情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問8: SAML（Security Assertion Markup Language）の説明はどれか。

問題本文

SAML（Security Assertion Markup Language）の説明はどれか。

選択肢

• ア.Web サーバにある利用者のリソースに，Web サーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル
• イ.異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための，XML をベースにした標準規格
• ウ.利用者 ID として URL 又は XRI（Extensible Resource Identifier）だけを使用することができ，一つの利用者 ID で様々な Web サイトにログインできる仕組み
• エ.利用者が文書やデータの属性情報や論理構造を定義する言語である SGML を，インターネット用に最適化したもの

正解

イ. 異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための，XML をベースにした標準規格

解説

SAMLは、異なるドメイン（組織）間で認証・認可情報（アサーション）をXML形式で安全にやり取りし、シングルサインオン（SSO）を実現する標準規格。よってイが正解。IdPで認証した結果をSPへ伝えることで、利用者は一度のログインで複数サービスを使える。実務ではクラウドサービスの企業向けSSO基盤として広く採用されている。

選択肢ごとの解説

• ア.他サーバが代理アクセスする認可委譲はOAuthの説明で、SAMLではない。
• イ.ドメイン間でセキュリティ情報を共有しSSOに使うXMLベース標準、というSAMLの定義そのもの。
• ウ.URLやXRIを利用者IDに使う仕組みはOpenIDの説明。
• エ.SGMLをインターネット向けに最適化したものはXMLの説明で、SAMLではない。