JP2017107343A5 - - Google Patents

Claims (8)

1. ユーザーが認可操作を行ったことでアプリケーションサーバーを利用する権限がクライアントデバイスに委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として登録する前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに認可トークン生成リクエストを受信する手段と、
   前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納する手段と、
   前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答する応答手段と
   を有することを特徴とする認可サーバー。
2. 前記代表トークン情報には、前記代表クライアントの識別情報と、該代表クライアントのテナントの識別情報とを含み、
   前記応答手段は、前記代表クライアントのテナントの識別情報を、前記認可トークン情報の一部として応答することを特徴とする請求項１に記載の認可サーバー。
3. 前記ローカルユーザー情報は、ローカル認証サーバーにより認証されたユーザーのアクセス可能なドメインを示す情報と、前記ドメインにおけるユーザー識別情報とを含むことを特徴とする請求項１又は２に記載の認可サーバー。
4. 前記認可トークン検証リクエストは、前記認可トークンと共に前記クライアントデバイスから処理のリクエストを受け付けたアプリケーションサーバーから受信され、
   前記ローカルユーザー情報は、前記アプリケーションサーバーにより、前記処理のリクエストの要求元のユーザーの識別のために用いられることを特徴とする請求項３に記載の認可サーバー。
5. 認可サーバーとアプリケーションサーバーとクライアントデバイスとを含む認証連携システムであって、
   前記クライアントデバイスは、
   ユーザーが認可操作を行ったことで前記アプリケーションサーバーを利用する権限が委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として格納し、
   前記認可サーバーに対して、ログインしたユーザーのローカルユーザー情報および前記代表トークン情報とともに認可トークン生成リクエストを送信し、
   前記認可トークン生成リクエストに応じて第２の認可トークンを受信した場合、前記第２の認可トークンとともに、処理のリクエストをアプリケーションサーバーに送信し、
   前記認可サーバーは、
   前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに前記認可トークン生成リクエストを受信し、
   前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して前記第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納し、
   前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答し、
   前記アプリケーションサーバーは、
   前記クライアントデバイスから前記第２の認可トークンとともに処理のリクエストを受信すると、前記認可サーバーに対して前記認可トークン検証リクエストを送信し、前記認可トークン検証リクエストが成功した応答として、前記第２の認可トークンと関連付けられた前記ローカルユーザー情報を含む前記認可トークン情報を受信し、
   前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理する
   ことを特徴とする認証連携システム。
6. 前記代表トークン情報には、クライアントデバイスの識別情報と、該クライアントデバイスのテナントの識別情報とを含み、
   前記認可サーバーは、検証が成功した前記認可トークンの生成を要求したクライアントのテナントの識別情報を、前記認可トークン情報の一部として応答し、
   前記アプリケーションサーバーは、前記テナントの識別情報に応じて設定されたローカル認証連携モードがセットされている場合に、前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理することを特徴とする請求項５に記載の認証連携システム。
7. コンピュータを、
   代表クライアントに対して発行した認可トークンが代表トークン情報として登録された、前記代表クライアントから権限の委譲を受けたクライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに認可トークン生成リクエストを受信する手段と、
   前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記認可トークンと関連付けた認可トークン情報を生成して格納する手段と、
   認可トークン検証リクエストに応じて前記認可トークン情報に基づいた認可トークンの検証が成功した場合には、検証が成功した前記認可トークンに関連付けられた前記認可トークン情報を応答する応答手段と
   して機能させるためのプログラム。
8. 認可サーバーとアプリケーションサーバーとクライアントデバイスとを含む認証連携システムにおける認証連携方法であって、
   前記クライアントデバイスが、
   ユーザーが認可操作を行ったことでアプリケーションサーバーを利用する権限が委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として格納し、
   前記認可サーバーに対して、ログインしたユーザーのローカルユーザー情報および前記代表トークン情報とともに認可トークン生成リクエストを送信し、
   前記認可トークン生成リクエストに応じて第２の認可トークンを受信した場合、前記第２の認可トークンとともに、処理のリクエストをアプリケーションサーバーに送信し、
   前記認可サーバーが、
   前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに前記認可トークン生成リクエストを受信し、
   前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して前記第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納し、
   前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答し、
   前記アプリケーションサーバーが、
   前記クライアントデバイスから前記第２の認可トークンとともに処理のリクエストを受信すると、前記認可サーバーに対して前記認可トークン検証リクエストを送信し、前記認可トークン検証リクエストが成功した応答として、前記第２の認可トークンと関連付けられた前記ローカルユーザー情報を含む前記認可トークン情報を受信し、
   前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理する
   ことを特徴とする認証連携方法。