1Password（ワンパスワード）は、Credential Brokerのパブリックプレビュー版がリリースされたことを発表した。これにより、新しいワークロード認証情報配信システムが、全てのEnterprise Password Manager Businessのユーザーが利用できるようになった。このソリューションは、広範なサービスアカウントへのアクセス権限や、プレーンテキストの.envファイルおよびCI/CDパイプラインに埋め込まれた認証情報によって引き起こされる、一般的なインシデントや監査上の課題への対応として開発された。
本製品はワークロードIdentityフェデレーションとOIDCトークンを中心としており、最初の公式統合先としてGitHub Actionsが選ばれた。システムは、GitHubで生成されたトークンを管理者が設定した信頼ポリシーと照合し、ジョブが取得を許可されている特定の認証情報のみを発行する。アクセス範囲はワークフローの期間に限定される。発行された全てのトークンは、リポジトリー、ブランチ、ワークフロー、環境、コミットなどの詳細な属性情報とともに記録されるため、監査証跡では一般的なサービスアカウントではなく、発行元のワークロードを特定できる。
1Passwordは、統合キーは常時アクセストークンではなく暗号化キーとして機能することを強調した。つまり、キーが漏洩しても、有効なジョブに紐づいたOIDCトークンがなければアクセスは許可されないということだ。GitHub Actionsは、月間60億件以上のワークフロー実行を処理し、Fortune 100企業の90%以上で使用されていることから、最初の統合先として論理的であると指摘された。
パブリックプレビュー版では、管理者は管理コンソールからGitHub組織との連携を作成したり、信頼境界を定義したり、作成日、ID発行者、クレームなどのメタデータを表示したりできる。開発者はワークフローを直接登録および管理でき、ITチケットを発行することなく、特定のレポジトリ、GitHub環境、1Passwordワークロードへの接続範囲を指定できる。これは、パイプライン構成から機密情報を削除しつつ、摩擦を軽減することを目的としている。
カスタムOIDCワークフロー向けの新しいベータ版機能は、Kubernetesサービスアカウント、代替CI/CDシステム、AIエージェントフレームワーク、クラウドワークロードなど、OIDC対応プラットフォーム全てに同じ信頼モデルを拡張するものと説明された。このモデルでは、認証情報はアサートされたIDに基づいてオンデマンドで配信され、ジョブの実行期間中のみ保持されるため、環境、構成、またはコンテキストウィンドウに認証情報が常駐することはない。
Credential Brokerは、1Password Privileged Access（旧Apono）と並ぶ統合アクセスプラットフォームの一部として位置付けられており、両製品は相互補完的なレイヤーに対応している。Credential Brokerはリクエスト元を認証し、承認された認証情報を安全に配信する一方、Privileged Accessは、必要な時に必要なだけの制御を行うことで特権アクセスを管理する。20万社以上の企業が既に認証情報と機密情報の保護に1Passwordを利用しており、Credential Brokerは、別途の機密情報管理インフラストラクチャーを必要とせずに、自動化されたパイプラインに同じ保管庫、ガバナンス、監査証跡を拡張する。
今後の展望として、AIエージェント向けの追加統合と制御機能の強化が優先事項として挙げられた。製品ロードマップでは、エージェントに一般的に付与される有効期限の長いOAuthトークンを、タスク完了時に期限切れとなる有効期限の短いスコープ付きアクセスに置き換えることを目指しており、同時に、発行された全てのトークンをエージェントと承認した人間の両方に対してログに記録すると説明された。
Credential Brokerは現在、1Password Enterprise Password Manager Businessを利用中の全ユーザー向けにパブリックプレビュー版として提供されている。
出典：1Password
この製品の詳細については、1Password製品ページをご覧ください。
