システム監査技術者試験 令和7年度 秋期 午前II 問17

【正解】エ

SAMLは、Security Assertion Markup Languageの略で、利用者の認証結果などをXML形式のアサーションとして、異なるドメイン間で安全に受け渡すための仕様です。アサーションには、本人確認済みであることを示す認証情報だけでなく、所属や役職などの属性情報、特定の資源へのアクセスを許可するかどうかという認可情報も含められます。例えば、利用者が組織の認証基盤で一度認証を受け、その結果を外部のクラウドサービスへ伝えることで、再度ログインせずに利用できるシングルサインオンを実現できます。したがって、異なるドメインへの認証、属性及び認可情報の伝達を述べたエが正解です。

アの説明は誤りです。これはUDDIの説明です。UDDIは、Webサービスの提供者、機能、接続先などを登録し、目的に合うサービスを検索できるようにする仕組みです。

イの説明は誤りです。これはS/MIMEの説明です。電子メールを暗号化して第三者による読取りを防ぎ、デジタル署名によって改ざんの検知や送信者の確認を可能にします。

ウの説明は誤りです。これはXKMSの説明です。XKMSは、デジタル署名や暗号化で使用する公開鍵の登録、検索、検証などをWebサービスとして提供する仕様です。

【ポイント】 SAMLでは、認証を行う側をIdP、サービスを提供する側をSPと呼びます。 試験では「異なるドメイン間の認証情報」と「シングルサインオン」がSAMLを見分ける重要語です。