平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問14

OAuth 2.0でアクセストークンを発行するのは誰？

OAuth 2.0では、利用者が「このアプリにここまでなら使わせていいよ」と許可したあと、リソースを持っているサービス側の認可基盤がアクセストークンを発行するよ。これは、家の合鍵ではなく「この部屋だけ入ってOK」という一時的な入館証を渡すイメージだよ。

この問題で問われていること

この問題では、ディジタル証明書をやり取りする話ではなく、利用者の許可を受けて、誰がアクセストークンを発行し、限定的なアクセス権の委譲を表すのかを確認しよう。

OAuth 2.0 の委譲

OAuth 2.0 は「利用者のパスワードを渡さずに権限だけを委譲する」仕組みです。その権限を表すのがアクセストークンで、クライアント側サービスが勝手に発行するものではありません。

利用者が認可\nリソース側がアクセストークン発行\nクライアントが限定アクセス

確認ポイント

• 証明書送信の話ではなくトークン発行の話です。
• クライアントサービスがトークン発行者ではありません。
• 「限定されたアクセス」を実現する要素がアクセストークンだと捉えます。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。WebサービスAに利用者のリソースがあり、WebサービスBがそれを限定的に使いたい場面だから、A側が「ここまでなら使っていいよ」というアクセストークンを発行するんだ。たとえると、家の持ち主Aが、Bに玄関だけ開けられる合鍵を一時的に渡す感じだよ。

選択肢イ

不正解だよ。WebサービスAが利用者のディジタル証明書をBへ送るわけではないよ。OAuthでは、利用者の大事な身分証を相手に渡すのではなく、必要な権限だけを示すアクセストークンを使うんだ。免許証を丸ごと預けずに、受付で使える番号札を渡すようなものだよ。

選択肢ウ

不正解だよ。WebサービスBは、Aにある利用者の情報を使わせてもらう側だよ。たとえると、Bは「入店したいお客さん」で、鍵を作る店主ではないんだ。A側のリソースに入るためのアクセストークンは、リソースを持っているA側が発行するのが自然だよ。

選択肢エ

不正解だよ。OAuthの考え方では、利用者のディジタル証明書そのものを別サービスへ渡すのではなく、「この範囲だけ使っていいよ」というアクセストークンを渡すんだ。身分証そのものを預けるのではなく、入れる部屋が限られた一時的な入館証を渡すイメージだよ。