JP2005346571A - Authentication system and authentication method - Google Patents

Authentication system and authentication method Download PDF

Info

Publication number
JP2005346571A
JP2005346571A JP2004167539A JP2004167539A JP2005346571A JP 2005346571 A JP2005346571 A JP 2005346571A JP 2004167539 A JP2004167539 A JP 2004167539A JP 2004167539 A JP2004167539 A JP 2004167539A JP 2005346571 A JP2005346571 A JP 2005346571A
Authority
JP
Japan
Prior art keywords
authentication
request
information
server
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2004167539A
Other languages
Japanese (ja)
Inventor
Takashi Kawakami
隆 川上
Masaru Makita
勝 巻田
Koichi Nakahara
鉱一 中原
Daisuke Inoue
大輔 井上
Daisuke Tanaka
大介 田中
Yasuyuki Tagami
泰之 田上
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Canon Inc
Original Assignee
Canon Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Canon Inc filed Critical Canon Inc
Priority to JP2004167539A priority Critical patent/JP2005346571A/en
Publication of JP2005346571A publication Critical patent/JP2005346571A/en
Pending legal-status Critical Current

Links

Images

Abstract

<P>PROBLEM TO BE SOLVED: To provide an authentication system and an authentication method allowing an authentication process of a user in each application server even when an authentication server providing an environment of single sign-on does not function. <P>SOLUTION: An authentication agent 222 requests an authentication server system 106 to issue authentication information for authenticating the user, and authenticates the user on the basis of the authentication information when obtaining the authentication information from the authentication server system 106 according to the request. A Web application part 223 provides service according to a request to a client computer 101 of the user authenticated by the authentication agent 222. When an authentication server stops, the authentication server system 106 notifies the application server 102 of stop information. Thereby, the application server 102 requires information necessary for the authentication to the client computer 101. <P>COPYRIGHT: (C)2006,JPO&NCIPI

Description

本発明は、ネットワークを介してＷｅｂアプリケーションを利用する利用者の認証を行う認証システム及び認証方法に関するものである。   The present invention relates to an authentication system and an authentication method for authenticating a user who uses a Web application via a network.

従来、利用者が利用者端末よりネットワークを介してアプリケーションサーバにログインする時には、アプリケーションサーバは、あらかじめ利用者に対して発行したユーザＩＤとパスワードを参照して、ログイン時に利用者端末から受信したユーザＩＤ及びパスワードが参照したものと一致するか否かを検証し、一致すれば利用者を認証し、そのログインを許可していた。   Conventionally, when a user logs in to an application server from a user terminal via a network, the application server refers to the user ID and password issued to the user in advance, and the user received from the user terminal at the time of login It is verified whether the ID and password match those referenced, and if they match, the user is authenticated and the login is permitted.

また、複数のアプリケーションサーバを利用する時に、それらのうちの一つにログインが許可されることで他のアプリケーションサーバにも自動的にログインが許可されるＳＳＯ（シングルサインオン）と呼ばれる機能がある。   In addition, when using a plurality of application servers, there is a function called SSO (single sign-on) in which one of them is allowed to log in, and other application servers are automatically allowed to log in. .

一般的に、ＳＳＯを実現するためには、ユーザＩＤ及びパスワードを集約的に管理し、一元的に利用者を認証する認証サーバが用いられている。特に、ＳＳＯに参加するアプリケーションサーバの各々が異なるインターネットドメインに属する場合、ユーザＩＤ及びパスワードなどの認証情報を共有するために認証サーバを利用することが必須となっていた（例えば、特許文献１参照。）。   Generally, in order to realize SSO, an authentication server that centrally manages user IDs and passwords and centrally authenticates users is used. In particular, when each of application servers participating in SSO belongs to different Internet domains, it is essential to use an authentication server in order to share authentication information such as a user ID and a password (see, for example, Patent Document 1). .)

特開平０９−０８１５１８号公報JP 09-081518 A

しかしながら、上述した認証システムにおいては、アプリケーションサーバが認証サーバを利用できなくなると、ユーザを全く認証できなくなってしまうため、他のアプリケーションサーバとのＳＳＯを実現できないだけでなく、個々のアプリケーションサーバも利用できなくなってしまうという問題がある。例えば、運用者が認証サーバの定期的なメンテナンスを行う場合や、認証サーバが故障した場合や、認証サーバとアプリケーションサーバとの間での通信障害があった場合などに、アプリケーションサーバは認証サーバを利用できなくなる。   However, in the above-described authentication system, if the application server cannot use the authentication server, the user cannot be authenticated at all. Therefore, SSO with other application servers cannot be realized, and individual application servers are also used. There is a problem that it will not be possible. For example, when an operator performs regular maintenance of the authentication server, when the authentication server fails, or when there is a communication failure between the authentication server and the application server, the application server It becomes unavailable.

本発明は、上述した事情を考慮してなされたもので、シングルサインオンの環境を実現する認証サーバが機能しなくなった場合でも、各アプリケーションサーバにおいて利用者の認証処理を可能とすることができる認証システム及び認証方法を提供することを目的とする。   The present invention has been made in consideration of the above-described circumstances, and even when an authentication server that realizes a single sign-on environment stops functioning, it is possible to perform user authentication processing in each application server. An object is to provide an authentication system and an authentication method.

この発明は、上述した課題を解決すべくなされたもので、本発明による認証システムにおいては、ネットワークを介して利用者端末へ種々のサービスを提供する複数のアプリケーションサーバと、前記サービスの利用を要求する前記利用者端末の利用者の認証を行う認証サーバシステムとを備える認証システムであって、前記アプリケーションサーバは、前記ネットワークを介して前記利用者端末からサービスの要求を受信する受信手段と、前記受信手段がサービスの要求を受信した場合に、前記利用者端末経由で前記認証サーバシステムに利用者の認証を行うための認証情報を発行するよう依頼する認証情報依頼手段と、前記認証情報依頼手段の依頼に応じて前記認証サーバシステムから前記利用者端末経由で認証情報を得た場合に、前記認証情報を基に利用者の認証を行う認証手段と、前記認証手段により認証された利用者の利用者端末に前記要求に応じたサービスを提供するサービス提供手段とを具備し、前記認証サーバシステムは、前記認証情報に関する処理を行う認証サーバと、前記アプリケーションサーバの前記認証情報依頼手段からの前記依頼を前記利用者端末経由で受信する受信手段と、前記受信手段の前記依頼の受信に応じて前記認証サーバが停止しているか否かを判断する停止判断手段と、前記停止判断手段において前記認証サーバが停止していると判断した場合には、停止情報を前記依頼の元となるアプリケーションサーバへ通知する通知手段と、前記停止判断手段が停止していないと判断した場合には、前記受信手段が受信した前記依頼を前記認証サーバへ伝達する伝達手段とを具備し、前記認証サーバは、前記伝達手段により伝達された前記依頼に応じて前記認証情報を発行する認証情報発行手段と、前記認証情報発行手段が発行した前記認証情報を前記依頼の元となる前記アプリケーションサーバへ前記利用者端末経由で送信する送信手段とを具備し、前記アプリケーションサーバの前記認証情報依頼手段は、前記停止情報を受信した場合には前記利用者端末へ認証に必要な情報を要求し、前記認証手段は、前記情報の要求に応じて前記利用者端末から得た前記認証に必要な情報を基に利用者の認証を行うことを特徴とする。   The present invention has been made to solve the above-described problems. In the authentication system according to the present invention, a plurality of application servers for providing various services to a user terminal via a network and the use of the services are requested. An authentication server system that authenticates a user of the user terminal, wherein the application server receives a service request from the user terminal via the network; and Authentication information requesting means for requesting the authentication server system to issue authentication information for authenticating a user via the user terminal when the receiving means receives a service request; and the authentication information requesting means When obtaining authentication information from the authentication server system via the user terminal in response to the request, Authentication means for authenticating a user based on certificate information; and service providing means for providing a service in response to the request to a user terminal of the user authenticated by the authentication means, the authentication server system An authentication server that performs processing related to the authentication information, a receiving unit that receives the request from the authentication information requesting unit of the application server via the user terminal, and in response to reception of the request of the receiving unit Stop determination means for determining whether or not the authentication server is stopped; and when the stop determination means determines that the authentication server is stopped, stop information is sent to the application server that is the source of the request. When it is determined that the notifying means for notifying and the stop determining means are not stopped, the request received by the receiving means is sent to the authentication server. A communication means for transmitting, wherein the authentication server issues authentication information issuing means for issuing the authentication information in response to the request transmitted by the transmitting means, and the authentication information issued by the authentication information issuing means. Transmitting means for transmitting via the user terminal to the application server that is the source of the request, and the authentication information requesting means of the application server to the user terminal when receiving the stop information Information required for authentication is requested, and the authentication means authenticates the user based on the information required for the authentication obtained from the user terminal in response to the request for the information.

また、本発明による認証方法においては、ネットワークを介して利用者端末へ種々のサービスを提供する複数のアプリケーションサーバと、前記サービスの利用を要求する前記利用者端末の利用者の認証を行う認証サーバシステムとを備える認証システムを利用した認証方法であって、前記ネットワークを介して前記利用者端末からサービスの要求を受信する受信ステップと、前記受信ステップでサービスの要求を受信した場合に、前記利用者端末経由で前記認証サーバシステムに利用者の認証を行うための認証情報を発行するよう依頼する認証情報依頼ステップと、前記認証情報依頼ステップの依頼に応じて前記認証サーバシステムから前記利用者端末経由で認証情報を得た場合に、前記認証情報を基に利用者の認証を行う第１の認証ステップと、前記認証サーバシステムから認証サーバの停止情報を受信した場合には前記利用者端末へ認証に必要な情報を要求する要求ステップと、前記要求ステップの要求に応じて前記利用者端末から得た前記認証に必要な情報を基に利用者の認証を行う第２の認証ステップと、前記第１の認証ステップまたは前記第２の認証ステップにより認証された利用者の利用者端末に前記要求に応じたサービスを提供するサービス提供ステップとを前記アプリケーションサーバにより行い、前記アプリケーションサーバの前記認証情報依頼ステップによる前記依頼を前記利用者端末経由で受信する受信ステップと、前記受信ステップでの前記依頼の受信に応じて認証サーバが停止しているか否かを判断する停止判断ステップと、前記停止判断ステップにおいて前記認証サーバが停止していると判断した場合には、停止情報を前記依頼の元となるアプリケーションサーバへ通知する通知ステップと、前記停止判断ステップで停止していないと判断した場合には、前記受信ステップで受信した前記依頼を前記認証サーバへ伝達する伝達ステップと、前記伝達ステップにより伝達された前記依頼に応じて前記認証情報を発行する認証情報発行ステップと、前記認証情報発行ステップで発行した前記認証情報を前記依頼の元となる前記アプリケーションサーバへ前記利用者端末経由で送信する送信ステップとを前記認証サーバシステムにより行うことを特徴とする。   In the authentication method according to the present invention, a plurality of application servers that provide various services to a user terminal via a network, and an authentication server that authenticates the user of the user terminal that requests use of the service An authentication method using an authentication system comprising: a receiving step for receiving a service request from the user terminal via the network; and when the service request is received in the receiving step, An authentication information requesting step for requesting the authentication server system to issue authentication information for authenticating a user via a user terminal, and from the authentication server system to the user terminal in response to a request of the authentication information requesting step A first authentication step for authenticating a user based on the authentication information when the authentication information is obtained via And a requesting step for requesting the user terminal for information required for authentication when receiving authentication server stop information from the authentication server system, and obtaining from the user terminal in response to the request of the requesting step. A second authentication step for authenticating a user based on the information necessary for the authentication, and the user terminal of the user authenticated in the first authentication step or the second authentication step in response to the request. A service providing step of providing a corresponding service by the application server, a receiving step of receiving the request by the authentication information requesting step of the application server via the user terminal, and a request of the request in the receiving step A stop determination step for determining whether or not the authentication server is stopped in response to reception, and the stop determination step If it is determined that the authentication server is stopped, a notification step of notifying the stop information to the application server that is the source of the request, and a determination that the stop is not stopped in the stop determination step, A transmission step of transmitting the request received in the reception step to the authentication server; an authentication information issuing step of issuing the authentication information in response to the request transmitted in the transmission step; and issuing in the authentication information issuing step The authentication server system performs a transmission step of transmitting the authentication information to the application server that is the source of the request via the user terminal.

また、本発明によるプログラムは、ネットワークを介して利用者端末へ種々のサービスを提供する複数のアプリケーションサーバと、前記サービスの利用を要求する前記利用者端末の利用者の認証を行う認証サーバシステムとを備える認証システム用のプログラムであって、前記ネットワークを介して前記利用者端末からサービスの要求を受信する受信ステップと、前記受信ステップでサービスの要求を受信した場合に、前記利用者端末経由で前記認証サーバシステムに利用者の認証を行うための認証情報を発行するよう依頼する認証情報依頼ステップと、前記認証情報依頼ステップの依頼に応じて前記認証サーバシステムから前記利用者端末経由で認証情報を得た場合に、前記認証情報を基に利用者の認証を行う第１の認証ステップと、前記認証サーバシステムから認証サーバの停止情報を受信した場合には前記利用者端末へ認証に必要な情報を要求する要求ステップと、前記要求ステップの要求に応じて前記利用者端末から得た前記認証に必要な情報を基に利用者の認証を行う第２の認証ステップと、前記第１の認証ステップまたは前記第２の認証ステップにより認証された利用者の利用者端末に前記要求に応じたサービスを提供するサービス提供ステップとを前記アプリケーションサーバにより行い、前記アプリケーションサーバの前記認証情報依頼ステップによる前記依頼を前記利用者端末経由で受信する受信ステップと、前記受信ステップでの前記依頼の受信に応じて認証サーバが停止しているか否かを判断する停止判断ステップと、前記停止判断ステップにおいて前記認証サーバが停止していると判断した場合には、停止情報を前記依頼の元となるアプリケーションサーバへ通知する通知ステップと、前記停止判断ステップで停止していないと判断した場合には、前記受信ステップで受信した前記依頼を前記認証サーバへ伝達する伝達ステップと、前記伝達ステップにより伝達された前記依頼に応じて前記認証情報を発行する認証情報発行ステップと、前記認証情報発行ステップで発行した前記認証情報を前記依頼の元となる前記アプリケーションサーバへ前記利用者端末経由で送信する送信ステップとを前記認証サーバシステムにより行うことをコンピュータに実行させるためのプログラムである。   In addition, a program according to the present invention includes a plurality of application servers that provide various services to a user terminal via a network, and an authentication server system that authenticates a user of the user terminal that requests use of the service. A program for an authentication system comprising: a receiving step for receiving a service request from the user terminal via the network; and when a service request is received in the receiving step, via the user terminal An authentication information requesting step for requesting the authentication server system to issue authentication information for authenticating a user, and authentication information from the authentication server system via the user terminal in response to a request of the authentication information requesting step A first authentication step for authenticating a user based on the authentication information, and When receiving stop information of the authentication server from the authentication server system, a request step for requesting information necessary for authentication to the user terminal, and the authentication obtained from the user terminal in response to the request of the request step A second authentication step for authenticating the user based on necessary information, and a service in response to the request to the user terminal of the user authenticated by the first authentication step or the second authentication step. A service providing step to be provided by the application server, a reception step of receiving the request by the authentication information requesting step of the application server via the user terminal, and in response to reception of the request in the receiving step In the stop determination step for determining whether the authentication server is stopped, and in the stop determination step, If it is determined that the certificate server is stopped, a notification step of notifying the request server of the stop information and a reception step if it is determined that the certificate server is not stopped in the stop determination step Transmitting the request received in step to the authentication server; issuing an authentication information in response to the request transmitted in the transmission step; issuing the authentication information in the authentication information issuing step A program for causing a computer to execute a transmission step of transmitting authentication information to the application server that is a source of the request via the user terminal by the authentication server system.

本発明による認証システム及び認証方法は、シングルサインオンの環境を実現する認証サーバが機能しなくなった場合でも、各アプリケーションサーバにおいて利用者の認証処理を可能とすることができる。   The authentication system and the authentication method according to the present invention can enable user authentication processing in each application server even when an authentication server that realizes a single sign-on environment stops functioning.

以下添付図面を参照して本発明の好適な実施形態について詳細に説明する。
まず、本発明の一実施形態である認証サーバシステムを含む認証システムの概略構成について説明する。本実施形態における認証システムは、認証サーバシステム自体に各アプリケーションに応じたユーザ情報を持たず、認証サーバシステムが各アプリケーションサーバにユーザ情報を問い合わせることで認証を行なうという分散系の認証システムである。ここで、アプリケーションサーバは、ネットワークを介して利用者端末（クライアントコンピュータ）にアプリケーションサービスを提供するサーバである。図１は、本発明の一実施形態である認証サーバシステムを含む認証システムの構成を模式的に示す図である。 Preferred embodiments of the present invention will be described below in detail with reference to the accompanying drawings.
First, a schematic configuration of an authentication system including an authentication server system according to an embodiment of the present invention will be described. The authentication system in this embodiment is a distributed authentication system in which the authentication server system itself does not have user information corresponding to each application, and the authentication server system performs authentication by inquiring user information from each application server. Here, the application server is a server that provides an application service to a user terminal (client computer) via a network. FIG. 1 is a diagram schematically showing a configuration of an authentication system including an authentication server system according to an embodiment of the present invention.

図１において、１００は、インターネットであり、種々のサービスが提供されている通信ネットワークである。インターネット１００上では、インターネットサービスプロバイダ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ， ＩＳＰ）などの接続手段を用いて世界規模でコンピュータが接続される。各コンピュータはＴＣＰ／ＩＰなどの接続プロトコルで通信可能であり、特にＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いたＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）サービスも利用可能である。   In FIG. 1, reference numeral 100 denotes the Internet, which is a communication network in which various services are provided. On the Internet 100, computers are connected on a global scale using connection means such as an Internet Service Provider (ISP). Each computer can communicate with a connection protocol such as TCP / IP. In particular, a WWW (World Wide Web) service using HTTP (Hypertext Transfer Protocol) can also be used.

図１は、インターネット１００上に接続されたクライアントコンピュータ１０１と、利用者がクライアントコンピュータ１０１を用いて利用できる複数のアプリケーションサーバ１０２、１０４が接続されている。また、認証システムの必要構成要素として、認証サーバシステム１０６がインターネット１００に接続されている。   In FIG. 1, a client computer 101 connected to the Internet 100 and a plurality of application servers 102 and 104 that can be used by a user using the client computer 101 are connected. An authentication server system 106 is connected to the Internet 100 as a necessary component of the authentication system.

ここで、認証サーバシステム１０６は、アプリケーションサーバ１０２、１０４が提供するアプリケーションサービスを利用する利用者の認証処理を行う。すなわち、ネットワーク１００を介して接続されたアプリケーションサーバ１０２、１０４と、認証サーバシステム１０６により本実施形態における認証システムが構築されている。また、アプリケーションサーバ１０２、１０４には、各々ユーザ情報データベースＡ・１０３、ユーザ情報データベースＢ・１０５が接続されている。ユーザ情報データベースＡ・１０３及びユーザ情報データベースＢ・１０５は、利用者に固有のユーザＩＤと、ユーザＩＤに関連付けられたパスワードなどの情報を格納する。   Here, the authentication server system 106 performs authentication processing of a user who uses an application service provided by the application servers 102 and 104. That is, the authentication server in this embodiment is constructed by the application servers 102 and 104 connected via the network 100 and the authentication server system 106. Further, user information databases A and 103 and user information databases B and 105 are connected to the application servers 102 and 104, respectively. The user information database A • 103 and the user information database B • 105 store information such as a user ID unique to the user and a password associated with the user ID.

また、利用者がアプリケーションサービスを利用するには、クライアントコンピュータ１０１よりブラウザにて「ｈｔｔｐ：／／ｗｗｗ．ｓｅｒｖｉｃｅＡ．ｃｏｍ／」のＵＲＬを指定することでアプリケーションサーバ１０２にアクセスしてアプリケーションサービスＡを利用することができる。同様に、クライアントコンピュータ１０１よりブラウザにて「ｈｔｔｐ：／／ｗｗｗ．ｓｅｒｖｉｃｅＢ．ｃｏｍ／」のＵＲＬを指定することでアプリケーションサーバ１０４にアクセスしてアプリケーションサービスＢを利用することができる。但し、利用者が上述したアプリケーションサービスＡ、Ｂを利用するには、認証システムにより認証される必要がある。   In order for the user to use the application service, the client computer 101 accesses the application server 102 by specifying the URL of “http://www.serviceA.com/” with a browser, and accesses the application service A. Can be used. Similarly, the application service B can be used by accessing the application server 104 by specifying the URL of “http://www.serviceB.com/” from the client computer 101 with a browser. However, in order to use the application services A and B described above, the user needs to be authenticated by the authentication system.

次に、図１に示した認証システムにおける機能構成について説明する。
図２は、図１に示した認証システムの機能構成を示す図である。クライアントコンピュータ１０１は、ユーザエージェント２１１を備える。ユーザエージェント２１１としてはＮｅｔｓｃａｐｅ（登録商標）、Ｍｏｚｉｌｌａ（登録商標）など一般的に入手可能なブラウザを利用することができる。ユーザエージェント２１１は、利用者が利用を所望するアプリケーションサーバ１０２にＨＴＴＰを主としたプロトコルで接続を行う。この際、利用者を識別するために、あるいは利用者の接続の可否を判断するために認証と呼ばれる処理を行う。矢印２６、２７に示すように、ユーザエージェント２１１は、アプリケーションサーバ１０２、あるいは認証サーバシステム１０６と通信を行い、アプリケーションサーバ１０２、あるいは認証サーバシステム１０６のいずれかによって認証を受ける。 Next, a functional configuration in the authentication system shown in FIG. 1 will be described.
FIG. 2 is a diagram showing a functional configuration of the authentication system shown in FIG. The client computer 101 includes a user agent 211. As the user agent 211, a generally available browser such as Netscape (registered trademark) or Mozilla (registered trademark) can be used. The user agent 211 connects to the application server 102 that the user desires to use using a protocol mainly based on HTTP. At this time, a process called authentication is performed to identify the user or to determine whether or not the user can connect. As indicated by arrows 26 and 27, the user agent 211 communicates with the application server 102 or the authentication server system 106 and is authenticated by either the application server 102 or the authentication server system 106.

尚、本実施形態におけるアプリケーションサーバ１０２は、インターネットドメイン「ｓｅｒｖｉｃｅＡ．ｃｏｍ」に属し、認証サーバシステム１０６はアプリケーションサーバ１０２とは異なるインターネットドメイン「ａｕｔｈＳｅｒｖｉｃｅ．ｃｏｍ」に属しているものとする。   In this embodiment, the application server 102 belongs to the Internet domain “serviceA.com”, and the authentication server system 106 belongs to an Internet domain “authService.com” different from the application server 102.

アプリケーションサーバ１０２は、Ｗｅｂサーバ部２２１、利用者の認証を行う認証エージェント２２２、Ｗｅｂアプリケーション部２２３から構成される。ユーザエージェント２１１から発せられたＨＴＴＰ要求は、Ｗｅｂサーバ部２２１によって受信、解析され、認証エージェント２２２における認証処理を通過できた場合（認証された場合）、Ｗｅｂアプリケーション部２２３に転送される。さらに認証エージェント部２２２はユーザ認証部２２２ａおよび認証中継処理部２２２ｂによって構成される。   The application server 102 includes a Web server unit 221, an authentication agent 222 that authenticates a user, and a Web application unit 223. The HTTP request issued from the user agent 211 is received and analyzed by the Web server unit 221 and transferred to the Web application unit 223 when the authentication process in the authentication agent 222 can be passed (when authenticated). Further, the authentication agent unit 222 includes a user authentication unit 222a and an authentication relay processing unit 222b.

ユーザ認証部２２２ａは、主に利用者が入力したユーザＩＤとパスワードをユーザ情報データベースＡ・１０３に問い合わせを行うことでユーザ認証する機能を有する。認証中継処理部２２２ｂは、認証サーバシステム１０６からの認証中継要求を受信し、同じ認証エージェント部２２２内のユーザ認証部２２２ａの提供する機能を用いて認証を行う。   The user authentication unit 222a has a function of performing user authentication mainly by inquiring the user information database A · 103 for the user ID and password input by the user. The authentication relay processing unit 222b receives the authentication relay request from the authentication server system 106, and performs authentication using the function provided by the user authentication unit 222a in the same authentication agent unit 222.

一般的にアプリケーションサーバは、利用者の情報を登録するために、アプリケーション毎に用意されたユーザ情報を格納するユーザ情報データベースを備える。本実施形態のユーザ情報データベースＡ・１０３は、市販あるいは無料で手に入れることができるリレーショナルデータベース管理サーバ上に配置され、データベースベンダーの独自プロトコル、あるいはＪＤＢＣ（Ｊａｖａ（登録商標） ＤａｔａＢａｓｅ Ｃｏｎｎｅｃｔｉｖｉｔｙ）など標準技術を用いた接続方式により、アプリケーションサーバ１０２に接続される。   In general, an application server includes a user information database that stores user information prepared for each application in order to register user information. The user information database A 103 of this embodiment is arranged on a relational database management server that can be obtained commercially or free of charge, and is a database vendor's original protocol, or a standard such as JDBC (Java (registered trademark) DataBase Connectivity). The application server 102 is connected by a connection method using technology.

図９は、ユーザ情報データベースＡ・１０３の構成例を示す図である。図９に示すように、ユーザ情報データベースＡ・１０３は、アプリケーションサービスＡを利用する利用者のユーザＩＤ（９０１）及び、そのユーザＩＤの認証に必要なパスワード（９０２）をはじめとした、利用者に固有の情報を格納する。具体的には、ユーザ情報データベースＡ・１０３は、例えばリレーショナルデータベース管理サーバによる管理の基で実現され、アプリケーションサーバ１０２からリレーショナルデータベース管理サーバに対してＳＱＬなどの問い合わせ言語を発行することによって、所望のユーザＩＤを持つ利用者のユーザ情報を取得・変更・削除することができる。   FIG. 9 is a diagram showing a configuration example of the user information database A · 103. As shown in FIG. 9, the user information database A / 103 includes user IDs (901) of users who use the application service A and passwords (902) necessary for authentication of the user IDs. Stores information specific to. Specifically, the user information database A103 is realized based on, for example, management by a relational database management server, and by issuing an inquiry language such as SQL from the application server 102 to the relational database management server, a desired information database A · 103 is obtained. User information of a user having a user ID can be acquired / changed / deleted.

また本実施形態の特徴の一つは、認証エージェント２２２において、認証のために二つのインターフェースを持つことである。先に説明した、ユーザエージェント２１１からの認証情報を受け取るユーザ認証部２２２ａはそのうちの一つである。他方のインターフェースは、認証中継処理部２２２ｂによって実現される。認証中継処理部２２２ｂは、後述する認証サーバシステム１０６からの認証中継要求を受信し、同じ認証エージェント２２２内のユーザ認証部２２２ａの提供する機能を用いて認証を行なう。本実施形態では、認証中継処理部２２２ｂは、一般の利用者からは利用されることなく、認証サーバシステム１０６からの要求のみを受け付ける。また、認証中継処理部２２２ｂと認証サーバシステム１０６間の通信（矢印２８）は、例えば、例えばＷ３Ｃ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ Ｃｏｎｓｏｒｔｉｕｍ）が定めるＳＯＡＰ（Ｓｉｍｐｌｅ Ｏｂｊｅｃｔ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）１．１によるＲＰＣ（Ｒｅｍｏｔｅ Ｐｒｏｃｅｄｕｒｅ Ｃａｌｌ）に応じた通信を行う。   Also, one of the features of this embodiment is that the authentication agent 222 has two interfaces for authentication. The user authentication unit 222a that receives the authentication information from the user agent 211 described above is one of them. The other interface is realized by the authentication relay processing unit 222b. The authentication relay processing unit 222 b receives an authentication relay request from the authentication server system 106 described later, and performs authentication using a function provided by the user authentication unit 222 a in the same authentication agent 222. In this embodiment, the authentication relay processing unit 222b accepts only a request from the authentication server system 106 without being used by a general user. The communication (arrow 28) between the authentication relay processing unit 222b and the authentication server system 106 is, for example, RPC (Remote Procedure Call) according to SOAP (Simple Object Access Protocol) 1.1 defined by, for example, W3C (World Wide Web Consortium). Perform communication according to

また、本実施形態の認証エージェント２２２は、後述する認証サーバシステム１０６内の認証サーバ３１０の稼動状態によって認証モードを、ユーザ認証部２２２ａを用いて自分自身で認証を行うローカル認証モードまたは、認証サーバ３１０と認証中継処理部２２２ｂを用いて認証を行うリモート認証モードのいずれかに設定し、その設定モードに関する情報を、認証モード記憶部２２２ｃに記憶する。   Further, the authentication agent 222 according to the present embodiment selects the authentication mode according to the operating state of the authentication server 310 in the authentication server system 106, which will be described later, and the local authentication mode in which the user authentication unit 222a authenticates itself or the authentication server 310 and the authentication relay processing unit 222b are set to any one of the remote authentication modes in which authentication is performed, and information on the setting mode is stored in the authentication mode storage unit 222c.

次に、図１、２に示した認証サーバシステム１０６の内部構成について説明する。図３は、図１、２に示した認証サーバシステム１０６の内部構成例を示す図である。図３に示すように認証サーバシステム１０６は、仮想ＩＰ提供装置３０１、認証サーバ３１０、代替サーバ（通知サーバ）３２０から構成される。   Next, the internal configuration of the authentication server system 106 shown in FIGS. FIG. 3 is a diagram showing an internal configuration example of the authentication server system 106 shown in FIGS. As shown in FIG. 3, the authentication server system 106 includes a virtual IP providing device 301, an authentication server 310, and an alternative server (notification server) 320.

仮想ＩＰ提供装置３０１は、認証サーバ３１０および代替サーバ３２０の前段に位置し、ユーザエージェント２１１および認証エージェント２２２から送信された認証サーバシステム１０６に対する処理要求は全て仮想ＩＰ提供装置３０１によって受信される。すなわち、図３には示していないが仮想ＩＰ提供装置３０１は、インターネット１００に接続されている。仮想ＩＰ提供装置３０１は、認証サーバ３１０の稼動状態を監視しており、認証サーバ３１０が稼動状態にある場合は、受け取った要求を認証サーバ３１０へ転送し、認証サーバ３１０が停止状態にある場合は受け取った要求を代替サーバ３２０へ転送する機能を持つ。   The virtual IP providing apparatus 301 is positioned in front of the authentication server 310 and the alternative server 320, and all processing requests for the authentication server system 106 transmitted from the user agent 211 and the authentication agent 222 are received by the virtual IP providing apparatus 301. That is, although not shown in FIG. 3, the virtual IP providing apparatus 301 is connected to the Internet 100. The virtual IP provision apparatus 301 monitors the operating state of the authentication server 310. When the authentication server 310 is in the operating state, the virtual IP providing apparatus 301 transfers the received request to the authentication server 310, and the authentication server 310 is in the stopped state. Has a function of transferring the received request to the alternative server 320.

認証サーバ３１０は、Ｗｅｂサーバ部３１１、ユーザ認証部３１３、認証中継要求部３１２から構成される。ユーザエージェント２１１からの認証要求は、Ｗｅｂサーバ部３１１によって、受信、解析されユーザ認証部３１３に転送される。本実施形態の特徴の一つは、認証サーバ３１０にユーザ情報のデータベースを持たないことであるため、認証サーバ３１０は、対象アプリケーションの認証エージェント（例えばアプリケーションサーバ１０２の認証エージェント２２２）に認証を依頼する。また、本実施形態の認証サーバ３１０において、ユーザ認証部３１３は、ユーザの認証を、認証中継要求部３１２に依頼し、さらに認証中継要求部３１２は、前述したＳＯＡＰによるＲＰＣに応じた通信（図２の矢印２８）により、認証エージェント２２２内の認証中継処理部２２２ｂに認証要求を行なう。   The authentication server 310 includes a web server unit 311, a user authentication unit 313, and an authentication relay request unit 312. The authentication request from the user agent 211 is received and analyzed by the Web server unit 311 and transferred to the user authentication unit 313. One of the features of the present embodiment is that the authentication server 310 does not have a user information database, and the authentication server 310 requests authentication of the target application (for example, the authentication agent 222 of the application server 102). To do. In the authentication server 310 of the present embodiment, the user authentication unit 313 requests the authentication relay request unit 312 to authenticate the user, and the authentication relay request unit 312 further performs communication according to the RPC by SOAP (see FIG. An authentication request is made to the authentication relay processing unit 222b in the authentication agent 222 by the arrow 28 in FIG.

代替サーバ３２０は、Ｗｅｂサーバ部３２１および認証サーバ停止通知部３２２から構成される。ユーザエージェント２１１および認証エージェント２２２からの処理要求は、Ｗｅｂサーバ部３２１によって受信、解析され認証サーバ停止通知部３２２へ転送される。認証サーバ停止通知部３２２は、要求が認証エージェント２２２からのものであった場合は認証サーバ３１０が停止している旨を通知し、要求がユーザエージェント２１１からのものであった場合は認証サーバ３１０が停止している旨を表す識別子を付加し、アプリケーションサーバ１０２へ処理要求をリダイレクト（ＨＴＴＰリダイレクト）する機能を持つ。この認証サーバ３１０が停止している旨を表す識別子は、例えばＵＲＬのパラメータとして付与される。また、認証サーバ３１０が停止している旨を表す識別子は、ＨＴＴＰのエラーコードであってもよい。   The alternative server 320 includes a Web server unit 321 and an authentication server stop notification unit 322. Processing requests from the user agent 211 and the authentication agent 222 are received and analyzed by the Web server unit 321 and transferred to the authentication server stop notification unit 322. The authentication server stop notification unit 322 notifies that the authentication server 310 is stopped when the request is from the authentication agent 222, and the authentication server 310 when the request is from the user agent 211. Has a function of redirecting the processing request to the application server 102 (HTTP redirect). An identifier indicating that the authentication server 310 is stopped is given as a URL parameter, for example. The identifier indicating that the authentication server 310 is stopped may be an HTTP error code.

このように、認証サーバ３１０が停止時にのみ要求を受け付け、認証サーバ３１０が停止している旨をアプリケーションサーバ１０２に通知する代替サーバ３２０を認証サーバシステム１０６内に有することで、認証サーバ３１０を利用したシングルサインオンを利用しながら、認証サーバ３１０が稼動できない場合には、アプリケーション１０２に認証処理を依頼する認証システムを構築することができる。また、上述したように認証エージェント２２２と認証サーバ３１０に用意された計２系統の認証経路を用意することにより、認証サーバ３１０を利用したＳＳＯを実現しつつも、アプリケーションサーバ１０２単独の認証に自動的に切り替えることが可能となり、アプリケーションサーバ１０２が提供するアプリケーションの利用率を高めることができる。尚、代替サーバ３２０は、予め登録された複数のアプリケーションサーバに対して認証サーバ３１０が停止している旨を通知する機能を更に備えてもよい。また、認証サーバ３１０は、停止した状態から稼動状態へ移行した際に、稼動状態であることを通知する稼動情報を、予め登録した複数のアプリケーションサーバへ通知する機能を備えてもよい。   In this way, the authentication server system 106 is used by having the alternative server 320 in the authentication server system 106 that accepts a request only when the authentication server 310 is stopped and notifies the application server 102 that the authentication server 310 is stopped. If the authentication server 310 cannot be operated while using the single sign-on, an authentication system that requests the application 102 to perform authentication processing can be constructed. In addition, as described above, by preparing a total of two authentication paths prepared in the authentication agent 222 and the authentication server 310, an SSO using the authentication server 310 is realized, and the application server 102 is automatically authenticated alone. Can be switched automatically, and the utilization rate of the application provided by the application server 102 can be increased. The alternative server 320 may further include a function of notifying the plurality of application servers registered in advance that the authentication server 310 is stopped. In addition, the authentication server 310 may have a function of notifying a plurality of pre-registered application servers of operation information for notifying the operation state when the authentication server 310 shifts from the stopped state to the operation state.

尚、図２に示すアプリケーションサーバ１０２は、図１に示した複数台のアプリケーションサーバ１０２、１０４のうち、任意の一台を便宜上示している。また、認証システムに含まれるアプリケーションサーバは、図１では２台であったが、これに限定されるものではなく、認証システムが任意の数のアプリケーションサーバを含む構成であってもよい。   The application server 102 shown in FIG. 2 shows an arbitrary one of the plurality of application servers 102 and 104 shown in FIG. 1 for convenience. Moreover, although the number of application servers included in the authentication system is two in FIG. 1, the configuration is not limited to this, and the authentication system may include an arbitrary number of application servers.

次に、本実施形態における認証システムにおける利用者の認証処理について図４〜図７及び図１０を用いて説明する。
まず、本実施形態の認証システムにおけるログインページを表示するか否かを判断する処理について説明する。図１０は、本実施形態におけるログインページを表示するか否かを判断する処理を示す図である。まず、ステップ１００１において、利用者が例えばブラウザを操作することにより、クライアントコンピュータ１０１上にインストールされたユーザエージェント２１１が、アプリケーションサーバ１０２に接続要求を送信する。この利用者によるブラウザの操作とは、例えばアプリケーションサーバ１０２がサービスを提供するＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）をブラウザ（ユーザエージェント２１１）に対して入力する操作である。ユーザエージェント２１１よって発信された接続要求は、アプリケーションサーバ１０２内にインストールされたＷｅｂサーバ２１１によって受信され、認証エージェント２２２内のユーザ認証部２２２ａに転送される。 Next, user authentication processing in the authentication system according to the present embodiment will be described with reference to FIGS.
First, processing for determining whether or not to display a login page in the authentication system of the present embodiment will be described. FIG. 10 is a diagram showing processing for determining whether or not to display a login page in the present embodiment. First, in step 1001, when the user operates a browser, for example, the user agent 211 installed on the client computer 101 transmits a connection request to the application server 102. The browser operation by the user is an operation of inputting, for example, a URL (Uniform Resource Locator) provided by the application server 102 to the browser (user agent 211). The connection request transmitted by the user agent 211 is received by the Web server 211 installed in the application server 102 and transferred to the user authentication unit 222 a in the authentication agent 222.

ユーザ認証処理部２２２ａでは、まずユーザエージェント２１１に対して認証情報の入力を要求する必要があるか否かを判断する。ユーザエージェント２１１に対して認証情報の要求が必要である場合、認証エージェント２２２は、例えば図１２−１のようなＨＴＭＬ記述データ１２００を送信することでクライアントコンピュータ１０１の画面に図１２−２に示すログインページ（ログインページ）１２１０を表示し、利用者に予め利用者登録時に決定したユーザＩＤとパスワードを入力するよう促す。すなわち、アプリケーションサーバ１０２は、必要に応じてユーザエージェント２１１に対してログインページ１２１０を提示するＨＴＭＬ記述データ１２００を送信する。   The user authentication processing unit 222a first determines whether or not it is necessary to request the user agent 211 to input authentication information. When a request for authentication information is required for the user agent 211, the authentication agent 222 transmits, for example, HTML description data 1200 as shown in FIG. 12-1 to the screen of the client computer 101 as shown in FIG. A login page (login page) 1210 is displayed, and the user is prompted to input a user ID and password determined in advance during user registration. That is, the application server 102 transmits HTML description data 1200 that presents the login page 1210 to the user agent 211 as necessary.

ユーザエージェント２１１は、受け取ったＨＴＭＬ記述データ１２００を基にログインページ１２１０を表示し、利用者に入力を促す。利用者は、記憶しているユーザＩＤとパスワードを入力し、ログインページ１２１０上に表示されている転送ボタン（図１２−２の「Ｓｕｂｍｉｔ」ボタン）を押すことで、アプリケーションサーバ１０２へのログインを試みる。アプリケーションサーバ１０２は、ログインページ１２１０に対して利用者が入力したユーザＩＤとパスワードの組を、図９に示したユーザ情報データベースＡ・１０３に格納されているユーザＩＤ（９０１）、パスワード（９０２）の組と照合することで、認証を行なう。   The user agent 211 displays a login page 1210 based on the received HTML description data 1200 and prompts the user for input. The user inputs the stored user ID and password, and presses the transfer button ("Submit" button in FIG. 12-2) displayed on the login page 1210, thereby logging in to the application server 102. Try. The application server 102 uses the user ID and password pair entered by the user for the login page 1210 as the user ID (901) and password (902) stored in the user information database A103 shown in FIG. Authentication is performed by collating with the pair.

次に、ステップ１００２において、ユーザエージェント２１１からの要求がログインページへの要求である場合は、認証エージェント２２２は、明示的なログイン要求を意味するため、条件によらずログインページを生成する（ステップ１００３）。具体的には、認証エージェント２２２は、図１２−１に示したようなＨＴＭＬ記述データ１２００を生成する。   Next, in step 1002, when the request from the user agent 211 is a request for a login page, the authentication agent 222 means an explicit login request, and thus generates a login page regardless of conditions (step 100). 1003). Specifically, the authentication agent 222 generates HTML description data 1200 as shown in FIG.

また、ステップ１００２において、明示的なログイン要求でない場合、認証エージェント２２２のユーザ認証部２２２ａは、利用者が既に認証済みであるか否かの判断、即ち、ログインページ１２１０を表示せずにアプリケーションを利用させて良いか否かの判断を、有効なセッションが存在するか否かで判断する（ステップ１００４）。本実施形態においては、ユーザ認証部２２２ａは、有効なセッションの存在確認処理としてＣｏｏｋｉｅ（クッキー）と呼ばれる情報を利用することで実現する。   In step 1002, if it is not an explicit login request, the user authentication unit 222a of the authentication agent 222 determines whether or not the user has already been authenticated, that is, the application is displayed without displaying the login page 1210. It is determined whether there is a valid session or not (step 1004). In the present embodiment, the user authentication unit 222a is realized by using information called cookie as a valid session existence confirmation process.

Ｃｏｏｋｉｅは、Ｗｅｂサーバ２２１とユーザエージェント２１１の間で、前回の接続状態を持続的に保持するための情報として広く用いられているものである。本実施形態では、セッションを識別する識別子をセッションＣｏｏｋｉｅとして保持する。セッションＣｏｏｋｉｅとして保持される識別子は、アプリケーションサーバ１０２とユーザエージェント２１１間に確立したセッションに対して一対一に生成されるセッションオブジェクトを一意に識別できる識別子であり、利用者が認証された際にセッションオブジェクトに認証済みであるという情報を付加することによって、それ以降の処理要求の際に有効なセッションの確認により認証済みであるか否かも確認することができる。セッションＣｏｏｋｉｅはユーザエージェント２１１が起動して初めてアプリケーションサーバ１０２にアクセスした応答に対して発行される。一般にＷｅｂアプリケーションでは利用者に対してログアウトボタンを設けており、利用者がこのログアウトボタンを押すことで、セッションを終了することができ、アプリケーションサーバ１０２上のセッションオブジェクトも破棄される。   Cookie is widely used as information for continuously maintaining the previous connection state between the Web server 221 and the user agent 211. In this embodiment, an identifier for identifying a session is held as a session cookie. The identifier held as the session cookie is an identifier that can uniquely identify a session object generated one-on-one with respect to a session established between the application server 102 and the user agent 211, and the session when the user is authenticated. By adding information indicating that the object has been authenticated, it is possible to confirm whether or not the object has been authenticated by confirming a valid session in subsequent processing requests. The session cookie is issued for a response that accesses the application server 102 for the first time after the user agent 211 is activated. In general, a web application provides a logout button for a user. When the user presses the logout button, the session can be terminated, and the session object on the application server 102 is also discarded.

次に、ステップ１００４において有効なセッション識別子が確認された場合、すでに認証済みの利用者として判断することで認証エージェント２２２の処理を終了し、Ｗｅｂアプリケーション部２２３へ処理要求を転送する（ステップ１００５）。   Next, when a valid session identifier is confirmed in step 1004, the processing of the authentication agent 222 is ended by determining as an already authenticated user, and the processing request is transferred to the web application unit 223 (step 1005). .

また、ステップ１００４において有効なセッション識別子が確認されない場合、認証エージェント２２２は、現在の認証モードがローカル認証モードであるか、リモート認証モードであるかを確認する（ステップ１００６）。認証モードは前述の通り、認証サーバ３１０の稼動状態によって変化し、認証エージェント２２２の認証モード記憶部２２２ｃによって記憶されている。このステップ１００６において認証モードがローカル認証モードであると確認された場合は、認証エージェント２２２はログインページ１２１０を表示するためのＨＴＭＬ記述データ１２００を生成してユーザエージェント２１１に対して送信する（ステップ１００３）。   If a valid session identifier is not confirmed in step 1004, the authentication agent 222 confirms whether the current authentication mode is the local authentication mode or the remote authentication mode (step 1006). As described above, the authentication mode changes depending on the operating state of the authentication server 310 and is stored in the authentication mode storage unit 222c of the authentication agent 222. If it is confirmed in step 1006 that the authentication mode is the local authentication mode, the authentication agent 222 generates HTML description data 1200 for displaying the login page 1210 and transmits it to the user agent 211 (step 1003). ).

一方、ステップ１００６において認証モードがリモート認証モードであると確認された場合は、認証エージェント２２２は認証サーバ３１０に対してユーザがログインしているか否かを判断するためにリモート認証確認処理に移る（ステップ１００７）。すでに認証サーバ３１０に対してログインが成立していれば、アプリケーションサーバ１０２に対してもログインを認めることでＳＳＯを実現することができる。   On the other hand, if it is confirmed in step 1006 that the authentication mode is the remote authentication mode, the authentication agent 222 proceeds to a remote authentication confirmation process to determine whether or not the user is logged in to the authentication server 310 ( Step 1007). If login to the authentication server 310 has already been established, SSO can be realized by allowing login to the application server 102 as well.

次に、図１０のステップ１００７におけるリモート認証確認処理について図４を用いて説明する。図４は、図１０のステップ１００７におけるリモート認証確認処理の詳細を示す図である。   Next, the remote authentication confirmation processing in step 1007 of FIG. 10 will be described with reference to FIG. FIG. 4 is a diagram showing details of the remote authentication confirmation processing in step 1007 of FIG.

まず、認証エージェント２２２はユーザエージェント２１１から受け取った要求に認証サーバ３１０の停止を表す識別子が含まれるか否かを確認する（ステップ４０１）。この識別子は、前述の代替サーバ３２０によって処理要求に付加されるものであり、認証サーバ３１０の稼動中はこの識別子が処理要求に含まれることはないため、処理要求に認証サーバ３１０の停止を表す識別子が含まれる場合は、認証モード記憶部２２２ｃの認証モードをローカル認証モードに変更し（ステップ４０２）、ログインページ生成処理に進む（ステップ４２０）。   First, the authentication agent 222 confirms whether or not the request received from the user agent 211 includes an identifier indicating the stop of the authentication server 310 (step 401). This identifier is added to the processing request by the above-described alternative server 320. Since this identifier is not included in the processing request while the authentication server 310 is in operation, the processing request represents the stop of the authentication server 310. If the identifier is included, the authentication mode of the authentication mode storage unit 222c is changed to the local authentication mode (step 402), and the process proceeds to the login page generation process (step 420).

一方、ステップ４０１において受け取った要求に認証サーバ３１０の停止を表す識別子が含まれない場合は、認証エージェント２２２は、受け取った要求に後述するＳＡＭＬ（Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ） Ａｒｔｉｆａｃｔが含まれているか否かを確認し（ステップ４０３）、要求にＳＡＭＬ Ａｒｔｉｆａｃｔも含まれていない場合は、ユーザエージェント２１１が既に認証サーバ３１０で認証されているか否かを確認する認証確認要求を発行する（ステップ４０５）。この認証確認要求は、認証サーバシステム１０６に対するリダイレクト要求をユーザエージェント２１１に発行することで実現される。   On the other hand, if the request received in step 401 does not include an identifier indicating the suspension of the authentication server 310, the authentication agent 222 determines whether or not the received request includes a security association markup language (SAML) described later. (Step 403), and if the request does not include SAML Artifact, an authentication confirmation request is issued to confirm whether or not the user agent 211 has already been authenticated by the authentication server 310 (Step 405). This authentication confirmation request is realized by issuing a redirect request for the authentication server system 106 to the user agent 211.

ステップ４０５の処理による認証サーバシステム１０６に対する処理要求は、前述の通り、仮想ＩＰ提供装置３０１によって受信される。処理要求を受信した仮想ＩＰ提供装置３０１は、認証サーバ３１０が稼動中であるか否かを確認し（ステップ４０９）、認証サーバ３１０が稼動中であった場合は処理要求を認証サーバ３１０へ転送することでステップ４１１へ移行し、認証サーバ３１０が停止中であると確認された場合は処理要求を代替サーバ３２０へ転送することでステップ４１７へ移行する。   The processing request to the authentication server system 106 by the processing in step 405 is received by the virtual IP provision apparatus 301 as described above. The virtual IP providing apparatus 301 that has received the processing request checks whether or not the authentication server 310 is in operation (step 409). If the authentication server 310 is in operation, the processing request is transferred to the authentication server 310. Thus, the process proceeds to step 411, and when it is confirmed that the authentication server 310 is stopped, the process request is transferred to the alternative server 320 and the process proceeds to step 417.

ステップ４０９において認証確認要求が代替サーバ３２０へ転送された場合は、要求はＷｅｂサーバ部３２１で受信、解析され、認証サーバ停止通知部３２２に転送される。これにより認証サーバ停止通知部３２２は、認証サーバ３１０の停止を表す識別子を処理要求に付加してユーザエージェント２１１をアプリケーションサーバ１０２へリダイレクトして処理を終了する（ステップ４１７）。ここで付加された識別子は前述の通り、ステップ４０１において認証エージェント２２２によって確認される。   If the authentication confirmation request is transferred to the alternative server 320 in step 409, the request is received and analyzed by the Web server unit 321 and transferred to the authentication server stop notification unit 322. As a result, the authentication server stop notification unit 322 adds an identifier indicating the stop of the authentication server 310 to the processing request, redirects the user agent 211 to the application server 102, and ends the processing (step 417). The identifier added here is confirmed by the authentication agent 222 in step 401 as described above.

ステップ４０９において認証確認要求が認証サーバ３１０へ転送された場合は、要求はＷｅｂサーバ部３１１によって受信、解析され、ユーザ認証処理部３１３へ転送される。これによりユーザ認証処理部３１３は、処理要求を受け取ると、認証サーバ３１０とユーザエージェント２１１の間で既に有効なセッションが確立しているか否かを判断する（ステップ４１１）。   If the authentication confirmation request is transferred to the authentication server 310 in step 409, the request is received and analyzed by the Web server unit 311 and transferred to the user authentication processing unit 313. As a result, when receiving the processing request, the user authentication processing unit 313 determines whether a valid session has already been established between the authentication server 310 and the user agent 211 (step 411).

セッションの確認は、アプリケーションサーバ１０２とユーザエージェント２１１間でのセッションと同じくセッションＣｏｏｋｉｅによって確認されるが、本実施形態では、認証サーバ３１０は、アプリケーションサーバ１０２とは異なるインターネットドメインに属するサーバとして構成されているため、アプリケーションサーバ１０２に対するセッションとは本質的に異なるセッションとして認識される。有効なセッションが確立している場合は、すでに認証サーバ３１０にログイン済みであると判断される。セッションの確立が確認できない場合は、認証サーバ３１０に対するログインが行なわれていない状況と判断し、後述するログイン処理に移る（ステップ４１３）。   The confirmation of the session is confirmed by the session cookie as in the session between the application server 102 and the user agent 211. In this embodiment, the authentication server 310 is configured as a server belonging to a different Internet domain from the application server 102. Therefore, it is recognized as a session that is essentially different from the session for the application server 102. If a valid session has been established, it is determined that the authentication server 310 has already been logged in. If the establishment of the session cannot be confirmed, it is determined that login to the authentication server 310 has not been performed, and the process proceeds to a login process described later (step 413).

認証サーバ３１０上で有効なセッションが確立された場合、アプリケーションサーバ１０２に対してログイン済みのユーザ名を一意に通知することが必要である。このための技術としては、標準化団体であるＯＡＳＩＳ（Ｏｒｇａｎｉｚａｔｉｏｎ ｆｏｒ ｔｈｅ Ａｄｖａｎｃｅｍｅｎｔ ｏｆ Ｓｔｒｕｃｔｕｒｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｔａｎｄａｒｄｓ）が策定しているＳＡＭＬを採用することが望ましい。ＯＡＳＩＳが発行する標準仕様書Ａｓｓｅｒｔｉｏｎｓ ａｎｄ Ｐｒｏｔｏｃｏｌ ｆｏｒ ｔｈｅ ＯＡＳＩＳ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ （ＳＡＭＬ） Ｖ１．１、およびＢｉｎｄｉｎｇｓ ａｎｄ Ｐｒｏｆｉｌｅｓ ｆｏｒ ＯＡＳＩＳ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ （ＳＡＭＬ） Ｖ１．１で詳細に述べられているので本実施形態では詳細に述べないが、認証サーバ３１０が認証した利用者の認証情報をアプリケーションサーバ１０２に対して通知する技術として利用することができる（ＳＡＭＬ Ａｒｔｉｆａｃｔ／Ｂｒｏｗｓｅｒ Ｐｒｏｆｉｌｅ）。   When a valid session is established on the authentication server 310, it is necessary to uniquely notify the user name of the user who has logged in to the application server 102. As a technology for this purpose, it is desirable to adopt SAML established by OASIS (Organization for the Advancement of Structured Information Standards), which is a standardization organization. Standard Specification Assessions and Protocol for the OASIS issued by OASIS Security Assessment Markup Language (SAML) V1.1, and Bindings and Profiles for LS Although not described in detail in the embodiment, it can be used as a technique for notifying the application server 102 of user authentication information authenticated by the authentication server 310 (SAML Artifact / Browser Profile).

以下、本実施形態に適用される、ＳＡＭＬ Ａｒｔｉｆａｃｔ／Ｂｒｏｗｓｅｒ Ｐｒｏｆｉｌｅについて図８を用いて簡単に説明する。図８は、本実施形態の認証システムにおいてＳＡＭＬを利用した認証処理例を示す図である。ＳＡＭＬ Ａｒｔｉｆａｃｔ／Ｂｒｏｗｓｅｒ Ｐｒｏｆｉｌｅでは、認証サーバ３１０は、利用者の認証に成功すると、ＳＡＭＬ ＳＳＯ Ａｓｓｅｒｔｉｏｎ（以下、Ａｓｓｅｒｔｉｏｎとする）と呼ばれるＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）で記述された認証情報を生成する。好適な例としてはＳＡＭＬ ＳＳＯ Ａｓｓｅｒｔｉｏｎは、アプリケーションサーバ１０２上での利用者のユーザＩＤを含む。   Hereinafter, the SAML Artifact / Browser Profile applied to the present embodiment will be briefly described with reference to FIG. FIG. 8 is a diagram showing an example of authentication processing using SAML in the authentication system of the present embodiment. In the SAML Artifact / Browser Profile, the authentication server 310 generates authentication information described in XML (extensible Markup Language) called SAML SSO Association (hereinafter referred to as “Assertion”) when the user is successfully authenticated. As a suitable example, the SAML SSO Association includes the user ID of the user on the application server 102.

また、認証サーバ３１０はＡｓｓｅｒｔｉｏｎ（認証情報）を生成するのと同時に、ＳＡＭＬ Ａｒｔｉｆａｃｔと呼ばれるＡｓｓｅｒｔｉｏｎと一対一に対応する短ストリングの識別子を発行する。発行されたＳＡＭＬ Ａｒｔｉｆａｃｔは、アプリケーションサーバ１０２の認証エージェント２２２にリダイレクトによって通知される（ステップ５、６）。リダイレクトによる接続要求を受け取ったアプリケーションサーバ１０２は接続要求に含まれているＳＡＭＬ Ａｒｔｉｆａｃｔを取り出し、ＳＡＭＬで定められるＳＯＡＰ上に実現されたプロトコルにより、Ａｓｓｅｒｔｉｏｎを要求する（ステップ７）。このとき、Ａｓｓｅｒｔｉｏｎ要求は、受け取ったＳＡＭＬ Ａｒｔｉｆａｃｔを引数として発行される。ＳＯＡＰエンジンを介してＡｓｓｅｒｔｉｏｎ要求を受け取った認証サーバ３１０は、Ａｓｓｅｒｔｉｏｎ要求に含まれるＳＡＭＬ Ａｒｔｉｆａｃｔと一意に対応するＡｓｓｅｒｔｉｏｎを検索する。該当するＡｓｓｅｒｔｉｏｎが見つかった場合、認証サーバ３１０は、アプリケーションサーバ１０２に対して、先のＡｓｓｅｒｔｉｏｎ要求の返答として、見つかったＡｓｓｅｒｔｉｏｎ（認証情報）を送信する（ステップ８）。アプリケーションサーバ１０２は、Ａｓｓｅｒｔｉｏｎを解析することによって、ユーザエージェント２１１を利用する利用者のアプリケーションサーバ１０２上でのユーザＩＤを知ることができる。   Further, at the same time as generating the authentication (authentication information), the authentication server 310 issues a short string identifier corresponding to the assertion called SAML Artifact. The issued SAML Artifact is notified to the authentication agent 222 of the application server 102 by redirection (Steps 5 and 6). The application server 102 that has received the connection request by redirection retrieves the SAML Artifact included in the connection request, and requests the Assertion according to the protocol implemented on the SOAP defined by the SAML (Step 7). At this time, the assertion request is issued with the received SAML Artifact as an argument. The authentication server 310 that has received the assertion request via the SOAP engine searches for an assertion that uniquely corresponds to the SAML artifact included in the assertion request. When the corresponding Association is found, the authentication server 310 transmits the found Association (authentication information) to the application server 102 as a response to the previous Assertion request (Step 8). The application server 102 can know the user ID on the application server 102 of the user who uses the user agent 211 by analyzing the Association.

ここで、図４の処理の説明に戻り、ステップ４１１において、有効なセッションＩＤが確認された場合は、ユーザ認証部３１３はＳＡＭＬ Ａｒｔｉｆａｃｔを付加してユーザエージェント２１１をアプリケーションサーバ１０２へリダイレクトする（ステップ４１２）。ここで付加されたＳＡＭＬ Ａｒｔｉｆａｃｔは、ステップ４０３において確認される。尚、このステップ４１２の処理は、図８のステップ５、６の処理に対応する。   Returning to the description of the processing in FIG. 4, when a valid session ID is confirmed in step 411, the user authentication unit 313 adds a SAML artifact to redirect the user agent 211 to the application server 102 (step). 412). The SAML Artifact added here is confirmed in Step 403. Note that the processing in step 412 corresponds to the processing in steps 5 and 6 in FIG.

ステップ４０３において処理要求にＳＡＭＬ Ａｒｔｉｆａｃｔが含まれていた場合、認証エージェント２２２は認証サーバシステム１０６に対してＡｓｓｅｒｔｉｏｎ（認証情報）を要求する（ステップ４０４）。尚、このステップ４０４の処理は、図８のステップ７の処理に対応する。   If SAML Artifact is included in the processing request in step 403, the authentication agent 222 requests the authentication server system 106 for the assertion (authentication information) (step 404). Note that the processing in step 404 corresponds to the processing in step 7 in FIG.

Ａｓｓｅｒｔｉｏｎ要求は認証確認要求と同様に、仮想ＩＰ提供装置３０１によって受信され、認証サーバ３１０が稼動中の場合は認証サーバ３１０へ、認証サーバ３１０が停止中の場合は代替サーバ３２０へ転送される（ステップ４１０）。ここで、Ａｓｓｅｒｔｉｏｎ要求が代替サーバ３２０へ転送された場合、ステップ４１８へ移行し、代替サーバ３２０は認証サーバ３１０の停止を認証エージェント２２２に対して通知する。これにより、ステップ４１９において、認証サーバ３１０が停止している旨の通知を受け取った認証エージェント２２２は、認証モード記憶部２２２ｃに記憶されている認証モードをローカル認証モードに変更する。次に、認証エージェント２２２は、ステップ４２０に進み、ログインページ１２１０を表示するためのＨＴＭＬ記述データ１２００を生成し、ユーザエージェント２１１に対して送信する。   The assertion request is received by the virtual IP providing apparatus 301 in the same manner as the authentication confirmation request, and transferred to the authentication server 310 when the authentication server 310 is in operation, and to the alternative server 320 when the authentication server 310 is stopped ( Step 410). Here, when the Assertion request is transferred to the alternative server 320, the process proceeds to step 418, and the alternative server 320 notifies the authentication agent 222 that the authentication server 310 is stopped. Accordingly, in step 419, the authentication agent 222 that has received the notification that the authentication server 310 is stopped changes the authentication mode stored in the authentication mode storage unit 222c to the local authentication mode. Next, the authentication agent 222 proceeds to step 420, generates HTML description data 1200 for displaying the login page 1210, and transmits it to the user agent 211.

一方、ステップ４１０で認証サーバ３１０が稼動中と判断され、Ａｓｓｅｒｔｉｏｎ要求が認証サーバ３１０へ転送された場合は、認証サーバ３１０は、前述のＳＡＭＬ Ａｒｔｉｆａｃｔ／Ｂｒｏｗｓｅｒ Ｐｒｏｆｉｌｅの通り、ユーザ認証部３１３において受け取ったＳＡＭＬ Ａｒｔｉｆａｃｔに対応するＡｓｓｅｒｔｉｏｎを検索する（ステップ４１４）。ここで、対応するＡｓｓｅｒｔｉｏｎが存在した場合は、ステップ４１５に進み、認証サーバ３１０は、Ａｓｓｅｒｔｉｏｎを認証エージェント２２２に返信する。尚、このステップ４１５の処理は、図８のステップ８の処理に対応する。   On the other hand, when it is determined in step 410 that the authentication server 310 is in operation and the assertion request is transferred to the authentication server 310, the authentication server 310 receives it in the user authentication unit 313 as described above in the SAML Artifact / Browser Profile. An Association corresponding to the SAML Artifact is searched (Step 414). Here, if there is a corresponding Assertion, the process proceeds to Step 415, and the authentication server 310 returns the Assertion to the authentication agent 222. Note that the processing in step 415 corresponds to the processing in step 8 in FIG.

また、ステップ４１４で対応するＡｓｓｅｒｔｉｏｎが存在しない場合は、ステップ４１６に進み、認証サーバ３１０は、ユーザエージェント２１１が認証サーバ３１０でも未認証な状態である旨を認証エージェント２２２へ通知する。これにより、ステップ４２０において、認証エージェント２２２は、ユーザエージェント２１１に対してログインページ１２１０を送信する。   If there is no corresponding assertion in step 414, the process proceeds to step 416, and the authentication server 310 notifies the authentication agent 222 that the user agent 211 is not authenticated by the authentication server 310. As a result, in step 420, the authentication agent 222 transmits the login page 1210 to the user agent 211.

ステップ４１５の処理によりＡｓｓｅｒｔｉｏｎを受け取った認証エージェント２２２は、Ａｓｓｅｒｔｉｏｎを解析し（ステップ４０７）、ユーザＩＤを取得する。認証エージェント２２２は取得したユーザＩＤを持つ利用者としてユーザエージェント２１１を認証し、Ｗｅｂアプリケーション部２２３へ処理要求を転送する（ステップ４０８）。尚、アプリケーションサーバ１０２とユーザエージェント２１１の間のセッションは、この段階から有効なものとして識別される。図４のフローで示されるリモート認証確認処理でユーザエージェント２１１が認証されなかった場合、認証エージェント２２２はログイン処理に移る。   The authentication agent 222 that has received the Association in the process of Step 415 analyzes the Association (Step 407) and obtains a user ID. The authentication agent 222 authenticates the user agent 211 as a user having the acquired user ID, and transfers the processing request to the Web application unit 223 (step 408). Note that the session between the application server 102 and the user agent 211 is identified as valid from this stage. If the user agent 211 is not authenticated in the remote authentication confirmation process shown in the flow of FIG. 4, the authentication agent 222 moves to the login process.

ログイン処理においては、ユーザエージェント２１１に対して、ログインページ１２１０のように、ユーザＩＤおよびパスワードの入力を行うための画面を提供する。本実施形態では図１２−１の符号１２０１に示したように＜ＦＯＲＭ＞タグを内包するＨＴＭＬ記述データ１２００を利用する。ログインページ１２１０を表示するためのＨＴＭＬ記述データ１２００は図７のフローに従って生成される。図７は、ログインページ１２１０を表示するためのＨＴＭＬ記述データ１２００を生成する処理を示す図である。   In the login process, a screen for inputting the user ID and password is provided to the user agent 211 as in the login page 1210. In this embodiment, HTML description data 1200 including a <FORM> tag is used as indicated by reference numeral 1201 in FIG. The HTML description data 1200 for displaying the login page 1210 is generated according to the flow of FIG. FIG. 7 is a diagram showing processing for generating HTML description data 1200 for displaying the login page 1210.

図７に示すように、まず、ステップ７０１において、認証エージェント２２２は、ログインページ１２１０を表示するためのＨＴＭＬ記述データ１２００を生成する処理（以下、単に「ログインページ１２１０を生成する処理」とする）を開始する。次に、ステップ７０２において、認証エージェント２２２は、認証モードがリモート認証モードであるか否かを判断する。   As shown in FIG. 7, first, in step 701, the authentication agent 222 generates HTML description data 1200 for displaying the login page 1210 (hereinafter, simply referred to as “process for generating the login page 1210”). To start. Next, in step 702, the authentication agent 222 determines whether or not the authentication mode is a remote authentication mode.

本実施形態においては、認証サーバ３１０の稼動状態によって変化する認証モードによって、認証サーバ３１０を用いたリモート認証および認証エージェント２２２を用いたローカル認証を使い分ける。このため、ステップ７０２において、リモート認証と判断した場合には、認証エージェント２２２は、ＨＴＭＬ記述データ１２００に示すように＜ＦＯＲＭ＞タグにおけるＡＣＴＩＯＮ属性に、認証サーバ３１０上に実装されたユーザ認証部３１３のＵＲＬを埋め込む（ステップ７０３）。また、ローカル認証と判断した場合には、認証エージェント２２２は、ＨＴＭＬ記述データの＜ＦＯＲＭ＞タグにおけるＡＣＴＩＯＮ属性に、アプリケーションサーバ１０２上に実装された認証処理ＵＲＬ（ユーザ認証部２２２ａのＵＲＬ）を埋め込む（ステップ７０４）。ステップ７０３または７０４の次に、ステップ７０５において、認証エージェント２２２は、リモート認証またはローカル認証に応じた認証情報の送付先を指定したＨＴＭＬ記述データ１２００が生成し、ユーザエージェント２１１へ送信する。   In the present embodiment, remote authentication using the authentication server 310 and local authentication using the authentication agent 222 are selectively used depending on the authentication mode that changes depending on the operating state of the authentication server 310. For this reason, if it is determined in step 702 that the remote authentication is performed, the authentication agent 222, as shown in the HTML description data 1200, sets the ACTION attribute in the <FORM> tag to the user authentication unit 313 implemented on the authentication server 310. Are embedded (step 703). If the local authentication is determined, the authentication agent 222 embeds the authentication processing URL (the URL of the user authentication unit 222a) implemented on the application server 102 in the ACTION attribute in the <FORM> tag of the HTML description data. (Step 704). Following step 703 or 704, in step 705, the authentication agent 222 generates HTML description data 1200 specifying the destination of authentication information in accordance with remote authentication or local authentication, and transmits it to the user agent 211.

ユーザエージェント２１１は、アプリケーションサーバ１０２から受信したＨＴＭＬ記述データを解析し、ユーザエージェント２１１上にログインページを表示し、利用者に対してユーザＩＤとパスワードの入力を促す。ユーザエージェント２１１の利用者は、予めアプリケーションサーバ１０２に登録されているユーザＩＤとそれに対応するパスワードを入力する。入力されたユーザＩＤおよびパスワードの確認処理、すなわちログイン認証は、ローカル認証モードであるか、リモート認証モードであるかにより処理が異なる。本実施形態におけるリモート認証時のログイン認証フローを図５に示し、ローカル認証時のログイン認証フローを図６に示す。   The user agent 211 analyzes the HTML description data received from the application server 102, displays a login page on the user agent 211, and prompts the user to input a user ID and password. The user of the user agent 211 inputs a user ID registered in advance in the application server 102 and a corresponding password. The confirmation process of the input user ID and password, that is, the login authentication, differs depending on whether the authentication mode is the local authentication mode or the remote authentication mode. FIG. 5 shows a login authentication flow at the time of remote authentication in this embodiment, and FIG. 6 shows a login authentication flow at the time of local authentication.

尚、リモートログイン処理時に用いられるログインページ１２１０には、ユーザエージェント２１１には表示されないＨＩＤＤＥＮ属性として、図１２−１の符号１２０２に示すようにサービスを識別するための識別子（ＳｅｒｖｉｃｅＩＤ）が埋め込まれる。ＳｅｒｖｉｃｅＩＤは予め認証サーバシステム１０６の管理者によって、認証サーバシステム１０６に接続されるアプリケーションサーバ１０２に対して一意に割り当てられた識別子である。本実施形態では、アプリケーションサーバ１０２に組み込まれる認証エージェント２２２はサービスを識別するための識別子として、該当するＳｅｒｖｉｃｅＩＤをログインページに埋め込むように構成されている。   In the login page 1210 used during the remote login process, an identifier (ServiceID) for identifying a service is embedded as a HIDDEN attribute that is not displayed on the user agent 211, as indicated by reference numeral 1202 in FIG. The Service ID is an identifier uniquely assigned to the application server 102 connected to the authentication server system 106 by the administrator of the authentication server system 106 in advance. In this embodiment, the authentication agent 222 incorporated in the application server 102 is configured to embed a corresponding Service ID in the login page as an identifier for identifying a service.

また、本実施形態では、認証サーバ３１０は図１１で示されるサービス情報テーブルを記述した構成情報記述ファイルを読み込むことにより、各サービスの認証中継処理部２２２ｂを表す通信経路を取得することができる。   In this embodiment, the authentication server 310 can acquire a communication path representing the authentication relay processing unit 222b of each service by reading the configuration information description file describing the service information table shown in FIG.

ここで、認証モードがリモート認証時のログイン認証処理について説明する。図５は、認証モードがリモート認証時のログイン認証フローを示す図である。図５に示すように、利用者によって入力されたユーザＩＤおよびパスワードは、画面上の送信ボタンを押下することにより、＜ＦＯＲＭ＞タグのＡＣＴＩＯＮ属性に記述されたＵＲＬへ送信される（ステップ５０１）。ステップ７０３で示したように、リモート認証モードでは、ＡＣＴＩＯＮ属性に記述されているＵＲＬは認証サーバ３１０上のユーザ認証処理部３１３であるため、ユーザＩＤおよびパスワードは、認証サーバシステム１０６へ送信される。   Here, login authentication processing when the authentication mode is remote authentication will be described. FIG. 5 is a diagram showing a login authentication flow when the authentication mode is remote authentication. As shown in FIG. 5, the user ID and password input by the user are transmitted to the URL described in the ACTION attribute of the <FORM> tag by pressing the transmission button on the screen (step 501). . As shown in step 703, in the remote authentication mode, the URL described in the ACTION attribute is the user authentication processing unit 313 on the authentication server 310, so the user ID and password are transmitted to the authentication server system 106. .

前述の通り、認証サーバシステム１０６に対する処理要求は仮想ＩＰ提供装置３０１が受信し、認証サーバ３１０が稼動中である場合は認証サーバ３１０へ処理要求を転送し、認証サーバ３１０が停止中である場合は代替サーバ３２０へ処理要求を転送する（ステップ５０２）。ここで、要求が代替サーバ３２０へ転送された場合、代替サーバ３２０は、認証サーバ停止通知部３２２において認証サーバ３１０の停止を表す識別子を付加し、ユーザエージェント２１１をアプリケーションサーバ１０２へリダイレクトする（ステップ５０７）。   As described above, when the virtual IP providing apparatus 301 receives a processing request for the authentication server system 106, the processing request is transferred to the authentication server 310 when the authentication server 310 is in operation, and the authentication server 310 is stopped. Transfers the processing request to the alternative server 320 (step 502). Here, when the request is transferred to the alternative server 320, the alternative server 320 adds an identifier indicating the stop of the authentication server 310 in the authentication server stop notification unit 322, and redirects the user agent 211 to the application server 102 (step). 507).

また、ステップ５０２において要求が認証サーバ３１０へ転送された場合は、認証サーバ３１０上のユーザ認証処理部３１３は、ＨＩＤＤＥＮ属性として受け取ったサービス名から、ユーザ認証の依頼先を決定し、認証要求中継部３１２を用いて、認証エージェント２２２上に外部ユーザ認証ＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）として設けられた認証中継処理部２２２ｂに対して受け取ったユーザＩＤおよびパスワードの認証を依頼する（ステップ５０３）。尚、本実施形態においては、外部ユーザ認証ＡＰＩは、前述したＳＡＭＬによるユーザ認証処理例図８と同じく、ＳＯＡＰにより実装する。これにより、認証サーバ３１０の認証中継要求部３１２は、ユーザＩＤとパスワードを引数に、前記ＳｅｒｖｉｃｅＩＤを持つアプリケーションサーバ上の認証中継処理部２２２ｂに対して認証要求を送信する。   When the request is transferred to the authentication server 310 in step 502, the user authentication processing unit 313 on the authentication server 310 determines a user authentication request destination from the service name received as the HIDDEN attribute, and relays the authentication request. Using the unit 312, the authentication relay processing unit 222b provided as an external user authentication API (Application Programming Interface) on the authentication agent 222 is requested to authenticate the received user ID and password (step 503). In the present embodiment, the external user authentication API is implemented by SOAP as in the user authentication processing example by SAML described above with reference to FIG. As a result, the authentication relay request unit 312 of the authentication server 310 transmits an authentication request to the authentication relay processing unit 222b on the application server having the Service ID, with the user ID and password as arguments.

認証要求を受け取った認証エージェント２２２は、ユーザＩＤとパスワードが合致するデータがあるか否かを、アプリケーションサーバ１０２に接続されたユーザ情報データベースＡ・１０３から検索する（ステップ５０８）。外部ユーザ認証ＡＰＩの返り値は真偽値であり、ユーザＩＤとパスワードが一致する登録ユーザが検索された場合は、外部ユーザ認証ＡＰＩの呼び出しに対する応答として真が、そうでない場合は偽が返される。   Upon receiving the authentication request, the authentication agent 222 searches the user information database A · 103 connected to the application server 102 to determine whether there is data whose user ID and password match (step 508). The return value of the external user authentication API is a true / false value. If a registered user whose user ID and password match is found, true is returned as a response to the call of the external user authentication API, and false is returned otherwise. .

ステップ５０９において、偽の返答を受け取った認証サーバ３１０は、再度ログイン要求を発行するために、ログイン処理に移る（ステップ５０６）。また、ステップ５０９において真の返答を受け取った認証サーバ３１０は、ユーザの認証が成功したと判断し、認証情報をあらわすＡｓｓｅｒｔｉｏｎを生成する（ステップ５０４）と同時に、ユーザエージェント２１１との間に有効なセッションを確立し、アプリケーションサーバ１０２に対して認証されたユーザＩＤを通知するために、前述した認証確認要求段階と同様のＳＡＭＬ ＡｒｔｉｆａｃｔとＡｓｓｅｒｔｉｏｎによる手続きが実行される（ステップ５０５）。   In step 509, the authentication server 310 that has received the false response moves to login processing in order to issue a login request again (step 506). The authentication server 310 that has received the true response in step 509 determines that the user authentication has succeeded, generates an assertion representing the authentication information (step 504), and at the same time, is valid between the user agent 211 and the user agent 211. In order to establish a session and notify the authenticated user ID to the application server 102, the same SAML Artifact and Assertion procedure as in the authentication confirmation request step described above is executed (step 505).

次に、認証モードがローカル認証時のログイン認証処理について説明する。図６は、認証モードがローカル認証時のログイン認証フローを示す図である。図６に示すように、ローカル認証の場合、ステップ７０４に示したように、ログインページ生成処理によってログインページに埋め込まれる＜ＦＯＲＭ＞タグのＡＣＴＩＯＮ属性は、アプリケーションサーバ１０２上に実装されたユーザ認証部２２２ａのＵＲＬとなる。利用者はローカル認証においてもリモート認証と同様に、ログインページにユーザＩＤおよびパスワードの入力を行う（ステップ６０１）が、ユーザＩＤおよびパスワードの送信先は、認証サーバシステム１０６ではなくアプリケーションサーバ１０２となる。   Next, login authentication processing when the authentication mode is local authentication will be described. FIG. 6 is a diagram showing a login authentication flow when the authentication mode is local authentication. As shown in FIG. 6, in the case of local authentication, as shown in step 704, the ACTION attribute of the <FORM> tag embedded in the login page by the login page generation process is the user authentication unit implemented on the application server 102. The URL is 222a. In the local authentication, the user inputs the user ID and password on the login page in the same manner as in the remote authentication (step 601), but the transmission destination of the user ID and password is not the authentication server system 106 but the application server 102. .

ユーザＩＤとパスワードを受信したユーザ認証部２２２ａは、ユーザＩＤとパスワードが合致することを、アプリケーションサーバ１０２に接続されたユーザ情報データベースＡ・１０３から検索する（ステップ６０２）。ユーザＩＤおよびパスワードが一致する登録ユーザが検索された場合は、利用者によるログインが成功したものとみなされ、ユーザエージェント２１１との間に確立したセッションを認証済み状態に設定し、Ｗｅｂアプリケーション部２２３に処理要求が転送される（ステップ６０５）。これにより、転送された処理要求は図１０のステップ１００４において有効なセッションとして識別されるため、ステップ１００５に移行して利用者が所望した処理が実行される。   Receiving the user ID and password, the user authentication unit 222a searches the user information database A · 103 connected to the application server 102 for a match between the user ID and the password (step 602). When a registered user whose user ID and password match is found, it is considered that the login by the user is successful, the session established with the user agent 211 is set to the authenticated state, and the Web application unit 223 is set. The processing request is transferred to (step 605). As a result, the transferred processing request is identified as a valid session in step 1004 of FIG. 10, and therefore the processing proceeds to step 1005 and the processing desired by the user is executed.

以上に示したように、本実施形態では、アプリケーションサーバ１０２と認証サーバシステム１０６の組み合わせにより、ローカル認証、リモート認証の切り替えが自動的に行われるが、さらに前記のアプリケーションサーバ１０２とは別のドメインに属する第二のアプリケーションサーバを導入した認証システムであっても、第二のアプリケーションサーバ上において図４〜図７及び図１０に示した認証処理を行なうことによりＳＳＯに対応した認証システムを実現することができる。より具体的には、第一のアプリケーションサーバ（アプリケーションサーバ１０２）に対して、利用者の認証が完了している場合、認証サーバ３１０上には、利用者のセッション情報が生成されており、それに対応するセッションＣｏｏｋｉｅが利用者のユーザエージェント２１１に保存されている。この状態において、利用者が第二のアプリケーションサーバに接続要求を発した場合、図４のステップ４０５における認証確認要求において、ユーザエージェントから認証サーバ３１０に対して、事前に第一のアプリケーションサーバの認証時に生成したセッションＣｏｏｋｉｅが送信される。認証サーバ３１０は、セッションＣｏｏｋｉｅおよび対応するセッションオブジェクトを検証することにより、利用者が第一のアプリケーションサーバにログイン中であることを確認することができる。   As described above, in this embodiment, switching between local authentication and remote authentication is automatically performed by a combination of the application server 102 and the authentication server system 106, but a domain other than the application server 102 is further provided. Even in the authentication system in which the second application server belonging to is introduced, the authentication system corresponding to SSO is realized by performing the authentication processing shown in FIGS. 4 to 7 and 10 on the second application server. be able to. More specifically, when user authentication is completed for the first application server (application server 102), user session information is generated on the authentication server 310, and The corresponding session cookie is stored in the user agent 211 of the user. In this state, when the user issues a connection request to the second application server, the user agent authenticates the authentication server 310 in advance to the authentication server 310 in the authentication confirmation request in step 405 of FIG. A session cookie generated at times is transmitted. The authentication server 310 can confirm that the user is logging in to the first application server by verifying the session cookie and the corresponding session object.

ここで、図４のステップ４１２において、認証サーバ３１０は、第二のアプリケーションサーバに対して、該当する利用者の第二のアプリケーションサーバに登録されたユーザＩＤを知らせることが必要になる。この問題は、本実施形態の認証サーバ３１０上に図１３に示したユーザＩＤマッピングテーブルを事前に用意することで解決される。認証サーバ３１０は、該当するユーザエージェントとの間に有効なセッションが確立した段階で、セッションオブジェクトに、利用者に対してあらかじめ一意に発行した識別子（ここではＳＳＯ ＩＤと呼ぶ）を格納する。以後、認証サーバ３１０とユーザエージェントにセッションが確立されている間は、セッションオブジェクトに格納されているＳＳＯ ＩＤおよび、図１３に示されるユーザＩＤマッピングテーブルを参照することにより、そのＳＳＯ ＩＤを持つユーザの各サービス上でのユーザＩＤを取得し、ステップ４１２において各アプリケーションサーバへユーザＩＤを通知することが可能となる。   Here, in step 412 of FIG. 4, the authentication server 310 needs to inform the second application server of the user ID registered in the second application server of the corresponding user. This problem is solved by preparing in advance the user ID mapping table shown in FIG. 13 on the authentication server 310 of this embodiment. The authentication server 310 stores an identifier (herein referred to as SSO ID) uniquely issued to the user in advance in the session object when a valid session is established with the corresponding user agent. Thereafter, while a session is established between the authentication server 310 and the user agent, the user having the SSO ID is referred to by referring to the SSO ID stored in the session object and the user ID mapping table shown in FIG. In step 412, the user ID can be notified to each application server.

以上に示したように、本実施形態の認証システムにおいては、認証サーバシステム１０６により、認証サーバ３１０の稼動確認および認証サーバ３１０が稼動停止した際の認証方法の切り替えを実現している。これにより、認証サーバ３１０を利用したシングルサインオンを利用しながら、認証サーバ３１０が稼動できない場合には各アプリケーションサーバに認証処理させる認証システムを構築することができる。また、本認証システムによれば、認証サーバ３１０の停止時にも、各アプリケーションサーバは独自に認証を継続することができるため、各サービスで定めたサービスレベルを維持することができる。更には、認証サーバ３１０の稼動停止を回避するためコストを削減できるので、認証サーバ３１０の構築を安価に行なうことができる。   As described above, in the authentication system of this embodiment, the authentication server system 106 realizes the operation check of the authentication server 310 and the switching of the authentication method when the authentication server 310 is stopped. Accordingly, it is possible to construct an authentication system that causes each application server to perform authentication processing when the authentication server 310 cannot be operated while using single sign-on using the authentication server 310. Further, according to the present authentication system, each application server can continue the authentication independently even when the authentication server 310 is stopped, so that the service level determined by each service can be maintained. Furthermore, since the cost can be reduced in order to avoid the operation stop of the authentication server 310, the authentication server 310 can be constructed at a low cost.

尚、上述した実施形態において、
また、上述した実施形態におけるクライアントコンピュータ１０１、アプリケーションサーバ１０２、１０４、認証サーバシステム１０６内の仮想ＩＰ提供装置３０１、認証サーバ３１０及び代替サーバ３２０は、ＣＰＵ（中央演算装置）及びメモリを備えるハードウェア構成である。そして、例えばアプリケーションサーバ１０２の認証エージェント２２２の機能や、認証サーバ３１０の認証機能を実現する為のプログラムをメモリから読み出してＣＰＵが実行することによりその機能を実現させるものである。 In the above-described embodiment,
Further, the client computer 101, the application servers 102 and 104, the virtual IP provision device 301 in the authentication server system 106, the authentication server 310, and the alternative server 320 in the embodiment described above are hardware including a CPU (Central Processing Unit) and a memory. It is a configuration. For example, a function for realizing the function of the authentication agent 222 of the application server 102 or the program for realizing the authentication function of the authentication server 310 is read from the memory and executed by the CPU, thereby realizing the function.

尚、上述したプログラム処理により機能を実現する構成に限定さるものではなく、各処理の全部または一部の機能を専用のハードウェアにより実現してもよい。また、上述したメモリは、光磁気ディスク装置、フラッシュメモリ等の不揮発性のメモリや、ＣＤ−ＲＯＭ等の読み出しのみが可能な記録媒体、ＲＡＭ以外の揮発性のメモリ、あるいはこれらの組合せによるコンピュータ読み取り、書き込み可能な記録媒体より構成されてもよい。   Note that the present invention is not limited to the configuration in which the functions are realized by the program processing described above, and all or a part of the functions of each processing may be realized by dedicated hardware. The above-mentioned memory is a non-volatile memory such as a magneto-optical disk device or a flash memory, a recording medium such as a CD-ROM that can only be read, a volatile memory other than RAM, or a computer read by a combination thereof. The recording medium may be a writable recording medium.

また、アプリケーションサーバ１０２の認証エージェント２２２における各種処理を行う機能や、認証サーバシステム１０６の認証機能を実現する為のプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各処理を行っても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。具体的には、記憶媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれた後、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含む。   In addition, a function for performing various processes in the authentication agent 222 of the application server 102 and a program for realizing the authentication function of the authentication server system 106 are recorded on a computer-readable recording medium, and the program recorded on the recording medium Each processing may be performed by causing the computer system to read and execute. Here, the “computer system” includes an OS and hardware such as peripheral devices. Specifically, after a program read from a storage medium is written to a memory provided in a function expansion board inserted into the computer or a function expansion unit connected to the computer, the program is read based on the instructions of the program. It includes the case where the CPU of the function expansion board or function expansion unit performs part or all of the actual processing, and the functions of the above-described embodiments are realized by the processing.

また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。   The “computer-readable recording medium” refers to a portable medium such as a flexible disk, a magneto-optical disk, a ROM, and a CD-ROM, and a storage device such as a hard disk built in the computer system. Further, the “computer-readable recording medium” refers to a volatile memory (RAM) in a computer system that becomes a server or a client when a program is transmitted via a network such as the Internet or a communication line such as a telephone line. In addition, those holding a program for a certain period of time are also included.

また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現する為のものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。 The program may be transmitted from a computer system storing the program in a storage device or the like to another computer system via a transmission medium or by a transmission wave in the transmission medium. Here, the “transmission medium” for transmitting the program refers to a medium having a function of transmitting information, such as a network (communication network) such as the Internet or a communication line (communication line) such as a telephone line.
The program may be for realizing a part of the functions described above. Furthermore, what can implement | achieve the function mentioned above in combination with the program already recorded on the computer system, and what is called a difference file (difference program) may be sufficient.

また、上記のプログラムを記録したコンピュータ読み取り可能な記録媒体等のプログラムプロダクトも本発明の実施形態として適用することができる。上記のプログラム、記録媒体、伝送媒体およびプログラムプロダクトは、本発明の範疇に含まれる。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。 A program product such as a computer-readable recording medium in which the above program is recorded can also be applied as an embodiment of the present invention. The above program, recording medium, transmission medium, and program product are included in the scope of the present invention.
The embodiment of the present invention has been described in detail with reference to the drawings. However, the specific configuration is not limited to this embodiment, and includes design and the like within the scope not departing from the gist of the present invention.

本発明の一実施形態である認証サーバシステムを含む認証システムの構成を模式的に示す図である。It is a figure which shows typically the structure of the authentication system containing the authentication server system which is one Embodiment of this invention. 図１に示した認証システムの機能構成を示す図である。It is a figure which shows the function structure of the authentication system shown in FIG. 図１、２に示した認証サーバシステム１０６の内部構成例を示す図である。It is a figure which shows the internal structural example of the authentication server system 106 shown to FIG. 図１０のステップ１００７におけるリモート認証確認処理の詳細を示す図である。It is a figure which shows the detail of the remote authentication confirmation process in step 1007 of FIG. 認証モードがリモート認証時のログイン認証フローを示す図である。It is a figure which shows the login authentication flow at the time of authentication mode remote authentication. 認証モードがローカル認証時のログイン認証フローを示す図である。It is a figure which shows the login authentication flow at the time of authentication mode being local authentication. ログインページ１２１０を表示するためのＨＴＭＬ記述データ１２００を生成する処理を示す図である。It is a figure which shows the process which produces | generates the HTML description data 1200 for displaying the login page. 本実施形態の認証システムにおいてＳＡＭＬを利用した認証処理例を示す図である。It is a figure which shows the example of an authentication process using SAML in the authentication system of this embodiment. ユーザ情報データベースＡ・１０３の構成例を示す図である。It is a figure which shows the structural example of user information database A * 103. 本実施形態におけるログインページを表示するか否かを判断する処理を示す図である。It is a figure which shows the process which judges whether the login page in this embodiment is displayed. 本実施形態におけるサービス情報テーブル例を示す図である。It is a figure which shows the example of a service information table in this embodiment. 本実施形態におけるＨＴＭＬ記述データ例を示す図である。It is a figure which shows the example of HTML description data in this embodiment. 本実施形態におけるログインページ例を示す図である。It is a figure which shows the example of a login page in this embodiment. 本実施形態におけるユーザＩＤマッピングテーブル例を示す図である。It is a figure which shows the user ID mapping table example in this embodiment.

符号の説明Explanation of symbols

１００ インターネット
１０１ クライアントコンピュータ
１０２、１０４ アプリケーションサーバ
１０３ ユーザ情報データベースＡ
１０５ ユーザ情報データベースＢ
１０６ 認証サーバシステム
２１１ ユーザエージェント
２２１ Ｗｅｂサーバ部
２２２ 認証エージェント
２２２ａ ユーザ認証部
２２２ｂ 認証中継処理部
２２２ｃ 認証モード記憶部
２２３ Ｗｅｂアプリケーション部
３０１ 仮想ＩＰ提供装置
３１０ 認証サーバ
３１１ Ｗｅｂサーバ
３１２ 認証中継要求部
３１３ ユーザ認証処理部
３２０ 代替サーバ
３２１ Ｗｅｂサーバ
３２２ 認証サーバ停止通知部 100 Internet 101 Client computer 102, 104 Application server 103 User information database A
105 User information database B
106 Authentication Server System 211 User Agent 221 Web Server Unit 222 Authentication Agent 222a User Authentication Unit 222b Authentication Relay Processing Unit 222c Authentication Mode Storage Unit 223 Web Application Unit 301 Virtual IP Providing Device 310 Authentication Server 311 Web Server 312 Authentication Relay Request Unit 313 User Authentication processing unit 320 Alternative server 321 Web server 322 Authentication server stop notification unit

Claims (9)

ネットワークを介して利用者端末へ種々のサービスを提供する複数のアプリケーションサーバと、前記サービスの利用を要求する前記利用者端末の利用者の認証を行う認証サーバシステムとを備える認証システムであって、
前記アプリケーションサーバは、
前記ネットワークを介して前記利用者端末からサービスの要求を受信する受信手段と、
前記受信手段がサービスの要求を受信した場合に、前記利用者端末経由で前記認証サーバシステムに利用者の認証を行うための認証情報を発行するよう依頼する認証情報依頼手段と、
前記認証情報依頼手段の依頼に応じて前記認証サーバシステムから前記利用者端末経由で認証情報を得た場合に、前記認証情報を基に利用者の認証を行う認証手段と、
前記認証手段により認証された利用者の利用者端末に前記要求に応じたサービスを提供するサービス提供手段と
を具備し、
前記認証サーバシステムは、
前記認証情報に関する処理を行う認証サーバと、
前記アプリケーションサーバの前記認証情報依頼手段からの前記依頼を前記利用者端末経由で受信する受信手段と、
前記受信手段の前記依頼の受信に応じて前記認証サーバが停止しているか否かを判断する停止判断手段と、
前記停止判断手段において前記認証サーバが停止していると判断した場合には、停止情報を前記依頼の元となるアプリケーションサーバへ通知する通知手段と、
前記停止判断手段が停止していないと判断した場合には、前記受信手段が受信した前記依頼を前記認証サーバへ伝達する伝達手段と
を具備し、
前記認証サーバは、
前記伝達手段により伝達された前記依頼に応じて前記認証情報を発行する認証情報発行手段と、
前記認証情報発行手段が発行した前記認証情報を前記依頼の元となる前記アプリケーションサーバへ前記利用者端末経由で送信する送信手段と
を具備し、
前記アプリケーションサーバの前記認証情報依頼手段は、前記停止情報を受信した場合には前記利用者端末へ認証に必要な情報を要求し、前記認証手段は、前記情報の要求に応じて前記利用者端末から得た前記認証に必要な情報を基に利用者の認証を行うこと
を特徴とする認証システム。 An authentication system comprising a plurality of application servers that provide various services to a user terminal via a network, and an authentication server system that authenticates a user of the user terminal that requests use of the service,
The application server is
Receiving means for receiving a service request from the user terminal via the network;
Authentication information requesting means for requesting the authentication server system to issue authentication information for authenticating a user via the user terminal when the receiving means receives a service request;
An authentication means for authenticating a user based on the authentication information when authentication information is obtained from the authentication server system via the user terminal in response to a request from the authentication information request means;
Service providing means for providing a service in response to the request to the user terminal of the user authenticated by the authentication means,
The authentication server system includes:
An authentication server for performing processing related to the authentication information;
Receiving means for receiving the request from the authentication information requesting means of the application server via the user terminal;
Stop determination means for determining whether or not the authentication server is stopped in response to reception of the request of the reception means;
If the stop determination means determines that the authentication server is stopped, a notification means for notifying the application server that is the source of the request of stop information;
A transmission means for transmitting the request received by the reception means to the authentication server when the stop determination means determines that it has not stopped;
The authentication server is
Authentication information issuing means for issuing the authentication information in response to the request transmitted by the transmitting means;
Transmitting means for transmitting the authentication information issued by the authentication information issuing means to the application server that is the source of the request via the user terminal;
The authentication information requesting unit of the application server requests the user terminal for information necessary for authentication when the stop information is received, and the authentication unit responds to the request for the information. An authentication system characterized in that user authentication is performed based on the information necessary for authentication obtained from the above. 前記アプリケーションサーバは、前記認証サーバから受信した前記停止情報を保持する保持手段を更に具備し、
前記アプリケーションサーバの前記認証情報依頼手段は、前記保持手段が前記停止情報を保持している場合には前記利用者端末へ認証に必要な情報を要求し、前記保持手段が前記停止情報を保持していない場合には前記利用者端末経由で前記認証サーバシステムに前記認証情報を発行するよう依頼すること
を特徴とする請求項１に記載の認証システム。 The application server further comprises holding means for holding the stop information received from the authentication server,
The authentication information requesting means of the application server requests information required for authentication from the user terminal when the holding means holds the stop information, and the holding means holds the stop information. 2. The authentication system according to claim 1, wherein if not, the authentication server system is requested to issue the authentication information via the user terminal. 前記認証サーバシステムは、
前記認証サーバシステムの前記受信手段、前記停止判断手段及び前記伝達手段を含む構成である停止判断装置と、
前記認証サーバシステムの前記通知手段を含む構成である通知サーバとから構成され、
前記停止判断装置は、前記停止判断手段において前記認証サーバが停止していると判断した場合には、前記受信手段が受信した前記依頼を前記通知サーバへ伝達し、
前記通知サーバの通知手段は、伝達された前記依頼に前記停止情報を付与した情報を前記依頼の元となるアプリケーションサーバへ返信すること
を特徴とする請求項１または２に記載の認証システム。 The authentication server system includes:
A stop determination device configured to include the reception unit, the stop determination unit, and the transmission unit of the authentication server system;
A notification server that is configured to include the notification means of the authentication server system,
When the stop determination device determines that the authentication server is stopped in the stop determination means, the stop determination device transmits the request received by the reception means to the notification server,
The authentication system according to claim 1, wherein the notification unit of the notification server returns information obtained by adding the stop information to the transmitted request to an application server that is a source of the request. 前記通知手段が前記依頼に付与する前記停止情報は、返信先となるアプリケーションサーバを指定するＵＲＬのパラメータとして付与されることを特徴とする請求項３に記載の認証システム。   The authentication system according to claim 3, wherein the stop information given to the request by the notifying unit is given as a URL parameter that specifies an application server as a reply destination. 前記通知手段が通知する前記停止情報は、自身が利用している通信プロトコルのエラーコードであることを特徴とする請求項１に記載の認証システム。   The authentication system according to claim 1, wherein the stop information notified by the notification unit is an error code of a communication protocol used by itself. 前記通知手段は、予め登録された複数のアプリケーションサーバに対して前記停止情報を通知することを特徴とする請求項１または５に記載の認証システム。   The authentication system according to claim 1, wherein the notification unit notifies the stop information to a plurality of application servers registered in advance. 前記認証サーバは、停止した状態から稼動状態へ移行した際に、稼動状態であることを通知する稼動情報を予め登録した複数のアプリケーションサーバへ通知する稼動情報通知手段を更に具備することを特徴とする請求項１〜６のいずれか１項に記載の認証システム。   The authentication server further includes operation information notifying means for notifying a plurality of application servers registered in advance operation information for notifying that the operation state is in effect when the authentication server shifts from the stopped state to the operation state. The authentication system according to any one of claims 1 to 6. ネットワークを介して利用者端末へ種々のサービスを提供する複数のアプリケーションサーバと、前記サービスの利用を要求する前記利用者端末の利用者の認証を行う認証サーバシステムとを備える認証システムを利用した認証方法であって、
前記ネットワークを介して前記利用者端末からサービスの要求を受信する受信ステップと、
前記受信ステップでサービスの要求を受信した場合に、前記利用者端末経由で前記認証サーバシステムに利用者の認証を行うための認証情報を発行するよう依頼する認証情報依頼ステップと、
前記認証情報依頼ステップの依頼に応じて前記認証サーバシステムから前記利用者端末経由で認証情報を得た場合に、前記認証情報を基に利用者の認証を行う第１の認証ステップと、
前記認証サーバシステムから認証サーバの停止情報を受信した場合には前記利用者端末へ認証に必要な情報を要求する要求ステップと、
前記要求ステップの要求に応じて前記利用者端末から得た前記認証に必要な情報を基に利用者の認証を行う第２の認証ステップと、
前記第１の認証ステップまたは前記第２の認証ステップにより認証された利用者の利用者端末に前記要求に応じたサービスを提供するサービス提供ステップと
を前記アプリケーションサーバにより行い、
前記アプリケーションサーバの前記認証情報依頼ステップによる前記依頼を前記利用者端末経由で受信する受信ステップと、
前記受信ステップでの前記依頼の受信に応じて認証サーバが停止しているか否かを判断する停止判断ステップと、
前記停止判断ステップにおいて前記認証サーバが停止していると判断した場合には、停止情報を前記依頼の元となるアプリケーションサーバへ通知する通知ステップと、
前記停止判断ステップで停止していないと判断した場合には、前記受信ステップで受信した前記依頼を前記認証サーバへ伝達する伝達ステップと、
前記伝達ステップにより伝達された前記依頼に応じて前記認証情報を発行する認証情報発行ステップと、
前記認証情報発行ステップで発行した前記認証情報を前記依頼の元となる前記アプリケーションサーバへ前記利用者端末経由で送信する送信ステップと
を前記認証サーバシステムにより行うこと
を特徴とする認証方法。 Authentication using an authentication system comprising a plurality of application servers that provide various services to a user terminal via a network, and an authentication server system that authenticates the user of the user terminal that requests use of the service A method,
Receiving a service request from the user terminal via the network;
An authentication information requesting step for requesting the authentication server system to issue authentication information for authenticating the user via the user terminal when a service request is received in the receiving step;
A first authentication step for authenticating a user based on the authentication information when the authentication information is obtained from the authentication server system via the user terminal in response to the request of the authentication information request step;
A request step for requesting information required for authentication to the user terminal when receiving stop information of the authentication server from the authentication server system;
A second authentication step for authenticating a user based on information necessary for the authentication obtained from the user terminal in response to the request of the request step;
A service providing step of providing a service according to the request to a user terminal of a user who has been authenticated by the first authentication step or the second authentication step;
A receiving step of receiving the request by the authentication information requesting step of the application server via the user terminal;
A stop determination step of determining whether an authentication server is stopped in response to reception of the request in the reception step;
If it is determined that the authentication server is stopped in the stop determination step, a notification step of notifying the application server that is the source of the request of stop information;
If it is determined that the stop is not stopped in the stop determination step, a transmission step of transmitting the request received in the reception step to the authentication server;
An authentication information issuing step for issuing the authentication information in response to the request transmitted by the transmitting step;
An authentication method comprising: performing a transmission step of transmitting the authentication information issued in the authentication information issuance step via the user terminal to the application server that is the source of the request. ネットワークを介して利用者端末へ種々のサービスを提供する複数のアプリケーションサーバと、前記サービスの利用を要求する前記利用者端末の利用者の認証を行う認証サーバシステムとを備える認証システム用のプログラムであって、
前記ネットワークを介して前記利用者端末からサービスの要求を受信する受信ステップと、
前記受信ステップでサービスの要求を受信した場合に、前記利用者端末経由で前記認証サーバシステムに利用者の認証を行うための認証情報を発行するよう依頼する認証情報依頼ステップと、
前記認証情報依頼ステップの依頼に応じて前記認証サーバシステムから前記利用者端末経由で認証情報を得た場合に、前記認証情報を基に利用者の認証を行う第１の認証ステップと、
前記認証サーバシステムから認証サーバの停止情報を受信した場合には前記利用者端末へ認証に必要な情報を要求する要求ステップと、
前記要求ステップの要求に応じて前記利用者端末から得た前記認証に必要な情報を基に利用者の認証を行う第２の認証ステップと、
前記第１の認証ステップまたは前記第２の認証ステップにより認証された利用者の利用者端末に前記要求に応じたサービスを提供するサービス提供ステップと
を前記アプリケーションサーバにより行い、
前記アプリケーションサーバの前記認証情報依頼ステップによる前記依頼を前記利用者端末経由で受信する受信ステップと、
前記受信ステップでの前記依頼の受信に応じて認証サーバが停止しているか否かを判断する停止判断ステップと、
前記停止判断ステップにおいて前記認証サーバが停止していると判断した場合には、停止情報を前記依頼の元となるアプリケーションサーバへ通知する通知ステップと、
前記停止判断ステップで停止していないと判断した場合には、前記受信ステップで受信した前記依頼を前記認証サーバへ伝達する伝達ステップと、
前記伝達ステップにより伝達された前記依頼に応じて前記認証情報を発行する認証情報発行ステップと、
前記認証情報発行ステップで発行した前記認証情報を前記依頼の元となる前記アプリケーションサーバへ前記利用者端末経由で送信する送信ステップと
を前記認証サーバシステムにより行うこと
をコンピュータに実行させるためのプログラム。 A program for an authentication system, comprising: a plurality of application servers that provide various services to a user terminal via a network; and an authentication server system that authenticates a user of the user terminal that requests use of the service. There,
Receiving a service request from the user terminal via the network;
An authentication information requesting step for requesting the authentication server system to issue authentication information for authenticating the user via the user terminal when a service request is received in the receiving step;
A first authentication step for authenticating a user based on the authentication information when the authentication information is obtained from the authentication server system via the user terminal in response to the request of the authentication information request step;
A request step for requesting information required for authentication to the user terminal when receiving stop information of the authentication server from the authentication server system;
A second authentication step for authenticating a user based on information necessary for the authentication obtained from the user terminal in response to the request of the request step;
A service providing step of providing a service according to the request to a user terminal of a user who has been authenticated by the first authentication step or the second authentication step;
A receiving step of receiving the request by the authentication information requesting step of the application server via the user terminal;
A stop determination step of determining whether an authentication server is stopped in response to reception of the request in the reception step;
If it is determined that the authentication server is stopped in the stop determination step, a notification step of notifying the application server that is the source of the request of stop information;
If it is determined that the stop is not stopped in the stop determination step, a transmission step of transmitting the request received in the reception step to the authentication server;
An authentication information issuing step for issuing the authentication information in response to the request transmitted by the transmitting step;
A program for causing a computer to execute, by the authentication server system, a transmission step of transmitting, via the user terminal, the authentication information issued in the authentication information issuing step to the application server that is the source of the request.
JP2004167539A 2004-06-04 2004-06-04 Authentication system and authentication method Pending JP2005346571A (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2004167539A JP2005346571A (en) 2004-06-04 2004-06-04 Authentication system and authentication method

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2004167539A JP2005346571A (en) 2004-06-04 2004-06-04 Authentication system and authentication method

Publications (1)

Publication Number Publication Date
JP2005346571A true JP2005346571A (en) 2005-12-15

Family

ID=35498864

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2004167539A Pending JP2005346571A (en) 2004-06-04 2004-06-04 Authentication system and authentication method

Country Status (1)

Country Link
JP (1) JP2005346571A (en)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007200134A (en) * 2006-01-27 2007-08-09 Ricoh Co Ltd Log information management device, log information management method, log information management program, and recording medium
JP2009245303A (en) * 2008-03-31 2009-10-22 Fujitsu Ltd Biometric authentication apparatus and program
JP2010146169A (en) * 2008-12-17 2010-07-01 Nippon Telegr & Teleph Corp <Ntt> Web system and request processing method
JP2014178961A (en) * 2013-03-15 2014-09-25 Mitsubishi Electric Corp Data processing device, data processing method, data processing program, and cooperative business system
JP2015197747A (en) * 2014-03-31 2015-11-09 キヤノン株式会社 Device, method, and program
US10326758B2 (en) 2015-06-08 2019-06-18 Ricoh Company, Ltd. Service provision system, information processing system, information processing apparatus, and service provision method

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007200134A (en) * 2006-01-27 2007-08-09 Ricoh Co Ltd Log information management device, log information management method, log information management program, and recording medium
JP4625412B2 (en) * 2006-01-27 2011-02-02 株式会社リコー Log management system and log management method
JP2009245303A (en) * 2008-03-31 2009-10-22 Fujitsu Ltd Biometric authentication apparatus and program
JP2010146169A (en) * 2008-12-17 2010-07-01 Nippon Telegr & Teleph Corp <Ntt> Web system and request processing method
JP2014178961A (en) * 2013-03-15 2014-09-25 Mitsubishi Electric Corp Data processing device, data processing method, data processing program, and cooperative business system
JP2015197747A (en) * 2014-03-31 2015-11-09 キヤノン株式会社 Device, method, and program
US10326758B2 (en) 2015-06-08 2019-06-18 Ricoh Company, Ltd. Service provision system, information processing system, information processing apparatus, and service provision method

Similar Documents

Publication Publication Date Title
US11706218B2 (en) Systems and methods for controlling sign-on to web applications
JP5357246B2 (en) System, method and program product for integrated authentication
TWI400922B (en) Authentication of a principal in a federation
US7475146B2 (en) Method and system for accessing internet resources through a proxy using the form-based authentication
US7296077B2 (en) Method and system for web-based switch-user operation
JP4729651B2 (en) Authentication apparatus, authentication method, and authentication program implementing the method
US20080301784A1 (en) Native Use Of Web Service Protocols And Claims In Server Authentication
US20100071056A1 (en) Method and system for multi-protocol single logout
JPH11212912A (en) Session management system and method
JP2005317022A (en) Account creation via mobile device
JP2002334056A (en) System and method for executing log-in in behalf of user
CN112468481A (en) Single-page and multi-page web application identity integrated authentication method based on CAS
US20100037301A1 (en) Management of user authentication
US8763151B2 (en) Mediation processing method, mediation apparatus and system
JP2006031064A (en) Session management system and management method
JP2005346570A (en) Authentication system, authentication method and computer program
CN113411324B (en) Method and system for realizing login authentication based on CAS and third-party server
JP2000106552A (en) Authentication method
JP2005267529A (en) Login authentication method, login authentication system, authentication program, communication program, and storage medium
JP2005346571A (en) Authentication system and authentication method
JP2011197874A (en) Server apparatus and program
JP2016218825A (en) Single sign-on system, single sign-on method, and computer program
JP2005301424A (en) Distributed authentication system, load distribution device, authentication server, load distribution program, and authentication program
JP2005293161A (en) Authentication system, authentication method and computer program
JP2008077614A (en) Session management program and session management method