アクセス制御システム、アクセス制御装置、アクセス制御方法
【課題】 Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御可能とする。
【解決手段】アクセス制御システム１は、ユーザ端末10と、パスワード強度の異なるWebサービス31Ａ〜31Ｃを有するWebサービス群30と、ユーザ端末10からWebサービス群30へのアクセスを制御するアクセス制御装置20とを備え、アクセス制御装置20は、各Webサービス31Ａ〜31Ｃのパスワード強度(A)を記憶するパスワードポリシー記憶部26、ユーザ認証用のパスワードを受信しパスワード強度(B)をパスワード強度(A)に基づき決定するパスワード登録部21、受信したパスワードとパスワード強度(B)を記憶するＩＤ情報記憶部22、ユーザ端末10からWebサービス31Ａ〜31Ｃへアクセス要求された場合にパスワード強度(A)とパスワード強度(B)とに基づきアクセス要求の許否を判別するパスワード強度判別処理部24、を備える。
【解決手段】アクセス制御システム１は、ユーザ端末10と、パスワード強度の異なるWebサービス31Ａ〜31Ｃを有するWebサービス群30と、ユーザ端末10からWebサービス群30へのアクセスを制御するアクセス制御装置20とを備え、アクセス制御装置20は、各Webサービス31Ａ〜31Ｃのパスワード強度(A)を記憶するパスワードポリシー記憶部26、ユーザ認証用のパスワードを受信しパスワード強度(B)をパスワード強度(A)に基づき決定するパスワード登録部21、受信したパスワードとパスワード強度(B)を記憶するＩＤ情報記憶部22、ユーザ端末10からWebサービス31Ａ〜31Ｃへアクセス要求された場合にパスワード強度(A)とパスワード強度(B)とに基づきアクセス要求の許否を判別するパスワード強度判別処理部24、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の認証方式が混在するWebサービスへのアクセスを、各Webサービスのセキュリティ強度に応じて制御するアクセス制御システムに関するものである。
【背景技術】
【０００２】
Webサービスは通常、サービスごとにそれぞれ異なるセキュリティポリシーを有する。これら複数のWebサービスを用いたシステムがシングルサインオンに対応している場合、いったん認証されたユーザは、たとえ低いパスワード強度を要するWebサービスで認証された場合であっても、高いパスワード強度を要するWebサービスへのアクセスが可能となる。
【０００３】
そこで、アプリケーションのセキュリティポリシーの違いを利用してサービスを安全に利用する方法として、従来、インターネットサービス群に接続されたクライアントＰＣにセキュリティ管理を行う代行プログラムを内蔵し、このクライアントＰＣがユーザ認証に成功したインターネットサービス群からセキュリティポリシーをダウンロードすることでサービスごとのセキュリティポリシーの違いを吸収し、代行プログラムにサービスに必要なセキュリティ処理を行わせるセキュリティ処理代行方法がある（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−２９６２８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記のようなセキュリティ処理代行方法は、ユーザに要求されるセキュリティの手続きを簡略化するためにセキュリティポリシーの違いを吸収するものであるから、セキュリティポリシーの違いを吸収しても、Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御することはできないという課題があった。
【０００６】
本発明はこのような課題を解決するためになされたもので、Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御可能とするアクセス制御システム、アクセス制御装置、及びアクセス制御方法を得ることを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るアクセス制御システムは、ユーザにより使用されるユーザ端末と、ユーザ端末からアクセス可能に設けられたアプリケーション部と、ユーザ端末からアプリケーション部へのアクセスを制御するアクセス制御装置と、を備えたアクセス制御システムであって、アプリケーション部は、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム、第２のセキュリティ強度を必要とする第１のアプリケーションプログラムとは異なる第２のアプリケーションプログラム、を有し、アクセス制御装置は、アプリケーション部が有する第１のアプリケーションプログラムに関する情報及び第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、ユーザ端末からユーザ認証用にパスワードを受信し、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報に基づき、受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、パスワード強度決定部により受信されたパスワード、及びパスワード強度決定部により決定されたパスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、ユーザ端末がパスワードを用いてアプリケーション部へのアクセスを要求した場合に、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報のうちアクセスを要求されたアプリケーションプログラムに対応する情報、及びアクセスの要求に用いられたパスワードに対応する第２の記憶部に記憶されたパスワードのセキュリティ強度に基づいて、アクセスの要求を許可するか否か判別する判別部、を有するものである。
【０００８】
本発明に係るアクセス制御装置は、ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、を備えたアクセス制御システムに設けられ、ユーザ端末からアプリケーション部へのアクセスを制御するアクセス制御装置であって、アプリケーション部が有する第１のアプリケーションプログラムに関する情報及び第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、ユーザ端末からユーザ認証用にパスワードを受信し、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報に基づき、受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、パスワード強度決定部により受信されたパスワード、及びパスワード強度決定部により決定されたパスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、ユーザ端末がパスワードを用いてアプリケーション部へのアクセスを要求した場合に、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報のうちアクセスを要求されたアプリケーションに対応する情報、及びアクセスの要求に用いられたパスワードに対応する第２の記憶部に記憶されたパスワードのセキュリティ強度に基づいて、アクセスの要求を許可するか否か判別する判別部、を有するものである。
【０００９】
本発明に係るアクセス制御方法は、ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、ユーザ端末からアプリケーション部へのアクセスを制御するアクセス制御装置と、アクセス制御装置にアプリケーション部の情報を登録する管理者端末と、を備えたアクセス制御システムで用いられるアクセス制御方法であって、管理者端末が、アクセス制御装置にアプリケーション部が有する第１のアプリケーションプログラムに対応する第１のセキュリティ強度及び第２のアプリケーションプログラムに対応する第２のセキュリティ強度を記憶させる第１の記憶ステップと、ユーザ端末が、アクセス制御装置へユーザ認証用にパスワードを送信する第１の送信ステップと、アクセス制御装置が、ユーザ端末から第１の送信ステップにより送信されたパスワードを受信する受信ステップと、アクセス制御装置が、受信ステップにより受信したパスワードのセキュリティ強度を、第１の記憶ステップにより記憶した第１及び第２のセキュリティ強度に基づき決定するパスワード強度決定ステップと、アクセス制御装置が、受信ステップにより受信したパスワード及びパスワード強度決定ステップにより決定したパスワードのセキュリティ強度を対応付けて記憶する第２の記憶ステップと、ユーザ端末が、第１の送信ステップにより送信したパスワードと同じパスワードを用いてアプリケーション部へのアクセスを要求するアクセス要求ステップと、アクセス制御装置が、アクセス要求ステップにより要求されたユーザ端末からアプリケーション部へのアクセスの要求を検知し、第１の記憶ステップにより記憶した第１及び第２のセキュリティ強度、及びアクセスの要求に用いられたパスワードに対応する第２の記憶ステップにより記憶したパスワードのセキュリティ強度に基づき、アクセスの要求を許可するか否か判別する判別ステップと、を備えたものである。
【発明の効果】
【００１０】
本発明によれば、アクセス制御システム、アクセス制御装置、及びアクセス制御方法は、上記構成を備えたことにより、Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御できる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るアクセス制御システムを示す機能ブロック図である。
【図２】実施の形態１に係るパスワードポリシーテーブルの登録例を示す図である。
【図３】実施の形態１におけるアクセス制御の手順を示すフローチャートの一部である。
【図４】図３の続きのアクセス制御の手順を示すフローチャートである。
【図５】実施の形態２におけるアクセス制御の手順を示すフローチャートである。
【図６】図５の続きのアクセス制御の手順を示すフローチャートである。
【図７】実施の形態３に係るアクセス制御システムを示す機能ブロック図である。
【図８】実施の形態３におけるアクセス制御の手順を示すフローチャートである。
【図９】図８の続きのアクセス制御の手順を示すフローチャートである。
【図１０】図９の続きのアクセス制御の手順を示すフローチャートである。
【発明を実施するための形態】
【００１２】
実施の形態１．
本発明を実施するための実施の形態１に係るアクセス制御システムを図１ないし図４を用いて説明する。
【００１３】
図１において、アクセス制御システム１は、ユーザにより使用されるユーザ端末10、ユーザ端末10の認証処理やアクセス制御を行うアクセス制御装置20、ユーザ端末10により利用される複数のWebサービス31Ａ〜31Ｃを有するWebサービス群30、ユーザ端末10の認証処理やアクセス制御を管理する管理者が使用する管理者端末40、を備え、それぞれネットワーク回線を介して接続されている。
【００１４】
アクセス制御装置20には、ユーザ端末10により入力されるパスワードを登録するパスワード登録部21と、ユーザ端末10により入力される認証用ＩＤ、パスワード、パスワードのセキュリティ強度を示すパスワード強度(B)、利用するWebサービス、の各情報をＩＤ情報テーブル220として保持するＩＤ情報記憶部22と、ユーザ端末10からWebサービス群30へのアクセスを認可する認可処理部23と、ユーザ認証を行う認証処理部25と、Webサービス31Ａ〜31Ｃごとにパスワードポリシーをパスワードポリシーテーブル260に記憶して管理するパスワードポリシー記憶部26と、管理者端末40からの指示に従い、Webサービス31Ａ〜31Ｃごとに必要とされるパスワードポリシー、例えばセキュリティ強度をパスワードポリシー記憶部26に登録するパスワードポリシー登録部27と、が設けられている。
ここでは、パスワードポリシー記憶部26に記憶されるパスワードのセキュリティ強度をパスワード強度(A)とし、以下の説明をする。
【００１５】
認可処理部23には、ＩＤ情報テーブル220に格納されたパスワード強度(B)とパスワードポリシーテーブル260に格納されたパスワード強度(A)とを比較して判別するパスワード強度判別処理部24が設けられている。なお、図１ではパスワード強度判別処理部24は認可処理部23に内蔵されているが、外付けにして認可処理部23と連携して動作するような構成であっても良い。
【００１６】
また、アクセス制御装置20は認証基盤と称することもあり、必ずしも一つの筐体で構成する必要はない。例えば、ＩＤ情報記憶部22やパスワードポリシー記憶部26は、アクセス制御装置20に接続された外部のハードディスクやメモリ等で構成しても良い。
【００１７】
Webサービス群30に含まれる複数のWebサービス31Ａ〜31Ｃは、１つ又は複数の装置により提供されるアプリケーションプログラムであって、それぞれ異なるセキュリティポリシーを有する。図２は、各Webサービス31のセキュリティポリシーを登録したセキュリティポリシーテーブル260の一例であり、Webサービス31それぞれに対応して、パスワードのセキュリティ強度を示すパスワード強度(A)及びパスワードの設定条件が登録されている。
【００１８】
図２では、パスワードの設定条件として文字長、文字種、世代制限、有効期限を設定しているが、条件はこれらに限るものではなく、パスワードの文字の組合せ等、他の要素により構成しても良い。なお、Webサービス31Ａ〜31Ｃは同じコンピュータにより提供されるものであっても良いし、異なるコンピュータにより提供されるものであっても良い。
また、ユーザ端末10及び管理者端末40は、データを表示するディスプレイとデータ入力に用いられるキーボード等を有し、例えばＰＣ等で構成される。
【００１９】
ここで、アクセス制御システム１の動作を説明する。
【００２０】
まず、事前処理として管理者端末40からアクセス制御システム１に含まれるWebサービス31Ａ〜31Ｃのパスワードポリシーを登録する手順を説明する。
図３に示すように、管理者は管理者端末40のブラウザを利用してパスワードポリシー登録部27へアクセスし、それぞれのWebサービス31について必要なパスワードの設定条件すなわちパスワードポリシーを入力する（ステップS101）。なお、パスワードポリシーの設定方法は、管理者端末40に表示されるブラウザ画面上で入力する方法や、管理者端末40にローカルに保存したファイルをアップロードする方法等がある。
【００２１】
パスワードポリシー登録部27は、ステップS101で設定された情報をパスワードポリシー記憶部26のパスワードポリシーテーブル260へ登録する（ステップS102）。このとき、図２に示すようなパスワードの条件をWebサービス31ごとに設定し、この条件に対応するパスワードのセキュリティ強度をパスワード強度(A)として数値化して登録する。
【００２２】
次に、アクセス制御システム１にパスワードを登録していないユーザが、アクセス制御装置20にユーザ認証のためにパスワードを登録する手順を説明する。
ユーザがユーザ端末10のブラウザを利用してパスワード登録部21にアクセスし、ユーザ認証に用いるＩＤとパスワードを入力すると（ステップS103）、パスワード登録部21はこれらを受信し、パスワードポリシーテーブル260を参照し（ステップS104）、ユーザ端末10から入力されたパスワードが条件（パスワードポリシー）を満たすパスワードの強度をパスワード強度(B)として決定する（ステップS105）。
【００２３】
パスワード登録部21は、また、ステップS103にて入力されたＩＤとパスワード、ステップS105で決定されたパスワード強度(B)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ対応付けて登録する（ステップS106）。
【００２４】
次に、ユーザ端末10がWebサービス31を利用するためにアクセスする際のアクセス制御の手順を説明する。
ユーザ端末10からWebサービス31に対するアクセスの要求が送信されると、アクセス制御装置１の認可処理部23がこのWebサービス31へのアクセス要求を受付け（ステップS107）、認証処理部25へユーザ認証の要求を指示する（ステップS108）。
【００２５】
認証処理部25は、Webサービス31へのアクセス要求を送信してきたユーザが認証済みのユーザであるか否かを判断し（ステップS109）、ユーザ認証が未だであると判断した場合はユーザ端末10のディスプレイに認証に必要な情報を入力するための認証画面を出力する（ステップS110）。
ユーザ端末10の認証画面上でＩＤ及びパスワードといった認証情報が入力されると（ステップS111）、認証処理部25はステップS111で入力されたＩＤ及びパスワードが正しいか否かを、ＩＤ情報テーブル220を参照して確認する（ステップS112）。
【００２６】
ステップS112でＩＤとパスワードが正しいと判断した場合、及びステップS109でユーザ認証済と判断した場合、認証処理部25はこのパスワードに対応するパスワード強度(B)をＩＤ情報テーブル220から取得し（ステップS113）、パスワード強度判別処理部24へ送信する（ステップS114）。
【００２７】
パスワード強度判別処理部24はパスワード強度(B)を受信すると、ユーザ端末10から要求されたWebサービス31へのアクセスに必要なパスワード強度(A)をパスワードポリシーテーブル260から取得する（ステップS115）。そして、ステップS113で取得したパスワード強度(B)とステップS115で取得したパスワード強度(A)とを比較する（ステップS116）。
【００２８】
ステップS116において、ユーザ端末10から入力されたパスワード強度(B)が管理者端末40により設定されたパスワード強度(A)と同等またはこれより高い場合、認可処理部23はパスワード強度判別処理部24からこの判別結果の情報を得てユーザのWebサービス31へのアクセスを許可し、ユーザ端末10からのアクセスを可能にして（ステップS117）フローを終了する。
【００２９】
一方、ステップS116でパスワード強度(B)がパスワード強度(A)よりも低い場合、パスワード強度判別処理部24からこの判別結果の情報を得た認可処理部23は、入力されたパスワードがWebサービス31の要求するパスワード強度を満たしていない旨、アクセス要求したWebサービス31に必要とされるパスワード強度、及び新しいパスワードの入力を促す表示、をユーザ端末10のディスプレイに出力し（ステップS118）、ステップS111に戻る。
【００３０】
また、ステップS112において認証処理部25がユーザにより入力された認証情報では正しくないと判断した場合、ユーザ端末10により入力されたＩＤまたはパスワードが正しくない旨をユーザ端末10のディスプレイに出力し（ステップS119）、このフローを終了する。
【００３１】
本実施の形態によれば、アクセス制御システム１は、アクセス制御装置20に管理者端末により設定されたパスワード強度(A)を保持するパスワードポリシー記憶部26と、ユーザ端末10からパスワードを受信し対応するパスワード強度(B)を決定するパスワード登録部21と、受信したパスワードとパスワード強度(B)を対応付けて記憶するＩＤ情報記憶部22と、パスワード強度(A)とパスワード強度(B)とを比較し、ユーザ端末10から入力されたパスワードがWebサービス31の要求するパスワード強度を満たしているか否かを判断するパスワード強度判別処理部24と、を備えたことにより、ユーザ端末10がWebサービス31へのアクセスを要求する場合にユーザ端末10から入力されたパスワードのパスワード強度(B)を確認するため、Webサービス31が要求するセキュリティ強度に応じたユーザのアクセスを制御できる。
すなわち、ユーザ端末10がセキュリティ強度の低いパスワードでユーザ認証されていても、これより高いセキュリティ強度を要するWebサービス31へのアクセスを要求する際には、パスワード強度の高いパスワードを用いて再度ユーザ認証を行うため、Webサービス31が要求するセキュリティ強度に応じてユーザのアクセスを制御できる。
【００３２】
実施の形態２．
本発明を実施するための実施の形態２に係るアクセス制御システムを図５及び図６を用いて説明する。
実施の形態１では、アクセス制御装置20は、ユーザ端末10がWebサービス31へのアクセスを要求する際にこのWebサービス31が要求するパスワード強度の判断をしていた。本実施の形態に係るアクセス制御装置20Ａは、ユーザがパスワードを変更する際に、既にユーザが契約しているWebサービス31のパスワードポリシーに基づき、アクセス可能なWebサービス31の情報をユーザ端末10に表示するものである。
【００３３】
アクセス制御システム１Ａは、アクセス制御装置20Ａの機能が、実施の形態１に記載のアクセス制御装置20と一部異なる。具体的には、パスワード登録部21Ａがユーザ端末10からのパスワード変更の要求を受付ける点と、認証処理部25がパスワード強度の比較に変更されたパスワードのパスワード強度(C)を用いる点が異なる。その他の構成は実施の形態１と同じであるため、説明を省略する。
【００３４】
ここで、アクセス制御システム１Ａの動作を説明する。
【００３５】
まず、事前処理として管理者端末40からアクセス制御システム１Ａに含まれるWebサービス31Ａ〜31Ｃのパスワードポリシーを登録する手順を説明する。
図５に示すように、管理者が管理者端末40のブラウザを利用してパスワードポリシー登録部27へアクセスし、それぞれのWebサービス31について必要なパスワードの設定条件を入力する（ステップS201）。なお、パスワードポリシーの設定は、実施の形態１に記載した方法等により行う。
【００３６】
パスワードポリシー登録部27は、ステップS201で設定された情報をパスワードポリシー記憶部26のパスワードポリシーテーブル260へ登録する（ステップS202）。このとき、パスワードの条件すなわちパスワードポリシーをWebサービス31ごとに設定し、この条件に対応するパスワードのセキュリティ強度をパスワード強度(A)として数値化して登録する。
【００３７】
次に、アクセス制御システム１Ａにパスワードを登録しているユーザが、パスワードを変更する手順を説明する。
ユーザがユーザ端末10のブラウザを利用してパスワード登録部21Ａにアクセスし、パスワードの変更を要求する。具体的には、ユーザ端末10からユーザ認証に用いるＩＤ、現在のパスワード、及び変更後のパスワードを入力する（ステップS203）。
【００３８】
アクセス制御装置１ＡがステップS203で入力されたＩＤ、現在及び変更後のパスワードを受信すると、認証処理部25はＩＤと現在のパスワードを用いてユーザ認証を行い（ステップS204）、ユーザ認証に成功した場合はパスワード登録部21Ａに認証結果を伝達する（ステップS205）。
一方、ステップS204においてユーザ認証に失敗した場合、認証処理部25はユーザ端末10のディスプレイにユーザ認証に失敗した旨を出力し（ステップS206）、このフローを終了する。
【００３９】
ステップS205にてユーザ認証に成功した旨の通知を受けたパスワード登録部21Ａは、パスワードポリシーテーブル260を参照し（ステップS207）、ユーザ端末10から送信された変更後のパスワードが条件（パスワードポリシー）を満たすパスワードの強度をパスワード強度(C)として決定する（ステップS208）。
【００４０】
パスワード登録部21Ａは、また、ＩＤ情報記憶部22に保持されたＩＤ情報テーブル220を参照し、このユーザ端末10を使用しているユーザが契約しているWebサービス31の情報を取得する（ステップS209）。そして、取得したWebサービス31Ａ〜31Ｃが変更後のパスワードでアクセス可能か否かそれぞれについて判断し（ステップS210）、判断したそれぞれの結果をユーザ端末10のディスプレイに出力する（ステップS211）。
【００４１】
パスワード登録部21Ａは、ステップS211においてアクセス不可と判断されたWebサービス31をユーザが利用したい場合に対応するため、パスワードの変更を受付ける表示を出力し（ステップS212）、ユーザ端末10から新たなパスワードが入力されると（すなわち、パスワード変更の要求を受付けると）ステップS204に戻る。なお、Webサービス31へのアクセス可能と判断された場合にもパスワードの変更の受付をしても良い。また、アクセス不可と判断されたWebサービス31が存在しない場合には、ステップS212を省略してもよい。
【００４２】
ステップS212において、ユーザ端末10からパスワード変更の要求がない場合、パスワード登録部21ＡはステップS203にて入力されたＩＤと変更後のパスワード、及びステップS208で決定された変更後のパスワードのパスワード強度(C)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ登録する（ステップS213）。
【００４３】
次に、ユーザ端末10がWebサービス31を利用するためにアクセスする際のアクセス制御の手順を説明する。使用するパスワードは変更後のものであるが、その他は実施の形態１のステップS107以降と同じである。
【００４４】
ユーザ端末10からWebサービス31へのアクセス要求が送信されると、認可処理部23はこのWebサービス31へのアクセス要求を受付け（ステップS214）、認証処理部25へユーザ認証の要求を指示する（ステップS215）。
【００４５】
認証処理部25は、Webサービス31へのアクセス要求を送信してきたユーザが認証済みのユーザであるか否かを判断し（ステップS216）、ユーザ認証が未だであると判断した場合はユーザ端末10のディスプレイに認証に必要な情報を入力するための認証画面を出力する（ステップS217）。
ユーザ端末10の認証画面上でＩＤ及び変更後のパスワードといった認証情報が入力されると（ステップS218）、アクセス制御装置１Ａはこれらを受信し、認証処理部25はステップS218で入力されたＩＤ及び変更後のパスワードが正しいか否かを、ＩＤ情報テーブル220を参照して確認する（ステップS219）。
【００４６】
ステップS219でＩＤと変更後のパスワードが正しいと判断した場合、及びステップS216でユーザ認証済と判断した場合、認証処理部25はこの変更後のパスワードに対応するパスワード強度(C)をＩＤ情報テーブル220から取得し（ステップS220）、パスワード強度判別処理部24へ送信する（ステップS221）。
【００４７】
パスワード強度判別処理部24はパスワード強度(C)を受信すると、ユーザ端末10から要求されたWebサービス31へのアクセスに必要なパスワード強度(A)をパスワードポリシーテーブル260から取得する（ステップS222）。そして、ステップS220で取得したパスワード強度(C)とステップS222で取得したパスワード強度(A)とを比較する（ステップS223）。
【００４８】
ステップS223において、ユーザ端末10から入力されたパスワード強度(C)が管理者端末40により設定されたパスワード強度(A)と同等またはこれより高い場合、認可処理部23はパスワード強度判別処理部24からこの判別結果の情報を得てユーザのWebサービス31のアクセスを許可し、ユーザ端末10からのアクセスを可能にして（ステップS224）フローを終了する。
【００４９】
一方、ステップS223でパスワード強度(C)がパスワード強度(A)よりも低い場合、パスワード強度判別処理部24からこの判別結果の情報を得た認可処理部23は、入力された変更後のパスワードがWebサービス31の要求するパスワード強度を満たしていない旨、アクセス要求したWebサービス31に必要とされるパスワード強度、及び新しいパスワードの入力を促す表示、をユーザ端末10のディスプレイに出力し（ステップS225）、ステップS218に戻る。
【００５０】
また、ステップS219において認証処理部25がユーザにより入力された認証情報では正しくないと判断した場合、入力されたＩＤまたは変更後のパスワードが正しくない旨をユーザ端末10のディスプレイに出力し（ステップS226）、このフローを終了する。
【００５１】
本実施の形態によれば、アクセス制御システム１Ａは、アクセス制御装置20Ａにパスワードの変更を受付ける機能を備え、パスワードを変更する際にWebサービス31Ａ〜31Ｃが必要とするそれぞれのパスワード強度をユーザ端末10に表示することにより、実施の形態１に記載の効果に加え、ユーザはWebサービス31Ａ〜31Ｃが必要とするパスワード強度よりもセキュリティ強度の高いパスワードを１度の手順で設定することができる。例えば、ユーザ端末10が契約する可能性のあるWebサービス31で必要とされるパスワード強度よりもセキュリティ強度の高いパスワードを予め設定しておけば、以前にアクセスしたWebサービス31よりも高いパスワード強度を必要とするWebサービス31へアクセスする場合であっても、パスワードを変更せずにアクセスすることができ、アクセス制御が容易となる。
【００５２】
実施の形態３．
本発明を実施するための実施の形態３に係るアクセス制御システムを図７ないし図１０を用いて説明する。
実施の形態２では、アクセス制御装置20Ａは、パスワードを変更する際に各Webサービス31が必要とするパスワード強度をユーザ端末10のディスプレイに表示していた。本実施の形態に係るアクセス制御システム1Ｂは、Webサービス群30Ｂにポータルサイト32を備え、ユーザ端末10がWebサービス31へアクセスする際に各Webサービス31Ａ〜31Ｃへのアクセス可否をポータルサイト32がアクセス制御装置20Ｂを介して表示するものである。
【００５３】
アクセス制御システム１Ｂは、図７に示すように、実施の形態２に記載の構成に加えてWebサービス群30Ｂにポータルサイト32を備えたものである。ポータルサイト32は、インターネットの入口に相当するWebサイトであり、ユーザ端末10はポータルサイト32を経由して各Webサービス31Ａ〜31Ｃとアクセスする。ポータルサイト32はWebサービス31Ａ〜31Ｃのいずれかと同じコンピュータに設定しても良いし、Webサービス31Ａ〜31Ｃとは異なるサーバに設定しても良い。
【００５４】
ここで、アクセス制御システム１Ｂの動作を説明する。
【００５５】
まず、事前処理として管理者端末40からアクセス制御システム１Ｃに含まれるWebサービス31Ａ〜31Ｃのパスワードポリシーを登録する手順を説明する。
図８に示すように、管理者が管理者端末40のブラウザを利用してパスワードポリシー登録部27へアクセスし、それぞれのWebサービス31に必要なパスワードポリシーを入力する（ステップS301）。なお、パスワードポリシーの設定は、実施の形態１に記載した方法等により行う。
【００５６】
パスワードポリシー登録部27は、ステップS301で設定された情報をパスワードポリシー記憶部26のパスワードポリシーテーブル260へ登録する（ステップS302）。このとき、パスワードの条件すなわちパスワードポリシーをWebサービス31ごとに設定し、この条件に対応するパスワードのセキュリティ強度をパスワード強度(A)として数値化して登録する。
【００５７】
次に、アクセス制御システム１Ｂにパスワードを登録していないユーザが、アクセス制御装置20Ｂにパスワードを登録する手順を説明する。
ユーザがユーザ端末10のブラウザを利用してパスワード登録部21Ａにアクセスし、ユーザ認証に用いるＩＤとパスワードを入力すると（ステップS303）、パスワード登録部21Ａはこれらを受信し、パスワードポリシーテーブル260を参照し（ステップS304）、ユーザ端末10から入力されたパスワードが条件（パスワードポリシー）を満たすパスワードの強度をパスワード強度(B)として決定する（ステップS305）。
【００５８】
パスワード登録部21Ａは、また、ステップS303にて入力されたＩＤとパスワード、ステップS305で決定されたパスワード強度(B)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ登録する（ステップS306）。
【００５９】
次に、ユーザ端末10がWebサービス31を利用するためにアクセスする際のアクセス制御の手順を説明する。
ユーザ端末10からWebサービス31へのアクセス要求が発生すると、認可処理部23がこのWebサービス31へのアクセス要求を受付け（ステップS307）、認証処理部25へユーザ認証の要求を指示する（ステップS308）。
【００６０】
認証処理部25は、Webサービス31へのアクセス要求を送信してきたユーザが認証済みのユーザであるか否かを判断し（ステップS309）、ユーザ認証が未だであると判断した場合はユーザ端末10のディスプレイに認証に必要な情報を入力するための認証画面を出力する（ステップS310）。
ユーザ端末10の認証画面上でＩＤ及びパスワードといった認証情報が入力されると（ステップS311）、認証処理部25はステップS111で入力されたＩＤ及びパスワードが正しいか否かを、ＩＤ情報テーブル220を参照して確認する（ステップS312）。
【００６１】
ステップS312でＩＤとパスワードが正しいと判断した場合、及びステップS309でユーザ認証済と判断した場合、認証処理部25はこのパスワードに対応するパスワード強度(B)をＩＤ情報テーブル220から取得し（ステップS313）、パスワード強度判別処理部24へ送信する（ステップS314）。
【００６２】
パスワード強度判別処理部24はパスワード強度(B)を受信すると、ユーザ端末10からアクセス要求されたWebサービス31へのアクセスに必要なパスワード強度(A)をパスワードポリシーテーブル260から取得する（ステップS315）。そして、ステップS313で取得したパスワード強度(B)とステップS315で取得したパスワード強度(A)とを比較する（ステップS316）。
【００６３】
ステップS316において、ユーザ端末10から入力されたパスワード強度(B)が管理者端末40により設定されたパスワード強度(A)と同等またはこれより高い場合、認可処理部23はパスワード強度判別処理部24からこの判別結果の情報を得てユーザのWebサービス31へのアクセスを許可し、Webサービス群30Ｂのポータルサイト32からユーザ端末10のディスプレイに判別結果の情報を表示する（ステップS317）。
【００６４】
一方、ステップS316でパスワード強度(B)がパスワード強度(A)よりも低い場合、パスワード強度判別処理部24からこの判別結果の情報を得た認可処理部23は、入力されたパスワードがWebサービス31の要求するパスワード強度を満たしていない旨、アクセス要求したWebサービス31に必要とされるパスワード強度、及び新しいパスワードの入力を促す表示、をユーザ端末10のディスプレイに出力し（ステップS318）、ステップS311に戻る。
【００６５】
また、ステップS312において認証処理部25がユーザにより入力された認証情報では正しくないと判断した場合、ユーザ端末10から受信したＩＤまたはパスワードが正しくない旨をユーザ端末10のディスプレイに出力し（ステップS319）、このフローを終了する。
【００６６】
次に、ユーザ端末10がポータルサイト32を介してWebサービス31にアクセスする手順を説明する。
ステップS317にてユーザ端末10に表示されたポータルサイト32において、ユーザがパスワードポリシーを満たしていないアクセス許可のないWebサービス31を選択すると（ステップS320）、ポータルサイト32が認可処理部23を経由して、ユーザ端末10にパスワードを変更するための変更画面及びユーザが選択したWebサービス31に必要とされるパスワードの条件（パスワードポリシー）を表示する（ステップS321）。
【００６７】
ユーザが提示されたパスワードポリシーに従い、ユーザ端末10から新しいパスワードに変更して入力すると（ステップS322）、パスワード登録部21Ａはパスワードポリシーテーブル260を参照し（ステップS323）、ユーザ端末10から入力された変更後のパスワードの強度をパスワード強度(C)として決定する（ステップS324）。
【００６８】
パスワード登録部21Ａは、また、ＩＤ情報記憶部22に保持されたＩＤ情報テーブル220を参照し、このユーザ端末10を使用しているユーザが契約しているWebサービス31の情報を取得する（ステップS325）。そして、取得したWebサービス31Ａ〜31Ｃが変更後のパスワードでアクセス可能か否かそれぞれについて判断し（ステップS326）、判断したそれぞれの結果をポータルサイト32に通知し、ポータルサイト32からこれらの結果をユーザ端末10のディスプレイに出力する（ステップS327）。
【００６９】
パスワード登録部21Ａは、ステップS327においてアクセス不可と判断されたWebサービス31をユーザが利用したい場合に対応するため、パスワードの変更を受付ける表示を、ポータルサイト32を介して出力し（ステップS328）、ユーザ端末10から新たなパスワードが入力される、すなわちパスワード変更の要求を受付けると、ステップS323に戻る。なお、Webサービス31がアクセス可能と判断された場合にもパスワードの変更の受付をしても良い。また、アクセス不可と判断されたWebサービス31が存在しない場合には、ステップS328を省略してもよい。
【００７０】
ステップS328においてユーザ端末10からパスワード変更の要求がない場合、パスワード登録部21Ａは、ステップS303にて入力されたＩＤに対応するパスワード及びパスワード強度として、ステップS322にて入力された新規パスワード及びステップS324で決定されたパスワード強度(C)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ更新登録して（ステップS329）フローを終了する。
【００７１】
本実施の形態によれば、アクセス制御システム１Ｂは、Webサービス群30Ｂにポータルサイト32を備えたことにより、実施の形態２に記載の効果に加えて次の効果を得ることができる。
アクセス制御装置20Ｂにパスワードが登録された後にユーザが新たなWebサービス31の利用契約を結んだとしても、ユーザからこのWebサービス31へのアクセスを要求された場合に、ポータルサイト32がユーザ端末10にアクセス可否を表示することができる。
また、ユーザ端末10からアクセス許可のないWebサービス31へのアクセスを要求された場合に、ポータルサイト32がこのWebサービス31に必要とされるパスワードポリシーとパスワードの変更受付け画面をユーザ端末10に表示することにより、ユーザ端末10が新たなパスワードを設定することが可能となり、各Webサービス31のパスワードポリシーに応じたアクセス制御が可能となる。
【００７２】
なお、上記実施の形態１〜３で「〜部」と説明したものは、ハードウェア、ソフトウェアのどちらでも良く、同様の機能を果たすものであれば「〜手段」、「〜プログラム」等であっても良い。
また、Webサービス群は「アプリケーション部」、Webサービスは「アプリケーションプログラム」、パスワードポリシー記憶部は「第１の記憶部」、パスワード登録部は「パスワード強度決定部」、ＩＤ情報記憶部は「第２の記憶部」、と言い換えることもできる。
【符号の説明】
【００７３】
１、１Ａ、１Ｂ アクセス制御システム
10 ユーザ端末
20、20Ａ、20Ｂ アクセス制御装置
21、21Ａ パスワード登録部
22 ＩＤ情報記憶部
220 ＩＤ情報テーブル
23 認可処理部
24 パスワード強度判別処理部
25 認証処理部
26 パスワードポリシー記憶部
260 パスワードポリシーテーブル
27 パスワードポリシー登録部
30、30Ｂ Webサービス群
31Ａ〜31Ｃ Webサービス
32 ポータルサイト
40 管理者端末
【技術分野】
【０００１】
本発明は、複数の認証方式が混在するWebサービスへのアクセスを、各Webサービスのセキュリティ強度に応じて制御するアクセス制御システムに関するものである。
【背景技術】
【０００２】
Webサービスは通常、サービスごとにそれぞれ異なるセキュリティポリシーを有する。これら複数のWebサービスを用いたシステムがシングルサインオンに対応している場合、いったん認証されたユーザは、たとえ低いパスワード強度を要するWebサービスで認証された場合であっても、高いパスワード強度を要するWebサービスへのアクセスが可能となる。
【０００３】
そこで、アプリケーションのセキュリティポリシーの違いを利用してサービスを安全に利用する方法として、従来、インターネットサービス群に接続されたクライアントＰＣにセキュリティ管理を行う代行プログラムを内蔵し、このクライアントＰＣがユーザ認証に成功したインターネットサービス群からセキュリティポリシーをダウンロードすることでサービスごとのセキュリティポリシーの違いを吸収し、代行プログラムにサービスに必要なセキュリティ処理を行わせるセキュリティ処理代行方法がある（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００３−２９６２８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記のようなセキュリティ処理代行方法は、ユーザに要求されるセキュリティの手続きを簡略化するためにセキュリティポリシーの違いを吸収するものであるから、セキュリティポリシーの違いを吸収しても、Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御することはできないという課題があった。
【０００６】
本発明はこのような課題を解決するためになされたもので、Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御可能とするアクセス制御システム、アクセス制御装置、及びアクセス制御方法を得ることを目的とする。
【課題を解決するための手段】
【０００７】
本発明に係るアクセス制御システムは、ユーザにより使用されるユーザ端末と、ユーザ端末からアクセス可能に設けられたアプリケーション部と、ユーザ端末からアプリケーション部へのアクセスを制御するアクセス制御装置と、を備えたアクセス制御システムであって、アプリケーション部は、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム、第２のセキュリティ強度を必要とする第１のアプリケーションプログラムとは異なる第２のアプリケーションプログラム、を有し、アクセス制御装置は、アプリケーション部が有する第１のアプリケーションプログラムに関する情報及び第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、ユーザ端末からユーザ認証用にパスワードを受信し、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報に基づき、受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、パスワード強度決定部により受信されたパスワード、及びパスワード強度決定部により決定されたパスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、ユーザ端末がパスワードを用いてアプリケーション部へのアクセスを要求した場合に、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報のうちアクセスを要求されたアプリケーションプログラムに対応する情報、及びアクセスの要求に用いられたパスワードに対応する第２の記憶部に記憶されたパスワードのセキュリティ強度に基づいて、アクセスの要求を許可するか否か判別する判別部、を有するものである。
【０００８】
本発明に係るアクセス制御装置は、ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、を備えたアクセス制御システムに設けられ、ユーザ端末からアプリケーション部へのアクセスを制御するアクセス制御装置であって、アプリケーション部が有する第１のアプリケーションプログラムに関する情報及び第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、ユーザ端末からユーザ認証用にパスワードを受信し、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報に基づき、受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、パスワード強度決定部により受信されたパスワード、及びパスワード強度決定部により決定されたパスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、ユーザ端末がパスワードを用いてアプリケーション部へのアクセスを要求した場合に、第１の記憶部に記憶された第１及び第２のアプリケーションプログラムに関する情報のうちアクセスを要求されたアプリケーションに対応する情報、及びアクセスの要求に用いられたパスワードに対応する第２の記憶部に記憶されたパスワードのセキュリティ強度に基づいて、アクセスの要求を許可するか否か判別する判別部、を有するものである。
【０００９】
本発明に係るアクセス制御方法は、ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、ユーザ端末からアプリケーション部へのアクセスを制御するアクセス制御装置と、アクセス制御装置にアプリケーション部の情報を登録する管理者端末と、を備えたアクセス制御システムで用いられるアクセス制御方法であって、管理者端末が、アクセス制御装置にアプリケーション部が有する第１のアプリケーションプログラムに対応する第１のセキュリティ強度及び第２のアプリケーションプログラムに対応する第２のセキュリティ強度を記憶させる第１の記憶ステップと、ユーザ端末が、アクセス制御装置へユーザ認証用にパスワードを送信する第１の送信ステップと、アクセス制御装置が、ユーザ端末から第１の送信ステップにより送信されたパスワードを受信する受信ステップと、アクセス制御装置が、受信ステップにより受信したパスワードのセキュリティ強度を、第１の記憶ステップにより記憶した第１及び第２のセキュリティ強度に基づき決定するパスワード強度決定ステップと、アクセス制御装置が、受信ステップにより受信したパスワード及びパスワード強度決定ステップにより決定したパスワードのセキュリティ強度を対応付けて記憶する第２の記憶ステップと、ユーザ端末が、第１の送信ステップにより送信したパスワードと同じパスワードを用いてアプリケーション部へのアクセスを要求するアクセス要求ステップと、アクセス制御装置が、アクセス要求ステップにより要求されたユーザ端末からアプリケーション部へのアクセスの要求を検知し、第１の記憶ステップにより記憶した第１及び第２のセキュリティ強度、及びアクセスの要求に用いられたパスワードに対応する第２の記憶ステップにより記憶したパスワードのセキュリティ強度に基づき、アクセスの要求を許可するか否か判別する判別ステップと、を備えたものである。
【発明の効果】
【００１０】
本発明によれば、アクセス制御システム、アクセス制御装置、及びアクセス制御方法は、上記構成を備えたことにより、Webサービスが要求するセキュリティ強度に応じてユーザのアクセスを制御できる。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１に係るアクセス制御システムを示す機能ブロック図である。
【図２】実施の形態１に係るパスワードポリシーテーブルの登録例を示す図である。
【図３】実施の形態１におけるアクセス制御の手順を示すフローチャートの一部である。
【図４】図３の続きのアクセス制御の手順を示すフローチャートである。
【図５】実施の形態２におけるアクセス制御の手順を示すフローチャートである。
【図６】図５の続きのアクセス制御の手順を示すフローチャートである。
【図７】実施の形態３に係るアクセス制御システムを示す機能ブロック図である。
【図８】実施の形態３におけるアクセス制御の手順を示すフローチャートである。
【図９】図８の続きのアクセス制御の手順を示すフローチャートである。
【図１０】図９の続きのアクセス制御の手順を示すフローチャートである。
【発明を実施するための形態】
【００１２】
実施の形態１．
本発明を実施するための実施の形態１に係るアクセス制御システムを図１ないし図４を用いて説明する。
【００１３】
図１において、アクセス制御システム１は、ユーザにより使用されるユーザ端末10、ユーザ端末10の認証処理やアクセス制御を行うアクセス制御装置20、ユーザ端末10により利用される複数のWebサービス31Ａ〜31Ｃを有するWebサービス群30、ユーザ端末10の認証処理やアクセス制御を管理する管理者が使用する管理者端末40、を備え、それぞれネットワーク回線を介して接続されている。
【００１４】
アクセス制御装置20には、ユーザ端末10により入力されるパスワードを登録するパスワード登録部21と、ユーザ端末10により入力される認証用ＩＤ、パスワード、パスワードのセキュリティ強度を示すパスワード強度(B)、利用するWebサービス、の各情報をＩＤ情報テーブル220として保持するＩＤ情報記憶部22と、ユーザ端末10からWebサービス群30へのアクセスを認可する認可処理部23と、ユーザ認証を行う認証処理部25と、Webサービス31Ａ〜31Ｃごとにパスワードポリシーをパスワードポリシーテーブル260に記憶して管理するパスワードポリシー記憶部26と、管理者端末40からの指示に従い、Webサービス31Ａ〜31Ｃごとに必要とされるパスワードポリシー、例えばセキュリティ強度をパスワードポリシー記憶部26に登録するパスワードポリシー登録部27と、が設けられている。
ここでは、パスワードポリシー記憶部26に記憶されるパスワードのセキュリティ強度をパスワード強度(A)とし、以下の説明をする。
【００１５】
認可処理部23には、ＩＤ情報テーブル220に格納されたパスワード強度(B)とパスワードポリシーテーブル260に格納されたパスワード強度(A)とを比較して判別するパスワード強度判別処理部24が設けられている。なお、図１ではパスワード強度判別処理部24は認可処理部23に内蔵されているが、外付けにして認可処理部23と連携して動作するような構成であっても良い。
【００１６】
また、アクセス制御装置20は認証基盤と称することもあり、必ずしも一つの筐体で構成する必要はない。例えば、ＩＤ情報記憶部22やパスワードポリシー記憶部26は、アクセス制御装置20に接続された外部のハードディスクやメモリ等で構成しても良い。
【００１７】
Webサービス群30に含まれる複数のWebサービス31Ａ〜31Ｃは、１つ又は複数の装置により提供されるアプリケーションプログラムであって、それぞれ異なるセキュリティポリシーを有する。図２は、各Webサービス31のセキュリティポリシーを登録したセキュリティポリシーテーブル260の一例であり、Webサービス31それぞれに対応して、パスワードのセキュリティ強度を示すパスワード強度(A)及びパスワードの設定条件が登録されている。
【００１８】
図２では、パスワードの設定条件として文字長、文字種、世代制限、有効期限を設定しているが、条件はこれらに限るものではなく、パスワードの文字の組合せ等、他の要素により構成しても良い。なお、Webサービス31Ａ〜31Ｃは同じコンピュータにより提供されるものであっても良いし、異なるコンピュータにより提供されるものであっても良い。
また、ユーザ端末10及び管理者端末40は、データを表示するディスプレイとデータ入力に用いられるキーボード等を有し、例えばＰＣ等で構成される。
【００１９】
ここで、アクセス制御システム１の動作を説明する。
【００２０】
まず、事前処理として管理者端末40からアクセス制御システム１に含まれるWebサービス31Ａ〜31Ｃのパスワードポリシーを登録する手順を説明する。
図３に示すように、管理者は管理者端末40のブラウザを利用してパスワードポリシー登録部27へアクセスし、それぞれのWebサービス31について必要なパスワードの設定条件すなわちパスワードポリシーを入力する（ステップS101）。なお、パスワードポリシーの設定方法は、管理者端末40に表示されるブラウザ画面上で入力する方法や、管理者端末40にローカルに保存したファイルをアップロードする方法等がある。
【００２１】
パスワードポリシー登録部27は、ステップS101で設定された情報をパスワードポリシー記憶部26のパスワードポリシーテーブル260へ登録する（ステップS102）。このとき、図２に示すようなパスワードの条件をWebサービス31ごとに設定し、この条件に対応するパスワードのセキュリティ強度をパスワード強度(A)として数値化して登録する。
【００２２】
次に、アクセス制御システム１にパスワードを登録していないユーザが、アクセス制御装置20にユーザ認証のためにパスワードを登録する手順を説明する。
ユーザがユーザ端末10のブラウザを利用してパスワード登録部21にアクセスし、ユーザ認証に用いるＩＤとパスワードを入力すると（ステップS103）、パスワード登録部21はこれらを受信し、パスワードポリシーテーブル260を参照し（ステップS104）、ユーザ端末10から入力されたパスワードが条件（パスワードポリシー）を満たすパスワードの強度をパスワード強度(B)として決定する（ステップS105）。
【００２３】
パスワード登録部21は、また、ステップS103にて入力されたＩＤとパスワード、ステップS105で決定されたパスワード強度(B)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ対応付けて登録する（ステップS106）。
【００２４】
次に、ユーザ端末10がWebサービス31を利用するためにアクセスする際のアクセス制御の手順を説明する。
ユーザ端末10からWebサービス31に対するアクセスの要求が送信されると、アクセス制御装置１の認可処理部23がこのWebサービス31へのアクセス要求を受付け（ステップS107）、認証処理部25へユーザ認証の要求を指示する（ステップS108）。
【００２５】
認証処理部25は、Webサービス31へのアクセス要求を送信してきたユーザが認証済みのユーザであるか否かを判断し（ステップS109）、ユーザ認証が未だであると判断した場合はユーザ端末10のディスプレイに認証に必要な情報を入力するための認証画面を出力する（ステップS110）。
ユーザ端末10の認証画面上でＩＤ及びパスワードといった認証情報が入力されると（ステップS111）、認証処理部25はステップS111で入力されたＩＤ及びパスワードが正しいか否かを、ＩＤ情報テーブル220を参照して確認する（ステップS112）。
【００２６】
ステップS112でＩＤとパスワードが正しいと判断した場合、及びステップS109でユーザ認証済と判断した場合、認証処理部25はこのパスワードに対応するパスワード強度(B)をＩＤ情報テーブル220から取得し（ステップS113）、パスワード強度判別処理部24へ送信する（ステップS114）。
【００２７】
パスワード強度判別処理部24はパスワード強度(B)を受信すると、ユーザ端末10から要求されたWebサービス31へのアクセスに必要なパスワード強度(A)をパスワードポリシーテーブル260から取得する（ステップS115）。そして、ステップS113で取得したパスワード強度(B)とステップS115で取得したパスワード強度(A)とを比較する（ステップS116）。
【００２８】
ステップS116において、ユーザ端末10から入力されたパスワード強度(B)が管理者端末40により設定されたパスワード強度(A)と同等またはこれより高い場合、認可処理部23はパスワード強度判別処理部24からこの判別結果の情報を得てユーザのWebサービス31へのアクセスを許可し、ユーザ端末10からのアクセスを可能にして（ステップS117）フローを終了する。
【００２９】
一方、ステップS116でパスワード強度(B)がパスワード強度(A)よりも低い場合、パスワード強度判別処理部24からこの判別結果の情報を得た認可処理部23は、入力されたパスワードがWebサービス31の要求するパスワード強度を満たしていない旨、アクセス要求したWebサービス31に必要とされるパスワード強度、及び新しいパスワードの入力を促す表示、をユーザ端末10のディスプレイに出力し（ステップS118）、ステップS111に戻る。
【００３０】
また、ステップS112において認証処理部25がユーザにより入力された認証情報では正しくないと判断した場合、ユーザ端末10により入力されたＩＤまたはパスワードが正しくない旨をユーザ端末10のディスプレイに出力し（ステップS119）、このフローを終了する。
【００３１】
本実施の形態によれば、アクセス制御システム１は、アクセス制御装置20に管理者端末により設定されたパスワード強度(A)を保持するパスワードポリシー記憶部26と、ユーザ端末10からパスワードを受信し対応するパスワード強度(B)を決定するパスワード登録部21と、受信したパスワードとパスワード強度(B)を対応付けて記憶するＩＤ情報記憶部22と、パスワード強度(A)とパスワード強度(B)とを比較し、ユーザ端末10から入力されたパスワードがWebサービス31の要求するパスワード強度を満たしているか否かを判断するパスワード強度判別処理部24と、を備えたことにより、ユーザ端末10がWebサービス31へのアクセスを要求する場合にユーザ端末10から入力されたパスワードのパスワード強度(B)を確認するため、Webサービス31が要求するセキュリティ強度に応じたユーザのアクセスを制御できる。
すなわち、ユーザ端末10がセキュリティ強度の低いパスワードでユーザ認証されていても、これより高いセキュリティ強度を要するWebサービス31へのアクセスを要求する際には、パスワード強度の高いパスワードを用いて再度ユーザ認証を行うため、Webサービス31が要求するセキュリティ強度に応じてユーザのアクセスを制御できる。
【００３２】
実施の形態２．
本発明を実施するための実施の形態２に係るアクセス制御システムを図５及び図６を用いて説明する。
実施の形態１では、アクセス制御装置20は、ユーザ端末10がWebサービス31へのアクセスを要求する際にこのWebサービス31が要求するパスワード強度の判断をしていた。本実施の形態に係るアクセス制御装置20Ａは、ユーザがパスワードを変更する際に、既にユーザが契約しているWebサービス31のパスワードポリシーに基づき、アクセス可能なWebサービス31の情報をユーザ端末10に表示するものである。
【００３３】
アクセス制御システム１Ａは、アクセス制御装置20Ａの機能が、実施の形態１に記載のアクセス制御装置20と一部異なる。具体的には、パスワード登録部21Ａがユーザ端末10からのパスワード変更の要求を受付ける点と、認証処理部25がパスワード強度の比較に変更されたパスワードのパスワード強度(C)を用いる点が異なる。その他の構成は実施の形態１と同じであるため、説明を省略する。
【００３４】
ここで、アクセス制御システム１Ａの動作を説明する。
【００３５】
まず、事前処理として管理者端末40からアクセス制御システム１Ａに含まれるWebサービス31Ａ〜31Ｃのパスワードポリシーを登録する手順を説明する。
図５に示すように、管理者が管理者端末40のブラウザを利用してパスワードポリシー登録部27へアクセスし、それぞれのWebサービス31について必要なパスワードの設定条件を入力する（ステップS201）。なお、パスワードポリシーの設定は、実施の形態１に記載した方法等により行う。
【００３６】
パスワードポリシー登録部27は、ステップS201で設定された情報をパスワードポリシー記憶部26のパスワードポリシーテーブル260へ登録する（ステップS202）。このとき、パスワードの条件すなわちパスワードポリシーをWebサービス31ごとに設定し、この条件に対応するパスワードのセキュリティ強度をパスワード強度(A)として数値化して登録する。
【００３７】
次に、アクセス制御システム１Ａにパスワードを登録しているユーザが、パスワードを変更する手順を説明する。
ユーザがユーザ端末10のブラウザを利用してパスワード登録部21Ａにアクセスし、パスワードの変更を要求する。具体的には、ユーザ端末10からユーザ認証に用いるＩＤ、現在のパスワード、及び変更後のパスワードを入力する（ステップS203）。
【００３８】
アクセス制御装置１ＡがステップS203で入力されたＩＤ、現在及び変更後のパスワードを受信すると、認証処理部25はＩＤと現在のパスワードを用いてユーザ認証を行い（ステップS204）、ユーザ認証に成功した場合はパスワード登録部21Ａに認証結果を伝達する（ステップS205）。
一方、ステップS204においてユーザ認証に失敗した場合、認証処理部25はユーザ端末10のディスプレイにユーザ認証に失敗した旨を出力し（ステップS206）、このフローを終了する。
【００３９】
ステップS205にてユーザ認証に成功した旨の通知を受けたパスワード登録部21Ａは、パスワードポリシーテーブル260を参照し（ステップS207）、ユーザ端末10から送信された変更後のパスワードが条件（パスワードポリシー）を満たすパスワードの強度をパスワード強度(C)として決定する（ステップS208）。
【００４０】
パスワード登録部21Ａは、また、ＩＤ情報記憶部22に保持されたＩＤ情報テーブル220を参照し、このユーザ端末10を使用しているユーザが契約しているWebサービス31の情報を取得する（ステップS209）。そして、取得したWebサービス31Ａ〜31Ｃが変更後のパスワードでアクセス可能か否かそれぞれについて判断し（ステップS210）、判断したそれぞれの結果をユーザ端末10のディスプレイに出力する（ステップS211）。
【００４１】
パスワード登録部21Ａは、ステップS211においてアクセス不可と判断されたWebサービス31をユーザが利用したい場合に対応するため、パスワードの変更を受付ける表示を出力し（ステップS212）、ユーザ端末10から新たなパスワードが入力されると（すなわち、パスワード変更の要求を受付けると）ステップS204に戻る。なお、Webサービス31へのアクセス可能と判断された場合にもパスワードの変更の受付をしても良い。また、アクセス不可と判断されたWebサービス31が存在しない場合には、ステップS212を省略してもよい。
【００４２】
ステップS212において、ユーザ端末10からパスワード変更の要求がない場合、パスワード登録部21ＡはステップS203にて入力されたＩＤと変更後のパスワード、及びステップS208で決定された変更後のパスワードのパスワード強度(C)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ登録する（ステップS213）。
【００４３】
次に、ユーザ端末10がWebサービス31を利用するためにアクセスする際のアクセス制御の手順を説明する。使用するパスワードは変更後のものであるが、その他は実施の形態１のステップS107以降と同じである。
【００４４】
ユーザ端末10からWebサービス31へのアクセス要求が送信されると、認可処理部23はこのWebサービス31へのアクセス要求を受付け（ステップS214）、認証処理部25へユーザ認証の要求を指示する（ステップS215）。
【００４５】
認証処理部25は、Webサービス31へのアクセス要求を送信してきたユーザが認証済みのユーザであるか否かを判断し（ステップS216）、ユーザ認証が未だであると判断した場合はユーザ端末10のディスプレイに認証に必要な情報を入力するための認証画面を出力する（ステップS217）。
ユーザ端末10の認証画面上でＩＤ及び変更後のパスワードといった認証情報が入力されると（ステップS218）、アクセス制御装置１Ａはこれらを受信し、認証処理部25はステップS218で入力されたＩＤ及び変更後のパスワードが正しいか否かを、ＩＤ情報テーブル220を参照して確認する（ステップS219）。
【００４６】
ステップS219でＩＤと変更後のパスワードが正しいと判断した場合、及びステップS216でユーザ認証済と判断した場合、認証処理部25はこの変更後のパスワードに対応するパスワード強度(C)をＩＤ情報テーブル220から取得し（ステップS220）、パスワード強度判別処理部24へ送信する（ステップS221）。
【００４７】
パスワード強度判別処理部24はパスワード強度(C)を受信すると、ユーザ端末10から要求されたWebサービス31へのアクセスに必要なパスワード強度(A)をパスワードポリシーテーブル260から取得する（ステップS222）。そして、ステップS220で取得したパスワード強度(C)とステップS222で取得したパスワード強度(A)とを比較する（ステップS223）。
【００４８】
ステップS223において、ユーザ端末10から入力されたパスワード強度(C)が管理者端末40により設定されたパスワード強度(A)と同等またはこれより高い場合、認可処理部23はパスワード強度判別処理部24からこの判別結果の情報を得てユーザのWebサービス31のアクセスを許可し、ユーザ端末10からのアクセスを可能にして（ステップS224）フローを終了する。
【００４９】
一方、ステップS223でパスワード強度(C)がパスワード強度(A)よりも低い場合、パスワード強度判別処理部24からこの判別結果の情報を得た認可処理部23は、入力された変更後のパスワードがWebサービス31の要求するパスワード強度を満たしていない旨、アクセス要求したWebサービス31に必要とされるパスワード強度、及び新しいパスワードの入力を促す表示、をユーザ端末10のディスプレイに出力し（ステップS225）、ステップS218に戻る。
【００５０】
また、ステップS219において認証処理部25がユーザにより入力された認証情報では正しくないと判断した場合、入力されたＩＤまたは変更後のパスワードが正しくない旨をユーザ端末10のディスプレイに出力し（ステップS226）、このフローを終了する。
【００５１】
本実施の形態によれば、アクセス制御システム１Ａは、アクセス制御装置20Ａにパスワードの変更を受付ける機能を備え、パスワードを変更する際にWebサービス31Ａ〜31Ｃが必要とするそれぞれのパスワード強度をユーザ端末10に表示することにより、実施の形態１に記載の効果に加え、ユーザはWebサービス31Ａ〜31Ｃが必要とするパスワード強度よりもセキュリティ強度の高いパスワードを１度の手順で設定することができる。例えば、ユーザ端末10が契約する可能性のあるWebサービス31で必要とされるパスワード強度よりもセキュリティ強度の高いパスワードを予め設定しておけば、以前にアクセスしたWebサービス31よりも高いパスワード強度を必要とするWebサービス31へアクセスする場合であっても、パスワードを変更せずにアクセスすることができ、アクセス制御が容易となる。
【００５２】
実施の形態３．
本発明を実施するための実施の形態３に係るアクセス制御システムを図７ないし図１０を用いて説明する。
実施の形態２では、アクセス制御装置20Ａは、パスワードを変更する際に各Webサービス31が必要とするパスワード強度をユーザ端末10のディスプレイに表示していた。本実施の形態に係るアクセス制御システム1Ｂは、Webサービス群30Ｂにポータルサイト32を備え、ユーザ端末10がWebサービス31へアクセスする際に各Webサービス31Ａ〜31Ｃへのアクセス可否をポータルサイト32がアクセス制御装置20Ｂを介して表示するものである。
【００５３】
アクセス制御システム１Ｂは、図７に示すように、実施の形態２に記載の構成に加えてWebサービス群30Ｂにポータルサイト32を備えたものである。ポータルサイト32は、インターネットの入口に相当するWebサイトであり、ユーザ端末10はポータルサイト32を経由して各Webサービス31Ａ〜31Ｃとアクセスする。ポータルサイト32はWebサービス31Ａ〜31Ｃのいずれかと同じコンピュータに設定しても良いし、Webサービス31Ａ〜31Ｃとは異なるサーバに設定しても良い。
【００５４】
ここで、アクセス制御システム１Ｂの動作を説明する。
【００５５】
まず、事前処理として管理者端末40からアクセス制御システム１Ｃに含まれるWebサービス31Ａ〜31Ｃのパスワードポリシーを登録する手順を説明する。
図８に示すように、管理者が管理者端末40のブラウザを利用してパスワードポリシー登録部27へアクセスし、それぞれのWebサービス31に必要なパスワードポリシーを入力する（ステップS301）。なお、パスワードポリシーの設定は、実施の形態１に記載した方法等により行う。
【００５６】
パスワードポリシー登録部27は、ステップS301で設定された情報をパスワードポリシー記憶部26のパスワードポリシーテーブル260へ登録する（ステップS302）。このとき、パスワードの条件すなわちパスワードポリシーをWebサービス31ごとに設定し、この条件に対応するパスワードのセキュリティ強度をパスワード強度(A)として数値化して登録する。
【００５７】
次に、アクセス制御システム１Ｂにパスワードを登録していないユーザが、アクセス制御装置20Ｂにパスワードを登録する手順を説明する。
ユーザがユーザ端末10のブラウザを利用してパスワード登録部21Ａにアクセスし、ユーザ認証に用いるＩＤとパスワードを入力すると（ステップS303）、パスワード登録部21Ａはこれらを受信し、パスワードポリシーテーブル260を参照し（ステップS304）、ユーザ端末10から入力されたパスワードが条件（パスワードポリシー）を満たすパスワードの強度をパスワード強度(B)として決定する（ステップS305）。
【００５８】
パスワード登録部21Ａは、また、ステップS303にて入力されたＩＤとパスワード、ステップS305で決定されたパスワード強度(B)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ登録する（ステップS306）。
【００５９】
次に、ユーザ端末10がWebサービス31を利用するためにアクセスする際のアクセス制御の手順を説明する。
ユーザ端末10からWebサービス31へのアクセス要求が発生すると、認可処理部23がこのWebサービス31へのアクセス要求を受付け（ステップS307）、認証処理部25へユーザ認証の要求を指示する（ステップS308）。
【００６０】
認証処理部25は、Webサービス31へのアクセス要求を送信してきたユーザが認証済みのユーザであるか否かを判断し（ステップS309）、ユーザ認証が未だであると判断した場合はユーザ端末10のディスプレイに認証に必要な情報を入力するための認証画面を出力する（ステップS310）。
ユーザ端末10の認証画面上でＩＤ及びパスワードといった認証情報が入力されると（ステップS311）、認証処理部25はステップS111で入力されたＩＤ及びパスワードが正しいか否かを、ＩＤ情報テーブル220を参照して確認する（ステップS312）。
【００６１】
ステップS312でＩＤとパスワードが正しいと判断した場合、及びステップS309でユーザ認証済と判断した場合、認証処理部25はこのパスワードに対応するパスワード強度(B)をＩＤ情報テーブル220から取得し（ステップS313）、パスワード強度判別処理部24へ送信する（ステップS314）。
【００６２】
パスワード強度判別処理部24はパスワード強度(B)を受信すると、ユーザ端末10からアクセス要求されたWebサービス31へのアクセスに必要なパスワード強度(A)をパスワードポリシーテーブル260から取得する（ステップS315）。そして、ステップS313で取得したパスワード強度(B)とステップS315で取得したパスワード強度(A)とを比較する（ステップS316）。
【００６３】
ステップS316において、ユーザ端末10から入力されたパスワード強度(B)が管理者端末40により設定されたパスワード強度(A)と同等またはこれより高い場合、認可処理部23はパスワード強度判別処理部24からこの判別結果の情報を得てユーザのWebサービス31へのアクセスを許可し、Webサービス群30Ｂのポータルサイト32からユーザ端末10のディスプレイに判別結果の情報を表示する（ステップS317）。
【００６４】
一方、ステップS316でパスワード強度(B)がパスワード強度(A)よりも低い場合、パスワード強度判別処理部24からこの判別結果の情報を得た認可処理部23は、入力されたパスワードがWebサービス31の要求するパスワード強度を満たしていない旨、アクセス要求したWebサービス31に必要とされるパスワード強度、及び新しいパスワードの入力を促す表示、をユーザ端末10のディスプレイに出力し（ステップS318）、ステップS311に戻る。
【００６５】
また、ステップS312において認証処理部25がユーザにより入力された認証情報では正しくないと判断した場合、ユーザ端末10から受信したＩＤまたはパスワードが正しくない旨をユーザ端末10のディスプレイに出力し（ステップS319）、このフローを終了する。
【００６６】
次に、ユーザ端末10がポータルサイト32を介してWebサービス31にアクセスする手順を説明する。
ステップS317にてユーザ端末10に表示されたポータルサイト32において、ユーザがパスワードポリシーを満たしていないアクセス許可のないWebサービス31を選択すると（ステップS320）、ポータルサイト32が認可処理部23を経由して、ユーザ端末10にパスワードを変更するための変更画面及びユーザが選択したWebサービス31に必要とされるパスワードの条件（パスワードポリシー）を表示する（ステップS321）。
【００６７】
ユーザが提示されたパスワードポリシーに従い、ユーザ端末10から新しいパスワードに変更して入力すると（ステップS322）、パスワード登録部21Ａはパスワードポリシーテーブル260を参照し（ステップS323）、ユーザ端末10から入力された変更後のパスワードの強度をパスワード強度(C)として決定する（ステップS324）。
【００６８】
パスワード登録部21Ａは、また、ＩＤ情報記憶部22に保持されたＩＤ情報テーブル220を参照し、このユーザ端末10を使用しているユーザが契約しているWebサービス31の情報を取得する（ステップS325）。そして、取得したWebサービス31Ａ〜31Ｃが変更後のパスワードでアクセス可能か否かそれぞれについて判断し（ステップS326）、判断したそれぞれの結果をポータルサイト32に通知し、ポータルサイト32からこれらの結果をユーザ端末10のディスプレイに出力する（ステップS327）。
【００６９】
パスワード登録部21Ａは、ステップS327においてアクセス不可と判断されたWebサービス31をユーザが利用したい場合に対応するため、パスワードの変更を受付ける表示を、ポータルサイト32を介して出力し（ステップS328）、ユーザ端末10から新たなパスワードが入力される、すなわちパスワード変更の要求を受付けると、ステップS323に戻る。なお、Webサービス31がアクセス可能と判断された場合にもパスワードの変更の受付をしても良い。また、アクセス不可と判断されたWebサービス31が存在しない場合には、ステップS328を省略してもよい。
【００７０】
ステップS328においてユーザ端末10からパスワード変更の要求がない場合、パスワード登録部21Ａは、ステップS303にて入力されたＩＤに対応するパスワード及びパスワード強度として、ステップS322にて入力された新規パスワード及びステップS324で決定されたパスワード強度(C)を、ＩＤ情報記憶部22のＩＤ情報テーブル220にそれぞれ更新登録して（ステップS329）フローを終了する。
【００７１】
本実施の形態によれば、アクセス制御システム１Ｂは、Webサービス群30Ｂにポータルサイト32を備えたことにより、実施の形態２に記載の効果に加えて次の効果を得ることができる。
アクセス制御装置20Ｂにパスワードが登録された後にユーザが新たなWebサービス31の利用契約を結んだとしても、ユーザからこのWebサービス31へのアクセスを要求された場合に、ポータルサイト32がユーザ端末10にアクセス可否を表示することができる。
また、ユーザ端末10からアクセス許可のないWebサービス31へのアクセスを要求された場合に、ポータルサイト32がこのWebサービス31に必要とされるパスワードポリシーとパスワードの変更受付け画面をユーザ端末10に表示することにより、ユーザ端末10が新たなパスワードを設定することが可能となり、各Webサービス31のパスワードポリシーに応じたアクセス制御が可能となる。
【００７２】
なお、上記実施の形態１〜３で「〜部」と説明したものは、ハードウェア、ソフトウェアのどちらでも良く、同様の機能を果たすものであれば「〜手段」、「〜プログラム」等であっても良い。
また、Webサービス群は「アプリケーション部」、Webサービスは「アプリケーションプログラム」、パスワードポリシー記憶部は「第１の記憶部」、パスワード登録部は「パスワード強度決定部」、ＩＤ情報記憶部は「第２の記憶部」、と言い換えることもできる。
【符号の説明】
【００７３】
１、１Ａ、１Ｂ アクセス制御システム
10 ユーザ端末
20、20Ａ、20Ｂ アクセス制御装置
21、21Ａ パスワード登録部
22 ＩＤ情報記憶部
220 ＩＤ情報テーブル
23 認可処理部
24 パスワード強度判別処理部
25 認証処理部
26 パスワードポリシー記憶部
260 パスワードポリシーテーブル
27 パスワードポリシー登録部
30、30Ｂ Webサービス群
31Ａ〜31Ｃ Webサービス
32 ポータルサイト
40 管理者端末
【特許請求の範囲】
【請求項１】
ユーザにより使用されるユーザ端末と、
前記ユーザ端末からアクセス可能に設けられたアプリケーション部と、
前記ユーザ端末から前記アプリケーション部へのアクセスを制御するアクセス制御装置と、を備えたアクセス制御システムにおいて、
前記アプリケーション部は、
第１のセキュリティ強度を必要とする第１のアプリケーションプログラム、
第２のセキュリティ強度を必要とする前記第１のアプリケーションプログラムとは異なる第２のアプリケーションプログラム、を有し、
前記アクセス制御装置は、
前記アプリケーション部が有する前記第１のアプリケーションプログラムに関する情報及び前記第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、
前記ユーザ端末からユーザ認証用にパスワードを受信し、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報に基づき、前記受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、
前記パスワード強度決定部により受信された前記パスワード、及び前記パスワード強度決定部により決定された前記パスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、
前記ユーザ端末が前記パスワードを用いて前記アプリケーション部へのアクセスを要求した場合に、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報のうち該アクセスを要求されたアプリケーションプログラムに対応する情報、及び該アクセスの要求に用いられたパスワードに対応する前記第２の記憶部に記憶された前記パスワードのセキュリティ強度に基づいて、該アクセスの要求を許可するか否か判別する判別部、を有すること、
を特徴とするアクセス制御システム。
【請求項２】
前記第１の記憶部は、
前記第１のアプリケーションプログラムに関する情報として、前記第１のアプリケーションプログラムに対応する前記第１のセキュリティ強度を記憶し、
前記第２のアプリケーションプログラムに関する情報として、前記第２のアプリケーションプログラムに対応する前記第２のセキュリティ強度を記憶し、
前記判別部は、
前記第１の記憶部に記憶された前記第１のセキュリティ強度及び前記第２のセキュリティ強度のうち該アクセスを要求されたアプリケーションプログラムに対応するセキュリティ強度と、該アクセスの要求に用いられたパスワードに対応する前記第２の記憶部に記憶されたパスワードのセキュリティ強度とを比較し、前記パスワードのセキュリティ強度が前記第１又は第２のセキュリティ強度以上の場合に該アクセスの要求を許可すること、
を特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
前記パスワード強度決定部は、
前記ユーザ端末からパスワードを受信した場合に、前記第１の記憶部から前記第１及び第２のアプリケーションプログラムに関する情報を取得し、
前記判別部は、
前記取得した情報に基づき、前記第１及び第２のアプリケーションプログラムへのアクセス可否を判別して前記ユーザ端末に通知すること、
を特徴とする請求項２に記載のアクセス制御システム。
【請求項４】
前記アプリケーション部はポータルサイトを有し、
前記パスワード強度決定部は、
前記ユーザ端末から前記第１又は第２のアプリケーションプログラムへのアクセスの要求を受信した場合に、前記第１の記憶部から前記第１及び第２のアプリケーションプログラムに関する情報を取得し、
前記判別部は、
前記取得した情報に基づき、前記第１及び第２のアプリケーションプログラムへのアクセス可否を判別して前記ポータルサイトへ通知し、
前記ポータルサイトは、
前記判別部により判別された前記第１及び第２のアプリケーションプログラムへのアクセス可否の情報及び前記アクセス否と判別されたアプリケーションプログラムで必要とされるセキュリティ強度の情報を、前記ユーザ端末に通知すること、
を特徴とする請求項２に記載のアクセス制御システム。
【請求項５】
ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、を備えたアクセス制御システムに設けられ、前記ユーザ端末から前記アプリケーション部へのアクセスを制御するアクセス制御装置において、
前記アプリケーション部が有する第１のアプリケーションプログラムに関する情報及び前記第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、
前記ユーザ端末からユーザ認証用にパスワードを受信し、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報に基づき、前記受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、
前記パスワード強度決定部により受信された前記パスワード、及び前記パスワード強度決定部により決定された前記パスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、
前記ユーザ端末が前記パスワードを用いて前記アプリケーション部へのアクセスを要求した場合に、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報のうち該アクセスを要求されたアプリケーションに対応する情報、及び該アクセスの要求に用いられたパスワードに対応する前記第２の記憶部に記憶された前記パスワードのセキュリティ強度に基づいて、該アクセスの要求を許可するか否か判別する判別部、を有すること、
を特徴とするアクセス制御装置。
【請求項６】
ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、前記ユーザ端末から前記アプリケーション部へのアクセスを制御するアクセス制御装置と、前記アクセス制御装置に前記アプリケーション部の情報を登録する管理者端末と、を備えたアクセス制御システムで用いられるアクセス制御方法において、
前記管理者端末が、前記アクセス制御装置に前記アプリケーション部が有する前記第１のアプリケーションプログラムに対応する前記第１のセキュリティ強度及び前記第２のアプリケーションプログラムに対応する前記第２のセキュリティ強度を記憶させる第１の記憶ステップと、
前記ユーザ端末が、前記アクセス制御装置へユーザ認証用にパスワードを送信する第１の送信ステップと、
前記アクセス制御装置が、前記ユーザ端末から前記第１の送信ステップにより送信されたパスワードを受信する受信ステップと、
前記アクセス制御装置が、前記受信ステップにより受信したパスワードのセキュリティ強度を、前記第１の記憶ステップにより記憶した前記第１及び第２のセキュリティ強度に基づき決定するパスワード強度決定ステップと、
前記アクセス制御装置が、前記受信ステップにより受信した前記パスワード及び前記パスワード強度決定ステップにより決定した前記パスワードのセキュリティ強度を対応付けて記憶する第２の記憶ステップと、
前記ユーザ端末が、前記第１の送信ステップにより送信したパスワードと同じパスワードを用いて前記アプリケーション部へのアクセスを要求するアクセス要求ステップと、
前記アクセス制御装置が、前記アクセス要求ステップにより要求された前記ユーザ端末から前記アプリケーション部へのアクセスの要求を検知し、前記第１の記憶ステップにより記憶した前記第１及び第２のセキュリティ強度、及び該アクセスの要求に用いられたパスワードに対応する前記第２の記憶ステップにより記憶した前記パスワードのセキュリティ強度に基づき、該アクセスの要求を許可するか否か判別する判別ステップと、
を備えたことを特徴とするアクセス制御方法。
【請求項７】
前記判別ステップは、
前記第１のセキュリティ強度及び前記第２のセキュリティ強度のうちアクセスを要求されたアプリケーションプログラムに対応するセキュリティ強度と、前記第２の記憶ステップにより記憶した前記パスワードのセキュリティ強度とを比較し、前記パスワードのセキュリティ強度が前記第１又は第２のセキュリティ強度と同等以上の場合に該アクセスの要求を許可すること、
を特徴とする請求項６に記載のアクセス制御方法。
【請求項１】
ユーザにより使用されるユーザ端末と、
前記ユーザ端末からアクセス可能に設けられたアプリケーション部と、
前記ユーザ端末から前記アプリケーション部へのアクセスを制御するアクセス制御装置と、を備えたアクセス制御システムにおいて、
前記アプリケーション部は、
第１のセキュリティ強度を必要とする第１のアプリケーションプログラム、
第２のセキュリティ強度を必要とする前記第１のアプリケーションプログラムとは異なる第２のアプリケーションプログラム、を有し、
前記アクセス制御装置は、
前記アプリケーション部が有する前記第１のアプリケーションプログラムに関する情報及び前記第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、
前記ユーザ端末からユーザ認証用にパスワードを受信し、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報に基づき、前記受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、
前記パスワード強度決定部により受信された前記パスワード、及び前記パスワード強度決定部により決定された前記パスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、
前記ユーザ端末が前記パスワードを用いて前記アプリケーション部へのアクセスを要求した場合に、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報のうち該アクセスを要求されたアプリケーションプログラムに対応する情報、及び該アクセスの要求に用いられたパスワードに対応する前記第２の記憶部に記憶された前記パスワードのセキュリティ強度に基づいて、該アクセスの要求を許可するか否か判別する判別部、を有すること、
を特徴とするアクセス制御システム。
【請求項２】
前記第１の記憶部は、
前記第１のアプリケーションプログラムに関する情報として、前記第１のアプリケーションプログラムに対応する前記第１のセキュリティ強度を記憶し、
前記第２のアプリケーションプログラムに関する情報として、前記第２のアプリケーションプログラムに対応する前記第２のセキュリティ強度を記憶し、
前記判別部は、
前記第１の記憶部に記憶された前記第１のセキュリティ強度及び前記第２のセキュリティ強度のうち該アクセスを要求されたアプリケーションプログラムに対応するセキュリティ強度と、該アクセスの要求に用いられたパスワードに対応する前記第２の記憶部に記憶されたパスワードのセキュリティ強度とを比較し、前記パスワードのセキュリティ強度が前記第１又は第２のセキュリティ強度以上の場合に該アクセスの要求を許可すること、
を特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
前記パスワード強度決定部は、
前記ユーザ端末からパスワードを受信した場合に、前記第１の記憶部から前記第１及び第２のアプリケーションプログラムに関する情報を取得し、
前記判別部は、
前記取得した情報に基づき、前記第１及び第２のアプリケーションプログラムへのアクセス可否を判別して前記ユーザ端末に通知すること、
を特徴とする請求項２に記載のアクセス制御システム。
【請求項４】
前記アプリケーション部はポータルサイトを有し、
前記パスワード強度決定部は、
前記ユーザ端末から前記第１又は第２のアプリケーションプログラムへのアクセスの要求を受信した場合に、前記第１の記憶部から前記第１及び第２のアプリケーションプログラムに関する情報を取得し、
前記判別部は、
前記取得した情報に基づき、前記第１及び第２のアプリケーションプログラムへのアクセス可否を判別して前記ポータルサイトへ通知し、
前記ポータルサイトは、
前記判別部により判別された前記第１及び第２のアプリケーションプログラムへのアクセス可否の情報及び前記アクセス否と判別されたアプリケーションプログラムで必要とされるセキュリティ強度の情報を、前記ユーザ端末に通知すること、
を特徴とする請求項２に記載のアクセス制御システム。
【請求項５】
ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、を備えたアクセス制御システムに設けられ、前記ユーザ端末から前記アプリケーション部へのアクセスを制御するアクセス制御装置において、
前記アプリケーション部が有する第１のアプリケーションプログラムに関する情報及び前記第２のアプリケーションプログラムに関する情報を記憶する第１の記憶部、
前記ユーザ端末からユーザ認証用にパスワードを受信し、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報に基づき、前記受信したパスワードのセキュリティ強度を決定するパスワード強度決定部、
前記パスワード強度決定部により受信された前記パスワード、及び前記パスワード強度決定部により決定された前記パスワードのセキュリティ強度を対応付けて記憶する第２の記憶部、
前記ユーザ端末が前記パスワードを用いて前記アプリケーション部へのアクセスを要求した場合に、前記第１の記憶部に記憶された前記第１及び第２のアプリケーションプログラムに関する情報のうち該アクセスを要求されたアプリケーションに対応する情報、及び該アクセスの要求に用いられたパスワードに対応する前記第２の記憶部に記憶された前記パスワードのセキュリティ強度に基づいて、該アクセスの要求を許可するか否か判別する判別部、を有すること、
を特徴とするアクセス制御装置。
【請求項６】
ユーザにより使用されるユーザ端末と、第１のセキュリティ強度を必要とする第１のアプリケーションプログラム及び第２のセキュリティ強度を必要とする第２のアプリケーションプログラムを有するアプリケーション部と、前記ユーザ端末から前記アプリケーション部へのアクセスを制御するアクセス制御装置と、前記アクセス制御装置に前記アプリケーション部の情報を登録する管理者端末と、を備えたアクセス制御システムで用いられるアクセス制御方法において、
前記管理者端末が、前記アクセス制御装置に前記アプリケーション部が有する前記第１のアプリケーションプログラムに対応する前記第１のセキュリティ強度及び前記第２のアプリケーションプログラムに対応する前記第２のセキュリティ強度を記憶させる第１の記憶ステップと、
前記ユーザ端末が、前記アクセス制御装置へユーザ認証用にパスワードを送信する第１の送信ステップと、
前記アクセス制御装置が、前記ユーザ端末から前記第１の送信ステップにより送信されたパスワードを受信する受信ステップと、
前記アクセス制御装置が、前記受信ステップにより受信したパスワードのセキュリティ強度を、前記第１の記憶ステップにより記憶した前記第１及び第２のセキュリティ強度に基づき決定するパスワード強度決定ステップと、
前記アクセス制御装置が、前記受信ステップにより受信した前記パスワード及び前記パスワード強度決定ステップにより決定した前記パスワードのセキュリティ強度を対応付けて記憶する第２の記憶ステップと、
前記ユーザ端末が、前記第１の送信ステップにより送信したパスワードと同じパスワードを用いて前記アプリケーション部へのアクセスを要求するアクセス要求ステップと、
前記アクセス制御装置が、前記アクセス要求ステップにより要求された前記ユーザ端末から前記アプリケーション部へのアクセスの要求を検知し、前記第１の記憶ステップにより記憶した前記第１及び第２のセキュリティ強度、及び該アクセスの要求に用いられたパスワードに対応する前記第２の記憶ステップにより記憶した前記パスワードのセキュリティ強度に基づき、該アクセスの要求を許可するか否か判別する判別ステップと、
を備えたことを特徴とするアクセス制御方法。
【請求項７】
前記判別ステップは、
前記第１のセキュリティ強度及び前記第２のセキュリティ強度のうちアクセスを要求されたアプリケーションプログラムに対応するセキュリティ強度と、前記第２の記憶ステップにより記憶した前記パスワードのセキュリティ強度とを比較し、前記パスワードのセキュリティ強度が前記第１又は第２のセキュリティ強度と同等以上の場合に該アクセスの要求を許可すること、
を特徴とする請求項６に記載のアクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１３−４１５１４（Ｐ２０１３−４１５１４Ａ）
【公開日】平成２５年２月２８日（２０１３．２．２８）
【国際特許分類】
【出願番号】特願２０１１−１７９２８３（Ｐ２０１１−１７９２８３）
【出願日】平成２３年８月１９日（２０１１．８．１９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２５年２月２８日（２０１３．２．２８）
【国際特許分類】
【出願日】平成２３年８月１９日（２０１１．８．１９）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]