JP6102296B2 - 情報処理システム、情報処理装置、認証方法及びプログラム - Google Patents

Description

本発明は情報処理システム、情報処理装置、認証方法及びプログラムに関する。

近年、注目されているクラウドコンピューティングは、サーバがクライアントにサービスを提供する一形態である。クラウドコンピューティングでは、多くのコンピューティング・リソースを用いてデータ処理を実行し、クライアントからの要求を処理する。このようなクラウドコンピューティングを実現するクラウドコンピューティング環境上にＷｅｂサービスを実装し、多種多様なサービスを提供するベンダーも多数存在する（例えば特許文献１参照）。

ユーザは、クラウドコンピューティングにより提供される多種多様なサービスを利用するために、複数の認証を行わなければならない場合がある。なお、ユーザに対する認証の重荷を減らすための技法としてシングルサインオン（ＳＳＯ）が知られている。シングルサインオンによりユーザはサインオン動作を完了した後、すなわち認証されたあとに別の認証動作を実行する必要がなくなる（例えば特許文献２参照）。

サービスを提供する情報処理システムや情報処理装置は、ユーザ管理のためのユーザ情報の内容が異なる場合がある。しかしながら、従来の情報処理システムや情報処理装置を組み合わせて行う処理の連携では、ユーザ管理のためのユーザ情報の内容が整合するように設計し直さなければ、ユーザ管理に不都合が生じることがあるという問題があった。

本発明の実施の形態は、上記の点に鑑みなされたもので、ユーザ管理のためのユーザ情報の自由度を向上できる情報処理システム、情報処理装置、認証方法及びプログラムを提供することを目的とする。

上記目的を達成するために本願請求項１は、１以上の情報処理装置を含む情報処理システムであって、ユーザを組織識別情報、ユーザ識別情報及び予め付与された一意の識別情報で管理し、前記組織識別情報、前記ユーザ識別情報及び前記一意の識別情報に基づいて、前記ユーザを認証し、共通サービスを提供する共通サービス提供手段と、ユーザをユーザ識別情報で管理し、前記共通サービス提供手段が提供する共通サービスを利用して応用サービスを提供する応用サービス提供手段と、を備え、前記応用サービス提供手段は、外部装置から受信したユーザ識別情報、組織識別情報に対する認証を前記共通サービス提供手段に要求し、前記外部装置から受信したユーザ識別情報、組織識別情報に関連付けられた前記一意の識別情報を受信する受信手段と、前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に共通サービスの提供を要求する要求手段とを備えることを特徴とする。

本発明の実施の形態によれば、ユーザ管理のためのユーザ情報の自由度を向上できる。

第１の実施形態に係る情報処理システムの一例の構成図である。 サービス提供システムの他の例の構成図である。 コンピュータシステムの一例のハードウェア構成図である。 第１の実施形態に係るサービス提供システムの一例の処理ブロック図である。 組織情報の一例の構成図である。 ユーザ情報の一例の構成図である。 ライセンス情報の一例の構成図である。 機器情報の一例の構成図である。 権限情報の一例の構成図である。 第１の実施形態に係るサービス提供システムの他の例の処理ブロック図である。 ポータルサービスアプリの一例の構成図である。 ログインする処理手順を表した一例のシーケンス図（１／２）である。 ＵＵＩＤとセッションＩＤとを関連付けるテーブルの一例の構成図である。 ログインする処理手順を表した一例のシーケンス図（２／２）である。 キャッシュデータの一例の構成図である。 ポータルテーブルの一例の構成図である。

以下、本発明の実施形態について図面を参照しながら説明する。
［第１の実施形態］
＜システム構成＞
図１は第１の実施形態に係る情報処理システムの一例の構成図である。図１の情報処理システム１０００は例えばオフィス内ネットワーク等のネットワークＮ１と、クラウドサービスに代表されるサービス提供システムのネットワークＮ２と、インターネットなどのネットワークＮ３とを有する。

ネットワークＮ１は、ファイヤウォールＦＷの内側にあるプライベートなネットワークである。ファイヤウォールＦＷはネットワークＮ１とネットワークＮ３との接点に設置され、不正なアクセスを検出及び遮断する。ネットワークＮ１にはクライアント端末１０１１、携帯端末１０１２、複合機などの画像形成装置１０１３が接続されている。

クライアント端末１０１１は端末装置の一例である。クライアント端末１０１１は一般的なＯＳなどが搭載された情報処理装置によって実現できる。クライアント端末１０１１は無線による通信の手段または有線による通信の手段を有する。クライアント端末１０１１は、タブレットＰＣ、ノートＰＣなど、ユーザが操作可能な端末である。

携帯端末１０１２は端末装置の一例である。携帯端末１０１２は、無線による通信の手段または有線による通信の手段を有している。携帯端末１０１２は、スマートフォンや携帯電話、タブレットＰＣ、ノートＰＣなど、ユーザが携帯可能な端末である。

画像形成装置１０１３は複合機などの画像形成機能を有する装置である。画像形成装置１０１３は無線による通信の手段または有線による通信の手段を有する。画像形成装置１０１３は複合機、コピー機、スキャナ、プリンタ、レーザプリンタ、プロジェクタ、電子黒板など、画像形成に係る処理を行う装置である。図１では、一例としてクライアント端末１０１１、携帯端末１０１２、画像形成装置１０１３がそれぞれ一台である例を示しているが複数台であってもよい。

ネットワークＮ２はアクセス制御装置１０２１によってネットワークＮ３に接続されている。ネットワークＮ２はアクセス制御装置１０２１によってセキュリティが保護されている。ネットワークＮ２にはプリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４が接続されている。

図１の情報処理システム１０００は、アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４がサービス提供システムを実現している。プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４はプリントサービス、スキャンサービスや他サービスを提供する。

アクセス制御装置１０２１はプリントサービス提供装置１０２２が提供するプリントサービスやスキャンサービス提供装置１０２３が提供するスキャンサービスなどへのログインを制御する。

アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４は、一台以上の情報処理装置によって実現される。

アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４は一台の情報処理装置に統合して実現してもよいし、複数の情報処理装置に分散して実現してもよい。

ネットワークＮ２側のサービスの一部はネットワークＮ２以外にあってもよい。携帯端末１０１２は、オフィス内ネットワーク等のネットワークＮ１以外にあってもよい。図１の情報処理システム１０００では携帯端末１０１２がネットワークＮ１と、ネットワークＮ３とにある例を示している。

図１のサービス提供システムの構成は一例であって、図２に示すような構成によっても実現できる。図２はサービス提供システムの他の例の構成図である。図２のサービス提供システムはネットワークＮ２がファイヤウォールＦＷによってネットワークＮ３に接続されている。

ネットワークＮ２にはＳａａＳ（Software as a Service）系のサービス提供装置、共通サービス（Network Service Platform）系のサービス提供装置、ストレージ（Storage）系の記憶装置が接続されている。なお、共通サービス系のサービス提供装置はＳａａＳ系のサービス提供装置が共通で使えるサービスを提供する。

ＳａａＳ系のサービス提供装置は、例えばポータルサービス提供装置１０５１、プリントサービス提供装置１０５２、スキャンサービス提供装置１０５３など、提供するサービスに応じたサービス提供装置が含まれる。また、共通サービス系のサービス提供装置は、例えば認証サービス提供装置１０６１、データ処理サービス提供装置１０６２、一時データ保存サービス提供装置１０６３など、提供する共通サービスに応じたサービス提供装置が含まれる。ストレージ系の記憶装置は、例えば認証情報記憶装置１０７１、ジョブ情報記憶装置１０７２、一時データ記憶装置１０７３など、記憶する情報（データ）に応じた記憶装置が含まれる。

図２のサービス提供システムでは、例えばファイヤウォールＦＷ、認証サービス提供装置１０６１が提供する認証サービスによってセキュリティが保護されている。なお、図２のサービス提供システムの構成も一例であって、他の構成であってもよい。

＜ハードウェア構成＞
図１のクライアント端末１０１１、携帯端末１０１２、アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４は、例えば図３に示すようなハードウェア構成のコンピュータシステムにより実現される。

図２のＳａａＳ系のサービス提供装置、共通サービス系のサービス提供装置、ストレージ系の記憶装置も、例えば図３に示すようなハードウェア構成のコンピュータシステムにより実現される。

図３はコンピュータシステムの一例のハードウェア構成図である。図３のコンピュータシステム１５００は、入力装置１５０１、表示装置１５０２、外部Ｉ／Ｆ１５０３、ＲＡＭ（Random Access Memory）１５０４、ＲＯＭ（Read Only Memory）１５０５、ＣＰＵ（Central Processing Unit）１５０６、通信Ｉ／Ｆ１５０７、及びＨＤＤ（Hard Disk Drive）１５０８などを備え、それぞれがバスＢで相互に接続されている。

入力装置１５０１はキーボードやマウス、タッチパネルなどを含み、ユーザが各操作信号を入力するのに用いられる。表示装置１５０２はディスプレイ等を含み、コンピュータシステム１５００による処理結果を表示する。

通信Ｉ／Ｆ１５０７はコンピュータシステム１５００をネットワークＮ１〜Ｎ３に接続するインタフェースである。これにより、コンピュータシステム１５００は通信Ｉ／Ｆ１５０７を介してデータ通信を行うことができる。

ＨＤＤ１５０８はプログラムやデータを格納している不揮発性の記憶装置である。格納されるプログラムやデータには、例えばコンピュータシステム１５００全体を制御する基本ソフトウェアであるＯＳ（Operating System）や、ＯＳ上において各種機能を提供するアプリケーションソフトウェアなどがある。

ＨＤＤ１５０８は格納しているプログラムやデータを所定のファイルシステム及び／又はＤＢ（データベース）により管理している。外部Ｉ／Ｆ１５０３は、外部装置とのインタフェースである。外部装置には、記録媒体１５０３ａなどがある。これにより、コンピュータシステム１５００は外部Ｉ／Ｆ１５０３を介して記録媒体１５０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体１５０３ａにはフレキシブルディスク、ＣＤ（Compact Disk）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（SD Memory card）、ＵＳＢメモリ（Universal Serial Bus memory）などがある。

ＲＯＭ１５０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。ＲＯＭ１５０５には、コンピュータシステム１５００の起動時に実行されるＢＩＯＳ（Basic Input/Output System）、ＯＳ設定、及びネットワーク設定などのプログラムやデータが格納されている。ＲＡＭ１５０４は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。

ＣＰＵ１５０６は、ＲＯＭ１５０５やＨＤＤ１５０８などの記憶装置からプログラムやデータをＲＡＭ１５０４上に読み出し、処理を実行することで、コンピュータシステム１５００全体の制御や機能を実現する演算装置である。

クライアント端末１０１１、携帯端末１０１２、アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、他サービス提供装置１０２４は、コンピュータシステム１５００のハードウェア構成により、後述するような各種処理を実現できる。また、図２のＳａａＳ系のサービス提供装置、共通サービス系のサービス提供装置、ストレージ系の記憶装置も、コンピュータシステム１５００のハードウェア構成により、後述するような各種処理を実現できる。なお、図１に示した画像形成装置１０１３、ファイヤウォールＦＷのハードウェア構成については説明を省略する。

＜ソフトウェア構成＞
《サービス提供システム》
第１の実施形態に係るサービス提供システムは例えば図４に示す処理ブロックにより実現される。図４は第１の実施形態に係るサービス提供システムの一例の処理ブロック図である。

サービス提供システム１１００はプログラムを実行することにより、アプリケーション１１０１、共通サービス１１０２、データベース（ＤＢ）１１０３及びプラットフォームＡＰＩ（Application Programming Interface）１１０４を実現している。

アプリケーション１１０１は、ポータルサービスアプリ１１１１、スキャンサービスアプリ１１１２、プリントサービスアプリ１１１３を一例として有する。

ポータルサービスアプリ１１１１は、ポータルサービスを提供するアプリケーションである。ポータルサービスは、サービス提供システム１１００を利用するための入り口となるサービスを提供する。スキャンサービスアプリ１１１２はスキャンサービスを提供するアプリケーションである。プリントサービスアプリ１１１３はプリントサービスを提供するアプリケーションである。アプリケーション１１０１には、その他のサービスアプリが含まれていてもよい。

プラットフォームＡＰＩ１１０４はポータルサービスアプリ１１１１、スキャンサービスアプリ１１１２、プリントサービスアプリ１１１３などのアプリケーション１１０１が共通サービス１１０２を利用するためのインタフェースである。プラットフォームＡＰＩ１１０４はアプリケーション１１０１からの要求を共通サービス１１０２が受信するために設けられた予め定義されたインタフェースであり、例えば関数やクラス等により構成される。

プラットフォームＡＰＩ１１０４は、サービス提供システム１１００が複数の情報処理装置で構成される場合、ネットワーク経由で利用可能な例えばＷｅｂ ＡＰＩにより実現できる。

共通サービス１１０２は、認証・認可部１１２１、組織管理部１１２２、ユーザ管理部１１２３、ライセンス管理部１１２４、機器管理部１１２５、一時画像保存部１１２６、画像処理ワークフロー制御部１１２７、ログ収集部１１２８を有する。

また、画像処理ワークフロー制御部１１２７はメッセージキュー１１３１、１つ以上のワーカー（Ｗｏｒｋｅｒ）１１３２を有する。ワーカー１１３２は画像変換や画像送信などの機能を実現する。

認証・認可部１１２１は、クライアント端末１０１１や画像形成装置１０１３などのオフィス機器からのログイン要求に基づいて認証・認可を実行する。オフィス機器はクライアント端末１０１１、携帯端末１０１２、画像形成装置１０１３などの総称である。

認証・認可部１１２１は、例えば後述するユーザ情報記憶部１１４３、ライセンス情報記憶部１１４４、権限情報記憶部１１４７などにアクセスしてユーザを認証・認可する。また、認証・認可部１１２１は例えば後述する組織情報記憶部１１４２、ライセンス情報記憶部１１４４、機器情報記憶部１１４５などにアクセスして画像形成装置１０１３などを認証する。

組織管理部１１２２は後述する組織情報記憶部１１４２に記憶されている組織情報を管理する。ユーザ管理部１１２３は、後述するユーザ情報記憶部１１４３に記憶されているユーザ情報を管理する。また、ユーザ管理部１１２３は後述する権限情報記憶部１１４７に記憶されている権限情報を管理する。

ライセンス管理部１１２４は後述するライセンス情報記憶部１１４４に記憶されているライセンス情報を管理する。機器管理部１１２５は後述する機器情報記憶部１１４５に記憶されている機器情報を管理する。一時画像保存部１１２６は後述する一時画像記憶部１１４６への一時画像の保存、一時画像記憶部１１４６からの一時画像の取得を行う。

画像処理ワークフロー制御部１１２７はアプリケーション１１０１からの要求に基づいて画像処理に関するワークフローを制御する。メッセージキュー１１３１は処理の種類に対応するキューを有する。画像処理ワークフロー制御部１１２７は処理（ジョブ）に係るリクエストのメッセージを、そのジョブの種類に対応するキューに投入する。

ワーカー１１３２は対応するキューを監視している。キューにメッセージが投入されるとワーカー１１３２は、対応するジョブの種類に応じた画像変換や画像送信などの処理を行う。なお、キューに投入されたメッセージはワーカー１１３２が主体的に読み出す（Ｐｕｌｌ）ようにしてもよいし、キューからワーカー１１３２に提供する（Ｐｕｓｈ）ようにしてもよい。

データベース１１０３は、ログ情報記憶部１１４１、組織情報記憶部１１４２、ユーザ情報記憶部１１４３、ライセンス情報記憶部１１４４、機器情報記憶部１１４５、一時画像記憶部１１４６、権限情報記憶部１１４７、ジョブ情報記憶部１１４８、及び、アプリケーション固有の設定情報記憶部１１４９を有する。

ログ情報記憶部１１４１は、ログ情報を記憶する。組織情報記憶部１１４２は、後述の組織情報を記憶する。ユーザ情報記憶部１１４３は、後述のユーザ情報を記憶する。ライセンス情報記憶部１１４４は、ライセンス情報を記憶する。機器情報記憶部１１４５は後述の機器情報を記憶する。

一時画像記憶部１１４６は一時画像を記憶する。一時画像は、例えばワーカー１１３２が処理するスキャン画像などのファイルやデータである。権限情報記憶部１１４７は後述の権限情報を記憶する。ジョブ情報記憶部１１４８は処理（ジョブ）に係るリクエストの情報（ジョブ情報）を記憶する。アプリケーション固有の設定情報記憶部１１４９はアプリケーション１１０１に固有の設定情報を記憶する。

サービス提供システム１１００は、認証・認可や画像処理に関するワークフローなどの共通サービスを提供する統合基盤と、統合基盤の機能を利用してスキャンサービス、プリントサービス、ポータルサービス等のアプリサービスを提供するサービス群と、して機能する。統合基盤は例えば共通サービス１１０２、ＤＢ１１０３及びプラットフォームＡＰＩ１１０４によって構成される。サービス群は例えばアプリケーション１１０１によって構成される。

図４に示したサービス提供システム１１００はサービス群と統合基盤とを分離した構成により、プラットフォームＡＰＩ１１０４を利用するアプリケーション１１０１を容易に開発できる。

なお、図４に示したサービス提供システム１１００の処理ブロックの分類形態は一例であり、アプリケーション１１０１、共通サービス１１０２、ＤＢ１１０３が図４に示されるような階層で分類されていることが必須ではない。第１の実施形態に係るサービス提供システム１１００の処理を実施できるのであれば、図４に示される階層関係などは特定のものに限定されない。

図５は組織情報の一例の構成図である。図５に示す組織情報はデータ項目として、組織ＩＤ、組織名、表示言語、タイムゾーン、状態、国などを有する。組織ＩＤは企業、部署などのグループを特定する情報である。組織ＩＤは組織という言語に限定されるものではなく、例えば契約を識別する情報であってもよい。なお、組織ＩＤは一意である。

組織名は企業、部署などのグループの名称を表している。表示言語は企業、部署などのグループの名称を表示する言語を表している。タイムゾーンは企業、部署などのグループが利用する標準時を表している。状態は企業、部署などのグループの状態を表している。国は企業、部署などのグループの属する国名を表している。

図６はユーザ情報の一例の構成図である。図６に示すユーザ情報はデータ項目として組織ＩＤ、ユーザＩＤ、パスワード、ユーザ名、表示言語、タイムゾーン、状態、ＵＵＩＤなどを有する。

ユーザＩＤ、パスワードはユーザを特定する情報（ユーザ特定情報）である。ユーザＩＤはユーザ名等であってもよい。また、パスワードは必須でない。なお、同じ組織ＩＤで管理されるユーザＩＤ、パスワードは一意であるが、組織ＩＤが異なれば重複していてもよい。

さらに、ユーザＩＤはユーザが所持する電子媒体（例えばＩＣカード）を識別する情報を用いてもよい。ユーザが所持する電子媒体としてはＩＣカード、携帯電話、タブレット端末、電子書籍端末等を利用できる。電子媒体を識別する情報としては、カードＩＤ、シリアルＩＤ、携帯電話の電話番号、端末のプロフィール情報などを利用できる。電子媒体を識別する情報は組み合わせて利用してもよい。

ユーザ名はユーザの名称を表している。表示言語はユーザ名を表示する言語を表している。タイムゾーンはユーザが利用する標準時を表している。状態はユーザの状態を表している。国はユーザの属する国名を表している。

ＵＵＩＤ（Universally Unique Identifier）はユニークな識別子である。例えばＵＵＩＤは世界中でユニークな識別子であるが、本実施例において、必ずしも世界中でユニークである必要はなく、第１の実施形態の情報処理システム１０００においてユニークな識別子であればよい。

図７はライセンス情報の一例の構成図である。図７に示すライセンス情報はデータ項目として組織ＩＤ、サービスなどを有する。サービスは、サービスを特定する情報（サービス特定情報）である。ライセンス情報は、組織ＩＤにより特定される組織が利用することのできる１つ以上のサービスを表している。ライセンス情報は、例えば組織に属する有効なサービスのライセンスが一つ以上存在する場合に作成される。

図８は機器情報の一例の構成図である。図８に示す機器情報はデータ項目として、組織ＩＤ、デバイス認証情報、事業所情報、ケーパビリティなどを有する。デバイス認証情報は、オフィス機器が特定の条件を備えていることを判別するデバイス認証のための情報である。デバイス認証情報はオフィス機器に特定のアプリケーションが搭載されていることを示すＩＤや、特定のオフィス機器であることを示す機器番号などであってもよい。事業所情報は例えばオフィス機器が設置されている事業所を表している。ケーパビリティは例えばオフィス機器の能力を表している。

図９は権限情報の一例の構成図である。図９に示す権限情報はデータ項目としてユーザＩＤ、ロールなどを有する。ロールはユーザの役割を表す。ユーザの役割には、例えば管理者や一般ユーザなどが含まれる。

なお、図４に示したサービス提供システム１１００の処理ブロックは例えば図１０に示すような処理ブロックであってもよい。図１０は第１の実施形態に係るサービス提供システムの他の例の処理ブロック図である。なお、図１０のサービス提供システム１１００は一部を除いて図４のサービス提供システム１１００と同様であるため、同一部分について適宜説明を省略する。

図１０のサービス提供システム１１００は、プログラムを実行することにより、アプリケーション１１０１、共通サービス１１０２、ＤＢ１１０３及びプラットフォームＡＰＩ１１０４に加えて、ドメイン固有ＡＰＩ１１０５、ドメイン固有サービス１１０６を実現している。

図１０のサービス提供システム１１００はアプリケーション１１０１、ドメイン固有ＡＰＩ１１０５及びドメイン固有サービス１１０６が、図４のサービス提供システム１１００と異なっている。図１０のアプリケーション１１０１は、ポータルサービスアプリ１１１１、スキャンサービスアプリのＵＩ部１１１２ａ、プリントサービスアプリのＵＩ部１１１３ａを一例として有する。また、ドメイン固有サービス１１０６はスキャンサービスアプリのロジック部１１１２ｂ、プリントサービスアプリのロジック部１１１３ｂを一例として有する。

ドメイン固有のロジックであるスキャンサービスアプリのロジック部１１１２ｂとプリントサービスアプリのロジック部１１１３ｂとは、携帯端末１０１２や画像形成装置１０１３などのＷｅｂブラウザ以外のクライアントからのアクセスを受ける。Ｗｅｂブラウザ以外のクライアントにおいて、スキャンサービスアプリのＵＩ部１１１２ａなどのＵＩ部がクライアント側に配置されるため、サーバ側はドメイン固有ＡＰＩ１１０５を提供できればよい。

このように、図１０のサービス提供システム１１００は、ＷｅｂブラウザからのアクセスをスキャンサービスアプリのＵＩ部１１１２ａなどのＵＩ部が受ける。また、Ｗｅｂブラウザ以外のクライアントからのアクセスをスキャンサービスアプリのロジック部１１１２ｂなどのロジック部が受ける。Ｗｅｂブラウザからのアクセスと、Ｗｅｂブラウザ以外のクライアントからのアクセスとは頻度が異なるため、これらを別サーバとして配置することで、頻度の増加に伴うスケールアウトをより効果的に行うことができる。また、図１０のサービス提供システム１１００では、ドメイン固有ＡＰＩを組み合わせて利用することで、複合的なアプリケーションを構築することもできる。

《ポータルサービスアプリ１１１１》
図１１はポータルサービスアプリの一例の構成図である。ポータルサービスアプリ１１１１は、１つ以上のポートレット１２０１、ログインＵＩ１２０２、ポータルフレームワーク１２０３、マッピングモジュール１２０４、アプリケーションサーバ１２０５、ＨＴＴＰサーバ１２０６を有する構成である。

図１１のポータルサービスアプリ１１１１は、アプリケーションサーバ１２０５及びＨＴＴＰサーバ１２０６上にポータルフレームワーク１２０３が起動されている。ポータルフレームワーク１２０３は、後述するような機能を備えたマッピングモジュール１２０４を有する。

ポータルフレームワーク１２０３は１つ以上のポートレット１２０１及びログインＵＩ１２０２に汎用的な機能をまとめて提供し、１つ以上のポートレット１２０１及びログインＵＩ１２０２の土台として機能する。ポートレット１２０１はポータルで管理・表示される着脱可能なＵＩコンポーネントである。ログインＵＩ１２０２はオフィス機器を操作するユーザからのログインに関する処理を行う。

＜処理の詳細＞
《ログイン》
複数の組織のユーザ管理を行うシステムと、組織の概念のないシステムとを組み合わせて使うとき、ユーザＩＤでユーザ管理を行うと、組織間で同じユーザＩＤが存在する可能性があり、ユーザ管理に不都合が生じる可能性があった。

例えば図４のサービス提供システム１１００の例では組織の概念のないポータルサービスアプリ１１１１を使うときに同様な不都合が生じる。図４のサービス提供システム１１００ではユーザＩＤでユーザ管理を行うと、複数の組織のユーザ管理に対応した共通サービス１１０２及びデータベース１１０３において組織間で同じユーザＩＤが存在する可能性があった。

そこで、第１の実施形態に係るサービス提供システム１１００では、ユーザＩＤなどのユーザ特定情報にＵＵＩＤを付与する。組織の概念のないポータルアプリケーション１１１１はユーザを特定して共通サービス１１０２及びデータベース１１０３に処理を依頼するとき、ＵＵＩＤを利用して行う。ポータルアプリケーション１１１１はユーザＩＤの代わりにＵＵＩＤを使用すればよいので、後述するように大幅な変更を必要としない。

図１２はログインする処理手順を表した一例のシーケンス図（１／２）である。例えば図１のクライアント端末１０１１に搭載されたＷｅｂブラウザはユーザから例えばアクセス先としてログイン画面のＵＲＬを入力又はブックマークから選択されることで、ログインＵＩからログイン画面を受信する。

Ｗｅｂブラウザはログイン画面を表示する。ユーザはログイン画面に組織ＩＤ、ユーザＩＤ及びパスワードを入力してログインボタンなどを押下する。ログインボタンが押下されると、ＷｅｂブラウザはステップＳ１に進み、ログインＵＩ１２０２にログインを要求する。なお、ログインの要求には組織ＩＤ、ユーザＩＤ、パスワードが含まれる。

ステップＳ２において、ログインＵＩ１２０２は認証・認可部１１２１にＷｅｂブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードによるログインを要求する。認証・認可部１１２１はログインＵＩ１２０２からのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードの組みが、図６に示すようなユーザ情報としてユーザ情報記憶部１１４３に記憶されているか確認する。

ログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードの組みが、ユーザ情報記憶部１１４３に記憶されていれば、ステップＳ４において、認証・認可部１１２１はログインＵＩ１２０２に認証チケットを返す。また、認証・認可部１１２１はステップＳ４において、ログインの要求に含まれる組織ＩＤ、ユーザＩＤ、パスワードの組みに関連付けられたＵＵＩＤをログインＵＩ１２０２に返す。

ステップＳ５において、ログインＵＩ１２０２はＵＵＩＤを指定してポータルフレームワーク１２０３にログインを要求する。ステップＳ６において、ポータルフレームワーク１２０３はＵＵＩＤを指定してマッピングモジュール１２０４にログインを要求する。ステップＳ７において、マッピングモジュール１２０４はポータルフレームワーク１２０３からのログインの要求に含まれていたＵＵＩＤが、図６に示すようなユーザ情報としてユーザ情報記憶部１１４３に記憶されているか確認する。

ログインの要求に含まれていたＵＵＩＤが、ユーザ情報記憶部１１４３に記憶されていれば、ステップＳ８において、マッピングモジュール１２０４はポータルフレームワーク１２０３に認証ＯＫを返す。マッピングモジュール１２０４はポータルフレームワーク１２０３とデータベース１１０３との接続モジュールとして機能する。

ステップＳ９において、ポータルフレームワーク１２０３はセッションＩＤを生成すると共に、そのセッションＩＤとＵＵＩＤとを関連付けて図１３のように保存する。図１３はＵＵＩＤとセッションＩＤとを関連付けるテーブルの一例の構成図である。

ステップＳ１０において、ポータルフレームワーク１２０３はステップＳ５のログイン要求に対する応答をログインＵＩ１２０２に返す。認証ＯＫであれば、ログインＵＩ１２０２はステップＳ１１において、セッションＩＤを指定して、Ｗｅｂブラウザをポータルフレームワーク１２０３にリダイレクトさせる。なお、セッションＩＤはクッキーに設定できる。

ステップＳ１１以降の処理を図１４に示す。図１４はログインする処理手順を表した一例のシーケンス図（２／２）である。ポータルフレームワーク１２０３はクッキーに設定されたセッションＩＤを取得し、そのセッションＩＤに関連付くＵＵＩＤを図１３に示したテーブルから読み出す。ポータルフレームワーク１２０３はＵＵＩＤに基づき、ポータル画面の作成に必要な情報を取得するまで、マッピングモジュール１２０４に情報を繰り返し要求する。

例えばステップＳ１２において、ポータルフレームワーク１２０３はＵＵＩＤを指定してマッピングモジュール１２０４にユーザテーブル情報を要求する。ステップＳ１３において、マッピングモジュール１２０４はデータベース１１０３に、ＵＵＩＤにより指定されたユーザテーブル情報を要求する。ステップＳ１４において、マッピングモジュール１２０４はデータベース１１０３からユーザテーブル情報を取得する。

マッピングモジュール１２０４はデータベース１１０３から取得したユーザテーブル情報をポータルフレームワーク１２０３で扱えるデータ構造に変換する。そして、ステップＳ１５において、マッピングモジュール１２０４はポータルフレームワーク１２０３で扱えるデータ構造のユーザ情報を、ポータルフレームワーク１２０３に提供する。

ステップＳ１２〜Ｓ１５と同様に、例えばステップＳ１６において、ポータルフレームワーク１２０３はＵＵＩＤを指定してマッピングモジュール１２０４に権限テーブル情報を要求する。ステップＳ１７において、マッピングモジュール１２０４はデータベース１１０３に、ＵＵＩＤにより指定された権限テーブル情報を要求する。ステップＳ１８において、マッピングモジュール１２０４はデータベース１１０３から権限テーブル情報を取得する。

マッピングモジュール１２０４はデータベース１１０３から取得した権限テーブル情報をポータルフレームワーク１２０３で扱えるデータ構造に変換する。そして、ステップＳ１９において、マッピングモジュール１２０４はポータルフレームワーク１２０３で扱えるデータ構造の権限情報を、ポータルフレームワーク１２０３に提供する。

なお、図１４に示したユーザテーブル情報はポータル画面の作成に必要なユーザ情報の一例である。また、権限テーブル情報は、ポータル画面の作成に必要な権限情報の一例である。図１４に示したマッピングモジュール１２０４がデータベース１１０３から取得する情報の内容、手順は一例であって、以下のようであってもよい。

例えば図５〜図９に示すような構成の情報の場合、マッピングモジュール１２０４はＵＵＩＤを指定して図６のユーザ情報を取得し、取得したユーザ情報の組織ＩＤを指定して図５の組織情報、図７のライセンス情報、図８の機器情報などを取得できる。また、取得したユーザ情報のユーザＩＤを指定して図９の権限情報を取得できる。

ポータル画面の作成に必要な情報を取得すると、ポータルフレームワーク１２０３は図１５に示すように、ＵＵＩＤと紐付けてキャッシュする。図１５はキャッシュデータの一例の構成図である。図１５のキャッシュデータはデータベース１１０３から取得した情報をＵＵＩＤと紐付けて記憶するものである。キャッシュデータはポータルフレームワーク１２０３から高速にアクセス可能な記憶領域にキャッシュする。なお、権限情報などの変更を直ぐに反映させる必要のある情報はキャッシュしないようにしてもよい。

キャッシュを「する／しない」は例えば全情報に対して一括に設定してもよいし、情報ごとに設定してもよい。ステップＳ２０において、ポータルフレームワーク１２０３はＵＵＩＤ、ユーザ情報、権限情報などを指定して、ポータルテーブル１２１１にポータル画面の画面情報を要求する。

ポータルテーブル１２１１は画面情報を持つテーブルである。図１６はポータルテーブルの一例の構成図である。図１６に示すように、ポータル画面には、ポータル利用者全員に提供される共通画面と、各サービスの利用権限を持つユーザに提供されるサービス専用画面と、が含まれる。

図１６のポータルテーブルはユーザのロール毎に、共通画面に含まれるタブの内、表示するタブを「○」で示すと共に、サービス専用画面のタブの内、表示するタブを「○」で示している。

ポータルテーブル１２１１はステップＳ２１において、ポータルフレームワーク１２０３はポータルテーブル１２１１から、ユーザのロールと、ユーザが利用権限を持つサービスとに基づくポータル画面の画面情報を取得する。ステップＳ２２において、ポータルフレームワーク１２０３は取得したポータル画面の画面情報に基づき、ポータル画面を生成してＷｅｂブラウザに表示させる。

例えば図１６に示すようなポータルテーブル１２１１の場合、ロール「ｕｓｅｒ」及びサービス「スキャンサービス」「プリントサービス」の利用権限を持つユーザのポータル画面には「アプリ一覧」「アカウント情報」「ジョブ登録画面」のタブが表示される。

また、図１６に示すようなポータルテーブル１２１１の場合、ロール「ｐｏｗｅｒｕｓｅｒ」及びサービス「スキャンサービス」「プリントサービス」の利用権限を持つユーザのポータル画面には全てのタブが表示される。

なお、ポータルフレームワーク１２０３はクッキーから取得したＵＵＩＤが図１５に示すキャッシュデータにキャッシュされていれば、マッピングモジュール１２０４に情報を要求せずに、キャッシュされている情報を利用してもよい。キャッシュデータを利用することにより、ポータルフレームワーク１２０３はデータベース１１０３へのアクセス回数を削減できると共に、ポータル画面を表示するまでの時間を短縮できる。

（まとめ）
第１の実施形態に係るサービス提供システム１１００によれば、組織ＩＤを利用しないポータルフレームワーク１２０３であってもＵＵＩＤによりユーザを特定できるので組織ＩＤを利用する共通サービス１１０２、データベース１１０３との連携が容易となる。

したがって、第１の実施形態に係る情報処理システム１０００はＵＵＩＤによりユーザ管理のためのユーザ情報の差異を吸収できるので、ユーザ管理のためのユーザ情報の自由度を向上できる
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。例えば本実施形態では一例としてポータルサービスアプリ１１１１について説明したが、スキャンサービスアプリ１１１２やプリントサービスアプリ１１１３への応用も可能である。

なお、特許請求の範囲に記載した共通サービス提供手段は共通サービス１１０２に相当する。応用サービス提供手段はアプリケーション１１０１に相当する。受信手段はログインＵＩ１２０２に相当する。要求手段はポータルフレームワーク１２０３に相当する。一意の識別情報はＵＵＩＤに相当する。外部装置はＷｅｂブラウザが搭載されるオフィス機器に相当する。接続手段はマッピングモジュール１２０４に相当する。ユーザ識別情報はユーザＩＤに相当する。組織識別情報は組織ＩＤに相当する。

１０００ 情報処理システム
１０１１ クライアント端末
１０１２ 携帯端末
１０１３ 画像形成装置
１０２１ アクセス制御装置
１０２２ プリントサービス提供装置
１０２３ スキャンサービス提供装置
１０２４ 他サービス提供装置
１０５１ ポータルサービス提供装置
１０５２ プリントサービス提供装置
１０５３ スキャンサービス提供装置
１０６１ 認証サービス提供装置
１０６２ データ処理サービス提供装置
１０６３ 一時データ保存サービス提供装置
１０７１ 認証情報記憶装置
１０７２ ジョブ情報記憶装置
１０７３ 一時データ記憶装置
１１００ サービス提供システム
１１０１ アプリケーション
１１０２ 共通サービス
１１０３ データベース
１１０４ プラットフォームＡＰＩ（Application Programming Interface）
１１０５ ドメイン固有ＡＰＩ
１１０６ ドメイン固有サービス
１１１１ ポータルサービスアプリ
１１１２ スキャンサービスアプリ
１１１２ａ スキャンサービスアプリのＵＩ部
１１１２ｂ スキャンサービスアプリのロジック部
１１１３ プリントサービスアプリ
１１１３ａ プリントサービスアプリのＵＩ部
１１１３ｂ プリントサービスアプリのロジック部
１１２１ 認証・認可部
１１２２ 組織管理部
１１２３ ユーザ管理部
１１２４ ライセンス管理部
１１２５ 機器管理部
１１２６ 一時画像保存部
１１２７ 画像処理ワークフロー制御部
１１２８ ログ収集部
１１３１ メッセージキュー
１１３２ ワーカー
１１４１ ログ情報記憶部
１１４２ 組織情報記憶部
１１４３ ユーザ情報記憶部
１１４４ ライセンス情報記憶部
１１４５ 機器情報記憶部
１１４６ 一時画像記憶部
１１４７ 権限情報記憶部
１１４８ ジョブ情報記憶部
１１４９ アプリケーション固有の設定情報記憶部
１２０１ ポートレット
１２０２ ログインＵＩ
１２０３ ポータルフレームワーク
１２０４ マッピングモジュール
１２０５ アプリケーションサーバ
１２０６ ＨＴＴＰサーバ
１２１１ ポータルテーブル
１５００ コンピュータシステム
１５０１ 入力装置
１５０２ 表示装置
１５０３ 外部Ｉ／Ｆ
１５０３ａ 記録媒体
１５０４ ＲＡＭ
１５０５ ＲＯＭ
１５０６ ＣＰＵ
１５０７ 通信Ｉ／Ｆ
１５０８ ＨＤＤ
Ｂ バス
ＦＷ ファイヤウォール
Ｎ１〜Ｎ３ ネットワーク

特開２０１２−２２６７００号公報 特開２００６−３１７１４号公報

Claims (9)

1. １以上の情報処理装置を含む情報処理システムであって、
   ユーザを組織識別情報、ユーザ識別情報及び予め付与された一意の識別情報で管理し、前記組織識別情報、前記ユーザ識別情報及び前記一意の識別情報に基づいて、前記ユーザを認証し、共通サービスを提供する共通サービス提供手段と、
   ユーザをユーザ識別情報で管理し、前記共通サービス提供手段が提供する共通サービスを利用して応用サービスを提供する応用サービス提供手段と、を備え、
   前記応用サービス提供手段は、
   外部装置から受信したユーザ識別情報、組織識別情報に対する認証を前記共通サービス提供手段に要求し、前記外部装置から受信したユーザ識別情報、組織識別情報に関連付けられた前記一意の識別情報を受信する受信手段と、
   前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に共通サービスの提供を要求する要求手段と
   を備えることを特徴とする情報処理システム。
2. 前記要求手段は、前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に情報を要求し、その要求により取得した情報を前記一意の識別情報と紐付けて記憶しておくこと
   を特徴とする請求項１記載の情報処理システム。
3. 前記要求手段は、前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に情報を要求するとき、前記一意の識別情報と紐付けられて記憶されている前記情報があれば、前記一意の識別情報と紐付けられて記憶されている前記情報を利用すること
   を特徴とする請求項２記載の情報処理システム。
4. 前記要求手段は、前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に前記一意の識別情報と関連付いたユーザの権限情報、ユーザが利用可能な応用サービス情報を少なくとも取得し、取得した前記ユーザの権限情報及び前記ユーザが利用可能な応用サービス情報に応じた画面を生成して、前記外部装置に表示させること
   を特徴とする請求項１乃至３何れか一項記載の情報処理システム。
5. 前記応用サービス提供手段は、前記要求手段が前記一意の識別情報によりユーザを特定して行った要求を、前記共通サービス提供手段に要求する接続手段、を更に有すること
   を特徴とする請求項１記載の情報処理システム。
6. 前記接続手段は、前記要求手段が、前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に情報を要求したとき、その要求により取得した前記情報を前記要求手段で扱えるデータ構造に変換すること
   を特徴とする請求項５記載の情報処理システム。
7. ユーザを組織識別情報、ユーザ識別情報及び予め付与された一意の識別情報で管理し、前記組織識別情報、前記ユーザ識別情報及び前記一意の識別情報に基づいて、前記ユーザを認証し、共通サービスを提供する共通サービス提供手段と、
   ユーザをユーザ識別情報で管理し、前記共通サービス提供手段が提供する共通サービスを利用して応用サービスを提供する応用サービス提供手段と、を備え、
   前記応用サービス提供手段は、
   外部装置から受信したユーザ識別情報、組織識別情報に対する認証を前記共通サービス提供手段に要求し、前記外部装置から受信したユーザ識別情報、組織識別情報に関連付けられた前記一意の識別情報を受信する受信手段と、
   前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に共通サービスの提供を要求する要求手段と
   を備えることを特徴とする情報処理装置。
8. コンピュータを、請求項７記載の情報処理装置として機能させるためのプログラム。
9. １以上の情報処理装置を含む情報処理システムが実行する認証方法であって、
   前記情報処理システムが、
   ユーザを組織識別情報、ユーザ識別情報及び予め付与された一意の識別情報で管理し、前記組織識別情報、前記ユーザ識別情報及び前記一意の識別情報に基づいて、前記ユーザを認証し、共通サービスを提供する共通サービス提供手段と、
   ユーザをユーザ識別情報で管理し、前記共通サービス提供手段が提供する共通サービスを利用して応用サービスを提供する応用サービス提供手段と、を備え、
   前記応用サービス提供手段が、
   外部装置から受信したユーザ識別情報、組織識別情報に対する認証を前記共通サービス提供手段に要求するステップと、
   前記外部装置から受信したユーザ識別情報、組織識別情報に関連付けられた前記一意の識別情報を前記共通サービス提供手段から受信するステップと、
   前記一意の識別情報によりユーザを特定して前記共通サービス提供手段に共通サービスの提供を要求するステップと
   を有することを特徴とする認証方法。

Images