SAML 2.0におけるWeb SSO認証フロー(SP・IdP連携)

SAML(Security Assertion Markup Language)を用いたシングルサインオン(SSO)では,認証を行う認証サーバ(IdP: アイデンティティプロバイダ)とクラウドサービス(SP: サービスプロバイダ)との間で,クライアント(Web ブラウザ)を中継役としてリダイレクトや HTTP POST により認証情報(SAML アサーション)を受け渡します。 利用者がクライアントから社内の認証サーバ(IdP)で認証を完了すると,認証サーバはデジタル署名を付与した認証結果(SAML アサーション)をクライアントへ返却し,クライアントがこれをクラウドサービス(SP)へ送信することでアクセスが許可されます。したがって正解はウとなります。 各選択肢の解説は以下のとおりです。 クラウドサービス(SP)が企業内のディレクトリサービスへ直接アクセスしてパスワード送信を要求することはありません。 認証サーバからクラウドサービスへ利用者の平文パスワードが送信されることはありません。送信されるのはデジタル署名された認証トークン(アサーション)であり,通常はクライアント経由で中継されます。 チャレンジレスポンス認証に関する記述であり,SAML の認証連携方式とは異なります。

企業内のクライアントからクラウドサービスへのアクセスに SAML 認証を利用したときのシステムの動作に関する記述のうち,適切なものはどれか。ここで,利用者 ID とパスワードは企業内のディレクトリサービスで管理し,利用者認証は企業内の認証サーバで行う。

出典令和6年度 秋期 応用情報技術者試験 午前 問37
ア
クラウドサービスがディレクトリサービスに利用者 ID とパスワードの送信を要求する。
イ
認証サーバからクラウドサービスに,利用者 ID とパスワードを送信する。
ウ
認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
エ
利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ,さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。