JP2024010384A - シングルサインオン認証システムおよびシングルサインオン認証装置 - Google Patents

Abstract

【課題】ユーザの作業負荷を軽減することが可能なＳＳＯ認証システムおよびＳＳＯ認証装置を提供する。【解決手段】ＤＨＣＰサーバ１１は、ユーザ端末ＴＭ１０，ＴＭ２０にＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、ユーザ端末のＭＡＣアドレスとの対応関係をＩＰ管理テーブル２２に登録する。ＳＳＯ認証サーバ１２は、ＳＳＯの認証を許可するＭＡＣアドレスが予め登録される認証テーブル２４を保持する。そして、ＳＳＯ認証サーバ１２は、ユーザ端末から認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバ１１から取得し、取得したＭＡＣアドレスの認証テーブル２４への登録有無に基づいて、ＳＳＯの認証許否を判定する。【選択図】図１

Description

本発明は、シングルサインオン（ＳＳＯ：Single Sign On）認証システムおよびＳＳＯ認証装置に関する。

特許文献１には、ＳＡＭＬ（Security Assertion Markup Language）を用いたＳＳＯ後に、ＳＳＯ前の情報に応じたサービスを、サービス利用者へ提供することが可能な認証システムが示される。具体的には、ＳＰ（Service Provider）サーバは、ユーザ端末からＳＳＯのアクセスを受けた場合、ユーザ端末のＳＳＯ前の通信セッション情報をＳＳＯ前情報として情報保持部に保存し、ユーザ端末をＩｄＰ（Identify Provider）サーバへリダイレクトさせる。ＩｄＰサーバは、ユーザ端末から入力された認証情報を用いて、ＳＳＯ認証ＤＢを参照してＳＳＯ認証を行い、ＳＳＯ認証の成功の場合、ユーザ端末をＳＰサーバへリダイレクトさせる。ＳＰサーバは、ＳＳＯ認証の成功後、ＳＳＯ前情報を情報保持部から取得し、ＳＳＯ前情報の内容に応じたサービスをユーザ端末へ提供する。

特開２０１６－１１８９３０号公報

例えば、特許文献１に記載されるＳＡＭＬを用いる方式を代表に、１回の認証手続きで複数のＷｅｂサービスやアプリケーション等へのログインを可能にするＳＳＯ認証システムが知られている。認証手続きに際し、ユーザは、通常、ユーザ識別子およびパスワードを入力する必要がある。一方、ユーザ識別子およびパスワードの入力を省略する方式として、証明書認証や生体認証が存在する。しかしながら、証明書認証を用いる場合、被認証装置に予め証明書をインストールする作業が必要となり得る。また、生体認証を用いる場合、生体認証に対応した装置を別途設ける必要がある。

本発明は、このようなことに鑑みてなされたものであり、その目的の一つは、ユーザの作業負荷を軽減することが可能なＳＳＯ認証システムおよびＳＳＯ認証装置を提供することにある。

本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的な実施の形態の概要を簡単に説明すれば、次のとおりである。

一実施の形態によるＳＳＯ認証システムは、ユーザ端末にＩＰアドレスを割り当てるＤＨＣＰサーバと、ネットワークを介してユーザ端末およびＤＨＣＰサーバに接続され、ユーザ端末からの認証要求に応じてＳＳＯの認証許否を判定するＳＳＯ認証サーバと、を備える。ＤＨＣＰサーバは、ユーザ端末にＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、ユーザ端末のＭＡＣアドレスとの対応関係を記憶する。ＳＳＯ認証サーバは、ＳＳＯの認証を許可するＭＡＣアドレスが予め登録される認証テーブルを保持する。そして、ＳＳＯ認証サーバは、ユーザ端末から認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバから取得し、取得したＭＡＣアドレスの認証テーブルへの登録有無に基づいて、ＳＳＯの認証許否を判定する。

本願において開示される発明のうち、代表的な実施の形態によって得られる効果を簡単に説明すると、ユーザの作業負荷を軽減することが可能になる。

実施の形態１によるＳＳＯ認証システムの構成例を示す概略図である。 図１におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。 図１におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。 実施の形態２によるＳＳＯ認証システムの構成例を示す概略図である。 図４におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。 図４におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。 実施の形態３によるＳＳＯ認証システムの構成例を示す概略図である。 図７におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。 図７におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。 実施の形態４によるＳＳＯ認証システムの構成例を示す概略図である。 図１０におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。 図１１とは異なる処理内容の一例を示すシーケンス図である。 図１０における認証管理テーブルの図１０とは異なる構成例を示す概略図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

（実施の形態１）
＜ＳＳＯ認証システムの概略＞
図１は、実施の形態１によるＳＳＯ認証システムの構成例を示す概略図である。ここでは、ＳＳＯ認証システムとして、ＳＡＭＬ方式を用いる場合を例とする。図１に示すＳＳＯ認証システムは、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１１と、ＳＳＯ認証サーバ１２と、ディレクトリサーバ１３と、サービスプロバイダＳＰａ，ＳＰｂと、ユーザ端末ＴＭ１０，ＴＭ２０とを備える。これらの装置は、互いにネットワーク１０を介して接続される。

サービスプロバイダＳＰａ，ＳＰｂは、Ｗｅｂサービスやアプリケーション等を提供するサーバである。明細書では、複数のサービスプロバイダＳＰａ，ＳＰｂを総称して、サービスプロバイダＳＰと呼ぶ。また、ユーザ端末ＴＭ１０，ＴＭ２０を総称してユーザ端末ＴＭと呼ぶ。

ネットワーク１０は、ＯＳＩ参照モデルのレイヤ２（Ｌ２）の処理を担う図示しないＬ２スイッチや、レイヤ３（Ｌ３）の処理を担うルータ１５を備える。この例では、少なくとも、ＳＳＯ認証サーバ１２は、ルータ１５を介して、ユーザ端末ＴＭ１０，ＴＭ２０を含む各装置に接続される。ルータ１５は、Ｌ３スイッチであってもよく、明細書では、ルータ１５とＬ３スイッチを特に区別しない。

ＤＨＣＰサーバ１１は、ユーザ端末ＴＭにＩＰアドレスを割り当てる。ＤＨＣＰサーバ１１は、ＩＰ管理テーブル２２を保持する記憶部２１を備える。記憶部２１および後述する記憶部２３，２５は、例えば、ＲＡＭおよび不揮発性メモリの組み合わせで構成される。ＩＰ管理テーブル２２には、ＩＰアドレスとＭＡＣアドレスとの対応関係がＩＰアドレス割り当て情報として登録される。ＤＨＣＰサーバ１１は、ユーザ端末ＴＭにＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、ユーザ端末ＴＭのＭＡＣアドレスとの対応関係を記憶する。

この例では、ＤＨＣＰサーバ１１は、端末ＴＭ１０からのＩＰアドレスの割り当て要求に応じてＩＰアドレスＩＰＡ１０を割り当て、ＩＰ管理テーブル２２に、ＩＰアドレスＩＰＡ１０と、端末ＴＭ１０のＭＡＣアドレスＭＡ１０との対応関係を登録する。また、ＤＨＣＰサーバ１１は、端末ＴＭ２０からのＩＰアドレスの割り当て要求に応じてＩＰアドレスＩＰＡ２０を割り当て、ＩＰ管理テーブル２２に、ＩＰアドレスＩＰＡ２０と、端末ＴＭ２０のＭＡＣアドレスＭＡ２０との対応関係を登録する。

ＳＳＯ認証サーバ（ＳＳＯ認証装置）１２は、ユーザ端末ＴＭからの認証要求に応じてＳＳＯの認証許否を判定する。ＳＳＯ認証サーバ１２は、ＳＡＭＬ方式ではＩｄｐと呼ばれる。ＳＳＯ認証サーバ１２は、認証テーブル２４を保持する記憶部２３を備える。認証テーブル２４には、ＳＳＯの認証を許可するＭＡＣアドレスが許可ＭＡＣアドレス情報として予め登録される。また、認証テーブル２４には、ＭＡＣアドレスに加えて、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤが予め登録されてもよい。この例では、認証テーブル２４には、端末ＴＭ１０のＭＡＣアドレスＭＡ１０と、端末ＴＭ１０を使用するユーザ１４ａのユーザ識別子ＵＩＤ１０との対応関係が登録される。

ディレクトリサーバ１３は、例えば、ネットワーク１０に接続される各種リソースを管理するＬＤＡＰ（Lightweigth Directory Access Protocol）サーバ等である。ディレクトリサーバ１３は、リソース管理テーブル２６を保持する記憶部２５を備える。リソース管理テーブル２６には、ネットワーク１０に接続される各種リソースを管理するためのリソース管理情報が予め登録される。なお、ネットワーク１０を使用するためには、ネットワーク１０を使用するリソースがリソース管理テーブル２６に予め登録されている必要がある。

この例では、リソース管理テーブル２６には、ユーザアカウントとして、ユーザ端末ＴＭ１０，ＴＭ２０を使用するユーザ１４ａ，１４ｂのユーザ識別子ＵＩＤ１０，ＵＩＤ２０が予め登録される。また、リソース管理テーブル２６には、コンピュータアカウントとして、プリンタやサーバ等に設定されたコンピュータ識別子も登録され得る。さらに、各アカウントには、属性情報が紐づけられる。例えば、ユーザアカウントの属性情報には、ユーザの社員番号、所属、メールアドレス等の情報や、パスワードの情報や、アクセス権限の情報といった各種ユーザ情報が含まれ得る。

このように構成において、ＳＳＯ認証サーバ１２は、概略的には、ユーザ端末ＴＭからＳＳＯの認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバ１１から取得する。そして、ＳＳＯ認証サーバ１２は、取得したＭＡＣアドレスの認証テーブル２４への登録有無に基づいて、ＳＳＯの認証許否を判定する。

すなわち、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭのＭＡＣアドレスに基づいてＳＳＯの認証を行い、具体的には、ユーザ端末ＴＭからのＬ３のパケットを受信し、Ｌ２のＭＡＣアドレスに基づいてＳＳＯの認証を行う。これにより、ユーザは、ＳＳＯの認証に際し、ユーザ識別子ＵＩＤおよびパスワードを入力する必要はない。その結果、ユーザの作業負荷を軽減することが可能になる。なお、ＳＳＯの認証が許可されたユーザ端末ＴＭは、ＳＳＯの機能によって、その後もユーザ識別子ＵＩＤおよびパスワードを入力することなく複数のサービスプロバイダＳＰａ，ＳＰｂへアクセスできる。

また、ＳＳＯ認証サーバ１２は、取得したＭＡＣアドレスが認証テーブル２４に登録有りの場合、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを認証テーブル２４から取得する。そして、ＳＳＯ認証サーバ１２は、取得したユーザ識別子ＵＩＤをディレクトリサーバ１３に送信することでユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定し、登録有りの場合にＳＳＯの認証を許可する。これにより、ネットワーク１０の使用を許可されているユーザであることを確認した上で、ＳＳＯの認証を許可することができる。すなわち、セキュリティを向上できる。

＜ＳＳＯ認証システムの動作＞
図２は、図１におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図２において、まず、ユーザ端末ＴＭは、ＤＨＣＰサーバ１１との間で所定のＤＨＣＰ処理を行うことで、ＤＨＣＰサーバ１１からＩＰアドレスが割り当てられる（ステップＳ１０１）。具体的には、ＤＨＣＰサーバ１１は、ユーザ端末ＴＭから、ＤＨＣＰディスカバーを含んだＬ２のブロードキャストフレームを受信し、当該ＤＨＣＰディスカバーに応答することで、ユーザ端末ＴＭにＩＰアドレスを割り当てる。そして、ＤＨＣＰサーバ１１は、ステップＳ１０１でＩＰアドレスを割り当てた際に、ユーザ端末ＴＭからのフレームに含まれるユーザ端末ＴＭのＭＡＣアドレスと、割り当てたＩＰアドレスとの対応関係をＩＰ管理テーブル２２に登録する（ステップＳ１０２）。

その後、ユーザ端末ＴＭは、ＳＳＯ認証サーバ１２に、Ｌ３のパケットを用いてＳＳＯの認証要求を送信する（ステップＳ１０３）。これに応じて、ＳＳＯ認証サーバ１２は、当該パケットに含まれる送信元のＩＰアドレスをキーにＤＨＣＰサーバ１１のＩＰ管理テーブル２２を参照することで、当該ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバ１１から取得する（ステップＳ１０４）。続いて、ＳＳＯ認証サーバ１２は、ステップＳ１０４で取得したＭＡＣアドレスの認証テーブル２４への登録有無を判定する（ステップＳ１０５）。

ステップＳ１０５にて、ＭＡＣアドレスが認証テーブル２４に登録無しの場合、ＳＳＯ認証サーバ１２は、ユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ１０６－２）。具体的には、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力画面を表示させる。一方、ステップＳ１０５にて、ＭＡＣアドレスが認証テーブル２４に登録有りの場合、ＳＳＯ認証サーバ１２は、ステップＳ１０４で取得したＭＡＣアドレスをキーに認証テーブル２４を参照する。これにより、ＳＳＯ認証サーバ１２は、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを取得する（ステップＳ１０６－１）。

続いて、ＳＳＯ認証サーバ１２は、ステップＳ１０６－１で取得したユーザ識別子ＵＩＤをディレクトリサーバ１３に送信することで、ユーザ識別子ＩＤのリソース管理テーブル２６への登録有無を判定する（ステップＳ１０７，Ｓ１０８）。具体的には、ＳＳＯ認証サーバ１２は、例えばＬＤＡＰを用いて、ユーザ識別子ＵＩＤをディレクトリサーバ１３に送信し、ディレクトリサーバ１３からユーザ識別子ＵＩＤの登録有無の情報を受信する。登録有りの場合、ＳＳＯ認証サーバ１２は、加えてユーザ情報、すなわち属性情報も受信する（ステップＳ１０７）。ＳＳＯ認証サーバ１２は、受信した情報に基づいて、ユーザ識別子ＩＤのリソース管理テーブル２６への登録有無を判定する（ステップＳ１０８）。

ステップＳ１０８にて、ユーザ識別子ＩＤがリソース管理テーブル２６に登録有りの場合、ＳＳＯ認証サーバ１２は、ＳＳＯの認証を許可し、ユーザ端末ＴＭに許可応答を送信する（ステップＳ１０９－１）。一方、ステップＳ１０８にて、ユーザ識別子ＩＤがリソース管理テーブル２６に登録無しの場合、ＳＳＯ認証サーバ１２は、ＳＳＯの認証を拒否し、ユーザ端末ＴＭに拒否応答を送信する（ステップＳ１０９－２）。

図２に示した処理の具体例として、図１におけるユーザ端末ＴＭ１０が、ＳＳＯ認証サーバ１２に認証要求を送信した場合を想定する（ステップＳ１０３）。この場合、ユーザ端末ＴＭ１０のＩＰアドレスＩＰＡ１０に基づいてＭＡＣアドレスＭＡ１０が取得される（ステップＳ１０４）。ＭＡＣアドレスＭＡ１０は、認証テーブル２４に登録有りであり、ＭＡＣアドレスＭＡ１０に対応するユーザ識別子ＵＩＤ１０は、リソース管理テーブル２６に登録有りである（ステップＳ１０５，Ｓ１０８）。このため、ユーザ端末ＴＭ１０には、許可応答が送信される（ステップＳ１０９－１）。

一方、図１におけるユーザ端末ＴＭ２０が、ＳＳＯ認証サーバ１２に認証要求を送信した場合を想定する（ステップＳ１０３）。この場合、ユーザ端末ＴＭ２０のＩＰアドレスＩＰＡ２０に基づいてＭＡＣアドレスＭＡ２０が取得される（ステップＳ１０４）。ＭＡＣアドレスＭＡ２０は、認証テーブル２４に登録無しである（ステップＳ１０５）。このため、ユーザ端末ＴＭ２０、詳細にはユーザ１４ｂには、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力が要求される（ステップＳ１０６－２）。詳細は省略するが、ユーザ１４ｂがユーザ識別子ＵＩＤおよびパスワードＰＷを入力すると、ＳＳＯ認証サーバ１２は、ディレクトリサーバ１３内のリソース管理テーブル２６と照合することで、認証許否を判定する。

また、ステップＳ１０７において、ユーザ情報、すなわち属性情報には、例えば、２個のサービスプロバイダＳＰａ，ＳＰｂの中の１個のサービスプロバイダＳＰａのみにアクセスが可能といった、アクセス権限が含まれ得る。この場合、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭがサービスプロバイダＳＰａにアクセスする場合に限って、ステップＳ１０９－１において、許可応答を送信する。

具体例として、ＳＡＭＬでは、ユーザ端末ＴＭが、サービスプロバイダＳＰａに対してアクセスを行い、サービスプロバイダＳＰａからユーザ端末ＴＭを介してリダイレクトする形でステップＳ１０３における認証要求が生じ得る。ＳＳＯ認証サーバ１２は、ステップＳ１０７でのユーザ情報の中にサービスプロバイダＳＰａへのアクセス権限が含まれているため、ユーザ端末ＴＭに許可応答を送信する。許可応答は、サービスプロバイダＳＰａへのアクセスを許可するための認証トークン等である。一方、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭがサービスプロバイダＳＰｂに対してアクセスを行うことで生じた認証要求に対しては、ステップＳ１０７でのユーザ情報の中にサービスプロバイダＳＰｂへのアクセス権限が含まれていないため、ユーザ端末ＴＭに拒否応答を送信する。

なお、実施の形態によるＳＳＯ認証システムは、必ずしもＳＡＭＬ方式に限らず、例えば、リバースプロキシ方式等といった他の方式にも適用可能である。リバースプロキシ方式では、例えば、ＳＳＯ認証サーバ１２をリバースプロキシサーバとして、ユーザ端末ＴＭからサービスプロバイダＳＰａ，ＳＰｂへのアクセスが常にリバースプロキシサーバを経由して行われるように構成される。この場合、リバースプロキシサーバは、ユーザ端末ＴＭからの認証要求に応じて図２に示したような処理を行い、ステップＳ１０９－１における許可応答として認証済みクッキー等を送信すればよい。

＜ＳＳＯ認証サーバの詳細＞
図３は、図１におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。図３に示すＳＳＯ認証サーバ（ＳＳＯ認証装置）１２は、図１に示した認証テーブル２４を保持する記憶部２３に加えて、処理部３０と、通信部３１とを備える。処理部３０は、例えば、プロセッサが記憶部２３に保存される図示しない制御プログラムを実行すること等で実現される。ただし、処理部３０は、これに限らず、一部または全てがＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）等で実現されてもよい。通信部３１は、例えば、イーサネット（登録商標）のインタフェース回路等によって実現される。

処理部３０は、送信元ＩＰアドレス取得部３５と、ＭＡＣアドレス取得部３６と、ユーザ識別子取得部３７と、ユーザ情報検証部３８と、認証判定部３９とを備える。送信元ＩＰアドレス取得部３５は、ユーザ端末ＴＭ１０からの認証要求パケットＡＲＱを、通信部３１を介して受信し、当該認証要求パケットＡＲＱの送信元ＩＰアドレスＳ－ＩＰを取得する。

ＭＡＣアドレス取得部３６は、取得された送信元ＩＰアドレスＳ－ＩＰに対応するＭＡＣアドレスを、通信部３１を介してＤＨＣＰサーバ１１から取得する。ユーザ識別子取得部３７は、取得されたＭＡＣアドレスの認証テーブル２４への登録有無を判定する。そして、ユーザ識別子取得部３７は、ＭＡＣアドレスが認証テーブル２４に登録有りの場合、当該ＭＡＣアドレスをキーとして認証テーブル２４を参照することで、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを取得する。

ユーザ情報検証部３８は、ユーザ識別子取得部３７で取得されたユーザ識別子ＵＩＤを、通信部３１を介してディレクトリサーバ１３に送信することで、ユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定する。また、ユーザ情報検証部３８は、ユーザ識別子ＵＩＤがリソース管理テーブル２６に登録有りの場合、当該ユーザ識別子ＵＩＤに対応するユーザ情報ＩＭｕ、すなわち属性情報をリソース管理テーブル２６から取得する。

認証判定部３９は、ユーザ識別子取得部３７での判定結果、すなわちＭＡＣアドレスの認証テーブル２４への登録有無情報ＩＭｒに基づいて、ＳＳＯの認証許否を判定する。より望ましくは、認証判定部３９は、当該登録有無情報ＩＭｒに加えて、ユーザ情報検証部３８での判定結果、すなわちユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無および登録有りの際のユーザ情報ＩＭｕに基づいて、ＳＳＯの認証許否を判定する。詳細には、認証判定部３９は、ＭＡＣアドレスが認証テーブル２４に登録有り、かつ、ユーザ識別子ＵＩＤがリソース管理テーブル２６に登録有りの場合に、認証許可と判定する。この際には、認証判定部３９は、ユーザ情報ＩＭｕに含まれ得るアクセス権限を反映して、認証許否を判定してもよい。

＜実施の形態１の主要な効果＞
以上、実施の形態１の方式では、ＳＳＯ認証サーバ１２は、ＤＨＣＰサーバ１１と連携してユーザ端末ＴＭに割り当てられたＩＰアドレスに対応するＭＡＣアドレスを取得し、当該ＭＡＣアドレスに基づいて、ＳＳＯの認証を行う。その結果、ＳＳＯの認証に際し、ユーザ識別子ＵＩＤやパスワードＰＷの入力が不要となり、証明書の準備等も不要となるため、ユーザの作業負荷を軽減することが可能になる。また、ＳＳＯの認証に際し、生体認証デバイス等も不要となるため、コストを低減することが可能になる。

（実施の形態２）
＜ＳＳＯ認証システムの概略＞
図４は、実施の形態２によるＳＳＯ認証システムの構成例を示す概略図である。図４に示すＳＳＯ認証システムは、図１に示した構成例と比較して次の２点が異なっている。１点目の相違点として、図１におけるディレクトリサーバ１３が設けられず、その代わりに、ＳＳＯ認証サーバ１２ａが、当該ディレクトリサーバ１３内のリソース管理テーブル２６を記憶部２３に保持する。２点目の相違点として、１点目の相違点に伴いＳＳＯ認証サーバ１２ａは、図１の場合とは異なる処理を行う。

すなわち、ＳＳＯ認証サーバ１２ａ内の記憶部２３は、ＳＳＯの認証を許可するＭＡＣアドレスとユーザ識別子ＵＩＤとの対応関係を表す認証テーブル２４に加えて、ネットワークに接続される各種リソースを管理するためのリソース管理テーブル２６を保持する。そして、概略的には、ＳＳＯ認証サーバ１２ａは、図１の場合と同様に、ＤＨＣＰサーバ１１から取得したＭＡＣアドレスが認証テーブル２４に登録有りの場合、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを認証テーブル２４から取得する。ただし、ＳＳＯ認証サーバ１２ａは、図１の場合と異なり、ディレクトリサーバ１３と通信することなく、取得したユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定し、登録有りの場合に、ＳＳＯの認証を許可する。

＜ＳＳＯ認証システムの動作＞
図５は、図４におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図５において、ステップＳ１０１からステップＳ１０６－１，Ｓ１０６－２までの処理内容に関しては、図２の場合と同様である。その後、ステップＳ１０８ａにおいて、ＳＳＯ認証サーバ（ＳＳＯ認証装置）１２ａは、図２の場合と異なり、ステップＳ１０７での処理を経ることなく、ステップＳ１０６－１で取得したユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定する。

その後は、図２の場合と同様に、ＳＳＯ認証サーバ１２aは、ユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無に基づいて、ユーザ端末ＴＭに、許可応答または拒否応答を送信する（ステップＳ１０９－１，Ｓ１０９－２）。なお、図示は省略されるが、ＳＳＯ認証サーバ１２aは、ステップＳ１０８ａにてユーザ識別子ＵＩＤがリソース管理テーブル２６に登録されている場合、図２の場合と同様にして、当該ユーザ識別子ＵＩＤのユーザ情報、すなわち属性情報を適宜処理する。

＜ＳＳＯ認証サーバの詳細＞
図６は、図４におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。図６に示されるＳＳＯ認証サーバ１２ａは、図３に示した構成例と比較して次の２点が異なっている。１点目の相違点として、記憶部２３は、認証テーブル２４に加えて、リソース管理テーブル２６を保持する。２点目の相違点として、ユーザ情報検証部３８ａは、図３の場合とは異なる処理を行う。

すなわち、ユーザ情報検証部３８ａは、ユーザ識別子取得部３７で取得されたユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を、ディレクトリサーバ１３との通信を経ることなく判定する。また、ユーザ情報検証部３８ａは、図３の場合と同様に、ユーザ識別子ＵＩＤがリソース管理テーブル２６に登録有りの場合、当該ユーザ識別子ＵＩＤに対応するユーザ情報ＩＭｕ、すなわち属性情報をリソース管理テーブル２６から取得する。

＜実施の形態２の主要な効果＞
以上、実施の形態２の方式を用いることで、実施の形態１で述べた各種効果と同様の効果が得られる。さらに、ＳＳＯ認証サーバ１２ａがリソース管理テーブル２６を備えることで、ディレクトリサーバ１３が不要となり、装置コストの低減や通信負荷の軽減等が実現可能になる。

（実施の形態３）
＜ＳＳＯ認証システムの概略＞
図７は、実施の形態３によるＳＳＯ認証システムの構成例を示す概略図である。図７に示すＳＳＯ認証システムは、図４に示した構成例と比較して次の点が異なっている。すなわち、ＳＳＯ認証サーバ１２ｂ内の記憶部２３は、認証管理テーブル４５を保持する。これに伴い、ＳＳＯ認証サーバ１２ｂは、図４の場合とは異なる処理を行う。

認証管理テーブル４５には、ネットワーク１０に接続される各種リソースを管理するための情報が予め登録され、当該情報の一部としてＳＳＯの認証を許可するＭＡＣアドレスが登録される。すなわち、認証管理テーブル４５は、図４に示した認証テーブル２４とリソース管理テーブル２６とを統合したようなものとなっている。ＳＳＯ認証サーバ１２ｂは、概略的には、ＤＨＣＰサーバ１１から取得したＭＡＣアドレスの認証管理テーブル４５への登録有無に基づいて、ＳＳＯの認証許否を判定する。

この例では、認証管理テーブル４５には、ユーザアカウントであるユーザ識別子ＵＩＤ１０に紐づけられた属性情報、すなわちユーザ情報の一つとして、ＳＳＯの認証を許可するＭＡＣアドレスＭＡ１０が登録される。この場合、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスＭＡ１０を有するユーザ端末ＴＭ１０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証を許可する。

一方、認証管理テーブル４５において、ユーザ識別子ＵＩＤ２０の属性情報の中には、ＭＡＣアドレスは登録されない。この場合、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスＭＡ２０を有するユーザ端末ＴＭ２０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証は許可しない。その代わりに、ＳＳＯ認証サーバ１２ｂは、ユーザ１４ｂにユーザ識別子ＵＩＤおよびパスワードの入力を要求する。

＜ＳＳＯ認証システムの動作＞
図８は、図７におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図８において、ステップＳ１０１からステップＳ１０４までの処理内容に関しては、図５の場合と同様である。その後、ステップＳ１０５ａにおいて、ＳＳＯ認証サーバ（ＳＳＯ認証装置）１２ｂは、ステップＳ１０４で取得したＭＡＣアドレスの認証管理テーブル４５への登録有無を判定する。ただし、ステップＳ１０５ａでは、図５におけるステップＳ１０５の場合と異なり、ＭＡＣアドレスが認証管理テーブル４５に登録有りの際に、必然的に、ユーザ識別子ＵＩＤも認証管理テーブル４５に登録有りとなる。

その後、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスが認証管理テーブル４５に登録有りの場合、ユーザ端末ＴＭに、許可応答を送信する（ステップＳ１０６ａ－１）。一方、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスが認証管理テーブル４５に登録無しの場合、ユーザ端末ＴＭを使用するユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ１０６ａ－２）。なお、図示は省略されるが、ＳＳＯ認証サーバ１２ｂは、ステップＳ１０５ａにてＭＡＣアドレスが認証管理テーブル４５に登録有りの場合、図２の場合と同様にして、対応するユーザ識別子ＵＩＤのユーザ情報、すなわち属性情報を適宜処理する。

＜ＳＳＯ認証サーバの詳細＞
図９は、図７におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。図９に示されるＳＳＯ認証サーバ１２ｂは、図６に示した構成例と比較して次の２点が異なっている。１点目の相違点として、記憶部２３は、認証管理テーブル４５を保持する。２点目の相違点として、ユーザ識別子取得部３７およびユーザ情報検証部３８ａは設けられず、図５の場合とは異なる処理を行う認証判定部４６が設けられる。

認証判定部４６は、ＭＡＣアドレス取得部３６で取得されたＭＡＣアドレスの認証管理テーブル４５への登録有無に基づいて、ＳＳＯの認証許否を判定する。具体的には、認証判定部４６は、取得されたＭＡＣアドレスをキーに認証管理テーブル４５を参照することで、ＭＡＣアドレスの登録有無を判定し、登録有りの場合には、対応するユーザ情報ＩＭｕ、すなわちＭＡＣアドレスを除く属性情報を取得する。そして、認証判定部４６は、ＭＡＣアドレスが認証管理テーブル４５に登録有りの場合には、ＳＳＯの認証を許可する。

＜実施の形態３の主要な効果＞
以上、実施の形態３の方式を用いることで、実施の形態１，２で述べた各種効果と同様の効果が得られる。さらに、１個の認証管理テーブル４５に基づいてＳＳＯの認証を管理できるため、ネットワーク管理を効率化することが可能になる。

（実施の形態４）
＜ＳＳＯ認証システムの概略＞
図１０は、実施の形態４によるＳＳＯ認証システムの構成例を示す概略図である。図１０に示されるＳＳＯ認証システムは、図７の場合とほぼ同様の構成を備える。ただし、図７の場合とは、ＳＳＯ認証サーバ１２ｃ内の記憶部２３が保持する認証管理テーブル４５ｃの構成が異なっている。これに伴い、図７の場合とは、ＳＳＯ認証サーバ１２ｃの処理内容も異なっている。

認証管理テーブル４５ｃには、ＳＳＯの認証を許可するＭＡＣアドレス毎に、厳密には、ユーザ識別子ＵＩＤ毎に、ＳＳＯの対象とするサービスプロバイダＳＰを表すエンティティＩＤが、属性情報の一つとして予め登録されている。言い換えれば、属性情報の一つとして、アクセス権限が登録されている。図１０の例では、ＭＡＣアドレスＭＡ１０に対応するユーザ識別子ＵＩＤ１０に対して、サービスプロバイダＳＰａのみのアクセス権限が付与されている。一方、ユーザ識別子ＵＩＤ２０に対しては、サービスプロバイダＳＰａ，ＳＰｂへのアクセス権限が付与されている。

ＳＳＯ認証サーバ１２ｃは、ＤＨＣＰサーバ１１から取得したＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、当該ＭＡＣアドレスに対応するエンティティＩＤが表すサービスプロバイダＳＰへのＳＳＯの認証を許可する。この例では、ＳＳＯ認証サーバ１２ｃは、ＭＡＣアドレスＭＡ１０を有するユーザ端末ＴＭ１０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証を許可し、サービスプロバイダＳＰａのみへのアクセスを許可する。

一方、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスＭＡ２０を有するユーザ端末ＴＭ２０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証は許可せず、ユーザ１４ｂにユーザ識別子ＵＩＤおよびパスワードの入力を要求する。ＳＳＯ認証サーバ１２ｂは、ユーザ１４ｂによって正しいユーザ識別子ＵＩＤ２０およびパスワードが入力された場合、ＳＳＯの認証を許可し、サービスプロバイダＳＰａ，ＳＰｂへのアクセスを許可する。

＜ＳＳＯ認証システムの動作＞
図１１は、図１０におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図１２は、図１１とは異なる処理内容の一例を示すシーケンス図である。ＳＡＭＬによる認証方式として、サービスプロバイダＳＰへのアクセスを起点とする方式と、ＩｄｐであるＳＳＯ認証サーバ１２ｃへのアクセスを起点とする方式とが存在する。図１１は、前者の方式を表し、図１２は、後者の方式を表す。

図１１において、ステップＳ１０１，Ｓ１０２の処理内容に関しては、図８の場合と同様である。その後、ステップＳ２０１において、ユーザ端末ＴＭは、図８の場合と異なり、サービスプロバイダＳＰへアクセスする。具体例として、サービスプロバイダＳＰａへのアクセスが生じた場合を想定する。サービスプロバイダＳＰａは、ユーザ端末ＴＭからのアクセスに応じて、サービスプロバイダＳＰａのエンティティＩＤを含む認証要求を、ユーザ端末ＴＭを介してＳＳＯ認証サーバ１２ｃにリダイレクトさせる（ステップＳ１０３ａ）。

これに伴い、ＳＳＯ認証サーバ１２ｃは、図８の場合と同様に、当該認証要求に含まれる送信元ＩＰアドレスに対応するＭＡＣアドレスを、ＤＨＣＰサーバ１１から取得する（ステップＳ１０４）。そして、ＳＳＯ認証サーバ１２ｃは、取得されたＭＡＣアドレスの認証管理テーブル４５ｃへの登録有無を判定する（ステップＳ１０５ａ）。ＭＡＣアドレスが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭを使用するユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ２０２－２）。

一方、ステップＳ１０５ａにて、ＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、図８の場合と異なり、ステップＳ１０３ａでの認証要求に含まれるサービスプロバイダＳＰａのエンティティＩＤの、認証管理テーブル４５ｃへの登録有無を判定する（ステップＳ２０２－１）。具体的には、ＳＳＯ認証サーバ１２ｃは、認証管理テーブル４５ｃにおいて、対象のＭＡＣアドレス、厳密には対象のユーザ識別子ＵＩＤに紐づいて、サービスプロバイダＳＰａのエンティティＩＤが登録されているか否かを判定する。

ステップＳ２０２－１にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、許可応答を表す認証トークン等を、ユーザ端末ＴＭを介してサービスプロバイダＳＰａにリダイレクトさせる（ステップＳ２０３－１）。一方、ステップＳ２０２－１にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭに、拒否応答を送信する（ステップＳ２０３－２）。

図１２において、ステップＳ１０１からステップＳ１０５ａまでの処理内容に関しては、図８の場合と同様である。ステップＳ１０５ａにて、ＭＡＣアドレスが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭを使用するユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ３０１－２）。

一方、ステップＳ１０５ａにて、ＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭに、サービスプロバイダＳＰの選択肢情報を送信する（ステップＳ３０１－１）。具体的には、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭの画面上に、ＳＳＯの対象となる各サービスプロバイダＳＰａ，ＳＰｂを表すアイコン等を表示させる。

その後、ユーザ端末ＴＭを使用するユーザは、画面上に表示されたアイコンをクリックすること等で、アクセスしたいサービスプロバイダＳＰを選択する（ステップＳ３０２）。具体例として、サービスプロバイダＳＰａが選択された場合を想定する。これに応じて、ユーザ端末ＴＭは、選択されたサービスプロバイダＳＰａのエンティティＩＤを含んだログイン要求を、ＳＳＯ認証サーバ１２ｃに送信する（ステップＳ３０３）。

ＳＳＯ認証サーバ１２ｃは、ステップＳ３０３でのログイン要求を受信し、当該ログイン要求に含まれるサービスプロバイダＳＰａのエンティティＩＤの、認証管理テーブル４５ｃへの登録有無を判定する（ステップＳ３０４）。具体的には、ＳＳＯ認証サーバ１２ｃは、認証管理テーブル４５ｃにおいて、対象のＭＡＣアドレス、厳密には対象のユーザ識別子ＵＩＤに紐づいて、サービスプロバイダＳＰａのエンティティＩＤが登録されているか否かを判定する。

ステップＳ３０４にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、許可応答を表す認証トークン等を、ユーザ端末ＴＭを介してサービスプロバイダＳＰａにリダイレクトさせる（ステップＳ３０５－１）。一方、ステップＳ３０４にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭに、拒否応答を送信する（ステップＳ３０５－２）。

＜ＳＳＯ認証サーバの詳細＞
図１０におけるＳＳＯ認証サーバ１２ｃの構成に関しては、図９の場合とほぼ同様である。ただし、実施の形態４では、記憶部２３は、図１０に示した認証管理テーブル４５ｃを保持し、また、認証判定部４６が認証管理テーブル４５ｃから取得するユーザ情報ＩＭｕの中には、サービスプロバイダＳＰのエンティティＩＤが含まれる。認証判定部４６は、ＭＡＣアドレス取得部３６で取得されたＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、当該ＭＡＣアドレスに対応するエンティティＩＤが表すサービスプロバイダＳＰへのＳＳＯの認証を許可する。

＜認証管理テーブルの変形例＞
図１３は、図１０における認証管理テーブルの図１０とは異なる構成例を示す概略図である。図１３に示す認証管理テーブル４５ｄは、図１０の場合と異なり、ユーザ識別子ＵＩＤ１０に対応して２個のＭＡＣアドレスＭＡ１０，ＭＡ１１が登録されている。さらに、ＭＡＣアドレスＭＡ１０に対応してサービスプロバイダＳＰａのエンティティＩＤが登録され、ＭＡＣアドレスＭＡ１２に対応してサービスプロバイダＳＰｂのエンティティＩＤが登録されている。

この場合、ＳＳＯ認証サーバ１２ｃは、ＭＡＣアドレスＭＡ１０を有するユーザ端末ＴＭ１０からの認証要求を受信した際には、サービスプロバイダＳＰａのみへのＳＳＯの認証を許可する。また。ＳＳＯ認証サーバ１２ｃは、ＭＡＣアドレスＭＡ１１を有するユーザ端末からの認証要求を受信した際には、サービスプロバイダＳＰｂのみへのＳＳＯの認証を許可する。

＜実施の形態４の主要な効果＞
以上、実施の形態４の方式を用いることで、実施の形態１～３で述べた各種効果と同様の効果が得られる。さらに、ＭＡＣアドレスに紐づけられたアクセス権限の情報、詳細には、エンティティＩＤに基づいて、サービスプロバイダＳＰへのアクセスを制限できる。その結果、自由度が高いネットワーク管理を実現することが可能になる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。例えば、前述した実施の形態は、本発明を分かり易く説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

１０：ネットワーク、１１：ＤＨＣＰサーバ、１２，１２ａ，１２ｂ：ＳＳＯ認証サーバ（ＳＳＯ認証装置）、１３：ディレクトリサーバ、１４ａ，１４ｂ：ユーザ、１５：ルータ、２１，２３，２５：記憶部、２２：ＩＰ管理テーブル、２４：認証テーブル、２６：リソース管理テーブル、３０：処理部、３１：通信部、３５：送信元ＩＰアドレス取得部、３６：ＭＡＣアドレス取得部、３７：ユーザ識別子取得部、３８：ユーザ情報検証部、３９：認証判定部、４５，４５ｃ：認証管理テーブル、ＳＰ：サービスプロバイダ、ＴＭ：ユーザ端末

Claims (11)

1. ユーザ端末にＩＰアドレスを割り当てるＤＨＣＰサーバと、
   ネットワークを介して前記ユーザ端末および前記ＤＨＣＰサーバに接続され、前記ユーザ端末からの認証要求に応じてシングルサインオンの認証許否を判定するシングルサインオン認証サーバと、
   を備え、
   前記ＤＨＣＰサーバは、前記ユーザ端末にＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、前記ユーザ端末のＭＡＣアドレスとの対応関係を記憶し、
   前記シングルサインオン認証サーバは、シングルサインオンの認証を許可するＭＡＣアドレスが予め登録される認証テーブルを保持し、前記ユーザ端末から前記認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスを前記ＤＨＣＰサーバから取得し、取得したＭＡＣアドレスの前記認証テーブルへの登録有無に基づいて、前記シングルサインオンの認証許否を判定する、
   シングルサインオン認証システム。
2. 請求項１に記載のシングルサインオン認証システムにおいて、
   前記シングルサインオン認証サーバに前記ネットワークを介して接続され、前記ネットワークに接続される各種リソースを管理するためのリソース管理テーブルを保持するディレクトリサーバをさらに備え、
   前記認証テーブルには、前記ＭＡＣアドレスに加えて当該ＭＡＣアドレスに対応するユーザ識別子が予め登録され、
   前記シングルサインオン認証サーバは、前記ＤＨＣＰサーバから取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記ユーザ識別子を前記認証テーブルから取得し、取得した前記ユーザ識別子を前記ディレクトリサーバに送信することで前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定し、前記ユーザ識別子が前記リソース管理テーブルに登録有りの場合に、前記シングルサインオンの認証を許可する、
   シングルサインオン認証システム。
3. 請求項１に記載のシングルサインオン認証システムにおいて、
   前記認証テーブルには、前記ＭＡＣアドレスに加えて当該ＭＡＣアドレスに対応するユーザ識別子が予め登録され、
   前記シングルサインオン認証サーバは、前記認証テーブルに加えて、前記ネットワークに接続される各種リソースを管理するためのリソース管理テーブルを保持し、
   前記シングルサインオン認証サーバは、前記ＤＨＣＰサーバから取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記ユーザ識別子を前記認証テーブルから取得し、取得した前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定し、前記ユーザ識別子が前記リソース管理テーブルに登録有りの場合に、前記シングルサインオンの認証を許可する、
   シングルサインオン認証システム。
4. 請求項１に記載のシングルサインオン認証システムにおいて、
   前記シングルサインオン認証サーバは、前記ネットワークに接続される各種リソースを管理するための情報が予め登録され、当該情報の一部として前記シングルサインオンの認証を許可するＭＡＣアドレスが登録される認証管理テーブルを保持し、前記ＤＨＣＰサーバから取得したＭＡＣアドレスの前記認証管理テーブルへの登録有無に基づいて、前記シングルサインオンの認証許否を判定する、
   シングルサインオン認証システム。
5. 請求項４に記載のシングルサインオン認証システムにおいて、
   前記認証管理テーブルには、前記シングルサインオンの認証を許可するＭＡＣアドレス毎に、前記シングルサインオンの対象とするサービスプロバイダを表すエンティティＩＤが予め登録されており、
   前記シングルサインオン認証サーバは、前記ＤＨＣＰサーバから取得したＭＡＣアドレスが前記認証管理テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記エンティティＩＤが表す前記サービスプロバイダへの前記シングルサインオンの認証を許可する、
   シングルサインオン認証システム。
6. 請求項１～５のいずれか１項に記載のシングルサインオン認証システムにおいて、
   前記ネットワークは、前記ユーザ端末と前記ＤＨＣＰサーバとの間に接続され、ＯＳＩ参照モデルのレイヤ３の処理を担うルータを備える、
   シングルサインオン認証システム。
7. ＤＨＣＰサーバが、ユーザ端末にＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、前記ユーザ端末のＭＡＣアドレスとの対応関係を記憶することを前提として、ネットワークを介して前記ユーザ端末および前記ＤＨＣＰサーバに接続され、前記ユーザ端末からの認証要求に応じてシングルサインオンの認証許否を判定するシングルサインオン認証装置であって、
   シングルサインオンの認証を許可するＭＡＣアドレスが予め登録される認証テーブルを保持する記憶部と、
   前記ユーザ端末から前記認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスを前記ＤＨＣＰサーバから取得するＭＡＣアドレス取得部と、
   前記ＭＡＣアドレス取得部で取得されたＭＡＣアドレスの前記認証テーブルへの登録有無に基づいて、前記シングルサインオンの認証許否を判定する認証判定部と、
   を備える、
   シングルサインオン認証装置。
8. 請求項７に記載のシングルサインオン認証装置において、
   前記シングルサインオン認証装置は、前記ネットワークに接続される各種リソースを管理するためのリソース管理テーブルを保持するディレクトリサーバに、前記ネットワークを介して接続され、
   前記認証テーブルには、前記ＭＡＣアドレスに加えて当該ＭＡＣアドレスに対応するユーザ識別子が予め登録され、
   前記シングルサインオン認証装置は、さらに、
   前記ＤＨＣＰサーバから取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記ユーザ識別子を前記認証テーブルから取得するユーザ識別子取得部と、
   前記ユーザ識別子取得部で取得された前記ユーザ識別子を前記ディレクトリサーバに送信することで前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定するユーザ情報検証部と、
   を備え、
   前記認証判定部は、前記ユーザ識別子が前記リソース管理テーブルに登録有りの場合に、前記シングルサインオンの認証を許可する、
   シングルサインオン認証装置。
9. 請求項７に記載のシングルサインオン認証装置において、
   前記認証テーブルには、前記ＭＡＣアドレスに加えて当該ＭＡＣアドレスに対応するユーザ識別子が予め登録され、
   前記記憶部は、前記認証テーブルに加えて、前記ネットワークに接続される各種リソースを管理するためのリソース管理テーブルを保持し、
   前記シングルサインオン認証サーバは、さらに、
   前記ＤＨＣＰサーバから取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記ユーザ識別子を前記認証テーブルから取得するユーザ識別子取得部と、
   前記ユーザ識別子取得部で取得された前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定するユーザ情報検証部と、
   を備え、
   前記認証判定部は、前記ユーザ識別子が前記リソース管理テーブルに登録有りの場合に、前記シングルサインオンの認証を許可する、
   シングルサインオン認証装置。
10. 請求項７に記載のシングルサインオン認証装置において、
    前記記憶部は、前記ネットワークに接続される各種リソースを管理するための情報が予め登録され、当該情報の一部として前記シングルサインオンの認証を許可するＭＡＣアドレスが登録される認証管理テーブルを保持し、
    前記認証判定部は、前記ＭＡＣアドレス取得部で取得されたＭＡＣアドレスの前記認証管理テーブルへの登録有無に基づいて、前記シングルサインオンの認証許否を判定する、
    シングルサインオン認証装置。
11. 請求項１０に記載のシングルサインオン認証装置において、
    前記認証管理テーブルには、前記シングルサインオンの認証を許可するＭＡＣアドレス毎に、前記シングルサインオンの対象とするサービスプロバイダを表すエンティティＩＤが予め登録されており、
    前記認証判定部は、前記ＭＡＣアドレス取得部で取得されたＭＡＣアドレスが前記認証管理テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記エンティティＩＤが表す前記サービスプロバイダへの前記シングルサインオンの認証を許可する、
    シングルサインオン認証装置。

Images