令和6年度 秋期 情報処理安全確保支援士試験 午前 II 問題 問16
テクノロジセキュリティ技術
この問題は2024(R6)秋 情報処理安全確保支援士 午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
利用者Aが所有するリソースBが, WebサービスC上にある。OAuth 2.0において, 利用者Aの認可の下, WebサービスDからリソースBへの限定されたアクセスを可能にするときのプロトコルの動作はどれか。ここでWebサービスCは, 認可サーバを兼ねているものとする。
解答・解説を読む
正解: 選択肢ア
本設問は OAuth 2.0 における認可の仕組みと各役割（ロール）に関する理解を問う問題です。
OAuth 2.0 のロールと本設問での対応
リソースオーナー: リソースへのアクセス権を付与する主体（利用者A）
リソースサーバ: 保護されたリソースをホストするサーバ（WebサービスC）
クライアント: リソースへのアクセスを要求するアプリケーション（WebサービスD）
認可サーバ: リソースオーナーの認証と認可を得て、クライアントにアクセストークンを発行するサーバ（WebサービスC）
動作の流れ
OAuth 2.0 では、クライアント（WebサービスD）が認可サーバ（WebサービスC）に対してアクセスを要求し、リソースオーナー（利用者A）の同意のもと、認可サーバが アクセストークン を発行します。
したがって、アクセストークンを発行するのは認可サーバである WebサービスC となります。
各選択肢の解説
ア: 正解。認可サーバを兼ねる WebサービスC が、クライアントである WebサービスD にアクセストークンを発行します。
イ: 誤り。OAuth 2.0 はアクセス権限の委譲にアクセストークンを用いるプロトコルであり、デジタル証明書の送受信を目的としたものではありません。
ウ: 誤り。WebサービスD（クライアント）はアクセストークンを発行する側ではなく、認可サーバから受け取る側です。
エ: 誤り。イの解説と同様に、デジタル証明書の送信を行うプロトコルではありません。