今年の5月5日にマイクロソフトを退任したキム・キャメロン氏(*1)が、「Identity Gangs」とのディスカッションから抽出した「アイデンティティの7原則（Seven Laws of Identity)」というものがある。多くの関係者が参照している基本文書なのだが、日本では意外と知らない人が多いので、CTCの富士榮さんが抄訳されているものをここに転載しておく。
| # | 原則 | 内容 |
| 1 | ユーザーによる制御と同意 | アイデンティティ・システムは、ユーザーの同意がなければユーザーを識別する情報を開示すべきではない |
| 2 | 限定された用途で最低限の公開 | 最も安定し、長期にわたって使用できるソリューションとは、開示するアイデンティティ情報を最小限にし、情報へのアクセスを適切に制限するソリューションである |
| 3 | 正当な関係者のみへの情報開示 | アイデンティティ・システムは、特定の状況において識別情報を必要とし、かつ入手できる正当な権利を持つ関係者のみに対して情報を開示するように設計されなければならない |
| 4 | 方向付けられたアイデンティティ | アイデンティティ・システムは、公に使用する「全方位的」な識別子とプライベートで使用する「特定の方向性」を持った識別子の両方をサポートしなければならない。このことにより公共性を維持しながら不必要に関連付けの公開を防止できる |
| 5 | 複数のアイデンティティ・プロバイダと技術の相互運用性 | アイデンティティ・システムは、複数のアイデンティティ・プロバイダによって実行される複数のアイデンティティ技術の相互運用性を保持しなければならない |
| 6 | 人間の統合 | アイデンティティ・システムは、利用者たるユーザーを分散システムの1つのコンポーネントとして定義しなければならない。明確なマンマシン・インターフェイスを策定してユーザーを分散システムに統合し、アイデンティティを保護しなければならない |
| 7 | シンプルで一貫性のあるユーザー・エクスペリエンス | アイデンティティ・システムは、さまざまな状況下でのアイデンティティ・コンテキストの分離を可能にしつつも、一貫性のあるユーザーとテクノロジのインターフェイスを提供しなければならない |
 |
||
| 「インターネット世界におけるアイデンティティの7つの基本原則」の概要 | ||
| 詳細が記されている原文はKim Cameron氏のブログに掲載されているPDF文書で閲覧できる。 | ||
（出所）http://www.atmarkit.co.jp/fwin2k/operation/adfs2sso02/adfs2sso02_02.html
書かれてからずいぶん時間がたっている文書だが、その意図するところは未だに色あせていない。OECD8原則(*2)と並んで、繰り返し噛み締めるにたる「原則」である。たまたま、キムと彼の退任の前々日にマウンテンビューで飲む機会があったので、記念にここにも抄録しておく。（ちなみに、退任の翌週、ミュンヘンでも会った 🙂
(*1) Kim Cameron: マイクロソフトの元アイデンティティ・アーキテクト。アイデンティティ業界の思想に多大な影響を与えた。InfoCard の生みの親のひとり。この7原則は InfoCard の設計に反映されていたが、残念ながら InfoCard は商業的成功は得られず Feature Complete になってしまった。しかし、これらの思想は、OpenID Connect に受け継がれている。
(*2) OECD8原則：
#1 目的明確化の原則
収集目的を明確にし、データ利用は収集目的に合致するべき
#2 利用制限の原則
データ主体の同意がある場合、法律の規定による場合以外は目的以外に利用使用してはならない
#3 収集制限の原則
適法・公正な手段により、かつ情報主体に通知又は同意を得て収集されるべき
#4 データ内容の原則
利用目的に沿ったもので、かつ、正確､完全､最新であるべき
#5 安全保護の原則
合理的安全保護措置により、紛失・破壊・使用・修正・開示等から保護するべき
#6 公開の原則
データ収集の実施方針等を公開し、データの存在、利用目的、管理者等を明示するべき
#7 個人参加の原則
自己に関するデータの所在及び内容を確認させ、又は意義申立を保証するべき
#8 責任の原則
管理者は諸原則実施の責任を有する