令和7年度春期 情報処理安全確保支援士 午前Ⅱ 問16

「本人確認（認証）」ではなく、「鍵を貸し出して操作を許可する（認可）」仕組み

OAuth 2.0（オーオース）は、「認可（権限の引き渡し）」のための仕組み。ユーザーが、特定のアプリに対して「私の代わりにこのデータを読み取っていいよ」という許可証（アクセストークン）を渡し、アプリがその範囲内だけで動くように制御するよ。

この問題で問われていること

「その人が誰かを確認する（認証）」のと、「その人に何をしていいか許可する（認可/権限付与）」の違いを区別してね。OAuthの本来の目的は「認可（権限を譲り渡すこと）」だよ。

OAuth 2.0

本人確認そのものではなく、利用者の同意に基づく権限委譲です。

利用者の許可\n-> 認可サーバ\n-> クライアントへ権限

確認ポイント

• 本人確認だけを目的とする認証プロトコルではありません。
• 認可サーバが利用者本人かを確認することが主目的ではありません。
• 利用者の許可に基づく権限付与を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。“認可”という言葉は合っているけど、後半が本人確認の話になっているよ。OAuth 2.0は泥棒か本人かを見分ける身分証チェックが目的ではなく、本人が許可した範囲だけをアプリに使わせる仕組みなんだ。

選択肢イ（正解）

正解だよ。OAuth 2.0は、利用者が「このアプリにはカレンダーの読み取りだけ許可するよ」みたいに、サービスへ限定的な合鍵を渡すための仕組みなんだ。認可サーバが利用者の許可を確認して、クライアントにアクセストークンという“使える範囲付きの入館証”を発行する、という説明なので正しいよ。

選択肢ウ

不正解だよ。これは“本人確認”の説明だね。たとえるなら、受付で免許証を見て「あなた本人ですね」と確認する感じ。でもOAuth 2.0の主役は本人確認ではなく、「別のサービスにどこまで使わせるか」という合鍵の範囲を決めることだよ。

選択肢エ

不正解だよ。OAuth 2.0は「この人は本人です」と身分証チェックする仕組みではなく、「このアプリに写真だけ見せていいよ」みたいに権限を渡す仕組みなんだ。この選択肢は“認証”と言いながら“許可を得て権限を付与”という認可の話をしていて、説明が混ざっているよ。