基本情報技術者 試験情報＆徹底解説 -新制度に完全対応-

クラウドサービスの利用者認証に関する次の記述を読んで，設問1，2に答えよ。

　A社では現在，Webベースの業務システムが複数稼働しており，それぞれが稼働するサーバ(以下，業務システムサーバという)を社内LANに設置している。A社のネットワーク構成を，図1に示す。　利用者は，業務システムを，社内LANに設置されたクライアントPCのWebブラウザから利用する。社外から社内LANへのリモートアクセスは禁止されている。業務システムの利用者認証は，A社認証サーバでの利用者IDとパスワード(以下，この二つを併せて利用者認証情報という)の検証によって行っており，シングルサインオンを実現している。
　社内LANからインターネットを介した社外への通信は，クライアントPCからプロキシサーバを経由した，HTTP over TLS(以下，HTTPSという)による通信だけが，ファイアウォールによって許可されている。社外からインターネットを介した社内LANへの通信は，全てファイアウォールによって禁止されている。ファイアウォールの設定は，A社のセキュリティポリシーに基づき変更しないものとする。

〔クラウドサービスの利用者認証〕
　このたびA社は，業務システムの一つである販売管理システムを，B社がインターネットを介して提供する販売管理サービス(以下，B社クラウドサービスという)に移行することにした。利用者認証に関しては，A社認証サーバとB社クラウドサービスを連携し，次の(1)～(3)を実現することにした。

• B社クラウドサービスをシングルサインオンの対象とする。
• A社の利用者認証は，B社クラウドサービスについても，A社認証サーバで行う。
• 利用者が本人であることを確認するためにA社認証サーバで用いるaは，B社クラウドサービスには送信しない。

　(1)～(3)を実現するために，A社は，利用者認証を仲介するIDプロバイダ(以下，IdPという)を社内LANに設置することにした。IdPは，認証結果，認証有効期限及び利用者ID(以下，これら三つを併せて認証済情報という)にデジタル署名を付加してから，Webブラウザを介して，B社クラウドサービスに送信する。B社クラウドサービスは，付加されているデジタル署名を使って，受信した認証済情報にbがないことを検証する。このために，IdPのcをB社クラウドサービスに登録しておく。
　WebブラウザとB社クラウドサービスとの間，及びWebブラウザとIdPとの間の通信には，HTTPSを用いる。IdPとA社認証サーバとの間の通信にはLDAPを用いる。

〔B社クラウドサービスが利用可能になるまでの処理の手順〕
　A社の利用者が，利用者認証されていない状態で，B社クラウドサービスを利用しようとした場合に，利用可能になるまでの処理の手順を次の①～⑩に示す。

1. 利用者は，WebブラウザからB社クラウドサービスにアクセスの要求を送信する。
2. B社クラウドサービスは，アクセスの要求をIdPに転送する指示(以下，転送指示という)を，Webブラウザに返信する。
3. Webブラウザは，②の転送指示に従い，IdPにアクセスの要求を送信する。
4. IdPは，利用者認証情報の入力画面をWebブラウザに返信する。
5. 利用者は，Webブラウザで利用者認証情報を入力する。Webブラウザは，入力された利用者認証情報をIdPに送信する。
6. IdPは，利用者認証情報をA社認証サーバに送信する。
7. A社認証サーバは，利用者認証情報を検証し，認証結果をIdPに返信する。
8. IdPは，認証結果が成功の場合に，認証済情報を発行し，当該情報のB社クラウドサービスへの転送指示とともに，Webブラウザに返信する。
9. Webブラウザは，⑧の転送指示に従い，認証済情報をB社クラウドサービスに送信する。
10. B社クラウドサービスは，認証済情報に基づいて，B社クラウドサービスの利用を許可し，操作画面をWebブラウザに返信する。

　B社クラウドサービスが利用可能になるまでの処理の流れを，図2に示す。図2中の①～⑩は，処理の手順の①～⑩と対応している。

本文中の　に入れる適切な答えを，解答群の中から選べ。

次の記述中の　に入れる適切な答えを，解答群の中から選べ。

　B社クラウドサービスでは，接続元のIPアドレスをA社のものに限定する機能は提供されていない。しかし，他の業務システムと同様に，B社クラウドサービスを，社内LANからの利用に限定できる。
　この理由は，dことが必要であるが，IdPを社内LANに設置するので，社外からB社クラウドサービスを利用しようとしても，図2中のeの送信で失敗し，利用者認証されないからである。