JP5268843B2 - 認証システム、認証方法、認証装置、プログラム - Google Patents

Description

本発明は、多要素認証技術とシングルサインオン技術との組合せ技術に関する。

パスワード認証、指紋などの生体情報を用いた生体認証、ＩＣカード認証、回線認証、機器認証その他さまざまな認証要素を組み合わせて認証強度を高めることを多要素認証と呼び、現在、徐々にインターネットバンキング等で利用されつつある。

一方、一度の認証で複数のコンピュータ（以下、サーバ装置という。）上のソフトウェアリソースの利用を可能にすることによって、ユーザが異なるサーバ装置上のソフトウェアリソースを利用する毎に認証を実施する必要をなくす機能をシングルサインオンと呼び、徐々にその実施が拡大しつつある（例えば非特許文献１参照）。

シングルサインオン技術として、ＯＡＳＩＳという団体が標準化を推進しているSAML v2.0（非特許文献２参照）という方式が一般的になりつつあり、サーバ装置（サービスプロバイダー；ＳＰ）とユーザ装置（ユーザーエージェント；ＵＡ）とは別に認証装置（アイデンティティープロバイダー；ＩＤＰ）があり、認証を一括して実施する仕組みになっている。

エヌ・ティ・ティ・コミュニケーションズ株式会社、「マスターＩＤ」、[平成21年9月1日検索]、インターネット〈ＵＲＬ ： http://506506.ntt.com/masterid/explain/index.html〉 OASIS (Organization for the Advancement of Structured Information Standards), "Security Assertion Markup Language(SAML) v2.0"， [平成21年9月1日検索], インターネット<URL : http://www.oasis-open.org/specs/index.php#samlv2.0>

今後、認証に多要素認証技術およびシングルサインオン技術を利用するというニーズが高まると予想される。

認証装置と複数のサーバ装置との間でシングルサインオンを行う場合、各々のサーバ装置で採用される認証ポリシー（認証要素の種類や組み合わせ、有効期間など、認証の成否に影響を与える設定）が異なることが予想され、この際、認証装置がそれぞれのサーバ装置の認証ポリシーに柔軟に対応する必要が生じるであろう。

一つのサーバ装置においてソフトウェアリソースの内容に応じて複数の認証要素に拠る認証が必要な例として、インターネットバンキングがある。単に口座の残高確認であればパスワードのみでいいが、振込み等の場合にはセキュリティを高めるために第２の認証を要求するといった仕組みが取り入れられている。

こうした複数の認証要素に拠る認証を必要とするサーバ装置同士がシングルサインオンで連携する場合として、高額の商品をネットショッピングで購入する場合が考えられる。高額取引である場合、複数の銀行口座から分割してネットショッピングサイトに入金することが考えられるが、各銀行サーバ装置にアクセスするたびに認証を実施しなければならなく、これを煩わしいとユーザが感じるであろう。このような状況に対して、各銀行サーバ装置がシングルサインオンで連携することが考えられるが、各銀行サーバ装置には銀行サーバ装置ごとの認証ポリシーがあり、サービスに必要な認証要素の組み合わせが各銀行サーバ装置で一般的に異なることを考慮しなければならない。例えば取引額が５００万円として、Ａ銀行サーバ装置から３００万円、Ｂ銀行サーバ装置から１５０万円、Ｃ銀行サーバ装置から５０万円をネットショッピングサイトに入金する場合の例では、各銀行サーバ装置の振込金額等で定まる認証ポリシーに応じて、Ａ銀行サーバ装置ではパスワード認証、指紋認証、リスクベース認証を必要とし、Ｂ銀行サーバ装置では第１パスワード認証、第２パスワード認証、カード認証を必要とし、Ｃ銀行サーバ装置ではパスワード認証、カード認証を必要とするといったように、サービスに必要な認証要素の組み合わせが各銀行サーバ装置で異なる。

上述の銀行サーバ装置の場合と同様に、一般的なサービスプロバイダーは、サービスごとに認証ポリシーを持っており、この認証ポリシーに基づいて各種認証要素の組み合わせを要求することが現実的であろう。

ところで、ソフトウェアをサービスとしてネットワーク経由で提供するSaaS (Software as a Service)と呼ばれる形態のサービスが近年注目されている。SaaSは複数のユーザによって共用されることが一般的である。このユーザには企業のようなグループユーザ（一つまたは複数のユーザの纏まりを一単位とするユーザ）も含まれる。企業は通常、自社の情報資産を守るために各々のルールでセキュリティポリシーを規定している。このため、或る企業が或るサービスを利用するときに必要とされる認証ポリシーについて、グループユーザである企業ごとに異なることを考慮しなければならない。

このような場合、前出の例（認証装置がそれぞれのサーバ装置の認証ポリシーに柔軟に対応する場合）とは異なり、認証装置がそれぞれのグループユーザの認証ポリシーに柔軟に対応する必要が生じるであろう。

さらに言えば、認証装置がそれぞれのサーバ装置の認証ポリシーに柔軟に対応することと、認証装置がそれぞれのグループユーザの認証ポリシーに柔軟に対応することとの両立が求められる場合もあるであろう。

また、認証装置がそれぞれのサーバ装置／グループユーザの認証ポリシーに柔軟に対応するということが、単純に個々の認証ポリシーに従って認証を行えば足りることを意味するに止まらず、サーバ装置／グループユーザからの随意の要求に応じて変わり得る、認証ポリシーの具体的な内容に柔軟に対応するということを意味する場合もあることを考慮しなくてはならない。つまり、認証ポリシーが不変的内容を持つのではなく、その内容が随意の要求に応じて変わり得るのである。

例えば、シングルサインオンでは、認証が過去一定期間内（認証の有効期間）に成功していれば、ユーザ装置には現実の認証処理を求めずに、シングルサインオン要求元のサービスプロバイダに認証成功という応答がなされることが一般的である。しかし、サービスを提供している間で継続的に正規のユーザが利用していることが求められる場合に、途中でユーザが入れ替わっていないことを確認するために、認証の有効期間に関わらず強制的に再認証を行うことが必要になることが考えられる。

また、認証装置がそれぞれのサーバ装置／グループユーザの認証ポリシーに柔軟に対応するという観点から、認証ポリシーにより要求される認証要素のうち全部または一部がサーバ装置／グループユーザにより指定可能な構成が望まれることも考慮すべきであろう。

さらに、認証装置がそれぞれのサーバ装置／グループユーザの認証ポリシーに柔軟に対応するという観点から、認証ロジックが認証強度の代替性を有する構成が望まれることも考慮すべきであろう。例えば、認証ポリシーに拠る認証要素がＸとＹとＺである場合に、ＸとＹとＺのうち一つでも認証に失敗するか実施できなかったとすると認証全体が失敗であると扱われる認証ロジックだと、運用が硬直的であってユーザビリティが高くない。ユーザが何らかの事情で認証要素Ｚによる認証を受けることができないが、認証要素Ｘ，Ｙ，Ｚの組み合わせで得られる認証強度と同程度かそれ以上の認証強度を与える認証要素ＶとＷとの組み合わせによる認証にユーザが成功できるのであれば、認証要素ＶとＷによる認証を実施して、ユーザにサービスを提供することに特段の問題は無いはずである。ここで認証強度は、何らかの客観的な指標に基づく認証要素それぞれあるいは複数の認証要素の組み合わせの認証強度を言うに限らず、サービスを運営する者などの主観的な評価に拠る認証強度であってもよい。

このような来たる状況を見出したことに鑑みて、本発明は、サーバ装置による認証を認証装置による認証で代行実施する認証技術において、認証装置がそれぞれのサーバ装置／グループユーザの認証ポリシーに柔軟に対応する認証技術を提供することを目的とする。

本発明の一つは、次のとおりである。認証装置の記憶部に、一つまたは複数のユーザ装置をメンバーとするグループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（登録認証式）との対応関係を表すデータベースであるグループ認証ロジックデータベースが記憶されている。まず、サーバ装置の認証指示情報生成部が、ユーザ装置（送信元装置）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を生成し、（認証指示情報生成処理）、サーバ装置の送信部が、認証指示情報を認証装置に送信する（送信処理）。認証装置の受信部が、サーバ装置から認証指示情報を受信すると（受信処理）、認証装置の認証式特定部が、グループ認証ロジックデータベースを参照して、発信元装置が所属するグループユーザと認証指示情報とに対応する登録認証式を得て、当該登録認証式から発信元装置に対して実施する認証式（実施認証式）を特定する（認証式特定処理）。そして、認証装置の認証実行部が、発信元装置に対して、実施認証式に従って認証を行い（認証実行処理）、認証装置の送信部が、認証実行処理の認証結果を、認証指示情報を送信したサーバ装置に送信する（送信処理）。この場合、グループ認証ロジックデータベースにグループユーザごとに決定された認証ポリシーが登録されているので、認証装置がそれぞれのグループユーザの認証ポリシーに応ずる認証が可能である。

本発明の一つは、次のとおりである。認証装置の記憶部に、サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（登録認証式）との対応関係を表すデータベースであるサーバ認証ロジックデータベースが記憶されている。まず、サーバ装置の認証指示情報生成部が、ユーザ装置（送信元装置）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を生成し（認証指示情報生成処理）、サーバ装置の送信部が、認証指示情報を認証装置に送信する（送信処理）。認証装置の受信部が、サーバ装置から認証指示情報を受信し（受信処理）、認証装置の認証式特定部が、サーバ認証ロジックデータベースを参照して、認証指示情報を送信したサーバ装置と認証指示情報とに対応する登録認証式を得て、当該登録認証式から発信元装置に対して実施する認証式（実施認証式）を特定する（認証式特定処理）。そして、認証装置の認証実行部が、発信元装置に対して、実施認証式に従って認証を行い（認証実行処理）、認証装置の送信部が、認証実行処理の認証結果を、認証指示情報を送信したサーバ装置に送信する（送信処理）。この場合、サーバ認証ロジックデータベースにサーバ装置ごとに決定された認証ポリシーが登録されているので、認証装置がそれぞれのサーバ装置の認証ポリシーに応ずる認証が可能である。

本発明の一つは、次のとおりである。認証装置の記憶部に、一つまたは複数のユーザ装置をメンバーとするグループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（登録認証式）との対応関係を表すデータベースであるグループ認証ロジックデータベースと、サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（登録認証式）との対応関係を表すデータベースであるサーバ認証ロジックデータベースとが記憶されている。まず、サーバ装置の認証指示情報生成部が、グループユーザに含まれるユーザ装置またはグループユーザに含まれないユーザ装置（送信元装置）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報と、異なる二つの認証タイプＸ，Ｙとその組み合わせのいずれかを表す情報である認証種別情報を少なくとも含む認証指示情報を生成し（認証指示情報生成処理）、サーバ装置の送信部が、認証指示情報を認証装置に送信する（送信処理）。そして、認証装置の受信部が、サーバ装置から認証指示情報を受信し（受信処理）、証装置の認証式特定部が、［１］認証指示情報に含まれる認証種別情報がＸの場合に、グループ認証ロジックデータベースを参照して、発信元装置が所属するグループユーザと認証指示情報とに対応する登録認証式を得て、当該登録認証式から発信元装置に対して実施する認証式（実施認証式）を特定し、［２］認証指示情報に含まれる認証種別情報がＹの場合に、サーバ認証ロジックデータベースを参照して、認証指示情報を送信したサーバ装置と認証指示情報とに対応する登録認証式を得て、当該登録認証式から発信元装置に対して実施する認証式（実施認証式）を特定し、［３］認証指示情報に含まれる認証種別情報がＸとＹの組み合わせである場合に、グループ認証ロジックデータベースを参照して得られる、発信元装置が所属するグループユーザと認証指示情報とに対応する登録認証式と、サーバ認証ロジックデータベースを参照して得られる、認証指示情報を送信したサーバ装置と認証指示情報とに対応する登録認証式との組み合わせを得て、当該組み合わせから発信元装置に対して実施する認証式（実施認証式）を特定する（認証式特定処理）。そして、認証装置の認証実行部が、発信元装置に対して、実施認証式に従って認証を行い（認証実行処理）、認証装置の送信部が、認証実行処理の認証結果を、認証指示情報を送信したサーバ装置に送信する（送信処理）。この場合、グループ認証ロジックデータベースにグループユーザごとに決定された認証ポリシーが登録されており、サーバ認証ロジックデータベースにサーバ装置ごとに決定された認証ポリシーが登録されているので、認証種別情報に応じて、認証装置がそれぞれのユーザ装置および／またはグループユーザの認証ポリシーに応ずる認証が可能である。

少なくとも各サーバ装置に対応する登録認証式のうちいずれか、あるいは少なくとも各グループユーザに対応する登録認証式のうちいずれかを、複数の認証要素を積および／または和で連結して得られる式としてもよい。この場合、認証強度に代替性を持たせることができる。

また、グループ認証ロジックデータベースとサーバ認証ロジックデータベースの少なくともいずれかにおいて、登録認証式に含まれる各認証要素に、認証実施が必須であるかオプションであるかを表す要否情報が対応付けられているとし、認証指示情報は、オプションを表す要否情報が対応付けられた認証要素を実施することを指定するオプション認証要素指示情報を含みえるとし、実施認証式を、登録認証式に含まれる認証要素のうち、認証指示情報に含まれたオプション認証要素指示情報で指定される認証要素を除き、オプションを表す要否情報が対応付けられた認証要素を除外して得られる認証式としてもよい。この場合、サーバ装置／グループユーザからの随意の要求に応じた認証が可能になる。

本発明に拠れば、グループユーザごとに決定された認証ポリシーが登録されたグループ認証ロジックデータベース／サーバ装置ごとに決定された認証ポリシーが登録されたサーバ認証ロジックデータベースが認証装置に保有されているので、認証装置がそれぞれのグループユーザ／ユーザ装置の認証ポリシーに柔軟に応ずる認証が可能である。

第１実施形態の認証システムの構成例を示す図。 グループ認証ロジックデータベースの例を示す図。 認証結果データベースの例を示す図。 第１実施形態の認証方法の処理フロー。 第２実施形態の認証システムの構成例を示す図。 サーバ認証ロジックデータベースの例を示す図。 第２実施形態の認証方法の処理フロー。 第３実施形態の認証システムの構成例を示す図。 グループ認証ロジックデータベースから得られた登録認証式Ｒ１とサーバ認証ロジックデータベースから得られた登録認証式Ｒ２との組み合わせで得られる登録認証式Ｒ３を表現するデータベースの例。 グループ認証ロジックデータベースから得られた登録認証式Ｒ１とサーバ認証ロジックデータベースから得られた登録認証式Ｒ２との組み合わせで得られる登録認証式Ｒ３において、積で連結された認証要素のグループに同じ認証要素が現れる場合に、認証強度を強める方向で縮約した結果の登録認証式を表現するデータベースの例。 第３実施形態の認証方法の処理フロー。 ユーザ装置が実施できない認証要素が登録されたブラックリスト型データベースの例。 第２変形実施形態の認証システムの構成例を示す図。 ユーザ管理データベースの例。 第２変形実施形態の認証方法の処理フロー。

図面を参照しながら、本発明の実施形態について説明する。
［第１実施形態］は、認証装置がグループユーザの認証ポリシーに柔軟に対応するグループオーソリティ型認証形態である。
［第２実施形態］は、認証装置がサーバ装置の認証ポリシーに柔軟に対応するサーバオーソリティ型認証形態である。
［第３実施形態］は、サーバオーソリティ型認証とグループオーソリティ型認証との両立形態である。

［第１実施形態］
第１実施形態はグループユーザが認証ポリシーを決定した場合の形態（グループオーソリティ型認証形態）である。例えば、企業などのグループユーザが、そのメンバーのリソース利用について、独自の認証ポリシーを決定している場合がある。第１実施形態は、このような場合に、認証装置がグループユーザの認証ポリシーに柔軟に対応する実施形態である。

本発明の第１実施形態である認証システム１は、相互に通信可能とされた、サーバ装置２００、認証装置３００を含む（図１参照）。一つの認証装置３００に対して複数のサーバ装置２００が存在する実施形態が通例であり、この発明の理解を容易にする観点から、一つの認証装置３００に対して二つのサーバ装置２００，４００が存在する実施形態として説明する。

また、この第１実施形態では、認証システム１に一つまたは複数のユーザ装置１００−１，１００−２，・・・が含まれる。これらユーザ装置１００−１，１００−２，・・・は一つのグループユーザを形成している。なお、概念的には、人間であるユーザの集団がグループユーザを形成していると考えられるが、個々のユーザがユーザ装置を使用する時点で、ユーザとユーザ装置とが１対１の関係に等価的に評価されるから、複数のユーザ装置が一つのグループユーザを形成していると考えて差し支えない。勿論、例えば物理アドレスで特定される複数のユーザ装置の集団がグループユーザを形成してもよい。認証システム１には、複数のグループユーザが存在してもよい。個々のユーザ装置は、サーバ装置によるリソース提供の対象であってかつ認証装置３００が行う認証の対象である。認証ポリシーは、グループユーザごとに定められている。なお、本発明においては、決定主体により定められた認証ポリシーに応じて柔軟な認証を行うことを特徴の一つとするから、ユーザ装置やグループユーザそのものが発明の必須構成要素であるわけではない。

各サーバ装置２００，４００は中央処理装置、記憶装置、送受信装置などのハードウェアを備えたコンピュータで実現され、各サーバ装置２００，４００が発揮する機能は後述の機能を発現するように記述されたプログラムを中央処理装置が解釈・実行することで実現される。ユーザ装置１００−１，１００−２，・・・、認証装置３００についても同様である。

各ユーザ装置１００−１，１００−２，・・・は、サーバ装置２００，４００により提供されるソフトウェアリソース（アプリケーションサービス、データ、その他種々のリソースを含む。）を指示する情報であるリソース指示情報を、サーバ装置２００あるいはサーバ装置４００に対して送信する送信部１０１と、認証装置３００との間で認証を行う認証処理部１０２とを備えている（図１参照）。以下、ユーザ装置１００−１を、ユーザ装置１００と呼称し、ユーザ装置の代表として説明する。

サーバ装置２００は、ユーザ装置１００からリソース指示情報を受信する受信部２０１と、リソース指示情報に基づき、認証装置３００がユーザ装置１００に対して実施する認証を特定するために認証装置３００が用いる情報である認証指示情報を生成する認証指示情報生成部２０２と、認証指示情報を認証装置３００に送信する送信部２０４を備えている（図１参照）。

認証指示情報には、少なくともサーバＩＤが含まれ、さらにリソース指示情報に応じてリソースＩＤ情報も含まれる。サーバＩＤは、個々のサーバ装置に割り当てられた固有ＩＤ（つまり、サーバ装置を識別するための情報）であり、認証指示情報には当該認証指示情報を生成したサーバ装置のサーバＩＤが含まれる。リソースＩＤは、個々のソフトウェアリソースに割り当てられた固有ＩＤ（つまり、ソフトウェアリソースを識別するための情報）である。リソースＩＤ情報は、リソースＩＤを表す情報であり、認証指示情報にはリソース指示情報で指示されたソフトウェアリソースのリソースＩＤを表すリソースＩＤ情報が含まれる。なお、リソース指示情報にソフトウェアリソースが指定されていない場合や、リソース指示情報で指定されたソフトウェアリソースが認証システムのデフォルト設定のそれである場合、認証指示情報にリソースＩＤ情報が含まれない実施形態も許容される（この場合、認証装置３００は、デフォルト設定されたソフトウェアリソースのリソースＩＤを認証装置３００における処理に用いる。）。また、リソースＩＤ情報がリソースＩＤそのものであってもよい。

認証指示情報には、サーバＩＤとリソースＩＤ情報以外に強制実施認証要素指示情報、オプション認証要素指示情報、グループＩＤが含まれる場合がある。強制実施認証要素指示情報は、直前の認証結果に係らず認証装置３００がユーザ装置１００に対して強制実施する認証要素を指示する情報である。オプション認証要素指示情報は、サーバ装置から随意の要求があった場合に認証装置３００がユーザ装置１００に対して実施する認証要素を指示する情報である。グループＩＤは、個々のグループユーザに割り当てられた固有ＩＤ（つまり、グループユーザを識別するための情報）であり、認証指示情報にはリソース指示情報を送信したユーザ装置の所属するグループユーザのグループＩＤが含まれる。

サーバ装置２００について説明したことは、サーバ装置４００はもとよりその他のサーバ装置についても当てはまる。

次に、認証装置３００は、記憶部３０９を備えており、この記憶部３０９に、グループ認証ロジックデータベース３０９ａが記憶されている（図１参照）。

グループ認証ロジックデータベース３０９ａは、グループＩＤと、リソースＩＤと、認証ロジックとの対応関係を表すデータベースである（図２参照）。グループＩＤごとの、リソースＩＤと認証ロジックとの対応関係は、グループＩＤで特定されるグループユーザの認証ポリシーを表している。各サーバ装置が提供可能なアプリケーションリソースのリソースＩＤは事前にグループユーザに提供されており、この事前情報に基づいて作成された認証ポリシーは事前に各グループユーザから認証装置３００に登録されている。ここで「認証ロジック」は、認証要素の組み合わせである認証式、各認証要素の実施要否、各認証要素による認証の有効期間など、認証に係る設定を表す。「認証要素の組み合わせ」は当該組み合わせに複数の認証要素が含まれることに限定せず、当該組み合わせに一つの認証要素のみが含まれる場合も許容される。また、「認証式」は、各認証要素を積および／または和で連結して得られる式であるが、組み合わせに一つの認証要素のみが含まれる場合には、一つの認証要素そのものが認証式となる。各認証要素の認証結果を２ビットで表現したとき（認証成功を１、認証失敗を０とする）、この認証式は、積をＡＮＤ演算、和をＯＲ演算とする論理式と等価となる。図２に示すグループ認証ロジックデータベース３０９ａでは、この認証式をデータベースに登録するため、積で連結される認証要素の集合と、和で連結される集合を表現するための認証タグを利用している。リソースＩＤごとに、異なる認証タグが認証要素に対応付けられている。この例では認証タグは二桁の整数である。十の位が同じ認証タグに対応する認証要素の集合では各認証要素が積で連結され、十の位に対応する各集合は和で連結され、この結果、認証式が構成される。各認証要素の実施要否は、認証実施が必須であるか否かを表す。図２に示すグループ認証ロジックデータベース３０９ａでは、必須実施の認証要素に○が登録され、オプション認証要素指示情報により指定された場合に実施（オプション実施）する認証要素に□が登録されている。各認証要素による認証の有効期間は、認証が成功した場合のその有効期間を表している。認証要素は図２に示すグループ認証ロジックデータベース３０９ａでは、Ａ，Ｂ，Ｃ，Ｄなどで表しているが、認証要素の具体例としては、回線認証、機器認証、パスワード認証、カード認証、生体認証などが挙げられる。

図２に示すグループ認証ロジックデータベース３０９ａを参照して、グループ認証ロジックデータベース３０９ａを具体的に説明する。グループユーザＧ１のグループＩＤをＧＲ１、グループユーザＧ２のそれをＧＲ２とする。また、サーバ装置２００が提供可能なソフトウェアリソースのリソースＩＤをＳＶ１，ＳＶ２とし、サーバ装置４００が提供可能なソフトウェアリソースのリソースＩＤをＳＶ１とする。リソースＩＤは、サーバ装置２００とサーバ装置４００との間で重複してもよい。リソースＩＤが重複しても、それを提供する主体（つまり、ユーザ装置がアクセスしたサーバ装置）を表すサーバＩＤにより識別されるからである。また、サーバ装置２００とサーバ装置４００が同種のソフトウェアリソースを提供することも許容される。例えばサーバ装置２００とサーバ装置４００がWebメールを提供する場合であっても、それを提供する主体（つまり、ユーザ装置がアクセスしたサーバ装置）を表すサーバＩＤによりソフトウェアリソースが識別されるからである。グループＩＤ＝ＧＲ１，リソースＩＤ＝ＳＶ１について、３種類の認証要素Ａ，Ｂ，Ｄが対応し、１０の認証タグが割り当てられた認証要素Ａには必須実施（○）と１時間の有効期間が割り当てられ、１１の認証タグが割り当てられた認証要素Ｂにはオプション実施（□）と１時間の有効期間が割り当てられ、２０の認証タグが割り当てられた認証要素Ａにはオプション実施（□）と３０分の有効期間が割り当てられ、２１の認証タグが割り当てられた認証要素Ｄには必須実施（○）と３０分の有効期間が割り当てられている。従って、グループＩＤ＝ＧＲ１，リソースＩＤ＝ＳＶ１についての認証ポリシーに拠る認証式は、１０番台の認証タグに対応する認証要素の積と、２０番台の認証タグに対応する認証要素の積と、それらの和で表され、具体的には式（１）で表される。なお式中、丸囲み記号は必須実施を、四角囲み記号はオプション実施を表す。同様に、グループＩＤ＝ＧＲ２，リソースＩＤ＝ＳＶ１について、１種類の認証要素Ｂが対応し、認証要素が１種類だけなので認証タグは形式的に１０が割り当てられ、さらに必須実施（○）と３０分の有効期間が割り当てられている。従って、グループＩＤ＝ＧＲ２，リソースＩＤ＝ＳＶ１についての認証ポリシーに拠る認証式は、認証要素Ｂそのものであり、具体的には式（２）で表される。なお、認証式が一つの認証要素しか含まない場合、その実施要否は必須とされることが一般的であるが、オプション実施とした場合には原則無認証でソフトウェアリソースを提供することになる。

グループ認証ロジックデータベース３０９ａから得られる認証式は、グループユーザから登録された認証ポリシーを反映したものであり、認証装置３００が実際に実施する認証式（以下、実施認証式ともいう。）は、グループ認証ロジックデータベース３０９ａから得られる認証式（以下、登録認証式ともいう。）と認証指示情報と直前の認証結果（認証結果データベース３０９ｂであり後述する。）とに基づいて決定される。具体的には、認証装置３００は、登録認証式を特定した後、
《１》登録認証式中の必須実施の認証要素のうち、直前の認証結果が認証成功であって、認証装置３００の現在時刻管理部（図示しない。）が提供する現在時刻が直前の認証時刻からグループ認証ロジックデータベース３０９ａに登録された有効期間を経過していないものをオプション実施に変更し、
《２》認証指示情報にオプション認証要素指示情報が含まれる場合に、登録認証式中のオプション実施の認証要素のうち、オプション認証要素指示情報で指定される認証要素を必須実施とし、
《３》《２》の処理で必須実施に変更された認証要素のうち、直前の認証結果が認証成功であって、認証装置３００の現在時刻管理部が提供する現在時刻が直前の認証時刻からグループ認証ロジックデータベース３０９ａに登録された有効期間を経過していないものをオプション実施に変更し、
《４》認証指示情報に強制実施認証要素指示情報が含まれる場合に、《３》の処理で得られた認証式に含まれるオプション実施の認証要素のうち、強制実施認証要素指示情報で指定される認証要素を必須実施とし、
《Ｆ》これらの処理で得られた認証式からオプション実施とされた認証要素を除いて得られる認証式を、実際に実施する認証式とする。なお、オプション認証要素指示情報で指定可能な認証要素は、グループ認証ロジックデータベース３０９ａでオプション実施が登録されている認証要素であり、強制実施認証要素指示情報で指定可能な認証要素は、グループ認証ロジックデータベース３０９ａで必須実施が登録されている認証要素およびオプション認証要素指示情報で指定された認証要素である。

ここでは登録認証式（１）の例を用いて説明する。前回の認証時刻が午前９：００で今回の認証時刻が同日午前９：１５とする。認証指示情報には、認証要素ＢとＤを指定する強制実施認証要素指示情報と、認証要素Ｂを指定するオプション認証要素指示情報が含まれるとする。前回の認証では、認証要素ＡとＢは失敗、認証要素Ｄは成功であったとする。この場合、登録認証式（１）は処理《１》により認証式（１ａ）に変形され、処理《２》により認証式（１ｂ）に変形され、処理《３》により認証式（１ｃ）に変形され、処理《４》により認証式（１ｄ）に変形され、処理《Ｆ》により認証式（１ｅ）が得られる。結局、この例では、認証装置３００が実際に実施する認証式は（１ｅ）であり、認証要素ＡとＢの両方による認証に成功した場合、あるいは認証要素Ｄによる認証に成功した場合に認証全体が成功となる。

上述の例のように認証タグが整数で表される場合、認証タグの値に従って例えば昇順に認証を実施することができる。式（１ｅ）の例では、認証要素Ａの認証タグが１０、認証要素Ｂの認証タグが１１、認証要素Ｄの認証タグが２１なので、Ａ⇒Ｂ⇒Ｄの順番で認証を実施する。従って、認証要素ＡとＢの両方による認証に成功した場合、認証要素Ｄによる認証を行わなくても認証全体が成功であると判定してよいことに留意されたい。勿論、ユーザ装置に対するリソース提供に関してサーバ装置による判定の一助とするため、（途中で認証全体が成功であると判定できたとしても）実際に実施する認証式の個々の認証要素による認証を全て実施することは否定されない。

グループ認証ロジックデータベース３０９ａは、この例に限らず、有効期間を定めなくてもよい。また、認証要素の実施要否を定めることも必須ではなく、この場合、全ての認証要素は必須実施と看做される。

また、記憶部３０９には、ユーザ装置ごとに、各認証要素の前回の認証結果と認証実施時刻を記録した認証結果データベース３０９ｂが記憶されている（図３参照）。図３に示す例では、例えばユーザ装置βについて、認証要素Ａで認証成功かつ９時１２分実施、認証要素Ｂで未実施、認証要素Ｃで認証失敗かつ９時１１分実施、認証要素Ｄで未実施などが登録されている。なお、認証結果データベース３０９ｂは、サーバ装置ごとに用意されるものではない。シングルサインオンの場合、どのサーバ装置からの認証依頼であっても、リソース要求主体であるユーザ装置と認証要素との関係が同一の認証結果データベース３０９ｂに登録される。従って先の例であれば、午前９：００の認証は例えばサーバ装置４００からの依頼で行われてこの認証結果が認証結果データベース３０９ｂに登録され、同日午前９：１５の認証は例えばサーバ装置２００からの依頼で行われ、この際には午前９：００の認証結果も反映された認証結果データベース３０９ｂが使われ、さらに同日午前９：１５の認証結果が認証結果データベース３０９ｂに最新の認証結果が反映されるように上書き登録されることになる。

また、認証装置３００は、サーバ装置２００から認証指示情報を受信する受信部３０１と、認証指示情報とグループ認証ロジックデータベース３０９ａから得られる認証式（登録認証式）と直前の認証結果（認証結果データベース３０９ｂ）とに基づいて実際に実施する認証式を特定する認証式特定部３０２と、認証式特定部３０２によって特定された実施認証式に従って、ユーザ装置１００との間で認証を行う認証実行部３０３と、認証実行部３０３による認証結果をサーバ装置２００に送信する送信部３０４とを備えている（図１参照）。

次に、図４を参照して、認証システム１における処理の流れを叙述的に説明する。
まず、ユーザ装置１００の送信部１０１は、サーバ装置２００が提供可能なソフトウェアリソースを指示する情報であるリソース指示情報を、サーバ装置２００に対して送信する（ステップＳ１）。

サーバ装置２００の受信部２０１が、ユーザ装置１００からリソース指示情報を受信すると（ステップＳ２）、サーバ装置２００の認証指示情報生成部２０２が、リソース指示情報に基づき、認証装置３００がユーザ装置１００に対して実施する認証を特定するために認証装置３００が用いる情報である認証指示情報を生成する（ステップＳ３）。既述のとおり、認証指示情報には少なくともサーバＩＤが含まれるが、強制実施認証要素指示情報、オプション認証要素指示情報、グループＩＤを認証指示情報に含めるか否か、含める場合にはその具体的な内容（但し、グループＩＤとリソースＩＤ情報は除く。）を、サーバ装置２００が自由に決めることができる。

サーバ装置２００の送信部２０４は、ステップＳ３の処理で生成された認証指示情報を認証装置３００に送信する（ステップＳ４）。この送信処理は、例えばHTTPリダイレクトを利用して、リソース指示情報を送ったユーザ装置１００を経由して行われる。あるいは、この送信処理は、SAML v2.0を利用する場合、例えば、認証指示情報とユーザ装置特定情報を記述したExtensionsを認証装置３００に送信する処理でもよい。この送信処理により、認証装置３００は、リソース指示情報を送ったユーザ装置１００を知ることができ、ユーザ装置１００との認証処理や認証結果データベース３０９ｂの作成を行うことができる。

認証装置３００の受信部３０１は、サーバ装置２００から認証指示情報を受信する（ステップＳ５）。受信した認証指示情報にグループＩＤが含まれていない場合には、認証装置３００のＩＤ取得部（図示しない。）が、リソース指示情報を送信したユーザ装置にグループＩＤを問い合わせてそれを取得する（ステップＳ５ａ）。そして、認証装置３００の認証式特定部３０２が、記憶部３０９に記憶されたグループ認証ロジックデータベース３０９ａを参照して登録認証式を求め、認証指示情報と直前の認証結果（認証結果データベース３０９ｂ）とに基づいて実際に実施する認証式（実施認証式）を特定する（ステップＳ６）。この特定処理の具体例は既述のとおりである。

続いて、認証装置３００の認証実行部３０３は、ステップＳ６の処理において特定された実施認証式に従って、ユーザ装置１００の認証処理部１０２との間で認証を行う（ステップＳ７）。各認証要素の認証結果は、認証装置の制御部（図示しない。）によって、認証結果データベース３０９ｂに書き込まれる。

上記の認証が完了すると、認証装置３００の送信部３０４が、ステップＳ７の処理での認証結果をサーバ装置２００に送信する（ステップＳ８）。送信される認証結果には、実際に実施する認証式による認証結果が含まれる。また、送信される認証結果は、実際に実施する認証式による認証結果に替えて、あるいは、実際に実施する認証式による認証結果とともに、各認証要素の認証結果（成功／失敗／未実施／エラー）を含むとしてもよい。個々の認証要素の認証結果を送信することで、既述のとおり、サーバ装置２００側での、各認証要素の認証結果に応じたソフトウェアリソースのフレキシブルな提供を可能ならしめる。この処理は、SAML v2.0を利用する場合、例えば、アサーション（Assertion）に実際に実施する認証式による認証結果を記述し、アサーションの属性情報として各認証要素の認証結果（成功／失敗／未実施／エラー）を記述して、これをサーバ装置２００に送信する処理となる。

サーバ装置２００の受信部２０３が、認証装置３００から上記認証結果を受信する（ステップＳ９）。受信した認証結果が例えば実際に実施する認証式による認証結果である場合には、それが成功を示す場合には、サーバ装置２００の制御部（図示しない。）は、リソース指示情報で指示されたソフトウェアリソースをユーザ装置１００に提供するように制御を行い、それが失敗の場合には、リソース指示情報で指示されたソフトウェアリソースの提供を行わない制御を行う（ステップＳ１０）。また、個々の認証要素の認証結果を受信した場合には、サーバ装置２００の制御部（図示しない。）は、その全ての認証が成功の場合には、リソース指示情報で指示されたソフトウェアリソースをユーザ装置１００に提供するように制御を行い、その全ての認証が成功でない場合でも、認証成功した認証要素の組合せに応じた制限を伴うソフトウェアリソースの提供を行うようにすることができる。

このように第１実施形態によれば、各グループユーザが決定した認証ポリシーを登録したグループ認証ロジックデータベース３０９ａが認証装置３００の記憶部に記憶されているので、グループユーザに属するユーザ装置からのリソースリクエストについて、当該ユーザ装置の属するグループユーザの認証ポリシーに則って認証を行うことができる。また、認証式が認証要素（あるいは積で連結された認証要素）の和の連結で表されることで認証ロジックが認証強度の代替性を有する。また、認証要素の実施要否について必須実施とオプション実施が定められている場合には、オプション実施が定められた認証要素についてサーバ装置の随意の要求に応じた認証が可能である。また、認証指示情報が強制実施認証要素指示情報を含みうる情報であるから、前回の認証成功から有効期間内であっても、サーバ装置の随意の要求に応じた認証が可能である。

［第２実施形態］
第１実施形態はグループユーザが認証ポリシーを決定した場合の形態（グループオーソリティ型認証形態）であったが、第２実施形態はリソース提供主体であるサーバ装置が認証ポリシーを決定した場合の形態（サーバオーソリティ型認証形態）である。

第２実施形態は、第１実施形態と比較して、認証装置の記憶部３０９にグループ認証ロジックデータベース３０９ａに替えてサーバ認証ロジックデータベース３０８ａが記憶されている以外は第１実施形態と同じ構成であるといって過言ではないが、両実施形態は独立して実施できるので、重複事項も含めて第２実施形態を説明する。

本発明の第２実施形態である認証システム２は、相互に通信可能とされた、サーバ装置２００、認証装置３００を含む（図５参照）。一つの認証装置３００に対して複数のサーバ装置２００が存在する実施形態が通例であり、この発明の理解を容易にする観点から、一つの認証装置３００に対して二つのサーバ装置２００，４００が存在する実施形態として説明する。認証ポリシーは、サーバ装置ごとに定められている。

また、この第２実施形態では、リソース提供の相手方であってかつ認証装置３００が行う認証の対象である一つまたは複数のユーザ装置１００が認証システム２に備わっている。なお、本発明においては、決定主体により定められた認証ポリシーに応じて柔軟な認証を行うことを特徴の一つとするから、ユーザ装置そのものが発明の必須構成要素であるわけではない。

各サーバ装置２００，４００は中央処理装置、記憶装置、送受信装置などのハードウェアを備えたコンピュータで実現され、各サーバ装置２００，４００が発揮する機能は後述の機能を発現するように記述されたプログラムを中央処理装置が解釈・実行することで実現される。ユーザ装置１００、認証装置３００についても同様である。

ユーザ装置１００は、サーバ装置２００，４００により提供されるソフトウェアリソース（アプリケーションサービス、データ、その他種々のリソースを含む。）を指示する情報であるリソース指示情報を、サーバ装置２００あるいはサーバ装置４００に対して送信する送信部１０１と、認証装置３００との間で認証を行う認証処理部１０２とを備えている（図５参照）。

サーバ装置２００は、ユーザ装置１００からリソース指示情報を受信する受信部２０１と、リソース指示情報に基づき、認証装置３００がユーザ装置１００に対して実施する認証を特定するために認証装置３００が用いる情報である認証指示情報を生成する認証指示情報生成部２０２と、認証指示情報を認証装置３００に送信する送信部２０４を備える（図５参照）。

認証指示情報には、少なくともサーバＩＤが含まれ、さらにリソース指示情報に応じてリソースＩＤ情報も含まれる。サーバＩＤは、個々のサーバ装置に割り当てられた固有ＩＤ（つまり、サーバ装置を識別するための情報）であり、認証指示情報には当該認証指示情報を生成したサーバ装置のサーバＩＤが含まれる。リソースＩＤは、個々のソフトウェアリソースに割り当てられた固有ＩＤ（つまり、ソフトウェアリソースを識別するための情報）である。リソースＩＤ情報は、リソースＩＤを表す情報であり、認証指示情報にはリソース指示情報で指示されたソフトウェアリソースのリソースＩＤを表すリソースＩＤ情報が含まれる。なお、リソース指示情報にソフトウェアリソースが指定されていない場合や、リソース指示情報で指定されたソフトウェアリソースが認証システムのデフォルト設定のそれである場合、認証指示情報にリソースＩＤ情報が含まれない実施形態も許容される（この場合、認証装置３００は、デフォルト設定されたソフトウェアリソースのリソースＩＤを認証装置３００における処理に用いる。）。また、リソースＩＤ情報がリソースＩＤそのものであってもよい。

認証指示情報には、サーバＩＤとリソースＩＤ情報以外に強制実施認証要素指示情報、オプション認証要素指示情報が含まれる場合がある。強制実施認証要素指示情報は、直前の認証結果に係らず認証装置３００がユーザ装置１００に対して強制実施する認証要素を指示する情報である。オプション認証要素指示情報は、サーバ装置から随意の要求があった場合に認証装置３００がユーザ装置１００に対して実施する認証要素を指示する情報である。

サーバ装置２００について説明したことは、サーバ装置４００はもとよりその他のサーバ装置についても当てはまる。

次に、認証装置３００は、記憶部３０９を備えており、この記憶部３０９に、サーバ認証ロジックデータベース３０８ａが記憶されている（図５参照）。

サーバ認証ロジックデータベース３０８ａは、サーバＩＤと、リソースＩＤと、認証ロジックとの対応関係を表すデータベースである（図６参照）。サーバＩＤごとの、リソースＩＤと認証ロジックとの対応関係は、サーバＩＤで特定されるサーバ装置の認証ポリシーを表している。これら認証ポリシーは事前に各サーバ装置から認証装置３００に登録されている。ここで「認証ロジック」は、認証要素の組み合わせに拠る認証式、各認証要素の実施要否、各認証要素による認証の有効期間など、認証に係る設定を表す。「認証要素の組み合わせ」は当該組み合わせに複数の認証要素が含まれることに限定せず、当該組み合わせに一つの認証要素のみが含まれる場合も許容される。また、「認証式」は、各認証要素を積および／または和で連結して得られる式であるが、組み合わせに一つの認証要素のみが含まれる場合には、一つの認証要素そのものが認証式となる。各認証要素の認証結果を２ビットで表現したとき（認証成功を１、認証失敗を０とする）、この認証式は、積をＡＮＤ演算、和をＯＲ演算とする論理式と等価となる。図６に示すサーバ認証ロジックデータベース３０８ａでは、この認証式をデータベースに登録するため、積で連結される認証要素の集合と、和で連結される集合を表現するための認証タグを利用している。リソースＩＤごとに、異なる認証タグが認証要素に対応付けられている。この例では認証タグは二桁の整数である。十の位が同じ認証タグに対応する認証要素の集合では各認証要素が積で連結され、十の位に対応する各集合は和で連結され、この結果、認証式が構成される。各認証要素の実施要否は、認証実施が必須であるか否かを表す。図６に示すサーバ認証ロジックデータベース３０８ａでは、必須実施の認証要素に○が登録され、オプション認証要素指示情報により指定された場合に実施（オプション実施）する認証要素に□が登録されている。各認証要素による認証の有効期間は、認証が成功した場合のその有効期間を表している。認証要素は図６に示すサーバ認証ロジックデータベース３０８ａでは、Ａ，Ｂ，Ｆ，Ｇ，Ｈなどで表しているが、認証要素の具体例としては、回線認証、機器認証、パスワード認証、カード認証、生体認証などが挙げられる。

図６に示すサーバ認証ロジックデータベース３０８ａを参照して、サーバ認証ロジックデータベース３０８ａを具体的に説明する。サーバ装置２００のサーバＩＤをＳＰ１、サーバ装置４００のそれをＳＰ２とする。また、サーバ装置２００が提供可能なソフトウェアリソースのリソースＩＤをＳＶ１，ＳＶ２とし、サーバ装置４００が提供可能なソフトウェアリソースのリソースＩＤをＳＶ１とする。リソースＩＤは、サーバ装置２００とサーバ装置４００との間で重複してもよい。リソースＩＤが重複しても、それを提供する主体（つまり、ユーザ装置がアクセスしたサーバ装置）を表すサーバＩＤにより識別されるからである。また、サーバ装置２００とサーバ装置４００が同種のソフトウェアリソースを提供することも許容される。例えばサーバ装置２００とサーバ装置４００がWebメールを提供する場合であっても、それを提供する主体（つまり、ユーザ装置がアクセスしたサーバ装置）を表すサーバＩＤによりソフトウェアリソースが識別されるからである。サーバＩＤ＝ＳＰ１，リソースＩＤ＝ＳＶ１について、４種類の認証要素Ａ，Ｆ，Ｇ，Ｈが対応し、１０の認証タグが割り当てられた認証要素Ａにはオプション実施（□）と１時間の有効期間が割り当てられ、１１の認証タグが割り当てられた認証要素Ｆにはオプション実施（□）と１時間の有効期間が割り当てられ、２０の認証タグが割り当てられた認証要素Ｇには必須実施（○）と３０分の有効期間が割り当てられ、２１の認証タグが割り当てられた認証要素Ｈにはオプション実施（□）と３０分の有効期間が割り当てられている。従って、サーバＩＤ＝ＳＰ１，リソースＩＤ＝ＳＶ１についての認証ポリシーに拠る認証式は、１０番台の認証タグに対応する認証要素の積と、２０番台の認証タグに対応する認証要素の積と、それらの和で表され、具体的には式（３）で表される。なお式中、丸囲み記号は必須実施を、四角囲み記号はオプション実施を表す。同様に、サーバＩＤ＝ＳＰ２，リソースＩＤ＝ＳＶ１について、１種類の認証要素Ｂが対応し、認証要素が１種類だけなので認証タグは形式的に１０が割り当てられ、さらに必須実施（○）と３０分の有効期間が割り当てられている。従って、サーバＩＤ＝ＳＰ２，リソースＩＤ＝ＳＶ１についての認証ポリシーに拠る認証式は、認証要素Ｂそのものであり、具体的には式（４）で表される。なお、認証式が一つの認証要素しか含まない場合、その実施要否は必須とされることが一般的であるが、オプション実施とした場合には原則無認証でソフトウェアリソースを提供することになる。

サーバ認証ロジックデータベース３０８ａから得られる認証式は、サーバ装置から登録された認証ポリシーを反映したものであり、認証装置３００が実際に実施する認証式（以下、実施認証式ともいう。）は、サーバ認証ロジックデータベース３０８ａから得られる認証式（以下、登録認証式ともいう。）と認証指示情報と直前の認証結果（図３参照）とに基づいて決定される。具体的には、認証装置３００は、登録認証式を特定した後、
《１》登録認証式中の必須実施の認証要素のうち、直前の認証結果が認証成功であって、認証装置３００の現在時刻管理部（図示しない。）が提供する現在時刻が直前の認証時刻からサーバ認証ロジックデータベース３０８ａに登録された有効期間を経過していないものをオプション実施に変更し、
《２》認証指示情報にオプション認証要素指示情報が含まれる場合に、登録認証式中のオプション実施の認証要素のうち、オプション認証要素指示情報で指定される認証要素を必須実施とし、
《３》《２》の処理で必須実施に変更された認証要素のうち、直前の認証結果が認証成功であって、認証装置３００の現在時刻管理部が提供する現在時刻が直前の認証時刻からサーバ認証ロジックデータベース３０８ａに登録された有効期間を経過していないものをオプション実施に変更し、
《４》認証指示情報に強制実施認証要素指示情報が含まれる場合に、《３》の処理で得られた認証式に含まれるオプション実施の認証要素のうち、強制実施認証要素指示情報で指定される認証要素を必須実施とし、
《Ｆ》これらの処理で得られた認証式からオプション実施とされた認証要素を除いて得られる認証式を、実際に実施する認証式とする。なお、オプション認証要素指示情報で指定可能な認証要素は、サーバ認証ロジックデータベース３０８ａでオプション実施が登録されている認証要素であり、強制実施認証要素指示情報で指定可能な認証要素は、サーバ認証ロジックデータベース３０８ａで必須実施が登録されている認証要素およびオプション認証要素指示情報で指定された認証要素である。

ここでは登録認証式（３）の例を用いて説明する。前回の認証時刻が午前９：００で今回の認証時刻が同日午前９：１５とする。認証指示情報には、認証要素Ｇを指定する強制実施認証要素指示情報と、認証要素Ｆを指定するオプション認証要素指示情報が含まれるとする。前回の認証では、認証要素ＡとＦとＨは失敗、認証要素Ｇは成功であったとする。この場合、登録認証式（３）は処理《１》により認証式（３ａ）に変形され、処理《２》により認証式（３ｂ）に変形され、処理《３》により認証式（３ｃ）に変形され、処理《４》により認証式（３ｄ）に変形され、処理《Ｆ》により認証式（３ｅ）が得られる。結局、この例では、認証装置３００が実際に実施する認証式は（３ｅ）であり、認証要素Ｆによる認証に成功した場合、あるいは認証要素Ｇによる認証に成功した場合に認証全体が成功となる。

上述の例のように認証タグが整数で表される場合、認証タグの値に従って例えば昇順に認証を実施することができる。式（３ｅ）の例では、認証要素Ｆの認証タグが１１、認証要素Ｇの認証タグが２０なので、Ｆ⇒Ｇの順番で認証を実施する。従って、認証要素Ｆによる認証に成功した場合、認証要素Ｇによる認証を行わなくても認証全体が成功であると判定してよいことに留意されたい。勿論、ユーザ装置に対するリソース提供に関してサーバ装置による判定の一助とするため、（途中で認証全体が成功であると判定できたとしても）実際に実施する認証式の個々の認証要素による認証を全て実施することは否定されない。

サーバ認証ロジックデータベース３０８ａは、この例に限らず、有効期間を定めなくてもよい。また、認証要素の実施要否を定めることも必須ではなく、この場合、全ての認証要素は必須実施と看做される。

また、記憶部３０９には、ユーザ装置ごとに、各認証要素の前回の認証結果と認証実施時刻を記録した認証結果データベース３０９ｂが記憶されている（図３参照）。この認証結果データベース３０９ｂは第１実施形態で説明したとおりであるから、当該説明をここに援用し、重複説明を省略する。

また、認証装置３００は、サーバ装置２００から認証指示情報を受信する受信部３０１と、認証指示情報とサーバ認証ロジックデータベース３０８ａから得られる認証式（登録認証式）と直前の認証結果（認証結果データベース３０９ｂ）とに基づいて実際に実施する認証式を特定する認証式特定部３０２と、認証式特定部３０２によって特定された認証式に従って、ユーザ装置１００との間で認証を行う認証実行部３０３と、認証実行部３０３による認証結果をサーバ装置２００に送信する送信部３０４とを備えている（図５参照）。

次に、図７を参照して、認証システム１における処理の流れを叙述的に説明する。
まず、ユーザ装置１００の送信部１０１は、サーバ装置２００が提供可能なソフトウェアリソースを指示する情報であるリソース指示情報を、サーバ装置２００に対して送信する（ステップＳ１ｓ）。

サーバ装置２００の受信部２０１が、ユーザ装置１００からリソース指示情報を受信すると（ステップＳ２ｓ）、サーバ装置２００の認証指示情報生成部２０２が、リソース指示情報に基づき、認証装置３００がユーザ装置１００に対して実施する認証を特定するために認証装置３００が用いる情報である認証指示情報を生成する（ステップＳ３ｓ）。既述のとおり、認証指示情報には少なくともサーバＩＤが含まれるが、強制実施認証要素指示情報、オプション認証要素指示情報を認証指示情報に含めるか否か、含める場合にはその具体的な内容（但し、グループＩＤとリソースＩＤ情報は除く。）を、サーバ装置２００が自由に決めることができる。

サーバ装置２００の送信部２０４は、ステップＳ３ｓの処理で生成された認証指示情報を認証装置３００に送信する（ステップＳ４ｓ）。この送信処理は、例えばHTTPリダイレクトを利用して、リソース指示情報を送ったユーザ装置１００を経由して行われる。あるいは、この送信処理は、SAML v2.0を利用する場合、例えば、認証指示情報とユーザ装置特定情報を記述したExtensionsを認証装置３００に送信する処理でもよい。この送信処理により、認証装置３００は、リソース指示情報を送ったユーザ装置１００を知ることができ、ユーザ装置１００との認証処理や認証結果データベース３０９ｂの作成を行うことができる。

認証装置３００の受信部３０１は、サーバ装置２００から認証指示情報を受信する（ステップＳ５ｓ）。そして、認証装置３００の認証式特定部３０２が、記憶部３０９に記憶されたサーバ認証ロジックデータベース３０８ａを参照して登録認証式を求め、認証指示情報と直前の認証結果（認証結果データベース３０９ｂ）とに基づいて実際に実施する認証式を特定する（ステップＳ６ｓ）。この特定処理の具体例は既述のとおりである。

続いて、認証装置３００の認証実行部３０３は、ステップＳ６ｓの処理において特定された認証式に従って、ユーザ装置１００の認証処理部１０２との間で認証を行う（ステップＳ７ｓ）。各認証要素の認証結果は、認証装置の制御部（図示しない。）によって、認証結果データベース３０９ｂに書き込まれる。

上記の認証が完了すると、認証装置３００の送信部３０４が、ステップＳ７ｓの処理での認証結果をサーバ装置２００に送信する（ステップＳ８ｓ）。送信される認証結果には、実際に実施する認証式による認証結果が含まれる。また、送信される認証結果は、実際に実施する認証式による認証結果に替えて、あるいは、実際に実施する認証式による認証結果とともに、各認証要素の認証結果（成功／失敗／未実施／エラー）を含むとしてもよい。個々の認証要素の認証結果を送信することで、既述のとおり、サーバ装置２００側での、各認証要素の認証結果に応じたソフトウェアリソースのフレキシブルな提供を可能ならしめる。この処理は、SAML v2.0を利用する場合、例えば、アサーション（Assertion）に実際に実施する認証式による認証結果を記述し、アサーションの属性情報として各認証要素の認証結果（成功／失敗／未実施／エラー）を記述して、これをサーバ装置２００に送信する処理となる。

サーバ装置２００の受信部２０３が、認証装置３００から上記認証結果を受信する（ステップＳ９ｓ）。受信した認証結果が例えば実際に実施する認証式による認証結果である場合には、それが成功を示す場合には、サーバ装置２００の制御部（図示しない。）は、リソース指示情報で指示されたソフトウェアリソースをユーザ装置１００に提供するように制御を行い、それが失敗の場合には、リソース指示情報で指示されたソフトウェアリソースの提供を行わない制御を行う（ステップＳ１０ｓ）。また、個々の認証要素の認証結果を受信した場合には、サーバ装置２００の制御部（図示しない。）は、その全ての認証が成功の場合には、リソース指示情報で指示されたソフトウェアリソースをユーザ装置１００に提供するように制御を行い、その全ての認証が成功でない場合でも、認証成功した認証要素の組合せに応じた制限を伴うソフトウェアリソースの提供を行うようにすることができる。

このように第２実施形態によれば、各サーバ装置が決定した認証ポリシーを登録したサーバ認証ロジックデータベース３０８ａが認証装置３００の記憶部に記憶されているので、ユーザ装置からのリソースリクエストについて、各サーバ装置の認証ポリシーに則って認証を行うことができる。また、認証式が認証要素（あるいは積で連結された認証要素）の和の連結で表されることで認証ロジックが認証強度の代替性を有する。また、認証要素の実施要否について必須実施とオプション実施が定められている場合には、オプション実施が定められた認証要素についてサーバ装置の随意の要求に応じた認証が可能である。また、認証指示情報が強制実施認証要素指示情報を含みうる情報であるから、前回の認証成功から有効期間内であっても、サーバ装置の随意の要求に応じた認証が可能である。

［第３実施形態］
第３実施形態は、第１実施形態のグループオーソリティ型認証と第２実施形態のサーバオーソリティ型認証との併用形態である。

第３実施形態は、第１実施形態と第２実施形態の併用形態であるが、認証式の合成など第３実施形態に固有の技術事項が存在するので、特に断りの無い限り重複事項も含めて第３実施形態を説明する。

本発明の第３実施形態である認証システム３は、相互に通信可能とされた、サーバ装置２００、認証装置３００を含む（図８参照）。一つの認証装置３００に対して複数のサーバ装置２００が存在する実施形態が通例であり、この発明の理解を容易にする観点から、一つの認証装置３００に対して二つのサーバ装置２００，４００が存在する実施形態として説明する。認証ポリシーは、サーバ装置ごとに定められている。

また、この第３実施形態では、認証システム３に一つまたは複数のユーザ装置１００−１，１００−２，・・・が含まれる。これらユーザ装置１００−１，１００−２，・・・は一つのグループユーザを形成している。なお、概念的には、人間であるユーザの集団がグループユーザを形成していると考えられるが、個々のユーザがユーザ装置を使用する時点で、ユーザとユーザ装置とが１対１の関係に等価的に評価されるから、複数のユーザ装置が一つのグループユーザを形成していると考えて差し支えない。勿論、例えば物理アドレスで特定される複数のユーザ装置の集団がグループユーザを形成してもよい。認証システム３には、複数のグループユーザが存在してもよい。個々のユーザ装置は、サーバ装置によるリソース提供の対象であってかつ認証装置３００が行う認証の対象である。認証ポリシーは、グループユーザごとに定められている。なお、本発明においては、決定主体により定められた認証ポリシーに応じて柔軟な認証を行うことを特徴の一つとするから、ユーザ装置やグループユーザそのものが発明の必須構成要素であるわけではない。また、認証システム３には、グループユーザに所属しない一つ以上のユーザ装置（無所属ユーザ装置）１００Ｐも含まれる。

各サーバ装置２００，４００は中央処理装置、記憶装置、送受信装置などのハードウェアを備えたコンピュータで実現され、各サーバ装置２００，４００が発揮する機能は後述の機能を発現するように記述されたプログラムを中央処理装置が解釈・実行することで実現される。ユーザ装置１００−１，１００−２，・・・、無所属ユーザ装置１００Ｐ、認証装置３００についても同様である。

ユーザグループに含まれる各ユーザ装置１００−１，１００−２，・・・や無所属ユーザ装置１００Ｐは、サーバ装置２００，４００により提供されるソフトウェアリソース（アプリケーションサービス、データ、その他種々のリソースを含む。）を指示する情報であるリソース指示情報を、サーバ装置２００あるいはサーバ装置４００に対して送信する送信部１０１と、認証装置３００との間で認証を行う認証処理部１０２とを備えている（図８参照）。以下、いずれかのユーザ装置をユーザ装置１００と呼称して、これをユーザ装置の代表として説明する。

サーバ装置２００は、ユーザ装置１００からリソース指示情報を受信する受信部２０１と、リソース指示情報に基づき、認証装置３００がユーザ装置１００に対して実施する認証を特定するために認証装置３００が用いる情報である認証指示情報を生成する認証指示情報生成部２０２と、認証指示情報を認証装置３００に送信する送信部２０４を備える（図８参照）。

認証指示情報には、少なくともサーバＩＤと認証種別情報が含まれ、さらにリソース指示情報に応じてリソースＩＤ情報も含まれる。サーバＩＤは、個々のサーバ装置に割り当てられた固有ＩＤ（つまり、サーバ装置を識別するための情報）であり、認証指示情報には当該認証指示情報を生成したサーバ装置のサーバＩＤが含まれる。リソースＩＤは、個々のソフトウェアリソースに割り当てられた固有ＩＤ（つまり、ソフトウェアリソースを識別するための情報）である。リソースＩＤ情報は、リソースＩＤを表す情報であり、認証指示情報にはリソース指示情報で指示されたソフトウェアリソースのリソースＩＤを表すリソースＩＤ情報が含まれる。なお、リソース指示情報にソフトウェアリソースが指定されていない場合や、リソース指示情報で指定されたソフトウェアリソースが認証システムのデフォルト設定のそれである場合、認証指示情報にリソースＩＤ情報が含まれない実施形態も許容される（この場合、認証装置３００は、デフォルト設定されたソフトウェアリソースのリソースＩＤを認証装置３００における処理に用いる。）。また、リソースＩＤ情報がリソースＩＤそのものであってもよい。認証種別情報は、第１の認証タイプ「グループオーソリティ型認証」と第２の認証タイプ「サーバオーソリティ型認証」とその組み合わせの第３の認証タイプ「グループオーソリティ型認証かつサーバオーソリティ型認証」の３タイプのうちいずれであるかを示す情報である。

認証指示情報には、サーバＩＤとリソースＩＤ情報以外に強制実施認証要素指示情報、オプション認証要素指示情報、グループＩＤが含まれる場合がある。強制実施認証要素指示情報は、直前の認証結果に係らず認証装置３００がユーザ装置１００に対して強制実施する認証要素を指示する情報である。オプション認証要素指示情報は、サーバ装置から随意の要求があった場合に認証装置３００がユーザ装置１００に対して実施する認証要素を指示する情報である。グループＩＤは、個々のグループユーザに割り当てられた固有ＩＤ（つまり、グループユーザを識別するための情報）であり、認証指示情報にはリソース指示情報を送信したユーザ装置の所属するグループユーザのグループＩＤが含まれる。

サーバ装置２００について説明したことは、サーバ装置４００はもとよりその他のサーバ装置についても当てはまる。

次に、認証装置３００は、記憶部３０９を備えており、この記憶部３０９に、グループ認証ロジックデータベース３０９ａとサーバ認証ロジックデータベース３０８ａが記憶されている（図８参照）。グループ認証ロジックデータベース３０９ａ（図２参照）とサーバ認証ロジックデータベース３０８ａ（図６参照）については、第１実施形態と第２実施形態で詳しく説明したので、それらの説明をここに援用し、重複説明を省略する。

認証指示情報に含まれる認証種別情報が認証タイプ「グループオーソリティ型認証」を示す場合にはグループ認証ロジックデータベース３０９ａを用いて第１実施形態と同じ処理が行われ、認証種別情報が認証タイプ「サーバオーソリティ型認証」を示す場合にはサーバ認証ロジックデータベース３０８ａを用いて第２実施形態と同じ処理が行われる。認証指示情報に含まれる認証種別情報が認証タイプ「グループオーソリティ型認証かつサーバオーソリティ型認証（併用形態）」を示す場合について説明を加える。

認証指示情報に含まれる認証種別情報が「グループオーソリティ型認証かつサーバオーソリティ型認証」である場合、認証装置３００は、グループ認証ロジックデータベース３０９ａから得られる、グループＩＤと指定されたリソースＩＤとの組み合わせに対応する登録認証式Ｒ１と、サーバ認証ロジックデータベース３０８ａから得られる、サーバＩＤと指定されたリソースＩＤとの組み合わせに対応する登録認証式Ｒ２とを積で連結することによって、併用形態における登録認証式Ｒ３を決定する。登録認証式Ｒ１と登録認証式Ｒ２との積による連結は通常の分配則により展開可能である。展開後の登録認証式Ｒ３では、積のみで連結された認証要素のグループの中に同じ認証要素（重複認証要素）が現れる場合がある。この場合、重複認証要素に付帯する登録情報、つまり実施要否と有効期間は、認証強度を強める方向で取捨選択される。

図２に示すグループ認証ロジックデータベース３０９ａと図６に示すサーバ認証ロジックデータベース３０８ａを参照して、併用形態における認証式決定プロセスを具体的に説明する。ここでは、サーバＩＤ＝ＳＰ１、グループＩＤ＝ＧＲ１、リソースＩＤ＝ＳＶ１とする。登録認証式Ｒ１は第１実施形態の説明を参照して明らかなように式（１）で表され、登録認証式Ｒ２は第２実施形態の説明を参照して明らかなように式（３）で表される。よって、登録認証式Ｒ１と登録認証式Ｒ２との積による連結で得られる登録認証式Ｒ３は式（５）で表される。この登録認証式Ｒ３は、グループ認証ロジックデータベース３０９ａやサーバ認証ロジックデータベース３０８ａと同様に、図９に示すようにデータベースとして表現される。

ここで、展開後の登録認証式Ｒ３の第１項と第３項には、認証要素Ａが重複して現れる。第１項について、重複認証要素Ａの一方は必須実施であり他方はオプション実施であるから、認証強度を強める方向つまり必須実施に集約される。上述の例のように認証タグが整数で表される場合、認証タグの値に従って例えば昇順に認証を実施することができ、この場合、第１項について、最初に実施予定の重複認証要素Ａが必須実施であるから、後に実施される予定の重複認証要素Ａを実施しないようにすればよい。例えば、最初に実施予定の重複認証要素Ａがオプション実施で後に実施される予定の重複認証要素Ａが必須実施である場合、オプション実施要素指示情報が存在して当該オプション実施要素指示情報で指定される認証要素が認証要素Ａであるなら、最初に実施予定の重複認証要素Ａを必須実施とし、後に実施される予定の重複認証要素Ａを実施しないようにすればよい。つまり、認証タグの値に従って昇順に認証を実施する場合、オプション実施要素指示情報で指定される認証要素を考慮して、重複認証要素のうち最初に行うべき必須実施の重複認証要素に集約すればよい。

第３項について、重複認証要素Ａの一方の有効期間は１時間であり他方のそれは３０分であるから、認証強度を強める方向つまり有効期間３０分に集約される。つまり、積のみで連結された認証要素のグループの中に同じ認証要素（重複認証要素）が現れる場合、各重複認証要素の有効期間を最も短い有効期間に揃えればよい。

式（５）の例では、第１項では重複認証要素は互いに実施要否が異なるが有効期間が同じで、第３項では重複認証要素は互いに実施要否が同じだが有効期間が異なるものであった。これに対して、積のみで連結された認証要素のグループの中の同じ認証要素（重複認証要素）が互いに実施要否および有効期間が異なる場合には、まず、各重複認証要素の有効期間を最も短い有効期間に揃えた上で、必須実施に集約すればよい（認証タグの値に従って昇順に認証を実施するならば、オプション実施要素指示情報で指定される認証要素を考慮して、重複認証要素のうち最初に行うべき必須実施の重複認証要素に集約すればよい）。

この結果、登録認証式Ｒ３は式（５）に現れる重複認証要素を集約した式（６）で与えられ、この式（６）の登録認証式Ｒ３は図１０に示すようにデータベースＤＢＲ３として表現される。

このように登録認証式Ｒ１と登録認証式Ｒ２から合成された登録認証式Ｒ３は、グループユーザから登録された認証ポリシーとサーバ装置から登録された認証ポリシーを反映したものであり、認証装置３００が実際に実施する認証式は、登録認証式Ｒ３と認証指示情報と直前の認証結果（図３参照）とに基づいて決定される。具体的には、認証装置３００は、登録認証式Ｒ３を特定した後、
《１》登録認証式Ｒ３中の必須実施の認証要素のうち、直前の認証結果が認証成功であって、認証装置３００の現在時刻管理部（図示しない。）が提供する現在時刻が直前の認証時刻からデータベースＤＢＲ３に登録された有効期間を経過していないものをオプション実施に変更し、
《２》認証指示情報にオプション認証要素指示情報が含まれる場合に、登録認証式Ｒ３中のオプション実施の認証要素のうち、オプション認証要素指示情報で指定される認証要素を必須実施とし、
《３》《２》の処理で必須実施に変更された認証要素のうち、直前の認証結果が認証成功であって、認証装置３００の現在時刻管理部が提供する現在時刻が直前の認証時刻からデータベースＤＢＲ３に登録された有効期間を経過していないものをオプション実施に変更し、
《４》認証指示情報に強制実施認証要素指示情報が含まれる場合に、《３》の処理で得られた認証式に含まれるオプション実施の認証要素のうち、強制実施認証要素指示情報で指定される認証要素を必須実施とし、
《Ｆ》これらの処理で得られた認証式からオプション実施とされた認証要素を除いて得られる認証式を、実際に実施する認証式とする。なお、オプション認証要素指示情報で指定可能な認証要素は、グループ認証ロジックデータベース３０９ａとサーバ認証ロジックデータベース３０８ａでオプション実施が登録されている認証要素であり、強制実施認証要素指示情報で指定可能な認証要素は、グループ認証ロジックデータベース３０９ａとサーバ認証ロジックデータベース３０８ａで必須実施が登録されている認証要素およびオプション認証要素指示情報で指定された認証要素である。

ここでは式（６）の例を用いて説明する。前回の認証時刻が午前９：００で今回の認証時刻が同日午前９：４５とする。認証指示情報には、認証要素Ｄを指定する強制実施認証要素指示情報と、認証要素Ｂを指定するオプション認証要素指示情報が含まれるとする。前回の認証では、全ての認証要素は成功であったとする。この場合、登録認証式（６）は処理《１》により認証式（６ａ）に変形され、処理《１》により認証式（６ｂ）に変形され、処理《３》により認証式（６ｃ）に変形され、処理《４》により認証式（６ｄ）に変形され、処理《Ｆ》により認証式（６ｅ）が得られる。結局、この例では、認証装置３００が実際に実施する認証式は（６ｅ）であり、認証要素Ｇによる認証に成功した場合、あるいは認証要素Ｄによる認証に成功した場合に認証全体が成功となる。

上述の例のように認証タグが整数で表される場合、認証タグの値に従って例えば昇順に認証を実施することができる。式（６ｅ）の例では、第２項の認証要素Ｇの認証タグが２２、第３項の認証要素Ｄの認証タグが３１、第４項の認証要素Ｄの認証タグが４１、第４項の認証要素Ｇの認証タグが４２なので、Ｇ⇒Ｄ⇒Ｄ⇒Ｇの順番で認証を実施する。従って、認証要素Ｇによる認証に成功した場合、認証要素Ｄによる認証を行わなくても認証全体が成功であると判定してよく、認証要素Ｇによる認証に失敗しても、認証要素Ｄによる認証に成功した場合、残りの認証要素ＤとＧによる認証を行わなくても認証全体が成功であると判定してよいことに留意されたい。勿論、ユーザ装置に対するリソース提供に関してサーバ装置による判定の一助とするため、（途中で認証全体が成功であると判定できたとしても）実際に実施する認証式の個々の認証要素による認証を全て実施することは否定されない。但し、この式（６ｅ）の例では、第３項が第１項と第２項の積で与えられるから、第１項と第２項の各認証を実施するだけで第３項の認証結果も得られることに留意されたい。

グループ認証ロジックデータベース３０９ａとサーバ認証ロジックデータベース３０８ａでは、この例に限らず、有効期間を定めなくてもよい。また、認証要素の実施要否を定めることも必須ではなく、この場合、全ての認証要素は必須実施と看做される。

また、記憶部３０９には、ユーザ装置ごとに、各認証要素の前回の認証結果と認証実施時刻を記録した認証結果データベース３０９ｂが記憶されている（図３参照）。この認証結果データベース３０９ｂは第１実施形態で説明したとおりであるから、当該説明をここに援用し、重複説明を省略する。

また、認証装置３００は、サーバ装置２００から認証指示情報を受信する受信部３０１と、認証指示情報に含まれる認証種別情報に応じて、グループ認証ロジックデータベース３０９ａから得られる認証式（登録認証式Ｒ１）またはサーバ認証ロジックデータベース３０８ａから得られる認証式（登録認証式Ｒ２）または登録認証式Ｒ１と登録認証式Ｒ２との積による連結で得られる登録認証式Ｒ３を得て、認証指示情報と直前の認証結果（認証結果データベース３０９ｂ）とに基づいて実際に実施する認証式を特定する認証式特定部３０２と、認証式特定部３０２によって特定された認証式に従って、ユーザ装置１００との間で認証を行う認証実行部３０３と、認証実行部３０３による認証結果をサーバ装置２００に送信する送信部３０４とを備えている（図８参照）。

次に、図１１を参照して、認証システム３における処理の流れを叙述的に説明する。
まず、ユーザ装置１００の送信部１０１は、サーバ装置２００が提供可能なソフトウェアリソースを指示する情報であるリソース指示情報を、サーバ装置２００に対して送信する（ステップＳ１ｐ）。

サーバ装置２００の受信部２０１が、ユーザ装置１００からリソース指示情報を受信すると（ステップＳ２ｐ）、サーバ装置２００の認証指示情報生成部２０２が、リソース指示情報に基づき、認証装置３００がユーザ装置１００に対して実施する認証を特定するために認証装置３００が用いる情報である認証指示情報を生成する（ステップＳ３ｐ）。既述のとおり、認証指示情報には少なくともサーバＩＤと認証種別情報が含まれるが、サーバ装置２００は認証種別情報の具体的な内容を自由に決めることができる。ただし、一般的には、リソース指示情報を送ったユーザ装置から取得した当該ユーザ情報の所属形態に関する情報（グループユーザに所属するか否かを表す情報）に拘束される。また、認証指示情報に強制実施認証要素指示情報、オプション認証要素指示情報、グループＩＤを認証指示情報に含めるか否か、含める場合にはその具体的な内容（但し、グループＩＤとリソースＩＤ情報は除く。）を、サーバ装置２００が自由に決めることができる。

サーバ装置２００の送信部２０４は、ステップＳ３ｐの処理で生成された認証指示情報を認証装置３００に送信する（ステップＳ４ｐ）。この送信処理は、例えばHTTPリダイレクトを利用して、リソース指示情報を送ったユーザ装置１００を経由して行われる。あるいは、この送信処理は、SAML v2.0を利用する場合、例えば、認証指示情報とユーザ装置特定情報を記述したExtensionsを認証装置３００に送信する処理でもよい。この送信処理により、認証装置３００は、リソース指示情報を送ったユーザ装置１００を知ることができ、ユーザ装置１００との認証処理や認証結果データベース３０９ｂの作成を行うことができる。

認証装置３００の受信部３０１は、サーバ装置２００から認証指示情報を受信する（ステップＳ５ｐ）。受信した認証指示情報に含まれる認証種別情報が認証タイプ「グループオーソリティ型認証」または認証タイプ「グループオーソリティ型認証かつサーバオーソリティ型認証（併用形態）」を示す場合において、当該認証指示情報にグループＩＤが含まれていない場合には、認証装置３００のＩＤ取得部（図示しない。）が、リソース指示情報を送信したユーザ装置にグループＩＤを問い合わせてそれを取得する（ステップＳ５ａｐ）。そして、認証装置３００の認証式特定部３０２が、記憶部３０９に記憶されたグループ認証ロジックデータベース３０９ａおよび／またはサーバ認証ロジックデータベース３０８ａを参照して登録認証式を求め、認証指示情報と直前の認証結果（認証結果データベース３０９ｂ）とに基づいて実際に実施する認証式を特定する（ステップＳ６ｐ）。この特定処理の具体例は既述のとおりである。

続いて、認証装置３００の認証実行部３０３は、ステップＳ６ｐの処理において特定された認証式に従って、ユーザ装置１００の認証処理部１０２との間で認証を行う（ステップＳ７ｐ）。各認証要素の認証結果は、認証装置の制御部（図示しない。）によって、認証結果データベース３０９ｂに書き込まれる。

上記の認証が完了すると、認証装置３００の送信部３０４が、ステップＳ７ｐの処理での認証結果をサーバ装置２００に送信する（ステップＳ８ｐ）。送信される認証結果には、実際に実施する認証式による認証結果が含まれる。また、送信される認証結果は、実際に実施する認証式による認証結果に替えて、あるいは、実際に実施する認証式による認証結果とともに、各認証要素の認証結果（成功／失敗／未実施／エラー）を含むとしてもよい。個々の認証要素の認証結果を送信することで、既述のとおり、サーバ装置２００側での、各認証要素の認証結果に応じたソフトウェアリソースのフレキシブルな提供を可能ならしめる。この処理は、SAML v2.0を利用する場合、例えば、アサーション（Assertion）に実際に実施する認証式による認証結果を記述し、アサーションの属性情報として各認証要素の認証結果（成功／失敗／未実施／エラー）を記述して、これをサーバ装置２００に送信する処理となる。

サーバ装置２００の受信部２０３が、認証装置３００から上記認証結果を受信する（ステップＳ９ｐ）。受信した認証結果が例えば実際に実施する認証式による認証結果である場合には、それが成功を示す場合には、サーバ装置２００の制御部（図示しない。）は、リソース指示情報で指示されたソフトウェアリソースをユーザ装置１００に提供するように制御を行い、それが失敗の場合には、リソース指示情報で指示されたソフトウェアリソースの提供を行わない制御を行う（ステップＳ１０ｐ）。また、個々の認証要素の認証結果を受信した場合には、サーバ装置２００の制御部（図示しない。）は、その全ての認証が成功の場合には、リソース指示情報で指示されたソフトウェアリソースをユーザ装置１００に提供するように制御を行い、その全ての認証が成功でない場合でも、認証成功した認証要素の組合せに応じた制限を伴うソフトウェアリソースの提供を行うようにすることができる。

このように第３実施形態によれば、各グループユーザが決定した認証ポリシーを登録したグループ認証ロジックデータベース３０９ａと各サーバ装置が決定した認証ポリシーを登録したサーバ認証ロジックデータベース３０８ａが認証装置３００の記憶部に記憶されているので、グループユーザに属するユーザ装置あるいはグループユーザに属しないユーザ装置からのリソースリクエストについて、認証種別情報による当該ユーザ装置の所属形態に応じた認証ポリシーに則って認証を行うことができる。また、認証式が認証要素（あるいは積で連結された認証要素）の和の連結で表されることで認証ロジックが認証強度の代替性を有する。また、認証要素の実施要否について必須実施とオプション実施が定められている場合には、オプション実施が定められた認証要素についてサーバ装置の随意の要求に応じた認証が可能である。また、認証指示情報が強制実施認証要素指示情報を含みうる情報であるから、前回の認証成功から有効期間内であっても、サーバ装置の随意の要求に応じた認証が可能である。

［第１変形実施形態］
本発明の第１変形実施形態を説明する。第１変形実施形態では、登録認証式の特定から実際に実施する認証式の導出過程において、ユーザ装置の端末種別に基づき、ユーザ装置が実行できない認証要素を排除する処理を行う。この第１変形実施形態は、第１、第２、第３の各実施形態に適用可能である。

第１、第２、第３の各実施形態において、登録認証式の特定から実際に実施する認証式の導出過程（例えば、最終プロセス《Ｆ》の後）で、ユーザ装置の端末種別に基づき、ユーザ装置が実行できない認証要素を排除する処理を行う。この排除処理は、例えばHTTPリクエストのUserAgentヘッダに対して正規表現でパターンマッチングにより行う。図１２に示すように、認証要素ごとに排除されるUserAgentが対応付けられたデータベースＢＬが認証装置３００の記憶部３０９に記憶されている。認証式特定部３０２が、データベースＢＬを参照して、最終プロセス《Ｆ》で得られた認証式の中の認証要素のうちUserAgentに対応する認証要素を除外することで、実際に実施する認証式を特定する。なお、UserAgentの正規表現は一例に過ぎず、下記の公開情報を参考にした。
[平成21年9月8日検索], インターネット<URL : http://www.nttdocomo.co.jp/service/imode/make/content/spec/useragent/>；
[平成21年9月8日検索], インターネット<URL : http://www.au.kddi.com/ezfactory/tec/spec/4_4.html>；
[平成21年9月8日検索], インターネット<URL : http://creation.mb.softbank.jp/terminal/index.html>；
[平成21年9月8日検索], インターネット<URL : http://developer.emnet.ne.jp/useragent.html>

［第２変形実施形態］
本発明の第２変形実施形態を説明する。この第２変形実施形態は第３実施形態とその第１変形実施形態に適用可能である。グループユーザには例外無くグループオーソリティ型認証が適用されるのではなく、サーバオーソリティ型認証が適用されるグループユーザが存在する場合がある。そこで、認証装置３００は、一旦は認証種別情報に従った認証を行うものの、ユーザ装置の所属先グループユーザを確認して、その所属先グループユーザの認証タイプが認証種別情報で指定された認証タイプと異なる場合に、ユーザ装置の所属先グループユーザの認証タイプで再度認証を実施する実施形態が第２変形実施形態である。

認証装置３００は、その記憶部３０９にユーザ管理データベースＵＤＢを記憶している（図１３参照）。このユーザ管理データベースＵＤＢは、ユーザ装置の識別情報であるユーザＩＤとその所属先グループユーザの認証タイプ（サーバオーソリティ型認証またはグループオーソリティ型認証）が対応付けられている（図１４参照）。認証式特定部３０２は、まず、認証指示情報に含まれる認証種別情報に従って実際に実施する認証式を特定し、この認証式に従い認証実行部３０３がユーザ装置との間で認証を実施する（ステップＳ６ｐ）。そして、図示しない制御部が、ユーザ管理データベースＵＤＢを参照して、認証を実施したユーザ装置のユーザＩＤに対応する所属先グループユーザの認証タイプが認証種別情報で指定される認証タイプと一致するか否かを判定し（ステップＳ６ｐａ）、一致しない場合、認証式特定部３０２は、ユーザ管理データベースＵＤＢを参照して得られる認証タイプに従って実際に実施する認証式を特定し（ステップＳ６ｐｂ）、この認証式に従い認証実行部３０３がユーザ装置との間で認証を実施する（ステップＳ６ｐｃ）。サーバ装置に送信する認証結果は、ユーザ管理データベースＵＤＢを参照して得られる認証タイプに従った場合の認証結果のみ、または、当該認証結果と認証指示情報に含まれる認証種別情報に従った場合の認証結果の両方である。なお、この認証結果と共に、実際に実施する認証式を特定するために使用した認証タイプもサーバ装置に送信される。

以上の実施形態の他、本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。

Claims (13)

1. サーバ装置と認証装置とを含み、サーバ装置による認証を認証装置による認証で代行実施する認証システムであって、
   上記サーバ装置は、
   一つまたは複数のユーザ装置をメンバーとするグループユーザに含まれるユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を生成する認証指示情報生成部と、
   上記認証指示情報を上記認証装置に送信する送信部とを備え、
   上記認証装置は、
   グループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるグループ認証ロジックデータベースを記憶した記憶部と、
   上記サーバ装置から上記認証指示情報を受信する受信部と、
   上記グループ認証ロジックデータベースを参照して、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定部と、
   上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行部と、
   上記認証実行部による認証結果を、認証指示情報を送信した上記サーバ装置に送信する送信部と
   を備えた認証システム。
2. サーバ装置と認証装置とを含み、サーバ装置による認証を認証装置による認証で代行実施する認証システムであって、
   上記サーバ装置は、
   ユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を生成する認証指示情報生成部と、
   上記認証指示情報を上記認証装置に送信する送信部とを備え、
   上記認証装置は、
   サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるサーバ認証ロジックデータベースを記憶した記憶部と、
   上記サーバ装置から上記認証指示情報を受信する受信部と、
   上記サーバ認証ロジックデータベースを参照して、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定部と、
   上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行部と、
   上記認証実行部による認証結果を、認証指示情報を送信した上記サーバ装置に送信する送信部と
   を備えた認証システム。
3. サーバ装置と認証装置とを含み、サーバ装置による認証を認証装置による認証で代行実施する認証システムであって、
   上記サーバ装置は、
   一つまたは複数のユーザ装置をメンバーとするグループユーザに含まれるユーザ装置またはグループユーザに含まれないユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報と、異なる二つの認証タイプＸ，Ｙとその組み合わせのいずれかを表す情報である認証種別情報を少なくとも含む認証指示情報を生成する認証指示情報生成部と、
   上記認証指示情報を上記認証装置に送信する送信部とを備え、
   上記認証装置は、
   グループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるグループ認証ロジックデータベースと、サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるサーバ認証ロジックデータベースとを記憶した記憶部と、
   上記サーバ装置から上記認証指示情報を受信する受信部と、
   ［１］上記認証指示情報に含まれる上記認証種別情報がＸの場合に、上記グループ認証ロジックデータベースを参照して、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定し、［２］上記認証指示情報に含まれる上記認証種別情報がＹの場合に、上記サーバ認証ロジックデータベースを参照して、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定し、［３］上記認証指示情報に含まれる上記認証種別情報がＸとＹの組み合わせである場合に、上記グループ認証ロジックデータベースを参照して得られる、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式と、上記サーバ認証ロジックデータベースを参照して得られる、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式との組み合わせを得て、当該組み合わせから上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定部と、
   上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行部と、
   上記認証実行部による認証結果を、認証指示情報を送信した上記サーバ装置に送信する送信部と
   を備えた認証システム。
4. 請求項１から請求項３のいずれかに記載の認証システムにおいて、
   上記登録認証式は、複数の認証要素を積および／または和で連結して得られる式である
   ことを特徴とする認証システム。
5. 請求項１から請求項４のいずれかに記載の認証システムにおいて、
   上記グループ認証ロジックデータベースと上記サーバ認証ロジックデータベースの少なくともいずれかにおいて、上記登録認証式に含まれる各認証要素に、認証実施が必須であるかオプションであるかを表す要否情報が対応付けられており、
   上記認証指示情報は、オプションを表す要否情報が対応付けられた認証要素を実施することを指定するオプション認証要素指示情報を含みえて、
   上記実施認証式は、上記登録認証式に含まれる認証要素のうち、上記認証指示情報に含まれた上記オプション認証要素指示情報で指定される認証要素を除き、オプションを表す要否情報が対応付けられた認証要素を除外して得られる認証式である
   ことを特徴とする認証システム。
6. 請求項３に記載の認証システムにおいて、
   上記登録認証式は、複数の認証要素を積および／または和で連結して得られる式であり、
   上記［３］の場合において、上記グループ認証ロジックデータベースを参照して得られる登録認証式と上記サーバ認証ロジックデータベースを参照して得られる登録認証式との上記組み合わせは、当該両登録認証式の積で得られる認証式である
   ことを特徴とする認証システム。
7. 請求項６に記載の認証システムにおいて、
   上記グループ認証ロジックデータベースと上記サーバ認証ロジックデータベースの少なくともいずれかにおいて、上記登録認証式に含まれる各認証要素に、認証実施が必須であるかオプションであるかを表す要否情報が対応付けられており、
   上記認証指示情報は、オプションを表す要否情報が対応付けられた認証要素を実施することを指定するオプション認証要素指示情報を含みえて、
   上記［３］の場合において、上記実施認証式は、上記グループ認証ロジックデータベースを参照して得られる登録認証式と上記サーバ認証ロジックデータベースを参照して得られる登録認証式との上記組み合わせに含まれる認証要素のうち、上記認証指示情報に含まれた上記オプション認証要素指示情報で指定される認証要素を除き、オプションを表す要否情報が対応付けられた認証要素を除外して得られる認証式である
   ことを特徴とする認証システム。
8. サーバ装置と認証装置とを含み、サーバ装置による認証を認証装置による認証で代行実施する認証方法であって、
   上記認証装置の記憶部には、一つまたは複数のユーザ装置をメンバーとするグループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるグループ認証ロジックデータベースが記憶されており、
   上記サーバ装置の認証指示情報生成部が、ユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を生成する認証指示情報生成ステップと、
   上記サーバ装置の送信部が、上記認証指示情報を上記認証装置に送信する送信ステップと、
   上記認証装置の受信部が、上記サーバ装置から上記認証指示情報を受信する受信ステップと、
   上記認証装置の認証式特定部が、上記グループ認証ロジックデータベースを参照して、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定ステップと、
   上記認証装置の認証実行部が、上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行ステップと、
   上記認証装置の送信部が、上記認証実行ステップにおける認証結果を、認証指示情報を送信した上記サーバ装置に送信する送信ステップと
   を有する認証方法。
9. サーバ装置と認証装置とを含み、サーバ装置による認証を認証装置による認証で代行実施する認証方法であって、
   上記認証装置の記憶部には、サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるサーバ認証ロジックデータベースが記憶されており、
   上記サーバ装置の認証指示情報生成部が、ユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を生成する認証指示情報生成ステップと、
   上記サーバ装置の送信部が、上記認証指示情報を上記認証装置に送信する送信ステップと、
   上記認証装置の受信部が、上記サーバ装置から上記認証指示情報を受信する受信ステップと、
   上記認証装置の認証式特定部が、上記サーバ認証ロジックデータベースを参照して、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定ステップと、
   上記認証装置の認証実行部が、上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行ステップと、
   上記認証装置の送信部が、上記認証実行ステップにおける認証結果を、認証指示情報を送信した上記サーバ装置に送信する送信ステップと
   を有する認証方法。
10. サーバ装置と認証装置とを含み、サーバ装置による認証を認証装置による認証で代行実施する認証方法であって、
    上記認証装置の記憶部には、一つまたは複数のユーザ装置をメンバーとするグループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるグループ認証ロジックデータベースと、サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるサーバ認証ロジックデータベースとが記憶されており、
    上記サーバ装置の認証指示情報生成部が、グループユーザに含まれるユーザ装置またはグループユーザに含まれないユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報と、異なる二つの認証タイプＸ，Ｙとその組み合わせのいずれかを表す情報である認証種別情報を少なくとも含む認証指示情報を生成する認証指示情報生成ステップと、
    上記サーバ装置の送信部が、上記認証指示情報を上記認証装置に送信する送信ステップと、
    上記認証装置の受信部が、上記サーバ装置から上記認証指示情報を受信する受信ステップと、
    上記認証装置の認証式特定部が、［１］上記認証指示情報に含まれる上記認証種別情報がＸの場合に、上記グループ認証ロジックデータベースを参照して、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定し、［２］上記認証指示情報に含まれる上記認証種別情報がＹの場合に、上記サーバ認証ロジックデータベースを参照して、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定し、［３］上記認証指示情報に含まれる上記認証種別情報がＸとＹの組み合わせである場合に、上記グループ認証ロジックデータベースを参照して得られる、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式と、上記サーバ認証ロジックデータベースを参照して得られる、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式との組み合わせを得て、当該組み合わせから上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定ステップと、
    上記認証装置の認証実行部が、上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行ステップと、
    上記認証装置の送信部が、上記認証実行ステップにおける認証結果を、認証指示情報を送信した上記サーバ装置に送信する送信ステップと
    を有する認証方法。
11. 一つまたは複数のユーザ装置をメンバーとするグループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるグループ認証ロジックデータベースを記憶した記憶部と、
    ユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報を少なくとも含む認証指示情報を外部から受信する受信部と、
    上記グループ認証ロジックデータベースを参照して、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定部と、
    上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行部と
    を備えた認証装置。
12. 一つまたは複数のユーザ装置をメンバーとするグループユーザを識別するための情報と、ソフトウェアリソースを識別するための情報と、グループユーザによって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるグループ認証ロジックデータベースと、サーバ装置を識別するための情報と、ソフトウェアリソースを識別するための情報と、サーバ装置によって決定された認証要素の組み合わせである認証式（以下、登録認証式という。）との対応関係を表すデータベースであるサーバ認証ロジックデータベースとを記憶した記憶部と、
    グループユーザに含まれるユーザ装置またはグループユーザに含まれないユーザ装置（以下、送信元装置という。）から送られた、ソフトウェアリソースを指示する情報であるリソース指示情報に基づき、当該リソース指示情報で指示されたソフトウェアリソースを表す情報と、異なる二つの認証タイプＸ，Ｙとその組み合わせのいずれかを表す情報である認証種別情報を少なくとも含む認証指示情報を外部から受信する受信部と、
    ［１］上記認証指示情報に含まれる上記認証種別情報がＸの場合に、上記グループ認証ロジックデータベースを参照して、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定し、［２］上記認証指示情報に含まれる上記認証種別情報がＹの場合に、上記サーバ認証ロジックデータベースを参照して、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式を得て、当該登録認証式から上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定し、［３］上記認証指示情報に含まれる上記認証種別情報がＸとＹの組み合わせである場合に、上記グループ認証ロジックデータベースを参照して得られる、上記発信元装置が所属するグループユーザと上記認証指示情報とに対応する登録認証式と、上記サーバ認証ロジックデータベースを参照して得られる、認証指示情報を送信した上記サーバ装置と上記認証指示情報とに対応する登録認証式との組み合わせを得て、当該組み合わせから上記発信元装置に対して実施する認証式（以下、実施認証式という。）を特定する認証式特定部と、
    上記発信元装置に対して、上記実施認証式に従って認証を行う認証実行部と
    を備えた認証装置。
13. コンピュータを請求項１１または請求項１２に記載の認証装置として機能させるためのプログラム。

Images