sg sg-security-measures crypto_auth system_architecture
まず結論
トークン認証とは、認証結果をトークンとして受け渡し利用する仕組みであり、SG試験では「何をやりたい仕組みか（認証か認可か）」を見抜くことが重要です。
直感的な説明
SSOでは、毎回パスワードを入力する代わりに👇
👉 「この人は認証済みです」という証明書（トークン）を使い回します
イメージ👇
- 入館証を見せれば各部屋に入れる
→ 毎回本人確認しない
👉
認証結果を持ち回る仕組み
定義・仕組み
トークン認証は、認証後に発行されたトークンを使って、他のシステムへのアクセスを可能にする仕組みです。
■ 基本の流れ
- IdPで認証
- トークンを発行
- 他システムに提示してアクセス
👉
SSOの実現に使われる
どんな場面で使う？
■ 使う場面
- SSO
- クラウドサービス連携
- API連携
👉 SG試験では
「SSOの裏で使われる仕組み」として出ることがあります。
よくある方式（SGレベルでOK）
■ SAML（サムル）
- 認証情報をやり取りする仕組み
- 主に企業向けSSO
👉
認証（SSO）で使う
■ OAuth（オーオース）
- 他サービスへのアクセス権を委譲する仕組み
👉 例
「Googleアカウントでログインして、別サービスにアクセス」
👉
認可（権限付与）の仕組み
■ OpenID Connect（OIDC）
- OAuthを拡張して「認証」もできるようにしたもの
👉
認証＋認可ができる
どんな場面で使う？
■ 使い分け（重要）
| 方式 | 役割 |
|---|---|
| SAML | 認証（SSO） |
| OAuth | 認可（権限委譲） |
| OIDC | 認証＋認可 |
👉
「何をしたいか」で判断する
よくある誤解・混同
❌ OAuthは認証の仕組み
→ ⭕ 認可（権限付与）
❌ SAMLとOAuthは同じ
→ ⭕ 役割が違う
❌ OIDCは別物で難しい
→ ⭕ OAuthの拡張
■ SG試験でのひっかけ
-
「外部サービスにアクセス許可」
→ OAuth -
「SSOでログイン」
→ SAML または OIDC
👉
認証か認可かで判断する
まとめ（試験直前用）
- トークン認証＝認証結果の使い回し
- SAML＝認証（SSO）
- OAuth＝認可（権限委譲）
- OIDC＝認証＋認可
- SGでは「目的」で見分ける
🔗 関連記事
- アクセス制御モデルとは？RBAC・ABAC・DAC・MACの違いを整理【情報セキュリティマネジメント】
- アクセス管理とは？特権IDとneed-to-knowで権限を適切に制御【情報セキュリティマネジメント】
- 認証・アクセス制御まとめ｜SSO・MFA・ゼロトラストを体系整理【情報セキュリティマネジメント】
- 認証・認可・アクセス制御の違いとは？役割の切り分けを整理【情報セキュリティマネジメント】
- アクセス制御（認可）とは？認証との違いを整理【SG試験】