Postman、AIエージェント向けAPI認証基盤「Passport」を一般提供

Postmanは9月15日、API認証基盤「Passport by Postman」の一般提供を開始しました。
開発者やAIエージェントが、実際のAPI資格情報を保持せずに承認済みAPIを呼び出せる仕組みです。
顧客環境内で資格情報を管理し、アクセス制御や呼び出しの監査、数秒での取り消しに対応します。

記事の概要

Passportは、開発者、マシン、AIエージェント向けのシークレットレスなAPIアクセスを提供します。
APIキーやトークンなどの実際の資格情報は、顧客のVPCや保管庫内でセルフホストして保持します。
利用者には、リクエストしたアイデンティティに紐付く暗号化ポインタ「参照トークン」を発行します。
アクセス権限は、許可するアクション、ホスト、パスまで細かく設定できます。
各リクエストは、保管庫に到達する前に設定したルールに対して検証されます。
AIエージェントには、永続的な親アイデンティティから一時的なタスク単位のアイデンティティを発行します。
サブエージェントは親の権限の一部だけを継承するため、長期的なシークレットを配布せずに運用できます。

記事のポイント

1. 資格情報を保持させない設計： 実際のAPIキーをVPCや保管庫内に保ち、開発者やエージェントには参照トークンだけを渡します。
2. 権限を細かく設定： アクション、ホスト、パス単位で許可範囲を指定し、各リクエストを保管庫の前段で検証します。
3. 一時的な権限で運用： エージェントにはタスク単位のアイデンティティを発行し、サブエージェントの権限も限定します。

このニュースがもたらす影響

• 導入検討企業： 導入の検討では、APIキーをどこに置くかだけでなく、アクション・ホスト・パス単位の許可ルールと、タスク終了時の権限失効をどう設計するかが先行課題になりそうです。
• セキュリティ部門： 資格情報を配布して守る運用から、参照トークンの発行元や親子アイデンティティ、リクエスト監査を管理する運用へ、評価項目を見直す必要がありそうです。
• 競合サービス提供者： 既存のAPIキー管理やゲートウェイとの差別化では、エージェントの一時権限、細かな認可、数秒での取り消しをどう扱うかが問われそうです。

このニュースの背景

開発者の端末やリポジトリ、チャットツール、CIログなどに実際のAPI資格情報が広がると、セキュリティチームによる監査や管理が難しくなります。
AIエージェントによるAPI呼び出しが人間より速いペースで増えることで、資格情報の漏洩や悪用に備える必要性が高まっています。
こうした課題に対し、Passportは資格情報を顧客環境内に保持し、利用者には暗号化された参照トークンを渡す設計を採用しています。

関連するニュース

• フロータスがコード改修不要でAIエージェントにセキュリティ基盤と24時間365日運用を追加するサービスを始めます。

詳しい記事の内容はこちらから（引用元）

プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES

Postman、AIエージェント時代にシークレットレスなAPIアクセスを実現する「Passport」の一般提供を開始

Postman株式会社のプレスリリース（2026年9月16日 09時13分）Postman、AIエージェント時代にシーク…