令和6年度秋期 応用情報技術者試験 午前 問37
企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者IDとパスワードは企業内のディレクトリサービスで管理し，利用者認証は企業内の認証サーバで行う。
- ア クラウドサービスがディレクトリサービスに利用者IDとパスワードの送信を要求する。
- イ 認証サーバからクラウドサービスに，利用者IDとパスワードを送信する。
- ウ 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
- エ 利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ，さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。
解答・解説を見る
正解：ウ
AI解説
SAML認証では、利用者は企業内の認証サーバ(IdP)で認証を受け、認証サーバが発行した認証結果(SAMLアサーション)は、クライアント(利用者のブラウザ)を経由してクラウドサービス(SP)に送信される。これにより、SPに利用者のID・パスワードそのものを渡すことなくシングルサインオンが実現できる。よってウが正しい。 ア: SAML連携では、クラウドサービス(SP)が利用者のID・パスワードをディレクトリサービスに直接要求することはなく、認証は企業内の認証サーバが行う。 イ: 認証サーバから利用者のID・パスワードをクラウドサービスに直接送信することはSAMLの仕組みではなく、送信されるのは認証結果(アサーション)である。 ウ: 認証サーバが発行した認証結果を、クライアント経由でクラウドサービスに送信するのがSAML認証の基本的な流れであり、正しい。 エ: パスワードと乱数を組み合わせてハッシュ化しクライアントから送信する方式は、チャレンジレスポンス認証のような別の仕組みの説明であり、SAML認証の説明ではない。 💡 SAMLは『IdPで認証→アサーションをブラウザ経由でSPへ』という流れがポイントで、ID・パスワードそのものはSPに渡らない点がSSOの安全性の要となる。
出典：令和6年度 秋期 応用情報技術者試験 午前 問37 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。