令和7年度 春期 情報処理安全確保支援士 午前II 問2

各選択肢の解説

ア

IdP (Identity Provider) が利用者認証を行い、認証成功後に発行されるアサーションを SP (Service Provider) が検証し、問題がなければクライアントはSPにアクセスできるようになる。

正しいです。SAMLでは、IdPが利用者を認証し、その結果や属性をデジタル署名付きのXML形式のアサーションとして発行します。SPはアサーションの署名、有効期間、宛先を検証して、アクセスを許可します。利用者はパスワードをSPに渡さずに済み、異なるドメインのサービス間でもシングルサインオンを実現できます。

イ

Web サーバに導入されたエージェントが認証サーバと連携して利用者認証を行い、クライアントは認証成功後に発行される cookieを使用してSPにアクセスできるようになる。

誤りです。Webサーバにエージェントを導入し、認証サーバと連携して発行されたcookieでアクセスを許可するのは、エージェント方式です。cookieは発行元と同じドメインにしか送られないため、ドメインをまたぐ連携には不向きです。IdPが発行したアサーションをSPが検証するSAMLとは異なる方式です。

ウ

認証サーバは Kerberos プロトコルを使って利用者認証を行い、クライアントは認証成功後に発行されるチケットを使用してSP にアクセスできるようになる。

誤りです。KDC（鍵配布センタ）が認証を行い、発行されたTGTやサービスチケットでサービスを利用するのは、Kerberos方式です。主にActive Directoryなどの社内ドメインで使われます。SAMLではチケットではなく、XML形式のアサーションで認証結果を伝えます。

エ

リバースプロキシで利用者認証が行われ、クライアントは認証成功後にリバースプロキシ経由でSPにアクセスできるようになる。

誤りです。すべてのアクセスをリバースプロキシ経由にし、そこで利用者を認証するのは、リバースプロキシ方式です。SAMLでは、IdPが発行したアサーションがブラウザのリダイレクトやPOSTなどでSPへ渡されます。SP自身がそれを検証してアクセスを許可するので、認証のためにプロキシを経由させる必要はありません。