Claude Platformが「ワークロードアイデンティティ連携（WIF）」を一般提供開始、APIキー不要のセキュアな認証を実現

要点

• Anthropicは、開発者向けプラットフォーム「Claude Platform」で「ワークロードアイデンティティ連携（WIF）」の一般提供を開始した。

• WIFの導入により、静的なAPIキーを排し、リクエスト時に発行される一時的で権限が制限された資格情報による認証が可能となった。

• AWS、GCP、Azure、GitHub Actions、Oktaなど、さまざまなOIDC準拠のアイデンティティプロバイダーに対応している。

• ワークロードごとに固有の権限と監査ログを割り当てられる「サービスアカウント」機能を新たに導入した。

• WIFは既存のAPIキーと並行して動作するため、既存システムから段階的に移行することができる。

• 米Anthropicは現地時間2026年6月17日、開発者向けプラットフォーム「Claude Platform」において、「Workload Identity Federation（WIF、ワークロードアイデンティティ連携）」の一般提供（Generally Available）を開始した。本機能の提供により、開発者は静的なAPIキー（固定されたパスワードのような認証情報）を一切扱うことなく、安全にClaudeのAPIを利用できるようになる。今回の対応は、対話型セッション向けに提供されている「ant auth login」機能と組み合わせることで、開発環境全体からAPIキー管理の手間とリスクを排除することを目指したものだ。

静的APIキーの漏洩リスクを排除する「WIF」の仕組み

WIFは、プログラムなどの「ワークロード」（システム上で稼働するアプリケーションや処理単位のこと）が認証を行う際、従来の固定されたAPIキーに代わって、その都度発行される有効期限の短い「一時的な資格情報（スコープ付きクレデンシャル）」を使用する仕組みである。

従来の運用では、APIキーを作成し、それを安全に保管し、定期的に更新（ローテーション）する必要があった。また、ソースコードの共有時や設定のミスによるAPIキーの外部漏洩リスクも常に付きまとっていた。しかし、WIFを導入することで、開発者はAnthropic専用の固定された認証情報を作成・管理する必要がなくなる。プログラムは、すでに自身が持っている認証情報を用いてClaude Platformに対して認証を求めることができるようになるため、鍵の管理ミスによる情報漏洩のリスクを根本から防ぐことができるという。

本機能は、業界標準の認証プロトコルであるOIDC（OpenID Connect、異なるサービス間で安全にユーザーの認証を行うための規格）に準拠したあらゆるアイデンティティプロバイダー（認証情報を管理するシステム）に対応している。具体的には、AWS（Amazon Web Services）のIAMロール、GCP（Google Cloud Platform）やKubernetes（コンテナ化されたアプリの管理システム）のサービスアカウント、Microsoft Azureのマネージドアイデンティティ、GitHub Actionsのトークン、Oktaなどが挙げられる。

新機能「サービスアカウント」による厳格なアクセス制御

WIFの一般提供開始と同時に、Claude Platformには新たに「サービスアカウント」機能が追加された。これにより、複数のワークロードで同一のAPIキーを共有するのではなく、システムを構成する個々のプログラムやタスクに対して、それぞれ固有のアイデンティティ、役割（ロール）、および監査ログ（操作の履歴）を割り当てることが可能になる。

具体的な認証の流れは以下の通りである。まず、管理者は外部のアイデンティティとClaude Platform上のサービスアカウントを結びつける「フェデレーションルール（連携ルール）」を設定する。その後、ワークロードがアクセスを要求すると、Claude Platformはワークロードから提示された署名済みのOIDCトークンを検証する。トークン内に含まれるクレーム（ユーザーやシステムに関する属性情報）が設定したフェデレーションルールと一致した場合、そのサービスアカウントに割り当てられた役割の範囲内に限定された、有効期限の短い「アクセストークン」が発行される。この認証およびアクセスのプロセスは、すべてサービスアカウントごとに監査ログに記録されるため、セキュリティ上の追跡も容易になる。

大規模組織への対応と簡単なセットアップ

WIFは、Claude Platform上のすべてのAPIエンドポイントに対応しており、ファーストパーティのSDK（ソフトウェア開発キット）やコマンドラインツール「Claude Code」からの接続時にも利用可能だ。

また、本機能は組織管理のための「Admin API」とも互換性がある。フェデレーションルールは、細分化されたスコープ（権限の範囲）を指定することで、業務に必要な最小限の権限だけを与える「最小権限の原則」に則って柔軟に構成できる。

大規模なシステム運用を行う組織向けに、フェデレーションの設定はすべてプログラムを通じて自動化できるよう設計されている。Admin APIに追加された新しいエンドポイントを利用することで、アイデンティティプロバイダー（Issuer）の登録やサービスアカウントの作成、フェデレーションルールの設定および更新をプログラムから動的に実行できる。

セットアップを迅速に行うための支援機能も用意されている。管理ツールである「Claude Console」には、対話形式で構成を進められるガイド付きの設定フローが実装されており、各設定ステップが正しく機能しているかをリアルタイムで検証できる。設定の最後には、接続を確認するためのテストコマンドが出力され、ワークロードが正しく認証できるかどうかをその場で確認できるようになっている。

段階的な移行プロセス

今回のWIFの導入にあたり、既存のAPIキーによる認証も引き続き並行して利用可能となっている。そのため、現在開発中のシステムや稼働中のサービスを一括で移行させる必要はなく、安全性を高めたいワークロードから順番に、1つずつ段階的に移行を進めることができると説明している。