情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和6年度秋期 午前Ⅱ 問16: 利用者 A が所有するリソース B が，Web サービス C 上にある。OAuth 2.0 において，利用者 A の認可の下，Web サービス D からリソース

正解

ア. Web サービス C が，アクセストークンを発行する。

正答率 81.6%（38人中 31人が正解）

問題の解説

OAuth 2.0では、リソース所有者(利用者A)の認可に基づき、認可サーバ(WebサービスC)がアクセストークンを発行し、クライアント(WebサービスD)がそのトークンを使ってリソースBへ限定的にアクセスする。トークンを発行するのは認可サーバであるCなので、アが正解。実務ではパスワードを渡さず権限を限定委譲できる仕組みとして、API連携に広く使われる。

選択肢ごとの解説

• ア認可サーバを兼ねるWebサービスCがアクセストークンを発行する点がOAuthの動作に合致し、正しい。
• イOAuthはトークンベースで、利用者のデジタル証明書を送る仕組みではないので誤り。
• ウトークンを発行するのは認可サーバCであり、クライアント側のDが発行するのではないので誤り。
• エデジタル証明書をやり取りする話はOAuthの動作ではなく、誤り。