応用情報技術者試験 応用情報技術者試験 令和6年度秋期 午前 問37: 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者IDとパス

正解

ウ. 認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

正答率 66.7%（405人中 270人が正解）

問題の解説

SAML はシングルサインオンを実現する認証連携の仕組みで、利用者認証は企業内の認証サーバ（IdP＝アイデンティティプロバイダ）が行い、クラウドサービス（SP＝サービスプロバイダ）はその認証結果（アサーション）を信頼してアクセスを許可する。認証サーバが発行した認証結果は、利用者のクライアント（ブラウザ）を経由してクラウドサービスへ渡されるのが基本動作である。これを述べたウが正解である。

選択肢ごとの解説

• アSAML ではクラウドサービスが利用者IDとパスワードを受け取って認証することはなく、認証は企業内の認証サーバが行うため、パスワードの送信を要求するという記述は誤りである。
• イ認証サーバがクラウドサービスへ利用者IDとパスワードそのものを送ることはなく、渡すのは認証結果（アサーション）であるため誤りである。
• ウ企業内の認証サーバが利用者を認証し、その認証結果をクライアント経由でクラウドサービスへ送信するのが SAML の動作であり、正解である。
• エパスワードと乱数を組み合わせてハッシュ化して送る方式はチャレンジレスポンス認証の説明であり、認証結果（アサーション）を連携する SAML の動作ではないため誤りである。