応用情報技術者 2024年秋期午前2 問37

問題文

企業内のクライアントからクラウドサービスへのアクセスに SAML 認証を利用したときのシステムの動作に関する記述のうち、適切なものはどれか。ここで、利用者ID とパスワードは企業内のディレクトリサービスで管理し、利用者認証は企業内の認証サーバで行う。

選択肢

ア：クラウドサービスがディレクトリサービスに利用者 IDとパスワードの送信を要求する。

イ：認証サーバからクラウドサービスに、利用者IDとパスワードを送信する。

ウ：認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。（正解）

エ：利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ、さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。

SAML認証を利用したクラウドサービスアクセスの動作【午前2 解説】

要点まとめ

結論：SAML認証では認証サーバが認証結果をクライアント経由でクラウドサービスに送信するため、認証情報は直接送られません。
根拠：利用者IDやパスワードは企業内の認証サーバで管理・認証され、クラウドサービスは認証結果を受け取るだけです。
差がつくポイント：認証情報の直接送信を避け、トークンや認証結果を安全にやり取りする仕組みを理解することが重要です。

正解の理由

ウ: 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
SAML認証は、利用者の認証を企業内の認証サーバが行い、その認証結果をSAMLアサーションという形式でクライアントを介してクラウドサービスに渡します。これにより、クラウドサービスは利用者の認証情報（IDやパスワード）を直接受け取らず、認証サーバの信頼できる認証結果を受け取る仕組みです。

よくある誤解

認証情報（IDやパスワード）をクラウドサービスに直接送信すると思い込むと、SAMLの仕組みを誤解します。SAMLは認証結果の受け渡しに特化しており、認証情報は認証サーバ内に留まります。

解法ステップ

問題文から「利用者IDとパスワードは企業内の認証サーバで管理・認証」と確認する。
SAML認証の基本動作を思い出す（認証サーバが認証結果を発行し、クライアント経由でサービス提供者に渡す）。
選択肢を検討し、認証情報を直接送信しているものを除外する。
認証結果をクライアント経由で送る選択肢を選ぶ。

選択肢別の誤答解説

ア: クラウドサービスがディレクトリサービスにIDとパスワードを送信するのは誤り。クラウドサービスは認証情報を直接扱いません。
イ: 認証サーバからクラウドサービスにIDとパスワードを送信するのも誤り。認証情報は認証サーバ内で完結します。
ウ: 正解。認証結果をクライアント経由でクラウドサービスに送信する仕組みがSAMLの特徴です。
エ: 利用者のパスワードと乱数を組み合わせてハッシュ値を送るのはチャレンジレスポンス認証の一種であり、SAML認証の動作ではありません。

補足コラム

SAML（Security Assertion Markup Language）は、異なるドメイン間で認証情報を安全にやり取りするためのXMLベースの標準規格です。IDプロバイダー（IdP）が認証を行い、サービスプロバイダー（SP）がその認証結果を受け取る仕組みで、シングルサインオン（SSO）を実現します。認証情報を直接渡さず、トークン（アサーション）を用いるためセキュリティが高いのが特徴です。