Vercel 上のアプリとエージェントは、環境変数に置く長期プロバイダキーの代わりに、デプロイ単位の OIDC と Vercel Connect の getToken で短命トークンを都度取得する運用へ寄せる。Blob・AI Gateway・Sandbox と AWS／GCP／Azure 連携は OIDC 前提で整備済みで、Vercel API と CLI も長期 Vercel トークンを要さない OIDC 対応を広げる。
アプリ側の置き換え:
- 関数実行時はリクエストヘッダ
x-vercel-oidc-tokenか@vercel/oidcのgetVercelOidcToken()で Vercel 発行トークンを渡し、クラウド側の信頼設定のもとで AWS・GCP・Azure の一時資格情報に交換する。ビルド時はVERCEL_OIDC_TOKENが自動注入される。 - 外部 SaaS 呼び出しは
@vercel/connectのgetTokenでコネクタとプロジェクトリンク設定後、スコープ付きプロバイダトークンを取得する。subjectをuserにすればユーザー代行トークンも同経路。 - Azure Cosmos DB などは
ClientAssertionCredentialのコールバックにgetVercelOidcToken()を渡し、データベースキーをコードや環境変数に置かない。
プロバイダ向け:
- OIDC UI は shadcn/ui レジストリで、Vercel・GitHub・GitLab・Google・Bitbucket・AWS・Azure およびカスタム Issuer 向けの trust policy フォームとサーバー側トークン検証コードを生成する。
Marketplace と自社サービスの期限:
- 2026 年 11 月 30 日までに、Vercel からの OIDC 認証に未対応で長期シークレット認証のままの Marketplace ベンダーは一覧に Not secure を表示する。
- 2027 年 1 月から、安全な認証方式を提供しないベンダーは Marketplace から除外する。
- Vercel API と自社ネイティブ連携も同じ基準を適用する。
性能まわり:
- Vercel Functions はプラットフォーム注入トークンを SDK が追加取得なしで読む。Connect はプロセス内キャッシュし、失効前に更新する。