JP2004302907A - ネットワーク装置及び認証サーバ - Google Patents

Abstract

【課題】ＳＳＯに参加しているサービスがそれぞれユーザアカウントの登録によるユーザ管理を行うシステムにおいて、ＳＳＯ機能を利用してログインすれば、ユーザアカウントの有無に拘わらずサービスの提供を受けられるシステムを提供する。
【解決手段】Ｗｅｂアプリケーション２は、ユーザからアクセスを受けると、そのアクセス状態を判定し、ログインしている場合には、ユーザアカウントの存在を判定する。もし、ユーザアカウントがなければ、ＳＳＯサーバ１からユーザに関する情報を取得し、属性対応データベース２４の属性対応情報を利用してユーザアカウント情報を自動生成してユーザアカウント情報データベース２３に登録する。これによって、ユーザがＳＳＯ機能でログインしていれば、自動的にユーザアカウントが生成され、処理部２２によるサービスが受けられる。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は、クライアントが複数のサービスを利用する際のユーザ管理技術に関するものであり、特に、一度認証するだけで認証が必要な複数のサービスを利用可能とするシングルサインオン（以下ＳＳＯ）機能を実現するとともに各サービスにおいてユーザアカウントの管理を行うシステムにおけるユーザ管理技術に関するものである。
【０００２】
【従来の技術】
近年のネットワークの普及とともに、多数のサービスが提供され、ユーザは多くのサービスを利用しながら目的を実行するようになってきた。サービスの中には制限無く利用できるものもあるが、多くのサービスでは事前にユーザ登録を行い、また利用時（ログイン時）には認証を行うためのユーザＩＤやパスワードなどの入力が必要である。従って、まず、利用するサービスにユーザアカウントが存在することが前提となってしまう。
【０００３】
例えば特許文献１に記載されているアカウント管理システムでは、ユーザは業務システムを利用する際には、個人情報を入力してアカウントの生成を依頼し、アカウントが作成された後に利用する構成であり、複数の業務システムを利用する際には複数回の個人情報の入力及びアカウントの生成依頼が必要となる。
【０００４】
これに対して、例えばＤｏｃｕＳｈａｒｅ（登録商標）３．０Ｊでは、ユーザログイン時にログイン対象となるサービスにおいて、認証が成功し、必要な情報を揃えることができれば、ユーザアカウントを自動的に生成する機能がある。しかし、ユーザがログインを行う際には、それぞれのサービスに対してログイン情報（ユーザＩＤやパスワードなど）の入力が必須であった。そのため、複数のサービスを利用する場合は、各々のサービスにおいてログイン情報の入力を実施する必要があった。
【０００５】
このようなそれぞれのサービスに対するログイン情報の入力の手間を軽減するための技術として、ユーザがただ一度のサイン（ユーザ名，パスワード等の入力）を行うことで複数のサービスの利用を可能にしたシングルサインオン（以下、ＳＳＯと略す）の技術が開発されている。この技術によれば、複数のサービスを利用する場合でも、最初の１回だけログイン情報の入力を行えば、他のサービスの利用時にはログイン情報の入力を行わずにサービスの提供を受けることができる。例えばＤｏｃｕＳｈａｒｅ（登録商標）３．１ＪにおいてもＳＳＯ機能が提供されている。
【０００６】
しかし、ＳＳＯ技術はあくまでもアクセスユーザのログイン状態を共有化する技術であり、各サービスはユーザ管理を行わずに認証サーバに完全に任せてしまう場合が多い。また、各サービスがユーザ管理を行う場合には、やはりユーザアカウントが既に登録されているサービスについてしか、ＳＳＯによるアクセスを行うことができなかった。そのため、従来と同様に事前のユーザ登録などが必要であった。
【０００７】
【特許文献１】
特開２００２−２４５０１０号公報
【０００８】
【発明が解決しようとする課題】
本発明は、上述した事情に鑑みてなされたもので、ＳＳＯ機能が利用可能なシステムであって、ＳＳＯに参加しているサービスがそれぞれユーザアカウントの登録によるユーザ管理を行うシステムにおいて、ＳＳＯに参加しているサービスのいずれかにユーザアカウントを生成してログインすれば、ユーザが他のＳＳＯ参加サービスにアクセスした場合に、そのサービスにおいて自動的にユーザアカウントを生成する機能を提供することを目的とするものである。
【０００９】
【課題を解決するための手段】
本発明は、ローカルユーザ及び他のネットワーク装置とともに認証サーバによる認証済のユーザに対して要求に応じてサービスを提供するネットワーク装置において、ユーザの管理を行うためにログインを許可するユーザに関する情報であるユーザアカウント情報を保持するユーザアカウント情報保持手段を有しており、認証サーバで認証されたユーザからのアクセスを受け、そのユーザに関する情報がユーザアカウント情報保持手段に登録されていないときには、アクセスを行ったユーザに関する情報を収集してユーザアカウント情報を生成し、ユーザアカウント情報保持手段に自動的に登録することを特徴とするものである。このように、ユーザが利用するサービスにアカウントが無くても自動的に作成されるので、ＳＳＯにより一度のログイン情報の入力を行えば、ＳＳＯに参加しているユーザアカウントがないサービスについても利用することができる。これによって、ユーザはＳＳＯに参加しているサービスを幅広く利用することができるようになり、利便性を向上させることができる。
【００１０】
なお、アクセスを行ったユーザに関する情報を、前記認証サーバから取得するように構成することができる。もちろん、その他の情報源を利用することも可能である。また、アクセスを行ったユーザに関する情報を収集して前記ユーザアカウント情報を生成する際に、不足している情報については、ユーザに問い合わせて入力を受けるように構成することができる。
【００１１】
さらに、ユーザアカウント情報保持手段が保持するユーザアカウント情報中の各情報と、収集したユーザに関する情報の対応付けを行うために、属性対応情報を保持しておき、この属性対応情報をもとに、収集したユーザに関する情報からユーザアカウント情報を生成するように構成することができる。これによって、それぞれのネットワーク装置においてフォーマットの異なったユーザアカウント情報を保持することが可能となり、既存のユーザアカウント情報を有するネットワーク装置でもＳＳＯに参加することが容易になる。
【００１２】
また本発明は、ユーザに対して提供されるサービスに代わって前記ユーザの認証を行う認証サーバにおいて、ＳＳＯ機能における認証機能とともに、ユーザに関する情報を保持しておき、サービスからの要求に応じてユーザに関する情報をサービスに提供する機能を有することを特徴とするものである。この認証サーバを利用することによって、各サービス（ネットワーク装置）はユーザアカウント情報の自動生成を行うことが可能となる。
【００１３】
【発明の実施の形態】
図１は、本発明の実施の一形態を示すシステム構成図である。図中、１はＳＳＯサーバ、２，３はＷｅｂアプリケーション、４はネットワーク、５〜７はクライアント、１１は認証部、１２はユーザ情報データベース、１３はユーザ情報提供部、２１は通信制御部、２２は処理部、２３はユーザアカウント情報データベース、２４は属性対応データベースである。図１に示す例では、ＳＳＯサーバ１、Ｗｅｂアプリケーション２，３、クライアント５〜７などがネットワーク４を利用して通信可能に構成されている。もちろん、多くのクライアント、多くのＷｅｂアプリケーション、その他多くのサーバ等と通信可能である。ネットワーク４は、ＬＡＮやインターネットなど、各種のネットワークで構成することができ、またそれらが複合的に組み合わされた構成であってよい。
【００１４】
ＳＳＯサーバ１は、クライアント５〜７からのアクセスに対応してユーザの認証を行うとともに、Ｗｅｂアプリケーション２，３などからの要求に応じてクライアントの認証結果を返す認証サーバとして機能する。さらに、Ｗｅｂアプリケーション２，３などからのユーザに関する情報の取得要求に対して、ユーザ情報データベース１２中に保持しているユーザに関する情報を、要求元のＷｅｂアプリケーション２，３などに提供する機能を有している。
【００１５】
ＳＳＯサーバ１は、認証部１１、ユーザ情報データベース１２、ユーザ情報提供部１３などを含んで構成されている。ユーザ情報データベース１２には、それぞれのユーザ毎の認証情報、例えばユーザＩＤ及びパスワードなどの情報や、その他の個人情報など、ユーザに関する様々な情報が登録されている。認証部１１は、Ｗｅｂアプリケーションに代わって、ユーザ情報データベース１２に登録されている情報を用いてユーザの認証処理を行う。また、Ｗｅｂアプリケーション２，３からの問い合わせに応じて、ユーザの認証結果の返送などを行う。これによってＳＳＯ機能を提供する。ユーザ情報提供部１３は、Ｗｅｂアプリケーション２，３からの問い合わせに応じて、ユーザ情報データベース１２に登録されているユーザに関する情報の提供を行う。
【００１６】
Ｗｅｂアプリケーション２，３は、クライアントに対して各種のサービスを提供する。Ｗｅｂアプリケーション２，３は、例えばコンピュータなどのネットワーク装置で構成することができる。なお、１台のネットワーク装置が複数のサービスを提供することもあるし、複数台のネットワーク装置が協働して１つのサービスを提供することもある。ここでは、Ｗｅｂアプリケーション２，３は、クライアントに対して提供されるサービスに対応するものとして示している。またＷｅｂアプリケーション２，３は、それぞれがユーザアカウントの管理機能を有しており、登録されているユーザに対してサービスを提供する。このとき、ＳＳＯ機能によってログインしたユーザがサービスの提供を要求し、そのユーザが登録されていない場合には、自動的にユーザアカウントを作成する機能を有している。
【００１７】
Ｗｅｂアプリケーション２は、通信制御部２１、処理部２２、ユーザアカウント情報データベース２３、属性対応データベース２４を含んで構成されている。Ｗｅｂアプリケーション３については図示していないが、同様の構成を含んで構成することができる。処理部２２は、実際にサービスを提供する部分である。
【００１８】
通信制御部２１は、ネットワーク１を通じてクライアント５〜７及びＳＳＯサーバ１などとの通信を行い、Ｗｅｂアプリケーション２における処理部２２で行うサービスのための処理以外の様々な処理を行う。例えばクライアントからのアクセスを受け付け、ユーザアカウント情報データベース２３が保持するユーザアカウント情報を調べ、サービスの提供の可否を判断する。例えば予め登録されているユーザアカウント情報によりローカルユーザとしてログインした場合や、ＳＳＯ機能によって他のサービス利用時に認証を受けており、さらにユーザアカウント情報がユーザアカウント情報データベース１２に存在する場合には、処理部２２に対して処理の提供を指示する。ユーザ登録が行われておらず、ユーザアカウント情報がユーザアカウント情報データベース２３に存在しない場合には、処理部２２によるサービスの提供を基本的には行わない。しかし、ＳＳＯ機能によって他のサービス利用時に認証を受けている場合には、ユーザ登録が行われていないユーザであってもサービスを利用できることが望ましいため、ユーザアカウント情報を自動的に生成して登録する。
【００１９】
ユーザアカウント情報を自動生成するために、通信制御部２１は、登録を行うユーザに関する情報を収集する。例えばＳＳＯサーバ１に対して問い合わせを行い、ユーザに関する情報を取得する。あるいは、他のネットワーク装置やサーバに問い合わせ、ユーザに関する情報を取得してもよい。そして、属性対応データベース２４を用いて、ユーザアカウント情報データベース２３が保持するユーザアカウント情報中の各情報の属性と、収集したユーザに関する情報の属性との対応付けを行い、取得したユーザに関する情報からユーザアカウント情報を生成する。また、ユーザアカウント情報の生成に不足している情報については、ユーザに対して問い合わせ、入力を受ける。このようにして生成されたユーザアカウント情報は、ユーザアカウント情報データベース２３に登録される。そして、ＳＳＯ機能によりアクセスしてきたユーザに対してユーザ登録済としてサービスを提供する。
【００２０】
ユーザアカウント情報データベース２３は、ログインを許可するユーザに関する情報であるユーザアカウント情報を保持する。また、属性対応データベース２４は、外部から取得するユーザに関する情報の各属性と、ユーザアカウント情報データベース２３が保持しているユーザアカウント情報中の各情報の属性との対応付けを行うための属性対応情報を保持する。
【００２１】
図２は、ユーザアカウント情報及び属性対応情報の一例の説明図である。ユーザアカウント情報は、例えば図２（Ａ）に示すように、ユーザを特定するためのユーザＩＤと、そのユーザに関する様々な情報が対応付けられている。ここでは属性Ｘ及び属性Ｙの情報がユーザＩＤに対応付けられている例を示している。それぞれの属性としては、住所や名前などの個人情報や、認証を行うためのパスワードなど、任意の属性を含んでいてよい。また、属性の中には、必ずしも情報の入力を必要としない、任意項目が存在していてもよい。
【００２２】
属性対応情報は、例えば図２（Ｂ）に示すように、ユーザアカウント情報の各属性を示すローカル属性と、外部からユーザに関する情報を取得したときの各情報の属性を示すリモート属性とを対応付けたものである。この例では、ユーザアカウント情報のうちの属性Ｘの情報としては、外部から取得したユーザに関する情報のうち、属性ＲＸの情報が対応することを示している。従って、通信制御部２１でユーザアカウント情報を生成する際に外部から取得した属性ＲＸのユーザに関する情報は、ユーザアカウント情報のうちの属性Ｘの情報として用いることになる。
【００２３】
この属性対応情報を設けておくことによって、外部に存在するユーザに関する情報と内部のユーザアカウント情報のフォーマットが異なっていても、ユーザアカウント情報を生成することができる。従って、例えば既存のＷｅｂアプリケーションでも、容易にＳＳＯに参加することができる。
【００２４】
なお図１のクライアント５〜７は、コンピュータや携帯端末、携帯電話をはじめ、様々なネットワーク機器で構成することができる。
【００２５】
上述の例では、Ｗｅｂアプリケーション２，３とＳＳＯサーバ１とを別の構成として示しているが、実体として同じサーバに含まれていてもよい。また逆に、ＳＳＯサーバ１やＷｅｂアプリケーション２，３中の構成が一部別の構成として存在していてもよい。
【００２６】
図３は、本発明の実施の一形態におけるＷｅｂアプリケーションの動作の一例を示すフローチャートである。なお、ここでは説明のためＷｅｂアプリケーション２にユーザがアクセスしたものとして説明する。
【００２７】
クライアント５〜７などからユーザがＷｅｂアプリケーション２にアクセスすると、Ｓ３１において、ユーザのアクセス状態を取得する。アクセス状態とは、ここではログイン済か否かを示すものとする。もちろん、これ以外の状態が存在していてもよい。このアクセス状態の取得は、例えばユーザがローカルユーザとしてＷｅｂアプリケーション２にログインしていれば、Ｗｅｂアプリケーション２において保存しているユーザのアクセス状態を取得すればよい。また、ユーザがローカルユーザとしてログインしていない場合には、まだログインしていないか、あるいはＳＳＯ機能を利用してログインしている場合がある。これらの場合には、ＳＳＯサーバ１からアクセス状態を取得すればよい。
【００２８】
ＳＳＯサーバ１は、認証部１１において、ＳＳＯに参加しているＷｅｂアプリケーションにユーザがアクセスすると、そのアクセス状態を管理している。また、ユーザがＳＳＯ機能を利用してログインする場合には、ユーザの認証を行い、アクセス状態をログイン状態に変更して、Ｗｅｂアプリケーションからの問い合わせに対応する。上述のようにＷｅｂアプリケーション２からアクセス状態の問い合わせが行われた場合、既に他のＷｅｂアプリケーション（例えばＷｅｂアプリケーション３など）にアクセスした際にログインを要求し、ＳＳＯサーバ１が当該ユーザの認証を行っている場合には、アクセス状態はログイン中である旨を返すことになる。また、ＳＳＯサーバ１がまだ認証を行っていない場合には、アクセス状態が未ログイン状態である旨を返すことになる。
【００２９】
図３に戻り、Ｓ３２において、Ｓ３１で取得したユーザのアクセス状態を判定する。ユーザのアクセス状態が未ログインの状態であれば、Ｓ３３において、アクセスを行ったユーザの権限を「ゲストユーザ」であると判断する。そしてＳ４１において、クライアントに対してアクセスユーザの権限でのサービスを提供する。すなわちこの場合には、「ゲストユーザ」の権限の範囲内でサービスを提供することになる。
【００３０】
また、ユーザのアクセス状態がログイン状態である場合には、Ｓ３４において、ユーザアカウント情報データベース２３を検索し、ログインしているユーザのアカウントを特定する。そして、Ｓ３５において、ユーザアカウントが存在しているか否かを判定する。ユーザのアクセス状態がログインの状態であっても、例えばＳＳＯ機能によってＳＳＯサーバ１が認証を行っている場合、アクセスしてきたユーザのアカウントが存在するとは限らない。そのため、このＳ３５においてユーザアカウント情報の有無を判断し、ユーザアカウントが存在しない場合にはＳ３６〜Ｓ３９により新たにユーザアカウントを自動作成する。ユーザアカウントが既に存在している場合には、新たにユーザアカウントを作成する必要はないので、Ｓ４０へ進む。
【００３１】
Ｓ３５において、ユーザアカウントが存在しないと判定された場合には、Ｓ３６において、ここでは例えば図２に示したような属性対応データベース２４に格納されている属性対応情報のリモート属性の情報をＳＳＯサーバ１に問い合わせ、取得する。
【００３２】
ここではＳＳＯサーバ１に関する処理については図示していないが、Ｗｅｂアプリケーション２からの問い合わせに対し、ＳＳＯサーバ１のユーザ情報提供部１３は、ユーザ情報データベース１２を検索して問い合わせを受けた情報を抽出し、問い合わせ元のＷｅｂアプリケーション２に返送する。
【００３３】
なお、上述のようにリモート属性の情報をＳＳＯサーバ１に問い合わせるほか、ＳＳＯサーバ１から、ＳＳＯサーバ１が有する当該ユーザに関する様々な情報を取得し、その中からリモート属性に対応する情報を取捨選択してもよい。また、ＳＳＯサーバ１以外のサーバ等からユーザに関する情報を取得できる場合には、それらのサーバ等に対して問い合わせてユーザに関する情報を取得してもよい。
【００３４】
Ｓ３７において、ユーザに関する情報をＳ３６で取得したことによって、ユーザアカウントを自動作成するために必要な情報が揃ったか否かを判定する。もし、不足する情報が存在する場合には、Ｓ３８において、クライアントに対して不足する情報の入力を行うためのフォームシートを送信し、ユーザに不足情報の入力を要求する。そしてユーザアカウントを作成するために不足している情報を取得する。
【００３５】
このようにしてユーザアカウントを作成するために必要な情報が揃ったら、Ｓ３９においてユーザアカウント情報を作成してユーザアカウント情報データベース２３に登録する。これで、アクセス状態がログイン中であった場合には、ユーザアカウント情報が存在することになる。
【００３６】
Ｓ４０において、アクセスしてきたユーザの権限をログインユーザであると判断し、Ｓ４１において、クライアントに対してアクセスユーザの権限でのサービスを提供する。すなわちこの場合には、「ログインユーザ」の権限のユーザに対するサービスを提供することになる。
【００３７】
このようにして、ユーザからアクセスを受けた場合の処理が行われる。アクセスしたユーザが当該Ｗｅｂアプリケーションにユーザアカウントを設けていればローカルユーザとしても、ＳＳＯ機能を利用しても、従来と同様にサービスを受けることができる。本発明ではこれに限らず、ユーザアカウントが登録されていなくても、ＳＳＯ機能を利用して他のＷｅｂアプリケーションからログインしていれば、改めてログインを行うことなく、ユーザはサービスを受けることができる。
【００３８】
なお、Ｗｅｂアプリケーションにおいて自動的に作成したユーザアカウント情報は、予め登録を行っている他のユーザアカウント情報と同等に扱うほか、ＳＳＯ機能利用時にのみ有効としたり、あるいは、セッション限りなどの期限を設けて登録するなど、任意に利用することができる。
【００３９】
【発明の効果】
以上の説明から明らかなように、本発明によれば、ＳＳＯに参加しているサービスがそれぞれユーザアカウントの登録によるユーザ管理を行うシステムにおいて、ユーザアカウント情報が登録されていないログイン済のユーザからのアクセスを受けた場合に、自動的にユーザに関する情報を取得してユーザアカウント情報を生成する。これによってユーザは、ＳＳＯに参加しているサービスのいずれかにログインすれば、ユーザアカウント情報が登録されているか否かにかかわらず、ＳＳＯ機能を利用したサービスの提供を受けることができる。また、ユーザアカウント情報の登録によりユーザ管理を行っている既存のサービスであっても、容易にＳＳＯに参加し、ユーザにサービスを提供することができるという効果がある。
【図面の簡単な説明】
【図１】本発明の実施の一形態を示すシステム構成図である。
【図２】ユーザアカウント情報及び属性対応情報の一例の説明図である。
【図３】本発明の実施の一形態におけるＷｅｂアプリケーションの動作の一例を示すフローチャートである。
【符号の説明】
１…ＳＳＯサーバ、２，３…Ｗｅｂアプリケーション、４…ネットワーク、５〜７…クライアント、１１…認証部、１２…ユーザ情報データベース、１３…ユーザ情報提供部、２１…通信制御部、２２…処理部、２３…ユーザアカウント情報データベース、２４…属性対応データベース。

Claims (5)

1. ローカルユーザ及び他のネットワーク装置とともに認証サーバによる認証済のユーザに対して要求に応じてサービスを提供するネットワーク装置において、要求されたサービスを提供する処理手段と、ログインを許可するユーザに関する情報であるユーザアカウント情報を保持するユーザアカウント情報保持手段と、認証サーバで認証されたユーザからのアクセスを受けたとき前記ユーザに関する情報が前記ユーザアカウント情報保持手段に登録されていないときアクセスを行ったユーザに関する情報を収集して前記ユーザアカウント情報を生成し前記ユーザアカウント情報保持手段に登録する制御手段を有することを特徴とするネットワーク装置。
2. 前記制御手段は、アクセスを行ったユーザに関する情報を、前記認証サーバから取得することを特徴とする請求項１に記載のネットワーク装置。
3. 前記制御手段は、アクセスを行ったユーザに関する情報を収集して前記ユーザアカウント情報を生成する際に不足している情報についてはユーザに問い合わせて入力を受けることを特徴とする請求項１または請求項２に記載のネットワーク装置。
4. さらに、前記ユーザアカウント情報保持手段が保持するユーザアカウント情報中の各情報の属性と収集するユーザに関する情報の属性との対応付けを行うための属性対応情報を保持する属性対応情報保持手段を有し、前記制御手段は、収集したユーザに関する情報の属性を元に前記属性対応情報に従って前記ユーザアカウント情報中の各属性の情報を生成することを特徴とする請求項１ないし請求項３のいずれか１項に記載のネットワーク装置。
5. ユーザに対して提供されるサービスに代わって前記ユーザの認証を行う認証サーバにおいて、認証情報を含むユーザに関する情報を保持するユーザアカウント情報保持手段と、ユーザの認証要求を受けて前記ユーザの認証を行う認証手段と、前記サービスからのユーザに関する情報の取得要求に対して前記ユーザアカウント情報保持手段に保持されているユーザに関する情報を要求元のサービスに提供するユーザ情報提供手段を有することを特徴とする認証サーバ。

Images