情報処理安全確保支援士 2024年 秋期 午前2 問08

SSO方式の特徴【午前2解説】

正解の理由

解法ステップ

1. 各選択肢がどのSSOアーキテクチャ（SAML、エージェント、代理認証、リバースプロキシ）に対応しているかを識別する。
2. それぞれの方式の典型的な動作（どこで認証を扱うか、対象サーバの改修が要るか、トラフィック経路）を思い浮かべる。
3. 各選択肢の文言がその方式の実態と整合するかを検証する。
4. 整合するものを正解とする。今回、リバースプロキシは明確に「トラフィックの集中」を意味するため正しい。

選択肢別の誤答解説

• ア: SAML方式について述べているが誤り。SAMLはIdP（認証局）とSP（サービス提供者）間で「アサーション（認証情報の証明）」を交換してSSOを実現する仕組みであり、IdPがURL形式の1人一つの利用者IDを自動生成することを根拠にインターネット上の複数サイトでのSSOを実現する、という説明は不正確です。SAMLのNameIDにはさまざまなフォーマット（persistent、transient、emailAddress、urn:... など）があり、必ずしも「URL形式のIDを自動生成する」わけではありません。SSOは信頼関係とアサーションのやり取りで成立します。
• イ: 記述は「クライアントPCに導入したエージェントがログイン画面を監視して代行入力する」とあります。ブラウザ拡張やクライアント型のパスワードマネージャがフォームを検出して自動入力・自動送信する実装が存在する点では部分的に正しい説明です。しかし、試験文脈で「エージェント方式」と言う場合は一般にサーバ側にエージェント（またはモジュール）を設置して認証処理を仲介するサーバ型エージェントを指すことが多く、文意が一義的でないため“エージェント方式＝常にクライアントPC上の監視型”と断定するこの記述は不適切です。つまり「監視は誤り」と言うのではなく、選択肢の記述がエージェント方式の代表的定義と整合していないため誤りと判断します。
• ウ: 「代理認証方式では対象サーバにモジュール組み込みが必要で改修が必要になる」とありますが、代理認証方式（いわゆる代行ログイン方式、SSOサーバが利用者に代わってサービスへログインする方式）は、SSOサーバが保有する資格情報でサービスへログインを行うため、対象側サーバに専用モジュールを組み込む必要がないケースが多いです（ただし、ログイン表現がサイトごとに異なるため設定やスクレイピング的な対応が必要な場合はあります）。したがって「必ず改修が必要」と断定する記述は誤りです。

よくある誤解

• 誤解1: 「エージェント方式は常にクライアント側で画面を監視する」
  実際にはエージェント方式にはクライアント型（ブラウザ拡張、ローカルエージェント）とサーバ型（対象サーバやWebサーバ前段に設置するエージェント）があり、文脈によって意味が異なるため混同しやすいです。
• 誤解2: 「SAMLは必ずURL形式のIDを使う」
  SAMLのNameIDは多様なフォーマットがあり、URL（URI）形式を使うこともありますが、それがSAMLの必須要件ではありません。SAMLはアサーションによる信頼関係が鍵です。
• 誤解3: 「代理認証方式＝必ず対象システムの改修が必要」
  代理認証は多くの場合対象システムを改修せずに外部からログインをエミュレートする方式なので、改修が不要なケースが一般的です（ただし管理上・運用上の課題があります）。

補足コラム

• サーバ型エージェント: 導入先のサーバに組み込むことで透過的にSSOを実現できるが、各サービスへのエージェント導入が必要で運用負荷や互換性の問題がある。
• クライアント型エージェント（ブラウザ拡張等）: ユーザ単位で導入すれば改修不要だが、導入管理・配布が煩雑になり、BYOD環境では運用しにくい。
• 代理認証方式: 既存サービスを改修せずにSSOを実現しやすいが、SSO側で利用者の資格情報を保持するため秘密情報管理やパスワード同期の課題がある。
• リバースプロキシ方式: トラフィックを一元制御できるため導入後の運用が比較的楽だが、プロキシにトラフィックが集中するため高可用性・負荷対策が必須になる。

FAQ