JP2002215585A - 個人証明書サブジェクト名処理装置および方法 - Google Patents
個人証明書サブジェクト名処理装置および方法Info
- Publication number
- JP2002215585A JP2002215585A JP2001315276A JP2001315276A JP2002215585A JP 2002215585 A JP2002215585 A JP 2002215585A JP 2001315276 A JP2001315276 A JP 2001315276A JP 2001315276 A JP2001315276 A JP 2001315276A JP 2002215585 A JP2002215585 A JP 2002215585A
- Authority
- JP
- Japan
- Prior art keywords
- personal certificate
- name
- certificate
- subject name
- personal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
- G06F21/33—User authentication using certificates
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2117—User registration
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- General Health & Medical Sciences (AREA)
- Bioethics (AREA)
- Health & Medical Sciences (AREA)
- Databases & Information Systems (AREA)
- Management, Administration, Business Operations System, And Electronic Commerce (AREA)
- Storage Device Security (AREA)
Abstract
(57)【要約】
【課題】 証明書のサブジェクト名を利用して簡易にア
クセス制御等を行う。 【解決手段】 認証部１５１は認証手続をクライアント
端末２０１およびウェブサーバ１０１間で実現する。認
証部１５１は、この認証手続の際に、クライアント端末
から証明書を受け取り、そのサブジェクト名がエレメン
ト抽出部１５２に供給される。エレメント抽出部１５２
はサブジェクト名の階層構造を辿って所定のエレメント
を抽出する。権限判別部１５３は抽出したエレメントの
種類、値に基づいて文書のアクセス権限を決定し、これ
をセッション番号に割り当てる。権限登録部１５４はセ
ッション番号と権限との関係を登録し以降、セッション
が継続する間、このセッション番号に基づいてアクセス
権限が許容される。
クセス制御等を行う。 【解決手段】 認証部１５１は認証手続をクライアント
端末２０１およびウェブサーバ１０１間で実現する。認
証部１５１は、この認証手続の際に、クライアント端末
から証明書を受け取り、そのサブジェクト名がエレメン
ト抽出部１５２に供給される。エレメント抽出部１５２
はサブジェクト名の階層構造を辿って所定のエレメント
を抽出する。権限判別部１５３は抽出したエレメントの
種類、値に基づいて文書のアクセス権限を決定し、これ
をセッション番号に割り当てる。権限登録部１５４はセ
ッション番号と権限との関係を登録し以降、セッション
が継続する間、このセッション番号に基づいてアクセス
権限が許容される。
Description
【０００１】
【発明の属する技術分野】この発明は、個人証明書（以
下では単に証明書と呼ぶこともある）のサブジェクト名
を利用してアクセスを制御する技術に関する。
下では単に証明書と呼ぶこともある）のサブジェクト名
を利用してアクセスを制御する技術に関する。
【０００２】
【従来の技術】ＩＴＵ−Ｔ勧告Ｘ．５０９はディレクト
リモデル認証を規定しており、このディレクトリモデル
認証に準拠して個人証明書を発行局（認証局）から発行
してもらう。発行局は申請人から証明書の発行に必要な
情報（名前、所属、公開鍵等）を受け取り所定のポリシ
ーに従い証明書を発行し、証明書を所定の証明書格納部
に保存する。申請人は証明書格納部から証明書を取り出
すことができる。
リモデル認証を規定しており、このディレクトリモデル
認証に準拠して個人証明書を発行局（認証局）から発行
してもらう。発行局は申請人から証明書の発行に必要な
情報（名前、所属、公開鍵等）を受け取り所定のポリシ
ーに従い証明書を発行し、証明書を所定の証明書格納部
に保存する。申請人は証明書格納部から証明書を取り出
すことができる。
【０００３】ところで、個人証明書のサブジェクト名を
見ただけでは、その証明書の保持者がどういう権限を有
しており、どういう性質をもっているか不明である。保
持者が有している権限や性質を知るために種々のアプロ
ーチが採用されている。例えば、証明書のサブジェクト
名と権限とをデータベースに登録し、証明書を用いたア
クセスがあるたびにデータベースに問合せる。しかしこ
の方法は効率の面で問題があった。
見ただけでは、その証明書の保持者がどういう権限を有
しており、どういう性質をもっているか不明である。保
持者が有している権限や性質を知るために種々のアプロ
ーチが採用されている。例えば、証明書のサブジェクト
名と権限とをデータベースに登録し、証明書を用いたア
クセスがあるたびにデータベースに問合せる。しかしこ
の方法は効率の面で問題があった。
【０００４】図１０は、上述の従来のアプローチを実現
するシステム例を示している。この図において、ユーザ
はクライアント端末５００を用いてネットワーク（例え
ばインターネット）５０１を介してウェブ・サーバ５０
２にアクセスする。このアクセスはＳＳＬ手法を用いて
行われ、クライアント端末５００およびウェブ・サーバ
５０２の間で証明書を交換し、認証を行い、この後、ネ
ゴシエーションにより決定された慣用暗号によりデータ
を暗号化して送受信する。ウェブ・サーバ５０２は、ク
ライアント端末５００から送られた証明書のサブジェク
ト名（証明書に記載されている被認証者の識別子）を用
いてデータベースサーバ（ディレクトリサービス）５０
３に問い合わせクライアント端末５００のユーザがアク
セス権限を有するかどうかを知る。例えば、アクセス対
象の権限レベル（例えば０、１、２等）とサブジェクト
名を引数としてデータベースサーバ５０３に問い合わ
せ、当該サブジェクト名のユーザが当該権限レベルにア
クセスできるかどうかを応答として受け取る。データベ
ースサーバ５０３は、ユーザ（サブジェクト名）と許容
されている権限レベルとの関係を記憶保持している。も
ちろん、サブジェクト名を引数として許容権限レベルを
受け取ってウェブ・サーバ５０２側においてアクセス対
象ファイルがその許容権限レベル以内かを判別するよう
にすることもあるし、サブジェクト名とアクセス対象フ
ァイル名（ディレクトリ名）をデータベースサーバ５０
３に引き渡して照会を行ってもよい。
するシステム例を示している。この図において、ユーザ
はクライアント端末５００を用いてネットワーク（例え
ばインターネット）５０１を介してウェブ・サーバ５０
２にアクセスする。このアクセスはＳＳＬ手法を用いて
行われ、クライアント端末５００およびウェブ・サーバ
５０２の間で証明書を交換し、認証を行い、この後、ネ
ゴシエーションにより決定された慣用暗号によりデータ
を暗号化して送受信する。ウェブ・サーバ５０２は、ク
ライアント端末５００から送られた証明書のサブジェク
ト名（証明書に記載されている被認証者の識別子）を用
いてデータベースサーバ（ディレクトリサービス）５０
３に問い合わせクライアント端末５００のユーザがアク
セス権限を有するかどうかを知る。例えば、アクセス対
象の権限レベル（例えば０、１、２等）とサブジェクト
名を引数としてデータベースサーバ５０３に問い合わ
せ、当該サブジェクト名のユーザが当該権限レベルにア
クセスできるかどうかを応答として受け取る。データベ
ースサーバ５０３は、ユーザ（サブジェクト名）と許容
されている権限レベルとの関係を記憶保持している。も
ちろん、サブジェクト名を引数として許容権限レベルを
受け取ってウェブ・サーバ５０２側においてアクセス対
象ファイルがその許容権限レベル以内かを判別するよう
にすることもあるし、サブジェクト名とアクセス対象フ
ァイル名（ディレクトリ名）をデータベースサーバ５０
３に引き渡して照会を行ってもよい。
【０００５】以上のような従来のアプローチでは、アク
セスのたびにネットワーク５０１を介してデータベース
サーバ５０３に権限の照会を行うので、計算機コストを
消費することになる。また、ネットワーク５０１に照会
データがそのまま送信されるのでセキュリティ上問題が
ないわけではなかった。
セスのたびにネットワーク５０１を介してデータベース
サーバ５０３に権限の照会を行うので、計算機コストを
消費することになる。また、ネットワーク５０１に照会
データがそのまま送信されるのでセキュリティ上問題が
ないわけではなかった。
【０００６】また、上述の問題を回避するためにデータ
ベースサーバ５０３の権限情報のセットまたはサブセッ
トのコピー（データベースサーバ）をウェブ・サーバ５
００のサイトにローカルに配置することも考えられる。
しかし、このようにすると、データベースサーバ５０３
およびそのコピーとの間で一貫性を維持しなければなら
ず、保守管理等が煩雑となる。また、各サイトにデータ
ベースサーバを配置するとコストアップになる。
ベースサーバ５０３の権限情報のセットまたはサブセッ
トのコピー（データベースサーバ）をウェブ・サーバ５
００のサイトにローカルに配置することも考えられる。
しかし、このようにすると、データベースサーバ５０３
およびそのコピーとの間で一貫性を維持しなければなら
ず、保守管理等が煩雑となる。また、各サイトにデータ
ベースサーバを配置するとコストアップになる。
【０００７】
【発明が解決する課題】この発明は、以上の事情を考慮
してなされたものであり、証明書のサブジェクト名から
直ちにその権限や性質を知ることができ、これを用いて
簡易にアクセス制御等を行える技術を提供することを目
的としている。
してなされたものであり、証明書のサブジェクト名から
直ちにその権限や性質を知ることができ、これを用いて
簡易にアクセス制御等を行える技術を提供することを目
的としている。
【０００８】
【課題を解決するための手段】この発明によれば、上述
の目的を達成するために、特許請求の範囲に記載のとお
りの構成を採用している。ここでは、発明を詳細に説明
するのに先だって特許請求の範囲の記載について補充的
に説明を行っておく。
の目的を達成するために、特許請求の範囲に記載のとお
りの構成を採用している。ここでは、発明を詳細に説明
するのに先だって特許請求の範囲の記載について補充的
に説明を行っておく。
【０００９】この発明の一側面によれば、上述の目的を
達成するために、個人証明書に含まれるサブジェクト名
を処理する個人証明書サブジェクト名処理装置に：個人
証明書を受信する手段と；受信した個人証明書を電子署
名技術に基づいて検証する手段と；受信した個人証明書
に含まれるサブジェクト名の階層中の少なくとも１つの
所定のエレメントを抽出する手段と；上記検証が成功し
たときに、上記所定のエレメントの値に基づいて、上記
個人証明書の保持者のアクセス権限を決定する手段とを
設けるようにしている。
達成するために、個人証明書に含まれるサブジェクト名
を処理する個人証明書サブジェクト名処理装置に：個人
証明書を受信する手段と；受信した個人証明書を電子署
名技術に基づいて検証する手段と；受信した個人証明書
に含まれるサブジェクト名の階層中の少なくとも１つの
所定のエレメントを抽出する手段と；上記検証が成功し
たときに、上記所定のエレメントの値に基づいて、上記
個人証明書の保持者のアクセス権限を決定する手段とを
設けるようにしている。
【００１０】この構成においては、個人証明書を認証し
てそのサブジェクト名のエレメントの真正を確認し、こ
の真正なエレメントの値に基づいてアクセス権限を判別
することができ、ディレクトリサービス等のデータベー
スにアクセスする必要がなくなる。
てそのサブジェクト名のエレメントの真正を確認し、こ
の真正なエレメントの値に基づいてアクセス権限を判別
することができ、ディレクトリサービス等のデータベー
スにアクセスする必要がなくなる。
【００１１】この発明の他の側面によれば、上述の目的
を達成するために、ウェブ・サーバ・コンピュータ・シ
ステムに：個人証明書を受信する手段と；受信した個人
証明書を電子署名技術に基づいて検証する手段と；受信
した個人証明書に含まれるサブジェクト名の階層中の少
なくとも１つの所定のエレメントを抽出する手段と；受
信した個人証明書の検証が成功したときに、上記所定の
エレメントの値に基づいて、上記個人証明書の保持者の
アクセス権限を決定する手段とを設けるようにしてい
る。
を達成するために、ウェブ・サーバ・コンピュータ・シ
ステムに：個人証明書を受信する手段と；受信した個人
証明書を電子署名技術に基づいて検証する手段と；受信
した個人証明書に含まれるサブジェクト名の階層中の少
なくとも１つの所定のエレメントを抽出する手段と；受
信した個人証明書の検証が成功したときに、上記所定の
エレメントの値に基づいて、上記個人証明書の保持者の
アクセス権限を決定する手段とを設けるようにしてい
る。
【００１２】この構成においても、ディレクトリサービ
ス等のデータベースを利用することなく簡易にアクセス
権限を判別することができる。
ス等のデータベースを利用することなく簡易にアクセス
権限を判別することができる。
【００１３】ウェブ・サーバ・コンピュータ・システム
はウェブ・サーバ単体で構成されてもよく、ウェブ・サ
ーバとアプリケーション・サーバとで構成されてもよ
い。アクセス権限の判別を行うために各種の機能はウェ
ブサーバの認証機能やＣＧＩ（コモンゲートインタフェ
ース）プログラムや、アプリケーション・サーバにより
実現される。
はウェブ・サーバ単体で構成されてもよく、ウェブ・サ
ーバとアプリケーション・サーバとで構成されてもよ
い。アクセス権限の判別を行うために各種の機能はウェ
ブサーバの認証機能やＣＧＩ（コモンゲートインタフェ
ース）プログラムや、アプリケーション・サーバにより
実現される。
【００１４】この発明のさらに他の側面によれば、上述
の目的を達成するために、サブジェクト名の所定のエレ
メントが保持者の所属組織および個人ＩＤ以外の属性を
表す個人証明書を受信して当該サブジェクト名を処理す
る個人証明書サブジェクト名処理装置に：上記個人証明
書を受信する手段と；受信した個人証明書に含まれるサ
ブジェクト名の階層中の所定のエレメントを抽出する手
段と；上記所定のエレメントの値が表す、保持者の所属
組織および個人ＩＤ以外の属性に基づいて、アクセス権
限を決定する手段とを設けるようにしている。
の目的を達成するために、サブジェクト名の所定のエレ
メントが保持者の所属組織および個人ＩＤ以外の属性を
表す個人証明書を受信して当該サブジェクト名を処理す
る個人証明書サブジェクト名処理装置に：上記個人証明
書を受信する手段と；受信した個人証明書に含まれるサ
ブジェクト名の階層中の所定のエレメントを抽出する手
段と；上記所定のエレメントの値が表す、保持者の所属
組織および個人ＩＤ以外の属性に基づいて、アクセス権
限を決定する手段とを設けるようにしている。
【００１５】この構成においては、ディレクトリサービ
ス等のデータベースを利用することなく簡易にアクセス
権限を判別することができる。とくにサブジェクト名の
オーガニゼーショナル・ユニット・ネームを利用するこ
とにより柔軟にアクセス権限情報を規定できる。
ス等のデータベースを利用することなく簡易にアクセス
権限を判別することができる。とくにサブジェクト名の
オーガニゼーショナル・ユニット・ネームを利用するこ
とにより柔軟にアクセス権限情報を規定できる。
【００１６】なお、この発明は装置やシステムとして実
現できるのみでなく、方法としても実現できる。またこ
のような方法の一部をコンピュータプログラムとして実
現してもよい。
現できるのみでなく、方法としても実現できる。またこ
のような方法の一部をコンピュータプログラムとして実
現してもよい。
【００１７】この発明の上述の各側面およびこの発明の
他の側面は特許請求の範囲に記載され、以下、実施例を
用いて詳細に説明される。
他の側面は特許請求の範囲に記載され、以下、実施例を
用いて詳細に説明される。
【００１８】
【発明の実施の形態】以下、この発明を情報アクセスシ
ステムに適用した実施例について説明する。この実施例
は、幹事会社と協力会社とが所定のプロジェクト名の下
で協力して事業を行うことを前提とし、幹事会社および
協力会社の従業者等が幹事会社の情報にアクセスできる
ようにするものである。情報のアクセスには個人証明書
を利用する。幹事会社は、個人証明書の発行にイニシャ
ティブを持つ会社（事業体）である。もちろん、この発
明は、このような環境下のみでなく、情報をアクセスす
る際に権限を判別する種々の環境下で適用可能である。
上述の幹事会社ではなく、証明書の発行を業とする認証
局が、証明書を発行するような環境下でも適用可能であ
る。
ステムに適用した実施例について説明する。この実施例
は、幹事会社と協力会社とが所定のプロジェクト名の下
で協力して事業を行うことを前提とし、幹事会社および
協力会社の従業者等が幹事会社の情報にアクセスできる
ようにするものである。情報のアクセスには個人証明書
を利用する。幹事会社は、個人証明書の発行にイニシャ
ティブを持つ会社（事業体）である。もちろん、この発
明は、このような環境下のみでなく、情報をアクセスす
る際に権限を判別する種々の環境下で適用可能である。
上述の幹事会社ではなく、証明書の発行を業とする認証
局が、証明書を発行するような環境下でも適用可能であ
る。
【００１９】図１は、この実施例の情報アクセスシステ
ムを示しており、この図において、証明書発行センタ
（幹事会社サイト）１０、協力会社サイト２０等がイン
ターネット３０に接続されている。ここでは、便宜上、
証明書発行センタ１０は、幹事会社の社内に設けられて
いるものとする。協力会社サイト２０は、構内ネットワ
ーク網（ＬＡＮ）等によりイントラネットを構築してお
り、各イントラネットにクライアント端末２０１が接続
されている。
ムを示しており、この図において、証明書発行センタ
（幹事会社サイト）１０、協力会社サイト２０等がイン
ターネット３０に接続されている。ここでは、便宜上、
証明書発行センタ１０は、幹事会社の社内に設けられて
いるものとする。協力会社サイト２０は、構内ネットワ
ーク網（ＬＡＮ）等によりイントラネットを構築してお
り、各イントラネットにクライアント端末２０１が接続
されている。
【００２０】この例において、証明書発行センタ１０
は、協力会社サイト２０のクライアント端末２０１等か
らの個人証明書発行申請を受け取って個人証明書の発行
処理を行うものである。個人証明書はＩＴＵ−Ｔ勧告
Ｘ．５０９に準拠するものであり、図２に示すようなも
のである。
は、協力会社サイト２０のクライアント端末２０１等か
らの個人証明書発行申請を受け取って個人証明書の発行
処理を行うものである。個人証明書はＩＴＵ−Ｔ勧告
Ｘ．５０９に準拠するものであり、図２に示すようなも
のである。
【００２１】証明書発行センタ１０は、ウェブ・サーバ
１０１、アプリケーション・サーバ１０２、データベー
ス管理システム１０３、メールサーバ１０４、クライア
ント端末１０５、ルータ１０６等を有している。これら
コンピュータリソースはＬＡＮ１０７に接続されてい
る。
１０１、アプリケーション・サーバ１０２、データベー
ス管理システム１０３、メールサーバ１０４、クライア
ント端末１０５、ルータ１０６等を有している。これら
コンピュータリソースはＬＡＮ１０７に接続されてい
る。
【００２２】ウェブ・サーバ１０１は、ＨＴＴＰ（ハイ
パーテキストトランスファプロトコル）プロトコルに従
ってクライアント（クライアント端末２０１、１０５）
から要求を受け取り、要求に応じたＨＴＭＬ文書（ＸＭ
Ｌ文書）をクライアントに転送する。アプリケーション
・サーバ１０２は、ウェブ・サーバ１０１を介してクラ
イアントから送られたプログラム名および引数に基づい
て種々の処理を実行するものである。アプリケーション
・サーバ１０２にかえてウェブ・サーバ１０１のＣＧＩ
（コモンゲートインタフェース）のプログラム等を用い
てもよい。データベース管理システム１０３は、証明書
発行に関連する種々のデータベースを管理するものであ
る。データベースは、例えば、証明書データベース１０
３ａ等である。
パーテキストトランスファプロトコル）プロトコルに従
ってクライアント（クライアント端末２０１、１０５）
から要求を受け取り、要求に応じたＨＴＭＬ文書（ＸＭ
Ｌ文書）をクライアントに転送する。アプリケーション
・サーバ１０２は、ウェブ・サーバ１０１を介してクラ
イアントから送られたプログラム名および引数に基づい
て種々の処理を実行するものである。アプリケーション
・サーバ１０２にかえてウェブ・サーバ１０１のＣＧＩ
（コモンゲートインタフェース）のプログラム等を用い
てもよい。データベース管理システム１０３は、証明書
発行に関連する種々のデータベースを管理するものであ
る。データベースは、例えば、証明書データベース１０
３ａ等である。
【００２３】データベース管理システム１０３が管理す
る証明書データベース１０３ａに保持される証明書情報
の簡略化した例を図３に示す。ここでは、証明書情報に
ついて説明する前に、この例で用いるＤＮ（ディスティ
ングイシュトネーム、以下サブジェクト名とも呼ぶ。
Ｘ．５０１）について説明しておく。この例では、サブ
ジェクト名は、カントリネーム（Ｃ）、オーガニゼーシ
ョンネーム（Ｏ）、第１オーガニゼーショナルユニット
ネーム（ＯＵ１）、第２オーガニゼーショナルユニット
ネーム（ＯＵ２）、第３オーガニゼーショナルユニット
ネーム（ＯＵ３）、コモンネーム（ＣＮ）により規定さ
れる。幹事会社以外の申請者に対してはＯＵ１として例
えば「Ｐａｒｔｎｅｒ」等が記述される。幹事会社の社
員については、ＯＵ１を省略したり、ＯＵ１として所定
の部門名が記述される。ＯＵ２は、プロジェクト名が記
述される。ただしプロジェクトと関係がない場合にはＯ
Ｕ２は省略される。ＯＵ３は、協力会社の会社名が記述
される。もちろん、幹事会社の内部の者（社員等）に関
してはＯＵ３は省略される。このようにして、サブジェ
クト名を用いてプロジェクトおよび協力会社を記述する
ことができる。なお、ＯＵのサフィックスは、ＯＵの属
性に対応して用いており、例えば部門（社外の組織）を
あらわすＯＵ１は、部門の階層に応じてさらに階層的な
構成を採用してもよい。例えば、「ｊｉｎｊｉ」（人事
部）、「ｊｉｎｊｉ１」（第１人事課）等、ＯＵ１を複
数規定できる。
る証明書データベース１０３ａに保持される証明書情報
の簡略化した例を図３に示す。ここでは、証明書情報に
ついて説明する前に、この例で用いるＤＮ（ディスティ
ングイシュトネーム、以下サブジェクト名とも呼ぶ。
Ｘ．５０１）について説明しておく。この例では、サブ
ジェクト名は、カントリネーム（Ｃ）、オーガニゼーシ
ョンネーム（Ｏ）、第１オーガニゼーショナルユニット
ネーム（ＯＵ１）、第２オーガニゼーショナルユニット
ネーム（ＯＵ２）、第３オーガニゼーショナルユニット
ネーム（ＯＵ３）、コモンネーム（ＣＮ）により規定さ
れる。幹事会社以外の申請者に対してはＯＵ１として例
えば「Ｐａｒｔｎｅｒ」等が記述される。幹事会社の社
員については、ＯＵ１を省略したり、ＯＵ１として所定
の部門名が記述される。ＯＵ２は、プロジェクト名が記
述される。ただしプロジェクトと関係がない場合にはＯ
Ｕ２は省略される。ＯＵ３は、協力会社の会社名が記述
される。もちろん、幹事会社の内部の者（社員等）に関
してはＯＵ３は省略される。このようにして、サブジェ
クト名を用いてプロジェクトおよび協力会社を記述する
ことができる。なお、ＯＵのサフィックスは、ＯＵの属
性に対応して用いており、例えば部門（社外の組織）を
あらわすＯＵ１は、部門の階層に応じてさらに階層的な
構成を採用してもよい。例えば、「ｊｉｎｊｉ」（人事
部）、「ｊｉｎｊｉ１」（第１人事課）等、ＯＵ１を複
数規定できる。
【００２４】なお、プロジェクトとは一括りに管理され
る業務や活動であり、ここでは便宜上、幹事会社と他の
協力会社との間で行われる業務を指す。プロジェクトと
の関連で協力会社が登録される。もちろん、幹事会社内
のプロジェクトや非業務的な活動等を「プロジェクト」
として扱ってもよい。このようにすることにより組織構
成から離れて証明書を発行することが可能となる。
る業務や活動であり、ここでは便宜上、幹事会社と他の
協力会社との間で行われる業務を指す。プロジェクトと
の関連で協力会社が登録される。もちろん、幹事会社内
のプロジェクトや非業務的な活動等を「プロジェクト」
として扱ってもよい。このようにすることにより組織構
成から離れて証明書を発行することが可能となる。
【００２５】サブジェクト名の具体例を説明する。
【００２６】（１）具体例１ ［Ｃ＝ＪＰ，Ｏ＝ＸＹＺ Ｃｏ．，ＣＮ＝１２３４ Ｒ
ｙｕ Ｉｎａｄａ］ この例では、保持者がＸＹＺ株式会社の社員であり、社
員番号が１２３４で、指名が「Ｒｙｕ Ｉｎａｄａ」で
あることがわかる。
ｙｕ Ｉｎａｄａ］ この例では、保持者がＸＹＺ株式会社の社員であり、社
員番号が１２３４で、指名が「Ｒｙｕ Ｉｎａｄａ」で
あることがわかる。
【００２７】（２）具体例２ ［Ｃ＝ＪＰ，Ｏ＝ＸＹＺ Ｃｏ．，ＯＵ＝Ｐａｒｔｎｅ
ｒ，ＯＵ＝Ｘｎｅｔ，ＯＵ＝ＡＢＣ Ｃｏ．，ＣＮ＝１
２３４ ００１ Ｔａｒｏ Ｆｕｊｉ］ この例では、保持者は協力会社のＡＢＣ株式会社の社員
であり、プロジェクトＸｎｅｔに参画し、その業務目的
が調達（コモンネームの００１が調達を意味する）であ
り、所属会社の社員番号が１２３４で、氏名が「Ｔａｒ
ｏ Ｆｕｊｉ」であることがわかる。
ｒ，ＯＵ＝Ｘｎｅｔ，ＯＵ＝ＡＢＣ Ｃｏ．，ＣＮ＝１
２３４ ００１ Ｔａｒｏ Ｆｕｊｉ］ この例では、保持者は協力会社のＡＢＣ株式会社の社員
であり、プロジェクトＸｎｅｔに参画し、その業務目的
が調達（コモンネームの００１が調達を意味する）であ
り、所属会社の社員番号が１２３４で、氏名が「Ｔａｒ
ｏ Ｆｕｊｉ」であることがわかる。
【００２８】（３）具体例３ ［Ｃ＝ＪＰ，Ｏ＝ＸＹＺ Ｃｏ．，ＯＵ＝Ｐａｒｔｎｅ
ｒ，ＯＵ＝Ｘｎｅｔ，ＣＮ＝１２３４ Ｈａｎａｋｏ
Ｆｕｊｉ］ この例では、保持者が派遣社員であり、その派遣社員番
号が１２３４であり、氏名が「Ｈａｎａｋｏ Ｆｕｊ
ｉ」であることを示す。協力会社名あるいはプロジェク
ト名がないことから派遣社員と判断することができる。
ｒ，ＯＵ＝Ｘｎｅｔ，ＣＮ＝１２３４ Ｈａｎａｋｏ
Ｆｕｊｉ］ この例では、保持者が派遣社員であり、その派遣社員番
号が１２３４であり、氏名が「Ｈａｎａｋｏ Ｆｕｊ
ｉ」であることを示す。協力会社名あるいはプロジェク
ト名がないことから派遣社員と判断することができる。
【００２９】図１の説明に戻る。データベース管理シス
テム１０３が管理する証明書データベース１０３ａは、
図３に示すように、証明書情報を保持している。図３に
示すように、サブジェクト名は（Ｃ，Ｏ，ＯＵ１，ＯＵ
２，ＯＵ３，ＣＮ）であり、コモンネームＣＮは、例え
ばＣＮ＝１２３４５ ００１ Ｔａｒｏ Ｙａｍａｄａ
である。「１２３４５」は協力会社ＡＢＣ内の一意の識
別子例えば社員番号である。「００１」は幹事会社での
業務の種別を示すＩＤである（例えば、調達業務、試作
業務）。「ＴａｒｏＹａｍａｄａ］は申請者の氏名であ
る。証明書データベース１０３ａは証明書ＩＤ、サブジ
ェクト名（Ｃ，Ｏ，ＯＵ１，ＯＵ２，ＯＵ３，ＣＮ）、
有効期限等を保持している。なお、証明書は、サブジェ
クト名、発行者名、公開鍵、発行者署名等を含むもので
ある。
テム１０３が管理する証明書データベース１０３ａは、
図３に示すように、証明書情報を保持している。図３に
示すように、サブジェクト名は（Ｃ，Ｏ，ＯＵ１，ＯＵ
２，ＯＵ３，ＣＮ）であり、コモンネームＣＮは、例え
ばＣＮ＝１２３４５ ００１ Ｔａｒｏ Ｙａｍａｄａ
である。「１２３４５」は協力会社ＡＢＣ内の一意の識
別子例えば社員番号である。「００１」は幹事会社での
業務の種別を示すＩＤである（例えば、調達業務、試作
業務）。「ＴａｒｏＹａｍａｄａ］は申請者の氏名であ
る。証明書データベース１０３ａは証明書ＩＤ、サブジ
ェクト名（Ｃ，Ｏ，ＯＵ１，ＯＵ２，ＯＵ３，ＣＮ）、
有効期限等を保持している。なお、証明書は、サブジェ
クト名、発行者名、公開鍵、発行者署名等を含むもので
ある。
【００３０】ウェブ・サーバ１０１、アプリケーション
・サーバ１０２、データベース管理システム１０３を用
いて具体的な証明書発行処理の機能が実現される。クラ
イアントはウェブ・ベースで証明書発行システムの各種
の機能を利用できる。
・サーバ１０２、データベース管理システム１０３を用
いて具体的な証明書発行処理の機能が実現される。クラ
イアントはウェブ・ベースで証明書発行システムの各種
の機能を利用できる。
【００３１】メールサーバ１０４はＳＭＴＰ（シンプル
メールトランスファプロトコル）デーモン等を実行する
ものであり、メールの配送を行なう。
メールトランスファプロトコル）デーモン等を実行する
ものであり、メールの配送を行なう。
【００３２】クライアント端末１０５は、ウェブ・ブラ
ウザを具備し、証明書発行センタ（幹事会社）１０内で
証明書発行センタ１０のサービスの提供を受ける。
ウザを具備し、証明書発行センタ（幹事会社）１０内で
証明書発行センタ１０のサービスの提供を受ける。
【００３３】クライアント端末２０１は、協力会社サイ
ト２０に配置されたパーソナルコンピュータ、ワークス
テーション等であり、ウェブ・ブラウザを実装してい
る。クライアント端末２０１は、証明書発行センタ１０
が提供する証明書発行システムにアクセスし、雛型登録
（会社登録）、個人証明書発行申請等を行なうことがで
きる。証明書発行センタ１０はインターネット３０上に
公開されているため、適宜ファイヤーウォール等のセキ
ュリティ機構が設けられることが望ましい。証明書の発
行自体はこの発明と直接には関係がないので、詳細な説
明は省略する。通常の証明書発行所理を採用できること
はもちろんである。
ト２０に配置されたパーソナルコンピュータ、ワークス
テーション等であり、ウェブ・ブラウザを実装してい
る。クライアント端末２０１は、証明書発行センタ１０
が提供する証明書発行システムにアクセスし、雛型登録
（会社登録）、個人証明書発行申請等を行なうことがで
きる。証明書発行センタ１０はインターネット３０上に
公開されているため、適宜ファイヤーウォール等のセキ
ュリティ機構が設けられることが望ましい。証明書の発
行自体はこの発明と直接には関係がないので、詳細な説
明は省略する。通常の証明書発行所理を採用できること
はもちろんである。
【００３４】このような証明書発行センタ１０を用いて
証明書の発行を申請し、申請が承認され、証明書が発行
される。申請者は、証明書ＩＤを通知され、ウェブ・ベ
ースでこれを入力して証明書を取得する。
証明書の発行を申請し、申請が承認され、証明書が発行
される。申請者は、証明書ＩＤを通知され、ウェブ・ベ
ースでこれを入力して証明書を取得する。
【００３５】つぎに証明書を利用したアクセス制御につ
いて説明する。
いて説明する。
【００３６】図４はアクセス制御を行う機構を模式的に
示すものである。この機構はウェブ・サーバ１０１、ア
プリケーション・サーバ１０２により実現される。もち
ろん、ウェブ・サーバ１０１のＣＧＩプログラムや、Ｊ
ＡＶＡサーブレット（商標）等を用いてアプリケーショ
ン・サーバ１０２に代替させることができる。
示すものである。この機構はウェブ・サーバ１０１、ア
プリケーション・サーバ１０２により実現される。もち
ろん、ウェブ・サーバ１０１のＣＧＩプログラムや、Ｊ
ＡＶＡサーブレット（商標）等を用いてアプリケーショ
ン・サーバ１０２に代替させることができる。
【００３７】図４において、セクセス制御機構は、ルー
ト証明書保持部１５０、認証部１５１、エレメント抽出
部１５２、権限判別部１５３、権限登録部１５４、セッ
ション管理部１５５等を含んで構成される。この例で
は、ウェブ・サーバ１０１が、ルート証明書保持部１５
０および認証部１５１を構成する。そして、アプリケー
ション・サーバ１０２がエレメント抽出部１５２、権限
判別部１５３、権限登録部１５４、セッション管理部１
５５を構成する。
ト証明書保持部１５０、認証部１５１、エレメント抽出
部１５２、権限判別部１５３、権限登録部１５４、セッ
ション管理部１５５等を含んで構成される。この例で
は、ウェブ・サーバ１０１が、ルート証明書保持部１５
０および認証部１５１を構成する。そして、アプリケー
ション・サーバ１０２がエレメント抽出部１５２、権限
判別部１５３、権限登録部１５４、セッション管理部１
５５を構成する。
【００３８】認証部１５１は図５に示すような認証手続
をクライアント端末およびウェブ・サーバ１０１間で実
現する。図５の認証手続は通常のＳＳＬ／ＴＬＳコネク
ション要求時にウェブ・サーバ１０１で実行される認証
手続であり、図から明らかであるのでとくに説明は行わ
ない。認証部１５１は、この認証手続の際に、クライア
ント端末から証明書を受け取る。この証明書は図５に示
す認証手続に利用されるとともに、そのサブジェクト名
がエレメント抽出部１５２に供給される。認証部１５１
は、ルート証明書保持部１５０に保持されているルート
証明書の公開鍵を用いて、クライアント端末から受け取
った証明書の署名（図２参照）を検証する。検証が失敗
したときにはコネクションは拒否される。検証が成功す
ると、セッション番号（セッションＩＤともいう）が割
り当てられ、アプリケーション・サーバ１０５のセッシ
ョン管理部１５５によりセッション変数が記憶管理され
る管理される。
をクライアント端末およびウェブ・サーバ１０１間で実
現する。図５の認証手続は通常のＳＳＬ／ＴＬＳコネク
ション要求時にウェブ・サーバ１０１で実行される認証
手続であり、図から明らかであるのでとくに説明は行わ
ない。認証部１５１は、この認証手続の際に、クライア
ント端末から証明書を受け取る。この証明書は図５に示
す認証手続に利用されるとともに、そのサブジェクト名
がエレメント抽出部１５２に供給される。認証部１５１
は、ルート証明書保持部１５０に保持されているルート
証明書の公開鍵を用いて、クライアント端末から受け取
った証明書の署名（図２参照）を検証する。検証が失敗
したときにはコネクションは拒否される。検証が成功す
ると、セッション番号（セッションＩＤともいう）が割
り当てられ、アプリケーション・サーバ１０５のセッシ
ョン管理部１５５によりセッション変数が記憶管理され
る管理される。
【００３９】エレメント抽出部１５２はサブジェクト名
の階層構造を辿って所定のエレメントを抽出する。この
例では、ＯＵ１が「Ｐａｒｔｎｅｒ」であり、ＯＵ３に
会社名がある場合に、ＯＵ２のプロジェクト名、ＯＵ３
の会社名、ＣＮの業務種別コード（例えば「００１」）
を抽出する。
の階層構造を辿って所定のエレメントを抽出する。この
例では、ＯＵ１が「Ｐａｒｔｎｅｒ」であり、ＯＵ３に
会社名がある場合に、ＯＵ２のプロジェクト名、ＯＵ３
の会社名、ＣＮの業務種別コード（例えば「００１」）
を抽出する。
【００４０】権限判別部１５３は図６に示すような区別
に従って文書のアクセス権限を決定し、これをセッショ
ン番号に割り当てる。図６に示す区別は例えば図７に示
すようなテーブルで実装可能であり、権限判別部１５３
がこのようなテーブルを参照して、アクセス可能なファ
イルやディレクトリを判別する。権限登録部１５４はセ
ッション番号と権限（権限レベルやアクセス可能なファ
イル名／ディレクトリ名）との関係をセッション管理部
１５５に登録する。例えば、セッション管理部１５５の
データベース（図示しない）に図８に示すように登録す
る。以降、セッションが継続する間、このセッション番
号に基づいてアクセス権限が許容される。
に従って文書のアクセス権限を決定し、これをセッショ
ン番号に割り当てる。図６に示す区別は例えば図７に示
すようなテーブルで実装可能であり、権限判別部１５３
がこのようなテーブルを参照して、アクセス可能なファ
イルやディレクトリを判別する。権限登録部１５４はセ
ッション番号と権限（権限レベルやアクセス可能なファ
イル名／ディレクトリ名）との関係をセッション管理部
１５５に登録する。例えば、セッション管理部１５５の
データベース（図示しない）に図８に示すように登録す
る。以降、セッションが継続する間、このセッション番
号に基づいてアクセス権限が許容される。
【００４１】なお、以上の認証手続や権限制御は、証明
書発行センタ（幹事会社サイト）１０のウェブ・サーバ
１０１との間でのみ可能なわけではなく、他のウェブ・
サーバとの間でも可能であり、また、同様の認証手続や
権限制御をその他種々のサーバとの間で実行できること
はもちろんである。
書発行センタ（幹事会社サイト）１０のウェブ・サーバ
１０１との間でのみ可能なわけではなく、他のウェブ・
サーバとの間でも可能であり、また、同様の認証手続や
権限制御をその他種々のサーバとの間で実行できること
はもちろんである。
【００４２】上述の実施例では、証明書発行センタ１０
が幹事会社サイトに設けられるようにしたが、図９に示
すように、証明書発行センタ１０と幹事会社サイト４０
とを個別に設けてもよいことはもちろんである。図９に
示す例では、証明書発行の機能を証明書発行センタ１０
に割り当て、ウェブベースでサービスを行う機能を幹事
会社サイト４０に設けている。幹事会社サイト４０には
上述実施例と同様な権限制御をウェブ・サーバ１０１で
実行する。図９の例ではウェブ・サーバ１０１自体が認
証部１５１およびルート証明書保持部１５０を構成し、
ウェブ・サーバ１０１のＣＧＩプログラムがエレメント
抽出部１５２、権限判別部１５３、権限登録部１５４、
セッション管理部１５５を構成している。ＣＧＩプログ
ラムでなくＪＡＶＡサーブレット等を用いてもよい。も
ちろん、図１に示すようなアプリケーション・サーバを
用いてもよい。
が幹事会社サイトに設けられるようにしたが、図９に示
すように、証明書発行センタ１０と幹事会社サイト４０
とを個別に設けてもよいことはもちろんである。図９に
示す例では、証明書発行の機能を証明書発行センタ１０
に割り当て、ウェブベースでサービスを行う機能を幹事
会社サイト４０に設けている。幹事会社サイト４０には
上述実施例と同様な権限制御をウェブ・サーバ１０１で
実行する。図９の例ではウェブ・サーバ１０１自体が認
証部１５１およびルート証明書保持部１５０を構成し、
ウェブ・サーバ１０１のＣＧＩプログラムがエレメント
抽出部１５２、権限判別部１５３、権限登録部１５４、
セッション管理部１５５を構成している。ＣＧＩプログ
ラムでなくＪＡＶＡサーブレット等を用いてもよい。も
ちろん、図１に示すようなアプリケーション・サーバを
用いてもよい。
【００４３】図９においては図１と対応する箇所に対応
する符号を付し、説明を繰り返さない。
する符号を付し、説明を繰り返さない。
【００４４】また、上述では、幹事会社と協力会社とが
協力してプロジェクトを行う環境を例に挙げて説明を行
ったが、任意の形態のサーバとクライアントとの間の権
限制御を同様に行えることはもちろんである。
協力してプロジェクトを行う環境を例に挙げて説明を行
ったが、任意の形態のサーバとクライアントとの間の権
限制御を同様に行えることはもちろんである。
【００４５】以上説明したようにこの発明によれば個人
証明書のサブジェクト名を利用して簡易に保持者の権限
や性質を判別でき、簡易にアクセス制御を行うことがで
きる。
証明書のサブジェクト名を利用して簡易に保持者の権限
や性質を判別でき、簡易にアクセス制御を行うことがで
きる。
【００４６】すなわち、従来ディレクトリサービスサー
バ（データベースサーバ）で管理していたアクセス制限
に関する情報を、サブジェクト名の中に、そのオーガニ
ゼーショナル・ユニット・ネームやコモンネームの一部
として埋め込み、その内容の真正を証明書の署名により
確認した上で利用させることができ、ディレクトリサー
バ等を用いることなくアクセス制限の情報をサーバに供
給することが可能になる。サーバ側では、サブジェクト
名に埋め込まれた情報と権限との関係を記述したテーブ
ル等を保持するだけで簡易にアクセス権限を知ることが
できる。
バ（データベースサーバ）で管理していたアクセス制限
に関する情報を、サブジェクト名の中に、そのオーガニ
ゼーショナル・ユニット・ネームやコモンネームの一部
として埋め込み、その内容の真正を証明書の署名により
確認した上で利用させることができ、ディレクトリサー
バ等を用いることなくアクセス制限の情報をサーバに供
給することが可能になる。サーバ側では、サブジェクト
名に埋め込まれた情報と権限との関係を記述したテーブ
ル等を保持するだけで簡易にアクセス権限を知ることが
できる。
【００４７】この結果、ディレクトリサーバを用いてア
クセス制限を行っていた従来システムの欠点を解消する
ことができる。すなわち、サブジェクト名や権限レベル
がネットワーク（例えばインターネット）上を行き交う
ことがなくなり、また、ディレクトリサーバ等のコピー
を各サーバのサイトに配置する必要もなくなる。
クセス制限を行っていた従来システムの欠点を解消する
ことができる。すなわち、サブジェクト名や権限レベル
がネットワーク（例えばインターネット）上を行き交う
ことがなくなり、また、ディレクトリサーバ等のコピー
を各サーバのサイトに配置する必要もなくなる。
【００４８】なお、この発明は上述の実施例に限定され
るものではなくその趣旨を逸脱しない範囲で種々変更が
可能である。例えば、上述例では、コモンネームに業務
種別のコードを含ませたが、所定階層のオーガニゼーシ
ョナル・ユニット・ネームに含ませても良い。また、こ
の発明のサブジェクト名の構成をアクセス制御以外の用
途に用いることもできることは明らかである。
るものではなくその趣旨を逸脱しない範囲で種々変更が
可能である。例えば、上述例では、コモンネームに業務
種別のコードを含ませたが、所定階層のオーガニゼーシ
ョナル・ユニット・ネームに含ませても良い。また、こ
の発明のサブジェクト名の構成をアクセス制御以外の用
途に用いることもできることは明らかである。
【００４９】
【発明の効果】以上説明したように、この発明によれ
ば、個人証明書を用いて簡易にアクセス制御等を行うこ
とができる。
ば、個人証明書を用いて簡易にアクセス制御等を行うこ
とができる。
【図面の簡単な説明】
【図１】 この発明の実施例を全体として示すシステム
図である。
図である。
【図２】 上述の実施例で用いる個人証明書を説明する
図である。
図である。
【図３】 上述実施例の証明書データベースを説明する
図である。
図である。
【図４】 上述実施例の申請者権限の制御を模式的に説
明するブロック図である。
明するブロック図である。
【図５】 上述実施例の認証手続を説明する図である。
【図６】 上述実施例の権限の区別を説明する図であ
る。
る。
【図７】 上述実施例の権限の区別を規定するテーブル
の例を説明する図である。
の例を説明する図である。
【図８】 上述実施例のセッション管理を説明する図で
ある。
ある。
【図９】 上述実施例の変形例を説明する図である。
【図１０】 従来例を説明する図である。
１０ 証明書発行センタ ２０ 協力会社サイト ３０ インターネット ４０ 幹事会社サイト １０１ ウェブ・サーバ １０２ アプリケーション・サーバ １０３ データベース管理システム １０３ａ 証明書データベース １０４ メールサーバ １０５ アプリケーション・サーバ １０５ クライアント端末 １０６ ルータ １５０ ルート証明書保持部 １５１ 認証部 １５２ エレメント抽出部 １５３ 権限判別部 １５４ 権限登録部 １５５ セッション管理部 ２０１ クライアント端末 ５００ クライアント端末 ５０１ ネットワーク ５０２ ウェブ・サーバ ５０３ データベースサーバ
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.7 識別記号 ＦＩ テーマコート゛(参考） Ｇ０９Ｃ 1/00 ６４０ Ｇ０９Ｃ 1/00 ６４０Ｅ Ｈ０４Ｌ 9/32 Ｈ０４Ｌ 9/00 ６７１ Ｆターム(参考） 5B085 AE02 AE06 AE23 BG07 5J104 AA07 AA09 KA01 KA06 PA07
Claims (19)
- 【請求項１】 個人証明書に含まれるサブジェクト名を
処理する個人証明書サブジェクト名処理装置において、 個人証明書を受信する手段と、 受信した個人証明書を電子署名技術に基づいて検証する
手段と、 受信した個人証明書に含まれるサブジェクト名の階層中
の少なくとも１つの所定のエレメントを抽出する手段
と、 上記検証が成功したときに、上記所定のエレメントの値
に基づいて、上記個人証明書の保持者のアクセス権限を
決定する手段とを有することを特徴とする個人証明書サ
ブジェクト名処理装置。 - 【請求項２】 上記所定のエレメントのうちの１つは、
上記サブジェクト名の所定階層のオーガニゼーショナル
・ユニット・ネームである請求項１記載の個人証明書サ
ブジェクト名処理装置。 - 【請求項３】 上記所定のエレメントは、業務のプロジ
ェクト名を表すために割り当てられた１の階層のオーガ
ニゼーショナル・ユニット・ネームと、目的を表すため
に割り当てられた、コモンネームの一部とする請求項１
記載の個人証明書サブジェクト名処理装置。 - 【請求項４】 個人証明書を受信する手段と、 受信した個人証明書を電子署名技術に基づいて検証する
手段と、 受信した個人証明書に含まれるサブジェクト名の階層中
の少なくとも１つの所定のエレメントを抽出する手段
と、 受信した個人証明書の検証が成功したときに、上記所定
のエレメントの値に基づいて、上記個人証明書の保持者
のアクセス権限を決定する手段とを有することを特徴と
するウェブ・サーバ・コンピュータ・システム。 - 【請求項５】 個人証明書を受信する手段と、 受信した個人証明書を電子署名技術に基づいて検証する
手段と、 受信した個人証明書の検証が成功したときに、セッショ
ン識別子を割り当てる手段と、 受信した個人証明書に含まれるサブジェクト名の階層中
の少なくとも１つの所定のエレメントを抽出する手段
と、 受信した個人証明書の検証が成功したときに、上記所定
のエレメントの値に基づいて、上記個人証明書の保持者
のアクセス権限を決定する手段と、 決定したアクセス権限を上記セッション識別子に関連づ
けて保持する手段とを有することを特徴とするウェブ・
サーバ・コンピュータ・システム。 - 【請求項６】 上記所定のエレメントのうちの１つは、
上記サブジェクト名の所定階層のオーガニゼーショナル
・ユニット・ネームである請求項５記載のウェブ・サー
バ・コンピュータ・システム。 - 【請求項７】 上記所定のエレメントは、業務のプロジ
ェクト名を表すために割り当てられた１の階層のオーガ
ニゼーショナル・ユニット・ネームと、目的を表すため
に割り当てられた、コモンネームの一部とする請求項５
記載のウェブ・サーバ・コンピュータ・システム。 - 【請求項８】 サブジェクト名の所定のエレメントが保
持者の所属組織および個人ＩＤ以外の属性を表す個人証
明書を受信して当該サブジェクト名を処理する個人証明
書サブジェクト名処理装置において、 上記個人証明書を受信する手段と、 受信した個人証明書に含まれるサブジェクト名の階層中
の所定のエレメントを抽出する手段と、 少なくとも、上記所定のエレメントの値が表す、保持者
の所属組織および個人ＩＤ以外の属性に基づいて、アク
セス権限を決定する手段とを有することを特徴とする個
人証明書サブジェクト名処理装置。 - 【請求項９】 上記サブジェクト名の所定階層のオーガ
ニゼーショナル・ユニット・ネームが、保持者がオーガ
ニゼーション・ネームが表す組織の構成員ではなく、か
つ当該組織に対して協力していることを示す請求項８記
載の個人証明書サブジェクト名処置装置。 - 【請求項１０】 上記サブジェクト名の所定階層のオー
ガニゼーショナル・ユニット・ネームが、保持者が参加
するプロジェクト名を表す請求項８記載の個人証明書サ
ブジェクト名処理装置。 - 【請求項１１】 上記サブジェクト名の所定階層のオー
ガニゼーショナル・ユニット・ネームが、オーガニゼー
ション・ネームが表す組織に対して協力し、かつ保持者
が属する、協力組織名を表す請求項８記載の個人証明書
サブジェクト名処理装置。 - 【請求項１２】 上記サブジェクト名の所定階層のオー
ガニゼーショナル・ユニット・ネームが、保持者が参加
する業務の種類を表す請求項８記載の個人証明書サブジ
ェクト名処理装置。 - 【請求項１３】 上記サブジェクト名のコモンネーム
が、保持者が参加する業務の種類を表す請求項８記載の
個人証明書サブジェクト名処理装置。 - 【請求項１４】 個人証明書を受信する手段と、 受信した個人証明書に含まれるサブジェクト名の階層中
の所定のエレメントを抽出する手段と、 上記所定のエレメントの値に基づいてアクセス権限を決
定する手段とを有することを特徴とする個人証明書サブ
ジェクト名処理装置。 - 【請求項１５】 個人証明書に含まれるサブジェクト名
を処理する個人証明書サブジェクト名処理方法におい
て、 個人証明書を受信するステップと、 受信した個人証明書を電子署名技術に基づいて検証する
ステップと、 受信した個人証明書に含まれるサブジェクト名の階層中
の少なくとも１つの所定のエレメントを抽出するステッ
プと、 上記検証が成功したときに、上記所定のエレメントの値
に基づいて、上記個人証明書の保持者のアクセス権限を
決定するステップとを有することを特徴とする個人証明
書サブジェクト名処理方法。 - 【請求項１６】 サブジェクト名の所定のエレメントが
保持者の所属組織および個人ＩＤ以外の属性を表す個人
証明書を受信して当該サブジェクト名を処理する個人証
明書サブジェクト名処理方法において、 上記個人証明書を受信するステップと、 受信した個人証明書に含まれるサブジェクト名の階層中
の所定のエレメントを抽出するステップと、 少なくとも、上記所定のエレメントの値が表す、保持者
の所属組織および個人ＩＤ以外の属性に基づいて、アク
セス権限を決定するステップとを有することを特徴とす
る個人証明書サブジェクト名処理方法。 - 【請求項１７】 個人証明書に含まれるサブジェクト名
を処理するためにコンピュータに用いられる個人証明書
サブジェクト名処理用コンピュータ・プログラムにい
て、 個人証明書を受信するステップと、 受信した個人証明書を電子署名技術に基づいて検証する
ステップと、 受信した個人証明書に含まれるサブジェクト名の階層中
の少なくとも１つの所定のエレメントを抽出するステッ
プと、 上記検証が成功したときに、上記所定のエレメントの値
に基づいて、上記個人証明書の保持者のアクセス権限を
決定するステップとをコンピュータに実行させるために
用いられることを特徴とする個人証明書サブジェクト名
処理用コンピュータ・プログラム。 - 【請求項１８】 サブジェクト名の所定のエレメントが
保持者の所属組織および個人ＩＤ以外の属性を表す個人
証明書を受信して当該サブジェクト名を処理するために
コンピュータに用いられる個人証明書サブジェクト名処
理用コンピュータ・プログラムにおいて、 上記個人証明書を受信するステップと、 受信した個人証明書に含まれるサブジェクト名の階層中
の所定のエレメントを抽出するステップと、 少なくとも、上記所定のエレメントの値が表す、保持者
の所属組織および個人ＩＤ以外の属性に基づいて、アク
セス権限を決定するステップとをコンピュータに実行さ
せるために用いられることを特徴とする個人証明書サブ
ジェクト名処理用コンピュータ・プログラム。 - 【請求項１９】 サブジェクト名のオーガニゼーショナ
ル・ユニット・ネームおよびコモン・ネームの少なくと
も１つが保持者の所属組織および個人ＩＤ以外の属性を
表す個人証明書を記録したコンピュータ読取り可能な記
録媒体。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001315276A JP2002215585A (ja) | 2000-11-16 | 2001-10-12 | 個人証明書サブジェクト名処理装置および方法 |
| US09/987,418 US7007091B2 (en) | 2000-11-16 | 2001-11-14 | Method and apparatus for processing subject name included in personal certificate |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000350185 | 2000-11-16 | ||
| JP2000-350185 | 2000-11-16 | ||
| JP2001315276A JP2002215585A (ja) | 2000-11-16 | 2001-10-12 | 個人証明書サブジェクト名処理装置および方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2002215585A true JP2002215585A (ja) | 2002-08-02 |
Family
ID=26604115
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001315276A Pending JP2002215585A (ja) | 2000-11-16 | 2001-10-12 | 個人証明書サブジェクト名処理装置および方法 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7007091B2 (ja) |
| JP (1) | JP2002215585A (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004260803A (ja) * | 2003-02-03 | 2004-09-16 | Sony Corp | 無線アドホック通信システム、端末、その端末における属性証明書発行提案方法及び属性証明書発行依頼方法並びにそれらの方法を端末に実行させるためのプログラム |
| JP2006344077A (ja) * | 2005-06-09 | 2006-12-21 | Location Value:Kk | 求人求職マッチング支援システム |
| US7797531B2 (en) | 2003-02-03 | 2010-09-14 | Sony Corporation | Wireless ad-hoc communication system, terminal, method for suggesting issuance of attribute certificate and method for requesting issuance of attribute certificate in the terminal, and program for causing the terminal to execute the method |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7017034B2 (en) * | 2002-08-07 | 2006-03-21 | Hewlett-Packard Development Company, L.P. | System and method for using a firmware interface table to dynamically load multiple ACPI SSDT tables |
| US8639824B1 (en) * | 2003-09-19 | 2014-01-28 | Hewlett-Packard Development Company, L.P. | System and method for dynamic account management in a grid computing system |
| JP4468146B2 (ja) * | 2004-11-25 | 2010-05-26 | キヤノン株式会社 | 印刷システム及びその制御方法、印刷装置及びその制御方法、コンピュータプログラム、記憶媒体 |
| US8312268B2 (en) * | 2008-12-12 | 2012-11-13 | International Business Machines Corporation | Virtual machine |
| US20110252459A1 (en) * | 2010-04-12 | 2011-10-13 | Walsh Robert E | Multiple Server Access Management |
| US8745378B1 (en) * | 2012-03-12 | 2014-06-03 | Certified Security Solutions, Inc. | System and method for validating SCEP certificate enrollment requests |
Family Cites Families (25)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5606617A (en) * | 1994-10-14 | 1997-02-25 | Brands; Stefanus A. | Secret-key certificates |
| JP2728033B2 (ja) * | 1995-05-23 | 1998-03-18 | 日本電気株式会社 | コンピュータネットワークにおけるセキュリティ方式 |
| US5787175A (en) * | 1995-10-23 | 1998-07-28 | Novell, Inc. | Method and apparatus for collaborative document control |
| WO1998018247A1 (en) * | 1996-10-23 | 1998-04-30 | Infoglobal, S.L. | Method and system for integration of several physical media for data communications |
| WO1998037655A1 (en) * | 1996-12-20 | 1998-08-27 | Financial Services Technology Consortium | Method and system for processing electronic documents |
| US5923756A (en) * | 1997-02-12 | 1999-07-13 | Gte Laboratories Incorporated | Method for providing secure remote command execution over an insecure computer network |
| US5884312A (en) * | 1997-02-28 | 1999-03-16 | Electronic Data Systems Corporation | System and method for securely accessing information from disparate data sources through a network |
| US5922074A (en) * | 1997-02-28 | 1999-07-13 | Xcert Software, Inc. | Method of and apparatus for providing secure distributed directory services and public key infrastructure |
| US6052785A (en) * | 1997-11-21 | 2000-04-18 | International Business Machines Corporation | Multiple remote data access security mechanism for multitiered internet computer networks |
| US6385596B1 (en) * | 1998-02-06 | 2002-05-07 | Liquid Audio, Inc. | Secure online music distribution system |
| US6088805A (en) * | 1998-02-13 | 2000-07-11 | International Business Machines Corporation | Systems, methods and computer program products for authenticating client requests with client certificate information |
| US6564320B1 (en) * | 1998-06-30 | 2003-05-13 | Verisign, Inc. | Local hosting of digital certificate services |
| US6490624B1 (en) * | 1998-07-10 | 2002-12-03 | Entrust, Inc. | Session management in a stateless network system |
| US6189103B1 (en) * | 1998-07-21 | 2001-02-13 | Novell, Inc. | Authority delegation with secure operating system queues |
| US6463535B1 (en) * | 1998-10-05 | 2002-10-08 | Intel Corporation | System and method for verifying the integrity and authorization of software before execution in a local platform |
| JP4410324B2 (ja) * | 1998-10-16 | 2010-02-03 | 富士通株式会社 | 資格管理方法および装置 |
| US6367009B1 (en) * | 1998-12-17 | 2002-04-02 | International Business Machines Corporation | Extending SSL to a multi-tier environment using delegation of authentication and authority |
| US6704867B1 (en) * | 1999-03-30 | 2004-03-09 | Bitney Bowes, Inc. | Method for publishing certification information representative of selectable subsets of rights and apparatus and portable data storage media used to practice said method |
| US6839879B1 (en) * | 1999-05-07 | 2005-01-04 | Xilinx, Inc. | Method and system for time-stamping and managing electronic documents |
| US6801999B1 (en) * | 1999-05-20 | 2004-10-05 | Microsoft Corporation | Passive and active software objects containing bore resistant watermarking |
| US6898706B1 (en) * | 1999-05-20 | 2005-05-24 | Microsoft Corporation | License-based cryptographic technique, particularly suited for use in a digital rights management system, for controlling access and use of bore resistant software objects in a client computer |
| US6549935B1 (en) * | 1999-05-25 | 2003-04-15 | Silverbrook Research Pty Ltd | Method of distributing documents having common components to a plurality of destinations |
| US6865671B1 (en) * | 2000-04-07 | 2005-03-08 | Sendmail, Inc. | Electronic mail system with authentication methodology for supporting relaying in a message transfer agent |
| AU7182701A (en) * | 2000-07-06 | 2002-01-21 | David Paul Felsher | Information record infrastructure, system and method |
| US6675261B2 (en) * | 2000-12-22 | 2004-01-06 | Oblix, Inc. | Request based caching of data store data |
-
2001
- 2001-10-12 JP JP2001315276A patent/JP2002215585A/ja active Pending
- 2001-11-14 US US09/987,418 patent/US7007091B2/en not_active Expired - Fee Related
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004260803A (ja) * | 2003-02-03 | 2004-09-16 | Sony Corp | 無線アドホック通信システム、端末、その端末における属性証明書発行提案方法及び属性証明書発行依頼方法並びにそれらの方法を端末に実行させるためのプログラム |
| US7797531B2 (en) | 2003-02-03 | 2010-09-14 | Sony Corporation | Wireless ad-hoc communication system, terminal, method for suggesting issuance of attribute certificate and method for requesting issuance of attribute certificate in the terminal, and program for causing the terminal to execute the method |
| JP4631281B2 (ja) * | 2003-02-03 | 2011-02-16 | ソニー株式会社 | 無線アドホック通信システム、端末、その端末における属性証明書発行提案方法及び属性証明書発行依頼方法並びにそれらの方法を端末に実行させるためのプログラム |
| JP2006344077A (ja) * | 2005-06-09 | 2006-12-21 | Location Value:Kk | 求人求職マッチング支援システム |
Also Published As
| Publication number | Publication date |
|---|---|
| US20020059437A1 (en) | 2002-05-16 |
| US7007091B2 (en) | 2006-02-28 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6438690B1 (en) | Vault controller based registration application serving web based registration authorities and end users for conducting electronic commerce in secure end-to-end distributed information system | |
| JP3505058B2 (ja) | ネットワークシステムのセキュリティ管理方法 | |
| US6715073B1 (en) | Secure server using public key registration and methods of operation | |
| US7747852B2 (en) | Chain of trust processing | |
| US7716722B2 (en) | System and method of proxy authentication in a secured network | |
| JP3640338B2 (ja) | 安全な電子データ格納、取出しシステムおよび方法 | |
| US8151332B2 (en) | Digital identity management | |
| US6775782B1 (en) | System and method for suspending and resuming digital certificates in a certificate-based user authentication application system | |
| US8185938B2 (en) | Method and system for network single-sign-on using a public key certificate and an associated attribute certificate | |
| US6105131A (en) | Secure server and method of operation for a distributed information system | |
| US6006332A (en) | Rights management system for digital media | |
| EP1764978B1 (en) | Attested identities | |
| US7698565B1 (en) | Crypto-proxy server and method of using the same | |
| US20020144109A1 (en) | Method and system for facilitating public key credentials acquisition | |
| US20010034836A1 (en) | System for secure certification of network | |
| EP1531382A2 (en) | Security support apparatus and computer-readable recording medium recorded with program code to cause a computer to support security | |
| JP2002033726A (ja) | 公開鍵インフラストラクチャにおける署名証明書の有効かつ安全な取消しのためのシステムおよび方法 | |
| JP2000148012A (ja) | 認証装置および方法 | |
| JPH1125048A (ja) | ネットワークシステムのセキュリティ管理方法 | |
| JP3660274B2 (ja) | 認証書系図の自動追跡方法及びシステム | |
| US7013388B2 (en) | Vault controller context manager and methods of operation for securely maintaining state information between successive browser connections in an electronic business system | |
| Kraft | Designing a distributed access control processor for network services on the web | |
| US6795920B1 (en) | Vault controller secure depositor for managing secure communication | |
| JP2002215585A (ja) | 個人証明書サブジェクト名処理装置および方法 | |
| JP2002312319A (ja) | パスワードシステム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20060110 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20060313 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20060411 |