令和6年度 秋期 応用情報技術者試験 午前 問37
テクノロジ／セキュリティ企業内のクライアントからクラウドサービスへのアクセスに SAML 認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。ここで，利用者 ID とパスワードは企業内のディレクトリサービスで管理し，利用者認証は企業内の認証サーバで行う。
出典：令和6年度 秋期 応用情報技術者試験 午前 問37
- アクラウドサービスがディレクトリサービスに利用者 ID とパスワードの送信を要求する。
- イ認証サーバからクラウドサービスに，利用者 ID とパスワードを送信する。
- ウ認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
- エ利用者が入力したパスワードとクラウドサービスから送信された乱数を組み合わせ，さらにハッシュ値に変換した結果をクライアントからクラウドサービスに送信する。
正解：ウ
解説
SAML認証では，企業内の認証サーバが利用者認証を行った後，その認証結果（アサーション）をクライアント経由でクラウドサービス（サービスプロバイダ）に送信し，クラウドサービス側はその結果を信頼してアクセスを許可します。
選択肢ごとの解説
- ア誤り。クラウドサービスがディレクトリサービスに直接ID・パスワードの送信を要求することはSAML認証の仕組みではありません。
- イ誤り。認証サーバがクラウドサービスへ利用者IDとパスワードを直接送信することはなく，パスワードそのものは外部に送られません。
- ウ正しい。認証サーバでの認証結果を，クライアントを経由してクラウドサービスに送信するのがSAML認証の一般的な流れです。
- エ誤り。パスワードと乱数を組み合わせてハッシュ値に変換する方式はチャレンジレスポンス認証の説明であり，SAML認証の仕組みとは異なります。