情報セキュリティマネジメント試験情報＆徹底解説

平成２９年春期、問４６の肢４の解説ですが
過去問道場では
エ、４０１（Unauthorized ）とありますが、
情報セキュリティマネジメント過去問題集インプレスでは、４０３Forbidden とあります。

どちらが正しいのでしょうか。

401エラーと403エラーは、どちらもクライアントに帰する理由によりアクセス拒否を示すエラーコードですが以下のような違いがあると認識しています。

[401エラー]
HTTTPのベーシック認証が必要なリソースに不正なユーザ名、またはパスワードでアクセスされた、または必要な認証情報を欠けていることによる拒否

[403エラー]
ベーシック認証、フォーム認証において、権限を認可できない認証情報（IPアドレスを含む）でアクセスされたことによる拒否

つまりアクセス拒否の理由により、以下のようなステータスコードが返されるべきではないかと考えます。

・ユーザ名が存在しないなどでログインできない → 401エラー
・認証情報は妥当だがリソースに対するアクセス権限がない → 403エラー

この設問では、「利用者IDが見つからず，ログインが拒否された。」ので401エラーが妥当であると判断いたしました。

>>管理人様
ご丁寧に解説までして下さりありがとうございます。
とても分かりやすいです。ありがとうございます。

No.2の投稿文ですが、[401エラー]の説明内に以下の誤りがありましたので訂正いたします。

× HTTTP
○ HTTP