JP4377120B2

JP4377120B2 - リモートアクセス認証に基づくサービス提供システム

Info

Publication number: JP4377120B2
Application number: JP2002299747A
Authority: JP
Inventors: 和彦長田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2002-10-15
Filing date: 2002-10-15
Publication date: 2009-12-02
Anticipated expiration: 2022-10-15
Also published as: JP2004133824A

Description

【０００１】
【発明の属する技術分野】
この発明は、インタネットに接続する際に必須となるインタネット接続用の認証を行えば、ユーザは各種サービスサーバへの接続に対し、認証を省略可能とするシングルサインオンサービス、システムに関する。
【０００２】
【従来の技術】
従来技術に基づくサービス提供システムを図２に示す。ゲートウェイ７は、サーバ収容ネットワーク８とインタネット１の接続点に置かれ、ユーザ端末２がサーバ収容ネットワーク８に接続するためのリモートアクセス認証５１の処理を行う。ゲートウェイ７は、認証が成功すれば、以後、ユーザ端末２から送出されるパケットをサーバ収容ネットワーク８に転送し、また、サーバ収容ネットワーク８につながるサービスサーバ４、５および６からユーザ端末２に送られるパケットをインタネット１に転送する。サーバ収容ネットワーク８に収容されるサービスサーバ４、５および６は、さまざまなサービス情報を蓄積しており、ユーザはユーザ端末２を通じて、各サービスサーバから欲しいサービス情報を取得する。ユーザ端末２がサービスサーバからサービス情報を取得するには、まずゲートウェイ７に対しリモートアクセス認証を行い、サーバ収容ネットワーク８へのアクセス権限を得た上で、次にユーザは認証確認サーバ１０３にて認証を行い、認証が成功したことを踏まえ、該サービス情報を取得可能となる。このときユーザは本来ならば、サービスサーバ４、５および６毎に認証を行う必要があるが、近年、シングルサインオンという技術により、認証確認サーバ１０３に一度認証を行えば、サービスサーバ４、５および６毎の認証を省略することが可能となった。これによりユーザは、サービスサーバ毎の複数の認証パスワードを記憶する必要がなくなるとともに、サービス情報の取得の度に必要であったパスワード入力が１度で済むようになった。
【０００３】
以下に、従来のシングルサインオン技術の動作概要を説明する。ユーザ端末２は、まず初めにゲートウェイ７に対しリモートアクセス認証５１を行う。ゲートウェイ７は、認証が成功すれば、以後、ユーザ端末２から送出されるパケットをサーバ収容ネットワーク８に転送し、また、サーバ収容ネットワーク８につながるサービスサーバからユーザ端末２に送られるパケットをインタネット１に転送する。
【０００４】
ユーザ端末２は例えばサービスサーバ４に対しサービス情報を享受したい場合、その前にまず認証確認サーバ１０３に対し認証１５３を行う。認証とは例えばユーザのアカウント名およびパスワードの照合が上げられ、認証確認サーバ１０３は、ユーザ端末２からアカウント名およびパスワードとを受信すると、登録されているアカウント名およびパスワードとの比較を行う。認証が成功した場合、認証確認サーバ１０３は認証応答１５４をユーザ端末２に返送する。この後、ユーザ端末２はサービスサーバ４にサービス要求１５５を送る。サービスサーバ４はサービス要求１５５を受信すると、認証確認サーバ１０３に対し認証確認１５６を送信する。認証確認１５６の意味は、認証確認サーバ１０３は該ユーザが認証済みか否かを一元管理しており、各サービスサーバは認証確認サーバ１０３に行うことにより、認証済みか否かを知ることができるためである。認証確認１５６を受信すると、認証確認サーバ１０３は、ユーザ端末２は既に認証済みであるため、認証済みの通知１５７をサービスサーバ４に返送する。サービスサーバ４は認証済みであることの確認がとれると、要求されたサービス情報をユーザ端末２に対し送付する。さらにこの後、ユーザ端末２がサービスサーバ５に対しサービス情報を享受したい場合も、前述のようにユーザ端末２とサービスサーバ５との間でサービス要求１５５とサービス情報１５８のやりとりが、認証確認サーバ１０３とサービスサーバ５との間で認証確認１５６と認証済みの通知１５７のやりとりが行われる。
【０００５】
なお、ユーザ端末２が認証確認サーバ１０３に対して認証１５３を行わずに、サービスサーバ４に対しサービス要求１５５を送出した場合は、認証確認サーバ１０３は認証確認１５６の応答として、認証未処理の通知１５７をサービスサーバ４に返送する。この結果、サービスサーバ４はユーザ端末２に対してサービス情報の送付は実施しない。
【０００６】
従来のシングルサインオン技術に関する記載がある文献としては例えば非特許文献１がある。
【０００７】
【非特許文献１】
Liberty Alliance Project, "Liberty Bindings and Profiles Specification, Version 1.0", 11 July 2002、［平成１４年１０月３日検索］、インターネット＜http://www.projectliberty.org/specs/liberty-architecture-bindings-and-profiles-v1.0.pdf＞
【０００８】
【発明が解決しようとする課題】
リモートアクセス認証５１後の、認証１５３からサービス情報１５８までの動作シーケンスは全て、従来の技術では例えばＨＴＴＰを用い行われる。ＨＴＴＰはＩＰ（Internet Protocol）やＴＣＰ（Transmission Control Protocol）の上位レイヤに位置する。すなわち、上記認証もＩＰより上位レイヤで行う処理であり、ＩＰＳｅｃ等のトンネリングプロトコルを用い、サーバ収容ネットワークへのリモートアクセスを行う際に必要となるリモートアクセス認証とは区別される。これによってユーザ端末２は、リモートアクセス認証と従来のシングルサインオンの認証の２種類の認証を行う必要がある。
【０００９】
【課題を解決するための手段】
本出願は、前記２種類の認証を１つの認証に統一する、すなわち、サーバ収容ネットワーク接続時のリモートアクセス認証によりシングルサインオンを実現することを目的とするものである。本解決手段を図１を用い、以下に説明する。
【００１０】
ゲートウェイ７は、サーバ収容ネットワーク８とインタネット１の接続点に置かれ、ユーザ端末２がサーバ収容ネットワーク８に接続するためのリモートアクセス認証５１の処理を行う。ゲートウェイ７は、認証が成功すれば、以後、ユーザ端末２から送出されるパケットをサーバ収容ネットワーク８に転送し、また、サーバ収容ネットワーク８につながるサービスサーバからユーザ端末２に送られるパケットをインタネット１に転送する。
【００１１】
ユーザ端末２からリモートアクセス認証５１を受け、認証が成功であることを確認すると、ゲートウェイ７は、リモートアクセス認証５１における認証結果であるリモートアクセス認証結果５２を、認証確認サーバ３に転送する。リモートアクセス認証結果５２が成功である場合、認証確認サーバ３は、ユーザ端末２を通じて認証を行ったユーザが認証済みであることを一元管理する。
【００１２】
この後、ユーザ端末２は例えばサービスサーバ４に対しサービス情報を享受したい場合に、サービスサーバ４にサービス要求５５を送る。サービスサーバ４はサービス要求５５を受信すると、認証確認サーバ３に対し認証確認５６を送信する。認証確認５６を受信すると、認証確認サーバ３は、ユーザ端末２は既に認証済みであるため、認証済みの通知５７をサービスサーバ４に返送する。サービスサーバ４は認証済みであることの確認がとれると、要求されたサービス情報をユーザ端末２に対し送付する。
【００１３】
さらにこの後、ユーザ端末２がサービスサーバ５に対しサービス情報を享受したい場合も、前述のようにユーザ端末２とサービスサーバ５との間でサービス要求５５とサービス情報５８のやりとりが、認証確認サーバ３とサービスサーバ５との間で認証確認５６と認証済みの通知５７のやりとりが行われる。
【００１４】
すなわち本手段は、サービスサーバにとって従来技術と全く同じ動作を維持しつつ、リモートアクセス認証５１の１回の認証のみでシングルサインオンを実現する。
【００１５】
【発明の実施の形態】
本発明の実施形態に基づくサービス提供システムを図１に示す。
【００１６】
ゲートウェイ７は、サーバ収容ネットワーク８とインタネット１の接続点に置かれ、ユーザ端末２がサーバ収容ネットワーク８に接続するためのリモートアクセス認証５１の処理を行う。ゲートウェイ７は、認証が成功すれば、以後、ユーザ端末２から送出されるパケットをサーバ収容ネットワーク８に転送し、また、サーバ収容ネットワーク８につながるサービスサーバからユーザ端末２に送られるパケットをインタネット１に転送する。
【００１７】
ユーザ端末２からリモートアクセス認証５１を受け、認証が成功であることを確認すると、ゲートウェイ７は、リモートアクセス認証５１における認証結果であるリモートアクセス認証結果５２を、認証確認サーバ３に転送する。リモートアクセス認証結果５２が成功である場合、認証確認サーバ３は、ユーザ端末２を通じて認証を行ったユーザが認証済みであることを一元管理する。
【００１８】
ここで、リモートアクセス認証結果５２は、認証成功の場合にのみゲートウェイ７から認証確認サーバ３に転送され、これによって認証確認サーバ３は、ユーザ端末２を通じて認証を行ったユーザが認証済みであることを一元管理する方法を用いてもよい。
【００１９】
この後、ユーザ端末２は例えばサービスサーバ４に対しサービス情報を享受したい場合に、サービスサーバ４にサービス要求５５を送る。サービスサーバ４はサービス要求５５を受信すると、認証確認サーバ３に対し認証確認５６を送信する。認証確認５６を受信すると、認証確認サーバ３は、ユーザ端末２は既に認証済みであるため、認証済みの通知５７をサービスサーバ４に返送する。サービスサーバ４は認証済みであることの確認がとれると、要求されたサービス情報をユーザ端末２に対し送付する。
【００２０】
さらにこの後、ユーザ端末２がサービスサーバ５に対しサービス情報を享受したい場合も、前述のようにユーザ端末２とサービスサーバ５との間でサービス要求５５とサービス情報５８のやりとりが、認証確認サーバ１０３とサービスサーバ５との間で認証確認５６と認証済みの通知５７のやりとりが行われる。
【００２１】
ここでユーザ端末２が元々サービスサーバ６との接続が許可されていない場合に、ユーザ端末２がサービスサーバ６からサービス要求を行ったときの動作について言及する。認証確認サーバ３は、ユーザ端末２が接続してよいサービスサーバとしてサービスサーバ４および５を管理している。ユーザ端末２からのサービス要求に伴い、サービスサーバ６から送られる認証確認を認証確認サーバ３が受信すると、ユーザ端末２はサービスサーバ６への接続が許可されていないため、認証確認サーバ３はサービスサーバ６に認証未処理であることを通知する。これによって契約外のユーザ端末２がサービスサーバ６からサービス情報を不当に取得することを防ぐことができる。
【００２２】
次に、ユーザ端末２が取得した各サービス情報が有料であり、この課金管理を認証確認サーバ３が行う場合の処理について図３を用い説明する。前述のサービスサーバ４からユーザ端末２にサービス情報５８が送付された後、サービスサーバ４は認証確認サーバ３に対し、サービス情報取得の履歴情報６１を送信する。これを受けると認証確認サーバ３は、図４に示す内部の履歴情報管理部１２にてユーザ端末２を利用するユーザがサービス情報５８を取得したことを管理する。さらに課金情報管理部１３にて、該ユーザがサービス情報取得したことにより課せられる料金情報を管理する。また、認証確認サーバ３は、サービス情報取得の履歴情報６１を受け取ったことを通知するために、履歴情報受信通知６２をサービスサーバ４に返送する。
【００２３】
なお、認証確認サーバ３は、前記料金情報に基づき、サービスサーバあるいはサービス情報を保有するサービス事業者の代わりに、該ユーザに対し料金徴収を行う課金代行サーバを備えてもよい。
【００２４】
また、認証確認サーバ３とゲートウェイ７は一体化した場合や、認証確認サーバ３とサービスサーバ４ないし６のうちいずれか１つと一体化した場合も、本実施形態を逸脱しないことを追記する。
【００２５】
また、本実施形態は、ユーザ端末２とゲートウェイ７間の通信がＩＰＳｅｃであり、リモートアクセス認証５１がＩＰＳｅｃ通信確立時に行われる認証とし、サービス要求５５、認証確認５６、認証済みあるいは認証未処理の通知５７、サービス情報５８、サービス情報取得の履歴情報６１および履歴情報受信通知６２をＨＴＴＰにより転送する場合にも適用することができ、現在実用化されている技術にも応用することが可能である。
【００２６】
また、前述の動作シーケンスに追加し、図５に示すように、従来技術ではユーザ端末２と認証確認サーバ３との間で確認５３および確認応答５４がやりとりされる場合もある。この場合においてもリモートアクセス認証５２の位置づけ、動作概要は前述と同様であり、確認５３および確認応答５４の有無に関わらず、本発明が適用できる。
【００２７】
また、以上の説明では、リモートアクセス認証５１は、ユーザ端末２を利用しているユーザを特定するための認証として説明したが、ユーザ端末２自身を特定するための認証としても、動作概要は基本的に変わらないことを追記する。
【００２８】
さらに本発明は、
（１）認証確認サーバを所有するサービス事業者と、サービスサーバを所有するサービス事業者とが異なる形態、また、
（２）ゲートウェイを所有するサービス事業者と、サービスサーバを所有するサービス事業者とが異なる形態、また、
（３）認証確認サーバおよびゲートウェイを所有するサービス事業者と、サービスサーバを所有するサービス事業者とが異なる形態、また、
（４）認証確認サーバ、サーバ収容ネットワーク、およびゲートウェイを所有するサービス事業者と、サービスサーバを所有するサービス事業者とが異なる形態、また、
（５）認証確認サーバを所有するサービス事業者と、ゲートウェイを所有するサービス事業者とが異なる形態、
などにも適用されうることは言うまでもない。
【００２９】
以上、本発明者によってなされた発明を、前記実施の形態に基づき具体的に説明したが、本発明は、前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【００３０】
【発明の効果】
本発明のサービス提供システムは、リモートアクセス認証５１の１回の認証のみでシングルサインオンを実現する。また、本発明のサービスサーバと認証確認サーバ間のシーケンスおよびサービスサーバとユーザ端末間のシーケンスは従来技術と同様であるため、従来技術から本発明技術に移行する場合に、サービスサーバの変更が伴わない利点がある。
【図面の簡単な説明】
【図１】本発明の実施形態のサービス提供システムを示す図である。
【図２】従来技術に基づくサービス提供システムを示す図である。
【図３】本発明の実施形態の課金管理処理を示す図である。
【図４】本発明の実施形態の認証確認サーバの内部構造を示す図である。
【図５】本発明の実施形態のユーザ端末と認証確認サーバとの間で通信が行われる場合のサービス提供システムを示す図である。
【符号の説明】
１…インタネット、２…ユーザ端末、３、１０３…認証確認サーバ、４〜６…サービスサーバ、７…ゲートウェイ、８…サーバ収容ネットワーク、１１…認証状況管理部、１２…履歴情報管理部、１３…課金情報管理部、５１…リモートアクセス認証、５２…リモートアクセス認証結果、５３…確認、５４…確認応答、５５…サービス要求、５６、１５６…認証確認、５７、１５７…認証済みあるいは認証未処理の通知、５８、１５８…サービス情報、６１…サービス情報取得の履歴情報、６２…履歴情報受信通知。

Claims

ユーザ端末がサーバ収容ネットワークに接続するためのリモートアクセス認証を行う手段と、
該ユーザ端末のリモートアクセス認証が成功した場合に該ユーザ端末から送出されるパケットをサーバ収容ネットワークに転送することを許可する手段と、
を具備するゲートウェイと、
前記ユーザ端末からのサービス要求パケットを受信し、その応答として前記ユーザ端末にサービス情報を載せたサービス情報パケットを返送する手段を具備する１つまたは複数のサービスサーバと、
前記ゲートウェイから前記リモートアクセス認証結果を受信する手段と、
前記サービスサーバから、該ユーザ端末が既にリモートアクセス認証済みであるかを確認する認証確認を受信し、その応答として、前記リモートアクセス認証結果が成功の場合は、該サービスサーバに認証済みであることを通知し、前記リモートアクセス認証結果が不成功の場合は、該サービスサーバに認証未処理であることを通知する手段と、
を具備する認証確認サーバと、
を備え、
前記サービスサーバからの前記ユーザ端末が既に認証済みであるかを確認する認証確認、およびその応答はＨＴＴＰ（Hypertext Transfer Protocol）であることを特徴とするサービス提供システム。
前記リモートアクセス認証結果は、認証成功の場合にのみ前記ゲートウェイから転送され、前記認証確認サーバがこれを受信することを特徴とする請求項１記載のサービス提供システム。
前記認証確認サーバは、
各ユーザまたは各ユーザ端末が接続してよいサービスサーバ、または各ユーザまたは各ユーザ端末が取得してよいサービス情報を管理し、
前記サービスサーバから該ユーザ端末が既に認証済みであるかを確認する認証確認を受信し、前記リモートアクセス認証結果が成功の場合において、該ユーザ端末が該サービスサーバに接続してよいまたはサービス情報を取得してよい場合には、前記サービスサーバに認証済みであることを通知し、該ユーザ端末が該サービスサーバヘの接続が許可されていないまたはサービス情報の取得が許可されていない場合には、前記サービスサーバに認証未処理であることを通知する手段を具備することを特徴とする請求項１または２記載のサービス提供システム。
前記サービスサーバは、前記認証確認サーバより認証済みであることを通知された場合、前記ユーザ端末に対しサービス情報パケットを返送し、前記認証確認サーバより認証未処理であることを通知された場合、前記ユーザ端末に対しサービス情報パケットの転送を拒否することを特徴とする請求項１、２または３記載のサービス提供システム。
前記ユーザ端末がサーバ収容ネットワークに接続するためのリモートアクセス認証は、前記ユーザ端末を利用するユーザを特定するための認証であることを特徴とする請求項１、２、３または４記載のサービス提供システム。
前記ユーザ端末がサーバ収容ネットワークに接続するためのリモートアクセス認証は、前記ユーザ端末を特定するための認証であることを特徴とする請求項１、２、３または４記載のサービス提供システム。
前記サービスサーバは前記サービス情報パケットを前記ユーザ端末に返送したときに、該サービス情報を該ユーザ端末に転送したことを前記認証確認サーバに通知する手段を具備し、
前記認証確認サーバは、前記サービスサーバより受信する該サービス情報を該ユーザ端末に転送したことの通知に基づき、該ユーザまたは該ユーザ端末のサービス情報取得履歴を管理する手段を具備することを特徴とする請求項１ないし６のいずれか１項記載のサービス提供システム。
前記認証確認サーバは、前記該ユーザまたは該ユーザ端末のサービス情報取得履歴を管理する手段に基づき、該ユーザまたは該ユーザ端末がサービス情報取得したことにより課せられる料金情報を管理する手段を具備することを特徴とする請求項７記載のサービス提供システム。
前記認証確認サーバが管理する前記料金情報に基づき、サービスサーバまたはサービス情報を保有するサービス事業者の代わりに、該ユーザまたは該ユーザ端末所有者に対し料金徴収を行う課金代行サーバを備える請求項８記載のサービス提供システム。
ユーザ端末がサーバ収容ネットワークに接続するためのリモートアクセス認証を行う手段と、
該ユーザ端末のリモートアクセス認証が成功した場合に該ユーザ端末から送出されるパケットをサーバ収容ネットワークに転送することを許可する手段と、
を具備するゲートウェイと、
前記ゲートウェイから前記リモートアクセス認証結果を受信する手段と、
前記ユーザ端末からのサービス要求パケットを受信しその応答として該ユーザ端末にサービス情報を載せたサービス情報パケットを返送する手段を具備する１つまたは複数のサービスサーバから、該ユーザ端末が既にリモートアクセス認証済みであるかを確認する認証確認を受信し、その応答として、前記リモートアクセス認証結果が成功の場合は、該サービスサーバに認証済みであることを通知し、前記リモートアクセス認証結果が不成功の場合は、該サービスサーバに認証未処理であることを通知する手段を具備する認証確認サーバと、
を備え、
前記サービスサーバからの前記ユーザ端末が既に認証済みであるかを確認する認証確認、およびその応答はＨＴＴＰ（Hypertext Transfer Protocol）であることを特徴とするゲートウェイおよび認証確認サーバからなるシステム。
サーバ収容ネットワークと、
ユーザ端末がサーバ収容ネットワークに接続するためのリモートアクセス認証を行う手段と、
該ユーザ端末のリモートアクセス認証が成功した場合に該ユーザ端末から送出されるパケットを前記サーバ収容ネットワークに転送することを許可する手段と、
を具備するゲートウェイと、
前記ゲートウェイから前記リモートアクセス認証結果を受信する手段と、
前記ユーザ端末からのサービス要求パケットを受信しその応答として該ユーザ端末にサービス情報を載せたサービス情報パケットを返送する手段を具備する１つまたは複数のサービスサーバから、該ユーザ端末が既にリモートアクセス認証済みであるかを確認する認証確認を受信し、その応答として、前記リモートアクセス認証結果が成功の場合は、該サービスサーバに認証済みであることを通知し、前記リモートアクセス認証結果が不成功の場合は、該サービスサーバに認証未処理であることを通知する手段を具備する認証確認サーバと、
を備え、
前記サービスサーバからの前記ユーザ端末が既に認証済みであるかを確認する認証確認、およびその応答はＨＴＴＰ（Hypertext Transfer Protocol）であることを特徴とするサーバ収容ネットワーク、ゲートウェイ、および認証確認サーバからなるシステム。