情報処理安全確保支援士　平成31年春　問3

第3問
標準化団体OASISが、Webサイトなどを運営するオンラインビジネスパートナ間で認証、属性及び認可の情報を安全に交換するために策定したものはどれか。

ア　SAML
イ　SOAP
ウ　XKMS
エ　XML Signature

回答

【解答】
ア　SAML

【解説】

SAMLとは？

SAML（サムル/サムエル）とは、一度のログインで、連携している複数のクラウドサービスをそのまま利用できるようにする仕組み（ルール）のことです。

たとえるなら、 「インターネット上の共通利用券」 のようなものです。

例えば、遊園地の入り口で入場券(IDとパスワード)を購入します。
そのあと、提携しているAやBというアトラクションに乗る際に、もう一度利用券を購入する必要はなく、入園するときに購入した「入場券」を見せるだけで利用できるようになります。

この「入場券」の提示ルールがSAMLです。
これによって、サービスごとにIDとパスワードを覚える手間が省け、セキュリティも向上します。
この仕組みは、特に 「シングルサインオン（SSO）」 を実現するために広く使われています。

SAMLの仕組みは？ 誰が管理している？

SAMLは、主に3者の間で情報のやり取りをします。

• あなた（利用者） サービスを使いたい本人です。
• IdP（Identity Provider） あなたの身元を保証する組織です。
  IDやパスワードなどの情報を一元管理しており、「この人は確かに本人です」という証明書を発行します。
  多くの場合、あなたの会社や、Okta、Azure ADといった専門のID管理サービスがこの役割を担います。
• SP（Service Provider） あなたが利用したいサービスです。
  Google WorkspaceやMicrosoft 365などがこれにあたります。

【SAMLの流れ】

• あなたが会社のPCからGoogle Workspace（SP）にアクセスします。
• Google Workspaceは、あなたを会社の認証システム（IdP）のログイン画面へ自動的に転送します。
• あなたは会社の認証システム（IdP）で、IDとパスワードを入力してログインします。
• 認証に成功すると、IdPは「この人は本人です」というデジタル証明書（SAMLアサーション）を発行し、あなたのブラウザ経由でGoogle Workspace（SP）に送ります。
• Google Workspace（SP）は、その証明書が信頼できるIdPから発行されたものかを確認し、問題がなければログインを許可します。
• この仕組みにより、あなたはGoogle Workspaceのパスワードを知らなくても、会社のIDとパスワードだけでログインできるようになります。

SAMLの動きを具体的に確認する方法

あなたが普段の業務でこの仕組みを体験している可能性があります。

＜ 確認のポイント ＞

会社のPCで、特定のクラウドサービス（例: Microsoft 365）にアクセスしようとした際に、見慣れない自社のロゴが入ったログイン画面に一度だけ飛ばされた経験はありませんか。
そこで会社のIDとパスワードでログインしたら、その後はパスワード入力なしで様々なサービスが使えた、という場合、まさにSAMLによるシングルサインオンが動いています。

技術者であれば、ブラウザの拡張機能「SAML-tracer」などを使って、裏側でどのような情報（SAMLアサーション）が送受信されているかを確認することも可能です。

【不正解の選択肢について】

イ：SOAP Webサービス同士がデータを交換するための「会話のルール」です。
認証に特化したものではありません。 。
ウ：XKMS デジタル署名などで使う「暗号の鍵」を管理・配布するためのルールです。
エ：XML Signature デジタルデータが「本物であり、改ざんされていないこと」を証明する電子署名のルールです。
SAMLの証明書を安全にやり取りするために内部で使われることはありますが、認証情報を交換する仕組みそのものではありません。

※この回答はAIを利用して作成しています。
　内容に不備がないかは確認していますが、もし問題があった場合は指摘いただけますと幸いです。