JP2005258672A - トップページ介在シングルサインオン方法及びトップページ装置 - Google Patents

Abstract

【課題】認証サーバ装置が提供するシングルサインオンの機能を利用した、多様なアプリケーション・サーバ装置の利用形態を提供することができる。
【解決手段】まず、ステップ１２２において、トップページ装置を介在させてトップページ画面表示を行う。この後、ステップ１２４などによって、認証サーバ装置を利用するなどして、シングルサインオンの機能を提供する。
【選択図】図４

Description

本発明は、トップページ介在シングルサインオン方法及びトップページ装置に係り、特に、認証サーバ装置が提供するシングルサインオンの機能を利用した、多様なアプリケーション・サーバ装置の利用形態を提供することができるトップページ介在シングルサインオン方法及びトップページ装置に関する。

シングルサインオン（ＳＳＯ（Single Sigh−On））は、ユーザが一度認証を受けるだけで、許可されているすべての機能を利用できるようにしている。例えば、ネットワークに接続された端末を使っている場合、端末の起動時、ＬＡＮ（Local Area Network）への接続時、１つ又はそれ以上のサーバ装置への接続時、サーバ装置上の様々なアプリケーション・プログラムの利用開始時など、何度もＩＤ（IDentification）やそのパスワードを入力することもあり得る。シングルサインオンでは、こうした手間を省き、一度認証されれば、これ以降の他の認証を省略することができる。

なお、本願発明においては、認証を伴って行うサインオンや、ログオンは、同じ意味として扱う。又、シングルサインオフや、ログオフについても、同じ意味として扱うものとする。又、該認証についても特に限定されるものではなく、ＩＤ及びパスワードによる認証でも、あるいは、いわゆるバイオメトリクスの手法を採用する認証でもよい。バイオメトリクスの手法による認証であれば、所定のハードウェア装置を用いて、例えば指紋認証、虹彩認証、声紋認証などを行うようにしてもよい。

シングルサインオンでは、認証サーバ装置はＬＤＡＰ（Lightweight Directory Access Protocol）サーバ装置を用いるなどして、利用者に登録されたＩＤ及びパスワードを代理登録するといった手法などが使われる。このシングルサインオンには、アプリケーション・サーバ装置においてプラグイン・ソフトウェアを用いるという、いわゆるエージェント型のものがある。又、全てのアクセスをプロキシに集約させる、いわゆるリバース・プロキシ型などがある。

ＬＤＡＰは、インターネットやイントラネットなどのＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）ネットワークにおいて、ディレクトリデータベースにアクセスするためのプロトコルであり、ディレクトリ・サービスを提供する際に用いる。ディレクトリ・サービスとは、ネットワークを利用するユーザの、ＩＤ及びパスワードの代理登録や、メールアドレスや環境に関する情報の管理などが含まれる。

特許文献１では、シングルサインオンの語句に言及していないものの、シングルサインオンに相当するサービスにおいて、個々の利用者のアクセス権限を利用者に対して提示するという技術が開示されている。特許文献２では、同じくシングルサインオンの語句に言及していないものの、複数のホスト名をログイン処理用のサーバ装置に持たせ、該サーバ装置で一括して認証情報を含むクッキーを利用者のブラウザに書き込むという、シングルサインオンの１つの提供形態に関する技術が開示されている。特許文献３では、シングルサインオンにおいて指紋認証を導入するという技術が開示されている。

なお、本願発明では、アプリケーション・サーバ装置の多様な利用形態を提供するという点で、外国語対応という一形態がある。ここで、外国語対応という面で特許文献４では、あたかも自国語ホームページのごとく、外国語ウェブ・ページを検索するという技術が開示されている。

特開２００１−３２５２２４号公報 特開２００２−２３６６６２号公報 特開２００２−３６６５２８号公報 特開２００２−６３２０１号公報

シングルサインオンは、認証サーバ装置を用いて、多様なサービスを提供するアプリケーション・サーバ装置に接続するため、この認証サーバ装置に障害が発生すると、これらのアプリケーション・サーバ装置への接続の障害となる。

更に、障害時において必要なアプリケーション・サーバ装置に、直接接続することも可能である。しかしながら、直接接続する場合は、各利用者が、接続先のアプリケーション・サーバ装置のＵＲＬ（uniform resource locator）を把握している必要がある。該把握は、実施されていない場合も多い。従って、上記の障害が発生すると、現実的には、アプリケーション・サーバ装置が提供するサービスを利用できなくなってしまう場合も多い。

ここで、上記障害に対処するために、認証サーバ装置その他を二重化することが考えられる。しかしながらこのためには、ハードウェア設置や、これに係る保守などにコストや手間がかかるという問題がある。

又、企業活動が国際的になり、一企業が異なる国に跨ったり、企業内に外国語を母国語とする従業員が多くなったりする様子が次第に増大している。従って、シングルサインオンにおいても、このような多言語対応が必要になっている。又、このような多言語対応に際しても、これまでの認証サーバ装置の利用が可能であれば、この多言語対応が容易であるばかりか、多言語対応の後における、ハードウェアやソフトウェアの保守面でも有利である。

更に、シングルサインオンでは、各アプリケーション・サーバ装置への接続では、利用者毎のアクセス権限が管理されているものの、一旦接続された後、利用者がクライアント装置から一時離席した場合、他者が該クライアント装置を盗用することで、サインオンしている、又サインオン可能な機能を、他者が盗用してしまうことが考えられる。このような盗用は、結局のところ利用者がきめ細かにサインオフすれば防止することができるが、多数のウインドウで多数のアプリケーション・サーバ装置のサービスを利用している場合は、これらを全てサインオフすることは、非常に手間がかかるものである。

本発明は、前記従来の問題点を解決するべくなされたもので、特定の責任者が承認している文書であることを明瞭にすることができる電子署名承認データ送信方法及び装置を提供することを課題とする。

まず、本願の第１発明のトップページ介在シングルサインオン方法は、ネットワークを介して、アプリケーション・サーバ装置が提供する複数のサービスにログオンする際の、それぞれの認証手続を管理することで、シングルサインオンの機能を提供する認証サーバ装置を利用する際に、利用者側のクライアント装置は、利用者の操作に応じて、内蔵するブラウザ・プログラムによる処理によって、トップページ装置間のネットワークを介した接続を確立し、該接続によって該トップページ装置は、前記シングルサインオン機能を受けるための機能選択が可能な画面表示をするためのトップページ画面表示用情報を、前記クライアント装置に送信し、該クライアント装置は、該トップページ画面表示用情報を受信し、前記画面表示をするようにしたことにより、前記課題を解決したものである。

又、上記トップページ介在シングルサインオン方法において、前記トップページ装置が、前記シングルサインオンが前記認証サーバ装置によって正常に動作し得るか判定する異常監視処理を行い、異常ありと判定された場合は、該異常に応じた前記トップページ画面表示用情報を、前記クライアント装置に送信するようにしたことにより、異常時には代替機能を提供できるようにしたものである。

なお、上記のような、異常であるか否かの判定は、トップページ装置において行うにしても、該異常判定の元になる異常検出は、該トップページ装置とは別の装置によって行うようにしてもよい。例えば、後述する実施形態では、異常検出はシステム監視装置１５において行い、該検出結果をサーバ装置１０が受け取って、図５のステップ１３４に示すように、サーバ装置１０は該検出結果に基づいて異常判定を行うようにしている。

次に、前記トップページ介在シングルサインオン方法において、前記クライアント装置との前記接続によって、前記トップページ装置が、前記ブラウザ・プログラムにおける利用者の表示言語識別情報を取得し、前記トップページ装置は、該表示言語識別情報に応じた前記トップページ画面表示用情報を、前記クライアント装置に送信するようにしたことにより、多言語対応もできるようにしたものである。

又、前記トップページ介在シングルサインオン方法において、前記クライアント装置は、前記トップページ画面表示用情報による前記画面表示において、シングルサインオンされる全ての前記サービスを、一斉にサインオフを受け付けるボタン操作入力機能、及び該一斉サインオフを実行する機能を提供することにより、前記クライアント装置の他者による盗用の機会を低減できるように、速やかに前記一斉サインオフの機能を提供できるようにしたものである。

更に、前記トップページ介在シングルサインオン方法において、前記クライアント装置は、前記画面表示において、該アプリケーションの使用を一時的に中断し、該アプリケーションを利用できない画面を表示する機能を提供するようにしたものである。

次に、本願の第２発明のトップページ装置は、ネットワークを介して、アプリケーション・サーバ装置が提供する複数のサービスにログオンする際の、それぞれの認証手続を管理する認証サーバ装置が提供するシングルサインオンの機能を受けるための、機能選択が可能な画面表示を行うためのトップページ画面表示用情報を生成するための表示画面処理部と、利用者の操作に応じて、利用者側のクライアント装置が内蔵するブラウザ・プログラムによって確立するネットワークを介した接続によって、該トップページ画面表示用情報を、前記クライアント装置に送信するウェブ・サーバ処理部と、を備えたことにより、前記課題を解決したものである。

又、本願の第３発明のコンピュータ・プログラムは、前記第１発明のトップページ介在シングルサインオン方法、又は、前記第２発明のトップページ装置を実施するためのコンピュータ・プログラムを提供するようにしたことにより、前記課題を解決したものである。

以下、本発明の作用について、簡単に説明する。

本発明では、シングルサインオンの機能を提供する認証サーバ装置を利用する際に、まずは利用者は、トップページ装置と接続する。該接続は、利用者側のクライアント装置における利用者の操作に応じて、該クライアント装置が内蔵するブラウザ・プログラムによる処理によって、ネットワークを介しておこなう。

そして、該接続によって該トップページ装置は、前記シングルサインオン機能を受けるための機能選択が可能な画面表示をするためのトップページ画面表示用情報を、前記クライアント装置に送信する。又、該クライアント装置は、該トップページ画面表示用情報を受信し、前記画面表示をする。

従って、まず、トップページ装置を介在させてトップページ画面表示を行うので、該トップページ画面表示などによって様々な利用形態を提供することができる。

なお、トップページとは、一般的には、特定のサイトにおいて、頂点になる１つのウェブ・ページを意味する。しかしながら、説明の便宜上、本願発明におけるトップページは、トップページ装置からクライアント装置に提供されるもので、該クライアント装置において画面表示などされるウェブ・ページであればよいものとし、特に限定されるものではないものとする。

例えば、本願発明のトップページは、クライアント装置からトップページ装置へのアクセス時における、初期画面に限定されるものではない。例えば、該トップページは、適宜、複数のウェブ・ページであってもよい。後述する実施形態においては、トップページ初期画面、正常時ポータル画面、異常時ポータル画面などは、すべて本願発明のトップページに相当するものである。

なお、本願発明は、対象になるアプリケーション・サーバ装置の台数を限定するものではない。例えば、１台のアプリケーション・サーバ装置のみ利用して、該アプリケーション・サーバ装置から複数のサービスを提供するようにしてもよい。あるいは、複数のアプリケーション・サーバ装置２０を利用して、それぞれのアプリケーション・サーバ装置から１つ又は複数のサービスを提供するようにしてもよい。

従って、本発明のトップページ介在シングルサインオン方法及びトップページ装置によれば、認証サーバ装置が提供するシングルサインオンの機能を利用した、多様なアプリケーション・サーバ装置の利用形態を提供することができる。

以下、図を用いて本発明の実施の形態を詳細に説明する。

図１は、本発明が適用された実施形態のトップページ装置を含むトップページ介在シングルサインオン方法の構成を示すブロック図である。

図示されるように、本実施形態においては、トップページ装置１０と、クライアント装置５と、認証サーバ装置１３と、システム監視装置１５と、ＬＤＡＰ装置１７と、利用者情報ＤＢ（Data Base）装置１８と、アプリケーション・サーバ装置２０とは、ネットワーク１に接続されている。なお、異常検出を行うシステム監視装置１５を検出対象の認証サーバ装置１３に、ネットワーク通信面で接近させて配置しておけば、該検出が容易になる。

本実施形態では、トップページ装置１０やクライアント装置５において、本願発明が主として適用されている。又、それぞれのアプリケーション・サーバ装置２０は、ネットワーク１を介して、利用者側のクライアント装置５に対してサービスを提供している。又、これらサービスに係る認証において、シングルサインオンの機能が、認証サーバ装置１３を中心としてＬＤＡＰ装置１７や利用者情報ＤＢ装置１８を利用しつつ提供されている。

なお、トップページ装置１０、認証サーバ装置１３、システム監視装置１５、ＬＤＡＰサーバ装置１７、利用者情報ＤＢ装置１８、更にはアプリケーション・サーバ装置２０は、異なるハードウェアに構成するものである必要はない。即ち、これら装置のいずれか複数を単一のハードウェアによって実現するようにしてもよい。該単一構成によれば、ハードウェアの初期投資費用や維持管理費用を削減することができる可能性がある。なお、適宜、個別構成とすれば、特定のハードウェアにトラブルが発生しても、他のハードウェアに構成した上記装置は悪影響を抑えることができる。例えば、少なくともトップページ装置１０は、認証サーバ装置１３とは別のハードウェアにおいて構成することが望ましい。

なお、ネットワーク１は、具体的に限定されるものではない。例えば、インターネットや、ＷＡＮ（Wide Area Network）や、ＶＡＮ（Value Added Network）、更にはＬＡＮ（Local Area Network）であってもよい。種々の形態の通信ネットワークであってもよく、電話やデータ通信の公衆回線網や専用回線網、あるいは携帯電話などの回線網を用いてもよい。更には、異なる形態のネットワークを組み合わせたものであってもよい。

又、クライアント装置５は、図１中において、ネットワーク１に直接接続されているものの、このようなものに限定されるものではない。例えば、インターネット・アクセス・プロバイダの設備を経由して、ネットワーク１に接続するようにしてもよい。異なる形態のネットワークを介して、ネットワーク１に接続してもよい。

図２は、本実施形態のトップページ装置１０やクライアント装置５のハードウェア構成を示すブロック図である。

トップページ装置１０やクライアント装置５は、ＯＳ（Operating System）は一例として米国マイクロソフト社のＷｉｎｄｏｗｓ（登録商標）を搭載する、一般的なＰＣであるが、特に限定されものではない。例えば、この図２に示すようなハードウェア構成のものを用いることができる。なお、この図において、ハードウェア構成は、説明の関係上一部抽象化されている。

なお、前述した認証サーバ装置１３、システム監視装置１５、ＬＤＡＰ装置１７、利用者情報ＤＢ装置１８についても、ＰＣ（Personal Computer）サーバ装置を利用可能であり、この図２のようなハードウェアを利用することができる。

この図において、クライアント装置５は、ＣＰＵ（Central Processing Unit）３１０と、ＲＡＭ（Random Access Memory）３１１と、ＲＯＭ（Read Only Memory）３１２と、ＬＡＮ−Ｉ／Ｆ（Inter Face）３１３と、ＭＯＤＥＭ（modulator-demodulator）３１４と、種々のＩ／Ｆ（Inter Face）３２０〜３２２とを有している。これらは、バス３０１によって相互接続されている。

又、バス３０１に対して、Ｉ／Ｆ３２０を介して、画面表示装置３３０が接続されている。又、バス３０３によって相互接続されている、キーボード３３１と、マウス３３２と、プリンタ装置３３３とは、バス３０１に対して、Ｉ／Ｆ３２１を介して接続されている。

更に、バス３０１に対して、Ｉ／Ｆ３２２を介して、ＨＤＤ（Hard Disc Drive）装置３４０と、ＣＤ（Compact Disc）装置３４１と、ＦＤＤ（Floppy（登録商標） Disc Drive）装置３４２とが接続されている。これらはバス３０２によって相互接続されている。

以上のようなハードウェア構成において、ＯＳや、本実施形態に係るアプリケーション・プログラムは、ＨＤＤ装置３４０に格納されていて、実行時には、ＲＡＭ３１１に読み出されてＣＰＵ３１０によって実行される。ＬＡＮ−Ｉ／Ｆ３１３は、ＬＡＮ３に対する接続などに用いられる。なお、ＣＰＵ３１０で実行されるアプリケーション・プログラムには、インターネット１経由やＬＡＮ３経由で取得される、ＪＡＶＡ（登録商標)のアプレットも含まれる。

又、ＯＳやアプリケーション・プログラムの実行に際して、オペレータは、画面表示装置３３０に表示される情報を参照しつつ、キーボード３３１によって文字入力や諸操作を行ったり、マウス３３２によって座標入力や諸操作を行ったりする。なお、ＣＤ装置３４１やＦＤＤ装置３４２は、本発明の承認に対象になる文書を含めた、オフラインでの情報交換に用いられる。

次に、図３は、本実施形態のトップページ装置１０における、本発明に係る構成を示すブロック図である。

図示されるように、トップページ装置１０は、ウェブ・サーバ装置３０と、表示画面処理部３２と、クライアント言語処理部３４と、異常監視処理部３６と、サイト・リスト格納部３８と、認証サーバ装置対応処理部４０と、リンク対応処理部４２とを有している。

なお、表示画面処理部３２、クライアント言語処理部３４、異常監視処理部３６は、ＪＡＶＡ（登録商標）サーブレット（アプリケーション・プログラム）によって実現するようにしている。又、トップページ装置１０に係り、クライアント装置５のブラウザ・プログラムを介在させて行う、該クライアント装置５における表示画面への表示は、該トップページ装置１０からダウンロードするＪＡＶＡ（登録商標）アプレット（アプリケーション・プログラム）によって実現するようにしている。しかしながら、これらはサーブレットやアプレット以外によって実現するようにしてもよい。

図４は、本実施形態において、本願発明に係る全体的な処理を示すフローチャートである。即ち、図４は、本実施形態においてサインオンしてアプリケーション・サーバ装置２０を利用する際の全体的な処理が示される。

本実施形態においてサインオンして、所望のアプリケーション・サーバ装置２０のアプリケーション・プログラムによって提供されるサービスを利用する際には、利用者は、まず、図４のステップ１２０において、画面表示装置３３０を参照しながら、クライアント装置５のキーボード３３１やマウス３３２を操作しつつ、ブラウザ・プログラムを起動させ、又、該ブラウザ・プログラムによってＵＲＬを指定するなどして、トップページ装置１０によって提供される「トップページ」を表示させる操作を行う。該「トップページ」は、ＨＴＭＬ（hypertext markup language）やＸＭＬ（extensible markup language）などによって記述される、いわゆるウェブ・ページである。該操作を行うと、ブラウザ・プログラムはトップページ装置１０に対して、ネットワーク１を介して、「トップページ」の表示を依頼する。

なお、本実施形態のフローチャートにおいて、一点鎖線では、主として人手による操作などを示す。これに対して、実線は、クライアント装置５、アプリケーション・サーバ装置２０、認証サーバ装置１３その他のハードウェア資源上で実行される、ソフトウェア・プログラムによる処理を中心としたものになっている。

但し、説明や作図の便宜上、一点鎖線部分にも、一部ソフトウェア・プログラム処理が含まれ、又実線部分にも、人手操作が含まれる。例えば、ステップ１２０の場合は一点鎖線で示されるように、人手操作を中心としているものの、ブラウザ・プログラムが「トップページ」の表示をトップページ装置１０に対して依頼するなどの、一部ソフトウェア・プログラム処理が含まれる。

ステップ１２０に続いて、ステップ１２２では、図５に示されるトップページ装置処理を行い、利用者の操作に応じて続くステップ１２４の処理が起動される。該ステップ１２４では、図６に示される認証サーバ装置処理を行い、利用者の操作に応じて続くステップ１２６の処理が起動される。該ステップ１２６では、図７に示されるアプリケーション・サーバ装置処理を行う。又、これらトップページ装置処理、認証サーバ装置処理やアプリケーション・サーバ装置処理の相互の起動関係は以上のとおりであるが、他を起動後も起動側処理は適宜処理が継続している。

そうして、これら処理が行われている際に、ステップ１２８においてトップページ装置処理に対して、利用者が「サインオフ」の操作を行う。該操作は、後述する図５のステップ１４２において表示された「サインオフ画面」にある、「一斉サインオフ」のソフトウェア的押しボタンをマウス３３２で押下することで行う。

すると、ステップ１２９において、トップページ装置１０は、アプリケーション・サーバ装置２０や認証サーバ装置１３などで行われている、該利用者に係る全ての処理をサインオフさせる。

以下、以上に説明した図４の全体的な処理において含まれる各処理について詳細に説明する。

まず、図５は、該全体的処理に含まれる、トップページ装置処理を示すフローチャートである。図６は、本実施形態のシステム監視装置処理を示すフローチャートである。図７は、認証サーバ装置処理を示すフローチャートである。そして、図８〜図１０は、それぞれ該認証サーバ装置１３に含まれるファイルのデータ構成図である。又、図１１は、アプリケーション・サーバ装置処理を示すフローチャートである。

更に、図１２〜図１４は、いずれも、図５に示されるトップページ装置処理によって、トップページ装置１０からクライアント装置に提供されるトップページの例を示す表示画面図である。

まず、図１２は英語版のトップページ初期画面であり、図示されない日本語版のトップページ初期画面は、該英語版の表示内容を和訳したものと言える。図１３は日本語版の正常時ポータル画面であり、図示されない英語語版の正常時ポータル画面は該日本語版を英訳したものと言える。図１４は英語版の異常時ポータル画面であり、図示されない日本語版の異常時ポータル画面は該英語版を和訳したものと言える。これら画面はすべて、本願発明のトップページに相当するものである。

まず図５は、主として、図３に示したようなトップページ装置１０で行われる処理、又、該トップページ装置１０からクライアント装置５にダウンロードされたアプレットによって、該クライアント装置５において実行される処理である。

この図５において、まずステップ１３０では、クライアント言語処理部３４は、トップページ装置１０にアクセスしてきたクライアント装置５の表示言語識別情報を取得する。米国マイクロソフト社のインターネット・エクスプローラ（登録商標）などのブラウザ・プログラムは、日本語や英語又アジアなどの様々な国語（言語）に対応している。そして、このようなブラウザ・プログラムは、表示中の対応言語を示す情報を保持しており、該情報は、ネットワーク１を介したブラウザ・プログラムからのアクセス時に、該アクセスのパケットに含まれるようになっている。従って、本実施形態のクライアント言語処理部３４は、パケット中の該情報から、上述の表示言語識別情報を取得する。

そして、以上のように取得した表示言語識別情報に基づいて、トップページ装置１０は、日本語版や英語版など、以後にクライアント装置５に提供するトップページの言語を決定する。

次にステップ１３２では、システム監視装置１５が監視している認証サーバ装置１３の動作が正常であるか、トップページ装置１０の異常監視処理部３６がシステム監視装置１５に対して、ネットワーク１を経由して、該システム監視装置１５による異常検出結果の問い合わせを行う。ステップ１３４では、該問い合わせに基づいて、認証サーバ装置１３が正常であるか否か判定することで、シングルサインオンの機能が正常であるか否かの異常判定をする。

該ステップ１３４において、正常であると判定された場合、ステップ１３６に進んで、利用者に対してシングルサインオンの機能を提供する。あるいは、異常であると判定された場合は、認証サーバ装置１３が異常であるのでシングルサインオンの機能が適用できないため、ステップ１４８に進んで、該機能に代替する機能を提供する。

ここで、システム監視装置１５においては、図６に示すようなシステム監視処理がシステム監視装置１５において行われている。該システム監視処理によってシステム監視装置１５は、シングルサインオンの機能が正常であるか否かの異常検出を行うようにしている。又、該異常検出の結果は、サーバ装置１０における異常判定に用いられるものである。

該図６のステップ１６０では、ＤＯＳコマンドである「ピング」通信コマンドを認証サーバ装置１３に対して送信する。そうして、ステップ１６２では、該認証サーバ装置１３から返信される該通信コマンドのレスポンスによって、該認証サーバ装置１３が正常であるか判定する。正常であれば、ステップ１６４において、トップページ装置１０からネットワーク１を経由して、上述の問い合わせがあった場合、「正常」を示す情報をトップページ装置１０に返信する。あるいは、異常と判定された場合はねステップ１６６において、該問い合わせに対して、「異常」を示す情報をトップページ装置１０に返信する。

なお、本願発明に係る異常検出は、特に限定されるものではない。上述のものでは、「ピング」通信コマンドをシステム監視装置１５から認証サーバ装置１３に送信し、該送信に対する認証サーバ装置１３の返信をシステム監視装置１５において監視するという、いわゆるポーリングによって異常検出を行っているが、他の異常検出方法でもよい。例えば、ポーリングによって異常検出する場合にも、他のコマンドを利用するようにしてもよい。

前述の図５のステップ１３４において、正常であると判定された場合、ステップ１３６又これに続く各ステップの処理によって、利用者に対してシングルサインオンの機能を提供する。

まずステップ１３６では、ステップ１３０で獲得した表示言語識別情報に基づいて、シングルサインオンを行うにあたって、図１２に示すような表示言語識別情報に対応する該当言語の「トップページ初期画面」を表示するための、クライアント装置５にダウンロードする情報を表示画面処理部３２において生成する。該情報は、ＨＴＭＬ形式データやアプレットなどが含まれている。該情報は、ウェブ・サーバ装置３０やネットワーク１を経由してクライアント装置５のブラウザ・プログラムに送付され、該情報によって画面表示装置３３０において該トップページ初期画面が表示される。

該トップページ初期画面は、表示言語識別情報に対応する言語による表示になっており、利用者がシングルサインオンを行うための、利用者のＩＤ及びパスワードの入力を受け付けるようになっている。なお、これ以降にトップページ装置１０によってクライアント装置５において表示する画面は、いずれも表示言語識別情報に対応する言語によるものになっている。

ステップ１３８では、利用者は、クライアント装置５の画面表示装置３３０に表示される前述のトップページ初期画面を参照しながら、ステップ１３８において、シングルサインオンのＩＤ及びパスワードの入力を行って、該シングルサインオンの指示入力を行う。

すると、ステップ１４０では、認証サーバ装置対応処理部４０は、これらシングルサインオンのＩＤ及びパスワードの入力、又シングルサインオン指示入力が適正であれば、これら入力を認証サーバ装置１３に伝達する。

該ステップ１４０の後、ステップ１４２では、表示画面処理部３２により、図１３に示すような表示言語識別情報に対応する該当言語の「正常時ポータル画面」を生成するための情報を生成し、これをウェブ・サーバ装置３０及びネットワーク１を経由してクライアント装置５にダウンロードする。すると、該クライアント装置５のブラウザ・プログラムは画面表示装置３３０において、「正常時ポータル画面」を表示する。

該「正常時ポータル画面」には、例えば図１３に示されるように、利用可能な様々なサービスのリストがメニューとして表示されるので、利用者は、利用を希望する該当メニューを、マウス３３２の操作で選択することができる。該選択をすると、該選択のサービスを利用することができる。又該利用に際しては、シングルサインオンの機能によって利用者のＩＤ及びパスワードの入力を適宜省略することができる。なお、該選択によって利用中のサービスを、以下認証サイトと呼ぶ。

又、該「正常時ポータル画面」には、例えば図１３に示すように、「Ｓｉｇｎ−ＯＦＦ」（一斉サインオフ）、又「Ｓｃｒｅｅｎ Ｓａｖｅｒ」の、それぞれのソフトウェア的押しボタンを有している。「Ｓｉｇｎ−ＯＦＦ」のソフトウェア的押しボタンをマウス３３２の操作で押下すると、すべての認証サイトを一斉にサインオフすることができ、シングルサインオン中の全てのサービスや処理を一斉にサインオフすることができる。あるいは、「Ｓｃｒｅｅｎ Ｓａｖｅｒ」のソフトウェア的押しボタンをマウス３３２の操作で押下すると、スクリーン・セーバー機能を起動することができる。

ここで、該スクリーン・セーバー機能は、利用者が短時間、クライアント装置５から離席する際に利用するものである。該スクリーン・セーバー機能では、画面表示を消去したり、無意味な表示に切り替えたりすると共に、認証サイトの利用ができないようにする機能になっている。

なお、このようにスクリーン・セーバー機能が動作している状態からの復帰は、通常のパスワード入力によるものとしてもよい。あるいは、スクリーン・セーバー機能が動作している状態からの復帰に、一時的な、一文字あるいは複数文字からなるパスワードや、画面の特定箇所のクリックなどを利用するようにしてもよい。

例えば、トップページ装置１０は、「Ｓｃｒｅｅｎ Ｓａｖｅｒ」のソフトウェア的押しボタンの利用者による押下後に、該利用者が希望する任意の一時的なパスワードや、画面の任意箇所のクリックなどを登録入力させて、このようなパスワードやクリック箇所などを保存しておく。該保存の後に、トップページ装置１０は、スクリーン・セーバー機能を作動させる。この後に該スクリーン・セーバー機能動作状態から復帰する際には、トップページ装置１０は、利用者にパスワード入力や画面クリックなどをさせて、該パスワード入力や該画面クリックのクリック箇所などを、上記登録保存のパスワードやクリック箇所などと照合する。そうして、該照合のこれらパスワードやクリック箇所などが一致する場合に、認証サイトの利用を再開させて、スクリーン・セーバー機能が動作している状態から復帰させるようにしてもよい。あるいは、該照合のこれらのパスワードやクリック箇所などが一致しない場合に、警告を表示し、ログオフ処理をしてもよい。なお、以上のような一時的なパスワードや、画面クリック、その他は、組み合わせてもよく、いずれか単独であってもよい。

トップページ装置処理は以上のとおりであるが、この図５の処理は、図４のステップ１２８や１２９において、サインオフがなされるまで行われる。

なお、以上のようなトップページ装置処理において、ステップ１３０で獲得した表示言語識別情報に基づき、ステップ１４０に係る認証サーバ装置１３が、対応する言語を取り扱っているものになるように変更するようにしてもよい。これによって、多言語対応が可能になる。

次に、前述の図５のステップ１３４において、異常であると判定された場合は、ステップ１４８に進んで、認証サーバ装置１３が異常であるのでシングルサインオンの機能が適用できないため、該機能に代替する機能を提供する。

該代替機能は、シングルサインオンの対象になっているアプリケーション・サーバ装置２０によって提供されているサービスに対して、利用者が直接接続するためのリンク機能を有しており、該直接接続の後は、利用者は各サービスに個別にログインする。

該代替機能を提供するため、まずステップ１４８では、ステップ１３０で獲得した表示言語識別情報に基づいて、代替機能のサインオンを行うにあたって、図１２に示すような表示言語識別情報に対応する該当言語の「トップページ初期画面」を表示するための、クライアント装置５にダウンロードする情報を表示画面処理部３２において生成する。該情報は、ＨＴＭＬ形式データやアプレットなどが含まれている。該情報は、ウェブ・サーバ装置３０やネットワーク１を経由してクライアント装置５のブラウザ・プログラムに送付され、該情報によって画面表示装置３３０において該トップページ初期画面が表示される。該トップページ初期画面は、上記の表示言語識別情報に対応する言語による表示になっている。

ステップ１５０では、該トップページ初期画面においては、シングルサインオンは提供せず該シングルサインオンの代替機能を提供するものであるが、便宜上、利用者は、シングルサインオンのためのＩＤ及びパスワードを入力し、又該サインオンの指示入力を行う。これらシングルサインオンのＩＤ及びパスワードの入力、又シングルサインオン指示入力は、認証サーバ装置対応処理部４０において受け付けられ、これら入力が適正であると認証サーバ装置対応処理部４０において判定されると、ステップ１５０の後にステップ１５２に進む。

なお、これらステップ１４８及びステップ１５０は、省略するようにしてもよい。

ステップ１５２では、認証サーバ装置対応処理部４０は、リンク対応処理部４２は、サイト・リスト格納部３８を参照して、該ＩＤや前述の表示言語識別情報に応じた、該当のリンクリストを生成する。そうして、表示画面処理部３２は、該リンクリストをリンク対応処理部４２から受け、図１４に示すような表示言語識別情報に対応する該当言語の「異常時ポータル画面」を表示するための、クライアント装置５にダウンロードする情報を生成する。該情報は、ＨＴＭＬ形式データやアプレットなどが含まれている。該情報は、ウェブ・サーバ装置３０やネットワーク１を経由してクライアント装置５のブラウザ・プログラムに送付され、該情報によって画面表示装置３３０において該提供アプリケーション・リスト・メニュー画面が表示される。該提供アプリケーション・リスト・メニュー画面は、例えば図１４に示されるように、利用可能な様々なサービスのリストがメニューとして表示され、リンクリストにあるサービスを利用者が選択することができるようになっており、上記の表示言語識別情報に対応する言語による表示になっている。利用者は、利用を希望する該当メニューを、マウス３３２の操作で選択することができる。

又、該「異常時ポータル画面」は、「Ｓｃｒｅｅｎ Ｓａｖｅｒ」のソフトウェア的押しボタンを有している。「Ｓｃｒｅｅｎ Ｓａｖｅｒ」のソフトウェア的押しボタンをマウス３３２の操作で押下すると、前述のようなスクリーン・セーバー機能を起動することができる。

なお、以上のようなトップページ装置処理において、ステップ１３０で獲得した表示言語識別情報に基づき、上記のリンクリストの内容が、対応する言語によってサービスを行っているものになるように、適宜変更するようにしてもよい。これによって、多言語対応が可能になる。

ステップ１５４では、該提供アプリケーション・リスト・メニュー画面においては、アプリケーション・サーバ装置２０によって提供されているサービスを選択入力する。すると、ステップ１５６において、リンク対応処理部４２は、該選択のサービスへと、リンクするための処理を行う。

次に、図７において、認証サーバ装置１３において行う処理を説明する。

ステップ２１０において認証サーバ装置１３は、前述のステップ１４０において認証サーバ装置対応処理部４０から受けた、利用者のＩＤに基づいて、ＬＤＡＰ装置１７に問い合わせを行う。該問い合わせに対して、図８のようなテーブルから、該当のパスワードを返信する。

ステップ２１２では、認証サーバ装置１３は、該返信情報に基づいて、利用者のＩＤ及びパスワードをチェックし、利用者を認証する。認証が可であればステップ２１４に進みに、不可であればステップ２４０に進む。

ステップ２１４では、前述のステップ１３０と同様の、クライアント装置５のブラウザ・プログラムから表示言語識別情報を、ネットワーク１を経由して認証サーバ装置１３が取得する。ステップ２１６では、現在時刻を取得する。該現在時刻は、シングルサインオンした時刻とされ、これ以降、サインオンしている時間を確認するために用いる。ステップ２１８では、認証サーバ装置１３は、ネットワーク１を介して利用者情報ＤＢ装置１８に対して問い合わせを行い、該利用者情報ＤＢ装置１８にある図９や図１０に示すファイルの情報を獲得する。

ここで、図９で示される利用権限ファイルによって、ＩＤによって示される各利用者が利用可能な、アプリケーション・サーバ装置２０によって提供されるサービスが示される。又、図１０で示されるサービスＵＲＬファイルによって、各サービスのＵＲＬが示される。

ステップ２２０では、このように利用者情報ＤＢ装置１８から獲得した図９の利用権限ファイルの情報に基づいて、認証サーバ装置１３は、利用者が利用できるサービスのリストを作成する。ステップ２２２では、該リストに基づいて、利用者がサービスを選択するためのメニュー画面を表示するための、クライアント装置５にダウンロードする情報を認証サーバ装置１３において生成する。該情報は、ＨＴＭＬ形式データやアプレットなどが含まれている。ステップ２２４において、該情報は、ネットワーク１を経由してクライアント装置５のブラウザ・プログラムに送付され、該情報によって画面表示装置３３０において該メニュー画面が表示される。

この後は、利用者は、画面表示装置３３０に表示される該メニュー画面において、マウス３３２によって所望のサービスを選択する。すると、図１０のサービスＵＲＬファイルの情報に基づいて該当のアプリケーション・サーバ装置２０のサービスに接続され、該サービスを、該接続のアプリケーション・サーバ装置２０から受けることができる。又、この際、シングルサインオンが既になされているので、改めてサインオンを行う必要はない。

なお、ステップ２１２において認証が不可とされると、ステップ２４０に進む。該ステップ２４０では、シングルサインオンの認証が受け付けられなかった旨、表示する画面を表示するための情報が認証サーバ装置１３において生成され、該情報は、認証サーバ装置１３からクライアント装置５に対して送信される。

次に、図１１において、アプリケーション・サーバ装置処理について説明する。

このアプリケーション・サーバ装置処理は、シングルサインオンによって認証サーバ装置１３を経由して、アプリケーション・サーバ装置２０が提供している該当のサービスが選択されサービスＵＲＬファイルに基づいて接続されたり、あるいは該サービスのＵＲＬに対して直接接続されたりした場合に行われる。

まず、ステップ２６２は、このサービスの利用の可否の認証情報を獲得し、ステップ２６４において該認証情報に基づいた利用可否判断を行う。シングルサインオンに係り認証サーバ装置１３を経由して接続した場合は該認証サーバ装置１３から受けた認証情報を、直接接続した場合は新たにＩＤ及びパスワードを入力させて得た認証情報を用いて、該利用可否判断を行う。

そうして、前述のステップ２１６で取得した現在時間から求めることができるサインオンしている時間が有効時間内であれば（ステップ２７０及び２７２における判定）、ステップ２７６において、今回提供するサービスの利用が可能になる。

なお、ステップ２８０及び２８２では、認証サーバ装置１３の動作状態が正常であるか確認し、判定する。ステップ２８６及び２８８では、アプリケーション・サーバ装置２０が直接ＬＤＡＰ装置１７に問い合わせて、該ＬＤＡＰ装置１７から図８の情報を得て行った認証の可否判断である。

ステップ２６４において認証不可で、ステップ２８０及び２８２で認証サーバ装置１３が正常であると判定された場合は、ステップ２８４において、サービス利用ができない旨のメッセージをクライアント装置５において表示するための処理を行う。

ステップ２６４において認証不可で、ステップ２８０及び２８２で認証サーバ装置１３が異常であると判定され、ステップ２８６及び２８８で独自判定が利用可の認証判定の場合は、ステップ２７６において、サービスを利用することができる。ステップ２８６及び２８８で独自判定が利用可の認証判定の場合は、ステップ２９０において、ステップ２８４と同様のメッセージ表示のための処理を行う。

以上に説明したように、本実施形態によれば、本願発明を効果的に適用することができる。

以上説明したとおり、本発明によれば、認証サーバ装置が提供するシングルサインオンの機能を利用した、多様なアプリケーション・サーバ装置の利用形態を提供することができる。

本発明が適用された実施形態のトップページ装置を含むトップページ介在シングルサインオン方法の構成を示すブロック図 前記実施形態のトップページ装置やクライアント装置のハードウェア構成を示すブロック図 前記実施形態のトップページ装置における、本発明に係る構成を示すブロック図 前記実施形態において、本願発明に係る全体的な処理を示すフローチャート 上記全体的処理に含まれる、トップページ装置処理を示すフローチャート 前記実施形態のシステム監視装置処理を示すフローチャート 前記実施形態の認証サーバ装置処理を示すフローチャート 前記実施形態の認証サーバ装置処理に含まれる利用者ＩＤパスワード・ファイルのデータ構成図 前記実施形態の認証サーバ装置処理に含まれる利用権限ファイルのデータ構成図 前記実施形態の認証サーバ装置処理に含まれるサービスＵＲＬファイルのデータ構成図 前記実施形態のアプリケーション・サーバ装置処理を示すフローチャート 前記実施形態の英語版のトップページ初期画面を示す表示画面図 前記実施形態の日本語版の正常時ポータル画面を示す表示画面図 前記実施形態の英語版の異常時ポータル画面を示す表示画面図

符号の説明

１…インターネット
５…クライアント装置
１０…トップページ装置
１３…認証サーバ装置
１５…システム監視装置
１７…ＬＤＡＰ装置
１８…利用者情報ＤＢ装置
２０…アプリケーション・サーバ装置
３０…ウェブ・サーバ装置
３２…表示画面処理部
３４…クライアント言語処理部
３６…異常監視処理部
３８…サイト・リスト格納部
４０…認証サーバ装置対応処理部
４２…リンク対応処理部
３０１〜３０３…バス
３１０…ＣＰＵ
３１１…ＲＡＭ
３１２…ＲＯＭ
３１３…ＬＡＮ−Ｉ／Ｆ
３１４…ＭＯＤＥＭ
３２０〜３２２…Ｉ／Ｆ
３３０…画面表示装置
３３１…キーボード
３３２…マウス
３３３…プリンタ装置
３４０…ＨＤＤ装置
３４１…ＣＤ装置
３４２…ＦＤＤ装置

Claims (7)

1. ネットワークを介して、アプリケーション・サーバ装置が提供する複数のサービスにログオンする際の、それぞれの認証手続を管理することで、シングルサインオンの機能を提供する認証サーバ装置を利用する際に、
   利用者側のクライアント装置は、利用者の操作に応じて、内蔵するブラウザ・プログラムによる処理によって、トップページ装置間のネットワークを介した接続を確立し、
   該接続によって該トップページ装置は、前記シングルサインオン機能を受けるための機能選択が可能な画面表示をするためのトップページ画面表示用情報を、前記クライアント装置に送信し、
   該クライアント装置は、該トップページ画面表示用情報を受信し、前記画面表示をするようにしたことを特徴とするトップページ介在シングルサインオン方法。
2. 請求項１のトップページ介在シングルサインオン方法において、
   前記トップページ装置が、前記シングルサインオンが前記認証サーバ装置によって正常に動作し得るか判定する異常監視処理を行い、
   異常ありと判定された場合は、該異常に応じた前記トップページ画面表示用情報を、前記クライアント装置に送信するようにしたことを特徴とするトップページ介在シングルサインオン方法。
3. 請求項１のトップページ介在シングルサインオン方法において、
   前記クライアント装置との前記接続によって、前記トップページ装置が、前記ブラウザ・プログラムにおける利用者の表示言語識別情報を取得し、
   前記トップページ装置は、該表示言語識別情報に応じた前記トップページ画面表示用情報を、前記クライアント装置に送信するようにしたことを特徴とするトップページ介在シングルサインオン方法。
4. 請求項１〜請求項３のいずれかのトップページ介在シングルサインオン方法において、
   前記クライアント装置は、前記トップページ画面表示用情報による前記画面表示において、シングルサインオンされる全ての前記サービスを、一斉にサインオフを受け付けるボタン操作入力機能、及び該一斉サインオフを実行する機能を提供することを特徴とするトップページ介在シングルサインオン方法。
5. 請求項１〜請求項４のいずれかのトップページ介在シングルサインオン方法において、
   前記クライアント装置は、前記画面表示において、該アプリケーションの使用を一時的に中断し、該アプリケーションを利用できない画面を表示する機能を提供することを特徴とするトップページ介在シングルサインオン方法。
6. ネットワークを介して、アプリケーション・サーバ装置が提供する複数のサービスにログオンする際の、それぞれの認証手続を管理する認証サーバ装置が提供するシングルサインオンの機能を受けるための、機能選択が可能な画面表示を行うためのトップページ画面表示用情報を生成するための表示画面処理部と、
   利用者の操作に応じて、利用者側のクライアント装置が内蔵するブラウザ・プログラムによって確立するネットワークを介した接続によって、該トップページ画面表示用情報を、前記クライアント装置に送信するウェブ・サーバ処理部と、を備えたことを特徴とするトップページ装置。
7. 請求項１〜請求項５のいずれか１つのトップページ介在シングルサインオン方法、又は、請求項６のトップページ装置を実施するためのコンピュータ・プログラム。

Images