JP2010033191A - 認証装置、方法及びコンピュータプログラム - Google Patents

Abstract

【課題】 ネットワーク認証をActive
Directoryと各種デバイスで読み取ったＩＣチップ内の情報との認証とそれらの自動整合処理モジュールと仕組みを提供する。
【解決手段】 リーダーライター経由でＩＣチップ内の情報を読み込んだネットワーク端末は、ネットワーク経由でActive Directoryサーバを見て同一情報が存在していれば認証し、存在していなければ否認する。また、キーのみ一致する場合はＩＣチップ内の情報をActive Directoryサーバに更新して自動的に整合性を保つ仕組みにより、ネットワーク内認証の認証テーブルの一元化、及び、ＩＣチップ搭載デバイスの紛失等による認証テーブル修正工数の軽減を図る。
【選択図】 図１

Description

本発明は、ネットワーク内での個体認証を行う仕組みに関するものであり、特に、Windows（登録商標）ネットワーク内での個体認証を行う際に、ＩＣカードや携帯電話といったＩＣチップ搭載機器の製造番号とユーザーの識別番号とをActive Directoryに自動的に登録、更新等する仕組みに好適な技術に関する。

最近、様々なシステムの認証やデバイス認証を統合する統合認証システムを導入する企業が増えている。これは、複数のシステム開発によって乱立したユーザー認証データベースを統合することにより、その管理を一元化することを目的としている。

また、様々なシステムの認証やデバイス認証を行う上でシングルサインオン認証という仕組みも存在する。これは、一つのユーザーアカウントで様々なシステムやデバイスの認証を行うのでユーザー認証テーブルは一つになり、その乱立を防ぐことを目的としている。

このように、統合認証システムやシングルサインオン認証という仕組みで様々なシステムやデバイスの認証を行うことにより、ユーザー認証テーブルの複雑な管理を簡素化するということを目的とした製品が世の中に広がっている。

ユーザー管理の仕組みとしては、サーバが、発生させた乱数と共通鍵をクライアントに送信し、クライアントから受信した機器識別子を共通鍵で復号し、機器識別子に対応する公開鍵で受信した乱数を復号し、復号された乱数と発生させた乱数とを比較照合して機器認証を行い、クライアントが、サーバからの乱数と共通鍵をＩＣ
カードに出力し、ＩＣ カードからの乱数と暗号化された機器識別子をサーバに送信し、ＩＣ カードが、クライアントからの乱数を秘密鍵で暗号化し、機器識別子を共通鍵で暗号化し、暗号化された乱数及び機器識別子をクライアントに出力し、クライアントからの更新データを秘密鍵で復号して、更新データでＩＣ
カード内の書き替えを行うデータ更新システムがある（特許文献１）。

特開２００６−０２４２３７

しかし、Windows（登録商標）ネットワークを組んでいる多くの企業ではActive Directoryによってネットワーク認証を行っており、統合認証やシングルサインオン認証の仕組みを構築する場合にはActive Directoryの他にもユーザーアカウント管理をする必要があった。

さらに、ＩＣカードによる入退室管理システムや複合機能プリンタの出力制御なども各製品毎にそのアカウント管理を行う仕組みの構築が必要になり、Windows（登録商標）ネットワーク管理者の作業負荷を高めてしまうという問題があった。

ＩＣカードによる認証の場合、ＩＣカードの紛失や破損の度に、管理者がユーザー（ユーザＩＤなど）とＩＣカード（ＩＣカードの製造番号など）を紐付ける情報を修正しなければならず、大変手間がかかり効率的ではないという問題があった。

また、複数のユーザーアカウントデータベースを管理するということは、ユーザーアカウント登録等の作業を担当者が行う必要があるため、情報漏洩の可能性が高まってしまい、企業の情報漏洩防止の観点からも好ましくないという問題もあった。

本発明は、上述の問題及び課題を解決するためになされた発明であって、ネットワーク上のデバイス認証データベースを集約することで管理の煩雑さを軽減するとともに、ユーザーとＩＣカード等のＩＣチップの関連付け情報を自動的に登録・修正するための仕組みを提供することを目的とする。

本発明の一の観点にかかる認証装置は、ＩＣチップを識別する製造番号と、ユーザーを識別するユーザーＩＤとを記憶するＩＣチップと、上記ＩＣチップに記憶されているデータを読み取る読取手段と、上記読み取ったＩＣチップのデータをサーバに対して送信することで認証要求を行い、認証が正しい場合に所定の動作を行うネットワーク端末とを有し、上記ネットワーク端末に通信を介して接続可能に構成されたサーバであって、ユーザーＩＤに関連付けて、少なくとも、最新のＩＣチップの製造番号及び上記ＩＣチップが再発行された際に過去に関連付けられていた上記ＩＣチップの製造番号と、ユーザーＩＤと、当該ユーザーアカウントの有効又は無効を表すアカウント属性情報を関連付けて記憶する記憶手段と、上記ネットワーク端末が、上記ＩＣチップから読み取り、送信したＩＣチップの製造番号及びユーザーＩＤを含む認証要求を受信する受信手段と、上記記憶手段を参照して、上記受信したユーザーＩＤと一致するユーザーＩＤが記憶されているか否か判別する第１処理手段と、判別の結果、一致するユーザーＩＤが存在する場合に、上記記憶手段を参照して当該ユーザーＩＤに関連付けて記憶されている上記最新の製造番号が上記受信した製造番号と一致するか否か判別する第２処理手段と、上記判別の結果、製造番号が一致しない場合に、上記ユーザーＩＤに関連付けてられた製造番号が未登録か否かを判別する第３処理手段と、上記判別の結果、製造番号が未登録であると判別された場合に、上記受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶することで新規登録処理を行い、また上記判別の結果、製造番号が未登録ではないと判別され、かつ、上記記憶手段に記憶されている過去の製造番号と一致しない場合には、上記ネットワーク端末から受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶するとともにアカウント属性情報を有効に変更する更新処理を行う第４の処理手段を有することを特徴とする認証装置。

上記ネットワーク端末は、所定の動作を行うための組織単位情報を記憶しており、上記サーバから通知された組織単位情報が上記予め記憶されている組織単位情報に一致する場合に所定の動作を行うようになっており、上記記憶手段には、組織単位情報がさらに記憶されており、上記第２の処理手段により製造番号が一致すると判別された場合、又は上記第４の手段により新規登録処理又は更新処理が行われた場合に、上記記憶手段に記憶されている当該ＩＣチップのアカウント属性情報を上記ネットワーク端末に送信して上記ネットワーク端末に対して所定の処理を実行させる第５処理手段とを有してもよい。

上記ＩＣチップには、暗号化キーを使用するか否かを表すシステムコードがさらに記憶されており、上記ネットワーク端末は、上記暗号化キーを読み取り、暗号化キーを使用するか否かを判別する手段と、判別した結果、暗号化キーを使用しない場合には、上記第２処理手段が、上記記憶手段に記憶されている最新の製造番号が、上記受信した製造番号と一致するか否か判別することで認証処理を行うようにしてもよい。

本発明の一の観点にかかる認証方法は、ＩＣチップを識別する製造番号と、ユーザーを識別するユーザーＩＤとを記憶するＩＣチップと、上記ＩＣチップに記憶されているデータを読み取る読取手段と、上記読み取ったＩＣチップのデータをサーバに対して送信することで認証要求を行い、認証が正しい場合に所定の動作を行うネットワーク端末とを有し、上記ネットワーク端末に通信を介して接続可能に構成され、ユーザＩＤに関連付けて、少なくとも、最新のＩＣチップの製造番号及び上記ＩＣチップが再発行された際に過去に関連付けられていた上記ＩＣチップの製造番号と、ユーザーＩＤと、当該ユーザーアカウントの有効又は無効を表すアカウント属性情報を関連付けて記憶する記憶手段を有するコンピュータにより実行される方法であって、上記ネットワーク端末が上記ＩＣチップから読み取り送信したＩＣチップの製造番号及びユーザーＩＤを含む認証要求を受信する処理と、上記記憶手段を参照して、上記受信したユーザーＩＤと一致するユーザーＩＤが記憶されているか否か判別する処理と、判別の結果、一致するユーザーＩＤが存在する場合に、上記記憶手段を参照して当該ユーザーＩＤに関連付けて記憶されている上記最新の製造番号が上記受信した製造番号と一致するか否か判別する処理と、上記判別の結果、製造番号が一致しない場合に、上記ユーザーＩＤに関連付けてられた製造番号が未登録か否かを判別する処理と、上記判別の結果、製造番号が未登録であると判別され、かつ、上記記憶手段に記憶されている過去の製造番号と一致しない場合に、上記受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶することで新規登録処理を行い、また上記判別の結果、製造番号が未登録ではないと判別された場合には、上記ネットワーク端末から受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶するとともにアカウント属性情報を有効に変更する更新処理を行う処理とを行うことを特徴とする。

ＩＣチップを識別する製造番号と、ユーザーを識別するユーザーＩＤとを記憶するＩＣチップと、上記ＩＣチップに記憶されているデータを読み取る読取手段と、上記読み取ったＩＣチップのデータをサーバに対して送信することで認証要求を行い、認証が正しい場合に所定の動作を行うネットワーク端末とを有し、上記ネットワーク端末に通信を介して接続可能に構成され、 ユーザーＩＤに関連付けて、少なくとも、最新の上記ＩＣチップの製造番号及び上記ＩＣチップが再発行された際に過去に関連付けられていた上記ＩＣチップの製造番号と、当該ユーザーＩＤがアカウントとして有効又は無効を表すアカウント属性情報を関連付けて記憶する記憶手段を有するコンピュータを、認証装置として機能させるためのコンピュータプログラムであって、上記コンピュータに対して、上記ネットワーク端末が、上記ＩＣチップから読み取り、送信したＩＣチップの製造番号及びユーザーＩＤを含む認証要求を受信する処理と、上記記憶手段を参照して、上記受信したユーザーＩＤと一致するユーザーＩＤが記憶されているか否か判別する処理と、判別の結果、一致するユーザーＩＤが存在する場合に、上記記憶手段を参照して当該ユーザーＩＤに関連付けて記憶されている上記最新の製造番号が上記受信した製造番号と一致するか否か判別する処理と、上記判別の結果、製造番号が一致しない場合に、上記ユーザーＩＤに関連付けられた製造番号が未登録か否かを判別する処理と、上記判別の結果、製造番号が未登録であると判別された場合に、上記受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶することで新規登録処理を行い、また上記判別の結果、製造番号が未登録ではないと判別された場合には、上記ネットワーク端末から受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶するとともにアカウント属性情報を有効に変更する更新処理を行う処理とを行わせるコンピュータプログラム。

本発明によれば、ネットワーク上でのＩＣカードや携帯電話などのＩＣチップ搭載デバイスのネットワーク認証を一元管理することができる。
また、ＩＣカードや携帯電話などのＩＣチップ搭載デバイスを紛失・破損した場合なども、ネットワーク管理者がその紐付け情報を修正することなく、新しいＩＣチップ搭載デバイスをリーダーにかざすだけでユーザー情報とＩＣチップ情報の関連付けを自動的に行うことが可能となる。

以下、本発明の実施形態に係る実施形態について図面を参照して説明する。
図１は本発明に係る一の実施形態の全体概要を示した模式図である。
図１において、本発明では、Active Directoryサーバ１と、Active Directoryサーバ１と通信を介して接続可能に構成されたネットワーク端末２、ネットワーク端末２に接続されたＩＣチップリーダーライター３、ＩＣチップ搭載デバイス４、入退室の履歴を更新管理するデータベースサーバ５を有している。

Active Directoryサーバ１は、Windows（登録商標）ネットワーク内のネットワーク認証を行うサーバである。このActive Directoryサーバ１は、そのActive Directoryデータベースに図２に示すように、ユーザーを識別するためのユーザーＩＤに関連付けて、少なくとも、パスワード、ＩＣチップ製造番号が関連付けて記憶できるようになっており、さらにこれらに加えてこの例ではユーザーが属する組織単位情報（ＯＵ： Organizational Unit）、アカウント属性の有効又は無効が記憶できるようになっている。また、開錠条件として、ネットワーク端末２の識別情報に対応付けて、当該ネットワーク端末２が設置されている電子錠を開錠できる組織単位情報が記憶されている。
ＩＣチップの製造番号は、現在ユーザーにより使用されている最新のＩＣチップの製造番号（本例では３３３３３３３３３３）と、過去にこのユーザーＩＤに対して、ＩＣチップが再発行されていた場合には、当該過去のＩＣチップの製造番号（本例では、０００００００００００と１１１１１１１１１１）が関連付けて記憶できるようになっている。
このActive Directoryサーバ１のユーザーＩＤとＩＣチップ製造番号が、Windows（登録商標）ネットワークへの認証を許可されたユーザーとＩＣチップ搭載デバイスを紐付けることとなる。

ネットワーク端末２は、Windows（登録商標）ネットワーク回線を介してActive Directoryサーバ１に接続可能に構成されている。
このネットワーク端末２としては、例えば、いわゆるパーソナルコンピュータ、ＰＤＡ(Personal Data Assistance)などで構成することができる。このＩＣチップ搭載デバイス４としては、例えば、いわゆるＩＣカード、携帯電話、ＲＦＩＤ（Radio Frequency
IDentification）などで構成することができる。
このネットワーク端末２は、ＩＣチップリーダーライター３を制御して、ＩＣチップ搭載デバイス４のメモリに記憶されているデータを読み取り、認証する処理を行う。

また、ネットワーク端末２は、ＬＡＮやＷＡＮなどを介して通信処理を行う通信制御部を有しており、この通信制御部により、Active Directoryサーバ１やデータベースサーバ５との間で所定のデータの送受信処理を行うことができる。
ネットワーク端末２は、ＩＣチップリーダーライター３により読み取ったデータをActive Directoryサーバ１に対して送信して照合を要求することで、ＩＣチップ搭載デバイス４の認証をする認証処理部を有している。
本例では、ネットワーク端末２は、そのメモリやハードディスクドライブなどの記憶部に、予め開錠条件として、開錠することができる組織単位情報（ＯＵ）が記憶されている。これにより、Active Directoryサーバ１による認証が完了し、送信されたユーザーの組織単位情報が、予め記憶部に記憶されている組織単位情報に一致するか否か判別し、判別の結果、一致する場合には開錠を行うように構成されている。
また、ネットワーク端末２は、認証結果のログをデータベースサーバ５へ送信して、履歴情報を更新する履歴更新処理部も有している。
また、取得したデータとActive Directoryを照合して見つかった不整合箇所を修正する修正処理部を有している。
なお、このネットワーク端末２は、本例では、ＩＣカードリーダーライター３と接続可能なネットワーク高機能端末により構成することができる。

ＩＣチップリーダーライター３は、ネットワーク端末２と接続して、ネットワーク端末２からの要求により、ＩＣチップ搭載デバイス４のＩＣチップ内のデータを読み書きする装置である。
なお、本例では、ＩＣチップリーダーライター３とネットワーク端末２とは別装置として構成した例について説明したが、ＩＣチップリーダーライター３とネットワーク端末２が一体化された装置としてもよい。

ＩＣチップ搭載デバイス４は、入退室者が保持するデバイスである。具体的には、ＩＣチップ搭載デバイス４は、例えば、ＩＣカード、携帯電話、ＲＦＩＤチップなどにより構成することができる。
このＩＣチップ搭載デバイス４はメモリを有しており、このメモリに入退室者を識別するためのユーザーＩＤと、ＩＣチップ搭載デバイス４に割り当てられた固有のデバイス製造番号が記憶できるようになっている。
また、その他、ＩＣチップ搭載デバイス４には、入退室者の氏名などの個人情報や、パスワードを記憶してもよい。

データベースサーバ５は、ネットワーク内でのネットワーク認証の履歴ログデータを保存・管理する装置である。
このデータベースサーバ５は、ネットワークに接続されており、該ネットワーク回線を通じて認証履歴ログ情報を受信することで、履歴データベースを更新する。

次に、上述の実施形態による処理の方法について説明する。
まず全体の概略について図１を参照して説明する。
図１に示した例は、入退室者が保持するＩＣチップ搭載デバイス４を使って、ネットワーク端末２が制御している電子錠を開錠して入退室を行う場合の例である。
まず、入退室者が保持しているＩＣチップ搭載デバイス４をＩＣチップリーダーライター３の端子に接続又はかざすことで、ＩＣチップリーダーライター３がＩＣチップ内のデータを読み取る（Ｓ１）。
この際読み取る情報としては、少なくともＩＣチップ搭載デバイス４のＩＣチップ内に記憶されているユーザーＩＤとＩＣチップの製造番号が含まれており、さらに入退室者の氏名などの個人情報やパスワードなどのデータが含まれてもよい。

ＩＣチップ内のデータが読み取られると、ネットワーク端末２が、Active Directoryサーバ１に対して読み取ったデータを送信して、ＩＣチップ内のデータの認証要求を行う（Ｓ２）。

Active Directoryサーバ１は、受信したデータに基づいて認証処理を行い、承認又は否認の結果をネットワーク端末２に送信する（Ｓ３）。
また、この際、Active Directoryサーバ１は、必要に応じて、Active Directoryデータベースを参照して、後述するＩＣチップ搭載デバイス４のデータの登録、更新処理を行う。

Active Directoryサーバ１から承認又は否認の通知があると、ネットワーク端末２は承認の際は開錠するなどの所定の処理を行うとともに、当該ログデータをデータベースサーバ５に送信する（Ｓ４）。なお、否認の場合は、ネットワーク端末２は、エラーメッセージを表示するなどして、当該ログデータをデータベースサーバ５に送信する。
これにより、データベースサーバ５は、送信されたログデータを履歴データベースに記憶して、一連の処理を終了する。

次に、上述の認証又は否認処理（Ｓ３）におけるActive Directoryサーバ１の詳細な処理について、図３を参照して説明する。
図３において、ネットワーク端末２は、ＩＣチップのSystem Codeを読取り（Ｓ１０１）、システムコードが暗号化キーを使用する設定となっているかどうかを判別する（Ｓ１０２）。
判別の結果、暗号化キーを使用する場合には、後述するモード２の処理が開始される。

判別の結果使用しない場合には、モード１の処理として、ネットワーク端末２は、ＩＣチップの製造番号を読み取り、これをActive Directoryサーバ１に送信する（Ｓ１０３）。

Active Directoryサーバ１は、Active Directoryデータベースを検索して、最新の製造番号を照合し（Ｓ１０４）、該当する製造番号が存在するか否か判別する（Ｓ１０５）。
この判別の結果、存在しない場合には、後述するエラー処理が行われる。

また、判別の結果、製造番号がActive Directoryデータベースに存在する場合には、Active Directoryサーバ１は、Active Directoryデータベースに記憶されている当該製造番号のアカウント属性及び、組織単位情報（ＯＵ：Organizational Unit）を取得する（Ｓ１０６）。

Active Directoryサーバ１は、アカウント属性情報が有効か無効かの照合を行い（Ｓ１０７、Ｓ１０８）、無効の場合には、後述するエラー処理を行う。
また、判別の結果、アカウント属性情報が有効な場合には、Active Directoryサーバ１は、組織単位情報（ＯＵ）の照合を行い開錠条件に合致する組織単位情報か否かを判別する（Ｓ１０９、Ｓ１１０）。
判別の結果、開錠条件に合致しない場合には、後述するエラー処理を行う。

また、判別の結果、開錠条件に合致する場合には、Active Directoryサーバ１は、電子錠開錠指示データと組織単位情報をネットワーク端末２に送信し、ネットワーク端末２は受信した組織単位情報が予め記憶部に記憶されている開錠できる組織単位情報に一致するか判別して、該当する場合には電子錠を開錠する処理を行う（Ｓ１１１）。

また、ネットワーク端末２は、開錠を行ったログデータをデータベースサーバ５に送信することで、データベースサーバ５はログ情報をデータベースに記憶して（Ｓ１１２）、処理を終了する。

また、上述のＳ１０２の処理で暗号化キーを使用すると判別された場合（モード２）の処理について、図４を参照して説明する。
図４において、ネットワーク端末２は、ＩＣチップの製造番号と、ＩＣチップに記憶されているユーザーＩＤを読み取り、Active Directoryサーバ１に送信する（Ｓ２０１）。

Active Directoryサーバ１は、Active Directoryデータベースを参照してユーザーＩＤの照合を行い、受信したユーザーＩＤに一致するユーザーＩＤが存在するか否かを判別する（Ｓ２０２、Ｓ２０３）。
判別の結果、一致するユーザーＩＤが存在しない場合は、不正なユーザーＩＤとして後述するエラー処理を行う。

また、判別の結果、一致するユーザーＩＤが存在する場合には、Active Directoryサーバ１は、Active Directoryデータベースを参照して、ＩＣチップの製造番号が、Ｓ２０３の処理で特定されたユーザーＩＤに関連付けられて記憶されている最新の製造番号と一致するか否かを判別する（Ｓ２０４、Ｓ２０５）。
判別の結果、一致しない場合には、後述するモード３の新規登録又は再発行処理に移る。

また判別の結果、製造番号が一致する場合には、Active Directoryサーバ１は、Active Directoryデータベースを参照して属性情報及びActive Directoryデータベースに記憶されているユーザーＩＤのアカウント属性情報及び、組織単位情報（ＯＵ：Organizational Unit）を取得する（Ｓ２０６）。

Active Directoryサーバ１は、アカウント属性情報が有効か無効かの照合を行い（Ｓ２０７、Ｓ２０８）、無効の場合には、後述するエラー処理を行う。
また、判別の結果、属性情報が有効な場合には、Active Directoryサーバ１は、Active Directoryデータベースを参照して、組織単位情報の照合を行い開錠条件に合致する組織単位情報か否かを判別する（Ｓ２０９、Ｓ２１０）。
判別の結果、開錠条件に合致しない場合には、後述するエラー処理を行う。

また、判別の結果、開錠条件に合致する場合には、Active Directoryサーバ１は、電子錠開錠指示データと組織単位情報をネットワーク端末２に送信し、ネットワーク端末２は受信した組織単位情報が予め記憶部に記憶されている開錠できる組織単位情報に一致するか判別して、該当する場合には電子錠を開錠する処理を行う（Ｓ２１１）。

また、ネットワーク端末２は、開錠を行ったログデータをデータベースサーバ５に送信することで、データベースサーバ５はログ情報を履歴データベースに記憶して（Ｓ２１２）、処理を終了する。

次に、Ｓ２０５の処理で、製造番号が登録されておらず無効と判別された場合の場合（新規登録又は再発行処理）の処理について図５を参照して説明する。
図５において、前述のＳ２０５の処理で、製造番号が一致しないと判別された場合、Active Directoryサーバ１は、製造番号更新処理を開始し、Active Directoryサーバ１は、Active Directoryデータベースを参照して、製造番号が登録されていない状態か否か判別する（Ｓ３０１）。

判別の結果、製造番号が登録されていない場合、即ち、ユーザーＩＤは登録されているがＩＣチップの製造番号が登録されていない場合には、新規登録としてネットワーク端末２から送信された製造番号を、既に登録されているユーザーＩＤと関連付けて登録し（Ｓ３０２）、番号更新処理を終了して、前述のＳ２０６以下の処理を行う。

また、Ｓ３０１の処理で製造番号が一致しないと判別された場合には、Active Directoryサーバ１は、取得したＩＣチップの製造番号が、Active Directoryデータベースに記憶されている過去のＩＣチップの製造番号に一致しないか否か判別する（Ｓ３０３）。
判別の結果、過去のＩＣチップの製造番号と一致する場合には、紛失したカードを誰かが使用している場合であるとして、後述するエラー処理を行う。
また、判別の結果、過去のＩＣチップの製造番号とは一致しないと判別された場合には、Active Directoryサーバ１は、Active Directoryデータベースを参照して、アカウント属性情報及び、組織単位情報（ＯＵ：Organizational Unit）を取得する（Ｓ３０４）。

Active Directoryサーバ１は、アカウント属性情報が無効となっているか否か照合を行う（Ｓ３０５、Ｓ３０６）。
すなわち、ＩＣチップ搭載デバイス４を紛失した場合には、ユーザーが紛失を届け出ており、システム管理者によってアカウント属性情報が無効となっているため、システム属性が無効となっているか否か判別することで、紛失したＩＣチップ搭載デバイス４が再発行されたか否か判別する。

判別の結果、アカウント属性が無効でなく、有効となっている場合には、不正なＩＣチップ搭載デバイスとして、後述するエラー処理を行う。

また、判別の結果、アカウント属性情報が無効となっている場合には、Active Directoryサーバ１は、当該ユーザーＩＤに関連付けられているActive Directoryデータベースの製造番号を、ＩＣチップ搭載デバイス４から読み取った製造番号に更新し（Ｓ３０７）、当該製造番号のステータスを有効に変更して再発行処理を行い（Ｓ３０８）、前述のＳ２０６以下の処理を行う。

次に、図６を参照してエラー処理の流れについて説明する。
図６において、エラー処理通知されると、Active Directoryサーバ１はエラー処理を開始し、不正侵入警告を発する（Ｓ４０１）。これにより、システム管理者などに対してアラーを通知するなどの処理を行う。
そして、Active Directoryサーバ１は、エラー処理をデータベースサーバ５に通知することで、データベースサーバ５はエラー処理のログを記憶して（Ｓ４０２）、エラー処理を終了する。

このように、上述の実施形態によれば、Windows（登録商標）ネットワーク上でのＩＣカードや携帯電話などのＩＣチップ搭載デバイス４のネットワーク認証を、Active Directoryサーバ１で一元管理できる。
また、ＩＣカードや携帯電話などのＩＣチップ搭載デバイス４を紛失・破損した場合なども、ネットワーク管理者がその紐付け情報を修正することなく、上述の更新処理で新しいＩＣチップ搭載デバイス４をＩＣチップリーダーライター３にかざすだけでユーザー情報とＩＣチップ情報の関連付けを自動的に行うことができ、人手による登録の場合のミスがなくなり、効率的にかつ正確に登録・更新処理を行うことができる。

符号の説明

１ Active Directoryサーバ
２ ネットワーク端末
３ ＩＣチップリーダーライター
４ ＩＣチップ搭載デバイス
５ データベースサーバ

本発明の実施形態にかかるシステムの全体構成を表す概略図。 本実施形態のActive Directoryデータベースのデータ項目を示した図。 本実施形態にかかる処理フローを示した図。 本実施形態にかかるモード２の処理フローを示した図。 本実施形態にかかるモード３の処理フローを示した図。 本実施形態にかかるモード４の処理フローを示した図。

Claims (5)

1. ＩＣチップを識別する製造番号と、ユーザーを識別するユーザーＩＤとを記憶するＩＣチップと、
   上記ＩＣチップに記憶されているデータを読み取る読取手段と、
   上記読み取ったＩＣチップのデータをサーバに対して送信することで認証要求を行い、認証が正しい場合に所定の動作を行うネットワーク端末とを有し、上記ネットワーク端末に通信を介して接続可能に構成されたサーバであって、
   ユーザーＩＤに関連付けて、少なくとも最新のＩＣチップの製造番号及び上記ＩＣチップが再発行された際に過去に関連付けられていた上記ＩＣチップの製造番号と、当該ユーザーＩＤがアカウントとして有効又は無効を表すアカウント属性情報を関連付けて記憶する記憶手段と、
   上記ネットワーク端末が、上記ＩＣチップから読み取り、送信したＩＣチップの製造番号及びユーザーＩＤを含む認証要求を受信する受信手段と、
   上記記憶手段を参照して、上記受信したユーザーＩＤと一致するユーザーＩＤが記憶されているか否か判別する第１処理手段と、
   判別の結果、一致するユーザーＩＤが存在する場合に、上記記憶手段を参照して当該ユーザーＩＤに関連付けて記憶されている上記最新の製造番号が上記受信した製造番号と一致するか否か判別する第２処理手段と、
   上記判別の結果、製造番号が一致しない場合に、上記ユーザーＩＤに関連付けられた製造番号が未登録か否かを判別する第３処理手段と、
   上記判別の結果、製造番号が未登録であると判別された場合に、上記受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶することで新規登録処理を行い、また上記判別の結果、製造番号が未登録ではないと判別され、かつ、上記記憶手段に記憶されている過去の製造番号と一致しない場合には、上記ネットワーク端末から受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶するとともにアカウント属性情報を有効に変更する更新処理を行う第４の処理手段、
   を有することを特徴とする認証装置。
2. 上記ネットワーク端末は、所定の動作を行うための組織単位情報を記憶しており、上記サーバから通知された組織単位情報が上記予め記憶されている組織単位情報に一致する場合に所定の動作を行うようになっており、
   上記記憶手段には、組織単位情報がさらに記憶されており、
   上記第２の処理手段により製造番号が一致すると判別された場合、又は上記第４の手段により新規登録処理又は更新処理が行われた場合に、上記記憶手段に記憶されている当該ＩＣチップのアカウント属性情報を上記ネットワーク端末に送信して上記ネットワーク端末に対して所定の処理を実行させる第５処理手段と、を有する、
   請求項１記載の認証装置。
3. 上記ＩＣチップには、暗号化キーを使用するか否かを表すシステムコードがさらに記憶されており、
   上記ネットワーク端末は、上記暗号化キーを読み取り、暗号化キーを使用するか否かを判別する手段と、
   判別した結果、暗号化キーを使用しない場合には、上記第２処理手段が、上記記憶手段に記憶されている最新の製造番号が、上記受信した製造番号と一致するか否か判別することで認証処理を行う、
   請求項１又は２記載の認証装置。
4. ＩＣチップを識別する製造番号と、ユーザーを識別するユーザーＩＤとを記憶するＩＣチップと、
   上記ＩＣチップに記憶されているデータを読み取る読取手段と、
   上記読み取ったＩＣチップのデータをサーバに対して送信することで認証要求を行い、認証が正しい場合に所定の動作を行うネットワーク端末とを有し、上記ネットワーク端末に通信を介して接続可能に構成され、 ユーザーＩＤに関連付けて、少なくとも最新のＩＣチップの製造番号及び上記ＩＣチップが再発行された際に過去に関連付けられていた上記ＩＣチップの製造番号と、ユーザーＩＤと、当該ユーザーアカウントの有効又は無効を表すアカウント属性情報を関連付けて記憶する記憶手段を有するコンピュータにより実行される方法であって、
   上記ネットワーク端末が上記ＩＣチップから読み取り送信したＩＣチップの製造番号及びユーザーＩＤを含む認証要求を受信する処理と、
   上記記憶手段を参照して、上記受信したユーザーＩＤと一致するユーザーＩＤが記憶されているか否か判別する処理と、
   判別の結果、一致するユーザーＩＤが存在する場合に、上記記憶手段を参照して当該ユーザーＩＤに関連付けて記憶されている上記最新の製造番号が上記受信した製造番号と一致するか否か判別する処理と、
   上記判別の結果、製造番号が一致しない場合に、上記ユーザーＩＤに関連付けてられた製造番号が未登録か否かを判別する処理と、
   上記判別の結果、製造番号が未登録であると判別された場合に、上記受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶することで新規登録処理を行い、また上記判別の結果、製造番号が未登録ではないと判別され、かつ、上記記憶手段に記憶されている過去の製造番号と一致しない場合には、上記ネットワーク端末から受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶するとともにアカウント属性情報を有効に変更する更新処理を行う処理と、
   を行うことを特徴とする認証方法。
5. ＩＣチップを識別する製造番号と、ユーザーを識別するユーザーＩＤとを記憶するＩＣチップと、
   上記ＩＣチップに記憶されているデータを読み取る読取手段と、
   上記読み取ったＩＣチップのデータをサーバに対して送信することで認証要求を行い、認証が正しい場合に所定の動作を行うネットワーク端末とを有し、上記ネットワーク端末に通信を介して接続可能に構成され、ユーザーＩＤに関連付けて、少なくとも、最新の上記ＩＣチップの製造番号及び上記ＩＣチップが再発行された際に過去に関連付けられていた上記ＩＣチップの製造番号と、当該ユーザーＩＤがアカウントとして有効又は無効を表すアカウント属性情報を関連付けて記憶する記憶手段を有するコンピュータを、認証装置として機能させるためのコンピュータプログラムであって、
   上記コンピュータに対して、
   上記ネットワーク端末が、上記ＩＣチップから読み取り、送信したＩＣチップの製造番号及びユーザーＩＤを含む認証要求を受信する処理と、
   上記記憶手段を参照して、上記受信したユーザーＩＤと一致するユーザーＩＤが記憶されているか否か判別する処理と、
   判別の結果、一致するユーザーＩＤが存在する場合に、上記記憶手段を参照して当該ユーザーＩＤに関連付けて記憶されている上記最新の製造番号が上記受信した製造番号と一致するか否か判別する処理と、
   上記判別の結果、製造番号が一致しない場合に、上記ユーザーＩＤに関連付けられた製造番号が未登録か否かを判別する処理と、
   上記判別の結果、製造番号が未登録であると判別された場合に、上記受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶することで新規登録処理を行い、また上記判別の結果、製造番号が未登録ではないと判別され、かつ、上記記憶手段に記憶されている過去の製造番号と一致しない場合には、上記ネットワーク端末から受信した製造番号を上記ユーザーＩＤと関連付けて上記記憶手段に記憶するとともにアカウント属性情報を有効に変更する更新処理を行う処理と、
   を行わせるコンピュータプログラム。