JP6319006B2 - 認証サービス方法、認証サービスサーバ、及び認証サービスシステム - Google Patents

Description

本発明は、認証処理技術に関する。

近年、ＳＳＬ（Secure Sockets Layer）を介したインターネットの利用の際に、認証局が発行した証明書を用いて、通信相手の正当性を認証することが行われている。

保有する証明書を、認証局及び認証ポリシーに基づいて生成されたグループ毎に仕分けして保存し、認証サーバからの認証要求に応じて、認証サーバと対応付られるグループから有効な証明書を選択する技術、電子証明書の拡張領域にクライアント証明書を暗号化してサーバに送信し、サーバは電子証明書の拡張領域の個人情報含むクライアント証明書を復号してクライアントを認証する技術等が提案されている。

特開２００７−１０４０４４号公報 ＷＯ２００８／０５７９２

複数の企業と契約し、各企業のユーザの認証情報を管理するリポジトリサーバを用いて、ユーザ認証を行う認証サービスでは、ユーザ認証の際には、ユーザが属する企業のリポジトリサーバを特定して認証処理が行われる。

このような認証サービスでは、各ユーザを全企業間において一意に識別しなければならない。上記従来技術は、ユーザが属する組織を特定する仕組みを持たないため、ユーザが属する企業のリポジトリサーバを利用するユーザ認証であっても、ユーザが所属する企業の識別情報を入力しなければ、ユーザ認証を行えないといった問題がある。

したがって、１つの側面では、本発明は、ユーザ認証時の利便性を改善することを目的とする。

一態様によれば、組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶し、前記ユーザに対する証明書の発行要求を受けると、認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行し、前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに基づいて、該組織の組織内の認証サーバと接続し、該認証サーバでの認証を行う処理をコンピュータが行う認証サービス方法が提供される。

また、上記課題を解決するための手段として、認証サービスサーバ、認証サービスシステム、コンピュータに上記処理を実行させるための認証サービスプログラム、及び、その認証サービスプログラムを記憶した記憶媒体とすることもできる。

ユーザ認証時の利便性を改善するができる。

システムのネットワーク構成例を示す図である。 認証サービスの機能構成例を示す図である。 認証サービスサーバのハードウェア構成を示す図である。 テーブル間の関連を示す図である。 組織情報テーブルのデータ項目例を示す図である。 加入者情報テーブルのデータ項目例を示す図である。 認証局の公開鍵を取得する処理を説明するための図である。 サービス申込処理を説明するための図である。 サービス申込シーケンスを示す図である。 クライアント証明書発行処理を説明するための図である。 クライアント証明書発行シーケンスを示す図である。 クライアント証明書のフォーマットを示す図である。 認証処理を説明するための図である。 認証シーケンスを示す図である。

以下、本発明の実施の形態を図面に基づいて説明する。組織において認証機能をアウトソースする場合、ユーザ情報を外部に持ち出さずに、認証サービスを行う外部の認証サービスサーバと、企業が保持するユーザ情報を管理するリポジトリサーバとを連携させる手法がとられている。その結果、認証サービスを提供する認証サービスサーバは、複数の組織毎のリポジトリサーバと連携することになる。

また、認証に関して、エンドユーザのユーザＩＤは、各組織内でユニークであるが、複数の組織の各ユーザのユーザＩＤを管理する認証サービスサーバにおいて、ユーザＩＤはユニークであるとはいえない。２以上の組織において、異なるユーザであってもユーザＩＤが一致する場合がある。

そのため、認証サービスがエンドユーザの組織情報を識別して組織毎のリポジトリサーバにアクセスするには、エンドユーザにエンドユーザが所属する組織を特定する組織ＩＤを入力させる必要がある。この場合、織内のエンドユーザは、組織のリポジトリサーバを利用しているにも関わらず、自ら、所属する組織の組織ＩＤを入力しなければならない。

或いは、認証サービスのＵＲＬを組織毎に変える等の対策が考えられる。この場合、認証サービスを利用する組織の増減毎に、認証サービスサーバに対する設定等の認証サービス管理者による処理作業が必要となる。

従って、以下に説明する実施例において、各組織のエンドユーザの認証入力に係る利便性を改善し、認証サービス管理者に作業負担とならない仕組みを提供する。

図１は、システムのネットワーク構成例を示す図である。図１の認証サービスサーバ１００は、組織毎の管理者（以下、組織管理者と言う）、エンドユーザ（以下、単にユーザと言う）、認証サービス管理者がアクセスする認証サービスと、ルート証明機関４ｒの発行するルート証明書で電子署名された中間証明書を有する中間認証局４とを有する。認証サービスサーバ１００と中間認証局４とによって、認証サービス３が組織Ａ、・・・組織Ｎ等の複数の組織に対して提供され、認証サービス３において、各組織は認証に係るサービス提供先に相当する。

認証サービスサーバ１００は、組織Ａリポジトリサーバ８ａ、組織Ｂリポジトリサーバ８ｂ、・・・組織Ｎリポジトリサーバ８ｎ等の各組織のリポジトリサーバ８とインターネット２を介して接続される。認証サービスサーバ１００は、種々のサービスを提供するサービスサーバ９に代わって、組織単位で、ユーザを認証する。組織単位とは、企業、部門等である。

中間認証局４及び認証サービスサーバ１００は、認証サービス管理者端末５と接続され、認証サービス管理者端末５の認証サービス管理者によって管理される。中間認証局４及び認証サービスサーバ１００は、個別のサーバであっても良いし、１つのサーバで実現されても良い。

認証サービス３を利用する各組織は、その組織の管理者の組織管理者端末６１と、サービス９を利用するユーザの組織ユーザ端末６２と、組織が保持する組織リポジトリサーバ８とを有する。組織リポジトリサーバ８は、各組織内の認証サーバに相当する。

組織Ａ〜組織Ｎの組織Ａ管理者端末６１ａ〜６１ｎ等の組織管理者端末６１と、組織Ｎユーザ端末６２ａ〜６２ｎ等の組織ユーザ端末６２とが認証サービスサーバ１００に接続される。

組織管理者端末６１は、組織管理者によって利用される情報処理端末であって、インターネット２を介して、認証サービスサーバ１００と接続し、組織単位の組織認証に係る処理を行う。

組織ユーザ端末６２は、組織に所属するユーザが利用する情報処理端末である。ユーザが、サービス９を利用するためには、組織内でのユーザ認証が必要となる。ユーザが、インターネット２を介して、サービスを利用するためにサービスサーバ９にアクセスすると、サービスサーバ９に代わって、認証サービスサーバ１００がユーザが所属する組織リポジトリサーバ８を用いてユーザを認証する。

本実施例では、ユーザが各サービスサーバ９を利用する度に、自身が所属する組織を特定する組織ＩＤを入力することなく、ユーザ認証を可能とする。組織のユーザは認証サービスを利用することで、インターネット２上にあるサービスサーバ９を利用するための認証を、認証サービスサーバ１００に統合し、シングルサインオン（ＳＳＯ）を実現する。

認証サービス管理者は、各組織の組織管理者からのサービス申込を受け付けて、組織リポジトリサーバ８との接続作業を行う。サービス申込は、インターネット２から組織管理者端末６１を介して認証サービスサーバ１００に送信されることにより電子的に行われても良い。

図２は、認証サービスの機能構成例を示す図である。図２において、認証サービスサーバ１００は、サービスポータル１７１と、連携サーバ１７２と、データベースサーバ１７３とを有する。

サービスポータル１７１は、Ｗｅｂサーバに相当し、組織管理者端末６１、組織ユーザ端末６２、認証サービス管理者端末５からの要求を受け、要求に応じた処理を行った結果を返信する。

連携サーバ１７２は、認証サービスサーバ１００による中間認証局４及び組織リポジトリサーバ８との連携処理を行う。データベースサーバ１７３は、組織情報、管理者情報、ユーザ情報等に関する種々のデータベース等の管理処理を行う。

データベースサーバ１７３は、権限マスタ１３１、組織請求先情報テーブル１３２、加入者情報テーブル１３３、組織認証情報テーブル１３４、組織情報テーブル１３５、サービス情報テーブル１３６等を管理する。

権限マスタ１３１は、認証サービス管理者、組織管理者等の権限を記憶し管理するデータベースである。組織請求先情報テーブル１３２は、各組織の利用料金、請求先を記憶し管理するテーブルである。

加入者情報テーブル１３３は、組織毎に、サービスサーバ９を利用するユーザに関するユーザ登録情報を記憶し管理するテーブルである。組織認証情報テーブル１３４は、組織毎のリポジトリアドレス情報を記憶し管理するテーブルである。組織情報テーブル１３５は、組織毎の組織情報を記憶し管理するテーブルである。サービス情報テーブル１３６は、利用するサービスサーバ９の情報を記憶し管理するテーブルである。

サービスポータル１７１、連携サーバ１７２、データベースサーバ１７３を夫々を実現する処理部として、一つの認証サービスサーバ１００で実現する構成を示しているが、夫々を個別のサーバで実現しても良い。

一つの認証サービスサーバ１００で実現される場合には、権限マスタ１３１、組織請求先情報テーブル１３２、加入者情報テーブル１３３、組織認証情報テーブル１３４、組織情報テーブル１３５、サービス情報テーブル１３６等は、後述する認証サービスサーバ１００の記憶部１３０に記憶される。個別のデータベースサーバ１７３で管理される場合には、データベースサーバ１７３の記憶部に記憶される。

組織リポジトリサーバ８は、各組織のユーザ情報を管理するサーバであり、組織から提供される。組織リポジトリサーバ８と連携サーバ１７２とは、インターネット２又は専用線によって接続される。

中間認証局４は、登録局４１と、発行局４２と、リポジトリ４３とを有する。登録局４１は、クライアント証明書発行申請を受け付け、電子証明書の申請者が提出した所有者情報を審査するＲＡ（Registration Authority）として機能する。発行局４２は、電子証明書の発行、中断、破棄等を行うＩＡ（Issuing Authority）として機能する。

リポジトリ４３は、電子証明書とその他の関連情報の公開を目的としたデータベースである。その他の関連情報には、証明書失効リスト（ＣＲＬ：Certificate Revocation List）、認証局運用規程（ＣＰＳ：Certification Practice Statement）等を含む。

図３は、認証サービスサーバのハードウェア構成を示す図である。図３において、認証サービスサーバ１００は、コンピュータによって制御される端末であって、ＣＰＵ（Central Processing Unit）１１と、主記憶装置１２と、補助記憶装置１３と、入力装置１４と、表示装置１５と、通信Ｉ／Ｆ（インターフェース）１７と、ドライブ装置１８とを有し、バスＢに接続される。

ＣＰＵ１１は、主記憶装置１２に格納されたプログラムに従って認証サービスサーバ１００を制御する。主記憶装置１２には、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１にて実行されるプログラム、ＣＰＵ１１での処理に必要なデータ、ＣＰＵ１１での処理にて得られたデータ等を記憶又は一時保存する。

補助記憶装置１３には、内臓ＨＤＤ（Hard Disk Drive）等が用いられ、汎用ＯＳ（Operating System）、各種処理を実行するためのプログラム等のデータを格納する。補助記憶装置１３に格納されているプログラムの一部が主記憶装置１２にロードされ、ＣＰＵ１１に実行されることによって、各種処理が実現される。記憶部１３０は、主記憶装置１２及び／又は補助記憶装置１３を有する。

入力装置１４は、マウス、キーボード等を有し、ユーザが認証サービスサーバ１００による処理に必要な各種情報を入力するために用いられる。表示装置１５は、ＣＰＵ１１の制御のもとに必要な各種情報を表示する。

通信Ｉ／Ｆ１７は、ＮＩＣ（Network Interface Card）等を有し、インターネット２を介して外部との通信を行う。データベース又は大量の情報を格納する際は、ＦＣ（Fiber Channel）又はＮＩＣ経由で、外部ストレージ１３０ｅにアクセス可能なように構成しても良い。

認証サービスサーバ１００によって行われる処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ（Compact Disc Read-Only Memory）等の記憶媒体１９によって認証サービスサーバ１００に提供される。

ドライブ装置１８は、ドライブ装置１８にセットされた記憶媒体１９（例えば、ＣＤ−ＲＯＭ等）と認証サービスサーバ１００とのインターフェースを行う。

また、記憶媒体１９に、後述される本実施の形態に係る種々の処理を実現するプログラムを格納し、この記憶媒体１９に格納されたプログラムは、ドライブ装置１８を介して認証サービスサーバ１００にインストールされる。インストールされたプログラムは、認証サービスサーバ１００により実行可能となる。

尚、プログラムを格納する媒体としてＣＤ−ＲＯＭに限定するものではなく、コンピュータが読み取り可能な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。

ユーザ認証に関連するテーブル間の関連について説明する。図４は、テーブル間の関連を示す図である。図４において、組織情報テーブル１３５は、組織毎の組織登録情報を管理するテーブルであり、一意に付与された組織ＩＤによって、組織認証情報テーブル１３４、加入者情報テーブル１３３、サービス情報テーブル１３６の夫々に関連付けられる。組織登録情報については、図５で後述される。

組織認証情報テーブル１３４は、組織毎に、組織リポジトリサーバ８を特定するリポジトリアドレス情報、認証ポリシー情報を管理する。リポジトリアドレス情報は、ユーザ認証情報を問い合わせるためのＵＲＬ等である。認証ポリシー情報は、組織が定めたユーザ認証方法を示す。

加入者情報テーブル１３３は、加入者ＩＤ及び組織ＩＤ毎に、組織に属するユーザの登録情報を管理する。ユーザ登録情報については、図６で後述される。サービス情報テーブル１３６は、組織が利用するサービスサーバ９を特定するサービスサーバ情報を管理する。サービスサーバ情報は、サービスを受けるためのＵＲＬを示す。

次に、本実施例に係る処理に関連する組織情報テーブル１３５と、加入者情報テーブル１３３とについて説明する。

図５は、組織情報テーブルのデータ項目例を示す図である。図５において、組織情報テーブル１３５は、組織管理者によって組織内の組織管理者端末６１から、認証サービスサーバ１００へ登録された組織情報を記憶するテーブルであり、組織ＩＤ、組織名、組織名（カナ）、住所、電話番号、契約日、解約日、ステータス、作成日、更新日等の項目を有する。

組織ＩＤは、組織の識別情報を示し、組織の登録時に、サービスポータル１７１が一意に採番する。組織ＩＤは、組織情報テーブル１３５のプライマリキーとなる。組織名は、組織の名称を示す。企業である場合は、企業名が示される。組織名（カナ）は、組織名をカナ表記で示す。

住所は、組織の所在地を示す。電話番号は、企業の電話番号を示す。契約日は、認証サービス３の提供元と組織間とで契約が締結した日付を示す。解約日は、認証サービス３の契約を解約した日付を示す。ステータスは、契約状態を示す。契約状態には、未登録、登録中、登録済、及び解約済がある。作成日は、レコードが作成された日付を示す。更新日は、レコードが更新された日付を示す。

上述したような項目を有するレコードが、組織毎に作成され、組織管理者端末６１から受信した組織の登録情報が記憶される。組織の登録後に、組織に所属し、サービスサーバ９を利用するユーザの情報（ユーザ登録情報）が、加入者情報テーブル１３３に登録される。

図６は、加入者情報テーブルのデータ項目例を示す図である。図６において、加入者情報テーブル１３３は、組織管理者によって組織管理者端末６１から、又は、組織のユーザによって組織ユーザ端末６２から、認証サービスサーバ１００へ登録された加入者情報を組織毎に記憶するテーブルであり、加入者ＩＤ、氏名、氏名（カナ）、住所、電話番号、組織ＩＤ、契約日、解約日、ステータス、作成日、更新日等の項目を有する。

加入者ＩＤは、組織内でユーザを識別するＩＤを示し、認証サービスサーバ１００において加入者識別用のＩＤとして使用される。また、加入者ＩＤは、加入者情報テーブル１３３のプライマリキーとなる。

氏名は、ユーザの姓名を示す。氏名（カナ）は、ユーザの姓名のカナ表記を示す。住所は、ユーザの住所を示すが、ユーザの所属部の所在地であっても良い。電話番号は、ユーザの連絡先を示し、ユーザが所属する部署の電話番号であっても良い。組織ＩＤは、ユーザが所属する組織のＩＤを示す。組織ＩＤにより、加入者情報テーブル１３３と組織情報テーブル１３５（図５）とが関連付けられる。

契約日は、ユーザが認証サービス３の加入者となった日付、又は、ユーザの組織が認証サービス３の提供元とで契約が締結した日付を示す。解約日は、ユーザが加入者としての契約を解約した日付、又は、組織が認証サービス３の契約を解約した日付を示す。ステータスは、契約状態を示す。契約状態には、未登録、登録中、登録済、及び解約済がある。

作成日は、レコードが作成された日付を示す。更新日は、レコードが更新された日付を示す。

組織が認証サービス３の提供元との契約後、上述したような項目を有するレコードが、ユーザ毎に作成され、組織管理者端末６１又は組織ユーザ端末６２から受信したユーザの登録情報が記憶される。

以下に認証サービス３が行う処理を説明する。先ず、セキュアな認証サービス３を実現するために、図７に示すように、認証局の公開鍵を取得する。図７は、認証局の公開鍵を取得する処理を説明するための図である。

図７において、認証サービス３は、中間認証局４を介して、信頼できるルート証明機関４ｒによって正当な認証局として証明し、中間認証局４から認証局の公開鍵を取得することで、認証サービス３が発行するクライアント証明書の信頼性を証明する。

次に、各組織からの認証サービス３へのサービス申込に関するサービス申込シーケンスについて図８及び図９で説明する。図８及び図９では、組織Ａがサービスを申請した場合で説明する。

図８は、サービス申込処理を説明するための図である。図８において、組織Ａ管理者は、組織Ａ管理者端末６１ａからサービス申込を認証サービスサーバ１００に送信する（ステップＳ１１）。サービス申込には、組織Ａリポジトリサーバ８ａのＵＲＬを含む。

認証サービスサーバ１００では、サービスポータル１７１が組織Ａ管理者端末６１ａからサービス申込を受信すると、データベースサーバ１７３を介して組織情報テーブル１３５に組織Ａの組織登録情報を追加し、リポジトリアドレス情報を組織認証情報テーブル１３４に格納する。リポジトリアドレス情報は、組織Ａリポジトリサーバ８ａのＵＲＬを示す。

リポジトリアドレス情報で特定される組織Ａリポジトリサーバ８ａと認証サービスサーバ１００との接続が行われる（ステップＳ１２）。接続が完了すると、認証サービスサーバ１００のサービスポータル１７１は、組織Ａ管理者へサービス申込完了の通知を送信する。サービス申込完了の通知は、電子メールで行われれば良い。組織Ａ管理者は、組織Ａ管理者端末６１ａでサービス申込完了の通知を受信する。

図９は、サービス申込シーケンスを示す図である。図９において、認証サービスサーバ１００のサービスポータル１７１は、組織Ａ管理者端末６１ａからサービス申込を受信すると（ステップＳ２１）、サービスポータル１７１は、サービス申込の内容をチェックして（ステップＳ２２）、チェックしたサービス申込の内容に基づいて、データベースサーバ１７３を介して、組織情報テーブル１３５に組織情報を登録する（ステップＳ２３）。

サービスポータル１７１は、組織Ａ用の組織ＩＤを生成し、生成した組織ＩＤと組織情報とを組織情報テーブル１３５に格納し、ステータスを登録中に設定する。また、サービスポータル１７１は、サービス申込の内容に基づいて、組織リポジトリサーバ８のリポジトリ情報を組織認証情報テーブル１３４に格納し、また、組織Ａが利用するサービスサーバ９のＵＲＬ等のサービスサーバ情報をサービス情報テーブル１３６に格納する。

サービスポータル１７１は、申込受付メールを認証サービス管理者へ送信する（ステップＳ２４）。認証サービス管理者は、認証サービス管理者端末５で申込受付メールを受信すると（ステップＳ２５）、組織Ａリポジトリとの接続作業を行う（ステップＳ２６）。接続作業が完了すると、認証サービス管理者は、認証サービス管理者端末５から設定完了入力をサービスポータル１７１に対して行う（ステップＳ２７）。

一方、サービスポータル１７１は、ステップＳ２４にて認証サービス管理者へ申込受付メールの送信後、組織Ａ管理者へ受付完了を送信する（ステップＳ２８）。そして、認証サービス管理者端末５から設定完了を受信すると（ステップＳ２９）、サービスポータル１７１は、組織情報テーブル１３５の組織Ａのステータスを登録済みに変更し（ステップＳ３０）、組織Ａ管理者へ申込完了メールを送信する（ステップＳ３１）。

上述したサービス申込シーケンスにより、組織Ａの登録が完了する。他の組織についても同様の処理により登録が行われる。

次に、組織に所属するユーザの登録によるクライアント証明書発行シーケンスについて図１０及び図１１で説明する。図１０は、クライアント証明書発行処理を説明するための図である。

図１０において、認証サービスサーバ１００のサービスポータル１７１が、組織Ａ管理者端末６１ａから組織Ａのユーザの証明書発行申請を受信する（ステップＳ４１）。組織Ａのユーザの証明書発行申請には、組織ＩＤ、組織ＡでのユーザＩＤが含まれている。

サービスポータル１７１は、データベースサーバ１７３を介して、組織認証情報テーブル１３４から組織Ａのリポジトリアドレス情報を取得して、組織Ａリポジトリサーバ８ａから、受信した組織Ａのユーザの証明書発行申請で指定されているユーザのユーザ情報を取得する（ステップＳ４２）。サービスポータル１７１は、組織ＩＤと、加入者ＩＤと、ユーザ情報を含むユーザ登録情報とをデータベースサーバ１７３を介して加入者情報テーブル１３３に新たに登録する。

ユーザ情報を取得すると、サービスポータル１７１は、連携サーバ１７２を介して、中間認証局４の登録局４１にクライアント証明書発行申請を行う（ステップＳ４３）。クライアント証明書発行申請には、組織ＩＤが含まれている。

中間認証局４では、登録局４１が、クライアント証明書発行申請の内容に基づいて、電子証明書の申請者である組織Ａ管理者が提供した所有者情報を審査する。所有者情報の審査後、登録局４１は、発行局４２にクライアント証明書の発行要求を行う。発行局４２は、電子証明書であるクライアント証明書を生成し、クライアント証明書に関する情報をリポジトリ４３に記憶する。クライアント証明書は、Ｘ．５０９証明書に準拠し、拡張領域内に組織ＩＤが設定される。

登録局４１は、発行局４２が生成した組織ＩＤを含むクライアント証明書を、連携サーバ１７２を介して、認証サービスサーバ１００のサービスポータル１７１に送信する（ステップＳ４４）。

サービスポータル１７１は、認証サービス管理者に対してユーザのＩＤカードの発行を要求し、認証サービス管理者は、ユーザのＩＤカードの発行要求を認証サービス管理者端末５で受信すると、ユーザのＩＤカードを発行する（ステップＳ４５）。ユーザのＩＤカードは、組織Ａ管理者宛てに郵送される（ステップＳ４６）。

郵送されたＩＤカードは、組織Ａ内のユーザに配布され、ユーザは、ＩＤカードを用いて認証サービス３による認証後にサービスサーバ９からサービスを受けることができる。ＩＤカードには、組織ＩＤがＸ．５０９証明書の拡張領域に格納されたクライアント証明書と、ユーザＩＤとが記憶されている。ＩＤカードの代わりに、組織ＩＤがＸ．５０９証明書の拡張領域に格納されたクライアント証明書と、ユーザＩＤとを記憶したＩＤデータファイルが、認証サービス３から組織Ａに提供されても良い。

図１１は、クライアント証明書発行シーケンスを示す図である。図１１において、認証サービスサーバ１００のサービスポータル１７１は、組織Ａ管理者端末６１ａから、組織内のユーザのためのクライアント証明書の発行申請を受信する（ステップＳ５１）。

サービスポータル１７１は、クライアント証明書の発行申請の内容をチェックし、発行申請で指定されるユーザのユーザ情報を組織Ａリポジトリサーバ８ａから取得する（ステップＳ５３）。サービスポータル１７１は、組織Ａの組織ＩＤを用いて組織認証情報テーブル１３４を参照することで、リポジトリアドレス情報を取得し、組織Ａリポジトリサーバ８ａにアクセスできる。

サービスポータル１７１は、データベースサーバ１７３を介して、組織ＩＤ、発行申請書で指定されたユーザＩＤ、及び組織Ａリポジトリサーバ８ａから取得したユーザ情報を加入者情報テーブル１３３に登録して（ステップＳ５４）、ステータスを登録中に設定する。

次に、サービスポータル１７１は、クライアント証明書発行要求を生成する（ステップＳ５５）。サービスポータル１７１は、データベースサーバ１７３に対して、加入者情報テーブル１３３において、発行申請で指定されたユーザＩＤと一致する加入者ＩＤのレコードから組織ＩＤの取得を要求し、組織ＩＤを取得する。サービスポータル１７１は、取得した組織ＩＤを、Ｘ．５０９証明書の拡張領域に設定する。

そして、サービスポータル１７１は、クライアント証明書の発行要求を、連携サーバ１７２を介して中間認証局４に送信する（ステップＳ５７）。拡張領域に組織ＩＤが設定されたＸ．５０９証明書が中間認証局４に提供される。

中間認証局４において、登録局４１は、認証サービスサーバ１００からクライアント証明書の発行要求を受信すると、クライアント証明書の発行処理を行う（ステップＳ５８）。登録局４１は、発行局４２に、組織Ａのユーザに対するクライアント証明書の発行を要求する。

発行局４２は、拡張領域に組織ＩＤが設定されたＸ．５０９証明書を用いてクライアント証明書を発行し、リポジトリ４３に発行したクライアント証明書を格納して、登録局４１に提供する。組織Ａユーザ端末６２ａとでユーザの認証を行う際に使用される公開鍵が生成され、リポジトリ４３に登録される。

登録局４１は、発行局４２が発行した、拡張領域に組織ＩＤが設定されユーザの公開鍵を含むクライアント証明書を含む設定完了の通知を連携サーバ１７２を介してサービスポータル１７１に提供する（ステップＳ５９）。

一方、サービスポータル１７１は、中間認証局４へクライアント証明書の発行要求を行った後、組織Ａ管理者へ受付完了の通知を行う。受付完了の通知は、電子メールで行われれば良い。組織Ａ管理者は、組織Ａ管理者端末６２ａで受付完了の通知を受信する。

そして、中間認証局４から設定完了の通知を受信すると（ステップＳ６１）、データベースサーバ１７３を介して、加入者情報テーブル１３３において、発行申請で指定された組織ＩＤと加入者ＩＤとが一致するレコードのステータスを登録済みに変更する（ステップＳ６２）。

その後、サービスポータル１７１は、認証サービス管理者に対して、クライアント証明書の送付要求を行う（ステップＳ６３）。クライアント証明書の送付要求は、電子メールで行えば良い。電子メールには、クライアント証明書が添付される。

サービス管理者は、認証サービス管理者端末５でクライアント証明書の送付要求を受信して（ステップＳ６４）、クライアント証明書を取得する。サービス管理者は、組織ＩＤがＸ．５０９証明書の拡張領域に格納されたクライアント証明書と、ユーザＩＤとを格納したＩＤカードを作成して、組織Ａ管理者に送付する（ステップＳ６５）。組織ＩＤがＸ．５０９証明書の拡張領域に格納されたクライアント証明書と、ユーザＩＤとを記憶したＩＤデータファイルが、認証サービス３から組織Ａに提供されても良い。

組織Ａに属するユーザは、ＩＤカード又はＩＤデータファイルを用いて認証サービス３による認証後にサービスサーバ９からサービスを受けることができる。

図１２は、クライアント証明書のフォーマットを示す図である。図１２において、クライアント証明書は、Ｘ．５０９証明書に準拠し、署名前証明書、署名アルゴリズム、署名値の領域を有する。

署名前証明書の領域には、バージョン、シリアル番号、アルゴリズム識別子、発行者、有効期間、開始時刻、終了時刻、主体者、主体者公開鍵情報、アルゴリズム、主体者公開鍵、発行者ユニーク識別子、及び主体者ユニーク識別子が示され、更に、署名前証明書の領域は拡張領域６９を有する。拡張領域６９は、バージョン３で追加された領域であり、本実施例において利用される。

本実施例では、この拡張領域６９に組織ＩＤを格納することで、ユーザは、認証の度に、組織ＩＤを入力する手間を省くことができる。また、認証サービスサーバ１００では、クライアント証明書から組織ＩＤを取得することができるため、組織リポジトリサーバ８を特定することができる。

図１３は、認証処理を説明するための図である。図１３において、組織Ａのユーザが組織Ａユーザ端末６２ａから所望のサービスを受けるためにサービスサーバ９にアクセスする（ステップＳ７１）。このサイトアクセスは、認証サービスサーバ１００へとリダイレクトされる。

認証サービスサーバ１００のサービスポータル１７１は、リダイレクトされたサイトアクセスに応じて、認証要求を組織Ａユーザ端末６２ａに対して行う（ステップＳ７２）。組織Ａユーザ端末６２ａには、認証画面が表示され、組織Ａユーザは、ユーザＩＤ及びパスワードを入力する。組織Ａユーザは、従来から組織内で利用しているユーザＩＤ及びパスワードを入力すれば良い。組織Ａユーザが入力したユーザＩＤ及びパスワードは、クライアント証明書で暗号化されて認証サービスサーバ１００へ送信される。認証プロ後コルには、SAML（Security Assertion Markup Language） OpenID Connect等を利用することで、ＳＳＯを実現できる。

認証サービスサーバ１００のサービスポータル１７１は、クライアント証明書を認証局の公開鍵で解読して、ユーザＩＤ及びパスワードを取得し、また、クライアント証明書の拡張領域から組織ＩＤを取得する（ステップＳ７３）。

ステップＳ７３において、サービスポータル１７１は、組織ＩＤを用いて、データベースサーバ１７３に組織認証情報テーブル１３４からリポジトリアドレス情報を要求する。データベースサーバ１７３からリポジトリアドレス情報を取得すると、サービスポータル１７１は、連携サーバ１７２を介して、組織Ａリポジトリサーバ８ａに組織Ａユーザ端末６２ａから受信したユーザＩＤ及びパスワードを送信して、組織Ａリポジトリサーバ８ａにユーザＩＤ及びパスワードによる認証を要求する。組織Ａリポジトリサーバ８ａは、認証サービスサーバ１００から受信したユーザＩＤ及びパスワードで認証処理を行い、その認証結果を認証サービスサーバ１００へ送信する。

認証サービスサーバ１００のサービスポータル１７１は、認証結果を組織Ａユーザ端末６２ａを介してサービスサーバ９へ送信する（ステップＳ７５）。サービスサーバ９は、認証結果が認証成功を示す場合、サービスの利用画面を組織Ａユーザ端末６２ａに送信し、組織Ａユーザによるサービスの利用が開始される（ステップＳ７６）。認証結果が認証失敗を示す場合、サービスサーバ９は、認証が失敗したことを組織Ａユーザ端末６２ａに通知する。

図１４は、認証シーケンスを示す図である。図１４において、サービスサーバ９は、組織Ａユーザ端末６２ａからのサイトアクセスを検出すると（ステップＳ８１）、認証リダイレクト要求を組織Ａユーザ端末６２ａに送信する（ステップＳ８２）。認証リダイレクト要求には、リダイレクト先に認証サービスサーバ１００のサービスポータル１７１を指定したRedirect URLが含まれている。

組織Ａユーザ端末６２ａでは、Redirect URLにより認証サービスサーバ１００のサービスポータル１７１へサービスサイト９へのサイトアクセスがリダイレクトされる（ステップＳ８３）。

サービスポータル１７１は、リダイレクトに応じて、組織Ａユーザ端末６２ａから組織Ａユーザの認証情報（ユーザＩＤ及びパスワード）を取得する。組織Ａユーザの認証情報は、クライアント証明書によって正当性が保証される。サービスポータル１７１は、セッションＩＤ、組織ＩＤ、リモートＩＰアドレス等のチェックを行う（ステップＳ８４）。サービスポータル１７１は、クライアント証明書を認証局の公開鍵で解読することで、ユーザＩＤ及びパスワードを取得する。

そして、サービスポータル１７１は、クライアント証明書の拡張領域に設定された組織ＩＤを指定した組織Ａの認証ポリシーの取得要求をデータベースサーバ１７３に行う（ステップＳ８５）。

データベースサーバ１７３は、組織認証情報テーブル１３４において、認証ポリシーの取得要求で指定される組織ＩＤと一致するレコードから認証ポリシー情報を取得して、サービスポータル１７１に送信する（ステップＳ８６）。

サービスポータル１７１は、組織Ａユーザの認証を開始し（ステップＳ８７）、組織Ａユーザ端末６２ａから受信したユーザＩＤ及びパスワードを指定した認証要求を組織Ａリポジトリサーバ８ａに送信する（ステップＳ８８）。

組織Ａリポジトリサーバ８ａでは、認証要求に応じて、認証要求で指定されるユーザＩＤ及びパスワードを用いて認証処理を実行し（ステップＳ９０）、その認証結果を示す認証応答をサービスポータル１７１に送信する（ステップＳ９１）。サービスポータル１７１は、連携サーバ１７２を介して認証応答を受信すると、認証結果を付与してリダイレクトさせる応答を組織Ａユーザ端末６２ａに送信する（ステップＳ９２）。

サービスサーバ９は、組織Ａユーザ端末６２ａからリダイレクトされた認証結果を受信する（ステップＳ９３）。認証結果が認証成功を示す場合、サービスサーバ９は、組織Ａユーザ端末６１ａへ、ステップＳ８１のサイトアクセスに対してサービス利用開始を通知する（ステップＳ９４）。組織Ａユーザ端末６１ａの組織Ａユーザは、サービスサーバ９のサービスを利用できる。一方、認証結果が認証失敗を示す場合、サービスサーバ９は、組織Ａユーザへのサービスの利用を許可しない。

上述では、組織Ａを一例として説明したが、他の夫々の組織に対しても、同様に、組織毎の組織リポジトリサーバ８を特定でき、ユーザによる組織ＩＤの入力を省略することができ、ユーザ認証時の利便性を改善することができる。

本実施例では、組織を跨って１以上のサービスが提供されるサービス利用形態において、認証サービスサーバが、複数の組織に認証サービス３を提供し、認証の過程で、組織固有の組織内認証サーバでの認証を必要とするとき、簡単な構成で、ユーザが所属する組織を特定するための組織ＩＤを入力する手間を省くことができる。また、組織内で認証を行っていたときと何ら変更することなく、ＳＳＯを実現可能である。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

以上の実施例を含む実施形態に関し、更に以下の付記を開示する。
（付記１）
組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶部に記憶し、
前記ユーザに対する証明書の発行要求を受けると、認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行し、
前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに基づいて、該組織の組織内の認証サーバと接続し、該認証サーバでの認証を行う
処理をコンピュータが行う認証サービス方法。
（付記２）
前記組織ＩＤを前記証明書の標準仕様の拡張領域に設定して、前記認証局に前記発行要求を行う処理を前記コンピュータが行うことを特徴とする付記１記載の認証サービス方法。
（付記３）
前記ユーザ端末からのアクセスに対するサービスサーバによるリダイレクトによって認証要求を受信すると、該ユーザ端末に対して認証情報を要求して、前記ユーザ端末から前記組織ＩＤを含んだ証明書と前記認証情報とを受信し、
前記証明書内の前記組織ＩＤを用いて、前記記憶部から前記認証サーバ識別情報を取得して、前記認証サーバに前記ユーザ端末から取得した前記認証情報で前記ユーザを認証させる
処理を前記コンピュータが行うことを特徴とする付記１又は２記載の認証サービス方法。
（付記４）
前記認証サーバから前記認証結果を受信し、
前記認証結果をリダイレクトにより、前記ユーザ端末を介して、前記サービスサーバに送信する
処理を前記コンピュータが行うことを特徴とする付記３記載の認証サービス方法。
（付記５）
組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶する記憶部と、
前記ユーザに対する証明書の発行要求を受けると、認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行する証明書発行部と、
前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに基づいて、該組織の組織内の認証サーバと接続し、該認証サーバでの認証を行うユーザ認証部と、
を有する認証サービスサーバ。
（付記６）
複数の組織の各組織に属するユーザの認証情報を管理する該組織内の認証サーバと、
前記組織に属する前記ユーザの正当性を証明する証明書を発行する認証局と、
前記ユーザを認証する認証サービスサーバとを有し、
前記認証サービスサーバは、
各組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶する記憶部と、
前記ユーザに対する証明書の発行要求を受けると、前記認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行する証明書発行部と、
前記記憶部を参照することにより、前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに対応付けられた認証サーバと接続し、該認証サーバでの認証を行うユーザ認証部と、
を有する認証サービスシステム。
（付記７）
認証サービスサーバは、
前記複数の組織が利用する１以上のサービスサーバに代わって、前記ユーザが属する組織の組織ＩＤに対応付けられた前記認証サーバに接続する
ことを特徴とする付記６記載の認証サービスシステム。
（付記８）
組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶し、
前記ユーザに対する証明書の発行要求を受けると、認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行し、
前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに基づいて、該組織の組織内の認証サーバと接続し、該認証サーバでの認証を行う
処理をコンピュータに行わせる認証サービスプログラム。

２ インターネット（又は専用線）
３ 認証サービス、 ４ 中間認証局
４ｒ ルート証明機関、 ５ 認証サービス管理者端末
８ 組織リポジトリサーバ、 ９ サービスサーバ
１１ ＣＰＵ、 １２ 主記憶装置
１３ 補助記憶装置、 １４ 入力装置
１５ 表示装置、 １７ 通信Ｉ／Ｆ
１８ ドライブ、 １９ 記憶媒体
４１ 登録局（ＲＡ）、 ４２ 発行局（ＩＡ）
４３ リポジトリ
６１ 組織管理者端末、 ６２ 組織ユーザ端末
１００ 認証サービスサーバ
１３１ 権限マスタ、 １３２ 組織請求先情報テーブル
１３３ 加入者情報テーブル、 １３４ 組織認証情報テーブル
１３５ 組織情報テーブル、 １３６ サービス情報テーブル
１７１ サービスポータル（Ｗｅｂサーバ）
１７２ 連携サーバ、 １７３ データベースサーバ

Claims (5)

1. 組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶部に記憶し、
   前記ユーザに対する証明書の発行要求を受けると、認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行し、
   前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに基づいて、該組織の組織内の認証サーバと接続し、該認証サーバでの認証を行う
   処理をコンピュータが行う認証サービス方法。
2. 前記組織ＩＤを前記証明書の標準仕様の拡張領域に設定して、前記認証局に前記発行要求を行う処理を前記コンピュータが行うことを特徴とする請求項１記載の認証サービス方法。
3. 前記ユーザ端末からのアクセスに対するサービスサーバによるリダイレクトによって認証要求を受信すると、該ユーザ端末に対して認証情報を要求して、前記ユーザ端末から前記組織ＩＤを含んだ証明書と前記認証情報とを受信し、
   前記証明書内の前記組織ＩＤを用いて、前記記憶部から前記認証サーバ識別情報を取得して、前記認証サーバに前記ユーザ端末から取得した前記認証情報で前記ユーザを認証させる
   処理を前記コンピュータが行うことを特徴とする請求項１又は２記載の認証サービス方法。
4. 組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶する記憶部と、
   前記ユーザに対する証明書の発行要求を受けると、認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行する証明書発行部と、
   前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに基づいて、該組織の組織内の認証サーバと接続し、該認証サーバでの認証を行うユーザ認証部と、
   を有する認証サービスサーバ。
5. 複数の組織の各組織に属するユーザの認証情報を管理する該組織内の認証サーバと、
   前記組織に属する前記ユーザの正当性を証明する証明書を発行する認証局と、
   前記ユーザを認証する認証サービスサーバとを有し、
   前記認証サービスサーバは、
   各組織の組織ＩＤに対応付けて、該組織に所属するユーザのユーザＩＤと、該組織に含まれる各ユーザの認証情報が管理されている該組織内の認証サーバの認証サーバ識別情報とを記憶する記憶部と、
   前記ユーザに対する証明書の発行要求を受けると、前記認証局に組織ＩＤを含めた証明書の発行要求を行って、該認証局から組織ＩＤを含んだ証明書を受信すると、前記ユーザに受信した該証明書を発行する証明書発行部と、
   前記記憶部を参照することにより、前記ユーザのユーザ端末からの認証要求に応じて受信される前記証明書に含まれる組織ＩＤに対応付けられた認証サーバと接続し、該認証サーバでの認証を行うユーザ認証部と、
   を有する認証サービスシステム。

Images