JP2017107396A5 - - Google Patents

Claims (18)

1. 情報処理装置と、ネットワークを介してサービスを提供するサービス提供装置と、認可サーバとを含み、前記情報処理装置をクライアントとして前記認可サーバに登録する権限委譲システムであって、
   前記情報処理装置は、
   前記認可サーバへの第１のクライアントの登録に応じて前記認可サーバから提供された第１の認証情報を基に、第２のクライアントを作成するユーザの権限が前記第１のクライアントへ委譲されたことを示す第１の認可情報の取得要求をする第１の取得要求手段と、
   前記第１の取得要求手段による前記取得要求によって前記第１の認可情報が取得されたことに応じて、前記認可サーバへの前記第２のクライアントの登録要求をする登録要求手段と、を有し、
   前記認可サーバは、
   前記登録要求とともに送信された前記第１の認可情報を基に前記ユーザのテナントを特定し、特定された前記テナントと新たに登録する前記第２のクライアントとを紐付けて管理する管理手段と、
   前記テナントと紐付けて管理される前記第２のクライアントに対応する第２の認証情報を発行する発行手段と、を有し、
   さらに、前記情報処理装置は、
   前記登録要求による前記第２のクライアントの登録に応じて前記認可サーバから提供された前記第２の認証情報を基に、特定の権限が前記第２のクライアントに委譲されたことを示す第２の認可情報の取得要求をする第２の取得要求手段と、
   前記第２の取得要求手段による前記取得要求によって取得された前記第２の認可情報を基に、前記サービス提供装置のサービスを利用する利用手段とを有し、
   前記サービス提供装置は、前記第２の認可情報を基に特定された前記テナントを確認し、サービスの提供に関するデータを確認された前記テナントに紐付けて保存する保存手段を有する
   ことを特徴とする権限委譲システム。
2. 前記認可サーバは、
   前記第１の認可情報の取得要求に応じて、前記ユーザが操作する端末に対して認可確認画面データを送信する画面送信手段と、
   前記端末にて表示される認可確認画面を介し、前記ユーザが前記第２のクライアントを作成する権限を前記第１のクライアントに委譲することを許可する指示をした場合、前記第１の認可情報を提供する第１の提供手段と、
   前記第２の取得要求手段からの前記取得要求に応じて、前記第２の認可情報を提供する第２の提供手段と、
   前記利用手段による前記サービス提供装置のサービスの利用の際に送信される前記第２の認可情報を基に、前記利用手段が前記特定の権限で前記サービス提供装置のサービスを利用することを認可するか否かを検証する認可手段と、を有する
   ことを特徴とする請求項１に記載の権限委譲システム。
3. 前記認可サーバへの第１のクライアントの登録は、前記ユーザのテナントの情報を含んでいない登録要求によってなされる
   ことを特徴とする請求項１または請求項２に記載の権限委譲システム。
4. 前記認可サーバは、少なくとも前記第２のクライアントと前記テナントとに紐付けられる前記第２の認可情報を記憶する記憶手段を有する
   ことを特徴とする請求項１乃至３のいずれか１項に記載の権限委譲システム。
5. 前記利用手段は、前記サービスの利用時に前記サービス提供装置に送信するデータに個人情報を含むかを判断し、前記データに個人情報を含む場合に、前記第２の認可情報を基に、前記サービス提供装置のサービスを利用する
   ことを特徴とする請求項１乃至４のいずれか１項に記載の権限委譲システム。
6. 前記利用手段は、前記データに個人情報を含む場合に、前記データが前記認可サーバのユーザに関連するデータであるかを判断し、前記データが前記認可サーバのユーザに関連するデータでない場合に、前記第２の認可情報を基に、前記サービス提供装置のサービスを利用する
   ことを特徴とする請求項５に記載の権限委譲システム。
7. 前記利用手段は、前記データに個人情報を含まない場合に、前記認可サーバに登録される前記情報処理装置とテナントとに紐付く認可情報と、前記サービス提供装置に登録される前記情報処理装置に紐付くテナントとを利用する第一の方式で、前記サービス提供装置のサービスを利用する
   ことを特徴とする請求項５または請求項６に記載の権限委譲システム。
8. 前記情報処理装置が、前記情報処理装置を示すデバイスシリアルＩＤとともに、前記テナントを示すテナントＩＤに紐付くキーを前記サービス提供装置に送信することで、前記テナントが前記情報処理装置と紐付けられて前記サービス提供装置に登録される
   ことを特徴とする請求項７に記載の権限委譲システム。
9. 前記利用手段は、
   前記データが前記認可サーバのユーザに関連するデータである場合に、前記サービス提供装置のサービスに関する権限を前記情報処理装置に委譲したユーザに紐付く認可情報を利用する第二の方式で、前記サービス提供装置のサービスを利用する
   ことを特徴とする請求項６に記載の権限委譲システム。
10. 前記利用手段は、
    前記データが前記認可サーバのユーザに関連するデータである場合に、前記ユーザが前記情報処理装置にログインしているかを判断し、
    前記ユーザが前記情報処理装置にログインしていない場合に、前記第二の方式のうち、前記権限の委譲によって前記情報処理装置にアプリケーションＩＤに紐付けて保存されるリフレッシュトークンのリフレッシュ要求に起因して発行される認可情報を用いる方式で、前記サービス提供装置のサービスを利用する
    ことを特徴とする請求項９に記載の権限委譲システム。
11. 前記利用手段は、
    前記データが前記認可サーバのユーザに関連するデータである場合に、前記ユーザが前記情報処理装置にログインしているかを判断し、
    前記ユーザが前記情報処理装置にログインしている場合に、前記第二の方式のうち、前記権限の委譲によって前記情報処理装置にログインコンテキストに紐付けて保存されるリフレッシュトークンのリフレッシュ要求に起因して発行される認可情報を用いる方式で、前記サービス提供装置のサービスを利用する
    ことを特徴とする請求項９に記載の権限委譲システム。
12. 前記第１の認可情報の取得要求は、前記第１のクライアントを示すクライアントＩＤとシークレットとを有する前記第１の認証情報を含み、
    前記第２の認可情報の取得要求は、前記第２のクライアントを示すクライアントＩＤとシークレットとを有する前記第２の認証情報を含む
    ことを特徴とする請求項１乃至１１のいずれか１項に記載の権限委譲システム。
13. ネットワークを介して認可サーバにクライアントとして登録され、サービス提供装置が提供するサービスを利用する情報処理装置であって、
    前記認可サーバへの第１のクライアントの登録に応じて前記認可サーバから提供された第１の認証情報を基に、第２のクライアントを作成するユーザの権限が前記第１のクライアントへ委譲されたことを示す第１の認可情報の取得要求をする第１の取得要求手段と、
    前記第１の取得要求手段による前記取得要求によって前記第１の認可情報が取得されたことに応じて、前記認可サーバへの前記第２のクライアントの登録要求をする登録要求手段と、を有し、
    前記認可サーバによって、前記登録要求とともに送信された前記第１の認可情報を基に特定される前記ユーザのテナントと新たに登録する前記第２のクライアントとが紐付けて管理され、前記テナントと紐付けて管理される前記第２のクライアントに対応する第２の認証情報が発行され、
    さらに、前記情報処理装置は、前記登録要求による前記第２のクライアントの登録に応じて前記認可サーバから提供された前記第２の認証情報を基に、特定の権限が前記第２のクライアントに委譲されたことを示す第２の認可情報の取得要求をする第２の取得要求手段と、
    前記第２の取得要求手段による前記取得要求によって取得された前記第２の認可情報を基に、前記サービス提供装置のサービスを利用する利用手段と、を有する
    ことを特徴とする情報処理装置。
14. 前記認可サーバへの前記第１のクライアントの登録は、前記ユーザのテナントの情報を含んでいない登録要求によってなされる
    ことを特徴とする請求項１３に記載の情報処理装置。
15. 情報処理装置をクライアントとして登録し、前記情報処理装置がネットワークを介してサービス提供装置が提供するサービスを利用するための認可処理を行う認可サーバであって、
    前記情報処理装置からの第１のクライアントの登録要求に応じて前記第１のクライアントを登録するとともに、第１の認証情報を発行する第１の発行手段と、
    前記第１の認証情報を提供された前記情報処理装置が実行する、第２のクライアントを作成するユーザの権限が前記情報処理装置へ委譲されたことを示す第１の認可情報の取得要求に応じて、前記第１の認可情報を前記情報処理装置に提供する第１の提供手段と、
    前記第１の認可情報を提供された前記情報処理装置が実行する、前記第２のクライアントの登録要求に応じて、前記登録要求とともに送信された前記第１の認可情報を基に前記ユーザのテナントを特定し、特定された前記テナントと新たに登録する前記第２のクライアントとを紐付けて管理する管理手段と、
    前記テナントと紐付けて管理される前記第２のクライアントに対応する第２の認証情報を発行する第２の発行手段と、
    前記情報処理装置からの、前記第２のクライアントの登録に応じて提供される前記第２の認証情報を基にした、特定の権限が前記情報処理装置に委譲されたことを示す第２の認可情報の取得要求に応じて、前記第２の認可情報を前記情報処理装置に提供する第２の提供手段と、を有し、
    前記情報処理装置によって、前記第２の認可情報を基に、前記サービス提供装置のサービスが利用される
    ことを特徴とする認可サーバ。
16. 前記認可サーバへの前記第１のクライアントの登録は、前記ユーザのテナントの情報を含んでいない登録要求によってなされる
    ことを特徴とする請求項１５に記載の認可サーバ。
17. 情報処理装置をクライアントとして登録し、前記情報処理装置がネットワークを介してサービス提供装置が提供するサービスを利用するための認可処理を行う認可サーバの制御方法であって、
    前記情報処理装置からの第１のクライアントの登録要求に応じて前記第１のクライアントを登録するとともに、第１の認証情報を発行する第１の発行工程と、
    前記第１の認証情報を提供された前記情報処理装置が実行する、第２のクライアントを作成するユーザの権限が前記情報処理装置へ委譲されたことを示す第１の認可情報の取得要求に応じて、前記第１の認可情報を前記情報処理装置に提供する第１の提供工程と、
    前記第１の認可情報を提供された前記情報処理装置が実行する、前記第２のクライアントの登録要求に応じて、前記登録要求とともに送信された前記第１の認可情報を基に前記ユーザのテナントを特定し、特定された前記テナントと新たに登録する前記第２のクライアントとを紐付けて管理する管理工程と、
    前記テナントと紐付けて管理される前記第２のクライアントに対応する第２の認証情報を発行する第２の発行工程と、
    前記情報処理装置からの、前記第２のクライアントの登録に応じて提供される前記第２の認証情報を基にした、特定の権限が前記情報処理装置に委譲されたことを示す第２の認可情報の取得要求に応じて、前記第２の認可情報を前記情報処理装置に提供する第２の提供工程と、を有し、
    前記情報処理装置によって、前記第２の認可情報を基に、前記サービス提供装置のサービスが利用される
    ことを特徴とする制御方法。
18. コンピュータに請求項１７に記載の制御方法を実行させることを特徴とするプログラム。