認証装置及びプログラム
【課題】共有資源を利用しようとする利用者を認証する場合に、それぞれの共有資源を共有する利用者群のニーズに応じた認証条件を設定できる認証装置を提供する。
【解決手段】複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持し、当該複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付けた場合に、複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる認証条件情報に応じて決まる認証条件に基づいて、当該利用者の認証を行う認証装置である。
【解決手段】複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持し、当該複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付けた場合に、複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる認証条件情報に応じて決まる認証条件に基づいて、当該利用者の認証を行う認証装置である。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、認証装置及びプログラムに関する。
【背景技術】
【０００２】
例えばウェブサービスなどにおいては、当該サービスによって管理される資源（データやアプリケーションプログラムなど）を利用する利用者を、電子署名などの方法で認証する場合がある。利用者を認証する方法としては、様々なものが提案されている（例えば特許文献１参照）。このような認証技術の一例として、シングル・サイン・オンを実現するものがある。この技術においては、既に他の認証装置によって認証済みの利用者からサービスの利用要求があった場合、認証装置は、この利用者に対して他の認証装置によってなされた認証結果を検証する（例えば、他の認証装置によって生成された電子署名を検証する）ことにより、利用者の認証を行う。このような技術によれば、認証装置は、信頼する他の認証装置によってなされた認証結果を検証する手段を備えていれば、サービスを利用する全ての利用者に関する情報を予め保持しておく必要はないことになる。
【特許文献１】特開２００３−１３２０２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
上述した認証技術の例においては、提供される資源に対して要求されるセキュリティのレベルに応じて、例えば他の認証装置によって生成された電子署名の検証をどの程度厳密に行うかなどの認証条件が決定される。しかしながら、サービス利用者に提供される資源が、複数の利用者群（例えば、企業などの組織）によって共有される共有資源である場合、このような資源を共有する利用者群ごとにセキュリティレベルに対するニーズも異なることがある。そのため、認証装置が複数の共有資源を管理する場合、個々の共有資源に対して要求されるセキュリティのレベルも異なることとなり、これらの共有資源のそれぞれに対して利用者群ごとのニーズに応じた認証条件を柔軟に設定することは、煩雑となる場合がある。
【０００４】
本発明の目的は、共有資源を利用しようとする利用者を認証する場合に、それぞれの共有資源を共有する利用者群のニーズに応じた認証条件を設定できる認証装置及びプログラムを提供することにある。
【課題を解決するための手段】
【０００５】
請求項１記載の発明は、認証装置であって、複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段と、前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段と、前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段と、を含むことを特徴とする。
【０００６】
請求項２記載の発明は、請求項１に記載の認証装置であって、前記認証手段は、前記利用許可利用者群のうち、前記利用者が属する利用者群を除く利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、前記利用者の認証を行うことを特徴とする。
【０００７】
請求項３記載の発明は、請求項１又は２に記載の認証装置であって、前記利用要求を行う利用者に関する認証情報を取得する認証情報取得手段をさらに含み、前記情報保持手段は、前記認証条件情報として、認証の際に前記認証情報に対して検証すべき少なくとも一つの検証項目を示す情報を保持し、前記認証手段は、前記利用許可利用者群のそれぞれに関連づけられる前記認証条件情報のうち、少なくとも一つの認証条件情報に含まれる検証項目について、前記取得した認証情報の検証を行うことを前記認証条件として、前記利用者の認証を行うことを特徴とする。
【０００８】
請求項４記載の発明は、複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段を備えるコンピュータを、前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段、及び前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段、として機能させるためのプログラムである。
【発明の効果】
【０００９】
請求項１及び４記載の発明によれば、共有資源を利用しようとする利用者を認証する場合に、それぞれの共有資源を共有する利用者群のニーズに応じた認証条件を設定できる。
【００１０】
請求項２記載の発明によれば、共有資源を利用しようとする利用者を認証する場合に、当該共有資源を共有する、利用者が属する利用者群以外の他の利用者群のニーズに応じた認証を行うことができる。
【００１１】
請求項３記載の発明によれば、共有資源を共有する利用者群によって要求される検証項目について認証情報の検証を行うことによって、各利用者群のニーズに応じた認証を行うことができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態について、図面を参照しながら説明する。
【００１３】
図１は、本発明の一実施形態に係る認証装置を含んだ情報処理システムの一例を示す概要図である。本実施形態に係る情報処理システムは、サービス提供装置１と、それぞれ独立した組織（例えば企業や、企業内の部署など）によって管理される複数のローカルネットワーク２と、これらを相互に接続する通信手段（例えばインターネットなど）と、を含んで構成されている。図１では、ローカルネットワーク２の具体例として、組織ａによって管理されるローカルネットワーク２ａと、組織ｂによって管理されるローカルネットワーク２ｂと、組織ｃによって管理されるローカルネットワーク２ｃと、がそれぞれ通信手段を介してサービス提供装置１に接続されている。
【００１４】
各ローカルネットワーク２には、それぞれの組織に所属する利用者が使用する利用者端末３が複数接続されている。利用者端末３は、例えばパーソナルコンピュータ等である。また、各ローカルネットワーク２には、それぞれの組織に所属する利用者の認証を行う組織内認証装置４が接続されている。
【００１５】
組織内認証装置４は、サーバコンピュータ等であって、組織に所属する利用者の認証を行う。例えば組織内認証装置４は、組織に所属する利用者のデータを保持するディレクトリサービス・サーバとして動作する。組織内認証装置４は、同じローカルネットワーク２に接続された利用者端末３からの認証要求に応じて、利用者の認証を行う。そして、認証に成功した場合、その旨を示す認証情報を発行する。この場合において、組織内認証装置４は、自分自身が保持する秘密鍵を用いて電子署名（デジタル署名など）を生成し、認証情報に添付するものとする。この認証情報は、例えばＸＭＬ（Extensible Markup Language）などのデータ形式で記述されてよい。
【００１６】
サービス提供装置１は、サーバコンピュータ等であって、図２に示すように、制御部１１と、記憶部１２と、通信部１３と、を含んで構成される。本実施形態においては、このサービス提供装置１が、共有資源を保持するとともに、共有資源を利用しようとする利用者を認証する認証装置として機能する。
【００１７】
制御部１１は、ＣＰＵ等であって、記憶部１２に格納されるプログラムに従って動作する。本実施形態において、制御部１１は、複数の組織のいずれかに所属する利用者からの利用要求を受け付けた場合に、利用要求を行った利用者の認証を行う。制御部１１が実行する処理の具体例については、後述する。
【００１８】
記憶部１２は、ＲＡＭやＲＯＭ等のメモリ素子、バードディスク等のディスクデバイスなどを含んで構成される。記憶部１２は、制御部１１によって実行されるプログラムを保持する。また、記憶部１２は、制御部１１のワークメモリとしても動作する。
【００１９】
通信部１３は、例えばネットワークインタフェースなどであり、通信手段を介して、各組織のローカルネットワーク２に接続された利用者端末３との間で情報の送受信を行う。
【００２０】
さらに、本実施形態において記憶部１２内には、共有資源Ｒが保持される。共有資源Ｒは、サービス提供装置１によって提供されるサービスの利用者がアクセスして、利用する資源である。共有資源Ｒは、例えば複数のデータの集合であってもよいし、ウェブサービスなどにおいて用いられるプログラムであってもよい。また、このようなデータが格納される所定の領域（リポジトリなど）であってもよい。さらに、これらを組み合わせたものであってもよい。具体例として、サービス提供装置１が文書共有サービスを提供するＡＳＰ（Application Service Provider）を実現するものである場合、共有資源Ｒは、文書共有サービスによって共有される文書のデータなどである。
【００２１】
ここで、共有資源Ｒを利用する利用者は、複数の利用者グループ（利用者群）のいずれかに属するものとする。利用者グループは、利用できる共有資源Ｒが共通する利用者のグループである。本実施形態においては、前述した複数の組織のそれぞれに所属する利用者の集合が、この利用者グループに対応している。すなわち、組織ａに所属する利用者のグループが利用者グループＧａである。また、利用者グループＧｂは組織ｂに、利用者グループＧｃは組織ｃに、それぞれ所属する利用者のグループとなっている。
【００２２】
この共有資源Ｒは、記憶部１２内に複数単位保持されている。そして、それぞれの共有資源Ｒには、当該共有資源Ｒの利用が許可される１又は複数の利用者グループ（利用許可グループ）を示す情報が関連づけられている。共有資源Ｒに対して関連づけられる利用許可グループの情報は、例えばサービス提供装置１を運営するサービス提供者と、サービス提供装置１によって提供されるサービスを利用する各組織との間の取り決めによって決定される。
【００２３】
具体例として、以下では、記憶部１２内には２つの共有資源Ｒ１及びＲ２が保持されているものとする。また、共有資源Ｒ１には利用者グループＧａ及びＧｂが、共有資源Ｒ２には利用者グループＧｂ及びＧｃが、それぞれ利用許可グループとして関連づけられているものとする。すなわち、共有資源Ｒ１は組織ａ及び組織ｂの構成員によって共有されており、共有資源Ｒ２は組織ｂ及び組織ｃの構成員によって共有されている。そして、組織ｂに所属する利用者は共有資源Ｒ１及びＲ２のいずれも利用可能であるのに対して、組織ａに所属する利用者は共有資源Ｒ２を利用することはできない。また、同様に組織ｃに所属する利用者は共有資源Ｒ１を利用することはできない。
【００２４】
さらに、記憶部１２は、これら複数の利用者グループのそれぞれに関連づけて、各利用者を認証する際の認証条件を示す認証条件情報Ｐを保持している。具体的に、記憶部１２には、利用者グループＧａに関連づけられた認証条件情報Ｐａ、利用者グループＧｂに関連づけられた認証条件情報Ｐｂ、利用者グループＧｃに関連づけられた認証条件情報Ｐｃが、それぞれ保持されているものとする。認証条件情報Ｐは、利用者を認証する際の認証処理に関して、各利用者グループ（すなわち、各組織）が要求する条件を示す情報である。認証条件情報Ｐは、各組織が定めているセキュリティポリシーなど、各組織のセキュリティに対するニーズによって決定される。なお、認証条件情報Ｐの内容の具体例については、後述する。
【００２５】
以下、本実施形態において、サービス提供装置１が実行する機能の具体例について、説明する。制御部１１は、図３に示すように、機能的に、利用要求受付部２１と、認証情報取得部２２と、認証処理部２３と、を含んで構成される。これらの機能は、例えば制御部１１が記憶部１２に格納されたプログラムを実行することによって実現できる。このプログラムは、例えばＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な各種の情報記憶媒体に格納されて提供されてもよいし、インターネット等の通信手段を介して提供されてもよい。
【００２６】
利用要求受付部２１は、複数の利用者グループのいずれかに属する利用者から、複数の共有資源Ｒのいずれかに対する利用要求を受け付ける。利用者が利用者端末３に対して所定の指示操作を行うことによって、利用者端末３は、当該利用者が属する利用者グループを特定する情報、及び当該利用者が利用を要求する共有資源Ｒを特定する情報を含む利用要求を、サービス提供装置１に対して送信する。利用要求受付部２１は、このような各利用者端末３からの利用要求を受け付ける。利用要求は、例えばサービスの利用開始の要求であってもよいし、共有資源Ｒに含まれる所定のデータに対する編集、ダウンロード等の処理要求であってもよい。
【００２７】
認証情報取得部２２は、利用要求を行う利用者に関する認証情報を取得する。具体例として、利用要求受付部２１が利用要求を受け付けた場合に、認証情報取得部２２は、利用要求を行った利用者が所属する組織の組織内認証装置４に対して、認証情報の送信を要求する。組織内認証装置４は、前述したように、予め当該利用者の認証（ローカル認証）を行い、電子署名付きの認証情報を発行しているものとする。そして、サービス提供装置１から認証情報の送信要求があった場合、これに応じて、発行した認証情報をサービス提供装置１に送信する。認証情報取得部２２は、組織内認証装置４から送信されるデータを受信することによって、認証情報を取得する。
【００２８】
認証処理部２３は、利用要求受付部２１が利用要求を受け付けた場合に、利用要求を行った利用者の認証を行い、当該利用者に対して要求された共有資源Ｒの利用（すなわち、要求された共有資源Ｒへのアクセス）を許可するか否か判定する。
【００２９】
具体的に、本実施形態においては、認証処理部２３は、認証情報取得部２２が取得した認証情報の検証を行うことで、利用要求を行った利用者の認証を行う。認証情報には、当該利用者が所属する組織の組織内認証装置４によって生成された電子署名が添付されている。認証処理部２３は、この電子署名の生成に用いられた秘密鍵に対応する公開鍵を用いて、電子署名の検証を行う。これにより、認証処理部２３は、利用要求を行った利用者が、要求された共有資源Ｒの利用が許可される利用許可グループに属していることを確認する。すなわち、電子署名の検証の結果、当該電子署名が利用許可グループの組織内認証装置４によって生成されたものであることを確認できれば、認証処理部２３は、利用要求を行った利用者が利用許可グループに属していると判定し、要求された共有資源Ｒの利用を許可する。一方、電子署名の検証に失敗した場合、認証処理部２３は、利用要求を行った利用者に対し、利用が許可されない旨を示す情報を通知する。
【００３０】
ここで、電子署名を検証する際の検証項目について、説明する。一般に、電子署名の検証を行う場合、単に公開鍵により電子署名自体の内容を検証するだけでなく、この公開鍵の信頼性を検証したい場合がある。通常、公開鍵に対応する秘密鍵の所持者が誰であるかを保証するため、認証局（ＣＡ）によって公開鍵証明書が発行される。認証処理部２３は、この公開鍵証明書を取得し、証明書の有効期間が切れていないか、証明書が失効していないか、また公開鍵証明書に対して認証局によってなされた電子署名が正しいか、などを検証することによって、認証情報に添付された電子署名の正当性を検証してもよい。また、複数の認証局は、ツリー構造のＣＡチェーンを構成し、上位の認証局が下位の認証局の正当性を保証している場合がある。このような場合において、検証対象となる公開鍵証明書を発行した認証局が、サービス提供装置１が信頼している認証局ではないときには、認証処理部２３は、自分自身が信頼している認証局（信頼点）に到達するまで、ＣＡチェーンをたどりながら公開鍵証明書の検証を繰り返してもよい。以上のような各種の検証項目のうち、どの項目を検証すべきであるかは、共有資源Ｒを共有する各組織のセキュリティに関するニーズによって異なる。
【００３１】
そこで、認証処理部２３は、以下のようにして決定される認証条件に基づいて、利用要求を行った利用者の認証を行う。すなわち、認証条件は、利用要求の対象となった共有資源Ｒの利用が許可される利用許可グループのそれぞれに関連づけられた認証条件情報Ｐに応じて決まる。具体的には、認証条件情報Ｐによって示される、認証条件に関する各利用許可グループの要求を満たすように、利用要求を行った利用者の認証条件が決定される。以下、認証条件情報Ｐの内容、及び認証条件情報Ｐに基づいて決定される認証条件の具体例について、説明する。
【００３２】
本実施形態においては、認証条件情報Ｐは、認証の際に利用者の認証情報について検証すべき１又は複数の検証項目を示す情報であるものとする。図４（ａ）、図４（ｂ）及び図４（ｃ）は、それぞれ認証条件情報Ｐａ、Ｐｂ及びＰｃの内容の具体例を示している。図４（ａ）に示すように、利用者グループＧａに関連づけられた認証条件情報Ｐａは、認証情報に対する電子署名の内容の検証（検証項目１）、公開鍵証明書に対する電子署名の内容の検証（検証項目２）、及び公開鍵証明書の有効期間の検証（検証項目３）をすべきであることを示す情報である。また、図４（ｂ）に示すように、利用者グループＧｂに関連づけられた認証条件情報Ｐｂは、認証条件情報Ｐａに含まれる検証項目１から３に加えて、公開鍵証明書が失効していないかの検証（検証項目４）をすべきであることを示す情報である。また、図４（ｃ）に示すように、利用者グループＧｃに関連づけられた認証条件情報Ｐｃは、これらの検証項目１から４に加えて、公開鍵証明書に含まれる制約条件を満足するか否かの検証（検証項目５）、また信頼点までの全ての公開鍵証明書に対する検証項目２，３及び４の検証（検証項目６）をすべきであることを示す情報となっている。
【００３３】
このような認証条件情報Ｐが保持される場合に、認証処理部２３が利用者を認証する際の認証条件は、利用許可グループのそれぞれに関連づけられる認証条件情報Ｐのうち、少なくとも一つの認証条件情報に含まれる検証項目について、認証情報に対する検証を行うことであるものとする。認証処理部２３は、この各検証項目について検証に成功すれば、要求された共有資源Ｒの利用を許可する。
【００３４】
具体例として、組織ｂに所属する利用者Ｕｂが、共有資源Ｒ１の利用要求を行ったものとする。前述したように、共有資源Ｒ１の利用許可グループは、利用者グループＧａ及びＧｂである。そこで、これらの利用者グループに関連づけられた認証条件情報Ｐａ及びＰｂに応じて、認証処理部２３が利用者Ｕｂを認証する際の認証条件が決定される。具体的に、認証処理部２３は、認証条件情報Ｐａ及びＰｂの少なくとも一方に含まれる検証項目（すなわち、検証項目１，２，３，及び４）について、認証情報取得部２２が取得した認証情報の検証を行う。その結果、これら４つの検証項目の全てについて検証に成功すれば、利用者Ｕｂは組織ｂに所属するものと判定し、共有資源Ｒ１の利用を許可する。このとき、認証条件情報Ｐａ及びＰｂのいずれにも含まれない検証項目５及び６については、検証は行われない。
【００３５】
一方、同じ利用者Ｕｂが共有資源Ｒ２の利用要求を行った場合には、認証処理部２３は、共有資源Ｒ２の利用許可グループである利用者グループＧｂ及びＧｃに関連づけられた認証条件情報Ｐｂ及びＰｃに応じて決まる認証条件により、利用者Ｕｂの認証を行う。すなわち、認証条件情報Ｐｂ及びＰｃの少なくとも一方に含まれる検証項目である、検証項目１，２，３，４，５及び６について、認証情報の検証を行う。このように、同じ利用者が利用要求を行った場合でも、要求対象の共有資源Ｒがどの組織によって共有されているかによって、認証条件は変化することとなる。そして、この認証条件は、要求対象の共有資源Ｒを共有する各組織のセキュリティ上の要請を満たすものとなる。
【００３６】
なお、これまでの説明においては、利用要求の対象となった共有資源Ｒを共有する全ての利用許可グループに関連づけられた認証条件情報Ｐにより、認証条件が決まることとしている。しかし、これに限らず、認証処理部２３は、利用許可グループのうち、利用要求を行った利用者が属する利用者グループを除く利用者グループに関連づけられた認証条件情報Ｐに応じて決まる認証条件に基づいて、当該利用者の認証を行ってもよい。例えば前述した組織ｂに所属する利用者Ｕｂが、共有資源Ｒ１に対する利用要求を行った場合、認証条件は、共有資源Ｒ１を共有する利用許可グループのうち、利用者Ｕｂが属する利用者グループＧｂを除いた、利用者グループＧａの認証条件情報Ｐａに応じて決められてもよい。この場合、認証処理部２３は、検証項目１，２及び３について、認証情報の検証を行う。一方、同じ共有資源Ｒ１に対して組織ａに所属する利用者が利用要求を行った場合には、認証条件情報Ｐｂに含まれる検証項目１，２，３及び４について、認証情報の検証が行われることとなる。
【００３７】
また、ある利用者が複数の共有資源Ｒのいずれかに対して利用要求を行い、認証処理部２３が当該利用者の認証を行った後、当該利用者からこの共有資源Ｒとは異なる別の共有資源Ｒに対する利用要求を利用要求受付部２１がさらに受け付けた場合、認証処理部２３は、以下のようにして決まる認証条件に基づいて、当該利用者の認証を行ってもよい。すなわち、認証処理部２３は、当該別の共有資源Ｒに対する利用要求の際の認証条件として、この共有資源Ｒを共有する利用許可グループに関連づけられる認証条件情報Ｐに含まれる検証項目のうち、既に検証済みの検証項目を除く検証項目について、認証情報の検証を行う。具体例として、組織ｂに所属する利用者Ｕｂが、まず共有資源Ｒ１に対して利用要求を行ったものとする。このとき認証処理部２３は、前述したように、検証項目１，２，３及び４について認証情報の検証を行う。さらに、利用者Ｕｂが共有資源Ｒ１を利用した後、継続して共有資源Ｒ２への利用要求を行った場合、サービス提供装置１は、既に利用者Ｕｂの認証を行っているにも関わらず、再度利用者Ｕｂの認証を行う必要がある。なぜなら、各共有資源Ｒを共有する利用許可グループによって、認証条件が変化するからである。この場合において、認証処理部２３は、前回の認証処理において既に検証済みの検証項目は除いて、まだ検証を行っていない検証項目（この例においては、検証項目５及び６）について、検証を行うこととしてもよい。
【００３８】
なお、本発明の実施の形態は、以上説明した例に限られない。例えば以上の説明においては、サービス提供装置１は共有資源Ｒを保持する１台のコンピュータであることとしたが、これに限らずサービス提供装置１の機能は複数のコンピュータによって実現されてもよい。例えば、共有資源を保持して利用者に対するサービス提供を行う情報処理装置と、要求される共有資源に応じて利用者の認証を行う認証装置とは、異なるものであってもよい。
【００３９】
また、以上の説明においては、各組織に所属する利用者は、それぞれ自分が所属する組織のローカルネットワーク２からサービス提供装置１に接続することとし、各ローカルネットワーク２は互いに独立しているものとしたが、これに限らず、各利用者が使用する利用者端末３は１つのネットワーク内に混在してもよい。
【００４０】
また、以上の説明においては、サービス提供装置１は利用者端末３から利用要求を受け付け、組織内認証装置４から認証情報を取得することとしている。しかしながら、例えば組織内認証装置４は、利用者端末３からの利用要求を受け付けて、当該利用要求を行った利用者に対する認証情報を発行し、発行した認証情報を当該利用要求とともにサービス提供装置１に送信することとしてもよい。この場合、サービス提供装置１は組織内認証装置４を介して利用要求を受け付けるとともに、認証情報を取得することとなる。
【００４１】
さらに、本実施形態においては組織内認証装置４が発行する認証情報に添付された電子署名の検証を行うことによって、利用者の認証を行うこととしたが、認証方法はこのようなものに限られない。また、認証条件情報も、認証情報に対して検証すべき検証項目を示す情報だけに限られず、認証の際に要求される各種の条件を指定するものであってよい。
【図面の簡単な説明】
【００４２】
【図１】本発明の実施の形態に係る情報処理システムの全体構成を表す概要図である。
【図２】本発明の実施の形態に係る認証装置の構成例を表すブロック図である。
【図３】本発明の実施の形態に係る認証装置の機能例を表す機能ブロック図である。
【図４】本発明の実施の形態に係る認証装置が保持する認証条件情報の具体例を表す図である。
【符号の説明】
【００４３】
１ サービス提供装置（認証装置）、２ ローカルネットワーク、３ 利用者端末、４ 組織内認証装置、１１ 制御部、１２ 記憶部、１３ 通信部、２１ 利用要求受付部、２２ 認証情報取得部、２３ 認証処理部。
【技術分野】
【０００１】
本発明は、認証装置及びプログラムに関する。
【背景技術】
【０００２】
例えばウェブサービスなどにおいては、当該サービスによって管理される資源（データやアプリケーションプログラムなど）を利用する利用者を、電子署名などの方法で認証する場合がある。利用者を認証する方法としては、様々なものが提案されている（例えば特許文献１参照）。このような認証技術の一例として、シングル・サイン・オンを実現するものがある。この技術においては、既に他の認証装置によって認証済みの利用者からサービスの利用要求があった場合、認証装置は、この利用者に対して他の認証装置によってなされた認証結果を検証する（例えば、他の認証装置によって生成された電子署名を検証する）ことにより、利用者の認証を行う。このような技術によれば、認証装置は、信頼する他の認証装置によってなされた認証結果を検証する手段を備えていれば、サービスを利用する全ての利用者に関する情報を予め保持しておく必要はないことになる。
【特許文献１】特開２００３−１３２０２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
上述した認証技術の例においては、提供される資源に対して要求されるセキュリティのレベルに応じて、例えば他の認証装置によって生成された電子署名の検証をどの程度厳密に行うかなどの認証条件が決定される。しかしながら、サービス利用者に提供される資源が、複数の利用者群（例えば、企業などの組織）によって共有される共有資源である場合、このような資源を共有する利用者群ごとにセキュリティレベルに対するニーズも異なることがある。そのため、認証装置が複数の共有資源を管理する場合、個々の共有資源に対して要求されるセキュリティのレベルも異なることとなり、これらの共有資源のそれぞれに対して利用者群ごとのニーズに応じた認証条件を柔軟に設定することは、煩雑となる場合がある。
【０００４】
本発明の目的は、共有資源を利用しようとする利用者を認証する場合に、それぞれの共有資源を共有する利用者群のニーズに応じた認証条件を設定できる認証装置及びプログラムを提供することにある。
【課題を解決するための手段】
【０００５】
請求項１記載の発明は、認証装置であって、複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段と、前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段と、前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段と、を含むことを特徴とする。
【０００６】
請求項２記載の発明は、請求項１に記載の認証装置であって、前記認証手段は、前記利用許可利用者群のうち、前記利用者が属する利用者群を除く利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、前記利用者の認証を行うことを特徴とする。
【０００７】
請求項３記載の発明は、請求項１又は２に記載の認証装置であって、前記利用要求を行う利用者に関する認証情報を取得する認証情報取得手段をさらに含み、前記情報保持手段は、前記認証条件情報として、認証の際に前記認証情報に対して検証すべき少なくとも一つの検証項目を示す情報を保持し、前記認証手段は、前記利用許可利用者群のそれぞれに関連づけられる前記認証条件情報のうち、少なくとも一つの認証条件情報に含まれる検証項目について、前記取得した認証情報の検証を行うことを前記認証条件として、前記利用者の認証を行うことを特徴とする。
【０００８】
請求項４記載の発明は、複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段を備えるコンピュータを、前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段、及び前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段、として機能させるためのプログラムである。
【発明の効果】
【０００９】
請求項１及び４記載の発明によれば、共有資源を利用しようとする利用者を認証する場合に、それぞれの共有資源を共有する利用者群のニーズに応じた認証条件を設定できる。
【００１０】
請求項２記載の発明によれば、共有資源を利用しようとする利用者を認証する場合に、当該共有資源を共有する、利用者が属する利用者群以外の他の利用者群のニーズに応じた認証を行うことができる。
【００１１】
請求項３記載の発明によれば、共有資源を共有する利用者群によって要求される検証項目について認証情報の検証を行うことによって、各利用者群のニーズに応じた認証を行うことができる。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態について、図面を参照しながら説明する。
【００１３】
図１は、本発明の一実施形態に係る認証装置を含んだ情報処理システムの一例を示す概要図である。本実施形態に係る情報処理システムは、サービス提供装置１と、それぞれ独立した組織（例えば企業や、企業内の部署など）によって管理される複数のローカルネットワーク２と、これらを相互に接続する通信手段（例えばインターネットなど）と、を含んで構成されている。図１では、ローカルネットワーク２の具体例として、組織ａによって管理されるローカルネットワーク２ａと、組織ｂによって管理されるローカルネットワーク２ｂと、組織ｃによって管理されるローカルネットワーク２ｃと、がそれぞれ通信手段を介してサービス提供装置１に接続されている。
【００１４】
各ローカルネットワーク２には、それぞれの組織に所属する利用者が使用する利用者端末３が複数接続されている。利用者端末３は、例えばパーソナルコンピュータ等である。また、各ローカルネットワーク２には、それぞれの組織に所属する利用者の認証を行う組織内認証装置４が接続されている。
【００１５】
組織内認証装置４は、サーバコンピュータ等であって、組織に所属する利用者の認証を行う。例えば組織内認証装置４は、組織に所属する利用者のデータを保持するディレクトリサービス・サーバとして動作する。組織内認証装置４は、同じローカルネットワーク２に接続された利用者端末３からの認証要求に応じて、利用者の認証を行う。そして、認証に成功した場合、その旨を示す認証情報を発行する。この場合において、組織内認証装置４は、自分自身が保持する秘密鍵を用いて電子署名（デジタル署名など）を生成し、認証情報に添付するものとする。この認証情報は、例えばＸＭＬ（Extensible Markup Language）などのデータ形式で記述されてよい。
【００１６】
サービス提供装置１は、サーバコンピュータ等であって、図２に示すように、制御部１１と、記憶部１２と、通信部１３と、を含んで構成される。本実施形態においては、このサービス提供装置１が、共有資源を保持するとともに、共有資源を利用しようとする利用者を認証する認証装置として機能する。
【００１７】
制御部１１は、ＣＰＵ等であって、記憶部１２に格納されるプログラムに従って動作する。本実施形態において、制御部１１は、複数の組織のいずれかに所属する利用者からの利用要求を受け付けた場合に、利用要求を行った利用者の認証を行う。制御部１１が実行する処理の具体例については、後述する。
【００１８】
記憶部１２は、ＲＡＭやＲＯＭ等のメモリ素子、バードディスク等のディスクデバイスなどを含んで構成される。記憶部１２は、制御部１１によって実行されるプログラムを保持する。また、記憶部１２は、制御部１１のワークメモリとしても動作する。
【００１９】
通信部１３は、例えばネットワークインタフェースなどであり、通信手段を介して、各組織のローカルネットワーク２に接続された利用者端末３との間で情報の送受信を行う。
【００２０】
さらに、本実施形態において記憶部１２内には、共有資源Ｒが保持される。共有資源Ｒは、サービス提供装置１によって提供されるサービスの利用者がアクセスして、利用する資源である。共有資源Ｒは、例えば複数のデータの集合であってもよいし、ウェブサービスなどにおいて用いられるプログラムであってもよい。また、このようなデータが格納される所定の領域（リポジトリなど）であってもよい。さらに、これらを組み合わせたものであってもよい。具体例として、サービス提供装置１が文書共有サービスを提供するＡＳＰ（Application Service Provider）を実現するものである場合、共有資源Ｒは、文書共有サービスによって共有される文書のデータなどである。
【００２１】
ここで、共有資源Ｒを利用する利用者は、複数の利用者グループ（利用者群）のいずれかに属するものとする。利用者グループは、利用できる共有資源Ｒが共通する利用者のグループである。本実施形態においては、前述した複数の組織のそれぞれに所属する利用者の集合が、この利用者グループに対応している。すなわち、組織ａに所属する利用者のグループが利用者グループＧａである。また、利用者グループＧｂは組織ｂに、利用者グループＧｃは組織ｃに、それぞれ所属する利用者のグループとなっている。
【００２２】
この共有資源Ｒは、記憶部１２内に複数単位保持されている。そして、それぞれの共有資源Ｒには、当該共有資源Ｒの利用が許可される１又は複数の利用者グループ（利用許可グループ）を示す情報が関連づけられている。共有資源Ｒに対して関連づけられる利用許可グループの情報は、例えばサービス提供装置１を運営するサービス提供者と、サービス提供装置１によって提供されるサービスを利用する各組織との間の取り決めによって決定される。
【００２３】
具体例として、以下では、記憶部１２内には２つの共有資源Ｒ１及びＲ２が保持されているものとする。また、共有資源Ｒ１には利用者グループＧａ及びＧｂが、共有資源Ｒ２には利用者グループＧｂ及びＧｃが、それぞれ利用許可グループとして関連づけられているものとする。すなわち、共有資源Ｒ１は組織ａ及び組織ｂの構成員によって共有されており、共有資源Ｒ２は組織ｂ及び組織ｃの構成員によって共有されている。そして、組織ｂに所属する利用者は共有資源Ｒ１及びＲ２のいずれも利用可能であるのに対して、組織ａに所属する利用者は共有資源Ｒ２を利用することはできない。また、同様に組織ｃに所属する利用者は共有資源Ｒ１を利用することはできない。
【００２４】
さらに、記憶部１２は、これら複数の利用者グループのそれぞれに関連づけて、各利用者を認証する際の認証条件を示す認証条件情報Ｐを保持している。具体的に、記憶部１２には、利用者グループＧａに関連づけられた認証条件情報Ｐａ、利用者グループＧｂに関連づけられた認証条件情報Ｐｂ、利用者グループＧｃに関連づけられた認証条件情報Ｐｃが、それぞれ保持されているものとする。認証条件情報Ｐは、利用者を認証する際の認証処理に関して、各利用者グループ（すなわち、各組織）が要求する条件を示す情報である。認証条件情報Ｐは、各組織が定めているセキュリティポリシーなど、各組織のセキュリティに対するニーズによって決定される。なお、認証条件情報Ｐの内容の具体例については、後述する。
【００２５】
以下、本実施形態において、サービス提供装置１が実行する機能の具体例について、説明する。制御部１１は、図３に示すように、機能的に、利用要求受付部２１と、認証情報取得部２２と、認証処理部２３と、を含んで構成される。これらの機能は、例えば制御部１１が記憶部１２に格納されたプログラムを実行することによって実現できる。このプログラムは、例えばＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な各種の情報記憶媒体に格納されて提供されてもよいし、インターネット等の通信手段を介して提供されてもよい。
【００２６】
利用要求受付部２１は、複数の利用者グループのいずれかに属する利用者から、複数の共有資源Ｒのいずれかに対する利用要求を受け付ける。利用者が利用者端末３に対して所定の指示操作を行うことによって、利用者端末３は、当該利用者が属する利用者グループを特定する情報、及び当該利用者が利用を要求する共有資源Ｒを特定する情報を含む利用要求を、サービス提供装置１に対して送信する。利用要求受付部２１は、このような各利用者端末３からの利用要求を受け付ける。利用要求は、例えばサービスの利用開始の要求であってもよいし、共有資源Ｒに含まれる所定のデータに対する編集、ダウンロード等の処理要求であってもよい。
【００２７】
認証情報取得部２２は、利用要求を行う利用者に関する認証情報を取得する。具体例として、利用要求受付部２１が利用要求を受け付けた場合に、認証情報取得部２２は、利用要求を行った利用者が所属する組織の組織内認証装置４に対して、認証情報の送信を要求する。組織内認証装置４は、前述したように、予め当該利用者の認証（ローカル認証）を行い、電子署名付きの認証情報を発行しているものとする。そして、サービス提供装置１から認証情報の送信要求があった場合、これに応じて、発行した認証情報をサービス提供装置１に送信する。認証情報取得部２２は、組織内認証装置４から送信されるデータを受信することによって、認証情報を取得する。
【００２８】
認証処理部２３は、利用要求受付部２１が利用要求を受け付けた場合に、利用要求を行った利用者の認証を行い、当該利用者に対して要求された共有資源Ｒの利用（すなわち、要求された共有資源Ｒへのアクセス）を許可するか否か判定する。
【００２９】
具体的に、本実施形態においては、認証処理部２３は、認証情報取得部２２が取得した認証情報の検証を行うことで、利用要求を行った利用者の認証を行う。認証情報には、当該利用者が所属する組織の組織内認証装置４によって生成された電子署名が添付されている。認証処理部２３は、この電子署名の生成に用いられた秘密鍵に対応する公開鍵を用いて、電子署名の検証を行う。これにより、認証処理部２３は、利用要求を行った利用者が、要求された共有資源Ｒの利用が許可される利用許可グループに属していることを確認する。すなわち、電子署名の検証の結果、当該電子署名が利用許可グループの組織内認証装置４によって生成されたものであることを確認できれば、認証処理部２３は、利用要求を行った利用者が利用許可グループに属していると判定し、要求された共有資源Ｒの利用を許可する。一方、電子署名の検証に失敗した場合、認証処理部２３は、利用要求を行った利用者に対し、利用が許可されない旨を示す情報を通知する。
【００３０】
ここで、電子署名を検証する際の検証項目について、説明する。一般に、電子署名の検証を行う場合、単に公開鍵により電子署名自体の内容を検証するだけでなく、この公開鍵の信頼性を検証したい場合がある。通常、公開鍵に対応する秘密鍵の所持者が誰であるかを保証するため、認証局（ＣＡ）によって公開鍵証明書が発行される。認証処理部２３は、この公開鍵証明書を取得し、証明書の有効期間が切れていないか、証明書が失効していないか、また公開鍵証明書に対して認証局によってなされた電子署名が正しいか、などを検証することによって、認証情報に添付された電子署名の正当性を検証してもよい。また、複数の認証局は、ツリー構造のＣＡチェーンを構成し、上位の認証局が下位の認証局の正当性を保証している場合がある。このような場合において、検証対象となる公開鍵証明書を発行した認証局が、サービス提供装置１が信頼している認証局ではないときには、認証処理部２３は、自分自身が信頼している認証局（信頼点）に到達するまで、ＣＡチェーンをたどりながら公開鍵証明書の検証を繰り返してもよい。以上のような各種の検証項目のうち、どの項目を検証すべきであるかは、共有資源Ｒを共有する各組織のセキュリティに関するニーズによって異なる。
【００３１】
そこで、認証処理部２３は、以下のようにして決定される認証条件に基づいて、利用要求を行った利用者の認証を行う。すなわち、認証条件は、利用要求の対象となった共有資源Ｒの利用が許可される利用許可グループのそれぞれに関連づけられた認証条件情報Ｐに応じて決まる。具体的には、認証条件情報Ｐによって示される、認証条件に関する各利用許可グループの要求を満たすように、利用要求を行った利用者の認証条件が決定される。以下、認証条件情報Ｐの内容、及び認証条件情報Ｐに基づいて決定される認証条件の具体例について、説明する。
【００３２】
本実施形態においては、認証条件情報Ｐは、認証の際に利用者の認証情報について検証すべき１又は複数の検証項目を示す情報であるものとする。図４（ａ）、図４（ｂ）及び図４（ｃ）は、それぞれ認証条件情報Ｐａ、Ｐｂ及びＰｃの内容の具体例を示している。図４（ａ）に示すように、利用者グループＧａに関連づけられた認証条件情報Ｐａは、認証情報に対する電子署名の内容の検証（検証項目１）、公開鍵証明書に対する電子署名の内容の検証（検証項目２）、及び公開鍵証明書の有効期間の検証（検証項目３）をすべきであることを示す情報である。また、図４（ｂ）に示すように、利用者グループＧｂに関連づけられた認証条件情報Ｐｂは、認証条件情報Ｐａに含まれる検証項目１から３に加えて、公開鍵証明書が失効していないかの検証（検証項目４）をすべきであることを示す情報である。また、図４（ｃ）に示すように、利用者グループＧｃに関連づけられた認証条件情報Ｐｃは、これらの検証項目１から４に加えて、公開鍵証明書に含まれる制約条件を満足するか否かの検証（検証項目５）、また信頼点までの全ての公開鍵証明書に対する検証項目２，３及び４の検証（検証項目６）をすべきであることを示す情報となっている。
【００３３】
このような認証条件情報Ｐが保持される場合に、認証処理部２３が利用者を認証する際の認証条件は、利用許可グループのそれぞれに関連づけられる認証条件情報Ｐのうち、少なくとも一つの認証条件情報に含まれる検証項目について、認証情報に対する検証を行うことであるものとする。認証処理部２３は、この各検証項目について検証に成功すれば、要求された共有資源Ｒの利用を許可する。
【００３４】
具体例として、組織ｂに所属する利用者Ｕｂが、共有資源Ｒ１の利用要求を行ったものとする。前述したように、共有資源Ｒ１の利用許可グループは、利用者グループＧａ及びＧｂである。そこで、これらの利用者グループに関連づけられた認証条件情報Ｐａ及びＰｂに応じて、認証処理部２３が利用者Ｕｂを認証する際の認証条件が決定される。具体的に、認証処理部２３は、認証条件情報Ｐａ及びＰｂの少なくとも一方に含まれる検証項目（すなわち、検証項目１，２，３，及び４）について、認証情報取得部２２が取得した認証情報の検証を行う。その結果、これら４つの検証項目の全てについて検証に成功すれば、利用者Ｕｂは組織ｂに所属するものと判定し、共有資源Ｒ１の利用を許可する。このとき、認証条件情報Ｐａ及びＰｂのいずれにも含まれない検証項目５及び６については、検証は行われない。
【００３５】
一方、同じ利用者Ｕｂが共有資源Ｒ２の利用要求を行った場合には、認証処理部２３は、共有資源Ｒ２の利用許可グループである利用者グループＧｂ及びＧｃに関連づけられた認証条件情報Ｐｂ及びＰｃに応じて決まる認証条件により、利用者Ｕｂの認証を行う。すなわち、認証条件情報Ｐｂ及びＰｃの少なくとも一方に含まれる検証項目である、検証項目１，２，３，４，５及び６について、認証情報の検証を行う。このように、同じ利用者が利用要求を行った場合でも、要求対象の共有資源Ｒがどの組織によって共有されているかによって、認証条件は変化することとなる。そして、この認証条件は、要求対象の共有資源Ｒを共有する各組織のセキュリティ上の要請を満たすものとなる。
【００３６】
なお、これまでの説明においては、利用要求の対象となった共有資源Ｒを共有する全ての利用許可グループに関連づけられた認証条件情報Ｐにより、認証条件が決まることとしている。しかし、これに限らず、認証処理部２３は、利用許可グループのうち、利用要求を行った利用者が属する利用者グループを除く利用者グループに関連づけられた認証条件情報Ｐに応じて決まる認証条件に基づいて、当該利用者の認証を行ってもよい。例えば前述した組織ｂに所属する利用者Ｕｂが、共有資源Ｒ１に対する利用要求を行った場合、認証条件は、共有資源Ｒ１を共有する利用許可グループのうち、利用者Ｕｂが属する利用者グループＧｂを除いた、利用者グループＧａの認証条件情報Ｐａに応じて決められてもよい。この場合、認証処理部２３は、検証項目１，２及び３について、認証情報の検証を行う。一方、同じ共有資源Ｒ１に対して組織ａに所属する利用者が利用要求を行った場合には、認証条件情報Ｐｂに含まれる検証項目１，２，３及び４について、認証情報の検証が行われることとなる。
【００３７】
また、ある利用者が複数の共有資源Ｒのいずれかに対して利用要求を行い、認証処理部２３が当該利用者の認証を行った後、当該利用者からこの共有資源Ｒとは異なる別の共有資源Ｒに対する利用要求を利用要求受付部２１がさらに受け付けた場合、認証処理部２３は、以下のようにして決まる認証条件に基づいて、当該利用者の認証を行ってもよい。すなわち、認証処理部２３は、当該別の共有資源Ｒに対する利用要求の際の認証条件として、この共有資源Ｒを共有する利用許可グループに関連づけられる認証条件情報Ｐに含まれる検証項目のうち、既に検証済みの検証項目を除く検証項目について、認証情報の検証を行う。具体例として、組織ｂに所属する利用者Ｕｂが、まず共有資源Ｒ１に対して利用要求を行ったものとする。このとき認証処理部２３は、前述したように、検証項目１，２，３及び４について認証情報の検証を行う。さらに、利用者Ｕｂが共有資源Ｒ１を利用した後、継続して共有資源Ｒ２への利用要求を行った場合、サービス提供装置１は、既に利用者Ｕｂの認証を行っているにも関わらず、再度利用者Ｕｂの認証を行う必要がある。なぜなら、各共有資源Ｒを共有する利用許可グループによって、認証条件が変化するからである。この場合において、認証処理部２３は、前回の認証処理において既に検証済みの検証項目は除いて、まだ検証を行っていない検証項目（この例においては、検証項目５及び６）について、検証を行うこととしてもよい。
【００３８】
なお、本発明の実施の形態は、以上説明した例に限られない。例えば以上の説明においては、サービス提供装置１は共有資源Ｒを保持する１台のコンピュータであることとしたが、これに限らずサービス提供装置１の機能は複数のコンピュータによって実現されてもよい。例えば、共有資源を保持して利用者に対するサービス提供を行う情報処理装置と、要求される共有資源に応じて利用者の認証を行う認証装置とは、異なるものであってもよい。
【００３９】
また、以上の説明においては、各組織に所属する利用者は、それぞれ自分が所属する組織のローカルネットワーク２からサービス提供装置１に接続することとし、各ローカルネットワーク２は互いに独立しているものとしたが、これに限らず、各利用者が使用する利用者端末３は１つのネットワーク内に混在してもよい。
【００４０】
また、以上の説明においては、サービス提供装置１は利用者端末３から利用要求を受け付け、組織内認証装置４から認証情報を取得することとしている。しかしながら、例えば組織内認証装置４は、利用者端末３からの利用要求を受け付けて、当該利用要求を行った利用者に対する認証情報を発行し、発行した認証情報を当該利用要求とともにサービス提供装置１に送信することとしてもよい。この場合、サービス提供装置１は組織内認証装置４を介して利用要求を受け付けるとともに、認証情報を取得することとなる。
【００４１】
さらに、本実施形態においては組織内認証装置４が発行する認証情報に添付された電子署名の検証を行うことによって、利用者の認証を行うこととしたが、認証方法はこのようなものに限られない。また、認証条件情報も、認証情報に対して検証すべき検証項目を示す情報だけに限られず、認証の際に要求される各種の条件を指定するものであってよい。
【図面の簡単な説明】
【００４２】
【図１】本発明の実施の形態に係る情報処理システムの全体構成を表す概要図である。
【図２】本発明の実施の形態に係る認証装置の構成例を表すブロック図である。
【図３】本発明の実施の形態に係る認証装置の機能例を表す機能ブロック図である。
【図４】本発明の実施の形態に係る認証装置が保持する認証条件情報の具体例を表す図である。
【符号の説明】
【００４３】
１ サービス提供装置（認証装置）、２ ローカルネットワーク、３ 利用者端末、４ 組織内認証装置、１１ 制御部、１２ 記憶部、１３ 通信部、２１ 利用要求受付部、２２ 認証情報取得部、２３ 認証処理部。
【特許請求の範囲】
【請求項１】
複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段と、
前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段と、
前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段と、
を含むことを特徴とする認証装置。
【請求項２】
請求項１に記載の認証装置において、
前記認証手段は、前記利用許可利用者群のうち、前記利用者が属する利用者群を除く利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、前記利用者の認証を行う
ことを特徴とする認証装置。
【請求項３】
請求項１又は２に記載の認証装置において、
前記利用要求を行う利用者に関する認証情報を取得する認証情報取得手段をさらに含み、
前記情報保持手段は、前記認証条件情報として、認証の際に前記認証情報に対して検証すべき少なくとも一つの検証項目を示す情報を保持し、
前記認証手段は、前記利用許可利用者群のそれぞれに関連づけられる前記認証条件情報のうち、少なくとも一つの認証条件情報に含まれる検証項目について、前記取得した認証情報の検証を行うことを前記認証条件として、前記利用者の認証を行う
ことを特徴とする認証装置。
【請求項４】
複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段を備えるコンピュータを、
前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段、及び
前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段、
として機能させるためのプログラム。
【請求項１】
複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段と、
前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段と、
前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段と、
を含むことを特徴とする認証装置。
【請求項２】
請求項１に記載の認証装置において、
前記認証手段は、前記利用許可利用者群のうち、前記利用者が属する利用者群を除く利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、前記利用者の認証を行う
ことを特徴とする認証装置。
【請求項３】
請求項１又は２に記載の認証装置において、
前記利用要求を行う利用者に関する認証情報を取得する認証情報取得手段をさらに含み、
前記情報保持手段は、前記認証条件情報として、認証の際に前記認証情報に対して検証すべき少なくとも一つの検証項目を示す情報を保持し、
前記認証手段は、前記利用許可利用者群のそれぞれに関連づけられる前記認証条件情報のうち、少なくとも一つの認証条件情報に含まれる検証項目について、前記取得した認証情報の検証を行うことを前記認証条件として、前記利用者の認証を行う
ことを特徴とする認証装置。
【請求項４】
複数の利用者群のそれぞれに関連づけて、利用者を認証する際の認証条件を示す認証条件情報を保持する情報保持手段を備えるコンピュータを、
前記複数の利用者群のいずれかに属する利用者から、複数の共有資源のいずれかに対する利用要求を受け付ける要求受付手段、及び
前記利用要求を受け付けた場合に、前記複数の利用者群のうち、当該利用要求の対象となる共有資源の利用が許可される利用許可利用者群のそれぞれに関連づけられる前記認証条件情報に応じて決まる認証条件に基づいて、当該利用要求を行う利用者の認証を行う認証手段、
として機能させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２００８−２８７３５９（Ｐ２００８−２８７３５９Ａ）
【公開日】平成２０年１１月２７日（２００８．１１．２７）
【国際特許分類】
【出願番号】特願２００７−１２９６１４（Ｐ２００７−１２９６１４）
【出願日】平成１９年５月１５日（２００７．５．１５）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
【公開日】平成２０年１１月２７日（２００８．１１．２７）
【国際特許分類】
【出願日】平成１９年５月１５日（２００７．５．１５）
【出願人】（０００００５４９６）富士ゼロックス株式会社 (21,908)
【Ｆターム（参考）】
[ Back to top ]