解説

OAuth 2.0は「認可（Authorization）」のためのフレームワークです。「認証」ではない点が最重要ポイントです。OAuth 2.0の仕組み：リソースオーナー（ユーザー）が認可サーバに許可を与える → 認可サーバがクライアント（アプリ）にアクセストークンを発行する → クライアントはアクセストークンを使ってリソースサーバのAPIを呼び出す。例えば「Twitterアカウントで外部アプリにツイート権限だけを付与する」のがOAuth 2.0です。ユーザーのパスワードをアプリに渡さずに、特定の権限のみを委譲できます。「認証」にはOpenID Connect（OAuth 2.0の拡張）が使われます。選択肢bの「認可サーバがリソースオーナーの許可を得てクライアントに適切な権限を付与する」が正確な説明です。

なぜ他の選択肢は違うのか

選択肢 ア

「認可サーバがアクセスしてきた者が本人かどうかを確認する」は「認証」の説明です。OAuth 2.0の認可サーバは本人確認（認証）を主目的としておらず、権限委譲（認可）が主目的です。

選択肢 ウ

「認証を行うためのプロトコルで、認証サーバが本人かどうか確認する」はOAuth 2.0ではなくOpenID ConnectまたはKerberosなどの認証プロトコルの説明です。OAuth 2.0は認可フレームワークです。

選択肢 エ

「認証を行うためのプロトコルで、認証サーバがクライアントに権限を付与する」も誤りです。処理内容（権限付与）はOAuth 2.0に近いですが「認証プロトコル」という説明が誤りです。

解くときのポイント

OAuth 2.0＝「認可（Authorization）」フレームワーク。認証（Authentication）ではない。認証にはOpenID Connect（OIDC）を使う。OAuthのキーワード：「リソースオーナーの許可」「アクセストークン」「権限委譲」。「認証か認可か」を問う設問では特に注意。