平成27年度秋期 ネットワークスペシャリスト 午後Ⅰ 問1

シングルサインオンの導入に関する次の記述を読んで、設問1~4に答えよ。 A 社は、新興の広告代理店である。A社ではここ数年、業務の拡大傾向が続き、 営業システムや広告システムなど、PC の Web ブラウザからアクセスされる Web ア プリケーションを導入してきた。これらのWebアプリケーションの利用者認証は、 それぞれ個別に行っている。しかし、この方法は利用者の利便性が低いことから、 情報システム課に改善の要望が出されていた。 そこで、情報システム課のB課長は利用者からの改善要望を踏まえ、全ての社内 Webアプリケーションの認証を共通化するために、シングルサインオン(以下、 SSO という)の導入を考えた。SSOを導入すると、利用者は一度の認証操作で複数 のシステムの利用が可能となる。 [SSO の導入] 情報システム課は、A社の全システムにSSOを本格導入する前に、試験的に営業 システムと広告システムに SSOを導入することにした。そこで、B 課長が要件をと りまとめ、ネットワーク担当のC氏に検討を指示した。その指示の内容を次に示す。 ・PCからアクセスされる、営業システムと広告システムを対象範囲として、SSOを 可能にする。 ・SSO サーバは、障害に備えて負荷分散装置(以下、LB という)によって二重化を 行う。 ・LBは、DSR (Direct Server Return)方式を使用する。 ・関連するシステムのURLを、表1のように設定する。 表1 関連するシステムの URL システム名称 サーバ名称 URL 備考 SSO システム SSO サーバ http://sso.a-sha.example.jp 新規 営業システム 営業サーバ http://eigyou.a-sha.example.jp 現状のまま 広告システム 広告サーバ http://koukoku.a-sha.example.jp 現状のまま C氏が検討したA社のシステム構成を、図1に示す。 = 2 - A社 ルータ VIPアドレス LB VIPアドレス:仮想IPアドレス SW1、 SW2: レイヤ2スイッチ SW1 SW2 SSOサーバ1 SSOサーバ2 PC PC 営業 広告 サーバサーバ 内部DNSサーバ 注記 網掛け部分は、導入検討中の機器を示す。 図1 C氏が検討したA社のシステム構成(抜粋) [SSO についての検討] C氏はHTTP を用いたSSOの方式と認証処理シーケンスについて検討した。SSO の方式を分類すると、SSO で利用したいサーバにエージェントと呼ばれるソフトウ エアモジュールをインストールして実現するエージェント方式と、SSO サーバにお いて全ての通信の中継を行う【ア】方式がある。C氏は、エージェント方式の 検討を行い、エージェント方式を採用することにした。 エージェント方式における SSO認証処理のシーケンスは、次のとおりである。 1 PCからWebアプリケーションサーバに、サービス要求を行う。 2 Web アプリケーションサーバ内のエージェントは、サービス要求中の Cookie に認証済資格情報(以下、アクセスチケットという)が含まれているか確認す る。含まれていなければ、サービス要求は SSO サーバへ【イ】される。 3 SSO サーバからPCに、認証画面を送る。 4 PCからSSO サーバに、UserIDとPassword を送出する。 5 SSO サーバは、UserIDとPassword から利用者のアクセスの正当性を確認し たら、アクセスチケットを発行して、Cookie に含めて応答を返す。サービス要 求は、Web アプリケーションサーバへ【イ】される。 6 Web アプリケーションサーバ内のエージェントは、SSO サーバにアクセスチ ケット確認要求を送り、SSOサーバは、確認して応答を返す。 7 Webアプリケーションサーバは、6の応答によって利用者のアクセスの正当 性が確認できた場合、Webアプリケーション画面を送出する。 エージェント方式における SSO 認証処理のシーケンスの1~7を図示すると、 図2のようになる。 Webアプリケーション PC サーバ SSOサーバ サービス要求 → 応答 SSOサーバアクセス 認証画面 User ID/Password 送出 応答 サービス要求 → アクセスチケット確認要求 → 応答 Webアプリケーション画面 図2 エージェント方式におけるSSO認証処理のシーケンス 〔SSO サーバの動作確認] C氏は、図 1と同等構成の検証環境を本番環境とは別に用意し、SSO サーバを構 築した。また、営業サーバと広告サーバには、エージェントのインストールを行っ た。 検証環境を構築した後、動作確認として営業システムへのアクセスを行ったとこ ろ、認証画面が表示されるところまでは想定どおり動作したが、UserID と Password を正しく入力しても、営業システムの画面に遷移せず、SSOとして正しく動作しな かった。原因を調査したところ、SSO サーバから送出される HTTP 応答パケットの【ウ】ヘッダフィールドに、Domain 属性が付与されていないからであった。 そこで、表 1中のURL 情報を参照して、SSO サーバの設定項目中の(I) Cookie のDomain 属性を設定した。その結果、営業システムと広告システムにおいて SSO が正しく動作するようになった。 SSOで Cookieを用いる場合、Cookie が漏えいしたときにセキュリティの問題が生 じる。そこで、(II)Cookieが平文でネットワークを流れないよう、表1中のサーバ から返される全てのページを SSL/TLS対応ページに変更した。 = 4= 〔負荷分散に関する設定と動作確認〕 C氏は、検証環境において、図1と同じように、LBをSW2に接続してVIPアド レスと負荷分散ポリシを設定するとともに、PCから sso.a-sha.example.jp への認証リ クエストの宛先がこのVIPアドレスとなるように、【エ】サーバに設定を行っ た。SSO サーバをDSR 方式で負荷分散するときのLBの動作の要点を次に示す。 (1) PCから SSO サーバへのリクエストは、LBに設定されたVIPアドレスに送ら れ、LBは当該リクエストを負荷分散ポリシに従って、SSOサーバ1又は SSO サ ーバ2に転送する。 (2) 振り分け先については、TCP コネクション確立のためのSYN パケットがPCか ら届いた時点で、決定される。 (3) 振り分け先として決定された SSO サーバにリクエストパケットが転送される が、このリクエストパケットの宛先アドレスはVIPアドレスのままである。 要点(2)の動作から、DSR方式のLBは(III) Cookie などのレイヤ7の情報を基 にして振り分け先サーバを選定するような方式には対応できないことに注意する必 要がある。 要点(3)の動作から、SSO サーバは、自IPアドレスと異なるVIPアドレス宛ての パケットを受信しなければならない。そこで、VIPアドレスを付与した【オ】インタフェースをSSOサーバに設定することにした。 C氏が【オ】インタフェースをSSOサーバに設定した後にLBを再起動した ところ、(IV)IPアドレス重複エラーが検知された。そこで、このエラーの原因を調 査し、(V)SSO サーバに ARP 関連の設定を加えて対処した。この対処によってエ ラーが解消され、想定どおりに動作することが確認された。 その後、A社は、営業システムと広告システムを対象範囲とする SSO システムを 正式に導入することにした。 設問1 本文中の【ア】～【オ】に入れる適切な字句を答えよ。 設問2 図 2中の6で確認が行われるアクセスチケットは、PC に対して発行され たものである。PCはどの時点でアクセスチケットを得るかを、図2中の1 〜7の番号で答えよ。 設問3 [SSO サーバの動作確認〕について、(1)、(2)に答えよ。 (1) 本文中の下線(I)で、CookieのDomain 属性として設定した具体的な ドメイン名を答えよ。 (2) 本文中の下線(II)について、その対策を行っても、予期しなかったコ ネクションを介して、Webブラウザから Cookie が平文で、ネットワーク上 に意図せず流れてしまう可能性がある。これを防ぐために、SSOサーバが Cookieを発行するときに実施すべき方策を、25字以内で述べよ。 設問4 〔負荷分散に関する設定と動作確認〕について、(1)~(3)に答えよ。 (1) 本文中の下線(III)の理由を、30字以内で述べよ。 (2) 本文中の下線(IV)で、IPアドレス重複エラー検知に用いられるARPの 名称を答えよ。 (3) 本文中の下線(V)の対処について、SSOサーバに対してどのような設 定を行ったか。40字以内で述べよ。 = 6 =