午後のセキュリティ分野では「誰を・どの機器を・ネットワークやサービスに入れるか」が必ず問われます。登場する仕組みは 802.1X と RADIUS（機器を LAN／無線 LAN に入れる認証）、ケルベロス（社内サーバへのシングルサインオン）、SAML（クラウドサービスとの認証連携）の 3 系統で、 どれも「認証する人と、認証結果を受け取って門を開ける人が別」という同じ構造をしています。この共通構造を軸に、1 つずつ説明します。
会社のネットワークに関わる「入れてよいか」の判断は、場面ごとに 3 段階あります。
| 場面 | 問い | 仕組み | 認証する人／門番 |
|---|---|---|---|
| LAN ケーブルを挿す、無線 AP につなぐ | この機器（と利用者）を LAN に入れてよいか | IEEE 802.1X ＋ RADIUS | RADIUS サーバ／認証スイッチ・AP |
| 社内の業務サーバを使う | この利用者は誰か。サーバごとにパスワードを聞かずに済ませたい | ケルベロス（Active Directory） | KDC／各サーバ |
| クラウドサービスを使う | 社外のサービスに、社内の ID で入れたい。パスワードを外に渡したくない | SAML（OIDC） | IdP／SP |
サプリカントとオーセンティケータの間は EAPoL（EAP over LAN、イーサネットフレーム）、オーセンティケータと認証サーバの間は RADIUS（UDP 1812/1813）で、認証のやり取り（EAP）はその中に入れて運ばれます。 認証が終わるまで、オーセンティケータのポートは EAPoL 以外を通しません。だから DHCP すら届かず、IP アドレスも取れません。
| 方式 | サプリカントが示すもの | 必要な準備 | 向き |
|---|---|---|---|
| EAP-TLS | クライアント証明書（と秘密鍵の所有） | 端末ごとに証明書を発行・配布。CA が必要 | 最も強い。会社管理の端末だけを入れたいとき |
| PEAP（EAP-MSCHAPv2） | 利用者 ID とパスワード。サーバ証明書で TLS を張った中で送る | RADIUS サーバのサーバ証明書だけ | 導入が楽。AD のパスワードをそのまま使える |
| EAP-TTLS | PEAP と同様、TLS の中で各種認証 | 同上 | PEAP とほぼ同じ位置づけ |
RADIUS サーバは Access-Accept／Reject を返すとき、属性として「この端末は VLAN 20 に入れろ」も返せます。オーセンティケータはそれに従ってポートの VLAN を切り替えます。これがダイナミック VLANで、同じ AP・同じポートでも社員は業務 VLAN、来訪者はゲスト VLAN、というように利用者で分けられます。 認証に失敗した端末を隔離 VLAN（修復用セグメント）に入れる設計も定番です。
無線 LAN（WPA2/WPA3 エンタープライズ）では、802.1X の認証が成功すると、その過程で端末と認証サーバが共有した PMK（マスター鍵）から暗号化鍵を作ります。PMK は WLC が保持するので、端末が別の AP へハンドオーバするとき再認証なしで引き継げます（平成29年 午後Ⅱ問2 設問5(5)）。 個人向けの WPA2 パーソナルは全員共通の PSK（事前共有鍵）で、来訪者に教えた瞬間に外へ漏れるため、企業ではエンタープライズ方式を使います。
Active Directory のログオンの正体がケルベロスです。「パスワードはログオン時に 1 回だけ、以後はチケットで各サーバに入る」仕組みで、令和4年 午後Ⅰ問3 が丸ごと出題しました。
PC は KDC（鍵配布センター。AD のドメインコントローラ）の認証サーバ（AS）に「私は A です」と名乗ります。パスワードそのものは送らず、KDC が「A のパスワードから作った鍵」で暗号化した応答を返し、PC が正しいパスワードを持っていれば復号できます。 復号して得るのが TGT（チケット発行チケット）で、以後の「身分証」になります。有効期限は既定 10 時間程度です。
業務サーバ srv1 を使いたくなったら、PC は TGT を添えて KDC のチケット発行サーバ（TGS）に「srv1 用のチケットをください」と頼みます。TGS は ST（サービスチケット）を返します。ST は srv1 の鍵で暗号化されているので、PC には中身が読めず、srv1 だけが復号できます。
「どのサーバ用か」は SPN（サービスプリンシパル名、例: HTTP/srv1.example.jp）で指定します。PC はアクセス先の FQDN から SPN を組み立てるので、IP アドレスでアクセスしたり、プロキシ経由で FQDN が変わったりすると ST を取り出せません（令和4年 午後Ⅰ問3 設問2(1)「ST を取り出せないから」、設問1(1) プロキシ例外リストへの登録）。
PC は srv1 に ST を提示します。srv1 は自分の鍵で ST を復号できれば「KDC が発行した本物で、利用者は A」と確認でき、KDC に問い合わせずに認証を完了します。以後、有効期限内は同じ ST を使い回せます。
社外のクラウドサービス（SP）に社内の ID で入りたい。しかしパスワードをクラウド側に預けたくないし、サーバ同士で社内の認証基盤を直接叩かせたくもない。この制約で考えられたのが SAML（Security Assertion Markup Language）です。令和5年 午後Ⅱ問2 設問6 がこの仕組みを問いました。
利用者が SP にアクセスすると、SP は「私は認証できないので IdP に行ってください」とブラウザをリダイレクトします。これが SP-initiated（SP 起点）です。先に IdP のポータルにログインし、そこからサービスを選ぶ IdP-initiated もあります。
IdP（Identity Provider、自社の認証基盤）が利用者を認証します。方法は IdP の自由で、パスワード、クライアント証明書、多要素のどれでも構いません。 成功すると IdP は「この利用者は A、所属は X 社、権限は購買担当」といった情報を XML にまとめ、自分の秘密鍵で署名します。これが SAML アサーションです。令和5年 午後Ⅱ問2 設問6(1) は、アサーションに含める情報として「アクセス元の購買担当者が所属している会員企業の情報」を答えさせました。
アサーションはブラウザ経由（HTTP POST）で SP に届きます。SP は事前に預かっている IdP の公開鍵証明書で署名を検証し（同 設問6(2)）、次の 2 点を確認してログイン済みとして扱います（同 設問6(4)）。
古い SSO として、リバースプロキシが認証して Cookie を発行し、以後は Cookie で通す方式もあります（平成27年 午後Ⅰ問1。Cookie に Secure 属性を付けて HTTPS 以外で送らせない）。SAML が「ドメインをまたげる」のに対し、Cookie は同じドメイン内でしか使えません。
3 つの仕組みに共通して証明書が出てきます。「誰の・何のための証明書か」を整理しておきます。
| 証明書 | 誰が持つ | 何を証明する | 出てくる場面 |
|---|---|---|---|
| サーバ証明書 | サーバ（RADIUS、SSL-VPN 装置、Web） | 「このサーバは本物」。コモン名（Subject）と URL のドメインが一致している必要がある（令和5年 午後Ⅱ問2 設問2(1)） | PEAP、HTTPS、SSL-VPN。なりすまし装置への接続防止（令和4年 午後Ⅱ問1 設問3(3)） |
| クライアント証明書 | 利用者または端末 | 「この端末・利用者は会社が発行した本物」。秘密鍵は本人しか持たないので所有＝本人（令和4年 午後Ⅱ問1 設問3(1)） | EAP-TLS、SSL-VPN の端末認証。証明書の利用者 ID で VDI の仮想 PC を割り当てる（同 設問4） |
| CA のルート証明書 | 検証する側全員 | 信頼の起点。これで署名を検証する | 端末に配布（EAP-TLS、SSL-VPN、TLS 復号プロキシ） |
| IdP の公開鍵証明書 | SP | IdP の署名を検証する | SAML |
| 用語 | 意味 | 午後でのポイント |
|---|---|---|
| 認証 / 認可 | 本人確認／操作の許可 | 目的を分けて書く |
| IEEE 802.1X | ポート単位でネットワーク接続を認証する枠組み | 認証前は EAPoL 以外を通さない |
| サプリカント / オーセンティケータ / 認証サーバ | 認証される端末／門番（スイッチ・AP・WLC）／RADIUS | 図のどの機器がどれかを答える |
| EAP / EAPoL | 認証のやり取りの枠組み／それを LAN で運ぶフレーム | EAP-TLS（証明書）、PEAP（ID/PW を TLS の中で） |
| RADIUS | 認証サーバのプロトコル。UDP 1812（認証）/1813（アカウンティング）。共有秘密で機器を認証 | Accept に VLAN 属性を乗せる |
| ダイナミック VLAN | 認証結果で VLAN を割り当てる | 社員／来訪者／隔離の振分け |
| MAC 認証（バイパス） | MAC アドレスを ID にして RADIUS へ | サプリカントのない機器用。偽装に弱い |
| PMK / PSK | 802.1X で作るマスター鍵／全員共通の事前共有鍵 | PMK を WLC が持つとハンドオーバが速い |
| DHCP スヌーピング | スイッチが DHCP のやり取りを監視し、正規の割当てだけ通す | 固定 IP 設定で回避されうる |
| ケルベロス | チケット方式の SSO。AD のログオン | KDC、TGT、ST、時刻同期、SPN、SRV レコード |
| KDC / AS / TGS | 鍵配布センター／認証サーバ／チケット発行サーバ | ドメインコントローラが兼ねる |
| TGT / ST | 身分証（ログオン時）／サーバごとの入場券 | ST はサーバの鍵で暗号化。FQDN が違うと取れない |
| SPN | サービスの名前。サービス種別/FQDN | プロキシ例外、hosts、CNAME に注意 |
| SRV レコード | サービスの提供ホストを DNS で示す（優先度・重み・ポート・ホスト） | KDC や SIP サーバの探索 |
| SAML | XML ベースの認証連携。IdP が認証し SP が結果を受け取る | アサーション、IdP の署名、公開鍵証明書 |
| IdP / SP | 認証する側／サービスを提供し結果を信頼する側 | 直接通信しない。ブラウザ経由 |
| アサーション | IdP が発行する認証結果と属性の署名つき文書 | 「誰が生成したか」「改ざんされていないか」を検証 |
| OAuth 2.0 / OIDC | 認可の委譲／その上の認証 | SAML との違いを一言で |
| サーバ証明書 / クライアント証明書 | サーバの本物性／端末・利用者の本物性 | 秘密鍵の所有＝本人 |
| ルート証明書 / プライベート CA | 信頼の起点／自社で運用する CA | 端末への配布と失効（CRL、シリアル番号） |
| Cookie 型 SSO | リバースプロキシが認証して Cookie を発行 | 同一ドメイン内のみ。Secure 属性 |
| 設問の型 | 答え方 | 出た年度 |
|---|---|---|
| 図中でサプリカント／オーセンティケータになる機器 | 端末（NPC）／認証スイッチ・AP・WLC（図の表記で） | H29 午後Ⅱ問2 |
| EAP-TLS で端末に入れるもの | CA の自己証明書、クライアント証明書とその秘密鍵 | H29 午後Ⅱ問2 |
| 証明書運用で接続できなくなる人 | 有効期限切れの端末、新規配属で未配布の端末 | H29 午後Ⅱ問2 |
| ハンドオーバが続く理由 | PMK と認証情報を WLC が保持しているから | H29 午後Ⅱ問2 |
| 認証と認可の目的 | 認証: 本人であることを確認するため。認可: 操作ごとの実行権限を確認するため | R4 午後Ⅰ問1 |
| 利用者情報を持つサーバ | LDAP サーバ（AD） | R4 午後Ⅰ問1 |
| ケルベロスで ST が取れない理由 | アクセス先の FQDN から SPN を作れない（プロキシ経由で FQDN が変わる）から | R4 午後Ⅰ問3 |
| ケルベロス導入で PC・サーバに必要な設定 | 時刻同期を行う | R4 午後Ⅰ問3 |
| SRV レコードで得られる情報 | ケルベロス認証を行うサーバの FQDN（とポート） | R4 午後Ⅰ問3 |
| SAML で SP が持つべき鍵 | IdP の公開鍵証明書 | R5 午後Ⅱ問2 |
| アサーションを偽造できない理由 | IdP の秘密鍵を所有していないから | R5 午後Ⅱ問2 |
| SP がアサーションで確認すること | 信頼関係のある IdP が生成したこと、改ざんされていないこと | R5 午後Ⅱ問2 |
| クライアント証明書で本人と言える理由 | 公開鍵に対する秘密鍵は本人しか保有していないから | R4 午後Ⅱ問1 |
| サーバ証明書を検証しないリスク | なりすまされた装置へ接続してしまう | R4 午後Ⅱ問1 |
| 署名に使う鍵／検証に使う鍵 | 利用者の秘密鍵／利用者の公開鍵 | R4 午後Ⅱ問1 |
| 未許可端末の遮断を回避される弱点 | IP アドレスを固定設定すれば DHCP による制限を受けない | R1 午後Ⅰ問3 |
| Cookie を HTTPS 以外で送らせない対策 | Cookie に Secure 属性を付ける | H27 午後Ⅰ問1 |
クリックで答えが開きます。
このページの用語集（21 語）から作った確認問題です。「意味 → 用語」は意味の説明（用語そのものは＿＿で伏せてある）を読んで用語を入力し、Enter で答え合わせします。 表記ゆれで × になったときは「合っていた」で直せます。「用語 → 意味」は口で説明してから答えを開いて自己採点します。結果はこのブラウザに保存され、「×だけ」で間違えた語だけを解き直せます。
作成 2026-10-28。ネットワークスペシャリスト 科目B（午後）対策。出典は平成27・29年秋・令和元年秋・令和4・5年春の午後Ⅰ・Ⅱ（IPA 公開問題と解答例）。 関連: 拠点間 VPN とは（SSL-VPN）、プロキシと SWG とは（TLS 復号とルート証明書）。