JP3545573B2

JP3545573B2 - Authentication / authority control system

Info

Publication number: JP3545573B2
Application number: JP20248897A
Authority: JP
Inventors: 明寿碓氷; 太二常吉
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 1997-07-11
Filing date: 1997-07-11
Publication date: 2004-07-21
Anticipated expiration: 2017-07-11
Also published as: JPH1131132A

Description

【０００１】
【発明の属する技術分野】
本発明は，認証／権限制御システムに係り，特に，インターネット上に広域分散された端末装置からのログインに対する認証を行うことにより，情報提供サーバ上の操作権限の制御を行う認証／権限制御システムに関するものである。
【０００２】
【従来の技術】
従来，インターネット上に広域分散された任意の端末装置からユーザが所望の情報提供サーバにログインして，その情報提供サーバ内に格納された情報資源を取得したり，その情報資源に変更を加えたりする際には，ユーザが端末装置側から情報提供サーバ側にユーザ名やパスワードなどの認証情報を送信し，その認証情報に基づいて情報提供サーバ側がそのユーザのアクセス権限を評価し，ユーザは情報提供サーバに許可された範囲内で情報提供サーバの情報資源に対して所定のアクセスを行っていた。
【０００３】
図６に，従来の認証／権限制御システムの概略構成を示す。図示のように，認証／権限制御システムは，広域分散された端末装置１０１−１，１０１−２，…１０１−ｎと，これらの端末装置と一般電話回線などで接続された情報提供サーバ１１０とから構成されている。
【０００４】
端末装置（ユーザ）１０１は，情報提供サーバ１１０にログインし，ユーザが所望する情報資源を取得したり，情報提供サーバ１１０上での所定のプログラム実行を要求するための装置である。情報提供サーバ１１０は，単一の装置ではなく，情報提供部１１１，権限制御部１１２，ユーザ管理部１１３及び二次記憶装置１１４から構成されている。なお，各構成要素は，必ずしも単一の装置内に存在する必要はなく，それぞれ別の装置として構成し，所定のデータ伝送装置で相互接続することも可能である。
【０００５】
まず，情報提供部１１１は，任意の端末装置１０１を利用してのユーザからのログイン要求や情報取得要求を受け付ける装置である。権限制御部１１２は，ユーザからのログイン要求に対して各ユーザ毎に許可されたアクセス権限を調査し，許可された情報資源に対してのみアクセスを可能とする装置である。ユーザ管理部１１３は，ユーザ管理情報，すなわち各ユーザに関する情報，認証用の情報（例えば，ユーザ名，パスワード等），権限情報（どの情報資源及びプログラムに対してアクセス可能かを記述した情報）などを登録して管理する装置である。さらに，二次記憶装置１１４は，情報提供サーバがユーザに提供する情報資源やプログラムを格納する記憶装置である。
【０００６】
次に，上記のような認証／権限制御システムにおいて，ユーザが端末装置１０１から情報提供サーバ１１０にアクセスし，目的の情報を取得するまでの動作について説明する。
【０００７】
（１）サーバログイン
ユーザは，自己の端末装置１０１からユーザ名やパスワードなどに代表される認証に必要な情報を，アクセスしたい情報提供サーバ１１０に送信してログインを行う。
【０００８】
（２）認証要求
ユーザからのログインを受けて，情報提供サーバ１１０の情報提供部１１１は，ユーザから送信された認証情報を権限制御部１１２に送り，その認証を依頼する。
【０００９】
（３）認証実行
権限制御部１１２は，送られた認証情報に基づいて，ユーザ管理部１１３にアクセスし，認証に必要なユーザ管理情報の取得を行い，ログインしてきたユーザが正規ユーザであるか否かを確認し，その結果を情報提供部１１１に戻す。
【００１０】
（４）認証完了
情報提供部１１１は，権限制御部１１２から送られてきた認証結果を受け取り，その結果をユーザの端末装置１１０に返送する。
【００１１】
（５）情報要求
ユーザは端末装置１１０において，アクセスが許可されたかどうかを確認し，アクセスが許可された場合には，取得したい情報資源を情報提供部１１１に対して要求する。
【００１２】
（６）認可要求
情報提供部１１１は，ユーザの端末装置１１１からの情報取得要求を受け取り，その情報要求の内容を権限制御部１１２に送信する。
【００１３】
（７）認可検証実行
権限制御部１１２は情報要求の内容を受け取り，ユーザ管理部１１３に再びアクセスし，そこに格納されているユーザ管理情報から，情報要求元のユーザがその情報資源を取得する権限を有するかどうか検証する。そして，ユーザが必要な権限を有していると判断した場合には，ユーザ要求してきた情報資源を二次記憶装置１１４から取得して，その情報資源を情報提供部１１１に提供する。
【００１４】
（８）情報提供
情報提供部１１１は，権限制御部１１２からユーザが要求した情報資源を受け取り，ユーザ端末１１０に送信して，一連の処理を終了する。
【００１５】
【発明が解決しようとする課題】
上記のように構成された従来の認証／権限制御方法では，ユーザの情報提供サーバへのアクセス権限は，ログイン時と情報要求時と少なくとも２回の検証を受ける必要があるため，大量のユーザを抱える情報提供サーバでは，ピーク時に権限制御部の処理能力が飽和し，ユーザへの情報提供速度が低下するという問題があった。
【００１６】
また，大量のユーザへの情報提供速度を上げようとすれば，記憶装置の大容量化及び権限制御部などの演算装置の高速化や装置の多重化が避けられず，コスト増につながるという問題があった。
【００１７】
さらに，情報提供サーバのコア部分へのアクセス権限を有するスーパーユーザが情報提供サーバにアクセスしようとした場合であっても，一般ユーザと同様の手順を踏まなければならないため，効率が悪く，特に緊急にメンテナンスが必要な場合には問題であった。
【００１８】
本発明は，上記のような従来の認証／権限制御装置がかかえる問題点に鑑みて成されたものであり，大量のユーザを抱える情報提供サーバであっても，ユーザの認証／権限情報を効率よく管理することにより，必要な情報資源を各ユーザに効率的に提供することが可能な，新規かつ改良された認証／権限制御システムを提供することを目的としている。
【００１９】
さらに本発明の別の目的は，従来のシステムのユーザ管理情報資源をそのまま利用し，また新たに必要となる設備を最小限に抑えて，大量のユーザへの情報提供システムを構築することが可能な，新規かつ改良された認証／権限制御システムを提供することである。
【００２０】
さらにまた本発明の別の目的は，情報提供サーバへのアクセス権限のレベルに柔軟に対応し，例えばスーパーユーザが一般ユーザよりもアクセスし易い環境を整えることにより，メンテナンス作業などを容易に行うことが可能な，新規かつ改良された認証／権限制御システムを提供することである。
【００２１】
【課題を解決するための手段】
上記課題を解決するために，本発明によれば，例えばインターネット上で広域分散された端末からの外部ユーザのアクセスに対して認証を行うことにより情報提供サーバ上での操作権限を制御する認証／権限制御システムが提供される。そして，この認証／権限制御システムは，請求項１によれば，外部ユーザに関する外部ユーザ情報を個別に登録し管理する外部ユーザ管理部と，アクセス権限に応じて内部で予め定義づけらる内部ユーザに関する内部ユーザ情報を登録し管理する内部ユーザ管理部と，外部ユーザ情報と内部ユーザ情報との写像を作成する権限写像部と，外部ユーザに提供される情報資源を格納する記憶装置と，外部ユーザからの情報取得要求を受けて権限写像部においてその外部ユーザを対応する内部ユーザに変換し変換された内部ユーザのアクセス権限に応じて記憶装置から情報資源を取得してその情報資源を外部ユーザに提供する情報提供部とを備えたことを特徴としている。
【００２２】
かかる構成によれば，大量の外部ユーザを少数の内部ユーザに変換して処理を行うので，大量の外部ユーザがアクセスしてきた場合でも，システム内部の処理を効率化することができ，情報提供速度を向上させることができる。また，一旦，外部ユーザが内部ユーザに変換されれば，情報提供サーバ内では，その内部ユーザのアクセス権限に応じた処理が行われるので，外部ユーザ側にはログイン時の一次認証のみですべての処理が行われているように映り，ユーザインタフェースに優れた情報提供サービスシステムを提供することができる。さらにまた，一般ユーザからのアクセスとスーパーユーザからのアクセスとを区別して管理することが可能となるので，システムのメンテナンス時などの効率化を図ることができる。
【００２３】
上記認証／権限制御システムにおいては，内部ユーザを，情報資源に対するアクセス権限に応じて段階的に作成すれば，大量の外部ユーザを少数の内部ユーザに効率的に変換することができる。
【００２４】
上記認証／権限制御システムにおいて，外部ユーザの情報取得要求に応じてそのつど新規の内部ユーザを動的に作成し，権限写像において，その外部ユーザと新規の内部ユーザとの写像を作成し，情報提供部により，その新規の内部ユーザのアクセス権限に応じて記憶装置から情報資源を取得して，その情報資源を外部ユーザに提供するように構成しても良い。
【００２５】
あるいはまた，上記認証／権限制御システムにおいて，新規の外部ユーザに関する外部ユーザ情報の登録時に，その外部ユーザの変換先の内部ユーザも登録し管理することにより，外部ユーザのアクセス時に自動的に予め登録された内部ユーザに変換するように構成しても良い。
【００２６】
さらに，上記認証／権限制御システムにおいて，外部ユーザのログイン時に，外部ユーザ管理部で管理される外部ユーザ情報を参照して，外部ユーザのログインの一次認証を行う外部ユーザ認証部をさらに設け，その外部ユーザ認証部において大量の外部ユーザの一次認証を高速に処理することが可能となり，内部システムへの負担を軽減することが可能となり，さらに高速の情報提供サービスシステムを構築することができる。
【００２７】
【発明の実施の形態】
以下に，添付図面を参照しながら，本発明にかかる認証／権限制御システムの好適な実施形態について詳細に説明することにする。
【００２８】
（第１の実施形態）
まず図１を参照しながら，本発明の第１の実施形態にかかる認証／権限制御システムの概略構成について説明すると，この認証／権限制御システムは，例えばインターネット上で，広域分散された端末装置１０−１，１０−２，…１０−ｎと，これらの端末と一般電話回線などで接続された情報提供サーバ１５とから構成されている。
【００２９】
端末装置１０は，例えば通信機能付きのパーソナルコンピュータや携帯端末のように，情報提供サーバ１５にログインし，ユーザが所望する情報を取得したり，情報提供サーバ１５上での所定のプログラム実行を要求するための装置である。情報提供サーバ１５は，本実施の形態によれば，外部情報提供サーバ２０と内部情報提供サーバ３０とから構成されている。
【００３０】
まず，外部情報提供サーバ２０は，広域分散された端末１０からアクセスされるサーバであり，外部に公開されているものである。具体的には，外部情報提供サーバ２０は，情報提供部２１，外部ユーザ認証部２２，外部ユーザ管理部２３及び権限写像部２４から構成されている。なお，各構成要素は，必ずしも単一の装置内に存在する必要はなく，それぞれ別の装置として構成し，所定のデータ伝送装置で相互接続することも可能である。
【００３１】
情報提供部２１は，外部ユーザがインターネット上に存在する任意の端末装置１０を利用して送ってきた，ログイン要求や情報取得要求を受け付ける装置である。外部ユーザ管理部２３は，外部ユーザに関する情報を登録し管理する装置であり，そこには外部ユーザ管理情報，すなわち各外部ユーザに関する個人情報，ログイン時の一次認証用の情報（例えば，ユーザ名，パスワード等），権限情報（どの情報及びプログラムに対してアクセス可能かを記述した情報）などが格納されて管理される。外部ユーザ認証部２２は，外部ユーザからのログイン要求に対して，外部ユーザ管理部２３において各外部ユーザ毎に管理されている外部ユーザ情報を参照して，ログインしてきた外部ユーザが正規ユーザか否かの一次認証を行う装置である。さらに，権限写像部２４は，外部ユーザ管理部２３において登録管理される外部ユーザ情報と後述する内部ユーザ管理部３１において登録管理される内部ユーザ情報との写像を作成する装置である。
【００３２】
次に，内部情報提供サーバ３０は，既存の社内の情報システム内で独自システムによって管理されている情報提供サーバであり，本格的なユーザ管理やアクセス権の管理が可能なシステムから構築されている。具体的には，内部情報提供サーバ３０は，段階的なアクセス権限に応じて内部で予め定義づけられる内部ユーザに関する内部ユーザ情報を登録し管理する内部ユーザ管理部３１と，ログインしてきた正規の外部ユーザに対してそのアクセス権限に応じて提供される，各種コンテンツやプログラムなどの情報資源が格納されたハードディスクなどの大容量記憶装置から成る二次記憶装置３２とから主に構成されている。
【００３３】
本発明の第１の実施形態にかかる認証／権限制御システムは，上記のように構成されている。次に図２を参照しながら，この認証／権限制御システムの動作について説明するが，その前に，本発明の理解を容易にするために，本発明の基本的コンセプトについて説明する。
【００３４】
昨今，インターネット上には様々な情報提供サービスが存在しており，各ユーザ（端末装置）は所望の情報提供サーバにアクセスして，そのアクセス権限に応じた情報資源を取得している。また，情報提供サーバ側では，ユーザのログインを受けると，そのユーザのログインを認証するとともにアクセス権限を調査し，許可されたアクセス権限に応じた情報をユーザに提供している。しかも，かかる認証／権限処理は各ユーザ（端末装置）ごとに個別に行う必要があるため，大量のユーザ（端末装置）を抱える場合には，情報提供サーバ側で認証／権限処理を実時間で処理できず，サービスの質が低下するという深刻な問題を抱えていた。
【００３５】
しかしながら，発明者の知見によれば，大量のユーザ（端末装置）が存在していたとしても，各ユーザ（端末装置）ごとに権限制御が異なることは希であり，大多数の一般ユーザ（端末装置）に対しては同一の権限制御を行えば十分である。仮に各ユーザごとに異なる権限制御可能であっても，管理コストの面から大多数の一般ユーザ（端末装置）に対しては同一の権限制御を行っているのが実状である。
【００３６】
本発明は，インターネットを利用した情報提供サービスが有する上記特質に鑑みて成されたものであり，大量の外部ユーザを権限写像部２４において必要最低限の数の内部ユーザに変換することにより，どんなに大量の外部ユーザが存在していても，少数の内部ユーザが内部情報提供サーバ３０にアクセスするという擬似的アクセス環境を作り出すことにより，認証／権限処理の効率化を図ることをその要旨としている。なお，外部ユーザを内部ユーザに変換する写像については，その写像規則を任意に設定することが可能であり，例えば，アクセス権限の段階（例えば，外部ユーザには，外部に解放されているコンテンツを利用するだけの一般ユーザや，内部のシステムプログラムの変更まで許可されたスーパーユーザなど各種段階のユーザが損ｚ内する。）に応じた数の内部ユーザを作成することが可能である。
【００３７】
上記のような本願発明の基本コンセプトを念頭において，図２を参照しながら，この認証／権限制御システムの動作について説明する。まず，外部ユーザは，インターネット上の端末装置１０を用いて，必要な情報資源名（ｒ０１）と外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を情報提供部２１に送信して，情報提供サーバ１５の外部情報提供サーバ２０にログインする（ステップＳ１０１）。
【００３８】
かかる外部ユーザのログインを受けて，外部情報提供サーバ２０の情報提供部２１は，ログインしてきた外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を外部ユーザ認証部２２に転送し，ユーザ認証を委託する（ステップＳ１０２）。
【００３９】
外部ユーザ認証部２２は，外部ユーザ管理部２３において管理される外部ユーザ情報を参照して，ログインしてきた外部ユーザが正規ユーザかどうかの認証を行う（ステップＳ１０３）。外部ユーザ認証部２２は，その認証が否定的である場合にはＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否する（ステップＳ１０４）。これに対して，外部ユーザ認証部２２は，その認証が肯定的である場合にはＯＫ信号を情報提供部２１に戻す。
【００４０】
情報提供部２１は，ＯＫ信号を受けて，権限写像部２４に認証を受けた外部ユーザを内部ユーザに変換するように委託する。権限写像部２４は，図３に示すようなユーザ対応表に基づいて，認証された外部ユーザに対応する内部ユーザに変換し，その内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）を情報提供部２１に戻す（ステップＳ１０５）。なお，本実施の形態においては，外部ユーザの登録時に，図３に示すように，その外部ユーザのアクセス権限に応じた変換先の内部ユーザに関する情報，すなわちその内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）についても，外部ユーザ名（ｕ０１）と関連づけられて登録されているものとする。
【００４１】
情報提供部２１は，外部ユーザから変換された内部ユーザの内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）により内部情報提供サーバ３０の内部ユーザ管理部３１に再ログインする。かかる再ログイン処理は，通常は，外部ユーザには隠蔽される。もちろん，必要に応じて（例えば，外部ユーザがスーパーユーザである場合），外部ユーザに透明になるように構成しても良い。
【００４２】
内部ユーザによるログインを受けると，内部ユーザ管理部３１は，その内部ユーザの内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）が内部情報サーバ３０にログイン可能なものであるかどうかを判定する（ステップＳ１０６）。そして，そのログインが認められないものである場合には，ＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否する（ステップＳ１０７）。これに対して，内部ユーザ管理部３１は，そのログインが認められるものである場合には，ＯＫ信号を情報提供部２１に戻す。
【００４３】
情報提供部２１は，ＯＫ信号を受けて，内部ユーザ管理部３１に外部ユーザ（ただし，現在は内部ユーザに変換されている。）から要求された情報資源名（ｒ０１）を内部ユーザ管理部３１に送る。内部ユーザ管理部３１は，ログインしてきた内部ユーザがその情報資源（ｒ０１）にアクセス権限があるかどうかを判断する（ステップＳ１０８）。そして，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限が無い場合には，その旨を情報提供部２１に戻すとともに，内部情報サーバ３０からログオフし，外部ユーザからのアクセスを拒否する（ステップＳ１０９）。これに対して，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限を有している場合には，その情報資源（ｒ０１）から取得して，情報提供部２１に送った後，内部情報サーバ３０からログオフする（ステップＳ１１０）。
【００４４】
情報提供部２１は，以上のような認証／権限処理の結果，要求された情報資源を取得できた場合には，ログインしてきた外部ユーザに対して，その情報資源を戻し，一連の処理を終了する（ステップＳ１１１）。
【００４５】
以上説明したように，本発明の第１の実施形態にかかる認証／権限制御システムにおいては，外部ユーザがログインしてくるごとに外部情報提供サーバ２０において動的に内部ユーザが作成され，その内部ユーザに認められるアクセス権限に応じて内部情報提供サーバ３０から必要な情報資源を取得できるように構成したので，大量の外部ユーザが少数の内部ユーザに変換され，アクセス権限の段階に応じた効率的な情報資源に対するアクセスが可能となり，高速の情報提供サービスシステムを構築することができる。
【００４６】
また，一旦，外部ユーザが内部ユーザに変換されれば，内部情報提供サーバ内では，その内部ユーザのアクセス権限に応じた処理のみが行われるので，外部ユーザ側にはログイン時の一次認証のみですべての処理が行われているように映り，ユーザインタフェースに優れた情報提供サービスシステムを構築できる。
【００４７】
（第２の実施形態）
次に，図４を参照しながら，本発明の第２の実施形態にかかる認証／権限制御システムについて詳細に説明する。なお，この第２の実施形態にかかる認証／権限制御システムの基本的構成については，図１に関連して説明した第１の実施形態にかかる認証／権限制御システムの構成と実質的に同一なので，実質的に同一な機能構成要素については，同一の参照番号を付することにより重複説明を省略する。
【００４８】
この第２の実施形態に特徴的な点は，外部ユーザの登録時にその外部ユーザに対応する内部ユーザについての登録をも行っていた第１の実施形態の場合と異なり，外部ユーザがログインして来るたびに，動的に新規の内部ユーザを作成する点である。
【００４９】
以下，図４を参照しながら，第２の実施形態にかかる認証／権限制御システムの動作について説明する。まず，外部ユーザは，インターネット上の端末装置１０を用いて，必要な情報資源名（ｒ０１）と外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を情報提供部２１に送信して，情報提供サーバ１５の外部情報提供サーバ２０にログインする（ステップＳ２０１）。
【００５０】
かかる外部ユーザのログインを受けて，外部情報提供サーバ２０の情報提供部２１は，ログインしてきた外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を外部ユーザ認証部２２に転送し，ユーザ認証を委託する（ステップＳ２０２）。
【００５１】
外部ユーザ認証部２２は，外部ユーザ管理部２３において管理される外部ユーザ情報を参照して，ログインしてきた外部ユーザが正規ユーザかどうかの認証を行う（ステップＳ２０３）。外部ユーザ認証部２２は，その認証が否定的である場合にはＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否する（ステップＳ２０４）。これに対して，外部ユーザ認証部２２は，その認証が肯定的である場合にはＯＫ信号を情報提供部２１に戻す。
【００５２】
情報提供部２１は，ＯＫ信号を受けて，権限写像部２４に認証を受けた外部ユーザを内部ユーザに変換するように委託する。権限写像部２４は，図５に示すようなユーザ対応表に基づいて，認証された外部ユーザ名（ｕ０１）から，その外部ユーザ名（ｕ０１）に対応する内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）を取得する（ステップＳ２０５）。さらに，権限写像部２４は，内部情報提供サーバ３０に再ログインするための新規の内部ユーザを動的に作成し，その内部ユーザ名（ｕ０２），内部ユーザパスワード（ｐ０２）及び内部ユーザアクセス権（ａ０２）を情報提供部２１に戻す（ステップＳ２０６）。なお，本実施の形態においては，内部ユーザは，外部ユーザのログオンのたびに動的に作成される。したがって，先の実施形態の場合とは異なり，外部情報管理部２３において，各外部ユーザに対応する内部ユーザを登録し管理する必要がないので，外部情報管理部２３におけるデータ処理をより高速化することができる。
【００５３】
ここで，ステップＳ２０６において，新規の内部ユーザの作成に失敗した場合には，その旨を情報提供部２１に戻して，その外部ユーザのアクセスを拒否する（ステップＳ２０７）。これに対して，ステップＳ２０６において，新規の内部ユーザの作成に成功した場合には，情報提供部２１は，内部情報提供サーバ３０の内部ユーザ管理部３１に対して，新規に作成された内部ユーザ名（ｕ０２）で再ログインする（ステップＳ２０８）。この再ログイン処理は，先の実施形態と同様に，外部ユーザに隠蔽するように構成しても良いし，外部ユーザに透明になるように構成しても良い。
【００５４】
新規に作成された内部ユーザによるログインを受けると，内部ユーザ管理部３１は，その内部ユーザのアクセス権限（ａ０２）が内部情報サーバ３０にログイン可能なものであるかどうかを判定する（ステップＳ２０８）。そして，そのログインが認められないものである場合には，ＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否するとともに，その内部ユーザ名（ｕ０２）を消去する（ステップＳ２０９）。これに対して，内部ユーザ管理部３１は，そのログインが認められるものである場合には，ＯＫ信号を情報提供部２１に戻す。
【００５５】
情報提供部２１は，ＯＫ信号を受けて，内部ユーザ管理部３１に外部ユーザ（ただし，現在は新規の内部ユーザに変換されている。）から要求された情報資源名（ｒ０１）を内部ユーザ管理部３１に送る。内部ユーザ管理部３１は，ログインしてきた内部ユーザがその情報資源（ｒ０１）にアクセス権限があるかどうかを判断する（ステップＳ２１０）。そして，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限が無い場合には，その旨を情報提供部２１に戻すとともに，内部情報サーバ３０からログオフし，その内部ユーザ名（ｕ０２）を消去するとともに，外部ユーザからのアクセスを拒否する（ステップＳ２１１）。これに対して，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限を有している場合には，その情報資源（ｒ０１）から取得して，情報提供部２１に送った後，内部情報サーバ３０からログオフし，不要となった内部ユーザ名（ｕ０２）を消去する（ステップＳ２１２）。
【００５６】
情報提供部２１は，以上のような認証／権限処理の結果，要求された情報資源を取得できた場合には，ログインしてきた外部ユーザに対して，その情報資源を戻し，一連の処理を終了する（ステップＳ２１３）。
【００５７】
以上説明したように，本発明の第２の実施形態にかかる認証／権限制御システムにおいては，先の第１の実施形態にかかる認証／権限制御システムと同様の効果を奏することが可能となるとともに，外部ユーザのログインのたびに動的に内部ユーザを作成し，不要となった内部ユーザを削除するので，外部ユーザ管理部２３における登録データ量を大幅に削減することが可能となり，処理の高速化を図ることができる。
【００５８】
以上，添付図面を参照しながら本発明にかかる認証／権限制御システムの好適な実施形態について説明したが，本発明はかかる例に限定されない。当業者であれば，特許請求の範囲に記載された技術的思想の範疇内において，各種の変更例又は修正例に想到し得ることは明らかであり，それらについても当然に本発明の技術的範囲に属するものと了解される。
【００５９】
【発明の効果】
本発明によれば，大量の外部ユーザを少数の内部ユーザに変換して処理を行うので，大量の外部ユーザがアクセスしてきた場合でも，システム内部的には少数の内部ユーザがログインする擬似的環境で認証／権限制御を行うので，内部的な処理の効率化を図ることが可能となり，情報提供速度を向上させることができる。
【００６０】
また，一旦，外部ユーザが内部ユーザに変換されれば，情報提供サーバ内では，その内部ユーザのアクセス権限に応じた処理が行われるので，外部ユーザ側にはログイン時の一次認証のみですべての処理が行われているように映り，外部ユーザはストレスを感ぜずに情報提供サービスシステムを利用することができる。
【００６１】
さらにまた，本発明によれば，一般ユーザからのアクセスとスーパーユーザからのアクセスとを区別して管理することが可能となるので，システムのメンテナンス時などの効率化を図ることができる。
【図面の簡単な説明】
【図１】本発明にかかる認証／権限制御システムの概略的な構成を示すブロック図である。
【図２】本発明の第１の実施形態にかかる認証／権限制御システムの概略的動作を示すフローチャートである。
【図３】本発明の第１の実施形態にかかる認証／権限制御システムにおいて参照される外部ユーザと内部ユーザとの写像関係を示す説明図である。
【図４】本発明の第２の実施形態にかかる認証／権限制御システムの概略的動作を示すフローチャートである。
【図５】本発明の第２の実施形態にかかる認証／権限制御システムにおいて参照される外部ユーザと内部ユーザとの写像関係を示す説明図である。
【図６】従来の認証／権限制御システムの概略的な構成を示すブロック図である。
【符号の説明】
１０端末装置（外部ユーザ）
１５情報提供サーバ
２０外部情報提供サーバ
２１情報提供部
２２外部ユーザ認証部
２３外部ユーザ管理部
２４権限写像部
３０内部情報提供サーバ
３１内部ユーザ管理部
３２二次記憶装置[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an authentication / authority control system, and more particularly, to an authentication / authority control system that controls operation authority on an information providing server by performing authentication for login from terminal devices widely distributed on the Internet. Things.
[0002]
[Prior art]
2. Description of the Related Art Conventionally, a user logs in to a desired information providing server from an arbitrary terminal device widely distributed on the Internet, obtains information resources stored in the information providing server, and modifies the information resources. In doing so, the user sends authentication information such as a user name and password from the terminal device to the information providing server, and the information providing server evaluates the user's access authority based on the authentication information. A predetermined access has been made to the information resources of the information providing server within the range permitted by the providing server.
[0003]
FIG. 6 shows a schematic configuration of a conventional authentication / authorization control system. As shown in the figure, the authentication / authorization control system includes a terminal device 101-1, 101-2,... 101-n which is widely distributed, and an information providing server 110 connected to these terminal devices via a general telephone line or the like. It is composed of
[0004]
The terminal device (user) 101 is a device for logging in to the information providing server 110, acquiring an information resource desired by the user, and requesting execution of a predetermined program on the information providing server 110. The information providing server 110 is not a single device but includes an information providing unit 111, an authority control unit 112, a user management unit 113, and a secondary storage device 114. The components need not necessarily be present in a single device, but may be configured as separate devices and interconnected by a predetermined data transmission device.
[0005]
First, the information providing unit 111 is a device that receives a login request or an information acquisition request from a user using an arbitrary terminal device 101. The authority control unit 112 is a device that checks the access authority permitted for each user in response to a login request from the user and enables access only to the permitted information resources. The user management unit 113 includes user management information, that is, information about each user, information for authentication (for example, a user name and a password), authority information (information describing which information resources and programs can be accessed), and the like. Is a device that registers and manages Further, the secondary storage device 114 is a storage device for storing information resources and programs provided by the information providing server to the user.
[0006]
Next, in the above-described authentication / authority control system, an operation from a user accessing the information providing server 110 from the terminal device 101 to obtaining target information will be described.
[0007]
(1) Server login
The user transmits information necessary for authentication represented by a user name and a password from his / her own terminal device 101 to the information providing server 110 to be accessed, and logs in.
[0008]
(2) Authentication request
Upon receiving the login from the user, the information providing unit 111 of the information providing server 110 sends the authentication information transmitted from the user to the authority control unit 112 and requests the authentication.
[0009]
(3) Execute authentication
The authority control unit 112 accesses the user management unit 113 based on the sent authentication information, obtains user management information necessary for authentication, and checks whether the logged-in user is an authorized user. , And returns the result to the information providing unit 111.
[0010]
(4) Certification completed
The information providing unit 111 receives the authentication result sent from the authority control unit 112, and returns the result to the user terminal device 110.
[0011]
(5) Information request
The user checks at the terminal device 110 whether or not the access has been permitted. If the access has been permitted, the user requests the information providing unit 111 for an information resource to be acquired.
[0012]
(6) Authorization request
The information providing unit 111 receives an information acquisition request from the user's terminal device 111 and transmits the content of the information request to the authority control unit 112.
[0013]
(7) Authorization verification execution
The authority control unit 112 receives the contents of the information request, accesses the user management unit 113 again, and verifies from the user management information stored therein whether the user who has requested the information has the authority to acquire the information resource. I do. If it is determined that the user has the necessary authority, the information resource requested by the user is acquired from the secondary storage device 114, and the information resource is provided to the information providing unit 111.
[0014]
(8) Information provision
The information providing unit 111 receives the information resource requested by the user from the authority control unit 112, transmits the information resource to the user terminal 110, and ends a series of processing.
[0015]
[Problems to be solved by the invention]
In the conventional authentication / authority control method configured as described above, the access authority of the user to the information providing server must be verified at least twice at the time of login and at the time of requesting information. The information providing server has a problem in that the processing capability of the authority control unit is saturated during peak hours, and the speed of providing information to the user is reduced.
[0016]
In addition, if an attempt is made to increase the speed of providing information to a large number of users, it is unavoidable to increase the capacity of a storage device, increase the speed of arithmetic devices such as an authority control unit, and multiplex devices, which leads to an increase in cost. was there.
[0017]
Furthermore, even if a super user who has access to the core of the information providing server attempts to access the information providing server, the same procedure must be followed as for a general user, resulting in poor efficiency, especially in emergency situations. This was a problem if maintenance was required.
[0018]
The present invention has been made in view of the above-mentioned problems of the conventional authentication / authorization control device, and even if the information providing server has a large number of users, the authentication / authorization information of the user can be efficiently transmitted. An object of the present invention is to provide a new and improved authentication / authority control system capable of efficiently providing a necessary information resource to each user by well managing.
[0019]
Further, another object of the present invention is to construct a system for providing information to a large number of users by using the user management information resources of the conventional system as it is and minimizing newly required facilities. It is to provide a new and improved authentication / authorization control system.
[0020]
Still another object of the present invention is to easily perform maintenance work and the like by flexibly responding to the level of access authority to the information providing server, for example, by providing an environment in which a super user can easily access than an ordinary user. And a new and improved authentication / authorization control system.
[0021]
[Means for Solving the Problems]
In order to solve the above-mentioned problems, according to the present invention, for example, authentication / authentication for controlling operation authority on an information providing server by performing authentication for access of an external user from a terminal widely distributed on the Internet. An authority control system is provided. According to the first aspect, the authentication / authorization control system includes an external user management unit that individually registers and manages external user information regarding an external user, and an internal user that is internally defined in advance according to access authority. Internal user information that registers and manages internal user information, an authority mapping unit that creates a mapping between external user information and internal user information, a storage device that stores information resources provided to external users, and an external user The external user is converted into the corresponding internal user in the authority mapping unit in response to the information acquisition request from the user and the information resource is obtained from the storage device according to the converted internal user access authority, and the information resource is provided to the external user. And an information providing unit to be provided.
[0022]
According to this configuration, since a large number of external users are converted into a small number of internal users for processing, even if a large number of external users access the system, the internal processing of the system can be made more efficient and the information provision speed can be increased. Can be improved. Also, once an external user is converted to an internal user, the information providing server performs processing in accordance with the access authority of the internal user. It appears as if the processing is being performed, and an information providing service system having an excellent user interface can be provided. Furthermore, since access from a general user and access from a super user can be managed separately, efficiency can be improved at the time of system maintenance or the like.
[0023]
In the above authentication / authority control system, 、 In If a group user is created step by step according to the access authority to the information resource, a large number of external users can be efficiently converted to a small number of internal users.
[0024]
In the above authentication / authority control system , Outside A new internal user is dynamically created in response to the information acquisition request of the internal user, a mapping between the external user and the new internal user is created in the authority mapping, and the new internal user is created by the information providing unit. An information resource may be acquired from a storage device according to the access authority of the user, and the information resource may be provided to an external user.
[0025]
Alternatively, in the above authentication / authority control system, ,new By registering and managing the internal user to which the external user is to be converted when registering the external user information on the external user, the system is configured such that when the external user accesses, the internal user is automatically converted to the pre-registered internal user. May be.
[0026]
Furthermore, in the above authentication / authorization control system, , Outside When an external user logs in, an external user authentication unit that performs primary authentication of the external user login by referring to the external user information managed by the external user management unit is further provided. The primary authentication can be processed at high speed, the load on the internal system can be reduced, and a higher-speed information providing service system can be constructed.
[0027]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, preferred embodiments of an authentication / authorization control system according to the present invention will be described in detail with reference to the accompanying drawings.
[0028]
(1st Embodiment)
First, a schematic configuration of an authentication / authorization control system according to a first embodiment of the present invention will be described with reference to FIG. 1. This authentication / authorization control system is, for example, a terminal device 10 that is widely distributed on the Internet. -1, 10-2,..., 10-n, and an information providing server 15 connected to these terminals via a general telephone line or the like.
[0029]
The terminal device 10 logs in to the information providing server 15 such as a personal computer or a mobile terminal with a communication function and obtains information desired by the user or requests execution of a predetermined program on the information providing server 15. It is a device for performing. According to the present embodiment, the information providing server 15 includes the external information providing server 20 and the internal information providing server 30.
[0030]
First, the external information providing server 20 is a server accessed from the terminals 10 which are widely distributed, and is open to the outside. Specifically, the external information providing server 20 includes an information providing unit 21, an external user authentication unit 22, an external user management unit 23, and an authority mapping unit 24. The components need not necessarily be present in a single device, but may be configured as separate devices and interconnected by a predetermined data transmission device.
[0031]
The information providing unit 21 is a device that receives a login request and an information acquisition request sent from an external user using an arbitrary terminal device 10 existing on the Internet. The external user management unit 23 is a device that registers and manages information about external users, and includes therein external user management information, that is, personal information about each external user, information for primary authentication at the time of login (for example, a user name, Passwords, etc., and authority information (information describing which information and programs can be accessed) are stored and managed. In response to a login request from an external user, the external user authentication unit 22 refers to the external user information managed by the external user management unit 23 for each external user, and determines whether the logged-in external user is a regular user. This is a device that performs primary authentication. Further, the authority mapping unit 24 is a device that creates a mapping between external user information registered and managed by the external user management unit 23 and internal user information registered and managed by an internal user management unit 31 described below.
[0032]
Next, the internal information providing server 30 is an information providing server managed by a unique system in an existing in-house information system, and is constructed from a system capable of full-scale user management and access right management. . Specifically, the internal information providing server 30 includes an internal user management unit 31 that registers and manages internal user information regarding an internal user that is internally defined in advance according to the step-by-step access authority, and a regular external login It mainly comprises a secondary storage device 32 which is provided to the user in accordance with the access authority and comprises a large-capacity storage device such as a hard disk storing information resources such as various contents and programs.
[0033]
The authentication / authorization control system according to the first embodiment of the present invention is configured as described above. Next, the operation of the authentication / authorization control system will be described with reference to FIG. 2, but before that, the basic concept of the present invention will be described to facilitate understanding of the present invention.
[0034]
Recently, various information providing services exist on the Internet, and each user (terminal device) accesses a desired information providing server and acquires information resources according to the access authority. In addition, upon receiving the user's login, the information providing server authenticates the user's login, checks the access right, and provides the user with information according to the permitted access right. Moreover, since such authentication / authorization processing needs to be performed individually for each user (terminal device), if there are a large number of users (terminal devices), the information providing server performs the authentication / authorization processing in real time. There was a serious problem that the service could not be processed and the quality of service deteriorated.
[0035]
However, according to the knowledge of the inventor, even if a large number of users (terminal devices) exist, it is rare that authority control differs for each user (terminal device). It is sufficient to perform the same authority control on (device). Even if different authority control can be performed for each user, in reality, the same authority control is performed for the majority of general users (terminal devices) in terms of management cost.
[0036]
The present invention has been made in view of the above-mentioned characteristics of the information providing service using the Internet, and by converting a large number of external users into the minimum necessary number of internal users in the authority mapping unit 24, The gist of the invention is to improve the efficiency of authentication / authorization processing by creating a pseudo-access environment in which a small number of internal users access the internal information providing server 30 even when a large number of external users exist. The mapping rule for converting an external user to an internal user can be set arbitrarily, for example, at the access right stage (for example, the external user is provided with the content released to the outside. It is possible to create a number of internal users according to the number of users in various stages, such as a general user who only uses it and a super user who is allowed to change the internal system program.
[0037]
With the above-described basic concept of the present invention in mind, the operation of the authentication / authorization control system will be described with reference to FIG. First, the external user transmits the necessary information resource name (r01), the user name (u01) of the external user, and the password (p01) to the information providing unit 21 by using the terminal device 10 on the Internet to provide the information. The user logs in to the external information providing server 20 of the server 15 (step S101).
[0038]
In response to the login of the external user, the information providing unit 21 of the external information providing server 20 transfers the user name (u01) and password (p01) of the logged-in external user to the external user authentication unit 22, and performs user authentication. It is entrusted (step S102).
[0039]
The external user authentication unit 22 refers to the external user information managed by the external user management unit 23, and authenticates whether the logged-in external user is an authorized user (Step S103). If the authentication is negative, the external user authentication unit 22 returns an NG signal to the information providing unit 21 and denies access of the logged-in external user (step S104). On the other hand, when the authentication is affirmative, the external user authentication unit 22 returns an OK signal to the information providing unit 21.
[0040]
The information providing unit 21 receives the OK signal, and entrusts the authority mapping unit 24 to convert the authenticated external user into an internal user. The authority mapping unit 24 converts the internal user corresponding to the authenticated external user into an internal user based on the user correspondence table as shown in FIG. 3, and provides the internal user name (u02) and the internal user password (p02) as information. It returns to the part 21 (step S105). In this embodiment, at the time of registration of an external user, as shown in FIG. 3, information on the internal user at the conversion destination according to the access authority of the external user, that is, the internal user name (u02) and the internal user The password (p02) is also assumed to be registered in association with the external user name (u01).
[0041]
The information providing unit 21 logs in again to the internal user management unit 31 of the internal information providing server 30 using the internal user name (u02) and the internal user password (p02) of the internal user converted from the external user. Such re-login processing is usually hidden from external users. Of course, if necessary (for example, when the external user is a super user), it may be configured to be transparent to the external user.
[0042]
Upon receiving the login by the internal user, the internal user management unit 31 determines whether the internal user name (u02) and the internal user password (p02) of the internal user can log in to the internal information server 30 ( Step S106). If the login is not permitted, the NG signal is returned to the information providing unit 21 to deny the access of the logged-in external user (step S107). On the other hand, if the login is permitted, the internal user management unit 31 returns an OK signal to the information providing unit 21.
[0043]
Upon receiving the OK signal, the information providing unit 21 sends the information resource name (r01) requested by the external user (however, currently converted to an internal user) to the internal user management unit 31, Send to The internal user management unit 31 determines whether or not the logged-in internal user has an access right to the information resource (r01) (step S108). If the internal user does not have the access right to the information resource (r01), the information is returned to the information providing unit 21, the user is logged off from the internal information server 30, and access from the external user is denied (step S109). On the other hand, if the internal user has the access right to the information resource (r01), the internal user obtains the information resource (r01) from the information resource (r01) and sends it to the information providing unit 21. Log off from 30 (step S110).
[0044]
If the requested information resource can be obtained as a result of the above authentication / authorization processing, the information providing unit 21 returns the information resource to the external user who has logged in, and terminates the series of processing. (Step S111).
[0045]
As described above, in the authentication / authorization control system according to the first embodiment of the present invention, each time an external user logs in, an internal user is dynamically created in the external information providing server 20 and the internal user is created. Since the required information resources can be acquired from the internal information providing server 30 according to the access authority granted to the user, a large number of external users are converted into a small number of internal users, and the efficiency according to the access authority stage is improved. This makes it possible to access information resources and to construct a high-speed information provision service system.
[0046]
Also, once an external user is converted to an internal user, only processing in accordance with the access authority of the internal user is performed in the internal information providing server. It appears that all processing is being performed, and an information providing service system with an excellent user interface can be constructed.
[0047]
(Second embodiment)
Next, an authentication / authorization control system according to a second embodiment of the present invention will be described in detail with reference to FIG. The basic configuration of the authentication / authorization control system according to the second embodiment is substantially the same as the configuration of the authentication / authorization control system according to the first embodiment described with reference to FIG. , Substantially the same functional components are denoted by the same reference numerals, and redundant description is omitted.
[0048]
A feature of the second embodiment is that, unlike the first embodiment in which the registration of an internal user corresponding to the external user is also performed at the time of registration of the external user, the external user logs in. The point is that a new internal user is dynamically created each time it comes.
[0049]
Hereinafter, the operation of the authentication / authorization control system according to the second embodiment will be described with reference to FIG. First, the external user transmits the necessary information resource name (r01), the user name (u01) of the external user, and the password (p01) to the information providing unit 21 by using the terminal device 10 on the Internet to provide the information. The user logs in to the external information providing server 20 of the server 15 (step S201).
[0050]
In response to the login of the external user, the information providing unit 21 of the external information providing server 20 transfers the user name (u01) and password (p01) of the logged-in external user to the external user authentication unit 22, and performs user authentication. It is entrusted (step S202).
[0051]
The external user authentication unit 22 refers to the external user information managed by the external user management unit 23 and authenticates whether the logged-in external user is an authorized user (Step S203). If the authentication is negative, the external user authentication unit 22 returns an NG signal to the information providing unit 21 to deny access of the logged-in external user (step S204). On the other hand, when the authentication is affirmative, the external user authentication unit 22 returns an OK signal to the information providing unit 21.
[0052]
The information providing unit 21 receives the OK signal, and entrusts the authority mapping unit 24 to convert the authenticated external user into an internal user. The authority mapping unit 24 converts an authenticated external user name (u01) into an internal user name (u02) and an internal user password corresponding to the external user name (u01) based on a user correspondence table as shown in FIG. (P02) is obtained (step S205). Further, the authority mapping unit 24 dynamically creates a new internal user for re-logining to the internal information providing server 30, and has an internal user name (u02), an internal user password (p02), and an internal user access right ( a02) is returned to the information providing unit 21 (step S206). In this embodiment, an internal user is dynamically created each time an external user logs on. Therefore, unlike the previous embodiment, there is no need to register and manage the internal users corresponding to each external user in the external information management unit 23, so that the data processing in the external information management unit 23 is further speeded up. be able to.
[0053]
Here, if the creation of a new internal user has failed in step S206, the fact is returned to the information providing unit 21 and the access of the external user is denied (step S207). On the other hand, if the creation of the new internal user is successful in step S206, the information providing unit 21 sends the newly created internal user to the internal user management unit 31 of the internal information providing server 30. The user logs in again with the name (u02) (step S208). This re-login process may be configured to be hidden from an external user, as in the previous embodiment, or may be configured to be transparent to an external user.
[0054]
Upon receiving the login by the newly created internal user, the internal user management unit 31 determines whether the access right (a02) of the internal user is a user who can log in to the internal information server 30 (step S208). . If the login is not permitted, the NG signal is returned to the information providing unit 21 to reject the access of the external user who has logged in and erase the internal user name (u02) (step S2). S209). On the other hand, if the login is permitted, the internal user management unit 31 returns an OK signal to the information providing unit 21.
[0055]
Upon receiving the OK signal, the information providing unit 21 manages the information resource name (r01) requested by the external user (however, it is currently converted to a new internal user) by the internal user management unit 31 for internal user management. Send to section 31. The internal user management unit 31 determines whether or not the logged-in internal user has an access right to the information resource (r01) (step S210). If the internal user does not have the right to access the information resource (r01), the fact is returned to the information providing unit 21 and the internal user is logged off and the internal user name (u02) is deleted. At the same time, the access from the external user is rejected (step S211). On the other hand, if the internal user has the access right to the information resource (r01), the internal user obtains the information resource (r01) from the information resource (r01) and sends it to the information providing unit 21. Log off from 30 and delete the unnecessary internal user name (u02) (step S212).
[0056]
If the requested information resource can be obtained as a result of the above authentication / authorization processing, the information providing unit 21 returns the information resource to the external user who has logged in, and terminates the series of processing. (Step S213).
[0057]
As described above, in the authentication / authorization control system according to the second embodiment of the present invention, it is possible to achieve the same effects as those of the authentication / authorization control system according to the first embodiment. Since the internal user is dynamically created each time an external user logs in and the unnecessary internal user is deleted, the amount of registered data in the external user management unit 23 can be greatly reduced, and the processing speed can be reduced. Can be achieved.
[0058]
Although the preferred embodiment of the authentication / authorization control system according to the present invention has been described with reference to the accompanying drawings, the present invention is not limited to such an example. It is obvious that those skilled in the art can conceive various changes or modifications within the scope of the technical idea described in the claims, and it is obvious that the technical scope of the present invention can be conceived. It is understood that it belongs to.
[0059]
【The invention's effect】
According to the present invention, since a large number of external users are converted into a small number of internal users for processing, a pseudo environment in which a small number of internal users log in internally even when a large number of external users access the system. Since the authentication / authorization control is performed by the, the efficiency of the internal processing can be improved, and the information providing speed can be improved.
[0060]
Also, once an external user is converted to an internal user, the information providing server performs processing in accordance with the access authority of the internal user. It appears that the processing is being performed, and the external user can use the information providing service system without feeling stress.
[0061]
Furthermore, according to the present invention, it is possible to separately manage access from a general user and access from a super user, so that efficiency can be improved during system maintenance.
[Brief description of the drawings]
FIG. 1 is a block diagram showing a schematic configuration of an authentication / authorization control system according to the present invention.
FIG. 2 is a flowchart illustrating a schematic operation of the authentication / authorization control system according to the first embodiment of the present invention.
FIG. 3 is an explanatory diagram showing a mapping relationship between an external user and an internal user referred to in the authentication / authority control system according to the first embodiment of the present invention.
FIG. 4 is a flowchart illustrating a schematic operation of an authentication / authorization control system according to a second embodiment of the present invention.
FIG. 5 is an explanatory diagram showing a mapping relationship between an external user and an internal user referred to in the authentication / authority control system according to the second embodiment of the present invention.
FIG. 6 is a block diagram showing a schematic configuration of a conventional authentication / authorization control system.
[Explanation of symbols]
10 Terminal device (external user)
15 Information server
20 external information providing server
21 Information Provision Department
22 External User Authentication Department
23 External User Management Department
24 Authority Mapping Department
30 Internal information server
31 Internal User Management Department
32 Secondary storage device

Claims

An authentication / authorization control system for controlling operation authority on an information providing server by authenticating an external user access from a widely distributed terminal, comprising:
An external user management unit for individually registering and managing external user information regarding external users;
An internal user management unit that registers and manages internal user information regarding an internal user defined internally according to access authority;
An authority mapping unit that creates a mapping between the external user information and the internal user information;
A storage device for storing information resources provided to external users;
In response to an information acquisition request from an external user, the authority mapping unit converts the external user into a corresponding internal user, and acquires information resources from the storage device according to the converted internal user's access authority. An information providing unit for providing the information resource to the external user;
Equipped with a,
A new internal user is dynamically created in response to an external user's information acquisition request, the authority mapping creates a mapping between the external user and the new internal user, and the information providing unit includes the new internal user. An authentication / authorization control system, wherein information is acquired from the storage device in accordance with the access authority and the information is provided to the external user .

The authentication / authorization control system according to claim 1, wherein the internal user is created in stages according to an access authority to the information resource.

2. The system according to claim 1 , further comprising an external user authentication unit for performing primary authentication of the external user login by referring to the external user information managed by the external user management unit when the external user logs in. Or the authentication / authorization control system according to 2.