フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）とは？

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）の意味

組織をまたいで認証結果を信頼し合う仕組み。SAMLはXMLの認証アサーションを、OpenID ConnectはIDトークンを発行して「誰であるか」を伝える。OAuth 2.0は本来これらと目的が違い、パスワードを渡さずに「何をしてよいか」という権限を委譲するための仕組みである。

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）の具体例

社内IDでSaaSへログインする構成では、SaaS（サービスプロバイダ）が社内のIDプロバイダへ利用者を転送し、認証済みのアサーションを受け取って自社の利用者に対応付ける。SaaS側にパスワードを預けずに済み、退職時の一括停止も自社側で完結する。

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）は試験でどう引っ掛けられる？

OAuth 2.0を「認証の規格」と説明する選択肢は誤り。認可の枠組みであり、本人確認まで行うにはOpenID Connectの層が要る。アクセストークンをそのまま身元の証明に使う実装は、他サービス向けトークンの流用を許す。

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）と関連する用語

• シングルサインオン（SSO）
• IDaaSとアカウントのライフサイクル管理
• ゼロトラストアーキテクチャ

フェデレーション認証（SAML・OAuth 2.0・OpenID Connect）が出た過去問

• 複数のシステムやサービスの間で利用されるSAML（Security Assertion Markup Language）はどれか。

  正解：認証や認可に関する情報を交換するための仕様

  要点：SAMLは認証・認可情報を組織間で交換しSSOを支える

  SAMLは、認証の結果や利用者の属性、アクセスの可否といった情報をXML形式で記述し、組織やサービスをまたいでやり取りするための規格である。認証を行う側（IdP）が発行したアサーションをサービス提供側（SP）が信頼することで、一度の認証で複数サービスを利用するシングルサインオンを実現できる。

  出典：令和4年度 春期 応用情報技術者試験 午前 問36（IPA）

• 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち、適切なものはどれか。ここで、利用者IDとパス…

  正解：認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。

  要点：SAMLは認証結果をクライアント経由でSPへ渡しパスワードを渡さない

  SAMLでは、企業内の認証サーバ（IdP）が利用者を認証し、その結果をデジタル署名付きのアサーションとして発行する。アサーションは利用者のブラウザ（クライアント）経由でクラウドサービス（SP）へ渡され、SPは署名を検証して利用者を受け入れる。パスワード自体がクラウドサービス側へ渡らないことが、この方式の要点である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問37（IPA）