クラウドセキュリティの評価において、CSP（クラウドプロバイダ）と利用者の責任分界点を明確にするために参照すべきモデルはどれか。

OAuth 2.0の「Authorization Code Grant」フローにおいて、認可コード（Authorization Code）をアクセストークンと交換する際、クライアントシークレットを使用する理由はどれか。