MCPを待つな、パスキーを拡げよう（OAuth/OIDC Numa (Immersion) Workshop 2026）

2026/08/25 開催
OAuth/OIDC Numa (Immersion) Workshop 2026 発表資料

MCPを待つな、パスキーを拡げよう
限定認可（Scoped）パスキーで権限委譲の課題は解決するか

KDDI株式会社
小岩井 航介

Transcript

1. MCPを待つな、パスキーを拡げよう 限定認可（Scoped）パスキーで 権限委譲の課題は解決するか
2. 課題認識
3. 課題認識 パスワードが絶滅するより先に、 AIエージェントがパスキーを使い始めるだろう ▸ MCPはいわば旧来のAPIエンドポイントである。 ▸ API (OAuth2.x) 対応をしていない現行サービス が、MCP対応をするのは何年先の話だろうか？ ▸ AIエージェントは、人間用のHTMLを普通に解釈 し、タスクを遂行することができる。
4. ⚪︎ 課題認識 AI以外にも、エージェント（代理人）の ユースケースは多く存在している ▸ 親の契約したサブスクを子供が閲覧する ▸ 円以下の消耗品の購入は部長承認不要 ▸ 自分の死後、家族に金融資産を継承する
5. 限定認可（Scoped） パスキー
6. 限定認可（Scoped）パスキー 特定のパスキーに、 限定された権限だけを付与する ▸ 権限の限定されたパスキーは、自分以外の誰か に渡すことができる。 ▸ 自分以外の「誰か」とは、人間でも、人間以外 でもよい
7. 限定認可（Scoped）パスキー AIエージェントがユーザの許諾のもと、 パスキーの発行をOAuthで可能とする ▸ 幸いにも、Tim Cappalli が企業向けにパスキーを発行する仕様として、 WebAuthn Direct Registration for Workforce (WDR4W) というドラフトを公開 ▸ 企業向けのため、Enterprise Attestationの仕様などを想定しているが、我々の ユースケースにも、簡略化して適用可能 https://github.com/timcappalli/explainers/blob/main/WebAuthnDirectRegistrationWorkforce/explainer.md
9. デモ sp.exarnp1e.com （タイポに注意）
10. 限定認可（SCOPED）パスキーで権限委譲の課題は解決するか まとめ ▸ パスワードが絶滅するより先に、各サービスがMCPを実装するより早く、 AIエージェントはパスキーを使い始めるだろう ▸ 限定認可（Scoped）パスキーによって、企業内、家庭内の人間同士の権限委譲 だけでなく、AIエージェントへの権限委譲も可能になる ▸ OAuth2.xで認可を行い、APIエンドポイントでパスキーを発行できるようにする ことにより、AIエージェントに安全に権限委譲することが可能になる