OAuth 2.0に関する記述のうち、適切なものはどれか。

選択肢

• ア認可を行うためのプロトコルであり、認可サーバが、アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
• イ認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。
• ウ認証を行うためのプロトコルであり、認証サーバが、アクセスしてきた者が利用者（リソースオーナー）本人であるかどうかを確認するためのものである。
• エ認証を行うためのプロトコルであり、認証サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。

正解と解説

正解：イ 認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。

OAuth 2.0は認可（アクセス権限の委譲）のためのプロトコルです。リソースオーナーが同意すると、認可サーバはクライアントに対してアクセストークンを発行し、クライアントはそのトークンの範囲内でリソースサーバのAPIを利用できます。利用者本人であることを確認する認証は本来の目的ではなく、認証を扱いたい場合はOAuth 2.0を土台に拡張したOpenID Connectを用います。

選択肢ごとの解説

• ア認可プロトコルである点は正しいものの、本人確認を目的とする記述が誤りです。
• イ正解。リソースオーナーの許可に基づきクライアントへ権限を与える、という定義どおりです。
• ウ認証プロトコルではありません。本人確認はOpenID Connectの役割です。
• エ認証プロトコルという前提が誤りで、権限付与を行うのは認可の機能です。

この問題は2回出題されています

• 2023年度 秋期 午前II 問14この問題の代表ページ
• 2025年度 春期 午前II 問16（このページ）

同じ分野の他の問題

• 利用者Aが所有するリソースBが,WebサービスC上にある。OAuth 2.0において,利用者Aの認可の下,Webサービス…2024年度 秋期 午前II 問16
• 特定の利用者が所有するリソースが，WebサービスA上にある。OAuth 2.0において，その利用者の認可の下，Webサー…2017年度 春期 午前II 問14
• 無線LANで使用される規格IEEE 802.1Xが規定しているものはどれか。2025年度 秋期 午前II 問17
• NIST SP 800-63-3で定義されているIdentity Proofingに該当するものはどれか。2025年度 秋期 午前II 問11
• 認証デバイスに関する記述のうち,適切なものはどれか。2025年度 秋期 午前II 問10