ITパスポート 2010年 秋期 問62

シングルサインオン【ITパスポート解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「一度だけ」「複数のシステムを利用できる」「各システムごとに認証」などの表現を確認します。
2. SSOの定義を思い出す：SSOは「一度の認証で複数システムにアクセスできる仕組み」であることを確認します。
3. 各選択肢と照合する：SSOに合致する表現がどれかを当てはめます。該当するのがイです。

選択肢別の誤答解説

• ア: 「利用者が使用したいシステムごとに認証を受けること」
  → これはSSOの逆です。SSOは認証を繰り返さない仕組みなので誤りです。個別認証（各システムで別々にログイン）を指しています。
• イ: 「利用者が認証を一度受けるだけで、許可されている複数のシステムを利用できること」
  → これはSSOの典型的な定義です。したがって正解です。
• ウ: 「利用者がネットワーク上のサービスにアクセスして、会員登録の手続きを行うこと」
  → 会員登録はアカウント作成の手続きであり、認証の共有や一度の認証で複数サービスが使えることとは別の概念です。
• エ: 「配布された初期パスワードでアクセスしたときに、パスワードを変更すること」
  → これは初回ログイン時のパスワード変更やセキュリティ設定の話で、SSOとは関係ありません。

よくある誤解

1. SSOは「認証の強さ」を保証するものではない
   • SSOは「認証を使い回す仕組み」です。認証が簡単な場合（パスワードのみ）だと、SSOでも安全性は低いままです。必要なら多要素認証（MFA：Multi-Factor Authentication：複数の認証手段を組み合わせる方式）や二要素認証（2FA：Two-Factor Authentication：2種類の認証手段）と組み合わせます。MFAと2FAは別物で、2FAはMFAの一例です。
2. SSOでログアウトすれば全サービスから即時にログアウトできるとは限らない
   • SSOの実装によっては、中心となる認証サーバ（Identity Provider）からのログアウトで各サービス（Service Provider）にも反映される仕組みが必要です。実装次第で挙動が異なります。

補足コラム

• Identity Provider（IdP：認証を行う側。例：Googleアカウント）と、Service Provider（SP：サービス提供側。例：GmailやDrive）が連携します。
• 利用者がSPにアクセスすると、SPはIdPに「この人は認証済みか？」と問い合わせます。すでにIdPで認証済みなら、SPは利用者を受け入れます。
• 技術的には、SAML（Security Assertion Markup Language）やOAuth、OpenID Connectのような規格（プロトコル）が使われます。SAMLやOAuth、OpenID Connectはいずれも「認証情報や許可をやり取りするためのルール」です。

FAQ