← 学習メニュー
CCAR-P 練習問題 22
CCAR-P
遠隔の MCP サーバーの設計書では、最初の接続時にだけ利用者を認証し、以後は URL に付けたセッション ID で利用者を識別することになっています。この URL は、アクセスログや監視のツールにも記録されます。セキュリティの観点で最も重大な問題と対策はどれですか。
スポンサーリンク
選択肢を押して回答
正解と解説
正解：A
判断のポイント
遠隔の MCP サーバーは、受け取るすべてのリクエストで認可を検証します。セッション ID は利用者の認証に使いません。
A. セッション ID が漏れると他人になりすませるので、毎回のリクエストで認可のトークンを検証する（正解）
セッション ID を認証の代わりに使うと、漏れたときに乗っ取られます。MCP のセキュリティの指針でも、受け取るすべてのリクエストを検証し、セッションを認証に使わないことを求めています。
B. 社内のネットワークからしか接続できないので、問題はない（不正解）
社内のログや監視のツールを通じて漏れる経路が残ります。
C. セッション ID の桁数を増やし、推測されにくくすれば十分である（不正解）
推測は難しくなっても、ログなどから漏れる問題は解決しません。
D. セッション ID を毎日変えれば、漏れても問題は小さい（不正解）
有効な間は乗っ取りが可能で、根本の対策になりません。
出題範囲：CCAR-P 分野3「システム統合」・項目3.2 認証・認可の要件からセキュリティの穴を見つける
参考資料（公式ドキュメント）
公開資料をもとにした独自解説です。本番の問題・難易度・合否を再現するものではありません。