www.youtube.com 情報処理安全確保支援士試験の令和6年春期午前Ⅱ問4を徹底攻略します。サクラ先輩とモモちゃんと一緒に、認証・認可のフレームワークである「SAML」について学びましょう。シングルサインオンの仕組みや、OIDCとの違いなど、試験頻出の重要ポイントをわかりやすく解説します。 学習すべき重要なキーワードは、SAML、OASIS、アサーション、IdP、SP、シングルサインオン、そしてOIDCです。SAMLはSecurity Assertion Markup Languageの略称であり、異なるドメイン間で認証情報、属性情報、そして認可情報を安全に交換するためのXMLベースの仕様です。ユーザーがサービスを利用する際、毎回ログインするのではなく、SAMLの仕組みを利用することで、複数のシステムやアプリケーションをまたいで安全に認証状態を引き継ぐことができます。このSAMLという規格を策定した標準化団体がOASISです。情報処理安全確保支援士の試験では、W3CやIETFといった他の団体と区別して、SAMLがOASISによって作られたという事実が問われるため、必ずセットで暗記しておく必要があります。SAMLの具体的な仕組みを理解する上で欠かせないのが、アサーション、IdP、そしてSPという概念です。IdPはIdentity Providerの略で、認証情報を作成し提供する側の信頼できる発行所を指します。一方、SPはService Providerの略で、実際にサービスを提供する側を指します。ユーザーがログインを行うと、IdPはアサーションと呼ばれるXML形式のデータを発行します。このアサーションはいわば通行手形のようなもので、ユーザーの本人確認結果である認証情報に加えて、そのユーザーがどこの部署のどのような役職かといった属性情報、さらにはどのような権限レベルを持っているかという認可情報が一緒に包まれています。ユーザーはこのアサーションをSPに提示することで、サービスへのアクセスが許可されます。このように、IdPとSPの間でアサーションをやり取りすることで実現されるのが、シングルサインオンです。企業内のシステムなどで、一回のログイン操作だけで他の様々な業務アプリケーションもシームレスに利用できるのは、この技術のおかげです。さらに、学習を深める際には、比較対象としてOIDCについても理解しておくことが重要です。OIDCはOpenID Connectの略称で、OAuth 2.0をベースとした技術です。SAML 2.0が2005年に策定された重厚な技術であり、現在でも大企業のシステム間連携や高いセキュリティが求められるBtoB連携で現役で使われているのに対し、OIDCはJSONベースで軽く扱いやすいという特徴があります。そのため、現代のスマホアプリや最新WebサービスにおいてはOIDCが主流となっており、実際の現場の新規開発では適材適所で選ばれることが多いという背景も押さえておきましょう。
