JP2004220075A

JP2004220075A - ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および統合型認証アクセス制御システム

Info

Publication number: JP2004220075A
Application number: JP2003003108A
Authority: JP
Inventors: Jun Miyoshi; 潤三好
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2003-01-09
Filing date: 2003-01-09
Publication date: 2004-08-05
Anticipated expiration: 2023-01-09
Also published as: JP4152753B2

Abstract

【課題】仮想閉域網内にあって利用者がアクセス権限を持つアプリケーションサーバに対してさらなる認証手順を踏む必要のないようにする。
【解決手段】利用者端末６から仮想閉域網８へのアクセスの認証が得られると、ネットワーク認証アクセス制御サーバ２は、転送ノード４とリモートアクセスサーバ５に対して接続パスの設定を行なう。アプリケーション認証アクセス制御サーバ３は、利用者端末６から仮想閉域網８内のアプリケーションサーバ９へのアクセス要求のパケットから送信元アドレスを抽出し、ネットワーク認証アクセス制御サーバ２に送信する。ネットワーク認証アクセス制御サーバ２は、送信元アドレス情報が自サーバ内に登録されていればネットワーク認証アクセス制御サーバ２で認証済みである旨を、登録されていない場合は、ネットワーク認証アクセス制御サーバ２で未認証であることをアプリケーション認証アクセス制御サーバ３に応答する。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
本発明は統合型認証アクセス制御システムに関し、特に利用者の端末からの接続要求を、リモートアクセスサーバを介して受信し、該リモートアクセスサーバと転送ノードを制御して接続パスを設定し、端末と仮想閉域網とを接続して、端末と仮想閉域網内のアプリケーションサーバとの間の通信を実現するネットワーク認証アクセス制御サーバと、仮想閉域網内に設置されて、仮想閉域網内にある複数のアプリケーションサーバに対するアクセス時の認証を実現するアプリケーション認証アクセス制御サーバを含む統合型認証アクセス制御システムに関する。
【０００２】
【従来の技術】
従来、企業通信網など特定の対地のみを接続する閉域網を構築するために、仮想閉域網が導入されている。コネクションレス型通信網における仮想閉域網は、伝送路、転送ノードを共有するのみならず、論理パス、論理回線も共有して、セキュリティを確保した転送制御がなされている。また、仮想閉域網は特定の対地のみを接続するのではなく、特定の端末、または特定のユーザからのリモートアクセスを受け付けることができるようになっている。例えば、社員の自宅の端末から電話網あるいはＡＤＳＬ（ＡｓｙｎｍｅｔｒｉｃＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅ）網等を経由して企業の仮想閉域網にアクセスし、会社のホストコンピュータに接続することができる。電話網等と仮想閉域網との間にリモートアクセスサーバが設置されており、端末は、ダイアルアップ等でリモートアクセスサーバに接続し、仮想閉域網にアクセスすることが行なわれている。
【０００３】
リモートアクセスサーバと仮想閉域網とを接続する転送ノードと、リモートアクセスサーバと転送ノードとを制御する閉域網群制御サーバを備え、複数の仮想閉域網の利用者が共有している。リモートアクセスサーバと転送ノードとの間の物理回線を複数の仮想閉域網で利用して、設備の利用効率を向上させることが出願されている（特許文献１）。この特許文献１では、利用者からの接続要求に基づいて、リモートアクセスサーバは、仮想閉域網毎に仮想ルータ（以下、ＶＲ：ＶｉｒｔｕａｌＲｏｕｔｅｒと表記）を割り当て、ＶＲを１本の物理回線に接続する。利用者からの切断を契機に、リモートアクセスサーバは、ＶＲを開放し、他の仮想閉域網の利用者に割り当てる。
【０００４】
一方、仮想閉域網に代表される通信網への接続環境が整っていることを前提として、通信網上に接続されている複数のサーバ上のコンテンツへのアクセスを一度の認証で可能にする（以下、シングルサインオンと表記）方法として、網内に認証アクセス制御サーバを設置する方法が知られており、シングルサインオンはその処理形態によって、「リバース・プロキシ型」と「エージェント・モジュール型」とに分類される。
【０００５】
リバース・プロキシ型のシングルサインオンでは、サーバへのアクセス要求は全て認証アクセス制御サーバを中継して送信され、認証アクセス制御サーバは、中継時に、内部に持つ利用者毎のアクセスリストを参照してアクセス制御を行なう。一方、エージェント・モジュール型のシングルサインオンでは、利用者は、まず認証アクセス制御サーバにログインする。認証に成功すると、認証アクセス制御サーバは、該利用者がアクセス可能なアプリケーションサーバのリストをクッキーに埋め込んで利用者端末に送信する。その後、利用者がアプリケーションサーバにアクセスした時、コンテンツサーバ内のエージェント・モジュールがクッキー内の情報をもとにアクセスの可否を決定する。アプリケーションサーバに対して、認証アクセス制御サーバで認証されていない利用者からのアクセスがあった場合は、該アプリケーションサーバ内のエージェント・モジュールがアクセス要求を認証アクセス制御サーバに転送して、認証を行なわせる。
【０００６】
なお、現在、企業連合であるＬｉｂｅｒｔｙＡｌｌｉａｎｃｅにおいて、エージェント・モジュール型をベースにしたシングルサインオンの方式の標準化が進められている。
【０００７】
【特許文献１】
特開２００２−１８５５３８号公報
【０００８】
【発明が解決しようとする課題】
仮想閉域網に利用者が遠隔地からアクセスする場合は、通常、仮想閉域網に接続した後、何らかの業務を行なうために、その仮想閉域網内のサーバにアクセスすることが考えられる。この時、一旦仮想閉域網に接続した後は、既述のリバース・プロキシ型ないしはエージェント・モジュール型の認証アクセス制御サーバを利用することにより、アプリケーションサーバへのシングルサインオンが可能であるが、仮想閉域網自体へのアクセスに対しては、別に認証が必要であるため、利用者がリモートアクセスにより仮想閉域網内のアプリケーションサーバへアクセスするためには二度以上の認証が必要となり、ユーザの利便性から見て不十分であるという問題がある。
【０００９】
本発明の目的は、セキュリティ強度を損なうことなく、その仮想閉域網内にあって利用者がアクセス権限を持つアプリケーションサーバに対してさらなる認証手順を踏む必要のない、ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および統合型認証アクセス制御システムを提供することにある。
【００１０】
【課題を解決するための手段】
本発明のネットワーク認証アクセス制御サーバおよびアプリケーション認証アクセス制御サーバは、転送ノードとリモートアクセスサーバとともに、利用者端末がリモートアクセスサーバおよび転送ノードを介して遠隔地から仮想閉域網に接続した上で、利用者端末から発行される仮想閉域網内のアプリケーションサーバへのアクセス要求を認証する統合型認証アクセス制御システムを構成している。
【００１１】
本発明のネットワーク認証アクセス制御サーバは、利用者端末から仮想閉域網への接続要求をリモートアクセスサーバを介して受信し、仮想閉域網への接続における認証に必要な情報を利用者端末から受け取る手段と、該情報を用いて利用者を認証する手段と、認証が成功すると、リモートアクセスサーバと転送ノードに対して、利用者端末と仮想閉域網との間を接続する手段と、利用者の認証状態と、認証に成功した場合にその利用者の端末を仮想閉域網に接続するために払い出したアドレスを利用者毎に管理する手段と、アプリケーション認証アクセス制御サーバから、アプリケーションサーバへのアクセス要求パケットの送信元アドレスの情報を受け取る手段と、受け取った送信元アドレスをもとに、ネットワーク認証アクセス制御サーバ内で管理している認証時の払い出しアドレスの情報を検索し、その送信元アドレスが仮想閉域網への認証成功時に払い出したアドレスか否かを判断する手段と、送信元アドレスが認証成功時に払い出したアドレスであった場合、そのアドレスを送信元としてアプリケーションサーバへのアクセス要求を発行してきた利用者はネットワーク認証アクセス制御サーバで認証済みである旨をアプリケーション認証アクセス制御サーバに応答する手段と、送信元アドレスが認証成功時に払い出したアドレスでなかった場合、そのアドレスを送信元としてアプリケーションサーバへのアクセス要求を発行してきた利用者はネットワーク認証アクセス制御サーバで認証済みではない旨をアプリケーション認証アクセス制御サーバに応答する手段とを備える。
【００１２】
一方、本発明のアプリケーション認証アクセス制御サーバは、利用者からのアプリケーションサーバ群へのアクセス要求を受け取る手段と、そのアクセス要求の送信元アドレスを抽出し、ネットワーク認証アクセス制御サーバに対してその送信元アドレスの情報を送信してアクセス要求を送ってきた利用者が認証済みであるかを問い合わせる手段と、ネットワーク認証アクセス制御サーバから認証済みである旨の応答があった場合、元々のアクセス要求に対して、パスワード等認証に必要な情報を改めて送信してもらうことなく、証明書等認証成功を示す情報を付与して利用者端末に対して応答する手段と、ネットワーク認証アクセス制御サーバから未認証である旨の応答があった場合、元々のアクセス要求に対して、パスワード等認証に必要な情報を要求して認証を求める手段と、引き続いて利用者端末から認証に必要な情報を受け取り、認証に成功した場合に、証明書等認証成功を示す情報を付与して利用者端末に対して応答する手段とを備える。
【００１３】
次に、このように構成された本発明の統合型認証アクセス制御システムでの認証処理の流れについて説明する。
【００１４】
ネットワーク認証アクセス制御サーバは、仮想閉域網への接続要求が発行されると、利用者端末から、その仮想閉域網へのアクセスに必要となる認証情報を取得して、それに基づいて、仮想閉域網へのアクセスの認証を行なう。この認証が得られると、ネットワーク認証アクセス制御サーバは、利用者端末が当該仮想閉域網に接続されるように、転送ノードとリモートアクセスサーバに対して接続パスの設定を行なう。この後、利用者端末から当該仮想閉域網内のアプリケーションサーバに対してアクセス要求を行なうと、そのアクセス要求にはそのアプリケーションサーバにアクセスする権限を有することを示す証明書が含まれていないため、エージェント・モジュール型のシングルサインオンの方式に従い、アクセス要求はアプリケーション認証アクセス制御サーバに転送される。
【００１５】
アプリケーション認証アクセス制御サーバは、受信したアプリケーションサーバへのアクセス要求のパケットから送信元アドレスを抽出し、アクセス要求元の利用者の認証状態を確認するために、ネットワーク認証アクセス制御サーバに対して先に抽出した送信元アドレスの情報を送信する。
【００１６】
ネットワーク認証アクセス制御サーバは、受信した送信元アドレス情報が自サーバ内に保持する認証状態を管理するリスト内に認証済みで払い出したアドレスとして登録されているかを検索する。該送信元アドレスがリスト内に存在した場合は、ネットワーク認証アクセス制御サーバで認証済みである旨をアプリケーション認証アクセス制御サーバに応答し、リスト内にない場合は、ネットワーク認証アクセス制御サーバで未認証であることを応答する。
【００１７】
アプリケーション認証アクセス制御サーバは、認証済みとの応答を受信した場合は、元々利用者端末から送られてきたアクセス要求に対して、パスワード等認証に必要な情報を改めて要求することなく、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。ネットワーク認証アクセス制御サーバから未認証との応答を受信した場合は、元々のアクセス要求に対して、パスワード等認証に必要な情報を利用者に要求し、認証が成功した場合に限り、アプリケーションサーバ群へのアクセス権限を有していることを証明する証明書を付与して利用者端末に送信する。
【００１８】
これ以降に該利用者端末が仮想閉域網内のアプリケーションサーバ群に対してアクセスを試みた場合は、アプリケーション認証アクセス制御サーバが発行した証明書がアクセス要求に付与されていることをアプリケーションサーバが確認することで認証手続きが完了していることを判別し、自アプリケーションサーバへのアクセスを許可する。
【００１９】
したがって、ＬｉｂｅｒｔｙＡｌｌｉａｎｃｅにて標準化作業が進められている、エージェント・モジュール型のシングルサインオンをベースとする、仮想閉域網へのリモートアクセスにおいて、利用者は仮想閉域網へのアクセス時に一度認証を行なうだけで、仮想閉域網へのリモートアクセスのみならず、仮想閉域網内の複数のアプリケーションサーバに対するセキュアなアクセスが可能になる。
【００２０】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００２１】
図１は本発明の一実施形態の統合型認証アクセス制御システムの構成図である。
【００２２】
統合型認証アクセス制御システム１はネットワーク認証アクセス制御サーバ２とアプリケーション認証アクセス制御サーバ３と転送ノード４とリモートアクセスサーバ５で構成されている。
【００２３】
この構成において、利用者７が利用者端末６から仮想閉域網８に遠隔からダイアルアップでアクセスするものとし、この仮想閉域網８内には、アプリケーションサーバ９_１、９_２があり、利用者７はこのいずれのアプリケーションサーバ９_１、９_２にもアクセス権限を有しているものとする。
【００２４】
図２（ａ）（ｂ）はそれぞれネットワーク認証アクセス制御サーバ２、アプリケーション認証アクセス制御サーバ３の構成図である。
【００２５】
ネットワーク認証アクセス制御サーバ２は接続要求受付／応答部２１と認証部２２と接続パス設定／削除部２３とネットワーク認証状態テーブル２４とアドレス払い出し／回収部２５と認証状態応答部２６を有している。
【００２６】
接続要求受付／応答部２１はリモートアクセスサーバ５を介した利用者端末６から仮想閉域網８の接続要求を認証に必要な情報とともに受け取り、またリモートアクセスサーバ５を介して利用者端末６に認証結果とＩＰアドレスを返す。また、接続要求受付／応答部２１は、リモートアクセスサーバ５から切断要求を受信する。認証部２２は接続要求受付／応答部２１で接続要求が受信されると、受け取った認証に必要な情報を用いて利用者７を認証する。接続パス設定／削除部２３は認証部２２における認証が成功した場合、リモートアクセスサーバ５と転送ノード４に対して、利用者端末６と仮想閉域網８の間の接続パスを設定し、また、リモートアクセスサーバ５から切断要求が送信されると、前記接続パスを削除する。ネットワーク認証状態テーブル２４は、仮想閉域網毎に用意され、各利用者が仮想閉域網に接続しているか接続していないかを示す認証状態と、接続されている場合に当該利用者の端末に対して払い出されたＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）アドレスの情報を管理する。表１に、ネットワーク認証状態テーブル２４の一例を示す。
【００２７】
【表１】

【００２８】
アドレス払い出し／回収部２５は、アプリケーション認証アクセス制御サーバ３から受け取った、アプリケーションサーバ９_１または９_２へのアクセス要求パケットの送信元アドレスをもとに、ネットワーク認証状態テーブル２４から認証時の払い出しアドレスの情報を検索し、送信元アドレスが仮想閉域網８への認証成功時に払い出したアドレスが否かを判断する。またアドレス払い出し／回収部２５は接続要求受付／応答部２１で切断要求が受信されると、利用者端末６に払い出したＩＰアドレスをネットワーク認証状態テーブル２４から回収して利用者７を未認証状態に戻す。認証状態応答部２６はアプリケーション認証アクセス制御サーバ３から、アプリケーションサーバ９_１または９_２へのアクセス要求パケットの送信元アドレスの情報を受け取り、該アドレスが認証成功時に払い出したアドレスであった場合、そのアドレスを送信元としてアプリケーションサーバ９_１または９_２へのアクセス要求を発行してきた利用者はネットワーク認証アクセス制御サーバ２で認証済みである旨をアプリケーション認証アクセス制御サーバ３に応答し、認証成功時に払い出したアドレスでなかった場合、そのアドレスを送信元としてアプリケーションサーバ９_１または９_２へのアクセス要求を発行してきた利用者はネットワーク認証アクセス制御サーバ２で認証済みではない旨をアプリケーション認証アクセス制御サーバ３に応答する。
【００２９】
アプリケーション認証アクセス制御サーバ３はアクセス要求受付／応答部３１と送信元アドレス抽出部３２と認証状態問合せ部３３とアクセス許可判断部３４とを有している。
【００３０】
アクセス要求受付／応答部３１は転送ノード４を介した利用者７からのアプリケーションサーバ９_１または９_２へのアクセス要求を受付け、また認証の成功／不成功を転送ノード４を介して利用者７に応答する。送信元アドレス抽出部３２はアクセス要求受付／応答部３１で受け取られたアクセス要求の送信元アドレスを抽出する。認証状態問合せ部３３は抽出された送信元アドレスをネットワーク認証アクセス制御サーバ２に送信してアクセス要求を送ってきた利用者が認証済みであるかを問い合わせる。アクセス許可判断部３４は、ネットワーク認証アクセス制御サーバ２から認証済みである旨の応答があった場合、元々のアクセス要求に対して、パスワード等認証に必要な情報を改めて送信してもらうことなく、証明書等認証成功を示す情報を付与してアクセス要求受付／応答部３１、転送ノード４を介して利用者端末６に対して応答し、ネットワーク認証アクセス制御サーバ２から未認証である旨の応答があった場合、元々のアクセス要求に対して、パスワード等認証に必要な情報を要求して認証を求め、引き続いて利用者端末６から認証に必要な情報を受け取り、認証に成功した場合に、証明書等認証成功を示す情報を付与してアクセス要求受付／応答部３１、転送ノード４を介して利用者端末６に対して応答する。また、アクセス許可判断部３４は、ネットワーク認証アクセス制御サーバ２からログアウト要求を受信すると、利用者７の認証を無効にする。
【００３１】
次に、図３、図４、および図５に示すシーケンス図に従って、本実施形態のネットワーク認証アクセス制御サーバ２とアプリケーション認証アクセス制御サーバ３によって、利用者端末６からの一度のみの認証によって仮想閉域網８にリモートアクセスし、かつ、仮想閉域網８内のアプリケーションサーバ９_１、９_２に対してのシングルサインオンを実現する一連の処理について説明する。
【００３２】
利用者端末６が仮想閉域網８に電話網経由でダイアルアップによるリモート接続を試みた場合、利用者端末６とリモートアクセスサーバ５との間の通信路が確立された後、仮想閉域網８への接続要求として認証に必要なユーザＩＤとパスワードとの対データがリモートアクセスサーバ５に送信される（ステップ１０１）。
【００３３】
リモートアクセスサーバ５は、その接続要求をネットワーク認証アクセス制御サーバ２に送信して、認証を要求する（ステップ１０２）。
【００３４】
ネットワーク認証アクセス制御サーバ２は、接続要求受付／応答部２１で受信したユーザＩＤとパスワードの組で利用者を認証部２２で認証し、認証に成功すると、利用者端末６に対して仮想閉域網８に接続するためのＩＰアドレスをアドレス払い出し／回収部２５で払い出し、リモートアクセスサーバ５および転送ノード４に対して接続パスを接続パス設定／削除部２３で設定する（ステップ１０３）。そして、認証結果と払い出したＩＰアドレスを接続要求受付／応答部２１からリモートアクセスサーバ５を介して利用者端末６に送信する（ステップ１０４、１０５）。
【００３５】
ここまでの処理で利用者端末６は、仮想閉域網８に接続されたため、利用者７は何らかの業務を行なうため、アプリケーションサーバ９_１に対してアクセス要求を送信するとする（ステップ１０６）。
【００３６】
この時点では、利用者端末６は、アプリケーションサーバ９_１に対するアクセス権限を持っていることを示す証明書を持っていないため、アプリケーションサーバ９_１はアクセス要求に証明書が付いていないことを確認し（ステップ１０７）、アクセス要求をアプリケーション認証アクセス制御サーバ３にリダイレクトするように、利用者端末６に指示を送信する（ステップ１０８）。
【００３７】
これに基づいて利用者端末６からアプリケーション認証アクセス制御サーバ３にアクセス要求が転送されると（ステップ１０９）、アプリケーション認証アクセス制御サーバ３は、受信したアクセス要求のパケットの送信元アドレスを送信元アドレス抽出部３２で抽出し、そのアドレス情報を認証状態問合せ部３３よりネットワーク認証アクセス制御サーバ２に送信することで、そのアクセス要求を送信してきた利用者がネットワーク認証アクセス制御サーバ２で認証済みであるかをネットワーク認証アクセス制御サーバ２に問い合わせる（ステップ１１０）。
【００３８】
ネットワーク認証アクセス制御サーバ２では、仮想閉域網８のネットワーク認証状態テーブル２４をアドレス払い出し／回収部２５で検索し、アプリケーション認証アクセス制御サーバ３から受信したアドレスが、ネットワーク認証アクセス制御サーバ２で認証して払い出したアドレスであるかを判別し、その結果を認証状態応答部２６からアプリケーション認証アクセス制御サーバ３に送信する（ステップ１１１）。
【００３９】
認証状態応答が認証済みであった場合は（図４）、アプリケーション認証アクセス制御サーバ３は、利用者端末６に対して、認証が成功していることを示す証明書をアクセス許可判断部３４で発行し、アクセス要求受付／応答部３１より利用者端末６にアクセス応答として返信する（ステップ１１２）。
【００４０】
これにより利用者端末６から再度アプリケーションサーバ９_１に対してアクセス要求を行なうと（ステップ１１３）、アプリケーションサーバ９_１はアクセス要求に証明書が付与されていることを検知して、アクセス要求に応答する（ステップ１１４）。
【００４１】
これ以降は、利用者７がアクセス権限を有する他のアプリケーションサーバ（本実施形態ではアプリケーションサーバ９_２）に対しても、改めて認証手続きを求められることなく、アクセスが可能になる。
【００４２】
認証状態応答が未認証であった場合は（図５）、アプリケーション認証アクセス制御サーバ３からパスワード要求を利用者端末６に送信してパスワードをアプリケーション認証アクセス制御サーバ３に送信し（ステップ１１５，１１６）、アクセス許可判断部３４で認証を行ない（ステップ１１７）、認証応答をアクセス要求受付／応答部３１から利用者端末６に返す（ステップ１１８）。認証が成功だった場合、利用者端末６はアプリケーションサーバ９_１にアクセス要求を送信し（ステップ１１９）、アプリケーションサーバ９_１は利用者端末６にアクセス応答を返す（ステップ１２０）。
【００４３】
次に、図６に示すシーケンス図に従って、本実施形態において利用者７が利用者端末６とリモートアクセスサーバ５との間の回線を切断することで、実施済みのシングルサインオンの認証を無効にする一連の処理について説明する。
【００４４】
利用者端末６とリモートアクセスサーバ５との間の回線が切断されると（ステップ１２１）、リモートアクセスサーバ５からネットワーク認証アクセス制御サーバ２に対して切断要求が送信され（ステップ１２２）、これを契機にネットワーク認証アクセス制御サーバ２は、アドレス払い出し／回収部２５で、利用者端末６に払い出したＩＰアドレスを回収して利用者７を未認証状態に戻し、さらに、接続パス設定／削除部２３でリモートアクセスサーバ５と転送ノード４に対して仮想閉域網８への接続パスを削除する。
【００４５】
この後、ネットワーク認証アクセス制御サーバ２は、認証状態応答部２６からアプリケーション認証アクセス制御サーバ３に対して、利用者７のログアウト要求を送信する（ステップ１２４）。アプリケーション認証アクセス制御サーバ３は、アクセス許可判断部３４でアプリケーションサーバ群（９_１および９_２）に対する利用者７の認証を無効にする（ステップ１２５）。
【００４６】
その後、アプリケーション認証アクセス制御サーバ３は、認証状態問合せ部３３からログアウト完了通知をネットワーク認証アクセス制御サーバ２に送信し（ステップ１２６）、リモートアクセスサーバ５に切断完了通知を送信する（ステップ１２７）。
【００４７】
なお、ネットワーク認証アクセス制御サーバ２およびアプリケーション認証アクセス制御サーバ３内の処理は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプログラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００４８】
【発明の効果】
以上説明したように、本発明によれば、仮想閉域網へのリモートアクセスを実現する統合型認証アクセス制御システムにおいて、仮想閉域網へのアクセスのための認証で仮想閉域網内のアプリケーションサーバへのアクセスの認証を実現することで、利用者に対して仮想閉域網へのアクセス時に認証を行なうだけで、仮想閉域網内のサーバから別途認証手続きを求められることなく効率的に業務を遂行できるという効果が得られる。
【図面の簡単な説明】
【図１】本発明の一実施形態の統合型認証アクセス制御システムの構成図である。
【図２】ネットワーク認証アクセス制御サーバとアプリケーション認証アクセス制御サーバの構成図である。
【図３】図１の実施形態における処理の流れを示す図である。
【図４】図１の実施形態における処理の流れを示す図である。
【図５】図１の実施形態における処理の流れを示す図である。
【図６】図１の実施形態における処理の流れを示す図である。
【符号の説明】
１統合型認証アクセス制御システム
２ネットワーク認証アクセス制御サーバ
３アプリケーション認証アクセス制御サーバ
４転送ノード
５リモートアクセスサーバ
６利用者端末
７利用者
８仮想閉域網
９_１、９_２アプリケーションサーバ
１０電話網
２１接続要求受付／応答部
２２認証部
２３接続パス設定／削除部
２４ネットワーク認証状態テーブル
２５アドレス払い出し／回収部
２６認証状態応答部
３１アクセス要求受付／応答部
３２送信元アドレス抽出部
３３認証状態問合せ部
３４アクセス許可判断部
１０１〜１２７ステップ

Claims

利用者の端末からの接続要求を、リモートアクセスサーバを介して受信し、該リモートアクセスサーバと転送ノードを制御して接続パスを設定し、前記端末と仮想閉域網とを接続して、前記端末と前記仮想閉域網内のアプリケーションサーバとの間の通信を実現するネットワーク認証アクセス制御サーバであって、
利用者端末から前記仮想閉域網への接続要求を前記リモートアクセスサーバを介して受信し、前記仮想閉域網への接続における認証に必要な情報を前記利用者端末から受け取る手段と、
該情報を用いて利用者を認証する手段と、
認証が成功すると、前記リモートアクセスサーバと前記転送ノードに対して、前記利用者端末と前記仮想閉域網との間を接続する手段と、
利用者の認証状態と、認証に成功した場合にその利用者の端末を前記仮想閉域網に接続するために払い出したアドレスを利用者毎に管理する手段と、
前記アプリケーション認証アクセス制御サーバから、前記アプリケーションサーバへのアクセス要求パケットの送信元アドレスの情報を受け取る手段と、
受け取った送信元アドレスをもとに、前記ネットワーク認証アクセス制御サーバ内で管理している認証時の払い出しアドレスの情報を検索し、その送信元アドレスが前記仮想閉域網への認証成功時に払い出したアドレスか否かを判断する手段と、
前記送信元アドレスが認証成功時に払い出したアドレスであった場合、そのアドレスを送信元として前記アプリケーションサーバへのアクセス要求を発行してきた利用者は前記ネットワーク認証アクセス制御サーバで認証済みである旨を前記アプリケーション認証アクセス制御サーバに応答する手段と、
前記送信元アドレスが認証成功時に払い出したアドレスでなかった場合、そのアドレスを送信元として前記アプリケーションサーバへのアクセス要求を発行してきた利用者は前記ネットワーク認証アクセス制御サーバで認証済みではない旨を前記アプリケーション認証アクセス制御サーバに応答する手段とを備えるネットワーク認証アクセス制御サーバ。
前記利用者端末と前記リモートアクセスサーバとの間の接続が切断された旨の通知を前記リモートアクセスサーバから受けたことを契機に、該利用者端末と、該利用者端末が接続していた仮想閉域網との間の接続パスを削除する手段と、
同じ契機で前記ネットワーク認証アクセス制御サーバ内で管理している該利用者の認証状態を未認証の状態に戻す手段と、
同じ契機で前記アプリケーション認証アクセス制御サーバに対して、該利用者の認証を無効にする手段とをさらに備える、請求項１に記載のネットワーク認証アクセス制御サーバ。
仮想閉域網内に設置されて、利用者からの一度の認証によって、仮想閉域網内にある複数のアプリケーションサーバに対するアクセス時の認証を実現するアプリケーション認証アクセス制御サーバであって、
利用者からのアプリケーションサーバ群へのアクセス要求を受け取る手段と、
該アクセス要求の送信元アドレスを抽出し、ネットワーク認証アクセス制御サーバに対してその送信元アドレスの情報を送信して該アクセス要求を送ってきた利用者が認証済みであるかを問い合わせる手段と、
前記ネットワーク認証アクセス制御サーバから認証済みである旨の応答があった場合、元々のアクセス要求に対して、認証に必要な情報を改めて送信してもらうことなく、認証成功を示す情報を付与して利用者端末に対して応答する手段と、
前記ネットワーク認証アクセス制御サーバから未認証である旨の応答があった場合、元々のアクセス要求に対して、認証に必要な情報を要求して認証を求める手段と、
引き続いて前記利用者端末から認証に必要な情報を受け取り、認証に成功した場合、認証成功を示す情報を付与して前記利用者端末に対して応答する手段とを備えるアプリケーション認証アクセス制御サーバ。
前記ネットワーク認証アクセス制御サーバからの指示に従って特定の利用者に対する認証を無効にする手段をさらに備える、請求項３に記載のアプリケーション認証アクセス制御サーバ。
請求項１または２に記載のネットワーク認証アクセス制御サーバと、請求項３または４に記載のアプリケーション認証アクセス制御サーバと、転送ノードと、リモートアクセスサーバとから構成される統合型認証アクセス制御システム。