JP2006260002A - シングルサインオンシステム、サーバ装置、シングルサインオン方法及びプログラム - Google Patents

Abstract

【課題】認証専用のサーバを廃し、ユーザの認証処理の負荷を低減するシングルサインオンシステムを実現する。
【解決手段】ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、がネットワークを介して接続されるシングルサインオンシステムであって、サーバ装置は、アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、ユーザ端末を認証済みである他のサーバ装置からユーザ端末のアカウントを取得することにより、ユーザ端末のアクセスを許可する手段を有する。
【選択図】図２

Description

本発明は、シングルサインオンシステム、サーバ装置、シングルサインオン方法及びプログラムに関する。

従来、シングルサインオン（ユーザの認証が要求される複数のＷｅｂサイトにおいて、一度認証されるだけで他のサイトの認証が不要になるシステム）では、所定のＷｅｂアプリケーション提供サイトにアクセスしようとするユーザは初めに認証サーバにてユーザ認証を受ける。その後、この認証情報を用いることにより、Ｗｅｂアプリケーション提供サイトに再度認証することなくアクセスできる。しかし、認証サーバは単一のサーバであるので、多数のＷｅｂユーザによる、認証のためのアクセスが集中した場合にレスポンスの低下を招くという問題がある。

シングルサインオンに係る従来技術例として、各ウェブサイトが１人のユーザに対して異なる認証用データで認証確認する場合であってもシングルサインオンを実現できるシングルサインオンシステムがある（例えば、特許文献１参照）。また、別の例として、複数のプロバイダ間でシングルサインオンやユーザ情報の交換を行う際の、構築や運用コストを軽減することができるユーザ情報流通システムがある（例えば、特許文献２参照）。
特開２００３−３２３４０９号公報 特開２００４−３６２１８９号公報

しかしながら、特許文献１記載の発明は、段落「００３０」に記載があるように、Ｗｅｂサーバが、有効な個人顧客コードがユーザコンピュータに保存されているか否かによってアクセスを許容するか否かを判定するので、シングルサインオンに失敗することがある。
一方、特許文献２記載の発明は、段落「００３９」に記載があるように、登録ユーザ情報データベースに有効なユーザ情報がない場合はシングルサインオンに失敗することがあり、また、認証サーバを必要とするため、上述の集中アクセスの問題が生じる。

本発明は、上記事情に鑑みてなされたものであり、ユーザ認証専用のサーバを設置することなくユーザの認証処理の負荷を低減し、かつ、シングルサインオンを確実に行うことが可能なシングルサインオンシステム、サーバ装置、シングルサインオン方法及びプログラムを提供することを目的とする。

かかる目的を達成するために、請求項１記載の発明は、ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、がネットワークを介して接続されるシングルサインオンシステムであって、サーバ装置は、アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、ユーザ端末を認証済みであるサーバ装置からユーザ端末のアカウントを取得することによりユーザ端末のアクセスを許可する手段を有することを特徴とする。

請求項２記載の発明は、ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、がネットワークを介して接続されるシングルサインオンシステムであって、サーバ装置は、ユーザ端末からのアクセス要求を受信した場合、ユーザ端末が他のサーバ装置で認証済みであるか否かを判定するユーザ端末認証判定手段と、ユーザ端末が他のサーバ装置で認証済みである場合、ユーザ端末のアカウントを保持しているか否かを判断するアカウント保持判断手段と、ユーザ端末のアカウントを保持していない場合、ユーザ端末を認証済みであるサーバ装置からユーザ端末のアカウントを取得するアカウント取得手段と、を有し、アカウント取得手段のアカウント取得によって、ユーザ端末のアクセスを許可することを特徴とする。

請求項３記載の発明は、請求項１又は２記載の発明において、サーバ装置は、ユーザ端末が他のサーバで認証されていない場合、自らが保持するユーザ端末のアカウントを使用してユーザ認証を行い、ユーザ端末のアクセスを許可することを特徴とする。

請求項４記載の発明は、請求項１から３のいずれか１項に記載の発明において、サーバ装置は、他のサーバ装置と互いにシングルサインオンを許可することを特徴とする。

請求項５記載の発明は、請求項１から４のいずれか１項に記載のシングルサインオンシステムで用いられることを特徴とする。

請求項６記載の発明は、ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続して行うシングルサインオン方法であって、サーバ装置にて、アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、ユーザ端末を認証済みであるサーバ装置からユーザ端末のアカウントを取得することによりユーザ端末のアクセスを許可することを特徴とする。

請求項７記載の発明は、ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続して行うシングルサインオン方法であって、サーバ装置にて、ユーザ端末からのアクセス要求を受信した場合、ユーザ端末が他のサーバ装置で認証済みであるか否かを判定するユーザ端末認証判定ステップと、ユーザ端末が他のサーバ装置で認証済みである場合、ユーザ端末のアカウントを保持しているか否かを判断するアカウント保持判断ステップと、ユーザ端末のアカウントを保持していない場合、ユーザ端末を認証済みであるサーバ装置からユーザ端末のアカウントを取得するアカウント取得ステップと、を有し、アカウント取得ステップのアカウント取得によって、ユーザ端末のアクセスを許可することを特徴とする。

請求項８記載の発明は、請求項６又は７記載の発明において、ユーザ端末が他のサーバで認証されていない場合、サーバ装置にて、自らが保持するユーザ端末のアカウントを使用してユーザ認証を行い、ユーザ端末のアクセスを許可することを特徴とする。

請求項９記載の発明は、請求項６から８のいずれか１項に記載の発明において、サーバ装置は、他のサーバ装置と互いにシングルサインオンを許可することを特徴とする。

請求項１０記載の発明は、ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続し、シングルサインオンを行うためのプログラムであって、アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、ユーザ端末を認証済みであるサーバ装置からユーザ端末のアカウントを取得することによりユーザ端末のアクセスを許可する処理をサーバ装置に実行させる。

請求項１１記載の発明は、ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続し、シングルサインオンを行うためのプログラムであって、ユーザ端末からのアクセス要求を受信した場合、ユーザ端末が他のサーバ装置で認証済みであるか否かを判定するユーザ端末認証判定処理と、ユーザ端末が他のサーバ装置で認証済みである場合、ユーザ端末のアカウントを保持しているか否かを判断するアカウント保持判断処理と、ユーザ端末のアカウントを保持していない場合、ユーザ端末を認証済みであるサーバ装置からユーザ端末のアカウントを取得するアカウント取得処理と、アカウント取得ステップのアカウント取得によって、ユーザ端末のアクセスを許可するアクセス許可処理と、をサーバ装置に実行させる。

請求項１２記載の発明は、請求項１０又は１１記載の発明において、ユーザ端末が他のサーバで認証されていない場合、自らが保持するユーザ端末のアカウントを使用してユーザ認証を行う認証処理をサーバ装置に実行させる。

本発明によれば、ユーザ認証専用のサーバを設置することなく認証処理の負荷を低減し、かつ、シングルサインオンを確実に行うことが可能となる。

以下、本発明を実施するための最良の形態について添付図面を参照して詳細に説明する。

〈実施例の概要〉
本実施例の概要について説明する。Ｗｅｂアプリケーション提供サーバ３は、ネットワーク２を介してＷｅｂユーザ端末１からのＷｅｂアプリケーション提供要求に対してユーザ認証を行う。ここで、Ｗｅｂユーザ端末１がＷｅｂアプリケーション提供サーバ４等、他のサーバで既に認証されている場合、Ｗｅｂアプリケーション提供サーバ３はＷｅｂユーザ端末１にＷｅｂアプリケーションを提供する。Ｗｅｂユーザ端末１がどのＷｅｂアプリケーション提供サーバからも認証されていない場合、Ｗｅｂアプリケーション提供サーバ３はユーザアカウント情報データベース３１を使用してＷｅｂユーザ端末１の認証を行い、認証された場合はＷｅｂユーザ端末１に認証情報を返すとともにＷｅｂアプリケーションを提供する。

〈実施例の構成〉
図１に示すように、本発明の実施例であるシングルサインオンシステムは、Ｗｅｂユーザ端末１と、ネットワーク２と、Ｗｅｂアプリケーション提供サーバ３と、Ｗｅｂアプリケーション提供サーバ４と、を主な構成とする。Ｗｅｂアプリケーション提供サーバ３と、Ｗｅｂアプリケーション提供サーバ４とは、相互にシングルサインオンを許可する、互いに信頼するサーバである。なお、本実施例では、Ｗｅｂアプリケーション提供サーバの設置数を２つとしたが、数はこれに限られない。

Ｗｅｂユーザ端末１は、Ｗｅｂブラウザ機能を有し、ネットワーク上のＷｅｂサーバにアクセスすることが可能な情報処理端末装置である。

Ｗｅｂアプリケーション提供サーバ３は、ユーザアカウント情報データベース３１と、ユーザ属性情報データベース３２とを備え、Ｗｅｂアプリケーション提供サーバ４は、ユーザアカウント情報データベース４１と、ユーザ属性情報データベース４２とを備えている。なお、Ｗｅｂアプリケーション提供サーバ３及び４は、所定のＷｅｂサイトを運営するＷｅｂサーバ装置を想定している。

ユーザアカウント情報データベース３１及び４１は、Ｗｅｂユーザ端末１のアカウント名（ユーザＩＤ）及びパスワードを保管している。また、ユーザ属性情報データベース３２及び４２は、ユーザの属性情報（ユーザの氏名、住所、電話番号、電子メールアドレス等、ユーザについての個人情報）を保管している。このユーザ属性情報は、アカウント名及びパスワードに対応付けられている。

〈実施例の動作〉
次に、図１及び図２を参照して、本実施例（シングルサインオンシステム、シングルサインオンの方法、シングルサインオンのプログラム）における動作について詳細に説明する。本実施例のプログラムは、所定のＷｅｂアプリケーション提供サイトを運営するＷｅｂアプリケーション提供サーバ３及び４に読み込まれ、本実施例のＷｅｂアプリケーション提供サーバ３及び４は、プログラム制御により以下の処理を実行する。

Ｗｅｂアプリケーション提供サーバ３は、ネットワーク２を介してＷｅｂユーザ端末１からのＷｅｂアプリケーション提供要求（Ｗｅｂブラウザを使用）に対してユーザ認証を開始し（ステップＳ１）、当該Ｗｅｂユーザ端末１が他のサイトで既に認証済みであるか否かを判定する（ステップＳ２）。

ステップＳ２において、Ｗｅｂユーザ端末１が既にＷｅｂアプリケーション提供サーバ４で認証されている場合（ステップＳ４／ＹＥＳ）、Ｗｅｂアプリケーション提供サーバ３は、Ｗｅｂユーザ端末１のアカウントがユーザアカウント情報データベース３１に存在するかをチェックする（ステップＳ４）。アカウントが存在する場合（ステップＳ４／ＹＥＳ）、Ｗｅｂアプリケーション提供サーバ３は、Ｗｅｂユーザ端末１に対し、Ｗｅｂアプリケーションを提供する（ステップＳ６）。

ステップＳ４において、ユーザアカウント情報データベース３１にＷｅｂユーザ端末１のアカウントが存在しない場合（ステップＳ４／ＮＯ）、Ｗｅｂアプリケーション提供サーバ３は、ネットワーク２を介してＷｅｂアプリケーション提供サーバ４のユーザアカウント情報データベース４１からＷｅｂユーザ端末１のアカウントを取得し、ユーザアカウント情報データベース３１に格納する（ステップＳ５）。Ｗｅｂユーザ端末１はＷｅｂアプリケーション提供サーバ４で既に認証されているので、Ｗｅｂアプリケーション提供サーバ３は、認証処理を行わずに、Ｗｅｂユーザ端末１に対しＷｅｂアプリケーションを提供する（ステップＳ６）。

ステップＳ２において、Ｗｅｂユーザ端末１が他のサーバで認証されていない場合（ステップＳ２／ＮＯ）、Ｗｅｂアプリケーション提供サーバ３は、ユーザアカウント情報データベース３１を使用してＷｅｂユーザ端末１の認証処理を行う（ステップＳ３）。その後、Ｗｅｂアプリケーション提供サーバ３は、Ｗｅｂユーザ端末１にＷｅｂアプリケーションを提供する（ステップＳ６）。

以上、本発明の実施例によれば以下の効果を奏する。
第１の効果は、それぞれのＷｅｂアプリケーション提供サーバにて認証処理を行うため、ユーザ認証専用のサーバを設置することなく認証処理の負荷分散が可能となり、かつ、シングルサインオンを確実に行うことが可能となる。
第２の効果は、ユーザアカウント及びユーザ属性情報を、それぞれのＷｅｂアプリケーション提供サーバが保持しているため、Ｗｅｂユーザ端末に対してアクセスの可否やアクセスの制限等の設定を容易に行うことが可能となる。

以上、本発明の実施例について説明したが、上記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々の変形が可能である。

本発明は、シングルサインオン全般に適用できる。

本発明の実施例に係る全体構成を示すブロック図である。 本発明の実施例に係る動作を示すフローチャートである。

符号の説明

１ Ｗｅｂユーザ端末
２ ネットワーク
３、４ Ｗｅｂアプリケーション提供サーバ
３１、４１ ユーザアカウント情報データベース
３２、４２ ユーザ属性情報データベース

Claims (12)

1. ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、がネットワークを介して接続されるシングルサインオンシステムであって、
   前記サーバ装置は、
   アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、前記ユーザ端末を認証済みであるサーバ装置から前記ユーザ端末のアカウントを取得することにより前記ユーザ端末のアクセスを許可する手段を有することを特徴とするシングルサインオンシステム。
2. ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、がネットワークを介して接続されるシングルサインオンシステムであって、
   前記サーバ装置は、
   前記ユーザ端末からのアクセス要求を受信した場合、前記ユーザ端末が他のサーバ装置で認証済みであるか否かを判定するユーザ端末認証判定手段と、
   前記ユーザ端末が他のサーバ装置で認証済みである場合、前記ユーザ端末のアカウントを保持しているか否かを判断するアカウント保持判断手段と、
   前記ユーザ端末のアカウントを保持していない場合、前記ユーザ端末を認証済みであるサーバ装置から前記ユーザ端末のアカウントを取得するアカウント取得手段と、を有し、
   前記アカウント取得手段のアカウント取得によって、前記ユーザ端末のアクセスを許可することを特徴とするシングルサインオンシステム。
3. 前記サーバ装置は、前記ユーザ端末が他のサーバで認証されていない場合、自らが保持する前記ユーザ端末のアカウントを使用してユーザ認証を行い、前記ユーザ端末のアクセスを許可することを特徴とする請求項１又は２記載のシングルサインオンシステム。
4. 前記サーバ装置は、前記他のサーバ装置と互いにシングルサインオンを許可することを特徴とする請求項１から３のいずれか１項に記載のシングルサインオンシステム。
5. 請求項１から４のいずれか１項に記載のシングルサインオンシステムで用いられることを特徴とするサーバ装置。
6. ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続して行うシングルサインオン方法であって、
   前記サーバ装置にて、
   アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、前記ユーザ端末を認証済みであるサーバ装置から前記ユーザ端末のアカウントを取得することにより前記ユーザ端末のアクセスを許可することを特徴とするシングルサインオン方法。
7. ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続して行うシングルサインオン方法であって、
   前記サーバ装置にて、
   前記ユーザ端末からのアクセス要求を受信した場合、前記ユーザ端末が他のサーバ装置で認証済みであるか否かを判定するユーザ端末認証判定ステップと、
   前記ユーザ端末が他のサーバ装置で認証済みである場合、前記ユーザ端末のアカウントを保持しているか否かを判断するアカウント保持判断ステップと、
   前記ユーザ端末のアカウントを保持していない場合、前記ユーザ端末を認証済みであるサーバ装置から前記ユーザ端末のアカウントを取得するアカウント取得ステップと、を有し、
   前記アカウント取得ステップのアカウント取得によって、前記ユーザ端末のアクセスを許可することを特徴とするシングルサインオン方法。
8. 前記ユーザ端末が他のサーバで認証されていない場合、前記サーバ装置にて、自らが保持する前記ユーザ端末のアカウントを使用してユーザ認証を行い、前記ユーザ端末のアクセスを許可することを特徴とする請求項６又は７記載のシングルサインオン方法。
9. 前記サーバ装置は、前記他のサーバ装置と互いにシングルサインオンを許可することを特徴とする請求項６から８のいずれか１項に記載のシングルサインオン方法。
10. ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続し、シングルサインオンを行うためのプログラムであって、
    アカウントを保持していないユーザ端末からのアクセス要求を受信した場合、前記ユーザ端末を認証済みであるサーバ装置から前記ユーザ端末のアカウントを取得することにより前記ユーザ端末のアクセスを許可する処理を前記サーバ装置に実行させるプログラム。
11. ユーザ端末と、所定のウェブサイトを運営する複数のサーバ装置と、をネットワークを介して接続し、シングルサインオンを行うためのプログラムであって、
    前記ユーザ端末からのアクセス要求を受信した場合、前記ユーザ端末が他のサーバ装置で認証済みであるか否かを判定するユーザ端末認証判定処理と、
    前記ユーザ端末が他のサーバ装置で認証済みである場合、前記ユーザ端末のアカウントを保持しているか否かを判断するアカウント保持判断処理と、
    前記ユーザ端末のアカウントを保持していない場合、前記ユーザ端末を認証済みであるサーバ装置から前記ユーザ端末のアカウントを取得するアカウント取得処理と、
    前記アカウント取得ステップのアカウント取得によって、前記ユーザ端末のアクセスを許可するアクセス許可処理と、
    を前記サーバ装置に実行させるプログラム。
12. 前記ユーザ端末が他のサーバで認証されていない場合、自らが保持する前記ユーザ端末のアカウントを使用してユーザ認証を行う認証処理を前記サーバ装置に実行させる請求項１０又は１１記載のプログラム。

Images