[https://www.youtube.com/watch?v=ZrLTQbo3mDo:embed:cite]
情報処理安全確保支援士試験の令和6年秋期午前II問16を題材に、難解なOAuth 2.0の仕組みをサクラ先輩が分かりやすく解説します。記号だらけで混乱しやすい「利用者A」や「WebサービスC」といった用語を、リソースオーナーやサーバといった具体的な役割に翻訳して整理する方法を学びます。アクセストークンの発行元が誰なのか、認可と認証の違いは何かといった重要ポイントを、合鍵と限定チケットの例え話を用いてクリアにする動画です。 この動画で学習する中心的な概念はOAuth 2.0という認可のフレームワークであり、これはユーザーのIDとパスワードを預けることなく、特定のデータへのアクセス権限だけをアプリに安全に委譲する仕組みです。動画では、家の合鍵を業者に渡す危険性と、掃除用具入れだけが開くカードキーを渡す安全性を対比させ、このカードキーこそがアクセストークンであると説明しています。学習において最も重要なのは登場人物の役割と名称の整理であり、データの持ち主である利用者Aはリソースオーナー、データを保管しトークンを発行するWebサービスCはリソースサーバ兼認可サーバ、そしてデータを利用するWebサービスDはクライアントと呼ばれます。特に試験で問われるアクセストークンの発行フローについては、クライアントであるWebサービスDが勝手にトークンを作るのではなく、リソースサーバであるWebサービスCが発行して渡すという矢印の方向を正確に理解することが正解への鍵となります。誤答の選択肢として提示されるデジタル証明書の送信については、それはPKIや相互認証の話であって権限委譲を目的とするOAuthの動作としては不適切であり、またWebサービスDが自分でトークンを発行してしまうとそれは単なる偽造チケットになってしまうため、正しい発行元を特定する視点が求められます。また、混同しやすい概念として認証と認可の違いがあり、認証は「あなたは誰か」を確認する手続きであるのに対し、認可は「何をする権限があるか」を与える手続きであるため、OAuth 2.0は基本的に認可のための仕組みであることを明確に区別する必要があります。さらに動画の終盤では将来的な技術動向にも触れており、セキュリティ強化のために古いインプリシットフローが廃止されPKCEが必須化されるOAuth 2.1への移行や、よりきめ細かな権限交渉が可能になる次世代プロトコルGNAPといったキーワードが登場します。試験対策としては基本の役割分担を押さえることが先決ですが、実務を見据えた知識としてこれらの新しいセキュリティ要件もあわせてインプットしておくことが推奨されています。
