JP6540063B2 - Communication information control apparatus, relay system, communication information control method, and communication information control program - Google Patents
Communication information control apparatus, relay system, communication information control method, and communication information control program Download PDFInfo
- Publication number
- JP6540063B2 JP6540063B2 JP2015021341A JP2015021341A JP6540063B2 JP 6540063 B2 JP6540063 B2 JP 6540063B2 JP 2015021341 A JP2015021341 A JP 2015021341A JP 2015021341 A JP2015021341 A JP 2015021341A JP 6540063 B2 JP6540063 B2 JP 6540063B2
- Authority
- JP
- Japan
- Prior art keywords
- tenant
- request
- transmission source
- correspondence table
- identification address
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Information Transfer Between Computers (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
本発明は、マルチテナントサービスを提供するサーバおよびクライアントの間で送受信される情報を制御する技術に関する。 The present invention relates to technology for controlling information transmitted and received between a server providing a multi-tenant service and a client.
情報処理システムにおいて、サービスを顧客（テナント）毎にカスタマイズして使用できるように提供するマルチテナントサービスが知られている。マルチテナントサービスを利用する際には、利用者ＩＤおよびテナントＩＤによる認証が必要となることが多い。利用者にとっては、サービス要求時に、利用者ＩＤに加えて、テナントＩＤの入力が必要となるのは利便性の面で問題がある。したがって、サービス要求時には、テナントＩＤを意識して指定する必要がないことが望ましい。そこで、利用者に意識させることなくクライアントからサーバにテナントＩＤを通知する方法として、テナント毎にログイン用ＵＲＬ（Uniform Resource Locator）を分ける方法が知られている。この場合、各テナントの利用者は、それぞれのテナント用ログインＵＲＬにアクセスして認証要求を行う。しかし、この方法では、あるテナントのログイン用ＵＲＬの文字列から、他のテナントのログイン用ＵＲＬが推測される場合がある。この場合、他のテナントのログイン用ＵＲＬに対して、想定されないアクセスを受ける可能性があるという問題があった。 In an information processing system, a multi-tenant service is known which provides services so that they can be customized and used for each customer (tenant). When using multi-tenant services, authentication by user ID and tenant ID is often required. For the user, there is a problem in convenience that it is necessary to input the tenant ID in addition to the user ID at the time of service request. Therefore, it is desirable not to need to be consciously specified when specifying service when requesting service. Therefore, as a method of notifying the server of the tenant ID from the client without making the user aware, there is known a method of dividing a login URL (Uniform Resource Locator) for each tenant. In this case, the user of each tenant accesses the respective tenant login URL to make an authentication request. However, in this method, the login URL of another tenant may be inferred from the login URL string of a certain tenant. In this case, there is a problem that there is the possibility of receiving unexpected access to login URLs for other tenants.
また、利用者に意識させることなくクライアントからサーバにテナントＩＤを通知する別の方法として、テナント毎に、識別アドレスやポート番号を分ける方法が知られている。この場合、各テナントの利用者は、それぞれのテナントに対応する識別アドレスやポート番号にアクセスする。しかしながら、１つの情報処理システムで提供可能な識別アドレス数には限りがある。したがって、この方法では、テナント数の増大に対応することが難しいという問題があった。また、クライアント側から外部ネットワークに向けた通信を制限しているケースがある。このようなケースでは、クライアント側において、well-knownポート以外のポートに対する通信を許可するには、特別な設定作業が必要となる場合があるという問題があった。 Also, as another method of notifying the server of the tenant ID from the client without making the user aware, there is known a method of dividing the identification address and the port number for each tenant. In this case, the user of each tenant accesses the identification address and port number corresponding to each tenant. However, the number of identification addresses that can be provided by one information processing system is limited. Therefore, with this method, there is a problem that it is difficult to cope with the increase in the number of tenants. There are also cases in which communication from the client side to the external network is restricted. In such a case, there is a problem that a special setting operation may be required to allow communication with ports other than the well-known port on the client side.
これらの問題に関連する技術が、特許文献１に記載されている。この関連技術は、マルチテナントサービスを提供するサーバとクライアントとの間に、中継装置を設ける。中継装置は、中継装置のクライアント側インタフェースを特定する情報とテナントＩＤとの対応関係をあらかじめ記憶しておく。これにより、中継装置は、サーバに対するリクエストを受信すると、受信したクライアント側インタフェースを特定する情報に基づいて、リクエストのテナントＩＤを識別する。そして、中継装置は、サーバとの間でテナントＩＤを指定したコネクションを生成し、そのコネクションを利用してリクエストをサーバに送信する。
Techniques related to these problems are described in
また、このような問題に関連する他の技術が、特許文献２に記載されている。この関連技術では、ウェブサーバは、利用者ＩＤまたはクライアント情報と、テナントＩＤとを対応付けて記憶しておく。そして、ウェブサーバは、クライアントから受信した処理要求に関連付けられた利用者ＩＤまたはクライアント情報に基づいて、テナントＩＤを求める。そして、ウェブサーバは、求めたテナントＩＤに対応するデータ領域に対する処理を、データベースサーバに対して要求する。
Another technique related to such a problem is described in
しかしながら、上述の関連技術には、以下の課題がある。 However, the related art described above has the following problems.
特許文献１に記載された関連技術は、中継装置のクライアント側インタフェースとテナントＩＤとの対応関係を、あらかじめ記憶しておく必要がある。また、特許文献２に記載された関連技術は、クライアント情報または利用者ＩＤとテナントＩＤとの対応関係を、あらかじめ記憶しておく必要がある。このため、これらの関連技術は、新規テナントの利用申請時や、既存テナントに利用環境の変更が発生した際に、テナントＩＤとの対応関係を記憶したテーブルを更新する必要が生じるという問題がある。
The related art described in
さらに、特許文献２に記載された関連技術において、クライアント情報とテナントＩＤとを対応付けておく場合、利用が想定されるクライアント端末をあらかじめ全て把握して対応関係を記憶する作業が必要であり、事前の作業コストがかかる。また、クライアント端末の増減が発生した場合にも、その都度、対応関係テーブルを更新する必要があり、作業コストがかかる。また、利用者ＩＤとテナントＩＤとを対応付けておく場合、利用者数の増大に伴いテーブル容量が増大し、テーブル保存のためのマシンコストやテーブル検索時の検索コストが大きくなるという問題がある。
Furthermore, in the related art described in
本発明は、上述の課題を解決するためになされたものである。すなわち、本発明は、運用コスト、マシンコスト、検索コストを低減しながら、利用者に意識させることなく、テナントＩＤをサーバに通知する技術を提供することを目的とする。 The present invention has been made to solve the above-mentioned problems. That is, an object of the present invention is to provide a technique for notifying a server of a tenant ID without making the user conscious while reducing the operation cost, the machine cost, and the search cost.
本発明の通信情報制御装置は、テナント毎に登録された利用者に対してマルチテナントサービスを提供するサーバおよび前記マルチテナントサービスを利用するクライアント間で送受信される情報を制御する通信情報制御装置であって、前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得する通信情報取得部と、前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録するテナントＩＤ登録部と、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤを特定するテナントＩＤ特定部と、前記テナントＩＤ登録部または前記テナントＩＤ特定部によって特定されたテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する通信情報出力部と、を備える。 A communication information control apparatus according to the present invention is a communication information control apparatus for controlling a server that provides a multitenant service to a user registered for each tenant and information transmitted and received between clients using the multitenant service. If the communication information acquisition unit for acquiring a request representing an authentication request for the multi-tenant service transmitted from the client to the server and the identification address of the transmission source of the request are not included in the tenant ID correspondence table, The tenant ID corresponding to the user information extracted from the request is specified by referring to the management information of the multi-tenant service in the server, and the specified tenant ID and the identification address of the transmission source are correlated to each other. Register in the tenant ID correspondence table A tenant ID registration unit, and a tenant ID specification unit for specifying a tenant ID associated with the transmission source identification address in the tenant ID correspondence table, when the transmission source identification address is included in the tenant ID correspondence table; A communication information output unit that includes the tenant ID specified by the tenant ID registration unit or the tenant ID specification unit in the request and outputs the request as a request for the multi-tenant service.
また、本発明の中継システムは、上述の通信情報制御装置と、前記クライアントから前記マルチテナントサービスに対する認証要求を表すリクエストを受信すると、該リクエストを前記通信情報制御装置に転送することにより、前記通信情報制御装置から前記テナントＩＤを含むリクエストを受信し、受信したリクエストを前記サーバに送信する通信経路制御システムと、を備える。 Further, the relay system according to the present invention may perform the communication by transferring the request to the communication information control device when the communication information control device described above receives the request representing the authentication request for the multi-tenant service from the client. A communication path control system that receives a request including the tenant ID from the information control device and transmits the received request to the server.
また、本発明の通信情報制御方法は、テナント毎に登録された利用者に対してマルチテナントサービスを提供するサーバおよび前記マルチテナントサービスを利用するクライアント間で送受信される情報を制御する通信情報制御方法であって、前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得すると、前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録し、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応づけられたテナントＩＤを特定し、特定したテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する。 Further, according to the communication information control method of the present invention, communication information control for controlling information transmitted and received between a server for providing multi-tenant service to a user registered for each tenant and a client using the multi-tenant service In the method, when a request representing an authentication request for the multi-tenant service transmitted from the client to the server is acquired, if the identification address of the transmission source of the request is not included in the tenant ID correspondence table, The tenant ID corresponding to the user information extracted from the request is specified by referring to the management information of the multi-tenant service, and the specified tenant ID and the identification address of the transmission source are correlated to correspond to the tenant ID Register in the table and send If the tenant ID correspondence table includes the identification address of the tenant ID, the tenant ID corresponding to the identification address of the transmission source is specified in the tenant ID correspondence table, and the specified tenant ID is included in the request, Output as a request for tenant service.
また、本発明の通信情報制御プログラムは、テナント毎に登録された利用者に対してマルチテナントサービスを提供するサーバおよび前記マルチテナントサービスを利用するクライアント間で送受信される情報を制御する通信情報制御装置に、前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得する通信情報取得ステップと、前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録するテナントＩＤ登録ステップと、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応づけられたテナントＩＤを特定するテナントＩＤ特定ステップと、前記テナントＩＤ登録ステップまたは前記テナントＩＤ特定ステップにおいて特定されたテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する通信情報出力ステップと、を実行させる。 Further, the communication information control program of the present invention controls communication information to be transmitted and received between a server that provides a multitenant service to a user registered for each tenant and a client that uses the multitenant service. A communication information acquisition step of acquiring a request representing an authentication request for the multi-tenant service transmitted from the client to the server, and the identification address of the transmission source of the request is not included in the tenant ID correspondence table; The tenant ID corresponding to the user information extracted from the request is specified by referring to the management information of the multi-tenant service in the server, and the specified tenant ID and the identification address of the transmission source are correlated to each other. Table for tenant ID correspondence Tenant ID registration step to register in the tenant ID address table that identifies the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table when the identification address of the transmission source is included in the tenant ID correspondence table A specifying step and a communication information output step of outputting the request as the request for the multi-tenant service by including the tenant ID specified in the tenant ID registration step or the tenant ID specifying step in the request are executed.
本発明は、運用コスト、マシンコスト、検索コストを低減しながら、利用者に意識させることなく、テナントＩＤをサーバに通知する技術を提供することができる。 The present invention can provide a technology for notifying the server of the tenant ID without making the user aware while reducing the operation cost, the machine cost and the search cost.
以下、本発明の実施の形態について、図面を参照して詳細に説明する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings.
（第１の実施の形態）
本発明の第１の実施の形態としての通信情報制御装置１０の機能ブロック構成を図１に示す。図１において、通信情報制御装置１０は、通信情報取得部１１と、テナントＩＤ登録部１２と、テナントＩＤ特定部１３と、通信情報出力部１４とを含む。
First Embodiment
A functional block configuration of the communication
通信情報制御装置１０は、サーバ８０およびクライアント９０間で送受信される情報を制御する装置である。
The communication
サーバ８０は、マルチテナントサービスを提供する装置である。マルチテナントサービスとは、テナント毎に登録された利用者に対して提供されるサービスをいうものとする。また、サーバ８０によって提供されるマルチテナントサービスを利用するには、利用者情報およびテナントＩＤによる認証が必要であるものとする。利用者情報とは、登録された利用者を表す情報である。例えば、利用者情報は、利用者を識別する利用者ＩＤを含む。さらに、利用者情報は、利用者ＩＤに対応付けて登録されたパスワードを含んでいてもよい。テナントＩＤとは、利用者の属するテナントを識別する情報である。サーバ８０は、テナントＩＤ毎に登録された利用者情報を、管理情報として記憶している。なお、サーバ８０では、異なるテナントであっても、同一の利用者情報が登録されないよう運用されるものとする。
The
クライアント９０は、サーバ８０によって提供されるマルチテナントサービスを利用する装置である。クライアント９０は、マルチテナントサービスに対する認証要求を表すリクエストを、サーバ８０に送信する。クライアント９０から送信されるリクエストには、登録された利用者を表す利用者情報が含まれるが、テナントＩＤは含まれないものとする。
The
ここで、通信情報制御装置１０は、図２に示すようなハードウェア要素によって構成可能である。図２において、通信情報制御装置１０は、ＣＰＵ（Central Processing Unit）１００１、メモリ１００２、出力装置１００３、入力装置１００４、および、ネットワークインタフェース１００５を含む。メモリ１００２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、補助記憶装置（ハードディスク等）等によって構成される。出力装置１００３は、ディスプレイ装置やプリンタ等のように、情報を出力する装置によって構成される。入力装置１００４は、キーボードやマウス等のように、ユーザ操作の入力を受け付ける装置によって構成される。ネットワークインタフェース１００５は、インターネット、ＬＡＮ（Local Area Network）、公衆回線網、無線通信網またはこれらの組合せ等によって構成されるネットワークに接続するインタフェースである。この場合、通信情報制御装置１０の各機能ブロックは、メモリ１００２に格納されるコンピュータ・プログラムを読み込んで実行するとともに各部を制御するＣＰＵ１００１によって構成される。なお、通信情報制御装置１０およびその各機能ブロックのハードウェア構成は、上述の構成に限定されない。
Here, the communication
通信情報取得部１１は、クライアント９０からサーバ８０へ送信されるリクエストを取得する。また、通信情報取得部１１は、取得したリクエストから、その送信元の識別アドレスを特定する。また、通信情報取得部１１は、取得したリクエストから、利用者情報を抽出する。リクエストから抽出されるこれらの情報は、後述のテナントＩＤ登録部１２またはテナントＩＤ特定部１３によって用いられる。例えば、リクエストがＩＰ（Internet Protocol）パケットであることを想定する。この場合、送信元の識別アドレスとしては、ＩＰパケットに含まれる送信元ＩＰアドレスが適用される。また、利用者情報は、ＩＰパケットのデータ部分に含まれている。
The communication
テナントＩＤ登録部１２は、リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合に機能するよう構成される。この場合、テナントＩＤ登録部１２は、送信元の識別アドレスと、利用者情報に対応するテナントＩＤとを対応付けて、テナントＩＤ対応テーブルに登録する。
The tenant
具体的には、テナントＩＤ登録部１２は、サーバ８０におけるマルチテナントサービスの管理情報を参照することにより、リクエストから抽出された利用者情報に対応するテナントＩＤを特定する。例えば、テナントＩＤ登録部１２は、特権アカウントを用いてマルチテナントサービスにアクセスすることにより、管理情報を参照可能となっていてもよい。そして、テナントＩＤ登録部１２は、特定したテナントＩＤおよび送信元の識別アドレスを対応付けて、テナントＩＤ対応テーブルに登録すればよい。
Specifically, the tenant
テナントＩＤ特定部１３は、送信元の識別アドレスがテナントＩＤ対応テーブルに含まれる場合に機能するよう構成される。この場合、テナントＩＤ特定部１３は、テナントＩＤ対応テーブルにおいて送信元の識別アドレスに対応付けられたテナントＩＤを特定する。
The tenant
通信情報出力部１４は、テナントＩＤ登録部１２またはテナントＩＤ特定部１３によって特定されたテナントＩＤをリクエストに含めて、マルチテナントサービスに対するリクエストとして出力する。
The communication
以上のように構成された通信情報制御装置１０の動作について、図３を参照して説明する。
The operation of the communication
まず、通信情報取得部１１は、クライアント９０からサーバ８０へ送信される、マルチテナントサービスに対する認証要求を表すリクエストを取得する（ステップＳ１）。
First, the communication
次に、通信情報取得部１１は、取得したリクエストから、送信元の識別アドレスおよび利用者情報を抽出する（ステップＳ２）。
Next, the communication
次に、テナントＩＤ登録部１２は、リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれるか否かを判断する（ステップＳ３）。
Next, the tenant
ここで、送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、テナントＩＤ登録部１２は、サーバ８０におけるマルチテナントサービスの管理情報を参照することにより、利用者情報に対応するテナントＩＤを特定する（ステップＳ４）。
Here, when the identification address of the transmission source is not included in the tenant ID correspondence table, the tenant
そして、テナントＩＤ登録部１２は、送信元の識別アドレスと、特定したテナントＩＤとを対応付けて、テナントＩＤ対応テーブルに登録する（ステップＳ５）。
Then, the tenant
一方、送信元の識別アドレスがテナントＩＤ対応テーブルに含まれる場合、テナントＩＤ特定部１３は、テナントＩＤ対応テーブルにおいて送信元の識別アドレスに対応付けられたテナントＩＤを特定する（ステップＳ６）。
On the other hand, when the identification address of the transmission source is included in the tenant ID correspondence table, the tenant
次に、通信情報出力部１４は、ステップＳ４またはＳ６で特定されたテナントＩＤをリクエストに含めて、マルチテナントサービスに対するリクエストとして出力する（ステップＳ７）。
Next, the communication
以上で、通信情報制御装置１０は、動作を終了する。
Thus, the communication
次に、本発明の第１の実施の形態の効果について述べる。 Next, the effects of the first embodiment of the present invention will be described.
本発明の第１の実施の形態としての通信情報制御装置は、運用コスト、マシンコスト、検索コストを低減しながら、利用者に意識させることなく、テナントＩＤをサーバに通知することができる。 The communication information control apparatus as the first embodiment of the present invention can notify the server of the tenant ID without making the user conscious, while reducing the operation cost, the machine cost and the search cost.
その理由について説明する。本実施の形態では、通信情報取得部が、クライアントからサーバへ送信される、マルチテナントサービスに対する認証要求を表すリクエストを取得する。リクエストには、利用者情報が含まれ、テナントＩＤが含まれていない。そして、リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、テナントＩＤ登録部が、リクエストに含まれる利用者情報に対応するテナントＩＤを、マルチテナントサービスの管理情報にアクセスすることにより特定する。そして、テナントＩＤ登録部が、特定したテナントＩＤを、送信元の識別アドレスに対応付けて、テナントＩＤ対応テーブルに登録する。また、リクエストの送信元の識別アドレスが、テナントＩＤ対応テーブルに含まれる場合には、テナントＩＤ特定部が、テナントＩＤ対応テーブルにおいて送信元の識別アドレスに対応付けられたテナントＩＤを特定する。そして、通信情報出力部が、このようにして特定したテナントＩＤをリクエストに含めて出力するからである。 The reason is explained. In the present embodiment, the communication information acquisition unit acquires a request, which is transmitted from the client to the server, and which represents an authentication request for the multi-tenant service. The request includes user information and does not include the tenant ID. Then, when the identification address of the request transmission source is not included in the tenant ID correspondence table, the tenant ID registration unit accesses the tenant ID corresponding to the user information included in the request to the management information of the multi-tenant service. Identify by Then, the tenant ID registration unit registers the specified tenant ID in the tenant ID correspondence table in association with the identification address of the transmission source. In addition, when the identification address of the transmission source of the request is included in the tenant ID correspondence table, the tenant ID identification unit identifies the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table. Then, the communication information output unit outputs the request including the specified tenant ID in this way.
このように、本実施の形態は、クライアントからサーバへ送信されるリクエストを中継する際に、テナントＩＤを特定してリクエストに含める。これにより、本実施の形態は、クライアントから送出された時点では、利用者情報が含まれテナントＩＤが含まれていないリクエストに、適切なテナントＩＤを含めてサーバに送信することができる。その結果、クライアントにおいて、利用者は、リクエストに含めるための利用者情報を入力するだけでよく、テナントＩＤを入力する必要がない。したがって、利用者は、テナントＩＤを意識することなく、マルチテナントサービスを利用することができる。 As described above, according to this embodiment, when relaying a request transmitted from the client to the server, the tenant ID is specified and included in the request. By this means, according to the present embodiment, it is possible to transmit to the server the request including the user information and the tenant ID not including the appropriate tenant ID at the time of being sent from the client. As a result, in the client, the user only needs to input the user information to be included in the request, and does not need to input the tenant ID. Therefore, the user can use the multi-tenant service without being aware of the tenant ID.
また、このように、本実施の形態は、リクエストの送信元の識別アドレスに対して適切なテナントＩＤを特定することにより、テナントＩＤ対応テーブルを自動生成することができる。このため、本実施の形態は、テナントＩＤ対応テーブルを事前に作成しておく必要がなく、運用コストを抑えることができる。 Also, as described above, according to the present embodiment, the tenant ID correspondence table can be automatically generated by specifying the tenant ID appropriate for the identification address of the transmission source of the request. Therefore, in the present embodiment, there is no need to create the tenant ID correspondence table in advance, and the operation cost can be suppressed.
また、一般的に、同じテナントに属する利用者からのリクエストの送信元の識別アドレスは、ゲートウェイ等のアドレスになることが想定される。この場合、本実施の形態におけるテナントＩＤ対応テーブルは、テナントによって用いられるゲートウェイ等の識別アドレス毎に、そのテナントＩＤを記憶すればよい。このため、テナントＩＤ対応テーブルは、利用者情報毎にテナントＩＤを記憶する場合に比べて、より小さい容量となる。このため、本実施の形態は、テナントＩＤ対応テーブルを保存するための領域を大量に必要とせず、マシンコストを抑えることができる。また、本実施の形態は、送信元の識別アドレスを検索するテナントＩＤ対応テーブルがより小容量であるため、検索コストを抑えることができる。 Also, in general, it is assumed that an identification address of a transmission source of a request from a user belonging to the same tenant will be an address such as a gateway. In this case, the tenant ID correspondence table in the present embodiment may store the tenant ID for each identification address such as a gateway used by the tenant. Therefore, the tenant ID correspondence table has a smaller capacity than the case where the tenant ID is stored for each user information. Therefore, the present embodiment can reduce the machine cost without requiring a large amount of area for storing the tenant ID correspondence table. Further, in the present embodiment, since the tenant ID correspondence table for searching for the identification address of the transmission source has a smaller capacity, the search cost can be suppressed.
（第２の実施の形態）
次に、本発明の第２の実施の形態について図面を参照して詳細に説明する。なお、本実施の形態の説明において参照する各図面において、本発明の第１の実施の形態と同一の構成および同様に動作するステップには同一の符号を付して本実施の形態における詳細な説明を省略する。
Second Embodiment
Next, a second embodiment of the present invention will be described in detail with reference to the drawings. In the drawings to which reference is made in the description of the present embodiment, steps having the same configuration and operation as those of the first embodiment of the present invention will be assigned the same reference numerals and detailed description in the present embodiment. I omit explanation.
まず、本発明の第２の実施の形態としての中継システム２の構成を図４に示す。図４において、中継システム２は、通信情報制御装置２０と、通信経路制御システム３０とを含む。中継システム２は、サーバ８１およびクライアント９１間で送受信される情報を中継するシステムである。
First, FIG. 4 shows the configuration of a
サーバ８１は、マルチテナントサービスとして、マルチテナント型のディレクトリサービスを提供する装置である。例えば、ディレクトリサービスは、ＬＤＡＰ（Lightweight Directory Access Protocol）ディレクトリサービスであってもよい。以降、本実施の形態では、サーバ８１は、マルチテナント型のＬＤＡＰディレクトリサービスを提供するものとして説明を行う。ＬＤＡＰディレクトリサービスにおいては、テナントＩＤ毎に、利用者情報として利用者ＩＤおよびパスワードが登録される。また、ＬＤＡＰディレクトリサービスを利用するには、利用者ＩＤ、パスワード、および、テナントＩＤによる認証が必要であるものとする。以降、ＬＤＡＰディレクトリサービスに対する認証要求を表す情報を、ＬＤＡＰリクエストとも記載する。なお、本実施の形態において、ＬＤＡＰディレクトリサービスでは、異なるテナントであっても、利用者ＩＤおよびパスワードの組合せが同一の利用者情報は、登録されないよう運用されるものとする。
The
また、サーバ８１は、テナント毎にＬＤＡＰディレクトリツリーを分けて管理している。ＬＤＡＰディレクトリツリーの一例を図５に示す。例えば、図５では、テナントＩＤ「Ｃ」を持つテナントについて、利用者ＩＤとしてtanaka、sato、suzukiが登録されている。このようにＬＤＡＰディレクトリツリーは、テナント毎の利用者情報を含んでいる。また、このようなＬＤＡＰディレクトリツリーに特権アカウントでアクセスすることにより、利用者ＩＤに対応するパスワード（不図示）も参照可能となっている。ＬＤＡＰディレクトリツリーは、本発明の管理情報の一実施形態に相当する。
In addition, the
クライアント９１は、サーバ８１のＬＤＡＰディレクトリサービスを利用する装置である。クライアント９１は、ＬＤＡＰリクエストをサーバ８１に送信する。クライアント９１から送信されるＬＤＡＰリクエストには、利用者ＩＤおよびパスワードが含まれるが、テナントＩＤは含まれないものとする。
The
通信経路制御システム３０は、サーバ８１およびクライアント９１間の通信経路を制御するシステムである。通信経路制御システム３０は、クライアント９１からＬＤＡＰリクエストを受信すると、該ＬＤＡＰリクエストを通信情報制御装置２０に転送する。そして、通信経路制御システム３０は、テナントＩＤが付加されたＬＤＡＰリクエストを通信情報制御装置２０から受信し、受信したリクエストをサーバ８１に送信する。
The communication
例えば、通信経路制御システム３０は、ＳＤＮ（Software-Defined Network）によって構成されていてもよい。ＳＤＮは、通信機器の制御機能とデータ転送機能とを分離し、ソフトウェアによってネットワークの構成や設定を変更する技術である。この場合、通信経路制御システム３０は、例えば、図６に示すように、ＳＤＮコントローラ３１、第１のＳＤＮスイッチ３２、および、第２のＳＤＮスイッチ３３を含んで構成可能である。これらの各装置は、それぞれ、例えば、ＣＰＵ、メモリおよびネットワークインタフェースを備えたコンピュータ装置によって構成可能である。この場合、各装置のメモリには、各装置をそれぞれ本発明のＳＤＮコントローラまたはＳＤＮスイッチとして機能させるコンピュータ・プログラムが格納される。そして、各装置のＣＰＵは、メモリに記憶されたコンピュータ・プログラムを実行して各部を制御することにより機能する。なお、通信経路制御システム３０の構成は、図６に示す構成に限定されない。
For example, the communication
第１のＳＤＮスイッチ３２は、通信パケットを受信すると、自装置に設定されたフローエントリに基づいてその通信パケットを転送する。詳細には、第１のＳＤＮスイッチ３２は、通信パケットがＬＤＡＰリクエストであれば、その通信パケットをＳＤＮコントローラ３１に転送する。また、第１のＳＤＮスイッチ３２は、通信パケットが認証失敗情報であれば、その通信パケットをクライアント９１に返却する。また、第１のＳＤＮスイッチ３２は、通信パケットがＬＤＡＰリクエストでなく認証失敗情報でもない場合、フローエントリで定められた他の処理や、ＳＤＮにおけるスイッチとしての通常処理を行う。
When receiving the communication packet, the
ＳＤＮコントローラ３１は、転送された通信パケットの経路を算出し、適切な経路に向けて送信する。詳細には、ＳＤＮコントローラ３１は、通信パケットがＬＤＡＰリクエストであれば、その通信パケットを、通信情報制御装置２０に転送する。このＬＤＡＰリクエストには、利用者ＩＤとパスワードは含まれているが、テナントＩＤは含まれていない。また、ＳＤＮコントローラ３１は、通信パケットがＬＤＡＰリクエストでない場合、ＳＤＮにおけるコントローラとして他の処理を行う。
The SDN controller 31 calculates the path of the transferred communication packet, and transmits it toward an appropriate path. Specifically, if the communication packet is an LDAP request, the SDN controller 31 transfers the communication packet to the communication
また、ＳＤＮコントローラ３１は、通信情報制御装置２０からＬＤＡＰリクエストを返却された場合、返却されたＬＤＡＰリクエストを第２のＳＤＮスイッチ３３に転送する。このＬＤＡＰリクエストには、利用者ＩＤとパスワードに加えて、テナントＩＤが含まれている。また、ＳＤＮコントローラ３１は、通信情報制御装置２０から認証失敗情報を返却された場合、認証失敗情報を、第１のＳＤＮスイッチ３２に返却する。
When the SDN controller 31 returns an LDAP request from the communication
第２のＳＤＮスイッチ３３は、通信パケットを受信すると、自装置に設定されたフローエントリに基づいてその通信パケットを転送する。詳細には、第２のＳＤＮスイッチ３３は、通信パケットがＬＤＡＰリクエストであれば、その通信パケットをサーバ８１に転送する。また、第２のＳＤＮスイッチ３３は、通信パケットがＬＤＡＰリクエストでない場合、フローエントリで定められた他の処理や、ＳＤＮにおけるスイッチとしての通常処理を行う。
When the
次に、通信情報制御装置２０の機能について説明する。通信情報制御装置２０は、通信経路制御システム３０からＬＤＡＰリクエストが転送されると、転送されたＬＤＡＰリクエストにテナントＩＤを含めて、通信経路制御システム３０に返却する。あるいは、通信情報制御装置２０は、認証失敗情報を通信経路制御システム３０に返却する場合もある。
Next, the function of the communication
ここで、図６において、通信情報制御装置２０は、通信情報取得部２１と、テナントＩＤ登録部２２と、テナントＩＤ特定部２３と、通信情報出力部２４とを含む。なお、通信情報制御装置２０およびその各機能ブロックは、図２を参照して説明した本発明の第１の実施の形態と同一のハードウェア要素によって構成可能である。ただし、通信情報制御装置２０およびその機能ブロックのハードウェア構成は、上述の構成に限定されない。
Here, in FIG. 6, the communication
通信情報取得部２１は、通信経路制御システム３０からＬＤＡＰリクエストを受信する。ＬＤＡＰリクエストは、例えば、第１のＳＤＮスイッチ３２から転送される。このＬＤＡＰリクエストは、前述のように、クライアント９１からサーバ８１へのＬＤＡＰディレクトリサービスに対する認証要求を表している。
The communication
また、通信情報取得部２１は、ＬＤＡＰリクエストの送信元ＩＰアドレスを特定する。また、通信情報取得部２１は、ＬＤＡＰリクエストから、利用者ＩＤおよびパスワードを抽出する。
Also, the communication
テナントＩＤ登録部２２は、テナントＩＤ対応テーブルにＬＤＡＰリクエストの送信元のＩＰアドレスが含まれていない場合に機能するよう構成される。この場合、具体的には、テナントＩＤ登録部２２は、サーバ８１のＬＤＡＰディレクトリサービスに特権アカウントでアクセスする。これにより、テナントＩＤ登録部２２は、ＬＤＡＰディレクトリツリーから、該当する利用者ＩＤおよびパスワードに対応するテナントＩＤを検索する。ＬＤＡＰディレクトリツリーを検索した結果、該当するテナントＩＤを特定できた場合、テナントＩＤ登録部２２は、ＬＤＡＰリクエストの送信元ＩＰアドレスと、特定したテナントＩＤとを対応付けて、テナントＩＤ対応テーブルに新規エントリとして登録する。
The tenant
ここで、テナントＩＤ対応テーブルの一例を図７に示す。例えば、図７の１行目は、送信元ＩＰアドレス「アドレス１」に、テナントＩＤ「Ａ」が対応付けられていることを表している。
Here, an example of the tenant ID correspondence table is shown in FIG. For example, the first line in FIG. 7 indicates that the tenant ID “A” is associated with the transmission source IP address “
また、テナントＩＤ登録部２２は、後述の失敗回数が所定条件を満たした場合にも機能するよう構成される。この場合も、テナントＩＤ登録部２２は、ＬＤＡＰディレクトリサービスに特権アカウントでアクセスすることにより、該当する利用者ＩＤおよびパスワードに対応するテナントＩＤを検索する。該当するテナントＩＤを特定できた場合、テナントＩＤ登録部２２は、今回特定したテナントＩＤを用いて、テナントＩＤ対応テーブルを更新する。具体的には、テナントＩＤ登録部２２は、既にテナントＩＤ対応テーブルに登録されている送信元ＩＰアドレスに対応付けられていたテナントＩＤを、今回特定したテナントＩＤに更新すればよい。そして、テナントＩＤ登録部２２は、今回特定したテナントＩＤを、通信情報出力部２４に通知する。
The tenant
なお、ＬＤＡＰディレクトリツリーを検索しても該当するテナントＩＤを特定できなかった場合、テナントＩＤ登録部２２は、テナントＩＤを決定できない旨を、通信情報出力部２４に通知する。
If the corresponding tenant ID can not be identified even by searching the LDAP directory tree, the tenant
テナントＩＤ特定部２３は、テナントＩＤ対応テーブルにＬＤＡＰリクエストの送信元のＩＰアドレスが含まれている場合に機能するよう構成される。この場合、具体的には、テナントＩＤ特定部２３は、テナントＩＤ対応テーブルに含まれる送信元ＩＰアドレスに対応付けられたテナントＩＤを取得する。例えば、送信元のＩＰアドレスが「アドレス１」である場合、図７に示したテナントＩＤ対応テーブルによれば、テナントＩＤ「Ａ」が取得される。
The tenant
ここで、本発明の第１の実施の形態では、このようにしてテナントＩＤ対応テーブルから取得されたテナントＩＤが、このＬＤＡＰリクエストに対応するテナントＩＤとして特定されていた。本実施の形態では、テナントＩＤ対応テーブルから取得されたテナントＩＤが、さらに次のような条件を満たした場合に、このＬＤＡＰリクエストに対応するテナントＩＤとして特定される。 Here, in the first embodiment of the present invention, the tenant ID thus acquired from the tenant ID correspondence table is specified as the tenant ID corresponding to the LDAP request. In the present embodiment, when the tenant ID acquired from the tenant ID correspondence table further satisfies the following conditions, it is specified as the tenant ID corresponding to the LDAP request.
具体的には、テナントＩＤ特定部２３は、テナントＩＤ対応テーブルから取得したテナントＩＤと、ＬＤＡＰリクエストから抽出された利用者情報との対応関係が正しいか否かを判断する。この判断処理は、サーバ８１のＬＤＡＰディレクトリサービスに特権アカウントでアクセスすることにより行われる。つまり、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリサービスに特権アカウントでアクセスすることにより、該当するテナントＩＤの配下に、該当する利用者情報が登録されているか否かを確認すればよい。なお、このとき、テナントＩＤ特定部２３は、該当するテナントＩＤの配下に該当する利用者ＩＤが存在すれば、パスワードを照合せずに、テナントＩＤと利用者情報との対応関係が正しいと判断してもよい。この場合、パスワードの認証は、ＬＤＡＰディレクトリサービスによって行われることになる。そして、テナントＩＤ特定部２３は、対応関係が正しいと判断した場合に、このテナントＩＤを通信情報出力部２４に通知する。
Specifically, the tenant
例えば、送信元ＩＰアドレスが「アドレス２」である場合、図７に示したテナントＩＤから、「Ｃ」が取得されることになる。また、ＬＤＡＰリクエストから、利用者ＩＤ「sato」およびパスワード「satopw」が抽出されているとする。この場合、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリサービスに特権アカウントでアクセスし、図５に示した管理情報を参照する。そして、テナントＩＤ特定部２３は、テナントＩＤ「Ｃ」配下に利用者ＩＤ「sato」があるので、このテナントＩＤおよび利用者情報の対応関係は正しいとして、テナントＩＤ「ｃ」を通信情報出力部２４に通知すればよい。
For example, when the transmission source IP address is "
また、テナントＩＤ特定部２３は、対応関係が正しくないと判断した場合に、テナントＩＤを決定できない旨を、通信情報出力部２４に通知する。このとき、テナントＩＤ特定部２３は、対応関係が正しくないと判断した回数（失敗回数）を、該当するテナントＩＤおよび利用者情報の組合せ毎にカウントしてもよい。例えば、テナントＩＤ特定部２３は、失敗回数記録テーブルに、テナントＩＤおよび利用者情報の組合せ毎の失敗回数を記録してもよい。そして、失敗回数が所定条件を満たした場合、テナントＩＤ特定部２３は、前述のテナントＩＤ登録部２２を呼び出す。所定条件とは、閾値を超えることであってもよい。また、失敗回数が所定条件を満たした場合、テナントＩＤ特定部２３は、そのテナントＩＤおよび利用者情報の組合せについての失敗回数を０にリセットする。
Further, when determining that the correspondence relationship is not correct, the tenant
ただし、テナントＩＤ特定部２３は、上述の失敗回数を、次のような場合にカウントするようにしてもよい。具体的には、テナントＩＤ特定部２３は、テナントＩＤ対応テーブルから取得されたテナントＩＤと利用者情報との対応関係が正しくないと判断した場合に、さらに、この利用者情報との対応関係が正しい他のテナントＩＤがあるか否かを判断する。この判断処理は、サーバ８１のＬＤＡＰディレクトリサービスに特権アカウントでアクセスすることにより行われる。そして、テナントＩＤ特定部２３は、そのような他のテナントＩＤがあると判断した場合に、失敗回数をカウントアップするようにしてもよい。この場合の失敗回数は、テナントＩＤ対応テーブルから取得されたテナントＩＤおよび利用者情報の組合せについて記録される。
However, the tenant
例えば、送信元のＩＰアドレスが「アドレス２」である場合、図７に示したテナントＩＤから、「Ｃ」が取得されることになる。また、ＬＤＡＰリクエストから、利用者ＩＤ「yamada」およびパスワード「yamadapw」が抽出されているとする。この場合、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリサービスに特権アカウントでアクセスし、図５に示したＬＤＡＰディレクトリツリーを検索する。そして、テナントＩＤ特定部２３は、テナントＩＤ「Ｃ」配下に利用者ＩＤ「yamada」がないので、このテナントＩＤおよび利用者情報の対応関係は正しくないと判断する。そして、この場合、テナントＩＤ特定部２３は、利用者ＩＤ「yamada」およびパスワード「yamadapw」を配下に持つ他のテナントＩＤがあるか否かを、ＬＤＡＰディレクトリツリーを検索することにより判断する。図７のＬＤＡＰディレクトリによると、テナントＩＤ「Ａ」の配下に、利用者ＩＤ「yamada」がある。また、そのパスワードが「yamadapw」であったとする。つまり、この利用者ＩＤおよびパスワードとの対応関係が正しい他のテナントＩＤ「Ａ」が存在することになる。そこで、テナントＩＤ特定部２３は、テナントＩＤ対応テーブルから取得されたテナントＩＤ「Ｃ」および利用者ＩＤ「yamada」の組合せについて、失敗回数記録テーブルに記録された失敗回数に、１を加算して更新すればよい。失敗回数記録テーブルの一例を図８に示す。例えば、図８の２行目は、テナントＩＤ「Ｃ」とユーザＩＤ「yamada」の組合せについて、失敗回数として１が記録されている。
For example, when the IP address of the transmission source is "
通信情報出力部２４は、テナントＩＤ登録部２２またはテナントＩＤ特定部２３からテナントＩＤを通知されると、ＬＤＡＰパケットにそのテナントＩＤを含めて、通信経路制御システム３０に返却する。具体的には、通信情報出力部２４は、テナントＩＤを含めたＬＤＡＰパケットを、前述のＳＤＮコントローラ３１に返却すればよい。
When notified of the tenant ID from the tenant
また、通信情報出力部２４は、テナントＩＤ登録部２２またはテナントＩＤ特定部２３からテナントＩＤを特定できない旨を通知されると、認証失敗情報を生成し、通信経路制御システム３０に返却する。具体的には、通信情報出力部２４は、認証失敗情報を、前述のＳＤＮコントローラ３１に返却すればよい。
Further, when notified that the tenant ID can not be specified from the tenant
以上のように構成された中継システム２の動作について、図面を参照して説明する。
The operation of
まず、中継システム２の動作の概略を図９に示す。
First, an outline of the operation of the
図９において、まず、第１のＳＤＮスイッチ３２は、受信した通信パケットが、クライアント９１からのＬＤＡＰリクエストであるか否かを判断する（ステップＡ１）。
In FIG. 9, first, the
ここで、ＬＤＡＰリクエストでない場合、第１のＳＤＮスイッチ３２は、自装置に定められたフローエントリにしたがって他の処理を行う（ステップＡ２）。
Here, if it is not an LDAP request, the
一方、ＬＤＡＰリクエストである場合、第１のＳＤＮスイッチ３２は、この通信パケットをＳＤＮコントローラ３１に転送する（ステップＡ３）。
On the other hand, if it is an LDAP request, the
次に、ＳＤＮコントローラ３１は、転送された通信パケットが、ＬＤＡＰリクエストであるか否かを判断する(ステップＢ１)。 Next, the SDN controller 31 determines whether the transferred communication packet is an LDAP request (step B1).
ここで、ＬＤＡＰリクエストでない場合、ＳＤＮコントローラ３１は、ＳＤＮコントローラとして定められた他の処理を行う（ステップＢ２）。 Here, if it is not an LDAP request, the SDN controller 31 performs another process defined as the SDN controller (step B2).
一方、ＬＤＡＰリクエストである場合、ＳＤＮコントローラ３１は、この通信パケットを通信情報制御装置２０に転送する（ステップＢ３）。 On the other hand, if it is an LDAP request, the SDN controller 31 transfers this communication packet to the communication information control apparatus 20 (step B3).
次に、通信情報制御装置２０は、ＬＤＡＰリクエストが転送されると、転送されたＬＤＡＰリクエストにテナントＩＤを含める処理を行う（ステップＤ１）。そして、その結果、通信情報制御装置２０は、テナントＩＤを含めたＬＤＡＰリクエストまたは認証失敗情報を、ＳＤＮコントローラ３１に返却する。このステップの詳細については後述する。
Next, when the LDAP request is transferred, the communication
次に、ＳＤＮコントローラ３１は、返却された通信パケットが、ＬＤＡＰリクエストであるか認証失敗情報であるかを判断する（ステップＢ４）。 Next, the SDN controller 31 determines whether the returned communication packet is an LDAP request or authentication failure information (step B4).
ここで、返却された通信パケットがＬＤＡＰリクエストである場合、ＳＤＮコントローラ３１は、この通信パケットを、第２のＳＤＮスイッチ３３に転送する（ステップＢ５）。 Here, if the communication packet returned is an LDAP request, the SDN controller 31 transfers this communication packet to the second SDN switch 33 (step B5).
そして、第２のＳＤＮスイッチ３３は、転送されたＬＤＡＰリクエストをサーバ８１に送信する（ステップＣ１）。
Then, the
一方、ステップＢ４で、返却された通信パケットが認証失敗情報であった場合、ＳＤＮコントローラ３１は、この通信パケットを、第１のＳＤＮスイッチ３２に返却する（ステップＢ６）。 On the other hand, if the returned communication packet is authentication failure information in step B4, the SDN controller 31 returns the communication packet to the first SDN switch 32 (step B6).
次に、第１のＳＤＮスイッチ３２は、返却された認証失敗情報を、クライアント９１に送信する（ステップＡ４）。
Next, the
以上で、中継システム２の動作の概略の説明を終了する。
This is the end of the general description of the operation of the
次に、ステップＤ１における通信情報制御装置２０の処理の詳細を、図１０〜図１１に示す。
Next, details of processing of the communication
図１０において、まず、通信情報取得部２１は、ＳＤＮコントローラ３１から、ＬＤＡＰリクエストを受信する（ステップＤ１１）。
In FIG. 10, first, the communication
次に、通信情報取得部２１は、ＬＤＡＰリクエストの送信元ＩＰアドレスを特定する。また、通信情報取得部２１は、ＬＤＡＰリクエストから利用者ＩＤおよびパスワードを抽出する（ステップＤ１２）。
Next, the communication
次に、テナントＩＤ登録部２２は、ＬＤＡＰリクエストの送信元ＩＰアドレスが、テナントＩＤ対応テーブルに含まれているか否かを判断する（ステップＤ１３）。
Next, the tenant
ここで、送信元ＩＰアドレスがテナントＩＤ対応テーブルに含まれていない場合、テナントＩＤ登録部２２は、テナントＩＤ登録処理を行う（ステップＤ２２）。このステップの詳細については後述する。
Here, when the transmission source IP address is not included in the tenant ID correspondence table, the tenant
一方、送信元ＩＰアドレスがテナントＩＤ対応テーブルに含まれている場合、テナントＩＤ特定部２３は、テナントＩＤ対応テーブルにおいて送信元ＩＰアドレスに対応付けられたテナントＩＤを取得する（ステップＤ１４）。
On the other hand, when the transmission source IP address is included in the tenant ID correspondence table, the tenant
次に、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリサービスに特権アカウントでアクセスする。そして、テナントＩＤ特定部２３は、ステップＤ１４で取得されたテナントＩＤと、ステップＤ１２で抽出された利用者情報との対応関係が正しいか否かを判断する（ステップＤ１５）。
Next, the tenant
具体的には、前述のように、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリツリーにおいて、ステップＤ１４で取得されたテナントＩＤが管理されているディレクトリ配下に、ステップＤ１２で抽出された利用者ＩＤが存在するか否かを検索すればよい。
Specifically, as described above, the tenant
ここで、対象のテナントＩＤおよび利用者情報の対応関係が正しい場合、テナントＩＤ特定部２３は、対象のテナントＩＤを通信情報出力部２４に通知する。そして、通信情報出力部２４は、ステップＤ１１で受信されたＬＤＡＰリクエストに、通知されたテナントＩＤを含めて、ＳＤＮコントローラ３１に対して返却する（ステップＤ１６）。
Here, when the correspondence between the target tenant ID and the user information is correct, the tenant
一方、対象のテナントＩＤおよび利用者情報の対応関係が正しくない場合、テナントＩＤ特定部２３は、ステップＤ１２で抽出された利用者情報に対応する他のテナントＩＤがあるか否かを判断する（ステップＤ１７）。
On the other hand, when the correspondence between the target tenant ID and the user information is not correct, the tenant
具体的には、前述のように、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリサービスに特権アカウントでアクセスする。そして、テナントＩＤ特定部２３は、ＬＤＡＰディレクトリツリーにおいて、該当する利用者ＩＤおよびパスワードに一致する情報を配下に持つテナントＩＤを検索すればよい。
Specifically, as described above, the tenant
ここで、そのような他のテナントＩＤが存在しない場合、テナントＩＤ特定部２３は、テナントＩＤを特定できない旨を、通信情報出力部２４に通知する。そして、通信情報出力部２４は、認証失敗情報を生成し、ＳＤＮコントローラ３１に対して返却する（ステップＤ１８）。
Here, when such another tenant ID does not exist, the tenant
一方、そのような他のテナントＩＤが存在する場合、テナントＩＤ特定部２３は、対象のテナントＩＤおよび利用者情報の組合せについて記録された失敗回数が、所定条件を満たしているか否かを判断する（ステップＤ１９）。
On the other hand, when there is such another tenant ID, the tenant
具体的には、前述のように、テナントＩＤ特定部２３は、失敗回数記録テーブルを参照し、該当する失敗回数が閾値を超えたか否かを判断すればよい。
Specifically, as described above, the tenant
ここで、失敗回数が所定条件を満たしていない場合、テナントＩＤ特定部２３は、対象のテナントＩＤおよび利用者情報の組合せについて失敗回数を加算する（ステップＤ２０）。
Here, if the number of failures does not satisfy the predetermined condition, the tenant
具体的には、前述のように、テナントＩＤ特定部２３は、失敗回数記録テーブルにおいて対象のテナントＩＤおよび利用者の組合せについて記録された失敗回数に、１を加算して更新すればよい。
Specifically, as described above, the tenant
そして、テナントＩＤ特定部２３および通信情報出力部２４は、ステップＤ１８を実行し、認証失敗情報をＳＤＮコントローラ３１に対して返却する。
Then, the tenant
一方、ステップＤ１９において、失敗回数が所定条件を満たしている場合、テナントＩＤ特定部２３は、対象のテナントＩＤおよび利用者情報の組合せについて記録された失敗回数を０にリセットする（ステップＤ２１）。
On the other hand, when the number of failures satisfies the predetermined condition in step D19, the tenant
そして、テナントＩＤ特定部２３は、テナントＩＤ登録処理を実行する（ステップＤ２２）。
Then, the tenant
次に、ステップＤ２２におけるテナントＩＤ登録処理の詳細を図１１に示す。 Next, the details of the tenant ID registration process in step D22 are shown in FIG.
図１１において、まず、テナントＩＤ登録部２２は、ステップＤ１２でＬＤＡＰリクエストから抽出された利用者ＩＤおよびパスワードについて、対応するテナントＩＤを特定する（ステップＤ３１）。
In FIG. 11, first, the tenant
具体的には、前述のように、テナントＩＤ登録部２２は、サーバ８１のＬＤＡＰディレクトリサービスに特権アカウントでアクセスする。そして、テナントＩＤ登録部２２は、該当する利用者ＩＤおよびパスワードを配下に持つテナントＩＤを検索すればよい。
Specifically, as described above, the tenant
ここで、検索の結果、対象の利用者ＩＤおよびパスワードに対応するテナントＩＤを特定できない場合について説明する（ステップＤ３２でＮｏ）。 Here, the case where the tenant ID corresponding to the target user ID and password can not be specified as a result of the search will be described (No in step D32).
この場合、テナントＩＤ登録部２２は、テナントＩＤを特定できない旨を、通信情報出力部２４に通知する。そして、通信情報出力部２４は、認証失敗情報を生成し、ＳＤＮコントローラ３１に返却する（ステップＤ３３）。
In this case, the tenant
一方、検索の結果、対象の利用者ＩＤおよびパスワードに対応するテナントＩＤを特定できた場合について説明する（ステップＤ３２でＹｅｓ）。 On the other hand, the case where the tenant ID corresponding to the target user ID and password can be specified as a result of the search will be described (Yes in step D32).
この場合、テナントＩＤ登録部２２は、送信元ＩＰアドレスおよび特定したテナントＩＤを対応付けて、テナントＩＤ対応テーブルに登録する（ステップＤ３４）。
In this case, the tenant
このとき、ステップＤ１３でＮｏと判断されて呼び出されたテナントＩＤ登録処理であれば、テナントＩＤ登録部２２は、テナントＩＤ対応テーブルに新規エントリとして、該当する送信元ＩＰアドレスおよびテナントＩＤを登録すればよい。また、ステップＤ１９でＹｅｓと判断されて呼び出されたテナントＩＤ登録処理であれば、テナントＩＤ登録部２２は、登録済みの送信元ＩＰアドレスに対応づけられていたテナントＩＤを、今回特定したテナントＩＤに更新すればよい。
At this time, if it is the tenant ID registration processing that is determined to be No in step D13 and is called, the tenant
次に、テナントＩＤ登録部２２は、特定したテナントＩＤを、通信情報出力部２４に通知する。そして、通信情報出力部２４は、ＬＤＡＰリクエストにテナントＩＤを含めて、ＳＤＮコントローラ３１に返却する（ステップＤ３５）。
Next, the tenant
以上で、通信情報制御装置２０は、テナントＩＤ登録動作を終了する。
Thus, the communication
次に、本発明の第２の実施の形態の効果について述べる。 Next, the effects of the second embodiment of the present invention will be described.
本発明の第２の実施の形態としての中継システムは、運用コスト、マシンコスト、検索コストを低減しながら、利用者に意識させることなく、より適切なテナントＩＤをサーバに通知することができる。 The relay system as the second embodiment of the present invention can notify the server of a more appropriate tenant ID without making the user aware, while reducing the operation cost, the machine cost and the search cost.
その理由について説明する。本実施の形態では、通信情報取得部によってリクエストが取得されると、テナントＩＤ登録部が、リクエストから抽出された利用者情報に対応するテナントＩＤを特定する。このテナントＩＤの特定処理は、マルチテナントサービスの管理情報に特権アカウントでアクセスすることにより行われる。そして、テナントＩＤ登録部が、送信元ＩＰアドレスおよびテナントＩＤの対応関係をテナントＩＤ対応テーブルに登録する。そして、リクエストの送信元ＩＰアドレスがテナントＩＤ対応テーブルに含まれる場合に、テナントＩＤ特定部が、送信元ＩＰアドレスに対応付けられたテナントＩＤと、リクエストから抽出された利用者情報との対応関係が正しいか否かを確認する。この確認処理は、マルチテナントサービスの管理情報に特権アカウントでアクセスすることにより行われる。そして、対応関係が正しいことが確認された場合に、通信情報出力部が、そのテナントＩＤをリクエストに含めて返却するからである。 The reason is explained. In the present embodiment, when a request is acquired by the communication information acquisition unit, the tenant ID registration unit identifies a tenant ID corresponding to the user information extracted from the request. The specification process of the tenant ID is performed by accessing the management information of the multi-tenant service with a privileged account. Then, the tenant ID registration unit registers the correspondence between the transmission source IP address and the tenant ID in the tenant ID correspondence table. Then, when the transmission source IP address of the request is included in the tenant ID correspondence table, the tenant ID specification unit corresponds the correspondence between the tenant ID corresponding to the transmission source IP address and the user information extracted from the request. Make sure that is correct. This confirmation process is performed by accessing multi-tenant service management information with a privileged account. Then, when it is confirmed that the correspondence relationship is correct, the communication information output unit includes the tenant ID in the request and returns it.
また、さらに、本実施の形態は、テナントＩＤ対応テーブルに含まれる送信元ＩＰアドレスに対応付けられたテナントＩＤおよびリクエストから抽出された利用者情報の対応関係が正しくない場合に、次のように動作するよう構成される。すなわち、テナントＩＤ特定部が、その利用者情報に対応する他のテナントＩＤがあるか否かを確認する。この確認処理は、マルチテナントサービスの管理情報に特権アカウントでアクセスすることにより行われる。そして、他のテナントＩＤがある場合、テナントＩＤ特定部は、送信元ＩＰアドレスに対応付けられたテナントＩＤおよび利用者情報の組合せに対応付けて、失敗回数を記録する。そして、失敗回数が所定条件を満たした場合に、テナントＩＤ登録部が、リクエストから抽出された利用者情報に対応するテナントＩＤを改めて特定する。そして、テナントＩＤ登録部が、改めて特定したテナントＩＤを用いて、テナントＩＤ対応テーブルにおいて送信元ＩＰアドレスに対応付けられた情報を更新するからである。テナントＩＤを改めて特定する処理は、マルチテナントサービスの管理情報に特権アカウントでアクセスすることにより行われる。また、そのような他のテナントＩＤがない場合、または、失敗回数が所定条件を満たさない場合は、通信情報出力部は、認証失敗情報を、ＳＤＮコントローラに返却する。 Furthermore, in the present embodiment, when the correspondence between the tenant ID associated with the transmission source IP address included in the tenant ID correspondence table and the user information extracted from the request is not correct, as follows: Configured to work. That is, the tenant ID identification unit checks whether there is another tenant ID corresponding to the user information. This confirmation process is performed by accessing multi-tenant service management information with a privileged account. Then, when there is another tenant ID, the tenant ID identification unit records the number of failures in association with the combination of the tenant ID and the user information associated with the transmission source IP address. Then, if the number of failures satisfies the predetermined condition, the tenant ID registration unit again specifies the tenant ID corresponding to the user information extracted from the request. Then, the tenant ID registration unit updates the information associated with the transmission source IP address in the tenant ID correspondence table using the tenant ID identified again. The process of specifying the tenant ID again is performed by accessing the management information of the multi-tenant service with a privileged account. If there is no such other tenant ID, or if the number of failures does not satisfy the predetermined condition, the communication information output unit returns authentication failure information to the SDN controller.
これにより、本実施の形態は、次の２つのケースを区別して、より適切なテナントＩＤを特定することができる。 In this way, the present embodiment can identify the more appropriate tenant ID by distinguishing the following two cases.
１つ目のケースは、対象のテナントＩＤの利用者が、リクエストに含める利用者情報の入力を間違えたケースである。つまり、本実施の形態は、他のテナントＩＤがない、または、失敗回数が所定条件を満たさない（閾値を超えない）場合は、この１つ目のケースであるとみなす。そして、この場合、本実施の形態は、認証失敗情報を返却することにより、利用者に正しい利用者情報の入力を促すことになる。その結果、本実施の形態は、次回のリクエストについて、その送信元ＩＰアドレスに対応付けられたテナントＩＤおよび利用者情報との対応関係が正しいと判断し、正しい利用者情報を含むリクエストに適切なテナントＩＤを含めてサーバに送信する可能性を高める。 The first case is a case where the user of the target tenant ID fails to input the user information included in the request. That is, in the present embodiment, when there is no other tenant ID or the number of failures does not satisfy the predetermined condition (does not exceed the threshold), it is considered as the first case. Then, in this case, the present embodiment urges the user to input correct user information by returning authentication failure information. As a result, the present embodiment determines that the correspondence between the tenant ID and the user information associated with the transmission source IP address is correct for the next request, and is appropriate for the request including the correct user information. Increase the possibility of sending to the server including the tenant ID.
２つ目のケースは、利用者環境の変更等の理由により、ある送信元ＩＰアドレスが、以前にはテナントＡの利用者からのリクエストの送信元であったが、テナントＢの利用者からのリクエストの送信元に変更されたような場合である。この場合、リクエストから抽出される利用者情報は、テナントＩＤ対応テーブルにおいてリクエストの送信元ＩＰアドレスに対応付けられたテナントＩＤとは異なるテナントＩＤに対応することになる。つまり、本実施の形態は、他のテナントＩＤがあり、失敗回数が所定条件を満たす場合、他のテナントＩＤの利用者が、変更になった送信元から正しい利用者情報を何度も入力してリクエストを送信している可能性が高いとみなす。そして、この場合、本実施の形態は、テナントＩＤ登録処理を行って、その送信元ＩＰアドレスに対応するテナントＩＤを、利用者環境の変更に対応した新たなテナントＩＤに更新することができる。 In the second case, a source IP address was previously the source of a request from the tenant A user due to a change in the user environment, etc., but the tenant B user It is a case where it has been changed to the request sender. In this case, the user information extracted from the request corresponds to the tenant ID different from the tenant ID associated with the transmission source IP address of the request in the tenant ID correspondence table. That is, in the present embodiment, when there is another tenant ID and the number of failures satisfies a predetermined condition, the user of the other tenant ID inputs correct user information many times from the changed transmission source. It is highly likely that you are sending a request. Then, in this case, in the present embodiment, the tenant ID registration process can be performed to update the tenant ID corresponding to the transmission source IP address to a new tenant ID corresponding to the change of the user environment.
このようにして、本実施の形態は、利用者に、テナントＩＤを意識させることなく、マルチテナントサービスを利用させることが可能である。また、本実施の形態は、送信元の識別アドレスに基づいてテナントＩＤを特定するよう構成されるため、各テナントが属する組織のゲートウェイの外からの認証要求に対しても対応することができる。その結果、利用者は、自テナントのゲートウェイの外からモバイル端末を用いる場合でも、テナントＩＤを意識することなくマルチテナントサービスを利用可能である。 Thus, in the present embodiment, it is possible to make the user use the multi-tenant service without making the tenant ID conscious. Further, since the present embodiment is configured to specify the tenant ID based on the identification address of the transmission source, it is possible to cope with an authentication request from outside the gateway of the organization to which each tenant belongs. As a result, the user can use the multi-tenant service without being aware of the tenant ID even when using the mobile terminal from outside the gateway of the own tenant.
また、本実施の形態は、クライアントの利用環境変化に応じて、テナントＩＤ対応テーブルを更新する。そのため、本実施の形態は、クライアントの利用環境変化に伴う、マルチテナントサービス事業者への利用変更申請を不要にし、運用コストを低減する。 Further, in the present embodiment, the tenant ID correspondence table is updated according to the change in the use environment of the client. Therefore, in the present embodiment, the application change application to the multi-tenant service provider accompanying the change in the use environment of the client becomes unnecessary, and the operation cost is reduced.
また、本実施の形態は、マルチテナントサービス事業者側にとって、顧客の利用環境を別途管理する必要が無い。また、クライアント側の送信元アドレスは、顧客のゲートウェイのアドレスとなるケースが多い。このため、本実施の形態では、利用者数が増大しても、テナントＩＤ対応テーブルを保存するためのメモリ量が増大することはない。したがって、本実施の形態は、利用者数増加の影響を受けることなく、低リソースで実現可能となり、マシンコストを増大させない。また、本実施の形態は、利用者数増加の影響を受けることなく、テナントＩＤ対応テーブルに対する検索コストを増大させない。 Further, in the present embodiment, it is not necessary for the multi-tenant service provider side to separately manage the usage environment of the customer. In addition, the source address on the client side is often the address of the customer's gateway. Therefore, in the present embodiment, even if the number of users increases, the amount of memory for storing the tenant ID correspondence table does not increase. Therefore, the present embodiment can be realized with low resources without being affected by the increase in the number of users, and does not increase the machine cost. Also, the present embodiment does not increase the search cost for the tenant ID correspondence table without being affected by the increase in the number of users.
なお、本実施の形態において、通信情報制御装置は、ＳＤＮコントローラの機能として実現されてもよい。 In the present embodiment, the communication information control apparatus may be realized as a function of the SDN controller.
また、本実施の形態において、テナントＩＤ特定部は、テナントＩＤ対応テーブルから取得したテナントＩＤおよびリクエストから抽出された利用者情報の対応関係が正しいか否かを確認する処理として、図１０〜図１１に示した処理を行う例を説明した。これに限らず、テナントＩＤ特定部は、その他の手法を用いて、テナントＩＤおよびリクエストから抽出された利用者情報の対応関係が正しいか否かを確認してもよい。 Also, in the present embodiment, the tenant ID specification unit checks whether the correspondence between the tenant ID acquired from the tenant ID correspondence table and the user information extracted from the request is correct as shown in FIG. The example which performs the process shown to 11 was demonstrated. Not limited to this, the tenant ID specification unit may use another method to check whether the correspondence between the tenant ID and the user information extracted from the request is correct.
また、本実施の形態において、テナントＩＤ特定部は、利用者が誤った利用者情報を入力している場合と、利用者環境に変更のあった他のテナントＩＤの利用者が正しい利用者情報を入力している場合とを判別するため、失敗回数を記録する例を説明した。これに限らず、テナントＩＤ特定部は、その他の判断基準を用いて、これらのケースを判別してもよい。 Also, in the present embodiment, the tenant ID specification unit is a case where the user has input wrong user information, and the user information of the user of another tenant ID whose user environment has been changed is correct. An example of recording the number of failures has been described in order to determine that the user has input. Not limited to this, the tenant ID specification unit may determine these cases using other determination criteria.
また、本実施の形態において、マルチテナントサービスの一例として、マルチテナント型のＬＤＡＰディレクトリサービスを想定して説明した。これに限らず、本実施の形態は、他のマルチテナントサービスにも適用可能である。例えば、本実施の形態は、マルチテナントサービスとして、一般的なＤＢＭＳ（Database Management System）を利用したマルチテナント型アプリケーションサービスを適用した場合にも実施可能である。 Further, in the present embodiment, a multi-tenant type LDAP directory service has been described as an example of the multi-tenant service. The present embodiment is not limited to this, and is applicable to other multi-tenant services. For example, the present embodiment can also be implemented when a multi-tenant application service using a general DBMS (Database Management System) is applied as the multi-tenant service.
また、本実施の形態において、通信経路制御システムが、ＳＤＮによって構成される例について説明した。ただし、通信経路制御システムの構成はこれに限られない。通信経路制御システムは、マルチテナントサービスに対する認証要求を表すクライアントからのリクエストを通信情報制御装置に転送し、通信情報制御装置から出力されるリクエストをサーバに転送するよう通信経路を制御するシステムであればよい。 Further, in the present embodiment, the example in which the communication path control system is configured by the SDN has been described. However, the configuration of the communication path control system is not limited to this. The communication path control system is a system that controls a communication path to transfer a request from a client representing an authentication request for multi-tenant service to the communication information control device and transfer a request output from the communication information control device to the server. Just do it.
また、本実施の形態において、テナントＩＤ登録部は、失敗回数が所定条件を満たしたことを契機に動作する場合、テナントＩＤ対応テーブルにおいて送信元ＩＰアドレスに対応付けられたテナントＩＤを新たなテナントＩＤで更新する例を中心に説明した。これに限らず、本実施の形態において、テナントＩＤ登録部は、失敗回数が所定条件を満たしたことを契機に動作する場合、テナントＩＤ対応テーブルに、送信元ＩＰアドレスおよび新たに特定したテナントＩＤを対応付けた情報を追加してもよい。この場合、テナントＩＤ特定部は、テナントＩＤ対応テーブルから、送信元ＩＰアドレスに対応する複数のテナントＩＤを取得するケースが出てくる。このような場合、テナントＩＤ特定部は、リクエストから抽出された利用者情報を配下に持つテナントＩＤを特定すればよい。 In the present embodiment, when the tenant ID registration unit operates when the failure count satisfies the predetermined condition, the tenant ID associated with the transmission source IP address in the tenant ID correspondence table is a new tenant. The example has been described focusing on updating with the ID. Not limited to this, in the present embodiment, the tenant ID registration unit operates when the failure count satisfies the predetermined condition, the transmission source IP address and the newly identified tenant ID in the tenant ID correspondence table. You may add the information which matched the. In this case, there is a case where the tenant ID specification unit acquires a plurality of tenant IDs corresponding to the transmission source IP address from the tenant ID correspondence table. In such a case, the tenant ID identification unit may identify the tenant ID that has the user information subordinately extracted from the request.
また、上述した本発明の各実施の形態において、マルチテナントサービスでは、異なるテナントであっても同一の利用者情報が登録されないよう運用されるものとして説明した。これに限らず、各実施の形態は、異なるテナントであれば同一の利用者情報が登録される場合にも対応可能である。この場合、通信情報出力部は、テナントＩＤをクライアントに問い合わせる情報を返却してもよい。 Further, in each of the embodiments of the present invention described above, it has been described that the multi-tenant service is operated such that the same user information is not registered even for different tenants. Not only this but each embodiment can cope with the case where different tenants are registered with the same user information. In this case, the communication information output unit may return information for inquiring the client about the tenant ID.
また、上述した本発明の各実施の形態は、マルチテナントサービスの管理情報において利用者情報が所定のアルゴリズムで暗号化されている場合にも対応可能である。この場合、テナントＩＤ登録部およびテナントＩＤ特定部は、リクエストから抽出された利用者情報を、同一のアルゴリズムで暗号化した上で管理情報を検索すればよい。 In addition, each embodiment of the present invention described above can cope with the case where user information is encrypted by a predetermined algorithm in the management information of the multi-tenant service. In this case, the tenant ID registration unit and the tenant ID identification unit may search for management information after encrypting the user information extracted from the request with the same algorithm.
また、上述した本発明の各実施の形態において、通信情報制御装置の各機能ブロックが、記憶装置またはＲＯＭに記憶されたコンピュータ・プログラムを実行するＣＰＵによって実現される例を中心に説明した。これに限らず、各機能ブロックの一部、全部、または、それらの組み合わせが専用のハードウェアにより実現されていてもよい。 Also, in each of the embodiments of the present invention described above, an example has been described focusing on an example where each functional block of the communication information control apparatus is realized by a CPU that executes a computer program stored in a storage device or a ROM. The present invention is not limited to this, and some, all, or a combination of each functional block may be realized by dedicated hardware.
また、上述した本発明の各実施の形態において、通信情報制御装置の機能ブロックは、複数の装置に分散されて実現されてもよい。 Further, in each embodiment of the present invention described above, the functional blocks of the communication information control apparatus may be realized by being distributed to a plurality of apparatuses.
また、上述した本発明の各実施の形態において、各フローチャートを参照して説明した通信情報制御装置の動作を、本発明のコンピュータ・プログラムとしてコンピュータの記憶装置（記憶媒体）に格納しておく。そして、係るコンピュータ・プログラムを当該ＣＰＵが読み出して実行するようにしてもよい。そして、このような場合において、本発明は、係るコンピュータ・プログラムのコードあるいは記憶媒体によって構成される。 In each embodiment of the present invention described above, the operation of the communication information control apparatus described with reference to the flowcharts is stored as a computer program of the present invention in a storage device (storage medium) of a computer. Then, the CPU may read out and execute the computer program. And, in such a case, the present invention is constituted by such computer program code or storage medium.
また、上述した各実施の形態は、適宜組み合わせて実施されることが可能である。 Moreover, each embodiment mentioned above can be implemented combining suitably.
また、本発明は、上述した各実施の形態に限定されず、様々な態様で実施されることが可能である。 Furthermore, the present invention is not limited to the above-described embodiments, and can be implemented in various aspects.
１０、２０ 通信情報制御装置
１１、２１ 通信情報取得部
１２、２２ テナントＩＤ登録部
１３、２３ テナントＩＤ特定部
１４、２４ 通信情報出力部
２ 中継システム
３０ 通信経路制御システム
３１ ＳＤＮコントローラ
３２ 第１のＳＤＮスイッチ
３３ 第２のＳＤＮスイッチ
８０、８１ サーバ
９０、９１ クライアント
１００１ ＣＰＵ
１００２ メモリ
１００３ 出力装置
１００４ 入力装置
１００５ ネットワークインタフェース
10, 20 communication
1002
Claims (9)
前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得する通信情報取得部と、
前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録するテナントＩＤ登録部と、
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤを特定するテナントＩＤ特定部と、
前記テナントＩＤ登録部または前記テナントＩＤ特定部によって特定されたテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する通信情報出力部と、
を備え、
前記テナントＩＤ特定部は、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しいか否かを、前記管理情報を参照することにより判断し、正しいと判断した場合に、該テナントＩＤを特定し、
前記テナントＩＤ特定部によって、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しくないと判断された場合に、前記通信情報出力部は、前記送信元に対する返却用の認証失敗情報を出力する
通信情報制御装置。 A server for providing multi-tenant services to users registered for each tenant, and a communication information control apparatus for controlling information transmitted and received between clients using the multi-tenant services,
A communication information acquisition unit for acquiring a request representing an authentication request for the multi-tenant service transmitted from the client to the server;
When the identification address of the transmission source of the request is not included in the tenant ID correspondence table, the tenant ID corresponding to the user information extracted from the request is referred to by referring to the management information of the multi-tenant service in the server. A tenant ID registration unit for specifying and registering the specified tenant ID and the identification address of the transmission source in association with the tenant ID correspondence table;
A tenant ID specification unit that specifies a tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table, when the identification address of the transmission source is included in the tenant ID correspondence table;
A communication information output unit that includes the tenant ID specified by the tenant ID registration unit or the tenant ID specification unit in the request and outputs the request as a request for the multi-tenant service;
Equipped with
The tenant ID specification unit, when the identification address of the transmission source is included in the tenant ID correspondence table, the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table, and the user information Whether or not the correspondence relationship is correct is determined by referring to the management information, and when it is determined that it is correct, the tenant ID is specified,
The communication information output unit when the tenant ID identification unit determines that the correspondence between the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table and the user information is not correct. A communication information control apparatus for outputting authentication failure information for return to the transmission source .
前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得する通信情報取得部と、
前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録するテナントＩＤ登録部と、
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤを特定するテナントＩＤ特定部と、
前記テナントＩＤ登録部または前記テナントＩＤ特定部によって特定されたテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する通信情報出力部と、
を備え、
前記テナントＩＤ特定部は、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しいか否かを、前記管理情報を参照することにより判断し、正しいと判断した場合に、該テナントＩＤを特定し、
前記テナントＩＤ特定部によって、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しくないと判断された場合に、前記テナントＩＤ登録部は、前記管理情報を参照することにより前記利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤを用いて前記テナントＩＤ対応テーブルを更新する
通信情報制御装置。 A server for providing multi-tenant services to users registered for each tenant, and a communication information control apparatus for controlling information transmitted and received between clients using the multi-tenant services,
A communication information acquisition unit for acquiring a request representing an authentication request for the multi-tenant service transmitted from the client to the server;
When the identification address of the transmission source of the request is not included in the tenant ID correspondence table, the tenant ID corresponding to the user information extracted from the request is referred to by referring to the management information of the multi-tenant service in the server. A tenant ID registration unit for specifying and registering the specified tenant ID and the identification address of the transmission source in association with the tenant ID correspondence table;
A tenant ID specification unit that specifies a tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table, when the identification address of the transmission source is included in the tenant ID correspondence table;
A communication information output unit that includes the tenant ID specified by the tenant ID registration unit or the tenant ID specification unit in the request and outputs the request as a request for the multi-tenant service;
Equipped with
The tenant ID specification unit, when the identification address of the transmission source is included in the tenant ID correspondence table, the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table, and the user information Whether or not the correspondence relationship is correct is determined by referring to the management information, and when it is determined that it is correct, the tenant ID is specified,
The tenant ID registration unit when the tenant ID identification unit determines that the correspondence between the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table and the user information is not correct. The communication information control apparatus identifies a tenant ID corresponding to the user information by referring to the management information, and updates the tenant ID correspondence table using the identified tenant ID.
前記テナントＩＤ登録部は、前記失敗回数が所定条件を満たした場合に、前記管理情報を参照することにより前記利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤを用いて前記テナントＩＤ対応テーブルを更新することを特徴とする請求項２に記載の通信情報制御装置。 The tenant ID specification unit determines the number of failures determined that the correspondence between the tenant ID associated with the identification address of the transmission source and the user information in the tenant ID correspondence table is not correct, the tenant ID and the number of failures. Record each combination of user information,
The tenant ID registration unit identifies the tenant ID corresponding to the user information by referring to the management information when the number of failures satisfies a predetermined condition, and uses the identified tenant ID to identify the tenant ID The communication information control apparatus according to claim 2 , characterized in that the correspondence table is updated.
前記クライアントから前記マルチテナントサービスに対する認証要求を表すリクエストを受信すると、該リクエストを前記通信情報制御装置に転送することにより、前記通信情報制御装置から前記テナントＩＤを含むリクエストを受信し、受信したリクエストを前記サーバに送信する通信経路制御システムと、
を備えた中継システム。 The communication information control apparatus according to any one of claims 1 to 4 .
When a request representing an authentication request for the multi-tenant service is received from the client, the request is transferred to the communication information control device to receive the request including the tenant ID from the communication information control device, and the received request A communication path control system that transmits to the server;
Relay system equipped with
前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得すると、
前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに
登録し、
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応づけられたテナントＩＤを特定し、
特定したテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力し、
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しいか否かを、前記管理情報を参照することにより判断し、正しいと判断した場合に、該テナントＩＤを特定し、
前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しくないと判断された場合に、前記送信元に対する返却用の認証失敗情報を出力する
通信情報制御方法。 A communication information control method for controlling a server for providing multi-tenant service to a user registered for each tenant and information transmitted and received between clients using the multi-tenant service,
When acquiring a request representing an authentication request for the multi-tenant service sent from the client to the server,
When the identification address of the transmission source of the request is not included in the tenant ID correspondence table, the tenant ID corresponding to the user information extracted from the request is referred to by referring to the management information of the multi-tenant service in the server. Identifying and associating the identified tenant ID with the identification address of the transmission source in the tenant ID correspondence table,
When the identification address of the transmission source is included in the tenant ID correspondence table, the tenant ID corresponding table is identified with the tenant ID in the tenant ID correspondence table,
The specified tenant ID is included in the request, and output as a request for the multi-tenant service ,
When the identification address of the transmission source is included in the tenant ID correspondence table, whether the correspondence between the tenant ID associated with the identification address of the transmission source and the user information is correct in the tenant ID correspondence table Is determined by referring to the management information, and if it is determined that the tenant ID is correct,
The authentication failure information for return to the transmission source is output when it is determined that the correspondence between the tenant ID associated with the identification address of the transmission source and the user information is not correct in the tenant ID correspondence table. communication information control method for.
前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得すると、 When acquiring a request representing an authentication request for the multi-tenant service sent from the client to the server,
前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに When the identification address of the transmission source of the request is not included in the tenant ID correspondence table, the tenant ID corresponding to the user information extracted from the request is referred to by referring to the management information of the multi-tenant service in the server. In the tenant ID correspondence table, the specified tenant ID and the identification address of the transmission source are correlated and specified
登録し、Register,
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応づけられたテナントＩＤを特定し、 When the identification address of the transmission source is included in the tenant ID correspondence table, the tenant ID corresponding table is identified with the tenant ID in the tenant ID correspondence table,
特定したテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力し、 The specified tenant ID is included in the request, and output as a request for the multi-tenant service,
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しいか否かを、前記管理情報を参照することにより判断し、正しいと判断した場合に、該テナントＩＤを特定し、 When the identification address of the transmission source is included in the tenant ID correspondence table, whether the correspondence between the tenant ID associated with the identification address of the transmission source and the user information is correct in the tenant ID correspondence table Is determined by referring to the management information, and if it is determined that the tenant ID is correct,
前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しくないと判断された場合に、前記管理情報を参照することにより前記利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤを用いて前記テナントＩＤ対応テーブルを更新する The user information is referred to by referring to the management information when it is determined in the tenant ID correspondence table that the correspondence between the tenant ID associated with the identification address of the transmission source and the user information is not correct. Identify the tenant ID corresponding to, and update the tenant ID correspondence table using the identified tenant ID
通信情報制御方法。 Communication information control method.
前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得する通信情報取得ステップと、
前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録するテナントＩＤ登録ステップと、
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応づけられたテナントＩＤを特定するテナントＩＤ特定ステップと、
前記テナントＩＤ登録ステップまたは前記テナントＩＤ特定ステップにおいて特定されたテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する通信情報出力ステップと、を実行させ、
前記テナントＩＤ特定ステップにおいて、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しいか否かを、前記管理情報を参照することにより判断し、正しいと判断した場合に、該テナントＩＤを特定し、
前記テナントＩＤ特定ステップにおいて、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しくないと判断された場合に、前記送信元に対する返却用の認証失敗情報を出力する
通信情報制御プログラム。 A server for providing multi-tenant service to a user registered for each tenant and a communication information control apparatus for controlling information transmitted and received between clients using the multi-tenant service
A communication information acquisition step of acquiring a request representing an authentication request for the multi-tenant service transmitted from the client to the server;
When the identification address of the transmission source of the request is not included in the tenant ID correspondence table, the tenant ID corresponding to the user information extracted from the request is referred to by referring to the management information of the multi-tenant service in the server. A tenant ID registration step of specifying and registering the specified tenant ID and the identification address of the transmission source in association with the tenant ID correspondence table;
A tenant ID specifying step of specifying a tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table, when the identification address of the transmission source is included in the tenant ID correspondence table;
Execute the communication information output step of including the tenant ID identified in the tenant ID registration step or the tenant ID identification step in the request and outputting the request as a request for the multi-tenant service ;
In the tenant ID specifying step, when the identification address of the transmission source is included in the tenant ID correspondence table, the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table and the user information Whether or not the correspondence relationship is correct is determined by referring to the management information, and when it is determined that it is correct, the tenant ID is specified,
When it is determined in the tenant ID identification step that the correspondence between the tenant ID associated with the identification address of the transmission source and the user information is not correct in the tenant ID correspondence table, return to the transmission source Communication control program that outputs authentication failure information for
前記クライアントから前記サーバへ送信される前記マルチテナントサービスに対する認証要求を表すリクエストを取得する通信情報取得ステップと、 A communication information acquisition step of acquiring a request representing an authentication request for the multi-tenant service transmitted from the client to the server;
前記リクエストの送信元の識別アドレスがテナントＩＤ対応テーブルに含まれない場合、前記サーバにおける前記マルチテナントサービスの管理情報を参照することにより、前記リクエストから抽出される利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤおよび前記送信元の識別アドレスを対応付けて前記テナントＩＤ対応テーブルに登録するテナントＩＤ登録ステップと、 When the identification address of the transmission source of the request is not included in the tenant ID correspondence table, the tenant ID corresponding to the user information extracted from the request is referred to by referring to the management information of the multi-tenant service in the server. A tenant ID registration step of specifying and registering the specified tenant ID and the identification address of the transmission source in association with the tenant ID correspondence table;
前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応づけられたテナントＩＤを特定するテナントＩＤ特定ステップと、 A tenant ID specifying step of specifying a tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table, when the identification address of the transmission source is included in the tenant ID correspondence table;
前記テナントＩＤ登録ステップまたは前記テナントＩＤ特定ステップにおいて特定されたテナントＩＤを前記リクエストに含めて、前記マルチテナントサービスに対するリクエストとして出力する通信情報出力ステップと、を実行させ、 Execute the communication information output step of including the tenant ID identified in the tenant ID registration step or the tenant ID identification step in the request and outputting the request as a request for the multi-tenant service;
前記テナントＩＤ特定ステップにおいて、前記送信元の識別アドレスが前記テナントＩＤ対応テーブルに含まれる場合、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しいか否かを、前記管理情報を参照することにより判断し、正しいと判断した場合に、該テナントＩＤを特定し、 In the tenant ID specifying step, when the identification address of the transmission source is included in the tenant ID correspondence table, the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table and the user information Whether or not the correspondence relationship is correct is determined by referring to the management information, and when it is determined that it is correct, the tenant ID is specified,
前記テナントＩＤ特定ステップにおいて、前記テナントＩＤ対応テーブルにおいて前記送信元の識別アドレスに対応付けられたテナントＩＤと前記利用者情報との対応関係が正しくないと判断された場合に、前記管理情報を参照することにより前記利用者情報に対応するテナントＩＤを特定し、特定したテナントＩＤを用いて前記テナントＩＤ対応テーブルを更新する When it is determined in the tenant ID identification step that the correspondence between the tenant ID associated with the identification address of the transmission source in the tenant ID correspondence table and the user information is not correct, the management information is referred to. Identify the tenant ID corresponding to the user information, and update the tenant ID correspondence table using the identified tenant ID
通信情報制御プログラム。 Communication information control program.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2015021341A JP6540063B2 (en) | 2015-02-05 | 2015-02-05 | Communication information control apparatus, relay system, communication information control method, and communication information control program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2015021341A JP6540063B2 (en) | 2015-02-05 | 2015-02-05 | Communication information control apparatus, relay system, communication information control method, and communication information control program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2016144186A JP2016144186A (en) | 2016-08-08 |
| JP6540063B2 true JP6540063B2 (en) | 2019-07-10 |
Family
ID=56570938
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2015021341A Active JP6540063B2 (en) | 2015-02-05 | 2015-02-05 | Communication information control apparatus, relay system, communication information control method, and communication information control program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP6540063B2 (en) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6419143B2 (en) * | 2016-12-20 | 2018-11-07 | 株式会社ミロク情報サービス | Common program, database management apparatus, and database management method |
| JP6624251B1 (en) | 2018-07-31 | 2019-12-25 | 横河電機株式会社 | Interface modules, network devices, and network systems |
| JP7322619B2 (en) * | 2019-09-13 | 2023-08-08 | 株式会社リコー | COMPUTER SYSTEM, LOGIN SCREEN DISPLAY METHOD, PROGRAM |
| JP7396205B2 (en) | 2020-06-02 | 2023-12-12 | コニカミノルタ株式会社 | Medical information storage program and medical information storage management device |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP5132378B2 (en) * | 2008-03-21 | 2013-01-30 | 日本電信電話株式会社 | Service management method and service management system |
| JP5239966B2 (en) * | 2009-03-17 | 2013-07-17 | 富士通株式会社 | Relay device, tenant management program |
-
2015
- 2015-02-05 JP JP2015021341A patent/JP6540063B2/en active Active
Also Published As
| Publication number | Publication date |
|---|---|
| JP2016144186A (en) | 2016-08-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10374955B2 (en) | Managing network computing components utilizing request routing | |
| CN107690800B (en) | Managing dynamic IP address allocation | |
| US20180205697A1 (en) | Managing content delivery network service providers by a content broker | |
| US20220046088A1 (en) | Systems and methods for distributing partial data to subnetworks | |
| KR101379864B1 (en) | Request routing using network computing components | |
| US8533293B1 (en) | Client side cache management | |
| US11218437B2 (en) | Method for network traffic forwarding, request sending, and communication acceleration, forwarding server and node server | |
| US20080184354A1 (en) | Single sign-on system, information terminal device, single sign-on server, single sign-on utilization method, storage medium, and data signal | |
| JP2004266568A (en) | Name resolution server and packet transfer apparatus | |
| JP6540063B2 (en) | Communication information control apparatus, relay system, communication information control method, and communication information control program | |
| JP2014048900A (en) | Computer system, and packet transfer method | |
| Xie et al. | Supporting seamless virtual machine migration via named data networking in cloud data center | |
| KR20140007363A (en) | Site-aware distributed file system access from outside enterprise network | |
| JPWO2013190737A1 (en) | Server system, server, server control method, and server control program | |
| US20200287974A1 (en) | System and method for switching between publish/subscribe services | |
| US20130262637A1 (en) | Dns proxy service for multi-core platforms | |
| US11057470B2 (en) | Communication device and communication method for processing meta data | |
| JP4013967B2 (en) | Name resolution server and packet transfer device | |
| WO2015145953A1 (en) | Communication terminal, communication method, and program-containing storage medium | |
| JP4965683B2 (en) | Retransmission determination apparatus, retransmission determination method, retransmission determination program, and retransmission determination system | |
| JP6522490B2 (en) | Network system, control device, and program | |
| AU2023203129B2 (en) | Systems and methods for distributing partial data to subnetworks | |
| JP2006003962A (en) | Network storage system | |
| CN110958182B (en) | Communication method and related equipment | |
| JP2007166659A (en) | Name resolution server and packet transfer apparatus |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20180115 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20181126 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20181204 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20190130 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20190514 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20190527 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 6540063 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |