Questão de Arquitetura de Software — Segurança da Informação — FCC 2023

OAuth 2.0: Papéis (Atores) no Fluxo de Autorização

Gabarito: letra A. OAuth 2.0 define quatro papéis principais, conforme especificação RFC 6749: Resource Owner, Client, Resource Server e Authorization Server. É exatamente essa composição que a alternativa correta apresenta. As demais alternativas incluem termos que não fazem parte da especificação ou trocam nomes, como “Authorization Agent”, “Identity Provider”, “Authentication Server”, “End User” (que é sinônimo de Resource Owner, mas não é o termo oficial do papel), entre outros.

A banca cobra o conhecimento dos atores canônicos do OAuth 2.0, que são:

• Resource Owner (Proprietário do Recurso): a entidade que pode conceder acesso a um recurso protegido (geralmente o usuário final).

• Client (Cliente): a aplicação que faz as requisições de acesso protegido em nome do Resource Owner.

• Resource Server (Servidor de Recursos): o servidor que hospeda os recursos protegidos e aceita e responde a requisições com tokens de acesso.

• Authorization Server (Servidor de Autorização): o servidor que emite tokens de acesso ao Client após autenticar o Resource Owner e obter sua autorização.

Alternativa A — ✅ Correta ⟵ GABARITO

Lista exatamente os quatro papéis definidos pelo OAuth 2.0: Resource Owner, Client, Resource Server e Authorization Server. Não há erro.

Alternativa B — ❌ Incorreta

Substitui “Resource Owner” por “End User” (que é um conceito próximo, mas o termo oficial é Resource Owner) e troca “Resource Server” por “Authentication Server” (que não é um papel do OAuth 2.0 – o servidor de autenticação é parte do Authorization Server, mas não é um papel separado). Além disso, inclui “Authorization Agent”, que não existe no modelo.

Alternativa C — ❌ Incorreta

Inclui “Identity Provider” e “Authentication Server”, que não são papéis do OAuth 2.0. O Authorization Server pode atuar como Identity Provider, mas não é um papel distinto. “Authorization Agent” também não é um papel padrão.

Alternativa D — ❌ Incorreta

Mistura termos: “Protected Resource Server” (é o Resource Server, mas o nome correto é Resource Server), “Resource Agent” (inexistente), “Identity Provider” e “Authentication Server”. Não corresponde aos quatro papéis.

Alternativa E — ❌ Incorreta

Novamente usa “End User” (não é papel oficial), “Resource Provider” (não é papel) e “Authentication Server”. Apenas “Client” está correto, mas o conjunto está errado.