JP2007299303A - Ｉｄ連携型認証システムおよびｉｄ連携型認証方法 - Google Patents

Abstract

【課題】サービスサーバのシングルサインオンへの対応が容易なＩＤ連携型認証システムを提供する
【解決手段】ＩＤ連携型認証システムは、利用者端末２００と、サービスを提供するサービスサーバ４００〜４０２と、利用者の認証を行なう認証代行サーバ３００と、これらを接続するネットワーク１００からなる。認証代行サーバ３００は、認証代行サーバ用ＩＤとサービスサーバ用ＩＤとの対応付けを保持するＩＤ連携情報テーブル６００と、認証代行サーバ用ＩＤと認証情報との対応付けを保持する認証代行利用者管理テーブル５００とを備える。認証代行サーバ３００は、サービスサーバ４００〜４０２からシングルサインオン要求を受信すると、利用者端末２００を介して認証代行サーバ用ＩＤと認証情報を取得し、認証代行利用者管理テーブル５００を参照して認証し、ＩＤ連携情報テーブル６００よりサービスサーバ用ＩＤを取得して、要求元サービスサーバに通知する。
【選択図】図１

Description

本発明は、特にサービスサーバ側のＩＤ変換処理、ＩＤ連携情報の保持を不要としたＩＤ連携型認証システムおよびＩＤ連携型認証方法に関する。

従来、ネットワーク上の複数のサービスサーバに対して一度の認証手続きでアクセスを可能とするシングルサインオン技術が存在する。このシングルサインオン技術は、大きくＩＤ統一型とＩＤ預託型とＩＤ連携型に分類できる。
ＩＤ統一型では中央の認証機関がＩＤを払い出し、各サービスサーバは共通してそのＩＤによりサービスを提供する。ＩＤ統一型では、同一事業主体内でのシングルサインオンであれば問題ないが、複数の事業主体にまたがってシングルサインオンを提供する場合にはＩＤを集中管理する事業主体にのみ顧客情報が集中してしまうことに対するビジネスモデル上の問題が指摘されている。また、既存のサービスサーバが本方式によりシングルサインオン化する場合には、既存のＩＤ体系を破棄し、中央の認証機関のＩＤ体系に順ずる必要があり、システム的に、また、ビジネスモデル的に参入への障壁が高い。
ＩＤ預託型は「アカウントアグリゲーションサービス」とも呼ばれ、各サービスサイトが払い出したＩＤとパスワードを中央の認証機関に預け、中央認証機関が払い出したＩＤにより利用者認証を実施後、中央認証機関が各利用者を代行して各サービスサーバに対して各サービスサーバ用のＩＤ、パスワードを送信して各サービスサーバで再度認証を実施する方式である。ＩＤ預託型では、中央認証機関にＩＤとパスワードのセットを全て預けてしまうため、中央認証機関側での漏洩時の影響度が大きく、また、中央認証機関側で全利用者の各サイトにおけるＩＤ、パスワードが知りえることに対する危険性、ＩＤ、パスワードを第三者機関へ預けることへの不安感による普及への障壁が指摘されている。
一方、ＩＤ連携型では、ＩＤを各サービスサーバ自身にて管理し、認証代行サーバのＩＤと各サービスサイト間のＩＤを仮名称により関連付けることによりＩＤの分散管理を可能とする。つまり、認証代行サーバにおいて、認証代行サーバのＩＤで認証が成功すると、認証代行サーバは当該ＩＤを仮名称に変換してサービスサーバヘ認証結果を通知する。サービスサーバでは仮名称を自身の管理するＩＤに変換してサービスを提供することになる。本方式により既にサービス提供中のＩＤ体系を維持しつつ、かつ、名寄せが困難なセキュアなシングルサインオンを実現できる。これにより、上記のＩＤ統一型とＩＤ預託型における課題をクリアしている。

しかしながら、ＩＤ連携型認証システムにおいては、各サービスサーバにおいて仮名称と実ＩＤを変換するためのＩＤ連携情報テーブルを管理する必要がある。このため、既に商用サービスを提供しているサービスサーバをシングルサインオン対応させるためにはサービスサーバに新たにＩＤ連携情報テーブルを導入／運用する必要があり、各サービスサーバにとって導入の障壁となるという問題がある。また、新たにＩＤの変換処理も必要となり性能の劣化も懸念されるという問題がある。

本発明は、このような事情に鑑みてなされたもので、その目的は、各サービスサーバのシングルサインオンへの対応が容易であり、対応時に性能への影響が小さいＩＤ連携型認証システムを提供することにある。

この発明は上述した課題を解決するためになされたもので、請求項１に記載の発明は、通信網と、前記通信網に接続され、利用者が操作する利用者端末と、前記通信網に接続され、前記利用者端末を介して、前記利用者にサービスを提供する複数のサービスサーバと、前記通信網に接続され、利用者の認証を行なう認証代行サーバとからなるＩＤ連携型認証システムにおいて、前記利用者端末は、前記利用者の操作により、サービス要求を前記サービスサーバに送信し、前記サービス要求の結果を前記サービスサーバより受信するサービス要求手段と、前記認証代行サーバから認証情報要求を受信して、前記利用者の認証代行サーバ用ＩＤと第１の認証情報を取得して、送信する認証情報提供手段とを備え、前記サービスサーバは、前記利用者端末のサービス要求手段から前記サービス要求を受信して、認証代行要求を発行し、該認証代行要求の結果としてサービスサーバ用ＩＤと認証済みを通知されたときは、前記サービスを実行し、該実行したサービスの結果を前記受信したサービス要求の結果として、前記利用者端末に送信するサービス実行手段と、前記サービス実行手段から前記認証代行要求を受けると、前記認証代行サーバにシングルサインオン要求を送信し、該シングルサインオン要求の結果として受信した認証結果情報が認証済みのときは、該認証結果情報よりサービスサーバ用ＩＤを取得し、前記受けた認証代行要求の結果として前記取得したサービスサーバ用ＩＤと認証済みを前記サービス実行手段に通知する認証代行要求手段とを備え、前記認証代行サーバは、認証代行サーバ用ＩＤとサービスサーバ識別情報とサービスサーバ用ＩＤとを対応付けて記憶しているＩＤ連携情報記憶手段と、認証代行サーバ用ＩＤと第２の認証情報とを対応付けて記憶している認証代行利用者記憶手段と、前記サービスサーバの認証代行要求手段から前記シングルサインオン要求を受信して、前記利用者端末の認証情報提供手段に認証情報要求を送信し、前記送信した認証情報要求の結果として前記認証代行サーバ用ＩＤと前記第１の認証情報を受信し、前記受信した認証代行サーバ用ＩＤと対応付けられた第２の認証情報を前記認証代行利用者記憶手段から取得し、該取得した第２の認証情報と前記受信した第１の認証情報が一致するときは、前記受信した認証代行サーバ用ＩＤと前記受信したシングルサインオン要求の送信元のサービスサーバのサービスサーバ識別情報とに対応付けられたサービスサーバ用ＩＤを前記ＩＤ連携情報記憶手段から取得し、前記受信したシングルサインオン要求の結果として、該取得したサービスサーバ用ＩＤと認証済みであることを記載した認証結果情報を、前記サービスサーバの認証代行要求手段に送信する認証実行手段とを備えることを特徴とするＩＤ連携型認証システムである。

また、請求項２に記載の発明は、請求項１に記載のＩＤ連携型認証システムであって、前記認証代行サーバのＩＤ連携情報記憶手段は、前記サービスサーバ用ＩＤに変えて、暗号化されたサービスサーバ用ＩＤを記憶しており、前記認証代行サーバの認証実行手段は、前記サービスサーバ用ＩＤに変えて、暗号化されたサービスサーバ用ＩＤを前記ＩＤ連携情報記憶手段から取得し、前記受信したシングルサインオン要求の結果として、該取得した暗号化されたサービスサーバ用ＩＤと認証済みであることを記載した認証結果情報を、前記サービスサーバの認証代行要求手段に送信し、前記サービスサーバの認証代行要求手段は、前記サービスサーバ用ＩＤに変えて、暗号化されたサービスサーバ用ＩＤを前記認証結果情報より取得し、該取得した暗号化されたサービスサーバ用ＩＤを復号してサービスサーバ用ＩＤを取得し、前記受けた認証代行要求の結果として前記取得したサービスサーバ用ＩＤと認証済みを前記サービス実行手段に通知することを特徴とする。

また、請求項３に記載の発明は、請求項１または請求項２に記載のＩＤ連携型認証システムであって、前記利用者端末の認証情報提供手段は、前記サービスサーバから認証情報要求を受信すると、前記利用者のサービスサーバ用ＩＤと第３の認証情報を取得して、送信し、前記利用者端末は、前記利用者の操作により、ＩＤ連携登録要求を前記サービスサーバに送信する連携登録要求手段を備え、前記サービスサーバは、サービスサーバ用ＩＤと第４の認証情報とを対応付けて記憶しているサービス利用者記憶手段と、前記利用者端末の連携登録要求手段からＩＤ連携登録要求を受信して、前記利用者端末の認証情報提供手段に認証情報要求を送信し、該送信した認証情報要求の結果としてサービスサーバ用ＩＤと第３の認証情報を受信し、前記受信したサービスサーバ用ＩＤに対応する第４の認証情報を前記サービス利用者記憶手段から取得し、前記取得した第４の認証情報と前記受信した第３の認証情報が一致するときは、前記認証代行サーバにＩＤ連携要求を送信し、該送信したＩＤ連携要求の結果として受信した仮名称とともに前記受信したサービスサーバ用ＩＤもしくは暗号化した前記受信したサービスサーバ用ＩＤを、名前登録要求として前記認証代行サーバに送信する認証代行連携要求手段とを備え、前記認証代行サーバは、前記サービスサーバの認証代行要求手段からＩＤ連携要求を受信して、前記利用者端末の認証情報提供手段に認証情報要求を送信し、前記送信した認証情報要求の結果として前記認証代行サーバ用ＩＤと前記第１の認証情報を受信し、前記受信した認証代行サーバ用ＩＤに対応付けられた第２の認証情報を前記認証代行利用者記憶手段から取得し、該取得した第２の認証情報と前記受信した第１の認証情報が一致するときは、前記サービスサーバ用ＩＤとして仮名称を生成し、前記ＩＤ連携情報記憶手段に、前記受信した認証代行サーバ用ＩＤと前記受信したＩＤ連携要求の送信元のサービスサーバのサービスサーバ識別情報と前記生成した仮名称とを対応付けて登録し、前記受信したＩＤ連携要求の結果として、前記仮名称を前記サービスサーバの認証代行連携要求手段に送信する認証代行確認手段と、前記サービスサーバの認証代行要求手段から前記名前登録要求を受信して、該受信した名前登録要求から仮名称とサービスサーバ用ＩＤもしくは暗号化したサービスサーバ用ＩＤを取得し、前記ＩＤ連携情報記憶手段が記憶しているサービスサーバ用ＩＤの中で、前記取得した仮名称と一致するものを、前記取得したサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤに置き換えて登録する認証代行連携登録手段と
を備えることを特徴とする。

また、請求項４に記載の発明は、通信網と、前記通信網に接続され、利用者が操作する利用者端末と、前記通信網に接続され、前記利用者端末を介して、前記利用者にサービスを提供する複数のサービスサーバと、前記通信網に接続され、認証代行サーバ用ＩＤとサービスサーバ識別情報とサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤとを対応付けて記憶しているＩＤ連携情報記憶手段と認証代行サーバ用ＩＤと第２の認証情報とを対応付けて記憶している認証代行利用者記憶手段とを備え、利用者の認証を行なう認証代行サーバとからなるＩＤ連携型認証システムにおけるＩＤ連携型認証方法であって、前記利用者端末が、前記利用者の操作により、サービス要求を前記サービスサーバに送信する第１の過程と、前記サービスサーバが、前記利用者端末から前記サービス要求を受信して、前記認証代行サーバにシングルサインオン要求を送信する第２の過程と、前記認証代行サーバが、前記サービスサーバから前記シングルサインオン要求を受信して、前記利用者端末に認証情報要求を送信する第３の過程と、前記利用者端末が、前記認証代行サーバから認証情報要求を受信して、前記利用者の認証代行サーバ用ＩＤと第１の認証情報を取得して、送信する第４の過程と、前記認証代行サーバが、前記送信した認証情報要求の結果として前記認証代行サーバ用ＩＤと前記第１の認証情報を受信し、前記受信した認証代行サーバ用ＩＤと対応付けられた第２の認証情報を前記認証代行利用者記憶手段から取得し、該取得した第２の認証情報と前記受信した第１の認証情報が一致するときは、前記受信した認証代行サーバ用ＩＤと前記受信したシングルサインオン要求の送信元のサービスサーバのサービスサーバ識別情報とに対応付けられたサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤを前記ＩＤ連携情報記憶手段から取得し、前記受信したシングルサインオン要求の結果として、該取得したサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤと認証済みであることを記載した認証結果情報を、前記サービスサーバに送信する第５の過程と、前記サービスサーバが、前記シングルサインオン要求の結果として受信した認証結果情報が認証済みのときは、該認証結果情報よりサービスサーバ用ＩＤを取得もしくは暗号化されたサービスサーバ用ＩＤを取得して復号し、前記サービスを実行して、該実行したサービスの結果を前記受信したサービス要求の結果として、前記利用者端末に送信する第６の過程と、前記利用者端末が、前記サービス要求の結果を前記サービスサーバより受信する第７の過程とを備えることを特徴とするＩＤ連携型認証方法である。

この発明によれば、認証代行サーバは、認証代行サーバ用ＩＤとサービスサーバ識別情報とサービスサーバ用ＩＤとを対応付けて記憶しているＩＤ連携情報記憶手段を備えているため、サービスサーバに新たにＩＤ連携情報テーブルを導入／運用する必要がなく、各サービスサーバのシングルサインオンへの対応を容易にし、性能への影響を小さくすることができる。

以下、図面を参照して、本発明の実施の形態について説明する。図１は、本発明の一実施形態によるＩＤ連携型認証システムの概略構成を示す図である。１００は、インターネットや移動体通信網等のネットワークである。このＩＤ連携型認証システムは、ＰＣやＰＤＡ、携帯電話等の利用者の利用端末２００と、全てのサービスサーバに関する利用者の認証を代行する認証代行サーバ３００、利用者にサービスを提供するサービスサーバ４００、サービスサーバ４０１、サービスサーバ４０２から構成され、全ての装置は通信ネットワーク１００に接続されている。また、各サービスサーバ４００〜４０２は利用者の識別情報であるサービスサーバ用ＩＤ、認証情報であるパスワード等を管理するためのサービス利用者管理テーブル５０１〜５０３をそれぞれ保持している。また、認証代行サーバ３００は、利用者の識別情報である認証代行サーバ用ＩＤ、認証情報であるパスワード等を管理するための認証代行利用者管理テーブル５００と、認証代行サーバ用ＩＤと各サービスサーバ用ＩＤの関連付け情報を格納したＩＤ連携情報テーブル６００とを保持している。

図２は、この発明の一実施形態によるＩＤ連携型認証システムの構成を示す概略ブロック図である。利用者端末２００は、サービス要求処理２０１、認証情報提供処理２０２および連携登録要求処理２０３からなる。サービス要求処理２０１は、利用者の操作により、サービスの利用を指示されると、サービス要求をサービスサーバ４００〜４０２に送信し、サービスサーバ４００〜４０２が実行したサービスの結果を受信する。認証情報提供処理２０２は、サービスサーバ４００〜４０２あるいは認証代行サーバ３００から認証情報の要求を受け、利用者が入力した認証代行サーバ用ＩＤとパスワード（第１の認証情報）あるいは、サービスサーバ用ＩＤとパスワード（第３の認証情報）を送信する。連携登録要求処理２０３は、利用者の操作により、サービスサーバ４００〜４０２と認証代行サーバ３００を連携して利用するための登録を指示されると、サービスサーバ４００〜４０２のうち指示されたサーバにＩＤ連携登録要求を送信する。

認証代行サーバ３００は、認証実行処理３０１、認証代行確認処理３０２、認証代行連携登録処理３０３、ＩＤ連携情報テーブル６００および認証代行利用者管理テーブル５００からなる。認証実行処理３０１は、サービスサーバ４００〜４０２からシングルサインオン要求を受けて、利用者の認証を行ない認証に成功した場合は、ＩＤ連携情報テーブル６００からサービスサーバ用ＩＤを取得して、要求元のサービスサーバ４００〜４０２に送信する。認証代行確認処理３０２は、サービスサーバ４００〜４０２からＩＤ連携要求を受けて、利用者の認証を行ない認証に成功した場合は、仮名称を生成して、ＩＤ連携情報テーブル６００に登録するとともに、要求元のサービスサーバ４００〜４０２に送信する。認証代行連携登録処理３０３は、名前登録要求を受けて、ＩＤ連携情報テーブル６００に登録されている仮名称をサービスサーバ用ＩＤで上書きする。認証代行利用者管理テーブル５００は、図３に示すように、認証代行サーバが各利用者へ発行した認証代行サーバ用ＩＤと、認証に使用するための認証情報であるパスワード（第２の認証情報）、また、その他各種の個人情報が格納されている。ＩＤ連携情報テーブル６００は、図４に示すように、認証代行サーバが各利用者へ発行した認証代行サーバ用ＩＤと、当該利用者の認証代行サーバ用ＩＤに対応する各サービスサーバ用ＩＤを管理する。また、認証代行サーバ用ＩＤとサービスサーバ用ＩＤの祖み合わせが一意となるように当該サービスサーバ識別子（サービスサーバ識別情報）も管理する。また、サービスサーバ用ＩＤは暗号化した状態で格納される場合もある。

サービスサーバ４００は、サービス実行処理４１１、認証代行要求処理４１２、認証代行連携要求処理４１３およびサービス利用者管理テーブル５０１からなる。サービス実行処理４１１は、サービス要求を受けて、認証代行要求処理４１２に認証代行要求を発行し、認証済みとしてサービスサーバ用ＩＤを取得できたときは、該サービスサーバ用ＩＤの利用者向けにサービスを実行する。認証代行要求処理４１２は、認証代行要求を受けて、認証代行サーバ３００にシングルサインオン要求を送信し、その結果をサービス実行処理４１１に通知する。認証代行連携要求処理４１３は、ＩＤ連携登録要求を受けて、利用者の認証を行ない認証に成功した場合は、認証代行サーバ３００にＩＤ連携要求を送信し、ＩＤ連携情報テーブル６００にサービスサーバ用ＩＤを登録するために、ＩＤ連携要求の結果として受信した仮名称とともにサービスサーバ用ＩＤを名前登録要求として認証代行サーバ３００に送信する。サービス利用者管理テーブル５０１は、図５に示すように、サービスサーバが各利用者へ発行したサービスサーバ用ＩＤと、認証に使用するための認証情報であるパスワード（第４の認証情報）、また、その他各種の個人情報が格納されている。
上述したように、本発明の実施形態では、各利用者の個人情報を、各サービスサーバ４００〜４０２および認証代行サーバ３００にて、分散管理することが可能である。

次に、本実施形態よるＩＤ連携型認証システムの動作を説明する。図６は、本実施形態において、ＩＤ連携型シングルサインオンを実施するための事前準備のシーケンス例である。通常、本手続きはサービス利用前に一度実施すればよい。
まず、利用者は認証代行サーバ３００を利用するために、認証代行サーバの利用者登録を実施する。本ステップはいわゆる「サービス申し込み」処理であり、一般に、書類での申し込みやインターネットを利用したオンラインサインアップなど様々な方法での実現が可能であり、本発明ではその実施方法を問わない（Ｓａ１）。次に、利用者はサービスサーバ４００を利用するために、サービスサーバ４００の利用者登録を実施する。本ステップはいわゆる「サービス申し込み」処理であり、一般に、書類での申し込みやインターネットを利用したオンラインサインアップなど様々な方法での実現が可能であり、本発明ではその実施方法を問わない（Ｓａ２）。次に、利用者は認証代行サーバ３００が保持するＩＤ連携情報テーブルに当該利用者の認証代行サーバ用ＩＤとサービスサーバ用ＩＤの関連付け情報を登録する（Ｓａ３）。

図４に示すように、ＩＤ連携情報テーブル６００では認証代行サーバ用ＩＤとサービスサーバ用ＩＤと当該サービスサーバ識別子が１レコードに記録され、認証代行サーバ用ＩＤとサービスサーバ識別子の組み合わせにより一意のレコードが決まる。本ステップＳａ３において、サービスサーバ用ＩＤをサービスサーバ４００が保持する秘密鍵により暗号化して登録することも可能である。暗号化して登録することによりサービスサーバ側の利用者ＩＤを認証代行サーバ運用者は知りえることができず、また漏洩した際の名寄せも防ぐことが可能となる。本ステップＳａ３は、サービスサーバ４００と認証代行サーバ３００を同一事業主体が所有している場合などは、ＩＤ登録時に直接運用者側でＩＤ連携情報テーブル６００に登録することが可能である。また、利用者により明示的に実施することも可能である。

図７は図６のステップＳａ３のＩＤ連携情報登録の手続きを利用者が明示的に実施する場合の一例を示したシーケンス図である。利用者端末２００の連携登録要求処理２０３はサービスサーバ４００の認証代行連携要求処理４１３にアクセスし、認証代行サーバ用ＩＤと当該サービスサーバ用ＩＤの連携を要求する（Ｓｂ１）。サービスサーバ４００の認証代行連携要求処理４１３は当該利用者の認証状態を確認する（Ｓｂ２）。ステップＳｂ２にて当該利用者が未認証の場合、サービスサーバ４００の認証代行連携要求処理４１３は、利用者端末２００の認証情報提供処理２０２に認証情報要求を送信する。認証情報提供処理２０２は、認証情報要求を受けると、利用者の入力を受け付けて、入力されたサービスサーバ用ＩＤとパスワードを認証代行連携要求処理４１３に送信する。認証代行連携要求処理４１３は、受けたサービスサーバ用ＩＤおよびパスワードとサービス利用者管理テーブル４０１の登録内容を比較することで、利用者の認証を実施する（Ｓｂ３）。

ステップＳｂ３にて、利用者の認証に成功した場合、サービスサーバ４００の認証代行連携要求処理４１３は当該利用者の認証状態を「認証済み」として登録する（Ｓｂ４）。ステップＳｂ２にて当該利用者が認証済みの場合、もしくはステップＳｂ３にて認証に成功した場合、サービスサーバ４００の認証代行連携要求処理４１３は認証代行サーバ３００の認証代行確認処理３０２にＩＤ連携要求を送信する（Ｓｂ５）。ここで、図７において、ＩＤ連携要求は、利用者端末２００を介して認証代行サーバ３００の認証代行確認処理３０２に送信されるようにしたが、利用者端末２００を介さず、直接認証代行サーバ３００の認証代行確認処理３０２に送信されるようにしてもよい。

次に、認証代行サーバ３００の認証代行確認処理３０２はＩＤ連携要求を受信後に、当該利用者の認証状態を確認する（Ｓｂ６）。ステップＳｂ６にて、当該利用者が未認証の場合、認証代行サーバ３００の認証代行確認処理３０２は、利用者端末２００の認証情報提供処理２０２に認証情報要求を送信する。認証情報提供処理２０２は、認証情報要求を受けると、利用者の入力を受け付けて、入力された認証代行サーバ用ＩＤとパスワードを認証代行確認処理３０２に送信する。認証代行確認処理３０２は、受けた認証代行サーバ用ＩＤおよびパスワードと認証代行利用者管理テーブル５００の登録内容を比較することで、利用者の認証を実施する（Ｓｂ７）。ステップＳｂ７にて利用者の認証に成功した場合、認証代行サーバ３００の認証代行確認処理３０２は、当該利用者の認証状態を「認証済み」として登録する（Ｓｂ８）。ステップＳｂ６にて当該利用者が認証済みの場合、もしくはステップＳｂ７にて認証に成功した場合、認証代行サーバの認証代行確認処理３０２は当該利用者に対応する仮名称を生成し、当該利用者の認証代行サーバ用ＩＤと当該ＩＤ連携要求の送信元サービスサーバ識別子と対応付けて、この仮名称をＩＤ連携情報テーブル６００へ登録する（Ｓｂ９）。本発明では仮名称の生成方法は問わないが、一般にシステムでユニークなランダムな文字列である。

次に、認証代行サーバ３００の認証代行確認処理３０２は、ＩＤ連携要求に対する応答を要求元サービスサーバ４００の認証代行連携要求処理４１３に返却する（Ｓｂ１０）。このＩＤ連携応答には、ステップＳｂ９で認証代行確認処理３０２が生成した当該利用者の当該サービスサーバ４００用の仮名称が含まれる。ここで、図７において、ＩＤ連携要求に対する応答は、利用者端末２００を介してサービスサーバ４００の認証代行連携要求処理４１３に送信されるようにしたが、利用者端末２００を介さず、直接サービスサーバ４００の認証代行連携要求処理４１３に送信されるようにしてもよい。

次に、サービスサーバ４００の認証代行連携要求処理４１３はＩＤ連携応答を受信後、自装置内に設けられたサービスサーバ用ＩＤの暗号化要否フラグを確認する（Ｓｂ１１）。ステップＳｂ１１にて暗号化要否フラグが「ｔｒｕｅ」の場合、サービスサーバ４００の認証代行連携要求処理４１３は、当該利用者のサービスサーバ用ＩＤを認証代行連携要求処理４１３が保持する秘密鍵で暗号化する。以降のステップＳｂ１３〜Ｓｂ１４の処理では、この暗号化されたサービスサーバ用ＩＤが用いられる。Ｓ１１にて暗号化要否フラグが「ｆａｌｓｅ」の場合、以降のステップＳｂ１３〜Ｓｂ１４の処理では、暗号化されていないサービスサーバ用ＩＤが用いられる（Ｓｂ１２）。

以降の説明では、暗号化要否フラグが「ｔｒｕｅ」の場合を説明する。サービスサーバ４００の認証代行連携要求処理４１３は、認証代行サーバ３００の認証代行連携登録処理３０３に名前登録要求を送信する。名前登録要求にはステップＳｂ１１にて認証代行サーバ３００から受信したＩＤ連携応答に含まれる仮名称と、暗号化されたサービスサーバ用ＩＤと、当該サービスサーバ識別子とが含まれる（Ｓｂ１３）。認証代行サーバ３００の認証代行連携登録処理３０３は、サービスサーバ４００からの名前登録要求を受信後、当該ＩＤ連携応答から仮名称と暗号化されたサービスサーバ用ＩＤとサービスサーバ識別子を抽出し、認証代行サーバ３００が保持するＩＤ連携情報テーブル６００の当該サービスサーバ識別子と仮名称に対応するレコードに対して、現在の仮名称をＩＤ連携応答から抽出した暗号化されたサービスサーバ用ＩＤで上書きする（Ｓｂ１４）。ステップＳｂ１４の上書き処理の成功後、認証代行サーバ３００の認証代行連携登録処理３０３は名前登録処理が成功した旨を含む応答メッセージをサービスサーバ４００の認証代行連携要求処理４１３に返却する（Ｓｂ１５）。サービスサーバ４００の認証代行連携要求処理４１３は名前登録応答メッセージを受信後、成功した旨を確認し、ステップＳｂ１のＩＤ連携要求元である利用者端末２００の連携登録要求処理２０３へＩＤ連携応答を返却する。

以上、シングルサインオンによるＩＤ連携情報登録の手続きのシーケンス例を説明したが、各装置間のメッセージの通信方法は本発明では問わない。例えばＨＴＴＰ／ＨＴＴＰＳのリダイレクト機能（応答ステータス３０２）を利用する方法や、ＳＯＡＰ（Simple Object Access Protocol） ｏｖｅｒ ＨＴＴＰ／ＨＴＴＰＳなどの利用が考えられる。また、各メッセージは必要に応じてデジタル署名等を施し、なりすまし、改ざん等を防止する。

また、本発明では、サービスサーバ４００〜４０２および認証代行サーバ３００における認証状態の管理方法は問わない。なお、一般にＷｅｂ系のシステムでは、利用者毎の認証状態をセッション情報としてサーバ内のメモリ上に保持し、クライアントのＷｅｂブラウザにＣｏｏｋｉｅとして当該セッション情報との縁付け情報（セッションＩＤ等）を格納することによって利用者の認証伏態を管理するので、当該方法を用いても良い。
また、本発明では、サービスサーバ４００〜４０２および認証代行サーバ３００における利用者の認証方法は問わない。本実施形態では、利用者端末２００にて、利用者がサービスサーバ用ＩＤもしくは認証代行サーバ用ＩＤとパスワードを入力するとしたが、一般にはＩＤ／パスワード認証や、その他、指紋認証、電子証明書による認証等、様々な認証方法が存在する。

図８は利用者による、シングルサインオンを利用したサービス利用手続きの一例を示したシーケンス図である。図８を参照して、本ＩＤ連携型認証システムにおけるサービス利用時の動作を説明する。
利用者の操作により、利用者端末２００のサービス要求処理２０１は、サービスサーバ４００のサービス実行処理４０１にアクセスし、サービスの利用を要求する（Ｓｃ１）。サービスサーバ４００のサービス実行処理４０１は、当該利用者の認証状態を確認する（Ｓｃ２）。ステップＳｃ２にて当該利用者が認証済みの場合、サービスサーバ４００のサービス実行処理４０１は、要求されたサービスを利用者端末２００のサービス要求処理２０１を介して、当該利用者へ提供する。

以降、当該利用者が当該サービスサーバ４００にて未認証の場合の動作を説明する。 サービスサーバ４００のサービス実行処理４１１は、認証代行要求処理４１２に認証代行要求を発行する。認証代行要求処理４１２は、認証代行要求を受けると、認証代行サーバ３００の認証実行処理３０１ヘシングルサインオン要求を送信する（Ｓｃ３）。ここで、図８において、シングルサインオン要求は、利用者端末２００を介して認証代行サーバ３００の認証実行処理３０１に送信されるようにしたが、利用者端末２００を介さず、直接認証実行処理３０１に送信されるようにしてもよい。

次に、認証代行サーバ３００の認証実行処理３０１は、シングルサインオン要求を受信後、当該利用者の認証状態を確認する（Ｓｃ４）。ステップＳｃ４にて当該利用者が未認証の場合、認証実行処理３０１は、利用者端末２００の認証情報提供処理２０２に認証情報要求を送信する。認証情報提供処理２０２は、認証情報要求を受けると、利用者の入力を受け付けて、入力されたサービスサーバ用ＩＤとパスワードを認証実行処理３０１に送信する。認証実行処理３０１は、受けたサービスサーバ用ＩＤおよびパスワードと認証代行利用者管理テーブル５００の登録内容を比較することで、利用者の認証を実施する（Ｓｃ５）。ステップＳｃ５にて利用者の認証に成功した場合、認証代行サーバ３００の認証実行処理３０１は、当該利用者の認証状態を「認証済み」とする（Ｓｃ６）。ステップＳｃ４にて当該利用者が認証済みの場合、もしくはステップＳｃ５にて認証に成功した場合、認証代行サーバ３００の認証実行処理３０１はＩＤ連携情報テーブル６００から、ステップＳｃ４の認証状態取得の際に得られた認証代行サーバ用ＩＤ、もしくはステップＳｃ５の認証処理で取得した認証代行サーバ用ＩＤとシングルサインオン要求元のサービスサーバ４００のサービスサーバ識別子をキー情報として対応するサービスサーバ用ＩＤをＩＤ連携情報テーブル６００から取得する（Ｓｃ７）。ここで取得したサービスサーバ用ＩＤは図７で説明したＩＤ連携情報登録の手続きにより認証代行サーバ３００のＩＤ連携情報テーブル６００に登録されたサービスサーバ用ＩＤ、もしくは暗号化されたサービスサーバ用ＩＤである。

次に、認証代行サーバ３００の認証実行処理３０１はシングルサインオン要求に対する応答であるシングルサインオン応答を要求元のサービスサーバ４００の認証代行要求処理４１２へ返却する（Ｓｃ８）。シングルサインオン応答にはステップＳｃ７で取得したサービスサーバ用ＩＤ、もしくは暗号化されたサービスサーバ用ＩＤと認証結果情報として認証済み／未認証が含まれる。ここで、図８において、シングルサインオン応答は、利用者端末２００を介してサービスサーバ４００の認証代行要求処理４１２に送信されるようにしたが、利用者端末２００を介さず、直接認証代行要求処理４１２に送信されるようにしてもよい。
次に、認証代行要求処理４１２は、シングルサインオン応答を受信後、認証結果情報を検証する（Ｓｃ９）。認証結果情報が「未認証」の場合には利用者端末２００ヘシングルサインオンが失敗した旨を返却する。

以降、認証結果情報が「認証済み」の場合について説明する。認証結果情報が「認証済み」の場合には、サービスサーバ４００の認証代行要求処理４１２は、自装置が備えるサービスサーバ用ＩＤの暗号化要否フラグを確認する（Ｓｃ１０）。ステップＳｃ１０にて暗号化要否フラグが「ｔｒｕｅ」の場合、ステップＳｃ９で受信したシングルサインオン応答に含まれるサービスサーバ用ＩＤは暗号化されたサービスサーバ用ＩＤであるため、認証代行要求処理４１２は、当該ＩＤをサービスサーバ４００が保持する秘密鍵で復号し、当該利用者のサービスサーバ用ＩＤを取得する（Ｓｃ１１）。ステップＳｃ１０にて暗号化要否フラグが「ｆａｌｓｅ」の場合、ステップＳｃ９で受信したシングルサインオン応答からサービスサーバ用ＩＤを取得する。次に、認証代行要求処理４１２は、ステップＳｃ１１で取得したサービスサーバ用ＩＤに対応する認証状態を認証済みとする（Ｓｃ１２）。認証代行要求処理４１２は、認証済みであることと、取得したサービスサーバ用ＩＤをサービス実行処理４１１に通知する。サービス実行処理４１１は、認証済みであることとサービスサーバ用ＩＤを受けると、当該利用者から要求されたサービスを利用者端末２００のサービス要求処理２０１へ提供する（Ｓｃ１３）。

以上、シングルサインオンによるサービス利用の例を説明したが、各装置間のメッセージの通信方法は本発明では問わない。例えば、ＨＴＴＰ／ＨＴＴＰＳのリダイレクト機能（応答ステータス３０２）を利用する方法や、ＳＯＡＰ ｏｖｅｒ ＨＴＴＰ／ＨＴＴＰＳなどの利用が考えられる。また、各メッセージは必要に応じてデジタル署名等を施し、なりすまし、改ざん等を防止する。
また、本発明では、サービスサーバ、認証代行サーバにおける認証状態の管理方法は問わない。一般にＷｅｂ系のシステムでは利用者毎の認証状態をセッション情報としてサーバ内のメモリ上に保持し、クライアントのＷｅｂブラウザにＣｏｏｋｉｅとして当該セッション情報との紐付け情報（セッションＩＤ等）を格納することによって利用者の認証状態を管理する。
また、本発明では、サービスサーバ４００〜４０２および認証代行サーバ３００における利用者の認証方法は問わない。本実施形態では、利用者端末２００にて、利用者がサービスサーバ用ＩＤもしくは認証代行サーバ用ＩＤとパスワードを入力するとしたが、一般にはＩＤ／パスワード認証や、その他、指紋認証、電子証明書による認証等、様々な認証方法が存在する。

また、図２におけるサービス要求処理２０１、認証情報提供処理２０２、連携登録要求処理２０３、サービス実行処理４１１、認証代行要求処理４１２、認証代行連携要求処理４１３、認証実行処理３０１、認証代行確認処理３０２および認証代行連携登録処理３０３の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより、これらの処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

以上、この発明の実施形態を、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明は、インターネットなどの通信網を介して、利用者に提供されるサービスにおいて利用者の認証を行なうＩＤ連携型認証システムに用いて好適である。

この発明の一実施形態によるＩＤ連携型認証システムの概略構成を示す図である。 同実施形態におけるＩＤ連携型認証システムの構成を示す概略ブロック図である。 同実施形態における認証代行利用者管理テーブル５００の内容例を示す図である。 同実施形態におけるＩＤ連携情報テーブル６００の内容例を示す図である。 同実施形態におけるサービス利用者管理テーブル５０１の内容例を示す図である。 同実施形態におけるＩＤ連携型シングルサインオンを実施するための事前準備の動作例を示すシーケンス図である。 同実施形態におけるＩＤ連携情報登録の手続きを利用者が明示的に実施する場合の動作例を示したシーケンス図である。 同実施形態におけるシングルサインオンを利用したサービス利用手続きの動作例を示したシーケンス図である。

符号の説明

１００…ネットワーク
２００…利用者端末
２０１…サービス要求処理
２０２…認証情報提供処理
２０３…連携登録要求処理
３００…認証代行サーバ
３０１…認証実行処理
３０２…認証代行確認処理
３０３…認証代行連携登録処理
４００、４０１、４０２…サービスサーバ
４１１…サービス実行処理
４１２…認証代行要求処理
４１３…認証代行連携要求処理
５００…認証代行利用者管理テーブル
５０１、５０２、５０３…サービス利用者管理テーブル
６００…ＩＤ連携情報テーブル

Claims (4)

1. 通信網と、前記通信網に接続され、利用者が操作する利用者端末と、前記通信網に接続され、前記利用者端末を介して、前記利用者にサービスを提供する複数のサービスサーバと、前記通信網に接続され、利用者の認証を行なう認証代行サーバとからなるＩＤ連携型認証システムにおいて、
   前記利用者端末は、
   前記利用者の操作により、サービス要求を前記サービスサーバに送信し、前記サービス要求の結果を前記サービスサーバより受信するサービス要求手段と、
   前記認証代行サーバから認証情報要求を受信して、前記利用者の認証代行サーバ用ＩＤと第１の認証情報を取得して、送信する認証情報提供手段とを備え、
   前記サービスサーバは、
   前記利用者端末のサービス要求手段から前記サービス要求を受信して、認証代行要求を発行し、該認証代行要求の結果としてサービスサーバ用ＩＤと認証済みを通知されたときは、前記サービスを実行し、該実行したサービスの結果を前記受信したサービス要求の結果として、前記利用者端末に送信するサービス実行手段と、
   前記サービス実行手段から前記認証代行要求を受けると、前記認証代行サーバにシングルサインオン要求を送信し、該シングルサインオン要求の結果として受信した認証結果情報が認証済みのときは、該認証結果情報よりサービスサーバ用ＩＤを取得し、前記受けた認証代行要求の結果として前記取得したサービスサーバ用ＩＤと認証済みを前記サービス実行手段に通知する認証代行要求手段とを備え、
   前記認証代行サーバは、
   認証代行サーバ用ＩＤとサービスサーバ識別情報とサービスサーバ用ＩＤとを対応付けて記憶しているＩＤ連携情報記憶手段と、
   認証代行サーバ用ＩＤと第２の認証情報とを対応付けて記憶している認証代行利用者記憶手段と、
   前記サービスサーバの認証代行要求手段から前記シングルサインオン要求を受信して、前記利用者端末の認証情報提供手段に認証情報要求を送信し、前記送信した認証情報要求の結果として前記認証代行サーバ用ＩＤと前記第１の認証情報を受信し、前記受信した認証代行サーバ用ＩＤと対応付けられた第２の認証情報を前記認証代行利用者記憶手段から取得し、該取得した第２の認証情報と前記受信した第１の認証情報が一致するときは、前記受信した認証代行サーバ用ＩＤと前記受信したシングルサインオン要求の送信元のサービスサーバのサービスサーバ識別情報とに対応付けられたサービスサーバ用ＩＤを前記ＩＤ連携情報記憶手段から取得し、前記受信したシングルサインオン要求の結果として、該取得したサービスサーバ用ＩＤと認証済みであることを記載した認証結果情報を、前記サービスサーバの認証代行要求手段に送信する認証実行手段と
   を備えることを特徴とするＩＤ連携型認証システム。
2. 前記認証代行サーバのＩＤ連携情報記憶手段は、前記サービスサーバ用ＩＤに変えて、暗号化されたサービスサーバ用ＩＤを記憶しており、
   前記認証代行サーバの認証実行手段は、前記サービスサーバ用ＩＤに変えて、暗号化されたサービスサーバ用ＩＤを前記ＩＤ連携情報記憶手段から取得し、前記受信したシングルサインオン要求の結果として、該取得した暗号化されたサービスサーバ用ＩＤと認証済みであることを記載した認証結果情報を、前記サービスサーバの認証代行要求手段に送信し、
   前記サービスサーバの認証代行要求手段は、前記サービスサーバ用ＩＤに変えて、暗号化されたサービスサーバ用ＩＤを前記認証結果情報より取得し、該取得した暗号化されたサービスサーバ用ＩＤを復号してサービスサーバ用ＩＤを取得し、前記受けた認証代行要求の結果として前記取得したサービスサーバ用ＩＤと認証済みを前記サービス実行手段に通知すること
   を特徴とする請求項１に記載のＩＤ連携型認証システム。
3. 前記利用者端末の認証情報提供手段は、前記サービスサーバから認証情報要求を受信すると、前記利用者のサービスサーバ用ＩＤと第３の認証情報を取得して、送信し、
   前記利用者端末は、前記利用者の操作により、ＩＤ連携登録要求を前記サービスサーバに送信する連携登録要求手段を備え、
   前記サービスサーバは、
   サービスサーバ用ＩＤと第４の認証情報とを対応付けて記憶しているサービス利用者記憶手段と、
   前記利用者端末の連携登録要求手段からＩＤ連携登録要求を受信して、前記利用者端末の認証情報提供手段に認証情報要求を送信し、該送信した認証情報要求の結果としてサービスサーバ用ＩＤと第３の認証情報を受信し、前記受信したサービスサーバ用ＩＤに対応する第４の認証情報を前記サービス利用者記憶手段から取得し、前記取得した第４の認証情報と前記受信した第３の認証情報が一致するときは、前記認証代行サーバにＩＤ連携要求を送信し、該送信したＩＤ連携要求の結果として受信した仮名称とともに前記受信したサービスサーバ用ＩＤもしくは暗号化した前記受信したサービスサーバ用ＩＤを、名前登録要求として前記認証代行サーバに送信する認証代行連携要求手段と
   を備え、
   前記認証代行サーバは、
   前記サービスサーバの認証代行要求手段からＩＤ連携要求を受信して、前記利用者端末の認証情報提供手段に認証情報要求を送信し、前記送信した認証情報要求の結果として前記認証代行サーバ用ＩＤと前記第１の認証情報を受信し、前記受信した認証代行サーバ用ＩＤに対応付けられた第２の認証情報を前記認証代行利用者記憶手段から取得し、該取得した第２の認証情報と前記受信した第１の認証情報が一致するときは、前記サービスサーバ用ＩＤとして仮名称を生成し、前記ＩＤ連携情報記憶手段に、前記受信した認証代行サーバ用ＩＤと前記受信したＩＤ連携要求の送信元のサービスサーバのサービスサーバ識別情報と前記生成した仮名称とを対応付けて登録し、前記受信したＩＤ連携要求の結果として、前記仮名称を前記サービスサーバの認証代行連携要求手段に送信する認証代行確認手段と、
   前記サービスサーバの認証代行要求手段から前記名前登録要求を受信して、該受信した名前登録要求から仮名称とサービスサーバ用ＩＤもしくは暗号化したサービスサーバ用ＩＤを取得し、前記ＩＤ連携情報記憶手段が記憶しているサービスサーバ用ＩＤの中で、前記取得した仮名称と一致するものを、前記取得したサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤに置き換えて登録する認証代行連携登録手段と
   を備えることを特徴とする請求項１または請求項２に記載のＩＤ連携型認証システム。
4. 通信網と、前記通信網に接続され、利用者が操作する利用者端末と、前記通信網に接続され、前記利用者端末を介して、前記利用者にサービスを提供する複数のサービスサーバと、前記通信網に接続され、認証代行サーバ用ＩＤとサービスサーバ識別情報とサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤとを対応付けて記憶しているＩＤ連携情報記憶手段と認証代行サーバ用ＩＤと第２の認証情報とを対応付けて記憶している認証代行利用者記憶手段とを備え、利用者の認証を行なう認証代行サーバとからなるＩＤ連携型認証システムにおけるＩＤ連携型認証方法であって、
   前記利用者端末が、前記利用者の操作により、サービス要求を前記サービスサーバに送信する第１の過程と、
   前記サービスサーバが、前記利用者端末から前記サービス要求を受信して、前記認証代行サーバにシングルサインオン要求を送信する第２の過程と、
   前記認証代行サーバが、前記サービスサーバから前記シングルサインオン要求を受信して、前記利用者端末に認証情報要求を送信する第３の過程と、
   前記利用者端末が、前記認証代行サーバから認証情報要求を受信して、前記利用者の認証代行サーバ用ＩＤと第１の認証情報を取得して、送信する第４の過程と、
   前記認証代行サーバが、前記送信した認証情報要求の結果として前記認証代行サーバ用ＩＤと前記第１の認証情報を受信し、前記受信した認証代行サーバ用ＩＤと対応付けられた第２の認証情報を前記認証代行利用者記憶手段から取得し、該取得した第２の認証情報と前記受信した第１の認証情報が一致するときは、前記受信した認証代行サーバ用ＩＤと前記受信したシングルサインオン要求の送信元のサービスサーバのサービスサーバ識別情報とに対応付けられたサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤを前記ＩＤ連携情報記憶手段から取得し、前記受信したシングルサインオン要求の結果として、該取得したサービスサーバ用ＩＤもしくは暗号化されたサービスサーバ用ＩＤと認証済みであることを記載した認証結果情報を、前記サービスサーバに送信する第５の過程と、
   前記サービスサーバが、前記シングルサインオン要求の結果として受信した認証結果情報が認証済みのときは、該認証結果情報よりサービスサーバ用ＩＤを取得もしくは暗号化されたサービスサーバ用ＩＤを取得して復号し、前記サービスを実行して、該実行したサービスの結果を前記受信したサービス要求の結果として、前記利用者端末に送信する第６の過程と、
   前記利用者端末が、前記サービス要求の結果を前記サービスサーバより受信する第７の過程と
   を備えることを特徴とするＩＤ連携型認証方法。
   
   

Images