JP2018018143A - 情報処理システム、情報処理方法、情報処理装置及びプログラム - Google Patents

Abstract

【課題】自動的なシングルサインオン処理を好適に行うこと。【解決手段】本発明の一態様に係る情報処理システムは、ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、前記認証許可情報を前記第３の装置に送信する送信部と、を有し、前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有することを特徴とする。【選択図】図４

Description

本発明は、Ｗｅｂサービスの認証に係る情報処理システム、情報処理方法、情報処理装置及びプログラムに関する。

ネットワークを介して提供されるＷｅｂサービス（クラウドサービス）が普及してきている。クラウドサービスの一例として、例えば、ＳａａＳ（Software as a Service）がある。クラウドサービスの利用により、業務システムなどをＷｅｂに移行することができ、ネットワークに接続される通信端末に対して、充実した機能を提供することができる。

クラウドサービスは、通常、許可されたユーザにのみ提供され、ユーザ認証を要する。例えば、適切なユーザ識別子及びパスワードを送信してきた通信端末はユーザ認証をパスすることができる。多くのクラウドサービスを利用するユーザがクラウドサービスごとに認証のための情報（認証情報）を入力するものとすると、利便性に欠ける。

このため、一回のユーザ認証で複数のシステムを利用可能にするシングルサインオン（ＳＳＯ：Single Sign On）という技術が広く検討されている。ＳＳＯの方式としては、リバースプロキシを用いるもの、ＳＡＭＬ（Security Assertion Markup Language）に基づくもの、ＯｐｅｎＩＤ（登録商標）に基づくもの（OpenID Connect）、などがある。ユーザは認証サーバ（ＳＳＯサーバ）に１回ログインするだけで、例えばＳＡＭＬに対応するクラウドサービスを利用することができるようになる。

しかしながら、ＳＳＯを用いる場合であっても、例えばサービスポータルのシステムにユーザが自らサインオンする必要があるため、更なる利便性の向上が望まれている。例えば、ユーザがユーザ装置のＯＳ（Operating System）認証をするだけでクラウドサービスへのＳＳＯを実現する技術が提案されている（特許文献１）。

特開２０１３−８１４０号公報

しかしながら、特許文献１に記載される発明は、ＳＳＯサーバと連携するための専用の認証連携装置を有する特定のネットワーク（例えば、社内ＬＡＮ（Local Area Network））にユーザ装置が接続される必要があるなど、限定的な環境での適用となり、利用の自由度が少ないという課題がある。

本発明はかかる点に鑑みてなされたものであり、自動的なＳＳＯ処理を好適に行うことができる情報処理システム、情報処理方法、情報処理装置及びプログラムを提供することを目的の１つとする。

本発明の一態様に係る情報処理システムは、ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、前記認証許可情報を前記第３の装置に送信する送信部と、を有し、前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有することを特徴とする。

本発明によれば、自動的なＳＳＯ処理を好適に行うことができる。

無線ＬＡＮサービスの認証方式及びプロトコルの一例を示す図である。 Ｗｅｂサービスの認証方式及びプロトコルの一例を示す図である。 本発明の一実施形態に係る情報処理システムの概略構成の一例を示す図である。 本発明の一実施形態に係る無線ＬＡＮ及びＷｅｂサービスのシングルサインオンのシーケンスの一例を示す図である。 図４のステップＳ１−Ｓ１０のより詳細なシーケンスの一例を示す図である。 図４のステップＳ１０−Ｓ１２のより詳細なシーケンスの一例を示す図である。 本発明の一実施形態に係る認証セッション無効化のシーケンスの一例を示す図である。 本発明の一実施形態に係るサーバの機能構成の一例を示す図である。 本発明の一実施形態に係るサーバ及びデバイスのハードウェア構成の一例を示す図である。

ユーザ端末が接続し得る無線ＬＡＮやＷｅｂシステムの数が増加する中、それぞれのログイン処理に必要な識別子（ＩＤ：Identifier）、パスワード（ＰＷＤ：Password）などの入力の手間や、管理負荷の増大といった課題が生じている。

本発明者らは、無線ＬＡＮサービスとＷｅｂサービスとのＳＳＯを実現することができれば、上記の課題が解決できると考えた。しかしながら、一般的にＳＳＯは、データ通信方式や認証方式が同一であるＷｅｂサービス（Ｗｅｂアプリケーション）が対象となっている。このため、従来のＳＳＯを実現する技術では、無線ＬＡＮサービスとＷｅｂサービスとのＳＳＯは、データ通信方式や認証方式などのプロトコルが異なるため、実現することができない。

本発明者らは、Ｗｅｂサービスを利用するためにはネットワークに接続する必要があることに着目し、ネットワーク接続の確立に伴ってＳＳＯ処理を自動的に行うことが好ましいことを発見した。例えば接続するネットワークによって、ＳＳＯ処理によって利用可能となるＷｅｂサービス群を切り替えることができれば、利便性が高い。

そこで、本発明者らはまず、ネットワークに接続する認証方式と、Ｗｅｂサービスの認証方式と、の違いを検討した。

図１は、無線ＬＡＮサービスの認証方式及びプロトコルの一例を示す図である。図１の場合、無線端末及び無線システム（例えば、無線アクセスポイント（ＡＰ：Access Point）、無線ＬＡＮコントローラ（ＷＬＣ：Wireless LAN Controller）など）間では、下位レイヤにおいてＩＥＥＥ８０２．１１規格の無線ＬＡＮ（例えば、ＩＥＥＥ ８０２．１１ａ）を用いて通信が実現される。なお、このような無線ＬＡＮは、Ｗｉ−Ｆｉ（登録商標）とも呼ばれる。

また、無線システム及び認証システム間では、下位レイヤにおいてイーサネット（登録商標）、ＩＰ（Internet Protocol）、ＵＤＰ（User Datagram Protocol）などを用いて通信が実現される。なお、無線システム及び認証システム間が有線により接続される例を示しているが、これに限られない。

無線端末は、まず無線システムにアクセスし、８０２．１Ｘ認証を要求する。認証プロトコルは８０２．１Ｘ認証でサポートされるものであればよく、例えばＴＬＳ（Transport Layer Security）、ＰＥＡＰ（Protected Extensible Authentication Protocol）などを用いることができる。認証プロトコルのパケットはＥＡＰ（Extensible Authentication Protocol）でラップされ、ＥＡＰｏＬ（EAP over LAN）でデータリンク層のパケットとして通信される。

無線システムは、認証システムに対して認証要求を送信する。無線システム及び認証システム間は信用されたネットワークで接続され、ＥＡＰｏＬではなくＲＡＤＩＵＳ（Remote Authentication Dial In User Service）が用いられる。認証システム（認証サーバ）は、例えばＲＡＤＩＵＳサーバとも呼ばれる。

認証システムは、認証要求を受けると、認証応答を返信し、無線システムは当該認証応答に基づく認証結果を無線端末に送信する。

図２は、Ｗｅｂサービスの認証方式及びプロトコルの一例を示す図である。図２の場合、無線端末及び無線システム間では、下位レイヤにおいてＩＥＥＥ８０２．１１規格の無線ＬＡＮを用いて通信が実現される。また、無線システム及び認証システム間では、下位レイヤにおいてＩＥＥＥ８０２．３規格のイーサネットを用いて通信が実現される。なお、無線システム及び認証システム間が有線により接続される例を示しているが、これに限られない。

各装置間の通信では、ＩＰ、ＴＣＰ（Transmission Control Protocol）、ＨＴＴＰ（Hypertext Transfer Protocol）／ＨＴＴＰＳ（HTTP Secure）などを利用する。認証プロトコルは、例えば、フォーム認証、ベーシック認証などであってもよい。無線端末は、無線システムを介してＷｅｂサーバに認証要求を送信し、Ｗｅｂサーバから認証応答を受信する。

以上述べたような無線ＬＡＮサービス及びＷｅｂサービスの認証方式を検討し、本発明者らは、無線ＬＡＮサービスと１つ以上のＷｅｂサービスのシングルサインオンを実現することを着想した。具体的には、本発明者らは、ユーザ端末が無線ＬＡＮ接続の認証に成功した際、当該認証情報に基づいて、Ｗｅｂサービスの認証サーバから認証セッションを取得し、その後認証セッションの橋渡しを行うことを見出した。

これにより、無線ＬＡＮを利用するユーザは、無線ＬＡＮ接続時に一度認証を行うだけで、Ｗｅｂサービスやクラウドサービスを、ＩＤ及びパスワードの入力なしで利用することが可能となる。

以下、本発明の実施形態について添付図面を参照して詳細に説明する。なお、以下の実施形態では、ユーザ装置（ユーザ端末）の利用するネットワークが無線ＬＡＮである場合を例に説明するが、これに限られない。例えば、ネットワークに有線ＬＡＮを用いる場合、電話回線を用いる場合、他のネットワーク構成を用いる場合などであっても、本発明を適用することができる。

（情報処理システム）
まず、本発明が適用される情報処理システムについて説明する。図３は、本発明の一実施形態に係る情報処理システムの概略構成の一例を示す図である。図３に示す情報処理システム１は、ユーザ端末１０と、無線システム２０と、認証サーバ（ＲＡＤＩＵＳサーバ）３０と、ＳＳＯサーバ（ＩｄＰ（Identity Provider）サーバ）４０と、データベース（ＤＢ：Database）５０と、認証連携サーバ（ポータルサーバ）６０と、クラウドサービスプロバイダ（ＳＰ：Service Provider）サーバ／ＳＳＯ保護対象サーバ７０（以下では、これらを区別せず単に「ＳＰサーバ７０」と表記する）と、を含む。

ユーザ端末１０は、例えばユーザの操作によりブラウザなどのアプリケーションを実行し、各種サーバと通信する情報処理装置である。ユーザ端末１０は、無線通信機能を有しており、無線システム２０との間で無線通信を行う。なお、ユーザ端末１０は、携帯電話、スマートフォン、タブレット型端末などの携帯端末（移動通信端末）であってもよいし、パソコン（ＰＣ：Personal Computer）などの固定通信端末であってもよい。

無線システム２０は、ユーザ端末１０との間で無線通信を実現するＡＰ、ユーザ端末１０の無線通信に関する制御（例えばＡＰの制御）を行うＷＬＣなどを含んで構成される。ＡＰは例えばルータであってもよいし、ＷＬＣは無線ＬＡＮスイッチなどと呼ばれてもよい。また、ＡＰ及びＷＬＣは有線又は無線で接続されてもよい。ＡＰ及びＷＬＣは、単一の装置で実現されてもよい。以下、本明細書では無線システム２０を単にＷＬＣ２０とも表す。

ＷＬＣ２０（第１の装置）は、所定の認証方式（例えば、図１で示したような、８０２．１Ｘ認証、ＲＡＤＩＵＳ認証など）に対応した情報処理装置（例えば、無線コントローラ）である。ＷＬＣ２０は、認証に成功したユーザ端末１０に対して所定の通信サービス（例えば、無線通信）を提供する。ＷＬＣ２０は、ユーザ端末１０と有線で接続される場合には、有線通信サービスを提供するものとしてもよい。

ＲＡＤＩＵＳサーバ３０（第１の装置、第２の装置及び第３の装置と通信する第４の装置）は、ユーザ端末１０に対してＲＡＤＩＵＳ認証を提供する情報処理装置である。ＲＡＤＩＵＳサーバ３０は、ＳＳＯサーバ４０に対して、ユーザ端末１０についてのＳＳＯ認証を実施するように要求し、セッション情報を取得することができる。

ＳＳＯサーバ４０（第２の装置）は、ユーザ端末１０に対してＷｅｂサービスの認証処理を提供する情報処理装置である。例えば、ＳＳＯサーバ４０は、ＳＰサーバ７０に関するＳＳＯ処理を提供する。ＷｅｂアプリケーションやクラウドサービスへのＳＳＯは、例えばＯｐｅｎＡＭ（登録商標）を用いて実現することができる。

ＤＢ５０（第３の装置）は、種々のデータを格納する情報処理装置である。例えば、ＤＢ５０は、ＳＳＯ認証済みであることを示すセッション情報を格納する。なお、ＤＢ５０は、ファイル、ディレクトリ、ユーザストアなどと呼ばれてもよい。

ポータルサーバ６０（ユーザ端末１０及び第３の装置と通信する第５の装置）は、ＤＢ５０からユーザ端末１０に対応するＳＳＯのセッション情報を取得し、ユーザ端末１０に送信する情報処理装置である。また、ポータルサーバ６０は、ユーザ端末１０にＷｅｂ認証を実施させるための情報を通知することができる。

ＳＰサーバ７０は、ＳＳＯ認証済みのユーザ端末１０に対して、サービスを提供する情報処理装置である。なお、サインオンが必要なＳＰサーバ７０が１つであったり、ＳＰサーバ７０がＳＳＯサーバ４０と同一であったりする場合には、ＳＳＯサーバ４０は、ＳＳＯでなくサインオンを行うＷｅｂサーバであってもよい。

ＲＡＤＩＵＳサーバ３０などの各装置の機能構成及びハードウェア構成の一例については、後述する。

なお、当該システム構成は一例であり、これに限られない。例えば、各装置は、図１ではそれぞれ１つずつ含まれる構成としたが、各機器の数はこれに限られず、複数存在してもよい。また、情報処理システム１では、所定の装置の機能が複数の装置により実現される構成としてもよい。例えば、ＳＰサーバ７０は、複数のサーバから構成されてもよい。

また、複数の装置が１つの装置で実現されてもよい。例えば、ＲＡＤＩＵＳサーバ３０、ＤＢ５０及びポータルサーバ６０の少なくとも２つが、単一の装置（例えば、サーバ）で実現されてもよい。

（情報処理方法）
本発明の実施形態に係る情報処理方法（ＳＳＯ認証連携方法）について、以下で説明する。各情報処理方法は、上述の情報処理システムに適用されてもよい。

以下、図４を参照して、具体的な処理の流れについて説明する。図４は、本発明の一実施形態に係る無線ＬＡＮ及びＷｅｂサービスのシングルサインオンのシーケンスの一例を示す図である。

ユーザ端末１０は、ＷＬＣ２０に対して接続を要求する（ステップＳ１）。無線ＬＡＮの場合、８０２．１Ｘ認証が開始される。ユーザが認証情報（例えば、ＩＤ、パスワード（ＰＷＤ）など）をユーザ端末１０に入力し、ユーザ端末１０は、ＷＬＣ２０に当該認証情報を送信する。

次に、ＷＬＣ２０は、ＲＡＤＩＵＳサーバ３０に対して、認証要求（RADIUS/Access-Request）を送信する（ステップＳ２）。ＲＡＤＩＵＳサーバ３０は、ユーザ端末１０の認証を実施し、認証に成功した場合にステップＳ３以降を実施する。ＲＡＤＩＵＳによる認証に失敗した場合は、認証を拒否する旨の認証拒否（RADIUS/Access-Reject）をＷＬＣ２０に送信する。

ＲＡＤＩＵＳによる認証（ユーザ端末１０の無線ＬＡＮ接続の認証）に成功したＲＡＤＩＵＳサーバ３０は、ＳＳＯサーバ４０に対して、Ｗｅｂサービス認証セッションの発行要求を送信する（ステップＳ３）。ステップＳ３は、例えばＲＥＳＴ（Representational State Transfer） ＡＰＩ（Application Programming Interface）、ＲＥＳＴｆｕｌ ＡＰＩなどと呼ばれるインターフェースを介して実施されてもよい。具体的には、ＲＥＳＴ ＡＰＩでは、ＨＴＴＰ ＧＥＴ及び／又はＰＯＳＴを用いて処理要求／応答を通知することができる。

ＳＳＯサーバ４０は、ユーザ認証に成功した場合、認証許可を示す情報を生成し、ＲＡＤＩＵＳサーバ３０に送信する（ステップＳ４）。当該情報は、セッション情報、認証許可情報、認証成功情報、トークン、ＳＳＯトークン、Ｗｅｂサービストークンなどと呼ばれてもよい。また、ステップＳ４は、Ｗｅｂサービス認証セッションの発行処理と呼ばれてもよい。

なお、ステップＳ２−Ｓ４は、別の態様で実現されてもよい。例えば、ステップＳ２の後、ＲＡＤＩＵＳサーバ３０は、ＲＡＤＩＵＳ認証を自ら実施しなくてもよい。この場合、ＲＡＤＩＵＳサーバ３０は、ＲＡＤＩＵＳ認証処理に必要な情報（例えば、ユーザ端末１０のＩＤ及びＰＷＤ）を、ＳＳＯサーバ４０に対して送信する。当該情報は、Ｗｅｂサービス認証セッションの発行要求と同時に送信されてもよい（ステップＳ３’）。ＳＳＯサーバ４０は、ＲＡＤＩＵＳ認証及びＷｅｂサービスの認証を実施し、ＲＡＤＩＵＳ認証結果に関する情報（例えば、認証に成功した旨）及びトークンを送信することができる（ステップＳ４’）。なお、ＳＳＯサーバ４０は、いずれかの認証に失敗した場合は両方失敗したものと判断してもよい。

ＳＳＯトークンを受信したＲＡＤＩＵＳサーバ３０は、当該ＳＳＯトークンをＤＢ５０に登録する（ステップＳ５）。ステップＳ５は、Ｗｅｂサービス認証セッションの登録処理と呼ばれてもよい。なお、ステップＳ５は、ステップＳ６の前又は後に実施してもよいし、ステップＳ６と同時に実施してもよい。

ＲＡＤＩＵＳサーバ３０は、ＷＬＣ２０に対して、認証に成功した旨の認証応答（RADIUS/Access-Accept）を送信する（ステップＳ６）。ここでは、ＲＡＤＩＵＳサーバ３０は、Ｗｅｂサービス認証及びＲＡＤＩＵＳ認証の両方に成功した場合にステップＳ６の認証応答を送信するものとしたが、ステップＳ２の後、ＲＡＤＩＵＳ認証が成功した時点で認証応答を送信してもよい。この場合、ステップＳ３−Ｓ５は認証応答の送信後に実施されてもよい。

ＷＬＣ２０は、ユーザ端末１０に対して、認証結果が成功であったことを示す応答を通知する（ステップＳ７）。ユーザ端末１０は、ステップＳ７の完了時点で、ＷＬＣ２０を介した無線通信を実施することが可能となる。

８０２．１Ｘ認証を終えたユーザ端末１０がＷｅｂアクセス（例えば、ＨＴＴＰＳによるＷｅｂアクセス）を開始すると（ステップＳ８）、ＷＬＣ２０は、当該Ｗｅｂアクセスをポータルサーバ６０にリダイレクト（転送）する（ステップＳ９）。

ユーザ端末１０は、ポータルサーバ６０から指示された情報（例えば、スクリプト）に従ってＷＬＣ２０にアクセスし、ＲＡＤＩＵＳサーバ３０との間でＷｅｂ認証処理を行い、その後ポータルサーバ６０へのリダイレクトが再度行われる（ステップＳ１０）。なお、当該Ｗｅｂ認証処理は、後述するようにバックグラウンドで実施させることが好ましい。

ポータルサーバ６０は、アクセスしてきたユーザ端末１０に対応するＷｅｂサービス認証セッション（トークン）を取得する（ステップＳ１１）。

ポータルサーバ６０は、取得したトークンをＣｏｏｋｉｅ情報（クッキートークンなどと呼ばれてもよい）としてユーザ端末１０に送信する（ステップＳ１２）。Ｃｏｏｋｉｅ情報は、ブラウザに埋め込まれて送信されてもよい。例えば、ポータルサーバ６０は、Ｃｏｏｋｉｅ情報にトークンＩＤを含めて送信することができる。ステップＳ１１及びＳ１２により、ユーザ端末１０がセッション認証済端末かどうかの識別と、ユーザ端末１０へのＷｅｂサービス認証セッションの受渡しが行われる。

トークンを受信したユーザ端末１０がＳＰサーバ７０にアクセスすると（ステップＳ１３）、ＳＰサーバ７０はＳＳＯサーバ４０へのリダイレクトを実施し、認証問合せを行う（ステップＳ１４）。その際、ＳＳＯサーバ４０のトークンをＣｏｏｋｉｅ情報として送信する。例えばＳＡＭＬ連携を用いる場合、ＳＰサーバ７０はＳＡＭＬリクエストを付与して、ＳＳＯサーバ４０にリダイレクトする。

ＳＳＯサーバ４０は、トークンに基づいて、ユーザ端末１０が認証済みであることを確認すると、ＳＰサーバ７０へ認証済みであることを通知する（ステップＳ１５）。例えばＳＡＭＬ連携を用いる場合、ＳＳＯサーバ４０はＳＡＭＬアサーションを付与して、ＳＰサーバ７０にリダイレクトする。ステップＳ１５の後は、ＳＳＯが完了しているため、ユーザ端末１０は各クラウドサービスを利用することができる。

また、ＳＰサーバ７０が、クラウドサービスを提供するサーバでなく、個別にＷｅｂサービスを提供するＳＳＯ保護対象サーバ７０である場合、ユーザ端末１０は、直接ＳＳＯ保護対象サーバ７０に接続し、各Ｗｅｂサービスを利用することができる。また、トークンが所定のＷｅｂサービスに関するトークンである場合、ユーザ端末１０は、当該Ｗｅｂサービスを提供するＷｅｂサーバと直接通信して、当該Ｗｅｂサービスを利用することができる。

図５は、図４のステップＳ１−Ｓ１０のより詳細なシーケンスの一例を示す図である。ステップＳ１において、例えばユーザ端末１０は、ユーザＩＤ（ＩＤ）及びパスワード（ＰＷＤ）を送信する。

ステップＳ２において、ＷＬＣ２０は、ユーザ端末１０から送信されたＩＤ及びＰＷＤに加えて、ユーザ端末１０を特定するための特定情報をＲＡＤＩＵＳサーバ３０に送信する。ここで、特定情報は、例えばユーザ端末１０のＭＡＣ（Media Access Control）アドレス、ユーザ端末１０のシリアル番号、ユーザ端末１０を利用するユーザ名などの少なくとも１つであってもよい。以下では特定情報としてＭＡＣアドレス（図５では、「ClientMAC」で示される）を利用する場合を例に説明するが、これに限られない。なお、ＷＬＣ２０は、ＡＰを介して通信中のユーザ端末１０のＭＡＣアドレスを容易に取得することができる。

ステップＳ３では、ＲＡＤＩＵＳサーバ３０はＳＳＯサーバ４０に対して、ＳＳＯ（又はＷｅｂサービス）の認証処理に必要な情報（例えば、ログインに必要なＩＤ及びＰＷＤなどのアカウント情報）を送信する。ここで、無線ＬＡＮ用のアカウント（ＲＡＤＩＵＳ認証のアカウント）とＳＳＯ用のアカウント（及び／又はＷｅｂサービス用のアカウント）が同じである場合には、ＲＡＤＩＵＳサーバ３０は、ユーザ端末１０から送信されたＩＤ及びＰＷＤを送信することができる。

また、無線ＬＡＮ用のアカウントとＳＳＯ用のアカウントが異なる場合には、ＲＡＤＩＵＳサーバ３０は、ＩＤ及びＰＷＤの組、又は特定情報に基づいて、ＳＳＯ用のアカウントのＩＤ及びＰＷＤを取得し、取得されたＩＤ及びＰＷＤをＳＳＯサーバ４０に送信してもよい。

例えば、ＲＡＤＩＵＳサーバ３０は、無線ＬＡＮ用のアカウントとＳＳＯ用のアカウントとの対応関係に関する情報（例えば、参照テーブル）を保持してもよく、この場合、ＲＡＤＩＵＳサーバ３０は、当該参照テーブルと、ユーザ端末１０から受信した無線ＬＡＮ用アカウントに関する情報（例えば、ＩＤ、ＰＷＤなど）と、に基づいてＳＳＯ用のアカウントに関する情報（例えば、ＩＤ、ＰＷＤなど）を特定してもよい。

ステップＳ４にてトークンが発行された後、ステップＳ５では、ＲＡＤＩＵＳサーバ３０は、受信したトークンを、無線ＬＡＮ用のアカウント情報（ＩＤ及びＰＷＤ）及び特定情報の少なくとも１つとともに（関連付けて）登録（Register）する。図３の例では、ＲＡＤＩＵＳサーバ３０は、ＩＤ、ＭＡＣアドレス及びトークン（Token）をＤＢ５０に通知して登録させる。

ステップＳ６では、ＲＡＤＩＵＳサーバ３０は、認証応答とともに、リダイレクト先のポータルサーバ６０へのアクセスに必要な情報（例えば、アドレス、ＵＲＬ（Uniform Resource Locator））をＷＬＣ２０に送信することができる。なお、リダイレクト先のポータルサーバ６０のアドレスは、予めＷＬＣ２０に設定されるものとしてもよいが、ＲＡＤＩＵＳサーバ３０からの通知により更新可能とすることが好ましい。また、ＲＡＤＩＵＳサーバ３０は、ユーザ識別情報（例えば、ＩＤ、特定情報など）をＷＬＣ２０に送信してもよい。

ステップＳ７で無線接続が確立された後、例えばユーザ端末１０のユーザがブラウザを起動しＷｅｂアクセスを実施する（ここでは、Ｗｅｂページとして”www.test.com”にアクセスするものとするが、アクセス対象はこれに限られない）。ユーザ端末１０はＷｅｂ認証にてまだ認証されていないため、ＷＬＣ２０のＷｅｂ認証のリダイレクト機能により、ステップＳ６で指定されたＵＲＬ（ポータルサーバ６０）に強制的にリダイレクトされる（ステップＳ８−Ｓ９）。

この際、ユーザ端末１０がポータルサーバ６０に送信するＨＴＴＰ ＧＥＴリクエストには、例えば、特定情報（client_mac）、ユーザ端末１０が接続するＡＰのＭＡＣアドレス（ap_mac）、ユーザの資格情報を記録するコントローラのＵＲＬ（switch_url（スイッチＵＲＬ））、認証に成功した後ユーザがリダイレクトされるＵＲＬ（redirect（リダイレクトＵＲＬ））、ユーザ端末１０が利用するＷＬＡＮのＳＳＩＤ（Service Set Identifier）（wlan）などが含まれてもよい。これらの情報は、ＵＲＬクエリ文字列（ＵＲＬパラメータ）として送信することができる。

ポータルサーバ６０は、ユーザ端末１０にバックグラウンドでＷｅｂ認証処理を行わせるための情報（例えば、スクリプト、パラメータなど）を返す。例えば、スイッチＵＲＬにはＷｅｂ認証のＵＲＬを指定し、リダイレクトＵＲＬにはＷｅｂ認証後にリダイレクトされるポータルサーバＵＲＬ（セッションを受け渡すためのＵＲＬ）を含めてもよい。

ユーザ端末１０は、Ｗｅｂ認証のため、ＷＬＣ２０にユーザ識別情報（例えば、ＩＤ、特定情報など）及びパスワードを送信する（ステップＳ１０）。ここでは、ユーザ識別情報としてユーザ名（uname）及びパスワード（pwd）を送信している。なお、リダイレクトＵＲＬを送信してもよい。

Ｗｅｂ認証を開始したＷＬＣ２０は、アカウンティング要求（RADIUS/Accounting-Request）をＲＡＤＩＵＳサーバ３０に送信する。アカウンティング要求には、アカウンティングステータス（「開始」を示す「START」）、アカウンティング対象のセッションＩＤ（Session-ID）及び特定情報（例えば、ユーザ端末１０のＭＡＣアドレス）を含めて送信してもよい。

ＲＡＤＩＵＳサーバ３０は、ユーザ端末１０が既にＲＡＤＩＵＳ認証に成功したと判断した（Ｗｅｂ認証処理に成功した）場合、ユーザ端末１０へのアカウンティング開始のステータスを示す情報（例えば、開始フラグ（Acct-Start-flag））をＤＢ５０に登録（格納、設定などともいう）する。ＲＡＤＩＵＳサーバ３０は、受信した特定情報に基づいて、開始フラグを登録する対象となるユーザ端末１０を判断してもよい。

また、ＲＡＤＩＵＳサーバ３０は、ＤＢ５０に対して、開始フラグを、セッションＩＤ及び／又は特定情報と関連付けて送信（登録）してもよい。登録に成功後、ＲＡＤＩＵＳサーバ３０は、アカウンティング応答（RADIUS/Accounting-Response）をＷＬＣ２０に送信する。ここで、Ｗｅｂ認証処理が完了する（ＷＬＣ２０のステータスが実行中（Run）となる）。

図６は、図４のステップＳ１０−Ｓ１２のより詳細なシーケンスの一例を示す図である。ＷＬＣ２０は、Ｗｅｂ認証処理が完了したため、ポータルサーバ６０に再度リダイレクトする（ステップＳ１０）。ポータルサーバ６０は、ＤＢ５０にアクセスして、特定情報に対応する情報を選択し、開始フラグが設定されているか及び／又はＳＳＯステータスを確認する。開始フラグが設定されている場合、ＳＳＯステータスを「開始」としてＤＢ５０に更新登録するようにしてもよい。また、特定情報に対応するＳＳＯトークンを取得する（ステップＳ１１）。

ポータルサーバ６０は、取得したトークンを、Ｃｏｏｋｉｅ情報としてユーザ端末１０に送信する（ステップＳ１２）。トークンを受信したユーザ端末１０は、ポータルサーバ６０に対して、所定のクラウドサービスのＷｅｂページ、ＷｅｂサービスのＷｅｂページ、又はユーザ端末１０がアクセス可能なクラウドサービス及び／又はＷｅｂサービスなどが列挙されたＷｅｂページ（ポータルページ、userhomeなどと呼ばれてもよい）のＧＥＴリクエストを送信してもよい。

以上説明した情報処理方法の実施形態によれば、無線ＬＡＮを利用するユーザは、無線ＬＡＮ接続時に一度認証を行うだけで、Ｗｅｂサービスやクラウドサービスを、ＩＤ及びパスワードの入力なしで利用することが可能となる。

特に、上記実施形態によれば、ＷＬＣ２０のＷｅｂ認証のリダイレクト機能を用いてポータルサーバ６０からのトークン取得処理を自動的に行うことができる。ＲＡＤＩＵＳサーバ３０がリダイレクト先のポータルサーバ６０のアドレス（ＵＲＬなど）をＷＬＣ２０に設定することができるため、例えばユーザ端末１０を利用するユーザがポータルサーバ６０のアドレスを事前に知らない場合であっても、接続する無線ＬＡＮサービス（ＷＬＣ２０）に応じて適切なポータルサーバ６０との通信を行うことができる。

また、一旦ＳＳＯ連携可能な無線ＬＡＮに接続し、当該無線ＬＡＮのアカウント情報を記憶したユーザ端末であれば、ユーザのＩＤ／ＰＷＤの入力処理を省くことができるため、ユーザのＷｅｂサービス利用に係る負担を大きく軽減することができる。

なお、上記図５−６のステップＳ１０−Ｓ１１により、ユーザ端末１０は、ブラウザによる初回Ｗｅｂアクセス時にトークンを取得できることが保証される。しかしながら、ステップＳ１０−Ｓ１１を省略してもよい。この場合、ステップＳ９の後、ポータルサーバ６０は、ユーザ端末１０の特定情報を利用して、ＤＢ５０からトークンを取得してもよい（ステップＳ１１’）。Ｗｅｂ認証処理を省略することで、トークン取得にかかる時間を短縮することができる。

ユーザ端末１０の無線接続が切断された場合には、ＳＳＯトークンを有効のまま（認証セッションを維持）としてもよいが、ＳＳＯトークンを無効とする（認証セッションを破棄する）ことが好ましい。

図７は、本発明の一実施形態に係る認証セッション無効化のシーケンスの一例を示す図である。ステータスが実行中（Run）であるＷＬＣ２０は、周期的及び／又は任意のタイミングで、ユーザ端末１０との無線通信が維持されているか否かを確認する。無線ＬＡＮ（Ｗｉ−Ｆｉ）が切断されている場合、ＷＬＣ２０は、これを検知する。

ＷＬＣ２０は、アカウンティング停止（RADIUS/Accounting-Request(Stop)）をＲＡＤＩＵＳサーバ３０に送信する。アカウンティング停止には、ＨＴＴＰのセッションＩＤ（Session-ID）を含めて送信してもよい。

ＲＡＤＩＵＳサーバ３０は、ＳＳＯサーバ４０に対して、ＲＥＳＴ ＡＰＩを介してユーザ端末１０に対応するトークンについてのログアウトを指示する。ＳＳＯサーバ４０は、ログアウトに成功したことをＲＡＤＩＵＳサーバ３０に通知する。

ＲＡＤＩＵＳサーバ３０は、ＤＢ５０に対して、セッションＩＤを削除するように指示する。ＤＢ５０は、セッションＩＤの削除に成功したことをＲＡＤＩＵＳサーバ３０に通知する。

ＲＡＤＩＵＳサーバ３０は、ＷＬＣ２０に対して、アカウンティング返答（RADIUS/Accounting-Response）を送信する。ここで、認証セッションの無効化処理が完了する。なお、図５では、ＷＬＣ２０がユーザ端末１０の無線ＬＡＮ切断を契機に認証セッションの無効化処理を進める例を示したが、これに限られない。例えば、ユーザ端末１０が、ＷＬＣ２０に所定の信号を送信することにより、ＷＬＣ２０が当該ユーザ端末１０の認証セッションの無効化処理を実施するものとしてもよい。

なお、以上の実施形態では、ユーザ端末１０が無線ＬＡＮを利用するものとしたが、これに限られない。例えば、ユーザ端末が、有線ＬＡＮ、電話回線、他のネットワーク及び他のアクセス網の少なくとも１つのアカウントにログインする場合に、当該アカウントに基づいてＳＳＯ（又はＷｅｂサービス）のログイン処理を行うようにしてもよい。他のネットワークとしては、例えば、ＬＴＥ（Long Term Evolution）、ＬＴＥ−Ａ（LTE-Advanced）、ＧＳＭ（登録商標）（Global System for Mobile communications）、ＷＣＤＭＡ（登録商標）、ＣＤＭＡ２０００、ＩＥＥＥ ８０２．１６（ＷｉＭＡＸ（登録商標））、ＩＥＥＥ ８０２．２０、Ｂｌｕｅｔｏｏｔｈ（登録商標）、その他の無線通信方法及び／又はこれらに基づいて拡張された次世代通信方式に、上述のＳＳＯ認証連携方法を適用してもよい。

（機器の構成）
図８は、本発明の一実施形態に係るＲＡＤＩＵＳサーバ３０の機能構成の一例を示す図である。ＲＡＤＩＵＳサーバ３０は、制御部３１と、記憶部３２と、通信部３３と、入力部３４と、出力部３５と、を有する。なお、本例では、本実施形態における特徴部分の機能ブロックを主に示しており、ＲＡＤＩＵＳサーバ３０は、他の処理に必要な他の機能ブロックも有してもよい。また、一部の機能ブロックを含まない構成としてもよい。

制御部３１は、ＲＡＤＩＵＳサーバ３０の制御を実施する。制御部３１は、本発明に係る技術分野での共通認識に基づいて説明されるコントローラ、制御回路又は制御装置により構成することができる。

制御部３１は、本発明の一実施形態に係る認証処理部などを構成することができる。例えば、制御部３１は、ＷＬＣ２０からの通知に基づいて、ユーザ端末１０に関する通信サービス（例えば、無線通信）の認証処理を行う認証処理部として機能する制御を行ってもよい。また、当該認証処理部は、ユーザ端末１０（ＷＬＣ２０）からの通知に基づいて、当該ユーザ端末１０のＷｅｂ認証処理を行ってもよい。なお、当該通知は、ポータルサーバ６０からユーザ端末１０に送信された、Ｗｅｂ認証処理を行わせるための情報に基づいてもよい。

記憶部３２は、ＲＡＤＩＵＳサーバ３０で利用する情報を記憶（保持）する。例えば、記憶部３２は、ユーザ端末１０の特定情報や、トークンなどを記憶してもよい。記憶部３２は、例えば、本発明に係る技術分野での共通認識に基づいて説明されるメモリ、ストレージ、記憶装置などにより構成することができる。

通信部３３は、他の装置との間で種々の情報を通信する。通信部３３は、本発明に係る技術分野での共通認識に基づいて説明されるトランスミッター／レシーバー、送受信回路又は送受信装置により構成することができる。なお、通信部３３は、送信部及び受信部から構成されてもよい。

例えば通信部３３は、ユーザ端末１０に関する通信サービスの認証処理に成功した場合、ＳＳＯサーバ４０に対して、当該ユーザ端末１０に関するＷｅｂサービス（ＳＳＯ）の認証処理に必要な情報を送信し、当該必要な情報を用いて取得されたＷｅｂサービス（ＳＳＯ）の認証許可情報を受信してもよい。

通信部３３は、Ｗｅｂサービス（ＳＳＯ）の認証許可情報（トークン）をＤＢ５０に送信してもよい。また、通信部３３は、ＤＢ５０に格納されたトークンを取得するために用いられる所定の情報（ＵＲＬなど）を、ＷＬＣ２０に送信してもよい。

また、通信部３３は、ＷＬＣ２０から、ユーザ端末１０を特定するための特定情報（例えば、ＭＡＣアドレス）を受信し、ＳＳＯサーバ４０から受信したトークンを、当該特定情報と関連付けてＤＢ５０に送信してもよい。

また、通信部３３は、Ｗｅｂ認証処理に成功した場合、ユーザ端末１０へのアカウンティング開始のステータスを示す情報を、当該ユーザ端末１０の特定情報と関連付けてＤＢ５０に送信（登録）してもよい。

入力部３４は、ユーザからの操作により入力を受け付ける。また、入力部３４は、所定の機器や記憶媒体と接続され、データの入力を受け付けてもよい。入力部３４は、入力結果を例えば制御部３１に出力してもよい。

入力部３４は、本発明に係る技術分野での共通認識に基づいて説明されるキーボード、マウス、ボタンなどの入力装置、入力端子、入力回路などにより構成することができる。また、入力部３４は、表示部と一体となった構成（例えば、タッチパネル）としてもよい。

出力部３５は、種々の情報をユーザが認識できるように出力する。例えば、出力部３５は、画像を表示する表示部、音声を出力する音声出力部などを含んで構成されてもよい。表示部は、例えば、本発明に係る技術分野での共通認識に基づいて説明されるディスプレイ、モニタなどの表示装置により構成することができる。また、音声出力部は、本発明に係る技術分野での共通認識に基づいて説明されるスピーカーなどの出力装置により構成することができる。

出力部３５は、例えば、本発明に係る技術分野での共通認識に基づいて説明される演算器、演算回路、演算装置、プレイヤー、画像／映像／音声処理回路、画像／映像／音声処理装置、アンプなどを含んで構成することができる。

ユーザ端末１０、ＷＬＣ２０、ＳＳＯサーバ４０、ＤＢ５０、ポータルサーバ６０、ＳＰサーバ７０などについても、図８と同様の構成を有してもよい。例えば、ＷＬＣ２０の制御部は、通信サービスの認証処理に成功したユーザ端末１０からのＷｅｂアクセスに対して、ポータルサーバ６０へのリダイレクトを実施するように制御してもよい。ここで、当該リダイレクトの際は、ユーザ端末１０の特定情報をあわせて送信してもよい。また、ポータルサーバ６０の制御部は、当該リダイレクトに基づいて、ＤＢ５０からトークンを取得し、ユーザ端末１０に送信するように制御してもよい。

（ハードウェア構成）
なお、上記実施形態の説明に用いたブロック図は、機能単位のブロックを示している。これらの機能ブロック（構成部）は、ハードウェア及び／又はソフトウェアの任意の組み合わせによって実現される。また、各機能ブロックの実現手段は特に限定されない。すなわち、各機能ブロックは、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線又は無線で接続し、これら複数の装置により実現されてもよい。

例えば、本発明の一実施形態におけるＲＡＤＩＵＳサーバ３０などは、本発明の情報通信方法の処理を行うコンピュータとして機能してもよい。図９は、本発明の一実施形態に係るＲＡＤＩＵＳサーバ３０のハードウェア構成の一例を示す図である。上述のＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などは、物理的には、プロセッサ１００１、メモリ１００２、ストレージ１００３、通信装置１００４、入力装置１００５、出力装置１００６、バス１００７などを含むコンピュータ装置として構成されてもよい。

なお、以下の説明では、「装置」という文言は、回路、デバイス、ユニットなどに読み替えることができる。ＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などのハードウェア構成は、図に示した各装置を１つ又は複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。

例えば、プロセッサ１００１は１つだけ図示されているが、複数のプロセッサがあってもよい。また、処理は、１のプロセッサで実行されてもよいし、処理が同時に、逐次に、又はその他の手法で、１以上のプロセッサで実行されてもよい。

ＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などにおける各機能は、プロセッサ１００１、メモリ１００２などのハードウェア上に所定のソフトウェア（プログラム）を読み込ませることで、プロセッサ１００１が演算を行い、通信装置１００４による通信や、メモリ１００２及びストレージ１００３におけるデータの読み出し及び／又は書き込みを制御することで実現される。

プロセッサ１００１は、例えば、オペレーティングシステムを動作させてコンピュータ全体を制御する。プロセッサ１００１は、周辺装置とのインターフェース、制御装置、演算装置、レジスタなどを含む中央処理装置（ＣＰＵ：Central Processing Unit）で構成されてもよい。なお、上述の制御部１１などの各部は、プロセッサ１００１で実現されてもよい。プロセッサ１００１は、１以上のチップで実装されてもよい。

また、プロセッサ１００１は、プログラム（プログラムコード）、ソフトウェアモジュールやデータを、ストレージ１００３及び／又は通信装置１００４からメモリ１００２に読み出し、これらに従って各種の処理を実行する。プログラムとしては、上述の実施形態で説明した動作の少なくとも一部をコンピュータに実行させるプログラムが用いられる。例えば、制御部１１は、メモリ１００２に格納され、プロセッサ１００１で動作する制御プログラムによって実現されてもよく、他の機能ブロックについても同様に実現されてもよい。

メモリ１００２は、コンピュータ読み取り可能な記録媒体であり、例えば、ＲＯＭ（Read Only Memory）、ＥＰＲＯＭ（Erasable Programmable ROM）、ＥＥＰＲＯＭ（Electrically EPROM）、ＲＡＭ（Random Access Memory）、その他の適切な記憶媒体の少なくとも１つで構成されてもよい。メモリ１００２は、レジスタ、キャッシュ、メインメモリ（主記憶装置）などと呼ばれてもよい。メモリ１００２は、本発明の一実施形態に係る情報処理方法を実施するために実行可能なプログラム（プログラムコード）、ソフトウェアモジュールなどを保存することができる。

ストレージ１００３は、コンピュータ読み取り可能な記録媒体であり、例えば、フレキシブルディスク、フロッピー（登録商標）ディスク、光磁気ディスク（例えば、コンパクトディスク（ＣＤ−ＲＯＭ（Compact Disc ROM）など）、デジタル多用途ディスク、Ｂｌｕ−ｒａｙ（登録商標）ディスク）、リムーバブルディスク、ハードディスクドライブ、スマートカード、フラッシュメモリデバイス（例えば、カード、スティック、キードライブ）、磁気ストライプ、データベース、サーバ、その他の適切な記憶媒体の少なくとも１つで構成されてもよい。ストレージ１００３は、補助記憶装置と呼ばれてもよい。なお、上述の記憶部１２は、メモリ１００２及び／又はストレージ１００３で実現されてもよい。

通信装置１００４は、有線及び／又は無線ネットワークを介してコンピュータ間の通信を行うためのハードウェア（送受信デバイス）であり、例えばネットワークデバイス、ネットワークコントローラ、ネットワークカード、通信モジュールなどともいう。なお、上述の通信部１３は、通信装置１００４で実現されてもよい。

入力装置１００５は、外部からの入力を受け付ける入力デバイス（例えば、キーボード、マウスなど）である。出力装置１００６は、外部への出力を実施する出力デバイス（例えば、ディスプレイ、スピーカーなど）である。なお、入力装置１００５及び出力装置１００６は、一体となった構成（例えば、タッチパネル）であってもよい。なお、上述の入力部１４及び出力部１５は、それぞれ入力装置１００５及び出力装置１００６で実現されてもよい。

また、プロセッサ１００１やメモリ１００２などの各装置は、情報を通信するためのバス１００７で接続される。バス１００７は、単一のバスで構成されてもよいし、装置間で異なるバスで構成されてもよい。

また、ＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などは、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ：Digital Signal Processor）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＰＬＤ（Programmable Logic Device）、ＦＰＧＡ（Field Programmable Gate Array）などのハードウェアを含んで構成されてもよく、当該ハードウェアにより、各機能ブロックの一部又は全てが実現されてもよい。例えば、プロセッサ１００１は、これらのハードウェアの少なくとも１つで実装されてもよい。

（変形例）
なお、本明細書で説明した用語及び／又は本明細書の理解に必要な用語については、同一の又は類似する意味を有する用語と置き換えてもよい。

本明細書で説明した情報、パラメータなどは、絶対値で表されてもよいし、所定の値からの相対値で表されてもよいし、対応する別の情報で表されてもよい。また、本明細書においてパラメータなどに使用する名称は、いかなる点においても限定的なものではない。

本明細書で説明した情報、信号などは、様々な異なる技術のいずれかを使用して表されてもよい。例えば、上記の説明全体に渡って言及され得るデータ、命令、コマンド、情報、信号、ビット、シンボル、チップなどは、電圧、電流、電磁波、磁界若しくは磁性粒子、光場若しくは光子、又はこれらの任意の組み合わせによって表されてもよい。

情報、信号などは、複数のネットワークノードを介して入出力されてもよい。入出力された情報、信号などは、特定の場所（例えば、メモリ）に保存されてもよいし、テーブルで管理してもよい。入出力される情報、信号などは、上書き、更新又は追記をされ得る。出力された情報、信号などは、削除されてもよい。入力された情報、信号などは、他の装置へ送信されてもよい。

また、所定の情報の通知（例えば、「Ｘであること」の通知）は、明示的に行うものに限られず、暗示的に（例えば、当該所定の情報の通知を行わないことによって又は別の情報の通知によって）行われてもよい。

ソフトウェアは、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語と呼ばれるか、他の名称で呼ばれるかを問わず、命令、命令セット、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行可能ファイル、実行スレッド、手順、機能などを意味するよう広く解釈されるべきである。

また、ソフトウェア、命令、情報などは、伝送媒体を介して送受信されてもよい。例えば、ソフトウェアが、有線技術（同軸ケーブル、光ファイバケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ：Digital Subscriber Line）など）及び／又は無線技術（赤外線、マイクロ波など）を使用してウェブサイト、サーバ、又は他のリモートソースから送信される場合、これらの有線技術及び／又は無線技術は、伝送媒体の定義内に含まれる。

本明細書で使用する「システム」及び「ネットワーク」という用語は、互換的に使用される。

本明細書で説明した各態様／実施形態は単独で用いてもよいし、組み合わせて用いてもよいし、実行に伴って切り替えて用いてもよい。また、本明細書で説明した各態様／実施形態の処理手順、シーケンス、フローチャートなどは、矛盾の無い限り、順序を入れ替えてもよい。例えば、本明細書で説明した方法については、例示的な順序で様々なステップの要素を提示しており、提示した特定の順序に限定されない。

本明細書で使用する「に基づいて」という記載は、別段に明記されていない限り、「のみに基づいて」を意味しない。言い換えれば、「に基づいて」という記載は、「のみに基づいて」と「に少なくとも基づいて」の両方を意味する。

以上、本発明について詳細に説明したが、当業者にとっては、本発明が本明細書中に説明した実施形態に限定されるものではないということは明らかである。本発明は、特許請求の範囲の記載により定まる本発明の趣旨及び範囲を逸脱することなく修正及び変更態様として実施することができる。したがって、本明細書の記載は、例示説明を目的とするものであり、本発明に対して何ら制限的な意味を有するものではない。

１ 情報処理システム
１０ ユーザ端末
２０ 無線システム（ＡＰ／無線ＬＡＮコントローラ）
３０ 認証サーバ（ＲＡＤＩＵＳサーバ）
４０ ＳＳＯサーバ
５０ データベース
６０ 認証連携サーバ（ポータルサーバ）
７０ クラウドサービスプロバイダサーバ／ＳＳＯ保護対象サーバ

本発明の一態様に係る情報処理システムは、ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、前記第４の装置は、前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部と、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、前記認証許可情報を前記第３の装置に送信する送信部と、を有し、前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有し、前記送信部は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、前記受信部は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記認証許可情報を、前記第２の装置から受信することを特徴とする。

Claims (15)

1. ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、
   前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
   前記認証許可情報を前記第３の装置に送信する送信部と、を有し、
   前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有することを特徴とする情報処理システム。
2. 前記第４の装置は、前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部を有し、
   前記送信部は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
   前記受信部は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記Ｗｅｂサービスの認証許可情報を、前記第２の装置から受信することを特徴とする請求項１に記載の情報処理システム。
3. 前記第２の装置は、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部を有し、
   前記送信部は、前記第２の装置に対して、前記通信サービスの認証処理に必要な情報及び前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
   前記受信部は、前記第２の装置において前記通信サービスの認証処理が成功した場合に、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記Ｗｅｂサービスの認証許可情報を、前記第２の装置から受信することを特徴とする請求項１に記載の情報処理システム。
4. 前記第１の装置は、前記通信サービスの認証処理に成功した前記ユーザ端末からのＷｅｂアクセスに対して、前記第５の装置へのリダイレクトを実施するように制御し、
   前記第５の装置は、前記リダイレクトに基づいて、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信することを特徴とする請求項１から請求項３のいずれかに記載の情報処理システム。
5. 前記送信部は、前記第３の装置に格納された前記認証許可情報を取得するために用いられる所定の情報を、前記第１の装置に送信することを特徴とする請求項４に記載の情報処理システム。
6. 前記所定の情報は、前記第５の装置のＵＲＬ（Uniform Resource Locator）であり、
   前記第１の装置は、前記通信サービスの認証処理に成功した前記ユーザ端末からのＷｅｂアクセスを、前記第５の装置のＵＲＬにリダイレクトするように制御することを特徴とする請求項５に記載の情報処理システム。
7. 前記受信部は、前記第１の装置から、前記ユーザ端末を特定するための特定情報を受信し、
   前記送信部は、前記認証許可情報を、前記特定情報と関連付けて前記第３の装置に送信し、
   前記第１の装置は、前記第５の装置へのリダイレクトの際に、前記特定情報を前記第５の装置に送信するように制御し、
   前記第５の装置は、前記特定情報を用いて、前記第３の装置から前記認証許可情報を取得することを特徴とする請求項５又は請求項６に記載の情報処理システム。
8. 前記第５の装置は、前記ユーザ端末にＷｅｂ認証処理を行わせるための情報を送信し、
   前記第４の装置は、当該情報に従って送信された通知に基づいて、前記Ｗｅｂ認証処理を行うことを特徴とする請求項７に記載の情報処理システム。
9. 前記送信部は、前記Ｗｅｂ認証処理に成功した場合、前記ユーザ端末へのアカウンティング開始のステータスを示す情報を、前記特定情報と関連付けて前記第３の装置に送信することを特徴とする請求項７又は請求項８に記載の情報処理システム。
10. 前記特定情報は、前記ユーザ端末のＭＡＣ（Media Access Control）アドレスであることを特徴とする請求項７から請求項９のいずれかに記載の情報処理システム。
11. 前記通信サービスは、無線通信サービスであり、
    当該無線通信サービスの認証処理としてＲＡＤＩＵＳ（Remote Authentication Dial In User Service）認証が用いられることを特徴とする請求項１から請求項１０のいずれかに記載の情報処理システム。
12. 前記認証許可情報は、複数のＷｅｂサービスに関するシングルサインオン（ＳＳＯ：Single Sign On）のセッション情報であることを特徴とする請求項１から請求項１１のいずれかに記載の情報処理システム。
13. ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を用いる情報処理方法であって、
    前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する工程と、
    前記認証許可情報を前記第３の装置に送信する工程と、を有し、
    前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う工程を有することを特徴とする情報処理方法。
14. ユーザ端末に対して通信サービスを提供する第１の装置、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置、及びデータを格納する第３の装置、と通信する情報処理装置であって、
    前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部と、
    前記通信サービスの認証処理に成功した場合、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
    前記認証許可情報を前記第３の装置に送信する送信部と、を有することを特徴とする情報処理装置。
15. ユーザ端末に対して通信サービスを提供する第１の装置、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置、及びデータを格納する第３の装置、と通信する情報処理装置のコンピュータに、
    前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う手順と、
    前記通信サービスの認証処理に成功した場合、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する手順と、
    前記認証許可情報を前記第３の装置に送信する手順と、を実行させるためのプログラム。
    
    

Images