サービス管理システム及び方法
【課題】正規の登録利用者に対して適正なサービス提供が行われるようにしたサービス管理システム及び方法を提供する。
【解決手段】ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理システムであって、管理装置においてサービス装置について秘密鍵及び公開鍵を予め作成して保持し、サービス装置において暗号化された秘密鍵を自身のパスワードによって復号し、端末装置において第２認証情報送信手段からの暗号化された秘密鍵を自身のパスワードによって復号し、各々復号された秘密鍵を少なくとも用いて端末装置とサービス装置との間で通信を可能にする。
【解決手段】ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理システムであって、管理装置においてサービス装置について秘密鍵及び公開鍵を予め作成して保持し、サービス装置において暗号化された秘密鍵を自身のパスワードによって復号し、端末装置において第２認証情報送信手段からの暗号化された秘密鍵を自身のパスワードによって復号し、各々復号された秘密鍵を少なくとも用いて端末装置とサービス装置との間で通信を可能にする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク内においてサービス装置からサービスの提供を受ける端末装置の顧客及び顧客毎のサービス内容を管理するサービス管理システムに関する。
【背景技術】
【０００２】
従来、ネットワーク内において端末装置を利用してサービスの提供を受けることを望む顧客（グループを含む）を登録してその登録顧客に対して予め定められたサービス提供をするように管理を行うサービス管理システムが知られている。このサービス管理システムの機能としては、ネットワークを介する認証情報の生成発行機能、その認証情報を用いたサービスの処理実行の許否処理機能、サービスの起動方法に関するものであった。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記のサービス管理システムにおいては、登録されている顧客がサービスの処理実行の許否情報を個人権限によりネットワークを介して変更することが不可能である。
【０００４】
顧客及びサービスの秘密鍵は管理装置が一括管理を行い、顧客及びサービスに秘密鍵を暗号化してネットワーク上を送信する。この動作は利用者が秘密鍵を暗号化したパスワードを記憶しておくだけで良いと言う利点が存在する。しかしながら、ＩＣカードなどの秘密鍵を容易に保持できるデバイスを利用したい場合には、秘密鍵管理装置に預けることや暗号化されて秘密鍵がネットワーク上を流れることはセキュリティ上問題である。
【０００５】
また、登録されている顧客（グループを含む）が削除された場合、管理装置は該当顧客を削除するだけでなく、サービスの処理実行の許否情報も変更する。そのため、端末装置が管理装置から証明書を獲得する場合には、最新の情報になるべきである。しかしながら、既に利用装置が保持しているサービスの処理実行を許可する証明書は破棄されない。すなわち、不正にサービスの処理が実行される可能性がある。
【０００６】
更に、サービスの処理実行の許否情報に新たな顧客が追加された場合には、サービスの処理実行が可能な証明書が発行される。その証明書では他のサービスの処理が実行されてはならないため、その証明書は認証装置の連鎖を持たない。すなわち、利用制限は設けず、利用している利用者のみ確認したい場合でも必ず管理装置に登録しなければならない。
【０００７】
そこで、本発明の目的は、正規の登録利用者に対して適正なサービス提供が行われるようにしたサービス管理システム及び方法を提供することである。
【課題を解決するための手段】
【０００８】
本発明のサービス管理システムは、ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理システムであって、前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持する発行保存手段と、前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信する手段と、前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信する第１認証情報送信手段と、前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号する第１復号手段と、前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信する手段と、前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信する第２認証情報送信手段と、前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号する第２復号手段と、前記第１及び第２復号手段によって各々復号された秘密鍵を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にする手段と、を備えたことを特徴としている。
【０００９】
本発明のサービス管理方法は、ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理方法であって、前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持し、前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信し、前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信し、前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号し、前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信し、前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信し、前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号し、その復号された秘密鍵各々を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にすることを特徴としている。
【発明の効果】
【００１０】
本発明によれば、正規の登録利用者に対して適正なサービス提供を行うことができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施例を図面を参照しつつ詳細に説明する。
【００１２】
図１は本発明によるサービス管理システムを示している。サービス管理システムは、認証装置１０と、管理装置２０と、サービス装置４０と、複数の利用者用の端末装置５０とを含み、認証装置１０を除く各装置２０，４０，５０はネットワーク回線７０を介して互いに接続されている。認証装置１０は管理装置２０とネットワーク回線７０とは独立した専用回線６０を介して接続されている。なお、ここでいう接続はアクセス可能な接続状態であれば良い。
【００１３】
認証装置１０は、管理装置２０の公開鍵を認証する。この認証装置１０は全てのサービスの利用制限ではなく、利用者を特定したいサービスが存在しない場合には必須ではない。
【００１４】
管理装置２０はサービスの処理許否の管理と起動装置３０、サービス装置４０、端末装置５０が利用する認証情報を発行する機能を備える。
【００１５】
サービス装置４０は管理装置２０が発行する認証情報を利用し、全ての端末装置５０のうちの特定の端末装置のみを対象としてサービスを提供する装置である。
【００１６】
利用者用の端末装置５０各々は、管理装置２０が発行する認証情報を利用し、管理装置２０に接続してサービス装置に対してサービスの処理を依頼する。
【００１７】
管理装置２０が生成する認証情報は利用者に対する場合とサービスに対する場合とで異なる内容となっている。認証情報の内容としては、(1)利用者或いはサービスの名称、(2)別名情報リスト、(3)認証装置１０の証明書群、(4)管理装置２０の証明書、(5)管理装置２０が発行した利用者或いはサービスの証明書、(6)利用者或いはサービスのパスワードにより暗号化された秘密鍵（ＩＣカードの場合は不要）、(7)下位のサービスレベルの利用者リスト（サービスの場合のみ）がある。
【００１８】
ＩＣカードでない場合、認証情報には暗号化された秘密鍵が含まれる。その秘密鍵はパスワードで暗号化されており、パスワードが入力されると復号化される。復号化された秘密鍵はメモリ上にのみ存在しており、その復号化された秘密鍵をファイルシステムやネットワークにできない構造がとられる。
【００１９】
管理装置２０は認証装置１０によって公開鍵を署名してもらった証明書と、認証装置の証明書群を保持する。認証装置の証明書群とは、証明書を発行した認証装置の証明書と、その認証装置を証明した認証装置の証明書という連鎖であり、最後は認証装置の自己証明書が終端となる。
【００２０】
また、管理装置２０は利用者、グループ、サービス、サービスレベルとそれらの関係を管理する機能を持つ。
【００２１】
利用者は起動装置或いは端末装置を利用する。管理装置２０は利用者のパスワードによって暗号化された秘密鍵（ＩＣカード利用時は不要）と公開鍵を管理している。
【００２２】
グループは利用者又はグループの集合である。グループは情報のみで秘密鍵を保有しない。
【００２３】
サービスはサービス装置で起動されて利用者に提供される。管理装置２０はサービスのパスワードによって暗号化されて秘密鍵と公開鍵とを管理している。例えば、サービスには、企業のプロジェクト単位の日程管理の処理がある。
【００２４】
サービスレベルはサービスに付随する情報であり、１つのサービスに複数のレベルを付随させることが可能である。サービスレベルは１つのサービスで接続の意味を変えたい場合に設定する。サービスが例えば、上記したように企業のプロジェクト単位の日程管理であれば、主線表の変更は該当プロジェクト管理者のみが可能であり、進捗状況は個々の担当者が変更可能である場合、主線表を変更可能な管理者のレベルと進捗を設定できる担当者のレベルが存在することになる。
【００２５】
管理装置２０は(1)利用者、グループを管理するユーザ管理情報、(2)グループプロパティ管理情報、(3)サービス、サービスレベルを管理するサービス管理情報、(4)サービスプロパティ管理情報、(5)サービスレベルプロパティ管理情報の５つの管理情報を内部メモリに保存してサービス提供の管理を行う。
【００２６】
図２は管理装置２０によって管理される利用者とグループの関係を表現したユーザ管理情報の例である。その構成要素は利用者、グループとその別名のみであり、ツリー構造により管理される。この管理情報では、グループは下位に利用者、グループ（別名を含む）を保持することは可能であるが、利用者の下位には利用者、グループ（別名を含む）を保持することは不可能であり、更に、利用者或いはグループの別名の下位には利用者、グループ（別名を含む）を保持することも不可能である。
【００２７】
また、この管理情報では、グループの下位に存在する利用者やグループ（別名を含む）がメンバとなる。グループの配置について具体的に説明すると、図２に示すように、グループＡの直下には利用者Ａｌ、利用者Ａ２、グループＢ、利用者Ｘ（別名）、グループＣ（別名）の５つが存在する。しかしながら、グループＡのメンバはこの５つだけではなく、メンバのうちの利用者又はグループの下位の利用者及びグループも含む。すなわち、グループＢの下位には利用者Ｂｌが存在し、この利用者ＢｌもグループＡのメンバとなる。更に、グループＣ（別名）はグループＣの別名であるので、グループＣのメンバである利用者Ｃｌ及び利用者Ｘ（別名）もグループＡのメンバとなる。
【００２８】
よって、グループＡのメンバは利用者Ａｌ、利用者Ａ２、グループＢ、利用者Ｂｌ、２つの利用者Ｘ（別名）、グループＣ（別名）、利用者Ｃとなる。
【００２９】
グループＡのメンバには、グループＡ直下の利用者Ｘ（別名）とグループＣ直下の利用者Ｘ（別名）が含まれるが、実際には利用者Ｘであり同一利用者を示している。
【００３０】
図３は管理装置２０がグループ管理情報によって管理するグループの状態を例示している。図３の例では、グループＡの管理者が利用者Ｘであることが表現されている。グループの管理者には利用者或いはグループを指定することが可能である。管理者にグループが指定された場合には、その指定グループのメンバ全てがグループの管理者の権限を持つ。グループの管理者はそのグループの直下の利用者、グループ（別名を含む）を追加或いは削除することができる権限を有する。
【００３１】
図４は管理装置２０が管理するサービスとサービスレベルとの関係をツリー構造で示している。その構成要素はサービス及びサービスレベルのみである。この管理情報では、サービスの下位にはサービスレベルのみを保持することが可能であるが、サービスレベルの下位にはいかなるノードも保持することは不可能である。
【００３２】
次に、サービス管理情報の具体例を図４を用いて説明する。ここでは、企業におけるプロジェクトにおける日程管理を行なう処理が行われるとする。日程管理はサービスの起動、終了、管理作業、プロジェクトメンバによる進捗報告と様々なアクセス制御が必要な処理の集合体である。このようなサービス管理を実行する方法がサービス管理情報である。
【００３３】
図４におけるサービスＡは処理を束ねる代表名であり、日程管理に相当する。サービスＡ下位のサービスレベル起動はサービスを起動する処理であり、日程管理のサービスの起動に相当する。
【００３４】
サービスレベルＡ１及びサービスレベルＡ２はサービス固有の処理レベルであり、サービスの終了、管理作業、プロジェクトメンバによる進捗報告等の処理がサービスレベルＡ１及びサービスレベルＡ２には割り当てられる。すなわち、アクセス（利用）するメンバを変更する必要が存在する数だけサービスレベルが必要となる。
【００３５】
図５は管理装置２０が管理するサービスの状態を示すサービスプロパティ管理情報例である。
【００３６】
図５の場合には、図４のサービスＡの管理者がグループＣに属することが表現されている。サービスの管理者には利用者或いはグループを指定することが可能である。管理者にグループが指定された場合、そのグループのメンバ全てがサービスの管理者の権限を持つ。サービスの管理者はそのサービスの直下にサービスレベルの追加或いは削除することができる権限を持つ。
【００３７】
図６は管理装置２０が管理するサービスレベルの状態を示すサービスレベルプロパティ管理情報例である。
【００３８】
図６のの場合には、図４のサービスレベルＡ１の管理者が図２に示した利用者Ｘであることが表現されている。サービスレベルの管理者には利用者或いはグループを指定することが可能である。管理者にグループが指定された場合そのグループのメンバすべてがサービスレベルの管理者の権限を持つ。サービスレベルの管理者はそのサービスレベルの利用者リストに利用者或いはグループ或いはサービスレベルを指定することができる権限を持つ。
【００３９】
また、サービスレベルにはそのサービスレベルに対してアクセスできる利用者、グループ、サービスレベルをＡ１，Ｃ，Ｂ１の如く指定することができる。グループが指定された場合はそのグループのメンバ全てがアクセスできることを示す。図６の場合には、グループＣが登録されているので、図２のグループＣのメンバである利用者Ｃ１、及び利用者Ｘ（別名）がアクセスできることになる。
【００４０】
次に、かかるサービス管理システムで最初に起動する必要がある管理装置２０の初期起動動作について図７を参照しつつ説明する。
【００４１】
ステップＳ１００では管理装置２０の管理者（Ａｄｍｉｎ）の公開鍵暗号システムの鍵ペア（公開鍵及び秘密鍵）が作成される。
【００４２】
ステップＳ１１０ではその鍵ペアの公開鍵が認証装置１０に供給され、認証装置１０に対して証明書の作成が依頼される。そして、管理装置２０には認証装置１０の証明書と認証装置１０が作成した管理者の証明書が格納される。
【００４３】
ステップＳ１２０では管理装置２０に管理者（Ａｄｍｉｎ）が利用者として登録される。この管理者（Ａｄｍｉｎ）は消去することができない利用者である。管理装置２０に管理者（Ａｄｍｉｎ）が利用者として登録されることにより、ネットワーク回線７０からの管理運営が可能となる。
【００４４】
ステップＳ１３０ではネットワーク回線７０を介したアクセスができるように管理装置２０のポートがオープン（開）状態とされる。
【００４５】
オープン状態においては、その管理装置２０に登録されている利用者が端末装置５０を利用してネットワーク回線７０経由で管理装置２０にアクセスし、その権限内において管理装置２０における設定を自由に変更することができる。
【００４６】
その場合には、端末装置５０を利用している利用者を管理装置２０では認識する必要がある。その認識方法について次に説明する。
【００４７】
図８は管理装置２０が接続している端末装置５０の利用者を認識するためのシーケンスである。
【００４８】
ステップＳ２００では利用者の端末装置５０から管理装置２０に対して認証情報要求が発せられる。管理装置２０には端末装置５０を介してアクセス可能な利用者の名称が登録保存されている。
【００４９】
ステップＳ２１０では管理装置２０において認証情報要求によって指定された利用者の名称が管理装置２０に登録された利用者であるかチェックが行われ、登録された利用者である場合には認証情報が管理装置２０から端末装置５０に送信される。
【００５０】
ステップＳ２２０は利用者がＩＣカードを保有しない場合にのみ実行される。ＩＣカードを保有しない場合にステップＳ２２０では、ステップＳ２１０の実行によって送信された認証情報を端末装置５０が受信したならば、端末装置５０においてはその認証情報には利用者のパスワードで暗号化された秘密鍵が保持されているので、その暗号を解読することが実行される。
【００５１】
ステップＳ２３０では接続要求が端末装置５０から管理装置２０に対して送信される。この接続要求には特に付帯情報はない。しかしながら、このステップＳ２３０より以降はステップＳ２２０の暗号を解読によりＳＳＬやＩＰｓｅｃなどの暗号回線上での通信となる。
【００５２】
接続要求を受信した管理装置２０はステップＳ２４０で乱数値を生成して端末装置５０に送り返す。
【００５３】
端末装置５０は乱数値を受け取ると、ステップＳ２５０ではその乱数値を利用者の秘密鍵で暗号化した乱数の署名データと利用者の証明書との送信を管理装置２０に対して行う。管理装置２０は署名データ及び証明書を受信すると、ステップＳ２５５では利用者の証明書が正しいか否かを判断し、また乱数の署名データが正しいか否かを判断する。この判断によって登録された正規の利用者がアクセスしていることが確認されるのである。
【００５４】
管理装置２０はステップＳ２６０では正規の利用者のアクセスか否かを示すステップＳ２５５の結果を端末装置５０に対して送信する。この結果は正規の利用者に対してはサービス装置４０へのアクセスの許可を示し、正規の利用者ではない利用者に対してはアクセスの拒否を示す。
【００５５】
アクセスの継続の場合には、管理装置２０は利用者に対して端末装置５０を介してサービスを利用者に提供する。また、管理装置２０はコンテキスト（アクセス許可の端末装置）を把握しているため、管理装置２０はいつでもアクセスしている端末装置の利用者を取り出すことが可能となる。また、図８の認証動作が必ず終了した後でなければ、管理装置２０はサービスの提供動作を行わない。
【００５６】
管理装置２０のサービスとして利用者の追加及び削除がある。利用者の追加及び削除のサービスについて図９及び図１０のフローチャートを参照して説明する。
【００５７】
この図９に示した動作は管理装置２０に端末装置５０から利用者（管理者を含む）が他の利用者を追加登録する場合の管理装置２０の動作である。利用者の追加の動作では、先ず、端末装置５０において追加する利用者の名称と、ＩＣカードの場合は追加する利用者の公開鍵、ＩＣカードでない場合は追加する利用者のパスワードとが入力され、それらの入力データが管理装置２０に供給される。
【００５８】
管理装置２０は、端末装置５０の入力データを受信すると、ステップＳ３００では追加する利用者の名称（ドメイン表記）から上位ドメインを利用者管理情報から検索する。上位ドメイン（グループ）が存在する場合、そのグループプロパティ管理情報を内部メモリから読み出す。
【００５９】
ステップＳ３１０では読み出したグループプロパティ管理情報が示す管理者を取り出す。取り出した管理者が利用者（個人）である場合には、アクセスしている利用者が管理者本人であるか否かを判断する。取り出した管理者がグループの場合、アクセスしている利用者がメンバのいずれか１であるか否かを判断する。アクセスしている利用者が管理者でない場合はここのステップＳ３１０の実行で追加の処理が中途終了される。
【００６０】
ステップＳ３１０で管理者のアクセスであることが確認されると、ステップ３２０の実行に進むが、ＩＣカードタイプの場合にはステップＳ３２０は実行されない。ＩＣカードタイプでない場合にはステップＳ３１０では、追加する利用者の公開暗号方式の鍵ペア（秘密鍵及び公開鍵）が作成される。また、作成された鍵ペアの秘密鍵がパスワードにより暗号化される。
【００６１】
ステップ３３０では、作成された鍵ペアの公開鍵について管理装置２０の秘密鍵を用いて証明書が作成される。そして、その追加の利用者が利用者管理情報に追加される。
【００６２】
図１０は管理装置２０に対して端末装置５０から利用者（管理者を含む）が他の利用者を削除する場合の動作を示している。利用者の削除動作は端末装置５０から削除する利用者の名称が入力され、その入力データが管理装置２０に送信されると、管理装置２０では削除する利用者の名称のデータを受信することによって次のステップＳ４００〜Ｓ４５０の動作が実行される。
【００６３】
ステップＳ４００では削除する利用者の名称（ドメイン表記）から上位ドメインを利用者管理情報から検索する。上位ドメイン（グループ）が存在する場合、そのグループプロパティ管理情報が読み出される。
【００６４】
ステップＳ４１０では読み出されたグループプロパティ管理情報の管理者を取り出す。管理者が利用者（個人）である場合、アクセスしている利用者が管理者本人であるか否かが判断される。アクセスしている利用者が管理者でない場合はステップＳ４１０の実行によって削除の処理が途中終了される。
【００６５】
ステップＳ４２０では全てのグループプロパティ管理情報で削除されるべき利用者が管理者として登録されている場合にその利用者が管理者（Ａｄｍｉｎ）に変更される。
【００６６】
ステップＳ４３０は全てサービスプロパティ管理情報で削除されるべき利用者が管理者として登録されている場合にその利用者が管理者（Ａｄｍｉｎ）に変更される。
【００６７】
ステップＳ４４０は全てのサービスレベルプロパティ管理情報で削除されるべき利用者が管理者として登録されている場合にその利用者が全て管理者（Ａｄｍｉｎ）に変更される。更に、利用者リストで削除されるべき利用者が存在する場合はそのリストからその利用者が削除される。
【００６８】
ステップＳ４５０では利用者管理情報から削除されるべき利用者が削除される。また、その利用者の認証情報にその削除情報が通知され、認証情報からもその利用者の情報が削除される。
【００６９】
図９に示した利用者の追加に対してグループの追加の場合には、端末装置５０から管理装置２０に追加するグループの名称を指定することによって追加動作が起動される。その追加動作は利用者を追加する場合と同様であり、ステップＳ３００、ステップＳ３１０が実行される。グループの追加では鍵生成や証明書の発行は必要ない。よって、ステップＳ３１０の実行後に、グループプロパティ管理情報が生成され、そのグループプロパティ管理情報の管理者としてアクセスしている利用者が設定される。最後に、そのグループプロパティ管理情報が利用者管理情報に追加される。
【００７０】
グループの削除の場合には、図１０に示した利用者の削除の場合における削除される利用者がグループに変更される他、ステップＳ４５０において、グループの全てのメンバに対する削除動作が行なわれる。また、グループの全てのメンバである利用者の認証情報にもその情報が通知され、認証情報の別名情報リストからそのメンバの全ての利用者の情報が削除される。
【００７１】
利用者或いはグループの別名の登録はグループと同様である。
【００７２】
また、利用者或いはグループの別名の削除については、図１０に示した利用者の削除の場合で削除する利用者がグループに変更される。そして、別名の元の利用者の認証情報にもその情報が通知され、認証情報の別名情報リストからその情報が削除される。
【００７３】
図１１は管理装置２０に端末装置５０から利用者（管理者を含む）がサービスを追加する場合の管理装置２０の動作を示している。サービスの追加動作は端末装置５０から追加するサービスの名称とサービスのパスワードとが入力され、それらの入力データが管理装置２０に供給されることによって開始される。
【００７４】
管理装置２０は入力データを受信すると先ず、ステップＳ５００で追加するサービスの名称が以前に利用されているか否かをチェックする。
【００７５】
追加するサービスの名称が以前に利用されていない場合には、ステップＳ５１０ではサービス専用の公開鍵暗号方式の鍵ペア（秘密鍵及び公開鍵）が生成される。また、生成した鍵ペアの秘密鍵がパスワードによって暗号化される。
【００７６】
ステップ５２０では生成された鍵ペアの公開鍵について管理装置２０の秘密鍵を用いて証明書が作成される。そして、サービス管理情報にサービスが追加され、更に、そのサービスのサービスプロパティ管理情報が生成される。
【００７７】
図１２は端末装置５０を介して利用者（管理者を含む）がサービスレベルを追加する場合の管理装置２０の動作を示している。サービスレベルの追加動作は端末装置５０から追加するサービスレベルの名称を入力され、その入力データが管理装置２０に供給されることによって開始される。
【００７８】
管理装置２０は入力データを受信すると先ず、ステップＳ６００で追加するサービスレベルの名称（ドメイン表記）から上位ドメインであるサービスをサービス管理情報から検索する。上位ドメイン（サービス）が存在する場合、そのサービスプロパティ管理情報が読み出される。
【００７９】
管理装置２０はステップＳ６１０では読み出されたサービスプロパティ管理情報の管理者を取り出し、その取り出した管理者が利用者（個人）の場合には、アクセスしている利用者が管理者本人であるか否かを判断する。管理者がグループの場合には、アクセスしている利用者がメンバであるか否かを判断する。アクセスしている利用者が管理人本人或いはグループのメンバではない場合、このステップＳ６１０にて処理は途中終了される。
【００８０】
ステップＳ６２０で管理装置２０は入力データとして受信したサービスレベルをサービスレベル管理情報に追加する。更に、そのサービスレベルのサービスレベルプロパティ管理情報を生成する。
【００８１】
図１３は端末装置５０を介して利用者（管理者を含む）が利用者リストを追加する場合の管理装置２０の動作を示している。利用者リストの追加はサービスレベルの名称（ドメイン表記）と利用者或いはグループとが指定され、その指定データが管理装置２０に供給されることによって開始される。
【００８２】
管理装置２０は、指定データを受信すると、先ずステップＳ７００では指定サービスレベルの名称（ドメイン表記）からそのサービスレベルプロパティ管理情報を検索する。また、指定利用者、グループ或いはサービスレベルの名称（ドメイン表記）が利用者管理情報或いはサービスレベル管理情報に存在しているか否かを検索する。それらが存在しない場合、処理は終了する。
【００８３】
管理装置２０は、ステップＳ７１０ではサービスレベルプロパティ管理情報の管理者が利用者（個人）である場合には、アクセスしている利用者が管理者本人であるか否かを判断する。管理者がグループである場合には、アクセスしている利用者がメンバに含まれているか否かを判断する。アクセスしている利用者が管理者本人或いはグループのメンバではない場合、処理は途中終了する。
【００８４】
管理装置２０は、ステップＳ７２０ではサービスレベルプロパティ管理情報の利用者リストに指定利用者を追加する。
【００８５】
利用者リストの削除動作は図１３に示した利用者リストの追加動作とほぼ同一の動作を行なうが、ステップＳ７２０のみが異なる。削除動作では、管理装置２０は、ステップ７２０ではサービスレベルプロパティ管理情報の利用者リストから指定利用者を削除する動作を行う。また、削除された利用者の情報は認証情報に即座に通知され、認証情報が更新される。
【００８６】
サービスレベル削除動作は図１２に示したサービスレベル追加動作とほぼ同一の動作を行うが、ステップＳ６２０のみが異なる。削除動作では、管理装置２０は、ステップＳ６２０ではサービス管理情報から指定サービスレベルを削除する。更に、全てのサービスプロパティ管理情報の利用者リストからそのサービスレベルが含まれている場合には、そのリストを削除する。また、削除された利用者の情報は認証情報に即座に通知され、認証情報が更新される。
【００８７】
サービス削除動作は図１１に示すサービス削除動作とほぼ同一の動作を行うが、ステップＳ５２０の動作のみが異なる。削除動作では、管理装置２０は、ステップＳ５２０ではそのサービスの下位に存在する全てのサービスレベルの削除を行う。そして、サービス管理情報からそのサービスを削除する。
【００８８】
以上のように、管理装置２０に登録されている利用者はその個人権限の範囲内でネットワークを介して安全にサービスに必要なアクセス権限の変更が可能となる。
【００８９】
また、かかるサービス管理システムは従来のパスワードのみを利用者が記憶するシステムにのみ適用でき、ＩＣカード等の秘密鍵を一切外に出さないシステムでも運用可能であり、ハイセキュリティシステムを構築することが可能である。
【００９０】
次に、ネットワーク回線７０を介して端末装置５０から管理装置２０に登録したサービスや利用者のアクセス制御の設定に基づき、端末装置５０からサービス装置４０を利用する場合のアクセス制御動作について説明する。
【００９１】
図１４は管理装置２０で設定したサービスのアクセス制御の情報に基づき、アクセス制御を行うフローチャートを示している。
【００９２】
ステップＳ８００ではサービス装置４０が管理装置２０に対し、サービス装置のサービス名称を引数として認証情報の取得を要求する。
【００９３】
ステップＳ８１０では管理装置２０がサービス名称をサービス管理情報から検索し、そのサービスプロパティ管理情報を取り出す。更に、そのサービスの下位のサービスレベルを全て取り出し、そのサービスレベルプロパティ管理情報も取り出す。それらの情報に応じてサービスの認証情報を生成してサービス装置４０に送り返す。
【００９４】
サービスの認証情報を受け取ったサービス装置４０はパスワードの入力を促し、入力されたパスワードによって認証情報の暗号化された秘密鍵を復号化する（ステップＳ８１５）。
【００９５】
ステップＳ８２０では端末装置５０においてその端末利用者が自分の利用者名を引数として認証情報の取得を管理装置２０に対して要求することが行われる。ステップＳ８２０の実行はステップＳ８１０より時間的に前でも後でも問題はない。
【００９６】
管理装置２０は認証情報獲得要求に対してステップＳ８３０では利用者名を利用者管理情報から検索し、その利用者プロパティ管理情報を取り出す。更に、利用者管理情報からその利用者のリンクを全て検索する。それらの情報に基づいて利用者の認証情報を生成してその認証情報を端末装置５０に送信する。利用者の認証情報でＩＣカードを利用しない場合、端末装置５０はパスワード入力を促し、そのパスワードによって認証情報の暗号化された秘密鍵を復号化する（ステップＳ８３５）。
【００９７】
ステップＳ８４０以降の動作はＳＳＬ或いはＩＰｓｅｃ等の暗号を併用して動作することが可能である。ＳＳＬの場合には、ステップＳ８１５で得られた秘密鍵と認証情報に含まれる(1)認証装置１０の証明書群と、(2)管理装置２０の証明書と、(3)管理装置２０が発行したサービスの証明書とを利用することにより暗号通信を可能にする。
【００９８】
ステップＳ８４０では端末装置５０が接続要求をサービス装置４０に対して送信する。その接続要求では利用者が端末装置５０を利用する毎に個別に発行される端末装置ＩＤが引数とされる。サービス装置５０に端末装置５０の端末装置ＩＤのキャッシュがある場合は、ステップＳ８７０へと移行してアクセスを許可することを端末装置５０に送信する。
【００９９】
ステップＳ８５０は端末装置ＩＤのキャッシュがサービス装置４０に存在しない場合であり、このステップＳ８５０においてサービス装置５０はランダム数をチャレンジコードとして端末装置５０に送信する。
【０１００】
端末装置５０はステップＳ８６０では、ステップＳ８３０で得られた秘密鍵或いはＩＣカードの秘密鍵によりランダム数を暗号化した結果と、利用者の認証情報の管理装置２０が発行した利用者の証明書とを引数とするチャレンジレスポンスを送信する。
【０１０１】
チャレンジレスポンスを受信したサービス装置４０は、チャレンジレスポンスの情報が正しいか否かを判断すると共に、サービスの認証情報に含まれる下位のサービスレベルの利用者リストにアクセスしている利用者が含まれるか否かを判断する（ステップＳ８６５）。
【０１０２】
サービス装置４０は端末装置ＩＤとアクセスしている利用者をペアとするデータをキャッシュし、アクセスを許可することを端末装置５０に送信する（ステップＳ８７０）。
【０１０３】
ステップＳ８７０のアクセスの許可によってステップＳ８８０ではサービス装置４０固有のサービスが端末装置５０との間で実行される。
【０１０４】
なお、図１４におけるアクセス制御のステップＳ８２０、ステップＳ８３０を実行しないことにより、認証装置１０のみに登録されているが、管理装置２０には登録されていない利用者のアクセスを許可する非常にアクセス制限のゆるいサービスの提供が可能である。
【０１０５】
以上のように、図１４に示したアクセス制御動作によれば、管理装置２０が発行する認証情報を利用することにより、サービス装置４０が端末装置５０からアクセスしている利用者を特定することが可能となる。
【０１０６】
登録されている利用者、グループ、別名、利用者リストの利用者が削除された場合、管理装置２０は該当利用者或いはグループを削除するだけでなく、認証情報にも削除情報が通知される。すなわち、利用者が不正に認証情報の証明書を保持していたとしても、サービス装置４０では認証情報が更新されているため不正アクセスが不可能である。
【０１０７】
サービス装置４０は秘密情報を扱うサービスであるので、利用者が端末装置５０を介して何らかの情報（例えばパスワード）を渡さなければサービス動作を開始することはできない。これは、サービス装置４０が誤動作や電源のダウン等などの理由により再起動が必要な場合も同一である。再起動の場合、メモリ上に保存していた認証情報の復号化された秘密鍵は揮発してしまっている。そのため、再起動ではもう一度、パスワードを入力することにより認証情報から秘密鍵を復号化するための作業が必要である。次に、サービス装置４０を再起動時に安全に自動復帰させるための構成及びその動作について説明する。
【０１０８】
図１５はサービス装置４０を自動復帰させるためのシステム構成を示している。図１５の構成では復帰装置３０が含まれている点が図１に示したシステム構成とは異なる。復帰装置３０は管理装置２０とサービス装置４０とにネットワーク回線７０とは独立した個別のラインによって各々接続されている。
【０１０９】
復帰装置３０はサービス装置４０が再起動したことを検知し、サービス装置４０の利用者にパスワードを再入力させることなくサービス装置４０をサービス提供のためのアクセス可能な状態に復帰させる処理を行う。
【０１１０】
サービス装置４０が自動復帰させるためには、管理装置２０に復帰サービスレベルが追加される必要がある。復帰サービスレベルはサービスレベルの特殊形態である。復帰サービスレベルの追加では、(1)サービスレベルの名称、(2)サービス作成時に指定したパスワード、(3)復帰を行う利用者の名称、(4)サービス装置を復帰させるためのパスワードが指定される。
【０１１１】
また、復帰サービスレベルの追加動作は図１２に示したサービスレベルの追加動作に更に動作が付加される。すなわち、ステップＳ６００には指定利用者の名称（ドメイン表記）が存在するか否かのチェックが加わる。また、ステップＳ６１０ではサービス管理情報から暗号化されている秘密鍵が取り出され、サービス作成時に指定したパスワードにより暗号化されている秘密鍵を復号化して秘密鍵を得ることが行われる。更に、サービス装置４０を復帰させるためのパスワードにより得られた秘密鍵が暗号化される。
【０１１２】
ステップＳ６２０にはステップＳ６１０における暗号化された秘密鍵をサービスレベルプロパティ管理情報に追加する動作が追加される。
【０１１３】
サービスの認証情報にも上記の暗号化された秘密鍵が含まれる。
【０１１４】
次に、サービス装置４０の自動復帰動作について図１６のシーケンス図を参照しつつ説明する。
【０１１５】
この自動復帰動作では復帰装置３０の起動が最初実行される。その起動には、(1)利用者の名称（ドメイン形式）、(2)サービスの名称（ドメイン形式）、(3)利用者のパスワード、(4)サービスを起動するためのパスワードの４つの情報が必要である。これらの情報は管理装置２０の内部メモリ上に確保される。
【０１１６】
復帰装置３０はステップＳ９００では、管理装置２０からサービス装置４０を復帰できる利用者の名称を引数とした認証情報要求を管理装置２０に対して送信する。
【０１１７】
管理装置２０は認証情報要求を受信すると、ステップＳ９１０において引数の利用者の名称（ドメイン形式）に応じてその利用者を検索し、その利用者の認証情報を生成して復帰装置３０に対して送信する。
【０１１８】
復帰装置３０は認証情報を受信すると、その認証情報に利用者パスワードを指定することにより、認証情報に含まれる暗号化された秘密鍵を得る。そして、サービス装置４０が正常な動作状態にあるか否かを判別するため定期的なポーリングを実行する（ステップＳ９１５）。このポーリング状態ではサービス装置４０が誤動作や一時的な停電で動作停止状態になっても再起動が可能な状態となる。
【０１１９】
サービス装置４０が図１６に示すように動作停止状態に陥って再起動し、復帰装置３０はその再起動を確認したことで動作を開始し、再起動用のポートをオープンし、そのポートにアクセスするためのアクセス方法を引数として復帰要求をサービス装置４０に送信する（ステップＳ９２０）。
【０１２０】
サービス装置４０は復帰要求を受信すると、ステップＳ９３０ではその復帰要求に示されたアクセス方法に基づいて復帰装置３０のポートに対しランダム数を引数としてトライ要求を送信する。ただし、このアクセスは他者に漏洩しないことを確認する必要がある。通常、ＨＴＴＰＳ等の回線レベルの暗号を利用することになる。この下位回線レベルの暗号通信はステップＳ９６０まで継続される。
【０１２１】
復帰装置３０はトライ要求を受信すると、ステップＳ９４０ではそのトライ要求に示されたランダム数を復帰装置３０が持つ認証情報の秘密鍵で暗号化し、その暗号化結果と認証情報に含まれる管理装置２０が発行した証明書とを引数としてトライレスポンスをサービス装置４０に送信する。
【０１２２】
サービス装置４０はトライレスポンスを受信すると、ステップＳ９５０では指定された秘密鍵で暗号化されたランダム数が送り出したランダム数が元になっているか否かの判別と証明書が正しいか否かの判断とを行う。この判断によって復帰装置３０の利用者を特定することができる。更に、サービス装置４０はその利用者がサービス装置４０の認証情報に含まれる下位のサービスレベルの利用者リストから復帰のための利用者として登録されているか否かを判断するために解読要求を復帰装置３０に送信する。
【０１２３】
復帰装置３０は解読要求を受信すると、ステップＳ９６０では利用者リストからステップＳ９５０で特定された利用者の復帰用の暗号化された秘密鍵を取り出し、それを引数として解読結果をサービス装置４０に送信する。
【０１２４】
サービス装置４０は解読結果を受信すると、ステップＳ９７０では解読結果に示された秘密鍵を復帰装置３０の起動時に指定されたサービスを起動するためのパスワードで復号化してそれを引数とする情報を復帰装置４０に送信する。
【０１２５】
かかる自動起動動作により、サービス装置４０は秘密鍵を獲得可能であり、サービスを提供できる状態となる。すなわち、サービス装置４０は図１４に示すアクセス制御のフローチャートのステップＳ８１５が終了した状態と同等となる。
【０１２６】
また、かかる自動復帰動作によれば、電源のダウン等の理由でサービス装置４０が再起動した場合に、利用者にパスワードを再入力させることなくサービス装置４０をサービス提供のためのアクセス可能な状態に復帰させるが可能となる。
【図面の簡単な説明】
【０１２７】
【図１】本発明の実施例を示すシステム構成図である。
【図２】ユーザ管理情報の構成を示す図である。
【図３】グループプロパティ管理情報の構成を示す図である。
【図４】サービス管理情報の構成を示す図である。
【図５】サービスプロパティ管理情報の構成を示す図である。
【図６】サービスレベルプロパティ管理情報の構成を示す図である。
【図７】管理装置の初期起動動作を示すフローチャートである。
【図８】端末装置の利用者を管理装置が認識するための動作シーケンスを示す図である。
【図９】利用者追加動作を示すフローチャートである。
【図１０】利用者削除動作を示すフローチャートである。
【図１１】サービス追加動作を示すフローチャートである。
【図１２】サービスレベル追加動作を示すフローチャートである。
【図１３】利用者リスト追加動作を示すフローチャートである。
【図１４】アクセス制御動作シーケンスを示す図である。
【図１５】本発明の実施例を示すシステム構成図である。
【図１６】復帰動作シーケンスを示す図である。
【主要部分の符号の説明】
【０１２８】
１０ 認証装置
２０ 管理装置
３０ 復帰装置
４０ サービス装置
５０ 端末装置
【技術分野】
【０００１】
本発明は、ネットワーク内においてサービス装置からサービスの提供を受ける端末装置の顧客及び顧客毎のサービス内容を管理するサービス管理システムに関する。
【背景技術】
【０００２】
従来、ネットワーク内において端末装置を利用してサービスの提供を受けることを望む顧客（グループを含む）を登録してその登録顧客に対して予め定められたサービス提供をするように管理を行うサービス管理システムが知られている。このサービス管理システムの機能としては、ネットワークを介する認証情報の生成発行機能、その認証情報を用いたサービスの処理実行の許否処理機能、サービスの起動方法に関するものであった。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記のサービス管理システムにおいては、登録されている顧客がサービスの処理実行の許否情報を個人権限によりネットワークを介して変更することが不可能である。
【０００４】
顧客及びサービスの秘密鍵は管理装置が一括管理を行い、顧客及びサービスに秘密鍵を暗号化してネットワーク上を送信する。この動作は利用者が秘密鍵を暗号化したパスワードを記憶しておくだけで良いと言う利点が存在する。しかしながら、ＩＣカードなどの秘密鍵を容易に保持できるデバイスを利用したい場合には、秘密鍵管理装置に預けることや暗号化されて秘密鍵がネットワーク上を流れることはセキュリティ上問題である。
【０００５】
また、登録されている顧客（グループを含む）が削除された場合、管理装置は該当顧客を削除するだけでなく、サービスの処理実行の許否情報も変更する。そのため、端末装置が管理装置から証明書を獲得する場合には、最新の情報になるべきである。しかしながら、既に利用装置が保持しているサービスの処理実行を許可する証明書は破棄されない。すなわち、不正にサービスの処理が実行される可能性がある。
【０００６】
更に、サービスの処理実行の許否情報に新たな顧客が追加された場合には、サービスの処理実行が可能な証明書が発行される。その証明書では他のサービスの処理が実行されてはならないため、その証明書は認証装置の連鎖を持たない。すなわち、利用制限は設けず、利用している利用者のみ確認したい場合でも必ず管理装置に登録しなければならない。
【０００７】
そこで、本発明の目的は、正規の登録利用者に対して適正なサービス提供が行われるようにしたサービス管理システム及び方法を提供することである。
【課題を解決するための手段】
【０００８】
本発明のサービス管理システムは、ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理システムであって、前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持する発行保存手段と、前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信する手段と、前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信する第１認証情報送信手段と、前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号する第１復号手段と、前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信する手段と、前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信する第２認証情報送信手段と、前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号する第２復号手段と、前記第１及び第２復号手段によって各々復号された秘密鍵を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にする手段と、を備えたことを特徴としている。
【０００９】
本発明のサービス管理方法は、ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理方法であって、前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持し、前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信し、前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信し、前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号し、前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信し、前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信し、前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号し、その復号された秘密鍵各々を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にすることを特徴としている。
【発明の効果】
【００１０】
本発明によれば、正規の登録利用者に対して適正なサービス提供を行うことができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施例を図面を参照しつつ詳細に説明する。
【００１２】
図１は本発明によるサービス管理システムを示している。サービス管理システムは、認証装置１０と、管理装置２０と、サービス装置４０と、複数の利用者用の端末装置５０とを含み、認証装置１０を除く各装置２０，４０，５０はネットワーク回線７０を介して互いに接続されている。認証装置１０は管理装置２０とネットワーク回線７０とは独立した専用回線６０を介して接続されている。なお、ここでいう接続はアクセス可能な接続状態であれば良い。
【００１３】
認証装置１０は、管理装置２０の公開鍵を認証する。この認証装置１０は全てのサービスの利用制限ではなく、利用者を特定したいサービスが存在しない場合には必須ではない。
【００１４】
管理装置２０はサービスの処理許否の管理と起動装置３０、サービス装置４０、端末装置５０が利用する認証情報を発行する機能を備える。
【００１５】
サービス装置４０は管理装置２０が発行する認証情報を利用し、全ての端末装置５０のうちの特定の端末装置のみを対象としてサービスを提供する装置である。
【００１６】
利用者用の端末装置５０各々は、管理装置２０が発行する認証情報を利用し、管理装置２０に接続してサービス装置に対してサービスの処理を依頼する。
【００１７】
管理装置２０が生成する認証情報は利用者に対する場合とサービスに対する場合とで異なる内容となっている。認証情報の内容としては、(1)利用者或いはサービスの名称、(2)別名情報リスト、(3)認証装置１０の証明書群、(4)管理装置２０の証明書、(5)管理装置２０が発行した利用者或いはサービスの証明書、(6)利用者或いはサービスのパスワードにより暗号化された秘密鍵（ＩＣカードの場合は不要）、(7)下位のサービスレベルの利用者リスト（サービスの場合のみ）がある。
【００１８】
ＩＣカードでない場合、認証情報には暗号化された秘密鍵が含まれる。その秘密鍵はパスワードで暗号化されており、パスワードが入力されると復号化される。復号化された秘密鍵はメモリ上にのみ存在しており、その復号化された秘密鍵をファイルシステムやネットワークにできない構造がとられる。
【００１９】
管理装置２０は認証装置１０によって公開鍵を署名してもらった証明書と、認証装置の証明書群を保持する。認証装置の証明書群とは、証明書を発行した認証装置の証明書と、その認証装置を証明した認証装置の証明書という連鎖であり、最後は認証装置の自己証明書が終端となる。
【００２０】
また、管理装置２０は利用者、グループ、サービス、サービスレベルとそれらの関係を管理する機能を持つ。
【００２１】
利用者は起動装置或いは端末装置を利用する。管理装置２０は利用者のパスワードによって暗号化された秘密鍵（ＩＣカード利用時は不要）と公開鍵を管理している。
【００２２】
グループは利用者又はグループの集合である。グループは情報のみで秘密鍵を保有しない。
【００２３】
サービスはサービス装置で起動されて利用者に提供される。管理装置２０はサービスのパスワードによって暗号化されて秘密鍵と公開鍵とを管理している。例えば、サービスには、企業のプロジェクト単位の日程管理の処理がある。
【００２４】
サービスレベルはサービスに付随する情報であり、１つのサービスに複数のレベルを付随させることが可能である。サービスレベルは１つのサービスで接続の意味を変えたい場合に設定する。サービスが例えば、上記したように企業のプロジェクト単位の日程管理であれば、主線表の変更は該当プロジェクト管理者のみが可能であり、進捗状況は個々の担当者が変更可能である場合、主線表を変更可能な管理者のレベルと進捗を設定できる担当者のレベルが存在することになる。
【００２５】
管理装置２０は(1)利用者、グループを管理するユーザ管理情報、(2)グループプロパティ管理情報、(3)サービス、サービスレベルを管理するサービス管理情報、(4)サービスプロパティ管理情報、(5)サービスレベルプロパティ管理情報の５つの管理情報を内部メモリに保存してサービス提供の管理を行う。
【００２６】
図２は管理装置２０によって管理される利用者とグループの関係を表現したユーザ管理情報の例である。その構成要素は利用者、グループとその別名のみであり、ツリー構造により管理される。この管理情報では、グループは下位に利用者、グループ（別名を含む）を保持することは可能であるが、利用者の下位には利用者、グループ（別名を含む）を保持することは不可能であり、更に、利用者或いはグループの別名の下位には利用者、グループ（別名を含む）を保持することも不可能である。
【００２７】
また、この管理情報では、グループの下位に存在する利用者やグループ（別名を含む）がメンバとなる。グループの配置について具体的に説明すると、図２に示すように、グループＡの直下には利用者Ａｌ、利用者Ａ２、グループＢ、利用者Ｘ（別名）、グループＣ（別名）の５つが存在する。しかしながら、グループＡのメンバはこの５つだけではなく、メンバのうちの利用者又はグループの下位の利用者及びグループも含む。すなわち、グループＢの下位には利用者Ｂｌが存在し、この利用者ＢｌもグループＡのメンバとなる。更に、グループＣ（別名）はグループＣの別名であるので、グループＣのメンバである利用者Ｃｌ及び利用者Ｘ（別名）もグループＡのメンバとなる。
【００２８】
よって、グループＡのメンバは利用者Ａｌ、利用者Ａ２、グループＢ、利用者Ｂｌ、２つの利用者Ｘ（別名）、グループＣ（別名）、利用者Ｃとなる。
【００２９】
グループＡのメンバには、グループＡ直下の利用者Ｘ（別名）とグループＣ直下の利用者Ｘ（別名）が含まれるが、実際には利用者Ｘであり同一利用者を示している。
【００３０】
図３は管理装置２０がグループ管理情報によって管理するグループの状態を例示している。図３の例では、グループＡの管理者が利用者Ｘであることが表現されている。グループの管理者には利用者或いはグループを指定することが可能である。管理者にグループが指定された場合には、その指定グループのメンバ全てがグループの管理者の権限を持つ。グループの管理者はそのグループの直下の利用者、グループ（別名を含む）を追加或いは削除することができる権限を有する。
【００３１】
図４は管理装置２０が管理するサービスとサービスレベルとの関係をツリー構造で示している。その構成要素はサービス及びサービスレベルのみである。この管理情報では、サービスの下位にはサービスレベルのみを保持することが可能であるが、サービスレベルの下位にはいかなるノードも保持することは不可能である。
【００３２】
次に、サービス管理情報の具体例を図４を用いて説明する。ここでは、企業におけるプロジェクトにおける日程管理を行なう処理が行われるとする。日程管理はサービスの起動、終了、管理作業、プロジェクトメンバによる進捗報告と様々なアクセス制御が必要な処理の集合体である。このようなサービス管理を実行する方法がサービス管理情報である。
【００３３】
図４におけるサービスＡは処理を束ねる代表名であり、日程管理に相当する。サービスＡ下位のサービスレベル起動はサービスを起動する処理であり、日程管理のサービスの起動に相当する。
【００３４】
サービスレベルＡ１及びサービスレベルＡ２はサービス固有の処理レベルであり、サービスの終了、管理作業、プロジェクトメンバによる進捗報告等の処理がサービスレベルＡ１及びサービスレベルＡ２には割り当てられる。すなわち、アクセス（利用）するメンバを変更する必要が存在する数だけサービスレベルが必要となる。
【００３５】
図５は管理装置２０が管理するサービスの状態を示すサービスプロパティ管理情報例である。
【００３６】
図５の場合には、図４のサービスＡの管理者がグループＣに属することが表現されている。サービスの管理者には利用者或いはグループを指定することが可能である。管理者にグループが指定された場合、そのグループのメンバ全てがサービスの管理者の権限を持つ。サービスの管理者はそのサービスの直下にサービスレベルの追加或いは削除することができる権限を持つ。
【００３７】
図６は管理装置２０が管理するサービスレベルの状態を示すサービスレベルプロパティ管理情報例である。
【００３８】
図６のの場合には、図４のサービスレベルＡ１の管理者が図２に示した利用者Ｘであることが表現されている。サービスレベルの管理者には利用者或いはグループを指定することが可能である。管理者にグループが指定された場合そのグループのメンバすべてがサービスレベルの管理者の権限を持つ。サービスレベルの管理者はそのサービスレベルの利用者リストに利用者或いはグループ或いはサービスレベルを指定することができる権限を持つ。
【００３９】
また、サービスレベルにはそのサービスレベルに対してアクセスできる利用者、グループ、サービスレベルをＡ１，Ｃ，Ｂ１の如く指定することができる。グループが指定された場合はそのグループのメンバ全てがアクセスできることを示す。図６の場合には、グループＣが登録されているので、図２のグループＣのメンバである利用者Ｃ１、及び利用者Ｘ（別名）がアクセスできることになる。
【００４０】
次に、かかるサービス管理システムで最初に起動する必要がある管理装置２０の初期起動動作について図７を参照しつつ説明する。
【００４１】
ステップＳ１００では管理装置２０の管理者（Ａｄｍｉｎ）の公開鍵暗号システムの鍵ペア（公開鍵及び秘密鍵）が作成される。
【００４２】
ステップＳ１１０ではその鍵ペアの公開鍵が認証装置１０に供給され、認証装置１０に対して証明書の作成が依頼される。そして、管理装置２０には認証装置１０の証明書と認証装置１０が作成した管理者の証明書が格納される。
【００４３】
ステップＳ１２０では管理装置２０に管理者（Ａｄｍｉｎ）が利用者として登録される。この管理者（Ａｄｍｉｎ）は消去することができない利用者である。管理装置２０に管理者（Ａｄｍｉｎ）が利用者として登録されることにより、ネットワーク回線７０からの管理運営が可能となる。
【００４４】
ステップＳ１３０ではネットワーク回線７０を介したアクセスができるように管理装置２０のポートがオープン（開）状態とされる。
【００４５】
オープン状態においては、その管理装置２０に登録されている利用者が端末装置５０を利用してネットワーク回線７０経由で管理装置２０にアクセスし、その権限内において管理装置２０における設定を自由に変更することができる。
【００４６】
その場合には、端末装置５０を利用している利用者を管理装置２０では認識する必要がある。その認識方法について次に説明する。
【００４７】
図８は管理装置２０が接続している端末装置５０の利用者を認識するためのシーケンスである。
【００４８】
ステップＳ２００では利用者の端末装置５０から管理装置２０に対して認証情報要求が発せられる。管理装置２０には端末装置５０を介してアクセス可能な利用者の名称が登録保存されている。
【００４９】
ステップＳ２１０では管理装置２０において認証情報要求によって指定された利用者の名称が管理装置２０に登録された利用者であるかチェックが行われ、登録された利用者である場合には認証情報が管理装置２０から端末装置５０に送信される。
【００５０】
ステップＳ２２０は利用者がＩＣカードを保有しない場合にのみ実行される。ＩＣカードを保有しない場合にステップＳ２２０では、ステップＳ２１０の実行によって送信された認証情報を端末装置５０が受信したならば、端末装置５０においてはその認証情報には利用者のパスワードで暗号化された秘密鍵が保持されているので、その暗号を解読することが実行される。
【００５１】
ステップＳ２３０では接続要求が端末装置５０から管理装置２０に対して送信される。この接続要求には特に付帯情報はない。しかしながら、このステップＳ２３０より以降はステップＳ２２０の暗号を解読によりＳＳＬやＩＰｓｅｃなどの暗号回線上での通信となる。
【００５２】
接続要求を受信した管理装置２０はステップＳ２４０で乱数値を生成して端末装置５０に送り返す。
【００５３】
端末装置５０は乱数値を受け取ると、ステップＳ２５０ではその乱数値を利用者の秘密鍵で暗号化した乱数の署名データと利用者の証明書との送信を管理装置２０に対して行う。管理装置２０は署名データ及び証明書を受信すると、ステップＳ２５５では利用者の証明書が正しいか否かを判断し、また乱数の署名データが正しいか否かを判断する。この判断によって登録された正規の利用者がアクセスしていることが確認されるのである。
【００５４】
管理装置２０はステップＳ２６０では正規の利用者のアクセスか否かを示すステップＳ２５５の結果を端末装置５０に対して送信する。この結果は正規の利用者に対してはサービス装置４０へのアクセスの許可を示し、正規の利用者ではない利用者に対してはアクセスの拒否を示す。
【００５５】
アクセスの継続の場合には、管理装置２０は利用者に対して端末装置５０を介してサービスを利用者に提供する。また、管理装置２０はコンテキスト（アクセス許可の端末装置）を把握しているため、管理装置２０はいつでもアクセスしている端末装置の利用者を取り出すことが可能となる。また、図８の認証動作が必ず終了した後でなければ、管理装置２０はサービスの提供動作を行わない。
【００５６】
管理装置２０のサービスとして利用者の追加及び削除がある。利用者の追加及び削除のサービスについて図９及び図１０のフローチャートを参照して説明する。
【００５７】
この図９に示した動作は管理装置２０に端末装置５０から利用者（管理者を含む）が他の利用者を追加登録する場合の管理装置２０の動作である。利用者の追加の動作では、先ず、端末装置５０において追加する利用者の名称と、ＩＣカードの場合は追加する利用者の公開鍵、ＩＣカードでない場合は追加する利用者のパスワードとが入力され、それらの入力データが管理装置２０に供給される。
【００５８】
管理装置２０は、端末装置５０の入力データを受信すると、ステップＳ３００では追加する利用者の名称（ドメイン表記）から上位ドメインを利用者管理情報から検索する。上位ドメイン（グループ）が存在する場合、そのグループプロパティ管理情報を内部メモリから読み出す。
【００５９】
ステップＳ３１０では読み出したグループプロパティ管理情報が示す管理者を取り出す。取り出した管理者が利用者（個人）である場合には、アクセスしている利用者が管理者本人であるか否かを判断する。取り出した管理者がグループの場合、アクセスしている利用者がメンバのいずれか１であるか否かを判断する。アクセスしている利用者が管理者でない場合はここのステップＳ３１０の実行で追加の処理が中途終了される。
【００６０】
ステップＳ３１０で管理者のアクセスであることが確認されると、ステップ３２０の実行に進むが、ＩＣカードタイプの場合にはステップＳ３２０は実行されない。ＩＣカードタイプでない場合にはステップＳ３１０では、追加する利用者の公開暗号方式の鍵ペア（秘密鍵及び公開鍵）が作成される。また、作成された鍵ペアの秘密鍵がパスワードにより暗号化される。
【００６１】
ステップ３３０では、作成された鍵ペアの公開鍵について管理装置２０の秘密鍵を用いて証明書が作成される。そして、その追加の利用者が利用者管理情報に追加される。
【００６２】
図１０は管理装置２０に対して端末装置５０から利用者（管理者を含む）が他の利用者を削除する場合の動作を示している。利用者の削除動作は端末装置５０から削除する利用者の名称が入力され、その入力データが管理装置２０に送信されると、管理装置２０では削除する利用者の名称のデータを受信することによって次のステップＳ４００〜Ｓ４５０の動作が実行される。
【００６３】
ステップＳ４００では削除する利用者の名称（ドメイン表記）から上位ドメインを利用者管理情報から検索する。上位ドメイン（グループ）が存在する場合、そのグループプロパティ管理情報が読み出される。
【００６４】
ステップＳ４１０では読み出されたグループプロパティ管理情報の管理者を取り出す。管理者が利用者（個人）である場合、アクセスしている利用者が管理者本人であるか否かが判断される。アクセスしている利用者が管理者でない場合はステップＳ４１０の実行によって削除の処理が途中終了される。
【００６５】
ステップＳ４２０では全てのグループプロパティ管理情報で削除されるべき利用者が管理者として登録されている場合にその利用者が管理者（Ａｄｍｉｎ）に変更される。
【００６６】
ステップＳ４３０は全てサービスプロパティ管理情報で削除されるべき利用者が管理者として登録されている場合にその利用者が管理者（Ａｄｍｉｎ）に変更される。
【００６７】
ステップＳ４４０は全てのサービスレベルプロパティ管理情報で削除されるべき利用者が管理者として登録されている場合にその利用者が全て管理者（Ａｄｍｉｎ）に変更される。更に、利用者リストで削除されるべき利用者が存在する場合はそのリストからその利用者が削除される。
【００６８】
ステップＳ４５０では利用者管理情報から削除されるべき利用者が削除される。また、その利用者の認証情報にその削除情報が通知され、認証情報からもその利用者の情報が削除される。
【００６９】
図９に示した利用者の追加に対してグループの追加の場合には、端末装置５０から管理装置２０に追加するグループの名称を指定することによって追加動作が起動される。その追加動作は利用者を追加する場合と同様であり、ステップＳ３００、ステップＳ３１０が実行される。グループの追加では鍵生成や証明書の発行は必要ない。よって、ステップＳ３１０の実行後に、グループプロパティ管理情報が生成され、そのグループプロパティ管理情報の管理者としてアクセスしている利用者が設定される。最後に、そのグループプロパティ管理情報が利用者管理情報に追加される。
【００７０】
グループの削除の場合には、図１０に示した利用者の削除の場合における削除される利用者がグループに変更される他、ステップＳ４５０において、グループの全てのメンバに対する削除動作が行なわれる。また、グループの全てのメンバである利用者の認証情報にもその情報が通知され、認証情報の別名情報リストからそのメンバの全ての利用者の情報が削除される。
【００７１】
利用者或いはグループの別名の登録はグループと同様である。
【００７２】
また、利用者或いはグループの別名の削除については、図１０に示した利用者の削除の場合で削除する利用者がグループに変更される。そして、別名の元の利用者の認証情報にもその情報が通知され、認証情報の別名情報リストからその情報が削除される。
【００７３】
図１１は管理装置２０に端末装置５０から利用者（管理者を含む）がサービスを追加する場合の管理装置２０の動作を示している。サービスの追加動作は端末装置５０から追加するサービスの名称とサービスのパスワードとが入力され、それらの入力データが管理装置２０に供給されることによって開始される。
【００７４】
管理装置２０は入力データを受信すると先ず、ステップＳ５００で追加するサービスの名称が以前に利用されているか否かをチェックする。
【００７５】
追加するサービスの名称が以前に利用されていない場合には、ステップＳ５１０ではサービス専用の公開鍵暗号方式の鍵ペア（秘密鍵及び公開鍵）が生成される。また、生成した鍵ペアの秘密鍵がパスワードによって暗号化される。
【００７６】
ステップ５２０では生成された鍵ペアの公開鍵について管理装置２０の秘密鍵を用いて証明書が作成される。そして、サービス管理情報にサービスが追加され、更に、そのサービスのサービスプロパティ管理情報が生成される。
【００７７】
図１２は端末装置５０を介して利用者（管理者を含む）がサービスレベルを追加する場合の管理装置２０の動作を示している。サービスレベルの追加動作は端末装置５０から追加するサービスレベルの名称を入力され、その入力データが管理装置２０に供給されることによって開始される。
【００７８】
管理装置２０は入力データを受信すると先ず、ステップＳ６００で追加するサービスレベルの名称（ドメイン表記）から上位ドメインであるサービスをサービス管理情報から検索する。上位ドメイン（サービス）が存在する場合、そのサービスプロパティ管理情報が読み出される。
【００７９】
管理装置２０はステップＳ６１０では読み出されたサービスプロパティ管理情報の管理者を取り出し、その取り出した管理者が利用者（個人）の場合には、アクセスしている利用者が管理者本人であるか否かを判断する。管理者がグループの場合には、アクセスしている利用者がメンバであるか否かを判断する。アクセスしている利用者が管理人本人或いはグループのメンバではない場合、このステップＳ６１０にて処理は途中終了される。
【００８０】
ステップＳ６２０で管理装置２０は入力データとして受信したサービスレベルをサービスレベル管理情報に追加する。更に、そのサービスレベルのサービスレベルプロパティ管理情報を生成する。
【００８１】
図１３は端末装置５０を介して利用者（管理者を含む）が利用者リストを追加する場合の管理装置２０の動作を示している。利用者リストの追加はサービスレベルの名称（ドメイン表記）と利用者或いはグループとが指定され、その指定データが管理装置２０に供給されることによって開始される。
【００８２】
管理装置２０は、指定データを受信すると、先ずステップＳ７００では指定サービスレベルの名称（ドメイン表記）からそのサービスレベルプロパティ管理情報を検索する。また、指定利用者、グループ或いはサービスレベルの名称（ドメイン表記）が利用者管理情報或いはサービスレベル管理情報に存在しているか否かを検索する。それらが存在しない場合、処理は終了する。
【００８３】
管理装置２０は、ステップＳ７１０ではサービスレベルプロパティ管理情報の管理者が利用者（個人）である場合には、アクセスしている利用者が管理者本人であるか否かを判断する。管理者がグループである場合には、アクセスしている利用者がメンバに含まれているか否かを判断する。アクセスしている利用者が管理者本人或いはグループのメンバではない場合、処理は途中終了する。
【００８４】
管理装置２０は、ステップＳ７２０ではサービスレベルプロパティ管理情報の利用者リストに指定利用者を追加する。
【００８５】
利用者リストの削除動作は図１３に示した利用者リストの追加動作とほぼ同一の動作を行なうが、ステップＳ７２０のみが異なる。削除動作では、管理装置２０は、ステップ７２０ではサービスレベルプロパティ管理情報の利用者リストから指定利用者を削除する動作を行う。また、削除された利用者の情報は認証情報に即座に通知され、認証情報が更新される。
【００８６】
サービスレベル削除動作は図１２に示したサービスレベル追加動作とほぼ同一の動作を行うが、ステップＳ６２０のみが異なる。削除動作では、管理装置２０は、ステップＳ６２０ではサービス管理情報から指定サービスレベルを削除する。更に、全てのサービスプロパティ管理情報の利用者リストからそのサービスレベルが含まれている場合には、そのリストを削除する。また、削除された利用者の情報は認証情報に即座に通知され、認証情報が更新される。
【００８７】
サービス削除動作は図１１に示すサービス削除動作とほぼ同一の動作を行うが、ステップＳ５２０の動作のみが異なる。削除動作では、管理装置２０は、ステップＳ５２０ではそのサービスの下位に存在する全てのサービスレベルの削除を行う。そして、サービス管理情報からそのサービスを削除する。
【００８８】
以上のように、管理装置２０に登録されている利用者はその個人権限の範囲内でネットワークを介して安全にサービスに必要なアクセス権限の変更が可能となる。
【００８９】
また、かかるサービス管理システムは従来のパスワードのみを利用者が記憶するシステムにのみ適用でき、ＩＣカード等の秘密鍵を一切外に出さないシステムでも運用可能であり、ハイセキュリティシステムを構築することが可能である。
【００９０】
次に、ネットワーク回線７０を介して端末装置５０から管理装置２０に登録したサービスや利用者のアクセス制御の設定に基づき、端末装置５０からサービス装置４０を利用する場合のアクセス制御動作について説明する。
【００９１】
図１４は管理装置２０で設定したサービスのアクセス制御の情報に基づき、アクセス制御を行うフローチャートを示している。
【００９２】
ステップＳ８００ではサービス装置４０が管理装置２０に対し、サービス装置のサービス名称を引数として認証情報の取得を要求する。
【００９３】
ステップＳ８１０では管理装置２０がサービス名称をサービス管理情報から検索し、そのサービスプロパティ管理情報を取り出す。更に、そのサービスの下位のサービスレベルを全て取り出し、そのサービスレベルプロパティ管理情報も取り出す。それらの情報に応じてサービスの認証情報を生成してサービス装置４０に送り返す。
【００９４】
サービスの認証情報を受け取ったサービス装置４０はパスワードの入力を促し、入力されたパスワードによって認証情報の暗号化された秘密鍵を復号化する（ステップＳ８１５）。
【００９５】
ステップＳ８２０では端末装置５０においてその端末利用者が自分の利用者名を引数として認証情報の取得を管理装置２０に対して要求することが行われる。ステップＳ８２０の実行はステップＳ８１０より時間的に前でも後でも問題はない。
【００９６】
管理装置２０は認証情報獲得要求に対してステップＳ８３０では利用者名を利用者管理情報から検索し、その利用者プロパティ管理情報を取り出す。更に、利用者管理情報からその利用者のリンクを全て検索する。それらの情報に基づいて利用者の認証情報を生成してその認証情報を端末装置５０に送信する。利用者の認証情報でＩＣカードを利用しない場合、端末装置５０はパスワード入力を促し、そのパスワードによって認証情報の暗号化された秘密鍵を復号化する（ステップＳ８３５）。
【００９７】
ステップＳ８４０以降の動作はＳＳＬ或いはＩＰｓｅｃ等の暗号を併用して動作することが可能である。ＳＳＬの場合には、ステップＳ８１５で得られた秘密鍵と認証情報に含まれる(1)認証装置１０の証明書群と、(2)管理装置２０の証明書と、(3)管理装置２０が発行したサービスの証明書とを利用することにより暗号通信を可能にする。
【００９８】
ステップＳ８４０では端末装置５０が接続要求をサービス装置４０に対して送信する。その接続要求では利用者が端末装置５０を利用する毎に個別に発行される端末装置ＩＤが引数とされる。サービス装置５０に端末装置５０の端末装置ＩＤのキャッシュがある場合は、ステップＳ８７０へと移行してアクセスを許可することを端末装置５０に送信する。
【００９９】
ステップＳ８５０は端末装置ＩＤのキャッシュがサービス装置４０に存在しない場合であり、このステップＳ８５０においてサービス装置５０はランダム数をチャレンジコードとして端末装置５０に送信する。
【０１００】
端末装置５０はステップＳ８６０では、ステップＳ８３０で得られた秘密鍵或いはＩＣカードの秘密鍵によりランダム数を暗号化した結果と、利用者の認証情報の管理装置２０が発行した利用者の証明書とを引数とするチャレンジレスポンスを送信する。
【０１０１】
チャレンジレスポンスを受信したサービス装置４０は、チャレンジレスポンスの情報が正しいか否かを判断すると共に、サービスの認証情報に含まれる下位のサービスレベルの利用者リストにアクセスしている利用者が含まれるか否かを判断する（ステップＳ８６５）。
【０１０２】
サービス装置４０は端末装置ＩＤとアクセスしている利用者をペアとするデータをキャッシュし、アクセスを許可することを端末装置５０に送信する（ステップＳ８７０）。
【０１０３】
ステップＳ８７０のアクセスの許可によってステップＳ８８０ではサービス装置４０固有のサービスが端末装置５０との間で実行される。
【０１０４】
なお、図１４におけるアクセス制御のステップＳ８２０、ステップＳ８３０を実行しないことにより、認証装置１０のみに登録されているが、管理装置２０には登録されていない利用者のアクセスを許可する非常にアクセス制限のゆるいサービスの提供が可能である。
【０１０５】
以上のように、図１４に示したアクセス制御動作によれば、管理装置２０が発行する認証情報を利用することにより、サービス装置４０が端末装置５０からアクセスしている利用者を特定することが可能となる。
【０１０６】
登録されている利用者、グループ、別名、利用者リストの利用者が削除された場合、管理装置２０は該当利用者或いはグループを削除するだけでなく、認証情報にも削除情報が通知される。すなわち、利用者が不正に認証情報の証明書を保持していたとしても、サービス装置４０では認証情報が更新されているため不正アクセスが不可能である。
【０１０７】
サービス装置４０は秘密情報を扱うサービスであるので、利用者が端末装置５０を介して何らかの情報（例えばパスワード）を渡さなければサービス動作を開始することはできない。これは、サービス装置４０が誤動作や電源のダウン等などの理由により再起動が必要な場合も同一である。再起動の場合、メモリ上に保存していた認証情報の復号化された秘密鍵は揮発してしまっている。そのため、再起動ではもう一度、パスワードを入力することにより認証情報から秘密鍵を復号化するための作業が必要である。次に、サービス装置４０を再起動時に安全に自動復帰させるための構成及びその動作について説明する。
【０１０８】
図１５はサービス装置４０を自動復帰させるためのシステム構成を示している。図１５の構成では復帰装置３０が含まれている点が図１に示したシステム構成とは異なる。復帰装置３０は管理装置２０とサービス装置４０とにネットワーク回線７０とは独立した個別のラインによって各々接続されている。
【０１０９】
復帰装置３０はサービス装置４０が再起動したことを検知し、サービス装置４０の利用者にパスワードを再入力させることなくサービス装置４０をサービス提供のためのアクセス可能な状態に復帰させる処理を行う。
【０１１０】
サービス装置４０が自動復帰させるためには、管理装置２０に復帰サービスレベルが追加される必要がある。復帰サービスレベルはサービスレベルの特殊形態である。復帰サービスレベルの追加では、(1)サービスレベルの名称、(2)サービス作成時に指定したパスワード、(3)復帰を行う利用者の名称、(4)サービス装置を復帰させるためのパスワードが指定される。
【０１１１】
また、復帰サービスレベルの追加動作は図１２に示したサービスレベルの追加動作に更に動作が付加される。すなわち、ステップＳ６００には指定利用者の名称（ドメイン表記）が存在するか否かのチェックが加わる。また、ステップＳ６１０ではサービス管理情報から暗号化されている秘密鍵が取り出され、サービス作成時に指定したパスワードにより暗号化されている秘密鍵を復号化して秘密鍵を得ることが行われる。更に、サービス装置４０を復帰させるためのパスワードにより得られた秘密鍵が暗号化される。
【０１１２】
ステップＳ６２０にはステップＳ６１０における暗号化された秘密鍵をサービスレベルプロパティ管理情報に追加する動作が追加される。
【０１１３】
サービスの認証情報にも上記の暗号化された秘密鍵が含まれる。
【０１１４】
次に、サービス装置４０の自動復帰動作について図１６のシーケンス図を参照しつつ説明する。
【０１１５】
この自動復帰動作では復帰装置３０の起動が最初実行される。その起動には、(1)利用者の名称（ドメイン形式）、(2)サービスの名称（ドメイン形式）、(3)利用者のパスワード、(4)サービスを起動するためのパスワードの４つの情報が必要である。これらの情報は管理装置２０の内部メモリ上に確保される。
【０１１６】
復帰装置３０はステップＳ９００では、管理装置２０からサービス装置４０を復帰できる利用者の名称を引数とした認証情報要求を管理装置２０に対して送信する。
【０１１７】
管理装置２０は認証情報要求を受信すると、ステップＳ９１０において引数の利用者の名称（ドメイン形式）に応じてその利用者を検索し、その利用者の認証情報を生成して復帰装置３０に対して送信する。
【０１１８】
復帰装置３０は認証情報を受信すると、その認証情報に利用者パスワードを指定することにより、認証情報に含まれる暗号化された秘密鍵を得る。そして、サービス装置４０が正常な動作状態にあるか否かを判別するため定期的なポーリングを実行する（ステップＳ９１５）。このポーリング状態ではサービス装置４０が誤動作や一時的な停電で動作停止状態になっても再起動が可能な状態となる。
【０１１９】
サービス装置４０が図１６に示すように動作停止状態に陥って再起動し、復帰装置３０はその再起動を確認したことで動作を開始し、再起動用のポートをオープンし、そのポートにアクセスするためのアクセス方法を引数として復帰要求をサービス装置４０に送信する（ステップＳ９２０）。
【０１２０】
サービス装置４０は復帰要求を受信すると、ステップＳ９３０ではその復帰要求に示されたアクセス方法に基づいて復帰装置３０のポートに対しランダム数を引数としてトライ要求を送信する。ただし、このアクセスは他者に漏洩しないことを確認する必要がある。通常、ＨＴＴＰＳ等の回線レベルの暗号を利用することになる。この下位回線レベルの暗号通信はステップＳ９６０まで継続される。
【０１２１】
復帰装置３０はトライ要求を受信すると、ステップＳ９４０ではそのトライ要求に示されたランダム数を復帰装置３０が持つ認証情報の秘密鍵で暗号化し、その暗号化結果と認証情報に含まれる管理装置２０が発行した証明書とを引数としてトライレスポンスをサービス装置４０に送信する。
【０１２２】
サービス装置４０はトライレスポンスを受信すると、ステップＳ９５０では指定された秘密鍵で暗号化されたランダム数が送り出したランダム数が元になっているか否かの判別と証明書が正しいか否かの判断とを行う。この判断によって復帰装置３０の利用者を特定することができる。更に、サービス装置４０はその利用者がサービス装置４０の認証情報に含まれる下位のサービスレベルの利用者リストから復帰のための利用者として登録されているか否かを判断するために解読要求を復帰装置３０に送信する。
【０１２３】
復帰装置３０は解読要求を受信すると、ステップＳ９６０では利用者リストからステップＳ９５０で特定された利用者の復帰用の暗号化された秘密鍵を取り出し、それを引数として解読結果をサービス装置４０に送信する。
【０１２４】
サービス装置４０は解読結果を受信すると、ステップＳ９７０では解読結果に示された秘密鍵を復帰装置３０の起動時に指定されたサービスを起動するためのパスワードで復号化してそれを引数とする情報を復帰装置４０に送信する。
【０１２５】
かかる自動起動動作により、サービス装置４０は秘密鍵を獲得可能であり、サービスを提供できる状態となる。すなわち、サービス装置４０は図１４に示すアクセス制御のフローチャートのステップＳ８１５が終了した状態と同等となる。
【０１２６】
また、かかる自動復帰動作によれば、電源のダウン等の理由でサービス装置４０が再起動した場合に、利用者にパスワードを再入力させることなくサービス装置４０をサービス提供のためのアクセス可能な状態に復帰させるが可能となる。
【図面の簡単な説明】
【０１２７】
【図１】本発明の実施例を示すシステム構成図である。
【図２】ユーザ管理情報の構成を示す図である。
【図３】グループプロパティ管理情報の構成を示す図である。
【図４】サービス管理情報の構成を示す図である。
【図５】サービスプロパティ管理情報の構成を示す図である。
【図６】サービスレベルプロパティ管理情報の構成を示す図である。
【図７】管理装置の初期起動動作を示すフローチャートである。
【図８】端末装置の利用者を管理装置が認識するための動作シーケンスを示す図である。
【図９】利用者追加動作を示すフローチャートである。
【図１０】利用者削除動作を示すフローチャートである。
【図１１】サービス追加動作を示すフローチャートである。
【図１２】サービスレベル追加動作を示すフローチャートである。
【図１３】利用者リスト追加動作を示すフローチャートである。
【図１４】アクセス制御動作シーケンスを示す図である。
【図１５】本発明の実施例を示すシステム構成図である。
【図１６】復帰動作シーケンスを示す図である。
【主要部分の符号の説明】
【０１２８】
１０ 認証装置
２０ 管理装置
３０ 復帰装置
４０ サービス装置
５０ 端末装置
【特許請求の範囲】
【請求項１】
ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理システムであって、
前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持する発行保存手段と、
前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信する手段と、
前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信する第１認証情報送信手段と、
前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号する第１復号手段と、
前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信する手段と、
前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信する第２認証情報送信手段と、
前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号する第２復号手段と、
前記第１及び第２復号手段によって各々復号された秘密鍵を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にする手段と、を備えたことを特徴とするサービス管理システム。
【請求項２】
前記通信手段は、前記復号された秘密鍵の他に、認証装置の証明書群、前記管理装置の証明書及びサービスの証明書を通信に用いることを特徴とする請求項１記載のサービス管理システム。
【請求項３】
前記サービス装置の再起動を検出する検出手段と、
前記検出手段によって前記サービス装置の再起動が検出されたとき復帰要求を前記サービス装置に送信する手段と、
前記サービス装置において前記復帰要求に応答してランダム数を送信する手段と、
前記ランダム数を秘密鍵で暗号化して証明書と共に前記サービス装置に送信する手段と、
前記サービス装置において秘密鍵で暗号化された前記ランダム数及び前記証明書に基づいて第１復号手段によって復号された前記暗号化された秘密鍵を得る手段と、を含むことを特徴とする請求項１記載のサービス管理システム。
【請求項４】
ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理方法であって、
前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持し、
前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信し、
前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信し、
前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号し、
前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信し、
前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信し、
前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号し、
その復号された秘密鍵各々を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にすることを特徴とするサービス管理方法。
【請求項１】
ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理システムであって、
前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持する発行保存手段と、
前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信する手段と、
前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信する第１認証情報送信手段と、
前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号する第１復号手段と、
前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信する手段と、
前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信する第２認証情報送信手段と、
前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号する第２復号手段と、
前記第１及び第２復号手段によって各々復号された秘密鍵を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にする手段と、を備えたことを特徴とするサービス管理システム。
【請求項２】
前記通信手段は、前記復号された秘密鍵の他に、認証装置の証明書群、前記管理装置の証明書及びサービスの証明書を通信に用いることを特徴とする請求項１記載のサービス管理システム。
【請求項３】
前記サービス装置の再起動を検出する検出手段と、
前記検出手段によって前記サービス装置の再起動が検出されたとき復帰要求を前記サービス装置に送信する手段と、
前記サービス装置において前記復帰要求に応答してランダム数を送信する手段と、
前記ランダム数を秘密鍵で暗号化して証明書と共に前記サービス装置に送信する手段と、
前記サービス装置において秘密鍵で暗号化された前記ランダム数及び前記証明書に基づいて第１復号手段によって復号された前記暗号化された秘密鍵を得る手段と、を含むことを特徴とする請求項１記載のサービス管理システム。
【請求項４】
ネットワーク内においてサービス装置からサービスの提供を端末装置を介して受ける顧客及びその顧客毎のサービス内容を管理装置にて管理するサービス管理方法であって、
前記管理装置において前記サービス装置について秘密鍵及び公開鍵を予め作成して保持し、
前記サービス装置においてパスワードを含む認証情報要求を前記管理装置に対して送信し、
前記管理装置において前記サービス装置からの前記認証要求に応答して前記パスワードで暗号化された秘密鍵を含む認証情報を前記サービス装置に送信し、
前記サービス装置において前記暗号化された秘密鍵を自身のパスワードによって復号し、
前記端末装置において１の顧客の名称及びパスワードを示す認証情報要求を前記管理装置に対して送信し、
前記管理装置において前記端末装置からの前記認証要求に応答して前記１の顧客のパスワードで暗号化された秘密鍵を含む認証情報を前記端末装置に送信し、
前記端末装置において前記第２認証情報送信手段からの前記暗号化された秘密鍵を自身のパスワードによって復号し、
その復号された秘密鍵各々を少なくとも用いて前記端末装置と前記サービス装置との間で通信を可能にすることを特徴とするサービス管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２００７−１０２８１５（Ｐ２００７−１０２８１５Ａ）
【公開日】平成１９年４月１９日（２００７．４．１９）
【国際特許分類】
【出願番号】特願２００６−３５５２１６（Ｐ２００６−３５５２１６）
【出願日】平成１８年１２月２８日（２００６．１２．２８）
【分割の表示】特願２００１−３５４３５０（Ｐ２００１−３５４３５０）の分割
【原出願日】平成１３年１１月２０日（２００１．１１．２０）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【Ｆターム（参考）】
【公開日】平成１９年４月１９日（２００７．４．１９）
【国際特許分類】
【出願日】平成１８年１２月２８日（２００６．１２．２８）
【分割の表示】特願２００１−３５４３５０（Ｐ２００１−３５４３５０）の分割
【原出願日】平成１３年１１月２０日（２００１．１１．２０）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【Ｆターム（参考）】
[ Back to top ]