JP2017162129A - アイデンティティ管理装置、認証処理装置、および認証システム - Google Patents

Abstract

【課題】 異なる装置間でのアカウント連携処理を行う。【解決手段】 実施形態によれば、アイデンティティ管理装置は、ユーザによって入力されたサービス識別情報が、情報格納部に予め格納されたサービス識別情報と一致する場合、アカウント情報の他装置との連携のための連携属性と、連携属性のステータスを示す連携属性フラグとを生成し、連携属性フラグを無効に設定する。さらに、ユーザが認証されたことを保証する保証情報と、連携属性とを用いて、他装置に対して、アカウント登録を要求する。この要求に応じて他装置によって生成されたアカウント登録応答を検証し、正しく検証された場合、アカウント登録応答に含まれた連携属性に対応するアカウント情報を、情報格納部から検索し、検索されたアカウント情報に対応する連携属性フラグを有効に設定することにより、アカウント情報の他装置との連携を可能とする。【選択図】図１

Description

本発明の実施形態は、ユーザのアイデンティティを管理するアイデンティティ管理装置、ユーザを認証する認証処理装置、およびこれら両装置間のアカウント連携を実現する認証システムに関する。

通常、ユーザが情報システムにおけるサービスを利用することにあたり、サービス側でユーザのアイデンティティを持つ必要がある。なぜなら、ユーザのアイデンティティは、ユーザがだれなのか、どこまでの権限があるのか、どんなプロファイルを持つのか等の情報がサービスにとって欠かせない要素であるからである。

しかし、ユーザが利用するサービスが増加することに伴い、各サービスにアイデンティティを登録するのが、ユーザにとって負担となり、セキュリティの面でも好ましくない状況になってきている。

これに対処するため、ユーザのアイデンティティを集中的に管理し、サービスにアイデンティティを要求される際に適宜提供するようなアイデンティティ管理装置が用いられている。

この種のアイデンティティ管理装置では、ユーザが本人であることを確認する必要があるので、認証機能を持っているが、利用シーンによって要求される認証の確実度が異なる場合がある。例えば、ユーザが口座の情報を単に閲覧するだけの場合、パスワードによる認証で十分であるが、決済を行う場合は、より確実度の高い生体認証が必要である等である。アイデンティティが多い認証方法に対応するのには負担がかかるが、認証機能を外部の認証処理装置に委託することで、柔軟に認証処理をサポートすることができる。

アイデンティティ管理装置が認証処理装置に認証を委託する場合は、ユーザがアイデンティティ管理装置と認証処理装置とに別々にアカウントを登録する必要がある。その際、ユーザが、それぞれの装置にアイデンティティを登録する必要がある。既にユーザがアイデンティティ管理装置にアイデンティティを登録している場合でも、認証処理装置に対してアイデンティティを登録する必要があるため、ユーザにとっては手間がかかる。

認証処理装置側としても、アイデンティティが登録された場合、登録されたアイデンティティの信頼性を確認し、正当かどうか、いわゆる本人確認を行う必要があるため、コストがかかる。

特開２０１０−１０８１１６号公報 特開２０１０−１６０７０９号公報 特開２００３−２０８４０７号公報

すなわち、従来のアイデンティティ管理装置および認証処理装置には以下のような課題がある。

すなわち、アイデンティティ管理装置と認証処理装置との間において、一方の装置に登録されているアカウントに基づいて、他方の装置に新規アカウントを登録するためには、両装置が信頼関係をもつ必要がある。

これに関しては、特許文献１のように、新規アカウントを登録される装置が、元装置からユーザのログイン情報を取得して、ユーザが本人かどうかを確認する技術もある。しかしながら、このような技術では、ユーザのログイン情報そのものを他システムに渡すことになるので、セキュリティ上、望ましくない。

また、ユーザが認証処理装置に対してアカウントを新規作成する際に、登録処理を行っているユーザが本人であるかを確認する必要がある。

これに関しては、特許文献２のように、予めユーザに紐付けられたＩＤを記憶したＩＤカードを配布し、登録時にこのＩＤカードを用いて本人確認を行う技術がある。しかしながら、ユーザに発行したＩＤを配布する際に、正しい本人であることを確認する必要がある。

特許文献３のように、ユーザが認証要素を登録する前と後に写真を撮影し、この写真を比較することで、登録された認証要素は本人のものを確認する技術もあるが、写真を２度撮らねばならないという手間が発生してしまう。

一方、認証処理装置は、登録時にユーザの本人確認を行う場合、ユーザのアイデンティティを管理することになる。このアイデンティティ情報はプライバシーに関わる場合が多いため、管理コストがかかる。

このため、アイデンティティ管理装置と認証処理装置との間でのアカウント連携を行うことによって、これら課題を解決する認証システムが求められている。

本発明が解決しようとする課題は、アイデンティティ管理装置（第１の装置）と認証処理装置（第２の装置）との間のアカウント連携を実現する認証システムと、認証システムによるアカウント連携に好適なアイデンティティ管理装置および認証処理装置と、を提供することである。

実施形態のアイデンティティ管理装置は、他装置にアカウントを登録するユーザのためのアイデンティティ情報を管理するアイデンティティ管理装置であって、情報格納部と、認証部と、連携属性生成部と、登録要求部と、検証部と、連携属性フラグ管理部とを備える。

情報格納部は、ユーザのアイデンティティ情報に含まれるアカウント情報と、前記他装置によって提供されるサービスを識別するサービス識別情報とを格納する。

認証部は、格納されたアカウント情報を用いてユーザを認証する。

連携属性生成部は、認証されたユーザによって入力されたサービス識別情報が、格納されたサービス識別情報と一致する場合、アカウント情報の他装置との連携のための連携属性と、連携属性のステータスを示す連携属性フラグとを生成し、連携属性フラグを無効に設定する。

登録要求部は、ユーザが認証されたことを保証する保証情報と、連携属性とを用いて、他装置に対して、ユーザのアカウントの登録を要求する。

検証部は、要求に応じて、他装置によって生成された、連携属性を含むアカウント登録応答を検証する。

連携属性フラグ管理部は、アカウント登録応答が正しく検証された場合、アカウント登録応答に含まれた連携属性に対応するアカウント情報を、情報格納部から検索し、検索されたアカウント情報に対応する連携属性フラグを有効に設定することにより、アカウント情報の他装置との連携を可能とする。

実施形態の認証処理装置は、他装置からのアカウント登録要求に応じてユーザのアカウントを登録するとともに、ユーザを認証する認証処理装置であり、通信部と、アカウント生成部と、情報格納部と、クレデンシャル生成部と、ユーザ認証部と、アカウント登録応答生成部とを備えてなる。

通信部は、ユーザが前記他装置によって認証されたことを保証する保証情報と、ユーザのアカウント情報の前記他装置との連携のための連携属性とが含まれた、アカウント登録要求を受信する。

アカウント生成部は、アカウント登録要求に含まれた連携属性を用いて、ユーザのアカウントを生成する。

情報格納部は、生成されたアカウントに関連付けて、連携属性を格納する。

クレデンシャル生成部は、ユーザを認証する際に利用するクレデンシャルを生成し、前記アカウントに関連付けて、前記情報格納部に格納する。

ユーザ認証部は、クレデンシャルを用いてユーザの認証を行い、認証処理内容を示す認証コンテキストを生成する。

アカウント登録応答生成部は、連携属性と前記認証コンテキストとを含むアカウント登録応答を生成する。

また、実施形態の認証システムは、前述したアイデンティティ管理装置と、認証処理装置とを備えてなる。

第１の実施形態の認証システムの構成例を示すブロック図である。 第１の実施形態の認証システムによる動作例を説明するためのシーケンス図である（１／２）。 第１の実施形態の認証システムによる動作例を説明するためのシーケンス図である（２／２）。 図２における（ＳＴ１−１）乃至（ＳＴ１−７）のアイデンティティ管理装置内の動作例を説明するための模式図である。 図３における（ＳＴ１−８）乃至（ＳＴ１−１５）の認証処理装置内の動作例を説明するための模式図である。 図３における（ＳＴ１−１６）乃至（ＳＴ１−１７）のアイデンティティ管理装置内の動作例を説明するための模式図である。 第１の実施形態におけるアイデンティティ管理装置内のユーザアカウント情報格納部に格納されるユーザアカウント情報の例を説明するための模式図である。 第１の実施形態で生成されるアカウント登録要求に含まれる情報の例を説明するための模式図である。 第１の実施形態における認証処理装置内のユーザアカウント情報格納部に格納される情報の例を説明するための模式図である。 第１の実施形態におけるアカウント登録応答に含まれる情報の例を説明するための模式図である。 第２の実施形態の認証システムの構成例を示すブロック図である。 第２の実施形態の認証システムによる動作例を説明するためのシーケンス図である。 図１２における（ＳＴ２−１３）までの認証処理装置内の動作例を説明するための模式図である。 第２の実施形態におけるアカウント登録応答に含まれる情報の例を示す模式図である。 図１２における（ＳＴ２−１４）乃至（ＳＴ２−１５）のアイデンティティ管理装置内の動作例を説明するための模式図である。 図１２における（ＳＴ２−１６）乃至（ＳＴ２−１７）の認証処理装置内の動作例を説明するための模式図である。 図１２における（ＳＴ２−１８）乃至（ＳＴ２−１９）のアイデンティティ管理装置内の動作例を説明するための模式図である。

以下に、本発明の各実施形態の認証システムを、図面を参照して説明する。

（第１の実施形態）
第１の実施形態の認証システムを図１乃至図１０を用いて説明する。

図１は、本実施形態の認証システム１０の構成例を示すブロック図である。

すなわち、本実施形態の認証システム１０は、ネットワーク２０を介して互いに接続されたアイデンティティ管理装置２００と認証処理装置３００とを備えてなる。

ネットワーク２０は、イーサネット（登録商標）等のＬＡＮ、あるいはインターネットのような公衆回線や、専用の通信回線を介して複数のＬＡＮが接続されるＷＡＮ等からなり得る。ＬＡＮの場合には、必要に応じてルータを介した多数のサブネットから構成され得る。また、ＷＡＮの場合には、公衆回線に接続するためのファイアウォール等を適宜備え得るが、ここではその図示及び詳細説明を省略する。

また、ネットワーク２０には、クライアント装置１００が接続されている。クライアント装置１００は、ユーザからの入力を受け取る機能、入力をアイデンティティ管理装置２００や認証処理装置３００に送信する機能、アイデンティティ管理装置２００や認証処理装置３００からの出力を受信する機能、出力を表示する機能を有する。

アイデンティティ管理装置２００は、通信部２１０、ユーザアカウント情報格納部２２０、ユーザ認証部２３０、認証サービス管理部２４０、連携属性生成部２５０、認証アサーション生成部２６０、アカウント登録要求生成部２７０、アサーション検証部２８０、および連携属性フラグ管理部２９０を備える。

通信部２１０は、アイデンティティ管理装置２００の内部通信機能と、ネットワーク２０を介してクライアント装置１００および認証処理装置３００と通信する機能と、を有する。

ユーザアカウント情報格納部２２０は、ユーザのアイデンティティ情報に含まれるアカウント情報の、他のサービスとの連携のための連携情報を格納する機能と、格納した情報を、アイデンティティ管理装置２００内の各部位からの要求に応じて、要求元の部位に受け渡す機能と、を有する。

ユーザ認証部２３０は、クライアント装置１００から送られたユーザの認証情報を受け取る機能と、ユーザアカウント情報格納部２２０からユーザ認証に必要な情報を受け取る機能と、これら受け取った情報を用いてユーザの認証を行う機能と、を有する。なお、ユーザ認証に必要な情報とは、後述するユーザ識別ＵＩＤ１およびクレデンシャルＣＲ１であり、これらは、ユーザアカウント情報格納部２２０に、予め格納されている。

認証サービス管理部２４０は、クライアント装置１００から送られたユーザの識別情報と、認証サービスの識別情報とを受け取る機能と、同ユーザが持つ認証サービス識別情報をユーザアカウント情報格納部２２０から取得する機能と、これら情報を用いて同ユーザの認証サービスが既に登録されているかを判定する機能と、を有する。

連携属性生成部２５０は、ユーザアカウント情報のアイデンティティ管理装置２００と認証処理装置３００の間の連携に必要な連携属性を生成する機能と、この連携属性をユーザアカウント情報格納部２２０に登録する機能と、を有する。なお、連携に必要な連携属性とは、たとえばＩＤや乱数である。

認証アサーション生成部２６０は、ユーザアカウント情報格納部２２０からユーザの認証と、アイデンティティ管理装置２００と認証処理装置３００との間の連携に関する情報を取得する機能と、認証処理装置３００にこれらの情報を送る際に、確かにアイデンティティ管理装置が送信した情報であることを確認するためのアサーション情報を生成する機能と、を有する。なお、このアサーション情報は、ＳＡＭＬ（Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）の認証アサーションが好適である。ＳＡＭＬの認証アサーションでは、ＰＫＩの電子署名の仕組みが使われ、アサーション発行者の電子署名を付与することで、アサーションの受信側では、その署名を検証することで、アサーションの発行者を確認でき、かつ、情報が改ざんされていないことを確認することが可能である。

アカウント登録要求生成部２７０は、認証アサーション生成部２６０から認証アサーションを受け取る機能と、このアサーションを用いて認証処理装置３００に対するアカウント登録要求を生成する機能と、を有する。

アサーション検証部２８０は、認証処理装置３００からアカウント登録応答を受け取る機能と、このアカウント登録応答が確かに認証処理装置３００が発行したものであることを検証する機能と、を有する。

連携属性フラグ管理部２９０は、ユーザの連携ステータスを「有効」／「無効」に設定し、ユーザアカウント情報格納部２２０に書き込む機能、を有する。

認証処理装置３００は、通信部３１０、ユーザアカウント情報格納部３２０、アサーション検証部３３０、アイデンティティ保証情報検証部３４０、ユーザアカウント生成部３５０、クレデンシャル生成部３６０、ユーザ認証部３７０、認証アサーション生成部３８０、およびアカウント登録応答生成部３９０を備える。

通信部３１０は、認証処理装置３００の内部通信機能と、ネットワーク２０を介してクライアント装置１００およびアイデンティティ管理装置２００と通信する機能と、を有する。

ユーザアカウント情報格納部３２０は、ユーザの、アイデンティティ管理装置２００と認証処理装置３００との間の連携属性、および認証処理に必要なクレデンシャル情報を格納する機能と、認証処理装置３００内の各部位からの要求に応じて、要求元の部位に、要求元の部位に受け渡す機能と、を有する。なお、ユーザアカウント情報格納部３２０は、アイデンティティ管理装置２００と認証処理装置３００との連携と認証処理に必要な情報以外は持たないことが好適であるが、他のアカウント情報を持っていても良い。

アサーション検証部３３０は、アイデンティティ管理装置２００から取得したアサーション情報の正当性を確認する機能を有する。なお、このアサーションに、ＳＡＭＬのアサーションが使われた場合、付与された電子署名を検証することで、このアサーションの正当性を確認することができる。

アイデンティティ保証情報検証部３４０は、アサーション情報の中にアイデンティティ保証情報が含まれているか否かを確認する機能を有する。なお、アイデンティティの保証情報がアカウントの登録に十分かどうかを確認する機能があっても良い。例えば、アイデンティティの保証機関が信頼できる機関であるか等を確認する機能があっても良い。

ユーザアカウント生成部３５０は、取得したアサーション情報に含まれた連携属性を用いてアカウントを生成する機能と、このアカウントをユーザアカウント情報格納部３２０に登録する機能と、を有する。

クレデンシャル生成部３６０は、ユーザアカウント生成部３５０が生成したアカウントにおいて、ユーザの認証に必要なクレデンシャルを生成する機能と、このクレデンシャルをユーザアカウント情報格納部３２０に登録する機能と、を有する。なお、クレデンシャルは、例えばパスワードやトークン等であり、内部で生成したものであっても、外部から取得したものであっても、何れでも構わない。

ユーザ認証部３７０は、ユーザからクレデンシャル等の認証に必要な情報を受け取る機能と、ユーザアカウント情報格納部３２０から認証に必要な情報を取得する機能と、これらの情報を用いてユーザ認証を行う機能と、どのような認証方法や本人確認がなされたか等の認証コンテキストを出力する機能と、を有する。

認証アサーション生成部３８０は、ユーザの連携属性とユーザ認証部３７０が出力した認証コンテキストとを用いてアサーションを生成する機能を有する。なお、このアサーションはＳＡＭＬの認証アサーションが好適である。

アカウント登録応答生成部３９０は、認証アサーション生成部３８０が生成したアサーションを用いてアカウント登録応答を生成する機能と、このアカウント登録応答をアイデンティティ管理装置２００に送信するために通信部３１０へ送る機能と、を有する。

次に、以上のように構成した本実施形態の認証システム１０の動作例を説明する。

図２および図３は、本実施形態の認証システム１０による動作例を説明するためのシーケンス図である。

図４は、図２における（ＳＴ１−１）乃至（ＳＴ１−７）のアイデンティティ管理装置２００内の動作例を説明するための模式図である。

図５は、図２および図３における（ＳＴ１−８）乃至（ＳＴ１−１５）の認証処理装置３００内の動作例を説明するための模式図である。

図６は、図３における（ＳＴ１−１６）乃至（ＳＴ１−１７）のアイデンティティ管理装置２００内の動作例を説明するための模式図である。

本実施形態の認証システム１０によれば、アイデンティティ管理装置２００が持つユーザアイデンティティから、認証処理装置３００に対して、ユーザアカウント情報の自動連携が行われる。この自動連携処理について、以下に、図２および図３における各ステップ毎に説明する。また、各ステップにおける動作については、図４乃至図６をあわせて参照されたい。

（ＳＴ１−１）
図２および図４に示すように、ユーザは、認証を行うために、クライアント装置１００を用いて、ユーザ識別ＵＩＤ１とクレデンシャルＣＲ１を、アイデンティティ管理装置２００に送る。また、ユーザは、アカウント自動連携を行いたいサービスを識別するため、クライアント装置１００に、認証サービス識別ＡＳＩＤ１を入力する。クライアント装置１００は、入力された認証サービス識別ＡＳＩＤ１をアイデンティティ管理装置２００に送信する。

クライアント装置１００から送信されたユーザ識別ＵＩＤ１、クレデンシャルＣＲ１、および認証サービス識別ＡＳＩＤ１は、アイデンティティ管理装置２００の通信部２１０によって受信される。通信部２１０は、ユーザ識別ＵＩＤ１およびクレデンシャルＣＲ１をユーザ認証部２３０に送り、ユーザ識別ＵＩＤ１および認証サービス識別ＡＳＩＤ１を認証サービス管理部２４０に送る。その後、（ＳＴ１−２）の処理に進む。

（ＳＴ１−２）
ユーザ認証部２３０が、通信部２１０から送られたユーザ識別ＵＩＤ１およびクレデンシャルＣＲ１と、ユーザアカウント情報格納部２２０に予め格納されているユーザ識別ＵＩＤ１およびクレデンシャルＣＲ１との一致を確認することによって、ユーザの認証を行う。そして、認証に成功すると、（ＳＴ１−３）の処理に進む。認証に成功しない場合、アカウント自動連携はできない。

（ＳＴ１−３）
認証サービス管理部２４０が、（ＳＴ１−１）において通信部２１０から送られた認証サービス識別ＡＳＩＤ１が既にユーザアカウント情報格納部２２０に登録されているか否かを確認する。そして、登録されていることが確認されると、アイデンティティ保証情報ＩＤＰ１を生成してユーザアカウント情報格納部２２０に格納し、（ＳＴ１−４）の処理に進む。確認されない場合、アカウント自動連携はできない。

（ＳＴ１−４）
連携属性生成部２５０が、認証サービス識別ＡＳＩＤ１に対して新規連携を行うために、たとえばＩＤや乱数を用いて連携属性ＦＡ１を生成し、ユーザアカウント情報格納部２２０に格納する。また、連携属性ＦＡ１の有効ステータスを示すフラグである連携属性フラグＦＡＦ１を「無効」に設定し、ユーザアカウント情報格納部２２０に格納する。連携属性フラグＦＡＦ１が「無効」であることは、アイデンティティ管理装置２００と認証処理装置３００とのアカウント連携はまだ未完了であることを示す。その後、（ＳＴ１−５）の処理に進む。

図７は、ユーザアカウント情報格納部２２０に格納されるユーザアカウント情報の例を説明するための模式図である。

図７に示されるように、ユーザアカウント情報格納部２２０には、（ＳＴ１−３）で生成されたアイデンティティ保証情報ＩＤＰ１と、（ＳＴ１−４）で生成された連携属性ＦＡ１および連携属性フラグＦＡＦ１が格納されるようになる。特に、連携属性ＦＡ１および連携属性フラグＦＡＦ１は、ユーザアカウント情報のうちの認証サービスとの連携情報として格納される。なお、ユーザアカウント情報のうちのその他の情報であるユーザ識別ＵＩＤ１およびクレデンシャルＣＲ１と、認証サービスとの連携情報に含まれる認証サービス識別ＡＳＩＤ１とは、予め格納されている。

（ＳＴ１−５）
認証処理装置３００に対して、ユーザがアイデンティティ管理装置２００で認証されたことを保証するために、認証アサーション生成部２６０が、ユーザアカウント情報格納部２２０に格納された連携属性ＦＡ１およびアイデンティティ保証情報ＩＤＰ１を用いて認証アサーションＡＡ１を生成し、アカウント登録要求生成部２７０に送る。すなわち、認証アサーション生成部２６０は、アイデンティティ管理装置２００と認証処理装置３００間でユーザを識別するための連携属性ＦＡ１と、ユーザのアイデンティティを保証するアイデンティティ保証情報ＩＤＰ１を含めることによって認証アサーションＡＡ１を生成する。なお、認証アサーションＡＡ１を表現するのに、ＳＡＭＬを利用することが好ましい。ＳＡＭＬを利用する場合、認証アサーションＡＡ１に格納された情報が確かに、ユーザアカウント情報格納部２２０が格納していることを保証するため、ＰＫＩの電子署名の仕組みが用いられる。

（ＳＴ１−６）
アカウント登録要求生成部２７０が、（ＳＴ１−５）において生成された認証アサーションＡＡ１を、認証アサーション生成部２６０から受け取る。そして、認証処理装置３００に対して、ユーザのアカウントを新規登録することを要求するため、認証アサーションＡＡ１を用いて、アカウント登録要求ＲＱ１を生成し、通信部２１０へ送る。

図８は、アカウント登録要求ＲＱ１に含まれる情報の例を説明するための模式図である。

すなわち、アカウント登録要求ＲＱ１には、認証アサーションＡＡ１が含まれている。そして、認証アサーションＡＡ１には、連携属性ＦＡ１と、アイデンティティ保証情報ＩＰＤ１とが含まれている。なお、前述したように、認証アサーションＡＡ１を表現するのに、ＳＡＭＬを利用することが好ましい。ＳＡＭＬが利用された場合、アイデンティティ保証情報ＩＰＤ１は、アイデンティティステートメントＩＤＳ１内の１つの要素として生成される。したがって、図８では、ＳＡＭＬが利用された場合の例として、アイデンティティステートメントＩＤＳ１にアイデンティティ保証情報ＩＰＤ１が含まれているように示されている。

（ＳＴ１−７）
通信部２１０が、（ＳＴ１−６）でアカウント登録要求生成部２７０から送られたアカウント登録要求ＲＱ１を、ネットワーク２０を介して認証処理装置３００へ送信する。

（ＳＴ１−８）
図５に示すように、認証処理装置３００が、通信部３１０において、（ＳＴ１−７）において送信されたアカウント登録要求ＲＱ１を受信する。そして、アサーション検証部３３０において、認証アサーションＡＡ１を検証する。なお、ＳＡＭＬが利用された場合、アサーション検証部３３０は、認証アサーションＡＡ１に添付された署名を検証することで、認証アサーションＡＡ１を検証することができる。認証アサーションＡＡ１の検証に成功すると、（ＳＴ１−９）の処理に進む。検証に失敗すると、処理が終了し、アカウント自動連携はできない。

（ＳＴ１−９）
ユーザのアイデンティティが保証されていることを確認するために、アイデンティティ保証情報検証部３４０が、認証アサーションＡＡ１に含まれるアイデンティティ保証情報ＩＤＰ１を確認する。確認がなされると、（ＳＴ１−１０）の処理に進む。確認がなされないと、処理が終了し、アカウント自動連携はできない。

（ＳＴ１−１０）
ユーザアカウント生成部３５０が、認証アサーションＡＡ１に含まれる連携属性ＦＡ１を用いて、認証処理装置３００におけるユーザのアカウントを生成し、ユーザアカウント情報格納部３２０に、生成されたアカウントに関連付けて連携属性ＦＡ１を格納する。その後、（ＳＴ１−１１）の処理に進む。

（ＳＴ１−１１）
クレデンシャル生成部３６０が、アイデンティティ保証情報認証処理装置３００においてユーザを認証する際に利用するクレデンシャルＣＲ２を生成し、ユーザアカウント情報格納部３２０に、対応するアカウントに関連付けて格納する。クレデンシャルＣＲ２は、認証処理装置３００の持つ認証方式によって異なるため、クレデンシャル生成部３６０は、認証方式に沿ったクレデンシャルを生成すると良い。例えば、認証処理装置３００がパスワードに用いる認証を採用する場合、クレデンシャルＣＲ２はパスワードが好適である。

図９は、ユーザアカウント情報格納部３２０に格納される情報の例を説明するための模式図である。

すなわち、ユーザアカウント情報格納部３２０には、（ＳＴ１−１０）および（ＳＴ１−１１）における処理によって生成された連携属性ＦＡ１およびクレデンシャルＣＲ２がユーザアカウント情報として格納される。

クレデンシャルＣＲ２がユーザアカウント情報格納部３２０に格納されると、（ＳＴ−１２）の処理に進む。

（ＳＴ１−１２）
ユーザ認証部３７０が、（ＳＴ１−１１）で格納されたクレデンシャルＣＲ２を用いてユーザ認証を行い、認証コンテキストＡＣ２を生成する。認証コンテキストＡＣ２は、認証処理がどう行われたか等を示す情報である。なお、この認証コンテキストＡＣ２は、ＳＡＭＬの認証コンテキストを利用することが好ましい。その後、（ＳＴ１−１３）の処理に進む。

（ＳＴ１−１３）
認証アサーション生成部３８０が、連携属性ＦＡ１と認証コンテキストＡＣ２から、認証アサーションＡＡ２を生成する。なお、この認証アサーションＡＡ２を表現するのに、ＳＡＭＬが好適である。その後、（ＳＴ１−１４）の処理に進む。

（ＳＴ１−１４）
アカウント登録応答生成部３９０が、（ＳＴ１−１３）で生成された認証アサーションＡＡ２を用いてアカウント登録応答ＲＰ１を生成する。その後、（ＳＴ１−１５）の処理に進む。

図１０は、アカウント登録応答ＲＰ１に含まれる情報の例を説明するための模式図である。

アカウント登録応答ＲＰ１には、認証アサーションＡＡ２が含まれる。そして、認証アサーションＡＡ２には、連携属性ＦＡ１と認証コンテキストＡＣ２とが含まれる。なお、前述したように、認証アサーションＡＡ２を表現するのに、ＳＡＭＬを利用することが好ましい。ＳＡＭＬが利用された場合、認証コンテキストＡＣ２は、認証ステートメントＡＳ２内の１つの要素として生成される。したがって、図１０では、ＳＡＭＬが利用された場合の例として、認証ステートメントＡＳ２に認証コンテキストＡＣ２が含まれているように示されている。

（ＳＴ１−１５）
通信部３１０が、（ＳＴ１−１４）で生成されたアカウント登録応答ＲＰ１を、ネットワーク２０を介してアイデンティティ管理装置２００に送信する。そして、（ＳＴ１−１６）の処理に進む。

（ＳＴ１−１６）
図６に示すように、（ＳＴ１−１５）で送信されたアカウント登録応答ＲＰ１を、アイデンティティ管理装置２００が、通信部２１０において受信する。通信部２１０は、受信したアカウント登録応答ＲＰ１をアサーション検証部２８０へ送る。そして、アサーション検証部２８０は、アカウント登録応答ＲＰ１に含まれる認証アサーションＡＡ２を検証する。なお、ＳＡＭＬが利用された場合、アサーション検証部２８０は、認証アサーションＡＡ２に添付された署名を検証することで、認証アサーションＡＡ２を検証することができる。認証アサーションＡＡ２の検証に成功すると、（ＳＴ１−１７）の処理に進む。検証に失敗すると、処理は終了する。

（ＳＴ１−１７）
連携属性フラグ管理部２９０が、認証アサーションＡＡ２に含まれた連携属性ＦＡ１を用いて、ユーザアカウント情報格納部２２０に格納されているユーザアカウント情報を検索する。そして、該当するユーザアカウント情報の連携属性フラグＦＡＦ１を、「有効」に設定し、ユーザアカウント情報格納部２２０に格納する。これでアイデンティティ管理装置２００と認証処理装置３００とのアカウント連携処理が完了する。

上述したように、本実施形態の認証システム１０によれば、連携属性ＦＡ１をアイデンティティ管理装置２００と認証処理装置３００との間で相互認証することにより、アイデンティティ管理装置２００と認証処理装置３００との間でのアカウント連携が可能となる。

その結果、認証システム１０で新規アカウント登録に利用する情報は、アイデンティティ管理装置２００で取り扱っている本人確認されたアイデンティティに対応した連携属性ＦＡ１となるため、仮に認証処理装置３００が、アイデンティティ管理装置２００とは異なるセキュリティドメインにある場合であっても、セキュリティを低下させることなく、新規アカウント登録のためのアカウント情報の、アイデンティティ管理装置２００と認証処理装置３００との間での連携が可能となる。

また、認証システム１０は、アイデンティティ管理装置２００で取り扱っている本人確認されたアイデンティティに対応した連携属性ＦＡ１を用いて、新規アカウントを登録できるようになるので、登録時に再度本人確認を行う必要性を省くことが可能となる。

さらには、認証システム１０は、ユーザのアイデンティティそのものを管理することなく、アイデンティティ管理装置２００が取り扱っているアイデンティティに対応付けられた連携属性ＦＡ１のみを管理するようになる。連携属性ＦＡ１の情報は直接的にはユーザに関係しない、プライバシー情報ではないため、セキュリティを低下させることなく、管理コストを低減することが可能となる。

（第２の実施形態）
第２の実施形態の認証システムをさらに図１１乃至図１７を用いて説明する。

図１１は、本実施形態の認証システム１０’の構成例を示すブロック図である。

すなわち、本実施形態の認証システム１０’は、アイデンティティ管理装置２００’と認証処理装置３００’とを備えてなる。アイデンティティ管理装置２００’は、第１の実施形態におけるアイデンティティ管理装置２００に認証要求生成部２９９を追加したものであり、認証処理装置３００’は、第１の実施形態における認証処理装置３００に認証応答生成部３９９を追加したものである。その他の構成要件は、第１の実施形態と同じであるので、以下の説明に用いる図中の符号は、図１と同一部分については同一符号を付して示し、重複説明を避ける。

図１２は、本実施形態の認証システム１０’による動作例を説明するためのシーケンス図である。

図１３は、図１２における（ＳＴ２−１３）までの認証処理装置３００内の動作例を説明するための模式図である。

本実施形態の認証システム１０’の動作は、図１２に示す（ＳＴ２−１２）よりも前については、第１の実施形態の（ＳＴ１−１）乃至（ＳＴ１−１１）と同様である。したがって、図１２では、（ＳＴ１−１）乃至（ＳＴ１−１１）の記載を省略している。また、図１３中に示す（ＳＴ１−７）乃至（ＳＴ１−１１）も第１の実施形態と同様である。

よって、以下では、（ＳＴ２−１２）乃至（ＳＴ２−１９）について説明する。

（ＳＴ２−１２）
アカウント登録応答生成部３９０は、（ＳＴ１−１１）において図９に示すような連携属性ＦＡ１およびクレデンシャルＣＲ２を含むユーザアカウント情報が、ユーザアカウント情報格納部３２０に格納された後に、ユーザアカウント情報格納部３２０に格納された連携属性ＦＡ１を用いて、ユーザのアカウント登録応答ＲＰ１を生成する。

図１４は、本実施形態におけるアカウント登録応答ＲＰ１に含まれる情報の例を示す模式図である。すなわち、本実施形態におけるアカウント登録応答ＲＰ１には、連携属性ＦＡ１が含まれている。

アカウント登録応答生成部３９０は、このようなアカウント登録応答ＲＰ１を生成すると、通信部３１０に送る。

図１５は、図１２における（ＳＴ２−１４）乃至（ＳＴ２−１５）のアイデンティティ管理装置２００’内の動作例を説明するための模式図である。

（ＳＴ２−１３）
通信部３１０は、アカウント登録応答生成部３９０から送られたアカウント登録応答ＲＰ１を受け取る。そして、図１５に示すように、ネットワーク２０を介してアイデンティティ管理装置２００’へ送信する。

（ＳＴ２−１４）
アイデンティティ管理装置２００’は、（ＳＴ２−１３）において通信部３１０から送信されたアカウント登録応答ＲＰ１を通信部２１０において受信する。通信部２１０は、このアカウント登録応答ＲＰ１を認証要求生成部２９９へ送る。そして、認証要求生成部２９９は、このアカウント登録応答ＲＰ１に含まれる連携属性ＦＡ１が、ユーザアカウント情報格納部２２０に格納されているものと同一であることを確認し、認証要求ＡＲＱ１を生成する。そして、認証要求ＡＲＱ１を通信部２１０へ送る。連携属性ＦＡ１の同一性が確認されない場合には、認証要求ＡＲＱ１は生成されず、処理が終了する。

（ＳＴ２−１５）
通信部２１０は、（ＳＴ２−１４）で認証要求生成部２９９から送られた認証要求ＡＲＱ１を、ネットワーク２０を介して認証処理装置３００’へ送信する。通信部２１０から送信された認証要求ＡＲＱ１を、認証処理装置３００’の通信部３１０が受信する。

（ＳＴ２−１６）
図１６は、（ＳＴ２−１６）乃至（ＳＴ２−１７）の認証処理装置３００’内の動作例を説明するための模式図である。

図１６に示すように、通信部３１０は、認証要求ＡＲＱ１を受信すると、ユーザ認証部３７０に送る。すると、ユーザ認証部３７０が、ユーザアカウント情報格納部３２０に格納された連携属性ＦＡ１を取得し、さらに、指定された認証方法に従って認証要求ＡＲＱ１の認証処理を行い、認証コンテキストＡＣ２を生成し、認証アサーション生成部３８０へ送る。

これを受けて認証アサーション生成部３８０は、連携属性ＦＡ１と認証コンテキストＡＣ２とから、認証アサーションＡＡ２を生成する。したがって、認証アサーションＡＡ２には、連携属性ＦＡ１と認証コンテキストＡＣ２とが含まれている。認証アサーション生成部３８０は、このような認証アサーションＡＡ２を、認証応答生成部３９９へ送る。

これに応じて認証応答生成部３９９は、認証アサーションＡＡ２を用いて認証応答ＡＲＰ１を生成する。したがって、認証応答ＡＲＰ１には、認証アサーションＡＡ２が含まれている。認証応答生成部３９９は、このような認証応答ＡＲＰ１を通信部３１０へ送る。

（ＳＴ２−１７）
通信部３１０は、認証応答生成部３９９から送られた認証応答ＡＲＰ１を受け取り、ネットワーク２０を介してアイデンティティ管理装置２００’へ送信する。

図１７は、（ＳＴ２−１８）乃至（ＳＴ２−１９）のアイデンティティ管理装置２００’内の動作例を説明するための模式図である。

（ＳＴ２−１８）
図１７に示すように、通信部２１０は、通信部３１０から送信された認証応答ＡＲＰ１を受信し、アサーション検証部２８０へ送る。アサーション検証部２８０は、認証アサーションＡＡ２に含まれている連携属性ＦＡ１と認証コンテキストＡＣ２とから、認証アサーションＡＡ２を検証する。これは、たとえば電子署名を検証することによって行う。なお、認証アサーションＡＡ２を表現するのに、ＳＡＭＬが好適である。その後、検証に成功すると、（ＳＴ２−１９）の処理に進む。

（ＳＴ２−１９）
連携属性フラグ管理部２９０は、認証アサーションＡＡ２に含まれる連携属性ＦＡ１を用いて、ユーザアカウント情報格納部２２０に格納されているユーザアカウント情報を検索する。そして、該当したユーザアカウント情報の連携属性フラグＦＡＦ１を、「有効」に設定し、格納する。これでアイデンティティ管理装置２００’と認証処理装置３００’との間でのアカウント連携が完了となる。

上述したように、本実施形態の認証システム１０’によれば、第１の実施形態の認証システム１０とは異なり、認証処理装置３００’がユーザの連携アカウントを生成する際に、認証アサーションＡＡ２を生成せず、すなわちユーザ認証を行わず、アイデンティティ管理装置２００’にアカウント登録応答を通信する。そして、アイデンティティ管理装置２００’は、認証処理装置３００’に対してユーザ認証を要求し、ユーザ認証処理が行われ、認証処理装置３００’から認証成功の応答を取得すると、アカウント連携を「有効」としている。

このような構成によっても、アイデンティティ管理装置２００’は認証処理装置３００’に対して、認証処理に関する指定をすることが可能となり、もって、第１の実施形態の認証システム１０と同じ作用効果を奏することができる。

なお、請求項におけるアイデンティティ管理装置の情報格納部、認証部、連携属性生成部、登録要求部、検証部、連携属性フラグ管理部、および認証要求生成部は、実施形態におけるユーザアカウント情報格納部２２０、ユーザ認証部２３０、連携属性生成部２５０、アカウント登録要求生成部２７０、アサーション検証部２８０、連携属性フラグ管理部２９０、および認証要求生成部２９９にそれぞれ対応する。

また、請求項における認証処理装置における通信部、アカウント生成部、情報格納部、クレデンシャル生成部、ユーザ認証部、アカウント登録応答生成部、認証アサーション生成部、および認証応答生成部は、実施形態における通信部３１０、ユーザアカウント生成部３５０、ユーザアカウント情報格納部３２０、クレデンシャル生成部３６０、ユーザ認証部３７０、アカウント登録応答生成部３９０、認証アサーション生成部３８０、および認証応答生成部３９９にそれぞれ対応する。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

例えば、実施形態では、アイデンティティ管理装置２００（２００’）とアカウント連携する装置として、認証処理装置３００（３００’）を例に説明したが、アイデンティティ管理装置２００（２００’）とアカウント連携する対象となる装置は、認証処理装置３００（３００’）に限られるものではない。実施形態では、アイデンティティ管理装置２００（２００’）とアカウント連携する装置の一例として、認証処理装置３００（３００’）とし、これに応じて、アイデンティティ管理装置２００（２００’）では、認証処理装置３００（３００’）によってなされる認証サービスを識別するための識別子として認証サービス識別ＡＳＩＤ１を取り扱い、さらに認証サービス識別ＡＳＩＤ１を管理するための認証サービス管理部２４０を設けている。

したがって、当業者であれば、アイデンティティ管理装置２００（２００’）とアカウント連携する対象となる装置が、認証処理装置３００（３００’）ではない場合、それに応じたサービス識別情報およびサービス管理部を、認証サービス識別ＡＳＩＤ１および認証サービス管理部２４０の代わりに用いることにより、アイデンティティ管理装置２００（２００’）は、認証処理装置３００（３００’）以外の装置とであっても、アカウント連携することが可能となることを理解できるであろう。

１０、１０’ 本実施形態の認証システム、２０ ネットワーク、１００ クライアント装置、２００、２００’ アイデンティティ管理装置、２１０ 通信部、２２０ ユーザアカウント情報格納部、２３０ ユーザ認証部、２４０ 認証サービス管理部、２５０ 連携属性生成部、２６０ 認証アサーション生成部、２７０ アカウント登録要求生成部、２８０ アサーション検証部、２９０ 連携属性フラグ管理部、２９９ 認証要求生成部、３００、３００’ 認証処理装置、３１０ 通信部、３２０ ユーザアカウント情報格納部、３３０ アサーション検証部、３４０ アイデンティティ保証情報検証部、３５０ ユーザアカウント生成部、３６０ クレデンシャル生成部、３７０ ユーザ認証部、３８０ 認証アサーション生成部、３９０ アカウント登録応答生成部、３９９ 認証応答生成部。

Claims (6)

1. 他装置にアカウントを登録するユーザのためのアイデンティティ情報を管理するアイデンティティ管理装置であって、
   前記ユーザのアイデンティティ情報に含まれるアカウント情報と、前記他装置によって提供されるサービスを識別するサービス識別情報とを格納する情報格納部と、
   前記格納されたアカウント情報を用いて前記ユーザを認証する認証部と、
   前記認証されたユーザによって入力されたサービス識別情報が、前記格納されたサービス識別情報と一致する場合、前記アカウント情報の前記他装置との連携のための連携属性と、前記連携属性のステータスを示す連携属性フラグとを生成し、前記連携属性フラグを無効に設定する連携属性生成部と、
   前記ユーザが認証されたことを保証する保証情報と、前記連携属性とを用いて、前記他装置に対して、前記ユーザのアカウントの登録を要求する登録要求部と、
   前記要求に応じて、前記他装置によって生成された、前記連携属性を含むアカウント登録応答を検証する検証部と、
   前記アカウント登録応答が正しく検証された場合、前記アカウント登録応答に含まれた連携属性に対応するアカウント情報を、前記情報格納部から検索し、前記検索されたアカウント情報に対応する連携属性フラグを有効に設定することにより、前記アカウント情報の前記他装置との連携を可能とする連携属性フラグ管理部と、
   を備えるアイデンティティ管理装置。
2. 前記他装置は認証処理装置であって、
   前記アカウント登録応答に応じて、前記認証処理装置に対して、前記ユーザの認証を要求する認証要求を生成する認証要求生成部、をさらに備えた請求項１に記載のアイデンティティ管理装置。
3. 他装置からのアカウント登録要求に応じてユーザのアカウントを登録するとともに、前記ユーザを認証する認証処理装置であって、
   前記ユーザが前記他装置によって認証されたことを保証する保証情報と、前記ユーザのアカウント情報の前記他装置との連携のための連携属性とが含まれた、前記アカウント登録要求を受信する通信部と、
   前記アカウント登録要求に含まれた連携属性を用いて、前記ユーザのアカウントを生成するアカウント生成部と、
   前記生成されたアカウントに関連付けて、前記連携属性を格納する情報格納部と、
   前記ユーザを認証する際に利用するクレデンシャルを生成し、前記アカウントに関連付けて、前記情報格納部に格納するクレデンシャル生成部と、
   前記クレデンシャルを用いて前記ユーザの認証を行い、認証処理内容を示す認証コンテキストを生成するユーザ認証部と、
   前記連携属性と前記認証コンテキストとを含むアカウント登録応答を生成する、アカウント登録応答生成部と、
   を備えた認証処理装置。
4. 前記通信部が、前記アカウント登録応答を前記他装置へ送信し、前記アカウント登録応答に応じて、前記他装置によって生成された、前記ユーザの認証を要求する認証要求を受信し、
   前記ユーザ認証部が、前記認証要求に対応する連携属性を、前記情報格納部から取得し、さらに、前記認証要求の認証処理を行い、認証コンテキストを生成し、
   前記取得された連携属性と、前記生成された認証コンテキストとから、認証アサーションを生成する、認証アサーション生成部と、
   前記認証アサーションを用いて認証応答を生成する認証応答生成部と、
   をさらに備える請求項３に記載の認証処理装置。
5. 第２の装置にアカウントを登録するユーザのためのアイデンティティ情報を管理する第１の装置と、前記第１の装置からのアカウント登録要求に応じてユーザのアカウントを登録する前記第２の装置と、を備えてなる認証システムであって、
   前記第１の装置は、
   前記ユーザのアイデンティティ情報に含まれるアカウント情報と、前記第２の装置によって提供されるサービスを識別するサービス識別情報とを格納する第１の情報格納部と、
   前記格納されたアカウント情報を用いて前記ユーザを認証する認証部と、
   前記認証されたユーザによって入力されたサービス識別情報が、前記格納されたサービス識別情報と一致する場合、前記アカウント情報の前記第２の装置との連携のための連携属性と、前記連携属性のステータスを示す連携属性フラグとを生成し、前記連携属性フラグを無効に設定する連携属性生成部と、
   前記ユーザが認証されたことを保証する保証情報と、前記連携属性とを用いて、前記第２の装置に対して、前記ユーザのアカウントの登録を要求する登録要求部と、
   前記要求に応じて、前記第２の装置によって生成された、前記連携属性を含むアカウント登録応答を検証する検証部と、
   前記アカウント登録応答が正しく検証された場合、前記アカウント登録応答に含まれた連携属性に対応するアカウント情報を、前記第１の情報格納部から検索し、前記検索されたアカウント情報に対応する連携属性フラグを有効に設定することにより、前記アカウント情報の前記第２の装置との連携を可能とする連携属性フラグ管理部とを備え、
   前記第２の装置は、
   前記ユーザが前記第１の装置によって認証されたことを保証する保証情報と、前記ユーザのアカウント情報の前記第１の装置との連携のための連携属性とが含まれた、前記アカウント登録要求を受信する通信部と、
   前記アカウント登録要求に含まれた連携属性を用いて、前記ユーザのアカウントを生成するアカウント生成部と、
   前記生成されたアカウントに関連付けて、前記連携属性を格納する第２の情報格納部と、
   前記ユーザを認証する際に利用するクレデンシャルを生成し、前記アカウントに関連付けて、前記第２の情報格納部に格納するクレデンシャル生成部と、
   前記クレデンシャルを用いて前記ユーザの認証を行い、認証処理内容を示す認証コンテキストを生成するユーザ認証部と、
   前記連携属性と前記認証コンテキストとを含むアカウント登録応答を生成する、アカウント登録応答生成部とを備えた、認証システム。
6. 前記第１の装置は、
   前記アカウント登録応答に応じて、前記第２の装置に対して、前記ユーザの認証を要求する認証要求を生成する認証要求生成部をさらに備え、
   前記第２の装置は、
   前記通信部が、前記アカウント登録応答を前記第１の装置へ送信し、前記アカウント登録応答に応じて、前記第１の装置によって生成された、前記ユーザの認証を要求する認証要求を受信し、
   前記ユーザ認証部が、前記認証要求に対応する連携属性を、前記第２の情報格納部から取得し、さらに、前記認証要求の認証処理を行い、認証コンテキストを生成し、
   前記第２の装置はさらに、
   前記取得された連携属性と、前記生成された認証コンテキストとから、認証アサーションを生成する、認証アサーション生成部と、
   前記認証アサーションを用いて認証応答を生成する認証応答生成部とを備える、請求項５に記載の認証システム。