AWSとKeyfactorは3つのAIエージェントに個別の証明書を持たせ、1つ失効させれば連鎖全体の権限を断つ
AWSとKeyfactorは各AIエージェントに専用の証明書を持たせ、ユーザー証明書の失効で連鎖全体の権限を断つ。自分のシステムを確かめる3つの問い。
チームのAIアシスタントは、複数のエージェント（自分でツールを呼び出すAIソフトウェア）で構成され、社内のデータベースとメールボックスにアクセスできます。今日、従業員が1人退職します。その人の代わりにエージェントがしていることを、1回の操作で止められるでしょうか。それとも、APIキー（プログラムがサービスを呼び出すための鍵）、ログインセッション、エージェントを1つずつ探して回ることになるでしょうか。2026年10月20日、AWSとKeyfactorのエンジニアが、この問いにデジタル証明書で答える参照アーキテクチャを公開しました。両社の製品を使っていなくても読む価値があります。
AWSとKeyfactorの記事は何を提案しているか
記事はDeepakkumar Sharma、Alex Ament、JD KilgallinがAWSのMachine Learningブログに書いたものです。問題はこう説明されています。MCP（Model Context Protocol、エージェントをツールやデータにつなぐプロトコル）には独自の認証標準がないため、どのコンポーネントもエージェントになりすましたり、盗み取った認証情報を再送したりできます。記事によれば、コンポーネント間でAPIキーを共有したり、エージェントの連鎖にOAuthトークン（一時的なアクセス用トークン）を渡したりする方法は、企業が求めるゼロトラスト（何も既定では信頼しない考え方）の要件を満たしません。
アーキテクチャはX.509証明書、つまり認証局が署名するデジタルの身元証明書を使い、認証局にはKeyfactorのEJBCAを使います。仕組みは4つです。
- リクエストごとの署名付きエンベロープ。 オーケストレーターエージェントは、リクエスト全体（ツール名、引数、タイムスタンプ、1回限りの乱数）を自分の秘密鍵で署名します。受け取るエージェントは、送信者が本当にその鍵を持っているか確認できます。同じプロンプトを再送するときは新しいエンベロープが必要で、古いエンベロープは再利用できません。
- ユーザーが署名する委任文書。 ログイン時にアプリケーションが鍵ペアを作り、ユーザーと3つのエージェントの証明書を申請します。そしてユーザーが、3つのエージェント証明書のSHA-256フィンガープリント（指紋）を並べた文書に署名します。エージェントはユーザーの認証情報の代わりにこの文書を持ちます。
- 受け手を限定したトークン。 RFC 8693の標準に従い、セッション全体のトークンを、MCPサーバーだけで使える狭いトークンに交換します。エージェントに渡すのは狭いトークンだけです。
- リアルタイムの失効確認。 すべてのリクエストで、OCSP（証明書が失効したかどうかを問い合わせるプロトコル）によってEJBCAに確認します。
ログアウトのとき、システムはユーザー証明書と3つのエージェント証明書を失効させます。記事は、すべてのリクエストがOCSP確認を通るため、ユーザー証明書を1つ失効させるだけで、トークンやセッションを1つずつ消さなくても、すべての委任とその先のエージェントの権限が無効になると述べています。これは両社自身によるサンプルシステムの説明で、記事に測定結果や独立したテストはなく、例では保護対象のリソースとしてデータベースを使っています。例の証明書の有効期間は7日で、OCSPに問い合わせられない、署名が違う、タイムスタンプが期限切れ、1回限りの乱数が重複する、受け手が違う、のいずれかならリクエストを拒否します。
自分のシステムに持ち帰る3つの問い
以下の3つの問いは本記事の提案で、どのシステムでも試していません。X.509証明書を使わないエージェント認証の仕組みにも、同じ問いを向けられます。
- 1人を失効させると、エージェントの権限も一緒に消えるか。 エージェントが1人のユーザーの代わりに持っているものをすべて挙げます。APIキー、トークン、セッションです。それぞれについて、誰が失効させ、どれだけ時間がかかるかを書き留めます。ユーザーより長く生き残るものや、手で消すしかないものがあれば、それが最初にふさぐべき穴です。
- 失効確認のコンポーネントが応答しないとき、システムは拒否するか、通すか。 記事は拒否を選んでいます。テスト環境で確認サービスを一時的に止め、エージェントのリクエストがブロックされるか見てください。それでも通るなら、エージェントの権限は、確認サービスが決して壊れないことに頼っています。
- エージェントは、許可リストにない別のエージェントを呼べるか。 例では、データベースエージェントとメールエージェントを呼べるのはオーケストレーターエージェントだけです。子のエージェントどうしは呼び合わず、上へ呼び返すこともしません。子のエージェントに別の子のエージェントを呼ばせてみてください。呼べたなら、誰が許可したか、なぜかを記録します。
3つの問いすべてに1行で書ける答えがあれば、エージェントの権限がどこで終わるか分かっています。「分からない」という答えが1つでもあれば、分かるまでエージェントの権限を広げないでください。
出典
- AWS Machine Learning Blog, “Securing AI agent identity with X.509 PKI on AWS”（2026年10月20日） — AWSとKeyfactorの参照アーキテクチャ。署名付きエンベロープ、委任文書、RFC 8693トークン、OCSP確認、ログアウト時の失効の連鎖、セキュリティ上の考慮点を説明しています。