JP5658516B2

JP5658516B2 - アクセス権管理システムおよび方法

Info

Publication number: JP5658516B2
Application number: JP2010208997A
Authority: JP
Inventors: 有元　伯治; 伯治有元; 佐内　大司; 大司佐内
Original assignee: Azbil Corp
Current assignee: Azbil Corp
Priority date: 2010-09-17
Filing date: 2010-09-17
Publication date: 2015-01-28
Anticipated expiration: 2030-09-17
Also published as: JP2012064088A

Description

本発明は、クライアント端末装置のサーバ装置へのアクセス権を管理するアクセス権管理システムおよび方法に関するものである。

従来、サーバ・クライアントシステムにおいてクライアントの認証を行なう場合、サーバ側にクライアントの認証を認める条件を設定したファイルを登録し、クライアントからクライアント証明書が送付されてきたとき、条件ファイル中に設定されている条件項目がクライアント証明書に存在するときに認証ＯＫと判定するようにしていた（特許文献１参照）。

また、特許文献２には、携帯電話機が携帯サービスにアクセスするときにユーザＩＤとパスワードとアプリケーションＩＤとをサーバに送信すると、サーバ側ではユーザＩＤに対応して登録されているパスワードとアプリケーションＩＤとを取得し、取得したパスワードとアプリケーションＩＤの組と携帯電話機から送信されたパスワードとアプリケーションＩＤの組とが一致すれば、登録済みのユーザと判定するクライアント認証システムが開示されている。

特開平１１−２７２６１４号公報特開２０１０−７９７９５号公報

特許文献１に開示されたクライアント認証システムでは、証明機関からクライアントに対してクライアント証明書を発行する必要があるため、コストがかかり、不特定ユーザ向けのサービスに適していないという問題点があった。また、正規ユーザであってもサービスを利用できる端末が限定されるという問題点があった。
また、特許文献２に開示されたクライアント認証システムでは、サーバ装置でＩＤやパスワードを登録、管理する必要が生じ、またユーザがパスワードを必ず覚えている必要があるという問題点があった。

本発明は、上記課題を解決するためになされたもので、サーバへのアクセス権を簡易的に管理することができるアクセス権管理システムおよび方法を提供することを目的とする。

本発明のアクセス権管理システムは、クライアント端末装置と、このクライアント端末装置とネットワークを介して接続されたサーバ装置とを有し、前記クライアント端末装置は、このクライアント端末装置にセットアップされているアプリケーションプログラムに固有のキーファイルを作成するキーファイル作成手段と、前記キーファイルと共に前記アプリケーションプログラムのアプリケーションＩＤを前記サーバ装置へ送信するキーファイル送信手段と、前記サーバ装置に対してサービス要求したい場合に、前記サーバ装置にアクセスしたいアプリケーションプログラムのアプリケーションＩＤをキーファイルのダウンロード要求のメッセージに添付して前記サーバ装置へ送信するキーファイルダウンロード要求手段と、前記サーバ装置から送信されたキーファイルと前記キーファイル作成手段が作成したキーファイルとを比較して一致するかどうかを判定するキーファイル比較手段と、前記キーファイルが一致すると判定された場合に、前記サーバ装置が提供するサービスにアクセス可能と判断し、前記サーバ装置に対して所望のサービスを提供するよう要求するサーバアクセス権取得手段とを備え、前記サーバ装置は、前記クライアント端末装置から送信されたキーファイルと、このクライアント端末装置に固有のクライアントＩＤと、前記キーファイルと共に前記クライアント端末装置から送信されたアプリケーションＩＤとを対応付けて記憶するキーファイル記憶手段と、前記クライアント端末装置からキーファイルのダウンロード要求があった場合に、前記キーファイル記憶手段が記憶しているキーファイルの中から要求元のクライアント端末装置のクライアントＩＤおよびアプリケーションＩＤに対応するキーファイルを取得して送信するキーファイルダウンロード手段と、前記クライアント端末装置からサービス要求があった場合、当該クライアント端末装置が要求するサービスを提供するサービス提供手段とを備えることを特徴とするものである。

また、本発明のアクセス権管理方法は、クライアント端末装置がこのクライアント端末装置にセットアップされているアプリケーションプログラムに固有のキーファイルを作成するキーファイル作成ステップと、前記クライアント端末装置が前記キーファイルと共に前記アプリケーションプログラムのアプリケーションＩＤをサーバ装置へ送信するキーファイル送信ステップと、前記サーバ装置が前記クライアント端末装置から送信されたキーファイルと、このクライアント端末装置に固有のクライアントＩＤと、前記キーファイルと共に前記クライアント端末装置から送信されたアプリケーションＩＤとを対応付けて記憶するキーファイル記憶ステップと、前記クライアント端末装置が前記サーバ装置に対してサービス要求したい場合に、前記サーバ装置にアクセスしたいアプリケーションプログラムのアプリケーションＩＤをキーファイルのダウンロード要求のメッセージに添付して前記サーバ装置へ送信するキーファイルダウンロード要求ステップと、前記サーバ装置が前記クライアント端末装置からキーファイルのダウンロード要求があった場合に、記憶しているキーファイルの中から要求元のクライアント端末装置のクライアントＩＤおよびアプリケーションＩＤに対応するキーファイルを取得して送信するキーファイルダウンロードステップと、前記クライアント端末装置が前記サーバ装置から送信されたキーファイルと前記キーファイル作成ステップで作成したキーファイルとを比較して一致するかどうかを判定するキーファイル比較ステップと、前記クライアント端末装置が前記キーファイルが一致すると判定した場合に、前記サーバ装置が提供するサービスにアクセス可能と判断し、前記サーバ装置に対して所望のサービスを提供するよう要求するサーバアクセス権取得ステップと、前記クライアント端末装置からサービス要求があった場合、当該クライアント端末装置が要求するサービスを提供するサービス提供ステップとを含むことを特徴とするものである。

本発明によれば、クライアント端末装置に固有のキーファイルのコピーをサーバ装置に記憶させることで、サーバ装置のサービスへのアクセス権をクライアント端末装置毎に設定することができる。本発明では、クライアント証明書が不要で、サーバ装置でＩＤやパスワードを登録・管理する必要がなく、ユーザがパスワードを覚える必要もないので、サーバ装置へのアクセス権を簡易的に管理することができる。また、本発明では、アプリケーションプログラムに固有のキーファイルのコピーをサーバ装置に記憶させるようにすれば、アプリケーションプログラムごとにサーバ装置へのアクセス権を管理することができる。これにより、本発明では、例えばアプリケーションプログラムの機能を制限することが可能となる。

本発明の実施の形態に係るアクセス権管理システムの構成を示すブロック図である。本発明の実施の形態に係るアクセス権管理システムのクライアントコンピュータとサーバ装置の構成を示すブロック図である。本発明の実施の形態におけるクライアントコンピュータのキーファイルのサーバ装置への登録処理を説明するフローチャートである。本発明の実施の形態におけるクライアントコンピュータのサーバ装置へのサービス要求処理を説明するフローチャートである。本発明の実施の形態におけるサーバ装置の処理を説明するフローチャートである。本発明の実施の形態においてサーバ装置に記憶されるキーファイルの１例を示す図である。本発明の実施の形態に係るアクセス権管理システムの効果を説明する図である。

以下、本発明の実施の形態について図面を参照して説明する。図１は本発明の実施の形態に係るアクセス権管理システムの構成を示すブロック図である。アクセス権管理システムは、クライアント端末装置であるクライアントコンピュータ１と、サーバ装置２と、クライアントコンピュータ１とサーバ装置２とを接続するネットワーク３とから構成される。クライアントコンピュータ１は、ネットワーク３を介して、サーバ装置２から例えば、会社業績情報の閲覧、会議室の予約、残業の申請、交通費の精算などのサービスの提供を受けることができる。

図２にクライアントコンピュータ１とサーバ装置２の構成を示す。クライアントコンピュータ１は、クライアントコンピュータ固有の情報を取得する固有情報取得部１０と、固有情報取得部１０が取得した固有情報をハッシュ化してキーファイルを生成するキーファイル作成部１１と、サーバ装置２に対してサービス要求したい場合にキーファイルのダウンロードを要求するキーファイルダウンロード要求部１２と、サーバ装置２との通信を制御する通信制御部１３と、サーバ装置２から送信されたキーファイルとキーファイル作成部１１が作成したキーファイルとを比較して一致するかどうかを判定するキーファイル比較部１４と、キーファイルが一致すると判定された場合にサーバ装置２が提供するサービスへのアクセス権を取得するサーバアクセス権取得部１５と、キーファイルをサーバ装置２へ送信するキーファイル送信部１６とを備えている。

サーバ装置２は、クライアントコンピュータ１との通信を制御する通信制御部２０と、クライアントコンピュータ１から送信されたキーファイルを受信するキーファイル受信部２１と、クライアントコンピュータ１から送信されたキーファイルを記憶するキーファイル記憶部２２と、クライアントコンピュータ１からキーファイルのダウンロード要求があった場合に、キーファイル記憶部２２が記憶しているキーファイルの中から要求元のクライアントコンピュータ１に対応するキーファイルを取得して送信するキーファイルダウンロード部２３と、クライアントコンピュータ１に対してネットワーク３を介してサービスを提供するサービス提供部２４とを備えている。

図３はクライアントコンピュータ１のキーファイルのサーバ装置２への登録処理を説明するフローチャートである。
クライアントコンピュータ１の固有情報取得部１０は、クライアントコンピュータ固有の情報を取得する（図３ステップＳ１０）。ここで、固有情報とは、クライアントコンピュータ１のハードウェアに付与されている製造番号などであり、ユニークで他と識別できる情報をいう。

クライアントコンピュータ１のキーファイル作成部１１は、固有情報取得部１０が取得した固有情報を所定のハッシュ関数によってハッシュ化し、生成したハッシュ値に一意なキーファイル名を付けてキーファイルを生成する（ステップＳ１１）。
そして、キーファイル送信部１６は、サーバ装置２との接続時に（ステップＳ１２においてＹＥＳ）、ステップＳ１１で作成したキーファイルを通信制御部１３を介してサーバ装置２へ送信する（ステップＳ１３）。

図４はクライアントコンピュータ１のサーバ装置２へのサービス要求処理を説明するフローチャートである。
クライアントコンピュータ１のキーファイルダウンロード要求部１２は、サーバ装置２に対してサービス要求を行う場合、通信制御部１３を介してサーバ装置２と接続し、自装置のキーファイルのダウンロードを要求する（図４ステップＳ２０）。

キーファイル比較部１４は、通信制御部１３がサーバ装置２から送信されたキーファイルを受信した場合（ステップＳ２１においてＹＥＳ）、このキーファイルとキーファイル作成部１１がステップＳ１１で作成したキーファイルとを比較して一致しているかどうかを判定する（ステップＳ２２）。

クライアントコンピュータ１のサーバアクセス権取得部１５は、キーファイル比較部１４による判定の結果、キーファイルが一致すると判定された場合（ステップＳ２２においてＹＥＳ）、サーバ装置２が提供するサービスにアクセス可能と判断し（ステップＳ２３）、サーバ装置２に対して所望のサービスを提供するよう要求する（ステップＳ２４）。また、サーバアクセス権取得部１５は、キーファイルが一致しないと判定された場合、サーバ装置２へのアクセスを不可とする（ステップＳ２５）。この場合、クライアントコンピュータ１は、サーバ装置２からサービス提供を受けることはできない。

次に、図５はサーバ装置２の処理を説明するフローチャートである。サーバ装置２のキーファイル受信部２１は、クライアントコンピュータ１からの接続要求があると（ステップＳ３０においてＹＥＳ）、接続を許可する。そして、キーファイル受信部２１は、通信制御部２０がクライアントコンピュータ１から送信されたキーファイルを受信すると（ステップＳ３１においてＹＥＳ）、このキーファイルをキーファイル記憶部２２に渡す。キーファイル記憶部２２は、クライアントコンピュータ１に固有のクライアントＩＤと受信したキーファイルとを対応付けて記憶する（ステップＳ３２）。

次に、サーバ装置２のキーファイルダウンロード部２３は、クライアントコンピュータ１からキーファイルダウンロード要求があった場合（ステップＳ３３においてＹＥＳ）、キーファイル記憶部２２に要求元のクライアントコンピュータ１のクライアントＩＤに対応するキーファイルが存在するかどうかを確認し、キーファイルが存在する場合には、該当するキーファイルをキーファイル記憶部２２から取得して、このキーファイルを通信制御部２０を介して要求元のクライアントコンピュータ１へ送信する（ステップＳ３４）。

サーバ装置２のサービス提供部２４は、クライアントコンピュータ１からサービス要求があった場合（ステップＳ３５においてＹＥＳ）、このクライアントコンピュータ１が要求するサービスを提供する（ステップＳ３６）。

図６はサーバ装置２のキーファイル記憶部２２に記憶されるキーファイルの１例を示す図である。キーファイルは、キーファイル名と、ハッシュ演算によって生成されたキーファイル本文とからなる。前述のとおり、キーファイルはクライアントＩＤと対応付けてキーファイル記憶部２２に記憶される。図６の例では、クライアントＩＤとしてＩＰアドレスを用いている。

なお、クライアントＩＤとしてＩＰアドレス以外の識別情報を用いてもよい。クライアントＩＤとしてＩＰアドレス以外の識別情報を用いる場合、クライアントコンピュータ１は、ステップＳ１３においてキーファイルをサーバ装置２に送信する際に、キーファイルと共に自装置に固有のクライアントＩＤをサーバ装置２に送信し、またステップＳ２０においてキーファイルダウンロード要求のメッセージにクライアントＩＤを添付してサーバ装置２に送信すればよい。

以上のように、本実施の形態では、クライアントコンピュータ１に固有のキーファイルのコピーをサーバ装置２に記憶させることで、サーバ装置２のサービスへのアクセス権をクライアントコンピュータ毎に設定することができる。本実施の形態では、クライアント証明書が不要で、サーバ装置２でＩＤやパスワードを登録、管理する必要がなく、ユーザがパスワードを覚える必要もないので、サーバ装置２へのアクセス権を簡易的に管理することができる。

図７は本実施の形態の効果を説明する図である。図７の例では、クライアントコンピュータ１−Ａのキーファイルのコピーがサーバ装置２−Ａに記憶され、クライアントコンピュータ１−Ｂのキーファイルのコピーがサーバ装置２−Ｂに記憶されているものとする。この場合、クライアントコンピュータ１−Ａは、サーバ装置２−Ａが提供するサービスへのアクセスおよびサービスの利用が可能になるが、サーバ装置２−Ｂが提供するサービスへアクセスすることはできない。一方、クライアントコンピュータ１−Ｂは、サーバ装置２−Ｂが提供するサービスへのアクセスおよびサービスの利用が可能になるが、サーバ装置２−Ａが提供するサービスへアクセスすることはできない。

また、特許文献１、特許文献２に開示されたクライアント認証システムでは、アプリケーションプログラムごとにサーバ装置へのアクセス権を管理することができない。特許文献１、特許文献２に開示されたクライアント認証システムでは、例えば機能テストを実施したいとか、アプリケーションの機能を制限したいとかいったことが困難であった。

これに対して、本実施の形態では、クライアントコンピュータ１にセットアップされているアプリケーションプログラムごとにサーバ装置へのアクセス権を管理することができる。アプリケーションプログラムごとにサーバ装置へのアクセス権を管理するには、ステップＳ１１で用いるハッシュ関数または固有情報をアプリケーション毎に変えてキーファイルを生成し、ステップＳ１３においてキーファイルをサーバ装置２に送信する際に、キーファイルと共にアプリケーションＩＤをサーバ装置２に送信すればよい。サーバ装置２のキーファイル記憶部２２は、クライアントＩＤとアプリケーションＩＤとキーファイルとを対応付けて記憶することになる（ステップＳ３２）。

また、クライアントコンピュータ１のキーファイルダウンロード要求部１２は、サーバ装置２にアクセスしたいアプリケーションプログラムのアプリケーションＩＤをキーファイルダウンロード要求のメッセージに添付してサーバ装置２に送信すればよい（ステップＳ２０）。サーバ装置２のキーファイルダウンロード部２３は、ダウンロード要求をしたクライアントコンピュータ１のクライアントＩＤおよびアプリケーションＩＤに対応するキーファイルをキーファイル記憶部２２から取得して、取得したキーファイルを要求元のクライアントコンピュータ１へ送信することになる（ステップＳ３４）。
こうして、本実施の形態では、アプリケーションプログラムごとにサーバ装置へのアクセス権を管理することができる。

なお、本実施の形態で説明したクライアントコンピュータとサーバ装置の各々は、それぞれＣＰＵ、記憶装置及びインタフェースを備えたコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。各々の装置のＣＰＵは、記憶装置に格納されたプログラムに従って本実施の形態で説明した処理を実行する。

本発明は、クライアント端末装置のサーバ装置へのアクセス権を管理する技術に適用することができる。

１…クライアントコンピュータ、２…サーバ装置、３…ネットワーク、１０…固有情報取得部、１１…キーファイル作成部、１２…キーファイルダウンロード要求部、１３，２０…通信制御部、１４…キーファイル比較部、１５…サーバアクセス権取得部、１６…キーファイル送信部、２１…キーファイル受信部、２２…キーファイル記憶部、２３…キーファイルダウンロード部、２４…サービス提供部。

Claims

クライアント端末装置と、
このクライアント端末装置とネットワークを介して接続されたサーバ装置とを有し、
前記クライアント端末装置は、
このクライアント端末装置にセットアップされているアプリケーションプログラムに固有のキーファイルを作成するキーファイル作成手段と、
前記キーファイルと共に前記アプリケーションプログラムのアプリケーションＩＤを前記サーバ装置へ送信するキーファイル送信手段と、
前記サーバ装置に対してサービス要求したい場合に、前記サーバ装置にアクセスしたいアプリケーションプログラムのアプリケーションＩＤをキーファイルのダウンロード要求のメッセージに添付して前記サーバ装置へ送信するキーファイルダウンロード要求手段と、
前記サーバ装置から送信されたキーファイルと前記キーファイル作成手段が作成したキーファイルとを比較して一致するかどうかを判定するキーファイル比較手段と、
前記キーファイルが一致すると判定された場合に、前記サーバ装置が提供するサービスにアクセス可能と判断し、前記サーバ装置に対して所望のサービスを提供するよう要求するサーバアクセス権取得手段とを備え、
前記サーバ装置は、
前記クライアント端末装置から送信されたキーファイルと、このクライアント端末装置に固有のクライアントＩＤと、前記キーファイルと共に前記クライアント端末装置から送信されたアプリケーションＩＤとを対応付けて記憶するキーファイル記憶手段と、
前記クライアント端末装置からキーファイルのダウンロード要求があった場合に、前記キーファイル記憶手段が記憶しているキーファイルの中から要求元のクライアント端末装置のクライアントＩＤおよびアプリケーションＩＤに対応するキーファイルを取得して送信するキーファイルダウンロード手段と、
前記クライアント端末装置からサービス要求があった場合、当該クライアント端末装置が要求するサービスを提供するサービス提供手段とを備えることを特徴とするアクセス権管理システム。
クライアント端末装置がこのクライアント端末装置にセットアップされているアプリケーションプログラムに固有のキーファイルを作成するキーファイル作成ステップと、
前記クライアント端末装置が前記キーファイルと共に前記アプリケーションプログラムのアプリケーションＩＤをサーバ装置へ送信するキーファイル送信ステップと、
前記サーバ装置が前記クライアント端末装置から送信されたキーファイルと、このクライアント端末装置に固有のクライアントＩＤと、前記キーファイルと共に前記クライアント端末装置から送信されたアプリケーションＩＤとを対応付けて記憶するキーファイル記憶ステップと、
前記クライアント端末装置が前記サーバ装置に対してサービス要求したい場合に、前記サーバ装置にアクセスしたいアプリケーションプログラムのアプリケーションＩＤをキーファイルのダウンロード要求のメッセージに添付して前記サーバ装置へ送信するキーファイルダウンロード要求ステップと、
前記サーバ装置が前記クライアント端末装置からキーファイルのダウンロード要求があった場合に、記憶しているキーファイルの中から要求元のクライアント端末装置のクライアントＩＤおよびアプリケーションＩＤに対応するキーファイルを取得して送信するキーファイルダウンロードステップと、
前記クライアント端末装置が前記サーバ装置から送信されたキーファイルと前記キーファイル作成ステップで作成したキーファイルとを比較して一致するかどうかを判定するキーファイル比較ステップと、
前記クライアント端末装置が前記キーファイルが一致すると判定した場合に、前記サーバ装置が提供するサービスにアクセス可能と判断し、前記サーバ装置に対して所望のサービスを提供するよう要求するサーバアクセス権取得ステップと、
前記クライアント端末装置からサービス要求があった場合、当該クライアント端末装置が要求するサービスを提供するサービス提供ステップとを含むことを特徴とするアクセス権管理方法。