令和5年度春期 情報処理安全確保支援士 午前Ⅱ 問3

午前II 問03

SAMLは、ログイン係のIdPが利用者を本人確認して、OKなら「この人は認証済みだよ」という証明書のようなアサーションを発行する仕組みだよ。サービス側のSPは、そのアサーションを受け取って中身を確認し、問題なければアクセスを許可するんだ。

この問題で問われていること

IdPは本人確認をする係、SPはサービスを提供して受け入れ判定をする係、アサーションは認証結果を伝える証明書のようなもの、という役割分担を押さえよう。

SAML の流れ

IdP が認証し、SP はアサーション検証で利用可否を判断する。

利用者 -> IdP認証\nIdP -> アサーション\nSP -> 検証

確認ポイント

• Kerberos チケット方式ではありません。
• リバースプロキシ認証方式とも別です。
• IdP 認証と SP 検証の流れを選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。SAMLでは、IdPが「この人は本人確認済みです」と身分証明書のようなアサーションを発行し、SPがそれを見て「問題なさそうだね」と確認してからサービス利用を許可するんだ。空港で本人確認済みの搭乗券を見せてゲートを通るような流れだと考えると分かりやすいよ。

選択肢イ

これは不正解だよ。Webサーバに入れたエージェントが認証サーバと連携してcookieを渡す方式は、店ごとに警備員を置いて入館シールを貼ってもらうようなイメージだよ。SAMLの中心はcookieそのものではなく、IdPが発行するアサーションをSPが検証する流れなので、この説明はSAML認証の流れとしては合わないよ。

選択肢ウ

これは不正解だよ。Kerberosは、遊園地の入口でチケットをもらって各アトラクションに入るような仕組みで、認証後に「チケット」を使うのが特徴なんだ。SAMLで出てくるのはチケットではなく、IdPが発行する「アサーション」なので、この説明はKerberosの話になっているよ。

選択肢エ

これは不正解だよ。リバースプロキシ方式は、建物の前にいる受付係が本人確認して、中の部屋へ通すような形なんだ。SAMLでは、受付係役のリバースプロキシが中心になるのではなく、IdPが本人確認をして、SPがその証明を確認する流れなので違うよ。