JP5016950B2 - 認証システム及び情報中継装置 - Google Patents

Description

本発明は、インタネットやイントラネットを介して複数の業務アプリケーションをコンピュータ端末から操作可能とするためのシステムおよび装置に関する。

複数の異なる業務を、それぞれの業務に対応した専用端末を使って実行している環境において、この環境では、一端末では一名しか同時に該当の一業務しか実行できないため、頻繁に利用される業務には多数の専用端末が必要になる。また、担当者は、その専用端末が設置されている場所に移動して業務を行う必要があり、複数の業務を担当している場合は、担当者の移動などより業務時間において時間的なロスが生じるという不都合があった。

専用端末と業務装置に実装されている業務アプリケーションを接続する場合には、専用端末の電源を入れると同時に接続されて認証処理や業務処理を開始する場合や、専用端末に表示されるメニューを選択したり個人認証データを入力した後、業務アプリケーションと接続されて業務を開始する場合など、業務に応じて種々のアクセス方法をとっている。

また、業務アプリケーションと個人認証もそれぞれ個々の業務アプリケーションごとに個別に行われるため、利用者はそれぞれの業務端末ごとにその都度認証情報を入力している。

企業統合や業務統合などにおいて、従来の異なる業務アプリケーションをそれぞれの業務に対応した専用端末で実行する環境から、担当者ごとに操作を行う同一の業務端末で複数の業務にも利用できる環境への移行が必要とされている。

従来、担当者が専用端末を利用する場合、セキュリティ上の面から利用者が正規の利用者であるかを判定する認証情報が、業務アプリケーションにアクセスする場合に必要となり、複数の異なる業務アプリケーションを統合する場合には、担当者数と業務アプリケーションの積に相当する認証情報を判断する仕組みが必要になる。

この環境を構築するに当たり、全ての業務端末にこれらのデータを保持させる方法が考えられるが、業務端末が多数の場合の実装時間、データ変更などの保守的な問題、業務端末を複数の利用者が共有する場合もありセキュリティ上の問題がある。

本発明の統合業務認証システムでは、上記課題を解決するために、ユーザから業務アプリケーションへのアクセス要求に応じて認証処理およびアクセス処理を行う認証システムであって、ユーザから個人認証情報と利用する業務アプリケーション情報とを受信する業務認証情報受信手段と、前記個人認証情報毎に前記業務アプリケーションへアクセスするための情報を保持する業務アクセス情報記録手段と、前記業務認証情報受信手段が受信した個人認証情報と業務アプリケーション情報をもとに、前記業務アクセス情報記録手段を検索し、前記業務アプリケーションへのアクセス処理を行うか否かを判断する業務アクセス情報変換手段とを有する統合業務認証システムを提供する。

企業統合や企業内組織統合などにおいて、複数の異なる業務アプリケーションをそれぞれの担当者が個別に利用する業務端末で実行する環境を構築できる。そのため、多数の専用端末を設置する必要がなくなり、担当者が業務アプリケーションの専用端末が設置されている場所に移動して業務を行う必要がなくなるため、複数の業務を担当している場合の移動などよる時間的なロスが生じるという不都合が解消でき、担当者がアクセスするための個人認証情報のセキュリティが確保できる効果がある。

本発明の実施に好適な実施形態の例を、図面を用いて説明する。但し、本発明は本実施形態に限定されるものではない。

図１は、本発明の統合業務認証システム（単に認証システムとも言う）の一実施形態を示すブロック図である。

１は本実施形態における統合業務認証システムであり、２はユーザが個人認証情報を入力したり、利用する業務アプリケーションの選択を行う入力装置、３はディスプレイ等の表示装置、１１はユーザが入力した個人認証情報や選択した業務アプリケーション情報を受信する業務認証情報受信部、１２は個人認証情報や業務アプリケーション情報を利用しユーザの業務アクセス情報を検索し、業務アプリケーションへのアクセス処理を行うか否かを判断する業務アクセス情報変換部、１３は業務アプリケーションにアクセスするための業務アクセス情報テーブルを記憶する業務アクセス情報記憶部、１４は業務アクセス情報を利用して業務アプリケーションへの接続処理を行う接続状態維持部、１５は業務アプリケーションである。総合業務認証システム１は、例えばＣＰＵやメモリから構成されるサーバ装置であり、業務認証情報受信部１１、業務アクセス情報変換部１２、および、接続状態維持部１４は、サーバ装置のメモリに格納されるプログラムをＣＰＵが実行することによって実現される。業務アクセス情報記憶部１３は、サーバ装置のメモリによって実現される。通信処理部１６もサーバ装置のメモリに格納されるプログラムをＣＰＵが実行することによって実現されてもよい。入力装置２および表示装置３は、例えばキーボードおよびディスプレイ等から構成されるユーザ業務端末である。業務アプリケーション１５は、例えば業務専用サーバ装置において、メモリに格納されるプログラムをＣＰＵが実行することによって実現される。

利用者は、コンピュータ端末のキーボードを代表とするデータ入力装置２を利用し、アクセス要求情報である個人認証情報の入力と利用する業務アプリケーションの選択を行う。個人認証情報は、ユーザＩＤとパスワードが一般的であるが、指紋や静脈などのデータを、これら情報を入力可能な装置から入力し、ユーザＩＤとパスワードに置き換えることも可能である。利用する業務アプリケーションの選択には、複数ある業務アプリケーションをそれらの名称を文字での表示やアイコンでの表示によってメニュー形式でコンピュータのディスプレイ装置等の表示装置３に表示することで、利用者はそれらの中から利用する業務アプリケーションを、マウスやキーボードなどの入力装置２を利用して選択することが出来る。これら入力装置２と表示装置３は業務端末に付随しているものを利用できる。

入力されたアクセス要求情報（個人認証情報と利用する業務アプリケーション情報）は、業務認証情報受信部１１が受信し、ユーザＩＤとパスワードからなる個人認証情報と、利用する業務アプリケーションの識別子を、業務アクセス情報変換部１２に送信する。

業務アクセス情報変換部１２では、アクセス要求情報として個人認証情報と業務アプリケーションの識別子を受信し、業務アクセス情報記憶部１３を利用し、該当する利用者の業務アクセス情報を検索する。業務アクセス情報は、各業務アプリケーションを業務端末から利用するために必要な情報である。

業務アクセス情報記憶部１３は、図２の業務アクセス情報テーブル２１に示すような表形式で構成されている。

図２の業務アクセス情報テーブル２１おいて、同一の列２０１は同一の業務アプリケーションの識別子に関連し、同一の行２０２は同一の個人ＩＤとパスワードに関連する。これらの列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方が関連する欄が該当する業務アクセス情報である。たとえば、図２において、業務アクセス情報（NK）は、個人認証情報であるＵｓｅｒＩＤ-N、P.W.-Nを有する利用者が業務アプリケーション（K）にアクセスするための情報が記載されている。

インタネットやイントラネットを介して業務アプリケーションを実行する一般的な方法として、インタネットやイントラネットを介して利用者からの実行要請コマンドを受け付け、コマンドに応じて業務アプリケーションを実行するアプリケーションサービスが用意されている。たとえば、「telnet」や「http」が代表的なアプリケーションサービスである。これらアプリケーションサービスを利用して、業務アプリケーションを実行する仕組みは良く知られておりここでは詳述しない。

業務アプリケーションを実行するために、下記（１）〜（３）の業務アクセス情報が一例として必要である。
（１）業務アプリケーションが実装されている装置のIPアドレス
（２）該当する業務を実行させるための業務アプリケーションのTCPポート番号あるいはUDPポート番号。たとえば、前記「telnet」を利用する場合のTCPポート番号は２３、「http」を利用する場合のTCPポート番号は８０となっている。
（３）前記アプリケーションサービスを利用して業務アプリケーションを起動するためのコマンドとデータ。これには、該当する業務の利用者の個人認証情報が含まれる。

業務アプリケーションによっては、業務端末との接続のために複数回の送受信を繰り返すこともあるので、その接続開始時のやり取りに応じた複数個の送受信コマンドと該当する送信データが必要である。たとえば、業務アプリケーションから、ｃ１コマンドを受信すればｃ２コマンドにｄ２データを添付して業務アプリケーションへ返信する。ｃ３コマンドを受信すれば、ｃ４コマンドにｄ４データを添付して業務アプリケーションへ送信する。コマンドｃ５を受信した場合は接続完了とする。このような接続処理を実行するなら、「ｃ１／ｃ２，ｄ２；ｃ３／ｃ４，ｄ４；ｃ５／Ｓ；」のようなデータを業務アクセス情報テーブル２１に記載しておく。

あるいは、業務アプリケーションを起動するために利用されるパケットデータのデータ部の全体を記憶しておくこともできる。その場合、データ部の全体を確認し、データ部のＤ６を業務アプリケーションから受信すればデータ部のｄ６を業務アプリケーションへ送信し、データ部のＤ７を業務アプリケーションから受信すればデータ部のｄ７を業務アプリケーションへ送信する、という接続処理を実行することもできる。このような接続処理を実行するなら、Ｄ６／ｄ６，Ｄ７／ｄ７；のようなデータを業務アクセス情報テーブル２１に記載しておく。

このように、業務アプリケーションを起動するためのコマンドとデータは、前記のようにアクセスに必要なコマンドとデータのみを選択的に記載しておくことも、また業務アプリケーションを起動するために利用されるパケットデータのデータ部の全体を業務アクセス情報テーブル２１に記載しておくことも可能である。以降業務アクセステーブル２１に記載されているデータとコマンド、あるいはパケットデータのデータ部をアクセスデータと呼ぶ。パケットデータの形式については図７を利用して別途説明する。

また利用者によっては利用できない業務アプリケーションもある。そのような場合は、図２の業務アクセス情報テーブル２１において、個人認証情報としてＵｓｅｒＩＤ-C P.W.-Cを持つ利用者の業務アプリケーションであるＡＰＬ（２）や、個人認証情報としてＵｓｅｒＩＤ-M P.W.-Mを持つ利用者の業務アプリケーションであるＡＰＬ（Ｋ）に該当する業務アクセス情報のように、利用不可能を示すデータを記載しておくことができる。利用不可能を示すデータとして図2では「＊」を記載している。この方法により不正なアクセスを防止できる。

業務アクセス情報テーブル２１において、図２に示す列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方が一致し該当する欄の業務アクセス情報が利用不可能を示すデータでない場合は、該当する欄の業務アクセス情報を、業務アクセス情報変換部１２から接続状態維持部１４に送信する。

業務アクセス情報変換部１２では、列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方、あるいはいずれか一方が存在しない場合、該当する欄が利用不可能を示すものである場合はその旨を業務認証情報受信部１１に送信する。業務認証情報受信部１１では、列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方、あるいはいずれか一方が存在しない旨、あるいは利用不可能である旨を表示装置３に表示し利用者に通知する。表示装置３としては、コンピュータのディスプレイ装置が利用できる。利用者は、業務アクセス情報を再入力することもできるが、本処理は不正アクセスを防止する機能ともなる。

以上のように業務アクセス情報変換部１２では、業務アクセス情報テーブル２１をもとに業務アプリケーションへのアクセス処理を行うか否かを判定している。

接続状態維持部１４では、業務アクセス情報変換部１２から受信した業務アクセス情報を利用して、該当する業務アプリケーションにアクセスし、業務アプリケーションを該当する利用者が実行できる状態を確保する。

接続状態維持部１４からは、業務アクセス情報変換部１２から受信した業務アクセス情報の第一番目のコマンドとデータ、あるいは第一番目の送信データを、該当する業務アプリケーションに送信する。この際、業務アプリケーションへ送信されるパケットデータに含まれる情報として、アクセスデータである前記第一番目のコマンドとデータあるいは第一番目のデータ部、送信元のＩＰアドレスとして業務端末のＩＰアドレスを利用し、あて先のIPアドレスとして業務アプリケーションが実装されている装置のIPアドレスを利用し、送信元のポート番号として業務端末のポート番号を利用し、あて先のポート番号として該当する業務アプリケーションを実行するアプリケーションサービスのポート番号をそれぞれ利用する。

接続状態維持部１４では、業務アプリケーションからパケットを受信すると、受信したパケットデータの送信元とあて先のＩＰアドレス、送信元とあて先のポート番号を確認する。業務アプリケーションから受信したパケットデータの業務アプリケーション側と業務端末側の双方のＩＰアドレス、ポート番号が全て一致し、該当する業務アプリケーションと該当する業務端末のものであれば、受信したパケットデータからコマンド、あるいはデータ部を抽出する。抽出したコマンドあるいはデータ部が前記業務アクセス情報に含まれていれば、該当するアクセスデータであるコマンドとデータ、あるいは該当するデータ部を返信する。これを繰り返す。接続が完了した場合、完了時に受信したパケットデータは業務認証情報受信部１１に送信し、接続状態維持部１４の該当業務端末と業務アプリケーションのアクセス処理が正常終了する。

前記業務アプリケーションから受信したパケットデータの業務アプリケーション側と業務端末側の双方のＩＰアドレス、ポート番号が一致していなければ、該当する業務アプリケーションと業務端末のアクセス処理とは関係のないパケットデータを業務アプリケーションが実装されるサーバ装置から受信したと判断し、通信処理部１６に該当パケットを送信する。パケットのヘッダ情報をもとに該パケットの転送処理を行う。

前記業務アプリケーションから受信したパケットデータを確認し、該当するアクセスデータが前記業務アクセス情報に含まれていなければ、その旨を業務認証情報受信部１１に送信し、アクセス処理は異常終了となる。

業務認証情報受信部１１では、接続状態維持部１４がアクセス処理を完了した後、業務アプリケーションから受信したパケットデータに従った業務画面が表示装置３に表示されるので、利用者は該当する業務アプリケーションを実行することができる。

また、業務アプリケーションへのアクセス処理において、前記、業務アクセス情報変換部１２において業務アクセス情報テーブル２１から該当する業務アクセス情報を検索できなかった場合、業務アクセス情報が利用不可能を示すデータである場合、または接続状態維持部１４において業務アプリケーションとのアクセス処理時に業務アクセス情報には含まれていないコマンド、あるいはデータが業務アプリケーションより送信された場合、タイムアウトなどにおいて通信が正常に実行されなかった場合は、その旨を前記表示装置３により表示する。

このようにして利用者は個人業務端末から複数の業務アプリケーションから利用したい業務アプリケーションの実行が可能となる。

図３は、本発明の統合業務認証システム１の動作例を示すフローチャートである。図3のそれぞれのステップ、あるいは複数のブロックにより、前記図1における実施形態を示すブロックの動作に対応している。

まず、業務認証情報受信部１１は、利用者が入力装置２から入力したアクセス要求情報（個人認証情報と利用する業務アプリケーション情報）を受信する（ステップ３０１）。次に、業務アクセス情報変換部１２は、アクセス要求情報を個人認証情報と業務アプリケーション識別子に分離する（ステップ３０２）。ステップ３０２では、アクセス要求情報をユーザＩＤとパスワードである個人認証情報と、業務アプリケーションの識別子を分離する。次に、業務アクセス情報変換部１２は、個人認証情報が業務アクセス情報テーブル２１に含まれているか確認し（ステップ３０３）、業務アプリケーションの識別子が業務アクセス情報テーブル２１に含まれているかを確認する（ステップ３０４）。ステップ３０３とステップ３０４では、それぞれ図１の業務アクセス情報記憶部１３に含まれる図２の業務アクセス情報テーブル２１を参照し、個人認証情報である個人ＩＤとパスワードと業務アプリケーションの識別子が含まれているかどうかを確認する。次に、業務アクセス情報変換部１２は、ステップ３０３とステップ３０４の確認結果をもとに業務アクセス情報テーブル２１から業務アクセス情報を検索する（ステップ３０５）。業務アクセス情報変換部１２は、業務アクセス情報テーブル２１を検索することで、業務アプリケーションへのアクセス処理を行うか否かを判定する。ステップ３０５で、列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方、あるいはいずれか一方が存在しない場合は、業務認証情報受信部１１が該当するアクセスが不可能である旨を利用者に表示装置３を通して通知する（ステップ３０６）。ステップ３０５で、列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方が一致していた場合、業務アクセス情報記憶部１３の業務アクセス情報テーブル２１を参照し該当する業務アクセス情報を検索する。検索した業務アクセス情報が利用不可能を示すデータ（図2では「＊」）である場合は、ステップ３０６にて利用者にアクセスが不可能である旨を通知する。ステップ３０５では、検索した業務アクセス情報が利用不可能を示すデータでない場合、検索した業務アクセス情報と、業務端末のＩＰアドレスとポート番号とを合わせて接続状態維持部１４へ送信する。接続状態維持部１４は、受信した業務アクセス情報から業務アプリケーションのＩＰアドレス、ポート番号、業務アプリケーションに送信するコマンドとデータを読み出す（ステップ３０７）。次に、接続状態維持部１４は、業務アプリケーションのＩＰアドレス、ポート番号をあて先とし、業務アクセス情報変換部１２から受信した業務端末のＩＰアドレスとポート番号を送信元として、該当するコマンドとデータを含めて該当する業務アプリケーションにパケットデータを送信する（ステップ３０８）。

その後、業務アプリケーションからは、ステップ３０８からのコマンドに応じて、業務端末のＩＰアドレスとポート番号をあて先として、返信コマンドが接続状態維持部１４に送られる。

接続状態維持部１４は、業務アプリケーションから受信したパケットデータからＩＰアドレス、ポート番号、コマンドを確認する（ステップ３０９）。次に、接続状態維持部１４は、あて先の業務端末のＩＰアドレスとポート番号と、送信元の業務アプリケーションのＩＰアドレス、ポート番号が、該当する業務アプリケーションと該当する業務端末のものであるかを判断し、一致するかどうか確認する（ステップ３１０）。一致しなければ一般パケット処理を行う通信処理部１６にパケットデータを送信する（ステップ３１１）。一致すれば、受信したパケットから業務アプリケーションからのコマンドを抽出し、業務アプリケーションからのコマンドが該当する業務アクセス情報からのコマンドが完了を意味するかを確認する（ステップ３１２）。完了を意味する場合は、該当するパケットデータを該当する業務端末に送信する（ステップ３１３）。その他のコマンドの場合は、あて先の業務端末のＩＰアドレスとポート番号と、送信元の業務アプリケーションのＩＰアドレス、ポート番号の情報とともにステップ３０７の処理を行う。

ステップ３０９では、業務アプリケーションとの通信において、タイムアウトなどの通信異常についても確認を行い、通信異常が確認された場合は業務認証情報受信部１１にてステップ３０６の処理を行う。

ステップ３０６では、該当するアクセスが不可能である通知として、ステップ３０５からの通知である、列２０１の記述である業務アプリケーションの識別子、行２０２の記述である個人ＩＤとパスワードの双方、あるいはいずれか一方が存在しない場合、検索した業務アクセス情報が利用不可能を示すデータ（図2では「＊」）である場合、ステップ３０９からの通知であるタイムアウトなどの通信が正常に実行されなかった場合において、その旨を表示装置３を通して利用者に通知する。

ステップ３０８では、あて先の業務端末のＩＰアドレスとポート番号と、送信元の業務アプリケーションのＩＰアドレス、ポート番号に一致する業務アプリケーションからのコマンドが該当する業務アクセス情報にあるか否かを判断し、存在すれば業務アプリケーションのＩＰアドレス、ポート番号をあて先とし、業務端末のＩＰアドレスとポート番号を送信元として、該当するコマンドとデータを含むパケットデータを該当する業務アプリケーションに送信する。これを繰り返す。

このようにして利用者は個人業務端末から複数の業務アプリケーションから利用したい業務アプリケーションの実行が可能となる。

図４は、本システムの実行環境の他の実施形態を示すブロック図である。

図４において、業務端末４１ａ、４１ｂ、．．．、４１ｎは、通信中継装置４３からなるＬＡＮを介して認証装置４２に接続され、通信中継装置４３は、インタネットやイントラネットを介して業務装置４４ａ、４４ｂ、．．．、４４ｍに接続されている。

業務端末４１ａ、４１ｂ、．．．、４１ｎには、パーソナルコンピュータやワークステーションのようなＣＰＵ及びメモリを搭載した装置が利用可能であり、業務認証情報受信部１１を実装できる。業務端末４１ａ、４１ｂ、．．．、４１ｎは、業務を実行する担当者に応じた台数が配備され、一般的に多数である。

認証装置４２には、業務アクセス情報変換部１２、業務アクセス情報記憶部１３を実装できる。認証装置４２はＣＰＵ及びメモリを搭載した一般的なコンピュータを利用できる。認証装置４２は、イントラネットと呼ばれる組織内ネットワークを介して接続可能な場所に1台設置される場合が一般的である。しかし、インタネットを介して接続可能な場所に設置される場合、イントラネットと呼ばれる組織内ネットワークを介して接続可能な場所に設置される場合、業務端末３１と同じネットワーク内部に設置される場合のいずれの場所に設置されていても、本発明の範囲を逸脱しない。

通信中継装置４３には、ＣＰＵ及びメモリを搭載しており接続状態維持部１４を実装できる。通信中継装置４３はスイッチあるいはルータと呼ばれる装置が利用できる。通信中継装置４３は、中継装置の性能、ネットワーク構成、建物やフロア構成などにより異なるが、一般的に1台の中継装置で複数台の業務端末や電子機器を接続できる。

業務装置４４ａ、４４ｂ、．．．、４４ｍには、それぞれ異なる業務アプリケーションが実装される場合、負荷分散などに応じて複数台の業務装置に同一業務アプリケーションが実装される場合、一台の業務装置に複数の業務アプリケーションが実装される場合あるが、いずれの場合も本発明の範囲を逸脱しない。業務装置４４ａ、４４ｂ、．．．、４４ｍは、ＣＰＵ及びメモリを搭載しており、一般的なコンピュータを利用できる。業務装置４４は、インタネットを介して接続可能な場所に設置される場合、イントラネットと呼ばれる組織内ネットワークを介して接続可能な場所に設置される場合、業務端末４１と同じネットワーク内部に設置される場合のいずれの場所に設置されていても、本発明の範囲を逸脱しない。

図５は、本発明の更に他の実施形態を示すブロック図である。

業務認証情報受信部１１、業務アクセス情報変換部１２、業務アクセス情報記憶部１３、接続状態維持部１４、通信処理部１６を通信中継装置に実装し、実施することができる。図４のブロック図において業務端末４１に実装されていた業務認証情報受信部１１を通信中継装置４３に実装し、入力装置２と表示装置３を専用端末４１に残す構成としている。認証装置４２に実装されていた業務アクセス情報変換部１２と業務アクセス情報記憶部１３を通信中継装置４３に実装し認証装置４２は利用しない。

各部の処理内容については、他の構成例と同様であるため、ここでは詳述しない。

図６は、本発明の統合業務認証システム１の動作例を示すシーケンス図である。

業務端末に接続されている入力装置2から入力されたアクセス要求情報は、業務認証情報受信部１１に送信され（６０１）、個人認証情報と業務アプリケーション識別子に分離され（６０２）、業務アクセス情報変換部１２に送信される（６０３）。業務アクセス情報変換部１２では、業務アクセス情報記憶部１３を利用し、該当する利用者の要求する業務アプリケーションの業務アクセス情報を検索する（６０４）。検索された業務アクセス情報は接続状態維持部１４に送信され（６０５）、該当する業務アプリケーションに送信される業務アクセス情報を確認し、IPアドレスとポート番号を設定し（６０６）、業務アプリケーション１５に送信する（６０７）。

接続状態維持部１４では、業務アプリケーションと応答を繰り返し（６０８）、接続処理が完了した場合、業務情報を業務端末４１に送信し（６０９）、表示装置３において該当業務情報が表示され利用者は業務を進める（６１０）。

業務アクセス情報変換部１２、接続状態維持部１４において、アクセスが不可能と判断された場合、その旨は業務認証情報受信部１１に送信され（６１１）、業務端末４１に接続されている表示装置３に表示される（６１２）。

図７は本発明において利用するインタネット環境で利用されるパケットデータ７０１の形式である。

接続状態維持部１４が業務アプリケーションにパケットデータ７０１を送信する場合、前記業務アプリケーションが実装されている装置のIPアドレスはあて先ＩＰアドレス７１１、業務端末のＩＰアドレスは送信元ＩＰアドレス７１０として、ＩＰヘッダ７０３に記載することになっており、それぞれＩＰヘッダ７０３の129ビット目から32ビット、97ビット目から32ビットで表現される。

業務アプリケーションのＩＰポート番号はあて先ポート番号７１５、業務端末のポート番号は送信元ポート番号７１４として、ＴＣＰヘッダ７０４に記載することになっており、それぞれＴＣＰヘッダ７０４の17ビット目から16ビット、1ビット目から16ビットで表現される。

業務アプリケーションを起動するためのアクセスデータはデータ部７０５に記述されている。

接続状態維持部１４が業務アプリケーションからパケットデータを受信する場合は、あて先と送信元のＩＰアドレス、ポート番号がそれぞれ入れ替わる。

このように、本発明の統合業務認証システムにおいて、複数の異なる業務アプリケーションを、同一端末で統合された認証を実行し、セキュリティを確保された環境で実行できる。

統合業務認証システムの一実施形態を示すブロック図である。 業務アクセス情報テーブル２１の例を示す図である。 統合業務認証システムの動作例を示すフローチャートである。 統合業務認証システムの一実施形態を示すブロック図である。 統合業務認証システムの一実施形態を示すブロック図である。 統合業務認証システムの動作例を示すシーケンス図である。 インタネット環境で利用されるパケットデータの形式を示す図である。

符号の説明

１：統合業務認証システム、２：入力装置、３：表示装置、１１：業務認証情報受信部、１２：業務アクセス情報変換部、１３：業務アクセス情報記憶部、１４：接続状態維持部、１５：業務アプリケーション、１６：通信処理部、２１：業務アクセス情報テーブル
４１ａ,４１ｂ,．．．,４１ｎ：業務端末、４２：認証装置、４３：通信中継装置、４４ａ,４４ｂ,．．．,４４ｍ：業務装置

Claims (10)

1. ユーザ端末から業務アプリケーションへのアクセス要求に応じて認証処理およびアクセス処理を行う認証システムであって、
   前記ユーザ端末から個人認証情報と利用する業務アプリケーション識別子とを受信する業務認証情報受信手段と、
   前記個人認証情報および前記業務アプリケーション識別子毎に、前記業務アプリケーション識別子が示す業務アプリケーションへアクセスするための情報を保持する業務アクセス情報記録手段と、
   前記業務認証情報受信手段が受信した個人認証情報と業務アプリケーション識別子をもとに、前記業務アクセス情報記録手段を検索し、前記業務アプリケーションへのアクセス処理を行うか否かを判断する業務アクセス情報変換手段と、
   前記業務アクセス情報変換手段が前記業務アプリケーションへのアクセス処理を行うと判断した場合に、前記アクセスするための情報をもとに前記業務アプリケーションへのアクセス処理を行う接続状態維持手段とを有し、
   前記アクセスするための情報は、前記業務アプリケーションが実装される装置のアドレス情報と前記業務アプリケーションにアクセスするためのコマンドを含み、
   前記接続状態維持手段は、前記アドレス情報を宛先アドレスとするパケットを前記コマンドを入れた状態で生成し、前記装置へ送信することを特徴とする。
2. 請求項１記載の認証システムであって、
   前記業務アクセス情報変換手段は、前記業務アプリケーションへのアクセス処理を行わないと判断した場合に、前記業務認証情報受信手段にアクセス不可を通知することを特徴とする。
3. 請求項１記載の認証システムであって、
   前記アクセスするための情報は、更に前記業務アプリケーションで使用するポート番号を含み、
   前記接続状態維持手段は、前記パケットの宛先ポート番号として前記使用するポート番号を設定することを特徴とする。
4. 請求項３記載の認証システムであって、
   前記接続状態維持手段は、前記業務アプリケーションから応答パケットを受信し、該受信したパケットの送信元アドレスと送信元ポート番号が、前記送信先アドレスと送信先ポート番号ポートと一致した場合に、前記アクセス処理を継続することを特徴とする。
5. 請求項４記載の認証システムであって、
   前記接続状態維持手段は、前記応答パケットを一定期間受信しない場合、前記業務認証情報受信手段にアクセス不可を通知することを特徴とする。
6. ユーザ端末から業務アプリケーションへのアクセス要求パケットを受信し、業務アプリケーションへの認証処理およびアクセス処理を行うために業務アプリケーションが実装される装置へパケットを送信する情報中継装置であって、
   前記ユーザ端末から個人認証情報と利用する業務アプリケーション識別子とを受信する業務認証情報受信部と、
   前記個人認証情報および前記業務アプリケーション識別子毎に、前記業務アプリケーション識別子が示す業務アプリケーションへアクセスするための情報を保持する業務アクセス情報記録部と、
   前記業務認証情報受信部が受信した個人認証情報と業務アプリケーション識別子をもとに、前記業務アクセス情報記録部を検索し、前記業務アプリケーションへのアクセス処理を行うか否かを判断する業務アクセス情報変換部と、
   前記業務アクセス情報変換部が前記業務アプリケーションへのアクセス処理を行うと判断した場合に、前記アクセスするための情報をもとに前記業務アプリケーションへのアクセス処理を行う接続状態維持部とを有し、
   前記アクセスするための情報は、前記業務アプリケーションが実装される装置のアドレス情報と前記業務アプリケーションにアクセスするためのコマンドを含み、
   前記接続状態維持手段は、前記アドレス情報を宛先アドレスとするパケットを前記コマンドを入れた状態で生成し、前記業務アプリケーションが実装される装置へ送信することを特徴とする。
7. 請求項６記載の情報中継装置であって、
   前記業務アクセス情報変換部は、前記業務アプリケーションへのアクセス処理を行わないと判断した場合に、前記業務認証情報受信部にアクセス不可を通知することを特徴とする。
8. 請求項６記載の情報中継装置であって、
   前記アクセスするための情報は、更に前記業務アプリケーションで使用するポート番号を含み、
   前記接続状態維持部は、前記パケットの宛先ポート番号として前記使用するポート番号を設定することを特徴とする。
9. 請求項８記載の情報中継装置であって、
   前記接続状態維持部は、前記業務アプリケーションから応答パケットを受信し、該受信したパケットの送信元アドレスと送信元ポート番号が、前記送信先アドレスと送信先ポート番号ポートと一致した場合に、前記アクセス処理を継続することを特徴とする。
10. 請求項９記載の認証システムであって、
    前記接続状態維持部は、前記応答パケットを一定期間受信しない場合、前記業務認証情報受信部にアクセス不可を通知することを特徴とする。

Images