JP2020149247A - シングルサインオンシステム、利用者端末、及びプログラム - Google Patents

Abstract

【課題】認証済みの利用者に関する認証トークンが有効である間に発生した、利用者の利用者識別子に生じたセキュリティ上の問題を利用者が把握可能なシングルサインオンシステムを提供する。【解決手段】シングルサインオンシステムにおいて、ユーザ端末とサービス提供サーバとネットワーク接続する認証サーバは、ユーザに対して認証トークンを発行し、ユーザ端末に送信する。ユーザは、認証トークンを用いて、認証サーバを利用してサービス提供サーバにアクセスする。認証サーバは、認証サーバに対してユーザ登録したユーザのユーザＩＤと、ユーザＩＤに関して生じたセキュリティ上の問題とを関連付けた利用者状態情報を記憶したユーザＩＤ状態ＤＢを有する。ユーザ端末の通知処理部は、サービスにアクセスしたユーザのユーザＩＤがユーザＩＤ状態ＤＢに記憶されている場合、ユーザに対して、ユーザＩＤにセキュリティ上の問題が生じていることを通知する。【選択図】図７

Description

本発明は、シングルサインオンシステム、利用者端末、及びプログラムに関する。

従来、一度の利用者認証処理によって、利用者が独立した複数のソフトウェアシステム上のリソースを利用することができるようになるシングルサインオンシステムが知られている。

例えば、特許文献１には、シングルサインオンシステムであって、利用者の認証レベルがリソースの要求を満たしているか否かを確認し、満たしていない場合には、要求の認証レベルを上回る認証方式による追加方式を行うシステムが開示されている。

また、特許文献２には、シングルサインオンシステムであって、利用者の認証レベルを決定し、決定された認証レベルに対応する認証手段を備えたサービス提供装置（リソース）を選択するシステムが開示されている。

特許第５４５９５８３号公報 特開２０１６−２１８８２５号公報

ところで、シングルサインオンシステムにおいては、利用者を認証する認証サーバが、利用者に対して認証トークン（例えばアクセストークンあるいはリフレッシュトークン）を発行し、利用者は、当該認証トークンを用いてサービスを提供するサービス提供サーバにアクセスするのが一般的である。

ここで、認証トークンは一定期間有効であるところ、認証トークンが発行された後、当該認証トークンが有効である間は、利用者は認証トークンを用いてサービスにアクセスする（すなわちアクセスのために利用者識別子を使用しない）ことを一因として、当該利用者を示す利用者識別子に関してセキュリティ上の問題が生じた場合であっても、当該利用者がそれを把握できない場合があった。ここで、セキュリティ上の問題には、例えば、利用者識別子及びそれに対応するパスワードの第三者への漏洩、前記利用者識別子の期限切れによる失効、及び、利用者識別子の無効化などが含まれる。

利用者が、利用者識別子に関するセキュリティ上の問題の把握が遅れると、第三者の不正アクセス、利用者識別子の不正利用などのリスクが生じる可能性が大きくなる。

本発明の目的は、シングルサインオンシステムにおいて、認証済みの利用者に関する認証トークンが有効である間に発生した、当該利用者の利用者識別子に関して生じたセキュリティ上の問題を利用者が把握できるようにすることにある。

請求項１に係る発明は、利用者が利用する利用者端末、前記利用者を認証する認証サーバ、及び、前記認証サーバで認証された前記利用者にサービスを提供するサービス提供サーバを備えるシングルサインオンシステムであって、前記認証サーバは、前記利用者を認証して前記利用者端末に認証トークンを送信する認証部、を備え、前記利用者端末は、前記認証トークンが有効である間に、前記利用者の利用者識別子と、当該利用者識別子に関して生じたセキュリティ上の問題とを関連付けた利用者状態情報に基づいて当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、当該利用者識別子にセキュリティ上の問題が生じていることを前記利用者に通知する通知処理部、を備える、ことを特徴とするシングルサインオンシステムである。

請求項２に係る発明は、前記セキュリティ上の問題は、前記利用者識別子に対応するパスワードの漏洩、前記利用者識別子の期限切れによる失効、及び、前記利用者識別子の無効化を含む、ことを特徴とする請求項１に記載のシングルサインオンシステムである。

請求項３に係る発明は、前記通知処理部は、認証された前記利用者が前記認証トークンを用いて前記サービス提供サーバが提供するサービスの利用を開始する際に、当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、前記利用者に通知する、ことを特徴とする請求項１に記載のシングルサインオンシステムである。

請求項４に係る発明は、前記認証部は、セキュリティ上の問題が生じている前記利用者識別子に対応する前記認証トークンを無効化する、ことを特徴とする請求項１に記載のシングルサインオンシステムである。

請求項５に係る発明は、前記認証サーバは、前記利用者識別子に関して生じたセキュリティ上の問題に応じて、前記利用者識別子に対する処置を実行する処置実行部、をさらに備えることを特徴とする請求項１に記載のシングルサインオンシステムである。

請求項６に係る発明は、前記処置実行部は、前記利用者識別子に関して生じたセキュリティ上の問題と、予め定められた評価値とが関連付けられた評価値情報に基づいて得られた、当該利用者識別子に関して生じた問題の評価値に応じた内容の処置を実行する、ことを特徴とする請求項５に記載のシングルサインオンシステムである。

請求項７に係る発明は、前記認証部は、前記サービス提供サーバが提供するサービス毎に必要認証レベルが示された必要認証レベル情報に基づいて、前記認証部における前記利用者の認証方式、及び、前記利用者の属性の少なくとも一方に基づく認証レベルが、当該利用者が利用しようとする前記サービスの前記必要認証レベルを満たしていない場合に、前記利用者の追加認証を行う、ことを特徴とする請求項１に記載のシングルサインオンシステムである。

請求項８に係る発明は、前記必要認証レベル情報には、さらに、前記サービス提供サーバが提供するサービスに対する操作毎に必要認証レベルが示されており、前記認証部は、前記必要認証レベル情報に基づいて、前記認証部における前記利用者の認証方式、及び、前記利用者の属性の少なくとも一方に基づく認証レベルが、当該利用者が利用しようとする前記サービスに対する当該利用者の操作の前記必要認証レベルを満たしていない場合に、前記利用者の追加認証を行う、ことを特徴とする請求項７に記載のシングルサインオンシステムである。

請求項９に係る発明は、利用者を認証することで、認証された前記利用者に対してサービス提供サーバからサービスを提供させる認証サーバから認証トークンを受信する利用者端末であって、前記認証トークンが有効である間に、認証された前記利用者が前記認証トークンを用いて前記サービス提供サーバが提供するサービスの利用を開始する際に、認証した前記利用者の利用者識別子と、当該利用者識別子に関して生じたセキュリティ上の問題とを関連付けた利用者状態情報に基づいて、当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、当該利用者識別子にセキュリティ上の問題が生じていることを前記利用者に通知する通知処理部と、を備えることを特徴とする利用者端末である。

請求項１０に係る発明は、コンピュータを、利用者を認証することで、認証された前記利用者に対してサービス提供サーバからサービスを提供させる認証サーバから認証トークンを受信する利用者端末であって、前記認証トークンが有効である間に、認証された前記利用者が前記認証トークンを用いて前記サービス提供サーバが提供するサービスの利用を開始する際に、認証した前記利用者の利用者識別子と、当該利用者識別子に関して生じたセキュリティ上の問題とを関連付けた利用者状態情報に基づいて、当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、当該利用者識別子にセキュリティ上の問題が生じていることを前記利用者に通知する通知処理部と、として機能させることを特徴とするプログラムである。

請求項１、２、９、又は１０に係る発明によれば、シングルサインオンシステムにおいて、認証済みの利用者に関する認証トークンが有効である間に発生した、当該利用者の利用者識別子に関して生じたセキュリティ上の問題を利用者が把握できる。

請求項３に係る発明によれば、利用者が認証トークンを用いてサービスの利用を開始する際に、当該利用者の利用者識別子に関して生じたセキュリティ上の問題を利用者が把握できる。

請求項４に係る発明によれば、認証トークンの有効期間内であっても、セキュリティ上の問題が生じている利用者識別子に対応する認証トークンを無効にすることができる。

請求項５に係る発明によれば、利用者識別子に対して、当該利用識別子に関して生じたセキュリティ上の問題に応じた処置を行うことができる。

請求項６に係る発明によれば、利用者識別子に関して算出された評価値に基づいて、当該利用識別子に関して生じたセキュリティ上の問題に応じた処置を行うことができる。

請求項７に係る発明によれば、利用者の認証レベルがサービスの認証レベルを満たしていない場合に追加認証を行うことができる。

請求項８に係る発明によれば、利用者の認証レベルがサービスに対する当該利用者の操作の認証レベルを満たしていない場合に追加認証を行うことができる。

本実施形態に係るシングルサインオンシステムの構成概略図である。 本実施形態に係る認証サーバの構成概略図である。 ユーザＤＢの内容を示す概念図である。 ユーザＩＤ状態ＤＢの内容を示す概念図である。 評価値ＤＢの内容を示す概念図である。 認証レベルＤＢの内容を示す概念図である。 本実施形態に係るユーザ端末の構成概略図である。 処置内容ＤＢの内容を示す概念図である。 ユーザ端末の処理の流れを示す第１のフローチャートである。 サービス選択画面の例を示す図である。 操作選択画面の例を示す図である。 ユーザ端末の処理の流れを示す第２のフローチャートである。 追加認証画面の例を示す図である。 サービス提供画面の例を示す図である。 ユーザＩＤ無効化処理の流れを示すフローチャートである。 パスワードリセット処理の流れを示すフローチャートである。

図１は、本実施形態に係るシングルサインオンシステム１０の構成概略図である。シングルサインオンシステム１０は、利用者（ユーザ）に対してサービスを提供するサービス提供サーバ１２と、ユーザを認証する認証サーバ１４と、ユーザが利用する利用者端末としてのユーザ端末１６を含んで構成される。サービス提供サーバ１２、認証サーバ１４、及び、ユーザ端末１６は、インターネットあるいはＬＡＮを含む通信回線１８を介して通信可能に接続されている。シングルサインオンシステム１０は、複数のサービス提供サーバ１２、複数のユーザ端末１６を含んでいてよい。また、認証サーバ１４は、複数の装置から構成されるようにしてもよい。

シングルサインオンシステム１０においては、ユーザ端末１６を利用するユーザは、認証サーバ１４によって種々の方法で認証される。これにより、認証サーバ１４は、ユーザ端末１６に対して認証トークンを送信する。ユーザは、受信した認証トークンを用いて、認証サーバ１４を利用してサービス提供サーバ１２にアクセスすることで、各サービス提供サーバ１２が提供するサービス（以下単に「サービス」と記載する）を利用することができる。このように、シングルサインオンシステム１０においては、ユーザは、１回の認証処理により、複数のサービスを利用することができるようになっている。

図２は、認証サーバ１４の構成概略図である。認証サーバ１４は、一般的なサーバコンピュータにより構成されることができる。

通信部２０は、例えば通信モジュールなどを含んで構成される。通信部２０は、各サービス提供サーバ１２及び各ユーザ端末１６と通信するために用いられる。

記憶部２２は、例えばＲＯＭ、ＲＡＭ、あるいはハードディスクなどを含んで構成される。記憶部２２には、認証サーバ１４の各部を動作させるためのプログラムが記憶される。さらに、図２に示すように、記憶部２２には、各種ＤＢ（データベース）が記憶される。

ユーザＤＢ２４は、認証サーバ１４に対してユーザ登録したユーザに関する情報が記憶されるデータベースである。図３に、ユーザＤＢ２４の内容の例を示す概念図が示されている。図３（ａ）及び（ｂ）に示される通り、ユーザＤＢ２４には複数のテーブルが記憶される。

図３（ａ）に示される通り、ユーザＤＢ２４には、ユーザ登録したユーザを識別する利用者識別子としてのユーザＩＤ、ユーザ名、認証方式、認証情報、及びユーザの属性としてのユーザ区分が互いに関連付けられて記憶されている。

ユーザＩＤは、ユーザ登録時に認証サーバ１４が発行するものであり、ユーザ名は、ユーザ登録時にユーザによって設定されるものである。上述の通り、認証サーバ１４は、ユーザを種々の方法で認証可能であり、認証方式は、各ユーザの認証方式を示すものである。認証情報は、ユーザ認証時に必要な情報であり、これもユーザ登録時によりユーザによって設定される。図３（ａ）の例では、認証情報としてパスワードが記憶されているが、認証サーバ１４は、その他の方法（例えば生体認証など）によりユーザを認証可能であるため、認証情報としては、例えば生体認証のための生体情報などが記憶されてもよい。ユーザ区分は、例えば「一般ユーザ」あるいは「管理者」などであり、特に、セキュリティレベルの観点からの区分となっている。ユーザ区分はユーザ登録時にユーザによって設定される。なお、ユーザＩＤには、有効期限が設定されていてもよく、有効期限が徒過したユーザＩＤは期限切れによる失効とするようにしてもよい。その場合、ユーザＤＢ２４には、ユーザＩＤの有効期限がさらに関連付けられて記憶される。図３（ａ）に示されるテーブルは、ユーザが認証サーバ１４にユーザ登録する度に更新される。

また、図３（ｂ）に示す通り、ユーザＤＢ２４には、ユーザ区分と係数とが関連付けられて記憶される。ユーザ区分に対する係数は、詳しくは後述するが、ユーザＩＤにセキュリティ上の問題が生じた場合における当該ユーザＩＤに対する処置内容を決定する際に用いられる。より高いセキュリティレベルが要求される処理を行うことができるユーザ区分に対しては、より高い係数が関連付けられている。例えば、図３（ｂ）に示される通り、一般ユーザよりも管理者の方が、よりセキュリティレベルの高い処理を行うことができるため、一般ユーザよりも管理者の方が高い係数が関連付けられている。図３（ｂ）に示されるテーブルの内容は、認証サーバ１４の管理者等によって予め設定される。

ユーザＩＤ状態ＤＢ２６は、認証サーバ１４に対してユーザ登録したユーザのユーザＩＤと、当該ユーザＩＤに関して生じたセキュリティ上の問題とを関連付けた利用者状態情報が記憶されるデータベースである。ここで、セキュリティ上の問題とは、例えば、ユーザＩＤに対応するパスワードの漏洩、あるいは、ユーザＩＤの期限切れによる失効、ユーザＩＤの無効化などを含むものである。図４に、ユーザＩＤ状態ＤＢ２６の内容の例を示す概念図が示されている。

図４の例では、ユーザＩＤ「Ｕｓｅｒ００１」に対応するパスワードが漏洩しており、ユーザＩＤ「Ｕｓｅｒ００２」が期限切れにより失効していることが示されている。なお、１つのユーザＩＤに複数の状態が関連付けられている場合もある。特にセキュリティ上の問題が生じていないユーザＩＤについては、ユーザＩＤ状態ＤＢ２６には記憶されない。

ユーザＩＤに対応するパスワードが漏洩しているか否かは、漏洩のおそれがあるユーザＩＤとパスワードとの組との情報が蓄積された、外部のパスワード漏洩確認システムを利用することで取得することができる。ユーザＩＤ状態ＤＢ２６の内容は、ユーザＤＢ２４に記憶されたユーザＩＤの状態が変更する度に、後述の制御部３２によって更新される。

評価値ＤＢ２８は、ユーザＩＤに関して生じ得るセキュリティ上の問題と、評価値とが関連付けられた評価値情報が記憶されるデータベースである。図５に、評価値ＤＢ２８の内容の例を示す概念図が示されている。図５の例では、各ユーザＩＤ状態（すなわちユーザＩＤに関して生じ得るセキュリティ上の問題）に対して評価値が関連付けられている。評価値ＤＢ２８は、例えばシングルサインオンシステム１０の管理者などによって予め決定される。ユーザＩＤに対する評価値は、当該ユーザＩＤにセキュリティ上の問題が生じた場合における当該ユーザＩＤに対する処置内容を決定する際に用いられる。

評価値ＤＢ２８の内容は、認証サーバ１４の管理者等によって予め設定される。評価値は、ユーザＩＤに関して生じた問題の重大さに応じた値となっている。例えば、図５に示されるように、本実施形態では、パスワードの漏洩よりもユーザＩＤの失効の方が重大であるとみなされているため、パスワードの漏洩よりもユーザＩＤの失効の方が小さい値となっている。

認証レベルＤＢ３０は、認証サーバ１４に認証されたユーザの認証レベル、及び、サービスを利用する際に必要なユーザの認証レベルである必要認証レベルが記憶されるデータベースである。図６に、認証レベルＤＢ３０の内容の例を示す概念図が示されている。図６（ａ）〜（ｃ）に示される通り、認証レベルＤＢ３０には複数のテーブルが記憶される。

図６（ａ）に示される通り、認証レベルＤＢ３０には、ユーザの認証サーバ１４への認証方式と、ユーザの認証レベルとが関連付けられて記憶される。ここで、認証レベルとは、セキュリティに関するレベルであり、例えば、比較的第三者がなりすまして認証し易いユーザＩＤとパスワードによる認証方式は認証レベルが低くなっており、比較的第三者がなりすまして認証し難い生体認証による認証方式は認証レベルが高くなっている。

また、図６（ｂ）に示す通り、認証レベルＤＢ３０には、サービス毎に、必要認証レベルが示された必要認証レベル情報が記憶される。具体的には、認証レベルＤＢ３０には、サービスのＵＲＬと、当該サービスを利用するために必要な認証レベルを示す必要認証レベルとが関連付けられて記憶される。

また、図６（ｃ）に示す通り、必要認証レベル情報には、サービスに対する操作毎に必要認証レベル情報が示されていてもよい。具体的には、認証レベルＤＢ３０には、サービスのＵＲＬ、及び、当該サービスに対するユーザの操作の内容との組に対して、必要認証レベルが関連付けられて記憶されてもよい。この場合、同じサービスであっても、当該サービスに対する操作が異なる場合には、操作に応じて、必要レベルが異なっていてもよい。

例えば、図６（ｃ）におけるＵＲＬ「http://hh.ii.jj.co.jp/serviceA」にアクセスすることで利用できるサービスが電子文書管理サービスであるとすると、図６（ｃ）に示される通り、同じサービスであっても、当該サービスの管理内容を変更しない参照系操作（例えばRead（電子文書の読み込み）、print（印刷））をする場合は比較的必要認証レベルが低く、当該サービスで管理される電子文書を変更する更新系操作（例えばCreate（電子文書の作成）、Update（電子文書の更新）、Delete（電子文書の削除）、Scan（スキャン））をする場合は比較的必要認証レベルが高く、当該サービスの設定を変更する管理系操作（例えばManage）をする場合はさらに必要認証レベルが高くなる、の如くである。

認証レベルＤＢ３０の内容は、認証サーバ１４の管理者等によって予め設定される。

図２に戻り、制御部３２は、例えばＣＰＵあるいはマイクロコントローラを含んで構成される。制御部３２は、記憶部２２に記憶されたプログラムに従って、認証サーバ１４の各部を制御する。また、図２に示されるように、制御部３２は、認証部３４及び処置実行部３６としても機能する。

認証部３４は、予め認証サーバ１４にユーザ登録したユーザが、ユーザ端末１６を用いて認証サーバ１４にアクセスした際に、種々の方法によって当該ユーザを認証して、認証トークンを発行し、当該ユーザ端末１６に対して当該認証トークンを送信する。ユーザは、サービスを利用する際に、当該認証トークン提示しつつサービス提供サーバ１２にアクセスする。これにより、ユーザは、別途、各サービス提供サーバ１２に対して認証処理を行う必要なく、サービスを利用することができるようになる。

認証部３４が発行した認証トークンを識別するトークンＩＤ、認証トークンを発行したユーザを示すユーザＩＤ、及び、認証トークンの有効期限は、互いに関連付けられて記憶部２２に記憶される。

また、認証部３４は、ユーザＤＢ２４に記憶されたユーザＩＤについて、セキュリティ上の問題が生じた場合に、当該ユーザＩＤが示すユーザに発行した認証トークンを無効化する処理を行う。さらに、認証部３４は、認証済みのユーザがサービスを利用する際に、所定の条件を満たす場合、ユーザの追加認証を行う。ユーザＩＤの無効化処理及びユーザの追加認証処理の詳細については後述する。

処置実行部３６は、ユーザＤＢ２４に記憶されたユーザＩＤにセキュリティ上の問題が生じている場合に、当該セキュリティ上の問題に応じて、当該ユーザＩＤに対する処置を実行する。そのような処置には、例えば、ユーザＩＤに対応するパスワードの変更、あるいは、ユーザＩＤの無効化などが含まれる。処置実行部３６が実行する処置の詳細についても後述する。

図７は、ユーザ端末１６の構成概略図である。本実施形態に係るユーザ端末１６はマルチファンクションプリンタであるが、以下に説明する機能を有している限りにおいて、ユーザ端末１６はどのような装置であってもよい。例えば、パーソナルコンピュータあるいはタブレット端末などであってよい。なお、上述のように、シングルサインオンシステム１０には複数のユーザ端末１６が含まれていてよいが、どのユーザ端末１６も同様の構造を有している。

通信部５０は、例えば通信モジュールなどを含んで構成される。通信部５０は、各サービス提供サーバ１２及び認証サーバ１４と通信するために用いられる。

表示部５２は、例えば液晶パネルなどを含んで構成される。表示部５２には、後述の制御部６４の制御により、種々の画面が表示される。

入力部５４は、例えば、タッチパネル、マウス、あるいはキーボードなどを含んで構成される。入力部５４は、ユーザの指示をユーザ端末１６に入力するために用いられる。

記憶部５６は、例えばＲＯＭ、ＲＡＭ、あるいはハードディスクなどを含んで構成される。記憶部５６には、ユーザ端末１６の各部を動作させるためのプログラムが記憶される。さらに、図７に示すように、記憶部５６には、認証トークン５８及び処置内容ＤＢ６０が記憶される。

認証トークン５８は、当該ユーザ端末１６を利用するユーザを認証した認証サーバ１４から送信されるものである。認証トークン５８は、例えば、サービスを利用する際にサービス提供サーバ１２に提示されるアクセストークン、及び、アクセストークンをリフレッシュするためのリフレッシュトークンを含んで構成される。アクセストークンには有効期限が設定されており、有効期限内において利用可能となっていてよい。アクセストークンの有効期限が切れた場合には、リフレッシュトークンを認証サーバ１４に送信することで、アクセストークンの有効期限を延ばす（すなわち更新）することができる。なお、リフレッシュトークンにも有効期限が設定されていてもよく、その場合は、ユーザは、再度認証サーバ１４に認証されることで、新たな認証トークン５８を得ることができる。

処置内容ＤＢ６０は、上述の評価値の範囲と、上述の処置実行部３６が実行する処置とが関連付けられて記憶されるデータベースである。図８に、処置内容ＤＢ６０の内容の例を示す概念図が示されている。図８に示されるように、評価値の範囲としては、下限評価値と上限評価値によって表現されていてよい。例えば、図８の例では、下限評価値「−９９」と上限評価値「０」との組に対して、処置内容「パスワードリセット」が関連付けられている。これは、ユーザＩＤの評価値が−９９〜０までの間の場合、当該ユーザＩＤに対応付けられたパスワードをリセット（すなわち変更）すべきであることを示している。処置内容ＤＢ６０の内容は、当該ユーザ端末１６を使用するユーザなどによって予め設定される。

制御部６４は、例えばＣＰＵあるいはマイクロコントローラを含んで構成される。制御部６４は、記憶部５６に記憶されたプログラムに従って、ユーザ端末１６の各部を制御する。また、図７に示されるように、制御部６４は、評価値取得部６６、処置決定部６８、及び通知処理部７０としても機能する。

評価値取得部６６は、認証サーバ１４のユーザＩＤ状態ＤＢ２６を参照して、現在ユーザ端末１６を利用しているユーザのユーザＩＤがユーザＩＤ状態ＤＢ２６に記憶されているか否かを判定する。ここで、当該ユーザＩＤがユーザＩＤ状態ＤＢ２６に記憶されていない場合は、評価値取得部６６は、当該ユーザＩＤにはセキュリティ上の問題が生じていない、と判定する。一方、当該ユーザＩＤがユーザＩＤ状態ＤＢ２６に記憶されている場合は、評価値取得部６６は、当該ユーザＩＤにセキュリティ上の問題が生じている、と判定する。

当該ユーザＩＤがユーザＩＤ状態ＤＢ２６に記憶されている場合、評価値取得部６６は、ユーザＩＤ状態ＤＢ２６において当該ユーザＩＤと関連付けられているユーザＩＤ状態を保持しておく。当該ユーザＩＤに複数のユーザＩＤ状態が関連付けられている場合は、複数のユーザＩＤ状態を保持しておく。

次いで、評価値取得部６６は、認証サーバ１４の評価値ＤＢ２８を参照して、保持したユーザＩＤ状態の評価値を特定し、当該ユーザＩＤの評価値として取得する。例えば、ユーザＩＤ状態として「pw-reveal」を持した場合は、評価値取得部６６は、ユーザＩＤの評価値として「−５０」を取得する。また、複数のユーザＩＤ状態を保持した場合は、評価値取得部６６は、複数のユーザＩＤ状態に対応する複数の評価値を加算した値をユーザＩＤの評価値として取得する。例えば、ユーザＩＤ状態として「pw-reveal」及び「expired」の２つを保持した場合は、評価値取得部６６は、ユーザＩＤの評価値として「−５０」と「−１００」とを加算した「−１５０」を取得する。

処置決定部６８は、記憶部５６に記憶された処置内容ＤＢ６０を参照して、評価値取得部６６が取得した評価値に対応する処置内容を決定する。例えば、評価値取得部６６が取得した評価値が「−５０」である場合は、処置内容ＤＢ６０において、下限評価値「−９９」と上限評価値「０」との組に関連付けられた「パスワードリセット」を処置内容として決定する。また、例えば、評価値取得部６６が取得した評価値が「−１５０」である場合は、処置内容ＤＢ６０において、下限評価値「−９９９９」と上限評価値「−１００」との組に関連付けられた「ユーザＩＤ無効化」を処置内容として決定する。

処置決定部６８は、決定した処置内容と関連するユーザＩＤとを認証サーバ１４に送信する。そして、認証サーバ１４の処置実行部３６が、当該ユーザＩＤについて、当該処置内容が示す処置（例えば、パスワードリセット処理やユーザＩＤ無効化処理）を実行する。

通知処理部７０は、認証トークン５８が有効である間に、評価値取得部６６により、当該ユーザ端末１６を利用するユーザのユーザＩＤにセキュリティ上の問題が生じていると判定された場合、ユーザに対して、ユーザＩＤにセキュリティ上の問題が生じていることを通知する。通知の方法としては、種々の方法を採用することができるが、本実施形態では、通知処理部７０は、表示部５２に通知メッセージを表示することでユーザに対して通知を行う。好適には、通知処理部７０は、ユーザＩＤ状態ＤＢ２６の内容に基づいて、ユーザＩＤに生じている問題の内容も併せて通知する。

評価値取得部６６によるユーザＩＤにセキュリティ上の問題が生じているか否かの判定は、ユーザが認証トークン５８を用いてサービスの利用を開始する際に行うのが好適である。これによれば、ユーザがサービスを利用する度に、ユーザＩＤにセキュリティ上の問題があるか否かを判定することができる。また、ユーザがサービスを利用する度に、認証サーバ１４の処置実行部３６が、当該ユーザＩＤについて必要な処置を実行することができる。

本実施形態に係るシングルサインオンシステム１０の概要は以上の通りである。以下、フローチャートに沿って、各部の処理の詳細と、処理の流れについて説明する。

図９は、シングルサインオンシステム１０のメイン処理の流れを示すフローチャートである。以下のフローチャートの説明において、認証サーバ１４に登録済みのユーザであって処理対象のユーザを単に「ユーザ」と記載する。

ステップＳ１０において、ユーザがユーザ端末１６を操作して認証サーバ１４にアクセスすると、認証サーバ１４の制御部３２は、ユーザ端末１６の表示部５２にサービス選択画面を表示させる。図１０にサービス選択画面の例が示されている。サービス選択画面には、シングルサインオンシステム１０においてユーザが利用可能なサービスの一覧が含まれる。

ステップＳ１２において、ユーザ端末１６の制御部６４は、サービスへのアクセス要求をユーザから受けたか否かを判定する。具体的には、制御部６４は、ステップＳ１０で表示されたサービス選択画面において、ユーザによっていずれかのサービスが選択されたか否かを判定する。制御部６４は、サービス選択画面においてユーザがサービスを選択するまで待機し、サービスが選択された場合は、ステップＳ１４に進む。

ステップＳ１４において、評価値取得部６６は、ユーザのユーザＩＤの評価値を初期化して０に設定する。当該ユーザが前回サービスにアクセスした際に評価値取得部６６により当該ユーザのユーザＩＤについて取得された評価値が、記憶部５６内に保持されている場合があるため、ステップＳ１４において評価値の初期化が行われる。なお、ユーザは、ユーザ端末１６を使用する際に、認証サーバ１４のユーザＤＢ２４に登録されたユーザＩＤでユーザ端末１６にログインすることで、ユーザ端末１６はユーザのユーザＩＤを取得することができる。

ステップＳ１６において、評価値取得部６６は、ユーザのユーザＩＤの評価値を取得する。ユーザＩＤの評価値の取得方法は上述の通りであるので、ここでは詳細な説明は省略する。

ステップＳ１８において、通知処理部７０は、ユーザＩＤにセキュリティ上の問題が生じているか否かを判定する。具体的には、当該ユーザＩＤがユーザＩＤ状態ＤＢ２６に記憶されていなければ、問題無しと判定され、ステップＳ２８に進む。一方、当該ユーザＩＤがユーザＩＤ状態ＤＢ２６に記憶されていれば、問題有りと判定され、ステップＳ２０に進む。

ステップＳ２０において、通知処理部７０は、ユーザに対してユーザＩＤにセキュリティ上の問題が生じていることを通知する。具体的には、ユーザ端末１６の表示部５２に、通知メッセージを表示させる。

なお、本フローチャートでは、以後、問題が生じたユーザＩＤに対する処置などが行われるが、ステップＳ２０においてユーザへ通知した後、処理を終了してもよい。

ステップＳ２２において、処置決定部６８は、ステップＳ１６で取得したユーザＩＤの評価値と、処置内容ＤＢ６０とに基づいて、当該ユーザＩＤに対する処置内容を決定する。処置内容ＤＢ６０の内容が図８に示した通りだとすると、ユーザＩＤの評価値が−９９９９から−１００までの間である場合は処置内容が「ユーザＩＤ無効化」となり、ステップＳ２４に進む。ユーザＩＤの評価値が−９９から０までの間である場合は処置内容が「パスワードリセット」となり、ステップＳ２６に進む。

ステップＳ２４において、ユーザＩＤ無効化処理が行われ、当該ユーザＩＤが無効化される。ユーザＩＤ無効化処理の流れについては、図１５に示すフローチャートを参照しながら後述する。ステップＳ２４でユーザＩＤが無効化された場合は、その後、処理を終了する。

ステップＳ２６において、パスワードリセット処理が行われ、当該ユーザＩＤのパスワードがリセット（すなわち変更）される。パスワードリセット処理の流れについては、図１６に示すフローチャートを参照しながら後述する。ステップＳ２６でパスワードがリセットされた後、ステップＳ２８に進む。

ステップＳ２８において、認証サーバ１４の制御部３２は、ユーザ端末１６の表示部５２に操作選択画面を表示させる。図１１に操作選択画面の例が示されている。図１１は、ステップＳ１０で表示されたサービス選択画面（図１０参照）においてユーザがサービスＡを選択した場合に表示される、サービスＡの操作選択画面である。サービスＡは電子文書の管理サービスであり、「プリント」、「スキャン」、「管理」の機能を有している。ユーザが「プリント」ボタンを選択すると、サービスＡに管理された電子文書をユーザ端末１６において印刷することができる。また、ユーザが「スキャン」ボタンを選択すると、ユーザ端末１６でスキャンした電子文書をサービスＡに記憶させることができる。また、ユーザが「管理画面」ボタンを選択すると、サービスＡに関する設定を変更することができる。

ステップＳ２８の後、図１２に示されるステップＳ３０に進む。図１２に示すフローチャートには、ユーザの追加認証に関する処理の流れが示されている。

ステップＳ３０において、制御部６４は、サービスＡに対する操作の選択指示をユーザから受けたか否かを判定する。具体的には、制御部６４は、ステップＳ２８で表示された操作選択画面において、ユーザによっていずれかの操作（すなわち機能）が選択されたか否かを判定する。制御部６４は、操作選択画面においてユーザが操作を選択するまで待機し、操作が選択された場合は、ステップＳ３２に進む。

操作選択画面においてユーザが操作を選択すると、ユーザが選択したサービスのアクセス先ＵＲＬが認証サーバ１４に送信される。本実施形態では、アクセス先ＵＲＬにサービスに対する操作を示す文字列が含まれている。例えば、サービスＡのプリント機能を実行する場合、そのアクセス先ＵＲＬが「http://hh.ii.jj.co.jp/serviceA/print」となる。このうち、「/print」の部分がユーザが選択した操作を示す文字列であり、その他の文字列がサービスＡのアクセス先を示す文字列となる。

ステップＳ３２において、認証サーバ１４の認証部３４は、ユーザの認証レベルを特定する。まず、認証部３４は、ユーザＤＢ２４を参照し、ユーザのユーザＩＤに基づいて、ユーザの認証方式及びユーザ区分を特定する。次いで、認証部３４は、ユーザＤＢ２４に基づいて特定したユーザ区分の係数を特定し、認証レベルＤＢ３０を参照して特定した認証方式の認証レベルを特定する。

本実施形態では、認証部３４は、特定したユーザ区分の係数と、認証方式の認証レベルとに基づいてユーザの認証レベルを特定する。具体的には、ユーザ区分の係数と認証方式の認証レベルとの積をユーザの認証レベルとする。例えば、図３（ｂ）及び図６（ａ）を参照して、ユーザ区分が「管理者」であり、認証方式が「method2」である場合、ユーザ区分の係数「２」と認証方式の認証レベル「２」との積である「４」がユーザの認証レベルとして特定される。なお、本実施形態では、ユーザ区分と認証方式とに基づいてユーザの認証レベルを特定しているが、ユーザの認証レベルは、ユーザ区分及び認証方式の少なくとも一方に基づいて決定されてもよい。

ステップＳ３４において、認証部３４は、ユーザ端末１６から受信したアクセス先ＵＲＬの中に、操作を意味する文字列が含まれているか否かを判定する。本例では、上述の通り、アクセス先ＵＲＬに操作を含む文字列が含まれるため、ステップＳ３６に進む。

ステップＳ３６において、認証部３４は、認証レベルＤＢ３０を参照して、ユーザ端末１６から受信したアクセス先ＵＲＬが示すサービスと、当該サービスに対するユーザの操作との組に対応する必要認証レベルを特定する。例えば、認証レベルＤＢ３０の内容が図６（ｃ）に示した通りだとすると、サービスＡ（「http://hh.ii.jj.co.jp/serviceA」）に記憶された電子文書をプリントする操作（「Print」）の必要認証レベルは「１」と特定される。

仮に、ユーザ端末１６から受信したアクセス先ＵＲＬの中に、操作を意味する文字列が含まれていない場合は、ステップＳ３８に進む。

ステップＳ３８において、認証部３４は、認証レベルＤＢ３０を参照して、ユーザ端末１６から受信したアクセス先ＵＲＬが示すサービスに対応する必要認証レベルを特定する。例えば、認証レベルＤＢ３０の内容が図６（ｂ）に示した通りだとすると、サービスＢ（「http://hh.ii.jj.co.jp/serviceB」）を利用する場合の必要認証レベルは「２」と特定される。このように、認証部３４は、ユーザが利用しようとするサービスのみに基づいて必要認証レベルを特定してもよい。

ステップＳ４０において、ステップＳ３２で特定したユーザの認証レベルと、ステップＳ３６又はＳ３８で特定した必要認証レベルとを比較する。認証レベルが必要認証レベル以上である場合は、ステップＳ４８に進み、ステップＳ４８でサービスがユーザに提供される。一方、認証レベルが必要認証レベルを満たしていない場合、すなわち、認証レベルが必要認証レベル未満である場合はステップＳ４２に進む。

ステップＳ４２において、認証部３４は、ユーザの追加認証処理を行う。追加認証の認証方式は、認証サーバ１４がユーザを認証した１段階目の認証方式とは異なる方式で行う。特に、ユーザのアクセス先のサービス及び操作内容の少なくとも一方に基づいて、必要認証レベルが既知であるため、ユーザのユーザ区分を考慮しつつ、認証レベルＤＢ３０（図６（ａ））を参照して、必要認証レベルを満たす認証方式で追加認証を行うのが好ましい。

本実施形態では、追加認証の方式として、他端末を用いた認証を行う。具体的には、認証部３４が、ユーザが利用する、ユーザ端末１６とは異なる他端末に特定のパスワードを送信する。なお、当該他端末のパスワードの送付先アドレスはユーザＤＢ２４に登録されていてよい。その上で、認証部３４は、当該パスワードの入力を促す画面をユーザ端末１６の表示部５２に表示させる。そのような画面が図１３に示されている。ユーザは、他端末で受信したパスワードを当該画面に入力すると追加認証が成功となる。

ステップＳ４４において、認証部３４は、追加認証が成功したか否かを判定する。ユーザから正しいパスワードが入力されなかった場合など、追加認証が失敗したと判定された場合はステップＳ４６に進む。

ステップＳ４６において、認証部３４は、追加認証に失敗したことをユーザに通知する。具体的には、認証部３４は、ユーザ端末１６の表示部５２に、追加認証が失敗したことを示すメッセージを表示させる。

ステップＳ４４で追加認証が成功したと判定された場合はステップＳ４８に進む。

ステップＳ４８において、サービス提供サーバ１２からサービスの提供が開始され、ユーザ端末１６の表示部５２には、サービス提供画面が表示される。図１４にサービス提供画面の例が示されている。ユーザは、サービス提供画面を操作してサービスを利用する。

以下、図１５に示すフローチャートに従って、ステップＳ２４（図９）のユーザＩＤ無効化処理の流れについて説明する。

ステップＳ６０において、ユーザ端末１６の制御部６４は、認証サーバ１４に対して、ユーザのユーザＩＤと共に、当該ユーザＩＤの無効化要求を送信する。

ステップＳ６２において、認証サーバ１４の処置実行部３６は、ステップＳ６０で受信したユーザＩＤと無効化要求に基づいて、ユーザＤＢ２４及びユーザＩＤ状態ＤＢ２６を更新する。具体的には、処置実行部３６は、ユーザＤＢ２４において、受信したユーザＩＤのレコードを削除する、あるいは、受信したユーザＩＤに対して無効化のフラグを立てる。また、処置実行部３６は、ユーザＩＤ状態ＤＢ２６において、受信したユーザＩＤに関するレコードを削除する。

ステップＳ６４において、処置実行部３６は、ユーザに発行した認証トークン５８を無効化する。これにより、ユーザ及び悪意のある第三者が、セキュリティ上の問題があるユーザＩＤに対して発行された認証トークン５８を用いてサービスを利用することができなくなる。

ステップＳ６６において、認証サーバ１４の制御部３２は、ユーザ端末１６に対して、ユーザＩＤ無効化通知を送信する。

ステップＳ６８において、ユーザ端末１６の通知処理部７０は、ステップＳ６６で受信したユーザＩＤ無効化通知に基づいて、ユーザに、ユーザＩＤが無効化されたことを通知する。具体的には、通知処理部７０は、表示部５２にユーザＩＤが無効化されたことを示すメッセージを表示させる。

以下、図１６に示すフローチャートに従って、ステップＳ２６（図９）のパスワードリセット処理の流れについて説明する。

ステップＳ８０において、ユーザ端末１６の制御部６４は、認証サーバ１４に対して、ユーザのユーザＩＤと共に、当該ユーザＩＤのパスワード更新要求を送信する。

ステップＳ８２において、認証サーバ１４の処置実行部３６は、ステップＳ６０で受信したパスワード更新要求に基づいて、パスワード更新画面情報をユーザ端末１６に送信し、パスワード更新画面をユーザ端末１６の表示部５２に表示させる。

ステップＳ８４において、ユーザがパスワード更新画面にて新たなパスワードを入力し、送信ボタンを押下すると、ユーザ端末１６の制御部６４は、ユーザＩＤ及び新たなパスワードを認証サーバ１４に送信する。

ステップＳ８６において、認証サーバ１４の処置実行部３６は、ステップＳ８４で受信したユーザＩＤと新パスワードに基づいて、ユーザＤＢ２４及びユーザＩＤ状態ＤＢ２６を更新する。具体的には、処置実行部３６は、ユーザＤＢ２４において、受信したユーザＩＤのパスワードを更新する。また、処置実行部３６は、ユーザＩＤ状態ＤＢ２６において、受信したユーザＩＤに関するレコードを削除する。

ステップＳ８８において、処置実行部３６は、ユーザに発行した認証トークン５８を無効化する。

ステップＳ９０において、認証サーバ１４の制御部３２は、ユーザ端末１６に対して、パスワード更新通知を送信する。

ステップＳ９２において、ユーザ端末１６の通知処理部７０は、ステップＳ９０で受信したパスワード更新通知に基づいて、ユーザに、パスワードが更新されたことを通知する。具体的には、通知処理部７０は、表示部５２にパスワードが更新されたことを示すメッセージを表示させる。

以上、本発明に係る実施形態を説明したが、本発明は上記実施形態に限られるものではなく、本発明の趣旨を逸脱しない限りにおいて種々の変更が可能である。

例えば、本実施形態では、ユーザ端末１６の記憶部５６に処置内容ＤＢ６０が記憶され、制御部６４が評価値取得部６６及び処置決定部６８の機能を有していたが、これらを認証サーバ１４に設けるようにしてもよい。なお、本実施形態のように、処置内容ＤＢ６０をユーザ端末１６に記憶させておくことで、ユーザ端末１６毎に異なる処置内容ＤＢ６０を用いることができるようになる。すなわち、評価値に対する処置内容をユーザ端末１６毎にカスタマイズすることができる。

また、本実施形態では、通知処理部７０は、ユーザがサービスの利用を開始する際に、当該ユーザのユーザＩＤにセキュリティ上の問題が生じているか否かを判定し、問題が生じている場合にユーザに通知をしていたが、当該判定及び通知は、認証トークン５８が有効である間であれば、その他のタイミングに実行するようにしてもよい。

１０ シングルサインオンシステム、１２ サービス提供サーバ、１４ 認証サーバ、１６ ユーザ端末、１８ 通信回線、２０，５０ 通信部、２２，５６ 記憶部、２４ ユーザＤＢ、２６ ユーザＩＤ状態ＤＢ、２８ 評価値ＤＢ、３０ 認証レベルＤＢ、３２，６４ 制御部、３４ 認証部、３６ 処置実行部、５２ 表示部、５４ 入力部、５８ 認証トークン、６０ 処置内容ＤＢ、６６ 評価値取得部、６８ 処置決定部、７０ 通知処理部。

Claims (10)

1. 利用者が利用する利用者端末、前記利用者を認証する認証サーバ、及び、前記認証サーバで認証された前記利用者にサービスを提供するサービス提供サーバを備えるシングルサインオンシステムであって、
   前記認証サーバは、
   前記利用者を認証して前記利用者端末に認証トークンを送信する認証部、
   を備え、
   前記利用者端末は、
   前記認証トークンが有効である間に、前記利用者の利用者識別子と、当該利用者識別子に関して生じたセキュリティ上の問題とを関連付けた利用者状態情報に基づいて当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、当該利用者識別子にセキュリティ上の問題が生じていることを前記利用者に通知する通知処理部、
   を備える、
   ことを特徴とするシングルサインオンシステム。
2. 前記セキュリティ上の問題は、前記利用者識別子に対応するパスワードの漏洩、前記利用者識別子の期限切れによる失効、及び、前記利用者識別子の無効化を含む、
   ことを特徴とする請求項１に記載のシングルサインオンシステム。
3. 前記通知処理部は、認証された前記利用者が前記認証トークンを用いて前記サービス提供サーバが提供するサービスの利用を開始する際に、当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、前記利用者に通知する、
   ことを特徴とする請求項１に記載のシングルサインオンシステム。
4. 前記認証部は、セキュリティ上の問題が生じている前記利用者識別子に対応する前記認証トークンを無効化する、
   ことを特徴とする請求項１に記載のシングルサインオンシステム。
5. 前記認証サーバは、
   前記利用者識別子に関して生じたセキュリティ上の問題に応じて、前記利用者識別子に対する処置を実行する処置実行部、
   をさらに備えることを特徴とする請求項１に記載のシングルサインオンシステム。
6. 前記処置実行部は、前記利用者識別子に関して生じたセキュリティ上の問題と、予め定められた評価値とが関連付けられた評価値情報に基づいて得られた、当該利用者識別子に関して生じた問題の評価値に応じた内容の処置を実行する、
   ことを特徴とする請求項５に記載のシングルサインオンシステム。
7. 前記認証部は、前記サービス提供サーバが提供するサービス毎に必要認証レベルが示された必要認証レベル情報に基づいて、前記認証部における前記利用者の認証方式、及び、前記利用者の属性の少なくとも一方に基づく認証レベルが、当該利用者が利用しようとする前記サービスの前記必要認証レベルを満たしていない場合に、前記利用者の追加認証を行う、
   ことを特徴とする請求項１に記載のシングルサインオンシステム。
8. 前記必要認証レベル情報には、さらに、前記サービス提供サーバが提供するサービスに対する操作毎に必要認証レベルが示されており、
   前記認証部は、前記必要認証レベル情報に基づいて、前記認証部における前記利用者の認証方式、及び、前記利用者の属性の少なくとも一方に基づく認証レベルが、当該利用者が利用しようとする前記サービスに対する当該利用者の操作の前記必要認証レベルを満たしていない場合に、前記利用者の追加認証を行う、
   ことを特徴とする請求項７に記載のシングルサインオンシステム。
9. 利用者を認証することで、認証された前記利用者に対してサービス提供サーバからサービスを提供させる認証サーバから認証トークンを受信する利用者端末であって、
   前記認証トークンが有効である間に、認証された前記利用者が前記認証トークンを用いて前記サービス提供サーバが提供するサービスの利用を開始する際に、認証した前記利用者の利用者識別子と、当該利用者識別子に関して生じたセキュリティ上の問題とを関連付けた利用者状態情報に基づいて、当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、当該利用者識別子にセキュリティ上の問題が生じていることを前記利用者に通知する通知処理部と、
   を備えることを特徴とする利用者端末。
10. コンピュータを、
    利用者を認証することで、認証された前記利用者に対してサービス提供サーバからサービスを提供させる認証サーバから認証トークンを受信する利用者端末であって、
    前記認証トークンが有効である間に、認証された前記利用者が前記認証トークンを用いて前記サービス提供サーバが提供するサービスの利用を開始する際に、認証した前記利用者の利用者識別子と、当該利用者識別子に関して生じたセキュリティ上の問題とを関連付けた利用者状態情報に基づいて、当該利用者の利用者識別子にセキュリティ上の問題が生じていると判定された場合に、当該利用者識別子にセキュリティ上の問題が生じていることを前記利用者に通知する通知処理部と、
    として機能させることを特徴とするプログラム。