【CompTIA Security+問題集】③ID・認証・アクセス制御徹底解説つき「初心者向け無料演習」

この記事は、CompTIA Security+の「ID・認証・アクセス制御」分野の演習問題を、1問ずつ徹底解説つきでお届けするシリーズ第3弾です。多要素認証、SSO、アクセス制御モデル（RBAC・MAC・DAC）など、Security+の重要テーマを実例で整理します。

解説では、正解の理由だけでなく、不正解の選択肢がなぜ違うのかまで説明しています。まぎらわしいアクセス制御モデルの違いを、ここでしっかり整理しておきましょう。まずは何も見ずに解いてみてください。

ID・認証・アクセス制御演習問題（全10問）
おわりに
CompTIA Security+ 問題集シリーズ全8回（分野別）

ID・認証・アクセス制御演習問題（全10問）

問題1

パスワードに加えて、スマートフォンに届くワンタイムコードも要求するなど、2つ以上の異なる要素で本人確認を行う仕組みはどれか。

A. シングルサインオン（SSO）
B. バイオメトリクス
C. 多要素認証（MFA）
D. フェデレーション

正解　C

【解説】
答えは多要素認証（MFA）です。認証の3要素——知識（パスワード）、所持（スマホ・ICカード）、生体（指紋・顔）——のうち、2つ以上の異なる要素を組み合わせて本人確認します。パスワードだけだと漏れたら終わりですが、MFAなら、たとえパスワードが盗まれてもスマホのワンタイムコードがなければ突破できません。実例として、Microsoft Entra ID（旧Azure AD）やGoogleアカウントのMFA、Google Authenticatorのワンタイムコード、YubiKeyなどがあります。ポイントは「異なる要素」であること。パスワードと秘密の質問は、どちらも知識なので多要素とは呼びません。

各選択肢の解説
A：SSOは一度のログインで複数サービスを使えるようにする仕組みで、本人確認を強化するものではない。
B：バイオメトリクスは生体認証で、MFAを構成する1要素にすぎない。
C：正しい。異なる2要素以上で本人確認する。
D：フェデレーションは組織間で認証を連携する仕組み。

試験対策ポイント：「2つ以上の異なる要素＝MFA」。同じ種類を2つ重ねても多要素ではない。
ワンポイント：パスワード＋秘密の質問は両方とも知識要素。多要素にならない典型的なひっかけ。
関連知識：2要素だけの場合は特に2FAと呼ぶ。MFAは2要素以上の総称です。

問題2

認証の3要素のうち、ICカードやスマートフォン、ハードウェアトークンのように「持っているもの」で本人確認する要素はどれか。

A. 所持情報（something you have）
B. 知識情報（something you know）
C. 生体情報（something you are）
D. 場所情報（somewhere you are）

正解　A

【解説】
答えは所持情報（something you have）です。認証の3要素は、知識（知っているもの＝パスワード・PIN）、所持（持っているもの＝ICカード・スマホ・トークン）、生体（本人自身＝指紋・顔）に分けられます。スマホに届くワンタイムコードやICカードは「持っているもの」なので所持要素です。実例として、社員証のICカード、YubiKeyのようなハードウェアトークン、スマホの認証アプリがあります。

各選択肢の解説
A：正しい。ICカードやスマホは「持っているもの」＝所持要素。
B：知識情報はパスワードやPINなど「知っているもの」。
C：生体情報は指紋・顔など「本人自身」。
D：場所情報はGPSやIPアドレスなど、補助的に使う要素。

試験対策ポイント：3要素は「知識・所持・生体」。ICカード／スマホ＝所持。
ワンポイント：近年は場所（somewhere you are）や行動（something you do）を補助要素に加えることもある。
関連知識：MFAはこれらのうち異なる2種以上を組み合わせたもの。

問題3

一度ログインすれば、連携した複数のサービスに再ログインなしでアクセスできるようにする仕組みはどれか。

A. 多要素認証（MFA）
B. シングルサインオン（SSO）
C. RBAC
D. VPN

正解　B

【解説】
答えはシングルサインオン（SSO）です。一度ログインすれば、連携した複数のサービスに再ログインなしでアクセスできる仕組みで、パスワードを何度も入力する手間が省け、管理も一元化できます。実例として、会社のアカウントでログインすると、メール・勤怠・経費精算がまとめて使える状態が挙げられます。Microsoft Entra IDやOktaが代表的です。注意点として、その1つのIDが破られると全サービスに波及するため、SSOはMFAとセットで使うのが鉄則です。

各選択肢の解説
A：MFAは本人確認を強化する仕組みで、ログインの一元化とは目的が別。
B：正しい。一度のログインで複数サービスを使えるようにする。
C：RBACは役割ベースの権限管理。
D：VPNは通信を暗号化するトンネル技術。

試験対策ポイント：「一度のログインで複数サービス＝SSO」。利便性が主目的。
ワンポイント：SSOは便利な反面、1点突破のリスク。必ずMFAと併用する。
関連知識：組織をまたぐSSOはフェデレーション（SAML等）で実現します。

問題4

利用者一人ひとりに個別ではなく、「経理」「人事」といった役割（ロール）に権限をまとめて割り当てるアクセス制御モデルはどれか。

A. DAC（任意アクセス制御）
B. MAC（強制アクセス制御）
C. ABAC（属性ベースアクセス制御）
D. RBAC（役割ベースアクセス制御）

正解　D

【解説】
答えはRBAC（役割ベースアクセス制御）です。利用者一人ひとりに個別に権限を割り当てるのではなく、「経理」「人事」といった役割（ロール）に権限をまとめ、その役割を人に割り当てます。人事異動のたびに役割を付け替えるだけで済み、管理がラクで付与ミスも減ります。実例として、Active DirectoryのグループやAWS IAMロールがあります。大企業のアクセス管理の標準的な考え方です。

各選択肢の解説
A：DACは所有者が自分の裁量で権限を渡す方式。
B：MACは機密ラベルに基づく強制的な制御。
C：ABACは属性（部署・時間帯・端末など）に基づく、より柔軟な方式。
D：正しい。役割に権限をまとめて割り当てる。

試験対策ポイント：「役割（ロール）に権限をまとめる＝RBAC」。異動に強く、管理がラク。
ワンポイント：より細かく条件で制御するのがABAC（属性ベース）。次世代型として出題が増加中。
関連知識：グループにまとめて権限管理＝RBACの実装、と結びつけて覚える。

問題5

利用者やシステムに、業務に必要な最小限の権限だけを与えることで、乗っ取られた際の被害を抑える原則はどれか。

A. 職務分離
B. ゼロトラスト
C. 最小権限の原則
D. 多層防御

正解　C

【解説】
答えは最小権限の原則（Least Privilege）です。利用者やシステムに、業務に必要な最小限の権限だけを与える考え方で、余計な権限を持たせないことで、アカウントが乗っ取られても被害を最小化できます。実例として、一般社員に管理者権限を与えない、普段は一般ユーザーで作業し必要なときだけ昇格する（JIT：Just-In-Time）などがあります。ゼロトラストの土台となる基本原則です。

各選択肢の解説
A：職務分離は権限を複数人に分ける別の原則。
B：ゼロトラストは「何も信用しない」前提の設計思想で、最小権限を含む上位概念。
C：正しい。必要最小限の権限だけを与える。
D：多層防御は防御を何層にも重ねる考え方。

試験対策ポイント：「必要最小限だけ与える＝最小権限」。乗っ取り時の被害を抑える。
ワンポイント：必要なときだけ一時的に権限を与えるJIT（ジャストインタイム）と相性が良い。
関連知識：FWのデフォルト拒否も、ネットワーク版の最小権限といえます。

問題6

一人の担当者が申請から承認・実行まで全てを完結できないように、権限を複数人に分けて相互けん制させる仕組みはどれか。

A. 最小権限の原則
B. 職務分離（Separation of Duties）
C. 二要素認証
D. 監査ログ

正解　B

【解説】
答えは職務分離（Separation of Duties）です。一人の担当者が申請から承認、実行までを全部できないように、権限を複数人に分ける仕組みで、不正やミスを一人で完結させられなくすることで内部不正を抑止します。実例として、発注する人と支払いを承認する人を分ける、開発者が本番環境に直接デプロイできないようにする、などがあります。

各選択肢の解説
A：最小権限は「必要最小限だけ与える」原則で、分担とは別。
B：正しい。権限を複数人に分けて相互けん制する。
C：二要素認証は本人確認の強化策。
D：監査ログは操作の記録であって、権限の分割ではない。

試験対策ポイント：「一人に完結させない＝職務分離」。内部不正の抑止が狙い。
ワンポイント：定期的に担当を入れ替えるジョブローテーションも、不正の発見・抑止に有効。
関連知識：最小権限・職務分離・知る必要性（need-to-know）はセットで頻出。

問題7

情報に「極秘」「秘」などの機密ラベルを付け、そのラベルに基づいてシステムが強制的にアクセスを制御する、軍や政府向けのモデルはどれか。

A. MAC（強制アクセス制御）
B. DAC（任意アクセス制御）
C. RBAC（役割ベースアクセス制御）
D. ABAC（属性ベースアクセス制御）

正解　A

【解説】
答えはMAC（強制アクセス制御）です。情報に「極秘」「秘」などの機密ラベルを付け、そのラベルに基づいてシステムが強制的にアクセスを制御します。所有者の裁量では変更できないのが特徴で、軍や政府など高い機密性が求められる環境で使われます。実例として、SELinuxのラベルベース制御があります。厳格ですが柔軟性は低い方式です。

各選択肢の解説
A：正しい。機密ラベルに基づき、システムが強制的に制御する。
B：DACは所有者の裁量に任せる方式。
C：RBACは役割ベースの制御。
D：ABACは属性ベースの制御。

試験対策ポイント：「機密ラベルで強制制御＝MAC」。所有者は勝手に変えられない。
ワンポイント：MACは最も厳格。軍事・政府向けで、柔軟性より機密性を優先する。
関連知識：SELinuxはLinuxにMACを実装した代表例です。

問題8

ファイルやフォルダの所有者が、自分の判断で他のユーザーにアクセス権を与えたり外したりできるアクセス制御モデルはどれか。

A. MAC（強制アクセス制御）
B. RBAC（役割ベースアクセス制御）
C. ABAC（属性ベースアクセス制御）
D. DAC（任意アクセス制御）

正解　D

【解説】
答えはDAC（任意アクセス制御）です。ファイルやフォルダの所有者が、自分の判断で他のユーザーにアクセス権を与えたり外したりできる方式です。私たちが普段WindowsやファイルサーバーでこのフォルダをAさんに共有とするのが、まさにDACです。柔軟で使いやすい反面、所有者の判断ミスで権限が広がりすぎるリスクがあります。

各選択肢の解説
A：MACはラベルによる強制制御で、所有者の裁量はきかない。
B：RBACは役割ベースの制御。
C：ABACは属性ベースの制御。
D：正しい。所有者の裁量で権限を付与できる。

試験対策ポイント：「所有者の裁量で権限を渡せる＝DAC」。柔軟だが付与ミスに注意。
ワンポイント：MACとの対比が頻出。強制＝MAC、裁量＝DAC、と覚える。
関連知識：WindowsのファイルACLやLinuxのパーミッションはDACの実装です。

問題9

管理者（rootやAdministrator）のような強力な特権アカウントを、金庫での保管・使用記録・一時的な貸し出しなどで厳重に管理・監視する仕組みはどれか。

A. シングルサインオン（SSO）
B. 多要素認証（MFA）
C. 特権アクセス管理（PAM）
D. LDAP

正解　C

【解説】
答えは特権アクセス管理（PAM）です。管理者（root／Administrator）のような強力な特権アカウントを、厳重に管理・監視する仕組みです。特権は乗っ取られると被害が甚大なため、パスワードを金庫で管理し、使用を記録・録画し、必要なときだけ一時的に貸し出します。実例として、CyberArkやMicrosoft PIM（Privileged Identity Management）があります。

各選択肢の解説
A：SSOはログインの一元化。
B：MFAは本人確認の強化。
C：正しい。特権アカウントを厳重に管理・監視する。
D：LDAPはディレクトリ（ユーザー台帳）を検索するプロトコル。

試験対策ポイント：「特権アカウントを厳重管理＝PAM」。使用の記録と一時貸出がポイント。
ワンポイント：必要なときだけ権限を付与するJIT（ジャストインタイム）とセットで使う。
関連知識：特権の乱用は内部脅威の温床。監査ログとの組み合わせが重要です。

問題10

異なる組織やサービスのあいだで認証情報を安全に受け渡し、自社アカウントで外部のクラウドサービスにログインできるようにする、XMLベースの標準規格はどれか。

A. LDAP
B. SAML
C. DHCP
D. SNMP

正解　B

【解説】
答えはSAMLです。異なる組織やサービスのあいだで、認証情報を安全に受け渡すための標準規格です。これにより、自社アカウントで外部のクラウドサービスにログインできる（フェデレーション）ようになります。実例として、会社のMicrosoft Entra IDのアカウントで外部のSaaSにSSOログインする、といった使い方があります。SAMLはXMLベースで主に企業向け、よりモダンなWeb／アプリ向けにはOAuth 2.0やOpenID Connectが使われます。

各選択肢の解説
A：LDAPはディレクトリ（ユーザー情報の台帳）を検索・参照するプロトコル。
B：正しい。組織間で認証情報を受け渡す標準。
C：DHCPはIPアドレスの自動割り当て。
D：SNMPは機器の監視・管理プロトコル。

試験対策ポイント：「組織間で認証を連携＝SAML（フェデレーション）」。
ワンポイント：SAMLは企業向け・XMLベース。モダンなアプリはOAuth／OpenID Connect。
関連知識：OAuthは認可（権限の委譲）、OpenID Connectは認証。役割の違いに注意。

■ ここまでのミニまとめ（問題1〜10）

復習ポイント：異なる2要素以上＝MFA／持っているもの＝所持要素／一度のログインで複数＝SSO／役割に権限＝RBAC／必要最小限＝最小権限／一人に完結させない＝職務分離／ラベルで強制＝MAC／所有者の裁量＝DAC／特権を厳重管理＝PAM／組織間の認証連携＝SAML。

重要用語まとめ：MFA／2FA、認証の3要素（知識・所持・生体）、SSO、RBAC／MAC／DAC／ABAC、最小権限、職務分離、PAM、SAML／OAuth／OpenID Connect、Kerberos。

頻出ポイント：①MFAは「異なる要素」が条件②MAC（強制）とDAC（裁量）の対比③RBACは役割ベース④最小権限と職務分離。ここは特に狙われます。

現役エンジニアの視点：実務での使いどころ

アクセス制御は、実務でいちばん設計に悩む分野かもしれません。特にRBAC（役割ベース）は、人事異動のたびに権限を付け替える現場の運用そのもの。MACとDACの違いは試験で頻出ですが、実務でも「誰が権限を決めるか（システムか、所有者か）」という視点で見ると腹落ちします。MFAはいまや全社導入が当たり前になりつつあり、最重要テーマです。