解説

SAML（Security Assertion Markup Language）は、OASISが標準化したXMLベースのシングルサインオン（SSO）フレームワークです。登場人物は3者：①利用者（クライアント）、②IdP（Identity Provider：認証を行う側）、③SP（Service Provider：サービスを提供する側）。認証フローは「①利用者がSPにアクセス → ②SPが利用者をIdPにリダイレクト → ③IdPが利用者認証 → ④認証成功後、IdPがアサーション（XML形式の認証・属性・認可情報）を発行 → ⑤SPがアサーションを検証（IdPの公開鍵で署名を確認） → ⑥アクセス許可」です。アサーションにはデジタル署名が付いており、SPはIdPの公開鍵で検証することで改ざんを防ぎます。SAMLはフェデレーション認証とも呼ばれ、異なる組織間でのSSOを実現します。

なぜ他の選択肢は違うのか

選択肢 イ

「Webサーバに導入されたエージェントが認証サーバと連携してcookieを使用する」はエージェント方式のSSOの説明です。エージェント方式では各サーバにエージェントをインストールし、認証情報をcookieで伝達します。SAMLはcookieではなくXMLアサーションを使い、リダイレクトによりIdP・SP間で認証情報を伝達する点で異なります。

選択肢 ウ

「KerberosプロトコルでチケットをSPに使用する」はKerberos認証方式のSSOの説明です。KerberosはActive Directoryなどで使われる社内ネットワーク向けの認証プロトコルで、KDC（Key Distribution Center）が発行するチケットを使います。SAMLはインターネット上のフェデレーション認証向けであり、Kerberosとは用途・プロトコルが異なります。

選択肢 エ

「リバースプロキシで認証し、プロキシ経由でSPにアクセス」はリバースプロキシ方式のSSOの説明です。リバースプロキシ方式では全てのトラフィックがプロキシを経由し、プロキシが認証を一元管理します。SAMLはリダイレクトベースであり、プロキシ経由の通信中継は行いません。

解くときのポイント

SAML＝「IdP・SP・アサーション（XML）」の3点セット。SSO方式の対比：エージェント方式＝cookie、Kerberos方式＝チケット、リバースプロキシ方式＝プロキシ経由、SAML方式＝XMLアサーション+リダイレクト。「IdPがアサーションを発行→SPが検証」の流れを覚える。