JP2003108518A - ユーザアクセス管理方法および装置 - Google Patents

Abstract

(57)【要約】 【課題】 契約ユーザの同時アクセス数を管理する装置
および方法を提供する。 【解決手段】 ログイン要求があった場合、ユーザが使
用するネットワークアドレスの検出を行う。契約確認部
３６で契約アドレスかどうか確認し、契約アドレスであ
れば上限値の検証部３８へ進み、契約アドレスでなけれ
ばＩＤ契約確認部４０で契約ＩＤの入力を促し、契約者
であるか否か確認する。確認された場合、検証部３８へ
進む。確認されなかった場合、ログイン不許可を通知す
る。検証部３８において、そのユーザのアクセスが契約
で謳われている同時アクセス上限値以内であればログイ
ンを許可する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ユーザアクセス管
理技術に関し、特に、ユーザがネットワーク上のサイト
へログインするとき、そのユーザを管理する方法および
装置に関する。

【０００２】

【従来の技術】ネットワーク、特にインターネットを利
用した電子取引は、近い将来国家経済の大きな割合を占
める勢いである。いわゆるＩＴ関連企業は当然として
も、従来ＩＴとは無縁だった企業も、ウェブサイトを構
築して情報を発信する姿勢が生き残りのための必要条件
に思える状況である。

【０００３】例えば、自社の有する価値の高いデータベ
ースを会員であるユーザにオンラインで利用させるサイ
トがある。インターネット上のこうしたサービスを受け
る場合、「１契約ＩＤ＝１ユーザ」が従来から一般的な
原則といってよい。この原則のもと、いずれのユーザが
アクセスしてきたかを確認するために、アクセスしてき
た者のネットワークアドレスを検出することが可能であ
る。

【０００４】インターネットに対する常時接続サービス
を受けている法人等の組織には、固定的にＩＰアドレス
が割り振られている。したがって、前述のような有料サ
イトは、ＩＰアドレスをもとに、その組織が契約者であ
るか否かの判断をすることができる。

【０００５】

【発明が解決しようとする課題】インターネットの公開
性の高さは利便性の高さの主因であるが、その一方で情
報セキュリティの問題が生じる。代表的な自衛策とし
て、組織内の全端末を直接外部ネットワークへ接続せ
ず、組織としては代表端末のグローバルネットワークア
ドレスを利用し、外部と組織内部の境目にファイアーウ
ォールを設定する技術がよく利用されている。

【０００６】以上の今日的な状況において、本発明者は
以下の課題を認識するに至った。すなわち、固定ネット
ワークアドレスを使用する組織が外部ネットワーク上の
サイトのサービスを受ける場合、前述のファイアーウォ
ールが存在するため、サイトからはひとつのネットワー
クアドレスしか見えず、結果的に多数のメンバーを有す
る組織がひとりのユーザに見えてしまう。このことか
ら、「１契約ＩＤ＝１ユーザ」または「１契約ＩＰアド
レス＝１ユーザ」の契約のもとで、現実には複数のユー
ザからの同時アクセスが可能になる。この結果、契約が
立脚する原則論と現実の運用との間に乖離がみられ、あ
くまでも原則論に基づいてサーバの能力やリソースの割
振、およびそれに基づく料金体系を定めているサイト側
の運用指針が成り立たない事態が生じる。

【０００７】本発明はこうした認識をもとになされたも
ので、その目的は、前述の原則論と現実の乖離を埋める
ことの可能なユーザアクセス管理技術の提供にある。

【０００８】

【課題を解決するための手段】本発明のある態様は、ユ
ーザアクセス管理装置に関する。この装置は、ユーザか
ら所定のサイトへのログイン要求があったとき、これを
受け付ける要求受付部と、そのユーザのネットワークア
ドレスを検出するアドレス検出部と、検出されたネット
ワークアドレスをもとに、そのユーザが前記サイトへの
ログインに関して契約を結んだ契約者のメンバーである
か否か確認する契約確認部と、そのユーザが前記契約者
のメンバーである旨が確認されたとき、仮にそのユーザ
のログインを認めた場合、前記契約に含まれる同時ログ
イン数の上限に関する条件が満たされるか否かを検証す
る検証部とを含む。この構成にて、前記条件が満たされ
れば前記ユーザのログインが認められる。

【０００９】ここで「サイト」とは、アクセスの対象と
なり、何らかのサービスを提供できるネットワークのノ
ードの総称である。「ログイン」とは、明示的にＩＤや
パスワードを入力する場合と、暗黙的に検査を受けてサ
イトへアクセスする場合も含む。

【００１０】「契約者」は例えば会社などの組織であ
り、一般に複数のメンバーを有している。そこで、場合
によって現実味の乏しい「１契約ＩＤ＝１ユーザ」の原
則論を廃止し、単一の契約者でありながら複数のメンバ
ーによるサイトへのログインを契約上認めてしまう点に
発想の逆転がある。すなわち、契約者ごとに同時ログイ
ン可能なユーザ（以下「メンバー」ともいう）の数の上
限を定めておく。この上限が大きいほど課金額を高く設
定するような運用がある。

【００１１】この態様では、まず契約確認部が、いまロ
グインを要求してきたユーザが契約者のメンバーである
か否かを判定する。メンバーである場合、検証部がその
契約者に認められた同時ログイン数の上限と現在のログ
イン数を比較し、そのユーザのログインを認めるかどう
か検証する。なお、以下契約者のネットワークアドレス
を単に「契約アドレス」ともいう。

【００１２】本発明のある態様は、契約者のネットワー
クアドレスごとに現実に同時にログインしているユーザ
の数を記録するアクセス記録テーブルをさらに含む。こ
のとき、検証部は、ユーザのログイン要求に対し、この
アクセス記録テーブルを参照して検証を行ってもよい。

【００１３】単一の契約者が複数のネットワークアドレ
スを有する場合、前記条件はそれら複数のネットワーク
アドレスから同時にログインしているユーザの総数の上
限について定められてもよい。その場合、検証部は、ユ
ーザのログイン要求に対し、その総数に関する上限につ
いて検証を行えばよい。

【００１４】契約確認部は、ユーザが契約者のメンバー
である旨がネットワークアドレスをもとには確認できな
かったとき、そのユーザに対して認証のためのデータの
入力を促し、入力されたデータによってそのユーザが契
約者のメンバーであるか否かを確認してもよい。例えば
ユーザが契約者のメンバーでありながら、外出先や帰宅
後家庭からアクセスするため、固定ネットワークアドレ
スを使用できない場合がある。そのため、例えばＰＰＰ
（Point to Point Protocol）接続によるアクセスを想
定し、認証のためのデータ、例えばＩＤ及びパスワード
（以降両者の組合せを「契約ＩＤ」とも呼ぶ）を使用し
たアクセスを想定するものである。

【００１５】したがって、前記条件は、契約者の有する
固定的なネットワークアドレスから同時にログインして
いるユーザの数の上限のみならず、契約者に割り当てら
れた契約ＩＤ等の認証のためのデータを使用して同時に
ログインしているユーザの数の上限についても定められ
てよく、その場合、検証部は、認証のためのデータを用
いたユーザのログイン要求に対し、そのデータに関する
同時ログイン数の上限についても検証を行えばよい。

【００１６】前記条件はまた、契約者のメンバー全体に
認めるべき同時ログインの総数の上限について定められ
ていてもよく、その場合、検証部は、ユーザのログイン
要求に対し、そのユーザが固定的なネットワークアドレ
スからアクセスしているか否かを問わず、現実に同時に
ログインしているユーザの総数をもとに検証を行っても
よい。

【００１７】本発明の別の態様は、ユーザアクセス管理
方法に関する。この方法は、ユーザから所定のサイトへ
のログイン要求があったとき、これを受け付ける工程
と、そのユーザのネットワークアドレスを検出する工程
と、検出されたネットワークアドレスをもとに、そのユ
ーザが前記サイトへのログインに関して契約を結んだ契
約者のメンバーであるか否か確認する工程と、そのユー
ザが前記契約者のメンバーである旨が確認されたとき、
仮にそのユーザのログインを認めた場合、前記契約に含
まれる同時ログイン数の上限に関する条件が満たされる
か否かを検証する工程と、前記条件が満たされれば前記
ユーザのログインを認める工程とを含む。

【００１８】前記同時ログイン数の上限は、その契約者
のメンバーについて局所的に生ずる同時ログイン数のみ
ならず、その契約者のメンバー全体について生ずる同時
ログイン数についても定められてよく、前記検証する工
程はそれらふたつの上限について検証を行ってもよい。
「局所的に生ずる」とは、あるネットワークアドレスに
ついてのみ生ずる場合、地域に依存する形で、例えばあ
る営業所についてのみ生ずる場合などがある。すなわ
ち、局所的に見ても上限を定めつつ、全体にも上限を設
ける運用である。

【００１９】なお、以上の構成要素の任意の組合せや組
み替え、本発明を方法、装置、サーバ、コンピュータプ
ログラム、記録媒体などと表現したものもまた、本発明
の態様として有効である。

【００２０】

【発明の実施の形態】図１は実施の形態に係るユーザア
クセス管理サーバ１６を含むネットワークシステム１０
である。ネットワークシステム１０において、契約者１
２、サイト１４およびユーザアクセス管理サーバ１６は
インターネット１８に接続されている。契約者１２の会
社２７内において、ユーザ端末２０は外部接続されてい
る代表端末２２のネットワークアドレスを利用し、さら
に、各代表端末２２はルータ２４を介しインターネット
１８に接続されている。

【００２１】サイト１４はユーザ端末２０に対し所定の
サービス、ここでは例えばデータベースから必要な情報
をサーチして提供するサービスを行う。ユーザアクセス
管理サーバ１６は、サイト１４に対する契約者１２に属
するユーザ端末２０からの同時アクセス数を管理し、設
定上限数をこえるアクセスを拒否する。契約者１２のユ
ーザアクセスは、例えば自宅からのアクセスのように固
定ネットワークアドレスを使用できないため、ユーザの
自宅２５に置かれたユーザ端末２６のようにＰＰＰ接続
によるアクセスを考慮し、ＩＤおよびパスワードによる
アクセスでもよい。実施の形態のひとつの特徴は、ユー
ザ端末２０がサイト１４にログインする際、ユーザには
直接サイト１４にログインするように見えながら、現実
にはユーザアクセス管理サーバ１６にログインすること
にある。以下の説明において、「ユーザ」と「ユーザ端
末」は特に区別しない。また、「ユーザアクセス管理サ
ーバ」とその運用者、および「サイト」とその運用者も
特に区別しない。

【００２２】図２はユーザアクセス管理サーバ１６の内
部構成を示す。通信部３０は、インターネット１８を介
してサイト１４およびユーザ端末２０と通信する。ログ
イン要求受付部３２は、ユーザがサイト１４のサービス
を受ける際にログインを要求したとき、これを受け付け
る。受け付けられたログイン要求はアドレス検出部３４
へ通知され、ユーザが使用しているネットワークアドレ
スを検出する。このネットワークアドレスをもとに契約
確認部３６は契約者テーブル４２に記述されている契約
アドレスか否かを確認する。契約の存在が確認された場
合、処理は検証部３８へ進む。

【００２３】一方、ＩＤ契約確認部４０は、ネットワー
クアドレスをもとに契約の確認が取れなかった場合、ユ
ーザに契約ＩＤの入力を促し、その入力内容と契約者テ
ーブル４２を比較参照する。ここで契約が確認された場
合、処理は検証部３８へ進む。契約確認部３６、検証部
３８およびＩＤ契約確認部４０が認証部４１を構成す
る。

【００２４】検証部３８は契約者テーブル４２に記述さ
れている契約者の同時アクセス数の上限値とアクセス記
録テーブル４４に記録されている現アクセス数とを比較
し、そのアクセスが上限値以内であればログインを認め
る。ユーザがログインを認められたとき、その旨がアク
セス記録テーブル４４に通知され、内容が更新される。

【００２５】図３は契約者テーブル４２を示す。契約者
名（または契約者に対し一意的に与えられた識別記号で
あり、以降「契約者名」を「識別記号」という場合もあ
る）、契約アドレス、契約ＩＤ、契約アドレスまたは契
約ＩＤごとの同時アクセス上限値（以降「上限値Ｘ」と
呼ぶ）、同一契約者の全同時アクセス上限値（以降「上
限値Ｙ」と呼ぶ）が記載されている。例えば、ある契約
者Ａ００１は契約アドレス「１２３．４５６．７８９．
０１２」「１２３．４５６．７８９．０１３」「１２
３．４５６．７８９．０１４」およびＩＤ「ＡＢＣＤ」
とそのパスワード「ｄｅｆ００」を所有し、各々上限値
Ｘは５、１０、７および３である。さらに、契約者Ａ０
０１全体の上限値Ｙは１５であり、この値は上限値Ｘの
総和を超えないように設定されている。

【００２６】図４はある契約者Ａ００１のアクセス記録
テーブル４４の内容を示す。同図のごとく、「１２３．
４５６．７８９．０１２」からの同時アクセス数は現在
「５」であり、上限値Ｘが５であるので、当該ネットワ
ークアドレスからのこれ以上の同時アクセスは不可能と
なる。一方、「１２３．４５６．７８９．０１３」から
の同時アクセス数は６であり、上限値Ｘが１０であるの
で、上限値Ｘに関して見ればさらに当該契約アドレスか
ら４ユーザの同時アクセスが可能である。しかし、契約
者全体での同時アクセス数が現在１３であり、契約者全
体の上限値Ｙが１５であるため、当該契約者からの以降
の同時アクセス可能ユーザ数は２に限られる。

【００２７】アクセス記録テーブル４４は、所定の時間
間隔およびユーザによるログイン・ログオフが行われた
ときに更新される。前者による更新が必要な理由は、自
らログオフしないユーザを適宜アクセステーブル４４に
反映すべきだからである。ただし、ログオフを明示的に
行う構成を設ければ、時間間隔による更新は不要とな
り、ユーザのログインおよびログオフのタイミングのみ
で更新すればよい。

【００２８】以上の構成による処理の手順を図５のフロ
ーチャートにまとめる。以下、一連の処理は、ユーザに
とってサイト１４で行われているように見えるが、現実
にはユーザアクセス管理サーバ１６によって管理されて
いる。

【００２９】要求受付部３２でユーザのログインを受け
付け（Ｓ１０）、アドレス検出部３４によって、ユーザ
が使用しているネットワークアドレスを検出する（Ｓ１
２）。このネットワークアドレスをもとに契約確認部３
６は契約アドレスか否かを確認する（Ｓ１４）。契約の
存在が確認された場合（Ｓ１４のＹ）、処理は検証部３
８へ進む。

【００３０】一方、ネットワークアドレスをもとに契約
の確認が取れなかった場合（Ｓ１４のＮ）、ＩＤ契約確
認部４０は、ユーザに契約ＩＤの入力を要求し（Ｓ２
６）、契約の確認を行う（Ｓ２８）。契約の存在が確認
された場合（Ｓ２８のＹ）処理は検証部３８へ進む。契
約の確認が取れなかった場合（Ｓ２８のＮ）、ユーザに
ログインを認めない（Ｓ３０）。検証部３８は契約者の
同時アクセス数の上限値と現アクセス数とを比較し（Ｓ
１６）、そのアクセスが上限値以内であれば（Ｓ１６の
Ｙ）ログインを認める（Ｓ１８）。ユーザがログインを
認められたとき、その旨がアクセス記録テーブル４４に
通知され、内容が更新される（Ｓ２０）。

【００３１】ユーザのログインおよびアクセス制御の動
作を図６〜図１０に基づき説明する。図６は、ユーザが
サイト１４のサービスを受ける際に最初に表示されるサ
ービス開始画面７０を示す。この画面７０は「医療論文
検索サイトへようこそ」のタイトルのもと、このサイト
が主に医療従事者のために多くの医療論文を提供するも
のであることが示される。画面中の「次へ進む」ボタン
７２を押下すことで契約確認処理へ移る。

【００３２】図７は契約確認処理でログインが認められ
たとき表示される画面７４を示す。この画面７４はアク
セスしたユーザが所属する契約者および現在アクセスし
ているユーザ数について情報を表示する主画面７６と
「ログイン」ボタン７８を含む。

【００３３】主画面７６において、ユーザはネットワー
クアドレス「１２３．４５６．７８９．０１３」を使用
しアクセスしており、当該ネットワークアドレスからの
ログイン上限数Ｘが１０で６ユーザが既にログインをし
ている。さらに契約者全体で上限数Ｙが１５のところ１
３ユーザがログインしている。上限値Ｘを満たしたうえ
で上限値Ｙをも満たしているので、新しくアクセスして
きたユーザはログインが認められる。ただし、この表示
処理およびログインボタン押下処理は省略してもよい。

【００３４】図８は契約確認部３６でネットワークアド
レスをもとに契約確認が行うことができなかった場合、
ＩＤおよびパスワードによるログインを促すために表示
される画面８０を示す。ＩＤおよびパスワードを入力し
「送信ボタン」８４を押下することで入力内容が送信さ
れる。

【００３５】図９は契約ＩＤによるログインが認められ
た際に表示される画面８６を示す。当該契約ＩＤからの
現アクセス数が１で上限数が３、かつ契約者全体での現
アクセス数が１３で上限数が１５であるのでログインが
認められる。「ログインボタン」９０を押下することで
ログインが行われる。

【００３６】図１０は同時アクセス数の上限値に達する
アクセスが行われている際にログインの要求があった場
合に表示される画面９２を示す。検証部３８によってこ
のユーザのアクセスが拒否され、しばらく時間をおいて
再ログインするようユーザに指示が出されている。

【００３７】以上、本発明を実施の形態をもとに説明し
た。この発明の形態は例示にすぎず、様々な変形例が存
在することは当業者には理解されるところである。そう
した変形例を挙げる。

【００３８】本実施の形態では、契約者テーブル４２と
アクセス記録テーブル４４が独立しているが、統一した
形態のテーブルを設定してもよい。

【００３９】本実施の形態では、サイト１４のサービス
として論文のサーチを考えた。当然ながらこのサービス
は任意のものであってよく、例えば、株価、商品情報、
その他経済情報をリアルタイムで提供するサービスでも
よい。

【００４０】

【発明の効果】本発明によれば、現実の運用に即したユ
ーザアクセス管理技術が実現する。

【図面の簡単な説明】

【図１】 ユーザアクセス管理装置を含むネットワーク
サーバの構成図である。

【図２】 ユーザアクセス管理装置の構成図である。

【図３】 契約者テーブルの構成図である。

【図４】 アクセス記録テーブルの構成図である。

【図５】 アクセス管理手順を示すフローチャートであ
る。

【図６】 ユーザがサイトのサービスを受ける際、最初
に表示され契約確認を行うか否か確認をする画面を示す
図である。

【図７】 ユーザの契約がネットワークアドレスをもと
に確認されログインが認められた際に表示される画面を
示した図である。

【図８】 ユーザにＩＤおよびパスワードを入力し契約
確認を促すための画面を示す図である。

【図９】 ユーザが契約ＩＤをもとに確認されログイン
が認められた際に表示される画面を示した図である。

【図１０】 ユーザの契約確認はされたが、契約の同時
アクセスに関する上限値に達しているため、ユーザに対
しアクセスを拒否する画面を示した図である。

【符号の説明】

１２ 契約者、 １４ サイト、 １６ ユーザアクセ
ス管理サーバ、 ３２要求受付部、 ３４ アドレス検
出部、 ３６ 契約確認部、 ３８ 検証部、 ４２
契約者テーブル、 ４４ アクセス記録テーブル。

Claims (8)

【特許請求の範囲】
1. 【請求項１】 ユーザから所定のサイトへのログイン要
   求があったとき、これを受け付ける要求受付部と、 そのユーザのネットワークアドレスを検出するアドレス
   検出部と、 検出されたネットワークアドレスをもとに、そのユーザ
   が前記サイトへのログインに関して契約を結んだ契約者
   のメンバーであるか否か確認する契約確認部と、 そのユーザが前記契約者のメンバーである旨が確認され
   たとき、仮にそのユーザのログインを認めた場合、前記
   契約に含まれる同時ログイン数の上限に関する条件が満
   たされるか否かを検証する検証部とを含み、 前記条件が満たされれば前記ユーザのログインが認めら
   れることを特徴とするユーザアクセス管理装置。
2. 【請求項２】 契約者のネットワークアドレスごとに現
   実に同時にログインしているユーザの数を記録するアク
   セス記録テーブルをさらに含み、 前記検証部は、ユーザのログイン要求に対し、このアク
   セス記録テーブルを参照して前記検証を行うことを特徴
   とする請求項１に記載のユーザアクセス管理装置。
3. 【請求項３】 単一の契約者が複数のネットワークアド
   レスを有する場合、前記条件はそれら複数のネットワー
   クアドレスから同時にログインしているユーザの総数の
   上限について定められ、 前記検証部は、ユーザのログイン要求に対し、その総数
   に関する上限について検証を行うことを特徴とする請求
   項１、２のいずれかに記載のユーザアクセス管理装置。
4. 【請求項４】 前記契約確認部は、ユーザが前記契約者
   のメンバーである旨がネットワークアドレスをもとには
   確認できなかったとき、そのユーザに対して認証のため
   のデータの入力を促し、入力されたデータによってその
   ユーザが前記契約者のメンバーであるか否かを確認する
   ことを特徴とする請求項１から３のいずれかに記載のユ
   ーザアクセス管理装置。
5. 【請求項５】 前記条件は、契約者の有する固定的なネ
   ットワークアドレスから同時にログインしているユーザ
   の数の上限のみならず、契約者に割り当てられた認証の
   ためのデータを使用して同時にログインしているユーザ
   の数の上限についても定められ、 前記検証部は、認証のためのデータを用いたユーザのロ
   グイン要求に対し、そのデータに関する同時ログイン数
   の上限についても検証を行うことを特徴とする請求項１
   から３のいずれかに記載のユーザアクセス管理装置。
6. 【請求項６】 前記条件は、契約者のメンバー全体に認
   めるべき同時ログインの総数の上限について定められて
   おり、 前記検証部は、ユーザのログイン要求に対し、そのユー
   ザが固定的なネットワークアドレスからアクセスしてい
   るか否かを問わず、現実に同時にログインしているユー
   ザの総数をもとに前記検証を行うことを特徴とする請求
   項１から５のいずれかに記載のユーザアクセス管理装
   置。
7. 【請求項７】 ユーザから所定のサイトへのログイン要
   求があったとき、これを受け付ける工程と、 そのユーザのネットワークアドレスを検出する工程と、 検出されたネットワークアドレスをもとに、そのユーザ
   が前記サイトへのログインに関して契約を結んだ契約者
   のメンバーであるか否か確認する工程と、 そのユーザが前記契約者のメンバーである旨が確認され
   たとき、仮にそのユーザのログインを認めた場合、前記
   契約に含まれる同時ログイン数の上限に関する条件が満
   たされるか否かを検証する工程と、 前記条件が満たされれば前記ユーザのログインを認める
   工程と、 を含むことを特徴とするユーザアクセス管理方法。
8. 【請求項８】 前記同時ログイン数の上限は、その契約
   者のメンバーについて局所的に生ずる同時ログイン数の
   みならず、その契約者のメンバー全体について生ずる同
   時ログイン数についても定められ、前記検証する工程は
   それらふたつの上限について検証を行うことを特徴とす
   る請求項７に記載のユーザアクセス管理方法。