オンプレミスからハイブリッドクラウド移行におけるシングルサインオン、通信経路の高負荷【情報処理安全確保支援士試験平成30年度秋期午後2 問1 No.3】

情報処理安全確保支援士試験平成30年度秋期午後2 問1 No.3

【ID管理及び利用者認証の検討】
　X社システム部門は、X社のデータセンタ、工場及び拠点のシステム環境（以下、オンプレミス環境という）にIaaS C、SaaS Q及びSaaS Sを加えた環境（以下、ハイブリッドクラウド環境という）におけるID管理及び利用者認証を次のように設計した。

IaaS Cに配置するWindowsの業務サーバに従業員がアクセスする際に利用者認証を行う認証サーバとして、認証サーバA1と同じ製品を用いた認証サーバA2をIaaS Cの環境に新たに配置する。
認証サーバA2にはIaaS Cに配置するWindowsの業務サーバのコンピュータ情報及びそれらを運用管理するJ社の運用管理要員の利用者情報を登録し、認証サーバA1とSAML2.0プロトコルで通信する。
認証サーバB1をバージョンアップし、新バージョンで提供されたSPNEGOプロトコルによって、認証サーバB1が認証サーバA1と通信し、認証サーバA1が発行するトークンを用いて利用者認証を行うようにする。
SaaS Q及びSaaS Sは、認証サーバB1とSAML2.0プロトコルで通信し、認証サーバB1が発行するトークンを用いて利用者認証を行う。

　X社システム部門は、認証サーバB1の配置について、次の二つの案を比較検討した。
案1　現行の構成のまま、オンプレミス環境に認証サーバB1を配置する。
案2　認証サーバB1をIaaS Cに移行する。

　X社システム部門は、それぞれの案において、利用者認証後の通信経路を比較した。その結果、移行の初期段階においては案1とし、社内PCと、オンプレミス環境及びIaaS C環境それぞれの業務サーバとの間の通信データ量を定期的に測定し、案2に変更する時期を見極めることにした。案1における日本国内のハイブリッドクラウド環境の論理構成を図2に示す。
　なお、X社の各国及び各地域のデータセンタは、VPNを介してIaaS Cのデータセンタにアクセスする。

各認証サーバ及び各SaaSをSAML2.0プロトコルやSPNEGOプロトコルで通信させることによって、X社の従業員にはどのような利便性が提供されるか。30字以内で述べよ。：一度のログインで全システムにアクセスできるという利便性

　まず、これまでの利用者認証はどのように行われていたかを確認します。
　問題文に「従業員が社内PC、並びにWindowsの業務サーバ及び人事サーバにログオンする際は、認証サーバA1による利用者認証が行われる。従業員がWebブラウザを用いてLinux及び専用UNIXの業務サーバにログオンする際は、認証サーバB1による利用者認証が行われる。」とあります。
　このように、サーバごとに認証サーバA1、B1により別々に利用者認証されるため、従業員は利用するシステムによって、場合よっては2回ログインする必要があったようです。
　各SaaSをSAML2.0プロトコルやSPNEGOプロトコルで通信させことで、利用者認証がどのように変わるのでしょうか。
　まず、用語から簡単に整理します。
　SAML（Security Assertion Markup Language）とは、認証情報を安全に受け渡しするための標準規格で、標準化団体OASIS（Organization for the Advancement of Structured Information Standards）が策定しています。
　SPNEGO（Simple and Protected GSS-API Negotiation Mechanism）とは、HTTPで認証連携を行う技術です。
　ハイブリッドクラウド環境における利用者認証について、問題文に「認証サーバB1をバージョンアップし、新バージョンで提供されたSPNEGOプロトコルによって、認証サーバB1が認証サーバA1と通信し、認証サーバA1が発行するトークンを用いて利用者認証を行うようにする。」「SaaS Q及びSaaS Sは、認証サーバB1とSAML2.0プロトコルで通信し、認証サーバB1が発行するトークンを用いて利用者認証を行う。」とあります。
　つまり、「認証サーバA1ー（SPNEGO）ー認証サーバB1ー（SAML2.0）ーSaaS Q/S」という認証連携が組まれることになります。
　そうすると、従業員は一度のログインで全システムにアクセスできることになります。

案2を選択した場合、案1と比べて、利用者認証後の通信経路上の構成要素の負荷が高くなるのは、社内PCからどの業務サーバへの通信か。全て選び、図2中の記号アからシで答えよ。また、負荷が高くなる構成要素を全て選び、同じく図2中の記号アからシで答えよ。：（業務サーバ）イ、ウ、（構成要素）ク、ケ、コ、サ

　利用者認証後の通信経路について問われていますので、認証サーバB1の配置が異なる案による違いはないように思えます。
　ここで認証サーバB1について、問題文にヒントがないか確認します。
　すると、図1の認証サーバB1の説明に「・・・リバースプロキシ型の認証サーバ」とあります。リバースプロキシということは、利用者認証後の通信も目的のサーバへのアクセスには認証サーバB1を常に通過するということです。
　ここで目的のサーバとは、認証サーバB1で認証するLinuxと商用UNIXの業務サーバになります。（図2のイ、ウ、オ）
　これを前提に、案1と案2を比較します。
　案1の場合、東日本データセンタにある認証サーバB1経由で、イ、ウ、オにアクセスします。
　これに対し、案2の場合、IaaS Cにある認証サーバB1経由で、イ、ウ、オにアクセスすることになります。ここで、イ、ウについては、東日本データセンタからインターネット経由で通信することになり、この部分の負荷が高くなります。