CN115225306A - 认证系统 - Google Patents

认证系统 Download PDF

Info

Publication number
CN115225306A
CN115225306A CN202210393003.0A CN202210393003A CN115225306A CN 115225306 A CN115225306 A CN 115225306A CN 202210393003 A CN202210393003 A CN 202210393003A CN 115225306 A CN115225306 A CN 115225306A
Authority
CN
China
Prior art keywords
service
server
user
authentication
global
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210393003.0A
Other languages
English (en)
Inventor
冈尚哉
景山均
许峰
佐佐木大
B·特维
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Toyota Motor Corp
Toyota Finance Corp
Original Assignee
Toyota Motor Corp
Toyota Finance Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Toyota Motor Corp, Toyota Finance Corp filed Critical Toyota Motor Corp
Publication of CN115225306A publication Critical patent/CN115225306A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]

Abstract

认证系统具备服务提供系统、全球ID平台以及用户拥有的终端装置。第1服务提供系统包括第1认证服务器和第1后端服务器。第1后端服务器提供第1服务。第2服务提供系统包括第2认证服务器和第2后端服务器。第2后端服务器提供第3服务。用户对第1服务进行了会员登记，具有第1服务的用户ID。在用户请求了向第3服务的全球登录的情况下，全球ID平台将请求从第2认证服务器向第1认证服务器进行中继，将第1认证服务器对于请求的认证结果从第1认证服务器向第2认证服务器进行中继。

Description

认证系统
技术领域
本公开涉及认证系统。
背景技术
日本特开2020－36234公开了包括认证授权服务器、提供Web服务的资源服务器以及客户端装置的授权系统。在该授权系统中，客户端使用从认证授权服务器取得的访问令牌，从资源服务器接受Web服务的提供。
发明内容
近年来，使得客户端能够使用一个ID来对网络上的多个服务进行登录的ID联动(ID linkage)受到关注。ID联动例如使用OIDC(Open ID Connect，开放ID连接)等的协议来实现。
当进行ID联动的服务变得很多时，与各服务的服务器对应的认证服务器的数量也变得很多。因此，当要使用OIDC的协议来使认证服务器彼此进行联动时，系统有可能会复杂化。系统的复杂化会导致系统的开发和维持所需要的时间和成本的增加。
本公开通过比较容易的构成来实现认证服务器间的联动。
本公开的一个技术方案涉及的认证系统具备：供用户操作的终端装置；第1服务器，其存储用于识别用户的识别信息；第2服务器，其不存储识别信息；以及平台，其构成为在第1服务器和第2服务器之间对信息进行中继。平台构成为：在从终端装置向第2服务器存在了用户的认证请求的情况下，将认证请求从第2服务器向第1服务器进行中继，将第1服务器对于认证请求的认证结果从第1服务器向第2服务器进行中继。
根据上述构成，平台对第1服务器和第2服务器之间的信息交换进行中继。因此，构建第1服务器和第2服务器各自能够与平台进行信息交换的系统即可。由此，与构建服务器彼此交换信息的系统的情况相比，能够使认证系统成为容易的构成。
在上述技术方案中，终端装置也可以具备显示部。终端装置也可以使用于接受认证的画面显示于显示部，在上述画面显示有第1按钮和第2按钮。也可以在第1按钮被按下了的情况下，由第2服务器进行用户的认证，在第2按钮被按下了的情况下，认证请求被通过平台来从第2服务器向第1服务器进行中继，由第1服务器进行用户的认证。
根据上述构成，在终端装置的显示部显示有用于在第2服务器中接受直接认证的第1按钮、和用于通过平台的信息中继来在第1服务器中接受认证的第2按钮。用户能够以视觉的方式识别存在两个认证方法这一情况，能够使用户的便利性提高。
在上述技术方案中也可以为，第1服务器存储与用户有关的用户信息，第2服务器不存储用户信息。平台也可以构成为：在认证结果表示认证成功的情况下，向终端装置发送同意请求，该同意请求是请求同意对第2服务器共享用户信息的请求，在从终端装置得到了对同意请求的同意的情况下，将用户信息从第1服务器向第2服务器进行中继。
根据上述构成，平台也对用户信息的发送进行中继。通过设为平台对在第1服务器和第2服务器之间交换的信息进行中继的构成，与构建服务器彼此交换信息的系统的情况相比，能够使认证系统成为容易的构成。
在上述技术方案中，第2服务器也可以构成为：在从终端装置获得了对同意请求的同意的情况下，向终端装置发送授权码。
在上述技术方案中，终端装置也可以构成为：向第2服务器发送授权码，从第2服务器取得令牌。令牌也可以至少包括访问令牌和ID令牌。
根据本公开，能够通过比较容易的构成来实现认证服务器间的联动。
附图说明
下文将参照附图说明本发明示例性实施例的特征、优点以及技术和产业的意义，其中相同的标号表示同样的要素，并且，其中：
图1是表示实施方式涉及的认证系统的概略构成的图。
图2是用于对认证服务器的构成进行说明的图。
图3是用于对认证服务器的构成进行说明的图。
图4是表示向第1服务(后端服务器)的登录处理的步骤的流程图(其1)。
图5是表示向第1服务(后端服务器)的登录处理的步骤的流程图(其2)。
图6是表示显示于终端装置的第1服务的登录画面的一个例子的图。
图7是表示全球登录的处理的步骤的流程图(其1)。
图8是表示全球登录的处理的步骤的流程图(其2)。
图9是表示全球登录的处理的步骤的流程图(其3)。
图10是表示显示于终端装置的第3服务的登录画面的一个例子的图。
图11是表示显示于终端装置的选择画面的一个例子的图。
图12是概略地表示变形例1涉及的服务提供系统的构成的图。
具体实施方式
以下，参照附图对本公开的实施方式进行详细的说明。此外，对图中相同或者相当的部分赋予同一标号，不重复其说明。
图1是表示本实施方式涉及的认证系统1的概略构成的图。本实施方式涉及的认证系统1是用于在不同的国家运营的服务间对ID(用户ID)进行联动的系统。认证系统1通过不同的国家的认证服务器彼此经由共同的平台交换信息，能够用比较容易的构成进行ID的联动。
参照图1，认证系统1具备服务提供系统10～40、全球ID平台50以及用户71拥有的终端装置70。服务提供系统10～40、全球ID平台50以及终端装置70经由互联网等的网络60以能够相互通信的方式相连接。
服务提供系统10～40分别是在A～D国中提供与汽车有关的服务的系统。
服务提供系统10在A国中提供与汽车有关的服务。在本实施方式中，服务提供系统10提供第1服务和第2服务这两种服务。第1服务是通过用户每月支付定额费用来在合同期间的期间使用车辆的订阅服务。第1服务的定额费用例如也包括车辆的维护费用和汽车保险费。第2服务是会员间共同地利用特定车辆的车辆共享服务。此外，服务提供系统10提供的服务并不限于上述的第1服务和第2服务。服务提供系统10也可以在第1服务和第2服务的基础上、代替第1服务和第2服务、或者代替第1服务和第2服务中的任一服务来提供其他服务。
服务提供系统10包括认证服务器11和后端服务器12、13。认证服务器11是进行用户的认证的服务器，该用户是对第1服务以及/或者第2服务进行了会员登记的用户。认证服务器11具有作为开放ID供应商的功能。关于认证服务器11的详细构成，将在后面使用图2来进行说明。此外，认证服务器11相当于本公开涉及的“第1服务器”的一个例子。
后端服务器12是提供第1服务的服务器。后端服务器12的服务供应商(未图示)在市场等中提供用于接受第1服务的提供的应用73。后端服务器12从安装了应用73的终端装置(例如智能手机、个人计算机等)受理经由了应用73的用户操作，执行用于提供与该操作相应的服务的处理。
后端服务器13是提供第2服务的服务器。后端服务器13的服务供应商(未图示)在市场等中提供用于接受第2服务的提供的应用(未图示)。后端服务器13从安装了用于接受第2服务的提供的应用的终端装置，受理经由了该应用的用户操作，执行用于提供与该操作相应的服务的处理。
终端装置70是用户71拥有的智能手机。此外，终端装置70并不限于智能手机，例如也可以是桌面型的PC(Personal Computer，个人计算机)、笔记本型的PC、平板电脑终端或者具有通信功能的其他信息处理终端。在本实施方式涉及的终端装置70安装有用于利用第1服务的应用73。
用户71是对后端服务器12提供的第1服务进行了会员登记的用户。用户71具有用于登录第1服务的ID(用户ID)和密码。密码例如是在向第1服务的会员登记时用户71所设定的密码。用户71在终端装置70中启动应用73，使得显示向第1服务(后端服务器12)的登录画面，用所显示了的登录画面输入用户ID和密码。该输入信息被发送至认证服务器11。在认证服务器11中进行用户ID的认证的处理，当认证成功时，用户71能够从后端服务器12接受第1服务的提供。
服务提供系统20在B国中提供与汽车有关的服务。在本实施方式中，服务提供系统20提供第3服务、第4服务以及第5服务这三种服务。第3服务是与第1服务同样的订阅服务。第4服务是与第2服务同样的车辆共享服务。第5服务是在上下班时等使多个人共同乘坐1台车辆的拼车服务。此外，服务提供系统20提供的服务并不限于上述的第3服务、第4服务以及第5服务。服务提供系统20也可以在第3服务、第4服务以及第5服务的基础上、代替第3服务、第4服务以及第5服务、或者代替第3服务、第4服务以及第5服务中的任一服务来提供其他服务。
服务提供系统20包括认证服务器21和后端服务器22、23、24。认证服务器21是进行用户的认证的服务器，该用户是对第3服务、第4服务以及/或者第5服务进行了会员登记的用户。认证服务器21具有作为开放ID供应商的功能。关于认证服务器21的详细构成，将在后面使用图3来进行说明。此外，认证服务器21相当于本公开涉及的“第2服务器”的一个例子。
后端服务器22是提供第3服务的服务器。后端服务器22的服务供应商(未图示)在市场等中提供用于接受第3服务的提供的应用74。后端服务器22从安装了应用74的终端装置受理经由了应用74的用户操作，执行用于提供与该操作相应的服务的处理。
后端服务器23是提供第4服务的服务器。后端服务器23的服务供应商(未图示)在市场等中提供用于接受第4服务的提供的应用(未图示)。后端服务器23从安装了用于接受第4服务的提供的应用的终端装置受理经由了该应用的用户操作，执行用于提供与该操作相应的服务的处理。
后端服务器24是提供第5服务的服务器。后端服务器24的服务供应商(未图示)在市场等中提供用于接受第5服务的提供的应用(未图示)。后端服务器24从安装了用于接受第5服务的提供的应用的终端装置，受理经由了该应用的用户操作，执行用于提供与该操作相应的服务的处理。
服务提供系统30在C国中提供与汽车有关的服务。虽然均未图示，但服务提供系统30具有认证服务器和至少一个后端服务器。
服务提供系统40在D国中提供与汽车有关的服务。虽然均未图示，但服务提供系统具有认证服务器和至少一个后端服务器。
图2是用于对认证服务器11的构成进行说明的图。参照图2，认证服务器11包括控制装置111、ROM(Read Only Memory，只读存储器)112、RAM(Random Access Memory，随机访问存储器)113、通信装置114以及存储装置115。控制装置111、ROM112、RAM113、通信装置114以及存储装置115连接于总线117。
控制装置111例如由包括CPU(Central Processing Unit，中央处理单元)的集成电路构成。控制装置111将保存于ROM112的各种程序展开到RAM113来加以执行。各种程序包括操作系统等。RAM113作为工作存储器发挥功能，暂时性地保存各种程序的执行所需要的各种数据。控制装置111例如对与用户有关的信息(以下也称为“用户信息”)进行管理、进行认证处理和/或进行授权处理，该用户是对第1服务或者第2服务进行了会员登记的用户。
通信装置114包括用于连接于网络60的接口，构成为能够进行经由了网络60的与外部的设备的通信。外部的设备例如包括全球ID平台50和终端装置70等。
存储装置115例如包括硬盘或者闪速存储器等的存储介质来构成。存储装置115存储用户信息1151、1152。用户信息1151是与对第1服务进行了会员登记的用户有关的信息。用户信息1152是与对第2服务进行了会员登记的用户有关的信息。用户信息1151包括在对第1服务进行了会员登记时所分配了的用户ID、和在会员登记时用户所输入了的个人信息。个人信息例如包含姓名、邮件地址、电话号码、住址、密码等的信息。密码例如是在会员登记时用户设定的，或者是控制装置111设定的。用户信息1152包括在对第2服务进行了会员登记时所分配了的用户ID、和在会员登记时用户所输入了的个人信息。此外，存储用户信息1151的存储装置和存储用户信息1152的存储装置也可以分开地设置。
控制装置111包括用户信息管理部1111、认证授权部1112以及全球认证部1113。控制装置111例如通过执行存储于ROM112的程序，作为用户信息管理部1111、认证授权部1112以及全球认证部1113发挥功能。此外，用户信息管理部1111、认证授权部1112以及全球认证部1113例如也可以由专用的硬件(电子电路)来实现。
用户信息管理部1111对用户分配与进行了会员登记的服务(第1服务或者第2服务)相应的用户ID，该用户是对第1服务或者第2服务进行了会员登记的用户。详细而言，用户信息管理部1111将第1服务的用户ID分配给对第1服务进行了会员登记的用户。用户信息管理部1111使所分配了的第1服务的用户ID和所输入了的个人信息作为用户信息1151存储于存储装置115。用户信息管理部1111将第2服务的用户ID分配给对第2服务进行了会员登记的用户。用户信息管理部1111使所分配了的第2服务的用户ID和所输入了的个人信息作为用户信息1152存储于存储装置115。
对于用户是对第1服务进行了会员登记、还是对第2服务进行了登记，用户信息管理部1111根据经由与第1服务对应的应用73和与第2服务对应的应用中的哪个应用进行了会员登记来进行判断。例如，用户信息管理部1111在经由与第1服务对应的应用73进行了会员登记的情况下，判断为对第1服务的会员登记，使所输入了的信息作为用户信息1151来进行存储。此外，也可以为了判断应用与服务的对应关系，导入用于识别第1服务和第2服务的服务ID，对应用、服务以及用户信息分配服务ID。在该情况下，用户信息管理部1111根据被分配给了在会员登记中所使用的应用的服务ID，确定成为会员登记的对象的服务即可。
认证授权部1112在由用户71经由所对应的应用进行了向第1服务或者第2服务的登记操作的情况下，对所输入了的用户ID的有效性进行验证。例如，认证授权部1112在经由应用73从用户71的终端装置70(浏览器)接受到对第1服务的登录请求的情况下，使终端装置70显示对第1服务的登录画面。当在登录画面中被输入用户ID和密码时，认证授权部1112使用户ID和密码与存储于存储装置115的用户信息1151进行对照，进行用户71(用户ID)的认证。此外，认证授权部1112也可以通过基于由用户71进行了操作的应用73来确定服务ID，从而对所对照的用户信息为用户信息1151这一情况进行识别。
认证授权部1112当对用户ID的有效性进行确认时，向终端装置70返回授权码。认证授权部1112当从终端装置70接受添加了授权码的令牌请求时，向应用返回令牌。该令牌例如包括访问令牌、ID令牌以及刷新令牌。例如，接受到令牌的应用73能够使用访问令牌和ID令牌，对后端服务器12进行访问。由此，用户71能够接受第1服务的提供。
全球认证部1113为了在服务提供系统10提供的服务(第1服务或者第2服务)与其他服务提供系统20～40提供的服务之间进行ID联动而发挥功能。详细将在后面进行描述，但全球认证部1113在存在使用了服务提供系统10提供的服务(第1服务或者第2服务)的用户ID的、对其他服务提供系统20～40提供的服务的登录请求时，对用户ID的有效性进行验证。此外，在以下中，将使用了某服务提供系统提供的服务的用户ID的、对其他服务提供系统提供的服务的登录也称为“全球登录”。
图3是用于对认证服务器21的构成进行说明的图。参照图3，认证服务器21包括控制装置211、ROM212、RAM213、通信装置214以及存储装置215。控制装置211、ROM212、RAM213、通信装置214以及存储装置215连接于总线217。控制装置211、ROM212、RAM213、通信装置214以及存储装置215除了存储于存储装置215的信息之外，分别与认证服务器11的控制装置111、ROM112、RAM113、通信装置114以及存储装置115基本上是同样的，因此，不重复其说明。
存储装置215存储用户信息2151、2152、2153。用户信息2151是与对第3服务进行了会员登记的用户有关的信息。用户信息2152是与对第4服务进行了会员登记的用户有关的信息。用户信息2153是与对第5服务进行了会员登记的用户有关的信息。
此外，关于服务提供系统30、40的认证服务器，也基本上具有与服务提供系统10、20的认证服务器11、21同样的构成。因此，不重复服务提供系统30、40的认证服务器的详细说明。
接着，对用户71的向第1服务的登录步骤进行说明，该用户71是对第1服务进行了会员登记的用户。用户71在安装有应用73的终端装置70中，启动应用73，向第1服务进行登录。
图4和图5是表示向第1服务(后端服务器12)的登录处理的步骤的流程图。图4和图5的流程图的处理在终端装置70中用户71启动了应用73时被开始。对图4和图5所示的流程图的各步骤(以下将步骤省略为“S”)由基于终端装置70、认证服务器11(用户信息管理部1111和认证授权部1112)以及后端服务器12的软件处理来实现的情况进行说明，但其一部分或者全部也可以由在终端装置70内、认证服务器11内以及后端服务器12内制作的硬件(电子电路)来实现。
在S1中，用户71操作终端装置70来启动应用73，在终端装置70的显示画面上进行用于使得显示登录画面(用于发送认证请求的画面)的操作。应用73受理该操作。
在S2和S3中，当受理用于使得显示登录画面的操作时，应用73经由终端装置70的浏览器，对认证服务器11请求登录画面的显示。具体而言，在S2中，应用73使终端装置70的浏览器启动，将浏览器重定向(redirect)至认证服务器11的授权端点。在S3中，浏览器对认证服务器11的授权端点请求登录画面的显示。
在S4中，认证服务器11对请求的内容进行验证，向浏览器返回登录画面。由此，在浏览器显示向第1服务(后端服务器12)的登录画面。
在S5中，用户71对登录画面输入用户ID和密码，按下登录按钮。由此，认证请求被与用户ID以及密码一起从浏览器发送至认证服务器11。
图6是表示显示于终端装置70的第1服务的登录画面的一个例子的图。在终端装置70的显示部80显示有用户ID输入栏81、密码输入栏82、登录按钮83以及全球登录按钮84。用户71向用户ID输入栏81和密码输入栏82分别输入用户ID和密码，按下登录按钮83。由此，认证请求被与所输入了的用户ID以及密码一起从浏览器发送至认证服务器11。即，登录按钮83是用于在认证服务器11中接受直接认证的按钮。
全球登录按钮84在请求使用了第1服务以外的其他服务的用户ID的、向第1服务的登录的情况下被加以使用。关于全球登录按钮84的详细，将在后面进行描述。即，全球登录按钮84是用于在认证服务器11以外的认证服务器中接受认证的按钮。此外，登录按钮83相当于本公开涉及的“第1按钮”的一个例子。另外，全球登录按钮84相当于本公开涉及的“第2按钮”的一个例子。
再次参照图4和图5，在S6中，认证服务器11对所输入了的用户ID和密码进行验证。在验证的结果是用户ID和密码中的至少一方存在错误的情况下，认证服务器11执行S7的处理。若验证的结果是用户ID和密码没有错误，则认证服务器11执行S8的处理。
在S7中，认证服务器11向浏览器返回表示用户ID和密码中的至少一方存在错误的画面。通过该画面显示于浏览器，用户71能够对输入的错误进行识别。
在S8中，认证服务器11添加授权码，将浏览器向回调URL(callback URL)进行重定向。回调URL的转移目的地为应用73。
在S9中，浏览器添加授权码来对作为回调URL的转移目的地的应用73进行访问。由此，将授权码交给应用73。
在S10中，应用73添加在S9中接受到的授权码，向认证服务器11的令牌端点发送令牌请求。
在S11中，认证服务器11对令牌请求的内容进行验证，向应用73发送令牌。从认证服务器11被发送至应用73的令牌例如包括访问令牌、ID令牌以及刷新令牌。
在S12中，应用73添加访问令牌和ID令牌，对后端服务器12请求第1服务的提供。
在S13中，后端服务器12当接受访问令牌和ID令牌时，向认证服务器11的用户信息端点发送访问令牌和ID令牌。
在S14中，认证服务器11对访问令牌和ID令牌进行验证，向后端服务器12返回用户信息。
在S15中，后端服务器12开始向用户71提供服务。
通过如上述那样地从认证服务器11接受认证，用户71能够登录进行了会员登记的第1服务，从后端服务器12接受第1服务的提供。
再次参照图1，全球ID平台50是用于在跨国家的多个服务间对ID进行联动的平台。全球ID平台50具有对信息进行中继的功能。在全球ID平台50中存储有关联了服务(后端服务器)和认证服务器的对应信息。对应信息是关联了服务和认证服务器的信息，该认证服务器是对向该服务请求了登录的用户进行认证的服务器。具体而言，在对应信息中关联了第1服务和认证服务器11。另外，在对应信息中关联了第2服务和认证服务器11。另外，在对应信息中关联了第3服务和认证服务器21。另外，在对应信息中关联了第4服务和认证服务器21。另外，在对应信息中关联了第5服务和认证服务器21。全球ID平台50基于对应信息来确定信息的中继目的地。
全球ID平台50通过对各服务提供系统10～40以及终端装置70之间的信息的交换进行中继，使得能够进行使用了某服务提供系统提供的服务的用户ID的、向其他服务提供系统提供的服务的登录(全球登录)。即，用户71若对某服务提供系统提供的一个服务进行了会员登记，则使用该用户ID，不用对其他服务提供系统提供的服务进行会员登记，就能够对其他服务提供系统提供的服务进行访问来利用该服务。
例如，为了在用户71到访了B国时在B国内中利用服务提供系统20提供的第3服务，用户71需要在终端装置70安装与第3服务对应的应用74，用会员登记页输入用户71的个人信息，对第3服务进行会员登记。按所利用的服务而进行会员登记对于用户71来说是麻烦的，会损害用户71的便利性。
例如也考虑通过使用OIDC等的协议来构建用于在各服务提供系统的认证服务器之间进行ID联动的系统，从而在各服务提供系统的认证服务器间使ID进行联动。然而，当进行联动的认证服务器变得很多时，系统有可能会复杂化。系统的复杂化会导致系统的开发和维持所需要的时间和成本的增加。
于是，在本实施方式涉及的认证系统1中，通过设置对信息进行中继的全球ID平台50，能够进行省略了认证服务器间的直接的信息交换的全球登录。由此，从某服务提供系统的认证服务器来看，通过与全球ID平台50之间的信息处理，与其他的多个认证服务器的ID联动成为可能。即，构建能够在认证服务器和全球ID平台50之间交换信息的系统即可，因此，与构建在各服务提供系统的认证服务器间直接交换信息来进行ID联动的系统的情况相比，能够简化系统的构成。以下，对全球登录进行具体的说明。在以下中，作为一个例子，设想用户71使用第1服务的用户ID来登录服务提供系统20提供的第3服务的例子。用户71未对第3服务进行会员登记。因此，未对用户71发放第3服务的用户ID。
首先，用户71在终端装置70安装用于利用第3服务的应用74。并且，当在终端装置70中用户71启动应用74时，图7～图9所示的处理开始。
图7～图9是表示全球登录的处理的步骤的流程图。图7～图9的流程图的处理在终端装置70中用户71启动了应用74时开始。对图7～图9所示的流程图的各步骤由基于终端装置70、认证服务器11(用户信息管理部1111和认证授权部1112)、认证服务器21(全球认证部2113)、后端服务器22以及全球ID平台50的软件处理来实现的情况进行说明，但其一部分或者全部也可以由在终端装置70内、认证服务器11内、认证服务器21内、后端服务器22内以及全球ID平台50内制作的硬件(电子电路)来实现。
在S20中，用户71对终端装置70进行操作来启动应用74，在终端装置70的显示画面上进行用于使得显示登录画面的操作。应用74受理该操作。
在S21和S22中，当受理用于使得显示登录画面的操作时，应用74经由终端装置70的浏览器对服务提供系统20的认证服务器21请求登录画面的显示。具体而言，在S21中，应用74使终端装置70的浏览器启动，将浏览器重定向至认证服务器21的授权端点。在S22中，浏览器对认证服务器21的授权端点请求登录画面的显示。
在S23中，认证服务器21对请求的内容进行验证，向浏览器返回登录画面。
在S24中，用户71在登录画面中选择全球登录按钮88。由此，全球登录的请求被从浏览器发送至认证服务器21。
图10是表示显示于终端装置70的第3服务的登录画面的一个例子的图。在本实施方式中，第3服务的登录画面的显示构成与第1服务的登录画面的显示构成基本上是同样的。在终端装置70的显示部80显示有用户ID输入栏85、密码输入栏86、登录按钮87以及全球登录按钮88。用户ID输入栏85、密码输入栏86以及登录按钮87与图6中的说明是同样的，被用于用户71为了利用第3服务而使用所发放了的用户ID和密码登录第3服务的情况。在用户71对第3服务进行了会员登记的情况下，分别在用户ID输入栏85和密码输入栏86输入第3服务的用户ID和密码，按下登录按钮87。即，登录按钮87是用于在认证服务器21中接受直接认证的按钮。
全球登录按钮88是用于通过ID联动来登录第3服务的按钮。即，全球登录按钮88是使用第3服务以外的其他服务的用户ID来登录第3服务的按钮。换言之，全球登录按钮88是用于在认证服务器21以外的认证服务器中接受认证的按钮。如本例这样，全球登录按钮88是在未对第3服务进行会员登记的用户71要登录第3服务时被加以使用的。此外，登录按钮87相当于本公开涉及的“第1按钮”的一个例子。另外，全球登录按钮88相当于本公开涉及的“第2按钮”的一个例子。
参照参照图7～图9，在S25中，认证服务器21当接受全球登录的请求时，将浏览器重定向至全球ID平台50的全球登录端点。
在S26中，浏览器对全球ID平台50的全球登录端点请求全球登录。
在S27中，全球ID平台50对请求的内容进行验证，向浏览器返回选择画面。选择画面是用于对在全球登录中使用的用户ID进行选择的画面。在本实施方式中，用户71使用第1服务的用户ID，因此，在选择画面中选择“A国”和“第1服务”。
图11是表示显示于终端装置70的选择画面的一个例子的图。在终端装置70的显示部80显示有国家选择栏91、服务选择栏92以及选择(决定)按钮93。用户71选择使用哪个服务的用户ID来进行全球登录。在此，用户71使用A国的第1服务的用户ID来登录第3服务，因此，在国家选择栏91选择A国，在服务选择栏92选择第1服务，按下选择按钮93。
再次参照图7～图9，在S28中，用户71所输入了的信息(A国和第1服务)被作为请求发送至全球ID平台50。
在S29中，当接受请求时，全球ID平台50基于请求的内容，确定进行在全球登录中所使用的用户ID的认证的认证服务器，将浏览器重定向至该认证服务器。具体而言，全球ID平台50根据“A国”和“第1服务”这一信息，确定包括提供第1服务的后端服务器12的服务提供系统10的认证服务器11。全球ID平台50将浏览器重定向至认证服务器11。例如，全球ID平台50也可以使用对应信息来确定认证服务器。
在S30中，浏览器对认证服务器11请求第1服务的登录画面的显示。
在S31中，认证服务器11对请求的内容进行验证，向浏览器返回第1服务的登录画面。
在S32中，用户71在登录画面中输入第1服务的用户ID和密码。作为登录画面，例如既可以显示图6的画面，也可以显示用于全球登录的其他画面。
在S33中，认证服务器11对所输入了的用户ID和密码进行验证。若验证的结果是确认到用户ID和密码没有错误时，认证服务器11向全球ID平台50返回验证的结果。具体而言，认证服务器11将浏览器重定向至全球ID平台50。
在S34中，浏览器添加验证的结果，对全球ID平台50进行访问。
此外，在S33中，在用户ID和密码中的至少一方存在错误的情况下，认证服务器11向全球ID平台50返回表示在用户ID和密码中的至少一方存在错误的验证的结果。
在S35中，全球ID平台50向用户71(浏览器)发送对从认证服务器11向认证服务器21的用户信息1151的传送请求同意的请求。由此，例如在终端装置70的显示部80显示请求用户信息1151的传送的权限的画面。用户71能够通过按下显示于显示部80的同意按钮(未图示)来同意用户信息1151的传送。
在S36中，用户71同意用户信息1151的传送，按下显示于终端装置70的显示部80的同意按钮(未图示)。由此，从浏览器向全球ID平台50发送用户71的同意信息。
在S37和S38中，全球ID平台50向认证服务器21发送同意信息。具体而言，在S37中，全球ID平台50将浏览器重定向至认证服务器21。在S38中，浏览器添加同意信息来对认证服务器21进行访问。
在S39中，认证服务器21添加授权码，将浏览器向回调URL进行重定向。回调URL的转移目的地为应用74。
在S40中，浏览器添加授权码来对作为回调URL的转移目的地的应用74进行访问。由此，将授权码交给应用74。
在S41中，应用74添加在S40中接受到的授权码，向认证服务器21的令牌端点发送令牌请求。
在S42中，认证服务器21对令牌请求的内容进行验证，向应用74发送令牌。从认证服务器21向应用74发送的令牌例如包括访问令牌、ID令牌以及刷新令牌。
在S43中，应用74添加访问令牌和ID令牌，对后端服务器22请求第3服务的提供。
在S44中，后端服务器22当接受访问令牌和ID令牌时，向认证服务器21的用户信息端点发送访问令牌和ID令牌。
在S45中，认证服务器21对访问令牌和ID令牌进行验证，向后端服务器22返回用户71的用户信息1151。
在S46中，后端服务器22开始向用户71提供服务。这样，未对第3服务进行会员登记的用户71能够使用进行了会员登记的第1服务的用户ID来登录第3服务。
用户71的用户信息1151在执行S36的处理之后～执行S44之前的期间通过S50～S52的处理来经由全球ID平台50与认证服务器21进行共享。在执行S36的处理之后～执行S44之前的期间，全球ID平台50从认证服务器11取得用户71的用户信息1151，向认证服务器21发送所取得的用户71的用户信息1151。
在S50中，当得到用户71的同意信息时，全球ID平台50对认证服务器11请求用户71的用户信息1151的发送。
在S51中，认证服务器11从存储装置115读取用户71的用户信息1151，向全球ID平台50发送所读出的用户71的用户信息1151。
在S52中，全球ID平台50向认证服务器21发送用户71的用户信息1151。
此外，S50～S52的处理在执行S36的处理之后～执行S44之前的期间执行即可。S50～S52的处理的执行定时并不限于图7～图9所示的定时。
如上所述，本实施方式涉及的认证系统1通过具备对信息进行中继的全球ID平台50，能够实现省略了认证服务器间的直接的信息交换的全球登录。由此，构建能够在认证服务器和全球ID平台50之间交换信息的系统即可，因此，与构建在各服务提供系统的认证服务器间直接交换信息来进行ID联动的系统的情况相比，能够简化系统的构成。
另外，在显示于终端装置70的显示部80的向各服务(例如第1服务、第3服务)的登录画面显示有登录按钮(例如登录按钮83、87)和全球登录按钮(例如全球登录按钮84、88)。通过显示两个按钮，用户71能够以视觉的方式识别：在登录进行了会员登记的服务的情况下按下登录按钮，在对未进行会员登记的服务进行全球登录的情况下按下全球登录按钮。通过在登录画面显示登录按钮和全球登录按钮，能够使用户71的便利性提高。
[变形例1]
在实施方式中，对认证服务器存储并管理用户信息的例子进行了说明。然而，也可以使与认证服务器分开的服务器具有管理用户信息的功能。
图12是概略地表示变形例1涉及的服务提供系统10A的构成的图。服务提供系统10A是代替实施方式的服务提供系统10的系统。此外，在以下中，对服务提供系统10A的构成进行代表性的说明，但关于B国～D国的服务提供系统也可以采用同样的构成。
服务提供系统10A包括信息管理服务器11A、认证服务器11B以及后端服务器12、13。
信息管理服务器11A包括控制装置111A、ROM、RAM、通信装置以及存储装置115A。此外，在图12中省略了ROM、RAM以及通信装置的图示。
控制装置111A具有用户信息管理部1111A。控制装置111A例如通过执行存储于ROM的程序，作为用户信息管理部1111A发挥功能。此外，用户信息管理部1111A例如也可以由专用的硬件(电子电路)来实现。
用户信息管理部1111A具有与实施方式的用户信息管理部1111同样的功能。
存储装置115A与实施方式的存储装置115是同样的。存储装置115A存储用户信息1151、1152。
认证服务器11B包括控制装置111B、ROM、RAM、通信装置以及存储装置。此外，在图12中省略了ROM、RAM、通信装置以及存储装置的图示。在认证服务器11B的存储装置中不存储用户信息1151、1152。
控制装置111B具有认证授权部1112B和全球认证部1113B。控制装置111B例如通过执行存储于ROM的程序，作为认证授权部1112B和全球认证部1113B发挥功能。此外，认证授权部1112B和全球认证部1113B例如也可以由专用的硬件(电子电路)来实现。
认证授权部1112B和全球认证部1113B具有与实施方式的认证授权部1112和全球认证部1113同样的功能。
在认证系统1中，即使采用服务提供系统10A的构成，也能够实现与实施方式同样的效果。
[变形例2]
在实施方式中，对相对于多个后端服务器(例如后端服务器12、13)设置有一个认证服务器(例如认证服务器11)的例子进行了说明，但也可以按各后端服务器设置认证服务器。在该情况下，通过各认证服务器经由全球ID平台与其他认证服务器之间交换信息，也能够实现与实施方式同样的效果。
应该认为本次公开的实施方式在全部方面是例示的、并非限制性的。本公开的范围不是由上述的实施方式的说明表示，而是由权利要求书表示，意图包含与权利要求书等同的含义以及范围内的全部变更。

Claims (5)

1.一种认证系统，其特征在于，包括：
用户操作的终端装置；
第1服务器，其存储有用于识别所述用户的识别信息；
第2服务器，其没有存储所述识别信息；以及
平台，其构成为在所述第1服务器和所述第2服务器之间对信息进行中继，
所述平台构成为：在存在了从所述终端装置向所述第2服务器的所述用户的认证请求的情况下，
将所述认证请求从所述第2服务器向所述第1服务器进行中继，
将所述第1服务器对于所述认证请求的认证结果从所述第1服务器向所述第2服务器进行中继。
2.根据权利要求1所述的认证系统，其特征在于，
所述终端装置具备显示部，
所述终端装置将用于接受认证的画面显示于所述显示部，
在所述画面显示有第1按钮和第2按钮，
在所述第1按钮被按下了的情况下，由所述第2服务器进行所述用户的认证，
在所述第2按钮被按下了的情况下，所述认证请求被通过所述平台来从所述第2服务器向所述第1服务器进行中继，由所述第1服务器进行所述用户的认证。
3.根据权利要求1或者2所述的认证系统，其特征在于，
所述第1服务器存储有与所述用户有关的用户信息，
所述第2服务器没有存储所述用户信息，
所述平台构成为：在所述认证结果表示认证成功的情况下，
向所述终端装置发送同意请求，所述同意请求是请求同意对所述第2服务器共享所述用户信息的请求，
在从所述终端装置获得了对所述同意请求的同意的情况下，将所述用户信息从所述第1服务器向所述第2服务器进行中继。
4.根据权利要求3所述的认证系统，其特征在于，
所述第2服务器构成为：在从所述终端装置获得了对所述同意请求的同意的情况下，向所述终端装置发送授权码。
5.根据权利要求4所述的认证系统，其特征在于，
所述终端装置构成为：向所述第2服务器发送所述授权码，从所述第2服务器取得令牌，
所述令牌至少包括访问令牌和ID令牌。
CN202210393003.0A 2021-04-20 2022-04-14 认证系统 Pending CN115225306A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021-070925 2021-04-20
JP2021070925A JP7453179B2 (ja) 2021-04-20 2021-04-20 認証システム

Publications (1)

Publication Number Publication Date
CN115225306A true CN115225306A (zh) 2022-10-21

Family

ID=81325543

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210393003.0A Pending CN115225306A (zh) 2021-04-20 2022-04-14 认证系统

Country Status (5)

Country Link
US (1) US20220337583A1 (zh)
EP (1) EP4080820A1 (zh)
JP (2) JP7453179B2 (zh)
CN (1) CN115225306A (zh)
BR (1) BR102022006725A2 (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103139181A (zh) * 2011-12-01 2013-06-05 华为技术有限公司 一种开放式认证的授权方法、装置和系统
CN104115465A (zh) * 2012-01-20 2014-10-22 交互数字专利控股公司 具有本地功能的身份管理
CN110603802A (zh) * 2018-03-27 2019-12-20 甲骨文国际公司 多租户身份云服务的跨区域信任
CN112088373A (zh) * 2018-06-25 2020-12-15 甲骨文国际公司 用于多租户身份云服务的声明性第三方身份提供者集成

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006011989A (ja) 2004-06-28 2006-01-12 Ntt Docomo Inc 認証方法、端末装置、中継装置及び認証サーバ
JP4946564B2 (ja) 2007-03-27 2012-06-06 富士通株式会社 認証処理方法及びシステム
EP2413261A4 (en) 2009-03-24 2013-12-25 Nec Corp COMPUTING DEVICE, COMPUTING PROCESS, PROGRAM AND MEDIATION SYSTEM
JP5644565B2 (ja) 2011-02-08 2014-12-24 三菱電機株式会社 認証システム及び認証方法
US8555079B2 (en) * 2011-12-06 2013-10-08 Wwpass Corporation Token management
JP2017220113A (ja) * 2016-06-09 2017-12-14 キヤノン株式会社 認可サーバー、制御方法、およびプログラム。
US11159498B1 (en) * 2018-03-21 2021-10-26 Amazon Technologies, Inc. Information security proxy service
JP7228977B2 (ja) 2018-08-30 2023-02-27 キヤノン株式会社 情報処理装置及び認可システムと検証方法
WO2020232336A1 (en) * 2019-05-15 2020-11-19 Traitware, Inc. System and methods for using a trusted single web portal for accessing multiple web services
US11599623B2 (en) * 2019-12-03 2023-03-07 Aetna Inc. Global identity for use in a hybrid cloud network architecture
JP2022144003A (ja) * 2021-03-18 2022-10-03 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103139181A (zh) * 2011-12-01 2013-06-05 华为技术有限公司 一种开放式认证的授权方法、装置和系统
CN104115465A (zh) * 2012-01-20 2014-10-22 交互数字专利控股公司 具有本地功能的身份管理
CN110603802A (zh) * 2018-03-27 2019-12-20 甲骨文国际公司 多租户身份云服务的跨区域信任
CN112088373A (zh) * 2018-06-25 2020-12-15 甲骨文国际公司 用于多租户身份云服务的声明性第三方身份提供者集成

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
N.SAKIMURA等: "OpenID Connect Core 1.0 incorporating errata set 1", 《ITU-T DRAFT》, pages 1 - 24 *
YU SHAOFENG等: "Identity Manage Interoperation Based on OpenID", 《MEETING 3RD INTERNATIONAL CONFERENCE ON SWARM INTELLIGENCE (ICSI)》, pages 360 - 367 *

Also Published As

Publication number Publication date
EP4080820A1 (en) 2022-10-26
JP7453179B2 (ja) 2024-03-19
JP2024051139A (ja) 2024-04-10
JP2022165546A (ja) 2022-11-01
BR102022006725A2 (pt) 2022-11-01
US20220337583A1 (en) 2022-10-20

Similar Documents

Publication Publication Date Title
US9548975B2 (en) Authentication method, authentication system, and service delivery server
JP6198477B2 (ja) 権限移譲システム、認可サーバーシステム、制御方法、およびプログラム
US7225464B2 (en) Method for verifying the identity of a user for session authentication purposes during Web navigation
US7315943B2 (en) Method and system for authenticating communication terminals
CN106716960B (zh) 用户认证方法和系统
US20050165698A1 (en) User authentication method and system using user's e-mail address and hardware information
JP5296726B2 (ja) Ｗｅｂコンテンツ提供システム、Ｗｅｂサーバ、コンテンツ提供方法、及びこれらのプログラム
CN102171984A (zh) 服务提供者访问
JP4960738B2 (ja) 認証システム、認証方法および認証プログラム
CN104519048A (zh) 图像形成装置及其控制方法
KR20110055542A (ko) 유저 인증을 관리하기 위한 장치
US11405398B2 (en) Information processing apparatus, information processing system, and information processing method
JP4758575B2 (ja) ユーザ認証方法、及び、ユーザ認証システム
WO2010050406A1 (ja) サービス提供システム
KR20140081041A (ko) 전화번호를 이용한 인터넷 사이트 서비스 접속 인증 방법 및 시스템
US7823188B2 (en) Network access system which is adapted for the use of a simplified signature method, and server used to implement same
WO2020145163A1 (ja) サービス提供システム、サービス提供装置、サービス提供方法、及びプログラム
JP7453179B2 (ja) 認証システム
KR101676719B1 (ko) 가상 머신 클라이언트 구동 방법, 온라인 금융 서비스 제공 방법 및 이를 수행하는 장치
US8938539B2 (en) Communication system applicable to communications between client terminals and a server
JP2010238060A (ja) 認証システム、中継サーバ、及び中継サーバの認証プログラム
JP7467724B1 (ja) 情報処理装置、情報処理システム及び情報処理方法
JP7396205B2 (ja) 医療情報保管プログラム及び医療情報保管管理装置
JP2005250779A (ja) 属性管理装置、通信システム、及び、属性提供方法
KR100643314B1 (ko) 싱글 사인 온으로 서로 다른 통신 프로그램을 동시에 사용가능하게 하는 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination