応用情報技術者TLS・名前解決とネットワーク防御の設計オリジナル・公式資料照合難易度★★★☆☆
社内APIはmTLSで接続元サービスのクライアント証明書を検証する。サービスXとYは同じ社内CAから有効な証明書を得るが、機密データを読めるのはXだけである。Yの証明書による接続で機密データを返さないために必要な設計はどれか。
A
同じCAの証明書なら、すべてのサービスへ同じ業務権限を与える
社内CAが認証することと機密データへの権限は別です。有効なYの証明書にXの権限を与えてはいけません。
B
検証した証明書のサービス識別子を認可ポリシーへ対応付け、操作と対象データの権限をAPIで検証する★ 正解
接続元が誰かをmTLSで確認したうえで、その識別子が何を行えるかをサーバー側の認可で判断します。
C
mTLSを使えば、データ単位の認可や証明書失効への対応は不要になる
mTLSは接続時の認証等を提供しますが、個々の業務権限の設計や資格情報のライフサイクルは残ります。
D
クライアントが申告したサービス名Xを優先し、検証済み証明書の識別子との対応は確認しない
未検証の自己申告名を認可の根拠にすると、YがXと名乗って権限を得るおそれがあります。検証済みの識別子に結び付けます。
解説
認証と認可を分けます。mTLSで認証されたサービスでも許可された操作・データだけを扱わせ、証明書内の信頼できる識別子とポリシーを結び付けます。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験
資料確認日：2026-10-28
同じレッスンの問題
問題 1
TLS 1.3でPSKを使って再開する通常の1-RTT通信を設計する。将来、その再開接続に使ったPSKだけが漏えいしても、記録済みの当該1-RTT通信を保護する前方秘匿性を得たい。接続ごとに安全な新しい(EC)DHE鍵共有を利用でき、通信終了後には一時秘密値・通信鍵を消去する。0-RTTは使わず、鍵ログ・端末侵害・実装欠陥はない。PSK鍵交換モードの選択として適切なのはどれか。
問題 2
送金APIを複数拠点で提供し、TLS 1.3の0-RTT early dataの利用を検討している。拠点をまたぐ一貫した再送検知はまだなく、同じ送金を重複実行してはならない。遅延短縮より二重送金防止を優先する設計はどれか。
問題 3
HTTPSクライアントがapi.prod.example.comへ接続する。提示された証明書は信頼するCAの有効な署名・有効期間を持つが、DNS-IDはsubjectAltNameの*.example.comだけである。RFC 9525のワイルドカードによるサービス名照合を使い、別の一致する識別子はない。この証明書をどう扱うべきか。
問題 4
端末から外部DNSリゾルバーへの問い合わせをDoHにした。HTTPSの相手認証は正しいが、リゾルバー自体を無条件には信頼できない。対象ゾーンはDNSSEC署名済みで信頼アンカーからの検証が可能である。DoHとDNSSECの役割を区別した説明はどれか。