JP2016042327A - 情報処理システム及び認証方法 - Google Patents

Abstract

【課題】複数人のユーザが共用する電子機器において、セキュリティを確保しながら各種サービスへのログインの手間を軽減できる情報処理システムを提供すること。【解決手段】第一及び第二のサービス提供システムを有する情報処理システムであって、第一及び第二のユーザ情報を対応付ける対応付け手段と、電子機器から第一のサービス提供システムの認証要求を受け付け、第一の利用権限情報を電子機器に提供する第一の認証手段と、第一の利用権限情報を指定した第二のサービス提供システムの認証要求を受け付け、第一のユーザ情報に対応する第二のユーザ情報を特定し、第二のの利用権限情報を電子機器に提供する利用権限情報提供手段と、電子機器から第二の利用権限情報を指定したサービス利用要求を受け付け、電子機器にサービスを提供するサービス提供手段と、を有することにより、上記課題を解決する。【選択図】 図１

Description

本発明は情報処理システム及び認証方法に関する。

各々がユニークな認証情報を要求する複数のサービスを含むシステムにおけるユーザの認証情報データの入力回数の削減方法がある。従来、複数の異なる制限されたサービスを含むシステムにおける、ユーザの認証情報データの入力回数の削減方法であって、画像処理装置に入力された認証情報の認証をアカウンティングアプリが行い、認証情報の認証に成功した場合、ＳＳＯサーバアプリがＳＳＯトークンを発行し、ＳＳＯトークンとユーザサービス認証情報とを対応付けた対応情報を記憶するステップと、画像処理装置が取得したＳＳＯトークンをサービスに送信してアクセス要求を行うステップと、ＳＳＯサーバアプリがサービスから受信したＳＳＯトークンに対応するユーザサービス認証情報を対応情報から読み出してサービスに送信するステップと、サービスが受信したユーザサービス認証情報を用いてユーザ認証を行い、認証成功の場合にアクセスを許可するステップとを含む方法は知られている（例えば特許文献１参照）。

例えばＰＣ等の端末装置に搭載されたブラウザはユーザにより入力された各種サービスのＩＤやパスワードなどの認証情報を保存しておくことによって、各種サービスへのログインの手間を軽減する場合がある。しかしながら、複数人のユーザが共用する複合機（ＭＦＰ）などの電子機器に、ユーザにより入力された各種サービスの認証情報を保存しておくことはセキュリティの観点から好ましくない。

本発明の実施の形態は、上記の点に鑑みなされたもので、複数人のユーザが共用する電子機器において、セキュリティを確保しながら各種サービスへのログインの手間を軽減できる情報処理システムを提供することを目的とする。

上記目的を達成するため、本願請求項１は、第一のサービス提供システムと、前記第一のサービス提供システムと認証基盤が異なる第二のサービス提供システムと、を有する情報処理システムであって、前記第一のサービス提供システムを利用するユーザの第一のユーザ情報と、前記ユーザが前記第二のサービス提供システムを利用する場合の第二のユーザ情報と、を対応付けたユーザ情報対応付け情報を保持するユーザ情報対応付け処理手段と、ユーザが操作する電子機器から前記第一のユーザ情報を指定した前記第一のサービス提供システムに対する認証要求を受け付け、前記第一のサービス提供システムの利用権限情報を前記電子機器に提供する第一の認証手段と、前記電子機器から前記第一のサービス提供システムの利用権限情報を指定した前記第二のサービス提供システムに対する認証要求を受け付け、前記第一のサービス提供システムの利用権限情報及び前記ユーザ情報対応付け情報とに基づき、前記第一のユーザ情報に対応する前記第二のユーザ情報を特定し、前記第二のサービス提供システムに発行させた前記第二のサービス提供システムの利用権限情報を前記電子機器に提供する利用権限情報提供手段と、前記電子機器から前記第二のサービス提供システムの利用権限情報を指定したサービス利用要求を受け付け、前記第二のサービス提供システムの利用権限情報が有効であれば前記電子機器にサービスを提供するサービス提供手段と、を有することを特徴とする。

本発明の実施の形態によれば、複数人のユーザが共用する電子機器において、セキュリティを確保しながら各種サービスへのログインの手間を軽減できる。

本実施形態に係る情報処理システムの一例の構成図である。 本実施形態に係るコンピュータの一例のハードウェア構成図である。 本実施形態に係る電子機器の一例のハードウェア構成図である。 本実施形態に係る認証装置の一例の処理ブロック図である。 本実施形態に係るＩＤマッパー装置の一例の処理ブロック図である。 本実施形態に係る外部サービス提供装置の一例の処理ブロック図である。 ＩＤマッパー装置へのユーザ情報登録処理の一例のシーケンス図である。 ユーザ情報設定画面の一例のイメージ図である。 ユーザ情報対応付けテーブルの一例の構成図である。 ＩＤマッパー装置へのユーザ情報登録処理の他の例のシーケンス図である。 外部サービス利用処理の一例のシーケンス図である。 外部サービス利用処理の他の例のシーケンス図である。 外部サービス利用処理の他の例のシーケンス図である。 自動ＰＯＳＴ用ＨＴＭＬの一例の構成図である。 ログイン要求を受け付けるＡＰＩの一例を説明するための図である。 認証チケットの検証要求を受け付けるＡＰＩの一例を説明するための図である。 ＩｄＰの認証チケットを含ませたＨＴＴＰヘッダの一例の構成図である。 ＳＤＫによるＩＤマッパー装置の一例の構成図である。 外部サービス利用処理の他の例のシーケンス図である。 本実施形態に係る情報処理システムの他の例の構成図である。 ＩＤマッパー装置へのユーザ情報登録処理の他の例のシーケンス図である。 ユーザ情報設定画面の他の例のイメージ図である。 ユーザ情報対応付けテーブルの他の例の構成図である。 外部サービス利用処理の他の例のシーケンス図である。 本実施形態に係る情報処理システムの他の例の構成図である。

次に、本発明の実施の形態について、詳細に説明する。
［第１の実施形態］
＜システム構成＞
図１は本実施形態に係る情報処理システムの一例の構成図である。図１の情報処理システム１は、ユーザシステム５、サービス提供システム６及び外部サービスシステム７を有する。ユーザシステム５、サービス提供システム６及び外部サービスシステム７はＬＡＮやインターネットなどのネットワークＮ４を介して接続されている。

ユーザシステム５はユーザが操作する端末装置１１、複数人のユーザが共用する電子機器１２、ファイアウォール（ＦＷ）１３がＬＡＮなどのネットワークＮ１を介して接続されている。ネットワークＮ１はＦＷ１３を介してネットワークＮ４に接続される。ＦＷ１３は不正なアクセスを検出及び遮断する。

例えば端末装置１１は一般的なＯＳ等が搭載された情報処理装置（コンピュータ）により実現できる。端末装置１１は、タブレット端末、ＰＣ、スマートフォンや携帯電話などのユーザが操作可能な装置である。

電子機器１２は複数人のユーザが共用する複合機（ＭＦＰ）やコピー機、スキャナ、プリンタ、レーザプリンタ、プロジェクタ、電子黒板などの機器である。なお、図１に示したユーザシステム５は端末装置１１及び電子機器１２が、それぞれ一台である例を示しているが複数台であってもよい。

サービス提供システム６は認証装置２１、１台以上のサービス提供装置２２、ＦＷ２３がＬＡＮなどのネットワークＮ２を介して接続されている。ネットワークＮ２はＦＷ２３を介してネットワークＮ４に接続されている。ＦＷ２３は不正なアクセスを検出及び遮断する。

例えば認証装置２１、サービス提供装置２２は一般的なＯＳ等が搭載された情報処理装置により実現できる。サービス提供システム６はサービスを提供するための１台以上の情報処理装置によって構成される。認証装置２１はサービス提供システム６のサービスを利用するユーザの認証に関する処理を行う。サービス提供装置２２は認証装置２１で認証されたユーザにサービスを提供する。なお、認証装置２１及びサービス提供装置２２は一台のコンピュータに統合して実現してもよいし、複数のコンピュータに分散して実現してもよい。

外部サービスシステム７は、ＩＤマッパー装置３１、１台以上の外部サービス提供装置３２がＬＡＮなどのネットワークＮ３を介して接続されている。ネットワークＮ３はＦＷ３３を介してネットワークＮ４に接続される。ＦＷ３３は不正なアクセスを検出及び遮断する。

例えばＩＤマッパー装置３１、外部サービス提供装置３２は一般的なＯＳ等が搭載された情報処理装置により実現できる。外部サービスシステム７は外部サービスを提供するための１台以上の情報処理装置によって構成される。外部サービスシステム７は例えば電子機器１２に搭載されたアプリと連携して外部サービスを提供する。

ＩＤマッパー装置３１はサービス提供システム６におけるユーザのＩＤと外部サービスシステム７におけるユーザのＩＤとの対応表を管理する。外部サービス提供装置３２は外部サービスを利用可能なユーザとして認証されたユーザに外部サービスを提供する。

なお、ＩＤマッパー装置３１及び外部サービス提供装置３２は一台のコンピュータに統合して実現してもよいし、複数のコンピュータに分散して実現してもよい。

図１の情報処理システム１では、サービス提供システム６及び外部サービスシステム７が異なる認証基盤によって認証を行っているものとする。図１の情報処理システム１はＩＤマッパー装置３１を利用することでサービス提供システム６の認証基盤と外部サービスシステム７の認証基盤とを連携させている。このように、図１の情報処理システム１ではサービス提供システム６の認証基盤と外部サービスシステム７の認証基盤とが連携することで、ユーザにとってのシングルサインオンを実現している。

＜ハードウェア構成＞
端末装置１１、認証装置２１、サービス提供装置２２、ＩＤマッパー装置３１及び外部サービス提供装置３２は、例えば図２に示すハードウェア構成のコンピュータにより実現される。図２は本実施形態に係るコンピュータの一例のハードウェア構成図である。

図２に示したコンピュータ５００は、入力装置５０１、表示装置５０２、外部Ｉ／Ｆ５０３、ＲＡＭ５０４、ＲＯＭ５０５、ＣＰＵ５０６、通信Ｉ／Ｆ５０７、及びＨＤＤ５０８などを備え、それぞれがバスＢで相互に接続されている。なお、入力装置５０１及び表示装置５０２は必要なときに接続して利用する形態であってもよい。

入力装置５０１はキーボードやマウスなどを含み、ユーザが各操作信号を入力するのに用いられる。表示装置５０２はディスプレイなどを含み、コンピュータ５００による処理結果を表示する。

通信Ｉ／Ｆ５０７はコンピュータ５００をネットワークＮ１やネットワークＮ２に接続するインタフェースである。これにより、コンピュータ５００は通信Ｉ／Ｆ５０７を介してデータ通信を行うことができる。

ＨＤＤ５０８はプログラムやデータを格納している不揮発性の記憶装置である。格納されるプログラムやデータは、例えばコンピュータ５００全体を制御する基本ソフトウェアであるＯＳや、ＯＳ上において各種機能を提供するアプリケーションソフトウェアなどである。

外部Ｉ／Ｆ５０３は、外部装置とのインタフェースである。外部装置には、記録媒体５０３ａなどがある。これにより、コンピュータ５００は外部Ｉ／Ｆ５０３を介して記録媒体５０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体５０３ａにはフレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリなどがある。

ＲＯＭ５０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。ＲＯＭ５０５には、コンピュータ５００の起動時に実行されるＢＩＯＳ、ＯＳ設定、及びネットワーク設定などのプログラムやデータが格納されている。ＲＡＭ５０４は、プログラムやデータを一時保持する揮発性の半導体メモリである。

ＣＰＵ５０６は、ＲＯＭ５０５やＨＤＤ５０８などの記憶装置からプログラムやデータをＲＡＭ５０４上に読み出し、処理を実行することで、コンピュータ５００全体の制御や機能を実現する演算装置である。本実施形態に係る端末装置１１、認証装置２１、サービス提供装置２２、ＩＤマッパー装置３１及び外部サービス提供装置３２は、上記したコンピュータ５００のハードウェア構成により後述するような各種処理を実現できる。

図１の電子機器１２の一例である複合機６００は例えば図３に示すハードウェア構成のコンピュータにより実現される。図３は本実施形態に係る電子機器の一例のハードウェア構成図である。

図３に示す複合機６００は、コントローラ６０１、操作パネル６０２、外部Ｉ／Ｆ６０３、通信Ｉ／Ｆ６０４、プリンタ６０５及びスキャナ６０６などを備える。

コントローラ６０１はＣＰＵ６１１、ＲＡＭ６１２、ＲＯＭ６１３、ＮＶＲＡＭ６１４及びＨＤＤ６１５などを備える。ＲＯＭ６１３は、各種プログラムやデータが格納されている。ＲＡＭ６１２はプログラムやデータを一時保持する。ＮＶＲＡＭ６１４は、例えば設定情報等が格納されている。また、ＨＤＤ６１５は各種プログラムやデータが格納されている。

ＣＰＵ６１１は、ＲＯＭ６１３やＮＶＲＡＭ６１４、ＨＤＤ６１５などからプログラムやデータ、設定情報等をＲＡＭ６１２上に読み出し、処理を実行することで、複合機６００全体の制御や機能を実現する。

操作パネル６０２はユーザからの入力を受け付ける入力部と、表示を行う表示部とを備えている。外部Ｉ／Ｆ６０３は外部装置とのインタフェースである。外部装置には、記録媒体６０３ａなどがある。これにより、複合機６００は外部Ｉ／Ｆ６０３を介して記録媒体６０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体６０３ａにはＩＣカード、フレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリ等がある。

通信Ｉ／Ｆ６０４は、複合機６００をネットワークＮ１に接続させるインタフェースである。これにより、複合機６００は通信Ｉ／Ｆ６０４を介してデータ通信を行うことができる。プリンタ６０５は印刷データを用紙に印刷するための印刷装置である。スキャナ６０６は原稿から画像データ（電子データ）を読み取るための読取装置である。

＜ソフトウェア構成＞
《サービス提供システムの認証装置》
サービス提供システム６の認証装置２１は例えば図４に示す処理ブロックにより実現される。図４は本実施形態に係る認証装置の一例の処理ブロック図である。図４の認証装置２１はプログラムを実行することにより、ユーザ情報管理部１０１、認証処理部１０２を実現している。

ユーザ情報管理部１０１はサービス提供システム６を利用可能なユーザのユーザ情報として、テナントＩＤ、ユーザＩＤ、パスワードを対応付けて管理する。なお、テナントＩＤは企業、部署、組織などのグループを特定する情報である。認証処理部１０２はユーザ情報によるログイン要求を受け付け、ユーザ情報の認証を行う。認証処理部１０２は認証に成功すると、ログイン要求元である端末装置１１や電子機器１２、外部サービス提供装置３２などに認証チケットを発行する。

また、認証処理部１０２は認証チケットの検証要求を受け付け、認証チケットの検証を行う。認証処理部１０２は認証チケットの検証を行い、認証チケットに対応するユーザ情報を検証要求元であるＩＤマッパー装置３１などに返す。

《外部サービスシステムのＩＤマッパー装置》
外部サービスシステム７のＩＤマッパー装置３１は、例えば図５に示す処理ブロックにより実現される。図５は、本実施形態に係るＩＤマッパー装置の一例の処理ブロック図である。図５のＩＤマッパー装置３１はプログラムを実行することにより、ユーザ情報対応付け処理部１１１、認証チケット提供部１１２を実現している。

ユーザ情報対応付け処理部１１１は、サービス提供システム６を利用可能なユーザのユーザ情報と、外部サービスシステム７を利用可能なユーザのユーザ情報と、を対応付けて登録する。

ユーザ情報対応付け処理部１１１はユーザ情報の登録要求を受け付け、後述するユーザ情報対応付けテーブルに、サービス提供システム６を利用可能なユーザのユーザ情報と外部サービスシステム７を利用可能なユーザのユーザ情報とを対応付けて登録する。

認証チケット提供部１１２はサービス提供システム６の認証装置２１が発行した後述の認証チケット（ＩｄＰの認証チケット）を指定した外部サービス提供装置３２へのログイン要求を受け付ける。認証チケット提供部１１２は指定されたＩｄＰの認証チケットを利用して後述のように外部サービス提供装置３２の認証チケット（ＳＰの認証チケット）をログイン要求元である端末装置１１や電子機器１２などに提供する。

《外部サービス提供装置》
外部サービスシステム７の外部サービス提供装置３２は例えば図６に示す処理ブロックにより実現される。図６は本実施形態に係る外部サービス提供装置の一例の処理ブロック図である。図６の外部サービス提供装置３２はプログラムを実行することにより、認証処理部１２１、ユーザ情報設定部１２２、サービス提供部１２３を実現している。

認証処理部１２１は、外部サービスシステム７を利用可能なユーザのユーザ情報によるログイン要求を受け付け、ユーザ情報の認証を行う。認証処理部１２１は、認証に成功すると、ログイン要求元である端末装置１１や電子機器１２などにＳＰの認証チケットを発行する。

ユーザ情報設定部１２２はＳＰの認証チケットを利用した、サービス提供システム６を利用可能なユーザのユーザ情報の設定要求を受け付け、ユーザ情報の登録を行う。サービス提供部１２３はＳＰの認証チケットを利用したサービスの利用要求を受け付け、ＳＰの認証チケットを検証する。サービス提供部１２３は有効なＳＰの認証チケットであることを確認できれば、サービスの利用要求元である端末装置１１や電子機器１２などにサービスを提供する。

＜処理の詳細＞
以下では、本実施形態に係る情報処理システム１の処理の詳細について説明する。図１の情報処理システム１では、シングルサインオン（ＳＳＯ）におけるＩｄＰ（Ｉｄｅｎｔｉｔｙ Ｐｒｏｖｉｄｅｒ）としての役割を、サービス提供システム６の認証装置２１が担う。また、図１の情報処理システム１ではＳＳＯにおけるＳＰ（Ｓｅｒｖｉｃｅ Ｐｒｏｖｉｄｅｒ）としての役割を、外部サービスシステム７の外部サービス提供装置３２が担う。したがって、情報処理システム１では、認証装置２１で認証されたユーザが、外部サービス提供装置３２の外部サービスにＳＳＯでアクセスできる。

《ユーザ情報の登録》
図１の情報処理システム１では、ＩＤマッパー装置３１へのユーザ情報の登録を例えば図７に示すように行う。図７はＩＤマッパー装置へのユーザ情報登録処理の一例のシーケンス図である。図７に示したユーザ情報登録処理は、端末装置１１や電子機器１２から外部サービス提供装置３２にログインしたユーザのサービス提供システム６のユーザ情報と外部サービスシステム７のユーザ情報とを対応付けて登録するものである。

ステップＳ１１において、端末装置１１や電子機器１２に搭載されたブラウザはユーザから外部サービスシステム７のユーザＩＤ及びパスワードを指定したログイン要求を受け付ける。ブラウザは外部サービスシステム７のユーザＩＤ及びパスワードを指定したログイン要求を外部サービス提供装置３２に対して行う。

ステップＳ１２において、外部サービス提供装置３２の認証処理部１２１は指定されていた外部サービスシステム７のユーザＩＤ及びパスワードの認証を行う。認証に成功すると、認証処理部１２１はステップＳ１３でＳＰの認証チケットを発行する。ステップＳ１４において認証処理部１２１はＳＰの認証チケットをログイン要求元であるブラウザに送信する。

ＳＰの認証チケットを受信したブラウザは例えば図８に示すようなユーザ情報設定画面からユーザによるＩｄＰのユーザ情報として、ＩｄＰのテナントＩＤ及びユーザＩＤの入力を受け付ける。図８はユーザ情報設定画面の一例のイメージ図である。

図８のユーザ情報設定画面はＩｄＰのユーザ情報登録用ＷｅｂＵＩの一例である。例えばユーザ情報設定画面は、外部サービス提供装置３２の既存のユーザ管理画面を拡張して用意しても、ＩＤマッパー装置３１の専用ＵＩにより用意してもよい。図８のユーザ情報設定画面は外部サービス提供装置３２のユーザ管理画面にＩｄＰのユーザ情報であるテナントＩＤ及びユーザＩＤの入力フィールドを設けた例である。なお、端末装置１１や電子機器１２が予め持っているテナントＩＤを利用するのであれば、ユーザ情報設定画面のテナントＩＤの入力フィールドは省略できる。

ステップＳ１５において、ブラウザはＳＰの認証チケットを利用して、ユーザ情報設定画面に入力されたユーザ情報（ＩｄＰのテナントＩＤ及びユーザＩＤを含む）の設定要求を外部サービス提供装置３２に対して行う。

ステップＳ１６において、外部サービス提供装置３２のユーザ情報設定部１２２はＳＰの認証チケットを利用した、ユーザ情報の設定要求をブラウザから受け付け、ユーザ情報の登録をＩＤマッパー装置３１に要求する。ＩＤマッパー装置３１のユーザ情報対応付け処理部１１１はユーザ情報の登録要求を受け付ける。ユーザ情報対応付け処理部１１１は図９に示すようなユーザ情報対応付けテーブルに、図８のユーザ情報設定画面に入力されたユーザ情報（ＩｄＰのテナントＩＤ及びユーザＩＤ）とログインしたユーザのユーザ情報（ＳＰのユーザＩＤ）とを対応付けて登録する。

図９はユーザ情報対応付けテーブルの一例の構成図である。図９のユーザ情報対応付けテーブルは、外部サービスシステム（ＳＰ）のユーザＩＤ、サービス提供システム（ＩｄＰ）のテナントＩＤ及びユーザＩＤが対応付けられて登録されている。図９のユーザ情報対応付けテーブルを利用することで、ＩＤマッパー装置３１はサービス提供システム６において認証済みのユーザの外部サービスシステム７におけるユーザＩＤを特定できる。

ＩＤマッパー装置３１からユーザ情報対応付けテーブルへの登録の終了を通知された外部サービス提供装置３２はステップＳ１７において、ユーザ情報の設定要求に対する応答をブラウザに対して行う。

なお、上記したシーケンスの処理では、ユーザ情報設定画面に入力されたＩｄＰのテナントＩＤ及びユーザＩＤが正しいことを確認していないため、ユーザが誤入力した場合などに認証連携ができなくなる。また、情報の不正入手に悪用される可能性もある。

そこで、上記したシーケンスの処理ではステップＳ１５〜Ｓ１７に替えて、ステップＳ２１〜Ｓ２６の処理を行うようにしてもよい。ステップＳ２１において、ブラウザはＳＰの認証チケットを利用して、ユーザ情報設定画面に入力されたユーザ情報（ＩｄＰのテナントＩＤ、ユーザＩＤ、パスワードを含む）の設定要求を外部サービス提供装置３２に対して行う。

ステップＳ２２において、外部サービス提供装置３２の認証処理部１２１は設定要求の対象であるユーザ情報に含まれるＩｄＰのテナントＩＤ、ユーザＩＤ、パスワードを指定したログイン要求を認証装置２１の認証処理部１０２に対して行う。認証処理部１０２は指定されていたＩｄＰのテナントＩＤ、ユーザＩＤ、パスワードの認証を行う。ステップＳ２４において、認証処理部１０２は認証結果を外部サービス提供装置３２に返す。

ＩｄＰのテナントＩＤ、ユーザＩＤ、パスワードの認証結果が認証の成功であれば、外部サービス提供装置３２のユーザ情報設定部１２２はステップＳ２５においてユーザ情報の登録をＩＤマッパー装置３１に要求する。ＩＤマッパー装置３１のユーザ情報対応付け処理部１１１はユーザ情報の登録要求を受け付ける。ユーザ情報対応付け処理部１１１は図９に示したようなユーザ情報対応付けテーブルに、図８のユーザ情報設定画面に入力されたユーザ情報（ＩｄＰのテナントＩＤ及びユーザＩＤ）とログインしたユーザのユーザ情報（ＳＰのユーザＩＤ）とを対応付けて登録する。

ＩＤマッパー装置３１からユーザ情報対応付けテーブルへの登録の終了を通知された外部サービス提供装置３２はステップＳ２６において、ユーザ情報の設定要求に対する応答をブラウザに対して行う。

図１の情報処理システム１では、ＩＤマッパー装置３１へのユーザ情報の登録を例えば図１０に示すように行ってもよい。図１０はＩＤマッパー装置へのユーザ情報登録処理の他の例のシーケンス図である。

図１０に示したユーザ情報登録処理は電子機器１２から認証装置２１及び外部サービス提供装置３２にログインしたユーザのサービス提供システム６のユーザ情報と外部サービスシステム７のユーザ情報とを対応付けて登録するものである。

ステップＳ５１において、電子機器１２に搭載されたアプリ（ＭＦＰアプリ）はユーザからサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードを指定したログイン要求を受け付ける。ＭＦＰアプリはサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードを指定したログイン要求を認証装置２１に対して行う。

ステップＳ５２において、認証装置２１の認証処理部１０２は指定されていたサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードの認証を行う。認証に成功すると、認証処理部１０２はＩｄＰの認証チケットを発行する。そして、ステップＳ５３において認証処理部１０２はＩｄＰの認証チケットをログイン要求元であるＭＦＰアプリに送信する。

また、ステップＳ５４において、ＭＦＰアプリはユーザから外部サービスシステム７のユーザＩＤ及びパスワードを指定したログイン要求を受け付ける。ＭＦＰアプリは外部サービスシステム７のユーザＩＤ及びパスワードを指定したログイン要求を外部サービス提供装置３２に対して行う。

ステップＳ５５において、外部サービス提供装置３２の認証処理部１２１は指定されていた外部サービスシステム７のユーザＩＤ及びパスワードの認証を行う。認証に成功すると、認証処理部１２１はステップＳ５６でＳＰの認証チケットを発行する。ステップＳ５７において認証処理部１２１はＳＰの認証チケットをログイン要求元であるＭＦＰアプリに送信する。

ＳＰの認証チケットを受信したＭＦＰアプリはステップＳ５８において、ＩｄＰの認証チケット及びＳＰの認証チケットを利用して、ユーザ情報の設定要求をＩＤマッパー装置３１に対して行う。

ステップＳ５９において、ＩＤマッパー装置３１のユーザ情報対応付け処理部１１１はＩｄＰの認証チケットの検証を認証装置２１に要求する。認証装置２１の認証処理部１０２は検証を要求されたＩｄＰの認証チケットの検証を行い、ＩｄＰの認証チケットが有効な場合に、そのＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元であるＩＤマッパー装置３１に返す。

ステップＳ６０において、ＩＤマッパー装置３１のユーザ情報対応付け処理部１１１はＳＰの認証チケットの検証を外部サービス提供装置３２に要求する。外部サービス提供装置３２の認証処理部１２１は検証を要求されたＳＰの認証チケットの検証を行い、ＳＰの認証チケットが有効な場合に、そのＳＰの認証チケットに対応するユーザＩＤを検証要求元であるＩＤマッパー装置３１に返す。

ステップＳ６１において、ＩＤマッパー装置３１のユーザ情報対応付け処理部１１１は図９に示したようなユーザ情報対応付けテーブルに、ＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤと、ＳＰの認証チケットに対応するユーザＩＤとを対応付けて登録する。ＩＤマッパー装置３１はステップＳ６２において、ユーザ情報の設定要求に対する応答をＭＦＰアプリに対して行う。

図１０のシーケンスの処理では、認証装置２１及び外部サービス提供装置３２にログインしている状態で、ＩＤマッパー装置３１にＩｄＰのチケット及びＳＰの認証チケットを利用して、ユーザ情報の設定要求を行う。ＩＤマッパー装置３１はＩｄＰのチケットに対応するテナントＩＤ、ユーザＩＤと、ＳＰの認証チケットに対応するユーザＩＤとを対応付けてユーザ情報対応付けテーブルに登録できる。

なお、ユーザ情報の登録は、後述の１回目の外部サービスの利用時に行い、２回目以降にＳＳＯでアクセスできるようにしてもよい。

《外部サービスの利用》
図１の情報処理システム１では、外部サービスの利用を例えば図１１のシーケンスに示すように行う。図１１は外部サービス利用処理の一例のシーケンス図である。図１１に示した外部サービス利用処理は、サービス提供システム６のユーザ情報で認証されたユーザが外部サービスシステム７の外部サービスにＳＳＯでアクセスするものである。

ステップＳ１０１において、電子機器１２のＭＦＰアプリはユーザからサービス提供システム６におけるユーザ情報（テナントＩＤ、ユーザＩＤ及びパスワード）を指定したログイン要求を受け付ける。ＭＦＰアプリはサービス提供システム６におけるユーザ情報を指定したログイン要求を認証装置２１に対して行う。

ステップＳ１０２において、認証装置２１の認証処理部１０２は指定されていたサービス提供システム６におけるユーザ情報の認証を行う。認証に成功すると、認証処理部１０２はＩｄＰの認証チケットを発行する。そして、ステップＳ１０３において認証処理部１０２はＩｄＰの認証チケットをログイン要求元であるＭＦＰアプリに送信する。

また、ステップＳ１０４において、ＭＦＰアプリはユーザから外部サービスへのログイン要求を受け付ける。ＭＦＰアプリはＩｄＰの認証チケットを指定したログイン要求をＩＤマッパー装置３１に対して行う。

ステップＳ１０５において、ＩＤマッパー装置３１の認証チケット提供部１１２はＩｄＰの認証チケットの検証を認証装置２１に要求する。認証装置２１の認証処理部１０２は検証を要求されたＩｄＰの認証チケットの検証を行い、ＩｄＰの認証チケットが有効な場合に、そのＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元であるＩＤマッパー装置３１に返す。

ステップＳ１０６において、ＩＤマッパー装置３１の認証チケット提供部１１２はＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤで図９に示すようなユーザ情報対応付けテーブルを検索する。ステップＳ１０７において、認証チケット提供部１１２はサービス提供システム６のテナントＩＤ、ユーザＩＤに対応する外部サービスシステム７のユーザＩＤを特定する。ステップＳ１０８において、認証チケット提供部１１２は外部サービスシステム７のユーザＩＤを指定した認証チケットの発行要求を外部サービス提供装置３２に対して行う。

ステップＳ１０９において、外部サービス提供装置３２の認証処理部１２１は指定された外部サービスシステム７のユーザＩＤに対応したＳＰの認証チケットを発行する。発行されたＳＰの認証チケットはステップＳ１１１、Ｓ１１２においてＭＦＰアプリに送信される。

ステップＳ１１３において、ＭＦＰアプリは受信したＳＰの認証チケットを利用して外部サービス提供装置３２にサービスの利用要求を行う。外部サービス提供装置３２のサービス提供部１２３はＳＰの認証チケットを利用したサービスの利用要求を受け付けるとステップＳ１１４においてＳＰの認証チケットを検証する。

サービス提供部１２３は有効なＳＰの認証チケットであることを確認できれば、ＳＰの認証チケットに対応する外部サービスシステムのユーザＩＤに対して外部サービスを提供するための処理を行う。ステップＳ１１６において、サービス提供部１２３はサービスの利用要求元であるＭＦＰアプリに例えばサービスのコンテンツを提供する。

なお、ユーザ情報の登録を１回目の外部サービスの利用時に行い、２回目以降にＳＳＯでアクセスできるようにする場合は、以下のような手順となる。ＩＤマッパー装置３１はステップＳ１０５で返されたＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤが図９に示すようなユーザ情報対応付けテーブルに登録されていなければ、ステップＳ１０４の応答としてエラーを返す。エラーを返されたＭＦＰアプリは例えば図１０に示す手順でユーザ情報の登録を行う。このような手順により、本実施形態の情報処理システム１はユーザ情報の登録を１回目の外部サービスの利用時に行い、２回目以降にＳＳＯでアクセスできる。

図１の情報処理システム１は外部サービスの利用を例えば図１２のシーケンスに示すように行ってもよい。図１２は外部サービス利用処理の他の例のシーケンス図である。図１２のシーケンス図は図１１のステップＳ１０４〜Ｓ１１６の処理を連続して実行するものである。

ステップＳ１５１〜Ｓ１５３は図１１のステップＳ１０１〜Ｓ１０３と同様であるため説明を省略する。ステップＳ１５４において、ＭＦＰアプリはユーザから外部サービスの利用要求を受け付ける。ＭＦＰアプリはＩｄＰの認証チケットを指定したサービスの利用要求をＩＤマッパー装置３１に対して行う。

ステップＳ１５５において、ＩＤマッパー装置３１の認証チケット提供部１１２はＩｄＰの認証チケットの検証を認証装置２１に要求する。認証装置２１の認証処理部１０２は検証を要求されたＩｄＰの認証チケットの検証を行い、ＩｄＰの認証チケットが有効な場合に、そのＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元であるＩＤマッパー装置３１に返す。

ステップＳ１５６において、ＩＤマッパー装置３１の認証チケット提供部１１２はＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤで図９に示すようなユーザ情報対応付けテーブルを検索する。ステップＳ１５７において、認証チケット提供部１１２はサービス提供システム６のテナントＩＤ、ユーザＩＤに対応する外部サービスシステム７のユーザＩＤを特定する。ステップＳ１５８において、認証チケット提供部１１２は外部サービスシステム７のユーザＩＤを指定したサービスの利用要求を外部サービス提供装置３２に対して行う。

ステップＳ１５９において、外部サービス提供装置３２のサービス提供部１２３はＳＰのユーザＩＤを利用したサービスの利用要求を受け付けると認証処理部１２１にＳＰの認証チケットの発行要求を行う。ステップＳ１６０において、認証処理部１２１は指定された外部サービスシステム７のユーザＩＤに対応したＳＰの認証チケットを発行する。

ステップＳ１６１において、サービス提供部１２３はＭＦＰアプリに対して外部サービスを提供するための処理を行う。ステップＳ１６２、１６３において、サービス提供部１２３はＩＤマッパー装置３１を介して、サービスの利用要求元であるＭＦＰアプリに例えばサービスのコンテンツを提供する。

図１の情報処理システム１は外部サービスの利用を図１３のシーケンス図に示すように行ってもよい。図１３は外部サービス利用処理の他の例のシーケンス図である。図１３のシーケンス図は図１２のＭＦＰアプリに替えてブラウザを利用するものである。ブラウザは電子機器１２のブラウザアプリとして実装してもよいし、サービス提供システム６のポータル（アプリランチャ）からリンクされる端末装置１１のブラウザとして実装してもよい。なお、図１２のＭＦＰアプリに替えてブラウザを利用する場合はブラウザをリダイレクトする仕組みをサービス提供システム６側で実装する必要がある。

ステップＳ２０１において電子機器１２に搭載されたブラウザはユーザからサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードを指定したログイン要求を受け付ける。ブラウザはサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードを指定したログイン要求を認証装置２１に対して行う。

ステップＳ２０２において、認証装置２１の認証処理部１０２は指定されていたサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードの認証を行う。認証に成功すると、認証処理部１０２はＩｄＰの認証チケットを発行する。そして、ステップＳ２０３において認証処理部１０２はＩｄＰの認証チケットをログイン要求元であるブラウザに送信する。

ステップＳ２０４において、ブラウザはユーザから利用する外部サービスの選択を受け付ける。例えばユーザは外部サービス一覧画面から外部サービスのリンクをクリックすることにより外部サービスの選択を行う。ブラウザはＩｄＰの認証チケット及び外部サービス名（ＳＰ名）を指定したサービスの選択要求を認証装置２１に対して行う。認証装置２１は図１４に示すような自動ＰＯＳＴ用ＨＴＭＬをブラウザに返す。

図１４は自動ＰＯＳＴ用ＨＴＭＬの一例の構成図である。図１４の自動ＰＯＳＴ用ＨＴＭＬにはＩＤマッパー装置３１のＵＲＬ、ＩｄＰの認証チケットが含まれる。ブラウザは図１４の自動ＰＯＳＴ用ＨＴＭＬを読み込む。図１４の自動ＰＯＳＴ用ＨＴＭＬを読み込むことでブラウザはステップＳ２０５において、サービスの利用要求をＩＤマッパー装置３１に対して行う。

なお、ステップＳ２０６〜Ｓ２１２の処理は図１２のステップＳ１５５〜Ｓ１６１と同様である。そして、ステップＳ２１３、Ｓ２１４において、サービス提供部１２３はＩＤマッパー装置３１を介して、サービスの利用要求元であるブラウザに例えばサービスのコンテンツを提供する。

図１３のシーケンス図は電子機器１２に搭載されたブラウザがサービス提供システム６の認証装置２１を介して外部サービスシステム７にアクセスする点が図１２のシーケンス図と異なっている。ブラウザはＩｄＰの認証チケットを直接、外部サービスシステム７へのリクエストに渡すことができない。そこで、図１３のシーケンス図では外部サービスを起動するためのリンク等を用意する。リンクがクリックされると、ブラウザはサービス提供システム６に外部サービスの選択要求を飛ばす。そして、サービス提供システム６は自動ＰＯＳＴ用ＨＴＭＬ（ページのロードが完了したらＪａｖａＳｃｒｉｐｔ（登録商標）でＦＯＲＭのｓｕｂｍｉｔを行う）をブラウザに応答している。

《ＡＰＩ仕様》
サービス提供システム６は図１５に示すようなＡＰＩ（Application Programming Interface）を提供する。図１５はログイン要求を受け付けるＡＰＩの一例を説明するための図である。図１５はログイン要求を受け付けるＡＰＩのリクエスト例とレスポンス例とを示している。ログイン要求を受け付けるＡＰＩのリクエスト例にはサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードが指定される。また、ログイン要求を受け付けるＡＰＩのレスポンス例にはＩｄＰの認証チケットが含まれる。

なお、図１５のログイン要求を受け付けるＡＰＩは一例であって、ＩＣカード等によるログイン要求を受け付けるＡＰＩやパスワード無しのログイン要求を受け付けるＡＰＩであってもよい。

また、サービス提供システム６は図１６に示すようなＡＰＩを提供する。図１６は認証チケットの検証要求を受け付けるＡＰＩの一例を説明するための図である。例えば図１６は認証チケットの検証要求を受け付けるＡＰＩのリクエスト例とレスポンス例とを示している。

認証チケットの検証要求を受け付けるＡＰＩのリクエスト例にはＩｄＰの認証チケットが含まれる。認証チケットの検証要求を受け付けるＡＰＩのレスポンス例にはＩｄＰの認証チケットに対応するユーザ情報であるサービス提供システム６のテナントＩＤ、ユーザＩＤが含まれる。このように、認証チケットの検証要求を受け付けるＡＰＩはＩｄＰの認証チケットに対応するユーザ情報を返すものである。

なお、本実施形態の情報処理システム１では外部サービス提供装置３２にＩｄＰの認証チケットを受け取ってＳＰの認証チケットを発行する機能（ＩｄＰ認証モジュール）を実装する。ＩｄＰの認証チケットは例えば図１７に示すようなＨＴＴＰヘッダに含ませて受信できる。

ＩｄＰ認証モジュールの機能はリバースプロキシやＨＴＴＰサーバのモジュールとして実装することもできる。ＩｄＰ認証モジュールは受信したＨＴＴＰリクエストのヘッダを解析してアプリケーションのＣｏｏｋｉｅが含まれている場合、アプリケーションのリクエスト処理部（アプリケーションサーバなど）にリクエストを転送する。

ＨＴＴＰリクエストにアプリケーションのＣｏｏｋｉｅが含まれておらず、ＩｄＰの認証チケットを含んでいた場合にはＨＴＴＰクライアントを使ってサービス提供システム６の／ｕｓｅｒにＧＥＴリクエストを送信する。ＩｄＰ認証モジュールはレスポンスとして受信したテナントＩＤ、ユーザＩＤをキーに情報対応付けテーブルを検索し、アプリケーションにおけるユーザを特定する。

ＩｄＰ認証モジュールはアプリケーションの認証処理部１２１に対して特定したユーザの認証チケット（Ｃｏｏｋｉｅ）発行を依頼し、発行された認証チケットをリクエストに追加した上でサービス提供部１２３にリクエストを転送する。なお、ＨＴＴＰリクエストにアプリケーションのＣｏｏｋｉｅもＩｄＰの認証チケットも含まれていない場合、ＩｄＰ認証モジュールはログイン画面にリダイレクトさせる。

《ＳＤＫによるＩＤマッパー装置の構成例》
図１８はＳＤＫによるＩＤマッパー装置の一例の構成図である。図１８に示されたＩＤマッパー装置３１はＳＤＫ２０１と、ＳＰのチケット発行要求部２０２と、設定ファイル２０３と、を有する。ＳＤＫ２０１は、認証連携ロジック２２１、ＤＢ（データベース）アクセス２２２、１つ以上のＤＢアダプタ２２３を有する。

なお、図１８のサービスロジック２１１、Ｗｅｂアプリケーションサーバ２１２、ＤＢＭＳ２１３は外部サービスシステム７を構成するモジュールである。ＳＰのチケット発行要求部２０２及び設定ファイル２０３は認証連携に必要なモジュールである。図１８に示した各処理部は例えば図１９のシーケンス図に示すように処理を行う。

図１９は外部サービス利用処理の他の例のシーケンス図である。ステップＳ３０１において、電子機器１２のＭＦＰアプリはユーザからサービス提供システム６におけるユーザ情報を指定したログイン要求を受け付ける。ＭＦＰアプリは、サービス提供システム６におけるユーザ情報を指定したログイン要求を認証装置２１に対して行い、ＩｄＰの認証チケットを受信する。

また、ステップＳ３０２において、ＭＦＰアプリはユーザから外部サービスへのログイン要求を受け付ける。ＭＦＰアプリは、ＩｄＰの認証チケットを指定したログイン要求を外部サービスシステム７のＷｅｂアプリケーションサーバ２１２に対して行う。

Ｗｅｂアプリケーションサーバ２１２は、ＩｄＰの認証チケットを指定したログイン要求をＩＤマッパー装置３１の認証連携ロジック２２１に対して行う。ステップＳ３０４において、ＩＤマッパー装置３１の認証連携ロジック２２１はＩｄＰの認証チケットの検証を認証装置２１に要求する。認証装置２１の認証処理部１０２は検証を要求されたＩｄＰの認証チケットの検証を行い、ＩｄＰの認証チケットが有効な場合に、そのＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元であるＩＤマッパー装置３１に返す。

ステップＳ３０５において、ＩＤマッパー装置３１の認証連携ロジック２２１はＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤでＳＰのユーザを検索する処理をＤＢアクセス２２２に要求する。

ステップＳ３０６において、ＤＢアクセス２２２は設定ファイル２０３により選択されるＤＢアダプタ２２３に、ＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤでＳＰのユーザを検索する処理を要求する。ステップＳ３０７において、ＤＢアダプタ２２３はＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤでＤＢＭＳ２１３を検索する。

ＤＢアダプタ２２３がＤＢＭＳ２１３から検索した外部サービスシステム７のユーザＩＤは認証連携ロジック２２１に返される。ステップＳ３０８において、認証連携ロジック２２１は外部サービスシステム７のユーザＩＤを指定した認証チケットの発行要求をＳＰのチケット発行要求部２０２に対して行う。また、ステップＳ３０９において、チケット発行要求部２０２は外部サービスシステム７のユーザＩＤを指定した認証チケットの発行要求をサービスロジック２１１に対して行う。

ステップＳ３１０において、サービスロジック２１１は、指定された外部サービスシステム７のユーザＩＤに対応したＳＰの認証チケットを発行する。発行されたＳＰの認証チケットはステップＳ３１１〜Ｓ３１４においてＭＦＰアプリに送信される。

ステップＳ３１５において、ＭＦＰアプリは、受信したＳＰの認証チケットを利用して外部サービスシステム７のＷｅｂアプリケーションサーバ２１２にサービスの利用要求を行う。また、ステップＳ３１６においてＷｅｂアプリケーションサーバ２１２はＳＰの認証チケットを利用したサービスの利用要求をＩＤマッパー装置３１の認証連携ロジック２２１に対して行う。

認証連携ロジック２２１はＳＰの認証チケットを利用したサービスの利用要求を受信した場合、その利用要求をサービスロジック２１１に転送する。サービスロジック２１１は有効なＳＰの認証チケットであることを確認できれば、ＭＦＰアプリに外部サービスを提供するための処理を行う。
［第２の実施形態］
第１の実施形態に係る情報処理システム１ではＩＤマッパー装置３１が外部サービスシステム７に配置されている。第２の実施形態に係る情報処理システム１ａは図２０に示すようにＩＤマッパー装置３１ａをサービス提供システム６に配置する。

図２０は本実施形態に係る情報処理システムの他の例の構成図である。図２０の情報処理システム１ａは図１のＩＤマッパー装置３１がサービス提供システム６にＩＤマッパー装置３１ａとして配置されている点で図１の情報処理システム１と異なる。ＩＤマッパー装置３１ａは外部サービスにログインするための認証情報を保管し、外部サービスへのログインを代行する。

図２０の情報処理システム１ａでは、ＩＤマッパー装置３１ａへのユーザ情報の登録を例えば図２１に示すように行う。図２１はＩＤマッパー装置へのユーザ情報登録処理の他の例のシーケンス図である。

ステップＳ４０１において、ブラウザはユーザからサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードを指定したログイン要求を受け付け、認証装置２１に対してログイン要求を行う。ステップＳ４０２において、認証装置２１の認証処理部１０２は指定されていたサービス提供システム６のテナントＩＤ、ユーザＩＤ及びパスワードの認証を行う。認証に成功すると、認証処理部１０２はステップＳ４０３においてＩｄＰの認証チケットを発行し、ログイン要求元であるブラウザに送信する。

ＩｄＰの認証チケットを受信したブラウザは例えば図２２に示すようなユーザ情報設定画面からユーザによるＳＰのユーザ情報として、ＳＰのユーザＩＤ（外部ユーザＩＤ）及びＳＰのパスワード（外部パスワード）の入力を受け付ける。図２２はユーザ情報設定画面の他の例のイメージ図である。

ステップＳ４０４において、ブラウザはＩｄＰの認証チケットを利用して、ユーザ情報設定画面に入力されたユーザ情報（ＳＰのユーザＩＤ及びＳＰのパスワードを含む）の登録要求をＩＤマッパー装置３１ａに対して行う。なお、ステップＳ４０４ではブラウザがユーザ情報の登録要求をＩＤマッパー装置３１ａに対して行っているが、認証装置２１を介して行うようにしてもよい。

ステップＳ４０５において、ＩＤマッパー装置３１ａはＩｄＰの認証チケットの検証を認証装置２１に要求し、そのＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤを受信する。ステップＳ４０６において、ＩＤマッパー装置３１ａは外部サービスシステム７のユーザＩＤ及びパスワードを指定したログイン要求を外部サービス提供装置３２に対して行う。

ステップＳ４０７において、外部サービス提供装置３２は指定されていた外部サービスシステム７のユーザＩＤ及びパスワードの認証を行い、認証に成功すると、ＳＰの認証チケットを発行してＩＤマッパー装置３１に送信する。

ステップＳ４０８において、ＩＤマッパー装置３１は図２３に示すようなユーザ情報対応付けテーブルに、ＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤと、ＳＰのアプリＩＤ、ＳＰのユーザＩＤ及びＳＰのパスワードと、を対応付けて登録する。図２３はユーザ情報対応付けテーブルの他の例の構成図である。図２３のユーザ情報対応付けテーブルを利用することにより、ＩＤマッパー装置３１はサービス提供システム６において認証済みのユーザの外部サービスシステム７におけるユーザＩＤ、パスワードを特定できる。

なお、図２３のユーザ情報対応付けテーブルは複数の外部サービスをサポートする場合の例を表している。図２３に示したユーザ情報対応付けテーブルはアプリＩＤにより外部サービスと対応付けてＩｄＰのテナントＩＤ及びユーザＩＤと、ＳＰのユーザＩＤ及びＳＰのパスワードとを保存している。また、ステップＳ４０９においてＩＤマッパー装置３１は、ユーザ情報の登録要求に対する応答をブラウザに対して行う。

また、図２０の情報処理システム１ａでは、外部サービスの利用を例えば図２４に示すように行う。図２４は外部サービス利用処理の他の例のシーケンス図である。ステップＳ４５１において、電子機器１２のＭＦＰアプリはユーザからサービス提供システム６におけるユーザ情報を指定したログイン要求を受け付ける。ＭＦＰアプリはサービス提供システム６におけるユーザ情報を指定したログイン要求を認証装置２１に対して行う。

ステップＳ４５２において、認証装置２１は指定されていたサービス提供システム６におけるユーザ情報の認証を行う。認証に成功すると認証装置２１はＩｄＰの認証チケットを発行する。そして、ステップＳ４５３において認証装置２１はＩｄＰの認証チケットをログイン要求元であるＭＦＰアプリに送信する。

また、ステップＳ４５４において、ＭＦＰアプリはユーザから外部サービスへのログイン要求を受け付ける。ＭＦＰアプリはＩｄＰの認証チケットを指定したログイン要求をＩＤマッパー装置３１ａに対して行う。なお、ステップＳ４５４ではブラウザが外部サービスへのログイン要求をＩＤマッパー装置３１ａに対して行っているが、認証装置２１を介して行うようにしてもよい。

ステップＳ４５５において、ＩＤマッパー装置３１ａはＩｄＰの認証チケットの検証を認証装置２１に要求する。認証装置２１は検証を要求されたＩｄＰの認証チケットの検証を行い、ＩｄＰの認証チケットが有効な場合に、そのＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元であるＩＤマッパー装置３１ａに返す。

ステップＳ４５６において、ＩＤマッパー装置３１ａはＩｄＰの認証チケットに対応するテナントＩＤ、ユーザＩＤで、図２３に示すようなユーザ情報対応付けテーブルを検索する。

ステップＳ４５７においてＩＤマッパー装置３１ａはＩｄＰのテナントＩＤ、ユーザＩＤに対応するＳＰのユーザＩＤ及びパスワードを特定する。ステップＳ４５８においてＩＤマッパー装置３１ａはＳＰのユーザＩＤ及びパスワードを指定したログイン要求を外部サービス提供装置３２に対して行う。

ステップＳ４５９において、外部サービス提供装置３２は指定されたＳＰのユーザＩＤ及びパスワードに対応したＳＰの認証チケットを発行する。なお、発行されたＳＰの認証チケットはステップＳ４６０、Ｓ４６１においてＭＦＰアプリに送信される。

ステップＳ４６２において、ＭＦＰアプリは受信したＳＰの認証チケットを利用して外部サービス提供装置３２にサービスの利用要求を行う。ステップＳ４６３において、外部サービス提供装置３２はＳＰの認証チケットを利用したサービスの利用要求を受け付けるとＳＰの認証チケットを検証する。

外部サービス提供装置３２は有効なＳＰの認証チケットであることを確認できれば外部サービスを提供するための処理を行う。ステップＳ４６５において、外部サービス提供装置３２はサービスの利用要求元であるＭＦＰアプリに例えばサービスのコンテンツを提供する。
［第３の実施形態］
第３の実施形態に係る情報処理システム１ｂは図２５に示すようにＩＤマッパー装置３１ｂをユーザシステム５、サービス提供システム６及び外部サービスシステム７以外の他のシステム８に配置する。図２５は本実施形態に係る情報処理システムの他の例の構成図である。

図２５の情報処理システム１ｂは、図１の情報処理システム１に他のシステム８が追加され、更に、ＩＤマッパー装置３１ｂが他のシステム８に配置されている。他のシステム８はＩＤマッパー装置３１ｂ、ＦＷ４１がＬＡＮなどのネットワークＮ５を介して接続されている。ネットワークＮ５はＦＷ４１を介してネットワークＮ４に接続される。ＦＷ４１は不正なアクセスを検出及び遮断する。

図２５の情報処理システム１ｂはＩＤマッパー装置３１ｂをユーザシステム５、サービス提供システム６及び外部サービスシステム７以外の他のシステム８に配置することにより第三のパートナーにＩＤマッパー装置３１ｂの開発を委託できる。なお、図２５の情報処理システム１ｂにおけるＩＤマッパー装置３１ｂへのユーザ情報登録処理、外部サービス利用処理は第２の実施形態に係る情報処理システム１ａと同様であるため、説明を省略する。

＜まとめ＞
本実施形態に係る情報処理システム１、１ａ、１ｂによれば、複数人のユーザが共用する電子機器１２において、セキュリティを確保しながら外部サービスへのログインの手間を軽減できる。

例えば本実施形態に係る情報処理システム１、１ａ、１ｂは、端末装置１１からの外部サービスの利用において外部サービスごとのログインを維持する。したがって、本実施形態に係る情報処理システム１、１ａ、１ｂは、端末装置１１からの外部サービスの利用において現状を維持できる。また、本実施形態に係る情報処理システム１、１ａ、１ｂは電子機器１２からの外部サービスの利用においてＳＳＯを実現するための認証方式を簡易に実現できる。

本実施形態に係る情報処理システム１、１ａ、１ｂはＩＤマッパー装置３１、３１ａ及び３１ｂを利用することで、サービス提供システム６及び外部サービスシステム７の何れにもなるべく変更を加えずに、外部サービスへのログインの手間を軽減できる。

本実施形態に係る情報処理システム１によれば、異なる認証基盤を持つサービス提供システム６及び外部サービスシステム７が、ユーザによる一度の認証処理によって認証連携処理を行うことにより、ユーザにとってのＳＳＯを実現できる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。なお、サービス提供システム６は特許請求の範囲に記載した第一のサービス提供システムの一例である。外部サービスシステム７は第二のサービス提供システムの一例である。

ユーザ情報対応付け処理部１１１はユーザ情報対応付け処理手段の一例である。認証処理部１０２は第一の認証手段の一例である。認証チケット提供部１１２は利用権限情報提供手段の一例である。サービス提供部１２３はサービス提供手段の一例である。他のシステム８は第一のサービス提供システム及び第二のサービス提供システム以外の他のシステムの一例である。ユーザ情報設定部１２２はユーザ情報設定手段の一例である。

認証チケットは利用権限情報の一例である。自動ＰＯＳＴ用ＨＴＭＬは電子機器に利用権限情報提供手段に接続させて認証要求又はサービス利用要求を行わせるためのデータの一例である。

１、１ａ、１ｂ 情報処理システム
５ ユーザシステム
６ サービス提供システム
７ 外部サービスシステム
１１ 端末装置
１２ 電子機器
１３、２３、３３、４１ ファイアウォール（ＦＷ）
２１ 認証装置
２２ サービス提供装置
３１、３１ａ、３１ｂ ＩＤマッパー（Ｍａｐｐｅｒ）装置
３２ 外部サービス提供装置
１０１ ユーザ情報管理部
１０２ 認証処理部
１１１ ユーザ情報対応付け処理部
１１２ 認証チケット提供部
１２１ 認証処理部
１２２ ユーザ情報設定部
１２３ サービス提供部
２０１ ＳＤＫ（Software Development Kit）
２０２ ＳＰのチケット発行要求部
２０３ 設定ファイル
２１１ サービスロジック
２１２ Ｗｅｂアプリケーションサーバ
２１３ ＤＢＭＳ（DataBase Management System）
２２１ 認証連携ロジック
２２２ データベースアクセス
２２３ １つ以上のＤＢアダプタ
５００ コンピュータ
５０１ 入力装置
５０２ 表示装置
５０３ 外部Ｉ／Ｆ
５０３ａ 記録媒体
５０４ ＲＡＭ
５０５ ＲＯＭ
５０６ ＣＰＵ
５０７ 通信Ｉ／Ｆ
５０８ ＨＤＤ
６００ 複合機
６０１ コントローラ
６０２ 操作パネル
６０３ 外部Ｉ／Ｆ
６０３ａ 記録媒体
６０４ 通信Ｉ／Ｆ
６０５ プリンタ
６０６ スキャナ
６１１ ＣＰＵ
６１２ ＲＡＭ
６１３ ＲＯＭ
６１４ ＮＶＲＡＭ
６１５ ＨＤＤ
Ｂ バス
Ｎ１〜Ｎ５ ネットワーク

特許第４８３７４７５号

Claims (11)

1. 図１１
   第一のサービス提供システムと、前記第一のサービス提供システムと認証基盤が異なる第二のサービス提供システムと、を有する情報処理システムであって、
   前記第一のサービス提供システムを利用するユーザの第一のユーザ情報と、前記ユーザが前記第二のサービス提供システムを利用する場合の第二のユーザ情報と、を対応付けたユーザ情報対応付け情報を保持するユーザ情報対応付け処理手段と、
   ユーザが操作する電子機器から前記第一のユーザ情報を指定した前記第一のサービス提供システムに対する認証要求を受け付け、前記第一のサービス提供システムの利用権限情報を前記電子機器に提供する第一の認証手段と、
   前記電子機器から前記第一のサービス提供システムの利用権限情報を指定した前記第二のサービス提供システムに対する認証要求を受け付け、前記第一のサービス提供システムの利用権限情報及び前記ユーザ情報対応付け情報とに基づき、前記第一のユーザ情報に対応する前記第二のユーザ情報を特定し、前記第二のサービス提供システムに発行させた前記第二のサービス提供システムの利用権限情報を前記電子機器に提供する利用権限情報提供手段と、
   前記電子機器から前記第二のサービス提供システムの利用権限情報を指定したサービス利用要求を受け付け、前記第二のサービス提供システムの利用権限情報が有効であれば前記電子機器にサービスを提供するサービス提供手段と、
   を有することを特徴とする情報処理システム。
2. 前記利用権限情報提供手段は、前記電子機器から前記第一のサービス提供システムの利用権限情報を指定した前記第二のサービス提供システムに対するサービス利用要求を受け付け、前記第一のサービス提供システムの利用権限情報及び前記ユーザ情報対応付け情報とに基づき、前記第一のユーザ情報に対応する前記第二のユーザ情報を特定し、前記第二のサービス提供システムに前記第二のユーザ情報を指定したサービス利用要求を行い、
   前記サービス提供手段は、前記第二のユーザ情報を指定したサービス利用要求を受け付けると、前記第二のサービス提供システムの利用権限情報及び前記サービス利用要求に対するサービスを前記電子機器に提供すること
   を特徴とする請求項１記載の情報処理システム。
3. 前記利用権限情報提供手段は、前記第一のサービス提供システムの利用権限情報を指定した検証要求を前記第一の認証手段に対して行い、前記第一のサービス提供システムの利用権限情報に対応する前記第一のユーザ情報を前記第一の認証手段から取得し、前記第一のユーザ情報に対応する前記第二のユーザ情報を前記ユーザ情報対応付け情報から特定すること
   を特徴とする請求項１又は２記載の情報処理システム。
4. 前記ユーザ情報対応付け処理手段及び前記利用権限情報提供手段は、前記第二のサービス提供システムに設置されていること
   を特徴とする請求項１乃至３何れか一項記載の情報処理システム。
5. 前記ユーザ情報対応付け処理手段及び前記利用権限情報提供手段は、前記第一のサービス提供システムに設置されていること
   を特徴とする請求項１乃至３何れか一項記載の情報処理システム。
6. 前記ユーザ情報対応付け処理手段及び前記利用権限情報提供手段は、前記第一のサービス提供システム及び前記第二のサービス提供システム以外の他のシステムに設置されていること
   を特徴とする請求項１乃至３何れか一項記載の情報処理システム。
7. 前記電子機器から前記第二のサービス提供システムの利用権限情報と前記第一のユーザ情報とを指定した前記ユーザ情報対応付け情報の設定要求を受け付け、前記第一のユーザ情報と前記第二のサービス提供システムの利用権限情報に対応する前記第二のユーザ情報とを対応付けて前記ユーザ情報対応付け情報に設定するユーザ情報設定手段（１２２）、
   を更に有する請求項１乃至６何れか一項記載の情報処理システム。
8. 前記利用権限情報提供手段は、前記第一のユーザ情報に対応する前記第二のユーザ情報が前記ユーザ情報対応付け情報に設定されていなければ、前記第一のユーザ情報と前記第二のユーザ情報とを対応付けて前記ユーザ情報対応付け情報に設定する処理を前記電子機器に要求すること
   を特徴とする請求項７記載の情報処理システム。
9. 前記第一の認証手段は前記電子機器から前記第一のサービス提供システムの利用権限情報と前記第二のサービス提供システムとを指定した前記第二のサービス提供システムの選択要求を受け付けると、前記電子機器に前記利用権限情報提供手段に接続させて前記認証要求又は前記サービス利用要求を行わせるためのデータを前記電子機器に提供すること
   を特徴とする請求項１乃至８何れか一項記載の情報処理システム。
10. 前記ユーザ情報対応付け処理手段及び前記利用権限情報提供手段はＳＤＫ（Software Development Kit）により構成されること
    を特徴とする請求項１乃至９何れか一項記載の情報処理システム。
11. 第一のサービス提供システムと、前記第一のサービス提供システムと認証基盤が異なる第二のサービス提供システムと、を有する情報処理システムにおいて実行される認証方法であって、
    前記第一のサービス提供システムを利用するユーザの第一のユーザ情報と、前記ユーザが前記第二のサービス提供システムを利用する場合の第二のユーザ情報と、を対応付けたユーザ情報対応付け情報を保持するユーザ情報対応付け処理ステップと、
    ユーザが操作する電子機器から前記第一のユーザ情報を指定した前記第一のサービス提供システムに対する認証要求を受け付け、前記第一のサービス提供システムの利用権限情報を前記電子機器に提供する第一の認証ステップと、
    前記電子機器から前記第一のサービス提供システムの利用権限情報を指定した前記第二のサービス提供システムに対する認証要求を受け付け、前記第一のサービス提供システムの利用権限情報及び前記ユーザ情報対応付け情報とに基づき、前記第一のユーザ情報に対応する前記第二のユーザ情報を特定し、前記第二のサービス提供システムに発行させた前記第二のサービス提供システムの利用権限情報を前記電子機器に提供する利用権限情報提供ステップと、
    前記電子機器から前記第二のサービス提供システムの利用権限情報を指定したサービス利用要求を受け付け、前記第二のサービス提供システムの利用権限情報が有効であれば前記電子機器にサービスを提供するサービス提供ステップと、
    を有することを特徴とする認証方法。

Images