JP2000508153A

JP2000508153A - ネットワーク・コンピュータに関する汎用のユーザ認証方法

Info

Publication number: JP2000508153A
Application number: JP10537635A
Authority: JP
Inventors: バッツ、パトリック、サミュエル; モスカリク、トーマス、マイケル; スナイダー、デボン、ダニエル; ウッドベリー、カロル、ジーン
Original assignee: インターナシヨナル・ビジネス・マシーンズ・コーポレーシヨン
Priority date: 1997-02-14
Filing date: 1998-01-06
Publication date: 2000-06-27
Also published as: KR100331525B1; EP1055164B1; DE69838262D1; EP1055164A2; EP1055164A4; WO1998038759A3; DE69838262T2; US5908469A; TW498278B; KR20000069947A; WO1998038759A2

Abstract

(57)【要約】本発明は、ＩＢＭ社のネットワーク・ステーション構成設定変更マネージャのようなウェブ・ベースのアプリケーションにおいてユーザ認証を遂行するシステム及び方法を提供する。特に、そのシステム及び方法はユーザ情報（２９）を保管し、ウェブ・クライアント（１２）及びウェブ・サーバ（１６）の間で両方向に連続的に送る。ユーザ情報（２９）は、ＣＧＩプログラム（２０）が認証目的でウェブ・サーバ（１６）において実行されることによって使用される。特に、各ＣＧＩプログラムは、ユーザ情報（２９）を検査し、ユーザの権限特権を決定し、ＣＧＩプログラムを非デフォルト・ユーザ・モードの下で実行し、ユーザ情報をウェブ・クライアント（１２）に戻し、ＣＧＩジョブをデフォルト・ユーザ・モードで実行するために戻すであろう。

Description

【発明の詳細な説明】ネットワーク・コンピュータに関する汎用のユーザ認証方法技術分野本発明はインターネツト・テクノロジを使用するネットワーク・システムに関するものである。更に詳しく云えば、本発明はウェブ・クライアントからジョブ・リクエストを処理依頼するユーザの認証に関するものである。背景技術ネットワーク・コンピューティングにおける現在の動向は、エンド・ユーザの能力を犠牲にすることなく、より低いコストのワークステーションを提供することである。そのようなワークステーションは、開発され続ける新興のインターネット・テクノロジの活用を通して有用なものにされつつある。更に詳しく云えば、ＩＢＭ社のネットワーク・ステーションのような新しいネットワーク・ソリューションは、各クライアント．ワークステーションが、ＨＴＴＰ（ハイパーテキスト転送プロトコル）サーバに接続されたウェブ・クライアントのように振る舞う（即ち、それはウェブ・ブラウザを利用する）というワールド・ワイド・ウェブ環境を利用する。これらの新しいワークステーションは、一般に既存のパーソナル・コンピュータ又はＵＮＩＸワークステーションよりも小さいコンピューティング・パワーしか持たない（それによって、コストを減らしている）けれども、それらは、ＩＢＭ社のＡＳ／４００、ＰＣサーバ、ＲＳ／６０００、システム／３９０等のようなファイル・サーバ上で種々のアプリケーションを利用するように装備されている。ウェブ・サーバにおけるウェブ・ベースのアプリケーションは、ＣＧＩ（共通ケートウェイ・インターフェース）プログラム、スクリプト、或いは、ネットスケープ（商標）社のＮＳＡＰＩ、マイクロソフト（商標）社のＩＳＡＰＩ、又はＪａｖａのＳｅｒｖｌｅｔＡＰＩのような他の或る形式のアプリケーション・プログラム・インターフェース（ＡＰＩ）を通して実現される。ウェブ・クライアントからウェブ・サーバ上のＨＴＭＬ（ハイパーテキスト・マークアップ言語）ドキュメントを検索するという動作と同様に、ＣＧＩプログラムは、ウェブ・クライアントにウェブ・サーバ上のアプリケーションを実時間で実行させることができ、しかも、動的に作成された出力を受け取らせることができる手段を提供する。ＣＧＴプログラムは、クライアントがそのＣＧＩプログラムに対応するＵＲＬ（ユニフォーム・リソース・ロケータ）をリクエストする度に実行される。ＣＧＩプログラムの実行に伴う制限は、どのユーザが所与のＣＧＩプログラムを実行しようとしているかをウェブ・ベースのサーバが必ずしも追跡したり又は知っているわけではないということである。これは、特に、ユーザの特権レベルに従ってプログラムを種々に動作させることが望ましい場合、潜在的なセキュリティ問題を起こすことがある。従って、何らかのユーザ認証の手段を提供することは、インターネット・テクノロジを利用するそのようなシステムにとって特に重要である。既存のターミナル・エミュレーション・ネットワーキングと違って、特定のＣＧＩプログラムを実行したいのはどのユーザであるか、或いは、そのユーザの特権レベルは何であるかということを、ウェブ・ベースのシステムは必ずしも知っておらず、或いは、知りたいわけでもない。前述のように、これは、エンド・ユーザがシステム管理者である場合及びそのエンド・ユーザはリモート・ワークステーションからシステム構成機能を遂行する必要がある場合、厳しい限定事項となり得る。例えば、システム管理者は、非デフォルト・スクリーンをプル・アップできなければならず、一般大衆にとって入手し得ない保護されたプログラムを実行できなければならない。（例えば、パスワード・ファイルを操作するというオプションのような或るメニュー・オプションはすべてのユーザにとって入手可能であってはならない）。オペレーティング・システムに供給されたユーザ・プロファイル又はＩＤ次第でＣＧＩプログラムを種々に実行させることが知られているけれども、これは、明らかに、オペレーティング・システムがエンド・ユーザのアイデンティティ（或いは、パスワード）を知らない場合には達成され得ない。しかし、上記のように、ほとんどのウェブ・ベースのファイル．サーバは、ウェブ・ユーザを認識するための組み込まれたシステムを提供するものではない。ＣＧＩプログラムのサブセットが実行される度にユーザＩＤ及びパスワードを要求することが可能であるけれども、ユーザＩＤ又はプロファイル・チェックを必要とするプログラムの数が極めて大きいので、そのようなシステムはあまりにも多くのオーバヘッドを生じるであろう。むしろ、望ましいことは、ＣＧＩプログラムが実行され、従って、作用する度に、どれがユーザであるかを追跡するシステムである。非常に限定された形式の基本的ユーザ認証を遂行するためのプロセスを含む幾つかのＨＴＴＰサーバが知られている。しかし、これらのサーバは、クライアントが新たなサーバに関連付けられる度に、ウェブ・ユーザがパスワードを提供することを必要とする。ウェブ・ベースのネットワークに関与し得るサーバの数が与えられる場合、これは厳しい限定事項を表す。従って、完全なウェブ・ベースのネットワーク全体にわたってユーザ認証を提供することができるシステムが必要である。発明の開示本発明は、ウェブ・ベースのネットワークにおけるユーザの権限レベルを識別し、その権限レベルに応答するためのシステム及び方法を提供する。第１の局面では、本発明は、ＨＴＴＰサーバのようなウェブ・サーバ、ＣＧＩ実行リクエストと共にユーザ情報をウェブ・サーバに処理依頼するための機構を含む少なくとも１つのウェブ・クライアント、及びデフォルト・ユーザ・モード又はユーザＩＤの下で最初に実行可能である少なくとも１つの自己認証ＣＧＩプログラムを有するネットワークシステムを含む。そのＣＧＩプログラムは、ユーザ情報を検査するために手段と、ユーザの特権レベルを決定するための手段と、プログラムを非デフォルト・モードで実行させるための手段と、ユーザ情報を記憶し、ユーザ情報をウェブ・クライアントに戻すための手段と、ＣＧＩプログラムをデフォルト・ユーザ・モードに戻すための手段とを含む。第２の局面では、本発明は、ワンタイム・ログオン・プロシージャの間にエンド・ユーザからユーザ情報を最初に取り出すウェブ・サーバを設けるステップを含むユーザ認証を行う方法を提供する。そこで、ウェブ・サーバは、そのウェブ・サーバ上のセキユリテイ・オブジェクトにユーザに対するパスワード情報を記憶し、他のユーザ情報を隠し変数に記憶し、そのユーザ情報をウェブ・クライアントにＨＴＭＬ形式で返送する。ウェブ・クライアントからのその後のすべてのＣＧＩ実行リクエストは次のようなステップを含む。先ず、ユーザ情報が、隠し変数における実行リクエストと共にウェブ・サーバに戻される。次に、ＣＧＩプログラムの実行がウェブ．サーバにおいてデフォルト・ユーザ・モード或いはＩＤの下に開始される。そこで、実行リクエストと共に受け取られたユーザ情報が検査され、ユーザの権限レベルが決定される。ユーザの権限レベルは、セキュリティ・オブジェクトからパスワード情報を得ることによっても決定可能である。次に、ＣＧＩプログラムは、適切なシステム・コールを行って、ＣＧＩプログラムを非デフォルト・ユーザ・モード又はＩＤの下に実行させる。そこで、ユーザ情報は再びＨＴＭＬ隠し変数に記憶され、ＣＧＩプログラム実行の結果と共にウェブ・クライアントに戻される。最後に、ＣＧＩプログラムが適切なシステム・コールを行って、そのＣＧＩプログラムがそれのデフォルト・ユーザ・モードにおける実行へ戻させる。更に、本発明は、多数のＨＴＴＰサーバを有し、そのＨＴＴＰサーバの各々が本願において開示されたユーザ認証システム及び方法を実施するための汎用の又は共通のプロトコルを含むという、ネットワーク・システムを意図していることは認められるべきである。結局、本願は、ＣＧＩプログラムを使用する実施方法に焦点を合わしているけれども、本願において開示されたシステム及び方法が、ウェブ・サーバによって開始される任意のプログラム・タイプを含み得るということも認められるべきである。従って、ネットスケープ社のＮＳＡＰＩ、マイクロソフト社のＩＳＡＰＩ、又はＪａｖａのＳｅｒｖｌｅｔＡＰＩのような任意のウェブ・サーバＡＰＩ（アプリケーション・プログラム・インターフェース）、或いは、他の任意のタイプのウェブ・プログラム・インターフェース・タイプが本願において開示されたＣＧＩプログラムに対して代用可能である。図面の簡単な説明第１図は、本発明の望ましい実施例に従ってウェブ・ベースのクライアント・サーバ・ネットワークのブロック図を示す。第２図は、本発明の望ましい実施例に従ってＣＧＩプログラム及び関連のサブルーチンからの擬似コードを示す。第３図は、本発明の望ましい実施例に従ってユーザ認証を実施する方法の流れ図を示す。発明を実施するための最良の形態図面を参照すると、第１図はウェブ・ベースのクライアント・サーバ・ネットワーク１０を示す。そこには、ファイル・サーバ１６が含まれ、そのファイル・サーバは、ＨＴＴＰサーバ１８、複数のＣＧＩプログラム２０、セキュリティ・オブジェクト２２、及び記憶装置２１を含む。更に、ウェブ・クライアント１２が示され、それは、ファイル・サーバ１６との通信を行うウェブ・ブラウザ１４を動作させる。ウェブ・クライアント１２及びファイル・サーバ１６の間の通信リンクは、イーサネット、ツイスト・ペア、トークン・リング、電話線、光ファイバ、同軸ケーブル、及び／又は、無線通信システムを含む任意のタイプの通信リンクによって達成可能である。ネットワーク・システム１０は次のように動作する。ウェブ・クライアント１２がファイル・サーバ１６上のＣＧＩプログラムを実行するためにシークする時、それはＣＧＩ実行リクエスト２４をＨＴＴＰサーバ１８に処理依頼する。本発明によれば、その実行リクエスト２４と共に、一組のユーザ情報２９も提供される。そのユーザ情報はユーザＩＤ１３、ＩＰ（インターネット・プロトコル）アドレス１５、及び管理ユーザ・フラッグ１７（後述される）を含む。暗号化されたパスワード、部品番号、時間及びデータ情報等のような更なるユーザ情報が含まれてもよいことは理解されるべきである。ＨＴＴＰサーバがリクエストを受け取る時、それは、デフォルト実行ファイル又はモード２５の下に特定のＣＧＩプログラム２０の実行を開始する。その後デフォルト・モードの下で実行し始めるＣＧＩプログラム２０は、ユーザ認証を遂行する一連の新規なプロシージャ・コールを開始する。そのプロシージャは、ユーザ情報を検査するための機構、ユーザの権限特権レベルを決定するための機構、非デフォルト・ユーザ・プロファイル２３の下にＣＧＩプログラムを実行させるための機構、ユーザ情報をウェブ・クライアントに（一般には、ＣＧＩ実行の結果と共に）返送するための機構、及びＣＧＩジョブをそれのデフォルト・モード又はプロファイル２５に返送するための機構を含む。これらのジョブを実行するためのコードはＣＧＩプログラム２０自体に含まれてもよく、或いはファイル・サーバ１６内の又はその近くのどこかに記憶されてもよい。従って、認証、及び／又は、許可は、（１）ＣＧＩプログラムが実行される度に、ユーザ情報を連続的にウェブ・ブラウザ１４から検索すること及びウェブ・ブラウザ１４に戻すことができる透明な手段を設けることによって、及び（２）ＣＧＩプログラムをサーバのオペレーティング・システムにおけるそれら自身の実行プロフアイルを動的に変化させることができる手段を設けることによって、達成される。この望ましい実施例では、ユーザ情報２９は、各ＣＧＩ実行のための隠しコード又はＨＴＭＬ隠し変数を使用して、クライアント１２及びサーバ１６の間で双方向に転送される。以下は、ＨＴＭＬフォームにおける隠し変数を利用するＨＴＭＬコード片の一例である。 <F0RM NAME="mainForm"＞ <INPUT TYPE="HIDDEN"NAME="NSM_TAG_PR0D" VALUE="5733AO7"> <INPUT TYPE="HIDDEN"NAME="NSM_TAG_NSMUSER" VALUE="DEVON" <INPUT TYPE="HIDDEN"NAME="NSM_TAG_NSMIPADDR" VALUE="9.5.100.109"> <INPUT TYPE="HIDDEN" NAME="NSM_TAG_NSMTERM" VALUE="NO"＞ <INPUT TYPE="HIDDEN" NAME="NSM_TAG_NSMADMIN" VALUE="YES" <INPUT TYPE="HIDDEN" NAME="NSM_TAG_KEY" VALUE="85522380_50" <INPUT TYPE="HIDDEN" NAME="NSM_TAG_NLV" VALUE="MRI2924"> <INPUT TYPE="HIDDEN" NAME="NSM_TAG_SERVER" VALUE=<BASE HREF=http://9.5.151.42/QIBM/NetworkStat ion/MRI224/>"> <INPUT TYPE="HIDDEN" NAME="NSM_TAG_JVM_INSTALL" VALUE="YES"> <INPUT TYPE="HIDDEN" NAME="NSM_TAG_NAV_INSTALL" VALUE="NO"＞ <INPUT TYPE="HIDDEN" NAME="NSM_TAG_NSB_INSTALL" VALUE="NO"> </FORM> 隠し変数はＨＴＭＬ言語における定義された機構であり、それは、ＨＴＭＬドキュメントにおけるフォーム１９の一部として含まれ得る。１つのフォームにおける隠し変数は、正規のビュー状態の下ではユーザにとって透明な変数である。フォームは、クライアント１２及びサーバ１６の間で両方向に情報を転送するための１つの方法としてウェブ・ベースのＨＴＭＬアプリケーションにおいて使用される。（従って、フォームは、ユーザが情報に関してプロンプト指示される時のように情報を取り出しそしてそれをユーザからサーバに戻すために使用可能であり、又は、それらは、ＨＴＭＬドキュメントがＣＧＩプログラムによってブラウザ１４に戻される時のように情報をユーザに戻すために使用可能である。この場合、隠し変数は、ユーザＩＤ（ＮＳＭ＿ＴＡＧ＿ＮＳＭＵＳＥＲに記憶された）"ＤＥＶＯＮ"、９ .５.１００.１０９というＩＰアドレス（ＮＳＭ＿ＴＡＧ＿ＮＳＭＡＰＡＤＤＲに記憶された）、"ＹＥＳ"という管理ユーザ値（ＮＳＭ＿ＴＡＧＮＳＭＡＤＭＩＮに記憶された）、及び複数の更なる情報を送るために使用される。上記のように、ユーザ情報２９は各ＣＧＩ実行リクエスト２４の間にサーバにアップロードされ、各ＣＧＩプログラムの結果と共にクライアントに返送される。従って、サーバがユーザ情報を受け取り、そして直ちにそれを戻すので、一般には、サーバにおけるユーザ情報２９の長期間の記憶及び管理に関して悩む必要はない。しかし、クライアント・サイドでは、ウェブ・ブラウザ１４は、次のＣＧＩリクエストがブラウザ１４によって生じるまで、ユーザ情報２９を記憶及び管理するための手段を含んでもよい。この望ましい実施例が隠しＨＴＭＬ変数と共にユーザ情報２９の搬送を処理するけれども、任意の代替手段が同様に本発明の範囲内にあることは認識されるべきである。例えば、ユーザ情報の搬送は「クッキー」１１によっても達成可能である。クッキーは、ウェブ・サーバ１６からブラウザ１４に送られるデータの塊である。クッキー１１は任意のタイプのデータを含むことができる。そこで、クッキー１１は、特定のリンク（又は、ＵＲＬ）がクッキーのデータベースにある場合、サーバ１６に戻される。望ましい実施例は実際のパスワードをクライアントとサーバとの間で両方向に転送しないけれども、これは本発明に対する可能な代替実施例として認識され、しかも、後で説明される。望ましい実施例は、先ずユーザ・パスワード２７を取り出すこと及びそれをセキュリティ・オブジェクト２２に記憶することによって動作する。（一般に、取り出しは初期ログオン・プロシージャ中に行われる）。パスワード２７は、後で、ユーザ情報２９に基づいてサーバ１６によってセキュリティ・オブジェクト２２から容易に再獲得可能である。この実施方法は、パスワード情報がブラウザ１４に返送されないので、優れたセキュリティを提供する。上記のように、クライアント１２からサーバ１６に送られる暗号化されたパスワードをユーザ情報２９に含むという代替の実施例があるであろう。これは、各パスワードが各ＣＧＩ実行リクエスト中にサーバ１６に直接に配送されるので、サーバ１６におけるセキュリティ・オブジェクト２２を必要ないものにするであろう。このシステムは安全性が低いかも知れないけれども、大きい数のサーバ（例えば、ワールド・ワイド・ウェブ）を利用したネツトワークにおいて実施することは複雑さを少なくするであろう。従って、エンド・ユーザの権限を決定するための機構は、先ずユーザＩＤ１３を使用してユーザのパスワード２７をセキュリティ・オブジェクト２２から検索することによって達成される。この検索プロセスは、ＣＧＩプログラム２０内からのシステム・コールによって開始可能である。パスワード２７によって、ＣＧＩプログラムは非デフォルト・ユーザ・プロファイル２３の下にそのプログラムをオペレーティング・システムに実行させることができる。これは、同じＣＧＩプログラムがエンド・ユーザの権限次第で異なって動作し、それによってシステム許可を与えることを可能にする。この実施例に独特なことは、ＣＧＩプログラムにモード又はプロファィルをデフォルト・プロファイル２５から特定のユーザ・プロファイル２３に切り替えさせる機構又はシステム・コールをＣＧＩプログラム２０内に含むことである。ＣＧＩプログラム２０及びセキュリティ・オブジェクト２２は、一般に、サーバにおける記憶装置２１に又はその近くに記憶されるであろう。記憶装置２１は、コンピュータ読み取り可能な情報を記憶することができる任意の既知の装置であってよい。記憶装置の例は、ＣＤ−ＲＯＭ、磁気ディスケット、テープ、伝送媒体等を含む。このシステム及び方法は、更に、どのスクリーンがエンド・ユーザに供給されるべきかを決定するための管理ユーザ・フラッグを両方向に送ることによって機能強化される。例えば、ユーザがシステム管理者である場合、スクリーンは、他のユーザにとって利用可能ではないメニュー・オプションを提供するクライアント・ワークステーションにダウンロードされてもよい。エンドユーザがシステム管理者であるというような場合、関連のＣＧＩプログラム２０がその管理者特有の非デフォルト・ユーザ・プロファイル２３の下に実行されてもよい（それによって、リモート構成等を可能にする）。一旦それらのプログラム機能が遂行されると、ＣＧＩジョブはデフォルト・プロファイル２５の下で実行するために戻されるであろう。次に、第２図を参照すると、ＣＧＩプログラム２８の一例（第１図に示されたようなファイル・サーバ１６におけるＣＧＩプログラム２０の実例となり得る）が関連のプロシージャＳＷＡＰ＿ＰＲＯＦＩＬＥ３０及びＳＷＡＰ＿ＢＡＣＫ３２と共に擬似コードで示される。ここでは、各ＣＧＩプログラム２８が、先ず、一般にはユーザＩＤ１３及びＩＰアドレス１５を含むユーザ情報２９をＨＴＭＬフォーム１９における隠し変数から集めることがわかる。次に、プログラム２８はＳＷＡＰ＿ＰＲＯＦＩＬＥ３０をコールする。ＳＷＡＰ＿ＰＲＯＦＩＬＥ３０は、ユーザのパスワード２７をセキュリティ・オブジェクト２２から検索し、しかる後、ＣＧＩプログラム２８を非デフォルト・ユーザ・プロファイル２３の下に実行させるであろう。一旦ＣＧＩプログラム２８の本体が終了すると、ユーザＩＤ及びＩＰアドレスが管理ユーザフラッグ１７と共に次のＨＴＭＬ隠し変数にＨＴＭＬフォームで記憶され、実行の結果と共にユーザに返送される。従って、クライアント１２とサーバ１６との間で両方向にユーザ情報を送る連続的な手段が提供される。最後に、ジョブをデフォルト・ユーザ・モード２５に変更するサブルーチンＳＷＡＰＢＡＣＫ３２がコールされる。これらのプロシージャが、任意のファイル・サーバ・システムに対する汎用のユーザ認証を行うように、容易に汎用化可能であることは認められるべきである。次に、第３図を参照すると、代表的な実施方法を表すフローチャートが示される。先ず、ユーザ情報２９（例えば、ユーザＩＤ、パスワード、ＩＰアドレス）がクライアント・サイト１２におけるログオン・プロシージャ中にエンド・ユーザから取り出される。そこで、この情報２９はウェブ・サーバ１６に送られる。この取り出しが単一時間を必要とされるだけあることに留意することが重要である。次に、パスワード２７がセキュリティ・オブジェクト２２に記憶され、残りのユーザ情報が隠し変数に或るフォームで入れられ、将来の使用のためにウェブ・クライアント１２に返送される。この時点から、ウェブ・クライアント１２によるその後の如何なるＣＧＩ実行リクエストも次のようなステップを含む。先ず、ウェブ・クライアント１２は、ユーザ情報２９を任意のＣＧＩ実行リクエスト２４と共にウェブ・サーバに戻させる。ＨＴＴＰサーバ１８は、実行リクエストを受け取った時、ＣＧＩプログラムをウェブ・サーバ２５においてデフォルト・ユーザ・モードの下に開始させる。そこで、ＣＧＩプログラム２０は、実行リクエスト２４と共に受け取ったユーザ情報を、必要なシステム・コールに調べさせる。この情報２９から、ＣＧＩプログラム２０はユーザの権限レベルを決定する。しかる後、ＣＧＩプログラム２０は更なるシステム・コールを行ってＨＴＴＰサーバ１８に非デフォルト・ユーザ・モード２３の下に、それか適当である場合、ＣＧＩプログラムを実行させる（即ち、それはユーザの現ユーザＩＤ又はプロファイルの下で実行される）。次に、ＣＧＩプログラム２０はユーザ情報２９をＨＴＭＬ隠し変数内に再び記憶させ、実行２６の結果と共にウェブ・クライアントに戻させる。最後に、ＣＧＩプログラムは、適切なシステム・コールを行ってＨＴＴＰサーバにそのＣＧＩプログラムをデフォルト・モード２５へ戻させる。その後は、各その後のＣＧＩ実行リクエスト２４に対して、これらのステップ・シーケンスが上記のように繰り返される。産業上の利用可能性上記実施例は主として従来のウェブ・ベースのネットワークを論じているけれども、本発明がずっと広範な適用分野を有することは認められるべきである。例えば、本発明は、各クライアント（例えば、家庭用警報機）がサーバ（例えば、警備会社）にネットワーク接続されるというホーム・セキュリティ・システムをカバーすることができる。それはウェブＴＶアプリケーション、家電製品、及び自動システムをカバーすることもできる。例えば、電子デバイスは、保証情報に対するウェブ・ページを自動的にブラウズするように構成可能である。自動車は、ナビゲーション情報を受けるためにダイヤル・アップすることが可能である。従って、認証を必要とする如何なるクライアント・サーバ環境も本発明の範囲内にあり得る。更に、ＨＴＭＬはウェブ・システムに関する業界標準のスクリプト言語であるけれども、任意の既知の又は将来のスクリプト言語が本願では利用可能である。最後に、本願に記載された実施例及び事例は、本発明及びそれの実用的な適用業務を最もよく説明するために及び、それによって、当業者が本発明を製造及び使用することを可能にするために示されたものである。しかし、上記記述及び事例が単に説明及び事例の目的で与えられたものであることは当業者が認めるところであろう。上記の記述は、余すところないことを、或いは開示されたそのままの形に本発明を限定することを意図するものではない。下記の請求の範囲の精神及び技術的範囲から逸脱することなく、上記の教示するところに照らして多くの修正及び変更が可能である。従って、本発明の利点は、ウェブ・ベースのネットワーク環境においてユーザ認証を行うことにある。従って、本発明の更なる利点は、ＨＴＭＬフォームを使用してクライアントとサーバとの間でユーザ情報を両方向にユーザ情報を送り、それによって、ユーザ情報に関してプロンプト指示する必要をなくすることにある。本発明の更なる利点は、エンド・ユーザの特権レベルに基づいて、ＨＴＴＰサーバ環境における実行モードを、ＣＧＩプログラムが変更し得るようにする手段を提供することにある。本発明の更なる利点は、ネットワークにログオンされたユーザに対するパスワード情報を一時的に記憶するためにウェブ・サーバにおけるセキュリティ・オブジェクトを提供することにある。

───────────────────────────────────────────────────── フロントページの続き (72)発明者スナイダー、デボン、ダニエルアメリカ合衆国ミネソタ州ロチェスター、エヌ、イー、グレンデイル・ヒルズ・ドライブ 1201 (72)発明者ウッドベリー、カロル、ジーンアメリカ合衆国ミネソタ州ロチェスター、エヌ・イー、ノーザン・ヴィオラ・レーン 1732

Claims

【特許請求の範囲】１．ユーザ認証システムを有するネットワークにして、複数のユーザ・モードの下でプログラムを実行するオペレーティング・システムを有するウェブ・サーバと、プログラム実行リクエストと共にユーザ情報を前記ウェブ・サーバに処理依頼する機構を有するウェブ・クライアントと、最初はデフォルト・ユーザ・モードの下で実行可能なプログラムであって、前記ユーザ情報を検査する第１機構及び前記ウェブ・サーバにおける前記オペレーティング・システムに非デフォルト・ユーザ・モードの下で該プログラムを動的に実行させる第２機構を有するプログラムと、を含むネットワーク。２．前記ユーザ情報はユーザＩＤを含む、請求の範囲第１項に記載のネットワーク。３．前記ユーザ情報はＩＰアドレスを含む、請求の範囲第１項に記載のネットワーク。４．前記プログラムは共通ゲートウェイ・インターフェースを含む、請求の範囲第１項に記載のネットワーク。５．前記プログラムは、更に、前記ウェブ・クライアント上にログされたユーザの特権レベルを決定するために前記ユーザ情報を使用するシステムを含む、請求の範囲第１項に記載のネットワーク。６．前記プログラムは、更に、前記デフォルト・ユーザ・モードの下で実行するように前記ウェブ・サーバにおける前記オペレーティング・システムに前記プログラムを動的に切り替えさせる第３機構を含む、請求の範囲第１項に記載のネットワーク。７．ログオン・プロシージャの間前記ユーザ情報をユーザから取り出すシステムを更に含む、請求の範囲第１項に記載のネットワーク。８．前記プログラムは、更に、前記ウェブ・クライアントにユーザ情報の新しいセットを戻すシステムを含む、請求の範囲第１項に記載のネットワーク。９．前記プログラムはウェブ・サーバ・アプリケーション・プログラム・インターフェースを含む、請求の範囲第１項に記載のネットワーク。１０．前記ユーザ情報はＨＴＭＬ隠し変数に記憶される、請求の範囲第１項に記載のネットワーク。１１．前記ユーザ情報はクッキーに記憶される、請求の範囲第１項に記載のネットワーク。１２．前記ユーザ情報はユーザにとって透明である、請求の範囲第１項に記載のネットワーク。１３．記録可能なメディアと、前記記録可能なメディア上に記録され、ウェブ・ベースのサーバ上で動作するオペレーティング・システムにおいて最初はデフォルト・ユーザ・モードの下で実行可能であるプログラムであって、ウェブ・クライアントによって供給されたユーザ情報を複数の隠し変数から第１ＨＴＭＬフォームで取り出す第１機構及び前記オペレーティング・システムに該プログラムを非デフォルト・ユーザ・モードで実行させる第２機構を含むプログラムと、を含むプログラム製品。１４．ユーザ情報を隠し変数に第２ＨＴＭＬフォームで記憶し、前記ユーザ情報を前記ウェブ・クライアントに戻す機構を更に含む、請求の範囲第１３項に記載のプログラム製品。１５．前記ユーザ情報に基づいて前記サーバからユーザ・パスワードを検索する機構を更に含む、請求の範囲第１３項に記載のプログラム製品。１６．前記ユーザ情報はユーザＩＤ及びＩＰアドレスを含む、請求の範囲第１３項に記載のプログラム製品。１７．ウェブ・ベースのネットワークにおけるユーザの権限レベルを識別し、該権限レベルに応答するためのシステムにして、ウェブ・クライアント及びウェブ・サーバの間で双方向にユーザ情報を送り及び受け取る機構と、前記ウェブ・サーバに記憶され、最初はデフォルト・ユーザ・モードの下で実行可能である複数のプログラムと、前記プログラムの各々から呼出可能であり、前記ウェブ・クライアントから送られた前記ユーザ情報を検査する第１サブルーチンと、前記プログラムの各々から呼出可能であり、前記ウェブ・クライアントにおけるユーザの権限レベルを決定するために前記ユーザ情報を使用する第２サブルーチンと、前記プログラムの各々から呼出可能であり、前記ウェブ・サーバにおいて非デフォルト・ユーザ・モードの下で前記プログラムの各々を動作させるために前記ユーザの権限レベルを使用する第３サブルーチンと、を含むシステム。１８．前記プログラムの各々から呼出可能であり、前記ウェブ・サーバにおいてデフォルト・ユーザ・モードの下で動作するように前記プログラムを戻させる第４サブルーチンを更に含む、請求の範囲第１７項に記載のシステム。１９．前記第２サブルーチンはユーザの権限レベルを決定するために前記ウェブ・サーバから前記ユーザに対するパスワードを検索する機構を含む、請求の範囲第１７項に記載のシステム。２０．前記パスワードはログオン・プロシージャの間前記ウェブ・サーバにおけるセキュリティ・オブジェクトに記憶される、請求の範囲第１７項に記載のシステム。２１．前記ユーザ情報はＨＴＭＬ隠し変数に記憶される、請求の範囲第１７項に記載のシステム。２２．前記ユーザ情報はクッキーに記憶される、請求の範囲第１７項に記載のシステム。２３．ウェブ・クライアントから処理依頼された時、ウェブ・サーバにおけるプログラムの実行の間にウェブ・ベースのネットワークにおけるユーザを自動的に認証する方法にして、前記ウェブ・サーバにおいてプログラムが実行を終了する度に前記ウェブ・クライアントにユーザ情報を送るステップと、前記ウェブ・クラィアントによる新しい実行リクエストの間に前記ウェブ・クライアントから前記ウェブ・サーバに前記ユーザ情報を戻すステップと、前記ウェブ・サーバから新しいプログラムをデフォルト・ユーザ・モードの下で開始するステップと、前記実行リクエストと共に受け取られた前記ユーザ情報を検査するステップと、前記ユーザ情報に基づいて前記ユーザの権限レベルを決定するステップと、前記新しいプログラムを非デフォルト・ユーザ・モードに下に実行させるステップと、を含む方法。２４．ログオン・プロシージャの間にユーザ情報を集める最初の１回のステップを更に含む、請求の範囲第２３項に記載の方法。２５．前記ログオン・プロシージャの間に前記ウェブ・サーバにおいてユーザ・パスワードをセキュリティ・オブジェクトに記憶するステップを更に含む、請求の範囲第２３項に記載の方法。２６．ユーザ情報の新しいセットを前記ウェブ・クライアントに戻すステップを更に含む、請求の範囲第２３項に記載の方法。２７．前記新しいプログラムを前記デフォルト・ユーザ・モードの下に実行させるステップを更に含む、請求の範囲第２３項に記載の方法。２８．前記ユーザ情報に基づいて前記ユーザの権限レベルを決定するステップは前記セキュリティ・オブジェクトに記憶された前記パスワードを検索するために前記ユーザ情報を使用するステップを含む、請求の範囲第２５項に記載の方法。２９．前記ユーザ情報はＨＴＭＬ隠し変数に記憶される、請求の範囲第２５項に記載の方法。３０．前記ユーザ情報はクッキーに記憶される、請求の範囲第２５項に記載の方法。３１．所定のユーザ特権レベルを有するユーザにウェブ・クライアントがログさせることによってリクエストされる時、ウェブ・サーバによって開始されたプログラムの実行の間に適切なレベルの権限を設定する方法にして、ログオン・プロシージャの間に前記ユーザに対するユーザ情報を取り出すステップと、前記ユーザ情報をＨＴＭＬ隠し変数としてＨＴＭＬフォームで記憶し、前記ＨＴＭＬ隠し変数を前記ウェブ・クライアントに戻すステップと、前記プログラムの１つを実行するために前記ウェブ・クライアントによるその後の各リクエストに対して、前記ＨＴＭＬ隠し変数を前記実行リクエストと共に前記ウェブ・サーバに返送するステップ、前記プログラムの実行をデフォルト・モードの下で開始するステップ、前記ＨＴＭＬ隠し変数における前記ユーザ情報を検査するステップ、前記ユーザ情報を使用して前記ユーザの権限のレベルを決定するステップ、適切なレベルのユーザ権限の下で前記プログラムを実行させるステップ、前記ユーザ情報をＨＴＭＬ隠し変数として新しいＨＴＭＬフォームで記憶し、該ＨＴＭＬ隠し変数をウェブ・クライアントに戻すステップ、及び前記プログラムをそれのデフォルト・モードに戻すステップ、を遂行するステップと、を含む方法。３２．前記ユーザ情報はＩＰアドレスを含む、請求の範囲第３１項に記載の方法。３３．前記ユーザ情報はユーザＩＤを含む、請求の範囲第３１項に記載の方法。３４．前記ユーザ情報は管理ユーザ・フラッグを含む、請求の範囲第３１項に記載の方法。３５．ウェブ・クライアントから処理依頼された時、複数のウェブ・サーバのうちの任意の１つにおけるプログラムの実行の間にウェブ・ベースのネットワークにおけるユーザを自動的に認証する方法にして、前記ウェブ・クライアントに対するジョブを実行するプログラムが終了する度に前記ウェブ・サーバの１つから前記ウェブ・クライアントにユーザ情報を戻すステップと、前記ウェブ・クライアントから、前記ウェブ・クライアントによる次のプログラム実行を実施する責任のある次のウェブ・サーバに前記ユーザ情報を送るステップと、前記ウェブ・サーバからの前記次のプログラムの実行をデフォルト・ユーザ・モードの下で開始するステップと、プログラム実行リクエストと共に受け取られた前記ユーザ情報を検査するステップと、前記ユーザ情報に基づいて前記ユーザの権限レベルを決定するステップと、前記新しいプログラムを非デフォルト・ユーザ・モードに下に実行させるステップと、を含む方法。３６．前記プログラムは共通ゲートウェイ・インターフェースを含む、請求の範囲第３５項に記載の方法。３７．前記プログラムはアプリケション・プログラム・インターフェースを含む、請求の範囲第３５項に記載の方法。３８．ブラウザによって作成されたユーザ情報を記憶し、ウェブ・サーバに伝送可能である第１複数の隠しコードと、前記ウェブ・サーバにおいて実行するジョブによって作成されたユーザ情報を記憶し、前記ブラウザに伝送可能である第２複数の隠しコードと、前記第１複数及び第２複数の隠しコードを保持する信号保持媒体と、を含むプログラム製品。３９．前記第１複数及び第２複数の隠しコードはＨＴＭＬフォームで存在する、請求の範囲第３８項に記載のプログラム製品。４０．前記第１複数及び第２複数の隠しコードは同じである、請求の範囲第３８項に記載のプログラム製品。４１．前記第１複数及び第２複数の隠しコードはユーザＩＤを含む、請求の範囲第３８項に記載のプログラム製品。４２．前記第１複数及び第２複数の隠しコードはＩＰアドレスを含む、請求の範囲第３８項に記載のプログラム製品。４３．前記第１複数及び第２複数の隠しコードは管理ユーザアドレスを含む、請求の範囲第３８項に記載のプログラム製品。