← 学習メニュー
CCAR-P 練習問題 21
CCAR-P
社内チャットのメッセージを要約するための MCP サーバーの設計書では、チャットのサービスに OAuth で接続する際、メッセージの読み取りに加えて、投稿・削除・チャンネルの管理を含む全権限のスコープを求めています。用途は要約のための読み取りだけです。設計の見直しとして最も適切なのはどれですか。
スポンサーリンク
選択肢を押して回答
正解と解説
正解：D
判断のポイント
認可のスコープは用途に必要な最小限にします。プロンプトによる禁止や事後の記録は、過剰な権限の代わりになりません。
A. 全権限のまま、システムプロンプトで「投稿や削除はしないこと」と指示する（不正解）
権限が残る限り、指示が破られたときに実行できてしまいます。
B. 将来の機能追加に備えて、今のうちに全権限を取得しておく（不正解）
現在の用途に不要な権限を持つことで、被害の範囲が広がります。
C. 全権限のまま、操作の記録を残して後から確認する（不正解）
記録は事後の調査には役立ちますが、被害を防ぐことにはなりません。
D. 読み取りに必要なスコープだけを求め、投稿などが必要になれば承認つきの別の経路にする（正解）
認可は最小権限で設計します。不要な権限は、プロンプトインジェクションなどでツールが悪用されたときの被害を広げます。
出題範囲：CCAR-P 分野3「システム統合」・項目3.2 認証・認可の要件からセキュリティの穴を見つける
参考資料（公式ドキュメント）
公開資料をもとにした独自解説です。本番の問題・難易度・合否を再現するものではありません。