応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問37: 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者IDとパス

正解

ウ. 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

正答率 66.6%（407人中 271人が正解）

問題の解説

SAML 認証では、認証を行う IdP(ここでは企業内の認証サーバ)と、サービスを提供する SP(クラウドサービス)が連携する。利用者は企業内で認証を受け、認証サーバが発行した署名付きの認証結果がクライアントを経由してクラウドサービスに渡される。パスワードは企業の外に出ない。

選択肢ごとの解説

• アSAML では、クラウドサービスが利用者 ID とパスワードを扱うことはなく、ディレクトリサービスに送信を要求することもない。認証は企業内で完結する。
• イ認証サーバがクラウドサービスに送るのは認証結果で、利用者 ID とパスワードは送らない。パスワードを渡さずに済むのが SAML の利点である。
• ウ正しい。認証サーバが署名付きの認証結果を発行し、それをクライアント(ブラウザ)経由でクラウドサービスに送信する。
• エパスワードと乱数を組み合わせてハッシュ値を返すのは、チャレンジレスポンス方式(CHAP など)の動作で、SAML のものではない。