ネットワークスペシャリスト 2023年 春期 午後II 問題

共通の文章

マルチクラウド利用による可用性向上に関する次の記述を読んで,設問に答えよ。 A社は,従業員599人のシステム開発会社である。A社では,IaaSを積極的に活用 して開発業務を行ってきたが,利用しているIaaS事業者であるB社で大規模な障害 が発生し,開発業務に多大な影響を受けた。A社のシステム部では,利用するTIaaS事 業者をもう1社追加してマルチクラウド環境にし,本社を中心にネットワーク環境も 含めた可用性向上に取り組むことになり,Eさんを担当者として任命した。 現在のA社のネットワーク構成を図1に示す。 に EIGHTスシターネットフーーー* —a開発 'FF |[ ET Fe||me|MMW 1 ER|サー !'B社IaaS !DMZ 192.168.0.0/24|=192.168.1.0/24 oe Se aia paceaiemeiaeds,| |~mut| ics|ie Le !Ae KE部ネットワーク」 ーーーニーニーニーニニニョーームコはA社営業所 A社本社 R:ルータFW:ファイアウォールL2WW:レイヤー2スイッチL3SW:レイヤー3スイッチ Dit Py NW:回線事業者であるD社が提供する閉域ネットワークサービス 図1現在のA社のネットワーク構成GRE) 図1の概要を次に示す。 ・A社は本社と2か所の営業所で構成されている。 ・D社閉域NNを利用して,本社と2か所の営業所を接続している。R11及びR20とい ったA社とD社閉域NWとを接続するルータは,D社からネットワークサービスとし て提供されている。 ・D社閉域NNとB社IaaSは相互接続しており,A社はD社閉域NW経由でB社IaaS ee 2本 を利用している。 ・A社ネットワークでは静的経路制御を利用している。 ・B社からは,Webブラウザを利用した画面操作によって,IaaS上に仮想ネットワー ク,仮想サーバを簡単に構築できる管理コンソールが提供されている。 ・A社のシステム部は,受託した開発業務ごとに開発サーバBを構築し,A社の担当 部門に引き渡している。開発サーバBの運用管理は担当部門で実施する。 ・システム部は,共用のファイルサーバBを構築し,A社の全部門に提供している。 ・A社の全部門で利用する電子メールやチャット,スケジューラーなどのオフィスア プリケーションソフトウェアはインターネット上のSaaSを利用している。これら のSaaSはHTTPS通信を用いている。 ・A社の一部の部門では,担当する業務に応じてインターネット上のSaaSを独自に 契約し,利用している。これらのSaaSでは送信元IPアドレスによってアクセス制 限をしているものもある。これらのSaaSもHTTPS通信を用いている。 ・プロキシサーバAは,従業員が利用するPCやサーバからインターネット向けの HTTP通信,HTTPS通信をそれぞれ中継する。従業員はプロキシサーバとして proxy.a-sha.co.jpをPCのWebブラウザやサーバに指定している。 ・A社は,本社設置のR10を経由してインターネットに接続している。FW19にはグロ ーバルIPアドレスを付与しており,FW10を経由するインターネット宛ての通信は NAPT機能によってIPアドレスとポート番号の変換が行われる。 ・キャッシュDNSサーバは,PCやサーバからの問合せを受け,ほかのDNSサーバへ問 い合わせた結果を応答する。キャッシュDNSサーバは複数台設置されている。 ・コンテンツDNSサーバは,PCやサーバのホスト名などを管理し,PCやサーバなど に関する情報を応答する。コンテンツDNSサーバは複数台設置されている。 ・監視サーバは,ICMPを利用する死活監視(以下,ping監視という)を用いてDMZ やIaaSにあるサーバの監視を行っている。監視サーバで検知された異常はシステ ム部の担当者に通知され,復旧作業などの必要な対応が行われる。 システム部では,ネットワーク環境の可用性向上の要件を次のとおりまとめた。 ・新規にC社のIaaSを契約し,B社IaaSと併せたマルチクラウド環境にし,D社閉 域NW経由で利用する。 ー3一 ・A社本社とD社閉域NNとの接続回線を追加し,マルチホーム接続とする。 ・インターネット接続を本社経由からD社閉域NW経由に切り替える。 可用性向上後のA社のネットワーク構成を図2に示す。 eg| 中コンテンツi |wee|FW40 feat| ミme、は fay IFショ|fea 1]DNSサーバた< !DMZ 192,168.00/24|meal ee 1,0/24 …;R21 PaS En |=||: 1 1 1 1サーバC(C EE ウー||し内部ネットワーク| Loewen nen nnn ne内部ネットワーク1 A社営業所C社IaaS A社本社192.168.2.0/24 図2可用性向上後のA社のネットワーク構成(抜粋) [B社と(社のIaaS利用]〕 C社からも,B社と同様に管理コンソールが提供されている。B社IaaSに構築され た仮想ネットワーク,仮想サーバと(社IaaSに構築された仮想ネットワーク,仮想 サーバは0社閉域NWを経由して相互に通信できる。 Eさんは,B社と(社のIaaS利用方針を次のとおり策定した。 ・C社1aaS3にファイルサーバ(Cを新たに構築し,ファイルサーバBと常に同期をとる ように設定する。A社従業員はファイルサーバB又はファイルサーバ(Cを利用する。 ・B社IaaSにプロキシサーバB A,(社IaaSにプロキシサーバ(Cを新たに構築し, プロキシサーバAから切り替える。 ・B社IaaSを利用して開発サーバBを,Cet IaaSを利用して開発サーバCを構築し, ーー4ーー A社の担当部門に引き渡す。 [プロキシサーバの利用方法の検討] Eさんは,laaSに構築するプロキシサーバBとプロキシサーバ(の利用方法を検討 した。プロキシサーバの利用方法の案を表1に示す。 表1プロキシサーバの利用方法の案 ge|平常時はプロキシサーバBを利用し,プロキシサーバBに障害が発生した際にはプロキシサーバC を利用するように切り替える。 案2平常時からプロキシサーバB及びプロキシサーバ(Cを利用し,片方に障害が発生した際には正常稼 働しているもう片方を利用するように切り替える。 Eさんは,従業員が利用するプロキシサーバを,DNSの機能を利用して制御するこ とを考えた。プロキシサーバに障害が発生した際には,DNSの機能を利用して切り替 iえる。 プロキシサーバに関するDNSゾーンファイルの記述内容を表2に示す。 表2プロキシサーバに関するDNSゾーンファイルの記述内容 ——ssa rinomane sd 現在の設定proxy.a-sha.co.jp.INA 192.168.0.145:従業員が指定するホスト EO BRE proxya,a-sha.co.jp.INA 192.168.0.145:プロキシサーバAのホスト proxy,a-sha.co.jp.IN A 192.168.1.145;従業員が指定するホスト の補間ba-sha.co.jp。INA 192.168.1.145:プロキシサーバBのホスト =ュ、|proxya.a-sha.co.jp.INA 192.168.0.145:プロキシサーバAのホスト proxyc.a-sha.co.jp.INA 192.168.2.145:プロキシサーバCのホスト proxy,a-sha.co.jp.INA 192.168.1.145:従業員が指定するホスト proxy,a-sha.co.jp.IN A 192.168.2.145:従業員が指定するホスト S$2の初期設定proxya.a-sha.co.jp.INA 192.168.0.145:プロキシサーバAのホスト proxyb.a-sha.c0.jp.INA 192.168.1.145:プロキシサーバBのホスト proxyC.a-sha.co.jp.INA 192.168.2.145:プロキシサーバCのホスト 注記切替え期間中の設定を含む。 Eさんは,プロキシサーバの監視運用について検討した。監視サーバで利用できる ①ping監視では不十分だと考え,新たにTCP監視機能を追加し,プロキシサーバの アプリケーションプロセスが動作するポート番号にTCP接続可能か監視することにし acai 5 ai た。また,監視対象として,従業員がプロキシサーバとして指定するホストに加え て,プロキシサーバA,プロキシサーバB,プロキシサーバ(Cのホストを設定するこ とにした。 Ric,監視サーバでプロキシサーバBの異常を検知した際に,従業員がプロキシサ ーバの利用を再開できるようにするための復旧方法として,②DNSゾーンファイルの 変更内容を案1,案2それぞれについて検討した。また,③平常時からproxy.a- sha.co.jpに関するリソースレコードのTTLの値を小さくすることにした。 これらの検討の結果,.プロキシサーバの負荷分散ができること,及びプロキシサ ーバの有効活用ができることから案2の方が優れていると考え,Eさんは案2を採用 することにした。 さらに,Eさんは,自動でプロキシサーバを切り替えるために,@DNSとは異なる 方法で従業上員が利用するプロキシサーバを切り替える方法も検討した。プロキシサ ーバを利用する側の環境に依存することから,DNSゾーンファイルの書換えによる切 替えと併用することにした。 [マルチホーム接続] Ric,Eさんは1社閉域NNWとのマルチホーム接続について検討した。A社本社に増 設するルータ及び回線はD社からネットワークサービスとして提供される。マルチホ ーム接続の設計についてD社担当者から説明を受けた。 D社担当者から説明を受けたマルチホーム接続構成を図3に示す。 “eCセー 4し BGP) eBGP(external BGP) <—>:BGP(Border Gateway Protocol)接続" ,:VRRP(Virtual Router Redundancy Protocol) 注記網掛け部分は,追加する機器を志す。 図3 D社担当者から説明を受けたマルチホーム接続構成(抜粋) ー6一 図3の概要は次のとおりである。 ・本社とD SLBA NWとの間で,新たにR13と専用線がD社からネットワークサービ スとして提供される。R11とR13とを併せてマルチホーム接続とする。 ・増設する専用線の契約帯域幅は既設の専用線と同じにし,平常時は既設の専用線 を利用し,障害発生時には増設する専用線を利用する。 ・既存のR11とR12は,静的経路制御からBGPによる動的経路制御に変更する。 ・R11とR12との間,R13とR14との間はeBGPで接続する。⑤R11とR13との間は iBGPで接続し。あわせてnext-hop-self設定を行う。 ・R11とR13との間ではVRRPを利用する。FW10はVRRPで定義する仮想I「アドレス をネクストホップとして静的経路設定を行う。 D社担当者からの説明を受けたEさんは,BGPについて調査した。 RFC 4271で規定されているBGPは,| a|間の経路交換のために作られたプ ロトコルで,TCPポート179番を利用して接続し,経路交換を行う。経路交換を行う 隣接のルータを| b|と呼ぶ。BGPで交換されるメッセージは4タイプあり, 表3に示す。 表3 BGPで交換されるメッセージ |eee 経路制御は,メッセージに含まれるBGPパスアトリビュートの一つで あるLOCAL_PREFを利用して行うとの説明をD社担当者から受けた。LOCAL_PREFは, iBGPピアに対して通知する,外部のASに存在する宛先ネットワークアドレスの優先 度を定義むする。BGPでは,ピアリングで受信した経路情報をBGPテーブルとして構成 し,最適経路選択アルゴリズムによって経路情報をーつだけ選択し,ルータの | %|に反映する。LOCAL_PREFの場合では,最も|f|値をもっ経路情 me fl ms 報が選択される。 また,Eさんは,D社担当者から静的経路制御からBGPによる動的経路制御に構成 変更する手順の説明を受けた。この時,⑥BGPの導入を行った後にVRRPの導入を行 う必要があるとの説明だった。Eさんが説明を受けた手順を表4に示す。 表4 Eさんが説明を受けた手順 R13と増設する専用線とを接続する。 2|R14と増設する専用線とを接続する。 R13&L2SW10とを接続する。 増設した機器や回線に故障がないことを確認するためにpingコマンドで試験を行う。 R11~R14にBGPの設定を追加する。ただし,この時点ではBGP接続は確立しない。 |6|全てのBGP接続を確立させ,送受信する経路情報が正しいことを確認する。 R11及びR12の不要になる静的経路制御の経路情報を削除する。 |8|R11とR13との間のVRRPで利用する新しい仮想IPアドレスを割り当て,VRRPを構成する。 FW19においてVRRPで利用する仮想IPアドレスをネクストホップとする静的経路制御の経路情 報を設定する。 FW10で不要になる静的経路制御の経路情報を削除する。 Eさんは,設計どおりにマルチホームによる可用性向上が実現できたかどうかを確 認するための障害試験を行うことにし,⑨想定する障害の発生箇所と内容を障害一 覧としてまとめた。 [インターネット接続の切替え]〕 mic,Eさんはインターネット接続を本社経由からD社閉域NW経由へ切り替えるこ とについて検討した。 インターネット接続の切替え期間中の構成を図4に示す。 —_8= ee :B社IaaS 'vert|-D社開域MW 192.168.1.0/24 1 DMZ 105.168.Kane} Bee Sn oe cee!サーバC C社1aaS A社本社192.168.2.0/24 ーー:インターネット接続の切替え期間中だけ利用する。 図4インターネット接続の切替え期間中の構成(抜粋) FW40を使ってインターネット接続する。FW49はD社からネットワークサービスと して提供される。FW49には新たにグローバルIPアドレスが割り当てられる。FW40を 経由するインターネット宛ての通信はNAPT機能によってIPアドレスとポート番号の 変換が行われる。A社とインターネットとの通信を,R10経由からFW49経由になるよ うにインターネット接続を切り替える。 Eさんは,設定変更の作業影響による通信断時間を極力短くするために,O FW16 の設定変更はD社閉域NWの設定変更とタイミングを合わせて実施する必要があると 考えた。 Eさんは,⑪インターネット接続の切替えを行うと一部の部門で業務に影響がある と考えた。対策として,全てのインターネット宛ての通信はFW40経由へと切り替え るが,⑫一定期間プロキシサーバAからのインターネット宛ての通信だけは既存の R10経由になるようにする。あわせて,Eさんは,業務に影響がある一部の部門には 切替え期間中はプロキシサーバAが利用可能なことを案内するとともに,⑬恒久対応 として設定変更の依頼を事前に行うことにした。 Eさんは,プロキシサーバAのログを定期的に調査し,利用がなくなったことを確 認した後に.。プロキシサーバAを廃止することにした。 Eさんが検討した可用性向上の検討案は承認され,システム部では可用性向上プロ ジェクトを開始した。 トー9 oss

共通の文章

ECサーバの増強に関する次の記述を読んで,設問に答えよ。 Y社は,従業員300名の事務用品の販売会社であり,会員企業向けにインターネッ トを利用して通信販売を行っている。ECサイトは,Z社のデータセンター(以下,z- DCという)に構築されており,Y社の運用PCを使用して運用管理を行っている。 ECサイトに関連するシステムの構成を図1に示し,DNSサーバに設定されているゾ ーン情報を図2に示す。 -DCしスニスニSb 1 6eCSV mail ns maka 1|ec||メール||ons 1 4『|サーバサーバ||サーバ1 にキーター1: :|FWz LZSW: 4 7!DMZ_192.168.1.0/24 トーーここここーーーニーニーニーニーニニ 広域イーサ綱:広域イーサネットサービス網 Vet LT L2SW:レイヤー2スイッチ FW:ファイアウォール ay Last L3SW:レイヤー3スイッチ 注記ecsv,mail。nsは,ホスト名である。 192.168.9.0/24 Bi ECサイトに関連するシステムの構成(抜粋) ゾーン情報 |1|@IN SOA ns.example.jp.hostmaster.example.jp.(省略) IN[a]ns,example,jp. IN[|5|19 mail.example.jD. ecsv IN A(省略) |6 lmail INA[|s @IN SOA ns.y-sha.example.lan.hostmaster.y-sha.example.lan.(省略) |8 IN[a]ns,y-sha,example,lan. |9|IN[>|10 mail.y-sha,example.lan. |11|ecsv IN A(省略) mail IN A B42 DNSサーバに設定されているゾーン情報(抜粋) [ECサイトに関連するシステムの構成,運用及びセッション管理方法〕 ・会員企業の事務用品購入の担当者(以下,購買担当者という)は,Webブラウザで https://ecsv.example.jp/を指定してECサーバにアクセスする。 ・運用担当者は,運用PCのWebブラウザでhttps://ecsv.y-sha.example.lan/を指 ELT,広域イーサ網経由でECサーバにアクセスする。 ・ECサーバに登録されているサーバ証明書は一つであり,マルチドメインに対応し ていない。 ・ECサーバパは,アクセス元のIPアドレスなどをログとして管理している。 ・DMZのDNSサーバは,ECサイトのインターネット向けドメインexample.jpと,社 内向けドメインy-sha.example.lanの二つのドメインのゾーン情報を管理する。 ・L3SWには,DMZへの経路とデフォルトルートが設定されている。 ・運用PCは,DMZのDNSサーバで名前解決を行う。 ・FWzには,表1に示す静的NATが設定されている。 表1 FWzに設定されている静的NATの内容(抜粋) 注記100.a.8.1~100.a.8.314,グローバルIPアドレスを示す。 ECサーバは,次の方法でセッション管理を行っている。 ・Webブラウザから最初にアクセスを受けたときに,ランダムな値のセッションTIDを 生成する。 ・Webブラウザへの応答時に,CookieにセッションIDを書き込んで送信する。 ・WebブラウザによるECサーバへのアクセスの開始から終了までの一連の通信を, セッションIDを基に,同一つのセッションとして管理する。 [ECサイトの応答速度の低下〕 最近,購買担当者から,ECサイト利用時の応答が遅くなったというクレームが入 るようになった。そこで,Y社の情報システム部(以下,情シスという)のネットワ ー13一 ークチームのX主任は,運用PCを使用して次の手順で原因究明を行った。 (1)購買担当者と同じURLでアクセスし,応答が遅いことを確認した。 (2)ecsv.example.jp及びecsv.y-sha.example.lan宛てに,それぞれpingコマンド を発行して応答時間を測定したところ,両者の測定結果に大きな違いはなかった。 (3)FWzのログからはサイバー攻撃の兆候は検出されなかった。 (4)sshコマンドで①ecsv.y-sha.example.lanにアクセスしてCPU使用率を調べた ところ,設計値を大きく超えていた。 この結果から,X主任は,ECサーバが処理能力不足になったと判断した。 [ECサーバの増強構成の設計] X主任は,ECサーバの増強が必要になったことを上司のW課長に報告し,W課長か らECサーバの増強構成の設計指示を受けた。 ECサーバの増強策としてスケール| g|方式とスケール|h方式を 比較検討し,ECサイトを停止せずにECサーバの増強を行える,スケール| h| 方式を採用することを考えた。 X主任は,②ECサーバを2台にすればECサイトは十分な処理能力をもつことにな るが,2台増設して3 BIL,負荷分散装置(以下,LBという)によって処理を振り 分ける構成を設計した。ECサーバの増強構成を図3に示し,DNSサーバに追加する社 内向けドメインのリソースレコードを図4に示す。 ea eee eed BPTI :| !' 中1 DMZ 192,168,1.0/24 08 注記lbsはLBのホスト名であり,ecsvi~ecsv3は増強後のECサーバのホスト名である。 図3 ECサーバの増強構成(抜粋) ー14一 lbs IN A 192,168.1.4:LBの物理IPアドレス ecsv1 IN A 192.168.1.5:既設ECサーバのIPアドレス ecsv2 IN A 192.168.1.6:増設ECサーバ1のIPアドレス ecsv3 IN A 192.168.1.7:増設ECサーバ2のIPアドレス 図4 DNSサーバに追加する社内向けドメインのリソースレコード ECサーバ増強後,購買担当者がWebブラウザでhttps://ecsv.example.jp/を指定 してECサーバにアクセスし,アクセス先が既設ECサーバに振り分けられたときのパ ケットの転送経路を図5に示す。 (i)(i)(ii)lbs(iii)ecsv1 ---->ニニーー<--->ーーニーー既設 200.a.b.c ーーーーテ:パケットの転送方向 注記209.a.b.cは,グローバルIPアドレスを示す。 図5既設ECサーバに振り分けられたときのパケットの転送経路 導入するLBには,負荷分散用のIPアドレスである仮想IPアドレスで受信したパ ケットをECサーバに振り分けるとき,送信元IPアドレスを変換する方式(以下,ソ ースNATという)と変換しない方式の二つがある。図5中の(」)一(vi)でのIPヘッ ダーのIPアドレスの内容を表2に示す。 表2図5中の(ij)~ー(vi)でのIPヘッダーのIPアドレスの内容 本5中の #8 —15ーー (ECサーバの増強構成とLBの設定] X主任が設計した内容をW課長に説明したときの,2人の会話を次に示す。 X主任:LBを利用してECサーバを増強する構成を考えました。購買担当者がECサー バにアクセスするときのUKLの変更は不要です。 W課長:DNSサーバに対しては,図4のレコードを追加するだけで良いのでしょうか。 X主任:そうです。ECサーバの増強後も,図2で示したゾーン情報の変更は不要で すが,③図2中の項番5と項番11のリソースレコードは,図3の構成では 図1とは違う機器の特別なIPアドレスを示すことになります。また,OM 4のリソースレコードの追加に対応して,既設ECサーバに設定されている ニニつの情報を変更します。 W課長:分かりました。LBではソースNATを行うのでしょうか。 X主任:現在のECサーバの運用を変更しないために,ソースNATは行わない予定で す。この場合,パケットの転送を図5の経路にするために,⑤既設ECサー バでは,デフォルトゲートウェイのTIPアドレスを変更します。 W課長:次に,ECサーバのメンテナンス方法を説明してください。 X主任:はい。まず,メンテナンスを行うECサーバを負荷分散の対象から外し,そ の後に,運用PCから当該EEサーバにアクセスして,メンテナンス作業を行 います。 W課長:X主任が考えている設定では,運用PCからECサーバとは通信できないと思 いますが,どうでしょうか。 X主任:うっかりしていました。導入予定のLBはルータとしては動作しませんから, ご指摘の問題が発生してしまいます。対策方法として,ECサーバに設定す るデフォルトゲートウェイを図1の構成時のままとし,LBではソースNATを 行うとともに,OEサーバ宛てに送信するHTTPヘッダーにX-Forwarded- Forフィールドを追加するようにします。 W課長:それで良いでしょう。ところで,M3の構成では,増設ECサーバにもサー バ証明書をインストールすることになるのでしょうか。 X主任:いいえ。増設ECサーバにはインストールせずに⑦既設ECサーバ内のサーバ 証明書の流用で対応できます。 W課長:分かりました。負荷分散やセッション維持などの方法は設計済みでしょう ー16一 か。 X主任:構成が決まりましたので,これからLBの制御方式について検討します。 (LBの制御方式の検討] X主任は,導入予定のLBがもつ負荷分散機能・.セッション維持機能・.ヘルスチェ ック機能の三つについて調査し,次の方式を利用することにした。 ・負荷分散機能 アクセス元であるクライアントからのリクエストを,負荷分散対象のサーバに 振り分ける機能である。Y HO ECサーバは,リクエストの内容によってサーバに 掛かる負荷が大きく異なるので,ECサーバにエージェントを導入し,エージェン トが取得した情報を基に,ECサーバに掛かる負荷の偏りを小さくすることが可能 な動的振分け方式を利用する。 ・セッション維持機能 同一のアクセス元からのリクエストを,同一セッションの間は同じサーバに転 送する機能である。アクセス元の識別は,IPアドレス,IPアドレスとポート番号 との組合せ,及びCookieに記録された情報によって行う,三つの方式がある。IP アドレスでアクセス元を識別する場合インターネットアクセス時に送信元IPア ドレスが同じアドレスになる会員企業では,複数の購買担当者がアクセスするEC サーバが同一になってしまう問題が発生する。⑧IPアドレスとポート番号との組 合せでアクセス元を識別する場合は,TCPコネクションが切断されると再接続時に セッション維持ができなくなる問題が発生する。そこで,⑨Cookie中のセッショ ンIDと振分け先のサーバから構成されるセッション管理テーブルをLBが作成し, このテーブルを使用してセッションを維持する方式を利用する。 ・ヘルスチェック機能 振分け先のサーバの稼働状態を定期的に監視し,障害が発生したサーバを負荷 分散の対象から外す機能である。⑩ヘルスチェックは,レイヤー3,4及び7の各 レイヤーで稼働状態を監視する方式があり,ここではレイヤー7方式を利用する。 X主任が,LBの制御方式の検討結果をW課長に説明した後,W課長から新たな検討 事項の指示を受けた。そのときの,2人の会話を次に示す。 ー17一 W課長:運用チームから,ECサイトのアカウント情報の管理負荷が大きくなってき KOC,管理負荷の軽減策の検討要望が挙がっています。会員企業からは, 自社で管理しているアカウント情報を使ってECサーバにログインできるよ うにして欲しいとの要望があります。これらの要望に応えるために,ECサ ーバのSAML2.0(Security Assertion Markup Language 2.0)への対応につ いて検討してください。 X主任:分かりました。検討してみます。 (SAML2.0の調査とECサーバへの対応の検討] X主任がSAML2.0について調査して理解した内容を次に示す。 ・SAMLは,認証・認可の要求応答のプロトコルとその情報を表現するための標準規 格であり,一度の認証で複数のサービスが利用できるシングルサインオン(以下, SSOという)を実現することができる。 ・SAMLでは,利用者にサービスを提供するSP(Service Provider)と,利用者の誰 証・認可の情報をSPに提供するIdP(Identity Provider)との間で,情報の交換 を行う。 -IdPは,SAMLアサーションと呼ばれるXMLドキュメントを作成し,利用者を介して SPに送信する。SAMLアサーションには,次の三つの種類がある。 (a)利用者がIIPにログインした時刻,場所,使用した認証の種類などの情報が 記述される。 (b)利用者の名前,生年月日など利用者を識別する情報が記述される。 (c)利用者がもつサービスを利用する権限などの情報が記述される。 ・SPは,IdPから提供されたSAMLアサーションを基に,利用者にサービスを提供す る。 -IdP,SP及び利用者間の情報の交換方法は,SAMLプロトコルとしてまとめられてお り,メッセージの送受信にはHTTPなどが使われる。 ・z-DCで稼働するY社のECサーバがSAMLのSPに対応すれば,購買担当者は,自社 内のディレクトリサーバ(以下,DSという)などで管理するアカウント情報を使 って,ECサーバに安全にSSOでアクセスできる。 ー18一 X主任は,ケルベロス認証を利用して社内のサーバにSSOでアクセスしている会員 企業e社を例として取り上げ,e社内のPCがSAMLを利用してY社のECサーバにも SSO0でアクセスする場合のシステム構成及び通信手順について考えた。 会員企業e社のシステム構成を図6に示す。 CD =e BARR e社 注記網掛けの認証連携サーバは,SAMLを利用するために新たに導入する。 図6会員企業e社のシステム構成(抜粋) 図6で示した会員企業e社のシステムの概要を次に示す。 ・e社ではケルベロス認証を利用し,社内サーバにSS0でアクセスしている。 ・e社内のDSは,従業員のアカウント情報を管理している。 ・PC及び社内サーバは,それぞれ自身の共通鍵を保有している。 ・DSは,PC及び社内サーバそれぞれの共通鍵の管理を行うとともに,チケットの発 行を行う鍵配布センター(LAE,KDCという)機能をもっている。 ・KDCが発行するチケットには,PCの利用者の身分証明書に相当するチケット(以下 TOTという)とPCの利用者がアクセスするサーバてで認証を受けるためのチケット (以下,STという)の2種類がある。 ・認証連携サーバはIdPとして働き,ケルベロス認証とSAMLとの間で認証連携を行 De X主任は,e社内のPC AS Y社のECサーバにSAMLを利用してSSOでアクセスする ときの通信手順と処理の概要を,次のようにまとめた。 e社内のPCからECサーバにSSOでアクセスするときの通信手順を図7に示す。 a 会員企業e社 購買担当者IdP (KDC)サーパサーバ (;)LHTTP要求(ログイン要ポ)|| (ii)HTTP応答IdPにリダイレクト(IdPに認証を要求するSAML Request) Cit)HTTP要求ログイン画面要求(SAML Request) ~~|HTTP応答(401,WW-Authenticate)|| iv)IdPのST要求(TGCTを提示) (vii)HTTP要求(ケルベロス認証向けのAPIを利用してSTを提示) (vii)HTTP応答SPにリダイレクト(SAML Response) Cog)LT要求(SAML Response)na HTTP通信(サービス提供)a 注記]本図では,購買担当者はPCにログインしてTGTを取得しているが,IdP向けのSTを所有し ていない状態での通信手順を示している。 注記2 LBの記述は,図中から省略している。 図7 e社内のPCからECサーバにSSO0でアクセスするときの通信手順(抜粋)I 7中の,(i)~(ix)の処理の概要を次に示す。 (i)購買担当者がPCを使用してECサーバにログイン要求を行う。 (ii)SPであるECサーバは,⑩⑪SAML認証要求(SAML Request)を作成しIdPである 認証連携サーバにリダイレクトを要求する応答を行う。 ここで,ECサーバには,⑫IdPが作成するデジタル署名の検証に必要な情報 などが設定され,IdPとの間で信頼関係が構築されている。 (iii)PCはSAML RequestをIdPに転送する。 (iv)IdPはPCに認証を求める。 (v)PCは,KDCにTGTを提示してIdPへのアクセスに必要なSTの発行を要求する。 (vi)KDCは,TGTを基に,購買担当者の身元情報やセッション鍵が含まれたSTを発 行し,IdPの鍵でSTを暗号化する。さらに,KDCは,暗号化したSTにセッショ ン鍵などを付加し,全体をPCの鍵で暗号化した情報をPCに払い出す。 (vii)PC lt,⑬受信した情報の中からSTを取り出し,ケルベロス認証向けのAPIを 利用して,STをIdPに提示する。 ー20一 (vii)IdPは,STの内容を基に購買担当者を認証し,デジタル署名付きのSAMLアサ ーションを含むSAML応答(SAML Response)を作成して,SPにリダイレクトを要 求する応答を行う。 (ix)PCは,SAML ResponseをSPに転送する。SPは,SAML Responseに含まれる⑭ デジタル署名を検証し,検証結果に問題がない場合,SAMLアサーションを基に, 購買担当者が正当な利用者であることの確認,及び購買担当者に対して提供す るサービス範囲を定めた利用権限の付与の,二つの処理を行う。 X主任は,ECサーバのSAML2.0対応の検討結果を基に,SAML2.0に対応する場合の ECサーバプログラムの改修作業の概要をW課長に説明した。 W課長は,X主任の設計したECサーバの増強案,及びSAML2.0対応のためのEC+ ーバの改修などについて,経営会議で提案して承認を得ることができた。