応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問37: 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者IDとパス

問題本文

企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者IDとパスワードは企業内のディレクトリサービスで管理し，利用者認証は企業内の認証サーバで行う。

選択肢

• ア.クラウドサービスがディレクトリサービスに利用者IDとパスワードの送信を要求する。
• イ.認証サーバからクラウドサービスに，利用者IDとパスワードを送信する。
• ウ.認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
• エ.利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ，さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。

正解

ウ. 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

解説

SAML はシングルサインオンを実現する認証連携の仕組みで、利用者認証は企業内の認証サーバ（IdP＝アイデンティティプロバイダ）が行い、クラウドサービス（SP＝サービスプロバイダ）はその認証結果（アサーション）を信頼してアクセスを許可する。認証サーバが発行した認証結果は、利用者のクライアント（ブラウザ）を経由してクラウドサービスへ渡されるのが基本動作である。これを述べたウが正解である。

選択肢ごとの解説

• ア.SAML ではクラウドサービスが利用者IDとパスワードを受け取って認証することはなく、認証は企業内の認証サーバが行うため、パスワードの送信を要求するという記述は誤りである。
• イ.認証サーバがクラウドサービスへ利用者IDとパスワードそのものを送ることはなく、渡すのは認証結果（アサーション）であるため誤りである。
• ウ.企業内の認証サーバが利用者を認証し、その認証結果をクライアント経由でクラウドサービスへ送信するのが SAML の動作であり、正解である。
• エ.パスワードと乱数を組み合わせてハッシュ化して送る方式はチャレンジレスポンス認証の説明であり、認証結果（アサーション）を連携する SAML の動作ではないため誤りである。