JP2003085141A - シングルサインオン対応認証装置、ネットワークシステム、及びプログラム - Google Patents

Abstract

(57)【要約】 【課題】 シングルサインオンをより容易に導入できる
ようにするための技術を提供する。 【解決手段】 職員認証システム１０４は、端末装置１
０５のユーザの認証を行い、個人情報や業務システム単
位のアクセス権を示す権限情報、及び端末情報を付した
処理権限チケットを端末装置１０５に返す。その端末装
置１０５は、その処理権限チケットを付してアプリケー
ション・サーバ１０６にアクセス要求を送信する。サー
バ１０６の認証フィルタモジュール５０３は、処理権限
チケットを構成する権限情報を参照して、端末装置１０
５のユーザがアクセス権を持つか否か判定し、そのアク
セス権を持っていると判定すれば、認証システム１０４
からそのユーザのアカウント情報を取得する。そのよう
にして取得したアカウント情報を用いてアプリケーショ
ン・モジュール５０２に認証を行わせる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークと接
続された端末装置を使用するユーザの認証を行いアクセ
スを許可してサービスを提供するサービス提供用システ
ムをシングルサインオンに対応させるための技術に関す
る。

【０００２】

【従来の技術および発明が解決しようとする課題】近
年、コンピュータのネットワーク化が急速に進み、コン
ピュータは端末装置として使用されることが多くなって
いる。例えば企業では、現在では殆どのコンピュータは
ネットワークと接続されている。それにより、情報や周
辺機器の共有化、情報のやりとりの迅速化などを図るこ
とで、業務を効率化させている。

【０００３】そのネットワーク化の進展に合わせて、ネ
ットワークに接続される、端末装置（クライアント）の
ユーザにサービスを提供するのを目的としたシステム
（サービス提供用システム）の数も多くなっている。そ
れにより、認証を行って登録されたユーザにのみサービ
スを提供するサービス提供用システムも非常に多くなっ
ている。

【０００４】利用するサービス提供用システムが増える
に伴い、管理すべきパスワードは増え、個々のパスワー
ド管理は煩雑化していく。そのパスワードは、セキュリ
ティ管理上、ユニークなものからユニークなものに随
時、更新していくことが望ましいことになっている。各
システムでパスワードを共通にすることは非常に望まし
くない。このため、多くのパスワードを対象にしたパス
ワード管理は現実的でないのが実情である。このような
ことから、１回のログインを行えば、それ以降の認証を
自動的に行うシングルサインオンと呼ばれる機能を実現
させる必要性が非常に高まっている。

【０００５】そのシングルサインオンの実現方法として
は、最初に認証システムによる認証をユーザに行わせ、
その認証システムにサービス提供用システムにアクセス
（ログイン）するためのチケットを発行させるものがあ
る。その方法では、認証されたユーザが使用する端末装
置は、認証システムが発行したチケットをサービス提供
用システムに送信してその利用を要求し、その要求を受
けたサービス提供用システムは、チケットの真正性をチ
ェックした上で、そのユーザに利用を許可するようにな
っている。

【０００６】従来、そのようなシングルサインオンは、
サービス提供用システムのアプリケーション・プログラ
ム（以降、単にアプリケーションと記す）に、端末装置
から送信されるチケットを受け付けてそれを処理する仕
組みを組み込むことで実現させていた。しかし、その組
み込みは、既存のアプリケーションはもとより、新規の
アプリケーションに対しても非常に困難なのが実情とな
っている。このため、シングルサインオンを導入するこ
とが容易でないという問題点があった。このことから、
それをより容易に導入できるようにすることが強く望ま
れていた。

【０００７】本発明は、シングルサインオンをより容易
に導入できるようにするための技術を提供することを目
的とする。

【０００８】

【課題を解決するための手段】本発明のシングルサイン
オン対応認証装置は、ネットワークに接続された端末装
置のユーザの認証を行いアクセスを許可してサービスを
提供するサービス提供用システムに、認証システムが認
証を行って該サービス提供用システムにアクセスするた
めのチケットを発行した端末装置のユーザの認証を自動
的に行わせてシングルサインオンに対応させるために用
いられることを前提とし、端末装置から前記サービス提
供用システムに送信されたチケットを受信するチケット
受信手段と、チケット受信手段が受信したチケットを用
いて、該チケットを送信した端末装置のユーザの認証を
サービス提供用システムに自動的に行わせる認証手段
と、を具備する。

【０００９】なお、上記の構成において、認証を行った
ユーザがアクセス可能なサービス提供用システムを示す
アクセス権情報を含むチケットを認証システムが発行す
る場合に、認証手段は、端末装置から受信したチケット
中のアクセス権情報から、該端末装置のユーザがサービ
ス提供用システムにアクセスする権限を有するか否か判
定し、該判定結果に応じて、該チケットを送信した端末
装置のユーザの認証を該サービス提供用システムに行わ
せる、ことが望ましい。その認証手段は、端末装置から
受信したチケットを基に、認証システムから認証用のア
カウント情報を受け取り、該受け取ったアカウント情報
を用いてサービス提供用システムに認証を行わせる、こ
とが望まし。

【００１０】本発明のネットワークシステムは、ネット
ワークと接続された端末装置を使用するユーザの認証を
行いアクセスを許可してサービスを提供する１つ以上の
サービス提供用システムと、そのユーザの認証を行って
サービス提供用システムにアクセスするためのチケット
を発行する認証システムと、を備えた構成であることを
前提とし、端末装置から１つ以上のサービス提供用シス
テムのうちの１つに送信されたチケットを受信するチケ
ット受信手段と、チケット受信手段が受信したチケット
を用いて、該チケットを送信した端末装置のユーザの認
証を、該チケットが送信されたサービス提供用システム
に自動的に行わせる認証手段と、を具備する。

【００１１】本発明のプログラムは、認証システムが認
証を行って他のシステムにアクセスするためのチケット
を発行した端末装置のユーザの認証を、ユーザの認証を
行いアクセスを許可してサービスを提供するサービス提
供用システムに自動的に行わせてシングルサインオンに
対応させるための装置に実行させることを前提とし、ネ
ットワークに接続された端末装置からサービス提供用シ
ステムに送信されたチケットを受信する機能と、受信す
る機能により受信したチケットを用いて、該チケットを
送信した端末装置のユーザの認証をサービス提供用シス
テムに自動的に行わせる機能と、を実現させる。

【００１２】本発明では、ネットワークに接続された端
末装置のユーザ（アクセス要求者）の認証を行いアクセ
スを許可してサービスを提供するサービス提供用システ
ムの前段に、認証システムが認証を行って発行したサー
ビス提供用システムにアクセスするためのチケットを端
末装置から受け取って、サービス提供用システムにアク
セス要求者の認証を自動的に行わせてシングルサインオ
ンに対応させる装置（シングルサインオン対応認証装
置）を配置し、その装置によりサービス提供用システム
での認証を自動的に行わせる。

【００１３】そのようにしてサービス提供用システムに
認証を行わせる場合、シングルサインオンに対応してい
ないサービス提供用システムを修正することなく、シン
グルサインオンに対応させることが可能となる。その結
果、より容易、且つ迅速にシングルサインオンを導入す
ることが可能となる。

【００１４】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図面を参照しながら詳細に説明する。図１は、本実
施の形態によるネットワークシステムの構成を示す図で
ある。

【００１５】そのシステムは、自治体の職員が業務を行
うために構築されたクライアント／サーバ型のシステム
である。図１に示すように、ＬＡＮまたはＷＡＮなどの
ネットワーク（以降、便宜的にＷＡＮであるとする）１
０１を介して２つのＬＡＮ１０２、１０３を結び、ＬＡ
Ｎ１０２には、それぞれ、自治体の職員が主に使用する
クライアントである多数の端末装置（例えばパーソナル
コンピュータ（以降、パソコンと略記する））１０５
と、職員の認証を行う職員認証システム１０４と、が接
続され、他方のＬＡＮ１０３には、例えばそれぞれが職
員に専用のサービスを提供するサービス提供用システム
（そのサービスは職員が業務を遂行するためのものであ
ることから、以降、業務システムと呼ぶことにする）と
して実現されたアプリケーションサーバ（Ｗｅｂサー
バ）１０６が複数、接続されて構築されている。職員認
証システム１０４は、職員認証用の情報を保存させるデ
ータベースなど各種データベースを管理するデータベー
スサーバ１１１と、そのデータベースなどに保存された
情報を用いて職員の認証を行う認証（Ｗｅｂ）サーバ１
１２と、をＬＡＮ１０２で接続することで構築されてい
る。

【００１６】なお、上記の構成において、職員認証シス
テム１０４は１台、或いは３台以上のサーバで構築して
も良い。アプリケーションサーバ１０６については、そ
れが実現するシステムはそれぞれ１つとなっているが、
１台のサーバ１０６で複数のシステムを実現させても良
い。採用するネットワークとしては、ＷＡＮとＬＡＮの
組み合わせに限定されるものではなく、インターネット
などのネットワークを採用しても良い。各サーバ１０
６、１１２をＷｅｂサーバとしているのは、Ｗｅｂブラ
ウザを搭載したパソコンなどの情報処理装置を端末装置
１０５として幅広く利用できるようにするためである。

【００１７】図１に示すネットワークシステムでは、図
２に示すように、端末装置（クライアント）１０５を使
用するユーザである職員は、職員認証システム１０４の
Ｗｅｂサーバ１１１にアクセスし、個人識別情報を入力
して認証を行わせる。その認証の結果、アクセス権利を
有する登録された利用者であることが確認されると、ア
プリケーションサーバ１０６によって実現されている業
務システムにアクセスしてそれを利用できるようになっ
ている。入力する個人識別情報とは、指紋、ＩＤ・パス
ワード、ＩＣカードのデータ、などである。業務システ
ムとしては、Ａシステム２０１、Ｂシステム２０２、Ｃ
システム２０３、Ｄシステム２０４、及びＥシステム２
０５が用意されている。それらの業務システム２０１〜
２０５には、例えば文書管理システム、財務会計システ
ム、電子決裁システム、人事システム、経理システム、
勤怠システム、及び購買システムのうちの１つが対応す
る。なお、用意する業務システムの数や種類などは、そ
れらのシステム２０１〜２０５に限定されるものではな
い。個人識別情報も、上述したものに限定されるわけで
はなく、公開鍵などを採用しても良い。

【００１８】図３は、業務システムへのアクセス制御を
説明する図である。各業務システム２０１〜２０５のな
かには、職員の所属や地位、或いは役割などによってア
クセスさせるのが望ましくないものがある。このことか
ら、全職員に対し、各業務システム２０１〜２０５の全
てにアクセスできる権利（アクセス権）を与えてはおら
ず、職員（ここでは、特定の課、或いはグループなどの
集団を含む）別にアクセス可能な業務システムを設定し
ている。即ち各職員に対し、個別的に業務システム単位
でアクセス権を設定している。

【００１９】その設定情報は、職員認証システム１０４
のデータベースサーバ１１２が管理するデータベース
（或いはファイル、など）３０１の一つとして用意した
アクセス権テーブル３０２に格納している。テーブル３
０２中の「○」はアクセス権が設定されていることを表
し、「×」はそれが設定されていないことを表してい
る。それにより、認証システム１０４で認証した職員に
は、アクセス権テーブル３０２にアクセス権が設定され
た業務システムにのみアクセスできるようにさせてい
る。図３では、アクセス権テーブル３０２に設定された
アクセス権から、職員である「東京一郎」は、Ａシステ
ム２０１、及びＣシステム２０３にアクセスできても、
Ｂシステム２０２にはアクセスできないことを示してい
る。

【００２０】なお、上記アクセス権は、システム単位で
設定するようにしているが、システムが提供するサービ
スの内容単位でアクセス権を設定できるようにしても良
い。そのようにした場合には、より細かいアクセス制御
を行えるようになる。

【００２１】次に、図３に示すようなアクセス制御を実
現させる端末装置１０５、認証システム１０４、及びア
プリケーションサーバ１０６の動作について、図４、及
び図５の説明図を参照して詳細に説明する。

【００２２】図４は、アカウント情報登録時における手
順を示すシーケンス図である。始めに図４を参照して、
業務システムを管理する側の職員、或いは業者（管理
者）、或いは業務システムを利用する側の職員が、業務
システムにアクセスするためのアカウント情報を職員認
証システム１０４に登録させる場合の端末装置１０５、
及び認証システム１０４の動作について詳細に説明す
る。

【００２３】認証システム１０４の認証サーバ１１２
は、例えばアクセスしてきた端末装置１０５のユーザに
対する認証を行った後に、所定の画面（ポータル画面）
を端末装置１０５に送信する。その画面上には、アカウ
ント情報の登録を要求するためのボタン（或いはアイコ
ン、メニューなど）が配置されている。それにより、そ
の登録の要求は、そのボタンをクリックすることで行う
ようになっている。

【００２４】端末装置１０５のユーザがそのポータル画
面上でアカウント情報の登録を要求すると、認証システ
ム１０４の認証サーバ１１２はその要求を受け付けて、
例えば常駐のプログラム・モジュールであるアカウント
登録モジュール４０１の制御下に移行する。それによ
り、アカウント情報登録時には、認証サーバ１１２はア
カウント登録モジュール４０１の制御下で動作する。

【００２５】そのモジュール４０１に制御を移行させた
認証サーバ１１２は、アカウント情報の登録を要求して
きた端末装置（図中では「クライアント（Ｗｅｂブラウ
ザ）と表記）１０５にアカウント情報登録用のアカウン
ト登録画面を送信する（シーケンスＳ１）。その登録画
面には、図中、Ａ〜Ｃシステムと表記した各業務システ
ム別に、ＩＤ、パスワードなどのアカウント情報を入力
するためのボックスが設けられている。管理者は、登録
画面上で認証方式（認証を行ううえでの仕組みなど）な
ども入力するようになっている。

【００２６】一方の端末装置１０５は、認証サーバ１１
２から送信されたアカウント登録画面を受信すると、そ
れを表示装置上に表示させ、その画面上に、キーボード
やポインティングデバイスなどへのユーザの操作に応じ
てデータを表示させる。そのようにしてデータ入力を行
った後、登録画面上に配置された所定のボタン（例えば
「登録」ボタン）をユーザがクリックすると、その登録
画面上に入力されたデータをアカウント情報として認証
サーバ１１２に送信する（シーケンスＳ２）。

【００２７】アカウント情報を受信した認証サーバ１１
２は、それをデータベースサーバ１１１に送り、例えば
その保存用に用意したデータベース、或いはファイルな
どの保存用エリア（ここではデータベースであるとす
る）４０２に保存させる（シーケンスＳ３）。その保存
は、認証を行うことで特定された個人を指定して行わせ
る。それにより、アカウント情報の登録を要求した人の
アカウント情報がデータベース４０２上に既に存在して
いれば、新たに送信されてきたアカウント情報をデータ
ベース４０２に上書きさせ、そうでなければ（アカウン
ト情報が存在していなければ）、データベース４０２に
新たにレコードを追加して、送信されてきたアカウント
情報をそこに書き込む。そのようにしてデータベース４
０２にアカウント情報を格納させることにより、その登
録が完了する。

【００２８】図５は、業務システム利用時における手順
を示すシーケンス図である。次に図５を参照して、端末
装置１０５のユーザが業務システムを利用する場合の端
末装置１０５、認証システム１０４、及びその業務シス
テムが実現されたアプリケーションサーバ１０６の動作
について詳細に説明する。このとき、認証システム１０
４の認証サーバ１１２は、例えば常駐のプログラム・モ
ジュールである認証モジュール５０１に制御を移行させ
る。

【００２９】認証サーバ１１２は、例えばアクセスして
きた端末装置１０５に、個人の認証方式に応じたログイ
ン画面を送信する。ここでの認証方式とは、ＩＤ・パス
ワードや指紋などといった個人識別情報の種類のことで
ある。端末装置１０５は、認証サーバ１１２からログイ
ン画面を受信すると、それを表示装置上に表示させる。
その後、ユーザが個人識別情報を入力すると、それを認
証サーバ１１２に送信する（シーケンスＳ１１）。

【００３０】認証サーバ１１２は、個人識別情報を受信
すると、例えばその一部の情報（個人識別情報としてＩ
Ｄ・パスワードを受信した場合には例えばＩＤ）をデー
タベースサーバ１１１に送り、データベース４０２に保
存されている、その一部の情報に対応する個人識別情報
の送信を依頼することでそれを取得する。それを取得す
ると、その個人識別情報を端末装置１０５から受信した
個人識別情報と照合することにより、その端末装置１０
５から個人識別情報を送信させた人の認証を行う（シー
ケンスＳ１２）。

【００３１】その認証により、端末装置１０５から受信
した個人識別情報がデータベース４０２に保存されてい
ることを確認すると、認証サーバ１１２は、業務システ
ムにアクセスするための情報である処理権限チケットを
端末装置１０５に送信する（シーケンスＳ１３）。本実
施の形態では、処理権限チケットと合わせて、上記ポー
タル画面を送信するようにしている。端末装置１０５
は、受信した処理権限チケットをメモリ、或いはハード
ディスクなどに書き込んで保存し、受信したポータル画
面は表示装置に表示させる。

【００３２】本実施の形態では、上記処理権限チケット
の発行にＣｏｏｋｉｅを用いている。そのパラメータｄ
ｏｍａｉｎとして、各業務システム（アプリケーション
サーバ１０６）のＵＲＬで共通のドメイン名を設定して
いる。それにより、端末装置１０５を業務システムにア
クセスさせる場合には、端末装置１０５から業務システ
ムに処理権限チケットが送信されるようにしている。パ
ラメータｐａｔｈには、サーバ１０６内の仮想ページ全
てで参照できるようにルートパスを設定している。

【００３３】その処理権限チケットには、個人情報や権
限情報、及び端末情報などを付加させている。個人情報
とは、例えば職員コードや氏名、所属部署コード、所属
全部署コード、所属名、役職コード、補職コード、役割
コード、などである。権限情報とは、例えば認証した人
に対してアクセス権テーブル３０２で各業務システム別
に設定されたアクセス権を示すものである。端末情報と
は、例えば端末装置１０５のＩＰアドレスやブラウザの
種別を示すデータ、などである。個人情報は、例えばデ
ータベース４０２、或いは３０１から取得し、端末情報
は、端末装置１０５とのやりとりを通じて取得する。

【００３４】上記ポータル画面には、例えば各業務シス
テムにアクセスを要求するためのボタンが複数、配置さ
れている。それにより、ユーザがポータル画面上の所望
のボタンをクリックすると、端末装置１０５はそのボタ
ンに対応するアプリケーションサーバ１０６に、処理権
限チケットと合わせてアクセス要求を送信する（シーケ
ンスＳ１４）。

【００３５】各アプリケーションサーバ１０６には、業
務システムを実現させるためのプログラム・モジュール
であるアプリケーション・モジュール５０２の他に、プ
ログラム・モジュールである認証フィルタモジュール５
０３がインストールされている。その認証フィルタモジ
ュール５０３は、アクセス要求時に、端末装置１０５と
アプリケーション・モジュール５０２の間のやりとりを
仲立ちする形で、アプリケーション・モジュール５０２
にアクセス要求者の認証を自動的に行わせるためのもの
である。本実施の形態によるシングルサインオン対応認
証装置は、アプリケーションサーバ１０６に搭載された
ＣＰＵが、その認証フィルタモジュール５０３を実行す
ることで実現される。

【００３６】認証フィルタモジュール５０３は、端末装
置１０５からアクセス要求を受信すると、例えば処理権
限チケットに付加された個人情報中の職員コードを抽出
し、その職員コードに対応するアカウント情報の送信を
職員認証システム１０４に依頼する。その依頼により、
データベースサーバ１１１がデータベース４０２から読
み出したアカウント情報がアプリケーションサーバ１０
６に送信される（シーケンスＳ１５）。

【００３７】認証フィルタモジュール５０３は、処理権
限チケットに付加された権限情報を参照して、アクセス
要求者がアクセスを要求している業務システムに対する
アクセス権を持っているか否か判定する。その結果、ア
クセス権を持っていないと判定すると、その旨を端末装
置１０５に通知する。このことから、認証システム１０
４には、アクセス要求者がアクセス権を持っていると判
定した場合にのみ、アカウント情報の送信を依頼する。

【００３８】アプリケーションサーバ１０６がアカウン
ト情報を認証システム１０４から受信すると、認証フィ
ルタ・モジュール５０３は、端末装置１０５に代わっ
て、認証システム１０４から送信されたアカウント情報
を用いてアクセス要求を行う（シーケンスＳ１６）。そ
のアクセス要求は、アプリケーション・モジュール５０
２に設定されている認証の手続き、その内容に沿って行
う。それにより、アプリケーション・モジュール（業務
システム）５０２に端末装置１０５のユーザの認証を自
動的に行わせる。そのようにしてユーザ（アクセスの要
求者）の認証を行ってアクセスを許可したアプリケーシ
ョン・モジュール５０２は、そのユーザが使用する端末
装置１０５にアプリケーション画面を送信する（シーケ
ンスＳ１７）。それ以降、アプリケーション・モジュー
ル５０２は、認証フィルタ・モジュール５０３を介する
ことなく、端末装置１０５とのやりとりを行う状況に移
行する。

【００３９】このようにして、本実施の形態では、認証
フィルタ・モジュール５０３が端末装置１０５に代わっ
てアクセス要求を行い、業務システムにアクセス者の認
証を自動的に行わせる。このため、アプリケーション・
モジュール５０２がシングルサインオンに対応していな
い既存のものであっても、それを変更することなく、シ
ングルサインオンに対応させることができる。その認証
フィルタモジュール５０３は、それをアプリケーション
・モジュールに組み込むよりも容易に開発することがで
きる。従って、シングルサインオンをより容易、且つ低
コストに導入できることとなる。アプリケーション・モ
ジュールを新たに開発する場合であっても、シングルサ
インオンに必ずしも対応させなくて済むようになること
から、アプリケーション・モジュールの開発コストの向
上を抑えられることになる。

【００４０】アプリケーション・モジュール５０２に認
証を行わせるためのアカウント情報は、本実施の形態で
は随時、認証システム１０４から取得するようにしてい
る。これは、アカウント情報が端末装置１０５などから
漏洩してしまうのを回避するためである。それにより、
アクセス権を持たない人がたとえアプリケーション・モ
ジュール５０２に直接、アクセスできたとしても、各ア
プリケーション・モジュール単位でアカウント情報を設
定する場合と同等のレベルのセキュリティレベルを維持
できるようにさせている。

【００４１】なお、本実施の形態では、シングルサイン
オン対応認証装置をアプリケーションサーバ１０６に搭
載された装置として実現させているが、サーバ１０６と
は別個の装置として実現させても良い。そのようにした
場合には、１個の認証装置に複数のアプリケーション・
サーバ１０６（業務システム）を担当させるようにして
も良い。

【００４２】シングルサインオン対応認証装置を実現さ
せる認証フィルタモジュール５０３のようなプログラム
は、ＣＤ−ＲＯＭ、ＤＶＤ、フレキシブル・ディスク、
或いは光磁気ディスク等の記録媒体に記録させて配布し
ても良い。或いは、公衆網等で用いられる伝送媒体を介
して、そのプログラムの一部、若しくは全部を配信する
ようにしても良い。そのようにした場合には、ユーザは
プログラムを取得してコンピュータなどの情報処理装置
にロードすることにより、その情報処理装置に本発明に
よるシングルサインオン対応認証装置を搭載させること
ができる。このことから、記録媒体は、プログラムを配
信する装置がアクセスできるものであっても良い。

【００４３】

【発明の効果】以上、説明したように本発明は、ネット
ワークに接続された端末装置のユーザ（アクセス要求
者）の認証を行いアクセスを許可してサービスを提供す
るサービス提供用システムの前段に、認証システムが認
証を行って発行したサービス提供用システムにアクセス
するためのチケットを端末装置から受け取って、サービ
ス提供用システムにアクセス要求者の認証を自動的に行
わせてシングルサインオンに対応させる装置（シングル
サインオン対応認証装置）を配置し、その装置によりサ
ービス提供用システムでの認証を自動的に行わせる。こ
のため、シングルサインオンに対応していないサービス
提供用システムであっても、それを修正することなく、
シングルサインオンに対応させることができる。その結
果、より容易、且つ迅速にシングルサインオンを導入す
ることができる。

【図面の簡単な説明】

【図１】本実施の形態によるネットワークシステムの構
成を示す図である。

【図２】職員が業務システムを利用するうえでの流れを
説明する図である。

【図３】業務システムへのアクセス制御を説明する図で
ある。

【図４】アカウント情報登録時における手順を示すシー
ケンス図である。

【図５】業務システム利用時における手順を示すシーケ
ンス図である。

【符号の説明】

１０１ ＷＡＮ １０２、１０３ ＬＡＮ １０４ 職員認証システム １０５ 端末装置（クライアント） １０６ アプリケーションサーバ １１１ データベースサーバ １１２ 認証サーバ ２０１ Ａシステム ２０２ Ｂシステム ２０３ Ｃシステム ２０４ Ｄシステム ２０５ Ｅシステム ３０１、４０２ データベース ３０２ アクセス権テーブル ４０１ アカウント登録モジュール ５０１ 認証モジュール ５０２ アプリケーション・モジュール ５０３ 認証フィルタ・モジュール

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ テーマコート゛(参考） Ｇ０６Ｆ 17/60 ＺＥＣ Ｇ０６Ｆ 17/60 ＺＥＣ Ｈ０４Ｌ 12/28 １００ Ｈ０４Ｌ 12/28 １００Ｓ

Claims (5)

【特許請求の範囲】
1. 【請求項１】 ネットワークに接続された端末装置のユ
   ーザの認証を行いアクセスを許可してサービスを提供す
   るサービス提供用システムに、認証システムが認証を行
   って該サービス提供用システムにアクセスするためのチ
   ケットを発行した端末装置のユーザの認証を自動的に行
   わせてシングルサインオンに対応させるための装置であ
   って、 前記端末装置から前記サービス提供用システムに送信さ
   れたチケットを受信するチケット受信手段と、 前記チケット受信手段が受信したチケットを用いて、該
   チケットを送信した端末装置のユーザの認証を前記サー
   ビス提供用システムに自動的に行わせる認証手段と、 を具備することを特徴とするシングルサインオン対応認
   証装置。
2. 【請求項２】 前記認証を行ったユーザがアクセス可能
   なサービス提供用システムを示すアクセス権情報を含む
   前記チケットを前記認証システムが発行する場合に、 前記認証手段は、前記端末装置から受信したチケット中
   のアクセス権情報から、該端末装置のユーザが前記サー
   ビス提供用システムにアクセスする権限を有するか否か
   判定し、該判定結果に応じて、該チケットを送信した端
   末装置のユーザの認証を該サービス提供用システムに行
   わせる、 ことを特徴とする請求項１記載のシングルサインオン対
   応認証装置。
3. 【請求項３】 前記認証手段は、前記端末装置から受信
   したチケットを基に、前記認証システムから認証用のア
   カウント情報を受け取り、該受け取ったアカウント情報
   を用いて前記サービス提供用システムに認証を行わせ
   る、 ことを特徴とする請求項１、または２記載のシングルサ
   インオン対応認証装置。
4. 【請求項４】 ネットワークと接続された端末装置を使
   用するユーザの認証を行いアクセスを許可してサービス
   を提供する１つ以上のサービス提供用システムと、その
   ユーザの認証を行ってサービス提供用システムにアクセ
   スするためのチケットを発行する認証システムと、を備
   えたネットワークシステムにおいて、 前記端末装置から前記１つ以上のサービス提供用システ
   ムのうちの１つに送信されたチケットを受信するチケッ
   ト受信手段と、 前記チケット受信手段が受信したチケットを用いて、該
   チケットを送信した端末装置のユーザの認証を、該チケ
   ットが送信された前記サービス提供用システムに自動的
   に行わせる認証手段と、 を具備することを特徴とするネットワークシステム。
5. 【請求項５】 認証システムが認証を行って他のシステ
   ムにアクセスするためのチケットを発行した端末装置の
   ユーザの認証を、ユーザの認証を行いアクセスを許可し
   てサービスを提供するサービス提供用システムに自動的
   に行わせてシングルサインオンに対応させるための装置
   に実行させるプログラムであって、 ネットワークに接続された前記端末装置から前記サービ
   ス提供用システムに送信されたチケットを受信する機能
   と、 前記受信する機能により受信したチケットを用いて、該
   チケットを送信した端末装置のユーザの認証を前記サー
   ビス提供用システムに自動的に行わせる機能と、 を実現させるためのプログラム。