JP2006251996A - クライアント装置、画像処理システム、クライアント装置の制御方法、プログラム及び記録媒体 - Google Patents

Abstract

【課題】 クライアント装置から画像処理装置にアクセスする場合に、その画像処理装置が対応している認証の方式に関わらず、同様な操作で画像処理装置にアクセスできるようにする。
【解決手段】 ＭＦＰ１０とネットワークを介して通信可能なＰＣに、ＭＦＰ１０に対して画像の処理を要求する場合に、ＭＦＰ１０との間で認証の方式に関するネゴシエーションを行う手順（Ｓ１１，Ｓ１２）と、上記ネゴシエーションにおいて認証をＭＦＰ１０の外部で行うことが決定された場合には、その認証に使用する認証情報を単純なスクランブルにより暗号化してＭＦＰ１０に送信し、上記ネゴシエーションにおいて認証をＭＦＰ１０の内部で行うことが決定された場合には、上記認証情報を、ダイジェスト認証に適した形式でＭＦＰ１０に送信する手順（Ｓ１３〜Ｓ１５）とを実行させるようにした。
【選択図】 図４

Description

この発明は、外部の画像処理装置に対して画像の処理を要求するクライアント装置、このようなクライアント装置と画像処理装置とを備えた画像処理システム、上記のようなクライアント装置の制御方法、コンピュータを上記のようなクライアント装置として機能させるためのプログラム、およびこのようなプログラムを記録したコンピュータ読み取り可能な記録媒体に関する。

近年において、プリンタやデジタル複合機（ＭＦＰ）のような画像処理装置において、利用者をパスワード等により認証し、その結果に応じて使用の可否を判断したり、印刷枚数を管理したりすることが行われるようになっている。このような技術については、例えば特許文献１に記載されている。
特開２００２−１７８５６７号公報

ところで、認証の方式としては、単にユーザが入力したパスワードが予め登録されているものと一致するかどうか照合するといった単純なものも考えられる。しかし、このような方式では、例えば外部のクライアント装置から画像処理装置に認証を要求するような場合、パスワードがネットワーク上を流れてしまい、パケットの傍受等により、パスワードが漏洩してしまう恐れもある。
そこで、安全性を高めるためには、暗号を利用した認証処理も利用されるようになっている。

しかしながら、高度な暗号を利用した暗号化や復号化には、容量の大きな暗号化・復号化モジュールが必要となる。そして、画像処理装置の場合には、コストを抑えるため、搭載するメモリの容量を極力抑えるようにしているので、容量の大きな暗号化・復号化モジュールを記憶及び実行できるような容量のメモリを設けることが難しい場合があるという問題があった。特に、低価格の機種においては、この点は特に問題となる。

従って、例えば、ユーザが複数の画像処理装置をネットワークに接続する場合、装置によって暗号化・復号化モジュールを用いた認証に対応しているか否かという点にバラツキが生じてしまうこともある。そして、このような場合、各画像処理装置に対してクライアント装置からの操作によりアクセスできるようにするとすると、ユーザは、アクセス先の画像処理装置が暗号化・復号化モジュールを用いた認証に対応しているか否かに応じて使用する認証方式を変更する必要があり、操作が面倒であるという問題があった。
この発明は、このような問題を解決し、クライアント装置から画像処理装置にアクセスする場合に、その画像処理装置が対応している認証の方式に関わらず、同様な操作で画像処理装置にアクセスできるようにすることを目的とする。

上記の目的を達成するため、この発明のクライアント装置は、外部の画像処理装置とネットワークを介して通信可能なクライアント装置において、上記画像処理装置に対して画像の処理を要求する場合に、その画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手段と、上記ネゴシエーションにおいて認証を上記画像処理装置の外部で行うことが決定された場合には、その認証に使用する認証情報を、上記画像処理装置の基本機能により処理が可能な方式で暗号化してその画像処理装置に送信し、上記ネゴシエーションにおいて認証を上記画像処理装置の内部で行うことが決定された場合には、上記認証情報を、ダイジェスト認証に適した形式でその画像処理装置に送信する認証情報送信手段とを設けたものである。

また、この発明の画像処理システムは、クライアント装置からの要求に応じて画像の処理を行う画像処理装置と、その画像処理装置とネットワークを介して通信可能な上記クライアント装置とを備えた画像処理システムにおいて、上記画像処理装置に、受信した認証情報を外部の認証装置に送信して認証を行わせる外部認証手段と、受信した認証情報を用いてその画像処理装置の内部で認証を行うローカル認証手段とを設け、上記クライアント装置に、上記画像処理装置に対して画像の処理を要求する場合に、その画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手段と、上記ネゴシエーションにおいて認証を上記外部認証手段により行うことが決定された場合には、その認証に使用する認証情報を、上記画像処理装置の基本機能により処理が可能な方式で暗号化してその画像処理装置に送信し、上記ネゴシエーションにおいて認証を上記ローカル認証手段により行うことが決定された場合には、上記認証情報を、ダイジェスト認証に適した形式でその画像処理装置に送信する認証情報送信手段とを設けたものである。

また、この発明は、クライアント装置からの要求に応じて画像の処理を行う画像処理装置と、その画像処理装置とネットワークを介して通信可能な上記クライアント装置とを備えた画像処理システムにおいて、上記クライアント装置に、上記画像処理装置に対して認証を要求する場合に、その認証に使用する認証方式の指定を受け付ける指定受付手段と、上記画像処理装置に対して認証を要求する場合に、その認証に使用する認証情報を、その指定受付手段が指定を受け付けた認証方式による認証処理に適した形式で、その認証方式を示す情報と共に上記画像処理装置に送信する認証情報送信手段とを設け、上記画像処理装置に、受信した認証情報を外部の認証装置に送信して認証を行わせる外部認証手段と、受信した認証情報を用いてその画像処理装置の内部で認証を行うローカル認証手段と、上記クライアント装置に認証を要求された場合に、そのクライアント装置から受信した認証方式を示す情報に基づいて、上記外部認証手段と上記ローカル認証手段のいずれを用いて認証を行うかを選択する手段とを設けたものである。

上記の各画像処理システムにおいて、上記画像処理装置を第１の画像処理装置とし、その第１の画像処理装置と異なる第２の画像処理装置を設け、上記第２の画像処理装置に、上記クライアント装置から認証を要求された場合に、その認証のために上記クライアント装置から受信した情報を上記第１の画像処理装置に転送し、その第１の画像処理装置にその転送した情報を用いた認証を要求する手段を設けるとよい。
さらに、上記第１の画像処理装置を複数設け、上記第２の画像処理装置が、第１の画像処理装置に認証を要求する場合に、その要求先を、上記複数の第１の画像処理装置の中から所定の規則に従って選択するようにするとよい。

また、上記の各画像処理システムにおいて、上記画像処理装置において、画像の処理の要求を受け付ける際にその要求元の認証を要求する場合でも、上記要求元が上記認証情報を送信してこない場合に、あるいは上記ローカル認証手段により認証を行うことができない形式で上記認証情報を送信してきた場合に、認証を行わずに要求された画像の処理を実行するようにする旨の指定を受け付ける手段を設けるとよい。

また、この発明のクライアント装置の制御方法は、外部の画像処理装置とネットワークを介して通信可能なクライアント装置に、上記画像処理装置に対して画像の処理を要求する場合に、その画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手順と、上記ネゴシエーションにおいて認証を上記画像処理装置の外部で行うことが決定された場合には、その認証に使用する認証情報を、上記画像処理装置の基本機能により処理が可能な方式で暗号化してその画像処理装置に送信し、上記ネゴシエーションにおいて認証を上記画像処理装置の内部で行うことが決定された場合には、上記認証情報を、ダイジェスト認証に適した形式でその画像処理装置に送信する認証情報送信手順とを実行させるようにしたものである。

また、この発明のプログラムは、コンピュータを、画像処理装置に対して画像の処理を要求する場合に、その画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手段と、上記ネゴシエーションにおいて認証を上記画像処理装置の外部で行うことが決定された場合には、その認証に使用する認証情報を、上記画像処理装置の基本機能により処理が可能な方式で暗号化してその画像処理装置に送信し、上記ネゴシエーションにおいて認証を上記画像処理装置の内部で行うことが決定された場合には、上記認証情報を、ダイジェスト認証に適した形式でその画像処理装置に送信する認証情報送信手段として機能させるためのプログラムである。
また、この発明の記録媒体は、上記のプログラムを記録したコンピュータ読取可能な記録媒体である。

以上のようなこの発明のクライアント装置、画像処理システム、クライアント装置の制御方法によれば、クライアント装置から画像処理装置にアクセスする場合に、その画像処理装置が対応している認証の方式に関わらず、同様な操作で画像処理装置にアクセスできるようにすることができる。
また、この発明のプログラムによれば、コンピュータを上記のクライアント装置として機能させてその特徴を実現し、同様な効果を得ることができる。
この発明の記録媒体によれば、上記のプログラムを記憶していないコンピュータにそのプログラムを読み出させて実行させ、上記の効果を得ることができる。

以下、この発明を実施するための最良の形態について、図面を参照して説明する。
〔第１の実施形態：図１乃至図５〕
まず、この発明のクライアント装置の実施形態であるＰＣ（パーソナルコンピュータ）を備えた画像処理システムの第１の実施形態の構成について説明する。図１は、その画像処理システムの構成を示したブロック図である。
この画像処理システム１は、図１に示すとおり、デジタル複合機（ＭＦＰ）１０，プリンタ２０，ＦＡＸ（ファクシミリ）装置３０，複写機４０，スキャナ５０といった画像処理装置と、認証サーバ６０及びＰＣ７０をＬＡＮ（ローカルエリアネットワーク）９０により接続して構成している。

なお、ＭＦＰ１０は、コピー、プリンタ、スキャナ、ファクシミリ通信等の種々の機能を有する画像処理装置である。そして、ＰＣ７０から所望の画像処理装置にコマンドや必要なデータを送信することにより、プリント、スキャン、ＦＡＸ送信等の種々の動作を行わせることができるようにしている。
また、各画像処理装置１０〜５０及び認証サーバ６０にはそれぞれＳＡＭＤＢ（セキュリティ・アカウント・マネージャ・データベース）８１〜８６を持たせ、ユーザのアカウントに関する情報として、ユーザ名やパスワード等の認証情報を記憶させて、これらの情報を用いてユーザを認証できるようにしている。

ただし、各画像処理装置１０〜５０は必ずしも自身で認証処理を行う必要はなく、認証サーバ６０に認証を要求し、その結果に応じて認証の成否を判断するようにしてもよい。このようにすれば、認証サーバ６０に持たせるＳＡＭＤＢ８６に記憶させた情報を各画像処理装置に共通して使用させることができるので、データベースのメンテナンスの手間を軽減できる。また、各画像処理装置において、操作パネルから認証情報が入力された場合には自機のＳＡＭＤＢを用いて認証を行い、ＬＡＮ９０を介して認証情報を受信した場合には認証サーバ６０に認証を要求するといった対応も可能である。また、自身で認証処理を行わない画像処理装置については、ＳＡＭＤＢを設ける必要はない。

次に、図２に、図１に示した各画像処理装置を代表してＭＦＰ１０のハードウェア構成を示す。
図２に示すように、ＭＦＰ１０は、ＣＰＵ１１，ＲＯＭ１２，ＲＡＭ１３，不揮発メモリ１４，ネットワークＩ／Ｆ１５，エンジン部１６を備え、これらはシステムバス１７によって接続されている。

ＣＰＵ１１は、ＭＦＰ１０全体を統括制御する制御手段であり、ＲＯＭ１２や不揮発メモリ１４に記録された種々のプログラムを実行することにより、外部認証手段，ローカル認証手段等の各手段として機能し、後述するようなこの実施形態の特徴に係る種々の機能を実現する。
ＲＯＭ１２は、不揮発性の記憶手段であり、ＣＰＵ１１が実行するプログラムや、固定的なパラメータ等を記憶する。ＲＯＭ１２を書き換え可能な記憶手段として構成し、これらのデータをアップデートできるようにしてもよい。

ＲＡＭ１３は、一時的に使用するデータを記憶したり、ＣＰＵ１１のワークメモリとして使用したりする記憶手段である。
不揮発メモリ１４は、ＮＶＲＡＭ（不揮発ＲＡＭ）やＨＤＤ（ハードディスクドライブ）等による書き換え可能な不揮発性記憶手段であり、ＣＰＵ１１が実行するプログラムや、装置の電源がＯＦＦされた後でも保持しておく必要があるパラメータの値等を記憶する。

ネットワークインタフェース（Ｉ／Ｆ）１５は、ＭＦＰ１０をＬＡＮ９０等のネットワークに接続するためのインタフェースであり、例えばイーサネット（登録商標）方式の通信を行うためのインタフェースである。そして、ネットワークを介して他の装置と通信を行う場合、このネットワークＩ／Ｆ１５とＣＰＵ１１とが通信手段として機能する。なお、ネットワークとしては、有線、無線を問わず種々の方式のものが使用可能であり、ネットワークＩ／Ｆ１５は、ネットワークの規格や使用する通信プロトコル等に応じて適切なものを用意する。また、複数の規格に対応させて複数のネットワークＩ／Ｆ１５を設けることも当然可能である。

エンジン部１６は、画像形成部、画像読取部、ファクシミリ通信ユニット等であり、ＣＰＵ１１がこれらの動作を適切に制御することにより、ＭＦＰ１０にコピー、プリント、スキャン、ファクシミリ通信等の種々の動作を実行させることができる。なお、この部分は、この実施形態の特徴とはあまり関係ないため、図示は簡単なものに留めている。
なお、図１に示したプリンタ２０等の他の画像処理装置の構成も、機能に応じてエンジン部１６の構成、メモリの容量、ＣＰＵの演算能力等が異なるが、図２に示したレベルの構成はＭＦＰ１０と概ね同様なものである。

また、認証サーバ６０については、ハードウェアとしては、ＣＰＵ，ＲＯＭ，ＲＡＭ，ＨＤＤ，ネットワークＩ／Ｆ等を備えた公知のコンピュータを用いることができる。ＰＣ７０についても、ハードウェアとしては、ＣＰＵ，ＲＯＭ，ＲＡＭ，ＨＤＤ，ネットワークＩ／Ｆ，ディスプレイ，キーボード等を備えた公知のＰＣを用いることができる。

次に、図３に、ＭＦＰ１０のソフトウェア構成の要部を示す。
ＭＦＰ１０のソフトウェア構成は、最上位のアプリケーションモジュール（アプリ）層、その下位のサービスモジュール層等からなる。そして、これらのソフトウェアを構成するプログラムは、不揮発メモリ１４やＲＯＭ１２に記憶され、必要に応じて読み出されてＣＰＵ１１によって実行される。

そして、アプリ層のソフトウェアは、ＣＰＵ１１にハードウェア資源を動作させて所定の機能を実現させるためのプログラムによって構成され、サービスモジュール層のソフトウェアは、ＣＰＵに、複数のアプリからのハードウェア資源に対する動作要求の受付，その動作要求の調停，およびその動作要求に基づく動作の実行制御を行う機能を実現させるためのプログラムによって構成される。また、これらのプログラムは、ＵＮＩＸ（登録商標）などのオペレーティングシステム上で、それぞれプロセスとして並列実行される。

図３に示した範囲では、コピーアプリ１０１，プリンタアプリ１０２，ＦＡＸアプリ１０３，スキャナアプリ１０４，ドキュメントボックスアプリ１０５がアプリ層に該当する。そして、これらのプログラムはそれぞれ、ＣＰＵ１１にハードウェア資源を動作させてコピー、プリント、ＦＡＸ通信、スキャン、文書管理の機能を実現するためのプログラムである。また、これらの機能の各々が画像処理に係る機能である。

また、ＳＡＭ（セキュリティ・アカウント・マネージャ）１０６，認証サービス１０７，ネットワークサービス１０８，ＬＡＮコントローラ１０９がサービス層に該当する。
そして、ＳＡＭ１０６は認証サービス１０７が認証処理に使用するＳＡＭＤＢ８１を管理する機能を実現させるためのソフトウェアである。

認証サービス１０７は、ＰＣ７０等から受信した認証情報を用いてその送信元装置あるいは送信を指示したユーザを認証する機能を実現するためのソフトウェアである。なお、この認証の方式には種々のものが考えられ、例えばＭＤ５（Message Digest 5）やＳＨＡ−１（Secure Hash Algorithm 1）のようなメッセージダイジェストアルゴリズムを用いた認証や、ＳＳＬ（Secure Socket Layer）を用いた認証、外部の認証サーバを利用した認証、シーザー暗号など単純なスクランブルを施した認証情報を利用した認証等が考えられる。なお、認証サービス１０７が、これらの全ての認証を行う機能を提供できる必要はない。例えば、ＳＳＬによる認証を行うためには、データの暗号化／復号化のために高度な処理を行うモジュールが必要になり、プログラムの容量や処理負荷の増加につながるため、リソースの制限が厳しい装置においてはＳＳＬによる認証を行う機能を設けないようにすることが考えられる。

ネットワークサービス１０８は、ＬＡＮ９０等のネットワークを介した情報の授受を行う機能を実現するためのソフトウェアである。
ＬＡＮコントローラ１０９は、ネットワークＩ／Ｆ１５の動作を制御して他の機器との間で情報の授受を行わせる機能を実現するためのソフトウェアである。

次に、ＰＣ７０がＭＦＰ１０に対して画像処理の一例であるプリントを要求する場合に実行する処理及び、これに対応するＭＦＰ１０側の処理について説明する。
図４及び図５は、これらの処理を示すフローチャートである。
ＰＣ７０のＣＰＵは、ユーザがプリントに使用する装置（ここではＭＦＰ１０とする）及びプリントすべきデータ（例えば文書ファイル）とを指定してプリント実行を指示すると、所要のプリンタドライバプログラムを実行することにより、図４の右側のフローチャートに示す処理を開始する。この処理は、この発明のクライアント装置の制御方法に係る処理である。

そして、この処理においては、まずステップＳ１１で、プリントに使用する装置として指定されたＭＦＰ１０に、望ましい認証方式を照会する。
一方、ＭＦＰ１０のＣＰＵ１１は、この照会があると、認証サービス１０７等の所要の制御プログラムを実行することにより、図４の左側のフローチャートに示す処理を開始する。そして、ステップＳ２１で、自身の設定を参照し、望ましい認証方式を照会元に通知（応答）して一旦処理を終了する。なお、ここで通知する内容としては、受信した認証情報を外部の認証装置に送信して認証を行わせる外部認証を行うか、受信した認証情報を用いてＭＦＰ１０の内部で認証を行うローカル認証を行うかを示す情報が考えられる。また、ステップＳ１１及びＳ２１での照会と通知は、例えばＳＯＡＰ（Simple Object Access Protocol）といったプロトコルを利用して行うとよい。

そして、ＰＣ７０側では、ＭＦＰ１０からステップＳ１１での照会に対する応答を受信すると、ステップＳ１２の処理に進み、照会結果を判断する。ここまでの処理がＭＦＰ１０との間で認証の方式に関するネゴシエーションを行うネゴシエーション手順の処理に該当し、この処理においてＰＣ７０のＣＰＵがネゴシエーション手段として機能する。また、ここでは、ＰＣ７０は、ＭＦＰ１０からの応答により通知された認証方式を受諾し、ネゴシエーションの結果その認証方式の使用を決定するようにしている。

そして、ステップＳ１２で外部認証であれば、ステップＳ１３に進み、認証に使用するＩＤやパスワード等の認証情報に単純なスクランブルによる暗号化を施したものとプリントデータとを送信して、ＭＦＰ１０に認証及びプリントを要求して処理を終了する。
一方、ステップＳ１２でローカル認証であれば、ステップＳ１４に進み、ＭＦＰ１０にダイジェスト認証に適した形式の上記の認証情報と、プリントデータとを送信し、認証及びプリントを要求して処理を終了する。

これらのステップＳ１３及びＳ１４の処理が、認証情報送信手順の処理であり、これらの処理において、ＰＣ７０のＣＰＵが認証情報送信手段として機能する。
なお、ここで送信する認証情報は、ユーザがその場で入力したものでも、予めプリンタドライバに設定したおいたものでもよい。

そして、スクランブル暗号としては、例えば文字をある規則に沿って置き換える暗号方式であるシーザー暗号や、データのビットをずらすビットシフト等が考えられる。そして、これらの方式の中から、ＭＦＰ１０が暗号化／複合化用の特殊なモジュールを使用しなくても基本的な演算機能により復号化できるような暗号方式を採用するとよい。
また、ダイジェスト認証は、ＭＤ５やＳＨＡ−１等のアルゴリズムに従って認証情報に不可逆的な計算を施し、ネットワーク上でのパスワードの盗聴を防止する認証方式である。
また、プリントデータは、プリントすべき画像の内容をＭＦＰ１０が理解できるプリンタ言語により記述したデータである。

そして、ＭＦＰ１０のＣＰＵは、ステップＳ１３又はＳ１４でＰＣ７０が送信した認証及びプリントの要求を受信すると、図５のフローチャートに示す処理を開始する。
この処理においては、まずステップＳ３１で、ＭＦＰ１０が外部認証を行う設定になっているか否かを判断する。そして、なっていれば、ＰＣ７０からは図４のステップＳ１３の処理により認証情報に単純なスクランブルを施したデータが送信されてきているはずであるから、ステップＳ３２に進んでこのスクランブルを解除し、ステップＳ３３でスクランブル解除後の認証情報を用いて認証サーバ６０へのログインを試みる。すなわち、認証サーバ６０にその認証情報を送信して認証を要求する。

そして、認証（ログイン）が成功すれば、ステップＳ３５からＳ３６に進み、ＭＦＰ１０からのプリント要求に応じてプリントデータに従ったプリントを実行し、処理を終了する。また、認証が失敗であれば、ステップＳ３５からＳ３７に進み、認証の要求元であるＭＦＰ１０にエラー応答を返して処理を終了する。
一方、ステップＳ３１でＮＯであれば、ローカル認証を行う設定となっており、ＰＣ７０からは図４のステップＳ１４の処理によりダイジェスト認証に適した形式の認証情報が送信されてきているはずであるから、ステップＳ３４でこれを用いてダイジェスト認証を行う。そして、この場合にも、ステップＳ３５以下では、認証の成否に応じてプリント実行又はエラー応答を行って処理を終了する。
以上の処理において、ステップＳ３２及びＳ３３の処理においてはＣＰＵ１１が外部認証手段として機能し、ステップＳ３４の処理においてはＣＰＵ１１がローカル認証手段として機能する。

そして、ＰＣ７０側とＭＦＰ１０側とで以上のような処理を行うことにより、ＭＦＰ１０が持つ認証機能をユーザが意識しなくても、ＰＣ７０とＭＦＰ１０との間で、ＭＦＰ１０側の認証能力に応じた適切な認証処理を行うことができる。従って、ユーザが適当な認証方式をＰＣ７０あるいはプリンタドライバに設定しなくても、ＭＦＰ１０が対応している認証の方式に関わらず、同様な操作でＭＦＰ１０にアクセスできるようにすることができる。

なお、図５においては、ＭＦＰ１０において設定により外部認証とローカル認証とを選択的に実行できるようにした例を示したが、このようにすることは必須ではなく、どちらか一方の認証のみが可能な構成でもよい。例えば、ＭＦＰ１０にＳＡＭＤＢを持たせず、常に外部認証を行うようにしてもよい。そして、この例の場合には、図４のステップＳ２１での通知は、常に「ローカル認証」を示すものになる。

また、図４に示した処理において、ステップＳ１１及びＳ１２のネゴシエーションの処理を行わず、ＰＣ７０が、ユーザがその場で又は予め指定しておいた方式の認証処理に適した形式で認証情報をＭＦＰ１０に送信するようにしてもよい。この場合、指定を受け付ける項目としては、メッセージダイジェストに使用するアルゴリズム（ＭＤ−５，ＳＨＡ−１など）や、通信の暗号化（例えばＳＳＬの使用）の有無等が考えられる。また、認証情報の内容として、ユーザＩＤやパスワードの指定を受け付けることができるようにするとよい。これらの処理においては、ＰＣ７０のＣＰＵが指定受付手段として機能する。

そして、このようにした場合、ＰＣ７０がＭＦＰ１０に認証を要求する際には、ＣＰＵを認証情報送信手段として機能させ、認証に使用する認証情報を、指定された認証方式による認証処理に適した形式で、その認証方式を示す情報と共にＭＦＰに送信するようにする。
また、ＭＦＰ１０側については、認証方式を示す情報を参照し、その内容に応じた対応を行うようにするとよい。すなわち、例えば、自身で認証処理が可能な方式であればローカル認証を行い、そうでなければ認証サーバ６０を始めとする外部の装置に認証を要求して外部認証を行うといった対応を行うようにするとよい。
このようにすれば、ユーザが認証処理の方式を明示的に指定できるので、常に暗号化通信による認証を行いたいといった要求にも対応することができる。

〔第２の実施形態：図６乃至図１０〕
次に、この発明の画像処理システムの第２の実施形態の構成について説明する。
この画像処理システムを構成する装置は、ハードウェアとしては第１の実施形態の画像処理システムを構成するものと同様でよい。しかし、この画像処理システムは、ＭＦＰ１０やプリンタ２０等の画像処理装置として、暗号化／復号化処理に必要なモジュールを有しない暗号非対応画像処理装置１１０と、暗号化／復号化処理に必要なモジュールを有する暗号対応画像処理装置１２０とを含む。そして、暗号非対応画像処理装置１１０は、暗号化された認証情報を用いたログイン（認証）の要求を受けた場合、認証を暗号対応画像処理装置１２０に委託するようにしている。なお、暗号非対応画像処理装置１１０や暗号対応画像処理装置１２０は具体的にどの画像処理装置であってもよいが、メモリ容量やＣＰＵの処理能力といったリソースの少ない装置を前者、リソースの比較的豊富な装置を後者とするとよい。

ここで、図６に、ユーザがＰＣ７０から暗号非対応画像処理装置１１０にアクセスして、暗号化した認証情報によりログインを要求した場合の、各装置の処理シーケンス例を示す。図６は、暗号対応画像処理装置１２０が内部認証を行う場合でかつ認証が成功する場合の処理シーケンス例である。
この場合、まずＰＣ７０が暗号化した認証情報とログイン要求を暗号非対応画像処理装置１１０に送信すると（Ｓ４１）、暗号非対応画像処理装置１１０は、その認証情報及びログイン要求をそのまま暗号対応画像処理装置１２０に転送する（Ｓ４２）。この際に転送先をどのように決定するかについては後述する。

一方、ステップＳ４２で認証情報とログイン要求を受信した暗号対応画像処理装置１２０は、認証情報を復号化してその認証情報を用いた認証処理を行い（Ｓ４３）、その結果を要求元である暗号非対応画像処理装置１１０に返す（Ｓ４４）。
そして、暗号非対応画像処理装置１１０はこの認証結果を受信して記憶し（Ｓ４５）、当初のログイン要求の送信元であるＰＣ７０に認証結果（認証成功の応答）を転送する。そして、ＰＣ７０はこれに応じてプリントデータとプリント要求を暗号非対応画像処理装置１１０に送信し（Ｓ４７）、暗号非対応画像処理装置１１０は、その要求が認証の成功した機器からの要求と判断した場合に（Ｓ４８）、要求に従ったプリントを実行する（Ｓ４９）。もちろん、プリント以外の画像処理要求の場合も同様である。

なお、暗号対応画像処理装置１２０がユーザ情報を記録したＳＡＭＤＢを持っていない場合も考えられる。そして、このような場合には暗号対応画像処理装置１２０は認証処理を外部の装置に依頼するようにすればよい。

図７に、このような場合の図６と対応する処理シーケンス例を示す。
この場合、ステップＳ５１，Ｓ５２での認証情報及びログイン要求の送信と転送は、図６のステップＳ４１，Ｓ４２の場合と同様である。
しかし、ステップＳ５２で認証情報とログイン要求を受信した暗号対応画像処理装置１２０は、認証情報の復号化を行うが（Ｓ５３）、ＳＡＭＤＢを持たないため自身で認証処理を行うことができないので、認証サーバ６０に復号化した認証情報及びログイン要求を送信して認証処理を行わせる。

そして、認証サーバ６０がこの要求に応じて受信した認証情報を用いて認証処理を行い（Ｓ５５）、認証結果を要求元である暗号対応画像処理装置１２０に返すと（Ｓ５６）、暗号対応画像処理装置１２０はステップＳ５２でのログイン要求の要求元である暗号非対応画像処理装置１１０に認証結果を転送する（Ｓ５７）。
そして、暗号非対応画像処理装置１１０は、この認証結果を受信して記憶するが（Ｓ５８）、暗号非対応画像処理装置１１０はログイン要求を転送した暗号対応画像処理装置１２０が自身で認証処理を行ったか認証サーバ６０に依頼して認証処理を行ったかを区別する必要はない。従って、これ以降の処理は、図６のステップＳ４５以降の処理と同様なものになる。

次に、図８に、図６に示した処理を実現するための処理のうち暗号非対応画像処理装置１１０において実行する部分の処理のフローチャートを示す。
暗号非対応画像処理装置１１０のＣＰＵは、ＰＣ７０等の外部装置からログイン要求を受信すると、図８のフローチャートに示す処理を開始する。
そして、まずステップＳ７１でログイン要求元から認証情報を受信し、ステップＳ７２で、ログイン要求を転送する転送先の候補のリストを取得する。なお、自身でＳＡＭＤＢを持ち、かつ認証情報が暗号化されていなければ、暗号非対応画像処理装置１１０が自身で認証処理を行うことができる場合も考えられるが、ここでは処理の単純化のためログイン要求を常に暗号対応画像処理装置１２０に転送するようにしている。

次のステップＳ７３では、ステップＳ７２で取得したリストにある全ての機器からスタック中の印刷ジョブの情報を取得する。このリストとしては、例えば図９に示すように転送先の候補となる機器のＩＰアドレスを列挙したものが考えられる。そして、ステップＳ７４でそのうち印刷ジョブ数が最も少ない機器をログイン要求転送先に決定する。
そして、ステップＳ７５でその決定した転送先にステップＳ７１で受信した認証情報及びログイン要求を転送し、ステップＳ７６で応答を待ち、所定時間内に応答があれば、ステップＳ７８に進んで認証成功か否かを判断する。

ここで認証成功であれば、ステップＳ７９に進んで、ログイン要求の転送先からの応答を記憶すると共にその応答を暗号非対応画像処理装置１１０に対するログイン要求の送信元に転送する。その後、ステップＳ８０で、そのログイン要求元からプリント要求を受信し、要求に基づいてプリントを実行して処理を終了する。
また、ステップＳ７８で認証失敗であれば、ステップＳ８１でログイン要求元にエラーを返して処理を終了する。この場合には、プリント要求を受信した場合でもプリント処理を実行せずにエラーを返す。

一方、ステップＳ７６で所定時間内に応答が無かった場合には、ステップＳ７７に進んで次の転送先候補に認証情報及びログイン要求を転送し、ステップＳ７６に戻って処理を繰り返す。この場合の転送先は、ステップＳ７３で取得した印刷ジョブの情報をもとに、２番目に少ない機器としてもよいし、印刷ジョブの情報を取得し直して、既に転送を試みた機器以外の中で最もジョブ数の少ない機器とする等も考えられる。
また、ステップＳ７４の場合も含め、転送先を決定するための規則としては、単純にリストの初めに登録されてきる機器から順に転送先とするようにする等も考えられる。

次に、図１０に、図６に示した処理を実現するための処理のうち暗号対応画像処理装置１２０において実行する部分の処理のフローチャートを示す。なお、この図には、暗号対応画像処理装置１２０においてローカル認証と外部認証を選択可能とした場合の処理を示している。
暗号対応画像処理装置１２０のＣＰＵは、暗号非対応画像処理装置１１０等の外部装置からログイン要求を受信すると、図１０のフローチャートに示す処理を開始する。

そして、まずステップＳ９１でログイン要求元から認証情報を受信し、ステップＳ９２でその認証情報を復号化する。
その後、ステップＳ９３で外部認証を行う設定になっているか否か判断し、なっていればステップＳ９４に進む。そして、ステップＳ９４で、ステップＳ９２で復号化した認証情報を用いて認証サーバ６０にログインを要求し、ステップＳ９５で認証サーバ６０から応答を受信する。その後、ステップＳ９７で、その応答を暗号対応画像処理装置１２０に対するログイン要求の送信元に認証結果として返し、処理を終了する。

一方、ステップＳ９３で外部認証を行う設定になっていなければ、ステップＳ９６に進み、ステップＳ９２で復号化した認証情報を自身のＳＡＭＤＢに記憶している認証情報と比較してローカルで認証処理を行い、ステップＳ９７でその認証結果をログイン要求元に返して処理を終了する。

以上のような処理を行うことにより、暗号非対応画像処理装置が受けたログイン要求に係る認証を、暗号対応画像処理装置に代行して行わせることができる。従って、ＰＣ７０から暗号化した認証情報を用いたログインを要求した画像処理装置が暗号化／復号化処理に対応していない場合でも、ＰＣ７０側から見た場合に、あたかも要求先の装置が認証を行ったかのような認証結果を得ることができる。このため、ＰＣ７０のユーザは、ログイン要求先の装置が暗号化／復号化処理に対応しているか否かを意識することなくパスワードの暗号化を利用したログインを要求することができ、容易に高いセキュリティを得ることができる。
なお、以上の処理において、暗号非対応画像処理装置１１０が、認証情報及びログイン要求を転送する暗号対応画像処理装置１２０を複数の候補の中から適当な規則により選択できるようにすると、暗号対応画像処理装置１２０にかかる処理負荷を分散できる点で好ましい。しかし、このようにすることは必須ではなく、常に特定の暗号対応画像処理装置１２０を転送先とするようにしてもよい。

〔実施形態の変形例〕
以上説明してきた各実施形態の画像処理システムにおいて、１又は複数の画像処理装置に、認証を行えない場合の動作を設定できるようにしてもよい。例えば、認証を行えない場合でも画像処理を許可する、認証を行えない場合には画像処理を許可しない、等である。なお、この場合において、「認証を行えない」とは、クライアント側が要求する認証の方式に画像処理装置側が対応していない、あるいはクライアント側が認証を要求する機能を持っていないため認証情報を送信してこない等により、認証処理を試みることができない場合であり、認証処理自体は正常に行えたにも関わらず認証が失敗した場合は含まない。

ここで、一例として、ダイジェスト認証に対応しているがパスワード暗号化には対応していないような画像処理装置に対して、各ユーザが表１に示すような方式の認証を要求する場合を考える。なお、ＲＣ５は、「Rivest’s Cipher 5」または「Ron’s Code 5」の略であり、RSA Security社の採用する暗号アルゴリズムである。

この場合、画像処理装置は、ユーザＡとユーザＢの認証を行うことができるが、ユーザＣについては画像処理装置側が処理に対応していないため、ユーザＤについてはクライアント側に認証を要求する機能を持たないため、これらのユーザについては認証を行うことができない。すなわち、正当なユーザであっても認証を成功させることができない。
従って、認証を行えない場合には画像処理を許可しない旨の設定がなされていた場合、ユーザＡとユーザＢからの要求に応じた画像処理は許可するが、ユーザＣとユーザＤからの要求に応じた画像処理は許可しないことになる。一方、認証を行えない場合でも画像処理を許可する旨の設定がなされていた場合には、認証を行うことができないユーザＣ及びユーザＤについても画像処理を許可することになる。
このようにすれば、単にクライアント側と画像処理装置側で機能の対応が取れていないために認証を行えないような場合に、画像処理を許可できるようにすることができるので、ユーザの利便性を向上させることができる。

また、以上説明してきた実施形態にこれ以外の変形を適用することも可能であり、例えば、ソフトウェアの構成や使用する通信プロトコル、データの形式、処理内容等が上述の実施形態で説明したものに限られないことはもちろんである。
また、この発明が、ネットワークを介した通信が可能な画像処理装置あるいはこのような画像処理装置と通信可能なクライアント装置であれば、どのような装置にも適用可能であることはもちろんである。クライアント装置としては、汎用のＰＣに限らず、専用の装置を用いることができる。
また、画像処理装置に限らず、ネットワークを介した通信が可能なその他の通信装置及びクライアント装置についてこの発明を適用することも可能である。この場合の適用対象としては、例えば、汎用コンピュータ，ネットワーク家電，自動販売機，医療機器，電源装置，空調システム，ガス・水道・電気等の計量システム，自動車，航空機等の電子機器にネットワーク通信機能を持たせた通信装置が考えられる。
これ以外に、上述した各変形を矛盾しない範囲で組み合わせて適用することも可能である。

また、この発明によるプログラムは、コンピュータを、上述したＰＣ７０のようなクライアント装置として機能させるためのプログラムであり、このようなプログラムをコンピュータに実行させることにより、上述したような効果を得ることができる。
このようなプログラムは、はじめからコンピュータに備えるＲＯＭあるいはＨＤＤ等の記憶手段に格納しておいてもよいが、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録して提供することもできる。そのメモリに記録されたプログラムをコンピュータにインストールしてＣＰＵに実行させるか、ＣＰＵにそのメモリからこのプログラムを読み出して実行させることにより、上述した各手順を実行させることができる。
さらに、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードして実行させることも可能である。

以上説明してきたように、この発明のクライアント装置、画像処理システム、クライアント装置の制御方法、プログラム又は記録媒体によれば、クライアント装置から画像処理装置にアクセスする場合に、その画像処理装置が対応している認証の方式に関わらず、同様な操作で画像処理装置にアクセスできるようにすることができる。
従って、この発明を利用することにより、認証に関する利便性が高い画像処理システムを構成することができる。

この発明のクライアント装置の実施形態であるＰＣを備えた画像処理システムの第１の実施形態の構成を示すブロック図である。 図１に示したＭＦＰのハードウェア構成を示す図である。 図１に示したＭＦＰのソフトウェア構成の要部を示す図である。 図１に示したＰＣがＭＦＰに対してプリントを要求する場合に実行する処理及び、これに対応するＭＦＰ側の処理を示すフローチャートである。 図４のステップＳ１３又はＳ１４でＰＣが送信した認証及びプリントの要求を受信した場合にＭＦＰのＣＰＵが実行する処理を示すフローチャートである。 この発明の画像処理システムの第２の実施形態において、ユーザがＰＣから暗号非対応画像処理装置にアクセスして暗号化した認証情報によりログインを要求した場合の、各装置の処理シーケンスの例を示すシーケンス図である。 暗号対応画像処理装置が外部装置に認証を要求する場合の図６と対応する処理シーケンス例を示す図である。 図６に示した処理を実現するための処理のうち暗号非対応画像処理装置において実行する部分の処理のフローチャートである。 図８のステップＳ７２において取得する、ログイン要求を転送する転送先の候補のリストの例を示す図である。 図６に示した処理を実現するための処理のうち暗号対応画像処理装置において実行する部分の処理のフローチャートである。

符号の説明

１０：ＭＦＰ，１１：ＣＰＵ，１２：ＲＯＭ，１３：ＲＡＭ，１４：不揮発メモリ，
１５：ネットワークＩ／Ｆ，１６：エンジン部，１７：システムバス，２０：プリンタ，
３０：ＦＡＸ装置，４０：複写機，５０：スキャナ，６０：認証サーバ，７０：ＰＣ，
８１，８２，８３，８４，８５，８６：ＳＡＭＤＢ，９０：ＬＡＮ，
１０１：コピーアプリ，１０２：プリンタアプリ，１０３：ＦＡＸアプリ，
１０４：スキャナアプリ，１０５：ドキュメントボックスアプリ，１０６：ＳＡＭ
１０７：認証サービス，１０８：ネットワークサービス，１０９：ＬＡＮコントローラ

Claims (9)

1. 外部の画像処理装置とネットワークを介して通信可能なクライアント装置であって、
   前記画像処理装置に対して画像の処理を要求する場合に、該画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手段と、
   前記ネゴシエーションにおいて認証を前記画像処理装置の外部で行うことが決定された場合には、該認証に使用する認証情報を、前記画像処理装置の基本機能により処理が可能な方式で暗号化して該画像処理装置に送信し、前記ネゴシエーションにおいて認証を前記画像処理装置の内部で行うことが決定された場合には、前記認証情報を、ダイジェスト認証に適した形式で該画像処理装置に送信する認証情報送信手段とを設けたことを特徴とするクライアント装置。
2. クライアント装置からの要求に応じて画像の処理を行う画像処理装置と、該画像処理装置とネットワークを介して通信可能な前記クライアント装置とを備えた画像処理システムであって、
   前記画像処理装置に、
   受信した認証情報を外部の認証装置に送信して認証を行わせる外部認証手段と、
   受信した認証情報を用いて当該画像処理装置の内部で認証を行うローカル認証手段とを設け、
   前記クライアント装置に、
   前記画像処理装置に対して画像の処理を要求する場合に、該画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手段と、
   前記ネゴシエーションにおいて認証を前記外部認証手段により行うことが決定された場合には、該認証に使用する認証情報を、前記画像処理装置の基本機能により処理が可能な方式で暗号化して該画像処理装置に送信し、前記ネゴシエーションにおいて認証を前記ローカル認証手段により行うことが決定された場合には、前記認証情報を、ダイジェスト認証に適した形式で該画像処理装置に送信する認証情報送信手段とを設けたことを特徴とする画像処理システム。
3. クライアント装置からの要求に応じて画像の処理を行う画像処理装置と、該画像処理装置とネットワークを介して通信可能な前記クライアント装置とを備えた画像処理システムであって、
   前記クライアント装置に、
   前記画像処理装置に対して認証を要求する場合に、その認証に使用する認証方式の指定を受け付ける指定受付手段と、
   前記画像処理装置に対して認証を要求する場合に、該認証に使用する認証情報を、該指定受付手段が指定を受け付けた認証方式による認証処理に適した形式で、該認証方式を示す情報と共に前記画像処理装置に送信する認証情報送信手段とを設け、
   前記画像処理装置に、
   受信した認証情報を外部の認証装置に送信して認証を行わせる外部認証手段と、
   受信した認証情報を用いて当該画像処理装置の内部で認証を行うローカル認証手段と、
   前記クライアント装置に認証を要求された場合に、該クライアント装置から受信した認証方式を示す情報に基づいて、前記外部認証手段と前記ローカル認証手段のいずれを用いて認証を行うかを選択する手段とを設けたことを特徴とする画像処理システム。
4. 請求項２又は３記載の画像処理システムにおいて、
   前記画像処理装置を第１の画像処理装置とし、
   該第１の画像処理装置と異なる第２の画像処理装置を設け、
   前記第２の画像処理装置に、前記クライアント装置から認証を要求された場合に、該認証のために前記クライアント装置から受信した情報を前記第１の画像処理装置に転送し、該第１の画像処理装置にその転送した情報を用いた認証を要求する手段を設けたことを特徴とする画像処理システム。
5. 請求項４記載の画像処理システムにおいて、
   前記第１の画像処理装置を複数設け、
   前記第２の画像処理装置が、第１の画像処理装置に認証を要求する場合に、その要求先を、前記複数の第１の画像処理装置の中から所定の規則に従って選択するようにしたことを特徴とする画像処理システム。
6. 請求項２又は３記載の画像処理システムであって、
   前記画像処理装置において、画像の処理の要求を受け付ける際にその要求元の認証を要求する場合でも、前記要求元が前記認証情報を送信してこない場合に、あるいは前記ローカル認証手段により認証を行うことができない形式で前記認証情報を送信してきた場合に、認証を行わずに要求された画像の処理を実行するようにする旨の指定を受け付ける手段を設けたことを特徴とする画像処理システム。
7. 外部の画像処理装置とネットワークを介して通信可能なクライアント装置に、
   前記画像処理装置に対して画像の処理を要求する場合に、該画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手順と、
   前記ネゴシエーションにおいて認証を前記画像処理装置の外部で行うことが決定された場合には、該認証に使用する認証情報を、前記画像処理装置の基本機能により処理が可能な方式で暗号化して該画像処理装置に送信し、前記ネゴシエーションにおいて認証を前記画像処理装置の内部で行うことが決定された場合には、前記認証情報を、ダイジェスト認証に適した形式で該画像処理装置に送信する認証情報送信手順とを実行させることを特徴とするクライアント装置の制御方法。
8. コンピュータを、
   画像処理装置に対して画像の処理を要求する場合に、該画像処理装置との間で認証の方式に関するネゴシエーションを行うネゴシエーション手段と、
   前記ネゴシエーションにおいて認証を前記画像処理装置の外部で行うことが決定された場合には、該認証に使用する認証情報を、前記画像処理装置の基本機能により処理が可能な方式で暗号化して該画像処理装置に送信し、前記ネゴシエーションにおいて認証を前記画像処理装置の内部で行うことが決定された場合には、前記認証情報を、ダイジェスト認証に適した形式で該画像処理装置に送信する認証情報送信手段として機能させるためのプログラム。
9. 請求項８記載のプログラムを記録したコンピュータ読取可能な記録媒体。
   

Images