PingAM 8.0.2では、ユーザーがより高いセキュリティレベル（認証レベル）で認証を要求された際にセッションアップグレードが行われます。これらのアップグレードの結果は、セッションストレージ（サーバー側またはクライアント側）と使用されるパラメータによって異なります。
記述Bは誤りです。新しいトークンは現在のセッションが要件を満たしていない場合にのみ発行されると主張しているからです。実際には、リクエストにForceAuth=trueやprompt=loginなどのパラメータが明示的に含まれている場合、PingAMは現在のセッションの状態に関係なく、再認証を強制し、新しいセッショントークンを発行します。
「セッション アップグレード」および「ステップアップ認証」のドキュメントによると、次のようになります。
文Aは正解です。ForceAuth=true を使用すると、AMエンジンは既存のセッションの認証レベルを無視し、ユーザーをツリーに強制的に通過させます。成功すると新しいセッション/トークンが生成されます。
文Cは正解です。これは標準的な「アドバイス」フロー（例：ポリシーからのフロー）を説明しています。AMは新しいセッションを作成し、古いセッションから既存のプロパティをコピーし、トークンを置き換えます。
ステートメント D は正解です。クライアント側のセッションでは、状態は JWT クッキー内にあるため、あらゆる変更 (認証レベルの増加など) には、古い JWT を置き換えるために新しい署名付き JWT を発行する必要があります。
したがって、PingAM は要件を満たしている場合でも強制的に再認証を許可するため、ステートメント B の「only when」という限定的な条件は誤った（つまりターゲットとなる）回答となります。この動作は、以前のアクティビティに関係なく新たなプレゼンス証明が必要となるセキュリティシナリオにおいて重要です。

説明したシナリオ（クライアント（依存パーティ）が既にユーザーを認識しており、別のデバイスでのアクションを承認する必要がある）は、クライアント開始バックチャネル認証（CIBA）とも呼ばれるバックチャネル リクエスト グラントの主な使用例です。
PingAM 8.0.2 の「OpenID Connect Grant Flows」と「CIBA」に関するドキュメントによると、次のようになります。
従来のOIDCフロー（暗黙的、認可コード、ハイブリッド）ではブラウザからOpenIDプロバイダーへのリダイレクト（フロントチャネル）が必要ですが、CIBAはバックチャネルフローです。CIBAは「分離」認証を目的として設計されています。
トリガー: RP は、ユーザー ID (ユーザー名や電子メールなど) を指定して、PingAM のバックチャネル認証エンドポイントに直接リクエストを送信します。
同意: 次に、PingAM はプッシュ通知を介してユーザーの認証デバイス (通常は ForgeRock Authenticator アプリを搭載したスマートフォン) にアクセスします。
承認: ユーザーは携帯電話でリクエストを承認します。
トークン: PingAM をポーリングしているかコールバックを待機している RP は、ID トークンとアクセス トークンを受け取ります。
一般的な実例としては、銀行の窓口担当者が端末でログインを開始し、顧客がモバイルバンキングアプリで承認する、あるいはコールセンターの担当者がプッシュ通知で発信者の身元を確認するといったケースが挙げられます。オプションDは、この分離されたデバイスアーキテクチャをサポートする唯一のフローです。オプションA、B、Cはすべて「フロントチャネル」フローであり、ユーザーによる操作はリクエストを開始したブラウザセッション内で行われる必要があります。

PingAM 8.0.2では、複雑な問題のトラブルシューティングには、監査ログだけでなくデバッグログも必要になることがよくあります。これらのログは、AMエンジンとその様々なコンポーネント（認証、コアトークンサービス、セッション管理など）の内部動作を記録します。7 PingAM 8.0.2メンテナンスガイドの「デバッグログ」セクションによると、デバッグログエントリの標準形式は、サポートエンジニアと開発者に最大限のコンテキストを提供するように設計されています。典型的なエントリには以下が含まれます。
時間と日付のヘッダー: イベントが発生したときの正確なタイムスタンプ。
コンポーネント (カテゴリ): メッセージの発行元であるコードの部分を識別します (例: amAuth、amSession、amOAuth2)。
デバッグ レベル: ERROR、WARNING、INFO、MESSAGE、OFF などの詳細度/重大度を示します。
スレッド ID: Tomcat のようなマルチスレッド環境にとって非常に重要であり、管理者が複数のログ エントリにわたって単一のユーザーの要求を追跡できるようにします。
メッセージ: 内部操作または発生したエラーを説明する文字列。
スタック トレース: エントリが例外を記録している場合、障害が発生したコード行を正確に特定するために、完全な Java スタック トレースがオプションで含められます。
オプションAは、この構造化された出力を最も完全かつ正確に表現したものです。オプションB、C、Dは、スレッドIDやコンポーネント名といったトラブルシューティングに不可欠なフィールドが省略されているため、誤りです。これらのフィールドは、高同時実行の実稼働環境でログを相関させるのに不可欠です。この構造を理解することは、ssoadmやREST APIなどのツールを使用してトラブルシューティング情報を取得・分析するすべての管理者にとって不可欠です。

PingAM 8.0.2 は、それぞれハードウェアとソフトウェアの要件が異なるさまざまな多要素認証 (MFA) 方法をサポートしています。7 この質問では、別のデバイスと特定のアプリケーションの両方を必要とする方法について具体的に尋ねています。
プッシュ認証：この認証方法では、通知を受信して​​承認するために、モバイルデバイス（ログインに使用するコンピューターとは別のもの）とForgeRock/Ping Authenticatorアプリ（またはSDKを使用したカスタムアプリ）が必要です。8 オープン認証（OATH）：これはTOTP（時間ベースのワンタイムパスワード）を指します。6桁のローテーションコードを生成するために、別のデバイス（スマートフォンまたはハードウェアトークン）とアプリケーション（ForgeRock Authenticator、Google Authenticator、Authyなど）が必要です。
WebAuthnが除外される理由：WebAuthn（オプションA、B、C）はYubiKeyや予備のスマートフォンなど、別のデバイスを使用できますが、ブラウザとオペレーティングシステム（FIDO2標準を使用）とネイティブに連携するように特別に設計されています。ユーザーが特定の「認証アプリケーション」をインストールする必要はありません。代わりに、プラットフォームに組み込まれた認証デバイス（TouchID、FaceID、Windows Helloなど）またはブラウザのWebAuthn APIによって直接処理されるハードウェアキーを使用します。
したがって、PingAM エコシステムにおける「個別のデバイス + アプリ」の基準に厳密に適合する 2 つの方法は、オープン認証とプッシュであり、オプション D が正解となります。

この質問は、PingAM 8.0.2 のセッション管理の基本アーキテクチャについて探究するものです。PingAM は非常に柔軟性の高い設計となっており、従来のブラウザベースのシングルサインオン (SSO) と最新の API 駆動型インタラクションの両方をサポートします。
PingAM ドキュメントに基づくステートメントの分析:
文Aは正解です。ブラウザベースのフローでは、PingAMはHTTP Cookieを使用してセッション状態を維持します。認証が成功すると、AMはセッショントークン（セッション参照）を含むSet-Cookieヘッダーをブラウザに送信します。
文Bは正解です。「ヘッドレス」またはRESTベースの認証（モバイルアプリや/json/realms/root/authenticateを呼び出すバックエンドサービスなど）の場合、Cookieを自動的に処理するブラウザは存在しません。この場合、PingAMはJSONレスポンスボディでtokenIdを直接返すため、クライアントは後続のAPI呼び出しでトークンを手動で管理できます。
記述Dは正解です。歴史的な理由により、PingAM の SSO Cookie 名のデフォルト値は iPlanetDirectoryPro です。管理者はセキュリティ（難読化）のためにこの値を変更することが推奨されますが、これはデフォルトの「すぐに使える」設定のままです。
記述Cは誤りです。これは質問の「誤答」です。PingAM 8.0.2は複数のセッションストレージモデルをサポートしています。Core Token Service（CTS）はサーバーサイドのステートフルセッションの標準ですが、AMはクライアントサイドセッション（状態はCookie自体に署名/暗号化されたJWTに保存されます）とインメモリセッション（主に短時間の認証処理に使用されます）もサポートしています。AMはCTSのみに限定されないため、記述Cは誤りです。
したがって、A、B、D の組み合わせは PingAM 8.0.2 のセッション機能を正確に反映しており、オプション A が正解となります。