情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和4年度春期 午前Ⅰ 問13: クライアント証明書で利用者を認証するリバースプロキシサーバを用いて，複数のWebサーバにシングルサインオンを行うシステムがある。このシステムに関する記述のうち，

正解

エ. 利用者IDなどの情報をWebサーバに送信するのは，利用者のPCではなく，リバースプロキシサーバである。

問題の解説

この構成では、リバースプロキシがクライアント証明書で利用者を認証し、その結果（利用者IDなどの情報）を背後のWebサーバへ渡してシングルサインオンを実現する。よって、利用者IDをWebサーバへ送るのはリバースプロキシだとするエが正解。クライアント証明書はサーバが配るものではなく利用者が提示する。認証を集約する構成のデータの流れを正確に押さえることが重要。

選択肢ごとの解説

• アクライアント証明書は利用者が保持し提示するもので、サーバが利用者へ送るものではないため誤り。
• イWebサーバが証明書を利用者PCへ送るという前提が誤り。証明書は利用者側が用意し提示する。
• ウ認証後に利用者IDをWebサーバへ渡すのは集約役のリバースプロキシで、利用者PCではなく誤り。
• エリバースプロキシが認証結果の利用者IDをWebサーバへ送り、SSOを実現する。流れが正しく正解。