情報処理安全確保支援士試験 令和6年度 秋期 午前II 問16

【正解】ア

OAuth 2.0では、リソースの所有者である利用者Aが、クライアントに当たるWebサービスDに対して、WebサービスC上のリソースBへの限定的なアクセスを認可します。認可サーバを兼ねるWebサービスCは、利用者Aの認証と同意を確認した後、WebサービスDにアクセストークンを発行します。WebサービスDは、そのトークンを提示してリソースBへアクセスします。トークンにはアクセス範囲や有効期間を設定できるので、パスワードをDへ渡さずに権限を限定できます。

イのデジタル証明書をWebサービスDに送信するという説明は誤りです。デジタル証明書は、公開鍵とその所有者を結び付けるPKIの仕組みであり、OAuth 2.0で利用者の認可を伝える基本的な手段ではありません。

ウのWebサービスDがアクセストークンを発行するという説明は誤りです。Dはクライアントであり、トークンを受け取って利用する側です。発行するのは認可サーバであるCです。

エの利用者Aのデジタル証明書をDからCへ送信するという説明も誤りです。OAuth 2.0の中心は、利用者の証明書の受渡しではなく、認可サーバが発行するアクセストークンによる権限委譲です。

【ポイント】 OAuth 2.0は認証そのものではなく、第三者のサービスに限定的な権限を与える認可の枠組みです。 リソース所有者、クライアント、認可サーバ、リソースサーバの役割と、アクセストークンの発行元を整理して覚えましょう。