JP5734087B2

JP5734087B2 - 情報処理システム、その情報処理システムを制御する制御方法、およびそのプログラム。

Info

Publication number: JP5734087B2
Application number: JP2011111586A
Authority: JP
Inventors: 存田村
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2011-05-18
Filing date: 2011-05-18
Publication date: 2015-06-10
Anticipated expiration: 2031-05-18
Also published as: US9077708B2; JP2012243027A; US20120297472A1

Description

本発明は、シングルサインオンに対応した情報処理システム、その情報処理システムを制御する制御方法、およびそのプログラムに関する。

従来複数のサービス間で認証を連携させる技術として、ＳｅｃｕｒｉｔｙＡｓｓｅｒｔｉｏｎＭａｒｋｕｐＬａｎｇｕａｇｅ（以下ＳＡＭＬ）によるシングルサインオン（以下ＳＳＯ）の仕組みがある。
ＳＡＭＬのＳＳＯではユーザーは、認証サービスを提供する側（ＩｄｅｎｔｉｔｙＰｒｏｖｉｄｅｒ、以下ＩｄＰ）にも、認証サービスの認証結果を信頼してサービスを提供する側（ＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ、以下ＳＰ）にもＩＤを持っている。たとえば、ユーザーがまずＩｄＰにアクセスした場合、ユーザーはＩｄＰで認証を受ける必要がある。ここでユーザーは、自身のＩｄＰ用のＩＤおよびパスワードを使ってＩｄＰで認証を受けられる。
ＩｄＰは、認証したユーザーに対し、認証したことの証明であるＳＡＭＬアサーションを発行できる。このＳＡＭＬアサーションを用いると、ＳＰはＩｄＰの認証結果を信頼して、そのアクセスを認証する。このときＩｄＰで認証を受けたユーザーは、ＳＰにアクセスする際に、自身のＳＰ用のＩＤやパスワードを用いず、前記ＳＡＭＬアサーションを用いてＳＰで認証を受けることができる。以上のようにＳＳＯが実現される。なおユーザーがＳＰにＳＳＯでアクセスする際は、前述のように自身のＳＰ用のＩＤをＳＰに渡していない。そのため、ＩｄＰで認証を受けたＩｄＰ用のＩＤと、ＳＰにアクセスする際のＳＰ用のＩＤとの対応関係を解決する必要がある。
ここでＩｄＰ用のＩＤとＳＰ用のＩＤの対応関係をシングルサインオンマッピング（以下、ＳＳＯマッピング）と呼ぶ。ＳＳＯを実現するためには、ＩＤの対応関係を解決するために、適切なＳＳＯマッピングを設定しておく必要がある。
そこで従来、ＳＰのＩＤをあらかじめ作成してユーザーに割り当てないまま保管しておき、ＩｄＰにＩＤとパスワードを渡して認証に成功すると、前述のＳＰのアカウントを新規にユーザーに割り当てるＳＳＯマッピングサーバー（特許文献１）があった。この方式では、ＩｄＰでユーザーの正当性が確認できた場合にＳＳＯマッピングを実現している。

特開２００４−２３４３２９

しかしながら従来の方法には以下の問題があった。すなわち、ユーザーは既にＳＰ用のＩＤを持っていたとしても、ＳＳＯする際にはＩｄＰのＩＤに対応してＳＳＯマッピングサーバーに自動的に割り当てられたＳＰ用のＩＤを使うことを余儀なくされる。
また、その他の課題は、複数のユーザー企業がサービスを利用するケースを考えたときに起こりえる。サービス上で管理される各企業の情報は互いに独立して分離されている必要がある。このような分離の単位を、以下でテナントと呼ぶ。ここで各企業に対応したテナントの管理者が、テナントに所属する個別のユーザーの代理でＳＳＯマッピングを設定することが考えられる。その場合、各ユーザーのＩＤおよびパスワードをすべて知らないと代理でのＳＳＯマッピング設定を行えない。これは特に、各企業内で管理されるＩＤ数が多く、多数のＩＤに関するＳＳＯマッピング設定を一括で行う際に問題となる。
また、その他の課題として、ＳＳＯマッピングを設定する際に、異なる企業のテナントに含まれるＩＤ同士で誤ってＳＳＯマッピングを設定できてしまう問題がある。この場合、特定のサービスで所定のテナントのＩＤとしての認証を受けたユーザーが、ＳＳＯで他のサービスにアクセスした際に、異なるテナントのＩＤとして認証されてしまい、異なる企業の情報にアクセスできてしまう問題がある。そのユーザーが他のサービスにアクセスした際に、他のテナントにアクセスできる状態はセキュリティ上好ましくない。
本願発明の目的は、上述した課題の内、少なくとも１つを解決することを目的とする。その目的を達成するための１実施形態としてのシステムは、認証されたユーザーが属するテナント内のユーザーの情報を取得することで、適切なＳＳＯマッピングを行う。

本発明の一実施形態に係る画像形成装置は、第１の情報処理システムと通信可能な第２の情報処理システムであって、クライアントを操作するユーザーの前記第１の情報処理システムにおける認証情報、および前記ユーザーの前記第２の情報処理システムにおける認証情報と、をクライアントから受信する受信手段と、受信された前記第１の情報処理システムにおける認証情報を基に、該認証情報に関連付けられた固有情報と同一の固有情報が関連付けられた前記第１の情報処理システムにおける他の認証情報を前記第１の情報処理システムから取得し、受信された前記第２の情報処理システムにおける認証情報を基に、該認証情報に関連付けられた固有情報と同一の固有情報が関連付けられた前記第２の情報処理システムにおける他の認証情報を前記第２の情報処理システムから取得する取得手段と、第１の認証情報と、第２の認証情報とを対応させた対応付け情報を前記ユーザーからクライアントを介して受け付ける受付手段と、取得された前記第１の情報処理システムにおける他の認証情報、および受け付けられた記第１の認証情報が同一であり、かつ取得された前記第２の情報処理システムにおける他の認証情報、および受け付けられた前記第２の認証情報が同一の場合、前記対応付け情報をシングルサインオンの設定情報として設定する設定手段と、を有し、前記第１の情報処理システムにおいて認証されたユーザーがクライアントを介して前記第２の情報処理システムにアクセスしてきた場合、設定されたシングルサインオンの設定情報を基に、該ユーザーの認証を行うことなくアクセスを許可することを特徴とする。

本発明によれば、ＳＳＯマッピングを設定する際、異なる企業のテナントに含まれるＩＤ同士で誤ってＳＳＯマッピングを設定することを未然に防ぐことが可能になる。

ネットワーク構成を示す図である。本発明の実施の形態に係るＰＣの構成図である。ＳＳＯマッピング設定を利用した一般的なＳＳＯのログインフローである。本発明の実施の形態に係るモジュール構成図である。本発明の実施の形態に係るテナント別ユーザーリストデータ例である。本発明の実施の形態に係る第１および第２のＩＤリストとＳＳＯマッピング設定情報の例である。本発明の実施の形態に係るＳＳＯマッピングの設定フローである。本発明の実施の形態に係るＳＳＯマッピングの設定状況を示した図である。本発明の第２の実施の形態に係るモジュール構成図である。本発明の第２の実施の形態に係るＳＳＯマッピングの設定フローである。本発明の第３の実施の形態に係るモジュール構成図である。本発明の第３の実施の形態に係るＳＳＯマッピングの設定フローである。本発明の第４の実施の形態に係るモジュール構成図である。本発明の第４の実施の形態に係るＳＳＯマッピングの設定フローである。本発明の実施の形態に係るＳＳＯマッピング設定用の画面例である。

本発明の目的は、認証を連携させたいサービス間において、適切なＩＤ同士でＳＳＯマッピング設定を行うことである。

以下、本発明を実施するための最良の形態について図面を用いて説明する。
本実施の形態に係る権限委譲システムは、図１に示すような構成のネットワーク上に実現される。

１００は、ＷｉｄｅＡｒｅａＮｅｔｗｏｒｋ（ＷＡＮ１００）であり、本発明ではＷｏｒｌｄＷｉｄｅＷｅｂ（ＷＷＷ）システムが構築されている。１０１は各構成要素を接続するＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ（ＬＡＮ１０１）である。これにより、各装置、各システムは通信可能になる。

２００はユーザーが操作するクライアントＰＣであり、３００および４００はユーザーを認証するとサービスを提供するサービスＡおよびサービスＢである。

またクライアントＰＣ２００、サービスＡ３００、サービスＢ４００はそれぞれＷＡＮネットワーク１００およびＬＡＮ１０１を介して接続されている。なおクライアントＰＣ２００およびそれぞれのサービスはそれぞれ個別のＬＡＮ上に構成されていてもよいし同一のＬＡＮ上に構成されていてもよい。また同一のＰＣ上に構成されていてもよい。サービスＡ３００、サービスＢ４００は、夫々、サーバーＡ３００、サーバーＢ４００と同義であり、夫々のサーバー上で提供されるサービスは、後述のサーバーコンピューターにより提供される。提供されるサービスとは、例えば、データベースに蓄積されたユーザー情報の提供サービス、または印刷サービス等が考えられる。サービスＡ３００は第２の情報処理システム、サービスＢ４００は第１の情報処理システムに相当する。なお、サービスＡ３００、およびサービスＢ４００は、夫々１台ずつであっても、複数台から構成されるサーバー群であっても良い。

サービスＡ３００はまずユーザーのログインを受け付ける。次にサービスＡ３００はユーザーからのＳＳＯマッピング設定要求を受け付けると、ＳＳＯマッピング設定要求に含まれるサービスＢの認証情報を用いてサービスＢ４００にアクセスする。サービスＢ４００は前記認証情報が正しければ、前記認証情報で特定されるユーザーの権限で取得可能な第２のＩＤリスト４６０をサービスＡ３００に返す。実施例１では、サービスＡ３００、およびサービスＢ４００において管理者権限を有する所定テナントのユーザーがサービスＡ３００にアクセスし、サービスＢ４００からＩＤのリストを取得する。サービスＡ３００が第２のＩＤリスト４６０を取得する際、サービスＡ３００はサービスＢ４００が公開しているＡＰＩ（ＡｐｐｌｉｃａｔｉｏｎＰｒｏｇｒａｍｍｉｎｇＩｎｔｅｒｆａｃｅ）を用いて、第２のＩＤリスト４６０を取得する。サービスＡ３００はさらに、ログインしているユーザーの権限で取得可能な第１のＩＤリスト３６０を取得する。そしてサービスＡ３００は第１のＩＤリスト３６０、第２のＩＤリスト４６０およびＳＳＯマッピング設定要求に含まれるＳＳＯマッピング設定情報５００を用いてＳＳＯマッピング設定を行う。なお、クライアントから受信した認証情報には少なくともユーザーのＩＤが含まれており、この認証情報を基に他のサービスからＩＤリストを取得する。ＩＤリストにもユーザーのＩＤが含まれることから、クライアントから受信した認証情報を基に、他のサービスから複数の認証情報を取得する構成と言える。実施例１における受信した認証情報にはユーザーＩＤ、パスワードが含まれており、他のサービスから取得した認証情報にはユーザーＩＤのみ含まれている。しかしながら、受信する認証情報、および取得する認証情報の形態に制限はない。

図２は本実施の形態に係るクライアントＰＣ２００の構成を示す図である。またサービスＡ３００、サービスＢ４００を提供するサーバーコンピューターの構成も同様である。尚、図２に示されるハードウェアブロック図は一般的な情報処理装置のハードウェアブロック図に相当するものとし、本実施形態のクライアントＰＣ２００およびサーバーコンピューターには一般的な情報処理装置のハードウェア構成を適用できる。

図２において、ＣＰＵ２０１は、ＲＯＭ２０３のプログラム用ＲＯＭに記憶された、或いはハードディスク２１１からＲＡＭ２０２にロードされたＯＳやアプリケーション等のプログラムを実行する。ここでＯＳとはコンピュータ上で稼動するオペレーティングシステムの略語であり、以下オペレーティングシステムのことをＯＳと呼ぶ。後述する各フローチャートの処理はこのプログラムの実行により実現できる。ＲＡＭ２０２は、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。キーボードコントローラ（ＫＢＣ）２０５は、キーボード（ＫＢ）２０９や不図示のポインティングデバイスからのキー入力を制御する。ＣＲＴコントローラ（ＣＲＴＣ）２０６は、ＣＲＴディスプレイ２１０の表示を制御する。ディスクコントローラ（ＤＫＣ）２０７は各種データを記憶するハードディスク（ＨＤ）２１１やフロッピー（登録商標）ディスク（ＦＤ）等におけるデータアクセスを制御する。ＮＣ２１２はネットワークに接続されて、ネットワークに接続された他の機器との通信制御処理を実行する。

尚、後述の全ての説明においては、特に断りのない限り実行のハード上の主体はＣＰＵ２０１であり、ソフトウェア上の主体はハードディスク（ＨＤ）２１１にインストールされたアプリケーションプログラムである。

図３はＳＳＯマッピング設定を利用した一般的なＳＳＯのログインフローである。以下に、サービスＢ４００がＩｄＰとして、サービスＡ３００がＳＰとして動作する例を示す。なおサービスＡ３００がＩｄＰ、サービスＢ４００がＳＰであってもよい。サービスＢ４００がＩｄＰの場合、ユーザーはサービスＢ４００で認証を受ければ、サービスＡ３００において認証を行うことなくアクセスが許可されるので、サービスＡ３００に対し認証情報を送信することなくサービスの提供を受けることが可能となる。

以下の例では、ユーザーがまずサービスＢ４００で認証を受け、その後、ＳＳＯによってサービスＡ３００のサービスを受ける場合のフローを説明する。なおユーザーがサービスＡ３００にアクセスしたあとサービスＢ４００にリダイレクトされ、サービスＢ４００で認証を受けたあとでサービスＡ３００のサービスを受けるフローであってもよい。

図３（Ａ）は一般的なＳＳＯのログインフローの、ＩｄＰ側でのフローである。なおここではサービスＢ４００がＩｄＰとしている。ステップＳ１でサービスＢ４００は、サービスＡ３００のサービスを受けることを望むユーザーからの認証要求を受け付ける。ここでサービスＢ４００はユーザーからサービスＢで認証を受けるためのサービスＢのＩＤとパスワードを受信する。

ステップＳ２でサービスＢ４００は、ステップＳ１でユーザーから受け付けたサービスＢのＩＤとパスワードの組み合わせが正しいか確認する。組み合わせが正しければステップＳ３に遷移する。また組み合わせが正しくなければフローを終了する。ステップＳ３でサービスＢ４００は、ユーザーを認証し、ユーザーからのアクセスをサービスＡ３００にリダイレクトさせる。またその際、リダイレクトさせた際に渡したアクセス情報には、サービスＢ４００が認証したユーザーのＩＤを含める。サービスＢ４００によるリダイレクトが済むとフローを終了する。アクセス情報とは、認証トークンに相当する。

図３（Ｂ）は一般的なＳＳＯのログインフローの、ＳＰ側でのフローである。なおここではサービスＡ３００がＩｄＰとしている。

ステップＳ４でサービスＡ３００は、サービスＢ４００からリダイレクトされたユーザーのアクセスを受け付ける。ステップＳ５でサービスＡ３００は、ステップＳ４で受け付けたアクセス情報から、サービスＢで認証を受けたユーザーのＩＤを取り出す。ステップＳ６でサービスＡ３００は、ステップＳ５で取り出したユーザーのＩＤに関するＳＳＯマッピング設定を取り出す。ステップＳ７でサービスＡ３００は、ステップＳ６でＳＳＯマッピング設定が見つかったか判断する。見つかっていればステップＳ８に遷移し、見つかっていなければフローを終了する。ステップＳ８でサービスＡ３００は、ステップＳ６で見つかったＳＳＯマッピング設定で示されるサービスＡのＩＤとしてユーザーを認証する。そしてステップＳ４で受け付けたアクセスを許可し、サービスを提供し、フローを終了する。

前述のように、ユーザーＳＳＯマッピングが設定されているとユーザーは、サービスＢ４００にサービスＢ４００のＩＤとパスワードを渡すことで、サービスＡ３００が提供するサービスを受けることができる。

図４は本発明の実施の形態に係るモジュール構成図である。なおここではサービスＡ３００がＳＳＯマッピングサービスであり、サービスＢ４００がＳＳＯマッピング対象サービスであるとしているが、サービスの対応関係は前述の関係に限定されるものではない。なお、上述の通り、図４に記載の各モジュールはＨＤＤに保存されており、メモリにロードされてＣＰＵにより実行されることで実現する。

図４（Ａ）は本発明の実施の形態に係るＳＳＯマッピングサービス３００のモジュール構成図である。ＳＳＯマッピングサービス３００は第１の認証モジュール３０１、ＳＳＯ設定情報受付モジュール３０２、第１のＩＤリスト取得モジュール３０３、第２のＩＤリスト取得モジュール３０４、ＳＳＯマッピング設定モジュール３０５から構成される。ＳＳＯマッピング設定モジュール３０５は、第１のＩＤリスト３６０、およびＳＳＯマッピング設定情報５００に含まれる第１の認証情報を比較し、かつ第２のＩＤリスト４６０、およびＳＳＯマッピング設定情報５００に含まれる第２の認証情報を比較して、ＳＳＯマッピング設定を行う。ＳＳＯマッピング設定情報の詳細については後述する。なお、ＳＳＯマッピング設定情報は、シングルサインオンマッピングテーブルに相当する。

図４（Ｂ）は本発明の実施の形態に係るＳＳＯマッピング対象サービス４００のモジュール構成図である。ＳＳＯマッピング対象サービス４００は第２の認証モジュール４０１、第２のＩＤリスト生成モジュール４０２から構成される。第２のＩＤリスト生成モジュール４０２は、ＩＤリストの生成要求に対応して第２のＩＤリスト４６０を返すＡＰＩを持つ。第２のＩＤリスト生成モジュール４０２はＳＳＯマッピングサービス３００からＩＤリストの生成要求を受け付けると、第２の認証モジュール４０１で認証されたユーザーの権限で取得可能なＩＤのリストとして第２のＩＤリスト４６０を生成して返す。

図５は本発明の実施の形態に係るテナント別ユーザーリストデータ例である。図５（Ａ）の３５０はＳＳＯマッピングサービスが管理するテナント別ユーザーリストデータを示している。図５（Ｂ）の４５０はＳＳＯマッピング対象サービスが管理するテナント別ユーザーリストデータを示している。ここではＳＳＯマッピングサービス３００にＴＡＸおよびＴＡＹの２つのテナントがあり、テナントＴＡＸにはユーザーＡＸ００１、ＡＸ００２、ＡＸ００３が、テナントＴＡＹにはユーザーＡＹ０９９が所属している場合のデータ例を示している。またＳＳＯマッピング対象サービス４００にＴＢＸおよびＴＢＹの２つのテナントがあり、テナントＴＢＸにはユーザーＢＸ００１、ＢＸ００２、ＢＸ００３が、テナントＴＢＹにはユーザーＢＹ０９９が所属している場合のデータ例を示している。実施例１では、所定テナントにおける管理者であるユーザーが、自身が所属するテナント内の一般ユーザーのシングルサインオン設定を一括で行うことを想定している。このように、各認証情報、即ちユーザーＩＤには固有情報が関連付けられている。固有情報とは、テナント情報である。管理者権限を有するユーザーは、その権限の範囲で、同一の固有情報が関連付けられた他の認証情報を取得できる。

図６は本発明の実施の形態に係る第１の認証情報（ＩＤリスト）、および第２の認証情報（ＩＤリスト）、およびＳＳＯマッピング設定情報を示す図である。第１のＩＤリスト３６０は、第１のＩＤリスト取得モジュール３０３がテナントＴＡＸに所属するユーザーＡＸ００１の権限で取得したユーザーＩＤリストである。また第２のＩＤリスト４６０は、第２のＩＤリスト取得モジュール３０４がテナントＴＢＸに所属するユーザーＢＸ００１の権限で取得したユーザーＩＤリストである。またＳＳＯマッピング設定情報５００は、ＡＸ００１とＢＸ００１、ＡＸ００２とＢＸ００２の夫々をシングルサインオン設定するためのＳＳＯマッピング設定情報である。

図７は本発明の実施の形態に係るＳＳＯマッピングの設定フローである。図７（Ａ）および図７（Ｂ）はＳＳＯマッピングサービス３００におけるフローを、図７（Ｃ）はＳＳＯマッピング対象サービス４００におけるフローを、それぞれ示している。

図７（Ａ）は本発明の実施の形態に係る、ＳＳＯマッピングサービス３００におけるＳＳＯマッピングの設定フローである。本フローは、ＳＳＯマッピングサービス３００が、ＳＳＯマッピングを設定したいユーザーにアクセスされることによって始まる。

ステップＳ１００１で第１の認証モジュール３０１は、ＳＳＯマッピングサービス３００にアクセスしたユーザーから、ＳＳＯマッピングサービス３００で認証を受けるための第１のＩＤと第１のパスワードを受け付ける。ステップＳ１００２で第１の認証モジュール３０１は、ステップＳ１００１で受け付けた第１のＩＤと第１のパスワードの組み合わせが正しいか判断する。組み合わせが正しければステップＳ１００３に遷移する。また組み合わせが正しくなければユーザーのアクセスを拒否してフローを終了する。

ステップＳ１００３で第１の認証モジュール３０１は、ユーザーから受け付けた第１のＩＤとしてＳＳＯマッピングサービス３００へのログインを許可する。なおここでは、ユーザーのＩＤがＡＸ００１であった場合を考える。ステップＳ１００４でＳＳＯ設定情報受付モジュール３０２は、ユーザーから第２のＩＤおよび第２のパスワードを受け付ける。なお第２のＩＤおよび第２のパスワードをユーザーに入力させる画面は、例えば図１５（Ａ）に示すような画面である。

ステップＳ１００５でＳＳＯ設定情報受付モジュール３０２は、ユーザーからＳＳＯマッピング設定情報５００を受け付ける。なおＳＳＯマッピング設定情報５００をユーザーに入力させる画面は、例えば図１５（Ａ）に示すような画面である。ここではＳＳＯマッピング設定情報５００として、ＡＸ００１とＢＸ００１、ＡＸ００２とＢＸ００２のそれぞれの組み合わせにＳＳＯマッピング設定させる情報が記述されていた場合を考える。

ステップＳ１００６で第２のＩＤリスト取得モジュール３０４は、ステップＳ１００４でユーザーから受け付けた第２のＩＤおよび第２のパスワードを用いて、ＳＳＯマッピング対象サービス４００が公開する第２のＩＤリスト生成のＡＰＩに対しＩＤリストの生成要求を行う。その応答として第２のＩＤリスト取得モジュール３０４は、ＳＳＯマッピング対象サービス４００から第２のＩＤリスト４６０を受信する。なおここで取得される第２のＩＤリスト４６０は、第２のＩＤで示されるユーザーの権限で取得可能な範囲のＩＤリストである。実施例１の場合、管理者権限の範囲で得られるＩＤリストであり、第２のＩＤとしてＢＸ００１を用いて第２のＩＤリスト４６０を取得した場合を考える。また、得られた第２のＩＤリストにはＢＸ００１、ＢＸ００２、ＢＸ００３が含まれていたとする。

ステップＳ１００７で第１のＩＤリスト取得モジュール３０３は、第１のＩＤリスト３６０を取得する。なおここで取得される第１のＩＤリスト３６０は、ステップＳ１００３で認証を受けた第１のＩＤの権限で取得可能な範囲のＩＤリストである。ここでは第１のＩＤとしてＡＸ００１を用いて第１のＩＤリスト３６０を取得した場合を考える。この場合ＡＸ００１と同じテナントに所属するＩＤリストが取得でき、第１のＩＤリスト３６０としてＡＸ００１、ＡＸ００２、ＡＸ００３が得られたとする。

ステップＳ１００８でＳＳＯマッピング設定モジュール３０５は、第１のＩＤリスト３６０、第２のＩＤリスト４６０、ＳＳＯマッピング設定情報５００を用いて、ＳＳＯマッピングの設定を行い、ＳＳＯマッピングの設定フローを終了する。

図７（Ｂ）は本発明の実施の形態に係る、ＳＳＯマッピング設定モジュール３０５におけるＳＳＯマッピング設定の詳細フローである。本フローは、ＳＳＯマッピングサービス３００のＳＳＯマッピング設定フローのステップＳ１００８における処理を詳細化したフローである。

ステップＳ１１０１でＳＳＯマッピング設定モジュール３０５は、ステップＳ１００５で取得したＳＳＯマッピング設定情報５００に、未処理の組み合わせがあるか判断する。未処理の組み合わせが残っていなければＳＳＯマッピング設定の詳細フローを終了する。また未処理の組み合わせが残っていればステップＳ１１０２に遷移する。

ステップＳ１１０２でＳＳＯマッピング設定モジュール３０５は、ＳＳＯマッピング設定情報５００から、紐付けられた第１のＩＤと第２のＩＤの組み合わせを１つ取り出す。ここではＡＸ００１とＢＸ００１の組み合わせが取り出された場合を考える。なお、この組み合わせが対応付け情報に相当する。対応付け情報が複数記載されたシングルサインオンマッピングテーブルが、ＳＳＯマッピング設定情報５００である。

ステップＳ１１０３でＳＳＯマッピング設定モジュール３０５は、ステップＳ１１０２で取り出した組み合わせに含まれる第１のＩＤが、ステップＳ１００７で取得した第１のＩＤリスト３６０に含まれるか判断する。含まれると判断した場合、即ち、同一のＩＤが含まれると判断された場合はステップＳ１１０４に遷移する。また含まれないと判断した場合、即ち、対応付け情報に同一のＩＤが含まれていないと判断された場合は、ステップＳ１１０２で取り出した組み合わせに関するＳＳＯマッピング設定を行わず、ステップＳ１１０１に遷移する。ここで、ステップＳ１１０２で取り出した組み合わせに含まれるＡＸ００１は、第１のＩＤリスト３６０にも含まれるため、ステップＳ１１０４に遷移する。

ステップＳ１１０４でＳＳＯマッピング設定モジュール３０５は、ステップＳ１１０２で取り出した組み合わせに含まれる第２のＩＤが、ステップＳ１００６で取得した第２のＩＤリスト４６０に含まれるか判断する。含まれると判断した場合はステップＳ１１０５に遷移する。また含まれないと判断した場合は、ステップＳ１１０２で取り出した組み合わせに関するＳＳＯマッピング設定を行わず、ステップＳ１１０１に遷移する。ここで、ステップＳ１１０２で取り出した組み合わせに含まれるＢＸ００１は、第２のＩＤリスト４６０にも含まれるため、ステップＳ１１０５に遷移する。

ステップＳ１１０５でＳＳＯマッピング設定モジュール３０５は、ステップＳ１１０２で取り出した第１のＩＤと第２のＩＤ組み合わせに対しＳＳＯマッピングを設定して、ステップＳ１１０１に遷移する。ここではＡＸ００１とＢＸ００１の組み合わせに対しＳＳＯマッピングが設定される。このように、クライアントから受信した認証情報を基に取得した認証情報（ユーザーＩＤ）と、シングルサインオンマッピングテーブル内に記述された認証情報の内何れか１つの認証情報とが同一であるか否かを各対応付け情報毎に確認する。この確認に基づき、シングルサインオンマッピングテーブル内の対応付け情報をシングルサインオンの設定情報として設定するか否かを決定する。

図７（Ｃ）は本発明の実施の形態に係る、ＳＳＯマッピング対象サービス４００における第２のＩＤリストの生成フローである。本フローは、ＳＳＯマッピング対象サービス４００が、ＳＳＯマッピングサービス３００から第２のＩＤリスト生成要求を受けることで始まる。ステップＳ２００１でＳＳＯマッピング対象サービス４００の第２の認証モジュール４０１は、ＳＳＯマッピングサービス３００から第２のＩＤリスト生成要求を受け付ける。ステップ２００２で第２の認証モジュール４０１は、第２のＩＤリスト生成要求に含まれる第２のＩＤと第２のパスワードの組み合わせが正しいか判断する。組み合わせが正しいと判断されればステップＳ２００３に遷移し、正しくないと判断されれば第２のＩＤリストをＳＳＯマッピングサービス３００に返さずにフローを終了する。

ステップＳ２００３で第２のＩＤリスト生成モジュールは、第２のＩＤリスト４６０を生成する。なおここで生成される第２のＩＤリスト４６０はステップＳ２００２で認証された第２のＩＤの権限で取得可能な範囲のＩＤリストである。ここでは第２のＩＤとしてＢＸ００１を用いて第２のＩＤリスト４６０を取得した場合を考える。この場合ＢＸ００１と同じテナントに所属するＩＤリストが取得でき、第２のＩＤリスト４６０としてＢＸ００１、ＢＸ００２、ＢＸ００３が生成されたとする。ステップＳ２００４で第２のＩＤリスト生成モジュールは、ステップＳ２００３で生成した第２のＩＤリスト４６０をＳＳＯマッピングサービス３００に返却して、フローを終了する。

図８は本発明の実施の形態に係るＳＳＯマッピングの設定状況を示した図である。ＳＳＯマッピングサービスであるサービスＡ３００にはテナントＴＡＸ３１０とテナントＴＡＹ３２０があり、テナントＴＡＸ３１０にはユーザーＩＤとしてＡＸ００１、ＡＸ００２、ＡＸ００３が含まれている。またテナントＴＡＹ３２０にはユーザーＩＤとしてＡＹ０９９が含まれている。ＳＳＯマッピング対象サービスであるＳＳＯマッピング対象サービス４００にはテナントＴＢＸ４１０とテナントＴＢＹ４２０があり、テナントＴＢＸ４１０にはユーザーＩＤとしてＢＸ００１、ＢＸ００２、ＢＸ００３が含まれている。またテナントＴＢＹ４２０にはユーザーＩＤとしてＢＹ０９９が含まれている。６０１はサービスＡ３００およびサービスＢに存在する企業Ｘのテナント群を表す。また６０２はサービスＡ３００およびサービスＢに存在する企業Ｙのテナント群を表す。

ここで図７のフローを実施することで、ＡＸ００１とＢＸ００１の間でＳＳＯマッピング設定５０１が設定され、またＡＸ００２とＢＸ００２の間でＳＳＯマッピング設定５０２が設定されている。これらのＳＳＯマッピング設定は、企業Ｘのテナント群６０１内でのＳＳＯマッピングであるため、適切なＳＳＯマッピング設定である。一方、ＡＸ００３とＢＹ０９９のように、企業Ｘのテナント群６０１と企業Ｙのテナント群６０２の間でのＳＳＯマッピング５９９については、適切でないＳＳＯマッピング設定であり、図７のフローではこのようなＳＳＯマッピングが設定されることを未然に防ぐことが可能になる。

本実施の形態によれば、ユーザーが既に持っているＳＰ用のＩＤに対してＳＳＯマッピングを設定することができる。また企業のテナント内で管理者が代理でＳＳＯマッピングを設定しようとした場合、各ユーザーのパスワードを知らなくても代理でのＳＳＯマッピング設定を行える。さらにＳＳＯマッピングを設定する際、異なる企業のテナントに含まれるＩＤ同士で誤ってＳＳＯマッピングを設定することもない。

次に、本発明を実施するための第２の形態について図面を用いて説明する。

なお第１の実施の形態と共通の部分については説明を省略し、以下では差異部分のみ説明する。図９は本発明の実施の第２の形態に係るＳＳＯマッピングサービス３００のモジュール構成図である。ＳＳＯマッピングサービス３００は第１の認証モジュール３０１、ＳＳＯ設定情報受付モジュール３０２、第１のＩＤリスト取得モジュール３０３、第２のＩＤリスト取得モジュール３０４、第２のＳＳＯマッピング設定モジュール３０６から構成される。第２のＳＳＯマッピング設定モジュール３０６はＳＳＯマッピング設定を行う際、同一のＩＤに関するＳＳＯマッピング設定が設定済みの場合、新たなＳＳＯマッピング設定で古い設定を上書き、シングルサインオンの設定を更新する。

図１０は本発明の実施の形態に係る、第２のＳＳＯマッピング設定モジュール３０６におけるＳＳＯマッピング設定の詳細フローである。本フローは、ＳＳＯマッピングサービス３００のＳＳＯマッピング設定フローのステップＳ１００８における処理を詳細化したフローである。

ステップＳ１２０１で第２のＳＳＯマッピング設定モジュール３０６は、ステップＳ１００５で取得したＳＳＯマッピング設定情報５００に、未処理の組み合わせがあるか判断する。未処理の組み合わせが残っていなければＳＳＯマッピング設定の詳細フローを終了する。また未処理の組み合わせが残っていればステップＳ１２０２に遷移する。

ステップＳ１２０２で第２のＳＳＯマッピング設定モジュール３０６は、ＳＳＯマッピング設定情報５００から、紐付けられた第１のＩＤと第２のＩＤの組み合わせを１つ取り出す。ここではＡＸ００１とＢＸ００１の組み合わせが取り出された場合を考える。

ステップＳ１２０３で第２のＳＳＯマッピング設定モジュール３０６は、ステップＳ１２０２で取り出した組み合わせに含まれる第１のＩＤが、ステップＳ１００７で取得した第１のＩＤリスト３６０に含まれるか判断する。含まれると判断した場合はステップＳ１２０４に遷移する。また含まれないと判断した場合は、ステップＳ１２０２で取り出した組み合わせに関するＳＳＯマッピング設定を行わず、ステップＳ１２０１に遷移する。ここでステップＳ１２０２で取り出した組み合わせに含まれるＡＸ００１は、第１のＩＤリスト３６０にも含まれるため、ステップＳ１２０４に遷移する。

ステップＳ１２０４で第２のＳＳＯマッピング設定モジュール３０６は、ステップＳ１２０２で取り出した組み合わせに含まれる第２のＩＤが、ステップＳ１００６で取得した第２のＩＤリスト４６０に含まれるか判断する。含まれると判断した場合はステップＳ１２０５に遷移する。また含まれないと判断した場合は、ステップＳ１２０２で取り出した組み合わせに関するＳＳＯマッピング設定を行わず、ステップＳ１２０１に遷移する。ここでステップＳ１２０２で取り出した組み合わせに含まれるＢＸ００１は、第２のＩＤリスト４６０にも含まれるため、ステップＳ１２０５に遷移する。

ステップＳ１２０５で第２のＳＳＯマッピング設定モジュール３０６は、ステップＳ１２０２で取り出した第１のＩＤと第２のＩＤ組み合わせに関するＳＳＯマッピングが設定されているか判断する。即ち、新たな対応付け情報中に、既にシングルサインオンの設定情報に利用された認証情報が含まれているかの確認を行う。判断の結果ＳＳＯマッピングが設定されていなければステップＳ１２０６に遷移する。またＳＳＯマッピングが設定されていた場合はステップＳ１２１０に遷移する。なおここでは第１のＩＤに関するＳＳＯマッピングが設定済みか確認し、設定済みの場合は新しい設定で上書きすることを考えている。しかしＳＳＯマッピングが設定済みか確認するのに用いるＩＤは第１のＩＤに限定されるものでない。第２のＩＤで確認してもよく、第１のＩＤと第２のＩＤの双方で確認してもよい。

ステップＳ１２０６で第２のＳＳＯマッピング設定モジュール３０６は、ステップＳ１２０２で取り出した第１のＩＤと第２のＩＤ組み合わせに対し新規にＳＳＯマッピングを設定して、ステップＳ１２０１に遷移する。ここではＡＸ００１とＢＸ００１の組み合わせに対しＳＳＯマッピングが設定される。

ステップＳ１２１０で第２のＳＳＯマッピング設定モジュール３０６は、ステップＳ１２０５で設定済みと判断されたＳＳＯマッピング設定を、ステップＳ１２０２で取り出した第１のＩＤと第２のＩＤ組み合わせで上書く。設定が終了するとステップＳ１２０１に遷移する。ここでステップＳ１２０５でＡＸ００１とＢＸ００３がＳＳＯマッピング設定されていた場合を考える。ステップＳ１２０２ではＡＸ００１とＢＸ００１の組み合わせに関するＳＳＯマッピング設定情報５００を取得しているため、第２のＳＳＯマッピング設定モジュール３０６は、ＡＸ００１とＢＸ００３のＳＳＯマッピングを解除する。また代わりにＡＸ００１とＢＸ００１の組み合わせに対しＳＳＯマッピングを設定する。

本実施の形態によれば、設定済みのＳＳＯマッピング設定を、新たなＳＳＯマッピング設定で上書きすることができる。これは企業のテナント内で管理者がＳＳＯマッピングを一括設定する際に、既存のＳＳＯマッピング設定を意識せず新たなＳＳＯマッピング設定を行えるため、利便性が向上する。また、一括でＳＳＯマッピングを上書きする際にも、容易に上書きが可能になる。

次に、本発明を実施するための第３の形態について図面を用いて説明する。なお第１の実施の形態と共通の部分については説明を省略し、以下では差異部分のみ説明する。図１１は本発明の実施の第３の形態に係るＳＳＯマッピングサービス３００のモジュール構成図である。ＳＳＯマッピングサービス３００は第１の認証モジュール３０１、ＳＳＯ設定情報受付モジュール３０２、第１のＩＤリスト取得モジュール３０３、第２のＩＤリスト取得モジュール３０４、第３のＳＳＯマッピング設定モジュール３０７から構成される。第３のＳＳＯマッピング設定モジュール３０７はＳＳＯマッピング設定を行う際、ＳＳＯマッピング設定情報５００に記述された第１のＩＤと第２のＩＤのペアの内、一方が記述されていなければ、他方に関するＳＳＯマッピング設定を解除する。

図１２は本発明の実施の形態に係る、第３のＳＳＯマッピング設定モジュール３０７におけるＳＳＯマッピング設定の詳細フローである。本フローは、ＳＳＯマッピングサービス３００のＳＳＯマッピング設定フローのステップＳ１００８における処理を詳細化したフローである。

ステップＳ１３０１で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１００５で取得したＳＳＯマッピング設定情報５００に、未処理の組み合わせがあるか判断する。未処理の組み合わせが残っていなければＳＳＯマッピング設定の詳細フローを終了する。また未処理の組み合わせが残っていればステップＳ１３０２に遷移する。

ステップＳ１３０２で第３のＳＳＯマッピング設定モジュール３０７は、ＳＳＯマッピング設定情報５００から、紐付けられた第１のＩＤと第２のＩＤの組み合わせを１つ取り出す。ここではＡＸ００１とＢＸ００１の組み合わせが取り出された場合を考える。

ステップＳ１３０３で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１３０２で取り出した組み合わせに第１のＩＤと第２のＩＤの両方が含まれているか判断する。両方が含まれていた場合はステップＳ１３０４に遷移し、一方のみ含まれていた場合はステップＳ１３１０に遷移する。一方のみ含まれていた場合とは、第１の認証情報、または第２の認証情報のペアとなる情報が記載されておらず、空白であることである。また、一方のみ含まれていた場合とは、新たな対応付け情報中の第１の認証情報に対して第２の認証情報が対応させられていなかった場合を指す。無論、第２の認証情報に対して第１の認証情報が対応させられていなかった場合であっても良い。

ステップＳ１３０４で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１３０２で取り出した組み合わせに含まれる第１のＩＤが、ステップＳ１００７で取得した第１のＩＤリスト３６０に含まれるか判断する。含まれると判断した場合はステップＳ１３０５に遷移する。また含まれないと判断した場合は、ステップＳ１３０２で取り出した組み合わせに関するＳＳＯマッピング設定を行わず、ステップＳ１３０１に遷移する。ここでステップＳ１３０２で取り出した組み合わせに含まれるＡＸ００１は、第１のＩＤリスト３６０にも含まれるため、ステップＳ１３０５に遷移する。

ステップＳ１３０５で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１３０２で取り出した組み合わせに含まれる第２のＩＤが、ステップＳ１００６で取得した第２のＩＤリスト４６０に含まれるか判断する。含まれると判断した場合はステップＳ１３０６に遷移する。また含まれないと判断した場合は、ステップＳ１３０２で取り出した組み合わせに関するＳＳＯマッピング設定を行わず、ステップＳ１３０１に遷移する。ここでステップＳ１３０２で取り出した組み合わせに含まれるＢＸ００１は、第２のＩＤリスト４６０にも含まれるため、ステップＳ１３０６に遷移する。

ステップＳ１３０６で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１３０２で取り出した第１のＩＤと第２のＩＤ組み合わせに対しＳＳＯマッピングを設定して、ステップＳ１３０１に遷移する。ここではＡＸ００１とＢＸ００１の組み合わせに対しＳＳＯマッピングが設定される。

ステップＳ１３１０で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１３０２で取り出したＩＤが、第１のＩＤリスト３６０または第２のＩＤリスト４６０のうち対応する方に含まれているか判断する。たとえばステップＳ１３０２で取り出したＩＤが第１のＩＤであれば、第１のＩＤ３６０リストに含まれているか判断する。またステップＳ１３０２で取り出したＩＤが第２のＩＤであれば、第２のＩＤリスト４６０に含まれているか判断する。含まれていると判断された場合はステップＳ１３１１に遷移し、含まれていないと判断された場合はなにもせずステップＳ１３０１に遷移する。

ステップＳ１３１１で第３のＳＳＯマッピング設定モジュール３０７は、ステップＳ１３０２で取り出した組み合わせの第１のＩＤまたは第２のＩＤのうちで記述されているものに関して、設定されているＳＳＯマッピング設定を解除する。設定を解除するとステップＳ１３０１に遷移する。設定を解除するとは、既にシングルサインオンの設定情報に利用された対応付け情報を、シングルサインオン設定情報としないように更新することを指す。

本実施の形態によれば、設定済みのＳＳＯマッピング設定を解除する際に、ＳＳＯ設定している一方のＩＤさえわかれば設定解除できる。これはＳＳＯマッピング設定されているＩＤのうち一方が削除済みで、どのＩＤを使っていたか分からない状況であっても、残っている一方のＩＤを指定してＳＳＯマッピングを解除できるため、利便性が向上する。

次に、本発明を実施するための第４の形態について図面を用いて説明する。なお第１の実施の形態と共通の部分については説明を省略し、以下では差異部分のみ説明する。図１３は本発明の第４の実施の形態に係るモジュール構成図である。ＳＳＯマッピングサービス３００は第１の認証モジュール３０１、第２のＳＳＯ設定情報受付モジュール３０８、第４のＳＳＯマッピング設定モジュール３０９から構成される。第２のＳＳＯ設定情報受付モジュール３０８はログイン中のユーザーからＳＳＯマッピング対象サービス４００の認証情報を受け取り、ＳＳＯマッピング対象サービス４００で認証を受ける。認証を受けられると第４のＳＳＯマッピング設定モジュール３０９が、ＳＳＯマッピングサービス３００にログイン中のユーザーのＩＤと、第２のＳＳＯ設定情報受付モジュール３０８が受け取ったＳＳＯマッピング対象サービスのＩＤとの間でＳＳＯマッピングを設定する。

図１４（Ａ）は本発明の第４の実施の形態に係るＳＳＯマッピングの設定フローである。本フローは、ＳＳＯマッピングサービス３００が、ＳＳＯマッピングを設定したいユーザーにアクセスされることによって始まる。ステップＳ１００３でユーザーへのログインを許可すると、ステップＳ１４０１に遷移する。なおここでは、ユーザーのＩＤがＡＸ００１であった場合を考える。ステップＳ１４０１で第２のＳＳＯ設定情報受付モジュール３０８は、ユーザーから第２のＩＤおよび第２のパスワードを受け付ける。なお第２のＩＤおよび第２のパスワードをユーザーに入力させる画面は、例えば図１５（Ｂ）に示すような画面である。ステップＳ１４０２で第４のＳＳＯマッピング設定モジュール３０９は、ステップＳ１４０１で受け付けた第２のＩＤおよび第２のパスワードを用いて、ＳＳＯマッピング対象サービス４００に認証要求を行う。

ステップＳ１４０３で第４のＳＳＯマッピング設定モジュール３０９は、ステップＳ１４０２でＳＳＯマッピング対象サービス４００の認証に成功したか判断する。判断の結果、認証に成功していればステップＳ１４０４に遷移する。また認証に失敗していたらＳＳＯマッピング設定を行わずフローを終了する。ステップＳ１４０４で第４のＳＳＯマッピング設定モジュール３０９は、ステップＳ１００１で受け付けた第１のＩＤと、ステップＳ１４０１で受け付けた第２のＩＤとの間にＳＳＯマッピングを設定する。設定が完了するとフローを終了する。

図１４（Ｂ）は本発明の実施の第４の形態に係る、ＳＳＯマッピング対象サービス４００における認証フローである。本フローは、ＳＳＯマッピング対象サービス４００が、ＳＳＯマッピングサービス３００から認証要求を受けることで始まる。ステップ２４０１で第２の認証モジュール４０１は、認証要求に含まれる第２のＩＤと第２のパスワードの組み合わせで認証を行う。ステップＳ２４０２で第２の認証モジュール４０１は、ステップＳ２４０１の認証結果をＳＳＯマッピングサービス３００に返してフローを終了する。

本実施の形態によれば、管理権限を持っていないユーザーであっても、自分自身の既存のアカウントに対してＳＳＯマッピングを設定することができる。そのため管理者の負荷を軽減することができる。

図１５は本発明の実施の形態に係るＳＳＯマッピング設定用の画面例である。図１５（Ａ）は第２のＩＤおよび第２のパスワードを入力するコントロールと、ＳＳＯマッピング設定情報５００が記述されたファイルを選択するためのコントロールを備える。なおここでＳＳＯマッピング対象サービスがＩｄＰであることを想定したため画面例にもＩｄＰと記載しているが、ＳＳＯマッピング対象サービスはＩｄＰであることに限定されない。またＳＳＯマッピング設定情報５００も、ファイル以外の形態で指定されてもよい。また図１５（Ｂ）は第２のＩＤおよび第２のパスワードを入力するコントロールを備えた画面例である。

なお、各実施例を個別に説明したが、各実施例の処理を１つのシステムに実行させる形態であっても良い。例えば、実施例１乃至５の処理を全て実施しても良いし、実施例１、２、３のように部分的に実施しても良い。このような場合であっても、各処理が競合する可能性は低いため問題ない。

本発明の目的は、以下の処理を実行することによっても達成される。即ち、上述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）が記憶媒体に格納されたプログラムコードを読み出す処理である。この場合、記憶媒体から読み出されたプログラムコード自体が前述した実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。該プログラムコードを実行することにより、情報処理装置はプログラムコードの記述通りに制御される。

１００ＷＡＮ
１０１ＬＡＮ
２００クライアントＰＣ
３００ＳＳＯマッピングサービス
３０３第１のＩＤリスト取得モジュール
３０４第２のＩＤリスト取得モジュール
３０５ＳＳＯマッピング設定モジュール
４００ＳＳＯマッピング対象サービス

Claims

第１の情報処理システムと通信可能な第２の情報処理システムであって、
クライアントを操作するユーザーの前記第１の情報処理システムにおける認証情報、および前記ユーザーの前記第２の情報処理システムにおける認証情報と、をクライアントから受信する受信手段と、
受信された前記第１の情報処理システムにおける認証情報を基に、該認証情報に関連付けられた固有情報と同一の固有情報が関連付けられた前記第１の情報処理システムにおける他の認証情報を前記第１の情報処理システムから取得し、受信された前記第２の情報処理システムにおける認証情報を基に、該認証情報に関連付けられた固有情報と同一の固有情報が関連付けられた前記第２の情報処理システムにおける他の認証情報を前記第２の情報処理システムから取得する取得手段と、
第１の認証情報と、第２の認証情報とを対応させた対応付け情報を前記ユーザーからクライアントを介して受け付ける受付手段と、
取得された前記第１の情報処理システムにおける他の認証情報、および受け付けられた記第１の認証情報が同一であり、かつ取得された前記第２の情報処理システムにおける他の認証情報、および受け付けられた前記第２の認証情報が同一の場合、前記対応付け情報をシングルサインオンの設定情報として設定する設定手段と、を有し、
前記第１の情報処理システムにおいて認証されたユーザーがクライアントを介して前記第２の情報処理システムにアクセスしてきた場合、設定されたシングルサインオンの設定情報を基に、該ユーザーの認証を行うことなくアクセスを許可することを特徴とする第２の情報処理システム。
前記取得手段は、前記第１の情報処理システムにおける複数の他の認証情報、および前記第２の情報処理システムにおける複数の他の認証情報を取得し、
前記受付手段は、シングルサインオンの一括設定を要求するユーザーから、前記対応付け情報を含む複数の対応付け情報が記述されたシングルサインオンマッピングテーブルを受け付け、
前記設定手段は、前記シングルサインオンマッピングテーブルに記述されている各対応付け情報中に、取得された複数の前記第１の情報処理システムにおける他の認証情報の内何れか１つの認証情報が含まれ、かつ取得された複数の前記第２の情報処理システムにおける他の認証情報の内何れか１つの認証情報が含まれるかを各対応付け情報毎に確認し、両方の他の認証情報が含まれることを確認したことに応じて、確認された対応付け情報をシングルサインオンの設定情報として設定することを特徴とする請求項１に記載の第２の情報処理システム。
前記受信手段により受信された前記第１の情報処理システムにおける認証情報、および前記第２の情報処理システムにおける認証情報は、夫々、前記第１の情報処理システム、および前記第２の情報処理システムにおける管理者権限が設定された認証情報であって、前記取得手段は、受信された第２の情報処理システムにおける認証情報が管理者権限を設定された認証情報である場合にのみ、該管理者権限の範囲で得られる他の認証情報を前記第１の情報処理システムから取得することを特徴とする請求項１または２に記載の第２の情報処理システム。
前記設定手段は、前記受付手段により新たな対応付け情報が受け付けられ、該新たな対応付け情報中に、既にシングルサインオンの設定情報に利用された認証情報が含まれている場合、該シングルサインオンの設定情報に利用された認証情報を含む対応付け情報を、該新たな対応付け情報に更新することを特徴とする請求項１乃至３の何れか１項に記載の第２の情報処理システム。
前記設定手段は、前記受付手段により新たな対応付け情報が受け付けられ、該新たな対応付け情報中の第１の認証情報に対し第２の認証情報が対応させられていなかった場合、既にシングルサインオンの設定情報に利用された該第１の認証情報を含む対応付け情報を、シングルサインオン設定情報としないように更新することを特徴とする請求項１乃至４の何れか１項に記載の第２の情報処理システム。
前記認証情報とは、ユーザーＩＤであり、前記固有情報とは、該ユーザーＩＤに対応するユーザーが属するテナントを示すテナント情報であることを特徴とする請求項１乃至５の何れか１項に記載の第２の情報処理システム。
第１の情報処理システムと通信可能な第２の情報処理システムを制御する方法であって、
受信手段は、クライアントを操作するユーザーの前記第１の情報処理システムにおける認証情報、および前記ユーザーの前記第２の情報処理システムにおける認証情報と、をクライアントから受信し、
取得手段は、受信された前記第１の情報処理システムにおける認証情報を基に、該認証情報に関連付けられた固有情報と同一の固有情報が関連付けられた前記第１の情報処理システムにおける他の認証情報を前記第１の情報処理システムから取得し、受信された前記第２の情報処理システムにおける認証情報を基に、該認証情報に関連付けられた固有情報と同一の固有情報が関連付けられた前記第２の情報処理システムにおける他の認証情報を前記第２の情報処理システムから取得し、
受付手段は、第１の認証情報と、第２の認証情報とを対応させた対応付け情報を前記ユーザーからクライアントを介して受け付け、
設定手段は、取得された前記第１の情報処理システムにおける他の認証情報、および受け付けられた記第１の認証情報が同一であり、かつ取得された前記第２の情報処理システムにおける他の認証情報、および受け付けられた前記第２の認証情報が同一の場合、前記対応付け情報をシングルサインオンの設定情報として設定し、
前記第１の情報処理システムにおいて認証されたユーザーがクライアントを介して前記第２の情報処理システムにアクセスしてきた場合、設定されたシングルサインオンの設定情報を基に、該ユーザーの認証を行うことなくアクセスを許可することを特徴とする制御方法。
請求項７に記載の制御方法をコンピュータに実行させるためのプログラム。