JP2021165977A

JP2021165977A - Server device and network system

Info

Publication number: JP2021165977A
Application number: JP2020069563A
Authority: JP
Inventors: 勝人小野; Katsuto Ono; 純哉秋山; Junya Akiyama; 功克柴田; Isakatsu Shibata; 浩志西野宮; Hiroshi Nishinomiya
Original assignee: HC Networks Ltd
Current assignee: HC Networks Ltd
Priority date: 2020-04-08
Filing date: 2020-04-08
Publication date: 2021-10-14
Anticipated expiration: 2040-04-08
Also published as: JP7221235B2

Abstract

To provide a server device and a network system capable of enhancing network security.SOLUTION: An authentication server 17 that determines whether or not a user ID is authenticated for an internal network in a network system, is configured to: create authentication refusal information ARI for defining that the user ID is an authentication refusal in a login DB when defining that the user ID is the authentication refusal S302; if a login server 18 receives the authentication refusal information ARI S303, update the login DB so that login authentication availability information corresponding to the target user ID is login authentication refusal S304; and transmit a logout request LORQ to service providers SPa and SPb to which the user is logging in based on the login DB S305.SELECTED DRAWING: Figure 6

Description

本発明は、サーバ装置およびネットワークシステムに関し、例えば、ＳＳＯ（Single Sign On）に伴う認証技術に関する。 The present invention relates to a server device and a network system, for example, an authentication technique associated with SSO (Single Sign On).

特許文献１には、ログ管理サーバや不正通信検知装置等を用いて、不正通信を遮断するネットワークシステムが示される。具体的には、ログ管理サーバは、認証サーバ等からのアカウントＩＤを含む認証許可ログと、ＤＨＣＰサーバからのＤＨＣＰログとを受けて、アカウントＩＤとＩＰアドレスとの対応関係をＤＢに登録する。そして、ログ管理サーバは、不正通信検知装置からＩＰアドレスを含む不正通信検知ログを受けた際に、対応するアカウントＩＤを認証拒否にする命令を、認証サーバへ送信する。 Patent Document 1 discloses a network system that blocks unauthorized communication by using a log management server, an unauthorized communication detection device, or the like. Specifically, the log management server receives the authentication permission log including the account ID from the authentication server and the DHCP log from the DHCP server, and registers the correspondence between the account ID and the IP address in the DB. Then, when the log management server receives the fraudulent communication detection log including the IP address from the fraudulent communication detection device, it sends an instruction to reject the authentication of the corresponding account ID to the authentication server.

特開２０１７−２０４６９７号公報Japanese Unexamined Patent Publication No. 2017-204697

例えば、特許文献１のような方式を用いると、不正通信を行ったこと等により悪意があるとみなされたユーザ（明細書では、不正なユーザと呼ぶ）のユーザＩＤを、認証サーバの管理範囲であるネットワーク認証レベルで認証拒否に定めることが可能である。認証サーバは、例えば、ＲＡＤＩＵＳ(Remote Authentication Dial In User Service）サーバ等である。ただし、このような方式のみでは、不正なユーザが、アプリケーションレベルで所定のサービスプロバイダにログインし、サービスを利用できるような事態が生じ得る。 For example, when a method such as Patent Document 1 is used, the user ID of a user (referred to as an unauthorized user in the specification) deemed to be malicious due to unauthorized communication or the like is managed within the management range of the authentication server. It is possible to set the authentication refusal at the network authentication level. The authentication server is, for example, a RADIUS (Remote Authentication Dial In User Service) server or the like. However, with only such a method, a situation may occur in which an unauthorized user can log in to a predetermined service provider at the application level and use the service.

具体的には、例えば、不正なユーザが、ネットワーク認証レベルで認証許可されているユーザ端末や共用端末等を不正に使って、自身のユーザＩＤでサービスプロバイダにログインするような場合が挙げられる。しかし、本来、当該不正なユーザに対するネットワークの認証は拒否されているため、当該ネットワークを使ったサービスの利用も拒否されることが望ましい。 Specifically, for example, there is a case where an unauthorized user illegally uses a user terminal, a shared terminal, or the like that is authenticated at the network authentication level to log in to the service provider with his / her own user ID. However, since network authentication for the unauthorized user is originally denied, it is desirable that the use of services using the network is also denied.

本発明は、このようなことに鑑みてなされたものであり、その目的の一つは、ネットワークのセキュリティを高めることが可能なサーバ装置およびネットワークシステムを提供することにある。 The present invention has been made in view of the above, and one of the objects thereof is to provide a server device and a network system capable of enhancing the security of a network.

本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。 The above and other objects and novel features of the present invention will become apparent from the description and accompanying drawings herein.

本願において開示される発明のうち、代表的な実施の形態の概要を簡単に説明すれば、次のとおりである。 A brief description of typical embodiments of the inventions disclosed in the present application is as follows.

一実施の形態によるサーバ装置は、ユーザにユーザ端末を介して１回のログイン操作を行わせることで、内部ネットワークを介してユーザ端末に接続される複数のサービスプロバイダへのログインを可能にするものであり、ログインデータベースと、制御部と、を有する。ログインデータベースは、ユーザのユーザ識別子と、ユーザに対するログイン認証許可またはログイン認証拒否を定めるログイン認証可否情報と、ユーザがログイン中のサービスプロバイダとの対応関係を保持する。制御部は、ログインデータベースに基づいて、ユーザのログイン操作またはログアウト操作に応じた制御を行う。ここで、ユーザ識別子を、内部ネットワークの認証可否を判定する認証サーバでネットワーク認証拒否に定める場合に、ユーザ識別子を、ログインデータベースでログイン認証拒否に定めるための認証拒否情報が作成される。制御部は、当該認証拒否情報を受信した際に、ユーザ識別子に対応するログイン認証可否情報がログイン認証拒否となるようにログインデータベースを更新し、ログインデータベースに基づいて、ユーザがログイン中のサービスプロバイダへログアウト要求を送信する。 The server device according to the embodiment enables the user to log in to a plurality of service providers connected to the user terminal via the internal network by causing the user to perform one login operation via the user terminal. It has a login database and a control unit. The login database holds the user identifier of the user, the login authentication enable / disable information that determines the login authentication permission or the login authentication refusal for the user, and the correspondence relationship with the service provider in which the user is logged in. The control unit performs control according to a user's login operation or logout operation based on the login database. Here, when the user identifier is defined as network authentication refusal by the authentication server that determines whether or not the internal network can be authenticated, authentication refusal information for defining the user identifier as login authentication refusal in the login database is created. When the control unit receives the authentication refusal information, the control unit updates the login database so that the login authentication permission / rejection information corresponding to the user identifier becomes the login authentication refusal, and the service provider in which the user is logged in based on the login database. Send a logout request to.

本願において開示される発明のうち、代表的な実施の形態によって得られる効果を簡単に説明すると、ネットワークのセキュリティを高めることが可能になる。 Briefly explaining the effects obtained by the typical embodiments of the inventions disclosed in the present application makes it possible to enhance the security of the network.

本発明の実施の形態１によるネットワークシステムにおける主要部の構成例を示す概略図である。It is the schematic which shows the structural example of the main part in the network system by Embodiment 1 of this invention. 図１におけるログインサーバが有するログインＤＢの構成例を示す概略図である。It is the schematic which shows the configuration example of the login DB which the login server has in FIG. 図１において、ログインサーバを用いてＳＳＯを行う際の処理内容の一例を示すシーケンス図である。FIG. 1 is a sequence diagram showing an example of processing contents when SSO is performed using a login server. 図３とは異なる処理内容の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the processing content different from FIG. 図１において、ログインサーバの主要部の構成例を示すブロック図である。FIG. 1 is a block diagram showing a configuration example of a main part of a login server. 図１および図５のログインサーバを用いて行われる主要な処理内容の一例を示すシーケンス図である。It is a sequence diagram which shows an example of the main processing contents performed using the login server of FIG. 1 and FIG. 本発明の実施の形態２によるネットワークシステムにおける主要部の構成例および動作例を示す概略図である。It is the schematic which shows the structural example and the operation example of the main part in the network system by Embodiment 2 of this invention. 図７に続く構成例および動作例を示す概略図である。It is the schematic which shows the configuration example and operation example following FIG.

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。 Hereinafter, embodiments of the present invention will be described in detail with reference to the drawings. In addition, in all the drawings for explaining the embodiment, in principle, the same members are designated by the same reference numerals, and the repeated description thereof will be omitted.

（実施の形態１）
《ネットワークシステムの構成》
図１は、本発明の実施の形態１によるネットワークシステムにおける主要部の構成例を示す概略図である。図１に示すネットワークシステムは、イントラネット等の内部ネットワーク１０と、インターネット等の外部ネットワーク１１と、ルータ１３と、認証サーバ１７と、ログインサーバ（サーバ装置）１８と、認証スイッチＳＷとを備える。外部ネットワーク１１には、所定のサービス（言い換えればアプリケーション）を提供する複数のサービスプロバイダ（言い換えればアプリケーションサーバ）ＳＰａ，ＳＰｂが接続される。 (Embodiment 1)
<< Network system configuration >>
FIG. 1 is a schematic view showing a configuration example of a main part in the network system according to the first embodiment of the present invention. The network system shown in FIG. 1 includes an internal network 10 such as an intranet, an external network 11 such as the Internet, a router 13, an authentication server 17, a login server (server device) 18, and an authentication switch SW. A plurality of service providers (in other words, application servers) SPA and SPb that provide predetermined services (in other words, applications) are connected to the external network 11.

内部ネットワーク１０は、例えば、ＯＳＩ参照モデルのレイヤ３（Ｌ３）やレイヤ２（Ｌ２）のネットワークである。ルータ１３は、内部ネットワーク１０と外部ネットワーク１１との間に接続される。認証スイッチＳＷは、内部ネットワーク１０と、ユーザによって使用されるユーザ端末ＴＭ１０との間に接続される。認証サーバ１７およびログインサーバ１８は、内部ネットワーク１０に接続される。 The internal network 10 is, for example, a layer 3 (L3) or layer 2 (L2) network of the OSI reference model. The router 13 is connected between the internal network 10 and the external network 11. The authentication switch SW is connected between the internal network 10 and the user terminal TM10 used by the user. The authentication server 17 and the login server 18 are connected to the internal network 10.

認証スイッチＳＷは、認証サーバ１７に対する認証クライアント（例えば、ＲＡＤＩＵＳクライアント）である。認証スイッチＳＷは、例えば、レイヤ２（Ｌ２）の中継処理を行うＬ２スイッチであり、ポートＰ１，…を備える。この例では、ポートＰ１には、正規のユーザ１４ａによって使用されるユーザ端末ＴＭ１０が接続される。ユーザ端末ＴＭ１０には、ＩＰアドレス“ＩＰＡ１０”およびＭＡＣアドレス“ＭＡ１０”が設定される。 The authentication switch SW is an authentication client (for example, a RADIUS client) for the authentication server 17. The authentication switch SW is, for example, an L2 switch that performs relay processing of layer 2 (L2), and includes ports P1, ... In this example, the user terminal TM10 used by the legitimate user 14a is connected to the port P1. An IP address "IPA10" and a MAC address "MA10" are set in the user terminal TM10.

認証サーバ１７は、例えば、認証クライアントからの認証判定要求に応じて内部ネットワーク１０の認証可否を判定するＲＡＤＩＵＳサーバ等である。明細書では、認証サーバ１７によって行われる認証をネットワーク認証と呼ぶ。認証サーバ１７は、記憶部２３に保持される認証データベース（明細書では、データベースをＤＢと略す）２４を有する。認証ＤＢ２４は、例えば、ユーザのユーザ識別子（明細書では、識別子をＩＤと略す）およびパスワード（ＰＷ）と、ユーザＩＤ毎のネットワーク認証許可／ネットワーク認証拒否を表すネットワーク認証可否情報２７との対応関係を保持する。 The authentication server 17 is, for example, a RADIUS server that determines whether or not the internal network 10 can be authenticated in response to an authentication determination request from an authentication client. In the specification, the authentication performed by the authentication server 17 is called network authentication. The authentication server 17 has an authentication database (the database is abbreviated as DB in the specification) 24 held in the storage unit 23. The authentication DB 24 has, for example, a correspondence relationship between a user identifier of a user (in the specification, the identifier is abbreviated as an ID) and a password (PW), and network authentication availability information 27 indicating network authentication permission / network authentication refusal for each user ID. To hold.

なお、認証ＤＢ２４は、外部のディレクトリサーバが有してもよい。この場合、認証サーバ１７は、ディレクトリサーバとの間でＬＤＡＰ（Lightweight Directory Access Protocol）等に基づく通信を行うことで、認証ＤＢ２４にアクセスすればよい。 The authentication DB 24 may be owned by an external directory server. In this case, the authentication server 17 may access the authentication DB 24 by performing communication with the directory server based on LDAP (Lightweight Directory Access Protocol) or the like.

ログインサーバ（サーバ装置）１８は、ＳＳＯサーバであり、ユーザにユーザ端末ＴＭ１０を介して１回のログイン操作を行わせることで、外部ネットワーク１１に接続される複数のサービスプロバイダＳＰａ，ＳＰｂへのログインを可能にするものである。言い換えれば、ログインサーバ１８は、１回のログイン操作に基づいて、各サービスプロバイダへのログインに伴う認証可否を判定する。明細書では、ログインサーバ１８によって行われる認証をログイン認証と呼ぶ。ログインサーバ１８は、例えば、ＳＡＭＬ（Security Assertion Markup Language）規格ではＩｄｐ（Identity provider）と呼ばれる。 The login server (server device) 18 is an SSO server, and logs in to a plurality of service providers SPA and SPb connected to the external network 11 by causing the user to perform one login operation via the user terminal TM10. Is what makes it possible. In other words, the login server 18 determines whether or not authentication is possible when logging in to each service provider based on one login operation. In the specification, the authentication performed by the login server 18 is called login authentication. The login server 18 is called an Idp (Identity provider) in the SAML (Security Assertion Markup Language) standard, for example.

ログインサーバ１８は、記憶部２５に保持されるログインＤＢ２６を有する。図２は、図１におけるログインサーバが有するログインＤＢの構成例を示す概略図である。図２に示すログインＤＢ２６は、ユーザのユーザＩＤおよびパスワード（ＰＷ）と、当該ユーザのログイン権限情報３０と、当該ユーザのログイン認証可否情報３１と、当該ユーザのログインセッション情報３２との対応関係を保持する。この内、ユーザＩＤおよびパスワード（ＰＷ）と、ログイン権限情報３０は、例えば、予め管理者等によって登録される。 The login server 18 has a login DB 26 held in the storage unit 25. FIG. 2 is a schematic view showing a configuration example of a login DB included in the login server in FIG. The login DB 26 shown in FIG. 2 has a correspondence relationship between the user ID and password (PW) of the user, the login authority information 30 of the user, the login authentication availability information 31 of the user, and the login session information 32 of the user. Hold. Of these, the user ID and password (PW) and the login authority information 30 are registered in advance by, for example, an administrator or the like.

ログイン権限情報３０は、複数のサービスプロバイダＳＰａ，ＳＰｂのそれぞれに対するログイン権限の有無を表す。ログイン認証可否情報３１は、ユーザに対するログイン認証許可またはログイン認証拒否を定める。ログインセッション情報３２は、ユーザがログイン中のサービスプロバイダＳＰａ，ＳＰｂを表す。すなわち、ログインサーバ１８は、ユーザがログイン権限を有するサービスプロバイダに対してログイン中であるか否か（言い換えれば、ログインセッションを確立しているか未確立であるか）を逐次管理する。 The login authority information 30 indicates the presence or absence of login authority for each of the plurality of service providers SPA and SPb. The login authentication permission / rejection information 31 determines the login authentication permission or the login authentication refusal for the user. The login session information 32 represents the service providers SPA and SPb in which the user is logged in. That is, the login server 18 sequentially manages whether or not the user is logged in to the service provider having the login authority (in other words, whether or not the login session is established or not).

《ネットワークシステムの概略動作および前提となる問題点》
ここで、図１において、内部ネットワーク１０のネットワーク認証について簡単に説明する。まず、認証ＤＢ２４には、予め管理者等によって、認証の対象となるユーザＩＤおよびパスワード（ＰＷ）が登録されている。この例では、ＭＡＣアドレス認証に対応するユーザＩＤ“ＭＡ１０”と、ユーザＩＤおよびパスワード（ＰＷ）を用いた認証に対応するユーザＩＤ“ＵＩＤ２０”およびパスワード“ｐｐ２０”とが登録されている。また、初期状態では、認証ＤＢ２４内の各ユーザＩＤのネットワーク認証可否情報２７は、ネットワーク認証許可に設定されているものとする。 << Outline of network system operation and prerequisite problems >>
Here, in FIG. 1, the network authentication of the internal network 10 will be briefly described. First, in the authentication DB 24, a user ID and a password (PW) to be authenticated are registered in advance by an administrator or the like. In this example, a user ID "MA10" corresponding to MAC address authentication, a user ID "UID20" corresponding to authentication using a user ID and a password (PW), and a password "pp20" are registered. Further, in the initial state, it is assumed that the network authentication possibility information 27 of each user ID in the authentication DB 24 is set to the network authentication permission.

続いて、認証スイッチＳＷ（認証クライアント）は、ポートＰ１と内部ネットワーク１０との通信経路を遮断した状態で、ユーザ端末ＴＭ１０から内部ネットワーク１０の認証を求めるネットワーク認証要求を受信する。認証スイッチＳＷは、このネットワーク認証要求に応じて、認証サーバ１７へ認証判定要求を送信する。認証サーバ１７は、認証スイッチＳＷからの認証判定要求に応じて、認証データベースＤＢに基づいてネットワーク認証許可／ネットワーク認証拒否を判定し、その判定結果を認証スイッチＳＷへ応答する。 Subsequently, the authentication switch SW (authentication client) receives a network authentication request for authentication of the internal network 10 from the user terminal TM 10 in a state where the communication path between the port P1 and the internal network 10 is blocked. The authentication switch SW transmits an authentication determination request to the authentication server 17 in response to the network authentication request. The authentication server 17 determines network authentication permission / network authentication refusal based on the authentication database DB in response to the authentication determination request from the authentication switch SW, and responds the determination result to the authentication switch SW.

この例では、認証サーバ１７は、認証ＤＢ２４内で、ユーザＩＤ“ＭＡ１０”（すなわちユーザ端末ＴＭ１０のＭＡＣアドレス）がネットワーク認証許可に設定されているため、ネットワーク認証許可と判定し、その旨を認証スイッチＳＷへ応答する。認証スイッチＳＷは、このネットワーク認証許可の応答を受けて、ポートＰ１と内部ネットワーク１０との通信経路を開放する。これによって、ユーザ端末ＴＭ１０は、内部ネットワーク１０を使用することが可能になる。 In this example, since the user ID "MA10" (that is, the MAC address of the user terminal TM10) is set in the authentication DB 24, the authentication server 17 determines that the network authentication is permitted and authenticates to that effect. Responds to the switch SW. The authentication switch SW opens the communication path between the port P1 and the internal network 10 in response to the response of the network authentication permission. This allows the user terminal TM10 to use the internal network 10.

一方、ユーザＩＤ“ＵＩＤ２０”を有するユーザ１４ｂは、例えば、過去に何らかの不正な通信を行った結果として、図１に示されるように、認証ＤＢ２４内でネットワーク認証拒否に定められているものとする。また、ユーザ端末ＴＭ１０は、本来、単数または複数の正規のユーザ１４ａによって使用される端末または共通端末であるものとする。この場合、ユーザ端末ＴＭ１０が正規のユーザ１４ａによって使用される際には問題が生じないが、不正なユーザ１４ｂによって使用される際には問題が生じ得る。すなわち、本来、内部ネットワーク１０を使用することが禁止されている不正なユーザ１４ｂであっても、ユーザ端末ＴＭ１０を介して内部ネットワーク１０を使用可能となる。 On the other hand, it is assumed that the user 14b having the user ID "UID20" is set to reject the network authentication in the authentication DB 24 as shown in FIG. 1 as a result of performing some illegal communication in the past. .. Further, it is assumed that the user terminal TM10 is originally a terminal or a common terminal used by one or a plurality of legitimate users 14a. In this case, no problem occurs when the user terminal TM10 is used by the legitimate user 14a, but a problem may occur when the user terminal TM10 is used by the unauthorized user 14b. That is, even an unauthorized user 14b, who is originally prohibited from using the internal network 10, can use the internal network 10 via the user terminal TM10.

この場合、不正なユーザ１４ｂは、ユーザ端末ＴＭ１０および内部ネットワーク１０を介してログインサーバ１８へログイン命令を送信することができる。図２のログインＤＢ２６の例では、ユーザＩＤ“ＵＩＤ２０”のログイン認証可否情報３１は、ログイン認証許可に設定されている。この場合、不正なユーザ１４ｂが、ログインサーバ１８に対して自身のユーザＩＤ“ＵＩＤ２０”およびパスワード“ｐｐ２０”を用いてログイン認証を要求すると、ログインサーバ１８は、当該要求に対してログイン認証許可と判定する。 In this case, the unauthorized user 14b can send a login command to the login server 18 via the user terminal TM10 and the internal network 10. In the example of the login DB 26 of FIG. 2, the login authentication availability information 31 of the user ID “UID20” is set to login authentication permission. In this case, when an unauthorized user 14b requests login authentication from the login server 18 using his / her own user ID “UID20” and password “pp20”, the login server 18 grants login authentication permission to the request. judge.

その結果、不正なユーザ１４ｂは、ユーザ端末ＴＭ１０および内部ネットワーク１０を介して、外部ネットワーク１１に接続されるサービスプロバイダＳＰａ，ＳＰｂへログインし、所定のサービスを利用することが可能になる。しかし、本来、当該不正なユーザ１４ｂによる内部ネットワーク１０の使用は、認証ＤＢ２４によって禁止されているため、当該内部ネットワーク１０を使ったサービスの利用も禁止されることが望ましい。 As a result, the unauthorized user 14b can log in to the service providers Spa and SPb connected to the external network 11 via the user terminal TM10 and the internal network 10 and use a predetermined service. However, since the use of the internal network 10 by the unauthorized user 14b is originally prohibited by the authentication DB 24, it is desirable that the use of the service using the internal network 10 is also prohibited.

《ログインサーバを用いたＳＳＯの概略動作》
図３は、図１において、ログインサーバを用いてＳＳＯを行う際の処理内容の一例を示すシーケンス図である。図４は、図３とは異なる処理内容の一例を示すシーケンス図である。図３は、ログインサーバ（Ｉｄｐ）１８を起点としてＳＳＯを実現する際の処理シーケンスであり、図４は、サービスプロバイダ（ここではＳＰａ）を起点としてＳＳＯを実現する際の処理シーケンスである。 << Outline operation of SSO using login server >>
FIG. 3 is a sequence diagram showing an example of processing contents when performing SSO using a login server in FIG. 1. FIG. 4 is a sequence diagram showing an example of processing contents different from those in FIG. FIG. 3 is a processing sequence when SSO is realized starting from the login server (Idp) 18, and FIG. 4 is a processing sequence when SSO is realized starting from the service provider (SPa in this case).

図３において、まず、ユーザは、ユーザ端末ＴＭ１０のブラウザを介してログインサーバ１８へログイン命令ＬＩＮを送信する（ステップＳ１０１）。具体的には、ユーザは、例えば、ログインサーバ１８から提供されるブラウザのログイン／ログアウト画面上で、ユーザＩＤおよびパスワード（ＰＷ）の入力を含めたログイン操作を行う。このログイン操作に応じて、ブラウザは、ログインサーバ１８へログイン命令ＬＩＮを送信する。 In FIG. 3, first, the user transmits a login command LIN to the login server 18 via the browser of the user terminal TM10 (step S101). Specifically, for example, the user performs a login operation including input of a user ID and a password (PW) on the login / logout screen of the browser provided by the login server 18. In response to this login operation, the browser sends a login command LIN to the login server 18.

続いて、ログインサーバ１８は、ログイン命令ＬＩＮに伴うユーザＩＤおよびパスワード（ＰＷ）をログインＤＢ２６に基づいて検証する。そして、ログインサーバ１８は、当該ユーザＩＤに対してログイン権限が与えられているサービスプロバイダの中から、いずれかのサービスプロバイダを選択させるためのＳＰ選択画面を、ユーザ端末ＴＭ１０のブラウザに表示させる（ステップＳ１０２）。 Subsequently, the login server 18 verifies the user ID and password (PW) associated with the login instruction LIN based on the login DB 26. Then, the login server 18 displays the SP selection screen for selecting one of the service providers from the service providers to which the login authority is given to the user ID on the browser of the user terminal TM10 ( Step S102).

次いで、ユーザが、ＳＰ選択画面上で例えばサービスプロバイダＳＰａを選択すると、ユーザ端末ＴＭ１０は、ログインサーバ１８へサービスプロバイダＳＰａの選択命令を送信する（ステップＳ１０３）。ログインサーバ１８は、当該選択命令を受けて、ユーザ端末ＴＭ１０へサービスプロバイダＳＰａへのＨＴＴＰリダイレクト要求を送信し（ステップＳ１０４）、これに応じて、ユーザ端末ＴＭ１０は、サービスプロバイダＳＰａへのＨＴＴＰリダイレクトを実行する（ステップＳ１０５）。 Next, when the user selects, for example, the service provider Spa on the SP selection screen, the user terminal TM10 transmits a selection command of the service provider Spa to the login server 18 (step S103). Upon receiving the selection command, the login server 18 transmits an HTTP redirect request to the service provider SPA to the user terminal TM10 (step S104), and the user terminal TM10 responds to the HTTP redirect to the service provider SPA. Execute (step S105).

続いて、サービスプロバイダＳＰａは、ログイン認証要求ＡＲＱを作成し、それをユーザ端末ＴＭ１０を介してログインサーバ１８へ送信する（ステップＳ１０６）。具体的には、サービスプロバイダＳＰａは、例えば、予め設定されたログインサーバ１８のＵＲＬ（Uniform Resource Locator）を用いて、ユーザ端末ＴＭ１０のブラウザに当該ＵＲＬへのＨＴＴＰリダイレクト等を行わせることで、ログイン認証の認証可否を含めた認証情報を問い合わせる。なお、例えば、ＳＡＭＬ規格では、当該ログイン認証要求ＡＲＱは、“ＡｕｔｈｎＲｅｑｕｅｓｔ”と呼ばれる。 Subsequently, the service provider SPA creates a login authentication request ARQ and transmits it to the login server 18 via the user terminal TM10 (step S106). Specifically, the service provider SPA logs in by, for example, using a preset URL (Uniform Resource Locator) of the login server 18 to cause the browser of the user terminal TM10 to perform an HTTP redirect or the like to the URL. Inquire about authentication information including whether or not authentication is possible. For example, in the SAML standard, the login authentication request ARQ is called "AutthnRequest".

次いで、ログインサーバ１８は、認証情報を秘密鍵で電子署名し、それを含んだログイン認証応答ＡＲＳをＨＴＭＬフォームに配置して、ユーザ端末ＴＭ１０へ送信する（ステップＳ１０７）。また、この際に、ログインサーバ１８は、例えば、ＨＴＭＬフォームに対して、サービスプロバイダＳＰａへ自動送信するためのスクリプトを付加する。なお、例えば、ＳＡＭＬ規格では、当該認証情報は“Ａｓｓｅｒｔｉｏｎ”と呼ばれ、当該ログイン認証応答ＡＲＳは“Ｒｅｓｐｏｎｓｅ”と呼ばれる。 Next, the login server 18 digitally signs the authentication information with the private key, arranges the login authentication response ARS including the authentication information in the HTML form, and transmits the login authentication response ARS to the user terminal TM10 (step S107). At this time, the login server 18 adds, for example, a script for automatically transmitting to the service provider Spa to the HTML form. For example, in the SAML standard, the authentication information is called "Assertion", and the login authentication response ARS is called "Response".

続いて、ユーザ端末ＴＭ１０のブラウザは、受信したログイン認証応答ＡＲＳを含むＨＴＭＬフォームを、ＨＴＴＰＰＯＳＴメソッド（ＰＯＳＴバインディングとも呼ばれる）を用いてサービスプロバイダＳＰａへ送信する（ステップＳ１０８）。サービスプロバイダＳＰａは、ＨＴＭＬフォームからログイン認証応答ＡＲＳを取得し、その中の認証情報をログインサーバ１８の公開鍵で復号する。そして、サービスプロバイダＳＰａは、復号した認証情報に基づいて、ユーザのログインを許可すると共に、アクセス権限を検証した上で、所定のリソースをユーザへ提供する（ステップＳ１０９）。 Subsequently, the browser of the user terminal TM10 transmits the HTTP form including the received login authentication response ARS to the service provider SPA using the HTTP POST method (also referred to as POST binding) (step S108). The service provider Spa acquires the login authentication response ARS from the HTML form and decrypts the authentication information in the login authentication response ARS with the public key of the login server 18. Then, the service provider SPA permits the user to log in based on the decrypted authentication information, verifies the access authority, and then provides a predetermined resource to the user (step S109).

その後、ユーザは、ステップＳ１０３の場合と同様に、ＳＰ選択画面上で例えばサービスプロバイダＳＰｂを選択すると、ユーザ端末ＴＭ１０は、ログインサーバ１８へサービスプロバイダＳＰｂの選択命令を送信する（ステップＳ１１０）。その後は、ステップＳ１１１〜Ｓ１１６において、ステップＳ１０４〜Ｓ１０９の場合と同様の処理がサービスプロバイダＳＰｂを対象として行われる。 After that, when the user selects, for example, the service provider SPb on the SP selection screen as in the case of step S103, the user terminal TM10 transmits a selection command of the service provider SPb to the login server 18 (step S110). After that, in steps S111 to S116, the same processing as in steps S104 to S109 is performed on the service provider SPb.

ここで、ログインサーバ１８は、例えば、ステップＳ１０７の段階でサービスプロバイダＳＰａへのログインセッションが確立された（すなわち、サービスプロバイダＳＰａにログイン中）と判断し、図２のログインＤＢ２６内のログインセッション情報３２を更新する。同様に、ログインサーバ１８は、例えば、ステップＳ１１４の段階でサービスプロバイダＳＰｂへのログインセッションが確立された（すなわち、サービスプロバイダＳＰｂにログイン中）と判断し、ログインセッション情報３２を更新する。 Here, for example, the login server 18 determines that the login session to the service provider SPA has been established (that is, is logging in to the service provider SPA) at the stage of step S107, and the login session information in the login DB 26 of FIG. Update 32. Similarly, the login server 18 determines that the login session to the service provider SPb has been established (that is, is logged in to the service provider SPb) at the stage of step S114, and updates the login session information 32.

その後、ユーザは、ユーザ端末ＴＭ１０のブラウザを介してログインサーバ１８へログアウト命令ＬＯＵＴを送信する（ステップＳ１１７）。具体的には、ユーザは、例えば、ログインサーバ１８から提供されるブラウザのログイン／ログアウト画面上でログアウト操作を行う。これに応じて、ブラウザは、ログインサーバ１８へログアウト命令ＬＯＵＴを送信する。 After that, the user transmits a logout command LOUT to the login server 18 via the browser of the user terminal TM10 (step S117). Specifically, the user performs a logout operation on, for example, the login / logout screen of the browser provided by the login server 18. In response to this, the browser sends a logout command LOUT to the login server 18.

ログインサーバ１８は、ログアウト命令ＬＯＵＴをユーザ端末ＴＭ１０から受信した際に、図２のログインＤＢ２６に基づいて、ユーザがログイン中のサービスプロバイダへログアウト要求ＬＯＲＱを送信する（ステップＳ１１８，Ｓ１１９）。図３の例では、ログインサーバ１８は、サービスプロバイダＳＰａ，ＳＰｂの両方に対して、それぞれ、ログアウト要求ＬＯＲＱを送信する。これにより、サービスプロバイダＳＰａ，ＳＰｂは、ユーザを自身からログアウトさせる。なお、例えば、ＳＡＭＬ規格では、当該ログアウト要求ＬＯＲＱは、“ＬｏｇｏｕｔＲｅｑｕｅｓｔ”と呼ばれる。 When the login server 18 receives the logout instruction LOUT from the user terminal TM10, the login server 18 transmits a logout request LORQ to the service provider in which the user is logged in based on the login DB 26 of FIG. 2 (steps S118 and S119). In the example of FIG. 3, the login server 18 transmits a logout request LORQ to both the service providers SPA and SPb, respectively. As a result, the service providers SPa and SPb log out the user from themselves. For example, in the SAML standard, the logout request LORQ is called "LogoutRequest".

また、ログインサーバ１８は、例えば、ステップＳ１１８の段階でサービスプロバイダＳＰａへのログインセッションが未確立になった（すなわち、サービスプロバイダＳＰａからログアウトされた）と判断し、図２のログインＤＢ２６内のログインセッション情報３２を更新する。同様に、ログインサーバ１８は、例えば、ステップＳ１１９の段階でサービスプロバイダＳＰｂへのログインセッションが未確立になった（すなわち、サービスプロバイダＳＰｂからログアウトされた）と判断し、ログインセッション情報３２を更新する。 Further, the login server 18 determines, for example, that the login session to the service provider SPA has not been established (that is, has been logged out from the service provider SPA) at the stage of step S118, and the login in the login DB 26 of FIG. 2 is performed. Update session information 32. Similarly, the login server 18 determines that the login session to the service provider SPb has not been established (that is, has been logged out from the service provider SPb) at the stage of step S119, and updates the login session information 32. ..

このように、ユーザによる１回のログアウト操作でログイン中の複数のサービスプロバイダＳＰａ，ＳＰｂへのログアウトを実現する機能は、シングルログアウト（ＳＬＯ）と呼ばれる。シングルログアウト（ＳＬＯ）機能は、例えば、ＳＡＭＬ２．０規格等で規定される。なお、ログインＤＢ２６内のログインセッション情報３２が確立から未確立に変更されるケースとして、ステップＳ１１７のようにログアウト命令ＬＯＵＴを受けたケースの他に、主に、次のようなケースが挙げられる。一つ目は、ステップＳ１０１でのログイン命令ＬＩＮに伴うユーザ端末ＴＭ１０とログインサーバ１８との間のログインセッションがタイムアウトに達したケースであり、二つ目は、ユーザ端末ＴＭ１０のブラウザが閉じられたケースである。 In this way, the function of realizing logout to a plurality of service providers SPA and SPb who are logged in by one logout operation by the user is called single logout (SLO). The single logout (SLO) function is defined by, for example, the SAML 2.0 standard. As a case where the login session information 32 in the login DB 26 is changed from established to unestablished, in addition to the case where the logout command LOUT is received as in step S117, the following cases are mainly mentioned. The first is the case where the login session between the user terminal TM10 and the login server 18 accompanying the login instruction LIN in step S101 reaches a timeout, and the second is the case where the browser of the user terminal TM10 is closed. It is a case.

図４において、まず、ユーザは、ユーザ端末ＴＭ１０のブラウザを介してサービスプロバイダＳＰａへアクセスする（ステップＳ２０１）。続いて、サービスプロバイダＳＰａは、図３のステップＳ１０６の場合と同様に、ログイン認証要求ＡＲＱを作成し、それをユーザ端末ＴＭ１０を介してログインサーバ１８へ送信する（ステップＳ２０２）。続いて、図３の場合と異なり、ログインサーバ１８は、ログイン認証要求ＡＲＱを受けてユーザ端末ＴＭ１０へログイン情報を要求する（ステップＳ２０３）。これに応じて、ユーザ端末ＴＭ１０は、ログインサーバ１８へログイン命令ＬＩＮを送信する（ステップＳ２０４）。 In FIG. 4, the user first accesses the service provider Spa via the browser of the user terminal TM10 (step S201). Subsequently, the service provider SPA creates a login authentication request ARQ and transmits it to the login server 18 via the user terminal TM10 (step S202), as in the case of step S106 of FIG. Subsequently, unlike the case of FIG. 3, the login server 18 receives the login authentication request ARQ and requests the login information from the user terminal TM10 (step S203). In response to this, the user terminal TM10 transmits a login command LIN to the login server 18 (step S204).

ステップＳ２０３，Ｓ２０４において、具体的には、図３のステップＳ１０１の場合と同様に、ログインサーバ１８は、ユーザ端末ＴＭ１０のブラウザにログイン／ログアウト画面を提供する（ステップＳ２０３）。ユーザは、当該ログイン／ログアウト画面上で、ユーザＩＤおよびパスワード（ＰＷ）の入力を含めたログイン操作を行うことでログインサーバ１８へログイン命令ＬＩＮを送信する（ステップＳ２０４）。 In steps S203 and S204, specifically, as in the case of step S101 of FIG. 3, the login server 18 provides a login / logout screen to the browser of the user terminal TM10 (step S203). The user transmits a login command LIN to the login server 18 by performing a login operation including input of a user ID and a password (PW) on the login / logout screen (step S204).

その後は、ステップＳ２０５〜Ｓ２０７において、図３のステップＳ１０７〜Ｓ１０９の場合と同様の処理が行われる。簡単に説明すると、ログインサーバ１８は、認証情報を秘密鍵で電子署名し、それを含んだログイン認証応答ＡＲＳをＨＴＭＬフォームに配置して、ユーザ端末ＴＭ１０へ送信する（ステップＳ２０５）。この際に、ログインサーバ１８は、例えば、ＨＴＭＬフォームに対して、ステップＳ２０２の要求元であるサービスプロバイダＳＰａへ自動送信するためのスクリプトを付加する。 After that, in steps S205 to S207, the same processing as in steps S107 to S109 of FIG. 3 is performed. Briefly, the login server 18 digitally signs the authentication information with the private key, arranges the login authentication response ARS including the authentication information in the HTML form, and transmits the login authentication response ARS to the user terminal TM10 (step S205). At this time, the login server 18 adds, for example, a script for automatically transmitting to the service provider Spa, which is the request source of step S202, to the HTML form.

続いて、ユーザ端末ＴＭ１０のブラウザは、受信したログイン認証応答ＡＲＳを含むＨＴＭＬフォームを、ＨＴＴＰＰＯＳＴメソッドを用いてサービスプロバイダＳＰａへ送信する（ステップＳ２０６）。サービスプロバイダＳＰａは、ＨＴＭＬフォームからログイン認証応答ＡＲＳを取得し、その中の認証情報を復号した後、当該認証情報に基づいて、ユーザのログインを許可すると共に、アクセス権限を検証した上で所定のリソースをユーザへ提供する（ステップＳ２０７）。 Subsequently, the browser of the user terminal TM10 transmits the HTML form including the received login authentication response ARS to the service provider Spa using the HTTP POST method (step S206). The service provider Spa acquires the login authentication response ARS from the HTML form, decrypts the authentication information in it, permits the user to log in based on the authentication information, verifies the access authority, and then determines the predetermined value. The resource is provided to the user (step S207).

その後、ユーザは、ユーザ端末ＴＭ１０のブラウザを介してサービスプロバイダＳＰｂへアクセスする（ステップＳ２０８）。これに応じて、ステップＳ２０９〜Ｓ２１２において、ステップＳ２０２，Ｓ２０５〜Ｓ２０７の場合と同様の処理がサービスプロバイダＳＰｂを対象として行われる。すなわち、サービスプロバイダＳＰａの場合と異なり、ユーザ端末１０からログインサーバ１８へのログイン認証（ひいてはサービスプロバイダＳＰｂにログインするための認証）はステップＳ２０３，Ｓ２０４で既に完了しているため、これらの処理は行われない。 After that, the user accesses the service provider SPb via the browser of the user terminal TM10 (step S208). In response to this, in steps S209 to S212, the same processing as in the cases of steps S202 and S205 to S207 is performed on the service provider SPb. That is, unlike the case of the service provider SPA, the login authentication from the user terminal 10 to the login server 18 (and thus the authentication for logging in to the service provider SPb) has already been completed in steps S203 and S204, so that these processes are performed. Not done.

その後、ユーザは、ユーザ端末ＴＭ１０のブラウザを介してサービスプロバイダＳＰａへログアウト命令ＬＯＵＴを送信する（ステップＳ２１３）。ここで、例えば、シングルログアウト（ＳＬＯ）機能に対応したサービスプロバイダでは、このログアウト命令ＬＯＵＴ（例えば、サービスプロバイダＳＰａからの提供画面上でのログアウト操作）をシングルログアウト（ＳＬＯ）として取り扱うことが可能である。 After that, the user transmits a logout command LOUT to the service provider Spa via the browser of the user terminal TM10 (step S213). Here, for example, a service provider corresponding to the single logout (SLO) function can handle this logout instruction LOUT (for example, a logout operation on the provision screen from the service provider SPA) as a single logout (SLO). be.

この場合、サービスプロバイダＳＰａは、自身からユーザをログアウトすると共に、例えば、ＨＴＴＰリダイレクトを用いて、ユーザ端末ＴＭ１０のブラウザを介してログインサーバ１８へログアウト要求ＬＯＲＱを送信する（ステップＳ２１４）。ログインサーバ１８は、サービスプロバイダＳＰａからのログアウト要求ＬＯＲＱを受け、ログインＤＢ２６に基づいて、ユーザがログイン中の他のサービスプロバイダＳＰｂへログアウト要求ＬＯＲＱを送信する（ステップＳ２１５）。これを受けて、サービスプロバイダＳＰｂも、自身からユーザをログアウトさせる。 In this case, the service provider SPA logs out the user from itself and, for example, uses HTTP redirect to send a logout request LORQ to the login server 18 via the browser of the user terminal TM10 (step S214). The login server 18 receives the logout request LORQ from the service provider SPA, and transmits the logout request LORQ to another service provider SPb in which the user is logged in based on the login DB 26 (step S215). In response to this, the service provider SPb also logs out the user from itself.

ここで、ログインサーバ１８は、例えば、ステップＳ２０５の段階でサービスプロバイダＳＰａへのログインセッションが確立された（すなわち、サービスプロバイダＳＰａにログイン中）と判断し、図２のログインＤＢ２６内のログインセッション情報３２を更新する。同様に、ログインサーバ１８は、例えば、ステップＳ２１０の段階でサービスプロバイダＳＰｂへのログインセッションが確立された（すなわち、サービスプロバイダＳＰｂにログイン中）と判断し、ログインセッション情報３２を更新する。 Here, for example, the login server 18 determines that the login session to the service provider SPA has been established (that is, is logging in to the service provider SPA) at the stage of step S205, and the login session information in the login DB 26 of FIG. Update 32. Similarly, the login server 18 determines that the login session to the service provider SPb has been established (that is, is logged in to the service provider SPb) at the stage of step S210, and updates the login session information 32.

また、ログインサーバ１８は、例えば、ステップＳ２１４の段階でサービスプロバイダＳＰａへのログインセッションが未確立になった（すなわち、サービスプロバイダＳＰａからログアウトされた）と判断し、図２のログインＤＢ２６内のログインセッション情報３２を更新する。さらに、ログインサーバ１８は、例えば、ステップＳ２１５の段階でサービスプロバイダＳＰｂへのログインセッションが未確立になった（すなわち、サービスプロバイダＳＰｂからログアウトされた）と判断し、ログインセッション情報３２を更新する。 Further, the login server 18 determines, for example, that the login session to the service provider SPA has not been established (that is, has been logged out from the service provider SPA) at the stage of step S214, and the login in the login DB 26 of FIG. 2 is performed. Update session information 32. Further, for example, the login server 18 determines that the login session to the service provider SPb has not been established (that is, has been logged out from the service provider SPb) at the stage of step S215, and updates the login session information 32.

《ログインサーバの詳細》
図５は、図１において、ログインサーバの主要部の構成例を示すブロック図である。図５に示すログインサーバ（Ｉｄｐ）１８は、制御部３５と、記憶部２５とを備える。記憶部２５は、例えば、ＲＡＭ（Random access memory）、不揮発性メモリ、ハードディスクドライブ、ＳＳＤ（Solid State Drive）等の組み合わせで構成され、図２に示したようなログインＤＢ２６を保持する。制御部３５は、例えば、記憶部２５に格納された所定のプログラムをＣＰＵ（Central Processing Unit）等が実行することで実装される。ただし、このような実装形態に限らず、一部または全ての構成要素を、ＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスで実装してもよい。 << Details of login server >>
FIG. 5 is a block diagram showing a configuration example of a main part of the login server in FIG. The login server (Idp) 18 shown in FIG. 5 includes a control unit 35 and a storage unit 25. The storage unit 25 is composed of, for example, a combination of a RAM (Random access memory), a non-volatile memory, a hard disk drive, an SSD (Solid State Drive), and the like, and holds a login DB 26 as shown in FIG. The control unit 35 is implemented by, for example, executing a predetermined program stored in the storage unit 25 by a CPU (Central Processing Unit) or the like. However, the present invention is not limited to such an implementation form, and some or all the components may be implemented by a device such as FPGA (Field Programmable Gate Array) or ASIC (Application Specific Integrated Circuit).

制御部３５は、ログイン制御部３６と、画面提供部３７と、ログアウト制御部３８と、認証拒否情報設定部３９とを備え、ログインＤＢ２６に基づいて、ユーザのログイン操作またはログアウト操作に応じた各種制御を行う。ログイン制御部３６は、ユーザ端末ＴＭからのログイン命令ＬＩＮ（図３のステップＳ１０１等）や、サービスプロバイダＳＰからのログイン認証要求ＡＲＱ（図４のステップＳ２０２等）を受けて、ログイン認証の可否判定や、認証情報の作成を行う。 The control unit 35 includes a login control unit 36, a screen providing unit 37, a logout control unit 38, and an authentication refusal information setting unit 39, and various types according to a user's login operation or logout operation based on the login DB 26. Take control. The login control unit 36 receives a login command LIN (step S101, etc. in FIG. 3) from the user terminal TM and a login authentication request ARQ (step S202, etc. in FIG. 4) from the service provider SP, and determines whether or not login authentication is possible. Or create authentication information.

また、ログイン制御部３６は、作成した認証情報をログイン認証応答ＡＲＳに包含し、当該ログイン認証応答ＡＲＳをユーザ端末ＴＭのブラウザを介して要求元のサービスプロバイダＳＰへ送信する（図３のステップＳ１０７，Ｓ１０８等）。この際に、ログイン制御部３６は、ログインＤＢ２６内のログインセッション情報３２を更新する。さらに、ログイン制御部３６は、必要に応じて、画面提供部３７を介してログイン／ログアウト画面や、ＳＰ選択画面をユーザ端末ＴＭのブラウザに表示させる（図３のステップＳ１０１，Ｓ１０２等）。 Further, the login control unit 36 includes the created authentication information in the login authentication response ARS, and transmits the login authentication response ARS to the requesting service provider SP via the browser of the user terminal TM (step S107 in FIG. 3). , S108, etc.). At this time, the login control unit 36 updates the login session information 32 in the login DB 26. Further, the login control unit 36 causes the login / logout screen and the SP selection screen to be displayed on the browser of the user terminal TM via the screen providing unit 37 as needed (steps S101, S102, etc. in FIG. 3).

ログアウト制御部３８は、ユーザ端末ＴＭからのログアウト命令ＬＯＵＴ（図３のステップＳ１１７等）や、サービスプロバイダＳＰからのログアウト要求ＬＯＲＱ（図４のステップＳ２１４等）を受信した際に、ログインＤＢ２６内のログインセッション情報３２を参照する。そして、ログアウト制御部３８は、ログインセッション情報３２に基づいて、ユーザがログイン中のサービスプロバイダＳＰへログアウト要求ＬＯＲＱ（図３のステップＳ１１８，Ｓ１１９等）を送信する。この際に、ログイン制御部３６は、ログインＤＢ２６内のログインセッション情報３２を更新する。また、ログイン制御部３６は、必要に応じて、画面提供部３７を介してログイン／ログアウト画面をユーザ端末ＴＭのブラウザに表示させる（図３のステップＳ１１７等）。 When the logout control unit 38 receives the logout command LOUT from the user terminal TM (step S117 in FIG. 3 or the like) or the logout request LORQ from the service provider SP (step S214 or the like in FIG. 4), the logout control unit 38 is in the login DB 26. Refer to the login session information 32. Then, the logout control unit 38 transmits a logout request LORQ (steps S118, S119, etc. in FIG. 3) to the service provider SP in which the user is logged in, based on the login session information 32. At this time, the login control unit 36 updates the login session information 32 in the login DB 26. Further, the login control unit 36 displays the login / logout screen on the browser of the user terminal TM via the screen providing unit 37 as needed (step S117 in FIG. 3 and the like).

さらに、ログアウト制御部３８は、認証拒否情報ＡＲＩを受信した際にも、ログインＤＢ２６内のログインセッション情報３２に基づいて、ユーザがログイン中のサービスプロバイダＳＰへログアウト要求ＬＯＲＱを送信する。認証拒否情報ＡＲＩは、所定のユーザＩＤをログインＤＢ２６内のログイン認証可否情報３１等でログイン認証拒否に定めるための情報である。これにより、認証拒否情報ＡＲＩの対象となるユーザＩＤ（すなわち不正なユーザ）からのサービスプロバイダＳＰへのアクセスは、現在アクセス中であったとしても、認証拒否情報ＡＲＩを受信した時点で、サービスプロバイダＳＰによって強制的に遮断される。 Further, when the logout control unit 38 receives the authentication refusal information ARI, it also transmits a logout request LORQ to the service provider SP in which the user is logged in, based on the login session information 32 in the login DB 26. The authentication refusal information ARI is information for defining a predetermined user ID as login authentication refusal in the login authentication propriety information 31 or the like in the login DB 26. As a result, the access to the service provider SP from the user ID (that is, an unauthorized user) subject to the authentication refusal information ARI is the service provider at the time of receiving the authentication refusal information ARI even if it is currently being accessed. It is forcibly blocked by the SP.

認証拒否情報設定部３９は、認証拒否情報ＡＲＩを受信した際に、対象となるユーザＩＤに対応するログインＤＢ２６内のログイン認証可否情報３１がログイン認証拒否となるようにログインＤＢ２６を更新する。これにより、仮にアクセスを強制的に遮断された不正なユーザが、再度、サービスプロバイダＳＰへのログイン認証を試みたとしても、当該ログイン認証は、ログインサーバ１８（ログアウト制御部３８）によって拒否される。 When the authentication refusal information setting unit 39 receives the authentication refusal information ARI, the login DB 26 is updated so that the login authentication permission / rejection information 31 in the login DB 26 corresponding to the target user ID is the login authentication refusal. As a result, even if an unauthorized user whose access is forcibly blocked attempts login authentication to the service provider SP again, the login authentication is rejected by the login server 18 (logout control unit 38). ..

図６は、図１および図５のログインサーバを用いて行われる主要な処理内容の一例を示すシーケンス図である。図６では、まず、ユーザＩＤ“ＵＩＤ２０”を有するユーザがサービスプロバイダＳＰａ又はＳＰｂにログイン中となっている（ステップＳ３０１）。この状態で、例えば、当該ユーザが不正なユーザとみなされた場合、認証サーバ１７は、認証ＤＢ２４内で、ユーザＩＤ“ＵＩＤ２０”のネットワーク認証可否情報２７をネットワーク認証拒否に変更する（ステップＳ３０２）。 FIG. 6 is a sequence diagram showing an example of main processing contents performed by using the login server of FIGS. 1 and 5. In FIG. 6, first, a user having the user ID “UID20” is logged in to the service provider Spa or SPb (step S301). In this state, for example, when the user is regarded as an unauthorized user, the authentication server 17 changes the network authentication availability information 27 of the user ID “UID20” to network authentication refusal in the authentication DB 24 (step S302). ..

また、ステップＳ３０２に伴い、ログインサーバ１８は、ネットワーク認証拒否のユーザＩＤ“ＵＩＤ２０”を含む認証拒否情報ＡＲＩを受信する（ステップＳ３０３）。この際には、認証サーバ１７が、ステップＳ３０２の処理の際に、認証拒否情報ＡＲＩを作成してログインサーバ１８へ送信する方式を用いることができる。または、ログインサーバ１８が、認証サーバ１７の認証ＤＢ２４内でネットワーク認証拒否に定められているユーザＩＤを、認証拒否情報ＡＲＩとして認証サーバ１７との定期的な通信を介して取得するような方式を用いてもよい。ただし、処理負荷および通信負荷の観点や、認証拒否情報ＡＲＩを迅速に反映させる観点では、前者の方式を用いる方が望ましい。 Further, in accordance with step S302, the login server 18 receives the authentication refusal information ARI including the user ID “UID20” for network authentication refusal (step S303). At this time, the authentication server 17 can use a method of creating the authentication refusal information ARI and transmitting it to the login server 18 at the time of the process of step S302. Alternatively, a method is adopted in which the login server 18 acquires the user ID defined for network authentication refusal in the authentication DB 24 of the authentication server 17 as authentication refusal information ARI via periodic communication with the authentication server 17. You may use it. However, from the viewpoint of processing load and communication load, and from the viewpoint of quickly reflecting the authentication refusal information ARI, it is desirable to use the former method.

また、ここでは、認証拒否情報ＡＲＩは認証サーバ１７によって作成されたが、場合によっては、管理者等が認証拒否情報ＡＲＩを手動で作成し、ログインサーバ１８（および認証サーバ１７）に手動で反映させることも可能である。いずれの場合であっても、認証拒否情報ＡＲＩは、ユーザＩＤを認証サーバ１７内でネットワーク認証拒否に定める場合に、併せて、ログインＤＢ２６内でもログイン認証拒否に定めるために作成される。 Further, here, the authentication refusal information ARI is created by the authentication server 17, but in some cases, the administrator or the like manually creates the authentication refusal information ARI and manually reflects it on the login server 18 (and the authentication server 17). It is also possible to let them. In any case, the authentication refusal information ARI is created when the user ID is set as network authentication refusal in the authentication server 17, and also in the login DB 26 to be set as login authentication refusal.

ログインサーバ１８（認証拒否情報設定部３９）は、ステップＳ３０３での認証拒否情報ＡＲＩを受け、ログインＤＢ２６内のユーザＩＤ“ＵＩＤ２０”に対応するログイン認証可否情報３１をログイン認証拒否に変更する（ステップＳ３０４）。さらに、ログインサーバ１８（ログアウト制御部３８）は、ユーザＩＤ“ＵＩＤ２０”のユーザ（すなわち不正なユーザ）がログイン中のサービスプロバイダＳＰａ又はＳＰｂへ、ログアウト要求ＬＯＲＱを送信する（ステップＳ３０５）。 The login server 18 (authentication refusal information setting unit 39) receives the authentication refusal information ARI in step S303, and changes the login authentication propriety information 31 corresponding to the user ID “UID20” in the login DB 26 to login authentication refusal (step). S304). Further, the login server 18 (logout control unit 38) transmits a logout request LORQ to the service provider SPA or SPb in which the user with the user ID “UID20” (that is, an unauthorized user) is logged in (step S305).

その結果、サービスプロバイダＳＰａ又はＳＰｂは、不正なユーザがログイン中であっても、当該不正なユーザを自身から強制的にログアウトさせることが可能になる（ステップＳ３０６）。これに伴い、当該不正なユーザは、その後に、ログインサーバ１８へログイン命令ＬＩＮを送信し、再度のログイン認証を試みる（ステップＳ３０７）。この場合であっても、ログインサーバ１８は、ステップＳ３０４の処理が既に行われているため、当該ログイン認証を拒否することが可能になる（ステップＳ３０８）。 As a result, the service provider SPA or SPb can forcibly log out the unauthorized user from himself / herself even if the unauthorized user is logged in (step S306). Along with this, the unauthorized user subsequently sends a login command LIN to the login server 18 and attempts login authentication again (step S307). Even in this case, the login server 18 can reject the login authentication because the process of step S304 has already been performed (step S308).

《実施の形態１の主要な効果》
以上、実施の形態１のサーバ装置およびネットワークシステムを用いることで、代表的には、ネットワークのセキュリティを高めることが可能になる。具体的には、ネットワーク認証で認証拒否に定められたユーザをログイン認証でも認証拒否に定めることが可能になる。これにより、例えば、不正なユーザが、ネットワーク認証が許可されたユーザ端末を不正に用いてログイン認証を試みたとしても、当該ログイン認証を拒否することが可能になる。さらに、既にサービスプロバイダにログイン中のユーザであっても、当該ユーザが不正なユーザとみなされた時点で、当該ユーザを迅速かつ強制的にログアウトさせることが可能になる。 << Main effect of Embodiment 1 >>
As described above, by using the server device and the network system of the first embodiment, it is possible to typically enhance the security of the network. Specifically, it is possible to set a user who is set as authentication refusal in network authentication to be set as authentication refusal in login authentication. As a result, for example, even if an unauthorized user attempts login authentication by illegally using a user terminal for which network authentication is permitted, the login authentication can be rejected. Further, even if the user is already logged in to the service provider, the user can be quickly and forcibly logged out when the user is regarded as an unauthorized user.

なお、ここでは、説明の簡素化のため、同一ユーザに対する認証ＤＢ２４内のユーザＩＤとログインＤＢ２６内のユーザＩＤとは、同一の値であるものとした。ただし、当該２個のユーザＩＤは、必ずしも同一の値である必要はなく、２個のユーザＩＤの対応関係を表すテーブル等をログインサーバ１８内に設ければ、異なる値であってもよい。 Here, for the sake of simplification of the description, the user ID in the authentication DB 24 and the user ID in the login DB 26 for the same user are assumed to have the same value. However, the two user IDs do not necessarily have to have the same value, and may have different values as long as a table or the like showing the correspondence between the two user IDs is provided in the login server 18.

（実施の形態２）
《ネットワークシステムの概略》
図７は、本発明の実施の形態２によるネットワークシステムにおける主要部の構成例および動作例を示す概略図である。図８は、図７に続く構成例および動作例を示す概略図である。図７に示すネットワークシステムは、図１に示した構成例に加えて、不正通信検知装置１２と、ログ管理サーバ１５、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１６とを有する。また、認証クライアント（例えば、ＲＡＤＩＵＳクライアント）として、図１に示した認証スイッチＳＷの他に、無線ＬＡＮコントローラＷＬＣが追加されている。 (Embodiment 2)
<< Outline of network system >>
FIG. 7 is a schematic view showing a configuration example and an operation example of a main part in the network system according to the second embodiment of the present invention. FIG. 8 is a schematic view showing a configuration example and an operation example following FIG. 7. The network system shown in FIG. 7 includes an unauthorized communication detection device 12, a log management server 15, and a DHCP (Dynamic Host Configuration Protocol) server 16 in addition to the configuration example shown in FIG. Further, as an authentication client (for example, a RADIUS client), a wireless LAN controller WLC is added in addition to the authentication switch SW shown in FIG.

無線ＬＡＮコントローラＷＬＣは、無線通信のアクセスポイントの機能とＬ２スイッチの機能とを備える。無線ＬＡＮコントローラＷＬＣは、認証スイッチＳＷの場合と同様に、内部ネットワーク１０と、ユーザ端末ＴＭ２０との間に接続され、ユーザ端末ＴＭ２０から内部ネットワーク１０の認証を求めるネットワーク認証要求を受信する。ユーザ端末ＴＭ２０は、ＩＰアドレス“ＩＰＡ２０”およびＭＡＣアドレス“ＭＡ２０”が設定され、この例では、ユーザＩＤ“ＵＩＤ２０”を有するユーザ１４ｂによって使用される。 The wireless LAN controller WLC has a function of an access point for wireless communication and a function of an L2 switch. The wireless LAN controller WLC is connected between the internal network 10 and the user terminal TM 20 as in the case of the authentication switch SW, and receives a network authentication request from the user terminal TM 20 for authentication of the internal network 10. The user terminal TM20 is set with the IP address "IPA20" and the MAC address "MA20", and in this example, it is used by the user 14b having the user ID "UID20".

ＤＨＣＰサーバ１６は、内部ネットワーク１０に接続され、記憶部２１に保持されるＩＰ管理ＤＢ２２を有する。ＤＨＣＰサーバ１６は、ユーザ端末ＴＭ１０，ＴＭ２０からのＩＰアドレスの割り当て要求に応じてＩＰアドレスを割り当て、当該ＩＰアドレスと当該ユーザ端末のＭＡＣアドレスとの対応関係をＩＰ管理ＤＢ２２に登録する。さらに、ＤＨＣＰサーバ１６は、ユーザ端末にＩＰアドレスを割り当てた場合に、当該ユーザ端末のＩＰアドレスおよびＭＡＣアドレスを含むＤＨＣＰログＬＧ２を作成し、ログ管理サーバ１５へ送信する。 The DHCP server 16 has an IP management DB 22 connected to the internal network 10 and held in the storage unit 21. The DHCP server 16 allocates an IP address in response to an IP address allocation request from the user terminals TM10 and TM20, and registers the correspondence between the IP address and the MAC address of the user terminal in the IP management DB 22. Further, when an IP address is assigned to a user terminal, the DHCP server 16 creates a DHCP log LG2 including the IP address and MAC address of the user terminal and transmits the DHCP log LG2 to the log management server 15.

また、認証サーバ１７または認証クライアント（ＳＷまたはＷＬＣ）の一方（この例では認証サーバ１７）は、ネットワーク認証許可の際に認証許可ログＬＧ１を作成し、ログ管理サーバ１５へ送信する。認証許可ログＬＧ１は、ネットワーク認証許可の対象となるユーザＩＤと、ネットワーク認証要求の送信元であるユーザ端末のＭＡＣアドレスとを含む。 Further, one of the authentication server 17 and the authentication client (SW or WLC) (authentication server 17 in this example) creates an authentication permission log LG1 at the time of network authentication permission and transmits it to the log management server 15. The authentication permission log LG1 includes a user ID that is the target of network authentication permission and the MAC address of the user terminal that is the source of the network authentication request.

ログ管理サーバ１５は、記憶部１９に保持される端末管理ＤＢ２０を有する。ログ管理サーバ１５は、認証サーバ１７または認証クライアント（ＳＷまたはＷＬＣ）からの認証許可ログＬＧ１と、ＤＨＣＰサーバ１６からのＤＨＣＰログＬＧ２とを受けて、端末管理ＤＢ２０に所定の情報を登録する。具体的には、ログ管理サーバ１５は、認証許可ログＬＧ１およびＤＨＣＰログＬＧ２を、その中に含まれるＭＡＣアドレスで対応付けることで、図８に示されるように、ユーザＩＤとユーザ端末のＩＰアドレスおよびＭＡＣアドレスとの対応関係を端末管理ＤＢ２０に登録する。 The log management server 15 has a terminal management DB 20 held in the storage unit 19. The log management server 15 receives the authentication permission log LG1 from the authentication server 17 or the authentication client (SW or WLC) and the DHCP log LG2 from the DHCP server 16 and registers predetermined information in the terminal management DB 20. Specifically, the log management server 15 associates the authentication permission log LG1 and the DHCP log LG2 with the MAC addresses included therein, so that the user ID and the IP address of the user terminal and the IP address of the user terminal are as shown in FIG. The correspondence with the MAC address is registered in the terminal management DB 20.

不正通信検知装置１２は、ＩＰＳ（Intrusion Prevention System）装置やＩＤＳ（Intrusion Detection System）装置等である。不正通信検知装置１２は、図８に示されるように、内部ネットワーク１０から外部ネットワーク１１へ向けた通信を監視し、不正通信を検知した際に不正通信に伴う送信元のＩＰアドレスを含む不正通信検知ログＬＧ３をログ管理サーバ１５へ送信する。なお、各種ログ（ＬＧ１〜ＬＧ３）は、例えば、ｓｙｓｌｏｇや、ＳＮＭＰ（Simple Network Management Protocol）Ｔｒａｐ等を用いて送信される。 The fraudulent communication detection device 12 is an IPS (Intrusion Prevention System) device, an IDS (Intrusion Detection System) device, or the like. As shown in FIG. 8, the fraudulent communication detection device 12 monitors the communication from the internal network 10 to the external network 11, and when the fraudulent communication is detected, the fraudulent communication includes the IP address of the source associated with the fraudulent communication. The detection log LG3 is transmitted to the log management server 15. The various logs (LG1 to LG3) are transmitted using, for example, syslog, SNMP (Simple Network Management Protocol) Trap, or the like.

図８の例では、不正通信検知装置１２は、ユーザＩＤ“ＵＩＤ２０”のユーザ１４ｂからのユーザ端末ＴＭ２０を介した通信（ユーザフレームＵＦ）を不正通信として検知している。なお、不正通信検知装置１２は、予め通信手順や通信内容等を含む不正通信条件が設定されており、この不正通信条件を満たした通信を不正通信とみなす。 In the example of FIG. 8, the fraudulent communication detection device 12 detects the communication (user frame UF) from the user 14b of the user ID “UID20” via the user terminal TM20 as fraudulent communication. The fraudulent communication detection device 12 is set in advance with fraudulent communication conditions including communication procedures, communication contents, and the like, and communication satisfying these fraudulent communication conditions is regarded as fraudulent communication.

一方、ログ管理サーバ１５は、図８に示されるように、不正通信検知装置１２からの不正通信検知ログＬＧ３と端末管理ＤＢ２０とに基づいて、不正通信を行ったユーザＩＤ（この例では“ＵＩＤ２０”）を含む認証拒否情報ＡＲＩを作成する。また、図８の例では、ログ管理サーバ１５は、作成した認証拒否情報ＡＲＩを、認証クライアント（この例ではＷＬＣ）と認証サーバ１７とログインサーバ１８へ、それぞれ、認証拒否情報ＡＲＩ１，ＡＲＩ２，ＡＲＩ３として送信している。 On the other hand, as shown in FIG. 8, the log management server 15 performs unauthorized communication based on the unauthorized communication detection log LG3 from the unauthorized communication detection device 12 and the terminal management DB 20 (in this example, “UID20”. Create authentication refusal information ARI including "). Further, in the example of FIG. 8, the log management server 15 transfers the created authentication refusal information ARI to the authentication client (WLC in this example), the authentication server 17, and the login server 18, respectively. Is being sent as.

認証クライアント（ＷＬＣ）は、認証拒否情報ＡＲＩ１を受けて、ユーザ端末ＴＭ２０と内部ネットワーク１０との間の通信経路を遮断する。認証サーバ１７は、認証拒否情報ＡＲＩ２を受けて、認証ＤＢ２４内の対象のユーザＩＤ“ＵＩＤ２０”に対応するネットワーク認証可否情報２７をネットワーク認証拒否に変更する。それ以降、ユーザＩＤ“ＵＩＤ２０”を用いたネットワーク認証要求は、認証サーバ１７によって拒否される。 The authentication client (WLC) receives the authentication refusal information ARI1 and blocks the communication path between the user terminal TM20 and the internal network 10. The authentication server 17 receives the authentication refusal information ARI2 and changes the network authentication propriety information 27 corresponding to the target user ID "UID20" in the authentication DB 24 to network authentication refusal. After that, the network authentication request using the user ID "UID20" is rejected by the authentication server 17.

ログインサーバ（サーバ装置）１８は、認証拒否情報ＡＲＩ３を受けて、ログインＤＢ２６内の対象のユーザＩＤ“ＵＩＤ２０”に対応するログイン認証可否情報３１をログイン認証拒否に変更する。それ以降、ユーザＩＤ“ＵＩＤ２０”を用いたログイン認証は、ログインサーバ１８によって拒否される。さらに、ログインサーバ１８は、ユーザ１４ｂがユーザ端末ＴＭ２０を介してサービスプロバイダＳＰａ，ＳＰｂにログイン中の場合には、認証拒否情報ＡＲＩ３に応じて、ユーザ１４ｂを強制的にサービスプロバイダからログアウトさせる。 The login server (server device) 18 receives the authentication refusal information ARI3 and changes the login authentication permission / rejection information 31 corresponding to the target user ID “UID20” in the login DB 26 to login authentication refusal. After that, the login authentication using the user ID "UID20" is rejected by the login server 18. Further, when the user 14b is logged in to the service providers SPA and SPb via the user terminal TM20, the login server 18 forcibly logs out the user 14b from the service provider according to the authentication refusal information ARI3.

一方、このような状況を受けて、不正なユーザ１４ｂは、例えば、実施の形態１で述べたように、ネットワーク認証が許可されているユーザ端末ＴＭ１０を不正に用いて、サービスプロバイダＳＰａ，ＳＰｂに、再度、ログイン認証を試みる場合がある。この場合、ログインサーバ１８は、既に、図８の認証拒否情報ＡＲＩ３に応じて、ログインＤＢ２６内でユーザＩＤ“ＵＩＤ２０”をログイン認証拒否に定めているため、不正なユーザ１４ｂからのログイン認証を拒否することができる。また、不正なユーザ１４ｂがユーザ端末ＴＭ１０を用いてサービスプロバイダＳＰａ，ＳＰｂにログイン済みであっても、当該不正なユーザ１４ｂを迅速かつ強制的にログアウトさせることができる。 On the other hand, in response to such a situation, the unauthorized user 14b illegally uses the user terminal TM10 for which network authentication is permitted to the service providers SPA and SPb, for example, as described in the first embodiment. , May try login authentication again. In this case, since the login server 18 has already set the user ID "UID20" as the login authentication refusal in the login DB 26 according to the authentication refusal information ARI3 of FIG. 8, the login server 18 rejects the login authentication from the unauthorized user 14b. can do. Further, even if the unauthorized user 14b has already logged in to the service providers SPa and SPb using the user terminal TM10, the unauthorized user 14b can be quickly and forcibly logged out.

なお、ここでは、ログ管理サーバ１５が、ログインサーバ１８へ認証拒否情報ＡＲＩ３を送信した。ただし、これに限らず、ログ管理サーバ１５は、認証拒否情報ＡＲＩを認証サーバ１７へ送信し、ログインサーバ１８は、図６の場合と同様に、認証サーバ１７によって作成された認証拒否情報ＡＲＩを認証サーバ１７から受信してもよい。 Here, the log management server 15 transmits the authentication refusal information ARI3 to the login server 18. However, not limited to this, the log management server 15 transmits the authentication refusal information ARI to the authentication server 17, and the login server 18 transmits the authentication refusal information ARI created by the authentication server 17 as in the case of FIG. It may be received from the authentication server 17.

《実施の形態２の主要な効果》
以上、実施の形態２のサーバ装置およびネットワークシステムを用いることで、実施の形態１で述べた各種効果と同様の効果が得られる。加えて、不正通信を行ったユーザを検知し、当該検知結果をネットワーク認証およびログイン認証に即座に反映させることが可能になる。その結果、ネットワークのセキュリティをより高めることが可能になる。 << Main effect of Embodiment 2 >>
As described above, by using the server device and the network system of the second embodiment, the same effects as the various effects described in the first embodiment can be obtained. In addition, it is possible to detect a user who has performed unauthorized communication and immediately reflect the detection result in network authentication and login authentication. As a result, it becomes possible to further enhance the security of the network.

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。例えば、前述した実施の形態は、本発明を分かり易く説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。 Although the invention made by the present inventor has been specifically described above based on the embodiment, the present invention is not limited to the embodiment and can be variously modified without departing from the gist thereof. For example, the above-described embodiments have been described in detail in order to explain the present invention in an easy-to-understand manner, and are not necessarily limited to those having all the described configurations. Further, it is possible to replace a part of the configuration of one embodiment with the configuration of another embodiment, and it is also possible to add the configuration of another embodiment to the configuration of one embodiment. .. Further, it is possible to add / delete / replace other configurations with respect to a part of the configurations of each embodiment.

例えば、ここでは、ＳＳＯのプロトコルとして、主に、ＳＡＭＬを用いる場合を例としたが、これに限らず、ＯｐｅｎＩＤＣｏｎｎｅｃｔ等であってもよい。 For example, here, the case where SAML is mainly used as the SSO protocol is taken as an example, but the present invention is not limited to this, and OpenID Connect or the like may be used.

１０内部ネットワーク
１１外部ネットワーク
１２不正通信検知装置
１３ルータ
１４ａ，１４ｂユーザ
１５ログ管理サーバ
１６ＤＨＣＰサーバ
１７認証サーバ
１８ログインサーバ
１９，２１，２３，２５記憶部
２０端末管理ＤＢ
２２ＩＰ管理ＤＢ
２４認証ＤＢ
２６ログインＤＢ
２７ネットワーク認証可否情報
３０ログイン権限情報
３１ログイン認証可否情報
３２ログインセッション情報
３５制御部
３６ログイン制御部
３７画面提供部
３８ログアウト制御部
３９認証拒否情報
ＡＲＩ認証拒否情報
ＡＲＱログイン認証要求
ＡＲＳログイン認証応答
ＬＧ１認証許可ログ
ＬＧ２ＤＨＣＰログ
ＬＧ３不正通信検知ログ
ＬＩＮログイン命令
ＬＯＲＱログアウト要求
ＬＯＵＴログアウト命令
ＳＰ，ＳＰａ，ＳＰｂサービスプロバイダ
ＳＷ認証スイッチ
ＴＭ，ＴＭ１０，ＴＭ２０ユーザ端末
ＵＦユーザフレーム
ＷＬＣ無線ＬＡＮコントローラ 10 Internal network 11 External network 12 Unauthorized communication detector 13 Routers 14a, 14b Users 15 Log management server 16 DHCP server 17 Authentication server 18 Login server 19,21,23,25 Storage unit 20 Terminal management DB
22 IP management DB
24 Authentication DB
26 Login DB
27 Network authentication availability information 30 Login permission information 31 Login authentication availability information 32 Login session information 35 Control unit 36 Login control unit 37 Screen provider 38 Logout control unit 39 Authentication refusal information ARI Authentication refusal information ARQ Login authentication request ARS Login authentication response LG1 Authentication permission log LG2 DHCP log LG3 Unauthorized communication detection log LIN login command LORQ logout request LOUT logout command SP, SPA, SPb Service provider SW authentication switch TM, TM10, TM20 User terminal UF User frame WLC wireless LAN controller

Claims

A server device that enables a user to log in to a plurality of service providers connected to the user terminal via an internal network by causing the user to perform a single login operation via the user terminal.
A login database that holds a user identifier of the user, login authentication availability information that determines login authentication permission or login authentication refusal for the user, and a correspondence relationship with the service provider that the user is logged in to.
A control unit that controls according to the login operation or logout operation of the user based on the login database.
Have,
When the user identifier is set for network authentication refusal by the authentication server that determines whether or not the internal network can be authenticated, authentication refusal information for defining the user identifier for the login authentication refusal is created in the login database.
When the control unit receives the authentication refusal information, the control unit updates the login database so that the login authentication permission / rejection information corresponding to the user identifier becomes the login authentication refusal, and based on the login database, the control unit updates the login database. Sending a logout request to the service provider that the user is logged in to,
Server device.

In the server device according to claim 1,
The control unit receives the authentication refusal information from the authentication server.
Server device.

In the server device according to claim 1,
When the control unit receives a logout command associated with the logout operation of the user from the user terminal, the control unit transmits a logout request to the service provider logged in by the user based on the login database.
Server device.

With the internal network
With an external network to which multiple service providers are connected,
An authentication client that is connected between the internal network and a user terminal used by a user and receives a network authentication request from the user terminal for authentication of the internal network.
It is connected to the internal network, and in response to the authentication judgment request from the authentication client accompanying the network authentication request, the network authentication permission / network authentication refusal is determined based on the authentication database, and the network authentication permission / network authentication refusal is determined. An authentication server that responds to the authentication client with the determination result,
A server device that is connected to the internal network and allows the user to log in to the plurality of service providers by performing one login operation via the user terminal.
Is a network system that has
The server device
A login database that holds a user identifier of the user, login authentication availability information that determines login authentication permission or login authentication refusal for the user, and a correspondence relationship with the service provider that the user is logged in to.
A control unit that controls according to the login operation or logout operation of the user based on the login database.
Have,
When the user identifier is defined in the network authentication refusal in the authentication database, authentication refusal information for defining the user identifier in the login authentication refusal in the login database is created.
When the control unit receives the authentication refusal information, the control unit updates the login database so that the login authentication permission / rejection information corresponding to the user identifier becomes the login authentication refusal, and based on the login database, the control unit updates the login database. Sending a logout request to the service provider that the user is logged in to,
Network system.

In the network system according to claim 4,
The control unit receives the authentication refusal information from the authentication server.
Network system.

In the network system according to claim 4,
When the control unit receives a logout command associated with the logout operation of the user from the user terminal, the control unit transmits a logout request to the service provider logged in by the user based on the login database.
Network system.

In the network system according to claim 4,
With a DHCP server that is connected to the internal network, assigns an IP address to the user terminal, and creates a DHCP (Dynamic Host Configuration Protocol) log including the IP address and MAC address of the user terminal when the IP address is assigned. ,
Upon receiving the authentication authorization log connected to the internal network and created by either the authentication server or the authentication client at the time of the network authentication authorization, and the DHCP log from the DHCP server, the user identifier and the said A log management server that registers the correspondence with the IP address of the user terminal in the terminal management database,
An unauthorized communication detection device that monitors communication from the internal network to the external network, and when an unauthorized communication is detected, transmits an unauthorized communication detection log including the IP address of the source associated with the unauthorized communication to the log management server. When,
Have,
The authentication permission log includes the user identifier subject to the network authentication permission and the MAC address of the user terminal, and the log management server is based on the unauthorized communication detection log and the terminal management database. Create authentication denial information,
Network system.

In the network system according to claim 7,
The log management server transmits the authentication refusal information to the authentication server and the server device.
Network system.

In the network system according to claim 7,
The log management server transmits the authentication refusal information to the authentication server, and the log management server sends the authentication refusal information to the authentication server.
The server device receives the authentication refusal information from the authentication server.
Network system.