エージェントアクセス管理システム
【課題】エージェントが利用者の代理としてしかるべき権限を与えられ、利便性の向上と同時にセキュリティリスクを軽減する。
【解決手段】エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムであって、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段と、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段と、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段と、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段とを備える。
【解決手段】エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムであって、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段と、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段と、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段と、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、利用者から権限委譲（Delegation）されたエージェント（Software Agents）によりネットワーク上のサービスにアクセスするための管理技術に関し、認証（Authentication）と認可（Authorization）に伴う権限委譲を実現する技術に関する。
【背景技術】
【０００２】
近年、インターネット等のネットワークの発達に伴い、アプリケーションがサービスとして公開され、利用者が物理的に離れたところでもネットワークを通じてサービスを利用することが可能になってきている。それらのサービスに対するアクセスを所定の利用者だけに制限したい場合、サービスに対してアクセス要求する利用者を認証し、認証済みの利用者の保有する権限に基づいてサービスへの認可判断を行い、アクセス要求を制御するアクセス管理システムが多く実装されている。
【０００３】
ネットワーク上で利用可能なサービスが多くなると、利用者はそれらの様々なサービスを利用するために、それぞれのサービスにアクセス要求し、個別の認証処理を行った後に個別のサービス処理を行うことになり、利用者にとって煩わしさを伴う。
【０００４】
上記のようなサービス毎の個別認証処理を削減する技術としては、一度の認証手続きだけで複数のサービスの利用が可能となるシングルサインオンに関する技術が数多く提案されている。しかし、サインオンした後に、個別のサービスの利用時に利用者が行う処理を削減することはできない。
【０００５】
利用者がアクセス制限の付いたサービスを利用する際に必要となる処理の削減を解決するための従来技術として、特許文献１に開示される技術がある。
【０００６】
図１は特許文献１に開示された従来のデータベースアクセス制御のためのシステム構成を示す図である。
【０００７】
図１においては、ユーザ装置９１とデータベースアクセス制御装置９３と代理処理サーバ装置９７とがネットワーク９２に接続され、データベースアクセス制御装置９３にはデータベース９６が接続されてシステムを構成している。このシステムの動作は次のようになる。
【０００８】
すなわち、ユーザ自らが直接にデータベースにアクセスをするのではなく、ユーザのエージェントとなる代理処理サーバ装置９７がユーザの権限を代わりに持つ。ユーザはユーザ装置９１からデータベースアクセス制御装置９３の仲介処理部９４にアクセスし、認証手続きを行った後、データベースアクセス制御装置９３から認証セッション情報を含むクッキー（cookie）情報を受け取る。
【０００９】
そして、ユーザは、利用可能な代理処理サーバ装置９７のリストを入手し、ユーザが選択した代理処理サーバ装置９７にリダイレクトされ、クッキー情報を持ってアクセスする。
【００１０】
代理処理サーバ装置９７は、ユーザのアクセス時に付加されるクッキー情報からセッション情報を取り出し、クッキー情報を伴って、データベースアクセス制御装置９３に対してユーザの代理でアクセス要求する。
【００１１】
データベースアクセス制御装置９３は、クッキー情報からユーザを特定し、代理処理サーバ装置９７を確認した後、ユーザのアクセス権限を確認し、代理処理サーバ装置９７へのアクセスに対する認可判断を行う。代理処理サーバ装置９７へのアクセスが許可される場合、その代理処理サーバ装置９７は、ユーザの指定した所定のデータ処理をアクセス処理部９５を介してデータベース９６に対して行った後、処理結果をユーザ装置９１に対して返信する。
【００１２】
このように、従来技術では、ユーザ本人とは異なる装置に対してアクセス権限を委譲し、代理アクセスを許可するアクセス管理を行うことによって、利用者の個別サービスに対する処理の削減を実現している。
【特許文献１】国際公開ＷＯ２００５／００６２０４
【発明の開示】
【発明が解決しようとする課題】
【００１３】
従来のシステムは上述した仕組により利用者の個別サービスに対する処理の削減を実現するものであるが、次のような問題点が存在する。
（１）ユーザのサービス利用時の処理の負担が依然として大きい。これは、ユーザがデータベースアクセス制御装置９３にセッションを保持している間でしか、代理処理サーバ装置９７はデータベース９６にアクセスできず、独自処理実行ができないからである。
（２）ドメインをまたがる分散環境においてアクセス管理できない。これは、データベースアクセス制御装置９３と代理処理サーバ装置９７とが異なるドメインに位置するような場合、ユーザの認証セッション情報を含むクッキー情報を両者の間で共有することができないからである。
（３）代理処理サーバ装置９７のアクセスを許可するためのセッション管理が必要となり、そのための導入・管理コストがかかる。これは、代理処理サーバ装置９７からの代理アクセスを共通クッキーによって実現しているため、ユーザのＩＤと関連付けて、その中に含まれる認証セッション情報や代理処理サーバ情報などを管理する必要があるからである。
（４）ユーザが委譲する権限を柔軟に制御することができない。これは、代理処理サーバ装置９７はユーザと同等の権限を有し、権限の内容を細分化することができないからである。
【００１４】
本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、エージェントが利用者の代理としてしかるべき権限を与えられ、利便性の向上と同時にセキュリティリスクを軽減することのできるエージェントアクセス管理システムを提供することにある。
【課題を解決するための手段】
【００１５】
上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムであって、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段と、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段と、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段と、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段とを備えるエージェントアクセス管理システムを要旨としている。
【００１６】
また、請求項２に記載されるように、請求項１に記載のエージェントアクセス管理システムにおいて、前記アクセス制御手段は、クレデンシャル情報の検証を経て作成されたセッションの確認により認証を行い、要求されたアクションが登録された権限もしくは委譲権限の範囲内であるか否かの確認により権限確認を行うようにすることができる。
【００１７】
また、請求項３に記載されるように、請求項２に記載のエージェントアクセス管理システムにおいて、前記アクセス制御手段は、セッションを示すクッキー情報を伴わないアクセス要求に対し、クレデンシャル情報の検証を行う認証手段へのリダイレクトを行うようにすることができる。
【００１８】
また、請求項４に記載されるように、請求項１乃至３のいずれか一項に記載のエージェントアクセス管理システムにおいて、人を利用者として登録する場合の権限は、対象となるサービスに対応したセキュリティポリシに基づいて決定されるようにすることができる。
【００１９】
また、請求項５に記載されるように、請求項１乃至４のいずれか一項に記載のエージェントアクセス管理システムにおいて、エージェントを利用者として登録する場合の委譲権限は、委譲元の人もしくはエージェントの権限もしくは委譲権限の範囲内で指定されるようにすることができる。
【００２０】
また、請求項６に記載されるように、エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理方法であって、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付工程と、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信工程と、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御工程と、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理工程とを備えるエージェントアクセス管理方法として構成することができる。
【００２１】
また、請求項７に記載されるように、エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムを構成するコンピュータを、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段として機能させるエージェントアクセス管理プログラムとして構成することができる。
【発明の効果】
【００２２】
本発明のエージェントアクセス管理システムにあっては、エージェントに対し現実世界の利用者と同様にそのアイデンティティを定義し、管理者等の情報を管理し、認証するためのクレデンシャルを発行し、エージェントの認証を可能とすることで、エージェントが利用者の代理としてしかるべき権限を与えられ、利便性の向上と同時にセキュリティリスクを軽減することができる。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の好適な実施形態につき説明する。
【００２４】
＜エージェント＞
エージェント（Software Agent）とは、人の代理となるソフトウェア、あるいは、システムやサーバのような非人間の利用者をいう。本実施形態では、利用者を人とエージェントの２つに分類し、エージェントからのアクセスを許可するシステムとする。エージェントは、エージェントの実行環境で動作する。
【００２５】
エージェントのアイデンティティを構成する属性情報は以下の通りである。
・エージェントＩＤ（Aid）：エージェントの識別子である。
・委譲者（Delegator）：エージェントに権限を委譲した利用者（人、エージェントの両方ありうる）である。
・管理者（Owner）：エージェントの管理者（人）であり、そのエージェントの動作に関連する責任を負う。
・開発者（Developer）：エージェントを開発した利用者（人、人のグループ（会社）等）である。
・実行装置（AgentBase）：エージェントの実行環境であり、その環境を提供する管理者や開発者の情報も含まれる。
【００２６】
エージェントアクセス管理システムには、以下のような管理プロセスが存在する。
【００２７】
登録（Registration）：登録により、エージェントは、正規の利用者として、システムへのアクセスが可能な状態となる。
【００２８】
活性化（Activation）：委譲者からある権限を委譲されることによって、エージェントの権限が決まり、動作可能な状態となる。
【００２９】
認証（Authentication）：サービスアクセス要求時に、１人の利用者として（人と同様に）認証を受ける。
【００３０】
認可（Authorization）：認証を受けた後、委譲された権限を確認して、サービスに対する代理アクセスの認可判断を決定する。
【００３１】
非活性化（Deactivation）：活性化された状態を一時的に解除し、権限委譲された状態を無効にする。
【００３２】
取消（Revocation）：完全に委譲された権限を削除する。
【００３３】
＜構成＞
図２は本発明の一実施形態にかかるシステムの構成例を示す図である。
【００３４】
図２において、本システムは、サービス提供装置１とエージェント実行装置２と端末装置３とがインターネット等のネットワーク４に接続されて構成されている。
【００３５】
サービス提供装置１は、コンテンツ提供等の各種のサービスを提供するサーバ装置である。サービス提供装置１の内部構成については後述する。
【００３６】
エージェント実行装置２は、エージェントの実行環境となるサーバ装置である。エージェント実行装置２の内部構成については後述する。
【００３７】
端末装置３は、利用者（人）Ｕの利用する端末であり、ブラウザ３１によりサービス提供装置１に対してアクセス要求を行い、認証を受け、セッション情報を管理する機能を持つ。また、エージェント実行装置２に対してアクセスし、エージェントを管理する機能を持つ。ブラウザ３１は通常の汎用的なＷｅｂブラウザを想定しており、特別の機能は不要である。
【００３８】
図３はサービス提供装置１の構成例を示す図である。
【００３９】
図３において、サービス提供装置１は、機能部として、登録部１０１と認証部１０２とアクセス制御部１０３とセッション管理部１０４と権限管理部１０５と権限委譲部１０６とサービス提供部１０７とを備えている。また、データ保持部として、利用者情報格納部１１１とエージェントリスト格納部１１２とセキュリティポリシ情報格納部１１３とセッション情報格納部１１４と権限情報格納部１１５と権限委譲情報格納部１１６とサービス情報格納部１１７とを備えている。
【００４０】
各機能部は、サービス提供装置１を構成するコンピュータのＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等のハードウェア資源上で実行されるコンピュータプログラムによって実現されるものである。なお、各機能部は、単一のコンピュータ上に配置される必要はなく、必要に応じて分散される形態であってもよい。各データ保持部は、サービス提供装置１内のＨＤＤ（Hard Disk Drive）等の記憶媒体上にデータを体系的に保持するものである。
【００４１】
登録部１０１は、利用者（人、エージェント）を登録する機能を有している。人の登録にあっては、利用者ＩＤとクレデンシャル情報（パスワード等の認証に必要とする情報）を発行し、利用者情報格納部１１１に格納する。エージェントの登録にあっては、要求者に対してエージェントＩＤとクレデンシャル情報を発行し、利用者情報格納部１１１に格納する。このとき、要求者は、そのエージェントの所有者（owner）として登録される。なお、ここでは利用者情報格納部１１１を一つのデータベースとしたが、例えば、人とエージェントを別々に管理してもよい。
【００４２】
認証部１０２は、利用者（人、エージェント）からアクセス要求等を受けた際に所定の認証方式に従って認証する機能を有している。認証時には、利用者に対して、必要となるＩＤとクレデンシャル情報の提示を求め、受け取ったＩＤとクレデンシャル情報を、利用者情報格納部１１１にて管理するＩＤ・クレデンシャル情報に照会し、両者が一致するか否かを判断する。
【００４３】
アクセス制御部１０３は、正規の利用者（人、エージェント）に対してのみサービス利用を許可する機能を有している。アクセス時には、ブラウザからクッキー情報が送付されていないのを確認すると、利用者を認証すべく、認証部１０２に対してリダイレクションする認証要求メッセージをアクセス要求元のブラウザに送付する。クッキー情報が送付されている場合は、セッション管理部１０４で管理されるクッキー情報と照合することで認証済であることを確認し、その後の処理につなげる。
【００４４】
セッション管理部１０４は、認証部１０２による利用者（人、エージェント）の認証処理の後、認証に成功した場合に、認証セッションを確立し、その利用者と認証セッションに関する情報を関連付けて、セッション情報格納部１１４に格納して管理する機能を有している。認証セッションが確立した後、その認証セッションを一意に検索可能なセッション識別子を含めたクッキー情報を発行し、返信する。
【００４５】
権限管理部１０５は、利用者（人、エージェント）の権限情報を、権限情報格納部１１５において管理する機能を有している。権限情報は、利用者の属性情報（例えば、利用者のロール）と関連付けられて管理されており、利用者のＩＤがわかれば、それに対応する権限を参照できる。
【００４６】
権限委譲部１０６は、利用者（人、エージェント）からの他の利用者（人、エージェント）に対する権限委譲の機能を有している。権限委譲要求の被委譲者がエージェントの場合、委譲者が人の場合は、その委譲者をそのエージェントの委譲者（delegator）、委譲者がエージェントの場合は、そのエージェントの管理者（owner）を被委譲者であるエージェントの委譲者となるように設定する。
【００４７】
サービス提供部１０７は、個別のアプリケーションサービスを所定のアクセス権限を持つ利用者に対してのみ提供する機能を有している。提供するサービス情報として想定しているのは、一般利用者向けのコンテンツではなく、所定の利用者に対してのみ共有を許可するコンテンツ、例えば、プロジェクト管理による進捗管理等の情報である。
【００４８】
図４はサービス提供装置１内に格納される各種データの構造例を示す図である。（ａ）は利用者情報格納部１１１のデータ構造例を示しており、利用者ＩＤとパスワードとロールを含んでいる。（ｂ）はエージェントリスト格納部１１２のデータ構造例を示しており、エージェント名を含んでいる。（ｃ）はセキュリティポリシ情報格納部１１３のデータ構造例を示しており、サービス名とセキュリティポリシを含んでいる。（ｄ）はセッション情報格納部１１４のデータ構造例を示しており、利用者ＩＤとセッションＩＤとクッキーを含んでいる。（ｅ）は権限情報格納部１１５のデータ構造例を示しており、ロールを含んでいる。（ｆ）は権限委譲情報格納部１１６のデータ構造例を示しており、委譲者ＩＤ（利用者ＩＤ、エージェントＩＤ）と管理者ＩＤ（利用者ＩＤ）とエージェントＩＤとロールを含んでいる。（ｇ）はサービス情報格納部１１７のデータ構造例を示しており、サービス名とサービス情報を含んでいる。
【００４９】
図５はエージェント実行装置２の構成例を示す図である。
【００５０】
図５において、エージェント実行装置２は、機能部として、登録部１０１と、認証部２０２とエージェント管理部２０３とエージェントプログラム実行部２０４と権限管理部２０５とを備えている。また、データ保持部として、利用者情報格納部２１１とセキュリティポリシ情報格納部２１２と権限情報格納部２１３とエージェント情報格納部２１４とを備えている。なお、権限管理部２０５と権限情報格納部２１３はエージェント実行装置２側でロールを考慮した制御を行わない場合には省略してもよい。
【００５１】
各機能部は、エージェント実行装置２を構成するコンピュータのＣＰＵ、ＲＯＭ、ＲＡＭ等のハードウェア資源上で実行されるコンピュータプログラムによって実現されるものである。なお、各機能部は、単一のコンピュータ上に配置される必要はなく、必要に応じて分散される形態であってもよい。各データ保持部は、エージェント実行装置２内のＨＤＤ等の記憶媒体上にデータを体系的に保持するものである。
【００５２】
登録部２０１は、利用者（人）を登録する機能を有している。登録要求を受けると、利用者ＩＤとクレデンシャル情報を発行し、利用者情報格納部２１１に格納する。
【００５３】
認証部２０２は、エージェント実行装置２を利用する利用者を認証する機能を有している。
【００５４】
エージェント管理部２０３は、エージェント実行装置２で動作するエージェントを管理する機能を有している。エージェントはエージェントＩＤにより識別される。エージェントの属性情報として、エージェントＩＤ（aid）、委譲者（delegator）、管理者（owner）、実行装置（agentBase）の情報が管理される。エージェントが、あるサービス提供装置１において登録された際のＩＤ・クレデンシャル情報も同様に管理される。エージェント固有の実行時状態（コンテキスト）を持ち、これらを管理する。コンテキスト情報として、エージェントが、あるサービス提供装置１に対して認証を完了させた後のセッション情報、アクセスログなども同様に管理される。
【００５５】
エージェントプログラム実行部２０４は、エージェントがエージェント実行装置２において、所定のエージェントプログラムを実行する際に、その動作を制御するとともに、実行環境を提供する機能を有している。エージェントの個別のプログラム実行時に、権限情報格納部２１３において管理するエージェントごとの権限情報と、セキュリティポリシ情報格納部２１２において管理するエージェント実行装置２におけるセキュリティポリシを参照して、その実行に対する認可判断を行った上で、権限とセキュリティポリシに矛盾がない場合にのみ、エージェントの実行を許可するようにすることができる。
【００５６】
図６はエージェント実行装置２内に格納される各種データの構造例を示す図である。（ａ）は利用者情報格納部２１１のデータ構造例を示しており、利用者ＩＤとパスワードとロールを含んでいる。（ｂ）はセキュリティポリシ情報格納部２１２のデータ構造例を示しており、サービス名とセキュリティポリシを含んでいる。（ｃ）は権限情報格納部２１３のデータ構造例を示しており、ロールを含んでいる。（ｄ）はエージェント情報格納部２１４のデータ構造例を示しており、エージェントＩＤと委譲者ＩＤ（利用者ＩＤ、エージェントＩＤ）と管理者ＩＤ（利用者ＩＤ）と実行装置とエージェントプログラム本体とを含んでいる。
【００５７】
＜動作：利用者登録＞
図７は利用者登録の処理例を示すシーケンス図である。
【００５８】
図７において、利用者Ｕは、端末装置３のブラウザ３１から、サービス提供装置１の登録部１０１に対して、利用するサービス名を指定した利用者登録要求を行う（ステップＳ１０１）。
【００５９】
登録部１０１は、セキュリティポリシ情報格納部１１３に対して、利用者Ｕにより指定されたサービス名に関連するセキュリティポリシを要求する（ステップＳ１０２）。このセキュリティポリシ要求に応じ、セキュリティポリシ情報格納部１１３は、登録部１０１に対して、指定されたサービス名に関連するセキュリティポリシを返信する（ステップＳ１０３）。
【００６０】
サービス提供装置１の管理者は、返信された関連セキュリティポリシを参照の上、利用者登録要求を行った利用者Ｕが適切な利用者であることを確認し、適切な利用者である場合に、利用者Ｕがサービス提供装置１にアクセスするための利用者ＩＤおよびパスワードを発行する。そして、登録部１０１は、これらの情報に基づき、利用者情報格納部１１１にアカウントの生成および登録を要求する（ステップＳ１０４）。利用者情報格納部１１１はアカウントの生成および登録を行った上で、登録部１０１に対して、利用者Ｕのアカウント生成（登録）が完了した旨を通知する（ステップＳ１０５）。
【００６１】
次いで、登録部１０１は、権限管理部１０５に対し、サービス提供装置１の利用者に関連するロールリスト要求を行う（ステップＳ１０６）。これに応じ、権限管理部１０５は、権限情報格納部１１５に対し、ロールリストを要求する（ステップＳ１０７）。権限情報格納部１１５は、権限管理部１０５に対して、ロールリストを返信する（ステップＳ１０８）。権限管理部１０５は、ロールリストを登録部１０１に返信する（ステップＳ１０９）。
【００６２】
サービス提供装置１の管理者は、既に取得した関連セキュリティポリシを参照の上、利用者登録要求を行った利用者Ｕに適切なロールを確認する。ここで、適切なロールがロールリストに含まれていない場合、権限管理部１０５に対して、しかるべき権限を関連付けるロール作成要求を行う（ステップＳ１１０）。これに応じ、権限管理部１０５は、権限情報格納部１１５に対して、ロールの作成要求を行う（ステップＳ１１１）。権限情報格納部１１５は、新規ロールを作成して格納し、その処理の完了通知を権限管理部１０５に返信する（ステップＳ１１２）。権限管理部１０５は、登録部１０１に対して、更新されたロールリストを伴うロール作成完了通知を返送する（ステップＳ１１３）。
【００６３】
サービス提供装置１の管理者は、更新されたロールリストから適切なロールを選択し、登録部１０１により、権限管理部１０５に対し、利用者Ｕに関連付けたロール登録要求を行う（ステップＳ１１４）。これに応じ、権限管理部１０５は、利用者情報格納部１１１に対して、利用者Ｕに関連する情報としてロール情報の格納を要求する（ステップＳ１１５）。利用者情報格納部１１１はロール情報の格納を行い、権限管理部１０５に対して、ロール情報の登録完了通知を送付する（ステップＳ１１６）。権限管理部１０５は、登録部１０１に対して、ロール登録完了通知を返信する（ステップＳ１１７）。
【００６４】
ロール登録完了通知を受け、登録部１０１は、ブラウザ３１に対して、利用者Ｕの利用者ＩＤ、パスワードおよびロールを通知する応答を行う（ステップＳ１１８）。利用者Ｕはブラウザ３１からいったんログアウトを行う。
【００６５】
利用者Ｕは、エージェント実行装置２に対しても、上記の処理と同様に利用者登録要求を行う。この場合、図７における登録部１０１は登録部２０１に、セキュリティポリシ情報格納部１１３は権限情報格納部２１３に、利用者情報格納部１１１は利用者情報格納部２１１に、権限情報格納部１１５は権限管理部２０５と読み替えればよい。なお、エージェント実行装置２側でロールを考慮した制御を行わない場合は、ロールについての処理（ステップＳ１０６〜Ｓ１１７）を省略し、ロールの返送を行わないようにすることができる。
【００６６】
＜動作：エージェント登録＞
図８および図９はエージェント登録の処理例を示すシーケンス図であり、図７に示した利用者登録を済ませた利用者Ｕの操作により行われる処理である。
【００６７】
図８において、利用者登録を済ませた利用者Ｕは、端末装置３のブラウザ３１からサービス提供装置１のアクセス制御部１０３に対してアクセス要求を行う（ステップＳ２０１）。
【００６８】
アクセス制御部１０３は正規利用者に対してのみサービス利用を許可するアクセス制限を行っており、ブラウザ３１からクッキー情報が送付されていないのを確認すると、利用者を認証すべく、認証部１０２に対してリダイレクションする認証要求メッセージをブラウザ３１に送付する（ステップＳ２０２）。
【００６９】
認証要求メッセージを受信したブラウザ３１は、当該メッセージに含まれる送付先である認証部１０２のＵＲＬ（Uniform Resource Locator）に対して、メッセージをリダイレクトする（ステップＳ２０３）。
【００７０】
認証部１０２は、アクセスしてきたブラウザ３１の利用者を認証するために、登録したクレデンシャル情報（利用者ＩＤおよびパスワード）の入力を要求する（ステップＳ２０４）。
【００７１】
利用者Ｕは、利用者ＩＤとパスワードをブラウザ３１に対して入力し、ブラウザ３１は認証部１０２に対して利用者ＩＤとパスワードを返信する（ステップＳ２０５）。
【００７２】
認証部１０２は、利用者Ｕから送付された利用者ＩＤとパスワードが適切であるか否かを確認するために、利用者情報格納部１１１に対して、受信した利用者ＩＤとパスワードを伴ったクレデンシャル検証要求を行う（ステップＳ２０６）。利用者情報格納部１１１は、検証要求された利用者ＩＤとパスワードが適切であるか否か、格納している利用者ＩＤとパスワードを照会し、結果（ＯＫ／ＮＧ）を認証部１０２に対して送付する（ステップＳ２０７）。
【００７３】
クレデンシャルの検証結果がＯＫの場合、セッションクッキーを発行すべく、認証部１０２は、セッション管理部１０４に対して、利用者ＩＤを含めたセッション登録要求を行う（ステップＳ２０８）。
【００７４】
セッション管理部１０４は、利用者ＩＤに対する新しいセッションを生成し、また、そのセッション情報を識別するセッションＩＤと、そのセッションＩＤと関連付けたクッキーを発行して、セッション情報格納部１１４に登録要求する（ステップＳ２０９）。セッション情報格納部１１４は、セッションＩＤとクッキーの登録を行った上で、セッション登録応答（ＯＫ／ＮＧ）をセッション管理部１０４に返送する（ステップＳ２１０）。セッション管理部１０４は、セッション情報格納部１１４において登録したクッキー情報を認証部１０２に対して返送する（ステップＳ２１１）。
【００７５】
認証部１０２は、ブラウザ３１に対して、アクセス制御部１０３に再度クッキー付きのアクセス要求を行う旨のリダイレクト要求メッセージとしてクッキー情報を送付する（ステップＳ２１２）。
【００７６】
ブラウザ３１は、リダイレクト要求メッセージを受信し、受け取ったクッキー情報を含めたアクセス要求メッセージをアクセス制御部１０３に対して送付する（ステップＳ２１３）。
【００７７】
アクセス制御部１０３は、アクセス要求メッセージにクッキー情報が含まれていることを確認し、そのクッキー情報に関連付けられた利用者のセッションが存在するか否かを確認するための認証確認要求を、セッション管理部１０４に対して行う（ステップＳ２１４）。
【００７８】
セッション管理部１０４は、セッション情報格納部１１４に対して、クッキー情報に関連づいたセッションおよび利用者が存在するか検索すべく、クッキー情報をキーとする利用者ＩＤ要求を行う（ステップＳ２１５）。セッション情報格納部１１４は、検索を実行し、セッション管理部１０４に対して、クッキー情報に関連付けて格納された利用者ＩＤを返信する（ステップＳ２１６）。セッション管理部１０４は、アクセス制御部１０３に対して、利用者ＩＤを応答とする認証確認応答を送付する（ステップＳ２１７）。
【００７９】
アクセス制御部１０３は、利用者ＩＤのロール情報を入手すべく、利用者情報格納部１１１に対して、利用者ＩＤを含めたロール要求を行う（ステップＳ２１８）。利用者情報格納部１１１は、利用者ＩＤに関連付けて格納されるロール情報を取得し、アクセス制御部１０３に対して返送する（ステップＳ２１９）。
【００８０】
アクセス制御部１０３は、取得したロール情報と、プロジェクト管理サービスを実行するための所定のアクション情報（ここでは、サービストップページへのアクセス）とを含めて、権限管理部１０５に対して、そのアクションをそのロールにおいて実行可能か否かの認可判断要求を送付する（ステップＳ２２０）。
【００８１】
権限管理部１０５は、そのロールにそのアクションを行う権限があるか否か、権限情報格納部１１５を照会する（ステップＳ２２１）。権限情報格納部１１５は、要求されたロールに対して規定される認可されたアクションのリストに要求されたアクションが含まれていればＯＫを、権限管理部１０５に対して応答する（ステップＳ２２２）。権限管理部１０５は、アクセス制御部１０３に対して、権限照会の結果を認可判断応答として返答する（ステップＳ２２３）。アクセス制御部１０３は、サービス提供部１０７に対し、認可判断応答を転送する（ステップＳ２２４）。
【００８２】
これを受け、サービス提供部１０７は、アクセス制御部１０３からの認可判断検証の結果がＯＫであれば、アクセスが許可されたものとみなし、サービストップページをアクセス制御部１０３に対して送付する（ステップＳ２２５）。アクセス制御部１０３はサービストップページをブラウザ３１に転送する（ステップＳ２２６）。一方、ＮＧであれば、アクセスは否認されたものとして、サービスが提供できない旨を通知する。
【００８３】
次に、図９において、利用者Ｕは、サービストップページを参照して、権限委譲可能なエージェントのリストの参照要求を行う（ステップＳ２２７）。サービス提供部１０７は、登録部１０１に対して、エージェント参照要求を転送する（ステップＳ２２８）。
【００８４】
登録部１０１は、エージェントリスト格納部１１２に対して、エージェントリストを要求する（ステップＳ２２９）。エージェントリスト格納部１１２は、登録部１０１に対して、エージェントリストを返送する（ステップＳ２３０）。
【００８５】
登録部１０１は、エージェントリストをサービス提供部１０７に対して返送し（ステップＳ２３１）、サービス提供部１０７は、利用者Ｕのブラウザ３１に対して、エージェントリストの画面を表示する（ステップＳ２３２）。
【００８６】
利用者Ｕは、表示されたエージェントリストから権限委譲すべきエージェントの種類を選択し、そのエージェントに対する権限委譲要求を行う（ステップＳ２３３）。この要求メッセージには、クッキー情報のほかに、選択したエージェント名と、委譲すべき権限と関連付けられるロールを含める。このロールは、利用者本人のロールと関連付けられたロールのサブセットを指定する。
【００８７】
サービス提供部１０７は、ブラウザ３１からのエージェント権限委譲要求を受け、登録部１０１に対して、権限委譲するエージェント名を指定したエージェント登録要求を送付する（ステップＳ２３４）。
【００８８】
エージェント登録要求を受けた登録部１０１は、そのエージェントに対応するパスワードを発行した上で、利用者情報格納部１１１に対して、発行したパスワードを含むアカウントの生成および登録の要求を行う（ステップＳ２３５）。利用者情報格納部１１１は、アカウントを新規作成し、当該アカウントに対応するエージェントＩＤを割り当て、指定されたパスワードを登録し、登録部１０１に対して、エージェントＩＤを含めたアカウント生成完了通知を送付する（ステップＳ２３６）。
【００８９】
登録部１０１は、権限管理部１０５に対して、エージェントＩＤとロールを伴うロール登録要求を行う（ステップＳ２３７）。
【００９０】
権限管理部１０５は、利用者情報格納部１１１に対して、エージェントＩＤにロールを関連付けて登録するよう要求する（ステップＳ２３８）。利用者情報格納部１１１は、ロールの登録を行い、権限管理部１０５に対して、ロール登録完了通知を返信する（ステップＳ２３９）。権限管理部１０５は、登録部１０１に対して、ロール登録完了通知を転送する（ステップＳ２４０）。
【００９１】
登録部１０１は、サービス提供部１０７に対して、エージェントＩＤとパスワードを含めたエージェント登録完了応答を行う（ステップＳ２４１）。
【００９２】
サービス提供部１０７は、権限委譲部１０６に対して、権限委譲要求を行う（ステップＳ２４２）。
【００９３】
権限委譲部１０６は、権限委譲情報格納部１１６に対して、権限委譲情報（利用者ＩＤ、エージェントＩＤ、ロール）の登録要求を行う（ステップＳ２４３）。権限委譲情報格納部１１６は、権限委譲情報の登録を行い、権限委譲部１０６に対して、権限委譲情報登録応答を行う（ステップＳ２４４）。権限委譲部１０６は、サービス提供部１０７に対して、権限委譲情報登録応答を転送する（ステップＳ２４５）。
【００９４】
サービス提供部１０７は、エージェント権限委譲要求に対する応答として、登録したエージェントＩＤとそのパスワードをブラウザ３１に対して返信する（ステップＳ２４６）。
【００９５】
なお、利用者Ｕ（人）がブラウザ３１からエージェント登録を行う場合について説明したが、エージェントが利用者として他のエージェントの登録を行うこともできる。
【００９６】
＜動作：エージェント起動＞
図１０はエージェント起動の処理例を示すシーケンス図である。
【００９７】
図１０において、利用者Ｕは、エージェント実行装置２のエージェント管理部２０３にアクセス要求する（ステップＳ３０１）。
【００９８】
エージェント管理部２０３は、利用者Ｕを認証すべく、認証部２０２に対してリダイレクションする認証要求メッセージをブラウザ３１に送付する（ステップＳ３０２）。
【００９９】
認証要求メッセージを受信したブラウザ３１は、当該メッセージに含まれる送付先である認証部２０２のＵＲＬに対して、メッセージをリダイレクトする（ステップＳ３０３）。
【０１００】
認証部２０２は、利用者Ｕのブラウザ３１に対して、エージェント管理サービスを利用するための認証として、クレデンシャルの入力を求める（ステップＳ３０４）。
【０１０１】
利用者Ｕは、クレデンシャルとして、自らのＩＤとパスワードを入力し、ブラウザ３１はこれを認証部２０２に送信する（ステップＳ３０５）。
【０１０２】
認証部２０２は、利用者Ｕから受け取ったＩＤとパスワードを利用者情報格納部２１１に送付し、正規の利用者であるか否かを検証するためのクレデンシャル検証要求を行う（ステップＳ３０６）。
【０１０３】
利用者情報格納部２１１は、検証要求された利用者ＩＤとパスワードが適切であるか否か、格納している利用者ＩＤとパスワードを照会し、結果（ＯＫ／ＮＧ）を認証部２０２に対して送付する（ステップＳ３０７）。
【０１０４】
認証部２０２は、クレデンシャルの検証結果がＯＫの場合、クッキー情報を含む認証応答を利用者Ｕのブラウザ３１に対して返信する（ステップＳ３０８）。
【０１０５】
ブラウザ３１は、認証応答をエージェント管理部２０３に対してリダイレクトし、クッキー情報を含めたアクセス要求メッセージとして再度送付する（ステップＳ３０９）。
【０１０６】
エージェント管理部２０３は、アクセス要求に対する応答メッセージをブラウザ３１に対して返信する（ステップＳ３１０）。これにより、利用者Ｕは、認証が完了し、エージェント管理部２０３が利用可能となる。
【０１０７】
利用者Ｕは、エージェント管理部２０３の表示する画面から、起動可能なエージェントリストを表示するための要求を行う（ステップＳ３１１）。
【０１０８】
エージェント管理部２０３は、エージェント情報格納部２１４に対して、格納されているエージェント情報のリストを要求する（ステップＳ３１２）。
【０１０９】
エージェント情報格納部２１４は、エージェント管理部２０３からの要求に基づき、エージェント情報のリストを返信する（ステップＳ３１３）。
【０１１０】
エージェント管理部２０３は、エージェント情報格納部２１４からの返信結果に基づき、起動可能なエージェントリストをブラウザ３１に対して送付する（ステップＳ３１４）。
【０１１１】
利用者Ｕは、起動可能なエージェントリストから、既にエージェント登録してあるエージェント名を選択し、エージェントプログラム実行部２０４に対して、エージェント登録に伴って取得したエージェントＩＤとそのパスワードを指定して、エージェントの作成要求を行う（ステップＳ３１５）。エージェントＩＤとパスワードはエージェント内に設定され、後にサービス提供装置１の認証部１０２にアクセスする際に用いられる。
【０１１２】
エージェントプログラム実行部２０４は、利用者Ｕが指定したエージェントのプログラムをロードするようにエージェント情報格納部２１４に対して要求する（ステップＳ３１６）。
【０１１３】
エージェント情報格納部２１４は、要求されたエージェントプログラムをエージェントプログラム実行部２０４に対して送付する（ステップＳ３１７）。
【０１１４】
エージェントプログラム実行部２０４は、取得したエージェントプログラムに対して、利用者Ｕから送付されたエージェントＩＤとパスワードを関連付けてエージェントを生成し、ブラウザ３１に対してエージェント生成の結果を通知する（ステップＳ３１８）。
【０１１５】
利用者Ｕは、エージェントが生成されたことを確認し、エージェントのエージェントＩＤを指定し、エージェント起動要求を行う（ステップＳ３１９）。
【０１１６】
エージェントプログラム実行部２０４は、要求されたエージェントを起動し、その結果をブラウザ３１に対して通知する（ステップＳ３２０）。
【０１１７】
なお、利用者Ｕ（人）がブラウザ３１からエージェント起動を行う場合について説明したが、エージェントが利用者として他のエージェントの起動を行うこともできる。
【０１１８】
＜動作：エージェント実行＞
図１１はエージェント実行の処理例を示すシーケンス図である。
【０１１９】
エージェント実行装置２で起動したエージェントは、自らのプログラムに基づき、サービス提供装置１のプログラム管理サービスへのアクセスを試みる。
【０１２０】
図１１において、先ず、エージェントプログラム実行部２０４で動作するエージェントは、サービス提供装置１の認証部１０２に対して認証要求メッセージを送付する（ステップＳ４０１）。エージェントプログラム実行部２０４で動作するエージェントからアクセス制御部１０３にアクセスし、認証部１０２にリダイレクトされるようにしてもよい。
【０１２１】
認証要求を受けた認証部１０２は、エージェントプログラム実行部２０４で動作するエージェントに対して、プログラム管理サービスを利用するためのクレデンシャルの入力を要求する（ステップＳ４０２）。
【０１２２】
エージェントプログラム実行部２０４で動作するエージェントは、既に利用者Ｕが設定したエージェントＩＤとパスワードを認証部１０２に対して送付する（ステップＳ４０３）。
【０１２３】
認証部１０２は、エージェントから送付されたエージェントＩＤとパスワードを利用者情報格納部１１１に対して送付し、検証するよう要求する（ステップＳ４０４）。利用者情報格納部１１１は、エージェントＩＤとパスワードが適切であるか否かを、格納されている利用者情報と照合して検証し、その結果を認証部１０２に対して返信する（ステップＳ４０５）。
【０１２４】
認証部１０２は、指定されたエージェントＩＤに対応するエージェントのセッションを確立すべく、セッション登録要求をセッション管理部１０４に対して送付する（ステップＳ４０６）。
【０１２５】
セッション管理部１０４は、セッション登録要求を受け、新たなセッションを生成し、そのセッションに対して、エージェントＩＤとセッションＩＤとクッキー情報を関連付けて格納するように、セッション情報格納部１１４に対してセッション登録要求する（ステップＳ４０７）。セッション情報格納部１１４は、指定されたエージェントＩＤとセッションＩＤとクッキー情報を関連付けて格納し、その結果をセッション管理部１０４に返信する（ステップＳ４０８）。
【０１２６】
セッション管理部１０４は、新たに生成したクッキー情報を含めて、セッション登録に対する応答メッセージを認証部１０２に対して行う（ステップＳ４０９）。認証部１０２は、クッキー情報をエージェントプログラム実行部２０４で動作するエージェントに対して返信し、認証応答とする（ステップＳ４１０）。これによって、エージェントプログラム実行部２０４で動作するエージェントは、認証部１０２に対する認証を完了する。
【０１２７】
次いで、エージェントプログラム実行部２０４で動作するエージェントは、アクセス制御部１０３に対して、利用者Ｕの代理として、プロジェクト情報要求を行う（ステップＳ４１１）。ここで、既に認証済みである旨を示すクッキー情報を含める。
【０１２８】
アクセス制御部１０３は、受信したクッキー情報を含めて、セッション管理部１０４に対して、プロジェクト情報要求の要求主体が、既に認証済みであるか否かを確認すべく、認証確認要求を行う（ステップＳ４１２）。
【０１２９】
セッション管理部１０４は、セッション情報格納部１１４に対して、クッキー情報を含めて、利用者ＩＤ要求を行う（ステップＳ４１３）。セッション情報格納部１１４は、クッキー情報をキーとして、関連付けて格納しているエージェントＩＤを取得し、セッション管理部１０４に対して返信する（ステップＳ４１４）。セッション管理部１０４は、エージェントＩＤを含めて、アクセス制御部１０３に対して、認証確認応答を行う（ステップＳ４１５）。
【０１３０】
アクセス制御部１０３は、受け取ったエージェントＩＤと、エージェントが実行することを要求するアクション（ここでは、サービス情報へのアクセス）を含めて、権限委譲認可判断要求を権限委譲部１０６に対して送付する（ステップＳ４１６）。
【０１３１】
権限委譲部１０６は、エージェントＩＤとアクションを含めて、エージェントがそのアクションを実行するに足る権限を委譲されているか否かの検証を行うべく、権限委譲情報格納部１１６に対して権限照会を行う（ステップＳ４１７）。権限委譲情報格納部１１６は、エージェントＩＤと関連付けて格納するロールを参照し、アクションと照合し、そのエージェントにアクションを実行する権限を有するか否かの応答を行う（ステップＳ４１８）。権限委譲部１０６は、権限委譲情報格納部１１６からの応答を元にして、権限委譲の認可判断応答を、アクセス制御部１０３に対して行う（ステップＳ４１９）。
【０１３２】
アクセス制御部１０３は、認可判断検証結果の応答を、サービス提供部１０７に対して送付する（ステップＳ４２０）。
【０１３３】
サービス提供部１０７は、認可判断検証結果を元にして、もしエージェントがサービス情報へのアクセス権限を有する場合には、要求されたサービス情報をアクセス制御部１０３に対して送付する（ステップＳ４２１）。アクセス制御部１０３はサービス情報をエージェントプログラム実行部２０４で動作するエージェントに対して転送する（ステップＳ４２２）。
【０１３４】
これにより、エージェントプログラム実行部２０４で動作するエージェントはサービス情報格納部１１７に格納されたコンテンツ等の提供を受け、定期的に利用者Ｕに対して取得した情報を通知する等の予め定められた動作を行う。
【０１３５】
なお、エージェントプログラム実行部２０４で動作するエージェントがサービス提供部１０７にアクセスしてサービス情報の提供を受ける場合について説明したが、エージェントはそのプログラムに従って、他のエージェントの登録、起動等の、人の利用者と同様の処理を行うことができる。
【０１３６】
＜総括＞
以上説明したように、本実施形態によれば次のような利点がある。
（１）利用者がネットワークにアクセスしない場合においても、自らの代理となるエージェントが代わりにサービスを代理実行するため、利用者にとってのサービス利用時の効率性と利便性が向上する。
（２）権限委譲者と被委譲者とがセッション情報を共有しないので、両者の存在するネットワークシステム環境に依存せず、分散環境においても安全なアクセス管理を実現できる。
（３）エージェントを人と同様に一人の利用者と扱うことによって、人と同様の認証、認可方式を適用することができ、特別の機能追加が少なくてすむため、システムの導入を低コストで実現できる。
（４）エージェントに対し、利用者の権限の範囲内で委譲する権限を柔軟に制御することができる。
（５）エージェントは登録時にエージェントの管理者情報が管理され、認証、権限委譲などのプロセスを通じて管理され、エージェントの動作はログに記録されているため、エージェントに伴う動作により何らかの問題が発生した場合には、原因を追跡し、責任を課すことができる。
【０１３７】
以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。
【図面の簡単な説明】
【０１３８】
【図１】従来のデータベースアクセス制御のためのシステム構成を示す図である。
【図２】本発明の一実施形態にかかるシステムの構成例を示す図である。
【図３】サービス提供装置の構成例を示す図である。
【図４】サービス提供装置内に格納される各種データの構造例を示す図である。
【図５】エージェント実行装置の構成例を示す図である。
【図６】エージェント実行装置内に格納される各種データの構造例を示す図である。
【図７】利用者登録の処理例を示すシーケンス図である。
【図８】エージェント登録の処理例を示すシーケンス図（その１）である。
【図９】エージェント登録の処理例を示すシーケンス図（その２）である。
【図１０】エージェント起動の処理例を示すシーケンス図である。
【図１１】エージェント実行の処理例を示すシーケンス図である。
【符号の説明】
【０１３９】
１ サービス提供装置
１０１ 登録部
１０２ 認証部
１０３ アクセス制御部
１０４ セッション管理部
１０５ 権限管理部
１０６ 権限委譲部
１０７ サービス提供部
１１１ 利用者情報格納部
１１２ エージェントリスト格納部
１１３ セキュリティポリシ情報格納部
１１４ セッション情報格納部
１１５ 権限情報格納部
１１６ 権限委譲情報格納部
１１７ サービス情報格納部
２ エージェント実行装置
２０１ 登録部
２０２ 認証部
２０３ エージェント管理部
２０４ エージェントプログラム実行部
２０５ 権限管理部
２１１ 利用者情報格納部
２１２ セキュリティポリシ情報格納部
２１３ 権限情報格納部
２１４ エージェント情報格納部
３ 端末装置
３１ ブラウザ
４ ネットワーク
Ｕ 利用者
【技術分野】
【０００１】
本発明は、利用者から権限委譲（Delegation）されたエージェント（Software Agents）によりネットワーク上のサービスにアクセスするための管理技術に関し、認証（Authentication）と認可（Authorization）に伴う権限委譲を実現する技術に関する。
【背景技術】
【０００２】
近年、インターネット等のネットワークの発達に伴い、アプリケーションがサービスとして公開され、利用者が物理的に離れたところでもネットワークを通じてサービスを利用することが可能になってきている。それらのサービスに対するアクセスを所定の利用者だけに制限したい場合、サービスに対してアクセス要求する利用者を認証し、認証済みの利用者の保有する権限に基づいてサービスへの認可判断を行い、アクセス要求を制御するアクセス管理システムが多く実装されている。
【０００３】
ネットワーク上で利用可能なサービスが多くなると、利用者はそれらの様々なサービスを利用するために、それぞれのサービスにアクセス要求し、個別の認証処理を行った後に個別のサービス処理を行うことになり、利用者にとって煩わしさを伴う。
【０００４】
上記のようなサービス毎の個別認証処理を削減する技術としては、一度の認証手続きだけで複数のサービスの利用が可能となるシングルサインオンに関する技術が数多く提案されている。しかし、サインオンした後に、個別のサービスの利用時に利用者が行う処理を削減することはできない。
【０００５】
利用者がアクセス制限の付いたサービスを利用する際に必要となる処理の削減を解決するための従来技術として、特許文献１に開示される技術がある。
【０００６】
図１は特許文献１に開示された従来のデータベースアクセス制御のためのシステム構成を示す図である。
【０００７】
図１においては、ユーザ装置９１とデータベースアクセス制御装置９３と代理処理サーバ装置９７とがネットワーク９２に接続され、データベースアクセス制御装置９３にはデータベース９６が接続されてシステムを構成している。このシステムの動作は次のようになる。
【０００８】
すなわち、ユーザ自らが直接にデータベースにアクセスをするのではなく、ユーザのエージェントとなる代理処理サーバ装置９７がユーザの権限を代わりに持つ。ユーザはユーザ装置９１からデータベースアクセス制御装置９３の仲介処理部９４にアクセスし、認証手続きを行った後、データベースアクセス制御装置９３から認証セッション情報を含むクッキー（cookie）情報を受け取る。
【０００９】
そして、ユーザは、利用可能な代理処理サーバ装置９７のリストを入手し、ユーザが選択した代理処理サーバ装置９７にリダイレクトされ、クッキー情報を持ってアクセスする。
【００１０】
代理処理サーバ装置９７は、ユーザのアクセス時に付加されるクッキー情報からセッション情報を取り出し、クッキー情報を伴って、データベースアクセス制御装置９３に対してユーザの代理でアクセス要求する。
【００１１】
データベースアクセス制御装置９３は、クッキー情報からユーザを特定し、代理処理サーバ装置９７を確認した後、ユーザのアクセス権限を確認し、代理処理サーバ装置９７へのアクセスに対する認可判断を行う。代理処理サーバ装置９７へのアクセスが許可される場合、その代理処理サーバ装置９７は、ユーザの指定した所定のデータ処理をアクセス処理部９５を介してデータベース９６に対して行った後、処理結果をユーザ装置９１に対して返信する。
【００１２】
このように、従来技術では、ユーザ本人とは異なる装置に対してアクセス権限を委譲し、代理アクセスを許可するアクセス管理を行うことによって、利用者の個別サービスに対する処理の削減を実現している。
【特許文献１】国際公開ＷＯ２００５／００６２０４
【発明の開示】
【発明が解決しようとする課題】
【００１３】
従来のシステムは上述した仕組により利用者の個別サービスに対する処理の削減を実現するものであるが、次のような問題点が存在する。
（１）ユーザのサービス利用時の処理の負担が依然として大きい。これは、ユーザがデータベースアクセス制御装置９３にセッションを保持している間でしか、代理処理サーバ装置９７はデータベース９６にアクセスできず、独自処理実行ができないからである。
（２）ドメインをまたがる分散環境においてアクセス管理できない。これは、データベースアクセス制御装置９３と代理処理サーバ装置９７とが異なるドメインに位置するような場合、ユーザの認証セッション情報を含むクッキー情報を両者の間で共有することができないからである。
（３）代理処理サーバ装置９７のアクセスを許可するためのセッション管理が必要となり、そのための導入・管理コストがかかる。これは、代理処理サーバ装置９７からの代理アクセスを共通クッキーによって実現しているため、ユーザのＩＤと関連付けて、その中に含まれる認証セッション情報や代理処理サーバ情報などを管理する必要があるからである。
（４）ユーザが委譲する権限を柔軟に制御することができない。これは、代理処理サーバ装置９７はユーザと同等の権限を有し、権限の内容を細分化することができないからである。
【００１４】
本発明は上記の従来の問題点に鑑み提案されたものであり、その目的とするところは、エージェントが利用者の代理としてしかるべき権限を与えられ、利便性の向上と同時にセキュリティリスクを軽減することのできるエージェントアクセス管理システムを提供することにある。
【課題を解決するための手段】
【００１５】
上記の課題を解決するため、本発明にあっては、請求項１に記載されるように、エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムであって、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段と、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段と、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段と、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段とを備えるエージェントアクセス管理システムを要旨としている。
【００１６】
また、請求項２に記載されるように、請求項１に記載のエージェントアクセス管理システムにおいて、前記アクセス制御手段は、クレデンシャル情報の検証を経て作成されたセッションの確認により認証を行い、要求されたアクションが登録された権限もしくは委譲権限の範囲内であるか否かの確認により権限確認を行うようにすることができる。
【００１７】
また、請求項３に記載されるように、請求項２に記載のエージェントアクセス管理システムにおいて、前記アクセス制御手段は、セッションを示すクッキー情報を伴わないアクセス要求に対し、クレデンシャル情報の検証を行う認証手段へのリダイレクトを行うようにすることができる。
【００１８】
また、請求項４に記載されるように、請求項１乃至３のいずれか一項に記載のエージェントアクセス管理システムにおいて、人を利用者として登録する場合の権限は、対象となるサービスに対応したセキュリティポリシに基づいて決定されるようにすることができる。
【００１９】
また、請求項５に記載されるように、請求項１乃至４のいずれか一項に記載のエージェントアクセス管理システムにおいて、エージェントを利用者として登録する場合の委譲権限は、委譲元の人もしくはエージェントの権限もしくは委譲権限の範囲内で指定されるようにすることができる。
【００２０】
また、請求項６に記載されるように、エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理方法であって、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付工程と、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信工程と、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御工程と、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理工程とを備えるエージェントアクセス管理方法として構成することができる。
【００２１】
また、請求項７に記載されるように、エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムを構成するコンピュータを、エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段、エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段、受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段、エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段として機能させるエージェントアクセス管理プログラムとして構成することができる。
【発明の効果】
【００２２】
本発明のエージェントアクセス管理システムにあっては、エージェントに対し現実世界の利用者と同様にそのアイデンティティを定義し、管理者等の情報を管理し、認証するためのクレデンシャルを発行し、エージェントの認証を可能とすることで、エージェントが利用者の代理としてしかるべき権限を与えられ、利便性の向上と同時にセキュリティリスクを軽減することができる。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の好適な実施形態につき説明する。
【００２４】
＜エージェント＞
エージェント（Software Agent）とは、人の代理となるソフトウェア、あるいは、システムやサーバのような非人間の利用者をいう。本実施形態では、利用者を人とエージェントの２つに分類し、エージェントからのアクセスを許可するシステムとする。エージェントは、エージェントの実行環境で動作する。
【００２５】
エージェントのアイデンティティを構成する属性情報は以下の通りである。
・エージェントＩＤ（Aid）：エージェントの識別子である。
・委譲者（Delegator）：エージェントに権限を委譲した利用者（人、エージェントの両方ありうる）である。
・管理者（Owner）：エージェントの管理者（人）であり、そのエージェントの動作に関連する責任を負う。
・開発者（Developer）：エージェントを開発した利用者（人、人のグループ（会社）等）である。
・実行装置（AgentBase）：エージェントの実行環境であり、その環境を提供する管理者や開発者の情報も含まれる。
【００２６】
エージェントアクセス管理システムには、以下のような管理プロセスが存在する。
【００２７】
登録（Registration）：登録により、エージェントは、正規の利用者として、システムへのアクセスが可能な状態となる。
【００２８】
活性化（Activation）：委譲者からある権限を委譲されることによって、エージェントの権限が決まり、動作可能な状態となる。
【００２９】
認証（Authentication）：サービスアクセス要求時に、１人の利用者として（人と同様に）認証を受ける。
【００３０】
認可（Authorization）：認証を受けた後、委譲された権限を確認して、サービスに対する代理アクセスの認可判断を決定する。
【００３１】
非活性化（Deactivation）：活性化された状態を一時的に解除し、権限委譲された状態を無効にする。
【００３２】
取消（Revocation）：完全に委譲された権限を削除する。
【００３３】
＜構成＞
図２は本発明の一実施形態にかかるシステムの構成例を示す図である。
【００３４】
図２において、本システムは、サービス提供装置１とエージェント実行装置２と端末装置３とがインターネット等のネットワーク４に接続されて構成されている。
【００３５】
サービス提供装置１は、コンテンツ提供等の各種のサービスを提供するサーバ装置である。サービス提供装置１の内部構成については後述する。
【００３６】
エージェント実行装置２は、エージェントの実行環境となるサーバ装置である。エージェント実行装置２の内部構成については後述する。
【００３７】
端末装置３は、利用者（人）Ｕの利用する端末であり、ブラウザ３１によりサービス提供装置１に対してアクセス要求を行い、認証を受け、セッション情報を管理する機能を持つ。また、エージェント実行装置２に対してアクセスし、エージェントを管理する機能を持つ。ブラウザ３１は通常の汎用的なＷｅｂブラウザを想定しており、特別の機能は不要である。
【００３８】
図３はサービス提供装置１の構成例を示す図である。
【００３９】
図３において、サービス提供装置１は、機能部として、登録部１０１と認証部１０２とアクセス制御部１０３とセッション管理部１０４と権限管理部１０５と権限委譲部１０６とサービス提供部１０７とを備えている。また、データ保持部として、利用者情報格納部１１１とエージェントリスト格納部１１２とセキュリティポリシ情報格納部１１３とセッション情報格納部１１４と権限情報格納部１１５と権限委譲情報格納部１１６とサービス情報格納部１１７とを備えている。
【００４０】
各機能部は、サービス提供装置１を構成するコンピュータのＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）等のハードウェア資源上で実行されるコンピュータプログラムによって実現されるものである。なお、各機能部は、単一のコンピュータ上に配置される必要はなく、必要に応じて分散される形態であってもよい。各データ保持部は、サービス提供装置１内のＨＤＤ（Hard Disk Drive）等の記憶媒体上にデータを体系的に保持するものである。
【００４１】
登録部１０１は、利用者（人、エージェント）を登録する機能を有している。人の登録にあっては、利用者ＩＤとクレデンシャル情報（パスワード等の認証に必要とする情報）を発行し、利用者情報格納部１１１に格納する。エージェントの登録にあっては、要求者に対してエージェントＩＤとクレデンシャル情報を発行し、利用者情報格納部１１１に格納する。このとき、要求者は、そのエージェントの所有者（owner）として登録される。なお、ここでは利用者情報格納部１１１を一つのデータベースとしたが、例えば、人とエージェントを別々に管理してもよい。
【００４２】
認証部１０２は、利用者（人、エージェント）からアクセス要求等を受けた際に所定の認証方式に従って認証する機能を有している。認証時には、利用者に対して、必要となるＩＤとクレデンシャル情報の提示を求め、受け取ったＩＤとクレデンシャル情報を、利用者情報格納部１１１にて管理するＩＤ・クレデンシャル情報に照会し、両者が一致するか否かを判断する。
【００４３】
アクセス制御部１０３は、正規の利用者（人、エージェント）に対してのみサービス利用を許可する機能を有している。アクセス時には、ブラウザからクッキー情報が送付されていないのを確認すると、利用者を認証すべく、認証部１０２に対してリダイレクションする認証要求メッセージをアクセス要求元のブラウザに送付する。クッキー情報が送付されている場合は、セッション管理部１０４で管理されるクッキー情報と照合することで認証済であることを確認し、その後の処理につなげる。
【００４４】
セッション管理部１０４は、認証部１０２による利用者（人、エージェント）の認証処理の後、認証に成功した場合に、認証セッションを確立し、その利用者と認証セッションに関する情報を関連付けて、セッション情報格納部１１４に格納して管理する機能を有している。認証セッションが確立した後、その認証セッションを一意に検索可能なセッション識別子を含めたクッキー情報を発行し、返信する。
【００４５】
権限管理部１０５は、利用者（人、エージェント）の権限情報を、権限情報格納部１１５において管理する機能を有している。権限情報は、利用者の属性情報（例えば、利用者のロール）と関連付けられて管理されており、利用者のＩＤがわかれば、それに対応する権限を参照できる。
【００４６】
権限委譲部１０６は、利用者（人、エージェント）からの他の利用者（人、エージェント）に対する権限委譲の機能を有している。権限委譲要求の被委譲者がエージェントの場合、委譲者が人の場合は、その委譲者をそのエージェントの委譲者（delegator）、委譲者がエージェントの場合は、そのエージェントの管理者（owner）を被委譲者であるエージェントの委譲者となるように設定する。
【００４７】
サービス提供部１０７は、個別のアプリケーションサービスを所定のアクセス権限を持つ利用者に対してのみ提供する機能を有している。提供するサービス情報として想定しているのは、一般利用者向けのコンテンツではなく、所定の利用者に対してのみ共有を許可するコンテンツ、例えば、プロジェクト管理による進捗管理等の情報である。
【００４８】
図４はサービス提供装置１内に格納される各種データの構造例を示す図である。（ａ）は利用者情報格納部１１１のデータ構造例を示しており、利用者ＩＤとパスワードとロールを含んでいる。（ｂ）はエージェントリスト格納部１１２のデータ構造例を示しており、エージェント名を含んでいる。（ｃ）はセキュリティポリシ情報格納部１１３のデータ構造例を示しており、サービス名とセキュリティポリシを含んでいる。（ｄ）はセッション情報格納部１１４のデータ構造例を示しており、利用者ＩＤとセッションＩＤとクッキーを含んでいる。（ｅ）は権限情報格納部１１５のデータ構造例を示しており、ロールを含んでいる。（ｆ）は権限委譲情報格納部１１６のデータ構造例を示しており、委譲者ＩＤ（利用者ＩＤ、エージェントＩＤ）と管理者ＩＤ（利用者ＩＤ）とエージェントＩＤとロールを含んでいる。（ｇ）はサービス情報格納部１１７のデータ構造例を示しており、サービス名とサービス情報を含んでいる。
【００４９】
図５はエージェント実行装置２の構成例を示す図である。
【００５０】
図５において、エージェント実行装置２は、機能部として、登録部１０１と、認証部２０２とエージェント管理部２０３とエージェントプログラム実行部２０４と権限管理部２０５とを備えている。また、データ保持部として、利用者情報格納部２１１とセキュリティポリシ情報格納部２１２と権限情報格納部２１３とエージェント情報格納部２１４とを備えている。なお、権限管理部２０５と権限情報格納部２１３はエージェント実行装置２側でロールを考慮した制御を行わない場合には省略してもよい。
【００５１】
各機能部は、エージェント実行装置２を構成するコンピュータのＣＰＵ、ＲＯＭ、ＲＡＭ等のハードウェア資源上で実行されるコンピュータプログラムによって実現されるものである。なお、各機能部は、単一のコンピュータ上に配置される必要はなく、必要に応じて分散される形態であってもよい。各データ保持部は、エージェント実行装置２内のＨＤＤ等の記憶媒体上にデータを体系的に保持するものである。
【００５２】
登録部２０１は、利用者（人）を登録する機能を有している。登録要求を受けると、利用者ＩＤとクレデンシャル情報を発行し、利用者情報格納部２１１に格納する。
【００５３】
認証部２０２は、エージェント実行装置２を利用する利用者を認証する機能を有している。
【００５４】
エージェント管理部２０３は、エージェント実行装置２で動作するエージェントを管理する機能を有している。エージェントはエージェントＩＤにより識別される。エージェントの属性情報として、エージェントＩＤ（aid）、委譲者（delegator）、管理者（owner）、実行装置（agentBase）の情報が管理される。エージェントが、あるサービス提供装置１において登録された際のＩＤ・クレデンシャル情報も同様に管理される。エージェント固有の実行時状態（コンテキスト）を持ち、これらを管理する。コンテキスト情報として、エージェントが、あるサービス提供装置１に対して認証を完了させた後のセッション情報、アクセスログなども同様に管理される。
【００５５】
エージェントプログラム実行部２０４は、エージェントがエージェント実行装置２において、所定のエージェントプログラムを実行する際に、その動作を制御するとともに、実行環境を提供する機能を有している。エージェントの個別のプログラム実行時に、権限情報格納部２１３において管理するエージェントごとの権限情報と、セキュリティポリシ情報格納部２１２において管理するエージェント実行装置２におけるセキュリティポリシを参照して、その実行に対する認可判断を行った上で、権限とセキュリティポリシに矛盾がない場合にのみ、エージェントの実行を許可するようにすることができる。
【００５６】
図６はエージェント実行装置２内に格納される各種データの構造例を示す図である。（ａ）は利用者情報格納部２１１のデータ構造例を示しており、利用者ＩＤとパスワードとロールを含んでいる。（ｂ）はセキュリティポリシ情報格納部２１２のデータ構造例を示しており、サービス名とセキュリティポリシを含んでいる。（ｃ）は権限情報格納部２１３のデータ構造例を示しており、ロールを含んでいる。（ｄ）はエージェント情報格納部２１４のデータ構造例を示しており、エージェントＩＤと委譲者ＩＤ（利用者ＩＤ、エージェントＩＤ）と管理者ＩＤ（利用者ＩＤ）と実行装置とエージェントプログラム本体とを含んでいる。
【００５７】
＜動作：利用者登録＞
図７は利用者登録の処理例を示すシーケンス図である。
【００５８】
図７において、利用者Ｕは、端末装置３のブラウザ３１から、サービス提供装置１の登録部１０１に対して、利用するサービス名を指定した利用者登録要求を行う（ステップＳ１０１）。
【００５９】
登録部１０１は、セキュリティポリシ情報格納部１１３に対して、利用者Ｕにより指定されたサービス名に関連するセキュリティポリシを要求する（ステップＳ１０２）。このセキュリティポリシ要求に応じ、セキュリティポリシ情報格納部１１３は、登録部１０１に対して、指定されたサービス名に関連するセキュリティポリシを返信する（ステップＳ１０３）。
【００６０】
サービス提供装置１の管理者は、返信された関連セキュリティポリシを参照の上、利用者登録要求を行った利用者Ｕが適切な利用者であることを確認し、適切な利用者である場合に、利用者Ｕがサービス提供装置１にアクセスするための利用者ＩＤおよびパスワードを発行する。そして、登録部１０１は、これらの情報に基づき、利用者情報格納部１１１にアカウントの生成および登録を要求する（ステップＳ１０４）。利用者情報格納部１１１はアカウントの生成および登録を行った上で、登録部１０１に対して、利用者Ｕのアカウント生成（登録）が完了した旨を通知する（ステップＳ１０５）。
【００６１】
次いで、登録部１０１は、権限管理部１０５に対し、サービス提供装置１の利用者に関連するロールリスト要求を行う（ステップＳ１０６）。これに応じ、権限管理部１０５は、権限情報格納部１１５に対し、ロールリストを要求する（ステップＳ１０７）。権限情報格納部１１５は、権限管理部１０５に対して、ロールリストを返信する（ステップＳ１０８）。権限管理部１０５は、ロールリストを登録部１０１に返信する（ステップＳ１０９）。
【００６２】
サービス提供装置１の管理者は、既に取得した関連セキュリティポリシを参照の上、利用者登録要求を行った利用者Ｕに適切なロールを確認する。ここで、適切なロールがロールリストに含まれていない場合、権限管理部１０５に対して、しかるべき権限を関連付けるロール作成要求を行う（ステップＳ１１０）。これに応じ、権限管理部１０５は、権限情報格納部１１５に対して、ロールの作成要求を行う（ステップＳ１１１）。権限情報格納部１１５は、新規ロールを作成して格納し、その処理の完了通知を権限管理部１０５に返信する（ステップＳ１１２）。権限管理部１０５は、登録部１０１に対して、更新されたロールリストを伴うロール作成完了通知を返送する（ステップＳ１１３）。
【００６３】
サービス提供装置１の管理者は、更新されたロールリストから適切なロールを選択し、登録部１０１により、権限管理部１０５に対し、利用者Ｕに関連付けたロール登録要求を行う（ステップＳ１１４）。これに応じ、権限管理部１０５は、利用者情報格納部１１１に対して、利用者Ｕに関連する情報としてロール情報の格納を要求する（ステップＳ１１５）。利用者情報格納部１１１はロール情報の格納を行い、権限管理部１０５に対して、ロール情報の登録完了通知を送付する（ステップＳ１１６）。権限管理部１０５は、登録部１０１に対して、ロール登録完了通知を返信する（ステップＳ１１７）。
【００６４】
ロール登録完了通知を受け、登録部１０１は、ブラウザ３１に対して、利用者Ｕの利用者ＩＤ、パスワードおよびロールを通知する応答を行う（ステップＳ１１８）。利用者Ｕはブラウザ３１からいったんログアウトを行う。
【００６５】
利用者Ｕは、エージェント実行装置２に対しても、上記の処理と同様に利用者登録要求を行う。この場合、図７における登録部１０１は登録部２０１に、セキュリティポリシ情報格納部１１３は権限情報格納部２１３に、利用者情報格納部１１１は利用者情報格納部２１１に、権限情報格納部１１５は権限管理部２０５と読み替えればよい。なお、エージェント実行装置２側でロールを考慮した制御を行わない場合は、ロールについての処理（ステップＳ１０６〜Ｓ１１７）を省略し、ロールの返送を行わないようにすることができる。
【００６６】
＜動作：エージェント登録＞
図８および図９はエージェント登録の処理例を示すシーケンス図であり、図７に示した利用者登録を済ませた利用者Ｕの操作により行われる処理である。
【００６７】
図８において、利用者登録を済ませた利用者Ｕは、端末装置３のブラウザ３１からサービス提供装置１のアクセス制御部１０３に対してアクセス要求を行う（ステップＳ２０１）。
【００６８】
アクセス制御部１０３は正規利用者に対してのみサービス利用を許可するアクセス制限を行っており、ブラウザ３１からクッキー情報が送付されていないのを確認すると、利用者を認証すべく、認証部１０２に対してリダイレクションする認証要求メッセージをブラウザ３１に送付する（ステップＳ２０２）。
【００６９】
認証要求メッセージを受信したブラウザ３１は、当該メッセージに含まれる送付先である認証部１０２のＵＲＬ（Uniform Resource Locator）に対して、メッセージをリダイレクトする（ステップＳ２０３）。
【００７０】
認証部１０２は、アクセスしてきたブラウザ３１の利用者を認証するために、登録したクレデンシャル情報（利用者ＩＤおよびパスワード）の入力を要求する（ステップＳ２０４）。
【００７１】
利用者Ｕは、利用者ＩＤとパスワードをブラウザ３１に対して入力し、ブラウザ３１は認証部１０２に対して利用者ＩＤとパスワードを返信する（ステップＳ２０５）。
【００７２】
認証部１０２は、利用者Ｕから送付された利用者ＩＤとパスワードが適切であるか否かを確認するために、利用者情報格納部１１１に対して、受信した利用者ＩＤとパスワードを伴ったクレデンシャル検証要求を行う（ステップＳ２０６）。利用者情報格納部１１１は、検証要求された利用者ＩＤとパスワードが適切であるか否か、格納している利用者ＩＤとパスワードを照会し、結果（ＯＫ／ＮＧ）を認証部１０２に対して送付する（ステップＳ２０７）。
【００７３】
クレデンシャルの検証結果がＯＫの場合、セッションクッキーを発行すべく、認証部１０２は、セッション管理部１０４に対して、利用者ＩＤを含めたセッション登録要求を行う（ステップＳ２０８）。
【００７４】
セッション管理部１０４は、利用者ＩＤに対する新しいセッションを生成し、また、そのセッション情報を識別するセッションＩＤと、そのセッションＩＤと関連付けたクッキーを発行して、セッション情報格納部１１４に登録要求する（ステップＳ２０９）。セッション情報格納部１１４は、セッションＩＤとクッキーの登録を行った上で、セッション登録応答（ＯＫ／ＮＧ）をセッション管理部１０４に返送する（ステップＳ２１０）。セッション管理部１０４は、セッション情報格納部１１４において登録したクッキー情報を認証部１０２に対して返送する（ステップＳ２１１）。
【００７５】
認証部１０２は、ブラウザ３１に対して、アクセス制御部１０３に再度クッキー付きのアクセス要求を行う旨のリダイレクト要求メッセージとしてクッキー情報を送付する（ステップＳ２１２）。
【００７６】
ブラウザ３１は、リダイレクト要求メッセージを受信し、受け取ったクッキー情報を含めたアクセス要求メッセージをアクセス制御部１０３に対して送付する（ステップＳ２１３）。
【００７７】
アクセス制御部１０３は、アクセス要求メッセージにクッキー情報が含まれていることを確認し、そのクッキー情報に関連付けられた利用者のセッションが存在するか否かを確認するための認証確認要求を、セッション管理部１０４に対して行う（ステップＳ２１４）。
【００７８】
セッション管理部１０４は、セッション情報格納部１１４に対して、クッキー情報に関連づいたセッションおよび利用者が存在するか検索すべく、クッキー情報をキーとする利用者ＩＤ要求を行う（ステップＳ２１５）。セッション情報格納部１１４は、検索を実行し、セッション管理部１０４に対して、クッキー情報に関連付けて格納された利用者ＩＤを返信する（ステップＳ２１６）。セッション管理部１０４は、アクセス制御部１０３に対して、利用者ＩＤを応答とする認証確認応答を送付する（ステップＳ２１７）。
【００７９】
アクセス制御部１０３は、利用者ＩＤのロール情報を入手すべく、利用者情報格納部１１１に対して、利用者ＩＤを含めたロール要求を行う（ステップＳ２１８）。利用者情報格納部１１１は、利用者ＩＤに関連付けて格納されるロール情報を取得し、アクセス制御部１０３に対して返送する（ステップＳ２１９）。
【００８０】
アクセス制御部１０３は、取得したロール情報と、プロジェクト管理サービスを実行するための所定のアクション情報（ここでは、サービストップページへのアクセス）とを含めて、権限管理部１０５に対して、そのアクションをそのロールにおいて実行可能か否かの認可判断要求を送付する（ステップＳ２２０）。
【００８１】
権限管理部１０５は、そのロールにそのアクションを行う権限があるか否か、権限情報格納部１１５を照会する（ステップＳ２２１）。権限情報格納部１１５は、要求されたロールに対して規定される認可されたアクションのリストに要求されたアクションが含まれていればＯＫを、権限管理部１０５に対して応答する（ステップＳ２２２）。権限管理部１０５は、アクセス制御部１０３に対して、権限照会の結果を認可判断応答として返答する（ステップＳ２２３）。アクセス制御部１０３は、サービス提供部１０７に対し、認可判断応答を転送する（ステップＳ２２４）。
【００８２】
これを受け、サービス提供部１０７は、アクセス制御部１０３からの認可判断検証の結果がＯＫであれば、アクセスが許可されたものとみなし、サービストップページをアクセス制御部１０３に対して送付する（ステップＳ２２５）。アクセス制御部１０３はサービストップページをブラウザ３１に転送する（ステップＳ２２６）。一方、ＮＧであれば、アクセスは否認されたものとして、サービスが提供できない旨を通知する。
【００８３】
次に、図９において、利用者Ｕは、サービストップページを参照して、権限委譲可能なエージェントのリストの参照要求を行う（ステップＳ２２７）。サービス提供部１０７は、登録部１０１に対して、エージェント参照要求を転送する（ステップＳ２２８）。
【００８４】
登録部１０１は、エージェントリスト格納部１１２に対して、エージェントリストを要求する（ステップＳ２２９）。エージェントリスト格納部１１２は、登録部１０１に対して、エージェントリストを返送する（ステップＳ２３０）。
【００８５】
登録部１０１は、エージェントリストをサービス提供部１０７に対して返送し（ステップＳ２３１）、サービス提供部１０７は、利用者Ｕのブラウザ３１に対して、エージェントリストの画面を表示する（ステップＳ２３２）。
【００８６】
利用者Ｕは、表示されたエージェントリストから権限委譲すべきエージェントの種類を選択し、そのエージェントに対する権限委譲要求を行う（ステップＳ２３３）。この要求メッセージには、クッキー情報のほかに、選択したエージェント名と、委譲すべき権限と関連付けられるロールを含める。このロールは、利用者本人のロールと関連付けられたロールのサブセットを指定する。
【００８７】
サービス提供部１０７は、ブラウザ３１からのエージェント権限委譲要求を受け、登録部１０１に対して、権限委譲するエージェント名を指定したエージェント登録要求を送付する（ステップＳ２３４）。
【００８８】
エージェント登録要求を受けた登録部１０１は、そのエージェントに対応するパスワードを発行した上で、利用者情報格納部１１１に対して、発行したパスワードを含むアカウントの生成および登録の要求を行う（ステップＳ２３５）。利用者情報格納部１１１は、アカウントを新規作成し、当該アカウントに対応するエージェントＩＤを割り当て、指定されたパスワードを登録し、登録部１０１に対して、エージェントＩＤを含めたアカウント生成完了通知を送付する（ステップＳ２３６）。
【００８９】
登録部１０１は、権限管理部１０５に対して、エージェントＩＤとロールを伴うロール登録要求を行う（ステップＳ２３７）。
【００９０】
権限管理部１０５は、利用者情報格納部１１１に対して、エージェントＩＤにロールを関連付けて登録するよう要求する（ステップＳ２３８）。利用者情報格納部１１１は、ロールの登録を行い、権限管理部１０５に対して、ロール登録完了通知を返信する（ステップＳ２３９）。権限管理部１０５は、登録部１０１に対して、ロール登録完了通知を転送する（ステップＳ２４０）。
【００９１】
登録部１０１は、サービス提供部１０７に対して、エージェントＩＤとパスワードを含めたエージェント登録完了応答を行う（ステップＳ２４１）。
【００９２】
サービス提供部１０７は、権限委譲部１０６に対して、権限委譲要求を行う（ステップＳ２４２）。
【００９３】
権限委譲部１０６は、権限委譲情報格納部１１６に対して、権限委譲情報（利用者ＩＤ、エージェントＩＤ、ロール）の登録要求を行う（ステップＳ２４３）。権限委譲情報格納部１１６は、権限委譲情報の登録を行い、権限委譲部１０６に対して、権限委譲情報登録応答を行う（ステップＳ２４４）。権限委譲部１０６は、サービス提供部１０７に対して、権限委譲情報登録応答を転送する（ステップＳ２４５）。
【００９４】
サービス提供部１０７は、エージェント権限委譲要求に対する応答として、登録したエージェントＩＤとそのパスワードをブラウザ３１に対して返信する（ステップＳ２４６）。
【００９５】
なお、利用者Ｕ（人）がブラウザ３１からエージェント登録を行う場合について説明したが、エージェントが利用者として他のエージェントの登録を行うこともできる。
【００９６】
＜動作：エージェント起動＞
図１０はエージェント起動の処理例を示すシーケンス図である。
【００９７】
図１０において、利用者Ｕは、エージェント実行装置２のエージェント管理部２０３にアクセス要求する（ステップＳ３０１）。
【００９８】
エージェント管理部２０３は、利用者Ｕを認証すべく、認証部２０２に対してリダイレクションする認証要求メッセージをブラウザ３１に送付する（ステップＳ３０２）。
【００９９】
認証要求メッセージを受信したブラウザ３１は、当該メッセージに含まれる送付先である認証部２０２のＵＲＬに対して、メッセージをリダイレクトする（ステップＳ３０３）。
【０１００】
認証部２０２は、利用者Ｕのブラウザ３１に対して、エージェント管理サービスを利用するための認証として、クレデンシャルの入力を求める（ステップＳ３０４）。
【０１０１】
利用者Ｕは、クレデンシャルとして、自らのＩＤとパスワードを入力し、ブラウザ３１はこれを認証部２０２に送信する（ステップＳ３０５）。
【０１０２】
認証部２０２は、利用者Ｕから受け取ったＩＤとパスワードを利用者情報格納部２１１に送付し、正規の利用者であるか否かを検証するためのクレデンシャル検証要求を行う（ステップＳ３０６）。
【０１０３】
利用者情報格納部２１１は、検証要求された利用者ＩＤとパスワードが適切であるか否か、格納している利用者ＩＤとパスワードを照会し、結果（ＯＫ／ＮＧ）を認証部２０２に対して送付する（ステップＳ３０７）。
【０１０４】
認証部２０２は、クレデンシャルの検証結果がＯＫの場合、クッキー情報を含む認証応答を利用者Ｕのブラウザ３１に対して返信する（ステップＳ３０８）。
【０１０５】
ブラウザ３１は、認証応答をエージェント管理部２０３に対してリダイレクトし、クッキー情報を含めたアクセス要求メッセージとして再度送付する（ステップＳ３０９）。
【０１０６】
エージェント管理部２０３は、アクセス要求に対する応答メッセージをブラウザ３１に対して返信する（ステップＳ３１０）。これにより、利用者Ｕは、認証が完了し、エージェント管理部２０３が利用可能となる。
【０１０７】
利用者Ｕは、エージェント管理部２０３の表示する画面から、起動可能なエージェントリストを表示するための要求を行う（ステップＳ３１１）。
【０１０８】
エージェント管理部２０３は、エージェント情報格納部２１４に対して、格納されているエージェント情報のリストを要求する（ステップＳ３１２）。
【０１０９】
エージェント情報格納部２１４は、エージェント管理部２０３からの要求に基づき、エージェント情報のリストを返信する（ステップＳ３１３）。
【０１１０】
エージェント管理部２０３は、エージェント情報格納部２１４からの返信結果に基づき、起動可能なエージェントリストをブラウザ３１に対して送付する（ステップＳ３１４）。
【０１１１】
利用者Ｕは、起動可能なエージェントリストから、既にエージェント登録してあるエージェント名を選択し、エージェントプログラム実行部２０４に対して、エージェント登録に伴って取得したエージェントＩＤとそのパスワードを指定して、エージェントの作成要求を行う（ステップＳ３１５）。エージェントＩＤとパスワードはエージェント内に設定され、後にサービス提供装置１の認証部１０２にアクセスする際に用いられる。
【０１１２】
エージェントプログラム実行部２０４は、利用者Ｕが指定したエージェントのプログラムをロードするようにエージェント情報格納部２１４に対して要求する（ステップＳ３１６）。
【０１１３】
エージェント情報格納部２１４は、要求されたエージェントプログラムをエージェントプログラム実行部２０４に対して送付する（ステップＳ３１７）。
【０１１４】
エージェントプログラム実行部２０４は、取得したエージェントプログラムに対して、利用者Ｕから送付されたエージェントＩＤとパスワードを関連付けてエージェントを生成し、ブラウザ３１に対してエージェント生成の結果を通知する（ステップＳ３１８）。
【０１１５】
利用者Ｕは、エージェントが生成されたことを確認し、エージェントのエージェントＩＤを指定し、エージェント起動要求を行う（ステップＳ３１９）。
【０１１６】
エージェントプログラム実行部２０４は、要求されたエージェントを起動し、その結果をブラウザ３１に対して通知する（ステップＳ３２０）。
【０１１７】
なお、利用者Ｕ（人）がブラウザ３１からエージェント起動を行う場合について説明したが、エージェントが利用者として他のエージェントの起動を行うこともできる。
【０１１８】
＜動作：エージェント実行＞
図１１はエージェント実行の処理例を示すシーケンス図である。
【０１１９】
エージェント実行装置２で起動したエージェントは、自らのプログラムに基づき、サービス提供装置１のプログラム管理サービスへのアクセスを試みる。
【０１２０】
図１１において、先ず、エージェントプログラム実行部２０４で動作するエージェントは、サービス提供装置１の認証部１０２に対して認証要求メッセージを送付する（ステップＳ４０１）。エージェントプログラム実行部２０４で動作するエージェントからアクセス制御部１０３にアクセスし、認証部１０２にリダイレクトされるようにしてもよい。
【０１２１】
認証要求を受けた認証部１０２は、エージェントプログラム実行部２０４で動作するエージェントに対して、プログラム管理サービスを利用するためのクレデンシャルの入力を要求する（ステップＳ４０２）。
【０１２２】
エージェントプログラム実行部２０４で動作するエージェントは、既に利用者Ｕが設定したエージェントＩＤとパスワードを認証部１０２に対して送付する（ステップＳ４０３）。
【０１２３】
認証部１０２は、エージェントから送付されたエージェントＩＤとパスワードを利用者情報格納部１１１に対して送付し、検証するよう要求する（ステップＳ４０４）。利用者情報格納部１１１は、エージェントＩＤとパスワードが適切であるか否かを、格納されている利用者情報と照合して検証し、その結果を認証部１０２に対して返信する（ステップＳ４０５）。
【０１２４】
認証部１０２は、指定されたエージェントＩＤに対応するエージェントのセッションを確立すべく、セッション登録要求をセッション管理部１０４に対して送付する（ステップＳ４０６）。
【０１２５】
セッション管理部１０４は、セッション登録要求を受け、新たなセッションを生成し、そのセッションに対して、エージェントＩＤとセッションＩＤとクッキー情報を関連付けて格納するように、セッション情報格納部１１４に対してセッション登録要求する（ステップＳ４０７）。セッション情報格納部１１４は、指定されたエージェントＩＤとセッションＩＤとクッキー情報を関連付けて格納し、その結果をセッション管理部１０４に返信する（ステップＳ４０８）。
【０１２６】
セッション管理部１０４は、新たに生成したクッキー情報を含めて、セッション登録に対する応答メッセージを認証部１０２に対して行う（ステップＳ４０９）。認証部１０２は、クッキー情報をエージェントプログラム実行部２０４で動作するエージェントに対して返信し、認証応答とする（ステップＳ４１０）。これによって、エージェントプログラム実行部２０４で動作するエージェントは、認証部１０２に対する認証を完了する。
【０１２７】
次いで、エージェントプログラム実行部２０４で動作するエージェントは、アクセス制御部１０３に対して、利用者Ｕの代理として、プロジェクト情報要求を行う（ステップＳ４１１）。ここで、既に認証済みである旨を示すクッキー情報を含める。
【０１２８】
アクセス制御部１０３は、受信したクッキー情報を含めて、セッション管理部１０４に対して、プロジェクト情報要求の要求主体が、既に認証済みであるか否かを確認すべく、認証確認要求を行う（ステップＳ４１２）。
【０１２９】
セッション管理部１０４は、セッション情報格納部１１４に対して、クッキー情報を含めて、利用者ＩＤ要求を行う（ステップＳ４１３）。セッション情報格納部１１４は、クッキー情報をキーとして、関連付けて格納しているエージェントＩＤを取得し、セッション管理部１０４に対して返信する（ステップＳ４１４）。セッション管理部１０４は、エージェントＩＤを含めて、アクセス制御部１０３に対して、認証確認応答を行う（ステップＳ４１５）。
【０１３０】
アクセス制御部１０３は、受け取ったエージェントＩＤと、エージェントが実行することを要求するアクション（ここでは、サービス情報へのアクセス）を含めて、権限委譲認可判断要求を権限委譲部１０６に対して送付する（ステップＳ４１６）。
【０１３１】
権限委譲部１０６は、エージェントＩＤとアクションを含めて、エージェントがそのアクションを実行するに足る権限を委譲されているか否かの検証を行うべく、権限委譲情報格納部１１６に対して権限照会を行う（ステップＳ４１７）。権限委譲情報格納部１１６は、エージェントＩＤと関連付けて格納するロールを参照し、アクションと照合し、そのエージェントにアクションを実行する権限を有するか否かの応答を行う（ステップＳ４１８）。権限委譲部１０６は、権限委譲情報格納部１１６からの応答を元にして、権限委譲の認可判断応答を、アクセス制御部１０３に対して行う（ステップＳ４１９）。
【０１３２】
アクセス制御部１０３は、認可判断検証結果の応答を、サービス提供部１０７に対して送付する（ステップＳ４２０）。
【０１３３】
サービス提供部１０７は、認可判断検証結果を元にして、もしエージェントがサービス情報へのアクセス権限を有する場合には、要求されたサービス情報をアクセス制御部１０３に対して送付する（ステップＳ４２１）。アクセス制御部１０３はサービス情報をエージェントプログラム実行部２０４で動作するエージェントに対して転送する（ステップＳ４２２）。
【０１３４】
これにより、エージェントプログラム実行部２０４で動作するエージェントはサービス情報格納部１１７に格納されたコンテンツ等の提供を受け、定期的に利用者Ｕに対して取得した情報を通知する等の予め定められた動作を行う。
【０１３５】
なお、エージェントプログラム実行部２０４で動作するエージェントがサービス提供部１０７にアクセスしてサービス情報の提供を受ける場合について説明したが、エージェントはそのプログラムに従って、他のエージェントの登録、起動等の、人の利用者と同様の処理を行うことができる。
【０１３６】
＜総括＞
以上説明したように、本実施形態によれば次のような利点がある。
（１）利用者がネットワークにアクセスしない場合においても、自らの代理となるエージェントが代わりにサービスを代理実行するため、利用者にとってのサービス利用時の効率性と利便性が向上する。
（２）権限委譲者と被委譲者とがセッション情報を共有しないので、両者の存在するネットワークシステム環境に依存せず、分散環境においても安全なアクセス管理を実現できる。
（３）エージェントを人と同様に一人の利用者と扱うことによって、人と同様の認証、認可方式を適用することができ、特別の機能追加が少なくてすむため、システムの導入を低コストで実現できる。
（４）エージェントに対し、利用者の権限の範囲内で委譲する権限を柔軟に制御することができる。
（５）エージェントは登録時にエージェントの管理者情報が管理され、認証、権限委譲などのプロセスを通じて管理され、エージェントの動作はログに記録されているため、エージェントに伴う動作により何らかの問題が発生した場合には、原因を追跡し、責任を課すことができる。
【０１３７】
以上、本発明の好適な実施の形態により本発明を説明した。ここでは特定の具体例を示して本発明を説明したが、特許請求の範囲に定義された本発明の広範な趣旨および範囲から逸脱することなく、これら具体例に様々な修正および変更を加えることができることは明らかである。すなわち、具体例の詳細および添付の図面により本発明が限定されるものと解釈してはならない。
【図面の簡単な説明】
【０１３８】
【図１】従来のデータベースアクセス制御のためのシステム構成を示す図である。
【図２】本発明の一実施形態にかかるシステムの構成例を示す図である。
【図３】サービス提供装置の構成例を示す図である。
【図４】サービス提供装置内に格納される各種データの構造例を示す図である。
【図５】エージェント実行装置の構成例を示す図である。
【図６】エージェント実行装置内に格納される各種データの構造例を示す図である。
【図７】利用者登録の処理例を示すシーケンス図である。
【図８】エージェント登録の処理例を示すシーケンス図（その１）である。
【図９】エージェント登録の処理例を示すシーケンス図（その２）である。
【図１０】エージェント起動の処理例を示すシーケンス図である。
【図１１】エージェント実行の処理例を示すシーケンス図である。
【符号の説明】
【０１３９】
１ サービス提供装置
１０１ 登録部
１０２ 認証部
１０３ アクセス制御部
１０４ セッション管理部
１０５ 権限管理部
１０６ 権限委譲部
１０７ サービス提供部
１１１ 利用者情報格納部
１１２ エージェントリスト格納部
１１３ セキュリティポリシ情報格納部
１１４ セッション情報格納部
１１５ 権限情報格納部
１１６ 権限委譲情報格納部
１１７ サービス情報格納部
２ エージェント実行装置
２０１ 登録部
２０２ 認証部
２０３ エージェント管理部
２０４ エージェントプログラム実行部
２０５ 権限管理部
２１１ 利用者情報格納部
２１２ セキュリティポリシ情報格納部
２１３ 権限情報格納部
２１４ エージェント情報格納部
３ 端末装置
３１ ブラウザ
４ ネットワーク
Ｕ 利用者
【特許請求の範囲】
【請求項１】
エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムであって、
エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段と、
エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段と、
受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段と、
エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段と
を備えたことを特徴とするエージェントアクセス管理システム。
【請求項２】
請求項１に記載のエージェントアクセス管理システムにおいて、
前記アクセス制御手段は、クレデンシャル情報の検証を経て作成されたセッションの確認により認証を行い、要求されたアクションが登録された権限もしくは委譲権限の範囲内であるか否かの確認により権限確認を行う
ことを特徴とするエージェントアクセス管理システム。
【請求項３】
請求項２に記載のエージェントアクセス管理システムにおいて、
前記アクセス制御手段は、セッションを示すクッキー情報を伴わないアクセス要求に対し、クレデンシャル情報の検証を行う認証手段へのリダイレクトを行う
ことを特徴とするエージェントアクセス管理システム。
【請求項４】
請求項１乃至３のいずれか一項に記載のエージェントアクセス管理システムにおいて、
人を利用者として登録する場合の権限は、対象となるサービスに対応したセキュリティポリシに基づいて決定される
ことを特徴とするエージェントアクセス管理システム。
【請求項５】
請求項１乃至４のいずれか一項に記載のエージェントアクセス管理システムにおいて、
エージェントを利用者として登録する場合の委譲権限は、委譲元の人もしくはエージェントの権限もしくは委譲権限の範囲内で指定される
ことを特徴とするエージェントアクセス管理システム。
【請求項６】
エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理方法であって、
エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付工程と、
エージェントから識別子およびクレデンシャル情報を受信する認証情報受信工程と、
受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御工程と、
エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理工程と
を備えたことを特徴とするエージェントアクセス管理方法。
【請求項７】
エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムを構成するコンピュータを、
エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段、
エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段、
受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段、
エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段
として機能させるエージェントアクセス管理プログラム。
【請求項１】
エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムであって、
エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段と、
エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段と、
受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段と、
エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段と
を備えたことを特徴とするエージェントアクセス管理システム。
【請求項２】
請求項１に記載のエージェントアクセス管理システムにおいて、
前記アクセス制御手段は、クレデンシャル情報の検証を経て作成されたセッションの確認により認証を行い、要求されたアクションが登録された権限もしくは委譲権限の範囲内であるか否かの確認により権限確認を行う
ことを特徴とするエージェントアクセス管理システム。
【請求項３】
請求項２に記載のエージェントアクセス管理システムにおいて、
前記アクセス制御手段は、セッションを示すクッキー情報を伴わないアクセス要求に対し、クレデンシャル情報の検証を行う認証手段へのリダイレクトを行う
ことを特徴とするエージェントアクセス管理システム。
【請求項４】
請求項１乃至３のいずれか一項に記載のエージェントアクセス管理システムにおいて、
人を利用者として登録する場合の権限は、対象となるサービスに対応したセキュリティポリシに基づいて決定される
ことを特徴とするエージェントアクセス管理システム。
【請求項５】
請求項１乃至４のいずれか一項に記載のエージェントアクセス管理システムにおいて、
エージェントを利用者として登録する場合の委譲権限は、委譲元の人もしくはエージェントの権限もしくは委譲権限の範囲内で指定される
ことを特徴とするエージェントアクセス管理システム。
【請求項６】
エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理方法であって、
エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付工程と、
エージェントから識別子およびクレデンシャル情報を受信する認証情報受信工程と、
受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御工程と、
エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理工程と
を備えたことを特徴とするエージェントアクセス管理方法。
【請求項７】
エージェントに対する認証処理を含めた手続処理の代理を管理するエージェントアクセス管理システムを構成するコンピュータを、
エージェント利用者からのエージェント情報として、識別子、クレデンシャル情報および委譲権限を登録することによりエージェントに権限委譲を行う権限委譲受付手段、
エージェントから識別子およびクレデンシャル情報を受信する認証情報受信手段、
受信した識別子およびクレデンシャル情報に基づいて認証処理および権限確認を行うアクセス制御手段、
エージェントからの指示に基づいて、該エージェントに対応した委譲権限の範囲内で所定の手続処理を受け付けるエージェント管理手段
として機能させるエージェントアクセス管理プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２０１０−１２２７９８（Ｐ２０１０−１２２７９８Ａ）
【公開日】平成２２年６月３日（２０１０．６．３）
【国際特許分類】
【出願番号】特願２００８−２９４４３２（Ｐ２００８−２９４４３２）
【出願日】平成２０年１１月１８日（２００８．１１．１８）
【出願人】（５００２５７３００）ヤフー株式会社 (1,128)
【Ｆターム（参考）】
【公開日】平成２２年６月３日（２０１０．６．３）
【国際特許分類】
【出願日】平成２０年１１月１８日（２００８．１１．１８）
【出願人】（５００２５７３００）ヤフー株式会社 (1,128)
【Ｆターム（参考）】
[ Back to top ]