JP2009211374A - Ｖｐｎ多重帰属システムおよび認証制御方法 - Google Patents

Abstract

【課題】複数のＶＰＮ内のアプリケーションサーバに対する、ユーザのログインに関する処理負荷を軽減する。
【解決手段】ユーザ端末と、それぞれアプリケーションサーバを収容する複数のＶＰＮと、ＶＰＮ終端装置とを有するＶＰＮ多重帰属システムであって、前記ＶＰＮ終端装置は、共通機能と、前記複数のＶＰＮ毎に設けられ前記１つのＶＰＮを終端する複数の仮想端末通信機能とを有し、前記共通機能は、前記ユーザ端末からログイン要求を受信し、当該ログイン要求をおこなったユーザの認証を行う手段と、前記ユーザ端末から前記各ＶＰＮに対する接続要求を前記各仮想端末通信機能に送信する手段と、前記各仮想端末通信機能を介して前記各アプリケーションサーバから認証要求を受信した場合に、当該ユーザが既に認証済みであるので、再度認証処理を行わずに認証結果を許可と判定する手段と、前記認証結果を前記各アプリケーションサーバに送信する手段とを有する。
【選択図】図１

Description

本発明は、ＶＰＮ多重帰属システムおよび認証制御方法に係り、特に、単一のユーザ端末から複数のＶＰＮ（Virtual Private Network）に対して同時にアクセスし、各ＶＰＮ内のアプリケーションサーバに対してログインをする際に、認証処理を一度実施することで、個別のアプリケーションサーバ毎に認証を行うことなく、複数のＶＰＮ内に存在するアプリケーションサーバの利用が可能となる技術に関する。

インターネット上や企業のイントラネット内で複数のシステムやアプリケーションサーバにアクセスしログインする際に、通常、ユーザは各システムまたは各アプリケーションサーバ毎に、ＩＤやパスワードに代表される認証情報をその都度要求され、認証処理を行った上でログインが可能となる。
このような煩雑な手順を解消するために、複数のシステムやサーバにアクセスする場合においても、ユーザは一度認証処理を実施するだけで、その後の認証処理を自動化することを可能とする方法が、ＳＳＯ（Single Sign-on）技術として、複数の方式が公開されている。
一方、企業のイントラネットの実現方法として、ＶＰＮ（Virtual Private Network）が広く利用されている。ＶＰＮは、物理的には一つのネットワークを論理的には完全に分離することで、仮想的な専用網を構成することを可能とする技術である。
一般的に、個々のＶＰＮは、ある目的毎に閉じたクローズド・ネットワークであり、内部に設置されたシステムやサーバは、他のＶＰＮやインターネットなどの外部ネットワークからアクセスすることはできない。
外部ネットワークからＶＰＮ内のシステムやサーバにアクセスするための方法としては、ＶＰＮにアクセスするためのゲートウェイ装置等に対して一度認証処理等を行いログインした上で、ＶＰＮ内の当該システムおよびサーバにアクセスする方法が挙げられる。
下記特許文献１には、この際の手順を簡略化するために、単一のネットワーク内の複数のサーバに対して順次認証処理が発生する場合に、当該ネットワークへのアクセスを可能とするゲートウェイと、前記ネットワーク内のサービスサーバに対するＳＳＯ機能を提供する発明が記載されている。

なお、本願発明に関連する先行技術文献としては以下のものがある。
特開２００４−１３３８２４号公報

しかしながら、従来のＳＳＯ技術には、以下のような課題がある。
従来のＳＳＯ技術は、インターネットやイントラネットなど単一のネットワーク内で、あるユーザ端末から複数のサーバやシステムに対するアクセスに対してＳＳＯ機能を提供するものであり、認証を行うユーザ端末や、アプリケーションサーバ、認証機能を有する認証管理サーバが同一ネットワーク上に存在し、相互に通信できる必要があり、複数のＶＰＮ内に設置されたシステムやサーバに対して、相互通信の不可能な外部ネットワークから一度の認証でアクセスすることはできなかった。また、ログイン要求自体はユーザが行う必要があり、接続先が増加するにつれて煩雑となっていた。
さらに、前述の特許文献１に記載による方法では、インターネットから特定のネットワーク内のサービスサーバに対して一度の認証でログインすることを可能としているが、複数のネットワークに対して同時にアクセスし、各ネットワーク内のサービスサーバに対してログインすることは考慮されておらず、複数のネットワークに同時にアクセスする場合はネットワーク毎に個別にログイン処理およびそれに伴う認証処理を行う必要があった。
本発明は、前記従来技術の問題点を解決するためになされたものであり、本発明の目的は、ＶＰＮ多重帰属システムおよびその認証制御方法において、複数のＶＰＮ内のアプリケーションサーバに対する、ユーザのログインに関する処理負荷を軽減するための技術を提供することにある。
本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面によって明らかにする。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、下記の通りである。
（１）ユーザ端末と、それぞれアプリケーションサーバを収容する複数のＶＰＮと、前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムであって、前記ＶＰＮ終端装置は、共通機能と、前記複数のＶＰＮ毎に設けられ前記１つのＶＰＮを終端する複数の仮想端末通信機能とを有し、前記共通機能は、前記ユーザ端末からログイン要求を受信し、当該ログイン要求をおこなったユーザの認証を行う手段と、前記ユーザ端末から前記各ＶＰＮに対する接続要求を前記各仮想端末通信機能に送信する手段と、前記各仮想端末通信機能を介して前記各アプリケーションサーバから認証要求を受信した場合に、当該ユーザが既に認証済みであるので、再度認証処理を行わずに認証結果を許可と判定する手段と、前記認証結果を前記各アプリケーションサーバに送信する手段とを有する。

（２）（１）において、前記共通機能は、アクセス制御機能と認証情報管理機能とを有し、前記アクセス制御機能は、前記ユーザ端末からログイン要求を受信し、前記ユーザ端末に対して前記認証情報管理機能へ認証要求の転送を要求する手段と、前記認証情報管理機能からの認証結果を受信し、前記ユーザからのログイン要求を許可する手段と、前記各仮想端末通信機能を有効化する有効化手段と、前記各ＶＰＮに対する接続要求を送信する送信手段とを有し、前記認証情報管理機能は、前記ユーザ端末から前記認証要求を受信する手段と、前記受信した認証要求のユーザが未認証の場合は、当該ユーザの認証処理を行い、当該ユーザが既に認証済みである場合には、再度認証処理を行わずに認証結果を許可と判定する手段とを有し、各仮想端末通信機能は、前記終端している前記ＶＰＮに対する接続要求を受信し、前記終端している前記ＶＰＮに収容されている前記アプリケーションサーバにログイン要求を送信する手段と、前記アプリケーションサーバから認証要求の転送要求を受信し、当該認証要求を前記認証情報管理機能に転送する手段と、認証情報管理機能から認証結果の転送要求を受信した場合に、当該認証結果を前記アプリケーションサーバに転送する手段とを有し、前記アプリケーションサーバは、ログイン要求を受け付けた場合に、要求元に対して、前記認証情報管理機能へ認証要求の転送を要求する手段と、前記認証情報管理機能からの応答を受信し、前記ユーザからのログイン要求を許可する手段とを有する。

（３）（２）において、前記ユーザの前記アクセス制御機能に対するログイン処理が完了した状態において、前記アクセス制御機能は、前記ユーザ端末から１つのＶＰＮに対する接続要求を受信すると、前記アクセス制御機能の前記有効化手段は、当該ＶＰＮを終端する前記仮想端末通信機能を有効化し、前記アクセス制御機能の前記送信手段は、前記１つのＶＰＮに対して前記ユーザ端末からの接続要求を転送する。
（４）（２）において、前記ユーザの前記アクセス制御機能に対するログイン処理が完了後、前記アクセス制御機能の前記有効化手段は、当該ユーザがアクセス可能な全ＶＰＮに対して、当該ＶＰＮを終端する全ての仮想端末通信機能を有効化し、前記アクセス制御機能の前記送信手段は、前記ユーザがアクセス可能な全ＶＰＮに対して接続要求を送信する。

（５）ユーザ端末と、それぞれアプリケーションサーバを収容する複数のＶＰＮと、前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムにおける認証制御方法であって、前記ＶＰＮ終端装置は、共通機能と、前記複数のＶＰＮ毎に設けられ前記１つのＶＰＮを終端する複数の仮想端末通信機能とを有し、前記共通機能が、前記ユーザ端末からログイン要求を受信し、当該ログイン要求をおこなったユーザの認証を行う工程と、前記ユーザ端末から前記各ＶＰＮに対する接続要求を前記各仮想端末通信機能に送信する工程と、前記各仮想端末通信機能を介して前記各アプリケーションサーバから認証要求を受信し、当該ユーザが既に認証済みであるので、再度認証処理を行わずに認証結果を許可と判定する工程と、前記認証結果を前記各アプリケーションサーバに送信する工程とを有する。

（６）ユーザ端末と、それぞれアプリケーションサーバを収容する複数のＶＰＮと、前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムにおける認証制御方法であって、前記ユーザ端末が、前記ＶＰＮ終端装置内のアクセス制御機能にログイン要求を送信する工程と、前記アクセス制御機能が、前記ユーザ端末からログイン要求を受信し、前記ユーザ端末に対して前記ＶＰＮ終端装置内の認証情報管理機能へ認証要求の転送を要求する工程と、前記ユーザ端末が、受信した認証要求を前記認証情報管理機能へ転送する工程と、前記認証情報管理機能が、前記ユーザ端末からの認証要求を受信し、当該認証要求のユーザが未認証の場合は、当該ユーザの認証処理を行い、認証結果を要求元へ転送することを要求する工程と、前記ユーザ端末が、前記受信した認証結果を前記アクセス制御機能へ転送する工程と、前記アクセス制御機能が、前記認証結果を受信し、ユーザからのログイン要求を許可する工程と、前記アクセス制御機能が、前記ユーザ端末から１つのＶＰＮに対する接続要求を受信し、前記１つのＶＰＮを終端する前記仮想端末通信機能を有効化し、前記１つのＶＰＮに対して前記ユーザ端末からの接続要求を転送する工程と、前記１つのＶＰＮを終端する前記仮想端末機能が、前記１つのＶＰＮに対する接続要求を受信し、当該ＶＰＮに収容されているアプリケーションサーバにログイン要求を送信する工程と、前記アプリケーションサーバが、ログイン要求を受け付け、対応する前記仮想端末機能に対して認証情報管理機能へ認証要求の転送を要求する工程と、前記１つのＶＰＮを終端する前記仮想端末機能が、前記アプリケーションサーバからの認証要求の転送要求を受信し、当該認証要求を前記認証情報管理機能に転送する工程と、前記認証情報管理機能が、当該ユーザが既に認証済みであるため、再度認証処理を行わずに認証結果を許可と判定し、認証結果を要求元のアプリケーションサーバへ転送することを前記１つのＶＰＮを終端する前記仮想端末機能に要求する工程と、前記１つのＶＰＮを終端する前記仮想端末機能が、受信した認証結果を前記アプリケーションサーバに転送する工程と、前記アプリケーションサーバが、前記ユーザからのログイン要求を許可する工程とを有する。

（７）ユーザ端末と、それぞれアプリケーションサーバを収容する複数のＶＰＮと、前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムにおける認証制御方法であって、前記ユーザ端末が、前記ＶＰＮ終端装置内のアクセス制御機能にログイン要求を送信する工程と、前記アクセス制御機能が、前記ユーザ端末からログイン要求を受信し、前記ユーザ端末に対して前記ＶＰＮ終端装置内の認証情報管理機能へ認証要求の転送を要求する工程と、前記ユーザ端末が、受信した認証要求を前記認証情報管理機能へ転送する工程と、前記認証情報管理機能が、前記ユーザ端末からの認証要求を受信し、当該認証要求のユーザが未認証の場合は、当該ユーザの認証処理を行い、認証結果を要求元へ転送することを要求する工程と、前記ユーザ端末が、前記受信した認証結果を前記アクセス制御機能へ転送する工程と、前記アクセス制御機能が、前記認証結果を受信し、ユーザからのログイン要求を許可する工程と、前記アクセス制御機能が、前記ユーザがアクセス可能な全ＶＰＮに対して、前記ユーザがアクセス可能な全ＶＰＮを終端する全ての仮想端末通信機能を有効化した後、前記ユーザがアクセス可能な全ＶＰＮに対して接続要求を送信する工程と、接続要求を受信した前記各仮想端末機能が、終端している前記ＶＰＮに収容されている前記アプリケーションサーバにログイン要求を送信する工程と、前記アプリケーションサーバは、ログイン要求を受け付け、それぞれ対応する前記仮想端末機能に対して前記認証情報管理機能へ認証要求の転送を要求する工程と、前記各仮想端末機能が、前記アプリケーションサーバからの認証要求の転送要求を受信し、当該認証要求を前記認証情報管理機能に転送する工程と、前記認証情報管理機能が、当該ユーザが既に認証済みであるため、再度認証処理を行わずに認証結果を許可と判定し、認証結果を要求元の前記アプリケーションサーバへ転送することを前記各仮想端末機能に要求する工程と、前記各仮想端末機能が、受信した認証結果を前記アプリケーションサーバに転送する工程と、前記アプリケーションサーバが、前記ユーザからのログイン要求を許可する工程とを有する。

本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば、下記の通りである。
本発明のＶＰＮ多重帰属システムおよびその認証制御方法によれば、複数のＶＰＮ内のアプリケーションサーバに対する、ユーザのログインに関する処理負荷を軽減することが可能となる。

以下、図面を参照して本発明の実施例を詳細に説明する。
なお、実施例を説明するための全図において、同一機能を有するものは同一符号を付け、その繰り返しの説明は省略する。
［実施例１］
図１は、本発明の実施例のＶＰＮ多重帰属システムの概略構成を示すブロック図である。 図１に示すように、ユーザ端末１−１は、ＶＰＮ終端装置１−２と接続され、ＶＰＮ終端装置は複数のＶＰＮ（ＶＰＮ（ａ）１−３ａ、ＶＰＮ（ｂ）１−３ｂ、ＶＰＮ（ｃ）１−３ｃ）と接続され、各ＶＰＮにはそれぞれアプリケーションサーバ（ａ）１−４ａ、アプリケーションサーバ（ｂ）１−４ｂ、アプリケーションサーバ（ｃ）１−４ｃが接続されている。
ユーザ端末間とＶＰＮ終端装置１−２との間の接続はＴＣＰ／ＩＰによるネットワークで接続されている接続形態でよく、従って、インターネット経由による接続やＩＰ−ＶＰＮ、Ｉｎｔｅｒｎｅｔ−ＶＰＮ経由による接続でもよい。
アプリケーションサーバ１−４ａ〜ｃとＶＰＮ終端装置１−２は、インターネットＶＰＮやＩＰ−ＶＰＮを用いて構成されたＶＰＮ１−３ａ〜ｃによって接続されている。このＶＰＮは、論理的にネットワークを独立に構成することが出来ればよいため、キャリアの広域イーサネットサービスなどで構成されていてもよい。
また、図１では、各ＶＰＮにアプリケーションサーバが１台の場合の構成例を図示しているが、同一ＶＰＮ内に複数のアプリケーションサーバが存在する場合も以下に説明する本実施例と同様な工程で本発明を実施することが可能である。

ＶＰＮ終端装置１−２には、共通通信機能１−６と仮想端末通信機能１−５ａ〜ｃがあり、さらに共通通信機能１−６内には、認証情報管理機能１−７とアクセス制御機能１−８がある。
仮想端末通信機能１−５ａ〜ｃは、それぞれＶＰＮ１−３ａ〜ｃを終端し、対応するアプリケーションサーバ１−４ａ〜ｃと通信する機能を有しており、ＶＰＮ終端装置１−２内では共通通信機能１−６と通信する機能を有している。
ユーザ端末は、例えば、ＯＳをＷｉｎｄｏｗｓとするＰＣ端末でよく、ＷｅｂアプリケーションサーバにアクセスするためのＷｅｂブラウザ機能を有している。
アプリケーションサーバは、例えば、ＯＳをＬｉｎｕｘとするＷｅｂアプリケーションサーバでよく、本発明による認証制御機能を有している。
また、ＶＰＮ終端装置、ユーザ端末、アプリケーションサーバは、上述した各機能に加えて、ＣＰＵ、メモリ、ハードディスクといったデバイスを備えているものとする。また、各機能はＣＰＵによって処理されるプログラムのモジュールであってもよい。
以上説明したように、本実施例によれば、ＶＰＮ終端装置内の共通通信機能１−６に認証情報管理機能１−７を配備することで、各ＶＰＮ内のアプリケーションサーバと認証情報管理機能１−７の相互通信と、ユーザ端末１−１と認証情報管理機能１−７の相互通信を可能とすることができる。
また、ＶＰＮ終端装置内の共通通信機能１−７にアクセス制御機能１−８を配備することで、ユーザ端末１−１からＶＰＮにアクセスする際に認証処理を行うことが可能となり、ＶＰＮに対するアクセスを制御することが可能となる。

まず、図１のシステム構成において、ユーザ端末１−１からＶＰＮ終端装置１−２にログインし、その後、アプリケーションサーバ（ａ）１−４ａ、アプリケーションサーバ（ｂ）１−４ｂにログインする場合の動作例を図２により説明する。
まず、ユーザ端末２−１は、ユーザのＷｅｂブラウザの操作により、ＶＰＮ終端装置２−８のアクセス制御機能２−２にログイン要求２−１０を送信する。
アクセス制御機能２−２は、ログイン要求２−１０を受信すると、認証情報管理機能２−３に対して共通鍵の共有処理２−１１を行い、ユーザ端末２−１に対して認証情報管理機能２−３に認証要求をリダイレクトする要求２−１２を送信する。
ユーザ端末２−１は、リダイレクト要求２−１２を受信すると、認証要求２−１３を認証情報管理機能２−３に転送する。
認証情報管理機能２−３は、認証要求２−１３を受信すると、当該ユーザの認証処理２−１４を、例えば、ログインＩＤとパスワードをユーザに入力させることによって実施し、認証結果をリダイレクト要求２−１５としてユーザ端末２−１に返答する。
ユーザ端末２−１は、認証結果２−１６をアクセス制御機能２−２に転送する。
結果として、アクセス制御機能２−２が認証結果２−１６を受信し、結果が許可であれば、当該ユーザのＶＰＮ終端装置２−８へのログイン処理２−１７を行い、ユーザ端末２−１から各ＶＰＮへのアクセスが可能な状態となる。
その後、ユーザ端末２−１がユーザのＷｅｂブラウザの操作により、ＶＰＮ（ａ）に対する接続要求２−２０をアクセス制御機能２−２に送信すると、アクセス制御機能２−２は、ＶＰＮ（ａ）を終端する仮想端末機能（ａ）２−４を有効化した後、当該接続要求２−２０を仮想端末機能（ａ）２−４に転送する。

次に、仮想端末機能（ａ）２−４は、ＶＰＮ（ａ）内のアプリケーションサーバ（ａ）２−６に対して、ログイン要求２−２１を送信する。
アプリケーションサーバ（ａ）２−６は、ログイン要求２−２１を受信すると、認証情報管理機能２−３に対して共通鍵の共有処理２−２２を行い、仮想端末機能（ａ）２−４に対して、認証情報管理機能２−３に認証要求をリダイレクトする要求２−２３を送信する。仮想端末機能（ａ）２−４は、リダイレクト要求２−２３を受信すると、認証要求２−２３を認証情報管理機能２−３に転送する。
認証情報管理機能２−３は、認証要求２−２３を受信すると、当該ユーザが既に前述の認証処理２−１４で認証済みであるため、許可判定２−２５を行い、認証結果をリダイレクト要求２−２６として仮想端末機能（ａ）２−４に返答する。
仮想端末機能（ａ）２−４は、認証結果２−２７をアプリケーションサーバ（ａ）２−６に転送する。
最終的にアプリケーションサーバ（ａ）２−６が認証結果２−２７を受信し、結果が許可であるため、当該ユーザのアプリケーションサーバ（ａ）２−６へのログイン処理２−２８を行い、ユーザ端末２−１からＶＰＮ（ａ）内のアプリケーションサーバ（ａ）２−６の利用が可能となる。
なお、前述の説明では、ＶＰＮ（ａ）内にアプリケーションサーバが１台の場合について説明したが、複数台ある場合でも、前述のログイン要求２−２１から当該アプリケーションサーバへのログイン処理２−２８を各アプリケーションサーバに対して繰り返し実行すればよい。

次に、ユーザ端末２−１がユーザのＷｅｂブラウザの操作により、ＶＰＮ（ｂ）に対する接続要求２−３０をアクセス制御機能２−２に送信すると、アクセス制御機能２−２は、ＶＰＮ（ｂ）を終端する仮想端末機能（ｂ）２−５を有効化した後、当該接続要求２−３０を仮想端末機能（ｂ）２−５に転送する。
次に、仮想端末機能（ｂ）２−５は、ＶＰＮ（ｂ）内のアプリケーションサーバ（ｂ）２−７に対して、ログイン要求２−３１を送信する。アプリケーションサーバ（ｂ）２−７は、ログイン要求２−３１を受信すると、認証情報管理機能２−３に対して共通鍵の共有処理２−３２を行い、仮想端末機能（ｂ）２−５に対して認証情報管理機能２−３に認証要求をリダイレクトする要求２−３３を送信する。
仮想端末機能（ｂ）２−５は、リダイレクト要求２−３３を受信すると、認証要求２−３４を認証情報管理機能２−３に転送する。
認証情報管理機能２−３は、認証要求２−３４を受信すると、当該ユーザが既に前述の認証処理２−１４で認証済みであるため、許可判定２−３５を行い、認証結果をリダイレクト要求２−３６として仮想端末機能（ｂ）２−５に返答する。
仮想端末機能（ｂ）２−５は、認証結果２−３７をアプリケーションサーバ（ｂ）２−７に転送する。
最終的にアプリケーションサーバ（ｂ）２−７が認証結果２−３７を受信し、結果が許可であるため、当該ユーザのアプリケーションサーバ（ｂ）２−７へのログイン処理２−３８を行い、ユーザ端末２−１からＶＰＮ（ｂ）内のアプリケーションサーバ（ｂ）２−７の利用が可能となる。

なお、前述の説明では、ＶＰＮ（ｂ）内にアプリケーションサーバが１台の場合について説明したが、複数台ある場合でも、上述のログイン要求２−３１から当該アプリケーションサーバへのログイン処理２−３８を各アプリケーションサーバに対して繰り返し実行すればよい。
また、本実施例では、ユーザがＶＰＮ（ａ）に対する接続要求を送信し、その後ＶＰＮ（ｂ）に対する接続要求を送信する場合について説明したが、その後、ＶＰＮ（ｃ）やその他複数のＶＰＮに対して接続する場合も同様に認証制御を行うことで、ＶＰＮ終端装置がログイン処理および認証処理を代行することとなり、ユーザのログイン処理に関する負荷が軽減される。
以上説明したように、本実施例によれば、単一のユーザ端末２−１から複数のＶＰＮ内の複数のアプリケーションサーバにアクセスする際に、ＶＰＮ終端装置２−８に対する認証処理を一度実施することで、その後は、接続したいＶＰＮに対する接続要求を送信するだけで、各ＶＰＮ内のアプリケーションサーバへのログインが可能となり、ユーザが複数のＶＰＮに同時にアクセスする場合に、ユーザのログイン処理を簡略化することが可能となる。

［実施例２］
次に、実施例２として、図１のシステム構成において、ユーザ端末１−１からＶＰＮ終端装置１−２にログインし、その後、アプリケーションサーバ（ａ）１−４ａ、アプリケーションサーバ（ｂ）１−４ｂにログインする場合の動作例を図３により説明する。
本実施例では、ユーザはＶＰＮ終端装置に１回ログインすると、全てのアプリケーションサーバに向けてアクセス制御装置から自動的にログイン要求行う。なお、アクセス制御装置からの自動ログイン要求は、全てのアプリケーションサーバに向けて行う必要はなく、特定のアプリケーションサーバに対して選択的に行うようにしてもよい。
まず、ユーザ端末３−１は、ユーザのＷｅｂブラウザの操作により、ＶＰＮ終端装置３−８のアクセス制御機能３−２にログイン要求３−１０を送信する。
アクセス制御機能３−２は、ログイン要求３−１０を受信すると、認証情報管理機能３−３に対して共通鍵の共有処理３−１１を行い、ユーザ端末３−１に対して認証情報管理機能３−３に認証要求をリダイレクトする要求３−１２を送信する。
ユーザ端末３−１は、リダイレクト要求３−１２を受信すると、認証要求３−１３を認証情報管理機能３−３に転送する。
認証情報管理機能３−３は、認証要求３−１３を受信すると、当該ユーザの認証処理３−１４を、例えば、ログインＩＤと、パスワードをユーザに入力させることによって実施し、認証結果をリダイレクト要求３−１５としてユーザ端末３−１に返答する。
ユーザ端末３−１は、認証結果３−１６をアクセス制御機能３−２に転送する。
結果として、アクセス制御機能３−２が認証結果３−１６を受信し、結果が許可であれば、当該ユーザのＶＰＮ終端装置へのログイン処理３−１７を行い、ユーザ端末３−１から各ＶＰＮへのアクセスが可能な状態となる。

続いて、アクセス制御機能３−２は、ユーザがＶＰＮ（ａ）、ＶＰＮ（ｂ）およびＶＰＮ（ｃ）にアクセス可能である場合、ＶＰＮ（ａ）を終端する仮想端末機能（ａ）３−４を有効化した後、ＶＰＮ（ａ）に対する接続要求３−２０を仮想端末機能（ａ）３−４に転送する。
次に、仮想端末機能（ａ）３−４は、ＶＰＮ（ａ）内のアプリケーションサーバ（ａ）３−６に対して、ログイン要求３−２１を送信する。アプリケーションサーバ（ａ）３−６は、ログイン要求３−２１を受信すると、認証情報管理機能３−３に対して共通鍵の共有処理３−２２を行い、仮想端末機能（ａ）３−４に対して認証情報管理機能３−３に認証要求をリダイレクトする要求３−２３を送信する。
仮想端末機能（ａ）３−４は、リダイレクト要求３−２３を受信すると、認証要求３−２４を認証情報管理機能３−３に転送する。
認証情報管理機能３−３は、認証要求３−２４を受信すると、当該ユーザが既に前述の認証処理３−１４で認証済みであるため、許可判定３−２５を行い、認証結果をリダイレクト要求３−２６として仮想端末機能（ａ）３−４に返答する。
仮想端末機能（ａ）３−４は、認証結果３−２７をアプリケーションサーバ（ａ）３−６に転送する。
最終的にアプリケーションサーバ（ａ）３−６が認証結果３−２７を受信し、結果が許可であるため、当該ユーザのアプリケーションサーバ（ａ）３−６へのログイン処理３−２８を行い、ユーザ端末３−１からＶＰＮ（ａ）内のアプリケーションサーバ（ａ）３−６の利用が可能となる。
なお、前述の説明では、ＶＰＮ（ａ）内にアプリケーションサーバが１台の場合について説明したが、複数台ある場合でも、前述のログイン要求３−２１から当該アプリケーションサーバへのログイン処理３−２８を各アプリケーションサーバに対して繰り返し実行すればよい。

続いて、アクセス制御機能３−２は、ＶＰＮ（ｂ）を終端する仮想端末機能（ｂ）３−５を有効化した後、当該接続要求３−３０を仮想端末機能（ｂ）３−５に転送する。
次に、仮想端末機能（ｂ）３−５は、ＶＰＮ（ｂ）内のアプリケーションサーバ（ｂ）３−７に対して、ログイン要求３−３１を送信する。
アプリケーションサーバ（ｂ）３−７は、ログイン要求３−３１を受信すると、認証情報管理機能３−３に対して共通鍵の共有処理３−３２を行い、仮想端末機能（ｂ）３−５に対して認証情報管理機能３−３に認証要求をリダイレクトする要求３−３３を送信する。
仮想端末機能（ｂ）３−５は、リダイレクト要求３−３３を受信すると、認証要求３−３４を認証情報管理機能３−３に転送する。
認証情報管理機能３−３は、認証要求３−３４を受信すると、当該ユーザが既に前述の認証処理３−１４で認証済みであるため、許可判定３−３５を行い、認証結果をリダイレクト要求３−３６として仮想端末機能（ｂ）３−５に返答する。
仮想端末機能（ｂ）３−５は、認証結果３−３７をアプリケーションサーバ（ｂ）３−７に転送する。

最終的にアプリケーションサーバ（ｂ）３−７が認証結果３−３７を受信し、結果が許可であるため、当該ユーザのアプリケーションサーバ（ｂ）３−７へのログイン処理３−３８を行い、ユーザ端末３−１からＶＰＮ（ｂ）内のアプリケーションサーバ（ｂ）３−７の利用が可能となる。
なお、前述の説明では、ＶＰＮ（ｂ）内にアプリケーションサーバが１台の場合について説明したが、複数台ある場合でも、上述のログイン要求３−３１から当該アプリケーションサーバへのログイン処理３−３８を各アプリケーションサーバに対して繰り返し実行すればよい。
また、アクセス制御機能３−２がＶＰＮ（ａ）に対する接続要求を送信し、その後ＶＰＮ（ｂ）に対する接続要求を送信する場合について説明したが、この後、ＶＰＮ（ｃ）に対して接続する場合も同様に認証制御を行うことで、ＶＰＮ終端装置がログイン処理および認証処理を代行することとなり、ユーザのログイン処理に関する負荷が軽減される。
さらに、前述の説明では、ＶＰＮ毎の処理を逐次実行する例について説明したが、各ＶＰＮ毎の処理は独立であるため、アクセス制御機能の各ＶＰＮに対する接続要求の送信処理以降の各手順を並行に実行させることも可能である。

このように、本実施例によれば、単一のユーザ端末３−１から複数のＶＰＮ内の複数のアプリケーションサーバにアクセスする際に、ＶＰＮ終端装置３−８に対するログイン処理および認証処理を一度実施することで、当該ユーザがアクセス可能な全ＶＰＮ内のアプリケーションサーバへのログイン処理が連動して実行されるため、特に、ユーザが複数のＶＰＮ内の多数のアプリケーションサーバに同時にアクセスする場合に、ユーザのログイン処理を大幅に簡略化する効果を得ることができる。
以上説明したように、本実施例によるＶＰＮ多重帰属システムおよびその認証方法は、ユーザが、複数ＶＰＮに同時にアクセスする上で有用であり、特に、ユーザが各ＶＰＮ内のアプリケーションサーバに対して同時にアクセスする際に、複数のＶＰＮをセキュアに終端する装置内に認証情報を管理する機能を有することで、同時にアクセスするサーバが増えることに応じて増加するユーザの認証処理に関わる負荷を軽減する点で有益である。 以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の実施例のＶＰＮ多重帰属システムの概略構成を示すブロック図である。 本発明の実施例１のＶＰＮ多重帰属システムの認証方法を説明ためのシーケンス図である。 本発明の実施例２のＶＰＮ多重帰属システムの認証方法を説明ためのシーケンス図である。

符号の説明

１−１，２−１，３−１ ユーザ端末
１−２，２−８，３−８ ＶＰＮ終端装置
１−３ａ ＶＰＮ（ａ）
１−３ｂ ＶＰＮ（ｂ）
１−３ｃ ＶＰＮ（ｃ）
１−４ａ，２−６，３−６ アプリケーションサーバ（ａ）
１−４ｂ，２−７，３−７ アプリケーションサーバ（ｂ）
１−４ｃ アプリケーションサーバ（ｃ）
１−５ａ，２−４，３−４ 仮想端末通信機能（ａ）
１−５ｂ，２−５，３−５ 仮想端末通信機能（ｂ）
１−５ｃ 仮想端末通信機能（ｃ）
１−６ 共通通信機能
１−７，２−３，３−３ 認証情報管理機能
１−８，２−２，３−２ アクセス制御機能

Claims (7)

1. ユーザ端末と、
   それぞれアプリケーションサーバを収容する複数のＶＰＮと、
   前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムであって、
   前記ＶＰＮ終端装置は、共通機能と、前記複数のＶＰＮ毎に設けられ前記１つのＶＰＮを終端する複数の仮想端末通信機能とを有し、
   前記共通機能は、前記ユーザ端末からログイン要求を受信し、当該ログイン要求をおこなったユーザの認証を行う手段と、
   前記ユーザ端末から前記各ＶＰＮに対する接続要求を前記各仮想端末通信機能に送信する手段と、
   前記各仮想端末通信機能を介して前記各アプリケーションサーバから認証要求を受信した場合に、当該ユーザが既に認証済みであるので、再度認証処理を行わずに認証結果を許可と判定する手段と、
   前記認証結果を前記各アプリケーションサーバに送信する手段とを有することを特徴とするＶＰＮ多重帰属システム。
2. 前記共通機能は、アクセス制御機能と認証情報管理機能とを有し、
   前記アクセス制御機能は、前記ユーザ端末からログイン要求を受信し、前記ユーザ端末に対して前記認証情報管理機能へ認証要求の転送を要求する手段と、
   前記認証情報管理機能からの認証結果を受信し、前記ユーザからのログイン要求を許可する手段と、
   前記各仮想端末通信機能を有効化する有効化手段と、
   前記各ＶＰＮに対する接続要求を送信する送信手段とを有し、
   前記認証情報管理機能は、前記ユーザ端末から前記認証要求を受信する手段と、
   前記受信した認証要求のユーザが未認証の場合は、当該ユーザの認証処理を行い、当該ユーザが既に認証済みである場合には、再度認証処理を行わずに認証結果を許可と判定する手段とを有し、
   各仮想端末通信機能は、前記終端している前記ＶＰＮに対する接続要求を受信し、前記終端している前記ＶＰＮに収容されている前記アプリケーションサーバにログイン要求を送信する手段と、
   前記アプリケーションサーバから認証要求の転送要求を受信し、当該認証要求を前記認証情報管理機能に転送する手段と、
   認証情報管理機能から認証結果の転送要求を受信した場合に、当該認証結果を前記アプリケーションサーバに転送する手段とを有し、
   前記アプリケーションサーバは、ログイン要求を受け付けた場合に、要求元に対して、前記認証情報管理機能へ認証要求の転送を要求する手段と、
   前記認証情報管理機能からの応答を受信し、前記ユーザからのログイン要求を許可する手段とを有することを特徴とする請求項１に記載のＶＰＮ多重帰属システム。
3. 前記ユーザの前記アクセス制御機能に対するログイン処理が完了した状態において、前記アクセス制御機能は、前記ユーザ端末から１つのＶＰＮに対する接続要求を受信すると、前記アクセス制御機能の前記有効化手段は、当該ＶＰＮを終端する前記仮想端末通信機能を有効化し、
   前記アクセス制御機能の前記送信手段は、前記１つのＶＰＮに対して前記ユーザ端末からの接続要求を転送することを特徴とする請求項２に記載のＶＰＮ多重帰属システム。
4. 前記ユーザの前記アクセス制御機能に対するログイン処理が完了後、前記アクセス制御機能の前記有効化手段は、当該ユーザがアクセス可能な全ＶＰＮに対して、当該ＶＰＮを終端する全ての仮想端末通信機能を有効化し、
   前記アクセス制御機能の前記送信手段は、前記ユーザがアクセス可能な全ＶＰＮに対して接続要求を送信することを特徴とする請求項２に記載のＶＰＮ多重帰属システム。
5. ユーザ端末と、
   それぞれアプリケーションサーバを収容する複数のＶＰＮと、
   前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムにおける認証制御方法であって、
   前記ＶＰＮ終端装置は、共通機能と、前記複数のＶＰＮ毎に設けられ前記１つのＶＰＮを終端する複数の仮想端末通信機能とを有し、
   前記共通機能が、前記ユーザ端末からログイン要求を受信し、当該ログイン要求をおこなったユーザの認証を行う工程と、
   前記ユーザ端末から前記各ＶＰＮに対する接続要求を前記各仮想端末通信機能に送信する工程と、
   前記各仮想端末通信機能を介して前記各アプリケーションサーバから認証要求を受信し、当該ユーザが既に認証済みであるので、再度認証処理を行わずに認証結果を許可と判定する工程と、
   前記認証結果を前記各アプリケーションサーバに送信する工程とを有することを特徴とする認証制御方法。
6. ユーザ端末と、
   それぞれアプリケーションサーバを収容する複数のＶＰＮと、
   前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムにおける認証制御方法であって、
   前記ユーザ端末が、前記ＶＰＮ終端装置内のアクセス制御機能にログイン要求を送信する工程と、
   前記アクセス制御機能が、前記ユーザ端末からログイン要求を受信し、前記ユーザ端末に対して前記ＶＰＮ終端装置内の認証情報管理機能へ認証要求の転送を要求する工程と、
   前記ユーザ端末が、受信した認証要求を前記認証情報管理機能へ転送する工程と、
   前記認証情報管理機能が、前記ユーザ端末からの認証要求を受信し、当該認証要求のユーザが未認証の場合は、当該ユーザの認証処理を行い、認証結果を要求元へ転送することを要求する工程と、
   前記ユーザ端末が、前記受信した認証結果を前記アクセス制御機能へ転送する工程と、
   前記アクセス制御機能が、前記認証結果を受信し、ユーザからのログイン要求を許可する工程と、
   前記アクセス制御機能が、前記ユーザ端末から１つのＶＰＮに対する接続要求を受信し、前記１つのＶＰＮを終端する前記仮想端末通信機能を有効化し、前記１つのＶＰＮに対して前記ユーザ端末からの接続要求を転送する工程と、
   前記１つのＶＰＮを終端する前記仮想端末機能が、前記１つのＶＰＮに対する接続要求を受信し、当該ＶＰＮに収容されているアプリケーションサーバにログイン要求を送信する工程と、
   前記アプリケーションサーバが、ログイン要求を受け付け、対応する前記仮想端末機能に対して認証情報管理機能へ認証要求の転送を要求する工程と、
   前記１つのＶＰＮを終端する前記仮想端末機能が、前記アプリケーションサーバからの認証要求の転送要求を受信し、当該認証要求を前記認証情報管理機能に転送する工程と、
   前記認証情報管理機能が、当該ユーザが既に認証済みであるため、再度認証処理を行わずに認証結果を許可と判定し、認証結果を要求元のアプリケーションサーバへ転送することを前記１つのＶＰＮを終端する前記仮想端末機能に要求する工程と、
   前記１つのＶＰＮを終端する前記仮想端末機能が、受信した認証結果を前記アプリケーションサーバに転送する工程と、
   前記アプリケーションサーバが、前記ユーザからのログイン要求を許可する工程とを有することを特徴とする認証制御方法。
7. ユーザ端末と、
   それぞれアプリケーションサーバを収容する複数のＶＰＮと、
   前記ユーザ端末と前記複数のＶＰＮとの間に配置されるＶＰＮ終端装置とを有するＶＰＮ多重帰属システムにおける認証制御方法であって、
   前記ユーザ端末が、前記ＶＰＮ終端装置内のアクセス制御機能にログイン要求を送信する工程と、
   前記アクセス制御機能が、前記ユーザ端末からログイン要求を受信し、前記ユーザ端末に対して前記ＶＰＮ終端装置内の認証情報管理機能へ認証要求の転送を要求する工程と、
   前記ユーザ端末が、受信した認証要求を前記認証情報管理機能へ転送する工程と、
   前記認証情報管理機能が、前記ユーザ端末からの認証要求を受信し、当該認証要求のユーザが未認証の場合は、当該ユーザの認証処理を行い、認証結果を要求元へ転送することを要求する工程と、
   前記ユーザ端末が、前記受信した認証結果を前記アクセス制御機能へ転送する工程と、
   前記アクセス制御機能が、前記認証結果を受信し、ユーザからのログイン要求を許可する工程と、
   前記アクセス制御機能が、前記ユーザがアクセス可能な全ＶＰＮに対して、前記ユーザがアクセス可能な全ＶＰＮを終端する全ての仮想端末通信機能を有効化した後、前記ユーザがアクセス可能な全ＶＰＮに対して接続要求を送信する工程と、
   接続要求を受信した前記各仮想端末機能が、終端している前記ＶＰＮに収容されている前記アプリケーションサーバにログイン要求を送信する工程と、
   前記アプリケーションサーバは、ログイン要求を受け付け、それぞれ対応する前記仮想端末機能に対して前記認証情報管理機能へ認証要求の転送を要求する工程と、
   前記各仮想端末機能が、前記アプリケーションサーバからの認証要求の転送要求を受信し、当該認証要求を前記認証情報管理機能に転送する工程と、
   前記認証情報管理機能が、当該ユーザが既に認証済みであるため、再度認証処理を行わずに認証結果を許可と判定し、認証結果を要求元の前記アプリケーションサーバへ転送することを前記各仮想端末機能に要求する工程と、
   前記各仮想端末機能が、受信した認証結果を前記アプリケーションサーバに転送する工程と、
   前記アプリケーションサーバが、前記ユーザからのログイン要求を許可する工程とを有することを特徴とする認証制御方法。

Images