JP2010193192A - アクセス制御装置、アクセス制御方法、アクセス制御プログラムおよびサービス提供システム - Google Patents

Abstract

【課題】ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じて制御することと、アクセスネットワークのセキュリティレベルに応じて、アプリケーションの使用を制御することを課題とする。
【解決手段】本願が開示するサービス提供システムのアクセス制御装置は、ユーザ端末との間のアクセスネットワーク確立時の接続情報から、ユーザ端末を識別するユーザ識別情報と、確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納する。そして、アクセス制御装置は、ユーザ端末からアプリケーションサーバへの接続要求を受信した場合に、ユーザ端末に対応するアクセス関連情報を取得し接続要求とともにアプリケーションサーバに送信する。
【選択図】図２

Description

本発明は、各種サービスをユーザ端末に提供するアプリケーションサーバと前記ユーザ端末とのそれぞれと接続され、前記アプリケーションサーバとユーザ端末との間の通信を中継するアクセス制御装置、アクセス制御方法、アクセス制御プログラムおよびサービス提供システムに関する。

近年、インターネットやＶＰＮ（Virtual Private Network）などのネットワーク技術が発展し、さらに、ｘＤＳＬ（x Digital Subscriber Line）や光ファイバーなど高速回線が普及している。

これらネットワーク技術の発展や高速回線の普及に伴って、企業などでは、社員同士のデータ交換、サーバからのデータ読み出し、サーバへのデータ格納など社員のデータ操作を企業内ＬＡＮ（Local Area Network）内での閉じた領域内に限らず、社外からも許可する取り組みが行われている。

社員のデータ操作を社外からも許可するアクセス制御としては、例えば、複数ある支社とそれぞれ専用線で接続してデータ操作を可能としたり、ＶＰＮソフトウエアを用いて限られた資源（データ）のみのアクセスを許可したりするアクセス制御などが利用されている。また、例えば、外部からアクセスに対してユーザ認証（ユーザＩＤ、パスワードなど）を行って許可されたユーザに対して、予め設定された操作可能な資源（データ）のみへのアクセスを許可したりするアクセス制御なども利用されている。このように、企業では、不正なアクセスを防止したり、データの漏洩を防止したりするために、セキュリティを高く保つことに留意しつつ、社外からもデータ操作を可能とする様々なアクセス制御を利用している。

特開２００８−４８１１３号公報

しかしながら、上記した従来のアクセス制御では、音声や映像などのストリーミング系サービスでは、利用者端末と接続するアクセスネットワークを考慮してデータ送受信の制御を可能としているが、それ以外のアプリケーションの場合は、アクセスネットワークに応じた制御ができないという課題があった。

また、従来のアクセス制御では、暗号化を行わないなどセキュリティが低く信頼性が低いアクセスネットワークで接続されるユーザ端末に対しても、機密性の高いアプリケーションを提供することができるなど、アクセスネットワークのセキュリティレベルに応じて、アプリケーションの使用を制御することができないという課題があった。

これらの課題について具体的に説明すると、例えば、ストリーミング系サービスでは、アクセスネットワークの帯域を考慮して、ストリーミングデータを利用者端末に送信することができるが、人事システム（人事データ）、出勤管理システム（出勤記録データ）などのアプリケーションの場合は、アクセスネットワークの帯域を考慮して、利用者端末にデータ送信することができない。したがって、狭帯域の回線に膨大なデータを送信することが度々起こったり、広帯域の回線にデータを少量ずつ送信したりするなど、アクセスネットワークやインターネットなどを含むシステムを構築するネットワーク全体の遅延や輻輳を引き起こす原因となっていた。

また、近年、自宅から会社に接続できるなど、ユーザが様々なアクセスネットワーク（回線）から企業網などの閉域網にアクセスすることができる状況になってきたが、ユーザが利用するアクセスネットワークの信頼性は必ずしも高いとは限らない。そのため、セキュリティが低く信頼性が低いアクセスネットワークで接続されるユーザ端末が、機密性の高い情報へアクセスすることができ、情報漏洩に繋がる可能性が高い。これらを防ぐために、様々なアプリケーションを提供するアプリケーションサーバ側でアクセスネットワークごとにアクセス制御（アクセス設定）を行うことも考えられるが、ユーザが利用するアクセスネットワークの種類が膨大であり、ユーザごとにアクセス制御を設定することが複雑で手間がかかるので、現実的でない。

本発明は、上記に鑑みてなされたものであって、ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じた制御が可能であることと、アクセスネットワークのセキュリティレベルに応じて、アプリケーションの使用を制御することが可能であるアクセス制御装置、アクセス制御方法、アクセス制御プログラムおよびサービス提供システムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、各種サービスをユーザ端末に提供するアプリケーションサーバと前記ユーザ端末とのそれぞれと接続され、前記アプリケーションサーバとユーザ端末との間の通信を中継するアクセス制御装置であって、前記ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別するユーザ識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納するアクセス関連情報格納手段と、前記ユーザ端末から前記アプリケーションサーバへの接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報を前記アクセス関連情報記憶部から取得し、取得したアクセス関連情報を前記接続要求とともに、前記アプリケーションサーバに送信するアクセス関連情報送信手段と、を備えたことを特徴とする。

本発明は、ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じた制御が可能であるという効果を奏する。

図１は、実施例１に係るサービス提供システムの全体構成を示した図である。 図２は、実施例１に係るサービス提供システムの構成を示すブロック図である。 図３は、認証ＤＢに記憶される情報の例を示す図である。 図４は、アクセス関連ＤＢに記憶される情報の例を示す図である。 図５は、サービスＤＢに記憶される情報の例を示す図である。 図６は、実施例１に係るサービス提供システムにおける全体的な処理の流れを示すフローチャートである。 図７は、実施例１に係るサービス提供システムにおけるアクセスネットワークの確立に際したユーザ認証処理の流れを示すフローチャートである。 図８は、実施例１に係るサービス提供システムにおけるサービス提供処理の流れを示すフローチャートである。 図９は、実施例１に係るサービス提供システムにおけるアクセスネットワーク確立後のアクセス関連情報取得処理の流れを示すフローチャートである。 図１０は、アクセスネットワーク確立後のユーザ認証処理をアプリケーションサーバで実行する場合の流れを示すフローチャートである。 図１１は、アクセスメディア種別をアクセス関連情報として用いた場合のアクセス制御例を示す図である。 図１２は、アクセスメディア品質をアクセス関連情報として用いた場合のアクセス制御例を示す図である。 図１３は、端末情報をアクセス関連情報として用いた場合のアクセス制御例を示す図である。 図１４は、利用地域をアクセス関連情報として用いた場合のアクセス制御例を示す図である。 図１５は、ユーザＩＤをアクセス関連情報として用いた場合のアクセス制御例を示す図である。

以下に、本発明にかかるアクセス制御装置、アクセス制御方法、アクセス制御プログラムおよびサービス提供システムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

図１に示すように、本願が開示するサービス提供システムは、サービスを利用するユーザ端末と、サービスを提供するアプリケーションサーバと、アプリケーションサーバとユーザ端末とのそれぞれと接続されて通信を中継するアクセス制御装置とを有して構成される。なお、本願が開示するサービス提供システムは、上記した各装置以外にも、様々なサーバ装置、ネットワーク装置を含んでいてもよい。図１は、実施例１に係るサービス提供システムの全体構成を示した図である。

かかるユーザ端末（特許請求の範囲に記載の「ユーザ端末」）は、Ｗｅｂ通信（Ｗｅｂブラウザ）などの機能を有するコンピュータ装置であり、例えば、パーソナルコンピュータ、ＰＤＡ、携帯電話、Ｗｅｂテレビなどである。

アプリケーションサーバ（特許請求の範囲に記載の「アプリケーションサーバ」）は、アクセス関連情報（例えば、帯域や回線種別など）に応じて、ソフトウエアやサービスをユーザ端末に提供するサーバ装置である。このアプリケーションサーバは、ＳａａＳ（Software as a Service）事業者などによって運営され、例えば、企業などと契約して人事システムや予算管理システムなどをアウトソーシングして、インターネット上で専用線やＶＰＮにより社員端末（ユーザ端末）と接続して、サービス提供する形態も実現することができる。なお、本実施例では、社員端末（ユーザ端末）を識別する手法として、ユーザＩＤやＩＰアドレスを用いる例について説明するが、これに限定されるものではなく、企業ＩＤなどをさらに用いることで、複数企業のアウトソーシングを行っていても、どの企業の社員かを識別することができる。

アクセス制御装置（特許請求の範囲に記載の「アクセス制御装置」）は、サービスを提供するアプリケーションサーバと、アプリケーションサーバとユーザ端末とのそれぞれと接続され、アドレス変換やデータの載せ換えなどを行うことにより、通信を中継するネットワーク通信機器（例えば、ゲートウェイ）やサーバ装置である。具体的には、アクセス制御装置は、ルータ、プロトコル変換、ＮＡＴ（Network Address Translation）変換、ＮＡＰＴ（Network Address Port Translation）変換、ファイアウォール機能、ファイアウォールのルール動的変更などの機能を有していてもよい。

このような構成において、本願が開示するサービス提供システムは、ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じた制御ができ、また、アクセスネットワークのセキュリティレベルに応じて、アプリケーションの使用を制御することができる。

具体的に説明すると、アプリケーションサーバは、「サービス名、データ、アクセス関連情報」として「サービスＡ、社員情報、帯域Ｂ・ＶＰＮ」、「サービスＢ、予算管理、帯域Ｂ・ＶＰＮ（ＩＰｓｅｃ）」、「サービスＣ、オフィスツール、帯域Ａ・ＶＰＮ（ＩＰｓｅｃ）」、「サービスＤ、バックアップ、帯域Ａ・ＶＰＮ」などを記憶するサービスＤＢを有する。ここで記憶される「サービス名」とは、アプリケーションサーバが提供するサービスを一意に識別する識別子であり、「データ」とは、アプリケーションサーバが提供する資源やソフトウエアなどを示す情報であり、「アクセス管理情報」とは、ユーザ端末が利用するアクセスネットワークを示す情報である。なお、アクセスネットワークとは、ユーザ端末が直接接続（アクセス）される網で確立されたネットワークであり、例えば、ユーザ端末から電話局やインターネットサービスプロバイダ（ISP）までの間のネットワーク（WAN：Wide Area Network）のことである。

そして、図１に示すように、アクセス制御装置は、ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別する識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連ＤＢに格納する（図１の（１）と（２）参照）。

例えば、アクセス制御装置は、ユーザ端末Ａとの間で確立されたＶＰＮ通信に含まれる情報から「ＩＰアドレス＝x.x.x.x、帯域＝帯域Ａ、ＶＰＮ種別＝ＩＰｓｅｃ」を取得し、これらを対応付けてアクセス関連ＤＢに格納する。同様に、アクセス制御装置は、ユーザ端Ｂとの間で確立したＶＰＮ通信に含まれる情報から「ＩＰアドレス＝y.y.y.y、帯域＝帯域Ｂ、ＶＰＮ種別＝ＳＳＬ」を取得し、これらを対応付けてアクセス関連ＤＢに格納する。

その後、アクセス制御装置は、ユーザ端末からアプリケーションサーバへの接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報をアクセス関連ＤＢから取得し、取得したアクセス関連情報を接続要求とともに、アプリケーションサーバに送信する（図１の（３）と（４）参照）。

例えば、アクセス制御装置は、ユーザ端末Ａからアプリケーションサーバへの接続要求を受信した場合に、当該接続要求から「ＩＰアドレス＝x.x.x.x」を取得し、取得した「ＩＰアドレス＝x.x.x.x」に対応するアクセス関連情報「ＩＰアドレス＝x.x.x.x、帯域＝帯域Ａ、ＶＰＮ種別＝ＩＰｓｅｃ」をアクセス関連ＤＢから取得する。そして、アクセス制御装置は、アクセス関連ＤＢから取得したアクセス関連情報「ＩＰアドレス＝x.x.x.x、帯域＝帯域Ａ、ＶＰＮ種別＝ＩＰｓｅｃ」と、ユーザ端末Ａから受信した接続要求とをアプリケーションサーバへ送信する。

すると、アプリケーションサーバは、アクセス制御装置から受信したアクセス関連情報に基づいて、ユーザ端末Ａにサービスを提供する（図１の（５）参照）。例えば、アプリケーションサーバは、アクセス関連情報「ＩＰアドレス＝x.x.x.x、帯域＝帯域Ａ、ＶＰＮ種別＝ＩＰｓｅｃ」をアクセス制御装置から受信した場合、「帯域＝帯域Ａ、ＶＰＮ種別＝ＩＰｓｅｃ」に対応するサービスとして「サービスＣ、オフィスツール」をサービスＤＢから特定する。そして、アプリケーションサーバは、アクセス制御装置から受信したアクセス関連情報「ＩＰアドレス＝x.x.x.x」に対して、サービスＤＢから特定した「サービスＣ、オフィスツール」を提供する。

このように、実施例１に係るサービス提供システムは、ユーザ端末Ａ「ＩＰアドレス＝x.x.x.x」がサービスを利用する回線（例えば、帯域、回線種別）に応じたサービスを提供することができる結果、ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じた制御ができる。この結果、アクセスネットワークやインターネットなどを含むシステムを構築するネットワーク全体の遅延や輻輳を引き起こす原因も解消することができる。また、ユーザごとにアクセス制御内容を設定して制御する必要も無く、アクセスネットワークの種類などに応じてアクセス制御することができる結果、アクセスネットワークのセキュリティレベルに応じて、アプリケーションの使用を制御することが可能である。

［サービス提供システムの構成］
次に、図２を用いて、図１に示したサービス提供システムの構成を説明する。図２は、実施例１に係るサービス提供システムの構成を示すブロック図である。ここでは、サービス提供システムにおけるユーザ端末、アクセス制御装置、アプリケーションサーバの各構成について説明する。

（ユーザ端末の構成）
図２に示すように、ユーザ端末１０は、通信制御Ｉ／Ｆ部１１と、記憶部１２と、制御部１５とがバスによって相互に接続されて構成される。

かかる通信制御Ｉ／Ｆ部１１は、アクセスネットワークを介してアクセス制御装置２０との間でやり取りされる通信を制御したり、ネットワークを介してアプリケーションサーバ３０から提供されるサービスに関する通信を制御したりする。例えば、通信制御Ｉ／Ｆ部１１は、アクセス制御装置２０との間で確立されたＷｅｂ通信、ＶＰＮ通信などを制御したり、サービス提供装置３０から提供されるストリーミングなどを制御したりする。

記憶部１２は、制御部１５による各種処理に必要なデータおよびプログラムを格納したり、ネットワークに接続するために必要なＩＰアドレスや他の装置と通信するためのルーティング情報などを記憶したりする。

制御部１５は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、接続部１５ａと、ＶＰＮ接続部１５ｂと、サービス利用部１５ｃとを有し、これらによって種々の処理を実行する。

接続部１５ａは、ユーザに指定されたプロトコルを用いて、アクセス制御装置２０と通信を確立する。例えば、接続部１５ａは、ユーザによってＷｅｂブラウザが起動された場合には、アクセス制御装置２０との間でＨＴＴＰ通信などを確立する。また、例えば、接続部１５ａは、ＴＥＮＬＥＴやＦＴＰなどのサービスが起動された場合には、当該サービス上で各種コマンドを受け付けて、アクセス制御装置２０に各種要求を送信する。

ＶＰＮ接続部１５ｂは、アクセス制御装置２０との間でＶＰＮ通信を確立する。具体的には、ＶＰＮ接続部１５ｂは、アクセス制御装置２０にＶＰＮ接続要求を送信する。そして、ＶＰＮ接続部１５ｂは、送信したＶＰＮ接続要求が許可された応答をアクセス制御装置２０から受信すると、例えば、ＩＰｓｅｃやＳＳＬなど予め指定された種別のＶＰＮ通信をアクセス制御装置２０との間で確立する。

サービス利用部１５ｃは、アプリケーションサーバ３０から提供されるサービスを利用する。具体的には、サービス利用部１５ｃは、ユーザの操作によりＷｅｂブラウザやサービス専用のソフトウエアなどを起動し、ＶＰＮ接続部１５ｂにより確立されたＶＰＮ通信を用いて、アクセス制御装置２０を介した通信でサービス利用要求（サービス接続要求）をアプリケーションサーバ３０に送信する。その後、サービス利用部１５ｃは、アクセス制御装置２０を介して、アプリケーションサーバ３０との間で通信を確立し、確立した通信を用いて提供されるサービスによって得られた情報をディスプレイやモニタなどの表示部などに表示出力する。なお、サービス利用部１５ｃが送信するサービス利用要求には、接続先となるアプリケーションサーバを特定する接続先ＵＲＬやアプリケーションサーバのＩＰアドレスなどが含まれる。

（アクセス制御装置の構成）
図２に示すように、アクセス制御装置２０は、通信制御Ｉ／Ｆ部２１と、記憶部２２と、制御部２５とがバスによって相互に接続されて構成される。

通信制御Ｉ／Ｆ部２１は、アクセスネットワークなどを介して、他の装置との間でやり取りされる通信を制御する。具体的には、通信制御Ｉ／Ｆ部２１は、ユーザ端末１０からＶＰＮ接続要求やサービス利用要求などを受信したり、アプリケーションサーバ３０にサービス利用要求を送信したり、アプリケーションサーバ３０からサービスを受信してユーザ端末１０に送信したりする。

記憶部２２は、制御部２５による各種処理に必要なデータおよびプログラムを格納したり、ネットワークに接続するために必要なＩＰアドレスや他の装置と通信するためのルーティング情報やアクセスネットワークを確立する際のユーザ認証に用いる「アクセスネットワーク確立用のＩＤ、パスワード」などを記憶したりし、特に、認証ＤＢ２２ａと、アクセス関連ＤＢ２２ｂとを有する。

認証ＤＢ２２ａは、確立されたアクセスネットワークを用いて、アクセスしてきたアプリケーションを使用するユーザ端末を認証するための認証情報を記憶する。具体的には、認証ＤＢ２２ａは、図３に示すように、「ユーザＩＤ、パスワード」として「００１、ａａａ」や「００２、ａｂｃ」などを記憶する。

ここで記憶される「ユーザＩＤ」とは、ユーザ端末を一意に識別する識別子であり、「パスワード」とは、ユーザにより指定されたユーザを特定するための情報である。なお、ここで記憶される情報は、アクセス制御装置２０を提供する企業と、ユーザ端末の利用者であるユーザとの間で、オンラインやオフラインによって予め契約された内容に基づいて登録される情報である。また、図３は、認証ＤＢに記憶される情報の例を示す図である。

アクセス関連ＤＢ２２ｂは、ユーザ端末を識別する識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを対応付けて記憶する。具体的には、アクセス関連ＤＢ２２ｂは、図４に示すように、「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、ユーザＩＤ、サービス名、回線種別、帯域」として「ｓｅｃ０１、x.x.x.x、００１、ＦＴＰ（File Transfer Protocol）／ＨＴＴＰ（HyperText Transfer Protocol）、ＶＰＮ（ＩＰｓｅｃ）、３８４kbps」、「ｓｅｃ０２、y.y.y.y、００２、ＴＥＬＮＥＴ、ＶＰＮ（ＳＳＬ）、１０Ｍbps」や「１１１１１、z.z.z.z、００３、ＨＴＴＰ、ＭＰＬＳ、１Ｇbps」などを記憶する。

ここで記憶される「アクセス回線ＩＤ」は、ユーザ端末との間でアクセス回線を利用するために、ユーザ端末とアクセス制御装置２０との間で共通で所持されるＩＤであり、例えば、ＩＰｓｅｃ認証用ＩＤ、ＳＳＬ−ＶＰＮ認証用ＩＤ、ＭＰＬＳラベルなどである。また、「ユーザ端末ＩＰアドレス」は、ユーザ端末が利用するＩＰアドレス情報である。また、「ユーザＩＤ」は、ユーザに一意に割り当てられた識別子であり、「サービス」は、ユーザ端末が使用するプトロコル（サービス）種別を示す情報である。また、「回線種別」は、ユーザが使用するアクセスネットワーク（回線）の種別を示す情報であり、「帯域」とは、ユーザが使用するアクセスネットワーク（回線）の帯域を示す情報である。なお、「サービス」、「回線種別」、「帯域」は、ユーザ端末との間で確立されたアクセスネットワークなどから取得することができる。また、図４は、アクセス関連ＤＢに記憶される情報の例を示す図である。

制御部２５は、ＯＳ（Operating System）やＮＯＳ（Network Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、認証部２５ａと、ＶＰＮ終端機能部２５ｂと、アクセス関連情報収集部２５ｃと、アクセス関連情報変換部２５ｄと、アクセス関連情報送信部２５ｅと、ルーティング・ファイアウォール制御部２５ｆと、ルーティング・ファイアウォール接続部２５ｇとを有し、これらによって種々の処理を実行する。

認証部２５ａは、アクセスネットワークの確立を要求するユーザ端末が契約済みの正当なユーザ端末であるか否かを認証する。例えば、認証部２５ａは、ユーザ端末から「アクセスネットワーク確立用のＩＤ、パスワード」を入力させる画面を当該ユーザ端末に対して表示する。そして、認証部２５ａは、ユーザ端末から受け付けた「アクセスネットワーク確立用のＩＤ、パスワード」が記憶部２２に記憶されている場合に、当該認証を許可してアクセスネットワークを確立し、記憶部２２に記憶されていない場合に、当該認証を拒否する。そして、認証部２５ａは、ユーザ端末が正当なユーザ端末であると認証された結果を後述するＶＰＮ終端機能部２５ｂに送信する。

また、認証部２５ａは、確立されたアクセスネットワークを用いて、アクセスしてきたアプリケーションを使用するユーザ端末を認証する。つまり、認証部２５ａは、アクセスネットワークが確立されたユーザ端末から送信されたアクセス接続要求（サービス利用要求）をアプリケーションレベルで認証する。

具体的には、認証部２５ａは、ユーザ端末からアクセス接続要求（サービス利用要求）を受信した場合に、当該要求を送信するアプリケーションから「ユーザＩＤ」と「パスワード」とを取得する。そして、認証部２５ａは、アプリケーションから取得した「ユーザＩＤ」と「パスワード」とが対応付けて認証ＤＢ２２ａに記憶されているか否かにより、アプリケーションレベルでのユーザ認証を実行する。

ＶＰＮ終端機能部２５ｂは、アクセス制御装置２０とユーザ端末との間で接続されるＶＰＮを終端する。具体的には、ＶＰＮ終端機能部２５ｂは、認証部２５ａによってアクセスネットワークが確立されたユーザ端末からＶＰＮ接続要求を受信した場合に、既存のＶＰＮ接続手法（鍵交換や暗号化手法など）を用いて、ユーザ端末の間でＶＰＮ通信を確立する。そして、ＶＰＮ終端機能部２５ｂは、ユーザ端末との間にＶＰＮ通信を確立したことを後述するアクセス関連情報収集部２５ｃなどに送信する。なお、ＶＰＮ種別（ＩＰｓｅｃ、ＳＳＬ、ＭＰＬＳなど）ごとにＶＰＮ終端機能部を設けるようにしてもよい。

また、ＶＰＮ終端機能部２５ｂは、アクセス制御装置２０とは別の筺体で実現されていてもよい。例えば、Ａ社製造のＶＰＮ終端装置、Ｂ社製造のＶＰＮ終端装置、Ｃ社製造のＶＰＮ終端装置などのように、アクセス制御装置２０とは別の筺体で実現し、これらをアクセス制御装置２０とそれぞれ接続することで、上記した処理を実施することもできる。

アクセス関連情報収集部２５ｃは、ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別する識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連ＤＢ２２ｂに格納する。具体的には、アクセス関連情報収集部２５ｃは、ユーザ端末との間にＶＰＮ通信を確立したことをＶＰＮ終端機能部２５ｂから受信すると、確立されたＶＰＮ通信（または、ＶＰＮ終端機能部２５ｂ）からアクセス関連情報「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、ユーザＩＤ、サービス名、回線種別、帯域」（図４参照）を取得して、アクセス関連ＤＢ２２ｂに格納する。

例えば、ＩＰアドレス「x.x.x.x」のユーザ端末との間で、ＶＰＮ（ＩＰｓｅｃ）が確立された場合、アクセス関連情報収集部２５ｃは、確立されたＶＰＮ通信内（または、ＶＰＮ終端機能部２５ｂが所持する情報内）からアクセス関連情報「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、ユーザＩＤ、サービス名、回線種別、帯域」として「ｓｅｃ０１、x.x.x.x、００１、ＦＴＰ／ＨＴＴＰ、ＶＰＮ（ＩＰｓｅｃ）、３８４kbps」を取得してアクセス関連ＤＢ２２ｂに格納する。

また、例えば、ユーザ端末との間で、Ａ社製造のＶＰＮ終端装置によってＶＰＮが確立された場合、アクセス関連情報収集部２５ｃは、Ａ社製造のＶＰＮ終端装置からアクセス関連情報「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、ユーザＩＤ、サービス名、回線種別、帯域」を取得してアクセス関連ＤＢ２２ｂに格納することもできる。

なお、ユーザ端末との間で確立されるＶＰＮ種別や、ＶＰＮ終端装置の製造会社の違い等によって、上記したアクセス関連情報を定義するフォーマットが異なるが、いずれのフォーマットであっても、アクセス関連情報を取得する。

アクセス関連情報変換部２５ｄは、ＶＰＮ種別ごと等に異なるフォーマットのアクセス関連情報を統一フォーマットに変換し、事前設定された送信先に送信する。具体的には、アクセス関連情報変換部２５ｄは、確立されたアクセスネットワークを介して、アプリケーションサーバ３０への接続要求（サービス利用要求）を送信したユーザ端末が正当なユーザ端末であると認証部２５ａによって認証された後に、アプリケーションサーバ３０への接続要求からユーザ端末ＩＰアドレスを取得する。そして、アクセス関連情報変換部２５ｄは、取得した「ユーザ端末ＩＰアドレス」に対応付けられてアクセス関連ＤＢ２２ｂに記憶される「アクセス関連情報」を取得して、アプリケーションサーバ３０で利用可能な統一フォーマットに変換し、アクセス関連情報送信部２５ｅに送信する。

アクセス関連情報送信部２５ｅは、ユーザ端末からアプリケーションサーバ３０への接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報をアプリケーションサーバ３０に送信する。具体的には、アクセス関連情報送信部２５ｅは、ユーザ端末からアプリケーションサーバ３０への接続要求を受信した場合に、アプリケーションサーバ３０で利用可能な統一フォーマットに変換された「アクセス関連情報」をアクセス関連情報変換部２５ｄから受信し、この「アクセス関連情報」とユーザ端末から受信したアプリケーションサーバ３０への接続要求（サービス利用要求）とをアプリケーションサーバ３０に送信する。

また、アクセス関連情報送信部２５ｅは、ルーティング・ファイアウォール制御部２５ｆやルーティング・ファイアウォール接続部２５ｇなどによって、ポート開放やファイアウォール設定変更などの設定変更処理が実施される場合には、当該設定変更処理の終了後に、統一フォーマットに変換された「アクセス関連情報」とアプリケーションサーバ３０への接続要求（サービス利用要求）とをアプリケーションサーバ３０に送信する。

ルーティング・ファイアウォール制御部２５ｆは、後述するルーティング・ファイアウォール接続部２５ｇを制御する。具体的には、ルーティング・ファイアウォール制御部２５ｆは、アプリケーションサーバ３０への接続要求（サービス利用要求）を送信したユーザ端末が正当なユーザ端末であるとアクセス関連情報送信部２５ｅから受信した場合に、受信した情報に含まれるユーザ端末ＩＰアドレスなどの情報に基づいて、ルーティング情報の書換え、ファイアウォール設定変更内容、開放すべきポート番号などから構成される設定変更内容をどのルーティング・ファイアウォール接続部２５ｇに送信するかを特定する。その後、ルーティング・ファイアウォール制御部２５ｆは、特定されたルーティング・ファイアウォール接続部２５ｇに対して設定変更内容を送信する。

ルーティング・ファイアウォール接続部２５ｇは、ルーティング、フィルタリング、ＩＰアドレス変換などの機能を提供する。具体的には、ルーティング・ファイアウォール接続部２５ｇは、ルーティング・ファイアウォール制御部２５ｆから送信された設定変更内容（ルーティング情報の書換え、ファイアウォール設定変更内容、開放すべきポート番号）に従って各種設定変更を実施し、処理が終了したことをルーティング・ファイアウォール制御部２５ｆに送信する。また、ルーティング・ファイアウォール接続部２５ｇは、アプリケーションサーバ３０からユーザ端末にサービスが提供されている間、当該サービスを利用させるための各種制御（ルーティング、フィルタリング、ＩＰアドレス変換、ＶＰＮ制御など）を実施して、通信の確立および中継を行う。

なお、上記したルーティング・ファイアウォール制御部２５ｆとルーティング・ファイアウォール接続部２５ｇは、アクセス制御装置２０が有している必要はなく、ファイアウォールなどのようにアクセス制御装置２０とは別の筺体で実現されていてもよい。

（アプリケーションサーバの構成）
図２に示すように、アプリケーションサーバ３０は、通信制御Ｉ／Ｆ部３１と、記憶部３２と、制御部３５とがバスによって相互に接続されて構成される。

通信制御Ｉ／Ｆ部３１は、ネットワークを介して、他の装置との間でやり取りされる通信を制御する。具体的には、通信制御Ｉ／Ｆ部３１は、ユーザ端末から送信されたサービス利用要求をアクセス制御装置２０を介して受信したり、アクセス制御装置２０を介してユーザ端末にサービスを提供したりする。

記憶部３２は、制御部３５による各種処理に必要なデータおよびプログラムを格納したり、ネットワークに接続するために必要なＩＰアドレスや他の装置と通信するためのルーティング情報などを記憶したりし、特に、サービスＤＢ３２ａを有する。

サービスＤＢ３２ａは、ユーザ端末に提供するサービスを記憶する。具体的には、サービスＤＢ３２ａは、図５に示すように、「サービス名、データ、アクセス関連情報（回線種別、帯域）」として「サービスＡ、社員情報、ＭＰＬＳ、５Ｍｂｐｓ以上」、「サービスＢ、予算管理、ＶＰＮ（ＳＳＬ）、１０Ｍｂｐｓ以上」、「サービスＣ、バックアップ、ＶＰＮ、１００Ｋｐｓ以上」や「サービスＤ、オフィスツール、ＶＰＮ（ＩＰｓｅｃ）、１００Ｋｂｐｓ以上」などを記憶する。

ここで記憶される「サービス名」とは、アプリケーションサーバ３０が提供するサービスを一意に識別する識別子であり、「データ」とは、アプリケーションサーバ３０が提供する資源やソフトウエアなどを示す情報である。また、「アクセス管理情報（回線種別）」とは、ユーザ端末が利用するアクセスネットワークの回線種別（ＶＰＮなどの種別）を示す情報であり、「アクセス管理情報（帯域）」とは、ユーザ端末が利用するアクセスネットワークの帯域を示す情報である。なお、図５は、サービスＤＢに記憶される情報の例を示す図である。

制御部３５は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、サービス提供部３５ａを有し、これらによって種々の処理を実行する。

サービス提供部３５ａは、アクセス制御装置２０から受信したアクセス関連情報に基づいて、ユーザ端末にサービスを提供する。具体的には、サービス提供部３５ａは、サービスの利用要求および当該サービスの利用を要求するユーザ端末のアクセス関連情報をアクセス制御装置２０から受信し、受信したアクセス関連情報に基づいて、提供可能サービスを特定する。

例えば、サービス提供部３５ａは、ユーザ端末のアクセス関連情報として「ユーザ端末ＩＰアドレス＝x.x.x.x、サービス名＝ＦＴＰ、回線種別＝ＶＰＮ（ＩＰｓｅｃ）、帯域＝３８４kbps」をアクセス制御装置２０から受信した場合、この「回線種別＝ＶＰＮ（ＩＰｓｅｃ）」かつ「帯域＝３８４kbps」に該当するサービスとして、「サービスＤのオフィスツール」をサービスＤＢ３２ｂ（図５参照）から特定する。そして、サービス提供部３５ａは、「ユーザ端末ＩＰアドレス＝x.x.x.x」に対して、ＦＴＰを用いて、「オフィスツール」を提供（ダウンロードなど）する。

また、例えば、サービス提供部３５ａは、受信したアクセス関連情報に該当するサービスが複数存在する場合、特定した複数のサービスの一覧をユーザ端末１０に表示出力するようにしてもよい。

［サービス提供システムによる処理］
続いて、図６〜図９を用いて、実施例１に係るサービス提供システムにおける処理の流れを説明する。ここでは、まず、図６を用いて、実施例１に係るサービス提供システムにおける全体的な処理の流れを説明し、その後、図７を用いてアクセス関連情報の取得処理、図８を用いてサービス提供処理、図９を用いてアクセスネットワーク確立後のユーザ認証処理の流れを説明する。

（全体的な処理の流れ）
まず、図６を用いて、実施例１に係るサービス提供システムにおける全体的な処理の流れを説明する。図６は、実施例１に係るサービス提供システムにおける全体的な処理の流れを示すフローチャートである。

図６に示すように、ユーザ端末１０は、アクセス制御装置２０との間でＶＰＮ接続が確立された後（ステップＳ１）、ユーザ操作によってアプリケーションサーバ３０への接続要求をアクセス制御装置２０に送信する（ステップＳ２）。

このとき、例えば、ユーザ端末１０は、自装置のユーザを特定する「ユーザＩＤ」、自装置に割り当てられた「ユーザ端末ＩＰアドレス」、接続を要求するアプリケーションサーバ３０を特定する「接続先ＵＲＬ」をアクセス制御装置２０に送信する。

そして、アクセス制御装置２０は、アプリケーションサーバ３０への接続要求を送信してきたユーザ端末１０がＶＰＮ接続を確立した正当なユーザ端末であるか否かを認証し（ステップＳ３）、認証を許可すると、ユーザ端末１０を介したリダイレクトで認証許可応答をアプリケーションサーバ３０に送信する（ステップＳ４）。

このとき、例えば、アクセス制御装置２０は、認証成功応答としてアクセス関連情報「アプリケーションサーバ３０のＩＰアドレス、ポート番号、帯域」などをユーザ端末１０に送信し、ユーザ端末１０は、受信したアクセス関連情報「アプリケーションサーバ３０のＩＰアドレス、ポート番号、帯域」をリダイレクトで自動的にアプリケーションサーバ３０に送信する。なお、「アプリケーションサーバ３０のＩＰアドレス」は、ステップＳ２で受信した「接続先ＵＲＬ」からＤＮＳサーバなどを用いて特定することができる。

その後、アプリケーションサーバ３０は、アクセス制御装置２０から受信したアクセス関連情報「アプリケーションサーバ３０のＩＰアドレス、ポート番号、帯域」に基づいて、ユーザ端末１０にサービスを提供する（ステップＳ５）。このとき、例えば、アプリケーションサーバ３０は、受信したアクセス関連情報「帯域」内で提供できるサービスを特定し、特定したサービスをユーザ端末１０に提供する。また、例えば、アプリケーションサーバ３０は、受信したアクセス関連情報「帯域」内で提供できる複数のサービスを特定し、特定した複数のサービスの一覧をユーザ端末１０に表示出力するようにしてもよい。

（アクセスネットワークの確立に際したユーザ認証処理の流れ）
次に、図７を用いて、実施例１に係るサービス提供システムにおけるアクセスネットワークの確立に際したユーザ認証処理の流れを説明する。図７は、実施例１に係るサービス提供システムにおけるアクセスネットワークの確立に際したユーザ認証処理の流れを示すフローチャートである。なお、図７は、図６におけるステップＳ１を詳細に説明した図である。

図７に示すように、ユーザ端末１０は、アクセスネットワークの確立要求（認証要求）をアクセス制御装置２０に送信し（ステップＳ１０１）、この要求を受信したアクセス制御装置２０のＶＰＮ終端機能部２５ｂは、認証部２５ａによってユーザ端末１０が正当なユーザであると判定されると（ステップＳ１０２）、アクセス関連情報をアクセス関連情報収集部２５ｃに送信する（ステップＳ１０３）。

例えば、認証部２５ａは、「アクセスネットワーク確立用のＩＤ、パスワード」などをユーザ端末１０から受け付けてユーザ認証してもよい。また、ＶＰＮ終端機能部２５ｂは、アクセス関連情報として「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、帯域」をアクセス関連情報収集部２５ｃに送信する。

続いて、アクセス制御装置２０のＶＰＮ終端機能部２５ｂ（または認証部２５ａ）は、認証許可をユーザ端末１０に送信し、その結果、ユーザ端末１０との間にＶＰＮ通信が確立される（ステップＳ１０４）。また、アクセス制御装置２０のアクセス関連情報収集部２５ｃは、ＶＰＮ終端機能部２５ｂから取得したアクセス関連情報「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、帯域」をアクセス関連ＤＢ２２ｂに格納する（ステップＳ１０５）。

なお、ここでは、ＶＰＮ終端機能部２５ｂがアクセス関連情報をアクセス関連情報収集部２５ｃに送信する例について説明したが、アクセス関連情報収集部２５ｃがＶＰＮ終端機能部２５ｂから取得するようにしてもよく、確立されたＶＰＮ通信に含まれる情報から取得するようにしてもよい。

（サービス提供処理の流れ）
続いて、図８を用いて、実施例１に係るサービス提供システムにおけるサービス提供処理の流れを説明する。図８は、実施例１に係るサービス提供システムにおけるサービス提供処理の流れを示すフローチャートである。なお、図８は、図６におけるステップＳ２〜ステップＳ５を詳細に説明した図である。

図８に示すように、ユーザ端末１０は、アクセス制御装置２０にアプリケーションサーバ３０への接続要求を送信し（ステップＳ１０６）、この要求を受け付けたアクセス制御装置２０のアクセス関連情報送信部２５ｅは、認証部２５ａによってユーザ認証処理を実施する（ステップＳ１０７）。

このとき、例えば、ユーザ端末１０は、アクセス制御装置２０にアクセスしたアプリケーションを介して、自装置のユーザを特定する「ユーザＩＤ」、自装置に割り当てられた「ユーザ端末ＩＰアドレス」、接続を要求するアプリケーションサーバ３０を特定する「接続先ＵＲＬ」をアクセス制御装置２０に送信する。また、アクセス制御装置２０の認証部２５ａは、当該接続要求から「ユーザＩＤ」と「パスワード」とを取得し、これらが対応付けられて認証ＤＢ２２ａに記憶されているか否かにより、アプリケーションレベルでのユーザ認証を実行する。

そして、アクセス制御装置２０のアクセス関連情報送信部２５ｅは、認証部２５ａによる認証が正常終了すると、ルーティング情報の書換え、ファイアウォール設定変更内容、特定ポートの開放要求などが含まれる設定変更要求をルーティング・ファイアウォール制御部２５ｆに送信する（ステップＳ１０８）。このとき、アクセス関連情報送信部２５ｅは、上記設定変更要求とともに、アプリケーションサーバ３０への接続要求に含まれる「接続先ＵＲＬ」を送信する。

続いて、アクセス制御装置２０のルーティング・ファイアウォール制御部２５ｆは、受信した設定変更要求に基づいてどのルーティング・ファイアウォール接続部２５ｇに送信するかを特定し（ステップＳ１０９）、設定変更要求をルーティング・ファイアウォール接続部２５ｇに送信する（ステップＳ１１０）。ここで、ルーティング・ファイアウォール制御部２５ｆは、特定した設定内容（例えば、サービス提供のために開放すべきポート番号など）とともに、アプリケーションサーバ３０への接続要求に含まれる「ユーザ端末ＩＰアドレス」や「接続先ＵＲＬ」から特定した「アプリケーションサーバのＩＰアドレス」をルーティング・ファイアウォール接続部２５ｇに送信する。

そして、ルーティング・ファイアウォール接続部２５ｇは、送信された設定内容にしたがって、サービス提供で使用するポート番号（ポート番号Ａ）の開放などを実行し（ステップＳ１１１）、設定変更完了通知をルーティング・ファイアウォール制御部２５ｆに送信する（ステップＳ１１２）。ルーティング・ファイアウォール制御部２５ｆは、送信された設定変更完了通知をアクセス関連情報送信部２５ｅに送信する（ステップＳ１１３）。

続いて、設定変更完了通知を受信したアクセス関連情報送信部２５ｅは、「接続先ＵＲＬ」から特定された「アプリケーションサーバのＩＰアドレス」やサービス提供で使用するポート番号（ポート番号Ａ）、ユーザ端末１０のアクセス関連情報（帯域など）とともに、ユーザ端末１０を介したリダイレクトでアプリケーションサーバ３０に認証成功応答を送信する（ステップＳ１１４）。このとき、ユーザ端末１０のアクセス関連情報は、アプリケーションサーバ３０で利用可能なフォーマットであって、ＶＰＮ種別ごと等で異なるフォーマットのアクセス関連情報は統一フォーマットに変換されている。

すると、アプリケーションサーバ３０は、受信したアクセス関連情報（帯域など）にしたがって提供可能なサービスを特定し（ステップＳ１１５）、特定したサービスを指定されたポート番号でユーザ端末１０に提供する（ステップＳ１１６）。

（アクセスネットワーク確立後のアクセス関連情報取得の流れ）
続いて、図９を用いて、実施例１に係るサービス提供システムにおけるアクセスネットワーク確立後のアクセス関連情報取得の流れを説明する。図９は、実施例１に係るサービス提供システムにおけるアクセスネットワーク確立後のアクセス関連情報取得の流れを示すフローチャートである。なお、図９は、図６におけるステップＳ３、図８におけるステップ１０７とステップ１０８の間の処理を詳細に説明した図である。

認証部２５ａによってアプリケーションレベルでのユーザ認証が正常終了すると、図９に示すように、アクセス関連情報送信部２５ｅは、受信したアプリケーションサーバ３０への接続要求に含まれる「ユーザ端末ＩＰアドレス」に対応するアクセス関連情報の提供要求をアクセス関連情報変換部２５ｄに送信する（ステップＳ２０１）。

そして、アクセス関連情報の提供要求を受信したアクセス関連情報変換部２５ｄは、この要求と「ユーザ端末ＩＰアドレス」とをアクセス関連情報収集部２５ｃに送信し（ステップＳ２０２）、アクセス関連情報収集部２５ｃは、受信した「ユーザ端末ＩＰアドレス」に対応するアクセス関連情報をアクセス関連ＤＢ２２ｂから取得する（ステップＳ２０３とステップＳ２０４）。ここで、アクセス関連情報収集部２５ｃは、受信した「ユーザ端末ＩＰアドレス」に対応するアクセス関連情報として「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、帯域」を取得する。

続いて、アクセス関連情報収集部２５ｃは、アクセス関連ＤＢ２２ｂから取得したアクセス関連情報「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、帯域」をアクセス関連情報変換部２５ｄに送信し（ステップＳ２０５）、アクセス関連情報変換部２５ｄは、ＶＰＮ種別ごと等で異なるフォーマットのアクセス関連情報を、アプリケーションサーバ３０で利用可能なフォーマットである統一フォーマットに変換して（ステップＳ２０６）、アクセス関連情報送信部２５ｅに送信する（ステップＳ２０７）。

［実施例１による効果］
このように、実施例１によれば、ユーザ端末１０がサービスを利用する回線（例えば、帯域、回線種別）に応じたサービスを提供することができる結果、ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じた制御ができる。この結果、アクセスネットワークなどを含むシステムを構築するネットワーク全体の遅延や輻輳を引き起こす原因も解消することができる。

また、図１や図２に示したように、社内システムをＳａａＳ事業者のアプリケーションとして移行することを従来技術で実現しようとした場合、ＳａａＳ事業者は、各企業の各ユーザごとに利用可能なアプリケーションを設定する必要があり、その設定箇所は膨大になり、実質的に不可能である。ところが、実施例１によれば、図１や図２に示したように、アクセスネットワーク提供側（アクセス管理装置２０）が回線種別や契約帯域などによって利用制限を行うことができるので、社内システムをＳａａＳ事業者のアプリケーションとして移行させることが可能である。また、自宅から企業網などに接続した場合に、機密を含まないアプリケーションのみを利用可能としたり、細い回線でも利用できるアプリケーションのみを利用可能としたり、セキュリティや用途を考慮した柔軟なシステム設定が可能となる。

ところで、実施例１では、図９に示したアクセスネットワーク確立後のユーザ認証処理をアクセス制御装置２０で実行する例について説明したが、本処理は、アプリケーションサーバ３０で実行することもできる。

そこで、実施例２では、図１０を用いて、アクセスネットワーク確立後のユーザ認証処理をアプリケーションサーバ３０で実行する例について説明する。なお、図１０は、アクセスネットワーク確立後のユーザ認証処理をアプリケーションサーバで実行する場合の流れを示すフローチャートである。

この実施例２に係るアプリケーションサーバ３０の構成は、実施例１（図２）に示したアプリケーションサーバ３０の構成に加えて、アクセス制御装置２０の認証ＤＢ２２ａと同様のＤＢと、このＤＢを用いてアプリケーションレベルの認証を実行する認証部とを有する。

図１０に示すように、ユーザ端末１０は、アクセス制御装置２０との間でＶＰＮ接続が確立された後（ステップＳ５０）、アクセス制御装置２０を介した通信で接続要求をアプリケーションサーバ３０に送信する（ステップＳ５１）。このとき、例えば、ユーザ端末１０は、自装置のユーザを特定する「ユーザＩＤ」、自装置に割り当てられた「ユーザ端末ＩＰアドレス」をアプリケーションサーバ３０に送信する。

そして、アプリケーションサーバ３０は、接続要求とともに受信した「ユーザＩＤ」や「ユーザ端末ＩＰアドレス」に対応するアクセス関連情報の提供要求をアクセス制御装置２０に送信する（ステップＳ５２）。

その後、アプリケーションサーバ３０は、送信した「ユーザＩＤ」や「ユーザ端末ＩＰアドレス」に対応するアクセス関連情報を受信し、当該接接続要求を受信したアプリケーション内から「ユーザＩＤ」と「パスワード」とを取得し、これらが対応付けられて認証ＤＢ２２ａに記憶されているか否かにより、アプリケーションレベルでのユーザ認証を実行する（ステップＳ５３）。

そして、アプリケーションサーバ３０は、ユーザ認証が正常終了すると、アクセス制御装置２０から受信したアクセス関連情報に基づいて、ユーザ端末１０にサービスを提供する（ステップＳ５４）。

このようにすることで、ユーザ認証処理をアプリケーションサーバ３０側に配備できることより、認証を行う事業者の自由度を高めることができる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（アクセス関連情報）、（アクセスネットワークの種別）、（ユーザ認証手法）、（システム）、（プログラム）にそれぞれ区分けして異なる実施例を説明する。

（アクセス関連情報）
例えば、実施例１や２では、アクセス関連情報として、「アクセス回線ＩＤ、ユーザ端末ＩＰアドレス、ユーザＩＤ、サービス名、回線種別、帯域」や「ポート番号」などを用いる例について説明したが、これに限定されるものではない。例えば、確立されたアクセスネットワークを一意に特定できる情報や、ユーザ端末の処理性能を特定する情報なども用いることができる。

ここで、図１１〜図１５を用いて、様々な情報をアクセス関連情報として用いた例について説明する。なお、図１１は、アクセスメディア種別をアクセス関連情報として用いた場合のアクセス制御例を示す図であり、図１２は、アクセスメディア品質をアクセス関連情報として用いた場合のアクセス制御例を示す図であり、図１３は、端末情報をアクセス関連情報として用いた場合のアクセス制御例を示す図であり、図１４は、利用地域をアクセス関連情報として用いた場合のアクセス制御例を示す図であり、図１５は、ユーザＩＤをアクセス関連情報として用いた場合のアクセス制御例を示す図である。

例えば、本願が開示するアクセス制御装置は、ＩＰ−ＶＰＮ、インターネットなどのアクセスメディア種別をアクセス関連情報としてアプリケーションサーバに送信することができる。したがって、アプリケーションサーバ（ＳａａＳ事業者）は、図１１に示すように、セキュリティレベルの高いＩＰ−ＶＰＮで接続される端末にはサービスを提供し、セキュリティレベルの低いインターネットで接続される端末にはサービスを提供しないように制御することができる。

また、例えば、本願が開示するアクセス制御装置は、ベストエフォートサービス、ＱｏＳ（Quality of Service）サービスなどのアクセスメディア品質をアクセス関連情報としてアプリケーションサーバに送信することができる。したがって、アプリケーションサーバ（ＳａａＳ事業者）は、図１２に示すように、セキュリティレベルの高いＱｏＳ保障されている回線で接続される端末にはサービスを提供し、セキュリティレベルの低いＱｏＳ保障されていない回線で接続される端末にはサービスを提供しないように制御することができる。

また、例えば、本願が開示するアクセス制御装置は、電話番号やＩＰアドレスなどの端末情報をアクセス関連情報としてアプリケーションサーバに送信することができる。したがって、アプリケーションサーバ（ＳａａＳ事業者）は、図１３に示すように、端末情報にあわせてサービス制御を実施することができる。

また、例えば、本願が開示するアクセス制御装置は、市外局番や市外局番から入手した地域名などの利用地域をアクセス関連情報としてアプリケーションサーバに送信することができる。したがって、アプリケーションサーバ（ＳａａＳ事業者）は、図１４に示すように、利用地域にあわせてサービス制御を実施することができる。

また、例えば、本願が開示するアクセス制御装置は、アクセスネットワークで接続されるユーザ端末のユーザＩＤをアクセス関連情報としてアプリケーションサーバに送信することができる。したがって、アプリケーションサーバ（ＳａａＳ事業者）は、図１５に示すように、ユーザＩＤごとに予め登録されたサービスのみを提供することができる。

（アクセスネットワークの種別）
また、例えば、実施例１や２では、アクセスネットワーク上でＶＰＮが確立された例について説明したが、これに限定されるものではない。例えば、セキュリティが確保されたネットワーク環境下においては、ｘＤＳＬや光ファイバーなどの種別のみを用いてもよいし、他の様々なセキュアな回線情報やＶＰＮ種別を用いることができる。

（ユーザ認証手法）
また、実施例１や２では、アクセスネットワーク確立時とアクセスネットワーク確立後のサービス提供時（アクセス関連情報提供時）にユーザ認証やアプリケーションレベルでのユーザ認証を実施する例について説明したが、認証手法が上記手法に限定されるものではない。例えば、アクセスネットワークが確立されている間有効とするワンタイムパスワードなどを用いてもよいし、電子証明書などを用いてもよい。

（システム構成等）
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理（例えばルーティングなどの設定変更処理など）の全部または一部を手動でおこなうこともでき、あるいは、手動でおこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図３〜図５など）については、特記する場合を除いて任意に変更することができる。

また、図８に示したステップＳ１０７〜ステップＳ１１３までのアクセスネットワーク確立後のユーザ認証処理〜ルーティングなどの設定変更処理については、システム提供側や利用側の契約などによって、任意に実行するようにすればよい。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる（例えば、アクセス関連情報収集部とアクセス関連情報変換部とを統合するなど）。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（プログラム）
なお、本実施例で説明した各機能部の処理は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明にかかるアクセス制御装置、アクセス制御方法、アクセス制御プログラムおよびサービス提供システムは、各種サービスをユーザ端末に提供するアプリケーションサーバとユーザ端末とのそれぞれと接続され、アプリケーションサーバとユーザ端末との間の通信を中継することに有用であり、特に、ネットワークを介したデータ送受信に際して、どのようなアプリケーションのデータであっても、アクセスネットワークに応じた制御をすることと、アクセスネットワークのセキュリティレベルに応じて、アプリケーションの使用を制御することに適している。

１０ ユーザ端末
１１ 通信制御Ｉ／Ｆ部
１２ 記憶部
１５ 制御部
１５ａ 接続部
１５ｂ ＶＰＮ接続部
１５ｃ サービス利用部
２０ アクセス制御装置
２１ 通信制御Ｉ／Ｆ部
２２ 記憶部
２２ａ 認証ＤＢ
２２ｂ アクセス関連ＤＢ
２５ 制御部
２５ａ 認証部
２５ｂ ＶＰＮ終端機能部
２５ｃ アクセス関連情報収集部
２５ｄ アクセス関連情報変換部
２５ｅ アクセス関連情報送信部
２５ｆ ルーティング・ファイアウォール制御部
２５ｇ ルーティング・ファイアウォール接続部
３０ アプリケーションサーバ
３１ 通信制御Ｉ／Ｆ部
３２ 記憶部
３２ａ サービスＤＢ
３５ 制御部
３５ａ サービス提供部

Claims (6)

1. 各種サービスをユーザ端末に提供するアプリケーションサーバと前記ユーザ端末とのそれぞれと接続され、前記アプリケーションサーバとユーザ端末との間の通信を中継するアクセス制御装置であって、
   前記ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別するユーザ識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納するアクセス関連情報格納手段と、
   前記ユーザ端末から前記アプリケーションサーバへの接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報を前記アクセス関連情報記憶部から取得し、取得したアクセス関連情報を前記接続要求とともに、前記アプリケーションサーバに送信するアクセス関連情報送信手段と、
   を備えたことを特徴とするアクセス制御装置。
2. 前記アクセス関連情報送信手段は、前記ユーザ端末から前記アプリケーションサーバへの接続要求を受信した場合に、当該接続要求を送信したユーザ端末が前記アクセスネットワークが確立されるユーザ端末であることを条件に、前記識別情報とアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納することを特徴とする請求項１に記載のアクセス制御装置。
3. 前記アクセス関連情報送信手段は、前記アプリケーションサーバからユーザ端末に対応するアクセス関連情報の提供依頼を受信した場合に、当該ユーザ端末に対応するアクセス関連情報を前記アクセス関連情報記憶部から取得して前記アプリケーションサーバに送信することを特徴とする請求項１に記載のアクセス制御装置。
4. 各種サービスをユーザ端末に提供するアプリケーションサーバと前記ユーザ端末とのそれぞれと接続され、前記アプリケーションサーバとユーザ端末との間の通信を中継することに適したアクセス制御方法であって、
   前記ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別するユーザ識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納するアクセス関連情報格納工程と、
   前記ユーザ端末から前記アプリケーションサーバへの接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報を前記アクセス関連情報記憶部から取得し、取得したアクセス関連情報を前記接続要求とともに、前記アプリケーションサーバに送信するアクセス関連情報送信工程と、
   を含んだことを特徴とするアクセス制御方法。
5. 各種サービスをユーザ端末に提供するアプリケーションサーバと前記ユーザ端末とのそれぞれと接続され、前記アプリケーションサーバとユーザ端末との間の通信を中継することをコンピュータに実行させるアクセス制御プログラムであって、
   前記ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別するユーザ識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納するアクセス関連情報格納手順と、
   前記ユーザ端末から前記アプリケーションサーバへの接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報を前記アクセス関連情報記憶部から取得し、取得したアクセス関連情報を前記接続要求とともに、前記アプリケーションサーバに送信するアクセス関連情報送信手順と、
   をコンピュータに実行させることを特徴とするアクセス制御プログラム。
6. 各種サービスをユーザ端末に提供するアプリケーションサーバと、前記アプリケーションサーバとユーザ端末との間の通信を中継するアクセス制御装置とを有するサービス提供システムであって、
   前記アクセス制御装置は、
   前記ユーザ端末との間のアクセスネットワーク確立時の接続情報から、当該ユーザ端末を識別するユーザ識別情報と、当該確立されたアクセスネットワークを識別するアクセス関連情報とを取得し、それぞれを対応付けてアクセス関連情報記憶部に格納するアクセス関連情報格納手段と、
   前記ユーザ端末から前記アプリケーションサーバへの接続要求を受信した場合に、当該ユーザ端末に対応するアクセス関連情報を前記アクセス関連情報記憶部から取得し、取得したアクセス関連情報を前記接続要求とともに、前記アプリケーションサーバに送信するアクセス関連情報送信手段とを有し、
   前記アプリケーションサーバは、
   前記アクセス関連情報に対応付けて、前記ユーザ端末に提供可能なサービスを記憶するサービス情報記憶手段と、
   前記アクセス制御装置から前記接続要求とともにアクセス関連情報を受信した場合に、当該アクセス関連情報に対応するサービスを前記サービス情報記憶手段から特定し、特定したサービスを前記ユーザ端末に提供するサービス提供手段と、
   を備えたことを特徴とするサービス提供システム。

Images