JP2016053975A - シンクライアントシステム - Google Patents

Abstract

【課題】開発労力、コストを軽減し、かつ、セキュリティが高いシンクライアントシステムを提供することを目的とする。【解決手段】シンクライアントシステム１０は、１台の端末１２と、前記端末１２が無線接続するセッション管理装置２２と、前記セッション管理装置２２と接続するアプリケーションサーバ１８とを備える。前記セッション管理装置は、シンクライアントＯＳが起動する仮想サーバ２８と、前記端末１２の前記仮想サーバ２８への接続の可否と、前記端末１２の前記アプリケーションサーバ１８への接続の可否とを判断する制御部２４とを有する。仮想サーバ２８は、前記端末１２が前記仮想サーバ２８へ接続するための第１認証情報と、前記アプリケーションサーバ１８へ接続するための暗号化された個別接続データとが記憶される使用者情報テーブル３０を有する。【選択図】図１

Description

本発明は、１台の端末と、前記端末が無線接続するセッション管理装置と、前記セッション管理装置と接続するアプリケーションサーバとを備えるシンクライアントシステムに関する。

近年、ワークスタイルの変化に伴い、社外において社内と同様の仕事環境を実現するためにシンクライアントが利用されてきている。また、社内情報の漏洩等を防ぐためにも、利用者を特定する認証キーを用いたシンクライアントが利用されている（特許文献１、２）。

サーバベース方式のシンクライアントでは、シンクライアントである端末による遠隔操作により、アプリケーションの実行等の処理がシンクライアントサーバにおいて行われ、シンクライアントサーバによる処理結果が、端末に表示される（特許文献３）。

特開２０１０−９２２４０号公報 特開２０１０−２１１４０６号公報 特開２０１０−２３１４３０号公報

特許文献３のシンクライアントシステムでは、各端末が、同じＯＳを備える端末であれば、シンクライアントサーバに接続するためのアプリケーションを共通にすることができる。しかしながら、各端末のＯＳが異なる場合には、端末のＯＳ毎にシンクライアントサーバに接続するためのアプリケーションを開発し、又は、ＯＳを改造することが必要となり、開発のための労力、コストがかかるという問題があった。

本発明は、上記の課題を考慮してなされたものであって、開発労力、コストを軽減し、かつ、セキュリティが高いシンクライアントシステムを提供することを目的とする。

本発明に係るシンクライアントシステムは、１台の端末と、前記端末が無線接続するセッション管理装置と、前記セッション管理装置と接続するアプリケーションサーバとを備え、前記セッション管理装置は、シンクライアントＯＳが起動する仮想サーバと、前記端末の前記仮想サーバへの接続の可否と、前記端末の前記アプリケーションサーバへの接続の可否とを判断する制御部とを有し、前記仮想サーバは、前記端末が前記仮想サーバへ接続するための第１認証情報と、前記アプリケーションサーバへ接続するための暗号化された個別接続データとが記憶される使用者情報テーブルを有し、前記制御部は、前記端末から第２認証情報を取得し、前記使用者情報テーブルに記憶されている前記第１認証情報と照合し、一致した場合に前記端末の前記仮想サーバへの接続を許可し、前記制御部が、前記端末から前記個別接続データを復号するための復号パスワードを取得し、前記使用者情報テーブルに記憶されている前記個別接続データが前記復号パスワードによって復号できた場合に、前記端末による前記アプリケーションサーバの遠隔操作が可能となることを特徴とする。

前記シンクライアントシステムにおいて、前記端末が、ルーティング機能を有するスマートフォンである場合に、前記端末は、コントローラによって実行され、前記セッション管理装置からの命令を受け付けるアプリケーションが格納されるメモリを有し、前記コントローラは、前記アプリケーションを実行して、前記セッション管理装置から前記端末の加入者を特定する認証情報である端末認証キーの取得命令を受け付け、前記端末認証キーを前記セッション管理装置に対して送信し、前記セッション管理装置が取得することを特徴とする。

本発明のシンクライアントシステムによれば、シンクライアントの機能を仮想サーバで実現することにより、開発労力、コストを軽減し、かつ、セキュリティが高いシンクライアントシステムを提供することができる。また、端末の仮想サーバへの接続を使用者情報テーブルに記憶されている認証情報に基づいて照合するとともに、使用者情報テーブルに記憶されている個別接続データが復号パスワードによって復号できた場合に、端末によるアプリケーションサーバの遠隔操作を可能とすることにより、シンクライアントシステムのセキュリティを高くすることができる。

また、端末が、ルーティング機能を有するスマートフォンである場合に、端末は、コントローラによって実行され、セッション管理装置からの命令を受け付けるアプリケーションが格納されるメモリを有し、コントローラは、アプリケーションを実行して、セッション管理装置から端末の加入者を特定する認証情報である端末認証キーの取得命令を受け付け、端末認証キーをセッション管理装置に対して送信し、セッション管理装置が取得する。これにより、セッション管理装置との通信においてＡＴコマンドを用いることができない端末の端末認証キーを用いて、仮想サーバへの接続を可能とし、アプリケーションサーバの遠隔操作を可能とすることができる。

本発明の実施形態に係るシンクライアントシステムの説明図である。 使用者情報テーブルの説明図である。 本発明の実施形態に係るシンクライアントシステムの処理手順の説明図である。 スマートフォンである端末についての説明図である。 端末がスマートフォンである場合の処理手順の説明図である。

以下、本発明の実施形態について図面を参照して説明する。図１は、本発明の実施形態に係るシンクライアントシステム１０の説明図であり、図２は、使用者情報テーブル３０の説明図であり、図３は、本発明の実施形態に係るシンクライアントシステム１０の処理手順の説明図である。

＜シンクライアントシステム１０の構成の説明＞
シンクライアントシステム１０は、端末１２と、ＶＰＮ（Virtual Private Network）１４と、ファイアウォール１６と、アプリケーションサーバ１８と、セッション管理装置２２とを備える。

端末１２は、通信機能を有する端末である。端末１２は、後述するセッション管理装置２２の通信部２６と無線通信を行う。無線通信方式として、ＩＥＥＥ８０２．１１ｘで規格される無線通信方式であるＷｉ−Ｆｉや、ＩＥＥＥ８０２．１５で規格される無線通信方式であるＢｌｕｅｔｏｏｔｈ（登録商標）を用いることができる。ファイアウォール１６は、アプリケーションサーバ１８に対する不正アクセスを防ぐファイアウォールである。アプリケーションサーバ１８は、アプリケーションの実行、ファイルの入出力、データ保存等の処理を行うサーバである。アプリケーションサーバ１８は、ＶＰＮ１４との間にファイアウォール１６が設けられ、ＤＭＺ（demilitarized zone）２０に設置されている。

セッション管理装置２２は、制御部２４と、通信部２６と、仮想サーバ２８とを備える。アプリケーションサーバ１８と通信部２６とは、ファイアウォール１６を介してＶＰＮ（Virtual Private Network）１４で接続されている。

制御部２４は、セッション管理装置２２の全体の制御を行う制御部である。通信部２６は、端末１２との通信処理、アプリケーションサーバ１８との通信処理を行う。

仮想サーバ２８は、シンクライアントＯＳが起動する仮想サーバである。仮想サーバ２８は、端末１２の接続の可否、アプリケーションサーバ１８への接続の可否等に関する情報が記憶される使用者情報テーブル３０を備える。具体的には、使用者情報テーブル３０には、仮想サーバ２８へ接続するための認証情報（第１認証情報）である使用者ＩＤ及び使用者パスワードと、アプリケーションサーバ１８へ接続するための接続パスワード等の暗号化された個別接続データと、個別接続データの暗号を復号するための復号パスワードと、個別接続データへの読出状態とが記憶される。図２に示されるように、例えば、使用者ＩＤがＩａである場合には、使用者パスワード、個別接続データ、復号パスワードとして、この順番にＩａ、Ｐａ、Ｓａ、Ｄａが使用者情報テーブル３０に記憶されている。端末１２の使用者毎に、使用者ＩＤ等が設定され、使用者情報テーブル３０に記憶されている。なお、端末１２がスマートフォン（使用者ＩＤがＩｅ）の場合には、後述するように使用者パスワードが設定されない場合と、使用者ＩＤと同一の使用者パスワードが設定される場合とがある。また、シンクライアントシステム１０では、仮想サーバ２８が１台であることから、セッション管理装置２２へ接続できる端末１２は１台であり、複数台の端末１２の同時接続はできない。また、使用者ＩＤは同一の端末に対して、使用者毎に異なる使用者ＩＤ等を付与してもよく、また、異なる端末１２毎に異なる使用者ＩＤ等を付与してもよい。

＜シンクライアントシステム１０の動作の説明＞
次に、シンクライアントシステム１０の動作について、図３を用いて説明する。図３は、本発明の実施形態に係るシンクライアントシステム１０の処理手順の説明図である。

使用者は、端末１２によって無線接続でセッション管理装置２２に接続する（ステップＳ１）。セッション管理装置２２の制御部２４は、通信部２６より端末１２に対して仮想サーバ２８への接続のための認証情報（第２認証情報）として、使用者ＩＤ及び使用者パスワードの入力を求める旨を送信する。端末１２には、表示画面に前記入力を求める旨が表示される。端末１２の使用者が、使用者ＩＤ及び使用者パスワードを入力し、入力された使用者ＩＤ及び使用者パスワードがセッション管理装置２２へ送信される。制御部２４は、認証情報として、使用者ＩＤ及び使用者パスワードを取得する（ステップＳ２）。

制御部２４は、端末１２から送信されてきた使用者ＩＤ及び使用者パスワードと、使用者情報テーブル３０に記憶されている使用者ＩＤ及び使用者パスワードとを照合する（ステップＳ３）。端末１２から送信されてきた使用者ＩＤ及び使用者パスワードが各々Ｉａ、Ｐａであるならば、制御部２４は照合が一致したと判断し（ステップＳ３ ＹＥＳ）、端末１２の個別接続データＳａが読み出される。使用者ＩＤ及び使用者パスワードが一致しなかった場合には、再度の使用者ＩＤ及び使用者パスワードの入力が求められる（ステップＳ３ ＮＯ）。

制御部２４は、個別接続データＳａが暗号化されているために、端末１２に対して、個別接続データＳａを復号化するための復号パスワードの入力を求める旨を送信する。端末１２には、表示画面に前記入力を求める旨が表示される。端末１２の使用者は、復号パスワードを入力し、セッション管理装置２２へ送信する。制御部２４は、端末１２から送信されてきた復号パスワードと、使用者情報テーブル３０に記憶されている端末１２の復号パスワードとを照合する（ステップＳ４）。

端末１２から送信されてきた復号パスワードがＤａであるならば、制御部２４は照合が一致したと判断し（ステップＳ４ ＹＥＳ）、個別接続データＳａが復号化され、仮想サーバ２８を介して、アプリケーションサーバ１８の使用が許可される。アプリケーションサーバ１８の使用許可により、端末１２はアプリケーションサーバ１８の遠隔操作が可能となる（ステップＳ５）。復号パスワードが一致しなかった場合には、再度の復号パスワードの入力が求められる（ステップＳ４ ＮＯ）。

次に、端末１２がアプリケーションサーバ１８に接続する場合について、説明する。端末として、スマートフォンを用いた場合には、外部装置から携帯端末に記憶されている認証キーを取得することができない。スマートフォンでは、シンクライアントのような外部装置からＡＴコマンドを用いた制御をすることができないためである。

図４は、端末１２がスマートフォンである端末についての説明図であり、図５は、端末１２がスマートフォンである場合の処理手順の説明図である。

端末１２は、コントローラ３２と、ＵＳＩＭ（Universal Subscriber Identity Module）３４と、メモリ３８とを備える。

コントローラ３２は、端末１２の全体の制御を行う制御部である。ＵＳＩＭ３４は、電話番号等の端末１２の加入者を特定するユニークな加入者情報である端末認証キー３６が記憶されたメモリモジュールである。メモリ３８には、コントローラ３２において実行され、セッション管理装置２２からの命令を端末１２で受け付けるアプリケーション４０が格納されている。アプリケーション４０は、例えば、java言語で記述されたjavaアプリケーションである。

まず、端末１２において、メモリ３８内のアプリケーション４０がコントローラ３２によって実行される（ステップＳ１１）。アプリケーション４０が実行されることにより、セッション管理装置２２からの命令を端末１２で受け付けることが可能となり、また、デーモンの起動が許可される状態が形成される。

使用者は、端末１２によって無線接続でセッション管理装置２２に接続する（ステップＳ１２）。

制御部２４は、端末１２に対して、端末１２の端末認証キー３６を要求する旨の命令を送信する。端末１２では、アプリケーション４０が実行されているために、コントローラ３２は、制御部２４からの命令を受け付けることができる。コントローラ３２は、前記命令を受け付けて、端末認証キー３６を取得するためのデーモンを起動する。コントローラ３２は、起動したデーモンを実行して、ＵＳＩＭ３４から端末認証キー３６を取得し、セッション管理装置２２に送信する。制御部２４は、端末認証キー３６を受信し、取得が完了する（ステップＳ１３）。

この先、ステップＳ１４は、基本的に上述したステップＳ３と同様であり、以下、ステップＳ１５はステップＳ４、ステップＳ１６はステップＳ５と同様の処理がされる。

但し、ステップＳ１４においては、ステップＳ３と一部処理手順が異なる。端末１２の端末認証キー３６は、使用者情報テーブル３０において、使用者ＩＤ（Ｉｅ）として扱われる。ここで、端末認証キー３６はユニークであるので、使用者情報テーブル３０には、端末１２の使用者パスワードは設定されていない。従って、ステップＳ１４において、使用者情報テーブル３０に記憶されている使用者ＩＤと端末認証キー３６とが一致すれば、認証情報が一致したとして処理される。

なお、端末１２がスマートフォンの場合には、端末認証キー３６はユニークであるので、使用者情報テーブル３０において使用者ＩＤと使用者パスワードとが同一に設定される場合がある。かかる場合には、端末認証キー３６が使用者ＩＤ及び使用者パスワードとして取り扱われ、照合処理がされる。

以上説明したように、シンクライアントシステム１０は、１台の端末１２と、前記端末１２が無線接続するセッション管理装置２２と、前記セッション管理装置２２と接続するアプリケーションサーバ１８とを備える。前記セッション管理装置２２は、シンクライアントＯＳが起動する仮想サーバ２８と、前記端末１２の前記仮想サーバ２８への接続の可否と、前記端末１２の前記アプリケーションサーバ１８への接続の可否とを判断する制御部２４とを有する。仮想サーバ２８は、前記端末１２が前記仮想サーバ２８へ接続するための第１認証情報と、前記アプリケーションサーバ１８へ接続するための暗号化された個別接続データとが記憶される使用者情報テーブル３０を有する。前記制御部２４は、前記端末１２から第２認証情報を取得し、前記使用者情報テーブル３０に記憶されている前記第１認証情報と照合し、一致した場合に前記端末１２の前記仮想サーバ２８への接続を許可し、前記制御部２４が、前記端末１２から前記個別接続データを復号するための復号パスワードを取得し、前記使用者情報テーブル３０に記憶されている前記個別接続データが前記復号パスワードによって復号できた場合に、前記端末１２による前記アプリケーションサーバ１８の遠隔操作が可能となる。

シンクライアントシステム１０によれば、シンクライアントの機能を仮想サーバ２８で実現することにより、開発労力、コストを軽減し、かつ、セキュリティが高いシンクライアントシステムを提供することができる。また、端末１２の仮想サーバ２８への接続を使用者情報テーブル３０に記憶されている認証情報に基づいて照合するとともに、使用者情報テーブル３０に記憶されている個別接続データが復号パスワードによって復号できた場合に、端末１２によるアプリケーションサーバ１８の遠隔操作を可能とすることにより、シンクライアントシステムのセキュリティを高くすることができる。

また、仮想サーバ２８は、端末１２とアプリケーションサーバ１８とを中継する中継サーバとしての役割を備える。さらに、仮想サーバ２８は、シンクライアントＯＳが起動する仮想サーバであって、シンクライアントとして機能するので、端末１２というクラインアントの機能を代理する代理クライアントとしての役割も備える。

さらに、端末１２が、ルーティング機能を有するスマートフォンである場合に、端末１２は、コントローラ３２によって実行され、セッション管理装置２２からの命令を受け付けるアプリケーションが格納されるメモリを有し、コントローラ３２は、アプリケーションを実行して、セッション管理装置２２から端末１２の加入者を特定する認証情報である端末認証キー３６の取得命令を受け付け、端末認証キー３６をセッション管理装置２２に対して送信し、セッション管理装置２２が取得する。これにより、セッション管理装置２２との通信においてＡＴコマンドを用いることができない端末１２の端末認証キー３６を用いて、仮想サーバ２８への接続を可能とし、アプリケーションサーバ１８の遠隔操作を可能とすることができる。

なお、本発明は、上述の実施形態に限らず、本発明の要旨を逸脱することなく、種々の構成を採り得ることはもちろんである。

１０…シンクライアントシステム
１２…端末
１４…ＶＰＮ
１６…ファイアウォール
１８…アプリケーションサーバ
２０…ＤＭＺ
２２…セッション管理装置
２４…制御部
２６…通信部
２８…仮想サーバ
３０…使用者情報テーブル
３２…コントローラ
３４…ＵＳＩＭ
３６…端末認証キー
３８…メモリ
４０…アプリケーション

Claims (2)

1. １台の端末と、
   前記端末が無線接続するセッション管理装置と、
   前記セッション管理装置と接続するアプリケーションサーバとを備え、
   前記セッション管理装置は、
   シンクライアントＯＳが起動する仮想サーバと、
   前記端末の前記仮想サーバへの接続の可否と、前記端末の前記アプリケーションサーバへの接続の可否とを判断する制御部とを有し、
   前記仮想サーバは、前記端末が前記仮想サーバへ接続するための第１認証情報と、前記アプリケーションサーバへ接続するための暗号化された個別接続データとが記憶される使用者情報テーブルを有し、
   前記制御部は、前記端末から第２認証情報を取得し、前記使用者情報テーブルに記憶されている前記第１認証情報と照合し、一致した場合に前記端末の前記仮想サーバへの接続を許可し、
   前記制御部が、前記端末から前記個別接続データを復号するための復号パスワードを取得し、前記使用者情報テーブルに記憶されている前記個別接続データが前記復号パスワードによって復号できた場合に、前記端末による前記アプリケーションサーバの遠隔操作が可能となることを特徴とするシンクライアントシステム。
2. 請求項１記載のシンクライアントシステムにおいて、
   前記端末が、ルーティング機能を有するスマートフォンである場合に、
   前記端末は、コントローラによって実行され、前記セッション管理装置からの命令を受け付けるアプリケーションが格納されるメモリを有し、
   前記コントローラは、前記アプリケーションを実行して、前記セッション管理装置から前記端末の加入者を特定する認証情報である端末認証キーの取得命令を受け付け、前記端末認証キーを前記セッション管理装置に対して送信し、前記セッション管理装置が取得することを特徴とするシンクライアントシステム。

Images