左門至峰の株式会社エスエスコンサルティング)です。過去問を多数引用しながら、基礎知識をしっかり学んでもらうように作ってあります。(情報セキュリティスペシャリスト)を楽しく学べるように工夫したいと思います。シングルサインオンシングルサインオンとは1.シングルサインオンとはシングルサインオンとは、一つの認証情報(ID/パスワードなど)で、複数のシステムにログインできるようにすることです。過去問(H20SW午後1)に、シングルサインオンの目的に関する記述があるので、紹介します。業務活動の統制の観点から,各社内システムのセキュリティ確保の問題が重要視されており,全社的に統一された認証情報の管理,統一されたアクセス制御の実施が望まれている。利用者である社員からも,個々のシステムを利用する際に,その都度IDとパスワードの入力を求められることの不便さを訴えられている。情報システム部門では,こうした要求に応じるためにシングルサインオンの導入によって,利用者の利便性向上と統一的なセキュリティ管理を図ることにした。ここにありますように、シングルサインオンの目的は、次の2つと考えられます。1統一的なセキュリティ管理2利用者の利便性の向上2.シングルサインオンのデメリットこちらも、過去問(H20SUPM2問1)から引用します。シングルサインオンの機能を導入することにした。この機能を導入することで、利用者の利便性は向上するが、万が一、利用者IDとパスワードが流出したり破られたりしてしまうと、シングルサインオンできるすべての業務アプリを簡単に不正利用されてしまうというリスクが伴う。これは、シングルサインオンに限ったことではなく、IDパスワードを使いまわしている場合にも、同じことが言えます。3.シングルサインオンの2つの方式シングルサインオンには、2つの方式があります。1エージェント方式(クッキーを使ったシングルサインオン)SSOを利用したいサーバに、エージェントと呼ばれるソフトウェアをインストールして行う。過去問では、クッキーを使ったシングルサインオンは、「サーバごとの認証情報を含んだクッキーをサーバで作成し、各クライアント上で保存・管理する。(H18NW問47を一部修正)」方式であると記載されています。エージェントがやってくれるので、この後に記載するリバースプロキシ型のような新しい機器を設置したり構成を変更する必要がありません。システムにエージェントを入れることはすごく嫌がられる傾向にあり、その理由で、この方式は採用されないこともあります。過去問(H27秋NW午後I問1)に、エージェント方式の詳しい解説があるので紹介します。C氏はHTTPを用いたSSOの方式と認証処理シーケンスについて検討した。C氏は,エージェント方式の検討を行い,エージェント方式を採用することにした。エージェント方式におけるSSO認証処理のシーケンスは,次のとおりである。PCからWebアプリケーションサーバに,サービス要求を行う。Webアプリケーションサーバ内のエージェントは,サービス要求中のCookieに認証済資格情報(以下,アクセスチケットという)が含まれているか確認する。SSOサーバからPCに,認証画面を送る。PCからSSOサーバに,UserIDとPasswordを送出する。SSOサーバは,UserIDとPasswordから利用者のアクセスの正当性を確認したら,アクセスチケットを発行して,Cookieに含めて応答を返す。Webアプリケーションサーバ内のエージェントは,SSOサーバにアクセスチケット確認要求を送り,SSOサーバは,確認して応答を返す。Webアプリケーションサーバは,6の応答によって利用者のアクセスの正当性が確認できた場合,Webアプリケーション画面を送出する。エージェント方式におけるSSO認証処理のシーケンスの1~7を図示すると,図2のようになる。2リバースプロキシを使ったシングルサインオンリバースプロキシを使ったシングルサインオンは、シングルサインオン用に別途リバースプロキシサーバを立て、このサーバが代理で認証を行う方式である。過去問(H22SC秋AM2問1)では、「リバースプロキシを使ったシングルサインオンの場合、利用者認証においてパスワードの代わりにディジタル証明書を用いることができる」と述べられている。問79)」は何か?例えば、通販の申し込みサイトと決済サイトが別会社で運営されている場合、ドメインが異なるので、クッキーによるシングルサインオンはできない。Language)がある。各WebサイトがSAMLプロトコルに対応していれば、サイト間で認証情報を引き継ぐことができる。異なるWebサイト)でのシングルサインオンが可能になる。Webサイト間で認証,属性及び認可の情報を安全に交換するために策定したフレームワーク(H24SC秋午前2問11)」、「SAMLは、認証、許可などの情報を安全に交換するためのフレームワークである(H29SC春午後1問2)」と述べている。シングルサインオンコメント(0)SAMLのフロー1過去問に詳しい解説がある。以下の記事と合わせて確認してほしい。Language)2.0という標準技術を使ったID連携のシステム構築の経験があります。2.0では,異なる製品間の相互運用性について,技術標準を策定する団体が主導して試験を行い,検証結果を公表しています。E君:相互運用性が高い技術であれば,X社の技術標準として採用しやすいですね。仕組みについてご説明します。2.0を使ってSSOを実現する場合のメッセージフローです。(サーピスプロバイダ)は,認証された利用者に対して業務アプリケーションなどのサービスを提供する側の機能で,IDP(IDプロバイダ)は,利用者認証の結果をSPに提供する機能です。]をプラウザ経由でIDPから受け取ります。2.0によるSSOのメッセージフローE君:なるほど,分かりました。2.0のSPを導入したとします。]するまでは,X社とY社のWebアプリケーションは,利用者が個別にサインオンしなくても利用可能となります。]に入れる適切な字句を,それぞれ10字以内で答えよ。]には,ブラウザにおける動作を示す適切な字句を8字以内で答えよ。試験センターの解答例は以下だ。シングルサインオンコメント(0)SAMLのフロー2もう一問、過去問(H22秋SC午後II問2)を解いてみよう。]に関する情報を交換するための標準規格である。]を実現するプロトコルは,図9のとおりである。Webアプリ上には,SP(サービスプロバイダ)と呼ばれるモジュールが稼働しており,IdP(Idプロバイダ)と呼ばれるWebアプリと連携して,利用者認証を行う。IdPにおいては,様々な認証方式を採用できるが,A社では,入力フォームを活用した,利用者IDとパスワードを用いる方式を採用し,図8の統合認証システムにおけるLDAPサーバと連携させることにした。A社で採用したSAML型SSOシステムのプロトコルの動作概要である。ここで,各主体は,ほかの主体の公開鍵証明書を保持しているとする。Webアプリにサービスを要求する際,SP用のクッキーがあれば,それを提示する。提示したクッキーが有効であることが検証された場合は(f)に進む。SAMLRequestメッセージをエンコーディングした上でURIに含め,サービス要求をldPにリダイレクトする。(c)利用者は,利用者IDとパスワードを入力し,認証を受ける。(d)ldPは,利用者IDなどの属性を暗号化及びディジタル署名したSAMLResponseメッセージを発行し,ブラウザ上のJavaScriptを用いて,それをSPに転送する。(e)SPは,SAMLResponseメッセージのディジタル署名などを検証し,有効であれば,SP用のクッキーを発行する。(f)SPが稼働するWebアプリは,該当するサービスを提供する。設問あれ、さっきとはSPとIdPの位置が逆だ。これでいいのかな?図の上での配置は逆だが、内容は一緒だよ。試験センターの解答例は以下だ。認可SAMLに関する詳細な出題は、H29春SC午後I問3にもある。SPやIdpがどれかは必須のように問われているので、理屈を理解しておきましょう。シングルサインオンコメント(0)SAMLのフロー3もう一問(H29春SC午後1問3)見てみましょう。〔SAMLを用いた認証連携と接続元制限方式の概要]SAMLは,認証,認可などの情報を安全に交換するためのフレームワークである。IdPという)との間で利用者の認証結果などの情報を安全に連携することができる。SAMLには複数の処理方式が存在する。今回F社で導入を検討している方式のシーケンスを図1に示す。導入を検討している方式のシーケンスSAMLを用いた認証連携を行うためには,事前にldPとSPとの間で様々な情報を共有することによって,信頼関係を構築しておく必要がある。]において必要なIdPのディジタル証明書などがある。図1中の処理1~4の処理内容を表1に示す。