令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問2

「身元保証人（IdP）」と「サービス（SP）」が連携してログインする仕組み

SAML（サムル）は、1回のログインで複数のサービスを使えるシングルサインオン（SSO）の規格。ユーザー確認を専門に行う「IdP（身元提供者）」と、実際のサービスを提供する「SP（サービス提供者）」の2つが証明書（アサーション）をやり取りして連携するよ。

この問題で問われていること

「認証（本人確認）する側（IdP）」と、「認可（サービスを使わせる）側（SP）」が分担して仕事をしている点に注目しよう。

SAML 認証

IdP 認証と SP のアサーション検証で連携する。

IdP 認証\n-> アサーション\n-> SP 検証

確認ポイント

• Kerberos チケット方式ではありません。
• クッキー代行入力のエージェント方式とも違う。
• IdP と SP の役割で選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。IdPは本人確認をする受付、SPはサービスを提供するお店、アサーションは受付が発行する「この人は確認済みです」という紹介状みたいなものだよ。SPがその紹介状を検証して問題なければ入れる、というのがSAMLの基本的な流れだよ。

選択肢イ

これは不正解だよ。Webサーバに入れた係員役のエージェントとcookieで通す方式の説明だね。お店ごとに入口係がいて、会員証cookieを見せるイメージで、SAMLのようにIdPが証明書のようなアサーションを発行してSPが確認する流れではないよ。

選択肢ウ

これは不正解だよ。Kerberosは、認証サーバからチケットをもらってサービスに入る仕組みだね。遊園地で入場券や乗り物券を見せる感じで、SAMLのアサーションをIdPからSPへ渡して確認する仕組みとは違うよ。

選択肢エ

これは不正解だよ。リバースプロキシが受付窓口になって、利用者はその窓口を通って各サービスへ行く方式の説明だね。ビルの総合受付を必ず通る感じで、SAMLのIdPとSPがアサーションをやり取りする話とは別物だよ。