平成27年度秋期 情報処理安全確保支援士 午前Ⅱ 問17

OAuth 2.0で使う“入場券”は誰が出す？

OAuth 2.0では、利用者が「この範囲なら使っていいよ」と許可したあと、リソースを持っているサービス側がアクセストークンを発行するよ。別サービスはそのアクセストークンを見せることで、許された範囲だけアクセスできるんだ。

この問題で問われていること

この問題では、証明書を交換する話ではなく、「限定的なアクセス権を何で表すのか」と「それを誰が発行するのか」を押さえよう。

OAuth 2.0 の委譲

利用者はリソース所有者として委譲を承認し、リソースサーバ側に関係する認可基盤がアクセストークンを発行します。クライアント側サービスが勝手にトークンを発行するわけではありません。

利用者が承認\nリソース側がアクセストークン発行\nクライアントが限定アクセス

確認ポイント

• トークンは利用者のディジタル証明書そのものではありません。
• クライアントサービス A が自前でアクセストークンを発行するわけではありません。
• 「限定的なアクセス権限」を表すのがアクセストークンだと押さえます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。WebサービスAは、リソースDを使わせてもらう側、つまり「お店に入れてもらうお客さん」みたいな立場なんだ。入場許可証であるアクセストークンを自分で発行できたら、勝手に合鍵を作るようなものになってしまうよ。発行するのは、リソースを持っているWebサービスB側だよ。

選択肢イ

これは不正解だよ。WebサービスAが利用者Cのディジタル証明書をWebサービスBへ送る、という流れはOAuth 2.0の基本動作ではないんだ。OAuth 2.0は、利用者の大事な証明書やパスワードを別サービスに渡さず、限定された許可証であるアクセストークンでアクセスを管理する仕組みだよ。

選択肢ウ（正解）

これは正解だよ。リソースDはWebサービスBにあるので、WebサービスBが「この範囲だけアクセスしていいよ」というアクセストークンを発行するんだ。たとえるなら、倉庫を管理しているBが、Aに一時的な入館証を渡すイメージだよ。Aがその入館証を使って、利用者Cが許可した範囲だけリソースDにアクセスできるんだ。

選択肢エ

これは不正解だよ。OAuth 2.0では、利用者Cのディジタル証明書を渡して本人確認する仕組みではなく、「この範囲だけ使っていいよ」というアクセストークンを使うんだ。たとえるなら、身分証そのものを相手に預けるのではなく、必要な部屋だけ開けられる一時的な入館証を渡す感じだよ。