JP2016045920A - 認証システム、認証装置、認証方法及びプログラム - Google Patents

Abstract

【課題】正確にアクセス権管理をすることができ、セキュリティ性の高い認証システムを提供する。
【解決手段】ユーザＩＤと、ユーザが所属する組織の組織識別子と、ユーザＩＤの有効期間とを対応付けた利用者情報２００と、組織識別子と、組織識別子により識別される組織が採用する組織標準時とを対応付けた組織情報３００と、ユーザＩＤの認証要求を受け付ける要求受付部１１０と、利用者情報２００からユーザＩＤに対応する組織識別子と有効期間とを取得し、取得した組織識別子に基づいて、組織情報３００から組織が採用する組織標準時を取得する情報取得部１２０と、認証要求が受け付けられた受付日時を、組織標準時で表した組織標準時受付日時に変換する日時変換部１３０と、組織標準時受付日時と有効期間とに基づいて、ユーザＩＤが有効であるか否かを判定する判定部１４０とを備える。
【選択図】図２

Description

本発明は、認証システム、認証装置、認証方法及びプログラムに関する。特に、標準時が異なる複数の組織が属する組織グループにおいて用いられる認証システム、認証装置、認証方法及びプログラムに関する。

近年、企業のグローバル化により、標準時が異なる複数の所属会社、所属組織により企業グループが構成されている。このような企業グループにおいて、システムにアクセスする際の認証管理を共通の認証システムにより実行する場合がある。企業グループ共通の認証システムでは、認証用のユーザＩＤに関する情報をデータベースにより集中管理している。従来、企業グループにおけるログイン操作時の認証処理では、データベース内に保管されているユーザＩＤの有効期限と、ログイン操作日とを比較することにより、ユーザＩＤが有効期限（開始日から終了日）の範囲内であるか否かの判定を行っている。

特開２００４−２７２６１４号公報 特開２００４−０７８８８３号公報

特許文献１に開示された技術では、有効期限超過の判定は、ユーザ情報登録部に管理されている有効期限日付情報を元に判定するだけであり、認証システムとユーザの所属組織との時差や、ログイン端末の場所とユーザの所属組織との時差などを適切に考慮して判定することはできない。

特許文献２に開示された技術は、コンテンツ利用有効期限日時を端末操作日時と比較することで有効期限を超過していないかを判定するものである。この際、端末が持つ日時をグリニッジ標準時に変換して比較している。しかし、単に、コンテンツの利用有効期限を判定するのみであり、認証システムとユーザの所属組織との時差や、ログイン端末の場所とユーザの所属組織との時差などを適切に考慮してユーザＩＤを判定することについては何ら開示されていない。

通常、ユーザＩＤの有効期限は、日単位で設定されることが主である。このため、複数の国にまたがる企業グループにおいて、単に、ログイン操作日時を認証システムで一意の標準時（日本標準時、グリニッジ標準時など）としてユーザＩＤの有効期限と比較するのみでは、各国との時差により、退職日より前に認証不可となる、または退職日より後にも認証できてしまうという状況が発生する。
このように、認証システムとユーザの所属組織との時差や、ログイン端末の場所とユーザの所属組織との時差などを適切に考慮することができないと、業務システムへのアクセス権管理が正確にできず、セキュリティ上の問題が生じるという課題がある。

本発明は、例えば、上記のような課題を解決するためのものであり、標準時が異なる複数の組織から構成される組織グループにおいて共通に用いられる認証システムにおいて、認証システムとユーザの所属組織との時差や、ログイン端末の場所とユーザの所属組織との時差などを適切に考慮することにより、正確にアクセス権管理をすることができ、セキュリティ性の高い認証システムを提供することを目的とする。

本発明に係る認証システムは、
利用者を識別する利用者識別子と、前記利用者が所属する組織を識別する組織識別子と、前記利用者識別子が有効な期間を示す有効期間とを対応付けて利用者情報として記憶する利用者情報記憶部と、
前記組織識別子と、前記組織識別子により識別される前記組織が採用する組織標準時とを対応付けて組織情報として記憶する組織情報記憶部と、
前記利用者識別子の認証を要求する認証要求を受け付ける要求受付部と、
前記利用者識別子に基づいて、前記利用者情報から前記利用者識別子に対応する前記組織識別子と前記有効期間とを取得し、取得した前記組織識別子に基づいて、前記組織情報から前記組織が採用する前記組織標準時を取得する情報取得部と、
前記組織標準時に基づいて、前記要求受付部により前記認証要求が受け付けられた受付日時を、前記組織標準時で表した組織標準時受付日時に変換する日時変換部と、
前記組織標準時受付日時と前記有効期間とに基づいて、前記利用者識別子が有効であるか否かを判定する判定部とを備えることを特徴とする。

本実施の形態に係る認証システムによれば、利用者情報と組織情報とを備え、日時変換部が、利用者が所属する組織の組織標準時に基づいて、受付日時を組織標準時で表した組織標準時受付日時に変換し、判定部が、組織標準時受付日時と利用者情報に記憶されている有効期間とに基づいて、利用者識別子が有効であるか否かを判定するので、標準時が異なる複数の組織にそれぞれが所属する複数の利用者から、利用者識別子の認証の要求がある場合であっても、正確にアクセス権管理をすることができ、セキュリティ性の高い認証システムを提供することができる。

実施の形態１に係る共通認証システムのシステム概要を示す図である。 実施の形態１に係る共通認証システムのブロック構成の一例を示す図である。 実施の形態１に係る認証装置のハードウェア構成の一例を示す図である。 実施の形態１に係る共通認証システムにおける認証方法（処理、工程）の一例を示すフローチャートである。 実施の形態１に係る共通認証システムにおける認証方法（処理、工程）の一例を模式化した図である。 実施の形態１に係る利用者情報の構成の一例を示す図である。 実施の形態１に係る組織情報の構成の一例を示す図である。 実施の形態２に係る組織情報の構成の一例を示す図である。 実施の形態２に係る共通認証システムにおける認証方法（処理、工程）の一例を模式化した図である。

実施の形態１．
図１は、本実施の形態に係る共通認証システム５００のシステム概要を示す図である。図１を用いて、本実施の形態に係る共通認証システム５００のシステム概要について説明する。

共通認証システム５００は、複数の組織に共通して、ユーザ（利用者）のユーザＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）の認証を実行する認証システムの一例である。共通認証システム５００と複数の組織のそれぞれとは、ネットワークを介して接続されている。
組織とは、例えば、会社、団体などである。また、同一の会社や団体であっても、異なる標準時を用いる複数の支店（支社、支所などともいうが、以下、支店という）がある場合には、会社・支店毎に異なる組織とする。

図１に示すように、共通認証システム５００は、異なる３つの組織、Ａ社（日本）、Ｂ社ＮＹ（ニューヨーク）支店、Ｂ社東京支店に共通する認証システムであるとする。
共通認証システム５００において採用されている標準時を基本標準時とする。基本標準時は、例えば、日本時間とする。その他にも、共通認証システム５００のデータセンターが海外にある場合などは、データセンターが置かれている地域の標準時でもよいし、グリニッジ標準時を基本標準時として採用してもよい。
また、各組織が採用する標準時を組織標準時とする。Ａ社（日本）の組織標準時は、日本時間である。Ｂ社ＮＹ支店の組織標準時は、ＵＳ（米国）東部時間である。Ｂ社東京支店の組織標準時は、日本時間である。

共通認証システム５００は、認証装置１００、利用者情報２００（ユーザデータベース）、組織情報３００（会社・支店別標準時間マスタ）を備える。
組織の業務システムなどを利用するユーザは、まず、ログイン操作を行う。このとき、ユーザはユーザを一意に識別するユーザＩＤ（利用者識別子の一例）をログイン画面に入力する。このログイン操作により、ユーザＩＤを含むログイン要求が共通認証システム５００に送信される。ログイン要求はユーザＩＤの認証を要求する認証要求である。
共通認証システム５００では、認証装置１００が利用者情報２００、組織情報３００を用いて、ログイン要求に含まれるユーザＩＤの認証処理を実行し、認証結果をログイン結果として組織へ送信する。

組織毎に標準時が異なると、基本標準時（日本時間）で「２０１３年１１月３０日９：００」の場合、Ａ社、Ｂ社東京支店の組織標準時（日本時間）では基本標準時と同じ「２０１３年１１月３０日９：００」であるが、Ｂ社ＮＹ支店の組織標準時（ＵＳ東部時間）では「２０１３年１１月２９日１９：００」となる。
例えば、Ｂ社ＮＹ支店のユーザ「ＣＣ３３３３３」のユーザＩＤの有効期間の終了日が「２０１３年１１月２９日」であり、ＮＹ支店のユーザ端末からユーザ「ＣＣ３３３３３」が「２０１３年１１月３０日９：００」にログイン操作をしたとする。

この場合、ユーザＩＤ「ＣＣ３３３３」の有効期間の判定は、ログインをしたユーザが所属する組織における組織標準時により判断されるべきである。例えば、ユーザが所属する組織における組織標準時とは異なる標準時を採用している場所にある端末からログイン要求をした場合でも、ログインをしたユーザが所属する組織における組織標準時により判断されるべきである。すなわち、図１のユーザ「ＣＣ３３３３３」は、組織標準時（ＵＳ東部時間）において有効期間の最終日にログインをしているので、ログインが正常に完了するべきである。

しかし、共通認証システム５００では、基本標準時を用いているので、基本標準時のまま「２０１３年１１月３０日」であると判断してしまうと、このユーザ「ＣＣ３３３３３」はログインが許可されない。
このような時差による誤判断は、共通認証システム５００が、ログイン要求を受け付けた日時を、例えば、すべて共通のグリニッジ標準時等に変換して、ユーザＩＤの認証処理を実行した場合でも発生してしまう。
本実施の形態に係る共通認証システム５００によれば、複数の異なる標準時を採用する組織に共通した認証システムであるとともに、各組織のユーザのユーザＩＤを各組織の組織標準時により正確に認証することができる。

図２は、本実施の形態に係る共通認証システム５００のブロック構成の一例を示す図である。図２を用いて、本実施の形態に係る共通認証システム５００のブロック構成の一例について説明する。

図２に示すように、共通認証システム５００は、認証装置１００、利用者情報２００、組織情報３００を備える。
利用者情報２００は、ユーザ（利用者）を識別するユーザＩＤ（利用者識別子）と、ユーザが所属する会社・支店などの組織を識別する組織識別子と、ユーザＩＤの有効期間とが対応付けられた情報であり、利用者情報記憶部により記憶装置に記憶される。
組織情報３００は、組織識別子と、組織識別子により識別される組織が採用する組織標準時とが対応付けられた情報であり、組織情報記憶部により記憶装置に記憶される。
利用者情報２００、組織情報３００の詳細については後述する。

認証装置１００は、要求受付部１１０、情報取得部１２０、日時変換部１３０、判定部１４０、結果送信部１５０を備える。以下に、認証装置１００の各構成部の機能の概要について説明する。

要求受付部１１０は、ユーザＩＤの認証を要求する認証要求を受け付ける。認証要求には、ユーザＩＤが含まれる。
情報取得部１２０は、要求受付部１１０により受け付けられた認証要求に含まれるユーザＩＤに基づいて、利用者情報２００からユーザＩＤに対応する組織識別子と、ユーザＩＤの有効期間とを取得する。また、情報取得部１２０は、取得した組織識別子に基づいて、組織情報３００から、組織が採用する組織標準時を取得する。
日時変換部１３０は、情報取得部１２０が取得した組織標準時に基づいて、要求受付部１１０により認証要求が受け付けられた受付日時を組織標準時で表した組織標準時受付日時に変換する。
判定部１４０は、組織標準時受付日時とユーザＩＤの有効期間とに基づいて、ユーザＩＤが有効であるか否かを判定する。
結果送信部１５０は、判定部１４０により判定された判定結果を、認証要求に対する認証結果応答として送信する。

図３は、本実施の形態に係る認証装置１００のハードウェア構成の一例を示す図である。
図３を用いて、認証装置１００のハードウェア構成の一例について説明する。

認証装置１００はコンピュータを備え、認証装置１００の各要素をプログラムで実現することができる。

認証装置１００のハードウェア構成としては、バスに、演算装置９０１、外部記憶装置９０２、主記憶装置９０３、通信装置９０４、入出力装置９０５が接続されている。

演算装置９０１は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ）である。演算装置９０１は、処理装置の一例である。
外部記憶装置９０２は、例えばＲＯＭ（Ｒｅａｄ・Ｏｎｌｙ・Ｍｅｍｏｒｙ）やフラッシュメモリ、ハードディスク装置である。
主記憶装置９０３は、ＲＡＭ（Ｒａｎｄｏｍ・Ａｃｃｅｓｓ・Ｍｅｍｏｒｙ）である。

通信装置９０４は、例えば通信ボード等であり、ＬＡＮ（Ｌｏｃａｌ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）等に接続されている。通信装置９０４は、ＬＡＮに限らず、ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ・Ｐｒｏｔｏｃｏｌ・Ｖｉｒｔｕａｌ・Ｐｒｉｖａｔｅ・Ｎｅｔｗｏｒｋ）、広域ＬＡＮ、ＡＴＭ（Ａｓｙｎｃｈｒｏｎｏｕｓ・Ｔｒａｎｓｆｅｒ・Ｍｏｄｅ）ネットワークといったＷＡＮ（Ｗｉｄｅ・Ａｒｅａ・Ｎｅｔｗｏｒｋ）、あるいは、インターネットに接続されていても構わない。ＬＡＮ、ＷＡＮ、インターネットは、ネットワークの一例である。

入出力装置９０５は、例えばマウス、キーボード、ディスプレイ装置等である。マウスの代わりに、タッチパネル、タッチパッド、トラックボール、ペンタブレット、あるいは、その他のポインティングデバイスが用いられても構わない。ディスプレイ装置は、ＬＣＤ（Ｌｉｑｕｉｄ・Ｃｒｙｓｔａｌ・Ｄｉｓｐｌａｙ）、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）、あるいは、その他の表示装置でも構わない。

プログラムは、通常は外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１に読み込まれ、実行される。
プログラムは、図２に示す「要求受付部」、「情報取得部」、「日時変換部」、「判定部」、「結果送信部」として説明する機能を実現するプログラムである。
また、プログラムプロダクト（コンピュータプログラムプロダクト）は、ブロック構成図に示す「要求受付部」、「情報取得部」、「日時変換部」、「判定部」、「結果送信部」の機能を実現するプログラムが記録された記憶媒体、記憶装置などから構成される。プログラムプロダクトは、その外観に関わらず、コンピュータ読み取り可能なプログラムをロードしているものである。

更に、外部記憶装置９０２にはオペレーティングシステム（ＯＳ）も記憶されており、ＯＳの少なくとも一部が主記憶装置９０３にロードされ、演算装置９０１はＯＳを実行しながら、図２に示す「要求受付部」、「情報取得部」、「日時変換部」、「判定部」、「結果送信部」の機能を実現するプログラムを実行する。
また、アプリケーションプログラムも外部記憶装置９０２に記憶されており、主記憶装置９０３にロードされた状態で、順次演算装置９０１により実行される。
また、「〜テーブル」等の情報も外部記憶装置９０２に記憶されている。

また、本実施の形態の説明において、「〜の判断」、「〜の判定」、「〜の抽出」、「〜の検知」、「〜の設定」、「〜の登録」、「〜の選択」、「〜の生成」、「〜の入力」、「〜の出力」等として説明している処理の結果を示す情報やデータや信号値や変数値が主記憶装置９０３に記憶されている。
また、認証装置１００が受信したデータが主記憶装置９０３に記憶される。
また、暗号鍵・復号鍵や乱数値やパラメータが、主記憶装置９０３に記憶されていても構わない。

なお、図３の構成は、あくまでも認証装置１００のハードウェア構成の一例を示すものであり、認証装置１００のハードウェア構成は図３に記載の構成に限らず、他の構成であっても構わない。

図４は、本実施の形態に係る共通認証システム５００における認証方法（処理、工程）の一例を示すフローチャートである。図５は、本実施の形態に係る共通認証システム５００における認証方法（処理、工程）の一例を模式化した図である。図４及び図５を用いて、本実施の形態に係る共通認証システム５００における認証方法（処理、工程）の処理の流れについて説明する。

＜Ｓ１０１：要求受付処理（工程）＞
Ｓ１０１において、要求受付部１１０は、ユーザＩＤの認証を要求する認証要求（ログイン要求）を受け付ける。認証要求には、ユーザＩＤが含まれる。また、要求受付部１１０は、認証要求を受け付けた受付日時を記憶装置に記憶する。要求受付部１１０は、基本標準時で受付日時を記憶する。

図５に示すように、例えば、認証装置１００は、Ａ社のユーザ（ＡＡ１１１１１）から認証要求を受信するとともに、Ｂ社ＮＹ支店のユーザ（ＣＣ３３３３３）から認証要求を受信する。以下において、ユーザＩＤがＡＡ１１１１１のユーザを、ユーザ（ＡＡ１１１１１）と記載する場合がある。認証装置１００は、Ａ社のユーザ（ＡＡ１１１１１）からの認証要求を、基本標準時の受付日時２０１３年１２月１日７：００（以下、２０１３／１２／０１／７：００と記載する）に受け付けたものとする。同様に、Ｂ社のユーザ（ＣＣ３３３３３）からの認証要求を、基本標準時の受付日時２０１３／１２／０１／７：００に受け付けたものとする。

＜Ｓ１０２〜Ｓ１０３：情報取得処理（工程）＞
Ｓ１０２〜Ｓ１０３において、情報取得部１２０は、要求受付部１１０が受け付けた認証要求に含まれるユーザＩＤに基づいて、利用者情報２００、組織情報３００から必要な情報を取得する。
ここでは、利用者情報２００、組織情報３００は、認証装置１００の外部にある構成としているが、認証装置１００の内部の記憶装置に記憶されていてもよい。あるいは、認証装置１００とはネットワークで接続されたファイルサーバー等に記憶されているものでもよい。

図６は、本実施の形態に係る利用者情報２００の構成の一例を示す図である。図７は、本実施の形態に係る組織情報３００の構成の一例を示す図である。図６及び図７を用いて、利用者情報２００、組織情報３００の構成の一例について説明する。

図６に示すように、利用者情報２００は、項目として、ユーザＩＤ、会社・支店名、有効期間開始日（開始日）、有効期間終了日（終了日）を有する。
ユーザＩＤには、ユーザを一意に識別するユーザＩＤが設定される。
会社・支店名には、ユーザＩＤにより識別されるユーザが所属する組織の名称が設定される。会社・支店名は、ユーザが所属する組織を識別する組織識別子の一例である。
有効期間開始日には、対応するユーザＩＤの有効期間の開始日が設定される。
有効期間終了日には、対応するユーザＩＤの有効期間の終了日が設定される。
有効期間開始日、有効期間終了日のように、ユーザＩＤの有効期間は、主に日単位で設定される。

利用者情報２００の第１レコードは、Ａ社に所属するユーザ（ＡＡ１１１１１）のユーザＩＤは、２０１０年１１月３０日から２０１３年１１月３０日までが有効期間であることを意味する。同様に、利用者情報２００の第３レコードは、Ｂ社ＮＹ支店に所属するユーザ（ＣＣ３３３３３）のユーザＩＤは、２０１２年１１月３０日から２０１３年１１月３０日までが有効期間であることを意味する。

図７に示すように、組織情報３００は、項目として、会社・支店名、組織標準時、通常時差、夏時間期間、夏時間時差を有する。
会社・支店名には、共通認証システム５００を利用する各組織の会社・支店名（組織識別子）が設定される。
組織標準時には、対応する組織が採用している標準時が設定される。
通常時差には、組織標準時と基本標準時との時差が設定される。
夏時間期間には、組織が夏時間を採用している地域にある場合、その地域で夏時間となる期間が設定される。夏時間は年ごとに異なる場合があるため、夏時間期間は年ごとに更新されるものとする。夏時間を採用していない地域の組織では「なし」と設定される。
夏時間時差には、組織が夏時間を採用している地域にある場合、夏時間の組織標準時と基本標準時との時差が設定される。夏時間を採用していない地域の組織では、「０：００」と設定される。

ここで、情報取得処理についての説明に戻る。
Ｓ１０２において、情報取得部１２０は、ユーザＩＤを用いて利用者情報２００を検索し、ユーザＩＤに対応する会社・支店名と有効期間開始日と有効期間終了日とを取得する。情報取得部１２０は、取得した会社・支店名と有効期間開始日と有効期間終了日とを、認証装置１００内の記憶装置に記憶する。
Ｓ１０３において、情報取得部１２０は、利用者情報２００から取得した会社・支店名を用いて、組織情報３００を検索し、会社・支店名に対応する組織標準時、通常時差、夏時間期間、夏時間時差を取得する。情報取得部１２０は、取得した組織標準時、通常時差、夏時間期間、夏時間時差を、認証装置１００内の記憶装置に記憶する。

例えば、図５におけるユーザ（ＡＡ１１１１１）からの認証要求を受け付けた場合、会社・支店名、有効期間開始日、有効期間終了日は、Ａ社、２０１０／１１／３０、２０１３／１１／３０となる。また、組織標準時、通常時差、夏時間期間、夏時間時差は、日本標準時、０：００、なし、０：００となる。
図５におけるユーザ（ＣＣ３３３３３）からの認証要求を受け付けた場合、会社・支店名、有効期間開始日、有効期間終了日は、Ｂ社ＮＹ支店、２０１２／１１／３０、２０１３／１１／３０となる。また、組織標準時、通常時差、夏時間期間、夏時間時差は、ＵＳ東部標準時、−１４：００、２０１３／０４／０７／０２：００〜２０１３／１０／２７／０２：００、−１３：００となる。

＜Ｓ１０４：日時変換処理（工程）＞
Ｓ１０４において、日時変換部１３０は、取得した組織標準時に基づいて、要求受付部１１０により認証要求が受け付けられた受付日時を、組織標準時で表した組織標準時受付日時に変換する。
そして、日時変換部１３０は、対応する組織に夏時間があるか否かを判定し、夏時間がある場合には、さらに、組織標準時受付日時が夏時間期間の範囲内であるか否かを判定する。日時変換部１３０は、組織標準時受付日時が夏時間期間の範囲内である場合に、夏時間時差に基づいて受付日時を変換し、変換した受付日時を組織標準時受付日時とする。

以下に具体例（ユーザ（ＡＡ１１１１１）からの認証要求、ユーザ（ＣＣ３３３３３）からの認証要求）を用いて説明する。
ユーザ（ＡＡ１１１１１）からの認証要求の場合、上述したように受付日時は２０１３／１２／０１／７：００である。日時変換部１３０は、通常時差０：００を用いて受付時間を組織標準時受付日時２０１３／１２／０１／７：００とする。また、日時変換部１３０は、情報取得部１２０により取得された情報から、Ａ社では夏時間はないと判定し、組織標準時受付日時を２０１３／１２／０１／７：００とする。

また、ユーザ（ＣＣ３３３３３）からの認証要求の場合も、上述したように受付日時は２０１３／１２／０１／７：００である。日時変換部１３０は、通常時差「−１４：００」を用いて受付時間を組織標準時受付日時２０１３／１１／３０／１７：００に変換する。また、日時変換部１３０は、情報取得部１２０により取得された情報から、Ｂ社ＮＹ支店では夏時間はあると判定し、組織標準時受付日時２０１３／１１／３０／１７：００が夏時間期間内か否かを判定する。組織標準時受付日時２０１３／１１／３０／１７：００は、夏時間期間ではないため、組織標準時受付日時を２０１３／１１／３０／１７：００のままとする。このとき、通常時差により変換された組織標準時受付日時が夏時間期間内であった場合には、日時変換部１３０は、再度、受付日時を夏時間時差により変換し、夏時間時差により変換された日時を組織標準時受付日時に更新（上書き）する。

＜Ｓ１０５〜Ｓ１０８：判定処理（工程）＞
Ｓ１０５において、判定部１４０は、組織標準時受付日時が有効期間開始日から有効期間終了日までの範囲内か否かを処理装置により判断する。
組織標準時受付日時が有効期間開始日から有効期間終了日までの範囲内の場合（Ｓ１０６でＹＥＳ）、Ｓ１０７に進む。
組織標準時受付日時が有効期間開始日から有効期間終了日までの範囲内にない場合（Ｓ１０６でＮＯ）、Ｓ１０８に進む。

Ｓ１０７において、判定部１４０は、ユーザＩＤは有効であると判定する。
Ｓ１０８において、判定部１４０は、ユーザＩＤは無効であると判定する。
Ｓ１０９において、結果送信部１５０は、判定結果を認証要求に対する認証結果応答（ログイン結果）として、認証要求の送信元に対して送信する。

具体的には、図５において、ユーザ（ＡＡ１１１１１）からの認証要求の場合、組織標準時受付日時が示す日（２０１３／１２／０１）は、有効期間終了日（２０１３／１１／３０）を超過しているので、判定部１４０は、ユーザＩＤ（ＡＡ１１１１１）は無効であると判定しログインＮＧとなる。
また、ユーザ（ＣＣ３３３３３）からの認証要求の場合、組織標準時受付日時が示す日（２０１３／１１／３０）は、有効期間の範囲内であるため、判定部１４０は、ユーザＩＤ（ＣＣ３３３３３）は有効であると判定しログインＯＫとなる。

以上で、本実施の形態に係る共通認証システム５００の認証処理についての説明を終わる。

以上のように、実施の形態に係る共通認証システムは、例えば、次のような特徴を有する。
（１）所属会社または支店ごとに、その国・地域の標準時を定める。
（２）各ユーザＩＤの有効期限の指定は、対象者の退職日付等をもとに「日」単位で指定する。
（３）各ユーザがログインした際の有効期限（終了日）超過の判定では、集中管理されているユーザデータベース（利用者情報、組織情報）内に保管されている当該ユーザＩＤの有効期限と、当該ユーザの所属会社・支店によって定められた国・地域の標準時に換算したログイン操作日時を比較して判定する。

このように、本実施の形態に係る共通認証システムによれば、各ユーザの所属会社または支店の存在する国・地域と集中管理するユーザデータベースとの時差によらず、「日」単位で指定されている有効期限を正しく判定できるようになり、システムへのアクセス権管理が正確にできるようになる。

なお、本実施の形態では、組織識別子として会社・支店名を設定するものとしたが、組織を識別するものであれば予め定められた組織コードなどを用いてもよい。
また、本実施の形態では、組織情報に夏時間期間と夏時間時差とを設定したが、組織情報に夏時間期間及び夏時間時差を設定しなくてもよい。例えば、日時変換部や判定部において、自動的に組織が夏時間であるか否かを判断して組織標準時受付日時を計算するものとしてもよい。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点について説明する。
本実施の形態では、ユーザＩＤの有効期間に時間的な制約を設定することができる共通認証システム５００ａについて説明する。
例えば、ユーザＩＤの有効期間の終了日については、有効期間終了日の最終時間まで（すなわち、有効期間終了日の２４時５９分５９秒まで）ユーザＩＤを有効にしておくのは望ましくない場合がある。本実施の形態では、ユーザＩＤの有効期間終了日は、例えば、１７時までユーザＩＤを有効にし、その後は有効期間終了日であってもユーザＩＤを無効にすることができる機能について説明する。

図８は、本実施の形態に係る組織情報３００ａの構成の一例を示す図である。
本実施の形態において、実施の形態１と同様の構成部については同一の符号を付し、その説明を省略する場合がある。

図８に示すように、組織情報３００ａは、実施の形態１で説明した組織情報の構成に加えて、有効期間開始日に用いる開始時間と、有効期間終了日に用いる終了時間とを対応付けて記憶する。
有効期間開始日に用いる開始時間とは、ログイン日がユーザＩＤの有効期間開始日の場合に、有効期間開始日においてユーザＩＤが有効となり始める時間である。
有効期間終了日に用いる終了時間とは、ログイン日がユーザＩＤの有効期間終了日の場合に、有効期間終了日においてユーザＩＤが有効となる最終の時間である。

図８に示すように、Ｂ社（東京支店及びＮＹ支店）では、ユーザＩＤの有効期間開始日は、開始時間８：００からユーザＩＤが有効となる。また、ユーザＩＤの有効期間終了日には、終了時間１７：００までユーザＩＤが有効となる。特に、開始時間、終了時間を定めていない組織の場合は、「なし」と設定される。

図９は、本実施の形態に係る共通認証システム５００ａにおける認証方法（処理、工程）の一例を模式化した図である。
実施の形態１で説明した図４と図９とを用いて、本実施の形態に係る認証処理について説明する。

本実施の形態に係る認証処理において、実施の形態１の図４で説明した認証処理と異なる点は、Ｓ１０３の情報取得処理及びＳ１０５の判定処理である。その他の処理については、実施の形態１の図４で説明した認証処理と同様であるため説明を省略する。

本実施の形態の情報取得処理では、情報取得部１２０は、組織情報３００ａから、実施の形態１で説明した情報に加え、さらに、開始時間と終了時間とを取得する（Ｓ１０３ａ）。
また、本実施の形態の判定処理では、判定部１４０は、組織標準時受付日時と有効期間と開始時間と終了時間とに基づいて、ユーザＩＤが有効期間内であるか否かを判定する（Ｓ１０５ａ）。

例えば、図９に示すように、共通認証システム５００ａがユーザ（ＣＣ３３３３３）から認証要求を受け付けた場合について説明する。
このとき、共通認証システム５００ａにおける受付日時は、２０１３／１２／０１／０９：００であるとする。
Ｓ１０３ａでは、情報取得部１２０は、実施の形態１で説明した情報に加え、開始時間０８：００、終了時間１７：００を取得する。また、実施の形態１のＳ１０４で説明したように、この場合、組織標準時受付日時は２０１３／１１／３０／１９：００となる。

Ｓ１０５ａでは、判定部１４０は、組織標準時受付日時が有効期間開始日から有効期間終了日までの範囲内か否かを処理装置により判断する。このとき、判定部１４０は、組織標準時受付日時が有効期間開始日である場合には、さらに、組織標準時受付日時が開始日の開始時間を過ぎているか否かを判断する。また、判定部１４０は、組織標準時受付日時が有効期間終了日である場合には、さらに、組織標準時受付日時が終了日の終了時間を過ぎているか否かを判断する。
図９に示すように、組織標準時受付日時２０１３／１１／３０／１９：００は、有効期間終了日であり、かつ、終了時間１７：００を超過している。よって、判定部１４０は、組織標準時受付日時がユーザＩＤの有効期間の範囲内でないと判定する。その後の処理は、実施の形態１で説明したＳ１０６〜Ｓ１０８と同様である。
図９に示すように、共通認証システム５００ａがユーザ（ＣＣ３３３３３）から認証要求を受け付けた場合は、ログインＮＧとなる。

以上のように、本実施の形態に係る共通認証システム５００ａによれば、有効期間開始日、有効期間終了日に対して、開始時間、終了時間を設定することができるので、より業務に則したきめ細かい認証システムを提供することができる。
なお、本実施の形態では、有効期間開始日に対応して開始時間を設定し、有効期間終了日に対応して終了時間を設定したが、例えば、ユーザＩＤに対して毎日有効時間帯を設けてもよい。その他にも、業務に則して、ユーザＩＤの有効期間に時間的な制約を設けてもよい。

なお、上記実施の形態１，２において、利用者情報２００、組織情報３００，３００ａは、認証装置１００の外部にある構成としているが、認証装置１００の内部の記憶装置に記憶されていてもよい。あるいは、認証装置１００とはネットワークで接続されたファイルサーバーに記憶されているものでもよい。利用者情報２００、組織情報３００，３００ａが、認証装置１００の内部の記憶装置に記憶されている場合は、情報取得部は無くてもよい。

上記実施の形態１，２の説明では、要求受付部、情報取得部、日時変換部、判定部、結果送信部がそれぞれ独立した機能ブロックとして説明した。しかし、これに限られるわけではなく、例えば、要求受付部、結果送信部をひとつの機能ブロックで実現し、情報取得部、日時変換部、判定部をひとつの機能ブロックで実現しても良い。あるいは、これらの機能ブロックを、他のどのような組み合わせで認証装置１００を構成しても構わない。
なお、以上の実施の形態は、本質的に好ましい例示であって、本発明、その適用物や用途の範囲を制限することを意図するものではなく、必要に応じて種々の変更が可能である。

以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つを組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。

１００ 認証装置、１１０ 要求受付部、１２０ 情報取得部、１３０ 日時変換部、１４０ 判定部、１５０ 結果送信部、２００ 利用者情報、３００ 組織情報、５００ 共通認証システム、９０１ 演算装置、９０２ 外部記憶装置、９０３ 主記憶装置、９０４ 通信装置、９０５ 入出力装置。

Claims (8)

1. 利用者を識別する利用者識別子と、前記利用者が所属する組織を識別する組織識別子と、前記利用者識別子が有効な期間を示す有効期間とを対応付けて利用者情報として記憶する利用者情報記憶部と、
   前記組織識別子と、前記組織識別子により識別される前記組織が採用する組織標準時とを対応付けて組織情報として記憶する組織情報記憶部と、
   前記利用者識別子の認証を要求する認証要求を受け付ける要求受付部と、
   前記利用者識別子に基づいて、前記利用者情報から前記利用者識別子に対応する前記組織識別子と前記有効期間とを取得し、取得した前記組織識別子に基づいて、前記組織情報から前記組織が採用する前記組織標準時を取得する情報取得部と、
   前記組織標準時に基づいて、前記要求受付部により前記認証要求が受け付けられた受付日時を、前記組織標準時で表した組織標準時受付日時に変換する日時変換部と、
   前記組織標準時受付日時と前記有効期間とに基づいて、前記利用者識別子が有効であるか否かを判定する判定部と
   を備えることを特徴とする認証システム。
2. 前記利用者情報記憶部は、
   前記有効期間として、前記有効期間の開始日と終了日とを含み、
   前記判定部は、
   前記組織標準時受付日時が前記開始日から前記終了日までの範囲内か否かを処理装置により判断し、前記組織標準時受付日時が前記開始日から前記終了日までの範囲内である場合に、前記利用者識別子が有効であると判定する
   ことを特徴とする請求項１に記載の認証システム。
3. 前記要求受付部は、
   基本標準時で表された前記認証要求を受け付け、
   前記組織情報記憶部は、さらに、
   前記組織識別子に、前記基本標準時と前記組織標準時との時差を対応付けて記憶し、
   前記日時変換部は、
   前記時差に基づいて、前記受付日時を前記組織標準時受付日時に変換する
   ことを特徴とする請求項１または２に記載の認証システム。
4. 前記組織情報記憶部は、さらに、
   前記組織識別子に、前記組織が夏時間を採用する期間である夏時間期間と、前記組織が前記夏時間期間の場合における前記基本標準時と前記組織標準時との時差である夏時間時差とを対応付けて記憶し、
   前記日時変換部は、
   前記組織標準時受付日時が前記夏時間期間の範囲内であるか否かを判定し、前記組織標準時受付日時が前記夏時間期間の範囲内である場合に、前記夏時間時差に基づいて前記受付日時を変換し、変換した受付日時を前記組織標準時受付日時とする
   ことを特徴とする請求項３に記載の認証システム。
5. 前記組織情報記憶部は、さらに、
   前記組織識別子に、前記有効期間の開始日に用いる開始時間と、前記有効期間の終了日に用いる終了時間とを対応付けて記憶し、
   前記判定部は、
   前記組織標準時受付日時と前記有効期間と前記開始時間と前記終了時間とに基づいて、前記利用者識別子が有効であるか否かを判定する
   ことを特徴とする請求項１〜４のいずれかに記載の認証システム。
6. 利用者を識別する利用者識別子の認証を要求する認証要求を受け付ける要求受付部と、
   前記利用者識別子に基づいて、前記利用者識別子が有効である有効期間と、前記利用者が所属する組織が採用する組織標準時とを取得する情報取得部と、
   前記情報取得部により取得された前記組織標準時に基づいて、前記要求受付部により前記認証要求が受け付けられた受付日時を、前記組織標準時で表した組織標準時受付日時に変換する日時変換部と、
   前記組織標準時受付日時と前記有効期間とに基づいて、前記利用者識別子が有効であるか否かを判定する判定部と
   を備えることを特徴とする認証装置。
7. 利用者情報記憶部が、利用者を識別する利用者識別子と、前記利用者が所属する組織を識別する組織識別子と、前記利用者識別子が有効な期間を示す有効期間とを対応付けて利用者情報として記憶し、
   組織情報記憶部が、前記組織識別子と、前記組織識別子により識別される前記組織が採用する組織標準時とを対応付けて組織情報として記憶し、
   要求受付部が、前記利用者識別子の認証を要求する認証要求を受け付け、
   情報取得部が、前記利用者識別子に基づいて、前記利用者情報から前記利用者識別子に対応する前記組織識別子と前記有効期間とを取得し、取得した前記組織識別子に基づいて、前記組織情報から前記組織が採用する前記組織標準時を取得し、
   日時変換部が、前記組織標準時に基づいて、前記要求受付部により前記認証要求が受け付けられた受付日時を、前記組織標準時で表した組織標準時受付日時に変換し、
   判定部が、前記組織標準時受付日時と前記有効期間とに基づいて、前記利用者識別子が有効であるか否かを判定することを特徴とする認証システムの認証方法。
8. 利用者を識別する利用者識別子の認証を要求する認証要求を受け付ける要求受付処理と、
   前記認証要求に含まれる前記利用者識別子に基づいて、前記利用者識別子が有効である有効期間と、前記利用者が所属する組織が採用する組織標準時とを取得する情報取得処理と、
   前記情報取得処理により取得された前記組織標準時に基づいて、前記要求受付処理により前記認証要求が受け付けられた受付日時を、前記組織標準時で表した組織標準時受付日時に変換する日時変換処理と、
   前記組織標準時受付日時と前記有効期間とに基づいて、前記利用者識別子が有効であるか否かを判定する判定処理と
   をコンピュータに実行させるプログラム。

Images