CN101087192A

CN101087192A - 控制装置、存储有控制程序的记录介质以及通信系统

Info

Publication number: CN101087192A
Application number: CNA2006101566375A
Authority: CN
Inventors: 广瀬阳一
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2006-06-06
Filing date: 2006-12-29
Publication date: 2007-12-12
Anticipated expiration: 2026-12-29
Also published as: JP4867482B2; US20070283421A1; CN101087192B; JP2007328419A; US8056125B2

Abstract

本发明公开了一种控制装置、存储有控制程序的记录介质和通信系统。在该控制装置中，认证代理终端代表使用浏览器的客户机终端执行到一个或更多个服务器终端的认证，该控制装置包括：认证部，在从使用浏览器的客户机终端访问服务器终端之前，该认证部在客户机终端与认证代理终端之间执行用户认证；代理认证部，如果正确执行了用户认证，则该代理认证部代表客户机终端执行到服务器终端的代理认证；以及发送部，其向客户机终端发送脚本文件，该脚本文件对浏览器进行控制，以在正确执行了代理认证之后使用浏览器从客户机终端访问服务器终端时不涉及认证代理终端而访问服务器终端。

Description

控制装置、存储有控制程序的记录介质以及通信系统

技术领域

本发明涉及控制装置、存储有控制程序的记录介质以及通信系统。

背景技术

已经提出了一种SSO(单点登录)系统，其中一旦接受了认证，用户就可使用该认证所允许的所有其他功能。例如，可以通过日本专利申请特开2005-321970号中公开的一种结构来实现该系统，该系统可以消除重复的烦琐操作，例如连接特定服务器时的认证操作、连接另一服务器时的认证操作......。

在学校或组织等中运营网络系统时，为了增加安全性，在内部网络与外部网络(例如，因特网)之间的边界处安装有代理服务器，该代理服务器代替内部网络中的计算机执行与外部网络的连接。该代理服务器在从内部网络连接到外部网络中的服务器时使用，并且可以称为“正向代理”。

与对从内部网络到外部网络的连接进行中继的正向代理相反，反向代理对从外部网络到内部网络的连接进行中继。另外，反向代理的使用不限于从外部网络到内部网络的连接，而且反向代理还常在同一网络内使用。

作为SSO系统之一，存在一种反向代理型SSO系统，其中设置了反向代理，并以集成的方式对来自外部网络的连接进行控制和检查。在这种类型的系统中，当从网络(Web)浏览器向网络服务器发出请求时，该反向代理接收所有请求，然后将其转发到网络服务器。因此，由于所有请求都经过该反向代理，所以该反向代理可能成为瓶颈，这导致处理速度或可用性的降低。

对于反向代理型SSO系统，从浏览器侧观察，所有内容似乎都存在于反向代理中。因此，如果在内容(例如，HTML(超文本标记语言)、样式表(CSS)以及客户机侧脚本语言(Java(注册商标)、Script、VBScript等))中设置有链接的情况下利用反向代理，则在链接目的地的URL改变时必须重写这些内容。由于这些内容是由用户手工创建的，或是在访问服务器侧时由程序动态创建的，因此，无法保证语法上的正确，因此这些内容经常包含错误。

由于当语法不正确时重写内容不成功，所以服务器有时需要提前检查语法等。因此，常常出现这种情况，即，难以向SSO系统应用任意服务。

发明内容

考虑到上述情况而提出了本发明，本发明提供了一种控制装置、一种存储有控制程序的记录介质和一种通信系统，其使得不必重写内容并提高了性能。

本发明的第一方面提供了一种控制装置，其中认证代理终端代表使用浏览器的客户机终端执行到一个或更多个服务器终端的认证，该控制装置包括：认证部，在从使用该浏览器的客户机终端访问服务器终端之前，所述认证部在客户机终端与认证代理终端之间执行用户认证；代理认证部，如果正确执行了用户认证，则所述代理认证部代表客户机终端执行到服务器终端的代理认证；以及发送部，其向客户机终端发送脚本文件，该脚本文件对浏览器进行控制，以在正确执行了代理认证之后使用浏览器从客户机终端访问服务器终端时不涉及认证代理终端而访问服务器终端。

本发明的第二方面提供了根据本发明第一方面的控制装置，其中所述发送部向客户机终端发送脚本文件，该脚本文件对浏览器进行控制，以在正确执行了代理认证之后执行使用浏览器从客户机终端到服务器终端的访问时经由代理服务器来访问服务器终端。

本发明的第三方面提供了根据本发明第一或第二方面的控制装置，该控制装置还包括生成部，其生成脚本文件，并且在所述生成部中，发送部在接收到来自客户机终端的请求时发送所生成的脚本文件。

本发明的第四方面提供了一种存储有控制程序的计算机可读记录介质，该控制程序使计算机执行以下处理，在该处理中，认证代理终端代表使用浏览器的客户机终端执行到一个或更多个服务器终端的认证，所述处理包括以下步骤：发送脚本文件，该脚本文件对浏览器进行控制，以在从使用浏览器的客户机终端进行认证时访问认证代理终端，并在进行除用于认证的访问之外的其他访问时不涉及该认证代理终端而访问服务器终端；在使用浏览器从客户机终端访问服务器终端之前，在客户机终端与认证代理终端之间执行用户认证；以及如果正确执行了用户认证，则代表客户机终端执行到服务器终端的代理认证。

本发明的第五方面提供了一种通信系统，该通信系统包括：客户机终端，其使用浏览器来访问一个或更多个服务器终端；以及认证代理终端，其代表客户机终端来执行针对服务器终端的认证，所述认证代理终端包括：认证部，在使用浏览器从客户机终端访问服务器终端之前，所述认证部执行与客户机终端的用户认证；代理认证部，如果正确执行了用户认证，则该代理认证部代表客户机终端执行针对服务器终端的代理认证；以及发送部，其向客户机终端发送脚本文件，该脚本文件对浏览器进行控制，以在正确执行了代理认证之后使用浏览器从客户机终端访问服务器终端时不涉及认证代理终端而访问服务器终端，并且其中，客户机终端中的浏览器基于脚本文件来访问服务器终端。

附图说明

将根据以下附图详细描述本发明的示例性实施例，附图中：

图1示出了根据本发明的通信系统的整体构成的一个示例；

图2示出了图1所示的代理选择脚本12的一个示例；

图3是表示根据图1所示的通信系统的通信顺序的流程图；

图4是表示根据图1所示的通信系统的通信顺序的流程图(具有重定向)；

图5示出了根据本发明第一变型例的整体构成的一个示例；

图6示出了根据本发明第二变型例的整体构成的一个示例。

具体实施方式

下面将参考附图对根据本发明的控制装置、存储有控制程序的记录介质和通信系统的示例性实施例进行详细说明。

图1示出了根据本发明的通信系统的整体构成的一个示例。

在该通信系统中，一个或更多个客户机终端10通过以LAN(局域网)或WAN(广域网)构成的网络50与认证代理终端20和一个或更多个服务提供服务器40相连。在该通信系统中，通过认证代理终端20的控制实现了SSO系统。换言之，一旦认证代理终端20正确执行了认证，该认证代理终端20就执行到各个服务提供服务器40的代理认证。在正确完成了由认证代理终端20执行的认证之后，认证代理终端20执行到各个服务提供服务器40的代理认证，用户在访问时无需执行到任何服务提供服务器40的认证。要注意的是，该通信系统的网络构成仅示出了一个示例。除了该构成中的元件以外，诸如应用服务器和网络服务器的各种网络终端可以连接到网络50。

这里，客户机终端10设置有网络浏览器11，作为用于浏览HTML内容等的应用。该网络浏览器使得客户机终端10能够执行与认证代理终端20、服务提供服务器40等的数据通信。

网络浏览器11通常具有利用代理选择脚本12(在Internet Explorer中该脚本被称为自动配置脚本文件等)自动配置代理服务器的功能。换言之，网络浏览器11具有使代理设置自动执行的方案，并且使用该方案，可以容易地改变网络浏览器11的通信路径。

服务提供服务器40保存有诸如HTML内容、包括图像等在内的各种信息、网络应用等的资源，并响应于经由网络浏览器11来自客户机终端10的HTTP请求而提供这些信息等。另外，该服务提供服务器40保存有静态内容(例如HTML内容等)和动态内容(例如网络应用等)，并同时具有网络服务器和应用服务器功能。然而，该构成仅是一个示例，该服务器可以只具有这两个功能中的任意一个。

当客户机终端10首次访问服务提供服务器40时，首先需要执行客户机终端10与认证代理终端20之间的认证处理。这里，当用户激活网络浏览器11时，代理选择脚本12被从认证代理终端20下载到客户机终端10中的网络浏览器11。

在完成该脚本的下载后，就开始认证。在客户机终端10上例如以弹出方式来表示认证显示。看到该认证显示的用户从诸如键盘或鼠标的操作部输入用户的账户或密码，然后向认证代理终端20发送认证信息。另外，即使用户在执行认证前直接访问服务提供服务器40，也可以重定向该访问，如上所述，需要从认证代理终端20进行认证，因为这是常规公知技术所以略去其详细描述。

当正确执行了该认证时，认证代理终端20执行到服务提供服务器的代理认证，并且仅通过这一次认证就允许访问服务提供服务器40。这里，当用户试图访问服务提供服务器40时，用户根据上述处理中所下载的代理选择脚本12来直接访问服务提供服务器40而无需通过认证代理终端20进行连接。换言之，只有到认证显示的访问才可以通过认证代理终端20来传输，而其他访问直接访问服务提供服务器40。

如上所述，在该示例性实施例中，认证代理终端20仅用于认证，而不涉及成功完成认证后到服务提供服务器40的访问。通常来讲，在这种系统中，只要在建立了认证后请求认证或访问，用户就仅通过图1所示的认证代理终端(也称为中继服务器)来访问服务提供服务器40。但是在本示例性实施例中，如果认证是正常的，则针对认证时间内执行的访问等，用户可以直接访问服务提供服务器40。

这里，将对图1所示的认证代理终端20的功能构成的一部分进行说明。

作为功能构成，认证代理终端20包括通信部21、控制器22、存储器23、显示器24和操作部25。

通信部21由网络卡等构成，用作对认证代理终端20与网络50之间的通信进行控制的通信接口。认证代理终端20经由该通信部21来执行与客户机终端10和服务提供服务器40的数据通信。

控制器22配备有CPU(中央处理单元)、工作存储器等。该CPU读取并执行存储在作为存储器23中的工作区域的工作存储器中的控制程序，然后执行根据该示例性实施例的控制处理。

存储器23由HD(硬盘)等构成，用作存储各种数据的存储装置。除了存储各种程序以外，该存储器23还存储有操作一般SSO系统所必需的用户信息、应用信息等。

显示器24是显示各种类型信息的显示装置等。操作部25是用于输入用户指令的诸如键盘和鼠标的输入装置。以上这些是对构成认证代理终端20的处理功能的描述。要注意的是，显示器24、操作部25和存储器23对于认证代理终端20不是必要元件，可以省略。但是，当省略存储器23时，要单独准备维持认证所必需的信息的服务器等，并基于针对该服务器的请求而执行认证。

下面，将对上述控制器22的功能构成的一部分已经说明。要注意的是，控制器22中执行的处理功能(功能块)主要是由执行存储器23中所存储的控制程序的CPU来实现的。

作为各种处理功能部，控制器22包括用户认证部31、代理认证部32、脚本生成部33和脚本传输部34。

用户认证部31执行到客户机终端10的用户认证。该用户认证是基于提前存储在存储器23中的用于用户认证的认证信息而执行的。这里，当正确完成了认证时，对各个服务提供服务器40执行代理认证，由此实现SSO。

代理认证部32代表客户机终端10执行到服务提供服务器40的认证。具体来讲，当正确完成了客户机终端10与认证代理终端20之间的认证时，利用与用户相对应的用于代理认证的认证信息来执行到服务提供服务器40的认证，所述认证信息提前存储在存储器23中。

脚本生成部33执行生成上述代理选择脚本12的功能。例如，生成图2所示的脚本文件。如图2所示，该脚本文件通常是以Java(注册商标)脚本编写的，并且是其中按照顺序逐行编写执行命令的简单文件。

例如，图2所示的文件具有这样的设置，即，当执行满足“如果结构”的条件的到认证显示(URL)的访问时，经由认证代理终端20来进行该访问。而当执行到其他目的地的访问时，直接访问目标服务器而不经过认证代理终端20。换言之，该文件具有这样的设置，即，只有意在认证显示的请求才被传输到认证代理终端20。

脚本传输部34执行将脚本生成部33中生成的代理选择脚本12传输到客户机终端10的功能。换言之，将用于在完成认证后改变网络浏览器11的通信路径从而不通过认证代理终端20的脚本文件下载到客户机终端10，因而通过将该文件存储到规定的文件夹等或通过其他方式将所生成的脚本文件设置到客户机终端10。

上述说明的是控制器22包括的处理功能。要注意的是，脚本生成部33不是必要的实质构成元件，可以省略。在省略了脚本生成部33的情况下，将代理选择脚本12预先存储在存储器23等中，并通过脚本传输部34将代理选择脚本12传输到客户机终端10。

这里，将利用图3对未认证的网络浏览器11访问服务提供服务器40的情况下的通信顺序的流程进行说明。

首先，在网络浏览器11启动后，接收到来自网络浏览器11的请求时，代理选择脚本12由认证代理终端20中的脚本生成部33生成，由脚本传输部34传输到客户机终端10，并被设置。(1：获得脚本())。

在接收到所生成的代理选择脚本12后，网络浏览器11根据代理选择脚本12来访问认证代理终端20，然后在客户机终端10上利用弹出等方式来显示该认证显示。这里，当用户输入账户、密码等时，用户认证部31执行认证，在客户机终端10与认证代理终端20之间执行认证处理。(2：用户认证())。

当正确完成了该用户认证时，网络浏览器11访问用于认证的URL，以加入到SSO中。(3：访问认证URL())。在接收到来自网络浏览器11的该访问后，认证代理终端20中的代理认证部32代表客户机终端10请求到服务提供服务器40的认证。该代理认证是通过向服务提供服务器40传输存储在认证代理终端20内的存储器23中的用于代理认证的认证信息而执行的。(3.1：应用的认证显示()和3.2：代理认证())。当不存在与用户相对应的代理认证信息时，在网络浏览器11显示该认证显示，并且用户自己直接输入信息。用户执行了该认证处理后，由于用户输入的认证信息被作为用于代理认证的信息而存储在存储器23中，所以代理认证自动地执行。

并且，当正确完成了该代理认证时，从认证代理终端20向网络浏览器11发送针对认证的通知。接收到该通知后，网络浏览器11直接访问服务提供服务器40，而不经过认证代理终端20。(4：数据访问())。换言之，这是因为除了从客户机终端10发出用于显示认证显示的请求的情况以外，代理选择脚本12都提供了直接访问服务提供服务器40的设置。

下面，将利用图4对如下情况的通信顺序的流程进行说明：当经认证的网络浏览器11访问服务提供服务器40时利用重定向。图4示出了在认证之前执行到服务提供服务器40的直接访问的情况下的处理的流程。在实际操作中，图4所示的通信顺序似乎比图3所示的通信顺序执行得更频繁。

首先，网络浏览器11启动后，在接收到来自该网络浏览器11的请求时，由认证代理终端20中的脚本生成部33来生成代理选择脚本12，并由脚本传输部34将其传输到客户机终端10，以进行设置。(1：获得脚本())。

在接收到代理选择脚本12后，网络浏览器11根据代理选择脚本12来访问认证代理终端20，然后在客户机终端10上利用弹出等形式显示认证显示。这里，当用户输入账户、密码等时，用户认证部31执行认证，在客户机终端10与认证代理终端20之间执行认证处理。(2：用户认证())。

正确完成了该用户认证后，当在没有完成用于加入SSO的认证的情况下执行从网络浏览器11到服务提供服务器40的访问时，服务提供服务器40通过查阅Cookie等获悉网络浏览器未被认证。然后，服务提供服务器40发出到认证URL的重定向。(3：访问应用())。

在接收到该重定向后，网络浏览器11根据该重定向来访问用于认证的URL。(4：访问认证URL())。然后，接收到该访问的认证代理终端20中的代理认证部32代表客户机终端10来执行针对服务提供服务器40的认证。该代理认证是通过向服务提供服务器40传输存储在认证代理终端20内的存储器23中的用于代理认证的认证信息而执行的。(4.1：应用的认证显示()和4.2：代理认证())。当不存在与用户相对应的代理认证信息时，在网络浏览器11上显示该认证显示，并且用户自己直接输入信息。用户输入信息后，将输入的认证信息作为代理认证信息而存储在存储器23中，之后代理认证自动地执行。

当正确完成该代理认证时，从认证代理终端20向网络浏览器11发送到应用的重定向。在接收到该重定向后，网络浏览器11直接访问服务提供服务器40，而不经过认证代理终端20。(5：到重定向目的地的访问())。换言之，这是因为除了从客户机终端10发出用于显示认证显示的请求的情况以外，代理选择脚本12都提供了直接访问服务提供服务器40的设置。

要注意的是，脚本的获得(利用图3和4进行了描述)基本上仅需要一次。在获得之后，即使关闭网络浏览器11或重新启动客户机终端10，也不删除该脚本。因而，只有在代理选择脚本12自身的内容等发生变化时才需要重新下载。

在图3和4所描绘的通信顺序中，作为一个示例描述了以下情况，为了加入SSO必须在用户认证后从网络浏览器11访问认证URL。除了该示例以外，在完成用户认证后可自动地执行代理认证，而不访问认证URL。这可以通过根据需要修改认证代理终端20的操作设置而获得。

至此已经对本发明实施例的典型示例性实施例的一个示例进行了说明，但是，本发明不限于上述实施例和附图，而是可以通过在本发明的要旨内根据需要进行修改而实现。

例如，在上述示例性实施例中，作为示例对数据访问过程中在认证后从网络浏览器11直接访问服务提供服务器40的情况进行了说明。但是，在本发明中，认证代理终端20仅执行认证(如果不引起大量的性能劣化，则可以应用除了该认证之外的处理，如累积日志(accumulatinglog))，并且在认证之后，可以通过任何通信路径来执行从客户机终端10到服务提供服务器40的访问。因此，如图5所示，例如当设置有专用代理服务器60并执行到服务提供服务器40的访问时，可以将本发明配置为，总是通过该专用代理服务器60来进行访问。另外，作为具有代理服务器60的另一构成，如图6所示，服务提供服务器40可以连接到其他网络70，而非连接有客户机终端10等的网络50。要注意的是，当设置这种类型的代理服务器60时，通过专用于数据通信处理的该代理服务器60来进行访问。结果，可以在性能不劣化的情况下提高安全性。

另外，在上述示例性实施例中，已经对处理是由根据本发明的通信系统来执行的情况进行了说明。但是，该处理也可以通过对安装在计算机中的控制程序进行配置来执行。要注意的是，可以通过诸如网络的通信部来提供该控制程序，此外，可以通过存储在诸如CD-ROM的记录介质上来提供该控制程序。

根据本发明的控制程序和通信系统适用于使计算机执行处理以交替地执行到一个或更多个服务器终端的认证的通用控制程序和通信系统。

根据本发明，从客户机终端中的浏览器到一个或更多个服务器终端的访问是通过向客户机终端传输脚本文件来执行的，该脚本文件对浏览器进行控制，以不经过认证代理终端而访问服务器终端。因而，由于在代理认证后不经过认证代理终端而执行到服务器终端的访问，所以能够提高性能。

另外，根据本发明，不必重写内容等，并且服务器终端无需涉及加入SSO的处理，这使得任何服务都可加入到SSO中。

出于例示和说明的目的提供了对本发明示例性实施例的前述描述。并非旨在将本发明穷尽或者限于所公开的确切形式。显然，许多修改和变型对于本领域技术人员是显而易见的。选择并描述这些示例性实施例是为了最好地说明本发明的原理及其实际应用，从而使得本领域其他技术人员能够理解本发明的各种实施例以及适用于所构想的特定用途的各种变型例。旨在由所附权利要求及其等同物来限定本发明的范围。

Claims

1、一种控制装置，其中认证代理终端代表使用浏览器的客户机终端执行到一个或更多个服务器终端的认证，所述控制装置包括：

认证部，在从使用所述浏览器的所述客户机终端访问所述服务器终端之前，该认证部在所述客户机终端与所述认证代理终端之间执行用户认证；

代理认证部，如果正确执行了所述用户认证，则该代理认证部代表所述客户机终端执行到所述服务器终端的代理认证；以及

发送部，其向所述客户机终端发送脚本文件，该脚本文件对所述浏览器进行控制，以在正确执行了所述代理认证之后使用所述浏览器从所述客户机终端访问所述服务器终端时不涉及所述认证代理终端而访问所述服务器终端。

2、根据权利要求1所述的控制装置，其中所述发送部向所述客户机终端发送脚本文件，该脚本文件对所述浏览器进行控制，以在正确执行了所述代理认证之后执行使用所述浏览器从所述客户机终端到所述服务器终端的访问时经由所述代理服务器来访问所述服务器终端。

3、根据权利要求1所述的控制装置，该控制装置还包括用于生成脚本文件的生成部，并且

其中所述发送部在接收到来自所述客户机终端的请求时发送所生成的脚本文件。

4、一种存储有控制程序的计算机可读记录介质，所述控制程序使计算机执行以下处理，在该处理中，认证代理终端代表使用浏览器的客户机终端执行到一个或更多个服务器终端的认证，所述处理包括以下步骤：

发送脚本文件，该脚本文件对所述浏览器进行控制，以在从使用所述浏览器的所述客户机终端进行认证时访问所述认证代理终端，并在进行除用于认证的所述访问之外的其他访问时不涉及所述认证代理终端而访问所述服务器终端；

在使用所述浏览器从所述客户机终端访问所述服务器终端之前，在所述客户机终端与所述认证代理终端之间执行用户认证；以及

如果正确执行了所述用户认证，则代表所述客户机终端执行到所述服务器终端的代理认证。

5、一种通信系统，该通信系统包括：

客户机终端，其使用浏览器来访问一个或更多个服务器终端；以及

认证代理终端，其代表所述客户机终端来执行针对所述服务器终端的认证，

所述认证代理终端包括：

认证部，在使用所述浏览器从所述客户机终端访问所述服务器

终端之前，该认证部执行与所述客户机终端的用户认证；

代理认证部，如果正确执行了所述用户认证，则该代理认证部

代表所述客户机终端执行针对所述服务器终端的代理认证；以及

发送部，其向所述客户机终端发送脚本文件，该脚本文件对所述浏览器进行控制，以在正确执行了所述代理认证之后使用所述浏览器从所述客户机终端访问所述服务器终端时不涉及所述认证代理终端而访问所述服务器终端，并且

其中，所述客户机终端中的所述浏览器基于所述脚本文件来访问所述服务器终端。