令和3年度秋期 情報処理安全確保支援士 午前Ⅱ 問4

午前II 問04：SAMLは“本人確認係”と“サービス係”の分担を押さえよう

SAML認証では、IdPが“身分証を確認してくれる受付係”みたいな役割をするよ。利用者が本当に誰なのかをIdPが認証して、その結果をアサーションとして発行する。SPはそのアサーションを受け取って中身を検証し、「IdPが確認済みなら、この人として受け入れよう」と判断するんだよ。

この問題で問われていること

この問題では、SAMLで誰が認証して、誰がその結果を受け入れるのかを正しく区別できるかがポイントだよ。エージェント方式やKerberos方式の考え方と混ぜずに、SAMLではIdPが認証し、SPがアサーションを検証して認証結果を信頼する、という役割分担を押さえよう。

SAML の流れ

利用者は IdP で一度認証され、その結果を表すアサーションを持って各 SP を利用する。

IdP で認証\n-> アサーション発行\n-> SP が検証

確認ポイント

• IdP と SP の役割を逆にしない。
• Kerberos によるチケット交換の説明ではありません。
• アサーションを SP が検証する説明を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SAMLでは、SPが「この人を確認して」とIdPにお願いし、IdPが本人確認をして「この人はOKだよ」というアサーションを発行するよ。たとえるなら、施設の受付SPが身分確認センターIdPに確認を頼み、センターが発行した証明書を受付がチェックして入場させる感じだよ。

選択肢イ

これは不正解だよ。Webサーバに置いた係員みたいなエージェントが認証サーバと話して、cookieを通行証として使う方式の説明になっているよ。SAMLでは、入口の係員がcookieを配る話ではなく、IdPが「この人は本人です」という証明書のようなアサーションをSPへ渡して、SPがそれを確認するのがポイントだよ。

選択肢ウ

これは不正解だよ。cookieはお店の再入場スタンプみたいに、同じサイトへまた入るためによく使われるものだよ。でもSAMLの中心はcookieそのものではなく、IdPが発行するアサーションという身分証明メモをSPが確認する流れなんだ。だから説明の主役がずれているよ。

選択肢エ

これは不正解だよ。Kerberosはチケットを使う別の認証方式で、遊園地のチケット売り場で入場券をもらって各アトラクションに見せるイメージだよ。SAMLの説明で必要なのは、IdP、SP、アサーションのやり取りなので、Kerberosプロトコルが主役になるこの説明は違うよ。