OAuth 2.0とは？

OAuth 2.0の意味

利用者が自分の資格情報（ID・パスワード）を第三者アプリに渡すことなく、リソースへのアクセス権限だけを委譲するための認可の枠組み。認可サーバがアクセストークンを発行し、クライアントはそれを提示してリソースサーバのAPIを利用する。

OAuth 2.0の具体例

写真印刷サービスに、クラウドストレージのパスワードを教えずに「特定フォルダの読取りだけ」を許可する。認可コードグラント＋PKCEが現在の推奨フロー。

OAuth 2.0は試験でどう引っ掛けられる？

OAuth 2.0は認可であって認証ではない。「誰であるか」を確かめる用途にはOpenID Connect（OAuth 2.0を拡張しIDトークンを追加した仕様）を使う。またトークンを発行するのは認可サーバであり、リソースサーバではない。

OAuth 2.0と関連する用語

• OpenID Connect
• SAML

OAuth 2.0が出た過去問

• 特定の利用者が所有するリソースが，WebサービスA上にある。OAuth 2.0において，その利用者の認可の下，WebサービスBからそのリソースへの限定されたアク…

  正解：WebサービスAが，アクセストークンを発行する。

  要点：OAuthはリソース側がアクセストークンを発行する

  OAuth 2.0では、リソースを持つ側（ここではWebサービスA）の認可サーバが、利用者の同意を得たうえでアクセストークンを発行します。WebサービスBはそのトークンを提示して限定された範囲のリソースにアクセスするため、利用者の資格情報をBに渡さずに済みます。

  出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問14（IPA）

• OAuth 2.0に関する記述のうち、適切なものはどれか。

  正解：認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。

  要点：OAuth2.0は資格情報を渡さず権限だけを委譲する認可の仕組み

  OAuth 2.0は、リソースの持ち主が自分の資格情報をサービスに渡すことなく、限定した権限だけを第三者のアプリケーションに委譲するための認可のプロトコルである。リソースオーナーの同意を受けて認可サーバがアクセストークンを発行し、クライアントはそのトークンを提示してリソースサーバへアクセスする。利用者が誰であるかを確かめる認証の仕組みではなく、認証まで扱う場合はOpenID Connectを重ねて用いる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問14（IPA）

• 利用者Aが所有するリソースBが,WebサービスC上にある。OAuth 2.0において,利用者Aの認可の下,WebサービスDからリソースBへの限定されたアクセスを…

  正解：WebサービスCが,アクセストークンを発行する。

  要点：OAuth2.0では認可サーバがアクセストークンを発行する

  OAuth 2.0では、リソース所有者（利用者A）の認可に基づき、認可サーバがクライアントに対してアクセストークンを発行する。本問では、リソースBを持つWebサービスCが認可サーバを兼ねているので、トークンを発行するのはWebサービスCである。WebサービスDはクライアントとして、受け取ったトークンを提示してリソースBへ限定的にアクセスする。

  出典：令和6年度 秋期 情報処理安全確保支援士試験 am2 問16（IPA）

• OAuth 2.0に関する記述のうち、適切なものはどれか。

  正解：認可を行うためのプロトコルであり、認可サーバが、利用者（リソースオーナー）の許可を得て、サービス（クライアント）に対し、適切な権限を付与するためのものである。

  要点：OAuth 2.0は認証ではなくアクセス権限を委譲する認可の仕組み

  OAuth 2.0は認可（アクセス権限の委譲）のためのプロトコルです。リソースオーナーが同意すると、認可サーバはクライアントに対してアクセストークンを発行し、クライアントはそのトークンの範囲内でリソースサーバのAPIを利用できます。利用者本人であることを確認する認証は本来の目的ではなく、認証を扱いたい場合はOAuth 2.0を土台に拡張したOpenID Connectを用います。

  出典：令和7年度 春期 情報処理安全確保支援士試験 am2 問16（IPA）