令和6年度 秋期 応用情報技術者試験 午前 問37

【解説】

SAML（Security Assertion Markup Language）認証は、シングルサインオン（SSO）を実現するための標準プロトコルです。
認証サーバ（IdP）とサービス提供側（SP）との間で、認証結果を安全にやり取りする仕組みです。

■ SAML認証の基本的な流れ

1. ユーザーがクラウドサービス（SP）へアクセスする。
2. クラウドサービスは、ユーザーを企業内の認証サーバ（IdP）にリダイレクトする。
3. 認証サーバがユーザーのID・パスワードを確認し、認証結果（SAMLアサーション）を生成する。
4. この認証結果をクライアント（ブラウザ）経由でクラウドサービスに送信する。
5. クラウドサービスはSAMLアサーションを検証し、正しければアクセスを許可する。

ア: クラウドサービスがディレクトリサービスに利用者IDとパスワードの送信を要求する。
誤り。クラウドサービス（SP）は、利用者のIDやパスワードに直接アクセスすることはなく、IdPが認証を担当します。

イ: 認証サーバからクラウドサービスに，利用者IDとパスワードを送信する。
誤り。SAMLでは、認証結果（アサーション）だけをやり取りし、IDやパスワードをクラウドサービスに送ることはありません。

ウ: 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
正しい。SAMLアサーションはクライアント経由でクラウドサービスにPOSTされ、SPはそれを検証してログイン処理を完了させます。

エ: 利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ，さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。
誤り。これはチャレンジレスポンス認証などの別の認証手法に近く、SAMLとは関係ありません。