PingAM 8.0.2では、特にファイルベース構成（FBC）を利用する場合、起動シーケンスはシステム構成を特定するために「ブートストラップ」フェーズに依存します。「インストールガイド」および「構成ディレクトリ構造」によると、このプロセスに関係する主要なファイルはboot.jsonです。
boot.json ファイルには、AM バイナリが構成ストア（通常は PingDS）を見つけてロック解除するために必要な接続情報が含まれています。これには、LDAP ホスト、ポート、バインド DN、そして構成の復号に必要なシークレットストアへの参照が含まれます。
このファイルの場所は、初期セットアップ時に指定した構成ディレクトリのパスによって決まります。デフォルトでは、PingAM は Web コンテナを実行しているユーザーのホームディレクトリに構成ディレクトリを作成します。標準的なパス構造は <user-home>/<am-instance-dir>/ です。したがって、boot.json ファイルはこのインスタンスディレクトリのルート、つまり <user-home>/<am-instance-dir>/boot.json に配置されます。
オプション A と D は、ファイルを /config サブディレクトリ内に配置しているため、正しくありません。AM にはサブディレクトリ内に多くの構成ファイルがありますが、boot.json は最初のエントリ ポイントとしてアクセスできるようにルートに配置されます。
オプションBは不正解です。ファイルはTomcatのwebappsフォルダ内に保存されていると示唆しています。PingAMは、.warファイルが削除または再デプロイされた場合でも設定が保持されるように、Webアプリケーションバイナリ内に設定データを保存しないようにしています。
boot.json の場所を理解することは、Amster などのツールを使用して PingAM の展開を自動化する必要がある DevOps エンジニアにとって、またはサーバーの起動中に「構成ストアに接続できませんでした」というエラーをトラブルシューティングするときに非常に重要です。

PingAM 8.0.2は、最新の安全なプロトコルとインテリジェントアクセス（認証ツリー）エンジンを中心とした、多要素認証（MFA）のための堅牢なフレームワークを提供します。PingAMのドキュメントでは、MFAの文脈でサポートされている「プロトコル」について説明しており、二次検証のための標準化された手法に重点を置いています。
PingAM 8.0.2 でサポートされている主な MFA ピラーは次のとおりです。
オープン認証（OATH）：AMはOATH標準、特にTOTP（時間ベースのワンタイムパスワード）とHOTP（HMACベースのワンタイムパスワード）をサポートしています。これは「OATH」認証ノードを通じて実装されており、ユーザーはForgeRock Authenticator、Google Authenticator、YubiKeysなどのアプリをOATHモードで使用できます。
Web認証（WebAuthn）：これはFIDO2標準の実装です。生体認証（TouchID/FaceIDなど）またはハードウェアセキュリティキー（YubiKeyなど）を使用して、パスワードレスで安全な二要素認証を可能にします。これは従来の標準の後継であり、WebAuthnノードを介してネイティブにサポートされています。
プッシュ認証：これはForgeRock/Ping Authenticatorアプリ専用に使用される、独自の非常に安全なプロトコルです。登録済みのモバイルデバイスに「プッシュ」通知を送信し、ユーザーが承認または拒否することができます。
その他の選択肢が選択から除外されている理由：PingAM はセキュリティ質問 (KBA) とユニバーサル2要素認証 (U2F) をサポートしていますが、8.0.2 のドキュメントではこれらがしばしば異なるカテゴリに分類されています。セキュリティ質問は、最新の MFA プロトコルではなく、「ユーザーセルフサービス」または「レガシー」の検証方法とみなされています。U2F は技術的に PingAM 8.0.2 の WebAuthn フレームワークに置き換えられ、そのフレームワークに含まれています。したがって、現在のバージョンでサポートされているコア MFA プロトコルの最も正確なグループは A、C、E であり、選択肢 C が正解となります。

PingAM 8.0.2 では、インテリジェント アクセス デザイナーが、多要素認証 (MFA) デバイスのオンボーディングと登録を処理するための専用ノードを提供します。3 これらのノードは、ユーザーがスマートフォンやセキュリティ キーを登録できる「セルフサービス」登録ツリーを構築するために不可欠です。
「認証ノードリファレンス」によると、デバイスの登録に特化した 3 つの主要ノードは次のとおりです。
OATH 登録ノード: このノードは、ユーザーが OATH 準拠のアプリ (ForgeRock Authenticator など) でスキャンする秘密と QR コード (または手動入力コード) を生成します。4 次に、アプリによって生成された最初のコードを検証して、ユーザーのプロファイルへの登録を完了します。
プッシュ登録ノード: このノードは、プッシュ通知用にデバイスを登録するために使用されます。5 プッシュ サービスと連携して、ユーザーの特定の ForgeRock Authenticator アプリのインストールを AM ID ストアのエントリにリンクします。
WebAuthn登録ノード：このノードはFIDO2/WebAuthnのセレモニーを処理します。ブラウザにユーザーのローカル認証デバイス（TouchIDやYubiKeyなど）とのやり取りを促し、生成された公開鍵と認証情報IDをユーザーのプロファイルに保存します。
他の選択肢が誤りである理由：MFA登録オプションノード（選択肢A、B、C）は、ユーザーが登録するMFA方式を選択できる「決定」または「UI」ノードです（例：「プッシュまたはOATHのどちらを登録しますか？」）。6 ただし、このノードは実際の登録ロジック自体は実行しません。質問では、デバイス登録用に提供されるノード、つまり登録プロトコルを実行する機能ノードについて尋ねています。したがって、OATH、プッシュ、WebAuthn登録ノードのセット（選択肢D）が正解です。

相互 TLS (mTLS) は、クライアントとサーバーの両方が自身の ID を証明するために X.509 証明書を提供するセキュリティ強化です。9 PingAM 8.0.2 では、OAuth2 クライアントとトークン エンドポイント間、または AM とディレクトリ サーバー (PingDS) 間などの安全な「マシン間」(M2M) 通信に mTLS が頻繁に使用されます。
PingAM の「セキュア ネットワーク通信」および「OAuth2 の mTLS」に関するドキュメントによると、mTLS のハンドシェイク シーケンスは次の論理的な手順に従います。
クライアントHello: クライアントがサーバーへのリクエストを開始します。10
Server Helloと証明書: サーバーは自身の証明書を提示することで応答します（クライアントに対してサーバーのIDを検証します）。11 mTLSシナリオでは、サーバーはCertificateRequestメッセージも送信します。12 クライアント証明書と鍵交換: クライアントはサーバーの証明書を検証します。有効な場合、クライアントは自身のクライアント証明書と、暗号化されたプリマスターシークレットまたは鍵交換データをサーバーに送信します。
検証と確立: サーバーは、クライアントの証明書をトラストストアと照合して検証します。証明書が信頼され、暗号署名が一致する場合、相互に安全な接続が確立されます。
選択肢Dは最も正確な「簡略化された」シーケンスを表しています。選択肢Aは、クライアントが自身の証明書を送信する前にサーバーが自身の証明書を提示するため、誤りです。選択肢BとCは、クライアントがIDの送信に進む前に、サーバーが常に最初の「Client Hello」に対して自身のID（サーバー証明書）で応答するため、誤りです。この「ハンドシェイク」により、両者が暗号的に相互検証するまでデータが送信されないことが保証されます。

Ping Identity環境における認証ライフサイクルは、承認されたユーザーのみが保護されたリソースにアクセスできるようにするために、厳格なシーケンスに従います。このプロセスは、WebエージェントやPingGatewayなどのポリシー適用ポイント（PEP）と、PingAMであるポリシー決定ポイント（PDP）間の相互作用によって制御されます。
PingAM 8.0.2 の「認証の概要」および「Web エージェント ユーザー ガイド」に従った時系列の流れは次のとおりです。
ステップ 2: 認証されていないユーザーが保護された URL にアクセスしようとすると、プロセスが開始されます。
ステップ 5: エージェント/PingGateway はリクエストをインターセプトし、有効なセッション クッキーが存在しないことを検出し、ユーザーを PingAM ログイン URL (UI) にリダイレクトします。
ステップ 1: ユーザーは AM UI を操作して、必要な資格情報を提供するか、認証ツリーで定義されている「コールバック」(ユーザー名、パスワード、MFA) に応答します。
ステップ 6: 認証が成功すると、PingAM はセッション トークンを発行し、ユーザーをアクセスしようとしていた元のリソースにリダイレクトします。
ステップ4: エージェント/PingGatewayは再度リクエストを受信しますが、今回はセッショントークンが含まれています。エージェントはPingAMを使用してセッションを検証し、セッションがまだアクティブであり、適切な権限を持っていることを確認します。
ステップ 3: 最後に、非アクティブ状態 (アイドル タイムアウト) によりセッションの有効期限が切れるか、最大セッション時間に達するか、ユーザーが明示的にログアウトすると、ライフサイクルは終了します。
シーケンス2-5-1-6-4-3（オプションB）は、現代のWeb認証におけるこの「ラウンドトリップ」の性質を正確に捉えています。オプションAとDは、コールバックインタラクションを最初のリダイレクトまたはリソースアクセスの前に配置しているため、誤りです。オプションCは、エージェントが現在のリクエストのセッションを検証する前にセッションがタイムアウトに達することを示唆しているため、誤りです。