JP4108461B2

JP4108461B2 - 認証システム、認証振り分けサーバ、認証方法およびプログラム

Info

Publication number: JP4108461B2
Application number: JP2002352511A
Authority: JP
Inventors: 陽一郎松野; 薫前田; 克己金崎
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2002-12-04
Filing date: 2002-12-04
Publication date: 2008-06-25
Anticipated expiration: 2022-12-04
Also published as: JP2004185396A

Description

【０００１】
【発明の属する技術分野】
本発明は，認証システムに関し、詳細には、既存の認証サービスを利用しているアプリケーションが、効率的にＷｅｂサービス上の認証サービスを利用可能とした認証システム、認証振り分けサーバ、認証方法およびプログラムに関する。
【０００２】
【従来の技術】
例えば、オフィス内の文書管理システムのように、業務上使用されるアプリケーションの中には、ユーザのアクセスに対して管理を行う必要があるものが多い。複数のアプリケーションがある場合は、オフィス内のメンバーの移動やアクセス権限の変化などが比較的頻繁に発生し、システム管理者の手間を増大させるため、各アプリケーション内にユーザの管理情報を持たせることは難しい。
【０００３】
そのため、現在では、ディレクトリサービスなどのユーザ管理情報の提供と認証を行うサービスを利用することが多くなっている。代表的なものとして、ＭｉｃｒｏｓｏｆｔのａｃｔｉｖｅｄｉｒｅｃｔｏｒｙやＬＤＡＰなどが挙げられる。図６は、従来の認証方法を説明するための図である。同図において、１はクライアント、２はサーバアプリケーション（サービスサーバ）、３は従来の認証サービス（認証サーバ）を示している。
【０００４】
図６において、ユーザは、オフィス内のシステムにアクセスする際に、クライアント１からユーザ名やパスワードなどのクレデンシャル情報を入力して（１）、サーバアプリケーション２に送信する。サーバアプリケーション２は、このクレデンシャル情報の解析を認証サービス３に委託し（２）、認証サービス３は、登録されているユーザと同一であることを認証して、認証ユーザー情報をサーバアプリケーション２に通知する（３）。そして、サーバアプリケーション２は、クライアント１のユーザを認証する（４）。
【０００５】
このように、ユーザが認証されることで、ユーザはそのアプリケーションを利用することができる。しかしながら、これらの認証サービス３は、主にＬＡＮやＷＡＮなどの限られた範囲内で用いられており、ファイアーウォールなどを越えることはできないのが一般的であった。
【０００６】
また、Ｗｉｎｄｏｗｓ（Ｒ）やＵＮＩＸ（Ｒ）などのプラットフォームの異なるシステムの場合には、通常、異なる認証サービスが用いられており、ユーザ管理を統合する際には認証サービス同士の連携を取る必要があるため、エキスパートでなければ導入・運用ができないのが現状である。
【０００７】
最近、ｗｅｂベースでネットワークシステムが連携できるようになりつつある。これは、プラットフォーム依存性が少なく、既存のバックボーンを利用することが可能であることが大きい。特に、ＷｅｂサービスなどＨＴＴＰやＳＭＴＰを用いた通信形態ではファイアーウォールを越えることも可能である。そこで、認証サービスやディレクトリサービス等もＷｅｂサービスで実現しようという動きが起こっている。Ｗｅｂサービス上の認証サービスでは、多くの場合、シングルサインオン環境を実現している。
【０００８】
図７は、Ｗｅｂサービスにおける認証方法を説明するための説明図である（例えば、特許文献１参照）。同図において、４はＷｅｂサービスクライアント（Ｗｅｂブラウザ）、５はＷｅｂサービスアプリケーション（Ｗｅｂサービスサーバ）、６はＷｅｂサービス認証サービス（Ｗｅｂサービス認証サーバ）を示している。
【０００９】
Ｗｅｂサービスクライアント４が、Ｗｅｂサービス認証サービス６に対して、ユーザ名、パスワードなどのクレデンシャル情報を与えると（１）、Ｗｅｂサービス認証サービス６は、認証を行ったという証明書（文字列の認証チケット）をユーザに発行する（２）。この認証チケットは、Ｗｅｂサービス認証サービスと連携したサービス群のみが、内容を理解することができ、ユーザが誰であるか、どのグループに属しているかなどの情報を得ることができる。そして、Ｗｅｂサービスクライアント４が、Ｗｅｂサービスアプリケーション２に認証チケットを提示すると（３）、Ｗｅｂサービスアプリケーション２は、Ｗｅｂサービスクライアント４を認証する（４）。
【００１０】
このように、ユーザは、ローカルに認証チケットを持つことで、対応アプリケーションサービス群にアクセスする際に認証チケットを提示することができる。すなわち、従来のように何回もパスワードを入力することなく、対応サービスを利用することが可能となる。
【００１１】
これによれば、ベンダーが新たなアプリケーションを開発する際に、Ｗｅｂサービスとして実装し、Ｗｅｂサービス認証サービスから送られる認証チケットを理解できれば、プラットフォームに依存しないシングルサインオン環境に則したシステムを提供することが可能である。
【００１２】
ここで、全てのシステムを直ちに新しいものに置き換えることはできないため、既存のシステムとの連携を考える必要がある。既存のシステムをＷｅｂサービス化するためには、Ｗｅｂサーバやアプリケーションサーバ上でＷｅｂサービスのプロトコルを既存のシステムのプロトコルに変換するラッパーを用意するだけで良い。これは、さまざまなツールを用いることで、比較的簡単に実現可能である。
【００１３】
しかしながら、認証サービスを既存アプリケーションの認証システムに組み込むためには、単にラッパーを用いただけでは実現できない。認証の際にユーザ名やパスワードなどを受け取るような既存のアプリケーションでは、ユーザ名とパスワードなどの情報を用いて、ローカルな認証サービスを利用して認証を行うため、認証チケットを理解することができない。そのため、何らかの方法で認証チケットをデコードして認証を行えるシステムを構築する必要がある。
【００１４】
【特許文献１】
特開平１１−２８２８０４号公報
【００１５】
【発明が解決しようとする課題】
本発明は、上記に鑑みてなされたものであり、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことが可能な認証システム、認証振り分けサーバ、認証方法およびプログラムを提供することを目的とする。
【００１６】
【課題を解決するための手段】
上記課題を解決するために、請求項１にかかる発明は、クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、認証振り分けサーバと、ローカルサービスのユーザとして認証を行う認証サーバと、を含む認証システムであって、前記Ｗｅｂサービス認証サーバは、前記クライアントからパスワードを受信し、当該クライアントのユーザの認証を行って、ユーザ認証が成功したことを表す認証チケットをクライアントに送信し、前記アプリケーションサーバは、前記クライアントからパスワードとして前記認証チケットを受信した場合に、当該認証チケットを前記認証振り分けサーバに送信し、前記認証振り分けサーバは、前記アプリケーションサーバから前記認証チケットを受信した場合には、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信し、前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証チケットを受信した場合に、前記認証チケットをデコードして認証し、認証した認証情報を前記認証振り分けサーバに送信し、前記認証振り分けサーバは、前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに、前記認証情報を送信し、前記アプリケーションサーバは、前記認証振り分けサーバから前記認証情報を受信した場合に、前記クライアントのユーザを認証し、前記認証振り分けサーバは、前記アプリケーションサーバから前記パスワードを受信した場合には、前記認証サーバに当該パスワードを送信し、前記認証サーバは、前記パスワードを、デコードして認証し、認証した情報を前記認証振り分けサーバに送信し、前記認証振り分けサーバは、前記認証サーバから前記認証した情報を受信した場合に、前記Ｗｅｂサービス認証サーバに該認証した情報を送信し、前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証した情報を受信した場合に、前記クライアントのユーザを認証することを特徴とする。
【００１７】
上記発明によれば、パスワードを必要とする既存の認証サービスを利用して認証を行っているサーバアプリケーションをＷｅｂサービスなどの新しい認証方式の認証サービスに対応させる。付言すると、既存のサーバアプリケーションではユーザから受け取るものはユーザ名とパスワードなどの情報であり、新規認証方式の認証サービスが発行する認証チケットを理解することはできない。また、パスワード情報のみを扱うことを前提としている事が多いため、既存の認証サービスを利用する認証モジュールは内部の深い層または外部にあることが多い。そこで、請求項１の発明では、認証チケットをパスワードとして渡す機能と、既存のサーバアプリケーションの認証モジュールまたは既存認証サービスと認証モジュールの間に、認証振り分け処理機能とを追加することにより、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことを可能とする。
【００１９】
上記発明によれば、認証処理分けサーバは、パスワードを受け取った場合には、既存の認証サーバにパスワードを送信し、認証チケットを受信した場合には、Ｗｅｂサービス認証サーバに認証チケットを送信することにより、サーバアプリケーションの認証モジュールが、パスワードによる認証方式と認証されたことを証明するチケットを用いた認証方式の両者に対応することが可能となる。
【００２０】
また、請求項２にかかる発明は、請求項１にかかる発明において、さらに、前記アプリケーションサーバの内部または外部に設けられ、前記クライアントからパスワードとして前記認証チケットを受信して、前記アプリケーションサーバに渡すＷｅｂサービスインターフェイスを含むことを特徴とする。
【００２１】
上記発明によれば、サービスサーバの内部または外部にＷｅｂサービスインターフェイスを設けることにより、サービスサーバに余り修正を加えずに、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことを可能とする。
【００２２】
また、請求項３にかかる発明は、請求項１にかかる発明において、前記認証振り分け処理部は、前記アプリケーションサーバの外部に設けられていることを特徴とする。
【００２３】
上記発明によれば、認証振り分け処理部をサービスサーバの外部に設けことにより、既存のサーバアプリケーションをインターフェイスのわずかな修正と既存の認証システムのインターフェイスの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００２４】
また、請求項４にかかる発明は、請求項１にかかる発明において、前記認証振り分け処理部は、前記アプリケーションサーバの内部に設けられていることを特徴とする。
【００２５】
上記発明によれば、認証振り分け処理部をサービスサーバの内部に設けことにより、既存のサーバアプリケーションの認証モジュールの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００２６】
また、請求項５にかかる発明は、請求項１にかかる発明において、前記クライアントは、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能としたことを特徴とする。
【００２７】
上記発明によれば、クライアントでは、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能とすることにより、サーバアプリケーションのクライアントが、Ｗｅｂサービスの新規認証方式と既存の認証方式にも対応している場合に、認証方式を選択することが可能となる。
【００２８】
また、請求項６にかかる発明は、請求項１にかかる発明において、前記クライアントは、ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能としたことを特徴とする。
【００２９】
上記発明によれば、クライアントでは、ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能とすることにより、サーバアプリケーションのクライアントが、Ｗｅｂサービスの新規認証方式と既存の認証方式にも対応している場合に、認証方式を予め選択することが可能となる。
【００３０】
また、請求項７にかかる発明は、請求項１にかかる発明において、前記アプリケーションサーバは、他のサービスを利用する必要がある場合には、前記クライアントがログインする際に用いたパスワードを使用して、前記Ｗｅｂサービス認証サーバにアクセスして、認証されたことを証明する認証チケットを取得し、当該認証チケットで前記他のサービスの認証を行うことを特徴とする。
【００３１】
上記発明によれば、クライアントがパスワードによって認証される場合、サーバアプリケーションが、現在の認証では許可されていないサービスを利用する必要があった場合に、それらのサービスを利用することが可能となる。
【００３２】
【発明の実施の形態】
以下、図面を参照して、本発明にかかる認証システム、認証振り分けサーバ、認証方法およびプログラムの好適な実施の形態を、（実施の形態１）、（実施の形態２）、（実施の形態３）、（実施の形態４）、（実施の形態５）の順に詳細に説明する。
【００３３】
（実施の形態１）
図１は、実施の形態１にかかる認証システムの構成例を示す図である。図１において、上記図６および図７と同等機能を有する部位には同一符号を付してある。同図において、２は既存のサーバアプリケーション（アプリケーションサーバ）、４はＷｅｂサービスクライアント（Ｗｅｂブラウザ）、６はＷｅｂサービス認証サービス（Ｗｅｂサービス認証サーバ）、７はＷｅｂサービスインターフェイス、８は認証振り分けサーバを示している。
【００３４】
図１に示す認証システムは、既存のサーバアプリケーション２に、Ｗｅｂサービスインターフェイス２でラッピングを施し、認証振り分けサーバ８と組み合わせることで、Ｗｅｂサービス化とＷｅｂサービス上での認証サービスとを実現したものである。
【００３５】
つぎに、図１の認証システムにおいてＷｅｂサービスクライアント４を認証する場合の認証手順を説明する。図１において、まず、Ｗｅｂサービスクライアント４が、Ｗｅｂサービス認証サービス３に対して、ユーザ名、パスワードなどの情報を与えると（１）、Ｗｅｂサービス認証サービス３は、認証を行ったという証明書（文字列の認証チケット）をユーザに発行する（２）。これにより、Ｗｅｂサービスクライアント４は、認証チケットを取得する。
【００３６】
Ｗｅｂサービスクライアント４は、取得した認証チケットをＷｅｂサービスインターフェイス２にパスワードとして渡す（３）。パスワードとして扱われた認証チケットは、サーバアプリケーション２の認証モジュールへ到達する。認証モジュールは、本来、既存のローカル認証サービスへパスワードを渡し、認証が成功した結果として認証情報を受け取るものである。これに対して、本実施の形態では、認証モジュールは、既存の認証サービスにパスワードを渡す代わりに、認証チケットを認証振り分けサーバ８に渡す（４）。
【００３７】
認証振り分けサーバ８は、認証チケットを受け取ると、この認証チケットをＷｅｂサービス認証サービス６へ送る（５）。Ｗｅｂサービス認証サービス３は、認証チケットをデコードして認証を行い、認証情報を認証振り分けサーバ８へ返す（６）。認証振り分けサーバ８は、その認証情報を既存のサーバアプリケーション２へ返す（７）。ここで、認証情報は、本来、サーバアプリケーション２の認証モジュールが既存のローカル認証サービスから受け取るはずであった認証情報と同じ形式で得られるので、サーバアプリケーション２は従来と同じ処理を行うことができる。そして、サーバアプリケーション２は、Ｗｅｂインターフェイス２を介してＷｅｂサービスクライアント４を認証する（８）。
【００３８】
以上説明したように、実施の形態１によれば、Ｗｅｂサービスクライアント４は、既存のサーバアプリケーション２にラッピングされたＷｅｂサービスインターフェイス７に、パスワードの代わりに認証チケットを文字列として渡すだけであるので、サーバアプリケーション２の内部的にはパスワードと同様の扱いで認証チケットを扱うことができる。このため、サーバアプリケーション２の内部を修正することなく、認証振り分けサーバ（認証振り分け処理部）８に認証チケットを渡すことができる。したがって、Ｗｅｂサービスの認証方式のような新規の認証方式を新たに導入する際に、パスワードを受け取るような認証方式を用いていた既存のサーバアプリケーションを改造するためのコストを大幅に削減することが可能となる。
【００３９】
（実施の形態２）
図２は、実施の形態２にかかる認証システムの構成例を示す図である。実施の形態２にかかる認証システムは、実施の形態１の認証システムにおいて、従来のクライアントからもアクセスできるように構成したものである。図２において、図１と同等機能を有する部位には同一符号を付し、その説明は省略する。図２において、１は、従来のクライアント、３は従来の認証サービスを示している。
【００４０】
認証振り分けサーバ８は、既存のサーバアプリケーション２から受け取った情報が、パスワードか認証チケットかを判別し、認証チケットであった場合は、Ｗｅｂサービス認証サービス６へ認証チケットを渡し、パスワードであった場合には、従来の認証サービス６にパスワードとユーザ名などの情報を渡す。
【００４１】
図２の認証システムにおいて、従来のクライアント１を認証する場合の認証手順を説明する。図２において、まず、クライアント１は、ユーザ名、パスワードなどの情報をサーバアプリケーション２に送信すると（９）、サーバアプリケーション２は、ユーザ名、パスワードなどの情報を認証振り分けサーバ８に送信する（４）。
【００４２】
認証振り分けサーバ８は、既存のサーバアプリケーション２から受け取った情報が、パスワードか認証チケットかを判別し、認証チケットであった場合は、実施の形態１と同じようにＷｅｂサービス認証サービス６へ認証チケットを渡し（５）、パスワードであった場合には、従来の認証サービス６にパスワードとユーザ名などの情報を渡す（１１）。従来の認証サービス３は、パスワードとユーザ名などの情報を受け取ると、登録されているユーザと同一であることを認証して、認証情報を認証振り分けサーバ８へ返す（６）。認証振り分けサーバ８は、その認証情報を既存のサーバアプリケーション２へ送る（７）。そして、サーバアプリケーション２は、クライアント１を認証する（１０）。
【００４３】
以上説明したように、実施の形態２によれば、認証振り分けサーバ（認証振り分け処理部）８は、受け取った情報が、パスワードか認証チケットかを判別して、認証チケットである場合にはＷｅｂサービス認証サービス６へ渡し、パスワードである場合には、従来の認証サービス３へ渡すことしたので、新しいＷｅｂ認証方式と既存の認証方式の両方の認証方式に認証処理を振り分け可能である。このため、新しいＷｅｂ認証方式を導入する際にも低コストで柔軟な対応を可能にする。付言すると、新たな認証サービスへの対応化のためのコストは、認証振り分けサーバ８の設置とインターフェイスのわずかな変更だけで済むことになる。
【００４４】
（実施の形態３）
図３は、実施の形態３にかかる認証システムの構成例を示す図である。実施の形態３にかかる認証システムは、図３に示すように、実施の形態２の認証システムにおいて、Ｗｅｂサービスインターフェース７を既存のサーバアプリケーション２の外部に設け、上記認証振り分けサーバ８と同様の機能を有する認証振り分けモジュール１８を既存のサーバアプリケーション２の内部に実装したものである。
【００４５】
つぎに、図３の認証システムでＷｅｂサービスクライアント４を認証する場合の認証手順を説明する。図３において、まず、Ｗｅｂサービスクライアント４が、Ｗｅｂサービス認証サービス３に対して、ユーザ名、パスワードなどの情報を与えると（１）、Ｗｅｂサービス認証サービス３は、認証を行ったという証明書（文字列の認証チケット）をユーザに発行する（２）。これにより、Ｗｅｂサービスクライアント４は、認証チケットを取得する。
【００４６】
Ｗｅｂサービスクライアント４は、取得した認証チケットをＷｅｂサービスインターフェイス７にパスワードとして渡す（３）。パスワードとして扱われた認証チケットは、サーバアプリケーション２の認証モジュールへ到達する。認証モジュールは、認証チケットを認証振り分けモジュール１８に渡す（４）。
【００４７】
認証振り分けモジュール１８は、認証チケットを受け取った場合には、認証チケットをＷｅｂサービス認証サービス６に渡す（５）。Ｗｅｂサービス認証サービス６は認証チケットをデコードして認証し、認証情報を認証振り分けモジュール１８に返す（６）。認証振り分けモジュール１８は、従来の認証サービスで認証を受けた際に受け取った認証情報と同様に、Ｗｅｂサービス認証サービス６から受け取った認証情報をサーバアプリケーション２へ渡す。サーバアプリケーション２は、認証情報を受け取ると、Ｗｅｂサービスインターフェイス７を介して、Ｗｅｂサービスクライアント４のユーザの認証を行う（７、８）。
【００４８】
なお、認証振り分けモジュール１８が、パスワードを受け取った場合には、従来の認証サービス３にパスワードとユーザ名などの情報を渡し、従来の認証サービス３からデコードされた認証情報を受け取る。この際、サーバアプリケーションが、状況よってＷｉｎｄｏｗｓ認証サービスやＬＤＡＰ認証サービスなど異なる認証サービスに認証処理を振り分けるようなものであっても、実装可能である。
【００４９】
以上説明したように、実施の形態３によれば、サーバアプリケーション２内に認証振り分けモジュール１８を実装して、認証チケットの内容やパスワードその他の状況を判別してチケットやパスワードを適切な認証サービスへ渡し、認証情報を受け取れるように振り分け処理を行うこととしたので、新規認証方式への対応が可能となる。付言すると、サーバアプリケーションの認証モジュールが、状況を判断して複数の認証サービスにパスワードを渡している場合には、全ての認証サービスの前に複数の認証振り分けサーバを設置する必要がある。
【００５０】
（実施の形態４）
図４は、実施の形態４にかかる認証システムの構成例を示す図である。図４において、図３と同等機能を有する部位には同一符号を付してある。同図において、９はアプリケーションクライアントを示している。
【００５１】
アプリケーションクライアント９は、Ｗｅｂサービスクライアントとしても、従来のローカルクライアントとしても、サーバアプリケーション２にログインでき、パスワードでも認証チケットでも認証を行えるように構成されている。
【００５２】
アプリケーションクライアント９が、サーバアプリケーション２に認証を依頼する際には、”Ｗｅｂサービスユーザで認証するか”、”ドメインユーザで認証するか”を選択するための選択チェックボックスダイアログが表示部に表示される。ユーザは、このダイアログでいずれかの認証方式を選択し、アプリケーションクライアント８は、選択された認証方式で認証を行う。それ以外は、実施の形態３と同様であるためその説明は省略する。
【００５３】
以上説明したように、アプリケーションクライアント９を、Ｗｅｂサービスクライアントとしても、従来のローカルクライアントとしても、サーバアプリケーション２にログインでき、パスワードでも認証チケットでも認証を行えるように構成したので、ユーザの使い勝手が良くなる。
【００５４】
付言すると、Ｗｅｂサービスのプロトコルは、一般的にＤＣＯＭやＳｏｃｋｅｔ通信よりも遅いため、速度が必要な場合には従来のプロトコルをそのまま使える方が重要である。そのため、実施の形態４の如く、サーバアプリケーション２をＷｅｂサービスとしてアクセスするか、従来通りのアクセスをするかを用途によってダイアログから選択できるようにすることによって、ユーザビリティを高めることが可能となる。
【００５５】
なお、上記では、アプリケーションクライアント８では、認証を依頼する際に認証方式を選択チェックボックスダイアログで選択することとしたが、オプションダイアログなどで、デフォルトの認証方式を設定できるように構成しても良い。かかる構成によれば、毎回認証方式を設定するのが面倒な場合に、デフォルトを予め設定できることは、余計な作業を減らすことを可能にするため、ユーザビリティーを高めることができる。また、選択チェックボックスダイアログの表示／非表示を設定できるように構成しても良い。
【００５６】
（実施の形態５）
図５は、実施の形態５にかかる認証システムの構成例を示す図である。同図において、図３と同等機能を有する部位には同一符号を付してある。また、図５において、１０は、Ｗｅｂサービスディレクトリサービス（Ｗｅｂサービスディレクトリサーバ）を示している。
【００５７】
実施の形態５の認証システムは、実施の形態３の認証システムにおいて、従来の認証サービス３で認証を行った場合に、新たにＷｅｂサービスとして実装されたＷｅｂサービスディレクトリサービス１０にアクセス可能に構成したものである。サーバアプリケーション２は、認証の際に用いたＷｅｂサービスクライアント４のユーザのユーザ名やパスワードなどの情報を有している。サーバアプリケーション２は、この情報を使用してＷｅｂサービス認証サービス６にアクセスし、認証チケットを自動的に得て、その認証チケットを使用して、Ｗｅｂサービスディレクトリサービス１０にアクセスし、Ｗｅｂサービスディレクトリサービス１０とのセッションを行う。
【００５８】
つぎに、図５の認証システムの認証手順を説明する。図５において、まず、Ｗｅｂサービスクライアント４は、ユーザ名とパスワードなどの情報を用いて、サーバアプリケーション２に対して、従来の認証を行う（１）。認証振り分けモジュール１８は、ユーザ名とパスワードなどの情報を従来の認証サービスに渡す（２）。従来の認証サービス３は、ユーザ名とパスワードなどで認証を行う。その結果得られた認証情報を認証振り分けモジュールに返す（３）。認証振り分けモジュールは、既にユーザの認証を行っているが、現在受けている認証では利用できない他のＷｅｂサービスを利用する必要があるため、保持しているユーザ名とパスワード等の情報を利用したいＷｅｂサービス認証サービスへ送る（４）。Ｗｅｂサービス認証サービス６は、その情報から認証を行い、その結果を認証チケットとして認証振り分けモジュール１８に返す（５）。認証チケットを受け取った認証振り分けモジュール１８は、その認証チケットを利用したいＷｅｂサービスディレクトリサービス１０に渡す（６）。これに応じて、Ｗｅｂサービスディレクトリサービス１０は、ディレクトリサービスセッションチケットを認証振り分けモジュール１８に渡す（７）。この結果、新しいＷｅｂサービスとのセッションを行うことができる。
【００５９】
以上説明したように、実施の形態５によれば、ユーザは、既存のパスワードによる認証サービスで認証したのか、認証チケットを用いたサービスのユーザとして認証を受けたのかを意識することなく、認証チケットを用いたサービスと連携するサーバアプリケーションを利用することが可能となる。
【００６０】
なお、本発明は、上記した実施の形態に限定されるものではなく、発明の要旨を変更しない範囲で適宜変形可能である。
【００６１】
【発明の効果】
以上説明したように，請求項１にかかる認証システムによれば、クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、認証振り分けサーバと、ローカルサービスのユーザとして認証を行う認証サーバと、を含む認証システムであって、前記Ｗｅｂサービス認証サーバは、前記クライアントからパスワードを受信し、当該クライアントのユーザの認証を行って、ユーザ認証が成功したことを表す認証チケットをクライアントに送信し、前記アプリケーションサーバは、前記クライアントからパスワードとして前記認証チケットを受信した場合に、当該認証チケットを前記認証振り分けサーバに送信し、前記認証振り分けサーバは、前記アプリケーションサーバから前記認証チケットを受信した場合には、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信し、前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証チケットを受信した場合に、前記認証チケットをデコードして認証し、認証した認証情報を前記認証振り分けサーバに送信し、前記認証振り分けサーバは、前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに、前記認証情報を送信し、前記アプリケーションサーバは、前記認証振り分けサーバから前記認証情報を受信した場合に、前記クライアントのユーザを認証し、前記認証振り分けサーバは、前記アプリケーションサーバから前記パスワードを受信した場合には、前記認証サーバに当該パスワードを送信し、前記認証サーバは、前記パスワードを、デコードして認証し、認証した情報を前記認証振り分けサーバに送信し、前記認証振り分けサーバは、前記認証サーバから前記認証した情報を受信した場合に、前記Ｗｅｂサービス認証サーバに該認証した情報を送信し、前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証した情報を受信した場合に、前記クライアントのユーザを認証することとしたので、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことが可能な認証システムを提供することが可能となるという効果を奏する。
【００６２】
また、請求項１にかかる認証システムによれば、前記アプリケーションサーバが、前記クライアントからパスワードを受信した場合に、当該パスワードを前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記アプリケーションサーバから前記パスワードを受信した場合に、前記認証サーバに当該パスワードを送信する工程と、前記認証サーバが、前記認証振り分け処理部から前記パスワードを受信した場合に、認証情報を前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに認証情報を送信する工程と、前記アプリケーションサーバが、前記認証振り分け処理部から認証情報を受信した場合に、前記クライアントのユーザを認証する工程と、を含むこととしたので、パスワードによる認証方式と認証されたことを証明する認証チケットを用いた認証方式との両者に対応することが可能となる。
【００６３】
また、請求項２にかかる認証システムによれば、請求項１にかかる認証システムにおいて、さらに、前記アプリケーションサーバの内部または外部に設けられ、前記クライアントからパスワードとして前記認証チケットを受信して、前記アプリケーションサーバに渡すＷｅｂサービスインターフェイスを含むこととしたので、アプリケーションサーバに余り修正を加えずに、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことを可能とする。
【００６４】
また、請求項３にかかる認証システムによれば、請求項１にかかる認証システムにおいて、前記認証振り分け処理部は、前記アプリケーションサーバの外部に設けられていることとしたので、既存のサーバアプリケーションのインターフェイスのわずかな修正と既存の認証システムのインターフェイスの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００６５】
また、請求項４にかかる認証システムによれば、請求項１にかかる発明において、前記認証振り分け処理部は、前記アプリケーションサーバの内部に設けられていることとしたので、既存のサーバアプリケーションの認証モジュールの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００６６】
また、請求項５にかかる認証システムによれば、請求項１にかかる発明において、前記クライアントは、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能としたので、クライアントが、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式に対応している場合に、ユーザがその認証方式を選択することが可能となる。
【００６７】
また、請求項６にかかる認証システムによれば、請求項１にかかる発明において、前記クライアントは、ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能としたので、クライアントが、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式に対応している場合に、ユーザがその認証方式を初期設定することが可能となる。
【００６８】
また、請求項７にかかる認証システムによれば、請求項１にかかる発明において、前記アプリケーションサーバは、他のサービスを利用する必要がある場合には、前記クライアントがログインする際に用いたパスワードを使用して、前記Ｗｅｂサービス認証サーバにアクセスして、認証されたことを証明する認証チケットを取得し、当該認証チケットを使用して前記他のサービスでのユーザの認証を行うこととしたので、ユーザは、既存のパスワードによる認証サービスで認証したのか、認証チケットを用いたサービスのユーザとして認証を受けたのかを意識することなく、認証チケットを用いたサービスと連携するサーバアプリケーションを利用することが可能となる。
【図面の簡単な説明】
【図１】実施の形態１にかかる認証システムの構成例を示す図である。
【図２】実施の形態２にかかる認証システムの構成例を示す図である。
【図３】実施の形態３にかかる認証システムの構成例を示す図である。
【図４】実施の形態４にかかる認証システムの構成例を示す図である。
【図５】実施の形態５にかかる認証システムの構成例を示す図である。
【図６】従来の認証方法を説明するための説明図である。
【図７】Ｗｅｂサービスにおける認証方法を説明するための説明図である
【符号の説明】
１クライアント
２サーバアプリケーション
３従来の認証サービス
４Ｗｅｂサービスクライアント
５Ｗｅｂサービスアプリケーション
６Ｗｅｂサービス認証サービス
７Ｗｅｂサービスインターフェイス
８認証振り分けサーバ
９アプリケーションクライアント
１０Ｗｅｂサービスディレクトリサービス
１８認証振り分けモジュール

Claims

クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、認証振り分けサーバと、ローカルサービスのユーザとして認証を行う認証サーバと、を含む認証システムであって、
前記Ｗｅｂサービス認証サーバは、前記クライアントからパスワードを受信し、当該クライアントのユーザの認証を行って、ユーザ認証が成功したことを表す認証チケットをクライアントに送信し、
前記アプリケーションサーバは、前記クライアントからパスワードとして前記認証チケットを受信した場合に、当該認証チケットを前記認証振り分けサーバに送信し、
前記認証振り分けサーバは、前記アプリケーションサーバから前記認証チケットを受信した場合には、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信し、
前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証チケットを受信した場合に、前記認証チケットをデコードして認証し、認証した認証情報を前記認証振り分けサーバに送信し、
前記認証振り分けサーバは、前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに、前記認証情報を送信し、
前記アプリケーションサーバは、前記認証振り分けサーバから前記認証情報を受信した場合に、前記クライアントのユーザを認証し、
前記認証振り分けサーバは、前記アプリケーションサーバから前記パスワードを受信した場合には、前記認証サーバに当該パスワードを送信し、
前記認証サーバは、前記パスワードを、デコードして認証し、認証した情報を前記認証振り分けサーバに送信し、
前記認証振り分けサーバは、前記認証サーバから前記認証した情報を受信した場合に、前記Ｗｅｂサービス認証サーバに該認証した情報を送信し、
前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証した情報を受信した場合に、前記クライアントのユーザを認証する、
ことを特徴とする認証システム。
さらに、前記アプリケーションサーバの内部または外部に設けられ、前記クライアントからパスワードとして前記認証チケットを受信して、前記アプリケーションサーバに渡すＷｅｂサービスインターフェイスを含むことを特徴とする請求項１に記載の認証システム。
前記認証振り分け処理部は、前記アプリケーションサーバの外部に設けられていることを特徴とする請求項１に記載の認証システム。
前記認証振り分け処理部は、前記アプリケーションサーバの内部に設けられていることを特徴とする請求項１に記載の認証システム。
前記クライアントは、
Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能としたことを特徴とする請求項１に記載の認証システム。
前記クライアントは、
ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能としたことを特徴とする請求項１に記載の認証システム。
前記アプリケーションサーバは、他のサービスを利用する必要がある場合には、前記クライアントがログインする際に用いたパスワードを使用して、前記Ｗｅｂサービス認証サーバにアクセスして、認証されたことを証明する認証チケットを取得し、当該認証チケットを使用して前記他のサービスの認証を行うことを特徴とする請求項１に記載の認証システム。
クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、ローカルサービスのユーザとして認証を行う認証サーバとにネットワークに接続された認証振り分けサーバであって、
前記アプリケーションサーバからユーザ認証が成功したことを表す認証チケットを受信した場合には、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信する手段と、
前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに、前記認証情報を送信する手段と、
前記アプリケーションサーバから前記パスワードを受信した場合には、前記認証サーバに当該パスワードを送信する手段と、
前記認証サーバから前記認証した情報を受信した場合に、前記Ｗｅｂサービス認証サーバに該認証した情報を送信する手段と、
ことを特徴とする認証振り分けサーバ。
クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、認証振り分けサーバと、ローカルサービスのユーザとして認証を行う認証サーバと、を含む認証システムで実行される認証方法であって、
前記Ｗｅｂサービス認証サーバが、前記クライアントからパスワードを受信し、当該クライアントのユーザの認証を行って、ユーザ認証が成功したことを表す認証チケットをクライアントに送信する工程と、
前記アプリケーションサーバが、前記クライアントからパスワードとして前記認証チケットを受信した場合に、当該認証チケットを前記認証振り分けサーバに送信する工程と、
前記認証振り分けサーバが、前記アプリケーションサーバから前記認証チケットを受信した場合には、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信する工程と、
前記Ｗｅｂサービス認証サーバは、前記認証振り分けサーバから前記認証チケットを受信した場合に、前記認証チケットをデコードして認証し、認証した認証情報を前記認証振り分けサーバに送信する工程と、
前記認証振り分けサーバが、前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに、前記認証情報を送信する工程と、
前記アプリケーションサーバが、前記認証振り分けサーバから前記認証情報を受信した場合に、前記クライアントのユーザを認証する工程と、
前記認証振り分けサーバが、前記アプリケーションサーバから前記パスワードを受信した場合には、前記認証サーバに当該パスワードを送信する工程と、
前記認証サーバが、前記パスワードを、デコードして認証し、認証した情報を前記認証振り分けサーバに送信する工程と、
前記認証振り分けサーバが、前記認証サーバから前記認証した情報を受信した場合に、前記Ｗｅｂサービス認証サーバに該認証した情報を送信する工程と、
前記Ｗｅｂサービス認証サーバが、前記認証振り分けサーバから前記認証した情報を受信した場合に、前記クライアントのユーザを認証する工程と、、
を含むことを特徴とする認証方法。
クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、ローカルサービスのユーザとして認証を行う認証サーバとにネットワークに接続されたコンピュータを、
前記アプリケーションサーバからユーザ認証が成功したことを表す認証チケットを受信した場合には、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信する手段と、
前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記アプリケーションサーバに、前記認証情報を送信する手段と、
前記アプリケーションサーバから前記パスワードを受信した場合には、前記認証サーバに当該パスワードを送信する手段と、
前記認証サーバから前記認証した情報を受信した場合に、前記Ｗｅｂサービス認証サーバに該認証した情報を送信する手段と、
して機能させるプログラム。