JP2003330886A

JP2003330886A - ネットワーク処理装置

Info

Publication number: JP2003330886A
Application number: JP2002134679A
Authority: JP
Inventors: Keiichi Masuda; 景一増田
Original assignee: Kyocera Communication Systems Co Ltd
Current assignee: Kyocera Communication Systems Co Ltd
Priority date: 2002-05-09
Filing date: 2002-05-09
Publication date: 2003-11-21

Abstract

(57)【要約】【課題】サーバのプログラムを変更することなく、複
数のサーバに対する認証やユーザ追跡を一元的に行うこ
とのできるネットワーク処理装置を提供する。【解決手段】対クライエント通信手段４０が、クライ
エントからの通信データを受け取ると、これを解析手段
４４に渡す。解析手段４４は、この通信データがウエブ
サーバにおいてどのように解釈されるかをシミュレート
して、その通信内容を解析する。認証手段４６は、解析
された通信内容に基づいて、当該アクセス要求を行った
ユーザの一元的認証が済んでいなければ、一元的認証を
行った後、前記通信データをウエブサーバに転送する。

Description

【発明の詳細な説明】

【０００１】

【発明の技術分野】この発明は、ネットワークにおける
ユーザの一元管理に関するものであり、特に、ユーザの
一元的認証、一元的追跡に関するものである。

【０００２】

【従来の技術および課題】インターネットなどの多くの
ウエブサーバにおいては、クライエント（端末）からア
クセスするユーザの認証を行っている。たとえば、アク
セスの開始時に、ユーザＩＤとパスワードを入力させる
認証方法が知られている。予めユーザが登録してあるユ
ーザＩＤとパスワードをウエブサーバ側に記録してお
き、入力されたユーザＩＤとパスワードに合致すれば、
正当なユーザであると判断するものである。

【０００３】このようなユーザ認証を行うことにより、
予め登録したユーザだけにアクセスを制限したり、現在
アクセスを行っているユーザを特定してその行動を追跡
したりすることができる。

【０００４】ところが、ユーザにとっては、異なるウエ
ブサーバにアクセスする毎にユーザＩＤとパスワードを
入力せねばならず煩雑であった。そこで、複数のウエブ
サーバが互いにユーザ情報を共有して、ユーザ認証等を
一元化することも行われている。

【０００５】しかし、これを実現するためには、ウエブ
サーバに情報共有化のための処理を行わせねばならず、
ウエブサーバを特別な仕様にて作成しなければならない
という問題を生じる。

【０００６】これを解決するため、図３９に示すような
システムが用いられている。各ウエブサーバ６、８、１
０に、ユーザ認証用のプラグインプログラム１２を組み
込むようにしている。このユーザ認証用プログラム１２
は、ユーザの一元管理情報１４にアクセスしてユーザ認
証等を行う。いずれのウエブサーバからも、プラグイン
プログラム１２を介してユーザの一元管理情報１４を見
ることができる。したがって、アクセスするウエブサー
バが変わっても、ユーザ認証を再度行う必要はない。

【０００７】図３９の例によれば、一元管理用のプログ
ラムをプラグインにしているので、ウエブサーバ本体
は、このシステムのために特別な仕様とする必要がな
い。しかし、プラグインプログラム１２を組み込んでい
ないウエブサーバに対する一元管理を行うことはできな
い。つまり、従来のウエブサーバとの互換性を保ちつ
つ、ユーザの一元管理を行うことはできなかった。

【０００８】また、図４０に示すように、リバースプロ
キシー４を用いて、複数のウエブサーバに対して、一元
的なユーザ認証を実現する方法もある。このシステムで
は、クライエント２は、いずれのウエブサーバ６、８、
１０にアクセスする場合であっても、リバースプロキシ
ー４にアクセスするようにしている。また、ユーザの認
証は、リバースプロキシー４が一元的に行うようにして
いる。したがって、アクセスするウエブサーバが変わっ
ても、再度ユーザ認証を行う必要はない。

【０００９】図４０のシステムの動作は、以下のとおり
である。ウエブサーバ６(http://www.a.com)にアクセ
スする場合には、リバースプロキシー４に対してhttp:/
/www.x.com/a.comのＵＲＬにてアクセスする。この最
初のアクセスにおいて、リバースプロキシー４がクライ
エント２に対してユーザ認証を要求する。ユーザ認証
終了後、リバースプロキシー４は、クライエントから送
られてきたＵＲＬの"/"以下のサーバ特定部分（ここで
は、/a.com）を参照して、サーバのＵＲＬを生成する。
つまり、http://www.x.com/a.comを、http://www.a.com
に変換する。リバースプロキシー４は、この変換した
ＵＲＬ（http://www.a.com）を用いてウエブサーバ６に
アクセスする。

【００１０】ウエブサーバ６は、これに応じて、ＨＴ
ＭＬコンテンツをリバースプロキシー４に返信する。
リバースプロキシー４は、このＨＴＭＬコンテンツ中
に含まれているリンク先ＵＲＬを見いだして変換を施し
た後、クライエントに転送する。たとえば、ウエブサー
バ６からのＨＴＭＬ中に、http://www.b.comというリン
ク記述があれば、これを、http://www.x.com/b.comに変
換する。

【００１１】クライエント２において、このリンクがク
リックされて、http://www.x.com/b.comがリバースプロ
キシー４に送られてくると、リバースプロキシー４は、
上記と同様にして、これをhttp://www.b.comに変換す
る。したがって、ウエブサーバ８にアクセスが行われ
る。なお、このようにアクセス先のウエブサーバが変わ
っても、リバースプロキシー４はすでにユーザ認証を行
っているので、再度ユーザ認証を求める必要がない。

【００１２】以上のようにして、全てのアクセスをリバ
ースプロキシー４を通して行うことができるので、ユー
ザ認証やユーザの行動追跡等について一元的な管理を行
うことができる。

【００１３】このシステムにおいては、ウエブサーバを
特別の仕様とすることなく一元管理を実現している。つ
まり、ウエブサーバのコンテンツ中に記述されたリンク
ＵＲＬを、リバースプロキシー４が変換して、クライエ
ント２に送信するようにしている。これにより、従来の
ウエブサーバをそのまま変更することなく用いることが
できるという点において優れている。

【００１４】しかしながら、コンテンツがＪＡＶＡ（登
録商標）スクリプトなどを含む場合には誤動作を生じる
可能性がある。たとえば、ウエブサーバのコンテンツに
ＪＡＶＡスクリプトが含まれており、クライエント２側
において、このＪＡＶＡスクリプトに基づいてＵＲＬを
生成する場合がある。この場合には、クライエント２に
おいて生成されたＵＲＬは、リバースプロキシー４によ
って変換されたものではないので、正しいリンク先にア
クセスできなくなるという問題を生じる。

【００１５】つまり、図４０のシステムにおいても、Ｊ
ＡＶＡスクリプトなどを考慮すれば、従来のウエブサー
バとの互換性がない。

【００１６】この発明は上記のような問題点を解決し
て、従来のウエブサーバ仕様との高い互換性を維持しつ
つ、ユーザの一元管理を行うことのできるシステムを提
供することを目的とする。

【００１７】

【課題を解決するための手段】(1)(2)(3)この発明のネ
ットワーク処理装置は、通信路によって通信可能な１以
上のクライエントと複数のサーバとの間に設けられたネ
ットワーク処理装置であって、クライエントとの通信路
に結合され、クライエントとの間での通信データのやり
とりを行う対クライエント通信手段と、サーバとの通信
路に結合され、サーバとの間での通信データのやりとり
を行う対サーバ通信手段と、対クライエント通信手段に
よってクライエントから受信した通信データを、対サー
バ通信手段によってサーバに転送し、対サーバ通信手段
によってサーバから受信した通信データを、対クライエ
ント通信手段によってクライエントに転送する処理手段
とを備えており、前記処理手段は、受信した通信データ
の通信内容を解析する解析手段と、通信内容が、クライ
エントからいずれかのサーバに向けたアクセス要求であ
れば、当該アクセス要求を行ったユーザの一元的認証が
済んでいるか否かを判断し；一元的認証済でなければ、
当該クライエントとの間で一元的認証処理を行い；一元
的認証済であれば、前記アクセス要求を前記サーバに転
送する認証手段とを備えていることを特徴としている。

【００１８】すなわち、転送処理を基本とし、当該転送
処理を行う際に一元的認証を併せて行うようにしてい
る。したがって、従来のサーバの仕様を変更することな
く、一元的認証を実現することができる。

【００１９】(4)この発明のネットワーク処理装置は、
認証手段が、前記通信内容が、クライエントからいずれ
かのサーバに向けたアクセス要求であれば、当該アクセ
ス要求を行ったユーザの一元的認証が済んでいるか否か
を判断し；一元的認証済でなければ、前記アクセス要求
を前記サーバへ直ちに転送せず保持しておき、当該クラ
イエントとの間で一元的認証処理を行った後、前記アク
セス要求を前記サーバに転送し；一元的認証済であれ
ば、前記アクセス要求を前記サーバに転送することを特
徴としている。

【００２０】したがって、本ネットワーク処理装置によ
り、転送処理の中で一元的認証を実行することができ
る。

【００２１】(5)この発明のネットワーク処理装置は、
認証手段は、前記通信内容が、クライエントからいずれ
かのサーバに向けたアクセス要求であれば、当該アクセ
ス要求を行ったユーザの一元的認証が済んでいるか否か
を判断し；一元的認証済でなければ、前記アクセス要求
を前記サーバへ転送して、当該サーバから送信されてく
る個別認証要求をクライエントに転送して個別認証を行
い、当該個別認証を一元的認証として利用することを特
徴としている。

【００２２】したがって、サーバからの個別認証要求を
一元的認証として利用することができる。

【００２３】(6)この発明のネットワーク処理装置は、
認証手段が、クライエントとの通信において、クライエ
ント追跡用識別子を付与して通信データを送信し、クラ
イエントからの通信データに含まれるクライエント追跡
用識別子に基づいて、ユーザを特定することを特徴とし
ている。

【００２４】したがって、各ユーザを区別してその行動
を追跡することができる。

【００２５】(7)この発明のネットワーク処理装置は、
認証手段が、通信データ中のセッションＩＤを利用し
て、クライエント追跡用識別子を、クライエントとの間
でやりとりすることを特徴としている。

【００２６】したがって、容易にクライエント追跡用識
別子のやりとりを行うことができる。

【００２７】(8)この発明のネットワーク処理装置は、
認証手段が、クライエントがセッションＩＤのやりとり
に対応していない場合には、通信データ中のリンクアド
レスにクライエント追跡用識別子を埋め込んで偽アドレ
スとしてクライエントに送信し、これに対するクライエ
ントからの偽アドレスに対するアクセス要求を受ける
と、当該偽アドレスからクライエント追跡用識別子を抽
出するとともに、正しいアドレスを復元することを特徴
とするもの。

【００２８】したがって、セッションＩＤのやりとりに
対応していないクライエントとの間においても、クライ
エント追跡用識別子をやりとりすることができる。

【００２９】(9)この発明のネットワーク処理装置は、
認証手段が、前記クライエント追跡用識別子を伴わない
クライエントからのアクセス要求を受信した場合であっ
て、当該アクセス要求の通信データに前回のアクセス先
サーバが記述されていない場合には、一元的認証が済ん
でいないと判断することを特徴としている。

【００３０】したがって、容易かつ確実に一元的認証の
有無を判断することができる。

【００３１】(10)この発明のネットワーク処理装置は、
認証手段が、前記アクセス要求の転送先であるサーバか
ら、個別認証要求を受けた場合、当該ユーザの一元的認
証が済んでいれば、当該個別認証要求をクライエント装
置に転送せず、当該サーバとの間で個別認証処理を行う
ことを特徴としている。

【００３２】したがって、ユーザに対して個別認証要求
を意識させることなく、サーバに対する個別認証を実行
することができる。

【００３３】(11)この発明のネットワーク処理装置は、
少なくとも個別認証に必要な情報を各ユーザごとに記録
したユーザ情報記録部を備えており、認証手段は、前記
一元的認証処理の際に、前記クライエント追跡用識別子
とユーザとを関連づけておき、前記個別認証処理の際
に、前記クライエント追跡用識別子に基づいて特定した
ユーザについて、ユーザ情報記録部から個別認証に必要
な情報を取得して用いることを特徴としている。

【００３４】したがって、ユーザから個別認証のために
必要なユーザ情報をその都度、送信してもらう必要がな
い。

【００３５】(12)この発明のネットワーク処理装置は、
認証手段が、サーバによって付与されるサーバ追跡用識
別子を返信することにより、サーバにいずれからの通信
であるかを特定させることを特徴としている。

【００３６】したがって、通信データの区別を容易に行
うことができる。

【００３７】(13)この発明のネットワーク処理装置は、
処理手段が、同一のユーザについてのクライエント追跡
用識別子と、サーバ追跡用識別子とを対応づけて記憶
し、前記クライエントからの通信データに含まれるクラ
イエント追跡用識別子を、対応するサーバ追跡用識別子
に書き換えて転送し、前記サーバからの通信データに含
まれるサーバ追跡用識別子を、対応するクライエント追
跡用識別子に書き換えて転送する転送手段をさらに備え
ていることを特徴としている。

【００３８】したがって、転送を行いつつ、各ユーザを
区別してそのアクセス先を知ることができる。

【００３９】(14)この発明のネットワーク処理装置は、
転送手段が、前記クライエントからの通信データを受け
ると、クライエント追跡用識別子に基づいてユーザを特
定し、ユーザ情報記録部から、アクセス要求先のサーバ
についての当該ユーザの認証情報を読み出し、当該認証
情報を、そのままもしくは暗号化して通信データに付加
し、サーバに転送することを特徴としている。

【００４０】したがって、サーバがこの認証情報を用い
て、認証を行うことが可能となる。

【００４１】(15)この発明のネットワーク処理装置は、
認証手段が、前記クライエント追跡用識別子を伴わない
クライエントからのアクセス要求を受信した場合であっ
て、当該アクセス要求の通信データに前回のアクセス先
サーバが記述されている場合には、当該アクセス要求を
一時保持しておき、クライエントに対して、前回のアク
セス先サーバに対する偽アクセス要求を送信するように
要求し、当該要求に応じて送信されてきた偽アクセス要
求の通信データから、クライエント追跡用識別子を取得
するとともに、当該偽アクセス要求をサーバに転送せず
破棄し、取得したクライエント追跡用識別子に基づいて
ユーザを特定することを特徴としている。

【００４２】したがって、アクセス先のサーバが変わっ
た場合に、クライエント追跡用識別子を返信してこない
クライエントからの通信データに対しても、クライエン
ト追跡用識別子を付加して転送することができる。

【００４３】(16)この発明のネットワーク処理装置は、
解析手段が、クライエントまたはサーバのアプリケーシ
ョンの処理をシミュレートして、通信データの通信内容
を解析することを特徴としている。

【００４４】したがって、クライエントまたはサーバに
おいて解釈されるデータの内容を予測して処理を行うこ
とができる。

【００４５】(17)この発明のネットワーク処理装置は、
解析手段が、前記シミュレートの結果、通信内容にエラ
ーがあると判断した場合には、当該通信データを転送せ
ず、再送要求を送信することを特徴としている。

【００４６】したがって、無駄な通信データの転送を省
いて、効率のよい通信を行うことができる。

【００４７】(18)この発明のネットワーク処理装置は、
対サーバ通信手段が、前記複数のサーバに対して、個別
の通信路によって接続されており、処理手段が、クライ
エントからの通信データを、所望のサーバに対する通信
路を選択して送信する選択手段を備えていることを特徴
としている。

【００４８】したがって、本装置により、ルーティング
の処理もあわせて行うことができる。

【００４９】(19)この発明のネットワーク転送方法は、
クライエントから受信した通信データをサーバに転送
し、サーバから受信した通信データをクライエントに転
送するネットワーク転送方法において、上記転送処理時
に、受信した通信データの通信内容を解析し、通信内容
が、クライエントからいずれかのサーバに向けたアクセ
ス要求であれば、当該アクセス要求を行ったユーザの一
元的認証が済んでいるか否かを判断し；一元的認証済で
なければ、当該クライエントとの間で一元的認証処理を
行い；一元的認証済であれば、前記アクセス要求を前記
サーバに転送することを特徴としている。

【００５０】すなわち、転送処理を基本とし、当該転送
処理を行う際に一元的認証を併せて行うようにしてい
る。したがって、従来のサーバの仕様を変更することな
く、一元的認証を実現することができる。

【００５１】(20)(21)(22)この発明のネットワーク処理
装置は、通信路によって通信可能な１以上のクライエン
トと複数のサーバとの間に設けられたネットワーク処理
装置であって、クライエントとの通信路に結合され、ク
ライエントとの間での通信データのやりとりを行う対ク
ライエント通信手段と、サーバとの通信路に結合され、
サーバとの間での通信データのやりとりを行う対サーバ
通信手段と、対クライエント通信手段によってクライエ
ントから受信した通信データを、対サーバ通信手段によ
ってサーバに転送し、対サーバ通信手段によってサーバ
から受信した通信データを、対クライエント通信手段に
よってクライエントに転送する処理手段とを備えてお
り、前記処理手段は、セッションを識別するためにクラ
イエントとの間の通信データに記述されるクライエント
追跡用識別子と、何れのサーバからの通信であるかを特
定するためのサーバ特定用データとを、同一のユーザに
ついて対応づけて記憶することを特徴としている。

【００５２】したがって、転送を行いつつ、各ユーザを
区別してその行動を知ることができる。

【００５３】(23)この発明のネットワーク処理装置は、
処理手段が、さらに、サーバからの通信データに含まれ
るサーバ追跡用識別子を、同一のユーザについて、前記
クライエント追跡用識別子に対応付けて記憶し、クライ
エントからの通信データに含まれるクライエント追跡用
識別子を、対応するサーバ追跡用識別子に書き換えて転
送し、前記サーバからの通信データに含まれるサーバ追
跡用識別子を、対応するクライエント追跡用識別子に書
き換えて転送する転送手段を備えていることを特徴とし
ている。

【００５４】したがって、サーバ側でのユーザの識別に
支障を与えないように、データ転送を実現することがで
きる。

【００５５】(24)この発明のネットワーク処理装置は、
転送手段が、通信データ中のセッションＩＤを利用し
て、クライエント追跡用識別子を、クライエントとの間
でやりとりすることを特徴としている。

【００５６】したがって、簡易かつ確実にクライエント
追跡用識別子のやりとりを行うことができる。

【００５７】(25)この発明のネットワーク処理装置は、
転送手段が、通信データ中のリンクアドレスにクライエ
ント追跡用識別子を埋め込んで偽アドレスとしてクライ
エントに送信し、これに対するクライエントからの偽ア
ドレスに対するアクセス要求を受けると、当該偽アドレ
スからクライエント追跡用識別子を抽出するとともに、
正しいアドレスを復元することを特徴としている。

【００５８】したがって、セッションＩＤのやりとりに
対応していないクライエントとの間においても、クライ
エント追跡用識別子をやりとりすることができる。

【００５９】(26)この発明のネットワーク処理装置は、
処理手段が、通信データに記述されているクライエント
追跡用識別子またはサーバ追跡用識別子に基づいてユー
ザを特定し、当該ユーザのアクセス状況を記録するアク
セス記録手段を備えていることを特徴とするもの。

【００６０】したがって、各ユーザを区別しつつ、その
アクセス状況を記録することができる。

【００６１】(27)この発明のネットワーク転送方法は、
クライエントから受信した通信データを複数のサーバの
いずれかに転送し、複数のサーバのいずれかから受信し
た通信データをクライエントに転送するネットワーク転
送方法において、上記転送処理時に、セッションを識別
するためにクライエントとの間の通信データに記述され
るクライエント追跡用識別子と、何れのサーバからの通
信であるかを特定するためのサーバ特定用データとを、
同一のユーザについて対応づけて記憶し、クライエント
とサーバとの対応関係を把握することを特徴としてい
る。

【００６２】したがって、転送を行いつつ、各ユーザを
区別してその行動を知ることができる。

【００６３】(28)(29)(30)この発明のネットワーク処理
装置は、複数のクライエントと複数のサーバとの間の通
信を、各ユーザを特定しつつ監視するネットワーク処理
装置であって、当該ネットワーク装置はアドレスを有し
ておらず、クライエントとサーバとの間の通信を転送す
るものであり、当該転送時に、クライエントまたはサー
バの機能の少なくとも一部をシミュレートして通信内容
を解析して監視を行うことを特徴としている。

【００６４】したがって、転送処理を行いつつ、サーバ
の機能に影響を与えることなく、通信の監視を行うこと
ができる。

【００６５】(31)この発明のネットワーク処理方法は、
複数のクライエントと複数のサーバとの間の通信を、各
ユーザを特定しつつ監視する方法であって、複数のクラ
イエントと複数のサーバとの間に、アドレスを有さない
ネットワーク装置を設け、当該ネットワーク装置によ
り、クライエントとサーバとの間の通信を転送するとと
もに、当該転送時に、クライエントまたはサーバの機能
の少なくとも一部をシミュレートして通信内容を解析し
て監視を行うことを特徴としている。

【００６６】したがって、転送処理を行いつつ、サーバ
の機能に影響を与えることなく、通信の監視を行うこと
ができる。

【００６７】(32)(33)(34)この発明のネットワーク処理
装置は、複数のクライエントと複数のサーバとの間の通
信を監視するネットワーク処理装置であって、ネットワ
ークレイヤーの低いレベルにおいて、クライエントとサ
ーバ間の通信データを転送しつつ、ネットワークレイヤ
ーの高いレベルにおいて、前記通信内容を取得すること
を特徴としている。

【００６８】したがって、本ネットワーク処理装置をク
ライエントとサーバの間に設けても、サーバやクライエ
ントのプログラムを変更する必要がない。つまり、サー
バやクライエントの動作に支障を与えることなく、通信
を監視することができる。

【００６９】(35)この発明のネットワーク処理方法は、
複数のクライエントと複数のサーバとの間の通信を監視
するネットワーク処理方法であって、ネットワークレイ
ヤーの低いレベルにおいて、クライエントとサーバ間の
通信データを転送しつつ、ナットワークレイヤーの高い
レベルにおいて、前記通信内容を取得することを特徴と
している。

【００７０】したがって、このような通信監視を行って
も、サーバやクライエントのプログラムを変更する必要
がない。つまり、サーバやクライエントの動作に支障を
与えることなく、通信を監視することができる。

【００７１】(36)この発明の方法は、クライエントとサ
ーバとの間の通信データの転送を行いつつ、各通信のユ
ーザを特定する方法であって、クライエントに対しては
クライエント追跡用識別子を付して通信データを送信
し、クライエントからの通信データに含まれるクライエ
ント追跡用識別子に基づいてユーザを特定し、サーバに
対しては、サーバからの通信データに付されてきたサー
バ追跡用識別子を記憶しておき、サーバへの通信データ
にこのサーバ追跡用識別子を付して送信し、前記クライ
エント追跡用識別子とサーバ追跡用識別子とを、各ユー
ザごとに対応付けて記憶することにより、各通信のユー
ザを特定することを特徴としている。

【００７２】したがって、転送処理を行いつつ、各通信
のユーザを特定することができる。

【００７３】この発明において、「クライエント」と
は、サーバからのサービスの提供を受けるものであり、
物理的な装置だけでなく、ブラウザ等のソフトウエア等
も含む概念である。

【００７４】「サーバ」とは、クライエントに対してサ
ービスの提供を行うものであり、物理的な装置だけでな
く、ソフトウエア等も含む概念である。

【００７５】「通信路」とは、サーバとクライエントと
の間の通信を可能にするものであり、有線であると無線
であるとを問わない。

【００７６】「解析手段」とは、通信データに基づい
て、少なくともその通信内容を解読可能なようにする処
理を行う手段をいい、実施形態においては、図６のステ
ップＳ４１１、Ｓ４１２などがこれに対応する。

【００７７】「認証手段」とは、クライエントもしくは
クライエントを使用するユーザを認証するための処理を
行う手段をいい、実施形態においては、図７のステップ
Ｓ４３７や図１０のステップＳ３６５などがこれに対応
する。

【００７８】「転送手段」とは、少なくともサーバとク
ライエントの間の通信データを転送する処理を行う手段
をいい、実施形態においては、図７のステップＳ４３５
や図９のステップＳ３４６がこれに対応する。

【００７９】通信の「監視」とは、少なくとも通信内容
の一部を知ることをいい、認証処理、エラー処理、ユー
ザの行動追跡処理などを含む概念である。

【００８０】「クライエント追跡用識別子」とは、クラ
イエントとの通信を行う装置が、少なくとも個々のセッ
ションを識別するために用いる識別子をいい、本発明に
よるネットワーク処理装置とクライエントとの間の通信
に用いられるものをいう。実施形態では、Cookieによる
セッションＩＤを、クライエント追跡用識別子として用
いている。

【００８１】「サーバ追跡用識別子」とは、サーバが、
少なくとも個々のセッションを識別するために用いる識
別子をいい、本発明によるネットワーク処理装置とサー
バとの間の通信に用いられるものをいう。実施形態で
は、CookieによるセッションＩＤを、クライエント追跡
用識別子として用いている。

【００８２】「サーバ特定用データ」とは、サーバとの
通信を行う装置が、少なくとも個々のセッションを特定
するために用いるデータをいう。実施形態では、サーバ
に対してデータを送信した際に用いたポート番号を、サ
ーバ特定用データとして用いている。

【００８３】「プログラムを記録した記録媒体」とは、
プログラムを記録したＲＯＭ、ＲＡＭ、フレキシブルデ
ィスク、ＣＤ−ＲＯＭ、メモリカード、ハードディスク
等の記録媒体をいう。また、電話回線、搬送路等の通信
媒体も含む概念である。ＣＰＵに接続されて、記録され
たプログラムが直接実行されるハードディスクのような
記録媒体だけでなく、一旦ハードディスク等にインスト
ールした後に実行されるプログラムを記録したＣＤ−Ｒ
ＯＭ等の記録媒体を含む概念である。

【００８４】「プログラム」とは、ＣＰＵにより直接実
行可能なプログラムだけでなく、ソース形式のプログラ
ム、圧縮処理がされたプログラム、暗号化されたプログ
ラム等を含む概念である。

【００８５】

【発明の実施の形態】図１に、この発明の一実施形態に
よるネットワーク処理装置を用いて構築したサーバ・ク
ライエントシステムの例を示す。この例では、インター
ネット２４に接続されたウエブサーバ３０、３２、３４
およびクライエント２０、２２を示している。クライエ
ント２０、２２は、通常、ユーザの側に置かれ、ユーザ
がウエブサーバにアクセスするために使用される。図に
おいては、クライエントを２つしか示していないが、実
施には多くのクライエントが接続される。

【００８６】ネットワーク処理装置２６は、インターネ
ット２４とウエブサーバ３０、３２、３４との間に設け
られている。この実施形態では、各ウエブサーバ３０、
３２、３４は、ハブ２８を介してネットワーク処理装置
２６に接続される。なお、ウエブサーバ３０、３２、３
４は、ユーザに対して情報やゲームあるいはショッピン
グの機会等を提供するものである。

【００８７】クライエント２０、２２から、ウエブサー
バ３０、３２、３４への通信データは、一旦、クライエ
ント２０、２２からの通信データをネットワーク処理装
置２６が受信した後、ウエブサーバ３０、３２、３４に
対して送信する。つまり、ネットワーク処理装置２６
は、通信データの転送を行っている。また、ウエブサー
バ３０、３２、３４から、クライエント２０、２２への
通信データについても、ネットワーク処理装置２６は、
同様に転送処理を行う。

【００８８】図２に、上記実施形態におけるネットワー
ク処理装置２６の機能をブロックにて示す。対クライエ
ント通信手段４０は、クライエント２０、２２との通信
を行うものである。また、対サーバ通信手段４２は、ウ
エブサーバ３０、３２、３４との通信を行うものであ
る。解析手段４４は、対クライエント通信手段４０また
は対サーバ通信手段４２からの通信データを受けて、そ
の通信内容の解析を行う。認証手段４６は、ユーザ認証
に関する処理を実行する。また、転送手段４８は、クラ
イエントからの通信データをウエブサーバに転送し、ウ
エブサーバからの通信データをクライエントに転送する
処理を行うものである。

【００８９】対クライエント通信手段４０が、クライエ
ントからの通信データを受け取ると、これを解析手段４
４に渡す。解析手段４４は、この通信データがウエブサ
ーバにおいてどのように解釈されるかをシミュレートし
て、その通信内容を解析する。認証手段４６は、解析さ
れた通信内容に基づいて、当該アクセス要求を行ったユ
ーザの一元的認証が済んでいるかどうかを判断する。

【００９０】一元的認証が済んでいなければ、認証手段
４６は、クライエントからのアクセス要求を一旦保持す
る。さらに、認証手段４６は、当該クライエントとの間
で一元的認証処理を行う。この一元的認証処理が終わっ
た後に、保持していたアクセス要求を、対サーバ通信手
段４２を介してサーバに転送する。

【００９１】また、一元的認証が済んでいれば、認証手
段４６は、一元的認証処理を行うことなく、アクセス要
求を対サーバ通信手段４２を介してサーバに転送する。

【００９２】ウエブサーバに転送したアクセス要求が、
当該ウエブサーバにおける個別認証の済んでいないユー
ザからのアクセス要求である場合には、当該ウエブサー
バは、個別認証を要求してくる。この個別認証を要求す
る通信データは、対サーバ通信手段４２を経て、解析手
段４４によって解析される。

【００９３】認証手段４６は、ウエブサーバからの通信
データが、個別認証を要求する通信内容であると判断す
ると、ユーザ情報を用いて、ウエブサーバとの間で個別
認証処理を実行する。つまり、ウエブサーバ側に対して
は、認証手段４６が、ユーザに代わって、自動的に個別
認証処理を実行してくれる。

【００９４】ユーザがアクセス要求先のウエブサーバを
変えた場合であっても、認証手段４６が自動的に個別認
証処理を行ってくれるので、ユーザは一元的認証さえ行
えば、個々のサーバごとに個別認証処理を行う煩わしさ
がない。

【００９５】また、転送手段４８は、クライエントとサ
ーバとの間の通信データの転送を行うものである。この
転送の際に、転送手段４８は、クライエントとの通信に
ついてクライエント追跡用識別子を用いてユーザの追跡
を行う。また、サーバとの通信においては、サーバから
送られてきたサーバ追跡識別子を返送して、サーバにお
けるユーザの追跡が可能となるようにしている。また、
常時、クライエント追跡識別子とサーバ追跡識別子とを
ユーザに対応付けて、ユーザを一元的に追跡するように
している。

【００９６】図３に、ネットワーク処理装置２６を、Ｃ
ＰＵを用いて実現した場合のハードウエア構成を示す。
対クライエント通信手段である通信回路４０、対サーバ
通信手段である通信回路４２が設けられている。これら
通信回路４０、４２は、インターフェイス５０を介して
ＣＰＵ５２に接続されている。ＣＰＵ５２には、メモリ
５４、ハードディスク５６、ＣＤ−ＲＯＭドライブ５８
が接続されている。

【００９７】メモリ５４は、ワークエリアやテーブルの
記憶領域として使用されるものである。ハードディスク
５６には、WINDOWS（商標）などのオペレーティングシ
ステム（ＯＳ）、ネットワーク処理プログラム、ユーザ
情報などが記録されている。

【００９８】ネットワーク処理プログラムは、ＣＤ−Ｒ
ＯＭドライブ５８を介して、ＣＤ−ＲＯＭ６０からイン
ストールされたものである。ネットワーク処理プログラ
ムは、ＯＳと共同して、以下に述べるネットワーク処理
を実行する。

【００９９】図４に、ネットワーク処理プログラムのフ
ローチャートを示す。通信回路４０、４２は、通信デー
タを受け取ると、インターフェイス５０を介して、ＣＰ
Ｕ５２にこれを与える。ＣＰＵ５２は、この通信データ
を取り込む（ステップＳ１）。ＣＰＵ５２は、通信デー
タがサーバ側からの通信データか、クライエント側から
の通信データかを判断する（ステップＳ２）。サーバ側
からの通信データであればサーバ側通信データ処理を行
い（ステップＳ３）、クライエント側からの通信データ
であればクライエント側通信データ処理を行う（ステッ
プＳ４）。

【０１００】図５に、クライエント側通信データ処理の
詳細を示す。ＣＰＵ５２は、取得した通信データにつ
き、ウエブサーバの動作をシミュレートして、通信デー
タを解析し、通信内容を取得する（ステップＳ４１）。
次に、１かたまりの全てのデータを受け取ったか否かを
判断する（ステップＳ４２）。全てのデータを受け取っ
ていなければ、処理を終了し、次の通信データが送られ
てくるのを待つ。１かたまりの全てのデータを受け取れ
ば、当該通信データの転送処理を行う（ステップＳ４
３）。

【０１０１】図６に、ステップＳ４１の通信シミュレー
ト処理の詳細を示す。ＣＰＵ５２は、ウエブサーバの動
作をシミュレートし、クライエントとのデータ通信を確
立する（ステップＳ４１１）。これにより、図１１に示
すような通信データの構造を認識し、データの組み立て
順序に基づいて、複数の通信本体を組み合わせて、１か
たまりの通信データを得る（ステップＳ４１２）。

【０１０２】次に、ＣＰＵ５２は、組み立てた通信デー
タにエラーがないかどうかを判断する（ステップＳ４１
３）。エラーがあれば、ウエブサーバの代わりに、ＣＰ
Ｕ５２が、再送要求をクライエントに返信する（ステッ
プＳ４１４）。これによって、転送処理の前にエラーを
発見でき、無駄な転送処理を省くことができる。

【０１０３】エラーがなければ、ＣＰＵ５２は、１かた
まりの通信データ（通常複数のパケットから構成され
る）を受信完了した旨の応答を返す必要があるかどうか
を判断する（ステップＳ４１５）。１かたまりの通信デ
ータの受信途中であり応答を返す必要がなければ、処理
を終了する。また、１かたまりの通信データの受信が完
了し、応答を返す必要があると判断すれば、ウエブサー
バの代わりに、応答を返信する（ステップＳ４１６）。

【０１０４】図７に、図５のステップＳ４３の要求デー
タ転送処理の詳細を示す。要求データ転送処理において
は、解析した通信データの内容に基づいて、データ転送
の処理や認証処理を行う。

【０１０５】図８に、図４のステップＳ３のサーバ側通
信データ処理の詳細を示す。また、図９に、図８のステ
ップＳ３４の応答本体解析処理の詳細を示す。さらに、
図１０に、図８のステップＳ３６の応答ヘッダ解析処理
の詳細を示す。

【０１０６】−一元的認証処理および個別認証処理− 以下、クライエントからのアクセス要求が、セッション
における最初のアクセスである場合に実行される一元ユ
ーザ認証の処理について説明する。一元認証処理におけ
るシーケンスフローを図１２に示す。以下、このシーケ
ンスフローと、図４〜図１０のフローチャートを参照し
て処理内容を説明する。なお、図４〜図１０は、ネット
ワーク処理装置の処理を全般的に示すフローチャートで
あり、図１２は認証時の処理だけを抽出して示したシー
ケンスフローである。

【０１０７】まず、クライエントから何れかのサーバに
対するアクセス要求の通信データが送信される（ステッ
プＳＫ２）。ＣＰＵ５２は、この通信データを解析して
通信内容を取得する（図５、ステップＳ４１）。

【０１０８】解析後の通信データの一例を、図１３に示
す。１行目の「GET」により、要求先のサーバのＵＲＬ
を知ることができる。９行目の、クライエント追跡識別
子である「Cookie」の内容は記述されていない。セッシ
ョンにおける最初のアクセスの場合には、ＣＰＵ５２が
クライエント追跡識別子を付していないので、「Cooki
e」の「SESSID」は空欄となっている。つまり、ＣＰＵ
５２は、「SESSID」の内容が記述されていない場合に
は、セッションにおける最初のアクセスであると判断す
ることができる。

【０１０９】ＣＰＵ５２は、「SESSID」の内容が記述さ
れていないことを判断すると（図７、ステップＳ４３
１）、この通信データをメモリ５４に一旦記憶する。ま
た、図１６に示すユーザ関連付けテーブル（メモリ５４
に記憶される）に、新たなユーザとして記憶する。ただ
し、まだ一元的認証が済んでいないので、ユーザ番号の
欄は「未認証」とする。

【０１１０】その後、ＣＰＵ５２は、一元的ユーザ認証
処理を行う（図７、ステップＳ４３７）。一元的認証処
理において、まず、ＣＰＵ５２は、当該クライエントに
対して、一元的認証処理画面を送信する（図１２、ステ
ップＳＫ３）。この際、ＣＰＵ５２は、ユーザの追跡を
行うため、一元的認証処理画面の通信データに「SESSI
D」を記述する。つまり、ユーザにユニークとなるよう
な、「SESSID」を生成し、記述する。

【０１１１】この一元的認証処理画面を受け取ったクラ
イエントは、これを表示する。図１４に、一元的認証処
理画面の例を示す。ユーザは、この画面を受けて、ユー
ザＩＤとパスワードを入力して返送する（ステップＳＫ
４）。

【０１１２】ネットワーク処理装置２６のＣＰＵ５２
は、通信データ中のクライエント追跡識別子「SESSID」
に基づいて、一元的認証処理画面に対する返送データで
あることを認識する。ＣＰＵ５２は、この返送された通
信データから、ユーザＩＤおよびパスワードを取得す
る。取得したユーザＩＤおよびパスワードに基づいて、
ハードディスク５６のユーザ情報を参照して、当該ユー
ザの認証を行う。

【０１１３】図１５に、ユーザ情報の例を示す。ユーザ
情報には、一元的認証のためのユーザＩＤ、パスワード
だけでなく、各ウエブサーバについての個別認証に必要
なユーザＩＤ、パスワードが記述されている。また、当
該ユーザの各ウエブサーバにおけるアクセス権限も記述
されている。

【０１１４】ＣＰＵ５２は、クライエントから返送され
てきたユーザＩＤとパスワードの対に合致するユーザを
見いだせば（たとえば、masudaと3291335）、正当なユ
ーザとしてアクセスを許可する。この際、ＣＰＵ５２
は、ユーザの追跡を行うため、図１６に示すユーザ関連
付けテーブルにおいて、ユーザＩＤとクライエント追跡
用識別子「SESSID」とを関連づけて記録する。また、ユ
ーザの行動を記録するため、メモリ５４に一旦記憶して
おいたアクセス要求の要求先ＵＲＬを、当該ユーザに対
応づけて記録する。

【０１１５】次に、ＣＰＵ５２は、メモリ５４に一旦記
憶しておいたアクセス要求（図１３）を読み出し、これ
を、ハブ２８を介して要求先のウエブサーバ（ここでは
ウエブサーバ３０とする）に転送する（図７のステップ
Ｓ４３５、図１２のステップＳＫ６）。この際、ＣＰＵ
５２は、何れのポートからこのデータを送信したかをユ
ーザ関連付けテーブルに記憶しておく（図１６参照）。
転送されるアクセス要求の例を、図１７に示す。この実
施形態では、ＣＰＵ５２は、図１５のユーザ情報から、
要求先のサーバに関する当該ユーザのユーザＩＤとパス
ワードとを読みだして暗号化し、アクセス要求に記述し
た後、転送するようにしている。図１７の９行目のAuth
orization以下の記述が、暗号化されたユーザＩＤとパ
スワードである。

【０１１６】このようにして転送されたアクセス要求を
受けたウエブサーバ３０は、セッションにおける最初の
アクセスであることから、個別認証要求を返送する（ス
テップＳＫ７）。この際、ウエブサーバ３０は、個別認
証要求中にサーバ追跡用識別子「Cookie」の「PHPSESSI
D」の内容を記述して返送する。

【０１１７】ネットワーク処理装置２６のＣＰＵ５２
は、ウエブサーバ３０からの返送データを受ける。ＣＰ
Ｕ５２は、何れのポートに返送されてきたデータである
かにより、送信元のウエブサーバ３０を特定することが
できる（図１６のポート番号参照）。この個別認証要求
を受けて、ＣＰＵ５２は、サーバ追跡用識別子「PHPSES
SID」を取得し、図１６のユーザ関連付けテーブルの当
該ユーザの欄に記述する。これにより、クライエント追
跡用識別子、サーバ追跡用識別子、一元ユーザＩＤとを
関連づけることができ、ユーザの行動追跡を確実に行う
ことができる。

【０１１８】ＣＰＵ５２は、例えば、図２３に示すよう
に、ウエブサーバからの通信データの１行目が、Author
aization Requiredであれば、個別認証要求であると判
断する。また、図２５のように、予め各サーバごとに、
どのＵＲＬが認証を要求するのかをテーブルにしてお
き、さらに当該各ＵＲＬごとに各ユーザが認証をすませ
ているか否かを記述しておくことにより、ウエブサーバ
から個別認証要求が送信されてくることを予測すること
ができる。例えば、ユーザ「furu」が、へhttp://www.f
urutani.co.jp/zzz/pcへのアクセス要求を行った場合、
図２５のテーブルから未認証であることが明らかである
から、アクセス要求に対してウエブサーバから返送され
てきた通信データは、個別認証要求であると判断でき
る。

【０１１９】ＣＰＵ５２は、個別認証要求を受けると、
当該ユーザのウエブサーバ３０に対するユーザＩＤ、パ
スワードを、図１５のユーザ情報から読み出す。ＣＰＵ
５２は、読み出したユーザＩＤ、パスワードをウエブサ
ーバ３０に返す（図１０のステップＳ３６５）。

【０１２０】ウエブサーバ３０は、これを受けて個別ユ
ーザ認証を行い、アクセス要求に対するコンテンツデー
タを送信する（ステップＳＫ９）。コンテンツデータの
例を図１８に示す。この際、ウエブサーバ３０は、５行
目のサーバ追跡用識別子「PHPSESSID」を記述してコン
テンツデータを送信する。

【０１２１】このコンテンツデータは、ネットワーク処
理装置２６によって受信される。ネットワーク処理装置
２６のＣＰＵ５２は、これを受けて、ユーザ関連付けテ
ーブルのサーバ追跡用識別子を更新する。このように、
常に、ユーザ関連付けテーブルのサーバ追跡用識別子を
更新することにより、ユーザの追跡を確実なものとする
ことができる。

【０１２２】次に、ＣＰＵ５２は、ユーザ関連付けテー
ブルから当該ユーザのクライエント追跡用識別子「SESS
ID」を読み出す。さらに、受信したコンテンツデータの
サーバ追跡用識別子「PHPSESSID」を、クライエント追
跡用識別子「SESSID」に書き換えた後、コンテンツデー
タをクライエントに転送する（図１２のステップＳＫ１
１、図１０のステップＳ３６４）。図１９に、転送され
るコンテンツデータの例を示す。

【０１２３】クライエントは、コンテンツデータを受け
て、これを表示する。図２０に、その表示例を示す。上
記のようにして、一元的認証が行われるとともに、ネッ
トワーク処理装置２６によって、自動的に個別認証処理
が実行される。

【０１２４】なお、クライエント追跡用識別子は、ネッ
トワーク処理装置２６がクライエントの同一性を判断す
るために応答に付すものである。応答を受けたクライエ
ントが次の要求を出す場合には、前回の応答において受
信したクライエント用識別子を付して行うようにしてい
る。これにより、ネットワーク処理装置２６に多数のク
ライエントが接続されていても各クライエントを識別す
ることができる。

【０１２５】また、サーバ追跡用識別子は、ウエブサー
バからの要求に対する回答に付すものである。ネットワ
ーク処理装置が次回の要求をサーバに送る場合には、前
回の回答に付されていたサーバ追跡用識別子を付して送
る。これにより、サーバは各ユーザを識別することがで
きる。

【０１２６】この実施形態では、ユーザ関連付けテーブ
ルによって、クライエント追跡用識別子とサーバ追跡用
識別子をリアルタイムに対応づけることにより、次に示
すように一元的なユーザ認証を可能としている。

【０１２７】次に、図２０の画面において、ユーザがサ
ービス２（ウエブサーバ３２のサービスとする）へのリ
ンクをクリックした場合の動作を説明する。この場合、
クライエントからは、クライエント追跡識別子の付され
たアクセス要求がネットワーク処理装置２６に送信され
る。これを受けたネットワーク処理装置２６は、図１２
のステップＳＫ６以下の処理を実行する。つまり、ネッ
トワーク処理装置２６が、クライエント追跡識別しに基
づいてユーザを特定し、図１５のユーザ情報から、要求
先のウエブサーバ３２に対するユーザＩＤ、パスワード
を用いて、自動的に個別認証を実行する。

【０１２８】上記のように、この実施形態によれば、ユ
ーザが一元的認証を一度行えば、ネットワーク処理装置
２６が自動的に各個別のサーバに対する認証処理を行っ
てくれる。

【０１２９】なお、図２０の画面において、ユーザがサ
ービス２をクリックした場合に、クライエントから、ク
ライエント追跡識別子の付されないアクセス要求がネッ
トワーク処理装置２６に送信されることもある。これは
セキュリティの観点から、クライエント側のブラウザプ
ログラムが、異なるウエブサーバにアクセス要求を出す
場合には、前回のウエブサーバからの回答に記述されて
いたクライエント追跡識別子を記述しないように設定さ
れている場合に生じる。

【０１３０】このような場合には、ＣＰＵ５２は、アク
セス要求中に記述されている前回のアクセス先の情報
（図１３の３行目「Referer」）を見ることにより、一
元的認証の済んでいないユーザか否かを判断する。前回
のアクセス先の情報が、図１３に示すように空欄であれ
ば、一元的認証が済んでいないと判断して一元的認証を
実行する。

【０１３１】前回のアクセス先の情報にＵＲＬが記述さ
れていれば、一元的認証が済んでいると判断することが
できる。ただし、クライエント追跡識別子が記述されて
いないため、ユーザを特定することができず、個別認証
を自動的に行うことができなくなる。また、ユーザの行
動追跡も途切れてしまうことになる。

【０１３２】そこで、この実施形態では、図２１に示す
ような処理を行って、上記のような場合においてもクラ
イエント追跡識別子を取得するようにしている。まず、
ＣＰＵ５２は、前回のアクセス先ＵＲＬを取得する（ス
テップＳＫ２１）。次に、ＣＰＵ５２は、このＵＲＬに
対し、ユニークに識別可能な符号を付加する（ステップ
ＳＫ２２）。これは、２以上のユーザについて、同じＵ
ＲＬに対して図２１の処理を行った場合に、ユニークな
ＵＲＬによりユーザを識別するためである。

【０１３３】続いて、ＣＰＵ５２は、当該ＵＲＬに対す
るアクセス要求を行うように、クライエントに指令を送
信する（ステップＳＫ２３）。これを受けて、クライエ
ントは、当該ＵＲＬに対するアクセス要求を行う（ステ
ップＳＫ２４）。このアクセス要求は、クライエントに
とって、前回アクセスしたサーバと同じサーバとなるの
で、クライエント追跡識別子が付されることになる。

【０１３４】ＣＰＵ５２は、このアクセス要求を受け
て、クライエント追跡識別子を得ることができる。クラ
イエント追跡識別子を得た後は、この偽アクセス要求は
転送せず破棄する。このようにしてクライエント追跡識
別子を得れば、図１２のステップＳＫ６以下を実行する
ことにより、個別認証を自動的に行うことができる。

【０１３５】−ユーザ追跡処理− 図２２に、個別認証が済んだ後の処理を示す。クライエ
ントからは、クライエント追跡識別子の付されたアクセ
ス要求が送信される（ステップＳＫ３２）。

【０１３６】ネットワーク処理装置２６は、このアクセ
ス要求を受けて、記述されているクライエント追跡識別
子に基づいて、図１６のユーザ関連づけテーブルを参照
してユーザを特定する（ステップＳＫ３３、図７のステ
ップＳ４３２）。さらに、当該ユーザの要求先ＵＲＬの
欄に、今回のアクセス要求の要求先ＵＲＬを追加する。
このようにして、ユーザ関連付けテーブルには、ユーザ
の訪れた先の履歴が蓄積される。なお、この訪問先履歴
は、異なるウエブサーバをまたがって、一元的に記録さ
れる。この履歴を保存する場合には、ユーザがログオフ
した際等に、ハードディスク等に転記するようにすれば
よい。

【０１３７】上記のようにして、クライエント追跡識別
子に基づいてユーザを特定した後、当該ユーザが、今回
要求しているアクセス先ＵＲＬに対してアクセス権限を
持っているかどうかを判定する（図７のステップＳ４３
３）。ユーザが要求しているアクセス先ＵＲＬは、通信
データのＩＰヘッダ（図１１参照）中の宛先アドレス
と、解析した通信データ中の「GET」の欄を取得するこ
とにより知ることができる。また、アクセス権限は、当
該ユーザのユーザ情報中の「アクセス可能ＵＲＬ」を参
照することにより得ることができる。この実施形態で
は、「アクセス可能ＵＲＬ」の欄に、アクセスを許可さ
れているＵＲＬが記述されている。したがって、ＣＰＵ
５２は、要求されているアクセス先ＵＲＬが、アクセス
可能ＵＲＬの欄に記述されているか否かによってアクセ
ス権現の有無を判断することができる。

【０１３８】アクセス権限がない場合、ＣＰＵ５２は、
当該通信データを破棄し、通信を切断する処理を行う
（図７のステップＳ４３６）。なお、この実施形態で
は、アクセス権限がないと判断した場合、直ちに切断処
理を行っているが、通信データを破棄した上、アクセス
権限がない旨をクライエントに返送してもよい。

【０１３９】アクセス権限がある場合、次に、ＣＰＵ５
２は、ユーザ関連付けテーブルから、当該ユーザに関連
づけて記録されているサーバ追跡識別子を読み出す（図
７のステップＳ４３４）。さらに、クライエントから受
けたアクセス要求中のクライエント追跡識別子を、サー
バ追跡識別子に書き換えた後、当該アクセス要求をウエ
ブサーバに転送する（図７のステップＳ４３５、図２２
のステップＳＫ３４）。

【０１４０】これを受けたウエブサーバは、ユーザの認
識を行い、コンテンツを返送してくる（ステップＳＫ３
５、ＳＫ３６）。

【０１４１】ネットワーク処理装置２６は、コンテンツ
に含まれるサーバ追跡用識別子を取得し、ユーザ関連づ
けテーブルを更新する（ステップＳＫ３７）。さらに、
ユーザ関連づけテーブルに基づいて、コンテンツのサー
バ追跡用識別子を、クライエント追跡用識別子に書き換
えた後（図８のステップＳ３６、図１０のステップＳ３
６４）、コンテンツをクライエントに転送する（図９の
ステップＳ３４６、図２２のステップＳＫ３８）。クラ
イエントでは、受信したコンテンツを表示する（ステッ
プＳＫ３９）。

【０１４２】上記のステップＳＫ３７、ＳＫ３８の処理
の詳細を、図４、図８〜図１０のフローチャートを参照
して説明する。ウエブサーバからのコンテンツなどの送
信があると、ＣＰＵ５２は、図４のステップＳ３のサー
バ側通信データ処理を行う。

【０１４３】サーバ側通信データ処理においては、ＣＰ
Ｕ５２は、まず、ウエブサーバからの通信データかどう
かを判断する（図８のステップＳ３１）。このような判
断を行うのは、ウエブサーバ以外に動画サーバも存在す
るからである。すなわち、後述のように、動画サーバか
らのデータの場合には異なった処理を行う必要があるか
らである。

【０１４４】ここでは、ウエブサーバからの通信データ
であるから、ステップＳ３２の通信シミュレート処理に
進む。通信シミュレート処理は、クライエント側通信デ
ータ処理において説明したものと同じである（図６参
照）。通信シミュレート処理により、通信内容を取得す
ることができる。

【０１４５】解析した通信データの例を、図１８に示
す。ウエブサーバからの通信データは、ヘッダ１００の
部分と、本体１０２の部分によって構成されている。な
お、通信データは、所定サイズのパケットにして送られ
てくる。したがって、ＣＰＵ５２は、１つのパケットご
とに通信シミュレートをして通信内容の解析を行い、解
析内容に基づく処理を行うということを繰り返してい
る。この処理において、受信した内容がヘッダ１００で
あれば（ステップＳ３３）、ヘッダ１００のデータを全
て受け取ったか否かを判断する（ステップＳ３５）。全
て受け取っていなければ、ヘッダ１００のデータを全部
受信するよう、次の通信データを待つ（図４のステップ
Ｓ１）。

【０１４６】ヘッダ１００のデータを全て受信した場合
には、当該ヘッダについての処理を行う（ステップＳ３
６）。なお、空白行がヘッダの終了を表すので、空白行
を検出することによりヘッダの終了を認識できる。

【０１４７】ヘッダ処理の詳細を、図１０に示す。ま
ず、ステップＳ３６１において、ＣＰＵ５２は、ヘッダ
１００からサーバ追跡用識別子を取得して、図１６のユ
ーザ関連付けテーブルを更新する（ステップＳ３６
１）。図１８の例では、５行目の「Set-Cookie」がサー
バ追跡用識別子である。

【０１４８】次に、ＣＰＵ５２は、本体の大きさ（バイ
ト長）や本体のデータ形式を取得する（ステップＳ３６
２）。本体の大きさを取得することにより、後に行う本
体取得処理の際に、本体の終了を知ることができる。本
体の大きさは、「Content-Length」に記述されている。
データの形式は、「Content-Type」に記述されており、
テキスト、画像などのデータの種類が示されている。こ
のデータ形式は、この後に行う識別子付加の処理におい
て使用する。

【０１４９】次に、ＣＰＵ５２は、ユーザ関連付けテー
ブルを参照して、ヘッダ１００のサーバ追跡用識別子を
サーバ追跡用識別子クライエント追跡用識別子に置き換
える（図１０、ステップＳ３６４）。たとえば、図１８
の５行目の「Set-Cookie」の内容が、図１９の５行目の
「Set-Cookie」の内容に変更される。

【０１５０】ヘッダ１００についての処理が終了する
と、続いて、本体１０２の通信データを取得する（ステ
ップＳ３２）。ＣＰＵ５２は、本体のデータであること
を認識すると、ステップＳ３３を経て本体処理を実行す
る（ステップＳ３４）。

【０１５１】本体処理のフローチャートを図９に示す。
まず、ＣＰＵ５２は、本体の記述がＨＴＭＬであるか否
かを判断する（ステップＳ３４１）。ＨＴＭＬでなけれ
ば、そのまま、先のヘッダを付けて、クライエントに対
してデータ転送を行う（ステップＳ３４６）。

【０１５２】ＨＴＭＬであれば、タグ情報から、本体１
０２のデータ形式を判定する（ステップＳ３４２）。本
体１０２のタグ情報にデータ形式が記述されていない場
合、ヘッダ１００において取得したデータ形式を用いて
もよい。

【０１５３】次に、ＣＰＵ５２は、クライエント側の端
末装置が、追跡用識別子を返送する仕様になっているか
否かを判断する（ステップＳ３４３）。携帯電話などに
おいては、クライエント追跡用識別子を付けて送って
も、この識別子が付されずに、次の通信データがクライ
エントから送られてくる。

【０１５４】追跡用識別子を返送する仕様である場合に
は、ヘッダ処理において識別子の書き換えを行ったヘッ
ダ１００と、内容に変更を加えていない本体１０２とを
クライエントに転送する（ステップＳ３４６）。

【０１５５】携帯電話などのように追跡用識別子を返送
する仕様でない場合には、クライエント追跡用識別子を
他の方法によって返送してもらう必要がある。そこで、
この実施形態では、ＨＴＭＬ本文の全てのリンクＵＲＬ
につき、クライエント追跡用識別子を付加し（ステップ
Ｓ３４５）、クライエントに転送するようにしている
（ステップＳ３４６）。このようなＵＲＬ変更を施した
ＨＴＭＬを受けたクライエントが、変更されたＵＲＬを
要求してきた場合には、この変更ＵＲＬからクライエン
ト追跡用識別子を分離してクライエント識別子を得ると
ともに、ＵＲＬを正しい状態に変換する。

【０１５６】なお、追跡用識別子を返送する仕様となっ
ているか否かは、セッションの開始時点において、クラ
イエントから当該識別子が含まれて返送されてくるか否
かによって判別できる。ＣＰＵ５２は、これをユーザ関
連付けテーブルに記憶しておいて使用する。また、後述
のように、クライエントが動画プレイヤーである場合に
は、追跡用識別子を返送しないことは明らかなので、上
記のような特別な判別処理は不要である。

【０１５７】上記のように、ＨＴＭＬ本文のリンク先Ｕ
ＲＬを変更するという方法は、クライエントがＪＡＶＡ
スクリプトにてＵＲＬを生成するような場合にはうまく
機能しない。しかし、通常、携帯電話等の追跡用識別子
を返送しない機器において、ＪＡＶＡスクリプトは使用
できないので問題を生じない。

【０１５８】上記のように、ネットワーク処理装置２６
は、ネットワークレイヤーの低いレベル（上記実施形態
では、データリンク層）において、クライエントとサー
バ間の通信データを転送しつつ、ネットワークレイヤー
の高いレベル（上記実施形態ではアプリケーション層）
において、前記通信内容を取得し、ユーザの追跡等をお
こなうようにしている。したがって、本ネットワーク処
理装置をクライエントとサーバの間に設けても、サーバ
やクライエントのプログラムを変更する必要がない。つ
まり、サーバやクライエントの動作に支障を与えること
なく、通信を監視することができる。

【０１５９】−動画サーバに対する処理− 上記実施形態では、追跡用識別子をやりとりできるウエ
ブサーバについて説明をしたが、動画サーバや音楽サー
バなど追跡識別子をやりとりできないサーバも存在す
る。この実施形態では、ウエブサーバだけでなく、これ
ら動画サーバや音楽サーバについてもユーザ認証やユー
ザ追跡を行うことができる。以下、その動作を説明す
る。

【０１６０】この実施形態では、ウエブサーバが動画サ
ーバの窓口サーバとして動作するようにしている。すな
わち、各ユーザの動画サーバへのアクセス権限などの情
報は、動画サーバではなく、窓口サーバであるウエブサ
ーバに記録されている。窓口サーバは、当該ユーザがア
クセス権限を持つ動画サーバへのリンクを提示するよう
になっている。

【０１６１】動画サーバに対するユーザ認証は、窓口サ
ーバ（ウエブサーバ）に対して行うことになる。したが
って、ユーザ認証の処理は、図１２に示したものと同じ
である。なお、図２８に、ユーザ認証の際にクライエン
トに提示される画面例を示す（図１２のステップＳＫ
３）。ユーザ認証が終了すると、図２９に示すような画
面が窓口サーバから提示される（図１２のステップＳＫ
１２）。このユーザ認証の処理において、ユーザ関連付
けテーブル（図１６）に、識別子が記憶される。

【０１６２】このようにしてユーザ認証が済んだ後の窓
口サーバとのやりとりは、図２２に示すものと同じであ
る。図２９の画面に対応して、クライエント側のユーザ
が「コンテンツ２」を選択すると、窓口サーバは図３０
のような画面を送信してくる（図２２のステップＳＫ３
２〜ＳＫ３９）。ネットワーク処理装置２６は、この転
送処理の際において、ユーザ関連付けテーブルの識別子
を更新し、最新のものとしている。

【０１６３】図３０の画面に対応して、クライエント側
のユーザが「はい」を選択した後の処理を図２６、図２
７にシーケンスフローにて示す。ユーザが「はい」をク
リックすると、Cookie（図１３参照）にユーザ追跡用識
別子が付されて、動画に対するリンク画面の要求が送信
される（ステップＳＫ５２）。

【０１６４】これを受けたネットワーク処理装置２６
は、Cookieに記述されたユーザ追跡用識別子により、ユ
ーザ関連付けテーブル（図１６）を参照して、いずれの
ユーザであるかを特定する。さらに、ネットワーク処理
装置２６は、ユーザの要求先ＵＲＬをユーザ関連付けテ
ーブルに記憶する（ステップＳＫ５３）。

【０１６５】次に、ネットワーク処理装置２６は、ユー
ザ関連付けテーブルから、サーバ追跡用識別子を取得す
る。さらに、Cookieの記述をユーザ追跡用識別子からサ
ーバ追跡用識別子に書き換えた後、窓口サーバに対して
アクセス要求を転送する（ステップＳＫ５４）。

【０１６６】窓口サーバは、このアクセス要求を受け
て、サーバ追跡用識別子に基づきユーザを認識する。さ
らに、当該ユーザが要求している動画サーバの各ＵＲＬ
に対する権限情報（権限の有無、権限の有効期限など）
を読み出す。窓口サーバは、ネットワーク処理装置２６
に対して、動画サーバに対するリンク画面（たとえば、
図３１のような画面）に、上記の権限情報を付加して送
信する（ステップＳＫ５５、ＳＫ５６）。なお、この実
施形態では、要求されたもののうち、当該ユーザが権限
を有する動画サーバへのリンクのみを送信するようにし
ている。また、この際、ウエブサーバは、Set Cookie
（図１８参照）にサーバ追跡用識別子を付加して送信す
る。

【０１６７】これを受けたネットワーク処理装置２６
は、受信したポート番号に基づいてウエブサーバを特定
し、ユーザ関連付けテーブル（図１６）を参照して、ユ
ーザを特定する。また、ユーザ関連付けテーブルのサー
バ追跡用識別子を更新する。

【０１６８】ネットワーク処理装置２６は、送信されて
きた当該ユーザの権限情報を、ユーザ対応付けテーブル
に記憶する。図３４に、ユーザの権限情報の例を示す。

【０１６９】さらに、ネットワーク処理装置２６は、ユ
ーザ関連付けテーブルから、ユーザ追跡用識別子を読み
出して、Set Cookieを書き換える。

【０１７０】クライエントのブラウザプログラムが応答
する場合には、このSet Cookieに記述したユーザ追跡用
識別子が返送されてくるのでユーザを特定することがで
きる。しかし、ユーザが動画へのリンク（図３１参照）
をクリックした場合、クライエント側では動画プレイヤ
ーが応答を返してくる。この動画プレイヤーは、ユーザ
追跡用識別子を返送しないので、ユーザを特定すること
ができなくなる。

【０１７１】そこで、ネットワーク処理装置２６は、窓
口サーバから送信されてきたコンテンツ中から、動画サ
ーバに対する全てのリンクを見いだして、当該全てのリ
ンクのアドレス中にユーザ関連付け識別子を埋め込むよ
うにしている（ステップＳＫ５８、図９のステップＳ３
４５）。

【０１７２】たとえば、動画サーバのアドレスが、rts
p://111.222.33.444:554//public/kccs1-64k.mp4であっ
た場合、ネットワーク処理装置２６は、これに、ユーザ
追跡用識別子qt/12Z31z34LtF4ThJi10/28を付加して、次
のような偽アドレスにする。rtsp://111.222.33.444:55
4/qt/12Z31z34LtF4ThJi10/28/public/kccs1-64k.mp4ネ
ットワーク処理装置２６は、このように変換を行った
後、コンテンツ（動画サーバに対するリンク画面）を、
クライエントに転送する（ステップＳＫ５８）。クライ
エントでは、これを受けて、ブラウザプログラムが図３
１に示すような画面を表示する。

【０１７３】これに応じて、ユーザが、「動画方式Ａ」
をクリックすると（ステップＳＫ６０）、クライエント
側の動画プレイヤープログラムが作動する（ステップＳ
Ｋ６１）。この動画プレイヤーは、「動画方式Ａ」の表
示に対応付けて記述されている動画サーバのアドレスを
伴って、アクセス要求を送信する（ステップＳＫ６
２）。

【０１７４】図３５に、このアクセス要求の例を示す。
１行目が、アクセス要求先の動画サーバのアドレスであ
る。前述のように、このアドレスは、ネットワーク処理
装置２６によってユーザ追跡用識別子qt/12Z31z34LtF4T
hJi10/28が埋め込まれた偽アドレスとなっている。

【０１７５】ネットワーク処理装置２６は、このアクセ
ス要求を受けて、偽アドレス中からユーザ追跡用識別子
を抽出し、ユーザ関連付けテーブルを参照してユーザを
特定する（ステップＳＫ６３）。さらに、偽アドレスか
らユーザ追跡用識別子を除去して、正しいアドレスに復
元する（図３６参照）。そして、ユーザ関連付けテーブ
ルに記憶しておいた権限情報を参照し、当該ユーザがこ
のアドレスにアクセスする権限を有しているか否かを判
断する。権限を有していない場合には、ネットワーク処
理装置２６は、図３３に示すような画面をクライエント
の動画プレイヤーに返送する。

【０１７６】アクセス権限を有している場合には、この
アクセス要求を動画サーバに転送する（ステップＳＫ６
４）。

【０１７７】動画サーバは、このアクセス要求に応答し
て、動画データを送信する（ステップＳＫ６５）。図３
７にその応答の例を示す。

【０１７８】ネットワーク処理装置２６は、この動画デ
ータを、そのままクライエントの動画プレイヤーに転送
する（ステップＳＫ６６）。この動画データに、識別子
を付さないのは、動画プレイヤーから他のコンテンツへ
リンクするという状況がないと想定したからである。

【０１７９】クライエントにおいては、この動画データ
を再生する（ステップＳＫ６７）。その画面例を図３２
に示す。

【０１８０】なお、動画プレイヤーによる再生が終了し
た後、クライエント側のブラウザがアクセス要求を出し
た際にも、ネットワーク処理装置２６は、ユーザ追跡用
識別子によってユーザを特定することができる。

【０１８１】また、上記では動画について説明したが、
音声、音楽等のサーバについても同様に適用することが
できる。

【０１８２】−他の実施形態− (1)上記各実施形態におけるネットワーク処理装置で
は、ハブ２８やルータなどと別に設けているが、ハブや
ルータの機能も実現するネットワーク処理装置としても
よい。たとえば、スイッチングハブの機能も有するよう
にした場合には、クライエントからの通信データを、所
望のサーバに対する通信路を選択して送信する機能（選
択手段）を持つことになる。

【０１８３】(2)上記各実施形態では、個別認証におい
て、各ウエブサーバ毎の独自のユーザＩＤやパスワード
を使用できるようにしている。このことにより、既存の
ウエブサーバに対しても、本ネットワーク処理装置を用
いることが可能となる。しかし、ネットワーク処理装置
２６に新たに接続するウエブサーバ等に対しては、一元
認証において用いたユーザＩＤやパスワードを共通して
用いるようにしてもよい。

【０１８４】(3)上記実施形態では、図１２の一元的認
証において、ステップＳＫ３において一元的認証画面を
クライエントに送信している。しかし、図３８に示すよ
うに、セッションにおける最初のウエブサーバによる個
別認証を、一元的認証として用いてもよい。

【０１８５】ネットワーク処理装置２６は、識別子の付
されていないアクセス要求（かつ、前回ＵＲＬの付され
ていないアクセス要求）を受けると、当該ユーザをゲス
トとして扱って、ユーザ関連づけテーブルに登録する
（ステップＳＫ１０３）。続いて、ネットワーク処理装
置２６は、識別子を付けずに、そのままサービス要求を
ウエブサーバに転送する（ステップＳＫ１０４）。

【０１８６】ウエブサーバは、識別子が付いていないこ
とから、最初のアクセスであると判断し、サーバ追跡用
識別子を付して認証要求を送信する（ステップＳＫ１０
５）。ネットワーク処理装置２６は、ユーザ関連づけテ
ーブルを更新し、ユーザ追跡用識別子を付して、この認
証要求をクライエントに転送する（ステップＳＫ１０
６）。

【０１８７】クライエントは、この認証要求に対し、ユ
ーザＩＤ、パスワードなどのユーザ認証情報を送信する
（ステップＳＫ１０７）。ネットワーク処理装置２６
は、このユーザ認証情報を受けて、ユーザ関連づけテー
ブルを参照して、記憶しておいたサーバ追跡用識別子を
付して、ユーザ認証情報をウエブサーバに転送する（ス
テップＳＫ１０８）。

【０１８８】ウエブサーバは、これを受けてユーザ認証
を行い、サービス応答（コンテンツ）を送信する（ステ
ップＳＫ１０９）。その後の処理は、図１２のステップ
ＳＫ１０以下と同様である。

【０１８９】上記のように、この実施形態では、最初の
ウエブサーバの個別認証処理を一元的認証処理として利
用している。この個別認証処理による一元認証処理が済
んだ後は、図１２の実施形態と同じように、新たにアク
セスするウエブサーバに対して、ネットワーク処理装置
２６が自動的に個別認証を行う。

【０１９０】(4)上記各実施形態においては、図２に示
す各機能をＣＰＵとプログラムを用いて実現している
が、その一部または全部をハードウエアロジックによっ
て構成してもよい。

【図面の簡単な説明】

【図１】この発明の一実施形態によるネットワーク処理
装置２６を用いたネットワークを示す図である。

【図２】ネットワーク処理装置２６の機能ブロックを示
す図である。

【図３】ネットワーク処理装置２６のハードウエア構成
を示す図である。

【図４】ネットワーク処理プログラムのフローチャート
を示す図である。

【図５】ネットワーク処理プログラムのフローチャート
を示す図である。

【図６】ネットワーク処理プログラムのフローチャート
を示す図である。

【図７】ネットワーク処理プログラムのフローチャート
を示す図である。

【図８】ネットワーク処理プログラムのフローチャート
を示す図である。

【図９】ネットワーク処理プログラムのフローチャート
を示す図である。

【図１０】ネットワーク処理プログラムのフローチャー
トを示す図である。

【図１１】通信データの構造を示す図である。

【図１２】一元的認証を行う際のシーケンスフローを示
す図である。

【図１３】クライエントからのアクセス要求の詳細を示
す図である。

【図１４】サーバに転送されるアクセス要求の詳細を示
す図である。

【図１５】認証画面例をを示す図である。

【図１６】認証画面例を示す図である。

【図１７】ユーザ情報のデータ例を示す図である。

【図１８】ユーザ関連づけテーブルを示す図である。

【図１９】サーバからのコンテンツデータの例を示す図
である。

【図２０】クライエントに転送されるコンテンツデータ
の例を示す図である。

【図２１】クライエント追跡用識別子を取得する処理の
フローチャートを示す図である。

【図２２】ユーザの追跡処理のシーケンスフローを示す
図である。

【図２３】サーバからの認証要求を示す図である。

【図２４】認証要求に対してネットワーク処理装置２６
が送信するデータを示す図である。

【図２５】認証の有無をユーザ毎に記録するテーブルを
示す図である。

【図２６】動画サーバに対する処理のシーケンスフロー
を示す図である。

【図２７】動画サーバに対する処理のシーケンスフロー
を示す図である。

【図２８】動画サーバアクセスに関するログイン画面を
示す図である。

【図２９】動画サーバアクセスに関する画面例を示す図
である。

【図３０】動画サーバアクセスに関する画面例を示す図
である。

【図３１】動画サーバアクセスに関する画面例を示す図
である。

【図３２】動画サーバアクセスに関する画面例を示す図
である。

【図３３】動画サーバアクセスに関する画面例を示す図
である。

【図３４】ユーザ関連づけテーブルに記録した各ユーザ
毎の動画サーバに対するアクセス権限を示す図である。

【図３５】クライエントから動画サーバへの要求例を示
す図である。

【図３６】動画サーバに転送される要求例を示す図であ
る。

【図３７】動画サーバからの応答例を示す図である。

【図３８】他の実施形態による一元的認証のシーケンス
フローを示す図である。

【図３９】従来の一元的認証のシステムを示す図であ
る。

【図４０】従来の一元的認証のシステムを示す図であ
る。

【符号の説明】

４０・・・対クライエント通信手段４２・・・対サーバ通信手段４４・・・解析手段４６・・・認証手段４８・・・転送手段

Claims

【特許請求の範囲】

【請求項１】通信路によって通信可能な１以上のクライ
エントと複数のサーバとの間に設けられたネットワーク
処理装置であって、クライエントとの通信路に結合され、クライエントとの
間での通信データのやりとりを行う対クライエント通信
手段と、サーバとの通信路に結合され、サーバとの間での通信デ
ータのやりとりを行う対サーバ通信手段と、対クライエント通信手段によってクライエントから受信
した通信データを、対サーバ通信手段によってサーバに
転送し、対サーバ通信手段によってサーバから受信した
通信データを、対クライエント通信手段によってクライ
エントに転送する処理手段と、を備えており、前記処理手段は、受信した通信データの通信内容を解析する解析手段と、通信内容が、クライエントからいずれかのサーバに向け
たアクセス要求であれば、当該アクセス要求を行ったユ
ーザの一元的認証が済んでいるか否かを判断し；一元的
認証済でなければ、当該クライエントとの間で一元的認
証処理を行い；一元的認証済であれば、前記アクセス要
求を前記サーバに転送する認証手段と、を備えていることを特徴とするもの。
【請求項２】通信路によって通信可能な１以上のクライ
エントと複数のサーバとの間に設けられたネットワーク
処理装置としてコンピュータを動作させるためのプログ
ラムであって、クライエントから受信した通信データをサーバに転送
し、サーバから受信した通信データをクライエントに転
送する処理手段としてコンピュータを動作させるための
プログラムであり、前記プログラムにより実現される処理手段は、受信した通信データの通信内容を解析する解析手段と、通信内容が、クライエントからいずれかのサーバに向け
たアクセス要求であれば、当該アクセス要求を行ったユ
ーザの一元的認証が済んでいるか否かを判断し；一元的
認証済でなければ、当該クライエントとの間で一元的認
証処理を行い；一元的認証済であれば、前記アクセス要
求を前記サーバに転送する認証手段と、を備えていることを特徴とするもの。
【請求項３】請求項２のプログラムを記録した記録媒
体。
【請求項４】請求項１〜３のいずれかのネットワーク処
理装置、プログラムまたは記録媒体において、前記認証手段は、前記通信内容が、クライエントからい
ずれかのサーバに向けたアクセス要求であれば、当該ア
クセス要求を行ったユーザの一元的認証が済んでいるか
否かを判断し；一元的認証済でなければ、前記アクセス
要求を前記サーバへ直ちに転送せず保持しておき、当該
クライエントとの間で一元的認証処理を行った後、前記
アクセス要求を前記サーバに転送し；一元的認証済であ
れば、前記アクセス要求を前記サーバに転送することを
特徴とするもの。
【請求項５】請求項１〜３のいずれかのネットワーク処
理装置、プログラムまたは記録媒体において、前記認証手段は、前記通信内容が、クライエントからい
ずれかのサーバに向けたアクセス要求であれば、当該ア
クセス要求を行ったユーザの一元的認証が済んでいるか
否かを判断し；一元的認証済でなければ、前記アクセス
要求を前記サーバへ転送して、当該サーバから送信され
てくる個別認証要求をクライエントに転送して個別認証
を行い、当該個別認証を一元的認証として利用すること
を特徴とするもの。
【請求項６】請求項１〜５のいずれかのネットワーク処
理装置、プログラムまたは記録媒体において、前記認証手段は、クライエントとの通信において、クラ
イエント追跡用識別子を付与して通信データを送信し、
クライエントからの通信データに含まれるクライエント
追跡用識別子に基づいて、ユーザを特定することを特徴
とするもの。
【請求項７】請求項６のネットワーク処理装置、プログ
ラムまたは記録媒体において、前記認証手段は、通信データ中のセッションＩＤを利用
して、クライエント追跡用識別子を、クライエントとの
間でやりとりすることを特徴とするもの。
【請求項８】請求項６のネットワーク処理装置、プログ
ラムまたは記録媒体において、前記認証手段は、クライエントがセッションＩＤのやり
とりに対応していない場合には、通信データ中のリンク
アドレスにクライエント追跡用識別子を埋め込んで偽ア
ドレスとしてクライエントに送信し、これに対するクラ
イエントからの偽アドレスに対するアクセス要求を受け
ると、当該偽アドレスからクライエント追跡用識別子を
抽出するとともに、正しいアドレスを復元することを特
徴とするもの。
【請求項９】請求項６〜８のいずれかのネットワーク処
理装置、プログラムまたは記録媒体において、前記認証手段は、前記クライエント追跡用識別子を伴わ
ないクライエントからのアクセス要求を受信した場合で
あって、当該アクセス要求の通信データに前回のアクセ
ス先サーバが記述されていない場合には、一元的認証が
済んでいないと判断することを特徴とするもの。
【請求項１０】請求項１〜９のいずれかネットワーク処
理装置、プログラムまたは記録媒体において、前記認証手段は、前記アクセス要求の転送先であるサー
バから、個別認証要求を受けた場合、当該ユーザの一元
的認証が済んでいれば、当該個別認証要求をクライエン
ト装置に転送せず、当該サーバとの間で個別認証処理を
行うことを特徴とするもの。
【請求項１１】請求項１０のネットワーク処理装置、プ
ログラムまたは記録媒体において、少なくとも個別認証に必要な情報を各ユーザごとに記録
したユーザ情報記録部を備えており、前記認証手段は、前記一元的認証処理の際に、前記クラ
イエント追跡用識別子とユーザとを関連づけておき、前
記個別認証処理の際に、前記クライエント追跡用識別子
に基づいて特定したユーザについて、ユーザ情報記録部
から個別認証に必要な情報を取得して用いることを特徴
とするもの。
【請求項１２】請求項１０または１１のネットワーク処
理装置、プログラムまたは記録媒体において、前記認証手段は、サーバによって付与されるサーバ追跡
用識別子を返信することにより、サーバにいずれからの
通信であるかを特定させることを特徴とするもの。
【請求項１３】請求項１２のネットワーク処理装置、プ
ログラムまたは記録媒体において、前記処理手段は、同一のユーザについてのクライエント追跡用識別子と、
サーバ追跡用識別子とを対応づけて記憶し、前記クライ
エントからの通信データに含まれるクライエント追跡用
識別子を、対応するサーバ追跡用識別子に書き換えて転
送し、前記サーバからの通信データに含まれるサーバ追
跡用識別子を、対応するクライエント追跡用識別子に書
き換えて転送する転送手段をさらに備えていることを特
徴とするもの。
【請求項１４】請求項１３のネットワーク処理装置、プ
ログラムまたは記録媒体において、前記転送手段は、前記クライエントからの通信データを
受けると、クライエント追跡用識別子に基づいてユーザ
を特定し、ユーザ情報記録部から、アクセス要求先のサ
ーバについての当該ユーザの認証情報を読み出し、当該
認証情報を、そのままもしくは暗号化して通信データに
付加し、サーバに転送することを特徴とするもの。
【請求項１５】請求項４〜１４のいずれかのネットワー
ク処理装置、プログラムまたは記録媒体において、前記認証手段は、前記クライエント追跡用識別子を伴わ
ないクライエントからのアクセス要求を受信した場合で
あって、当該アクセス要求の通信データに前回のアクセ
ス先サーバが記述されている場合には、当該アクセス要求を一時保持しておき、クライエントに対して、前回のアクセス先サーバに対す
る偽アクセス要求を送信するように要求し、当該要求に応じて送信されてきた偽アクセス要求の通信
データから、クライエント追跡用識別子を取得するとと
もに、当該偽アクセス要求をサーバに転送せず破棄し、取得したクライエント追跡用識別子に基づいてユーザを
特定することを特徴とするもの。
【請求項１６】請求項１〜１５のいずれかのネットワー
ク処理装置、プログラムまたは記録媒体において、前記解析手段は、クライエントまたはサーバのアプリケ
ーションの処理をシミュレートして、通信データの通信
内容を解析することを特徴とするもの。
【請求項１７】請求項１６のネットワーク処理装置、プ
ログラムまたは記録媒体において、前記解析手段は、前記シミュレートの結果、通信内容に
エラーがあると判断した場合には、当該通信データを転
送せず、再送要求を送信することを特徴とするもの。
【請求項１８】請求項１〜１７のいずれかのネットワー
ク処理装置、プログラムまたは記録媒体において、前記対サーバ通信手段は、前記複数のサーバに対して、
個別の通信路によって接続されており、前記処理手段は、クライエントからの通信データを、所
望のサーバに対する通信路を選択して送信する選択手段
を備えていることを特徴とするもの。
【請求項１９】クライエントから受信した通信データを
サーバに転送し、サーバから受信した通信データをクラ
イエントに転送するネットワーク転送方法において、上記転送処理時に、受信した通信データの通信内容を解
析し、通信内容が、クライエントからいずれかのサーバに向け
たアクセス要求であれば、当該アクセス要求を行ったユ
ーザの一元的認証が済んでいるか否かを判断し；一元的
認証済でなければ、当該クライエントとの間で一元的認
証処理を行い；一元的認証済であれば、前記アクセス要
求を前記サーバに転送することを特徴とするネットワー
ク転送方法。
【請求項２０】通信路によって通信可能な１以上のクラ
イエントと複数のサーバとの間に設けられたネットワー
ク処理装置であって、クライエントとの通信路に結合され、クライエントとの
間での通信データのやりとりを行う対クライエント通信
手段と、サーバとの通信路に結合され、サーバとの間での通信デ
ータのやりとりを行う対サーバ通信手段と、対クライエント通信手段によってクライエントから受信
した通信データを、対サーバ通信手段によってサーバに
転送し、対サーバ通信手段によってサーバから受信した
通信データを、対クライエント通信手段によってクライ
エントに転送する処理手段と、を備えており、前記処理手段は、セッションを識別するためにクライエントとの間の通信
データに記述されるクライエント追跡用識別子と、何れ
のサーバからの通信であるかを特定するためのサーバ特
定用データとを、同一のユーザについて対応づけて記憶
することを特徴とするもの。
【請求項２１】通信路によって通信可能な１以上のクラ
イエントと複数のサーバとの間に設けられたネットワー
ク処理装置としてコンピュータを動作させるためのプロ
グラムであって、クライエントから受信した通信データをサーバに転送
し、サーバから受信した通信データをクライエントに転
送する処理手段としてコンピュータを動作させるための
プログラムであり、前記プログラムにより実現される処理手段は、セッションを識別するためにクライエントとの間の通信
データに記述されるクライエント追跡用識別子と、何れ
のサーバからの通信であるかを特定するためのサーバ特
定用データとを、同一のユーザについて対応づけて記憶
することを特徴とするもの。
【請求項２２】請求項２１のプログラムを記録した記録
媒体。
【請求項２３】請求項２０〜２２のいずれかのネットワ
ーク処理装置、プログラムまたは記録媒体において、前記処理手段は、さらに、サーバからの通信データに含
まれるサーバ追跡用識別子を、同一のユーザについて、
前記クライエント追跡用識別子に対応付けて記憶し、ク
ライエントからの通信データに含まれるクライエント追
跡用識別子を、対応するサーバ追跡用識別子に書き換え
て転送し、前記サーバからの通信データに含まれるサー
バ追跡用識別子を、対応するクライエント追跡用識別子
に書き換えて転送する転送手段を備えていることを特徴
とするもの。
【請求項２４】請求項２０〜２３のいずれかのネットワ
ーク処理装置、プログラムまたは記録媒体において、前記転送手段は、通信データ中のセッションＩＤを利用
して、クライエント追跡用識別子を、クライエントとの
間でやりとりすることを特徴とするもの。
【請求項２５】請求項２０〜２３のネットワーク処理装
置、プログラムまたは記録媒体において、前記転送手段は、通信データ中のリンクアドレスにクラ
イエント追跡用識別子を埋め込んで偽アドレスとしてク
ライエントに送信し、これに対するクライエントからの
偽アドレスに対するアクセス要求を受けると、当該偽ア
ドレスからクライエント追跡用識別子を抽出するととも
に、正しいアドレスを復元することを特徴とするもの。
【請求項２６】請求項２０〜２５のいずれかのネットワ
ーク処理装置、プログラムまたは記録媒体において、前記処理手段は、通信データに記述されているクライエ
ント追跡用識別子またはサーバ追跡用識別子に基づいて
ユーザを特定し、当該ユーザのアクセス状況を記録する
アクセス記録手段を備えていることを特徴とするもの。
【請求項２７】クライエントから受信した通信データを
複数のサーバのいずれかに転送し、複数のサーバのいず
れかから受信した通信データをクライエントに転送する
ネットワーク転送方法において、上記転送処理時に、セッションを識別するためにクライ
エントとの間の通信データに記述されるクライエント追
跡用識別子と、何れのサーバからの通信であるかを特定
するためのサーバ特定用データとを、同一のユーザにつ
いて対応づけて記憶し、クライエントとサーバとの対応
関係を把握することを特徴とするネットワーク転送方
法。
【請求項２８】複数のクライエントと複数のサーバとの
間の通信を、各ユーザを特定しつつ監視するネットワー
ク処理装置であって、当該ネットワーク装置はアドレスを有しておらず、クライエントとサーバとの間の通信を転送するものであ
り、当該転送時に、クライエントまたはサーバの機能の少な
くとも一部をシミュレートして通信内容を解析して監視
を行うことを特徴とするもの。
【請求項２９】複数のクライエントと複数のサーバとの
間の通信を、各ユーザを特定しつつ監視するネットワー
ク処理装置をコンピュータによって実現するためのプロ
グラムであって、前記ネットワーク処理装置にはアドレスが与えられてお
らず、前記プログラムは、クライエントとサーバとの間の通信
を転送するものであり、当該転送時に、クライエントま
たはサーバの機能の少なくとも一部をシミュレートして
通信内容を解析して監視を行うことを特徴とするもの。
【請求項３０】請求項２９のプログラムを記録した記録
媒体。
【請求項３１】複数のクライエントと複数のサーバとの
間の通信を、各ユーザを特定しつつ監視する方法であっ
て、複数のクライエントと複数のサーバとの間に、アドレス
を有さないネットワーク装置を設け、当該ネットワーク装置により、クライエントとサーバと
の間の通信を転送するとともに、当該転送時に、クライ
エントまたはサーバの機能の少なくとも一部をシミュレ
ートして通信内容を解析して監視を行うことを特徴とす
るもの。
【請求項３２】複数のクライエントと複数のサーバとの
間の通信を監視するネットワーク処理装置であって、ネットワークレイヤーの低いレベルにおいて、クライエ
ントとサーバ間の通信データを転送しつつ、ナットワークレイヤーの高いレベルにおいて、前記通信
内容を取得することを特徴とするネットワーク処理装
置。
【請求項３３】複数のクライエントと複数のサーバとの
間の通信を監視するネットワーク処理装置をコンピュー
タを用いて実現するためのプログラムであって、ネットワークレイヤーの低いレベルにおいて、クライエ
ントとサーバ間の通信データを転送しつつ、ネットワークレイヤーの高いレベルにおいて、前記通信
内容を取得する処理をコンピュータに行わせるためのプ
ログラム。
【請求項３４】請求項３３のプログラムを記録した記録
媒体。
【請求項３５】複数のクライエントと複数のサーバとの
間の通信を監視するネットワーク処理方法であって、ネットワークレイヤーの低いレベルにおいて、クライエ
ントとサーバ間の通信データを転送しつつ、ナットワークレイヤーの高いレベルにおいて、前記通信
内容を取得することを特徴とするネットワーク処理方
法。
【請求項３６】クライエントとサーバとの間の通信デー
タの転送を行いつつ、各通信のユーザを特定する方法で
あって、クライエントに対してはクライエント追跡用識別子を付
して通信データを送信し、クライエントからの通信デー
タに含まれるクライエント追跡用識別子に基づいてユー
ザを特定し、サーバに対しては、サーバからの通信データに付されて
きたサーバ追跡用識別子を記憶しておき、サーバへの通
信データにこのサーバ追跡用識別子を付して送信し、前記クライエント追跡用識別子とサーバ追跡用識別子と
を、各ユーザごとに対応付けて記憶することにより、各
通信のユーザを特定することを特徴とするもの。