AltIDの立ち上げに際し、デンマークメディアがOIDFの見解を求める

デンマークが政府主導のデジタルウォレット「AltID」を立ち上げたことを受け、この新技術が市民にとって何を意味するのか、また既存のデジタルID制度とどう異なるのかについて疑問の声が上がりました。

 DRを含むデンマークの主要全国メディアがこの新技術を報じました。Ekstra Bladet、Input Magazine、Mere Mobil、IT Kanalenなど複数の有力メディアが、OpenID Foundationコミュニティに専門家としてのコメントを求めました。Iduraのスタッフソフトウェアエンジニアであり、OpenID FoundationのDigital Credentials Protocolsワーキンググループの活発な参加者でもあるFrederik Krogsdal Jacobsen氏が、この技術の仕組み、従来のアプローチとの違い、そして残る実務上の課題について説明しました。

デンマークメディアに消費者にとってのAltIDの意味を解説

Frederik氏は、MitIDの中央集権的な認証モデルからAltIDの選択的開示（selective disclosure）方式への転換について、実際の例を用いて解説しました。例えば、完全な身分証明書を提示せずに18歳以上であることを証明する、あるいは住所を明かさずに氏名を証明する、といった具合です。

同氏はまた、さらに検討が必要な2つの点を指摘しました。第一に、AltIDはスマートフォンに依存しているため、少数のグローバルなモバイルプラットフォームに依存することになり、専用の物理デバイスなど代替のアクセス手段を長期的に検討することが重要になるという点です。第二に、MitIDと同様に、高齢のユーザーの中にはこの技術の導入を難しく感じる人もいるだろうという点です。

なぜジャーナリストはOpenID Foundationを頼ったのか

AltIDは、ドイツ、イタリア、その他すべてのEU加盟国で進行中のプログラムと並び、より広範なEUデジタルIDウォレット（EUDIW）構想の一環として導入されている複数の国別デジタルウォレットの一つです。

 OpenID Foundationは、AltIDのようなデジタルウォレットが一貫した方法でクレデンシャルを発行・検証できるようにするオープンな国際標準を策定してきました。これらは、EUデジタルIDウォレット（EUDIW）プログラムを支える標準と同じものです。2026年12月時点で、EU加盟国は法的に、認定済み（Notified）EUDIウォレットからのクレデンシャルを信頼することが義務付けられており、これが国境を越えた相互承認の基盤を築いています。AltIDが認定されれば、この標準に基づいて構築されたクレデンシャルはデンマーク国内だけでなく欧州全域で信頼されるようになり、世界的な相互運用性の基盤にもなります。

そのため、AltIDのような国別の立ち上げが一国にとどまらない疑問を提起する際、Foundationのコミュニティは自然な相談先となります。実際に選択的開示が何を意味するのか、ウォレットが従来のものとどう異なるのか、規模拡大に向けて何を解決する必要があるのか、といった疑問です。

導入国が増えるにつれ、一般の関心も高まるでしょう。この関心は、こうした仕組みが既存のシステムと比較してプライバシーとセキュリティをどのように保護するかの理解に集中することになります。利用履歴が記録されるeIDシステムに慣れているデンマークの利用者にとっては、選択的開示がデータの露出をどのように制限するかを理解することが、より差し迫った関心事です。

一方でジャーナリストは、商業的利害を持たず、信頼できる形でこれを説明できる専門家を求めています。そのため、基盤技術に不慣れな評論家ではなく、標準の専門家が、こうした立ち上げが続く中で不可欠な情報源となりつつあります。

AltIDの立ち上げは、各国のデジタルID開発が独立した技術専門知識への需要を生み出している一例です。欧州全域でデジタルウォレットの展開が続く中、OpenID Foundationのコミュニティは、これらの取り組みの背後にある標準、相互運用性、実装上の考慮事項について文脈を提供する上で有利な立場にあり、必要とされる場所でその専門知識を提供できることを誇りに思います。

OIDF、BIS Innovation HubのApertaレポート支援を誇りに思う

BIS Innovation Hub は、国境を越えたオープンファイナンスにとって重要な節目であり、OpenID Foundationが長年提唱してきたオープン標準アプローチの意義深い実証となるProject Apertaレポートを公開しました。

Project Apertaは、英国、UAE、ブラジル、香港、インドのオープンファイナンスネットワークを接続する、API経由の国境を越えたオープンファイナンス相互接続のプロトタイプの設計、開発、検証を行ってきました。本プロジェクトは、既存の銀行インフラをゼロから再構築することなく、安全かつ相互運用可能な国境を越えたデータ共有が実現可能であることを証明しています。

OpenID Foundationの役割

OpenID Foundationはオブザーバー会員としてProject Apertaに貢献し、Foundation副ChairのDima Postnikov氏と理事のMark Verstege氏がプロジェクトへの連絡窓口を務めました。

両氏は、シンガポール金融管理局、インド準備銀行、Swift、世界経済フォーラム、国連国際商取引法委員会（UNCITRAL）を含む、中央銀行、規制当局、国際機関にまたがるオブザーバーのリストに加わりました。このオブザーバーコミュニティの広がりは、Project Apertaが世界の金融コミュニティにとって持つ重要性を反映しています。

コアにあるオープン標準

Project Apertaは、基盤となるセキュリティプロファイルとしてFAPI 2.0を採用しています。これは、複数のオープンファイナンス導入事例ですでに実証されている業界標準のパターンを活用し、法域ごとに独自のセキュリティ設計を行うことを避けるために特に選ばれました。

同レポートはまた、プロジェクトのトラストフレームワークをOpenID Federationの原則に基づかせており、国境を越えたオープンファイナンスの相互運用性の次の段階における望ましいアーキテクチャとして位置付けています。

Dima氏は次のように述べています。「FAPI 2.0とOpenID Federationは、すでに世界の複数の法域でオープンファイナンスのエコシステムを支えています。5大陸の中央銀行や規制当局が関わるBIS主導のこの取り組みでこのレベルの採用がなされたことは、OpenID Foundationコミュニティがこれらの標準の策定に注いできた取り組みの重要な実証です。Project Apertaは、実証されたオープン標準を真に困難な相互運用性の課題に適用したときに何が可能になるかを示しています。」

Project Apertaが証明したこと

Project Apertaは、中小企業向け銀行業務および貿易金融を具体的なテストケースとして用い、既存の銀行エコシステムの中で安全な国境を越えたデータポータビリティが実現可能であることを実証しています。アーキテクチャ文書、トラストおよびIDシステムの設計、参照コードを含む成果物は、中央銀行コミュニティが活用できるよう一般に公開されています。

今後は、成熟したオープンファイナンスエコシステムを持つ少数の法域グループが、より広範な世界的採用に必要な運用、法制、ガバナンスの基盤を構築するため、さらなる実世界のユースケースを試験導入できる可能性があると同レポートは示唆しています。

OpenID Foundation事務局長のGail Hodges氏は次のように述べています。「Project Apertaはまさに、OpenID Foundationの標準が支援するために設計された類いの取り組みです。トラストサービス、セキュリティプロファイル、エコシステム統合に関する取り組みについてOIDF会員のRaidiamに、そしてFAPI準拠のリファレンス実装に関する取り組みについてOzone APIに感謝します。国境を越えたオープンデータ、およびFAPI 2.0とOpenID Federationのその他の最先端の応用に関するこの取り組みの次の段階を楽しみにしています。」

Digital Credentials Harmonized Presentation WGが発足

OpenID Foundation（OIDF）は、新しいワーキンググループである「Digital Credentials Harmonized Presentation　ワーキンググループ」（DCHP WG）を立ち上げました。

新しいDCHP WGは、ISO/IEC JTC1/SC 17（ISO）WG10およびWG4の専門家とOIDFのDigital Credentials Protocols ワーキンググループ (DCP WG)  の専門家による共同イニシアティブをサポートし、クレデンシャルプレゼンテーションプロトコルの調和を目指しています。

現在、ISO/IEC 18013-7 Device Request/Device ResponseおよびOpenID for Verifiable Presentations（OID4VP）Authorization Request/Authorization Responseは、クレデンシャルプレゼンテーションに対して異なるアプローチを採用しています。DCHP WGは、これらを統合した調和型デジタルクレデンシャルリクエストプロトコルの技術仕様を開発し、複数のクレデンシャル形式（mdocおよびSD-JWT VC）の互換性をサポートします。

ワーキンググループの憲章は、両ワーキンググループの専門家により相互に合意され、その目的、範囲、および作業方法を完全に規定しています。この憲章は、OIDF プロセス文書に従い、仕様評議会により承認されています。

仕様はISO WG10およびOIDFのDCP WGの両者による採択を意図しているため、DCHP WGはこの目標を達成するために設計された合意されたワーキング手続きに従います。

初回会議および参加方法

DCHP WGの初回会議は、2026年6月29日（月）太平洋時間午前6時から午前9時に開催されます。参加に関心のある方は、DCHP WGページでZoomリンクをご確認ください。

進捗状況をフォローし、ワーキンググループメンバーとつながるには、openid-specs-dchp@lists.openid.netにご連絡いただきメーリングリストにご参加ください。

ワーキンググループ内の仕様に貢献するため、Intellectual Property Rights (IPR) contribution agreement（知的財産権貢献契約書）を電子的または紙面で提出することができます。その際は、「すべてのWG」または「DCHP WG」のみを選択してください。

OpenID Foundationがエージェント時代の認可を推進：新しいAuthZENワーキンググループドラフトを発表

アイデンティティコミュニティがIdentiverse 2026に集結する中、認可はエージェント時代の重要な課題として挙げられています。OpenID Foundation（OIDF）は、この分野における重要な進展をお知らせできることを喜びとしています。

AuthZENワーキンググループは、AuthZEN Access Request and Approval Profile（AARP）およびAuthZEN Profile for Model Context Protocol Tool Authorization（COAZ）の公式ワーキンググループドラフトを承認しました。

AARPドラフトは、アプリケーション、サービス、およびAIシステムがより自律的になるにつれて中心的な課題となっている問題に対処します。すなわち、『条件に満たないと実行を許可できない場合、システムはどう対応すべきか』という問題です。承認、同意、委任された権限、証明、リスク評価、または追加の正当化が、実行前に必要となる場合があります。AARPは、これらの前提条件のリクエスト、追跡、充足、および再評価のための相互運用可能なパターンを定義し、アプリケーション、認可システム、ガバナンスプラットフォーム、およびエージェントがポリシーを最終的な権限として保ちながら調整できるようにします。

COAZドラフトは、異なるソース情報モデルからAuthZEN Subject-Action-Resource-Context（SARC）構造へのマッピングを標準化するためのプロファイルを追加します。これはAuthorization API 1.0を構成し、メタデータを介してAPI、AIゲートウェイ、サービスメッシュ、またはダウンストリームシステムなどの異なる実行ポイントが、互換性のあるPDPに対してリクエストを認可する方法を認識できるようにします。初期の目標は、モデルコンテキストプロトコルツールがツール呼び出しに必要な認可チェックを公開し、エージェント的ワークフローに制御をもたらすことを可能にすることです。

なぜ今なのか

認可は長らく、単純な許可または拒否の決定として扱われてきました。実際には、組織は常にアクセスに関する人間が関与するガバナンスに依存してきました。承認、同意、例外処理、委任された決定、およびポリシーレビューは、すでにエンタープライズセキュリティの一部です。

新しいのは、その頻度とスピードです。従来のアプリケーションは事前に定義されたワークフロー内で実行されていました。追加の承認が必要な場合、担当者が一時的に対応し、別のプロセスを完了後、再開しました。エージェントはそのように機能しません。エージェントはツールを動的に発見し、実行時にサービスを呼び出し、システム全体で調整し、固定されたスクリプトではなく目標を追求します。その結果、ポリシーがまだアクションを認可できない時点に定期的に到達し、「まだ認可できない、そして以下が必要である」と表現する相互運用可能な方法がありませんでした。現在、そのギャップは独自の統合によって埋められています。業界には、共通のパターンが必要です。

認可への入力としての承認

歴史的に、認可システムは1つの質問に答えていました。「このアクションは今すぐ実行できるか？」です。また、次の質問にも答える必要があります。「ポリシーがこのアクションを認可できるようになる前に、何が必要か？」です。

これは権限の変化ではなく、形の変化です。目標はポリシーを迂回することや、認可システムをワークフローエンジンに変えることではありません。アプリケーション、エージェント、ガバナンスプラットフォーム、トラストサービスが連携して、ポリシーが求める条件を整えてから、ポリシーに再度判断を求めることです。承認、同意、委任、証明、およびリスク評価はそれぞれ決定への入力となります。決定を下すのはポリシーであり、その評価は実行の瞬間に行われます。

ベンダー支払いを支援するAIエージェントを考えてみてください。設定されたしきい値を超える送金を試みる場合、ポリシーは単にアクションを拒否するのではなく、リクエストが承認可能であること、および何が必要かを示します。エージェントは保留中のリクエストへのハンドルを記録し、後で引き継ぐまたは再開することができます。マネージャーは組織の既存プロセスを通じて承認し、ポリシーが再評価され、その後のみアクションを進行します。つまり、『ダメ』という判定がいったん下されたら、それを無視してアクションを実行することはできませんし、『良い』という承認が出たからといって、それだけで自動的に実行が許可されるわけではありません。その承認は、ポリシーが改めて判断を下す際の『参考情報の1つ』に過ぎないということです。

これは、認可の前提条件に対するClient-Initiated Backchannel Authentication（CIBA）が認証承認に対するものです。CIBAと同様に、AARPは標準化された非同期のアウトオブバンド相互作用を定義し、ここではポリシーに一般化され、人または自動ガバナンスシステムによって満たされることができます。

一貫したOIDFのストーリー

20年以上にわたって、OIDFは独立したシステム全体で信頼がどのように確立されるかを定義してきました。AARPとCOAZは明確な進展を拡張しています。

• OpenID Connectは、システムがアイデンティティを確立する方法を標準化しました
• OAuthは委任されたアクセスを標準化しました
• CIBAは、デバイスとチャネル全体での非同期でユーザーを仲介して認可と承認する方法を標準化しました
• Verifiable Credentialsに関する仕事で、ポータブルな信頼、権限、および証明を標準化しました
• AARPは、ポリシーがアクションを認可できるようになる前に、システムがポリシーが必要とする前提条件をどのように取得および管理するかを標準化しています

AARPとCOAZは、認可リクエストとポリシー決定のための共通インターフェースを確立し、組織が認可ロジックをアプリケーションから分離するのに役立つAuthZEN Authorization APIの上に直接構築されています。APIは決定を相互運用可能にします。AARPは決定にまだ到達できない場合に必要な手順を定義し、COAZはそれを他の情報モデルにポータブルにします。これらは認可を、OpenID ConnectおよびOAuthが認証と委任されたアクセスにもたらした相互運用性の方向に進めています。

業界参加

OIDFは、アイデンティティ、認可、ガバナンス、およびAIエコシステム全体からの参加を歓迎しています。この作業の開発およびレビューに貢献している組織には以下が含まれます。

• Axiomatics AB（com）
• C1（ai）
• Cerbos（dev）
• Indykite（ai）
• Keycard（ai）
• Okta（com）
• SailPoint（com）

従来からの有力なエンタープライズセキュリティベンダーから新興のAIインフラストラクチャプロバイダーまで、参加者の多様性は、認可がアプリケーション、ガバナンスシステム、信頼インフラストラクチャ、およびポリシーサービスにまたがる相互作用に依存するようになったことを認識する傾向の高まりを示しています。

「認可は長すぎる間、見過ごされてきました。『何が起こることができるか』という問題に標準化された方法で取り組む時が来ました。サイロ化され、ハードコードされ、脆弱な認可は、既に今日のアプリケーションで問題となっています。AIはこの課題を前例のないスケールで複合化しています。解決策は、よく設計された、高度に分離され、標準ベースの認可システムから生まれます。これらのシステムは、現代的なAIアーキテクチャのすべてのコンポーネントへのフックを提供します。AARPは、AuthZEN、Shared Signals、およびALFAなどの他の標準とともに、将来耐性のあるAI認可フレームワークの基盤となります。」

-- David Brossard、AuthZEN共同議長、Axiomatics（Leonardo Company傘下）CTO

「認可はもはや『許可』または『拒否』に答えるだけではありません。特にAIエージェントを含む現代的なシステムは、決定を下す前に、承認、証明、委任された権限、またはその他の前提条件が必要になることがよくあります。AARPは、アプリケーション、ガバナンスシステム、および認可サービスがポリシーを最終的な権限として保ちながら、これらの相互作用を調整するための標準的な方法を提供します。」

-- Alex Olivier、AuthZEN共同議長、Cerbos共同創業者

「AuthZENの新しいAARPおよびCOAZプロファイルは、真の エージェント的ワークフローガバナンスへの道を開き、AIエージェントが Access Management の世界で今まで遭遇したものとは本当に異なるエンティティであるという事実を認識しています。」

-- Alex Babeanu、AuthZEN共同議長、Indykite Lead PM

「AIエージェントは『ノー』に対処する適切な方法が必要です。今日、ポリシー境界に直面するエージェントは、ますます複雑な方法で回避策を講じています。その行動は職場に属すべきではありません。AARPおよびCOAZはエージェントに拒否に応答し、ポリシーがそれらをクリアした後にのみ進行する実際の方法を与えます。これにより、組織はエージェントに可能な限り最小の権限を与えながら、それらを有用に保つことができます。Oktaはこの作業をサポートして、エンタープライズでのAIの安全な採用を推進することを誇りに思っています。」

-- Nick Davis、Okta プロダクト管理担当副社長

「企業はAIエージェントを迅速に展開しようとしていますが、採択はまずこれらのエージェントを保護することに依存しており、セキュリティはコントロールに依存しています。リアルタイムガバナンスと認可はそのコントロールが存在する場所です。AuthZENおよび関連する標準は、組織がすべてのエージェントアクションの中心にポリシーを保ち、エージェントが必要なものをリクエストし、承認または証明を待ち、ポリシーがそれを許可した後にのみ行動することができるようにします。これが、最小権限とガバナンスを自律システムに拡張して、リアルタイムコントロールを実現する方法です。SailPointはこの作業をサポートすることを誇りに思っています。」

-- Levent Besik、SailPoint チーフプロダクトオフィサー

今後の展開

ワーキンググループは、コミュニティレビュー、実装フィードバック、および相互運用性テストを通じてドラフトの改善を続け、アプリケーション、認可システム、ガバナンスプラットフォーム、およびAIインフラストラクチャが共通のパターンを使用して認可の前提条件を中心に調整できるようにする実用的な標準の達成を目指しています。

20年以上にわたって、業界はシステムがユーザーを認証し、アクセスを許可する方法を標準化してきました。ソフトウェアがますます人々に代わって行動するようになるにつれて、次のステップは、認可をまだ決定できない場合に、システムが安全に必要なものを取得するのを支援することです。AuthZEN Access Request and Approval ProfileおよびMCP用COAZプロファイルのワーキンググループドラフトとしての承認は、エージェント時代向けに構築された認可インフラストラクチャに向けた重要な一歩です。

OIDFは、この作業の形成に関心のあるベンダー、エンタープライズ、実装者、研究者、および標準貢献者を歓迎しています。