JP2020112886A - サービスシステム、クラウドサービス、ユーザ登録方法、プログラム - Google Patents

Abstract

【課題】テナント内で認証されたユーザをクラウドサービスが管理するテナントと対応付けて登録できるサービスシステムを提供すること。【解決手段】複数のテナント３０を管理するクラウドサービス４０と、クラウドサービスが提供するサービスを利用する機器１０がネットワークを介して通信可能なサービスシステムであって、クラウドサービスは、前記機器を特定できる情報と前記ユーザの識別情報を受信する第二の通信部７６と、機器を識別する機器識別情報と前記テナントを識別するテナント識別情報とに基づいて、前記第二の通信部が受信した前記機器を特定できる情報により特定された前記機器識別情報の機器が所属するテナントを決定する機器管理部７４と、前記機器管理部が決定した前記テナントに対応付けて前記第二の通信部が受信した前記ユーザの識別情報を登録するユーザ管理部７３と、を有することを特徴とする。【選択図】図１

Description

本発明は、サービスシステム、クラウドサービス、ユーザ登録方法、及び、プログラムに関する。

社内の認証サービスとして、例えばＬＤＡＰ（Lightweight Directory Access Protocol）を採用したディレクトリサーバなどが利用されている。一方、社内のユーザがクラウドサービスを利用する場合には、ユーザはクラウドサービスの認証を受けなくてはならない。つまり、ユーザは社内の認証サービスとクラウドサービスのそれぞれから認証を受ける必要がある。

そこで、従来から社内のアカウント情報でクラウドサービスも利用できる技術が考案されている（例えば、特許文献１参照。）。特許文献１には、通常使用するアカウント情報をそのまま使用して、組織内のサーバ等からの直接の通信がセキュリティ上制限されている外部のサービスに対してユーザ認証を行った上で利用することができるアカウント情報連携システムが開示されている。

しかしながら、従来の技術では、テナント内の認証サーバでユーザを認証した結果だけでは、クラウドサービス上のどのテナントとユーザを紐づければよいのか判断ができないという問題があった。補足すると、テナント内の認証サーバはテナント内でユーザの識別や認証が可能なシングルテナント構成であるが、クラウドサービスは複数の企業から使用されるためマルチテナント構成となっている。この状況でテナント内のユーザがクラウドサービスを利用できるようにするために自分をクラウドサービスに登録したい場合がある。しかし、上記のようにテナント内で認証されたユーザはテナント内でしか識別されないので、マルチテナント構成のクラウドサービスのどのテナントに対応付けてユーザを登録すればよいかクラウドサービス側が特定することが困難であった。

本発明は、上記課題に鑑み、テナント内で認証されたユーザをクラウドサービスが管理するテナントと対応付けて登録できるサービスシステムを提供することを目的とする。

上記課題に鑑み、本発明は、複数のテナントを管理するクラウドサービスと、前記クラウドサービスが提供するサービスを利用する機器がネットワークを介して通信可能なサービスシステムであって、前記機器は、前記機器を特定できる情報と前記機器を操作するユーザの識別情報を前記クラウドサービスに送信する第一の通信部、を有し、
前記クラウドサービスは、前記機器を特定できる情報と前記ユーザの識別情報を受信する第二の通信部と、機器を識別する機器識別情報と前記テナントを識別するテナント識別情報とに基づいて、前記第二の通信部が受信した前記機器を特定できる情報により特定された前記機器識別情報の機器が所属するテナントを決定する機器管理部と、前記機器管理部が決定した前記テナントに対応付けて前記第二の通信部が受信した前記ユーザの識別情報を登録するユーザ管理部と、を有することを特徴とする。

テナント内で認証されたユーザをクラウドサービスが管理するテナントと対応付けて登録できるサービスシステムを提供することができる。

サービスシステムにおいて、ユーザがクラウドサービスに自分を登録する際の処理の概略を説明する図である。 サービスシステムの全体的な構成例を説明する図である。 クラウドサービスのハードウェア構成図の一例である。 機器のハードウェア構成図の一例である。 サービスシステムが有するクラウドサービス、及びテナントが有する機能をブロック状に示す機能ブロック図の一例である。 機器から社内認証システムのユーザ情報をクラウドサービスに登録する手順を説明するシーケンス図の一例である。 ユーザ登録画面の一例を示す図である。

以下、本発明を実施するための形態の一例として、サービスシステムとサービスシステムが行うユーザ登録方法について図面を参照しながら説明する。

＜動作の概略＞
図１は、本実施形態のサービスシステム１００において、ユーザがクラウドサービス４０Ｂに自分を登録する際の処理の概略を説明する図である。
（１）まず、事前にクラウドサービス４０Ｂには各テナントＡ，Ｂ（符号は３０Ａ，３０Ｂ）と機器Ａ，Ｂ（符号は１０Ａ，１０Ｂ）が登録されている。
（２）機器Ａを操作してユーザ１がクラウドサービス４０Ｂに自分を新たに登録するため、ユーザ情報をクラウドサービス４０Ｂに送信する。機器Ｂを操作してユーザ２がクラウドサービス４０Ｂに自分を新たに登録するため、ユーザ情報をクラウドサービス４０Ｂに送信する。
（３）クラウドサービス４０Ｂはユーザ登録に使用された機器Ａに対応付けられているテナントＡを特定することで、テナントＡに対応付けてユーザ１を登録できる。また、ユーザ登録に使用された機器Ｂに対応付けられているテナントＢを特定することで、テナントＢに対応付けてユーザ２を登録できる。

このように、事前にクラウド側に登録されている機器１０からユーザが自分自身を新たに登録するため、テナント内のユーザをクラウドサービスのどのテナントに紐づけるのか自動的に判断できる。

＜用語について＞
クラウドサービスとは、従来はユーザの手元のコンピュータで利用していたデータやソフトウェアを、ネットワーク経由でサービスとして利用者に提供することをいう。

機器を特定できる情報とは１つ以上のテーブルを参照して機器を特定できる情報の他、機器識別情報そのものでもよい。本実施形態では、機器を特定できる情報として機器認証チケットが使用され、機器識別情報としてシリアルＩＤが使用される。

ユーザ登録とはユーザがクラウドサービス等を利用できる状態にすることをいい、具体的にはユーザを認証するためのアカウントを登録することをいう。

＜構成例＞
図２を用いてサービスシステム１００の全体的な構成例を説明する。図２に示すように、サービスシステム１００は、テナント３０Ａ、テナント３０Ｂ、クラウドサービス４０Ａ、及び、クラウドサービス４０Ｂを有している。なお、以下では、テナント３０Ａ、３０Ｂのうち任意のテナントの符号を「３０」とし、クラウドサービス４０Ａ、４０Ｂのうち任意のクラウドサービスの符号を「４０」とし、機器１０Ａ、１０Ｂのうち任意の機器の符号を「１０」とし、ＰＣ２０Ａ、２０Ｂのうち任意のＰＣの符号を「２０」とし、社内認証システム５０Ａ，５０Ｂのうち任意の社内認証システムの符号を「５０」とする。

テナント３０Ａ、テナント３０Ｂ、クラウドサービス４０Ａ、及び、クラウドサービス４０Ｂはネットワークを介して通信可能に接続されている。ネットワークは、社内ネットワークでは例えばＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）であり、社内ネットワーク同士をインターネットなど一般的なネットワークで接続されている。この他、広域イーサネット（登録商標）、ＶＰＮ（Virtual Private Network）などの専用線を含んでもよい。なお、ネットワークの一部又は全部がＷｉ−Ｆｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）、３Ｇ、４Ｇ、ＬＴＥ（Long Term Evolution）、５Ｇ、及び、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの無線により通信してもよい。

テナント３０とはクラウドサービス４０のリソースを利用する顧客である。また、顧客とは企業や自治体などクラウドサービス４０と契約した団体をいう。シングルテナントは顧客が１つのシステムを専有する方式であり、マルチテナントは1つのシステムを複数の顧客が共同で利用する方式をいう。クラウドサービス４０Ａ，４０Ｂからは顧客をテナントとして扱われる。一方、各テナント３０には社内ネットワーク又はイントラネットがあり、各ユーザは社内ネットワークからクラウドサービス４０Ａ，４０Ｂにアクセスする。

各テナント３０Ａ，３０Ｂには、機器１０、ＰＣ２０（Personal Computer）、及び、社内認証システム５０が設置されている。機器１０はオフィスや工場などの社内ネットワークからクラウドサービス４０Ｂと通信してクラウドサービス４０Ｂを利用する事務機器が想定されている。ただし、機器１０は常時、クラウドサービス４０Ｂと通信することまでは要求されない。機器１０は、例えばＭＦＰ（Multi−Function Peripheral）や複合機と呼ばれる。あるいは、画像形成装置、プリンタ、印刷装置、複写機、コピー機などと呼ばれてもよい。また、機器１０は電子黒板、プロジェクタ、又は、テレビ会議端末など、クラウドサービス４０Ｂと通信し、ユーザがユーザ登録に使用できるものであればよい。

ＰＣ２０はユーザが使用する汎用的な情報処理装置であり、クラウドサービス４０Ａ、４０Ｂを利用したり、業務に使用したりする。本実施形態ではユーザ登録の際に電子メールを受信する。ＰＣ２０は、例えばデスクトップＰＣ、ノートＰＣ、スマートフォン、携帯電話、タブレット端末、ＰＤＡ（Personal Digital Assistant）、ウェアラブルＰＣなどである。

社内認証システム５０は、社内ネットワークで利用されている認証システムである。例えば、ユーザやコンピュータの情報を集中管理する「ディレクトリサービス」へのアクセス時に用いられるＬＤＡＰというプロトコルを使用したシステムである。ユーザを認証する機能やアクセス権限を制御する機能がある。商品としてはＡＤ（Active Directory：登録商標）が知られている。

クラウドサービス４０Ａは認証サービス６０を有し、各種のクラウドサービスをテナント３０に提供する。認証サービス６０としてユーザがクラウドサービス４０Ｂにシングルサインオンすること（詳細は後述する）を可能にして、クラウドサービス４０Ｂの代わりにユーザ認証することができる。この他、クラウドサービス４０Ａは、例えばスケジュール管理、共有フォルダなど、一般的なクラウドサービスをテナント３０に提供する。なお、テナント３０のユーザがクラウドサービス４０Ａの認証サービス６０を利用しない場合、クラウドサービス４０Ａはなくてもよい。

クラウドサービス４０Ｂは認証サービス７０を有し、テナント３０の機器１０及びユーザを認証する。ユーザの認証の際は、クラウドサービス４０Ａと連携してユーザの認証を依頼する場合がある。このように別のシステムの認証結果を他のシステムで利用することをシングルサインオンという。シングルサインオンの規格としては、ＯＰＥＮ ＩＤ及びＯＡＵＴＨなどがある。

クラウドサービス４０Ｂは、認証が成功した機器１０を認証が成功したユーザが使用する場合に、ユーザが所属するテナントとの契約に応じた種々のクラウドサービスを提供する。例えば、機器１０で使用できるワークフローリストを機器１０に送信したり、ワークフローの作成を受け付けたり、ワークフローに含まれるアプリをクラウド側で実行したりする。ワークフローとは、画像データなどの電子データに対し実行される１以上の処理であり、各処理を決まった順番で自動的に実行することをいう。例えばスキャンした画像データをテキストに変換したり翻訳したりすることなどができる。

＜ハードウェア構成例＞
<<クラウドサービス>>
図３は、クラウドサービス４０Ａ，４０Ｂのハードウェア構成図の一例である。図３に示されているように、クラウドサービス４０Ａ，４０Ｂは、コンピュータによって構築されており、ＣＰＵ５０１、ＲＯＭ５０２、ＲＡＭ５０３、ＨＤ５０４、ＨＤＤ(Hard Disk Drive)コントローラ５０５、ディスプレイ５０６、外部機器接続Ｉ／Ｆ(Interface)５０８、ネットワークＩ／Ｆ５０９、データバス５１０、キーボード５１１、ポインティングデバイス５１２、ＤＶＤ−ＲＷ(Digital Versatile Disk Rewritable)ドライブ５１４、メディアＩ／Ｆ５１６を備えている。

これらのうち、ＣＰＵ５０１は、クラウドサービス４０Ａ，４０Ｂ全体の動作を制御する。ＲＯＭ５０２は、ＩＰＬ等のＣＰＵ５０１の駆動に用いられるプログラムを記憶する。ＲＡＭ５０３は、ＣＰＵ５０１のワークエリアとして使用される。ＨＤ５０４は、プログラム等の各種データを記憶する。ＨＤＤコントローラ５０５は、ＣＰＵ５０１の制御にしたがってＨＤ５０４に対する各種データの読み出し又は書き込みを制御する。ディスプレイ５０６は、カーソル、メニュー、ウィンドウ、文字、又は画像などの各種情報を表示する。外部機器接続Ｉ／Ｆ５０８は、各種の外部機器を接続するためのインターフェースである。この場合の外部機器は、例えば、ＵＳＢ(Universal Serial Bus)メモリやプリンタ等である。ネットワークＩ／Ｆ５０９は、通信ネットワークを利用してデータ通信をするためのインターフェースである。データバス５１０は、図３に示されているＣＰＵ５０１等の各構成要素を電気的に接続するためのアドレスバスやデータバス等である。

また、キーボード５１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。ポインティングデバイス５１２は、各種指示の選択や実行、処理対象の選択、カーソルの移動などを行う入力手段の一種である。ＤＶＤ−ＲＷドライブ５１４は、着脱可能な記録媒体の一例としてのＤＶＤ−ＲＷ５１３に対する各種データの読み出し又は書き込みを制御する。なお、ＤＶＤ−ＲＷに限らず、ＤＶＤ−Ｒ等であってもよい。メディアＩ／Ｆ５１６は、フラッシュメモリ等の記録メディア５１５に対するデータの読み出し又は書き込み（記憶）を制御する。

なお、ＰＣ２０及び社内認証システム５０のハードウェア構成は図３と同様であるか、又は、異なるとしても本実施形態の説明の上では支障がないものとする。

＜＜機器＞＞
図４は、機器１０のハードウェア構成図の一例である。図４では機器１０としてＭＦＰを想定して説明する。図４に示されているように、機器１０は、コントローラ９１０、近距離通信回路９２０、エンジン制御部９３０、操作パネル９４０、ネットワークＩ／Ｆ９５０を備えている。

これらのうち、コントローラ９１０は、コンピュータの主要部であるＣＰＵ９０１、システムメモリ（ＭＥＭ−Ｐ）９０２、ノースブリッジ（ＮＢ）９０３、サウスブリッジ（ＳＢ）９０４、ＡＳＩＣ(Application Specific Integrated Circuit)９０６、記憶部であるローカルメモリ（ＭＥＭ−Ｃ）９０７、ＨＤＤコントローラ９０８、及び、記憶部であるＨＤ９０９を有し、ＮＢ９０３とＡＳＩＣ９０６との間をＡＧＰ(Accelerated Graphics Port)バス９２１で接続した構成となっている。

これらのうち、ＣＰＵ９０１は、ＭＦＰの全体制御を行う制御部である。ＮＢ９０３は、ＣＰＵ９０１と、ＭＥＭ−Ｐ９０２、ＳＢ９０４、及びＡＧＰバス９２１とを接続するためのブリッジであり、ＭＥＭ−Ｐ９０２に対する読み書きなどを制御するメモリコントローラと、ＰＣ２０Ｉ(Peripheral Component Interconnect)マスタ及びＡＧＰターゲットとを有する。

ＭＥＭ−Ｐ９０２は、コントローラ９１０の各機能を実現させるプログラムやデータの格納用メモリであるＲＯＭ９０２ａ、プログラムやデータの展開、及びメモリ印刷時の描画用メモリなどとして用いるＲＡＭ９０２ｂとからなる。なお、ＲＡＭ９０２ｂに記憶されているプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよい。

ＳＢ９０４は、ＮＢ９０３とＰＣ２０Ｉデバイス、周辺デバイスとを接続するためのブリッジである。ＡＳＩＣ９０６は、画像処理用のハードウェア要素を有する画像処理用途向けのＩＣ(Integrated Circuit)であり、ＡＧＰバス９２１、ＰＣ２０Ｉバス９２２、ＨＤＤコントローラ９０８及びＭＥＭ−Ｃ９０７をそれぞれ接続するブリッジの役割を有する。このＡＳＩＣ９０６は、ＰＣ２０Ｉターゲット及びＡＧＰマスタ、ＡＳＩＣ９０６の中核をなすアービタ（ＡＲＢ）、ＭＥＭ−Ｃ９０７を制御するメモリコントローラ、ハードウェアロジックなどにより画像データの回転などを行う複数のＤＭＡＣ(Direct Memory Access Controller)、並びに、スキャナ部９３１及びプリンタ部９３２との間でＰＣ２０Ｉバス９２２を介したデータ転送を行うＰＣ２０Ｉユニットとからなる。なお、ＡＳＩＣ９０６には、ＵＳＢ(Universal Serial Bus)のインターフェースや、ＩＥＥＥ１３９４(Institute of Electrical and Electronics Engineers 1394）のインターフェースを接続するようにしてもよい。

ＭＥＭ−Ｃ９０７は、コピー用画像バッファ及び符号バッファとして用いるローカルメモリである。ＨＤ９０９は、画像データの蓄積、印刷時に用いるフォントデータの蓄積、フォームの蓄積を行うためのストレージである。ＨＤ９０９は、ＣＰＵ９０１の制御にしたがってＨＤ９０９に対するデータの読出又は書込を制御する。ＡＧＰバス９２１は、グラフィック処理を高速化するために提案されたグラフィックスアクセラレータカード用のバスインタフェースであり、ＭＥＭ−Ｐ９０２に高スループットで直接アクセスすることにより、グラフィックスアクセラレータカードを高速にすることができる。

また、近距離通信回路９２０には、近距離通信回路アンテナ９２０ａが備わっている。近距離通信回路９２０は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ等の通信回路である。

更に、エンジン制御部９３０は、スキャナ部９３１及びプリンタ部９３２によって構成されている。また、操作パネル９４０は、現在の設定値や選択画面等を表示させ、操作者からの入力を受け付けるタッチパネル等のパネル表示部９４０ａ、並びに、濃度の設定条件などの画像形成に関する条件の設定値を受け付けるテンキー及びコピー開始指示を受け付けるスタートキー等からなる操作パネルハードキー９４０ｂを備えている。コントローラ９１０は、ＭＦＰ全体の制御を行い、例えば、描画、通信、操作パネル９４０からの入力等を制御する。スキャナ部９３１又はプリンタ部９３２には、誤差拡散やガンマ変換などの画像処理部分が含まれている。

なお、ＭＦＰは、操作パネル９４０のアプリケーション切り替えキーにより、ドキュメントボックス機能、コピー機能、プリンタ機能、及びファクシミリ機能を順次に切り替えて選択することが可能となる。ドキュメントボックス機能の選択時にはドキュメントボックスモードとなり、コピー機能の選択時にはコピーモードとなり、プリンタ機能の選択時にはプリンタモードとなり、ファクシミリモードの選択時にはファクシミリモードとなる。

また、ネットワークＩ／Ｆ９５０は、通信ネットワークを利用してデータ通信をするためのインターフェースである。近距離通信回路９２０及びネットワークＩ／Ｆ９５０は、ＰＣ２０Ｉバス９２２を介して、ＡＳＩＣ９０６に電気的に接続されている。

＜機能について＞
続いて、図５を用いて、サービスシステム１００が有する機能を説明する。図５は、サービスシステム１００が有するクラウドサービス４０Ｂ、及びテナント３０が有する機能をブロック状に示す機能ブロック図の一例である。

＜＜クラウドサービス＞＞
クラウドサービス４０Ｂは、ユーザ管理画面生成部７１、テナント管理部７２、ユーザ管理部７３、機器管理部７４、機器認証・認可部７５、及び、通信部７６を有している。これらは認証サービス７０が提供する機能である。また、クラウドサービス４０Ｂが有するこれらの機能は、図３に示したＣＰＵ５０１がＨＤ５０４からＲＡＭ５０３に展開されたプログラムを実行することで実現される機能又は手段である。

また、クラウドサービス４０Ｂは、ＲＯＭ５０２、ＨＤ５０４又はＲＡＭ５０３により実現される一時情報記憶部８１、テナント情報記憶部８２、ユーザ情報記憶部８３、機器情報記憶部８４、及び、機器セッション情報記憶部８５を有している。まず、これら各記憶部について説明する。

表１は機器情報記憶部８４に記憶されている機器情報の一例を示す。機器情報は機器１０とテナントを対応付ける情報である。機器情報記憶部８４は、テナントＩＤ、及びシリアルＩＤの各項目を有する。「利用するケース」は本実施形態を説明するための項目であり、後述するシーケンス図の説明で使用する。他の表についても同様である。表１に示すように、社内ネットワークの各機器１０はクラウドサービス４０Ｂにおいてテナント３０と対応付けて登録されている。なお、テナントＩＤはテナントを一意に識別又は登録するためのテナント識別情報である。シリアルＩＤは機器１０を一意に識別又は登録するための機器識別情報である。ＩＤはIdentificationの略であり識別子や識別情報という意味である。ＩＤは複数の対象から、ある特定の対象を一意的に区別するために用いられる名称、符号、文字列、数値又はこれらのうち１つ以上の組み合わせをいう。以下のＩＤについても同様である。

表２は機器セッション情報記憶部８５に記憶されている機器セッション情報の一例を示す。機器セッション情報はクラウドサービス４０Ｂを利用する機器１０をクラウドサービス４０Ｂが認証するための情報である。機器セッション情報記憶部８５は、チケットＩＤ、及びシリアルＩＤの各項目を有する。機器１０の認証の要求に対し、機器１０を証明する機器認証チケットがクラウドサービス４０Ｂにより発行され、機器１０と対応付けて機器セッション情報記憶部８５に登録される。なお、チケットＩＤは機器認証チケットを一意に識別又は登録するための識別情報であるが、表２の構成から機器を特定できる情報となる。

表３はユーザ情報記憶部８３に記憶されているユーザ情報の一例を示す。ユーザ情報は各ユーザの認証に関する情報とユーザがどのテナントに所属するかを保持している。ユーザ情報記憶部８３は、テナントＩＤ、ユーザＩＤ、姓名、メールアドレス、パスワード、及び、ステータスの各項目を有する。テナントＩＤ、ユーザＩＤ、姓名、及びメールアドレスまでは、機器１０からユーザ登録を行うことで登録される。登録直後、パスワードは空欄で、ステータスは登録未完了状態となっている。ユーザがクラウドサービス４０Ｂから受信した電子メールにしたがってユーザ登録処理を完了させる（パスワードを登録又はシングルサインオンを使用する旨を通知）までは、ユーザはクラウドサービス４０Ｂを利用することができない。なお、ユーザＩＤはユーザを一意に識別又は登録するための識別情報である。

表４は一時情報記憶部８１に記憶されている一時情報の一例を示す。一時情報はユーザの登録時に電子メールの宛先のユーザと一時コードを対応付けて管理するための情報である。一時情報記憶部８１は、一時コード、テナントＩＤ、及び、ユーザＩＤの各項目を有する。この一時コードが含まれるＵＲＬが電子メールでユーザに送信され、ユーザがＵＲＬをクリックすることで、ユーザ登録を要求したユーザがユーザ登録を確認したと判断される。なお、一時コードはユーザの登録処理を識別する識別情報である。

表５はテナント情報記憶部８２に記憶されているテナント情報の一例を示す。テナント情報はテナントのログイン方法を管理する。テナント情報記憶部８２は、テナントＩＤ、及び、ログイン方法を有する。クラウドサービス４０Ｂは、様々なログイン方法をサポートしているため、テナント単位でログイン方法を変更することができる。

（クラウドサービスの機能について）
ユーザ管理画面生成部７１は、機器１０又はＰＣ２０に各種の画面の画面情報を提供するＷｅｂサーバとして機能する。画面情報はＨＴＭＬ、スクリプト言語（JavaScript：登録商標）、及び、ＣＳＳ（Cascade Style Sheet）などで記述されている。画面情報をＷｅｂページやＷｅｂアプリという場合もある。Ｗｅｂアプリとは、単にブラウザソフト上で動作するスクリプト言語で記述されたアプリをいう場合もあるし、ブラウザソフト上で動作するスクリプト言語で記述されたプログラムとＷｅｂサーバ側のプログラムが協調することによって動作するソフトウェア又はその仕組みを言う場合もある。

テナント管理部７２は、テナント情報記憶部８２におけるテナント情報を管理する。テナント情報記憶部８２に情報を登録し、また、テナント情報記憶部８２から情報を読み出す。

ユーザ管理部７３は、ユーザ情報記憶部８３におけるユーザ情報を管理する。ユーザ情報記憶部８３に情報を登録し、また、ユーザ情報記憶部８３から情報を読み出す。例えば、ユーザ管理部７３は、機器１０からのユーザ登録要求を受け付けて、ユーザＩＤ等をユーザ情報記憶部８３に登録し、ユーザのメールアドレスにユーザ登録メールを送信する。この時、一時情報記憶部８１に一時コード等を登録しておく。ユーザ登録メールに記載されているＵＲＬにアクセスがあった場合、ＵＲＬに記載されている情報から一時コードを取得して、一時情報記憶部８１から登録処理を行ったユーザとテナントを特定する。

機器管理部７４は、機器情報記憶部８４における機器１０に関する情報を管理する。機器情報記憶部８４に情報を登録し、また、機器情報記憶部８４から情報を読み出す。本実施形態では、機器情報記憶部８４には予めテナントＩＤとシリアルＩＤが登録されているものとする。

機器認証・認可部７５は、機器１０の認証要求に対し機器１０の認証情報(機器認証チケット)を発行し、発行後は認証情報（機器認証チケット）を検証する。

通信部７６は、機器１０、ＰＣ２０、及び、クラウドサービス４０Ａと各種の情報を送受信する。

＜＜機器＞＞
機器１０は、表示制御部１１、操作受付部１２、テナント内認証サービス連携部１３、機器認証部１４、認証サービス連携部１５、及び、通信部１６を有している。機器１０が有するこれらの機能は、図４に示したＣＰＵ９０１がＨＤ９０９からＲＡＭ９０２ｂに展開されたプログラムを実行することで実現される機能又は手段である。

通信部１６は、クラウドサービス４０Ｂと各種の情報を送受信する。表示制御部１１は、クラウドサービス４０Ｂから送信される画面情報に基づいて生成した画面をパネル表示部９４０ａに表示する。例えば、ユーザがユーザ登録を開始するためのログイン＆ユーザ登録画面を表示する。操作受付部１２は機器１０に対する各種の操作を受け付ける。

テナント内認証サービス連携部１３は、社内認証システム５０と連携する。例えば、ユーザが入力した認証情報によるユーザの認証を要求し、社内認証システム５０から認証結果（認証成功、認証失敗）を取得する。

機器認証部１４は、クラウドサービス４０Ｂに機器１０の認証を要求し、機器１０の機器認証チケットを取得する。認証サービス連携部１５は、クラウドサービス４０Ｂにユーザの登録、ユーザ認証などを要求する。

＜＜社認証内システム＞＞
社内認証システム５０は、ユーザ登録画面生成部５１、ユーザ認証部５２、ユーザ管理部５３、及び、通信部５４、を有する。社内認証システム５０が有するこれらの機能は、図３に示したＣＰＵ５０１がＨＤ５０４からＲＡＭ５０３に展開されたプログラムを実行することで実現される機能又は手段である。

また、社内認証システム５０は、ＲＯＭ５０２、ＨＤ５０４又はＲＡＭ５０３により実現されるユーザ情報記憶部５５、及び、セッション情報記憶部５６を有している。ユーザ情報記憶部５５に記憶される情報は、表３のユーザ情報記憶部８３のうち、テナントＩＤとステータスを除く情報である。この他、社内で使用する部署名などを保持していてもよい。セッション情報記憶部５６には機器１０を操作するユーザを認証した場合に機器１０との間で接続されたセッションに関する情報が記憶されている。

通信部５４は、機器１０と各種の情報を送受信する。ユーザ登録画面生成部５１は、ユーザが社内認証システム５０にユーザを登録する場合にユーザ登録画面の画面情報を生成する。本実施形態では社内認証システム５０にユーザを登録する処理については説明されない。

ユーザ認証部５２は、ＰＣ２０又は機器１０からユーザの認証要求を受け取ると、ユーザ情報記憶部５５を参照して、ユーザの認証結果を生成する。ユーザ管理部５３はユーザ情報記憶部５５のユーザ情報を管理する。

＜＜ＰＣ＞＞
ＰＣ２０ではブラウザ２１が動作しており、ＰＣ２０はブラウザ２１を介してクラウドサービス４０Ａ，４０Ｂと通信する。ブラウザ２１は通信部２２、表示制御部２３、及び、操作受付部２４を有している。

通信部２２はクラウドサービス４０Ａ，４０Ｂと各種の情報を送受信する。表示制御部２３は、ユーザ登録画面の画面情報に基づいてユーザ登録画面をディスプレイ５０６に表示する。操作受付部２４はブラウザ２１に対する各種の操作を受け付ける。

＜動作手順＞
図６は、機器１０から社内認証システム５０のユーザ情報をクラウドサービス４０Ｂに登録する手順を説明するシーケンス図の一例である。

S1：ユーザは機器１０の操作パネル９４０に対し社内認証システム５０にログインするための操作を入力する。すなわち、認証情報として、例えばユーザＩＤとパスワードを入力する。ＩＣカードのカードＩＤをカードリーダに読み取らせたり、生体情報を入力したりしてもよい。

S1-1：機器１０の操作受付部１２はログイン操作を受け付ける。ここではログインできたものとする。

S2：次に、ユーザはクラウドサービス４０Ｂを利用するものとする。このため、まず、クラウドサービス４０Ｂを利用するための準備を行う。ユーザがクラウドサービス４０Ｂを呼び出すアイコンなどを押下すると、操作受付部１２がこれを受け付ける。

S2−1：機器１０の機器認証部１４は通信部１６を介して機器１０のシリアルＩＤと共に機器１０の認証要求をクラウドサービス４０Ｂに送信する。クラウドサービス４０Ｂの機器認証・認可部７５は通信部７６を介して機器１０の認証要求を受信し、機器認証チケットを生成して機器セッション情報記憶部８５のシリアルＩＤに対応付けて機器認証チケットを登録する（表２参照）。クラウドサービス４０Ｂの通信部７６は機器認証チケットを機器１０に送信する。

S2−2：機器１０の通信部１６は機器認証チケットを受信する。機器１０の認証サービス連携部１５は機器認証チケットとシリアルＩＤを使ってクラウドサービス４０Ｂにアクセスする。クラウドサービス４０Ｂの通信部７６がアクセスを受け付けると機器認証・認可部７５が機器セッション情報記憶部８５に機器認証チケットとデバイスＩＤが対応付けて登録されているか否かに応じて、機器１０を認証する。認証が成功した場合、クラウドサービス４０Ｂのユーザ管理画面生成部７１は通信部７６を介してログイン＆ユーザ登録画面の画面情報を機器１０に送信する。ログイン＆ユーザ登録画面はクラウドサービス４０Ｂにログインするための認証情報（パスワードとユーザＩＤ）の入力欄を有する共に、未登録のユーザのユーザ登録を開始するためのボタンを有する既存の画面である。

機器１０の通信部１６はログイン＆ユーザ登録画面の画面情報を受信し、表示制御部１１がパネル表示部９４０ａにログイン＆ユーザ登録画面を表示する。

S3：次に、ユーザは機器１０が登録されているテナントへユーザ登録を行うため、ログイン＆ユーザ登録画面でユーザ登録を開始するためのボタンを押下する。操作受付部１２はボタンの押下を受け付ける。

S3−1：機器１０のテナント内認証サービス連携部１３は通信部１６を介して、ユーザＩＤと共にユーザ情報を社内認証システム５０に要求する。社内認証システム５０の通信部５４はユーザ情報の要求を受信し、ユーザ管理部５３がユーザ情報記憶部５５からユーザＩＤに対応付けられているメールアドレスと姓名を取得する。社内認証システム５０の通信部５４はメールアドレスと姓名を機器１０に送信する。機器１０の通信部１６はメールアドレスと姓名を受信する。

S3−2：機器１０の認証サービス連携部１５は通信部１６を介して、ユーザの登録要求（ユーザＩＤ、機器認証チケット、メールアドレス、姓名）をクラウドサービス４０Ｂに送信する。ここで機器認証チケットでなくシリアルＩＤを送信してもよい。シリアルＩＤであればテナントを直接（機器認証チケットでシリアルＩＤを特定しなくても）特定できる。なお、ステップS3−2では機器１０がユーザＩＤを送信しているが、ユーザＩＤは送信されなくてもよい。この場合、クラウドサービス４０ＢがメールアドレスからユーザＩＤを生成する。例えば、メールアドレスが「xxxxx@example.com」の場合、クラウドサービス４０Ｂは「xxxxx」をユーザＩＤとする。

S3−2−1：クラウドサービス４０Ｂの通信部７６はユーザの登録要求を受信し、機器認証・認可部７５が機器セッション情報記憶部８５から機器認証チケットに対応付けられているシリアルＩＤを取得する（表２参照）。また、機器管理部７４は機器情報記憶部８４からシリアルＩＤに対応付けられているテナントＩＤを取得する（テナントを決定する）。これにより、シリアルＩＤからテナントを決定できた（表１参照）。

S3−2−2：次に、ユーザ管理部７３はユーザ情報記憶部８３にユーザ情報を登録する（表３参照）。この時点では、テナントＩＤ、ユーザＩＤ、メールアドレス、及び、姓名を登録できる。

S3−2−3：次に、ユーザ管理部７３は一時コードを発行する。一時コード、テナントＩＤ、及びユーザＩＤを一時情報記憶部８１に登録する（表４参照）。

S3−2−4：ユーザ管理部７３はユーザ登録をしてよいかを確認するために、電子メール（ユーザ登録メール）を作成する。一時情報記憶部８１からユーザＩＤに対応付けられている一時コードを取得して、ＵＲＬに含ませる（表４参照）。ユーザ管理部７３は、ＵＲＬを含む電子メールをユーザ情報記憶部８３でユーザＩＤに対応付けられているメールアドレスに送信する。

クラウドサービス４０Ｂの通信部７６はユーザ登録メールを送信した旨を機器１０に送信する。機器１０の通信部１６は登録メールを送信した旨を受信し、表示制御部１１が登録メールを送信した旨をパネル表示部９４０ａに表示する。これにより、ユーザはＰＣ２０で電子メールを開くべきであることを把握できる。

S4：ユーザが自分のＰＣ２０を操作してメールを開く。ＰＣ２０の操作受付部２４が操作を受け付け、表示制御部２３がメールを表示する。

S4−1：ユーザがＵＲＬをポインティングデバイスで押下すると、ＰＣ２０の操作受付部２４が受け付け、一時コードが含まれるＵＲＬを通信部２２が宛先にして、ユーザ登録画面の表示要求をクラウドサービス４０Ｂに送信する。

S4−1−1：クラウドサービス４０Ｂの通信部７６はユーザ登録画面の表示要求を受信し、ユーザ管理部７３は一時情報記憶部８１からＵＲＬに含まれる一時コードに対応付けられたユーザＩＤとテナントＩＤを取得する（表４参照）。

S4−1−2：次に、ユーザ管理部７３はテナント情報記憶部８２からテナントＩＤに対応付けられているログイン方法を取得する（表５参照）。

S4−1−3：ユーザ管理画面生成部７１はログイン方法に応じたユーザ登録画面の画面情報を生成する。このようにして、テナントが登録しているログイン方法に適したユーザ登録画面を生成できる。換言するとテナントに応じたユーザ登録画面の画面情報を生成できる。

例えば、ログイン方法が「メールアドレス」である場合、クラウドサービス４０Ｂのアカウントでログインするので、ログインするためのメールアドレスとパスワードを入力できるユーザ登録画面を表示する。

ログイン方法が「クラウドサービス４０Ａ」の場合、ユーザはクラウドサービス４０Ａのアカウントでクラウドサービス４０Ｂにログインするので、クラウドサービス４０Ｂのアカウントとクラウドサービス４０Ａのアカウントを対応付けるための連携ボタンを有するユーザ登録画面を表示する。なお、ユーザ登録画面の一例を図７に示す。以下では、ログイン方法が「メールアドレス」の場合を説明する。

クラウドサービス４０Ｂの通信部７６はユーザ登録画面の画面情報をＰＣ２０に送信する。ＰＣ２０の通信部２２はユーザ登録画面の画面情報を受信し、表示制御部２３がディスプレイ５０６にユーザ登録画面を表示する。

S5：ユーザはユーザ登録画面にユーザ情報記憶部８３に登録される情報を入力する。すでに、テナントＩＤ、メールアドレス、及び、姓名がすでに登録されているのでパスワードを入力する。ＰＣ２０の操作受付部２４は操作を受け付ける。

S6：ユーザはパスワードを登録する操作をＰＣ２０に入力する。ＰＣ２０の操作受付部２４は操作を受け付ける。

S6−1：ＰＣ２０の通信部２２はパスワードの登録要求をクラウドサービス４０Ｂに送信する。クラウドサービス４０Ｂの通信部７６はクッキーなどにより、ユーザ登録画面の画面情報の送信先のユーザからパスワードが送信されたことを検出できるが、必要であれば、ＰＣ２０からユーザＩＤを送信しておくとよい。

S6−1−1：クラウドサービス４０Ｂの通信部７６はパスワードの登録要求を受信し、ユーザ管理部７３がユーザ情報記憶部８３のユーザＩＤに対応付けてパスワードを登録する（表３参照）。また、ユーザ管理部７３はユーザ情報記憶部８３のステータスを「有効」に変更する。これにより、ユーザはクラウドサービス４０Ｂにログイン可能になる。

S6−1−2：クラウドサービス４０Ｂのユーザ管理画面生成部７１はユーザが登録に使用した機器１０の種別に応じたログイン後の画面の画面情報を生成する。機器１０の種別とは例えばＭＦＰや電子黒板などをいう。例えば、ＭＦＰの場合、このＭＦＰの印刷設定を提供するＷｅｂページの画面情報を生成することができる。また、電子黒板の場合、この電子黒板の初期設定を提供するＷｅｂページの画面情報を生成することができる。

＜ユーザ登録画面の例＞
図７はユーザ登録画面４０１、４１１の一例を示す。図７（ａ）はログイン方法が「メールアドレス」の場合のユーザ登録画面４０１の一例を示し、図７（ｂ）はログイン方法が「クラウドサービス４０Ａ」の場合のユーザ登録画面４１１の一例である。

図７（ａ）のユーザ登録画面４０１は、ユーザＩＤ欄４０２、メールアドレス欄４０３、姓名欄４０４、及び、パスワード欄４０５を有する。ユーザＩＤ欄４０２、メールアドレス欄４０３、姓名欄４０４には、ステップS3−2−2で登録されたユーザＩＤ、メールアドレス、及び、姓名が表示されている。ユーザはパスワードを入力することで、ユーザ登録を完了できる。

図７（ｂ）のユーザ登録画面４１１は、「クラウドサービス４０Ａのアカウントでログインする」ボタン４１２を有する。このボタン４１２が押下されると、いわゆるシングルサインオンによりユーザはクラウドサービス４０Ａのアカウントでクラウドサービス４０Ｂにログインできるようになる。シングルサインオンを実現する方式はいくつかあるので一例を説明する。
１．まず、ユーザが図７（ｂ）のボタン４１２を押下すると、その旨をクラウドサービス４０Ｂが受信してクラウドサービス４０Ａに認可リクエストを送信する。
２．クラウドサービス４０ＢはＰＣ２０をクラウドサービス４０Ａにリダイレクトさせて、ＰＣ２０はクラウドサービス４０Ａのログイン画面を表示する。
３．ユーザがクラウドサービス４０Ａの認証情報を入力してＰＣ２０がクラウドサービス４０Ａに送信する。クラウドサービス４０Ａで認証が成功すると、クラウドサービス４０ＡはＩＤとアクセストークンをクラウドサービス４０Ｂに送信する。
４．クラウドサービス４０ＢはこのＩＤとアクセストークンをクラウドサービス４０ＢのユーザＩＤと対応付けておくことで、クラウドサービス４０Ｂはクラウドサービス４０Ａにおけるユーザの識別が可能になる。
５．クラウドサービス４０ＡはＩＤとアクセストークンをＰＣ２０に送信してＰＣ２０をクラウドサービス４０Ｂにリダイレクトさせて、ＰＣ２０はクラウドサービス４０Ｂのログイン後の画面を表示する。ＰＣ２０はＩＤとアクセストークンでクラウドサービス４０Ｂと通信する。クラウドサービス４０Ｂとしてはパスワードの管理が不要になり、ユーザとしてはクラウドサービス４０Ａのパスワードでクラウドサービス４０Ｂにログインできる。

＜まとめ＞
以上説明したように、本実施形態のサービスシステム１００は、事前にクラウド側に登録されている機器１０からユーザが自分自身を新たに登録するため、テナント内のユーザをクラウドサービスのどのテナントに紐づけるのか自動的に判断できる。

＜その他の適用例＞
以上、本発明を実施するための最良の形態について実施例を用いて説明したが、本発明はこうした実施例に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

例えば、本実施例に記載された装置群は、本明細書に開示された実施形態を実施するための複数のコンピューティング環境のうちの１つを示すものにすぎない。

ある実施形態では、クラウドサービス４０Ｂは、サーバクラスタといった複数のコンピューティングデバイスを含む。複数のコンピューティングデバイスは、ネットワークや共有メモリなどを含む任意のタイプの通信リンクを介して互いに通信するように構成されており、本明細書に開示された処理を実施する。同様に、社内認証システム５０は、互いに通信するように構成された複数のコンピューティングデバイスを含むことができる。更に、クラウドサービス４０Ｂは、開示された処理ステップ、例えば図６の処理を様々な組み合わせで共有するように構成できる。

また、明細書中の対応テーブル（表）は、機械学習の学習効果によって生成されたものでもよい。また、取引内容の記載に含まれうるキーワードと勘定項目とを機械学習にて分類付けすることで、対応テーブルを使用しなくてもよい。
ここで、機械学習とは、コンピュータに人のような学習能力を獲得させるための技術であり，コンピュータが，データ識別等の判断に必要なアルゴリズムを，事前に取り込まれる学習データから自律的に生成し，新たなデータについてこれを適用して予測を行う技術のことをいう。機械学習のための学習方法は、教師あり学習、教師なし学習、半教師学習、強化学習、深層学習のいずれかの方法でもよく、更に、これらの学習方法を組み合わせた学習方法でもよく、機械学習のための学習方法は問わない。

また、以上の実施例で示した図５の構成例は、サービスシステム１００の処理の理解を容易にするために、主な機能に応じて分割したものである。しかし、各処理単位の分割の仕方や名称によって本願発明が制限されることはない。サービスシステム１００は、処理内容に応じて更に多くの処理単位に分割することもできる。また、１つの処理単位が更に多くの処理を含むように分割することもできる。

また、上記で説明した実施形態の各機能は、一又は複数の処理回路によって実現することが可能である。ここで、本明細書における「処理回路」とは、電子回路により実装されるプロセッサのようにソフトウェアによって各機能を実行するようプログラミングされたプロセッサや、上記で説明した各機能を実行するよう設計されたASIC（Application Specific Integrated Circuit）、DSP（digital signal processor）、FPGA（field programmable gate array）や従来の回路モジュール等のデバイスを含むものとする。

なお、通信部１６は第一の通信部の一例であり、通信部７６は第二の通信部の一例である。

１０ 機器
２０ ＰＣ
３０ テナント
４０ クラウドサービス
１００ サービスシステム

特開２０１２‐１８１６６２号公報

Claims (8)

1. 複数のテナントを管理するクラウドサービスと、前記クラウドサービスが提供するサービスを利用する機器がネットワークを介して通信可能なサービスシステムであって、
   前記機器は、
   前記機器を特定できる情報と前記機器を操作するユーザの識別情報を前記クラウドサービスに送信する第一の通信部、を有し、
   前記クラウドサービスは、
   前記機器を特定できる情報と前記ユーザの識別情報を受信する第二の通信部と、
   前記機器を識別する機器識別情報と前記テナントを識別するテナント識別情報とに基づいて、前記第二の通信部が受信した前記機器を特定できる情報により特定された前記機器識別情報の機器が所属するテナントを決定する機器管理部と、
   前記機器管理部が決定した前記テナントに対応付けて前記第二の通信部が受信した前記ユーザの識別情報を登録するユーザ管理部と、
   を有することを特徴とするサービスシステム。
2. 前記機器は、前記機器が設置されたテナント内で前記ユーザを認証する認証サービスと、
   前記認証サービスへ認証要求し、認証が成功した場合に前記ユーザの識別情報を前記認証サービスから取得するテナント内認証サービス連携部と、を有し、
   前記第一の通信部は、前記テナント内認証サービス連携部が取得した前記ユーザの識別情報を前記クラウドサービスに送信することを特徴とする請求項１に記載のサービスシステム。
3. 前記クラウドサービスは、
   前記機器管理部が決定した前記テナントに応じたユーザ登録画面の画面情報を生成するユーザ管理画面生成部を有し、
   前記ユーザは前記ユーザ管理画面生成部が生成した前記ユーザ登録画面からユーザ登録のため情報を入力することを特徴とする請求項２に記載のサービスシステム。
4. 前記ユーザ管理画面生成部は、前記テナントと該テナントのログイン方法とに基づいて、前記機器管理部が決定したテナントのログイン方法に応じた前記ユーザ登録画面の画面情報を生成することを特徴とする請求項３に記載のサービスシステム。
5. 前記第一の通信部は、前記テナント内認証サービス連携部が前記認証サービスから取得した前記ユーザのメールアドレスを前記クラウドサービスに送信し、
   前記ユーザ管理部は、ユーザの登録要求に対しユーザの登録処理を識別する一時コードを生成し、
   前記ユーザ管理部は、前記一時コードを有するＵＲＬが記載された電子メールを前記ユーザのメールアドレスに送信し、
   前記ユーザが前記ＵＲＬにアクセスした場合、前記ＵＲＬに含まれる前記一時コードで前記ユーザを認証し、認証が成功した場合、前記ユーザ管理画面生成部は前記テナントに応じたユーザ登録画面の画面情報を生成することを特徴とする請求項３又は４に記載のサービスシステム。
6. テナントが有する機器を特定できる情報と前記機器を操作するユーザの識別情報をクラウドサービスに送信する機器と、ネットワークを介して通信するクラウドサービスであって、
   前記機器を特定できる情報と前記ユーザの識別情報を受信する第二の通信部と、
   機器を識別する機器識別情報と前記テナントを識別するテナント識別情報とに基づいて、前記第二の通信部が受信した前記機器を特定できる情報により特定された前記機器識別情報の機器が所属するテナントを決定する機器管理部と、
   前記機器管理部が決定した前記テナントに対応付けて前記第二の通信部が受信した前記ユーザの識別情報を登録するユーザ管理部と、
   を有することを特徴とするクラウドサービス。
7. 複数のテナントを管理するクラウドサービスと、前記クラウドサービスが提供するサービスを利用する機器がネットワークを介して通信可能なサービスシステムが行うユーザ登録方法であって、
   前記機器が、前記機器を特定できる情報と前記機器を操作するユーザの識別情報を前記クラウドサービスに送信するステップ、を有し、
   前記クラウドサービスは、
   前記機器を特定できる情報と前記ユーザの識別情報を受信するステップと、
   機器を識別する機器識別情報と前記テナントを識別するテナント識別情報とに基づいて、前記機器から受信した前記機器を特定できる情報により特定された前記機器識別情報の機器が所属するテナントを決定するステップと、
   決定した前記テナントに対応付けて前記機器から受信した前記ユーザの識別情報を登録するステップと、
   を有することを特徴とするユーザ登録方法。
8. テナントが有する機器を特定できる情報と前記機器を操作するユーザの識別情報をクラウドサービスに送信する機器と、ネットワークを介して通信するクラウドサービスを、
   前記機器を特定できる情報と前記ユーザの識別情報を受信する第二の通信部と、
   機器を識別する機器識別情報と前記テナントを識別するテナント識別情報とに基づいて、前記第二の通信部が受信した前記機器を特定できる情報により特定された前記機器識別情報の機器が所属するテナントを決定する機器管理部と、
   前記機器管理部が決定した前記テナントに対応付けて前記第二の通信部が受信した前記ユーザの識別情報を登録するユーザ管理部、
   として機能させるためのプログラム。

Images