AWSとKeyfactor、X.509 PKIを活用したAIエージェント向け認証アーキテクチャを発表

要点

• AWSとKeyfactorが、X.509公開鍵基盤（PKI）を用いてAIエージェントの身元を暗号学的に証明・保護する共同リファレンスアーキテクチャを発表した。

• 外部ツール連携仕様「Model Context Protocol（MCP）」に認証の仕組みが組み込まれていないセキュリティ上の課題に対処する。

• 署名付きエンベロープ、ユーザー委任アサーション、RFC 8693トークン、リアルタイムOCSP失効確認の4つの防御機構を導入している。

• 「Amazon Bedrock」や「AWS Strands Agents SDK」などを組み合わせた検証用コードがGitHubで公開されている。

• 米Amazon Web Services（AWS）は現地時間2026年10月20日、公式技術ブログ「AWS ML Blog」において、X.509公開鍵基盤（PKI：デジタル証明書を用いて通信相手の身元を保証する暗号基盤）を活用してAIエージェントのアイデンティティを保護する共同リファレンスアーキテクチャを発表した。マシンアイデンティティ管理ソリューションを手がける米Keyfactorとの協業によるもので、企業の機密リソースにアクセスする自律型エージェントのなりすましや不正操作を防ぐ設計指針を提示している。

MCP連携における認証不在とゼロトラストの課題

AIエージェントが企業のデータベースやAPIといった重要な業務リソースに直接アクセスする機会が増加する中、暗号技術に基づいた厳格なアイデンティティの確立が不可欠となっている。元記事では、どのアカウントやエージェントが要求を発行したかの証明、エージェント同士のなりすまし防止、認可された正規ユーザーの代理としてのみ行動していることの確認が中核課題として挙げられている。コンポーネント間でのAPIキー共有やOAuthトークンの引き渡しといった従来の方式では、エンタープライズ環境が求めるゼロトラスト原則を満たせないという。

さらに、マルチエージェント環境では外部ツールやデータソースを接続するオープン仕様として「Model Context Protocol（MCP：大規模言語モデルが外部ツールやデータへ接続するためのプロトコル）」の採用が広がっている。しかし、MCPは通信路を問わないトランスポート非依存の設計である一方、プロトコル自体に認証標準が組み込まれていない。そのため、適切な識別・認証の仕組みが存在しなければ、第三者によるエージェントの詐称、認証情報の盗聴や再利用（リプレイ）、認可されていないツールの呼び出しといったセキュリティリスクが生じると説明されている。

ゼロトラストを実現する4つのセキュリティ機構

こうした課題に対処するため、両社のエンジニアリングチームはKeyfactorのPKIプラットフォーム「EJBCA」とAWS環境を組み合わせ、互いに補完し合う4つの暗号学的防御機構を設計した。

1つ目は「署名付きリクエストエンベロープ」である。エージェントが外部ツールを呼び出すたびに暗号学的な保有証明（proof-of-possession）を付与し、正規の秘密鍵を持つエージェント自身からの正当な要求であることを保証する。

2つ目は「ユーザー署名による委任アサーション」である。エンドユーザーの生資格情報をエージェントと共有することなく、エージェントがユーザーの正当な代理人として処理を実行する権限を安全に付与する仕組みを提供する。

3つ目は「RFC 8693準拠のオーディエンススコープ付きトークン」である。RFC 8693（OAuth 2.0におけるトークン交換手順を定めた標準仕様）に基づき、利用可能な対象や権限の範囲を厳密に限定することで、単一のトークンが漏洩した場合でも被害の拡大を局所化できる。

4つ目は「リアルタイムOCSP失効チェック」である。OCSP（Online Certificate Status Protocol：証明書の有効状態をリアルタイムに問い合わせる規格）を活用し、認証情報の変更や失効をすべてのエージェントに対して即座に同期・反映させる体制を整えた。

AWS基盤とKeyfactor EJBCAの統合アーキテクチャ

暗号学的アイデンティティ基盤の中核を担う「EJBCA Enterprise」は、高可用性デプロイやREST APIによる自動化に対応したKeyfactorの認証局（CA）兼PKIプラットフォームだ。発表によれば、Keyfactorの製品群は金融、医療、製造、政府機関など世界1,500社以上のエンタープライズ顧客に採用されているという。X.509証明書の発行や失効リスト（CRL）配布、証明書ライフサイクル管理をWebコンソールおよびREST APIで提供し、オンプレミスやコンテナのほかAmazon Elastic Compute Cloud（Amazon EC2）上にも展開できる。

今回のリファレンスアーキテクチャでは、推論処理を担う「Amazon Bedrock」、エージェント開発フレームワーク「AWS Strands Agents SDK（Python向け）」、秘密情報管理「AWS Secrets Manager」、データベース「Amazon Relational Database Service（Amazon RDS）」といったAWSのマネージドサービス群とEJBCAが統合されている。AWS側が計算リソースやストレージ、AI推論環境を提供する一方、Keyfactor側はエージェントを検証可能かつ失効可能な短命の認証情報へと紐付ける暗号学的アイデンティティ層を担う形となっている。

なお、保護対象としてデータベースが例示されているが、元記事では同じ認証パターンがあらゆるMCP互換ツールサーバーに対してそのまま適用可能であると強調されている。検証に必要な完全なサンプルコードは、GitHub上のリポジトリを通じてオープンソースとして公開されている。

補足

Model Context Protocol（MCP）はツール連携基盤として急速に普及しているが、安全な本番運用に向けた認証仕様の補完が業界内の重要テーマとなっていた。