JP3137173B2 - 認証情報管理装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は認証情報管理装置に関
し、特に疎結合された計算機システムにおける異機種間
の利用者認証情報を一括して管理する認証情報管理装置
に関する。

【０００２】

【従来の技術】複数の計算機をネットワークによって相
互に接続し、ネットワーク上の情報や資源を共用するク
ライアント・サーバ型のシステムが一般的になってきて
いる。ここで、利用者がクライアント計算機からサーバ
計算機にアクセスする場合に、利用者認証情報を使用し
てその利用者が利用を許可された当人であることを認証
することが行われている。同様に、利用者がクライアン
ト計算機からあるサーバ計算機（以下、前置計算機とい
う）を介して別のサーバ計算機（以下、後置計算機とい
う）にアクセスする場合にも、通常、サーバ計算機はそ
れぞれ認証方式が異なるので、それぞれ利用者認証情報
を使用してアクセスすることになる。

【０００３】このため、利用者が前置計算機を介して後
置計算機にアクセスする場合には、利用者は前置計算機
と後置計算機とで２回、認証情報の入力を要求されるこ
とになる。これに対し、従来より、前置計算機を介して
後置計算機にアクセスがあった場合に、後置計算機であ
ることを利用者が意識することなく、後置計算機のサー
ビスを利用できるようにする認証方式が知られている。

【０００４】たとえば、特開平４−７１０５８号公報に
記載の計算機システムでは、前置計算機と後置計算機と
から構成されており、前置計算機および後置計算機は、
通信回線によって疎結合されている。そして、それぞれ
の計算機は、異なった認証情報を必要としているとす
る。このシステムを利用する端末から前置計算機を介し
て後置計算機にアクセスする場合、利用者は、後置計算
機にアクセスするために認証情報を入力しなくてはなら
ない。そこで、この計算機システムでは、前置計算機の
中にあらかじめ後置計算機の認証に必要な情報を登録し
ておき、利用者が後置計算機にアクセスする時、自動的
に前置計算機が登録された情報を後置計算機に送ること
で、利用者が後置計算機にアクセスする際に生じる利用
者認証情報入力処理の問題を解決している。

【０００５】また、特開平６−２７４４３１号公報に記
載の異機種接続環境における認証および認可方式によれ
ば、異機種接続環境でのクライアント・サーバ型のシス
テムにおいて、クライアントからサーバへのアクセスの
認証を行う方法として、ケルベロスと呼ばれる認証方式
がある。ケルベロスは、セキュリティサーバという計算
機を持ち、この計算機では、ネットワークに一意なユー
ザ識別子を持っている。ところが、セキュリティサーバ
の持つユーザ識別子は、サーバが持つユーザ識別子と異
なる。また、ファイルへのアクセスの認可の権限を決め
る属性値は、サーバが持つユーザ識別子に依存する。そ
のため、セキュリティサーバを用いてファイルにアクセ
スする場合、ファイルにアクセスするたびにサーバ固有
のユーザ識別子を入力しなければならない。そこで、こ
の認証および認可方式では、サーバ内に、セキュリティ
サーバの持つユーザ識別子をサーバが持つユーザ識別子
に変換する機構を設けることで、ユーザ識別子を入力す
ることなくサーバ内のファイルにアクセスすることがで
きるようにしている。

【０００６】

【発明が解決しようとする課題】クライアント・サーバ
型の計算機システムで、サーバ計算機が前置計算機と後
置計算機に分散させているシステムにおいて、クライア
ントから前置計算機（またはセキュリティサーバ）を介
して後置計算機にアクセスする場合、利用者は、後置計
算機にアクセスする度にユーザ識別子を入力しなければ
ならないという問題を、上記したいずれの従来例も、前
置計算機内にユーザ識別子変換機構を設けることによっ
て、解決している。

【０００７】ところが、前置計算機が複数存在し、かつ
それらの前置計算機が同じ後置計算機をアクセスする場
合、上記の従来例の認証方式では、その後置計算機の認
証情報が変わったときには、その後置計算機をアクセス
する前置計算機毎にユーザ識別子変換機構の認証情報を
更新しなければならないという問題点があった。

【０００８】本発明はこのような点に鑑みてなされたも
のであり、クライアント計算機から前置計算機を介して
後置計算機をアクセスする際に個々に認証情報を入力す
る必要がなく、利用者は、サーバ計算機が前置計算機と
後置計算機とに分かれていることを意識することなく、
後置計算機にアクセスすることができる認証情報管理装
置を提供することを目的とする。

【０００９】また、本発明は後置計算機の認証情報が変
わっても、これをアクセスする前置計算機において個々
に認証情報を更新する必要がない認証情報管理装置を提
供することを目的とする。

【００１０】

【課題を解決するための手段】本発明では上記課題を解
決するために、クライアント計算機と、クライアント計
算機から直接アクセスされる前置計算機と、クライアン
ト計算機から前置計算機を介して間接的にアクセスされ
る後置計算機とがネットワークによって接続された計算
機システムにおいて、サーバ計算機が個々に行っていた
認証情報の管理を専用の認証情報管理装置（図１の４
０）で行うようにする。この認証情報管理装置は、後置
計算機毎にユーザに対応した認証情報を記憶する記憶手
段（４３）と、前置計算機のアクセス後に当該前置計算
機を介して間接的に後置計算機をアクセスする際に受け
取る当該後置計算機の識別情報とユーザ情報とを基に記
憶手段から該当する後置計算機の認証情報を検索する検
索手段（４１）と、この検索手段で検索された認証情報
を当該前置計算機へ返信する通信手段（４１）とを具備
している。

【００１１】好ましくは、さらに、入力装置またはクラ
イアント計算機からの入力情報に基づいて、記憶手段に
認証情報を設定する設定手段（４２）とを具備してい
る。

【００１２】

【作用】上述の手段によれば、クライアント計算機から
前置計算機へアクセスする場合には、クライアント計算
機は認証情報管理装置に照会し、通常の認証方式にて認
証されることで前置計算機へのアクセスが可能になる。
その後、クライアント計算機が前置計算機に対して後置
計算機へのアクセス要求を出すと、前置計算機は認証情
報管理装置にアクセスしたい後置計算機のサーバ情報を
送信する。ここで、サーバ情報としては、後置計算機の
識別情報と前置計算機がクライアント計算機を認証した
ときのユーザ情報とを通知する。認証情報管理装置で
は、検索手段がその後置計算機の識別情報およびユーザ
情報をキーにして記憶手段に記憶されている後置計算機
の認証情報を検索し、通信手段を通じて前置計算機へ送
信する。前置計算機は得られた認証情報を基にして後置
計算機へアクセスする。すなわち、前置計算機がその認
証情報を以て認証情報管理装置に照会し、通常の認証方
式にて認証されることにより後置計算機へのアクセスが
可能になる。なお、検索手段による認証情報の検索に
て、記憶手段の認証情報に後置計算機についての利用者
登録がなされていない場合、または後置計算機へのアク
セスが認証情報の変更などで認証されなかった場合に
は、クライアント計算機に対し認証情報入力要求を出
し、クライアント計算機は認証情報を入力して認証情報
管理装置に認証情報登録・更新要求を出す。認証情報管
理装置では、設定手段が入力された認証情報に従って記
憶手段に登録または該当する情報を更新する。

【００１３】

【実施例】以下、本発明の実施例を添付図面を参照して
説明する。図１は本発明の認証情報管理装置を含む計算
機システムのネットワーク構成例を示す図である。

【００１４】図示の計算機システムは、クライアント計
算機１１と、サーバ計算機である前置計算機２１，２２
および後置計算機３１，３２と、認証情報管理装置４０
とからなる。それぞれの計算機は、通信回線５０によっ
て接続されている。なお、実際の計算機システムでは、
多数のクライアント計算機およびサーバ計算機が通信回
線５０によって接続されている。認証情報管理装置４０
は認証情報検索部４１と、認証情報更新部４２と、認証
情報変換テーブル４４を格納するテーブル格納部４３と
から構成されている。

【００１５】ここで、クライアント計算機１１から前置
計算機２１を経由して後置計算機３１にアクセスし、後
置計算機３１のアプリケーションプログラムを実行する
場合を例にして説明する。したがって、この例の実行の
ために、前置計算機２１は要求受付部２１ａと、後置計
算機の認証情報要求部２１ｂと、後置計算機のアクセス
処理部２１ｃとを有し、後置計算機３１は要求受付部３
１ａと、プログラム処理部３１ｂとを有している。ま
た、クライアント計算機１１は認証情報を登録するため
の認証情報入力処理部１１ａを有している。そして、認
証情報管理装置４０はどのサーバ計算機からもブロード
キャストによって、サーバ名を指定しなくてもアクセス
することができるものとする。

【００１６】認証情報は、クライアント計算機１１の認
証情報入力処理部１１ａより認証情報管理装置４０にア
クセスし、その認証情報更新部４２によってテーブル格
納部４３の認証情報変換テーブル４４に利用したいサー
バ計算機の情報とともに登録されている。この例では、
利用者は少なくとも後置計算機３１について認証情報変
換テーブル４４に登録されている。

【００１７】まず、クライアント計算機１１から前置計
算機２１へアクセスする場合には、クライアント計算機
１１は認証情報を認証情報管理装置４０に送信する。認
証情報管理装置４０では、テーブル格納部４３に格納さ
れた図示しない認証情報テーブルを利用して、通常の認
証方式で前置計算機２１へのアクセスを認証する。

【００１８】前置計算機２１へのアクセスの後、クライ
アント計算機１１からの要求に後置計算機３１へアクセ
スしてその中のアプリケーションプログラムを実行する
要求が含まれていたとすると、前置計算機２１の要求受
付部２１ａはその後置計算機３１へのアクセス要求を受
け付け、後置計算機の認証情報要求部２１ｂは認証情報
管理装置４０に前置計算機２１がクライアント計算機１
１を認証したときのユーザ識別子および後置計算機３１
のサーバ識別子とともに認証情報検索要求を送信する。
認証情報管理装置４０ではこの要求を受けて、認証情報
検索部４１が認証情報変換テーブル４４をユーザ識別子
およびサーバ識別子をキーにして検索し、後置計算機３
１へアクセスするのに必要な認証情報を読み出し、前置
計算機２１へ送信する。前置計算機２１では、その後置
計算機のアクセス処理部２１ｃにより、認証情報管理装
置４０から受けた認証情報を以て後置計算機３１へアク
セスする。すなわち、その認証情報を認証情報管理装置
４０に送信し、通常の認証方式にて後置計算機３１への
アクセスを認証する。後置計算機３１では、要求受付部
３１ａにおいて、クライアント計算機１１からのアプリ
ケーションプログラム実行要求を受け付け、プログラム
処理部３１ｂによりアプリケーションプログラムを実行
することになる。

【００１９】図２は本発明の認証情報管理装置の構成例
を示すブロック図である。認証情報管理装置４０におい
て、その認証情報検索部４１は認証情報の検索要求を受
け付けたり、検索した認証情報を要求した前置計算機へ
返送する認証情報検索受付部４１ａと、テーブル格納部
４３の認証情報変換テーブル４４に対して検索要求のあ
った認証情報の検索を実行する認証情報検索部４１ｂ
と、検索の結果から要求された認証情報が登録されてい
るかどうかを判定する判定部４１ｃと、認証情報変換テ
ーブル４４から認証情報を読み出す認証情報読み出し部
４１ｄとによって構成されている。また、認証情報更新
部４２は利用者からの認証情報の登録・更新要求を受け
付ける認証情報登録受付部４２ａと、認証情報変換テー
ブル４４に対して認証情報の登録・更新処理を実行する
認証情報変換テーブル更新処理部４２ｂとによって構成
されている。

【００２０】前置計算機から後置計算機へアクセスする
ための認証情報の取得要求があると、その要求は認証情
報検索部４１の認証情報検索受付部４１ａにて受け付
け、認証情報検索部４１ｂがテーブル格納部４３の認証
情報変換テーブル４４を検索する。ここで、判定部４１
ｃが認証情報の登録・未登録を判定し、登録済みであれ
ば、認証情報読み出し部４１ｄが認証情報変換テーブル
４４から認証情報を読み出して要求元の前置計算機に送
信し、未登録であれば、クライアント計算機に対して認
証情報入力要求を送信する。クライアント計算機におい
て認証情報が入力され、認証情報管理装置４０に認証情
報登録要求が送信されると、この要求は認証情報登録受
付部４２ａが受け付け、認証情報変換テーブル更新処理
部４２ｂが認証情報変換テーブル４４に認証情報の登録
を行う。

【００２１】また、後置計算機へのアクセス時の認証が
失敗したときには、その後置計算機の認証情報は変更さ
れていることになる。この場合にも、クライアント計算
機に対して認証情報の入力要求を出す。これに応じてク
ライアント計算機で認証情報が入力され、更新要求とと
もに認証情報更新部４２の認証情報登録受付部４２ａに
て受け付けられ、認証情報変換テーブル更新処理部４２
ｂによって該当する認証情報の更新が行われる。

【００２２】図３は認証情報変換テーブルの一例を示す
図である。認証情報変換テーブル４４は、図示のよう
に、サーバ識別子・ユーザ識別子と認証情報との対応テ
ーブルになっている。サーバ識別子・ユーザ識別子のフ
ィールドには、サーバ計算機の名前および利用者の名前
を表す識別子が入力され、認証情報のフィールドには、
たとえば利用者の名前を表すユーザ識別子およびパスワ
ードが入力される。したがって、認証情報検索部４１ｂ
がこの認証情報変換テーブル４４を検索する場合には、
サーバ識別子およびユーザ識別子をキーにして検索が行
われることになる。

【００２３】次に、クライアント計算機から前置計算機
を介した後置計算機へのアクセスの場合に処理の流れに
ついて説明する。図４は後置計算機へのアクセス処理の
内容を示すフローチャートである。

【００２４】クライアント計算機１１から前置計算機２
１を介した後置計算機３１へのアクセスの場合は、ま
ず、前置計算機２１へのアクセスから始まる。すなわ
ち、クライアント計算機１１は、認証情報管理装置４０
にたとえばユーザ識別子およびパスワードを含む認証情
報を送り、前置計算機２１へのアクセスの認証を得る。

【００２５】ここで、クライアント計算機１１から前置
計算機２１に対して後置計算機３１へのアクセス要求が
あると（ステップＳ１）、前置計算機２１は、認証情報
管理装置４０に対して、アクセスしたい後置計算機３１
のサーバ識別子と前置計算機２１のクライアント計算機
１１を認証したときのユーザ識別子とを送る（ステップ
Ｓ２）。

【００２６】一方、認証情報管理装置４０では、送られ
きたサーバ識別子・ユーザ識別子をキーにして、認証情
報検索部４１ｂがテーブル格納部４３に格納されている
認証情報変換テーブル４４を検索し、判定部４１ｃにて
後置計算機３１の認証情報が登録済みかどうかを判定す
る（ステップＳ３）。後置計算機３１の認証情報が登録
済みであれば、認証情報読み出し部４１ｄが認証情報変
換テーブル４４から該当する後置計算機３１の認証情報
を読み出し（ステップＳ４）、読み出した後置計算機３
１の認証情報を前置計算機に送信する（ステップＳ
５）。

【００２７】ステップＳ３の判定において、後置計算機
３１の認証情報が未登録であれば、認証情報を新たに登
録しなければならないので、後述の認証情報更新処理に
進む（ステップＳ６）。

【００２８】そして、前置計算機２１では、認証情報管
理装置４０から受けた後置計算機３１の認証情報を基に
後置計算機３１にアクセスする（ステップＳ７）。すな
わち、前置計算機２１は受けた認証情報を認証情報管理
装置４０に送信し、通常の認証方式にて後置計算機３１
へのアクセスを認証する。その後は、後置計算機３１で
の処理になる。

【００２９】次に、後置計算機３１の認証情報が未登録
または変更の場合の認証情報の登録・更新処理について
説明する。図５は認証情報登録処理の内容を示すフロー
チャートである。

【００３０】認証情報管理装置４０の認証情報検索部４
１における判定部４１ｃにおいて、後置計算機３１の認
証情報が登録されていないとの判定があった場合には、
認証情報管理装置４０はクライアント計算機１１に対し
て後置計算機３１の認証情報の入力を要求する（ステッ
プＳ１１）。すると、クライアント計算機１１は認証情
報入力処理部１１ａにより認証情報の入力処理を行い
（ステップＳ１２）、入力された後置計算機３１の認証
情報を認証情報管理装置４０に送信する（ステップＳ１
３）。認証情報管理装置４０では、クライアント計算機
１１より受けた後置計算機３１の認証情報を認証情報更
新部４２によって認証情報変換テーブル４４に登録する
（ステップＳ１４）。

【００３１】また、後置計算機３１へのアクセス時に後
置計算機３１の認証情報が変更されていた場合には、認
証情報変換テーブル４４の後置計算機３１の認証情報を
変更しなければならないので、後置計算機３１のアクセ
ス時に非認証であった場合にも、この図５のフローチャ
ートのステップＳ１１から同様の処理を開始する。

【００３２】上述のように、認証情報を一括管理する認
証情報管理装置をネットワーク上に新たに設けることに
より、利用者は、後置計算機にアクセスする毎に、認証
情報を入力する必要がなくなるため、利用者の労力が軽
減されるだけではなく、後置計算機の認証情報が更新さ
れても、認証情報管理装置に登録されている情報の更新
だけでよいので、利用者の労力が軽減される。

【００３３】なお、ＵＮＩＸネットワークにおけるＤＮ
Ｓ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｉｃｅ）のよう
に、ローカルエリアネットワークの同一ドメイン内で認
証情報を共有している場合がある。そこで、認証情報管
理装置内の情報を共有している後置計算機の認証情報を
同一の認証情報でアクセス可能な計算機同士をカテゴリ
ーに分類して認証情報管理装置に登録しておくこともで
きる。この管理方法を採ることにより、認証情報変換テ
ーブル４４のデータ量を少なくできるだけでなく、同一
の認証情報でアクセス可能な計算機を一度に更新するこ
とができるため、認証情報の更新の際の処理を減少させ
ることができる。

【００３４】

【発明の効果】以上説明したように本発明では、サーバ
計算機以外に認証情報管理装置を設置し、ユーザが前置
計算機を介して後置計算機を通じてアクセスする際に、
認証情報管理装置にアクセス要求を出し、後置計算機の
認証情報を得るように構成した。このため、前置計算機
を介して後置計算機にアクセスする都度、後置計算機の
認証情報を入力する必要がなく、後置計算機の認証情報
が変更されたとき、認証情報管理装置に登録されている
を認証情報を更新するだけで済む。また、後置計算機の
アクセスに失敗したときに、クライアント計算機からの
認証情報に従って後置計算機の認証情報を更新するよう
にしたので、後置計算機の認証情報が変わった場合でも
一度の認証情報入力のみで、引き続き後置計算機にアク
セスできる。

【図面の簡単な説明】

【図１】本発明の認証情報管理装置を含む計算機システ
ムのネットワーク構成例を示す図である。

【図２】本発明の認証情報管理装置の構成例を示すブロ
ック図である。

【図３】認証情報変換テーブルの一例を示す図である。

【図４】後置計算機へのアクセス処理の内容を示すフロ
ーチャートである。

【図５】認証情報登録処理の内容を示すフローチャート
である。

【符号の説明】

１１ クライアント計算機 ２１，２２ 前置計算機 ３１，３２ 後置計算機 ４０ 認証情報管理装置 ４１ 認証情報検索部 ４２ 認証情報更新部 ４３ テーブル格納部 ４４ 認証情報変換テーブル ５０ 通信回線

Claims (1)

(57)【特許請求の範囲】
1. 【請求項１】 ネットワークで接続された計算機システ
   ムにおいて、 クライアント計算機と、 前記クライアント計算機から直接アクセスされる前置計
   算機と、 前記クライアント計算機から前記前置計算機を介して間
   接的にアクセスされる後置計算機と、 前記後置計算機毎にユーザに対応した認証情報を記憶す
   る記憶手段と、前記前置計算機のアクセス後に前記前置
   計算機を介して間接的に後置計算機をアクセスする際に
   受け取る前記後置計算機の識別情報とユーザー情報とを
   基に前記記憶手段から該当する後置計算機の認証情報を
   検索する検索手段と、前記検索手段で検索された認証情
   報を当該前置計算機に返信する通信手段と、前記クライ
   アント計算機から前記前置計算機を介して前記後置計算
   機のアクセスに失敗したときに、前記クライアント計算
   機に対して認証情報の入力要求を出し、前記クライアン
   ト計算機からの認証情報に従って前記後置計算機の認証
   情報を更新する認証情報更新手段と、を具備する認証情
   報管理装置と、 からなることを特徴とする計算機システム。