情報処理安全確保支援士試験 2024年 秋期 午前2 問16

解説

OAuth 2.0における主要な役割

• リソースオーナー（利用者A）：自分のリソースのアクセス権を持つ人やシステム。
• リソースサーバ（WebサービスC）：リソースを保管し、アクセストークンを持つクライアントからのアクセスを受け付ける。
• 認可サーバ（WebサービスCが兼務）：アクセストークンの発行や認可を行うサーバ。
• クライアント（WebサービスD）：リソースオーナーの許可を得て、アクセストークンを使いリソースにアクセスする第三者アプリケーション。

プロトコルの流れ（簡単に）

1. 利用者Aが認可する
   利用者Aは、WebサービスDに対して、自分のリソースBへ限定的なアクセスを許可します。
2. 認可サーバ（WebサービスC）がアクセストークンを発行
   利用者Aの認可を受けて、WebサービスCはWebサービスDに対してアクセストークンを発行します。
   アクセストークンは、利用者Aのリソースに対し「どこまでアクセスして良いか」を示す限定的な証です。
3. クライアント（WebサービスD）がアクセストークンを利用してアクセス
   WebサービスDは、発行されたアクセストークンを用いてWebサービスCのリソースBにアクセスします。

選択肢の説明

• ア: WebサービスCがアクセストークンを発行する。
  これがOAuth 2.0の正しい動作です。認可サーバがアクセストークンを発行しクライアントに渡す仕組みとなっています。
• イ: WebサービスCが、利用者Aのデジタル証明書をWebサービスDに送信する。
  OAuth 2.0の仕様で「利用者のデジタル証明書をクライアントに送る」はありません。
• ウ: WebサービスDがアクセストークンを発行する。
  アクセストークンは認可サーバ側で発行するものであり、クライアント側で発行しません。
• エ: WebサービスDが、利用者Aのデジタル証明書をWebサービスCに送信する。
  同様に、OAuth 2.0でデジタル証明書の授受は基本的に関係ありません。

まとめ

• OAuth 2.0では、認可サーバ（今回はWebサービスC）がアクセストークンを発行し、クライアント（WebサービスD）がそのトークンを使ってリソースにアクセスできる仕組みです。
• 利用者Aの認可を基に発行されるアクセストークンは、アクセス範囲や有効期限などの制限を持ち、クライアントに限定的なアクセス権を与えます。