平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティ特定の利用者が所有するリソースが，Web サービス A 上にある。OAuth 2.0 において，その利用者の認可の下，Web サービス B からそのリソースへの限定されたアクセスを可能にするときのプロトコルの動作はどれか。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14
- アWeb サービス A が，アクセストークンを発行する。
- イWeb サービス A が，利用者のディジタル証明書を Web サービス B に送信する。
- ウWeb サービス B が，アクセストークンを発行する。
- エWeb サービス B が，利用者のディジタル証明書を Web サービス A に送信する。
正解：ア
解説
OAuth 2.0 では，リソース（利用者のデータ）を保持するリソースサーバ（設問の Web サービス A）が，利用者の認可を得た上で，クライアント（Web サービス B）に対してリソースへの限定されたアクセスを許可するアクセストークンを発行します。Web サービス B はこのアクセストークンを提示することで，Web サービス A 上のリソースに限定的にアクセスできるようになります。
選択肢ごとの解説
- ア正しい。リソースを保持する Web サービス A が，利用者の認可の下でアクセストークンを発行し，Web サービス B に限定されたアクセスを許可します。
- イ誤り。OAuth 2.0 ではディジタル証明書ではなく，アクセストークンを用いてアクセス制御を行います。
- ウ誤り。アクセストークンを発行するのはリソースを保持する Web サービス A（の認可サーバ）であり，Web サービス B ではありません。
- エ誤り。OAuth 2.0 の動作としてディジタル証明書を送信するものではありません。