ツナガル問題集　情報処理安全確保支援士試験令和5年秋期午前Ⅱ SAML

情報処理安全確保支援士試験令和5年秋期午前Ⅱ SAML

出典：令和5年秋期午前Ⅱ 問8 分野：セキュリティ／情報セキュリティ

SAML（Security Assertion Markup Language）の説明はどれか。

ア：Webサーバにある利用者のリソースに，Webサーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル
イ：異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための，XMLをベースにした標準規格
ウ：利用者IDとしてURL又はXRI(Extensible Resource Identifier)だけを使用することができ，一つの利用者IDで様々なWebサイトにログインできる仕組み
エ：利用者が文書やデータの属性情報や論理構造を定義する言語であるSGMLを，インターネット用に最適化したもの

この問題を解く

解説

SAMLは、異なるインターネットドメイン間で認証情報や属性情報などのセキュリティ情報をやり取りするための、XMLベースの標準規格です。

主にシングルサインオンで利用され、認証を行うIdPが発行した認証結果を、サービスを提供するSPが受け取って利用者を認証します。

したがって、イが適切です。

❌他選択肢が誤りの理由
ア：Webサーバにある利用者のリソースに，Webサーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル
⇒OAuthの説明です。SAMLは、主に認証情報を交換してシングルサインオンを実現するために使われます。

ウ：利用者IDとしてURL又はXRI(Extensible Resource Identifier)だけを使用することができ，一つの利用者IDで様々なWebサイトにログインできる仕組み
⇒OpenIDの説明です。SAMLの説明ではありません。

エ：利用者が文書やデータの属性情報や論理構造を定義する言語であるSGMLを，インターネット用に最適化したもの
⇒XMLの説明です。SAMLはXMLをベースにしたセキュリティ情報交換の標準規格です。

TSUNAGARU-ADVICE

SAMLは、異なるドメイン間で認証結果や属性情報などを共有し、シングルサインオンを実現するためのXMLベースの標準規格です。

SAMLでは、IdPが利用者を認証し、その結果をアサーションとしてSPへ渡します。したがって、セキュリティ情報を異なるサービス間で連携する仕組みと整理すると判断しやすくなります。利用者に代わってリソースへアクセスするOAuthや、URL形式のIDを使うOpenIDとは区別しましょう。

科目Bでは、認証連携の問題で、誰が認証し、どの情報をどの形式で渡すのかを流れで読み取る力が問われます。SAMLは、XML形式のアサーションを使って、IdPとSPの間で認証・属性・認可情報をやり取りする仕組みとして理解しておきましょう。