JP2009193336A - 処理分散システム、認証サーバ、分散サーバ及び処理分散方法 - Google Patents

Abstract

【課題】効率の良い認証処理分散を行う。
【解決手段】クライアント１００との間においてクライアント１００を利用する利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行うＲＡＤＩＵＳサーバ４００−１にて、クライアント１００から送信されてきたユーザＩＤが、データベース５００−１内に存在しない場合、ユーザＩＤとＴＬＳパラメータとを、転送要求信号に含めて分散サーバ２００へ送信し、データベース３００にて転送要求信号に含まれるユーザＩＤと対応付けられた認証サーバ識別情報を検索し、ユーザＩＤとＴＬＳパラメータとを検索された認証サーバ識別情報が付与されたＲＡＤＩＵＳサーバ４００−２へ送信する。
【選択図】図１

Description

本発明は、認証処理を分散させる処理分散システム、認証サーバ、分散サーバ及び処理分散方法に関する。

近年、ネットワークやシステムを利用するために、当該ネットワークやシステムにアクセスしてきた利用者（ユーザ）の認証処理を行い、認証に成功したユーザに対してのみ、当該ネットワークやシステムの利用を許可するものが多くなってきている。

また、多くのユーザの認証処理を行うには認証サーバにおける処理負荷が大きくなってしまう。そのため、その処理負荷を軽減するために、複数の認証サーバを設け、ユーザプロファイルデータベースを分割して、それぞれを認証サーバが所持し、それぞれに応じた認証サーバにて認証処理を行う方式がある。

例えば、端末から送信されてきたユーザＩＤに対応する認証サーバへ、当該ユーザの認証処理を振り分ける技術が考えられている（例えば、特許文献１参照。）。

図１１は、一般的な処理分散システムの一形態を示す図である。

図１１に示した処理分散システムにおいては、利用者のユーザプロファイルデータをＲＡＤＩＵＳサーバ４０００−１〜４０００−３にそれぞれ接続されたデータベース５０００−１〜５０００−３に予め分散しておく。そのため、データベース５０００−１〜５０００−３で所持するユーザプロファイルデータに重なりを持たない状態となる。

図１１に示した処理分散システムに、当該システムを利用する利用者によってクライアント１０００から認証要求が行われると（矢印ＡＡ）、認証要求を行うためにクライアント１０００から送信された認証要求信号が分散サーバ２０００にて受信される。分散サーバ２０００では、受信された認証要求信号に含まれるＲＡＤＩＵＳのＵＳＥＲ−ＮＡＭＥアトリビュートに格納されている利用者を識別するための利用者識別情報であるユーザＩＤが抽出される。そして、抽出されたユーザＩＤに基づいて当該利用者を認証するための（当該利用者のユーザプロファイルデータが格納されたデータベースに接続された）認証サーバがＲＡＤＩＵＳサーバ４０００−１〜４０００−３の中から選択される。これは、分散サーバ２０００に接続されたデータベース３０００に予め格納されている、ユーザＩＤとＲＡＤＩＵＳサーバ４０００−１〜４０００−３それぞれを識別するための認証サーバ識別情報との対応付けに基づいて選択されるものである。

ここでは、認証要求を行った利用者を認証するための認証サーバが、ＲＡＤＩＵＳサーバ４０００−１である場合を例に挙げる。分散サーバ２０００にてＲＡＤＩＵＳサーバ４０００−１が選択され、クライアント１０００から送信された認証要求信号がＲＡＤＩＵＳサーバ４０００−１へ転送される（矢印ＢＢ）。そして、ＲＡＤＩＵＳサーバ４０００−１にて利用者の認証が行われる。
特開２００６−１１９８９号公報

しかしながら、上述した技術においては、ＥＡＰ（Extensible Authentication Protocol）−ＴＴＬＳ（Tunneled Transport Layer Security）認証方式のように、ＲＡＤＩＵＳのＵＳＥＲ−ＮＡＭＥアトリビュートに擬似ＩＤを格納する場合には、ユーザＩＤを分散サーバにて認識することができない。つまり、擬似ＩＤをＲＡＤＩＵＳのＵＳＥＲ−ＮＡＭＥアトリビュートに格納してしまうと、分散サーバにてクライアントの本来のユーザＩＤを認識することができない。そのため、分散サーバにて認証要求信号を送信した利用者を認証するための転送先の認証サーバを選択することができないという問題点がある。

また、ＲＡＤＩＵＳプロトコルの後継となるＤｉａｍｅｔｅｒプロトコルでは、Ｒｅｄｉｒｅｃｔ−Ｈｏｓｔ ＡＶＰにより、認証要求信号である認証パケットを他の認証サーバに転送する仕組みが考えられている。この仕組みにより、上述した問題点に対応することができるが、認証処理の認証手順を最初からやり直す必要があり、認証処理の効率が悪くなってしまうという問題点がある。

本発明は、上述した課題を解決する処理分散システム、認証サーバ、分散サーバ及び処理分散方法を提供することを目的とする。

上記目的を達成するために本発明は、
利用者が操作する端末と、該端末との間において前記利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う複数の認証サーバと、前記認証処理を前記複数の認証サーバのうち１つの認証サーバへ分散させる分散サーバとを有してなる処理分散システムにおいて、
前記認証サーバは、前記端末から前記分散サーバを介して送信されてきた前記利用者に固有に付与された利用者識別情報が、当該認証サーバに接続された認証データベース内に存在するかどうかを判断し、前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記利用者識別情報の転送要求を示す転送要求信号に含めて前記分散サーバへ送信し、
前記分散サーバは、前記認証サーバから送信されてきた前記転送要求信号に含まれる前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索し、前記利用者識別情報と前記ＴＬＳパラメータとを前記検索された認証サーバ識別情報が付与された認証サーバへ送信することを特徴とする。

また、端末を操作する利用者の認証を、前記端末との間において予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う認証サーバであって、
前記端末から送信されてきた認証を要求する認証要求信号を復号化し、復号化された認証要求信号から前記利用者に固有に付与された利用者識別情報を抽出する暗号化／復号化部と、
前記暗号化／復号化部にて抽出された利用者識別情報が当該認証サーバに接続された認証データベース内に存在するかどうかを判断する認証部と、
前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記利用者識別情報の転送要求を示す転送要求信号に含めて当該認証サーバに接続された分散サーバへ送信する分散サーバインタフェース部とを有する。

また、利用者が操作する端末と、該端末との間において前記利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う複数の認証サーバとに接続され、前記認証処理を前記複数の認証サーバのうち１つの認証サーバへ分散させる分散サーバであって、
前記認証サーバから送信されてきた前記利用者に固有に付与された利用者識別情報の転送要求を示す転送要求信号から前記利用者識別情報を抽出する認証サーバインタフェース部と、
前記認証サーバインタフェース部にて抽出された前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索するサーバ選択部とを有し、
前記認証サーバインタフェース部は、前記利用者識別情報と前記認証サーバから送信されてきた前記ＴＬＳパラメータとを、前記サーバ選択部にて検索された認証サーバ識別情報が付与された認証サーバへ送信する。

また、利用者が操作する端末と、該端末との間において前記利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う複数の認証サーバと、前記認証処理を前記複数の認証サーバのうち１つの認証サーバへ分散させる分散サーバとを有してなる処理分散システムにおける処理分散方法であって、
前記認証サーバが、前記端末から前記分散サーバを介して送信されてきた前記利用者に固有に付与された利用者識別情報が、当該認証サーバに接続された認証データベース内に存在するかどうかを判断する処理と、
前記認証サーバが、前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記利用者識別情報の転送要求を示す転送要求信号に含めて前記分散サーバへ送信する処理と、
前記分散サーバが、前記認証サーバから送信されてきた前記転送要求信号に含まれる前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索する処理と、
前記分散サーバが、前記利用者識別情報と前記ＴＬＳパラメータとを前記検索された認証サーバ識別情報が付与された認証サーバへ送信する処理とを有する。

以上説明したように本発明においては、端末との間において端末を利用する利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う認証サーバにて、端末から送信されてきた利用者識別情報が、当該認証サーバに接続された認証データベース内に存在しない場合、利用者識別情報とＴＬＳパラメータとを、転送要求信号に含めて当該認証サーバに接続された分散サーバへ送信し、分散サーバにて、当該分散サーバに接続された分散サーバデータベースにて転送要求信号に含まれる利用者識別情報と対応付けられた認証サーバ識別情報を検索し、利用者識別情報とＴＬＳパラメータとを検索された認証サーバ識別情報が付与された認証サーバへ送信する構成としたため、効率の良い認証処理分散を行うことができる。

以下に、本発明の実施の形態について図面を参照して説明する。

図１は、本発明の処理分散システムの実施の一形態を示す図である。

本形態は図１に示すように、クライアント１００と、分散サーバ２００と、データベース３００と、ＲＡＤＩＵＳサーバ４００−１〜４００−３と、データベース５００−１〜５００−３とから構成されている。ここで、ＲＡＤＩＵＳサーバ４００−１〜４００−３及びデータベース５００−１〜５００−３それぞれが３つずつの形態を例に挙げて説明するが、それぞれが２つまたは４つ以上のものであっても良いことは言うまでもない。

クライアント１００は、利用者が認証要求するために操作する端末であり、情報を入力するための入力機能及び通信を行うための通信機能を具備する。

分散サーバ２００は、利用者の認証処理をＲＡＤＩＵＳサーバ４００−１〜４００−３に分散する。

図２は、図１に示した分散サーバ２００の一構成例を示す図である。

図１に示した分散サーバ２００には図２に示すように、クライアントインタフェース部２０１と、ＲＡＤＩＵＳサーバインタフェース部２０２と、サーバ選択部２０３とが設けられている。なお、図２には、本発明に関わる構成要素のみを示した。

クライアントインタフェース部２０１は、図１に示したクライアント１００とのインタフェース機能を有し、クライアント１００との間にて信号の送受信を行う。クライアントインタフェース部２０１は、クライアント１００から送信されてきた信号をＲＡＤＩＵＳサーバインタフェース２０２へ出力する。また、クライアントインタフェース部２０１は、ＲＡＤＩＵＳサーバインタフェース２０２から出力された信号のうちクライアント１００へ送信すべき信号をクライアント１００へ送信する。

ＲＡＤＩＵＳサーバインタフェース部２０２は、図１に示したＲＡＤＩＵＳサーバ４００−１〜４００−３とのインタフェース機能を有し、ＲＡＤＩＵＳサーバ４００−１〜４００−３との間にて信号の送受信を行う認証サーバインタフェース部である。また、ＲＡＤＩＵＳサーバインタフェース部２０２は、ＲＡＤＩＵＳサーバ４００−１〜４００−３から認証要求信号の転送要求を示す転送要求信号が送信されてきた場合、当該転送要求信号に含まれる利用者を識別するための利用者識別情報であるユーザＩＤを抽出してサーバ選択部２０３へ出力する。また、ＲＡＤＩＵＳサーバインタフェース部２０２は、サーバ選択部２０３におけるＲＡＤＩＵＳサーバの検索結果に基づいて、ＲＡＤＩＵＳサーバ４００−１〜４００−３のいずれか１つのＲＡＤＩＵＳサーバへ認証要求信号を転送する。また、ＲＡＤＩＵＳサーバインタフェース部２０２は、クライアントインタフェース部２０１から出力された信号をＲＡＤＩＵＳサーバ４００−１〜４００−３のいずれか１つの適当なＲＡＤＩＵＳサーバへ送信する。また、ＲＡＤＩＵＳサーバインタフェース部２０２は、ＲＡＤＩＵＳサーバ４００−１〜４００−３から送信されてきた転送要求信号以外の信号をクライアントインタフェース部２０１へ出力する。

サーバ選択部２０３は、ＲＡＤＩＵＳサーバインタフェース部２０２から出力されたユーザＩＤに基づいて、データベース３００に格納されている情報を検索し、ＲＡＤＩＵＳサーバ４００−１〜４００−３のうちから認証要求信号を転送するＲＡＤＩＵＳサーバを選択する。

また、データベース３００は、分散サーバ２００に接続され、分散サーバ２００にて利用者の認証処理をどのＲＡＤＩＵＳサーバ４００−１〜４００−３に分散するかを判断する情報を格納する分散サーバデータベースである。データベース３００は、上記の情報として対応付け情報と認証サーバ情報とを格納する。

図３は、図１に示したデータベース３００に格納されている対応付け情報の一例を示す図である。また、図４は、図１に示したデータベース３００に格納されている認証サーバ情報の一例を示す図である。

図１に示したデータベース３００に格納されている対応付け情報は図３に示すように、利用者を識別するために利用者固有に付与された利用者識別情報であるユーザＩＤと、ＲＡＤＩＵＳサーバ４００−１〜４００−３を識別するためにＲＡＤＩＵＳサーバ固有に付与された認証サーバ識別情報である認証サーバ番号とが対応付けられたものである。これは、利用者のユーザプロファイルデータがどのＲＡＤＩＵＳサーバ４００−１〜４００−３にそれぞれ接続されたデータベース５００−１〜５００−３に格納されているかを示す情報である。つまり、利用者がどのＲＡＤＩＵＳサーバ４００−１〜４００−３にて認証を行えば良いかを示す情報である。

例えば、ユーザＩＤ「ユーザ１」と認証サーバ番号「サーバ１」とが対応付けられている。これは、ユーザＩＤが「ユーザ１」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ１」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ２」と認証サーバ番号「サーバ１」とが対応付けられている。これは、ユーザＩＤが「ユーザ２」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ１」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ３」と認証サーバ番号「サーバ１」とが対応付けられている。これは、ユーザＩＤが「ユーザ３」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ１」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ４」と認証サーバ番号「サーバ２」とが対応付けられている。これは、ユーザＩＤが「ユーザ４」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ２」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ５」と認証サーバ番号「サーバ２」とが対応付けられている。これは、ユーザＩＤが「ユーザ５」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ２」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ６」と認証サーバ番号「サーバ３」とが対応付けられている。これは、ユーザＩＤが「ユーザ６」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ３」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ７」と認証サーバ番号「サーバ３」とが対応付けられている。これは、ユーザＩＤが「ユーザ７」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ３」であるＲＡＤＩＵＳサーバであることを示している。また、ユーザＩＤ「ユーザ８」と認証サーバ番号「サーバ３」とが対応付けられている。これは、ユーザＩＤが「ユーザ８」である利用者の認証を行うＲＡＤＩＵＳサーバは、認証サーバ番号が「サーバ３」であるＲＡＤＩＵＳサーバであることを示している。

サーバ選択部２０３が、この対応付け情報を参照することにより、ＲＡＤＩＵＳサーバインタフェース部２０２から出力されたユーザＩＤに基づいて、当該ユーザＩＤである利用者の認証を行うＲＡＤＩＵＳサーバを選択することができる。

また、図１に示したデータベース３００に格納されている認証サーバ情報は図４に示すように、上述した認証サーバ番号と、当該認証サーバのＩＰアドレスとが対応付けられたものである。これは、利用者が認証を行うＲＡＤＩＵＳサーバのＩＰアドレスを示す情報である。

例えば、認証サーバ番号「サーバ１」とＩＰアドレス「ｘ．ｙ．ｚ．ｗ１」とが対応付けられている。これは、認証サーバ番号が「サーバ１」であるＲＡＤＩＵＳサーバのＩＰアドレスは、「ｘ．ｙ．ｚ．ｗ１」であることを示している。また、認証サーバ番号「サーバ２」とＩＰアドレス「ｘ．ｙ．ｚ．ｗ２」とが対応付けられている。これは、認証サーバ番号が「サーバ２」であるＲＡＤＩＵＳサーバのＩＰアドレスは、「ｘ．ｙ．ｚ．ｗ２」であることを示している。また、認証サーバ番号「サーバ３」とＩＰアドレス「ｘ．ｙ．ｚ．ｗ３」とが対応付けられている。これは、認証サーバ番号が「サーバ３」であるＲＡＤＩＵＳサーバのＩＰアドレスは、「ｘ．ｙ．ｚ．ｗ３」であることを示している。

サーバ選択部２０３が、この対応付け情報を参照して、当該ユーザＩＤである利用者の認証を行うＲＡＤＩＵＳサーバを選択した後、当該ＲＡＤＩＵＳサーバのＩＰアドレスを取得することができる。

また、ＲＡＤＩＵＳサーバ４００−１〜４００−３は、利用者を認証する認証サーバである。

図５は、図１に示したＲＡＤＩＵＳサーバ４００−１の一構成例を示す図である。なお、図１に示したＲＡＤＩＵＳサーバ４００−２〜４００−３についても、ＲＡＤＩＵＳサーバ４００−１と同じ構成である。

図１に示したＲＡＤＩＵＳサーバ４００−１には図５に示すように、分散サーバインタフェース部４１１と、暗号化／復号化部４１２と、認証部４１３とが設けられている。なお、図５には、本発明に関わる構成要素のみを示した。

分散サーバインタフェース部４１１は、図１に示した分散サーバ２００とのインタフェース機能を有し、分散サーバ２００との間にて信号の送受信を行う。また、分散サーバインタフェース部４１１は、クライアント１００との間で暗号通信であるＴＬＳ（Transport Layer Security）トンネル通信を行う際に、クライアント１００から暗号化されて分散サーバ２００を介して送信されてきた認証要求信号を暗号化／復号化部４１２へ出力する。また、分散サーバインタフェース部４１１は、上述した転送要求信号にＴＬＳパラメータと認証部４１３から出力されたユーザＩＤとを含めて分散サーバ２００へ送信する。ここで、ＴＬＳパラメータとは、ＴＬＳトンネル通信を行う際に、認証要求信号等の信号を暗号化／復号化するためのパラメータであり、認証に先立ち、ＲＡＤＩＵＳサーバ４００−１とクライアント１００との間におけるＴＬＳハンドシェイクにて取得済みのものである。例えば、Master-Secret（暗号鍵を生成するための乱数）やCipher-Suite（暗号アルゴリズムとハッシュアルゴリズムとの組）やCompression-Method（圧縮方法）が用いられる。また、分散サーバインタフェース部４１１は、暗号化／復号化部４１２から出力された信号を分散サーバ２００を介してクライアント１００へ送信（トンネル通信）する。

暗号化／復号化部４１２は、分散サーバインタフェース部４１１から出力された認証要求信号等の信号をＴＬＳパラメータを用いて復号化する。また、復号化された認証要求信号からユーザＩＤを抽出して認証部４１３へ出力する。また、認証部４１３から出力された認証応答信号を暗号化して分散サーバインタフェース部４１１へ出力する。

認証部４１３は、暗号化／復号化部４１２から出力された認証要求信号を認証する。具体的には、データベース５００−１を参照し、当該認証要求信号に含まれるユーザＩＤと同一のユーザＩＤがデータベース５００−１に存在する場合、認証応答信号の１つとしてパスワードを要求するパスワード要求信号を暗号化／復号化部４１２へ出力する。また、パスワード要求信号に応じたパスワードが暗号化／復号化部４１２から出力されてきた場合、当該パスワードが、データベース５００−１にて当該ユーザＩＤに対応付けられているパスワードであるかどうかを判断することによりユーザＩＤの認証を行う。暗号化／復号化部４１２から出力されてきたパスワードが、データベース５００−１にて当該ユーザＩＤに対応付けられているパスワードである場合、認証成功を示す認証応答信号を暗号化／復号化部４１２へ出力する。また、当該認証要求信号に含まれるユーザＩＤと同一のユーザＩＤがデータベース５００−１に存在しない場合、当該ユーザＩＤを分散サーバインタフェース部４１１へ出力する。

また、データベース５００−１〜５００−３は、利用者のユーザＩＤとパスワードとを対応付けて格納する認証サーバデータベースである。ここで、図１に示したデータベース３００には、図３に示した対応付け情報が格納されている場合を例に挙げて説明する。

図６は、図１に示したデータベース５００−１に格納された情報の一例を示す図である。

図１に示したデータベース５００−１に格納された情報は図６に示すように、ユーザＩＤ「ユーザ１」とパスワード「パスワード１」とが対応付けられている。これは、ユーザＩＤが「ユーザ１」である利用者のパスワードは、「パスワード１」であることを示している。また、ユーザＩＤ「ユーザ２」とパスワード「パスワード２」とが対応付けられている。これは、ユーザＩＤが「ユーザ２」である利用者のパスワードは、「パスワード２」であることを示している。また、ユーザＩＤ「ユーザ３」とパスワード「パスワード３」とが対応付けられている。これは、ユーザＩＤが「ユーザ３」である利用者のパスワードは、「パスワード３」であることを示している。データベース５００−１は、ユーザ１、ユーザ２及びユーザ３のユーザプロファイルデータを格納している。

図７は、図１に示したデータベース５００−２に格納された情報の一例を示す図である。

図１に示したデータベース５００−２に格納された情報は図７に示すように、ユーザＩＤ「ユーザ４」とパスワード「パスワード４」とが対応付けられている。これは、ユーザＩＤが「ユーザ４」である利用者のパスワードは、「パスワード４」であることを示している。また、ユーザＩＤ「ユーザ５」とパスワード「パスワード５」とが対応付けられている。これは、ユーザＩＤが「ユーザ５」である利用者のパスワードは、「パスワード５」であることを示している。データベース５００−２は、ユーザ４及びユーザ５のユーザプロファイルデータを格納している。

図８は、図１に示したデータベース５００−３に格納された情報の一例を示す図である。

図１に示したデータベース５００−３に格納された情報は図８に示すように、ユーザＩＤ「ユーザ６」とパスワード「パスワード６」とが対応付けられている。これは、ユーザＩＤが「ユーザ６」である利用者のパスワードは、「パスワード６」であることを示している。また、ユーザＩＤ「ユーザ７」とパスワード「パスワード７」とが対応付けられている。これは、ユーザＩＤが「ユーザ７」である利用者のパスワードは、「パスワード７」であることを示している。また、ユーザＩＤ「ユーザ８」とパスワード「パスワード８」とが対応付けられている。これは、ユーザＩＤが「ユーザ８」である利用者のパスワードは、「パスワード８」であることを示している。データベース５００−３は、ユーザ６、ユーザ７及びユーザ８のユーザプロファイルデータを格納している。

以下に、上述した形態における処理分散方法について説明する。まずは、クライアント１００を操作する利用者が、ユーザＩＤが「ユーザ１」である利用者である場合を例に挙げて説明する。

図９は、図１〜８に示した形態における処理分散方法のうち、利用者が、ユーザＩＤが「ユーザ１」である利用者である場合の処理分散方法を説明するためのシーケンス図である。

まず、クライアント１００とＲＡＤＩＵＳサーバ４００−１〜４００−３のいずれか１つとの間にてＴＬＳハンドシェイクを行っておく。これは、クライアント１００とＲＡＤＩＵＳサーバ４００−１〜４００−３との間にてＴＬＳトンネル通信と呼ばれる暗号通信の準備である。クライアント１００から要求信号であるAccess-Requestが分散サーバ２００へ送信されると、分散サーバ２００のＲＡＤＩＵＳサーバインタフェース部２０２にてAccess-Requestの転送先としてＲＡＤＩＵＳサーバ４００−１〜４００−３のうちから１つが決定され、転送先に決定されたＲＡＤＩＵＳサーバへAccess-Requestが転送される（ステップＳ１，Ｓ３）。この段階では擬似ＩＤが使用されているため、データベース３００を利用してユーザ１のデータを保有するＲＡＤＩＵＳサーバを決定できない。そのため、この転送先の決定方法は、ランダムに決定するものであっても良いし、ラウンドロビン等の所定の規則性を持った決定方法であっても良い。ここでは、転送先がＲＡＤＩＵＳサーバ４００−１に決定された場合を例に挙げて説明する。

転送されたAccess-RequestがＲＡＤＩＵＳサーバ４００−１にて受信されると、受信されたAccess-Requestに対応する応答信号であるAccess-Challengeが、ＲＡＤＩＵＳサーバ４００−１から分散サーバ２００を介してクライアント１００へ送信される（ステップＳ２，Ｓ４）。このＴＬＳハンドシェイクは一般的なものと同様である。また、このＴＬＳハンドシェイク時に、ＴＬＳトンネル通信を行う際に必要なＴＬＳパラメータであるMaster-SecretやCipher-SuiteやCompression-Methodがクライアント１００とＲＡＤＩＵＳサーバ４００−１との間にてやり取りされ、クライアント１００とＲＡＤＩＵＳサーバ４００−１とで取得されている。

その後、クライアント１００とＲＡＤＩＵＳサーバ４００−１との間にてトンネル内認証処理が行われる。クライアント１００から認証要求信号であるAccess-Requestが分散サーバ２００を介して送信されると（ステップＳ５）、ＲＡＤＩＵＳサーバ４００−１の分散サーバインタフェース部４１１にて受信された認証要求信号が暗号化／復号化部４１２にてＴＬＳパラメータを用いて復号化される。また、暗号化／復号化部４１２にて復号化された認証要求信号からユーザＩＤが抽出され、この段階で初めてユーザＩＤが特定される。抽出されたユーザＩＤは、暗号化／復号化部４１２から認証部４１３へ出力される。

認証部４１３にてデータベース５００−１が参照され、暗号化／復号化部４１２から出力されてきたユーザＩＤと同一のユーザＩＤがデータベース５００−１の中から検索される。ここでは、利用者が、ユーザＩＤが「ユーザ１」である利用者である場合を例に挙げているため、データベース５００−１の中に当該ユーザＩＤが検索される。

認証部４１３にてデータベース５００−１の中に当該ユーザＩＤが検索されると、認証応答信号であるAccess-Challengeが分散サーバインタフェース部４１１から分散サーバ２００を介してクライアント１００へ送信される（ステップＳ６）。

その後、クライアント１００とＲＡＤＩＵＳサーバ４００−１との間にて、パスワード等を含んだパケットが交換され、認証が完了する（ステップＳ７，Ｓ８）。

次に、クライアント１００を操作する利用者が、ユーザＩＤが「ユーザ４」である利用者である場合を例に挙げて説明する。

図１０は、図１〜８に示した形態における処理分散方法のうち、利用者が、ユーザＩＤが「ユーザ４」である利用者である場合の処理分散方法を説明するためのシーケンス図である。また、ここでは、データベース３００に格納されている認証サーバ番号が「サーバ２」であるサーバは、ＲＡＤＩＵＳサーバ４００−２とする。

まず、ステップＳ１〜Ｓ４と同様に、クライアント１００とＲＡＤＩＵＳサーバ４００−１〜４００−３のいずれか１つとの間にてＴＬＳトンネル通信と呼ばれる暗号通信の準備がＴＬＳハンドシェイクを用いて行われる（ステップＳ１１〜Ｓ１４）。これは、上述したステップＳ１〜Ｓ４における処理と同じである。また、上述した例と同様に、転送先がＲＡＤＩＵＳサーバ４００−１に決定された場合を例に挙げて説明する。

その後、クライアント１００とＲＡＤＩＵＳサーバ４００−１との間にてトンネル内認証処理が行われる。クライアント１００から認証要求信号であるAccess-Requestが分散サーバ２００を介して送信されると（ステップＳ１５、図１に示した矢印Ａ及びＢ）、ＲＡＤＩＵＳサーバ４００−１の分散サーバインタフェース部４１１にて受信された認証要求信号が暗号化／復号化部４１２にてＴＬＳパラメータを用いて復号化される。また、暗号化／復号化部４１２にて復号化された認証要求信号からユーザＩＤが抽出される。抽出されたユーザＩＤは、暗号化／復号化部４１２から認証部４１３へ出力される。

認証部４１３にてデータベース５００−１が参照され、暗号化／復号化部４１２から出力されてきたユーザＩＤと同一のユーザＩＤがデータベース５００−１の中から検索される。ここでは、利用者が、ユーザＩＤが「ユーザ４」である利用者である場合を例に挙げているため、データベース５００−１の中に当該ユーザＩＤが検索されない。

すると、認証部４１３から分散サーバインタフェース部４１１へ当該ユーザＩＤが出力される。そして、当該ユーザＩＤと上述したＴＬＳパラメータとが含まれたAccess-Rejectに転送要求を意味するアトリビュートが付与された転送要求信号が分散サーバインタフェース部４１１から分散サーバ２００へ送信される（ステップＳ１６、図１に示した矢印Ｃ）。この際のアトリビュートは、ＲＡＤＩＵＳの標準アトリビュートでは対応できないためVendor Specific Attribute にて固有のアトリビュートを使用する。必要なアトリビュートは以下の内容となる。
・Access-Rejectに付いていたら転送要求を意味する（Diameter Redirect-Host AVPと同様）。
・ＴＬＳのMaster-Secretを格納する。
・ＴＬＳのCipher-Suiteを格納する。
・ＴＬＳのCompression-Methodを格納する。
・ＴＬＳトンネル内認証にて受け取ったユーザＩＤを格納する。

ＲＡＤＩＵＳサーバ４００−１の分散サーバインタフェース部４１１から送信された転送要求信号が分散サーバ２００のＲＡＤＩＵＳサーバインタフェース部２０２にて受信されると、受信した転送要求信号からユーザＩＤがＲＡＤＩＵＳサーバインタフェース部２０２にて抽出される。抽出されたユーザＩＤは、ＲＡＤＩＵＳサーバインタフェース部２０２からサーバ選択部２０３へ出力される。

そして、サーバ選択部２０３にて、抽出されたユーザＩＤに基づいてＲＡＤＩＵＳサーバ４００−１〜４００−３から転送先のＲＡＤＩＵＳサーバが検索される。具体的には、データベース３００が参照され、データベース３００の対応付け情報から、抽出されたユーザＩＤに対応付けられた認証サーバ番号が取得される。また、サーバ選択部２０３にて、データベース３００の認証サーバ情報から、取得された認証サーバ番号のＩＰアドレスが取得される。ここでは、ユーザＩＤが「ユーザ４」であるため、認証サーバ番号「サーバ２」（ＲＡＤＩＵＳサーバ４００−２）が取得される。また、認証サーバ番号として「サーバ２」が取得されたため、ＩＰアドレス「ｘ．ｙ．ｚ．ｗ２」が取得される。取得されたＩＰアドレスが、サーバ選択部２０３からＲＡＤＩＵＳサーバインタフェース部２０２へ出力される。

そして、ＲＡＤＩＵＳサーバインタフェース部２０２にて、ＴＬＳパラメータを格納したアトリビュートとユーザＩＤを格納したアトリビュートとがAccess-Requestに付加される。その後、当該Access-RequestがＲＡＤＩＵＳサーバインタフェース部２０２から、サーバ選択部２０３から出力されたＩＰアドレスを有するＲＡＤＩＵＳサーバ４００−２へ送信される（ステップＳ１７、図１に示した矢印Ｄ）。

ＲＡＤＩＵＳサーバ４００−２にて、上記で追加されたアトリビュートがあることが判別されると、共に追加されたＴＬＳパラメータを流用することによりクライアント１００とＲＡＤＩＵＳサーバ４００−２の間でハンドシェイクを行い直す必要がなく、ＴＬＳハンドシェイク後の認証パケットでＴＬＳトンネル内認証の開始として扱う。ＲＡＤＩＵＳサーバ４００−２から認証結果が分散サーバ２００を介してクライアント１００へ送信される（ステップＳ１８、図１に示した矢印Ｅ，Ｆ）。以後、クライアント１００、分散サーバ２００、ＲＡＤＩＵＳサーバ４００−２の間でパケットが交換され（ステップＳ１９，Ｓ２０）、認証が完了する。

なお、ユーザＩＤは、利用者固有に付与されたものを例に挙げて説明したが、クライアント１００の端末固有に付与されたものであっても良い。

また、データベース３００は、分散サーバ２００に含まれるものであっても良い。また、データベース５００−１〜５００−３それぞれは、ＲＡＤＩＵＳサーバ４００−１〜４００−３それぞれに含まれるものであっても良い。

以上説明したように、ＥＡＰ−ＴＴＬＳ認証方式のようにメッセージ交換の初期段階ではユーザＩＤを認識することができない場合に、ＴＬＳハンドシェイクで得た情報を転送することにより、認証手順を最初からやり直すことなく、他の認証サーバにて認証を継続できるため、効率よく処理分散が行うことができる。

本発明の処理分散システムの実施の一形態を示す図である。 図１に示した分散サーバの一構成例を示す図である。 図１に示したデータベースに格納されている対応付け情報の一例を示す図である。 図１に示したデータベースに格納されている認証サーバ情報の一例を示す図である。 図１に示したＲＡＤＩＵＳサーバの一構成例を示す図である。 図１に示したデータベースに格納された情報の一例を示す図である。 図１に示したデータベースに格納された情報の一例を示す図である。 図１に示したデータベースに格納された情報の一例を示す図である。 図１〜８に示した形態における処理分散方法のうち、利用者が、ユーザＩＤが「ユーザ１」である利用者である場合の処理分散方法を説明するためのシーケンス図である。 図１〜８に示した形態における処理分散方法のうち、利用者が、ユーザＩＤが「ユーザ４」である利用者である場合の処理分散方法を説明するためのシーケンス図である。 一般的な処理分散システムの一形態を示す図である。

符号の説明

１００ クライアント
２００ 分散サーバ
２０１ クライアントインタフェース部
２０２ ＲＡＤＩＵＳサーバインタフェース部
２０３ サーバ選択部
３００，５００−１〜５００−３ データベース
４００−１〜４００−３ ＲＡＤＩＵＳサーバ
４１１ 分散サーバインタフェース部
４１２ 暗号化／復号化部
４１３ 認証部

Claims (11)

1. 利用者が操作する端末と、該端末との間において前記利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う複数の認証サーバと、前記認証処理を前記複数の認証サーバのうち１つの認証サーバへ分散させる分散サーバとを有してなる処理分散システムにおいて、
   前記認証サーバは、前記端末から前記分散サーバを介して送信されてきた前記利用者に固有に付与された利用者識別情報が、当該認証サーバに接続された認証データベース内に存在するかどうかを判断し、前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記利用者識別情報の転送要求を示す転送要求信号に含めて前記分散サーバへ送信し、
   前記分散サーバは、前記認証サーバから送信されてきた前記転送要求信号に含まれる前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索し、前記利用者識別情報と前記ＴＬＳパラメータとを前記検索された認証サーバ識別情報が付与された認証サーバへ送信することを特徴とする処理分散システム。
2. 請求項１に記載の処理分散システムにおいて、
   前記認証サーバは、前記端末から前記分散サーバを介して送信されてきた認証を要求する認証要求信号から前記利用者識別情報を抽出し、前記抽出された利用者識別情報が前記認証データベース内に存在するかどうかを判断することを特徴とする処理分散システム。
3. 請求項２に記載の処理分散システムにおいて、
   前記認証サーバは、
   前記端末から前記分散サーバを介して送信されてきた前記認証要求信号を復号化し、復号化された認証要求信号から前記利用者識別情報を抽出する暗号化／復号化部と、
   前記暗号化／復号化部にて抽出された利用者識別情報が前記認証データベース内に存在するかどうかを判断する認証部と、
   前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記転送要求信号に含めて前記分散サーバへ送信する分散サーバインタフェース部とを有し、
   前記分散サーバは、
   前記認証サーバから送信されてきた前記転送要求信号から前記利用者識別情報を抽出する認証サーバインタフェース部と、
   前記認証サーバインタフェース部にて抽出された前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索するサーバ選択部とを有し、
   前記認証サーバインタフェース部は、前記サーバ選択部にて検索された認証サーバ識別情報が付与された認証サーバへ前記利用者識別情報と前記ＴＬＳパラメータとを送信することを特徴とする処理分散システム。
4. 請求項１または請求項２に記載の処理分散システムにおいて、
   前記認証サーバは、前記認証サーバデータベースを具備することを特徴とする処理分散システム。
5. 請求項１または請求項２に記載の処理分散システムにおいて、
   前記分散サーバは、前記分散サーバデータベースを具備することを特徴とする処理分散システム。
6. 端末を操作する利用者の認証を、前記端末との間において予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う認証サーバであって、
   前記端末から送信されてきた認証を要求する認証要求信号を復号化し、復号化された認証要求信号から前記利用者に固有に付与された利用者識別情報を抽出する暗号化／復号化部と、
   前記暗号化／復号化部にて抽出された利用者識別情報が当該認証サーバに接続された認証データベース内に存在するかどうかを判断する認証部と、
   前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記利用者識別情報の転送要求を示す転送要求信号に含めて当該認証サーバに接続された分散サーバへ送信する分散サーバインタフェース部とを有する認証サーバ。
7. 請求項６に記載の認証サーバにおいて、
   前記認証サーバデータベースを具備することを特徴とする認証サーバ。
8. 利用者が操作する端末と、該端末との間において前記利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う複数の認証サーバとに接続され、前記認証処理を前記複数の認証サーバのうち１つの認証サーバへ分散させる分散サーバであって、
   前記認証サーバから送信されてきた前記利用者に固有に付与された利用者識別情報の転送要求を示す転送要求信号から前記利用者識別情報を抽出する認証サーバインタフェース部と、
   前記認証サーバインタフェース部にて抽出された前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索するサーバ選択部とを有し、
   前記認証サーバインタフェース部は、前記利用者識別情報と前記認証サーバから送信されてきた前記ＴＬＳパラメータとを、前記サーバ選択部にて検索された認証サーバ識別情報が付与された認証サーバへ送信する分散サーバ。
9. 請求項８に記載の分散サーバにおいて、
   前記分散サーバデータベースを具備することを特徴とする分散サーバ。
10. 利用者が操作する端末と、該端末との間において前記利用者の認証処理を予め取得したＴＬＳパラメータを用いたＴＬＳトンネル内認証によって行う複数の認証サーバと、前記認証処理を前記複数の認証サーバのうち１つの認証サーバへ分散させる分散サーバとを有してなる処理分散システムにおける処理分散方法であって、
    前記認証サーバが、前記端末から前記分散サーバを介して送信されてきた前記利用者に固有に付与された利用者識別情報が、当該認証サーバに接続された認証データベース内に存在するかどうかを判断する処理と、
    前記認証サーバが、前記利用者識別情報が前記認証データベース内に存在しないと判断した場合、前記利用者識別情報と前記ＴＬＳパラメータとを、前記利用者識別情報の転送要求を示す転送要求信号に含めて前記分散サーバへ送信する処理と、
    前記分散サーバが、前記認証サーバから送信されてきた前記転送要求信号に含まれる前記利用者識別情報に基づいて、当該分散サーバに接続された分散サーバデータベースにて前記利用者識別情報と対応付けられた認証サーバ識別情報を検索する処理と、
    前記分散サーバが、前記利用者識別情報と前記ＴＬＳパラメータとを前記検索された認証サーバ識別情報が付与された認証サーバへ送信する処理とを有する処理分散方法。
11. 請求項１０に記載の処理分散方法において、
    前記認証サーバが、前記端末から前記分散サーバを介して送信されてきた認証を要求する認証要求信号から前記利用者識別情報を抽出する処理と、
    前記認証サーバが、前記抽出された利用者識別情報が前記認証データベース内に存在するかどうかを判断する処理とを有することを特徴とする処理分散方法。

Images