Identiverse 2026

OAuth & OpenID Connect 勉強会 ー海外イベントから直送! 認証・認可の最新トレンド
https://www.authlete.com/ja/resources/videos-downloadable/identiverse-2026

アメリカで開催された「Identiverse 2026」で取り上げられた、AI 時代のアイデンティティのあり方やエージェントのアイデンティティ管理、権限管理など、認証・認可の最新動向や第一線で活躍する専門家の知見を解説します。

Transcript

1. OAuth & OpenID Connect 勉強会 ー海外イベントから直送! 認証・認可の最新トレンド Identiverse 2026 工藤達雄 Authlete Copyright © 2026 Authlete, Inc. All Rights Reserved.
2. About Me • Sun Microsystems (1998~2008) – プリセールスとして入社。1999年にiPlanet製品 (LDAPサーバー、 認証局スイート、Identrusメッセージング) 担当になったことを きっかけに、デジタルアイデンティティ領域でのキャリアをスタート • 野村総合研究所 / NRIセキュア (2008~2018) – Webアイデンティティ技術を活用したITサービスの企画・開発を 担当。2014年から、NRIセキュアテクノロジーズにてAPIと デジタルアイデンティティのコンサルティングに従事 • Authlete (2018~) – 事業開発を中心に、テクニカルマーケティング、プリセールス、 コンサルティングを担当。2024年から、日本のセールス& マーケティングおよびサポートのマネージメント業務を担当 Copyright © 2026 Authlete, Inc. All Rights Reserved.
3. Identiverse https://identiverse.com • 2010年から続く、デジタルアイデンティティ 分野における世界最大級のカンファレンス • 2026年は6/15~18に米国ラスベガスにて開催 – 参加者数 約4,000 / スピーカー数 約250 – コマ数 237 / 最大並列数 8 曜日 セッション キーノート ワーク ショップ パワー ブレック ファスト マスター クラス パワー ランチ テック シアター サミット パビリオン 合計 Mon 2 4 4 12 0 0 4 0 4 32 Tue 62 3 0 8 3 3 12 4 7 102 Wed 49 3 0 16 3 3 3 0 3 81 Thu 24 1 0 0 0 0 0 0 0 25 合計 137 11 4 36 6 6 19 4 14 237 Source: https://identiverse.com Copyright © 2026 Authlete, Inc. All Rights Reserved. 3
4. AI Agents and Identity Copyright © 2026 Authlete, Inc. All Rights Reserved.
5. Actions, Not Access: The Shift to Runtime Identity • • • アイデンティティの大転換 – AIの処理速度が信頼の経済学を根本から変容させ、従来の静的な 境界管理モデルでは現代の脅威に対応不可能となっている – アイデンティティの焦点は「誰であるか」という存在の確認から、 アクションごとの正当性を検証する動きへと移行する ランタイム・ゲート – 認証の成功をゴールとせず、実行時ゲートを構築して意思決定 そのものの安全を保証する「デシジョンセキュリティ」へ – アクションごとに都度正当性を評価する「継続的認可」を導入し、 AIエージェントの行動をリアルタイムで制御する 自律型AIへのゼロトラスト – 権限範囲（アタックサーフェス）と有効期間（曝露時間）を最小化し、 攻撃による被害範囲を劇的に抑制する必要がある – これからの信頼の未来は「誰か」ではなく「このアクションは承認 されるべきか」という問いへの応答で決まる 5 Copyright © 2026 Authlete, Inc. All Rights Reserved.
6. Same Job. Different World. • • Same Job – 可能にする（Enable）: 人々や組織が、効果的かつ効率的に物事を 達成できるようにする – 保護する（Protect）: 組織のコンプライアンスを達成し・過剰な 顧客データ収集を防止する – 例: Passkeys（使いやすさとセキュリティを両立） Different World – – 「ユーザーとして想定しているもの」が変化 • 「ユーザー」という言葉が人間と非人間の両方を意味する世界 • 「ユーザーはどれくらいいるのか?」という質問に答えることは不可能 「アイデンティティ・システムが扱うべきスケール（規模）」が変化 • 今日のシステム、アイデンティティのためのインフラ、そして人間向け のアプリケーションやそれらを構築するために使ってきたツール群は、 そのスケールに合わせて設計されていない 6 Copyright © 2026 Authlete, Inc. All Rights Reserved.
7. The Future of Identity Management: Trust for the Agentic Workforce • AIエージェント導入 = 赤ちゃんトラを飼うこと – 影響範囲（Blast Radius）： そのAIは将来どの程度の規模になり、最大で どれだけの被害を引き起こす可能性があるか – 何を食べるか（Authentication）： システムはどのデータやリソースへの 認証権限を必要としているか – 誰が世話をするか（Ownership）： チームや部署単位ではなく、トラブル時に 対応する特定の「アイデンティティ所有者」は誰か – どこに住むのか（Domain）：アイデンティティのドメインやネットワークの 境界はどこか • AIエージェントは同僚ではなく「ゼロトラストな契約社員」 – アーキテクチャ内のエージェントを把握 – アイデンティティのスポンサーと有効期限を統治 – 彼らに何ができるかを制限 – 最小特権 – すべてを監視し、すべてをログに記録 Copyright © 2026 Authlete, Inc. All Rights Reserved.
8. Architecture and Framework Copyright © 2026 Authlete, Inc. All Rights Reserved.
9. リアルタイム認可のための仕様群 (Beyond Authentication: Updates from the Authorization Frontier) • イベント集約 / 認可決定の外部化 / コンテキストの引き継ぎ → SSFとCAEPで非同期に情報更新 / AuthZENで認可を外部化 / TraTsでアプリ内の認可決定を伝播 SSF/CAEP Copyright © 2026 Authlete, Inc. All Rights Reserved. AuthZEN AuthZEN and SSF/CAEP TraTs (Transaction Tokens) AuthZEN + TraTs 9
10. MCPのための認可基盤 (Identity in the Agentic Era) • • • • AIによるIAMモデルの変容 – AIエージェントは人間の代理として自律的に振る舞うため、従来の静的なIAM （RBAC/APIキー）では不十分 – ユーザーの代理実行、コンテキストに応じた権限昇格、エージェントを跨ぐ 監査モデルへの移行が必要 MCP（Model Context Protocol）の役割 – エージェントとアプリケーション間の「発見」と「接続」を標準化するプロトコル – LLMが必要なツールやパラメータを認識可能にし、AIの能力を大幅に拡張 推奨される認証・認可の実装 – OAuth 2.1 (PKCE) の採用と、DCR/CIMDを用いたクライアント登録の厳格化 – ユーザーの同意管理とロールベースのアクセス制御（RBAC）を統合し、スコープを 最小限に制限 安全な運用ガバナンス – 長寿命トークンをエージェントに渡さず、認可サーバー経由で短寿命トークンと 交換するプロキシパターンを採用 – 「エージェント・ディレクトリ」を構築し、作成からデプロビジョニングまでの ライフサイクル管理と可視化を徹底 Copyright © 2026 Authlete, Inc. All Rights Reserved.
11. エージェントアイデンティティ (Identity at OpenAI) • • • エージェントアイデンティティは4つの問いに応える – 誰・何が行動しているか? – 誰の代理として行動しているか? – どのような目的で、どのような範囲内か? – 他のシステムは、彼らが実行許可を得ていること、そして正常実行された ことを、どう検証・監査できるか? エージェントアイデンティティの構成要素 – ABOM（エージェント部品表）でランタイム前のシステム情報を管理する – ワークロード・アイデンティティを、固定の許可ではなくタスクにバインド させる – ワークフォース（委任者）とセッションを関連付け、継続的な評価と監査を 実現する これから必要になること – 持続的かつ検証可能なユーザーの意図（インテント） – エージェントのチェーンにわたる委譲 – プライバシーが保護されたエージェントクレデンシャル – 継続的な評価・リボケーション・アカウンタビリティ Copyright © 2026 Authlete, Inc. All Rights Reserved.
12. エージェンティッククライアントのためのCIAM (When AI Becomes the User: Rethinking CIAM for Agentic Clients) • AIエージェントの自律化により従来の「人間中心」セキュリティ前提が崩壊 – 従来のCIAMは人間ユーザーを想定: 数千件/時間のトランザクションを実行する 高速なエージェントの制御は想定外 – 新たな脅威: 悪用可能なトークン、同意と意図の乖離、プロンプトインジェクション、 エージェントのなりすましなど • Agentic CIAMの4つの柱 – 委任された認可: エージェントを独立主体として可視化し、特定のトランザクションに 対して実行権限を明示的に付与して管理。RAR等を活用し、エージェントがその瞬間 に実行する具体的インテントを詳細に定義 – きめ細かな同意: 許可を与える際、利用可能額や時間制限などの詳細な制約条件を 個別に設定。委任の起点から「ポリシー・エンベロープ」を作成し、 サブエージェントへの委任時にも権限を段階的に縮小 – 監査可能性: 全トランザクションを詳細に記録し、誰が何のために、どの範囲の 権限で実行したかを完全にトレース。不正や係争発生時、法規制対応や責任分界点を 明確にするための証拠として機能 – 継続的な検証: リアルタイムでセキュリティ状況を監視し、リスクが許容範囲を 超えた場合は自動的にユーザーを対話プロセスに移行。意図との乖離を検知した際、 CAEP等の技術を通じ、即座に対処可能なループ構造へとシステムを自律的に移行 Copyright © 2026 Authlete, Inc. All Rights Reserved.
13. B2B2C2AI (Portable Trust and the Age of Sharing: Evolving CIAM for Advanced Digital Business) • B2B2C2AIエコシステムの台頭 – 「共有」が遍在する現代において、アイデンティティは単一の個人ではなく、 家族・企業・AIエージェントが複雑に絡み合う「関係性の星座」へと進化 – • 例: 本人・子供・アドバイザー・アドバイザー所属企業・銀行・AIアシスタント 現状のCIAMが抱える課題 – 従来のCIAMはアイデンティティの「認証」やオンボーディングには長けている が、代理行動や多層的な「関係性の理解・委任」の管理にギャップが存在 • 次世代CIAMへの進化：3つの要件 – 動的認可: 静的・粗い制御から、コンテキストや関係性に基づいた、きめ細かな 動的認可への転換 – 委任管理の標準化: ユーザー間のみならず、ビジネスやAIエージェントへの 委任も含む、包括的なポリシー境界の制御 – ガバナンス・バイ・デザイン: ポリシーの透過性、可視化、監査可能性を設計 段階から組み込み、データ・API・サービス間で適用可能なポータブル性を確保 Copyright © 2026 Authlete, Inc. All Rights Reserved.
14. AIエージェントのアイデンティティ (Who bought the bread? Identity and Authentication for AI Agents) • • • ユーザー行動の進化と課題 – 「検索」→「推奨」→ 「自律的な委任（Delegation）」へシフト – エージェントがアクションを実行する際、誰が責任を負うのか – タスクの複雑性と機密性に応じた、柔軟かつ安全な制御モデルが必要 エージェント設計の3つのフレームワーク – プラットフォーム: アイデンティティ&クレデンシャル、アクセス権、エージェント 表現（他人からどう見えるか）、連携・接続アプリの管理 – ライフサイクル: タスクへの分解と安全制御。予算やシステムリソースへの 「境界線（エンタイトルメント）」の設定 – A2U（Agent-to-User）: ユーザーが過度な認知負荷を感じない通知設計と、 人間による介入（ヒューマン・イン・ザ・ループ）の実現 実装の指針 – 「エージェントは人間ではない」と明示: 常に代理であることを宣言し、 透明性を確保（ヘッダーやプロトコル等） – タスクベースの認可モデルへの移行: OAuthの広範なアクセス権ではなく、「この特定 のタスクのために、特定の期間・権限のみ許可する」という最小特権の原則の徹底 – 活動の可視化と追跡: すべての実行履歴を追跡・記録し、ミスを早期発見することで ユーザーの信頼を構築 Copyright © 2026 Authlete, Inc. All Rights Reserved.
15. 確からしさを高めるための「インテント」 (More Than Who You Are: The Role of Intent in Digital Identity) • • • アイデンティティの進化 – 従来の静的な「境界（ペリメーター）」認証だけでは不十分 – 現代の巧妙なAI脅威に対抗するため、アイデンティティは「誰か」という 属性から、動的な「意図（インテント）」を伴うジャーニー監視へ移行が必要 「インテント」という新たな次元 – 「Identity at Rest（静止）」や「in Motion（移動）」だけでなく、アクティブな セッションを監視する「Identity in Use（使用中）」の観点が不可欠 – ログイン後の異常行動や目的を監視し、リアルタイムでリスクを判断 具体的なアクションプラン – ジャーニーの監視: ログイン時だけでなく、プロファイル変更や資金移動など、 ジャーニーの至る所で再認証やチェックを行う。 – AIモデルの活用: 詐欺対策にAIを活用し、行動分析を通じて顧客の「普段の 行動パターン」との乖離を検知する。 – 継続的な問いかけ: 「ログイン後の操作は本当に顧客自身の意図によるもの か？」と常に問い、真の顧客ジャーニーを守る Copyright © 2026 Authlete, Inc. All Rights Reserved.
16. Authorization and Consent Copyright © 2026 Authlete, Inc. All Rights Reserved.
17. 認可の委譲 (Delegated Authorization with Relationships) • • 委譲の複雑化 – AIエージェントやデジタル遺産、法的委任など、現代の委譲連鎖（Delegation Chains）は従来のOAuth標準では対応不可能 – 単なるトークン交換ではなく、「誰が、誰のために、何を、どのような制約 で」行うのかという関係性の定義が必要 – 信頼の境界 (Trust Boundary) を超える、ユーザー・スコープ・制約の表現 メンタルモデル: 3層からなるフレームワーク – – – 信頼レイヤー (Trust Layer) • 関係性 (Relationship): 委譲者と被委譲者の関係 (on behalf of / for the benefit of / personas / …) • 権限 (Authority): 「誰が何を委譲する権限を持つか」の根拠 (法的書類など） インテントレイヤー (Intent Layer) ≒ ミッション • タスク・義務: 実行すべきタスクと、そのために完遂しなくてはならないこと • 制約: タスクの付随事項（条件・範囲など） 実行レイヤー (Execution Layer) • 許可された機能: ソフトウェアが実行可能な処理 • 保護されたアクセス: クレデンシャルを用いたアクセス Copyright © 2026 Authlete, Inc. All Rights Reserved.
18. 同意のフレームワーク (Re-bottling the Genie: Who Is Accountable When AI Acts for Us?) • • 現在の同意モデルの課題 – 意図の乖離（Intent Drift）： AIの機能向上に伴い、当初の同意内容から目的が剥落 – 長寿命トークン： 一度の同意でリフレッシュされ続け、再同意が形骸化 – コンテキストの欠如： 複雑なAPIエコノミーやマルチエージェント環境での動的な同意管理が不可能 新たなフレームワーク – – – 同意モード (Consent Modes): オプトイン/オプトアウトからの脱却 • 受動的 (Reactive)： 従来型の、サービスからの同意要求に対する応答 • 指示的 (Directed)： 事前に、能動的にポリシーを事前設定 • 救済的 (Remedial)： 問題発生時に即座に同意を撤回・修正する機能 同意の方法 (Consent Methods): 明示/黙示を超えて • 関係性グラフに基づく「抽象的同意」へ • エージェントへの代行能力（委譲）と権利保持の明確化 同意の権限 (Consent Authority) • – 同意の制御 (Consent Controls) • – OAuthのスコープだけでなく、外部環境、時刻等の文脈に基づく柔軟な制限（有効期限など）の適用 同意の透明性 (Consent Transparency) • • データの正当な決定権を持つのは誰か 同意の連鎖の可視化・追跡・監査。記録の証明による説明責任の担保 実装に向けたソリューションの方向性 – ヒューマン・イン・ザ・ループ /ヒューマン・オン・ザ・ループ： 人間がプロトコルを制御・監視する仕組み – My Terms： ユーザー中心でサービスへ条件を提示・標準化するアプローチ – NIL (Name, Image, Likeness) / RSL (Really Simple Licensing)： 肖像や自身のメディアを制御するための新たな権利保護標準 – 技術的施行：完全準同型暗号などを活用し、データが暗号化された状態でも機密性を保持しながら制御を施行 18 Copyright © 2026 Authlete, Inc. All Rights Reserved.
19. Identity Practice Copyright © 2026 Authlete, Inc. All Rights Reserved.
20. Appleにおけるパスキー導入の状況 (Get the Most out of Passkeys) • シームレスな導入とアップグレードの加速 – アカウント作成API: 新規登録をパスキーで開始することで、パスワード不要の体験を 即座に提供 – 自動パスキーアップグレード: ユーザー作業を中断させず、既存アカウントへの 移行導入を加速 – • • 適切なタイミングでの提示: 摩擦を抑えつつ、信頼性とエンゲージメントを高める設計 ユーザー体験の最適化とサインインの簡素化 – preferImmediatelyAvailableCredentials: ユーザーが迷わず選択できるように – 認証プロセスを単一ステップに集約: 認知負荷を最小化 フィッシング耐性の強化とコミュニティの貢献 – パスワードを廃止し、アカウント全体をフィッシング耐性のある状態へ移行すること が業界共通の目標 – 段階的なパスワード削除やオプトイン導入など、将来に向けた具体的なロードマップ を戦略的に策定・実行 – 成功事例や学んだ教訓をコミュニティと共有し、相互運用性を高めることで エコシステム全体を底上げ Copyright © 2026 Authlete, Inc. All Rights Reserved.
21. Googleにおけるサインインとセキュリティ (Modern Authentication in AI World) • AI Studioによる開発の合理化 (Streamlined Setup) – 自動プロビジョニング： OAuthフロー、ブランディング、API有効化をAI Studio内で 完結。従来の手動コンソール設定を自動化し、開発スピードを大幅に向上 – 運用効率化： 本番/テストモードの切り替えやユーザー許可リスト管理を プラットフォーム内で完結 • セキュリティバンドルによる動的アクセス制御 (Session Metadata) – – IDトークンへの新規クレーム追加 • auth_time：セッションの「認証日時」を把握 • amr (Authentication Method Reference)：パスワード、MFA、パスキー等の「認証手法」を識別 リスクベース認証の実装 • • セッションの鮮度と強度を可視化し、アプリ側で動的に認証ステップアップやアクセス制限を判断 クロスアカウント保護による継続的セキュリティ (RISC) – RISCフレームワーク実装： アカウント乗っ取りやトークン取り消し等の脅威イベントを、 Googleからアプリへリアルタイム共有 – リアルタイム対応： 下流アプリでの即時のセッション終了やアクセス無効化 – 透明性とユーザー保護： ユーザーの同意に基づく、Googleの脅威インテリジェンスを 活用した強固なセキュリティ Copyright © 2026 Authlete, Inc. All Rights Reserved.
22. PlayStationにおける不正アクセス防止の取り組み (Inside Identity @ PlayStation: Strategies for Modern Consumer Threats) • • • 攻撃のトレンド変化とライフサイクル全体への焦点 – サインインの認証は強力になったが、「レベル1」に過ぎない – アカウント管理、トークン管理、デジタル権限など、アカウント・ライフサイクル 全体が標的に 適応型防御のアプローチ – クレデンシャルスタッフィングに対抗すべく、パスキー/MFA導入、ボット対策、 リアルタイムなリスク判定を組み合わせて実施 – 攻撃側の効率化（メール検証APIの悪用など）に対し、防御側もAPIの保護や設計の 見直しで対抗 プロダクトとセキュリティの「協力プレイ（Co-op）」 – プロダクト開発とセキュリティチームの密な連携が不可欠 – セキュリティを単なる制約（Noと言う存在）にしない • • プロダクトのビジョンを実現するための解決策を共に模索するパートナーとして位置づける 今後の主要テーマ – 持続的認証: シームレスかつ包括的な認証の構築 – デバイス識別: マルチプラットフォーム環境での正確な識別の強化 – パスワード問題の軽減: パスキー普及を加速させ、パスワードへの依存を減らす – アカウント復旧の再考: 脆弱になりやすい復旧プロセスを、自動化や信頼できるレーン の構築で強化 Copyright © 2026 Authlete, Inc. All Rights Reserved.
23. アイデンティティ基盤への大規模変更の遂行 (Navigating the Hidden Complexities of Identity) • アイデンティティは「製品の玄関口」 – OAuthのライフサイクル、M2Mトークンの管理など、高度な技術的複雑さが存在。 可視性が低い反面、障害時は顧客体験を直撃する、ミッションクリティカルな領域 • • 事例：セキュリティリスク低減を目的に、顧客システム向けに発行済みのアクセストークン に有効期限を追加し、ブログを通じて周知した。1年後の有効期限を迎えた日、顧客の システムに影響を与え、場合によってはシステムダウンを招いた 大規模変更を管理する「PACEフレームワーク」 – – – – Pre-Mortem (事前分析) • 実装前に潜在的な障害を予測し、影響評価と顧客の階層化を実施 • テレメトリを活用し、トークンの棚卸し（インベントリ）と現状把握を徹底する。 Aligned Communication (連携コミュニケーション) • 一斉配信ではなく、開発者が活動する場所（APIエラーメッセージ等）でのターゲットを 絞った通知 • なぜ変更が必要かというストーリーを伝え、行動変容を促す Customer Enablement (顧客の有効化) • ユーザーが自ら変更を管理できる「クレデンシャル管理画面」の提供 • FAQや移行ガイドの整備、カスタマーサクセス・ヘルプデスクへの事前周知と体制構築 Execution (実行) • 社内環境での先行テスト（インフラチーム等による検証） • 一度に広げず、段階的なロールアウト（1%展開など）を実施し、フィードバックに基づき 調整を行う Copyright © 2026 Authlete, Inc. All Rights Reserved.
24. 「意図」を正しく「ポリシー」に実装する (The Hard Part of Policy Based Access Control Nobody Talks About) • ポリシー作成における「意図」の断絶 – アクセスの「意図（Access Intent）」は設計ドキュメントや個人の記憶に分散 • – AIによる生成速度とスケールが「静かなる失敗（Silent Failure）」を招く • • 自然言語を直接コードにせず、一度「構造化された意図」へ変換 • – • 制約の欠落や過剰権限付与が発生しても、システムはエラーを出さず正常動作するため、検知が困難 構造化された意図（Structured Intent）モデルの導入 – • コード変換過程で欠落しやすい 決定 / 主体 / アクション / リソース / 条件 / 目的 AIにモデル準拠を強制でき、曖昧な箇所（例：「必要に応じて」）を事前に人間へ確認できる 生成パイプラインにおける5つの検証ステップ – 事前処理： 自然言語の正規化と不要情報の削除 – 抽出： モデルに基づいた構造化意図の抽出 – スキーマ検証： 環境の有効属性（ロール、リソース等）と整合しているか確認 – ポリシー生成： 静的解析によるポリシーの一致確認 – テスト検証： 自動生成したポジティブ/ネガティブテストケースによる実行検証 ポリシーをコードとして扱う – 検証なき信頼の禁止： テストできないポリシーは信頼してはならない（ネガティブテストが 重要） – ライフサイクル管理： ポリシーは経年劣化する。本番システムと同様に、継続的な監視と 更新プロセスを構築 Copyright © 2026 Authlete, Inc. All Rights Reserved.
25. 大量のシグナルを実システムにどう反映させるか (Signal Overload: Reconciling High-Velocity Identity with API-Based Management) • ビジョンと現実の乖離 – • 構造的欠陥「スプリットブレイン」 – • ポリシーエンジン（決定）、プロビジョニング・パイプライン（処理中）、 ダウンストリームアプリ（実態）間で、常に「真実の状態」が乖離しており、 不整合が数分〜永遠に継続するリスクがある AIが加速させる致命的リスク – • 継続的アイデンティティは理想的だが、API帯域やレート制限の限界により、 ポリシー決定が即座に反映されない「執行ギャップ」が日常的に発生している AIによる攻撃の多様化と「非人間アイデンティティ」の急増により、過去の運用 プロセスやツールではもはや追いつけず、執行ギャップが即座にセキュリティ侵害に つながる 解決に向けた役割別アクション – 実装者: HTTP PATCH等の効率的なAPI設計、SCIM Bulkサポート、レート制限の可視化 と制御提供、重要アクションの優先実行 – 運用者: アプリごとの実装（統合/JIT/手動）を監査し、執行レイテンシと障害キュー （再試行失敗）を可視化・監視 – 購入者: ベンダーに対し、SCIM対応、障害処理能力、APIレート制限の柔軟性について 確認 Copyright © 2026 Authlete, Inc. All Rights Reserved.
26. 温故知新 Copyright © 2026 Authlete, Inc. All Rights Reserved.
27. わたしたちがここに至った経緯 (How We Got Here: The Story Behind Your Identity Stack and the Assumptions We Must Leave Behind) • • 年表 – 1961年（MIT）: 互換タイムシェアリングシステムのためにパスワードが誕生。 – 1970年代: セキュリティ向上のためパスワードのハッシュ化・ソルト導入。 – 1983年（Project Athena）: Kerberos登場。中央集権的なチケットシステムによる効率化。 – 1988年（「モリスワーム」事件）：相互信頼で成り立っていた小さなネットワークモデルが崩壊。 セキュリティ対策としての「壁」が必要不可欠となった。ベンダーごとの独自実装を招いた。 – 1994年（Netscape）: Cookieの導入。Webに記憶を持たせる一方、後のデータ追跡・武器化の引き金 に。 – 90年代後半〜2000年代: 規格の乱立（フェデレーション戦争） – 2007年（iPhone登場）: デバイスが常に持ち歩かれることで、物理とデジタルの境界が消滅。 – 2010年代：アイデンティティのアウトソース（コンシューマー/エンタープライズ） – 2020年（パンデミック）: リモートワーク普及により、アイデンティティがネットワーク上の 「基本要素（プリミティブ）」に昇格。従来の人間中心のモデルが限界を迎える。 まとめ – 物理とデジタルの明確な境界線は非常に明白でした。パスワードは「あなた」ではありませんでした。 アカウントは単に使用するものであり、あなたを本当に表すものではありませんでした。 – 多くの人々にとってデジタルが非常に完全なものになり、比較するための外側の世界が残っていない ため、モデルがデフォルトの権威となります。表現自体がそのもの（本人）になってしまうのです。 – アイデンティティは単なるトークン以上のものであり、あなたの名前で行動するそのエージェントは、 基本的にはパーソナライズされた要素に過ぎず、すべてのデータを与えられて、あなたが次に何を すべきかの予測を行っているだけだということです。 – もし皆さんが将来、デジタル・アイデンティティの未来について決定を下すワーキンググループや 委員会の部屋にいることに気づいたとき、これが小さな役割を果たすかもしれません。 Copyright © 2026 Authlete, Inc. All Rights Reserved.
28. ベテラン4名によるパネルディスカッション (100 Years of Identity... You’d Think We’d Be Better at This) • • • 過去から学んだ重要な視点 – 標準化は相互運用性と堅牢性を高めるための基盤 – 差別化不要な領域は戦略的に標準化し、その上に価値を構築 – コミュニティの価値: 現場の声と、互いに教え合う共有文化が堅牢性を支える 未来への展望と課題 – インテント（意図）の時代: 認可（Authorization）の課題解決が最優先事項。 単なるルールセットではなく、文脈に応じた「意図」の解釈が求められる – 防御層の進化: 監視、説明責任、強制（Enforcement）のレイヤーが統合された 「認可の防御層」が重要となる – 基盤の活用: これまでの検証済みのアイデンティティやMFA（多要素認証）を 基盤に、より複雑な環境に対応する リーダーシップと次世代への責任 – リーダーには、新しい才能を見出し、成長をサポートする機会（義務ではなく 機会）がある – 隣接領域（コンテンツ真正性など）からのインスピレーションを取り入れ、 次世代を成功の場へ引き上げることが重要 28 Copyright © 2026 Authlete, Inc. All Rights Reserved.
29. まとめ Copyright © 2026 Authlete, Inc. All Rights Reserved.
30. Takeaways • AIエージェントの台頭によりアイデンティティ基盤の前提は大きく変化 – ボリューム、スケール、関係性、インテント、… – (2010年のCloud Identity Summitのときも「クラウドの台頭により…」だったような) • 有望な標準仕様が策定されつつある一方、採用・実践はこれから – SSF, AuthZEN, Transaction Tokens, OAuth for MCP, … – 多数の「AIエージェント時代のアイデンティティフレームワーク」は思考の糧 • 既存のしくみは置き換えられるのではなく、変化の基礎となる – ユーザー認証、権限管理、システム運用など、従来のIAMの勘所は今後も重要 – OAuth is not dead 30 Copyright © 2026 Authlete, Inc. All Rights Reserved.
31. Thank You www.authlete.com info@authlete.com Copyright © 2026 Authlete, Inc. All Rights Reserved.