JP6347732B2 - 認証システム - Google Patents

Description

本発明は、認証システムの技術に関し、特に、ユーザ端末がネットワークへ接続及びログインする際の認証技術に関する。

ＬＡＮやインターネット等のネットワークを含む通信システムは、ユーザ端末がネットワークへ接続及びログインする際に、認証を行う場合がある。

認証の例として、ユーザ認証がある。ユーザ認証は、ユーザのアカウントとして例えばユーザＩＤ及びパスワードの組合せを用いた認証である。ユーザ端末は、ログインの際、認証機器へアクセスする。認証機器は、認証サーバとの通信に基づいて、ユーザ認証を行い、その結果に応じてログインを許可または不許可にする。認証サーバは、ユーザのアカウントが設定された認証ＤＢを参照してユーザ認証を行う。

認証の例として、端末認証がある。端末認証は、ユーザ端末の識別情報として例えばＭＡＣアドレスを用いた認証である。ユーザ端末は、ログインの際、認証機器へアクセスする。認証機器は、認証サーバとの通信に基づいて、端末認証を行い、その結果に応じてログインを許可または不許可にする。認証サーバは、ユーザ端末の識別情報が設定された認証ＤＢを参照して端末認証を行う。

ログインの際の認証に係わる先行技術例として、特開２００７−２０８７５９号公報（特許文献１）が挙げられる。特許文献１には、認証スイッチにおいて、ユーザＩＤ及びパスワードを用いたユーザ認証の成功後、更に、ユーザＩＤ、パスワード、及びＭＡＣアドレスの３種類のデータを用いた認証を行う旨が記載されている。

特開２００７−２０８７５９号公報

従来、ユーザ端末がネットワークへログインする際にユーザ認証を行う認証システムでは、ユーザは、再ログインまたは再接続の度に、ユーザ認証用のアカウントの再入力等の作業が要求される。よって、従来の認証システムは、ユーザの手間が大きくなる場合があり、ユーザの利便性の観点では改善余地がある。

再ログインまたは再接続の例としては以下が挙げられる。第１の例は、同じ認証機器にアクセスする例である。ユーザ端末は、１回目のログインの際、第１の認証機器へアクセスし、ユーザ認証を経てログインし、サービスの利用後、ログアウトするか、ログインしたまま接続を切断する。その後、ユーザ端末は、２回目のログインまたは接続の際、同じ第１の認証機器へアクセスし、ユーザ認証を経てログインする。第２の例は、ネットワークに接続される複数の認証機器のうち、異なる認証機器にアクセスする例である。ユーザ端末は、１回目のログインの際、第１の認証機器へアクセスし、ユーザ認証を経てログインし、サービスの利用後、ログアウトするか、ログインしたまま接続を切断する。その後、ユーザ端末は、２回目のログインまたは接続の際、第２の認証機器へアクセスし、ユーザ認証を経てログインする。いずれの例も、ユーザ認証の度にアカウントの再入力が要求される。

本発明の目的は、ユーザ端末がネットワークへ接続及びログインする際に認証を行う認証システムに関して、ネットワークのセキュリティを確保しつつ、アカウントの再入力等のユーザの手間を軽減でき、ユーザの利便性を向上できる技術を提供することである。

本発明のうち代表的な実施の形態は、認証システムであって、以下に示す構成を有することを特徴とする。

（１） 一実施の形態の認証システムは、ネットワークに接続され、ユーザ端末がネットワークへログインする際にアクセスする認証機器と、ネットワークに接続され、ログインの際に、端末認証、及びユーザ認証を行う認証サーバと、端末認証用のＭＡＣアドレスが登録される端末認証ＤＢと、ユーザ認証用のアカウントが登録されるユーザ認証ＤＢと、を備え、認証機器は、アクセスを受けた場合、端末認証要求、及びユーザ端末のＭＡＣアドレスを、認証サーバへ送信する第１の処理と、認証サーバから端末認証応答を受信し、端末認証の成功の場合、ログインを許可し、端末認証の失敗の場合、ログインを不許可にする第２の処理と、端末認証の失敗の場合、ユーザ認証要求、ユーザにより入力されたアカウント、及びユーザ端末のＭＡＣアドレスを、認証サーバへ送信する第３の処理と、認証サーバからユーザ認証応答を受信し、ユーザ認証の成功の場合、ログインを許可し、ユーザ認証の失敗の場合、ログインを不許可にする第４の処理と、を行い、認証サーバは、端末認証要求、及びＭＡＣアドレスを受信し、端末認証ＤＢを参照して端末認証を行い、当該端末認証の成功または失敗を表す端末認証応答を認証機器へ送信する処理と、ユーザ認証要求、アカウント、及びＭＡＣアドレスを受信し、ユーザ認証ＤＢを参照してユーザ認証を行い、当該ユーザ認証の成功または失敗を表すユーザ認証応答を認証機器へ送信し、当該ユーザ認証の成功の場合、当該ＭＡＣアドレスを、端末認証用のＭＡＣアドレスとして端末認証ＤＢに登録する処理と、を行う。

（２） 一実施の形態の認証システムは、ネットワークに接続され、ユーザ端末がネットワークへログインする際にアクセスする認証機器と、ネットワークに接続され、ログインの際に、端末認証、及びユーザ認証を行う認証サーバと、端末認証用のＭＡＣアドレスが登録される端末認証ＤＢと、ユーザ認証用のアカウントが登録されるユーザ認証ＤＢと、を備え、認証機器として、第１の認証機器、及び第２の認証機器を有し、第１の認証機器は、アクセスを受けた場合、ユーザ認証要求、ユーザにより入力されたアカウント、及びユーザ端末のＭＡＣアドレスを、認証サーバへ送信する処理と、認証サーバからユーザ認証応答を受信し、ユーザ認証の成功の場合、ログインを許可し、ユーザ認証の失敗の場合、ログインを不許可にする処理と、を行い、第２の認証機器は、アクセスを受けた場合、端末認証要求、及びユーザ端末のＭＡＣアドレスを、認証サーバへ送信する処理と、認証サーバから端末認証応答を受信し、端末認証の成功の場合、ログインを許可し、端末認証の失敗の場合、ログインを不許可にする処理と、を行い、認証サーバは、第２の認証機器から、端末認証要求、及びＭＡＣアドレスを受信し、端末認証ＤＢを参照して端末認証を行い、当該端末認証の成功または失敗を表す端末認証応答を第２の認証機器へ送信する処理と、第１の認証機器から、ユーザ認証要求、アカウント、及びＭＡＣアドレスを受信し、ユーザ認証ＤＢを参照してユーザ認証を行い、当該ユーザ認証の成功または失敗を表すユーザ認証応答を第１の認証機器へ送信し、当該ユーザ認証の成功の場合、当該ＭＡＣアドレスを、端末認証用のＭＡＣアドレスとして端末認証ＤＢに登録する処理と、を行う。

本発明のうち代表的な実施の形態によれば、ユーザ端末がネットワークへ接続及びログインする際に認証を行う認証システムに関して、ネットワークのセキュリティを確保しつつ、アカウントの再入力等のユーザの手間を軽減でき、ユーザの利便性を向上できる。

本発明の実施の形態１の認証システムの構成を示す図である。 実施の形態１における、認証スイッチ及び認証サーバの構成を示す図である。 実施の形態１における、認証スイッチ内の制御処理の概要のフローを示す図である。 実施の形態１における、ユーザ認証ＤＢ、端末認証ＤＢ、及びリストの構成例を示す図である。 実施の形態１における、第１の例における１回目のログインの際の通信処理シーケンスを示す図である。 実施の形態１における、第１の例における２回目のログインの際の通信処理シーケンスを示す図である。 実施の形態１における、第２の例における２回目のログインの際の通信処理シーケンスを示す図である。 本発明の実施の形態２の認証システムの構成を示す図である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において同一部には原則として同一符号を付し、その繰り返しの説明は省略する。

（実施の形態１）
図１〜図７を用いて、本発明の実施の形態１の認証システムについて説明する。

［認証システム］
図１は、実施の形態１の認証システムの構成を示す。実施の形態１の認証システムは、複数のユーザ端末１、複数の認証スイッチ２、認証サーバ３、及びＷｅｂサーバ８等の他の装置がネットワーク４に接続される構成である。

実施の形態１の認証システムでは、ユーザ端末１がネットワーク４へ接続及びログインする際に、認証が行われる。認証として、ユーザ認証、端末認証がある。ユーザ認証は、ユーザのアカウントとしてユーザＩＤ及びパスワードを用いた認証である。端末認証は、ユーザ端末の識別情報としてＭＡＣアドレスを用いた認証である。ユーザ認証の際には、ユーザがアカウントを入力する必要がある。端末認証の際には、ユーザがユーザ端末の識別情報を入力する必要が無い。

ネットワーク４は、ＬＡＮやインターネット等の通信網である。実施の形態１では、ネットワーク４は、１つの社内ＬＡＮである。なお、ネットワーク４は、複数のネットワークの接続により構成されてもよい。例えば、ネットワーク４は、第１の認証スイッチを含む第１のＬＡＮ、第２の認証スイッチを含む第２のＬＡＮ、及び認証サーバを含むＬＡＮ、等の接続により構成されてもよい。

複数のユーザは、社内ＬＡＮを利用する社員等である。複数のユーザとして、ユーザ９ａ、ユーザ９ｂ、等がいる。ユーザには、予め、ユーザ認証用のアカウントが割り当てられる。ユーザのアカウントは、ユーザＩＤとパスワードとの組合せにより構成される。例えば、ユーザ９ａのアカウントをＡ１、ユーザ９ｂのアカウントをＡ２、等とする。

ユーザ端末１は、ユーザが使用するＰＣやスマートフォン等の各種の端末装置である。複数のユーザ端末１として、ユーザ９ａのユーザ端末１ａ、ユーザ９ｂのユーザ端末１ｂ、等がある。ユーザ端末１は、図示しないプロセッサ、メモリ、通信インタフェース装置、入力装置、表示装置、等のハードウェアを備え、ＯＳ、Ｗｅｂブラウザ等のソフトウェアを備える。ユーザ端末１は、ネットワーク４へ接続する際、認証スイッチ２へアクセスし、認証スイッチ２と通信を行う。ユーザ端末１は、通信のためのＭＡＣアドレスを有する。ユーザ端末１のＭＡＣアドレスは、端末認証用の識別情報として用いられる。ユーザ端末１ａのＭＡＣアドレスをＭａ、ユーザ端末１ｂのＭＡＣアドレスをＭｂ、等とする。

ネットワーク４に接続される複数の認証スイッチ２として、認証スイッチ２ａ〜２ｍがある。認証スイッチ２は、レイヤ２及びレイヤ３のスイッチ機能を備えると共に、認証サーバ３との連係での通信に基づいて認証を行う機能を備える認証機器である。認証スイッチ２は、ネットワーク４のエッジに接続されるノードであり、ユーザ端末１をネットワーク４へ接続する。認証スイッチ２は、ＩＰアドレスを持つ。認証スイッチ２ａのＩＰアドレスをＩＰ１、認証スイッチ２ｍのＩＰアドレスをＩＰｍ、等とする。

ユーザ端末１と認証スイッチ２は、所定の通信インタフェース、例えばイーサネット（登録商標）で接続される。この接続は、有線接続でもよいし、無線接続でもよい。無線接続の場合は以下である。ネットワーク４は、無線ＬＡＮを含む。認証スイッチ２には、無線ＬＡＮアクセスポイント装置が接続される。ユーザ端末１は、無線通信機能を持つ携帯端末であり、無線ＬＡＮアクセスポイント装置との無線接続を通じて、認証スイッチ２と接続する。なお、認証スイッチ２は、無線ＬＡＮアクセスポイント機能を備える装置でもよい。

認証スイッチ２及び認証サーバ３は、ユーザ認証と端末認証との両方に対応した機能を備える。認証スイッチ２は、ユーザ認証クライアント及び端末認証クライアントであり、認証サーバ３は、ユーザ認証サーバ及び端末認証サーバである。ユーザ端末１がネットワーク４へログインする際、認証スイッチ２と認証サーバ３との間では、RADIUSプロトコルに基づいて、クライアントサーバ通信により、ユーザ認証の処理が行われる。同様に、ログインの際、認証スイッチ２と認証サーバ３との間では、クライアントサーバ通信により、端末認証の処理が行われる。

また、認証スイッチ２は、ユーザ端末１のＭＡＣアドレスを用いた接続制限を行う機能を備える。接続制限は、ユーザ端末１がネットワーク４へ接続することに関する制限及び制御である。認証スイッチ２は、ユーザ認証の結果及び端末認証の結果に応じて、接続制限を行う。認証スイッチ２は、接続制限の管理のためのリスト７を保持する。例えば、認証スイッチ２ａはリスト７ａを保持し、認証スイッチ２ｍはリスト７ｍを保持する。実施の形態１では、リスト７は、接続許可ＭＡＣアドレスリスト表である。認証スイッチ２は、認証の結果に基づいて、ネットワーク４への接続が許可されるユーザ端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとして、リスト７に登録する。図１では、初期設定として、各認証スイッチ２のリスト７には、接続許可ＭＡＣアドレスが登録されていない。

認証スイッチ２と認証サーバ３は、ネットワーク４上、ＴＣＰ／ＩＰ、及びＵＤＰ等の所定のプロトコルで通信を行う。認証サーバ３は、所定のＩＰアドレスを持つ。各認証スイッチ２は、所定のＩＰアドレスを宛先として認証サーバ３へアクセスする。

認証サーバ３は、ユーザ認証機能、端末認証機能、設定機能、等を備えるサーバ装置である。設定機能は、アカウント管理機能を含む。実施の形態１では、認証サーバ３は、ユーザ認証ＤＢ５、及び端末認証ＤＢ６を保持する。ユーザ認証ＤＢ５は、ユーザ認証用のアカウント５０が登録及び管理されるデータベースである。端末認証ＤＢ６は、端末認証用のＭＡＣアドレス６０が登録及び管理されるデータベースである。認証サーバ３は、認証スイッチ２との通信に基づいて、ユーザ認証ＤＢ５のアカウント５０を参照しながら、ユーザ認証を行う。また、認証サーバ３は、認証スイッチ２との通信に基づいて、端末認証ＤＢ６のＭＡＣアドレス６０を参照しながら、端末認証を行う。

アカウント管理機能は、ユーザ認証ＤＢ５のアカウント５０を管理する機能である。設定機能は、管理者９０を含む外部に対するインタフェースとして設定画面を提供する。管理者９０は、例えばネットワーク４の管理者である。管理者９０は、運用管理保守用の端末から認証サーバ３へアクセスし、認証サーバ３の設定機能による設定画面を表示する。設定画面は、ユーザ認証ＤＢ５のアカウント５０の設定内容を表示する。管理者９０は、設定画面でアカウント５０の設定や確認が可能である。管理者９０は、予め、ユーザ認証ＤＢ５のアカウント５０に、正規の複数のユーザに関する、ユーザ認証用のアカウントを設定する。正規のユーザは、ネットワーク４へのログイン及びネットワーク４上のサービスの利用等が許可される。図１では、初期設定として、ユーザ認証ＤＢ５のアカウント５０には、アカウントＡ１，Ａ２等が登録されている。なお、初期設定では、端末認証ＤＢ６には、端末認証用のＭＡＣアドレスが登録されていない。

Ｗｅｂサーバ８は、ネットワーク４上でサービスを提供する装置の例である。ユーザ端末１は、認証スイッチ２を通じてネットワーク４へログインした後のログイン状態において、Ｗｅｂサーバ８等にアクセスしてサービスを利用できる。Ｗｅｂサーバ８は、ユーザ端末１からの認証スイッチ２を通じたアクセスに対してＷｅｂページ等を提供する。

ユーザ端末１がネットワーク４へ接続及びログインする際、ユーザ端末１と認証スイッチ２と認証サーバ３との間では、端末認証及びユーザ認証が行われる。認証スイッチ２は、端末認証、ユーザ認証の順に制御を行う。認証サーバ３は、ユーザ認証ＤＢ５のアカウント５０を用いてユーザ認証を行い、端末認証ＤＢ６のＭＡＣアドレス６０を用いて端末認証を行う。また、ユーザ端末１と認証スイッチ２との間では、認証の結果に基づいて、ＭＡＣアドレスを用いた接続制限が行われる。

ユーザ端末１がネットワーク４へ１回目にログインした際には、端末認証及びユーザ認証が行われる。そのユーザ認証が成功した場合、そのユーザ端末１のＭＡＣアドレスが、端末認証用のＭＡＣアドレスとして、端末認証ＤＢ６に登録される。同じユーザ端末１が同じネットワーク４へ２回目以降にログインまたは接続した際には、端末認証ＤＢ６に登録済みのＭＡＣアドレスを用いて端末認証が行われる。その端末認証の成功により、ユーザ認証が省略される。

実施の形態１の認証システムでは、ユーザ認証、端末認証、及び接続制限の機能により、ネットワーク４のセキュリティが確保される。

［認証スイッチ及び認証サーバ］
図２は、図１の認証スイッチ２及び認証サーバ３の構成を示す。

認証スイッチ２は、図示しないプロセッサ、メモリ、通信インタフェース装置、等の要素により構成される。認証スイッチ２は、プロセッサ等によるソフトウェア処理またはハードウェア処理により、ユーザ認証クライアント部２１、端末認証クライアント部２２、及び接続制限部２３を実現する。認証スイッチ２は、メモリに、リスト７を含む情報を格納する。通信インタフェース装置は、複数のポートを含む。複数のポートは、ユーザ端末１と接続されるポート、及びネットワーク４と接続されるポートを含み、ポート毎に所定の通信インタフェースによる通信処理を行う。

ユーザ認証クライアント部２１は、ユーザ認証クライアントとしての処理を行う。ユーザ認証クライアント部２１は、ユーザ端末１のユーザ認証を行う場合、認証サーバ３のユーザ認証サーバ部３１と通信する。ユーザ認証クライアント部２１は、ユーザ端末１へユーザ認証ページを提供し、ユーザ認証ページによりユーザ認証画面を表示させる。ユーザ認証クライアント部２１は、ユーザ認証画面でユーザが入力したアカウント、及びユーザ認証の要求を、ユーザ認証サーバ部３１へ送信する。ユーザ認証クライアント部２１は、ユーザ認証サーバ部３１からユーザ認証の結果を表す応答を受信し、その結果に応じて、ログインを許可または不許可にする。

また、ユーザ認証クライアント部２１は、ユーザ認証の要求を送信する際、当該要求に、ユーザ端末１のＭＡＣアドレスを含む情報を付属させる処理を行う。

端末認証クライアント部２２は、端末認証クライアントとしての処理を行う。端末認証クライアント部２２は、ユーザ端末１の端末認証を行う場合、認証サーバ３の端末認証サーバ部３２と通信する。端末認証クライアント部２２は、アクセスしてきたユーザ端末１のＭＡＣアドレス、及び端末認証の要求を、端末認証サーバ部３２へ送信する。端末認証クライアント部２２は、端末認証サーバ部３２から端末認証の結果を表す応答を受信し、その結果に応じて、ログインを許可または不許可にする。

接続制限部２３は、メモリのリスト７を読み書きしながら、ユーザ端末１のＭＡＣアドレスを用いた接続制限の処理を行う。認証スイッチ２は、ユーザ認証の成功や端末認証の成功の場合、リスト７に接続許可ＭＡＣアドレスを登録する。接続許可ＭＡＣアドレスは、言い換えれば認証済みＭＡＣアドレスである。リスト７において接続許可ＭＡＣアドレスが登録された状態は、接続許可状態及び認証済み状態に相当し、登録されていない状態は、接続不許可状態及び未認証状態に相当する。

接続制限部２３は、ユーザ認証クライアント部２１からの通知に基づいて、ユーザ認証の結果を認識する。同様に、接続制限部２３は、端末認証クライアント部２２からの通知に基づいて、端末認証の結果を認識する。接続制限部２３は、ユーザ認証が成功の場合、または端末認証が成功の場合、ユーザ端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとしてリスト７に登録する。

また、接続制限部２３は、ユーザ端末１がネットワーク４からログアウトして接続を切断した場合、あるいは、ユーザ端末１がログインしてからログイン状態のままログアウトせずに無通信状態が一定時間続いた場合、リスト７に登録されている当該ユーザ端末１の接続許可ＭＡＣアドレスを削除する。

接続制限部２３は、ユーザ端末１からのアクセスを受けた場合、ユーザ端末１からのフレームの送信元ＭＡＣアドレス、及びリスト７を確認し、確認の結果に応じて、ネットワーク４への接続を許可または不許可にする。接続制限部２３は、送信元ＭＡＣアドレスが、リスト７に接続許可ＭＡＣアドレスとして登録されている場合、ユーザ端末１の接続を許可し、登録されていない場合、不許可にする。接続制限部２３は、許可の場合、ユーザ端末１からポートで受信したフレームを通過させ、不許可の場合、フレームを破棄する。

認証スイッチ２は、ユーザ端末１からのアクセスに対し、まず接続制限部２３による接続制限の処理を行う。認証スイッチ２は、接続制限の処理の結果が、接続不許可である場合、端末認証クライアント部２２による端末認証の処理として、端末認証の要求を認証サーバ３へ送信する。認証スイッチ２は、端末認証が失敗である場合、ユーザ認証クライアント部２１により、ユーザ端末１のユーザ認証を行う。具体的には、ユーザ認証クライアント部２１は、ユーザ端末１にユーザ認証ページを提供し、ユーザ端末１から入力されたアカウント、ユーザ端末１のＭＡＣアドレス、及びユーザ認証の要求を、認証サーバ３へ送信する。

認証サーバ３は、図示しないプロセッサ、メモリ、通信インタフェース装置、等の要素により構成される。認証サーバ３は、プロセッサ等によるソフトウェア処理またはハードウェア処理により、ユーザ認証サーバ部３１、端末認証サーバ部３２、及び設定部３３を実現する。設定部３３は、アカウント管理部３３Ａを含む。認証サーバ３は、メモリに、ユーザ認証ＤＢ５、端末認証ＤＢ６等の情報を格納する。通信インタフェース装置は、ネットワーク４と接続されるポートを含み、ＴＣＰ／ＩＰ、及びＵＤＰ等のプロトコルで通信処理を行う。

ユーザ認証サーバ部３１は、ユーザ認証サーバとしての処理を行う。ユーザ認証サーバ部３１は、ユーザ認証クライアント部２１との通信に基づいて、メモリのユーザ認証ＤＢ５のアカウント５０を参照しながら、ユーザ認証の処理を行う。ユーザ認証サーバ部３１は、ユーザ認証の要求に対し、入力されたアカウントと、ユーザ認証ＤＢ５のアカウント５０とを比較し、入力されたアカウントのユーザＩＤ及びパスワードが、アカウント５０に登録されているユーザＩＤ及びパスワードと一致する場合、ユーザ認証の結果を成功とし、不一致の場合、結果を失敗とする。ユーザ認証サーバ部３１は、ユーザ認証の結果を表す応答をユーザ認証クライアント部２１へ送信する。

また、ユーザ認証サーバ部３１は、ユーザ認証が成功であった場合、それによりログインが許可される状態となったユーザ端末１のＭＡＣアドレスを、端末認証用のＭＡＣアドレスとして、端末認証ＤＢ６のＭＡＣアドレス６０に登録する。

端末認証サーバ部３２は、端末認証サーバとしての処理を行う。端末認証サーバ部３２は、端末認証クライアント部２２との通信に基づいて、メモリの端末認証ＤＢ６のＭＡＣアドレス６０を参照しながら、端末認証の処理を行う。端末認証サーバ部３２は、端末認証の要求に対し、当該要求に含まれるＭＡＣアドレスと、端末認証ＤＢ６に登録されているＭＡＣアドレス６０とを比較する。その結果、端末認証サーバ部３２は、要求に含まれるＭＡＣアドレスに一致するＭＡＣアドレスが登録済みである場合、端末認証の結果を成功とし、未登録である場合、結果を失敗とする。端末認証サーバ部３２は、端末認証の結果を表す応答を端末認証クライアント部２２へ送信する。

設定部３３は、設定機能に対応した処理を行う。アカウント管理部３３Ａは、アカウント管理機能に対応した処理を行う。設定部３３は、管理者９０を含む外部からの指示や通知を受け付ける。アカウント管理部３３Ａは、指示や通知に従い、ユーザ認証ＤＢ５のアカウント５０を設定する処理を行う。

［認証スイッチ内の制御処理］
図３は、認証スイッチ２内における基本的な制御処理の概要を示す。S101等はステップを表す。認証スイッチ２は、内部での基本的な制御の順序として、接続制限、端末認証、及びユーザ認証の順に行う。以下、図３のステップS101〜S113の処理を説明する。

（S101） 認証スイッチ２は、ユーザ端末１からのアクセスを受ける。認証スイッチ２は、ユーザ端末１から受信したフレームの送信元ＭＡＣアドレスを参照する。

（S102） 認証スイッチ２は、まず接続制限の処理を行う。認証スイッチ２は、アクセスしてきたユーザ端末１の送信元ＭＡＣアドレスが、リスト７に接続許可ＭＡＣアドレスとして登録されているかどうかを確認する。

（S103） リスト７に登録されている場合（S102−Y）、接続許可状態を示すので、認証スイッチ２は、ユーザ端末１によるネットワーク４への接続を許可し、処理を終了する。

（S104） リスト７に登録されていない場合（S102−N）、接続不許可状態を示すので、認証スイッチ２は、ユーザ端末１によるネットワーク４への接続を不許可とする。

（S100） 次に、S100で、認証スイッチ２は、認証の処理を行う。S100の認証の処理は、S105の端末認証と、S109のユーザ認証とを含む。

（S105） 認証スイッチ２は、まず端末認証の処理を行う。認証スイッチ２は、アクセスしてきたユーザ端末１のＭＡＣアドレス、及び端末認証の要求を、認証サーバ３へ送信する。認証サーバ３は、受信したＭＡＣアドレスを用いて、端末認証ＤＢ６のＭＡＣアドレス６０を参照して端末認証を行う。認証サーバ３は、端末認証の結果を表す応答を、認証スイッチ２へ送信する。

（S106〜S108） 認証スイッチ２は、S105の応答から、端末認証の結果が成功である場合（S106-Y）、S107で、当該ユーザ端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとしてリスト７に登録する。そして、S108で、認証スイッチ２は、当該ユーザ端末１によるネットワーク４への接続を許可し、処理を終了する。

（S109） 認証スイッチ２は、S105の応答から、端末認証の結果が失敗である場合（S106-N）、次に、S109で、ユーザ認証の処理を行う。認証スイッチ２は、アクセスしてきたユーザ端末１に対し、ユーザ認証ページを提供する。ユーザ端末１は、ユーザ認証ページによるユーザ認証画面を表示する。ユーザは、ユーザ認証画面でアカウントであるユーザＩＤ及びパスワードを入力する。ユーザ端末１は、入力されたアカウントを認証スイッチ２へ送信する。認証スイッチ２は、入力されたアカウント、ユーザ認証の要求、及び当該ユーザ端末１のＭＡＣアドレスを、認証サーバ３へ送信する。認証サーバ３は、受信したアカウントを用いて、ユーザ認証ＤＢ５のアカウント５０を参照してユーザ認証を行う。認証サーバ３は、ユーザ認証の結果を表す応答を認証スイッチ２へ送信する。また、認証サーバ３は、ユーザ認証の結果が成功であった場合、受信したＭＡＣアドレスを端末認証用のＭＡＣアドレスとして端末認証ＤＢ６に登録する。

（S110〜S112） 認証スイッチ２は、S109の応答から、ユーザ認証の結果が成功である場合（S110-Y）、S111で、当該ユーザ端末１のＭＡＣアドレスを、接続許可ＭＡＣアドレスとしてリスト７に登録する。そして、S112で、認証スイッチ２は、当該ユーザ端末１によるネットワーク４への接続を許可し、処理を終了する。

（S113） 認証スイッチ２は、S109の応答から、ユーザ認証の結果が失敗である場合（S110-N）、S113で、当該ユーザ端末１によるネットワーク４への接続を不許可とし、処理を終了する。

［ユーザ認証ＤＢ］
図４の（ａ）は、ユーザ認証ＤＢ５の構成例である表を示す。この表は、「ユーザ認証用のアカウント」列を含む。「ユーザ認証用のアカウント」列は、アカウント５０に対応し、ユーザ毎に、ユーザ認証用のアカウントとして、ユーザＩＤ及びパスワードが格納される。例えば、ユーザ９ａのアカウントＡ１として、ユーザＩＤであるＩＤａ、及びパスワードであるＰＷａが設定されている。

［端末認証ＤＢ］
図４の（ｂ）は、端末認証ＤＢ６の構成例である表を示す。この表は、「端末認証用のＭＡＣアドレス」列と、「ユーザ認証成功日時」列と、「有効期限」列とを含む。「端末認証用のＭＡＣアドレス」列は、ＭＡＣアドレス６０に対応し、端末認証用の識別情報であるＭＡＣアドレスが登録される。例えば、ユーザ端末１ａについてはＭＡＣアドレス「Ｍａ」が登録されている。ユーザ端末１ｂについてはＭＡＣアドレスが登録されていない。

「ユーザ認証成功日時」列は、認証サーバ３でのユーザ認証の結果が成功となった日時、言い換えると、端末認証用のＭＡＣアドレスが登録された日時、が格納される。

「有効期限」列は、端末認証用のＭＡＣアドレスに関する有効期限の情報が格納される。有効期限に関する制御については後述する。

［リスト］
図４の（ｃ）は、リスト７である接続許可ＭＡＣアドレスリスト表の構成例を示す。このリスト７は、「接続許可ＭＡＣアドレス」列を有する。認証スイッチ２は、ユーザ端末１によるネットワーク４への接続を許可する場合、リスト７の「接続許可ＭＡＣアドレス」列に、そのユーザ端末１のＭＡＣアドレスを登録する。また、認証スイッチ２は、ユーザ端末１によるネットワーク４への接続を不許可にする場合、リスト７の「接続許可ＭＡＣアドレス」列において、そのユーザ端末１のＭＡＣアドレスを削除する。

［再ログイン及び再接続の例］
実施の形態１の認証システムにおいて、再ログイン及び再接続の例として、以下の第１の例、第２の例が挙げられる。

第１の例は、ユーザ端末１が同じ認証スイッチ２にアクセスする例である。例えば、図５に示すように、ユーザ９ａのユーザ端末１ａは、１回目にネットワーク４へ接続及びログインする際、認証スイッチ２ａへアクセスし、端末認証及びユーザ認証を経て接続及びログインし、サービスを利用する。そして、ユーザ端末１ａは、ユーザ９ａの操作に基づいて、ネットワーク４からログアウトして認証スイッチ２ａとの接続を切断するか、あるいは、ログイン状態のまま切断する。ログイン状態のままの切断は、例えば、ユーザ端末１ａの電源オフや、ユーザ端末１ａと認証スイッチ２ａとを接続する通信ケーブルが引き抜かれた場合や、ユーザ端末１ａが無線ＬＡＮアクセスポイントから離れた場合等が挙げられる。その後、図６に示すように、ユーザ９ａのユーザ端末１ａは、２回目のログインまたは接続の際、同じ認証スイッチ２ａへアクセスし、端末認証を経てログインまたは接続する。

第２の例は、ユーザ端末１が、ネットワーク４の複数の認証スイッチ２のうち、異なる認証スイッチ２にアクセスする例である。例えば、図５と同様に、ユーザ９ａのユーザ端末１ａは、１回目のログインの際、認証スイッチ２ａへアクセスし、端末認証及びユーザ認証を経て接続及びログインし、サービスを利用する。そして、ユーザ端末１ａは、ログアウトして切断するか、ログイン状態のまま切断する。その後、図７に示すように、ユーザ９ａのユーザ端末１ａは、２回目のログインまたは接続の際、認証スイッチ２ａとは異なる認証スイッチ２ｂへアクセスし、端末認証を経てログインまたは接続する。

実施の形態１の認証システムは、第１の例及び第２の例のいずれにも対応できる。ユーザ端末１は、第１の例及び第２の例のいずれによっても、ネットワーク４への再ログインまたは再接続が可能である。

［第１の例における通信処理シーケンス］
図５及び図６を用いて、第１の例における通信処理シーケンスを説明する。

図５は、第１の例における１回目のログインの際の通信処理シーケンスを示す。Ｓ１１等はステップを表す。前提の状態として、図１のように、ユーザ認証ＤＢ５にはアカウントＡ１，Ａ２等が登録済みであり、端末認証ＤＢ６にはＭＡＣアドレスが未登録であり、各認証スイッチ２のリスト７には接続許可ＭＡＣアドレスが未登録である。以下、図５のステップＳ１１〜Ｓ１９について順に説明する。

（Ｓ１１） ユーザ９ａは、ネットワーク４への１回目のログインの際、ユーザ端末１ａから認証スイッチ２ａにアクセスし、ログインを試みる。

（Ｓ１２） 認証スイッチ２ａは、Ｓ１１のユーザ端末１ａからのアクセスを受ける。認証スイッチ２ａは、前述のように内部での制御の順序に従い、まず接続制限の処理を行う。本例では、認証スイッチ２ａのリスト７ａに、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」が未登録であり接続不許可状態である。よって、認証スイッチ２ａは、次に端末認証の処理を行う。図示を省略するが、認証スイッチ２ａは、認証サーバ３との通信に基づいて、端末認証の処理を行う。本例では、端末認証ＤＢ６にはユーザ端末１ａのＭＡＣアドレス「Ｍａ」が登録されていないので、端末認証の結果は失敗になる。よって、認証スイッチ２ａは、次にユーザ認証の処理を行う。

（Ｓ１３） 認証スイッチ２ａは、認証サーバ３との通信に基づいて、ユーザ９ａのユーザ端末１ａへユーザ認証ページを提供する。ユーザ端末１ａは、受信したユーザ認証ページによるユーザ認証画面を表示する。ユーザ認証画面は、ユーザ認証用のアカウントの入力をユーザに促すメッセージ等の情報を含む。ユーザ９ａは、ユーザ認証画面で、自分のアカウントのユーザＩＤ及びパスワードを入力する。本例では、ユーザ認証ＤＢ６に登録されているアカウントＡ１｛ＩＤａ，ＰＷａ｝が入力されたとする。ユーザ端末１ａは、入力されたアカウントＡ１を認証スイッチ２ａへ送信し、認証スイッチ２ａは、アカウントＡ１を受信する。

（Ｓ１４） 認証スイッチ２ａと認証サーバ３との間では、ＩＰアドレスを用いた通信接続において、ユーザ認証の処理が行われる。認証スイッチ２ａは、ユーザ認証の要求、及びアカウントＡ１に、Ｓ１１でアクセスしてきたユーザ端末１ａのＭＡＣアドレス「Ｍａ」を付属させて、認証サーバ３へ送信する。この際、認証スイッチ２ａは、ユーザ認証の要求のパケットの中に、アカウントＡ１及びＭＡＣアドレス「Ｍａ」を含ませる。当該パケットは、ヘッダの送信元ＩＰアドレスとして、認証スイッチ２ａのＩＰアドレス「ＩＰ１」が含まれる。

（Ｓ１５） 認証サーバ３は、Ｓ１４のユーザ認証の要求、アカウントＡ１、及びＭＡＣアドレス「Ｍａ」を含む情報を受信する。認証サーバ３は、要求及びアカウントＡ１に対し、ユーザ認証ＤＢ５のアカウント５０を参照してユーザ認証を行う。本例では、入力されたアカウントＡ１と、ユーザ認証ＤＢ５のアカウント５０に設定されているアカウントＡ１とが一致するので、ユーザ認証の結果が成功になる。

（Ｓ１６） 認証サーバ３は、Ｓ１５のユーザ認証の結果として成功を表す応答を、認証スイッチ２ａへ送信する。認証サーバ３は、Ｓ１４の要求の送信元ＩＰアドレスであるＩＰアドレス「ＩＰ１」を宛先として、Ｓ１６の応答を認証スイッチ２ａへ送信する。

（Ｓ１７） また、認証サーバ３は、Ｓ１５でユーザ認証が成功となった場合、Ｓ１４の要求に付属していたＭＡＣアドレス「Ｍａ」を、当該ユーザ端末１ａに関する端末認証用のＭＡＣアドレスとして、端末認証ＤＢ６のＭＡＣアドレス６０に登録する。この登録は、２回目以降のログインまたは接続の際の端末認証の準備のために行われる。

また、認証サーバ３は、ユーザ認証の成功の日時や、それに応じて決定される有効期限の情報を、端末認証ＤＢ６内に格納する。これにより、端末認証ＤＢ６内には、図４の（ｂ）の第１行の例のように情報が登録される。

（Ｓ１８） 一方、認証スイッチ２ａは、Ｓ１６の応答を受信し、当該応答からユーザ認証の結果を認識する。認証スイッチ２ａは、ユーザ認証が成功であった場合、当該ユーザ９ａのユーザ端末１ａによる１回目のログインを許可する。認証スイッチ２ａは、ユーザ認証の成功に従い、接続制限の処理として、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」を、接続許可ＭＡＣアドレスとしてリスト７ａに登録する。

（Ｓ１９） Ｓ１８により、ユーザ端末１ａは、接続許可状態及び認証済み状態になり、認証スイッチ２ａを通じてネットワーク４との接続が確立され、ログイン状態になる。ログイン状態では、ユーザ端末１ａは、認証スイッチ２ａを通じてネットワーク４上のＷｅｂサーバ８等へのアクセス及び通信が許可され、サービスを利用可能である。認証スイッチ２ａは、ユーザ端末１ａからのフレームをポートで受信した場合、その送信元ＭＡＣアドレス「Ｍａ」がリスト７ａに登録されているため、当該フレームをポートで通過させ、宛先へ向けて転送する。

その後、ユーザ９ａは、必要に応じてネットワーク４からログアウトして、ユーザ端末１ａと認証スイッチ２ａとの接続を切断する。認証スイッチ２ａは、ユーザ端末１ａがログアウトした場合、あるいはログインしてからログアウトせずに無通信状態が続いた場合、リスト７ａからＭＡＣアドレス「Ｍａ」を削除する。これにより、ユーザ端末１ａは接続不許可状態及び未認証状態になる。

なお、変形例として、Ｓ１４の際、認証スイッチ２ａは、ユーザ認証の要求のパケットとは別に、ＭＡＣアドレス「Ｍａ」を含ませたパケットを送信するようにしてもよい。また、認証サーバ３は、Ｓ１６の応答を送信する前に、Ｓ１７の登録を行ってもよい。

図６は、図５に続き、第１の例における２回目のログインの際の通信処理シーケンスを示す。前提の状態として、端末認証ＤＢ６には、図５のＭＡＣアドレス「Ｍａ」を含む情報が登録済みである。ユーザ端末１ａは例えばログアウト済みであり、そのため、認証スイッチ２ａのリスト７ａには、ＭＡＣアドレス「Ｍａ」が登録されていない。以下、図６のステップＳ２１〜Ｓ２７について順に説明する。

（Ｓ２１） ユーザ９ａは、ネットワーク４への２回目のログインの際、ユーザ端末１ａから認証スイッチ２ａへアクセスし、ログインを試みる。

（Ｓ２２） 認証スイッチ２ａは、Ｓ２１のユーザ端末１ａからのアクセスを受ける。認証スイッチ２ａは、１回目のログインの際と同様に、まず接続制限の処理を行う。本例では、リスト７ａにＭＡＣアドレス「Ｍａ」が登録されておらず接続不許可状態である。よって、認証スイッチ２ａは、次に端末認証の処理を行う。

（Ｓ２３） 認証スイッチ２ａは、ユーザ端末１ａから受信したフレームの送信元ＭＡＣアドレスを、端末認証に用いる。認証スイッチ２ａは、端末認証の要求、及び端末１ａのＭＡＣアドレス「Ｍａ」を、認証サーバ３へ送信する。この際、認証スイッチ２ａは、端末認証の要求のパケットの中に、ＭＡＣアドレス「Ｍａ」を含ませる。また、当該パケットは、ヘッダの送信元ＩＰアドレスとして、認証スイッチ２ａのＩＰアドレス「ＩＰ１」が含まれる。

（Ｓ２４） 認証サーバ３は、Ｓ２３の端末認証の要求を受信する。認証サーバ３は、当該要求に含まれるＭＡＣアドレス「Ｍａ」を用いて、端末認証ＤＢ６のＭＡＣアドレス６０を検索し、比較することにより、端末認証を行う。認証サーバ３は、当該要求に含まれるＭＡＣアドレス「Ｍａ」が、端末認証ＤＢ６に登録済みである場合、端末認証の結果を成功とし、未登録である場合、結果を失敗とする。本例では、図５のＳ１７でＭＡＣアドレス「Ｍａ」が登録済みであるため、端末認証の結果が成功になる。

（Ｓ２５） 認証サーバ３は、端末認証の結果として成功を表す応答を、認証スイッチ２ａへ送信する。認証サーバ３は、Ｓ２３の要求の送信元ＩＰアドレスであるＩＰアドレス「ＩＰ１」を宛先として、Ｓ２５の応答を認証スイッチ２ａへ送信する。

（Ｓ２６） 認証スイッチ２ａは、Ｓ２５の応答を受信し、当該応答から端末認証の結果を認識する。認証スイッチ２ａは、端末認証の成功に従い、接続制限の処理として、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」を接続許可ＭＡＣアドレスとしてリスト７ａに登録する。認証スイッチ２ａは、端末認証が成功であるため、ユーザ認証を省略する。すなわち、ユーザ９ａはアカウントの入力が不要である。

（Ｓ２７） Ｓ２６により、ユーザ９ａのユーザ端末１ａは、接続許可状態及び認証済み状態になり、認証スイッチ２ａを通じてネットワーク４との接続が確立され、再びログイン状態になる。その後、ユーザ９ａは、必要に応じてネットワーク４からログアウトし、ユーザ端末１ａと認証スイッチ２ａとの接続を切断する。認証スイッチ２ａは、ユーザ端末１ａがログアウトした場合等には、リスト７ａからＭＡＣアドレス「Ｍａ」を削除する。

なお、上記例は、１回目でログアウトして切断した後、２回目に再ログインする例であるが、１回目でログアウトせずに切断した後、２回目に再接続する例でも、同様の動作が実現される。

更に、その後、ユーザ９ａのユーザ端末１ａは、任意の認証スイッチ２へのアクセスを通じて、３回目以降のログインまたは接続を行ってもよい。３回目以降のログインまたは接続の際にも、端末認証ＤＢ６内に有効期限内であるＭＡＣアドレス「Ｍａ」が登録済みである場合には、同様に端末認証が成功し、ユーザ認証が省略される。

［第２の例における通信処理シーケンス］
図５及び図７を用いて、第２の例における通信処理シーケンスを説明する。第２の例において、ユーザ９ａのユーザ端末１ａは、移動前の状態では、図５のように１回目のログインの際に認証スイッチ２ａの付近にいる。ユーザ９ａは、ユーザ端末１ａと共に移動し、移動後の状態では、図７のように認証スイッチ２ｂの付近にいる。

第２の例における移動前の１回目のログインの際の通信処理シーケンスは、図５と同様であるため、説明を省略する。ユーザ端末１ａは、１回目のログイン後、例えばログアウト済みである。

図７は、第２の例における移動後の２回目のログインの際の通信処理シーケンスを示す。前提の状態として、端末認証ＤＢ６には、図５のＭＡＣアドレス「Ｍａ」を含む情報が登録済みである。ユーザ９ａのユーザ端末１ａは、認証スイッチ２ｂに対しては初回のアクセスとなる。そのため、認証スイッチ２ｂのリスト７ｂにはＭＡＣアドレス「Ｍａ」が登録されていない。以下、図７のステップＳ３１〜Ｓ３７について順に説明する。

（Ｓ３１） ユーザ９ａは、ネットワーク４への２回目のログインの際、ユーザ端末１ａから認証スイッチ２ｂへアクセスし、ログインを試みる。

（Ｓ３２） 認証スイッチ２ｂは、Ｓ３１のユーザ端末１ａからのアクセスを受ける。認証スイッチ２ｂは、認証スイッチ２ａと同様に、まず接続制限の処理を行う。本例では、リスト７ｂにＭＡＣアドレス「Ｍａ」が未登録であり接続不許可状態である。よって、認証スイッチ２ｂは、次に端末認証の処理を行う。

（Ｓ３３） 認証スイッチ２ｂは、ユーザ端末１ａから受信したフレームの送信元ＭＡＣアドレスを、端末認証に用いる。認証スイッチ２ｂは、端末認証の要求、及びユーザ端末１ａのＭＡＣアドレス「Ｍａ」を、認証サーバ３へ送信する。この際、認証スイッチ２ｂは、端末認証の要求のパケットの中に、ＭＡＣアドレス「Ｍａ」を含ませる。また、当該パケットは、ヘッダの送信元ＩＰアドレスとして、認証スイッチ２ｂのＩＰアドレス「ＩＰ２」が含まれる。

（Ｓ３４） 認証サーバ３は、Ｓ３３の端末認証の要求を受信する。認証サーバ３は、当該要求に含まれるＭＡＣアドレス「Ｍａ」を用いて、端末認証ＤＢ６のＭＡＣアドレス６０を検索し、比較することにより、端末認証を行う。認証サーバ３は、当該要求に含まれるＭＡＣアドレス「Ｍａ」が、端末認証ＤＢ６に登録済みである場合、端末認証の結果を成功とし、未登録である場合、結果を失敗とする。本例では、図５のＳ１７でＭＡＣアドレス「Ｍａ」が登録済みであるため、端末認証の結果が成功になる。

（Ｓ３５） 認証サーバ３は、端末認証の結果として成功を表す応答を、認証スイッチ２ｂへ送信する。認証サーバ３は、Ｓ３３の要求の送信元ＩＰアドレスであるＩＰアドレス「ＩＰ２」を宛先として、Ｓ３５の応答を認証スイッチ２ｂへ送信する。

（Ｓ３６） 認証スイッチ２ｂは、Ｓ３５の応答を受信し、当該応答から端末認証の結果を認識する。認証スイッチ２ｂは、端末認証の成功に従い、接続制限の処理として、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」を接続許可ＭＡＣアドレスとしてリスト７ｂに登録する。認証スイッチ２ｂは、端末認証が成功であるため、ユーザ認証を省略する。すなわち、ユーザはアカウントの入力が不要である。

（Ｓ３７） Ｓ３６により、ユーザ９ａのユーザ端末１ａは、接続許可状態及び認証済み状態になり、認証スイッチ２ｂを通じてネットワーク４との接続が確立され、ログイン状態になる。その後、ユーザ９ａは、必要に応じてネットワーク４からログアウトし、ユーザ端末１ａと認証スイッチ２ｂとの接続を切断する。認証スイッチ２ｂは、ユーザ端末１ａがログアウトした場合等には、リスト７ｂからＭＡＣアドレス「Ｍａ」を削除する。

更に、その後、ユーザ端末１ａは、任意の認証スイッチ２へのアクセスを通じて、３回目以降のログインまたは接続を同様に行うことができる。また、ユーザ端末１ｂ等についても、ユーザ端末１ａと同様に、任意の認証スイッチ２を通じてネットワーク４へのログインが可能である。

上述のように、実施の形態１の認証システムでは、１回目のログインの際にはユーザ認証の成功により端末認証用のＭＡＣアドレスが登録され、２回目以降のログインまたは接続の際には端末認証の成功によりユーザ認証が省略される。ユーザは、同じネットワーク４へ再ログインまたは再接続する場合、ユーザ認証が省略されるので、アカウントの再入力等の手間が無く、すぐにログインができる。

［有効期限に関する制御］
有効期限に関する制御について説明する。実施の形態１の認証システムは、端末認証用のＭＡＣアドレスに関して、所定の有効期間による有効期限を設ける。認証サーバ３は、図４の（ｂ）のように、端末認証ＤＢ６に、端末認証用のＭＡＣアドレス毎に、有効期限の情報を管理する。

認証サーバ３は、１回目のログインの際のユーザ認証が成功となった場合、当該ユーザ端末１のＭＡＣアドレスを、図４の（ｂ）の「端末認証用のＭＡＣアドレス」列に登録し、「ユーザ認証成功日時」列に、その時点の日時を格納する。認証サーバ３は、その日時を起点として、所定の有効期間を適用し、その終点の日時を、当該ＭＡＣアドレスに関する有効期限として、「有効期限」列に格納する。

所定の有効期間は、例えば８時間や１日等、任意の値が設定される。管理者９０は、設定機能を用いて有効期間を設定可能である。有効期間は、全てのユーザ端末１で一律の設定値としてもよいし、ユーザ端末１毎に異なる設定値としてもよい。

図４の（ｂ）の例では、第１行のユーザ端末１ａのＭＡＣアドレス「Ｍａ」について、ユーザ認証成功日時が９月１日である。有効期間の設定値が例えば１日である。これにより、当該ＭＡＣアドレス「Ｍａ」の有効期限が９月２日である。

認証サーバ３は、端末認証ＤＢ６に登録されたＭＡＣアドレスについて、その有効期限が過ぎた場合、無効にする。その処理例として、認証サーバ３は、有効期限が過ぎた場合、そのＭＡＣアドレスを削除することにより無効にする。すなわち、端末認証ＤＢ５には、有効期限内である場合にはそのＭＡＣアドレスが登録されており、有効期限外である場合にはそのＭＡＣアドレスが登録されていないことになる。

認証サーバ３は、端末認証の要求を受けた場合、端末認証ＤＢ６内に有効期限内であるＭＡＣアドレスが登録されているか否かを確認する。認証サーバ３は、要求のＭＡＣアドレスに一致するＭＡＣアドレスが登録済みである場合、有効期限内であるため、端末認証を有効とし、端末認証の結果を成功とする。また、認証サーバ３は、要求を受けた時点で、端末認証ＤＢ６内に、要求のＭＡＣアドレスに一致するＭＡＣアドレスが登録されていない場合、有効期限外であるため、端末認証を無効とし、端末認証の結果を失敗とする。

なお、２回目のログインの際の端末認証において、ＭＡＣアドレスの有効期限が過ぎていることにより結果が失敗となった場合、認証スイッチ２は、次にユーザ認証を行う。認証サーバ３は、このユーザ認証の結果が成功となった場合、端末認証用のＭＡＣアドレスを再登録すると共に、その有効期限を再設定する。

［効果等］
以上説明したように、実施の形態１の認証システムによれば、ユーザ端末１がネットワーク４へ接続及びログインする際に、端末認証とユーザ認証とを組み合わせて認証を制御する構成である。これにより、ネットワーク４のセキュリティを確保しつつ、アカウントの再入力等のユーザの手間を軽減でき、ユーザの利便性を向上できる。ユーザは、２回目以降のログインの際には、ユーザ認証が省略され、端末認証で済むので、認証に要する時間が短く、すぐにログインしてサービスを利用できる。

実施の形態１の変形例として、ユーザ認証は、ユーザＩＤ及びパスワードを用いた認証に限らず、他の方式の認証も適用可能である。他の方式として、電子証明書を用いた認証、生体情報を用いた認証、トークンキーを用いた認証、等が挙げられる。認証スイッチ２及び認証サーバ３は、ユーザ認証の方式に応じた認証処理を行う。ユーザ認証ＤＢ５には、ユーザ認証の方式に応じた認証情報、例えば電子証明書、生体情報、またはトークンキー等が管理される。認証スイッチ２は、ユーザ端末１から入力された認証情報、ユーザ認証の要求、及びユーザ端末１のＭＡＣアドレスを、認証サーバ３へ送信する。認証サーバ３は、ユーザ認証ＤＢ５の認証情報を参照してユーザ認証を行う。

同様に、端末認証は、ユーザ端末１の識別情報としてＭＡＣアドレスを用いた認証に限らず、他の識別情報を用いた認証も適用可能である。

実施の形態１の変形例として、認証サーバ３は、端末認証ＤＢ６にＭＡＣアドレスを登録する際に、当該ＭＡＣアドレスと関係付けて、ユーザ認証時のアカウントを格納してもよい。すなわち、図４の（ｂ）の端末認証ＤＢ６の表において、「ユーザ認証用のアカウント」列が追加されてもよい。または、その表に、図４の（ａ）の「ユーザ認証用のアカウント」列の値を指し示すアドレス等を格納する列が追加されてもよい。あるいは、認証サーバ３は、ユーザ認証ＤＢ５及び端末認証ＤＢ６とは別に、ＭＡＣアドレスとアカウントとの関係付け情報を含む管理表を保持してもよい。これらの変形例の場合、ユーザ端末１とそのユーザとの対応関係がわかりやすくなる。

（実施の形態２）
図８を用いて、本発明の実施の形態２の認証システムについて説明する。実施の形態２の認証システムの基本的な構成は、実施の形態１の構成と同様である。以下、実施の形態２の構成における、実施の形態１の構成とは異なる部分について説明する。

実施の形態２の認証システムは、ネットワーク４に接続される複数の認証スイッチ２の種類が異なる。

前述の実施の形態１では、ネットワーク４に接続される複数の認証スイッチ２は、いずれも同じ機能を備える同じ種類の装置である。すなわち、各認証スイッチ２は、ユーザ認証機能、及び端末認証機能等を備えている。実施の形態１では、１回目のログインの際には端末認証及びユーザ認証が行われ、ユーザ認証の成功により端末認証用のＭＡＣアドレスが登録される。２回目以降のログインの際には、端末認証用のＭＡＣアドレスを用いて端末認証が行われ、ユーザ認証が省略される。この動作を実現するためには、２回目以降にアクセスされる認証スイッチ２は、端末認証機能が必須であるが、ユーザ認証機能は必須では無い。

図８は、実施の形態２の認証システムの構成を示す。実施の形態２の認証システムは、ネットワーク４に接続される複数の認証スイッチ２として、認証スイッチ２Ａ、認証スイッチ２Ｂ−１、認証スイッチ２Ｂ−２、等を有する。

実施の形態２の認証システムは、機能が異なる装置として、第１の認証スイッチと、第２の認証スイッチと、を有する。第１の認証スイッチは、機能ＫＡとして、実施の形態１の認証スイッチ２と同様に、ユーザ認証機能及び端末認証機能を備える。第２の認証スイッチは、機能ＫＢとして、ユーザ認証機能を備えず、端末認証機能を備える。１台の認証スイッチ２Ａは、第１の認証スイッチである。認証スイッチ２Ｂ−１、認証スイッチ２Ｂ−２等の複数の認証スイッチは、第２の認証スイッチである。

実施の形態２の認証システムの運用においては、ユーザ端末１が１回目にログインする場合には、第１の認証スイッチへアクセスさせる。その後、２回目以降にログインまたは接続する場合には、第１の認証スイッチ及び第２の認証スイッチのいずれに対してもアクセス可能である。

図８の例では、ユーザ９ａのユーザ端末１ａは、１回目のログインの際、機能ＫＡを持つ第１の認証スイッチである認証スイッチ２Ａへアクセスする。認証スイッチ２Ａは、接続制限、端末認証、ユーザ認証の順で処理を行う。認証スイッチ２Ａは、認証サーバ３との間で、まず端末認証を行い、次にユーザ認証を行う。ユーザ認証の際、ユーザ９ａは、アカウントＡ１を入力する。認証サーバ３は、ユーザ認証ＤＢ５のアカウント５０を参照してユーザ認証を行う。本例では、ユーザ認証ＤＢ５にアカウントＡ１が設定されているので、ユーザ認証の結果が成功となる。認証サーバ３は、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」を端末認証用のＭＡＣアドレスとして端末認証ＤＢ６に登録する。ユーザ端末１ａは、１回目のログインが許可される。

その後、ユーザ９ａのユーザ端末１ａは、２回目のログインまたは接続の際、いずれかの認証スイッチへアクセスする。本例では、ユーザ９ａは、ユーザ端末１ａと共に移動し、認証スイッチ２Ｂ−１へアクセスする。認証スイッチ２Ｂ−１は、接続制限、端末認証の順で処理を行う。認証スイッチ２Ｂ−１は、端末認証の際、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」を認証サーバ３へ送信する。認証サーバ３は、端末認証ＤＢ６のＭＡＣアドレス６０を参照して端末認証を行う。本例では、端末認証ＤＢ６にＭＡＣアドレス「Ｍａ」が登録済みであるため、端末認証の結果が成功となる。ユーザ端末１ａは、２回目のログインまたは接続が許可される。

上記例のように、ユーザ端末１が１回目のログインの際に第１の認証スイッチへアクセスし、２回目以降のログインの際に第２の認証スイッチへアクセスした場合、実施の形態１と同様の動作が実現され、同様の効果が得られる。

実施の形態２の認証システムによれば、実施の形態１と同様に、ネットワーク４のセキュリティを確保しつつ、アカウントの再入力等のユーザの手間を軽減できる。

［変形例］
実施の形態２の変形例の認証システムとして、以下が挙げられる。変形例の認証システムにおいて、第１の認証スイッチは、ユーザ認証機能を備え、端末認証機能を備えない認証スイッチとする。第２の認証スイッチは、ユーザ認証機能を備えず、端末認証機能を備える認証スイッチとする。運用において、ユーザ端末１を、１回目のログインの際には第１の認証スイッチへアクセスさせ、２回目以降のログインまたは接続の際には第２の認証スイッチへアクセスさせる。この変形例の認証システムでも、実施の形態１や実施の形態２と同様の効果が実現できる。

（実施の形態３）
本発明の実施の形態３の認証システムについて説明する。以下、実施の形態３の構成における実施の形態１の構成とは異なる部分について説明する。

前述の実施の形態１では、認証サーバ３は、ユーザ認証ＤＢ５及び端末認証ＤＢ６を保持及び管理する。これに限らず、ユーザ認証ＤＢ５や端末認証ＤＢ６は、ネットワーク４上、認証サーバ３以外の場所に存在してもよい。

実施の形態３の認証システムでは、ユーザ認証ＤＢ５は、図示しないアカウント管理サーバに保持される。アカウント管理サーバは、ネットワーク４に接続され、アカウント管理機能を含む設定機能を有し、ユーザ認証ＤＢ５を管理する。アカウント管理サーバは、管理者９０等からの指示に基づいて、ユーザ認証ＤＢ５にユーザ認証用のアカウントを設定する。

実施の形態３の認証サーバ３は、端末認証ＤＢ６を保持し、アカウント管理サーバと連係する。認証サーバ３は、ユーザ認証の要求を受けた場合、アカウント管理サーバへアクセスし、ユーザ認証ＤＢ５を参照してユーザ認証を行う。認証サーバ３は、ユーザ認証が成功した場合、自身の端末認証ＤＢ６に端末認証用のＭＡＣアドレスを登録する。認証サーバ３は、端末認証の要求を受けた場合、自身の端末認証ＤＢ６を参照して端末認証を行う。

実施の形態３の認証システムによれば、実施の形態１と同様の効果が得られる。

（他の実施の形態）
他の実施の形態の認証システムとして、以下が挙げられる。

他の実施の形態として、ユーザ認証ＤＢ５及び端末認証ＤＢ６は、アカウントやＭＡＣアドレスについて登録及び削除が行われる方式に限らず、予め保持されるアカウントやＭＡＣアドレスについて有効化及び無効化が行われる方式でもよい。この場合、例えばユーザ認証ＤＢ５には、予め初期設定として、正規の複数のユーザに関するユーザ認証用のアカウントが設定され、この情報が基本的に保持される。このアカウントは、フラグにより「有効」状態が設定される。また、端末認証ＤＢ６には、予め初期設定として、正規の複数のユーザ端末１に関する端末認証用のＭＡＣアドレスが設定され、この情報が基本的に保持される。このＭＡＣアドレスは、フラグにより「無効」状態が設定される。

認証サーバ３は、ユーザ認証が成功となった場合、端末認証ＤＢ６において、当該ユーザ端末１に関する端末認証用のＭＡＣアドレスを有効化、すなわち「無効」から「有効」へ変更し、その有効期限を設定する。認証サーバ３は、有効期限が過ぎた場合、そのユーザ端末認証用のＭＡＣアドレスを無効化、すなわち「有効」から「無効」へ変更する。

同様に、認証スイッチ２のリスト７は、接続許可ＭＡＣアドレスの登録及び削除が行われる方式に限らず、予め設定されるＭＡＣアドレスについて有効化及び無効化が行われる方式でもよい。

以上、本発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されず、その要旨を逸脱しない範囲で種々変更可能である。

１，１ａ，１ｂ…ユーザ端末、２，２ａ，２ｍ…認証スイッチ、３…認証サーバ、４…ネットワーク、５…ユーザ認証ＤＢ、６…端末認証ＤＢ、７，７ａ，７ｍ…リスト、８…Ｗｅｂサーバ、９ａ，９ｂ…ユーザ、５０…アカウント、６０…ＭＡＣアドレス、９０…管理者

Claims (8)

1. ネットワークに接続され、ユーザ端末が前記ネットワークへログインする際にアクセスする認証機器と、
   前記ネットワークに接続され、前記ログインの際に、端末認証、及びユーザ認証を行う認証サーバと、
   前記端末認証用のＭＡＣアドレスが登録される端末認証ＤＢと、
   前記ユーザ認証用のアカウントが登録されるユーザ認証ＤＢと、
   を備え、
   前記認証機器は、
   前記アクセスを受けた場合、端末認証要求、及び前記ユーザ端末のＭＡＣアドレスを、前記認証サーバへ送信する第１の処理と、
   前記認証サーバから端末認証応答を受信し、前記端末認証の成功の場合、前記ログインを許可し、前記端末認証の失敗の場合、前記ログインを不許可にする第２の処理と、
   前記端末認証の失敗の場合、ユーザ認証要求、ユーザにより入力されたアカウント、及び前記ユーザ端末の前記ＭＡＣアドレスを、前記認証サーバへ送信する第３の処理と、
   前記認証サーバからユーザ認証応答を受信し、前記ユーザ認証の成功の場合、前記ログインを許可し、前記ユーザ認証の失敗の場合、前記ログインを不許可にする第４の処理と、
   を行い、
   前記認証サーバは、
   前記端末認証要求、及び前記ＭＡＣアドレスを受信し、前記端末認証ＤＢを参照して前記端末認証を行い、当該端末認証の成功または失敗を表す前記端末認証応答を前記認証機器へ送信する処理と、
   前記ユーザ認証要求、前記アカウント、及び前記ＭＡＣアドレスを受信し、前記ユーザ認証ＤＢを参照して前記ユーザ認証を行い、当該ユーザ認証の成功または失敗を表す前記ユーザ認証応答を前記認証機器へ送信し、当該ユーザ認証の成功の場合、当該ＭＡＣアドレスを、前記端末認証用の前記ＭＡＣアドレスとして前記端末認証ＤＢに登録する処理と、
   を行う、
   認証システム。
2. ネットワークに接続され、ユーザ端末が前記ネットワークへログインする際にアクセスする認証機器と、
   前記ネットワークに接続され、前記ログインの際に、端末認証、及びユーザ認証を行う認証サーバと、
   前記端末認証用のＭＡＣアドレスが登録される端末認証ＤＢと、
   前記ユーザ認証用のアカウントが登録されるユーザ認証ＤＢと、
   を備え、
   前記認証機器として、第１の認証機器、及び第２の認証機器を有し、
   前記第１の認証機器は、
   前記アクセスを受けた場合、ユーザ認証要求、ユーザにより入力されたアカウント、及び前記ユーザ端末の前記ＭＡＣアドレスを、前記認証サーバへ送信する処理と、
   前記認証サーバからユーザ認証応答を受信し、前記ユーザ認証の成功の場合、前記ログインを許可し、前記ユーザ認証の失敗の場合、前記ログインを不許可にする処理と、
   を行い、
   前記第２の認証機器は、
   前記アクセスを受けた場合、端末認証要求、及び前記ユーザ端末のＭＡＣアドレスを、前記認証サーバへ送信する処理と、
   前記認証サーバから端末認証応答を受信し、前記端末認証の成功の場合、前記ログインを許可し、前記端末認証の失敗の場合、前記ログインを不許可にする処理と、
   を行い、
   前記認証サーバは、
   前記第２の認証機器から、前記端末認証要求、及び前記ＭＡＣアドレスを受信し、前記端末認証ＤＢを参照して前記端末認証を行い、当該端末認証の成功または失敗を表す前記端末認証応答を前記第２の認証機器へ送信する処理と、
   前記第１の認証機器から、前記ユーザ認証要求、前記アカウント、及び前記ＭＡＣアドレスを受信し、前記ユーザ認証ＤＢを参照して前記ユーザ認証を行い、当該ユーザ認証の成功または失敗を表す前記ユーザ認証応答を前記第１の認証機器へ送信し、当該ユーザ認証の成功の場合、当該ＭＡＣアドレスを、前記端末認証用の前記ＭＡＣアドレスとして前記端末認証ＤＢに登録する処理と、
   を行う、
   認証システム。
3. 請求項１または２に記載の認証システムにおいて、
   前記認証サーバは、前記端末認証ＤＢと、前記ユーザ認証ＤＢと、を保持する、
   認証システム。
4. 請求項１または２に記載の認証システムにおいて、
   前記認証サーバは、
   前記ユーザ認証の成功の場合、前記端末認証用の前記ＭＡＣアドレスに関する有効期限を設定し、
   前記有効期限が過ぎた場合、前記端末認証用の前記ＭＡＣアドレスを削除または無効化し、
   前記端末認証要求を受信した場合、前記有効期限内である前記端末認証用の前記ＭＡＣアドレスを用いて前記端末認証を行う、
   認証システム。
5. 請求項１または２に記載の認証システムにおいて、
   前記認証機器は、
   前記ユーザ認証の成功の場合、及び前記端末認証の成功の場合、前記ユーザ端末の前記ＭＡＣアドレスを、前記ネットワークへの接続が許可されるＭＡＣアドレスとして、リストにおいて登録または有効化し、
   前記ユーザ端末が前記ネットワークからログアウトして前記認証機器との接続を切断した場合、あるいは前記ログインしてからログアウトせずに無通信状態が一定時間続いた場合、前記ユーザ端末の前記ＭＡＣアドレスを、前記ネットワークへの接続が不許可にされるＭＡＣアドレスとして、前記リストにおいて削除または無効化し、
   前記ユーザ端末からアクセスを受けた場合、前記ユーザ端末の前記ＭＡＣアドレス及び前記リストを確認した結果に基づいて、前記ユーザ端末による前記ネットワークへの接続を許可または不許可にし、
   前記接続を不許可にする場合、前記端末認証要求を送信し、当該端末認証が失敗の場合、前記ユーザ認証要求を送信する、
   認証システム。
6. 請求項１または２に記載の認証システムにおいて、
   前記ユーザ認証は、前記アカウントとして、ユーザＩＤとパスワードとの組合せを用いた認証である、
   認証システム。
7. 請求項１または２に記載の認証システムにおいて、
   前記ユーザ認証は、前記アカウントとして、電子証明書、生体情報、またはトークンキーを用いた認証である、
   認証システム。
8. 請求項１記載の認証システムにおいて、
   第２の認証機器を有し、
   前記第２の認証機器は、前記第１の処理及び前記第２の処理を行い、前記第３の処理及び前記第４の処理を行わない、
   認証システム。

Images