CN1976384B - 认证代理装置和认证方法 - Google Patents

Abstract

认证代理装置、认证方法及其程序产品。认证代理装置对使用图像处理装置的用户进行认证，其具有代理部。当接收到针对认证过程的请求时，该代理部在图像处理装置与具有不同协议的多个认证部中的对应认证部之间居间执行认证过程。

Description

认证代理装置和认证方法

技术领域

本发明涉及用于对将要使用图像处理装置的用户进行认证的认证代理装置和认证方法。 

背景技术

关于对使用信息处理装置进行认证的认证能力，已经提出了这样一种方法，该方法请求针对认证过程的认证服务，该认证服务经网络连接到图像处理装置。例如，把用户姓名和密码提前登记在上述认证服务中。当用户登录时，认证服务判断是否允许该用户使用该装置。如果允许用户使用，那么操作面板对于用户就变为可用的。如果不允许，那么操作面板上的用户界面就会变暗，从而禁止使用。在日本特开NO.2004-129247中描述了所述技术的一个示例。用户信息的管理在外部得到统一，使得多个图像处理装置能够共用用户姓名和密码。 

注意到存在多种不同类型的认证服务。现有采用Kerberos协议的认证服务、轻量目录访问协议(LDAP)的认证服务、以及专有编程认证服务。采用直接与多个认证服务通信的系统的图像处理系统必须包括外部认证服务的不同协议。不同于服务器上安装的软件的是，多功能外围设备尤其具有限制，从而难以包括各种功能性。此外，多功能外围设备具有嵌入式只读存储器(ROM)。因此，不容易升级或改变功能性。然而，在服务器上互换软件却比较容易，这是因为软件被分为多个文件，并按文件进行管理。而且，考虑到维护，难以在多功能外围设备上安装各种功能性。 

发明内容

一种认证代理装置，对使用图像处理装置的用户进行认证，其包括 代理部。当接收到针对认证过程的请求时，该代理部在单独的图像处理装置与具有不同协议的多个认证部中的、与所请求的认证的协议对应的认证部之间居间执行(intermediate)认证过程，所述认证代理装置在多个图像处理装置和多个认证部之间居间执行认证过程，其中，如果当从图像处理装置接收到对使用图像处理装置的用户的使用进行认证过程的请求时，没有对应的认证部来对要被认证的用户进行认证，那么，代理部而非所述多个认证部，执行对使用图像处理装置的用户的使用的认证过程。 

附图说明

基于下面的附图，详细描述本发明的实施例，其中： 

图1是根据本发明的认证代理系统的系统结构； 

图2示出多功能外围设备的结构； 

图3示出认证代理服务器的结构； 

图4示出认证服务器的结构； 

图5是一个表格，按照针对每个服务和功能性的允许/禁止的信息，示出了针对服务和功能性的允许/禁止； 

图6是一个表格，按照用户对每个服务和功能性的使用的信息，示出了针对服务和功能性的上限； 

图7是一个表格，示出了服务和功能性的当前数量； 

图8是多功能外围设备11的操作流程图； 

图9是认证代理服务器12的流程图；以及 

图10是认证服务器13的流程图。 

具体实施方式

下面参照附图描述本发明的实施例。图1是根据本发明的认证代理系统的系统结构。认证代理系统10用于对使用图像处理装置的用户进行认证。认证代理系统10包括分别用作图像处理装置的多功能外围设备11a至11l、认证代理服务器12、分别具有不同协议的多个认证服务器 13a至13m、计帐服务器14、以及客户机终端15a至15n。这些装置、服务器以及客户机终端通过网络30相连接。 

多功能外围设备11a至11l与认证代理服务器12利用专有协议进行通信。认证代理服务器12与认证服务器13a至13m利用Kerberos进行通信。Kerberos是一种采用加密的认证方法，用于在安全性不能被保证的网络(如因特网)上的服务器与客户机之间进行认证。因此，多功能外围设备11a至11l能够与认证代理服务器12进行通信。然而，多功能外围设备11a至11l不能够与认证服务器13a至13m进行通信。 

多功能外围设备11a至11l分别具有扫描能力、打印能力、以及复制能力。图2示出了多功能外围设备11的结构。多功能外围设备11代表多功能外围设备11a至11l中的任何一个。多功能外围设备11包括扫描部111、打印部112、传真部113、存储器部114、控制器115、通信控制单元116、操作面板117以及接口118。认证信息输入装置16可以分别连接到多功能外围设备11a至11l，使得用户可以输入认证信息。另选地，可以在操作面板117上显示一虚拟键盘以用作输入装置。 

扫描部111用于利用光学手段读取原稿的图像。打印部112在感光体上记录静电潜像，利用单色或彩色调色剂对该静电潜像进行显影，并把该显影图像输出转印到记录纸上。传真部113发送并接收传真消息。存储器部114存储由扫描部111扫描的图像数据、经网络接收的图像数据、接收的传真消息的图像等。控制器115控制多功能外围设备11的整个操作。通信控制单元116与连接到网络的设备进行通信。操作面板117显示具有图标的操作画面，并根据与图标的接触而输入操作信息。接口118使得能够与认证信息输入装置16之间发送并接收数据。 

认证信息输入装置16用于输入用户认证所需的信息，如用户ID和密码。认证信息输入装置16包括例如IC卡或磁卡的读取器，或者键盘。如果将IC卡或磁卡的读取器用作认证信息输入装置16，那么可以通过读取保存在IC卡或磁卡中的用户的认证信息来输入认证信息。另选地，如果将键盘用作认证信息输入装置16，那么用户能够在该键盘上输入用户ID、密码等。 

认证代理服务器12在多功能外围设备11a至11l与认证服务器13a至13m之间进行中介。图3示出认证代理服务器12的结构。认证代理服务器12包括通信控制单元121、控制器122、存储器123以及硬盘装置124。通信控制单元121与连接到网络30的设备进行通信。控制器122控制认证代理服务器12的整个操作，并且还用作认证代理部。更具体地，控制器122在从多功能外围设备11接收到对将要使用该多功能外围设备11的用户的使用进行认证过程的请求时，执行一个过程，该过程在多功能外围设备11与具有不同协议的认证服务器13a至13m中的对应服务器之间居间执行认证过程。 

硬盘装置124用作属性信息保存部125、授权信息保存部126、以及认证信息保存部127。属性信息保存部125按用户保存使用多功能外围设备11的用户的属性信息。授权信息保存部126按用户保存使用多功能外围设备11的用户的授权信息。如果没有域，认证信息保存部127保存当从多功能外围设备11接收到认证请求时进行认证过程必需的认证信息。用户的授权信息包括用户可以使用的图像处理装置的标识符(如MFD1、MFD2、MFD3等)、关于允许用户使用图像处理装置的功能性的信息，或者关于涉及用户使用图像处理装置上的功能性的上限的信息。关于用户使用图像处理装置上的功能性的信息包括针对每个服务或功能性的允许/禁止的信息。关于功能性，有服务和色彩信息的矩阵形式的允许和禁止。服务包括复制、传真等。色彩信息包括全彩、受限数量的彩色、以及单色。 

图5是一个表格，根据针对每个服务和功能性的允许/禁止的信息而示出了针对服务和功能性的允许/禁止。允许该用户进行全彩复制、受限数量的彩色复制、单色复制，但是不允许该用户进行打印。代码NA表示没有对应的功能性。代码ifax表示因特网传真。图6是一个表格，根据用户对每个服务和功能性的使用的信息而示出了服务和功能性的上限。图6中示出的每一个数字都表示用于打印的面(版面)数。 

接下来，描述认证服务器。认证服务器13a至13m分别用作认证用服务，并且分别采用诸如微软活动目录(Microsoft’s Active Directory)的目录服务，或者诸如Kerberos或LDAP的认证服务。这里，目录服务表示一种用于查阅信息(如用户信息)的系统，并用于分布式环境中的数据和资源管理。利用活动目录，可以统一管理并控制用户姓名、用户设置以及网络上的打印机和服务器。这使得易于构建大型网络系统。 

认证服务器13a至13m分别管理域dom1、域dom2，直到域domn。域dom1登记用户11、用户12、用户13，直到用户1n。域dom2登记用户21、用户22、用户23，直到用户2n。域domn登记用户n1、用户n2、用户n3，直到用户nn。 

图4示出认证服务器13的结构。认证服务器13包括通信控制单元131、控制器132、存储器133、以及硬盘装置134。通信控制单元131与连接到网络的设备进行通信。控制器132控制认证服务器13的整个操作，特别是执行对将要使用多功能外围设备11的用户的认证过程。硬盘装置134用作认证信息保存部135和授权信息保存部136。认证信息保存部135按用户保存使用多功能外围设备11的用户的认证信息，该认证信息是用户认证所必需的。授权信息保存部136保存使用多功能外围设备11的用户的授权信息。这里，认证信息包括用于按用户对用户进行认证所需的信息，如用户ID和密码。在把授权信息保存部126设置在认证代理服务器12中的情况下，不必特别设置授权信息保存部136。此外，可以把属性信息保存部126设置在认证服务器13中。 

现在描述计帐服务器14。计帐服务器14用于按用户计算并管理多功能外围设备11的使用状态。计帐服务器14计算每个用户在各个多功能外围设备11a至11l上已经打印、复制和传真的当前面(版面)数。图7是一个表格，示出了服务和功能性的当前数量。认证代理服务器12从计帐服务器14获得每个用户的当前数量，以提供给多功能外围设备11a至11l。客户机终端15a至15n向多功能外围设备11a至11l发送打印作业，并用于远程管理并控制认证代理服务器12、认证服务器13a至13m或者计帐服务器14。 

现在，将描述认证代理系统10的操作。图8是多功能外围设备11 的操作流程图。图9是认证代理服务器12的流程图。图10是认证服务器13的流程图。用户按压多功能外围设备11的操作面板上的认证按钮，并输入用户ID(例如，用户U11)和密码(步骤S11)。多功能外围设备11的控制器115通过将用户姓名、密码、域名通知给认证代理服务器12，提出对将要使用多功能外围设备11的用户进行认证过程的请求(步骤S12)。可以通过从已经提前从认证代理服务器12获取的列表中进行选择来添加域名。例如，可以从域列表[dom1，dom2]中选择dom1，从而对认证代理服务器12给出认证指令。 

认证代理服务器12的控制器122在从多功能外围设备11接收到认证过程的请求时(步骤S21)，根据域名和认证协议的对应信息，利用域名指定认证协议。如果有一个认证服务器13可以执行该认证过程(步骤S22处：是)，那么控制器122向到对应的认证服务器13提出请求，以利用上述用户ID(即U11)、密码以及域名进行认证过程(步骤S23)。利用域名，指定管理该域名的认证服务器13。认证服务器13a的控制器132在接收到针对认证过程的请求时(步骤S31)，利用从认证代理服务器12接收的用户ID和密码以及认证信息保存部135的认证信息，执行对用户U11的认证过程(步骤S32)。控制器132在认证过程之后向认证代理服务器12发回一认证结果(步骤S33)。认证代理服务器12的控制器122在从指定的认证服务器13接收到该认证结果时(步骤S24)，将该认证结果发送给提出认证过程的多功能外围设备11(步骤S26)。如果在指定认证服务器13处认证是成功的，那么控制器122还在发送该认证结果的同时，一起发送计帐服务器14上管理的用户状态中的对应用户的使用状态。 

如果没有认证服务器对要被认证的用户进行认证，那么当从多功能外围设备11接收到针对认证过程的请求(步骤S22处：否)时，控制器122而非认证服务器13a至13m，执行对将要使用多功能外围设备11的用户的使用的认证过程(步骤S26)。然后，控制器122将认证结果通知给多功能外围设备11(步骤S25)。例如，如果在从多功能外围设备11接收的信息中没有包括域名，那么控制器122确定该信息用于指定认证代理服务器12中登记的用户，并利用认证信息保存部127的信息执行认 证过程。如果认证结果是NG，那么认证代理服务器12将该认证结果返回给提出该请求的多功能外围设备。 

如果在认证服务器13a至13m处认证过程是成功的，那么控制器122将上述认证结果连同授权信息保存部126中保存的用户的对应授权信息发送给多功能外围设备11。这时，控制器122可以发送用户的授权信息，而不确定由多功能外围设备11提供的功能性的类型。此外，如果在认证服务器13a至13m处认证过程是成功的，那么控制器122发送属性信息保存部125上保存的对应用户的属性信息。如果用户的属性信息是电子邮件地址，那么多功能外围设备11使用其作为扫描服务的发件人的值。 

多功能外围设备11的控制器115接收该认证结果。如果认证过程是成功的(步骤S13和S14)，那么控制器115根据这些获取的认证结果、认证信息或者属性信息，从操作面板控制一作业激活(步骤S15)。控制器115禁止激活对于未经认证的用户的所有作业，并且即使该用户是经认证的，也根据这些接收到的授权信息禁止被禁的服务或功能性。如图5所示，对于每个服务和功能性的允许和禁止，都不允许该用户进行全彩打印和全彩扫描。因此，涉及此的服务和功能性就被禁止。面板的菜单变暗，或者另选地，即使给出指令也不激活作业。进而，对于全彩复制，该用户已经达到了上限。因此，全彩复制也被禁止。 

如上所述，在用户希望的认证装置的类型中，存在无限的可能性。因此，不可能以内嵌类型多功能外围设备下来实现所述希望。例如，相比于包括在多功能外围设备中的认证部，在具有通用多功能性的外部服务器上更容易实现所述认证代理部。 

认证代理服务器12可以设置安装多功能外围设备11a至11l时进行通信所需的参数，如认证代理服务器12的IP地址。这样就不必在多功能外围设备11a至11l中安装的本机用户接口上或用于在浏览器画面上设置多功能外围设备11的远程用户接口上提供设置菜单了。 

用户选择的域的列表由认证代理服务器12管理，这是因为该列表涉及与认证代理服务器12通信的认证服务器13a至13m。因此，必须把域的列表从认证代理服务器12发送到多功能外围设备11a至11l。例如， 当多功能外围设备11a至11l开启并且多功能外围设备11a至11l的用户在操作面板上给出指令时，认证代理服务器12可以将域的列表发送给多功能外围设备11a至11l。 

提供了一种对使用图像处理装置的用户进行认证的认证代理装置，其具有代理部。当接收到针对认证过程的请求时，该代理部在图像处理装置与具有不同协议的多个认证部中的对应认证部之间居间执行认证过程。 

在认证代理装置中，代理部在从认证部接收到认证结果时，可以将该认证结果发送给提出针对认证过程的请求的图像处理装置。根据本发明，可以从具有不同协议的多个认证部获得认证结果。 

在认证代理装置中，如果由认证部执行的认证过程是成功的，那么代理部可以发送使用图像处理装置的用户的授权信息中的对应用户的授权信息。根据本发明，可以利用已经发送的用户的授权信息，确定是否允许该用户使用图像处理装置。 

在认证代理装置中，代理部可以将用户的授权信息发送给图像处理装置，而不确定可由图像处理装置提供的功能性的类型。根据本发明，可以提供用户的授权信息，而不获知图像处理装置的所有功能性。 

在认证代理装置中，如果由认证部执行的认证过程是成功的，那么代理部可以发送使用图像处理装置的用户的属性信息中的对应用户的属性信息。根据本发明，可以利用用户的属性信息来提供多种服务。电子邮件地址就是用户的属性信息的一个示例。 

认证代理装置还可以包括计帐部，该计帐部计算并管理用户使用图像处理装置的状态。如果由认证部执行的认证过程成功的话，那么代理部可以把计帐部管理的用户的状态中的用户使用的对应状态发送给图像处理装置。根据本发明，图像处理装置能够根据用户使用状态来提供服务。 

在认证代理装置中，如果当从图像处理装置接收到对将要使用图像处理装置的用户的使用进行认证过程的请求时，没有对应的认证部来对要被认证的用户进行认证，那么，代理部而非所述多个认证部，可以执 行对将要使用图像处理装置的用户的使用的认证过程。根据本发明，即使未在认证部中登记用户，也可以对用户执行认证过程。 

根据本发明，可以提供这样的认证代理装置和认证方法，即使存在多个认证服务，其也可以在图像处理装置与多个认证服务之间发送和接收认证过程的请求或结果。 

此外，认证代理服务器12的功能性以及计帐服务器14的功能性可以实现在一个服务器中，虽然这不同于图1。根据本发明的认证方法由认证代理系统1来实现。根据本发明的认证方法也可以由要通过控制计算机而执行的程序来实现。该程序是通过存储到磁盘、光盘、半导体存储器以及另选的存储装置中，或者经通信线下载该程序，来提供的。然后，在CPU运行该程序时，来执行程序的各个步骤。 

虽然已经示出并描述了本发明的几个实施例，但是本领域技术人员应当理解，可以对这些实施例进行修改，而不会脱离本发明的原理和精神，本发明的范围限定在权利要求及其等同物中。 

在此，通过整体引用并入2005年11月30日提交的日本特开NO.2005-345338的整个公开内容，包括说明书、权利要求书、附图以及摘要。 

Claims (11)

1.一种认证代理装置，对使用图像处理装置的用户进行认证，该认证代理装置包括：

代理部，当接收到针对认证过程的请求时，该代理部在单独的图像处理装置与具有不同协议的多个认证部中的、与所请求的认证的协议对应的认证部之间居间执行认证过程，所述认证代理装置在多个图像处理装置和多个认证部之间居间执行认证过程，

其中，如果当从图像处理装置接收到对使用图像处理装置的用户的使用进行认证过程的请求时，没有对应的认证部来对要被认证的用户进行认证，那么，代理部而非所述多个认证部，执行对使用图像处理装置的用户的使用的认证过程。

2.根据权利要求1所述的认证代理装置，其中，代理部在从认证部接收到认证结果时，把该认证结果发送给提出针对认证过程的请求的图像处理装置。

3.根据权利要求1所述的认证代理装置，其中，如果由认证部执行的认证过程成功，那么代理部发送使用图像处理装置的用户的授权信息中的对应用户的授权信息。

4.根据权利要求3所述的认证代理装置，其中，代理部将用户的授权信息发送给图像处理装置，而不确定可由图像处理装置提供的功能性的类型。

5.根据权利要求3所述的认证代理装置，其中，用户的授权信息包括以下中的至少一个：用户可以使用的图像处理装置的标识符、关于允许用户使用图像处理装置上的功能性的信息，以及关于用户使用图像处理装置上的功能性的上限值的信息。

6.根据权利要求1所述的认证代理装置，其中，如果由认证部执行的认证过程成功，那么代理部发送使用图像处理装置的用户的属性信息中的对应用户的属性信息。

7.根据权利要求1所述的认证代理装置，还包括计帐部，该计帐部计算并管理用户使用图像处理装置的状态，

其中，如果由认证部执行的认证过程成功，那么代理部把由计帐部管理的用户的状态中的用户使用的对应状态发送给图像处理装置。

8.一种认证方法，对使用图像处理装置的用户进行认证，该认证方法包括以下步骤：

当接收到针对认证过程的请求时，在单独的图像处理装置与具有不同协议的多个认证部中的、与所请求的认证的协议对应的认证部之间居间执行认证过程，居间认证过程在多个图像处理装置和多个认证部之间执行，

如果当从图像处理装置接收到对使用图像处理装置的用户的使用进行认证过程的请求时，没有对应的认证部来对要被认证的用户进行认证，那么，代替所述多个认证部，执行对使用图像处理装置的用户的使用的认证过程。

9.根据权利要求8所述的认证方法，还包括以下步骤：

当从认证部接收到认证结果时，把该认证结果发送给提出针对认证过程的请求的图像处理装置。

10.根据权利要求8所述的认证方法，还包括以下步骤：

如果由认证部执行的认证过程成功，那么发送使用图像处理装置的用户的授权信息中的对应用户的授权信息。

11.根据权利要求8所述的认证方法，还包括以下步骤：

如果由认证部执行的认证过程成功，那么发送使用图像处理装置的用户的属性信息中的对应用户的属性信息。

Images