JP2009258917A - プロキシサーバ、認証サーバおよび通信システム - Google Patents

Abstract

【課題】認証サーバと通信ができない場合であっても、認証を継続可能とするプロキシサーバを得ること。
【解決手段】広域網側との通信を中継するプロキシサーバであって、保護対象サーバへのアクセスを管理するためのＡＣＬ情報を記憶するＡＣＬ情報ＤＢ２２と、ユーザ認証を行うためのユーザ情報を記憶するユーザ情報ＤＢ２１と、クライアント端末５が保護対象サーバに対してアクセスした結果、保護対象サーバによりクライアント端末５のユーザが未認証であると判断され、その後、認証要求を受信した場合に、認証サーバ１との通信が可能であるか否かを判定する認証サーバチェック部３１と、認証サーバ１との通信が不可能であると判定された場合に、認証サーバ１の代わりに、ＡＣＬ情報およびユーザ情報に基づきユーザに対する認証処理を行う代理認証手段（３２，３３，３４，３５）と、を備える。
【選択図】 図２

Description

本発明は、広域ネットワークの障害時であっても認証が可能な通信システムに関する。

近年、ユーザ情報の集約化が進み、複数のシステムにおけるユーザ認証を１つの認証サーバで集中管理する方式が多く採用されている。しかしながら、この方式では、認証サーバに接続できなくなると、全ての業務がストップしてしまう、という問題がある。

この問題を解決する方法として、クライアントＰＣに認証結果をキャッシュして認証サーバにアクセスできない間も業務を遂行可能とする技術（下記特許文献１参照）が公開されている。また、クライアントが認証サーバのダウンを検知して予備の認証サーバに接続する技術（下記特許文献２参照）も公開されている。

特開２００３−２９６２７６号公報 特開２００７−１４８８７６号公報

しかしながら、上記いずれの従来技術においても、クライアント端末に特定の機能を実装する必要があるため、数千台規模のクライアント端末を備えるシステムに適用するのは現実的ではない、という問題があった。

また、認証サーバと通信ができない場合は、予備の認証サーバまたはクライアントＰＣが保持するアクセス制御情報を元にアクセス制御を行うこととなる。しかしながら、その情報は、認証サーバと通信ができなくなる前に装置間で同期をとった情報であるため、通信不可となった後にアクセス権限等が更新されている可能性がある。したがって、たとえば、通信不可となっている期間にアクセス権限がアクセス可からアクセス不可へ変更されている場合には、ユーザは、本来アクセスできない範囲への不正アクセスが可能となる、という問題があった。

本発明は、上記に鑑みてなされたものであって、広域ネットワークの認証サーバと通信ができない場合であっても、認証を継続可能とするプロキシサーバを得ることを目的とする。

また、本発明は、認証サーバと通信ができない期間について、認証結果の監査を行うプロキシサーバを得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、特定のネットワーク内のクライアント端末が広域網を介して認証サーバと通信可能な通信システムにおいて、前記ネットワーク内で、広域網側との通信を中継するプロキシサーバであって、アクセス制限対象である保護対象サーバへのアクセスを管理するためのアクセス管理情報を記憶するアクセス管理情報記憶手段と、ユーザ認証を行うためのユーザ情報を記憶するユーザ情報記憶手段と、前記ネットワーク内のクライアント端末が前記保護対象サーバに対してアクセスした結果、当該保護対象サーバにより当該クライアント端末のユーザが未認証であると判断され、その後、認証要求を受信した場合に、前記認証サーバとの通信が可能であるか否かを判定する認証サーバチェック手段と、前記認証サーバとの通信が不可能であると判定された場合に、当該認証サーバの代わりに、前記アクセス管理情報および前記ユーザ情報に基づき前記ユーザに対する認証処理を行う代理認証手段と、を備えることを特徴とする。

この発明によれば、ユーザは、認証サーバまたは広域網に障害が発生している期間であっても認証を受けることができるので、保護対象サーバへのアクセスが可能となる、という効果を奏する。

以下に、本発明にかかるプロキシサーバ、認証サーバおよび通信システムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態１．
図１は、本発明にかかるプロキシサーバを用いた通信システムの実施の形態１の構成例を示す図である。この通信システムは、認証サーバ１と、代理認証プロキシサーバ２と、保護対象サーバ３と、ログ管理サーバ４と、クライアント端末５と、広域網１０と、を備えている。代理認証プロキシサーバ２，保護対象サーバ３，ログ管理サーバ４，クライアント端末５は、内部ネットワークであるＬＡＮなどに接続され、広域網１０を介して、拠点外にある認証サーバ１と通信が可能である。

認証サーバ１は、ユーザ情報ＤＢ１１およびＡＣＬ（Access Control List）情報ＤＢ１２を備えており、これらに記憶されたユーザ情報およびＡＣＬ情報を用いてユーザ認証を行う。代理承認プロキシサーバ２は、ユーザ情報ＤＢ２１，ＡＣＬ情報ＤＢ２２，アクセス制御情報ＤＢ２３を備えており、認証サーバ１が保持するユーザ情報ＤＢ１１およびＡＣＬ情報ＤＢ１２の内容を定期的にコピーして、ユーザ情報ＤＢ２１およびＡＣＬ情報ＤＢ２２内に記憶する。また、自身が発行したアクセス制御情報を、アクセス制御情報ＤＢ２３内に記憶する。なお、ユーザ情報は、ユーザを認証するための情報であって、一例として、ユーザＩＤ，パスワード，ユーザの所属や役職またはユーザの権限、といった情報である。また、ＡＣＬ情報は、一例として、ＵＲＬと、当該ＵＲＬにアクセスすることができる所属や役職の組合せ、または権限などの情報である。また、アクセス制御情報とは、ユーザがアクセス可能な範囲を示す情報であって、一例として、ユーザＩＤと、アクセスが許可されるＵＲＬの情報であって、これに加え、アクセスが許可される日時などが設定されてもよい。

なお、以下では、単に「認証」というときは、保護対象サーバ３などに対してアクセスすることを認めることをいう。また、ユーザからの入力情報（たとえば、ＩＤやパスワード）を用いてユーザの正当性を確認することを「ユーザ認証」といい、ユーザ認証の結果、発行される情報を「ユーザ認証情報」という。また、「認証結果情報」とは、保護対象サーバへアクセスするための情報であって、ユーザ認証情報およびアクセス制御情報を含む情報である。

保護対象サーバ３は、ユーザがアクセスするにあたって、認証サーバ１による認証が必要となるサーバである。ログ管理サーバ４は、保護対象サーバ３が取得したログを管理する。クライアント端末５は、保護対象サーバ３にアクセスを行う端末である。

図２は、代理承認プロキシサーバ２の内部構成を示すブロック図である。代理承認プロキシサーバ２は、中継部３０と、認証サーバチェック部３１と、ユーザ認証部３２と、認可チェック部３３と、認証情報発行部３４と、アクセス制御情報発行部３５と、アクセス制御情報保存部３６と、アクセス制御情報読出し部３７と、アクセス制御情報比較部３８と、ログ取得部３９と、アラート部４０と、を備えている。

中継部３０は、クライアント端末５からのリクエストを認証サーバ１に中継するとともに、認証サーバ１からのレスポンスをクライアント端末５へ中継する。認証サーバチェック部３１は、認証サーバ１との間で通信が可能か否かをチェックする。

ユーザ認証部３２は、ユーザが入力しクライアント端末５から送信されてきた情報（たとえば、ＩＤとパスワードなど）を、ユーザ情報ＤＢ２１に保存されているユーザ情報を用いてユーザ認証する。認可チェック部３３は、ＡＣＬ情報ＤＢ２２に保存されているＡＣＬ情報を用いて、ユーザが、リクエストしたアクセス先（ここでは、保護対象サーバ３）へのアクセスが許可されているか否かをチェックする。認証情報発行部３４は、リクエストされたアクセス先へ提供するユーザ認証情報を発行する。アクセス制御情報発行部３５は、アクセス先をリクエストしてきたユーザがアクセス可能な範囲、を記述したアクセス制御情報を発行する。アクセス制御情報保存部３６は、発行されたアクセス制御情報を、アクセス制御情報ＤＢ２３に保存する。

アクセス制御情報読出し部３７は、アクセス先をリクエストしてきたユーザについての、アクセス制御情報ＤＢ２３に保存されているアクセス制御情報を読み出す。アクセス制御情報比較部３８は、アクセス先をリクエストしてきたユーザの、認証サーバ１から送信されてきたアクセス制御情報と、アクセス制御情報ＤＢ２３から読み出したアクセス制御情報とを比較し、一致するか否かを判定する。ログ取得部３９は、保護対象サーバ３のアクセスログを、ログ管理サーバ４から取得する。アラート部４０は、アクセス先をリクエストしてきたユーザが、認証サーバ１と通信不可能であった期間に、認証サーバ１から送信されてきたアクセス制御情報の範囲に含まれないアクセス先にアクセスしていた場合、その旨を警告する処理を行う。

つづいて、以上のように構成された通信システムにおける、正常時の動作について説明する。図３は、本実施の形態における通信システムの正常時の処理を示すシーケンス図である。

ユーザが、クライアント端末５を用いて保護対象サーバ３へアクセスすると（ステップＳ１）、保護対象サーバ３は、アクセスしてきたユーザについて、自身にアクセスすることが認証済みであるか否かを検証する（ステップＳ２）。保護対象サーバ３が、そのユーザについて未認証であると判断した場合、ユーザからのリクエストを認証サーバ１へ転送するために、代理承認プロキシサーバ２へリダイレクト（誘導）する（ステップＳ３）。代理承認プロキシサーバ２の認証サーバチェック部３１は、認証サーバ１へリクエストを転送するにあたって、認証サーバ１との通信が可能かチェックする（ステップＳ４）。ここでは、認証サーバ１との通信が可能な状態を想定しているので、代理承認プロキシサーバ２の中継部３０は、認証サーバ１へリクエストを転送する（ステップＳ５）。

認証サーバ１は、ユーザに認証のための入力を求めるユーザ識別情報の要求を返送し（ステップＳ６）、代理承認プロキシサーバ２の中継部３０は、このユーザ識別情報の要求をクライアント端末５へ転送する（ステップＳ７）。クライアント端末５が認証のための入力を促す画面を表示し、クライアント端末５のユーザが、自身を識別させるための情報（たとえば、ＩＤおよびパスワード）を入力すると、クライアント端末５は、これを代理承認プロキシサーバ２に送信する（ステップＳ８）。代理承認プロキシサーバ２の中継部３０は、入力情報を認証サーバ１へ転送する（ステップＳ９）。

認証サーバ１は、入力情報を受信すると、自身が保持するユーザ情報ＤＢ１１における情報と比較することで、その入力情報が正当であるか否かをチェックする（ステップＳ１０）。入力情報が正当であった場合、その結果をユーザ認証情報として発行し、さらに、自身が保持するＡＣＬ情報ＤＢ１２から、そのユーザについてのＡＣＬ情報を読み出し、そのユーザがアクセス可能な範囲をアクセス制御情報として発行する（ステップＳ１１）。そして、認証結果として、ユーザ認証情報およびアクセス制御情報を保護対象サーバ３へ向けて送信する（ステップＳ１２）。代理承認プロキシサーバ２の中継部３０は、受信した認証結果情報をクライアント端末５へ転送する（ステップＳ１３）。認証結果を受信したクライアント端末５は、この認証結果情報を保護対象サーバ３へ送信することにより、その後、保護対象サーバ３へのアクセスが可能となる。

つづいて、以上のように構成された通信システムにおける、認証サーバダウン時の動作について説明する。図４は、本実施の形態における通信システムの認証サーバダウン時の処理を示すシーケンス図である。

上述したようにステップＳ１〜ステップＳ４の処理が行われると、ここでは、認証サーバ１との通信が不可能な状態を想定しているので、代理承認プロキシサーバ２の中継部３０が、ユーザ識別情報の要求をクライアント端末５へ送信する（ステップＳ２０）。上述同様、クライアント端末５のユーザが、自身を識別させるための情報を入力すると、クライアント端末５は、これを代理承認プロキシサーバ２に送信する（ステップＳ８）。

代理承認プロキシサーバ２のユーザ認証部３２は、自身が保持するユーザ情報ＤＢ２１から、そのユーザについてのユーザ情報を読み出し、入力された情報が正当であるか否かチェックすることでユーザ認証を行う（ステップＳ２１）。入力された情報が正当であった場合、認証情報発行部３４がユーザ認証情報を発行し、中継部３０へ出力する。さらに、認可チェック部３３が、そのユーザについてのＡＣＬ情報を、自身が保持するＡＣＬ情報ＤＢ２２から読み出し、ユーザのアクセス範囲を特定する（ステップＳ２２）。そして、アクセス制御情報発行部３５が、特定したアクセス範囲に基づいて、アクセス先をリクエストしてきたユーザがアクセス可能な範囲、を記述したアクセス制御情報を発行し、中継部３０に出力する。また、アクセス制御情報保存部３６が、発行したアクセス制御情報を、アクセス制御情報ＤＢ２３に保存する（ステップＳ２３）。その後、中継部３０は、発行されたユーザ認証情報およびアクセス制御情報を、認証結果情報として、クライアント端末５を介して保護対象サーバ３へ送信する（ステップＳ２４）。

このように、認証サーバ１と通信不可能である場合には、代理承認プロキシサーバ２が、自身で保存していたユーザ情報およびＡＣＬ情報を用いて、認証情報およびアクセス制御情報を発行する。したがって、ユーザは、認証サーバ１または広域網１０に障害が発生している期間であっても認証を受けることができるので、保護対象サーバへのアクセスが可能となり、業務を継続することができる。

つづいて、以上のように構成された通信システムにおける、認証サーバ復帰時の動作について説明する。図５は、本実施の形態における通信システムの認証サーバ復帰時の処理を示すシーケンス図である。

たとえば、ステップＳ１〜Ｓ１３の処理が行われ、アクセス先をリクエストしたユーザが保護対象サーバ３へアクセス可能となった後、代理承認プロキシサーバ２のアクセス制御情報読出し部３７は、このユーザについての、アクセス制御情報ＤＢ２３に保存されているアクセス制御情報を読み出す。アクセス制御情報比較部３８は、認証サーバ１から送信されてきたこのユーザのアクセス制御情報と、アクセス制御情報ＤＢ２３から読み出したアクセス制御情報とを比較し、一致するか否かを判定する（ステップＳ２５）。たとえば、一致しなかった場合、ログ取得部３９が保護対象サーバ３のアクセスログをログ管理サーバ４から取得し、アクセス制御情報比較部３８は、このユーザが、認証サーバ１と通信不可能であった期間に、認証サーバ１から送信されてきたアクセス制御情報の範囲に含まれないアクセス先にアクセスしていたか否かをチェックする（ステップＳ２６）。本来アクセス不可の範囲にアクセスしていた場合、アラート部４０が、このユーザについて、その旨を警告する処理を行う（ステップＳ２７）。具体的には、エラーログを出力する、ユーザまたは管理者に対してメールで通知する、などが考えられる。

このように、認証サーバ１が復帰した場合には、代理承認プロキシサーバ２が、認証サーバ１がダウンしていた期間に発行したアクセス制御情報を、認証サーバ１の復帰後に中継したアクセス制御情報と比較し、ユーザが問題のある範囲にアクセスしていた場合には、アラートを発することとした。これにより、認証サーバのダウンによりＡＣＬ情報の同期がとれなかった期間のアクセス内容について、監査が可能となる。

なお、上記実施の形態では、代理承認プロキシサーバが、認証サーバとのやり取りおよびアクセス監査処理とともに、認証サーバダウン時には認証に関する処理を行う構成としたが、これに限らず、たとえば、認証に関する処理を分離させる構成であってもよい。図６は、代理承認プロキシサーバから、認証機能を分離させた通信システムの構成例を示す図である。

図６の通信システムは、代理承認プロキシサーバ２に代えて、同一ネットワーク上に、代理承認プロキシサーバ６と、認証サーバ７とを備えている。認証に用いる情報を記憶する、ユーザ情報ＤＢ２１，ＡＣＬ情報ＤＢ２２，アクセス制御情報２３については全て認証サーバ７が保持する。

図７は、代理承認プロキシサーバ６および認証サーバ７の内部構成例を示すブロック図である。代理承認プロキシサーバ６は、中継部３０と、認証サーバチェック部３１と、アクセス制御情報読出し部３７と、アクセス制御情報比較部３８と、ログ取得部３９と、アラート部４０と、を備えている。認証サーバ７は、ユーザ認証部３２と、認可チェック部３３と、認証情報発行部３４と、アクセス制御情報発行部３５と、アクセス制御情報保存部３６とを備えている。図７に示す各部の機能は、上記実施の形態と同様である。たとえば、図６の通信システムでは、代理承認プロキシサーバ６が、認証サーバ１との通信が不可能であると判断すると、中継部３０を介して、認証サーバ７に、その旨を通知する。これを受信した認証サーバ７は、認証サーバ１の代わりに認証を行い、発行したアクセス制御情報を代理承認プロキシサーバ６に送信する。また、認証サーバ１が、通信が不可能な状態から復旧し、ユーザが保護対象サーバ３へのアクセスを認証サーバ１により認証された場合、代理承認プロキシサーバ６は、認証サーバ７から、そのユーザについて、通信不可能な間に発行されたアクセス制御情報を取得する。このように、代理承認プロキシサーバ６と認証サーバ７は、互いに連携することにより、上記と同様の効果を得る。

この場合、機能をそれぞれのサーバに分担させることで、負荷を分散することができる。また、代理承認プロキシサーバ６と認証サーバ７が独立して動作しているので、メンテナンス等が発生した場合に、両方のサーバを同時に停止することなく、一方の動作を起動した状態での作業が可能となる。

実施の形態２．
実施の形態１では、認証サーバと通信不可能である場合には、代理承認プロキシサーバが、自身で保持しているユーザ情報およびＡＣＬ情報を用いて、ユーザ認証情報およびアクセス制御情報を発行することとした。本実施の形態では、代理承認プロキシサーバが、認証サーバからＡＣＬ情報をコピーして保持する代わりに、認証サーバが発行したアクセス制御情報を蓄積し、認証サーバがダウンしている期間には、これを用いてアクセス制御情報を発行する場合について説明する。

図８は、本発明にかかるプロキシサーバを用いた通信システムの実施の形態２の構成例を示す図である。この通信システムは、代理認証プロキシサーバ２の代わりに代理認証プロキシサーバ２Ｂを備えている。

認証サーバ１は、実施の形態１と同様、ユーザ情報ＤＢ１１およびＡＣＬ情報ＤＢ１２を備え、これらに記憶されたユーザ情報およびＡＣＬ情報を用いてユーザ認証を行う。代理承認プロキシサーバ２Ｂは、実施の形態１と同様、ユーザ情報ＤＢ２１およびアクセス制御情報ＤＢ２３を備え、また、ＡＣＬ情報ＤＢ２２の代わりに、認証結果情報を記憶した認証結果情報ＤＢ２２Ｂを備えている。

図９は、代理承認プロキシサーバ２Ｂの内部構成を示すブロック図である。代理承認プロキシサーバ２Ｂは、代理承認プロキシサーバ２と比較すると、認可チェック部３３の代わりに認可チェック部３３Ｂを備え、さらに認証結果保存部４１を備える点が異なっている。

認可チェック部３３Ｂは、認証結果情報ＤＢ２２Ｂに保存されている認証結果情報を用いて、ユーザがリクエストしたアクセス先（ここでは、保護対象サーバ３）へのアクセスが許可されているか否かをチェックする。認証結果保存部４１は、認証サーバ１と通信可能な期間に、認証サーバ１より受信し、保護対象サーバ３へ転送した認証結果情報（ユーザ認証情報およびアクセス制御情報）を、認証結果情報ＤＢ２２Ｂに保存する。

つづいて、以上のように構成された通信システムにおける、正常時の動作について、実施の形態１と異なる点を中心に説明する。図１０は、本実施の形態における通信システムの正常時の処理を示すシーケンス図である。

ユーザが、クライアント端末５を用いて保護対象サーバ３にアクセスすると、既に述べたようにステップＳ１〜ステップＳ１３の処理が行われる。代理承認プロキシサーバ２Ｂでは、中継部３０が、認証サーバ１から受信した認証結果情報をクライアント端末５へ転送する（ステップＳ１３）とともに、認証結果保存部４１が、この認証結果情報（ユーザ認証情報およびアクセス制御情報）を、認証結果情報ＤＢ２２Ｂに保存する（ステップＳ３０）。

つづいて、以上のように構成された通信システムにおける、認証サーバダウン時の動作について説明する。図１１は、本実施の形態における通信システムの認証サーバダウン時の処理を示すシーケンス図である。

上述したようにステップＳ１〜ステップＳ４の処理が行われると、ここでは、認証サーバ１との通信が不可能な状態を想定しているので、代理承認プロキシサーバ２Ｂの中継部３０は、ユーザ識別情報の要求をクライアント端末５へ送信する（ステップＳ２０）。そして、クライアント端末５のユーザが自身を識別するための情報を入力すると、クライアント端末５は、これを代理承認プロキシサーバ２Ｂに送信する（ステップＳ８）。

代理承認プロキシサーバ２のユーザ認証部３２は、自身が保持するユーザ情報ＤＢ２１から、そのユーザについてのユーザ情報を読み出し、入力された情報が正当であるか否かをチェックすることでユーザ認証を行う（ステップＳ２１）。入力された情報が正当であった場合、認証情報発行部３４が認証情報を発行し、中継部３０へ出力する。さらに、認可チェック部３３Ｂは、認証したユーザＩＤをキーに、認証結果情報ＤＢ２２Ｂから認証結果情報を取得する（ステップＳ３１）。そして、取得した認証結果情報に基づいて、そのユーザがアクセス可能な範囲を特定する（ステップＳ３２）。以降の処理は、前述した実施の形態１の処理（ステップＳ２３，２４）と同様である。

このように、認証サーバ１と通信不可能である場合には、代理承認プロキシサーバ２Ｂが、認証サーバ１からコピーしてきたユーザ情報、および自身で蓄積保存していた認証結果情報を用いて、ユーザ認証情報およびアクセス制御情報を発行する。したがって、ユーザは、認証サーバ１または広域網１０に障害が発生している期間であっても認証を受けることができるので、保護対象サーバへのアクセスが可能となり、業務を継続することができる。また、中継した認証結果情報を蓄積して用いるため、認証サーバ１から必要な情報を定期的にコピーする必要がなくなる。また、必要最小限の情報を保持することとなるため、リソースの効率化が図れる。

つづいて、以上のように構成された通信システムにおける、認証サーバ復帰時の動作について説明する。図１２は、本実施の形態における通信システムの認証サーバ復帰時の処理を示すシーケンス図である。

正常時と同様に、ユーザが、クライアント端末５を用いて保護対象サーバ３にアクセスすると、既に述べたようにステップＳ１〜ステップＳ１３の処理が行われるとともに、認証結果保存部４１が、認証結果情報を認証結果情報ＤＢ２２Ｂに保存する（ステップＳ３０）。

その後、代理承認プロキシサーバ２Ｂは、既に述べたステップＳ２５〜Ｓ２７の処理を実行し、認証サーバ１がダウンしていた期間について、アクセス監査を行う。

このように、本実施の形態においても、認証サーバ１が復帰したときには、代理承認プロキシサーバ２Ｂが、認証サーバ１がダウンしていた期間に発行したアクセス制御情報を、認証サーバ１の復帰後に中継したアクセス制御情報と比較し、ユーザが問題のある範囲にアクセスしていた場合には、アラートを発することとした。これにより、実施の形態１と同様の効果が得られる。

ところで、一般に、認証情報については、“ActiveDirectory”に代表される分散型＋コピー型のリポジトリにより解決されることが多い一方で、ＡＣＬ情報は独自形式が多く、必ずしも複数の拠点間で同期できるとは限らない。こうした場合であっても、本実施の形態のように、代理承認プロキシサーバ２Ｂが、認証サーバ１が発行した認証結果情報の蓄積を用いてアクセス制御を行うことで、形式の違いを考慮せずに代理認証を行うことができる。

なお、上記実施の形態では、代理承認プロキシサーバが、認証サーバとのやり取りおよびアクセス監査処理とともに、認証サーバダウン時には認証に関する処理を行う構成としたが、実施の形態１と同様、認証に関する処理を分離させる構成であってもよい。図１３は、代理承認プロキシサーバから、ローカルの認証機能を分離させた通信システムの構成例を示す図である。

図１３の通信システムは、代理承認プロキシサーバ２に代えて、同一ネットワーク上に、代理承認プロキシサーバ６と、認証サーバ７Ｂとを備えている。認証に用いる情報を記憶する、ユーザ情報ＤＢ２１，認証結果情報ＤＢ２２Ｂ，アクセス制御情報２３については、全て認証サーバ７Ｂが保持する。

図１４は、代理承認プロキシサーバ６および認証サーバ７の内部構成例を示すブロック図である。代理承認プロキシサーバ６は、中継部３０と、認証サーバチェック部３１と、アクセス制御情報読出し部３７と、アクセス制御情報比較部３８と、ログ取得部３９と、アラート部４０と、認証結果保存部４１とを備えている。認証サーバ７Ｂは、ユーザ認証部３２と、認可チェック部３３Ｂと、認証情報発行部３４と、アクセス制御情報発行部３５と、アクセス制御情報保存部３６とを備えている。図１４に示す各部の機能は、上記と同様である。代理承認プロキシサーバ６と認証サーバ７Ｂは、実施の形態１の図６と同様に互いに連携することにより、上記と同様の効果を得る。

実施の形態３．
実施の形態２では、認証サーバと通信不可能である場合には、代理承認プロキシサーバが、認証サーバからＡＣＬ情報をコピーして保持する代わりに、認証サーバが発行した認証結果情報を蓄積し、認証サーバがダウンしている期間には、これを用いてアクセス制御情報を発行することとした。本実施の形態では、実施の形態２の構成に加え、認証サーバが発行したユーザ情報についても蓄積し、認証サーバがダウンしている期間にはこれを用いてユーザ認証を行う場合について説明する。

図１５は、本発明にかかるプロキシサーバを用いた通信システムの実施の形態３の構成例を示す図である。この通信システムは、代理認証プロキシサーバ２の代わりに代理認証プロキシサーバ２Ｃを備えている。

認証サーバ１は、実施の形態１と同様、ユーザ情報ＤＢ１１およびＡＣＬ情報ＤＢ１２を備え、これらに記憶されたユーザ情報およびＡＣＬ情報を用いてユーザ認証を行う。代理承認プロキシサーバ２Ｃは、アクセス制御情報ＤＢ２３を備えている点は実施の形態１と同様である。一方で、ユーザ情報ＤＢ２１の代わりに、ユーザ認証にあたって中継したユーザ情報を記憶するためのユーザ情報ＤＢ２１Ｃを備え、ＡＣＬ情報ＤＢ２２の代わりに、実施の形態２と同様に、認証結果情報を記憶した認証結果情報ＤＢ２２Ｂを備えている。

図１６は、代理承認プロキシサーバ２Ｃの内部構成を示すブロック図である。代理承認プロキシサーバ２Ｃは、代理承認プロキシサーバ２Ｂと比較すると、ユーザ情報保存部４２をさらに備える点が異なっている。

ユーザ情報保存部４２は、認証サーバ１と通信可能な期間に、ユーザ認証にあたり中継したユーザ情報であって、認証サーバ１から正当性が確認された旨の通知があったものについて、ユーザ情報ＤＢ２１Ｃに保存する。

つづいて、以上のように構成された通信システムにおける、正常時の動作について、実施の形態１および２と異なる点を中心に説明する。図１７は、本実施の形態における通信システムの正常時の処理を示すシーケンス図である。

ユーザが、クライアント端末５を用いて保護対象サーバ３にアクセスすると、既に述べたようにステップＳ１〜ステップＳ１３の処理が行われる。代理承認プロキシサーバ２Ｃでは、中継部３０が、認証サーバ１から受信した認証結果情報をクライアント端末５へ転送する（ステップＳ１３）とともに、ユーザ情報保存部４２が、ステップＳ９で転送したユーザ情報をユーザ情報ＤＢ２１Ｃに保存する（ステップＳ４０）。また、認証結果保存部４１が、今回の認証結果情報（ユーザ認証情報およびアクセス制御情報）を、認証結果情報ＤＢ２２Ｂに保存する（ステップＳ３０）。

つづいて、以上のように構成された通信システムにおける、認証サーバダウン時の動作について説明する。図１８は、本実施の形態における通信システムの認証サーバダウン時の処理を示すシーケンス図である。

上述したようにステップＳ１〜ステップＳ４の処理が行われると、ここでは、認証サーバ１との通信が不可能な状態を想定しているので、代理承認プロキシサーバ２Ｃの中継部３０は、ユーザ識別情報の要求をクライアント端末５へ送信する（ステップＳ２０）。そして、クライアント端末５のユーザが自身を識別するための情報を入力すると、クライアント端末５は、これを代理承認プロキシサーバ２Ｃに送信する（ステップＳ８）。

代理承認プロキシサーバ２Ｃのユーザ認証部３２は、自身が保持するユーザ情報ＤＢ２１Ｃから、そのユーザについてのユーザ情報を読み出し、入力された情報が正当であるか否かをチェックすることでユーザ認証を行う（ステップＳ４１）。入力された情報が正当であった場合、認証情報発行部３４が認証情報を発行し、中継部３０へ出力する。さらに、認可チェック部３３Ｂは、認証したユーザＩＤをキーに、認証結果情報ＤＢ２２Ｂから、認証結果情報を取得する（ステップＳ４２）。そして、取得した認証結果情報に基づいて、そのユーザがアクセス可能な範囲を特定する（ステップＳ４３）。以降の処理は、前述した実施の形態１の処理（ステップＳ２３，２４）と同様である。

このように、認証サーバ１と通信不可能である場合には、代理承認プロキシサーバ２Ｃが、自身で蓄積保存していたユーザ情報および認証結果情報を用いて、ユーザ認証情報およびアクセス制御情報を発行する。したがって、実施の形態２の効果に加えてさらに、ユーザ情報についても、認証サーバ１から定期的にコピーする必要がなくなる。また、さらなるリソースの効率化が図れる。

つづいて、以上のように構成された通信システムにおける、認証サーバ復帰時の動作について説明する。図１９は、本実施の形態における通信システムの認証サーバ復帰時の処理を示すシーケンス図である。

正常時と同様に、ユーザが、クライアント端末５を用いて保護対象サーバ３にアクセスすると、既に述べたようにステップＳ１〜ステップＳ１３の処理が行われ、ユーザ情報保存部４２が、ステップＳ９で転送したユーザ情報をユーザ情報ＤＢ２１Ｃに保存する（ステップＳ４０）。また、認証結果保存部４１が、今回の認証結果情報（ユーザ認証情報およびアクセス制御情報）を認証結果情報ＤＢ２２Ｂに保存する（ステップＳ３０）。

その後、代理承認プロキシサーバ２Ｃは、既に述べたステップＳ２５〜Ｓ２７の処理を実行し、認証サーバ１がダウンしていた期間について、アクセス監査を行う。

このように、本実施の形態においても、認証サーバ１が復帰したときには、代理承認プロキシサーバ２Ｃが、認証サーバ１がダウンしていた期間に発行したアクセス制御情報を、認証サーバ１の復帰後に転送したアクセス制御情報と比較し、ユーザが問題のある範囲にアクセスしていた場合には、アラートを発することとした。これにより、実施の形態１および２と同様の効果が得られる。

また、ユーザ認証に使用するためのユーザ情報は、管理の観点から提供されない場合がある。こうした場合も、以上のような構成にすることで、ユーザは、認証サーバや広域網に障害が発生している期間であっても、認証を受けることができる。

なお、上記実施の形態では、代理承認プロキシサーバが、認証サーバとのやり取りおよびアクセス監査処理とともに、認証サーバダウン時には認証に関する処理を行う構成としたが、実施の形態１および２と同様、認証に関する処理を分離させる構成であってもよい。図２０は、代理承認プロキシサーバから、ローカルの認証機能を分離させた通信システムの構成例を示す図である。

図２０の通信システムは、代理承認プロキシサーバ２に代えて、同一ネットワーク上に、代理承認プロキシサーバ６と、認証サーバ７Ｃとを備えている。認証に用いる情報を記憶する、ユーザ情報ＤＢ２１Ｃ，認証結果情報ＤＢ２２Ｂ，アクセス制御情報２３については全て認証サーバ７Ｃが保持する。

図２１は、代理承認プロキシサーバ６および認証サーバ７Ｃの内部構成例を示すブロック図である。代理承認プロキシサーバ６は、中継部３０と、認証サーバチェック部３１と、アクセス制御情報読出し部３７と、アクセス制御情報比較部３８と、ログ取得部３９と、アラート部４０と、認証結果保存部４１と、ユーザ情報保存部４２とを備えている。認証サーバ７Ｃは、ユーザ認証部３２と、認可チェック部３３Ｂと、認証情報発行部３４と、アクセス制御情報発行部３５と、アクセス制御情報保存部３６とを備えている。図２１に示す各部の機能は、上記と同様である。代理承認プロキシサーバ６と認証サーバ７Ｃは、実施の形態１の図６と同様に互いに連携することにより、上記と同様の効果を得る。

以上のように、本発明にかかるプロキシサーバは、広域網を介して認証を行う通信システムに有用であり、特に、認証サーバにアクセスできない期間であっても認証を継続したい場合に適している。

本発明にかかるプロキシサーバを用いた通信システムの実施の形態１の構成例を示す図である。 代理承認プロキシサーバの内部構成を示すブロック図である。 本実施の形態における通信システムの正常時の処理を示すシーケンス図である。 本実施の形態における通信システムの認証サーバダウン時の処理を示すシーケンス図である。 本実施の形態における通信システムの認証サーバ復帰時の処理を示すシーケンス図である。 代理承認プロキシサーバから、認証機能を分離させた通信システムの構成例を示す図である。 代理承認プロキシサーバおよび認証サーバの内部構成例を示すブロック図である。 本発明にかかるプロキシサーバを用いた通信システムの実施の形態２の構成例を示す図である。 代理承認プロキシサーバの内部構成を示すブロック図である。 本実施の形態における通信システムの正常時の処理を示すシーケンス図である。 本実施の形態における通信システムの認証サーバダウン時の処理を示すシーケンス図である。 本実施の形態における通信システムの認証サーバ復帰時の処理を示すシーケンス図である。 代理承認プロキシサーバから、ローカルの認証機能を分離させた通信システムの構成例を示す図である。 代理承認プロキシサーバおよび認証サーバの内部構成例を示すブロック図である。 本発明にかかるプロキシサーバを用いた通信システムの実施の形態３の構成例を示す図である。 代理承認プロキシサーバの内部構成を示すブロック図である。 本実施の形態における通信システムの正常時の処理を示すシーケンス図である。 本実施の形態における通信システムの認証サーバダウン時の処理を示すシーケンス図である。 本実施の形態における通信システムの認証サーバ復帰時の処理を示すシーケンス図である。 代理承認プロキシサーバから、ローカルの認証機能を分離させた通信システムの構成例を示す図である。 代理承認プロキシサーバおよび認証サーバの内部構成例を示すブロック図である。

符号の説明

１ 認証サーバ
２，２Ｂ，２Ｃ 代理認証プロキシサーバ
３ 保護対象サーバ
４ ログ管理サーバ
５ クライアント端末
６ 代理承認プロキシサーバ
７，７Ｂ，７Ｃ 認証サーバ
１０ 広域網
１１ ユーザ情報ＤＢ
１２ ＡＣＬ情報ＤＢ
２１，２１Ｃ ユーザ情報ＤＢ
２２ ＡＣＬ情報ＤＢ
２２Ｂ 認証結果ＤＢ
２３ アクセス制御情報ＤＢ
３０ 中継部
３１ 認証サーバチェック部
３２ ユーザ認証部
３３，３３Ｂ 認可チェック部
３４ 認証情報発行部
３５ アクセス制御情報発行部
３６ アクセス制御情報保存部
３７ アクセス制御情報読出し部
３８ アクセス制御情報比較部
３９ ログ取得部
４０ アラート部
４１ 認証結果保存部
４２ ユーザ情報保存部

Claims (14)

1. 特定のネットワーク内のクライアント端末が広域網を介して認証サーバと通信可能な通信システムにおいて、前記ネットワーク内で、広域網側との通信を中継するプロキシサーバであって、
   アクセス制限対象である保護対象サーバへのアクセスを管理するためのアクセス管理情報を記憶するアクセス管理情報記憶手段と、
   ユーザ認証を行うためのユーザ情報を記憶するユーザ情報記憶手段と、
   前記ネットワーク内のクライアント端末が前記保護対象サーバに対してアクセスした結果、当該保護対象サーバにより当該クライアント端末のユーザが未認証であると判断され、その後、認証要求を受信した場合に、前記認証サーバとの通信が可能であるか否かを判定する認証サーバチェック手段と、
   前記認証サーバとの通信が不可能であると判定された場合に、当該認証サーバの代わりに、前記アクセス管理情報および前記ユーザ情報に基づき前記ユーザに対する認証処理を行う代理認証手段と、
   を備えることを特徴とするプロキシサーバ。
2. 前記代理認証手段は、
   前記アクセス管理情報および前記ユーザ情報に基づいて、前記ユーザが前記保護対象サーバへアクセス可能であるか否かを判定する認証手段と、
   前記ユーザが前記保護対象サーバへアクセス可能であると判定された場合に、当該ユーザが正当であることを示すユーザ認証情報および当該ユーザがアクセス可能な範囲を示すアクセス制御情報を含む認証結果情報を発行し、前記保護対象サーバへ向けて送信する認証結果情報発行手段と、
   前記アクセス制御情報を保持するためのアクセス制御情報記憶手段と、
   を備えることを特徴とする請求項１に記載のプロキシサーバ。
3. 前記通信が不可能な状態から復旧し、前記ユーザが前記保護対象サーバへのアクセスを前記認証サーバにより認証された場合に、前記アクセス制御情報記憶手段に保持されたアクセス制御情報と、前記認証サーバから認証結果として得られたアクセス制御情報とを比較するアクセス制御情報比較手段と、
   前記比較した結果、一致しなかった場合に、前記保護対象サーバのアクセスログを取得するログ取得手段と、
   不正アクセスを警告するアラート手段と、
   をさらに備え、
   前記アクセス制御情報比較手段は、前記ログ取得手段により得られたアクセスログに基づいて、前記ユーザが前記認証サーバから得られたアクセス制御情報に含まれないアクセス先に不正アクセスを行っていたかどうかを判定し、
   前記アラート手段は、前記アクセス制御情報比較手段により不正アクセスを行っていたと判定された場合に、その旨を警告することを特徴とする請求項２に記載のプロキシサーバ。
4. 前記アクセス管理情報を、前記認証サーバが保持するＡＣＬ情報を定期的に複製した情報とし、
   前記ユーザ情報を、前記認証サーバが保持するユーザ情報を定期的に複製した情報とすることを特徴とする請求項１、２または３に記載のプロキシサーバ。
5. 前記アクセス管理情報を、前記認証サーバから得られる認証結果情報を蓄積した情報とし、
   前記ユーザ情報を、前記認証サーバが保持するユーザ情報を定期的に複製した情報とすることを特徴とする請求項１、２または３に記載のプロキシサーバ。
6. 前記アクセス管理情報を、前記認証サーバから得られる認証結果情報を蓄積した情報とし、
   前記ユーザ情報を、前記認証サーバによるユーザ認証のために前記クライアント端末から前記認証サーバへ中継したユーザ情報であって、かつ、前記認証サーバにより正当性が確認されたユーザ情報、を蓄積した情報とすることを特徴とする請求項１、２または３に記載のプロキシサーバ。
7. 特定のネットワーク内のクライアント端末が広域網を介して第１の認証サーバと通信可能な通信システムにおいて、前記ネットワーク内で、広域網側との通信を中継するプロキシサーバであって、
   前記ネットワーク内のクライアント端末が前記保護対象サーバに対してアクセスした結果、当該保護対象サーバにより当該クライアント端末のユーザが未認証であると判断され、その後、認証要求を受信した場合に、前記第１の認証サーバとの通信が可能であるか否かを判定し、前記第１の認証サーバとの通信が不可能であると判定した場合に、その旨を前記ネットワーク内の第２の認証サーバに通知する認証サーバチェック手段と、
   前記通信が不可能な状態から復旧し、前記ユーザが前記保護対象サーバへのアクセスを前記第１の認証サーバにより認証された場合に、前記第２の認証サーバにより実行された認証の結果である、前記ユーザがアクセス可能な範囲を示すアクセス制御情報を受信し、当該第２の認証サーバから受信したアクセス制御情報と、前記第１の認証サーバから認証結果として得られたアクセス制御情報とを比較するアクセス制御情報比較手段と、
   前記比較した結果、一致しなかった場合に、前記保護対象サーバのアクセスログを取得するログ取得手段と、
   不正アクセスを警告するアラート手段と、
   をさらに備え、
   前記アクセス制御情報比較手段は、前記ログ取得手段により得られたアクセスログに基づいて、前記ユーザが前記第１の認証サーバから得られたアクセス制御情報に含まれないアクセス先に不正アクセスを行っていたかどうかを判定し、
   前記アラート手段は、前記アクセス制御情報比較手段により不正アクセスを行っていたと判定された場合に、その旨を警告することを特徴とするプロキシサーバ。
8. 請求項７に記載のプロキシサーバと同一ネットワーク内で接続し、当該プロキシサーバと広域網を介して通信可能な第１の認証サーバの代わりに認証を行う第２の認証サーバとして動作する認証サーバであって、
   アクセス制限対象である保護対象サーバへのアクセスを管理するためのアクセス管理情報を記憶するアクセス管理情報記憶手段と、
   ユーザ認証を行うためのユーザ情報を記憶するユーザ情報記憶手段と、
   前記ネットワーク内のクライアント端末が前記保護対象サーバに対してアクセスした後、前記プロキシサーバから前記第１の認証サーバとの通信が不可能であると判定された旨の情報を受信した場合に、当該第１の認証サーバの代わりに、前記アクセス管理情報および前記ユーザ情報に基づき前記クライアント端末のユーザに対する認証処理を行う代理認証手段と、
   を備えることを特徴とする認証サーバ。
9. 前記代理認証手段は、
   前記アクセス管理情報および前記ユーザ情報に基づいて、前記ユーザが前記保護対象サーバへアクセス可能であるか否かを判定する認証手段と、
   前記ユーザが前記保護対象サーバへアクセス可能であると判定された場合に、当該ユーザが正当であることを示すユーザ認証情報および当該ユーザがアクセス可能な範囲を示すアクセス制御情報を含む認証結果情報を発行し、前記保護対象サーバへ向けて送信する認証結果情報発行手段と、
   前記アクセス制御情報を保持するためのアクセス制御情報記憶手段と、
   を備えることを特徴とする請求項８に記載の認証サーバ。
10. 前記アクセス管理情報を、前記第１の認証サーバが保持するＡＣＬ情報を定期的に複製した情報とし、
    前記ユーザ情報を、前記第１の認証サーバが保持するユーザ情報を定期的に複製した情報とすることを特徴とする請求項８または９に記載の認証サーバ。
11. 前記アクセス管理情報を、前記第１の認証サーバにより認証を行った結果である認証結果情報を蓄積した情報とし、
    前記ユーザ情報を、前記第１の認証サーバが保持するユーザ情報を定期的に複製した情報とすることを特徴とする請求項８または９に記載の認証サーバ。
12. 前記アクセス管理情報を、前記第１の認証サーバにより認証を行った結果である認証結果情報を蓄積した情報とし、
    前記ユーザ情報を、前記第１の認証サーバによるユーザ認証のために前記プロキシサーバが前記クライアント端末から前記認証サーバへ中継したユーザ情報であって、かつ、前記第１の認証サーバにより正当性が確認されたユーザ情報、を蓄積した情報とすることを特徴とする請求項８または９に記載の認証サーバ。
13. 請求項１〜６のいずれか一つに記載のプロキシサーバと、
    前記プロキシサーバと広域網を介して通信可能な認証サーバと、
    を備えることを特徴とする通信システム。
14. 請求項７に記載のプロキシサーバと、
    前記プロキシサーバと広域網を介して通信可能な第１の認証サーバと、
    請求項８〜１２のいずれか一つに記載の第２の認証サーバと、
    を備えることを特徴とする通信システム。

Images