ホーム > 情報処理安全確保支援士試験 > 2023年秋期

情報処理安全確保支援士試験 2023年秋期午前2 問08

SAML（Security Assertion Markup Language）の説明はどれか。

ア：Webサーバにある利用者のリソースに,Webサーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル

イ：異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための,XMLをベースにした標準規格（正解）

ウ：利用者IDとしてURL又はXRI(Extensible Resource Identifier)だけを使用することができ,一つの利用者IDで様々なWebサイトにログインできる仕組み

エ：利用者が文書やデータの属性情報や論理構造を定義する言語であるSGMLを,インターネット用に最適化したもの

解説

SAML（Security Assertion Markup Language）の説明はどれか【午前2 解説】

要点まとめ

結論：SAMLは異なるドメイン間でセキュリティ情報を共有し、シングルサインオンを実現するXMLベースの標準規格です。
根拠：SAMLは認証・認可情報を安全に交換するためのフレームワークであり、Webサービス間の連携に用いられます。
差がつくポイント：SAMLは単なる認証プロトコルではなく、XMLを用いた標準仕様である点と、異なるドメイン間での利用を前提としている点を押さえましょう。

正解の理由

選択肢イは「異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための、XMLをベースにした標準規格」と正確にSAMLの特徴を表しています。SAMLはユーザー認証情報や属性情報をXML形式で表現し、信頼関係にある複数のサービス間で安全にやり取りするための仕様です。これにより、一度のログインで複数のサービスを利用可能にするシングルサインオン（SSO）を実現します。

よくある誤解

SAMLは単なる認証プロトコルではなく、認証情報の交換を標準化した仕様です。また、利用者IDの形式や文書構造定義言語とは異なります。

解法ステップ

SAMLの目的を理解する：異なるドメイン間で認証情報を共有しSSOを実現すること。
XMLベースの標準規格である点を確認する。
選択肢の説明とSAMLの定義を照合し、正確に合致するものを選ぶ。
他の選択肢がSAMLの説明として不適切な理由を検証する。

選択肢別の誤答解説

ア：他のサーバが利用者に代わってアクセスする認証プロトコルはOAuthなどに近く、SAMLの説明としては不正確です。
イ：正解。SAMLの本質を正しく表現しています。
ウ：利用者IDとしてURLやXRIを使う仕組みはOpenIDに近く、SAMLの説明ではありません。
エ：SGMLをインターネット用に最適化した言語はXMLの説明であり、SAMLの説明ではありません。

補足コラム

SAMLは主に企業間や組織間でのシングルサインオンに利用され、IDプロバイダー（IdP）とサービスプロバイダー（SP）間で認証情報を交換します。OAuthやOpenID Connectと並び、Web認証の重要な技術の一つです。SAMLはXMLをベースにしているため、メッセージの構造が柔軟で拡張性がありますが、実装がやや複雑になることもあります。

FAQ

Q: SAMLとOAuthの違いは何ですか？
A: SAMLは認証情報の交換に特化したXMLベースの標準規格で、主にSSOに使われます。OAuthはリソースへのアクセス権限を委譲するための認可プロトコルです。

Q: SAMLはどのような場面で使われますか？
A: 企業間のWebサービス連携やクラウドサービスのシングルサインオンで広く利用されています。

関連キーワード: SAML, シングルサインオン, XML, 認証情報交換, IDプロバイダー, サービスプロバイダー, セキュリティ標準規格

← 前の問題へ次の問題へ →

情報処理安全確保支援士試験 2023年 秋期 午前2 問08

解説