情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問14: OAuth 2.0 に関する記述のうち，適切なものはどれか。

正解

イ. 認可を行うためのプロトコルであり，認可サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。

正答率 50.0%（4人中 2人が正解）

問題の解説

OAuth 2.0は認可（アクセス権限の委譲）のためのプロトコルで、リソースオーナーの許可を得て、認可サーバがクライアント（サービス）にリソースアクセス権限（アクセストークン）を付与する。よってイが正解。本人確認（認証）が主目的ではなく、認証にはOpenID Connectが用いられる。実務ではユーザーのパスワードを渡さずに第三者サービスへ限定的なアクセスを許可できる。

選択肢ごとの解説

• ア本人確認を主目的とするのは認証であり、OAuthの主目的である認可（権限付与）と合わない。
• イ認可プロトコルとして利用者許可の下でクライアントに権限を付与する、OAuthの説明そのもの。
• ウOAuthは認証ではなく認可のプロトコルなので誤り。
• エ権限付与の内容は正しいが、OAuthは認証ではなく認可のプロトコルである点が誤り。