JP5618883B2 - 認証システム、認証連携装置、認証方法 - Google Patents

Description

本発明は、シングルサインオンの認証を代行する技術に関する。

ＰＣ（Personal Computer）等の端末においてアプリケーションを動作させたりネットワークを介して他のコンピュータ装置に接続したりして様々なコンピュータリソースを利用する場合、利用するコンピュータリソース毎に異なるユーザＩＤとパスワードとが要求されることがある。この場合、ユーザは利用するコンピュータリソース毎にユーザＩＤとパスワードとを利用端末に入力しなければならず、面倒である。そこで、一度の認証処理によって複数のコンピュータリソースを利用可能にするシングルサインオンの技術が提供されている（例えば、特許文献１）。

例えば、図１１は、シングルサインオンによる認証処理の概要を示す図である。ここでは、利用端末９０２が、ネットワークを介していわゆるクラウドサービスを提供するクラウドサーバ９００に接続する例を説明する。クラウド側のクラウドサーバ９００が参照するクラウド認証ＤＢ９０１には、ユーザの氏名と、ユーザＩＤとユーザパスワード（ＰＡＳＳ）との組み合わせが予め作成され記憶されているものとする。企業内の認証サーバ９０４が参照する認証ＤＢ（データベース）９０５には、利用端末９０２を利用するユーザの氏名と、ログインＩＤとログインパスワードとの組み合わせが対応付けられて予め記憶されている。ＳＳＯ（シングルサインオン）認証サーバ９０３が参照する認証変換ＤＢ９０６には、ユーザのログインＩＤと、そのユーザがクラウドサービスを利用する際のユーザＩＤとユーザパスワードとの組み合わせが対応付けられて予め記憶されている。

利用端末９０２が起動すると、利用端末９０２は自身のコンピュータリソースを起動し、企業内のネットワークに接続するためのログインＩＤとパスワードとの入力画面を表示する。ユーザによって利用端末９０２にログインＩＤとパスワードとが入力されると、利用端末９０２は認証サーバ９０４に認証要求を送信し、認証成功と判定されると利用端末９０２のコンピュータリソースが利用可能になる。そして、ユーザからの入力に応じて利用端末９０２がクラウドサーバ９００へのアクセス要求を送信すると（ステップＳ１０１）、ＳＳＯ認証サーバ９０３がアクセス要求を受信する。ＳＳＯ認証サーバ９０３は、認証サーバ９０４と連携して、アクセス要求を送信した利用端末９０２が認証されているか否かを判定する（ステップＳ１０２）。認証されていれば、ＳＳＯ認証サーバ９０３は、認証変換ＤＢ９０６からユーザのログインＩＤに対応するユーザＩＤとユーザパスワードとの組み合わせを読み出し、クラウドサーバ９００に送信する（ステップＳ１０４）。クラウドサーバ９００は、ＳＳＯ認証サーバ９０３から送信されたユーザＩＤとユーザパスワードとの組み合わせと、認証ＤＢ９０１に予め記憶されているユーザＩＤとユーザパスワードとの組み合わせを比較して、認証処理を行う。認証が成功すれば、クラウドサーバ９００は利用端末からの利用を許可する。このように、シングルサインオンによれば、ユーザは利用端末の起動時に自身のログインＩＤとログインパスワードとを入力するだけで、クラウドサーバ等のコンピュータリソースを利用することが可能になる。

特開２００６−２５２４１８号公報

しかしながら、近年では様々なクラウドサービスが提供されてきており、多数のユーザＩＤやユーザパスワード等を管理するＳＳＯ認証サーバの運営は煩雑化してくることが考えられる。そこで、図１２に示すように、シングルサインオンの処理を行うＳＳＯ認証サーバ９１２の管理を、外部のアウトソース企業に委託することが考えられる。しかし、この場合、アウトソース企業が管理する認証変換ＤＢ９１３に、企業内のユーザのログインＩＤに対応付けてユーザＩＤとユーザパスワードとの組み合わせが記憶される。すなわち、企業は、ログインＩＤを第三者であるアウトソース企業に提供することになる。ここで、企業内における利用端末にログインし、企業内のネットワークに接続するような強い権限を持つログインＩＤは、できるだけ外部に対して秘匿されることが望ましい。

本発明は、このような状況に鑑みてなされたもので、複数のコンピュータリソースを利用するためのシングルサインオンの処理を第三者に委託しつつも、ユーザが企業内で利用するログインＩＤを第三者に提供せずに認証を行う認証システム、認証連携装置、認証方法を提供する。

上述した課題を解決するために、本発明は、予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供する複数の情報提供装置にネットワークを介して接続された利用端末に接続された認証情報変換装置と、認証情報変換装置および情報提供装置に接続され、予め定められた利用端末のログインＩＤに基づいて複数の情報提供装置に対するシングルサインオンを代行する第三者の認証連携装置とを備えた認証システムであって、認証情報変換装置は、ログインＩＤに基づいて認証された利用端末から、ログインＩＤを受信するログインＩＤ受信部と、ログインＩＤ受信部が受信したログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成する変換ＩＤ生成部と、変換ＩＤ生成部によって生成された変換ＩＤを認証連携装置に送信する送信部と、を備え、認証連携装置は、変換ＩＤに対応付けて、情報提供装置毎に予め定められたユーザＩＤとパスワードとの組み合わせが予め記憶される変換ＩＤ記憶部と、認証情報変換装置から送信される変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出して情報提供装置に送信し、情報提供装置に認証処理を行わせる認証代行部と、を備えることを特徴とする。

また、本発明は、認証連携装置は、認証情報変換装置と接続された回線を識別する回線情報を取得する回線情報取得部を備え、変換ＩＤ記憶部には、変換ＩＤ毎に、変換ＩＤを送信してくる認証情報変換装置を識別する回線情報が対応付けられて予め記憶され、認証代行部は、変換ＩＤ記憶部に記憶された変換ＩＤおよび回線情報と、認証情報変換装置から送信された変換ＩＤおよび、回線情報取得部によって取得された、変換ＩＤが送信された回線の回線情報とを比較し、変換ＩＤと回線情報とが一致する場合、変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出して情報提供装置に送信することを特徴とする。

また、本発明は、予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供する複数の情報提供装置にネットワークを介して接続された利用端末に接続され、ログインＩＤに基づいて認証された利用端末から、ログインＩＤを受信するログインＩＤ受信部と、ログインＩＤ受信部が受信したログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成する変換ＩＤ生成部と、変換ＩＤ生成部によって生成された変換ＩＤを送信する送信部と、を備えた認証情報変換装置と、認証情報変換装置および情報提供装置に接続され、予め定められた利用端末のログインＩＤに基づいて複数の情報提供装置に対するシングルサインオンを代行する第三者の認証連携装置とを備えた認証システムにおける認証連携装置であって、変換ＩＤに対応付けて、情報提供装置毎に予め定められたユーザＩＤとパスワードとの組み合わせが予め記憶される変換ＩＤ記憶部と、認証情報変換装置から送信される変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出して情報提供装置に送信し、情報提供装置に認証処理を行わせる認証代行部と、を備えることを特徴とする。

また、本発明は、予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供する複数の情報提供装置にネットワークを介して接続された利用端末に接続された認証情報変換装置と、認証情報変換装置および情報提供装置に接続され、変換ＩＤに対応付けて、情報提供装置毎に予め定められたユーザＩＤとパスワードとの組み合わせが予め記憶される変換ＩＤ記憶部を備え、予め定められた利用端末のログインＩＤに基づいて複数の情報提供装置に対するシングルサインオンを代行する第三者の認証連携装置とを備えた認証システムの認証方法であって、認証情報変換装置が、ログインＩＤに基づいて認証された利用端末から、ログインＩＤを受信するステップと、受信したログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成するステップと、生成した変換ＩＤを認証連携装置に送信するステップと、認証連携装置が、認証情報変換装置から送信される変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出して情報提供装置に送信し、情報提供装置に認証処理を行わせるステップと、を備えることを特徴とする。

以上説明したように、本発明によれば、認証情報変換装置は、ログインＩＤに基づいて認証された利用端末から、ログインＩＤを受信し、受信したログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成し、生成した変換ＩＤを認証連携装置に送信し、認証連携装置は、変換ＩＤに対応付けて、情報提供装置毎に予め定められたユーザＩＤとパスワードとの組み合わせを予め記憶し、認証情報変換装置から送信される変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出して情報提供装置に送信し、情報提供装置に認証処理を行わせるようにしたので、複数のコンピュータリソースを利用するためのシングルサインオンの処理を第三者に委託しつつも、ユーザが企業内で利用するログインＩＤを第三者に提供せずに認証を行うことが可能となる。

本発明の一実施形態による通信システムの構成例を示すブロック図である。 本発明の一実施形態による認証情報変換装置と認証連携装置との詳細なブロック構成を示す図である。 本発明の一実施形態による認証情報変換データ記憶部に記憶されるデータ例を示す図である。 本発明の一実施形態による認証連携ＤＢ装置に記憶されるデータ例を示す図である。 本発明の一実施形態による通信システムの動作例を示すシーケンス図である。 本発明の一実施形態による通信システムの動作例を示すシーケンス図である。 本発明の一実施形態による認証情報変換装置の動作例を示すフローチャートである。 本発明の一実施形態による認証連携装置の動作例を示すフローチャートである。 本発明の一実施例を示す図である。 本発明の一実施例を示す図である。 従来技術によるシングルサインオンの概要を示す図である。 従来技術によるシングルサインオンの概要を示す図である。

以下、本発明の一実施形態について、図面を参照して説明する。
図１は、本実施形態による通信システム１の構成を示すブロック図である。ここでは、企業内においてユーザＡが利用する利用端末２００がクラウド側のクラウドサービスを利用する際のシングルサインオンを、通信事業者に委託する場合の例を示している。通信システム１は、クラウド側においてクラウドサービスを提供する複数のクラウドサーバ１００（クラウドサーバ１００−１、クラウドサーバ１００−２、クラウドサーバ１００−３、・・・）と、それぞれのクラウドサービスにおける認証処理の際に参照されるクラウド認証ＤＢ装置１１０（クラウド認証ＤＢ装置１１０−１、クラウド認証ＤＢ装置１１０−２、クラウド認証ＤＢ装置１１０−３、・・・）とを備えている。ここで、それぞれのクラウドサービスは異なるサービスを提供するものであって良いが、同様の認証処理を行うものであるため、特に区別しない場合には「−１」、「−２」などの表記を省略してクラウドサーバ１００、クラウド認証ＤＢ装置１１０として説明する。ここでは、３台のクラウドサーバ１００、３台のクラウド認証ＤＢ装置１１０による３つのクラウドサービスを図示して説明するが、それぞれのクラウドサービスは２台以上のクラウドサーバ１００によって構成されて良いし、４つ以上のクラウドサービスを利用するものであっても良い。通信システム１は、企業内において利用端末２００と、回線接続装置２１０と、認証ＤＢ装置２２０と、認証サーバ２３０と、認証情報変換装置３００とを備えている。また、通信事業者側において通信機器装置４００と、認証連携ＤＢ装置５００と、認証連携装置６００とを備えている。

クラウドサーバ１００は、利用端末２００からの認証要求に応じて、予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供するコンピュータ装置である。認証処理は、送信される利用要求に含まれるユーザＩＤとパスワードとの組み合わせに一致するユーザＩＤとパスワードとの組み合わせがクラウド認証ＤＢ装置１１０に記憶されているか否かを判定することによって行う。一致するユーザＩＤとパスワードとの組み合わせがクラウド認証ＤＢ装置１１０に記憶されていれば認証成功と判定し、一致しないと判定すれば認証失敗と判定する。クラウドサーバ１００は、認証が成功した場合に、例えばワープロソフト、表計算ソフトなどのアプリケーションをＳａａＳ（Software as a Service）形式で提供するものであっても良いし、その他の情報を提供するものであっても良い。
クラウド認証ＤＢ装置１１０は、クラウドサーバ１００によって提供するサービスの利用を許可するユーザのユーザＩＤとユーザパスワードとの組み合わせが予め記憶されているコンピュータ装置である。

利用端末２００は、企業内のネットワークにログインしてコンピュータリソースを利用するコンピュータ装置であり、認証連携装置６００とネットワークとを介してクラウドサーバ１００に接続される。ここでは、企業内のネットワークに接続された１台の利用端末２００を示して説明するが、企業内のネットワークには複数の利用端末２００を接続することができる。また、利用端末２００は、ユーザから入力されるログインＩＤとログインパスワードを認証サーバ２３０に送信して認証処理を行う。また、ログイン中である場合、自身のログインＩＤを、予め定められた暗号鍵によって暗号化し、認証情報変換装置３００に送信する。この際、利用端末２００は、ログインＩＤとともに、認証ＤＢ装置２２０に記憶されている固有情報を認証連携装置６００に送信することができる。

回線接続装置２１０は、通信事業者側のネットワークと企業内のネットワークとを接続するコンピュータ装置である。回線接続装置２１０は、通信機器装置４００から送信される通信機器装置４００の固有情報を受信する。固有情報は、通信事業者のみが知り得る情報であり、例えば通信事業者の通信機器装置４００と回線接続装置２１０とを接続する回線の契約を識別する契約識別子、その回線により接続された企業を識別する企業識別子、その回線を識別する回線情報などが適用できる。回線接続装置２１０は、受信した固有情報を認証ＤＢ装置２２０に記憶させる。
認証ＤＢ装置２２０は、回線接続装置２１０が通信機器装置４００から受信した固有情報が記憶されるコンピュータ装置である。

認証サーバ２３０は、企業内ネットワークに接続される利用端末２００の認証を行うコンピュータ装置である。認証サーバ２３０は、企業内ネットワークへの接続を許可するユーザのログインＩＤとログインパスワードとの組み合わせを自身の記憶領域に予め記憶し、利用端末２００に入力されるログインＩＤとログインパスワードとの組み合わせを受信して認証処理を行う。認証処理は、利用端末２００から送信される認証要求に含まれるユーザＩＤとパスワードとの組み合わせに一致するユーザＩＤとパスワードとの組み合わせが予め記憶されているか否かを判定することによって行う。一致するユーザＩＤとパスワードとの組み合わせが予め記憶されていれば認証成功と判定し、一致しないと判定すれば認証失敗と判定する。また、認証サーバ２３０は、利用端末２００からの認証要求に応じて認証成功と判定した場合、認証成功と判定すると、そのユーザのログインＩＤを、そのユーザがログイン中であることを示す情報として自身の記憶領域に記憶する。

認証情報変換装置３００は、利用端末２００に接続され、利用端末２００のログインＩＤに基づいて変換ＩＤを生成するコンピュータ装置である。図２は、認証情報変換装置３００と認証連携装置６００のブロック構成を詳細に示す図である。認証情報変換装置３００は、認証情報分析処理部３１０と、回線情報取得部３２０と、認証変換処理部３３０と、認証情報変換データ記憶部３４０と、通信部３５０とを備えている。

認証情報分析処理部３１０は、ログインＩＤに基づいて認証サーバ２３０によって認証された利用端末２００から、ログイン中のログインＩＤを受信するログインＩＤ受信部である。認証情報分析処理部３１０は、利用端末２００から送信される暗号化されたログインＩＤを受信すると、認証情報変換データ記憶部３４０に記憶されている復号鍵を読み出して復号する。

回線情報取得部３２０は、認証ＤＢ装置２２０に記憶された固有情報を読み出す。
認証変換処理部３３０は、認証情報分析処理部３１０が受信して復号したログインＩＤと、回線情報取得部３２０が読み出した固有情報とに基づいて、不可逆計算を行った計算結果である変換ＩＤを生成する。不可逆計算とは、例えばログインＩＤと固有情報とに基づくハッシュ計算である。ここで、認証変換処理部３３０は、認証情報変換データ記憶部３４０に記憶されている不可逆演算鍵を読み出し、ログインＩＤと固有情報と不可逆演算鍵とに基づいてハッシュ計算を行うこともできる。このように、ログインＩＤだけでなく、ログインＩＤと固有情報とに基づいて不可逆計算を行うことで、より確実に一意な変換ＩＤを生成することができる。すなわち、例えば異なる企業に同一のログインＩＤを持つユーザが存在するような場合にも、このような固有情報に基づけば異なる変換ＩＤが生成されることとなる。

認証情報変換データ記憶部３４０には、ログインＩＤの変換のために用いる情報が記憶されている。図３は、認証情報変換データ記憶部３４０に記憶される情報のデータ例を示す図である。認証情報変換データ記憶部３４０には、企業に対応する複数の支店が存在する場合には、その支店を識別する支店等ＩＤに対応付けて、復号鍵と不可逆演算鍵とが記憶される。
通信部３５０は、通信事業者の認証連携装置６００に接続されたネットワークを介して通信を行う。例えば、通信部３５０は、認証変換処理部３３０によって生成された変換ＩＤを認証連携装置６００に送信する。

図１に戻り、通信機器装置４００は、通信事業者のネットワークと企業内のネットワークとを接続するコンピュータ装置である。
認証連携ＤＢ装置５００は、変換ＩＤに対応付けて、クラウドサービス毎に予め定められたユーザＩＤとユーザパスワードとの組み合わせが予め記憶されるコンピュータ装置である。さらに、ここでは、変換ＩＤ毎に、その変換ＩＤを送信してくる認証情報変換装置３００を識別する回線情報が対応付けられて予め記憶される。認証連携ＤＢ装置５００に記憶されるデータ例を示す図である。ここでは、変換ＩＤに対応付けて、回線ＩＤと、クラウドＩＤと、クラウドＵＲＬと、ユーザＩＤと、ユーザパスワードとが記憶される。回線ＩＤは、対応する変換ＩＤを送信した利用端末２００が、予め契約している回線を識別する情報である。クラウドＩＤは、対応する変換ＩＤを送信した利用端末２００が利用することが許可されたクラウドサービスを識別する情報である。クラウドＵＲＬ（Uniform Resource Locator）は、クラウドＩＤが示すクラウドサービスを提供するクラウドサーバ１００に接続するためのＵＲＬである。ユーザＩＤとユーザパスワードは、対応するクラウドサービスを利用するために予め定められた認証情報である。これらの情報は、予め入力されて記憶されているものとする。

認証連携装置６００は、認証情報変換装置３００およびクラウドサーバ１００に接続され、予め定められた利用端末２００のログインＩＤに基づいて複数のクラウドサーバ１００に対するシングルサインオンを代行する通信事業者のコンピュータ装置である。図２に示したように、認証連携装置６００は、企業側通信部６１０と、利用回線情報取得部６２０と、認証情報分析部６３０と、クラウド認証情報取得部６４０と、通信事前処理部６５０と、クラウド側通信部６６０とを備えている。

企業側通信部６１０は、企業内のネットワークと通信を行う。
利用回線情報取得部６２０は、通信機器装置４００から、企業内の認証情報変換装置３００と接続された回線を識別する回線情報を取得する。
認証情報分析部６３０は、認証連携ＤＢ装置５００に記憶されている情報を読み出して、利用回線情報取得部６２０が取得した回線情報が、変換ＩＤに対応する回線情報であるか否かを判定する。また、認証情報分析部６３０は、利用端末２００が利用要求しているクラウドサービスが、変換ＩＤに対応するクラウドサービスであるかを判定する。

クラウド認証情報取得部６４０は、認証情報変換装置３００から送信される変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出してクラウドサーバ１００に送信し、クラウドサーバ１００に認証処理を行わせる。この際、クラウド認証情報取得部６４０は、認証連携ＤＢ装置５００に記憶された変換ＩＤおよび回線情報と、認証情報変換装置３００から送信された変換ＩＤおよび、利用回線情報取得部６２０によって取得された、変換ＩＤが送信された回線の回線情報とを比較し、変換ＩＤと回線情報とが一致する場合、変換ＩＤに対応付けられたユーザＩＤとパスワードとの組み合わせを読み出してクラウドサーバ１００に送信することができる。

通信事前処理部６５０は、企業内ネットワークにおけるドメインとクラウドにおけるドメインとを変換する処理等を行う。例えば、企業内ネットワークからクラウドへのアクセスを、認証連携装置６００を経由して行わせるために、企業内ネットワークにおいては通信事業者内の通信装置を示すＵＲＬを公開しておく場合、利用端末２００から送信される利用要求に含まれるドメイン名を、対応するクラウド側のドメイン名に変換する。
クラウド側通信部６６０は、ネットワークを介してクラウドサーバ１００との通信を行う。

次に、本実施形態による通信システム１の動作例を説明する。図５、６は、通信システム１によるシングルサインオンの動作例を示すシーケンス図である。
まず、回線接続装置２１０が、通信機器装置４００に対して回線接続要求を送信すると（ステップＳ１）、通信機器装置４００は、固有情報を回線接続装置２１０に送信する（ステップＳ２）。回線接続装置２１０は、通信機器装置４００から送信された固有情報を受信すると、受信した固有情報を認証ＤＢ装置２２０に記憶させる（ステップＳ３）。認証ＤＢ装置２２０は、回線接続装置２１０から送信された固有情報を記憶すると、記憶したことを示す情報を回線接続装置２１０に送信する（ステップＳ４）。回線接続装置２１０は、固有情報を受信したことを示す情報を通信機器装置４００に送信する（ステップＳ５）。通信機器装置４００は、回線接続完了を回線接続装置２１０に通知する（ステップＳ６）。

利用端末２００は、企業内ネットワークに接続すると、ユーザから入力されるログインＩＤとログインパスワードとを認証サーバ２３０に送信する（ステップＳ７）。認証サーバ２３０は、送信されたログインＩＤとログインパスワードとに基づいて認証処理を行い、認証成功であれば利用端末２００の接続を許可し、接続完了を通知する（ステップＳ８）。利用端末２００が、ユーザからの入力に応じてクラウドサーバ１００に対する利用要求を送信すると（ステップＳ９）、認証連携装置６００が、利用端末２００から送信された利用要求を受信する。認証連携装置６００は、認証連携ＤＢ装置５００に記憶されたデータを参照して、利用端末２００から送信された利用要求に応じてクラウドサーバ１００へのアクセスが許可されているか否かを判定する処理を行い、対応するクラウドＵＲＬを読み出してドメイン変換を行う（ステップＳ１０）。

認証連携装置６００が、クラウドサーバ１００に対してクラウド利用要求を送信すると、クラウドサーバ１００は、認証連携装置６００に対して認証要求を送信する（ステップＳ１２）。認証連携装置６００は、認証連携装置６００から送信された認証要求を受信すると、利用端末２００に対して企業内ネットワークにおいて認証が行われているか否かを確認する要求を送信する（ステップＳ１３）。利用端末２００は、認証サーバ２３０に対して、ログインＩＤと認証結果の取得要求を送信する（ステップＳ１４）。認証サーバ２３０は、ログインＩＤと認証結果とを利用端末２００に送信する（ステップＳ１５）。利用端末２００は、ログインＩＤを暗号化して、暗号化されたログインＩＤと認証結果とを認証情報変換装置３００に送信する（ステップＳ１６）。認証情報変換装置３００は、認証ＤＢ装置２２０に記憶された固有情報を読み出す（ステップＳ１７、１８）。認証情報変換装置３００は、ログインＩＤを復号し、復号したログインＩＤと、固有情報とに基づいて、変換ＩＤを生成する（ステップＳ１９）。

図６に進み、認証情報変換装置３００は、生成した変換ＩＤを利用端末２００に送信する（ステップＳ２０）。利用端末２００は、認証情報変換装置３００から送信された変換ＩＤを受信すると、変換ＩＤが含まれるクラウド認証要求を認証情報変換装置３００に送信する（ステップＳ２１）。認証情報変換装置３００は、変換ＩＤと、固有情報とを認証連携装置６００に送信する（ステップＳ２２）。認証連携装置６００は、変換ＩＤに対応する固有情報と、利用回線と、クラウドアクセスの可否との判定を行い（ステップＳ２３）、認証連携ＤＢ装置５００から変換ＩＤに対応するユーザＩＤとユーザパスワードとを読み出す（ステップＳ２４、２５）。認証連携装置６００は、認証要求のドメイン変換等の処理を行い（ステップＳ２６）、ユーザＩＤとユーザパスワードとが含まれる認証要求をクラウドサーバ１００に送信する（ステップＳ２７）。クラウドサーバ１００は、認証連携装置６００から送信されたユーザＩＤとユーザパスワードとに基づいて認証処理を行い、認証成功と判定すれば認証ＯＫの通知を認証連携装置６００に送信する（ステップＳ２８）。

認証連携装置６００は、クラウドサーバ１００から送信された認証ＯＫの通知を認証情報変換装置３００に送信する（ステップＳ２９）。認証情報変換装置３００は、認証ＯＫの通知を利用端末２００に送信する（ステップＳ３０）。利用端末２００が、クラウド利用要求を認証連携装置６００に送信すると（ステップＳ３１）、認証連携装置６００はドメイン変換等の処理を行って（ステップＳ３２）クラウドサーバ１００にクラウド利用要求を送信する（ステップＳ３３）。クラウドサーバ１００は、利用要求に応じた情報を認証連携装置６００に送信する（ステップＳ３４）。認証連携装置６００は、ドメイン変換等の処理を行って（ステップＳ３５）、クラウドサーバ１００から送信された情報を利用端末２００に送信する（ステップＳ３６）。

図７は、認証情報変換装置３００の詳細な処理を示すフローチャートである。認証情報変換装置３００は、ＨＴＴＰ（HyperText Transfer Protocol）（Ｓ）データが入力されると、そのデータが利用端末２００からの入力であれば（ステップＳ４０：Ｙｅｓ）、クラウド認証済みであるか否かを判定する（ステップＳ４１）。クラウド認証済みでなければ（ステップＳ４１：Ｎｏ）、企業内ネットワークの認証結果を読み出し（ステップＳ４２）、認証結果が認証成功を示すものであれば（ステップＳ４２：Ｙｅｓ）、認証ＤＢ装置２２０から固有情報を読み出す（ステップＳ４３）。読み出しが成功すれば（ステップＳ４４：Ｙｅｓ）、変換ＩＤを生成する（ステップＳ４５）。この演算においては、契約識別子、企業識別子、回線情報等の固有情報と、ログインＩＤとに基づいて、不可逆計算を行い、計算結果を変換ＩＤとする。変換ＩＤの生成処理が成功すれば（ステップＳ４６：Ｙｅｓ）、生成した変換ＩＤを認証連携装置６００に送信する（ステップＳ４７）。送信が成功すれば、Ａに戻る。

図８は、認証連携装置６００の詳細な処理を示すフローチャートである。認証連携装置６００は、ＨＴＴＰ（Ｓ）データが入力されると、そのデータが認証情報変換装置３００からの入力であれば（ステップＳ６０：Ｙｅｓ）、クラウド認証済みであるか否かを判定する（ステップＳ６１）。クラウド認証済みであれば（ステップＳ６１：Ｙｅｓ）、ドメイン変換等の処理後、認証連携装置６００に転送する（ステップＳ６２）。転送が成功すれば（ステップＳ６３：Ｙｅｓ）、Ａに戻り、転送が失敗すれば（ステップＳ６３：Ｎｏ）、要求元へエラーを出力してＡに戻る。クラウド認証済みでなく（ステップＳ６１：Ｎｏ）、変換ＩＤを受信した場合（ステップＳ６５：Ｙｅｓ）、変換ＩＤに対応する利用回線のチェックを行い（ステップＳ７２）、チェック結果が妥当であれば（ステップＳ７３：Ｙｅｓ）、クラウドアクセス可否チェックを行う（ステップＳ７４）。チェック結果が妥当であれば（ステップＳ７５：Ｙｅｓ）、変換ＩＤに対応するユーザＩＤとユーザパスワードとを読み出す（ステップＳ７６）。ユーザＩＤとユーザパスワードとを読み出すと（ステップＳ７７：Ｙｅｓ）、クラウドサーバ１００にユーザＩＤとユーザパスワードとを送信して認証処理を行い（ステップＳ７８）、認証すればＡに戻り、認証が失敗すれば要求元へエラーを出力して、Ａに戻る。

図９は、本実施形態の一実施例を示す図である。ユーザＡは、回線１から業務系、勘定系クラウドの利用が許可されており、ユーザＢは、回線１、回線２からのコミュニケーション系クラウドの利用が許可されるように設定されているものとする。この場合、Ｔ支店の利用端末２００−３から、回線２を介してユーザＡがクラウドに接続しようとしても、変換ＩＤに対応するユーザＩＤとユーザパスワードとが対応付けられていないため、クラウドを利用することができない。

図１０は、本実施形態の一実施例を示す図である。ユーザＡは回線１から業務系、勘定系クラウドの利用が許可されているものとする。このとき、悪意のある企業Ｂにおける利用端末２００−２から、ユーザＪが、ユーザＡのログインＩＤを推測するために認証連携装置６００に接続して認証を試みても、クラウドへの認証は行えないため、ログインＩＤを推測することはできない。一方、万が一、ユーザＡのログインＩＤを知ったユーザＫが、ユーザＡのログインＩＤを用いてクラウドに接続しようとしても、回線２に基づいて生成された変換ＩＤは、接続が許可されていないため、接続できない。また、万が一、ユーザＡの変換ＩＤがユーザＬに盗まれたとしても、回線２からの接続は許可されていないため、接続できない。また、変換ＩＤが盗まれたとしても、変換ＩＤは、企業Ａの企業内ネットワークにログイン可能なログインＩＤとは異なるため、リモート端末から接続しようとしても、変換ＩＤによる認証は失敗するため、接続できない。
なお、本実施形態では、利用端末２００からクラウドサービスを利用する際の認証処理をシングルサインオンにより行う例を示したが、企業がシングルサインオンの処理を第三者に委託するような様々な場面に本実施形態を適用することができる。

なお、本実施形態では、クラウドサーバ１００がＦｏｒｍ認証、Ｂａｓｉｃ認証を行う場合の例を示したが、ＳＡＭＬ（Security Assertion Markup Language）やＯｐｅｎＩＤ等の認証においても、本実施形態の構成を同様に適用できる。この場合、認証連携装置６００が行ったＳＡＭＬやＯｐｅｎＩＤ等の認証結果を、クラウドサーバ１００に送信する。具体的には、図５のステップＳ１１において認証連携装置６００がクラウドサーバ１００に接続した際に、利用端末２００が認証されていなければ、クラウドサーバ１００は、認証連携装置６００に認証結果要求を送信する。そして、認証連携装置６００が認証連携ＤＢ装置５００からユーザの変換ＩＤと回線ＩＤとを読み出し、認証結果をクラウドサーバ１００に送信する。クラウドサーバ１００は、認証連携装置６００から送信された認証結果が認証成功を示す場合、認証ＯＫの通知を認証連携装置６００に送信する。

以上説明したように、本実施形態によれば、企業は、第三者にログインＩＤを知られることなく、第三者により提供されるシングルサインオンの機能を、安心、安全に利用することができる。また、万が一、変換ＩＤが漏洩したとしても、ログインＩＤを知られることはない。このように、変換ＩＤを活用したシングルサインオンを行うことで、様々なクラウドサービスを、効率良く利用することが可能になる。

なお、本発明における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより認証を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

１ 通信システム
１００ クラウドサーバ
１１０ クラウド認証ＤＢ装置
２００ 利用端末
２１０ 回線接続装置
２２０ 認証ＤＢ装置
２３０ 認証サーバ
３００ 認証情報変換装置
３１０ 認証情報分析処理部
３２０ 回線情報取得部
３３０ 認証変換処理部
３４０ 認証情報変換データ記憶部
３５０ 通信部
４００ 通信機器装置
５００ 認証連携ＤＢ装置
６００ 認証連携装置
６１０ 企業側通信部
６２０ 利用回線情報取得部
６３０ 認証情報分析部
６４０ クラウド認証情報取得部
６５０ 通信事前処理部
６６０ クラウド側通信部

Claims (3)

1. 予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供する複数の情報提供装置にネットワークを介して接続された利用端末に接続された認証情報変換装置と、当該認証情報変換装置および前記情報提供装置に接続され、予め定められた前記利用端末のログインＩＤに基づいて前記複数の情報提供装置に対するシングルサインオンを代行する第三者の認証連携装置とを備えた認証システムであって、
   前記認証情報変換装置は、
   前記ログインＩＤに基づいて認証された前記利用端末から、当該ログインＩＤを受信するログインＩＤ受信部と、
   前記ログインＩＤ受信部が受信した前記ログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成する変換ＩＤ生成部と、
   前記変換ＩＤ生成部によって生成された前記変換ＩＤを前記認証連携装置に送信する送信部と、を備え、
   前記認証連携装置は、
   前記変換ＩＤに対応付けて、前記情報提供装置毎に予め定められた前記ユーザＩＤとパスワードとの組み合わせが予め記憶される変換ＩＤ記憶部と、
   前記認証情報変換装置から送信される前記変換ＩＤに対応付けられた前記ユーザＩＤとパスワードとの組み合わせを読み出して前記情報提供装置に送信し、当該情報提供装置に前記認証処理を行わせる認証代行部と、
   を備え、
   前記認証連携装置は、
   前記認証情報変換装置と接続された回線を識別する回線情報を取得する回線情報取得部を備え、
   前記変換ＩＤ記憶部には、前記変換ＩＤ毎に、当該変換ＩＤを送信してくる前記認証情報変換装置を識別する回線情報が対応付けられて予め記憶され、
   前記認証代行部は、前記変換ＩＤ記憶部に記憶された前記変換ＩＤおよび前記回線情報と、前記認証情報変換装置から送信された前記変換ＩＤおよび、前記回線情報取得部によって取得された、当該変換ＩＤが送信された回線の回線情報とを比較し、当該変換ＩＤと当該回線情報とが一致する場合、前記変換ＩＤに対応付けられた前記ユーザＩＤとパスワードとの組み合わせを読み出して前記情報提供装置に送信する
   ことを特徴とする認証システム。
2. 予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供する複数の情報提供装置にネットワークを介して接続された利用端末に接続され、ログインＩＤに基づいて認証された前記利用端末から、当該ログインＩＤを受信するログインＩＤ受信部と、前記ログインＩＤ受信部が受信した前記ログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成する変換ＩＤ生成部と、前記変換ＩＤ生成部によって生成された前記変換ＩＤを送信する送信部と、を備えた認証情報変換装置と、当該認証情報変換装置および前記情報提供装置に接続され、予め定められた前記利用端末のログインＩＤに基づいて前記複数の情報提供装置に対するシングルサインオンを代行する第三者の認証連携装置とを備えた認証システムにおける前記認証連携装置であって、
   前記変換ＩＤに対応付けて、前記情報提供装置毎に予め定められた前記ユーザＩＤとパスワードとの組み合わせが予め記憶される変換ＩＤ記憶部と、
   前記認証情報変換装置から送信される前記変換ＩＤに対応付けられた前記ユーザＩＤとパスワードとの組み合わせを読み出して前記情報提供装置に送信し、当該情報提供装置に前記認証処理を行わせる認証代行部と、
   を備え、
   前記認証情報変換装置と接続された回線を識別する回線情報を取得する回線情報取得部をさらに備え、
   前記変換ＩＤ記憶部には、前記変換ＩＤ毎に、当該変換ＩＤを送信してくる前記認証情報変換装置を識別する回線情報が対応付けられて予め記憶され、
   前記認証代行部は、前記変換ＩＤ記憶部に記憶された前記変換ＩＤおよび前記回線情報と、前記認証情報変換装置から送信された前記変換ＩＤおよび、前記回線情報取得部によって取得された、当該変換ＩＤが送信された回線の回線情報とを比較し、当該変換ＩＤと当該回線情報とが一致する場合、前記変換ＩＤに対応付けられた前記ユーザＩＤとパスワードとの組み合わせを読み出して前記情報提供装置に送信する
   ことを特徴とする認証連携装置。
3. 予め定められたユーザＩＤとパスワードとの組み合わせに基づく認証処理を行い、認証成功と判定した場合に情報を提供する複数の情報提供装置にネットワークを介して接続された利用端末に接続された認証情報変換装置と、当該認証情報変換装置および前記情報提供装置に接続され、変換ＩＤに対応付けて、前記情報提供装置毎に予め定められた前記ユーザＩＤとパスワードとの組み合わせが予め記憶される変換ＩＤ記憶部を備え、予め定められた前記利用端末のログインＩＤに基づいて前記複数の情報提供装置に対するシングルサインオンを代行する第三者の認証連携装置とを備えた認証システムの認証方法であって、
   前記認証情報変換装置が、
   前記ログインＩＤに基づいて認証された前記利用端末から、当該ログインＩＤを受信するステップと、
   受信した前記ログインＩＤに基づいて不可逆計算を行った計算結果である変換ＩＤを生成するステップと、
   生成した前記変換ＩＤを前記認証連携装置に送信するステップと、
   前記認証連携装置が、
   前記認証情報変換装置から送信される前記変換ＩＤに対応付けられた前記ユーザＩＤとパスワードとの組み合わせを読み出して前記情報提供装置に送信し、当該情報提供装置に前記認証処理を行わせるステップと、
   を備え、
   前記認証連携装置が、前記認証情報変換装置と接続された回線を識別する回線情報を取得する回線情報取得ステップをさらに備え、
   前記変換ＩＤ記憶部には、前記変換ＩＤ毎に、当該変換ＩＤを送信してくる前記認証情報変換装置を識別する回線情報が対応付けられて予め記憶され、
   前記認証連携装置が、前記認証処理を行わせるステップにおいて、前記変換ＩＤ記憶部に記憶された前記変換ＩＤおよび前記回線情報と、前記認証情報変換装置から送信された前記変換ＩＤおよび、前記回線情報取得ステップによって取得された、当該変換ＩＤが送信された回線の回線情報とを比較し、当該変換ＩＤと当該回線情報とが一致する場合、前記変換ＩＤに対応付けられた前記ユーザＩＤとパスワードとの組み合わせを読み出して前記情報提供装置に送信する
   ことを特徴とする認証方法。

Images