JP2006252418A - 認証情報を用いたシングルサインオンの連携方法、そのシステム、仲介サーバ、動作方法及び動作プログラム - Google Patents

Abstract

【課題】方式の異なるシングルサインオンシステムを連携させる場合に、双方のクッキー等既存の独自認証識別子を合わせたり、変換したりする必要を回避する。
【解決手段】シングルサインオンシステムは、クライアント３１との間でインターネット３１を介して通信可能に接続されるシングルサインオンドメイン１、２を有する。ドメイン１は、シングルサインオンによる認証を行い所定の独自認証識別子を生成する認証サーバ１１と、複数のＷｅｂサーバ１２とを有する。ドメイン２は、シングルサインオンによる認証を行い所定の認証アサーションを生成する認証サーバ２１と、複数のＷｅｂサーバ２２とを有する。仲介サーバ１０は、両ドメイン１、２に属し、独自認証識別子及び認証アサーションを認識し、クライアント３２からＷｅｂサーバ２２へのアクセス時に、クライアント３２から認独自証識別子を認識して認証サーバ２１に通知する。
【選択図】 図１

Description

本発明は、認証情報を用いたシングルサインオン連携方法、シングルサインオンシステム、仲介サーバ、その動作方法及び動作プログラムに関する。

コンピュータネットワークでは、通常、ネットワークを通して利用可能なＷｅｂサーバによるＷｅｂコンテンツ等の複数のリソースへのアクセスやその利用権限をユーザに応じて制限している。このため、ユーザは各リソースへのアクセス時にユーザ名やパスワード等の情報を入力して、その都度認証を得る必要があった。しかし、個々のリソースへアクセスする度にユーザ名やパスワード等の情報を入力する操作は、ユーザにとっては大変煩わしく、またセキュリティ上の理由でリソース毎に異なるパスワードを設定していれば、パスワード数がリソース数に比例して増えるため、必ずしも利便性のよいものではなかった。

そこで、近年、このような複数のリソースにアクセスする際、一度だけ認証を行うことで、同じドメインに属するネットワーク内のアクセス許可されている全てのリソースを利用できる「シングルサインオン（Single Sign-on）」と呼ばれる認証方法が知られている。このシングルサインオン方法を用いたシステム（以下、「シングルサインオンシステム」と呼ぶ）では、例えばクッキー等既存の独自認証識別子を使用した認証情報をクライアント（ユーザ端末）に保管し、同じドメインに属するネットワーク内のＷｅｂコンテンツ等のリソースへのアクセス時にサーバ側でその認証情報を用いて認証を行う方式等が知られている。

なお、本発明に関連する先行技術文献としては、次のものがある。
特開２００４−３５５０７３号公報 特開２００４−２３４３２９号公報 特開２００４−１８５３９６号公報 特許第３５０５０５８号公報

従来、シングルサインオンを行う為には、クッキー等既存の独自認証識別子を使用する必要があった。クッキー等既存の独自認証識別子は、異なるドメイン間でやりとりすることは難しい上、クッキー等既存の独自認証識別子そのものに互換性が無いために、方式の異なるシングルサインオンシステムを連携させる場合、双方のクッキー等既存の独自認証識別子を合わせたり、変換したりする必要があった。

このように方式の異なるシングルサインオンシステム同士を連携させる場合、シングルサインオンサーバが連携相手となるシングルサインオン方式を理解する必要があったため、認証サーバの置き換えや接続先毎の対応が発生するという問題があった。上述した先行技術文献では、このような方式の異なるシングルサインオンシステム同士を連携させる場合の問題解決を必ずしも意図したものではない。

本発明は、このような従来の事情を考慮してなされたもので、方式の異なるシングルサインオンシステムを連携させる場合に、双方のクッキー等既存の独自認証識別子を合わせたり、変換したりする必要がなく、認証サーバの置き換えや接続先毎の対応が発生しないようにすることを目的とする。

上記目的を達成するため、本発明に係る認証情報を用いたシングルサインオンの連携方法は、クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行いその認証情報として所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行いその認証情報として所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いる認証情報を用いたシングルサインオンの連携方法であって、前記第１及び第２のシングルサインオンシステムに接続され、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバを用意するステップと、前記クライアントから前記第２のサーバへのアクセス前に、前記第１の認証サーバが、前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成するステップと、前記クライアントから前記第２のサーバへのアクセス時に、前記仲介サーバが、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知するステップと、前記第２の認証サーバが、前記仲介サーバからの通知を受けて前記認証アサーションを生成するステップと、その後、前記第２のサーバが、前記クライアントから前記認証アサーションを認識して前記クライアントからのアクセスに応答するステップとを有することを特徴とする。

本発明において、前記クライアントから前記第２のサーバへのアクセス時に、前記第２の認証サーバが、前記クライアントに対し認証を行い前記認証アサーションを生成するステップと前記仲介サーバが、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出すステップと、前記第１の認証サーバが、前記生成要求を受けて前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成するステップと、その後、前記第２のサーバが、前記クライアントから前記認証アサーションを認識して前記クライアントからのアクセスに応答するステップとをさらに有してもよい。

本発明において、前記認証アサーションに代えて、当該認証アサーションに関連付けられた識別子から成るアーティファクトを用いてもよい。前記仲介サーバは、前記第１の認証サーバと共に一体に構成されていてもよい。

また、本発明に係るシングルサインオンシステムは、クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行いその認証情報として所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行いその認証情報として所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムであって、前記第１及び第２のシングルサインオンシステムに接続され、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバを備え、前記第１の認証サーバは、前記クライアントから前記第２のサーバへのアクセス前に、前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成し、前記仲介サーバは、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知し、前記第２の認証サーバは、前記仲介サーバからの通知を受けて、前記認証アサーションを生成することを特徴とする。

本発明において、前記第２の認証サーバは、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントに対し認証を行い前記認証アサーションを生成し、前記仲介サーバは、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出し、前記第１の認証サーバは、前記生成要求を受けて前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成してもよい。

また、本発明に係る仲介サーバは、クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行い所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行い所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いられ、前記第１及び第２のシングルサインオンシステムに接続され、前記独自認証識別子及び前記認証アサーションを認識すると共に、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知することを特徴とする。

本発明において、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出してもよい。

また、本発明に係る仲介サーバの動作方法は、クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行い所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行い所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いられ、且つ、前記第１及び第２のシングルサインオンシステムに接続されると共に、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバが、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知することを特徴とする。

本発明において、さらに、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出してもよい。

さらに、本発明に係る仲介サーバの動作プログラムは、クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行い所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行い所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いられ、且つ、前記第１及び第２のシングルサインオンシステムに接続されると共に、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバが、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知するステップをコンピュータに実行させることを特徴とする。

本発明において、さらに、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出すステップをコンピュータに実行させてもよい。

本発明によれば、方式の異なるシングルサインオンシステムを連携させる場合に、双方のクッキー等既存の独自認証識別子を合わせたり、変換したりする必要がなく、認証サーバの置き換えや接続先毎の対応が発生しない。

次に、本発明に係る認証情報を用いたシングルサインオン連携方法、シングルサインオンシステム、仲介サーバ、その動作方法及び動作プログラムを実施するための最良の形態について図面を参照して詳細に説明する。

本実施の形態は、方式の異なるシングルサインオンシステムに対して仲介となるサーバを用意するだけで連携することを可能とするものである。即ち、本実施の形態では、既存のシングルサインオンシステムに新たに新方式のシングルサインオンシステムを連携させる場合において、既存のシングルサインオンシステムに、既存のシングルサインオン方式を新しいシングルサインオン方式で解釈できる仲介サーバを追加することで、新方式のシングルサインオンシステムで、既存のシングルサインオンシステムを使用することを可能とする。

図１を参照すると、本実施例によるシングルサインオンシステムは、ドメインの異なるネットワークシステムで構成され且つシングルサインオンによる認証方式が異なるシングルサインオンシステム（以下、シングルサインオンドメイン）を備えている。図１の例では、この方式が異なるシングルサインオンシステムとして、既存のシングルサインオンドメイン（第１のシングルサインオンシステム）１と、既存のシングルサインオンドメイン１に接続させようとする新方式のシングルサインオンドメイン（第２のシングルサインオンシステム）２とを有し、両シングルサインオンドメイン１、２にインターネット３１を介してユーザ操作用のクライアント３２が接続されている。

既存のシングルサインオンドメイン１は、認証情報としてクッキー等既存の独自認証識別子を使用する既存のシングルサインオンによる認証を行うもので、ユーザの認証を行う認証サーバ（第１の認証サーバ）１１と、認証サーバ１１によって認証を受けたユーザに対してＷｅｂコンテンツを提供するＷｅｂサーバ（第１のサーバ）１２と、既存のシングルサインオンドメイン１に属する仲介サーバ１０とを有している。認証サーバ１１、Ｗｅｂサーバ１２、及び仲介サーバ１０は、ネットワーク１３に接続され、そのネットワーク１３がインターネット３１に接続されている。

新方式のシングルサインオンドメイン２は、認証情報としてクッキー等既存の独自認証識別子を使用せずに所定の認証アサーションを使用する新方式（例えば、既知のＳＡＭＬ（Security Assertion Markup Language）プロトコルに従って認証情報を交換する方式等）のシングルサインオンによる認証を行うもので、ユーザの認証を行う認証サーバ（第２の認証サーバ）２１と、認証サーバ２１によって認証を受けたユーザに対してＷｅｂコンテンツを提供するＷｅｂサーバ（第２のサーバ）２２と、既存のシングルサインオンドメイン１に属すると共に新方式のシングルサインオンドメイン２に属する仲介サーバ１０とを有している。認証サーバ２１及びＷｅｂサーバ２２は、ネットワーク２３に接続され、そのネットワーク２３がインターネット３１に接続されている。

仲介サーバ１０は、既存のシングルサインオンドメイン１にも新方式のシングルサインオンドメイン２にも属し、新方式のシングルサインオンドメイン２の認証サーバ２１に対して、クライアント３２が既存のシングルサインオンドメイン１で認証を受けている場合、それを認証サーバ２１に通知する機能を持つ。また、認証サーバ１１に対して、クッキー等既存の独自認証識別子の生成要求を行う機能を持つ。図１の例では、Ｗｅｂサーバとしての機能も兼ねている。これらの機能は、仲介サーバ１０を構成するコンピュータ機が予め設定された認証プログラム等のプログラムを実行することで実現される。

認証サーバ１１は、ユーザの認証とクッキー等既存の独自認証識別子の作成を行う機能を持つ。また、認証サーバ１１は、仲介サーバ１０からのクッキー等既存の独自認証識別子の生成要求に対し、クッキー等既存の独自認証識別子の作成を行う機能を持つ。これらの機能は、認証サーバ１１を構成するコンピュータ機が予め設定された認証プログラム等の動作プログラムを実行することで実現される。

Ｗｅｂサーバ１２は、通常のＷｅｂサーバが有している既存の機能のほか、認証サーバ１１で発行されたクッキー等既存の独自認証識別子を理解することができ、認証されたユーザに対しコンテンツの提供を行う機能を持つ。これらの機能は、Ｗｅｂサーバ１２を構成するコンピュータ機が予め設定されたＷｅｂサーバソフトウェア等の動作プログラムを実行することで実現される。Ｗｅｂサーバ１２は、提供するコンテンツにより複数存在するものとする。

認証サーバ２１は、ユーザの認証と認証アサーションの作成を行う機能と、認証アサーションの検証を行う機能とを持つ。認証アサーションは、認証されたことを示す情報で、認証した方式や有効期限などの情報から構成される。これらの機能は、認証サーバ２１を構成するコンピュータ機が予め設定された認証プログラム等の動作プログラムを実行することで実現される。なお、認証アサーションの例として、ＳＡＭＬプロトコルに従い規定されるＳＡＭＬアサーションがある。

Ｗｅｂサーバ２２は、通常のＷｅｂサーバが有している既存の機能のほか、認証サーバ２１で発行された認証アサーションの検証を行うことができ、認証されたユーザに対しコンテンツの提供を行う機能を持つ。これらの機能は、Ｗｅｂサーバ２２を構成するコンピュータ機が予め設定されたＷｅｂサーバソフトウェア等の動作プログラムを実行することで実現される。Ｗｅｂサーバ２２は、提供するコンテンツにより複数存在するものとする。

クライアント３２は、ＰＣ（パーソナルコンピュータ）等のコンピュータ機で構成され、インターネット３１を介して両シングルサインオンドメイン１、２とシングルサインオンを行う。本実施例では、既存のシングルサインオンドメイン１で認証済みのユーザ用のクライアント３２が、新方式のシングルサインオンドメイン２でシングルサインオンを行う場合を想定している。

なお、上記の各種サーバ１０〜１２、２１〜２２及びクライアント３２を構成するコンピュータ機内のハードウェア構成（ＣＰＵ、メモリ（ＲＯＭ／ＲＡＭ）及びその他の記録媒体、通信Ｉ／Ｆ等の各種Ｉ／Ｏ装置等）の詳細については、既存のマシンがそのまま適用され、本発明とは直接関係しないため、その説明を省略する。

次に、図２及び図２を参照して、本実施例の動作について詳細に説明する。

まず、図２を参照して、既存のシングルサインオンドメイン１でユーザを認証した場合に、新方式のシングルサインオンドメイン２からシングルサインオンを実施する場合を考える。

まず、クライアント３２は、既存のシングルサインオンドメイン１に対してユーザＩＤ及びパスワード等の情報を用いてシングルサインオン（ＳＳＯ）を行う。これにより、認証サーバ１１は、ＳＳＯ認証を行い、既存のシングルサインオンドメイン１内で読むことができるクッキー等既存の独自認証識別子を発行する（ステップ１１）。この独自認証識別子は、仲介サーバ１０から参照することができる。

次に、クライアント３２からＷｅｂサーバ２２に対してアクセスを行う（ステップ１２）。アクセスされたＷｅｂサーバ２２は、クライアント３２がまだ認証されていないことを検出する（ステップ１０３）と、認証サーバ２１で認証を行わせるために、リダイレクトをクライアント３２に対して返す（ステップ１０４）。リダイレクトの結果、クライアント３２は、認証サーバ２１に対してアクセスを行う（ステップ１０５）。

認証サーバ２１は、クライアント３２が認証されていないことを検出する（ステップ１０６）と、仲介サーバ１０に対してクライアント３２がシングルサインオンドメイン１で認証を受けているかどうかを問い合わせるために、リダイレクトを発行する（ステップ１０７）。リダイレクトの結果、クライアント３２は、仲介サーバ１０に対してアクセスを行う（ステップ１０８）。このときのアクセス情報には、認証サーバ１１で発行された第１のシングルサインオンドメイン１のクッキー等既存の独自認証識別子が含まれる。

次いで、仲介サーバ１０は、クライアント３２のアクセス情報から認証サーバ１１で発行された既存のシングルサインオンドメイン１のクッキー等既存の独自認証識別子を読み出すと、上記ステップ１１にて既存のシングルサインオンドメイン１の認証サーバ１１により認証されていることを検出する（ステップ１０９）。

これにより、仲介サーバ１０は、既存のシングルサインオンドメイン１で認証されていることを示す認証アサーションを発行し（ステップ１１０）、発行された認証アサーションとともに、認証サーバ２１に戻るようにリダイレクトをかける（ステップ１１１）。リダイレクトの結果、クライアント３２は、認証サーバ２１に対してアクセスを行う（ステップ１１２）。

認証サーバ２１は、クライアント３２から、仲介サーバ１０により発行された認証アサーションを受け取る（ステップ１１３）と、認証アサーションの中身を確認し（ステップ１１４）、受け入れが確認できる場合は、認証サーバ２１で新たにシングルサインオンドメイン２の認証アサーションを生成する（ステップ１１５）。

次いで、認証サーバ２１は、発行された認証アサーションとともに、Ｗｅｂサーバ２２に戻るようにリダイレクトをかける（ステップ１１６）。リダイレクトの結果、クライアント３２は、Ｗｅｂサーバ２２に対してアクセスを行う（ステップ１１７）。

Ｗｅｂサーバ２２は、クライアント３２から認証アサーションを受け取り、中身を確認する（ステップ１１８）。この認証アサーションの確認後、Ｗｅｂサーバ２２は、情報を開示する（ステップ１１９）。

次に、図３を参照して、新方式のシングルサインオンドメイン２でユーザを認証したことを、既存のシングルサインオンドメイン１から利用する場合を考える。

まず、クライアント３２（ユーザ）は、新方式のシングルサインオンドメイン２に対してシングルサインオン（ＳＳＯ）を行うために、Ｗｅｂサーバ２２へアクセスする（ステップ２１）。

アクセスされたＷｅｂサーバ２２は、クライアント３２が認証されていないことを検出し（ステップ２２）、認証サーバ２１へリダイレクトを行う（ステップ２０３）。リダイレクトの結果、クライアント３２は、認証サーバ２１に対してアクセスを行う（ステップ２０４）。

これにより、認証サーバ２１は、ＳＳＯ認証を行い（ステップ２０５）、認証後、認証アサーションを発行し（ステップ２０６）、発行された認証アサーションとともに、仲介サーバ１０に対してクライアント３２が認証されていることを示すためにリダイレクトをかける（ステップ２０７）。リダイレクトの結果、クライアント３２は、仲介サーバ１０に対してアクセスを行う（ステップ２０８）。

仲介サーバ１０は、クライアント３２から受け取った認証アサーションの中身を確認し（ステップ２０９）、受け入れが確認できる場合は、認証サーバ１１に対してクライアント３２のクッキー等既存の独自認証識別子の発行依頼（生成要求）を行う（ステップ２１０）。

認証サーバ１１は、クライアント３２に対してＳＳＯ認証を行い、クッキー等既存の独自認証識別子を発行する（ステップ２１１）。認証サーバ１１は、仲介サーバ１０に対して認証終了を通知する（ステップ２１２）。

仲介サーバ１０は、認証サーバ２１に戻るようにリダイレクトをかける（ステップ２１３）。リダイレクトの結果、クライアント３２は、認証サーバ２１に対してアクセスを行う（ステップ２１４）。

その後、認証サーバ２１は、発行された認証アサーションとともに、Ｗｅｂサーバ２２に戻るように、リダイレクトをかける（ステップ２１５）。リダイレクトの結果、クライアント３２は、認証アサーションと共に、Ｗｅｂサーバ２２に対してアクセスを行う（ステップ２１６）。

Ｗｅｂサーバ２２は、送られた認証アサーションを検証し（ステップ２１７）、その認証アサーションの中身を確認後、情報開示を行い（ステップ２１８）、これによりシングルサインオンが成立する。

従って、本実施例によれば、仲介サーバを用いることにより、クッキー等既存の独自認証識別子を使用している既存のシングルサインオンシステムと、クッキー等既存の独自認証識別子を使用することのできない新方式のシングルサインオンシステムとを連携させることが可能となる。

また、本実施例によれば、既存のシングルサインオンドメイン側の修正が不要であり、修正のためのコストがかからない。これは、従来、異なるシングルサインオン方式を連携させるためには、認証サーバで他のシングルサインオン方式で使用されるクッキー等既存の独自認証識別子を理解し、自身が使用する識別子へ変換する必要があったが、本実施例で示した通りこれが不要となる。

なお、上記実施例では、各サーバ間で認証アサーションを直接渡す場合を説明しているが、その他の実施例として、「アーティファクト」と呼ばれる認証アサーションと結びつけられた識別子を渡し、アーティファクトを渡されたサーバがアサーションを取得する方法を採用することもできる。この場合、上記実施例と比べて、認証アサーションを渡す部分が、アーティファクトを渡すこととなり、また、渡されたサーバの処理にアーティファクトからアサーションを取得しにいくという動作が追加されることになる。なお、アーティファクトの例として、ＳＡＭＬプロトコルに従い規定されるＳＡＭＬアーティファクトがある。

また、上記実施例のステップ１１３を省略することもできる。この場合、Ｗｅｂサーバ２２が、仲介サーバ１０の認証アサーションを直接検証を行うことで実施することが可能となる。

また、上記実施例では、新方式のシングルサインオンドメイン２でユーザを認証したことを既存のシングルサインオンドメイン１から利用する場合において、仲介サーバを使用しているが、その他の実施例として、仲介サーバを使用しない場合でも適用可能である。この場合、認証サーバ１１が、他の認証サーバ（ここでは、認証サーバ２１）からの認証受け入れ要求を受け付ける機能を持つ必要がある。認証サーバ２１での認証後、ステップ２０６において、仲介サーバにリダイレクトを行う代わりに、直接認証サーバ１１に対して認証受け入れ要求を行う。これにより、認証サーバ１１でクッキー等既存の独自認証識別子を発行することで、シングルサインオンの連携を行うことが可能となる。

さらに、上記実施例では、認証サーバ１１が、仲介サーバ１０からのクッキー等既存の独自認証識別子の生成要求に対し、クッキー等既存の独自認証識別子の作成を行う機能を持っているが、その他の実施例として、この機能を持たない場合でも適用可能である。この場合、上記実施例と比べて、新方式のシングルサインオンドメイン２でユーザを認証したことを、既存のシングルサインオンドメイン１からの利用ができなくなる。つまり、ステップ２１以降の実施が不可能となる以外は、上記実施例と同様となる。

本発明の実施例によるシングルサインオンシステムの全体構成を示す図である。 既存のシングルサインオンドメインでユーザを認証した場合に新方式のシングルサインオンドメインからシングルサインオンを実施する場合の動作を説明するシーケンス図である。 新方式のシングルサインオンドメインでユーザを認証したことを既存のシングルサインオンドメインから利用する場合の動作を説明するシーケンス図である。

符号の説明

１ 既存のシングルサインオンドメイン
２ 新方式のシングルサインオンドメイン
１０ 仲介サーバ
１１、２１ 認証サーバ
１２、２２ Ｗｅｂサーバ
１３、２３ ネットワーク

Claims (14)

1. クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、
   前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行いその認証情報として所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、
   前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行いその認証情報として所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いる認証情報を用いたシングルサインオンの連携方法であって、
   前記第１及び第２のシングルサインオンシステムに接続され、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバを用意するステップと、
   前記クライアントから前記第２のサーバへのアクセス前に、前記第１の認証サーバが、前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成するステップと、
   前記クライアントから前記第２のサーバへのアクセス時に、前記仲介サーバが、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知するステップと、
   前記第２の認証サーバが、前記仲介サーバからの通知を受けて前記認証アサーションを生成するステップと、
   その後、前記第２のサーバが、前記クライアントから前記認証アサーションを認識して前記クライアントからのアクセスに応答するステップとを有することを特徴とする認証情報を用いたシングルサインオンの連携方法。
2. 前記クライアントから前記第２のサーバへのアクセス時に、前記第２の認証サーバが、前記クライアントに対し認証を行い前記認証アサーションを生成するステップと
   前記仲介サーバが、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出すステップと、
   前記第１の認証サーバが、前記生成要求を受けて前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成するステップと、
   その後、前記第２のサーバが、前記クライアントから前記認証アサーションを認識して前記クライアントからのアクセスに応答するステップとをさらに有することを特徴とする請求項１に記載の認証情報を用いたシングルサインオンの連携方法。
3. 前記認証アサーションに代えて、当該認証アサーションに関連付けられた識別子から成るアーティファクトを用いることを特徴とする請求項１又は２に記載の認証情報を用いたシングルサインオンの連携方法。
4. 前記仲介サーバは、前記第１の認証サーバと共に一体に構成されていることを特徴とする請求項１から３のいずれか１項に記載の認証情報を用いたシングルサインオンの連携方法。
5. クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、
   前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行いその認証情報として所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、
   前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行いその認証情報として所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムであって、
   前記第１及び第２のシングルサインオンシステムに接続され、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバを備え、
   前記第１の認証サーバは、前記クライアントから前記第２のサーバへのアクセス前に、前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成し、
   前記仲介サーバは、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知し、
   前記第２の認証サーバは、前記仲介サーバからの通知を受けて、前記認証アサーションを生成することを特徴とするシングルサインオンシステム。
6. 前記第２の認証サーバは、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントに対し認証を行い前記認証アサーションを生成し、
   前記仲介サーバは、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出し、
   前記第１の認証サーバは、前記生成要求を受けて前記クライアントに対し前記シングルサインオンによる認証を行い前記独自認証識別子を生成することを特徴とする請求項５に記載のシングルサインオンシステム。
7. 前記認証アサーションに代えて、当該認証アサーションに関連付けられた識別子から成るアーティファクトを用いることを特徴とする請求項５又は６に記載のシングルサインオンシステム。
8. 前記仲介サーバは、前記第１の認証サーバと共に一体に構成されていることを特徴とする請求項５から７のいずれか１項に記載のシングルサインオンシステム。
9. クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、
   前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行い所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、
   前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行い所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いられ、
   前記第１及び第２のシングルサインオンシステムに接続され、
   前記独自認証識別子及び前記認証アサーションを認識すると共に、
   前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知することを特徴とする仲介サーバ。
10. 前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出すことを特徴とする請求項９に記載の仲介サーバ。
11. クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行い所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行い所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いられ、且つ、前記第１及び第２のシングルサインオンシステムに接続されると共に、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバが、
    前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知することを特徴とする仲介サーバの動作方法。
12. さらに、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出すことを特徴とする請求項１１に記載の仲介サーバの動作方法。
13. クライアントとの間でネットワークを介して通信可能に接続され、互いに方式の異なるシングルサインオンによる認証を行う第１及び第２のシングルサインオンシステムとを有し、前記第１のシングルサインオンシステムは、前記クライアントに対し前記シングルサインオンによる認証を行い所定の独自認証識別子を生成する第１の認証サーバと、前記独自認証識別子を認識して前記クライアントからのアクセスに応答する第１のサーバとを有し、前記第２のシングルサインオンシステムは、前記クライアントに対しシングルサインオンによる認証を行い所定の認証アサーションを生成する第２の認証サーバと、前記認証アサーションを認識して前記クライアントからのアクセスに応答する第２のサーバとを有するシングルサインオンシステムで用いられ、且つ、前記第１及び第２のシングルサインオンシステムに接続されると共に、前記独自認証識別子及び前記認証アサーションを認識可能な仲介サーバが、
    前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認独自証識別子を認識して前記第２の認証サーバに通知するステップをコンピュータに実行させることを特徴とする仲介サーバの動作プログラム。
14. さらに、前記クライアントから前記第２のサーバへのアクセス時に、前記クライアントから前記認証アサーションを認識して前記第１の認証サーバに前記独自認証識別子の生成要求を出すステップをコンピュータに実行させることを特徴とする請求項１３に記載の仲介サーバの動作プログラム。

Images