OAuth 2.0とは？おーおーす
OAuth 2.0とは、利用者が自分のID・パスワードを第三者のアプリケーションへ渡すことなく、リソースへのアクセス権限だけを委譲するための認可の枠組み。認可サーバがアクセストークンを発行し、クライアントはそれを提示してリソースサーバのAPIを利用する。トークンには範囲（スコープ）と有効期限を付けられる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
外部サービスに自分のデータを使わせたいとき、以前はIDとパスワードを預けるしかなく、預けた側は全権限を得たうえに利用者はあとから取り消せなかった。「何を・どこまで・いつまで許すか」を分けて渡せる仕組みとして設計されたのがOAuthである。支援士では、委譲の粒度と、トークンの発行元・提示先の関係を設計として問われる。
具体例
写真印刷サービスにGoogleドライブの特定フォルダの読取りだけを許す、会計ソフトが銀行のAPIから明細の取得だけを行う、といった連携がこれにあたる。現在の推奨フローは認可コードグラントにPKCEを併用する形で、スマートフォンアプリでも同じ形が使われる。
試験での引っ掛け
OAuth 2.0は認可であって認証ではない。「誰であるか」を確かめる用途には、OAuth 2.0を拡張しIDトークンを追加したOpenID Connectを使う。トークンを発行するのは認可サーバであり、リソースサーバではない。またリダイレクトURIの検証を緩めると、トークンを攻撃者のサイトへ渡す経路になる。
関連用語
出た過去問
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
特定の利用者が所有するリソースが，WebサービスA上にある。OAuth 2.0において，その利用者の認可の下，WebサービスBからそのリソースへの限定されたアク…
正解：WebサービスAが，アクセストークンを発行する。
要点：OAuthはリソース側がアクセストークンを発行する
OAuth 2.0では、リソースを持つ側（ここではWebサービスA）の認可サーバが、利用者の同意を得たうえでアクセストークンを発行します。WebサービスBはそのトークンを提示して限定された範囲のリソースにアクセスするため、利用者の資格情報をBに渡さずに済みます。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
OAuth 2.0に関する記述のうち、適切なものはどれか。
正解：認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。
要点：OAuth2.0は資格情報を渡さず権限だけを委譲する認可の仕組み
OAuth 2.0は、リソースの持ち主が自分の資格情報をサービスに渡すことなく、限定した権限だけを第三者のアプリケーションに委譲するための認可のプロトコルである。リソースオーナーの同意を受けて認可サーバがアクセストークンを発行し、クライアントはそのトークンを提示してリソースサーバへアクセスする。利用者が誰であるかを確かめる認証の仕組みではなく、認証まで扱う場合はOpenID Connectを重ねて用いる。
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
利用者Aが所有するリソースBが,WebサービスC上にある。OAuth 2.0において,利用者Aの認可の下,WebサービスDからリソースBへの限定されたアクセスを…
正解：WebサービスCが,アクセストークンを発行する。
要点：OAuth2.0では認可サーバがアクセストークンを発行する
OAuth 2.0では、リソース所有者（利用者A）の認可に基づき、認可サーバがクライアントに対してアクセストークンを発行する。本問では、リソースBを持つWebサービスCが認可サーバを兼ねているので、トークンを発行するのはWebサービスCである。WebサービスDはクライアントとして、受け取ったトークンを提示してリソースBへ限定的にアクセスする。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
OAuth 2.0に関する記述のうち、適切なものはどれか。
正解：認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。
要点：OAuth 2.0は認証ではなくアクセス権限を委譲する認可の仕組み
OAuth 2.0は認可（アクセス権限の委譲）のためのプロトコルです。リソースオーナーが同意すると、認可サーバはクライアントに対してアクセストークンを発行し、クライアントはそのトークンの範囲内でリソースサーバのAPIを利用できます。利用者本人であることを確認する認証は本来の目的ではなく、認証を扱いたい場合はOAuth 2.0を土台に拡張したOpenID Connectを用います。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。