D. IPsec（1）

<D-1>

1-1. Decorrelated SPDの説明について、誤っているものを選べ。

ア IPsecの仕様で決められている訳ではなく、一般的な実装の1つの方法として、RFCで言及されているだけである。

イ マッチング順序を意識しないで済むように、セレクタがオーバーラップしないように各セキュリティポリシーの内容を書き換える方法があるが、書き換えたSPDをDecorrelated SPDと呼ぶ。

ウ Deccorelated SPDを使わなくても、セキュリティポリシーのキャッシュは利用することができる。

エ セキュリティポリシーのキャッシュを行わないと、パケットが入力されるたびにSPDを先頭から検索しなければならなくなる。

1-2. PFP(populate from packet)フラグについて、誤っているものを選べ。

ア PFPフラグはセレクタの要素ごとにつけられる。

イ PFPフラグがオンの場合は、SAのセレクタとして、パケットの値を使用する。

ウ PFPフラグがオンの場合は、ひとつのセキュリティポリシーに、複数のSAがリンクされる可能性がある。

エ PFPフラグがオフの場合は、セキュリティポリシーのキャッシュはパケットの値が使用され、定義されたセキュリティポリシーのセレクタは利用されない。

1-3. SAを構成するパラメータとして、誤っているものを選べ。

ア シーケンス番号カウンター、シーケンスカウンターオーバーフローフラグ、アンチリプレイウィンドウ

イ ESPの暗号化アルゴリズム/鍵/IV、AH/ESPの認証アルゴリズム/鍵

ウ ローカル、リモートIPアドレスまたは名前

エ SAのライフタイム

1-4. SAを構成するパラメータとして、誤っているものを選べ。

ア SAのバージョン

イ IPsecモード（トンネル/トランスポート）

ウ Bypass DFビット、Path MTU、Stateful Fragment Checkingフラグ

エ DSCP値、Bypass DSCP、トンネルエンドポイントのIPアドレス

1-5. ESPヘッダ、AHヘッダにあるシーケンス番号のフィールドに関して、誤っているものを選べ。

ア リプレイ攻撃を検知する為に主に利用される。

イ アンチリプレイウィンドウがスライドし、遅く届いたウィンドウ範囲外のシーケンス番号をもつパケットが届いた場合、「遅く届きすぎたパケットはリプレイ攻撃だとみなす」ことで、破棄される。

ウ AHまたは認証オプション付きのESPで、IKEによるSA構築でないと、リプレイ攻撃検知機能は有効に利用できない。

エ シーケンスカウンターオーバーフローフラグがオン（TRUE）であると、シーケンス番号カウンターが最大値に達したら、カウンターを再び0に戻し、同じSAを使い続ける。

1-6. トンネルモードにおいて、セキュリティゲートウェイがフラグメント処理を行うタイミングを選べ。
ア パケットがセキュリティゲートウェイに届いた後、SPDによって処理が決定される前

イ SPDによる処理が決定された後、SADの検索が行われる前

ウ SADの検索が行われた後、パケットのセキュア処理が行われる前

エ パケットのセキュア処理が行われた後、パケットが送出される前

1-7. Stateful Fragment Checkingフラグに関して、適切なものを選べ。

ア これがオンになっていると、すでにフラグメントされているパケットを処理するときに、もともと同じパケットが別々のSAによって送信される可能性はなくなる。

イ これがオンになっていると、元のIPヘッダのDFビットの値をそのまま使用する。

ウ これがオンになっていると、元のIPヘッダ内のDSCPフィールドをそのまま使用できる。

エ これがオンになっていると、IPヘッダ内のTOSフィールド（IPv6ではTraffic Classフィールド）を再定義できるため、QoSを実現できる。

1-8. RFC4301で新たに定義されたPAD（Peer Authorization Database）に関する説明として、誤っているものを選べ。

ア セレクタの要素の名前属性（FQDNやX.500の識別名、バイト列など）とIKEのメッセージ交換で認証する相手とを結びつけるデータベースのこと。

イ PADに保持されるデータとしては、IKEにおける相手の認証方式（Pre-Shared-Key、デジタル署名方式など）、実際の認証に必要な共通パスワード、電子証明書などがある。

ウ セキュリティゲートウェイは、IKEで相手を認証した後、SPDを検索するが、このときまずPADを検索して、セレクタの名前要素を使ってSPDを検索するのか、リモートIPアドレスを使ってSPDを検索するのか決定する。

エ PADのデータベースのキーとなるのは、相手の認証方式である。

C. Windows_スタンドアロン（1）

<C-1 ローカルログオン>

1-1.ユーザーがWindowsコンピューター上のファイルリソースを使用するプロセスに関する記述について、最も不適切なものを選べ。
ア ユーザーは、必ずしもWindowsコンピューターにログオンして認証される必要はない。
イ コンピューターを使用するのに適切な権限を所有していることを示すには、通常、ユーザーアカウント名とパスワードを入力する。
ウ Windowsは、入力されたユーザーアカウント名とパスワードの正当性を確認するために、独自に保持するセキュリティアカウントマネージャ（SAM）アカウントデータベースに登録されているか確認する。
エ コンピューターの仕様が許可されると、ユーザー用にデスクトップが作成される。

1-2.Windows XPにおいて、ようこそ画面からログオン画面を表示させるのに必要なキーの入力を選べ。
ア Ctrl+Alt+Delete
イ 右Alt+Delete2回
ウ Ctrl+Alt2回
エ 右Alt+左Alt2回

1-3.ユーザープロファイルに関する記述について、最も不適切なものを選べ。
ア ユーザーの初回ログオン時は、「Default User」プロファイルを原本として、ユーザー名のプロファイルが自動的に作成される。
イ ユーザーがログオン中に行ったデスクトップ設定、ネットワーク接続、プリンタ、プログラム設定などは、一度ログオフすると消去される。
ウ Windows2000、XP、2003においては、ユーザープロファイルは、既定でC:\Document and Settings\ユーザー名フォルダに作成される。
エ WindowsVista、2008においては、ユーザープロファイルは、既定でC:\Users\ユーザー名フォルダに作成される。

1-4.アクセストークンに関する記述について、最も不適切なものを選べ。
ア ユーザーがログオンしたときに発行される身分証明書のことで、所属するグループの情報およびグループを通して割り当てられた権限情報などが含まれる。
イ Windowsは、アクセストークンにより提示されたアカウントおよびグループ情報と、コンピューター上のリソースに設定されたアクセス制御リスト（ACL）を照合し、ユーザーごとのアクセスレベルを決定する。
ウ ディスク領域をフォーマットするファイルシステムに関わらず、WindowsOS上で管理されていれば、ファイルやフォルダにはアクセス制御リストを設定できる。
エ アクセス許可が付与されていない場合は、コンピューターにログオンしたユーザーであっても、ファイルリソースにアクセスすることはできない。

1-5.あるユーザーでWindowsコンピューターにログオンし、アクセス許可を付与する目的で、自分自身のユーザーアカウントを、対象のリソースへのアクセス許可を与えられている別のグループに所属させたが、その対象のリソースへアクセスすることができなかった。その理由を選べ。
ア アクセストークンはログオンプロセスで発行されるため。
イ 対象のリソースのアクセス制御リストのリロードが必要となるため。
ウ メンバーの変更があったグループのリロードが必要となるため。
エ そもそも、自分自身のユーザーアカウントを、別のグループに所属させることはできない。

1-6.Whoamiコマンドに関する記述について、最も不適切なものを選べ。
ア 現在のユーザーアカウントのログオンID、所属グループ、特権を確認できる。
イ Windows2000ではWhoamiコマンドは実行できない。
ウ 現在のユーザーアカウントに許可されたリソースのアクセス権を一覧で確認できる。
エ Whoami /Privを実行すると、現在のユーザーアカウントの特権を確認できる。

1-7.Vista以降のWindowsのユーザーアカウントの取り扱いに関する記述について、最も不適切なものを選べ。
ア 管理者アカウントでログオンしないと管理者用のアクセストークンが発行されないため、管理作業はできなくなっている。
イ 管理者アカウントでログオンすると、標準アクセストークンと管理者用のアクセストークンの2種類が作成される。
ウ 管理作業を行うには、権限の昇格を行うことで、管理者用のアクセストークンが割り当てられる。
エ 管理者アカウントでログオンしても、既定では標準アクセストークンが割り当てられる。

1-8.セキュリティID（SID）に関する記述について、最も不適切なものを選べ。
ア ユーザーアカウントやグループアカウントに付与される、一意の識別情報のこと。
イ アクセストークンやアクセス制御リスト（ACL）には、アカウント名とともに、SIDが記録されている。
ウ たとえば、あるユーザーからはアクセス許可のあるACLが設定されたリソースに対して、あるユーザーを削除し再作成すると、SIDが異なっているため、そのリソースにはアクセスできなくなる。
エ ユーザーを削除するなど整理する場合は、リソースのACLの再設定が必要な場合がある。

B. 仮想スイッチ（4）

<B-4. 無停止移動>

4-1. ライブマイグレーションのメリットに関する記述のうち、誤っているものを選べ。

ア ハイパーバイザーの修正パッチを適用するのに都合がよい。

イ 物理サーバーの電源を落としパーツの保守交換を行うのに都合がよい。

ウ 仮想サーバーのOSの修正パッチを適用するのに都合がよい。

エ 複数の物理サーバーの負荷を平準化できる。

4-2. ライブマイグレーションを実現するVMotionの仕組みに関する記述のうち、誤っているものを選べ。

ア VMotionはvCenterからサービスコンソールを通じて各物理サーバーに対して設定し、実行を指示するのもvCenterである。

イ 移行先の物理サーバーは、VMkernelから共有ストレージにある移行元の仮想マシンファイルの実態を読み込んで、その仮想マシンを起動する。

ウ 移行元の物理サーバーから移行先の物理サーバーへVMkernelを通じて仮想マシンのメモリー全体をコピーし、その後、コピーにかかる時間で生じた差分を繰り返しコピーする。

エ Vmotionは仮想MACアドレスを含めたネットワーク情報も無停止移動ができるので、仮想マシンが移行するのにかかる時間は1秒未満である。

4-3. VMotionを利用できる条件に関する記述のうち、誤っているものを選べ。

ア 移行先の仮想スイッチに移行元と同じVLAN番号とポートグループの名前を設定しておくこと。

イ VMkernelポートのアップリンクがギガビット対応であること。

ウ 仮想マシン用のアップリンクと、サービスコンソールとVMkernelといった管理系のアップリンクを分けておくこと。

エ 各物理サーバーのサービスコンソール・VMkernelが相互に通信できること。

4-4. VMWare DRS（Distributed Resource Scheduler）に関する記述のうち、誤っているものを選べ。

ア 物理サーバーの台数が増えてくると、各サーバーの負荷を測ったり、その結果に基づいてVMotionを実施する手間が発生するが、その手間を省くための機能である。

イ 「手動」モードでは、仮想マシンを起動する際に負荷の低い物理サーバーを起動するように提示する。提示された物理サーバー以外を指定して起動することも可能である。起動中の仮想マシンに対しては、ユーザーが負荷状況を調べ、それによって別の物理サーバーに手動で移動する。

ウ 「一部自動化」モードでは、仮想マシンを起動する際は自動的に負荷の低い物理サーバーで起動する。起動中の仮想マシンに対しては、負荷状況によっては別の物理サーバーに移動するように提示する。

エ 「完全自動化」モードでは、新規に起動する仮想マシンだけではなく稼動中の仮想マシンもマシン同士で負荷状況を交換し合い、一時的に負荷があがれば自動的にVMotionを実行して負荷の平準化を図る。

4-5. VMWare HAに関する記述のうち、誤っているものを選べ。

ア クラスター単位で設定し、ある物理サーバーに障害が起こると別の物理サーバーが共有ストレージから仮想マシンを起動する機能である。

イ 物理サーバー同士は、サービスコンソール同士が死活監視を行って処理を開始する。

ウ 障害検出したと判断するために、サービスコンソールはデフォルトゲートウェイにICMPパケットを送出する。

エ 設定を誤ると、同じ仮想マシンが2重で起動されてしまうことがあるので注意が必要である。

4-6. VMWare FTに関する記述のうち、誤っているものを選べ。

ア 仮想マシン単位で設定し、仮想マシンの起動時に別の物理サーバーにクローン（セカンダリー）を作成する機能である。

イ VMWare FT専用のVMkernelが、プライマリーが処理する内容（FTログ）をセカンダリーに対して送信する。

ウ プライマリーは処理を実行した際、その応答をわざと遅らせることで、障害時にセカンダリーにFTログが届いていないという状態を回避する。

エ FT用のＶＭkernelを通じてFTログをプライマリーからセカンダリーに送信するときは、3WAYハンドシェイクを行う。

4-7. サービスコンソールに関する記述のうち、適切なものを選べ。

ア vCenterとサービスコンソールは、疎通性がなくてはならない。

イ VMotionで、共有ストレージから移動する仮想マシンを起動する際に、仮想マシンのメモリーをコピーするという処理を担う。

ウ VMWare HAで、障害発生を認識すると、共有ストレージから仮想マシンを起動するという処理を担う。

エ VMWare FTで、vLock stepという処理で仮想マシンのクローンを作り、実現する。

4-8. VMkernelに関する記述のうち、適切なものを選べ。

ア 仮想化ソフト自身のハイパーバイザーであり、iSCSIやNFSを利用したネットワークストレージを利用する。

イ VMotionで、vCenterからの設定支持を直接受け取る。

ウ VMWare HAで、pingで死活監視を行う。

エ VMware FTで、セカンダリーがプライマリーに昇格した際は、ただちにRARPを行う。