シングルサインオンとは？

シングルサインオンの意味

一度の認証で複数のシステムを利用できるようにする仕組み。実現方式にはリバースプロキシ型、エージェント型、フェデレーション型（SAML／OpenID Connect）、Cookie型がある。

シングルサインオンの具体例

リバースプロキシ型は全通信をプロキシ経由にして認証を代行するため、既存アプリを改修せず導入できる反面、プロキシに通信が集中し単一障害点・性能上のボトルネックになりやすい。

シングルサインオンは試験でどう引っ掛けられる？

SSOは利便性を高めるが、認証情報が破られたときの被害範囲も広がる。だからこそ多要素認証との併用が前提になる。

シングルサインオンと関連する用語

• SAML
• OpenID Connect
• Kerberos

シングルサインオンが出た過去問

• 標準化団体OASISが，Webサイト間で認証，属性及び認可の情報を安全に交換するために策定したフレームワークはどれか。

  正解：SAML

  要点：SAMLは認証・属性・認可情報をXMLで安全に交換

  SAMLは、OASISが策定した、認証・属性・認可の情報をXML形式で異なるドメイン間で安全にやり取りするためのフレームワークです。これによりシングルサインオンを実現できます。

  出典：平成28年度 春期 情報処理安全確保支援士試験 am2 問4（IPA）

• 標準化団体OASISが，Webサイト間で認証，属性及び認可の情報を安全に交換するために策定したフレームワークはどれか。

  正解：SAML

  要点：SAMLはOASIS策定の認証・認可情報交換の枠組み

  SAMLはOASISが策定したXMLベースのフレームワークで、認証・属性・認可の情報をアサーションという形式で異なるドメイン間でやり取りする。これによりシングルサインオンが実現でき、IdP（ID提供者）とSP（サービス提供者）の間で信頼関係を結ぶ構成をとる。

  出典：平成29年度 秋期 情報処理安全確保支援士試験 am2 問3（IPA）

• シングルサインオンの実装方式に関する記述のうち,適切なものはどれか。

  正解：リバースプロキシを使ったシングルサインオンの場合,利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。

  要点：リバースプロキシ型SSOは認証方式を証明書などに置き換えられる

  リバースプロキシ方式のシングルサインオンでは、利用者の認証をプロキシが一手に引き受け、背後のWebサーバへは認証済みとして中継する。認証はプロキシ上で完結するので、パスワード認証に限らずクライアント証明書によるTLSクライアント認証など任意の方式を採用できる。またすべての通信がプロキシを通るため、対象サーバのドメインが同一かどうかは問われない。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問5（IPA）

• 標準化団体OASISが，Webサイトなどを運営するオンラインビジネスパートナ間で認証，属性及び認可の情報を安全に交換するために策定したものはどれか。

  正解：SAML

  要点：SAMLは認証・属性・認可の情報を安全に交換する標準

  SAMLはOASISが策定したXMLベースの標準で、認証、属性、認可に関する情報（アサーション）を異なるドメインのシステム間で安全にやり取りするための仕様である。これによりドメインをまたぐシングルサインオンが実現できる。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問3（IPA）

• SAML（Security Assertion Markup Language）の説明として、最も適切なものはどれか。

  正解：認証情報に加え、属性情報とアクセス制御情報を異なるドメインに伝達するためのWebサービスの仕様

  要点：SAMLは認証・属性・認可をドメイン間で伝える仕様

  SAMLは、認証結果や利用者の属性、アクセス可否の判断をアサーションと呼ばれるXML文書で表現し、異なる組織やドメインの間で安全にやり取りするための標準仕様である。IdP（認証を行う側）とSP（サービスを提供する側）が信頼関係を結ぶことで、ドメインをまたいだシングルサインオンやフェデレーションが実現できる。認証・属性・認可の三種のアサーションを扱える点が要点である。

  出典：令和2年度 10月 情報処理安全確保支援士試験 am2 問2（IPA）