情報処理安全確保支援士試験 令和5年度 春期 午前II 問3

【正解】ア

SAML認証では、利用者を認証するIdPと、サービスを提供するSPが役割を分担します。IdPがパスワードなどを用いて利用者を認証し、成功すると、認証結果や利用者属性を記載したアサーションを発行します。SPは、アサーションの電子署名、有効期限、発行者、宛先などを検証し、正当であれば利用者にサービスへのアクセスを許可します。この流れを示すアが正解です。

イの説明は誤りです。Webサーバにエージェントを導入し、認証サーバとの連携やcookieによってアクセスを制御するのは、エージェント方式のシングルサインオンの説明です。SAMLで中心となるのは、IdPが発行し、SPが検証するアサーションです。

ウの説明は誤りです。認証成功後にチケットを発行し、そのチケットを利用してサービスへアクセスするのは、Kerberos認証の説明です。Kerberosでは、KDCと呼ばれる認証基盤がチケットを発行しますが、SAMLではXML形式のアサーションが認証情報の受渡しに使われます。

エの説明は誤りです。リバースプロキシで認証し、全てのアクセスをそのプロキシ経由にするのは、リバースプロキシ方式のシングルサインオンです。これはSAML固有の認証の流れではありません。

【ポイント】 SAMLでは「IdPが認証し、SPがアサーションを検証する」という役割分担を押さえましょう。 アサーションは認証結果を伝える情報であり、その署名や有効期限の検証がなりすまし防止に重要です。