JP2012014536A

JP2012014536A - 認証システム及び認証基盤装置及び認証プログラム

Info

Publication number: JP2012014536A
Application number: JP2010151527A
Authority: JP
Inventors: Gentaro Washio; 元太郎鷲尾
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2010-07-02
Filing date: 2010-07-02
Publication date: 2012-01-19
Anticipated expiration: 2030-07-02
Also published as: JP5460493B2

Abstract

【課題】シングルサインオン認証システムにおいて、ＩＤマッピングテーブルの管理負荷軽減と、なりすまし防止によるセキュリティ機能強化を図る。
【解決手段】Ｗｅｂサービス認証機能部３０１はユーザ端末装置１００からＷｅｂサービスＡのサービスＩＤ（Ａ）を含む認証要求を受信し、認証が成立するとサービスＩＤ（Ａ）を含む認証情報を一定期間保持する。ＩＤマッピング指示機能部３０２は、認証情報保持期間にユーザ端末装置１００からＷＥｂサービスＡへアクセスがあるとサービスＩＤ（Ａ）と共通ＩＤとの対応付けを要求する共通ＩＤマッピング要求を認証基盤装置２００に送信する。認証基盤装置２００は共通ＩＤマッピング要求を受信すると、ユーザ端末装置１００に共通ＩＤの送信を要求して共通ＩＤを受信し、共通ＩＤと共通ＩＤマッピング要求に含まれるサービスＩＤ（Ａ）との対応付けをＩＤマッピングサービス装置に実行させて記憶させる。
【選択図】図１

Description

この発明は、シングルサインオンに使用するＩＤを対応付ける認証システムに関する。

従来のシングルサインオンサーバは、ＩＤマッピングテーブルを所持し、認証時に使用されたユーザＩＤをアクセス先のユーザＩＤに変換することによって、シングルサインオンを行っていた（例えば、非特許文献１）。例えば、図９は従来のシングルサインオンのシステムを示す。図９では、
（１）ユーザ端末装置１００は、予めＩＤマッピングサービス装置４００にＩＤのマッピング情報登録（Ｓ０１）し、
（２）ユーザ端末装置１００は、認証基盤装置２００に、ＷｅｂサービスＡおよびＷｅｂサービスＢで共通に利用可能な「共通ＩＤ」を使って、ＷｅｂサービスＡにアクセスし（Ｓ０２）、
（３）認証基盤装置２００がユーザ認証を実施し（Ｓ０３）、
（４）認証基盤装置２００は認証が成立するとＩＤマッピングサービス装置４００に依頼し、この依頼に基づき、ＩＤマッピングサービス装置４００がＩＤ変換機能部４０２を使いＩＤマッピングテーブル４０３から共通ＩＤをキーにしてＷｅｂサービスＡのＩＤを特定して認証基盤装置２００に返信し（Ｓ０４）、
（５）この返信により、認証基盤装置２００がＷｅｂサービスＡにＷｅｂサービスＡのＩＤでアクセス（Ｓ０５）、
の流れでシングルサインオンを実現している。

この場合、ＩＤマッピングテーブル４０３のマッピング情報は事前に設定されたものであるが、予め決められた方法で自動的にユーザＩＤを割り当てる方式も提案されている（例えば、特許文献１）。

特開２００４−２３４３２９号公報

ＬｉｂｅｒｔｙＡｌｌｉａｎｃｅのＬｉｂｅｒｔｙＩｄｅｎｔｉｔｙＷｅｂＳｅｒｖｉｃｅｓＦｒａｍｅｗｏｒｋ（ＩＤ−ＷＳＦ）２．０

共通ＩＤとしてユーザの個人情報である社会保障番号など公的ＩＤを使う場合、他のサービス提供者に漏洩しないようにする必要があるが、このような場合従来の認証基盤装置２００では以下の課題があった。
（１）ユーザがＩＤマッピングテーブル４０３の管理を可能な場合、接続するＷｅｂサービスの数が増加するに従って、ユーザの管理負荷が高くなってしまう。
（２）ユーザがＷｅｂサービスのＩＤを自由に登録可能なため、他人へのなりすましも可能であり、Ｗｅｂサービス提供者がこのマッピング情報を活用できない。

この発明は、シングルサインオンの認証システムにおいて、ＩＤマッピングテーブル４０３の管理負荷軽減と、なりすまし防止によるセキュリティ機能強化を目的とする。

この発明の認証システムは、
所定のサービスを提供するサービス提供装置と、前記サービス提供装置の提供する前記所定のサービスの利用に必要なＩＤ（ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）の登録処理を実行する認証基盤装置とを備えた認証システムにおいて、
前記サービス提供装置は、
ユーザ端末装置から認証を要求すると共に前記所定のサービスのＩＤを示すサービスＩＤを含む認証要求を受信すると認証処理を実行し、認証が成立すると認証が成立したことを示すと共に前記サービスＩＤを含む認証情報を一定期間保持するサービス側認証機能部と、
前記認証情報が保持されている前記一定期間の間に前記ユーザ端末装置から前記所定のサービスに対してアクセスされると前記認証情報に含まれる前記サービスＩＤを含むと共に前記サービスＩＤと、前記サービスＩＤに対応する共通ＩＤとの対応付けを要求する共通ＩＤマッピング要求を前記認証基盤装置に送信するサービス側ＩＤマッピング指示機能部と
を備え、
前記認証基盤装置は、
前記共通ＩＤマッピング要求を受信すると前記ユーザ端末装置に前記共通ＩＤの送信を要求し、前記ユーザ端末装置から前記共通ＩＤを受信すると受信した前記共通ＩＤと前記サービス提供装置から受信した前記共通ＩＤマッピング要求に含まれる前記サービスＩＤとの対応付けをマッピング装置に実行させて対応付け情報として登録させる認証側登録機能部を
備えたことを特徴とする。

この発明により、シングルサインオンの認証システムにおいて、ＩＤマッピングテーブルの管理負荷軽減と、なりすまし防止によるセキュリティ機能強化を図ることができる。

実施の形態１の認証システム１０００のシステム構成図。実施の形態１のセキュアＩＤマッピング登録機能部２０１の動作フロー。実施の形態２の認証システム１０００のシステム構成図。実施の形態２のセキュアＩＤマッピング登録機能部２０１の動作フロー。実施の形態３のＩＤマッピングテーブル４０３を示す図。実施の形態３の認証システム１０００のシステム構成図。実施の形態３のセキュアＩＤマッピング登録機能部２０１の動作フロー。実施の形態４の認証基盤装置２００のハードウェア構成例を示す図。従来技術を示す図。

実施の形態１．
図１は、この実施の形態１を示す認証基盤装置２００と、それと連携するＷｅｂサービスＡから構成されるシングルサインオン認証システム１０００の構成図である。

図１において、シングルサインオン認証システム１０００は、ユーザ端末装置１００、認証基盤装置２００、ＷｅｂサービスＡ提供装置３００及びＩＤマッピングサービス装置４００（マッピング装置）を備える。これらはネットワーク（図示していない）を介して接続されている。

（１）ユーザ端末装置１００は、Ｗｅｂサービスにブラウザ等を利用しアクセスする者が使用する装置である。
（２）ＷｅｂサービスＡ提供装置３００は、ユーザ端末装置１００に対してサービスＡを提供するアプリケーション（ＷｅｂサービスＡ）を実行する装置である。
（３）Ｗｅｂサービス認証機能部３０１（サービス側認証機能部）は、ユーザ端末装置１００を認証する機能を持つ。
（４）ＩＤマッピング指示機能部３０２（サービス側ＩＤマッピング指示機能部）は、ユーザ端末装置１００やＷｅｂサービスＡの指示によりＩＤのマッピングを指示する機能を有する。
（５）認証基盤装置２００は、ユーザ端末装置１００が正しくＷｅｂサービスＡを利用する資格があるかどうかを認証する。
（６）セキュアＩＤマッピング登録機能部２０１（認証側登録機能部）は、ユーザへの認証とＩＤのマッピングを登録する機能を有する。
（７）ＩＤマッピングサービス装置４００は、複数のＩＤの対応表を保持する。
（８）ＩＤマッピング登録機能部４０１は、ＩＤマッピングテーブル４０３にＩＤのマッピング情報を登録する。
（９）ＩＤ変換機能部４０２は、ＩＤマッピングテーブル４０３を参照してＩＤの変換を行う。ＩＤマッピングテーブル４０３は、ＩＤの対からなるデータである。

図２は、セキュアＩＤマッピング登録機能部２０１の処理の流れを示すフローチャートである。図２を参照してこのシステムの動作を説明する。また図１に以下の動作のステップ番号を記入している。セキュアＩＤマッピング登録機能部２０１の動作の図２では１００番台の番号を使用し、図１に記載した全般の動作では１０番台の番号を使用した。

ユーザ端末装置１００は、まず認証基盤装置２００を経由せず、ＷｅｂサービスＡに対してＷｅｂブラウザ等で直接アクセスする。ＷｅｂサービスＡでは、Ｗｅｂサービス認証機能部３０１によりユーザの認証を行う（Ｓ１１）。この際の認証はＩＤ／パスワードによる方式、ＳＳＬクライアント認証による方式等様々な方式が考えられるが、ユーザＩＤ（後に共通ＩＤと対応付けられるＷｅｂサービスＡのＩＤ）を特定できる方式であればどの方式でもよい。このＷｅｂサービスＡで認証した結果はセッション情報などに認証情報として格納され、ユーザとＷｅｂサービスとの間で一定期間保持される。その認証情報が保持された状態で、ユーザ端末装置１００がＩＤマッピング指示機能部３０２にアクセスすると（Ｓ１２）、ＩＤマッピング指示機能部３０２は認証情報に格納された「ＷｅｂサービスＡを利用する際のユーザＩＤ」を取得し、そのユーザＩＤをセキュアＩＤマッピング登録機能部２０１に伝え、共通ＩＤとのマッピングを要求する（Ｓ１３）。

認証基盤装置２００のセキュアＩＤマッピング登録機能部２０１では、マッピング要求を受けるとユーザ端末装置１００に対して「共通ＩＤ」での認証を要求する（Ｓ１４、Ｓ１０１）。このユーザへの認証の実現方式としては、たとえばＨＴＴＰのリダイレクト機能を使うことでユーザへ認証画面を提供することが可能となる。この際の認証もＩＤ／パスワードによる方式、ＳＳＬクライアント認証による方式などどの認証方式でもよい。ユーザ端末装置１００が要求に従い共通ＩＤによる認証をした場合（Ｓ１５）、セキュアＩＤマッピング登録機能部２０１は認証ＯＫであれば（Ｓ１０２）、そこで取得した「共通ＩＤ」と「ＷｅｂサービスＡのＩＤ」をマッピングするようＩＤマッピング登録機能部４０１に指示する（Ｓ１６、Ｓ１０４）。認証ＮＧの場合は（Ｓ１０２）、セキュアＩＤマッピング登録機能部２０１はＩＤマッピング登録を中止し、ユーザにエラー画面等を表示し（Ｓ１０５）、登録ＮＧの旨をＩＤマッピング指示機能部３０２に返す（Ｓ１０６）。ＩＤマッピングサービス装置４００のＩＤマッピング登録機能部４０１は、指示に従って「共通ＩＤ」と「ＷｅｂサービスＡのＩＤ」とをＩＤマッピングテーブル４０３に格納する。以上の流れで、共通ＩＤとＷｅｂサービスＡのＩＤとが正しくマッピングされる。

このようにＩＤマッピングテーブル４０３に格納することで、次回ユーザは認証基盤装置２００にアクセスし、共通ＩＤで認証された後、ＷｅｂサービスＡにアクセスすることができる。その際、図１の場合と同様に共通ＩＤがＷｅｂサービスＡのＩＤに変換されて認証基盤装置２００がＷｅｂサービスＡのＩＤでＷｅｂサービスＡにアクセスする。これにより、ユーザは認証基盤装置２００を介して正しくＷｅｂサービスＡの機能を利用することが可能となる。

すなわち、認証基盤装置２００は、ＩＤ変換機能部４０２に共通ＩＤを伝えＩＤの変換を指示する。ＩＤ変換機能部４０２はＩＤマッピングテーブル４０３から共通ＩＤに合致するＷｅｂサービスＡのＩＤを検索し、見つかった場合はそのＷｅｂサービスＡのＩＤを返す。認証基盤装置２００ではＷｅｂサービスＡのＩＤが取得できた場合、ＷｅｂサービスＡへＷｅｂサービスＡのＩＤを利用しアクセスする。ＷｅｂサービスＡのＩＤが取得できなかった場合はユーザにエラー画面等を表示する。

以上のように、ＩＤマッピングの指示をＷｅｂサービスＡで認証後にＷｅｂサービスＡ側からのＩＤマッピング指示を行うことで、ユーザのＩＤマッピングテーブル４０３の管理負荷を軽減することができる。また、ユーザから認証基盤装置２００のＩＤマッピングテーブル４０３を変更できない構成とすることにより、Ｗｅｂサービス側からしかＩＤが登録できなくなり、ユーザによるなりすましを防止することが可能となる。

また、共通ＩＤの情報はＷｅｂサービス側に伝達されず、認証基盤装置２００側にのみ通知されるため、例えば社会保障番号など個人情報となる番号が共通ＩＤであった場合、Ｗｅｂサービス提供者側への漏洩を防ぐことが可能となる。

また、本実施の形態１では、無条件でＷｅｂサービスがＩＤのマッピング情報を登録できたが、この登録要求に電子署名を付加し、それを検証することで許可されたＷｅｂサービスのみ登録可能な構成とすることができ、なりすましを防ぐことが可能となる。

以上の実施の形態１では、ＩＤのマッピング情報を記録する記録装置を介して、サービスＡのＩＤマッピング指示機能部からの要求に応じてＩＤマッピングテーブルを更新する認証基盤装置を説明した。

実施の形態２．
図３、図４を参照して実施の形態２を説明する。以上の実施の形態１では、ユーザの指示によりＩＤマッピングを指示し、ＩＤマッピングの登録を行っていた。次に実施の形態２ではＩＤマッピング（共通ＩＤとサービスＩＤとの対応付け）の登録有無を事前に確認する。ＩＤマッピングの登録がＩＤマッピングテーブル４０３にない場合は、ＷｅｂサービスＡのＩＤマッピング指示機能部３０２が自動的にＩＤマッピング情報の登録指示をする場合を説明する。

図３は、実施の形態２におけるシングルサインオン認証システム１０００の構成を示す。構成自体は実施の形態１の図１と同じであるが、次の動作説明で述べるように装置間のやり取りが多少異なる。

図４は、セキュアＩＤマッピング登録機能部２０１の処理の流れを示す。また図３に以下の全般の動作のステップ番号を記入している。セキュアＩＤマッピング登録機能部２０１の動作の図４では２００番台の番号を使用し、図３に記載した全般の動作では２０番台の番号を使用した。

実施の形態１では、ＩＤマッピングの指示をユーザ側もしくはＷｅｂサービスで判断して行っていたが、本実施の形態２ではマッピング済みかどうかをセキュアＩＤマッピング登録機能部２０１に問い合わせ、登録していないもののみ登録するよう動作を変更する。

Ｗｅｂサービス認証機能部３０１にユーザ端末装置１００がＷｅｂサービスＡのＩＤで認証を要求した場合（Ｓ２１）、Ｗｅｂサービス認証機能部３０１はＩＤマッピング指示機能部３０２を呼び出す。ＩＤマッピング指示機能部３０２は、ＷｅｂサービスＡのＩＤがマッピング情報（ＩＤマッピングテーブル４０３）に登録されているかどうかをセキュアＩＤマッピング登録機能部２０１に問い合わせる（Ｓ２２）。

セキュアＩＤマッピング登録機能部２０１は、ＩＤマッピング登録機能部４０１にＩＤマッピング情報が登録されているかどうかを問い合わせる（Ｓ２３、Ｓ２０１）。問い合わせがあると、ＩＤマッピング登録機能部４０１は、ＩＤマッピングテーブル４０３を検索し、該当するマッピング情報を検索する。検索した結果は、セキュアＩＤマッピング登録機能部２０１を経由し、ＩＤマッピング指示機能部３０２に伝えられる。

ＩＤマッピング指示機能部３０２は、受信した検索結果によりマッピング情報が存在しないと判断した場合は、実施の形態１と同様にＩＤマッピングの登録を指示する（Ｓ２４）。この後の動作は実施の形態１と同様である（図４のＳ２３〜Ｓ２８は図２のＳ１０１〜Ｓ１０６に同様）。ＩＤマッピング指示機能部３０２は、受信した検索結果によりマッピング情報が存在すると判断した場合は特になにも処理しない。

以上のような構成とすることで、実施の形態１ではＷｅｂサービスＡへの新規登録時やユーザの指示が必要であったが、実施の形態２では自動的にマッピング情報を登録することが可能となる。例えば、ＷｅｂサービスＡにユーザ端末装置１００のユーザ情報が登録されている既存システムにおいても、実施の形態２で説明した機能を組み込むことで、共通ＩＤとのマッピングを自動的に実施していくことが可能である。このような既存システムのＩＤマッピング情報への登録は、ＷｅｂサービスＡの管理者が一括登録するなどの方法がとられていたが、運用負荷が高かったり、ＷｅｂサービスＡの管理者に共通ＩＤを知らせたり必要があった。しかし、本実施の形態２によれば、この運用負荷軽減と、共通ＩＤの漏洩を防ぐことが可能である。

以上の実施の形態２では、ＩＤマッピング登録の際にＩＤマッピングの登録を確認する機能を有し、ＩＤマッピングマッピングテーブルの登録情報を更新する認証基盤装置を説明した。

実施の形態３．
図５〜図７を参照して実施の形態３を説明する。以上の実施の形態１、２では、共通ＩＤとＷｅｂサービスのＩＤとを１対１でマッピングしていた。実施の形態３では、共通サービス、Ｗｅｂサービス、Ｗｅｂサービス毎の契約ＩＤ（グループ所属ＩＤ）をマッピングする実施形態を示す。契約ＩＤは、一つのサービスＡのＩＤとして契約ごとに設定される複数のＩＤからなるＩＤグループのうちの一つのＩＤである。

図５は、実施の形態１、２でのＩＤマッピングテーブル４０３−１と、本実施の形態３におけるＩＤマッピングテーブル４０３−３の構造を示す。ＩＤマッピングテーブル４０３−１に示す通り、実施の形態１、２では共通ＩＤとＷｅｂサービスＡやサービスＢのＩＤマッピングを個別に行っていた。しかし本実施の形態３では、ＩＤマッピングテーブル４０３−３に示す通り、例えば「共通ＩＤ」とＷｅｂサービスＡのＩＤをまずマッピングし、その「ＷｅｂサービスＡのＩＤ」に対応付けられる契約ＩＤをさらにマッピングしている。

図６は、本実施の形態３のシステム構成を示す。構成自体は実施の形態１の図１と同じであるが各装置間のやり取りが多少異なる。

図７にセキュアＩＤマッピング登録機能部２０１の処理の流れを示す。また図６に以下の全般の動作のステップ番号を記入している。セキュアＩＤマッピング登録機能部２０１の動作の図７では３００番台の番号を使用し、図６に記載した全般の動作では３０番台の番号を使用した。

次に動作について説明する。ＩＤマッピング指示機能部３０２はＷｅｂサービス認証機能部３０１からＩＤマッピングの指示を受けると、セキュアＩＤマッピング登録機能部２０１にマッピングの有無を問い合わせる。ここで、ＷｅｂサービスＡのＩＤではなく、ＷｅｂサービスＡの「契約２のＩＤ」というように、同一人物であっても複数の契約がある場合は、契約ごとにその契約ＩＤで問い合わせる。

セキュアＩＤマッピング登録機能部２０１は有無の問い合わせを受けるとＩＤマッピング登録機能部４０１のＩＤマッピングテーブル４０３−３に該当のＷｅｂサービスＩＤが登録されているかどうかを確認する（Ｓ３０１）。登録されていない場合は（Ｓ３０２）、実施の形態１、２と同様にセキュアＩＤマッピング登録機能部２０１はユーザに共通ＩＤの認証を求め、その後にＩＤマッピングサービス装置４００にＩＤマッピング登録を行わせる（Ｓ３０３からＳ３０８まで）。

ＷｅｂサービスＡのＩＤが登録されている場合は（Ｓ３０２）、セキュアＩＤマッピング登録機能部２０１は、そのＷｅｂサービスＡに契約２のＩＤがマッピングされていないかをＩＤマッピングサービス装置４００を介して確認する（Ｓ３０９）。登録されている場合は（Ｓ３１０の「はい」）、セキュアＩＤマッピング登録機能部２０１は、その旨をＩＤマッピング指示機能部３０２に返す。登録されていない場合は（Ｓ３１０の「いいえ」）、セキュアＩＤマッピング登録機能部２０１はＩＤマッピング登録機能部４０１を通して、サービスＡの契約ＩＤをＷｅｂサービスにマッピングする（Ｓ３１１）。

以上のような構成にすることにより、例えば保険契約など一顧客に複数の契約ＩＤがある場合は従来はマッピング不可であった。しかし、本実施の形態３では契約ＩＤ毎に登録することが可能である。また、同一のＷｅｂサービスに対しては共通ＩＤとのマッピングを１回実施すればよく、ユーザの共通ＩＤでの認証階数を減らすことができ、負荷軽減になる。また、Ｗｅｂサービス側では契約ＩＤとの対応付けの確認を実施することが可能となり、複数の契約ＩＤの名寄せが可能となる。

以上の実施の形態３では、階層的なマッピングテーブル情報に対応し、ＩＤマッピング登録の際にＩＤマッピングの登録を確認し、ＩＤマッピングマッピングテーブルの登録情報を更新する認証基盤装置を説明した。

実施の形態４．
実施の形態４は認証基盤装置２００のハードウェア資源を説明する。
図８は、認証基盤装置２００のハードウェア資源の一例を示す図である。図８を参照してコンピュータである認証基盤装置２００のハードウェア構成を説明する。なお、ＷｅｂサービスＡ提供装置３００、ＩＤマッピングサービス装置４００も認証基盤装置２００同様のコンピュータでり、ハードウェア資源も認証基盤装置２００と同様である。よって以下の認証基盤装置２００の説明はＷｅｂサービスＡ提供装置３００等にも当てはまる。

ハードウェア資源を示す図８において、認証基盤装置２００、プログラムを実行するＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）８１０を備えている。ＣＰＵ８１０は、バス８２５を介してＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）８１１、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）８１２、表示装置８１３、キーボード８１４、マウス８１５、通信ボード８１６、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置８２０の代わりに、光ディスク装置、フラッシュメモリなどの記憶装置でもよい。

ＲＡＭ８１２は、揮発性メモリの一例である。ＲＯＭ８１１、ＦＤＤ８１７、ＣＤＤ８１８、磁気ディスク装置８２０等の記憶媒体は、不揮発性メモリの一例である。これらは、「記憶装置」あるいは記憶部、格納部、バッファの一例である。通信ボード８１６、キーボード８１４、ＦＤＤ８１７などは、入力部、入力装置の一例である。また、通信ボード８１６、表示装置８１３などは、出力部、出力装置の一例である。

通信ボード８１６は、ネットワークに接続されている。通信ボード８１６は、ＬＡＮに限らず、インターネット、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。

磁気ディスク装置８２０には、オペレーティングシステム８２１（ＯＳ）、ウィンドウシステム８２２、プログラム群８２３、ファイル群８２４が記憶されている。プログラム群８２３のプログラムは、ＣＰＵ８１０、オペレーティングシステム８２１、ウィンドウシステム８２２により実行される。

上記プログラム群８２３には、以上の実施の形態の説明において「〜部」として説明した機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ８１０により読み出され実行される。

ファイル群８２４には、以上の実施の形態の説明において、「ＩＤマッピングテーブル」（ＩＤマッピングサービス装置４００の場合）として説明したテーブルや、「〜の判定結果」、「〜の算出結果」、「〜の抽出結果」、「〜の生成結果」、「〜の処理結果」として説明した情報や、データや信号値や変数値やパラメータなどが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリなどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ８１０によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。

また、以上に述べた実施の形態の説明において、データや信号値は、ＲＡＭ８１２のメモリ、ＦＤＤ８１７のフレキシブルディスク、ＣＤＤ８１８のコンパクトディスク、磁気ディスク装置８２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス８２５や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以上の実施の形態の説明において、「〜部」として説明したものは、「〜手段」、「〜回路」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明したものは、ＲＯＭ８１１に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ８１０により読み出され、ＣＰＵ８１０により実行される。すなわち、プログラムは、以上に述べた「〜部」としてコンピュータを機能させるものである。あるいは、以上に述べた「〜部」の手順や方法をコンピュータに実行させるものである。

以上の実施の形態では、認証システム、認証基盤装置２００、ＷｅｂサービスＡ提供装置３００、ＩＤマッピングサービス装置４００等を説明したが、これらの動作をコンピュータに実行させるプログラムとして把握することも可能である。あるいは、プログラムを記録したコンピュータ読み取り可能な記録媒体として把握することも可能である。さらに、これらの動作を方法として把握することも可能である。

１００ユーザ端末装置、２００認証基盤装置、２０１セキュアＩＤマッピング登録機能部、３０１Ｗｅｂサービス認証機能部、３０２ＩＤマッピング指示機能部、４００ＩＤマッピングサービス装置、４０１ＩＤマッピング登録機能部、４０２ＩＤ変換機能部、４０３，４０３−１，４０３−３ＩＤマッピングテーブル、１０００認証システム。

Claims

所定のサービスを提供するサービス提供装置と、前記サービス提供装置の提供する前記所定のサービスの利用に必要なＩＤ（ＩＤｅｎｔｉｆｉｃａｔｉｏｎ）の登録処理を実行する認証基盤装置とを備えた認証システムにおいて、
前記サービス提供装置は、
ユーザ端末装置から認証を要求すると共に前記所定のサービスのＩＤを示すサービスＩＤを含む認証要求を受信すると認証処理を実行し、認証が成立すると認証が成立したことを示すと共に前記サービスＩＤを含む認証情報を一定期間保持するサービス側認証機能部と、
前記認証情報が保持されている前記一定期間の間に前記ユーザ端末装置から前記所定のサービスに対してアクセスされると前記認証情報に含まれる前記サービスＩＤを含むと共に前記サービスＩＤと、前記サービスＩＤに対応する共通ＩＤとの対応付けを要求する共通ＩＤマッピング要求を前記認証基盤装置に送信するサービス側ＩＤマッピング指示機能部と
を備え、
前記認証基盤装置は、
前記共通ＩＤマッピング要求を受信すると前記ユーザ端末装置に前記共通ＩＤの送信を要求し、前記ユーザ端末装置から前記共通ＩＤを受信すると受信した前記共通ＩＤと前記サービス提供装置から受信した前記共通ＩＤマッピング要求に含まれる前記サービスＩＤとの対応付けをマッピング装置に実行させて対応付け情報として登録させる認証側登録機能部を
備えたことを特徴とする認証システム。
前記サービス提供装置の前記サービス側認証機能部は、
前記ユーザ端末装置から前記認証要求を受信すると、前記サービス側ＩＤマッピング指示機能部を呼び出し、
前記サービス側ＩＤマッピング指示機能部は、
前記サービス側認証機能部に呼び出されると、前記認証要求に含まれる前記サービスＩＤが前記マッピング装置の前記対応付け情報に登録されているかどうかの確認を要求する登録確認要求を前記認証基盤装置に送信し、
前記認証基盤装置の前記認証側登録機能部は、
前記サービス側ＩＤマッピング指示機能部から前記登録確認要求を受信すると前記マッピング装置に前記対応付け情報を検索させて、検索結果を前記サービス側ＩＤマッピング指示機能部に送信し、
前記サービス側ＩＤマッピング指示機能部は、
前記認証側登録機能部から送信された前記検索結果がヒットなしの場合は前記共通ＩＤマッピング要求を前記認証基盤装置に送信し、前記検索結果がヒットありの場合は処理を終了することを特徴とする請求項１記載の認証システム。
前記サービス提供装置の前記サービス側認証機能部は、
前記ユーザ端末装置から前記所定のサービスのＩＤとして設定された複数のＩＤからなるＩＤグループに属する一つのＩＤであるグループ所属ＩＤを含む前記認証要求を受信し、前記認証要求を受信すると、前記サービス側ＩＤマッピング指示機能部を呼び出し、
前記サービス側ＩＤマッピング指示機能部は、
前記サービス側認証機能部に呼び出されると、前記認証要求に含まれる前記グループ所属ＩＤが前記マッピング装置の前記対応付け情報に登録されているかどうかの確認を要求する登録確認要求を前記認証基盤装置に送信し、
前記認証基盤装置の前記認証側登録機能部は、
前記サービス側ＩＤマッピング指示機能部から前記登録確認要求を受信すると前記マッピング装置の前記対応付け情報を検索させて、検索結果を前記サービス側ＩＤマッピング指示機能部に送信し、
前記サービス側ＩＤマッピング指示機能部は、
前記認証側登録機能部から送信された前記検索結果がヒットなしの場合は前記グループ所属ＩＤと前記共通ＩＤとの対応付けを求める前記共通ＩＤマッピング要求を前記認証基盤装置に送信し、前記検索結果がヒットありの場合は処理を終了することを特徴とする請求項１または２のいずれかに記載の認証システム。
所定のサービスを提供するサービス提供装置であって、ユーザ端末装置から認証を要求すると共に前記所定のサービスのＩＤを示すサービスＩＤを含む認証要求を受信すると認証処理を実行し、認証が成立すると認証が成立したことを示すと共に前記サービスＩＤを含む認証情報を一定期間保持し、前記認証情報が保持されている前記一定期間の間に前記ユーザ端末装置から前記所定のサービスに対してアクセスされると前記認証情報に含まれる前記サービスＩＤを含むと共に前記サービスＩＤと、前記サービスＩＤに対応する共通ＩＤとの対応付けを要求する共通ＩＤマッピング要求を送信する前記サービス提供装置から、
前記共通ＩＤマッピング要求を受信し、前記共通ＩＤマッピング要求を受信すると前記ユーザ端末装置に前記共通ＩＤの送信を要求し、前記ユーザ端末装置から前記共通ＩＤを受信すると受信した前記共通ＩＤと前記サービス提供装置から受信した前記共通ＩＤマッピング要求に含まれる前記サービスＩＤとの対応付けをマッピング装置に実行させて対応付け情報として登録させる認証側登録機能部を
備えたことを特徴とする認証基盤装置。
前記サービス提供装置は、
前記ユーザ端末装置から前記認証要求を受信すると、前記認証要求に含まれる前記サービスＩＤが前記マッピング装置の前記対応付け情報に登録されているかどうかの確認を要求する登録確認要求を前記認証基盤装置に送信し、
前記認証側登録機能部は、
前記サービス提供装置から前記登録確認要求を受信すると前記マッピング装置に前記対応付け情報を検索させて、検索結果を前記サービス提供装置に送信し、送信後に前記サービス提供装置から前記共通ＩＤマッピング要求を受信した場合には、前記ユーザ端末装置に前記共通ＩＤの送信を要求し、前記ユーザ端末装置から前記共通ＩＤを受信すると受信した前記共通ＩＤと前記サービス提供装置から受信した前記共通ＩＤマッピング要求に含まれる前記サービスＩＤとの対応付けをマッピング装置に実行させて対応付け情報として登録させることを特徴とする請求項４記載の認証基盤装置。
前記サービス提供装置は、
前記ユーザ端末装置から前記所定のサービスのＩＤとして設定された複数のＩＤからなるＩＤグループに属する一つのＩＤであるグループ所属ＩＤを含む前記認証要求を受信し、前記認証要求を受信すると、前記認証要求に含まれる前記グループ所属ＩＤが前記マッピング装置の前記対応付け情報に登録されているかどうかの確認を要求する登録確認要求を送信し、
前記認証側登録機能部は、
前記サービス提供装置から送信された前記登録確認要求を受信し、前記登録確認要求を受信すると前記マッピング装置に前記対応付け情報を検索させて、検索結果を前記サービス側ＩＤマッピング指示機能部に送信し、送信後に前記サービス提供装置から前記グループ所属ＩＤを含む前記共通ＩＤマッピング要求を受信した場合には、前記ユーザ端末装置に前記共通ＩＤの送信を要求し、前記ユーザ端末装置から前記共通ＩＤを受信すると受信した前記共通ＩＤと前記サービス提供装置から受信した前記共通ＩＤマッピング要求に含まれる前記グループ所属ＩＤとの対応付けをマッピング装置に実行させて対応付け情報として登録させることを特徴とする請求項５記載の認証基盤装置。
所定のサービスを提供するサービス提供装置であって、ユーザ端末装置から認証を要求すると共に前記所定のサービスのＩＤを示すサービスＩＤを含む認証要求を受信すると認証処理を実行し、認証が成立すると認証が成立したことを示すと共に前記サービスＩＤを含む認証情報を一定期間保持し、前記認証情報が保持されている前記一定期間の間に前記ユーザ端末装置から前記所定のサービスに対してアクセスされると前記認証情報に含まれる前記サービスＩＤを含むと共に前記サービスＩＤと、前記サービスＩＤに対応する共通ＩＤとの対応付けを要求する共通ＩＤマッピング要求を送信する前記サービス提供装置から前記共通ＩＤマッピング要求を受信する処理と、
前記共通ＩＤマッピング要求を受信すると前記ユーザ端末装置に前記共通ＩＤの送信を要求し、前記ユーザ端末装置から前記共通ＩＤを受信すると受信した前記共通ＩＤと前記サービス提供装置から受信した前記共通ＩＤマッピング要求に含まれる前記サービスＩＤとの対応付けをマッピング装置に実行させて対応付け情報として登録させる処理と
をコンピュータに実行させることを特徴とする認証プログラム。