JP2024007209A - 情報処理装置、その制御方法、プログラム、及び画像形成装置 - Google Patents

情報処理装置、その制御方法、プログラム、及び画像形成装置 Download PDF

Info

Publication number
JP2024007209A
JP2024007209A JP2022108525A JP2022108525A JP2024007209A JP 2024007209 A JP2024007209 A JP 2024007209A JP 2022108525 A JP2022108525 A JP 2022108525A JP 2022108525 A JP2022108525 A JP 2022108525A JP 2024007209 A JP2024007209 A JP 2024007209A
Authority
JP
Japan
Prior art keywords
information
user
authentication
server
information processing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2022108525A
Other languages
English (en)
Inventor
泰弘 細田
Yasuhiro Hosoda
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Canon Inc
Original Assignee
Canon Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Canon Inc filed Critical Canon Inc
Priority to JP2022108525A priority Critical patent/JP2024007209A/ja
Priority to US18/328,008 priority patent/US20240012593A1/en
Publication of JP2024007209A publication Critical patent/JP2024007209A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1223—Dedicated interfaces to print systems specifically adapted to use a particular technique
    • G06F3/1237—Print job management
    • G06F3/1238—Secure printing, e.g. user identification, user rights for device usage, unallowed content, blanking portions or fields of a page, releasing held jobs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1202—Dedicated interfaces to print systems specifically adapted to achieve a particular effect
    • G06F3/1222—Increasing security of the print job
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/12—Digital output to print unit, e.g. line printer, chain printer
    • G06F3/1201—Dedicated interfaces to print systems
    • G06F3/1278—Dedicated interfaces to print systems specifically adapted to adopt a particular infrastructure
    • G06F3/1285—Remote printer device, e.g. being remote from client or server
    • G06F3/1288—Remote printer device, e.g. being remote from client or server in client-server-printer device configuration

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Human Computer Interaction (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Facsimiles In General (AREA)

Abstract

【課題】 エンベデッドＵＩによるユーザ認証を提供しつつ、多要素認証によるユーザ認証を提供する。【解決手段】 認証サービスを提供するサーバに対してユーザの認証情報を送信し、サーバからの応答結果に基づいてユーザのログインを許可する情報処理装置であって、情報処理装置は、ユーザに認証情報を入力させるための、予め用意された第１のユーザインタフェース、及びブラウジング機能によるレンダリングにより得られた第２のユーザインタフェースのうちの一方のユーザインタフェースを所定の条件に基づいて選択して出力制御する。ここで、前記第１のユーザインタフェースを用いて入力された第１の認証情報をサーバに送信し、この送信に対するサーバからの第１の応答結果を受信する。また、前記第２のユーザインタフェースを用いて入力された第２の認証情報をサーバに送信し、この送信に対するサーバからの第２の応答結果を受信する。【選択図】 図３

Description

本開示は、情報処理装置の多要素認証技術に関する。
インターネットを介して利用可能なサービスとして、企業又は学校等の団体に属するユーザのアカウント等の認証情報又はユーザ情報等を一元管理し、且つユーザ認証機能を提供するクラウドサービス（以下「認証サービス」と呼ぶ。）がある。特許文献１には、認証サービスと連携する画像形成装置が開示されている。また、認証サービスのうちには、多要素認証によるユーザ認証機能を提供するものがある。例えば、マイクロソフト社の“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”、Ｇｏｏｇｌｅ社の“Ｇｏｏｇｌｅ Ｗｏｒｋｓｐａｃｅ（登録商標）”、又はＯｋｔａ社の“Ｏｋｔａ（登録商標）”等がこれにあたる。
特開２０２１－０６０９２４号公報
現在、多要素認証によるユーザ認証機能を提供する認証サービスは、フロントエンドとして動作するクライアントがウェブブラウザであることを前提としている。具体的には、認証サービスは、クライアントがウェブブラウザであることを前提としたＨＴＭＬ（Hypertext Markup Language）ベースのフォーム認証のみをサポートしている。つまり、組み込み機器における独自のＵＩ（User Interface）では、認証サービスが提供する多要素認証によるユーザ認証を行うことができない。組み込み機器における独自のＵＩを、以下、エンベデッドＵＩと呼ぶ。組み込み機器を使い慣れたユーザにとって、ウェブブラウザを介して提供されるユーザ認証用のＵＩ（以下「ブラウザＵＩ」と呼ぶ。）は、組み込み機器ごとに最適化されたエンベデッドＵＩと比較して使い勝手が悪いことがある。
本開示に係る情報処理装置は、認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて前記ユーザのログインを許可する情報処理装置であって、前記ユーザに前記認証情報を入力させるための、予め用意された第１のユーザインタフェース、及びブラウジング機能によるレンダリングにより得られた第２のユーザインタフェースのうちの一方のユーザインタフェースを所定の条件に基づいて選択して出力制御する出力制御手段と、前記第１のユーザインタフェースを用いて入力された第１の認証情報を前記サーバに送信する第１の認証送信手段と、前記第１の認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、前記第２のユーザインタフェースを用いて入力された第２の認証情報を前記サーバに送信する第２の認証送信手段と、前記第２の認証情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、を有する。
本開示によれば、エンベデッドＵＩによるユーザ認証を提供しつつ、多要素認証によるユーザ認証を提供することができる。
情報処理システムの構成の一例を示す図である。 ＭＦＰのハードウェア構成の一例を示すブロック図である。 ＭＦＰ、サーバ、及びユーザ端末の機能構成の一例を示すブロック図である。 ログイン機能設定ページの一例を示す図である。 サーバ設定ページの一例を示す図である。 キーボード認証画面及びＩＣカード認証画面の一例を示す図である。 キーボード認証画面の一例を示す図である。 ログイン画面の表示処理の処理フローの一例を示すフローチャートである。 ログイン画面の画面遷移の一例を示す図である。 ＭＦＰにおける認証処理の処理フローの一例を示すフローチャートである。 ログイン画面の画面遷移の一例を示す図である。 ＭＦＰにおける認証処理の処理フローの一例を示すフローチャートである。 ＩＣカード情報をサーバに登録する際の画面遷移の一例を示す図である。
以下、本開示を実施するための形態について添付の図面を用いて説明する。なお、以下の実施形態は、本開示の範囲を限定するものではない。以下の実施形態には複数の特徴が記載されているが、これらの複数の特徴の全てが必須のものとは限らず、また、複数の特徴は任意に組み合わせられてもよい。更に、添付の図面においては、同一又は同様の構成に対して同一の符号を付すことにより、重複する説明については省略する。
具体的な構成の説明に先立って、認証サービスを用いる例を補足説明する。クラウドサービスで管理されたユーザ認証情報を用いてユーザを認証し、認証に成功したユーザに対してだけ、情報処理装置の利用を許可したいという市場ニーズがある。具体的には、例えば、情報処理装置に配置された操作パネル等からクラウドサービスで管理されたユーザ認証情報をユーザに入力させ、クラウドサービスを用いてユーザを認証し、認証に成功したユーザだけを情報処理装置にログインさせる。クラウドサービスのユーザ認証機能がサポートするプロトコルとしては、例えば、“ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ“の”Ｒｅｓｏｕｒｃｅ Ｏｗｎｅｒ Ｐａｓｓｗｏｒｄ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ“がある。また、クライアントがウェブブラウザであることを前提としたＨＴＭＬ（Hyper Text Markup Language）ベースのフォーム認証についても、クラウドサービスのユーザ認証機能のプロトコルとしてサポートされている。
クラウドサービスのユーザ認証機能には、複数の要素を用いた多要素認証機能がある。多要素認証における二要素目の認証方法が標準的なプロトコルとして規定されていれば、組み込み機器においても、その規定に従った独自のユーザインタフェース（ＵＩ：User Interface）を用意することができる。しかしながら、“ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ”には、多要素認証における二要素目の認証方法が規定されていない。そのため、組み込み機器に予め用意された独自のＵＩ（以下「エンベデッドＵＩ」と呼ぶ。）では、クラウドサービスのユーザ認証機能として提供される多要素認証を利用することができない。現状、クラウドサービスのユーザ認証機能において多要素認証機能を利用する場合には、クライアントがウェブブラウザであることを前提としたＨＴＭＬベースのフォーム認証を用いる必要がある。
また、エンベデッドＵＩとウェブブラウザを介して提供されるユーザ認証用のＵＩ（以下「ブラウザＵＩ」と呼ぶ。）とを比較すると、ブラウザＵＩの方が、使い勝手が悪いことがある。例えば、クラウドサービスで管理されるユーザのアカウント（以下、単に「アカウント」と呼ぶ。）は、ａａａ＠ｂｂｂ．ｃｃｃ．ｄｄｄ（ａａａ、ｂｂｂ、ｃｃｃ、及びｄｄｄは、予め定められた任意の文字列）のような形式をしており、文字数が非常に多い。ここで、＠より前のａａａに対応する任意の文字列は、ユーザごとに割り当てられるユーザを識別するためのもであり、＠より後の文字列はユーザが所属する部門若しくは団体、又はクラウドサービスを提供する企業若しくは団体等を識別するためのものである。エンベデッドＵＩであれば、＠より前のユーザ名にあたる文字列のみをユーザに入力させて、＠以下の入力を省略させることができる。しかしながらブラウザＵＩの場合には、アカウントに対応する文字列の全てを入力する必要がある。
［実施形態１］
図１乃至１３を参照して、実施形態１に係る情報処理装置について説明する。実施形態１では、一例として、本開示に係る情報処理装置は、コピー機能、プリント機能、及びスキャン機能等の複数の機能を有するＭＦＰ（Multifunction Peripheral）であるものとして説明する。なお、本開示に係る情報処理装置は、ＭＦＰに限定されるものではなく、組込み機器であれば、プリンタ若しくは複写機等の画像形成装置、イメージスキャナ等の画像入力装置、監視用の録画装置、又は医療用機器等であってもよい。
＜システム構成＞
図１を参照して、実施形態１に係る情報処理システム１の構成について説明する。情報処理システム１は、ＭＦＰ１０１、サーバ１０２、及びユーザ端末１０３を備える。ＭＦＰ１０１は、本開示に係る情報処理装置であって、コピー機能、プリント機能、及びスキャン機能等の複数の機能を有する組込み機器である。サーバ１０２は、クラウド上に配置されたクラウドサーバであって、クラウドサービスとしてユーザ認証機能を提供する。以下、サーバ１０２が提供するユーザ認証機能をクラウドユーザ認証サービスと称して説明する。ＭＦＰ１０１は、インターネット１０４を介してサーバ１０２と通信することができる。サーバ１０２は、ＭＦＰ１０１に対してクラウドユーザ認証サービスを提供する。ユーザ端末１０３は、ＭＦＰ１０１を使用するユーザ（以下、単に「ユーザ」と表記する。）が所持するスマートフォン若しくはタブレット端末、又はユーザが使用するパーソナルコンピュータ（ＰＣ）等である。ユーザ端末１０３もインターネット１０４を介して、サーバ１０２と通信することができる。情報処理システム１は、図１には図示していないが、ＭＦＰ１０１と同様の構成を有する複数のＭＦＰを有し、また、図１には不図示のＭＦＰを使用するユーザが所持又は使用するユーザ端末を有することを想定している。すなわち、サーバ１０２は、ＭＦＰ１０１と図１には不図示のＭＦＰとを含む複数のＭＦＰに対してクラウドユーザ認証サービスを提供する。
＜ＭＦＰのハードウェア構成＞
図２を参照して、ＭＦＰ１０１のハードウェア構成について説明する。図２は、実施形態１に係るＭＦＰ１０１のハードウェア構成の一例を示すブロック図である。ＣＰＵ（Central Processing Unit）２０１はＭＦＰ１０１の動作を制御するプロセッサである。ＲＡＭ（Random Access Memory）２０３は揮発性メモリである。ＲＡＭ２０３は、演算の際にＣＰＵ２０１のワークエリアとして用いられる。具体的には、ＲＡＭ２０３は、ＲＯＭ（Read Only Memory）２０２又はＨＤＤ（Hard Disk Drive）２０４等に記憶された各種のプログラム及びデータ等を展開するための一時記憶領域として用いられる。ＲＯＭ２０２は不揮発性メモリであり、ＭＦＰ１０１のブートプログラム等の変更の必要がないプログラム及びデータを記憶する。ＨＤＤ２０４は、ＲＡＭ２０３と比較して大容量且つ不揮発性の記憶媒体である。ＨＤＤ２０４には、ＭＦＰ１０１の制御用プログラム、ＯＳ（Operating System）プログラム、及びアプリケーションプログラム、及び各種のデータ等が記憶されている。
ＣＰＵ２０１は、ＭＦＰ１０１の起動時にＲＯＭ２０２に記憶されているブートプログラムを読み出して実行する。このブートプログラムは、ＨＤＤ２０４に記憶されているＯＳプログラムを読み出して、ＲＡＭ２０３上に展開するためのものである。ＣＰＵ２０１は、ブートプログラムを実行すると、続けてＯＳプログラムがＲＡＭ２０３上に展開し、更に、制御用プログラムがＲＡＭ２０３上に展開する。ＣＰＵ２０１は、展開したＯＳプログラム及び制御用プログラムを実行して、ＭＦＰ１０１の制御を行う。また、ＣＰＵ２０１は、制御用プログラムの処理に用いられるデータについても、ＲＯＭ２０２又はＨＤＤ２０４等から読み出して、ＲＡＭ２０３に記憶させる等のデータの読み書きを行う。なお、本実施形態では、ＭＦＰ１０１は、１つのＣＰＵ２０１が後述するフローチャートに示す各処理を実行するものとして説明するが、他の態様であっても構わない。例えば、複数のＣＰＵ又はＭＰＵ（microprocessor unit）等のプロセッサが協働して、後述するフローチャートに示す各処理を実行するように構成することもできる。また、後述する処理の一部をＡＳＩＣ(Application Specific Integrated Circuit)又はＦＰＧＡ(Field-Programmable Gate Array)等のハードウェア回路を用いて実行するように構成してもよい。
操作パネル２０５は、タッチパネル等のタッチ操作による操作入力が可能なディスプレイである。ユーザは、操作パネル２０５のディスプレイに表示されたＵＩを参照しつつ入力操作を行うことにより、ＭＦＰ１０１が有する各機能の実行を指示することができる。
プリンタ２０６は、通信部２０８を介して外部から受信した印刷データが示す画像、又はスキャナ２０７から取得したデジタルデータが示す画像を、記録媒体に形成するプリンタエンジンである。スキャナ２０７は、記録媒体に形成された画像を読み取ってデジタルデータを生成し、生成したデジタルデータを出力するスキャナ装置である。通信部２０８は、インターネット１０４又はオフィス等に構築されたＬＡＮ（Local Area Network）等に接続するためのネットワークインタフェースである。ＩＣカードリーダ２０９は、ユーザが所持するＩＣカードからユーザ認証に使用する情報（以下「ＩＣカード情報」と呼ぶ。）を読み出すための装置であり、ＩＣカード認証を実現するために用いられる装置である。
＜サーバの機能構成＞
図３は、実施形態１に係るＭＦＰ１０１、サーバ１０２、及びユーザ端末１０３の機能構成の一例を示すブロック図である。図３を参照して、まず、サーバ１０２の機能構成について説明する。サーバ１０２は、クラウドサービスを提供する企業若しくは団体等のサービス提供者が契約している企業又は学校等の団体（以下「テナント」と呼ぶ。）に所属する複数のユーザのそれぞれに対応するアカウントを管理する。具体的には、サーバ１０２は、アカウントとして、ユーザの認証情報又はユーザ情報等を一元管理する。また、サーバ１０２は、クラウドユーザ認証サービスを含むクラウドサービスを提供する。サーバ１０２が提供するクラウドサービスは、マイクロソフト社の“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”、Ｇｏｏｇｌｅ社の“Ｇｏｏｇｌｅ Ｗｏｒｋｓｐａｃｅ（登録商標）”、又はＯｋｔａ社の“Ｏｋｔａ（登録商標）”等である。サーバ１０２は、テナントをテナントＩＤ（identification）又はテナント名により識別して管理する。テナント名は、ドメイン名又はディレクトリ名と呼ばれることもある。例えば、“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”では、テナントの管理のために、次表１に一例として示すようなテナントＩＤ及びテナント名（ドメイン名）が使用される。なお、eeeeeeee、ffff、gggg、hhhh、iiiiiiiiiiii、jjjjjj、kkkkkkkkkkk、及びlllは、予め定められた任意の文字列である。
サーバ１０２は、ＨＴＴＰ（Hypertext Transfer Protocol）を用いてＭＦＰ１０１等のクライアントと通信するためのＷｅｂサービス部３１０を備える。Ｗｅｂサービス部３１０は、認証プロトコルとして、例えば、“ＯＡｕｔｈ２．０”、“ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ”、“ＷＳ－Ｆｅｄｅｒａｔｉｏｎ”、“ＳＡＭＬ２．０”、及び“ＲＥＳＴ ＡＰＩ”をサポートする。例えば、マイクロソフト社の“Ａｚｕｒｅ（登録商標）”が提供する“ＲＥＳＴ ＡＰＩ”には、“Ｇｒａｐｈ ＡＰＩ”と呼ばれるものがある。Ｗｅｂサービス部３１０は、ユーザ端末１０３で動作するウェブブラウザ３４０を用いてサーバ１０２にアクセスするユーザに対して、ＨＴＭＬ等で構成されたウェブページを提供する。例えば、テナントの管理者（以下、単に「管理者」と呼ぶ。）は、Ｗｅｂサービス部３１０から提供されるウェブページを使用して、管理するテナントに所属するユーザのアカウントを登録及び管理する。ユーザ管理部３１２は、ウェブページを使用して登録された複数のユーザのそれぞれに対応するアカウントの情報を記憶して管理する。例えば、“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”では、１つのアカウントに関連付く情報として、次表２に示す情報を管理することができる。
ユーザ名は、ユーザを一意に特定するための識別子である。例えば、“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”の場合、“ａａａ＠ｂｂｂ．ｃｃｃ．ｄｄｄ”のようにユーザの名前を示す文字列とテナント名を示す文字列とを＠で結合したものがユーザ名として用いられる。ユーザは、管理者によってユーザ管理部３１２に登録されたユーザ名とパスワードとを用いたユーザ認証の後に、Ｗｅｂサービス部３１０が提供するウェブページにアクセスしたり、“ＲＥＳＴ ＡＰＩ”を使用したりすることができる。また、ユーザ認証に成功したユーザは、Ｗｅｂサービス部３１０から提供されるウェブページにアクセスして、多要素認証を設定又は変更を行うことができる。例えば、ユーザは、多要素認証の設定において、多要素認証手段における二要素目に使用する認証手段として、複数の手段の中から１つを選択することができる。二要素目の認証手段としては、ＳＭＳ（short message service）、認証用のアプリケーション（以下「認証アプリケーション」と呼ぶ。）、又は認証トークン等がある。
ＳＭＳを用いた認証では、まず、サーバ１０２は、スマートフォン等のＳＭＳを利用可能なユーザ端末１０３に、ＳＭＳを用いてワンタイムパスワードを送信する。ユーザ端末１０３は、ワンタイムパスワードを受信し、受信したワンタイムパスワードをユーザ端末１０３に配置された表示部に表示する。ユーザは、ユーザ端末１０３の表示部に表示されたワンタイムパスワードを確認して、ワンタイムパスワードをＭＦＰ１０１のブラウザＵＩに入力する。ＭＦＰ１０１は、ブラウザＵＩに入力されたワンタイムパスワードをサーバ１０２に送信して、サーバ１０２に対して二要素目のユーザ認証を要求する。
認証アプリケーションを用いた認証では、まず、サーバ１０２は、ワンタイムパスワードをユーザ端末１０３に送信する。ユーザ端末１０３で動作する認証アプリケーション３２０は、モバイルアプリケーションのＰｕｓｈ通知機能を用いて、受信したワンタイムパスワードをユーザ端末１０３の表示部に表示する。ユーザは、ユーザ端末１０３の表示部に表示されたワンタイムパスワードを確認して、ワンタイムパスワードをＭＦＰ１０１のブラウザＵＩに入力する。ＭＦＰ１０１は、ブラウザＵＩに入力されたワンタイムパスワードをサーバ１０２に送信して、サーバ１０２に対して二要素目のユーザ認証を要求する。
認証アプリケーションを用いた認証は、上述の形態に限定されるものでない。例えば、サーバ１０２は、承認要求をユーザ端末１０３に送信する。ユーザ端末１０３で動作する認証アプリケーション３２０は、モバイルアプリケーションのＰｕｓｈ通知機能を用いて、受信した承認要求に応答するためのＵＩをユーザ端末１０３の表示部に表示する。ユーザは、このＵＩを用いて承認の可否を示す入力操作を行う。認証アプリケーション３２０は、入力操作に対応する承認の可否を示す情報をサーバ１０２に送信することにより、承認要求に対して応答する。
認証トークンを用いた認証では、ユーザ端末１０３は、ユーザ端末１０３で動作する認証アプリケーション３２０により算出されたＴＯＴＰ(Time-based One-time Password)をサーバ１０２に送信する。ＴＯＴＰは、ＲＦＣ６２３８に規定されたワンタイムパスワードの生成手法である。この生成手法では、ユーザ端末１０３は、時刻情報とユーザ毎に生成したＴＯＴＰのシークレットとを使用してワンタイムパスワードを生成する。ＴＯＴＰのシークレットは、乱数による値である。ユーザが初めて多要素認証を有効化する際に、例えば、ユーザは、まず、ＱＲコード（登録商標）の画像データをユーザ端末１０３に取り込む。具体的には、例えば、ユーザは、ウェブページに挿入されたＱＲコードを、ユーザ端末１０３に配置された撮像装置で撮像する手法、又は画面キャプチャする手法等により、ＱＲコードの画像データをユーザ端末１０３に取り込む。
認証アプリケーション３２０は、この画像データに基づいてＱＲコードが示すシークレットを取得し、取得後以降、時間経過と共に変化するワンタイムパスワードを算出する。認証アプリケーション３２０は、算出したワンタイムパスワードをユーザ端末１０３の表示部に表示する。ユーザは、ユーザ端末１０３の表示部に表示されたワンタイムパスワードを確認して、ワンタイムパスワードをＭＦＰ１０１のブラウザＵＩに入力する。ＭＦＰ１０１は、ブラウザＵＩに入力されたワンタイムパスワードをサーバ１０２に送信して、サーバ１０２に対して二要素目のユーザ認証を要求する。認証アプリケーション３２０の例としては、Ｇｏｏｇｌｅ社の“Ｇｏｏｇｌｅ Ａｕｔｈｅｎｔｉｃａｔｏｒ（登録商標）”、又はマイクロソフト社の“Ｍｉｃｒｏｓｏｆｔ Ａｕｔｈｅｎｔｉｃａｔｏｒ（登録商標）”等がある。
Ｗｅｂサービス部３１０は、多要素認証を有効化したユーザに対して、ユーザ名とパスワードとを用いたユーザ認証に加えて、例えば、上述のいずれかの認証手段を用いて、二要素目のユーザ認証を行う。管理者は、ユーザ管理部３１２に登録したユーザに対して、多要素認証の利用を強制する設定を行うことができる。あるユーザに対して多要素認証の利用を強制する設定が行われ、このユーザが多要素認証を有効化していない状態でウェブページにアクセスした場合、例えば、Ｗｅｂサービス部３１０は、多要素認証を有効化するように促す旨の情報をウェブページに挿入する。
管理者は、Ｗｅｂサービス部３１０から提供されるウェブページを使用して、ユーザグループの作成及び管理を行うことができる。グループ管理部３１３は、管理者により作成されたユーザグループの情報を管理する。また、管理者は、Ｗｅｂサービス部３１０から提供されるウェブページを使用して、アプリケーションの情報を登録及び管理を行うことができる。ここでいうアプリケーションとは、サーバ１０２にアクセス可能なクライアントである。クライアントとは、例えば、サーバ１０２とは異なるクラウドサーバにより提供されるクラウドサービス、ユーザ端末１０３にインストールされたアプリケーション、又はＭＦＰ１０１で動作するサービス若しくはアプリケーション等である。アプリケーション管理部３１４は、次表３に一例として示す、管理者により登録されたアプリケーションの情報を管理する。なお、mmmmmm、nnnnnnnn、oooo、pppp、qqqq、rrrrrrrrrrrr、及び***********は、予め定められた任意の文字列である。
アプリケーションＩＤは、クライアントＩＤとも呼ばれ、アプリケーション（クライアント）を一意に特定するための識別子である。シークレットは、正当なアプリケーション（クライアント）であることを認証するために使用されるパスワードである。本実施形態では、アプリケーションＩＤ及びクライアントＩＤを総称してアプリケーションＩＤと呼ぶ。アプリケーションＩＤは、例えば、 “ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ”の“２．３．１． Ｃｌｉｅｎｔ Ｐａｓｓｗｏｒｄ”に記載の“ｃｌｉｅｎｔ＿ｉｄ”として使用される。また、同様に、シークレットは、例えば、“ｃｌｉｅｎｔ＿ｓｅｃｒｅｔ”として使用される。アプリケーションのアクセス権限として、クライアントとして認証が成功したアプリケーションが利用可能な“ＲＥＳＴ ＡＰＩ”を登録することができる。例えば、“Ｕｓｅｒ．ＲｅａｄＡｌｌ”は、全てのユーザの情報を読み出すことができることを意味しており、“Ｕｓｅｒ．ＲｅａｄＷｒｉｔｅＡｌｌ”は、全てのユーザの情報を読み書き可能なことを示す。また、“Ｇｒｏｕｐ．ＲｅａｄＡｌｌ”は、全てのユーザグループの情報を読み出すことができることを示す。
認証・認可サービス部３１１は、ユーザ管理部３１２、グループ管理部３１３、及びアプリケーション管理部３１４のそれぞれが管理する情報を参照して、Ｗｅｂサービス部３１０にアクセスするユーザ又はクライアント（アプリケーション）を認証する。また、認証・認可サービス部３１１は、認証が成功したクライアント（アプリケーション）に対して“ＲＥＳＴ ＡＰＩ”へのアクセス許可を与える。
＜ＭＦＰの機能構成＞
図３を参照して、ＭＦＰ１０１の機能構成について説明する。ローカルＵＩ制御部３０１は、操作パネル２０５のディスプレイに表示するローカルＵＩを提供する。ローカルＵＩは、ログイン画面、メニュー画面、及び設定画面等である。例えば、メニュー画面には、コピー機能若しくはスキャン機能等のＭＦＰ１０１が提供する機能をユーザに選択させるためのボタン、又はＭＦＰ１０１の設定を行うための設定画面を表示させるためのボタン等が表示される。ログイン画面については後述する。ローカルＵＩ制御部３０１は、ローカルＵＩの画面遷移の制御を行う。
例えば、メニュー画面において、ユーザがコピー機能に対応するボタンを押下した場合、ＭＦＰ１０１は、プリンタ２０６とスキャナ２０７とを制御して、ユーザにコピー機能を提供する。このとき、ローカルＵＩ制御部３０１は、コピー機能の設定又はコピー機能の状態を確認するためのローカルＵＩを提供する。また、ユーザがスキャン機能に対応するボタンを押下した場合、ＭＦＰ１０１は、スキャナ２０７と通信部２０８とを制御して、記録媒体に形成された画像の読み取りにより得たデジタルデータを所定の装置に送信するスキャン機能を提供する。このとき、ローカルＵＩ制御部３０１は、スキャン機能の設定又はスキャン機能の状態を確認するためのローカルＵＩを提供する。なお、本実施形態では、ＭＦＰ１０１が提供する各機能を実行するための処理は、ローカルＵＩ制御部３０１が行うものとする。
リモートＵＩ制御部３０２は、ＨＴＴＰサーバ機能を有し、ＨＴＭＬで構成されるウェブページを示す情報をユーザ端末１０３に出力して、リモートアクセスするユーザに対してウェブページを提供する。具体的には、ユーザは、ユーザ端末１０３で動作するウェブブラウザを利用してリモートＵＩ制御部３０２にアクセスし、ユーザ端末１０３にウェブページを示す情報を取得させる。ユーザ端末１０３で動作するウェブブラウザは、取得したウェブページを示す情報をレンダリングして、ウェブページをリモートＵＩとして表示させる。ユーザは、リモートＵＩを用いて、ＭＦＰ１０１の設定を変更したり、ＭＦＰ１０１が提供する機能を利用したりすることができる。
ログインサービス部３０３は、ＭＦＰ１０１が提供する機能又はアプリケーションをユーザが利用する際のユーザ認証を行う。ＩＣカードリーダドライバ３０４は、ＩＣカードリーダ２０９を制御するドライバであり、ＩＣカードからＩＣカード情報を取得して、ログインサービス部３０３にＩＣカード情報を提供する。ログインサービス部３０３は、ウェブブラウザ機能を提供するブラウジング部３０５を内包する。ブラウジング部３０５は、ウェブブラウザ３４０と同様に、ＨＴＭＬで構成されるウェブページを示す情報を取得し、取得したウェブページを示す情報をレンダリングして、ウェブページをログイン画面として操作パネル２０５のディスプレイに描画する。ブラウジング部３０５は、ウェブページを示す情報をサーバ１０２のＷｅｂサービス部３１０から取得する。ブラウジング部３０５は、ＷｅｂＫＩＴ等のＨＴＭＬレンダリングエンジンを含み、ウェブブラウザ機能は、このＨＴＭＬレンダリングエンジンにより提供される。以下、ＭＰＦ１０１で動作するＨＴＭＬレンダリングエンジンが操作パネル２０５のディスプレイにウェブページを描画させる機能をＷｅｂＶｉｅｗと称して説明する。
＜ログインサービス部３０３の処理＞
図４乃至７を参照して、ログインサービス部３０３が提供するログイン機能の設定とログインサービス部３０３の処理について説明する。図４は、実施形態１に係るログインサービス部３０３が提供するログイン機能を設定するためのＵＩ（以下「ログイン機能設定ページ４００」と呼ぶ。）の一例を示す図である。ログイン機能設定ページ４００は、リモートＵＩ制御部３０２が提供するウェブページであって、ログイン機能設定ページ４００を示す情報をユーザ端末１０３で動作するウェブブラウザ３４０がレンダリングすることにより得られるウェブページである。管理者は、ログイン機能設定ページ４００を用いて、ユーザのログイン方法の設定、並びに、ＭＦＰ１０１のみで管理されるアカウント（以下「ローカルアカウント」と呼ぶ。）の登録、編集、及び削除等の設定を行うことができる。ログイン機能設定ページ４００で設定された値（以下「設定値」とも呼ぶ。）は、ＨＤＤ２０４に記憶される。ログインサービス部３０３は、ログイン機能に関する設定値をＨＤＤ２０４から読み出す。ログインサービス部３０３の振る舞いは、この読み出された設定値に基づいて決定される。
設定項目４０１は、ローカルＵＩでのログイン方法の設定に関する項目である。「キーボード認証」及び「ＩＣカード認証」のそれぞれについて、有効にするか否かを設定することができる。キーボード認証は、ユーザ名とパスワードとをユーザに入力させて、これらを用いてユーザ認証を行う認証手段である。ＩＣカード認証は、ユーザが所持するＩＣカードを用いてユーザ認証を行う認証手段である。
図６（ａ）は、実施形態１に係るキーボード認証画面６０１の一例を示す図である。設定項目４０１において、キーボード認証を有効する設定がなされている場合、例えば、ログインサービス部３０３は、ユーザ認証の際に、ローカルＵＩ制御部３０１からキーボード認証のためのＵＩ（例えば、キーボード認証画面６０１）を示す情報を取得する。更に、ログインサービス部３０３は、図６（ａ）に一例として示すキーボード認証画面６０１を操作パネル２０５のディスプレイに表示させる。なお、キーボード認証画面６０１は、ＭＦＰ１０１にユーザをログインさせるためのログイン画面の１つであり、ＭＦＰ１０１において予め用意された独自のエンベデッドＵＩである。
図６（ｂ）は、実施形態１に係るＩＣカード認証画面６０４の一例を示す図である。設定項目４０１において、ＩＣカード認証を有効にする設定がなされている場合、例えば、ログインサービス部３０３は、ユーザ認証の際にローカルＵＩ制御部３０１からＩＣカード認証のためのＵＩ（例えば、ＩＣカード認証画面６０４）を示す情報を取得する。更に、ログインサービス部３０３は、図６（ｂ）に一例として示すＩＣカード認証画面６０４を操作パネル２０５のディスプレイに表示させる。なお、ＩＣカード認証画面６０４は、ＭＦＰ１０１にユーザをログインさせるためのログイン画面の１つであり、ＭＦＰ１０１において予め用意された独自のエンベデッドＵＩである。設定項目４０１において、「キーボード認証」及び「ＩＣカード認証」の両方を有効にする設定がなされている場合、例えば、キーボード認証画面６０１には、ＩＣカード認証画面６０４へ画面遷移するボタン６０２が表示される。また、この場合、例えば、ＩＣカード認証画面６０４には、キーボード認証画面６０１へ画面遷移するボタン６０５が表示される。これにより、ユーザは、キーボード認証画面６０１とＩＣカード認証画面６０４とを切り替えて、所望のログイン方法を選択することができる。
設定項目４０２は、認証先の設定に関する項目である。設定項目４０２では、管理者は、認証先として「ローカル」及び「サーバ」のそれぞれについて、有効にするか否かを設定することができる。設定項目４０３は、ローカルアカウントについての設定に関する項目である。設定項目４０３では、管理者は、ローカルアカウントに関する設定を行うことができる。設定項目４０２及び設定項目４０３の設定値はＨＤＤ２０４に記憶される。例えば、ローカルアカウントは、次表４に一例として示すようなユーザカウントテーブルとしてＨＤＤ２０４に記憶されて管理される。ユーザカウントテーブルの項目としては、表４に一例として示すように、ユーザ名、パスワード、カードＩＤ、ロール、及びメールアドレス等がある。なお、ssssssss、tttttttt、uuuuuuuu、vvvvvvvv、wwwwwwww、xxxxx、及びyyyは、予め定められた任意の文字列である。
設定項目４０２において「ローカル」を有効にする設定がなされている場合、設定項目４０３の設定値を用いてユーザ認証が行われる。具体的には、例えば、ログインサービス部３０３は、キーボード認証画面６０１に入力されたユーザ名及びパスワードを示す情報と、設定項目４０３で設定されているユーザ名及びパスワードの値とを比較してユーザ認証を行う。「カードＩＤ」は、ＩＣカード認証の際に用いられるＩＣカードに配置されたＩＣチップに格納された情報に対応する文字列の情報である。例えば、ログインサービス部３０３は、ＩＣカード認証画面６０４を表示している際に取得したＩＣカード情報と、設定項目４０３で設定されているカードＩＤの値とを比較してユーザ認証を行う。
「ロール」は、ＭＦＰ１０１が提供する機能又はアプリケーション等についてのユーザに対する使用の権限を示す情報である。ロールに設定されている値と機能又はアプリケーション等の使用の権限との対応は、次表５に一例として示すようなロール情報テーブルで管理される。ロールの設定値は、ＭＦＰ１０１が工場出荷時において設定された初期値に加えて、管理者が任意に追加できるようにしてもよい。また、管理者がロールの設定値に対応する使用の権限を所望の権限に変更できるようにしてもよい。
設定項目４０２において、「サーバ」を有効にする設定がなされている場合、管理者は、認証の際に用いるクラウドユーザ認証サービスを複数の選択肢の中から１つ選択する。更に、管理者は、選択したクラウドユーザ認証サービスの設定を行うためのボタン４０４を押下して、クラウドユーザ認証サービスの設定を行う。ここで、選択肢として挙げられるクラウドユーザ認証サービスの例としては、上述の、“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”、“Ｇｏｏｇｌｅ Ｗｏｒｋｓｐａｃｅ（登録商標）”、又は“Ｏｋｔａ（登録商標）”等がある。
図５は、実施形態１に係るサーバ設定ページ５００の一例を示す図である。例えば、「認証サービス３のサーバ設定」のボタン４０４が押下された場合、その応答として、リモートＵＩ制御部３０２は、図５に一例として示す認証サービス３のサーバ設定ページ５００を示す情報をユーザ端末１０３に送信する。ユーザ端末１０３で動作するウェブブラウザ３４０は、この情報をレンダリングすることにより、サーバ設定ページ５００を表示させる。認証サービス３のサーバ設定ページ５００は、クラウドユーザ認証サービスである認証サービス３と連携するために必要な情報を設定するためのウェブページである。「認証先の表示名」は、ユーザが認証の際に用いるクラウドユーザ認証サービスを識別するための情報である。設定した文字列は、キーボード認証画面６０１の「認証先」に対応する領域６０６に表示される。テナント名には、表１に示す値と同一の値が設定される。「アプリケーションＩＤ」及び「シークレット」には、表３示す情報と同一の値が設定される。
設定項目５０１は、ユーザ名及びパスワードを用いてユーザ認証を行う際のＵＩとして、ブラウジング部３０５が提供するウェブブラウザ機能を使用するか否かを設定するための項目である。ユーザは、「常時」、「多要素認証時のみ」、及び「使用しない」の中から１つを選択する。図７は、実施形態１に係るキーボード認証画面７０１の一例を示す図である。なお、キーボード認証画面７０１は、ＭＦＰ１０１にユーザをログインさせるためのログイン画面の１つであり、ＭＦＰ１０１のブラウジング部３０５が提供するウェブブラウザ機能を介して提供されるブラウザＵＩである。キーボード認証画面７０１における領域７００は、サーバ１０２のＷｅｂサービス部３１０から取得した、ＨＴＭＬで構成されるユーザ認証ページを示す情報を、ＷｅｂＶｉｅｗによるレンダリングにより得たユーザ認証ページ７０２を描画する領域である。
設定項目５０１において「常時」が選択されている場合、ログインサービス部３０３は、ユーザ認証の際に、サーバ１０２のＷｅｂサービス部３１０からキーボード認証のためのユーザ認証ページを示す情報を取得する。ブラウジング部３０５は、ログインサービス部３０３が取得した情報をレンダリングする。ブラウジング部３０５は、レンダリングにより得たユーザ認証ページ７０２を領域７００に描画する。
キーボード認証画面７０１は、ＭＦＰ１０１へのログインを認証するための画面であるため、ユーザが任意のＵＲＬ（Uniform Resource Locator）を入力できないように構成されている。これにより、ユーザが任意のＵＲＬを指定して意図しない画面に画面遷移することを防止することができる。設定項目４０２において、「ローカル」及び「サーバ」の両方を有効にする設定がなされている場合、図７に一例として示すように、キーボード認証画面７０１は、ボタン７０３を含んでいてもよい。ボタン７０３は、キーボード認証画面７０１からキーボード認証画面６０１に表示を切り替えるためのボタンであり、ユーザは、ボタン７０３を押下することにより、上述の表示の切り替えを行うことができる。
設定項目５０１において、「使用しない」が選択されている場合、ユーザ認証の際に、例えば、ログインサービス部３０３は、ローカルＵＩ制御部３０１からエンベデッドＵＩ（例えば、キーボード認証画面６０１）を示す情報を取得する。更に、ログインサービス部３０３は、図６（ａ）に一例として示すキーボード認証画面６０１、又は図６（ｂ）に一例として示すＩＣカード認証画面６０４を操作パネル２０５のディスプレイに表示させる。設定項目５０１において、「多要素認証時のみ」が選択されている場合については後述する。
設定項目５０２は、キーボード認証画面６０１に入力されたユーザ名を示す情報を補完するための設定に関する項目である。ログインサービス部３０３は、キーボード認証画面６０１に入力されたユーザ名を示す情報に＠が含まれない場合、＠以降の入力が省略されていると判定する。この場合、ログインサービス部３０３は、キーボード認証画面６０１に入力されたユーザ名と設定項目５０２に設定された文字列とを＠で連結した文字列をユーザ名として、連結後の文字列を示す情報をユーザ認証に使用する。具体的には、例えば、キーボード認証画面６０１に入力されたユーザ名を示す情報が「[email protected]」であった場合、ログインサービス部３０３は、入力された文字列を示す情報をそのままユーザ認証に使用する。キーボード認証画面６０１に入力されたユーザ名を示す情報が「alice」であった場合、ログインサービス部３０３は、＠以降の文字入力が省略されているものとする。具体的には、ログインサービス部３０３は、「alice」の後に「@jjjjjj.kkkkkkkkkkk.lll」を補完する。更に、ログインサービス部３０３は、補完後の「[email protected]」を示す情報をユーザ認証に使用する。
設定項目５０３は、ＩＣカードのカードＩＤをクラウドユーザ認証サービスのユーザ属性に設定する際の項目する。例えば、“Ａｚｕｒｅ Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標）”には、表２に一例として示すようなユーザ属性がある。ＩＣカードから従業員ＩＤを示す情報を取得して認証する場合、設定項目５０３には、例えば「employeeId」を設定する。また、表２に示す従業員ＩＤは、本来、属性値として「employeeId」が設定される領域であるが、従業員ＩＤを、ＩＣカードの製造番号等のカードＩＤを格納する領域として代用することもできる。
＜ＭＦＰの動作＞
ＭＦＰ１０１の動作について説明する。なお、本実施形態では、後述する処理フローの手順が、制御用プログラムに記録されているものとして説明する。制御用プログラムは、ＲＯＭ２０２又はＨＤＤ２０４等の不揮発性の記憶媒体に記憶されており、ＲＡＭ２０３に展開され、ＣＰＵ２０１により処理フローに従って各処理が実行される。ＭＦＰ１０１が機能構成として有する、図３に示す各部の処理は、ＣＰＵ２０１が制御用プログラムを実行することにより実現されるが、ＣＰＵ２０１がその全ての処理を行う必要はない。例えば、上述したように、ＭＦＰ１０１は１つ以上の処理を行う専用のハードウェア回路を備えてもよい。また、ローカルＵＩ制御部３０１、リモートＵＩ３０２、ログインサービス部３０３、及びＩＣカードリーダドライバ３０４としてそれぞれを機能させる制御用プログラムは、互いにＡＰＩ（Application Programming Interface）を提供する。各制御用プログラムは、このＡＰＩを相互に使用することによって、協調して動作する。処理フローの説明では、ＡＰＩの呼び出しについては省略する。
＜ログイン画面の表示処理フロー＞
図８は、実施形態１に係るＭＦＰ１０１におけるログイン画面の表示処理の処理フローの一例を示すフローチャートである。ＭＦＰ１０１は、ＭＦＰ１０１の起動が完了したとき、ログイン機能に関する設定の変更を検知したとき、又はユーザのログアウトを検知して再びログイン画面を表示するとき等に、図８に示すフローチャートの処理を開始する。なお、以下の説明において、記号「Ｓ」はステップを意味する。
まず、Ｓ８０１にて、ログインサービス部３０３は、ログイン機能設定ページ４００の設定値をＨＤＤ２０４から読み出すことにより取得する。次に、Ｓ８０２にて、ログインサービス部３０３は、設定項目４０２において、「サーバ」を有効にする設定がなれているか否かを判定する。Ｓ８０２にて「サーバ」を有効にする設定がなれていると判定された場合、ＭＦＰ１０１は、Ｓ８０３の処理を実行する。この場合、Ｓ８０３にて、ログインサービス部３０３は、設定項目４０２で選択されているクラウドユーザ認証サービスに対応するサーバ設定ページ５００の設定値をＨＤＤ２０４から読み出すことにより取得する。Ｓ８０３の後、Ｓ８０４にて、ログインサービス部３０３は、設定項目５０１の設定値が「常時」であるか否かを判定する。
Ｓ８０４にて設定項目５０１の設定値が「常時」であると判定された場合、Ｓ８０５にて、ログインサービス部３０３は、サーバ１０２のＷｅｂサービス部３１０からキーボード認証用のユーザ認証ページ７０２を示す情報を取得する。Ｓ８０５の後、Ｓ８０６にて、ログインサービス部３０３が内包するブラウジング部３０５は、Ｓ８０５にて取得された情報をレンダリングする。Ｓ８０６の後、Ｓ８０７にて、ブラウジング部３０５は、Ｓ８０６のレンダリングにより得たユーザ認証ページ７０２を領域７００に描画する。なお、設定項目４０２において「ローカル」及び「サーバ」の両方を有効にする設定がなされている場合、ログインサービス部３０３は、以下のようなログイン画面を操作パネル２０５のディスプレイに表示させてもよい。この場合、例えば、ログインサービス部３０３は、Ｓ８０７にてブラウザＵＩを表示させる際に、ボタン７０３を含むログイン画面を操作パネル２０５のディスプレイに表示させる。図８には図示していないが、ユーザがボタン７０３を押下したときに、例えば、ＭＦＰ１０１は、後述するＳ８１１、及び、Ｓ８１２又はＳ８１３の処理を実行する。これにより、ＭＦＰ１０１は、キーボード認証画面６０１又はＩＣカード認証画面６０４をログイン画面として操作パネル２０５のディスプレイに表示させる。
Ｓ８０２にて「サーバ」を有効にする設定がなれていないと判定された場合、又はＳ８０４にて設定値が「常時」でないと判定された場合、ＭＦＰ１０１は、Ｓ８１１の処理を実行する。この場合、Ｓ８１１にて、ログインサービス部３０３は、設定項目４０１において、「ＩＣカード認証」を有効にする設定がなれているか否かを判定する。Ｓ８１１にて「ＩＣカード認証」を有効にする設定がなれていると判定された場合、Ｓ８１２にて、ログインサービス部３０３は、まず、ローカルＵＩ制御部３０１からＩＣカード認証画面６０４を示す情報を取得する。次に、ＩＣカード認証画面６０４をログイン画面として操作パネル２０５のディスプレイに表示させる。Ｓ８１１にて「ＩＣカード認証」を有効にする設定がなれていないと判定された場合、Ｓ８１３にて、ログインサービス部３０３は、まず、ローカルＵＩ制御部３０１からキーボード認証画面６０１を示す情報を取得する。次に、キーボード認証画面６０１をログイン画面として操作パネル２０５のディスプレイに表示させる。
なお、設定項目４０１において、「キーボード認証」及び「ＩＣカード認証」の両方を有効にする設定がなされている場合、ログインサービス部３０３は、ボタン６０２を含めたキーボード認証画面６０１を操作パネル２０５のディスプレイに表示させる。同様に、この場合、ログインサービス部３０３は、ボタン６０５を含めたＩＣカード認証画面６０４を操作パネル２０５のディスプレイに表示させる。
図８には図示していないが、ユーザがボタン６０２を押下したときに、ＭＦＰ１０１は、Ｓ８１２の処理を実行して、ＩＣカード認証画面６０４を操作パネル２０５のディスプレイに表示させる。同様に、図８には図示していないが、ユーザがボタン６０５を押下したときに、ＭＦＰ１０１は、Ｓ８１３の処理を実行して、キーボード認証画面６０１を操作パネル２０５のディスプレイに表示させる。ユーザがボタン６０５を押下したときに、ＭＦＰ１０１は、以下のような処理を行ってもよい。ユーザがボタン６０５を押下したときに、例えば、ＭＦＰ１０１は、まず、設定項目５０１の設定値が「常時」であるか否かを判定する。設定項目５０１の設定値が「常時」であると判定された場合、例えば、ＭＦＰ１０１は、Ｓ８０５からＳ８０７までの処理を実行して、キーボード認証画面７０１を操作パネル２０５のディスプレイに表示させる。設定項目５０１の設定値が「常時」でないと判定された場合、例えば、ＭＦＰ１０１は、Ｓ８１３の処理を実行して、キーボード認証画面６０１を操作パネル２０５のディスプレイに表示させる。
ログインサービス部３０３がログイン画面として操作パネル２０５のディスプレイに表示させるキーボード認証画面７０１における領域７００に描画されるユーザ認証ページ７０２は、サーバ１０２のＷｅｂサービス部３１０から提供されたウェブページである。そのため、表４に一例として示すローカルアカウントのみが設定されているユーザ、すなわち、サーバ１０２のユーザ管理部３１２でアカウントの管理が行われていないユーザは、キーボード認証画面７０１を用いてＭＦＰ１０１にログインすることができない。このようなユーザは、操作パネル２０５のディスプレイにキーボード認証画面７０１が表示されたときに、ボタン７０３を押下して、例えば、キーボード認証画面６０１又はＩＣカード認証画面６０４を表示させる。キーボード認証画面６０１が表示された場合、更に、ユーザは、キーボード認証画面６０１の「認証先」を「ローカル」に変更して認証操作を行う。
＜キーボード認証画面での認証処理フロー＞
図９及び１０を参照して、サーバ１０２のユーザ管理部３１２が管理するアカウントの情報を用いて、ユーザがＭＦＰ１０１にログインする際のＭＦＰ１０１の動作について説明する。図９は、実施形態１に係るログイン画面の画面遷移の一例を示す図である。図１０は、実施形態１に係るＭＦＰ１０１における認証処理の処理フローの一例を示すフローチャートである。具体的には、図１０に一例として示すフローチャートは、図９に示すキーボード認証画面６０１での認証操作時において、サーバ１０２のユーザ管理部３１２が管理するアカウントの情報を用いてユーザ認証が行われる際の処理フローである。ここで、図９に示すキーボード認証画面６０１は、図６（ａ）に示すキーボード認証画面６０１と同様のものである。なお、ＭＦＰ１０１は、図１０に示すフローチャートの処理を実行する前に、ログイン画面としてキーボード認証画面６０１を操作パネル２０５のディスプレイに表示させた状態で待機しているものとして説明する。
まず、Ｓ１００１にて、ログインサービス部３０３は、ユーザによる認証操作を検知する。具体的には、ユーザは、キーボード認証画面６０１において、ユーザ名及びパスワードを示す文字列を入力する。更に、ユーザは、領域６０６に所望のクラウドユーザ認証サービスが選択された状態でボタン６０７が押下する。ログインサービス部３０３は、ボタン６０７が押下されたことを検知することにより、ユーザによる認証操作を検知する。次に、Ｓ１００２にて、ログインサービス部３０３は、入力されたユーザ名の文字列を示す情報とパスワードの文字列を示す情報とをサーバ１０２へ送信してユーザ認証を要求する。なお、このとき、ログインサービス部３０３は、上述したように、必要に応じて、ユーザ名を示す文字列に＠以下の文字列を補完して、補完後の文字列を示す情報をパスワードの文字列を示す情報と共に送信する。ユーザ認証の要求は、例えば、“ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ”の“４．３． Ｒｅｓｏｕｒｃｅ Ｏｗｎｅｒ Ｐａｓｓｗｏｒｄ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ”の“Ａｃｃｅｓｓ Ｔｏｋｅｎ Ｒｅｑｕｅｓｔ”を利用することができる。具体的には、例えば、次表６に一例として示すような情報を、サーバ１０２が提供するクラウドユーザ認証サービスが予め定めたＵＲＬへＨＴＴＰのＰＯＳＴを用いて送信する。
ここで、“scope”は、ユーザ認証成功時に取得するアクセストークンを用いたときにアクセス可能なリソースの範囲を示す。ログインサービス部３０３は、“ＲＥＳＴ ＡＰＩ”を用いてユーザのメールアドレスを示す情報等のユーザ属性の値（以下「属性値」と呼ぶ。）を取得するために必要なスコープを“scope”に指定する。次に、Ｓ１００３にて、ログインサービス部３０３は、Ｓ１００２にて送信した要求に対する応答をサーバ１０２から受信する。次に、Ｓ１００４にて、ログインサービス部３０３は、受信した応答が認証成功を示すものであるか否かを判定する。具体的には、ログインサービス部３０３は、Ｓ１００３にて受信した応答がアクセストークンを含む場合に認証成功したと判定し、受信した応答がアクセストークンを含まない場合に認証成功していないと判定する。
Ｓ１００４にて認証成功したと判定された場合、すなわち、応答がアクセストークンを含む場合、Ｓ１０１０にて、ログインサービス部３０３は、認証に成功したユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得する。具体的には、ログインサービス部３０３は、Ｓ１００３にて受信した応答に含まれるアクセストークンを使用して、サーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスする。ログインサービス部３０３は、“ＲＥＳＴ ＡＰＩ”へのアクセスにより、認証に成功したユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得する。より具体的には、ログインサービス部３０３は、ＨＴＴＰのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダにアクセストークンを格納して、“ＲＥＳＴ ＡＰＩ”に対応する所定のＵＲＬへＧＥＴリクエストを送信する。サーバ１０２は、その応答として、表２に一例として示すようなユーザ属性に格納された属性値をＭＦＰ１０１に送信して、ＭＦＰ１０１は、これを受信する。
Ｓ１００４にて認証成功していないと判定された場合、すなわち、応答がアクセストークンを含まない場合、Ｓ１００５にて、ログインサービス部３０３は、Ｓ１００３にて受信した応答に多要素認証が必要である旨を示す情報が含まれているか否かを判定する。Ｓ１００５にて応答に多要素認証が必要である旨を示す情報が含まれていないと判定された場合、Ｓ１０２０にて、ログインサービス部３０３は、認証が失敗したことを示す、図９には不図示のエラー画面を操作パネルのディスプレイに表示させる。ここで、認証が失敗したことを示すエラー画面とは、例えば、入力されたユーザ名又はパスワードが不正である旨を示すエラー画面である。Ｓ１０２０の後、ＭＦＰ１０１は、図１０に示すフローチャートの処理を終了し、例えば、ログイン画面としてキーボード認証画面６０１を操作パネル２０５のディスプレイに表示させて待機する。
Ｓ１００５にて応答に多要素認証が必要である旨を示す情報が含まれると判定された場合、ＭＦＰ１０１は、Ｓ１０３０の処理を実行する。この場合、Ｓ１０３０にて、ログインサービス部３０３は、ＨＤＤ２０４から設定項目５０１の設定値を読み出して、ウェブブラウザ機能について「使用しない」が選択されているか否かを判定する。Ｓ１０３０にて「使用しない」が選択されていると判定された場合、Ｓ１０４０にて、ログインサービス部３０３は、サーバ１０２にユーザ認証を要求する。具体的には、ログインサービス部３０３は、サーバ設定ページ５００で設定されたアプリケーションＩＤ及びシークレットを示す情報をサーバ１０２に送信することにより、サーバ１０２に対してクライアント認証を要求する。クライアント認証の要求によるユーザ認証の要求は、“ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ”の“４．４． Ｃｌｉｅｎｔ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ”の“Ａｃｃｅｓｓ Ｔｏｋｅｎ Ｒｅｑｕｅｓｔ”を利用することができる。より具体的には、例えば、ログインサービス部３０３は、次表７に一例として示すような情報を、サーバ１０２が提供するクラウドユーザ認証サービスが予め定めたＵＲＬへＨＴＴＰのＰＯＳＴを用いて送信する。
Ｓ１０４０の後、Ｓ１０４１にて、ログインサービス部３０３は、Ｓ１０４０にて送信した要求に対する応答を受信する。Ｓ１０４１の後、Ｓ１０４２にて、ログインサービス部３０３は、Ｓ１０４１にて受信した応答がクライアント認証の成功を示すものであるか否かを判定する。具体的には、例えば、ログインサービス部３０３は、Ｓ１０４１にて受信した応答がアクセストークンを含む場合にクライアント認証が成功したと判定し、アクセストークンを含まない場合にクライアント認証が成功しなかったと判定する。
Ｓ１０４２にてクライアント認証が成功しなかったと判定された場合、すなわち、応答がアクセストークンを含まない場合、ＭＦＰ１０１は、Ｓ１０５０の処理を実行する。この場合、Ｓ１０５０にて、ログインサービス部３０３は、認証が失敗したことを示す、図９には不図示のエラー画面を操作パネルのディスプレイに表示させる。Ｓ１０４２にてクライアント認証が成功しなかったと判定された場合、サーバ設定ページ５００で設定されているアプリケーションＩＤ又はシークレットの設定値が間違っている可能性がある。そのため、ログインサービス部３０３は、認証が失敗したことを示すエラー画面として、例えば、アプリケーションＩＤ又はシークレットの設定値が間違っている可能性がある旨を示すエラー画面を操作パネル２０５のディスプレイに表示させる。
Ｓ１０４２にてクライアント認証が成功したと判定された場合、すなわち、応答がアクセストークンを含む場合、Ｓ１０４３にて、ログインサービス部３０３は、認証に成功したユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得する。具体的には、ログインサービス部３０３は、ユーザ名を示す情報と、Ｓ１０４１にて取得した応答に含まれるアクセストークンとを使用してサーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスする。ログインサービス部３０３は、“ＲＥＳＴ ＡＰＩ”へのアクセスにより、認証に成功したユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得する。より具体的には、ログインサービス部３０３は、ＨＴＴＰのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダにアクセストークンを格納して、“ＲＥＳＴ ＡＰＩ”に対応する所定のＵＲＬへＧＥＴリクエストを送信する。サーバ１０２は、その応答として、表２に一例として示すようなユーザ属性に格納された値をＭＦＰ１０１に送信して、ＭＦＰ１０１は、これを受信する。
このように、サーバ１０２が提供するクラウドユーザ認証サービスにおいて、アプリケーションＩＤと関連付けてユーザ情報にアクセス可能な権限を予め設定しておく。これにより、上述の“ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ”の“４．４． Ｃｌｉｅｎｔ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ”等を利用して、アクセストークンを取得することができる。更に、取得したアクセストークンを使用してユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得することができる。すなわち、このように構成したＭＦＰ１０１によれば、クライアント認証による多要素認証により、ブラウザＵＩを用いた多要素認証を回避することができる。
Ｓ１０３０にて「使用しない」が選択されていないと判定された場合、具体的には、例えば、設定項目５０１で「多要素認証時のみ」が選択されている場合、ログインサービス部３０３は、Ｓ１０６０の処理を実行する。この場合、Ｓ１０６０にて、ログインサービス部３０３は、図９に示すブラウザＵＩ（キーボード認証画面７０１）を操作パネル２０５のディスプレイに表示する。ここで、図９に示すキーボード認証画面７０１は、図７に示すキーボード認証画面７０１と同様のものである。ログインサービス部３０３が内包するブラウジング部３０５は、ウェブブラウザ機能を用いて、サーバ１０２にユーザ認証とアクセストークンとを要求する。ブラウジング部３０５は、この要求のプロトコルとして、例えば、“ＲＦＣ６７４９ Ｔｈｅ ＯＡｕｔｈ２．０ Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ”の“４．１． Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅ Ｇｒａｎｔ”の“Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｒｅｑｕｅｓｔ”を利用することができる。具体的には、ブラウジング部３０５は、次表８に一例として示すようなパラメータを格納して、サーバ１０２が提供するクラウドユーザ認証サービスが予め定めたＵＲＬへＨＴＴＰのＧＥＴリクエストを送信する。その応答として、サーバ１０２は、ＨＴＭＬで構成されたユーザ認証ページ７０２の示す情報をＭＦＰ１０１に送信し、ＭＦＰ１０１は、これを受信する。ブラウジング部３０５は、受信したユーザ認証ページの示す情報をレンダリングする。ログインサービス部３０３は、レンダリングにより得たユーザ認証ページ７０２を領域７００に描画する。
Ｓ１０６０の後、Ｓ１０６１にて、ログインサービス部３０３は、ユーザによるＷｅｂＶｉｅｗを用いた認証操作を検知する。具体的には、ログインサービス部３０３は、レンダリングにより得たユーザ認証ページの描画の完了、又は、ユーザによる入力操作、若しくは画面遷移を検知する。Ｓ１０６１の処理において、まず、ユーザは、ユーザ認証ページ７０２にユーザ名に対応する文字列を入力して、「次へ」ボタンを押下する。このとき、キーボード認証画面６０１にて入力されたユーザ名を示す情報を用いて、ユーザ認証ページ７０２にユーザ名に対応する文字列が自動で入力されるようにログインサービス部３０３を構成してもよい。これにより、ユーザがキーボード認証画面６０１とキーボード認証画面７０１とにおいて同じユーザ名を２回入力する手間を省くことができる。また、このとき、「次へ」ボタンの押下が自動で実行されるようにログインサービス部３０３を構成してもよい。例えば、ＷｅｂＶｉｅｗにおけるｊａｖａｓｃｒｉｐｔ等のスクリプトの実行機能を用いることによりフィールドへの自動入力、及び「次へ」ボタンの押下等の決定操作等の自動実行を行うことができる。
Ｓ１０６１の処理におい引き続き、ブラウジング部３０５は、パスワード入力ページ９０４を示す情報を取得する。ブラウジング部３０５は、取得した情報をレンダリングして、パスワード入力ページ９０４を領域７００に描画する。ユーザは、パスワード入力ページ９０４にパスワードに対応する文字列を入力して、「認証」ボタン９０１を押下する。このとき、キーボード認証画面６０１で入力されたパスワードを示す情報を用いて、パスワードに対応する文字列がパスワード入力ページ９０４に自動で入力されるようにログインサービス部３０３を構成してもよい。また、このとき、「認証」ボタン９０１の押下が自動で実行されるようにログインサービス部３０３を構成してもよい。入力されたユーザ名を示す情報とパスワードを示す情報とは、サーバ１０２に送信されて、ユーザ管理部３１２が管理するアカウントの情報と照合される。サーバ１０２でのユーザ名及びパスワードの照合が成功し、且つ多要素認証を有効にする設定がなされている場合、サーバ１０２は、二要素目のユーザ認証を要求するＨＴＭＬをＭＦＰ１０１に送信して応答する。
Ｓ１０６１の処理において引き続き、ＭＦＰ１０１は、サーバ１０２から送信されたこのＨＴＭＬを受信する。ブラウジング部３０５は、受信したＨＴＭＬをＷｅｂＶｉｅｗによりレンダリングして、レンダリングにより得た多要素認証ページ９０５を領域７００に描画する。Ｓ１０６１の処理において引き続き、ユーザは、例えば、上述した、「ＳＭＳ」、「認証アプリケーション」、及び「認証トークン」を用いたいずれかの認証手段を用いて二要素目の認証を実施する。具体的には、例えば、ユーザは、ユーザ端末１０３が取得して表示したワンタイムパスワードを参照して、このワンタイムパスワードに対応する文字列を多要素認証ページ９０５に入力する。ユーザは、ワンタイムパスワードに対応する文字列の入力後に「照合」ボタン９０２を押下する。上述したように、ユーザ端末１０３で動作する認証アプリケーション３２０を用いた認証手段には、サーバ１０２からの承認要求に対応して、認証を承認するだけのものもある。この認証手段においては、サーバ１０２は、認証アプリケーション３２０による認証の承認されたことを検知して、多要素認証を完結させる。
認可が必要である場合、Ｓ１０６１の処理において引き続き、サーバ１０２は、“ＲＥＳＴ ＡＰＩ”を利用することの承諾を求めるウェブページを示す情報を、ＭＦＰ１０１に送信することがある。具体的には、サーバ１０２は、表８に示すclient_idで指定されたアプリケーションＩＤに対応するアプリケーションが、scopeで指定された“ＲＥＳＴ ＡＰＩ”を利用することの承諾を求めるウェブページを示す情報をＭＦＰ１０１に送信する。この場合、ＭＦＰ１０１は、この情報を受信して、ブラウジング部３０５は、この情報をレンダリングすることにより得た、図９には不図示のウェブページを領域７００に描画してもよい。
以下、サーバ１０２にて、多要素認証による認証及び認可が成功したと判定されたものとして説明する。多要素認証による認証及び認可が成功した場合、Ｓ１０６１の処理において引き続き、サーバ１０２は、表８に示すredirect_uriで指定されたＵＲＬにアクセストークンを送信する。具体的には、ＵＲＬパラメータにアクセストークンを格納してブラウジング部のＷｅｂＶｉｅｗにリダイレクトを要求する。より具体的には、例えば、サーバ１０２は、ＷｅｂＶｉｅｗに、“https://localhost:443/oauth/callback?code=アクセストークン”へのリダイレクトを要求する。
Ｓ１０６２にて、ログインサービス部３０３は、アクセストークンを取得する。具体的には、ログインサービス部３０３は、Ｗｅｂサービス部３０６を内包しており、Ｗｅｂサービス部３０６は、“https://localhost:443/oauth/callback”に対応するプログラムでＵＲＬのパラメータに含まれるアクセストークンを受信する。これにより、ログインサービス部３０３は、Ｗｅｂサービス部３０６が受信したアクセストークンを取得する。なお、Ｓ１０６２にてログインサービス部３０３がアクセストークンを取得できなかった場合、例えば、ログインサービス部３０３は、認証又は認可が失敗したことを示す、図９には不図示のエラー画面を操作パネルのディスプレイに表示させる。その後、ＭＦＰ１０１は、図１０に示すフローチャートの処理を終了し、例えば、ログイン画面としてキーボード認証画面６０１を操作パネル２０５のディスプレイに表示させて待機する。Ｓ１０６２にてログインサービス部３０３がアクセストークンを取得できなかった場合に、再度、ブラウジング部３０５がパスワード入力ページ９０４を領域７００に描画するようにＭＦＰ１０１を構成してもよい。
Ｓ１０６２の後、Ｓ１０６３にて、ログインサービス部３０３は、取得したアクセストークンを使用して、認証したユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得する。具体的には、ログインサービス部３０３は、Ｓ１０６２にて取得したアクセストークンを使用してサーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスする。ログインサービス部３０３は、“ＲＥＳＴ ＡＰＩ”へのアクセスにより、認証に成功したユーザのメールアドレスを示す情報等の詳細なユーザ情報を取得する。より具体的には、ＨＴＴＰのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダにアクセストークンを格納し、“ＲＥＳＴ ＡＰＩ”に対応する所定のＵＲＬへＧＥＴリクエストを送信する。その応答として、サーバ１０２は、表２に一例として示すようなユーザ属性に格納された値をＭＦＰ１０１に送信し、ＭＦＰ１０１は、これを受信する。
Ｓ１０１０、Ｓ１０４３、又はＳ１０６３の後、Ｓ１０７０にて、ログインサービス部３０３は、ユーザをＭＦＰ１０１にログインさせるためのログイン処理を行う。具体的には、例えば、ログインサービス部３０３は、まず、ログイン中のユーザ情報を格納する構造体（以下「ログインコンテキスト」と呼ぶ。）をインスタンス化する。次に、インスタンス化したログインコンテキストに、Ｓ１０１０、Ｓ１０４３、又はＳ１０６３にて取得したユーザ情報を格納する。ログインコンテキストに格納する値は、次表９に一例として示すようなユーザ名、メールアドレス、及びロール等である。
ロールの属性値については、例えば、ログインサービス部３０３が、サーバ１０２から取得したユーザ情報のうちの役職（jobTitle）を示す情報等に基づいて決定する。また、例えば、ログインサービス部３０３は、認証に成功したユーザが属するユーザグループを示す情報（以下「グループ情報」と呼ぶ。）をサーバ１０２から取得して、取得したグループ情報に基づいて、ロールの属性値を決定してもよい。ＭＦＰ１０１は、サーバ１０２から取得可能なユーザ情報と、ＭＦＰ１０１が管理するロールとの対応関係を設定するための機能を備えてもよい。ログインサービス部３０３は、所定のＡＰＩを介して、ユーザ情報を格納したログインコンテキストをローカルＵＩ制御部３０１に送信する。ローカルＵＩ制御部３０１は、これを受信して、ユーザがＭＦＰ１０１にログインしたことを検知し、操作パネル２０５のディスプレイの表示をログイン画面から、図９に一例として示すメニュー画面９０３に画面遷移させる。
図１１を参照して、設定項目５０１において「常時」が選択されている場合のログイン画面の画面遷移について説明する。図１１は、実施形態１に係るログイン画面の画面遷移の一例を示す図である。具体的には、図１１に一例として示す画面遷移は、設定項目５０１において「常時」が選択されている場合のものである。この場合のＭＦＰ１０１の処理フローは、図１０に示すＳ１０６０からＳ１０７０までの処理フローとほぼ同等であるため、フローチャートを用いた詳細な説明については省略する。なお、ユーザ認証ページ７０２におけるユーザ名に対応する文字列と、パスワード入力ページ９０４におけるパスワードに対応する文字列とについては、自動での入力が行われないため、ユーザが手動で入力する必要がある。
ユーザは、ＷｅｂＶｉｅｗにより描画されたユーザ認証ページ７０２に、ユーザ名に対応する文字列を入力して、「次へ」ボタンを押下する。これを受けて、ＭＦＰ１０１は、上述したように、パスワード入力ページ９０４を領域７００に描画する。次に、ユーザは、パスワード入力ページ９０４にパスワードに対応する文字列を入力して、「認証」ボタンを押下する。ＭＦＰ１０１は、入力された、ユーザ名及びパスワードに対応する文字列を示す情報、並びに、表８に一例として示すようなパラメータをサーバ１０２に送信する。サーバ１０２は、ユーザ名及びパスワードに対応する文字列と、ユーザ管理部３１２が管理するアカウントの情報と照合する。
サーバ１０２は、多要素認証が不要である場合、ユーザ名及びパスワードの照合が成功すると、表８に示すredirect_uriで指定されたＵＲＬにアクセストークンを送信する。ＭＦＰ１０１は、取得したアクセストークンを用いてサーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスし、認証したユーザの詳細なユーザ情報を取得する。その後、ＭＦＰ１０１は、ログイン処理を実行して、メニュー画面９０３を表示する。
サーバ１０２は、多要素認証が必要である場合、ユーザ名及びパスワードの照合が成功すると、多要素認証ページ９０５を示す情報をＭＦＰ１０１に送信すると共に、ワンタイムパスワードをユーザ端末１０３に送信する。ＭＦＰ１０１は、この情報をレンダリングして、多要素認証ページ９０５を領域７００に描画する。ユーザは、ユーザ端末１０３にて受信され表示されたワンタイムパスワードを参照して、ワンタイムパスワードに対応する文字列を多要素認証ページ９０５に入力し、「照合」ボタン９０２を押下する。ＭＦＰ１０１は、入力されたワンタイムパスワードに対応する文字列を示す情報をサーバ１０２に送信する。サーバ１０２は、ワンタイムパスワードを用いて多要素認証を行い、多要素認証が成功すると、表８に示すredirect_uriで指定されたＵＲＬにアクセストークンを送信する。ＭＦＰ１０１は、取得したアクセストークンを用いてサーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスし、認証したユーザの詳細なユーザ情報を取得する。その後、ＭＦＰ１０１は、ログイン処理を実行して、メニュー画面９０３を表示する。
＜ＩＣカード認証画面での認証処理フロー＞
図１２を参照して、ユーザがＩＣカードを用いてＭＦＰ１０１にログインする際のＭＦＰ１０１の動作について説明する。図１２は、実施形態１に係るＭＦＰ１０１における認証処理の処理フローの一例を示すフローチャートである。具体的には、図１２に一例として示すフローチャートは、図６（ｂ）に示すＩＣカード認証画面６０４での認証操作時における処理フローである。なお、ＭＦＰ１０１は、図１２に示すフローチャートの処理を実行する前に、ログイン画面としてＩＣカード認証画面６０４を操作パネル２０５のディスプレイに表示させた状態、且つＩＣカードを検知可能な状態で待機しているものとして説明する。
ユーザがＩＣカードリーダ２０９にＩＣカードを翳すと、Ｓ１２０１にて、ＩＣカードリーダドライバ３０４は、ＩＣカードからカードＩＤ等のＩＣカード情報を取得して、ログインサービス部３０３に通知する。次に、Ｓ１２０２にて、ログインサービス部３０３は、サーバ設定ページ５００で設定されたアプリケーションＩＤ及びシークレットを示す情報をサーバ１０２に送信することにより、サーバ１０２にクライアント認証を要求する。Ｓ１２０２の処理は上述のＳ１０４０の処理と同様であるため、説明を省略する。次に、Ｓ１２０３にて、ログインサービス部３０３は、Ｓ１２０２にて送信した要求に対する応答を受信する。Ｓ１２０３の後、Ｓ１２０４にて、ログインサービス部３０３は、Ｓ１２０３にて受信した応答がクライアント認証の成功を示すものであるか否かを判定する。具体的には、例えば、ログインサービス部３０３は、Ｓ１２０３にて受信した応答がアクセストークンを含む場合にクライアント認証が成功したと判定し、アクセストークンを含まない場合にクライアント認証が成功しなかったと判定する。
Ｓ１２０４にてクライアント認証が成功しなかったと判定された場合、すなわち、応答がアクセストークンを含まない場合、ＭＦＰ１０１は、Ｓ１２１０の処理を実行する。この場合、Ｓ１２１０にて、ログインサービス部３０３は、認証が失敗したことを示す、図１１には不図示のエラー画面を操作パネルのディスプレイに表示させる。クライアント認証が成功しなかったと判定された場合、サーバ設定ページ５００で設定されているアプリケーションＩＤ又はシークレットの設定値が間違っている可能性がある。そのため、ログインサービス部３０３は、認証が失敗したことを示すエラー画面として、例えば、アプリケーションＩＤ又はシークレットの設定値が間違っている可能性がある旨を示すエラー画面を操作パネル２０５のディスプレイに表示させる。
Ｓ１２０４にてクライアント認証が成功したと判定された場合、すなわち、応答がアクセストークンを含む場合、Ｓ１２０５にて、ログインサービス部３０３は、認証に成功したユーザのメールアドレスを示す情報等の詳細なユーザ情報の取得を試みる。具体的には、ログインサービス部３０３は、Ｓ１２０３にて取得した応答に含まれるアクセストークンと、Ｓ１２０１にて取得したＩＣカード情報とを使用して、サーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスする。より具体的には、ログインサービス部３０３は、ＨＴＴＰのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダにアクセストークンを格納して、“ＲＥＳＴ ＡＰＩ”に対応する所定のＵＲＬへＧＥＴリクエストを送信する。
サーバ１０２は、ＧＥＴリクエストで受信したＩＣカード情報がユーザ管理部３１２に登録されている場合、表２に一例として示すようなユーザ属性に格納された値を含めた応答をＭＦＰ１０１に送信して、ＭＦＰ１０１は、これを受信する。この場合、ログインサービス部３０３は、ユーザ情報を取得することができる。また、サーバ１０２は、ＧＥＴリクエストで受信したＩＣカード情報がユーザ管理部３１２に登録されていない場合、表２に一例として示すようなユーザ属性に格納された値を含まない応答をＭＦＰ１０１に送信して、ＭＦＰ１０１は、これを受信する。この場合、ログインサービス部３０３は、ユーザ情報を取得することができない。
Ｓ１２０５の後、Ｓ１２０６にて、ログインサービス部３０３は、Ｓ１２０５にて受信した応答にユーザ情報が含まれているか否かを判定する。Ｓ１２０６にて応答にユーザ情報が含まれていないと判定された場合、Ｓ１２０１にて取得したＩＣカード情報に対応付けられたユーザ情報が登録されていないものと判定する。この場合、Ｓ１２２０にて、ログインサービス部３０３は、操作パネル２０５のディスプレイに、例えば、Ｓ１２０１におけるＩＣカード情報の取得の際に翳されたＩＣカードが未登録のＩＣカードである旨を示す図１１には不図示のエラー画面を表示させる。
Ｓ１２０６にて応答にユーザ情報が含まれていないと判定された場合、ログインサービス部３０３は、表４に示すユーザカウントテーブルに登録されているカードＩＤと、Ｓ１２０１にて取得したＩＣカード情報に含まれるカードＩＤとを照合してもよい。具体的には、例えば、ログインサービス部３０３は、まず、設定項目４０２において「ローカル」を有効にする設定がなされているか否かを判定する。「ローカル」を有効にする設定がなされていないと判定された場合、例えば、ログインサービス部３０３は、「ローカル」を有効にする設定を行うように促す図１１には不図示の通知画面を、操作パネル２０５のディスプレイに表示させる。
「ローカル」を有効にする設定がなされていると判定された場合、ログインサービス部３０３は、表４に示すユーザカウントテーブルをＨＤＤ２０４から読み出す。次に、ログインサービス部３０３は、Ｓ１２０１にて取得したＩＣカード情報に含まれるカードＩＤがユーザカウントテーブルに登録されているか否かを判定する。登録されていないと判定された場合、例えば、ログインサービス部３０３は、Ｓ１２０１におけるＩＣカード情報の取得の際に翳されたＩＣカードに対応するＩＣカード情報が未登録である旨を示すエラー画面を、操作パネル２０５のディスプレイに表示させる。登録されていると判定された場合、ログインサービス部３０３は、Ｓ１２０１にて取得したＩＣカード情報に対応するユーザ情報をユーザカウントテーブルから取得する。
Ｓ１２０６にて応答にユーザ情報が含まれていると判定された場合、ＭＦＰ１０１は、Ｓ１２３０の処理を実行する。この場合、Ｓ１２３０にて、ログインサービス部３０３は、このユーザ情報を用いて、Ｓ１２０１にて取得したＩＣカード情報に対応付けられたユーザをＭＦＰ１０１にログインさせるためのログイン処理を行う。Ｓ１２３０におけるログイン処理は、Ｓ１０７０におけるログイン処理と同様であるため、説明を省略する。このように構成したＭＦＰ１０１によれば、ＩＣカード情報を予めサーバ１０２に登録しておくことにより、ブラウザＵＩを用いた多要素認証を回避しつつ、ＩＣカードを用いたログイン処理を行うことができる。
＜ＩＣカード情報の登録処理フロー＞
図１３を参照して、ＩＣカード情報をサーバ１０２に登録する際の処理フローについて説明する。図１３は、ＩＣカード情報をサーバ１０２に登録する際の画面遷移の一例を示す図である。ＭＦＰ１０１は、ＩＣカードを所持するユーザに対して、サーバ１０２にＩＣカード情報を登録する機能（以下「ＩＣカード登録機能」と呼ぶ。）を提供してもよい。ＭＦＰ１０１は、上述の、ユーザ認証の処理、及びアクセストークンの取得の処理を応用することにより、ＩＣカード情報をサーバ１０２に登録することができる。
ＩＣカード登録機能を提供する場合、図６（ｂ）に一例として示すＩＣカード認証画面６０４に「カード登録」ボタン１３０１を含めたＩＣカード認証画面１３００が操作パネル２０５のディスプレイに表示される。ユーザがカード登録ボタンを押下した場合、ＭＦＰ１０１は、ユーザをユーザ名とパスワードとで認証し、サーバ１０２に登録された正規のユーザであることを確認する。このため、ＭＦＰ１０１は、キーボード認証画面６０１又はキーボード認証画面７０１を操作パネル２０５のディスプレイに表示させる。どちらの画面を表示させるかについては、ＭＦＰ１０１は、設定項目５０１における選択の状態によって決定する。いずれかの画面による認証処理によるユーザ認証が成功して、ＭＦＰ１０１がアクセストークンの取得に成功した場合、ＭＦＰ１０１は、図１３に一例と示すカード登録画面１３０２を操作パネル２０５のディスプレイに表示させる。
カード登録画面１３０２を表示している状態において、ユーザが、ＩＣカードをＩＣカードリーダ２０９に翳すと、ＩＣカードリーダドライバ３０４は、このＩＣカードからＩＣカード情報を取得する。ＭＦＰ１０１は、取得したアクセストークンを使用して、サーバ１０２が提供するクラウドユーザ認証サービスの“ＲＥＳＴ ＡＰＩ”にアクセスし、取得したＩＣカード情報と認証したユーザに対応するユーザ名とを対応付けてサーバ１０２に登録する。具体的には、“Ｒｅｓｏｕｒｃｅ Ｏｗｎｅｒ Ｐａｓｓｗｏｒｄ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ”を用いて取得したアクセストークンを使用する場合、ＭＦＰ１０１は、以下のようにして、サーバ１０２にカードＩＤを登録する。まず、ＭＦＰ１０１は、ＨＴＴＰのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダにアクセストークンを格納する。次に、ＭＦＰ１０１は、“ＲＥＳＴ ＡＰＩ”に対応する所定のＵＲＬへ、カードＩＤとカードＩＤを格納するユーザ属性の属性名を示す情報とを含むＰＯＳＴリクエストを送信する。サーバ１０２は、ＰＯＳＴリクエストを受信して、ＰＯＳＴリクエストに含まれるカードＩＤを属性名に対応するユーザ属性に格納して、カードＩＤを登録する。なお、“Ａｕｔｈｏｒｉｚａｔｉｏｎ Ｃｏｄｅ Ｇｒａｎｔ” を用いて取得したアクセストークンを使用する場合も、“Ｒｅｓｏｕｒｃｅ Ｏｗｎｅｒ Ｐａｓｓｗｏｒｄ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ”と同様である。
“Ｃｌｉｅｎｔ Ｃｒｅｄｅｎｔｉａｌｓ Ｇｒａｎｔ”を用いて取得したアプリケーション（クライアント）のアクセストークンを使用する場合には、ＭＦＰ１０１は、まず、ＨＴＴＰのＡｕｔｈｏｒｉｚａｔｉｏｎヘッダにアクセストークンを格納する。次に、ＭＦＰ１０１は、“ＲＥＳＴ ＡＰＩ”に対応する所定のＵＲＬへ、カードＩＤとカードＩＤを格納するユーザ属性の属性名を示す情報とを含むＰＯＳＴリクエストを送信して、サーバ１０２にカードＩＤを登録する。サーバ１０２から登録の成功を示す応答を受信した後、ＭＦＰ１０１は、カード登録完了画面１３０３を操作パネル２０５のディスプレイに表示させて、ユーザにＩＣカードの登録が完了した旨を通知する。
＜効果＞
上述のとおり、サーバにより提供されるクラウドサービスに登録されたユーザ認証情報を用いて、組込み機器であるＭＦＰ等の情報処理装置にログインできるように構成した。また、クラウドサービスにおいて多要素認証を有効にする設定がなされている場合であっても、このような情報処理装置にログインできるように構成した。以上のように構成することにより、クラウドサービスとの親和性が高い組込み機器の情報処理装置を提供することできる。
また、ウェブブラウザ機能を用いたブラウザＵＩによるユーザ認証情報の入力手段と、ブラウザＵＩによるユーザ認証情報の入力手段よりも操作性に優れたエンベデッドＵＩによるユーザ認証情報の入力手段とを提供するように構成した。具体的には、エンベデッドＵＩにおいて、ユーザ名の入力が容易になるように＠以下を補完する機能を設けた。これにより、エンベデッドＵＩでは、ブラウザＵＩよりも簡易にユーザ認証情報を入力することができる。また、クラウドサービスに登録したＩＣカードを用いてユーザ認証ができるように構成した。これにより、ユーザは、ユーザ認証処理を行う認証先を意識することなく、ＩＣカードを用いて情報処理装置にログインすることができる。
また、ログイン機能の設定、又は多要素認証の要否に応じて、ユーザ認証情報の入力手段が自動で変更されるように、具体的には、ログイン画面がブラウザＵＩとエンベデッドＵＩとが自動で切り替わるように構成した。これにより、例えば、多要素認証の利用頻度が高いユーザ環境（例えばテナント）においては、常に、ブラウザＵＩを使用するように設定することができる。また、多要素認証の利用頻度が低いユーザ環境においては、通常のときには、エンベデッドＵＩを使用するように設定し、多要素認証を行うときだけ、ブラウザＵＩを使用するように自動で切り替えることができる。
また、エンベデッドＵＩからブラウザＵＩに切り替える際に、エンベデッドＵＩにおいて入力したユーザ名及びパスワードの文字列が、ブラウザＵＩにおいて自動で再入力されるように構成した。これにより、多要素認証の利用頻度が高いユーザ環境において、常に、最初にエンベデッドＵＩを使用するように設定しておいても、ユーザの利便性が大きく損なわれることはない。
また、組込み機器の情報処理装置へのログインについては、多要素認証を省略してよいと考えるユーザ環境においては、キーボード認証時にウェブブラウザ機能を使用しないようにする設定、又はローカルＵＩのログイン方法でＩＣカード認証を選択するとよい。これにより、クライアント認証による多要素認証が行われることになるため、キーボードを用いた入力による多要素認証を省略することができる。
［実施形態１の変形例］
実施形態１では、ウェブブラウザ機能を備える情報処理装置（ＭＦＰ１０１）について説明した。組込み機器の情報処理装置の中には、サーバ１０２が提供するクラウドユーザ認証サービスから送信される、ＨＴＭＬにより構成されるウェブページを示す情報をレンダリングすることができないような非力なウェブブラウザ機能しか備えてないものがある。また、組込み機器の情報処理装置の中には、操作パネルのディスプレイの大きさが小さい等の制限により、ウェブブラウザ機能を備えていないものもある。上述のような情報処理装置は、一般的には、多要素認証を行うことができない。そのため、クラウドユーザ認証サービスにおいて多要素認証を有効にする設定がなされている場合には、ユーザは、情報処理装置にログインすることができず、情報処理装置が提供する機能を使用することができない。一方、情報処理装置にユーザをログインさせるために、クラウドユーザ認証サービスの多要素認証を無効にするように設定をしてしまうと、クラウドサービスが管理するリソースが危険にさらされてしまうことになる。
そこで、情報処理装置がサーバ１０２から送信されるウェブページを示す情報をレンダリング可能なウェブブラウザ機能を備えていない場合、設定項目５０１において常に「使用しない」が選択されている状態と同様の動作になるように情報処理装置を構成する。具体的には、例えば、設定項目５０１において「使用しない」が選択されている状態で、サーバ設定ページ５００において設定項目５０１が表示されないように情報処理装置を構成する。設定項目５０１において「使用しない」が選択されている状態で、例えば、サーバ設定ページ５００において設定項目５０１をグレーアウト表示して、ユーザからの選択の操作を受け付けないように情報処理装置を構成してもよい。
このように構成された情報処理装置によれば、ウェブブラウザ機能を使用しなくても、常にサーバ１０２が提供するクラウドユーザ認証サービスと連携することができる。また、多要素認証を有効する設定がなされている場合であっても、クライアント認証による多要素認証により、ユーザは、キーボードを用いた入力による多要素認証を回避して、情報処理装置にログインすることができる。結果として、クラウドサービスが管理するリソースの安全性をクライアント認証による多要素認証で担保しつつ、サーバ１０２が管理するユーザ認証情報を用いてユーザを情報処理装置にログインさせることができる。なお、多要素認証を厳格化して、例えば、クライアント認証を行わないようにする場合には、多要素認証を有効にする設定がなされているユーザを情報処理装置にログインできなくするように情報処理装置を構成してもよい。
［その他の実施形態］
本開示は、上述の実施形態の１つ以上の機能を実現するプログラムをネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサがプログラムを読出し実行する処理でも実現可能である。また、１つ以上の機能を実現するＡＳＩＣ等の回路によっても実現可能である。
また、本開示は、その開示の範囲内において、実施形態の任意の構成要素の変形、又は、実施形態において任意の構成要素の省略が可能である。
［本開示の構成］
＜構成１＞
認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて前記ユーザのログインを許可する情報処理装置であって、
前記ユーザに前記認証情報を入力させるための、予め用意された第１のユーザインタフェース、及びブラウジング機能によるレンダリングにより得られた第２のユーザインタフェースのうちの一方のユーザインタフェースを所定の条件に基づいて選択して出力制御する出力制御手段と、
前記第１のユーザインタフェースを用いて入力された第１の認証情報を前記サーバに送信する第１の認証送信手段と、
前記第１の認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、
前記第２のユーザインタフェースを用いて入力された第２の認証情報を前記サーバに送信する第２の認証送信手段と、
前記第２の認証情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、
を有すること
を特徴とする情報処理装置。
＜構成２＞
前記出力制御手段は、前記ブラウジング機能を使用するか否かの設定に基づいて、前記第１のユーザインタフェース及び前記第２のユーザインタフェースのうちから出力制御するユーザインタフェースを決定すること
を特徴とする構成１に記載の情報処理装置。
＜構成３＞
前記出力制御手段は、前記第２のユーザインタフェースを出力制御している状態において、前記ユーザによるユーザインタフェースの切り替え指示に基づいて、出力制御するユーザインタフェースを前記第２のユーザインタフェースから前記第１のユーザインタフェースに切り替えること
を特徴とする構成１又は２に記載の情報処理装置。
＜構成４＞
前記出力制御手段は、前記第１のユーザインタフェースを出力制御している状態において、前記第１の応答結果に基づいて、前記第２のユーザインタフェースを出力制御するか否かを決定すること
を特徴とする構成１乃至３のいずれか１つに記載の情報処理装置。
＜構成５＞
前記出力制御手段は、前記第１のユーザインタフェースを出力制御している状態において、前記第１の応答結果が多要素認証を要する旨を示す場合に、出力制御するユーザインタフェースを前記第１のユーザインタフェースから前記第２のユーザインタフェースに切り替えること
を特徴とする構成４に記載の情報処理装置。
＜構成６＞
前記第１のユーザインタフェースから前記第２のユーザインタフェースに切り替える際に、前記第１の認証情報を含む情報を前記第２の認証情報として前記第２のユーザインタフェースに入力する入力手段、
を更に有すること
を特徴とする構成４又は５に記載の情報処理装置。
＜構成７＞
認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて前記ユーザのログインを許可する情報処理装置であって、
前記ユーザに前記認証情報を入力させるための予め用意されたユーザインタフェースを出力制御する出力制御手段と、
前記ユーザインタフェースを用いて入力された前記認証情報を前記サーバに送信する認証送信手段と、
前記認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、
前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信手段と、
前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、
前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得手段と、
を有し、
前記ユーザ情報に基づいて前記ユーザのログインを許可すること
を特徴とする情報処理装置。
＜構成８＞
認証サービスを提供するサーバに対して、ＩＣカードから読み出されたＩＣカード情報を送信し、前記サーバからの応答結果に基づいてユーザのログインを許可する情報処理装置であって、
前記ＩＣカード情報を取得するＩＣ情報取得手段と、
前記ＩＣカード情報を前記サーバに送信するＩＣ情報送信手段と、
前記ＩＣカード情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、
前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信手段と、
前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、
前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得手段と、
を有し、
前記ユーザ情報に基づいて前記ユーザのログインを許可すること
を特徴とする情報処理装置。
＜構成９＞
前記ユーザに認証情報を入力させるためのユーザインタフェースを出力制御する出力制御手段と、
前記ユーザインタフェースを用いて入力された認証情報を前記サーバに送信する認証送信手段と、
前記認証情報の送信に対する前記サーバからの第３の応答結果を受信する第３の受信手段と、
前記第３の応答結果に含まれるアクセストークンを用いて、前記ＩＣカード情報と前記ユーザ情報とを対応付けて前記サーバに送信することにより、前記サーバに前記ＩＣカード情報を登録させる登録手段と、
を更に有すること
を特徴とする構成８に記載の情報処理装置。
＜構成１０＞
前記第３の応答結果が多要素認証を要する旨を示す場合に、
前記認証送信手段は、前記クライアント情報を前記サーバに送信し、
前記第３の受信手段は、前記クライアント情報の送信に対する前記サーバからの第４の応答結果を更に受信し、
前記取得手段は、前記第４の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応する前記ユーザ情報を取得し、
前記登録手段は、前記第４の応答結果に含まれるアクセストークンを用いて、前記ＩＣカード情報と前記ユーザ情報とを対応付けて前記サーバに送信することにより、前記サーバに前記ＩＣカード情報を登録させること、
を特徴とする構成９に記載の情報処理装置。
＜構成１１＞
認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて情報処理装置への前記ユーザのログインを許可する情報処理方法であって、
前記ユーザに前記認証情報を入力させるための、予め用意された第１のユーザインタフェース、及びブラウジング機能によるレンダリングにより得られた第２のユーザインタフェースのうちの一方のユーザインタフェースを所定の条件に基づいて選択して出力制御する出力制御工程と、
前記第１のユーザインタフェースを用いて入力された第１の認証情報を前記サーバに送信する第１の認証送信工程と、
前記第１の認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信工程と、
前記第２のユーザインタフェースを用いて入力された第２の認証情報を前記サーバに送信する第２の認証送信工程と、
前記第２の認証情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信工程と、
を有すること
を特徴とする情報処理方法。
＜構成１２＞
認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて情報処理装置への前記ユーザのログインを許可する情報処理方法であって、
前記ユーザに前記認証情報を入力させるための予め用意されたユーザインタフェースを出力制御する出力制御工程と、
前記ユーザインタフェースを用いて入力された前記認証情報を前記サーバに送信する認証送信工程と、
前記認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信工程と、
前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信工程と、
前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信工程と、
前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得工程と、
を有し、
前記ユーザ情報に基づいて前記情報処理装置への前記ユーザのログインを許可すること
を特徴とする情報処理方法。
＜構成１３＞
認証サービスを提供するサーバに対して、ＩＣカードから読み出されたＩＣカード情報を送信し、前記サーバからの応答結果に基づいて情報処理装置へのユーザのログインを許可する情報処理方法であって、
前記ＩＣカード情報を取得するＩＣ情報取得工程と、
前記ＩＣカード情報を前記サーバに送信するＩＣ情報送信工程と、
前記ＩＣカード情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信工程と、
前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信工程と、
前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信工程と、
前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得工程と、
を有し、
前記ユーザ情報に基づいて前記情報処理装置への前記ユーザのログインを許可すること
を特徴とする情報処理方法。
＜構成１４＞
コンピュータに、構成１乃至１０のいずれか１つに記載の情報処理装置として動作させるためのプログラム。
＜構成１５＞
コンピュータに、構成１乃至１０のいずれか１つに記載の情報処理装置として動作させるためのプログラムが記憶された、前記コンピュータよる読み取りが可能な記憶媒体。
＜構成１６＞
構成１乃至１０のいずれか１つに記載の情報処理装置と、
記録媒体に画像を形成する画像形成手段と、
を有すること
を特徴とする画像形成装置。
１０１ ＭＦＰ
１０２ サーバ
３０３ ログインサービス部
６０１ エンベデッドＵＩのキーボード認証画面
６０４ エンベデッドＵＩのＩＣカード認証画面
７０１ ブラウザＵＩのキーボード認証画面

Claims (16)

  1. 認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて前記ユーザのログインを許可する情報処理装置であって、
    前記ユーザに前記認証情報を入力させるための、予め用意された第１のユーザインタフェース、及びブラウジング機能によるレンダリングにより得られた第２のユーザインタフェースのうちの一方のユーザインタフェースを所定の条件に基づいて選択して出力制御する出力制御手段と、
    前記第１のユーザインタフェースを用いて入力された第１の認証情報を前記サーバに送信する第１の認証送信手段と、
    前記第１の認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、
    前記第２のユーザインタフェースを用いて入力された第２の認証情報を前記サーバに送信する第２の認証送信手段と、
    前記第２の認証情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、
    を有すること
    を特徴とする情報処理装置。
  2. 前記出力制御手段は、前記ブラウジング機能を使用するか否かの設定に基づいて、前記第１のユーザインタフェース及び前記第２のユーザインタフェースのうちから出力制御するユーザインタフェースを決定すること
    を特徴とする請求項１に記載の情報処理装置。
  3. 前記出力制御手段は、前記第２のユーザインタフェースを出力制御している状態において、前記ユーザによるユーザインタフェースの切り替え指示に基づいて、出力制御するユーザインタフェースを前記第２のユーザインタフェースから前記第１のユーザインタフェースに切り替えること
    を特徴とする請求項１に記載の情報処理装置。
  4. 前記出力制御手段は、前記第１のユーザインタフェースを出力制御している状態において、前記第１の応答結果に基づいて、前記第２のユーザインタフェースを出力制御するか否かを決定すること
    を特徴とする請求項１に記載の情報処理装置。
  5. 前記出力制御手段は、前記第１のユーザインタフェースを出力制御している状態において、前記第１の応答結果が多要素認証を要する旨を示す場合に、出力制御するユーザインタフェースを前記第１のユーザインタフェースから前記第２のユーザインタフェースに切り替えること
    を特徴とする請求項４に記載の情報処理装置。
  6. 前記第１のユーザインタフェースから前記第２のユーザインタフェースに切り替える際に、前記第１の認証情報を含む情報を前記第２の認証情報として前記第２のユーザインタフェースに入力する入力手段、
    を更に有すること
    を特徴とする請求項４に記載の情報処理装置。
  7. 認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて前記ユーザのログインを許可する情報処理装置であって、
    前記ユーザに前記認証情報を入力させるための予め用意されたユーザインタフェースを出力制御する出力制御手段と、
    前記ユーザインタフェースを用いて入力された前記認証情報を前記サーバに送信する認証送信手段と、
    前記認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、
    前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信手段と、
    前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、
    前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得手段と、
    を有し、
    前記ユーザ情報に基づいて前記ユーザのログインを許可すること
    を特徴とする情報処理装置。
  8. 認証サービスを提供するサーバに対して、ＩＣカードから読み出されたＩＣカード情報を送信し、前記サーバからの応答結果に基づいてユーザのログインを許可する情報処理装置であって、
    前記ＩＣカード情報を取得するＩＣ情報取得手段と、
    前記ＩＣカード情報を前記サーバに送信するＩＣ情報送信手段と、
    前記ＩＣカード情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信手段と、
    前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信手段と、
    前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信手段と、
    前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得手段と、
    を有し、
    前記ユーザ情報に基づいて前記ユーザのログインを許可すること
    を特徴とする情報処理装置。
  9. 前記ユーザに認証情報を入力させるためのユーザインタフェースを出力制御する出力制御手段と、
    前記ユーザインタフェースを用いて入力された認証情報を前記サーバに送信する認証送信手段と、
    前記認証情報の送信に対する前記サーバからの第３の応答結果を受信する第３の受信手段と、
    前記第３の応答結果に含まれるアクセストークンを用いて、前記ＩＣカード情報と前記ユーザ情報とを対応付けて前記サーバに送信することにより、前記サーバに前記ＩＣカード情報を登録させる登録手段と、
    を更に有すること
    を特徴とする請求項８に記載の情報処理装置。
  10. 前記第３の応答結果が多要素認証を要する旨を示す場合に、
    前記認証送信手段は、前記クライアント情報を前記サーバに送信し、
    前記第３の受信手段は、前記クライアント情報の送信に対する前記サーバからの第４の応答結果を更に受信し、
    前記取得手段は、前記第４の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応する前記ユーザ情報を取得し、
    前記登録手段は、前記第４の応答結果に含まれるアクセストークンを用いて、前記ＩＣカード情報と前記ユーザ情報とを対応付けて前記サーバに送信することにより、前記サーバに前記ＩＣカード情報を登録させること、
    を特徴とする請求項９に記載の情報処理装置。
  11. 認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて情報処理装置への前記ユーザのログインを許可する情報処理方法であって、
    前記ユーザに前記認証情報を入力させるための、予め用意された第１のユーザインタフェース、及びブラウジング機能によるレンダリングにより得られた第２のユーザインタフェースのうちの一方のユーザインタフェースを所定の条件に基づいて選択して出力制御する出力制御工程と、
    前記第１のユーザインタフェースを用いて入力された第１の認証情報を前記サーバに送信する第１の認証送信工程と、
    前記第１の認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信工程と、
    前記第２のユーザインタフェースを用いて入力された第２の認証情報を前記サーバに送信する第２の認証送信工程と、
    前記第２の認証情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信工程と、
    を有すること
    を特徴とする情報処理方法。
  12. 認証サービスを提供するサーバに対してユーザの認証情報を送信し、前記サーバからの応答結果に基づいて情報処理装置への前記ユーザのログインを許可する情報処理方法であって、
    前記ユーザに前記認証情報を入力させるための予め用意されたユーザインタフェースを出力制御する出力制御工程と、
    前記ユーザインタフェースを用いて入力された前記認証情報を前記サーバに送信する認証送信工程と、
    前記認証情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信工程と、
    前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信工程と、
    前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信工程と、
    前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得工程と、
    を有し、
    前記ユーザ情報に基づいて前記情報処理装置への前記ユーザのログインを許可すること
    を特徴とする情報処理方法。
  13. 認証サービスを提供するサーバに対して、ＩＣカードから読み出されたＩＣカード情報を送信し、前記サーバからの応答結果に基づいて情報処理装置へのユーザのログインを許可する情報処理方法であって、
    前記ＩＣカード情報を取得するＩＣ情報取得工程と、
    前記ＩＣカード情報を前記サーバに送信するＩＣ情報送信工程と、
    前記ＩＣカード情報の送信に対する前記サーバからの第１の応答結果を受信する第１の受信工程と、
    前記第１の応答結果が多要素認証を要する旨を示す場合に、前記情報処理装置を識別するための情報と前記情報処理装置のシークレットを示す情報とを含むクライアント情報を前記サーバに送信するクライアント情報送信工程と、
    前記クライアント情報の送信に対する前記サーバからの第２の応答結果を受信する第２の受信工程と、
    前記第２の応答結果に含まれるアクセストークンを用いて、前記サーバから前記ユーザに対応するユーザ情報を取得する取得工程と、
    を有し、
    前記ユーザ情報に基づいて前記情報処理装置への前記ユーザのログインを許可すること
    を特徴とする情報処理方法。
  14. コンピュータに、請求項１乃至１０のいずれか１項に記載の情報処理装置として動作させるためのプログラム。
  15. コンピュータに、請求項１乃至１０のいずれか１項に記載の情報処理装置として動作させるためのプログラムが記憶された、前記コンピュータよる読み取りが可能な記憶媒体。
  16. 請求項１乃至１０のいずれか１項に記載の情報処理装置と、
    記録媒体に画像を形成する画像形成手段と、
    を有すること
    を特徴とする画像形成装置。
JP2022108525A 2022-07-05 2022-07-05 情報処理装置、その制御方法、プログラム、及び画像形成装置 Pending JP2024007209A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2022108525A JP2024007209A (ja) 2022-07-05 2022-07-05 情報処理装置、その制御方法、プログラム、及び画像形成装置
US18/328,008 US20240012593A1 (en) 2022-07-05 2023-06-02 Information processing apparatus, information processing method, storage medium, and image forming apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2022108525A JP2024007209A (ja) 2022-07-05 2022-07-05 情報処理装置、その制御方法、プログラム、及び画像形成装置

Publications (1)

Publication Number Publication Date
JP2024007209A true JP2024007209A (ja) 2024-01-18

Family

ID=89431426

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022108525A Pending JP2024007209A (ja) 2022-07-05 2022-07-05 情報処理装置、その制御方法、プログラム、及び画像形成装置

Country Status (2)

Country Link
US (1) US20240012593A1 (ja)
JP (1) JP2024007209A (ja)

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5620287B2 (ja) * 2010-12-16 2014-11-05 株式会社オプティム ユーザインターフェースを変更する携帯端末、方法及びプログラム
US10579996B2 (en) * 2012-09-12 2020-03-03 Zukunftware, Llc Presenting a document to a remote user to obtain authorization from the user
JP6248549B2 (ja) * 2013-10-31 2017-12-20 株式会社リコー 出力システム、出力装置、プログラム及び出力方法
US9871943B1 (en) * 2016-09-06 2018-01-16 Kabushiki Kaisha Toshiba Image forming apparatus and image forming system capable of forming an image with an invisible image forming material
JP6888539B2 (ja) * 2017-12-20 2021-06-16 ブラザー工業株式会社 画像処理装置
US11206258B2 (en) * 2018-12-27 2021-12-21 Paypal, Inc. Identity confirmation during authentication requests using nearby mobile computing devices
JP2022056789A (ja) * 2020-09-30 2022-04-11 ブラザー工業株式会社 印刷システムおよびプリンタ
JP2022144003A (ja) * 2021-03-18 2022-10-03 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム

Also Published As

Publication number Publication date
US20240012593A1 (en) 2024-01-11

Similar Documents

Publication Publication Date Title
JP6413665B2 (ja) 多機能装置上のＯＡｕｔｈ対応クラウド・サービスのカード認証
US9390247B2 (en) Information processing system, information processing apparatus and information processing method
US9819751B2 (en) Information processing system, method of processing information, information processing apparatus, and program
KR102005458B1 (ko) 공유되는 아이템 계정 선택 기법
JP6677496B2 (ja) 認証連携システム及び認証連携方法、認可サーバー、アプリケーションサーバー及びプログラム
US9455970B2 (en) Information processing system, information processing apparatus, and authentication method
US9807272B2 (en) Information processing system, device, and information processing method
JP5962354B2 (ja) 情報処理装置、プログラム及びシステム
US9886222B2 (en) Image forming apparatus that displays button for accessing server, method of controlling the same, and storage medium
US9210159B2 (en) Information processing system, information processing device, and authentication method
JP2017033339A (ja) サービス提供システム、情報処理装置、プログラム及びサービス利用情報作成方法
US11429327B2 (en) Computer system, login screen display method, and storage medium for displaying an appropriate login screen
US9661184B2 (en) Data processing system and data processing method for authenticating user by utilizing user list obtained from service providing apparatus
US10469709B2 (en) Devices, systems, and methods for controlling a link with a storage server
US10713098B2 (en) Information processing apparatus and cookie information management method
JP2017212694A (ja) 情報処理装置、情報処理方法及びプログラム
JP6197286B2 (ja) 通信装置、情報処理システム及び情報処理システムの制御方法
US20230084993A1 (en) Mobile terminal, control method, and storage medium
US12008277B2 (en) Image forming apparatus with having multi-factor authentication function executable for any kind of remote access for using image processing functions of the image forming apparatus, control method, and non-transitory computer-readable storage medium
JP6237868B2 (ja) クラウドサービス提供システム及びクラウドサービス提供方法
JP2024007209A (ja) 情報処理装置、その制御方法、プログラム、及び画像形成装置
JP2015032041A (ja) サービス提供システム、サービス提供方法およびプログラム
US11206255B2 (en) Information processing apparatus, authentication method, and non-transitory recording medium storing instructions for performing an information processing method
US12034891B2 (en) Mediation server mediating between terminal device and communication device
JP6844666B2 (ja) 情報処理システム、情報処理方法、サービス利用装置、及びプログラム