JP2001188758A

JP2001188758A - 外部システムにログインするための自動サーバ決定を可能にする方法と装置

Info

Publication number: JP2001188758A
Application number: JP36814599A
Authority: JP
Inventors: John White Kuribu; ジョンホワイトクリブ
Original assignee: Computer Associates Think Inc
Current assignee: CA Inc
Priority date: 1999-12-24
Filing date: 1999-12-24
Publication date: 2001-07-10

Abstract

(57)【要約】（修正有）【課題】ユーザワークステーションから複数のローカ
ルセキュリティサーバの１台へユーザアクセス認証を実
施する方法を提供する。【解決手段】ローカルセキュリティサーバ上のパーソ
ンサーバは、ユーザ識別情報と、登録項目とを比較す
る。一致していると、ローカルセキュリティサーバへの
アクセスが許可される。一致していないとネットワーク
データベースを検索し、ユーザを認証させるのに必要な
情報を含んでいるローカルセキュリティサーバの名前を
クライアントに戻す。クライアントはサーバマッピング
ファイルからサーバの論理位置を検索し、新しいローカ
ルセキュリティサーバに対して認証要求を繰り返す。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、複数のワークステ
ーションのいずれか１つから、地理的に分散しているネ
ットワークへの、許可ユーザのアクセスを自動化する装
置と方法に関するものである。

【０００２】

【従来の技術】今日のビジネス環境は情報に支配され、
従ってあらゆる組織の成功は、情報技術（ＩＴ）を最大
限に有効利用することが重大要素である。ＩＴの発展お
よび企業および個人の生活へのＩＴの浸透により、ＩＴ
の専門家とエンドユーザの両方の課題が増えつつある。

【０００３】過去１０年にわたり、ＩＴシステムの標準
モデルは著しく変化してきた。ただ１つの中央局によっ
て制御されるメインフレームを中心としたシステムに代
わり、組織は、アプリケーションやサービスがネットワ
ーク上の各種メーカーのハードウェアおよびオペレーテ
ィングシステムのどこにあってもよい、分散型の計算環
境に急速に向かっている。コンピュータとネットワーク
を接続したりネットワークどうしを接続したりする主な
理由は、コンピュータを総合して能率良く働かせ且つリ
ソースの共有を簡略化できるようにすることである。

【０００４】分散型のコンピュータシステムは、しばし
ば全地球的な広がりを持ち、また、多数のワークステー
ションをさまざまな地理的位置に含む場合もある。その
ようなシステムは、実質的に世界中各地からそれらのネ
ットワークにアクセスすることを希望する出張者にとっ
て特に有用である。例えば、遠隔地にいる出張者は、最
新の費用データを検索したり、保留中の注文の状況を入
手したり、新規の注文を出したり、単にｅメールを読ん
だりしたい場合がある。残念なことに、今日設置されて
いるクライアント−サーバネットワークの多くは、この
タスクを妨げる、または少なくとも複雑化させる多種多
様な独立ネットワークサーバを含んでいる。ここで言う
「独立」とは、ネットワークリソースが、共用ユーザデ
ータベースに対立するものとしての独立性を有すること
を意味する。独立ネットワークでは、自分のホームター
ミナルから地理的に離れていて自分のホームネットワー
クサーバーに接続したいユーザが、ネットワークサーバ
ＩＤ、ユーザ識別、およびパスワードなどの認証情報と
ルーティングとを入力して、アカウントを持っている現
地の独立ネットワークリソースにログオンしなくてはな
らない。覚えやすいパスワードを選択したり、アクセス
しやすい場所にログオン情報を書き込むことによってユ
ーザが避けようとするイライラの２つは、パスワードを
忘れることと、間違ったサービスすなわちアプリケーシ
ョンにアクセスすることである。しかしながら、そうす
ることでセキュリティが弱くなる。ネットワークの命名
規則を熟知し、コンピュータに精通したユーザであれ
ば、遠隔地からワークステーションにログインすること
の不便を克服できるが、そうではない大多数のネットワ
ークユーザは、タスクの完了を延期したり、ことによる
と非ネットワークの情報獲得手段に頼らなくてはならな
い。

【０００５】悪意のあるまたは不注意な雇用者、ハッカ
ー、またはスパイ行為による今日のコンピュータ使用環
境に対する実際の、ともすれば高くつくことになる危険
のために、正当なユーザを阻む安全対策を利用した生産
性の維持および管理経費増大の回避を容認することがあ
る。従来技術のネットワークアクセスサービスは、ユー
ザが遠隔地から分散型ネットワークにアクセスしようと
するときに生じる問題に対処するために開発されてき
た。これらのサービスにより、ユーザはローカルメモリ
に記憶された認証データを使用することによってリモー
トのネットワークリソースにアクセスできる。例えば、
スダマ（Ｓｕｄａｍａ）他による米国特許第５，４８
３，６５２号には、サービスまたはリソースの一般名し
か知らなくともクライアント実体がサービスまたはリソ
ースへのアクセスを要求できるようにする方法および関
連装置が開示されている。残念なことに、前述のシステ
ムは、ユーザが自分のワークステーションからリモート
のネットワークリソース（例えば、プリンタ、専用コン
ピュータ、固有ファイル）にログオンしようとすること
を特徴として想定していて、リモートワークステーショ
ンからネットワークに接続したり、そのようなリソース
にアクセスしたりする能力をユーザに与えていない。

【０００６】一方、スロータ（Ｓｌａｕｇｈｔｅｒ）他
による米国特許第５，５９８，５３６号には、ユーザが
リモートアクセスネットワークサーバ経由で自分のロー
カルコンピュータネットワークにアクセスできる装置と
方法を開示している。このシステムでは、リモートユー
ザは独自のユーザＩＤストリングを入力してリモートコ
ンピュータにアクセスする。リモートユーザが認証され
ると、リモートユーザはローカルネットワークへのアク
セスを許される。このスロータ（Ｓｌａｕｇｈｔｅｒ）
他による特許に開示されているシステムは、その発明概
念以前にあった多くの不便を克服したものであるが、依
然として、ユーザが自分のローカルネットワークサーバ
に、ローカルワークステーションからログオンしようと
しているか、リモートワークステーションからログオン
しようとしているかによってユーザが２つの異なる認証
ストリングを利用することを要求するものである。

【０００７】ジョーンズ（Ｊｏｎｅｓ）他による米国特
許第５，６５５，０７７号には、ユーザの対話数を最小
限にしながら複数のユーザワークステーションから雑多
なコンピュータ使用サービスへのアクセスを認証する方
法とシステムが開示されている。ジョーンズ（Ｊｏｎｅ
ｓ）他による特許では、システムにアクセスするため
に、ユーザは複数の接続プロバイダを指定して主ユーザ
インタフェースを規定する。ユーザが識別情報を入力
し、識別された主接続プロバイダを最初に呼び出すログ
オンシーケンスをコンピュータシステムが実行する。シ
ステムは、収集された識別情報を確認し、ネットワーク
コンピュータサービスへのアクセスをユーザに許可す
る。このシステムログオン手順がうまくいかなかった場
合、別のログオン情報を収集するための別の画面が表示
される。その後、ログオンシーケンスは別の接続プロバ
イダを呼び出し、別のユーザインタフェースを表示せず
にすでに収集された識別情報をこの接続プロバイダが確
認できるようにする。このシステムは最小量のユーザの
対話でユーザをネットワークに接続しようとするもので
あるが、ユーザは主接続プロバイダを指定し、その後
に、ネットワークへのユーザアクセスを許可する前にユ
ーザ認証情報のストリングを最大２つ入力することが要
求される。

【０００８】システムログオン時のユーザの対話の必要
を減少させる更に別の発明概念は、独立ネットワークリ
ソースへのアクセス権を提供する方法およびシステムを
開示した、サドブスキー（Ｓａｄｏｖｓｋｙ）による米
国特許第５，６８９，６３８号に記載されている。シス
テムのログオン時、ログオンデータはクライアントコン
ピュータのメモリに記憶される。サーバにアクセスする
と、サーバ認証データがキャッシュメモリに記憶され
る。システムログオンデータと認証データは、それ以上
のユーザ対話を必要とせず、後から別の独立リソースに
アクセスする場合にも利用できる。しかしながら、この
特許は、初期認証を可能にする必要ユーザ情報をデフォ
ルトサーバに記憶していないリモートワークステーショ
ンからユーザを認証するという課題に取り組んでいな
い。言い換えると、入力されたユーザ名およびパスワー
ドをデフォルトサーバが認識しない場合、ネットワーク
へのアクセスは拒絶される。

【０００９】リモートのネットワークサーバにログオン
することを希望するネットワークユーザが直面する別の
課題は、インターネット全域にわたって通信し、インタ
ーネット上で作用する複数のプロトコル（例えば、ＩＰ
Ｘ、ＴＣＰ／ＩＰ、ＮｅｔＮＥＵＩ等）を結びつける必
要性である。

【００１０】過去において複数の境界を越えて通信する
ことを希望するユーザは、ユーザと種々のネットワーク
実体との間の言語や通信面での壁のために、容易にその
ようにすることが出来なかった。認識可能な形態でデー
タ記憶実体に情報要求を伝え、受信した情報を変換する
ためには、ユーザは、それぞれのデータ記憶実体の特定
プロトコルを知り、それに合わせなくてはならなかっ
た。既存の装置には、１つのプロトコルを利用してネッ
トワーク全域にわたって通信を行う機能を提供する、と
いう点で限界があった。

【００１１】ここ数年、ユーザが多数の異なるネットワ
ークプロトコル間で通信できるようにする標準データベ
ースプロトコルを開発しようという取り組みが数多く行
われている。そのような標準プロトコルの１つが、国際
電信電話諮問委員会（ＣＣＩＴＴ）によって開発された
Ｘ．５００規格である。Ｘ．５００は、インターネット
上で作用する多数の異なるプロトコルによってもたらさ
れる通信面での壁を減少させる標準プロトコルを規定
し、別々の実体が互いに通信できるようにローカルディ
レクトリを保持できる。ＣＩＴＴ「ディレクトリ総括概
念、モデル、サービス（Ｄｉｒｅｃｔｏｒｙ−Ｏｖｅｒ
ｖｉｅｗＣｏｎｃｅｐｔｓ，Ｍｏｄｅｌｓ，ａｎ
ｄＳｅｒｖｉｃｅｓ）」勧告Ｘ．５００シリーズ、文
書ＡＰＩＸ−４７−Ｅ。Ｘ．５００により、ユーザ
は、個人および団体の電話番号、アドレス、およびそれ
以外の詳細事項などの情報を便利な構造で見つけること
ができる。Ｘ．５００のディレクトリは、ばらばらに分
散された大量の情報を効率的に処理する能力によっても
特徴付けられている。

【００１２】

【発明が解決しようとする課題】本発明は、ネットワー
クに対する署名手順を、手順の際にただ１つの署名を利
用することにより大幅に単純化する。プラチナテクノロ
ジー社（ＰＬＡＴＩＮＵＭｔｅｃｈｎｏｌｏｇｙ，
ｉｎｃ．）が版権所有している「オートセキュア・エス
・エス・オー（ＡｕｔｏｓｅｃｕｒｅＳＳＯ）」とい
うタイトルのＦｅａｔｕｒｅｓＧｕｉｄｅｆｏｒ
Ｖ５．１に記載されているＡＵＴＯＳＥＣＵＲＥ（登録
商標）ＳｉｎｇｌｅＳｉｇｎＯｎ（ＳＳＯ）と
して識別される手順に取り入れられているようなログオ
ン手順によりユーザがログオンしてユーザ名とパスワー
ドを入力すると、システムは、認証されたすべてのアプ
リケーションおよびサービスに対する透過アクセスを可
能にすることによって残りの手順を実行する。サービス
のあるネットワークサーバがローカルであってもリモー
トであっても、機能に関するただ１つの署名だけで用が
済み、たとえユーザが遠隔地に旅行のときでさえ、ユー
ザは任意の場所で署名できる。また、本発明は、特定の
（同構造の）環境の機密保護に限定されるものではな
い。本発明は、外部の複数のプラットフォーム全体に作
用するものであり、これは、任意のベンダーまたはベン
ダーのシステムを制御するのに利用できることを意味す
る。これにより、現在および将来において、本発明は、
いろいろなベンダーのプラットフォームを任意の数だけ
含むことができるエンタープライズ環境に更に一層応用
できる。

【課題を解決するための手段】したがって、本発明の目
的は、ユーザが、同一のユーザ名とパスワードとを利用
して、ネットワーク上の地理的に分散している複数のユ
ーザワークステーションのいずれか１つからコンピュー
タネットワークにログオンできる装置および方法を提供
することによって、外部ネットワークへのユーザアクセ
スを許可するタスクを単純化することである。

【００１３】本発明の別の目的は、前述の目的を達成す
るとともに、ユーザが、ただ１つのユーザ名、パスワー
ド、およびユーザ役割を利用して、エンタープライズの
任意のワークステーションからイントラネットにログオ
ンできるようにするネットワークアクセス装置とその方
法とを提供することである。

【００１４】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、複数のネットワーク通信プ
ロトコルを含むネットワーク全域にわたってユーザが透
過通信できるようにするネットワークアクセス装置とそ
の方法とを提供することである。

【００１５】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ユーザワークステーション
からのログオン要求を、認証要求に応じるローカルセキ
ュリティサーバ、または、認証要求に応じる可能性のあ
るネットワーク上の第２のローカルセキュリティサーバ
を特定するローカルセキュリティサーバに最初に伝送す
るネットワークアクセス装置とその方法とを提供するこ
とである。

【００１６】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ローカルセキュリティサー
バ上にあるローカル認証データベースをサーチし、ロー
カルセキュリティサーバを経由したネットワークへのユ
ーザアクセスを許可するかどうか判断するネットワーク
アクセス装置とその方法とを提供することである。

【００１７】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ローカル認証データベース
の記憶されているパスワードを暗号化するネットワーク
アクセス装置とその方法とを提供することである。

【００１８】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、第１のローカルセキュリテ
ィサーバ経由のネットワークアクセスでユーザが拒絶さ
れた場合に、ローカルセキュリティサーバの内部メモリ
にあるネットワークデータベースにアクセスして、認証
要求に応じるかもしれないネットワーク上の第２のロー
カルセキュリティサーバを特定するネットワークアクセ
ス装置とその方法とを提供することである。

【００１９】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、第１のローカルセキュリテ
ィサーバがネットワークアクセスを許可できない場合に
は、認証要求を第１のローカルセキュリティサーバから
第２のローカルセキュリティサーバに直接に伝達するネ
ットワークアクセス装置とその方法とを提供することで
ある。

【００２０】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、認証要求を、ユーザワーク
ステーションから少なくとも１つのローカルセキュリテ
ィサーバに、ユーザの対話無しで自動伝達するネットワ
ークアクセス装置とその方法とを提供することである。

【００２１】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ネットワークリソースにア
クセスしようとしてうまくいかなかった全部の試みの監
査ログを記録するネットワークアクセス装置とその方法
とを提供することである。

【００２２】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ネットワークリソースにア
クセスしようとして失敗した回数を監視して、ログオン
しようとして失敗した回数がデータベースの数を越えた
場合にネットワークリソースを使用禁止にするネットワ
ークアクセス装置とその方法とを提供することである。

【００２３】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、何らかの理由により主ロー
カルセキュリティサーバを使用できない場合に１つ以上
の予備サーバを利用できる、冗長ローカルセキュリティ
サーバ機能を提供するネットワークアクセス装置とその
方法とを提供することである。

【００２４】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ユーザ名とパスワードを入
力するだけで、ユーザが、ネットワーク上の任意のユー
ザワークステーションから利用できる最高優先順位のロ
ーカルセキュリティサーバにログオンできるネットワー
クアクセス装置とその方法とを提供することである。

【００２５】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、それぞれのローカルセキュ
リティサーバ上に、認証済みのネットワークユーザの集
中型Ｘ．５００データベースを１つずつ保持するネット
ワークアクセス装置とその方法とを提供することであ
る。

【００２６】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、エンタープライズで作動し
ている各ローカルセキュリティサーバの接続情報のマッ
プを保持するネットワークアクセス装置とその方法とを
提供することである。

【００２７】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、サービスマッピングファイ
ルサーバを利用し、エンタープライズで作動している各
ローカルセキュリティサーバの接続情報の最新マップを
各関連ワークステーションに定期的に提供するネットワ
ークアクセス装置とその方法とを提供することである。

【００２８】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、エンタープライズで作動し
ている他のローカルセキュリティサーバを系統的にポー
リングすることによって、各ローカルセキュリティサー
バの接続情報の最新マップを保持するネットワークアク
セス装置とその方法とを提供することである。

【００２９】本発明の更に別の目的は、前述の目的の１
つ以上を達成するとともに、ユーザがネットワークにロ
グオンし、ユーザの任務に基づいた各分類のネットワー
クサービスにアクセスできるネットワークアクセス装置
とその方法とを提供することである。

【００３０】本発明の更に別の目的は、各ローカルセキ
ュリティサーバへのアクセスが許可されている関連パス
ワードを持ったユーザから成るＸ．５００データベース
を各ローカルセキュリティサーバに１つずつ保持するネ
ットワークアクセス装置とその方法とを提供することで
ある。

【００３１】本発明の前述および他の更に具体的な目的
と利点は、１回のログオンを利用して、複数のユーザワ
ークステーションの１つにいるユーザを複数の所定ネッ
トワークサーバの１つにログオンさせる適応機能を提供
する分散型コンピュータ処理ネットワークにおいて実証
される。好適実施態様において、ユーザワークステーシ
ョンに接続するように適合された本質的にローカルなセ
キュリティサーバは、ユーザがワークステーションで入
力したユーザ識別情報を認証するか、または、ユーザが
与えた認証情報では、ローカルセキュリティサーバへの
アクセスを許可できない場合に、ログオン無効信号を発
生する。その後、ローカルセキュリティサーバ上で作動
しているパーソンサーバは、ローカルセキュリティサー
バからのログオン無効信号を受信すると、以前に入力し
たユーザ名が有効ユーザに該当する代替ローカルセキュ
リティサーバのＩＤを識別し、この代替ローカルセキュ
リティサーバのＩＤを第１のローカルセキュリティサー
バに伝達する。第１のローカルセキュリティサーバは、
代替ローカルセキュリティサーバＩＤを受信すると、こ
の代替ローカルセキュリティサーバにユーザ識別情報を
伝送し、ユーザは、代替ローカルセキュリティサーバ上
で確認され、コンピュータネットワークにログオンされ
る。

【００３２】

【発明の実施の形態】以下に詳しく述べる好適実施形態
の説明では、本発明を実施できる特定実施形態が例とし
て記載されている、説明の一部を構成する添付図面を参
照する。当業者が本発明を実施できる程度に詳細に本実
施形態を説明するが、それ以外の実施形態を利用しても
よいし、また、本発明の範囲から逸脱せずに構造を変更
してもよりことを理解されたい。したがって、以下に詳
述する説明は限定的な意味で解釈されるものではない。

【００３３】本明細書において、「サーバ」という用語
は、いくつかの機能をサポートするソフトウェアプロセ
スまたは一連のソフトウェアプロセスのことを言う。ロ
ーカルセキュリティサーバとは、コンピュータネットワ
ーク上のアプリケーションやシステムにユーザがアクセ
スできる以前にエンドユーザを認証しなくてはならない
セキュリティアクセス制御ソフトウェアプロセスのこと
である。

【００３４】ここで図１を参照すると、コンピュータネ
ットワークシステムすなわちエンタープライズ１０にお
いて、コンピュータワークステーション１１と２１が、
通信リンク１５と３５をそれぞれ介して、ローカルセキ
ュリティサーバ（ＬＳＳ）１２と２２にそれぞれ接続さ
れている。図１には、それぞれのＬＳＳに１台ずつ接続
されているユーザワークステーションが記載されている
が、当業者には、それぞれのＬＳＳに任意の台数のワー
クステーションを接続できることが明らかなはずだ。そ
れぞれのローカルセキュリティサーバ（１２と２２）
は、サーバに対してユーザ認証を行うときにのみサーバ
へのマルチユーザアクセスを許可するように構成されて
いる。ＬＳＳ（１２と２２）を経由したネットワークへ
アクセスすることがユーザに許可されると、ＬＳＳはゲ
ートウェイとして作用し、サーバのアクセスが許可され
た全ネットワークサービスに対してユーザアクセスでき
るようにする。ＬＳＳは、状況に応じて、デフォルトＬ
ＳＳ、主ＬＳＳおよび／または予備ＬＳＳと呼ぶことが
できる。更に具体的に述べると、デフォルトＬＳＳは、
誰かがユーザワークステーションを利用してネットワー
クにアクセスしようとしたときに、システムがその要求
をワークステーションのデフォルトＬＳＳに自動転送す
るなど、特定ワークステーションの主サーバとして作用
するようにシステム管理者によってクライアントソフト
ウェア内で指定されるＬＳＳである。一方、主サーバ
は、特定ユーザがネットワークにアクセスしようとする
たびに必ずログオンされるサーバとして機能するように
システム管理者によって指定されているＬＳＳである。
同様に、予備サーバは、主サーバと同じユーザ情報を備
えるＬＳＳである。予備サーバは、ユーザの主サーバが
何らかの理由で利用できない場合に利用できる。それぞ
れの主サーバは、１つ以上の予備サーバを持つことがで
きる。当業者には、ＬＳＳが複数のワークステーション
の複数の目的に対応できることが明らかであろう。再び
図１を参照すると、ＬＳＳ１２は、特定ユーザの主ＬＳ
Ｓとして作用可能であるのと同様に、ユーザワークステ
ーション１１のデフォルトＬＳＳおよびユーザワークス
テーション２１の予備サーバとして作用可能である。本
質的に、１つのＬＳＳは、何人かのユーザの主ＬＳＳに
なれるとの同様に、何人かのユーザステーションのデフ
ォルトＬＳＳとなったり、他のワークステーションの予
備ＬＳＳとなることができる。

【００３５】クライアントソフトウェアプロセス４０
（図２に記載）は、それぞれのコンピュータステーショ
ン１１および２１上で動作する。ワークステーションの
ユーザが、コンピュータネットワークにアクセスするこ
とを希望するとき、ユーザワークステーション上で作動
しているクライアントは、ネットワークアクセスの要求
を、認証のためのデフォルトＬＳＳに伝達する。ワーク
ステーションのデフォルトＬＳＳの論理位置および識別
は、ワークステーションのクライアントに記憶されてい
るデータ値である。デフォルトＬＳＳは、ワークステー
ションに最も近い場所にあるサーバであってもよいし、
ネットワーク上のどこかで作動する別のＬＳＳであって
もよい。図１のＬＳＳ１２またはＬＳＳ２２は、ワーク
ステーション１１に対するデフォルトサーバにすること
ができる。図１のＬＳＳ２２またはＬＳＳ１２は、ワー
クステーション２１に対するデフォルトサーバにするこ
ともできる。重要なのは、ワークステーションに割り当
てられるデフォルトＬＳＳがシステム管理者によって容
易に変更可能であることに留意することである。

【００３６】新規ユーザをネットワークに加えるため
に、システム管理者は、新しいローカル認証データベー
ス記録（図３）を作成し、その記録を新規ユーザの主Ｌ
ＳＳとなるＬＳＳの内部メモリにコピーする。好適実施
形態では、主ＬＳＳのローカル認証データベースに新し
い記録がコピーされると、主ＬＳＳは、サービスマッピ
ングファイル（後述）で指定されている通りに自動的に
新規ユーザ記録のコピーを主ＬＳＳの全部の予備サーバ
に配信し、それにより、新規ユーザは有効ユーザとして
予備サーバのメモリに自動的に記憶される。セキュリテ
ィを向上するために、予備サーバに転送する前に記録全
体または最低でもユーザ名とパスワードを暗号化し、受
信後に解読することが可能である。

【００３７】各ワークステーションには、サービスマッ
ピングファイルも記憶されている。図４に記載されてい
るように、サービスマッピングファイル４１は、その対
応予備サーバの名称と論理位置を備えたネットワークＬ
ＳＳリストを含んでいる。予備サーバは、デフォルトＬ
ＳＳと同じユーザ情報をそのローカル認証データベース
に備えている、ネットワーク上の別のＬＳＳである。ク
ライアントがあるＬＳＳにアクセスしようとしたとき
に、そのＬＳＳが利用できない場合、予備サーバが呼び
出されて、ログオン要求を処理する。予備サーバは、ネ
ットワークデータベースの入力により特定のＬＳＳと関
連付けられる。記憶可能なタイプの記録の一例を図５に
示す。このネットワークデータベース登録項目は、シス
テム管理者がシステムに入力してもよい。ネットワーク
データベース４３の各記録は、ＬＳＳとその論理位置、
対応予備サーバ名とその論理位置、およびＬＳＳにログ
オンすることが認定されているユーザ名から構成されて
いる。好適実施形態において、ネットワークデータベー
スはＸ．５００または他の適切なデータベースフォーマ
ットでＬＳＳのディスク記憶装置上にあってもよい。

【００３８】それぞれのＬＳＳは、通信リンク２０と４
０をそれぞれ介して、インターネットまたは同様なコン
ピュータネットワークに更に接続されていてもよい。図
２に記載されているように、それぞれのＬＳＳは、ロー
カル認証データベース４２およびネットワークデータベ
ース４３に対するアクセス権を有する。これらのデータ
ベースは、内部または外部ディスク記憶装置、または、
いずれか他の適切な記憶保持システムに記憶させてもよ
い。ローカル認証データベース４２の典型的なデータベ
ース記録を図３に示す。図３に記載されているように、
それぞれの記録は、最低でも、ユーザ名、パスワード、
およびユーザ役割を含んでいる。ユーザは、ユーザによ
って異なる役割にそれぞれ対応する、いくつかのローカ
ル認証データベース登録項目を有することができる。役
割の例として、「幹部」、「責任者」、「従業員」等を
それだけに限らず含むことができる。役割は、いろいろ
あるが、組織内の特定の部署または立場に関連付けるこ
とが可能である。ユーザの役割により、そのユーザがど
のネットワークサービスにアクセスできるかが決まる。
ネットワークサービスは、サーバの内部ディスク記憶装
置に適正にインストールされているアプリケーションプ
ログラムであってもよい。それぞれのローカルセキュリ
ティサーバで利用可能で作動可能なサービスは、システ
ム管理者によって指定され、ローカルセキュリティサー
バがネットワークに加わる時点でサーバのディスク記憶
装置にインストールされている。ネットワークサービス
は、システム管理者によって随時に簡単に追加、削除、
または変更できる。本明細書は、有限数のネットワーク
サービスに関して本発明を説明しているが、当業者に
は、ネットワークサービスの数が実質的に無限であるこ
とが明らかであろう。好適実施形態において、ローカル
認証データベース４２はＸ．５００または他の適切なデ
ータベースフォーマットでＬＳＳの磁気ディスク装置上
にあってもよい。当業者に公知であるように、Ｘ．５０
０データベースは外部記憶領域にあってもよい。

【００３９】図２に記載されているように、各ＬＳＳ
は、パーソンサーバ３１とサービスマッピングファイル
（ＳＭＦ）サーバとを有している。パーソンサーバ２１
は、クライアント４９からのすべてのネットワークログ
オン要求を受信するＬＳＳ上で作動するソフトウェアプ
ロセスであり、要求を処理し、ログオン要求の結果をク
ライアント４０に戻す。パーソンサーバ３１は、クライ
アントから受信したユーザ名／パスワードの組合せを利
用して、サーバのディスク記憶装置に記憶されているロ
ーカル認証データベース４２に索引をつける。対応する
ユーザ名／パスワードがローカル認証データベース４２
に記憶されていれば、ユーザをローカルサーバに接続す
る。ユーザ名／パスワードの組合せがローカル認証デー
タベースに無い場合には、パーソンサーバ３１がネット
ワークデータベース４３（ディレクトリ）をサーチし
て、このユーザ名がエンタープライズに存在するかどう
か判断する。ネットワークデータベースにユーザ名があ
った場合、ユーザ認証要求は、識別されたＬＳＳに転送
され、要求の処理が行われる。他方、ネットワークデー
タベース中にユーザ名が見つからなかった場合、システ
ムはユーザの要求を拒絶するか、または、認証要求を処
理するためにもっと情報を提供するようにユーザに問い
合わせてもよい。

【００４０】ＳＭＦサーバは、それぞれのＬＳＳ上にサ
ービスマッピングファイル４１を記憶している。先述し
たように、サービスマッピングファイル４１は、エンタ
ープライズの全サーバの動作状態詳細を含んでいる。Ｓ
ＭＦサーバ３２は、ネットワークデータベースを定期的
にポーリングすることによってエンタープライズの最新
の「マップ」を保持する。すべてのＬＳＳは、そのサー
バ名および接続情報（すなわち、通信アドレス）に基づ
いてネットワークデータベース内で定義される。マップ
は、ネットワークデータベース４３内の情報から作成さ
れ、定期的に更新され、パーソンサーバ３１によって全
部のワークステーションに渡される。好適実施形態は、
同一プラットフォーム上にパーソンサーバ３１とＳＭＦ
サーバ３２とがあるパーソンサーバ３１を想定している
が、パーソンサーバとＳＭＦサーバを別々のプラットフ
ォーム上に置くことも可能である。

【００４１】図１に記載のように、インターネットに複
数のローカルコンピュータネットワーク接続して、広範
囲のコンピュータおよび周辺機器から成る地理的に離れ
たより小さいコンピュータネットワークのネットワーク
を構成してもよい。コンピュータネットワークへのユー
ザアクセスを許可するプロセスは、図６に記載のよう
に、ワークステーション１１のユーザがコンピュータネ
ットワークにログオンしようとする時点で開始する。ワ
ークステーション上で作動しているクライアント４０
は、ユーザにログオン画面を表示する（ステップ６０
０）。ステップ６１０で、ユーザは、ユーザ名とパスワ
ードをローカルコンピュータ１１に入力することによっ
てアクセスしようとする試行を開始する。ユーザ名は、
ユーザを一意に特定する、予め決められた英数字の文字
ストリングである。ユーザ名は一般に、エンタープライ
ズ全体を通してそれぞれの名前が一意であることを保証
しなくてはならないシステム管理者によってユーザに割
り当てられる。ローカルコンピュータ上で作動するクラ
イアント４０は、ユーザの入力を取り込んで、次に、ス
テップ６２０で、ユーザ供給情報とサービスマッピング
ファイル４１のバージョン番号（図４）とを、（個々の
ワークステーションに応じて）通信リンク１５または３
５を介してワークステーションのデフォルトＬＳＳに送
信する。バージョン番号は、本質的に、いつサービスマ
ッピングファイルが作成されたかを示すタイムスタンプ
である。クライアント４０がＬＳＳにログオンしよとす
るたびに、ＬＳＳは、クライアントのサービスマッピン
グファイルのバージョン番号と、ＳＭＦサーバ３２が保
持しているバージョン番号とを比較する。クライアント
のコピーが最新でない場合には、ＬＳＳは最新のコピー
をクライアント４０に戻す。このように、クライアント
４０は常にネットワーク上のすべてのＬＳＳの最新接続
情報を有している。クライアントのデフォルトＬＳＳが
利用できず、予備ＬＳＳにアクセスするようにとの要求
がクライアント４０に対してなされる場合、クライアン
トは、それぞれのワークステーションのディスク記憶装
置に記憶されているそのサービスマッピングファイル４
１のコピーにアクセスすることによって、ネットワーク
上の予備サーバの接続情報を検索する（ステップ６４
０）。予備サーバが識別された場合（ステップ６５
０）、ステップ６２０に戻り、クライアント４０はユー
ザ情報を、識別されたサーバに送信する。予備サーバが
識別されなかった場合、クライアント４０は、ワークス
テーションの画面にログオン無効メッセージを表示し
（ステップ６６０）、プロセスを終了する。

【００４２】ステップ６３０でデフォルトサーバが利用
可能であると判断されると、ＬＳＳ上の作動しているパ
ーソンサーバ３１は、ローカル認証データベース４２を
サーチし（ステップ６７０）、ステップ６８０で入力ユ
ーザ名およびパスワードに対応するただ１つのユーザ名
を識別しようとする。一致するユーザ名およびパスワー
ドが見つかった場合、ステップ６９０でユーザをネット
ワークにログオンする。ユーザのネットワークへのアク
セスが認められると、クライアントソフトウェアは、以
前に提供されたユーザ名およびパスワードの組合せに対
応するユーザの役割を評価し、ユーザがアクセスする権
利がある全数のネットワークサービスを決定する。例え
ば、責任者としてネットワークにログオンされたユーザ
は、責任者が利用することを許可されたネットワーク上
の利用可能サービスにアクセスすることを許される。ユ
ーザが、従業員としてネットワークにログオンされた場
合、このユーザは、全従業員が通常利用可能なサービス
にアクセスすることを許される。管理者に利用可能なサ
ービスは、全従業員に利用可能なサービスと異なってい
るように想像される。

【００４３】一致するユーザ名およびパスワードが見つ
からない場合には、パーソンサーバ３１はネットワーク
データベース４３をサーチして（ステップ６９０）、そ
のユーザ名がエンタープライズで承認されているかどう
か判断する。ステップ７１０で、登録項目が無い、すな
わち、１つ以上の一致する登録項目が無い場合、パーソ
ンサーバ３１は、ログオン無効メッセージをクライアン
ト４０に返す（ステップ７２０）。メッセージを受信す
ると、クライアント４０は、ステップ７３０で、ワーク
ステーションのディスプレイ上にそのメッセージを表示
して、プロセスを終了する。本明細書では、ネットワー
クデータベース４３の複数の一致登録項目がログオン無
効の応答をもたらすように記載されているが、当業者に
は、本発明の範囲および趣旨から逸脱せずに多数の他の
選択肢を採用できることが明らかであろう。例えば、シ
ステムは、ユーザに自分のＬＳＳ名を手動入力する機会
を与えることも可能であるし、あるいは、ユーザに、検
索されたユーザ名のドロップダウンメニューからユーザ
名／ＬＳＳの組合せを選択する機会を与えることも可能
である。ユーザが適正なＬＳＳ名を指定するか、また
は、適正なユーザ名／ＬＳＳの組合せを特定すると、ス
テップ７５０で、パーソンサーバ３１はＬＳＳ名をクラ
イアント４０に戻して処理を再開する。本明細書では、
ユーザワークステーションが第２のローカルセキュリテ
ィにアクセスする前にパーソンサーバがローカルセキュ
リティＩＤをユーザワークステーションに戻すように記
載されているが、当業者には、パーソンサーバはネット
ワーク接続を確立することができ、したがって、ユーザ
ワークステーションにログオンファンクションを戻さず
にユーザをネットワークにログオンできることが明らか
であろう。

【００４４】ステップ７４０で一致するただ１つの登録
項目が見つかった場合、ステップ７５０でパーソンサー
バ３１はユーザの主ＬＳＳの名前をクライアント４０に
返す。クライアントが新しいＬＳＳ名を受信すると、ス
テップ６２０に戻り、クライアント４０はそのサービス
マッピングファイル４１から新ＬＳＳの論理位置を検索
し、ユーザ情報を識別されたサーバに送信する。一致す
る登録項目が見つからない場合、パーソンサーバ３１
は、クライアント４０にログオン無効メッセージを返す
（ステップ７６０）。メッセージを受信すると、クライ
アント４０は、ワークステーションのディスプレイ上に
メッセージを表示してプロセスを終了する（ステップ７
７０）。セキュリティ対策として、パーソンサーバ３１
は、ローカルセキュリティサーバにアクセスしようとし
て失敗した全部の試行を監査ログに記録し、セキュリテ
ィホールを識別する手段としてシステム管理者が定期的
に点検するようにしてもよい。ローカルセキュリティサ
ーバは、失敗したログオン試行回数を監視して、失敗試
行数がデータベース数を越えたあとに端末を使用禁止に
してもよい。

【００４５】本明細書には、多くの細目および特殊性が
含まれているが、これらは説明のために含まれているに
過ぎず、本発明を限定するものではない。当業者には、
添付の請求項または法的等価物によって定義される本発
明の範囲から逸脱しない前述実施例に対する数多くの変
更が容易に明らかになるであろう。

【００４６】

【発明の効果】本発明の外部システムにログオンするた
めの自動サーバ決定を可能にする方法と装置は、複数の
ユーザワークステーションのいずれか１つから地理的に
分散しているネットワークへの認定ユーザのアクセスを
自動化するために利用できる。また、この方法と装置
は、ただ１つのパスワードと利用してネットワーク上の
任意のワークステーションからネットワークにログオン
できるユーザ機能を提供することが望ましい場合に利用
できる。また、本発明の外部システムにログオンするた
めの自動サーバ決定を可能にする方法と装置は、ユーザ
のホームサーバを自動的に識別して、ただ１つのユーザ
名およびパスワードのユーザ入力に応答してそのユーザ
をシステムにログオンするネットワーク機能を提供する
ことが望ましい場合にも利用できる。

【図面の簡単な説明】

【図１】典型的な広域コンピュータネットワークの略ブ
ロック図である。

【図２】典型的なローカルコンピュータネットワークの
略ブロック図である。

【図３】ローカル認証データベース記録の構造図であ
る。

【図４】典型的なサービスマッピングファイル記録の構
造図である。

【図５】典型的なネットワークデータベース記録の構造
図である。

【図６】図６（ａ）と６（ｂ）は、本発明の好適実施形
態によりユーザがネットワークにログオンするコンピュ
ータ処理プロセスを示すフローチャートである。

【符号の説明】

１０エンタープライズ１１ユーザワークステーション１２ローカルセキュリティサーバ１５通信リンク２０通信リンク２１ユーザワークステーション３１パーソンサーバ３２ＳＭＦサーバ４０クライアント４１サービスマッピングファイル４２ローカル認証データベース４３ネットワークデータベース

───────────────────────────────────────────────────── フロントページの続きＦターム(参考） 5B085 AE01 AE23 BC01 BG07 5B089 GA11 GA21 GB01 GB02 KA01 KA04 KA17 KB04 KC58 KG05 5J104 AA07 EA02 EA03 KA01 KA02 MA03 NA05 PA07

Claims

【特許請求の範囲】

【請求項１】コンピュータエンタープライズと作用的に
関連付けられた、地理的に分散している複数のワークス
テーションのいずれか１つからの、コンピュータエンタ
ープライズの一連の認定ユーザの一員であるユーザによ
る、ユーザアクセスを自動認証する自動ユーザアクセス
認証装置であって、コンピュータエンタープライズにアクセスすることに関
する認証を希望する潜在ユーザと対話式に通信して、前
記関連ワークステーションにおいてアクセスしようとす
る潜在ユーザから識別データを受信するために、前記関
連ワークステーションのそれぞれと組合わさって作動す
るクライアントソフトウェアと、前記コンピュータエンタープライズに関連付けられた前
記ワークステーションに作用的に接続され、それぞれの
潜在ユーザから与えられる識別情報を受信および認証す
る複数のローカルセキュリティサーバであって、それぞ
れが、全部ではないが１つ以上の前記関連ワークステー
ションと関連付けられ、前記コンピュータエンタープライズの認定ユーザ全員
の、必ずしも全部ではないが何人かの正しい認証を可能
にするために必要な情報を有するローカル認証データベ
ースと、前記コンピュータエンタープライズの認定ユーザ全員の
正しい認証を可能にするために必要な情報を有するロー
カル認証データベースを有し、前記コンピュータエンタ
ープライズと関連付けられたローカルセキュリティサー
バを識別するのに必要な情報を有するネットワークデー
タベースディレクトリと、を含む複数のローカルセキュ
リティサーバと、関連ワークステーションのクライアントソフトウェアか
ら受信した識別データが、前記ローカルセキュリティサ
ーバと関連付けられた前記認証データベースに含まれる
データと一致している場合に、潜在ユーザのアクセスに
関する認証を可能にし、前記ネットワークデータベースと通信して、ユーザの正
しい認証を可能にするために必要な情報を有するローカ
ル認証データベースを備え、前記コンピュータエンター
プライズに関連付けられた第２のローカルセキュリティ
サーバを識別し、前記ローカル認証データベースにおい
てユーザを認証できないときに、それ以上のユーザ作業
を要求せずにユーザの認証を可能にするために、前記第
２のローカルセキュリティサーバに識別情報を供給させ
るための、パーソンサーバと、を有する装置。
【請求項２】前記ローカルセキュリティサーバのそれぞ
れが、最新のサービスマッピングファイルを保持し且つ
前記ローカルセキュリティサーバと関連付けられた前記
複数のユーザワークステーションに前記最新のサービス
マッピングファイルを提供するサービスマッピングファ
イルサーバを含んでいる、請求項１に記載の自動ユーザ
アクセス認証装置。
【請求項３】前記サービスマッピングファイルは、その
関連接続情報とファイルバージョン番号とを備えたロー
カルセキュリティサーバのリストを含んでいる、請求項
２に記載の自動ユーザアクセス認証装置。
【請求項４】前記クライアントソフトウェアは、前記ク
ライアントが前記複数のローカルセキュリティサーバの
１つにログオンしようとするたびに、前記ユーザワーク
ステーションに記憶されているサービスマッピングファ
イルのバージョン番号を、前記ローカルセキュリティサ
ーバに供給させる、請求項３に記載の自動ユーザアクセ
ス認証装置。
【請求項５】前記サービスマッピングファイルサーバ
は、前記クライアントソフトウェアからのバージョン番
号と、前記複数のローカルセキュリティサーバの１つに
記憶されている前記サービスマッピングファイルの前記
バージョン番号とを比較して、前記２つのバージョン番
号の差がデータベース値を超えている場合に、前記ユー
ザワークステーションに最新のサービスマッピングファ
イルを送信する、請求項４に記載の自動ユーザアクセス
認証装置。
【請求項６】前記複数のローカルセキュリティサーバの
１つは、前記第２のローカルセキュリティサーバの識別
を前記クライアントソフトウェアに送信することによっ
て、前記識別情報を前記第２のローカルセキュリティサ
ーバに供給させる、請求項１に記載の自動ユーザアクセ
ス認証装置。
【請求項７】前記クライアントソフトウェアは、前記認
証情報を前記第２のローカルセキュリティサーバに自動
的に送信して、それ以上のユーザ作業を要求せずに前記
第２のローカルセキュリティサーバにおけるユーザの認
証を可能にする、請求項６に記載の自動ユーザアクセス
認証装置。
【請求項８】前記クライアントソフトウェアは、前記ク
ライアントワークステーション上に記憶されているサー
ビスマッピングファイルにアクセスして、前記第２のロ
ーカルセキュリティサーバの論理位置を識別する、請求
項７に記載の自動ユーザアクセス認証装置。
【請求項９】前記複数のローカルセキュリティサーバの
１つは、前記第２のローカルセキュリティサーバに前記
第２のローカルセキュリティサーバの識別を直接に送信
することによって、前記認証情報を前記第２のローカル
セキュリティサーバに供給させる、請求項１に記載の自
動ユーザアクセス認証装置。
【請求項１０】前記識別情報は、ユーザ名と、ユーザパ
スワード、およびユーザ役割を含む、請求項１に記載の
自動ユーザアクセス認証装置。
【請求項１１】前記ローカル認証データベースは、前記
複数のローカルセキュリティサーバの１つにアクセスす
ることに許可されたユーザのリストを、その関連パスワ
ードおよびユーザ役割とともに含んでいる、請求項１に
記載の自動ユーザアクセス認証装置。
【請求項１２】前記クライアントソフトウェアは、それ
ぞれのユーザ役割に対して許可された少なくとも１つの
関連ネットワークサービスを含むユーザ役割のデータベ
ースを保持し且つ前記ユーザの役割に対応する前記少な
くとも１つのネットワークサービスに対するアクセス権
をログオンしたユーザに与える、請求項１１に記載の自
動ユーザアクセス認証装置。
【請求項１３】前記ローカル認証データベースは暗号化
される、請求項１に記載の自動ユーザアクセス認証装
置。
【請求項１４】前記パーソンサーバは、アクセスに関し
てユーザを認証する前に、前記ローカル認証データベー
スに含まれるユーザパスワードを解読する、請求項１３
に記載の自動ユーザアクセス認証装置。
【請求項１５】前記ネットワークデータベースは、関連
接続情報、認定ユーザ、および予備ローカルセキュリテ
ィサーバを含むローカルセキュリティサーバのリストを
有する、請求項１に記載の自動ユーザアクセス認証装
置。
【請求項１６】前記予備ローカルセキュリティサーバ
は、ローカルセキュリティサーバであり、そのローカル
認証データベースが、関連ローカルセキュリティサーバ
のローカル認証データベースに一致している請求項１５
に記載の自動ユーザアクセス認証装置。
【請求項１７】前記ネットワークデータベースリスト
は、それぞれの前記複数のローカルセキュリティサーバ
の動作状態を更に含む、請求項１５に記載の自動ユーザ
アクセス認証装置。
【請求項１８】前記パーソンサーバは、前記ローカルセ
キュリティサーバが作動しない場合に、前記ネットワー
クデータベースと通信して前記関連予備ローカルセキュ
リティサーバを識別する、請求項１７に記載の自動ユー
ザアクセス認証装置。
【請求項１９】前記複数のローカルセキュリティは、ユ
ーザが前記ローカルセキュリティサーバにアクセスしよ
うとして失敗するたびに監査登録項目を作成する、請求
項１に記載の自動ユーザアクセス認証装置。
【請求項２０】前記監査登録項目は、失敗したログオン
試行の日付と時間を含むワークステーションの識別から
構成される、請求項１９に記載の自動ユーザアクセス認
証装置。
【請求項２１】前記複数のローカルセキュリティサーバ
は、失敗したログオン試行回数がデータベース値を越え
た場合に、ユーザワークステーションを使用禁止にす
る、請求項１９に記載の自動ユーザアクセス認証装置。
【請求項２２】前記ローカル認証データベースおよびネ
ットワークデータベースはＸ．５００またはＸ．５００
互換データベースである、請求項１に記載の自動ユーザ
アクセス認証装置。
【請求項２３】コンピュータエンタープライズと作用的
に関連付けられた、地理的に分散している複数のワーク
ステーションのいずれか１つからの、コンピュータエン
タープライズの一連の認定ユーザの一員であるユーザに
よる、ユーザアクセスを自動認証する自動ユーザアクセ
ス認証装置であって、前記コンピュータエンタープライズに関連付けられた前
記ワークステーションに作用的に接続され、それぞれの
潜在ユーザから与えられる識別情報を受信および認証す
る複数のローカルセキュリティサーバであって、それぞ
れが、全部ではないが１つ以上の前記関連ワークステー
ションと関連付けられ、前記コンピュータエンタープライズの認定ユーザ全員の
正しい認証を可能にするために必要な情報を有する、前
記コンピュータエンタープライズと関連付けられたロー
カルセキュリティサーバを識別するのに必要な情報を有
するネットワークデータベースディレクトリと、潜在ユーザの識別データと、前記ローカルセキュリティ
サーバに関連付けられた前記認証データベースに含まれ
るデータとが一致するときに、潜在ユーザのアクセスに
関する認証を可能にし、且つ、前記ユーザを第１のロー
カルセキュリティサーバで認証できなかったときに、ネ
ットワークデータベースと通信し、前記ユーザの正しい
認証を可能にするために必要な情報を有しているであろ
う、コンピュータエンタープライズと関連付けられた第
２のローカルセキュリティサーバを識別し、第２のロー
カルセキュリティサーバの識別情報をユーザワークステ
ーションに返すパーソンサーバと、最新のサービスマッピングファイルを保持し、且つ、前
記ローカルセキュリティサーバと関連付けられた前記複
数のユーザワークステーションに前記最新のサービスマ
ッピングファイルを提供するサービスマッピングファイ
ルサーバと、前記関連ワークステーションのそれぞれの組合わさって
作動するクライアントソフトウェアであって、コンピュ
ータエンタープライズへのアクセスに関する認証を希望
する潜在ユーザと対話式に通信して、前記関連ワークス
テーションにおいてアクセスを求める前記潜在ユーザか
ら識別データを受信し、前記第１のローカルセキュリテ
ィサーバと対話式に通信して、前記最新のサービスマッ
ピングファイルを受信し、前記第１のローカルセキュリ
ティサーバに対するアクセスに関して前記潜在ユーザを
認証し、前記第１のローカルセキュリティサーバにおい
てユーザを認証できない場合に、前記第１のローカルセ
キュリティサーバから第２のローカルセキュリティサー
バのＩＤを受信し、前記認証情報を前記第２のローカル
セキュリティサーバに転送し、前記最新のサービスマッ
ピングファイルを利用して、それ以上のユーザ作業を要
求せずに前記第２のローカルセキュリティサーバへのア
クセスに関してユーザを認証するクライアントソフトウ
ェアと、を有する装置。
【請求項２４】前記サービスマッピングファイルは、ロ
ーカルセキュリティサーバおよびその関連論理位置のリ
ストを含むバージョン番号から構成されている、請求項
２３に記載の自動ユーザアクセス認証装置。
【請求項２５】前記クライアントソフトウェアは、前記
クライアントソフトウェアが前記第１のセキュリティサ
ーバにログオンしようとするたびに、前記ユーザワーク
ステーションに記憶されているサービスマッピングファ
イルのバージョン番号を、前記第１のローカルセキュリ
ティサーバに供給させる、請求項２４に記載の自動ユー
ザアクセス認証装置。
【請求項２６】前記サービスマッピングファイルサーバ
は、前記クライアントからのバージョン番号と、前記第
１のローカルセキュリティサーバの１つに記憶されてい
る前記サービスマッピングファイルの前記バージョン番
号とを比較して、前記２つのバージョン番号の差がデー
タベース値を超えている場合に、前記クライアントに最
新のサービスマッピングファイルを送信する、請求項２
５に記載の自動ユーザアクセス認証装置。
【請求項２７】前記複数のローカルセキュリティサーバ
は、それぞれ、前記コンピュータエンタープライズの認
定ユーザ全員の、必ずしも全部ではないが何人かの正し
い認証を可能にするために必要な情報を有するローカル
認証データベースを更に有する、請求項２３に記載の自
動ユーザアクセス認証装置。
【請求項２８】前記識別情報は、ユーザ名と、ユーザパ
スワード、およびユーザ役割を含む、請求項２３に記載
の自動ユーザアクセス認証装置。
【請求項２９】前記ローカル認証データベースは、前記
ローカルセキュリティサーバにアクセスすることに許可
されたユーザのリストを、その関連パスワードおよびユ
ーザ役割とともに含んでいる、請求項２７に記載の自動
ユーザアクセス認証装置。
【請求項３０】前記クライアントソフトウェアは、それ
ぞれのユーザ役割に対して許可された少なくとも１つの
関連ネットワークサービスを含むユーザ役割のデータベ
ースを保持し、且つ、前記ユーザ役割に対応する前記ネ
ットワークサービスに対するアクセス権をログオンした
ユーザに与える、請求項２９に記載の自動ユーザアクセ
ス認証装置。
【請求項３１】前記ローカル認証データベースは暗号化
される、請求項２７に記載の自動ユーザアクセス認証装
置。
【請求項３２】前記パーソンサーバは、アクセスに関し
てユーザを認証する前に、前記ローカル認証データベー
スに含まれるユーザパスワードを解読する、請求項３１
に記載の自動ユーザアクセス認証装置。
【請求項３３】前記ネットワークデータベースは、関連
接続情報、許可ユーザ、および予備ローカルセキュリテ
ィサーバを含む各ローカルセキュリティサーバのリスト
を有する、請求項２３に記載の自動ユーザアクセス認証
装置。
【請求項３４】前記予備ローカルセキュリティサーバ
は、ローカルセキュリティサーバであり、そのローカル
認証データベースが、その関連ローカルセキュリティサ
ーバのローカル認証データベースと一致している、請求
項３３に記載の自動ユーザアクセス認証装置。
【請求項３５】前記ネットワークデータベースリスト
は、それぞれのローカルセキュリティサーバの動作状態
を更に含む、請求項３３に記載の自動ユーザアクセス認
証装置。
【請求項３６】前記ローカルセキュリティサーバは、ネ
ットワークデータベースと通信して、前記複数のローカ
ルセキュリティサーバの１つが作動していないときに、
ネットワークデータベースと通信して関連予備ローカル
セキュリティサーバを識別する、請求項３５に記載の自
動ユーザアクセス認証装置。
【請求項３７】前記複数のローカルセキュリティは、ユ
ーザが前記パーソンサーバにアクセスしようとして失敗
するたびに監査登録項目を作成する、請求項２３に記載
の自動ユーザアクセス認証装置。
【請求項３８】前記監査登録項目は、失敗したログオン
試行の日付と時間を含むワークステーションの識別から
構成される、請求項３７に記載の自動ユーザアクセス認
証装置。
【請求項３９】前記複数のローカルセキュリティサーバ
は、失敗したログオン試行回数がデータベース値を越え
た場合に、ユーザワークステーションを使用禁止にす
る、請求項３７に記載の自動ユーザアクセス認証装置。
【請求項４０】前記ローカル認証データベースおよびネ
ットワークデータベースはＸ．５００またはＸ．５００
互換データベースである、請求項２３に記載の自動ユー
ザアクセス認証装置。
【請求項４１】コンピュータエンタープライズと作用的
に関連付けられた、地理的に分散している複数のワーク
ステーションのいずれか１つからの、コンピュータエン
タープライズの一連の認定ユーザの一員である任意のユ
ーザのユーザアクセスを自動認証する自動ユーザアクセ
ス方法であって、前記コンピュータエンタープライズ
は、ユーザワークステーション上の作動するクライアン
トソフトウェアにそれぞれ接続されている複数のローカ
ルセキュリティサーバを含み、前記ローカルセキュリテ
ィサーバのそれぞれは、前記コンピュータエンタープラ
イズに関連付けられているワークステーションの全部で
はないが１つ以上と関連付けられ、それぞれのローカル
セキュリティサーバは、パーソンサーバと、ローカル認
証データベースと、サービスマッピングファイルサーバ
と、ネットワークデータベースとを含んでいる自動ユー
ザアクセス方法において、前記クライアントで識別データを受信し、前記クライア
ントソフトウェアの認証データを第１のローカルセキュ
リティサーバに送るステップと、前記第１のローカルセキュリティサーバにおいて、前記
クライアントソフトウェアから受信した識別データが、
前記第１のローカルセキュリティサーバと関連付けられ
た認証データベースに含まれるデータと一致するとき
に、潜在ユーザのアクセスに関する認証を可能にするス
テップと、前記ネットワークデータベースと通信して、ユーザの正
しい認証を可能にするために必要な情報を有するローカ
ル認証データベースを備え、前記コンピュータエンター
プライズに関連付けられた第２のローカルセキュリティ
サーバを識別し、前記第１のローカルセキュリティサー
バに関連付けられた前記ローカル認証データベースにお
いてユーザを認証できないときに、それ以上のユーザ作
業を要求せずにユーザの認証を可能にするために、前記
第２のローカルセキュリティサーバに識別情報を供給さ
せるステップと、を含む方法。
【請求項４２】前記サービスマッピングファイルサーバ
は、最新のサービスマッピングファイルを保持するステップ
と、前記ローカルセキュリティサーバと関連付けられた前記
複数のユーザワークステーションに前記最新のサービス
マッピングファイルを提供するステップと、から構成さ
れるコンピュータ実施ステップを実行する、請求項４１
に記載の方法。
【請求項４３】前記サービスマッピングファイルは、ロ
ーカルセキュリティサーバおよびその関連論理位置のリ
ストを含むバージョン番号から構成されている、請求項
４２に記載の方法。
【請求項４４】前記クライアントソフトウェアは、前記
クライアントが前記第１のローカルセキュリティサーバ
にログオンしようとするたびに、前記ユーザワークステ
ーションに記憶されたサービスマッピングファイルのバ
ージョン番号を前記第１のローカルセキュリティサーバ
に供給させるステップを実施する、請求項４３に記載の
方法。
【請求項４５】前記サービスマッピングファイルサーバ
は、前記クライアントからのバージョン番号と、前記第
１のローカルセキュリティサーバに記憶されている前記
サービスマッピングファイルの前記バージョン番号とを
比較して、前記２つのバージョン番号の差がデータベー
ス値を超えている場合に、前記クライアントに最新のサ
ービスマッピングファイルを送信するコンピュータ実施
ステップを実施する、請求項４４に記載の方法。
【請求項４６】前記第２のローカルセキュリティサーバ
に前記識別情報を提供させるステップは、前記第１のロ
ーカルセキュリティサーバから前記クライアントワーク
ステーションに前記第２のローカルセキュリティサーバ
の識別を送信するコンピュータ実施ステップを含む、請
求項４２に記載の方法。
【請求項４７】前記クライアントソフトウェアは、前記第１のローカルセキュリティサーバからローカルセ
キュリティＩＤを受信するステップと、前記認証情報を前記第２のローカルセキュリティサーバ
に転送し、それ以上のユーザ作業を要求せずに前記第２
のローカルセキュリティサーバへのアクセスに関して潜
在ユーザを認証するステップと、から構成されるコンピ
ュータ実施ステップを実行する、請求項４６に記載の方
法。
【請求項４８】前記第２のローカルセキュリティサーバ
に認証情報を転送するステップは、前記サービスマッピ
ングファイルにアクセスして前記第２のローカルセキュ
リティサーバの論理位置を識別するステップを含む、請
求項４７に記載の方法。
【請求項４９】前記第２のローカルセキュリティサーバ
に前記識別情報を提供させるステップは、前記第１のロ
ーカルセキュリティサーバから前記第２のローカルセキ
ュリティサーバに直接に前記識別情報を送信するコンピ
ュータ実施ステップを含む、請求項４１に記載の方法。
【請求項５０】前記識別情報は、ユーザ名と、ユーザパ
スワード、およびユーザ役割を含む、請求項４１に記載
の方法。
【請求項５１】前記ローカル認証データベースは、前記
複数のローカルセキュリティサーバの１つにアクセスす
ることを許可されたユーザのリストを、その関連パスワ
ードおよびユーザ役割とともに含む、請求項４２に記載
の方法。
【請求項５２】前記クライアントソフトウェアは、それぞれのユーザ役割に対して許可された少なくとも１
つのネットワークサービスを含むユーザ役割のリストを
保持するステップと、前記ユーザ役割に対応する前記ネットワークサービスに
対するアクセス権をログオンしたユーザに与えるステッ
プと、から構成されるコンピュータ生成ステップを実行
する、請求項５１に記載の方法。
【請求項５３】前記ローカル認証データベースは暗号化
される、請求項４１に記載の方法。
【請求項５４】前記パーソンサーバは、アクセスに関し
てユーザを認証する前に、前記ローカル認証データベー
スに含まれるユーザパスワードを解読する、請求項５３
に記載の方法。
【請求項５５】前記ネットワークデータベースは、関連
接続情報、認定ユーザ、および予備ローカルセキュリテ
ィサーバを含むローカルセキュリティサーバのリストを
有する、請求項４１に記載の方法。
【請求項５６】前記予備ローカルセキュリティサーバ
は、ローカルセキュリティサーバであり、そのローカル
認証データベースが、その関連ローカルセキュリティサ
ーバのローカル認証データベースに一致している、請求
項５５に記載の方法。
【請求項５７】前記ネットワークデータベースリスト
は、それぞれのローカルセキュリティサーバの動作状態
を更に含む、請求項５５に記載の方法。
【請求項５８】前記ネットワークデータベースと通信し
て前記コンピュータエンタープライズに関連付けられる
第２のローカルセキュリティサーバを識別するステップ
は、前記ローカルセキュリティサーバが作動してない場
合に関連予備ローカルセキュリティサーバを識別するコ
ンピュータ実施ステップを更に含む、請求項５７に記載
の方法。
【請求項５９】前記パーソンサーバは、前記パーソンサ
ーバにアクセスしようとして失敗するたびに監査登録項
目を作成するステップを実施する、請求項４１に記載の
方法。
【請求項６０】前記監査登録項目は、失敗したログオン
試行の日付と時間を含むワークステーションの識別から
構成される、請求項４１に記載の方法。
【請求項６１】ログオンしようとして失敗した回数がデ
ータベース値を越えた場合にユーザワークステーション
を使用禁止にする、請求項に６０に記載の方法。
【請求項６２】前記ローカル認証データベースおよびネ
ットワークデータベースはＸ．５００またはＸ．５００
互換データベースである、請求項４１に記載の方法。