JP2014154112A - 通信データ中継装置およびプログラム - Google Patents

Abstract

【課題】既存の認証システムに修正を加えず、シングルサインオンを実現する。
【解決手段】複数のサーバの認証手続きに関する情報を管理する情報管理手段２１９と、複数のサーバと少なくとも１以上のクライアントとの通信中継を制御する通信制御手段２１６と、クライアントから受信した認証情報を含む認証要求に応じ、情報管理手段２１９によって管理された認証手続きに関する情報に基づいて複数のサーバに対して認証手続きを代行する認証中継手段２１７と、認証中継手段２１７の代行によって認証に成功した各サーバから受信した認証情報を含むアクセス資格情報を、認証成功の結果と共に管理する管理手段２１８と、認証要求を送信してきたクライアントに対し、認証成功の結果とアクセス資格情報とを返答する認証結果返答手段２２０と、を備える。
【選択図】図３

Description

本発明は、通信データ中継装置およびプログラムに関する。

近年の情報システムは、従来のクライアントサーバ型システムからＷｅｂ（World Wide Web）技術を基盤としたシステムに移行している。これに伴い、様々な業務がインターネットを経由したアプリケーション化され、業務効率の向上が図られている。その結果、業務毎に多数の情報システムが存在することになっている。

ところが、多数の情報システムが存在する場合には、各情報システムの使用に際してそれぞれの情報システム毎にユーザ名やパスワードなどの情報を入力するログイン操作（認証操作）を実行しなければならず、煩雑な操作を強いられていた。

この問題を解決するためにシングルサインオン技術が注目されている。シングルサインオンとは、認証を必要とする複数の情報システムを利用する際に、ユーザがログイン操作を一度行って認証を受けるだけで複数の情報システムを利用できるようにするログイン方式である。シングルサインオン技術としては、リバースプロキシ型とエージェント型の手法が既に知られている。

例えば特許文献１には、既存の認証システムに対する変更を最小限に留めつつ認証システムの利便性を高めることを目的とした方式の異なるシングルサインオンシステムの連携方法が開示されている。より詳細には、特許文献１には、認証仲介サーバが各シングルサインオンシステムの認証識別子を解釈し、認証処理を仲介することによってシステムを連携させる構成が開示されている。

しかしながら、特許文献１に開示された方法によれば、認証処理を一箇所に集中させ、既存の認証システムから新しい認証サーバにアクセスするよう修正する必要がある。すなわち、特許文献１に開示された方法によれば、リバースプロキシ型、および、エージェント型のどちらの方法においても、既存の認証システムを修正しなければならない、という問題があった。

本発明は、上記に鑑みてなされたものであって、既存の認証システムに修正を加えず、シングルサインオンを実現することを目的とする。

上述した課題を解決し、目的を達成するために、本発明の通信データ中継装置は、複数のサーバの認証手続きに関する情報を管理する情報管理手段と、前記複数のサーバと少なくとも１以上のクライアントとの通信中継を制御する通信制御手段と、前記通信制御手段を介してクライアントから受信した認証情報を含む認証要求に応じ、前記情報管理手段によって管理された前記認証手続きに関する情報に基づいて前記複数のサーバに対して認証手続きを代行する認証中継手段と、前記認証中継手段の代行によって認証に成功した前記各サーバから前記通信制御手段を介して受信した前記認証情報を含むアクセス資格情報を、認証成功の結果と共に管理する管理手段と、認証要求を送信してきた前記クライアントに対し、前記認証成功の結果と前記アクセス資格情報とを前記通信制御手段を介して返答する認証結果返答手段と、を備えることを特徴とする。

また、本発明のプログラムは、コンピュータを、複数のサーバの認証手続きに関する情報を管理する情報管理手段と、前記複数のサーバと少なくとも１以上のクライアントとの通信中継を制御する通信制御手段と、前記通信制御手段を介してクライアントから受信した認証情報を含む認証要求に応じ、前記情報管理手段によって管理された前記認証手続きに関する情報に基づいて前記複数のサーバに対して認証手続きを代行する認証中継手段と、前記認証中継手段の代行によって認証に成功した前記各サーバから前記通信制御手段を介して受信した前記認証情報を含むアクセス資格情報を、認証成功の結果と共に管理する管理手段と、認証要求を送信してきた前記クライアントに対し、前記認証成功の結果と前記アクセス資格情報とを前記通信制御手段を介して返答する認証結果返答手段と、として機能させることを特徴とする。

本発明によれば、複数のサーバの認証手続きに関する情報を管理し、クライアントからの認証要求をサーバの全てに対して代行することで、一度の認証要求で複数のサーバにアクセスすることができる。その後、クライアントからの要求を中継する際は、利用先のサーバに合わせたアクセス資格情報を通信データに付加（もしくは変換）することで、承認されたユーザとしてサーバを利用することができる。これにより、既存の認証システムを修正せずに、中継機器（中継ソフトウェア）を導入するだけで認証システムを統合することができる、という効果を奏する。

図１は、実施の一形態にかかるシステムのシステム構築例を示す模式図である。 図２は、中継機器のハードウェア構成の一例を示すブロック図である。 図３は、中継機器の認証手続き代行処理にかかる機能構成を概略的に示す模式図である。 図４は、認証要求および認証成功後の要求を中継する際の処理の流れを概略的に示すフローチャートである。 図５は、認証要求を中継する際の具体的な処理の流れを示すフローチャートである。 図６は、サービス利用リクエストを中継する際の具体的な処理の流れを示すフローチャートである。

［１．システムの全体構成］
図１は、実施の一形態にかかるシステム１のシステム構築例を示す模式図である。図１に示すように、システム１は、例えば企業や事業所に設けられたネットワークであるクライアントネットワーク１００を、インターネット網１５０を介してＷｅｂ（World Wide Web）技術を基盤としたＷｅｂサービス提供ネットワーク２００に接続したシステムを想定する。

図１に示すように、Ｗｅｂサービス提供ネットワーク２００は、各種のサーバコンピュータ（以下、サーバという）２０１〜２０３および中継機器２１０をＬＡＮ（Local Area Network）等であるネットワーク２０４を介して接続したシステムである。なお、特に図示しないが、Ｗｅｂサービス提供ネットワーク２００とインターネット網１５０との間で出入りするパケットを監視し、決められたルールに従って、その通過を許可したり、阻止（廃棄）したりすることにより、Ｗｅｂサービス提供ネットワーク２００内のセキュリティを確保するファイアウォールが設けられていても良い。

また、図１に示すように、クライアントネットワーク１００は、複数のクライアント１０１〜１０３をＬＡＮ等であるネットワーク１０４を介して接続したシステムである。このようなクライアントネットワーク１００においても、インターネット網１５０と、クライアントネットワーク１００との境界にファイアウォールが設けられていても良い。

なお、クライアントネットワーク１００とＷｅｂサービス提供ネットワーク２００とのネットワーク接続としては、インターネット網１５０に限るものではなく、専用の通信回線を用いて接続するようにしても良い。

また、ネットワーク１０４やネットワーク２０４は有線通信に限るものではなく、無線通信（赤外線や電波等）であっても良い。また、光ファイバを用いたものであっても良い。

Ｗｅｂサービス提供ネットワーク２００に備えられたサーバ２０１〜２０３は、各種の業務に係る情報処理を実行する情報処理システムである。また、サーバ２０１〜２０３は、サーバ２０１〜２０３が提供するサービスを利用するにあたって、ユーザ名やパスワードなどの情報を入力するログイン操作（認証操作）が必要となる認証システムである。したがって、各サーバ２０１〜２０３は、認証に用いる認証情報２０１Ａ〜２０３Ａを図示しない記憶部に記憶している。このようなサーバ２０１〜２０３が提供するサービスは、クライアントネットワーク１００に備えられたクライアント１０１〜１０３によって利用される。

中継機器２１０は、通信データ中継装置として機能するものであって、図１に示すように、クライアント１０１〜１０３とサーバ２０１〜２０３の間に位置し、クライアント１０１〜１０３からの認証要求、サービス利用要求、および、サーバ２０１〜２０３からの応答を中継する。

中継機器２１０は、概略的には、クライアント１０１〜１０３からの認証要求、および、その後の通信の中継処理に際して、以下の特徴を有している。
・クライアント１０１〜１０３からの認証要求時、複数のサーバ２０１〜２０３に対して認証手続きを代行する。
・認証後のクライアント１０１〜１０３からの要求を、中継機器２１０にインストールされている中継ソフトウェアが解析し、要求先のサーバ２０１〜２０３が受け入れ可能なアクセス資格情報を付加（もしくは変換）してサーバ２０１〜２０３へ転送する。

要するに、中継機器２１０は、既存の認証システムに対する認証手続きを把握しており、クライアント１０１〜１０３からの認証要求をサーバ２０１〜２０３の全てに対して代行することで、一度の認証要求で複数のサーバ２０１〜２０３にアクセスすることを可能としている。その後、クライアント１０１〜１０３からの要求を中継する際は、利用先のサーバ２０１〜２０３に合わせたアクセス資格情報を通信データに付加（もしくは変換）することで、承認されたユーザとしてサーバ２０１〜２０３を利用できることが特徴になっている。

なお、クライアント１０１〜１０３やサーバ２０１〜２０３については、一般的なコンピュータが適用されるので、その説明は省略する。なお、クライアント１０１〜１０３とサーバ２０１〜２０３とにおける機能の違いは、それぞれの記憶部に記憶されているＯＳおよびＯＳ上で走る種々のアプリケーションプログラムの違いによるものである。

［２．中継機器２１０の構成］
次に、Ｗｅｂサービス提供ネットワーク２００が備える中継機器２１０について説明する。図２は、中継機器２１０のハードウェア構成の一例を示すブロック図である。図２に示すように、中継機器２１０は、この中継機器２１０の動作制御を行うＣＰＵ（Central Processing Unit：中央処理装置）２１１を備えている。このＣＰＵ２１１には、ＣＰＵ２１１が実行する制御プログラム（例えば、中継ソフトウェア）や必要なデータ（例えば、後述する中継先判定情報）等を記憶するためのＥＰＲＯＭ（Erasable Programmable Read Only Memory）２１２と、ＣＰＵ２１１のワークエリア等を構成するためのＲＡＭ（Random Access Memory）２１３とが内部バス２２６を介して接続されている。ＲＡＭ２１３は、例えば中継処理中に作業メモリとして使用される。

また、ＣＰＵ２１１には、中継機器２１０をインターネット網１５０に接続するためのネットワークインタフェース２１４と、中継機器２１０をネットワーク２０４に接続するためのネットワークインタフェース２１５とが接続されている。

このような構成の中継機器２１０は、ユーザが電源を投入するとＥＰＲＯＭ２１２より制御プログラム（例えば、中継ソフトウェア）をＲＡＭ２１３に読み込み、この制御プログラムを起動させる。このようにして起動した制御プログラムは、ユーザの操作に応じて必要なデータ（例えば、後述する中継先判定情報）を読み込んだり、保存を行ったりする。

なお、中継機器２１０のＥＰＲＯＭ２１２にインストールされる制御プログラムは、ＣＤ−ＲＯＭ（図示せず）などの記憶媒体に記録され、この記憶媒体に記録された制御プログラムがドライブ装置（図示せず）を介してＥＰＲＯＭ２１２にインストールされる。このため、ＣＤ−ＲＯＭ等の可搬性を有する記憶媒体も、制御プログラムを記憶する記憶媒体となり得る。さらには、制御プログラムは、例えばネットワークインタフェース２１４およびインターネット網１５０を介して外部から取り込まれ、ＥＰＲＯＭ２１２にインストールされても良い。

［３．中継機器２１０の認証手続き代行処理］
次に、システム１の中継機器２１０のＣＰＵ２１１が制御プログラム（例えば、中継ソフトウェア）に従って実行する各種の演算処理のうち、本実施の形態の中継機器２１０が発揮する特徴的な処理である認証手続き代行処理について以下に説明する。

システム１においては、クライアントネットワーク１００に備えられた複数のクライアント１０１〜１０３内の一つのクライアントからＷｅｂサービス提供ネットワーク２００に対して認証の要求がなされると、中継機器２１０は、複数のサーバ２０１〜２０３に対して認証手続きを代行することになる。

中継機器２１０は、制御プログラムが起動すると、この制御プログラムに従い、ＣＰＵ２１１が各部を制御して認証手続き代行処理を実行する。

ここで、図３は中継機器２１０の認証手続き代行処理にかかる機能構成を概略的に示す模式図である。図３に示すように、中継機器２１０は、通信制御手段として機能する通信制御部２１６と、認証中継手段として機能する認証中継部２１７と、管理手段として機能するセッション管理部２１８と、情報管理手段として機能する情報管理部２１９と、認証結果返答手段として機能する認証結果返答部２２０と、を備えている。

また、図３に示すように、中継機器２１０は、リクエスト判断手段として機能するリクエスト判断部２２１と、サーバ判断手段として機能するサーバ判断部２２２と、転送手段として機能する転送部２２３と、サービス送信手段として機能するサービス送信部２２４と、更新手段として機能する更新部２２５と、を備えている。

情報管理部２１９は、全てのサーバ２０１〜２０３の認証手続きに関する情報をＥＰＲＯＭ２１２において管理する。

通信制御部２１６は、クライアント１０１〜１０３およびサーバ２０１〜２０３との通信中継を制御する。

認証中継部２１７は、通信制御部２１６を介して受信したクライアント１０１〜１０３からの認証要求（認証情報）に応じ、情報管理部２１９によって管理された認証手続きに関する情報に基づいて全てのサーバ２０１〜２０３に対して認証手続きを代行する。ここで、認証要求（認証情報）は、ユーザアカウントやパスワードなどの情報である。

セッション管理部２１８は、認証に成功した各サーバ２０１〜２０３から受信したアクセス資格情報を認証成功の結果と共にＥＰＲＯＭ２１２に記憶して管理する。アクセス資格情報は、ユーザのログオン認証にユーザアカウントとパスワードを利用する場合、アクセス資格情報にはログオンしたユーザアカウントとパスワードが含まれている。

認証結果返答部２２０は、認証要求（認証情報）を送信してきたクライアント１０１〜１０３に対し、認証成功の結果とアクセス資格情報とを通信制御部２１６を介して返答する。

リクエスト判断部２２１は、サービス識別子およびアクセス資格情報を含むサービス利用のリクエストを認証成功したクライアント１０１〜１０３から通信制御部２１６を介して受信すると、当該リクエストに含まれているアクセス資格情報がセッション管理部２１８で管理されているアクセス資格情報に一致するものであれば、認証済みのクライアント１０１〜１０３からのリクエストであると判断する。すなわち、アクセス資格情報は、中継先判定情報となる。

サーバ判断部２２２は、受信したリクエスト中に含まれているサービス識別子に応じて当該リクエストの要求先となるサーバ２０１〜２０３の中の何れかのサーバを判断する。

転送部２２３は、リクエストに含まれているアクセス資格情報をセッション管理部２１８で管理されているアクセス資格情報を使ってサーバ判断部２２２によって判断したサーバ２０１〜２０３の中の何れかのサーバが受け入れ可能なリクエストに変換し、変換したリクエストを当該サーバへ通信制御部２１６を介して転送する。

サービス送信部２２４は、転送部２２３によりリクエストを転送したサーバ２０１〜２０３の中の何れかのサーバから通信制御部２１６を介して受信したサービスのレスポンスを、認証成功したクライアント１０１〜１０３に対して通信制御部２１６を介して送信する。

更新部２２５は、認証成功したサーバ２０１〜２０３の中の何れかのサーバに対するクライアント１０１〜１０３からのサービス利用のリクエストに対応したレスポンスを受信した場合、他のサーバのセッション有効期限を更新する。

次いで、本実施の形態の中継機器２１０の認証手続き代行処理について、シーン毎に具体的に説明する。

まず、クライアント１０１〜１０３からの認証要求および認証成功後の要求を中継する際の処理の概要について図４を参照して説明する。

図４に示すように、中継機器２１０は、通信制御部２１６によってクライアント１０１〜１０３の何れかから認証要求となる認証情報を受信すると、シングルサインオンの対象となる全てのサーバに対し、情報管理部２１９によって管理された認証手続きに関する情報に基づいて認証処理を順に代行する（ステップＳ１，Ｓ３：認証中継部２１７）。図４に示す例では、中継機器２１０は、サーバ２０１とサーバ２０２に対して認証を代行する。

より詳細には、中継機器２１０の認証中継部２１７は、クライアント１０１〜１０３の何れかからの認証要求（認証情報）をシングルサインオンの対象となる全てのサーバ（ここでは、サーバ２０１、サーバ２０２）に対して代行する。

次いで、中継機器２１０は、通信制御部２１６によってサーバ（ここでは、サーバ２０１、サーバ２０２）からの認証成功の結果と共にセッション情報（アクセス資格情報）を受信すると、それぞれのセッション情報（アクセス資格情報）を、ＥＰＲＯＭ２１２に記録する（ステップＳ２，Ｓ４：セッション管理部２１８）。

全てのサーバ（ここでは、サーバ２０１、サーバ２０２）からの認証成功の結果を受信した後、中継機器２１０は、認証要求を送信してきたクライアントに対し、通信制御部２１６によって認証成功の結果とセッション情報（アクセス資格情報）を返答する（ステップＳ５：認証結果返答部２２０）。

認証成功の結果とセッション情報（アクセス資格情報）を受信したクライアントは、認証成功の結果を受け取ると、続いてサービス利用リクエストを中継機器２１０に対して送信する。ここで、サービス利用リクエストは、
・使用したいサービス識別子
・セッション情報（アクセス資格情報）
を含んでいる。

中継機器２１０は、通信制御部２１６によってクライアント１０１〜１０３の何れかから事前認証が必要なサービスの利用リクエストを受信すると、要求に含まれているセッション情報（アクセス資格情報）が認証済みのものか否かを検査する（ステップＳ６：リクエスト判断部２２１）。具体的には、中継機器２１０は、クライアント１０１〜１０３の何れかからのサービス利用リクエストに含まれているセッション情報（アクセス資格情報）が、ステップＳ２／ステップＳ４でＥＰＲＯＭ２１２に記録したセッション情報（アクセス資格情報）に一致するものであれば、認証済みのクライアントからのリクエストであると判断する。

次いで、中継機器２１０は、クライアント１０１〜１０３の何れかから受信したサービス利用リクエスト中に含まれているサービス識別子をチェックし、リクエストの要求先となるサーバを判断する（ステップＳ７：サーバ判断部２２２）。

中継機器２１０は、リクエストの要求先となるサーバを判断した後、ステップＳ２／ステップＳ４でＥＰＲＯＭ２１２に記録したセッション情報（アクセス資格情報）を使ってサーバ２０１／サーバ２０２が受け入れ可能なリクエストに変換し、変換したリクエストを該当するサーバへ通信制御部２１６によって転送する（ステップＳ８，Ｓ９：転送部２２３）。

サービス利用リクエストを受信したサーバ（ここでは、サーバ２０１またはサーバ２０２）は、サービス利用リクエストに含まれるサービス利用可能なセッション情報（アクセス資格情報）に基づく各サーバにおけるサービスの応答（レスポンス）を中継機器２１０に対して送信する。

中継機器２１０は、通信制御部２１６によってサーバ（ここでは、サーバ２０１またはサーバ２０２）からサービスのレスポンスを受け取ると、続いてサービスのレスポンスをリクエスト送信クライアントに対して送信する（ステップＳ１０：サービス送信部２２４）。その後、クライアントは、中継機器２１０から送信されたサービスのレスポンスを受信する。

上述したように、中継器２１０は、１つのサービス利用リクエストを１つのサーバにのみ中継する。すなわち、サービス利用リクエストと応答とは、１対１の関係となっている。しかしながら、これに限るものではなく、１つのサービス利用リクエストについて複数のサーバへ中継するものであっても良い。

次いで、クライアントからの認証要求をサーバ（ここでは、サーバ２０１またはサーバ２０２）に中継する際の具体的な処理の流れについて図５を参照しつつ説明する。

図５に示すように、中継機器２１０は、クライアント１０１〜１０３の何れかから認証要求となる認証情報を受信した後、サーバ２０１への認証要求を中継する（ステップＳ１１）。

中継機器２１０は、サーバ２０１から認証成功の結果と共にセッション情報（アクセス資格情報）を受信すると、セッション情報（アクセス資格情報）を、ＥＰＲＯＭ２１２に記録する（ステップＳ１２：セッション管理部２１８）。

次いで、中継機器２１０は、残りのサーバ２０２への認証処理を代行し、ステップＳ１１およびステップＳ１２と同様の手順でセッション情報（アクセス資格情報）をＥＰＲＯＭ２１２に記録する（ステップＳ１３，Ｓ１４：セッション管理部２１８）。

なお、図５に示すように、サーバ（ここでは、サーバ２０１、サーバ２０２）は、認証処理が失敗した場合には、認証エラー画面のリソースを中継機器２１０に対して返答する。

なお、サーバがＮ台存在する場合は、上述した認証処理をＮ台分実施する。

中継機器２１０は、ステップＳ１１，Ｓ１３における認証処理代行の結果、サーバ（ここでは、サーバ２０１またはサーバ２０２）において認証成功であれば、認証要求を送信してきたクライアントに対して認証結果とセッション情報（アクセス資格情報）を返答する（ステップＳ１５）。このとき、複数のサーバ（ここでは、サーバ２０１、サーバ２０２）から受信したセッション情報（アクセス資格情報）のうち、いずれの情報を返却しても良い。

続いて、クライアントからのサービス利用リクエストをサーバ（ここでは、サーバ２０１またはサーバ２０２）に中継する際の具体的な処理の流れについて図６を参照しつつ説明する。

図６に示すように、中継機器２１０は、クライアント１０１〜１０３の何れかから事前認証が必要なサービスの利用リクエストを受信した後、クライアントからのリクエストを解析する（ステップＳ２１）。中継機器２１０は、ＥＰＲＯＭ２１２に記録していたセッション情報（アクセス資格情報）がクライアントからのリクエストに含まれていた場合は、認証済みのクライアントからの要求が届いたと判断する。一方、中継機器２１０は、クライアントからのリクエスト中に含まれるセッション情報（アクセス資格情報）が、ＥＰＲＯＭ２１２にない場合、認証されていないクライアントからの要求であると判断する。

クライアント１０１〜１０３の何れかからのリクエストに、サーバ２０１のサービス識別子が含まれている場合、中継機器２１０は、ＥＰＲＯＭ２１２からサーバ２０１のセッション情報（アクセス資格情報）を取得し、サービス利用リクエスト中に含まれるセッション情報（アクセス資格情報）を書き換えてサーバ２０１へ転送する（ステップＳ２２）。

一方、クライアント１０１〜１０３の何れかからのリクエストに、サーバ２０２のサービス識別子が含まれている場合、中継機器２１０は、ＥＰＲＯＭ２１２からサーバ２０２のセッション情報（アクセス資格情報）を取得し、サービス利用リクエスト中に含まれるセッション情報（アクセス資格情報）を書き換えてサーバ２０２へ転送する（ステップＳ２３）。

なお、中継機器２１０は、サービスを提供するサーバがＮ台ある場合は、サーバ２０１、サーバ２０２への転送処理と同様の手続きでサービス利用リクエストを転送する。このとき、通信プロトコルにＴＣＰ／ＩＰを使用している場合は、チェックサムの再計算を行い、通信エラーとならないようにする。

リクエストを受信したサーバ（ここでは、サーバ２０１、サーバ２０２）は、セッション情報（アクセス資格情報）が有効なものか否かをチェックするセッションチェックを実行する。そして、リクエストを受信したサーバ（ここでは、サーバ２０１、サーバ２０２）は、セッションチェックの結果、セッション情報（アクセス資格情報）が有効なものであると判定した場合、要求に対応するサービスの応答（レスポンス）を中継機器２１０に対して応答する。

サーバ２０１からの応答（レスポンス）を受け取った中継機器２１０（更新部２２５）は、他のサーバ２０２に対してセッション情報（アクセス資格情報）の更新要求を送信し（ステップＳ２４）、他のサーバ２０２のセッション有効期限を更新させる。この更新処理により、セッション期限切れによる再認証の頻発を防ぐことが可能となり、クライアントにとってサービスの使い勝手が向上する。

また、サーバ２０２からの応答（レスポンス）を受け取った中継機器２１０（更新部２２５）は、他のサーバ２０１に対してセッション情報（アクセス資格情報）の更新要求を送信し（ステップＳ２５）、他のサーバ２０１のセッション有効期限を更新させる。

このように中継機器２１０が、サーバ（ここでは、サーバ２０１、サーバ２０２）のセッション有効期限を更新する際、既存のサービス利用により更新するようにしたことで、既存システムのソフトウェア変更が不要となる。

その後、中継機器２１０は、サーバ（ここでは、サーバ２０１またはサーバ２０２）から受信したサービスのレスポンスをリクエスト送信クライアントに対して送信する（ステップＳ２６）。

その後、リクエスト送信クライアントは、中継機器２１０から送信されたサービスのレスポンスを受信する。

このように本実施形態の中継機器２１０によれば、複数のサーバ２０１〜２０３の認証手続きに関する情報を管理しており、クライアント１０１〜１０３からの認証要求をサーバ２０１〜２０３の全てに対して代行することで、一度の認証要求で複数のサーバ２０１〜２０３にアクセスすることができる。その後、クライアント１０１〜１０３からの要求を中継する際は、利用先のサーバ２０１〜２０３に合わせたアクセス資格情報を通信データに付加（もしくは変換）することで、承認されたユーザとしてサーバ２０１〜２０３を利用することができる。これにより、既存の認証システムを修正せずに、中継機器２１０（中継ソフトウェア）を導入するだけで認証システムを統合することができる、という効果を奏する。

１０１〜１０３ クライアント
２１０ 通信データ中継装置
２０１〜２０３ サーバ
２１６ 通信制御手段
２１７ 認証中継手段
２１８ 管理手段
２１９ 情報管理手段
２２０ 認証結果返答手段
２２１ リクエスト判断手段
２２２ サーバ判断手段
２２３ 転送手段
２２４ サービス送信手段
２２５ 更新手段

特開２００６−２５２４１８号公報

Claims (6)

1. 複数のサーバの認証手続きに関する情報を管理する情報管理手段と、
   前記複数のサーバと少なくとも１以上のクライアントとの通信中継を制御する通信制御手段と、
   前記通信制御手段を介してクライアントから受信した認証情報を含む認証要求に応じ、前記情報管理手段によって管理された前記認証手続きに関する情報に基づいて前記複数のサーバに対して認証手続きを代行する認証中継手段と、
   前記認証中継手段の代行によって認証に成功した前記各サーバから前記通信制御手段を介して受信した前記認証情報を含むアクセス資格情報を、認証成功の結果と共に管理する管理手段と、
   認証要求を送信してきた前記クライアントに対し、前記認証成功の結果と前記アクセス資格情報とを前記通信制御手段を介して返答する認証結果返答手段と、
   を備えることを特徴とする通信データ中継装置。
2. サービス識別子および前記アクセス資格情報を含むサービス利用のリクエストを認証成功した前記クライアントから前記通信制御手段を介して受信すると、当該リクエストに含まれているアクセス資格情報が前記管理手段で管理されているアクセス資格情報に一致するものであれば、認証済みのクライアントからのリクエストであると判断するリクエスト判断手段と、
   受信した前記リクエスト中に含まれている前記サービス識別子に応じて当該リクエストの要求先となるサーバを判断するサーバ判断手段と、
   前記リクエストに含まれているアクセス資格情報を前記管理手段で管理されているアクセス資格情報を使って前記サーバ判断手段によって判断した前記サーバが受け入れ可能なリクエストに変換し、変換したリクエストを当該サーバへ前記通信制御手段を介して転送する転送手段と、
   前記転送手段によりリクエストを転送した前記サーバから前記通信制御手段を介して受信したサービスのレスポンスを、認証成功した前記クライアントに対して前記通信制御手段を介して送信するサービス送信手段と、
   を備えることを特徴とする請求項１記載の通信データ中継装置。
3. 認証成功した前記サーバに対する前記クライアントからのサービス利用のリクエストに対応したレスポンスを受信した場合、他の前記サーバのセッション有効期限を更新する更新手段を更に備える、
   ことを特徴とする請求項２記載の通信データ中継装置。
4. コンピュータを、
   複数のサーバの認証手続きに関する情報を管理する情報管理手段と、
   前記複数のサーバと少なくとも１以上のクライアントとの通信中継を制御する通信制御手段と、
   前記通信制御手段を介してクライアントから受信した認証情報を含む認証要求に応じ、前記情報管理手段によって管理された前記認証手続きに関する情報に基づいて前記複数のサーバに対して認証手続きを代行する認証中継手段と、
   前記認証中継手段の代行によって認証に成功した前記各サーバから前記通信制御手段を介して受信した前記認証情報を含むアクセス資格情報を、認証成功の結果と共に管理する管理手段と、
   認証要求を送信してきた前記クライアントに対し、前記認証成功の結果と前記アクセス資格情報とを前記通信制御手段を介して返答する認証結果返答手段と、
   として機能させるためのプログラム。
5. サービス識別子および前記アクセス資格情報を含むサービス利用のリクエストを認証成功した前記クライアントから前記通信制御手段を介して受信すると、当該リクエストに含まれているアクセス資格情報が前記管理手段で管理されているアクセス資格情報に一致するものであれば、認証済みのクライアントからのリクエストであると判断するリクエスト判断手段と、
   受信した前記リクエスト中に含まれている前記サービス識別子に応じて当該リクエストの要求先となるサーバを判断するサーバ判断手段と、
   前記リクエストに含まれているアクセス資格情報を前記管理手段で管理されているアクセス資格情報を使って前記サーバ判断手段によって判断した前記サーバが受け入れ可能なリクエストに変換し、変換したリクエストを当該サーバへ前記通信制御手段を介して転送する転送手段と、
   前記転送手段によりリクエストを転送した前記サーバから前記通信制御手段を介して受信したサービスのレスポンスを、認証成功した前記クライアントに対して前記通信制御手段を介して送信するサービス送信手段と、
   として前記コンピュータを機能させるための請求項４記載のプログラム。
6. 認証成功した前記サーバに対する前記クライアントからのサービス利用のリクエストに対応したレスポンスを受信した場合、他の前記サーバのセッション有効期限を更新する更新手段として前記コンピュータを機能させるための請求項５記載のプログラム。

Images