ネットワークシステム、利用権限判定方法、ネットワーク機器、プログラム及び記録媒体
【課題】ネットワーク機器と認証装置を備えるネットワークシステムにおいて、多数のネットワーク機器を使用する場合でも容易に各ユーザの利用権限を設定できるようにする。
【解決手段】認証サーバ２００に、ユーザの識別情報及び、そのユーザが属するグループの情報を記憶するユーザ情報記憶部２０１と、ＭＦＰ１００からユーザの識別情報を受信した場合に、その識別情報に係るユーザが属するグループを示す情報をＭＦＰ１００に送信するグループ判定部２０３とを設け、ＭＦＰ１００に、自身の機能の利用権限を示す情報をグループ毎に記憶する権限情報記憶部１２１と、自身を使用しようとしたユーザの識別情報を認証サーバ２００に送信し、認証サーバ２００からそのユーザが属するグループの情報を受信し、その情報に基づいて自身を使用しようとしたユーザの利用権限有無を判断する権限判断部１２２とを設けた。
【解決手段】認証サーバ２００に、ユーザの識別情報及び、そのユーザが属するグループの情報を記憶するユーザ情報記憶部２０１と、ＭＦＰ１００からユーザの識別情報を受信した場合に、その識別情報に係るユーザが属するグループを示す情報をＭＦＰ１００に送信するグループ判定部２０３とを設け、ＭＦＰ１００に、自身の機能の利用権限を示す情報をグループ毎に記憶する権限情報記憶部１２１と、自身を使用しようとしたユーザの識別情報を認証サーバ２００に送信し、認証サーバ２００からそのユーザが属するグループの情報を受信し、その情報に基づいて自身を使用しようとしたユーザの利用権限有無を判断する権限判断部１２２とを設けた。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ユーザに権限に応じた機能の利用を許可するネットワーク機器と、そのネットワーク機器と通信可能な認証装置とを備えたネットワークシステム、上記のようなネットワーク機器における利用権限判定方法、上記のようなネットワーク機器、コンピュータに上記のようなネットワーク機器を制御させるためのプログラム、およびこのようなプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
従来から、デジタル複合機（ＭＦＰ）のようなネットワーク機器において、ユーザやグループごとに利用できる機能を制限できるようにすることが行われている。そして、このような装置においては、ユーザに操作パネルからユーザコードを入力させたり、ＩＤカードを使用させたりして個人を識別し、各ユーザに、許可された権限の範囲内でのみ装置を使用させるようにすることが可能である。
このような装置によれば、ユーザごとにコピーの色の制限やファクス送信、印刷、スキャナなどの利用制限をかけたり、部門ごとに使用量を集計してその上限を設定し過度の使用を防ぐといったことが可能である。
このような装置については、例えば特許文献１乃至３に記載されている。
【特許文献１】特開２００２−１７８５６７号公報
【特許文献２】特開２００２−２４０３９８号公報
【特許文献３】特開平１０−５８７９６号公報
【０００３】
なお、これらの上記の特許文献１乃至３に記載の装置は、ユーザの識別（認証）を機器自身が行うものであるが、ユーザ情報や各ユーザが有する各機器の利用権限の情報を一元管理するディレクトリサーバを設け、複数のネットワーク機器がこのディレクトリサーバにおける認証機能を利用してユーザの利用権限有無を判定できるようにするシステムも提案されている。
このような技術については、特許文献４に記載されている。
【特許文献４】特開２００２−２０２９４５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の特許文献１乃至３に記載のような、ユーザに機能を提供するネットワーク機器自身が認証処理を行う構成では、ユーザ環境において複数のネットワーク機器を使用する場合、新規にユーザを追加したりユーザを削除したりする場合に、機器毎に個別にユーザＩＤやパスワード等を登録や削除する必要があり、設定が煩わしいという問題があった。
【０００５】
一方、特許文献４に記載のように、ユーザ情報や利用権限の情報を一元管理するサーバを設け、各機器における権限や、ネットワークへのログインに使用する情報等を一括して管理するようにすれば、このような問題は解決には有効である。しかし、このようなサーバを利用可能とするためには、サーバに各ユーザについて各ネットワーク機器についてのアクセス制限の情報を記載したデータベースを作成する必要があった。そして、このようなデータベースの作成には深いネットワーク知識が必要である上、煩雑な作業が必要であるという問題があった。
この発明は、このような問題を解決し、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
この発明は、上記の目的を達成するため、ネットワーク機器と認証装置とを備えるネットワークシステムにおいて、上記認証装置に、上記ネットワーク機器を使用するユーザの識別情報及び、そのユーザが属するグループを示すグループ情報を記憶する記憶手段と、上記ネットワーク機器からユーザの識別情報を受信した場合に、その識別情報に係るユーザが属するグループを示すグループ情報を上記ネットワーク機器に送信する送信手段とを設け、上記ネットワーク機器に、自身の機能の利用権限を示す利用権限情報を上記グループ毎に記憶する記憶手段と、自身を使用しようとしたユーザの識別情報を上記認証装置に送信する送信手段と、上記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判断する判断手段とを設けたものである。
【０００７】
このようなネットワークシステムにおいて、上記ネットワーク機器の判断手段が、上記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ中の少なくとも１つのグループについて利用権限のある機能については、そのユーザに利用権限を認めるようにするとよい。
あるいは、上記ネットワーク機器の判断手段が、上記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ全てについて利用権限のある機能についてのみ、そのユーザに利用権限を認めるようにしてもよい。
【０００８】
あるいは、上記ネットワーク機器の記憶手段に、デフォルトグループに関する利用権限情報を記憶させておき、上記ネットワーク機器の判断手段が、上記認証装置からあるユーザが属するグループがないことを示すグループ情報を受信した場合でも、そのユーザに上記デフォルトグループに係る利用権限を認めるようにしてもよい。
また、上記の各ネットワークシステムについて、上記認証装置において、上記記憶手段に上記各グループについてＩＤを記憶させると共に、上記送信手段が上記グループ情報としてグループのＩＤを送信するようにし、上記ネットワーク機器において、上記記憶手段が上記利用権限情報を上記グループのＩＤ毎に記憶すると共に、上記判断手段が上記認証装置から受信したグループのＩＤに基づいてユーザの利用権限有無を判断するようにするとよい。
【０００９】
また、この発明のネットワーク機器における利用権限判定方法は、ネットワーク機器における利用権限判定方法において、上記ネットワーク機器とネットワークを介して通信可能な認証装置に、上記ネットワーク機器を使用するユーザの識別情報及び、そのユーザが属するグループを示すグループ情報を記憶させておき、上記ネットワーク機器からユーザの識別情報を受信した場合に、その識別情報に係るユーザが属するグループを示すグループ情報を上記ネットワーク機器に送信させ、上記ネットワーク機器に、自身の機能の利用権限を示す利用権限情報を上記グループ毎に記憶させておき、自身を使用しようとしたユーザの識別情報を上記認証装置に送信させ、上記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判定させるようにしたものである。
【００１０】
また、この発明のネットワーク機器は、自身の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、自身を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、その手段による送信に応じて上記認証装置から受信した、自身を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段とを設けたネットワーク機器である。
【００１１】
また、この発明のプログラムは、コンピュータにネットワーク機器を制御させるためのプログラムであって、上記コンピュータを、上記ネットワーク機器の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、上記ネットワーク機器を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、その手段による送信に応じて上記認証装置から受信した、上記ネットワーク機器を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段として機能させるためのプログラムを含むものである。
また、この発明の記録媒体は、上記のプログラムを記録したコンピュータ読取可能な記録媒体である。
【発明の効果】
【００１２】
以上のようなこの発明のネットワークシステム、利用権限判定方法又はネットワーク機器によれば、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定することができる。
また、この発明のプログラムによれば、コンピュータを上記のネットワーク機器として機能させてその特徴を実現し、同様な効果を得ることができる。
この発明の記録媒体によれば、上記のプログラムを記憶していないコンピュータにそのプログラムを読み出させて実行させ、上記の効果を得ることができる。
【発明を実施するための最良の形態】
【００１３】
以下、この発明を実施するための最良の形態について、図面を参照して説明する。
〔実施形態：図１乃至図８〕
まず、この発明のネットワーク機器の実施形態であるデジタル複合機（ＭＦＰ）及び、そのデジタル複合機を備えたネットワークシステムについて説明する。
まず図１に、上記のＭＦＰの構成を示す。
この図に示すとおり、ＭＦＰ１００は、ＣＰＵ１０１，ＲＯＭ１０２，ＲＡＭ１０３，画像蓄積メモリ１０４，記憶装置１０５，ＬＡＮ（ローカル・エリア・ネットワーク）コントローラ１０６，ＦＡＸ（ファクシミリ）通信部１０７，スキャナ部１０８，プロッタ部１０９，パネルＩ／Ｆ（インタフェース）１１０を備え、これらがシステムバス１１１によって接続されている。また、パネルＩ／Ｆ１１０には操作表示部１１２が接続されている。
【００１４】
そして、ＣＰＵ１０１は、ＭＦＰ１００全体を統括制御する制御手段であり、ＲＯＭ１０２や記憶装置１０５に記憶している種々の制御プログラムを実行することにより、後述するように、送信手段や判断手段等の各手段として機能し、この実施形態の特徴に係る種々の機能を実現する。
ＲＯＭ１０２は、不揮発性の記憶手段であり、ＣＰＵ１０１が実行する制御プログラムや、固定的なパラメータ等を記憶する。ＲＯＭ１０２を書き換え可能な記憶手段として構成し、これらのデータをアップデートできるようにしてもよい。
ＲＡＭ１０３は、一時的に使用するデータを記憶したり、ＣＰＵ１０１のワークメモリとして使用したりする揮発性の記憶手段である。このＲＡＭ１０３は、電源が遮断されても記憶内容を保持できるようにバッテリによってバックアップしておくとよい。
【００１５】
画像蓄積メモリ１０４は、ＲＡＭ等によって構成され、ＦＡＸ通信部１０７で受信した画像や、スキャナ部１０８で読み取った画像のデータを記憶する記憶手段である。
記憶装置１０５は、ＮＶＲＡＭ（不揮発ＲＡＭ）やＨＤＤ（ハードディスクドライブ）等によって構成される書き換え可能な不揮発性記憶手段であり、ＣＰＵ１０１に実行させる制御プログラムや、装置の電源がＯＦＦされた後でも保持しておく必要があるデータあるいはパラメータの値などを記憶する。後述する権限情報も、この記憶装置１０５に記憶させておくようにするとよい。
【００１６】
ＬＡＮコントローラ１０６は、ＭＦＰ１００をネットワークに接続するためのインタフェース及び通信制御に必要な回路等を含むユニットであり、例えばイーサネット（登録商標）方式の通信を行うためのインタフェースである。そして、ネットワークを介して他の装置と通信を行う場合、このＬＡＮコントローラ１０６とＣＰＵ１０１とが通信手段として機能する。なお、ネットワークは、イーサネット、無線ＬＡＮ、ＩＥＥＥ（Institute of Electrical and Electronic Engineers）１３９４等、有線、無線を問わず種々の方式のものが使用可能である。
ＦＡＸ通信部１０７は、画像の符号化や復号化を行う符号化復号化部、公衆通信網を介した通信を制御する網制御部等によって構成され、外部装置との間でファクシミリ通信により画情報の送受信を行う通信手段である。
【００１７】
スキャナ部１０８は、原稿の画像を画像データとして読み取る画像読取手段である。
プロッタ部１０９は、画像データに基づいて用紙に画像を形成する画像形成手段である。
操作部Ｉ／Ｆ１１０は、表示操作部１１２をシステムバス１１１と接続するためのインタフェースである。そして、表示操作部１１２は、液晶ディスプレイにタッチパネルを積層した操作パネルや、各種キー等を備え、画面にメッセージやＧＵＩを表示したり、ユーザからによる動作指示や情報入力等の操作を受け付ける機能を有する。
このＭＦＰ１００は、以上のような構成を有し、ＣＰＵ１０１が所要の制御プログラムを実行して各部を制御することにより、プリント、スキャン、コピー、ファクシミリ通信等の種々の機能を実現することができる画像処理装置である。
【００１８】
次に、図２にこのＭＦＰを備えるネットワークシステムの構成例を示す。
図２に示すネットワークシステムは、この発明のネットワークシステムの実施形態であり、図１に示したＭＦＰ１００と、認証装置である認証サーバ２００とをＬＡＮ４００によって接続して構成している。また、ＬＡＮ４００には、それぞれネットワーク通信手段を備えたネットワーク機器である複写機３０１，プリンタ３０２，ＦＡＸ装置３０３，スキャナ３０４，ＰＣ（パーソナルコンピュータ）３０５も接続している。
【００１９】
ここで、認証サーバ２００は、ハードウェアとしては、ＣＰＵ，ＲＯＭ，ＲＡＭ，ＨＤＤ，ネットワークＩ／Ｆ等を備えた公知のコンピュータでよい。しかし、ＲＯＭやＨＤＤに記憶させた所要の制御プログラムをＣＰＵに実行させることにより、ＳＡＭ（セキュリティ・アカウント・マネージャ）データベースを用いてＬＡＮ４００内で使用するユーザアカウント情報を管理するサーバ装置として機能させるようにしている。そして、ＳＡＭデータベースにおいては、ユーザアカウントとそのユーザが属するグループとを対応させて管理しており、ユーザ名とパスワードのようなユーザの識別情報によってユーザを認証し、そのユーザが属するグループを特定する機能を有する。
【００２０】
また、認証サーバ２００は、ＬＡＮ４００上の各ネットワーク機器からの要求に応じてユーザを認証すると共に、そのユーザが属するグループ名をその要求元に通知する機能も有する。従って、ＭＦＰ１００やＰＣ３０５を始めとする各ネットワーク機器は、自身でユーザ個々のユーザ名やパスワードを管理しなくても、認証サーバ２００が管理しているユーザアカウントを利用してユーザを認証し、そのユーザの属するグループの情報を取得することができる。従って、認証サーバ２００におけるユーザアカウントを変更するだけで、そのユーザアカウントを利用している全てのネットワーク機器についてユーザアカウントを変更した場合と同等な効果を得ることができる。
【００２１】
次に、図３に、上記のようなＭＦＰ１００及び認証サーバ２００の機能構成のうち、この実施形態の特徴に関連する部分を示す。なお、この図においては、この実施形態の特徴とあまり関係ない部分については図示を省略している。また、図中の各部を結ぶ矢印は、それらの各部の間で情報の授受があることを示すものであり、物理的な構成を意味するものではない。
【００２２】
図３に示すように、認証サーバ２００には、この実施形態の特徴に関連する機能部として、ユーザ情報記憶部２０１，ログイン判定部２０２，グループ判定部２０３，送受信機能部２０４を備えている。
そして、ユーザ情報記憶部２０１は、上述したようなＳＡＭデータベースとして、ユーザの識別情報及び、そのユーザが属するグループを示すグループ情報を記憶する機能を有する。このユーザ情報記憶部２０１は、ハードウェアとしては、内部のＨＤＤ等の記憶手段に設けてもよいし、外部の記憶手段に設けてもよい。
【００２３】
ログイン判定部２０２は、ＬＡＮ４００を介して外部のネットワーク機器からユーザの認証を要求された場合に、そのネットワーク機器から認証に使用する識別情報（ここではユーザ名とパスワード）を取得し、これをユーザ情報記憶部２０１に記憶している情報と比較することによりユーザを認証する認証手段の機能を有する。そして、そのユーザが認証サーバ２００にアクセスする権限を有すると判断した場合、認証サーバ２００へのログインを許可する機能も有する。
【００２４】
また、グループ判定部２０３は、ログイン判定部２０２における認証が成功したユーザについて、そのユーザが属するグループの情報の取得を要求された場合、ユーザ情報記憶部２０１からそのユーザが属するグループの情報を取得し、要求元に通知する機能を有する。なお、この場合において、情報を通知する前に、情報を要求してきた相手にこれを取得する権限があることを確認するようにするとよい。
送受信機能部２０４は、外部のネットワーク機器との間で情報を送受信する機能を有する通信手段であり、上述した各部が行う要求の取得や通知の送信は、この送受信機能部２０４を介して行う。
【００２５】
一方、ＭＦＰ１００には、この実施形態の特徴に関連する機能部として、操作表示部１１２，権限情報記憶部１２１，権限判断部１２２，送受信機能部１２３，機能提供部１２４を備えている。
操作表示部１１２については上述した通りであるが、ＭＦＰ１００の機能を使用する指示や、ユーザ名及びパスワードの入力等、種々の操作を受け付けたり、その受付を行うための画面を表示したりする機能を有する。
【００２６】
権限情報記憶部１２１は、自身の機能のうちユーザに利用権限を与える機能の種類を示す利用権限情報を記憶する記憶手段である。そして、この利用権限情報は、認証サーバ２００がＳＡＭデータベースにおいてユーザのグループ分けに用いているグループの種類毎に、そのグループに属するユーザに与える利用権限を示す情報として記憶するようにしている。なお、この権限情報記憶部１２１に記憶させる利用権限情報は、操作表示部１１２から入力できるようにしたり、認証サーバ２００等の外部装置からテンプレートをダウンロードして編集できるようにしたり、同じく外部装置からグループ名一覧のみダウンロードして各グループについて利用権限を設定できるようにしたりと、種々の方法で設定できるようにすることが考えられる。
【００２７】
また、権限判断部１２２は、ユーザがＭＦＰ１００の機能を利用しようとした場合に、そのユーザが有する利用権限の範囲を判断する判断手段の機能を有する。そしてここでは、この判断は、ユーザがＭＦＰ１００の機能を利用しようとした場合に、表示操作部１１２を利用してユーザ名及びパスワードの入力を受け付け、これをＭＦＰ２００に送信してそのユーザを認証させると共にそのユーザが属するグループの情報を取得し、この情報をもとに、権限情報記憶部１２１に記憶しているグループ毎の利用権限情報を参照して行うようにしている。
これらの権限情報記憶部１２１及び権限判断部１２２の機能がこの実施形態の主要な特徴である。
【００２８】
また、送受信機能部１２３は、認証サーバ２００等の外部装置との間で情報を送受信する機能を有する通信手段であり、権限判断部１２２は、この送受信機能部１２３を介してログイン要求の送信やグループ情報の受信等を行う。
機能提供部１２４は、スキャナ部１０８，プロッタ部１０９等を制御することにより、権限判断部１２２がユーザに利用を許可できると判断した範囲でコピー，プリント，スキャン等の種々の機能を提供する機能を有する。
【００２９】
ここで、図４に、ＭＦＰ１００において表示操作部１１２から利用権限情報の入力を受け付けて権限情報記憶部１２１に記憶させる場合に使用する画面及びその操作手順の例を示す。
ＭＦＰ１００は、権限情報設定の権限を有するユーザに権限情報の設定を要求されると、図４（ａ）に示すような権限設定画面２０を操作表示部１１２に表示させ、権限情報の設定を受け付けるようにしている。この受け付けも、機能提供部１２４が提供する機能の１つである
【００３０】
そして、権限設定画面２０においては、グループ名入力欄２１において、利用権限情報を設定しようとするグループのグループ名の入力を受け付けるようにしている。また、変更キー２２が押下された場合には、認証サーバ２００にアクセスして認証サーバ２００がユーザの管理に使用しているグループの情報を取得して一覧表示し、ユーザがその中から利用権限情報を設定するグループを選択してグループ名入力欄２１に入力できるようにしている。
【００３１】
そして、機能選択部２３には、ＭＦＰ１００が備える機能と対応するキーを設け、ユーザがグループ名入力欄２１で指定したグループにユーザに利用権限を与えたい機能のキーを押下すると、その機能に関する権限をより詳細に設定するための、（ｂ）に示すような画面に移行するようにしている。なお、「初期設定」は、権限設定画面２０で行うような権限の設定や、ネットワーク通信の設定等、ＭＦＰ１００の基本的な設定を行う機能を示すものである。
【００３２】
また、設定キー２５が押下された場合には、権限設定画面２０で指定された内容を権限情報記憶部１２１に記憶させて設定し、取消キー２４が押下された場合には権限設定画面２０で指定された内容を記憶せずに権限情報の設定を終了するようにしている。
従って、ユーザは、グループ名入力欄２１にグループ名を入力し、機能選択部２３の各キーを押下してそのグループのユーザに利用を許可する権限の種類を選択し、設定キー２５を押下することにより、入力したグループに関する利用権限情報を権限情報記憶部１２１に記憶させて設定することができる。
【００３３】
一方、（ｂ）には、コピー機能が選択された場合に表示させるコピー権限設定画面３０を示している。
そして、このコピー権限設定画面３０においては、色指定部３２の各キーにより、コピー時に使用を許可する色を指定することができる。図には、「白黒」「単色カラー」「２色カラー」「フルカラー」の各機能に対応させて許可／不許可を独立してトグルで選択可能なキーを用意し、このうち前２者を許可するようにした例を示している。
【００３４】
また、枚数指定部３３においては、コピー枚数の「制限なし」と「制限あり」の一方を指定可能であり、「制限あり」を指定した場合には、その右側の入力欄に使用を許可する枚数を入力できるようにしている。図には、コピー枚数を１００枚に制限した例を示している。
また、トレイ指定部３４では、各キーにより、コピー時に使用できる給紙トレイを指定できるようにしている。図には、「第１給紙トレイ」，「第２給紙トレイ」，「手差しトレイ」の各トレイに対応させて許可／不許可を独立してトグルで選択可能なキーを用意し、このうち前２者の使用を許可するようにした例を示している。
【００３５】
そして、ユーザが設定キー３６を押下すると、コピーについて使用を許可する機能の情報を一時的に記憶し、もとの権限設定画面２０に戻る。このとき、コピーについて機能の指定がなされていることを示すため、コピー機能を選択するキーは網掛けして表示している。
そして、この後設定キー２５を押下することにより、それまでに指定した内容を権限情報記憶部１２１に記憶させて設定することができる。また、機能選択部２３において再度機能を選択すれば、その機能に関する権限の設定を追加や削除することもできる。
【００３６】
また、コピー権限設定画面３０において取消キー３５が押下された場合には、コピー権限設定画面３０で指定した内容を記憶せずにもとの権限設定画面２０に戻る。この場合には、コピー機能に関する指定はなされていないので、（ａ）の状態に戻ることになる。
ＭＦＰ１００においては、権限情報設定の権限を有するユーザは、以上のような手順により、各グループについて利用権限情報を設定することができる。そしてここでは、この設定は、ＭＦＰ１００内のみで有効とし、他のネットワーク機器とは無関係に設定できるようにしている。
【００３７】
なお、図４（ａ）に示した権限設定画面２０や、機能選択部２３での選択に従って表示する各画面において、どのような項目について許可／不許可の指定を受け付けるかについては、機能提供部１２４が、ＭＦＰ１０がどのような機能をユーザに提供可能かを把握し、その内容に基づいて定めるようにしてもよい。また、コピー権限設定画面３０のような詳細な設定を行うための画面を設けず、コピー、プリンタ等のおおまかな括りで権限を設定できるようにしてもよい。
【００３８】
次に、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００が実行する処理及び、この処理に関連して認証サーバ２００が実行する処理について説明する。
まず、図５及び図６にＭＦＰ１００側の処理を示す。
ＭＦＰ１００のＣＰＵ１０１は、ユーザが操作表示部１１２等の操作によりＭＦＰ１００の利用を要求したことを検知した場合に、所要の制御プログラムを実行することにより図５のフローチャートに示す処理を開始する。
【００３９】
そして、まずステップＳ１０１で、利用権限情報を用いてＭＦＰ１００の利用を制限する利用制限機能が有効となっているか否か判断する。そして、有効であれば、ステップＳ１０２に進み、認証サーバ２００を用いてユーザを認証するネットワーク認証機能が有効となっているか否か判断する。そして、こちらも有効であれば、ステップＳ１０３以降の、認証サーバ２００を利用した認証及び権限管理処理に進む。
そして、ステップＳ１０３では、操作表示部１１２にログイン画面を表示させ、ユーザ名とパスワードの入力を要求する。
【００４０】
図７に、このログイン画面の表示例を示す。
このログイン画面４０においては、ユーザ名入力部４１においてユーザ名、パスワード入力部４２においてパスワードの入力をそれぞれ受け付けるようにしており、ユーザがこれらを入力して設定キー４３を押下すると、入力されたパスワードを確定して図５の処理をステップＳ１０４以降に進める。ユーザが取消キー４４を押下した場合には、図示は省略したが、ＭＦＰ１００の使用は許可できないので図５の処理をステップＳ１１６に進める。
図５の説明に戻ると、ステップＳ１０３の後、次のステップＳ１０４では、ステップＳ１０３で入力されたユーザ名とパスワードを認証サーバ２００に送信してログインを要求する。そして、ステップＳ１０５でログインの成否を判断する。ここで成功していれば、図６のステップＳ１０６に進んで、認証サーバ２００に認証されたユーザが属するグループの情報を要求し、これを取得する。
【００４１】
そして、ステップＳ１０７で、ステップＳ１０６で取得したグループが、ＭＦＰ１００に利用権限情報が登録されているいずれかのグループと一致するか否か判断する。この判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。そして、ここで一致するものがなければ、利用を要求してきたユーザにはＭＦＰ１００の利用を許可できないため、図５のステップＳ１１５に進んで認証サーバ２００からログアウトし、ステップＳ１１６でエラー画面を表示して処理を終了する。もちろん、処理の終了後に再度ＭＦＰ１００の利用の要求を受け付けることは可能である。
【００４２】
一方、ステップＳ１０７で一致するものがあれば、ステップＳ１０８で、該当するグループについて設定されている利用権限情報により、ＭＦＰ１００の利用を要求したユーザに利用を許可できる機能を把握する。この場合において、ユーザが複数のグループに属しており、そのぞれぞれについて利用権限情報があるような場合の処理については、いくつかの方法が考えられるが、これについては後の変形例において述べる。ここでは一例としていずれか１つのグループをユーザに選択させるものとする。
【００４３】
そして、次のステップＳ１０９では、ユーザに利用を許可できる機能についての操作を受け付けるための画面を、操作表示部１１２に表示させる。この画面においては、利用を許可できる機能に係るキーのみを表示させたり、利用を許可できる機能に係るキー以外のキーを薄く表示させて操作できないことを示したりすることが考えられる。
そして、ステップＳ１１０でその画面における操作に従ってユーザに機能を提供し、これが終了するとステップＳ１１１で認証サーバ２００からログアウトして処理を終了する。
【００４４】
また、ステップＳ１０２でＮＯの場合には、認証サーバ２００を利用せずに認証処理を行うことになる。そこでこの場合、ステップＳ１１２に進み、ユーザ名とパスワードの入力を受け付け、入力されたユーザ名及びパスワードを用いてＭＦＰ１００自身でローカルの認証処理を行う。この場合の入力受付画面は、図７に示した画面と同様なものでよい。
そして、ステップＳ１１３で認証の成否を判断し、成功であれば、ステップＳ１１４に進み、ユーザ毎に設定されている利用権限情報に基づいて、利用を要求してきたユーザに利用を許可できる機能を把握する。その後、図６のステップＳ１０９に進んで以降の処理を行う。
【００４５】
ステップＳ１１３で認証失敗であれば、利用を要求してきたユーザにはＭＦＰ１００の利用を許可できないため、ステップＳ１１６でエラー画面を表示して処理を終了する。
また、ステップＳ１０１で利用制限機能が無効であった場合には、利用を要求してきたユーザに全ての機能の利用を許可してよいので、ステップＳ１１７で全ての機能の利用を許可できると判断し、図６のステップＳ１０９に進んで以降の処理を行う。
以上の処理において、ステップＳ１０４乃至Ｓ１０８がこの発明の利用権限判定方法の実施形態に係る処理であり、ＣＰＵ１０１は、ステップＳ１０４の処理においては送信手段として、ステップＳ１０７乃至Ｓ１０９の処理においては判断手段として機能する。
【００４６】
次に、図８に、図５及び図６に示した処理と対応する認証サーバ２００側の処理を示す。なお、この図には、図５及び図６に示した処理と関連する部分の処理のみを示し、それ以外の一般的な処理については図示を省略している。
認証サーバ２００のＣＰＵは、ＭＦＰ１００等の外部装置からログインの要求を受けた場合に、所要の制御プログラムを実行することにより、図８のフローチャートに示す処理を開始する。
【００４７】
そして、まずステップＳ２０１において、ログインの要求とともに受け取ったユーザ名とパスワードが適切なものであるか否かを判断する。この判断は、ユーザ情報記憶部２０１に記憶している情報を基に行うことができる。
そして、適切であると判断した場合には、ログインを許可できると判断し、ステップＳ２０２に進んでログイン処理を行い、ステップＳ２０３でログイン要求元にログイン許可を通知する。
【００４８】
その後、ステップＳ２０４でグループ情報を要求されたか否か判断し、要求されていればステップＳ２０５でログインを許可したユーザが属するグループの情報を送信し、ステップＳ２０６に進む。このグループの情報も、ユーザ情報記憶部２０１から取得することができる。また、ステップＳ２０４で要求がなければ、そのままステップＳ２０６に進む。
【００４９】
そして、ステップＳ２０６でログアウト要求があれば、ステップＳ２０７に進んでログアウト処理を行い、処理を終了する。ログアウト要求がなければ、ステップＳ２０４に戻って処理を繰り返す。
一方、ステップＳ２０１でユーザ名とパスワードが適切でなければ、ステップＳ２０８に進み、ログイン要求元にログイン拒否を通知して処理を終了する。
以上の処理も、この発明の利用権限判定方法の実施形態に係る処理であり、この処理においては、認証サーバ２００のＣＰＵが送信手段として機能する。
【００５０】
ＭＦＰ１００及び認証サーバ２００に、以上説明した各処理を実行させることにより、図３を用いて説明したような、グループの情報を用いた権限管理を行うことができる。そして、このようなネットワークシステムによれば、各ユーザがどのグループに属するかという情報を認証サーバ２００において一括して管理し、多数のネットワーク機器からでも共通にこの情報を利用することができる一方、各グループのユーザにどのような権限を与えるかという情報は、機器毎に設定することができる。
【００５１】
従って、認証サーバ２００の管理者は、個々の機器における詳細な設定について関知する必要がない。また、個々の機器の管理者は、権限を与えたいユーザがどのグループに所属しているかさえ把握していれば、認証サーバ２００におけるデータ管理の詳細を把握していなくても、個々の機器における利用権限を設定することができる。そして、この場合において、グループ毎の設定が可能であるので、ユーザが多数いる場合でも設定すべき項目を低減できるから、機器毎に設定を行ったとしても、負担はさほど大きくない。また、設定に際してネットワークに関する高度な知識は不要である。従って、全体として、上述のような権限管理を行うようにしたことにより、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定できるようにすることができると言える。
【００５２】
また、このような機能を備えたネットワークシステムによれば、機器を部門間で移動させたことにより使用を許可するグループを変更する必要が生じたり、機器を新たに導入して権限情報を設定する必要が生じたりした場合に、認証サーバ２００における権限情報は変更せずに設定を行うことができる。従って、このような事態が頻繁に発生するような環境では、上述のネットワークシステムによる効果が特に大きい。
なお、上述したＭＦＰ１００において、図５のステップＳ１１２乃至Ｓ１１４に示したようなローカル認証の機能を設けることは、必須ではない。
【００５３】
〔第１の変形例：図９〕
次に、上述した実施形態の第１の変形例について説明する。この変形例は、ユーザが複数のグループに属する場合の取り扱いが上述の実施形態と異なるのみである。そして、この点に伴い、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００のＣＰＵ１０１が実行する処理において図６に示した部分が上述の実施形態と異なるのみであるので、この相違点についてのみ説明する。
【００５４】
図９に、この変形例における図６と対応する処理のフローチャートを示す。
この第１の変形例のＭＦＰ１００においては、図５のステップＳ１０５においてログイン成功であった場合、処理は図９のステップＳ３０１に進み、ここで認証サーバにユーザが属するグループのリストを要求し、これを取得する。
【００５５】
そして、そのリストに含まれる各グループを順次対象として、ステップＳ３０２及びＳ３０３の処理を繰り返す。これらの処理は、ステップＳ３０２で、対象グループがＭＦＰ１００に利用権限情報の登録されているいずれかのグループと一致するか否か判断し、いずれかと一致した場合に、ステップＳ３０３で、該当するグループについて設定されている利用権限を、認証サーバ２００に認証された（ＭＦＰ１００の利用を要求している）ユーザの利用権限に追加するというものである。
【００５６】
なお、ステップＳ３０２の判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。また、ステップＳ３０１を行う時点では、認証されたユーザの利用権限は何もないものとする。
従って、ステップＳ３０２及びＳ３０３のループにより、ユーザが複数のグループに属する場合、その複数のグループ中の少なくとも１つのグループについて利用権限のある機能については、そのユーザに利用権限を認めるようにすることになる。
【００５７】
そして、その後ステップＳ３０４で、認証されたユーザに利用権限があるか否か判断し、あればステップＳ１０９以降の処理を行ってユーザに機能を提供する。なければ、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。
ステップＳ１０９以降又はステップＳ１１５以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
以上のような処理を行うことにより、ユーザが複数のグループに属する場合でも、各グループにおける権限の内容を反映した処理が可能となり、より柔軟に利用権限を設定することができる。
【００５８】
〔第２の変形例：図１０〕
次に、上述した実施形態の第２の変形例について説明する。この変形例も、ユーザが複数のグループに属する場合の取り扱いが上述の実施形態と異なるのみである。そして、この点に伴い、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００のＣＰＵ１０１が実行する処理において図６に示した部分が上述の実施形態と異なるのみであるので、この相違点についてのみ説明する。
【００５９】
図１０に、この変形例における図６と対応する処理のフローチャートを示す。
この第２の変形例のＭＦＰ１００においては、図５のステップＳ１０５においてログイン成功であった場合、処理は図１０のステップＳ４０１に進み、ここで認証サーバにユーザが属するグループのリストを要求し、これを取得する。
そして、そのリストに含まれる各グループを順次対象として、ステップＳ４０２及びＳ４０３の処理を繰り返す。これらの処理は、ステップＳ４０２で対象グループが、ＭＦＰ１００に利用権限情報の登録されているいずれかのグループと一致するか否か判断し、いずれかと一致した場合に、ステップＳ４０３で該当するグループについて設定されている利用権限を、認証サーバ２００に認証された（ＭＦＰ１００の利用を要求している）ユーザの利用権限から削除するというものである。
【００６０】
なお、ステップＳ４０２の判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。また、ステップＳ４０１を行う時点では、認証されたユーザは全ての利用権限を有するものとする。
従って、ステップＳ４０２及びＳ４０３のループにより、ユーザが複数のグループに属する場合、その複数のグループ全てについて利用権限のある機能についてのみ、そのユーザに利用権限を認めるようにすることになる。
【００６１】
そして、その後ステップＳ４０４で、認証されたユーザが、ＭＦＰ１００に利用権限情報の登録されているいずれかのグループに属していたか否か判断する。そして、属していなければ、ＭＦＰ１００の使用は許可できないので、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。図９の処理の場合、ユーザがいずれのグループにも属していない場合、ステップＳ４０２とＳ４０３のループの後、全ての機能の利用権限を有する状態になってしまうので、このような処理を設けたものである。
【００６２】
そして、ステップＳ４０４でＹＥＳであれば、ステップＳ４０５に進み、認証されたユーザに利用権限があるか否か判断し、あればステップＳ１０９以降の処理を行ってユーザに機能を提供する。なければ、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。
ステップＳ１０９以降又はステップＳ１１５以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
以上のような処理を行うことによっても、ユーザが複数のグループに属する場合でも、各グループにおける権限の内容を反映した処理が可能となり、より柔軟に利用権限を設定することができる。なお、この変形例の方式の場合、複数のグループに属するユーザに認める利用権限の範囲は、上述した第１の変形例の場合よりも総じて狭くなる。
【００６３】
〔第３の変形例：図１１，図１２〕
次に、上述した実施形態の第３の変形例について説明する。この変形例は、デフォルトグループを設けてこのグループについての利用権限情報を権限情報記憶部１２１に設定しておき、ユーザにＭＦＰ１００の利用権限がなかった場合でもデフォルトグループについて設定されている利用権限を与えるようにした点が、上述の第１の変形例と異なるのみである。そして、この点に伴い、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００のＣＰＵ１０１が実行する処理において図９に示した部分が上述の第１の変形例と異なるのみであるので、この相違点についてのみ説明する。
【００６４】
図１１に、この変形例における図９と対応する処理のフローチャートを示す。また、このフローチャートは、上述した実施形態における図６とも対応するものである。
この第３の変形例のＭＦＰ１００においては、ステップＳ３０４より前の処理は図９に示した第１の変形例の場合と同様であるが、ステップＳ３０４でユーザに利用権限がなかった場合、ステップＳＡで、デフォルトグループについて設定されている利用権限を、認証されたユーザの利用権限に追加し、ステップＳ１０９以下の処理に進むようにしている。
【００６５】
そして、このような処理により、ユーザが属するグループがないことを示すグループ情報を受信した場合でも、そのユーザにデフォルトグループに係る利用権限を認めるようにしたものである。
なお、ステップＳ１０９以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
【００６６】
以上のような処理を行うことにより、特に設定を行わなくても全てのユーザについて一定の機能の利用を許可することができるので、それ以上の機能の使用を許可したいグループについてのみ利用権限を設定するのみでよく、設定の労力を低減することができる。
なお、同様な効果を得るためには、図１１に示した処理に代えて、図１２に示した処理を行うようにしてもよい。この処理においては、ステップＳＡの処理をステップＳ３０１の直後に行うようにしている。そして、このようにした場合、全てのユーザが少なくともデフォルトグループについて設定されている利用権限を有することになるため、図１１のステップＳ３０４の処理は省略している。
【００６７】
〔第４の変形例：図１３乃至図１５〕
次に、上述した実施形態の第４の変形例について説明する。この変形例は、ユーザが属するグループの情報と、利用権限情報を定義したグループの情報とを比較する際に、グループ名ではなくグループのＩＤを用いるようにした点が、上述の第１の変形例と異なるのみである。なお、このＩＤとしては、例えばウィンドウズ（登録商標）を使用する場合には、ＧＵＩＤ（Global Unique Identifier）やＳＩＤ（Security Identifier）を用いることができる。
この変形例の説明においても、この点に伴う第１の変形例からの変更点についてのみ説明する。
この変形例においては、上述した実施形態において図４等を用いて説明したように各グループについての利用権限情報を設定しようとする場合、権限情報記憶部１２１に、グループ名と共にそのグループのＩＤも登録するようにしている。
【００６８】
図１３に、このための処理のフローチャートを示す。
この変形例においては、ＭＦＰ１００のＣＰＵ１０１は、ユーザがグループに関する利用権限情報を設定する指示を行った場合（例えば図４に示した権限設定画面２０で設定キー２５を押下した場合）、図１３のフローチャートに示す処理を開始する。
そして、まずステップＳ５０１で、認証サーバ２００にログインする。この際に使用するアカウントは、利用権限情報を設定しようとしたユーザのアカウントでも、ＭＦＰ１００自体のアカウントでもよい。そして、ステップＳ５０２でログインが成功したか否か判断し、成功していればステップＳ５０３で利用権限情報を設定しようとしているグループのＩＤを認証サーバに要求して送信させ、取得する。
【００６９】
ここで、認証サーバ２００において各グループにＩＤを付して管理するようにしておけば、認証サーバ２００において定義されているグループについてはＩＤが取得できるはずであるが、ユーザが入力した名前のグループが必ずしも認証サーバ２００において定義されているとは限らないので、グループのＩＤが取得できない場合も考えられる。
そこで、ステップＳ５０４で取得が成功したか否か判断する。そして、成功であれば、ステップＳ５０５で取得したＩＤをグループ名及び利用権限情報と共に権限情報記憶部１２１に登録し、ステップＳ５０６で登録成功のメッセージを操作表示部１１２に表示させて処理を終了する。
また、ステップＳ５０２でログインが失敗であったり、ステップＳ５０４でグループＩＤの取得に失敗した場合には、ＩＤを登録できないため、利用権限情報の登録自体を取り止め、ステップＳ５０７で登録失敗のメッセージを操作表示部１１２に表示させて処理を終了する。
【００７０】
以上のような処理を行うことにより、権限情報記憶部１２１に、グループ名や利用権限情報と対応させて、認証サーバ２００でグループの管理に使用しているＩＤを登録することができる。すなわち、このＩＤ毎に利用権限情報を登録することができると言える。従って、認証サーバ２００から受信するグループ情報に基づいてユーザの利用権限を判断する場合、グループのＩＤの情報を受信し、これを用いて判断するようにすることができる。
【００７１】
また、ＭＦＰ１００においてグループの利用権限を設定しようとするに当たって、予め認証サーバ２００からグループリスト及び各グループのＩＤを受信しておき、認証サーバ２００で定義されているグループについて利用権限を設定させるようにしてもよい。
図１４に、このようにする場合に、グループの利用権限を設定しようとするに当たってＭＦＰ１００と認証サーバ２００との間で実行する通信シーケンスを示す。
このように、予めＭＦＰ１００が認証サーバ２００で定義されているグループのリスト及び各グループのＩＤを取得しておくようにすれば、ユーザが利用権限を登録しようとした場合に認証サーバ２００にアクセスする必要はないし、ＩＤが取得できないために利用権限情報の登録自体ができなくなるといった事態を防止することができる。
【００７２】
なお、このようなグループＩＤを利用する場合、第１の変形例の図９と対応する処理は、この変形例では以下のようにすることができる。
図１５にこの処理のフローチャートを示す。
すなわち、この第４の変形例のＭＦＰ１００においては、図５のステップＳ１０５においてログイン成功であった場合、処理は図１５のステップＳ６０１に進み、ここで認証サーバ２００にユーザが属するグループのＩＤのリストを要求して送信させ、これを取得する。
【００７３】
そして、そのリストに含まれる各ＩＤを順次対象として、ステップＳ６０２及びＳ６０３の処理を繰り返す。これらの処理は、ステップＳ６０２で、対象ＩＤがＭＦＰ１００に利用権限情報の登録されているいずれかのグループのＩＤと一致するか否か判断し、いずれかと一致した場合に、ステップＳ６０３で該当するグループについて設定されている利用権限を、認証サーバ２００に認証された（ＭＦＰ１００の利用を要求している）ユーザの利用権限に追加するというものである。
なお、ステップＳ６０２の判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。また、ステップＳ６０１を行う時点では、認証されたユーザの利用権限は何もないものとする。
【００７４】
そして、その後ステップＳ６０４で、認証されたユーザに利用権限があるか否か判断し、あればステップＳ１０９以降の処理を行ってユーザに機能を提供する。なければ、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。
ステップＳ１０９以降又はステップＳ１１５以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
【００７５】
以上のような処理を行い、グループをＩＤに基づいて比較するようにしたことにより、組織変更等により認証サーバ２００側でグループの名称を変更する必要が生じた場合でも、グループＩＤが変わらなければ、ＭＦＰ１００側の設定内容を変更せずに権限管理を行うことができる。従って、設定の手間を省き、利用権限の管理をより省力化することができる。
【００７６】
以上で実施形態及び変形例の説明を終了するが、以上説明した実施形態の及び変形例の構成は、互いに矛盾しない範囲で適宜組み合わせて適用することができる。
また、ネットワークシステムを構成する装置、各ネットワーク機器のハードウェア構成や機能構成、データの形式や処理の内容等が、上述の実施形態及び変形例で説明したものに限られないことも、もちろんである。
【００７７】
例えば、ネットワークシステムは、最低限１つのネットワーク機器と１つの認証装置とによって構成することができる。また、通信に使用するネットワークも、ＬＡＮに限られず、インターネットを介すものであってもよいし、有線、無線を問わずに、任意の通信経路を用いることができる。
さらに、各ネットワーク機器における利用権限情報の設定は、機器の操作表示部からだけでなく、ネットワークを介して通信可能なＰＣ等の端末装置からウェブブラウザ等を用いてネットワーク機器にアクセスして行うことができるようにしてもよい。ネットワーク機器の機能の利用についても同様であり、外部の端末装置から機能の利用を要求される場合にも、上述したような権限管理は有効である。
【００７８】
また、この発明が、認証装置からユーザが属するグループの情報を取得可能なネットワーク機器であれば、どのようなネットワーク機器にも適用可能であることはもちろんである。適用対象としては、例えば、プリンタ，ＦＡＸ装置，デジタル複写機，スキャナ装置，デジタル複合機等の画像処理装置のほか、汎用コンピュータ，ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム，自動車，航空機等にネットワーク通信機能を持たせたネットワーク機器が考えられる。
【００７９】
また、この発明によるプログラムは、コンピュータに、上述したＭＦＰ１００のようなネットワーク機器を制御させるためのプログラムであり、このようなプログラムをコンピュータに実行させることにより、上述したような効果を得ることができる。
このようなプログラムは、はじめからコンピュータに備えるＲＯＭあるいはＨＤＤ等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。そのメモリに記録されたプログラムをコンピュータにインストールしてＣＰＵに実行させるか、ＣＰＵにそのメモリからこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。
【産業上の利用可能性】
【００８０】
以上説明してきたように、この発明のネットワークシステム、利用権限判定方法、ネットワーク機器、プログラム又は記録媒体によれば、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定することができる。
従って、この発明を利用することにより、高いセキュリティと利便性を両立したネットワークシステムを構成することができる。
【図面の簡単な説明】
【００８１】
【図１】この発明のネットワーク機器の実施形態であるＭＦＰのハードウェア構成を示すブロック図である。
【図２】図１に示したＭＦＰを備えるネットワークシステムの構成例を示す図である。
【図３】図２に示したＭＦＰ及び認証サーバの機能構成のうち、この実施形態の特徴に関連する部分を示す図である。
【図４】図３に示したＭＦＰにおいて表示操作部から利用権限情報の入力を受け付けて権限情報記憶部に記憶させる場合に使用する画面及びその操作手順について説明するための図である。
【図５】ユーザが図３に示したＭＦＰを使用しようとした場合にＭＦＰが実行する処理の一部を示すフローチャートである。
【図６】図５の続きの部分を示すフローチャートである。
【図７】図５に示した処理において使用するログイン画面の表示例を示す図である。
【図８】図５及び図６に示した処理と対応する認証サーバ側の処理を示すフローチャートである。
【図９】この発明の実施形態の第１の変形例における図６と対応する処理を示すフローチャートである。
【図１０】この発明の実施形態の第２の変形例における図６と対応する処理を示すフローチャートである。
【００８２】
【図１１】この発明の実施形態の第３の変形例における図６と対応する処理を示すフローチャートである。
【図１２】そのさらに別の例を示すフローチャートである。
【図１３】この発明の実施形態の第４の変形例において、ユーザがグループに関する利用権限情報を設定する指示を行った場合にＭＦＰが行う処理を示すフローチャートである。
【図１４】その変形例のバリエーションにおいて、グループの利用権限を設定しようとするに当たってＭＦＰと認証サーバとの間で実行する通信のシーケンスを示す図である。
【図１５】この発明の実施形態の第４の変形例における図６と対応する処理を示すフローチャートである。
【符号の説明】
【００８３】
２０：権限設定画面、３０：コピー権限設定画面、４０：ログイン画面、
１００：ＭＦＰ、１０１：ＣＰＵ、１０２：ＲＯＭ、１０３：ＲＡＭ、
１０４：画像蓄積メモリ、１０５：記憶装置、１０６：ＬＡＮコントローラ、
１０７：ＦＡＸ通信部、１０８：スキャナ部、１０９：プロッタ部、
１１０：パネルＩ／Ｆ、１１１：システムバス、１１２：操作表示部、
１２１：権限情報記憶部、１２２：権限判断部、１２３：送受信機能部、
１２４：機能提供部、２００：認証サーバ、２０１：ユーザ情報記憶部、
２０２：ログイン判定部、２０３：グループ判定部、２０４：送受信機能部
【技術分野】
【０００１】
この発明は、ユーザに権限に応じた機能の利用を許可するネットワーク機器と、そのネットワーク機器と通信可能な認証装置とを備えたネットワークシステム、上記のようなネットワーク機器における利用権限判定方法、上記のようなネットワーク機器、コンピュータに上記のようなネットワーク機器を制御させるためのプログラム、およびこのようなプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。
【背景技術】
【０００２】
従来から、デジタル複合機（ＭＦＰ）のようなネットワーク機器において、ユーザやグループごとに利用できる機能を制限できるようにすることが行われている。そして、このような装置においては、ユーザに操作パネルからユーザコードを入力させたり、ＩＤカードを使用させたりして個人を識別し、各ユーザに、許可された権限の範囲内でのみ装置を使用させるようにすることが可能である。
このような装置によれば、ユーザごとにコピーの色の制限やファクス送信、印刷、スキャナなどの利用制限をかけたり、部門ごとに使用量を集計してその上限を設定し過度の使用を防ぐといったことが可能である。
このような装置については、例えば特許文献１乃至３に記載されている。
【特許文献１】特開２００２−１７８５６７号公報
【特許文献２】特開２００２−２４０３９８号公報
【特許文献３】特開平１０−５８７９６号公報
【０００３】
なお、これらの上記の特許文献１乃至３に記載の装置は、ユーザの識別（認証）を機器自身が行うものであるが、ユーザ情報や各ユーザが有する各機器の利用権限の情報を一元管理するディレクトリサーバを設け、複数のネットワーク機器がこのディレクトリサーバにおける認証機能を利用してユーザの利用権限有無を判定できるようにするシステムも提案されている。
このような技術については、特許文献４に記載されている。
【特許文献４】特開２００２−２０２９４５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記の特許文献１乃至３に記載のような、ユーザに機能を提供するネットワーク機器自身が認証処理を行う構成では、ユーザ環境において複数のネットワーク機器を使用する場合、新規にユーザを追加したりユーザを削除したりする場合に、機器毎に個別にユーザＩＤやパスワード等を登録や削除する必要があり、設定が煩わしいという問題があった。
【０００５】
一方、特許文献４に記載のように、ユーザ情報や利用権限の情報を一元管理するサーバを設け、各機器における権限や、ネットワークへのログインに使用する情報等を一括して管理するようにすれば、このような問題は解決には有効である。しかし、このようなサーバを利用可能とするためには、サーバに各ユーザについて各ネットワーク機器についてのアクセス制限の情報を記載したデータベースを作成する必要があった。そして、このようなデータベースの作成には深いネットワーク知識が必要である上、煩雑な作業が必要であるという問題があった。
この発明は、このような問題を解決し、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
この発明は、上記の目的を達成するため、ネットワーク機器と認証装置とを備えるネットワークシステムにおいて、上記認証装置に、上記ネットワーク機器を使用するユーザの識別情報及び、そのユーザが属するグループを示すグループ情報を記憶する記憶手段と、上記ネットワーク機器からユーザの識別情報を受信した場合に、その識別情報に係るユーザが属するグループを示すグループ情報を上記ネットワーク機器に送信する送信手段とを設け、上記ネットワーク機器に、自身の機能の利用権限を示す利用権限情報を上記グループ毎に記憶する記憶手段と、自身を使用しようとしたユーザの識別情報を上記認証装置に送信する送信手段と、上記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判断する判断手段とを設けたものである。
【０００７】
このようなネットワークシステムにおいて、上記ネットワーク機器の判断手段が、上記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ中の少なくとも１つのグループについて利用権限のある機能については、そのユーザに利用権限を認めるようにするとよい。
あるいは、上記ネットワーク機器の判断手段が、上記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ全てについて利用権限のある機能についてのみ、そのユーザに利用権限を認めるようにしてもよい。
【０００８】
あるいは、上記ネットワーク機器の記憶手段に、デフォルトグループに関する利用権限情報を記憶させておき、上記ネットワーク機器の判断手段が、上記認証装置からあるユーザが属するグループがないことを示すグループ情報を受信した場合でも、そのユーザに上記デフォルトグループに係る利用権限を認めるようにしてもよい。
また、上記の各ネットワークシステムについて、上記認証装置において、上記記憶手段に上記各グループについてＩＤを記憶させると共に、上記送信手段が上記グループ情報としてグループのＩＤを送信するようにし、上記ネットワーク機器において、上記記憶手段が上記利用権限情報を上記グループのＩＤ毎に記憶すると共に、上記判断手段が上記認証装置から受信したグループのＩＤに基づいてユーザの利用権限有無を判断するようにするとよい。
【０００９】
また、この発明のネットワーク機器における利用権限判定方法は、ネットワーク機器における利用権限判定方法において、上記ネットワーク機器とネットワークを介して通信可能な認証装置に、上記ネットワーク機器を使用するユーザの識別情報及び、そのユーザが属するグループを示すグループ情報を記憶させておき、上記ネットワーク機器からユーザの識別情報を受信した場合に、その識別情報に係るユーザが属するグループを示すグループ情報を上記ネットワーク機器に送信させ、上記ネットワーク機器に、自身の機能の利用権限を示す利用権限情報を上記グループ毎に記憶させておき、自身を使用しようとしたユーザの識別情報を上記認証装置に送信させ、上記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判定させるようにしたものである。
【００１０】
また、この発明のネットワーク機器は、自身の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、自身を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、その手段による送信に応じて上記認証装置から受信した、自身を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段とを設けたネットワーク機器である。
【００１１】
また、この発明のプログラムは、コンピュータにネットワーク機器を制御させるためのプログラムであって、上記コンピュータを、上記ネットワーク機器の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、上記ネットワーク機器を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、その手段による送信に応じて上記認証装置から受信した、上記ネットワーク機器を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段として機能させるためのプログラムを含むものである。
また、この発明の記録媒体は、上記のプログラムを記録したコンピュータ読取可能な記録媒体である。
【発明の効果】
【００１２】
以上のようなこの発明のネットワークシステム、利用権限判定方法又はネットワーク機器によれば、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定することができる。
また、この発明のプログラムによれば、コンピュータを上記のネットワーク機器として機能させてその特徴を実現し、同様な効果を得ることができる。
この発明の記録媒体によれば、上記のプログラムを記憶していないコンピュータにそのプログラムを読み出させて実行させ、上記の効果を得ることができる。
【発明を実施するための最良の形態】
【００１３】
以下、この発明を実施するための最良の形態について、図面を参照して説明する。
〔実施形態：図１乃至図８〕
まず、この発明のネットワーク機器の実施形態であるデジタル複合機（ＭＦＰ）及び、そのデジタル複合機を備えたネットワークシステムについて説明する。
まず図１に、上記のＭＦＰの構成を示す。
この図に示すとおり、ＭＦＰ１００は、ＣＰＵ１０１，ＲＯＭ１０２，ＲＡＭ１０３，画像蓄積メモリ１０４，記憶装置１０５，ＬＡＮ（ローカル・エリア・ネットワーク）コントローラ１０６，ＦＡＸ（ファクシミリ）通信部１０７，スキャナ部１０８，プロッタ部１０９，パネルＩ／Ｆ（インタフェース）１１０を備え、これらがシステムバス１１１によって接続されている。また、パネルＩ／Ｆ１１０には操作表示部１１２が接続されている。
【００１４】
そして、ＣＰＵ１０１は、ＭＦＰ１００全体を統括制御する制御手段であり、ＲＯＭ１０２や記憶装置１０５に記憶している種々の制御プログラムを実行することにより、後述するように、送信手段や判断手段等の各手段として機能し、この実施形態の特徴に係る種々の機能を実現する。
ＲＯＭ１０２は、不揮発性の記憶手段であり、ＣＰＵ１０１が実行する制御プログラムや、固定的なパラメータ等を記憶する。ＲＯＭ１０２を書き換え可能な記憶手段として構成し、これらのデータをアップデートできるようにしてもよい。
ＲＡＭ１０３は、一時的に使用するデータを記憶したり、ＣＰＵ１０１のワークメモリとして使用したりする揮発性の記憶手段である。このＲＡＭ１０３は、電源が遮断されても記憶内容を保持できるようにバッテリによってバックアップしておくとよい。
【００１５】
画像蓄積メモリ１０４は、ＲＡＭ等によって構成され、ＦＡＸ通信部１０７で受信した画像や、スキャナ部１０８で読み取った画像のデータを記憶する記憶手段である。
記憶装置１０５は、ＮＶＲＡＭ（不揮発ＲＡＭ）やＨＤＤ（ハードディスクドライブ）等によって構成される書き換え可能な不揮発性記憶手段であり、ＣＰＵ１０１に実行させる制御プログラムや、装置の電源がＯＦＦされた後でも保持しておく必要があるデータあるいはパラメータの値などを記憶する。後述する権限情報も、この記憶装置１０５に記憶させておくようにするとよい。
【００１６】
ＬＡＮコントローラ１０６は、ＭＦＰ１００をネットワークに接続するためのインタフェース及び通信制御に必要な回路等を含むユニットであり、例えばイーサネット（登録商標）方式の通信を行うためのインタフェースである。そして、ネットワークを介して他の装置と通信を行う場合、このＬＡＮコントローラ１０６とＣＰＵ１０１とが通信手段として機能する。なお、ネットワークは、イーサネット、無線ＬＡＮ、ＩＥＥＥ（Institute of Electrical and Electronic Engineers）１３９４等、有線、無線を問わず種々の方式のものが使用可能である。
ＦＡＸ通信部１０７は、画像の符号化や復号化を行う符号化復号化部、公衆通信網を介した通信を制御する網制御部等によって構成され、外部装置との間でファクシミリ通信により画情報の送受信を行う通信手段である。
【００１７】
スキャナ部１０８は、原稿の画像を画像データとして読み取る画像読取手段である。
プロッタ部１０９は、画像データに基づいて用紙に画像を形成する画像形成手段である。
操作部Ｉ／Ｆ１１０は、表示操作部１１２をシステムバス１１１と接続するためのインタフェースである。そして、表示操作部１１２は、液晶ディスプレイにタッチパネルを積層した操作パネルや、各種キー等を備え、画面にメッセージやＧＵＩを表示したり、ユーザからによる動作指示や情報入力等の操作を受け付ける機能を有する。
このＭＦＰ１００は、以上のような構成を有し、ＣＰＵ１０１が所要の制御プログラムを実行して各部を制御することにより、プリント、スキャン、コピー、ファクシミリ通信等の種々の機能を実現することができる画像処理装置である。
【００１８】
次に、図２にこのＭＦＰを備えるネットワークシステムの構成例を示す。
図２に示すネットワークシステムは、この発明のネットワークシステムの実施形態であり、図１に示したＭＦＰ１００と、認証装置である認証サーバ２００とをＬＡＮ４００によって接続して構成している。また、ＬＡＮ４００には、それぞれネットワーク通信手段を備えたネットワーク機器である複写機３０１，プリンタ３０２，ＦＡＸ装置３０３，スキャナ３０４，ＰＣ（パーソナルコンピュータ）３０５も接続している。
【００１９】
ここで、認証サーバ２００は、ハードウェアとしては、ＣＰＵ，ＲＯＭ，ＲＡＭ，ＨＤＤ，ネットワークＩ／Ｆ等を備えた公知のコンピュータでよい。しかし、ＲＯＭやＨＤＤに記憶させた所要の制御プログラムをＣＰＵに実行させることにより、ＳＡＭ（セキュリティ・アカウント・マネージャ）データベースを用いてＬＡＮ４００内で使用するユーザアカウント情報を管理するサーバ装置として機能させるようにしている。そして、ＳＡＭデータベースにおいては、ユーザアカウントとそのユーザが属するグループとを対応させて管理しており、ユーザ名とパスワードのようなユーザの識別情報によってユーザを認証し、そのユーザが属するグループを特定する機能を有する。
【００２０】
また、認証サーバ２００は、ＬＡＮ４００上の各ネットワーク機器からの要求に応じてユーザを認証すると共に、そのユーザが属するグループ名をその要求元に通知する機能も有する。従って、ＭＦＰ１００やＰＣ３０５を始めとする各ネットワーク機器は、自身でユーザ個々のユーザ名やパスワードを管理しなくても、認証サーバ２００が管理しているユーザアカウントを利用してユーザを認証し、そのユーザの属するグループの情報を取得することができる。従って、認証サーバ２００におけるユーザアカウントを変更するだけで、そのユーザアカウントを利用している全てのネットワーク機器についてユーザアカウントを変更した場合と同等な効果を得ることができる。
【００２１】
次に、図３に、上記のようなＭＦＰ１００及び認証サーバ２００の機能構成のうち、この実施形態の特徴に関連する部分を示す。なお、この図においては、この実施形態の特徴とあまり関係ない部分については図示を省略している。また、図中の各部を結ぶ矢印は、それらの各部の間で情報の授受があることを示すものであり、物理的な構成を意味するものではない。
【００２２】
図３に示すように、認証サーバ２００には、この実施形態の特徴に関連する機能部として、ユーザ情報記憶部２０１，ログイン判定部２０２，グループ判定部２０３，送受信機能部２０４を備えている。
そして、ユーザ情報記憶部２０１は、上述したようなＳＡＭデータベースとして、ユーザの識別情報及び、そのユーザが属するグループを示すグループ情報を記憶する機能を有する。このユーザ情報記憶部２０１は、ハードウェアとしては、内部のＨＤＤ等の記憶手段に設けてもよいし、外部の記憶手段に設けてもよい。
【００２３】
ログイン判定部２０２は、ＬＡＮ４００を介して外部のネットワーク機器からユーザの認証を要求された場合に、そのネットワーク機器から認証に使用する識別情報（ここではユーザ名とパスワード）を取得し、これをユーザ情報記憶部２０１に記憶している情報と比較することによりユーザを認証する認証手段の機能を有する。そして、そのユーザが認証サーバ２００にアクセスする権限を有すると判断した場合、認証サーバ２００へのログインを許可する機能も有する。
【００２４】
また、グループ判定部２０３は、ログイン判定部２０２における認証が成功したユーザについて、そのユーザが属するグループの情報の取得を要求された場合、ユーザ情報記憶部２０１からそのユーザが属するグループの情報を取得し、要求元に通知する機能を有する。なお、この場合において、情報を通知する前に、情報を要求してきた相手にこれを取得する権限があることを確認するようにするとよい。
送受信機能部２０４は、外部のネットワーク機器との間で情報を送受信する機能を有する通信手段であり、上述した各部が行う要求の取得や通知の送信は、この送受信機能部２０４を介して行う。
【００２５】
一方、ＭＦＰ１００には、この実施形態の特徴に関連する機能部として、操作表示部１１２，権限情報記憶部１２１，権限判断部１２２，送受信機能部１２３，機能提供部１２４を備えている。
操作表示部１１２については上述した通りであるが、ＭＦＰ１００の機能を使用する指示や、ユーザ名及びパスワードの入力等、種々の操作を受け付けたり、その受付を行うための画面を表示したりする機能を有する。
【００２６】
権限情報記憶部１２１は、自身の機能のうちユーザに利用権限を与える機能の種類を示す利用権限情報を記憶する記憶手段である。そして、この利用権限情報は、認証サーバ２００がＳＡＭデータベースにおいてユーザのグループ分けに用いているグループの種類毎に、そのグループに属するユーザに与える利用権限を示す情報として記憶するようにしている。なお、この権限情報記憶部１２１に記憶させる利用権限情報は、操作表示部１１２から入力できるようにしたり、認証サーバ２００等の外部装置からテンプレートをダウンロードして編集できるようにしたり、同じく外部装置からグループ名一覧のみダウンロードして各グループについて利用権限を設定できるようにしたりと、種々の方法で設定できるようにすることが考えられる。
【００２７】
また、権限判断部１２２は、ユーザがＭＦＰ１００の機能を利用しようとした場合に、そのユーザが有する利用権限の範囲を判断する判断手段の機能を有する。そしてここでは、この判断は、ユーザがＭＦＰ１００の機能を利用しようとした場合に、表示操作部１１２を利用してユーザ名及びパスワードの入力を受け付け、これをＭＦＰ２００に送信してそのユーザを認証させると共にそのユーザが属するグループの情報を取得し、この情報をもとに、権限情報記憶部１２１に記憶しているグループ毎の利用権限情報を参照して行うようにしている。
これらの権限情報記憶部１２１及び権限判断部１２２の機能がこの実施形態の主要な特徴である。
【００２８】
また、送受信機能部１２３は、認証サーバ２００等の外部装置との間で情報を送受信する機能を有する通信手段であり、権限判断部１２２は、この送受信機能部１２３を介してログイン要求の送信やグループ情報の受信等を行う。
機能提供部１２４は、スキャナ部１０８，プロッタ部１０９等を制御することにより、権限判断部１２２がユーザに利用を許可できると判断した範囲でコピー，プリント，スキャン等の種々の機能を提供する機能を有する。
【００２９】
ここで、図４に、ＭＦＰ１００において表示操作部１１２から利用権限情報の入力を受け付けて権限情報記憶部１２１に記憶させる場合に使用する画面及びその操作手順の例を示す。
ＭＦＰ１００は、権限情報設定の権限を有するユーザに権限情報の設定を要求されると、図４（ａ）に示すような権限設定画面２０を操作表示部１１２に表示させ、権限情報の設定を受け付けるようにしている。この受け付けも、機能提供部１２４が提供する機能の１つである
【００３０】
そして、権限設定画面２０においては、グループ名入力欄２１において、利用権限情報を設定しようとするグループのグループ名の入力を受け付けるようにしている。また、変更キー２２が押下された場合には、認証サーバ２００にアクセスして認証サーバ２００がユーザの管理に使用しているグループの情報を取得して一覧表示し、ユーザがその中から利用権限情報を設定するグループを選択してグループ名入力欄２１に入力できるようにしている。
【００３１】
そして、機能選択部２３には、ＭＦＰ１００が備える機能と対応するキーを設け、ユーザがグループ名入力欄２１で指定したグループにユーザに利用権限を与えたい機能のキーを押下すると、その機能に関する権限をより詳細に設定するための、（ｂ）に示すような画面に移行するようにしている。なお、「初期設定」は、権限設定画面２０で行うような権限の設定や、ネットワーク通信の設定等、ＭＦＰ１００の基本的な設定を行う機能を示すものである。
【００３２】
また、設定キー２５が押下された場合には、権限設定画面２０で指定された内容を権限情報記憶部１２１に記憶させて設定し、取消キー２４が押下された場合には権限設定画面２０で指定された内容を記憶せずに権限情報の設定を終了するようにしている。
従って、ユーザは、グループ名入力欄２１にグループ名を入力し、機能選択部２３の各キーを押下してそのグループのユーザに利用を許可する権限の種類を選択し、設定キー２５を押下することにより、入力したグループに関する利用権限情報を権限情報記憶部１２１に記憶させて設定することができる。
【００３３】
一方、（ｂ）には、コピー機能が選択された場合に表示させるコピー権限設定画面３０を示している。
そして、このコピー権限設定画面３０においては、色指定部３２の各キーにより、コピー時に使用を許可する色を指定することができる。図には、「白黒」「単色カラー」「２色カラー」「フルカラー」の各機能に対応させて許可／不許可を独立してトグルで選択可能なキーを用意し、このうち前２者を許可するようにした例を示している。
【００３４】
また、枚数指定部３３においては、コピー枚数の「制限なし」と「制限あり」の一方を指定可能であり、「制限あり」を指定した場合には、その右側の入力欄に使用を許可する枚数を入力できるようにしている。図には、コピー枚数を１００枚に制限した例を示している。
また、トレイ指定部３４では、各キーにより、コピー時に使用できる給紙トレイを指定できるようにしている。図には、「第１給紙トレイ」，「第２給紙トレイ」，「手差しトレイ」の各トレイに対応させて許可／不許可を独立してトグルで選択可能なキーを用意し、このうち前２者の使用を許可するようにした例を示している。
【００３５】
そして、ユーザが設定キー３６を押下すると、コピーについて使用を許可する機能の情報を一時的に記憶し、もとの権限設定画面２０に戻る。このとき、コピーについて機能の指定がなされていることを示すため、コピー機能を選択するキーは網掛けして表示している。
そして、この後設定キー２５を押下することにより、それまでに指定した内容を権限情報記憶部１２１に記憶させて設定することができる。また、機能選択部２３において再度機能を選択すれば、その機能に関する権限の設定を追加や削除することもできる。
【００３６】
また、コピー権限設定画面３０において取消キー３５が押下された場合には、コピー権限設定画面３０で指定した内容を記憶せずにもとの権限設定画面２０に戻る。この場合には、コピー機能に関する指定はなされていないので、（ａ）の状態に戻ることになる。
ＭＦＰ１００においては、権限情報設定の権限を有するユーザは、以上のような手順により、各グループについて利用権限情報を設定することができる。そしてここでは、この設定は、ＭＦＰ１００内のみで有効とし、他のネットワーク機器とは無関係に設定できるようにしている。
【００３７】
なお、図４（ａ）に示した権限設定画面２０や、機能選択部２３での選択に従って表示する各画面において、どのような項目について許可／不許可の指定を受け付けるかについては、機能提供部１２４が、ＭＦＰ１０がどのような機能をユーザに提供可能かを把握し、その内容に基づいて定めるようにしてもよい。また、コピー権限設定画面３０のような詳細な設定を行うための画面を設けず、コピー、プリンタ等のおおまかな括りで権限を設定できるようにしてもよい。
【００３８】
次に、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００が実行する処理及び、この処理に関連して認証サーバ２００が実行する処理について説明する。
まず、図５及び図６にＭＦＰ１００側の処理を示す。
ＭＦＰ１００のＣＰＵ１０１は、ユーザが操作表示部１１２等の操作によりＭＦＰ１００の利用を要求したことを検知した場合に、所要の制御プログラムを実行することにより図５のフローチャートに示す処理を開始する。
【００３９】
そして、まずステップＳ１０１で、利用権限情報を用いてＭＦＰ１００の利用を制限する利用制限機能が有効となっているか否か判断する。そして、有効であれば、ステップＳ１０２に進み、認証サーバ２００を用いてユーザを認証するネットワーク認証機能が有効となっているか否か判断する。そして、こちらも有効であれば、ステップＳ１０３以降の、認証サーバ２００を利用した認証及び権限管理処理に進む。
そして、ステップＳ１０３では、操作表示部１１２にログイン画面を表示させ、ユーザ名とパスワードの入力を要求する。
【００４０】
図７に、このログイン画面の表示例を示す。
このログイン画面４０においては、ユーザ名入力部４１においてユーザ名、パスワード入力部４２においてパスワードの入力をそれぞれ受け付けるようにしており、ユーザがこれらを入力して設定キー４３を押下すると、入力されたパスワードを確定して図５の処理をステップＳ１０４以降に進める。ユーザが取消キー４４を押下した場合には、図示は省略したが、ＭＦＰ１００の使用は許可できないので図５の処理をステップＳ１１６に進める。
図５の説明に戻ると、ステップＳ１０３の後、次のステップＳ１０４では、ステップＳ１０３で入力されたユーザ名とパスワードを認証サーバ２００に送信してログインを要求する。そして、ステップＳ１０５でログインの成否を判断する。ここで成功していれば、図６のステップＳ１０６に進んで、認証サーバ２００に認証されたユーザが属するグループの情報を要求し、これを取得する。
【００４１】
そして、ステップＳ１０７で、ステップＳ１０６で取得したグループが、ＭＦＰ１００に利用権限情報が登録されているいずれかのグループと一致するか否か判断する。この判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。そして、ここで一致するものがなければ、利用を要求してきたユーザにはＭＦＰ１００の利用を許可できないため、図５のステップＳ１１５に進んで認証サーバ２００からログアウトし、ステップＳ１１６でエラー画面を表示して処理を終了する。もちろん、処理の終了後に再度ＭＦＰ１００の利用の要求を受け付けることは可能である。
【００４２】
一方、ステップＳ１０７で一致するものがあれば、ステップＳ１０８で、該当するグループについて設定されている利用権限情報により、ＭＦＰ１００の利用を要求したユーザに利用を許可できる機能を把握する。この場合において、ユーザが複数のグループに属しており、そのぞれぞれについて利用権限情報があるような場合の処理については、いくつかの方法が考えられるが、これについては後の変形例において述べる。ここでは一例としていずれか１つのグループをユーザに選択させるものとする。
【００４３】
そして、次のステップＳ１０９では、ユーザに利用を許可できる機能についての操作を受け付けるための画面を、操作表示部１１２に表示させる。この画面においては、利用を許可できる機能に係るキーのみを表示させたり、利用を許可できる機能に係るキー以外のキーを薄く表示させて操作できないことを示したりすることが考えられる。
そして、ステップＳ１１０でその画面における操作に従ってユーザに機能を提供し、これが終了するとステップＳ１１１で認証サーバ２００からログアウトして処理を終了する。
【００４４】
また、ステップＳ１０２でＮＯの場合には、認証サーバ２００を利用せずに認証処理を行うことになる。そこでこの場合、ステップＳ１１２に進み、ユーザ名とパスワードの入力を受け付け、入力されたユーザ名及びパスワードを用いてＭＦＰ１００自身でローカルの認証処理を行う。この場合の入力受付画面は、図７に示した画面と同様なものでよい。
そして、ステップＳ１１３で認証の成否を判断し、成功であれば、ステップＳ１１４に進み、ユーザ毎に設定されている利用権限情報に基づいて、利用を要求してきたユーザに利用を許可できる機能を把握する。その後、図６のステップＳ１０９に進んで以降の処理を行う。
【００４５】
ステップＳ１１３で認証失敗であれば、利用を要求してきたユーザにはＭＦＰ１００の利用を許可できないため、ステップＳ１１６でエラー画面を表示して処理を終了する。
また、ステップＳ１０１で利用制限機能が無効であった場合には、利用を要求してきたユーザに全ての機能の利用を許可してよいので、ステップＳ１１７で全ての機能の利用を許可できると判断し、図６のステップＳ１０９に進んで以降の処理を行う。
以上の処理において、ステップＳ１０４乃至Ｓ１０８がこの発明の利用権限判定方法の実施形態に係る処理であり、ＣＰＵ１０１は、ステップＳ１０４の処理においては送信手段として、ステップＳ１０７乃至Ｓ１０９の処理においては判断手段として機能する。
【００４６】
次に、図８に、図５及び図６に示した処理と対応する認証サーバ２００側の処理を示す。なお、この図には、図５及び図６に示した処理と関連する部分の処理のみを示し、それ以外の一般的な処理については図示を省略している。
認証サーバ２００のＣＰＵは、ＭＦＰ１００等の外部装置からログインの要求を受けた場合に、所要の制御プログラムを実行することにより、図８のフローチャートに示す処理を開始する。
【００４７】
そして、まずステップＳ２０１において、ログインの要求とともに受け取ったユーザ名とパスワードが適切なものであるか否かを判断する。この判断は、ユーザ情報記憶部２０１に記憶している情報を基に行うことができる。
そして、適切であると判断した場合には、ログインを許可できると判断し、ステップＳ２０２に進んでログイン処理を行い、ステップＳ２０３でログイン要求元にログイン許可を通知する。
【００４８】
その後、ステップＳ２０４でグループ情報を要求されたか否か判断し、要求されていればステップＳ２０５でログインを許可したユーザが属するグループの情報を送信し、ステップＳ２０６に進む。このグループの情報も、ユーザ情報記憶部２０１から取得することができる。また、ステップＳ２０４で要求がなければ、そのままステップＳ２０６に進む。
【００４９】
そして、ステップＳ２０６でログアウト要求があれば、ステップＳ２０７に進んでログアウト処理を行い、処理を終了する。ログアウト要求がなければ、ステップＳ２０４に戻って処理を繰り返す。
一方、ステップＳ２０１でユーザ名とパスワードが適切でなければ、ステップＳ２０８に進み、ログイン要求元にログイン拒否を通知して処理を終了する。
以上の処理も、この発明の利用権限判定方法の実施形態に係る処理であり、この処理においては、認証サーバ２００のＣＰＵが送信手段として機能する。
【００５０】
ＭＦＰ１００及び認証サーバ２００に、以上説明した各処理を実行させることにより、図３を用いて説明したような、グループの情報を用いた権限管理を行うことができる。そして、このようなネットワークシステムによれば、各ユーザがどのグループに属するかという情報を認証サーバ２００において一括して管理し、多数のネットワーク機器からでも共通にこの情報を利用することができる一方、各グループのユーザにどのような権限を与えるかという情報は、機器毎に設定することができる。
【００５１】
従って、認証サーバ２００の管理者は、個々の機器における詳細な設定について関知する必要がない。また、個々の機器の管理者は、権限を与えたいユーザがどのグループに所属しているかさえ把握していれば、認証サーバ２００におけるデータ管理の詳細を把握していなくても、個々の機器における利用権限を設定することができる。そして、この場合において、グループ毎の設定が可能であるので、ユーザが多数いる場合でも設定すべき項目を低減できるから、機器毎に設定を行ったとしても、負担はさほど大きくない。また、設定に際してネットワークに関する高度な知識は不要である。従って、全体として、上述のような権限管理を行うようにしたことにより、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定できるようにすることができると言える。
【００５２】
また、このような機能を備えたネットワークシステムによれば、機器を部門間で移動させたことにより使用を許可するグループを変更する必要が生じたり、機器を新たに導入して権限情報を設定する必要が生じたりした場合に、認証サーバ２００における権限情報は変更せずに設定を行うことができる。従って、このような事態が頻繁に発生するような環境では、上述のネットワークシステムによる効果が特に大きい。
なお、上述したＭＦＰ１００において、図５のステップＳ１１２乃至Ｓ１１４に示したようなローカル認証の機能を設けることは、必須ではない。
【００５３】
〔第１の変形例：図９〕
次に、上述した実施形態の第１の変形例について説明する。この変形例は、ユーザが複数のグループに属する場合の取り扱いが上述の実施形態と異なるのみである。そして、この点に伴い、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００のＣＰＵ１０１が実行する処理において図６に示した部分が上述の実施形態と異なるのみであるので、この相違点についてのみ説明する。
【００５４】
図９に、この変形例における図６と対応する処理のフローチャートを示す。
この第１の変形例のＭＦＰ１００においては、図５のステップＳ１０５においてログイン成功であった場合、処理は図９のステップＳ３０１に進み、ここで認証サーバにユーザが属するグループのリストを要求し、これを取得する。
【００５５】
そして、そのリストに含まれる各グループを順次対象として、ステップＳ３０２及びＳ３０３の処理を繰り返す。これらの処理は、ステップＳ３０２で、対象グループがＭＦＰ１００に利用権限情報の登録されているいずれかのグループと一致するか否か判断し、いずれかと一致した場合に、ステップＳ３０３で、該当するグループについて設定されている利用権限を、認証サーバ２００に認証された（ＭＦＰ１００の利用を要求している）ユーザの利用権限に追加するというものである。
【００５６】
なお、ステップＳ３０２の判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。また、ステップＳ３０１を行う時点では、認証されたユーザの利用権限は何もないものとする。
従って、ステップＳ３０２及びＳ３０３のループにより、ユーザが複数のグループに属する場合、その複数のグループ中の少なくとも１つのグループについて利用権限のある機能については、そのユーザに利用権限を認めるようにすることになる。
【００５７】
そして、その後ステップＳ３０４で、認証されたユーザに利用権限があるか否か判断し、あればステップＳ１０９以降の処理を行ってユーザに機能を提供する。なければ、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。
ステップＳ１０９以降又はステップＳ１１５以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
以上のような処理を行うことにより、ユーザが複数のグループに属する場合でも、各グループにおける権限の内容を反映した処理が可能となり、より柔軟に利用権限を設定することができる。
【００５８】
〔第２の変形例：図１０〕
次に、上述した実施形態の第２の変形例について説明する。この変形例も、ユーザが複数のグループに属する場合の取り扱いが上述の実施形態と異なるのみである。そして、この点に伴い、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００のＣＰＵ１０１が実行する処理において図６に示した部分が上述の実施形態と異なるのみであるので、この相違点についてのみ説明する。
【００５９】
図１０に、この変形例における図６と対応する処理のフローチャートを示す。
この第２の変形例のＭＦＰ１００においては、図５のステップＳ１０５においてログイン成功であった場合、処理は図１０のステップＳ４０１に進み、ここで認証サーバにユーザが属するグループのリストを要求し、これを取得する。
そして、そのリストに含まれる各グループを順次対象として、ステップＳ４０２及びＳ４０３の処理を繰り返す。これらの処理は、ステップＳ４０２で対象グループが、ＭＦＰ１００に利用権限情報の登録されているいずれかのグループと一致するか否か判断し、いずれかと一致した場合に、ステップＳ４０３で該当するグループについて設定されている利用権限を、認証サーバ２００に認証された（ＭＦＰ１００の利用を要求している）ユーザの利用権限から削除するというものである。
【００６０】
なお、ステップＳ４０２の判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。また、ステップＳ４０１を行う時点では、認証されたユーザは全ての利用権限を有するものとする。
従って、ステップＳ４０２及びＳ４０３のループにより、ユーザが複数のグループに属する場合、その複数のグループ全てについて利用権限のある機能についてのみ、そのユーザに利用権限を認めるようにすることになる。
【００６１】
そして、その後ステップＳ４０４で、認証されたユーザが、ＭＦＰ１００に利用権限情報の登録されているいずれかのグループに属していたか否か判断する。そして、属していなければ、ＭＦＰ１００の使用は許可できないので、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。図９の処理の場合、ユーザがいずれのグループにも属していない場合、ステップＳ４０２とＳ４０３のループの後、全ての機能の利用権限を有する状態になってしまうので、このような処理を設けたものである。
【００６２】
そして、ステップＳ４０４でＹＥＳであれば、ステップＳ４０５に進み、認証されたユーザに利用権限があるか否か判断し、あればステップＳ１０９以降の処理を行ってユーザに機能を提供する。なければ、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。
ステップＳ１０９以降又はステップＳ１１５以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
以上のような処理を行うことによっても、ユーザが複数のグループに属する場合でも、各グループにおける権限の内容を反映した処理が可能となり、より柔軟に利用権限を設定することができる。なお、この変形例の方式の場合、複数のグループに属するユーザに認める利用権限の範囲は、上述した第１の変形例の場合よりも総じて狭くなる。
【００６３】
〔第３の変形例：図１１，図１２〕
次に、上述した実施形態の第３の変形例について説明する。この変形例は、デフォルトグループを設けてこのグループについての利用権限情報を権限情報記憶部１２１に設定しておき、ユーザにＭＦＰ１００の利用権限がなかった場合でもデフォルトグループについて設定されている利用権限を与えるようにした点が、上述の第１の変形例と異なるのみである。そして、この点に伴い、ユーザがＭＦＰ１００を使用しようとした場合にＭＦＰ１００のＣＰＵ１０１が実行する処理において図９に示した部分が上述の第１の変形例と異なるのみであるので、この相違点についてのみ説明する。
【００６４】
図１１に、この変形例における図９と対応する処理のフローチャートを示す。また、このフローチャートは、上述した実施形態における図６とも対応するものである。
この第３の変形例のＭＦＰ１００においては、ステップＳ３０４より前の処理は図９に示した第１の変形例の場合と同様であるが、ステップＳ３０４でユーザに利用権限がなかった場合、ステップＳＡで、デフォルトグループについて設定されている利用権限を、認証されたユーザの利用権限に追加し、ステップＳ１０９以下の処理に進むようにしている。
【００６５】
そして、このような処理により、ユーザが属するグループがないことを示すグループ情報を受信した場合でも、そのユーザにデフォルトグループに係る利用権限を認めるようにしたものである。
なお、ステップＳ１０９以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
【００６６】
以上のような処理を行うことにより、特に設定を行わなくても全てのユーザについて一定の機能の利用を許可することができるので、それ以上の機能の使用を許可したいグループについてのみ利用権限を設定するのみでよく、設定の労力を低減することができる。
なお、同様な効果を得るためには、図１１に示した処理に代えて、図１２に示した処理を行うようにしてもよい。この処理においては、ステップＳＡの処理をステップＳ３０１の直後に行うようにしている。そして、このようにした場合、全てのユーザが少なくともデフォルトグループについて設定されている利用権限を有することになるため、図１１のステップＳ３０４の処理は省略している。
【００６７】
〔第４の変形例：図１３乃至図１５〕
次に、上述した実施形態の第４の変形例について説明する。この変形例は、ユーザが属するグループの情報と、利用権限情報を定義したグループの情報とを比較する際に、グループ名ではなくグループのＩＤを用いるようにした点が、上述の第１の変形例と異なるのみである。なお、このＩＤとしては、例えばウィンドウズ（登録商標）を使用する場合には、ＧＵＩＤ（Global Unique Identifier）やＳＩＤ（Security Identifier）を用いることができる。
この変形例の説明においても、この点に伴う第１の変形例からの変更点についてのみ説明する。
この変形例においては、上述した実施形態において図４等を用いて説明したように各グループについての利用権限情報を設定しようとする場合、権限情報記憶部１２１に、グループ名と共にそのグループのＩＤも登録するようにしている。
【００６８】
図１３に、このための処理のフローチャートを示す。
この変形例においては、ＭＦＰ１００のＣＰＵ１０１は、ユーザがグループに関する利用権限情報を設定する指示を行った場合（例えば図４に示した権限設定画面２０で設定キー２５を押下した場合）、図１３のフローチャートに示す処理を開始する。
そして、まずステップＳ５０１で、認証サーバ２００にログインする。この際に使用するアカウントは、利用権限情報を設定しようとしたユーザのアカウントでも、ＭＦＰ１００自体のアカウントでもよい。そして、ステップＳ５０２でログインが成功したか否か判断し、成功していればステップＳ５０３で利用権限情報を設定しようとしているグループのＩＤを認証サーバに要求して送信させ、取得する。
【００６９】
ここで、認証サーバ２００において各グループにＩＤを付して管理するようにしておけば、認証サーバ２００において定義されているグループについてはＩＤが取得できるはずであるが、ユーザが入力した名前のグループが必ずしも認証サーバ２００において定義されているとは限らないので、グループのＩＤが取得できない場合も考えられる。
そこで、ステップＳ５０４で取得が成功したか否か判断する。そして、成功であれば、ステップＳ５０５で取得したＩＤをグループ名及び利用権限情報と共に権限情報記憶部１２１に登録し、ステップＳ５０６で登録成功のメッセージを操作表示部１１２に表示させて処理を終了する。
また、ステップＳ５０２でログインが失敗であったり、ステップＳ５０４でグループＩＤの取得に失敗した場合には、ＩＤを登録できないため、利用権限情報の登録自体を取り止め、ステップＳ５０７で登録失敗のメッセージを操作表示部１１２に表示させて処理を終了する。
【００７０】
以上のような処理を行うことにより、権限情報記憶部１２１に、グループ名や利用権限情報と対応させて、認証サーバ２００でグループの管理に使用しているＩＤを登録することができる。すなわち、このＩＤ毎に利用権限情報を登録することができると言える。従って、認証サーバ２００から受信するグループ情報に基づいてユーザの利用権限を判断する場合、グループのＩＤの情報を受信し、これを用いて判断するようにすることができる。
【００７１】
また、ＭＦＰ１００においてグループの利用権限を設定しようとするに当たって、予め認証サーバ２００からグループリスト及び各グループのＩＤを受信しておき、認証サーバ２００で定義されているグループについて利用権限を設定させるようにしてもよい。
図１４に、このようにする場合に、グループの利用権限を設定しようとするに当たってＭＦＰ１００と認証サーバ２００との間で実行する通信シーケンスを示す。
このように、予めＭＦＰ１００が認証サーバ２００で定義されているグループのリスト及び各グループのＩＤを取得しておくようにすれば、ユーザが利用権限を登録しようとした場合に認証サーバ２００にアクセスする必要はないし、ＩＤが取得できないために利用権限情報の登録自体ができなくなるといった事態を防止することができる。
【００７２】
なお、このようなグループＩＤを利用する場合、第１の変形例の図９と対応する処理は、この変形例では以下のようにすることができる。
図１５にこの処理のフローチャートを示す。
すなわち、この第４の変形例のＭＦＰ１００においては、図５のステップＳ１０５においてログイン成功であった場合、処理は図１５のステップＳ６０１に進み、ここで認証サーバ２００にユーザが属するグループのＩＤのリストを要求して送信させ、これを取得する。
【００７３】
そして、そのリストに含まれる各ＩＤを順次対象として、ステップＳ６０２及びＳ６０３の処理を繰り返す。これらの処理は、ステップＳ６０２で、対象ＩＤがＭＦＰ１００に利用権限情報の登録されているいずれかのグループのＩＤと一致するか否か判断し、いずれかと一致した場合に、ステップＳ６０３で該当するグループについて設定されている利用権限を、認証サーバ２００に認証された（ＭＦＰ１００の利用を要求している）ユーザの利用権限に追加するというものである。
なお、ステップＳ６０２の判断は、権限情報記憶部１２１に記憶している情報を基に行うことができる。また、ステップＳ６０１を行う時点では、認証されたユーザの利用権限は何もないものとする。
【００７４】
そして、その後ステップＳ６０４で、認証されたユーザに利用権限があるか否か判断し、あればステップＳ１０９以降の処理を行ってユーザに機能を提供する。なければ、図５のステップＳ１１５以降の処理に進み、ユーザにＭＦＰ１００の利用を許可せずに終了する。
ステップＳ１０９以降又はステップＳ１１５以降の処理については、上述した実施形態の場合と同様であるので、説明は省略する。
【００７５】
以上のような処理を行い、グループをＩＤに基づいて比較するようにしたことにより、組織変更等により認証サーバ２００側でグループの名称を変更する必要が生じた場合でも、グループＩＤが変わらなければ、ＭＦＰ１００側の設定内容を変更せずに権限管理を行うことができる。従って、設定の手間を省き、利用権限の管理をより省力化することができる。
【００７６】
以上で実施形態及び変形例の説明を終了するが、以上説明した実施形態の及び変形例の構成は、互いに矛盾しない範囲で適宜組み合わせて適用することができる。
また、ネットワークシステムを構成する装置、各ネットワーク機器のハードウェア構成や機能構成、データの形式や処理の内容等が、上述の実施形態及び変形例で説明したものに限られないことも、もちろんである。
【００７７】
例えば、ネットワークシステムは、最低限１つのネットワーク機器と１つの認証装置とによって構成することができる。また、通信に使用するネットワークも、ＬＡＮに限られず、インターネットを介すものであってもよいし、有線、無線を問わずに、任意の通信経路を用いることができる。
さらに、各ネットワーク機器における利用権限情報の設定は、機器の操作表示部からだけでなく、ネットワークを介して通信可能なＰＣ等の端末装置からウェブブラウザ等を用いてネットワーク機器にアクセスして行うことができるようにしてもよい。ネットワーク機器の機能の利用についても同様であり、外部の端末装置から機能の利用を要求される場合にも、上述したような権限管理は有効である。
【００７８】
また、この発明が、認証装置からユーザが属するグループの情報を取得可能なネットワーク機器であれば、どのようなネットワーク機器にも適用可能であることはもちろんである。適用対象としては、例えば、プリンタ，ＦＡＸ装置，デジタル複写機，スキャナ装置，デジタル複合機等の画像処理装置のほか、汎用コンピュータ，ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム，自動車，航空機等にネットワーク通信機能を持たせたネットワーク機器が考えられる。
【００７９】
また、この発明によるプログラムは、コンピュータに、上述したＭＦＰ１００のようなネットワーク機器を制御させるためのプログラムであり、このようなプログラムをコンピュータに実行させることにより、上述したような効果を得ることができる。
このようなプログラムは、はじめからコンピュータに備えるＲＯＭあるいはＨＤＤ等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。そのメモリに記録されたプログラムをコンピュータにインストールしてＣＰＵに実行させるか、ＣＰＵにそのメモリからこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。
【産業上の利用可能性】
【００８０】
以上説明してきたように、この発明のネットワークシステム、利用権限判定方法、ネットワーク機器、プログラム又は記録媒体によれば、多数のネットワーク機器を使用する場合でも、容易に各ユーザの利用権限を設定することができる。
従って、この発明を利用することにより、高いセキュリティと利便性を両立したネットワークシステムを構成することができる。
【図面の簡単な説明】
【００８１】
【図１】この発明のネットワーク機器の実施形態であるＭＦＰのハードウェア構成を示すブロック図である。
【図２】図１に示したＭＦＰを備えるネットワークシステムの構成例を示す図である。
【図３】図２に示したＭＦＰ及び認証サーバの機能構成のうち、この実施形態の特徴に関連する部分を示す図である。
【図４】図３に示したＭＦＰにおいて表示操作部から利用権限情報の入力を受け付けて権限情報記憶部に記憶させる場合に使用する画面及びその操作手順について説明するための図である。
【図５】ユーザが図３に示したＭＦＰを使用しようとした場合にＭＦＰが実行する処理の一部を示すフローチャートである。
【図６】図５の続きの部分を示すフローチャートである。
【図７】図５に示した処理において使用するログイン画面の表示例を示す図である。
【図８】図５及び図６に示した処理と対応する認証サーバ側の処理を示すフローチャートである。
【図９】この発明の実施形態の第１の変形例における図６と対応する処理を示すフローチャートである。
【図１０】この発明の実施形態の第２の変形例における図６と対応する処理を示すフローチャートである。
【００８２】
【図１１】この発明の実施形態の第３の変形例における図６と対応する処理を示すフローチャートである。
【図１２】そのさらに別の例を示すフローチャートである。
【図１３】この発明の実施形態の第４の変形例において、ユーザがグループに関する利用権限情報を設定する指示を行った場合にＭＦＰが行う処理を示すフローチャートである。
【図１４】その変形例のバリエーションにおいて、グループの利用権限を設定しようとするに当たってＭＦＰと認証サーバとの間で実行する通信のシーケンスを示す図である。
【図１５】この発明の実施形態の第４の変形例における図６と対応する処理を示すフローチャートである。
【符号の説明】
【００８３】
２０：権限設定画面、３０：コピー権限設定画面、４０：ログイン画面、
１００：ＭＦＰ、１０１：ＣＰＵ、１０２：ＲＯＭ、１０３：ＲＡＭ、
１０４：画像蓄積メモリ、１０５：記憶装置、１０６：ＬＡＮコントローラ、
１０７：ＦＡＸ通信部、１０８：スキャナ部、１０９：プロッタ部、
１１０：パネルＩ／Ｆ、１１１：システムバス、１１２：操作表示部、
１２１：権限情報記憶部、１２２：権限判断部、１２３：送受信機能部、
１２４：機能提供部、２００：認証サーバ、２０１：ユーザ情報記憶部、
２０２：ログイン判定部、２０３：グループ判定部、２０４：送受信機能部
【特許請求の範囲】
【請求項１】
ネットワーク機器と認証装置とを備えるネットワークシステムであって、
前記認証装置に、
前記ネットワーク機器を使用するユーザの識別情報及び、該ユーザが属するグループを示すグループ情報を記憶する記憶手段と、
前記ネットワーク機器からユーザの識別情報を受信した場合に、該識別情報に係るユーザが属するグループを示すグループ情報を前記ネットワーク機器に送信する送信手段とを設け、
前記ネットワーク機器に、
自身の機能の利用権限を示す利用権限情報を前記グループ毎に記憶する記憶手段と、
自身を使用しようとしたユーザの識別情報を前記認証装置に送信する送信手段と、
前記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判断する判断手段とを設けたことを特徴とするネットワークシステム。
【請求項２】
請求項１記載のネットワークシステムであって、
前記ネットワーク機器の判断手段が、前記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ中の少なくとも１つのグループについて利用権限のある機能については、そのユーザに利用権限を認めるようにしたことを特徴とするネットワークシステム。
【請求項３】
請求項１記載のネットワークシステムであって、
前記ネットワーク機器の判断手段が、前記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ全てについて利用権限のある機能についてのみ、そのユーザに利用権限を認めるようにしたことを特徴とするネットワークシステム。
【請求項４】
請求項１記載のネットワークシステムであって、
前記ネットワーク機器の記憶手段に、デフォルトグループに関する利用権限情報を記憶させておき、
前記ネットワーク機器の判断手段が、前記認証装置からあるユーザが属するグループがないことを示すグループ情報を受信した場合でも、そのユーザに前記デフォルトグループに係る利用権限を認めるようにしたことを特徴とするネットワークシステム。
【請求項５】
請求項１乃至４のいずれか一項記載のネットワークシステムであって、
前記認証装置において、
前記記憶手段が前記各グループについてＩＤを記憶すると共に、
前記送信手段が前記グループ情報としてグループのＩＤを送信するようにし、
前記ネットワーク機器において、
前記記憶手段が前記利用権限情報を前記グループのＩＤ毎に記憶すると共に、
前記判断手段が前記認証装置から受信したグループのＩＤに基づいてユーザの利用権限有無を判断するようにしたことを特徴とするネットワークシステム。
【請求項６】
ネットワーク機器における利用権限判定方法であって、
前記ネットワーク機器とネットワークを介して通信可能な前記認証装置に、
前記ネットワーク機器を使用するユーザの識別情報及び、該ユーザが属するグループを示すグループ情報を記憶させておき、
前記ネットワーク機器からユーザの識別情報を受信した場合に、該識別情報に係るユーザが属するグループを示すグループ情報を前記ネットワーク機器に送信させ、
前記ネットワーク機器に、
自身の機能の利用権限を示す利用権限情報を前記グループ毎に記憶させておき、
自身を使用しようとしたユーザの識別情報を前記認証装置に送信させ、
前記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判定させるようにしたことを特徴とする利用権限判定方法。
【請求項７】
自身の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、
自身を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、
該手段による送信に応じて前記認証装置から受信した、自身を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段とを設けたことを特徴とするネットワーク機器。
【請求項８】
コンピュータにネットワーク機器を制御させるためのプログラムであって、
前記コンピュータを、
前記ネットワーク機器の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、
前記ネットワーク機器を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、
該手段による送信に応じて前記認証装置から受信した、前記ネットワーク機器を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段として機能させるためのプログラムを含むことを特徴とするプログラム。
【請求項９】
請求項８記載のプログラムを記録したコンピュータ読取可能な記録媒体。
【請求項１】
ネットワーク機器と認証装置とを備えるネットワークシステムであって、
前記認証装置に、
前記ネットワーク機器を使用するユーザの識別情報及び、該ユーザが属するグループを示すグループ情報を記憶する記憶手段と、
前記ネットワーク機器からユーザの識別情報を受信した場合に、該識別情報に係るユーザが属するグループを示すグループ情報を前記ネットワーク機器に送信する送信手段とを設け、
前記ネットワーク機器に、
自身の機能の利用権限を示す利用権限情報を前記グループ毎に記憶する記憶手段と、
自身を使用しようとしたユーザの識別情報を前記認証装置に送信する送信手段と、
前記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判断する判断手段とを設けたことを特徴とするネットワークシステム。
【請求項２】
請求項１記載のネットワークシステムであって、
前記ネットワーク機器の判断手段が、前記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ中の少なくとも１つのグループについて利用権限のある機能については、そのユーザに利用権限を認めるようにしたことを特徴とするネットワークシステム。
【請求項３】
請求項１記載のネットワークシステムであって、
前記ネットワーク機器の判断手段が、前記認証装置からあるユーザが複数のグループに属することを示すグループ情報を受信した場合に、その複数のグループ全てについて利用権限のある機能についてのみ、そのユーザに利用権限を認めるようにしたことを特徴とするネットワークシステム。
【請求項４】
請求項１記載のネットワークシステムであって、
前記ネットワーク機器の記憶手段に、デフォルトグループに関する利用権限情報を記憶させておき、
前記ネットワーク機器の判断手段が、前記認証装置からあるユーザが属するグループがないことを示すグループ情報を受信した場合でも、そのユーザに前記デフォルトグループに係る利用権限を認めるようにしたことを特徴とするネットワークシステム。
【請求項５】
請求項１乃至４のいずれか一項記載のネットワークシステムであって、
前記認証装置において、
前記記憶手段が前記各グループについてＩＤを記憶すると共に、
前記送信手段が前記グループ情報としてグループのＩＤを送信するようにし、
前記ネットワーク機器において、
前記記憶手段が前記利用権限情報を前記グループのＩＤ毎に記憶すると共に、
前記判断手段が前記認証装置から受信したグループのＩＤに基づいてユーザの利用権限有無を判断するようにしたことを特徴とするネットワークシステム。
【請求項６】
ネットワーク機器における利用権限判定方法であって、
前記ネットワーク機器とネットワークを介して通信可能な前記認証装置に、
前記ネットワーク機器を使用するユーザの識別情報及び、該ユーザが属するグループを示すグループ情報を記憶させておき、
前記ネットワーク機器からユーザの識別情報を受信した場合に、該識別情報に係るユーザが属するグループを示すグループ情報を前記ネットワーク機器に送信させ、
前記ネットワーク機器に、
自身の機能の利用権限を示す利用権限情報を前記グループ毎に記憶させておき、
自身を使用しようとしたユーザの識別情報を前記認証装置に送信させ、
前記認証装置から受信したグループ情報に基づいて、自身を使用しようとしたユーザの利用権限有無を判定させるようにしたことを特徴とする利用権限判定方法。
【請求項７】
自身の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、
自身を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、
該手段による送信に応じて前記認証装置から受信した、自身を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段とを設けたことを特徴とするネットワーク機器。
【請求項８】
コンピュータにネットワーク機器を制御させるためのプログラムであって、
前記コンピュータを、
前記ネットワーク機器の機能の利用権限を示す利用権限情報をユーザが属するグループ毎に記憶する記憶手段と、
前記ネットワーク機器を使用しようとしたユーザの識別情報を、ネットワークを介して通信可能な認証装置に送信する送信手段と、
該手段による送信に応じて前記認証装置から受信した、前記ネットワーク機器を使用しようとしたユーザが属するグループを示すグループ情報に基づいて、そのユーザの利用権限有無を判断する判断手段として機能させるためのプログラムを含むことを特徴とするプログラム。
【請求項９】
請求項８記載のプログラムを記録したコンピュータ読取可能な記録媒体。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２００６−８５６４１（Ｐ２００６−８５６４１Ａ）
【公開日】平成１８年３月３０日（２００６．３．３０）
【国際特許分類】
【出願番号】特願２００４−２７２４６５（Ｐ２００４−２７２４６５）
【出願日】平成１６年９月１７日（２００４．９．１７）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
【公開日】平成１８年３月３０日（２００６．３．３０）
【国際特許分類】
【出願日】平成１６年９月１７日（２００４．９．１７）
【出願人】（０００００６７４７）株式会社リコー (37,907)
【Ｆターム（参考）】
[ Back to top ]