プロキシサーバとは？

プロキシサーバの意味

クライアントに代わって外部へ接続するのがフォワードプロキシ、外部からの要求を受けて内部サーバへ中継するのがリバースプロキシ。前者はURLフィルタリングやマルウェア検査、通信ログの取得に、後者は公開サーバの隠蔽、TLS終端、負荷分散、認証の代行に用いる。

プロキシサーバの具体例

社員のインターネット接続はフォワードプロキシ経由に限定し、利用者ID付きのアクセスログを1年保持して不正の追跡に使えるようにした。公開側はリバースプロキシでTLSを終端し、内部サーバのアドレスを隠したうえ証明書の更新を1か所に集約した。

プロキシサーバは試験でどう引っ掛けられる？

リバースプロキシ型SSOでは、認証が1点に集約されるため既存アプリを改修せずに導入できるが、そこが単一障害点・性能上のボトルネックになりやすい。

プロキシサーバと関連する用語

• DMZ
• シングルサインオン
• C&Cサーバ

プロキシサーバが出た過去問

• シングルサインオンの実装方式に関する記述のうち,適切なものはどれか。

  正解：リバースプロキシを使ったシングルサインオンの場合,利用者認証においてパスワードの代わりにディジタル証明書を用いることができる。

  要点：リバースプロキシ型SSOは認証方式を証明書などに置き換えられる

  リバースプロキシ方式のシングルサインオンでは、利用者の認証をプロキシが一手に引き受け、背後のWebサーバへは認証済みとして中継する。認証はプロキシ上で完結するので、パスワード認証に限らずクライアント証明書によるTLSクライアント認証など任意の方式を採用できる。またすべての通信がプロキシを通るため、対象サーバのドメインが同一かどうかは問われない。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問5（IPA）

• DBMSがトランザクションのコミット処理を完了とするタイミングはどれか。

  正解：ログファイルへのコミット情報書込み完了時点

  要点：コミット完了はログファイルへの書込みが終わった時点

  DBMSは障害回復のためにWAL（ログ先行書込み）方式を採り、更新内容やコミット情報を先にログへ記録してからデータベース本体へ反映する。コミットが完了したと見なせるのは、コミットの記録が揮発するメモリ上のログバッファではなく、不揮発の媒体上のログファイルへ確実に書き終えた時点である。これにより、直後に障害が起きてもログからロールフォワードして結果を保証できる。

  出典：平成30年度 春期 情報処理安全確保支援士試験 am2 問21（IPA）

• ディスク障害時に,フルバックアップを取得してあるテープからディスクにデータを復元した後,フルバックアップ取得時以降の更新後コピーをログから反映させてデータベース…

  正解：ロールフォワード

  要点：ロールフォワードは更新後ログを反映して復旧する

  ロールフォワードは、バックアップから復元した時点のデータベースに対し、以降のログに残る更新後の内容を順に反映して障害直前の状態まで進める回復方法である。媒体障害からの復旧に用いる。反対に更新前の内容を使って取消す処理がロールバックである。

  出典：令和3年度 春期 情報処理安全確保支援士試験 am2 問24（IPA）

• シングルサインオン(SSO)に関する記述のうち,適切なものはどれか。

  正解：リバースプロキシ方式では,SSOを利用する全てのトラフィックがリバースプロキシサーバに集中し,リバースプロキシサーバが単一障害点になり得る。

  要点：リバースプロキシ型SSOはプロキシが単一障害点になる

  リバースプロキシ方式のSSOでは、対象システムへの通信をすべてリバースプロキシに集約し、そこで認証を済ませてから背後のサーバへ中継する。認証を一箇所に集められる利点の裏返しとして、そのプロキシが停止すると全システムが利用できなくなり、性能上のボトルネックにもなり得る。したがって冗長化と性能設計が導入時の要点となる。

  出典：令和4年度 秋期 情報処理安全確保支援士試験 am2 問7（IPA）

• シングルサインオンの実装方式の一つであるSAML認証の流れとして,適切なものはどれか。

  正解：IdP(Identity Provider)が利用者認証を行い,認証成功後に発行されるアサーションをSP(Service Provider)が検証し,問題がなければクライアントがSPにアクセスする。

  要点：SAMLはIdP発行のアサーションをSPが検証してSSOを実現する

  SAMLでは、IdPが利用者認証を行い、その結果を記述したアサーションを発行する。クライアントはこれをSPへ渡し、SPはIdPの署名を検証してアサーションが正当なら認可を与える。よってアが正しい。cookieを使うエージェント型、Kerberosチケット型、リバースプロキシ型はいずれもSSOの別方式である。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問3（IPA）