JP5392366B2 - 権限認証装置、権限認証システム、及び権限認証プログラム - Google Patents

Description

本発明は、権限認証装置、権限認証システム、及び権限認証プログラムに関する。

一般に、外部サーバ等に登録されているユーザに対して、プリンタやファックス等の情報処理装置（デバイス）の機能を使用する権限を予め設定し、ユーザが当該デバイスを使用する場合に、認証装置が設定された権限に基づいて情報処理装置を使用するユーザ権限を認証する認証システムがある。

このような認証システムにおいて、外部サーバ等に登録されていない一時ユーザに対しても情報処理装置を使用する権限を設定し、設定された権限に基づいて情報処理装置の使用を可能にするものがある。

例えば、一時ユーザに対する権限を任意に設定し、外部サーバで管理しているユーザの情報を一括して取り込んで保持する場合は、一時ユーザ及び外部サーバで管理しているユーザに対して同様に権限を認証し、ユーザの情報を保持しない場合は、一時ユーザに対しては設定されている権限を認証し、外部サーバで管理しているユーザに対しては管理先の外部サーバで認証された場合に設定されている一律の権限を認証する認証サービスが知られている。

また、情報処理装置において、登録されていないユーザに対して、外部の認証機器で認証に成功した場合に、設定されている一律の権限について利用を認めることができる技術が開示されている（例えば、特許文献１参照）。

特開２００５−２１６２６０号公報

本発明は、外部サーバで管理されているユーザ情報を一括して取り込まなくとも、一時ユーザ及び外部サーバで管理されているユーザに対して同様に権限の認証を行うことができる権限認証装置、権限認証システム、及び権限認証プログラムを提供することを目的とする。

上記目的を達成するために、請求項１に記載の権限認証装置は、外部サーバで管理されているユーザ及び一時ユーザが属するグループのグループ属性情報を記憶するグループ属性情報記憶手段と、前記グループ毎に設定された情報処理装置の利用権限に関するグループ利用権限情報を記憶するグループ利用権限情報記憶手段と、一時ユーザに関する一時ユーザ情報を記憶する一時ユーザ情報記憶手段と、利用要求されたユーザに関するユーザ情報を前記情報処理装置から受信した場合に、前記一時ユーザ情報に基づいて、前記利用要求されたユーザが前記一時ユーザであるか否かを照合する一時ユーザ照合手段と、前記利用要求されたユーザが前記一時ユーザである場合、前記ユーザ情報と前記一時ユーザ情報とに基づいて前記一時ユーザの属するグループを特定する一時ユーザ所属グループ特定手段と、前記利用要求されたユーザが前記一時ユーザでない場合、外部サーバから前記利用要求されたユーザのユーザ属性情報を取得する取得手段と、前記取得手段により取得したユーザ属性情報と前記グループ属性情報とに基づいて前記利用要求されたユーザが属するグループを特定するユーザ所属グループ特定手段と、前記一時ユーザ所属グループ特定手段または前記ユーザ所属グループ特定手段により特定したグループに対して設定されたグループ利用権限情報を前記グループ利用権限情報記憶手段から取得して前記情報処理装置に送信する送信手段と、を備えたことを特徴とする。

請求項２に記載の権限認証装置は、請求項１に記載の権限認証装置において、前記利用要求されたユーザが前記一時ユーザでなく、かつ、当該利用要求されたユーザのユーザ属性情報を外部サーバから取得できない場合は、前記送信手段は、前記情報処理装置の利用権限がないことを示す情報を前記情報処理装置に送信することを特徴とする。

請求項３に記載の権限認証装置は、請求項１または請求項２に記載の権限認証装置において、外部サーバに関する情報を記憶する外部サーバ情報記憶手段を備え、前記取得手段は、ユーザの属性情報を前記外部サーバ情報記憶手段に記憶されている外部サーバから取得することを特徴とする。

請求項４に記載の権限認証システムは、前記利用要求されたユーザに関するユーザ情報を送信する情報処理装置と、前記情報処理装置から送信されたユーザ情報に基づいて前記情報処理装置の利用権限について認証する前記請求項１から請求項３の何れか１項に記載の権限認証装置と、前記権限認証装置から要求された場合に、前記利用要求されたユーザに関するユーザ属性情報を送信する外部サーバと、を備えたことを特徴とする。

請求項５に記載の権限認証プログラムは、グループ属性情報記憶手段に外部サーバで管理されているユーザ及び一時ユーザが属するグループのグループ属性情報を記憶するステップと、グループ利用権限情報記憶手段に前記グループ毎に設定された情報処理装置の利用権限に関するグループ利用権限情報を記憶するステップと、一時ユーザ情報記憶手段に一時ユーザに関する一時ユーザ情報を記憶するステップと、利用要求されたユーザに関するユーザ情報を前記情報処理装置から受信した場合に、前記一時ユーザ情報に基づいて、前記利用要求されたユーザが前記一時ユーザであるか否かを照合する一時ユーザ照合ステップと、前記利用要求されたユーザが前記一時ユーザである場合、前記ユーザ情報と前記一時ユーザ情報とに基づいて前記一時ユーザの属するグループを特定する一時ユーザ所属グループ特定ステップと、前記利用要求されたユーザが前記一時ユーザでない場合、外部サーバから前記利用要求されたユーザのユーザ属性情報を取得する取得ステップと、前記取得手段により取得したユーザ属性情報と前記グループ属性情報とに基づいて前記利用要求されたユーザが属するグループを特定するユーザ所属グループ特定ステップと、前記一時ユーザ所属グループ特定ステップまたは前記ユーザ所属グループ特定ステップにより特定したグループに対して設定されたグループ利用権限情報を前記グループ利用権限情報記憶手段から取得して前記情報処理装置に送信する送信ステップと、を有する処理をコンピュータに実行させることを特徴とする。

請求項１に記載の権限認証装置によれば、外部サーバで管理されているユーザ情報を一括して取り込まなくとも、一時ユーザ及び外部サーバで管理されているユーザに対して同様に権限の認証を行うことができる、という効果を有する。

請求項２に記載の権限認証装置によれば、前記情報処理装置の利用権限がないことを示す情報を前記情報処理装置に送信しない場合に比べて、認証結果をユーザが容易に知ることができる、という効果を有する。

請求項３に記載の権限認証装置によれば、外部サーバを管理しない場合に比べて、問い合わせ先の外部サーバが絞り込める、という効果を有する。

請求項４に記載の認証システムによれば、外部サーバで管理されているユーザ情報を一括して取り込まなくとも、一時ユーザ及び外部サーバで管理されているユーザに対して同様に権限の認証を行うことができる、という効果を有する。

請求項５に記載の権限認証プログラムによれば、外部サーバで管理されているユーザ情報を一括して取り込まなくとも、一時ユーザ及び外部サーバで管理されているユーザに対して同様に権限の認証を行うことができる処理をコンピュータに実行させることができる、という効果を有する。

本発明の実施の形態に係る権限認証システムの概略構成の一例を示す概略図である。 本発明の実施の形態に係る権限認証サーバの一例の概略構成を示す機能ブロック図である。 本発明の実施の形態に係る外部サーバの一例の概略構成を示す機能ブロック図である。 本発明の実施の形態に係るＤｏｍａｉｎ Ａの具体的な一例を説明するための説明図である。 本発明の実施の形態に係るデバイスの一例の概略構成を示す機能ブロック図である。 本発明の実施の形態に係る権限認証サーバで実行される権限認証処理におけるメイン処理の一例を示すフローチャートである。 本発明の実施の形態に係る権限認証サーバで実行される設定処理の一例を示すフローチャートである。 本発明の実施の形態に係る設定選択画面の具体的な一例を説明するための説明図である。 本発明の実施の形態に係る外部サーバ管理設定入力画面の具体的な一例を説明するための説明図である。 本発明の実施の形態に係るデバイス管理設定入力画面の具体的な一例を説明するための説明図である。 本発明の実施の形態に係るグループ管理設定入力画面でＧｒｏｕｐ Ａの設定を入力する具体的な一例を説明するための説明図である。 本発明の実施の形態に係るグループ管理設定入力画面でＧｒｏｕｐ Ｂの設定を入力する具体的な一例を説明するための説明図である。 本発明の実施の形態に係るＧｒｏｕｐ Ａ及びＧｒｏｕｐ Ｂの設定を説明するための説明図である。 本発明の実施の形態に係る一時ユーザ登録設定入力画面の具体的な一例を説明するための説明図である。 本発明の実施の形態に係る権限設定入力画面でＧｒｏｕｐ Ａの設定を入力する具体的な一例を説明するための説明図である。 本発明の実施の形態に係る権限設定入力画面でＧｒｏｕｐ Ｂの設定を入力する具体的な一例を説明するための説明図である。 本発明の実施の形態に係る権限認証サーバで実行される権限認証処理の一例を示すフローチャートである。 本発明の実施の形態に係る外部サーバで実行される権限認証処理の一例を示すフローチャートである。

以下、図１〜図１８を参照して、本発明の実施の形態を詳細に説明する。

図１は、本実施の形態の権限認証システム１０の概略構成の一例を示す概略図である。図１に示すように、本実施の形態の権限認証システム１０は、権限認証サーバ１２、外部サーバ１４、デバイス１６、及びＬＡＮ（ローカルエリアネットワーク）等のネットワーク１８で構成されており、権限認証サーバ１２、外部サーバ１４、及びデバイス１６は、ネットワーク１８を介して相互に接続されている。

なお、本実施の形態の権限認証システム１０は、具体的一例として、デバイス１６の利用権限を外部サーバ１４で管理（記憶）されているユーザ（社員）及び一時ユーザ（派遣社員やアルバイト等）に対して認証する権限認証システムの場合について詳細に説明している。

権限認証サーバ１２は、ユーザに対してデバイス１６を利用する権限を認証するためのサーバである。図２に権限認証サーバ１２の一例の概略構成の機能ブロック図を示す。

本実施の形態の権限認証サーバ１２は、ＣＰＵ２０、ＲＯＭ２２、ＲＡＭ２４、ＨＤＤ２６、ユーザＩ／Ｆ（インターフェイス）２８、ネットワークＩ／Ｆ（インターフェイス）３０、外部サーバ管理部３２、グループ管理部３４、サービス管理部３６、一時ユーザ管理部３８、グループ・一時ユーザ関連管理部４０、権限管理部４２、認証部４４、及び属性取得部４６を備えて構成されている。

ＣＰＵ２０は、権限認証サーバ１２の全体を制御するものであり、権限認証プログラム（詳細後述）等が実行される。ＲＯＭ２２は、制御プログラムやパラメータ等が記憶されており、ＲＡＭ２４は、ＣＰＵ２０による各種プログラムの実行時におけるワークエリア等として用いられる。

なお、権限認証プログラム等の各種プログラムは、ＤＶＤ−ＲＯＭやＣＤ−ＲＯＭ等の記録媒体（図示省略）やリムーバブルディスク（図示省略）等に記録しておき、ＨＤＤ２６等にインストールし、ＣＰＵ２０により当該プログラムが読込まれて実行されるようにしてもよい。

ユーザＩ／Ｆ２８は、ユーザと権限認証に関する情報等の授受を行うためのものである。具体的な一例として、ディスプレイ、マウス、及びキーボード等が含まれるが、これに限らない。

ネットワークＩ／Ｆ３０は、ネットワーク１８と接続するためのネットワークインターフェイスである。

外部サーバ管理部３２は、メモリ等の外部サーバ情報記憶部３３を含んでおり、ユーザの属性情報が格納されている外部サーバに関する情報を管理するものである。本実施の形態では、具体的一例として、ネットワーク２０に接続されている外部サーバ１４に関する情報（詳細後述）を管理するものであり、外部サーバ情報記憶部３３に外部サーバ１４を表す情報（本実施の形態では、Ｄｏｍａｉｎ Ａを表す情報）が記憶されている。

グループ管理部３４は、メモリ等のグループ属性情報記憶部３５を含んでおり、利用権限を設定するグループ及び各グループに対応する属性情報（詳細後述）の管理を行うものである。本実施の形態では、具体的一例として、Ｇｒｏｕｐ Ａ及びＧｒｏｕｐ Ｂに対して権限が設定されているため、Ｇｒｏｕｐ Ａの属性情報、及びＧｒｏｕｐ Ｂの属性情報がグループ属性情報記憶部３５に記憶されている。

サービス管理部３６は、メモリ等のデバイス情報記憶部３７を含んでおり、利用権限を認証する対象となるデバイス１６の管理を行うものである。本実施の形態では、具体的一例として、Ｄｅｖｉｃｅ Ｚの情報（シリアルナンバー等）がデバイス情報記憶部３７に記憶されている。

一時ユーザ管理部３８は、メモリ等の一時ユーザ記憶部３９を含んでおり、一時ユーザの情報を管理するものである。なお、一時ユーザとは、外部サーバ１４で管理（記憶）されていないユーザのことであり、本実施の形態では、具体的一例として、派遣社員（派遣Ｄ）の情報が一時ユーザ記憶部３９に記憶されている。

グループ・一時ユーザ関連管理部４０は、メモリ等の一時ユーザ所属グループ記憶部４１を含んでおり、一時ユーザ管理部３８で管理されている一時ユーザの所属するグループを管理するものである。本実施の形態では、具体的一例として、派遣Ｄがグループ（Ｇｒｏｕｐ Ａ）に属する情報が一時ユーザ所属グループ記憶部４１に記憶されている。

権限管理部４２は、メモリ等のグループ利用権限情報記憶部４３を含んでおり、グループ管理部３４で管理されているグループ毎にサービス管理部３６で管理されているデバイス１６の利用権限を管理するものである。本実施の形態では、具体的一例として、Ｄｅｖｉｃｅ Ｚに対するＧｒｏｕｐ Ａの利用権限及びＧｒｏｕｐ Ｂの利用権限がグループ利用権限情報記憶部４３に記憶されている。

認証部４４は、一時ユーザ管理部３８で管理されている一時ユーザの利用権限の認証を行うものであり、外部サーバ１４で管理されているユーザに対しては、外部サーバ１４にユーザの認証を依頼し、認証結果に基づいて利用権限の認証を行うものである。

属性取得部４６は、認証部４４が外部サーバ１４から認証成功の結果を受信した場合に、外部サーバ１４からユーザの属性情報を取得するものである。

なお、本実施の形態では、外部サーバ管理部３２、グループ管理部３４、サービス管理部３６、一時ユーザ管理部３８、グループ・一時ユーザ管理部４０、及び権限管理部４２の各々に記憶部３３、３５，３７、３９、４１、４３を備えるようにしているがこれに限らず、例えば、ＨＤＤ２６に一括して情報を記憶させ、これを読取るようにしてもよい。

ＣＰＵ２０、ＲＯＭ２２、ＲＡＭ２４、ＨＤＤ２６、ユーザＩ／Ｆ（インターフェイス）２８、ネットワークＩ／Ｆ（インターフェイス）３０、外部サーバ管理部３２、グループ管理部３４、サービス管理部３６、一時ユーザ管理部３８、グループ・一時ユーザ関連管理部４０、権限管理部４２、認証部４４、及び属性取得部４６は、コントロールバスやデータバス等のバス４８を介して、互いに情報等の授受が可能に接続されている。

外部サーバ１４は、例えばＬＤＡＰサーバなどであり、ユーザ（社員）の属性情報を管理するサーバである。図３に外部サーバ１４の一例の概略構成の機能ブロック図を示す。

本実施の形態の外部サーバ１４は、ＣＰＵ５０、ＲＯＭ５２、ＲＡＭ５４、ＨＤＤ５６、ユーザＩ／Ｆ（インターフェイス）５８、ネットワークＩ／Ｆ（インターフェイス）６０、属性情報管理部６２、及び属性情報送信部６１を備えて構成されている。

ＣＰＵ５０は、外部サーバ１４の全体を制御するものであり、権限認証プログラム（詳細後述）等が実行される。ＲＯＭ５２は、制御プログラムやパラメータ等が記憶されており、ＲＡＭ２４は、ＣＰＵ５０による各種プログラムの実行時におけるワークエリア等として用いられる。

なお、権限認証プログラム等の各種プログラムは、ＤＶＤ−ＲＯＭやＣＤ−ＲＯＭ等の記録媒体（図示省略）やリムーバブルディスク（図示省略）等に記録しておき、ＨＤＤ５６等にインストールし、ＣＰＵ５０により当該プログラムが読込まれて実行されるようにしてもよい。

ユーザＩ／Ｆ５８は、ユーザと権限認証に関する情報等の授受を行うためのものである。具体的な一例として、ディスプレイ、マウス、キーボード等が含まれるが、これに限らない。

ネットワークＩ／Ｆ６０は、ネットワーク１８と接続するためのネットワークインターフェイスである。

属性情報管理部６１は、ユーザ（社員）の属性情報を管理するものである。属性情報とは、ユーザの属するグループを識別するために、グループ毎に設定されているものである。

本実施の形態では、具体的な一例として、Ｄｏｍａｉｎ Ａに社員Ａ、社員Ｂ、及び社員Ｃの各々の属性情報がメモリ等のユーザ属性情報記憶部６３に記憶されている。ユーザ属性情報記憶部６３に記憶されているＤｏｍａｉｎ Ａのより具体的な一例を図４に挙げる。図４に示した一例では、社員Ａの属性情報は、属性名「ＤＮ」の属性値が「ＯＵ＝４Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」、属性名「関連タスク」の属性値が「タスクＸ」である。また、社員Ｂの属性情報は、属性名「ＤＮ」の属性値が「ＯＵ＝４Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」、属性名「関連タスク」の属性値が「タスクＹ」であり、社員Ｃの属性情報は、属性名「ＤＮ」の属性値が「ＯＵ＝５Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」、属性名「関連タスク」の属性値が「タスクＸ」である。

属性情報送信部６２は、権限認証サーバ１２から認証の依頼を受けたユーザ（社員）の属性情報を属性情報管理部６１から取得して権限認証サーバ１２に送信する。なお、本実施の形態では、認証の依頼を受けたユーザ（社員）が属性情報管理部６１で管理されていない場合は認証失敗の結果を権限認証サーバ１２に送信する。

ＣＰＵ５０、ＲＯＭ５２、ＲＡＭ５４、ＨＤＤ５６、ユーザＩ／Ｆ（インターフェイス）５８、ネットワークＩ／Ｆ（インターフェイス）６０、属性情報管理部６２、及び属性情報送信部６１は、コントロールバスやデータバス等のバス４８を介して、互いに情報等の授受が可能に接続されている。

デバイス１６（Ｄｅｖｉｃｅ Ｚ）は、情報処理装置であり、具体的一例としては、プリンタやコピー、ファックス、スキャナ、それらの複合機等が挙げられるがこれに限らない。本実施の形態では、デバイス１６を複合機とし、プリンタ機能及びコピー機能についての利用権限を認証する場合について詳細に説明している。

図５に、デバイス１６の一例の概略構成を示す機能ブロック図を示す。

本実施の形態のＤｅｖｉｃｅ Ｚは、ＣＰＵ７０、ＲＯＭ７２、ＲＡＭ７４、ＨＤＤ７６、ユーザＩ／Ｆ（インターフェイス）７８、ネットワークＩ／Ｆ（インターフェイス）８０、及び機能部８２を備えて構成されている。

ＣＰＵ７０は、Ｄｅｖｉｃｅ Ｚの全体を制御するものであり、権限認証プログラム等が実行される。ＲＯＭ７２は、制御プログラムやパラメータ等が記憶されており、ＲＡＭ７４は、ＣＰＵ７０による各種プログラムの実行時におけるワークエリア等として用いられる。

ユーザＩ／Ｆ７８は、ユーザと権限認証や情報処理等に関する情報等の授受を行うためのものであり、具体的な一例である、ディスプレイ、マウス、キーボード等が含まれるが、これに限らない。

ネットワークＩ／Ｆ８０は、ネットワーク１８と接続するためのネットワークインターフェイスである。

機能部８２は、情報処理を行うための機能に関するものであり、本実施の形態では、例えば、プリントやコピー等の画像形成を行うためのものであり、ユーザからの指示に基づいて画像形成を行う。

ＣＰＵ７０、ＲＯＭ７２、ＲＡＭ７４、ＨＤＤ７６、ユーザＩ／Ｆ（インターフェイス）７８、ネットワークＩ／Ｆ（インターフェイス）８０、及び機能部８２、コントロールバスやデータバス等のバス８４を介して、互いに情報等の授受が可能に接続されている。

なお、本実施の形態では、外部サーバ１４が１つの場合について説明しているがこれに限らず、複数の外部サーバ１４がネットワーク１８に接続されており、各外部サーバ１４でユーザの管理を行ってもよい。また、本実施の形態では、外部サーバ１４には１つのドメイン（Ｄｏｍａｉｎ Ａ）が設定されているが、これに限らず、複数のドメインを設定してもよい。この場合、権限認証サーバ１２の外部サーバ管理部３２では、ドメイン毎に管理を行うようにしてもよい。

次に、本実施の形態の権限認証システム１０の認証動作について図６〜１８を参照して詳細に説明する。

まず、権限認証サーバ１２の権限認証処理について図６〜１７を参照して詳細に説明する。

（メイン処理）
図６は、権限認証サーバ１２で実行される権限認証処理におけるメイン処理の一例を示すフローチャートである。本処理は、例えば、権限認証サーバ１２に電源が投入された場合等にＣＰＵ２０で実行される。

まず、ステップ１００では、ユーザ等から何らかの指示の入力が有るか否か判断する。指示入力が無い場合は否定されて、待機状態になる。一方、ユーザＩ／Ｆ２８やネットワークＩ／Ｆ３０により指示入力された場合は肯定されて、ステップ１０２へ進む。

ステップ１０２では、入力された指示が利用権限の認証依頼であるか否か判断する。認証依頼ではない場合は否定されて、ステップ１０４へ進む。ステップ１０４では、権限認証のための設定を行う設定処理（詳細後述）を行った後、ステップ１０８へ進む。一方、ステップ１０２でユーザによりデバイス１６（Ｄｅｖｉｃｅ Ｚ）からネットワークＩ／Ｆ３０に権限認証依頼が入力された場合は肯定されて、ステップ１０６へ進む。ステップ１０６では、ユーザに対してＤｅｖｉｃｅ Ｚの利用権限を認証する権限認証処理（詳細後述）を行った後、ステップ１０８へ進む。

ステップ１０８では、本処理を終了するか否か判断する。終了しない場合は否定されて、ステップ１００に戻り、本処理を繰り返す。一方、権限認証システム１０の稼働を停止する場合や権限認証サーバ１２の電源をオフにする場合等は肯定されて、本処理を終了する。

（設定処理）
次に、設定処理（図６に示すメイン処理のステップ１０４の処理）について図７〜１６を参照して詳細に説明する。本処理は、権限認証システム１０において権限認証を行う環境を構築するための処理である。

図７は、設定処理の一例を示すフローチャートである。なお本処理では、ユーザがユーザＩ／Ｆ２８により環境を構築（設定）する場合について説明しているがこれに限らず、例えば、デバイス１６等からネットワーク１８を介して環境を構築するようにしてもよい。

まず、ステップ２００では、設定選択画面をユーザＩ／Ｆ２８に表示する。設定選択画面の具体的な一例を図８に示す。これにより、ユーザは設定を希望する項目をマウス等により選択入力し確定する。

次のステップ２０２では、ユーザが選択入力した選択結果を読取り、次のステップ２０４では、読取った選択結果が外部サーバ（ドメイン）の管理で有るか否か判断する。外部サーバの管理である場合は肯定されて、ステップ２０６へ進む。

ステップ２０６では、外部サーバ管理設定入力画面をユーザＩ／Ｆ２８に表示する。外部サーバ管理設定入力画面の具体的な一例を図９に示す。これにより、ユーザはユーザの属性情報が格納されている外部サーバ１４をキーボード等により入力する。なお、本実施の形態では、外部サーバ１４に含まれるドメインで管理しているため、図９には具体的な一例として、Ｄｏｍａｉｎ Ａの情報を設定登録する場合を示している。

次のステップ２０８では、ユーザが設定入力した入力情報を読取り、次のステップ２１０では、読取った外部サーバ１４（Ｄｏｍａｉｎ Ａ）の入力情報を外部サーバ管理部３２に登録した後、ステップ２４２へ進む。これにより、外部サーバ管理部３２の外部サーバ情報記憶部３３にＤｏｍａｉｎ Ａの情報が記憶された状態になる（図２参照）。

一方、ステップ２０４で読取った選択結果が外部サーバ（ドメイン）の管理でない場合は否定されてステップ２１２へ進む。

ステップ２１２では、読取った選択結果がデバイスの管理で有るか否か判断する。デバイスの管理である場合は肯定されて、ステップ２１４へ進む。

ステップ２１４では、デバイス管理設定入力画面をユーザＩ／Ｆ２８に表示する。デバイス管理設定入力画面の具体的な一例を図１０に示す。これにより、ユーザは利用権限を設定するデバイス１６をキーボード等により入力する。なお、本実施の形態では、図１０には具体的な一例として、Ｄｅｖｉｃｅ Ｚの情報（シリアルナンバー）を設定登録する場合を示している。

次のステップ２１６では、ユーザが設定入力した入力情報を読取り、次のステップ２１８では、読取ったＤｅｖｉｃｅ Ｚの入力情報（シリアルナンバー）をサービス管理部３６に登録した後、ステップ２４２へ進む。これにより、サービス管理部３６のデバイス情報記憶部３７にＤｅｖｉｃｅ Ｚを表す情報としてシリアルナンバーが記憶された状態になる（図２参照）。なお、本実施の形態では、シリアルナンバーを用いているがこれに限らず、Ｄｅｖｉｃｅ Ｚを識別できる情報であれば限定されない。

一方、ステップ２１２で読取った選択結果がデバイスの管理でない場合は否定されてステップ２２０へ進む。

ステップ２２０では、読取った選択結果がグループの管理で有るか否か判断する。グループの管理である場合は肯定されて、ステップ２２２へ進む。

ステップ２２２では、グループ管理設定入力画面をユーザＩ／Ｆ２８に表示する。グループ管理設定入力画面の具体的な一例を図１１及び図１２に示す。これにより、ユーザはグループ及び当該グループの属性情報をキーボード等により入力する。なお、本実施の形態では、具体的な一例として、図１３に示すように、Ｇｒｏｕｐ Ａ及びＧｒｏｕｐ Ｂがそれぞれ設定されている。図１１には、Ｇｒｏｕｐ Ａの属性名が「ＤＮ」、属性値が「ＯＵ＝４Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」、属性値が「ＯＵ＝４Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」、比較方法（詳細後述）が「〜で終わる」を設定登録する場合を示している。また、図１２には、Ｇｒｏｕｐ Ｂの属性名が「関連タスク」、属性値が「タスクＸ」、比較方法が「一致」を設定登録する場合を示している。

次のステップ２２４では、ユーザが設定入力した入力情報を読取り、次のステップ２２６では、読取ったグループの属性情報をグループ管理部３４に登録した後、ステップ２４２へ進む。これにより、グループ管理部３４のグループ属性情報記憶部３５にグループ毎に属性情報が記憶された状態になる（図２参照）。

なお、本実施の形態では、属性情報として「ＤＮ（ドメイン）」及び「関連タスク」を用いているがこれに限らず、グループ毎に設けられており、ユーザが属するグループを識別することができる情報であればよい。

一方、ステップ２２０で読取った選択結果がグループの管理ではない場合は否定されてステップ２２８へ進む。

ステップ２２８では、読取った選択結果が一時ユーザの登録で有るか否か判断する。一時ユーザの登録である場合は肯定されて、ステップ２３０へ進む。

ステップ２３０では、一時ユーザ登録設定入力画面をユーザＩ／Ｆ２８に表示する。一時ユーザ登録設定入力画面の具体的な一例を図１４に示す。これにより、一時ユーザを表す情報（ユーザ識別情報）をキーボード等により入力する。なお、本実施の形態では、図１４には具体的な一例として、派遣Ｄの識別情報及び所属グループを設定登録する場合を示している。派遣Ｄの識別情報とは、例えば、名前や社員番号、ＩＤ等、一時ユーザ個人を識別することができる情報であれば特に限定されない。

次のステップ２３２では、ユーザが設定入力した入力情報を読取り、次のステップ２３４では、読取った派遣Ｄの識別情報を一時ユーザ管理部３８に登録し、また、所属グループをグループ・一時ユーザ関連管理部４０に登録した後、ステップ２４２へ進む。これにより、一時ユーザ管理部３８の一時ユーザ記憶部３９に派遣Ｄを表す情報が記憶された状態になり、グループ・一時ユーザ関連管理部４０の一時ユーザ所属グループ記憶部４１に派遣Ｄの所属グループが記憶された状態になる（図２参照）。

一方、ステップ２２８で読取った選択結果が一時ユーザの登録でない場合は否定されてステップ２３６へ進む。

この場合はデバイス１６の利用権限を設定する場合であるため、ステップ２３６では、権限設定入力画面をユーザＩ／Ｆ２８に表示する。権限設定入力画面の具体的な例を図１５及び図１６に示す。これにより、ユーザは利用する権限を設定するデバイス１６をキーボードやマウス等により入力する。なお、本実施の形態では、具体的な一例として、コピー及びプリントに関する利用権限を設定する場合を示しているが、利用権限を設定する内容（デバイスにおける情報処理）はこれに限らない。

図１５では、Ｇｒｏｕｐ Ａに対してＤｅｖｉｃｅ Ｚの利用権限として、白黒コピーが不可、白黒プリント及びカラープリントが可の設定を登録する場合を示している。また、図１６では、Ｇｒｏｕｐ Ｂに対してＤｅｖｉｃｅ Ｚの利用権限として、白黒コピーが可、カラーコピーが不可の設定を登録する場合を示している。

次のステップ２３８では、ユーザが設定入力した入力情報を読取り、次のステップ２４０では、読取った権限の入力情報を権限管理部４２に登録した後、ステップ２４２へ進む。これにより、権限管理部４２のグループ利用権限情報記憶部４３にＧｒｏｕｐ ＡのＤｅｖｉｃｅ Ｚの利用権限及びＧｒｏｕｐ ＢのＤｅｖｉｃｅ Ｚの利用権限が記憶された状態になる（図２参照）。このように、グループ毎に権限を設定するため、一時ユーザ（派遣）か外部サーバ１４で管理されているユーザ（社員）かに関わらず一括して利用権限の設定が行える。

（権限認証処理）
次に、権限認証処理（図６に示すメイン処理のステップ１０６の処理）について図１７を参照して詳細に説明する。本処理は、上述の設定処理により登録された設定に基づいて利用権限の認証を行うための処理である。

図１７は、権限認証処理の一例を示すフローチャートである。

まず、ステップ３００では、利用権限の認証を依頼された依頼元（デバイス１６）の情報（本実施の形態ではシリアルナンバー）及び依頼されたユーザの識別情報を受信する。

次のステップ３０２では、受信した依頼元がサービス管理部３６の管理対象のデバイスで有るか否か判断する。管理対象ではない場合は否定されて、ステップ３１６へ進み所定のエラー処理を行った後、ステップ３２８へ進む。所定のエラー処理とは、認証が失敗したことをユーザに報知するための情報を依頼元のデバイス１６に対してネットワーク１８を介して送信するための処理であり、例えば、エラーメッセージの送信等が挙げられる。これにより、利用権限の認証依頼を行ったユーザは、デバイス１６のユーザＩ／Ｆ７８によって認証に失敗したことがわかる。

一方、サービス管理部３６で管理されているデバイスである場合は肯定されて、ステップ３０４へ進む。

ステップ３０４では、依頼されたユーザが一時ユーザで有るか否か判断する。受信したユーザの識別情報が一時ユーザ管理部３８で管理されているユーザの場合、本実施の形態では派遣Ｄである場合は肯定されて、ステップ３０６へ進む。ステップ３０６では、認証部４４によりグループ・一時ユーザ関連管理部４０から関連グループを検索し、特定する。本実施の形態では、派遣Ｄに対してＧｒｏｕｐ Ａを取得する。

次のステップ３０８では、権限管理部４２により、依頼元のデバイス及び取得したグループに基づいて利用権限を検索し、特定した後、ステップ３２６へ進む。次のステップ３２６では、派遣Ｄの場合、Ｄｅｖｉｃｅ Ｚの利用権限として「白黒コピー不可、白黒プリント及びカラープリント可」の回答をＤｅｖｉｃｅ Ｚに対してネットワーク１８を介して送信した後、ステップ３２８へ進む。

一方、ステップ３０４で一時ユーザでないと判断された場合（社員である場合等）は否定されて、ステップ３１０へ進む。

ステップ３１０では、認証部４４により、外部サーバ管理部３２で管理されている外部サーバ１４（ドメイン）の情報を取得し、次のステップ３１２では、取得した外部サーバ１４（ドメイン）に対してネットワーク１８を介して、ユーザ識別情報を送信する。これにより、外部サーバ１４では、受信したユーザ識別情報に基づいてユーザの認証を行う（詳細後述）。

次のステップ３１４では、外部サーバ１４が認証に成功したか否かを判断する。外部サーバ１４から認証失敗の結果を受信した場合は否定されて、ステップ３１６へ進み所定のエラー処理を行った後、ステップ３２８へ進む。一方、認証成功の結果を受信した場合は肯定されて、ステップ３１８へ進む。

ステップ３１８では、属性取得部４６により、グループ管理部３４で管理されている各グループの属性情報（属性名）を取得する。本実施の形態では、一例として、「ＤＮ」及び「関連タスク」を取得する。

次のステップ３２０では、取得した属性情報（属性名）に対する認証ユーザの属性値を認証先の外部サーバ１４から取得する。本実施の形態では、例えば、社員Ａの場合は、属性名「ＤＮ」の属性値「ＯＵ＝４Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」及び属性名「関連タスク」の属性値「タスクＸ」を取得する。また、社員Ｃである場合は、属性名「ＤＮ」の属性値「ＯＵ＝５Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」及び属性名「関連タスク」の属性値「タスクＸ」を取得する。なお、ステップ３１８を省略して、グループ管理部３４で管理されている各グループの属性情報（属性名）に対応する属性値のみならず、外部サーバ１４において管理されている当該認証ユーザの全ての属性値を取得してもよい。

次のステップ３２２では、取得した属性値に対応するグループをグループ管理部３４で検索し、特定する。本実施の形態では、例えば、社員Ａの場合は属性名「ＤＮ」の属性値が「ＯＵ＝４Ｇ、ＯＵ＝ＡＡＡ、ＤＣ＝Ｄｏｍａｉｎ Ａ」「〜で終わる」ため、Ｇｒｏｕｐ Ａと特定し、また、属性名「関連タスク」の属性値が「タスクＸ」に「一致」するため、Ｇｒｏｕｐ Ｂと特定する。また、社員Ｃである場合は属性名「関連タスク」の属性値が「タスクＸ」に「一致」するため、Ｇｒｏｕｐ Ｂと特定する。

次のステップ３２４では、権限管理部４２により、依頼元のデバイス１６及び特定したグループに基づいて利用権限を検索し、特定した後、ステップ３２６へ進む。次のステップ３２６では、依頼元のデバイスに利用権限の回答を送信する。例えば、社員Ａの場合、Ｄｅｖｉｃｅ Ｚの利用権限としてＧｒｏｕｐ Ａ及びＧｒｏｕｐ Ｂに設定されれている利用権限を回答する。具体的一例としては、「白黒コピー可、カラーコピー不可、白黒プリント及びカラープリント可」の回答を送信する。なお、本実施の形態では、所属する複数のグループの各々に対して設定されれている利用権限が異なる場合、「可」及び「不可」の何れを優先させるか等は予め定めて設定しておく。また、社員Ｃの場合、Ｄｅｖｉｃｅ Ｚの利用権限として「カラーコピー不可、白黒コピー可」の回答を送信する。

次のステップ３２８では他に認証依頼が有るか否か判断する。他の認証依頼を受信した場合は肯定されて、ステップ３００に戻り、本処理を繰り返す。一方、他にない場合は否定されて、本処理を終了する。

認証を依頼したデバイス１６（Ｄｅｖｉｃｅ Ｚ）では、認証失敗の結果を受信した場合は、認証を依頼したユーザに対して全ての機能が利用できないようにする。また、認証に成功し、利用権限の認証を受信した場合は、受信した利用権限に基づく機能が利用できるようにする。なお、権限を設定されていない機能に関しては、利用できないようにすることが好ましいが、これに限らず一部のみ利用可や全ての機能について利用可等としてもよく、予め設定しておけばよい。

なお、ユーザ識別情報にレルム情報（Ｄｏｍａｉｎ Ａ等のドメインを表す情報）が含まれている場合は、レルム情報が有るか否かによりユーザが一時ユーザであるか否か判断するようにしてもよい。この場合、レルム情報が含まれている場合は、社員であると判断する。また、レルム情報を含む場合、外部サーバ管理部３２でレルム情報と外部サーバ１４との関連を管理することにより、ユーザの認証を依頼する外部サーバ１４を絞りこむことができる。

また、本実施の形態では、外部サーバ管理部３２で管理を行っている外部サーバ１４に対してユーザ識別情報を送信して認証の依頼を行っているがこれに限らず、例えば、ネットワーク１８に接続されている全ての外部サーバ１４に認証の依頼を行う等としてもよい。

また、本実施の形態では、各グループの属性名を取得し、取得した属性名の属性値を認証先の外部サーバ１４から取得しているが、これに限らず、例えば、認証したユーザ（社員）の属性情報を全て外部サーバ１４から受信するようにしてもよい。

次に、外部サーバ１４の権限認証処理について図１８を参照して詳細に説明する。図１８は、外部サーバ１４で実行される権限認証処理の一例を示すフローチャートである。本処理は、例えば、外部サーバ１４に電源が投入された場合等にＣＰＵ５０で実行される。

まず、ステップ４００では、ユーザ識別情報を受信したか否か判断する。受信していない場合は否定されて、待機状態になる。一方、権限認証サーバ１２からユーザ識別情報を受信した場合は肯定されて、ステップ４０２へ進む。

ステップ４０２では、属性情報管理部６１で管理しているユーザ（社員）か検索し、次のステップ４０４では、管理しているか否か判断する。管理されていない場合は否定されて、ステップ４０６へ進み、権限認証サーバ１２に認証失敗の結果をネットワーク１８を介して送信した後、ステップ４１４へ進む。

一方、ユーザ属性情報記憶部６３にユーザ識別情報が有る場合は肯定されて、ステップ４０８へ進む。ステップ４０８では、権限認証サーバ１２に認証成功の結果を送信し、ステップ４１０へ進む。

ステップ４１０では、属性情報の送信要求を受信したか否か判断する。属性情報の送信要求を受信すると肯定されて、ステップ４１２へ進む。

ステップ４１２では、属性情報送信部６２により、認証したユーザの属性情報のうち、受信した属性情報（属性名）の送信要求に対応する属性値を権限認証サーバ１２に送信した後、ステップ４１４へ進む。

ステップ４１４では本処理を終了するか否か判断する。否定されるとステップ４００に戻り、本処理を繰り返す。一方、外部サーバ１４の電源をオフにする場合等は肯定されて、本処理を終了する。

なお、本実施の形態では、受信した属性情報の送信要求に対応する属性値を権限認証サーバ１２に送信するようにしているが、これに限らず、認証したユーザの属性情報を全て送信するようにしてもよい。

以上説明したように、本実施の形態では、権限認証サーバ１２が、グループ管理部３４でグループの属性情報を管理し、権限管理部４２でグループ毎にデバイス１６の利用権限を管理し、一時ユーザ管理部３８に登録された一時ユーザの属するグループをグループ・一時ユーザ関連管理部４０で管理する。そして、デバイス１６からの利用権限の認証依頼に対して、一時ユーザである場合は、当該一時ユーザの所属するグループに設定されている権限を利用権限としてデバイス１６に出力し、一時ユーザでないユーザの場合は、外部サーバ１４に問いあわせ、外部サーバ１４で認証されると当該ユーザの属性情報を外部サーバ１４から取得し、当該属性情報に対応するグループに設定されている権限を利用権限としてデバイス１６に出力する。

１０ 認証システム
１２ 権限認証サーバ
１４ 外部サーバ
１６ デバイス
３２ 外部サーバ管理部
３３ 外部サーバ情報記憶部
３５ グループ属性情報記憶部
３７ デバイス情報記憶部
３９ 一時ユーザ記憶部
４１ 一時ユーザ所属グループ記憶部
４３ グループ利用権限情報記憶部
３４ グループ管理部
３６ サービス管理部
３８ 一時ユーザ管理部
４０ グループ・一時ユーザ管理部
４２ 権限管理部
４４ 認証部
４６ 属性取得部
６１ 属性情報管理部
６２ 属性情報送信部
６３ ユーザ属性情報記憶部

Claims (5)

1. 外部サーバで管理されているユーザ及び一時ユーザが属するグループのグループ属性情報を記憶するグループ属性情報記憶手段と、
   前記グループ毎に設定された情報処理装置の利用権限に関するグループ利用権限情報を記憶するグループ利用権限情報記憶手段と、
   一時ユーザに関する一時ユーザ情報を記憶する一時ユーザ情報記憶手段と、
   利用要求されたユーザに関するユーザ情報を前記情報処理装置から受信した場合に、前記一時ユーザ情報に基づいて、前記利用要求されたユーザが前記一時ユーザであるか否かを照合する一時ユーザ照合手段と、
   前記利用要求されたユーザが前記一時ユーザである場合、前記ユーザ情報と前記一時ユーザ情報とに基づいて前記一時ユーザの属するグループを特定する一時ユーザ所属グループ特定手段と、
   前記利用要求されたユーザが前記一時ユーザでない場合、外部サーバから前記利用要求されたユーザのユーザ属性情報を取得する取得手段と、
   前記取得手段により取得したユーザ属性情報と前記グループ属性情報とに基づいて前記利用要求されたユーザが属するグループを特定するユーザ所属グループ特定手段と、
   前記一時ユーザ所属グループ特定手段または前記ユーザ所属グループ特定手段により特定したグループに対して設定されたグループ利用権限情報を前記グループ利用権限情報記憶手段から取得して前記情報処理装置に送信する送信手段と、
   を備えたことを特徴とする権限認証装置。
2. 前記利用要求されたユーザが前記一時ユーザでなく、かつ、当該利用要求されたユーザのユーザ属性情報を外部サーバから取得できない場合は、前記送信手段は、前記情報処理装置の利用権限がないことを示す情報を前記情報処理装置に送信することを特徴とする請求項１に記載の権限認証装置。
3. 外部サーバに関する情報を記憶する外部サーバ情報記憶手段を備え、
   前記取得手段は、ユーザの属性情報を前記外部サーバ情報記憶手段に記憶されている外部サーバから取得することを特徴とする請求項１または請求項２に記載の権限認証装置。
4. 前記利用要求されたユーザに関するユーザ情報を送信する情報処理装置と、
   前記情報処理装置から送信されたユーザ情報に基づいて前記情報処理装置の利用権限について認証する前記請求項１から請求項３の何れか１項に記載の権限認証装置と、
   前記権限認証装置から要求された場合に、前記利用要求されたユーザに関するユーザ属性情報を送信する外部サーバと、
   を備えたことを特徴とする権限認証システム。
5. グループ属性情報記憶手段に外部サーバで管理されているユーザ及び一時ユーザが属するグループのグループ属性情報を記憶するステップと、
   グループ利用権限情報記憶手段に前記グループ毎に設定された情報処理装置の利用権限に関するグループ利用権限情報を記憶するステップと、
   一時ユーザ情報記憶手段に一時ユーザに関する一時ユーザ情報を記憶するステップと、
   利用要求されたユーザに関するユーザ情報を前記情報処理装置から受信した場合に、前記一時ユーザ情報に基づいて、前記利用要求されたユーザが前記一時ユーザであるか否かを照合する一時ユーザ照合ステップと、
   前記利用要求されたユーザが前記一時ユーザである場合、前記ユーザ情報と前記一時ユーザ情報とに基づいて前記一時ユーザの属するグループを特定する一時ユーザ所属グループ特定ステップと、
   前記利用要求されたユーザが前記一時ユーザでない場合、外部サーバから前記利用要求されたユーザのユーザ属性情報を取得する取得ステップと、
   前記取得手段により取得したユーザ属性情報と前記グループ属性情報とに基づいて前記利用要求されたユーザが属するグループを特定するユーザ所属グループ特定ステップと、
   前記一時ユーザ所属グループ特定ステップまたは前記ユーザ所属グループ特定ステップにより特定したグループに対して設定されたグループ利用権限情報を前記グループ利用権限情報記憶手段から取得して
   前記情報処理装置に送信する送信ステップと、
   を有する処理をコンピュータに実行させることを特徴とする権限認証プログラム。