JP2010160742A - 認証処理装置、認証処理システム、認証処理方法、及びプログラム - Google Patents

Abstract

【課題】運用管理者の負担の増加を抑制しつつ、複数のシステムへの認証処理を一括して行い得る、認証処理装置、認証処理システム、認証処理方法、及びプログラムを提供する。
【解決手段】システム２０〜４０と、利用者管理システム１０と、認証処理装置１とを備えた認証処理システムを用いる。利用者管理システム１０は、システム２０〜４０を利用する利用者の情報を、データベース１１によって管理している。認証処理装置１は、データベース１１から利用者の情報を抽出する利用者情報抽出部２と、利用者の情報から利用者の権限を求め、この権限から利用者による各システムへの認証の拒否を判定し、判定結果と利用者に予め割り当てられた認証情報とを関連付けて管理する利用者管理部３と、利用者に予め割り当てられた認証情報を、当該利用者による認証が許可されているシステムの認証情報として設定する認証情報設定部７とを備えている。
【選択図】図２

Description

本発明は、複数のシステムへの認証を一括して行う認証処理装置、それを用いた認証処理システム及び認証処理方法、更には、これらを実現するためのプログラムに関する。

一般に、企業内には、在庫管理システム、受発注管理システム、顧客管理システムといった複数のシステムが構築されている。このようなシステムは構築時期等が異なったり、アクセスが認められる者が異なったりするため、システム毎に、認証が求められている。よって、利用が許可されているユーザは、各システムを利用する場合は、システム毎に認証を行う必要があり、そして、多くの認証ＩＤやパスワードを覚えなければならず、ユーザにとっては煩雑である。

このため、ユーザ毎に、一組の認証ＩＤ及び認証パスワードを設定し、各ユーザが、全てのシステムに対して、この共通の認証ＩＤ及び認証パスワードによって認証を行うことができるようにする、認証システムが提案されている（例えば、特許文献１及び特許文献２参照）。

例えば、特許文献１に開示された認証システムは、ユーザが、共通認証ＩＤ及び共通認証パスワードを入力すると、これらの共通認証ＩＤ及び共通認証パスワードを、変換テーブルを用いて、ユーザが利用するシステム毎の設定された認証情報に変換する。そして、認証システムは、ユーザに代わって、該システムへの認証を行う。

また、特許文献２に開示された認証システムは、ユーザからの共通認証情報と、ユーザが利用を求めるサービスとの入力を受け付けると、このユーザとサービスとに関連付けられたパスワードをデータベースから抽出する。その後、抽出されたパスワードは、ユーザが利用を求めるサービスを提供するシステムに送信され、ユーザはサービスを受けることができる。

このように、特許文献１又は特許文献２に開示された認証システムによれば、ユーザは、システム毎に認証を行う必要がなく、多くの認証ＩＤやパスワードを覚えなければならないという煩わしさから解放される。

特開２００３−１３２０２２号公報 特開２００２−１８９７０２号公報

しかしながら、個人が契約するサービスシステムと異なり、企業内のシステムには、個人ＩＤが割り当てられる場合もあれば、課や部などのグループ単位でグループＩＤが割り当てられる場合もある。このため、特許文献１及び２に開示の認証システムを企業で用いようとすると、パスワード等を変換するための変換テーブルや、抽出するためのデータベースの作成が困難となり、運用管理者における負担が増大する。

また、企業においては、人事異動、退職、入社等によって、利用者の所属部署や、利用者の構成が度々変更される。このため、上記のテーブルやデータベースは頻繁に更新する必要があり、特許文献１及び２に開示の認証システムでは、上記理由からも、運用管理者における負担が増大してしまう。

本発明の目的は、上記問題を解消し、運用管理者の負担の増加を抑制しつつ、複数のシステムへの認証処理を一括して行い得る、認証処理装置、認証処理システム、認証処理方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明における認証処理装置は、複数のシステムへの認証を一括して行う認証処理装置であって、
前記複数のシステムを利用する利用者の情報を管理しているデータベースから、前記利用者の情報を抽出する、利用者情報抽出部と、
抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、利用者管理部と、
前記利用者管理部によって管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、認証情報設定部とを備えている、ことを特徴とする。

上記目的を達成するため、本発明における認証処理システムは、複数のシステムと、利用者管理システムと、認証処理装置とを備え、
前記利用者管理システムは、前記複数のシステムを利用する利用者の情報をデータベースによって管理し、
前記認証処理装置は、
前記データベースから前記利用者の情報を抽出する、利用者情報抽出部と、
抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、利用者管理部と、
前記利用者管理部によって管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、認証情報設定部とを備えている、ことを特徴とする。

また、上記目的を達成するため、本発明における認証処理方法は、複数のシステムへの認証を、一括して行うための認証処理方法であって、
（ａ）前記複数のシステムを利用する利用者の情報を管理しているデータベースから、前記利用者の情報を抽出する、ステップと、
（ｂ）前記（ａ）のステップで抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、ステップと、
（ｃ）前記（ｂ）のステップで管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、ステップとを有する、ことを特徴とする。

更に、上記目的を達成するため、本発明におけるプログラムは、複数のシステムへの認証を、コンピュータによって、一括して行うためのプログラムであって、
前記コンピュータに、
（ａ）前記複数のシステムを利用する利用者の情報を管理しているデータベースから、前記利用者の情報を抽出する、ステップと、
（ｂ）前記（ａ）のステップで抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、ステップと、
（ｃ）前記（ｂ）のステップで管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、ステップとを実行させる、ことを特徴とする。

以上の特徴により、本発明における認証処理装置、認証処理システム、認証処理方法、及びプログラムによれば、運用管理者の負担の増加を抑制しつつ、複数のシステムへの認証処理を一括して行うことが可能になる。

図１は、本発明の実施の形態における認証処理システムの全体を概略的に示す図である。 図２は、本発明の実施の形態における認証処理装置及び認証処理システムの概略構成を示すブロック図である。 図３は、図１及び図２に示した認証処理システムを用いたユーザによる認証を説明する図である。 図４は、本発明の実施の形態における認証処理方法の処理の流れを示すフロー図である。

（実施の形態）
以下、本発明の実施の形態における認証処理装置、認証処理システム、認証処理方法、及びプログラムについて、図１〜図４を参照しながら説明する。最初に、本実施の形態における認証処理装置及びそれを備える認証処理システムの構成について、図１〜図３を用いて説明する。

図１は、本発明の実施の形態における認証処理システムの全体を概略的に示す図である。図２は、本発明の実施の形態における認証処理装置及び認証処理システムの概略構成を示すブロック図である。図３は、図１及び図２に示した認証処理システムを用いたユーザによる認証を説明する図である。

図１に示すように、本実施の形態における認証処理システム６０は、本実施の形態における認証処理装置１と、システム２０〜４０と、利用者管理システム１０とを備えている。Ａシステム２０、Ｂシステム３０及びＣシステム４０は、それぞれ、利用者にサービスを提供するシステムである。そして、利用者管理システム１０は、これらＡシステム２０、Ｂシステム３０、及びＣシステム４０を利用する利用者の情報をデータベースによって管理している。認証処理装置１は、Ａシステム２０、Ｂシステム３０、及びＣシステム４０への認証を一括して行うための装置である。

本実施の形態では、Ａシステム２０、Ｂシステム３０、及びＣシステム４０は、同一の組織、例えば、一つの企業Ｘにおいて利用される。Ａシステム２０、Ｂシステム３０、及びＣシステム４０それぞれの具体例としては、Ｗｅｂシステム、電子帳票システム、検索システム等の企業内で利用されるシステムが挙げられる。また、認証処理装置１と、システム２０〜４０と、利用者管理システム１０とは、企業Ｘにおける社内のネットワーク５０を介して互いに接続されている。

また、図２に示すように、認証処理装置１は、利用者情報抽出部２と、利用者管理部３と、認証情報設定部７とを備えている。このうち、利用者情報抽出部２は、利用者管理システム１０のデータベース（利用者情報データベース１１）から利用者の情報を抽出する。

利用者管理部３は、先ず、抽出した利用者の情報から、利用者の権限を求め、求めた利用者の権限から、利用者によるシステム２０〜４０それぞれへの認証の拒否を判定する。更に、利用者管理部３は、認証の拒否の判定結果と利用者に予め割り当てられた認証情報とを関連付けて管理する。また、認証情報設定部７は、利用者管理部３によって管理されている、利用者に予め割り当てられた認証情報を、当該利用者による認証がシステム２０〜４０のいずれかについて許可されている場合に、許可されているシステムの認証情報として設定する。

このように、本実施の形態における認証処理装置１及び認証処理システム６０は、利用者情報から、各利用者において各システム２０〜４０への認証が許可されているかどうかを判定する。そして、認証処理装置１及び認証処理システム６０は、認証が許可されている場合は、利用者の認証情報を、認証可能なシステムの認証情報として設定する。このため、本実施の形態では、特許文献１または２に開示されたシステムと異なり、変換テーブルやデータベース等を作成しておく必要や、それらを更新する必要がない。本実施の形態における認証処理装置１及び認証処理システム６０によれば、運用管理者の負担の増加を抑制しつつ、同時に、複数のシステムへの認証処理を一括して行うことが可能となる。

ここで、本実施の形態における認証処理装置１及び認証処理システム６０の構成について、更に、具体的に説明する。本実施の形態では、利用者管理システム１０は、組織に属する利用者の情報を利用者管理情報データベース１１によって管理している。利用者の情報には、組織における利用者の地位が含まれている。具体的には、利用者管理システム１０は、企業Ｘにおける人事情報を管理する人事システムサーバである。利用者管理情報データベース１１は、例えば、所属部署、認証情報（ＩＤ及びパスワード）、等級、及び役職等の社員情報を管理している。

また、本実施の形態では、図２に示すように、Ａシステム２０、Ｂシステム３０、及びＣシステム４０は、それぞれ、認証サーバを備えている。また、各システム２０〜４０の認証サーバは、認証テーブルを備えている。認証テーブルは、システムが認証を許可する認証情報（ユーザＩＤ及びパスワード）を特定している。

利用者管理部３は、本実施の形態では、利用者マスタ構築部４と、利用システム管理マスタ（データベース）５と、利用者マスタ（データベース）６とを備え、利用者の地位に基づいて、利用者による各システム２０〜４０への認証の拒否を判定する。具体的には、利用システム管理マスタ５は、所属部署、等級及び役職別に、認証が許可されるシステム２０〜４０を登録し、管理している。また、利用システム管理マスタ５は、所属部署、等級及び役職それぞれについて、認証が許可されるシステムでの権限も管理している。

利用者マスタ構築部４は、利用者の情報を受け取ると、利用システム管理マスタ５を参照しながら、各利用者の権限を求め、求めた権限によって認証が許可されるシステムを特定する。そして、各利用者に予め割り当てられたＩＤ及びパスワードと、当該利用者において認証が許可されている一又は二以上のシステムとを関連付け、関連付けによって得られた情報を利用者マスタ６に出力する。利用者マスタ６は、出力された情報を格納する。

認証情報設定部７は、本実施の形態では、利用者マスタ６に格納されている情報を参照して、各システム２０〜４０の認証テーブルに対して、利用者管理部３が管理している認証情報の追加、削除、又は更新を行う。これにより、各システム２０〜４０それぞれにおいて、認証情報が設定される。

このような構成により、図３に示すように、例えば、利用者Ａは、一つの認証情報（ユーザＩＤ及びパスワード）によって、利用者Ａの認証が許可されている全てのシステム（図３の例ではＡシステム２０、Ｂシステム３０及びＣシステム４０）に対してログインすることができる。また、Ａシステム２０、Ｂシステム３０及びＣシステム４０における認証情報の設定は、認証処理装置１によって自動的に行われる。よって、運用管理者は、特許文献１及び２に開示されたシステムのように変換テーブルやデータベースの更新を行う必要がなく、運用管理者における負担は軽減される。

また、Ａシステム２０、Ｂシステム３０及びＣシステム４０のうち、いずれかのシステムにおいて、認証用のＩＤとして、課や部などのグループ単位でのグループＩＤが元々割り当てられていたとしても、本実施の形態では、運用管理者の負担は軽減される。これは、上述したように、本実施の形態では、各システムの認証情報は、利用者の人事情報（利用者の所属部署、等級、役職等）に基づいて設定され、この場合であっても、パスワード等の変換テーブルやデータベースを用意する必要がないからである。

次に、本発明の実施の形態における認証処理方法について、図４を用いて説明する。図４は、本発明の実施の形態における認証処理方法の処理の流れを示すフロー図である。但し、本実施の形態における認証処理法は、図１に示した本実施の形態における認証処理装置を動作させることによって実施される。このため、以下における、認証処理方法の説明は、適宜図１〜図３を用いて、図１に示す認証処理装置の動作を説明しながら行う。

図４に示すように、最初に、利用者情報抽出部２によって、利用者管理システム１０の利用者情報データベース１１から利用者の情報が抽出される（ステップＡ１）。ステップＡ１で抽出される利用者の情報には、例えば、利用者の所属部署、認証情報（ＩＤ及びパスワード）、等級、及び役職等が含まれている。また、利用者の情報は、利用者管理部３に入力される。

次に、利用者管理部３は、抽出した利用者の情報から、利用者の権限を求め、求めた利用者の権限から、利用者によるシステム２０〜４０それぞれへの認証の拒否を判定する（ステップＡ２）。具体的には、利用者マスタ構築部４は、入力された利用者の情報から、利用者の権限として、各利用者の所属部署、等級及び役所を求め、これらから、当該利用者の認証が許可されるシステムを特定する。

次に、利用者管理部３は、ステップＡ２の判定結果と、各利用者に予め割り当てられている認証情報とを関連付けて、これらを管理する（ステップＡ３）。具体的には、利用者マスタ構築部４は、利用者の認証情報と、当該利用者において認証が許可されている一又は二以上のシステムとを関連付け、関連付けによって得られた情報を、利用者マスタ５に出力する。利用者マスタ５は、出力された情報を格納する。

その後、認証情報設定部７は、利用者管理部３によって管理されている、利用者に予め割り当てられた認証情報を、当該利用者による認証が許可されているシステムの認証情報として設定する（ステップＡ４）。具体的には、認証情報設定部７は、利用者管理マスタ５に格納されている情報を参照し、各システム２０〜４０の認証テーブルにおいて、利用者管理部３によって管理されている認証情報の追加、削除、又は更新を行う。

以上のステップＡ１〜Ａ４の処理により、Ａシステム２０、Ｂシステム３０、及びＣシステム４０において認証情報が設定され、各利用者は、一つの認証情報（ＩＤ及びパスワード）によって、認証が許可されたシステムに対してログインすることができる。また、本実施の形態において、ステップＡ１〜Ａ４は、一定時間毎に、例えば、２４時間毎に、夜間等において実行することができる。この場合は、企業において人事異動が行われた場合は、翌日には、新しい人事情報に基づいて、各システムにおける認証の拒否が更新される。

また、本実施の形態におけるプログラムは、コンピュータに、図４に示すステップＡ１〜Ａ４を具現化させるプログラムであれば良い。本実施の形態におけるプログラムをコンピュータにインストールし、実行することによって、本実施の形態における認証処理装置１を実現でき、更に、本実施の形態における認証処理方法を実行できる。

この場合、コンピュータのＣＰＵ（central processing unit）は、利用者情報抽出部２、利用者マスタ構築部４、及び認証情報設定部７として機能し、処理を行なうことができる。また、本実施の形態では、利用システム管理マスタ５、及び利用者マスタ６は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって実現できる。

以上のように、本発明によれば、認証処理装置及び認証処理システムの運用管理者の負担を軽減しつつ、複数のシステムへの認証処理を一括して行うことができる。本発明は、認証が必要な複数のシステムが存在する場合に有効であり、産業上の利用可能性を有している。

１ 認証処理装置
２ 利用者情報抽出部
３ 利用者管理部
４ 利用者マスタ構築部
５ 利用システム管理マスタ
６ 利用者マスタ
７ 認証情報設定部
１０ 利用者管理システム
１１ 利用者情報データベース
２０ Ａシステム
３０ Ｂシステム
４０ Ｃシステム
５０ ネットワーク
６０ 認証処理システム

Claims (9)

1. 複数のシステムへの認証を一括して行う認証処理装置であって、
   前記複数のシステムを利用する利用者の情報を管理しているデータベースから、前記利用者の情報を抽出する、利用者情報抽出部と、
   抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、利用者管理部と、
   前記利用者管理部によって管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、認証情報設定部とを備えている、ことを特徴とする認証処理装置。
2. 前記複数のシステムそれぞれが、当該システムへの認証が許可される認証情報を特定するテーブルを有しており、
   前記認証情報設定部が、前記テーブルに対して、前記利用者管理部によって管理されている前記認証情報の追加、削除、又は更新を行うことにより、前記複数のシステムそれぞれにおける認証情報を設定する、請求項１に記載の認証処理装置。
3. 複数のシステムと、利用者管理システムと、認証処理装置とを備え、
   前記利用者管理システムは、前記複数のシステムを利用する利用者の情報をデータベースによって管理し、
   前記認証処理装置は、
   前記データベースから前記利用者の情報を抽出する、利用者情報抽出部と、
   抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、利用者管理部と、
   前記利用者管理部によって管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、認証情報設定部とを備えている、ことを特徴とする認証処理システム。
4. 前記複数のシステムそれぞれが、当該システムへの認証が許可される認証情報を特定するテーブルを有し、
   前記認証情報設定部が、前記テーブルに対して、前記利用者管理部によって管理されている前記認証情報の追加、削除、又は更新を行うことにより、前記複数のシステムそれぞれにおける認証情報を設定する、請求項３に記載の認証処理システム。
5. 前記複数のシステムが、同一の組織で利用され、
   利用者管理システムが、前記組織に属する前記利用者の情報を管理し、前記利用者の情報には、前記組織における前記利用者の地位が含まれ、
   前記利用者管理部は、前記利用者の地位に基づいて、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定する、請求項３に記載の認証処理システム。
6. 複数のシステムへの認証を、一括して行うための認証処理方法であって、
   （ａ）前記複数のシステムを利用する利用者の情報を管理しているデータベースから、前記利用者の情報を抽出する、ステップと、
   （ｂ）前記（ａ）のステップで抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、ステップと、
   （ｃ）前記（ｂ）のステップで管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、ステップとを有する、ことを特徴とする認証処理方法。
7. 前記複数のシステムそれぞれが、当該システムへの認証が許可される認証情報を特定するテーブルを有している場合に、
   前記（ｃ）のステップでは、前記テーブルに対して、前記（ｂ）のステップによって管理されている前記認証情報の追加、削除、又は更新を行うことにより、前記複数のシステムそれぞれにおける認証情報を設定する、請求項５に記載の認証処理方法。
8. 複数のシステムへの認証を、コンピュータによって、一括して行うためのプログラムであって、
   前記コンピュータに、
   （ａ）前記複数のシステムを利用する利用者の情報を管理しているデータベースから、前記利用者の情報を抽出する、ステップと、
   （ｂ）前記（ａ）のステップで抽出した前記利用者の情報から、前記利用者の権限を求め、求めた前記利用者の権限から、前記利用者による前記複数のシステムそれぞれへの認証の拒否を判定し、前記認証の拒否の判定結果と前記利用者に予め割り当てられた認証情報とを関連付けて管理する、ステップと、
   （ｃ）前記（ｂ）のステップで管理されている、前記利用者に予め割り当てられた認証情報を、当該利用者による認証が前記複数のシステムいずれかについて許可されている場合に、許可されている当該システムの認証情報として設定する、ステップとを実行させる、ことを特徴とするプログラム。
9. 前記複数のシステムそれぞれが、当該システムへの認証が許可される認証情報を特定するテーブルを有している場合に、
   前記（ｃ）のステップでは、前記テーブルに対して、前記（ｂ）のステップによって管理されている前記認証情報の追加、削除、又は更新を行うことにより、前記複数のシステムそれぞれにおける認証情報を設定する、請求項８に記載のプログラム。