令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
テクノロジ／セキュリティOAuth 2.0 に関する記述のうち，適切なものはどれか。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16
- ア認可を行うためのプロトコルであり，認可サーバが，アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
- イ認可を行うためのプロトコルであり，認可サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。
- ウ認証を行うためのプロトコルであり，認証サーバが，アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
- エ認証を行うためのプロトコルであり，認証サーバが，利用者（リソースオーナー）の許可を得て，サービス（クライアント）に対し，適切な権限を付与するためのものである。
正解：イ
解説
OAuth 2.0 は，利用者（リソースオーナー）に代わって，サービス（クライアント）がリソースサーバ上のリソースにアクセスするための権限（アクセストークン）を，利用者の許可を得て認可サーバが発行するための認可プロトコルです。本人であるかどうかを確認する認証とは目的が異なる点に注意が必要です。
選択肢ごとの解説
- ア誤り。OAuth 2.0 は認可のプロトコルですが，記述内容は本人確認（認証）を説明しており，OAuth 2.0 の目的とは異なります。
- イ正しい。OAuth 2.0 は認可のプロトコルであり，認可サーバが利用者の許可を得てクライアントに適切な権限を付与するためのものです。
- ウ誤り。OAuth 2.0 は認証のプロトコルではなく，認可のプロトコルです。
- エ誤り。OAuth 2.0 は認証のプロトコルではありません。また権限付与を行うのは認可サーバであり，記述が矛盾しています。