Microsoft のローコード基盤「Power Pages」で、外部の利用者にログインしてもらうOpenID Connect認証 が、暗号化されたIDトークンに対応します。これまでの署名付きトークンに加えて、トークンの中身(ユーザーの情報=クレーム)も暗号化して安全に受け渡せるようになります。
何が変わるのか
Microsoft 365 のロードマップ(ID 576395)によると、Power Pagesは、認証の際にトークン単位の暗号化に対応し、署名付きのIDトークンに加えて、暗号化されたIDトークンを受け付けられるようになります。これにより、認証時に渡すクレーム(ユーザーの属性情報)を安全に伝送でき、高度なID基盤(IdP)との相性も良くなり、既存のサインインの流れを変えずに、認証全体の安全性を高めるとしています。
Microsoftは、この機能のねらいとして、より安全なID基盤と連携して、厳しいセキュリティ やコンプライアンス の要件を満たせること、信頼性の高い用途に広げられること、機密性のある外部向けのアプリにPower Pagesを安心して使えることを挙げています。ロードマップ上の状態は「開発中(In development)」で、プレビューは2026年8月、一般提供(GA)は2026年12月とされています。対象はWebで、クラウドはWorldwide(標準マルチテナント)です。
Microsoft 365ロードマップに掲載された、Power Pagesの暗号化トークン対応(ID 576395) 出典: Microsoft(Microsoft 365 Roadmap) (引用) なぜ「トークンの暗号化」が意味を持つのか
OpenID Connectでは、ログインのときにID基盤から「トークン」という形で本人情報が渡されます。これまでの署名付きトークンは、「改ざんされていないか」は確認できますが、中身(氏名や所属などのクレーム)は見える状態です。暗号化されたトークンは、その中身そのものを暗号化して、途中で読み取られないように守ります。外部に公開するサイトで、機密性の高い情報を扱う場合には、この「中身の保護」が、守りを一段厚くする意味を持ちます。
影響を受けるのはどんな環境か
関係するのは、Power Pagesで外部向けのサイトを作り、OpenID Connectで外部のID基盤と連携している組織の、サイトの管理者や開発を担う情シスです。利用者側の操作は変わりません。とくに、個人情報や機微な情報を扱う外部向けサイトを運用している、あるいはこれから作ろうとしている組織にとって、選べる守りが増えることになります。
情シスが今日やること
自組織のPower Pagesの利用を把握する: 自社でPower Pagesを使って外部向けのサイトを運用しているか、OpenID ConnectでどのID基盤と連携しているかを確認します
暗号化トークンが要る要件か見極める: 扱う情報の機密性や、取引先・規程が求めるセキュリティ要件に照らして、暗号化トークンへの対応が必要かを整理します。すべてのサイトに必須というわけではありません
提供の時期を把握する: この機能は「開発中」で、プレビューは2026年8月、一般提供は2026年12月とされています。対応を予定するなら、時期を見込んでおきます
ID基盤側の対応を確認する: 暗号化トークンを使うには、連携先のID基盤が暗号化されたIDトークンを発行できる必要があります。IdP側の対応状況と設定も、あわせて確認します
認証トークンの暗号化は、必須の対策ではありませんが、機密性の高い外部向けサイトでは守りを厚くする選択肢になります。自社の利用状況と要件を確かめ、必要な場合に備えて連携先の対応も把握しておくことが、情シスの実務になります。
