JP2012141883A - サービス提供サーバ、認可情報取得方法及び認可情報取得プログラム - Google Patents

Abstract

【課題】 別の情報サービスのユーザの情報を取得する情報サービスを利用する場合のユーザの手間を軽減する。
【解決手段】 サービス提供サーバ１０は、ネットワークＮ１を介して情報の送受信を行う認可サービスプロバイダ３０からユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供する装置である。サービス提供サーバ１０は、ユーザが情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得部１３と、取得された認証情報に基づいてユーザの情報を取得するための認可情報の要求を認可サービスプロバイダ３０に対して行う認可情報要求部１４と、当該要求に応じて送信される認可情報を受信する認可情報受信部１５と、受信された認可情報をユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶部１６とを備える。
【選択図】 図１

Description

本発明は、別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバ、及び当該サービス提供サーバによる認可情報取得方法並びに認可情報取得プログラムに関する。

インターネット等のネットワーク上の情報サービスを利用する場合、情報サービスを提供するサイトは、通常、ユーザが当該情報サービスを受ける権限を有しているかを確認するためにユーザの認証を行う。従来からユーザ側での認証用ＩＤの管理を軽減したり、サイト側での認証の手間を軽減したりする目的で第三者による認証が行われている。このような認証システムとして、例えば、特許文献１に記載されたようなＯｐｅｎＩＤがある。ＯｐｅｎＩＤを利用することによって、ユーザは使い慣れた１つのＩＤとパスワードとで複数の情報サービスを利用することができる。

特願２００９−２８２５６１号公報

ところで、ネットワーク上で提供される情報サービスには、別の情報サービスのユーザの情報を取得して、取得した情報に基づいて情報サービスを提供するものがある。例えば、ユーザが短文を投稿して閲覧される別の情報サービスのサイト（具体的には例えば、Ｔｗｉｔｔｅｒ）から、ユーザの複数の投稿のデータを取得して、取得した複数の投稿をまとめて１つのコンテンツとしてユーザに提供するというものがある（具体的には例えば、Ｔｏｇｅｔｔｅｒ）。ある情報サービスのサイトが別の情報サービスのサイトからユーザの情報を取得する場合、通常、情報管理等の観点からユーザがその取得を許可することが必要となる。即ち、ユーザは、ユーザの情報を管理して提供するサイトに対して、ユーザの情報を取得するサイトへの情報の提供を認可する。

別の情報サービスのユーザの情報を取得して、取得した情報に基づいて情報を提供する情報サービスを利用する場合、ユーザは上記の認証と認可とをそれぞれ行わなければならず、大きな手間が発生していた。

本発明は、上記を鑑みてなされたものであり、別の情報サービスのユーザの情報を取得して取得した情報に基づいて情報を提供する情報サービスを利用する場合のユーザの手間を軽減することができるサービス提供サーバ、認可情報取得方法及び認可情報取得プログラムを提供することを目的とする。

上記目的を達成するために、本発明に係るサービス提供サーバは、別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバであって、ユーザが情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得手段と、認証情報取得手段によって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を別のサイトに対して行う認可情報要求手段と、認可要求手段による要求に応じて、別のサイトから送信される認可情報を受信する認可情報受信手段と、認可情報受信手段によって受信された認可情報を、ユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶手段と、を備えることを特徴とする。

本発明に係るサービス提供サーバによれば、ユーザの認証情報が取得されて、取得された認証情報に基づいて認可情報が取得される。取得された認可情報が用いられて、ユーザに情報を提供するために別のサイトから当該ユーザの情報が取得される。従って、ユーザは認可情報の取得のためだけの操作等を行う必要がなく、ユーザの手間を軽減することができる。

認可情報要求手段は、認証情報取得手段によって取得された認証情報のセキュリティレベルを判定して、判定されたセキュリティレベルに応じて認可情報の要求を行うことが望ましい。この構成によれば、認証情報のセキュリティレベルに応じた適切な認可情報の取得が可能になる。

認可情報要求手段は、別のサイトにも応じて認可情報の要求を行うことが望ましい。この構成によれば、認可元の別のサイトに応じた適切な認可情報の取得が可能になる。

認証情報取得手段は、複数の認証方法による認証に係る認証情報を取得して、認可情報要求手段は、複数の認証方法に基づいてセキュリティレベルを判定する、ことが望ましい。この構成によれば、複数の認証方法の組み合わせに応じた認可情報の取得を行うことができ、確実な認証に応じた認証情報の認可情報が可能になる。

認可情報要求手段は、判定されたセキュリティレベルに応じた認可レベルの認可情報の要求を行うことが望ましい。この構成によれば、適切な認可レベルの認可情報の取得が可能になる。

認可情報記憶手段は、複数のユーザ及び複数の別のサイトに係る認可情報を記憶し、認可情報要求手段は、認可情報記憶手段による認可情報の記憶状況に基づいて認可情報の優先度を決定して、決定した優先度に基づいて認可情報の要求を行う、ことが望ましい。この構成によれば、例えば、認可情報を要求する別のサイトの数が多い場合に適切な認可情報の取得が可能になる。

認可情報記憶手段は、利用可能とされた認可情報の利用を許可し、利用不能とされた認可情報の利用を禁止させるように、記憶した認可情報に関する利用可否を示す情報を入力して記憶することが望ましい。この構成によれば、適切な認可情報の活用が可能となり、ユーザの利便性を向上させることができる。

認証情報取得手段は、自サーバとは別体として構成される認証サーバからユーザの認証情報を受信することが望ましい。この構成によれば、ＯｐｅｎＩＤ等の第三者による認証を利用することができ、ユーザが一元的に認証用の情報を管理できる等、ユーザの利便性を向上させることができる。

ところで、本発明は、上記のようにサービス提供サーバの発明として記述できる他に、以下のように認可情報取得方法及び認可情報取得プログラムの発明としても記述することができる。これはカテゴリが異なるだけで、実質的に同一の発明であり、同様の作用及び効果を奏する。

即ち、本発明に係る認可情報取得方法は、別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバによる認可情報取得方法であって、ユーザが情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得ステップと、認証情報取得ステップによって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を別のサイトに対して行う認可情報要求ステップと、認可要求ステップにおける要求に応じて、別のサイトから送信される認可情報を受信する認可情報受信ステップと、認可情報受信ステップによって受信された認可情報を、ユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶ステップと、を含むことを特徴とする。

本発明に係る認可情報取得プログラムは、別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバであるコンピュータを、ユーザが情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得手段と、認証情報取得手段によって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を別のサイトに対して行う認可情報要求手段と、認可情報要求手段による要求に応じて、別のサイトから送信される認可情報を受信する認可情報受信手段と、認可情報受信手段によって受信された認可情報を、ユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶手段と、して機能させることを特徴とする。

本発明によれば、ユーザの認証情報が取得されて、取得された認証情報に基づいて認可情報が取得される。従って、ユーザは認可情報の取得のためだけの操作等を行う必要がなく、ユーザの手間を軽減することができる。

本発明の実施形態に係るサービス提供サーバの機能構成を示す図である。 ユーザ管理データベースに格納される、ユーザと認証に関する情報との対応を示す情報の例である。 ユーザ管理データベースに格納される、ユーザと認可情報との対応を示す情報の例である。 ポリシー管理データベースに格納される情報の例である。 本発明の実施形態に係るサービス提供サーバのハードウェア構成を示す図である。 本発明の実施形態に係るサービス提供サーバで認可情報の取得時に実行される処理（認可情報取得方法）を示すシーケンス図である。 本発明の実施形態に係るサービス提供サーバで情報サービスの提供時に実行される処理を示すシーケンス図である。 本発明の実施形態に係る認可情報取得プログラムの構成を記録媒体と共に示す図である。

以下、図面と共に本発明に係るサービス提供サーバ、認可情報取得方法及び認可情報取得プログラムの好適な実施形態について詳細に説明する。なお、図面の説明においては同一要素には同一符号を付し、重複する説明を省略する。

図１に本実施形態に係るサービス提供サーバ１０の構成を示す。サービス提供サーバ１０は、情報端末２０からの要求に応じて、ネットワークＮ１を介して当該情報端末２０に対して情報サービスを提供する装置である。具体的には、サービス提供サーバ１０は、情報端末２０からの要求に応じて情報端末２０用のコンテンツ（情報コンテンツ）を生成して情報端末２０に送信する。上記のネットワークＮ１は、具体的にはインターネット等に相当する。

情報端末２０は、ユーザに所持される、例えば携帯電話機等の端末である。情報端末２０は、移動体通信網Ｎ２に接続して移動体通信を行うことができる。移動体通信網Ｎ２は、ネットワークＮ１と接続されており、情報端末２０は、移動体通信網Ｎ２及びネットワークＮ１を介してサービス提供サーバ１０との間で情報の送受信を行うことができる。情報端末２０は、ＣＰＵ（Central Processing Unit）、メモリ、無線通信モジュール等のハードウェアによって構成されている。情報端末２０は、ユーザの操作に応じてサービス提供サーバ１０にコンテンツの要求を行い、要求に応じてサービス提供サーバ１０からコンテンツを受信する。情報端末２０は、受信したコンテンツを表示する等のコンテンツに応じて出力する。上記の情報端末２０は、図１では１つのみ示しているが、通常、複数の情報端末２０が存在している。

サービス提供サーバ１０において生成される情報端末２０用の情報コンテンツは、認可サービスプロバイダ３０から当該情報端末２０のユーザの情報を取得して、当該情報に基づいて生成される。認可サービスプロバイダ３０は、情報端末２０にサービス提供サーバ１０とは別の情報サービスを提供するサイトを構成する。認可サービスプロバイダ３０は、ネットワークＮ１を介してサービス提供サーバ１０との間で情報の送受信を行うことができる。また、認可サービスプロバイダ３０は、ネットワークＮ１及び移動体通信網Ｎ２を介して情報端末２０との間で情報の送受信を行うことができる。

認可サービスプロバイダ３０は、情報端末２０のユーザ毎の情報を記憶している。例えば、認可サービスプロバイダ３０は、情報端末２０からユーザの投稿データを受け付けて、ネットワークＮ１を介して公開する情報サービスを提供する。具体的には、Ｔｗｉｔｔｅｒのようなサービスである。認可サービスプロバイダ３０は、上記の投稿データをユーザ毎の情報として記憶している。サービス提供サーバ１０は、認可サービスプロバイダ３０からユーザ毎の情報を取得して、自身の情報サービスとして提供するコンテンツを生成する。具体的には、Ｔｏｇｅｔｔｅｒのようなサービスである。サービス提供サーバ１０は、ユーザからの複数の投稿データをまとめて１つのコンテンツとする。

サービス提供サーバ１０が認可サービスプロバイダ３０からユーザの情報を取得する（認可サービスプロバイダ３０が記憶するユーザの情報にアクセスする）際には、予め認可サービスプロバイダ３０がサービス提供サーバ１０に情報を提供する認可を行っておく。認可サービスプロバイダ３０は、サービス提供サーバ１０にデータの提供の認可を行ったことを示す認可情報を送信する。認可情報は、例えば、Ｔｏｋｅｎと呼ばれる情報である。認可情報は、提供される情報に係るユーザ毎の情報である。サービス提供サーバ１０は、ユーザの情報を要求する際には、認可情報を認可サービスプロバイダ３０に送信する。この認可には、ユーザの情報の全体の取得を許可する認可とユーザの情報の一部の取得を許可する認可との種別があってもよい（認可対象の情報が設定されていてもよい）。

上記の認可サービスプロバイダ３０は、図１では１つのみ示しているが、通常、提供される情報サービス毎に複数の認可サービスプロバイダ３０が存在している。

情報端末２０が、サービス提供サーバ１０の情報サービスを利用する際には、ユーザが正当な利用権限を有しているかの認証が行われる。当該認証は、認証サービスプロバイダ４０が行う。即ち、認証サービスプロバイダ４０は、ユーザの認証を行う認証サーバである。認証サービスプロバイダ４０は、ネットワークＮ１を介してサービス提供サーバ１０との間で情報の送受信を行うことができる。また、認証サービスプロバイダ４０は、ネットワークＮ１及び移動体通信網Ｎ２を介して情報端末２０との間で情報の送受信を行うことができる。

認証サービスプロバイダ４０は、ユーザを特定する情報（例えば、ユーザＩＤ）と、当該ユーザを認証するための情報（例えば、パスワード）とを対応付けて保持しておく。サービス提供サーバ１０は、情報端末２０に情報サービスを提供する際に認証サービスプロバイダ４０にユーザの認証要求を行う。認証サービスプロバイダ４０は、情報端末２０に認証に必要な情報（例えば、パスワード）を要求する。認証サービスプロバイダ４０は、当該要求によって得られた情報と、予め当該ユーザのユーザ識別子に対応付けて記憶した認証用の情報とが一致するかによって認証を行う。認証サービスプロバイダ４０は、情報端末２０のユーザが利用権限を有しているか否かを示す認証結果の情報をサービス提供サーバ１０に送信する。

後述するように認証には、パスワードによる認証、移動体通信網Ｎ２への接続の情報に基づく認証（移動体通信網Ｎ２を提供する通信事業者による認証）及び生態認証（具体的には、指紋、静脈及び虹彩）等の複数のものがある。また、パスワードによる認証も、複数の認証サービスプロバイダ４０によって（それぞれ異なるユーザＩＤとパスワードとで）行われえる。通常、認証サービスプロバイダ４０は上記の認証方法毎に存在している。なお、１つの認証サービスプロバイダ４０が複数の認証方法による認証を行うこととしてもよい。

引き続いて、サービス提供サーバ１０の機能について説明する。図１に示すようにサービス提供サーバ１０は、ユーザ管理データベース１１と、ポリシー管理データベース１２と、認証情報取得部１３と、認可情報要求部１４と、認可情報受信部１５と、認可情報記憶部１６とを備えて構成される。なお、サービス提供サーバ１０は、上述した情報端末２０に対してコンテンツを提供する機能も備えているが上記のブロック図では省略している。

ユーザ管理データベース１１は、サービス提供サーバ１０における情報サービスの提供に関して、上記の認証及び認可に関する情報をユーザ毎に格納するデータベースである。ユーザ管理データベース１１は、認証に関する情報を図２に示すテーブルに格納する。この情報は、各ユーザがどのような認証を利用するのかを示した情報である。上記のテーブルには、ユーザ識別子と、認証に関する情報とが対応付けられて格納されている。ユーザ識別子は、ユーザを一意に特定する情報である。認証に関する情報は、レベル、内容、詳細及び利用状況の各情報を含む。

レベルは、対応する認証情報のセキュリティレベルを示し、レベルが高いほどセキュリティレベルが高いことを示している。セキュリティレベルとは、認証を確実に行いえる（確実に権限を有する本人であることを確認できる）度合いを示したものである。内容は、どのような認証が行われるかを示す情報である。例えば、パスワードによる認証や生態認証等である。詳細は、認証内容の具体的な内容を示す。例えば、ＩＤ及びパスワードによる認証である場合、何れの認証サービスプロバイダ４０による認証であるかを示す。また、生態認証である場合、どのような生態情報が用いられるかを示す。利用状況は、対応する認証方法が対応するユーザに用いられるか否かを示す情報である。利用状況がマルで示される認証方法は当該ユーザに用いられる認証方法であることを示し、利用状況がバツで示される認証方法は当該ユーザに用いられない認証方法であることを示している。

図２に示す各情報は、情報端末２０から送信される等によって、予め入力、記憶されている。この情報は、情報端末２０がサービス提供サーバ１０による情報サービスを利用するときの認証の際に参照される。

ユーザ管理データベース１１は、認可に関する情報を図３に示すテーブルに格納する。この情報は、サービス提供サーバ１０が、何れの認可サービスプロバイダ３０からユーザの情報を取得できることを示す認可情報を格納した情報である。上記のテーブルには、ユーザ識別子と認可情報とが対応付けられて格納されている。ユーザ識別子は、図２のテーブルのユーザ識別子と同様の情報である。認証情報は、内容及び利用状況の各情報を含む。

内容は、認可情報本体である。また、内容の情報を参照することによって、何れの認可サービスプロバイダ３０から認可情報を取得しているかを把握することができる。この情報は、後述するように認可情報記憶部１６から入力されてテーブルに格納される。利用状況は、対応する認可情報が利用可能か否かを示す情報である。利用状況がマルで示される認可情報は利用可能であることを示し、利用状況がバツで示される認可情報は利用不可であることを示している。利用状況の情報についても、後述するように認可情報記憶部１６から入力されてテーブルに格納される。

この情報は、情報端末２０がサービス提供サーバ１０による情報サービスを利用するときにサービス提供サーバ１０から認可サービスプロバイダ３０からユーザの情報が取得される際に利用される。

ポリシー管理データベース１２は、認可サービスプロバイダ３０毎に、認証のセキュリティレベルと認可の内容との対応を格納するデータベースである。ポリシー管理データベース１２は、上記の情報を図４に示すテーブルに格納する。この情報は、認可サービスプロバイダ３０（によって提供される情報サービス）毎に、認証のセキュリティレベルに応じてどの程度、認可するかを示した情報である。上記のテーブルには、サービスプロバイダ毎に要求認証セキュリティレベルとアクセス認可レベルとを示す情報が対応付けられて格納されている。サービスプロバイダは、認可サービスプロバイダ３０を特定する情報である。

要求認証セキュリティレベルとアクセス認可レベルとを示す情報は、認証が単一認証の場合と複数認証である場合のそれぞれの場合について格納されている。単一認証とは、１つの認証方法でユーザが認証されることである。複数認証とは、複数の認証方法でユーザが認証されることである。要求認証セキュリティレベルは、実行される認証のセキュリティレベルを示し、図２のテーブルのレベルに対応している。アクセス認可レベルは、認可の内容を示している。

例えば、認可サービスプロバイダ３０“ＳＰ１”では、セキュリティレベルが“Ｌｖ．３”の認証が行われた場合には、全ての情報が取得可能な認可情報が得られ、セキュリティレベルが“Ｌｖ．１”又は“Ｌｖ．２”の認証が行われた場合には、一部の情報が取得可能な認可情報が得られることを示している。また、“Ｌｖ．１”以上の複数のセキュリティレベルの方法で認証が行われた場合には、全ての情報が取得可能な認可情報が得られることを示している。

図４に示す各情報は、サービス提供サーバ１０の管理者等によって、予め入力、記憶されている。この情報は、サービス提供サーバ１０が、認可サービスプロバイダ３０から認可情報を取得する際に参照される。

認証情報取得部１３は、ユーザがサービス提供サーバ１０の情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得手段である。認証情報の取得は、携帯端末２０のユーザに係る認可情報を取得する際、及び携帯端末２０からサービス提供サーバ１０による情報サービスが利用される際に行われる。具体的には、認証情報取得部１３は、以下のように認証情報を取得する。

まず、認可情報の取得の際、及びサービス提供サーバ１０による情報サービスの利用の際、認証情報取得部１３は、情報端末２０から情報サービスを受けるユーザのユーザ識別子と認証サービスプロバイダ４０を特定する情報（外部認証サービスを示すサービス情報）とをユーザの要求として受信する。認証サービスプロバイダ４０を特定する情報は、図２に示すテーブルの内容及び詳細の情報に対応しており、この認証サービスプロバイダ４０によってユーザの認証が行われる。

認証情報取得部１３は、ユーザ管理データベース１１の図２に示すテーブル（に利用状況の欄）を参照して情報端末２０から送信された情報で示される認証方法が当該ユーザに用いられる認証方法であるか否かを判断する。認証情報取得部１３は、当該認証方法がユーザに用いられるものであると判断した場合は、当該認証方法による認証を実行する認証サービスプロバイダ４０に当該ユーザの認証要求を行う。認証要求には、当該認証サービスプロバイダ４０でユーザを特定するための情報（例えば、ユーザＩＤ）が含められる。

認証サービスプロバイダ４０では、認証要求が受信されて上述したようにユーザの認証を行い、認証結果を示す情報がサービス提供サーバ１０に送信される。認証情報取得部１３は、認証サービスプロバイダ４０から送信された認証情報を受信する。

認証情報取得部１３は、認証情報を取得した後に認可情報の取得を行う場合には、取得した認証情報を認可情報要求部１４に入力する。なお、認証情報を取得した後に認可情報の取得を行うか否かは上記のユーザの要求に含められており、それによって判断が可能である。

また、情報端末２０がサービス提供サーバ１０による情報サービスを利用する場合には、当該認証情報に応じて情報端末２０に対してサービス提供サーバ１０による情報サービスが提供される。なお、この場合の処理については、後述する図７のシーケンス図を用いた説明で詳細に説明する。

上記で認証情報取得部１３は、図２に示すテーブルを参照して情報端末２０から送信された情報で示される認証方法がユーザに用いられるものでないと判断した場合は上記の認証のための処理を行わず、例えば認証が行われない旨のメッセージを情報端末２０に送信する。

なお、認証情報取得部１３は、複数の認証方法による認証（例えば、パスワードによる認証と生態認証との２種類の認証）に係る認証情報を取得することとしてもよい。また、認証情報取得部１３は、認証サービスプロバイダ４０にユーザの認証をさせるのではなく自身でユーザの認証を行うこととしてもよい。その場合、認証情報取得部１３は、認証サービスプロバイダ４０が有する認証機能を有する。

認可情報要求部１４は、認証情報取得部１３によって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を認可サービスプロバイダ３０に対して行う認可情報要求手段である。具体的には、認可情報要求部１４は、認証情報を含む認可要求を認可サービスプロバイダ３０に対して行う。ここで、認可要求に認証情報を含めるのは、当該ユーザが認証済みであることを認可サービスプロバイダ３０に示すためである。認可を要求する認可サービスプロバイダ３０は、サービス提供サーバ１０により提供される情報サービスに応じて、予めサービス提供サーバ１０の管理者あるいは情報端末２０のユーザによって設定され、認可情報要求部１４に予め記憶されている。認可情報の要求は、複数の認可サービスプロバイダ３０に対して行われてもよい。

認可情報要求部１４は、認証情報取得部１３によって取得された認証情報のセキュリティレベルを判定して、判定されたセキュリティレベルに応じて認可情報の要求を行うこととしてもよい。例えば、認証情報が一定以上のセキュリティレベルであった場合のみに認可情報の要求を行うこととしてもよい。認証情報のセキュリティレベルは、例えば、認証情報取得部１３によって認証情報の取得時に図２に示すテーブルが参照されて判断されて、認可情報要求部１４に通知されてもよい。あるいは、認可情報要求部１４が、認証情報に含まれるセキュリティレベルを示す情報を取得して、それを参照して判断してもよい。上記の判断の結果、認可情報の取得を行わない場合には、その旨を情報端末２０に通知することが望ましい。

また、認可サービスプロバイダ３０にも応じて認可情報の要求を行うこととしてもよい。例えば、ある認可サービスプロバイダ３０には、認証情報のセキュリティレベルが“Ｌｖ．１”以上の場合に認可を行うこととし、別の認可サービスプロバイダ３０には、認証情報のセキュリティレベルが“Ｌｖ．２”以上の場合に認可を行うこととしてもよい。

更に、認可情報要求部１４は、判定されたセキュリティレベルに応じた認可レベルの認可情報の要求を行うこととしてもよい。セキュリティレベルに応じた認可レベルとは、例えば、認可サービスプロバイダ３０に対してどの範囲の情報の取得（アクセス）の認可を要求するかである。要求を行う認可レベルは、ポリシー管理データベース１２の図４に示すテーブルが参照されて判断される。例えば、認可サービスプロバイダ３０“ＳＰ１”については、認証情報のセキュリティレベルが“Ｌｖ．３”である場合には、全部の情報について取得可能である認可情報を要求し、認証情報のセキュリティレベルが“Ｌｖ．１”又は“Ｌｖ．２”である場合には、一部の情報について取得可能である認可情報を要求する。

認可情報要求部１４は、複数の認証方法に基づいてセキュリティレベルを判定することとしてもよい。具体的には、ポリシー管理データベース１２の図４に示すテーブルの複数認証の欄が参照されて判断される。例えば、認可サービスプロバイダ３０“ＳＰ１”については、認証情報が複数の認証方法で認証が行われそれぞれセキュリティレベルが“Ｌｖ．１”以上であった場合に、全部の情報について取得可能である認可情報を要求するに相当するセキュリティレベルであると判定される。

また、認可対象の認可サービスプロバイダ３０の数が膨大になる場合にはネットワークＮ１の負荷を抑えることを目的として、認可情報要求部１４は、認可情報の優先度を決定して決定した優先度に基づいて認可情報の要求を行うこととしてもよい。例えば、一人のユーザについて、優先度が高い順に予め設定された一定数の認可情報を取得することとしてもよい。優先度は、既に取得されている認可情報、即ちユーザ管理データベース１１の図３に示すテーブルが参照されて決定される。即ち、優先度は、認可情報の記憶状況に基づいて決定される。例えば、取得数が多い認可情報ほど高い優先度とされる。

認可情報受信部１５は、認可情報要求部１４による要求に応じて、認可サービスプロバイダ３０から送信される認可情報を受信する認可情報受信手段である。認可情報受信部１５は、受信した認可情報を認可情報記憶部１６に出力する。

認可情報記憶部１６は、認可情報受信部１５から入力された認可情報を、ユーザ（情報端末２０）にサービス提供サーバ１０の情報サービスを提供するための認可情報として記憶する認可情報記憶手段である。具体的には、認可情報記憶部１６は、認可情報受信部１５から入力された認可情報をユーザ管理データベース１１の図３に示すテーブルにユーザの識別子に対応付けて格納する。認可情報の格納は、図３に示すテーブルに示すようにユーザ及び認可サービスプロバイダ３０毎に行われる。

認可情報記憶部１６は、記憶した認可情報に関する利用可否を示す情報を入力して認可情報に対応付けて記憶する。利用可否を示す情報は、具体的には図３のテーブルの利用状況の欄に示す情報である。当該情報の入力は、例えば、情報端末２０から送信された情報を受信することによって行われる。ユーザが、認可情報の利用可否を適宜設定できるようにするためである。サービス提供サーバ１０において、利用可能とされた認可情報は利用を許可し、利用不能とされた認可情報の利用を禁止させるように制御が行われる。即ち、サービス提供サーバ１０には、当該制御を行う制御手段が備えられる（図示は省略する。認可情報記憶部１６が制御手段であってもよい）。以上が、サービス提供サーバ１０の機能構成である。

図５にサービス提供サーバ１０のハードウェア構成を示す。図５に示すようにサービス提供サーバ１０は、ＣＰＵ１０１、主記憶装置であるＲＡＭ（Random Access Memory）１０２及びＲＯＭ（Read Only Memory）１０３、通信を行うための通信モジュール１０４、並びにハードディスク等の補助記憶装置１０５等のハードウェアを備えるコンピュータを含むものとして構成される。これらの構成要素がプログラム等により動作することにより、上述したサービス提供サーバ１０の機能が発揮される。なお、上記の認可サービスプロバイダ３０及び認証サービスプロバイダ４０も、サービス提供サーバ１０と同様のハードウェア構成のサーバ装置として構成される。以上が、サービス提供サーバ１０の構成である。

引き続いて、図６及び図７のシーケンス図を用いて、本実施形態に係るサービス提供サーバ１０で実行される処理を説明する。まず、図６のシーケンス図を用いて、認可情報の取得時に行われる処理（認可情報取得方法）を説明する。この処理は、例えば、ユーザが、サービス提供サーバ１０の情報サービスを初めて利用する際に行われる。

まず、情報端末２０では、外部認証サービスの選択が行われる。即ち、ユーザの認証を行う認証サービスプロバイダ４０の選択が行われる（Ｓ０１）。具体的には情報端末２０において、ユーザの操作による認証サービスプロバイダ４０を示す情報の入力を受け付ける。続いて、ユーザ識別子が取得される（Ｓ０２）。例えば、ユーザ識別子は、予め情報端末２０に記憶されておりそれが読み出されて取得される。あるいは、ユーザの操作によるユーザ識別子の入力が受け付けられて取得されてもよい。続いて、上記の外部認証サービスを示すサービス情報とユーザ識別子とが情報端末２０からサービス提供サーバ１０に送信される（Ｓ０３）。

また、送信される情報は、フラグを情報に含める等サービス提供サーバ１０において認可情報の取得が必要でことが判断できるようにしておく。これによって、サービス提供サーバ１０において認可サービスプロバイダ３０から認可情報の取得が必要であることが判断される。

サービス提供サーバ１０では、情報端末２０から送信された情報が認証情報取得部１３によって受信される（Ｓ０３）。続いて、認証情報取得部１３によってユーザ管理データベース１１の図２に示すテーブルが参照されて、受信されたユーザ識別子とサービス情報とから、選択された認証サービスプロバイダ４０が利用可能か否かが判断される（Ｓ０４）。具体的には、図２に示すテーブルの受信されたユーザ識別子とサービス情報（内容及び詳細に対応）とに対応する利用状況の欄が利用可能であることを示すものであるか否かが判断される。情報端末２０から送信された情報で示される認証方法がユーザに用いられるものでないと判断された場合に認証のための処理は行われず、情報端末２０に対して認証が行われない旨の通知が行われる（図示せず）。

当該認証方法がユーザに用いられるものであると判断された場合は、当該認証方法による認証を実行する認証サービスプロバイダ４０に当該ユーザの認証要求が行われる（Ｓ０５、認証情報取得ステップ）。

認証サービスプロバイダ４０では、ユーザの認証要求が受信される（Ｓ０５）。続いて、認証サービスプロバイダ４０から情報端末２０に対して、認証に必要な情報（例えば、パスワード）が要求される（Ｓ０６）。

情報端末２０では、当該要求が受け付けられると、認証に必要な情報が入力される（Ｓ０７）。この入力は、例えば、ユーザの情報端末２０に対する操作によって行われる。入力された情報は、情報端末２０から認証サービスプロバイダ４０に送信される（Ｓ０８）。

認証サービスプロバイダ４０では、送信された情報に基づいてユーザの認証が行われ、認証の結果を示す認証結果が生成される（Ｓ０９）。生成された認証情報は、認証サービスプロバイダ４０からサービス提供サーバ１０に送信される（Ｓ１０）。

サービス提供サーバ１０では、認証情報取得部１３によって認証情報が受信される（Ｓ１０、認証情報取得ステップ）。受信された認証情報は、認証情報取得部１３から認可情報要求部１４に出力される。なお、認証サービスプロバイダ４０によるユーザの認証が失敗した場合（即ち、ユーザがサービス提供サーバ１０による情報サービスを受ける正当権限を有してないとされた場合）、以降の処理は行われない。

続いて、認証情報取得部１３によって、認証情報のセキュリティレベルが判定され、当該セキュリティレベルに応じて認可情報の取得の可否、あるいは取得される認可情報が判断される（Ｓ１１、認証情報取得ステップ）。上記の判断は、上述したように認可サービスプロバイダ３０毎に行われてもよい。また、ここで上述したように認可情報の優先度に基づいて、取得される認可情報が判断されてもよい。

続いて、認証情報取得部１３によって、取得すると判断された認可情報を取得するために、認可サービスプロバイダ３０に対して認可要求が行われる（Ｓ１２、認可情報要求ステップ）。認可要求には、当該ユーザの認証情報が含められる。認可サービスプロバイダ３０では、認可要求が受信されて、認可要求に含まれる認証情報が参照されて認可情報（例えば、上述したようなＴｏｋｅｎ）が発行される（Ｓ１３）。生成された認可情報は、認可サービスプロバイダ３０からサービス提供サーバ１０に送信される（Ｓ１４）。

サービス提供サーバ１０では、認可情報受信部１５によって、認可情報が受信される（Ｓ１４、認可情報受信ステップ）。受信された認可情報は、認可情報受信部１５から認可情報記憶部１６に出力される。続いて、認可情報は、認可情報記憶部１６によって、ユーザ管理データベース１１の図３に示すテーブルにユーザの識別子に対応付けられて格納される（Ｓ１５、認可情報記憶ステップ）。以上が、認可情報の取得時に行われる処理である。なお、認可情報が取得された後、サービス提供サーバ１０から情報端末２０にその旨の通知がなされてもよい。

続いて、図７のシーケンス図を用いて、上記のように取得された認可情報が利用されて、情報端末２０にサービス提供サーバ１０の情報サービスが提供される時に行われる処理を説明する。

サービス提供サーバ１０、情報端末２０及び認証サービスプロバイダ４０の間で行われるユーザの認証処理（Ｓ２１〜Ｓ３０）は、図６に示した認証処理（Ｓ０１〜Ｓ１０）と同様である。但し、Ｓ２３において情報端末２０からサービス提供サーバ１０に送信される情報は、情報サービスの提供を要求（コンテンツの要求）するものであり、図６のＳ０３に示す認可情報の取得の要求に係るものではない。これにより、サービス提供サーバ１０では、情報端末２０に情報サービスの提供する処理を行うものと認識される。

サービス提供サーバ１０では、Ｓ３０の処理によって認証情報が受信されると、認証情報のセキュリティレベルが判定される（Ｓ３１）。このセキュリティレベルの判定は、認可情報を取得したとき以上の認証情報のセキュリティレベルがあるかが判定される。認可情報の取得時以上のセキュリティレベルの認証情報であった場合のみ以下の処理が行われ、認可情報の取得時より低いセキュリティレベルの認証情報であった場合は、以下の処理は行われない。認可情報の取得時より低いセキュリティレベルの認証情報であった場合、その認可情報を利用することが適切でないからである。その場合、認可サービスプロバイダ３０からの情報が取得できないものとして情報端末２０に通知（接続不可通知）が行われる。情報端末２０では、その通知が表示される。

続いて、サービス提供サーバ１０では、ユーザ管理データベース１１の図３に示すテーブルに格納された当該ユーザの認可情報が取得される（Ｓ３２）。このとき、取得されるのは、図３のテーブルに示す利用状況の欄が利用可能なことを示すもののみである。利用状況の欄が利用不可なことを示す認可情報については、取得が禁止される。この場合にも上記の接続不可通知が行われてもよい。

続いて、サービス提供サーバ１０から認可サービスプロバイダ３０に、認可サービスプロバイダ３０で記憶されていると共にサービス提供サーバ１０においてコンテンツを生成するために用いられるユーザの情報（サービスデータ）の要求が行われる（Ｓ３３）。当該要求には認可情報が含められる。

認可サービスプロバイダ３０では、認可情報が受信され、当該認可情報の検証が行われる（Ｓ３４）。認可情報の検証の結果、適切な認可情報であった場合には、認可サービスプロバイダ３０からサービス提供サーバ１０に、要求に係るサービスデータが送信される（Ｓ３５）。

サービス提供サーバ１０では、当該サービスデータが受信されて当該サービスデータに基づいてコンテンツが生成される（Ｓ３６）。生成されたコンテンツは、サービス提供サーバ１０から情報端末２０に送信される（Ｓ３７）。情報端末２０では、コンテンツが受信されて表示等の出力が行われる。以上が、認可情報が利用されて、情報端末２０にサービス提供サーバ１０の情報サービスが提供される時に行われる処理である。

上述したように、本実施形態に係るサービス提供サーバ１０によれば、ユーザの認証情報が取得されて、取得された認証情報に基づいて認可情報が取得される。従って、ユーザはサービス提供サーバ１０の情報サービスを利用するために認証を受けるだけで認可サービスプロバイダ３０の認可情報も取得することができる。従って、ユーザは認可情報の取得のためだけの操作等を行う必要がなく、ユーザの手間を軽減することができる。

また、本実施形態のように認証情報のセキュリティレベルや認可サービスプロバイダ３０に応じた認可情報の取得を行うこととすれば、より適切な認可情報の取得が可能になる。また、セキュリティレベルに応じた認可レベルの認証情報を取得することも望ましい。また、複数の認証情報に応じて認可情報を取得することも好適である。但し、認証方法や認可元の認可サービスプロバイダ３０のバリエーションがないシステム等では、必ずしもセキュリティレベルや認可サービスプロバイダ３０に応じた認可情報の取得を行う必要はない。

また、本実施形態のように認可情報の優先度に基づいて認可情報を取得することとすれば、例えば、多くのユーザに用いられる認証情報を確実に取得することができると共に、限定された数の認可情報の取得とすることができるのでネットワークＮ１の負荷を抑えることもできる。但し、取得する認可情報の数がネットワークの負荷の観点において多くない場合等には、優先度に基づく認可情報の取得を行う必要はない。

また、本実施形態のように取得した認証情報に利用可否の情報を対応付けて管理することによって、適切な認可情報の活用が可能となり、ユーザの利便性を向上させることができる。

また、本実施形態のように外部の認証サービスプロバイダ４０に認証処理を行わせることも望ましい。この構成によれば、ＯｐｅｎＩＤ等の第三者による認証を利用することができ、ユーザが一元的に認証用の情報を管理できる等、ユーザの利便性を向上させることができる。

なお、上述した実施形態では、認可サービスプロバイダ３０及びサービス提供サーバ１０による情報サービスの例として、それぞれＴｗｉｔｔｅｒ及びＴｏｇｅｔｔｅｒを挙げたがこれらに限られるものではない。認可サービスプロバイダ３０でユーザ毎の情報を記憶しており、サービス提供サーバ１０が認可サービスプロバイダ３０の認可の上で当該ユーザ毎の情報を取得して情報サービスを行うようなものであれば任意の情報サービスに適用することができる。

引き続いて、上述した一連のサービス提供サーバ１０の上述した認可情報取得処理をコンピュータに実行させるための認可情報取得プログラムを説明する。図８に示すように、認可情報取得プログラム５１は、サービス提供サーバであるコンピュータに挿入されてアクセスされる、あるいは当該コンピュータが備える記録媒体５０に形成されたプログラム格納領域５０ａ内に格納される。

認可情報取得プログラム５１は、認可情報取得処理を統括的に制御するメインモジュール５１ａと、ユーザ管理データベースモジュール５１ｂと、ポリシー管理データベースモジュール５１ｃと、認証情報取得モジュール５１ｄと、認可情報要求モジュール５１ｅと、認可情報受信モジュール５１ｆと、認可情報記憶モジュール５１ｇとを備えて構成される。ユーザ管理データベースモジュール５１ｂと、ポリシー管理データベースモジュール５１ｃと、認証情報取得モジュール５１ｄと、認可情報要求モジュール５１ｅと、認可情報受信モジュール５１ｆと、認可情報記憶モジュール５１ｇとを実行させることにより実現される機能は、上述したサービス提供サーバ１０のユーザ管理データベース１１と、ポリシー管理データベース１２と、認証情報取得部１３と、認可情報要求部１４と、認可情報受信部１５と、認可情報記憶部１６との機能とそれぞれ同様である。

なお、認可情報取得プログラム５１は、その一部若しくは全部が、通信回線等の伝送媒体を介して伝送され、他の機器により受信されて記録（インストールを含む）される構成としてもよい。また、認可情報取得プログラム５１の各モジュールは、１つのコンピュータでなく、複数のコンピュータのいずれかにインストールされてもよい。その場合、当該複数のコンピュータによるコンピュータシステムよって上述した一連のサービス提供サーバ１０の認可情報取得処理が行われる。

１０…サービス提供サーバ、１１…ユーザ管理データベース、１２…ポリシー管理データベース、１３…認証情報取得部、１４…認可情報要求部、１５…認可情報受信部、１６…認可情報記憶部、１０１…ＣＰＵ、１０２…ＲＡＭ、１０３…ＲＯＭ、１０４…通信モジュール、１０５…補助記憶装置、２０…情報端末、３０…認可サービスプロバイダ、４０…認証サービスプロバイダ、Ｎ１…ネットワーク、Ｎ２…移動体通信網、５０…記録媒体、５０ａ…プログラム格納領域、５１…認可情報取得プログラム、５１ａ…メインモジュール、５１ｂ…ユーザ管理データベースモジュール、５１ｃ…ポリシー管理データベースモジュール、５１ｄ…認証情報取得モジュール、５１ｅ…認可情報要求モジュール、５１ｆ…認可情報受信モジュール、５１ｇ…認可情報記憶モジュール。

Claims (10)

1. 別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバであって、
   前記ユーザが前記情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得手段と、
   前記認証情報取得手段によって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を前記別のサイトに対して行う認可情報要求手段と、
   前記認可情報要求手段による要求に応じて、前記別のサイトから送信される前記認可情報を受信する認可情報受信手段と、
   前記認可情報受信手段によって受信された前記認可情報を、前記ユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶手段と、
   を備えるサービス提供サーバ。
2. 前記認可情報要求手段は、前記認証情報取得手段によって取得された認証情報のセキュリティレベルを判定して、判定されたセキュリティレベルに応じて認可情報の要求を行うことを特徴とする請求項１に記載のサービス提供サーバ。
3. 前記認可情報要求手段は、前記別のサイトにも応じて認可情報の要求を行うことを特徴とする請求項２に記載のサービス提供サーバ。
4. 前記認証情報取得手段は、複数の認証方法による認証に係る前記認証情報を取得して、
   前記認可情報要求手段は、前記複数の認証方法に基づいて前記セキュリティレベルを判定する、
   ことを特徴とする請求項２又は３に記載のサービス提供サーバ。
5. 前記認可情報要求手段は、前記判定されたセキュリティレベルに応じた認可レベルの認可情報の要求を行うことを特徴とする請求項２〜４の何れか一項に記載のサービス提供サーバ。
6. 前記認可情報記憶手段は、複数の前記ユーザ及び複数の前記別のサイトに係る認可情報を記憶し、
   前記認可情報要求手段は、前記認可情報記憶手段による前記認可情報の記憶状況に基づいて前記認可情報の優先度を決定して、決定した優先度に基づいて前記認可情報の要求を行う、
   ことを特徴とする請求項１〜５の何れか一項に記載のサービス提供サーバ。
7. 前記認可情報記憶手段は、利用可能とされた認可情報の利用を許可し、利用不能とされた認可情報の利用を禁止させるように、記憶した前記認可情報に関する利用可否を示す情報を入力して記憶することを特徴とする請求項１〜６の何れか一項に記載のサービス提供サーバ。
8. 前記認証情報取得手段は、自サーバとは別体として構成される認証サーバから前記ユーザの認証情報を受信することを特徴とする請求項１〜７の何れか一項に記載のサービス提供サーバ。
9. 別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバによる認可情報取得方法であって、
   前記ユーザが前記情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得ステップと、
   前記認証情報取得ステップによって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を前記別のサイトに対して行う認可情報要求ステップと、
   前記認可情報要求ステップにおける要求に応じて、前記別のサイトから送信される前記認可情報を受信する認可情報受信ステップと、
   前記認可情報受信ステップによって受信された前記認可情報を、前記ユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶ステップと、
   を含む認可情報取得方法。
10. 別のサイトからユーザの情報を取得して、当該情報に基づく情報サービスをユーザに提供するサービス提供サーバであるコンピュータを、
    前記ユーザが前記情報サービスの提供を受ける権限を有していることを示す認証情報を取得する認証情報取得手段と、
    前記認証情報取得手段によって取得された認証情報に基づいて、当該認証情報に係るユーザの情報を取得するための認可情報の要求を前記別のサイトに対して行う認可情報要求手段と、
    前記認可情報要求手段による要求に応じて、前記別のサイトから送信される前記認可情報を受信する認可情報受信手段と、
    前記認可情報受信手段によって受信された前記認可情報を、前記ユーザに情報サービスを提供するための認可情報として記憶する認可情報記憶手段と、
    して機能させる認可情報取得プログラム。

Images