アイデンティティ連携（OpenID Connect、SAML）

アイデンティティ連携は、利用者を認証する主体とサービスを提供する主体の間で、認証結果や属性を安全に受け渡し、複数サービスで共通のアイデンティティを利用できるようにする仕組みです。

■ 試験で押さえるポイント

• SAMLでは、IdPが利用者を認証し、認証結果や属性をSAMLアサーションとしてSPへ渡します。主にWebブラウザを用いる組織間のシングルサインオンで利用されます。

• OpenID ConnectはOAuth 2.0を基盤とする認証の仕組みで、OpenID Providerが発行するIDトークンによって、クライアントが利用者の認証結果を確認します。

• OAuth 2.0は本来、資源へのアクセス権を第三者アプリケーションへ委譲する認可の枠組みです。OAuthのアクセストークンだけを利用者認証の証拠として扱いません。

• 受信側は、発行者、宛先、署名、有効期限、リプレイ防止用の値などを検証します。リダイレクト先や連携先の登録も厳格に管理します。

• 連携すると認証を集約できますが、IdPの侵害や停止が複数サービスへ波及します。多要素認証、鍵管理、冗長化、連携解除手順が必要です。

■ 過去問での着眼点

SAMLはアサーション、OpenID ConnectはIDトークンを用いて認証結果をサービスへ伝えます。認証を行うOpenID Connectと、アクセス権の委譲を目的とするOAuth 2.0を混同しないことが重要です。OAuth 2.0は認可、OpenID Connectは認証という役割の違いを押さえます。

例: 利用者が社内IdPで多要素認証を行い、SAMLアサーションを受け取ったクラウドサービスへ再度パスワードを入力せずにログインします。