OAuth 2.0の認可フロー

OAuth 2.0の役割関係を整理しましょう。 ・利用者A：リソースオーナー（情報のもち主） ・リソースB：保護されたリソース（データ） ・WebサービスC：リソースサーバ 兼 認可サーバ ・WebサービスD：クライアント（サードパーティアプリ） OAuth 2.0の認可フローでは、利用者Aがアクセスを許可（認可）すると、 認可サーバ（WebサービスC）が「アクセストークン」を発行し、それをクライアント（WebサービスD）に渡します 。WebサービスDはこのアクセストークンを提示することで、リソースBへの限定されたアクセスが可能になります。 したがって、アクセストークンを発行するのは認可サーバである「WebサービスC」です（アが正解）。デジタル証明書のやり取りはOAuthの主たる認可フローの動作ではありません。

利用者が所有するリソース Bが, Web サービス C上にある。OAuth 2.0において、利用者Aの認可の下、Web サービスDからリソースBへの限定されたアクセスを可能にするときのプロトコルの動作はどれか。ここでWeb サービスCは、認可サーバを兼ねているものとする。

出典令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問16
ア
Web サービスCが、アクセストークンを発行する。
イ
Web サービスCが、利用者Aのデジタル証明書を Web サービスDに送信する。
ウ
Web サービスDが、アクセストークンを発行する。
エ
Web サービスDが、利用者Aのデジタル証明書を Web サービスCに送信する。