令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
テクノロジ／セキュリティOAuth 2.0 に関する記述のうち，適切なものはどれか。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14
- ア認可を行うためのプロトコルであり，認可サーバが，アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
- イ認可を行うためのプロトコルであり，認可サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。
- ウ認証を行うためのプロトコルであり，認証サーバが，アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
- エ認証を行うためのプロトコルであり，認証サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。
正解：イ
解説
OAuth 2.0 は認可（アクセス権限の委譲）のためのプロトコルです。リソースオーナー（利用者）の許可を得た認可サーバが，クライアント（サービス）に対してアクセストークンを発行し，リソースサーバ上の資源へ限定された権限でアクセスできるようにします。利用者本人であることの確認（認証）は OAuth 2.0 の目的ではなく，その上に構築された OpenID Connect が担います。
選択肢ごとの解説
- ア誤り。認可のプロトコルである点は正しいものの，本人であるかどうかを確認するためのものであるという説明が誤りです。
- イ正しい。OAuth 2.0 は認可のプロトコルであり，認可サーバがリソースオーナーの許可を得てクライアントに適切な権限を付与します。
- ウ誤り。OAuth 2.0 は認証のプロトコルではありません。本人確認を行うのは OpenID Connect などです。
- エ誤り。権限を付与するという動作の説明は合っていますが，OAuth 2.0 は認証ではなく認可のプロトコルです。