情報処理システムおよび制御プログラム
【課題】
ＳＳＯシステムにおける種々の課題を解決するようにした情報処理システムおよび制御プログラムを提供する
【解決手段】
ＳＳＯ情報配信サーバ３０からクライアント端末１０に透過型プロキシによるＳＳＯプログラム（Ｃ−ＳＳＯ１２）のインストールが要求され、ユーザがこのインストール要求を受け入れると、Ｃ−ＳＳＯ１２がクライアント端末１０へとインストールされる。ユーザは、このＣ−ＳＳＯ１２へのログインを済ませた後、Ｗｅｂブラウザ１１を用いてサービス提供サーバ４０へのアクセスを試みると、Ｃ−ＳＳＯ１２が、Ｗｅｂブラウザ１１からのリクエストを横取りし、１または複数のサービス提供サーバ４０への認証を代行して行う。
ＳＳＯシステムにおける種々の課題を解決するようにした情報処理システムおよび制御プログラムを提供する
【解決手段】
ＳＳＯ情報配信サーバ３０からクライアント端末１０に透過型プロキシによるＳＳＯプログラム（Ｃ−ＳＳＯ１２）のインストールが要求され、ユーザがこのインストール要求を受け入れると、Ｃ−ＳＳＯ１２がクライアント端末１０へとインストールされる。ユーザは、このＣ−ＳＳＯ１２へのログインを済ませた後、Ｗｅｂブラウザ１１を用いてサービス提供サーバ４０へのアクセスを試みると、Ｃ−ＳＳＯ１２が、Ｗｅｂブラウザ１１からのリクエストを横取りし、１または複数のサービス提供サーバ４０への認証を代行して行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システムおよび制御プログラムに関する。
【背景技術】
【０００２】
ユーザが最初に一度認証を受けると、その認証で許可された全ての機能を利用できるようにするＳＳＯ（Single Sign-On）システムが提案されている。このシステムは、例えば、特許文献１に記載された構成で実現でき、あるサーバへの接続に際し認証、別のサーバへの接続に際し認証…といった認証操作を複数回繰り返す煩わしさを解消させることができる。
【０００３】
学校、企業等において、ネットワークシステムを運用する場合には、セキュリティを強化するために、内部ネットワークと外部ネットワーク（例えば、インターネット）との境に、内部ネットワークのコンピュータの代理として外部ネットワークへ接続を行うプロキシサーバが設けられる。このプロキシサーバは、外部ネットワーク上のサーバを、内部ネットワークから利用することを目的とし、特に、フォワードプロキシと呼ばれることもある。
【０００４】
これに対しリバースプロキシは、フォワードプロキシが内部ネットワークから外部ネットワークへの接続を中継するのとは逆に、外部ネットワークから内部ネットワークへの接続を中継する。なお、リバースプロキシの用途は、外部ネットワークから内部ネットワークへの接続に限らず、同一のネットワーク内で用いられることも少なくない。
【特許文献１】特開２００５−３２１９７０号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＳＳＯシステムの１つに、リバースプロキシを配し、外部ネットワーク側からの接続を集中的に管理ならびに監査するリバースプロキシ型のＳＳＯシステムがある。このタイプのシステムでは、ＷｅｂブラウザからＷｅｂサーバに対する全てのリクエストを一旦、このリバースプロキシが受け取り、Ｗｅｂサーバに転送することによって動作することになる。そのため、全てのリクエストがこのリバースプロキシを通過することになるので、リバースプロキシがボトルネックとなり、処理速度や可用性が低下してしまう恐れがある。
【０００６】
リバースプロキシ型のＳＳＯシステムの場合、ブラウザ側からは、コンテンツがすべてリバースプロキシに存在するように見える。このため、リバースプロキシでは、コンテンツ（例えば、ＨＴＭＬ（HyperText Markup Language）、スタイルシート（ＣＳＳ）、クライアントサイドスクリプト言語（Java（登録商標）Script、VBScript）等で構成される）内にリンクなどが設定してある場合、このリンク先のＵＲＬに変更が生じるため、これに伴ってコンテンツを書き換える必要がでてくる。このとき、コンテンツを書き換えられない場合があり、その場合、サーバ側での対応が必要になるので、任意のサービスをＳＳＯシステムに参加させることが難しかった。
【０００７】
また、上述したリバースプロキシ型のＳＳＯシステムの他、Ｗｅｂサーバに認証モジュールを組み込みＷｅｂアプリケーション等に至る前に、認証を済ませるエージェント型のＳＳＯシステムも提案されている。この場合、隘路ができないため性能上の問題はなくなるが、サーバとクライアントとの間で直接通信が行われてしまうため、監査ポイントを設定できないという問題がある。
【０００８】
また、エージェント型のＳＳＯシステムの場合、Ｗｅｂサーバに組み込むことになるので、プラットフォームや種類に依存してしまい、適用可能なサーバが限定されてしまう。そのため、このエージェント型のＳＳＯシステムの場合にも、リバースプロキシ型のＳＳＯシステムのときと同様に、任意のサービスをＳＳＯシステムに参加させることが難しかった。
【０００９】
本発明は、ＳＳＯシステムにおける種々の課題を解決するようにした情報処理システムおよび制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、請求項１の情報処理システムの発明は、情報配信サーバと、クライアント装置と、前記クライアント装置のユーザに対してサービスを提供する複数のサービス提供サーバとを具備し、前記情報配信サーバは、ユーザ認証情報を記憶するユーザ認証情報記憶手段と、前記複数のサービス提供サーバから認証情報を受信する受信手段と、前記受信手段が受信した認証情報と前記ユーザ認証情報記憶手段に記憶されたユーザ認証情報に基づいて作成した認証代行情報を配布する認証代行情報配布手段とを具備し、前記クライアント装置は、ユーザの認証を行うユーザ認証手段と、前記ユーザ認証手段による認証が行われたことを条件に、前記認証代行情報配布手段により配布された認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行手段とを具備する。
【００１１】
また、請求項２の発明は、請求項１の発明において、前記クライアント装置は、前記情報配信サーバから監査ポリシーを取得する監査ポリシー取得手段と、前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力手段とを更に具備する。
【００１２】
また、請求項３の発明は、請求項１または２の発明において、前記認証代行手段は、透過型プロキシである。
【００１３】
また、請求項４の発明は、複数のサービス提供サーバへの認証処理を代行して行う処理をコンピュータに実行させる制御プログラムであって、ユーザの認証を行うユーザ認証ステップと、前記複数のサービス提供サーバへの認証を行うための代行認証情報を取得する代行認証情報取得ステップと、前記ユーザ認証ステップによる認証が行われたことを条件に、前記代行認証情報取得ステップで取得した認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行ステップとを含む。
【００１４】
また、請求項５の発明は、請求項４の発明において、監査ポリシーを取得する監査ポリシー取得ステップと、前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力ステップとを更に含む。
【００１５】
また、請求項６の発明は、請求項４または５の発明において、前記認証代行ステップは、透過型プロキシである。
【発明の効果】
【００１６】
請求項１の情報処理システムによれば、リバースプロキシ型のような隘路ができないので、性能の劣化を招かない。また、コンテンツを書き換える必要が無いので、ＳＳＯに参加するサービス提供サーバ側での対応が不要になり、任意のサービスをＳＳＯに参加させることができる。
【００１７】
また、請求項２の情報処理システムによれば、情報配信サーバがポリシーに関する情報を一括して管理して配布することになるので、隘路を設けることなく、ポリシーを統一することができる。
【００１８】
また、請求項３の情報処理システムによれば、クライアント装置側で動作する認証代行ソフトウェアを透過型プロキシとして実現するため、ユーザがプロキシに関する設定を行う必要がなくなる。
【００１９】
また、請求項４の制御プログラムによれば、複数のサービス提供サーバへの認証処理を代行して行う処理をコンピュータに実行させることができるため、リバースプロキシ型のような隘路ができないので、性能の劣化を招かない。また、コンテンツを書き換える必要が無いので、ＳＳＯに参加するサービス提供サーバ側での対応が不要になり、任意のサービスをＳＳＯに参加させることができるようになる。
【００２０】
また、請求項５の制御プログラムによれば、隘路を設けることなく、ポリシーを統一できることになる。
【００２１】
また、請求項６の制御プログラムによれば、認証代行ソフトウェアを透過型プロキシとして実現することになるため、ユーザがプロキシに関する設定を行う必要がなくなる。
【発明を実施するための最良の形態】
【００２２】
以下、この発明に係わる情報処理システムおよび制御プログラムの実施形態について添付図面を参照して詳細に説明する。
【実施例】
【００２３】
図１は、本発明に係わる情報処理システムの全体構成の一例を示す図である。
【００２４】
この情報処理システムは、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等で構成されたネットワーク５０を介して１または複数台のクライアント端末１０と、監査用サーバ２０と、ＳＳＯ情報配信サーバ３０と、１または複数台のサービス提供サーバ４０とが接続されている。この情報処理システムでは、クライアント端末１０に配された透過型プロキシによるＳＳＯプログラム（以下、Ｃ−ＳＳＯと言う）の制御によりＳＳＯが実現される。すなわち、１度認証が有効に行われると、このＣ−ＳＳＯ１２が各サービス提供サーバ４０に対し認証代行を行うことで以後、ＳＳＯに参加しているどのサービス提供サーバ４０にアクセスしたとしても、ユーザは認証を要求されない。なお、この情報処理システムにおけるネットワーク構成は、あくまで一例であり、ネットワーク５０上にはこの他、アプリケーションサーバ、Ｗｅｂサーバ等、各種ネットワーク端末が接続されていても良い。
【００２５】
ここで、ＳＳＯ情報配信サーバ３０には、Ｃ−ＳＳＯ１２をクライアント端末１０へインストールするためのＣ−ＳＳＯインストールプログラム３１が記憶されており、このプログラム３１により、クライアント端末１０へＣ−ＳＳＯ１２がインストールされることになる。
【００２６】
また、詳細については後述するが、このＣ−ＳＳＯ１２によりサービス提供サーバ４０への認証が代行して行われるため、Ｃ−ＳＳＯ１２では、サービス提供サーバ４０へ認証を行うための認証情報を保持しておく必要がある。そのため、ＳＳＯ情報配信サーバ３０では、サービス提供サーバ４０へログインするための代行用の認証情報を当該サーバから受け取り、さらにこれをＣ−ＳＳＯ１２がインストールされたクライアント端末１０へ配布することになる。
【００２７】
クライアント端末１０には、ＨＴＭＬコンテンツ等を閲覧するためのアプリケーションとしてＷｅｂブラウザ１１が備わっており、このＷｅｂブラウザ１１を用いることでサービス提供サーバ４０等とのデータ通信が実現されることになる。なお、本実施例においては、Ｗｅｂブラウザ１１を介してサービス提供サーバ４０等とデータ通信を行う場合を例に挙げて説明するが、この通信に際して必ずしもＷｅｂブラウザ１１を用いる必要はなく、ｈｔｔｐリクエストを利用するものであれば代用できる。
【００２８】
Ｗｅｂブラウザ１１でサービス提供サーバ４０へアクセスする際には、Ｃ−ＳＳＯ１２を経由してアクセスすることになる。これは、Ｃ−ＳＳＯ１２がＷｅｂブラウザ１１からのリクエストを横取りするためである。Ｗｅｂブラウザ１１からサービス提供サーバ４０を参照する際、ユーザにはサーバへ直接アクセスしているように見えるが、実際にはこのＣ−ＳＳＯ１２を経由してアクセスが行われることになる。また、監査用サーバ２０では、このクライアント端末１０上でのアクセス記録等を監査ログ２１として受け取り、これを記憶する。この監査用サーバ２０への監査ログ２１の送信に際して、監査ログ２１の取得、送信は、Ｃ−ＳＳＯ１２が行う。
【００２９】
サービス提供サーバ４０は、ＨＴＭＬコンテンツ、画像などの各種情報や、Ｗｅｂアプリケーションなどのリソースを記憶しており、クライアント端末１０からのＷｅｂブラウザ１１を介したｈｔｔｐリクエストに応じてこれら情報等を提供する。なお、このサービス提供サーバ４０は、静的コンテンツ（例えば、ＨＴＭＬコンテンツ等）と、動的コンテンツ（Ｗｅｂアプリケーション等）とを記憶し、Ｗｅｂサーバとアプリケーションサーバの両方の機能を備えたものであるが、これはあくまで一例であり、いずれか一方の機能のみを備えたサーバであってもよい。
【００３０】
ここで、説明を分かり易くするために、クライアント端末１０がＳＳＯに参加する際の動作について簡単に説明する。クライアント端末１０からサービス提供サーバ４０へ初めてアクセスする際には、まず、認証を行う必要がある。ここで、このサービス提供サーバ４０へログインするための認証情報は、サービス提供サーバ４０からＳＳＯ情報配信サーバ３０へ定期的に送られている。この定期的とは、例えば、一定時間や一定期間毎であってもよいし、認証情報に変更があったタイミングであってもよい。
【００３１】
クライアント端末１０からのリクエストは、ＳＳＯ情報配信サーバ３０へとリダイレクトされる。このリダイレクトにより、ＳＳＯ情報配信サーバ３０からクライアント端末１０へＣ−ＳＳＯ１２のインストールが要求される。なお、Ｃ−ＳＳＯ１２は、予めユーザがインストールページにアクセスしてインストールしておいてもよい。
【００３２】
ユーザがこのインストール要求を受け入れ、Ｃ−ＳＳＯ１２がクライアント端末１０へインストールされると、ＳＳＯ情報配信サーバ３０から暗号化された認証代行情報や監査ポリシーがクライアント端末１０へと送られる。
【００３３】
ユーザは、Ｃ−ＳＳＯ１２へのログインを済ませた後、Ｗｅｂブラウザ１１を用いて再びサービス提供サーバ４０へのアクセスを試みると、Ｃ−ＳＳＯ１２は、このリクエストを横取りして、先に当該サービス提供サーバ４０への認証を代行する。ここで、認証が成功した場合には、ユーザのリクエストに従った処理がサービス提供サーバ４０において行われる。なお、このクライアント端末１０上で行われた処理内容は監査ポリシーに基づき監査用サーバ２０へ送られる。
【００３４】
次に、図２を用いて、図１に示す情報処理システムの機能的な構成の一部について説明する。なお、上記図１と同一のものには同一の符号を付してある。
【００３５】
サービス提供サーバ４０は、各種処理機能部として、自端末へログインするための認証情報をＳＳＯ情報配信サーバ３０へと送る機能を果たす認証情報送信部４１と、自端末へのログインを許可するか否かの認証を行う機能を果たす認証部４２とを具備して構成される。なお、この認証情報送信部４１から送信される認証情報は、セキュリティの観点から、暗号化した状態で送られることになる。
【００３６】
ＳＳＯ情報配信サーバ３０は、各種処理機能部として、Ｃ−ＳＳＯインストールプログラムと、ＳＳＯ情報配布部３２と、ユーザ認証情報記憶部３３と、認証情報受信部３４とを具備して構成される。
【００３７】
認証情報受信部３４は、サービス提供サーバ４０から認証情報を受信する機能を果たし、ユーザ認証情報記憶部３３は、ユーザ認証情報を記憶する機能を果たす。ＳＳＯ情報配布部３２は、クライアント端末１０からの要求に応じて、サービス提供サーバ４０から受信した認証情報と、ユーザ認証情報記憶部３３に記憶されたユーザ認証情報とに基づき認証代行情報を作成し、それをクライアント端末１０へ配布する機能を果たす。また、ＳＳＯ情報配布部３２では、この認証代行情報の他、監査ポリシーも、クライアント端末１０からの要求に応じてクライアント端末１０へ配布する。なお、認証代行情報や監査ポリシーをクライアント端末１０へ配布する際には、認証情報をサービス提供サーバ４０からＳＳＯ情報配信サーバ３０へ送信したときと同様にこれらを暗号化する。暗号化や復号化に際して用いられる鍵の管理方法や輸送方法、また、採用する暗号化方式は特に問わず、セキュリティが維持できるのであれば、どのような方法を用いてもよい。
【００３８】
クライアント端末１０には、Ｗｅｂブラウザ１１や、各種プログラム１３の他、Ｃ−ＳＳＯ１２がインストールされており、ここで、Ｃ−ＳＳＯ１２は、各種処理機能部として、ユーザ認証部６１と、リクエスト取得部６２と、ＳＳＯ情報取得部６３と、認証代行部６４と、ログ出力部６５とを具備して構成される。
【００３９】
ユーザ認証部６１は、Ｃ−ＳＳＯ１２へログインするための認証を行う機能を果たす。ＳＳＯの利用に際してユーザは、このユーザ認証部６１との間でユーザ認証を行い、Ｃ−ＳＳＯ１２に予めログインしておく必要がある。なお、本実施例においては、ユーザ認証部６１におけるユーザ認証は、ユーザ認証情報記憶部３３に記憶されたユーザ認証情報に基づき行われる。
【００４０】
リクエスト取得部６２は、Ｗｅｂブラウザ１１からのリクエストや、そのリクエストに対するＷｅｂブラウザ１１への応答を横取りして取得する機能を果たす。すなわち、Ｗｅｂブラウザ１１からのリクエストおよびその応答は必ず、Ｃ−ＳＳＯ１２を経由することになる。
【００４１】
ＳＳＯ情報取得部６３は、ＳＳＯ情報配信サーバ３０のＳＳＯ情報配布部３２から配布される情報を取得する。具体的には、認証代行情報６４ａや監査ポリシー６５ａ等のＳＳＯへ参加する際に必要な情報の配布をＳＳＯ情報配信サーバ３０へ要求し、その要求に応じて配布された情報を取得して認証代行部６４やログ出力部６５へ渡すことになる。
【００４２】
認証代行部６４は、認証代行情報６４ａを用いて各サービス提供サーバ４０へユーザに代わって認証を行う機能を果たす。この認証代行情報６４ａは、例えば、図３に示す一例のようになる。なお、この認証代行部６４における認証は、ユーザに意識させることなく行われる。
【００４３】
ログ出力部６５は、各種処理内容を示すログを監査ポリシー６５ａに基づいて監査用サーバ２０へ出力する機能を果たす。ここで、監査ポリシー６５ａは、どのようなタイミングでログを出力するか、どのようなログを採るか等を定めた規則である。この監査ポリシー６５ａをＳＳＯ配信サーバ３０から各クライアント端末１０にインストールされたＣ−ＳＳＯ１２へ配布することにより、システム全体のポリシーを容易に統一できる。また、監査ポリシー６５ａを書き換えるだけで採取する監査ログの内容を容易に変更できる。なお、本実施例においては、Ｗｅｂブラウザ１１からリクエストを受けた時と、そのリクエスト後にログを採取する旨が監査ポリシー６５ａに規定されているものとして説明する。
【００４４】
監査ポリシー６５ａは、ユーザが容易には変更できないように暗号化等を施して記憶しておく。また、監査ポリシー６５ａは、Ｃ−ＳＳＯ１２のインストール時や、認証代行情報の配布時などにＳＳＯ情報配信サーバ３０からダウンロードされる。なお、この上述したＣ−ＳＳＯ１２をクライアント端末１０上で動作させるにあたって、Ｗｅｂブラウザ１１等で特段の設定を行う必要はない。これは、Ｃ−ＳＳＯ１２が透過型プロキシとして実現されるためである。
【００４５】
次に、図４を用いて、図１および図２に示す情報処理システムにおける処理の流れについて説明する。なお、ここでは、クライアント端末１０にＣ−ＳＳＯ１２がインストールされていない状態からの処理の流れについて説明する。
【００４６】
まず、サービス提供サーバ４０の認証情報送信部４１からＳＳＯ情報配信サーバ３０へ認証情報が送られ、ＳＳＯ情報配信サーバ３０の認証情報受信部３４で、これを受信する（ステップＳ１０１）。
【００４７】
次に、ユーザがクライアント端末１０からＷｅｂブラウザ１１を用いてＳＳＯ情報配信サーバ３０へアクセスすると（ステップＳ１０２）、ＳＳＯ情報配信サーバ３０は、Ｃｏｏｋｉｅ等を参照することで、クライアント端末１０にＣ−ＳＳＯが未インストールであることを検出し、ユーザにＣ−ＳＳＯインストールプログラム３１の実行を要求する（ステップＳ１０３）。なお、Ｃ−ＳＳＯ１２がインストールされる前に、ユーザがクライアント端末１０からサービス提供サーバ４０に直接アクセスした場合であっても、ＳＳＯ情報サーバ３０へリダイレクトされるように予め設定しておくことで、最初からＳＳＯ情報配信サーバ３０へアクセスした場合と同様に、Ｃ−ＳＳＯ１２のインストールがユーザへ要求されることになる。
【００４８】
ユーザがインストールを承諾すると、クライアント端末１０へのＣ−ＳＳＯ１２のインストールが開始される（ステップＳ１０４）。ここで、クライアント端末１０へのインストールが完了すると、Ｃ−ＳＳＯ１２のＳＳＯ情報取得部６３からの要求により、ＳＳＯ情報配信サーバ３０のＳＳＯ情報配布部３２から、認証代行情報６４ａや監査ポリシー６５ａを含む情報が暗号化された状態でＣ−ＳＳＯ１２へと送られる（ステップＳ１０５）。Ｃ−ＳＳＯ１２では、これをＳＳＯ情報取得部６３で取得し、認証代行情報６４ａを認証代行部６４へ、監査ポリシー６５ａをログ出力部６５へ渡す（ステップＳ１０６）。
【００４９】
Ｃ−ＳＳＯ１２のインストールが済み、ユーザがＷｅｂブラウザ１１を用いてサービス提供サーバ４０へのアクセスを試みると（ステップＳ１０７）、Ｃ−ＳＳＯ１２は、リクエスト取得部６２において、このリクエストを横取りする。この時点でＣ−ＳＳＯ１２へのログインが済んでいなければ、ユーザ認証部６１は、ポップアップを表示するなどして、ユーザにＣ−ＳＳＯ１２へのログインを要求する（ステップＳ１０８）。
【００５０】
ユーザは、アカウント、パスワード等のユーザ認証情報を入力し（ステップＳ１０９）、ユーザ認証の実行を指示する。ここで、認証が成功すると（ステップＳ１１０）、Ｃ−ＳＳＯ１２へのログインが行われる。
【００５１】
続いてＣ−ＳＳＯ１２は、サービス提供サーバ４０への認証がまだ済んでいないことを検出すると、ユーザに代わって各サービス提供サーバ４０へ認証代行を行う（ステップＳ１１１）。この認証は、Ｃ−ＳＳＯ１２の認証代行部６４から、サービス提供サーバ４０の認証部４２へ認証代行情報６４ａが送られることで実行される。
【００５２】
認証代行に成功すると（ステップＳ１１２）、これを受けたリクエスト取得部６２は、ステップＳ１０７におけるＷｅｂブラウザ１１からのリクエストを中継する（ステップＳ１１３）。このリクエストに対するサービス提供サーバ４０からの応答があると（ステップＳ１１４）、Ｃ−ＳＳＯ１２のリクエスト取得部６２がこれを中継して（ステップＳ１１５）、Ｗｅｂブラウザ１１へ返す。これにより、Ｗｅｂブラウザ１１の画面上には、ステップＳ１０７のリクエストに対応するＨＴＭＬコンテンツ等が表示されることになる（ステップＳ１１６）。
【００５３】
なお、図４には示されていないが、Ｃ−ＳＳＯ１２のログ出力部６５では、監査ポリシー６５ａに基づいてＷｅｂブラウザ１１からリクエストを受けた時や、そのリクエスト後にログを採取し、それを監査用サーバ２０へと出力することになる。
【００５４】
次に、図５を用いて、図１および図２に示す情報処理システムにおける処理の流れについて説明する。なお、ここでは、クライアント端末１０にＣ−ＳＳＯ１２が既にインストールされている状態からの処理の流れについて説明する。
【００５５】
まず、ユーザがクライアント端末１０からＷｅｂブラウザ１１を用いてサービス提供サーバ４０へのアクセスを試みると（ステップＳ２０１）、Ｃ−ＳＳＯ１２は、リクエスト取得部６２において、このリクエストを横取りする。この時点でＣ−ＳＳＯ１２へのログインが済んでいなければ、ユーザ認証部６１は、ポップアップを表示するなどして、ユーザにＣ−ＳＳＯ１２へのログインを要求する（ステップＳ２０２）。
【００５６】
ユーザは、アカウント、パスワード等のユーザ認証情報を入力し（ステップＳ２０３）、ユーザ認証の実行を指示する。ここで、認証が成功すると（ステップＳ２０４）、Ｃ−ＳＳＯ１２へのログインが行われることになる。
【００５７】
続いてＣ−ＳＳＯ１２は、サービス提供サーバ４０への認証がまだ済んでいないことを検出すると、ユーザに代わって各サービス提供サーバ４０へ認証代行を行う（ステップＳ２０５）。この認証は、Ｃ−ＳＳＯ１２の認証代行部６４から、サービス提供サーバ４０の認証部４２へ認証代行情報６４ａが送られることで実行される。
【００５８】
認証代行に成功すると（ステップＳ２０６）、これを受けたリクエスト取得部６２は、ステップＳ２０１におけるＷｅｂブラウザ１１からのリクエストを中継する（ステップＳ２０７）。このリクエストに対するサービス提供サーバ４０からの応答があると（ステップＳ２０８）、Ｃ−ＳＳＯ１２のリクエスト取得部６２がこれを中継して（ステップＳ２０９）、Ｗｅｂブラウザ１１へ返す。これにより、Ｗｅｂブラウザ１１の画面上には、ステップＳ２０１のリクエストに対応するＨＴＭＬコンテンツ等が表示されることになる（ステップＳ２１０）。
【００５９】
なお、図５には示されていないが、Ｃ−ＳＳＯ１２のログ出力部６５では、監査ポリシー６５ａに基づいてＷｅｂブラウザ１１からリクエストを受けた時や、そのリクエスト後にログを採取し、それを監査用サーバ２０へと出力することになる。
【００６０】
以上が本発明の代表的な実施形態の一例であるが、本発明は、上記および図面に示す実施例に限定することなく、その要旨を変更しない範囲内で適宜変形して実施できるものである。
【００６１】
例えば、ＳＳＯ機能の有効／無効の切り替えや、ＳＳＯ情報配信サーバ３０による認証代行情報および監査ポリシー等の配布をＵＳＢ（Universal Serial Bus）キーなどの外部記録媒体を利用して行ってもよい。
【００６２】
また、上記実施例においては、本発明に係わる情報処理システムにより処理を実施する場合を説明したが、この処理をコンピュータにインストールされた制御プログラムにより実施するように構成してもよい。なお、この制御プログラムは、ネットワーク等の通信手段により提供することはもちろん、ＣＤ−ＲＯＭ等の記録媒体に格納して提供することも可能である。
【産業上の利用可能性】
【００６３】
本発明の情報処理システムおよび制御プログラムは、ユーザが最初に一度認証を受けると、その認証で許可された全ての機能を利用できるようにする情報処理システムおよび、この処理をコンピュータに実行させる制御プログラム全般に適用可能である。
【図面の簡単な説明】
【００６４】
【図１】本発明に係わる情報処理システムの全体構成の一例を示す図である。
【図２】図１に示す情報処理システムの機能的な構成の一部を示す図である。
【図３】図２に示す認証代行情報の一例を示す図である。
【図４】図１および図２に示す情報処理システムにおける第１の処理の流れを示すシーケンス図である。
【図５】図１および図２に示す情報処理システムにおける第２の処理の流れを示すシーケンス図である。
【符号の説明】
【００６５】
１０ クライアント端末
１１ Ｗｅｂブラウザ
１２ 透過型プロキシ（Ｃ−ＳＳＯ）
１３ プログラム
２０ 監査用サーバ
２１ 監査用ログ
３０ ＳＳＯ情報配信サーバ
３１ Ｃ−ＳＳＯインストールプログラム
３２ ＳＳＯ情報配布部
３３ ユーザ認証情報記憶部
３４ 認証情報受信部
４０ サービス提供サーバ
４１ 認証情報送信部
４２ 認証部
５０ ネットワーク
６１ ユーザ認証部
６２ リクエスト取得部
６３ ＳＳＯ情報取得部
６４ 認証代行部
６４ａ 認証代行情報
６５ ログ出力部
６５ａ 監査ポリシー
【技術分野】
【０００１】
本発明は、情報処理システムおよび制御プログラムに関する。
【背景技術】
【０００２】
ユーザが最初に一度認証を受けると、その認証で許可された全ての機能を利用できるようにするＳＳＯ（Single Sign-On）システムが提案されている。このシステムは、例えば、特許文献１に記載された構成で実現でき、あるサーバへの接続に際し認証、別のサーバへの接続に際し認証…といった認証操作を複数回繰り返す煩わしさを解消させることができる。
【０００３】
学校、企業等において、ネットワークシステムを運用する場合には、セキュリティを強化するために、内部ネットワークと外部ネットワーク（例えば、インターネット）との境に、内部ネットワークのコンピュータの代理として外部ネットワークへ接続を行うプロキシサーバが設けられる。このプロキシサーバは、外部ネットワーク上のサーバを、内部ネットワークから利用することを目的とし、特に、フォワードプロキシと呼ばれることもある。
【０００４】
これに対しリバースプロキシは、フォワードプロキシが内部ネットワークから外部ネットワークへの接続を中継するのとは逆に、外部ネットワークから内部ネットワークへの接続を中継する。なお、リバースプロキシの用途は、外部ネットワークから内部ネットワークへの接続に限らず、同一のネットワーク内で用いられることも少なくない。
【特許文献１】特開２００５−３２１９７０号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ＳＳＯシステムの１つに、リバースプロキシを配し、外部ネットワーク側からの接続を集中的に管理ならびに監査するリバースプロキシ型のＳＳＯシステムがある。このタイプのシステムでは、ＷｅｂブラウザからＷｅｂサーバに対する全てのリクエストを一旦、このリバースプロキシが受け取り、Ｗｅｂサーバに転送することによって動作することになる。そのため、全てのリクエストがこのリバースプロキシを通過することになるので、リバースプロキシがボトルネックとなり、処理速度や可用性が低下してしまう恐れがある。
【０００６】
リバースプロキシ型のＳＳＯシステムの場合、ブラウザ側からは、コンテンツがすべてリバースプロキシに存在するように見える。このため、リバースプロキシでは、コンテンツ（例えば、ＨＴＭＬ（HyperText Markup Language）、スタイルシート（ＣＳＳ）、クライアントサイドスクリプト言語（Java（登録商標）Script、VBScript）等で構成される）内にリンクなどが設定してある場合、このリンク先のＵＲＬに変更が生じるため、これに伴ってコンテンツを書き換える必要がでてくる。このとき、コンテンツを書き換えられない場合があり、その場合、サーバ側での対応が必要になるので、任意のサービスをＳＳＯシステムに参加させることが難しかった。
【０００７】
また、上述したリバースプロキシ型のＳＳＯシステムの他、Ｗｅｂサーバに認証モジュールを組み込みＷｅｂアプリケーション等に至る前に、認証を済ませるエージェント型のＳＳＯシステムも提案されている。この場合、隘路ができないため性能上の問題はなくなるが、サーバとクライアントとの間で直接通信が行われてしまうため、監査ポイントを設定できないという問題がある。
【０００８】
また、エージェント型のＳＳＯシステムの場合、Ｗｅｂサーバに組み込むことになるので、プラットフォームや種類に依存してしまい、適用可能なサーバが限定されてしまう。そのため、このエージェント型のＳＳＯシステムの場合にも、リバースプロキシ型のＳＳＯシステムのときと同様に、任意のサービスをＳＳＯシステムに参加させることが難しかった。
【０００９】
本発明は、ＳＳＯシステムにおける種々の課題を解決するようにした情報処理システムおよび制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、請求項１の情報処理システムの発明は、情報配信サーバと、クライアント装置と、前記クライアント装置のユーザに対してサービスを提供する複数のサービス提供サーバとを具備し、前記情報配信サーバは、ユーザ認証情報を記憶するユーザ認証情報記憶手段と、前記複数のサービス提供サーバから認証情報を受信する受信手段と、前記受信手段が受信した認証情報と前記ユーザ認証情報記憶手段に記憶されたユーザ認証情報に基づいて作成した認証代行情報を配布する認証代行情報配布手段とを具備し、前記クライアント装置は、ユーザの認証を行うユーザ認証手段と、前記ユーザ認証手段による認証が行われたことを条件に、前記認証代行情報配布手段により配布された認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行手段とを具備する。
【００１１】
また、請求項２の発明は、請求項１の発明において、前記クライアント装置は、前記情報配信サーバから監査ポリシーを取得する監査ポリシー取得手段と、前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力手段とを更に具備する。
【００１２】
また、請求項３の発明は、請求項１または２の発明において、前記認証代行手段は、透過型プロキシである。
【００１３】
また、請求項４の発明は、複数のサービス提供サーバへの認証処理を代行して行う処理をコンピュータに実行させる制御プログラムであって、ユーザの認証を行うユーザ認証ステップと、前記複数のサービス提供サーバへの認証を行うための代行認証情報を取得する代行認証情報取得ステップと、前記ユーザ認証ステップによる認証が行われたことを条件に、前記代行認証情報取得ステップで取得した認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行ステップとを含む。
【００１４】
また、請求項５の発明は、請求項４の発明において、監査ポリシーを取得する監査ポリシー取得ステップと、前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力ステップとを更に含む。
【００１５】
また、請求項６の発明は、請求項４または５の発明において、前記認証代行ステップは、透過型プロキシである。
【発明の効果】
【００１６】
請求項１の情報処理システムによれば、リバースプロキシ型のような隘路ができないので、性能の劣化を招かない。また、コンテンツを書き換える必要が無いので、ＳＳＯに参加するサービス提供サーバ側での対応が不要になり、任意のサービスをＳＳＯに参加させることができる。
【００１７】
また、請求項２の情報処理システムによれば、情報配信サーバがポリシーに関する情報を一括して管理して配布することになるので、隘路を設けることなく、ポリシーを統一することができる。
【００１８】
また、請求項３の情報処理システムによれば、クライアント装置側で動作する認証代行ソフトウェアを透過型プロキシとして実現するため、ユーザがプロキシに関する設定を行う必要がなくなる。
【００１９】
また、請求項４の制御プログラムによれば、複数のサービス提供サーバへの認証処理を代行して行う処理をコンピュータに実行させることができるため、リバースプロキシ型のような隘路ができないので、性能の劣化を招かない。また、コンテンツを書き換える必要が無いので、ＳＳＯに参加するサービス提供サーバ側での対応が不要になり、任意のサービスをＳＳＯに参加させることができるようになる。
【００２０】
また、請求項５の制御プログラムによれば、隘路を設けることなく、ポリシーを統一できることになる。
【００２１】
また、請求項６の制御プログラムによれば、認証代行ソフトウェアを透過型プロキシとして実現することになるため、ユーザがプロキシに関する設定を行う必要がなくなる。
【発明を実施するための最良の形態】
【００２２】
以下、この発明に係わる情報処理システムおよび制御プログラムの実施形態について添付図面を参照して詳細に説明する。
【実施例】
【００２３】
図１は、本発明に係わる情報処理システムの全体構成の一例を示す図である。
【００２４】
この情報処理システムは、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等で構成されたネットワーク５０を介して１または複数台のクライアント端末１０と、監査用サーバ２０と、ＳＳＯ情報配信サーバ３０と、１または複数台のサービス提供サーバ４０とが接続されている。この情報処理システムでは、クライアント端末１０に配された透過型プロキシによるＳＳＯプログラム（以下、Ｃ−ＳＳＯと言う）の制御によりＳＳＯが実現される。すなわち、１度認証が有効に行われると、このＣ−ＳＳＯ１２が各サービス提供サーバ４０に対し認証代行を行うことで以後、ＳＳＯに参加しているどのサービス提供サーバ４０にアクセスしたとしても、ユーザは認証を要求されない。なお、この情報処理システムにおけるネットワーク構成は、あくまで一例であり、ネットワーク５０上にはこの他、アプリケーションサーバ、Ｗｅｂサーバ等、各種ネットワーク端末が接続されていても良い。
【００２５】
ここで、ＳＳＯ情報配信サーバ３０には、Ｃ−ＳＳＯ１２をクライアント端末１０へインストールするためのＣ−ＳＳＯインストールプログラム３１が記憶されており、このプログラム３１により、クライアント端末１０へＣ−ＳＳＯ１２がインストールされることになる。
【００２６】
また、詳細については後述するが、このＣ−ＳＳＯ１２によりサービス提供サーバ４０への認証が代行して行われるため、Ｃ−ＳＳＯ１２では、サービス提供サーバ４０へ認証を行うための認証情報を保持しておく必要がある。そのため、ＳＳＯ情報配信サーバ３０では、サービス提供サーバ４０へログインするための代行用の認証情報を当該サーバから受け取り、さらにこれをＣ−ＳＳＯ１２がインストールされたクライアント端末１０へ配布することになる。
【００２７】
クライアント端末１０には、ＨＴＭＬコンテンツ等を閲覧するためのアプリケーションとしてＷｅｂブラウザ１１が備わっており、このＷｅｂブラウザ１１を用いることでサービス提供サーバ４０等とのデータ通信が実現されることになる。なお、本実施例においては、Ｗｅｂブラウザ１１を介してサービス提供サーバ４０等とデータ通信を行う場合を例に挙げて説明するが、この通信に際して必ずしもＷｅｂブラウザ１１を用いる必要はなく、ｈｔｔｐリクエストを利用するものであれば代用できる。
【００２８】
Ｗｅｂブラウザ１１でサービス提供サーバ４０へアクセスする際には、Ｃ−ＳＳＯ１２を経由してアクセスすることになる。これは、Ｃ−ＳＳＯ１２がＷｅｂブラウザ１１からのリクエストを横取りするためである。Ｗｅｂブラウザ１１からサービス提供サーバ４０を参照する際、ユーザにはサーバへ直接アクセスしているように見えるが、実際にはこのＣ−ＳＳＯ１２を経由してアクセスが行われることになる。また、監査用サーバ２０では、このクライアント端末１０上でのアクセス記録等を監査ログ２１として受け取り、これを記憶する。この監査用サーバ２０への監査ログ２１の送信に際して、監査ログ２１の取得、送信は、Ｃ−ＳＳＯ１２が行う。
【００２９】
サービス提供サーバ４０は、ＨＴＭＬコンテンツ、画像などの各種情報や、Ｗｅｂアプリケーションなどのリソースを記憶しており、クライアント端末１０からのＷｅｂブラウザ１１を介したｈｔｔｐリクエストに応じてこれら情報等を提供する。なお、このサービス提供サーバ４０は、静的コンテンツ（例えば、ＨＴＭＬコンテンツ等）と、動的コンテンツ（Ｗｅｂアプリケーション等）とを記憶し、Ｗｅｂサーバとアプリケーションサーバの両方の機能を備えたものであるが、これはあくまで一例であり、いずれか一方の機能のみを備えたサーバであってもよい。
【００３０】
ここで、説明を分かり易くするために、クライアント端末１０がＳＳＯに参加する際の動作について簡単に説明する。クライアント端末１０からサービス提供サーバ４０へ初めてアクセスする際には、まず、認証を行う必要がある。ここで、このサービス提供サーバ４０へログインするための認証情報は、サービス提供サーバ４０からＳＳＯ情報配信サーバ３０へ定期的に送られている。この定期的とは、例えば、一定時間や一定期間毎であってもよいし、認証情報に変更があったタイミングであってもよい。
【００３１】
クライアント端末１０からのリクエストは、ＳＳＯ情報配信サーバ３０へとリダイレクトされる。このリダイレクトにより、ＳＳＯ情報配信サーバ３０からクライアント端末１０へＣ−ＳＳＯ１２のインストールが要求される。なお、Ｃ−ＳＳＯ１２は、予めユーザがインストールページにアクセスしてインストールしておいてもよい。
【００３２】
ユーザがこのインストール要求を受け入れ、Ｃ−ＳＳＯ１２がクライアント端末１０へインストールされると、ＳＳＯ情報配信サーバ３０から暗号化された認証代行情報や監査ポリシーがクライアント端末１０へと送られる。
【００３３】
ユーザは、Ｃ−ＳＳＯ１２へのログインを済ませた後、Ｗｅｂブラウザ１１を用いて再びサービス提供サーバ４０へのアクセスを試みると、Ｃ−ＳＳＯ１２は、このリクエストを横取りして、先に当該サービス提供サーバ４０への認証を代行する。ここで、認証が成功した場合には、ユーザのリクエストに従った処理がサービス提供サーバ４０において行われる。なお、このクライアント端末１０上で行われた処理内容は監査ポリシーに基づき監査用サーバ２０へ送られる。
【００３４】
次に、図２を用いて、図１に示す情報処理システムの機能的な構成の一部について説明する。なお、上記図１と同一のものには同一の符号を付してある。
【００３５】
サービス提供サーバ４０は、各種処理機能部として、自端末へログインするための認証情報をＳＳＯ情報配信サーバ３０へと送る機能を果たす認証情報送信部４１と、自端末へのログインを許可するか否かの認証を行う機能を果たす認証部４２とを具備して構成される。なお、この認証情報送信部４１から送信される認証情報は、セキュリティの観点から、暗号化した状態で送られることになる。
【００３６】
ＳＳＯ情報配信サーバ３０は、各種処理機能部として、Ｃ−ＳＳＯインストールプログラムと、ＳＳＯ情報配布部３２と、ユーザ認証情報記憶部３３と、認証情報受信部３４とを具備して構成される。
【００３７】
認証情報受信部３４は、サービス提供サーバ４０から認証情報を受信する機能を果たし、ユーザ認証情報記憶部３３は、ユーザ認証情報を記憶する機能を果たす。ＳＳＯ情報配布部３２は、クライアント端末１０からの要求に応じて、サービス提供サーバ４０から受信した認証情報と、ユーザ認証情報記憶部３３に記憶されたユーザ認証情報とに基づき認証代行情報を作成し、それをクライアント端末１０へ配布する機能を果たす。また、ＳＳＯ情報配布部３２では、この認証代行情報の他、監査ポリシーも、クライアント端末１０からの要求に応じてクライアント端末１０へ配布する。なお、認証代行情報や監査ポリシーをクライアント端末１０へ配布する際には、認証情報をサービス提供サーバ４０からＳＳＯ情報配信サーバ３０へ送信したときと同様にこれらを暗号化する。暗号化や復号化に際して用いられる鍵の管理方法や輸送方法、また、採用する暗号化方式は特に問わず、セキュリティが維持できるのであれば、どのような方法を用いてもよい。
【００３８】
クライアント端末１０には、Ｗｅｂブラウザ１１や、各種プログラム１３の他、Ｃ−ＳＳＯ１２がインストールされており、ここで、Ｃ−ＳＳＯ１２は、各種処理機能部として、ユーザ認証部６１と、リクエスト取得部６２と、ＳＳＯ情報取得部６３と、認証代行部６４と、ログ出力部６５とを具備して構成される。
【００３９】
ユーザ認証部６１は、Ｃ−ＳＳＯ１２へログインするための認証を行う機能を果たす。ＳＳＯの利用に際してユーザは、このユーザ認証部６１との間でユーザ認証を行い、Ｃ−ＳＳＯ１２に予めログインしておく必要がある。なお、本実施例においては、ユーザ認証部６１におけるユーザ認証は、ユーザ認証情報記憶部３３に記憶されたユーザ認証情報に基づき行われる。
【００４０】
リクエスト取得部６２は、Ｗｅｂブラウザ１１からのリクエストや、そのリクエストに対するＷｅｂブラウザ１１への応答を横取りして取得する機能を果たす。すなわち、Ｗｅｂブラウザ１１からのリクエストおよびその応答は必ず、Ｃ−ＳＳＯ１２を経由することになる。
【００４１】
ＳＳＯ情報取得部６３は、ＳＳＯ情報配信サーバ３０のＳＳＯ情報配布部３２から配布される情報を取得する。具体的には、認証代行情報６４ａや監査ポリシー６５ａ等のＳＳＯへ参加する際に必要な情報の配布をＳＳＯ情報配信サーバ３０へ要求し、その要求に応じて配布された情報を取得して認証代行部６４やログ出力部６５へ渡すことになる。
【００４２】
認証代行部６４は、認証代行情報６４ａを用いて各サービス提供サーバ４０へユーザに代わって認証を行う機能を果たす。この認証代行情報６４ａは、例えば、図３に示す一例のようになる。なお、この認証代行部６４における認証は、ユーザに意識させることなく行われる。
【００４３】
ログ出力部６５は、各種処理内容を示すログを監査ポリシー６５ａに基づいて監査用サーバ２０へ出力する機能を果たす。ここで、監査ポリシー６５ａは、どのようなタイミングでログを出力するか、どのようなログを採るか等を定めた規則である。この監査ポリシー６５ａをＳＳＯ配信サーバ３０から各クライアント端末１０にインストールされたＣ−ＳＳＯ１２へ配布することにより、システム全体のポリシーを容易に統一できる。また、監査ポリシー６５ａを書き換えるだけで採取する監査ログの内容を容易に変更できる。なお、本実施例においては、Ｗｅｂブラウザ１１からリクエストを受けた時と、そのリクエスト後にログを採取する旨が監査ポリシー６５ａに規定されているものとして説明する。
【００４４】
監査ポリシー６５ａは、ユーザが容易には変更できないように暗号化等を施して記憶しておく。また、監査ポリシー６５ａは、Ｃ−ＳＳＯ１２のインストール時や、認証代行情報の配布時などにＳＳＯ情報配信サーバ３０からダウンロードされる。なお、この上述したＣ−ＳＳＯ１２をクライアント端末１０上で動作させるにあたって、Ｗｅｂブラウザ１１等で特段の設定を行う必要はない。これは、Ｃ−ＳＳＯ１２が透過型プロキシとして実現されるためである。
【００４５】
次に、図４を用いて、図１および図２に示す情報処理システムにおける処理の流れについて説明する。なお、ここでは、クライアント端末１０にＣ−ＳＳＯ１２がインストールされていない状態からの処理の流れについて説明する。
【００４６】
まず、サービス提供サーバ４０の認証情報送信部４１からＳＳＯ情報配信サーバ３０へ認証情報が送られ、ＳＳＯ情報配信サーバ３０の認証情報受信部３４で、これを受信する（ステップＳ１０１）。
【００４７】
次に、ユーザがクライアント端末１０からＷｅｂブラウザ１１を用いてＳＳＯ情報配信サーバ３０へアクセスすると（ステップＳ１０２）、ＳＳＯ情報配信サーバ３０は、Ｃｏｏｋｉｅ等を参照することで、クライアント端末１０にＣ−ＳＳＯが未インストールであることを検出し、ユーザにＣ−ＳＳＯインストールプログラム３１の実行を要求する（ステップＳ１０３）。なお、Ｃ−ＳＳＯ１２がインストールされる前に、ユーザがクライアント端末１０からサービス提供サーバ４０に直接アクセスした場合であっても、ＳＳＯ情報サーバ３０へリダイレクトされるように予め設定しておくことで、最初からＳＳＯ情報配信サーバ３０へアクセスした場合と同様に、Ｃ−ＳＳＯ１２のインストールがユーザへ要求されることになる。
【００４８】
ユーザがインストールを承諾すると、クライアント端末１０へのＣ−ＳＳＯ１２のインストールが開始される（ステップＳ１０４）。ここで、クライアント端末１０へのインストールが完了すると、Ｃ−ＳＳＯ１２のＳＳＯ情報取得部６３からの要求により、ＳＳＯ情報配信サーバ３０のＳＳＯ情報配布部３２から、認証代行情報６４ａや監査ポリシー６５ａを含む情報が暗号化された状態でＣ−ＳＳＯ１２へと送られる（ステップＳ１０５）。Ｃ−ＳＳＯ１２では、これをＳＳＯ情報取得部６３で取得し、認証代行情報６４ａを認証代行部６４へ、監査ポリシー６５ａをログ出力部６５へ渡す（ステップＳ１０６）。
【００４９】
Ｃ−ＳＳＯ１２のインストールが済み、ユーザがＷｅｂブラウザ１１を用いてサービス提供サーバ４０へのアクセスを試みると（ステップＳ１０７）、Ｃ−ＳＳＯ１２は、リクエスト取得部６２において、このリクエストを横取りする。この時点でＣ−ＳＳＯ１２へのログインが済んでいなければ、ユーザ認証部６１は、ポップアップを表示するなどして、ユーザにＣ−ＳＳＯ１２へのログインを要求する（ステップＳ１０８）。
【００５０】
ユーザは、アカウント、パスワード等のユーザ認証情報を入力し（ステップＳ１０９）、ユーザ認証の実行を指示する。ここで、認証が成功すると（ステップＳ１１０）、Ｃ−ＳＳＯ１２へのログインが行われる。
【００５１】
続いてＣ−ＳＳＯ１２は、サービス提供サーバ４０への認証がまだ済んでいないことを検出すると、ユーザに代わって各サービス提供サーバ４０へ認証代行を行う（ステップＳ１１１）。この認証は、Ｃ−ＳＳＯ１２の認証代行部６４から、サービス提供サーバ４０の認証部４２へ認証代行情報６４ａが送られることで実行される。
【００５２】
認証代行に成功すると（ステップＳ１１２）、これを受けたリクエスト取得部６２は、ステップＳ１０７におけるＷｅｂブラウザ１１からのリクエストを中継する（ステップＳ１１３）。このリクエストに対するサービス提供サーバ４０からの応答があると（ステップＳ１１４）、Ｃ−ＳＳＯ１２のリクエスト取得部６２がこれを中継して（ステップＳ１１５）、Ｗｅｂブラウザ１１へ返す。これにより、Ｗｅｂブラウザ１１の画面上には、ステップＳ１０７のリクエストに対応するＨＴＭＬコンテンツ等が表示されることになる（ステップＳ１１６）。
【００５３】
なお、図４には示されていないが、Ｃ−ＳＳＯ１２のログ出力部６５では、監査ポリシー６５ａに基づいてＷｅｂブラウザ１１からリクエストを受けた時や、そのリクエスト後にログを採取し、それを監査用サーバ２０へと出力することになる。
【００５４】
次に、図５を用いて、図１および図２に示す情報処理システムにおける処理の流れについて説明する。なお、ここでは、クライアント端末１０にＣ−ＳＳＯ１２が既にインストールされている状態からの処理の流れについて説明する。
【００５５】
まず、ユーザがクライアント端末１０からＷｅｂブラウザ１１を用いてサービス提供サーバ４０へのアクセスを試みると（ステップＳ２０１）、Ｃ−ＳＳＯ１２は、リクエスト取得部６２において、このリクエストを横取りする。この時点でＣ−ＳＳＯ１２へのログインが済んでいなければ、ユーザ認証部６１は、ポップアップを表示するなどして、ユーザにＣ−ＳＳＯ１２へのログインを要求する（ステップＳ２０２）。
【００５６】
ユーザは、アカウント、パスワード等のユーザ認証情報を入力し（ステップＳ２０３）、ユーザ認証の実行を指示する。ここで、認証が成功すると（ステップＳ２０４）、Ｃ−ＳＳＯ１２へのログインが行われることになる。
【００５７】
続いてＣ−ＳＳＯ１２は、サービス提供サーバ４０への認証がまだ済んでいないことを検出すると、ユーザに代わって各サービス提供サーバ４０へ認証代行を行う（ステップＳ２０５）。この認証は、Ｃ−ＳＳＯ１２の認証代行部６４から、サービス提供サーバ４０の認証部４２へ認証代行情報６４ａが送られることで実行される。
【００５８】
認証代行に成功すると（ステップＳ２０６）、これを受けたリクエスト取得部６２は、ステップＳ２０１におけるＷｅｂブラウザ１１からのリクエストを中継する（ステップＳ２０７）。このリクエストに対するサービス提供サーバ４０からの応答があると（ステップＳ２０８）、Ｃ−ＳＳＯ１２のリクエスト取得部６２がこれを中継して（ステップＳ２０９）、Ｗｅｂブラウザ１１へ返す。これにより、Ｗｅｂブラウザ１１の画面上には、ステップＳ２０１のリクエストに対応するＨＴＭＬコンテンツ等が表示されることになる（ステップＳ２１０）。
【００５９】
なお、図５には示されていないが、Ｃ−ＳＳＯ１２のログ出力部６５では、監査ポリシー６５ａに基づいてＷｅｂブラウザ１１からリクエストを受けた時や、そのリクエスト後にログを採取し、それを監査用サーバ２０へと出力することになる。
【００６０】
以上が本発明の代表的な実施形態の一例であるが、本発明は、上記および図面に示す実施例に限定することなく、その要旨を変更しない範囲内で適宜変形して実施できるものである。
【００６１】
例えば、ＳＳＯ機能の有効／無効の切り替えや、ＳＳＯ情報配信サーバ３０による認証代行情報および監査ポリシー等の配布をＵＳＢ（Universal Serial Bus）キーなどの外部記録媒体を利用して行ってもよい。
【００６２】
また、上記実施例においては、本発明に係わる情報処理システムにより処理を実施する場合を説明したが、この処理をコンピュータにインストールされた制御プログラムにより実施するように構成してもよい。なお、この制御プログラムは、ネットワーク等の通信手段により提供することはもちろん、ＣＤ−ＲＯＭ等の記録媒体に格納して提供することも可能である。
【産業上の利用可能性】
【００６３】
本発明の情報処理システムおよび制御プログラムは、ユーザが最初に一度認証を受けると、その認証で許可された全ての機能を利用できるようにする情報処理システムおよび、この処理をコンピュータに実行させる制御プログラム全般に適用可能である。
【図面の簡単な説明】
【００６４】
【図１】本発明に係わる情報処理システムの全体構成の一例を示す図である。
【図２】図１に示す情報処理システムの機能的な構成の一部を示す図である。
【図３】図２に示す認証代行情報の一例を示す図である。
【図４】図１および図２に示す情報処理システムにおける第１の処理の流れを示すシーケンス図である。
【図５】図１および図２に示す情報処理システムにおける第２の処理の流れを示すシーケンス図である。
【符号の説明】
【００６５】
１０ クライアント端末
１１ Ｗｅｂブラウザ
１２ 透過型プロキシ（Ｃ−ＳＳＯ）
１３ プログラム
２０ 監査用サーバ
２１ 監査用ログ
３０ ＳＳＯ情報配信サーバ
３１ Ｃ−ＳＳＯインストールプログラム
３２ ＳＳＯ情報配布部
３３ ユーザ認証情報記憶部
３４ 認証情報受信部
４０ サービス提供サーバ
４１ 認証情報送信部
４２ 認証部
５０ ネットワーク
６１ ユーザ認証部
６２ リクエスト取得部
６３ ＳＳＯ情報取得部
６４ 認証代行部
６４ａ 認証代行情報
６５ ログ出力部
６５ａ 監査ポリシー
【特許請求の範囲】
【請求項１】
情報配信サーバと、
クライアント装置と、
前記クライアント装置のユーザに対してサービスを提供する複数のサービス提供サーバと
を具備し、
前記情報配信サーバは、
ユーザ認証情報を記憶するユーザ認証情報記憶手段と、
前記複数のサービス提供サーバから認証情報を受信する受信手段と、
前記受信手段が受信した認証情報と前記ユーザ認証情報記憶手段に記憶されたユーザ認証情報に基づいて作成した認証代行情報を配布する認証代行情報配布手段と
を具備し、
前記クライアント装置は、
ユーザの認証を行うユーザ認証手段と、
前記ユーザ認証手段による認証が行われたことを条件に、前記認証代行情報配布手段により配布された認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行手段と
を具備する情報処理システム。
【請求項２】
前記クライアント装置は、
前記情報配信サーバから監査ポリシーを取得する監査ポリシー取得手段と、
前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力手段と
を更に具備する請求項１記載の情報処理システム。
【請求項３】
前記認証代行手段は、
透過型プロキシである請求項１または請求項２記載の情報処理システム。
【請求項４】
複数のサービス提供サーバへの認証処理を代行して行う処理をコンピュータに実行させる制御プログラムであって、
ユーザの認証を行うユーザ認証ステップと、
前記複数のサービス提供サーバへの認証を行うための代行認証情報を取得する代行認証情報取得ステップと、
前記ユーザ認証ステップによる認証が行われたことを条件に、前記代行認証情報取得ステップで取得した認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行ステップと
を含む制御プログラム。
【請求項５】
監査ポリシーを取得する監査ポリシー取得ステップと、
前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力ステップと
を更に含む請求項４記載の制御プログラム。
【請求項６】
前記認証代行ステップは、
透過型プロキシである請求項４または請求項５記載の制御プログラム
【請求項１】
情報配信サーバと、
クライアント装置と、
前記クライアント装置のユーザに対してサービスを提供する複数のサービス提供サーバと
を具備し、
前記情報配信サーバは、
ユーザ認証情報を記憶するユーザ認証情報記憶手段と、
前記複数のサービス提供サーバから認証情報を受信する受信手段と、
前記受信手段が受信した認証情報と前記ユーザ認証情報記憶手段に記憶されたユーザ認証情報に基づいて作成した認証代行情報を配布する認証代行情報配布手段と
を具備し、
前記クライアント装置は、
ユーザの認証を行うユーザ認証手段と、
前記ユーザ認証手段による認証が行われたことを条件に、前記認証代行情報配布手段により配布された認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行手段と
を具備する情報処理システム。
【請求項２】
前記クライアント装置は、
前記情報配信サーバから監査ポリシーを取得する監査ポリシー取得手段と、
前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力手段と
を更に具備する請求項１記載の情報処理システム。
【請求項３】
前記認証代行手段は、
透過型プロキシである請求項１または請求項２記載の情報処理システム。
【請求項４】
複数のサービス提供サーバへの認証処理を代行して行う処理をコンピュータに実行させる制御プログラムであって、
ユーザの認証を行うユーザ認証ステップと、
前記複数のサービス提供サーバへの認証を行うための代行認証情報を取得する代行認証情報取得ステップと、
前記ユーザ認証ステップによる認証が行われたことを条件に、前記代行認証情報取得ステップで取得した認証代行情報に基づき前記複数のサービス提供サーバに対するユーザの認証を代行する認証代行ステップと
を含む制御プログラム。
【請求項５】
監査ポリシーを取得する監査ポリシー取得ステップと、
前記監査ポリシー取得手段で取得した前記監査ポリシーに基づいて監査ログを出力するログ出力ステップと
を更に含む請求項４記載の制御プログラム。
【請求項６】
前記認証代行ステップは、
透過型プロキシである請求項４または請求項５記載の制御プログラム
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２００８−９６０７（Ｐ２００８−９６０７Ａ）
【公開日】平成２０年１月１７日（２００８．１．１７）
【国際特許分類】
【出願番号】特願２００６−１７８０３６（Ｐ２００６−１７８０３６）
【出願日】平成１８年６月２８日（２００６．６．２８）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２０年１月１７日（２００８．１．１７）
【国際特許分類】
【出願日】平成１８年６月２８日（２００６．６．２８）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]