリスクがある」（appbugs の懸念）
  • 柔軟性の擁護: appsdesh「Receiver は current_level=HIGH を受け取って 何もしない選択もできる。本イベントは規範的にアクションを強制するものではない」
  • スコープの明確化: 「リスク値そのものの計算ロジックは本仕様の範囲外」（appsdesh）

FragLegs・tulshi の承認を経て 2/11 マージ。Issue #200 を同時クローズ。ips クレームは本 PR から切り出し、Issue #201（後の PR #237）として別管理される設計判断も合わせて確認された。

5.3 openid/sharedsignals#233 — Refactor section 10 ​

  • author: tulshi (Atul Tulshibagwale, SGNL)
  • 起票: 2025-02-12
  • 2 月末時点: open（実マージは 2025-03-05）

Section 10（Profiles）の大規模リファクタ。コンテンツを Events セクションと新設の Event Delivery セクションに分割する構造変更で、規範的記述の追加は行わない。tulshi 自身が「新しい規範文言は追加していない」と説明。

2 月のレビュー経緯:

  • 2/13: Apoorva Deshpande が event_data 関連の取り扱いを質問。tulshi は「本 PR は厳密にリファクタリングに留め、event_data は別 PR で扱う」と整理して、対応コミットを削除
  • 2/14 以降: Jen Schreiber が承認方向のレビュー
  • 2/25 コール（§3.6）: tulshi が「本 PR マージ後に event_data を別 PR で追加する」と確認

3 月以降に FragLegs から「関連 Issue #223 / #202 / #228 も本 PR で取り込んでほしい」というレビュー要請が入り、最終的にこれら Issue を同時クローズする形で 3/5 マージへ繋がる。2 月時点では「リファクタ専念」の方針が貫かれたことが特徴である。

5.4 openid/sharedsignals#225 — Issue-224: events_supported field added to .well-known/ssf-configuration ​

  • author: beyond-james-slocum
  • 起票: 2025-01-23
  • 2 月の動き: 2/11 に FragLegs が承認、同日 tulshi が v1Final ラベル除去
  • 最終マージ: 2025-03-03（その後 PR #239 でリバート議論へ）

well-known エンドポイントに Transmitter がサポートするイベント一覧を広告する events_supported フィールドを追加する PR。2/11 コール（§3.3）で「v1 範囲外として v1Final 後に再検討する」方針が合意されたため、ラベルから v1Final が除去された。

このときの議論軸は本レポートでも繰り返し触れた通り:

  • 賛成（headless discovery 実現派）: Receiver が動的に Transmitter の能力を発見できる仕組みは、SaaS 連携や ZTA 統制のために重要
  • 慎重（相互運用性派）: 任意機能が増えるほど Receiver 側が「Transmitter A は対応するが B は対応しない」という条件分岐を増やす必要が出る。仕様の任意性は相互運用性のコスト

James Slocum が引き受けたアクションは:

  • PR 文言に deprecation 言語を追加（v1 では未採用のまま、v1Final 後に再評価しても整合が取れるよう備える）
  • 「Transmitter は metadata に列挙していないイベントも追加でサポートしてよい」旨を明記し、後方互換性の余地を残す

この一連の判断は、3 月の PR #225 マージ（3/3）と直後のリバート議論（PR #239, 3/4 起票）の前提となった。「v1Final ラベルは固定された必須項目ではなく、議論の結果として剥がし得る」運用が定着した瞬間でもある。

5.5 openid/sharedsignals#232 — Update build-everything.yml ​

  • author: tulshi (Atul Tulshibagwale, SGNL)
  • 起票: 2025-02-11
  • マージ: 2025-02-12

GitHub Actions の Ubuntu イメージから Ruby が外れた件への対応 PR。仕様ビルドが Ruby 製ツールチェーン（kramdown 系）に依存しているため、明示的な Ruby バージョン指定を追加する修正。CAEP のビルドエラー解消と SSF Profile テキスト参照の復旧も併せて行った。

10 コミットの試行錯誤の末、FragLegs と iamseanodentity の承認を経てマージ。appsdesh から「Thanks for fixing it!」のコメント。v1Final へ向けた地道な CI 整備を象徴する PR である。

5.6 openid/sharedsignals#237 — IP Addresses as a format ​

  • author: appsdesh (Apoorva Deshpande, Okta)
  • 起票: 2025-02-25
  • 2 月末時点: open（実マージは 2025-03-04）

Subject identifier の format に IP アドレスを追加する PR。Issue #201 への対応で、PR #206 を引き継ぐ形で 2/25 コール（§3.6）と同日に起票された。

2 月時点の議論:

  • 命名: tulshi が「ips の方が好みだが ip-addresses も OK」とコメント。最終的に ip-addresses で決着
  • 責務分割: PR #231 から切り出された経緯通り、IP アドレスを Subject の正式 format として表現する責務を持つ

3/4 マージへの伏線。v1Final ラベル付き。

5.7 openid/sharedsignals#229 — Restrict stream_id Character Set for URL Parameter Compatibility ​

  • author: thomasdarimont (Thomas Darimont, OIDF)
  • 起票: 2025-01-27
  • 2 月の動き: 2/11 コール（§3.3）で v1Final ラベル付与、Shayne Miel が「RECOMMENDED 文言推奨」を提案

stream_id を RFC 3986 unreserved 文字（英数字 + - . _ ~）に制限することを提案する Issue。URL パラメータとして使われる以上、未エンコード時のパス解釈の曖昧性は実装上の事故源となるため、Transmitter 側で生成段階から制約をかける設計が望ましい。

2/11 コールでは「規範文言は MUST より RECOMMENDED が後方互換性を保つ」という Shayne Miel の主張が記録された。これは 3/18 コールで「規範的変更ではあるが実装の期待挙動と整合的」として最終承認され、PR #242 として 3/28 マージへ繋がる。

6. 関連イベント ​

6.1 Gartner IAM Summit London 2025 (3/24-25) 向け Interop 準備 ​

2 月の SSF WG にとって最大のテーマは、3 月後半に控える Gartner IAM Summit London (3/24-25) での CAEP / SSF 相互運用デモ準備であった。OIDF は 1/28 付の Shared Signal WG Returns to Gartner IAM for Interoperability で参加実装の募集を開始しており、2 月は実装者の集まりを Interop coordination call に集約していく期間となった。

2/6 のキックオフ時点での参加表明 6 社（SGNL, Relock, OIDF, Omnissa, SailPoint, Jamf）から、2/13 時点で SailPoint・Jamf・Beyond Identity の Conformance テスト通過が確認され、2/18 には Thales と IBM が新規参画。月末までに 約 9 社規模の Interop 体制が固まりつつあった。

Interop 参加条件（Program Rules）は (1) Transmitter は configuration metadata discovery / stream operations / push delivery / trigger verification / event parsing の Conformance テスト合格、(2) SSF verification イベント + CAEP イベント（session revoked / credentials changed / device compliance change / risk level changed）のサポート、(3) 少なくとも 1 つの他社実装との相互運用テスト成功であった。PR #231 で 2/11 に追加された risk-level-change イベントが Interop 要件のスコープに含まれたことは、仕様改訂とイベント準備の連動を端的に示している。

6.2 Conformance テスト Staging 環境の公開 ​

Thomas Darimont が 2/4 コールで報告した通り、staging.certification.openid.net が新規 Staging 環境として公開された。Google または GitLab アカウントでの認証が必要。Gartner Interop に向けて、本番 certification.openid.net で動かす前に実装者が試行錯誤できる場を提供する目的であり、3 月以降の毎週の Interop 準備プロセスの基盤となった。

6.3 OpenID Provider Commands 寄贈の SSF WG クロスレビュー依頼 ​

Dick Hardt と Karl McGuiness による OpenID Provider Commands 寄贈（OpenID Connect 参加者間のバックチャネル経由でコマンドを送る仕様）について、AB/Connect WG 議長の Mike Jones から SSF WG にレビュー依頼が届いた（2 月 §4.5 参照）。Shared Signals でバックチャネル経由でシグナルを送るアプローチと類似性が高いため、SSF WG の知見が必要との判断であった。WG 間で設計領域が重なる箇所での相互レビューは、OIDF 全体の整合性確保にとって重要な運営文化として記録される。

7. 今後の予定（2025 年 2 月末時点の視点） ​

2 月末時点（当時の視点）で予定されていた次月以降の動き:

  • 3 月の定例 WG コール継続: 3/4・3/18 の隔週開催が予定（3 月中旬に「隔週から毎週開催への切替」が議論され、3/11 から毎週化が試行されることになる）
  • Interop coordination call の継続: Gartner IAM Summit London (3/24-25) までの毎週木曜 8 AM PT で実施
  • PR #233 (Section 10 リファクタ) のマージ: 3 月上旬を予定
  • PR #237 (IP Addresses format) のマージ: 3 月上旬を予定
  • PR #225 (events_supported) のリバート/再評価: 2/11 合意に基づき、v1 範囲外への扱いを継続検討
  • Issue #229 (stream_id 文字制約) の PR 化: 3 月にかけて Apoorva Deshpande が PR 起票予定（実際には PR #242 として 3/18 起票、3/28 マージ）
  • Issue #236 (Mark Haine 自動チェックツール) の適用: v1Final 化前に必ず通すプロセスとして 3 月以降に取り組み
  • Gartner IAM Summit London 3/24-25 でのデモ実施: 9 社規模の相互運用デモを成功させ、SSF / CAEP の商用普及度を対外的に可視化することが当面の最大目標

2 月の地道な準備作業（Conformance テスト Staging 公開、Interop 参加企業の集約、CI 整備、v1Final ラベルの取捨選択ルール確立）は、3 月の Gartner デモ成功と 4 月以降の v1Final 化作業本格化への前提を整える期間となった。

8. 参考情報源 ​

議事録 ​

メーリングリスト ​

GitHub ​

公式・関連情報 ​