応用情報技術者試験 令和6年秋 午前問37 解説付き過去問

SAML（Security Assertion Markup Language）認証は、シングルサインオン（SSO）を実現するための標準規格であり、企業内の認証サーバで認証を行い、その認証情報をクラウドサービスに提供する仕組みである。

SAML認証の流れは以下の通りである。

• 利用者がクラウドサービスにアクセスすると、クラウドサービス（サービスプロバイダ）は、利用者を企業内の認証サーバ（アイデンティティプロバイダ）にリダイレクトする。
  
  
• 利用者は認証サーバでIDとパスワードを入力し、認証サーバが認証を行う。
  
  
• 認証に成功すると、認証サーバはSAMLアサーション（認証情報）をクライアント経由でクラウドサービスに送信する。
  
  
• クラウドサービスは受け取ったSAMLアサーションを検証し、利用者のアクセスを許可する。
  
  

この仕組みにより、クラウドサービス側が利用者の認証を直接行うのではなく、企業内の認証サーバが認証を行い、その結果をクラウドサービスに提供することで、セキュリティを確保する。

選択肢の正誤について説明する。

• 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する
  
  SAML認証の標準的なフローでは、認証サーバが認証を行った後、クライアント経由でクラウドサービスにSAMLアサーションを送信する。このアサーションをクラウドサービスが検証することで、認証が完了し、利用者のアクセスが許可される。
  
  
• クラウドサービスがディレクトリサービスに利用者IDとパスワードの送信を要求する
  
  クラウドサービスは利用者の認証を直接行わず、企業内の認証サーバに委任するため、ディレクトリサービスに直接問い合わせることはない。
  
  
• 認証サーバからクラウドサービスに、利用者IDとパスワードを送信する
  
  SAMLでは、認証サーバが利用者のパスワードをクラウドサービスに送信することはなく、代わりにSAMLアサーション（認証情報）が送られる。
  
  
• 利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ、ハッシュ化して送信する
  
  これは一般的なチャレンジレスポンス認証の方式であり、SAML認証の仕組みとは異なる。SAML認証では、パスワードをクラウドサービスに送信せず、認証サーバが認証を行い、その結果をSAMLアサーションとしてクラウドサービスに送信する。