JP2003242119A - ユーザ認証サーバおよびその制御プログラム - Google Patents

Abstract

(57)【要約】 【課題】 この発明は、複数のサービスサーバで独自に
行っていたユーザ認証およびアクセス制御を、統合した
一台の認証サーバで実行し、サービスサーバの管理負担
とユーザの操作負担を軽くすることが目的である。 【解決手段】 ユーザ端末と複数のサーバから構成され
たネットワークシステムにおいて、ユーザがコンテンツ
６にアクセスする場合、アクセス要求は一旦認証サーバ
２へ送信され、アクセス認証済みであるか、アクセス権
限のあるユーザからの要求であるか、アクセス制御部４
で解析される。ユーザ認証が必要であればユーザ認証手
続がアクセス制御部４で実行される。これらの処理によ
りアクセスが許可されると、アクセス制御部４はアクセ
ス要求に認証済みを示す情報およびユーザ情報を付加
し、サービスサーバ３へ要求を送信し、サービスサーバ
３からの応答をユーザ端末１に返信する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、ネットワーク上
に構成されたユーザ端末と複数のサーバとで構成される
ネットワークシステムにおいて、ユーザ認証およびその
認証によりあたえられたアクセス権限によるアクセス制
御に関し、複数のサーバ上のコンテンツへのアクセス制
御を一括して管理する認証方式を実現することで、ユー
ザ操作負担およびサーバ管理負担の低減を実現する装置
および制御方式に関するものである。

【０００２】

【従来の技術】近年、分散システム技術およびワールド
ワイドウェブ（ＷＷＷ）技術の広がりにより、各企業内
でも複数のウェブサーバを設置し、それぞれ独自にウェ
ブサーバ内の情報を社内、社外へ公開するようになって
きている。

【０００３】このような状況で、各ウェブサーバ内のコ
ンテンツ（ウェブサーバがユーザに提供する情報やサー
ビス）にユーザ毎にアクセスの制限をかける必要が生じ
た場合、これまでは、ウェブサーバ毎にユーザ認証を実
施し、その認証情報をもとにアクセス制限を各ウェブサ
ーバが行っていた。

【０００４】図５は従来のウェブサーバが独自にアクセ
ス制限をかける場合の一般的な仕組みを説明する図であ
る。

【０００５】ユーザ端末５０から、ウェブサーバ５１内
のコンテンツ５３にアクセス要求を行ったとき、その要
求を受信したウェブサーバ５１は、アクセス制御部５２
において、その要求がコンテンツ５３へのアクセス権限
のあるものかどうかユーザ認証の処理を行う。

【０００６】この処理では、まずそのアクセス要求に認
証済みを示す情報（基本認証時はWWW-Authenticationヘ
ッダ。Cookie認証時はCookieヘッダ。いずれも、ウェブ
サーバでのユーザ認証として一般的な認証方式であ
る。）が付加されているかどうかをアクセス制御部５２
にて確認する。付加されている場合はユーザ認証手続を
行わず、その認証済みの情報からアクセス権限をアクセ
ス制御部５２で判断し、コンテンツ５３へのアクセス権
限がある場合、コンテンツ５３へのアクセスが実行さ
れ、アクセス権限がない場合はアクセス拒否を示すメッ
セージをユーザ端末５０に返信する。

【０００７】認証済みを示す情報が付加されていない場
合は、ユーザ認証手続として、ユーザIDおよび必要であ
ればパスワードの入力をユーザ端末５０から行わせ、こ
れをアクセス制御部５２にて正当なユーザであるか認証
情報データベース５４の情報をもとに判定し、ユーザ認
証を行う。これによりユーザ認証された場合、さらにア
クセス制御部５２で認証されたユーザ情報により認証情
報データベース５４を検索し、そのユーザ情報を持った
ユーザが、そのコンテンツにアクセス権限があるかを確
認する。

【０００８】これにより、アクセスが許可されると、ウ
ェブサーバ５１は要求されたコンテンツ５３の内容をユ
ーザ端末５０に返信する。一度このような認証が行わ
れ、アクセスが許可された場合、以降のユーザ端末５０
からのアクセスの度に同様な認証処理を行わないよう、
アクセス制御部５２ではユーザ端末５０への返信内容
に、認証済みであることを示す情報を付加する。

【０００９】このような従来の方式では、ウェブサーバ
が複数ある場合、ウェブサーバ毎に独自に認証情報を管
理し、ユーザ認証手段を含むアクセス制御部を持ち、各
ウェブサーバで以上のようなアクセス制御処理を行う必
要があった。この場合、各ウェブサーバで重複して同様
な機能およびデータを持つことになり、各ウェブサーバ
が物理的に離れた場所に設置されていたり管理者が違う
ような場合、複数のウェブサーバで統一したアクセス制
限のルールを適用することが困難であったり、アクセス
制限のルールを変更する場合の全体としての作業量が大
きくなり、柔軟なアクセス制御ルールの変更への対応が
困難であった。

【００１０】また、このような方式では、ユーザ端末を
使用するユーザにとってもアクセス先のウェブサーバが
変わる毎に認証を受ける必要があり、何度もユーザ認証
手続きとしてユーザID、パスワードの入力といったこと
が必要となり、大変煩わしいものとなっていた。

【００１１】

【発明が解決しようとする課題】前記のごとく、従来の
技術では次のような問題点がある。

【００１２】１）ウェブサーバが複数ある場合、ウェブ
サーバ毎に独自に認証情報を管理し、ユーザ認証手段を
含むアクセス制御部を持ち、アクセス制御処理を行う必
要があり、資源が無駄である。

【００１３】２）各ウェブサーバで重複して同様な機能
およびデータを持つことになり、各ウェブサーバが物理
的に離れた位置に設置されていたり管理者が違うような
場合、複数のウェブサーバで統一したアクセス制限のル
ールを適用することが困難であったり、アクセス制限の
ルールを変更する場合の全体としての作業量が大きくな
り、柔軟なアクセス制御ルールの変更への対応が困難で
ある。

【００１４】３）ユーザ端末を使用するユーザにとって
は、アクセス先のウェブサーバが変わる毎にそのサーバ
独自のユーザ認証を受ける必要があり、何度もユーザ認
証手続きとしてユーザID、パスワードの入力といったこ
とが必要であったり、各ウェブサーバでユーザ認証の手
順が違っていたり、その作業は大変煩わしいものとなっ
ている。

【００１５】この発明の課題は、複数のウェブサーバで
独自に行っていたユーザ認証処理およびアクセス制御
を、統合した一台の認証サーバで実行し、各ウェブサー
バ上のコンテンツへのアクセス制限の付加を容易に実現
することにある。さらに、ユーザ端末から複数のウェブ
サーバにアクセスするユーザにとっては、一回のユーザ
認証手続で、アクセス制限のある複数のウェブサーバ上
のコンテンツへのアクセスを実現することにある。

【００１６】

【課題を解決するための手段】前記の問題点を解決する
ために、この発明では次に示す手段を取った。

【００１７】図１は本発明の構成図である。ユーザが使
用するユーザ端末１とアクセス制御を行う認証サーバ２
と複数のサービスサーバ３から構成されたネットワーク
システムにおいて、ユーザがサービスサーバ３上のコン
テンツ６にアクセスする必要が生じた場合、ユーザ端末
１からアクセス要求を行う。

【００１８】このアクセス要求は認証サーバ２へ送信さ
れ、アクセス認証済みであるか、アクセス権限のあるユ
ーザからの要求であるか、アクセス制御部４は認証情報
データベース５に格納されている認証情報をもとに判定
処理する。ユーザ認証が必要であればユーザ認証手続が
アクセス制御部４で実行される。

【００１９】これらの処理によりアクセスが許可される
と、アクセス制御部４はアクセス要求に認証済みを示す
情報および要求元ユーザ情報を付加し、サービスサーバ
３へ要求を送信する。

【００２０】アクセス要求を受信したサービスサーバ３
は、付加された認証済み情報およびユーザ情報を参照
し、コンテンツ６へのアクセスを実行し、また、必要で
あればユーザ権限によりコンテンツの内容を変更するな
どした後、その内容を認証サーバ２へ返信する。認証サ
ーバ２はこれをユーザ端末１へ送信する。

【００２１】上記の手段をとることにより、複数のサー
ビスサーバで構成されたネットワークシステムにおい
て、単独の認証サーバのみですべてのサービスサーバ上
のコンテンツに対するアクセス制御を実現し、さらにこ
のネットワークシステムを使用するユーザにとっても、
１度のユーザ認証手続をするだけで、ネットワーク上に
分散して配置された複数のサービスサーバ上のアクセス
制限つきコンテンツへのアクセスを、以降認証手続なし
て行える。また、アクセス制御の機能を持っていなかっ
たサービスサーバ上のコンテンツに対しても、容易にア
クセス制限を設定することができるようになる。

【００２２】

【発明の実施の形態】この発明は、次に示す実施の形態
を取る。

【００２３】図２は本発明を適用し、ユーザ端末からの
複数のサービスサーバへのアクセスを単独の認証サーバ
で制御したときの代表的なシステム構成図である。

【００２４】この発明は、次に示すような形態をとる。
ネットワーク上に分散して配置された複数のサービスサ
ーバ３とユーザが使用するユーザ端末１から構成される
ネットワークシステムにおいて、各サービスサーバ上の
コンテンツへのアクセス制御を実行する認証サーバ２を
備える。この形態をとることで、ユーザからのアクセス
要求を一箇所で制御することができるという作用があ
る。

【００２５】また、ネットワーク上に分散して配置され
たサービスサーバ３上のコンテンツ６には、マップアド
レスを割り付ける。このマップアドレスは、認証サーバ
２上のアクセス制御部４がユーザ端末１からのアクセス
要求を制御するための管理上のアドレスであり、実際の
コンテンツ６のネットワークアドレスと１対１に対応
し、認証サーバ２上の仮想のコンテンツのネットワーク
アドレスとする。ユーザはユーザ端末１からサービスサ
ーバ３上のコンテンツ６にアクセスする場合、このマッ
プアドレスを指定する。認証サーバ２では、このマップ
アドレスとコンテンツのネットワークアドレスとの対応
およびそのコンテンツに設定されたアクセス制限の情報
を格納している、認証情報データベース５を持ってい
る。アクセス制御部４にはアクセス要求に指定されたこ
のマップアドレスを、認証情報データベース５を参照し
ネットワークアドレスに変換するとともに、そのアドレ
スが指すコンテンツのアクセス制限情報を取得するマッ
プ制御部９を持つ。

【００２６】この形態をとることで、アクセス要求は一
旦認証サーバ２に送信され、認証サーバ２のアクセス制
御部４では、このマップアドレスをもとに前記認証情報
データベース５を参照し、適切なアクセス制御を行える
という作用がある。さらに、前記認証情報データベース
５でネットワーク上の複数のサーバに分散したコンテン
ツのアクセス制御情報を一元管理することができ、ネッ
トワークシステム全体として統一されたアクセス制御を
行うことができ、また、アクセス制御ルールの変更があ
った場合もこの認証情報データベース５の情報を変更す
るだけでネットワークシステム全体のアクセス制限ルー
ルを変更することができ、アクセス制御ルールの変更に
も柔軟に対応できるという作用がある。

【００２７】また、前記アクセス制御部４には、アクセ
ス要求に所定の認証済みを示す情報が含まれるか調べる
認証済み情報解析部７を備える。この形態をとること
で、一度ユーザ認証を受けたユーザからのアクセス要求
は、以後認証手続をすることなく目的のサービスサーバ
へ送信することができるという作用がある。

【００２８】また、前記アクセス制御部４には、ユーザ
認証が行われていないユーザからのアクセス要求があっ
た場合のユーザ認証手続を行うユーザ認証手続部８を備
える。この形態をとることで、ネットワーク上に分散さ
れた複数のサービスサーバで、独自にユーザ認証手続を
行う手段を持つ必要がなくなるという作用がある。

【００２９】さらに、前記アクセス制御部４には、前記
ユーザ認証手続部８でユーザ認証がされた場合、そのア
クセス要求に所定の認証済みを示す情報およびそのアク
セス要求を行ったユーザのユーザ情報を付加する認証済
みユーザ情報設定部１０を備える。この形態をとること
で、ネットワークシステム上のサービスサーバ３はこの
付加された情報を参照することで、アクセスが認証済み
であることを知ることができるとともに、要求されたコ
ンテンツ６のアドレスが同じでも、ユーザ毎にコンテン
ツ内容をユーザに合わせて編集し、返送することが可能
となるという作用がある。

【００３０】図３は認証サーバ２上のアクセス制御部４
で行うアクセス制御処理フローである。このフローチャ
ートをもとに、アクセス制御部４での処理手順を説明す
る。

【００３１】ユーザがユーザ端末１から、サービスサー
バ３上のコンテンツ６にアクセス要求を行う場合、サー
ビスサーバ3上のコンテンツ６のネットワークアドレス
を“hostB.content”とすると、このアクセスを一旦認
証サーバを経由させるため、例えば認証サーバ上のこの
コンテンツ６へのマップアドレスを“hostA.mapA”とす
ると、アクセス要求の要求先アドレスとしてこのマップ
アドレス“hostA.mapA”を指定する。アクセス制御部４
はこのアクセス要求を受信する。（ステップＳ０１）。

【００３２】受信したアクセス要求を解析し、アクセス
要求に含まれるマップアドレスをマップ制御部９にて抽
出し、そのアドレスと認証情報データベース５に格納さ
れているマップ情報の照合を行う。（ステップＳ０
２）。マップ情報には、指定されたマップアドレスのコ
ンテンツにどのようなアクセス制限が設定されている
か、指定されたマップアドレスとコンテンツの本当のネ
ットワークアドレスとの対応といった情報を持ってい
る。

【００３３】要求マップアドレスがアクセス制限の設定
がされているか調べる。（ステップＳ０３）。アクセス
制限が設定されていなければ、マップ制御部９でマップ
アドレスをネットワークアドレスに変換しアクセス要求
を要求先サービスサーバ３へ送信するステップＳ１５以
降の処理を行う。

【００３４】アクセス制限が設定されていた場合、アク
セス要求を認証済み情報解析部７で解析する。（ステッ
プＳ０４）。

【００３５】認証済み情報解析部７ではアクセス要求に
所定の認証済みを示す情報およびアクセス元ユーザのユ
ーザ情報があるか調べる。（ステップＳ０５）。認証済
みを示す情報があれば、ユーザ情報からそのアクセス要
求がコンテンツ６へのアクセス権限があるか調べるステ
ップＳ１１以降を行う。

【００３６】認証済み情報がなければユーザ認証を行う
ため、ユーザ認証手続部８はユーザ端末１にユーザ認証
情報（ユーザＩＤおよび必要であればパスワード）の入
力画面を表示し、ユーザに認証情報を入力させる。（ス
テップＳ０６）。

【００３７】ユーザ認証手続部８はユーザからの認証情
報の受信処理を行い（ステップＳ０７）、認証情報が受
信されたか調べる。（ステップＳ０８）。受信していな
い場合は、ステップＳ０７を繰り返す。

【００３８】ユーザからの認証情報を受信した場合、ユ
ーザ認証手続部８は認証情報データベース５に格納され
ている登録ユーザ情報とユーザ端末１から受信したユー
ザ認証情報を照合し（ステップＳ０９）、登録ユーザか
どうか調べる。（ステップＳ１０）。照合の結果、アク
セス要求を行ったユーザが登録ユーザでなかった場合、
アクセスを拒否するメッセージをユーザ端末１に送信す
るステップＳ１３を行う。

【００３９】登録されたユーザであった場合、アクセス
要求に含まれたマップアドレスをネットワークアドレス
に変換するとともに、認証情報データベース５に格納さ
れた、ユーザのアクセス権限情報とマップアドレスに設
定されたアクセス制限情報を照合し（ステップＳ１
１）、そのユーザにアクセス権があるか調べる。（ステ
ップＳ１２）。

【００４０】アクセス権がなければ、アクセス制御部４
はアクセスを拒否するメッセージをユーザ端末１に送信
する。（ステップＳ１３）。

【００４１】アクセス権があれば、認証済みユーザ情報
設定部１０にてアクセス要求に所定の認証済み情報およ
び必要であれば要求元ユーザ情報をアクセス要求に付加
する。（ステップＳ１４）。

【００４２】マップ制御部９でアドレス変換したアクセ
ス要求を要求先サービスサーバ３に送信する。（ステッ
プＳ１５）。

【００４３】アクセス制御部４は要求先サービスサーバ
３から要求したコンテンツ６の情報を受信し（ステップ
Ｓ１６）、これを要求元ユーザ端末１へ返信する。（ス
テップＳ１７）。

【００４４】上記の形態をとることにより、統合された
単独の認証サーバでユーザ情報の管理および複数のサー
バに分散されたコンテンツへのユーザ毎のアクセス権限
制御を行い、複数のサーバから構成されたネットワーク
システム全体として統一されたアクセス権限による制御
およびその制御ルールの変更に対する柔軟な対応を実現
する。

【００４５】

【実施例】この発明による代表的な実施例を図４によっ
て説明する。部門毎にサーバを分散して持っている社内
ネットワークシステムにおいて、各部門のサーバへのユ
ーザ端末からのアクセスを統合した１台の認証サーバで
アクセス制御を行う場合の本発明の適用例を示す。本発
明は図中の統合認証サーバ７２のＨＴＴＰデーモンプロ
セス（以下ＨＴＴＰＤと表記。）および認証情報データ
ベースとして実現されている。

【００４６】ユーザ７０はユーザ属性情報７６を持って
いる。ユーザ７０がユーザ端末７１上のウェブブラウザ
７７を使用して営業部門サーバ７３のコンテンツＡ８４
にアクセス要求を行う場合、例えば要求先アドレスを
“http://hostA.co.jp/mapA”のようなURL（Uniform Re
source Locator）形式アドレスで指定して要求を行う。
このアドレスは、統合認証サーバ７２でアクセス制御を
行うための管理上のマップアドレスであり、コンテンツ
A８４の本当のネットワークアドレスは図の例では“htt
p://hostB.co.jp/コンテンツA”である。

【００４７】このアクセス要求は統合認証サーバ７２へ
送信され、これをウェブブラウザからのＨＴＴＰプロト
コル要求を処理する認証サーバ７２上のＨＴＴＰＤ７８
が受信し、このアクセス要求に認証済みを示す情報が付
加されているかＨＴＴＰＤ７８内の認証済み情報解析部
７９で調べる。認証済み情報としては、基本認証時はＷ
ＷＷ-Authenticationヘッダによる基本認証情報またはC
ookie認証時はCookieヘッダによるCookie情報を調べ
る。どちらの情報が使用されているかは、認証情報デー
タベース８３に格納された、マップアドレスとそのマッ
プアドレスに対応するコンテンツに設定されたアクセス
制御の認証方式情報から判断する。

【００４８】認証済み情報が付加されていた場合、ＨＴ
ＴＰＤ７８内のマップ制御部８１にて認証情報データベ
ース８３に格納されたマップ情報を参照し、マップアド
レスを本当のコンテンツＡ８４のネットワークアドレス
“http://hostB.co.jp/コンテンツＡ”にアドレスを変
換する。またマップ制御部８１ではアクセス要求に付加
されたユーザ情報（ユーザ認証手続部８０にてユーザ認
証時にUser-Agentヘッダを使用して付加される）と認証
情報データベース８３に格納されたマップ情報の中の指
定されたマップアドレスに設定されたアクセス権限情報
を参照し、そのユーザがそのマップアドレスのコンテン
ツにアクセスできるかを判断する。これによりアクセス
が許可された場合は要求を営業部門サーバ７３に送信す
る。

【００４９】認証済みを示す情報が付加されていない場
合、ＨＴＴＰＤ７８内のユーザ認証手続部８０はユーザ
認証を行うため、ユーザ端末７１にユーザ認証情報を入
力する画面を表示し、ユーザ７０にユーザ認証情報（ユ
ーザＩＤおよび必要であればパスワード）を入力させ
る。ユーザ認証情報を受けたユーザ認証手続部８０は認
証情報データベース８３中の登録ユーザ情報とこのユー
ザ７０が入力したユーザ認証情報とを照合し、登録され
たユーザであるか調べる。

【００５０】これによりユーザ７０のユーザ情報が登録
されていない場合、ユーザ認証手続部８０はアクセス拒
否を示す画面をユーザ端末７１に表示する。ユーザ７０
が登録されていた場合は、認証済みを示す情報（基本認
証情報または認証Cookie情報）とユーザ情報（ユーザＩ
Ｄ、所属、職権等）をＨＴＴＰＤ７８内の認証済みユー
ザ情報設定部８２にてアクセス要求に付加する。ユーザ
情報はUser-Agentヘッダを使用して付加する。

【００５１】この認証済みのアクセス要求はマップ制御
部８１にて解析され、認証情報データベース８３のマッ
プ情報を参照して本当の要求先ネットワークアドレス
“http://hostB.co.jp/コンテンツＡ”にアドレス変換
されるとともに、そのアドレスのコンテンツにどのよう
なアクセス制限が設定されているか調べられる。

【００５２】図の例ではこのコンテンツは全従業員がア
クセス可能となっており、ユーザ７０はアクセスが許可
され、アクセス要求は営業部門サーバ７３に送信されユ
ーザ７０は営業部門サーバ７３からの返信であるコンテ
ンツＡの内容を受けとることができる。

【００５３】その後、ユーザ７０が営業部門サーバ７３
内のコンテンツＢ８５へアクセスしようとした場合は、
そのアクセス要求には前記認証済みユーザ情報設定部８
２により付加された認証済み情報が、ユーザ端末７１上
のウェブブラウザ７７により付加されており、ＨＴＴＰ
Ｄ７８内の認証済み情報解析部７９によってその情報が
調べられることでユーザ認証手続は行われない。

【００５４】アクセス要求はマップ制御部８１にて解析
され、認証情報データベース８３のマップ情報により本
当の要求先ネットワークアドレス“http://hostB.co.jp
/コンテンツＢ”にアドレス変換されるとともに、その
アドレスのコンテンツにどのようなアクセス制限が設定
されているか調べられる。

【００５５】図の例ではこのコンテンツはマネージャの
みアクセス可能であり、アクセス要求に付加された要求
元ユーザ情報は一般社員となっているので、ＨＴＴＰＤ
７８はアクセスを拒否し、ユーザ端末７１にアクセスが
拒否されたことを示す画面を表示する。

【００５６】次にユーザ７０が開発部門サーバ７４内の
コンテンツ８６にアクセス要求を行った場合、マップ制
御部８１でその要求マップアドレスのコンテンツにどの
ようなアクセス制限の設定がされているか調べられると
ころまでは前記の場合と同様であり、この図の例ではこ
のコンテンツは開発部門所属のもののみアクセス可能で
あり、ユーザ７０のユーザ情報は営業部門所属であるた
め、ＨＴＴＰＤ７８はこのアクセスを拒否し、ユーザ端
末７１にアクセスが拒否されたことを示す画面を表示す
る。

【００５７】ユーザ７０が工場部門サーバ７５内のコン
テンツ８７にアクセス要求を行った場合、マップ制御部
８１でその要求マップアドレスのコンテンツにどのよう
なアクセス制限の設定がされているか調べられるところ
までは前記の場合と同様であり、図の例の場合アクセス
可能と判断され、その要求は工場部門サーバ７５に送信
され、ユーザ７０は要求したコンテンツを受けとること
ができる。

【００５８】このときアクセス要求を受けた工場部門サ
ーバ７５では、アクセス要求に付加された要求元ユーザ
情報を参照し、要求されたコンテンツをそのユーザに合
わせた形に編集してその内容を返信することも可能であ
る。

【００５９】以上の例のように、認証情報データベース
中のマップアドレスの管理情報の設定により、ネットワ
ーク上に分散して配置されている各種コンテンツへのア
クセス制御を一箇所で管理することができ、サーバの増
設やアクセス制御ルールの変更への対応も容易に行える
ようになる。またユーザは統合認証サーバが行う１度の
認証手続だけで、自由にネットワーク上に分散して配置
されている複数のサーバ上のアクセス制限付きコンテン
ツにアクセスすることが可能となる。

【００６０】この実施例は本発明の一形態を示したに過
ぎず、本発明はその主旨の範囲内で変形が可能である。
例えば、実施例ではアクセス制御部をＨＴＴＰＤ内に持
つように構成したが、これはＨＴＴＰＤとは別の制御プ
ロセスとして持つことも可能である。また、本実施例で
は認証済みを示す情報としてWWW-Authenticationヘッダ
を使用した基本認証情報およびCookieヘッダを使用した
認証Cookie情報を例示したが、この他の形式で認証済み
情報を付加しても良い。同じくユーザ情報の付加にUser
-Agentヘッダを使用した例を示したが、これも別の方法
で付加しても良い。

【００６１】

【発明の効果】この発明により、以下に示すような効果
が期待できる。

【００６２】単独の認証サーバにより認証処理を統合す
ることで、複数のサービスサーバ上に分散されたコンテ
ンツへのアクセス制御をきめこまかく設定でき、また、
そのアクセス制御を行うための認証情報を一箇所で管理
することで、ネットワークシステム全体として統一した
ルールの設定が可能となり、また、その制御ルールの変
更が発生した場合にも認証サーバ上の認証情報のみを変
更することで対応できるため、認証情報の管理が容易で
ある。

【００６３】複数のサーバで構成されたネットワークシ
ステムにおいて、単独の認証サーバにて認証処理を統合
することで、各サーバでコンテンツに制限をかけている
場合でも、ユーザは必要なコンテンツへのアクセス時
に、そのコンテンツがどのサーバにあるか意識する必要
がなく、一度のユーザ認証手続を行うだけで、以後アク
セス先のサーバが変わっても自由にアクセス制限付きの
コンテンツへのアクセスが可能となる。

【図面の簡単な説明】

【図１】本発明の構成図である。

【図２】認証サーバを使用した代表的なシステム構成図
である。

【図３】認証サーバのアクセス制御処理フローチャート
である。

【図４】統合認証サーバの代表的な実施例の説明図であ
る。

【図５】従来技術の説明図である。

【符号の説明】

１：ユーザ端末 ２：認証サーバ ３：サービスサーバ ４：アクセス制御部 ５：認証情報データベース ６：コンテンツ

Claims (7)

【特許請求の範囲】
1. 【請求項１】ネットワーク上で相互に通信可能なユーザ
   端末と、認証サーバと、サービスサーバとで構成される
   ネットワークシステムで、ユーザ端末からサービスサー
   バ上のコンテンツへのアクセスを制御するユーザ認証サ
   ーバであって、 ユーザ端末からのアクセス要求がアクセス制限のかけら
   れたコンテンツへの要求であるかどうか判断する手段
   と、 そのアクセス要求を行った要求元ユーザがすでにこの認
   証サーバによって認証済みかどうか、アクセス要求に含
   まれる所定の認証済み情報から判断する手段と、 まだ認証されていないユーザからのアクセス要求で、ア
   クセス制限のかけられたコンテンツへの要求である場
   合、ユーザ認証を行う手段と、 そのユーザ認証手段により認証済みのアクセス要求であ
   ることを識別するための所定の認証済み情報をアクセス
   要求に付加する手段と、 ユーザ認証により決められたユーザのアクセス権をもと
   に、コンテンツへのアクセス制限を行う手段と、 アクセス要求を目的のサービスサーバへ送信し、サービ
   スサーバからの応答を要求元ユーザ端末へ返信する手段
   とを備えるように構成する、 ことを特徴とするユーザ認証サーバ。
2. 【請求項２】前記ユーザ端末からのアクセス要求を制御
   するために、認証サーバ上にネットワーク上に分散され
   たコンテンツに対応する仮想アドレスを割りあて、この
   仮想アドレスによりアクセスを制御する手段を備える、 ことを特徴とする請求項１記載のユーザ認証サーバ。
3. 【請求項３】前記ユーザ端末からのアクセス要求に含ま
   れた前記認証済み情報により、アクセス制限のかけられ
   たコンテンツへのアクセス要求を、ユーザに認証手続を
   させることなく実行する手段を備える、 ことを特徴とする請求項１または２記載のユーザ認証サ
   ーバ。
4. 【請求項４】前記認証済み情報として、基本認証情報を
   前記ユーザ端末からの要求に付加する手段を備える、 ことを特徴とする請求項１、２または３記載のユーザ認
   証サーバ。
5. 【請求項５】前記認証済み情報として、認証Cookie情報
   を前記ユーザ端末に設定する手段を備える、 ことを特徴とする請求項１、２または３記載のユーザ認
   証サーバ。
6. 【請求項６】前記認証サーバで予め前記ユーザ端末を使
   用するユーザ情報を管理する手段と、 前記ユーザ端末からのアクセス要求に、その要求を行っ
   たユーザ情報を付加する手段と、 前記認証済み情報とともに、このユーザ情報により、要
   求元のユーザ毎にコンテンツへのアクセスに制限をかけ
   る手段とを備える、 ことを特徴とする請求項１から５のいずれか１項記載の
   ユーザ認証サーバ。
7. 【請求項７】ネットワーク上で相互に通信可能なユーザ
   端末と、ユーザ認証サーバと、サービスサーバとで構成
   されるネットワークシステムで、ユーザ端末からサービ
   スサーバ上のコンテンツへのアクセスを制御するために
   ユーザ認証サーバ上で動作する制御プログラムであっ
   て、 ユーザ端末からのアクセス要求がアクセス制限のかけら
   れたコンテンツへの要求であるか判断する手順と、 アクセス制限がかけられたコンテンツへのアクセス要求
   である場合、ユーザ認証を行う手順と、 そのユーザ認証手順により認証済みのアクセス要求であ
   ることを識別するための認証済み情報とアクセス要求元
   のユーザ情報とをアクセス要求に付加する手順と、 認証済み情報とユーザ情報とをもとに、そのアクセスを
   許可するか判断する手順と、 そのアクセス要求を目的のサービスサーバへ送信し、サ
   ービスサーバからの応答をユーザ端末へ返信する手順と
   を有する、 ことを特徴とする制御プログラム。