idbok

Appearance

OpenID Foundation Shared Signals WG 活動レポート (2026年4月) ​

執筆日: 2026-05-18（2026年4月分の遡及執筆）

1. 概要 ​

Shared Signals Working Group（以下 SSF WG）は、OpenID Foundation が主導するセキュリティシグナル共有のための標準化グループである。Shared Signals Framework (SSF) 1.0、Continuous Access Evaluation Profile (CAEP) 1.0、RISC Profile 1.0 はいずれも 2025 年 9 月に Final 仕様として公開済みであり、2026 年 4 月時点では CAEP Interoperability Profile の ID2 仕様確定とコンフォーマンステストプログラムの仕上げが活動の中心となっている。

2026 年 4 月は 3 回の定例 WG コール（4 月 7 日・4 月 14 日・4 月 21 日）が開催され、4 月 28 日のコールは Internet Identity Workshop (IIW) との重複により取りやめとなった。月内の主要議題は以下の通りである：

  • CAEP Interoperability Profile における OPRM (OAuth Protected Resource Metadata) 参照の取り扱いと最終的な削除合意
  • SSF Conformance テストの新版（ID2 ドラフトに追随）公開と 3 実装からのフィードバック収集
  • Device Compliance Change イベントへの「unmanaged」状態追加と Issue #131 の再オープン
  • Stream 単位の default_subjects プロパティ提案（Issue #326）
  • caep.dev 発行者識別子（issuer）の末尾スラッシュ削除

2. 公開された仕様・ドラフト改訂 ​

4 月中に Final 仕様の新規公開や Implementer's Draft 投票通知は確認できなかった。一方で、CAEP Interoperability Profile の ID2 ドラフトに対する修正作業が GitHub 上で進行し、PR #325（OAuth セクション更新）が 4 月 1 日に jischr によって提起された（マージは翌 5 月）。

SSF Conformance テストについては、Thomas Darimont (OIDF) が ID2 ドラフトに追随する新版を 4 月 21 日に demo.certification.openid.net で公開し、認定プログラム本稼働に向けた最低 3 実装からのフィードバック収集を開始した。

3. ミーティングと議論 ​

定例 WG コール（2026-04-07） ​

参加者: Atul Tulshibagwale (CrowdStrike, 共同議長)、Apoorva Deshpande (Okta)、Jen Schreiber (CrowdStrike)、John Marchesini (Jamf)、Mike Kiser (SailPoint, 共同議長)、Thomas Darimont (OIDF)、Sachin Mamoru (DIAF Awardee)、Yair Sarig (Omnissa)、Tushar Raibhandare (Google)

主要議題は CAEP Interop Profile の最終化と認定テストの整備であった。

PR #325 の OAuth フロー図に関しては、抽象度をめぐる議論が交わされた。Apoorva は具体的なフロー詳細を避けて抽象的な記述に留めるべきと主張したが、Jen は「単に "OAuth handshake" とだけ書くと図の意義が失われる」と反論した。Thomas は高位レベルの図示にとどめることを支持し、図の整理は Jen がアクションアイテムとして引き取った。また、OPRM が CAEP Interop 仕様に従って存在する場合は必ず使用しなければならない（present であれば mandatory）という点が確認された。

認定テストについては、Thomas が直近のフィードバックを反映したテスト群を更新中で、デプロイ後に追加検証を進める段階にあると報告した。新しい Transmitter テストモジュールは Interop Profile 検証用に session revoked / credential change / device compliance change の 3 イベントをサポートし、subject 形式は email と issuer-sub をベースに device compliance change での複雑なケースに対応するため「正しく整形された subject を要求する」程度に Interop 仕様を緩和する方向で合意がまとまった。

未決論点として、サポート対象イベントを追加した際に再認定が必要かという論点が提起された（4 月 14 日コールに継続）。

「各イベントタイプについて必須クレームを検証している」（Thomas, テストの動作説明）

定例 WG コール（2026-04-14） ​

参加者: Atul Tulshibagwale、Yair Sarig、John Marchesini、Thomas Darimont、Sahil Mukhija (CVS Health)、Martin Gallo (Independent | AuthMind)

Thomas は Transmitter テストの新モジュール（unsolicited verification イベントを含む）をデモした。Interop Profile テストのモジュールが Transmitter テスト群の内側に組み込まれており、Transmitter 要件で規定されたイベントを使用する構成になっている。アクセストークン取得方法については、実装によって静的トークンを使うケースと client credentials grant を使うケースが混在しており、OPRM での scope 命名を ssf. プレフィックス付きで標準化する案が浮上した。

再認定要件の議論では、新規イベント追加時の扱いをめぐって意見が分かれた。Atul は「認定プログラムを早期に立ち上げるためには」再認定を必須とする立場を主張し、Thomas は他の認定プログラムでも定期的な再認定は一般的であると補足した。

Device Compliance スキーマについては Yair が問題提起した。「デバイスが管理下から外れる」遷移を既存の Device Compliance Change イベントでは適切に表現できないという問題で、これに伴って Issue #131 を再オープンする方針が合意された（再オープンと「04/14/26 のミーティングでの議論を受けて再オープンする」旨のコメントが同日 GitHub に反映）。

Interop Profile の議論では、OPRM 要件とトークンエンドポイントの任意性が「アンダースペシファイされている」点が継続課題として認識された。Jen は「柔軟性が過剰だと実用的な相互運用性が損なわれる」と指摘し、4 月 21 日コールへの宿題となった。

定例 WG コール（2026-04-21） ​

参加者: Atul Tulshibagwale、Yair Sarig、Thomas Darimont、John Marchesini、Mike Kiser、Sachin Mamoru、Jen Schreiber、Sahil Mukhija、Martin Gallo

このコールでは Interop Profile の主要な設計判断が行われた。

OPRM の役割について、scope 発見のためのものか、それとも Authorization Server 発見のためのものかという議論を経て、Interop Profile から OPRM 参照を削除することで合意した。認定テストでは UI のフィールド事前入力等の補助目的で OPRM を引き続き活用できるものの、Interop Profile レベルでは ssf.read と ssf.manage の 2 つのスコープを必須要件として明示する方針となった。OPRM を前提に実装していた一部ベンダーにとっては仕様後退となることが議論で認識された上での決定である。

Conformance Test Suite については、Thomas がデモ環境に最新の SSF テスト更新を取り込み済みであり、認定リリース前に少なくとも 3 ベンダーからのポジティブフィードバックが必要であると改めて確認した。Mike・Atul・Yair の 3 名が各自の実装でテストを実行することを表明した。

Device Compliance Change イベントの拡張議論では、「compliant」と「non-compliant」の 2 値が実態のデバイス状態を捉えきれているかが焦点となった。コンプライアンスが管理状態と独立に動作するかについて検討した結果、「unmanaged」状態を追加することで合意した。これは「ポリシーがもはや適用されない」ことを示すものであり、ポリシー定義自体を仕様に持ち込まないという中立的な意味付けとされた。

アクションアイテム:

  • Jen Schreiber: OPRM 削除と必須スコープに関する確認メールを ML へ送付（同日中に 送付）
  • Yair Sarig: Device Compliance Change イベントに「unmanaged」状態を追加する PR を作成

4 月 28 日コールの取りやめ ​

Atul は 4 月 22 日付の ML 投稿 No call on 4/28 で、IIW 開催と重なるため 4 月 28 日のコールを取りやめる旨を告知し、OIDF の Mike Leszcz から正式なキャンセル通知が送付される旨を案内した。

4. メーリングリストの主要スレッド ​

openid-specs-risc アーカイブ（週次インデックス）の 2026 年 4 月分から、技術的に重要なスレッドを以下に挙げる。なお、月次インデックス (2026-April/) は公開されておらず、Week-of-Mon-20260406 / Week-of-Mon-20260413 / Week-of-Mon-20260420 の 3 つの週次インデックスから抽出している。

caep.dev issuer update - 2026-04-09 開始 ​

  • 発信者: Atul Tulshibagwale (CrowdStrike)
  • 内容: caep.dev の issuer 文字列を https://ssf.caep.dev/（末尾スラッシュあり）から https://ssf.caep.dev（末尾スラッシュなし）へ変更する告知。認定テスト中に発見された不整合への対応として、4 月 10 日 9:00 PT 頃に切り替えを実施する旨が伝えられた
  • 注意点: 変更前に発行された Security Event Token (SET) は更新後の metadata と issuer 文字列が一致せず検証に失敗する。以降の SET は正常に動作する
  • 意義: 認定テストプログラム稼働の副次効果として、リファレンス実装側のメタデータ整備が進んだ事例

openid/sharedsignals: New Issue opened (#326 default_subjects per stream) - 2026-04-08 起票通知 ​

  • Issue: #326 default_subjects per stream
  • 問題提起: Transmitter の default_subjects を NONE にすると全 subject に対する受信のために add_subject_endpoint の繰り返し呼び出しが必要となり、ALL にすると逆に remove_subject_endpoint の呼び出しが大量に必要となる。Stream Configuration に per-stream の default_subjects プロパティを追加し、受信側が stream 作成時に値を override できるようにする提案
  • 提案文言: 「値は ALL または NONE のいずれかでなければならず、stream 作成時に省略された場合は Transmitter の default_subjects 設定を継承する」
  • 後続コメント (002163): Transmitter が add_subject_endpoint をメタデータで公開していない場合、default_subjects=NONE の stream は一切シグナルを送信できないというエッジケースが指摘された

New version of the SSF Conformance tests available - 2026-04-21 開始 ​

  • 発信者: Thomas Darimont (OIDF)
  • 内容: SSF CAEP Interop Profile Conformance テストの新版を demo.certification.openid.net に公開。堅牢性の改善と CAEP Interop Profile ID2 ドラフト仕様の最新変更を反映している
  • 対象: SSF Transmitter / Receiver の双方が ID2 適合性検証に利用可能
  • 次のステップ: OpenID Foundation のガイドラインに従い、認定プログラム本稼働へ進むには最低 3 つの SSF 実装からのフィードバックが必要である。WG 参加者にテスト評価とフィードバック提供を呼びかけた

Removing OPRM from CAEP Interop Profile - 2026-04-21 開始 ​

  • 発信者: Jen Schreiber (CrowdStrike)
  • 内容: 4 月 21 日のコール決定を受け、CAEP Interoperability Profile から OPRM 参照を削除する旨を ML 公示。全準拠実装に対し ssf.read と ssf.manage の両スコープのサポートを要求し、文書 2.7.2 節を更新する
  • 位置付け: 異議申立てを募るための公式アナウンス。WG 内合意済みの変更であり、ML 公示は手続的フェーズ

No call on 4/28 - 2026-04-22 開始 ​

  • 発信者: Atul Tulshibagwale (CrowdStrike)
  • 内容: IIW 開催と重なるため 4 月 28 日の定例コールを取りやめる告知。OIDF の Mike Leszcz から正式なキャンセル通知が送付される

5. GitHub 上の議論 ​

openid/sharedsignals#326 - default_subjects per stream ​

  • 起票: 2026-04-08
  • 問題: Transmitter 単一の default_subjects 設定（ALL / NONE）では、特定 stream のみに対する例外的な購読範囲調整が大量の add_subject_endpoint / remove_subject_endpoint 呼び出しを必要とする
  • 提案: Stream Configuration に per-stream の default_subjects プロパティを追加し、stream 作成時に受信側が override できるようにする。省略時は Transmitter の設定を継承
  • エッジケース: Transmitter が add_subject_endpoint をメタデータで公開していない場合、default_subjects=NONE を指定した stream は一切シグナルを送信できなくなる。仕様化にあたって考慮すべき論点として指摘された

openid/sharedsignals#325 - Update OAuth Section ​

  • 起票: 2026-04-01（jischr）
  • 4 月中の動き: 4 月 7 日コールで OAuth フロー図の抽象度をめぐる議論が行われ、Thomas が Authorization Server の説明文を「SSF Transmitter エンドポイントで受理されるアクセストークンを発行する OAuth 2.0 Authorization Server」と精緻化する提案を 4 月 2 日付コメントで提示。4 月 12 日には Thomas が SSF / OPRM メタデータの URL 導出パターン（パスを持たない issuer と、パスを持つ issuer の 2 パターン）と Authorization Server 発見の 4 段階プロセスを詳述するコメントを追加（RFC 9728 Section 3.1 を参照）
  • 4 月末時点: Open のまま継続（マージは 5 月 13 日）

openid/sharedsignals#131 - [CAEP] device management change is not captured in the existing events ​

  • 元起票: 2023-12-06（appsdesh）
  • 4 月の動き: 一旦クローズされていた issue が 4 月 14 日コールの議論を受けて再オープン。「04/14/26 のミーティングでの議論を受けて再オープンする」旨のコメントが HackMD ミーティングノート リンクとともに残された
  • 論点: デバイスのコンプライアンス状態とは独立に、デバイスの管理状態（managed / unmanaged）をポリシー判断エンジンに伝える必要がある。提案された解決策は、(1) 既存フィールドへの管理状態追加、(2) 既存状態値の拡張、(3) 専用 Device Management イベントの新設の 3 つ
  • 4 月 21 日コールでの合意: Device Compliance Change イベントに「unmanaged」状態を追加し、ポリシーがもはや適用されないことを示す中立的な値とする（Yair が PR 作成担当）

openid/sharedsignals#322 - Action Receipts in Shared Signals ​

  • 元起票: 2026-02-24（iamseanodentity）
  • 4 月の状況: 4 月の定例コール議事録に Action Receipts の単独議題は見られず、3 月末に合意した「拡張がベースライン仕様から独立して動作する」方針のもと、活発な追加議論は確認できなかった。継続検討事項として open のまま

6. 関連イベント ​

  • IIW (Internet Identity Workshop): 4 月末週開催。SSF WG は 4 月 28 日の定例コールを IIW との重複を理由に取りやめた。IIW は SSF の実装者コミュニティとの対面議論機会として位置付けられる
  • RSA Conference 2026: 4 月初旬に開催。3 月コールで翌週コールの取りやめが確認されていたが、4 月 7 日コールは予定通り開催されており、影響は限定的だった

7. 今後の予定 ​

4 月末時点（当時の視点）で予定されていた次月以降の動き:

  • Yair Sarig による Device Compliance Change イベント「unmanaged」状態追加 PR の提出
  • PR #325（OAuth セクション更新）のマージに向けた最終調整
  • SSF Conformance テスト新版に対する 3 ベンダー以上からのフィードバック収集と、認定プログラム本稼働判断
  • CAEP Interop Profile からの OPRM 削除を反映した仕様改訂（2.7.2 節）
  • IIW 終了後（5 月以降）の定例コール再開と、IIW で得られた議論内容の WG へのフィードバック
  • Issue #326（per-stream default_subjects）の仕様化検討継続

8. 参考情報源 ​

議事録 ​

メーリングリスト ​

GitHub ​

公式 ​