令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16 OAuth 2.0でアクセストークンを出すのは誰？

WebサービスCがリソースBを持っていて、さらに認可サーバの役割もしているなら、利用者Aが「使っていいよ」と許可したあとにアクセストークンを発行するのはCだよ。お店でいうと、商品も管理していて入場チケットも発行する係がC、というイメージだね。

この問題で問われていること

OAuth 2.0に登場する利用者、リソース、Webサービス、認可サーバの役割を整理して、「アクセストークンは誰が発行するのか」を見極める問題だよ。

OAuth 2.0 の発行主体

リソースサーバ兼認可サーバがトークンを出し、クライアント D が使う。

利用者認可\n-> WebサービスC\n-> アクセストークン発行

確認ポイント

• クライアント D がトークンを発行するわけではありません。
• 利用者の証明書送信の話でもない。
• Web サービス C が発行するを選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。WebサービスCはリソースBを持っていて、さらに認可サーバも兼ねているので、利用者Aが許可した範囲だけ入れる“通行証”としてアクセストークンを発行するんだ。たとえるなら、建物の管理窓口Cが「この部屋だけ入っていいよ」という入館証をWebサービスDに渡すイメージだよ。

選択肢イ

これは間違いだよ。WebサービスCがWebサービスDに利用者Aのデジタル証明書を送る仕組みではないよ。OAuth 2.0の目的は、パスワードや本人証明書のような大事なものを直接渡さずに、限定された権限のアクセストークンでアクセスさせることなんだ。家の鍵そのものではなく、時間と場所が限られた仮の合鍵を渡す感じだよ。

選択肢ウ

これは間違いだよ。OAuth 2.0では、アクセストークンは「データを持っていて許可を管理する側」、つまりWebサービスCが発行するんだ。WebサービスDは、たとえるなら合鍵をもらって中に入る配達員のような立場で、自分で合鍵を作ってはいけないよ。

選択肢エ

これは間違いだよ。OAuth 2.0でWebサービスDがWebサービスCへアクセスするとき、基本的に使うのは利用者Aのデジタル証明書ではなく、発行されたアクセストークンだよ。たとえるなら、本人の身分証そのものを他人に渡すのではなく、必要な範囲だけ使える一時的な入館証を渡す仕組みなんだ。