下記の問題集を参考させていただいでおります。
午後(I・II)に集中！情報処理安全確保支援士精選17問

設問1

・接続元IPアドレスがF社のグローバルIPアドレスではないこと
問題文に「(従業員が利用する)端末からクラウドサービスを利用する際にはプロキシサーバを経由する」とあるため接続元IPアドレスはF社のIPアドレスに限定されます。
また、不正アクセスの原因の1つに「F社のIPアドレス以外からクラウドサービスへのログインが可能になっていた」とあるため、ここに脆弱性があり、今回の攻撃発生を招いてしまったと想像がつくと思います。

設問2

(1) a：ウ b：エ c：ア d：イ
SAMLについて勉強する。

(2) e：処理1
SPはIdPに認証を要求するSAMLRequestとリダイレクト先URLをクライアントに返す(中継させる)

**　　f：処理4**
「ｆ」において必要なIdPのディジタル証明書、とあることからディジタル証明書の処理を行っていることがわかる。
その処理を行っているのは処理4

(3) g：ウ
リダイレクト先URLと組み合わせられるものはクエリというURLパラメータ(？)

(4) h：IdP i：改ざん
処理③からIdPが利用者認証を行った後、様々な情報に対するディジタル署名を含めたSAMLResponseを生成され、SPに沿う島されます。
SPではディジタル署名がIdPによって署名されていることを確認します。
ディジタル署名はデータの改ざんがないことを保証するものです。

(5) 認証に関する情報を利用者端末のWebブラウザが中継するから
SPとIdP間は直接やりとりすることはなく、利用者端末のWebブラウザが中継することで信頼関係を築いています。

設問3

交通費精算サービス
番号：(3)
理由：社外からIdPへの通信がファイアウォールによって遮断されるから
「社外から社内ネットワークへの通信はファイアウォールによって遮断される」
「IdPは社内に設置」
と問題文に記載があり、上記のことから社内と社外の境界である図1(3)で拒否されるのがわかります。

グループウェアサービス
番号：(1)
理由：クラウドサービス側で接続元IPアドレスの制限が行われているから
「グループウェアサービスだけは、接続元IPアドレスを制限する機能を備えていた」
と問題文には記載があり、クラウドサービス側で接続元IPアドレスがF社内のIPアドレスであるかどうか判断が可能ということ。
このため、サービス提供をしているSPで判断が可能であり図1(1)で制御を行うことが可能です。