基本情報技術者 2019年 春期 午後 問01

　A社では現在、Webベースの業務システムが複数稼働しており、それぞれが稼働するサーバ（以下、業務システムサーバという）を社内LANに設置している。A社のネットワーク構成を、図1に示す。

　利用者は、業務システムを、社内LANに設置されたクライアントPCのWebブラウザから利用する。社外から社内LANへのリモートアクセスは禁止されている。業務システムの利用者認証は、A社認証サーバでの利用者IDとパスワード（以下、この二つを併せて利用者認証情報という）の検証によって行っており、シングルサインオンを実現している。 　社内LANからインターネットを介した社外への通信は、クライアントPCからプロキシサーバを経由した、HTTP over TLS（以下、HTTPSという）による通信だけが、ファイアウォールによって許可されている。社外からインターネットを介した社内LANへの通信は、全てファイアウォールによって禁止されている。ファイアウォールの設定は、A社のセキュリティポリシに基づき変更しないものとする。 　 〔クラウドサービスの利用者認証〕 　このたびA社は、業務システムの一つである販売管理システムを、B社がインターネットを介して提供する販売管理サービス（以下、B社クラウドサービスという）に移行することにした。利用者認証に関しては、A社認証サーバとB社クラウドサービスを連携し、次の(1)〜(3)を実現することにした。 　 (1) B社クラウドサービスをシングルサインオンの対象とする。 (2) A社の利用者認証は、B社クラウドサービスについても、A社認証サーバで行う。 (3) 利用者が本人であることを確認するためにA社認証サーバで用いるaは、B社クラウドサービスには送信しない。 　 　(1)〜(3)を実現するために、A社は、利用者認証を仲介するIDプロバイダ（以下、IdPという）を社内LANに設置することにした。IdPは、認証結果、認証有効期限及び利用者ID（以下、これら三つを併せて認証済情報という）にディジタル署名を付加してから、Webブラウザを介して、B社クラウドサービスに送信する。B社クラウドサービスは、付加されているディジタル署名を使って、受信した認証済情報にbがないことを検証する。このために、IdPのcをB社クラウドサービスに登録しておく。 　WebブラウザとB社クラウドサービスとの間、及びWebブラウザとIdPとの間の通信には、HTTPSを用いる。IdPとA社認証サーバとの間の通信にはLDAPを用いる。 　 〔B社クラウドサービスが利用可能になるまでの処理の手順〕 　A社の利用者が、利用者認証されていない状態で、B社クラウドサービスを利用しようとした場合に、利用可能になるまでの処理の手順を次の①〜⑩に示す。 　 ① 利用者は、WebブラウザからB社クラウドサービスにアクセスの要求を送信する。 ② B社クラウドサービスは、アクセスの要求をIdPに転送する指示（以下、転送指示という）を、Webブラウザに返信する。 ③ Webブラウザは、②の転送指示に従い、IdPにアクセスの要求を送信する。 ④ IdPは、利用者認証情報の入力画面をWebブラウザに返信する。 ⑤ 利用者は、Webブラウザで利用者認証情報を入力する。Webブラウザは、入力された利用者認証情報をIdPに送信する。 ⑥ IdPは、利用者認証情報をA社認証サーバに送信する。 ⑦ A社認証サーバは、利用者認証情報を検証し、認証結果をIdPに返信する。 ⑧ IdPは、認証結果が成功の場合に、認証済情報を発行し、当該情報のB社クラウドサービスへの転送指示とともに、Webブラウザに返信する。 ⑨ Webブラウザは、⑧の転送指示に従い、認証済情報をB社クラウドサービスに送信する。 ⑩ B社クラウドサービスは、認証済情報に基づいて、B社クラウドサービスの利用を許可し、操作画面をWebブラウザに返信する。 　 　B社クラウドサービスが利用可能になるまでの処理の流れを、図2に示す。図2中の①〜⑩は、処理の手順の①〜⑩と対応している。