Identity Deep Dive

WIMSE Workload Proof Token

リクエストごとの署名付き JWT で、Workload Identity Token の鍵の所持を、対象とメッセージに結び付けて証明する。

現在地: WG ドラフト
公式本文: draft-ietf-wimse-wpt-02; 2026-08-27
公式に文書化された対応: 0
動き: 2 件の動き (90 日)

この仕様の解説はまだ書かれていない。下の要約・関係・対応状況は維持されている。

リクエストごとの署名付き JWT で、Workload Identity Token の鍵の所持を、対象とメッセージに結び付けて証明する。

他の仕様との関係

関係図

flowchart LR
  s_wpt["WIMSE Workload Proof Token"]
  s_wimse_creds["WIMSE Workload Credentials"]
  s_dpop["DPoP"]
  s_wimse_httpsig["WIMSE HTTP Message Signatures"]
  style s_wpt stroke-width:3px
  s_wpt -->|土台とする仕様| s_wimse_creds
  s_wpt -.-|代替| s_dpop
  s_wimse_httpsig -.-|代替| s_wpt

公式に文書化された対応

利用状況には、公式のドキュメント（ベンダーやプロジェクト自身のもの、または標準化団体がその名前を挙げているページ）に対応が明記されているものだけを載せている。引用した文言がそのページにまだあるかは毎週確認している。実験的・アルファ・ベータの対応は「プレビュー」として別に数える。

出典付きの対応情報はまだ集めていない。普及していないという意味ではない。

動き

Datatracker の revision 履歴、このサイトの日次 run が書いた解説、draft 名を挙げた ML の件名。

このサイトの解説

議論IETF WIMSE
Kathleen による draft-ietf-wimse-wpt のレビューは、jti の再利用検査がなぜ RECOMMENDED なのかと、衝突耐性のあるクレーム名の意味を問うている。
Review of draft-ietf-wimse-wpt
解説を読む
このレビューは主に編集上の指摘であり、実装者向けの明快な手引きだと評価している。Key Characteristics の段落を分けることを求めている。セキュリティの観点では、WPT の有効期間内に jti が未使用であることの検査が、なぜ MUST ではなく RECOMMENDED なのかを問う。また、example.com/myclaim のようなクレーム名について、衝突耐性という語は通常ハッシュ関数に使われるため、何を意味するのかを尋ねている。まだ本文の変更はない。
- ドラフトが推奨にとどめている WPT の jti 再利用検出を、強制するかどうか判断する実装者。

メーリングリスト

[WIMSE] Review of draft-ietf-wimse-wpt 11月9日 · IETF WIMSE