JP4777758B2 - 認証システム - Google Patents

Description

本発明は、管理サーバ上にユーザが利用可能な資源に対する権限を設定し、又は利用可能な資源を制限するセキュリティシステムやグループウェアにおいて、権限設定にユーザ情報データベースの情報を用いる認証システムに関する。

従来、セキュリティシステムやグループウェアを利用するユーザは、システム管理者により管理サーバに登録されていた。登録に際し、各ユーザの設定は、管理サーバ上で各々のアプリケーション毎のアカウントに対応して個々に設定することにより、各ユーザは利用する権限を有するユーザとして登録されていた。ところが、ユーザ数が多い場合は膨大な作業量となり、ユーザの構成変更などの際には、変更となった個々のユーザに対する再設定が必要となり、システム管理者に過度な負担を強いていた。
そのような過度な負担を軽減するために、例えば、特許文献１では、グループウェアを利用するユーザを登録した専用のユーザ情報データベース（以下、「ＤＢ」ともいう）を用意し、ユーザ情報ＤＢに、各ユーザの項目に設定方法を判断するために必要な独自の情報として接続管理情報を登録し、認証の際にこの接続管理情報を参照してユーザの設定を行う技術が開示されている。

特開２００３−１４１０９０号公報

しかしながら、上記特許文献１に記載の技術は、グループウェアに専用のユーザ情報ＤＢを用意し、独自の情報を登録して各ユーザの設定を行うため、グループウェアを利用する組織が大きくなると、当該グループウェアのために用意されたユーザ情報ＤＢの規模が大きくなり、全社システムなどにする場合は、人事データベースと同等レベルのものを準備する必要があった。

上記問題点に鑑み、本発明の課題は、特定のシステムのために専用のユーザ情報ＤＢ等を用意することなく、組織が所有している既存のユーザ情報ＤＢ等を用いて、システム管理者の負担が軽減される認証システムを提供することである。

上記課題を解決するために、本発明は、
クライアント端末からユーザの認証要求を受け付ける管理サーバと、ユーザ毎のパラメータを含むユーザ情報を格納するユーザ情報データベースとして用いられるＬＤＡＰサーバとの連携により認証処理を行う認証システムであって、
前記管理サーバが、
前記ユーザ情報に含まれるパラメータを特定するための参照項目を示す参照項目情報を記憶する参照項目情報記憶手段と、
前記パラメータに対応して前記クライアント端末における権限の制限の設定を示す設定情報を記憶する設定情報記憶手段と、
前記クライアント端末から送信されたユーザの認証要求を受け付けたことに応答して、前記ＬＤＡＰサーバに当該ユーザの認証を要求する認証要求手段と、
前記ＬＤＡＰサーバによる前記ユーザの認証が成功したことに応答して、前記参照項目情報記憶手段によって記憶されている参照項目情報を前記ＬＤＡＰサーバに送信する参照項目情報送信手段と、
前記参照項目情報送信手段によって送信された前記参照項目情報に基づいて取得されたパラメータを前記ＬＤＡＰサーバから受信し、当該受信したパラメータに対応する設定情報を前記設定情報記憶手段から取得し、前記ユーザの認証要求を送信したクライアント端末に当該取得した設定情報を送信する設定情報取得送信手段と、
を備え、
前記ＬＤＡＰサーバが、
前記管理サーバによってユーザの認証を要求されたことに応答して、当該ユーザの認証を行い、当該ユーザの認証が成功したか否かを前記管理サーバに通知するユーザ認証手段と、
前記ユーザ認証手段による認証が成功したユーザについての前記参照項目情報を前記管理サーバから受信したことに応答して、受信した前記参照項目情報に基づいて前記ユーザ情報に含まれる前記認証が成功したユーザのパラメータを取得し、当該取得したパラメータを前記管理サーバに送信するパラメータ取得送信手段と、
を備える、
ことを特徴とする。

本発明により、ユーザ情報データベースとしてＬＤＡＰサーバを用いて、管理サーバと連携して認証を行うことにより、特定のアプリケーション又はグループウェアを利用するユーザの変更により生ずるユーザ毎の設定作業を、管理サーバ上で行う作業が不要となり、システム管理者の負担が軽減される認証システムを提供することができる。

以下に、本発明を実施するための最良の形態を図面に基づいて説明する。

図１は、本発明の認証システムの実施形態の一例を示す図である。図１に示すように、本認証システムは、ユーザを認証する管理サーバ１と、ユーザが登録されたユーザ情報ＤＢとして用いられるＬＤＡＰ（Lightweight
Directory Access Protocol）サーバ２と、ユーザが使用するクライアント端末３とからなり、ＬＤＡＰサーバ２及びクライアント端末３はインターネット、イントラネット等のネットワークを介してサーバ１に接続されている。

本実施形態では、ユーザ情報ＤＢとして、ＬＤＡＰサーバ２を用いている。ここでは、ＬＤＡＰサーバ２は、組織の構成員情報等の大量の照会や検索に利用されている既存のものを用い、
ＬＤＡＰサーバ２内のディレクトリーに保存されている情報をユーザ情報ＤＢとして用いている。

管理サーバ１は、ユーザの認証時にＬＤＡＰサーバ２により認証されたユーザに対する利用可能な資源の権利設定および制限を行う。
また、クライアント端末３は、ユーザが管理サーバ１との認証に関連する処理に成功すると、管理サーバ１より取得した資源に対する権利に基づき、ユーザに対して利用可能な資源を制限する。

図２は、本発明の管理サーバに存在する設定情報を示す図である。ＬＤＡＰサーバ２内に登録された各ユーザが保持するパラメータ（要素）の値に対する制限設定を設定情報として示したものである。さらに、管理サーバ１には、他に、ＬＤＡＰサーバ２に登録された各ユーザが有しているパラメータ値のうちどのパラメータ値を参照するのかという情報である参照項目が定義される。具体的には、この参照項目は、param１、param２、param３・・として定義される。本実施例では、param１にパラメータａ−１、ａ−２、ａ−３・・、param２にパラメータｂ−１、ｂ−２、ｂ−３・・、param３にパラメータｃ−１、ｃ−２、ｃ−３・・のいずれかが、ユーザ毎に個別に対応しているものとする（図３参照）。

例えば、図２においてparam１はネットワーク共有フォルダに対するユーザのアクセス権限に関する設定であり、設定Ａは「書込み可」、設定Ｂは「参照のみ可」、設定Ｃは「アクセス不可」というような定義がなされているものとする。param２、param３では、また別の利用権限（印刷権限、外部媒体へのファイル書込み権限等）に対する定義がなされている。

管理サーバ１では、ユーザ毎にこの参照項目が定義される。そして、管理サーバ１が、ＬＤＡＰサーバ２にて認証するユーザの参照項目を確認して、当該ユーザの参照項目をＬＤＡＰサーバ２へ送信する。そして、ＬＤＡＰサーバ２は、当該ユーザの参照項目から制限設定に用いるパラメータを抽出して、管理サーバ１へ送信する。

例えば、当該ユーザの参照項目がparam１、param２、param３であって、当該参照項目に対応するパラメータが当該ユーザにとってａ−１、ｂ−１、ｃ−１であるとき、ＬＤＡＰサーバ２は、各参照項目に対応するパラメータａ−１、ｂ−１及びｃ−１の値を抽出して管理サーバ１へ送信する。次に、管理サーバ１は、図２に示すデータから当該ユーザに対応する制限が「設定Ａ＋設定Ｅ＋設定Ｉ」の組合せとして、クライアント端末３に送信する。なお、それぞれの設定は各々矛盾しないように定義されているものとするが、もし矛盾する場合には先の設定（設定Ａ）が優先するとか、後の設定（設定Ｉ）が優先すると等、適宜定めておいて良い。
これにより、ユーザと制限される設定との対応付けが可能となる。例えば、あるユーザに対しては、「ネットワーク共有フォルダ書込み可、印刷可、外部媒体へのファイル書込み不可」等の組合せが設定される。

図３は、本発明のユーザ情報ＤＢに存在するユーザ情報を示す図である。本発明のユーザ情報ＤＢとして使用するＬＤＡＰサーバ２に存在するユーザ情報の内容であり、各ユーザ毎にパラメータを定義したものである。ＬＤＡＰサーバ２は、認証したユーザのデータの中から、管理サーバ１に定義された参照項目を参照して、パラメータを抽出し、管理サーバ１に通知する。

図４は、本発明で認証時に行われる処理の概略を示す図である。本システムを利用するユーザが管理サーバ１より認証を受ける際の処理概要を示している。認証は、管理サーバ１ではなく、ＬＤＡＰサーバ２で行う。ＬＤＡＰサーバ２で認証を行うことにより、全組織レベルの構成員のユーザ情報を有効に利用することができる。ユーザに与える設定（制限）は、管理サーバ１に設定した参照項目を参照して、図３に示すＬＤＡＰサーバ２に登録されたユーザ毎の情報からパラメータを取得し、取得したパラメータの値より、図２に示すデータを用いて管理サーバ１上で制限される設定を抽出してクライアント端末３（ユーザ）に通知される。

図５は、図４の処理の詳細を示すフローチャートである。利用するユーザが認証を受けるまでの処理を示している。
まず、ユーザは、クライアント端末３から管理サーバ１へ自身のユーザＩＤとパスワードを入力し、管理サーバ１より認証を受ける（ステップ５０１）。次に、管理サーバ１は、前記ユーザＩＤとパスワードをＬＤＡＰサーバ２へ入力して、ＬＤＡＰサーバ２による認証を要求する（ステップ５０２）。ＬＤＡＰによる認証が不成功のときは、認証失敗として処理する（ステップ５０３）。ＬＤＡＰによる認証が成功したときは、ＬＤＡＰサーバ２へ入力する管理サーバ１上の参照項目を確認する（ステップ５０４）。ＬＡＤＰサーバ２は管理サーバから参照項目を取得する（ステップ５０５）。取得が失敗したときは、認証失敗として処理する（ステップ５０６）。取得が成功したときは、図３に示す情報から参照項目に対応するパラメータ値を抽出する（ステップ５０７）。

次に、管理サーバ１は、ＬＤＡＰサーバ２から参照項目に対応するパラメータ値を取得する（ステップ５０８）。取得が失敗したときは、認証失敗として処理する（ステップ５０９）。取得が成功したときは、管理サーバ１は、図２に 示すパラメータ値に対応する設定を抽出する（ステップ５１０）。ＬＤＡＰサーバ２より取得したパラメータ値に対応する設定が管理サーバ上に存在するか確認 する（ステップ５１１）。存在しないときは、認証失敗として処理する（ステップ５１２）。存在するときは、クライアント端末３に設定情報を送信して（ス テップ５１３）、認証が終了する。

以上により、認証をＬＤＡＰサーバで行うことにより、特定のアプリケーション又はグループウェアを利用するユーザの変更により生ずるユーザ毎の設定作業を、管理サーバ上で行う作業が不要となるため、システム管理者の負担が軽減される。

本発明の認証システムの実施形態の一例を示す図である。 本発明の管理サーバに存在する設定情報を示す図である。 本発明のユーザ情報ＤＢに存在するユーザ情報を示す図である。 本発明で認証時に行われる処理の概略を示す図である。 図４の処理の詳細を示すフローチャートである。

符号の説明

１ 管理サーバ
２ ＬＤＡＰサーバ（ユーザ情報データベース）
３ クライアント端末

Claims (1)

1. クライアント端末からユーザの認証要求を受け付ける管理サーバと、ユーザ毎のパラメータを含むユーザ情報を格納するユーザ情報データベースとして用いられるＬＤＡＰサーバとの連携により認証処理を行う認証システムであって、
   前記管理サーバが、
   前記ユーザ情報に含まれるパラメータを特定するための参照項目を示す参照項目情報を記憶する参照項目情報記憶手段と、
   前記パラメータに対応して前記クライアント端末における権限の制限の設定を示す設定情報を記憶する設定情報記憶手段と、
   前記クライアント端末から送信されたユーザの認証要求を受け付けたことに応答して、前記ＬＤＡＰサーバに当該ユーザの認証を要求する認証要求手段と、
   前記ＬＤＡＰサーバによる前記ユーザの認証が成功したことに応答して、前記参照項目情報記憶手段によって記憶されている参照項目情報を前記ＬＤＡＰサーバに送信する参照項目情報送信手段と、
   前記参照項目情報送信手段によって送信された前記参照項目情報に基づいて取得されたパラメータを前記ＬＤＡＰサーバから受信し、当該受信したパラメータに対応する設定情報を前記設定情報記憶手段から取得し、前記ユーザの認証要求を送信したクライアント端末に当該取得した設定情報を送信する設定情報取得送信手段と、
   を備え、
   前記ＬＤＡＰサーバが、
   前記管理サーバによってユーザの認証を要求されたことに応答して、当該ユーザの認証を行い、当該ユーザの認証が成功したか否かを前記管理サーバに通知するユーザ認証手段と、
   前記ユーザ認証手段による認証が成功したユーザについての前記参照項目情報を前記管理サーバから受信したことに応答して、受信した前記参照項目情報に基づいて前記ユーザ情報に含まれる前記認証が成功したユーザのパラメータを取得し、当該取得したパラメータを前記管理サーバに送信するパラメータ取得送信手段と、
   を備える、
   ことを特徴とする認証システム。

Images