企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち，適切なものはどれか。
ここで，利用者IDとパスワードは企業内のディレクトリサービスで管理し，利用者認証は企業内の認証サーバで行う。
正答3
解説
正解は3です。
SAML（Security Assertion Markup Language）認証によるシングルサインオンの動作を問う問題です。
SAMLでは、認証を行う側（IdP：Identity Provider）が認証結果を証明する情報（アサーション）を発行します。
サービスを提供する側（SP：Service Provider）は、そのアサーションを信頼して利用を許可します。
【選択肢別解説】
1：× クラウドサービスが利用者IDとパスワードを要求することはありません。
パスワードは企業内だけで扱われます。
2：× SAMLでは、認証サーバがクラウドサービスにパスワードを送ることはありません。
送るのは認証結果です。
3：○ 認証サーバ（IdP）が発行した認証結果は、クライアントのWebブラウザを経由してクラウドサービス（SP）に届けられます。
4：× これはチャレンジレスポンス認証の説明です。
SAMLの動作ではありません。
【ポイント】
SAMLの要点は、パスワードを外部に渡さず、署名付きの認証結果だけを渡すことです。
クライアント経由で受け渡す点も押さえておきましょう。