解説

SAML（Security Assertion Markup Language）認証の流れ（a：正解）：①ユーザがSP（Service Provider）にアクセスを試みる、②SPがIdP（Identity Provider）にユーザをリダイレクト、③IdPがユーザ認証（ユーザ名/パスワード・多要素認証等）を実施、④認証成功後IdPがSAMLアサーション（XML形式のセキュリティトークン）を発行、⑤SPがSAMLアサーションを受け取り内容を検証してリソースへのアクセスを許可するSSO完了。SAMLアサーションにはユーザの識別情報・認証方法・有効期限・IdPのデジタル署名が含まれる。他の選択肢はそれぞれ異なるSSO方式の説明：b（エージェント型SSO）・c（Kerberos認証SSO）・d（リバースプロキシ型SSO）。

なぜ他の選択肢は違うのか

選択肢 イ

Webサーバに導入されたエージェントが認証サーバと連携してCookieを発行するSSO方式は「エージェント型SSO（エージェントゲートウェイ方式）」の説明であり、SAMLとは異なる実装方式。SAMLはIdPとSP間でXMLアサーションを交換するフェデレーション型SSOである。

選択肢 ウ

Kerberosプロトコルによりチケット（TGT/ST）を発行してSPへのアクセスを許可するSSO方式はKerberos認証によるSSOの説明であり、SAMLとは別プロトコル。Kerberosはチケットグランティングサーバ（KDC）中心の認証方式で、WebベースのSAMLとは設計思想が異なる。

選択肢 エ

リバースプロキシで利用者認証が行われ、クライアントがリバースプロキシ経由でSPにアクセスするSSO方式は「リバースプロキシ型SSO」の説明。SAMLはリバースプロキシではなくIdP-SP間の直接的なアサーション交換による方式で、ユーザブラウザを経由するリダイレクトと署名付きXMLトークンが核心である。

解くときのポイント

SAML SSO方式: IdP（認証）→Assertion発行→SP（Assertion検証）→アクセス許可。フェデレーション型SSOとして複数の企業・サービス間をまたいだ認証に使われる。