カスタム OIDC トークン聴衆のサポート開始
本文の状態
日本語全文を表示中
詳細モードで約2分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
Vercel Blog
Vercel は、OIDC 発行者にカスタム聴衆（audience）の指定機能を追加しました。これにより、デプロイメントが特定の第三者プロバイダ向けにトークンを要求できるようになり、サービス間認証のセキュリティが向上します。
Continue in AI NEW LAB
このニュースを、実務の判断につなげる
AI NEW LABで、試したことや先に確認したい条件を共有できます。まずはログインなしで読めます。
AI NEW LABで論点を見るSource Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Vercel の OIDC イシューア (oidc.vercel.com) は、カスタムオーディエンスをサポートするようになりました。デプロイメントは、特定のオーディエンス主張を含む OIDC トークンを要求できるようになり、サードパーティプロバイダーとの間で安全なサービス間認証が可能になります。
なぜカスタムオーディエンスなのか？
Vercel の OIDC トークンは、固定されたオーディエンス (https://vercel.com/{owner}) で発行されます。ほとんどのクラウドプロバイダーは特定のオーディエンス値を要求しませんが、各プロバイダーごとに一意のオーディエンスを使用することはセキュリティ上のベストプラクティスです。あるプロバイダーが侵害された場合、攻撃者はトークンを別のプロバイダーに対してリプレイできません - オーディエンス主張 (aud) の不一致により検証は失敗します。この新しいサービスにより、追加インフラストラクチャを管理することなく、プロバイダー固有のトークンを発行することが容易になります。
仕組み
Vercel デプロイメントが実行されると、Vercel によって署名された OIDC トークンを受け取ります。新しい交換サービスはこのトークンを受け取り、同じ鍵で署名された新しいトークンを返しますが、下流のサービスを対象とした更新されたオーディエンス (aud) 主張が含まれます。
交換後のトークンは以下の通りです：
- すべての元の主張（プロジェクト、環境、所有者、有効期限）を保持します
- イシューア (iss) を https://oidc.vercel.com/{owner} に設定し、デプロイメントの所有チームにスコープされます
- 元のトークンのオーディエンスと発行時刻を含むアクター (act) 主張を含め、監査可能な委譲チェーンを提供します
- オーディエンス (aud) を要求された下流のオーディエンスに更新します
- 発行時刻 (iat) を現在のタイムスタンプに更新し、新しいトークンが作成された時点を示します
交換されたトークンに一意の識別子を割り当てるために、オプションで jti (JWT ID) を渡すことができます。これは監査やサービス間でのトークン使用状況の追跡に有用です - 例えば、特定のトークン交換をログ内の下流 API 呼び出しと相関させる場合など。
下流サービスは、https://oidc.vercel.com/{owner}/.well-known/jwks で公開されている公開鍵を使用して、交換されたトークンを検証します。
署名キーおよびトークン交換エンドポイントはすべての Vercel リージョンに複製されており、デプロイがどこで実行されていても低遅延のトークン交換を保証します。
続きを読む
原文を表示
Vercel's OIDC issuer (oidc.vercel.com) now supports custom audiences. Deployments can request OIDC tokens with a specific audience claim, enabling secure service-to-service authentication with third-party providers.
Why custom audiences?
Vercel OIDC tokens are issued with a fixed audience (https://vercel.com/{owner}). While most cloud providers don't require a specific audience value, using a unique audience per provider is a security best practice. If a provider is compromised, an attacker cannot replay the token against a different provider - the mismatched aud claim will cause verification to fail. This new service makes it easy to mint provider-specific tokens without managing additional infrastructure.
How it works
When a Vercel deployment runs, it receives an OIDC token signed by Vercel. The new exchange service accepts this token and returns a new one signed with the same key, but with an updated audience (aud) claim targeting your downstream service.
The exchanged token:
Preserves all original claims (project, environment, owner, expiration)
Sets the iss (issuer) to https://oidc.vercel.com/{owner}, scoped to the team that owns the deployment
Includes an act (actor) claim with the original token's audience and issued-at time, providing an auditable delegation chain
Updates the aud to the requested downstream audience
Updates the iat (issued-at) to the current timestamp, reflecting when the new token was created
You can optionally pass a jti (JWT ID) to assign a unique identifier to the exchanged token. This is useful for auditing and tracing token usage across services - for example, correlating a specific token exchange with downstream API calls in your logs.
Downstream services verify the exchanged token using the public key available at https://oidc.vercel.com/{owner}/.well-known/jwks.
Both the signing key and the token exchange endpoint are replicated across all Vercel regions, ensuring low-latency token exchange regardless of where the deployment is running.
Read more
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み