Postman、シークレットレスなAPIアクセスを実現する「Passport」を一般提供

　APIプラットフォームを提供するPostmanは2026年9月15日、「Passport by Postman」の一般提供を開始したと発表した。人間と非人間（AIなど）のアイデンティティが共存して働く環境で、安全なAPI利用を実現する独立した製品で、同社のAPIセキュリティ領域への拡大を意味する。すべての呼び出しの完全なアトリビューション（属性特定）、きめ細かなアクセス制御、数秒でのアクセス取り消し機能をセキュリティチームに提供する。

　APIキーやトークンなどの実際の資格情報は、一度開発者のマシンに渡ると.envファイル、リポジトリ、チャットツール、IDE設定、CIログなどに拡散し、完全な監査・管理が困難になる。漏洩した単一の資格情報が検知前に何千回も悪用される可能性もあり、AIエージェントが人間の1,000倍のペースでAPIを呼び出し始める中、攻撃対象領域は急速に拡大している。

　Passportは、シークレットの配布や保護に重点を置く従来のAPIキー管理やゲートウェイと異なり、資格情報を顧客環境内でセルフホストして保持する。実際のAPIキーはVPCおよび保管庫（Vault）内に置かれ、開発者やエージェントには、プロキシなしでは機能せず、リクエストしたアイデンティティに紐付く暗号化ポインタである「参照トークン」が渡される。

　権限は許可するアクション、ホスト、パスの単位で付与でき、すべてのリクエストは保管庫に到達する前にルールに対して検証される。エージェントには永続的な親アイデンティティから発行された一時的でタスクスコープ限定のアイデンティティが与えられ、サブエージェントは親の権限の一部のみを継承する。これにより、長期にわたるシークレットを配布せずにエージェント群を運用できる。

　Passportは同日より利用可能となっている。