平成27年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問17

✓ これが正解ウWeb サービス B が，アクセストークンを発行する。

解説

リソースを持つWebサービスBが、アクセストークンを発行します。

OAuth 2.0 は、利用者がパスワードを渡さずに、別のサービスへ自分のリソースへの限定的なアクセスを許すための認可の仕組みです。この設問では、利用者 C がリソースの持ち主、Web サービス A がアクセスしたい側、Web サービス B がリソースを保管している側に当たります。利用者 C が承認すると、リソースを守っている B の側がアクセストークンを発行し、A に渡します。A はこのトークンを示すことで、許された範囲に限ってリソース D にアクセスできます。見分けるときは、トークンを出すのがどちらのサービスか、証明書をやり取りする仕組みかどうかに注目します。

ほかの選択肢はなぜ違うのか

• アWeb サービス A が，アクセストーク…：Web サービス A はリソースにアクセスしたい側であり、アクセストークンは受け取って使う立場です。A が自分でトークンを作っても、B にあるリソースへの許可にはなりません。
• イWeb サービス A が，利用者 C の…：OAuth 2.0 は、利用者のデジタル証明書を送って権限を得る仕組みではありません。A から B へ利用者 C の証明書を送るという手順は、この流れに含まれていません。
• エWeb サービス B が，利用者 C の…：証明書は持ち主の身元を示すものであり、使える範囲を限って権限を貸す道具ではありません。B から A へ利用者 C の証明書を渡しても、限定的な権限の受け渡しにはなりません。