フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）とは？

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）の意味

組織をまたいで認証結果を信頼し合う仕組み。SAMLはXMLの認証アサーションを、OpenID ConnectはIDトークンを発行して「誰であるか」を伝える。OAuth 2.0は本来これらと目的が違い、パスワードを渡さずに「何をしてよいか」という権限を委譲するための仕組みである。

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）の具体例

社内IDでSaaSへログインする構成では、SaaS（サービスプロバイダ）が社内のIDプロバイダへ利用者を転送し、認証済みのアサーションを受け取って自社の利用者に対応付ける。SaaS側にパスワードを預けずに済み、退職時の一括停止も自社側で完結する。

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）は試験でどう引っ掛けられる？

OAuth 2.0を「認証の規格」と説明する選択肢は誤り。認可の枠組みであり、本人確認まで行うにはOpenID Connectの層が要る。アクセストークンをそのまま身元の証明に使う実装は、他サービス向けトークンの流用を許す。

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）と関連する用語

• シングルサインオン（SSO）／SAML
• IDaaSとアカウントのライフサイクル管理
• ゼロトラストアーキテクチャ

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）が出た過去問

• SAML（Security Assertion Markup Language）の説明はどれか。

  正解：異なるインターネットドメイン間で利用者情報を共有してシングルサインオンに利用するための、XMLをベースにした標準規格

  要点：SAMLはXMLで認証情報を交換しドメイン間SSOを実現する

  SAMLは、認証や属性、認可に関する情報（アサーション）をXML形式で記述し、認証を行うIdPとサービスを提供するSPの間で安全に受け渡すためのOASIS標準である。これにより組織やドメインをまたいだシングルサインオンが実現でき、各サービスが個別に利用者を認証する必要がなくなる。認可の委譲を扱うOAuthや、URLを識別子とするOpenIDとは目的が異なる。

  出典：令和1年度 春期 エンベデッドシステムスペシャリスト試験 am2 問19（IPA）

• SAML(Security Assertion Markup Language)の説明はどれか。

  正解：異なるインターネットドメイン間でセキュリティ情報を共有してシングルサインオンに利用するための、XMLをベースにした標準規格

  要点：SAMLはXMLで認証情報を交換しSSOを実現する規格

  SAMLは、認証・認可に関する情報（アサーション）をXML形式で記述し、異なるドメインのシステム間で安全にやり取りするためのOASIS標準である。認証を行うIdPと、サービスを提供するSPの間でアサーションを受け渡すことで、組織やドメインをまたぐシングルサインオンを実現できる。

  出典：令和5年度 秋期 エンベデッドシステムスペシャリスト試験 am2 問14（IPA）