令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問8
テクノロジ／セキュリティSAML（Security Assertion Markup Language）の説明はどれか。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問8
- アWeb サーバにある利用者のリソースに，Web サーバに限らない他のサーバが利用者に代わってアクセスすることを許可するための認証プロトコル
- イ異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための，XML をベースにした標準規格
- ウ利用者 ID として URL 又は XRI（Extensible Resource Identifier）だけを使用することができ，一つの利用者 ID で様々な Web サイトにログインできる仕組み
- エ利用者が文書やデータの属性情報や論理構造を定義する言語である SGML を，インターネット用に最適化したもの
正解：イ
解説
SAML は，OASIS が策定した，認証・認可に関するセキュリティ情報（アサーション）を XML で記述して交換するための標準規格です。異なるインターネットドメインに属する ID プロバイダ（IdP）とサービスプロバイダ（SP）の間でアサーションをやり取りすることによって，シングルサインオンを実現します。
選択肢ごとの解説
- ア誤り。これは OAuth の説明です。利用者のリソースへのアクセスを他のサービスに認可（委譲）するためのプロトコルです。
- イ正しい。SAML は，異なるドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための XML ベースの標準規格です。
- ウ誤り。これは OpenID（OpenID 2.0）の説明で，URL や XRI を利用者 ID として使う仕組みです。
- エ誤り。これは XML そのものの説明です。SGML をインターネット用に簡素化した言語が XML です。