令和7年度 春期 情報処理安全確保支援士 午前II 問16

各選択肢の解説

ア

認可を行うためのプロトコルであり、認可サーバが、アクセスしてきた者が利用者(リソースオーナー) 本人であるかどうかを確認するためのものである。

誤りです。OAuth 2.0を認可のプロトコルとしている点は正しいです。しかし、アクセスしてきた者がリソースオーナー本人かを確かめるのは認証の役割です。「リソースオーナーの許可を得て、クライアントに適切な権限を付与するもの」と直せば正しくなります。

イ

認可を行うためのプロトコルであり、認可サーバが、利用者(リソースオーナー)の許可を得て、サービス(クライアント)に対し、適切な権限を付与するためのものである。

正しいです。RFC 6749で定められたOAuth 2.0は認可フレームワークです。認可サーバがリソースオーナーの同意を得てクライアントにアクセストークンを発行し、スコープで限定した権限でリソースにアクセスさせます。

ウ

認証を行うためのプロトコルであり、認証サーバが、アクセスしてきた者が利用者(リソースオーナー) 本人であるかどうかを確認するためのものである。

誤りです。本人確認は認証の説明であり、OAuth 2.0は認証ではなく認可のプロトコルです。OAuth 2.0を土台に認証機能を加えた仕様はOpenID Connectです。「認可のプロトコルで、利用者の許可を得てクライアントに権限を付与する」と直せば正しくなります。

エ

認証を行うためのプロトコルであり、認証サーバが、利用者(リソースオーナー)の許可を得て、サービス(クライアント)に対し、適切な権限を付与するためのものである。

誤りです。リソースオーナーの許可を得てクライアントに権限を付与するという機能の説明は正しいです。しかし、それを「認証を行うためのプロトコル」「認証サーバ」としている点が誤りです。「認可を行うためのプロトコル」「認可サーバ」と直せば正しくなります。