JP4078289B2

JP4078289B2 - 認証システム

Info

Publication number: JP4078289B2
Application number: JP2003379449A
Authority: JP
Inventors: 哲尾方; 直幸高田; 信耶小▲高▼
Original assignee: Kyocera Communication Systems Co Ltd
Current assignee: Kyocera Communication Systems Co Ltd
Priority date: 2003-11-10
Filing date: 2003-11-10
Publication date: 2008-04-23
Anticipated expiration: 2023-11-10
Also published as: JP2005141613A

Description

この発明は、認証システムに関するものであり、特に、認証処理の一元化に関するものである。

特開２００２−７３５６１号公報には、同一のユーザが、異なる通信端末によってアクセスした場合であっても、同一ユーザであることを判別できるようにしたシステムが開示されている。この技術では、通信端末ＩＤに加えて、個人ごとにユニークな個人ＩＤを与え、両者の組み合わせによって認証を行うので、異なる通信端末からアクセスがあった場合であっても、同一人であることを認識できる。

特開２００２−７３５６１号公報

上記の従来技術では、同一人からの異なる通信端末によるアクセスを判定でき、この意味では、認証の一元化が図られている。しかし、一つのシステムにおける認証を考慮するのみであって、複数の企業におけるサーバシステム、複数のサービスなどに対し、これらを一元的に認証を行うことのできるシステムではない。また、一つのシステム内であっても、異なる認証を行う異なる通信経路からのアクセスに対する一元化も考慮されていなかった。このように、通信経路ごと、あるいは、企業ごと、サービスごとに、認証に必要な情報が異なることが一般的であり、これらを一元化することは容易ではなかった。

特に、複数の認証を希望する装置（認証要求装置）に対して、集中的に認証を一元管理する装置を構築しようと試みると、認証要求装置の側においても、特定のユーザやグループに対するアクセス制限をするなどの処理を行う場合があり、これらを含めての一元化は困難であった。

この発明は、上記のような問題点を解決して、異なる企業やサービスにおける、異なる通信端末に対する認証処理を一元化できるシステムを提供することを目的とする。

(1)この発明に係る認証システム、認証処理装置、認証処理プログラムは、
前記認証要求装置が、
ユーザ端末装置から、認証処理のためのユーザ属性情報を受信し、
受信したユーザ属性情報を含む認証要求を認証処理装置に送信し、
前記認証処理装置が、
認証要求装置ごとに、認証処理結果が肯定的であった場合に、当該認証要求装置に返送するユーザ属性を、ユーザごとに、かつ、認証要求元ごとに記述した返送データ情報を記録しており、
認証要求装置からの認証要求を受けて、ユーザ属性情報に基づいて認証処理を行い、結果が否定的であれば、認証要求を行った認証要求装置に対して、否定的なユーザ認証結果を送信し、結果が肯定的であれば、認証要求を行った認証要求装置に対して、肯定的なユーザ認証結果を送信するとともに、
認証結果が肯定的である場合、前記返送データ情報から、ユーザ及び認証要求元によって特定されるユーザ属性を抽出し、当該ユーザ属性も当該認証要求装置に返送することを特徴としている。
したがって、認証処理の一元化を実現しつつ、認証に関連する処理について認証要求装置側で行う場合であっても、当該認証要求装置のための返送データを認証装置に返送することにより、認証処理の一元化を図ることができる。

(4)この発明に係る認証システム、認証処理装置、認証処理プログラムにおいては、返送データ情報は、ユーザごとに記録された属性情報と、認証要求装置ごとに記録された属性情報の種類を示す情報を備えており、認証手段は、認証結果が肯定的である場合、前記ユーザごとに記録された属性情報と、認証要求装置ごとに記録された属性情報の種類を示す情報とに基づいて、返送データとしてのユーザ属性を抽出することを特徴としている。

したがって、返送データ情報を効率的に記録でき、返送データ抽出処理も迅速である。

(5)この発明に係る認証システム、認証処理装置、認証処理プログラムは、複数の認証要求装置は、異なる種類の通信経路によってユーザ端末装置と接続される２以上の認証要求装置を含むことを特徴としている。

(6)この発明に係る認証システム、認証処理装置、認証処理プログラムは、認証要求装置は、受け取った返送データの内容に基づいて、当該ユーザに対する処理内容を変えることを特徴としている。

したがって、認証処理の一元化を実現しつつ、認証要求装置は、返送データに基づき、ユーザによって異なる処理を実現することができる。

(7)この発明に係る認証システム、認証処理装置、認証処理プログラムは、
前記記録部には、ユーザごとに、当該ユーザに対してアクセスを許可している認証要求装置を明らかにした許可装置情報、およびユーザごとに、認証要求装置が認証のために必要とする必要ユーザ属性を明らかにした認証必要情報が記録されており、
前記認証手段は、
当該ユーザ属性情報中のユーザ識別情報によって特定されるユーザが、当該ユーザ属性情報を送ってきた認証要求装置にアクセスを許可されているか否かを、記録部の許可装置情報に基づいて判断する第１の判断手段と、
送信されてきたユーザ属性情報が、当該ユーザに対して認証のために必要とされる必要属性情報に合致するか否かを、記録部の認証必要情報に基づいて判断する第２の判断手段と、
第１および第２の判断手段がともに肯定的判断をした場合には、認証要求を行った認証要求装置に対して、肯定的なユーザ認証結果および返送データを送信し、第１および第２の判断手段のいずれか一つが否定的判断をした場合には、認証要求を行った認証要求装置に対して、否定的なユーザ認証結果を送信する送信手段と、
をさらに備えていることを特徴としている。

したがって、許可装置情報と認証必要情報との組合せにより、様々な形態の認証に対しても対応しつつ、認証処理の一元化を図ることができる。

この発明において、「プログラム」とは、ＣＰＵにより直接実行可能なプログラムだけでなく、ソース形式のプログラム、圧縮処理がされたプログラム、暗号化されたプログラム等を含む概念である。

「返送データ情報」は、当該認証要求装置に返送するユーザ属性を、ユーザごとに、かつ、認証要求元ごとに記述した１つのテーブルであってもよいし、２以上のテーブルによって実現したものでもよい。実施形態では、認証要求元データテーブル６２の認証対象の返答属性と、認証対象データテーブル６４の属性情報が、返送データ情報に該当する。

「認証要求装置の受信手段」は、実施形態では、図８のフローチャートにおけるステップＳ１によって実現されるＣＰＵの機能がこれに対応する。

「認証要求装置の送信手段」は、実施形態では、図８のフローチャートにおけるステップＳ２によって実現されるＣＰＵの機能がこれに対応する。

「認証処理装置の受信手段」は、実施形態では、図８のフローチャートにおけるステップＳ２に対応して、認証処理装置がこれを受信する機能がこれに対応する。

「認証手段」は、実施形態では、図９のフローチャートにおけるステップＳ５４、Ｓ５５、Ｓ５６、Ｓ５７、Ｓ５８によって実現されるＣＰＵの機能がこれに対応する。

「第１の判断手段」は、実施形態では、図９のフローチャートにおけるステップＳ５４によって実現されるＣＰＵの機能がこれに対応する。

「第２の判断手段」は、実施形態では、図９のフローチャートにおけるステップＳ５６によって実現されるＣＰＵの機能がこれに対応する。

「認証処理装置の送信手段」は、実施形態では、図９のフローチャートにおけるステップＳ５５、Ｓ５８によって実現されるＣＰＵの機能がこれに対応する。

図１に、この発明の一実施形態による認証システムの概念図を示す。認証対象T1,T2....Tnは、それぞれ、認証要求元R1,R2....Rmのいずれかを選んで接続可能であるとする。つまり、同じ認証対象T1,T2....Tnが、異なる認証要求元R1,R2....Rmに接続できるようになっている。認証要求元R1,R2....Rmは、認証処理装置Sに接続されている。

認証対象T1,T2....Tnのいずれか（ここでは、認証対象T2とする）が、認証要求元R1,R2....Rmのいずれか（ここでは、認証要求元R5とする）にアクセスすると、認証要求元R5は、認証対象T2から認証対象の属性情報を取得する。認証要求元R5は、この認証対象属性情報と自己の属性情報を、認証処理装置Ｓに送信する。

認証処理装置Ｓは、受信した認証対象属性情報と認証要求元の属性情報との組み合わせに基づいて、記録されている認証必要情報Ｖを参照し、認証対象T2に対する認証を行う。

このように、認証対象属性情報と認証要求元属性情報との組み合わせに基づいて、認証の可否を判断するようにしているので、認証対象が異なるグループ（企業、部署など）に所属しており、各グループによって認証の方法が異なる場合においても、認証処理装置によって一元的な管理を行うことができる。また、認証対象が同じであっても、いずれの認証要求元にアクセスを要求したかによって認証の可否を変えるようにしたい場合においても、認証処理装置によって一元的な管理を行うことができる。

図２に、この発明の一実施形態による認証システムの全体構成を示す。ユーザU1,U2,U3,U4が、図１の概念図における認証対象T1,T2...に対応している。また、リモートアクセスサーバ装置RS1,RS2、無線ＬＡＮアクセスポイント装置WL、仮想プライベートネットワーク（ＶＰＮ）ゲートウエイ装置VPN、アプリケーションサーバ装置APSは、認証要求元R1,R2....に対応している。ユーザU1,U2,U3,U4は、端末装置などによって、これらの認証要求元と通信可能である。また、認証処理装置Ｓには、認証必要情報Ｖとして、ユーザに関する認証対象情報V1、認証要求元に関する認証要求元情報V2が記録されている。

図３に、認証システムの全体的ハードウエア構成の例を示す。イントラネットINT1は、ユーザU1,U2,U3が所属する企業の社内イントラネットである。また、イントラネットINT2は、ユーザU4の所属する企業の社内イントラネットである。

各ユーザU1,U2,U3,U4は、端末装置20,22,24,26,28などから、許可されたイントラネットINT1,INT2にアクセス可能となっている。

社内に設けられたイントラネットINT1に対しては、複数の通信経路を介してアクセス可能になっている。インターネットINNを介してのアクセスのために、VPNゲートウエイ装置VPNが設けられている。公衆回線網PBNを介してのアクセスのために、リモートアクセスサーバ装置RS1が設けられている。また、社内からＬＡＮカード等によってイントラネットINT1にアクセスするためのウエブ・アプリケーションサーバAPSが設けられている。さらに、社内から無線ＬＡＮによってイントラネットINT1にアクセスするための無線ＬＡＮアクセスポイント装置WLが設けられている。イントラネットINT1と認証処理装置Sは、ルータROOT1によって、接続されている。

他の社内のイントラネットINT2には、公衆回線網PBNを介してのアクセスのための、リモートアクセスサーバ装置RS2が設けられている。図示はしていないが、イントラネットINT1と同じように、イントラネットINT1と同様、ＶＰＮゲートウエイ装置、ウエブアプリケーションサーバ装置、無線ＬＡＮアクセスポイント装置が設けられている。イントラネットINT2と認証処理装置Sは、ルータROOT2によって、接続されている。

図４に、リモートアクセスサーバ装置RS1,RS2、ＶＰＮゲートウエイ装置VPN、ウエブアプリケーションサーバ装置APS、無線ＬＡＮアクセスポイント装置WLの各機器の基本的ハードウエア構成を示す。なお、図４は、各機器に共通な構成部分を示したものであり、各機器は、それぞれの機能に応じた構成、プログラムを有している。

通信回路２は、ユーザU1,U2,U3,U4が操作する端末装置20,22,24,26,28との通信および認証処理装置Sとの通信を行うためのものである。ＣＰＵ４は、ハードディスク８に格納されたオペレーティングシステム１２、認証要求プログラム１０にしたがって、認証要求処理を行う。メモリ６は、一時記憶などのワーク領域である。ハードディスク８には、オペレーティングシステム１２、認証要求プログラム１０が記憶されている。なお、これらプログラムは、ＣＤ−ＲＯＭドライブ（図示せず）を介して、ＣＤ−ＲＯＭ（図示せず）などの記録媒体からインストールされたものである。

図５に、認証処理装置Ｓのハードウエア構成を示す。通信回路５２は、認証要求装置であるリモートアクセスサーバ装置RS1,RS2、ＶＰＮゲートウエイ装置VPN、ウエブアプリケーションサーバ装置APS、無線ＬＡＮアクセスポイント装置WLとの通信を行うためのものである。ＣＰＵ５４は、ハードディスク５８に格納されたオペレーティングシステム６６、認証処理プログラム６０にしたがって、認証要求元データテーブル６２、認証対象データテーブル６４を用いて認証処理を行う。メモリ５６は、一時記憶などのワーク領域である。ハードディスク５８には、オペレーティングシステム６６、認証処理プログラム６０、認証要求元データテーブル６２、認証対象データテーブル６４が記憶されている。なお、これらプログラムおよびデータは、ＣＤ−ＲＯＭドライブ（図示せず）を介して、ＣＤ−ＲＯＭ（図示せず）などの記録媒体からインストールされたものである。

図６に、認証要求元データテーブル６２の例を示す。このテーブル６２には、それぞれの認証要求装置に対応づけて、その認証要求装置自身の認証を行うための情報を記録している（属性情報の欄）。図においては、認証要求装置のｉｄ（id=の項目）とパスワード（password=の項目）とＩＰアドレス（ipaddress=の項目）が認証のための情報である旨が記録されている。

また、それぞれの認証要求装置に対応づけて、当該認証要求装置において要求するユーザ認証情報の種類を記録している（認証対象の確認属性の欄）。たとえば、リモートアクセスサーバRS1は、ユーザ識別情報（uid1）、パスワード（password1）、発信者電話番号（clid）による認証を必要としていることが示されている。また、無線ＬＡＮアクセスポイント装置WLは、ユーザ識別情報（uid1）、パスワード（password1）、ユーザグループのＩＤ（ssid）による認証を必要としていることが示されている。

さらに、認証結果が肯定的であった場合に、当該認証装置に返送すべき情報を記録している（認証対象の返答属性の欄）。たとえば、リモートアクセスサーバ装置RS1に対しては、ＩＰアドレス（ipaddress）を返送する旨が示されている。ＶＰＮゲートウエイ装置VPNに対しては、グループ情報（group）を返送する旨が示されている。これらの返送情報は、認証要求元テーブル６２の当該ユーザについての属性情報の欄から取得することができる。また、無線ＬＡＮアクセスポイント装置WLに対しては、何も返送しないことが示されている。

図７に、認証対象データテーブル６４の例を示す。このテーブル６４には、認証対象であるユーザU1,U2,U3,U4ごとに、当該ユーザが、いずれの認証要求装置を介してイントラネットINT1,INT2に接続することが許されているかが示されている（許可された認証要求元の欄）。たとえば、ユーザU1は、リモートアクセスサーバ装置RS1、無線ＬＡＮアクセスポイント装置WL、アプリケーションサーバ装置APS、ＶＰＮゲートウエイ装置VPNを介して、接続が可能である旨が示されている。

また、各ユーザU1,U2,U3,U4ごとに、接続が許されている認証要求装置が要求する認証項目としての属性情報を記録している（属性情報の欄）。認証処理を行う際には、ここに記載された属性情報のうち、認証要求元データテーブル６２に記録された認証要求元に応じたユーザ認証情報の種類（認証対象の確認属性の欄）に対応する属性のみを抽出して用いる。また、この実施形態では、認証が肯定的であった場合に、認証要求装置に返送するための属性（たとえば、ipaddress）も記録されている。

図８〜図１０に、認証要求装置の認証要求プログラム１０、認証処理装置Sの認証処理プログラム６０のフローチャートを示す。ここでは一例として、ユーザU1が、端末装置２４（この実施形態では端末装置によって認証結果は変わらないので、いずれの端末装置を用いてもよい）を用い、公衆回線網PBNを介して、リモートアクセスサーバ装置RS1にアクセスしてきたものとして説明する。以下、装置の処理動作として示すものは、ＣＰＵがプログラムに基づいて行う処理動作である。

まず、端末装置２４からのアクセスを受けたリモートアクセスサーバ装置RS1は、端末装置２４に対して、ユーザ属性情報（ユーザ識別情報、パスワードなど）入力のための画面を送信する。端末装置２４のユーザは、これに応じて、ユーザ属性情報を入力して、リモートアクセスサーバ装置RS1に送信する。この際、当該端末装置２４を特定する情報clid（発信元の電話番号など）も併せて送信される。このようにして、リモートアクセスサーバ装置RS1は、ユーザ属性情報を取得する（ステップＳ１）。ここでは、予め定められたとおり、ユーザidとしてuesr1が、パスワードpasswordとしてpassword1が、発信元情報clidとして07000000001がリモートアクセスサーバ装置RS1に送られる。リモートアクセスサーバ装置RS1は、受け取ったこれら情報に、さらに、当該端末装置２４に対して割り当てたＩＰアドレスを加えて、ユーザ属性情報とする。

続いて、リモートアクセスサーバ装置RS1は、認証処理装置Sに対して、認証要求を行う。まず、リモートアクセスサーバ装置RS1自身の認証を行うため、予め定められているリモートアクセスサーバ装置RS1の属性情報を送信する
ここでは、ハードディスク８に、属性情報として、図１１のようなデータが記録されているものとする。識別情報idとしてras01が記録され、パスワードpasswordとしてpasswordras01が記録され、ＩＰアドレスipaddressとして172.16.1.1が記録されている。
この属性情報を受けた認証処理装置Sは、認証要求を行ってきた認証要求装置に対応する認証のための属性情報を、認証要求元データテーブル６２から読み出す。なお、いずれの認証要求装置からの要求であるかは、属性情報に含まれる認証要求装置識別情報idによって知ることができる。ここでは、リモートアクセスサーバ装置RS1に対して記述された、識別情報idとしてras01が読み出され、パスワードpasswordとしてpasswordras01が読み出され、ＩＰアドレスipaddressとして172.16.1.1が読み出される（図６参照）。次に、認証処理装置Sは、送信されてきた認証要求装置の属性情報が、テーブル６２から読み出した認証情報と等しいか否かを判断して認証を行う（ステップS５１）。

合致しなければ、認証”不可”の旨を認証要求装置に返送する（ステップS５２）。認証”不可”であれば、認証要求装置は、ステップＳ３から、ステップＳ７へ進み、端末装置に対して認証”不可”の旨を送信する。

ここでは、認証要求装置であるリモートアクセスサーバ装置RS1からの属性情報（図１１）は、認証要求元データテーブル６２の属性情報（図６）と一致する。したがって、認証処理装置Sは、認証”可”の旨をリモートアクセスサーバ装置RS1に送り返す（ステップS５３）。

認証”可”の結果を受けたリモートアクセスサーバ装置RS1は、ステップＳ３からステップＳ４に進む。ステップＳ４で、リモートアクセスサーバ装置RS1は、ステップＳ１にて取得したユーザ属性情報を、認証処理装置Sに送信する。

これを受けて、認証処理装置Sは、ユーザ属性情報中のユーザ識別情報に基づいてユーザを特定する。次に、認証対象データテーブル６４の「許可された認証要求元」の欄を参照して、認証要求を行ってきた認証要求装置が、当該ユーザに対してアクセスが許可されているか否かを判断する（ステップＳ５４）。つまり、認証要求を行ってきた認証要求装置が、当該ユーザの「許可された認証要求元」の欄に記載されていれば、アクセスが許可されていると判断する。

記載されていなければ、アクセスが許可されていないと判断する。当該ユーザに対してアクセスが許可されていないと判断した場合、認証”不可”の旨を、認証要求装置に送り返す（ステップＳ５５）。認証要求装置は、ステップＳ５を経てステップＳ７を実行し、端末装置に対して認証”不可”の旨を送信する。

ここでは、認証対象データテーブル６４において、ユーザU1についての「許可された認証要求元」の欄には、リモートアクセスサーバ装置RS1が含まれているので、アクセス可能であると判断する。

次に、認証処理装置Sは、認証要求元データテーブル６２から、認証要求装置に対応する「認証対象の確認属性」を取得する。ここでは、リモートアクセスサーバ装置RS1に対応する、ユーザ識別情報uid1、パスワードpassword、発信元情報clidが取得される。続いて、認証対象テーブル６４を参照して、当該ユーザに対応する「属性情報」の欄から、上記の種類に合致する属性情報を抽出する。ここでは、ユーザU1に対応する属性情報の記述のうち、uid1=user1、password1=password01、clid=07000000001が抽出される。このようにして、認証に必要なユーザ属性情報を得る。

次に、認証処理装置Sは、ステップＳ２においてリモートアクセスサーバ装置RS1から取得したユーザ属性情報が、上記の認証に必要なユーザ属性情報に合致するかどうかを判断する（ステップＳ５６）。合致しなければ、ステップＳ５５に進み、前述のように認証不可である場合の処理を行う。

ここでは、ステップＳ２において、ユーザidとしてuesr1を、パスワードpasswordとしてpassword1を、発信元情報clidとして07000000001を取得しており、これは、認証に必要なユーザ属性情報に合致しているので、認証”可”であるとする。

認証”可”と判断した場合、次に、認証要求元データテーブル６２を参照して、認証要求装置に対応する「認証対象の返答属性」の欄から返答属性の種類を取得する。ここでは、リモートアクセスサーバ装置RS1に対応して記述されているＩＰアドレスipaddressを取得することになる。次に、認証処理装置Sは、認証要求装置から送られてきたユーザ属性情報中からＩＰアドレスを抽出する（ステップＳ５７）。続いて、認証”可”である旨のデータと、抽出した返答データ（ここではＩＰアドレス）を、これを認証要求装置に送信する（ステップＳ５８）。

これを受けた認証要求装置は、認証可かどうかを判断し（ステップＳ５）、”可”でなければ、端末装置４２に対して認証”不可”の旨を送信し、アクセスを許可しない（ステップＳ７）。また、”可”であれば、端末装置４２に対して、認証”可”の旨を送信し、アクセスを許可する（ステップＳ６）。

なお、認証の後、認証要求装置は所定の処理を行う。なお、その処理内容は、返答データの内容に基づいて変わるようにされる。たとえば、ＩＰアドレスに基づいて、所定のコンテンツに対するアクセス制限をかけたりする等の処理を行う。

また、ユーザをグループ分けしておき、そのグループ識別情報を認証要求装置に返送データとして送信すれば、認証要求装置は、グループに応じたアクセス制限などを行うことができる。図６のテーブル６２では、ＶＰＮゲートウエイVPN、アプリケーションサーバAPSが、グループ識別情報groupを返送するようになっており、認証対象データテーブル６４のユーザの属性情報には、グループ識別情報groupが記録されており、これを実現している。以上のようにして、認証が行われる。

上記の例は、認証”可”となる場合を示したが、たとえば、ユーザU2が、アプリケーションサーバ装置APSを通してイントラネットINT1にアクセスしようとした場合、ステップＳ５４において、認証”不可”であると判断されてアクセスが拒否される。

また、同じユーザU1であっても、リモートアクセスサーバ装置RS2を通してイントラネットINT2にアクセスしようとした場合、ステップＳ５４において、認証”不可”であると判断されてアクセスが拒否される。

認証要求元データテーブル６２において、無線ＬＡＮアクセスポイント装置ＷＬにつき、認証対象の確認属性として、グループ情報ssidが含まれている。このグループ情報は、端末装置と認証要求装置との間で予め定められて記録されたものであり、同一のグループに属する端末装置（つまりユーザ）に対しては、同一のグループ情報ssidが記録されることになる。

このグループ情報ssidは、認証要求装置が端末装置から取得してユーザ情報に含めて認証処理装置に送る。このようにして、グループ情報ssidを認証に用いることにより、特定のグループに属する端末装置（ユーザ）に対してのみ認証を可として、特別なサービスを提供することができる。

この実施形態では、いずれの認証要求装置を介してイントラネットにアクセスするかにより、同一人であっても、認証の可否を変えることを実現しつつ、その認証処理を認証処理装置によって一元管理することを可能としている。

なお、上記実施形態では、ルータROOT1によって、イントラネットINT1と認証処理装置Sとを接続している。しかし、ルータROOT1に代えて、専用回線もしくは実質的な専用回線を用いてもよい。たとえば、インターネット上の仮想プライベートネットワークなどを用いて、イントラネットINT1と認証処理装置Sを接続してもよい。

また、ウエブ・アプリケーションサーバAPSを、認証処理装置Sと同じ認証サービス事業者ネットワークNT内に置き、当該アプリケーションサーバAPSと、イントラネットINT1とを、専用回線もしくは実質的な専用回線によって接続するようにしてもよい。

上記の実施形態では、認証要求元データテーブル６２に、認証対象の確認属性の種類が記載され、認証対象データテーブル６４に当該種類に対応して、認証に用いるデータが記録されている。これによって、ユーザごとに、認証要求装置が認証のために必要とする必要ユーザ属性を明らかにした認証必要情報を記録するようにしている。

しかし、ユーザごと、認証要求装置ごとに、認証に用いるデータを記録した一つのテーブルを作成し、ユーザごとに、認証要求装置が認証のために必要とする必要ユーザ属性を明らかにした認証必要情報を記録するようにしてもよい。

本発明の概念を示す図である。本発明の一実施形態による認証システムの全体構成を示す図である。認証システムの全体ハードウエア構成を示す図である。認証要求装置のハードウエア構成を示す図である。認証処理装置Ｓのハードウエア構成を示す図である。認証要求元データテーブル６２の例である。認証対象データテーブル６４の例である。認証要求プログラムと、認証処理プログラムをフローチャートで示した図である。認証要求プログラムと、認証処理プログラムをフローチャートで示した図である。認証要求プログラムと、認証処理プログラムをフローチャートで示した図である。リモートアクセスサーバ装置に記録されている属性情報を示す図である。

符号の説明

U1,U2,U3・・・ユーザ
RS1,RS2・・・リモートアクセスサーバ装置
WL・・・無線ＬＡＮアクセスポイント装置
VPN・・・ＶＰＮゲートウエイ装置
APS・・・アプリケーションサーバ装置
S・・・認証処理装置
V1・・・認証対象情報
V2・・・認証要求元情報

Claims

ユーザ端末装置からのアクセス要求を受け、ユーザ認証について肯定的な結果を得た後に、当該ユーザからのアクセスを許可する複数の認証要求装置と、
当該各認証要求装置と通信可能に接続された認証処理装置と、
を備えた認証システムであって、
前記認証要求装置は、
ユーザ端末装置から、ユーザ識別情報およびパスワードを含むユーザ属性情報を受信する受信手段と、
受信したユーザ属性情報を含む認証要求を認証処理装置に送信する送信手段と、
前記認証処理装置は、
ユーザごとにユーザ識別情報に対応付けて当該ユーザに対してアクセスを許可している認証要求装置を明らかにした許可装置情報と、認証要求装置ごとに当該認証要求装置がユーザを認証するために要求する必要ユーザ属性の種類情報と、ユーザごとに認証要求装置が認証のために必要とする必要ユーザ属性情報を明らかにした認証必要情報と、認証要求装置ごとに、認証処理結果が肯定的であった場合に、当該認証要求装置に返送するユーザ属性を、ユーザごとに、かつ、認証要求元ごとに記述した返送データ情報を記録した記録部と、
認証要求装置から送信されてきた前記ユーザ属性情報を含む認証要求を受け取る受信手段と、
当該ユーザ属性情報中のユーザ識別情報によって特定されるユーザが、当該ユーザ属性情報を送ってきた認証要求装置にアクセスを許可されているか否かを、記録部の許可装置情報に基づいて判断する第１の判断手段と、
当該認証要求装置が認証に必要とする必要ユーザ属性の種類情報を記録部から取得し、当該種類情報に基づいて記録部に記録された前記認証必要情報から必要ユーザ属性情報を選択し、当該認証要求装置から送信されてきたユーザ属性情報が、当該選択した必要ユーザ属性情報と合致するか否かを判断する第２の判断手段と、
第１および第２の判断手段がともに肯定的判断をした場合には、認証要求を行った認証要求装置に対して、肯定的なユーザ認証結果を送信し、第１および第２の判断手段のいずれか一つが否定的判断をした場合には、認証要求を行った認証要求装置に対して、否定的なユーザ認証結果を送信する送信手段と、
を備えており、
前記送信手段は、認証結果が肯定的である場合、前記返送データ情報から、ユーザ及び認証要求元によって特定されるユーザ属性を抽出し、当該ユーザ属性も当該認証要求装置に返送することを特徴とする認証システム。
ユーザ端末装置からのアクセス要求を受け、ユーザ認証について肯定的な結果を得た後に、当該ユーザからのアクセスを許可する複数の認証要求装置と通信可能に接続された認証処理装置であって、
ユーザごとにユーザ識別情報に対応付けて当該ユーザに対してアクセスを許可している認証要求装置を明らかにした許可装置情報と、認証要求装置ごとに当該認証要求装置がユーザを認証するために要求する必要ユーザ属性の種類情報と、ユーザごとに認証要求装置が認証のために必要とする必要ユーザ属性情報を明らかにした認証必要情報と、認証要求装置ごとに、認証処理結果が肯定的であった場合に、当該認証要求装置に返送するユーザ属性を、ユーザごとに、かつ、認証要求元ごとに記述した返送データ情報を記録した記録部と、
認証要求装置から送信されてきた前記ユーザ属性情報を含む認証要求を受け取る受信手段と、
当該ユーザ属性情報中のユーザ識別情報によって特定されるユーザが、当該ユーザ属性情報を送ってきた認証要求装置にアクセスを許可されているか否かを、記録部の許可装置情報に基づいて判断する第１の判断手段と、
当該認証要求装置が認証に必要とする必要ユーザ属性の種類情報を記録部から取得し、当該種類情報に基づいて記録部に記録された前記認証必要情報から必要ユーザ属性情報を選択し、当該認証要求装置から送信されてきたユーザ属性情報が、当該選択した必要ユーザ属性情報と合致するか否かを判断する第２の判断手段と、
第１および第２の判断手段がともに肯定的判断をした場合には、認証要求を行った認証要求装置に対して、肯定的なユーザ認証結果を送信し、第１および第２の判断手段のいずれか一つが否定的判断をした場合には、認証要求を行った認証要求装置に対して、否定的なユーザ認証結果を送信する送信手段と、
を備えており、
前記送信手段は、認証結果が肯定的である場合、前記返送データ情報から、ユーザ及び認証要求元によって特定されるユーザ属性を抽出し、当該ユーザ属性も当該認証要求装置に返送することを特徴とする認証処理装置。
ユーザ端末装置からのアクセス要求を受け、ユーザ認証について肯定的な結果を得た後に、当該ユーザからのアクセスを許可する複数の認証要求装置と通信可能に接続され、ユーザごとにユーザ識別情報に対応付けて当該ユーザに対してアクセスを許可している認証要求装置を明らかにした許可装置情報と、認証要求装置ごとに当該認証要求装置がユーザを認証するために要求する必要ユーザ属性の種類情報と、ユーザごとに認証要求装置が認証のために必要とする必要ユーザ属性情報を明らかにした認証必要情報と、認証要求装置ごとに、認証処理結果が肯定的であった場合に、当該認証要求装置に返送するユーザ属性を、ユーザごとに、かつ、認証要求元ごとに記述した返送データ情報を記録した記録部を備えた認証処理装置を、コンピュータを用いて実現するためのプログラムであって、
認証要求装置から送信されてきた前記ユーザ属性情報を含む認証要求を受け取る受信手段と、
当該ユーザ属性情報中のユーザ識別情報によって特定されるユーザが、当該ユーザ属性情報を送ってきた認証要求装置にアクセスを許可されているか否かを、記録部の許可装置情報に基づいて判断する第１の判断手段と、
当該認証要求装置が認証に必要とする必要ユーザ属性の種類情報を記録部から取得し、当該種類情報に基づいて記録部に記録された前記認証必要情報から必要ユーザ属性情報を選択し、当該認証要求装置から送信されてきたユーザ属性情報が、当該選択した必要ユーザ属性情報と合致するか否かを判断する第２の判断手段と、
第１および第２の判断手段がともに肯定的判断をした場合には、認証要求を行った認証要求装置に対して、肯定的なユーザ認証結果を送信し、第１および第２の判断手段のいずれか一つが否定的判断をした場合には、認証要求を行った認証要求装置に対して、否定的なユーザ認証結果を送信する送信手段と、
をコンピュータによって実現するためのプログラムであり、
前記送信手段は、認証結果が肯定的である場合、前記返送データ情報から、ユーザ及び認証要求元によって特定されるユーザ属性を抽出し、当該ユーザ属性も当該認証要求装置に返送することを特徴とするプログラム。
請求項２の認証処理装置において、
前記返送データ情報は、ユーザごとに記録された属性情報と、認証要求装置ごとに記録された属性情報の種類を示す情報を備えており、
前記認証手段は、認証結果が肯定的である場合、前記ユーザごとに記録された属性情報と、認証要求装置ごとに記録された属性情報の種類を示す情報とに基づいて、返送データとしてのユーザ属性を抽出することを特徴とする認証処理装置。
請求項２または４の認証処理装置において、
前記複数の認証要求装置は、異なる種類の通信経路によってユーザ端末装置と接続される２以上の認証要求装置を含むことを特徴とする認証処理装置。
請求項２、４または５の認証処理装置において、
前記認証要求装置は、受け取った返送データの内容に基づいて、当該ユーザに対する処理内容を変えることを特徴とする認証処理装置。
ユーザ端末装置からのアクセス要求を受け、ユーザ認証について肯定的な結果を得た後に、当該ユーザからのアクセスを許可する複数の認証要求装置と、当該各認証要求装置と通信可能に接続された認証処理装置とを用いた認証方法であって、
前記認証要求装置は、
ユーザ端末装置から、ユーザ識別情報およびパスワードを含むユーザ属性情報を受信し、
受信したユーザ属性情報を含む認証要求を認証処理装置に送信し、
前記認証処理装置は、
ユーザごとにユーザ識別情報に対応付けて当該ユーザに対してアクセスを許可している認証要求装置を明らかにした許可装置情報と、認証要求装置ごとに当該認証要求装置がユーザを認証するために要求する必要ユーザ属性の種類情報と、ユーザごとに認証要求装置が認証のために必要とする必要ユーザ属性情報を明らかにした認証必要情報と、認証要求装置ごとに、認証処理結果が肯定的であった場合に、当該認証要求装置に返送するユーザ属性を、ユーザごとに、かつ、認証要求元ごとに記述した返送データ情報を記録部に記録しており、
認証要求装置から送信されてきた前記ユーザ属性情報を含む認証要求を受け取り、
当該ユーザ属性情報中のユーザ識別情報によって特定されるユーザが、当該ユーザ属性情報を送ってきた認証要求装置にアクセスを許可されているか否かを、記録部の許可装置情報に基づいて判断し、
当該認証要求装置が認証に必要とする必要ユーザ属性の種類情報を記録部から取得し、当該種類情報に基づいて記録部に記録された前記認証必要情報から必要ユーザ属性情報を選択し、当該認証要求装置から送信されてきたユーザ属性情報が、当該選択した必要ユーザ属性情報と合致するか否かを判断し、
前記両判断がともに肯定的判断をした場合には、認証要求を行った認証要求装置に対して、肯定的なユーザ認証結果を送信し、前記両判断のいずれか一つが否定的判断をした場合には、認証要求を行った認証要求装置に対して、否定的なユーザ認証結果を送信する方法であって、
認証結果が肯定的である場合、前記返送データ情報から、ユーザ及び認証要求元によって特定されるユーザ属性を抽出し、当該ユーザ属性も当該認証要求装置に返送することを特徴とする認証方法。