認証委譲システム及び認証委譲方法並びに端末装置及び認証サーバ
【課題】複数の認証サーバによる異なる複数の認証プロトコルが用いられ、また、クライアント，クライアントのユーザ，あるいはアプリケーションによって認証条件が異なる環境下においても、サービスの利用に必要な認証が柔軟に対応でき、また、迅速に認証処理をすることができる認証システム及び認証方法を提供する。
【解決手段】要求受付部２０２は、これまでに認証サーバにおける認証が行われているか否かを判定する。この判定で可の場合、エージェント制御部２０４は、要求受付部２０２からの要求を受け、対応するエージェントを起動する。エージェント制御部２０４により起動されたエージェントは、アクセス管理情報を基に、あらかじめ設定された認証処理を行う。
【解決手段】要求受付部２０２は、これまでに認証サーバにおける認証が行われているか否かを判定する。この判定で可の場合、エージェント制御部２０４は、要求受付部２０２からの要求を受け、対応するエージェントを起動する。エージェント制御部２０４により起動されたエージェントは、アクセス管理情報を基に、あらかじめ設定された認証処理を行う。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証委譲システム及び認証委譲方法に関し、特にダウンロードしたアプリケーションに適用することができる認証委譲システム及び認証委譲方法並びに端末装置及び認証サーバに関する。
【背景技術】
【０００２】
従来より、サーバ・クライアント型の認証方式が使用されている。ユーザあるいはアプリケーションが特定の機能を使用する際に、クライアントはネットワーク上のサーバ(以下、認証サーバ)に伺いをたて、決められた制限内で機能を使用するという方式である。しかしながら、この方式では、特定の機能を使用するたびに認証サーバに接続しなければならず、このための時間及び料金が必要となり、また、ネットワークに接続していない場合は機能を使用することができないという問題点があった。
【０００３】
このような従来の問題を解決するための技術（方法）が提案されている（特許文献１参照）。この方法では、認証情報をクライアント(クライアントマシン)に保存しておき、認証処理時にネットワークに接続できない場合は、クライアント内で認証処理を行うことで、上述した問題を解消している。
【０００４】
図１２は、上述した特許文献１の方法を実現するためのクライアントマシンにおけるアプリケーション管理クライアント４１の構成を示す構成図である。この動作について説明すると、クライアント内で認証処理を行う際、まず、クライアント側認証部５１が、ログインフォーム５９を表示デバイス４２に表示し、クライアントのユーザにユーザ認証に必要な情報の入力を求める。この結果、ユーザの操作により所定の情報が入力されると、クライアント側認証部５１が、ログインフォーム５９に入力デバイス４３を通じてクライアントのユーザが入力した入力情報と、認証情報５２を比較してユーザ認証を行う。
【０００５】
また、クライアント端末からのサービス認証要求を受け付け認証処理を経てエージェント認証証明書を発行し、クライアント端末からのサービス利用要求を受け付け、当該サービス利用要求に添付された認証証明書が正当なものであれば、クライアント端末又はユーザが指定した第一サーバの第一サーバ認証証明書を内部保持する認証情報を用いて第一サーバＳから取得するか、又は、前に取得済みであれば以前取得した第一サーバ認証証明書を必要に応じて取り出し、当該取得した又は当該取り出したサーバ認証証明書を提示してサービス利用要求を第一サーバに行い、第一サーバからの送信結果をクライアント端末に返却する技術も提案されている（特許文献２参照）。この技術によれば、クライアント端末による複数のサーバへの処理依頼時に、二回以上の認証作業が不要となり、クライアント端末自体が、複数サーバへアクセスする為に必要な情報を保持する必要が無くなる。
【０００６】
【特許文献１】特開２００５−１４１４２７号公報
【特許文献２】特開２００２−３２４０４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来の技術においては、次に示すような問題があった。まず、第１の問題点は、サービスを利用するための認証処理が固定であり、柔軟性がないということである。この理由は、従来の技術では、ユーザの操作により入力されるＩＤとパスワードによる認証処理が前提となっているためである（例えば特許文献１、段落００４２又は０１５９など参照)。
【０００８】
一般的に、認証処理は認証サーバによって認証プロトコルが異なるため、クライアントは複数の認証サーバに対応する必要があり、上述のような認証処理が前提となっていると、複数の認証サーバや認証処理に対応することが困難である。例えば、ある認証サーバでは、ＩＤとパスワード以外に名前などの情報を求める場合があり、他の認証サーバでは、ＩＤとパスワードは必要ないが機能を使用許可する回数や期間のみを設定する場合もある。また、クライアント，クライアントのユーザ，あるいはアプリケーションごとにより、認証処理や認証の条件が異なるため、これらの諸条件も考慮したシステムにする必要がある。
【０００９】
次に、第２の問題点は、認証のための時間がかかるということである。この理由は、従来の技術では、認証時にネットワークに接続できない場合に、クライアント内での認証処理が行われるためである(特許文献１、段落０１５７など参照)。このため、ネットワークに接続できないと判断するまでの時間を要する。また、従来の技術（特許文献２）では、サービスの利用のためには利用の都度サーバに接続することになり、サービスを利用するために時間を要する。
【００１０】
本発明は、以上のような問題点を解消するためになされたものであり、その目的は、複数の認証サーバによる異なる複数の認証プロトコルが用いられ、また、クライアント，クライアントのユーザ，あるいはアプリケーションによって認証条件が異なる環境下においても、サービスの利用に必要な認証が柔軟に対応でき、また、迅速に認証処理をすることができる認証システム及び認証方法を提供することにある。
【課題を解決するための手段】
【００１１】
本発明に係る認証委譲システムは、ネットワークを介して接続された端末装置，認証サーバ，及びアプリケーション配信サーバを備え、端末装置は、アプリケーション配信サーバよりアプリケーション及びアプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、アプリケーションの実行動作を制御するアプリケーション制御部と、認証サーバより受け付けた、アプリケーションが実行されるときに要求されるサービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、認証サーバより受け付けたエージェントを格納するとともに、認証判定手段による認証がすでにされていることの判定で、アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段とを少なくとも備え、認証サーバは、端末装置からのサービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、端末装置において認証を行うエージェントを生成するエージェント生成手段と、エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を端末装置に送出するサーバ通信制御手段とを少なくとも備え、エージェント生成手段は、端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとにエージェントを生成し、端末装置において、エージェントは、端末装置記憶部に記憶されている対応するアクセス管理情報をもとに認証を行うようにしたものである。
【００１２】
上記認証委譲システムにおいて、端末装置は、認証判定手段による、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、認証サーバに対してサービスに対する認証の要求を行う認証要求手段を備える。また、エージェントは、対応するアクセス管理情報が備える使用制限情報をもとに、認証サーバに対して認証を要求し、この要求の結果、認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する。この場合、認証サーバは、エージェントからの認証の要求により、エージェントに対応する新たなアクセス管理情報を端末装置に送出する。
【００１３】
また、本発明に係る認証委譲方法は、ネットワークを介して接続されたアプリケーション配信サーバよりアプリケーション及びアプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードし、ネットワークを介して接続された認証サーバより受け付けた、アプリケーションが実行されるときに要求されるサービスの認証を行うエージェントに対応するアクセス管理情報を記憶し、アプリケーション配信サーバよりダウンロードしたアプリケーションを実行したときに要求されるサービスの認証が既にされていることの判定で、実行されたアプリケーションが要求するサービスの認証を行うエージェントを起動し、起動したエージェントに対応するアクセス管理情報をもとにしたエージェントの動作により認証を行うようにしたものである。
【００１４】
上記認証委譲方法において、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、認証サーバに対してサービスに対する認証の要求を行う。また、起動したエージェントに対応するアクセス管理情報が備える使用制限情報をもとにしたエージェントの動作により、認証サーバに対して認証を要求し、この要求の結果、認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新するようにしてもよい。
【００１５】
また、本発明に係る端末装置は、ネットワークを介して接続するアプリケーション配信サーバよりアプリケーション及びアプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、アプリケーションの実行動作を制御するアプリケーション制御部と、ネットワークを介して接続された認証サーバより受け付けた、アプリケーションが実行されるときに要求されるサービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、認証サーバより受け付けたエージェントを格納するとともに、認証判定手段による認証がすでにされていることの判定で、アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段とを少なくとも備え、エージェントは、予め備えられているアクセス管理情報をもとに生成されたものであり、エージェントは、端末装置記憶部に記憶されている対応するアクセス管理情報をもとに認証を行うものである。
【００１６】
上記端末装置において、認証判定手段による、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、認証サーバに対してサービスに対する認証の要求を行う認証要求手段を備える。また、エージェントは、対応するアクセス管理情報が備える使用制限情報をもとに、認証サーバに対して認証を要求し、この要求の結果、認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する。
【００１７】
また、本発明に係る認証サーバは、ネットワークを介して接続された端末装置からのサービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、端末装置において認証を行うエージェントを生成するエージェント生成手段と、エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を端末装置に送出するサーバ通信制御手段とを少なくとも備え、エージェント生成手段は、端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとにエージェントを生成するようにしたものである。
【発明の効果】
【００１８】
以上説明したように、本発明によれば、対応するアクセス管理情報をもとにしたエージェントの動作により、アプリケーションが実行されるときに要求されるサービスの認証を行うようにし、この認証が既に行われていることが判定された場合は、端末装置が備えるエージェントを起動させることで認証を行うようにしたので、複数の認証サーバによる異なる複数の認証プロトコルが用いられ、また、クライアント，クライアントのユーザ，あるいはアプリケーションによって認証条件が異なる環境下においても、サービスの利用に必要な認証が柔軟に対応でき、また、迅速に認証処理をすることができるようになるという優れた効果が得られる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の実施の形態について図を参照して説明する。図１は、本発明の実施の形態における認証委譲システムの構成例を示す構成図であり、本システムは、複数の認証サーバ１００と、携帯端末（端末装置）２００と、アプリケーションサーバ（アプリケーション配信サーバ）３００とから構成される。例えば、各認証サーバ１００は、各々異なる認証プロトコルが用いられている。これらは、例えばインターネットなどのネットワークにより接続されている。
【００２０】
認証サーバ１００は、通信制御部１０１と、記憶装置（サーバ記憶部）１０２と、アクセス制御部１０３と、エージェント生成部１０４とから構成される。通信制御部１０１は、携帯端末２００からの要求を受け付ける機能を備える。また、エージェント生成部１０４が生成したエージェント、及びアクセス制御部１０３が取得したアクセス管理情報を携帯端末２００へ送信する機能を備える。記憶装置１０２は、携帯端末２００の情報及びサービスの情報を含む管理テーブルを格納する。アクセス制御部１０３は、記憶装置１０２が格納している管理テーブルを参照し、携帯端末２００から送信されてくる要求に対応したアクセス管理情報を取得する機能を備える。エージェント生成部１０４は、アクセス制御部１０３が取得したアクセス管理情報を基に、所定の処理を実行するプログラム及びデータで構成されるエージェントを生成する機能を備える。従って、エージェントは、アクセス制御情報もとに、認証処理の実行処理を行う。
【００２１】
携帯端末２００は、通信制御部２０１と、要求受付部２０２と、アプリケーション制御部２０３と、エージェント制御部２０４と、記憶装置（端末記憶部）２０５と、サービス群２０６とから構成される。通信制御部２０１は、要求受付部２０２からの情報を基に認証サーバ１００と通信する機能を備える。また、認証サーバ１００から送信されてくるエージェント及びアクセス管理情報を受信する機能を備える。さらに、アプリケーションサーバ３００からアプリケーション及び属性ファイルをダウンロードする機能を備える。要求受付部２０２は、アプリケーション制御部２０３からの要求を受け、記憶装置２０５内のアクセス要求情報を基に、受け付けた要求を通信制御部２０１又はエージェント制御部２０４へ渡す機能を備える。また、記憶装置２０５内のアクセス要求情報を作成・更新する機能を備える。
【００２２】
アプリケーション制御部２０３は、アプリケーションの起動及び終了などのライフサイクル（実行動作）を管理する機能を備える。また、アプリケーションからのサービス要求を受けて、これを要求受付部２０２へと渡す機能を備える。さらに、サービス群２０６を管理し、アプリケーションにサービスを提供する機能を備える。エージェント制御部２０４は、認証サーバ１００から送信されて受信されたエージェントを格納し、また、要求受付部２０２からの要求を受け、対応するエージェントを起動する機能を備える。
【００２３】
記憶装置２０５は、認証サーバ１００から送信されてくるアクセス管理情報、アプリケーションサーバ３００からダウンロードしたアプリケーション及び属性ファイル、さらに要求受付部２０２によって作成されるアクセス要求情報を格納する装置である。また、サービス群２０６は、ファイルシステムやストレージなどのハードウェアリソース又はイメージファイルや動画ファイルなどのデータを含むサービスを管理する。
【００２４】
次に、図１及び図２、図３、図４のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
【００２５】
はじめに、携帯端末２００内におけるサービス要求処理について、図２のフローチャートを用いて説明する。まず、ユーザによる携帯端末２００の操作で起動したアプリケーションは、実行時にファイルシステムなどのサービスへのアクセスを要求する(ステップＳ２１)。この要求の際、アプリケーション制御部２０３は、要求元のアプリケーション名と要求するサービス名を要求受付部２０２へと渡す。ここで、アプリケーション名及びサービス名は、名前でなくてもよく、アプリケーション及びサービスが特定できる情報であればよい。
【００２６】
このようにして要求元のアプリケーション名と要求するサービス名を受け付けた要求受付部２０２は、アプリケーション制御部２０３から渡された上記情報をキーとして記憶装置２０５に記憶されている情報の中でアクセス要求情報を検索し、これまでに認証サーバ１００における認証が行われているか否かを判定する(ステップＳ２２)。本例では、要求受け付け部２０２が、認証判定手段となる。ここで、認証が行われていない場合、通信制御部２０１を通してアプリケーションに対応した認証の認証サーバ１００への要求処理を行う(ステップＳ２３)。
【００２７】
通信制御部２０１は、端末ＩＤを取得し、要求受付部２０２から渡されたサービス名とともに認証サーバ１００へ送信する。認証サーバ１００への接続は、予め携帯端末２００内に格納（記憶）されているＵＲＬなどにより行う方法や、アプリケーションの属性に記載されている（含まれている）認証サーバ１００のＵＲＬなどにより行う方法が考えられるがここでは特に規定しない。アプリケーションに対応付けられた認証サーバ１００にアクセスできればよい。この認証処理に関しては後述する。
【００２８】
一方、ステップＳ２２においてすでに認証が行われており、１回目の要求ではない場合、ステップＳ２４に移行し、携帯端末２００における認証処理に遷移する。ステップＳ２４において、要求受付部２０２は、アプリケーション制御部２０３から渡されたアプリケーション名を基に、アプリケーションに対応したエージェントの起動をエージェント制御部２０４に要求する。この結果、エージェント制御部２０４は、対応するエージェントを起動する。エージェントは、認証サーバ１００によって生成されたプログラム又はデータである。次に、起動されたエージェントは、アクセス管理情報を基に、予め設定された認証処理を行う(ステップＳ２５)。この認証処理は、ＩＤ及びパスワードの入力を促すダイアログを、ユーザに視認可能に表示して認証を行う処理や、期間・回数制限などによりアクセスを制御する処理などが考えられるが、ここでは特に規定しない。
【００２９】
上述したエージェントによる認証処理が完了し、この認証処理の結果により認証が確認された場合は(ステップＳ２６)、アプリケーションはサービスを実行する(ステップＳ２７)。これに対し、ステップＳ２６の認証で、認証がとれない場合は、サービス要求を中断する(ステップＳ２８)。
【００３０】
次に、図２のＳ２３以降の認証サーバ１００における認証処理について、図３のフローチャートを用いて説明する。通信制御部１０１は、携帯端末２００からのサービス要求を受け、送信されてきた情報(端末ＩＤ及びサービス名)をアクセス制御部１０３へと渡す(ステップＳ３１)。ここで、認証サーバ１００と携帯端末２００間の通信制御部１０１と２０１による通信は、ＨＴＴＰ（Hyper Text Transport Protocol）通信や電子メールなどの既存の通信手段を使用してもよいし、独自の通信手段を設けてこれを使用してもよい。
【００３１】
次に、アクセス制御部１０３は、端末ＩＤ及びサービス名をキーとして記憶装置１０２内の管理テーブルを参照し、要求の可否を判定する(ステップＳ３２)。要求がＮＧである場合、その旨を通信制御部１０１から携帯端末２００へ通知する(ステップＳ３３)。一方、要求がＯＫである場合、管理テーブルからアクセス管理情報を取得する(ステップＳ３４)。このアクセス管理情報には、アプリケーションが、アプリケションにより提供されるサービスにアクセス可能な回数や期間などが設定されている。
【００３２】
次に、エージェント生成部１０４は、上述したアクセス管理情報及び端末ＩＤを基に、所定の処理を行うためのエージェントを生成する(ステップＳ３５)。本処理によって生成されるエージェントは、携帯端末２００内で認証を行うものであり、認証サーバ１００が認証処理を委譲するための役割を担う。認証サーバ１００は、例えば認証のためのパスワードを入力させるようなプログラムなど、自身が行う認証処理に対応した処理をエージェントに埋め込む。これらの処理により、取得したアクセス管理情報、及び生成したエージェントは、通信制御部１０１を通して携帯端末２００へと送信される(ステップＳ３６)。
【００３３】
次に、携帯端末２００のエージェント制御部２０４における記憶装置２０５内のアクセス管理情報の更新処理について、図４のフローチャートを用いて説明する。エージェント制御部２０４内のエージェントは、自身に対応するアクセス管理情報を監視している(ステップＳ４１)。監視するタイミングや周期は、適宜設定すればよく、ここでは特に規定しない。例えば、認証サーバ１００が、エージェント生成時に設定したタイミングや周期でもよく、アプリケーションごとに決められたものでもよい。また、携帯端末ごとに決められたタイミングや周期でもよい。
【００３４】
エージェントは、記憶装置２０５に記憶（格納）されているアクセス管理情報が備える回数や期間（期限）など、アクセス管理情報が備える使用制限情報をもとに現在格納されているアクセス管理情報が有効であるか否かを監視し、アクセス管理情報の更新が必要かを判定する(ステップＳ４２)。更新が必要な場合、対応する認証サーバ１００へ認証要求を行う(ステップＳ４３)。アクセス管理情報には、対応する認証サーバの情報（ＵＲＬ）などが備えられている。ここで、携帯端末２００がネットワークに繋がれていないなどの理由で認証サーバ１００に接続できない場合は、次回の監視タイミングにて再度接続を試みる。又は、携帯端末２００がネットワークに接続したタイミングで接続を試みてもよい。
【００３５】
上記の認証処理が必要である場合、要求元の端末ＩＤ及びサービス名、さらに要求元エージェント名を認証サーバ１００へ送信し、認証処理を依頼する(ステップＳ４４)。この認証処理は、アクセス管理情報の更新を含む再認証の処理になる。ここで、エージェント名は、名前でなくてもよい。すなわち、エージェントが特定できる情報であればよい。
【００３６】
次に、依頼を受けた認証サーバ１００は、認証処理を行う(ステップＳ４５)。認証サーバ１００は、送信されてきた情報の中にエージェント名が含まれている場合、エージェントの生成は行わず、図３のステップＳ３２及びステップＳ３４で示した認証処理及びアクセス管理情報の取得のみを行う。ステップＳ４６における認証がＯＫである場合、携帯端末２００にアクセス管理情報を送信する。また、エージェント制御部２０４内のエージェントは、記憶装置２０５内のアクセス管理情報を更新する(ステップＳ４７)。
【００３７】
ステップＳ４６における認証がＮＧである場合、携帯端末２００にその旨を通知する。また、エージェント制御部２０４内のエージェントは、記憶装置２０５内のアクセス要求情報内のエントリを削除する(ステップＳ４８)。これにより、次回のサービス要求時、図２のステップＳ２２で示した処理において認証されていないと判定され、再び認証サーバ１００へ認証処理を依頼することとなる。以上に説明したように、エージェントは、対応するアクセス管理情報をもとに認証動作を行う。
【００３８】
なお、認証サーバ１００及び端末装置は、例えば、ＣＰＵと主記憶装置と外部記憶装置とネットワーク接続装置となどを備えたコンピュータ機器であり、主記憶装置に展開されたプログラムによりＣＰＵが動作することで、上述した各機能が実現される。また、各機能は、複数のコンピュータ機器に分散させるようにしてもよい。また、端末装置は、これらと同等の機能を備えた携帯電話であっても良い。
【００３９】
次に、上述した本実施の形態における認証委譲システム及び認証委譲方法の効果について説明する。
【００４０】
本システム及び方法によると、アプリケーションと認証サーバ１００、及びエージェントが紐付けされている。このため、認証サーバ１００は、自身に対応した認証処理を行うエージェントを作成し、携帯端末２００において動作させることが可能である。この結果、複数の異なる認証サーバ１００による認証処理の違い(認証プロトコルなど)をエージェントによって吸収することが可能である。従って、本システム及び方法によれば、異なる認証プロトコルの複数の認証サーバが用いられている環境など、様々な条件下においても柔軟に対応できるようになる。
【００４１】
また、本実施の形態における認証委譲システム及び認証委譲方法によれば、認証サーバ１００が行う認証処理は、エージェントに行わせる(委譲する)ようにしているので、認証処理のたびに認証サーバ１００に接続する必要がなくなる。この結果、本実施の形態におけるシステム及び方法によれば、より迅速な認証処理が実現可能となり、認証のための時間や料金が削減できるようになる。
【００４２】
ところで、上述した実施の形態においては、図３のステップＳ３１において、端末ＩＤ及びサービス名を送信しているがこれに限るものではない。例えば、ＳＩＭ(Subscriber Identification Module)のＩＤを送信してもよい。この場合、認証サーバ１００側では、「契約者によるサービス可否」という認証が可能となる。このように、認証サーバ１００では、携帯端末２００から送信されてくる情報が何であっても、送信された情報を基に、サービスへのアクセス可否を判断するための条件を制御又は管理することが可能である。
【００４３】
さらに、上述では、図４のステップＳ４８において、認証処理がＮＧとなった際はアクセス要求情報のエントリのみを削除することとした。この場合、認証処理がＮＧとなったにもかかわらず、エージェントがアクセス管理情報を参照するたびに再び認証処理を行ってしまう。このため、認証処理にＮＧとなった場合は、アクセス要求情報のエントリの削除のほか、エージェント及びエージェントに対応するアクセス管理情報を削除するようにしてもよい。また、上述では、アプリケーションを配信するアプリケーションサーバは１つであったが、複数のアプリケーションサーバが存在してもよい。さらに、上述した実施の形態では、クライアントとして携帯端末を例としたが、パーソナルコンピュータや家電などの通信機能を備えた機器（固定端末）でもよい。
【００４４】
さらにまた、上述では、データの暗号化を行うようにはしていないが、セキュリティの観点上、送受信するデータを暗号化してもよい。例えば、アプリケーションサーバ３００から配信されるアプリケーション及び属性ファイル、携帯端末２００から認証サーバ１００へ送信される端末ＩＤ及びサービス名、認証サーバ１００から携帯端末２００に送信されるアクセス管理情報及びエージェント、携帯端末２００内のアクセス管理情報、アクセス要求情報は、暗号化され、閲覧や改ざんができない仕組みになっていてもよい。
【実施例】
【００４５】
次に、具体的な実施例を用いてより詳細に説明する。まず、図１を用いて、アプリケーションのダウンロード処理について説明する。携帯端末２００のユーザは、携帯端末２００の図示しない入力装置を操作することで、所望とするアプリケーションのダウンロードを選択する指示入力を行う。この操作指示により、携帯端末２００の通信制御部２０１は、指定されたアプリケーション及びこの属性ファイルをアプリケーションサーバ３００よりダウンロードし、記憶装置２０５内に格納する。上記属性ファイルには、アプリケーション名のほか、当該アプリケーションが使用するサービス及び認証サーバ１００のＵＲＬなどが含まれている。本実施例では、図５で示す属性が含まれているものとする。なお、その他の属性が含まれていてもよいがここでは特に規定しない。
【００４６】
次に、アプリケーション実行時のサービス要求処理について説明する。携帯端末２００のユーザは、図示しない入力装置を操作することで所望とするアプリケーションの選択を指示する。ここでは、叙述したことによってダウンロードしたアプリケーション(アプリＡ)を選択することとする。この指示入力により、アプリケーション制御部２０３は、記憶装置２０５内のアプリＡを起動する。
【００４７】
次に、起動したアプリＡは、実行時にサービスを要求する。例として、アプリＡを構成しているプログラム内で「getSDCardInfo()」などの関数を呼び出すことで、自身の属性ファイルで示されているＳＤカードへのアクセスを試みる。この際、アプリケーション制御部２０３が上記関数の発行を検知し、アプリＡがＳＤカードへアクセスしてよいかの認証が行われる。
【００４８】
この後、要求受付部２０２は、図２のステップＳ２２で示したようにアプリケーション制御部２０３から渡されたアプリケーション名及びサービス名をキーとして記憶装置２０５内のアクセス要求情報を検索する。これを図６に示す。本例では、アクセス要求情報内に対応するエントリが存在しないため、これまでに認証処理を行っていないと判定し、認証サーバ１００への要求処理へと遷移する。ここでは、認証サーバ１００への要求時、端末ＩＤ及びサービス名を送信することとする。通信制御部１０１は、要求受付部１０２から渡された端末ＩＤ及びサービス名を認証サーバ１００へと送信する。接続先は、前述した記憶装置２０５内の属性ファイルの認証サーバ１００のＵＲＬを参照する。
【００４９】
次に、認証サーバ１００における認証処理について説明する。図３のステップＳ３１に示したように、通信制御部１０１は、携帯端末２００から送信されてきた情報をアクセス制御部１０３へと渡す。アクセス制御部１０３は、渡された情報をキーとして記憶装置１０２内の管理テーブルを参照し、要求の可否を判定する。この動作について図７を用いて説明する。図７に示すように、アクセス制御部１０３は、端末ＩＤ「０００Ａ」に対応するテーブルである「１」を参照することになる。
【００５０】
このＩＤ「１」のテーブルについて、一例を示すと、図８に示すように、「ＳＤカード」へのアクセスの条件として、「パスワード入力」及び「アクセス回数制限」が設定されている。このため、アプリＡは上記条件の範囲内でＳＤカードへのアクセスが可能であることがわかる。アクセス制御部１０３は、管理テーブルより、「ＳＤカード」に関するエントリを切り出す。切り出した情報は図３のステップＳ３４で示したアクセス管理情報である。アクセス制御部１０３は、上記テーブル内にサービス名に対応したエントリが存在しない場合は、要求はＮＧとなり、この旨を携帯端末２００へと通知する。通知手段は、ここでは特に規定しない。
【００５１】
次に、エージェント生成部１０４によるエージェント生成処理について説明する。エージェント生成部１０４は、携帯端末２００の端末ＩＤ及びアクセス制御部１０３が取得したアクセス管理情報を基にエージェントを生成する。エージェント生成部１０４は、端末ＩＤよりこれまでにエージェントを生成したかの判定を行う。生成している場合は、今回のアクセス管理情報に対応した処理を行う部分のみを生成する(以下、これを差分エージェントという)。 本例では、これまでエージェントを生成していないこととする。
【００５２】
上記アクセス管理情報を参照すると、エージェントは「パスワード照会」及び「アクセス回数管理」が少なくとも含まれることになる。「パスワード照会」に関しては、（１）パスワード入力のためのダイアログを表示し、（２）入力されたパスワードが正しいかを検証する処理、を少なくとも含む。また、「アクセス回数管理」に関しては、（１）アクセス回数を管理する処理、（２）アクセス回数が制限を超えた場合にエラーを通知する処理、（３）残回数を通知する処理、などを含む。これらのことによって取得したアクセス管理情報、及び生成したエージェントは、携帯端末２００へと送信される。取得したアクセス情報及び生成されたエージェントの一例を、図９に示す。
【００５３】
次に携帯端末２００における処理（動作）について説明する。通信制御部２０１は、図９に示した情報を受信し、アクセス管理情報を記憶装置２０５に格納する。また、エージェントをエージェント制御部２０４に格納する。ここで、いずれかの認証サーバ１００より送信されてきたエージェントが差分エージェントである場合、アクセス管理情報を更新し、対応するエージェントに差分処理の追加を行う。
【００５４】
通信制御部２０１は、上記受信した情報内に情報が含まれている場合は、アプリＡからの要求が許可されたと判定し、この旨を要求受付部２０２へと通知する。通知を受けた要求受付部２０２は、図１０に示すように、アクセス要求情報を更新する。
要求受付部２０２は、許可の通知を受け、アプリケーションマネージャ２０３にその旨を通知する。アプリケーションマネージャは、アプリＡにＳＤカードへのアクセスを許可する。すなわち、アプリＡが発行した関数である「getSDCardInfo()」に対し、成功の戻り値を返す。アプリＡは、ＳＤカードへアクセスする。
以上がサービスへの初回アクセス時のサービス要求処理である。
【００５５】
次に、上記以降(２回目以降)のサービス要求処理について説明する。
上記認証処理後に再びアプリＡを起動し、アプリＡは関数「getSDCardInfo()」を呼び出したものとする。前述したように、アプリケーション制御部２０３が上記関数の発行を検知し、要求受付部２０２がアプリケーション名及びサービス名をキーとして記憶装置２０５内のアクセス要求情報を検索する。ここで、図１０に示すようにアクセス要求情報内には該当するエントリが存在するため、認証サーバ１００への接続は行わず、携帯端末２００内での認証処理に遷移する。
【００５６】
要求受付部２０２は、アプリケーション制御部２０３から渡されたアプリケーション名及びサービス名を基に、アプリケーションに対応したエージェントを起動する。これを図１１に示す。要求を受けたエージェント制御部２０４内のエージェントマネージャは対応テーブルを参照し、エージェントを起動する。本例では、アプリＡに対応するエージェントである「Agent01.prog」が起動する。
【００５７】
起動したエージェントは、エージェントマネージャより渡されたサービス名を基に、所定の認証処理を行う。本例では、前述したように、「パスワード照会」及び「アクセス回数管理」を行うこととする。「パスワード照会」では、ダイアログを表示し、図示しない携帯端末２００のユーザの入力を待つ。入力されたパスワードと、アクセス管理情報内のパスワードが一致するかを判定する。一致しない場合は図示しない出力装置によってエラーを通知する。本例では、一致したこととする。また、「アクセス回数管理」では、累計アクセス回数を記憶してもよいし、アクセス管理情報内のアクセス回数制限の数値を１回減らしてもよい。本例では、後者のように数値を書き換えることとする。
【００５８】
認証処理が完了し、エージェント制御部２０４は、要求受付部２０２に成功した旨を通知する。要求受付部２０２は、許可の通知を受け、アプリケーションマネージャ２０３にその旨を通知する。アプリケーションマネージャは、アプリＡにＳＤカードへのアクセスを許可し、アプリＡが発行した関数である「getSDCardInfo()」に対し、成功の戻り値を返す。この結果、アプリＡは、ＳＤカードへアクセスする。
【００５９】
以上がサービスへの２回目以降のサービス要求処理である。携帯端末２００内で認証処理を行うことが可能であるため、認証サーバ１００に接続できない場合であっても許可された範囲内でサービスを使用することが可能である。
【００６０】
次に、携帯端末２００のエージェント制御部２０４における記憶装置２０５内のアクセス管理情報の更新処理について説明する。図４のステップＳ４１に示したように、エージェント制御部２０４内のエージェントは対応するアクセス管理情報を監視している。本例では、監視するタイミングを週に１回と予め決まっていることとする。
【００６１】
アプリＡのエージェントである「Agent01.prog」は、対応するアクセス管理情報内のアクセス回数制限を監視している。ここで、アクセス回数制限が「０」となっていたとする。この場合、エージェントは、認証処理が必要であると判定し、認証サーバ１００へ接続する。この際、端末ＩＤ、サービス名、及び要求元エージェント名を送信する。以後の処理については、前述した更新処理と同じである。上記更新処理において、認証ＯＫである場合、エージェントはアクセス管理情報内のアクセス回数制限を更新する(例えば「１０」に)。認証ＮＧである場合、エージェントはアクセス要求情報内のエントリを削除する。
【００６２】
上記のような更新処理を行うことで、本発明では、一度認証されたとしても、携帯端末２００内のアプリケーションによるサービスの使用を認証サーバ１００側で制限することが可能である。
【産業上の利用可能性】
【００６３】
本発明によれば、サービスを使用する際に認証を行う認証システムや、認証処理を実現するための方法といった用途に適用できる。
【図面の簡単な説明】
【００６４】
【図１】本発明の実施の形態における認証委譲システムの構成例を示す構成図である。
【図２】本発明の実施の形態における認証委譲システムによる認証委譲方法を説明するためのフローチャートである。
【図３】本発明の実施の形態における認証委譲システムによる認証委譲方法を説明するためのフローチャートである。
【図４】本発明の実施の形態における認証委譲システムによる認証委譲方法を説明するためのフローチャートである。
【図５】属性ファイルの１例を示す説明図である。
【図６】要求受付部２０２及びアプリケーション制御部２０３の動作を説明するための説明図である。
【図７】通信制御部１０１及びアクセス制御部１０３の動作を説明するための説明図である。
【図８】記憶装置１０２が記憶する管理テーブルの構成例を示す構成図である。
【図９】アクセス情報及び生成されたエージェントの構成例を示す構成図である。
【図１０】要求受付部２０２の動作を説明するための説明図である。
【図１１】エージェント制御部２０４の動作を説明するための説明図である。
【図１２】従来よりある認証システムの構成を示す構成図である。
【符号の説明】
【００６５】
１００…認証サーバ、１０１…通信制御部、１０２…記憶装置、１０３…アクセス制御部、１０４…エージェント生成部、２００…携帯端末（端末装置）、２０１…通信制御部、２０２…要求受付部、２０３…アプリケーション制御部、２０４…エージェント制御部、２０５…記憶装置（端末記憶部）、２０６…サービス群、３００…アプリケーションサーバ（アプリケーション配信サーバ）。
【技術分野】
【０００１】
本発明は、認証委譲システム及び認証委譲方法に関し、特にダウンロードしたアプリケーションに適用することができる認証委譲システム及び認証委譲方法並びに端末装置及び認証サーバに関する。
【背景技術】
【０００２】
従来より、サーバ・クライアント型の認証方式が使用されている。ユーザあるいはアプリケーションが特定の機能を使用する際に、クライアントはネットワーク上のサーバ(以下、認証サーバ)に伺いをたて、決められた制限内で機能を使用するという方式である。しかしながら、この方式では、特定の機能を使用するたびに認証サーバに接続しなければならず、このための時間及び料金が必要となり、また、ネットワークに接続していない場合は機能を使用することができないという問題点があった。
【０００３】
このような従来の問題を解決するための技術（方法）が提案されている（特許文献１参照）。この方法では、認証情報をクライアント(クライアントマシン)に保存しておき、認証処理時にネットワークに接続できない場合は、クライアント内で認証処理を行うことで、上述した問題を解消している。
【０００４】
図１２は、上述した特許文献１の方法を実現するためのクライアントマシンにおけるアプリケーション管理クライアント４１の構成を示す構成図である。この動作について説明すると、クライアント内で認証処理を行う際、まず、クライアント側認証部５１が、ログインフォーム５９を表示デバイス４２に表示し、クライアントのユーザにユーザ認証に必要な情報の入力を求める。この結果、ユーザの操作により所定の情報が入力されると、クライアント側認証部５１が、ログインフォーム５９に入力デバイス４３を通じてクライアントのユーザが入力した入力情報と、認証情報５２を比較してユーザ認証を行う。
【０００５】
また、クライアント端末からのサービス認証要求を受け付け認証処理を経てエージェント認証証明書を発行し、クライアント端末からのサービス利用要求を受け付け、当該サービス利用要求に添付された認証証明書が正当なものであれば、クライアント端末又はユーザが指定した第一サーバの第一サーバ認証証明書を内部保持する認証情報を用いて第一サーバＳから取得するか、又は、前に取得済みであれば以前取得した第一サーバ認証証明書を必要に応じて取り出し、当該取得した又は当該取り出したサーバ認証証明書を提示してサービス利用要求を第一サーバに行い、第一サーバからの送信結果をクライアント端末に返却する技術も提案されている（特許文献２参照）。この技術によれば、クライアント端末による複数のサーバへの処理依頼時に、二回以上の認証作業が不要となり、クライアント端末自体が、複数サーバへアクセスする為に必要な情報を保持する必要が無くなる。
【０００６】
【特許文献１】特開２００５−１４１４２７号公報
【特許文献２】特開２００２−３２４０４９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、従来の技術においては、次に示すような問題があった。まず、第１の問題点は、サービスを利用するための認証処理が固定であり、柔軟性がないということである。この理由は、従来の技術では、ユーザの操作により入力されるＩＤとパスワードによる認証処理が前提となっているためである（例えば特許文献１、段落００４２又は０１５９など参照)。
【０００８】
一般的に、認証処理は認証サーバによって認証プロトコルが異なるため、クライアントは複数の認証サーバに対応する必要があり、上述のような認証処理が前提となっていると、複数の認証サーバや認証処理に対応することが困難である。例えば、ある認証サーバでは、ＩＤとパスワード以外に名前などの情報を求める場合があり、他の認証サーバでは、ＩＤとパスワードは必要ないが機能を使用許可する回数や期間のみを設定する場合もある。また、クライアント，クライアントのユーザ，あるいはアプリケーションごとにより、認証処理や認証の条件が異なるため、これらの諸条件も考慮したシステムにする必要がある。
【０００９】
次に、第２の問題点は、認証のための時間がかかるということである。この理由は、従来の技術では、認証時にネットワークに接続できない場合に、クライアント内での認証処理が行われるためである(特許文献１、段落０１５７など参照)。このため、ネットワークに接続できないと判断するまでの時間を要する。また、従来の技術（特許文献２）では、サービスの利用のためには利用の都度サーバに接続することになり、サービスを利用するために時間を要する。
【００１０】
本発明は、以上のような問題点を解消するためになされたものであり、その目的は、複数の認証サーバによる異なる複数の認証プロトコルが用いられ、また、クライアント，クライアントのユーザ，あるいはアプリケーションによって認証条件が異なる環境下においても、サービスの利用に必要な認証が柔軟に対応でき、また、迅速に認証処理をすることができる認証システム及び認証方法を提供することにある。
【課題を解決するための手段】
【００１１】
本発明に係る認証委譲システムは、ネットワークを介して接続された端末装置，認証サーバ，及びアプリケーション配信サーバを備え、端末装置は、アプリケーション配信サーバよりアプリケーション及びアプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、アプリケーションの実行動作を制御するアプリケーション制御部と、認証サーバより受け付けた、アプリケーションが実行されるときに要求されるサービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、認証サーバより受け付けたエージェントを格納するとともに、認証判定手段による認証がすでにされていることの判定で、アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段とを少なくとも備え、認証サーバは、端末装置からのサービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、端末装置において認証を行うエージェントを生成するエージェント生成手段と、エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を端末装置に送出するサーバ通信制御手段とを少なくとも備え、エージェント生成手段は、端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとにエージェントを生成し、端末装置において、エージェントは、端末装置記憶部に記憶されている対応するアクセス管理情報をもとに認証を行うようにしたものである。
【００１２】
上記認証委譲システムにおいて、端末装置は、認証判定手段による、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、認証サーバに対してサービスに対する認証の要求を行う認証要求手段を備える。また、エージェントは、対応するアクセス管理情報が備える使用制限情報をもとに、認証サーバに対して認証を要求し、この要求の結果、認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する。この場合、認証サーバは、エージェントからの認証の要求により、エージェントに対応する新たなアクセス管理情報を端末装置に送出する。
【００１３】
また、本発明に係る認証委譲方法は、ネットワークを介して接続されたアプリケーション配信サーバよりアプリケーション及びアプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードし、ネットワークを介して接続された認証サーバより受け付けた、アプリケーションが実行されるときに要求されるサービスの認証を行うエージェントに対応するアクセス管理情報を記憶し、アプリケーション配信サーバよりダウンロードしたアプリケーションを実行したときに要求されるサービスの認証が既にされていることの判定で、実行されたアプリケーションが要求するサービスの認証を行うエージェントを起動し、起動したエージェントに対応するアクセス管理情報をもとにしたエージェントの動作により認証を行うようにしたものである。
【００１４】
上記認証委譲方法において、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、認証サーバに対してサービスに対する認証の要求を行う。また、起動したエージェントに対応するアクセス管理情報が備える使用制限情報をもとにしたエージェントの動作により、認証サーバに対して認証を要求し、この要求の結果、認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新するようにしてもよい。
【００１５】
また、本発明に係る端末装置は、ネットワークを介して接続するアプリケーション配信サーバよりアプリケーション及びアプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、アプリケーションの実行動作を制御するアプリケーション制御部と、ネットワークを介して接続された認証サーバより受け付けた、アプリケーションが実行されるときに要求されるサービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、認証サーバより受け付けたエージェントを格納するとともに、認証判定手段による認証がすでにされていることの判定で、アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段とを少なくとも備え、エージェントは、予め備えられているアクセス管理情報をもとに生成されたものであり、エージェントは、端末装置記憶部に記憶されている対応するアクセス管理情報をもとに認証を行うものである。
【００１６】
上記端末装置において、認証判定手段による、通信制御手段がダウンロードしたアプリケーションをアプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、認証サーバに対してサービスに対する認証の要求を行う認証要求手段を備える。また、エージェントは、対応するアクセス管理情報が備える使用制限情報をもとに、認証サーバに対して認証を要求し、この要求の結果、認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する。
【００１７】
また、本発明に係る認証サーバは、ネットワークを介して接続された端末装置からのサービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、端末装置において認証を行うエージェントを生成するエージェント生成手段と、エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を端末装置に送出するサーバ通信制御手段とを少なくとも備え、エージェント生成手段は、端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとにエージェントを生成するようにしたものである。
【発明の効果】
【００１８】
以上説明したように、本発明によれば、対応するアクセス管理情報をもとにしたエージェントの動作により、アプリケーションが実行されるときに要求されるサービスの認証を行うようにし、この認証が既に行われていることが判定された場合は、端末装置が備えるエージェントを起動させることで認証を行うようにしたので、複数の認証サーバによる異なる複数の認証プロトコルが用いられ、また、クライアント，クライアントのユーザ，あるいはアプリケーションによって認証条件が異なる環境下においても、サービスの利用に必要な認証が柔軟に対応でき、また、迅速に認証処理をすることができるようになるという優れた効果が得られる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の実施の形態について図を参照して説明する。図１は、本発明の実施の形態における認証委譲システムの構成例を示す構成図であり、本システムは、複数の認証サーバ１００と、携帯端末（端末装置）２００と、アプリケーションサーバ（アプリケーション配信サーバ）３００とから構成される。例えば、各認証サーバ１００は、各々異なる認証プロトコルが用いられている。これらは、例えばインターネットなどのネットワークにより接続されている。
【００２０】
認証サーバ１００は、通信制御部１０１と、記憶装置（サーバ記憶部）１０２と、アクセス制御部１０３と、エージェント生成部１０４とから構成される。通信制御部１０１は、携帯端末２００からの要求を受け付ける機能を備える。また、エージェント生成部１０４が生成したエージェント、及びアクセス制御部１０３が取得したアクセス管理情報を携帯端末２００へ送信する機能を備える。記憶装置１０２は、携帯端末２００の情報及びサービスの情報を含む管理テーブルを格納する。アクセス制御部１０３は、記憶装置１０２が格納している管理テーブルを参照し、携帯端末２００から送信されてくる要求に対応したアクセス管理情報を取得する機能を備える。エージェント生成部１０４は、アクセス制御部１０３が取得したアクセス管理情報を基に、所定の処理を実行するプログラム及びデータで構成されるエージェントを生成する機能を備える。従って、エージェントは、アクセス制御情報もとに、認証処理の実行処理を行う。
【００２１】
携帯端末２００は、通信制御部２０１と、要求受付部２０２と、アプリケーション制御部２０３と、エージェント制御部２０４と、記憶装置（端末記憶部）２０５と、サービス群２０６とから構成される。通信制御部２０１は、要求受付部２０２からの情報を基に認証サーバ１００と通信する機能を備える。また、認証サーバ１００から送信されてくるエージェント及びアクセス管理情報を受信する機能を備える。さらに、アプリケーションサーバ３００からアプリケーション及び属性ファイルをダウンロードする機能を備える。要求受付部２０２は、アプリケーション制御部２０３からの要求を受け、記憶装置２０５内のアクセス要求情報を基に、受け付けた要求を通信制御部２０１又はエージェント制御部２０４へ渡す機能を備える。また、記憶装置２０５内のアクセス要求情報を作成・更新する機能を備える。
【００２２】
アプリケーション制御部２０３は、アプリケーションの起動及び終了などのライフサイクル（実行動作）を管理する機能を備える。また、アプリケーションからのサービス要求を受けて、これを要求受付部２０２へと渡す機能を備える。さらに、サービス群２０６を管理し、アプリケーションにサービスを提供する機能を備える。エージェント制御部２０４は、認証サーバ１００から送信されて受信されたエージェントを格納し、また、要求受付部２０２からの要求を受け、対応するエージェントを起動する機能を備える。
【００２３】
記憶装置２０５は、認証サーバ１００から送信されてくるアクセス管理情報、アプリケーションサーバ３００からダウンロードしたアプリケーション及び属性ファイル、さらに要求受付部２０２によって作成されるアクセス要求情報を格納する装置である。また、サービス群２０６は、ファイルシステムやストレージなどのハードウェアリソース又はイメージファイルや動画ファイルなどのデータを含むサービスを管理する。
【００２４】
次に、図１及び図２、図３、図４のフローチャートを参照して本実施の形態の全体の動作について詳細に説明する。
【００２５】
はじめに、携帯端末２００内におけるサービス要求処理について、図２のフローチャートを用いて説明する。まず、ユーザによる携帯端末２００の操作で起動したアプリケーションは、実行時にファイルシステムなどのサービスへのアクセスを要求する(ステップＳ２１)。この要求の際、アプリケーション制御部２０３は、要求元のアプリケーション名と要求するサービス名を要求受付部２０２へと渡す。ここで、アプリケーション名及びサービス名は、名前でなくてもよく、アプリケーション及びサービスが特定できる情報であればよい。
【００２６】
このようにして要求元のアプリケーション名と要求するサービス名を受け付けた要求受付部２０２は、アプリケーション制御部２０３から渡された上記情報をキーとして記憶装置２０５に記憶されている情報の中でアクセス要求情報を検索し、これまでに認証サーバ１００における認証が行われているか否かを判定する(ステップＳ２２)。本例では、要求受け付け部２０２が、認証判定手段となる。ここで、認証が行われていない場合、通信制御部２０１を通してアプリケーションに対応した認証の認証サーバ１００への要求処理を行う(ステップＳ２３)。
【００２７】
通信制御部２０１は、端末ＩＤを取得し、要求受付部２０２から渡されたサービス名とともに認証サーバ１００へ送信する。認証サーバ１００への接続は、予め携帯端末２００内に格納（記憶）されているＵＲＬなどにより行う方法や、アプリケーションの属性に記載されている（含まれている）認証サーバ１００のＵＲＬなどにより行う方法が考えられるがここでは特に規定しない。アプリケーションに対応付けられた認証サーバ１００にアクセスできればよい。この認証処理に関しては後述する。
【００２８】
一方、ステップＳ２２においてすでに認証が行われており、１回目の要求ではない場合、ステップＳ２４に移行し、携帯端末２００における認証処理に遷移する。ステップＳ２４において、要求受付部２０２は、アプリケーション制御部２０３から渡されたアプリケーション名を基に、アプリケーションに対応したエージェントの起動をエージェント制御部２０４に要求する。この結果、エージェント制御部２０４は、対応するエージェントを起動する。エージェントは、認証サーバ１００によって生成されたプログラム又はデータである。次に、起動されたエージェントは、アクセス管理情報を基に、予め設定された認証処理を行う(ステップＳ２５)。この認証処理は、ＩＤ及びパスワードの入力を促すダイアログを、ユーザに視認可能に表示して認証を行う処理や、期間・回数制限などによりアクセスを制御する処理などが考えられるが、ここでは特に規定しない。
【００２９】
上述したエージェントによる認証処理が完了し、この認証処理の結果により認証が確認された場合は(ステップＳ２６)、アプリケーションはサービスを実行する(ステップＳ２７)。これに対し、ステップＳ２６の認証で、認証がとれない場合は、サービス要求を中断する(ステップＳ２８)。
【００３０】
次に、図２のＳ２３以降の認証サーバ１００における認証処理について、図３のフローチャートを用いて説明する。通信制御部１０１は、携帯端末２００からのサービス要求を受け、送信されてきた情報(端末ＩＤ及びサービス名)をアクセス制御部１０３へと渡す(ステップＳ３１)。ここで、認証サーバ１００と携帯端末２００間の通信制御部１０１と２０１による通信は、ＨＴＴＰ（Hyper Text Transport Protocol）通信や電子メールなどの既存の通信手段を使用してもよいし、独自の通信手段を設けてこれを使用してもよい。
【００３１】
次に、アクセス制御部１０３は、端末ＩＤ及びサービス名をキーとして記憶装置１０２内の管理テーブルを参照し、要求の可否を判定する(ステップＳ３２)。要求がＮＧである場合、その旨を通信制御部１０１から携帯端末２００へ通知する(ステップＳ３３)。一方、要求がＯＫである場合、管理テーブルからアクセス管理情報を取得する(ステップＳ３４)。このアクセス管理情報には、アプリケーションが、アプリケションにより提供されるサービスにアクセス可能な回数や期間などが設定されている。
【００３２】
次に、エージェント生成部１０４は、上述したアクセス管理情報及び端末ＩＤを基に、所定の処理を行うためのエージェントを生成する(ステップＳ３５)。本処理によって生成されるエージェントは、携帯端末２００内で認証を行うものであり、認証サーバ１００が認証処理を委譲するための役割を担う。認証サーバ１００は、例えば認証のためのパスワードを入力させるようなプログラムなど、自身が行う認証処理に対応した処理をエージェントに埋め込む。これらの処理により、取得したアクセス管理情報、及び生成したエージェントは、通信制御部１０１を通して携帯端末２００へと送信される(ステップＳ３６)。
【００３３】
次に、携帯端末２００のエージェント制御部２０４における記憶装置２０５内のアクセス管理情報の更新処理について、図４のフローチャートを用いて説明する。エージェント制御部２０４内のエージェントは、自身に対応するアクセス管理情報を監視している(ステップＳ４１)。監視するタイミングや周期は、適宜設定すればよく、ここでは特に規定しない。例えば、認証サーバ１００が、エージェント生成時に設定したタイミングや周期でもよく、アプリケーションごとに決められたものでもよい。また、携帯端末ごとに決められたタイミングや周期でもよい。
【００３４】
エージェントは、記憶装置２０５に記憶（格納）されているアクセス管理情報が備える回数や期間（期限）など、アクセス管理情報が備える使用制限情報をもとに現在格納されているアクセス管理情報が有効であるか否かを監視し、アクセス管理情報の更新が必要かを判定する(ステップＳ４２)。更新が必要な場合、対応する認証サーバ１００へ認証要求を行う(ステップＳ４３)。アクセス管理情報には、対応する認証サーバの情報（ＵＲＬ）などが備えられている。ここで、携帯端末２００がネットワークに繋がれていないなどの理由で認証サーバ１００に接続できない場合は、次回の監視タイミングにて再度接続を試みる。又は、携帯端末２００がネットワークに接続したタイミングで接続を試みてもよい。
【００３５】
上記の認証処理が必要である場合、要求元の端末ＩＤ及びサービス名、さらに要求元エージェント名を認証サーバ１００へ送信し、認証処理を依頼する(ステップＳ４４)。この認証処理は、アクセス管理情報の更新を含む再認証の処理になる。ここで、エージェント名は、名前でなくてもよい。すなわち、エージェントが特定できる情報であればよい。
【００３６】
次に、依頼を受けた認証サーバ１００は、認証処理を行う(ステップＳ４５)。認証サーバ１００は、送信されてきた情報の中にエージェント名が含まれている場合、エージェントの生成は行わず、図３のステップＳ３２及びステップＳ３４で示した認証処理及びアクセス管理情報の取得のみを行う。ステップＳ４６における認証がＯＫである場合、携帯端末２００にアクセス管理情報を送信する。また、エージェント制御部２０４内のエージェントは、記憶装置２０５内のアクセス管理情報を更新する(ステップＳ４７)。
【００３７】
ステップＳ４６における認証がＮＧである場合、携帯端末２００にその旨を通知する。また、エージェント制御部２０４内のエージェントは、記憶装置２０５内のアクセス要求情報内のエントリを削除する(ステップＳ４８)。これにより、次回のサービス要求時、図２のステップＳ２２で示した処理において認証されていないと判定され、再び認証サーバ１００へ認証処理を依頼することとなる。以上に説明したように、エージェントは、対応するアクセス管理情報をもとに認証動作を行う。
【００３８】
なお、認証サーバ１００及び端末装置は、例えば、ＣＰＵと主記憶装置と外部記憶装置とネットワーク接続装置となどを備えたコンピュータ機器であり、主記憶装置に展開されたプログラムによりＣＰＵが動作することで、上述した各機能が実現される。また、各機能は、複数のコンピュータ機器に分散させるようにしてもよい。また、端末装置は、これらと同等の機能を備えた携帯電話であっても良い。
【００３９】
次に、上述した本実施の形態における認証委譲システム及び認証委譲方法の効果について説明する。
【００４０】
本システム及び方法によると、アプリケーションと認証サーバ１００、及びエージェントが紐付けされている。このため、認証サーバ１００は、自身に対応した認証処理を行うエージェントを作成し、携帯端末２００において動作させることが可能である。この結果、複数の異なる認証サーバ１００による認証処理の違い(認証プロトコルなど)をエージェントによって吸収することが可能である。従って、本システム及び方法によれば、異なる認証プロトコルの複数の認証サーバが用いられている環境など、様々な条件下においても柔軟に対応できるようになる。
【００４１】
また、本実施の形態における認証委譲システム及び認証委譲方法によれば、認証サーバ１００が行う認証処理は、エージェントに行わせる(委譲する)ようにしているので、認証処理のたびに認証サーバ１００に接続する必要がなくなる。この結果、本実施の形態におけるシステム及び方法によれば、より迅速な認証処理が実現可能となり、認証のための時間や料金が削減できるようになる。
【００４２】
ところで、上述した実施の形態においては、図３のステップＳ３１において、端末ＩＤ及びサービス名を送信しているがこれに限るものではない。例えば、ＳＩＭ(Subscriber Identification Module)のＩＤを送信してもよい。この場合、認証サーバ１００側では、「契約者によるサービス可否」という認証が可能となる。このように、認証サーバ１００では、携帯端末２００から送信されてくる情報が何であっても、送信された情報を基に、サービスへのアクセス可否を判断するための条件を制御又は管理することが可能である。
【００４３】
さらに、上述では、図４のステップＳ４８において、認証処理がＮＧとなった際はアクセス要求情報のエントリのみを削除することとした。この場合、認証処理がＮＧとなったにもかかわらず、エージェントがアクセス管理情報を参照するたびに再び認証処理を行ってしまう。このため、認証処理にＮＧとなった場合は、アクセス要求情報のエントリの削除のほか、エージェント及びエージェントに対応するアクセス管理情報を削除するようにしてもよい。また、上述では、アプリケーションを配信するアプリケーションサーバは１つであったが、複数のアプリケーションサーバが存在してもよい。さらに、上述した実施の形態では、クライアントとして携帯端末を例としたが、パーソナルコンピュータや家電などの通信機能を備えた機器（固定端末）でもよい。
【００４４】
さらにまた、上述では、データの暗号化を行うようにはしていないが、セキュリティの観点上、送受信するデータを暗号化してもよい。例えば、アプリケーションサーバ３００から配信されるアプリケーション及び属性ファイル、携帯端末２００から認証サーバ１００へ送信される端末ＩＤ及びサービス名、認証サーバ１００から携帯端末２００に送信されるアクセス管理情報及びエージェント、携帯端末２００内のアクセス管理情報、アクセス要求情報は、暗号化され、閲覧や改ざんができない仕組みになっていてもよい。
【実施例】
【００４５】
次に、具体的な実施例を用いてより詳細に説明する。まず、図１を用いて、アプリケーションのダウンロード処理について説明する。携帯端末２００のユーザは、携帯端末２００の図示しない入力装置を操作することで、所望とするアプリケーションのダウンロードを選択する指示入力を行う。この操作指示により、携帯端末２００の通信制御部２０１は、指定されたアプリケーション及びこの属性ファイルをアプリケーションサーバ３００よりダウンロードし、記憶装置２０５内に格納する。上記属性ファイルには、アプリケーション名のほか、当該アプリケーションが使用するサービス及び認証サーバ１００のＵＲＬなどが含まれている。本実施例では、図５で示す属性が含まれているものとする。なお、その他の属性が含まれていてもよいがここでは特に規定しない。
【００４６】
次に、アプリケーション実行時のサービス要求処理について説明する。携帯端末２００のユーザは、図示しない入力装置を操作することで所望とするアプリケーションの選択を指示する。ここでは、叙述したことによってダウンロードしたアプリケーション(アプリＡ)を選択することとする。この指示入力により、アプリケーション制御部２０３は、記憶装置２０５内のアプリＡを起動する。
【００４７】
次に、起動したアプリＡは、実行時にサービスを要求する。例として、アプリＡを構成しているプログラム内で「getSDCardInfo()」などの関数を呼び出すことで、自身の属性ファイルで示されているＳＤカードへのアクセスを試みる。この際、アプリケーション制御部２０３が上記関数の発行を検知し、アプリＡがＳＤカードへアクセスしてよいかの認証が行われる。
【００４８】
この後、要求受付部２０２は、図２のステップＳ２２で示したようにアプリケーション制御部２０３から渡されたアプリケーション名及びサービス名をキーとして記憶装置２０５内のアクセス要求情報を検索する。これを図６に示す。本例では、アクセス要求情報内に対応するエントリが存在しないため、これまでに認証処理を行っていないと判定し、認証サーバ１００への要求処理へと遷移する。ここでは、認証サーバ１００への要求時、端末ＩＤ及びサービス名を送信することとする。通信制御部１０１は、要求受付部１０２から渡された端末ＩＤ及びサービス名を認証サーバ１００へと送信する。接続先は、前述した記憶装置２０５内の属性ファイルの認証サーバ１００のＵＲＬを参照する。
【００４９】
次に、認証サーバ１００における認証処理について説明する。図３のステップＳ３１に示したように、通信制御部１０１は、携帯端末２００から送信されてきた情報をアクセス制御部１０３へと渡す。アクセス制御部１０３は、渡された情報をキーとして記憶装置１０２内の管理テーブルを参照し、要求の可否を判定する。この動作について図７を用いて説明する。図７に示すように、アクセス制御部１０３は、端末ＩＤ「０００Ａ」に対応するテーブルである「１」を参照することになる。
【００５０】
このＩＤ「１」のテーブルについて、一例を示すと、図８に示すように、「ＳＤカード」へのアクセスの条件として、「パスワード入力」及び「アクセス回数制限」が設定されている。このため、アプリＡは上記条件の範囲内でＳＤカードへのアクセスが可能であることがわかる。アクセス制御部１０３は、管理テーブルより、「ＳＤカード」に関するエントリを切り出す。切り出した情報は図３のステップＳ３４で示したアクセス管理情報である。アクセス制御部１０３は、上記テーブル内にサービス名に対応したエントリが存在しない場合は、要求はＮＧとなり、この旨を携帯端末２００へと通知する。通知手段は、ここでは特に規定しない。
【００５１】
次に、エージェント生成部１０４によるエージェント生成処理について説明する。エージェント生成部１０４は、携帯端末２００の端末ＩＤ及びアクセス制御部１０３が取得したアクセス管理情報を基にエージェントを生成する。エージェント生成部１０４は、端末ＩＤよりこれまでにエージェントを生成したかの判定を行う。生成している場合は、今回のアクセス管理情報に対応した処理を行う部分のみを生成する(以下、これを差分エージェントという)。 本例では、これまでエージェントを生成していないこととする。
【００５２】
上記アクセス管理情報を参照すると、エージェントは「パスワード照会」及び「アクセス回数管理」が少なくとも含まれることになる。「パスワード照会」に関しては、（１）パスワード入力のためのダイアログを表示し、（２）入力されたパスワードが正しいかを検証する処理、を少なくとも含む。また、「アクセス回数管理」に関しては、（１）アクセス回数を管理する処理、（２）アクセス回数が制限を超えた場合にエラーを通知する処理、（３）残回数を通知する処理、などを含む。これらのことによって取得したアクセス管理情報、及び生成したエージェントは、携帯端末２００へと送信される。取得したアクセス情報及び生成されたエージェントの一例を、図９に示す。
【００５３】
次に携帯端末２００における処理（動作）について説明する。通信制御部２０１は、図９に示した情報を受信し、アクセス管理情報を記憶装置２０５に格納する。また、エージェントをエージェント制御部２０４に格納する。ここで、いずれかの認証サーバ１００より送信されてきたエージェントが差分エージェントである場合、アクセス管理情報を更新し、対応するエージェントに差分処理の追加を行う。
【００５４】
通信制御部２０１は、上記受信した情報内に情報が含まれている場合は、アプリＡからの要求が許可されたと判定し、この旨を要求受付部２０２へと通知する。通知を受けた要求受付部２０２は、図１０に示すように、アクセス要求情報を更新する。
要求受付部２０２は、許可の通知を受け、アプリケーションマネージャ２０３にその旨を通知する。アプリケーションマネージャは、アプリＡにＳＤカードへのアクセスを許可する。すなわち、アプリＡが発行した関数である「getSDCardInfo()」に対し、成功の戻り値を返す。アプリＡは、ＳＤカードへアクセスする。
以上がサービスへの初回アクセス時のサービス要求処理である。
【００５５】
次に、上記以降(２回目以降)のサービス要求処理について説明する。
上記認証処理後に再びアプリＡを起動し、アプリＡは関数「getSDCardInfo()」を呼び出したものとする。前述したように、アプリケーション制御部２０３が上記関数の発行を検知し、要求受付部２０２がアプリケーション名及びサービス名をキーとして記憶装置２０５内のアクセス要求情報を検索する。ここで、図１０に示すようにアクセス要求情報内には該当するエントリが存在するため、認証サーバ１００への接続は行わず、携帯端末２００内での認証処理に遷移する。
【００５６】
要求受付部２０２は、アプリケーション制御部２０３から渡されたアプリケーション名及びサービス名を基に、アプリケーションに対応したエージェントを起動する。これを図１１に示す。要求を受けたエージェント制御部２０４内のエージェントマネージャは対応テーブルを参照し、エージェントを起動する。本例では、アプリＡに対応するエージェントである「Agent01.prog」が起動する。
【００５７】
起動したエージェントは、エージェントマネージャより渡されたサービス名を基に、所定の認証処理を行う。本例では、前述したように、「パスワード照会」及び「アクセス回数管理」を行うこととする。「パスワード照会」では、ダイアログを表示し、図示しない携帯端末２００のユーザの入力を待つ。入力されたパスワードと、アクセス管理情報内のパスワードが一致するかを判定する。一致しない場合は図示しない出力装置によってエラーを通知する。本例では、一致したこととする。また、「アクセス回数管理」では、累計アクセス回数を記憶してもよいし、アクセス管理情報内のアクセス回数制限の数値を１回減らしてもよい。本例では、後者のように数値を書き換えることとする。
【００５８】
認証処理が完了し、エージェント制御部２０４は、要求受付部２０２に成功した旨を通知する。要求受付部２０２は、許可の通知を受け、アプリケーションマネージャ２０３にその旨を通知する。アプリケーションマネージャは、アプリＡにＳＤカードへのアクセスを許可し、アプリＡが発行した関数である「getSDCardInfo()」に対し、成功の戻り値を返す。この結果、アプリＡは、ＳＤカードへアクセスする。
【００５９】
以上がサービスへの２回目以降のサービス要求処理である。携帯端末２００内で認証処理を行うことが可能であるため、認証サーバ１００に接続できない場合であっても許可された範囲内でサービスを使用することが可能である。
【００６０】
次に、携帯端末２００のエージェント制御部２０４における記憶装置２０５内のアクセス管理情報の更新処理について説明する。図４のステップＳ４１に示したように、エージェント制御部２０４内のエージェントは対応するアクセス管理情報を監視している。本例では、監視するタイミングを週に１回と予め決まっていることとする。
【００６１】
アプリＡのエージェントである「Agent01.prog」は、対応するアクセス管理情報内のアクセス回数制限を監視している。ここで、アクセス回数制限が「０」となっていたとする。この場合、エージェントは、認証処理が必要であると判定し、認証サーバ１００へ接続する。この際、端末ＩＤ、サービス名、及び要求元エージェント名を送信する。以後の処理については、前述した更新処理と同じである。上記更新処理において、認証ＯＫである場合、エージェントはアクセス管理情報内のアクセス回数制限を更新する(例えば「１０」に)。認証ＮＧである場合、エージェントはアクセス要求情報内のエントリを削除する。
【００６２】
上記のような更新処理を行うことで、本発明では、一度認証されたとしても、携帯端末２００内のアプリケーションによるサービスの使用を認証サーバ１００側で制限することが可能である。
【産業上の利用可能性】
【００６３】
本発明によれば、サービスを使用する際に認証を行う認証システムや、認証処理を実現するための方法といった用途に適用できる。
【図面の簡単な説明】
【００６４】
【図１】本発明の実施の形態における認証委譲システムの構成例を示す構成図である。
【図２】本発明の実施の形態における認証委譲システムによる認証委譲方法を説明するためのフローチャートである。
【図３】本発明の実施の形態における認証委譲システムによる認証委譲方法を説明するためのフローチャートである。
【図４】本発明の実施の形態における認証委譲システムによる認証委譲方法を説明するためのフローチャートである。
【図５】属性ファイルの１例を示す説明図である。
【図６】要求受付部２０２及びアプリケーション制御部２０３の動作を説明するための説明図である。
【図７】通信制御部１０１及びアクセス制御部１０３の動作を説明するための説明図である。
【図８】記憶装置１０２が記憶する管理テーブルの構成例を示す構成図である。
【図９】アクセス情報及び生成されたエージェントの構成例を示す構成図である。
【図１０】要求受付部２０２の動作を説明するための説明図である。
【図１１】エージェント制御部２０４の動作を説明するための説明図である。
【図１２】従来よりある認証システムの構成を示す構成図である。
【符号の説明】
【００６５】
１００…認証サーバ、１０１…通信制御部、１０２…記憶装置、１０３…アクセス制御部、１０４…エージェント生成部、２００…携帯端末（端末装置）、２０１…通信制御部、２０２…要求受付部、２０３…アプリケーション制御部、２０４…エージェント制御部、２０５…記憶装置（端末記憶部）、２０６…サービス群、３００…アプリケーションサーバ（アプリケーション配信サーバ）。
【特許請求の範囲】
【請求項１】
ネットワークを介して接続された端末装置，認証サーバ，及びアプリケーション配信サーバを備え、
前記端末装置は、
前記アプリケーション配信サーバよりアプリケーション及び前記アプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、
前記アプリケーションの実行動作を制御するアプリケーション制御部と、
前記認証サーバより受け付けた、前記アプリケーションが実行されるときに要求される前記サービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、
前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、
前記認証サーバより受け付けた前記エージェントを格納するとともに、前記認証判定手段による前記認証がすでにされていることの判定で、前記アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段と
を少なくとも備え、
前記認証サーバは、
前記端末装置からの前記サービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、前記端末装置において前記認証を行うエージェントを生成するエージェント生成手段と、
前記エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を前記端末装置に送出するサーバ通信制御手段と
を少なくとも備え、
前記エージェント生成手段は、前記端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとに前記エージェントを生成し、
前記端末装置において、前記エージェントは、前記端末装置記憶部に記憶されている対応するアクセス管理情報をもとに前記認証を行う
ことを特徴とする認証委譲システム。
【請求項２】
請求項１記載の認証委譲システムにおいて、
前記端末装置は、
前記認証判定手段による、前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、前記認証サーバに対して前記サービスに対する認証の要求を行う認証要求手段を備える
ことを特徴とする認証委譲システム。
【請求項３】
請求項１又は２記載の認証委譲システムにおいて、
前記エージェントは、
対応するアクセス管理情報が備える使用制限情報をもとに、前記認証サーバに対して認証を要求し、この要求の結果、前記認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する
ことを特徴とする認証委譲システム。
【請求項４】
請求項３記載の認証委譲システムにおいて、
前記認証サーバは、前記エージェントからの認証の要求により、前記エージェントに対応する新たなアクセス管理情報を前記端末装置に送出する
ことを特徴とする認証委譲システム。
【請求項５】
ネットワークを介して接続されたアプリケーション配信サーバよりアプリケーション及び前記アプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードし、
ネットワークを介して接続された認証サーバより受け付けた、前記アプリケーションが実行されるときに要求される前記サービスの認証を行うエージェントに対応するアクセス管理情報を記憶し、
前記アプリケーション配信サーバよりダウンロードしたアプリケーションを実行したときに要求されるサービスの認証が既にされていることの判定で、実行されたアプリケーションが要求するサービスの認証を行うエージェントを起動し、
起動した前記エージェントに対応するアクセス管理情報をもとにした前記エージェントの動作により前記認証を行う
ことを特徴とする認証委譲方法。
【請求項６】
請求項５記載の認証委譲方法において、
前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、前記認証サーバに対して前記サービスに対する認証の要求を行う
ことを特徴とする認証委譲方法。
【請求項７】
請求項５又は６記載の認証委譲方法において、
起動した前記エージェントに対応するアクセス管理情報が備える使用制限情報をもとにした前記エージェントの動作により、前記認証サーバに対して認証を要求し、この要求の結果、前記認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する
ことを特徴とする認証委譲方法。
【請求項８】
ネットワークを介して接続するアプリケーション配信サーバよりアプリケーション及び前記アプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、
前記アプリケーションの実行動作を制御するアプリケーション制御部と、
ネットワークを介して接続された認証サーバより受け付けた、前記アプリケーションが実行されるときに要求される前記サービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、
前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、
前記認証サーバより受け付けた前記エージェントを格納するとともに、前記認証判定手段による前記認証がすでにされていることの判定で、前記アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段と
を少なくとも備え、
前記エージェントは、予め備えられているアクセス管理情報をもとに生成されたものであり、
前記エージェントは、前記端末装置記憶部に記憶されている対応するアクセス管理情報をもとに前記認証を行う
ことを特徴とする端末装置。
【請求項９】
請求項８記載の端末装置において、
前記認証判定手段による、前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、前記認証サーバに対して前記サービスに対する認証の要求を行う認証要求手段を備える
ことを特徴とする端末装置。
【請求項１０】
請求項８又は９記載の端末において、
前記エージェントは、
対応するアクセス管理情報が備える使用制限情報をもとに、前記認証サーバに対して認証を要求し、この要求の結果、前記認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する
ことを特徴とする端末装置。
【請求項１１】
ネットワークを介して接続された端末装置からのサービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、前記端末装置において前記認証を行うエージェントを生成するエージェント生成手段と、
前記エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を前記端末装置に送出するサーバ通信制御手段と
を少なくとも備え、
前記エージェント生成手段は、前記端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとに前記エージェントを生成する
ことを特徴とする認証サーバ。
【請求項１】
ネットワークを介して接続された端末装置，認証サーバ，及びアプリケーション配信サーバを備え、
前記端末装置は、
前記アプリケーション配信サーバよりアプリケーション及び前記アプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、
前記アプリケーションの実行動作を制御するアプリケーション制御部と、
前記認証サーバより受け付けた、前記アプリケーションが実行されるときに要求される前記サービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、
前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、
前記認証サーバより受け付けた前記エージェントを格納するとともに、前記認証判定手段による前記認証がすでにされていることの判定で、前記アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段と
を少なくとも備え、
前記認証サーバは、
前記端末装置からの前記サービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、前記端末装置において前記認証を行うエージェントを生成するエージェント生成手段と、
前記エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を前記端末装置に送出するサーバ通信制御手段と
を少なくとも備え、
前記エージェント生成手段は、前記端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとに前記エージェントを生成し、
前記端末装置において、前記エージェントは、前記端末装置記憶部に記憶されている対応するアクセス管理情報をもとに前記認証を行う
ことを特徴とする認証委譲システム。
【請求項２】
請求項１記載の認証委譲システムにおいて、
前記端末装置は、
前記認証判定手段による、前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、前記認証サーバに対して前記サービスに対する認証の要求を行う認証要求手段を備える
ことを特徴とする認証委譲システム。
【請求項３】
請求項１又は２記載の認証委譲システムにおいて、
前記エージェントは、
対応するアクセス管理情報が備える使用制限情報をもとに、前記認証サーバに対して認証を要求し、この要求の結果、前記認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する
ことを特徴とする認証委譲システム。
【請求項４】
請求項３記載の認証委譲システムにおいて、
前記認証サーバは、前記エージェントからの認証の要求により、前記エージェントに対応する新たなアクセス管理情報を前記端末装置に送出する
ことを特徴とする認証委譲システム。
【請求項５】
ネットワークを介して接続されたアプリケーション配信サーバよりアプリケーション及び前記アプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードし、
ネットワークを介して接続された認証サーバより受け付けた、前記アプリケーションが実行されるときに要求される前記サービスの認証を行うエージェントに対応するアクセス管理情報を記憶し、
前記アプリケーション配信サーバよりダウンロードしたアプリケーションを実行したときに要求されるサービスの認証が既にされていることの判定で、実行されたアプリケーションが要求するサービスの認証を行うエージェントを起動し、
起動した前記エージェントに対応するアクセス管理情報をもとにした前記エージェントの動作により前記認証を行う
ことを特徴とする認証委譲方法。
【請求項６】
請求項５記載の認証委譲方法において、
前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、前記認証サーバに対して前記サービスに対する認証の要求を行う
ことを特徴とする認証委譲方法。
【請求項７】
請求項５又は６記載の認証委譲方法において、
起動した前記エージェントに対応するアクセス管理情報が備える使用制限情報をもとにした前記エージェントの動作により、前記認証サーバに対して認証を要求し、この要求の結果、前記認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する
ことを特徴とする認証委譲方法。
【請求項８】
ネットワークを介して接続するアプリケーション配信サーバよりアプリケーション及び前記アプリケーションが実行するときに使用するサービスの情報からなる属性ファイルをダウンロードする端末装置通信制御手段と、
前記アプリケーションの実行動作を制御するアプリケーション制御部と、
ネットワークを介して接続された認証サーバより受け付けた、前記アプリケーションが実行されるときに要求される前記サービスの認証を行うエージェントに対応するアクセス管理情報を記憶する端末装置記憶部と、
前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証が既にされていることを判定する認証判定手段と、
前記認証サーバより受け付けた前記エージェントを格納するとともに、前記認証判定手段による前記認証がすでにされていることの判定で、前記アプリケーション制御部が実行したアプリケーションが要求するサービスの認証を行うエージェントを起動するエージェント制御手段と
を少なくとも備え、
前記エージェントは、予め備えられているアクセス管理情報をもとに生成されたものであり、
前記エージェントは、前記端末装置記憶部に記憶されている対応するアクセス管理情報をもとに前記認証を行う
ことを特徴とする端末装置。
【請求項９】
請求項８記載の端末装置において、
前記認証判定手段による、前記通信制御手段がダウンロードしたアプリケーションを前記アプリケーション制御部が実行したときに要求されるサービスの認証がまだされていないことの判定により、前記認証サーバに対して前記サービスに対する認証の要求を行う認証要求手段を備える
ことを特徴とする端末装置。
【請求項１０】
請求項８又は９記載の端末において、
前記エージェントは、
対応するアクセス管理情報が備える使用制限情報をもとに、前記認証サーバに対して認証を要求し、この要求の結果、前記認証サーバより受け付けた新たなアクセス管理情報を、自身に対応するアクセス管理情報として更新する
ことを特徴とする端末装置。
【請求項１１】
ネットワークを介して接続された端末装置からのサービスに対する認証の要求を受け付けて、予め備えられているアクセス管理情報をもとに、前記端末装置において前記認証を行うエージェントを生成するエージェント生成手段と、
前記エージェント生成手段が生成したエージェント及びこのエージェントを生成するために用いたアクセス管理情報を前記端末装置に送出するサーバ通信制御手段と
を少なくとも備え、
前記エージェント生成手段は、前記端末装置より受け付けた認証の要求に対応するアクセス管理情報をもとに前記エージェントを生成する
ことを特徴とする認証サーバ。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【公開番号】特開２００８−２６９２２０（Ｐ２００８−２６９２２０Ａ）
【公開日】平成２０年１１月６日（２００８．１１．６）
【国際特許分類】
【出願番号】特願２００７−１１０４３０（Ｐ２００７−１１０４３０）
【出願日】平成１９年４月１９日（２００７．４．１９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２０年１１月６日（２００８．１１．６）
【国際特許分類】
【出願日】平成１９年４月１９日（２００７．４．１９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]