JP5292712B2 - 認証連携システム、中継装置、認証連携方法および認証連携プログラム - Google Patents

Description

本発明は、認証連携システム、認証連携方法および認証連携用プログラムに関し、特に、サービスを提供する装置が従う通信プロトコルと利用者を認証する認証装置が従う通信プロトコルとが異なる認証連携システム、中継装置、認証連携方法および認証連携プログラムに関する。

近年、ネットワーク基盤の整備が進むにつれて、利用者の端末でのみ利用されていたアプリケーションが、ネットワークを介したサービスとして提供されることが増えてきた。さらに、情報端末の進化に伴い、テキストや音声だけでなく、動画などの様々なコンテンツを利用するサービスが現れている。また、提供するサービスの特性に合わせた様々な通信プロトコルを利用して、サービスが提供されるようになってきている。

様々なサービスを利用する際に、個々のサービスに対してアクセス可能な利用者が制限されている場合には、個別の認証処理が必要となり、利用者は、サービスを受けようとする毎に個別にクレデンシャル情報の入力を求められる。そのため、サービスを利用するための処理が非常に煩雑となるという問題がある。

上記の問題を解決するための従来技術として、ＳＡＭＬ（Security Assertion Markup Language）などのインターネット上で各業者間の認証情報を連携させる方法が技術仕様化されている。ＳＡＭＬを利用した認証システムの一例が、非特許文献１に記載されている。図３２は、非特許文献１に記載されている従来の認証システムの例を示す説明図である。

非特許文献１に記載された認証システムは、ＩｄＰ（アイデンティティプロバイダ）１００と、ＳＰ（サービスプロバイダ）１０１と、ユーザエージェント（ユーザ端末のソフトウェア）１０２とを備える。ＩｄＰ１００、ＳＰ１０１およびユーザエージェント１０２は、インターネット等のネットワークを介して接続される。

このような構成を有する非特許文献１に記載された認証システムの典型的な動作として、Ｗｅｂ ＳＳＯプロトコルのアーティファクトプロファイルを用いた場合のシングルサインオン時のメッセージの交換手順を以下において説明する。図３２に示す例では、前提として、利用者は、ＩｄＰ１００の利用者情報１０３およびＳＰ１０１の利用者情報１０４のそれぞれにアカウントを保有している。また、両アカウントは事前に連携されている。すなわち、両アカウントは関連付けて記憶されている。例えば、ＩｄＰ１００は、利用者を認証すると、ＳＰ１０１に認証結果情報を送信する。ＳＰ１０１は、受信した認証結果情報に基づいて利用者が認証されていると判断し、サービスを提供する（シングルサインオン）。

図３２に示すように、利用者は、ユーザエージェント１０２を用いて、ＩｄＰ１００の認証を受け、ログインする（ステップＳ１）。その後、利用者（ユーザエージェント１０２）は、ＳＰ１０１が提供する利用制限のあるサービスを利用するために、ＳＰ１０１にアクセスする（ステップＳ２）。

ＳＰ１０１は、利用者の認証のために、ユーザエージェント１０２に対して認証要求メッセージを送付する（ステップＳ３−ａ）。ユーザエージェント１０２は、ＳＰ１０１からの認証要求メッセージをＩｄＰ１００にリダイレクト（転送）する（ステップＳ３−ｂ）。ＩｄＰ１００は、先にステップＳ１において利用者を認証していることを確認し、認証済みの利用者であることを証明するＸＭＬ記述文書（認証アサーション）を作成する（ステップＳ４）。

さらに、ＩｄＰ１００は、認証アサーションに対応するチケットの役割を担うアーティファクトを作成し、ユーザエージェント１０２に返信する（ステップＳ５−ａ）。ユーザエージェント１０２は、アーティファクトをＳＰ１０１に対してリダイレクトする（ステップＳ５−ｂ）。ＳＰ１０１は、アーティファクトを受信し、ＩｄＰ１００に送付して対応する認証アサーションを要求する（ステップＳ６）。ＩｄＰ１００は、ＳＰ１０１から受け取ったアーティファクトを確認し、対応する認証アサーションをＳＰ１０１に対して返信する（ステップＳ７）。ＳＰ１０１は、ＩｄＰ１００から受信した認証アサーションの正当性を確認し、利用者のサービスへのアクセス要求に対して許可を与えるか否かをＳＰ１０１のセキュリティポリシーを用いて検証する。許可を与える場合には、ＳＰ１０１は、ユーザエージェント１０２にサービスの提供を開始する（ステップＳ８）。

以上に説明したように、ＳＰ１０１は、自らが利用者を認証するのではなく、認証機能をＩｄＰ１００に委託し、ＩｄＰ１００から入手した利用者の認証情報を基にしてＳＰ１０１のサービスを利用可能とする。すなわち、利用者からＩｄＰ１００への認証手続きだけで、シングルサインオンを実現することができる。これにより、利用者にとっては、複数のサービス利用時に認証処理回数を削減できるため、利便性が向上する。

さらに、特許文献１には、バックエンドサーバを改変することなくシングルサインオン環境を実現するコンピュータシステムが記載されている。図３３は、シングルサインオン環境を実現する従来のコンピュータシステムの例を示す説明図である。

特許文献１に記載されたシステムは、図３３に例示するように、クライアント２０１と、バックエンドサーバ２０２と、窓口サーバ２０３と、中継サーバ２０４とを備え、それぞれネットワーク２００を介して接続される。窓口サーバ２０３は、ユーザ管理テーブル２０５と、マッピングテーブル２０６とを有している。中継サーバ２０４は、認証情報テーブル２０７を有している。

クライアント２０１が、バックエンドサーバ２０２の１つにアクセス要求をする場合について説明する。クライアント２０１は、まず、窓口サーバ２０３にアクセスを行い、窓口サーバ２０３にアクセスするためのクレデンシャル情報を提示する。窓口サーバ２０３は、提示されたクレデンシャル情報をユーザ管理テーブル２０５が管理する利用者のクレデンシャル情報と照合することによって、認証を行う。クライアント２０１は、窓口サーバ２０３の認証を受け、窓口サーバ２０３とセッションを確立させる。

その後、クライアント２０１がバックエンドサーバ２０２へのアクセス要求を行うと、窓口サーバ２０３は、マッピングテーブル２０６から、利用者に対応したバックエンドサーバ２０２にアクセスするためのクレデンシャル情報を抽出する。窓口サーバ２０３は、抽出したバックエンドサーバ２０２へのアクセス用クレデンシャル情報に基づいて、バックエンドサーバ２０２における認証に必要な認証情報を作成する。窓口サーバ２０３は、窓口サーバ２０３とクライアント２０１との間で確立したセッション識別子と作成した認証情報とを関連付けて、中継サーバ２０４の認証情報テーブル２０７に設定する。

次に、窓口サーバ２０３は、クライアント２０１に対して、ＨＴＴＰのリダイレクト要求を送信する。クライアント２０１は、バックエンドサーバ２０２に対するサービスアクセス要求を、プロキシ設定されている中継サーバ２０４に送信する。サービスアクセス要求を受けた中継サーバ２０４は、認証情報テーブル２０７を参照して、バックエンドサーバ２０２にアクセスするための認証情報を抽出する。中継サーバ２０４は、抽出した認証情報をアクセス要求のメッセージのＨＴＴＰヘッダに付加し、バックエンドサーバ２０２にアクセス要求を転送する。

以上に説明したように、中継サーバ２０４は、利用者のバックエンドサーバ２０２へのクレデンシャル情報と、窓口サーバ２０３のセッション情報とを関連付けて管理することによって、利用者に代わってバックエンドサーバ２０２に対するクレデンシャル情報の送付を自動的に行う。そのため、利用者は、窓口サーバ２０３への一度の認証手続きだけで、バックエンドサーバ２０２にサインオンすることができ、利便性が向上する。

特開２００５−３２１９７０号公報 オエイシス（ＯＡＳＩＳ）、"アサーションズ・アンド・プロトコル・フォー・ディ・オエイシス・セキュリティ・アサーション・マークアップ・ラングエッジ（Ａｓｓｅｒｔｉｏｎｓ ａｎｄ Ｐｒｏｔｏｃｏｌ ｆｏｒ ｔｈｅ ＯＡＳＩＳ Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ） （ＳＡＭＬ） Ｖ２．０"、［online］、２００５年３月１５日、［平成１９年３月９日検索］、インターネット＜ＵＲＬ：http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf＞

第１の問題点は、異なる通信プロトコルによって提供される異なるサービスを利用する際に、利用者は個々のサービス利用毎に認証処理を求められるため、処理が煩雑となり、利便性が損なわれることである。その理由は、従来方式では、利用者が異なる通信プロトコルによって提供されるサービスにアクセスする場合を考慮していないからである。例えば、非特許文献１に記載された認証システムでは、ＩｄＰとＳＰが同一の通信プロトコルによって通信することを前提としている。また、特許文献１に記載のコンピュータシステムも同様であり、個々のバックエンドサーバが異なるプロトコルで通信することを考慮していない。すなわち、従来方式では、個々のサービスの通信プロトコルが異なれば、シングルサインオンすることができない。

第２の問題点は、従来方式では、異なる通信プロトコルによって提供される異なるサービス間で利用者の認証機会を削減するためには、サービスを提供する装置を改造する必要があることである。非特許文献１に記載の認証システムでは、上記の第１の問題点で述べた通り、ＩｄＰとＳＰの通信プロトコルが異なる場合を考慮しておらず、ＩｄＰとＳＰの通信プロトコルが異なる場合にＩｄＰとＳＰの間で通信するためには、ＩｄＰあるいはＳＰのどちらかが他方の通信プロトコルに対応する必要がある。また、特許文献１に記載のコンピュータシステムでは、中継サーバを設置するためバックエンドサーバを改造する必要はない。しかし、複数のバックエンドサーバが異なる通信プロトコルを利用している際には、中継サーバがバックエンドサーバ毎の通信プロトコルに適応できるように改造する必要がある。

そこで、本発明は、既存のシステムを改造することなく認証処理の機会を低減することが可能な認証連携システム、中継装置、認証連携方法および認証連携プログラムを提供することを目的とする。

本発明による認証連携システムは、利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継する中継装置を備えた認証連携システムであって、中継装置は、認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて記憶する連携情報記憶手段と、サービスを要求した利用者についての認証要求をサービス提供装置が認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を認証装置の通信プロトコルに応じた認証要求に変換する変換手段と、当該利用者を示す情報に対応する認証セッション識別子を連携情報記憶手段から抽出し、抽出した認証セッション識別子を変換手段が変換した認証要求に含めて、当該認証要求を認証装置に送信する認証要求中継手段とを含み、認証装置は、受信した認証要求が認証セッション識別子を含むか否かを判断し、認証セッション識別子を含むと判断した場合に、利用者を認証したことを示す認証応答をサービス提供装置に送信し、含まないと判断した場合に、利用者の認証処理を行う認証判断手段を含むことを特徴とする。

連携情報記憶手段は、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて記憶し、変換手段は、端末装置がサービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換し、中継装置は、サービスを要求した利用者を示す情報に対応するサービスセッション識別子を連携情報記憶手段から抽出し、抽出したサービスセッション識別子を変換手段が変換したサービス要求に含めて、当該サービス要求をサービス提供装置に送信するサービス要求中継手段を含み、サービス提供装置は、受信したサービス要求がサービスセッション識別子を含むか否かを判断し、サービスセッション識別子を含むと判断した場合に、利用者にサービスを提供するサービス応答を端末装置に送信し、含まないと判断した場合に、利用者についての認証要求を認証装置に送信するサービス判断手段を含むことが望ましい。そのような構成によれば、サービス提供装置が認証要求を省略することができる。

認証判断手段は、認証セッション識別子が所定の条件を満たす場合に認証応答を送信することが好ましい。そのような構成によれば、所定の条件に基づいて認証応答を送信するか否かを判断することができる。

サービス判断手段は、サービスセッション識別子が所定の条件を満たす場合にサービス応答を送信することが好ましい。そのような構成によれば、所定の条件に基づいてサービス応答を送信するか否かを判断することができる。

本発明による中継装置は、利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継する中継装置であって、認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて記憶する連携情報記憶手段と、サービスを要求した利用者についての認証要求をサービス提供装置が認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を認証装置の通信プロトコルに応じた認証要求に変換する変換手段と、当該利用者を示す情報に対応する認証セッション識別子を連携情報記憶手段から抽出し、抽出した認証セッション識別子を変換手段が変換した認証要求に含めて、当該認証要求を認証装置に送信する認証要求中継手段とを備えたことを特徴とする。

連携情報記憶手段は、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて記憶し、変換手段は、端末装置がサービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換し、サービスを要求した利用者を示す情報に対応するサービスセッション識別子を連携情報記憶手段から抽出し、抽出したサービスセッション識別子を変換手段が変換したサービス要求に含めて、当該サービス要求をサービス提供装置に送信するサービス要求中継手段を備えたことが望ましい。そのような構成によれば、サービス提供装置が認証要求を省略することができる。

本発明による認証連携方法は、利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継装置が中継する認証連携方法であって、中継装置が、認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させ、中継装置が、サービスを要求した利用者についての認証要求をサービス提供装置が認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を認証装置の通信プロトコルに応じた認証要求に変換し、中継装置が、当該利用者を示す情報に対応する認証セッション識別子を連携情報記憶手段から抽出し、抽出した認証セッション識別子を変換した認証要求に含めて、当該認証要求を認証装置に送信し、認証装置が、受信した認証要求が認証セッション識別子を含むか否かを判断し、認証セッション識別子を含むと判断した場合に、利用者を認証したことを示す認証応答をサービス提供装置に送信し、含まないと判断した場合に、利用者の認証処理を行うことを特徴とする。

中継装置が、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させ、中継装置が、端末装置がサービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換し、中継装置が、サービスを要求した利用者を示す情報に対応するサービスセッション識別子を連携情報記憶手段から抽出し、抽出したサービスセッション識別子を変換したサービス要求に含めて、当該サービス要求をサービス提供装置に送信し、サービス提供装置が、受信したサービス要求がサービスセッション識別子を含むか否かを判断し、サービスセッション識別子を含むと判断した場合に、利用者にサービスを提供するサービス応答を端末装置に送信し、含まないと判断した場合に、利用者についての認証要求を認証装置に送信することが望ましい。そのような構成によれば、サービス提供装置が認証要求を省略することができる。

本発明による認証連携プログラムは、利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継するための認証連携プログラムであって、コンピュータに、認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させる処理と、サービスを要求した利用者についての認証要求をサービス提供装置が認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を認証装置の通信プロトコルに応じた認証要求に変換する処理と、当該利用者を示す情報に対応する認証セッション識別子を連携情報記憶手段から抽出し、抽出した認証セッション識別子を変換した認証要求に含めて、当該認証要求を認証装置に送信する処理とを実行させることを特徴とする。

コンピュータに、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させる処理と、端末装置がサービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換する処理と、サービスを要求した利用者を示す情報に対応するサービスセッション識別子を連携情報記憶手段から抽出し、抽出したサービスセッション識別子を変換したサービス要求に含めて、当該サービス要求をサービス提供装置に送信する処理とを実行させることが望ましい。そのような構成によれば、サービス提供装置が認証要求を省略することができる。

本発明による認証連携システムの好ましい一態様は、例えば、認証装置とサービス提供装置と中継装置と端末装置とが相互にネットワークに接続されて構成されることを特徴とする。

本発明の第１の認証連携システムの認証装置は、所定の通信手段と、利用者を認証する利用者認証手段と、利用者認証手段が利用者を認証した際に、利用者の認証が完了した旨を証明する認証証明書を発行する認証情報発行手段と、利用者の個人情報を管理する利用者情報管理手段と、利用者認証手段が利用者を認証した際に新規セッションを作成し、該セッションに対応するセッション識別子を管理するセッション情報管理手段と、利用者の個人属性情報や利用者認証手段で認証を行うための利用者のクレデンシャル情報などを格納する利用者情報格納部と、セッション情報管理手段によって発行されたセッション識別子とそれに対応するセッション情報とが関連付けて格納されるセッション情報格納部とを備えている。

また、本発明の第１の認証連携システムのサービス提供装置は、所定のサービスを提供するサービス提供手段と、サービスを、認証装置の通信プロトコルとは異なる所定の通信プロトコルによって提供し、他の装置と通信を行う通信手段と、認証装置の認証情報発行手段が提供した利用者の認証情報に基づいて、所定の期間中に有効なセッションと該セッションに対応するセッション識別子とをセッション情報格納部において管理するセッション情報管理手段と、認証装置の認証情報発行手段が提供した利用者の認証情報と、セキュリティポリシ格納部において格納される該サービス提供装置のセキュリティポリシに基づいて、該サービスに対する利用者のアクセス要求を許可するか否かの認可判断を与えるアクセス制御手段とを備えている。

また、本発明の第１の認証連携システムの中継装置は、認証装置とサービス提供装置の通信手段が利用する両方の通信プロトコルによって通信可能な通信手段と、認証装置とサービス提供装置と端末装置間での通信を行うために通信メッセージの内容を所定の通信プロトコルに変換するデータ変換手段と、通信手段が受信した他の装置からの通信メッセージの内容を解析し、データ変換手段による変換結果や、連携セッション情報を基に、通信内容やその宛先に応じて適切な通信メッセージを再構成して作成する通信メッセージ解析作成手段と、該通信メッセージ解析作成手段が取得した通信手段の受信メッセージに格納されるセッション情報を、連携セッション情報格納部において管理する連携セッション情報管理手段と、通信手段が受信した通信メッセージに関わる一連のメッセージを関連付け、該通信メッセージの元となる端末装置に関する識別子情報を取得し、管理する端末識別子管理手段とを備えている。

また、本発明の第１の認証連携システムの端末装置は、サービス提供装置のサービス提供手段が提供するサービスの利用する所定の通信プロトコルによって通信可能な通信手段と、サービス提供装置に対して、所定のサービス要求メッセージを作成するサービス要求手段と、認証装置から、利用者のクレデンシャル情報の提供を要求された際に、クレデンシャル情報を送付する認証処理手段と、該端末装置に対して与えられる、該端末装置あるいは該端末装置の利用者が特定可能な識別子を端末識別子格納部において管理する端末識別子管理手段とを備える。

このような構成を採用し、認証装置の利用する通信手段の通信プロトコルと、サービス提供装置の通信手段の通信プロトコルとが異なる場合においても、中継装置がプロトコルの変換及び、認証装置とサービス提供装置のそれぞれから発行されたセッション識別子と端末識別子とを関連付けて管理することによって、既存の認証装置、サービス提供装置、及び、端末装置の通信プロトコルや基本機能を改造することなく、利用者の認証機会の削減を可能とすることで、本発明の第１及び第２の目的を達成することができる。

第１の効果は、利用者にとってのサービス利用時の利便性が向上することにある。その理由は、利用者は、様々な通信プロトコルによって公開される複数のサービスを利用する際に、認証手続きを最小限に留めることが可能となり、サービスの利用が途切れることがないからである。

第２の効果は、シングルサインオンを実現する導入コストを削減できることにある。その理由は、既存のシステムの通信プロトコルや基本機能を改造せずに認証連携システムを導入することができるからである。

実施の形態１．
以下、本発明の実施の形態を図面を参照して説明する。図１は、本発明による認証連携システムの構成例を示すブロック図である。図１に示す認証連携システムは、認証装置１と、サービス提供装置２と、中継装置３と、端末装置４とを備える。認証装置１、サービス提供装置２、中継装置３および端末装置４は、ネットワーク５００を介して接続され、相互に通信を行う。

本発明において、端末装置４は、中継装置３を介してサービス提供装置２にサービス要求メッセージを送信する。サービス要求メッセージは、サービスを要求した利用者を特定可能な情報を含む情報である。以下、サービスを要求した利用者を特定可能な情報が、端末装置４を特定可能な情報（以下、端末識別子と表記する。）である場合を例にして説明する。サービス要求メッセージを受信すると、サービス提供装置２は、中継装置３を介して、サービス要求を行った利用者についての認証要求メッセージを認証装置１に送信する。認証装置１は、利用者の認証が必要な場合には、中継装置３を介して端末装置４にクレデンシャル情報要求メッセージを送信してクレデンシャル情報を受信し、中継装置３を介してサービス提供装置２に認証応答メッセージを送信する。既に利用者を認証済みであって認証が不要な場合には、認証装置１は、端末装置４にクレデンシャル情報を要求することなく、認証応答メッセージを中継装置３を介してサービス提供装置２に送信する。サービス提供装置２は、認証応答メッセージを受信すると、中継装置３を介して端末装置４にサービス応答メッセージを送信する。

また、再度端末装置４が中継装置３を介して同じサービス提供装置２にサービス要求メッセージを送信すると、サービス提供装置２は、例えば、所定の期間内であれば、認証装置１に認証要求メッセージを送信することなく、端末装置４にサービス応答メッセージを送信する。

また、一連の処理において、中継装置３は、受信した情報を所定の変換規則に基づいて変換して、転送先の装置に送信する。例えば、中継装置３は、転送する情報のプロトコルを、転送元の装置が対応するプロトコルから転送先の装置が対応するプロトコルに変換して送信する。

認証装置１は、利用者を所定の認証方式によって認証する。認証装置１は、具体的には、ワークステーションやパーソナルコンピュータ等の情報処理装置によって実現される。認証装置１は、例えば、端末装置４の利用者を管理し、認証する事業者が運営するサーバ装置で実現される。

図２は、認証装置１の構成の一例を示すブロック図である。図２に示すように、認証装置１は、通信手段１０と、認証情報発行手段１１と、利用者認証手段１２と、利用者情報管理手段１３と、セッション情報管理手段１４と、利用者情報格納部１５と、セッション情報格納部１６とを含む。

認証装置１の通信手段１０がサービス提供装置２が送信した認証要求メッセージを受信すると、セッション情報管理手段１４は、利用者の認証が必要か否かを判断する。セッション情報管理手段１４が認証が必要であると判断した場合、利用者認証手段１２は、端末装置４にクレデンシャル情報を要求する。

通信手段１０がクレデンシャル情報を受信すると、利用者認証手段１２は、利用者情報格納部１５にあらかじめ記憶する利用者情報と、受信したクレデンシャル情報とに基づいて、利用者の認証を行う。利用者認証手段１２は、例えば、利用者情報格納部１５に受信したクレデンシャル情報を含む利用者情報が格納されている場合、クレデンシャル情報の送信者を利用者本人と認証する。利用者認証手段１２が利用者を認証すると、認証情報発行手段１１は、認証証明書を発行する。また、セッション情報管理手段１４は、セッション識別子を発行し、認証証明書と対応付けてセッション情報としてセッション情報格納部１６に記憶させる。以下、セッション情報管理手段１４が発行するセッション識別子を認証セッション識別子と表記し、セッション情報格納部１６が記憶するセッション情報を認証セッション情報と表記する場合がある。

利用者認証手段１２は、認証証明書と認証セッション識別子とを含む認証応答メッセージをサービス提供装置２に送信する。一方、認証要求メッセージの受信時に、セッション情報管理手段１４が認証不要と判断した場合、利用者認証手段１２は、クレデンシャル情報を要求することなく、認証証明書を含む認証応答メッセージをサービス提供装置２に送信する。

「クレデンシャル情報」は、例えば、利用者の識別子やパスワードなどの、端末装置４の利用者を証明するための情報である。「利用者情報」は、利用者の氏名、年齢等の利用者の属性情報、及び、利用者を特徴付けたり、関連付けられる情報などであって、クレデンシャル情報を含む。「認証セッション識別子」は、認証装置１が利用者の認証を行い、認証についての認証装置１と端末装置４とのセッションが確立したことを示す情報である。

通信手段１０は、所定の通信プロトコルにより、通信の宛先となる装置に応じて、通信を行う。通信手段１０は、具体的には、プログラムに従って動作する情報処理端末のＣＰＵ及びネットワークインターフェース部によって実現される。

利用者認証手段１２は、サービス提供装置２が送信した認証要求メッセージに応じて、端末装置４を利用する利用者を認証する手段である。利用者認証手段１２は、利用者の認証が必要な場合には、利用者に対してクレデンシャル情報の提供を要求し、利用者の利用する端末装置４から送付される利用者のクレデンシャル情報の内容を検証して、利用者本人であることを認証する。

認証情報発行手段１１は、利用者認証手段１２によって利用者の認証が完了したことを証明するための認証証明書を発行する。具体的には、認証証明書は、利用者の認証方式、認証時刻、利用者の識別子、証明書の有効期限などの情報を含んでもよい。認証情報発行手段１１は、発行する宛先に合わせて適切な情報を記載した認証証明書を発行する。例えば、発行する宛先によって、利用者の識別子を、認証装置１と宛先間で共通の識別子にしたり、プライバシーを保護するために匿名の識別子にしたりする。

利用者情報管理手段１３は、利用者情報を利用者情報格納部１５に格納して、利用者情報の新規登録、更新、削除などの管理を行う。利用者情報管理手段１３は、あらかじめ利用者情報格納部１５に利用者情報を記憶させる。

利用者情報格納部１５は、利用者情報管理手段１３からの登録、更新、削除要求に伴い、利用者情報を適切に格納する。利用者情報格納部１５は、具体的には、磁気ディスク装置や光ディスク装置等の記憶装置によって実現される。

セッション情報管理手段１４は、利用者認証手段１２が利用者を認証した場合に、所定の期間中に有効な認証セッション識別子を発行し、セッション情報格納部１６に記憶させる。セッション情報管理手段１４は、例えば、認証セッション識別子の発行後、所定の期間が経過した場合や、利用者から明示的にセッションの終了要求を受けた際に、セッション情報格納部１６から認証セッション識別子を削除するなどの処理を行う。

また、セッション情報管理手段１４は、認証要求メッセージの受信時に、利用者の認証が必要か否かを判断する。有効な認証セッションの存在は、既に認証が完了していることを意味する。利用者から認証装置１へのアクセス時（すなわち、端末装置４からのサービス要求メッセージに応じて、サービス提供装置２が認証装置１に認証要求メッセージを送信した場合）に、セッション情報管理手段１４は、受信した認証要求メッセージが認証セッション識別子を含むか否かを判断する。

認証セッション識別子を含むと判断した場合、セッション情報管理手段１４は、受信した認証セッション識別子が示す認証セッションが有効であるか否かを、セッション情報格納部１６が記憶する認証セッション情報に基づいて判断する。認証セッション情報は、例えば、認証セッション識別子の有効期間や、認証強度等を含む情報である。セッション情報管理手段１４が、認証セッションが有効であり、かつ、再認証が不要と判断した場合、利用者認証手段１２は、利用者にクレデンシャル情報を要求する処理を省略する。また、通信手段１０は、認証応答メッセージをサービス提供装置２に送信する。

例えば、セッション情報管理手段１４は、認証セッション情報が存在しても、有効期間を過ぎている場合には、再認証が必要と判断する。また、例えば、最初に認証したときの認証方法の認証強度が弱い場合（ＩＤ、パスワード等）であって、その後、利用制限が厳しいサービス（例えば、銀行口座からの口座引き落とし等）を利用する場合、先の認証結果では不十分であるため、認証強度が強い認証を追加で要求する。認証セッション情報は、認証セッション識別子の有効期間や、認証強度等に加えて、再認証が必要であるか否かを示すポリシを含む情報である。

セッション情報格納部１６は、利用者の認証セッション識別子と認証証明書とを含む認証セッション情報を格納する。セッション情報格納部１６は、具体的には、磁気ディスク装置や光ディスク装置等の記憶装置によって実現される。

図３は、サービス提供装置２の構成の一例を示すブロック図である。図３に示すように、サービス提供装置２は、通信手段２０と、セッション情報管理手段２１と、サービス提供手段２２と、アクセス制御手段２３と、セッション情報格納部２４と、セキュリティポリシ格納部２５とを含む。

サービス提供装置２の通信手段２０が、端末装置４が送信したサービス要求メッセージを受信すると、セッション情報管理手段２１は、サービスを要求した利用者を認証する必要があるか否かを判断する。認証が必要であると判断した場合、セッション情報管理手段２１は、認証装置１に認証要求メッセージを送信する。

通信手段２０が認証装置１からの認証応答メッセージを受信すると、アクセス制御手段２３は、セキュリティポリシ格納部２５が記憶するセキュリティポリシに基づいて、サービスを要求した利用者が、サービスを利用する権限を有するか否かを判断する。利用者が権限を有し、かつ認証応答メッセージに含まれる認証証明書が有効である場合、セッション情報管理手段２１は、セッション識別子を発行し、セッション情報格納部２４に記憶させる。以下、セッション情報管理手段２１が発行するセッション識別子をサービスセッション識別子と表記し、セッション情報格納部２４が記憶するセッション情報をサービスセッション情報と表記する場合がある。

セッション情報管理手段２１は、サービスセッション識別子を含むサービス応答メッセージを端末装置４に送信する。一方、サービス要求メッセージの受信時に、セッション情報管理手段２１が認証不要と判断した場合、認証要求メッセージを送信することなく、セッション情報管理手段２１は、サービス応答メッセージを端末装置４に送信する。

通信手段２０は、所定の通信プロトコルにより、通信の宛先となる装置に応じて通信を行う。通信手段２０は、具体的には、プログラムに従って動作する情報処理端末のＣＰＵ及びネットワークインターフェース部によって実現される。

セッション情報管理手段２１は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。セッション情報管理手段２１は、サービス提供手段２２が提供するサービスを利用者が受ける際のセッション情報を管理する機能を備える。

すなわち、セッション情報管理手段２１は、サービス要求メッセージの受信時に、サービスを要求した利用者を認証する必要があるか否かを判断する。セッション情報管理手段２１は、受信したサービス要求メッセージがサービスセッション識別子を含むと判断した場合、受信したサービスセッション識別子が有効であるか否かを、セッション情報格納部２４が記憶するサービスセッション情報に基づいて判断する。サービスセッション情報は、例えば、サービスセッション識別子の有効期限や、認証強度等を含む情報である。

また、セッション情報管理手段２１は、認証装置１から受信した認証応答が有効であって、利用者がアクセス権限を有する場合、セッション識別子を発行し、セッション情報としてセッション情報格納部２４に記憶させる。以下、セッション情報管理手段２１が発行するセッション識別子を、サービスセッション識別子と表記し、セッション情報格納部２４が記憶するセッション情報を、サービスセッション情報と表記する場合がある。

サービス提供手段２２は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵによって実現される。サービス提供手段２２は、所定のサービスを、認証装置１とは異なる所定の通信プロトコルによって公開している。サービス提供手段２２は、通信手段２０およびネットワーク５００を介して、端末装置４に対して各種サービスを提供する機能を備える。

アクセス制御手段２３は、認証装置１から受信した利用者に関する認証応答メッセージを解析し、認証応答メッセージの解析結果と、セキュリティポリシ格納部２５が管理するセキュリティポリシとに基づいて、サービス提供手段２２がサービスへのアクセスを許可するか否かの認可判断を行う。

セキュリティポリシ格納部２５は、サービス提供装置２のアクセス制御手段２３が、利用者に所定のサービスの提供許可を与えるか否かを判断するためのポリシ情報を管理する。ポリシ情報は、具体的には、例えば、受信した認証証明書が有効である場合に利用者に対して所定のＵＲＬで公開するサービスへのアクセスを許可する、などのアクセス制御に関するポリシである。ポリシ情報は、所定の記述言語で記載される。

図４は、中継装置３の構成の一例を示すブロック図である。図４に示すように、中継装置３は、通信手段３０と、データ変換手段３１と、通信メッセージ解析作成手段３２と、端末識別子管理手段３３と、連携セッション情報管理手段３４と、連携セッション情報格納部３５と、端末識別子情報格納部３６と、変換規則情報格納部３７とを含む。

中継装置３の通信手段３０が、転送する情報を受信すると、データ変換手段３１は、受信した情報を、変換規則情報格納部３７が記憶する変換規則に基づいて変換し、転送先の装置に送信する。例えば、データ変換手段３１は、転送する情報のプロトコルを、転送元の装置が対応するプロトコルから転送先の装置が対応するプロトコルに変換する。

通信手段３０が端末装置４からサービス要求メッセージを受信した場合、連携セッション情報管理手段３４は、受信したサービス要求メッセージに含まれる端末識別子に対応するサービスセッション識別子が連携セッション情報格納部３５に記憶されているか否かを判断する。端末識別子に対応するサービスセッション識別子が記憶されていない場合、通信メッセージ解析作成手段３２は、サービス要求メッセージをサービス提供装置２に転送する。一方、端末識別子に対応するサービスセッション識別子が記憶されている場合、通信メッセージ解析作成手段３２は、サービス要求メッセージにサービスセッション識別子を付与して、サービス提供装置２に転送する。

通信手段３０がサービス提供装置２から認証要求メッセージを受信した場合、連携セッション情報管理手段３４は、連携セッション情報格納部３５において、サービス要求メッセージに含まれる端末識別子に対応する認証セッション識別子が連携セッション情報格納部３５に記憶されているか否かを判断する。端末識別子に対応する認証セッション情報が記憶されていない場合、通信メッセージ解析作成手段３２は、データ変換手段３１が変換した認証要求メッセージを認証装置１に転送する。一方、端末識別子に対応する認証セッション識別子が記憶されている場合、通信メッセージ解析作成手段３２は、データ変換手段３１が変換した認証要求メッセージに認証セッション識別子を付与して、認証装置１に転送する。

通信手段３０が認証装置１から認証応答メッセージを受信した場合、通信メッセージ解析作成手段３２は、受信した認証応答メッセージに含まれる認証セッション識別子を抽出する。連携セッション情報管理手段３４は、認証セッション識別子を、認証応答メッセージに対応するサービス要求メッセージを送信した端末の端末識別子に対応付けて、連携セッション情報として連携セッション情報格納部３５に記憶させる。通信メッセージ解析作成手段３２は、データ変換手段３１が変換した認証応答メッセージをサービス提供装置２に転送する。

通信手段３０がサービス提供装置２からサービス応答メッセージを受信した場合、通信メッセージ解析作成手段３２は、受信したサービス応答メッセージに含まれるサービスセッション識別子を抽出する。連携セッション情報管理手段３４は、サービスセッション識別子を、サービス応答メッセージに対応するサービス要求メッセージを送信した端末の端末識別子に対応付けて、連携セッション情報として連携セッション情報格納部３５に記憶させる。通信メッセージ解析作成手段３２は、サービス応答メッセージを端末装置４に転送する。

通信手段３０は、認証装置１の通信手段１０と、サービス提供手段２の通信手段２０が利用する両方の通信プロトコルを利用して、通信の宛先となる装置に応じて通信する。すなわち、通信手段３０は、認証装置１の通信手段１０が従うプロトコルと、サービス提供手段２の通信手段２０が従うプロトコルの両方のプロトコルに対応している。通信手段３０は、具体的には、プログラムに従って動作する情報処理端末のＣＰＵ及びネットワークインターフェース部によって実現される。

データ変換手段３１は、あるプロトコルで受信したメッセージデータを、異なるプロトコルの送信メッセージデータに変換する機能を有する。例えば、データ変換手段３１は、認証装置１、サービス提供装置２および端末装置４の間で異なる通信プロトコルを用いている場合に、通信メッセージ解析作成手段３２が解析した結果に基づいて、プロトコル間の違いを吸収するための処理を行う。中継装置３は、各通信メッセージに格納される各データを共通の形式で管理し、個々の通信プロトコルに依存した形式に変換する。

また、データ変換手段３１は、各データの名前解決機能を有し、例えば、所定の装置名から適切なＵＲＬへの変換を行う。また、データ変換手段３１は、メタ情報の検索機能を有し、例えば、所定の装置名の宛先に対応した通信プロトコルの取得を行う。

変換規則情報格納部３７は、データ変換手段３１が、データを変換する際に利用する変換規則情報を記憶する。変換規則情報は、例えば、各通信プロトコル毎の情報であって、セッション情報の形式、格納パラメータ、格納場所、データの変換方法、データの解決規則、各装置に関するメタ情報等を含む情報である。

通信メッセージ解析作成手段３２は、通信手段３０が受信した所定のメッセージの内容を解析する。通信メッセージ解析作成手段３２は、受信メッセージの差出元や宛先、および受信メッセージの意図する内容を解析した上で、解析した内容に基づいて、通信プロトコルの変換が必要か否かを判断する。変換が必要な場合には、通信メッセージ解析作成手段３２は、データ変換手段３１にデータ変換の要求を行う。通信メッセージ解析作成手段３２は、受信メッセージの解析結果を元に、受信メッセージをどの宛先に送付するかを決定し、しかるべき宛先を規定したメッセージを作成する。

また、通信メッセージ解析作成手段３２は、認証装置１から認証応答メッセージを受信した場合に、認証セッション識別子を抽出する。通信メッセージ解析作成手段３２は、サービス提供装置２からサービス応答メッセージを受信した場合に、サービスセッション識別子を抽出する。

端末識別子管理手段３３は、通信手段３０が受信した通信メッセージを送付した端末装置４に関する識別子情報（端末識別子）を抽出する手段である。ここで、端末装置４に関する識別子情報とは、端末装置４のＩＰアドレスや、端末装置４固有の識別子や、端末装置４の利用者の利用者識別子などである。端末識別子管理手段３３は、端末装置４、認証装置１およびサービス提供装置２の間で中継する通信メッセージの識別子に基づいて、ある利用者に関連する一連のメッセージを関連付けて管理し、各メッセージの識別子から、端末識別子の情報を取得する。

すなわち、端末識別子管理手段３３は、端末装置４がサービス提供装置２に送信するサービス要求メッセージを中継する際に、サービス要求メッセージに含まれる端末識別子を抽出し、当該サービス要求メッセージを特定可能な識別子に対応付けて端末識別子情報格納部３６に記憶させる。端末識別子管理手段３３は、サービス提供装置２から認証要求メッセージやサービス応答メッセージを受信した場合および認証装置１から認証応答メッセージを受信した場合に、それらのメッセージに対応するサービス要求メッセージを特定し、対応する端末識別子を抽出する。

連携セッション情報管理手段３４は、通信メッセージ解析作成手段３２が抽出した認証セッション情報およびサービスセッション情報を、連携セッション情報格納部３５に記憶させる。連携セッション情報管理手段３４は、例えば、連携セッション情報の新規登録、更新、削除等の処理を行う。

連携セッション情報格納部３５は、通信メッセージ解析作成手段３２が抽出した認証セッション情報およびサービスセッション情報を記憶する。連携セッション情報格納部３５は、具体的には、磁気ディスク装置や光ディスク装置等の記憶装置によって実現される。

端末識別子情報格納部３６は、端末識別子管理手段３３が抽出した端末識別子情報を記憶する。端末識別子情報格納部３６は、具体的には、磁気ディスク装置や光ディスク装置等の記憶装置によって実現される。

図５は、端末装置４の構成の一例を示すブロック図である。図５に示すように、端末装置４は、通信手段４０と、認証処理手段４１と、サービス要求手段４２と、端末識別子管理手段４３と、端末識別子格納部４４とを含む。

通信手段４０は、サービス提供装置２のサービス提供手段２２が提供するサービスを利用するための所定の通信プロトコルに従って、通信を行う。通信手段４０は、通信プロトコルを利用して、中継装置３を介して、認証装置１やサービス提供手段２と通信を行うことができる。通信手段４０は、具体的には、プログラムに従って動作する情報処理端末のＣＰＵ及びネットワークインターフェース部によって実現される。

サービス要求手段４２は、サービス提供装置２が提供するサービスを受けるために、サービス要求メッセージを送信し、その結果返信される情報（サービス応答メッセージ）を、通信手段４０を介して受信する。また、サービス要求手段４２は、サービス提供装置２から送信される情報（サービス応答メッセージ）を、端末装置４の利用者に対して表示し、利用者からの情報入力が可能な適切なインターフェース機能を備える。

認証処理手段４１は、認証装置１からクレデンシャル要求を受信した場合に、例えば、利用者にクレデンシャル情報の入力を促すなどの処理を行い、クレデンシャル情報を認証装置１に送信する。

端末識別子管理手段４３は、端末装置４に対して与えられる識別子であって、端末装置４あるいは端末装置４の利用者を特定可能な識別子である端末識別子を端末識別子格納部４４に記憶させる。端末識別子は、具体的には、認証装置１を運営する事業者から与えられたり、ネットワークアクセス時に自動的に割り当てられて取得するＩＰアドレスや、端末装置４固有の識別子や、端末装置４の利用者の利用者識別子などである。

端末識別子格納部４４は、端末装置４に割り当てられ、端末識別子管理手段４３が管理する端末識別子を記憶する。端末識別子格納部４４は、具体的には、磁気ディスク装置や光ディスク装置等の記憶装置によって実現される。

認証装置１、サービス提供装置２、中継装置３、端末装置４における各通信手段は、互いに通信する場合には、ＳＳＬ（Secure Sockets Layer）、ＴＬＳ（Transport Layer Security）、あるいはそれらに相当する、第三者との間で送受信するメッセージの傍受を防止する機構を備えている。また、各通信手段は、互いに送受信するメッセージの内容を所定の通信相手にのみ通知し、意図した通信相手に露呈することを防止するための暗号化機能を備えるとともに、受信した暗号化情報を解読するための複合化機能を備えている。さらに、各通信手段は、互いに送受信するメッセージの内容が、適切な装置によって作成され、改竄されていないことを証明するための署名機能と、その署名内容の検証機能を備えている。

次に、図６〜図１４を参照して第１の実施の形態の動作について説明する。

まず、認証装置１の動作について説明する。図６は、認証装置１が実行する処理の一例を示す流れ図である。本実施の形態では、認証装置１の利用者認証手段１２は、利用者を認証するサービスを公開し、他の装置からの認証要求を受信可能な状態にあるとする。以下、認証装置１が実行する処理の中で最も特徴的な処理として、サービス提供装置２からの認証要求を中継装置３を経由して受信した場合の処理について説明する。

認証装置１の通信手段１０は、中継装置３から利用者の認証要求メッセージを受信する（ステップＳ１０１）。

セッション情報管理手段１４は、認証要求メッセージに認証セッション識別子が含まれているか否かを判断する（ステップＳ１０２）。認証セッション識別子が含まれていなければ（Ｎｏ）、ステップＳ１０３に移行し、利用者の認証処理を行う。すなわち、利用者認証手段１２は、利用者のクレデンシャル情報を要求するメッセージを中継装置３を介して端末装置４に送信し（ステップＳ１０３）、通信手段１０は、端末装置４から中継装置３を介してクレデンシャル情報を受信する（ステップＳ１０４）。

利用者認証手段１２は、受信したクレデンシャル情報を、利用者情報管理手段１３が管理する利用者情報格納部１５が記憶する利用者情報と照合することによって検証し、利用者の認証を行う（ステップＳ１０５）。セッション情報管理手段１４は、利用者の認証の完了後、新たに認証セッション識別子を発行し（ステップＳ１０６）、認証した利用者（端末識別子）と関連付けて管理する。

一方、ステップＳ１０２において、認証セッション識別子が含まれていれば（Ｙｅｓ）、セッション情報管理手段１４は、認証セッション識別子として管理されるセッションの詳細を確認し、セッションの有効性を調べる（ステップＳ１０９）。もし、調査したセッションの有効期間が過ぎているなどの理由で、セッションが無効であると判断されれば（Ｎｏ）、利用者認証手段１２は、利用者の追加的な認証が必要となるため、ステップＳ１０３に移行し、利用者の認証処理を行う。一方、セッションが有効であると確認されれば（Ｙｅｓ）、利用者の認証処理を省略し、ステップＳ１０７に移行する。

有効なセッションが確立されると、認証情報発行手段１１は、利用者の認証証明書情報を発行し（ステップＳ１０７）、認証要求に対する認証応答メッセージを作成する。利用者認証手段１２は、通信手段１０および中継装置３を介して、サービス提供装置２に認証応答メッセージを送信する（ステップＳ１０８）。認証装置１は、ステップＳ１０１に移行し、中継装置３からの認証要求を待機待ちの状態に戻る。

次に、サービス提供装置２の動作について説明する。図７は、サービス提供装置２が実行する処理の一例を示す流れ図である。本実施の形態では、サービス提供装置２のサービス提供手段２２は、端末装置４を利用する利用者に対して、所定のサービスを公開しており、端末装置４からのサービスにアクセスするための要求を受信可能な状態にあるとする。以下、サービス提供装置２が実行する処理の中で最も特徴的な処理として、端末装置４からの認証要求を中継装置３を経由して受信した場合の処理について説明する。

サービス提供装置２の通信手段２０は、中継装置３から利用者のサービスへのアクセス要求（サービス要求）メッセージを受信する（ステップＳ２０１）。セッション情報管理手段２１は、受信したサービス要求メッセージにサービスセッション識別子が含まれているか否かを確認し（ステップＳ２０２）、サービスセッション識別子が含まれていれば（Ｙｅｓ）、サービスセッション識別子に対応するサービスセッション情報をセッション情報格納部２４から抽出し、その有効性を確認する（ステップＳ２０３）。サービスセッション識別子が有効であれば（Ｙｅｓ）、サービス提供手段２２は、ステップＳ２１１に移行し、サービス提供を継続し、サービス応答メッセージを送信する。ステップＳ２０３において、サービスセッション識別子が有効でないと判断した場合（Ｎｏ）、ステップＳ２０４の処理に移行する。

一方、ステップＳ２０２の処理で、サービスセッション識別子が含まれていなければ（Ｎｏ）、ステップＳ２０４に移行する。ステップＳ２０４において、セッション情報管理手段２１は、利用者の認証を行うために、利用者認証の要求の旨を示す認証要求メッセージを作成する。ここで、サービス提供手段２２は、認証要求メッセージの中に、利用者の認証を行うべき所定の認証装置１を示す情報を含めてもよい。通信手段２０は、認証要求メッセージを中継装置３に送信し、中継装置３からの応答を待機する。

通信手段２０は、中継装置３から、認証要求メッセージに対する認証応答メッセージを受信する（ステップＳ２０５）。アクセス制御手段２３は、認証応答メッセージを解析し、認証応答メッセージから利用者に相当する認証証明書を取り出し、認証装置１による利用者の認証結果の適切性を解析する（ステップＳ２０６）。

認証応答メッセージ及び認証証明書の解析結果を基にして、アクセス制御手段２３は、セキュリティポリシ格納部２５に格納するセキュリティポリシを参照して、サービス提供手段２２が提供するサービスに対してサービス要求をした利用者が、サービスを利用する権限を有するか否かを判断する（ステップＳ２０７）。

利用者の認証証明書の認証情報が無効であるか、あるいは、利用者にサービスに対するアクセス権限がなければ（Ｎｏ）、サービス提供手段２２は、利用者にサービスに対するアクセス権限がない旨を示すエラーメッセージを作成し、通信手段２０を通じて、中継装置３に送信する（ステップＳ２０８）。

一方、利用者の認証証明書の認証情報が有効であり、かつ、利用者にサービスに対するアクセス権限があれば（Ｙｅｓ）、セッション情報管理手段２１は、利用者に対応する新たなセッションを作成し、そのセッションに対応するサービスセッション識別子を発行し（ステップＳ２０９）、セッション情報格納部２４に記憶させる（ステップＳ２１０）。サービス提供手段２２は、新たに発行したサービスセッション識別子を含むサービス応答メッセージを作成し、通信手段２０は、中継装置３に対して送信する（ステップＳ２１１）。

次に、中継装置３の動作について説明する。図８は、中継装置３が実行する処理の一例を示す流れ図である。本実施の形態では、中継装置３は、認証装置１とサービス提供装置２と端末装置４との間の通信を中継するために、通信メッセージを送受信可能に各装置と接続されている。

通信手段３０は、他の装置からの通信メッセージの待機待ち状態から、通信メッセージを受信する。メッセージ解析作成手段３２は、通信メッセージに含まれる、通信内容、通信メッセージの送付元、意図された通信相手の宛先等の情報を取り出して解析し（ステップＳ３０１）、その解析内容に応じた処理を行う。

受信した通信メッセージが、端末装置４からサービス提供装置２に対するサービス要求である場合（ステップＳ３１０）、ステップＳ３１１のサービス要求・その他受信時処理を行う。図９は、サービス要求メッセージ受信時におけるステップＳ３１１の処理の例を示す流れ図である。

サービス要求・その他受信時処理において、通信メッセージ解析作成手段３２は、受信したサービス要求メッセージ内に、認証装置１から要求されたクレデンシャルが含まれているか否かを確認し（ステップＳ３１２）、クレデンシャルが含まれていれば（Ｙｅｓ）、受信メッセージが認証装置１からのクレデンシャル要求に対するクレデンシャル応答を含むサービス要求であるとみなし、ステップＳ３１６に移行する。

ステップＳ３１６において、データ変換手段３１は、サービス要求メッセージの通信プロトコルと、認証装置１への送信すべき応答メッセージの通信プロトコルとに基づいて、各通信プロトコルに対応する変換規則情報をデータ変換規則格納部３７から抽出する。データ変換手段３１は、抽出した変換規則情報に基づいて、クレデンシャル応答のメッセージにおいて指定された認証方式、認証アルゴリズム、ドメイン（Ｒｅａｌｍ）、Ｎｏｎｃｅ、認証装置１のＩＰアドレスなどの情報が適切に格納されるようにデータを変換する。

通信メッセージ解析作成手段３２は、新たに再構成した認証装置１に対するクレデンシャル応答メッセージを作成する（ステップＳ３１７）。次に、図８を参照すると、通信手段３０は、クレデンシャル応答メッセージを、認証装置１に対して送信し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

一方、ステップＳ３１２において、受信メッセージにクレデンシャルが含まれていなければ（Ｎｏ）、通信メッセージ解析作成手段３２は、サービス要求をサービス提供装置２に転送するための中継処理を以下の通り行う。

すなわち、通信メッセージ解析作成手段３２は、サービス要求メッセージにサービスセッション識別子が含まれているか否かを判断する（ステップＳ３１３）。サービスセッション識別子が含まれている場合（Ｙｅｓ）、ステップＳ３１６に移行する。

ステップＳ３１６において、データ変換手段３１は、サービス要求メッセージの通信プロトコルと、認証装置１への送信すべき応答メッセージの通信プロトコルとに基づいて、送信先であるサービス提供装置２に応じて必要となるデータを変換する。

通信メッセージ解析作成手段３２は、サービスセッション識別子や、サービス要求メッセージが中継装置３を通過したことを示す情報など、プロトコル依存の情報を追加して、新たにサービス提供装置２に対するサービス要求メッセージを作成する（ステップＳ３１７）。次に、図８を参照すると、通信手段３０は、サービス要求メッセージをサービス提供装置２に対して送信し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

一方、ステップＳ３１３にて、サービス要求メッセージにサービスセッション識別子が含まれていない場合（Ｎｏ）、連携セッション情報管理手段３４は、連携セッション情報格納部３５を参照し、サービス要求を送信した端末装置４に関する連携セッション情報が既に登録されているか否かを判断する（ステップＳ３１４）。

ステップＳ３１４において、連携セッション情報がない場合（Ｎｏ）、セッション情報に関する処理は何も行わずに、ステップＳ３１６に移行する。一方、連携セッション情報がある場合（Ｙｅｓ）、連携セッション情報管理手段３４は、連携セッション情報を取得し、端末装置４に関するサービスセッション識別子を取得する（ステップＳ３１５）。

そして、データ変換手段３１は、サービス要求メッセージの通信プロトコルと、認証装置１への送信すべき応答メッセージの通信プロトコルとに基づいて、送信先であるサービス提供装置２に応じて必要となるデータを変換する（ステップＳ３１６）。

通信メッセージ解析作成手段３２は、サービス要求メッセージに対して、サービスセッション識別子や、中継装置３を通過したことを示す情報など、プロトコル依存の情報を追加して、新たにサービス提供装置２に対するサービス要求メッセージを作成する（ステップＳ３１７）。次に、図８を参照すると、通信手段３０は、サービス要求メッセージをサービス提供装置２に対して送信し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

通信メッセージが、サービス提供装置２から認証装置１への認証要求メッセージである場合（ステップＳ３２０）、ステップＳ３２１の認証要求受信時処理を行う。図１０は、ステップＳ３２１の処理の例を示す流れ図である。

認証要求受信時処理において、端末識別子管理手段３３は、認証要求メッセージに含まれる、認証要求メッセージを送付する引き金になった端末装置４のサービス要求メッセージの識別子をキーとして、端末装置４の端末識別子を、端末識別子情報格納部３６から抽出する（ステップＳ３２２）。

通信メッセージ解析作成手段３２は、認証要求メッセージに、認証要求メッセージを送付する宛先となる認証装置１を示す情報があるか否か確認する。認証装置１を示す情報があれば、認証装置１を示す情報を新たな送付先認証装置として抽出する。一方、認証装置１を示す情報がなければ、所定の認証装置の情報を新たな送付先認証装置として設定する（ステップＳ３２３）。

連携セッション情報管理手段３４は、ステップＳ３２２で抽出した端末識別子をキーとして、連携セッション情報を連携セッション情報格納部３５から取得し、連携セッション情報に含まれる、利用者の送付先認証装置１の認証セッション識別子を取得する（ステップＳ３２４）。

データ変換手段３１は、認証要求メッセージのメッセージデータを、送付先認証装置１が通信する通信プロトコルに応じてデータ変換する（ステップＳ３２５）。通信メッセージ解析作成手段３２は、データ変換された結果および認証セッション識別子を利用して、新しく認証要求メッセージを再構成する（ステップＳ３２６）。図８に示すように、通信メッセージ解析作成手段３２は、生成した認証要求メッセージを送付先認証装置１に対して転送し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

受信した通信メッセージが、認証装置１から中継装置３を介した端末装置４へのクレデンシャル要求メッセージである場合（ステップＳ３３０）、ステップＳ３３１のクレデンシャル要求受信時処理を行う。図１１は、ステップＳ３３１の処理の例を示す流れ図である。

クレデンシャル要求受信時処理において、通信メッセージ解析作成手段３２は、クレデンシャル要求メッセージに含まれる認証方式、アルゴリズムなどユーザ認証に用いるための情報を取得する（ステップＳ３３２）。そして、データ変換手段３１は、ユーザ認証に用いるための情報と、クレデンシャル要求メッセージの通信プロトコルと、クレデンシャル要求の宛先となる端末装置４への通信プロトコルとに基づいて、ユーザ認証に用いるための情報をデータ変換する（ステップＳ３３３）。また、通信メッセージ解析作成手段３２は、端末装置４への新たなクレデンシャル要求メッセージを作成する（ステップＳ３３４）。次に、図８を参照すると、通信手段３０は、クレデンシャル要求メッセージを端末装置４に対して転送し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

受信した通信メッセージが、サービス提供装置２から認証装置１への認証要求メッセージに対する、認証装置１からサービス提供装置２への認証応答メッセージである場合（ステップＳ３４０）、ステップＳ３４１の認証要求への応答受信時処理を行う。図１２は、ステップＳ３４１の処理の例を示す流れ図である。

認証要求への応答受信時処理において、通信メッセージ解析作成管理手段３２は、通信メッセージに含まれる認証セッション識別子情報を抽出する（ステップＳ３４２）。端末識別子管理手段３３は、メッセージに含まれる、メッセージを送付する引き金となったサービス提供装置２からの認証要求メッセージの識別子を基にして、元々のサービス要求を行った端末装置４の端末識別子を取得する（ステップＳ３４３）。連携セッション情報管理手段３４は、端末識別子に基づいて、認証セッション識別子を端末装置４に対応させて、連携セッション情報として連携セッション情報格納部３５に格納する（ステップＳ３４４）。

データ変換手段３１は、受信メッセージを、サービス提供装置２が通信する通信プロトコルに応じてデータ変換する（ステップＳ３４５）。連携セッション情報管理手段３４は、サービス提供装置２から割り当てられた端末装置４に対するサービスセッション識別子を連携セッション情報から抽出する。通信メッセージ解析作成手段３２は、データ変換された結果を利用して、新しく認証要求に対する認証応答メッセージを再構成し（ステップＳ３４６）、サービス提供装置２に対して転送し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

受信した通信メッセージが、端末装置４からサービス提供装置２へのサービス要求に対する、サービス提供装置２から端末装置４へのサービス応答メッセージである場合（ステップＳ３５０）、ステップＳ３５１のサービス応答受信時処理を行う。図１３は、ステップＳ３５１の処理の例を示す流れ図である。

サービス応答受信時処理において、通信メッセージ解析作成手段３２は、サービス応答メッセージにサービスセッション識別子が含まれているか確認する。含まれている場合において、通信メッセージ解析作成手段３２はサービスセッション識別子を抽出する（ステップＳ３５２）。端末識別子管理手段３３は、端末識別子の情報を取得する（ステップＳ３５３）。連携セッション情報管理手段３４は、サービスセッション識別子と端末識別子とを関連付けて、連携セッション情報格納部３５に格納する（ステップＳ３５４）。ここで、連携セッション情報管理手段３４は、抽出したサービスセッション識別子と、あらかじめ連携セッション情報格納部３５に格納されているサービスセッション識別子とを比較し、同一であれば何も処理をせず、一方、異なっていれば、上書きして更新する。次に、通信手段３０は、サービス応答メッセージを端末装置４に対して転送し（ステップＳ３０２）、他の装置からの通信の待機待ち状態に移行する。

次に、図１４を参照して、端末装置４の動作について説明する。図１４は、端末装置４が実行する処理の一例を示す流れ図である。

端末装置４の利用者が、サービス提供装置２が提供するサービスに対してサービス要求を意味する入力を行うと（ステップＳ４０１）、端末識別子管理手段４３は、端末識別子格納部４４が記憶する端末識別子情報を抽出する（ステップＳ４０２）。サービス要求手段４２は、サービスにアクセスするための、サービス要求メッセージを作成する（ステップＳ４０３）。通信手段４０は、中継装置３に対してサービス要求メッセージを送信し（ステップＳ４０４）、中継装置３からの応答を待機する。

通信手段４０は、中継装置３からのメッセージを受信し（ステップＳ４０５）、受信メッセージの内容を確認する（ステップＳ４０６）。受信メッセージが、認証装置１からのクレデンシャル情報の要求を意味するものであれば（クレデンシャル要求）、認証処理手段４１は、利用者にクレデンシャル情報の入力を促すか、端末装置４があらかじめ記憶している利用者のクレデンシャル情報を自動的に入力するなどして、クレデンシャル情報を格納した応答メッセージを作成する。通信手段３０は、応答メッセージを中継装置３に対して送信する（ステップＳ４０７）。

受信メッセージが、ステップＳ４０４におけるサービス要求に対するサービス応答であれば（サービス要求への応答）、端末装置４がクレデンシャル情報を送信することなく、利用者は、サービスを利用することができる（ステップＳ４０８）。

次に、本実施の形態の効果について説明する。本実施の形態では、認証装置１の通信手段１０が従う通信プロトコルと、サービス提供装置２の通信手段２０が従う通信プロトコルとが異なる場合においても、中継装置３がそれぞれのプロトコル間のメッセージの変換を行う。また、利用者に関する認証装置１と中継装置３との間のセッションを示す認証セッション識別子と、サービス提供装置２と中継装置３との間のセッションを示すサービスセッション識別子と、利用者の端末装置における端末識別子とを関連付けて管理する。したがって、利用者は、認証装置１への一度の認証だけで、異なるプロトコルによって公開される複数のサービスを利用可能となる。このため、利用者は、再認証を求められる機会が削減され、多様なサービスを認証処理によって途切れずに利用できるため、利便性が向上する。

また、本実施の形態では、中継装置を設置することによって、既存の認証装置、サービス提供装置および端末装置の通信プロトコルや基本機能を改造することなく、シングルサインオンを実現することができる。このため、サービス提供装置、認証装置、端末装置を異なるプロトコルに対応させるための実装コストや、そのためのテストや保守に伴うコストが不要となる。

また、特許文献１に記載された方式では、各サービスに対する利用者のクレデンシャル情報を中継装置に預ける。これに対して、本発明の実施の形態では、クレデンシャル情報を中継装置に預ける必要がない。このため、利用者にとってクレデンシャル情報を預ける手間が不要なだけでなく、預けることによる情報漏えいの危険がないため、セキュリティ上、安全なシステムを構築することができる。

また、本実施の形態では、端末装置は、サービス提供装置や認証装置から発行されるセッション識別子を管理する必要がない。このため、携帯電話やＰＤＡのようなセッション識別子を管理しない端末装置においても、本認証連携システムを利用することが可能である。

実施の形態２．
次に、本発明の第２の実施の形態を図面を参照して説明する。図１５は、本発明による認証連携システムの第２の実施の形態を示すブロック図である。

図１５に示す認証連携システムは、第１の実施の形態と同様に、認証装置６０１と、サービス提供装置６０２と、中継装置６０３と、端末装置６０４とを備える。認証装置６０１、サービス提供装置６０２、中継装置６０３および端末装置６０４は、それぞれネットワーク６００を介して接続され、相互に通信を行う。

認証装置用プログラム６１１は、認証装置６０１に読み込まれる。認証装置６０１がコンピュータで実現される場合には、認証装置６０１に搭載されるＣＰＵが、認証装置用プログラム６１１を実行することによって、認証装置６０１の動作の制御や、サービス提供装置６０２と中継装置６０３と端末装置６０４との通信が実現される。認証装置６０１は、認証装置用プログラム６１１を実行することにより、第１の実施の形態における認証装置１による処理と同一の処理を実行する。

サービス提供装置用プログラム６１２は、サービス提供装置６０２に読み込まれる。サービス提供装置６０２がコンピュータで実現される場合には、サービス提供装置６０２に搭載されるＣＰＵが、サービス提供装置用プログラム６１２を実行することによって、サービス提供装置６０２の動作の制御や、認証装置６０１と中継装置６０３と端末装置６０４との通信が実現される。サービス提供装置６０２は、サービス提供装置用プログラム６１２を実行することにより、第１の実施の形態におけるサービス提供装置２による処理と同一の処理を実行する。

中継装置用プログラム６１３は、中継装置６０３に読み込まれる。中継装置６０３がコンピュータで実現される場合には、中継装置６０３に搭載されるＣＰＵが、中継装置用プログラム６１３を実行することによって、中継装置６０３の動作の制御や、認証装置６０１とサービス提供装置６０２と端末装置６０４との通信が実現される。中継装置６０３は、中継装置用プログラム６１３を実行することにより、第１の実施の形態における中継装置３による処理と同一の処理を実行する。

端末装置用プログラム６１４は、端末装置６０４に読み込まれる。端末装置６０４がコンピュータで実現される場合には、端末装置６０４に搭載されるＣＰＵが、端末装置用プログラム６１４を実行することによって、端末装置６０４の動作の制御や、認証装置６０１とサービス提供装置６０２と中継装置６０３との通信が実現される。端末装置６０４は、端末装置用プログラム６１４を実行することにより、第１の実施の形態における端末装置４による処理と同一の処理を実行する。

次に、本発明の第１の実施例を、図面を参照して説明する。かかる実施例は本発明の第１の実施の形態に対応するものである。

図１６は、本発明による認証システムの実施例を説明するための説明図である。図１６に示す認証システムは、認証装置１と、サービス提供装置２と、中継装置３と、端末装置４とを備える。認証装置１、サービス提供装置２、中継装置３および端末装置４は、それぞれ第１の実施の形態における機能を含む。

本実施例において、例えば、認証装置１は、通信プロトコルとしてＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を使用する通信手段２０を含む（図２参照。）。

サービス提供装置２は、例えば、ＳＩＰ（Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）通信可能な通信手段２０を含む（図３参照。）。サービス提供手段２２は、ＳＩＰでセッションを開始し、ＶｏＩＰ（Ｖｏｉｃｅ ｏｖｅｒ ＩＰ）サービスを提供している。

端末装置４は、例えば、ＳＩＰのプロトコルに対応する通信手段４０を含み（図４参照。）、ＶｏＩＰサービスを受けることが可能な携帯電話機である。端末装置４は、端末装置４の端末識別子として、ＩＰ Ａｄｄｒｅｓｓを管理可能な端末識別子管理手段４３を含む。

中継装置３は、ＨＴＴＰとＳＩＰの両方の通信を行うことが可能な通信手段３０と、ＨＴＴＰとＳＩＰとを変換するデータ変換手段３１とを備えている。

例えば、認証装置１を運営する通信事業者は、そのドメイン内において、中継装置３も有している。サービス提供装置２を用いてＶｏＩＰサービスを提供する事業者は、例えば、通信事業者と提携関係にあり、認証装置１で認証されれば、アクセス権限のある利用者に対してＶｏＩＰサービスを提供可能な仕組みとなっている。

利用者は、事前に認証装置１を運営する通信事業者に加入して、アカウントを保有している。また、利用者は、ＶｏＩＰサービス提供事業者にも加入して、やはり、アカウントを保有している。利用者の通信事業者とＶｏＩＰサービス提供事業者における両アカウントは、通信事業者とＶｏＩＰサービス提供事業者において関連付けられて管理されている。当初は、利用者は、認証装置１及びサービス提供装置２のどちらにも認証されておらず、両方の装置には、利用者に関するセッションは確立していない。

利用者は、サービス提供装置２のＶｏＩＰサービスに対して、サービスアクセスを試みる。すなわち、利用者の端末装置４は、中継装置３に対して、ＳＩＰを利用してサービスアクセス要求（サービス要求）を行う（ステップＳ５１０）。端末装置４は、サービスアクセス要求に、端末識別子として端末装置４のＩＰ Ａｄｄｒｅｓｓを格納して送付する。

図１７は、ステップＳ５１０において端末装置４が中継装置３に送信するサービス要求メッセージの一例を示す説明図である。図１７には、利用者Ａｌｉｃｅが他の利用者Ｂｏｂに対して端末装置４から電話をかけようとした際に、端末装置４が、Ｂｏｂに対するアクセスをＳＩＰのＩＮＶＩＴＥ要求として実装した場合のサービス要求メッセージを例示する。

図１８は、連携セッション情報格納部３５が記憶する連携セッション情報の一例を示す説明図である。図１８には、サービス要求を受信した際に連携セッション情報管理手段３４が抽出した連携セッション情報の例を示す。ステップＳ５１０の時点では、中継装置３は、利用者に関する有効な認証セッション情報を確立していない。そのため、連携セッション情報管理手段３４は、ＩＰ Ａｄｄｒｅｓｓに基づいて連携セッション情報格納部３５が記憶する連携セッション情報（図１８参照。）を抽出するものの、有効なセッション識別子を得られない。そこで、中継装置３は、受信したサービスアクセス要求を、ＳＩＰを利用してサービス提供装置２にそのまま転送する（ステップＳ５１１）。

図１９は、ステップＳ５１１において中継装置３がサービス提供装置２に送信するサービス要求メッセージの一例を示す説明図である。図１９に示すサービス要求メッセージは、図１７に示すサービス要求メッセージが中継装置３を経由して転送されたことを示すヘッダ情報を含む。

サービスアクセス要求を受信したサービス提供装置２は、サービスアクセス要求に有効なサービスセッション識別子が含まれないと判断すると、認証装置１に対して利用者の認証要求を行うメッセージを中継装置３に送付する（ステップＳ５１２）。

図２０は、ステップＳ５１２においてサービス提供装置２が中継装置３に送信する認証要求メッセージの一例を示す説明図である。図２０には、ＳＩＰのリダイレクトメッセージのＣｏｎｔａｃｔ情報に認証装置１を示す情報を格納させることにより、認証要求すべき認証装置を中継装置３に指示する場合を例示する。なお、認証要求すべき認証装置を示す情報を、Ｃｏｎｔａｃｔ情報に入れずに、中継装置３があらかじめ記憶しておいてもよい。

中継装置３は、受信したＳＩＰの認証要求をＨＴＴＰに変換する。さらに、端末識別子（端末装置４のＩＰ Ａｄｄｒｅｓｓ）に基づいて、認証装置１に対応する認証セッション識別子を検索し、存在しないことを確認する（ステップＳ５１３）。そして、中継装置３は、変換したＨＴＴＰによる認証要求メッセージを認証装置１に対して送信する（ステップＳ５１４）。

図２１は、ステップＳ５１４において中継装置３が認証装置１に送信する認証要求メッセージの一例を示す説明図である。図２１に例示する認証要求メッセージは、Ｌｉｂｅｒｔｙ Ａｌｌｉａｎｃｅ Ｐｒｏｊｅｃｔが規定するＩＤ−ＦＦ（Ｉｄｅｎｔｉｔｙ Ｆｅｄｅｒａｔｉｏｎ Ｆｒａｍｅｗｏｒｋ）の認証要求に従ったものになっている。中継装置３は、ステップＳ５１２におけるＳＩＰのリダイレクトメッセージのＣｏｎｔａｃｔ情報を宛先として、所定のメッセージを格納したＨＴＴＰの認証要求を構成している。

認証装置１は、受信したＨＴＴＰの認証要求を調べ、認証セッション識別子が含まれていないと判断すると、利用者のクレデンシャル情報を要求するメッセージを作成し、中継装置３に対して送信する（ステップＳ５１５）。

図２２は、ステップＳ５１５において認証装置１が中継装置３に送信するクレデンシャル要求メッセージの一例を示す説明図である。図２２には、利用者Ａｌｉｃｅに対してクレデンシャル情報を要求する場合の一例を示す。図２２に示すメッセージは、ＨＴＴＰのＤｉｇｅｓｔ認証方式に従い、ｎｏｎｃｅ情報を含むメッセージである。

中継装置３は、受信したクレデンシャル要求メッセージをＳＩＰに変換して（ステップＳ５１６）、端末装置４に送信する（ステップＳ５１７）。

図２３は、ステップＳ５１７において中継装置３が端末装置４に送信するクレデンシャル要求メッセージの一例を示す説明図である。図２３には、利用者Ａｌｉｃｅに対してクレデンシャル情報を要求する場合の一例を示す。図２３に示すメッセージは、ＳＩＰのＤｉｇｅｓｔ認証方式に従うメッセージである。中継装置３は、ステップＳ５１５において認証装置１から受信したＨＴＴＰのＤｉｇｅｓｔ認証のメッセージをＳＩＰに変換し、利用者に関する一連のメッセージを関連付けるメッセージの識別子であるＣａｌｌ−ＩＤを付与する。

端末装置４は、クレデンシャル要求メッセージを受信し、利用者のクレデンシャル情報を含むクレデンシャル応答メッセージをＳＩＰで中継装置３に送信する（ステップＳ５１８）。

図２４は、ステップＳ５１８において端末装置４が中継装置３に送信する応答メッセージの一例を示す説明図である。図２４には、応答メッセージが利用者Ａｌｉｃｅのクレデンシャル情報を含む場合の一例を示す。図２４に示すメッセージは、ステップＳ５１７で送信されたクレデンシャル要求メッセージに対する応答であり、Ｐｒｏｘｙ−Ａｕｔｈｏｒｉｚａｔｉｏｎのｒｅｓｐｏｎｓｅに、暗号化されたクレデンシャル情報を含む。

中継装置３は、端末装置４が送信したクレデンシャル情報を含む応答メッセージを、ＳＩＰからＨＴＴＰに変換し（ステップＳ５１９）、認証装置１に送信する（ステップＳ５２０）。

図２５は、ステップＳ５２０において中継装置３が認証装置１に送信する応答メッセージの一例を示す説明図である。図２５には、応答メッセージが利用者Ａｌｉｃｅのクレデンシャル情報を含む場合の一例を示す。図２５に示すメッセージは、中継装置３が、ステップＳ５１８で受信したＳＩＰのＩＮＶＩＴＥメッセージをＨＴＴＰのＧＥＴに変換したメッセージである。

認証装置１は、クレデンシャル情報を確認し、利用者の認証を行う。認証が完了すると、認証装置１は、認証結果を基に認証証明書を作成し、さらに、利用者に対応させて新たな認証セッションを発行する（ステップＳ５２１）。

認証装置１は、認証証明書と、認証セッションに相当する認証セッション識別子とを含む認証応答メッセージを作成し、ＨＴＴＰで中継装置３に送信する（ステップＳ５２２）。

図２６は、ステップＳ５２２において認証装置１が中継装置３に送信する認証応答メッセージの一例を示す説明図である。図２６には、認証応答メッセージが利用者Ａｌｉｃｅの認証証明書を含む場合の例を示す。図２６に示すメッセージは、ｆｏｒｍのｉｎｐｕｔのｖａｌｕｅに、エンコードされたＡｌｉｃｅの認証証明書を含み、Ｓｅｔ−Ｃｏｏｋｉｅに、認証セッション識別子を含む。

中継装置３は、受信した認証応答メッセージに含まれる認証セッション識別子を抽出し、利用者の連携セッション情報として、新たに登録する（ステップＳ５２３）。図２７は、連携セッション情報格納部３５が記憶する連携セッション情報の一例を示す説明図である。図２７には、認証応答メッセージを受信した際に連携セッション情報管理手段３４が登録した連携セッション情報の例を示す。図２７に示す例では、認証装置１から送信された認証セッション識別子（１２３４ａｂｃｄ）が、端末装置４のＩＰ Ａｄｄｒｅｓｓと関連付けて登録されている。さらに、中継装置３は、受信したＨＴＴＰの認証応答メッセージをＳＩＰに変換して、サービス提供装置２に対して転送する（ステップＳ５２４）。

図２８は、ステップＳ５２４において中継装置３がサービス提供装置２に送信する認証応答メッセージの一例を示す説明図である。図２８には、認証応答メッセージが利用者Ａｌｉｃｅの認証証明書を含む場合の例を示す。図２８には、ＳＩＰのメッセージが、ステップＳ５２２で送信された認証証明書（Ａｓｓｅｒｔｉｏｎ）を、ＭＩＭＥの形式で含む場合を例示する。

サービス提供装置２は、受信した認証応答メッセージに含まれる認証証明書情報を抽出し、抽出した認証証明書に記載されている利用者を特定する。そして、特定した利用者に、サービスへのアクセス権限があるか否かを調べる。権限があれば、新たにサービス提供のためのサービスセッションを作成し、対応するサービスセッション識別子を含むサービス応答メッセージを作成して、中継装置３に送信する（ステップＳ５２５）。

中継装置３は、サービス要求に対するサービス応答メッセージに含まれるサービスセッション識別子情報を取得し、利用者に関する連携セッション情報として、新たに登録する（ステップＳ５２６）。図２９は、連携セッション情報格納部３５が記憶する連携セッション情報の一例を示す説明図である。図２９には、ステップＳ５２６の時点で、連携セッション情報管理手段３４が登録した連携セッション情報の例を示す。図２９に示す例では、サービス提供装置２から送信されたサービスセッション識別子（ａａａｂｂｂ）が、端末装置４のＩＰ Ａｄｄｒｅｓｓと関連付けて登録されている。さらに、中継装置３は、受信したサービス応答メッセージを、端末装置４に対して転送する（ステップＳ５２７）。

次に、その後、同じ利用者が、端末装置４を用いて、上記のＶｏＩＰサービス提供事業者が公開するＶｏＩＰサービスとは異なるが、同一のサービス提供装置２によって提供されるコンテンツサービスにアクセスする場合を、図３０を参照して説明する。

図３０は、本発明による認証システムの実施例を説明するための説明図である。図３０に示す認証システムは、認証装置１と、サービス提供装置２と、中継装置３と、端末装置４とを備える。認証装置１、サービス提供装置２、中継装置３および端末装置４は、それぞれ第１の実施の形態における機能を含む。以下、利用者と各装置の設定は、上記の設定（図１６参照。）と全く同じであるとする。図３０に示す認証システムの状態は、図１６に示す認証システムの状態を受け継いでいる。中継装置３は、図２９に例示する連携セッション情報を保有している。

この状態から、利用者は、端末装置４から、コンテンツサービスへのアクセス要求（サービス要求）を行う（ステップＳ５３０）。

中継装置３は、アクセス要求を受信し、端末装置４の端末識別子を抽出し、端末識別子に対応する連携セッション情報を抽出する（ステップＳ５３１）。図２９に示すように、連携セッション情報には、サービス提供装置２に対応するサービスセッション識別子が格納されている。中継装置３は、受信したサービス要求メッセージをプロトコル変換し、新規メッセージを作成し、サービスセッション識別子を付与した後、サービス提供装置２へ送信する（ステップＳ５３２）。

サービス提供装置２は、受信したサービス要求メッセージに含まれるサービスセッション識別子を参照し、利用者のセッションが有効に確立していることを確認する（ステップＳ５３３）。

さらに、サービス提供装置２は、利用者のコンテンツサービスへのアクセス権限を確認したうえで、サービスを提供する応答（サービス応答メッセージ）を、中継装置３に対して送信する（ステップＳ５３４）。

中継装置３は、受信したサービス応答メッセージに含まれるサービスセッション識別子が更新されていれば再度登録し（ステップＳ５３５）、端末装置４に転送する（ステップＳ５３６）。

以上に説明したように、ステップＳ５３０からステップＳ５３６の処理においては、利用者の追加的な認証手続きは発生しない。

次に、その後に利用者が、端末装置４を用いて、上記のＶｏＩＰサービス提供事業者とは異なるコンテンツ事業者がＳＩＰで提供するコンテンツサービスに対してアクセスする場合を、図３１を参照して説明する。

図３１は、本発明による認証システムの実施例を説明するための説明図である。図３１に示す認証システムは、認証装置１と、サービス提供装置３０２と、中継装置３と、端末装置４とを備える。認証装置１、サービス提供装置３０２、中継装置３および端末装置４は、それぞれ第１の実施の形態における機能を含む。

サービス提供装置３０２は、図１６および図３０に示すサービス提供装置２とは異なるサービス提供装置である。例えば、サービス提供装置２とサービス提供装置３０２とは、それぞれ、異なる事業者によって管理される。図３１に示す認証システムにおいて、利用者、端末装置４、中継装置３および認証装置１は、図３０に例示するものと同一であり、図３０の状態を受け継いでいる。中継装置３は、図２９に示す連携セッション情報を保有している。

利用者は、端末装置４を用いて、中継装置３に対してサービスアクセス要求を行う（ステップＳ５４０）。

中継装置３は、サービスアクセス要求を受信し、端末装置４に対応する連携セッション情報を抽出し、サービス提供装置３０２に対応するサービスセッション識別子がないと判断すると（ステップＳ５４１）、サービス提供装置３０２に対してサービスアクセス要求を転送する（ステップＳ５４２）。

サービス提供装置３０２は、受信メッセージにサービスセッション識別子が含まれないと判断すると、中継装置３に対して、認証装置１向けの認証要求メッセージを送信する（ステップＳ５４３）。

中継装置３は、端末装置４の端末識別子に基づいて、連携セッション情報を抽出し、利用者に関する認証セッションが確立していると判断すると、ＳＩＰからＨＴＴＰにデータ変換し、認証セッション識別子を格納した認証要求メッセージを作成して（ステップＳ５４４）、認証装置１に送信する（ステップＳ５４５）。

認証装置１は、認証要求メッセージに含まれる認証セッション識別子を抽出して有効なセッションであることを確認し（ステップＳ５４６）、認証証明書を作成して、中継装置３向けに認証要求に対する応答メッセージを送信する（ステップＳ５４７）。

中継装置３は、受信した認証応答メッセージに含まれる認証セッション識別子が更新されていないことを確認し（ステップＳ５４８）、ＨＴＴＰからＳＩＰへプロトコル変換した後、サービス提供装置３０２に対して、認証応答メッセージを送信する（ステップＳ５４９）。

サービス提供装置３０２は、利用者のアクセスに対する認可を行った後、新規にサービスセッションを作成して、サービスセッション識別子を発行し、サービス応答メッセージを中継装置３に対して送信する（ステップＳ５５０）。

中継装置３は、サービス応答メッセージを受信し、サービス提供装置３０２からのサービスセッション識別子を連携セッション情報に新規登録し（ステップＳ５５１）、サービス応答メッセージを端末装置４に転送する（ステップＳ５５２）。

以上、ステップＳ５４０からステップＳ５５２において、利用者がアクセスするサービス提供装置３０２が図１６に示すサービス提供装置２と異なるものの、利用者は、既に認証装置１で認証を受け、認証セッションを確立している。そのため、認証装置１から利用者に対するクレデンシャル要求は発生せず、利用者にとっては、認証手続きなしで、サービス提供装置３０２にアクセスすることができる。

なお、本実施例では、認証装置がＨＴＴＰに対応し、サービス提供装置がＳＩＰに対応する場合を例として設定したが、この組み合わせや、別のプロトコルであっても処理の流れは同様である。

本発明によれば、インターネット、携帯電話網、固定電話網、無線ＬＡＮ、ＷＡＮなどのネットワーク上で構築される分散システムにおける認証システムや、認証システムをコンピュータに実現するためのプログラムといった用途に適用できる。

本発明による認証連携システムの構成例を示すブロック図である。 認証装置の構成の一例を示すブロック図である。 サービス提供装置の構成の一例を示すブロック図である。 中継装置の構成の一例を示すブロック図である。 端末装置の構成の一例を示すブロック図である。 認証装置が実行する処理の一例を示す流れ図である。 サービス提供装置が実行する処理の一例を示す流れ図である。 中継装置が実行する処理の一例を示す流れ図である。 サービス要求・その他受信時処理の例を示す流れ図である。 認証要求受信時処理の例を示す流れ図である。 クレデンシャル要求受信時処理の例を示す流れ図である。 認証要求への応答受信時処理の例を示す流れ図である。 サービス応答受信時処理の例を示す流れ図である。 端末装置が実行する処理の一例を示す流れ図である。 本発明による認証連携システムの第２の実施の形態を示すブロック図である。 本発明による認証システムの実施例を説明するための説明図である。 端末装置が中継装置に送信するサービス要求メッセージの一例を示す説明図である。 連携セッション情報の一例を示す説明図である。 中継装置がサービス提供装置に送信するサービス要求メッセージの一例を示す説明図である。 サービス提供装置が中継装置に送信する認証要求メッセージの一例を示す説明図である。 中継装置が認証装置に送信する認証要求メッセージの一例を示す説明図である。 認証装置が中継装置に送信するクレデンシャル要求メッセージの一例を示す説明図である。 中継装置が端末装置に送信するクレデンシャル要求メッセージの一例を示す説明図である。 端末装置が中継装置に送信する応答メッセージの一例を示す説明図である。 中継装置が認証装置に送信する応答メッセージの一例を示す説明図である。 認証装置が中継装置に送信する認証応答メッセージの一例を示す説明図である。 連携セッション情報の一例を示す説明図である。 中継装置がサービス提供装置に送信する認証応答メッセージの一例を示す説明図である。 連携セッション情報の一例を示す説明図である。 本発明による認証システムの実施例を説明するための説明図である。 本発明による認証システムの実施例を説明するための説明図である。 非特許文献１に記載されている従来の認証システムの例を示す説明図である。 シングルサインオン環境を実現する従来のコンピュータシステムの例を示す説明図である。

符号の説明

１ 認証装置
２ サービス提供装置
３ 中継装置
４ 端末装置
５００ ネットワーク

Claims (10)

1. 利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継する中継装置を備えた認証連携システムであって、
   前記中継装置は、
   前記認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて記憶する連携情報記憶手段と、
   サービスを要求した利用者についての認証要求を前記サービス提供装置が前記認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を前記認証装置の通信プロトコルに応じた認証要求に変換する変換手段と、
   当該利用者を示す情報に対応する認証セッション識別子を前記連携情報記憶手段から抽出し、抽出した認証セッション識別子を前記変換手段が変換した認証要求に含めて、当該認証要求を前記認証装置に送信する認証要求中継手段とを含み、
   前記認証装置は、
   受信した認証要求が認証セッション識別子を含むか否かを判断し、認証セッション識別子を含むと判断した場合に、前記利用者を認証したことを示す認証応答を前記サービス提供装置に送信し、含まないと判断した場合に、前記利用者の認証処理を行う認証判断手段を含む
   ことを特徴とする認証連携システム。
2. 連携情報記憶手段は、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて記憶し、
   変換手段は、前記端末装置が前記サービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換し、
   中継装置は、
   サービスを要求した利用者を示す情報に対応するサービスセッション識別子を前記連携情報記憶手段から抽出し、抽出したサービスセッション識別子を前記変換手段が変換したサービス要求に含めて、当該サービス要求を前記サービス提供装置に送信するサービス要求中継手段を含み、
   前記サービス提供装置は、
   受信したサービス要求がサービスセッション識別子を含むか否かを判断し、サービスセッション識別子を含むと判断した場合に、前記利用者にサービスを提供するサービス応答を前記端末装置に送信し、含まないと判断した場合に、前記利用者についての認証要求を認証装置に送信するサービス判断手段を含む
   請求項１記載の認証連携システム。
3. 認証判断手段は、認証セッション識別子が所定の条件を満たす場合に認証応答を送信する
   請求項１または請求項２記載の認証連携システム。
4. サービス判断手段は、サービスセッション識別子が所定の条件を満たす場合にサービス応答を送信する
   請求項２記載の認証連携システム。
5. 利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継する中継装置であって、
   前記認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて記憶する連携情報記憶手段と、
   サービスを要求した利用者についての認証要求を前記サービス提供装置が前記認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を前記認証装置の通信プロトコルに応じた認証要求に変換する変換手段と、
   当該利用者を示す情報に対応する認証セッション識別子を前記連携情報記憶手段から抽出し、抽出した認証セッション識別子を前記変換手段が変換した認証要求に含めて、当該認証要求を前記認証装置に送信する認証要求中継手段とを備えた
   ことを特徴とする中継装置。
6. 連携情報記憶手段は、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて記憶し、
   変換手段は、前記端末装置が前記サービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換し、
   サービスを要求した利用者を示す情報に対応するサービスセッション識別子を前記連携情報記憶手段から抽出し、抽出したサービスセッション識別子を前記変換手段が変換したサービス要求に含めて、当該サービス要求を前記サービス提供装置に送信するサービス要求中継手段を備えた
   請求項５記載の中継装置。
7. 利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継装置が中継する認証連携方法であって、
   前記中継装置が、前記認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させ、
   前記中継装置が、サービスを要求した利用者についての認証要求を前記サービス提供装置が前記認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を前記認証装置の通信プロトコルに応じた認証要求に変換し、
   前記中継装置が、当該利用者を示す情報に対応する認証セッション識別子を前記連携情報記憶手段から抽出し、抽出した認証セッション識別子を変換した認証要求に含めて、当該認証要求を前記認証装置に送信し、
   前記認証装置が、受信した認証要求が認証セッション識別子を含むか否かを判断し、認証セッション識別子を含むと判断した場合に、前記利用者を認証したことを示す認証応答を前記サービス提供装置に送信し、含まないと判断した場合に、前記利用者の認証処理を行う
   ことを特徴とする認証連携方法。
8. 中継装置が、サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させ、
   前記中継装置が、前記端末装置が前記サービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換し、
   前記中継装置が、サービスを要求した利用者を示す情報に対応するサービスセッション識別子を前記連携情報記憶手段から抽出し、抽出したサービスセッション識別子を変換したサービス要求に含めて、当該サービス要求を前記サービス提供装置に送信し、
   前記サービス提供装置が、受信したサービス要求がサービスセッション識別子を含むか否かを判断し、サービスセッション識別子を含むと判断した場合に、前記利用者にサービスを提供するサービス応答を前記端末装置に送信し、含まないと判断した場合に、前記利用者についての認証要求を認証装置に送信する
   請求項７記載の認証連携方法。
9. 利用者が使用する端末装置と利用者を認証する認証装置と利用者にサービスを提供するサービス提供装置との通信を中継するための認証連携プログラムであって、
   コンピュータに、
   前記認証装置が認証した利用者毎に生成した認証セッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させる処理と、
   サービスを要求した利用者についての認証要求を前記サービス提供装置が前記認証装置に送信したときに、当該認証要求を受信し、あらかじめ記憶する変換規則に基づいて、当該認証要求を前記認証装置の通信プロトコルに応じた認証要求に変換する処理と、
   当該利用者を示す情報に対応する認証セッション識別子を前記連携情報記憶手段から抽出し、抽出した認証セッション識別子を変換した認証要求に含めて、当該認証要求を前記認証装置に送信する処理と
   を実行させるための認証連携プログラム。
10. コンピュータに、
    サービス提供装置が端末装置へのサービス提供毎に生成したサービスセッション識別子を、利用者を示す情報に対応付けて連携情報記憶手段に記憶させる処理と、
    前記端末装置が前記サービス提供装置に送信するサービス要求を受信し、あらかじめ記憶する変換規則に基づいて、受信したサービス要求を変換する処理と、
    サービスを要求した利用者を示す情報に対応するサービスセッション識別子を前記連携情報記憶手段から抽出し、抽出したサービスセッション識別子を変換したサービス要求に含めて、当該サービス要求を前記サービス提供装置に送信する処理と
    を実行させるための請求項９記載の認証連携プログラム。

Images