プロジェクトマネージャ試験 令和6年度 秋期 午前II 問23

【正解】エ

SAMLは、Security Assertion Markup Languageの略で、異なるシステム間で認証や認可などの情報を交換するためのXMLベースの仕様です。代表的な利用場面はシングルサインオンです。認証を担当するIdPが、利用者を認証した事実や属性を「アサーション」という形式で発行し、サービスを提供するSPがそれを受け取ってアクセスを許可します。このように、複数のサービス間で認証結果や権限判断に必要な情報を連携するので、エが適切です。

アの「負荷や動作状況に関する情報を送信する仕様」は誤りです。これは主にSNMPの説明です。SNMPは、ネットワーク機器などの状態監視や管理情報の取得に用いられます。 イの「脆弱性情報や脅威情報を交換する仕様」は誤りです。脅威情報の記述にはSTIX、伝送・交換にはTAXIIなどが用いられます。SAMLが扱う中心は利用者の認証・認可情報です。 ウの「通信を暗号化してVPNを実装する仕様」は誤りです。これはIPsecなどの説明です。IPsecはIPパケットの暗号化や認証を行い、安全な通信路を構成します。SAML自体は通信路を暗号化する規格ではありません。

【ポイント】 ・認証は「誰であるか」の確認、認可は「何をしてよいか」の判断です。 ・SAMLでは、IdPが認証情報を発行し、SPがそれを信頼してサービスを提供します。 ・SAMLはWebサービス間のSSOでよく用いられ、通信保護にはTLSなどを併用します。