JP5573113B2 - 認証代行サーバ装置、認証代行方法及びプログラム - Google Patents

Description

本発明は、認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置、認証代行方法及びプログラムに関する。

従来、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等のクライアント装置をネットワークに接続する場合、当該クライアント装置は、ＩＳＰ（Ｉｎｔｅｒｎｅｔ Ｓｅｒｖｉｃｅｓ Ｐｒｏｖｉｄｅｒ）等のネットワークサービスプロバイダの認証システムにより、ネットワークへの接続を許可するか否かを判定する認証処理を受ける。この認証処理は、一般的にＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルによるものが用いられている。

ＲＡＤＩＵＳを用いた無線ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）への接続の認証処理は、以下のように行われる。
まず、クライアント装置は、アクセスポイント装置を介して、ユーザ名とパスワードとの組み合わせなどで示される認証情報を含むアクセス要求を認証サーバ装置に送信する。次に、認証サーバ装置は、受信したアクセス要求に含まれる認証情報と予め記憶する認証情報とが一致するか否かを検証し、クライアント装置の認証処理を行う。そして、認証サーバ装置は、クライアント装置が接続するアクセスポイント装置に認証処理の結果を示す認証結果情報を含む応答パケットを送信する。応答パケットを受信したアクセスポイント装置は、当該認証結果情報が「接続許可」を示す場合、クライアント装置にネットワークへの接続を許可する。

しかし、上述した認証方法を用いた場合、アクセスポイント装置は、クライアント装置による認証要求毎に、認証サーバ装置に対してアクセス要求を送信することとなる。そのため、無線通信の劣化などによりパケットの損失が生じる可能性があり、認証処理に時間が掛かってしまうという問題があった。
そこで、アクセスポイント装置と認証サーバ装置との間に設けたプロキシサーバ装置に、一時的にサーバ装置が記憶する認証情報を蓄積させ、プロキシサーバ装置にて認証を代行するという方法が特許文献１に開示されている。当該認証方法は、以下のように行われる。ここでは、アクセスポイント装置にプロキシサーバ装置を実装した例を用いて説明を行う。

まず、クライアント装置がアクセスポイント装置にアクセス要求を送信すると、アクセスポイント装置は、受信したアクセス要求に含まれるユーザ名を含む認証情報を、自装置の記憶部に記憶しているか否かをチェックする。
クライアント装置による初回の認証時には、アクセスポイント装置の記憶部は認証情報を記憶していないため、当該アクセス要求を認証サーバ装置に転送し、認証サーバ装置から認証結果情報を受信する。そして、受信した認証結果情報が「認証成功」を示す場合、アクセスポイント装置は、クライアント装置から受信したアクセス要求に含まれる認証情報を記憶部に書き込み、クライアント装置にネットワークへの接続を許可する。

他方、同一のクライアント装置による２回目以降の認証時には、アクセスポイント装置は、初回の認証時の処理により、当該クライアント装置の認証情報を記憶している。この場合、アクセスポイント装置は、受信したアクセス要求に含まれる認証情報と記憶部が記憶する認証情報とが一致するか否かを検証することで、クライアント装置の認証処理を行う。そして、認証情報が一致すると判定した場合、アクセスポイント装置は、クライアント装置にネットワークへの接続を許可する。
これにより、アクセスポイント装置は、同一のアクセスポイント装置に接続したことがあるユーザに対する認証を行う際に、認証サーバ装置へのアクセスを行わないため、認証処理にかかる時間を短縮することができる。

なお、このような認証システムでは、認証サーバ装置が認証情報の変更または削除を行った場合に、その変更または削除に係る認証情報を用いたネットワーク接続が、アクセスポイント装置で保存されている認証情報により許可されることを防ぐため、認証サーバ装置は、アクセスポイント装置が記憶する認証情報の削除を定期的に行う必要がある。

国際公開第２００４／１１２３１２号パンフレット

しかしながら、上述した認証システムでは、認証サーバ装置によってアクセスポイント装置（プロキシサーバ装置）が記憶する認証情報の削除を行うため、認証サーバ装置が動作停止状態に陥った場合、アクセスポイント装置が記憶する認証情報の削除がなされず、認証サーバ装置で変更または削除を行った認証情報を用いたネットワーク接続が許可されてしまう惧れがある。この問題は、認証サーバ装置が動作停止状態に陥った場合にアクセスポイント装置またはプロキシサーバ装置による認証を行わないことで回避することができるが、一般のユーザだけでなく、ネットワーク管理者などのユーザもネットワークに接続できなくなってしまうという問題があった。

本発明は、上記の問題に鑑みてなされたものであり、認証サーバ装置が動作停止状態に陥った場合に、認証サーバ装置で変更または削除を行った認証情報を用いたネットワーク接続を許可せず、特定のユーザによるネットワーク接続を許可する認証代行サーバ装置、認証代行方法及びプログラムを提供することを課題とする。

本発明は上記の課題を解決するためになされたものであり、認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置であって、クライアント装置から、当該クライアント装置のユーザを識別する識別情報を含む認証情報を受信する認証情報受信部と、接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部が記憶している認証情報と、前記認証情報受信部が受信した認証情報とが一致するか否かを判定する判定部と、前記記憶部から前記認証情報受信部が受信した認証情報に含まれる前記識別情報に関連付けられた権限情報を読み出す権限情報読出部と、前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示す場合に、前記ユーザの認証に成功したと判定する認証部と、前記認証情報受信部が受信した認証情報に含まれる識別情報が、前記記憶部が記憶する認証情報に含まれていない場合、前記認証情報受信部が受信した認証情報を前記認証サーバ装置に転送する認証情報転送部と、前記認証情報転送部が転送した認証情報が前記認証サーバ装置によって認証されたか否かを示す認証結果情報を前記認証サーバ装置から受信する認証結果情報受信部と、前記認証サーバ装置が前記認証情報に含まれる識別情報に関連付けて記憶する権限情報を、前記認証サーバ装置から受信する権限情報受信部と、前記認証結果情報受信部が受信した認証結果情報が認証成功を示す場合に、前記認証情報受信部が受信した認証情報と前記権限情報受信部が受信した権限情報とを関連付けて前記記憶部に書き込む書込部とを備えることを特徴とする。

また、本発明は、認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置を用いた認証代行方法であって、認証情報受信部は、クライアント装置から、当該クライアント装置のユーザを識別する識別情報を含む認証情報を受信し、判定部は、接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部が記憶している認証情報と、前記認証情報受信部が受信した認証情報とが一致するか否かを判定し、権限情報読出部は、前記記憶部から前記認証情報受信部が受信した認証情報に含まれる前記識別情報に関連付けられた権限情報を読み出し、認証部は、前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示す場合に、前記ユーザの認証に成功したと判定し、認証情報転送部は、前記認証情報受信部が受信した認証情報に含まれる識別情報が、前記記憶部が記憶する認証情報に含まれていない場合、前記認証情報受信部が受信した認証情報を前記認証サーバ装置に転送し、認証結果情報受信部は、前記認証情報転送部が転送した認証情報が前記認証サーバ装置によって認証されたか否かを示す認証結果情報を前記認証サーバ装置から受信し、権限情報受信部は、前記認証サーバ装置が前記認証情報に含まれる識別情報に関連付けて記憶する権限情報を、前記認証サーバ装置から受信し、書込部は、前記認証結果情報受信部が受信した認証結果情報が認証成功を示す場合に、前記認証情報受信部が受信した認証情報と前記権限情報受信部が受信した権限情報とを関連付けて前記記憶部に書き込むことを特徴とする。

また、本発明は、認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置を、クライアント装置から、当該クライアント装置のユーザを識別する識別情報を含む認証情報を受信する認証情報受信部、接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部が記憶している認証情報と、前記認証情報受信部が受信した認証情報とが一致するか否かを判定する判定部、前記記憶部から前記認証情報受信部が受信した認証情報に含まれる前記識別情報に関連付けられた権限情報を読み出す権限情報読出部、前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示す場合に、前記ユーザの認証に成功したと判定する認証部、前記認証情報受信部が受信した認証情報に含まれる識別情報が、前記記憶部が記憶する認証情報に含まれていない場合、前記認証情報受信部が受信した認証情報を前記認証サーバ装置に転送する認証情報転送部、前記認証情報転送部が転送した認証情報が前記認証サーバ装置によって認証されたか否かを示す認証結果情報を前記認証サーバ装置から受信する認証結果情報受信部、前記認証サーバ装置が前記認証情報に含まれる識別情報に関連付けて記憶する権限情報を、前記認証サーバ装置から受信する権限情報受信部、前記認証結果情報受信部が受信した認証結果情報が認証成功を示す場合に、前記認証情報受信部が受信した認証情報と前記権限情報受信部が受信した権限情報とを関連付けて前記記憶部に書き込む書込部として機能させるためのプログラムである。

本発明によれば、認証代行サーバ装置は、ユーザの権限が所定の権限を示し、かつ記憶部が記憶している認証情報とクライアント装置から受信した認証情報とが一致する場合に、ユーザの認証に成功したと判定する。これにより、認証代行サーバ装置によって、認証装置で変更または削除を行った認証情報を用いたネットワーク接続を許可することを防ぐことができ、かつ、所定の権限を有するユーザによるネットワークへの接続を確保することができる。

本発明の一実施形態による認証システムの構成を示す概略ブロック図である。 本発明の一実施形態によるアクセスポイント装置の構成を示す概略ブロック図である。 アクセスポイント装置による定期動作を示すフローチャートである。 アクセスポイント装置による認証動作を示すフローチャートである。 ネットワークへの初回の接続時における認証システムの動作を示すシーケンス図である。 ネットワークへの２回目以降の接続時における認証システムの動作を示すシーケンス図である。 認証サーバ装置の動作停止時における認証システムの動作を示すシーケンス図である。

以下、図面を参照しながら本発明の実施形態について詳しく説明する。
図１は、本発明の一実施形態による認証システムの構成を示す概略ブロック図である。
図１に示す認証システムは、アクセスポイント装置２（認証代行サーバ装置）、プロキシサーバ装置３、認証サーバ装置４を備える。アクセスポイント装置２とプロキシサーバ装置３とは無線で接続され、プロキシサーバ装置３と認証サーバ装置４とは有線で接続されている。また、クライアント装置１は、アクセスポイント装置２に無線で接続されている。
クライアント装置１は、ユーザが操作する端末装置であり、ユーザを特定するユーザ名（識別情報）とパスワードの組を示す認証情報を含むパケットを送信し、ネットワークへの接続を要求する。
アクセスポイント装置２は、認証情報を含むパケットをプロキシサーバ装置３に転送し、その応答パケットに基づいてクライアント装置１を無線ＬＡＮに接続するか否かを判定する。また、同一のクライアント装置１による２回目以降の接続時は、認証サーバ装置４に代わって認証処理を行う。
プロキシサーバ装置３は、アクセスポイント装置２から受信したパケットを認証サーバ装置４に転送し、認証サーバ装置４から受信した応答パケットをアクセスポイント装置２に転送する。
認証サーバ装置４は、プロキシサーバ装置３から認証情報を含むパケットを受信し、ユーザの認証処理を行い、その結果を示す応答パケットをプロキシサーバ装置３に送信する。

図２は、本発明の一実施形態によるアクセスポイント装置の構成を示す概略ブロック図である。
アクセスポイント装置２は、クライアント側通信部２１（認証情報受信部）、転送判定部２２、サーバ側通信部２３（応答要求送信部、認証情報転送部、認証結果情報受信部、権限情報受信部）、書込部２４、記憶部２５、認証部２６（判定部、権限情報読出部）を備える。
クライアント側通信部２１は、クライアント装置１からアクセス要求パケットを受信し、また、クライアント装置１にネットワークへの接続の可否を示す応答パケットを送信する。
転送判定部２２は、クライアント装置１から受信した情報を認証サーバ装置４に転送するか否かを判定する。
サーバ側通信部２３は、クライアント側通信部２１が受信したアクセス要求パケットを、プロキシサーバ装置３を介して認証サーバ装置４に送信し、その認証結果を示す応答パケットを受信する。また、サーバ側通信部２３は、認証サーバ装置４が動作しているか否かを判定するために認証サーバ装置４へアクセス要求パケット（応答要求）を送信し、応答の有無を判定する。
書込部２４は、記憶部２５にクライアント装置１のユーザを特定する認証情報、及び認証サーバ装置４の状態を示す状態情報を書き込む。
認証部２６は、クライアント側通信部２１が受信したアクセス要求パケットに含まれる認証情報と記憶部２５が記憶する認証情報とに基づいてクライアント装置１のユーザの認証を行う。

そして、アクセスポイント装置２のクライアント側通信部２１は、クライアント装置１から、クライアント装置１のユーザを識別するユーザ名を含む認証情報を受信する。次に、認証部２６は、接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部２５が記憶している認証情報と、クライアント側通信部２１が受信した認証情報とが一致するか否かを判定する。また、認証部２６は、記憶部２５からクライアント側通信部２１が受信した認証情報に含まれるユーザ名に関連付けられた権限情報を読み出す。そして、認証部２６は、認証情報が一致すると判定し、かつ読み出した権限情報が所定の権限を示す場合に、ユーザの認証に成功したと判定する。
これにより、アクセスポイント装置２は、認証サーバ装置が動作停止状態に陥った場合に、認証サーバ装置で変更または削除を行った認証情報を用いたネットワーク接続を許可せず、特定のユーザによるネットワーク接続を許可する。

次に、アクセスポイント装置２の動作を説明する。
本実施形態によるアクセスポイント装置２は、認証サーバ装置４が動作しているか否かによって異なる処理を行うため、定期的に認証サーバ装置４の動作状態を確認する。そのため、まずアクセスポイント装置２が定期的に認証サーバ装置４の動作状態を確認する動作について説明する。

図３は、アクセスポイント装置による定期動作を示すフローチャートである。
アクセスポイント装置２のサーバ側通信部２３は、プロキシサーバ装置３を介して定期的に（例えば、１２時間毎に）アクセス要求を認証サーバ装置４に送信する（ステップＳ１）。次に、アクセスポイント装置２は、当該アクセス要求に対する認証サーバ装置４からの応答を所定の時間の間待機する（ステップＳ２）。

所定の時間の待機を終了すると、サーバ側通信部２３は、待機している間に認証サーバ装置４からの応答を受信したか否かを判定する（ステップＳ３）。サーバ側通信部２３が応答を受信したと判定した場合（ステップＳ３：ＹＥＳ）、書込部２４は、記憶部２５が記憶する認証サーバ装置４の状態情報を、「稼動状態」に書き換える（ステップＳ４）。他方、サーバ側通信部２３が応答を受信していないと判定した場合（ステップＳ３：ＮＯ）、書込部２４は、記憶部２５が記憶する認証サーバ装置４の状態情報を、「動作停止状態」に書き換える（ステップＳ５）。
この処理を定期的に実行することにより、アクセスポイント装置２は、記憶部２５が記憶する認証サーバ装置４の動作状態を示す状態情報を更新する。

次に、クライアント装置１が認証情報を送信したときのアクセスポイント装置２の動作を説明する。
図４は、アクセスポイント装置による認証動作を示すフローチャートである。
まず、クライアント装置１が、ネットワークに接続するためにアクセスポイント装置に認証情報を示すパケットを送信すると、アクセスポイント装置２のクライアント側通信部２１は、当該認証情報を示すパケットを受信する（ステップＳ１１）。次に、アクセスポイント装置２の転送判定部２２は、記憶部２５が記憶する状態情報が「動作停止状態」であるか否かを判定する（ステップＳ１２）。

転送判定部２２は、状態情報が「稼動状態」であると判定した場合（ステップＳ１２：ＮＯ）、クライアント側通信部２１が受信した認証情報に含まれるユーザ名が、記憶部２５に登録されている認証情報の中に含まれるか否かを判定する（ステップＳ１３）。
転送判定部２２が、クライアント側通信部２１が受信した認証情報に含まれるユーザ名が、認証情報の中に含まれないと判定した場合（ステップＳ１３：ＮＯ）、サーバ側通信部２３は、プロキシサーバ装置３を介して認証サーバ装置４にアクセス要求を示すＲＡＤＩＵＳパケットを送信する（ステップＳ１４）。

アクセスポイント装置２がアクセス要求を示すＲＡＤＩＵＳパケットを送信すると、認証サーバ装置４は、当該パケットを受信する。そして、認証サーバ装置４は、アクセス要求に対する応答として、認証情報の要求を示すＲＡＤＩＵＳパケットをアクセスポイント装置２に送信する。
次に、アクセスポイント装置２のサーバ側通信部２３は、認証情報の要求を示すＲＡＤＩＵＳパケットを受信する（ステップＳ１５）。そして、サーバ側通信部２３は、認証情報の要求に対する応答として、クライアント側通信部２１が受信した認証情報を示すＲＡＤＩＵＳパケットを、プロキシサーバ装置３を介して認証サーバ装置４に送信する（ステップＳ１６）。

そして、認証サーバ装置４は、当該パケットを受信し、自装置の記憶部（図示せず）が記憶する認証情報と受信したパケットに含まれる認証情報とを比較して認証処理を行う。そして、認証サーバ装置４は、認証結果情報（「認証成功」または「認証失敗」）を示すＲＡＤＩＵＳパケットをアクセスポイント装置２に送信する。
次に、アクセスポイント装置２のサーバ側通信部２３は、認証結果情報を示すＲＡＤＩＵＳパケットを受信する（ステップＳ１７）。そして、認証部２６は、受信したパケットが示す認証結果情報が「認証成功」を示すか否かを判定する（ステップＳ１８）。

認証部２６が、認証結果情報が「認証失敗」を示すと判定した場合（ステップＳ１８：ＮＯ）、クライアント側通信部２１は、ネットワークへの接続の拒否を示す応答パケットをクライアント装置１に送信する（ステップＳ１９）。
他方、認証部２６が、認証結果情報が「認証成功」を示すと判定した場合（ステップＳ１８：ＹＥＳ）、サーバ側通信部２３は、クライアント側通信部２１が受信した認証情報のユーザ名に関連付けられた権限情報（例えば、管理者ユーザ、デバッグユーザ、一般ユーザ、制限付きユーザなど）の送信要求を示すパケットを認証サーバ装置４に送信する（ステップＳ２０）。ここで、権限情報とは、無線装置に対する操作を行う際の権限を示す情報であり、例えば、管理者ユーザとは、無線装置のＭＩＢ（管理情報ベース：Ｍａｎａｇｅｍｅｎｔ Ｉｎｆｏｒｍａｔｉｏｎ Ｂａｓｅ）情報の書き換えを行うことのできるユーザのことである。
次に、認証サーバ装置４は、アクセスポイント装置２からの送信要求を受信し、受信した送信要求に含まれるユーザ名に関連付けられた権限情報を、自装置の記憶部（図示せず）から読み出し、当該権限情報を示すパケットをアクセスポイント装置２に送信する。

次に、アクセスポイント装置２のサーバ側通信部２３は、認証サーバ装置４から当該パケットを受信する（ステップＳ２１）。サーバ側通信部２３が権限情報を示すパケットを受信すると、書込部２４は、クライアント側通信部２１が受信した認証情報に関連付けて、サーバ側通信部２３が受信した権限情報を記憶部２５に書き込む（ステップＳ２２）。そして、クライアント側通信部２１は、ネットワークへの接続の許可を示す応答パケットを送信する（ステップＳ２３）。

他方、ステップＳ１３で、転送判定部２２が、クライアント側通信部２１が受信した認証情報に含まれるユーザ名が、認証情報の中に含まれると判定した場合（ステップＳ１３：ＹＥＳ）、認証部２６は、記憶部２５が記憶する認証情報の中にクライアント側通信部２１が受信した認証情報と一致するものが存在するか否かを判定する（ステップＳ２４）。
認証部２６が、記憶部２５が記憶する認証情報の中にクライアント側通信部２１が受信した認証情報と一致するものが存在すると判定した場合（ステップＳ２４：ＹＥＳ）、クライアント側通信部２１は、ネットワークへの接続の許可を示す応答パケットをクライアント装置１に送信する（ステップＳ２５）。
他方、認証部２６が、記憶部２５が記憶する認証情報の中にクライアント側通信部２１が受信した認証情報と一致するものが存在しないと判定した場合（ステップＳ２４：ＮＯ）、クライアント側通信部２１は、ネットワークへの接続の拒否を示す応答パケットをクライアント装置１に送信する（ステップＳ２６）。

また、ステップＳ１２で、転送判定部２２が、状態情報が「動作停止状態」であると判定した場合（ステップＳ１２：ＹＥＳ）、認証部２６は、クライアント側通信部２１が受信した認証情報に含まれるユーザ名に関連付けられた権限情報を記憶部２５から読み出す（ステップＳ２７）。次に、認証部２６は、読み出した権限情報が管理者権限を示すか否かを判定する（ステップＳ２８）。なお、クライアント装置１が初回の認証時である場合や、前回の認証に失敗している場合には、受信した認証情報に含まれるユーザ名が記憶部２５に記憶されていないこととなる。この場合、ステップＳ２８で、認証部２６は、権限情報が管理者権限を示さないと判定して処理を続行する。

認証部２６は、読み出した権限情報が管理者権限を示すと判定した場合（ステップＳ２８：ＹＥＳ）、ステップＳ２４を実行し、認証処理を行う。これにより、アクセスポイント装置２は、管理者権限を有するユーザに対して、認証サーバ装置４が動作停止状態に陥った場合にも、認証に成功したときに、ネットワークへの接続を許可することができる。なお、管理者権限を有するユーザは、認証サーバ装置４の操作を行う場合に最低限必要なユーザであり、認証サーバ装置４において変更または削除がなされないものとする。
他方、認証部２６が、読み出した権限情報が管理者権限を示さないと判定した場合（ステップＳ２８：ＮＯ）、クライアント側通信部２１は、ネットワークへの接続の拒否を示す応答パケットを送信する（ステップＳ２６）。

なお、認証サーバ装置４は、定期的にアクセスポイント装置２の記憶部２５が記憶する認証情報の削除を要求するパケットを送信する。そして、アクセスポイント装置２のサーバ側通信部２３が当該パケットを受信すると、書込部２４は記憶部２５が記憶する認証情報を全て削除する。これは、認証サーバ装置４が認証情報の変更または削除を行った場合に、その変更または削除に係る認証情報を用いたネットワーク接続が、アクセスポイント装置２の記憶部２５が記憶している認証情報により許可されることを防ぐために行う処理である。

次に、クライアント装置１による、ネットワークへの初回の接続時、２回目以降の接続時、及び認証サーバ装置４が動作停止状態時の認証システムの動作をそれぞれ説明する。
図５は、ネットワークへの初回の接続時における認証システムの動作を示すシーケンス図である。
まず、クライアント装置１は、認証情報を示すパケットをアクセスポイント装置２に送信する（ステップＳ１０１）。アクセスポイント装置２は、認証情報を示すパケットを受信すると、上述したステップＳ１２により、認証サーバ装置４が動作停止状態であるか否かを判定する動作状態チェック処理を行う（ステップＳ１０２）。ここでは、認証サーバ装置４は正常に動作しているため、アクセスポイント装置２の記憶部２５が記憶する状態情報は「稼動状態」を示している。

次に、アクセスポイント装置２は、上述したステップＳ１３により、記憶部２５が、受信した認証情報に含まれるユーザ名を記憶しているか否かを判定するユーザチェック処理を行う（ステップＳ１０３）。ここでは、初回の接続時であるため、記憶部２５には該当するユーザ名は登録されていない。そのため、アクセスポイント装置２は、上述したステップＳ１４により、プロキシサーバ装置３にアクセス要求を示すＲＡＤＩＵＳパケットを送信する（ステップＳ１０４）。プロキシサーバ装置３は、受信したパケットを認証サーバ装置４に転送する（ステップＳ１０５）。

認証サーバ装置４は、アクセス要求を示すＲＡＤＩＵＳパケットを受信すると、認証情報の送信を要求するＲＡＤＩＵＳパケットをプロキシサーバ装置３に送信する（ステップＳ１０６）。プロキシサーバ装置３は、受信したパケットをアクセスポイント装置２に転送する（ステップＳ１０７）。
アクセスポイント装置２は、認証情報の送信を要求するＲＡＤＩＵＳパケットを受信すると、上述したステップＳ１６により、クライアント装置１から受信した認証情報を示すＲＡＤＩＵＳパケットをプロキシサーバ装置３に送信する（ステップＳ１０８）。プロキシサーバ装置３は、受信したパケットを認証サーバ装置４に転送する（ステップＳ１０９）。

認証サーバ装置４は、認証情報を示すＲＡＤＩＵＳパケットを受信すると、受信した認証情報と記憶部に記憶されている認証情報とを比較して認証処理を行う（ステップＳ１１０）。そして、認証結果情報を示すＲＡＤＩＵＳパケットをプロキシサーバ装置３に送信する（ステップＳ１１１）。プロキシサーバ装置３は、受信したパケットをアクセスポイント装置２に転送する（ステップＳ１１２）。

アクセスポイント装置２は、認証結果情報を示すＲＡＤＩＵＳパケットを受信すると、上述したステップＳ１８により、当該認証結果情報が「認証成功」を示すか否かを判定する認証正否チェック処理を行う（ステップＳ１１３）。ここでは、認証結果情報が「認証成功」を示すものとする。
認証結果情報が「認証成功」を示す場合、アクセスポイント装置２は、上述したステップＳ２０により、当該認証に成功したユーザの権限情報の送信を要求するパケットをプロキシサーバ装置３に送信する（ステップＳ１１４）。プロキシサーバ装置３は、受信したパケットを認証サーバ装置４に転送する（ステップＳ１１５）。

認証サーバ装置４は、プロキシサーバ装置３から権限情報の送信を要求するパケットを受信すると、当該パケットに含まれるユーザ名に関連付けられた権限情報を記憶部から読み出し、当該権限情報を示すパケットをプロキシサーバ装置３に送信する（ステップＳ１１６）。プロキシサーバ装置３は、受信したパケットをアクセスポイント装置２に転送する（ステップＳ１１７）。
アクセスポイント装置２は、権限情報を示すパケットを受信すると、上述したステップＳ２２により、ステップＳ１０１で受信した認証情報とステップＳ１１７で受信した権限情報とを関連付けて記憶部２５に書き込む（ステップＳ１１８）。そして、アクセスポイント装置２は、上述したステップＳ２３により、クライアント装置１にネットワークへの接続の可否を示す応答パケットを送信する（ステップＳ１１９）。
これにより、認証サーバ装置４で認証に成功したユーザの認証情報と権限情報とをアクセスポイント装置２の記憶部２５に記憶させることができる。

図６は、ネットワークへの２回目以降の接続時における認証システムの動作を示すシーケンス図である。
まず、クライアント装置１は、認証情報を示すパケットをアクセスポイント装置２に送信する（ステップＳ２０１）。アクセスポイント装置２は、認証情報を示すパケットを受信すると、上述したステップＳ１２により、認証サーバ装置４が動作停止状態であるか否かを判定する動作状態チェック処理を行う（ステップＳ２０２）。ここでは、認証サーバ装置４は正常に動作しているため、アクセスポイント装置２の記憶部２５が記憶する状態情報は「稼動状態」を示している。

次に、アクセスポイント装置２は、上述したステップＳ１３により、記憶部２５が、受信した認証情報に含まれるユーザ名を記憶しているか否かを判定するユーザチェック処理を行う（ステップＳ２０３）。ここでは、同一のクライアント装置１による２回目以降の接続時であるため、記憶部２５には該当するユーザ名は登録されている。そのため、アクセスポイント装置２は、上述したステップＳ２４により、受信した認証情報と記憶部２５に記憶されている認証情報とを比較して認証処理を行う（ステップＳ２０４）。
そして、アクセスポイント装置２は、認証結果に基づいて、ステップＳ２５、またはステップＳ２６により、クライアント装置１にネットワークへの接続の可否を示す応答パケットを送信する（ステップＳ２０５）。
これにより、アクセスポイント装置２は、クライアント装置１による２回目以降の認証時に、認証サーバ装置４に対してアクセス要求を送信しない。そのため、認証処理に要する時間を短縮することができる。

図７は、認証サーバ装置の動作停止時における認証システムの動作を示すシーケンス図である。
まず、クライアント装置１は、認証情報を示すパケットをアクセスポイント装置２に送信する（ステップＳ３０１）。アクセスポイント装置２は、認証情報を示すパケットを受信すると、上述したステップＳ１２により、認証サーバ装置４が動作停止状態であるか否かを判定する動作状態チェック処理を行う（ステップＳ２０２）。ここでは、認証サーバ装置４は動作を停止しているため、アクセスポイント装置２の記憶部２５が記憶する状態情報は「動作停止状態」を示している。

次に、アクセスポイント装置２は、上述したステップＳ２８により、受信した認証情報に含まれるユーザ名に関連付けて記憶部２５が記憶する権限情報のレベルを判定する権限チェック処理を行う（ステップＳ３０３）。ここでは、記憶部２５が、受信した認証情報に含まれるユーザ名に関連付けて、管理者ユーザレベルの権限を示す権限情報を記憶しているものとする。そのため、アクセスポイント装置２は、上述したステップＳ２４により、受信した認証情報と記憶部２５に記憶されている認証情報とを比較して認証処理を行う（ステップＳ３０４）。
そして、アクセスポイント装置２は、認証結果に基づいて、ステップＳ２５、またはステップＳ２６により、クライアント装置１にネットワークへの接続の可否を示す応答パケットを送信する（ステップＳ３０５）。

このように、本実施形態によれば、認証サーバ装置４が動作停止状態にあるときは、管理者権限を付与されたユーザによるネットワーク接続のみを許可することができる。そのため、アクセスポイント装置２によって、認証サーバ装置４で変更または削除を行った認証情報を用いたネットワーク接続を許可することを防ぐことができ、かつ、所定の権限を有するユーザによるネットワークへの接続を確保することができる。

以上、図面を参照してこの発明の一実施形態について詳しく説明してきたが、具体的な構成は上述のものに限られることはなく、この発明の要旨を逸脱しない範囲内において様々な設計変更等をすることが可能である。
例えば、本実施形態では、アクセスポイント装置２が認証処理の代行を行う場合を説明したが、これに限られず、例えば、それぞれの処理部をプロキシサーバ装置３に格納し、プロキシサーバ装置が認証処理の代行を行っても良い。

また、本実施形態では、認証サーバ装置とアクセスポイント装置２との間にプロキシサーバ装置３を１つ備える場合を説明したが、これに限られず、複数台のプロキシサーバ装置３を備えても良いし、プロキシサーバ装置３を備えない構成としても良い。
また、本実施形態では、認証サーバ装置４が動作停止状態にある場合に、権限情報が管理者権限を示すユーザのみ認証処理を行う場合を説明したが、これに限られず、例えば、管理者権限を示すユーザとデバッグユーザ権限を示すユーザに対して認証処理を行うようにしても良いし、管理者権限を示すユーザによって予め指定されたユーザに対しても認証処理を行うようにしても良い。

なお、本実施形態では、認証プロトコルとしてＲＡＤＩＵＳプロトコルを用いる場合を説明したが、これに限られず、他の認証プロトコルを用いても良い。
また、本実施形態では、認証システムを、無線ＬＡＮによるネットワーク接続の認証に用いる認証システムに実装する例を説明したが、これに限られず、例えば、有線のネットワークへの接続の認証や、コンテンツ提供サービスにおける認証に用いる認証システムに実装しても良い。

上述のアクセスポイント装置は内部に、コンピュータシステムを有している。そして、上述した各処理部の動作は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１…クライアント装置 ２…アクセスポイント装置 ３…プロキシサーバ装置 ４…認証サーバ装置 ２１…クライアント側通信部 ２２…転送判定部 ２３…サーバ側通信部 ２４…書込部 ２５…記憶部 ２６…認証部

Claims (4)

1. 認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置であって、
   クライアント装置から、当該クライアント装置のユーザを識別する識別情報を含む認証情報を受信する認証情報受信部と、
   接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部が記憶している認証情報と、前記認証情報受信部が受信した認証情報とが一致するか否かを判定する判定部と、
   前記記憶部から前記認証情報受信部が受信した認証情報に含まれる前記識別情報に関連付けられた権限情報を読み出す権限情報読出部と、
   前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示す場合に、前記ユーザの認証に成功したと判定する認証部と、
   前記認証情報受信部が受信した認証情報に含まれる識別情報が、前記記憶部が記憶する認証情報に含まれていない場合、前記認証情報受信部が受信した認証情報を前記認証サーバ装置に転送する認証情報転送部と、
   前記認証情報転送部が転送した認証情報が前記認証サーバ装置によって認証されたか否かを示す認証結果情報を前記認証サーバ装置から受信する認証結果情報受信部と、
   前記認証サーバ装置が前記認証情報に含まれる識別情報に関連付けて記憶する権限情報を、前記認証サーバ装置から受信する権限情報受信部と、
   前記認証結果情報受信部が受信した認証結果情報が認証成功を示す場合に、前記認証情報受信部が受信した認証情報と前記権限情報受信部が受信した権限情報とを関連付けて前記記憶部に書き込む書込部と
   を備えることを特徴とする認証代行サーバ装置。
2. 前記認証サーバ装置に応答要求を送信する応答要求送信部と、
   前記認証部は、前記応答要求送信部が送信した応答要求に対する応答が無い場合において、前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示すときに、前記ユーザの認証に成功したと判定する
   ことを特徴とする請求項１に記載の認証代行サーバ装置。
3. 認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置を用いた認証代行方法であって、
   認証情報受信部は、クライアント装置から、当該クライアント装置のユーザを識別する識別情報を含む認証情報を受信し、
   判定部は、接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部が記憶している認証情報と、前記認証情報受信部が受信した認証情報とが一致するか否かを判定し、
   権限情報読出部は、前記記憶部から前記認証情報受信部が受信した認証情報に含まれる前記識別情報に関連付けられた権限情報を読み出し、
   認証部は、前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示す場合に、前記ユーザの認証に成功したと判定し、
   認証情報転送部は、前記認証情報受信部が受信した認証情報に含まれる識別情報が、前記記憶部が記憶する認証情報に含まれていない場合、前記認証情報受信部が受信した認証情報を前記認証サーバ装置に転送し、
   認証結果情報受信部は、前記認証情報転送部が転送した認証情報が前記認証サーバ装置によって認証されたか否かを示す認証結果情報を前記認証サーバ装置から受信し、
   権限情報受信部は、前記認証サーバ装置が前記認証情報に含まれる識別情報に関連付けて記憶する権限情報を、前記認証サーバ装置から受信し、
   書込部は、前記認証結果情報受信部が受信した認証結果情報が認証成功を示す場合に、前記認証情報受信部が受信した認証情報と前記権限情報受信部が受信した権限情報とを関連付けて前記記憶部に書き込む
   ことを特徴とする認証代行方法。
4. 認証処理を行う認証サーバ装置による認証処理を代行する認証代行サーバ装置を、
   クライアント装置から、当該クライアント装置のユーザを識別する識別情報を含む認証情報を受信する認証情報受信部、
   接続を許可するユーザの認証情報と当該ユーザの権限を示す権限情報とを関連付けて記憶する記憶部が記憶している認証情報と、前記認証情報受信部が受信した認証情報とが一致するか否かを判定する判定部、
   前記記憶部から前記認証情報受信部が受信した認証情報に含まれる前記識別情報に関連付けられた権限情報を読み出す権限情報読出部、
   前記判定部によって認証情報が一致すると判定され、かつ前記権限情報読出部によって読み出された権限情報が所定の権限を示す場合に、前記ユーザの認証に成功したと判定する認証部、
   前記認証情報受信部が受信した認証情報に含まれる識別情報が、前記記憶部が記憶する認証情報に含まれていない場合、前記認証情報受信部が受信した認証情報を前記認証サーバ装置に転送する認証情報転送部、
   前記認証情報転送部が転送した認証情報が前記認証サーバ装置によって認証されたか否かを示す認証結果情報を前記認証サーバ装置から受信する認証結果情報受信部、
   前記認証サーバ装置が前記認証情報に含まれる識別情報に関連付けて記憶する権限情報を、前記認証サーバ装置から受信する権限情報受信部、
   前記認証結果情報受信部が受信した認証結果情報が認証成功を示す場合に、前記認証情報受信部が受信した認証情報と前記権限情報受信部が受信した権限情報とを関連付けて前記記憶部に書き込む書込部
   として機能させるためのプログラム。

Images