JP4807041B2 - 認証プログラム - Google Patents

Description

本発明は、コンピュータ等のシステムへのログイン処理時等における利用者の認証処理を行う場合の認証方式に関するものである。

従来、コンピュータのオペレーティングシステムやアプリケーションシステムに利用者がログインする場合には、以下の処理を行っていた。

識別情報とパスワード情報とが一対として各利用者について予め管理されており、該識別情報と該パスワード情報とを利用者が入力し、該情報の一致あるいは不一致によって個人認証を行う。

利用者認証がなされた場合は、入力指定された識別情報に対応して予め設定された権限情報に基づき、権限が与えられる。

権限には、コンピュータのオペレーティングシステムあるいはアプリケーションシステムを管理する権限を有し、全てのリソースにアクセスが可能な管理者権限と、オペレーティングシステムあるいはアプリケーションプログラムの一部のリソースにはアクセスできない制限ユーザ権限とがある。リソースとは、コンピュータのシステムを構成および稼働させるアプリケーションソフトウェア、ハードウェア装置等を意味する。例えば、コンピュータと接続した外部記憶装置やプリンタ、アプリケーションプログラムやデータなどである。

図４に、管理者権限、制限ユーザ権限の各状態を示す。

図４において、管理者権限はリソース１、リソース２、リソース３、に対して読み込みあるいは書き込みのアクセスが可能であるのに対し、制限ユーザ権限では、リソース１に対しては読み込み又は書き込みのアクセスが可能であり、リソース２に対しては読み込みのみのアクセスが可能であり、リソース３に対しては読み込み又は書き込みのアクセスがいずれも不可能であることを示す。

また、権限は、管理者権限、制限ユーザ権限の２種類ではなく、より多くの種類の権限に分けられたオペレーティングシステムもある。

制限ユーザ権限で利用するメリットは、制限ユーザ権限ではオペレーティングシステム上で動作する重要なファイルを削除できなくなるため、システム全体の安全性が高まる。よって、日常のオペレーティングシステムの使用は制限ユーザ権限での使用が望ましい。一方、コンピュータ装置に新しく装置を付加する場合や、アプリケーションプログラムを新規に追加する場合にはそれらを動作させる設定を行うために管理者権限での処理が必要になる場合がある。また動作させるアプリケーションによっては、管理者権限を必要とするアプリケーションソフトウェアも存在する。よって、このような場合には管理者権限でログインし使用することが必要である。以上より両権限を使い分けてオペレーティングシステムを使用することが望まれる。

また、各識別情報に職制情報を付加して管理することにより権限を決定するものもある（例えば特許文献１参照）。
特開平２００４−６２２４１号公報

従来のオペレーティングシステムやアプリケーションシステムでは、識別情報毎に権限情報を付与する構成を採用している。そのため、利用者には同一人であっても権限毎に別個の識別情報が付与されていた。さらに、利用者はそれぞれの権限毎の識別情報について別個に環境情報の設定をしなければならなかった。

ここで、環境情報とは、例えば、ネットワークに接続するための情報、画面のレイアウト等の情報、アプリケーションプログラムの利用情報、ハードウェアの利用情報など、オペレーティングシステムやアプリケーションシステムを利用している現在の環境についての情報等をいう。

このように、利用者は、各識別情報毎に同じ設定を繰り返し行う必要があり、多くの時間と労力を必要としていた。さらには、この作業は新規に識別情報を設定する度に必要となる作業であり、利用者にとっては非常に負担となっていた。

本発明は、識別情報、パスワード情報を受け付ける受付手段、識別情報とパスワード情報とから該パスワード情報に応じた権限情報を読み出す読出手段、識別情報と前記権限情報とを出力する出力手段、として機能させることを特徴とする。

また、受付手段は更に、権限情報を受け付ける手段を有し、読み出し手段は識別情報とパスワード情報と権限情報とが予め記憶された識別情報とパスワード情報と権限情報と合致する場合に権限情報を読み出す手段として機能させることを特徴とする。

また、パスワード情報が生体情報であることを特徴とする。更に、パスワード情報が指紋、掌紋、虹彩、網膜、血管、静脈パターン、筆跡、声紋のいずれかであることを特徴とする。

本発明の構成により、同一の識別情報であっても、パスワードと権限とが異なるものであれば、同一の識別情報で複数の異なる権限でログインが可能となり、権限毎に環境情報を作成しなおす必要がない。

また、利用者は予めどの権限でログインしたいのかを選択し、その権限に対応するパスワードを入力するため、異なる権限のパスワードを入力することにより、利用者が所望する権限以外の権限でログインすることが無くなる。

更に、ログインする際のパスワード情報が指紋、掌紋、虹彩、網膜、血管、静脈パターン、筆跡、声紋などによって異なる権限でログイン可能となる。

以下に本発明を実現するための好適な例を示す。

図１にシステム構成図を示す。

コンピュータ装置１０は、オペレーティングシステム（以下ＯＳと記載する）２０、及び認証権限管理プログラム３０を有する。

ＯＳ２０は、コンピュータに対する情報の入出力や接続された装置の管理など、他のアプリケーションソフトウェアにて利用する基本的な機能等を提供するものであり、コンピュータシステム全体を管理するものとして機能させるプログラムである。

認証権限管理プログラム３０は、コンピュータを、受付手段、照合手段、権限獲得手段、送信手段として機能させるプログラムであり、利用者がＯＳにログインする際に機能するものである。

受付手段は、入力手段４０から受け付けた識別情報、パスワード情報をＯＳ２０経由で受け付ける手段であり、照合手段は識別情報、パスワード情報を認証情報テーブル６０に格納された情報と比較する手段であり、権限取得手段は照合手段の照合結果によって権限情報を抽出する手段であり、送信手段は、ＯＳ２０に識別情報と権限情報とを送信する手段である。

入力手段４０は、コンピュータ装置１０と接続しており、利用者からの識別情報、パスワード情報等の入力を受け付ける手段である。

出力手段５０は、コンピュータ装置１０と接続しており、利用者に対してコンピュータ装置１０が行った処理結果を表示する手段である。なお後述する認証権限管理プログラム３０が識別情報と権限情報を出力するのは、出力手段５０に対してではなく、ＯＳ２０に対して出力するものである。

認証情報テーブル６０は、認証処理を行う場合の利用者の情報を記憶したデータテーブルである。 図２に認証情報テーブル６０のデータ構成例を示す。認証情報テーブル６０は、利用者の識別情報６１、パスワード６２、権限情報６３で構成される。識別情報は利用者毎に付与される情報であり、本図では、利用者毎に「ＭＹＩＤ０１」、「ＭＹＩＤ１１」．．．である。パスワード６２は、利用者の権限毎に付与される情報であり、本図では、「ＭＹＩＤ０１」に対して「ＰＷＤ０１」、「ＰＷＤ０２」である。権限６３はパスワード６２に対応して付与される情報であり、本図では、「ＰＷＤ０１」に対して「管理者」が、「ＰＷＤ０２」に対して「制限ユーザ」が該当する。

なお、ＯＳ２０が３以上の複数段階の権限を有する場合であれば、パスワード６２と権限６３の項目を増加することで対応することが可能である。

また、図８には認証情報テーブル６０のデータ構成例として、生体情報をパスワードとして利用した場合の構成例を示す。図中パスワード６２の項目において管理者権限に対応するのが左手掌、制限ユーザ権限に対応するのが右手掌としている。このように権限に応じて、手、指、目等を割り当てておくことにより、容易にログインが可能となる。

ここで、本発明のシステム構成の内、コンピュータ装置１０、認証情報テーブル６０を構成するハードウェアの一例としては、ＣＰＵと、ＲＯＭと、ＲＡＭと、ＨＤＤ（ハードディスクドライブ）と、ＨＤ（ハードディスク）と、ＦＤＤ（フレキシブルディスクドライブ）と、着脱可能な記録媒体の一例としてのＦＤ（フレキシブルディスク）とを備えている。また、各構成部はバスによってそれぞれ接続されている。ＣＰＵは、コンピュータ装置１０の全体の制御を司る。ＲＯＭは、ブートプログラムなどのプログラムを記憶している。ＲＡＭは、ＣＰＵのワークエリアとして使用される。ＨＤＤは、ＣＰＵの制御にしたがってＨＤに対するデータのリード／ライトを制御する。ＨＤは、ＨＤＤの制御で書き込まれたデータを記憶する。ＦＤＤは、ＣＰＵの制御にしたがってＦＤに対するデータのリード／ライトを制御する。ＦＤは、ＦＤＤの制御で書き込まれたデータを記憶したり、ＦＤに記録されたデータを情報処理装置へ読み取らせたりする。着脱可能な記録媒体として、ＦＤのほか、ＣＤ−ＲＯＭ（ＣＤ−Ｒ、ＣＤ−ＲＷ）、ＭＯ、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、メモリーカードなどであってもよい。

また、本発明のシステム構成の内、出力手段５０を構成するハードウェアの一例としては、ディスプレイとして、カーソル、アイコンあるいはツールボックスをはじめ、文書、画像、機能情報などのデータに関するウインドウ（ブラウザ）を表示する。たとえば、ＣＲＴ、ＴＦＴ液晶ディスプレイ、プラズマディスプレイなどである。

そして、上記ＲＯＭ、ＲＡＭ、ＨＤ、ＦＤなどに格納されたＯＳ２０、認証権限管理プログラム３０等をＣＰＵが実行することによってその機能を実現する。
また、認証情報テーブル６０に格納される各種データおよびデータテーブルの一部は、ワークエリア的な目的で使用されるＲＡＭに必要に応じて生成消去されることもある。

また、本発明のシステム構成の内、入力手段４０を構成するハードウェアの一例として、キーボードは、文字、数字、各種指示などの入力のためのキーを備え、データの入力をおこなう。タッチパネル式の入力パッドなどであってもよい。マウスは、カーソルの移動や範囲選択、あるいはウインドウの移動やサイズの変更などをおこなう。ポインティングデバイスとして同様の機能を備えるものであれば、トラックボール、ジョイスティックなどであってもよい。

さらには、生体認証を可能にするために指紋、掌紋、虹彩、網膜、血管、静脈パターン、筆跡、声紋等を認識する生体認証のための装置も含む。

図３に認証処理のフローチャートを示す。本フローチャートは、認証権限管理プログラム３０がコンピュータを、利用者からログインするために必要な情報を受け付けてから、利用者のログインするための情報をＯＳに送信させるものとして機能させる処理について記載したものである。

まず、利用者は、出力手段５０に表示されたログイン画面に基づき、利用者の識別情報、パスワードを入力手段４０によって入力する。

図５に出力手段５０に表示されるログイン画面例を示す。

図５の画面においては、識別情報として「ＩＤ：」、パスワード情報として「Ｐａｓｓ：」が表示され、それぞれの右欄に入力項目がある。

利用者は、入力手段４０により、入力項目にそれぞれ識別情報とパスワードを入力した上、「ＯＫ」画面上のボタンを押下する。この場合、例えば、画面上のボタンをマウスでクリックすることで押下されたものとする。

入力手段４０で入力された識別情報、及びパスワードは、コンピュータ装置１０が受信し、ＯＳ２０が受け付け、認証権限管理プログラム３０による機能である受信手段は識別情報、及びパスワード情報をＯＳ２０から受信する（Ｓ１０１）。

認証権限管理プログラム３０によるコンピュータを機能させる照合手段は、
Ｓ１０１で受信した識別情報が認証情報テーブル６０の識別情報６１に存在するか否かを検索する（Ｓ１０２）。

認証情報テーブル６０に該当識別情報６１が存在しない場合（Ｓ１０３：Ｎｏ）、ログイン失敗として、ＯＳ２０にログイン失敗情報を送信する（Ｓ１０７）。

一方、認証情報テーブル６０に該当識別情報６１が存在する場合（Ｓ１０３：Ｙｅｓ）、
認証情報テーブル６０の識別情報６１が該当するレコード内のパスワード６２を検索する（Ｓ１０４）。

認証情報テーブル６０の識別情報６１が該当するレコード内にパスワード６２が存在しない場合（Ｓ１０５：Ｎｏ）、ログイン失敗として、ＯＳ２０にログイン失敗情報を送信する（Ｓ１０７）。

一方、 認証情報テーブル６０の識別情報６１が該当するレコード内にパスワード６２が存在する場合（Ｓ１０５：Ｙｅｓ）、合致するパスワード６２に対応する権限情報６３を読み出して、識別情報６１およびログイン成功情報を併せてＯＳ２０に送信する（Ｓ１０６）。

ＯＳ２０は、送信手段から識別情報６１と権限情報６３とを受信すると、識別情報６１に基づき利用者に対応した環境設定を行い、かつ、権限情報６３に基づきリソースへのアクセス制限を設定する。

次に、ログイン情報入力時に権限情報も選択して入力する場合の処理について説明する。

本実施例では、予め利用者が権限情報を選択して入力するため、利用者がログインしたい権限と実際に入力したパスワードに対応する権限とが異なる場合に権限情報が異なるのでログイン失敗情報が出力されることとなり、利用者が所望した権限と異なる権限でログインして気づかずに利用し続けるという状態をなくすことが可能となる。

図６に認証処理のフローチャート（２）を示す。本フローチャートは、認証権限管理プログラム３０がコンピュータを、利用者からログインするために必要な情報を受け付けてから、利用者のログインするための情報をＯＳに送信させるまでの処理について記載したものである。なお、図３のフローチャートと同様の処理を行うステップについては同一の符号を付し、説明は省略する。

図７に出力手段５０に表示されるログイン画面例（２）を示す。

図７の画面では、識別情報として「ＩＤ：」、パスワード情報として「Ｐａｓｓ：」、およびログインしたい「権限：」表示され、それぞれの右欄に入力項目がある。権限は予め設定した権限の種類に基づき選択できるようにしても良い。

利用者は、入力手段４０により、入力項目にそれぞれ識別情報とパスワードとログインしたい権限を入力した上、「ＯＫ」画面上のボタンを押下する。この場合、例えば、画面上のボタンをマウスでクリックすることで押下されたものとする。

入力手段４０で入力された識別情報、及びパスワードは、コンピュータ装置１０が受信し、ＯＳ２０が受け付け、認証権限管理プログラム３０による機能である受信手段は識別情報、パスワード情報、権限情報をＯＳ２０から受信する（Ｓ２０１）。その後、図３と同様の処理が行われるが、認証情報テーブル６０の識別情報６１が該当するレコード内に該当パスワード６２が存在する場合（Ｓ１０５：Ｙｅｓ）、 該当パスワード６２レコードに対応する権限情報６３と入力した権限情報とが合致するか否かを判定する（Ｓ２０６）。

権限情報６３が合致しない場合（Ｓ２０６：Ｎｏ）、ログイン失敗として、ＯＳ２０にログイン失敗情報を送信する（Ｓ１０７）。

一方、権限情報６３が合致する場合（Ｓ２０６：Ｙｅｓ）、合致するパスワード６２に対応する権限情報６３を読み出して、識別情報６１およびログイン成功情報を併せてＯＳ２０に送信する（Ｓ１０６）。以下実施例１と同様の処理がなされる。

以上により、ログイン時の権限の決定が入力された識別情報とパスワード情報によって、パスワードに対応した権限が割り当てられることとなる。従い、識別情報６１に対応したＯＳ内の各種の環境を呼出し、権限情報６３に基づきリソースに対するアクセス制限をかけることとなる。

本発明により、利用者は自環境を一回設定するのみで、後日他の権限を取得した場合であっても環境の承継が可能である。

本実施例では、ＯＳについての実施例を説明したが、ＯＳだけではなくアプリケーションシステムについても本発明を適用可能である。

また、本実施例では、ＯＳ２０と認証権限管理プログラム３０とが明確に分かれている場合を記載したため、情報の流れがＯＳ２０から受信し、ＯＳ２０に送信しという記載となっているが、ＯＳ２０の一部に組み込まれた場合は、内部での処理となる。
（付記１）
識別情報とパスワード情報とに基づき対象システムにログインする認証プログラムであって、
コンピュータに、
識別情報、パスワード情報を受け付ける受付手段、
識別情報とパスワード情報とから該パスワード情報に応じた権限情報を読み出す読出手段、
識別情報と前記権限情報とを出力する出力手段、
として機能させることを特徴とする認証プログラム。
（付記２）
受付手段は更に、権限情報を受け付ける手段を有し、
読み出し手段は更に、識別情報とパスワード情報と権限情報とが予め記憶された識別情報とパスワード情報と権限情報と合致する場合に権限情報を読み出す
ことを特徴とする付記１記載の認証プログラム。
（付記３）
パスワード情報が生体情報であることを特徴とする付記１記載の認証プログラム。
（付記４）
パスワード情報が指紋、掌紋、虹彩、網膜、血管、静脈パターン、筆跡、声紋のいずれかであることを特徴とする付記３記載の認証プログラム。
（付記５）
識別情報とパスワード情報とに基づき対象システムにログインする認証装置であって、
識別情報、パスワード情報を受け付ける受付手段、
識別情報とパスワード情報とから該パスワード情報に応じた権限情報を読み出す読出手段、
識別情報と前記権限情報とを出力する出力手段、
とからなることを特徴とする認証装置。
（付記６）
受付手段は更に、
権限情報を受け付ける手段を有し、
読み出し手段は
識別情報とパスワード情報と権限情報とが予め記憶された
識別情報とパスワード情報と権限情報と合致する場合に権限情報を読み出す
として機能させることを特徴とする付記５記載の認証装置。
（付記７）
パスワード情報が生体情報であること
を特徴とする付記５記載の認証装置。
（付記８）
パスワード情報が指紋、掌紋、虹彩、網膜、血管、静脈パターン、筆跡、声紋のいずれかであることを特徴とする付記７記載の認証装置。

システム構成図 認証情報テーブル６０のデータ構成例 認証処理のフローチャート 管理者権限、制限ユーザ権限の各状態 ログイン画面例 認証処理のフローチャート（２） ログイン画面例（２） 認証情報テーブル６０のデータ構成例（生体情報例）

符号の説明

１０ コンピュータ装置
２０ オペレーティングシステム（ＯＳ）
３０ 認証権限管理プログラム
４０ 入力手段
５０ 出力手段
６０ 認証情報テーブル

Claims (3)

1. コンピュータに、
   選択可能な複数種類の権限情報のうちから選択された１つの権限情報及びパスワード情報を、ある１つのユーザ識別情報について受け付け、
   受け付けた前記選択された１つの権限情報と前記パスワード情報とが、前記ユーザ識別情報について整合するか否かの判定を行ない、
   前記判定において整合すると判定した場合に、受け付けた処理要求に対する処理が前記選択された１つの権限情報に対応付けられた複数の許可対象の処理のうちのいずれかであるかに応じて、前記処理要求に対する処理の実行可否制御を行なう、
   ことを実行させることを特徴とする認証プログラム。
2. 前記コンピュータに、
   前記判定において整合しないと判定した場合に、受け付けた前記パスワード情報及び前記選択された１つの権限情報が適当でない旨を示す情報を出力する、
   ことを実行させることを特徴とする請求項１に記載の認証プログラム。
3. 前記コンピュータに、
   前記パスワード情報及び前記権限情報に加えて、さらに識別情報を受け付け、
   識別情報毎に予め関連付けられたパスワード情報及び権限情報のうち、受け付けた前記識別情報について予め関連付けられたパスワード情報及び権限情報が、受け付けた前記パスワード情報及び前記権限情報と合致する場合に、受け付けた前記権限情報に応じた実行制御を行なう、
   ことを実行させることを特徴とする請求項１又は請求項２に記載の認証プログラム。

Images