認証システム、方法、およびプログラム
【課題】レルムに依存することなく、また不要な処理負担を発生させることなく、異なる種類の認証要求装置やアクセス回線が収容される環境についても１つの認証システムで対応する。
【解決手段】種別判定部１３により、認証要求装置２０からの認証要求パケットから抽出した属性情報に基づいて、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別を判定し、この種別判定結果に基づいて、属性変換部１５により、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換し、この統一記述形式からなる属性情報に基づいて、認証処理部１７により、ユーザ端末４０に関する認証処理を行う。
【解決手段】種別判定部１３により、認証要求装置２０からの認証要求パケットから抽出した属性情報に基づいて、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別を判定し、この種別判定結果に基づいて、属性変換部１５により、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換し、この統一記述形式からなる属性情報に基づいて、認証処理部１７により、ユーザ端末４０に関する認証処理を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク通信技術に関し、特に通信サービス提供時にユーザを認証する認証技術に関する。
【背景技術】
【０００２】
オフィス業務のＩＴ化およびＩＰネットワークの普及に伴い、複数拠点に分散したオフィスシステムをＩＰネットワークで結合し、データ通信が行われている。この際、コスト低減のため、公衆ＩＰネットワーク上に仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）を構築するサービスが普及している。
【０００３】
ＶＰＮに接続するには、認証要求装置から認証装置に対し、ユーザ情報等から構成される属性情報を含む認証要求メッセージを送受信して、ユーザ認証を行う必要がある。ＶＰＮサービスの普及に伴い、装置規模／機能／価格の異なる認証要求装置が複数の会社から複数種類発売されている。また、回線速度／品質／価格が異なるアクセス回線が複数種類販売されている。利用形態に応じてＶＰＮを構築するため、これら複数種類の認証要求装置およびアクセス回線を組み合わせてＶＰＮを構築する事例が増えている。
【０００４】
認証要求装置から認証装置に送信される認証パケットは、要求内容を示す属性情報を含んでいる。認証要求装置の種別やアクセス回線種別により、同じ情報を示す属性情報であっても、属性情報の記述形式（フォーマット）が異なる場合があるため、認証装置は、それらの差分に対応した処理を行う必要がある。
上記の状況を踏まえ、認証要求装置種別およびアクセス回線種別により異なる情報の記述形式の違いに対応できる認証装置が求められている。
【０００５】
従来の認証装置の１つであるSteel-Belted RADIUSシステム（非特許文献１など参照）は、認証要求パケット受信時および送信時に、レルム単位もしくは認証システム単位で、設定値もしくはデータベース値に基づき、認証パケットの属性情報の編集が可能なAttribute filter機能を持つ。
これらの機能により、属性情報の違いに対応した認証処理ロジックを追加することや、属性情報の値を予め決められた記述形式に変換することが可能である。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Steel-Belted Radius Carrier Administration and Configuration Guide Release 7.2, http://www.juniper.net/techpubs/software/aaa_802/sbrc/sbrc72/bookpdfs/sw-sbrc-admin.pdf
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、このような従来技術では、属性情報の編集は、レルム単位もしくは認証システム単位で、事前に設定した値やデータベース値に基づき行われるため、受信した認証要求パケットの属性情報の値に基づいて編集内容を変更することはできない。このため、同一レルム内に、異なる種類の認証要求装置やアクセス回線種別が収容されており、認証要求パケットごとに属性情報の編集方法が異なる環境には適用できないという問題点があった。
【０００８】
また、Attribute filter機能による属性情報の編集を実施できるのはパケット受信時および送信時に限られていることから、認証処理に必要な属性情報の変換はパケット受信時に一括して行う必要がある。このため、必ずしも変換処理が必要ではない認証パケットも処理対象となり、変換処理が不要な認証要求パケットを多数受信する環境では、不要な処理負荷が増大する可能性がある。
【０００９】
本発明はこのような課題を解決するためのものであり、レルムに依存することなく、また不要な処理負担を発生させることなく、異なる種類の認証要求装置やアクセス回線が収容される環境についても１つの認証システムで対応できる認証技術を提供することを目的としている。
【課題を解決するための手段】
【００１０】
このような目的を達成するために、本発明にかかる認証システムは、アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムであって、認証要求パケットから認証処理に必要な１つ以上の属性情報を抽出するパケット処理部と、属性情報に基づいて、認証要求装置の装置種別または／およびアクセス回線の回線種別を判定する種別判定部と、種別判定結果に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換する属性変換部と、統一記述形式に変換された属性情報に基づいて、ユーザ端末に関する認証処理を行う認証処理部とを備えている。
【００１１】
この際、種別判定部で、認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、パケット処理部で属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得するようにしてもよい。
【００１２】
また、種別判定部で、パケット処理部で抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、パケット処理部で属性情報として抽出した判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得するようにしてもよい。
【００１３】
また、属性変換部で、認証要求装置の装置種別または／およびアクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、種別判定部で得られた装置種別または／および回線種別と組をなす変換対象属性情報および変換式を取得し、パケット処理部で抽出した変換対象属性情報の値を当該変換式に基づいて統一記述形式へ変換するようにしてもよい。
【００１４】
また、属性変換部で、種別判定結果に基づいて、認証処理結果を示す属性情報を個別記述形式へ逆変換し、パケット処理部で、逆変換された属性情報を含む認証応答パケットを作成して、認証要求装置へ送信するようにしてもよい。
【００１５】
また、属性変換部で、認証要求装置の装置種別または／およびアクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、種別判定部で得られた装置種別または／および回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて個別記述形式へ逆変換するようにしてもよい。
【００１６】
また、認証処理部で、種別判定部で得られた装置種別または／および回線種別に基づいて、パケット処理部で抽出した属性情報について認証処理が可能か否か判断し、当該認証処理が不可能な場合には統一記述形式からなる属性情報を要求する統一情報要求を属性変換部に対して通知し、当該認証処理が可能な場合には個別記述形式からなる属性情報を要求する個別情報要求を属性変換部に対して通知し、属性変換部は、統一情報要求が通知された場合、パケット処理部で抽出した属性情報を統一記述形式への変換して認証処理部へ出力し、個別情報要求が通知された場合、パケット処理部で抽出した属性情報を個別記述形式のまま認証処理部へ出力するようにしてもよい。
【００１７】
また、本発明にかかる認証方法は、アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムで用いられる認証方法であって、パケット処理部が、認証要求パケットから認証処理に必要な１つ以上の属性情報を抽出するパケット処理ステップと、種別判定部が、属性情報に基づいて、認証要求装置の装置種別または／およびアクセス回線の回線種別を判定する種別判定ステップと、属性変換部が、種別判定結果に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換する属性変換ステップと、認証処理部が、統一記述形式に変換された属性情報に基づいて、ユーザ端末に関する認証処理を行う認証処理ステップとを備えている。
【００１８】
この際、種別判定ステップで、認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、パケット処理ステップで属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得するようにしてもよい。
【００１９】
また、種別判定ステップで、パケット処理ステップで抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、パケット処理ステップで属性情報として抽出した判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得するようにしてもよい。
【００２０】
また、属性変換ステップで、認証要求装置の装置種別または／およびアクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、種別判定ステップで得られた装置種別または／および回線種別と組をなす変換対象属性情報および変換式を取得し、パケット処理ステップで抽出した変換対象属性情報の値を当該変換式に基づいて統一記述形式へ変換するようにしてもよい。
【００２１】
また、属性変換ステップで、種別判定結果に基づいて、認証処理結果を示す属性情報を個別記述形式へ逆変換し、パケット処理ステップで、逆変換された属性情報を含む認証応答パケットを作成して、認証要求装置へ送信するようにしてもよい。
【００２２】
また、属性変換ステップで、認証要求装置の装置種別または／およびアクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、種別判定ステップで得られた装置種別または／および回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて個別記述形式へ逆変換するようにしてもよい。
【００２３】
認証処理ステップで、種別判定ステップで得られた装置種別または／および回線種別に基づいて、パケット処理ステップで抽出した属性情報について認証処理が可能か否か判断し、当該認証処理が不可能な場合には統一記述形式からなる属性情報を要求する統一情報要求を属性変換ステップに対して通知し、当該認証処理が可能な場合には個別記述形式からなる属性情報を要求する個別情報要求を属性変換ステップに対して通知し、属性変換ステップで、統一情報要求が通知された場合、パケット処理ステップで抽出した属性情報を統一記述形式への変換して認証処理ステップへ出力し、個別情報要求が通知された場合、パケット処理ステップで抽出した属性情報を個別記述形式のまま認証処理ステップへ出力するようにしてもよい。
【００２４】
また、本発明にかかるプログラムは、コンピュータを、前述した認証システムを構成する各部として機能させるためのプログラムである。
【発明の効果】
【００２５】
本発明によれば、レルムに依存することなく、また不要な処理負担を発生させることなく、異なる種類の認証要求装置やアクセス回線が収容される環境についても、１つの認証システムで対応できる。
【図面の簡単な説明】
【００２６】
【図１】第１の実施の形態にかかる認証システムの構成を示すブロック図である。
【図２】装置種別判定ルールの構成例である。
【図３】回線種別判定ルールの構成例である。
【図４】変換ルールの構成例である。
【図５】逆変換ルールの構成例である。
【図６】第１の実施の形態にかかる認証システムの動作を示すシーケンス図である。
【図７】第１の実施の形態にかかる装置種別判定処理を示すフローチャートである。
【図８】第１の実施の形態にかかる回線種別判定処理を示すフローチャートである。
【図９】種別判定例を示す説明図である。
【図１０】第１の実施の形態にかかる属性変換処理を示すフローチャートである。
【図１１】属性情報変換例を示す説明図である。
【図１２】第１の実施の形態にかかる属性逆変換処理を示すフローチャートである。
【図１３】属性情報逆変換例を示す説明図である。
【図１４】第２の実施の形態にかかる認証システムの動作（属性変換要）を示すシーケンス図である。
【図１５】第２の実施の形態にかかる認証システムの動作（属性変換不要）を示すシーケンス図である。
【発明を実施するための形態】
【００２７】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかる認証システムについて説明する。図１は、第１の実施の形態にかかる認証システムの構成を示すブロック図である。
【００２８】
この認証システム１０は、全体としてサーバ装置などの１つ以上の通信処理装置からなり、ユーザ端末４０（４１，４２，４３）に対してＶＰＮなどの通信サービスを提供する際、アクセス回線３０（３１，３２，３３）を介してユーザ端末４０と接続する認証要求装置２０（２１，２２，２３）からの認証要求パケットに応じて、当該ユーザ端末４０に関する認証処理を行う機能を有している。なお、ユーザ端末４０はユーザ端末４１，４２，４３の総称や代表を指し、アクセス回線３０はアクセス回線３１，３２，３３の総称や代表を指し、認証要求装置２０は認証要求装置２１，２２，２３の総称や代表を指す。
【００２９】
認証要求装置２０は、全体としてサーバ装置、スイッチ、ルータなどの通信処理装置からなり、ユーザ端末４０からの通信サービス要求を受け付けて、認証処理に必要な各種属性情報を含む認証要求パケットを認証システム１０へ送信する機能と、認証システム１０から受信した認証応答パケットに含まれる認証処理結果に応じて、ユーザ端末４０への通信サービス提供のための通信経路確立処理を行う機能とを有している。
【００３０】
ユーザ端末４０は、全体としてパーソナルコンピュータや携帯端末などの通信端末装置からなり、通信サービス開始時にアクセス回線３０を介して認証要求装置２０へ接続し、認証処理に必要な各種属性情報を含む通信サービス要求パケットを送信する機能と、認証要求装置２０からの通信サービス開始パケットの受信に応じて通信サービスを開始する機能とを有している。
【００３１】
図１の接続形態において、認証システム１０に対して３つの認証要求装置２１，２２，２３が接続されている。これら認証要求装置２１，２２，２３は、メーカや機種の違いに応じてそれぞれ個別の装置種別を有しており、これら装置種別ごとに、認証システム１０へ送信する認証要求パケットに含まれる属性情報の記述形式が異なっている。図１の例では、認証要求装置２１，２２は装置種別Ｘを有し、認証要求装置２３は装置種別Ｙを有しているものとする。
【００３２】
また、これら認証要求装置２１，２２，２３には、個別のアクセス回線３１，３２，３３を介してユーザ端末４１，４２，４３がそれぞれ１つずつ接続されている。これらアクセス回線３１，３２，３３は、回線速度、通信品質、あるいは通信コストの違いに応じてそれぞれ固有の回線種別を有しており、これら回線種別ごとに、認証システム１０へ送信する認証要求パケットに含まれる属性情報の記述形式が異なっている。図１の例では、アクセス回線３１，３３が回線種別αを有し、アクセス回線３２が回線種別βを有しているものとする。
なお、認証システム１０に対して接続される認証要求装置２０の数、各認証要求装置２０に対して接続されるユーザ端末４０の数については、図１の例に限定されるものではない。
【００３３】
本実施の形態では、認証システム１０において、認証要求装置からの認証要求パケットから抽出した属性情報に基づいて、認証要求装置の装置種別または／およびアクセス回線の回線種別を判定し、この種別判定結果に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を、特定の統一記述形式へ変換し、この統一記述形式からなる属性情報に基づいて、ユーザ端末に関する認証処理を行うようにしたものである。
【００３４】
本発明において、装置種別とは、ユーザ端末からの認証要求を処理する機能は同一であるが、認証システムに対し送信する認証要求中の属性情報の記述形式が異なる装置を識別する値のことを指す。また、回線種別とは、ユーザ端末と認証要求装置の通信を中継する機能は同一であるが、回線識別子の記述形式等が異なる回線を識別する値のことを指す。これら装置種別または／および回線種別と個別記述形式の対応関係は、１対１だけでなく多対１の関係であってもよい。
【００３５】
次に、図１を参照して、本実施の形態にかかる認証システム１０の構成について詳細に説明する。
認証システム１０には、主な機能部として、通信インターフェース部（以下、通信Ｉ／Ｆ部という）１１、パケット処理部１２、種別判定部１３、判定ルールデータベース（以下、判定ルールＤＢという）１４、属性変換部１５、変換ルールデータベース（以下、変換ルールＤＢという）１６、認証処理部１７、記憶部１８、およびユーザデータベース（以下、ユーザＤＢという）１９が設けられており、内部バスを介して各種データを相互にやり取り可能に接続されている。
【００３６】
通信Ｉ／Ｆ部１１は、専用の通信回路部からなり、認証要求装置２０（２１，２２，２３）との間で認証要求パケットや認証応答パケットなどの各種パケットをやり取りすることにより、認証要求装置２０との間でデータ通信を行う機能を有している。
【００３７】
パケット処理部１２は、通信Ｉ／Ｆ部１１で受信した認証要求装置２０からの認証要求パケットから認証処理に用いる属性情報を抽出する機能と、認証処理結果を示す属性情報に基づいて通信Ｉ／Ｆ部１１から認証要求装置２０へ送信する認証応答パケットを作成する機能とを有している。
【００３８】
種別判定部１３は、判定ルールＤＢ１４に格納されている判定ルールを参照して、パケット処理部１２で抽出した属性情報に基づいて、認証要求パケットを送信した認証要求装置２０の装置種別と、認証処理対象となるユーザ端末４０が用いたアクセス回線３０の回線種別を判定する機能を有している。装置種別と回線種別は、属性情報の変換に用いる変換ルールを特定するためのものである。このため、装置種別と回線種別のいずれか一方で変換ルールを特定できるのであれば、いずれか一方のみの種別を判定すればよく、変換ルールの特定に装置種別と回線種別の両方が必要な場合には、これら両方の種別を判定すればよい。
【００３９】
判定ルールＤＢ１４は、ハードディスクや半導体メモリなどの記憶装置からなり、認証要求パケットの送信元となる認証要求装置２０の装置種別を判定するための装置種別判定ルールと、認証処理対象となるユーザ端末４０が用いたアクセス回線３０の回線種別を判定するための回線種別判定ルールとを記憶する機能を有している。
【００４０】
装置種別判定ルールは、認証要求装置２０のＩＰアドレス、すなわち認証要求パケットの送信元アドレスと当該認証要求装置２０の装置種別との組から構成されている。
図２は、装置種別判定ルールの構成例である。ここでは、送信元アドレス「10.0.0.1」の場合、認証要求装置２０の識別種別は「Ｘ」であり、送信元アドレス「10.0.1.1」の場合、認証要求装置２０の識別種別は「Ｘ」であり、送信元アドレス「10.0.2.1」の場合、認証要求装置２０の識別種別は「Ｙ」であることが登録されている。
【００４１】
回線種別判定ルールは、属性情報に関する値型と当該アクセス回線の回線種別との組から構成されている。
図３は、回線種別判定ルールの構成例である。ここでは、属性情報Ａの値型が「ＩＰｖ４アドレス」の場合、アクセス回線３０の回線種別は「α」であり、属性情報Ｂの値型が「ＩＰｖ４アドレス」でかつ属性情報Ｃの値型が「整数」の場合、アクセス回線３０の回線種別は「β」であり、属性情報Ａの値型が「ＩＰｖ６アドレス」の場合、アクセス回線３０の回線種別は「α」であることが登録されている。なお、図３における「−」は、認証要求パケットに、対応する値型の属性情報と該当するものが含まれていないことを示している。
【００４２】
属性変換部１５は、種別判定部１３での種別判定結果、すなわち認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別に基づいて、変換ルールＤＢ１６に格納されている変換ルールのいずれかを特定する機能と、当該変換ルールを参照して変換の対象となる変換対象属性情報およびその変換式を取得する機能と、パケット処理部１２で抽出した属性情報のうち変換対象属性情報の値を、当該変換式に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式から、予め定めておいた特定の統一記述形式へ変換する機能とを有している。
【００４３】
本実施の形態では、属性情報の変換方式として、文字列結合方式を用いる場合を例として説明する。
文字列結合方式は、変換対象となる属性情報に、元の属性情報の値型を示す文字列情報を結合する方式である。この文字列結合方式によれば、属性情報量が削減されないため、統一記述形式へ変換した属性情報に元の属性情報がそのまま含まれているため、認証用データベースに登録されている値と、そのまま比較して一致確認することができ、認証処理負担を削減できる。
【００４４】
本実施の形態に適用可能な属性情報の変換方式としては、文字列結合方式以外の方式を用いてもよい。他の変換方式としてハッシング方式がある。ハッシング方式は、予め用意したハッシュ関数を用いて、変換対象となる属性情報のハッシュ値を算出し、当該属性情報をそのハッシュ値で置換する方式である。このハッシング方式によれば、変換後の文字長を一定とすることができ、認証処理の並列分散化が容易となるため、認証処理の高速化を実現できる。
【００４５】
また、属性変換部１５は、種別判定部１３での種別判定結果、すなわち認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別に基づいて、変換ルールＤＢ１６に格納されている逆変換ルールのいずれかを特定する機能と、当該逆変換ルールを参照して逆変換の対象となる逆変換対象属性情報、値型、および属性値を取得する機能と、種別判定部１３で得られた認証処理結果を示す属性情報のうち逆変換対象属性情報を、当該値型および属性値に基づいて個別記述形式へ逆変換する機能とを有している。
【００４６】
本実施の形態では、属性情報の逆変換方式として、値置換方式を用いる場合を例として説明する。
値置換方式は、逆変換対象となる統一記述形式の属性情報を、元の個別記述形式で用いられる任意の値型の属性情報へ置換する方式である。なお、個別記述形式の属性情報を統一記述形式の属性情報へ変換する変換方式と、統一記述形式の属性情報を個別記述形式の属性情報へ逆変換する変換方式とは、必ずしも同じ変換方式を用いる必要はない。例えば、変換方式としてハッシング方式を用いた場合でも、逆変換方式として他の変換方式を用いてもよい。
【００４７】
変換ルールＤＢ１６は、ハードディスクや半導体メモリなどの記憶装置からなり、認証要求パケットからパケット処理部１２で抽出した個別記述形式の属性情報を統一記述形式へ変換するための変換ルールと、認証処理部１７で得られた認証処理結果を示す統一記述形式の属性情報を元の個別記述形式へ逆変換するための逆変換ルールとを記憶する機能を有している。
【００４８】
変換ルールは、認証要求装置２０の装置種別または／およびアクセス回線３１の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組から構成されている。
図４は、変換ルールの構成例である。ここでは、装置種別が「Ｘ」で回線種別が「α」である場合、属性Ａを「ＩＰｖ４＿[属性情報Ａ]」という変換式で変換するルールが登録されている。この変換式は、元の属性情報Ａの値を示す[属性情報Ａ]の前に、元の属性情報Ａの値型を示す「ＩＰｖ４_」という文字列情報を結合するという変換式を示している。
【００４９】
このほか、図４の例には、装置種別が「Ｘ」で回線種別が「β」である場合、属性情報Ａを「ＩＰｖ６＿[属性情報Ａ]」という変換式で変換するルール、装置種別が「Ｙ」で回線種別が「α」である場合、属性情報Ｂおよび属性情報Ｃという複数の属性情報の値を文字列情報と結合して「ＩＰｖ４＿[属性情報Ｂ]＿[属性情報Ｃ]」という変換式で変換するルール、装置種別が「Ｙ」で回線種別が「β」である場合、属性情報の変換を行わないというルール、装置種別が「判定不能」で回線種別も「判定不能」である場合、属性情報の変換を行わないというルールがそれぞれ登録されている。なお、図４における「−」は、対応する変換対象や変換式が装置種別と回線種別との組に割り当てられていないことを示している。
【００５０】
逆変換ルールは、認証要求装置２０の装置種別または／およびアクセス回線３１の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値との組から構成されている。
図５は、逆変換ルールの構成例である。ここでは、装置種別が「Ｘ」で回線種別が「α」である場合、属性情報Ｄの値「１」を値型が「文字列」の属性値「ＯＫ」に逆変換し、属性情報Ｄの値「０」を値型が「文字列」の属性値「ＮＧ」に逆変換するルールが登録されている。
【００５１】
このほか、図５の例には、装置種別が「Ｘ」で回線種別が「β」である場合、属性情報Ｄを値型が「文字列」の属性値「ＯＫ」に逆変換するルール、装置種別が「Ｙ」で回線種別が「α」である場合、属性情報Ｅを値型が「整数」の属性値「１」に逆変換するルール、装置種別が「Ｙ」で回線種別が「β」である場合、属性情報の逆変換を行わないというルール、装置種別が「判定不能」で回線種別も「判定不能」である場合、属性情報の逆変換を行わないというルールがそれぞれ登録されている。なお、図５における「−」は、対応する逆変換対象、値型、さらには変換式が装置種別と回線種別との組に割り当てられていないことを示している。
【００５２】
認証処理部１７は、属性変換部１５で得られた統一記述形式からなる属性情報に基づいて、例えばこの属性情報とユーザＤＢ１９に記憶されている、認証処理対象であるユーザやユーザ端末４０の属性情報とを比較するなどにより、ユーザ端末４０に関する認証処理を行う機能と、この認証処理に関する認証処理結果として統一記述形式からなる属性情報を出力する機能とを有している。
記憶部１８は、ハードディスクや半導体メモリなどの記憶装置からなり、前述した各機能部で用いる処理情報やプログラムを記憶する機能を有している。
ユーザＤＢ１９は、ハードディスクや半導体メモリなどの記憶装置からなり、認証処理部１７での認証処理に用いる個々のユーザやユーザ端末４０の属性情報を含む認証用のデータを記憶する機能を有している。
【００５３】
これら機能部のうち、パケット処理部１２、種別判定部１３、属性変換部１５、および認証処理部１７は、１つまたは複数の演算処理部により構成されている。演算処理部は、ＣＰＵなどのマイクロプロセッサとその周辺回路を有し、記憶部１８から読み出したプログラムを実行することにより、各種処理部を実現する機能を有している。
【００５４】
［第１の実施の形態の動作］
次に、図６を参照して、本実施の形態にかかる認証システム１０の動作について説明する。図６は、第１の実施の形態にかかる認証システムの動作を示すシーケンス図である。
ここでは、認証要求装置２０からの認証要求パケットに応じて、認証システム１０により、当該認証要求パケットに含まれている個別記述形式の属性情報を統一記述形式へ変換した後、この統一記述形式の属性情報に対して認証処理を行い、得られた認証処理結果を示す統一記述形式の属性情報を元の個別記述形式の属性情報へ逆変換した後、認証応答パケットを作成して認証要求装置２０へ送信する場合について説明する。
【００５５】
認証システム１０のパケット処理部１２は、通信Ｉ／Ｆ部１１を介して認証要求装置２０からの認証要求パケットを受信した場合（ステップ１００）、当該認証要求パケットから認証処理に必要な各種属性情報を抽出し（ステップ１０１）、抽出した属性情報を種別判定部１３および属性変換部１５へ渡す（ステップ１０２）。この属性情報は、認証要求装置２０の装置種別やアクセス回線３０の回線種別ごとに個別の個別記述形式で記述されている。
【００５６】
各機能部間で属性情報や種別判定結果などの処理情報をやり取りする場合、内部バスを介して機能部間で、直接、送受信してもよく、記憶部１８を介して間接的にやり取りしてもよい。特に、認証処理部１７を複数備えて並列処理を行う場合には、属性情報や種別判定結果をパケット処理部１２や種別判定部１３から記憶部１８内のバッファへ順次保存し、認証処理が終了している認証処理部１７から、適宜、バッファ内の属性情報や種別判定結果を取得するようにしてもよい。
【００５７】
種別判定部１３は、パケット処理部１２から属性情報を受け取って、判定ルールＤＢ１４に格納されている判定ルールを参照して、パケット処理部１２で抽出した属性情報に基づいて、認証要求パケットを送信した認証要求装置２０に関する装置種別と、認証処理対象となるユーザ端末４０が用いたアクセス回線３０に関する回線種別を判定する（ステップ１０３）。
種別判定部１３は、このようにして装置種別と回線種別を判定した後、これら種別判定結果を属性変換部１５へ渡す（ステップ１０４）。
【００５８】
一方、属性変換部１５は、パケット処理部１２から個別記述形式の属性情報を受け取った後、属性変換部１５から種別判定結果を受け取り、変換ルールＤＢ１６に格納されている変換ルールを参照して、パケット処理部１２で抽出した属性情報のうち変換対象属性情報の値を、元の個別記述形式から統一記述形式へ変換し（ステップ１１０）、統一記述形式の属性情報を認証処理部１７へ渡す（ステップ１１１）。
【００５９】
認証処理部１７は、属性変換部１５から統一記述形式の属性情報を受け取って、この属性情報に基づき、属性情報とユーザＤＢ１９に記憶されている、認証処理対象であるユーザやユーザ端末４０の属性情報とを比較するなどにより、ユーザ端末４０に関する認証処理を行い（ステップ１１２）、この認証処理に関する認証処理結果として統一記述形式からなる属性情報を属性変換部１５へ渡す（ステップ１１３）。なお、ステップ１１１とステップ１１３は、共に統一記述形式からなる属性情報であるが、ステップ１１１の属性情報は、認証要求パケットから抽出した属性情報を属性変換部１５で変換したものであり、ステップ１１３の属性情報は、認証処理部１７で生成したものである。
【００６０】
属性変換部１５は、認証処理部１７から統一記述形式の属性情報を受け取った後、変換ルールＤＢ１６に格納されている逆変換ルールを参照して、認証処理部１７から受け取った属性情報のうち逆変換対象属性情報の値を、統一記述形式から元の個別記述形式へ逆変換し（ステップ１１４）、個別記述形式の属性情報をパケット処理部１２へ渡す（ステップ１１５）。
【００６１】
パケット処理部１２は、属性変換部１５から受け取った個別記述形式の属性情報に基づいて、認証応答パケットを作成し（ステップ１１６）、通信Ｉ／Ｆ部１１を介して認証要求装置２０へ返送する（ステップ１１７）。
これにより、認証要求装置２０では、認証応答パケットで通知された認証結果が認証ＯＫの場合、ユーザ端末４０への通信サービス提供のための通信経路確立処理を行い、認証エラーの場合、ユーザ端末４０に対して通信サービスの提供ができない旨のエラーメッセージを通知する。
【００６２】
[種別判定動作]
次に、本実施の形態にかかる認証システムの種別判定部１３における種別判定動作について説明する。
まず、図７を参照して、種別判定部１３での装置種別判定動作について説明する。図７は、第１の実施の形態にかかる装置種別判定処理を示すフローチャートである。ここでは、前述した図２の装置種別判定ルールに基づいて認証要求装置２０の装置種別を判定する場合を例として説明する。
【００６３】
種別判定部１３は、パケット処理部１２から個別記述形式の属性情報を受け取った場合、判定ルールＤＢ１４に格納されている装置種別判定ルールを参照して、装置種別判定動作を開始する。なお、図７の装置種別判定処理は、あくまでも前述した図２の装置種別判定ルールを用いる場合に適用される処理手順の一例であって、他の装置種別判定ルールを用いる場合には、他の処理手順が適用される。
【００６４】
まず、種別判定部１３は、パケット処理部１２から個別記述形式の属性情報のうち、認証要求装置２０のＩＰアドレス、すなわち送信元アドレスが、装置種別判定ルールのいずれかの組に存在するか確認する（ステップ１３０）。
ここで、送信元アドレスがいずれかの組に存在する場合（ステップ１３０：ＹＥＳ）、種別判定部１３は、当該送信元アドレスと組をなす装置種別を取得し（ステップ１３１）、一連の装置種別判定処理を終了する。
【００６５】
一方、送信元アドレスがいずれの組にも存在しない場合（ステップ１３０：ＮＯ）、種別判定部１３は、装置種別判定不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１３２）、一連の装置種別判定処理を終了する。
【００６６】
次に、図８を参照して、種別判定部１３での回線種別判定動作について説明する。図８は、第１の実施の形態にかかる回線種別判定処理を示すフローチャートである。ここでは、前述した図３の回線種別判定ルールに基づいてアクセス回線３０の回線種別を判定する場合を例として説明する。
【００６７】
種別判定部１３は、パケット処理部１２から個別記述形式の属性情報を受け取った場合、判定ルールＤＢ１４に格納されている回線種別判定ルールを参照して、回線種別判定動作を開始する。前述した図３の回線種別判定ルールを用いる場合、図８の回線種別判定処理が実行される。なお、図８の回線種別判定処理は、あくまでも前述した図３の回線種別判定ルールを用いる場合に適用される処理手順の一例であって、他の回線種別判定ルールを用いる場合には、他の処理手順が適用される。
【００６８】
まず、種別判定部１３は、パケット処理部１２から受け取った個別記述形式の属性情報に、属性情報Ａが存在するか確認する（ステップ１４０）。パケット処理部１２において、属性情報Ａが認証要求パケットに含まれていない場合や、有効な値の属性情報Ａが抽出できなかった場合、属性情報Ａは属性情報として出力されない。
【００６９】
受け取った属性情報に属性情報Ａが存在する場合（ステップ１４０：ＹＥＳ）、受け取った属性情報Ａの値型がＩＰｖ４アドレスまたはＩＰｖ６アドレスであるか確認する（ステップ１４１）。各値型については、それぞれの値型が取りうる数値範囲や文字・記号、さらにはこれら桁位置や桁数などの特徴に基づき確認すればよい。
【００７０】
ここで、属性情報Ａの値型がＩＰｖ４アドレスまたはＩＰｖ６アドレスである場合（ステップ１４１：ＹＥＳ）、種別判定部１３は、アクセス回線３０の回線種別を「α」と判定し（ステップ１４２）、一連の回線種別判定処理を終了する。
一方、属性情報Ａの値型がＩＰｖ４アドレスまたはＩＰｖ６アドレス以外の場合（ステップ１４１：ＮＯ）、種別判定部１３は、回線種別判定不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１４６）、一連の回線種別判定処理を終了する。
【００７１】
また、ステップ１４０において、パケット処理部１２から受け取った個別記述形式の属性情報に、属性情報Ａが存在しない場合（ステップ１４０：ＮＯ）、種別判定部１３は、受け取った属性情報に、値型がＩＰｖ４アドレスの属性情報Ｂが存在するか確認する（ステップ１４３）。
ここで、値型がＩＰｖ４アドレスの属性情報Ｂが存在する場合（ステップ１４３：ＹＥＳ）、種別判定部１３は、受け取った属性情報に、値型が整数形式の属性情報Ｃが存在するか確認する（ステップ１４４）。
【００７２】
ここで、値型が整数形式の属性情報Ｃが存在する場合（ステップ１４４：ＹＥＳ）、種別判定部１３は、アクセス回線３０の回線種別を「β」と判定し（ステップ１４５）、一連の回線種別判定処理を終了する。
一方、受け取った属性情報に、値型がＩＰｖ４アドレスの属性情報Ｂが存在しない場合（ステップ１４３：ＮＯ）、および値型が整数形式の属性情報Ｃが存在しない場合（ステップ１４４：ＮＯ）、種別判定部１３は、回線種別判定不能と判断し（ステップ１４６）、一連の回線種別判定処理を終了する。
【００７３】
図９は、種別判定例を示す説明図である。ここでは、前述した図７の装置種別判定処理および図８の回線種別判定処理に基づく種別判定結果が示されている。
例えば、送信元アドレスが「10.0.0.1」で、属性情報Ａが「10.0.0.2」すなわち値型が「ＩＰｖ４アドレス」の場合、装置種別が「Ｘ」で回線種別が「α」と判定される。また、送信元アドレスが「10.0.1.1」で、属性情報Ａが存在せず、属性情報Ｂが「10.0.1.2」すなわち値型が「ＩＰｖ４アドレス」で、属性情報Ｃが「12345678」すなわち値型が整数の場合、装置種別が「Ｘ」で回線種別が「β」と判定される。また、送信元アドレスが「10.0.2.1」で、属性情報Ａが「2001::1」すなわち値型が「ＩＰｖ６アドレス」の場合、装置種別が「Ｙ」で回線種別が「α」と判定される。なお、図９における「−」は、認証要求パケットに、対応する値型の属性情報と該当するものが含まれていないことを示している。
【００７４】
［属性変換動作］
次に、本実施の形態にかかる認証システムの種別判定部１３における属性変換動作について説明する。
まず、図１０を参照して、属性変換部１５での属性変換動作について説明する。図１０は、第１の実施の形態にかかる属性変換処理を示すフローチャートである。ここでは、前述した図４の変換ルールに基づいて、パケット処理部１２から受け取った属性情報を、個別記述形式から統一記述形式へ変換する場合を例として説明する。
【００７５】
属性変換部１５は、種別判定部１３から種別判定結果を受け取った場合、変換ルールＤＢ１６に格納されている変換ルールを参照して、属性変換動作を開始する。なお、図１０の属性変換処理は、あくまでも前述した図４の変換ルールを用いる場合に適用される処理手順の一例であって、他の変換ルールを用いる場合には、他の処理手順が適用される。
【００７６】
まず、属性変換部１５は、種別判定部１３から受け取った種別判定結果の装置種別と回線種別が、変換ルールに存在するか確認する（ステップ１５０）。
装置種別と回線種別が変換ルールのうちのいずれかの組に存在する場合（ステップ１５０：ＹＥＳ）、属性変換部１５は、変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在するか確認する（ステップ１５１）。
【００７７】
ここで、変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在する場合（ステップ１５１：ＹＥＳ）、属性変換部１５は、当該組の変換式に基づいて、変換対象となる属性情報を個別記述形式から統一記述形式へ変換し（ステップ１５２）、一連の属性変換処理を終了する。
一方、装置種別と回線種別が変換ルールのうちのいずれかの組に存在しない場合（ステップ１５０：ＮＯ）、および変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在しない場合（ステップ１５１：ＮＯ）、属性変換部１５は、属性情報変換不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１５３）、一連の属性変換処理を終了する。
【００７８】
図１１は、属性情報変換例を示す説明図である。ここでは、前述した図１０の属性変換処理に基づく属性変換結果が示されている。
例えば、装置種別が「Ｘ」で回線種別が「α」と判定された図９のエントリ１の場合、属性情報Ａが変換対象となり、元の個別記述形式の属性情報Ａ値「10.0.0.2」が統一記述形式の「ＩＰｖ４_10.0.0.2」に変換される。また、装置種別が「Ｘ」で回線種別が「β」と判定された図９のエントリ２の場合、属性情報Ａが変換対象となり、元の個別記述形式の属性情報Ａ値「2001::1」が統一記述形式の「ＩＰｖ６_2001::1」に変換される。また、装置種別が「Ｙ」で回線種別が「α」と判定された図９のエントリ３の場合、属性情報Ｂ，Ｃが変換対象となり、元の個別記述形式の属性情報Ｂ値「10.0.0.2」と属性情報Ｃ値「12345678」が統一記述形式の「ＩＰｖ４_10.0.0.2_12345678」に変換される。
【００７９】
次に、図１２を参照して、属性変換部１５での属性逆変換動作について説明する。図１２は、第１の実施の形態にかかる属性逆変換処理を示すフローチャートである。ここでは、前述した図５の逆変換ルールに基づいて、認証処理部１７から受け取った認証処理結果に関する属性情報を、統一記述形式から個別記述形式へ逆変換する場合を例として説明する。
【００８０】
属性変換部１５は、認証処理部１７から認証処理結果に関する属性情報を受け取った場合、変換ルールＤＢ１６に格納されている逆変換ルールを参照して、属性逆変換動作を開始する。なお、図１２の属性逆変換処理は、あくまでも前述した図５の逆変換ルールを用いる場合に適用される処理手順の一例であって、他の逆変換ルールを用いる場合には、他の処理手順が適用される。
【００８１】
まず、属性変換部１５は、認証処理部１７から受け取った属性情報に対応する種別判定結果の装置種別と回線種別が、逆変換ルールに存在するか確認する（ステップ１６０）。
装置種別と回線種別が逆変換ルールのうちのいずれかの組に存在する場合（ステップ１６０：ＹＥＳ）、属性変換部１５は、逆変換ルールのうち装置種別と回線種別が存在する組に逆変換対象の指定が存在するか確認する（ステップ１６１）。
【００８２】
ここで、逆変換ルールのうち装置種別と回線種別が存在する組に逆変換対象の指定が存在する場合（ステップ１６１：ＹＥＳ）、属性変換部１５は、逆変換対象となる属性情報を、統一記述形式から、当該組の値型からなる個別記述形式の属性値へ逆変換し（ステップ１６２）、一連の属性変換処理を終了する。
一方、装置種別と回線種別が逆変換ルールのうちのいずれかの組に存在しない場合（ステップ１６０：ＮＯ）、および逆変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在しない場合（ステップ１６１：ＮＯ）、属性変換部１５は、属性情報逆変換不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１６３）、一連の属性変換処理を終了する。
【００８３】
図１３は、属性情報逆変換例を示す説明図である。ここでは、前述した図１２の属性逆変換処理に基づく属性逆変換結果が示されている。
例えば、装置種別が「Ｘ」で回線種別が「α」と判定された図９のエントリ１の場合、属性情報Ｄが逆変換対象となり、統一記述形式の属性情報Ｄ値が「１」の場合には、文字列からなる個別記述形式の「ＯＫ」に変換され、統一記述形式の属性情報Ｄ値が「０」の場合には、値型が文字列からなる個別記述形式の「ＮＧ」に変換される。また、装置種別が「Ｘ」で回線種別が「β」と判定された図９のエントリ２の場合も同様である。また、装置種別が「Ｙ」で回線種別が「α」と判定された図９のエントリ３の場合、属性情報Ｅが変換対象となり、値型が数値からなる個別記述形式の新たな属性情報Ｅとして「１」が追加される。
【００８４】
［第１の実施の形態の効果］
このように、本実施の形態は、種別判定部１３により、認証要求装置２０からの認証要求パケットから抽出した属性情報に基づいて、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別を判定し、この種別判定結果に基づいて、属性変換部１５により、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換し、この統一記述形式からなる属性情報に基づいて、認証処理部１７により、ユーザ端末４０に関する認証処理を行う。
【００８５】
したがって、レルムに依存せず、異なる種類の認証要求装置２０やアクセス回線３０が収容される環境であっても、１つの認証システム、さらには１種類の統一記述形式で認証処理する認証処理部で対応できる。このため、異なる種類の認証要求装置２０やアクセス回線３０をレルムに追加する場合でも、これらに対応する認証処理部１７を追加する必要はなく、設備を柔軟かつ効率よく利用することが可能となる。
【００８６】
また、装置種別または／および回線種別に応じて、認証要求パケットから抽出した属性情報に対する統一記述形式への変換要否を決定できることから、変換処理が必要ではない認証パケットについては変換処理の対象外とすることができ、全ての認証要求パケットを変換処理する場合と比較して、不要な処理負担の発生を抑制できる。このため、変換処理が不要な認証要求パケットを多数受信する環境では、変換処理に要する処理負荷を大幅に削減することができる。
【００８７】
また、本実施の形態では、種別判定部１３により、認証要求装置２０のＩＰアドレスと当該認証要求装置２０の装置種別との組からなる装置種別判定ルールを参照し、パケット処理部１２で属性情報として抽出した当該認証要求装置２０のＩＰアドレスと組をなす装置種別を、当該認証要求装置２０の装置種別として取得するようにしたので、極めて簡素な処理で認証要求装置２０の装置種別を精度よく判定することができる。
【００８８】
また、本実施の形態では、種別判定部１３により、パケット処理部１２で抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、パケット処理部１２で属性情報として抽出した判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置２０の回線種別として取得するようにしたので、極めて簡素な処理で認証要求装置２０の装置種別を精度よく判定することができる。
【００８９】
また、本実施の形態では、属性変換部１５により、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、種別判定部１３で得られた装置種別または／および回線種別と組をなす変換対象属性情報および変換式を取得し、パケット処理部１２で抽出した変換対象属性情報の値を当該変換式に基づいて統一記述形式へ変換するようにしたので、複雑な処理を必要とすることなく、装置種別または／および回線種別ごとに、任意の属性情報を統一記述形式へ変換することができる。
【００９０】
また、本実施の形態では、属性変換部１５により、種別判定部１３での種別判定結果に基づいて、認証処理結果を示す属性情報を個別記述形式へ逆変換し、パケット処理部１２により、逆変換された属性情報を含む認証応答パケットを作成して、認証要求装置２０へ送信するようにしたので、レルムに依存せず、異なる種類の認証要求装置２０やアクセス回線３０が収容される環境であっても、装置種別または／および回線種別に対応した個別記述形式の属性情報を認証応答パケットで、認証要求装置２０へ返送することができる。
【００９１】
また、本実施の形態では、属性変換部１５により、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、種別判定部１３で得られた装置種別または／および回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて個別記述形式へ逆変換するようにしたので、複雑な処理を必要とすることなく、装置種別または／および回線種別ごとに、認証処理結果を示す属性情報を元の個別記述形式へ変換することができる。
【００９２】
［第２の実施の形態］
次に、本発明の第２の実施の形態にかかる認証システムについて説明する。
第１の実施の形態では、種別判定部１３で判定した装置種別または／および回線種別に応じて、属性変換部１５で、認証要求パケットから抽出した属性情報を、個別記述形式から統一記述形式へ変換し、この統一記述形式からなる属性情報に基づき認証処理部１７で認証処理を行う場合を例として説明した。これは、統一記述形式からなる属性情報に基づき認証処理を行う１つまたは複数の認証処理部１７が設けられていることを前提としている
【００９３】
これに対して、認証処理可能な属性情報の記述形式が異なる認証処理部１７を複数用いる場合もある。例えば、統一記述形式の属性情報に対してのみ認証処理を行う認証処理部１７や、特定の個別記述形式と統一記述形式の属性情報に対して認証処理を行う認証処理部１７を組み合わせて認証システムを構成する場合もある。
本実施の形態では、このような認証処理可能な記述形式が異なる認証処理部１７を組み合わせて用いる場合について説明する。
【００９４】
本実施の形態において、認証処理部１７は、種別判定部１３で判定した装置種別または／および回線種別に基づいて、これら種別に対応する個別記述形式の属性情報について認証処理可能か否か判定する機能と、当該個別形式について認証処理が不可能な場合には、統一記述形式での属性情報を要求する統一情報要求を属性変換部１５に対して通知する機能と、当該個別形式について認証処理が可能な場合には、個別記述形式での属性情報を要求する個別情報要求を属性変換部１５に対して通知する機能とを有している。
【００９５】
また、属性変換部１５は、認証処理部１７からの統一情報要求に応じて、パケット処理部１２で抽出した属性情報を統一記述形式へ変換して、認証処理部１７へ渡す機能と、認証処理部１７からの個別情報要求に応じて、パケット処理部１２で抽出した属性情報を個別記述形式のまま、認証処理部１７へ渡す機能とを有している。
認証システム１０におけるこのほかの構成については、第１の実施の形態と同様であり、ここでの詳細な説明は省略する。
【００９６】
［第２の実施の形態の動作］
次に、図１４および図１５を参照して、本実施の形態にかかる認証システムの動作について説明する。図１４は、第２の実施の形態にかかる認証システムの動作（属性変換要）を示すシーケンス図であり、図６と同じまたは同等部分には同一符号を付してある。図１５は、第２の実施の形態にかかる認証システムの動作（属性変換不要）を示すシーケンス図であり、図６と同じまたは同等部分には同一符号を付してある。
【００９７】
ここでは、認証要求装置２０からの認証要求パケットに応じて、認証システム１０により、当該認証要求パケットに含まれている属性情報を統一記述形式へ変換して認証処理する場合と、個別記述形式のまま認証処理する場合とについて説明する。
【００９８】
図１４に示すように、認証システム１０のパケット処理部１２は、通信Ｉ／Ｆ部１１を介して認証要求装置２０からの認証要求パケットを受信した場合（ステップ１００）、当該認証要求パケットから認証処理に必要な各種属性情報を抽出し（ステップ１０１）、抽出した属性情報を種別判定部１３および属性変換部１５へ渡す（ステップ１０２）。この属性情報は、認証要求装置２０の装置種別やアクセス回線３０の回線種別ごとに個別の個別記述形式で記述されている。
【００９９】
各機能部間で属性情報や種別判定結果などの処理情報をやり取りする場合、内部バスを介して機能部間で、直接、送受信してもよく、記憶部１８を介して間接的にやり取りしてもよい。特に、認証処理部１７を複数備えて並列処理を行う場合には、属性情報や種別判定結果をパケット処理部１２や種別判定部１３から記憶部１８内のバッファへ順次保存し、認証処理が終了している認証処理部１７から、適宜、バッファ内の属性情報や種別判定結果を取得するようにしてもよい。
【０１００】
種別判定部１３は、パケット処理部１２から属性情報を受け取って、判定ルールＤＢ１４に格納されている判定ルールを参照して、パケット処理部１２で抽出した属性情報に基づいて、認証要求パケットを送信した認証要求装置２０に関する装置種別と、認証処理対象となるユーザ端末４０が用いたアクセス回線３０に関する回線種別を判定する（ステップ１０３）。
種別判定部１３は、このようにして装置種別と回線種別を判定した後、これら種別判定結果を属性変換部１５と認証処理部１７へ渡す（ステップ１０４）。
【０１０１】
認証処理部１７は、種別判定部１３から種別判定結果を受け取り、この種別判定結果の装置種別または／および回線種別に基づいて、これら種別に対応する個別記述形式の属性情報について認証処理可能か否か判定する（ステップ１０５）。この際、認証処理部１７は、例えば、当該認証処理部１７で認証処理可能な記述形式の属性情報が得られる、装置種別または／および回線種別を、認証処理判定情報として予め設定しておき、この認証処理判定情報を参照して、種別判定部１３からの判定情報に対する認証処理の可否を判定すればよい。
【０１０２】
ここで、認証処理が不可能と判定された場合、認証処理部１７は、統一記述形式での属性情報を要求する統一情報要求を属性変換部１５に対して通知する（ステップ１０６）。
属性変換部１５は、認証処理部１７からの統一情報要求に応じて、変換ルールＤＢ１６に格納されている変換ルールを参照して、パケット処理部１２で抽出した属性情報のうち変換対象属性情報の値を、元の個別記述形式から統一記述形式へ変換し（ステップ１１０）、統一記述形式の属性情報を認証処理部１７へ渡す（ステップ１１１）。
この後、認証システム１０では、前述した図６のステップ１１２以降の処理が実行される。
【０１０３】
一方、図１５に示すように、ステップ１０５において、認証処理が可能と判定された場合、認証処理部１７は、個別記述形式での属性情報を要求する個別情報要求を属性変換部１５に対して通知する（ステップ１０７）。
属性変換部１５は、認証処理部１７からの個別情報要求に応じて、パケット処理部１２で抽出した属性情報を、元の個別記述形式のまま認証処理部１７へ渡す（ステップ１２０）。
【０１０４】
認証処理部１７は、属性変換部１５から個別記述形式の属性情報を受け取って、ユーザ端末４０に関する認証処理を行い（ステップ１２１）、この認証処理に関する認証処理結果として個別記述形式からなる属性情報を属性変換部１５へ渡す（ステップ１２２）。
属性変換部１５は、認証処理部１７から個別記述形式の属性情報を受け取って、逆変換処理を行うことなく、個別記述形式の属性情報をパケット処理部１２へ渡す（ステップ１２３）。
【０１０５】
パケット処理部１２は、属性変換部１５から受け取った個別記述形式の属性情報に基づいて、認証応答パケットを作成し（ステップ１２４）、通信Ｉ／Ｆ部１１を介して認証要求装置２０へ返送する（ステップ１２５）。
これにより、認証要求装置２０では、認証応答パケットで通知された認証結果が認証ＯＫの場合、ユーザ端末４０への通信サービス提供のための通信経路確立処理を行い、認証エラーの場合、ユーザ端末４０に対して通信サービスの提供ができない旨のエラーメッセージを通知する。
【０１０６】
［第２の実施の形態の効果］
このように、本実施の形態では、認証処理部１７により、種別判定部で得られた装置種別または／および回線種別に基づいて、パケット処理部で抽出した属性情報について認証処理が可能か否か判断し、当該認証処理が不可能な場合には統一記述形式からなる属性情報を要求する統一情報要求を属性変換部１５に対して通知し、当該認証処理が可能な場合には個別記述形式からなる属性情報を要求する個別情報要求を属性変換部１５に対して通知し、属性変換部１５により、統一情報要求が通知された場合、パケット処理部１２で抽出した属性情報を統一記述形式への変換して認証処理部１７へ出力し、個別情報要求が通知された場合、パケット処理部１２で抽出した属性情報を個別記述形式のまま認証処理部１７へ出力する。
これにより、認証要求パケットに含まれる属性情報の個別記述形式が、認証処理部１７で認証処理可能な場合には、属性変換部１５での属性変換処理を省くことができる。
【０１０７】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【０１０８】
各実施の形態では、各種機能部が認証システム１０を構成する１つの情報装置内に実装されている場合を例として説明したが、これら機能部は、サーバ装置などの複数の情報処理装置に分散して実装してもよい。このようなシステム構成には、通信ネットワークを介してこれら情報処理装置間でデータ通信を行うことにより、各種処理装置をやり取りすればよい。また、これら機能部は、システム構成に応じて、同一機能部を、複数、並列的に設けてもよい。
【０１０９】
また、各実施の形態では、認証システム１０に対して３つの認証要求装置２１，２２，２３が接続され、これら認証要求装置２１，２２，２３に対してそれぞれ１つずつユーザ端末４１，４２，４３が接続されている場合を例として説明したが、これに限定されるものではない。認証システム１０に対して接続される認証要求装置２０の数、各認証要求装置２０に対して接続されるユーザ端末４０の数については、それぞれのレルムに応じて、適宜、変更すればよい。
【０１１０】
また、各実施の形態では、ＶＰＮなどの通信サービスを提供する際に行う認証処理を例として説明したが、ＶＰＮ以外の通信サービスにも同様に適用でき、さらには通信サービス以外の認証処理にも適用できる。
【符号の説明】
【０１１１】
１０…認証システム、１１…通信Ｉ／Ｆ部、１２…パケット処理部、１３…種別判定部、１４…判定ルールＤＢ、１５…属性変換部、１６…変換ルールＤＢ、１７…認証処理部、１８…記憶部、１９…ユーザＤＢ、２０，２１，２２，２３…認証要求部、３０，３１，３２，３３…アクセス回線、４０，４１，４２，４３…ユーザ端末。
【技術分野】
【０００１】
本発明は、ネットワーク通信技術に関し、特に通信サービス提供時にユーザを認証する認証技術に関する。
【背景技術】
【０００２】
オフィス業務のＩＴ化およびＩＰネットワークの普及に伴い、複数拠点に分散したオフィスシステムをＩＰネットワークで結合し、データ通信が行われている。この際、コスト低減のため、公衆ＩＰネットワーク上に仮想プライベートネットワーク（ＶＰＮ：Virtual Private Network）を構築するサービスが普及している。
【０００３】
ＶＰＮに接続するには、認証要求装置から認証装置に対し、ユーザ情報等から構成される属性情報を含む認証要求メッセージを送受信して、ユーザ認証を行う必要がある。ＶＰＮサービスの普及に伴い、装置規模／機能／価格の異なる認証要求装置が複数の会社から複数種類発売されている。また、回線速度／品質／価格が異なるアクセス回線が複数種類販売されている。利用形態に応じてＶＰＮを構築するため、これら複数種類の認証要求装置およびアクセス回線を組み合わせてＶＰＮを構築する事例が増えている。
【０００４】
認証要求装置から認証装置に送信される認証パケットは、要求内容を示す属性情報を含んでいる。認証要求装置の種別やアクセス回線種別により、同じ情報を示す属性情報であっても、属性情報の記述形式（フォーマット）が異なる場合があるため、認証装置は、それらの差分に対応した処理を行う必要がある。
上記の状況を踏まえ、認証要求装置種別およびアクセス回線種別により異なる情報の記述形式の違いに対応できる認証装置が求められている。
【０００５】
従来の認証装置の１つであるSteel-Belted RADIUSシステム（非特許文献１など参照）は、認証要求パケット受信時および送信時に、レルム単位もしくは認証システム単位で、設定値もしくはデータベース値に基づき、認証パケットの属性情報の編集が可能なAttribute filter機能を持つ。
これらの機能により、属性情報の違いに対応した認証処理ロジックを追加することや、属性情報の値を予め決められた記述形式に変換することが可能である。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Steel-Belted Radius Carrier Administration and Configuration Guide Release 7.2, http://www.juniper.net/techpubs/software/aaa_802/sbrc/sbrc72/bookpdfs/sw-sbrc-admin.pdf
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、このような従来技術では、属性情報の編集は、レルム単位もしくは認証システム単位で、事前に設定した値やデータベース値に基づき行われるため、受信した認証要求パケットの属性情報の値に基づいて編集内容を変更することはできない。このため、同一レルム内に、異なる種類の認証要求装置やアクセス回線種別が収容されており、認証要求パケットごとに属性情報の編集方法が異なる環境には適用できないという問題点があった。
【０００８】
また、Attribute filter機能による属性情報の編集を実施できるのはパケット受信時および送信時に限られていることから、認証処理に必要な属性情報の変換はパケット受信時に一括して行う必要がある。このため、必ずしも変換処理が必要ではない認証パケットも処理対象となり、変換処理が不要な認証要求パケットを多数受信する環境では、不要な処理負荷が増大する可能性がある。
【０００９】
本発明はこのような課題を解決するためのものであり、レルムに依存することなく、また不要な処理負担を発生させることなく、異なる種類の認証要求装置やアクセス回線が収容される環境についても１つの認証システムで対応できる認証技術を提供することを目的としている。
【課題を解決するための手段】
【００１０】
このような目的を達成するために、本発明にかかる認証システムは、アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムであって、認証要求パケットから認証処理に必要な１つ以上の属性情報を抽出するパケット処理部と、属性情報に基づいて、認証要求装置の装置種別または／およびアクセス回線の回線種別を判定する種別判定部と、種別判定結果に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換する属性変換部と、統一記述形式に変換された属性情報に基づいて、ユーザ端末に関する認証処理を行う認証処理部とを備えている。
【００１１】
この際、種別判定部で、認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、パケット処理部で属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得するようにしてもよい。
【００１２】
また、種別判定部で、パケット処理部で抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、パケット処理部で属性情報として抽出した判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得するようにしてもよい。
【００１３】
また、属性変換部で、認証要求装置の装置種別または／およびアクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、種別判定部で得られた装置種別または／および回線種別と組をなす変換対象属性情報および変換式を取得し、パケット処理部で抽出した変換対象属性情報の値を当該変換式に基づいて統一記述形式へ変換するようにしてもよい。
【００１４】
また、属性変換部で、種別判定結果に基づいて、認証処理結果を示す属性情報を個別記述形式へ逆変換し、パケット処理部で、逆変換された属性情報を含む認証応答パケットを作成して、認証要求装置へ送信するようにしてもよい。
【００１５】
また、属性変換部で、認証要求装置の装置種別または／およびアクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、種別判定部で得られた装置種別または／および回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて個別記述形式へ逆変換するようにしてもよい。
【００１６】
また、認証処理部で、種別判定部で得られた装置種別または／および回線種別に基づいて、パケット処理部で抽出した属性情報について認証処理が可能か否か判断し、当該認証処理が不可能な場合には統一記述形式からなる属性情報を要求する統一情報要求を属性変換部に対して通知し、当該認証処理が可能な場合には個別記述形式からなる属性情報を要求する個別情報要求を属性変換部に対して通知し、属性変換部は、統一情報要求が通知された場合、パケット処理部で抽出した属性情報を統一記述形式への変換して認証処理部へ出力し、個別情報要求が通知された場合、パケット処理部で抽出した属性情報を個別記述形式のまま認証処理部へ出力するようにしてもよい。
【００１７】
また、本発明にかかる認証方法は、アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムで用いられる認証方法であって、パケット処理部が、認証要求パケットから認証処理に必要な１つ以上の属性情報を抽出するパケット処理ステップと、種別判定部が、属性情報に基づいて、認証要求装置の装置種別または／およびアクセス回線の回線種別を判定する種別判定ステップと、属性変換部が、種別判定結果に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換する属性変換ステップと、認証処理部が、統一記述形式に変換された属性情報に基づいて、ユーザ端末に関する認証処理を行う認証処理ステップとを備えている。
【００１８】
この際、種別判定ステップで、認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、パケット処理ステップで属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得するようにしてもよい。
【００１９】
また、種別判定ステップで、パケット処理ステップで抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、パケット処理ステップで属性情報として抽出した判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得するようにしてもよい。
【００２０】
また、属性変換ステップで、認証要求装置の装置種別または／およびアクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、種別判定ステップで得られた装置種別または／および回線種別と組をなす変換対象属性情報および変換式を取得し、パケット処理ステップで抽出した変換対象属性情報の値を当該変換式に基づいて統一記述形式へ変換するようにしてもよい。
【００２１】
また、属性変換ステップで、種別判定結果に基づいて、認証処理結果を示す属性情報を個別記述形式へ逆変換し、パケット処理ステップで、逆変換された属性情報を含む認証応答パケットを作成して、認証要求装置へ送信するようにしてもよい。
【００２２】
また、属性変換ステップで、認証要求装置の装置種別または／およびアクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、種別判定ステップで得られた装置種別または／および回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて個別記述形式へ逆変換するようにしてもよい。
【００２３】
認証処理ステップで、種別判定ステップで得られた装置種別または／および回線種別に基づいて、パケット処理ステップで抽出した属性情報について認証処理が可能か否か判断し、当該認証処理が不可能な場合には統一記述形式からなる属性情報を要求する統一情報要求を属性変換ステップに対して通知し、当該認証処理が可能な場合には個別記述形式からなる属性情報を要求する個別情報要求を属性変換ステップに対して通知し、属性変換ステップで、統一情報要求が通知された場合、パケット処理ステップで抽出した属性情報を統一記述形式への変換して認証処理ステップへ出力し、個別情報要求が通知された場合、パケット処理ステップで抽出した属性情報を個別記述形式のまま認証処理ステップへ出力するようにしてもよい。
【００２４】
また、本発明にかかるプログラムは、コンピュータを、前述した認証システムを構成する各部として機能させるためのプログラムである。
【発明の効果】
【００２５】
本発明によれば、レルムに依存することなく、また不要な処理負担を発生させることなく、異なる種類の認証要求装置やアクセス回線が収容される環境についても、１つの認証システムで対応できる。
【図面の簡単な説明】
【００２６】
【図１】第１の実施の形態にかかる認証システムの構成を示すブロック図である。
【図２】装置種別判定ルールの構成例である。
【図３】回線種別判定ルールの構成例である。
【図４】変換ルールの構成例である。
【図５】逆変換ルールの構成例である。
【図６】第１の実施の形態にかかる認証システムの動作を示すシーケンス図である。
【図７】第１の実施の形態にかかる装置種別判定処理を示すフローチャートである。
【図８】第１の実施の形態にかかる回線種別判定処理を示すフローチャートである。
【図９】種別判定例を示す説明図である。
【図１０】第１の実施の形態にかかる属性変換処理を示すフローチャートである。
【図１１】属性情報変換例を示す説明図である。
【図１２】第１の実施の形態にかかる属性逆変換処理を示すフローチャートである。
【図１３】属性情報逆変換例を示す説明図である。
【図１４】第２の実施の形態にかかる認証システムの動作（属性変換要）を示すシーケンス図である。
【図１５】第２の実施の形態にかかる認証システムの動作（属性変換不要）を示すシーケンス図である。
【発明を実施するための形態】
【００２７】
次に、本発明の実施の形態について図面を参照して説明する。
［第１の実施の形態］
まず、図１を参照して、本発明の第１の実施の形態にかかる認証システムについて説明する。図１は、第１の実施の形態にかかる認証システムの構成を示すブロック図である。
【００２８】
この認証システム１０は、全体としてサーバ装置などの１つ以上の通信処理装置からなり、ユーザ端末４０（４１，４２，４３）に対してＶＰＮなどの通信サービスを提供する際、アクセス回線３０（３１，３２，３３）を介してユーザ端末４０と接続する認証要求装置２０（２１，２２，２３）からの認証要求パケットに応じて、当該ユーザ端末４０に関する認証処理を行う機能を有している。なお、ユーザ端末４０はユーザ端末４１，４２，４３の総称や代表を指し、アクセス回線３０はアクセス回線３１，３２，３３の総称や代表を指し、認証要求装置２０は認証要求装置２１，２２，２３の総称や代表を指す。
【００２９】
認証要求装置２０は、全体としてサーバ装置、スイッチ、ルータなどの通信処理装置からなり、ユーザ端末４０からの通信サービス要求を受け付けて、認証処理に必要な各種属性情報を含む認証要求パケットを認証システム１０へ送信する機能と、認証システム１０から受信した認証応答パケットに含まれる認証処理結果に応じて、ユーザ端末４０への通信サービス提供のための通信経路確立処理を行う機能とを有している。
【００３０】
ユーザ端末４０は、全体としてパーソナルコンピュータや携帯端末などの通信端末装置からなり、通信サービス開始時にアクセス回線３０を介して認証要求装置２０へ接続し、認証処理に必要な各種属性情報を含む通信サービス要求パケットを送信する機能と、認証要求装置２０からの通信サービス開始パケットの受信に応じて通信サービスを開始する機能とを有している。
【００３１】
図１の接続形態において、認証システム１０に対して３つの認証要求装置２１，２２，２３が接続されている。これら認証要求装置２１，２２，２３は、メーカや機種の違いに応じてそれぞれ個別の装置種別を有しており、これら装置種別ごとに、認証システム１０へ送信する認証要求パケットに含まれる属性情報の記述形式が異なっている。図１の例では、認証要求装置２１，２２は装置種別Ｘを有し、認証要求装置２３は装置種別Ｙを有しているものとする。
【００３２】
また、これら認証要求装置２１，２２，２３には、個別のアクセス回線３１，３２，３３を介してユーザ端末４１，４２，４３がそれぞれ１つずつ接続されている。これらアクセス回線３１，３２，３３は、回線速度、通信品質、あるいは通信コストの違いに応じてそれぞれ固有の回線種別を有しており、これら回線種別ごとに、認証システム１０へ送信する認証要求パケットに含まれる属性情報の記述形式が異なっている。図１の例では、アクセス回線３１，３３が回線種別αを有し、アクセス回線３２が回線種別βを有しているものとする。
なお、認証システム１０に対して接続される認証要求装置２０の数、各認証要求装置２０に対して接続されるユーザ端末４０の数については、図１の例に限定されるものではない。
【００３３】
本実施の形態では、認証システム１０において、認証要求装置からの認証要求パケットから抽出した属性情報に基づいて、認証要求装置の装置種別または／およびアクセス回線の回線種別を判定し、この種別判定結果に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を、特定の統一記述形式へ変換し、この統一記述形式からなる属性情報に基づいて、ユーザ端末に関する認証処理を行うようにしたものである。
【００３４】
本発明において、装置種別とは、ユーザ端末からの認証要求を処理する機能は同一であるが、認証システムに対し送信する認証要求中の属性情報の記述形式が異なる装置を識別する値のことを指す。また、回線種別とは、ユーザ端末と認証要求装置の通信を中継する機能は同一であるが、回線識別子の記述形式等が異なる回線を識別する値のことを指す。これら装置種別または／および回線種別と個別記述形式の対応関係は、１対１だけでなく多対１の関係であってもよい。
【００３５】
次に、図１を参照して、本実施の形態にかかる認証システム１０の構成について詳細に説明する。
認証システム１０には、主な機能部として、通信インターフェース部（以下、通信Ｉ／Ｆ部という）１１、パケット処理部１２、種別判定部１３、判定ルールデータベース（以下、判定ルールＤＢという）１４、属性変換部１５、変換ルールデータベース（以下、変換ルールＤＢという）１６、認証処理部１７、記憶部１８、およびユーザデータベース（以下、ユーザＤＢという）１９が設けられており、内部バスを介して各種データを相互にやり取り可能に接続されている。
【００３６】
通信Ｉ／Ｆ部１１は、専用の通信回路部からなり、認証要求装置２０（２１，２２，２３）との間で認証要求パケットや認証応答パケットなどの各種パケットをやり取りすることにより、認証要求装置２０との間でデータ通信を行う機能を有している。
【００３７】
パケット処理部１２は、通信Ｉ／Ｆ部１１で受信した認証要求装置２０からの認証要求パケットから認証処理に用いる属性情報を抽出する機能と、認証処理結果を示す属性情報に基づいて通信Ｉ／Ｆ部１１から認証要求装置２０へ送信する認証応答パケットを作成する機能とを有している。
【００３８】
種別判定部１３は、判定ルールＤＢ１４に格納されている判定ルールを参照して、パケット処理部１２で抽出した属性情報に基づいて、認証要求パケットを送信した認証要求装置２０の装置種別と、認証処理対象となるユーザ端末４０が用いたアクセス回線３０の回線種別を判定する機能を有している。装置種別と回線種別は、属性情報の変換に用いる変換ルールを特定するためのものである。このため、装置種別と回線種別のいずれか一方で変換ルールを特定できるのであれば、いずれか一方のみの種別を判定すればよく、変換ルールの特定に装置種別と回線種別の両方が必要な場合には、これら両方の種別を判定すればよい。
【００３９】
判定ルールＤＢ１４は、ハードディスクや半導体メモリなどの記憶装置からなり、認証要求パケットの送信元となる認証要求装置２０の装置種別を判定するための装置種別判定ルールと、認証処理対象となるユーザ端末４０が用いたアクセス回線３０の回線種別を判定するための回線種別判定ルールとを記憶する機能を有している。
【００４０】
装置種別判定ルールは、認証要求装置２０のＩＰアドレス、すなわち認証要求パケットの送信元アドレスと当該認証要求装置２０の装置種別との組から構成されている。
図２は、装置種別判定ルールの構成例である。ここでは、送信元アドレス「10.0.0.1」の場合、認証要求装置２０の識別種別は「Ｘ」であり、送信元アドレス「10.0.1.1」の場合、認証要求装置２０の識別種別は「Ｘ」であり、送信元アドレス「10.0.2.1」の場合、認証要求装置２０の識別種別は「Ｙ」であることが登録されている。
【００４１】
回線種別判定ルールは、属性情報に関する値型と当該アクセス回線の回線種別との組から構成されている。
図３は、回線種別判定ルールの構成例である。ここでは、属性情報Ａの値型が「ＩＰｖ４アドレス」の場合、アクセス回線３０の回線種別は「α」であり、属性情報Ｂの値型が「ＩＰｖ４アドレス」でかつ属性情報Ｃの値型が「整数」の場合、アクセス回線３０の回線種別は「β」であり、属性情報Ａの値型が「ＩＰｖ６アドレス」の場合、アクセス回線３０の回線種別は「α」であることが登録されている。なお、図３における「−」は、認証要求パケットに、対応する値型の属性情報と該当するものが含まれていないことを示している。
【００４２】
属性変換部１５は、種別判定部１３での種別判定結果、すなわち認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別に基づいて、変換ルールＤＢ１６に格納されている変換ルールのいずれかを特定する機能と、当該変換ルールを参照して変換の対象となる変換対象属性情報およびその変換式を取得する機能と、パケット処理部１２で抽出した属性情報のうち変換対象属性情報の値を、当該変換式に基づいて、装置種別または／および回線種別ごとに個別の個別記述形式から、予め定めておいた特定の統一記述形式へ変換する機能とを有している。
【００４３】
本実施の形態では、属性情報の変換方式として、文字列結合方式を用いる場合を例として説明する。
文字列結合方式は、変換対象となる属性情報に、元の属性情報の値型を示す文字列情報を結合する方式である。この文字列結合方式によれば、属性情報量が削減されないため、統一記述形式へ変換した属性情報に元の属性情報がそのまま含まれているため、認証用データベースに登録されている値と、そのまま比較して一致確認することができ、認証処理負担を削減できる。
【００４４】
本実施の形態に適用可能な属性情報の変換方式としては、文字列結合方式以外の方式を用いてもよい。他の変換方式としてハッシング方式がある。ハッシング方式は、予め用意したハッシュ関数を用いて、変換対象となる属性情報のハッシュ値を算出し、当該属性情報をそのハッシュ値で置換する方式である。このハッシング方式によれば、変換後の文字長を一定とすることができ、認証処理の並列分散化が容易となるため、認証処理の高速化を実現できる。
【００４５】
また、属性変換部１５は、種別判定部１３での種別判定結果、すなわち認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別に基づいて、変換ルールＤＢ１６に格納されている逆変換ルールのいずれかを特定する機能と、当該逆変換ルールを参照して逆変換の対象となる逆変換対象属性情報、値型、および属性値を取得する機能と、種別判定部１３で得られた認証処理結果を示す属性情報のうち逆変換対象属性情報を、当該値型および属性値に基づいて個別記述形式へ逆変換する機能とを有している。
【００４６】
本実施の形態では、属性情報の逆変換方式として、値置換方式を用いる場合を例として説明する。
値置換方式は、逆変換対象となる統一記述形式の属性情報を、元の個別記述形式で用いられる任意の値型の属性情報へ置換する方式である。なお、個別記述形式の属性情報を統一記述形式の属性情報へ変換する変換方式と、統一記述形式の属性情報を個別記述形式の属性情報へ逆変換する変換方式とは、必ずしも同じ変換方式を用いる必要はない。例えば、変換方式としてハッシング方式を用いた場合でも、逆変換方式として他の変換方式を用いてもよい。
【００４７】
変換ルールＤＢ１６は、ハードディスクや半導体メモリなどの記憶装置からなり、認証要求パケットからパケット処理部１２で抽出した個別記述形式の属性情報を統一記述形式へ変換するための変換ルールと、認証処理部１７で得られた認証処理結果を示す統一記述形式の属性情報を元の個別記述形式へ逆変換するための逆変換ルールとを記憶する機能を有している。
【００４８】
変換ルールは、認証要求装置２０の装置種別または／およびアクセス回線３１の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組から構成されている。
図４は、変換ルールの構成例である。ここでは、装置種別が「Ｘ」で回線種別が「α」である場合、属性Ａを「ＩＰｖ４＿[属性情報Ａ]」という変換式で変換するルールが登録されている。この変換式は、元の属性情報Ａの値を示す[属性情報Ａ]の前に、元の属性情報Ａの値型を示す「ＩＰｖ４_」という文字列情報を結合するという変換式を示している。
【００４９】
このほか、図４の例には、装置種別が「Ｘ」で回線種別が「β」である場合、属性情報Ａを「ＩＰｖ６＿[属性情報Ａ]」という変換式で変換するルール、装置種別が「Ｙ」で回線種別が「α」である場合、属性情報Ｂおよび属性情報Ｃという複数の属性情報の値を文字列情報と結合して「ＩＰｖ４＿[属性情報Ｂ]＿[属性情報Ｃ]」という変換式で変換するルール、装置種別が「Ｙ」で回線種別が「β」である場合、属性情報の変換を行わないというルール、装置種別が「判定不能」で回線種別も「判定不能」である場合、属性情報の変換を行わないというルールがそれぞれ登録されている。なお、図４における「−」は、対応する変換対象や変換式が装置種別と回線種別との組に割り当てられていないことを示している。
【００５０】
逆変換ルールは、認証要求装置２０の装置種別または／およびアクセス回線３１の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値との組から構成されている。
図５は、逆変換ルールの構成例である。ここでは、装置種別が「Ｘ」で回線種別が「α」である場合、属性情報Ｄの値「１」を値型が「文字列」の属性値「ＯＫ」に逆変換し、属性情報Ｄの値「０」を値型が「文字列」の属性値「ＮＧ」に逆変換するルールが登録されている。
【００５１】
このほか、図５の例には、装置種別が「Ｘ」で回線種別が「β」である場合、属性情報Ｄを値型が「文字列」の属性値「ＯＫ」に逆変換するルール、装置種別が「Ｙ」で回線種別が「α」である場合、属性情報Ｅを値型が「整数」の属性値「１」に逆変換するルール、装置種別が「Ｙ」で回線種別が「β」である場合、属性情報の逆変換を行わないというルール、装置種別が「判定不能」で回線種別も「判定不能」である場合、属性情報の逆変換を行わないというルールがそれぞれ登録されている。なお、図５における「−」は、対応する逆変換対象、値型、さらには変換式が装置種別と回線種別との組に割り当てられていないことを示している。
【００５２】
認証処理部１７は、属性変換部１５で得られた統一記述形式からなる属性情報に基づいて、例えばこの属性情報とユーザＤＢ１９に記憶されている、認証処理対象であるユーザやユーザ端末４０の属性情報とを比較するなどにより、ユーザ端末４０に関する認証処理を行う機能と、この認証処理に関する認証処理結果として統一記述形式からなる属性情報を出力する機能とを有している。
記憶部１８は、ハードディスクや半導体メモリなどの記憶装置からなり、前述した各機能部で用いる処理情報やプログラムを記憶する機能を有している。
ユーザＤＢ１９は、ハードディスクや半導体メモリなどの記憶装置からなり、認証処理部１７での認証処理に用いる個々のユーザやユーザ端末４０の属性情報を含む認証用のデータを記憶する機能を有している。
【００５３】
これら機能部のうち、パケット処理部１２、種別判定部１３、属性変換部１５、および認証処理部１７は、１つまたは複数の演算処理部により構成されている。演算処理部は、ＣＰＵなどのマイクロプロセッサとその周辺回路を有し、記憶部１８から読み出したプログラムを実行することにより、各種処理部を実現する機能を有している。
【００５４】
［第１の実施の形態の動作］
次に、図６を参照して、本実施の形態にかかる認証システム１０の動作について説明する。図６は、第１の実施の形態にかかる認証システムの動作を示すシーケンス図である。
ここでは、認証要求装置２０からの認証要求パケットに応じて、認証システム１０により、当該認証要求パケットに含まれている個別記述形式の属性情報を統一記述形式へ変換した後、この統一記述形式の属性情報に対して認証処理を行い、得られた認証処理結果を示す統一記述形式の属性情報を元の個別記述形式の属性情報へ逆変換した後、認証応答パケットを作成して認証要求装置２０へ送信する場合について説明する。
【００５５】
認証システム１０のパケット処理部１２は、通信Ｉ／Ｆ部１１を介して認証要求装置２０からの認証要求パケットを受信した場合（ステップ１００）、当該認証要求パケットから認証処理に必要な各種属性情報を抽出し（ステップ１０１）、抽出した属性情報を種別判定部１３および属性変換部１５へ渡す（ステップ１０２）。この属性情報は、認証要求装置２０の装置種別やアクセス回線３０の回線種別ごとに個別の個別記述形式で記述されている。
【００５６】
各機能部間で属性情報や種別判定結果などの処理情報をやり取りする場合、内部バスを介して機能部間で、直接、送受信してもよく、記憶部１８を介して間接的にやり取りしてもよい。特に、認証処理部１７を複数備えて並列処理を行う場合には、属性情報や種別判定結果をパケット処理部１２や種別判定部１３から記憶部１８内のバッファへ順次保存し、認証処理が終了している認証処理部１７から、適宜、バッファ内の属性情報や種別判定結果を取得するようにしてもよい。
【００５７】
種別判定部１３は、パケット処理部１２から属性情報を受け取って、判定ルールＤＢ１４に格納されている判定ルールを参照して、パケット処理部１２で抽出した属性情報に基づいて、認証要求パケットを送信した認証要求装置２０に関する装置種別と、認証処理対象となるユーザ端末４０が用いたアクセス回線３０に関する回線種別を判定する（ステップ１０３）。
種別判定部１３は、このようにして装置種別と回線種別を判定した後、これら種別判定結果を属性変換部１５へ渡す（ステップ１０４）。
【００５８】
一方、属性変換部１５は、パケット処理部１２から個別記述形式の属性情報を受け取った後、属性変換部１５から種別判定結果を受け取り、変換ルールＤＢ１６に格納されている変換ルールを参照して、パケット処理部１２で抽出した属性情報のうち変換対象属性情報の値を、元の個別記述形式から統一記述形式へ変換し（ステップ１１０）、統一記述形式の属性情報を認証処理部１７へ渡す（ステップ１１１）。
【００５９】
認証処理部１７は、属性変換部１５から統一記述形式の属性情報を受け取って、この属性情報に基づき、属性情報とユーザＤＢ１９に記憶されている、認証処理対象であるユーザやユーザ端末４０の属性情報とを比較するなどにより、ユーザ端末４０に関する認証処理を行い（ステップ１１２）、この認証処理に関する認証処理結果として統一記述形式からなる属性情報を属性変換部１５へ渡す（ステップ１１３）。なお、ステップ１１１とステップ１１３は、共に統一記述形式からなる属性情報であるが、ステップ１１１の属性情報は、認証要求パケットから抽出した属性情報を属性変換部１５で変換したものであり、ステップ１１３の属性情報は、認証処理部１７で生成したものである。
【００６０】
属性変換部１５は、認証処理部１７から統一記述形式の属性情報を受け取った後、変換ルールＤＢ１６に格納されている逆変換ルールを参照して、認証処理部１７から受け取った属性情報のうち逆変換対象属性情報の値を、統一記述形式から元の個別記述形式へ逆変換し（ステップ１１４）、個別記述形式の属性情報をパケット処理部１２へ渡す（ステップ１１５）。
【００６１】
パケット処理部１２は、属性変換部１５から受け取った個別記述形式の属性情報に基づいて、認証応答パケットを作成し（ステップ１１６）、通信Ｉ／Ｆ部１１を介して認証要求装置２０へ返送する（ステップ１１７）。
これにより、認証要求装置２０では、認証応答パケットで通知された認証結果が認証ＯＫの場合、ユーザ端末４０への通信サービス提供のための通信経路確立処理を行い、認証エラーの場合、ユーザ端末４０に対して通信サービスの提供ができない旨のエラーメッセージを通知する。
【００６２】
[種別判定動作]
次に、本実施の形態にかかる認証システムの種別判定部１３における種別判定動作について説明する。
まず、図７を参照して、種別判定部１３での装置種別判定動作について説明する。図７は、第１の実施の形態にかかる装置種別判定処理を示すフローチャートである。ここでは、前述した図２の装置種別判定ルールに基づいて認証要求装置２０の装置種別を判定する場合を例として説明する。
【００６３】
種別判定部１３は、パケット処理部１２から個別記述形式の属性情報を受け取った場合、判定ルールＤＢ１４に格納されている装置種別判定ルールを参照して、装置種別判定動作を開始する。なお、図７の装置種別判定処理は、あくまでも前述した図２の装置種別判定ルールを用いる場合に適用される処理手順の一例であって、他の装置種別判定ルールを用いる場合には、他の処理手順が適用される。
【００６４】
まず、種別判定部１３は、パケット処理部１２から個別記述形式の属性情報のうち、認証要求装置２０のＩＰアドレス、すなわち送信元アドレスが、装置種別判定ルールのいずれかの組に存在するか確認する（ステップ１３０）。
ここで、送信元アドレスがいずれかの組に存在する場合（ステップ１３０：ＹＥＳ）、種別判定部１３は、当該送信元アドレスと組をなす装置種別を取得し（ステップ１３１）、一連の装置種別判定処理を終了する。
【００６５】
一方、送信元アドレスがいずれの組にも存在しない場合（ステップ１３０：ＮＯ）、種別判定部１３は、装置種別判定不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１３２）、一連の装置種別判定処理を終了する。
【００６６】
次に、図８を参照して、種別判定部１３での回線種別判定動作について説明する。図８は、第１の実施の形態にかかる回線種別判定処理を示すフローチャートである。ここでは、前述した図３の回線種別判定ルールに基づいてアクセス回線３０の回線種別を判定する場合を例として説明する。
【００６７】
種別判定部１３は、パケット処理部１２から個別記述形式の属性情報を受け取った場合、判定ルールＤＢ１４に格納されている回線種別判定ルールを参照して、回線種別判定動作を開始する。前述した図３の回線種別判定ルールを用いる場合、図８の回線種別判定処理が実行される。なお、図８の回線種別判定処理は、あくまでも前述した図３の回線種別判定ルールを用いる場合に適用される処理手順の一例であって、他の回線種別判定ルールを用いる場合には、他の処理手順が適用される。
【００６８】
まず、種別判定部１３は、パケット処理部１２から受け取った個別記述形式の属性情報に、属性情報Ａが存在するか確認する（ステップ１４０）。パケット処理部１２において、属性情報Ａが認証要求パケットに含まれていない場合や、有効な値の属性情報Ａが抽出できなかった場合、属性情報Ａは属性情報として出力されない。
【００６９】
受け取った属性情報に属性情報Ａが存在する場合（ステップ１４０：ＹＥＳ）、受け取った属性情報Ａの値型がＩＰｖ４アドレスまたはＩＰｖ６アドレスであるか確認する（ステップ１４１）。各値型については、それぞれの値型が取りうる数値範囲や文字・記号、さらにはこれら桁位置や桁数などの特徴に基づき確認すればよい。
【００７０】
ここで、属性情報Ａの値型がＩＰｖ４アドレスまたはＩＰｖ６アドレスである場合（ステップ１４１：ＹＥＳ）、種別判定部１３は、アクセス回線３０の回線種別を「α」と判定し（ステップ１４２）、一連の回線種別判定処理を終了する。
一方、属性情報Ａの値型がＩＰｖ４アドレスまたはＩＰｖ６アドレス以外の場合（ステップ１４１：ＮＯ）、種別判定部１３は、回線種別判定不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１４６）、一連の回線種別判定処理を終了する。
【００７１】
また、ステップ１４０において、パケット処理部１２から受け取った個別記述形式の属性情報に、属性情報Ａが存在しない場合（ステップ１４０：ＮＯ）、種別判定部１３は、受け取った属性情報に、値型がＩＰｖ４アドレスの属性情報Ｂが存在するか確認する（ステップ１４３）。
ここで、値型がＩＰｖ４アドレスの属性情報Ｂが存在する場合（ステップ１４３：ＹＥＳ）、種別判定部１３は、受け取った属性情報に、値型が整数形式の属性情報Ｃが存在するか確認する（ステップ１４４）。
【００７２】
ここで、値型が整数形式の属性情報Ｃが存在する場合（ステップ１４４：ＹＥＳ）、種別判定部１３は、アクセス回線３０の回線種別を「β」と判定し（ステップ１４５）、一連の回線種別判定処理を終了する。
一方、受け取った属性情報に、値型がＩＰｖ４アドレスの属性情報Ｂが存在しない場合（ステップ１４３：ＮＯ）、および値型が整数形式の属性情報Ｃが存在しない場合（ステップ１４４：ＮＯ）、種別判定部１３は、回線種別判定不能と判断し（ステップ１４６）、一連の回線種別判定処理を終了する。
【００７３】
図９は、種別判定例を示す説明図である。ここでは、前述した図７の装置種別判定処理および図８の回線種別判定処理に基づく種別判定結果が示されている。
例えば、送信元アドレスが「10.0.0.1」で、属性情報Ａが「10.0.0.2」すなわち値型が「ＩＰｖ４アドレス」の場合、装置種別が「Ｘ」で回線種別が「α」と判定される。また、送信元アドレスが「10.0.1.1」で、属性情報Ａが存在せず、属性情報Ｂが「10.0.1.2」すなわち値型が「ＩＰｖ４アドレス」で、属性情報Ｃが「12345678」すなわち値型が整数の場合、装置種別が「Ｘ」で回線種別が「β」と判定される。また、送信元アドレスが「10.0.2.1」で、属性情報Ａが「2001::1」すなわち値型が「ＩＰｖ６アドレス」の場合、装置種別が「Ｙ」で回線種別が「α」と判定される。なお、図９における「−」は、認証要求パケットに、対応する値型の属性情報と該当するものが含まれていないことを示している。
【００７４】
［属性変換動作］
次に、本実施の形態にかかる認証システムの種別判定部１３における属性変換動作について説明する。
まず、図１０を参照して、属性変換部１５での属性変換動作について説明する。図１０は、第１の実施の形態にかかる属性変換処理を示すフローチャートである。ここでは、前述した図４の変換ルールに基づいて、パケット処理部１２から受け取った属性情報を、個別記述形式から統一記述形式へ変換する場合を例として説明する。
【００７５】
属性変換部１５は、種別判定部１３から種別判定結果を受け取った場合、変換ルールＤＢ１６に格納されている変換ルールを参照して、属性変換動作を開始する。なお、図１０の属性変換処理は、あくまでも前述した図４の変換ルールを用いる場合に適用される処理手順の一例であって、他の変換ルールを用いる場合には、他の処理手順が適用される。
【００７６】
まず、属性変換部１５は、種別判定部１３から受け取った種別判定結果の装置種別と回線種別が、変換ルールに存在するか確認する（ステップ１５０）。
装置種別と回線種別が変換ルールのうちのいずれかの組に存在する場合（ステップ１５０：ＹＥＳ）、属性変換部１５は、変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在するか確認する（ステップ１５１）。
【００７７】
ここで、変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在する場合（ステップ１５１：ＹＥＳ）、属性変換部１５は、当該組の変換式に基づいて、変換対象となる属性情報を個別記述形式から統一記述形式へ変換し（ステップ１５２）、一連の属性変換処理を終了する。
一方、装置種別と回線種別が変換ルールのうちのいずれかの組に存在しない場合（ステップ１５０：ＮＯ）、および変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在しない場合（ステップ１５１：ＮＯ）、属性変換部１５は、属性情報変換不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１５３）、一連の属性変換処理を終了する。
【００７８】
図１１は、属性情報変換例を示す説明図である。ここでは、前述した図１０の属性変換処理に基づく属性変換結果が示されている。
例えば、装置種別が「Ｘ」で回線種別が「α」と判定された図９のエントリ１の場合、属性情報Ａが変換対象となり、元の個別記述形式の属性情報Ａ値「10.0.0.2」が統一記述形式の「ＩＰｖ４_10.0.0.2」に変換される。また、装置種別が「Ｘ」で回線種別が「β」と判定された図９のエントリ２の場合、属性情報Ａが変換対象となり、元の個別記述形式の属性情報Ａ値「2001::1」が統一記述形式の「ＩＰｖ６_2001::1」に変換される。また、装置種別が「Ｙ」で回線種別が「α」と判定された図９のエントリ３の場合、属性情報Ｂ，Ｃが変換対象となり、元の個別記述形式の属性情報Ｂ値「10.0.0.2」と属性情報Ｃ値「12345678」が統一記述形式の「ＩＰｖ４_10.0.0.2_12345678」に変換される。
【００７９】
次に、図１２を参照して、属性変換部１５での属性逆変換動作について説明する。図１２は、第１の実施の形態にかかる属性逆変換処理を示すフローチャートである。ここでは、前述した図５の逆変換ルールに基づいて、認証処理部１７から受け取った認証処理結果に関する属性情報を、統一記述形式から個別記述形式へ逆変換する場合を例として説明する。
【００８０】
属性変換部１５は、認証処理部１７から認証処理結果に関する属性情報を受け取った場合、変換ルールＤＢ１６に格納されている逆変換ルールを参照して、属性逆変換動作を開始する。なお、図１２の属性逆変換処理は、あくまでも前述した図５の逆変換ルールを用いる場合に適用される処理手順の一例であって、他の逆変換ルールを用いる場合には、他の処理手順が適用される。
【００８１】
まず、属性変換部１５は、認証処理部１７から受け取った属性情報に対応する種別判定結果の装置種別と回線種別が、逆変換ルールに存在するか確認する（ステップ１６０）。
装置種別と回線種別が逆変換ルールのうちのいずれかの組に存在する場合（ステップ１６０：ＹＥＳ）、属性変換部１５は、逆変換ルールのうち装置種別と回線種別が存在する組に逆変換対象の指定が存在するか確認する（ステップ１６１）。
【００８２】
ここで、逆変換ルールのうち装置種別と回線種別が存在する組に逆変換対象の指定が存在する場合（ステップ１６１：ＹＥＳ）、属性変換部１５は、逆変換対象となる属性情報を、統一記述形式から、当該組の値型からなる個別記述形式の属性値へ逆変換し（ステップ１６２）、一連の属性変換処理を終了する。
一方、装置種別と回線種別が逆変換ルールのうちのいずれかの組に存在しない場合（ステップ１６０：ＮＯ）、および逆変換ルールのうち装置種別と回線種別が存在する組に変換対象の指定が存在しない場合（ステップ１６１：ＮＯ）、属性変換部１５は、属性情報逆変換不能と判断して、認証要求パケットの破棄などの異常処理を実行した後（ステップ１６３）、一連の属性変換処理を終了する。
【００８３】
図１３は、属性情報逆変換例を示す説明図である。ここでは、前述した図１２の属性逆変換処理に基づく属性逆変換結果が示されている。
例えば、装置種別が「Ｘ」で回線種別が「α」と判定された図９のエントリ１の場合、属性情報Ｄが逆変換対象となり、統一記述形式の属性情報Ｄ値が「１」の場合には、文字列からなる個別記述形式の「ＯＫ」に変換され、統一記述形式の属性情報Ｄ値が「０」の場合には、値型が文字列からなる個別記述形式の「ＮＧ」に変換される。また、装置種別が「Ｘ」で回線種別が「β」と判定された図９のエントリ２の場合も同様である。また、装置種別が「Ｙ」で回線種別が「α」と判定された図９のエントリ３の場合、属性情報Ｅが変換対象となり、値型が数値からなる個別記述形式の新たな属性情報Ｅとして「１」が追加される。
【００８４】
［第１の実施の形態の効果］
このように、本実施の形態は、種別判定部１３により、認証要求装置２０からの認証要求パケットから抽出した属性情報に基づいて、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別を判定し、この種別判定結果に基づいて、属性変換部１５により、装置種別または／および回線種別ごとに個別の個別記述形式からなる属性情報を特定の統一記述形式へ変換し、この統一記述形式からなる属性情報に基づいて、認証処理部１７により、ユーザ端末４０に関する認証処理を行う。
【００８５】
したがって、レルムに依存せず、異なる種類の認証要求装置２０やアクセス回線３０が収容される環境であっても、１つの認証システム、さらには１種類の統一記述形式で認証処理する認証処理部で対応できる。このため、異なる種類の認証要求装置２０やアクセス回線３０をレルムに追加する場合でも、これらに対応する認証処理部１７を追加する必要はなく、設備を柔軟かつ効率よく利用することが可能となる。
【００８６】
また、装置種別または／および回線種別に応じて、認証要求パケットから抽出した属性情報に対する統一記述形式への変換要否を決定できることから、変換処理が必要ではない認証パケットについては変換処理の対象外とすることができ、全ての認証要求パケットを変換処理する場合と比較して、不要な処理負担の発生を抑制できる。このため、変換処理が不要な認証要求パケットを多数受信する環境では、変換処理に要する処理負荷を大幅に削減することができる。
【００８７】
また、本実施の形態では、種別判定部１３により、認証要求装置２０のＩＰアドレスと当該認証要求装置２０の装置種別との組からなる装置種別判定ルールを参照し、パケット処理部１２で属性情報として抽出した当該認証要求装置２０のＩＰアドレスと組をなす装置種別を、当該認証要求装置２０の装置種別として取得するようにしたので、極めて簡素な処理で認証要求装置２０の装置種別を精度よく判定することができる。
【００８８】
また、本実施の形態では、種別判定部１３により、パケット処理部１２で抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、パケット処理部１２で属性情報として抽出した判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置２０の回線種別として取得するようにしたので、極めて簡素な処理で認証要求装置２０の装置種別を精度よく判定することができる。
【００８９】
また、本実施の形態では、属性変換部１５により、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、種別判定部１３で得られた装置種別または／および回線種別と組をなす変換対象属性情報および変換式を取得し、パケット処理部１２で抽出した変換対象属性情報の値を当該変換式に基づいて統一記述形式へ変換するようにしたので、複雑な処理を必要とすることなく、装置種別または／および回線種別ごとに、任意の属性情報を統一記述形式へ変換することができる。
【００９０】
また、本実施の形態では、属性変換部１５により、種別判定部１３での種別判定結果に基づいて、認証処理結果を示す属性情報を個別記述形式へ逆変換し、パケット処理部１２により、逆変換された属性情報を含む認証応答パケットを作成して、認証要求装置２０へ送信するようにしたので、レルムに依存せず、異なる種類の認証要求装置２０やアクセス回線３０が収容される環境であっても、装置種別または／および回線種別に対応した個別記述形式の属性情報を認証応答パケットで、認証要求装置２０へ返送することができる。
【００９１】
また、本実施の形態では、属性変換部１５により、認証要求装置２０の装置種別または／およびアクセス回線３０の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、種別判定部１３で得られた装置種別または／および回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて個別記述形式へ逆変換するようにしたので、複雑な処理を必要とすることなく、装置種別または／および回線種別ごとに、認証処理結果を示す属性情報を元の個別記述形式へ変換することができる。
【００９２】
［第２の実施の形態］
次に、本発明の第２の実施の形態にかかる認証システムについて説明する。
第１の実施の形態では、種別判定部１３で判定した装置種別または／および回線種別に応じて、属性変換部１５で、認証要求パケットから抽出した属性情報を、個別記述形式から統一記述形式へ変換し、この統一記述形式からなる属性情報に基づき認証処理部１７で認証処理を行う場合を例として説明した。これは、統一記述形式からなる属性情報に基づき認証処理を行う１つまたは複数の認証処理部１７が設けられていることを前提としている
【００９３】
これに対して、認証処理可能な属性情報の記述形式が異なる認証処理部１７を複数用いる場合もある。例えば、統一記述形式の属性情報に対してのみ認証処理を行う認証処理部１７や、特定の個別記述形式と統一記述形式の属性情報に対して認証処理を行う認証処理部１７を組み合わせて認証システムを構成する場合もある。
本実施の形態では、このような認証処理可能な記述形式が異なる認証処理部１７を組み合わせて用いる場合について説明する。
【００９４】
本実施の形態において、認証処理部１７は、種別判定部１３で判定した装置種別または／および回線種別に基づいて、これら種別に対応する個別記述形式の属性情報について認証処理可能か否か判定する機能と、当該個別形式について認証処理が不可能な場合には、統一記述形式での属性情報を要求する統一情報要求を属性変換部１５に対して通知する機能と、当該個別形式について認証処理が可能な場合には、個別記述形式での属性情報を要求する個別情報要求を属性変換部１５に対して通知する機能とを有している。
【００９５】
また、属性変換部１５は、認証処理部１７からの統一情報要求に応じて、パケット処理部１２で抽出した属性情報を統一記述形式へ変換して、認証処理部１７へ渡す機能と、認証処理部１７からの個別情報要求に応じて、パケット処理部１２で抽出した属性情報を個別記述形式のまま、認証処理部１７へ渡す機能とを有している。
認証システム１０におけるこのほかの構成については、第１の実施の形態と同様であり、ここでの詳細な説明は省略する。
【００９６】
［第２の実施の形態の動作］
次に、図１４および図１５を参照して、本実施の形態にかかる認証システムの動作について説明する。図１４は、第２の実施の形態にかかる認証システムの動作（属性変換要）を示すシーケンス図であり、図６と同じまたは同等部分には同一符号を付してある。図１５は、第２の実施の形態にかかる認証システムの動作（属性変換不要）を示すシーケンス図であり、図６と同じまたは同等部分には同一符号を付してある。
【００９７】
ここでは、認証要求装置２０からの認証要求パケットに応じて、認証システム１０により、当該認証要求パケットに含まれている属性情報を統一記述形式へ変換して認証処理する場合と、個別記述形式のまま認証処理する場合とについて説明する。
【００９８】
図１４に示すように、認証システム１０のパケット処理部１２は、通信Ｉ／Ｆ部１１を介して認証要求装置２０からの認証要求パケットを受信した場合（ステップ１００）、当該認証要求パケットから認証処理に必要な各種属性情報を抽出し（ステップ１０１）、抽出した属性情報を種別判定部１３および属性変換部１５へ渡す（ステップ１０２）。この属性情報は、認証要求装置２０の装置種別やアクセス回線３０の回線種別ごとに個別の個別記述形式で記述されている。
【００９９】
各機能部間で属性情報や種別判定結果などの処理情報をやり取りする場合、内部バスを介して機能部間で、直接、送受信してもよく、記憶部１８を介して間接的にやり取りしてもよい。特に、認証処理部１７を複数備えて並列処理を行う場合には、属性情報や種別判定結果をパケット処理部１２や種別判定部１３から記憶部１８内のバッファへ順次保存し、認証処理が終了している認証処理部１７から、適宜、バッファ内の属性情報や種別判定結果を取得するようにしてもよい。
【０１００】
種別判定部１３は、パケット処理部１２から属性情報を受け取って、判定ルールＤＢ１４に格納されている判定ルールを参照して、パケット処理部１２で抽出した属性情報に基づいて、認証要求パケットを送信した認証要求装置２０に関する装置種別と、認証処理対象となるユーザ端末４０が用いたアクセス回線３０に関する回線種別を判定する（ステップ１０３）。
種別判定部１３は、このようにして装置種別と回線種別を判定した後、これら種別判定結果を属性変換部１５と認証処理部１７へ渡す（ステップ１０４）。
【０１０１】
認証処理部１７は、種別判定部１３から種別判定結果を受け取り、この種別判定結果の装置種別または／および回線種別に基づいて、これら種別に対応する個別記述形式の属性情報について認証処理可能か否か判定する（ステップ１０５）。この際、認証処理部１７は、例えば、当該認証処理部１７で認証処理可能な記述形式の属性情報が得られる、装置種別または／および回線種別を、認証処理判定情報として予め設定しておき、この認証処理判定情報を参照して、種別判定部１３からの判定情報に対する認証処理の可否を判定すればよい。
【０１０２】
ここで、認証処理が不可能と判定された場合、認証処理部１７は、統一記述形式での属性情報を要求する統一情報要求を属性変換部１５に対して通知する（ステップ１０６）。
属性変換部１５は、認証処理部１７からの統一情報要求に応じて、変換ルールＤＢ１６に格納されている変換ルールを参照して、パケット処理部１２で抽出した属性情報のうち変換対象属性情報の値を、元の個別記述形式から統一記述形式へ変換し（ステップ１１０）、統一記述形式の属性情報を認証処理部１７へ渡す（ステップ１１１）。
この後、認証システム１０では、前述した図６のステップ１１２以降の処理が実行される。
【０１０３】
一方、図１５に示すように、ステップ１０５において、認証処理が可能と判定された場合、認証処理部１７は、個別記述形式での属性情報を要求する個別情報要求を属性変換部１５に対して通知する（ステップ１０７）。
属性変換部１５は、認証処理部１７からの個別情報要求に応じて、パケット処理部１２で抽出した属性情報を、元の個別記述形式のまま認証処理部１７へ渡す（ステップ１２０）。
【０１０４】
認証処理部１７は、属性変換部１５から個別記述形式の属性情報を受け取って、ユーザ端末４０に関する認証処理を行い（ステップ１２１）、この認証処理に関する認証処理結果として個別記述形式からなる属性情報を属性変換部１５へ渡す（ステップ１２２）。
属性変換部１５は、認証処理部１７から個別記述形式の属性情報を受け取って、逆変換処理を行うことなく、個別記述形式の属性情報をパケット処理部１２へ渡す（ステップ１２３）。
【０１０５】
パケット処理部１２は、属性変換部１５から受け取った個別記述形式の属性情報に基づいて、認証応答パケットを作成し（ステップ１２４）、通信Ｉ／Ｆ部１１を介して認証要求装置２０へ返送する（ステップ１２５）。
これにより、認証要求装置２０では、認証応答パケットで通知された認証結果が認証ＯＫの場合、ユーザ端末４０への通信サービス提供のための通信経路確立処理を行い、認証エラーの場合、ユーザ端末４０に対して通信サービスの提供ができない旨のエラーメッセージを通知する。
【０１０６】
［第２の実施の形態の効果］
このように、本実施の形態では、認証処理部１７により、種別判定部で得られた装置種別または／および回線種別に基づいて、パケット処理部で抽出した属性情報について認証処理が可能か否か判断し、当該認証処理が不可能な場合には統一記述形式からなる属性情報を要求する統一情報要求を属性変換部１５に対して通知し、当該認証処理が可能な場合には個別記述形式からなる属性情報を要求する個別情報要求を属性変換部１５に対して通知し、属性変換部１５により、統一情報要求が通知された場合、パケット処理部１２で抽出した属性情報を統一記述形式への変換して認証処理部１７へ出力し、個別情報要求が通知された場合、パケット処理部１２で抽出した属性情報を個別記述形式のまま認証処理部１７へ出力する。
これにより、認証要求パケットに含まれる属性情報の個別記述形式が、認証処理部１７で認証処理可能な場合には、属性変換部１５での属性変換処理を省くことができる。
【０１０７】
［実施の形態の拡張］
以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しうる様々な変更をすることができる。
【０１０８】
各実施の形態では、各種機能部が認証システム１０を構成する１つの情報装置内に実装されている場合を例として説明したが、これら機能部は、サーバ装置などの複数の情報処理装置に分散して実装してもよい。このようなシステム構成には、通信ネットワークを介してこれら情報処理装置間でデータ通信を行うことにより、各種処理装置をやり取りすればよい。また、これら機能部は、システム構成に応じて、同一機能部を、複数、並列的に設けてもよい。
【０１０９】
また、各実施の形態では、認証システム１０に対して３つの認証要求装置２１，２２，２３が接続され、これら認証要求装置２１，２２，２３に対してそれぞれ１つずつユーザ端末４１，４２，４３が接続されている場合を例として説明したが、これに限定されるものではない。認証システム１０に対して接続される認証要求装置２０の数、各認証要求装置２０に対して接続されるユーザ端末４０の数については、それぞれのレルムに応じて、適宜、変更すればよい。
【０１１０】
また、各実施の形態では、ＶＰＮなどの通信サービスを提供する際に行う認証処理を例として説明したが、ＶＰＮ以外の通信サービスにも同様に適用でき、さらには通信サービス以外の認証処理にも適用できる。
【符号の説明】
【０１１１】
１０…認証システム、１１…通信Ｉ／Ｆ部、１２…パケット処理部、１３…種別判定部、１４…判定ルールＤＢ、１５…属性変換部、１６…変換ルールＤＢ、１７…認証処理部、１８…記憶部、１９…ユーザＤＢ、２０，２１，２２，２３…認証要求部、３０，３１，３２，３３…アクセス回線、４０，４１，４２，４３…ユーザ端末。
【特許請求の範囲】
【請求項１】
アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムであって、
前記認証要求パケットから前記認証処理に必要な１つ以上の属性情報を抽出するパケット処理部と、
前記属性情報に基づいて、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別を判定する種別判定部と、
前記種別判定結果に基づいて、前記装置種別または／および前記回線種別ごとに個別の個別記述形式からなる前記属性情報を特定の統一記述形式へ変換する属性変換部と、
前記統一記述形式に変換された属性情報に基づいて、前記ユーザ端末に関する認証処理を行う認証処理部と
を備えることを特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムであって、
前記種別判定部は、前記認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、前記パケット処理部で前記属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得することを特徴とする認証システム。
【請求項３】
請求項１または請求項２に記載の認証システムであって、
前記種別判定部は、前記パケット処理部で抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、前記パケット処理部で前記属性情報として抽出した前記判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得することを特徴とする認証システム。
【請求項４】
請求項１〜請求項３のいずれか１つに記載の認証システムであって、
前記属性変換部は、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、前記種別判定部で得られた前記装置種別または／および前記回線種別と組をなす変換対象属性情報および変換式を取得し、前記パケット処理部で抽出した前記変換対象属性情報の値を当該変換式に基づいて前記統一記述形式へ変換することを特徴とする認証システム。
【請求項５】
請求項１〜請求項４のいずれか１つに記載の認証システムであって、
前記属性変換部は、前記種別判定結果に基づいて、前記認証処理結果を示す属性情報を前記個別記述形式へ逆変換し、
前記パケット処理部は、前記逆変換された属性情報を含む認証応答パケットを作成して、前記認証要求装置へ送信する
ことを特徴とする認証システム。
【請求項６】
請求項５に記載の認証システムであって、
前記属性変換部は、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、前記種別判定部で得られた前記装置種別または／および前記回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、前記認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて前記個別記述形式へ逆変換することを特徴とする認証システム。
【請求項７】
請求項１〜請求項６のいずれか１つに記載の認証システムであって、
前記認証処理部は、前記種別判定部で得られた前記装置種別または／および前記回線種別に基づいて、前記パケット処理部で抽出した前記属性情報について前記認証処理が可能か否か判断し、当該認証処理が不可能な場合には前記統一記述形式からなる属性情報を要求する統一情報要求を前記属性変換部に対して通知し、当該認証処理が可能な場合には前記個別記述形式からなる属性情報を要求する個別情報要求を前記属性変換部に対して通知し、
前記属性変換部は、前記統一情報要求が通知された場合、前記パケット処理部で抽出した前記属性情報を前記統一記述形式への変換して前記認証処理部へ出力し、前記個別情報要求が通知された場合、前記パケット処理部で抽出した前記属性情報を前記個別記述形式のまま前記認証処理部へ出力する
ことを特徴とする認証システム。
【請求項８】
アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムで用いられる認証方法であって、
パケット処理部が、前記認証要求パケットから前記認証処理に必要な１つ以上の属性情報を抽出するパケット処理ステップと、
種別判定部が、前記属性情報に基づいて、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別を判定する種別判定ステップと、
属性変換部が、前記種別判定結果に基づいて、前記装置種別または／および前記回線種別ごとに個別の個別記述形式からなる前記属性情報を特定の統一記述形式へ変換する属性変換ステップと、
認証処理部が、前記統一記述形式に変換された属性情報に基づいて、前記ユーザ端末に関する認証処理を行う認証処理ステップと
を備えることを特徴とする認証方法。
【請求項９】
請求項８に記載の認証方法であって、
前記種別判定ステップは、前記認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、前記パケット処理ステップで前記属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得するステップを含むことを特徴とする認証方法。
【請求項１０】
請求項８または請求項９に記載の認証方法であって、
前記種別判定ステップは、前記パケット処理ステップで抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、前記パケット処理ステップで前記属性情報として抽出した前記判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得するステップを含むことを特徴とする認証方法。
【請求項１１】
請求項８〜請求項１０のいずれか１つに記載の認証方法であって、
前記属性変換ステップは、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、前記種別判定ステップで得られた前記装置種別または／および前記回線種別と組をなす変換対象属性情報および変換式を取得し、前記パケット処理ステップで抽出した前記変換対象属性情報の値を当該変換式に基づいて前記統一記述形式へ変換するステップを含むことを特徴とする認証方法。
【請求項１２】
請求項８〜請求項１１のいずれか１つに記載の認証方法であって、
前記属性変換ステップは、前記種別判定結果に基づいて、前記認証処理結果を示す属性情報を前記個別記述形式へ逆変換するステップを含み、
前記パケット処理ステップは、前記逆変換された属性情報を含む認証応答パケットを作成して、前記認証要求装置へ送信するステップを含む
ことを特徴とする認証方法。
【請求項１３】
請求項１２に記載の認証方法であって、
前記属性変換ステップは、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、前記種別判定ステップで得られた前記装置種別または／および前記回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、前記認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて前記個別記述形式へ逆変換するステップを含むことを特徴とする認証方法。
【請求項１４】
請求項８〜請求項１３のいずれか１つに記載の認証方法であって、
前記認証処理ステップは、前記種別判定ステップで得られた前記装置種別または／および前記回線種別に基づいて、前記パケット処理ステップで抽出した前記属性情報について前記認証処理が可能か否か判断し、当該認証処理が不可能な場合には前記統一記述形式からなる属性情報を要求する統一情報要求を前記属性変換ステップに対して通知し、当該認証処理が可能な場合には前記個別記述形式からなる属性情報を要求する個別情報要求を前記属性変換ステップに対して通知するステップを含み、
前記属性変換ステップは、前記統一情報要求が通知された場合、前記パケット処理ステップで抽出した前記属性情報を前記統一記述形式への変換して前記認証処理ステップへ出力し、前記個別情報要求が通知された場合、前記パケット処理ステップで抽出した前記属性情報を前記個別記述形式のまま前記認証処理ステップへ出力するステップを含む
ことを特徴とする認証方法。
【請求項１５】
コンピュータを、請求項１〜請求項７のいずれかに記載の認証システムを構成する各部として機能させるためのプログラム。
【請求項１】
アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムであって、
前記認証要求パケットから前記認証処理に必要な１つ以上の属性情報を抽出するパケット処理部と、
前記属性情報に基づいて、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別を判定する種別判定部と、
前記種別判定結果に基づいて、前記装置種別または／および前記回線種別ごとに個別の個別記述形式からなる前記属性情報を特定の統一記述形式へ変換する属性変換部と、
前記統一記述形式に変換された属性情報に基づいて、前記ユーザ端末に関する認証処理を行う認証処理部と
を備えることを特徴とする認証システム。
【請求項２】
請求項１に記載の認証システムであって、
前記種別判定部は、前記認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、前記パケット処理部で前記属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得することを特徴とする認証システム。
【請求項３】
請求項１または請求項２に記載の認証システムであって、
前記種別判定部は、前記パケット処理部で抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、前記パケット処理部で前記属性情報として抽出した前記判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得することを特徴とする認証システム。
【請求項４】
請求項１〜請求項３のいずれか１つに記載の認証システムであって、
前記属性変換部は、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、前記種別判定部で得られた前記装置種別または／および前記回線種別と組をなす変換対象属性情報および変換式を取得し、前記パケット処理部で抽出した前記変換対象属性情報の値を当該変換式に基づいて前記統一記述形式へ変換することを特徴とする認証システム。
【請求項５】
請求項１〜請求項４のいずれか１つに記載の認証システムであって、
前記属性変換部は、前記種別判定結果に基づいて、前記認証処理結果を示す属性情報を前記個別記述形式へ逆変換し、
前記パケット処理部は、前記逆変換された属性情報を含む認証応答パケットを作成して、前記認証要求装置へ送信する
ことを特徴とする認証システム。
【請求項６】
請求項５に記載の認証システムであって、
前記属性変換部は、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、前記種別判定部で得られた前記装置種別または／および前記回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、前記認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて前記個別記述形式へ逆変換することを特徴とする認証システム。
【請求項７】
請求項１〜請求項６のいずれか１つに記載の認証システムであって、
前記認証処理部は、前記種別判定部で得られた前記装置種別または／および前記回線種別に基づいて、前記パケット処理部で抽出した前記属性情報について前記認証処理が可能か否か判断し、当該認証処理が不可能な場合には前記統一記述形式からなる属性情報を要求する統一情報要求を前記属性変換部に対して通知し、当該認証処理が可能な場合には前記個別記述形式からなる属性情報を要求する個別情報要求を前記属性変換部に対して通知し、
前記属性変換部は、前記統一情報要求が通知された場合、前記パケット処理部で抽出した前記属性情報を前記統一記述形式への変換して前記認証処理部へ出力し、前記個別情報要求が通知された場合、前記パケット処理部で抽出した前記属性情報を前記個別記述形式のまま前記認証処理部へ出力する
ことを特徴とする認証システム。
【請求項８】
アクセス回線を介してユーザ端末と接続する認証要求装置からの認証要求パケットに応じて、当該ユーザ端末の認証処理を行う認証システムで用いられる認証方法であって、
パケット処理部が、前記認証要求パケットから前記認証処理に必要な１つ以上の属性情報を抽出するパケット処理ステップと、
種別判定部が、前記属性情報に基づいて、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別を判定する種別判定ステップと、
属性変換部が、前記種別判定結果に基づいて、前記装置種別または／および前記回線種別ごとに個別の個別記述形式からなる前記属性情報を特定の統一記述形式へ変換する属性変換ステップと、
認証処理部が、前記統一記述形式に変換された属性情報に基づいて、前記ユーザ端末に関する認証処理を行う認証処理ステップと
を備えることを特徴とする認証方法。
【請求項９】
請求項８に記載の認証方法であって、
前記種別判定ステップは、前記認証要求装置の送信元情報と当該認証要求装置の装置種別との組からなる装置種別判定ルールを参照し、前記パケット処理ステップで前記属性情報として抽出した当該認証要求装置の送信元情報と組をなす装置種別を、当該認証要求装置の装置種別として取得するステップを含むことを特徴とする認証方法。
【請求項１０】
請求項８または請求項９に記載の認証方法であって、
前記種別判定ステップは、前記パケット処理ステップで抽出する属性情報のうち判定の対象となる判定対象属性情報に関する値型と当該アクセス回線の回線種別との組からなる回線種別判定ルールを参照し、前記パケット処理ステップで前記属性情報として抽出した前記判定対象属性情報の値型と組をなす回線種別を、当該認証要求装置の回線種別として取得するステップを含むことを特徴とする認証方法。
【請求項１１】
請求項８〜請求項１０のいずれか１つに記載の認証方法であって、
前記属性変換ステップは、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、変換の対象となる変換対象属性情報およびその変換式との組からなる変換ルールを参照して、前記種別判定ステップで得られた前記装置種別または／および前記回線種別と組をなす変換対象属性情報および変換式を取得し、前記パケット処理ステップで抽出した前記変換対象属性情報の値を当該変換式に基づいて前記統一記述形式へ変換するステップを含むことを特徴とする認証方法。
【請求項１２】
請求項８〜請求項１１のいずれか１つに記載の認証方法であって、
前記属性変換ステップは、前記種別判定結果に基づいて、前記認証処理結果を示す属性情報を前記個別記述形式へ逆変換するステップを含み、
前記パケット処理ステップは、前記逆変換された属性情報を含む認証応答パケットを作成して、前記認証要求装置へ送信するステップを含む
ことを特徴とする認証方法。
【請求項１３】
請求項１２に記載の認証方法であって、
前記属性変換ステップは、前記認証要求装置の装置種別または／および前記アクセス回線の回線種別と、逆変換の対象となる逆変換対象属性情報、値型、および属性値の組からなる逆変換ルールを参照して、前記種別判定ステップで得られた前記装置種別または／および前記回線種別に対応する逆変換対象属性情報、値型、および属性値を取得し、前記認証処理結果を示す属性情報のうち当該逆変換対象属性情報の値を当該値型および属性値に基づいて前記個別記述形式へ逆変換するステップを含むことを特徴とする認証方法。
【請求項１４】
請求項８〜請求項１３のいずれか１つに記載の認証方法であって、
前記認証処理ステップは、前記種別判定ステップで得られた前記装置種別または／および前記回線種別に基づいて、前記パケット処理ステップで抽出した前記属性情報について前記認証処理が可能か否か判断し、当該認証処理が不可能な場合には前記統一記述形式からなる属性情報を要求する統一情報要求を前記属性変換ステップに対して通知し、当該認証処理が可能な場合には前記個別記述形式からなる属性情報を要求する個別情報要求を前記属性変換ステップに対して通知するステップを含み、
前記属性変換ステップは、前記統一情報要求が通知された場合、前記パケット処理ステップで抽出した前記属性情報を前記統一記述形式への変換して前記認証処理ステップへ出力し、前記個別情報要求が通知された場合、前記パケット処理ステップで抽出した前記属性情報を前記個別記述形式のまま前記認証処理ステップへ出力するステップを含む
ことを特徴とする認証方法。
【請求項１５】
コンピュータを、請求項１〜請求項７のいずれかに記載の認証システムを構成する各部として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【公開番号】特開２０１１−４１０８８（Ｐ２０１１−４１０８８Ａ）
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願番号】特願２００９−１８７８１８（Ｐ２００９−１８７８１８）
【出願日】平成２１年８月１３日（２００９．８．１３）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年２月２４日（２０１１．２．２４）
【国際特許分類】
【出願日】平成２１年８月１３日（２００９．８．１３）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]