認証制御装置及び認証制御プログラム
【課題】異なる種別の認証情報が利用される場合において、認証情報を入力する手間を軽減することができる認証制御装置及び認証制御プログラムを提供する。
【解決手段】認証制御装置２Ａは、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部２３〜２５と、認証情報を受け付ける受付部２０と、受付部２０により受け付けられた認証情報の種別を判別し、複数の認証処理部２３〜２５のうち判別した種別に対応する認証処理部に認証処理を行わせ、その結果認証が成功したとき、複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、他の認証処理部を制御する認証制御部２１とを備える。
【解決手段】認証制御装置２Ａは、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部２３〜２５と、認証情報を受け付ける受付部２０と、受付部２０により受け付けられた認証情報の種別を判別し、複数の認証処理部２３〜２５のうち判別した種別に対応する認証処理部に認証処理を行わせ、その結果認証が成功したとき、複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、他の認証処理部を制御する認証制御部２１とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証制御装置及び認証制御プログラムに関する。
【背景技術】
【０００２】
従来、認証情報を管理する認証情報管理装置に、クライアント計算機と、前置計算機と、後置計算機とが接続されたシステムが知られている（例えば、特許文献１参照）。
【０００３】
このシステムにおいて、認証情報管理装置は、後置計算機毎にユーザに対応した認証情報を記憶する記憶手段と、前置計算機を介して後置計算機にアクセスする際に受け取る当該後置計算機の識別情報とユーザ情報とを基に記憶手段から該当する後置計算機の認証情報を検索する検索手段と、前記検索手段で検索された認証情報を当該前置計算機に返信する通信手段とを備える。
【特許文献１】特開平９−３４８２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、異なる種別の認証情報が利用される場合において、認証情報を入力する手間を軽減することができる認証制御装置及び認証制御プログラムを提供することにある。
【課題を解決するための手段】
【０００５】
本発明の一態様は、上記目的を達成するため、以下の認証制御装置及び認証制御プログラムを提供する。
【０００６】
［１］異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部と、認証情報を受け付ける受付部と、前記受付部により受け付けられた前記認証情報の種別を判別し、前記複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御部とを備えた認証制御装置。
【０００７】
［２］さらに、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証情報を基にして、認証情報を含む利用者情報が利用者単位で管理された管理情報を検索し、前記認証情報の受付元の利用者を特定する利用者特定部を備えた前記［１］に記載の認証制御装置。
【０００８】
［３］前記制御部は、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証が成功した旨を示す認証状態情報を前記認証情報の受付元に送信する前記［１］に記載の認証制御装置。
【０００９】
［４］前記受付部は、前記認証状態情報を受け付け、前記制御部は、前記受付部により受け付けられた前記認証状態情報が適式なとき、前記複数の認証処理部において認証が成功したものとみなして、前記複数の認証処理部を制御する前記［３］に記載の認証制御装置。
【００１０】
［５］認証情報を受け付ける受付ステップと、
前記受付ステップにより受け付けられた前記認証情報の種別を判別し、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御ステップとをコンピュータに実行させる認証制御プログラム。
【発明の効果】
【００１１】
請求項１，５に係る発明によれば、異なる種別の認証情報が利用される場合において、認証情報を入力する手間を軽減することができる。
【００１２】
請求項２に係る発明によれば、異なる種別の認証情報が受け付けられた場合でも、その認証情報に対応する利用者を簡便に特定することができる。
【００１３】
請求項３に係る発明によれば、認証が成功した旨を認証情報の受付元に通知することができる。
【００１４】
請求項４に係る発明によれば、認証情報の入力を省略するとともに、認証の安全性を確保することができる。
【発明を実施するための最良の形態】
【００１５】
本発明の実施の形態に係る認証制御装置は、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部と、認証情報を受け付ける受付部と、前記受付部により受け付けられた前記認証情報の種別を判別し、前記複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御部とを備える。
【００１６】
認証情報の種別は、例えば、ユーザＩＤ、メールアドレス、パスワード、署名、電子証明書及びこれらの少なくとも２つを組み合わせた情報等であるが、これらに限定されない。
【００１７】
上記構成において、認証を要求する利用者が、端末装置等により認証情報を入力すると、認証制御装置によりその認証情報の種別に応じて認証処理が行われる。その結果認証が成功した場合には、他の認証処理部においても認証が成功したものとみなされる。従って、利用者は、認証処理部が扱う認証情報の種別を意識せずに認証情報を入力すればよいため、認証情報を入力する手間が軽減される。
【００１８】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係る認証システムの構成例を示す概略図である。この認証システム１Ａは、認証制御装置２Ａと、端末装置３と、ＬＤＡＰ（Lightweight Directory Access Protocol）認証サーバ４と、ＰＫＩ（Public Key Infrastructure）認証サーバ５と、認証制御装置２Ａ、端末装置３、ＬＤＡＰ認証サーバ４及びＰＫＩ認証サーバ５を相互に接続するネットワーク１０とから構成されている。
【００１９】
ネットワーク１０は、有線通信（電気ケーブル、光ケーブル等）及び無線通信（電波、赤外線等）等によりデータの送受信を行うＬＡＮ（ローカルエリアネットワーク）、インターネット等の通信網である。
【００２０】
端末装置３は、例えば、コンピュータ、携帯情報端末（ＰＤＡ）、携帯電話機等の情報処理装置により構成されている。端末装置３は、ユーザの入力操作により認証情報の入力を受け付けると、その認証情報を認証制御装置２Ａに送信する。なお、認証情報は、端末装置３から認証制御装置２に直接送信される他、ＬＤＡＰ認証サーバ４及びＰＫＩ認証サーバ５を経由して認証制御装置２Ａに送信されてもよい。
【００２１】
ＬＤＡＰ認証サーバ４は、ディレクトリデータベースにアクセスするための、例えば、国際電気通信連合（ＩＴＵ−Ｔ）によるＸ．５００（ＩＳＯ／ＩＥＣ ９５９４−１）等のプロトコルが実装されたサーバである。ＬＤＡＰ認証サーバ４には、認証処理を行う際の照合元となるＬＤＡＰ認証情報が、ユーザ毎に予め登録されている。
【００２２】
ＰＫＩ認証サーバ５は、公開鍵基盤を利用した、例えば、国際電気通信連合によるＸ．５０９（ＩＳＯ／ＩＥＣ ９５９４−８）等の規格に準じたサーバである。
【００２３】
（認証制御装置）
図２は、本発明の第１の実施の形態に係る認証制御装置の構成例を示すブロック図である。この認証制御装置２Ａは、受付部２０Ａと、認証制御部（制御部）２１Ａと、認証制御情報２２と、ローカル認証処理部２３と、ＬＤＡＰ認証処理部２４と、ＰＫＩ認証処理部２５と、ユーザプロファイルＤＢ（管理情報）２６と、ユーザ特定部（利用者特定部）２７とを備える。
【００２４】
受付部２０Ａは、ネットワーク１０に接続された、例えば、ネットワークインタフェースカード等を介して、端末装置３から送信された認証情報を受け付ける。
【００２５】
認証制御部２１Ａは、受付部２０Ａにより受け付けられた認証情報の認証タイプ（種別）を判別し、複数の認証処理部２３〜２５のうち判別した認証タイプに対応する認証処理部に認証処理を行わせ、その結果認証が成功したとき、複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、他の認証処理部を制御する。
【００２６】
ローカル認証処理部２３は、ユーザ毎に予め登録された、認証処理の照合元となるローカル認証情報２３０を備える。ローカル認証処理部２３は、認証制御部２１Ａから認証情報を受け取ると、その受け取った認証情報と、ローカル認証情報２３０との照合により認証が成功したか否かを判定し、その判定した結果を示す判定結果情報を認証制御部２１Ａに送る。
【００２７】
ＬＤＡＰ認証処理部２４は、ＬＤＡＰ認証サーバ４と連携して認証処理を行う。ＬＤＡＰ認証処理部２４は、認証制御部２１Ａから認証情報を受け取ると、その受け取った認証情報をＬＤＡＰ認証サーバ４に送る。そして、ＬＤＡＰ認証処理部２４は、ＬＤＡＰ認証サーバ４により認証処理が行われた結果を示す判定結果情報をＬＤＡＰ認証サーバ４から受け取り、その判定結果情報を認証制御部２１Ａに送る。
【００２８】
ＰＫＩ認証処理部２５は、ＰＫＩ認証サーバ５と連携して認証処理を行う。ＰＫＩ認証処理部２５は、認証制御部２１Ａから認証情報を受け取ると、その受け取った認証情報をＰＫＩ認証サーバ５に送る。そして、ＰＫＩ認証処理部２５は、ＰＫＩ認証サーバ５により認証処理が行われた結果を示す判定結果情報をＰＫＩ認証サーバ５から受け取り、その判定結果情報を認証制御部２１Ａに送る。
【００２９】
ユーザ特定部２７は、認証処理の結果認証が成功したとき、ユーザ毎に管理されたユーザプロファイルＤＢ２６から認証情報を検索キー（検索要素）にして、認証情報の受付元のユーザを特定する。
【００３０】
図３（ａ）は、ユーザプロファイルＤＢの一例を示す図である。ユーザプロファイルＤＢ２６は、認証情報を含む利用者情報がユーザ単位で管理された情報である。ユーザプロファイルＤＢ２６には、ユーザ毎に、ユーザＩＤと、メールアドレスと、パスワードと、信頼できる認証局から発行された署名等のプロファイル情報（利用者情報）が記録されている。
【００３１】
図３（ｂ）は、認証制御情報の一例を示す図である。認証制御情報２２には、認証方式毎に、認証タイプと、ユーザ特定フィールドとが記録されている。本実施の形態では、認証方式として、ローカル認証、ＬＤＡＰ認証、ＰＫＩ認証を採用しているが、その他の認証方式を採用してもよい。
【００３２】
なお、認証制御部２１Ａ、認証制御情報２２、ローカル認証処理部２３、ＬＤＡＰ認証処理部２４、ＰＫＩ認証処理部２５及びユーザ特定部２７は、例えば、ＣＰＵ等の演算部により実現されている。また、認証制御情報２２及びユーザプロファイルＤＢ２６は、例えば、ＲＯＭ，ＲＡＭ，ハードディスク等の記憶部により実現されている。
【００３３】
（第１の実施の形態の動作）
以下に、本発明の第１の実施の形態に係る認証制御装置２Ａの動作の一例を図４のフローチャートに従って説明する。
【００３４】
まず、端末装置３は、例えば、認証システム１Ａにアクセスする操作を受け付けると、ログイン画面を表示する。そして、端末装置３は、そのログイン画面上でユーザによる認証情報の入力操作を受け付けると、その認証情報をネットワーク１０を介して認証制御装置２Ａに送信する。
【００３５】
次に、認証制御装置２Ａの受付部２０Ａは、端末装置３から送信された認証情報を受け付け、認証情報を認証制御部２１Ａに送る（Ｓ１）。
【００３６】
次に、認証制御部２１Ａは、その受け取った認証情報の認証タイプを判別し、その判別した認証タイプに一致する認証方式があるか否かを認証制御情報２２を参照して判定する（Ｓ１０）。なお、認証制御部２１Ａが認証タイプを判別する方法としては、例えば、認証情報に文字「＠」が含まれている場合には、「メールアドレス＋パスワード」と判別し、認証情報がＨＴＴＰＳ（Hypertext Transfer Protocol over Secure Socket Layer）等の通信プロトコルに準じている場合には、「署名」と判定する。また、ログイン画面等により認証情報の認証タイプがユーザにより指定されている場合には、認証制御部２１Ａは、その指定された認証タイプとして判別すればよい。
【００３７】
次に、認証制御部２１Ａが、一致する認証方式がないと判定した場合には（Ｓ１０：Ｎｏ）、その認証情報に対して認証が失敗した旨を端末装置３に送信する（Ｓ３０）。
【００３８】
一方、認証制御部２１Ａが、一致する認証方式があると判定した場合には（Ｓ１０：Ｙｅｓ）、認証制御部２１Ａは、認証処理部２３〜２５のうちその認証タイプに対応する認証処理部を決定する。ここでは、認証制御部２１Ａにより判別された認証タイプが、「メールアドレス＋パスワード」の場合について説明すると、認証制御部２１Ａは、その認証タイプに対応する認証処理部として、ＬＤＡＰ認証処理部２４に決定する。
【００３９】
次に、認証制御部２１Ａは、ＬＤＡＰ認証処理部２４に対して認証情報を送るとともに、認証処理を実行するように実行指示を送る。その実行指示を受けたＬＤＡＰ認証処理部２４は、ＬＤＡＰ認証サーバ４と連携して認証処理を実行する（Ｓ１１）。
【００４０】
次に、ＬＤＡＰ認証処理部２４は、その認証処理の結果を示す判定結果情報を認証制御部２１Ａに送り、認証制御部２１Ａは、その判定結果情報に基づいて認証が成功したか否かを判定する（Ｓ１２）。
【００４１】
次に、認証制御部２１Ａが、認証が成功したと判定した場合には（Ｓ１２：Ｙｅｓ）、認証制御部２１Ａは、ユーザ特定部２７に対して認証が成功したユーザを特定するように特定指示を送る。その特定指示を受けたユーザ特定部２７は、ユーザプロファイルＤＢ２６において認証タイプに対応するユーザ特定フィールド、すなわち、「メールアドレス」のフィールドに登録されたメールアドレスのうち、認証情報に含まれているメールアドレスに一致するユーザを検索する（Ｓ２０）。
【００４２】
そして、ユーザ特定部２７は、メールアドレスが一致するユーザを、認証が成功したユーザ（以下、認証成功ユーザという）を特定する（Ｓ２１）。認証制御部２１Ａは、その認証情報に対して認証が成功した旨を端末装置３に送信する。また、認証制御部２１Ａは、認証処理を行った認証処理部以外の他の認証処理部、すなわち、ローカル認証処理部２３及びＰＫＩ認証処理部２５に認証成功ユーザに係る情報を送り、ローカル認証処理部２３及びＰＫＩ認証処理部２５においても、その認証成功ユーザに対して認証が成功したものとみなされる。
【００４３】
一方、上記ステップＳ１２において、認証制御部２１Ａが、認証が成功しなかったと判定した場合には（Ｓ１２：Ｎｏ）、ステップＳ１０に戻り、認証タイプが一致する認証方式が他にあるか否かを判定し（Ｓ１０）、その判定結果に応じて以降のステップに進む。
【００４４】
以上のようにして、端末装置３から送信された認証情報の認証タイプに応じて、認証制御装置２Ａにより認証処理が行われるので、異なる認証タイプの認証情報を複数利用するユーザであっても、複数の認証情報をそれぞれ入力する操作が不要となる。また、認証システム１Ａに新たな認証タイプを追加する場合は、認証制御装置２Ａの認証制御情報２２を更新すればよいため、認証システム１Ａを運用管理する負担が軽減される。
【００４５】
［第２の実施の形態］
図５は、本発明の第２の実施の形態に係る認証システムの構成例を示す概略図である。この認証システム１Ｂは、認証制御装置２Ｂと、第１乃至第２の端末装置３Ａ，３Ｂと、第１の実施の形態と同様に構成されたＬＤＡＰ認証サーバ４及びＰＫＩ認証サーバ５と、第１及び第２のサービス提供サーバ６Ａ，６Ｂと、それら認証制御装置２Ｂ、端末装置３Ａ，３Ｂ、ＬＤＡＰ認証サーバ４、ＰＫＩ認証サーバ５及びサービス提供サーバ６Ａ，６Ｂを相互に接続するネットワーク１０とから構成されている。なお、第１乃至第２の端末装置３Ａ，３Ｂは、第１の実施の形態の端末装置３と同様に構成されている。
【００４６】
第１及び第２のサービス提供サーバ６Ａ，６Ｂは、例えば、ウェブサーバ、ファイルサーバ等のサービス（機能）を提供するサーバである。
【００４７】
（認証制御装置）
図６は、本発明の第２の実施の形態に係る認証制御装置の構成例を示すブロック図である。認証制御装置２Ｂは、第１の実施の形態と同様の認証制御情報２２、ローカル認証処理部２３、ＬＤＡＰ認証処理部２４、ＰＫＩ認証処理部２５、ユーザプロファイルＤＢ２６及びユーザ特定部２７の他に、受付部２０Ｂ、認証制御部２１Ｂ、ＳＳＯ（Single Sign On）処理部２８、セッション管理情報２９を備える。なお、認証制御部２１Ｂ及びＳＳＯ処理部２８が、制御部を構成する。
【００４８】
受付部２０Ｂは、認証情報の代わりに認証要求を受け付ける。認証要求は、認証情報を含む場合と含まない場合がある。また、認証要求は、例えば、クッキーに記録した情報としてセッションＩＤを含む場合と含まない場合がある。なお、受付部２０Ｂは、第１及び第２の端末装置３Ａ，３Ｂから送信された認証要求を直接受け付けてもよいし、第１及び第２のサービス提供サーバ６Ａ，６Ｂを経由して受け付けてもよい。
【００４９】
ＳＳＯ処理部２８は、認証処理部２３〜２５のいずれかで認証が成功したとき、その認証が成功した旨を示すセッション情報（認証状態情報）と、そのセッション情報に関連付けたセッションＩＤを生成し、セッション管理情報２９に登録し、セッションＩＤを認証情報の受付元の端末装置に送信する。
【００５０】
また、ＳＳＯ処理部２８は、セッションＩＤが受付部２０Ｂにより受け付けられた認証情報にセッションＩＤが含まれている場合には、そのセッションＩＤに関連付けられたセッション情報が有効（適式）であるか否かを判定し、セッション情報が有効と判定したとき、その旨を示すセッション有効通知を認証制御部２１Ｂに送る。
【００５１】
認証制御部２１Ｂは、ＳＳＯ処理部２８からセッション有効通知を受け取ると、複数の認証処理部２３〜２５において認証が成功したものとみなして、複数の認証処理部２３〜２５を制御する。
【００５２】
図７は、セッション管理情報の一例を示す図である。このセッション管理情報２９は、セッションＩＤをキーにして、複数のセッション情報を管理する。セッション情報としては、例えば、認証が成功したユーザを示すログインユーザと、そのログインユーザの認証成功状態が保持される期間を示す有効期間等が挙げられる。
【００５３】
（第２の実施の形態の動作）
以下に、本発明の第２の実施の形態に係る認証制御装置２Ｂの動作の一例を図８のフローチャートに従って説明する。ここでは、ユーザが第１の端末装置３Ａを操作して、第１のサービス提供サーバ６Ａにアクセスした場合について説明する。
【００５４】
まず、第１の端末装置３Ａは、第１のサービス提供サーバ６Ａが提供するサービスを利用する際に、ユーザの入力操作により受け付けた認証要求を第１のサービス提供サーバ６Ａに送信する。第１のサービス提供サーバ６Ａは、その認証要求を受信すると、その認証要求を認証制御装置２Ｂに転送（リダイレクト）する。
【００５５】
次に、認証制御装置２Ｂの受付部２０Ｂは、その認証要求を受け付けると（Ｓ１）、ＳＳＯ処理部２８は、その認証要求にセッションＩＤが含まれているか否かを判定する（Ｓ２）。
【００５６】
そして、ＳＳＯ処理部２８は、セッションＩＤが含まれていると判定した場合には（Ｓ２：Ｙｅｓ）、そのセッション情報が有効か否かを判定する（Ｓ３）。具体的には、ＳＳＯ処理部２８は、セッション管理情報２９を参照し、そのセッションＩＤに対応するセッション管理情報を取得する。そして、ＳＳＯ処理部２８は、そのセッション管理情報の有効期限が過ぎていない場合には、セッション情報が有効であると判定する。
【００５７】
次に、ＳＳＯ処理部２８が、セッション情報が有効であると判定した場合には（Ｓ３：Ｙｅｓ）、セッション有効通知を認証制御部２１Ｂに送る。そのセッション有効通知を受けた認証制御部２１Ｂは、認証が成功したものとみなし、認証が成功した旨を第１のサービス提供サーバ６Ａに送信する（Ｓ４）。
【００５８】
一方、ＳＳＯ処理部２８が、セッション情報が含まれていないと判定した場合（Ｓ２：Ｎｏ）、又はセッション情報が有効でないと判定した場合には（Ｓ３：Ｎｏ）、認証制御部２１Ｂは、その認証要求に認証情報が含まれているか否かを判定する（Ｓ５）。
【００５９】
そして、認証制御部２１Ｂは、認証情報が含まれていないと判定した場合には（Ｓ５：Ｎｏ）、認証情報の入力要求を第１のサービス提供サーバ６Ａに送信する（Ｓ４０）。
【００６０】
一方、認証制御部２１Ｂが、認証情報が含まれていると判定した場合には（Ｓ５：Ｙｅｓ）、認証制御部２１Ａは、その認証情報の認証タイプを判別し、その判別した認証タイプに一致する認証方式があるか否かを認証制御情報２２を参照して判定する（Ｓ１０）。
【００６１】
そして、認証制御部２１Ｂが、一致する認証方式がないと判定した場合には（Ｓ１０：Ｎｏ）、その認証情報に対して認証が失敗した旨を第１の端末装置３Ａに送信する（Ｓ３０）。そして、ＳＳＯ処理部２８は、例えば、上記ステップＳ３においてセッション情報が有効でないと判定した場合には（Ｓ３：Ｎｏ）、そのセッション情報をセッション管理情報２９からクリアする（Ｓ３１）。
【００６２】
一方、認証制御部２１Ｂが、一致する認証方式があると判定した場合には（Ｓ１０：Ｙｅｓ）、認証処理部２３〜２５のうちその認証方式に該当する認証処理部を決定し、その認証処理部に実行指示を送る。その実行指示を受けた認証処理部２３〜２５は、認証処理を実行する（Ｓ１１）。
【００６３】
次に、認証処理部２３〜２５は、認証処理の結果を示す判定結果情報を認証制御部２１Ｂに送り、認証制御部２１Ｂは、その判定結果情報に基づいて認証が成功したか否かを判定する（Ｓ１２）。
【００６４】
次に、認証制御部２１Ｂが、認証が成功したと判定した場合には（Ｓ１２：Ｙｅｓ）、認証制御部２１Ａは、ユーザ特定部２７に特定指示を送り、その特定指示を受けたユーザ特定部２７は、ユーザプロファイルＤＢ２６においてユーザ特定フィールドを検索し（Ｓ２０）、認証成功ユーザを特定する（Ｓ２１）。
【００６５】
次に、ＳＳＯ処理部２８は、セッション管理情報２９に認証成功ユーザに関するセッション情報を記録し、そのセッションＩＤを第１の端末装置３Ａに送信する（Ｓ２２）。そして、第１の端末装置３Ａは、そのセッションＩＤ受信すると、自己の記憶部に記憶する。
【００６６】
一方、上記ステップＳ１２において、認証制御部２１Ｂが、認証が成功しなかったと判定した場合には（Ｓ１２：Ｎｏ）、ステップＳ１０に戻り、認証タイプが一致する認証方式が他にあるか否かを判定し（Ｓ１０）、その判定結果に応じて以降のステップに進む。
【００６７】
その後、第１の端末装置３Ａが、第１及び第２のサービス提供サーバ６Ａ，６Ｂのいずれかを利用すべく認証要求を送信する場合には、第１の端末装置３Ａの記憶部に記憶されたセッションＩＤを認証要求に付加して送信する。そして、認証制御装置２ＢのＳＳＯ処理部２８が、そのセッションＩＤに関連付けられたセッション情報が有効と判定した場合には、認証が成功したものとみなされるので、ユーザは改めて認証情報を入力する操作が不要となる。
【００６８】
（他の実施の形態）
なお、本発明は、上記各実施の形態に限定されず、本発明の趣旨を逸脱しない範囲内で種々な変形が可能である。例えば、上記各実施の形態における認証制御装置の受付部、認証制御部、認証制御部、認証制御情報、ローカル認証処理部、ＬＤＡＰ認証処理部、ＰＫＩ認証処理部、ユーザ特定部、ＳＳＯ処理部等は、ＣＰＵ等の演算部と認証制御プログラムによって実現してもよいし、それらの一部または全部を特定用途向け集積回路（ＡＳＩＣ：Application Specific IＣ）等のハードウェアによって実現してもよい。
【００６９】
また、上記各実施の形態で使用されるプログラムは、ＣＤ−ＲＯＭ等の記録媒体から装置内の記憶部に読み込んでもよく、インターネット等のネットワークに接続されているサーバ等から装置内の記憶部にダウンロードしてもよい。
【００７０】
また、上記各実施の形態において、認証システムが有する機能やデータ等は、認証システム全体として備えられていればよく、例えば、認証制御情報、ユーザプロファイルＤＢは、別の記憶装置に記憶されていてもよい。
【００７１】
また、端末装置が認証情報を受け付ける方法は、キー入力の他に、例えば、ユーザが所有するＩＤカード等から非接触カードリーダ等により認証情報を読み取ってもよいし、声紋、指紋、静脈及び顔画像等の各ユーザの身体的な特徴情報を認証情報として受け付けてもよい。
【図面の簡単な説明】
【００７２】
【図１】図１は、本発明の第１の実施の形態に係る認証システムの構成例を示す概略図である。
【図２】図２は、本発明の第１の実施の形態に係る認証制御装置の構成例を示すブロック図である。
【図３】図３（ａ）は、ユーザプロファイルＤＢの一例を示す図である。図３（ｂ）は、認証制御情報の一例を示す図である。
【図４】図４は、本発明の第１の実施の形態に係る認証制御装置の動作の一例を示すフローチャートである。
【図５】図５は、本発明の第２の実施の形態に係る認証システムの構成例を示す概略図である。
【図６】図６は、本発明の第２の実施の形態に係る認証制御装置の構成例を示すブロック図である。
【図７】図７は、セッション管理情報の一例を示す図である。
【図８】図８は、本発明の第２の実施の形態に係る認証制御装置の動作の一例を示すフローチャートである。
【符号の説明】
【００７３】
１Ａ，１Ｂ…認証システム、２Ａ，２Ｂ…認証制御装置、３，３Ａ，３Ｂ…端末装置、４…ＬＤＡＰ認証サーバ、５…ＰＫＩ認証サーバ、６Ａ，６Ｂ…サービス提供サーバ、１０…ネットワーク、２０Ａ，２０Ｂ…受付部、２１Ａ，２１Ｂ…認証制御部、２２…認証制御情報、２３…ローカル認証処理部、２４…ＬＤＡＰ認証処理部、２５…ＰＫＩ認証処理部、２６…ユーザプロファイルＤＢ、２７…ユーザ特定部、２８…ＳＳＯ処理部、２９…セッション管理情報、２３０…ローカル認証情報
【技術分野】
【０００１】
本発明は、認証制御装置及び認証制御プログラムに関する。
【背景技術】
【０００２】
従来、認証情報を管理する認証情報管理装置に、クライアント計算機と、前置計算機と、後置計算機とが接続されたシステムが知られている（例えば、特許文献１参照）。
【０００３】
このシステムにおいて、認証情報管理装置は、後置計算機毎にユーザに対応した認証情報を記憶する記憶手段と、前置計算機を介して後置計算機にアクセスする際に受け取る当該後置計算機の識別情報とユーザ情報とを基に記憶手段から該当する後置計算機の認証情報を検索する検索手段と、前記検索手段で検索された認証情報を当該前置計算機に返信する通信手段とを備える。
【特許文献１】特開平９−３４８２２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
本発明の目的は、異なる種別の認証情報が利用される場合において、認証情報を入力する手間を軽減することができる認証制御装置及び認証制御プログラムを提供することにある。
【課題を解決するための手段】
【０００５】
本発明の一態様は、上記目的を達成するため、以下の認証制御装置及び認証制御プログラムを提供する。
【０００６】
［１］異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部と、認証情報を受け付ける受付部と、前記受付部により受け付けられた前記認証情報の種別を判別し、前記複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御部とを備えた認証制御装置。
【０００７】
［２］さらに、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証情報を基にして、認証情報を含む利用者情報が利用者単位で管理された管理情報を検索し、前記認証情報の受付元の利用者を特定する利用者特定部を備えた前記［１］に記載の認証制御装置。
【０００８】
［３］前記制御部は、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証が成功した旨を示す認証状態情報を前記認証情報の受付元に送信する前記［１］に記載の認証制御装置。
【０００９】
［４］前記受付部は、前記認証状態情報を受け付け、前記制御部は、前記受付部により受け付けられた前記認証状態情報が適式なとき、前記複数の認証処理部において認証が成功したものとみなして、前記複数の認証処理部を制御する前記［３］に記載の認証制御装置。
【００１０】
［５］認証情報を受け付ける受付ステップと、
前記受付ステップにより受け付けられた前記認証情報の種別を判別し、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御ステップとをコンピュータに実行させる認証制御プログラム。
【発明の効果】
【００１１】
請求項１，５に係る発明によれば、異なる種別の認証情報が利用される場合において、認証情報を入力する手間を軽減することができる。
【００１２】
請求項２に係る発明によれば、異なる種別の認証情報が受け付けられた場合でも、その認証情報に対応する利用者を簡便に特定することができる。
【００１３】
請求項３に係る発明によれば、認証が成功した旨を認証情報の受付元に通知することができる。
【００１４】
請求項４に係る発明によれば、認証情報の入力を省略するとともに、認証の安全性を確保することができる。
【発明を実施するための最良の形態】
【００１５】
本発明の実施の形態に係る認証制御装置は、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部と、認証情報を受け付ける受付部と、前記受付部により受け付けられた前記認証情報の種別を判別し、前記複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御部とを備える。
【００１６】
認証情報の種別は、例えば、ユーザＩＤ、メールアドレス、パスワード、署名、電子証明書及びこれらの少なくとも２つを組み合わせた情報等であるが、これらに限定されない。
【００１７】
上記構成において、認証を要求する利用者が、端末装置等により認証情報を入力すると、認証制御装置によりその認証情報の種別に応じて認証処理が行われる。その結果認証が成功した場合には、他の認証処理部においても認証が成功したものとみなされる。従って、利用者は、認証処理部が扱う認証情報の種別を意識せずに認証情報を入力すればよいため、認証情報を入力する手間が軽減される。
【００１８】
［第１の実施の形態］
図１は、本発明の第１の実施の形態に係る認証システムの構成例を示す概略図である。この認証システム１Ａは、認証制御装置２Ａと、端末装置３と、ＬＤＡＰ（Lightweight Directory Access Protocol）認証サーバ４と、ＰＫＩ（Public Key Infrastructure）認証サーバ５と、認証制御装置２Ａ、端末装置３、ＬＤＡＰ認証サーバ４及びＰＫＩ認証サーバ５を相互に接続するネットワーク１０とから構成されている。
【００１９】
ネットワーク１０は、有線通信（電気ケーブル、光ケーブル等）及び無線通信（電波、赤外線等）等によりデータの送受信を行うＬＡＮ（ローカルエリアネットワーク）、インターネット等の通信網である。
【００２０】
端末装置３は、例えば、コンピュータ、携帯情報端末（ＰＤＡ）、携帯電話機等の情報処理装置により構成されている。端末装置３は、ユーザの入力操作により認証情報の入力を受け付けると、その認証情報を認証制御装置２Ａに送信する。なお、認証情報は、端末装置３から認証制御装置２に直接送信される他、ＬＤＡＰ認証サーバ４及びＰＫＩ認証サーバ５を経由して認証制御装置２Ａに送信されてもよい。
【００２１】
ＬＤＡＰ認証サーバ４は、ディレクトリデータベースにアクセスするための、例えば、国際電気通信連合（ＩＴＵ−Ｔ）によるＸ．５００（ＩＳＯ／ＩＥＣ ９５９４−１）等のプロトコルが実装されたサーバである。ＬＤＡＰ認証サーバ４には、認証処理を行う際の照合元となるＬＤＡＰ認証情報が、ユーザ毎に予め登録されている。
【００２２】
ＰＫＩ認証サーバ５は、公開鍵基盤を利用した、例えば、国際電気通信連合によるＸ．５０９（ＩＳＯ／ＩＥＣ ９５９４−８）等の規格に準じたサーバである。
【００２３】
（認証制御装置）
図２は、本発明の第１の実施の形態に係る認証制御装置の構成例を示すブロック図である。この認証制御装置２Ａは、受付部２０Ａと、認証制御部（制御部）２１Ａと、認証制御情報２２と、ローカル認証処理部２３と、ＬＤＡＰ認証処理部２４と、ＰＫＩ認証処理部２５と、ユーザプロファイルＤＢ（管理情報）２６と、ユーザ特定部（利用者特定部）２７とを備える。
【００２４】
受付部２０Ａは、ネットワーク１０に接続された、例えば、ネットワークインタフェースカード等を介して、端末装置３から送信された認証情報を受け付ける。
【００２５】
認証制御部２１Ａは、受付部２０Ａにより受け付けられた認証情報の認証タイプ（種別）を判別し、複数の認証処理部２３〜２５のうち判別した認証タイプに対応する認証処理部に認証処理を行わせ、その結果認証が成功したとき、複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、他の認証処理部を制御する。
【００２６】
ローカル認証処理部２３は、ユーザ毎に予め登録された、認証処理の照合元となるローカル認証情報２３０を備える。ローカル認証処理部２３は、認証制御部２１Ａから認証情報を受け取ると、その受け取った認証情報と、ローカル認証情報２３０との照合により認証が成功したか否かを判定し、その判定した結果を示す判定結果情報を認証制御部２１Ａに送る。
【００２７】
ＬＤＡＰ認証処理部２４は、ＬＤＡＰ認証サーバ４と連携して認証処理を行う。ＬＤＡＰ認証処理部２４は、認証制御部２１Ａから認証情報を受け取ると、その受け取った認証情報をＬＤＡＰ認証サーバ４に送る。そして、ＬＤＡＰ認証処理部２４は、ＬＤＡＰ認証サーバ４により認証処理が行われた結果を示す判定結果情報をＬＤＡＰ認証サーバ４から受け取り、その判定結果情報を認証制御部２１Ａに送る。
【００２８】
ＰＫＩ認証処理部２５は、ＰＫＩ認証サーバ５と連携して認証処理を行う。ＰＫＩ認証処理部２５は、認証制御部２１Ａから認証情報を受け取ると、その受け取った認証情報をＰＫＩ認証サーバ５に送る。そして、ＰＫＩ認証処理部２５は、ＰＫＩ認証サーバ５により認証処理が行われた結果を示す判定結果情報をＰＫＩ認証サーバ５から受け取り、その判定結果情報を認証制御部２１Ａに送る。
【００２９】
ユーザ特定部２７は、認証処理の結果認証が成功したとき、ユーザ毎に管理されたユーザプロファイルＤＢ２６から認証情報を検索キー（検索要素）にして、認証情報の受付元のユーザを特定する。
【００３０】
図３（ａ）は、ユーザプロファイルＤＢの一例を示す図である。ユーザプロファイルＤＢ２６は、認証情報を含む利用者情報がユーザ単位で管理された情報である。ユーザプロファイルＤＢ２６には、ユーザ毎に、ユーザＩＤと、メールアドレスと、パスワードと、信頼できる認証局から発行された署名等のプロファイル情報（利用者情報）が記録されている。
【００３１】
図３（ｂ）は、認証制御情報の一例を示す図である。認証制御情報２２には、認証方式毎に、認証タイプと、ユーザ特定フィールドとが記録されている。本実施の形態では、認証方式として、ローカル認証、ＬＤＡＰ認証、ＰＫＩ認証を採用しているが、その他の認証方式を採用してもよい。
【００３２】
なお、認証制御部２１Ａ、認証制御情報２２、ローカル認証処理部２３、ＬＤＡＰ認証処理部２４、ＰＫＩ認証処理部２５及びユーザ特定部２７は、例えば、ＣＰＵ等の演算部により実現されている。また、認証制御情報２２及びユーザプロファイルＤＢ２６は、例えば、ＲＯＭ，ＲＡＭ，ハードディスク等の記憶部により実現されている。
【００３３】
（第１の実施の形態の動作）
以下に、本発明の第１の実施の形態に係る認証制御装置２Ａの動作の一例を図４のフローチャートに従って説明する。
【００３４】
まず、端末装置３は、例えば、認証システム１Ａにアクセスする操作を受け付けると、ログイン画面を表示する。そして、端末装置３は、そのログイン画面上でユーザによる認証情報の入力操作を受け付けると、その認証情報をネットワーク１０を介して認証制御装置２Ａに送信する。
【００３５】
次に、認証制御装置２Ａの受付部２０Ａは、端末装置３から送信された認証情報を受け付け、認証情報を認証制御部２１Ａに送る（Ｓ１）。
【００３６】
次に、認証制御部２１Ａは、その受け取った認証情報の認証タイプを判別し、その判別した認証タイプに一致する認証方式があるか否かを認証制御情報２２を参照して判定する（Ｓ１０）。なお、認証制御部２１Ａが認証タイプを判別する方法としては、例えば、認証情報に文字「＠」が含まれている場合には、「メールアドレス＋パスワード」と判別し、認証情報がＨＴＴＰＳ（Hypertext Transfer Protocol over Secure Socket Layer）等の通信プロトコルに準じている場合には、「署名」と判定する。また、ログイン画面等により認証情報の認証タイプがユーザにより指定されている場合には、認証制御部２１Ａは、その指定された認証タイプとして判別すればよい。
【００３７】
次に、認証制御部２１Ａが、一致する認証方式がないと判定した場合には（Ｓ１０：Ｎｏ）、その認証情報に対して認証が失敗した旨を端末装置３に送信する（Ｓ３０）。
【００３８】
一方、認証制御部２１Ａが、一致する認証方式があると判定した場合には（Ｓ１０：Ｙｅｓ）、認証制御部２１Ａは、認証処理部２３〜２５のうちその認証タイプに対応する認証処理部を決定する。ここでは、認証制御部２１Ａにより判別された認証タイプが、「メールアドレス＋パスワード」の場合について説明すると、認証制御部２１Ａは、その認証タイプに対応する認証処理部として、ＬＤＡＰ認証処理部２４に決定する。
【００３９】
次に、認証制御部２１Ａは、ＬＤＡＰ認証処理部２４に対して認証情報を送るとともに、認証処理を実行するように実行指示を送る。その実行指示を受けたＬＤＡＰ認証処理部２４は、ＬＤＡＰ認証サーバ４と連携して認証処理を実行する（Ｓ１１）。
【００４０】
次に、ＬＤＡＰ認証処理部２４は、その認証処理の結果を示す判定結果情報を認証制御部２１Ａに送り、認証制御部２１Ａは、その判定結果情報に基づいて認証が成功したか否かを判定する（Ｓ１２）。
【００４１】
次に、認証制御部２１Ａが、認証が成功したと判定した場合には（Ｓ１２：Ｙｅｓ）、認証制御部２１Ａは、ユーザ特定部２７に対して認証が成功したユーザを特定するように特定指示を送る。その特定指示を受けたユーザ特定部２７は、ユーザプロファイルＤＢ２６において認証タイプに対応するユーザ特定フィールド、すなわち、「メールアドレス」のフィールドに登録されたメールアドレスのうち、認証情報に含まれているメールアドレスに一致するユーザを検索する（Ｓ２０）。
【００４２】
そして、ユーザ特定部２７は、メールアドレスが一致するユーザを、認証が成功したユーザ（以下、認証成功ユーザという）を特定する（Ｓ２１）。認証制御部２１Ａは、その認証情報に対して認証が成功した旨を端末装置３に送信する。また、認証制御部２１Ａは、認証処理を行った認証処理部以外の他の認証処理部、すなわち、ローカル認証処理部２３及びＰＫＩ認証処理部２５に認証成功ユーザに係る情報を送り、ローカル認証処理部２３及びＰＫＩ認証処理部２５においても、その認証成功ユーザに対して認証が成功したものとみなされる。
【００４３】
一方、上記ステップＳ１２において、認証制御部２１Ａが、認証が成功しなかったと判定した場合には（Ｓ１２：Ｎｏ）、ステップＳ１０に戻り、認証タイプが一致する認証方式が他にあるか否かを判定し（Ｓ１０）、その判定結果に応じて以降のステップに進む。
【００４４】
以上のようにして、端末装置３から送信された認証情報の認証タイプに応じて、認証制御装置２Ａにより認証処理が行われるので、異なる認証タイプの認証情報を複数利用するユーザであっても、複数の認証情報をそれぞれ入力する操作が不要となる。また、認証システム１Ａに新たな認証タイプを追加する場合は、認証制御装置２Ａの認証制御情報２２を更新すればよいため、認証システム１Ａを運用管理する負担が軽減される。
【００４５】
［第２の実施の形態］
図５は、本発明の第２の実施の形態に係る認証システムの構成例を示す概略図である。この認証システム１Ｂは、認証制御装置２Ｂと、第１乃至第２の端末装置３Ａ，３Ｂと、第１の実施の形態と同様に構成されたＬＤＡＰ認証サーバ４及びＰＫＩ認証サーバ５と、第１及び第２のサービス提供サーバ６Ａ，６Ｂと、それら認証制御装置２Ｂ、端末装置３Ａ，３Ｂ、ＬＤＡＰ認証サーバ４、ＰＫＩ認証サーバ５及びサービス提供サーバ６Ａ，６Ｂを相互に接続するネットワーク１０とから構成されている。なお、第１乃至第２の端末装置３Ａ，３Ｂは、第１の実施の形態の端末装置３と同様に構成されている。
【００４６】
第１及び第２のサービス提供サーバ６Ａ，６Ｂは、例えば、ウェブサーバ、ファイルサーバ等のサービス（機能）を提供するサーバである。
【００４７】
（認証制御装置）
図６は、本発明の第２の実施の形態に係る認証制御装置の構成例を示すブロック図である。認証制御装置２Ｂは、第１の実施の形態と同様の認証制御情報２２、ローカル認証処理部２３、ＬＤＡＰ認証処理部２４、ＰＫＩ認証処理部２５、ユーザプロファイルＤＢ２６及びユーザ特定部２７の他に、受付部２０Ｂ、認証制御部２１Ｂ、ＳＳＯ（Single Sign On）処理部２８、セッション管理情報２９を備える。なお、認証制御部２１Ｂ及びＳＳＯ処理部２８が、制御部を構成する。
【００４８】
受付部２０Ｂは、認証情報の代わりに認証要求を受け付ける。認証要求は、認証情報を含む場合と含まない場合がある。また、認証要求は、例えば、クッキーに記録した情報としてセッションＩＤを含む場合と含まない場合がある。なお、受付部２０Ｂは、第１及び第２の端末装置３Ａ，３Ｂから送信された認証要求を直接受け付けてもよいし、第１及び第２のサービス提供サーバ６Ａ，６Ｂを経由して受け付けてもよい。
【００４９】
ＳＳＯ処理部２８は、認証処理部２３〜２５のいずれかで認証が成功したとき、その認証が成功した旨を示すセッション情報（認証状態情報）と、そのセッション情報に関連付けたセッションＩＤを生成し、セッション管理情報２９に登録し、セッションＩＤを認証情報の受付元の端末装置に送信する。
【００５０】
また、ＳＳＯ処理部２８は、セッションＩＤが受付部２０Ｂにより受け付けられた認証情報にセッションＩＤが含まれている場合には、そのセッションＩＤに関連付けられたセッション情報が有効（適式）であるか否かを判定し、セッション情報が有効と判定したとき、その旨を示すセッション有効通知を認証制御部２１Ｂに送る。
【００５１】
認証制御部２１Ｂは、ＳＳＯ処理部２８からセッション有効通知を受け取ると、複数の認証処理部２３〜２５において認証が成功したものとみなして、複数の認証処理部２３〜２５を制御する。
【００５２】
図７は、セッション管理情報の一例を示す図である。このセッション管理情報２９は、セッションＩＤをキーにして、複数のセッション情報を管理する。セッション情報としては、例えば、認証が成功したユーザを示すログインユーザと、そのログインユーザの認証成功状態が保持される期間を示す有効期間等が挙げられる。
【００５３】
（第２の実施の形態の動作）
以下に、本発明の第２の実施の形態に係る認証制御装置２Ｂの動作の一例を図８のフローチャートに従って説明する。ここでは、ユーザが第１の端末装置３Ａを操作して、第１のサービス提供サーバ６Ａにアクセスした場合について説明する。
【００５４】
まず、第１の端末装置３Ａは、第１のサービス提供サーバ６Ａが提供するサービスを利用する際に、ユーザの入力操作により受け付けた認証要求を第１のサービス提供サーバ６Ａに送信する。第１のサービス提供サーバ６Ａは、その認証要求を受信すると、その認証要求を認証制御装置２Ｂに転送（リダイレクト）する。
【００５５】
次に、認証制御装置２Ｂの受付部２０Ｂは、その認証要求を受け付けると（Ｓ１）、ＳＳＯ処理部２８は、その認証要求にセッションＩＤが含まれているか否かを判定する（Ｓ２）。
【００５６】
そして、ＳＳＯ処理部２８は、セッションＩＤが含まれていると判定した場合には（Ｓ２：Ｙｅｓ）、そのセッション情報が有効か否かを判定する（Ｓ３）。具体的には、ＳＳＯ処理部２８は、セッション管理情報２９を参照し、そのセッションＩＤに対応するセッション管理情報を取得する。そして、ＳＳＯ処理部２８は、そのセッション管理情報の有効期限が過ぎていない場合には、セッション情報が有効であると判定する。
【００５７】
次に、ＳＳＯ処理部２８が、セッション情報が有効であると判定した場合には（Ｓ３：Ｙｅｓ）、セッション有効通知を認証制御部２１Ｂに送る。そのセッション有効通知を受けた認証制御部２１Ｂは、認証が成功したものとみなし、認証が成功した旨を第１のサービス提供サーバ６Ａに送信する（Ｓ４）。
【００５８】
一方、ＳＳＯ処理部２８が、セッション情報が含まれていないと判定した場合（Ｓ２：Ｎｏ）、又はセッション情報が有効でないと判定した場合には（Ｓ３：Ｎｏ）、認証制御部２１Ｂは、その認証要求に認証情報が含まれているか否かを判定する（Ｓ５）。
【００５９】
そして、認証制御部２１Ｂは、認証情報が含まれていないと判定した場合には（Ｓ５：Ｎｏ）、認証情報の入力要求を第１のサービス提供サーバ６Ａに送信する（Ｓ４０）。
【００６０】
一方、認証制御部２１Ｂが、認証情報が含まれていると判定した場合には（Ｓ５：Ｙｅｓ）、認証制御部２１Ａは、その認証情報の認証タイプを判別し、その判別した認証タイプに一致する認証方式があるか否かを認証制御情報２２を参照して判定する（Ｓ１０）。
【００６１】
そして、認証制御部２１Ｂが、一致する認証方式がないと判定した場合には（Ｓ１０：Ｎｏ）、その認証情報に対して認証が失敗した旨を第１の端末装置３Ａに送信する（Ｓ３０）。そして、ＳＳＯ処理部２８は、例えば、上記ステップＳ３においてセッション情報が有効でないと判定した場合には（Ｓ３：Ｎｏ）、そのセッション情報をセッション管理情報２９からクリアする（Ｓ３１）。
【００６２】
一方、認証制御部２１Ｂが、一致する認証方式があると判定した場合には（Ｓ１０：Ｙｅｓ）、認証処理部２３〜２５のうちその認証方式に該当する認証処理部を決定し、その認証処理部に実行指示を送る。その実行指示を受けた認証処理部２３〜２５は、認証処理を実行する（Ｓ１１）。
【００６３】
次に、認証処理部２３〜２５は、認証処理の結果を示す判定結果情報を認証制御部２１Ｂに送り、認証制御部２１Ｂは、その判定結果情報に基づいて認証が成功したか否かを判定する（Ｓ１２）。
【００６４】
次に、認証制御部２１Ｂが、認証が成功したと判定した場合には（Ｓ１２：Ｙｅｓ）、認証制御部２１Ａは、ユーザ特定部２７に特定指示を送り、その特定指示を受けたユーザ特定部２７は、ユーザプロファイルＤＢ２６においてユーザ特定フィールドを検索し（Ｓ２０）、認証成功ユーザを特定する（Ｓ２１）。
【００６５】
次に、ＳＳＯ処理部２８は、セッション管理情報２９に認証成功ユーザに関するセッション情報を記録し、そのセッションＩＤを第１の端末装置３Ａに送信する（Ｓ２２）。そして、第１の端末装置３Ａは、そのセッションＩＤ受信すると、自己の記憶部に記憶する。
【００６６】
一方、上記ステップＳ１２において、認証制御部２１Ｂが、認証が成功しなかったと判定した場合には（Ｓ１２：Ｎｏ）、ステップＳ１０に戻り、認証タイプが一致する認証方式が他にあるか否かを判定し（Ｓ１０）、その判定結果に応じて以降のステップに進む。
【００６７】
その後、第１の端末装置３Ａが、第１及び第２のサービス提供サーバ６Ａ，６Ｂのいずれかを利用すべく認証要求を送信する場合には、第１の端末装置３Ａの記憶部に記憶されたセッションＩＤを認証要求に付加して送信する。そして、認証制御装置２ＢのＳＳＯ処理部２８が、そのセッションＩＤに関連付けられたセッション情報が有効と判定した場合には、認証が成功したものとみなされるので、ユーザは改めて認証情報を入力する操作が不要となる。
【００６８】
（他の実施の形態）
なお、本発明は、上記各実施の形態に限定されず、本発明の趣旨を逸脱しない範囲内で種々な変形が可能である。例えば、上記各実施の形態における認証制御装置の受付部、認証制御部、認証制御部、認証制御情報、ローカル認証処理部、ＬＤＡＰ認証処理部、ＰＫＩ認証処理部、ユーザ特定部、ＳＳＯ処理部等は、ＣＰＵ等の演算部と認証制御プログラムによって実現してもよいし、それらの一部または全部を特定用途向け集積回路（ＡＳＩＣ：Application Specific IＣ）等のハードウェアによって実現してもよい。
【００６９】
また、上記各実施の形態で使用されるプログラムは、ＣＤ−ＲＯＭ等の記録媒体から装置内の記憶部に読み込んでもよく、インターネット等のネットワークに接続されているサーバ等から装置内の記憶部にダウンロードしてもよい。
【００７０】
また、上記各実施の形態において、認証システムが有する機能やデータ等は、認証システム全体として備えられていればよく、例えば、認証制御情報、ユーザプロファイルＤＢは、別の記憶装置に記憶されていてもよい。
【００７１】
また、端末装置が認証情報を受け付ける方法は、キー入力の他に、例えば、ユーザが所有するＩＤカード等から非接触カードリーダ等により認証情報を読み取ってもよいし、声紋、指紋、静脈及び顔画像等の各ユーザの身体的な特徴情報を認証情報として受け付けてもよい。
【図面の簡単な説明】
【００７２】
【図１】図１は、本発明の第１の実施の形態に係る認証システムの構成例を示す概略図である。
【図２】図２は、本発明の第１の実施の形態に係る認証制御装置の構成例を示すブロック図である。
【図３】図３（ａ）は、ユーザプロファイルＤＢの一例を示す図である。図３（ｂ）は、認証制御情報の一例を示す図である。
【図４】図４は、本発明の第１の実施の形態に係る認証制御装置の動作の一例を示すフローチャートである。
【図５】図５は、本発明の第２の実施の形態に係る認証システムの構成例を示す概略図である。
【図６】図６は、本発明の第２の実施の形態に係る認証制御装置の構成例を示すブロック図である。
【図７】図７は、セッション管理情報の一例を示す図である。
【図８】図８は、本発明の第２の実施の形態に係る認証制御装置の動作の一例を示すフローチャートである。
【符号の説明】
【００７３】
１Ａ，１Ｂ…認証システム、２Ａ，２Ｂ…認証制御装置、３，３Ａ，３Ｂ…端末装置、４…ＬＤＡＰ認証サーバ、５…ＰＫＩ認証サーバ、６Ａ，６Ｂ…サービス提供サーバ、１０…ネットワーク、２０Ａ，２０Ｂ…受付部、２１Ａ，２１Ｂ…認証制御部、２２…認証制御情報、２３…ローカル認証処理部、２４…ＬＤＡＰ認証処理部、２５…ＰＫＩ認証処理部、２６…ユーザプロファイルＤＢ、２７…ユーザ特定部、２８…ＳＳＯ処理部、２９…セッション管理情報、２３０…ローカル認証情報
【特許請求の範囲】
【請求項１】
異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部と、
認証情報を受け付ける受付部と、
前記受付部により受け付けられた前記認証情報の種別を判別し、前記複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御部とを備えた認証制御装置。
【請求項２】
さらに、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証情報を基にして、認証情報を含む利用者情報が利用者単位で管理された管理情報を検索し、前記認証情報の受付元の利用者を特定する利用者特定部を備えた請求項１に記載の認証制御装置。
【請求項３】
前記制御部は、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証が成功した旨を示す認証状態情報を前記認証情報の受付元に送信する請求項１に記載の認証制御装置。
【請求項４】
前記受付部は、前記認証状態情報を受け付け、
前記制御部は、前記受付部により受け付けられた前記認証状態情報が適式か否かを判定し、前記認証状態情報が適式であると判定したとき、前記複数の認証処理部において認証が成功したものとみなして、前記複数の認証処理部を制御する請求項３に記載の認証制御装置。
【請求項５】
認証情報を受け付ける受付ステップと、
前記受付ステップにより受け付けられた前記認証情報の種別を判別し、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御ステップとをコンピュータに実行させる認証制御プログラム。
【請求項１】
異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部と、
認証情報を受け付ける受付部と、
前記受付部により受け付けられた前記認証情報の種別を判別し、前記複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御部とを備えた認証制御装置。
【請求項２】
さらに、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証情報を基にして、認証情報を含む利用者情報が利用者単位で管理された管理情報を検索し、前記認証情報の受付元の利用者を特定する利用者特定部を備えた請求項１に記載の認証制御装置。
【請求項３】
前記制御部は、前記種別に対応する前記認証処理部による認証処理の結果認証が成功したとき、前記認証が成功した旨を示す認証状態情報を前記認証情報の受付元に送信する請求項１に記載の認証制御装置。
【請求項４】
前記受付部は、前記認証状態情報を受け付け、
前記制御部は、前記受付部により受け付けられた前記認証状態情報が適式か否かを判定し、前記認証状態情報が適式であると判定したとき、前記複数の認証処理部において認証が成功したものとみなして、前記複数の認証処理部を制御する請求項３に記載の認証制御装置。
【請求項５】
認証情報を受け付ける受付ステップと、
前記受付ステップにより受け付けられた前記認証情報の種別を判別し、異なる種別の認証情報に基づいて認証処理を行う複数の認証処理部のうち判別した前記種別に対応する前記認証処理部に前記認証処理を行わせ、その結果認証が成功したとき、前記複数の認証処理部のうち当該認証処理部以外の他の認証処理部においても認証が成功したものとみなして、前記他の認証処理部を制御する制御ステップとをコンピュータに実行させる認証制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２０１０−７３００１（Ｐ２０１０−７３００１Ａ）
【公開日】平成２２年４月２日（２０１０．４．２）
【国際特許分類】
【出願番号】特願２００８−２４０８４１（Ｐ２００８−２４０８４１）
【出願日】平成２０年９月１９日（２００８．９．１９）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２２年４月２日（２０１０．４．２）
【国際特許分類】
【出願日】平成２０年９月１９日（２００８．９．１９）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]