JP6358947B2 - 認証システム - Google Patents

認証システム Download PDF

Info

Publication number
JP6358947B2
JP6358947B2 JP2014258109A JP2014258109A JP6358947B2 JP 6358947 B2 JP6358947 B2 JP 6358947B2 JP 2014258109 A JP2014258109 A JP 2014258109A JP 2014258109 A JP2014258109 A JP 2014258109A JP 6358947 B2 JP6358947 B2 JP 6358947B2
Authority
JP
Japan
Prior art keywords
authentication
information
user terminal
single sign
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2014258109A
Other languages
English (en)
Other versions
JP2016118930A (ja
Inventor
秀隆 益子
秀隆 益子
良平 中和田
良平 中和田
晃 大森
晃 大森
裕文 鐵
裕文 鐵
馨 江藤
馨 江藤
浩志 西野宮
浩志 西野宮
武 松澤
武 松澤
Original Assignee
エイチ・シー・ネットワークス株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by エイチ・シー・ネットワークス株式会社 filed Critical エイチ・シー・ネットワークス株式会社
Priority to JP2014258109A priority Critical patent/JP6358947B2/ja
Publication of JP2016118930A publication Critical patent/JP2016118930A/ja
Application granted granted Critical
Publication of JP6358947B2 publication Critical patent/JP6358947B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Description

本発明は、認証システムの技術に関し、特に、シングルサインオンを含む認証技術に関する。
ＬＡＮやインターネット等のネットワークを含む通信システムにおいて、ユーザ端末がネットワーク上のサービスを利用する際に、認証を行う場合がある。
認証として、シングルサインオンがある。シングルサインオンは、複数のサービス間で認証に関して連係し、単一の認証の手続きにより複数のサービスを利用可能にする仕組みである。シングルサインオンは、ＳＡＭＬ（Security Assertion Markup Language）等の技術を用いて実現される。ＳＡＭＬは、認証情報を表現するためのＸＭＬ仕様である。
シングルサインオンの機能を持つ認証システムは、サービス利用者と、サービスプロバイダと、アイデンティティプロバイダとを有する。サービスプロバイダは、サービス利用者であるユーザ端末の認証をアイデンティティプロバイダに委託する。アイデンティティプロバイダは、委託に応じてユーザ端末を認証する。サービスプロバイダは、認証の結果が成功の場合、サービスをユーザ端末へ提供する。
シングルサインオンに関する先行技術例として、特開２０１２−１６８７９５号公報（特許文献１）が挙げられる。特許文献１には、以下の旨の技術が記載されている。サービスプロバイダは、未認証の端末からのアクセスを受けた場合、シングルサインオンの認証のために、端末をアイデンティティプロバイダへリダイレクトさせる。
特開２０１２−１６８７９５号公報
従来、シングルサインオンの機能を持つ認証システムは、シングルサインオンの通信手順の例として、サービスプロバイダとアイデンティティプロバイダとの間でリダイレクトを行う。すなわち、サービスプロバイダは、未認証のユーザ端末からのアクセスを受けた場合、ユーザ端末をアイデンティティプロバイダへリダイレクトさせる。
リダイレクトを介する場合、サービスプロバイダは、シングルサインオン前におけるユーザ端末との通信セッションを閉じる。そのため、シングルサインオン後には、サービスプロバイダは、シングルサインオン前の通信セッション情報を保持していないので、参照できない。すなわち、サービスプロバイダは、シングルサインオン後には、シングルサインオン前の通信セッション情報を用いたサービスを、ユーザ端末へ提供することができない。
本発明の目的は、シングルサインオンの機能を持つ認証システムに関して、シングルサインオン後に、シングルサインオン前の情報に応じたサービスを、サービス利用者へ提供することができる技術を提供することである。
本発明のうち代表的な実施の形態は、認証システムであって、以下に示す構成を有することを特徴とする。
一実施の形態の認証システムは、ユーザ端末のシングルサインオンの際にシングルサインオン認証を行うアイデンティティプロバイダサーバと、シングルサインオン認証の成功の場合にサービスをユーザ端末へ提供するサービスプロバイダサーバと、シングルサインオン認証用の認証情報が設定されているシングルサインオン認証ＤＢと、情報保持部と、を備え、サービスプロバイダサーバは、ユーザ端末からシングルサインオンのアクセスを受けた場合、ユーザ端末のシングルサインオンの前の通信セッション情報を、シングルサインオン前情報として、情報保持部に保存し、シングルサインオン前情報の保存後、ユーザ端末をアイデンティティプロバイダサーバへリダイレクトさせ、シングルサインオン認証の成功後、シングルサインオン前情報を情報保持部から取得し、シングルサインオン前情報の内容に応じたサービスを、ユーザ端末へ提供し、アイデンティティプロバイダサーバは、ユーザ端末からシングルサインオンのアクセスを受けた場合、ユーザ端末から入力された認証情報を用いて、シングルサインオン認証ＤＢを参照してシングルサインオン認証を行い、シングルサインオン認証の成功の場合、ユーザ端末をサービスプロバイダサーバへリダイレクトさせる。
本発明のうち代表的な実施の形態によれば、シングルサインオンの機能を持つ認証システムに関して、シングルサインオン後に、シングルサインオン前の情報に応じたサービスを、サービス利用者へ提供することができる。
本発明の実施の形態１の認証システムの構成を示す図である。 実施の形態１における、認証ＤＢ、及びシングルサインオン前情報の構成例を示す図である。 実施の形態１における、通信処理シーケンスを示す図である。 本発明の実施の形態２の認証システムの構成を示す図である。 実施の形態２における、通信処理シーケンスを示す図である。 本発明の実施の形態３の認証システムの構成を示す図である。 実施の形態３における、認証スイッチ、認証サーバ、及びサービスプロバイダサーバの構成を示す図である。 実施の形態３における、シングルサインオン前情報、及び管理情報の構成例を示す図である。 実施の形態３における、通信処理シーケンスを示す図である。 実施の形態３における、RADIUS認証の通信手順を示す図である。 実施の形態３の第１の変形例の認証システムにおける、通信処理の例を示す図である。 実施の形態３の第１の変形例の認証システムにおける、RADIUS認証の際の通信処理の例を示す図である。
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において同一部には原則として同一符号を付し、その繰り返しの説明は省略する。以下、シングルサインオンをＳＳＯと略す場合がある。サービスプロバイダをＳＰと略す場合がある。アイデンティティプロバイダをＩｄＰと略す場合がある。
（実施の形態１）
図１〜図３を用いて、本発明の実施の形態１の認証システムについて説明する。
［認証システム］
図１は、実施の形態１の認証システムの構成を示す。実施の形態１の認証システムは、複数のユーザ端末１と、ＳＰサーバ２と、ＩｄＰサーバ３とがネットワーク４０に接続される構成である。
ユーザ端末１は、ネットワーク４０上のサービスとして、ＳＰサーバ２により提供されるサービスを利用する。その際、ユーザ端末１は、ＳＰサーバ２及びＩｄＰサーバ３と、ＳＳＯに関する通信を行う。ＳＰサーバ２及びＩｄＰサーバ３は、ユーザ端末１に関するＳＳＯの認証を行う。以下、この認証を、ＳＳＯ認証と称する場合がある。ＳＳＯ認証における認証情報は、ＳＡＭＬの形式で記述され、ＨＴＴＰの通信で授受される。
ネットワーク４０は、ＬＡＮやインターネット等の通信網である。ユーザ端末１とＳＰサーバ２との間、及びユーザ端末１とＩｄＰサーバ３との間は、ＴＣＰ／ＩＰ、ＨＴＴＰ等のプロトコルに基づいて通信が行われる。ＳＰサーバ２とＩｄＰサーバ３は、ＳＳＯに関する連係として、直接的な通信ではなく、ユーザ端末１のリダイレクトを介した間接的な通信を行う。
なお、ネットワーク４０は、複数のネットワークの接続により構成されてもよい。例えば、ネットワーク４０は、ユーザ端末１を含むＬＡＮ、ＳＰサーバ２を含むＬＡＮ、ＩｄＰサーバ３を含むＬＡＮ、等の接続により構成されてもよい。
複数のユーザとして、ユーザ９ａ，９ｂ等がいる。複数のユーザは、ネットワーク４０を利用する社員等である。ユーザには、予め、ＳＳＯ認証用の認証情報としてアカウントが割り当てられる。例えば、ユーザ９ａのアカウントをＡ１、ユーザ９ｂのアカウントをＡ２、等とする。
ユーザ端末１は、ＳＳＯのサービス利用者である。ユーザ端末１は、ユーザが使用するＰＣやスマートフォン等の各種の端末装置である。複数のユーザ端末１として、ユーザ９ａのユーザ端末１ａ、ユーザ９ｂのユーザ端末１ｂ、等がある。ユーザ端末１は、プロセッサ、メモリ、通信インタフェース装置、入力装置、表示装置、等のハードウェアを備え、ＯＳ、Ｗｅｂブラウザ等のソフトウェアを備える。ユーザ端末１は、通信のためのＭＡＣアドレスを有する。ユーザ端末１ａのＭＡＣアドレスをＭａ、ユーザ端末１ｂのＭＡＣアドレスをＭｂ、等とする。
ＳＰサーバ２は、ＳＳＯのサービスプロバイダであるサーバ装置である。ＳＰサーバ２は、ＳＰサービス２１、Ｗｅｂコンテンツ２２、情報保持サービス２３、及び情報保持部２４を有する。情報保持部２４には、ＳＳＯ前情報２５が格納される。ＳＰサーバ２は、プロセッサ、メモリ、通信インタフェース装置等のハードウェアを備え、当該ハードウェアに基づいてソフトウェア処理により実現されるサービスとして、ＳＰサービス２１及び情報保持サービス２３を有する。
ＳＰサービス２１のサービスは、第１に、ＩｄＰサービス３１に対するＳＳＯ認証クライアントとしてのサービスである。ＳＰサービス２１は、ユーザ端末１のＳＳＯ認証のために、ユーザ端末１のリダイレクトを介して、ＩｄＰサービス３１と連係する。
ＳＰサービス２１のサービスは、第２に、ユーザ端末１に対してＷｅｂコンテンツ２２を提供するサービスである。このサービスは、Ｗｅｂコンテンツ２２の検索を含む。ＳＰサービス２１は、Ｗｅｂコンテンツ２２を管理する。
なお、Ｗｅｂコンテンツ２２は、ＳＰサーバ２の内部に限らず、ＳＰサーバ２の外部に存在してもよい。例えば、ネットワーク４０上のＷｅｂサーバにＷｅｂコンテンツ２２が保持されてもよい。
実施の形態１では、ＳＰサーバ２は、情報保持サービス２３を有し、ＳＰサービス２１と情報保持サービス２３が連係する。情報保持サービス２３は、情報保持部２４にＳＳＯ前情報２５を管理する。情報保持部２４は、メモリ、ストレージ、またはＤＢ等の記憶手段により構成される。
ＳＳＯ前情報２５は、ＳＳＯの前後での状況を継続して把握可能とするための情報である。ＳＳＯ前情報２５は、ユーザ端末１のＳＳＯ認証の前における、ユーザ端末１とＳＰサーバ２との通信セッション情報である。特に、ＳＳＯ前情報２５は、ユーザ端末１からのＳＰサーバ２へのＨＴＴＰ要求における、ＧＥＴまたはＰＯＳＴメソッドのパラメータ値である。実施の形態１では、ＳＳＯ前情報２５は、ＨＴＴＰ要求のパラメータ値に格納された、Ｗｅｂコンテンツ２２に関する検索キー情報を含む。
ＳＰサーバ２は、所定のＩＰアドレスを持ち、当該ＩＰアドレスに関係付けられたＵＲＬ「ＵＲＬ２」を公開する。ＳＰサーバ２は、当該ＵＲＬにより外部からのアクセスを受け付ける。ユーザ端末１は、「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスする。
ＩｄＰサーバ３は、ＳＳＯのアイデンティティプロバイダであるサーバ装置である。ＩｄＰサーバ３は、ＩｄＰサービス３１、及びＳＳＯ認証ＤＢ３２を有する。ＩｄＰサーバ３は、プロセッサ、メモリ、通信インタフェース装置等のハードウェアを備え、当該ハードウェアに基づいてソフトウェア処理により実現されるサービスとして、ＩｄＰサービス３１を提供する。ＩｄＰサービス３１は、ユーザ端末１からのＳＳＯのアクセスに対し、ＳＳＯ認証ＤＢ３２を参照してＳＳＯ認証を行う。
ＳＳＯ認証ＤＢ３２は、ＳＳＯ認証用の認証情報３３が登録及び管理されるデータベースである。例えば、管理者９０は、予め、ＳＳＯ認証ＤＢ３２に認証情報３３を設定する。図１のＳＳＯ認証ＤＢ３２は、初期設定として、認証情報３３に、正規の複数のユーザのアカウントとして、アカウントＡ１，Ａ２等が設定されている。
ＩｄＰサーバ３は、所定のＩＰアドレスを持ち、当該ＩＰアドレスに関係付けられたＵＲＬ「ＵＲＬ３」を公開する。ＩｄＰサーバ３は、当該ＵＲＬにより外部からのアクセスを受け付ける。ユーザ端末１は、「ＵＲＬ３」を宛先としてＩｄＰサーバ３へアクセスする。
［認証ＤＢ］
図２の（ａ）は、ＳＳＯ認証ＤＢ３２の構成例である表を示す。この表は、「認証情報」列を有する。「認証情報」列は、認証情報３３と対応し、複数のユーザのアカウントが設定されている。アカウントは、例えばユーザＩＤとパスワードとの組合せにより構成される。本例では、第１行は、ユーザ９ａのアカウントＡ１が設定されており、ユーザＩＤが「ＩＤａ」、パスワードが「ＰＷａ」である。
［ＳＳＯ前情報］
図２の（ｂ）は、情報保持部２４に保持されるＳＳＯ前情報２５の構成例である表を示す。この表は、列として、「日時」、「端末ＭＡＣアドレス」、「ＨＴＴＰ要求パラメータ値」がある。「日時」列には、当該行のＳＳＯ前情報を保存した日時が格納される。「端末ＭＡＣアドレス」列には、通信セッションにおけるユーザ端末１の識別情報及びアドレス情報として、ＭＡＣアドレスが格納される。
「ＨＴＴＰ要求パラメータ値」列には、ＨＴＴＰ要求のＧＥＴまたはＰＯＳＴメソッドのパラメータ値が格納される。パラメータ値として、検索キー情報を「KEY」で示す。本例では、第１行のＳＳＯ前情報は、ＭＡＣアドレス「Ｍａ」を持つユーザ端末１ａとの通信セッション情報であり、ＨＴＴＰ要求のパラメータ値の検索キー情報が「KEY1」であることを示す。
［通信処理シーケンス］
図３は、図１の実施の形態１の認証システムにおける、ＳＳＯの通信手順を含む、通信処理シーケンスを示す。Ｓ１等はステップを表す。概要として、通信手順２０１は、Ｓ１〜Ｓ６に対応し、ＳＳＯ前情報２５の保存を含む、ＳＳＯ認証の前の通信手順を示す。通信手順２０２は、Ｓ７〜Ｓ１５に対応し、ＳＳＯ認証の主な通信手順を示す。通信手順２０３は、Ｓ１６〜Ｓ２０に対応し、ＳＳＯ前情報２５の取得を含む、ＳＳＯ認証の後の通信手順を示す。以下、図２のステップＳ１〜Ｓ２０について、例を用いて説明する。
（Ｓ１，Ｓ２） Ｓ１で、ユーザ９ａは、ＳＰサーバ２のＳＰサービス２１によるサービスを利用する際、ユーザ端末１ａからＳＰサーバ２へアクセスする操作を行う。操作に従い、ユーザ端末１ａは、公開されている「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスする。ユーザ端末１ａは、図示しないスイッチ等の機器を通じてネットワーク４０に接続し、ネットワーク４０を通じて、最初、ＳＰサーバ２へアクセスする。ユーザ端末１ａとＳＰサーバ２は、ＨＴＴＰの通信を行う。ユーザ端末１ａは、ＳＰサーバ２へＨＴＴＰ要求を送信する。本例では、このＨＴＴＰ要求は、ＧＥＴまたはＰＯＳＴメソッドのパラメータ値として、Ｗｅｂコンテンツ２２に関する検索キー情報を含む。
（Ｓ３，Ｓ４） Ｓ３で、ＳＰサーバ２のＳＰサービス２１は、Ｓ２のユーザ端末１ａからのＨＴＴＰ要求によるＳＳＯのアクセスを受ける。ＳＰサーバ２は、当該アクセスを受けると、ユーザ端末１ａがＳＳＯ認証前の未認証状態である場合、ＳＳＯ認証を開始する前に、ユーザ端末１ａとの通信セッション情報を、ＳＳＯ前情報２５として保存する。そのために、ＳＰサーバ２は、Ｓ２のＨＴＴＰ要求のパラメータ値を、保存対象のＳＳＯ前情報とし、情報保持サービス２３と連係する。Ｓ４で、ＳＰサービス２１は、情報保持サービス２３へ、保存の要求、及び保存対象のＳＳＯ前情報を送信する。
本例では、保存対象のＳＳＯ前情報は、ＨＴＴＰ要求における送信元のユーザ端末１ａのＭＡＣアドレス「Ｍａ」、及びＨＴＴＰ要求のＧＥＴメソッドのパラメータ値である検索キー情報「KEY1」を含む。
（Ｓ５，Ｓ６） Ｓ５で、情報保持サービス２３は、Ｓ４の要求、及び保存対象のＳＳＯ前情報を受け取る。情報保持サービス２３は、受け取ったＳＳＯ前情報を、情報保持部２４にＳＳＯ前情報２５として保存し、以後、保持する。これにより、ＳＳＯ前情報２５として、図２の（ｂ）の第１行の例のような情報が格納される。Ｓ６で、情報保持サービス２３は、保存した旨の応答をＳＰサービス２１へ送信する。
（Ｓ７，Ｓ８） Ｓ７で、ＳＰサーバ２のＳＰサービス２１は、Ｓ６の応答を受けて、ＳＳＯ前情報２５の保存済みを認識する。これにより、ＳＰサービス２１は、以降のＳＳＯ認証の通信手順を開始する。ＳＰサービス２１は、ＳＳＯ認証のために、ユーザ端末１ａをＩｄＰサーバ３へリダイレクトさせる。その際、Ｓ７で、ＳＰサービス２１は、ＩｄＰサーバ２の「ＵＲＬ３」を含むリダイレクト指示を、ユーザ端末１ａへ送信する。ユーザ端末１ａは、Ｓ７の指示に従い、Ｓ８で、「ＵＲＬ３」を宛先としてＩｄＰサーバ３へアクセスする。
なお、ＳＰサーバ２では、Ｓ７のリダイレクトにより、最初にＳ３で受信していたＨＴＴＰ要求のパラメータ値を含む通信セッション情報が失われる。しかしながら、それと同じ内容の情報がＳＳＯ前情報２５として保持される。
（Ｓ９〜Ｓ１２） Ｓ９で、ＩｄＰサーバ３は、Ｓ８のユーザ端末１ａからのＳＳＯのアクセスを受けると、ユーザ端末１ａがＳＳＯ認証前であるため、ＳＳＯ認証用のＳＳＯ認証ページをユーザ端末１ａへ送信する。Ｓ１０で、ユーザ端末１ａは、受信したＳＳＯ認証ページによるＳＳＯ認証画面を表示する。ＳＳＯ認証画面は、ＳＳＯ認証用の認証情報の入力をユーザに促すメッセージ等の情報を含む。Ｓ１１で、ユーザ９ａは、ＳＳＯ認証画面で、認証情報である自分のアカウントＡ１を入力する。Ｓ１２で、ユーザ端末１ａは、入力された認証情報、及びＳＳＯ認証要求を、ＩｄＰサーバ３へ送信する。
（Ｓ１３〜Ｓ１５） Ｓ１３で、ＩｄＰサーバ３は、Ｓ１２のユーザ端末１ａからのＳＳＯ認証要求及び認証情報を受信すると、ＳＳＯ認証ＤＢ３２を参照してＳＳＯ認証を行う。ＩｄＰサーバ３は、ユーザ端末１から入力された認証情報が、ＳＳＯ認証ＤＢ３２に設定されている認証情報３３の１つに一致する場合、ＳＳＯ認証の結果を成功とし、不一致、すなわち設定されていない場合、結果を失敗とする。本例では、入力されたアカウントＡ１がＳＳＯ認証ＤＢ３２に設定されているので、ＳＳＯ認証の結果が成功となる。この時点で、ユーザ９ａのユーザ端末１ａは、ＳＳＯ認証済み状態となる。
ＩｄＰサーバ３は、Ｓ１３のＳＳＯ認証の結果が成功である場合、ＳＳＯ認証の成功及びＳＳＯ認証済み状態を表す認証結果情報を、ユーザ端末１ａへ提供し、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。その際、Ｓ１４で、ＩｄＰサーバ３は、ＳＰサーバ２の「ＵＲＬ２」を含むリダイレクト指示、及び認証結果情報を、ユーザ端末１ａへ送信する。Ｓ１５で、ユーザ端末１ａは、Ｓ１４の指示に従い、「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスし、認証結果情報を送信する。
（Ｓ１６〜Ｓ１９） Ｓ１６で、ＳＰサーバ２のＳＰサービス２１は、Ｓ１５のユーザ端末１ａからのアクセスを受けて、認証結果情報を受信し、ユーザ端末１ａのＳＳＯ認証の成功及びＳＳＯ認証済み状態を認識する。ＳＰサービス２１は、ユーザ端末１ａのＳＳＯ認証の成功後、Ｓ１７で、情報保持サービス２３に、ＳＳＯ前情報２５の取得を要求する。この取得対象のＳＳＯ前情報２５は、通信手順２０１でＳＳＯ認証前に保存しておいた情報である。情報保持サービス２３は、Ｓ１７の要求に対し、Ｓ１８で、情報保持部２４を参照し、要求されているＳＳＯ前情報２５を読み出す。本例では、情報保持サービス２３は、日時またはＭＡＣアドレスの情報をキーとして、図２の（ｂ）の第１行の検索キー情報「KEY1」を含むＳＳＯ前情報２５を読み出す。Ｓ１９で、情報保持サービス２３は、そのＳＳＯ前情報２５及び応答を、ＳＰサービス２１へ送信する。
（Ｓ２０） Ｓ２０で、ＳＰサービス２１は、Ｓ１９で取得したＳＳＯ前情報２５の内容に応じたサービスをユーザ端末１ａへ提供する。本例では、ＳＰサービス２１は、ＳＳＯ前情報２５の検索キー情報「KEY1」を用いてＷｅｂコンテンツ２２を検索し、その検索結果情報を含むＷｅｂページを構成し、ユーザ端末１ａへ送信する。ユーザ端末１ａは、検索結果情報を含むＷｅｂページを受信し、Ｗｅｂページによる画面を表示する。これにより、ユーザ端末１ａは、ＳＳＯ認証後、すぐに、Ｗｅｂコンテンツ２２の検索結果情報を得ることができる。
［効果等］
以上のように、実施の形態１の認証システムによれば、ＳＳＯ前情報に応じたサービスを、ユーザ端末１へ提供することができる。実施の形態１の認証システムでは、ユーザ端末１のＳＳＯ認証の際、ＳＰサーバ２は、リダイレクトにより失われるＳＳＯ前情報を、情報保持サービス２３により保持しておく。ＳＰサーバ２は、ユーザ端末１のＳＳＯ認証の成功後、ＳＳＯ前情報を情報保持サービス２３により取得する。これにより、ＳＰサーバ２は、ＳＳＯ前情報の内容に応じたサービス、すなわちＳＳＯ前のユーザ端末１の状況に応じたサービスを、ユーザ端末１へ提供することができる。
実施の形態１の変形例の認証システムとして以下が挙げられる。ＳＰサーバ２が提供するサービスは、Ｗｅｂコンテンツ２２の検索に限らず、他のサービスも可能である。
また、ＳＳＯ認証ＤＢ３２は、ＩｄＰサーバ３及びネットワーク４０に接続される他の装置に保持されていてもよい。その場合、ＩｄＰサーバ３は、その装置のＳＳＯ認証ＤＢ３２を参照してＳＳＯ認証を行う。
また、情報保持サービス２３は、情報保持部２４に保存したＳＳＯ前情報２５を、保存の日時から所定の期間が経過するまで保持し、当該期間の経過後に削除してもよい。この場合、情報保持部２４の容量が節約できる。
［変形例］
実施の形態１の変形例の認証システムとして以下としてもよい。この変形例では、情報保持サービス２３は、ＳＰサーバ２内ではなく、ユーザ端末１内にＳＳＯ前情報を保存する。情報保持サービス２３は、保存対象のＳＳＯ前情報を、ユーザ端末１内に退避させる形で保持させる。
この変形例における通信手順の例は以下である。ユーザ９ａは、ユーザ端末１ａからＳＰサーバ２へアクセスする。ＳＰサーバ２のＳＰサービス２１は、ユーザ端末１ａからのＨＴＴＰ要求によるＳＳＯのアクセスを受ける。ＳＰサービス２１は、ＨＴＴＰ要求に含まれるパラメータ値を取得する。ＳＰサービス２１は、ＳＳＯ認証の前に、当該ＨＴＴＰ要求のパラメータ値を、ＳＳＯ前情報として保存する。保存対象のＳＳＯ前情報は、例えば検索キー情報「KEY1」を含む。ＳＰサービス２１は、保存の要求、及び保存対象のＳＳＯ前情報を、情報保持サービス２３へ送信する。情報保持サービス２３は、ＳＰサービス２１からの保存の要求、及び保存対象のＳＳＯ前情報を受け取り、そのＳＳＯ前情報を、ユーザ端末１ａへ送信し、ユーザ端末１ａ内に保存させる。情報保持サービス２３は、ＳＳＯ前情報を保存した旨の応答をＳＰサービス２１へ送信する。
また、ＳＰサービス２１は、ユーザ端末１ａのＳＳＯ認証の成功後、ＳＳＯ前情報の取得を情報保持サービス２３へ要求する。情報保持サービス２３は、ＳＰサービス２１からの取得の要求に従い、ユーザ端末１ａへアクセスし、ＳＳＯ前情報を要求する。ユーザ端末１ａは、要求されたＳＳＯ前情報を情報保持サービス２３へ送信する。情報保持サービス２３は、受信したＳＳＯ前情報を取得し、取得したＳＳＯ前情報及び応答をＳＰサービス２１へ送信する。ＳＰサービス２１は、取得したＳＳＯ前情報の内容に応じたサービスをユーザ端末１ａへ提供する。
（実施の形態２）
図４及び図５を用いて、本発明の実施の形態２の認証システムについて説明する。以下、実施の形態２の認証システムにおける実施の形態１とは異なる構成について説明する。
［認証システム］
図４は、実施の形態２の認証システムの構成を示す。実施の形態２の認証システムは、複数のユーザ端末１と、ＳＰサーバ２と、情報保持サーバ４と、ＩｄＰサーバ３とが、ネットワーク４０に接続される構成である。
実施の形態２では、ＳＰサーバ２のＳＰサービス２１と、情報保持サーバ４の情報保持サービス４１とで分離されており、両者が連係する。ＳＰサーバ２は、ＳＰサービス２１、及びＷｅｂコンテンツ２２を有する。情報保持サーバ４は、情報保持サービス４１、及び情報保持部４２を有する。情報保持部４２には、ＳＳＯ前情報４３が格納される。情報保持サーバ４は、ＩＰアドレスに対応したＵＲＬ「ＵＲＬ４」を有し、「ＵＲＬ４」を予め公開する。
［通信処理シーケンス］
図５は、図４の実施の形態２の認証システムにおける、ＳＳＯの通信手順を含む、通信処理シーケンスを示す。概要として、通信手順５０１は、Ｓ２１〜Ｓ２５に対応し、ＳＳＯ前情報４３の保存を含む、ＳＳＯ前の通信手順を示す。通信手順５０２は、Ｓ２６〜Ｓ３５に対応し、ＳＳＯ認証の主な通信手順を示す。通信手順５０３は、Ｓ３６〜Ｓ３９に対応し、ＳＳＯ前情報４３の取得を含む、ＳＳＯ後の通信手順を示す。以下、図５のステップＳ２１〜Ｓ３９について、例を用いて説明する。
（Ｓ２１，Ｓ２２） Ｓ２１で、ユーザ９ａは、ＳＰサーバ２のサービスを利用する際、ユーザ端末１ａからＳＰサーバ２へアクセスする操作を行う。操作に従い、Ｓ２２で、ユーザ端末１ａは、ＳＰサーバ２ではなく、「ＵＲＬ４」を宛先として情報保持サーバ４へアクセスする。実施の形態２では、ユーザ端末１は、最初に情報保持サーバ４へアクセスし、次にＳＰサービス２１へアクセスする。Ｓ２２のアクセスは、ＳＳＯ前情報４３の保存のためであり、ＨＴＴＰ要求によるアクセスである。Ｓ２２のアクセスは、例えば以下の方式で実現される。予め、ＳＰサーバ２の「ＵＲＬ２」に関係付けられた形で情報保持サーバ４の「ＵＲＬ４」が公開されている。ユーザ端末１は、「ＵＲＬ２」に関係付けられた「ＵＲＬ４」を取得する。ユーザ端末１ａは、宛先として「ＵＲＬ２」が指定された場合、「ＵＲＬ４」を宛先としてアクセスする。
（Ｓ２３〜Ｓ２５） Ｓ２３で、情報保持サーバ４の情報保持サービス４１は、Ｓ２２のユーザ端末１ａからのアクセスを受ける。情報保持サービス４１は、Ｓ２２のユーザ端末１ａとの通信セッション情報であるＨＴＴＰ要求のパラメータ値を、情報保持部４２にＳＳＯ前情報４３として保存し、以後、保持する。本例では、保存されるＳＳＯ前情報４３は、実施の形態１と同様に、ユーザ端末１ａのＭＡＣアドレス「Ｍａ」、及びＷｅｂコンテンツ２２に関する検索キー情報「KEY1」を含む。
情報保持サービス４１は、Ｓ２３でＳＳＯ前情報４３を保存した後、Ｓ２４で、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。その際、情報保持サービス４１は、ＳＰサーバ２の「ＵＲＬ２」を含むリダイレクト指示、及びＳＳＯ前情報４３の保存済みの旨の情報を、ユーザ端末１ａへ送信する。Ｓ２５で、ユーザ端末１ａは、Ｓ２４の指示に従い、Ｓ２５で、「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスする。Ｓ２５のアクセスは、ＨＴＴＰ要求によるアクセスであり、ＳＳＯ前情報４３の保存済みの旨の情報を含む。実施の形態２では、ＳＰサーバ２と情報保持サーバ４は、ユーザ端末１のリダイレクトを介して連係する。
（Ｓ２６〜Ｓ３３） Ｓ２６で、ＳＰサーバ２のＳＰサービス２１は、Ｓ２５のユーザ端末１ａからのアクセスを受け、受信した情報から、ＳＳＯ前情報４３の保存済みの状態を認識する。これにより、ＳＰサービス２１は、以降のＳＳＯ認証の主な通信手順を開始する。Ｓ２６〜Ｓ３３の通信手順は、実施の形態１の図３のＳ７〜Ｓ１３の通信手順と同様である。
（Ｓ３４，Ｓ３５） Ｓ３４で、ＩｄＰサーバ３は、Ｓ３３のＳＳＯ認証の結果が成功である場合、ＳＳＯ認証の成功及びＳＳＯ認証済み状態を表す認証結果情報を、ユーザ端末１ａへ提供し、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。ここで、実施の形態２では、ＩｄＰサーバ３は、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる前に、情報保持サーバ４へリダイレクトさせる。その際、Ｓ３４で、ＩｄＰサーバ３は、「ＵＲＬ４」を含むリダイレクト指示、及び認証結果情報を、ユーザ端末１ａへ送信する。ユーザ端末１ａは、Ｓ３４の指示に従い、Ｓ３５で、「ＵＲＬ４」を宛先として情報保持サーバ４へアクセスする。
（Ｓ３６〜Ｓ３８） Ｓ３６で、情報保持サーバ４の情報保持サービス４１は、Ｓ３５のユーザ端末１ａからのアクセスを受ける。情報保持サービス４１は、情報保持部４２を参照し、日時やユーザ端末１ａのＭＡＣアドレス「Ｍａ」をキーとして、ＳＳＯ前情報４３を読み出す。このＳＳＯ前情報４３は、通信手順５０１でＳＳＯ認証前に保存しておいた情報である。Ｓ３７で、情報保持サービス４１は、そのＳＳＯ前情報４３をユーザ端末１ａへ提供し、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。その際、情報保持サービス４１は、「ＵＲＬ２」を含むリダイレクト指示、及びＳＳＯ前情報４３を、ユーザ端末１ａへ送信する。ユーザ端末１ａは、Ｓ３７の指示を受信すると、Ｓ３８で、「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスし、認証結果情報及びＳＳＯ前情報４３を送信する。なお、これらの認証結果情報及びＳＳＯ前情報４３は、例えばＨＴＴＰ要求のパラメータ値に格納された形で送信される。
（Ｓ３９） Ｓ３９で、ＳＰサーバ２のＳＰサービス２１は、Ｓ３８のユーザ端末１ａからのアクセスを受け、ユーザ端末１ａから認証結果情報及びＳＳＯ前情報４３を受信する。ＳＰサービス２１は、認証結果情報から、ユーザ端末１ａのＳＳＯ認証の成功及びＳＳＯ認証済み状態を認識する。ＳＰサービス２１は、取得したＳＳＯ前情報４３に応じたサービスとして、Ｗｅｂコンテンツ２２の検索結果情報を、ユーザ端末１ａへ提供する。
［効果等］
以上のように、実施の形態２の認証システムによれば、実施の形態１と同様の効果が得られる。
実施の形態２の変形例として、以下としてもよい。図５の通信処理シーケンスにおいて、通信手順５０１は、実施の形態１の図３の通信手順２０１と同様としてもよい。また、通信手順５０３は、実施の形態１の図３の通信手順２０３と同様としてもよい。すなわち、ユーザ端末１は、先にＳＰサーバ２へアクセスし、次にＳＰサーバ２から情報保持サーバ４へアクセスしてもよい。
（実施の形態３）
図６〜図１０を用いて、本発明の実施の形態３の認証システムについて説明する。実施の形態３の認証システムは、ＳＳＯ前情報の保存や取得、ＳＳＯ前情報に応じたサービスの提供、等の基本的な仕組みについては、実施の形態１と同様である。実施の形態３の認証システムでは、認証として、ＳＳＯ認証と、RADIUS認証とを有する。実施の形態３では、ユーザ端末１がネットワーク４０へログインする際に、ＳＳＯ認証及びRADIUS認証が行われる。
［認証システム］
図６は、実施の形態３の認証システムの構成を示す。実施の形態３の認証システムは、複数のユーザ端末１、複数の認証スイッチ６、認証サーバ７、ＳＰサーバ２、ＩｄＰサーバ３、及びアカウント管理サーバ８がネットワーク４０に接続される構成である。
ネットワーク４０上、認証スイッチ６、ＳＰサーバ２、ＩｄＰサーバ３、認証サーバ７、アカウント管理サーバ８等の装置間では、ＴＣＰ／ＩＰ、ＨＴＴＰ等のプロトコルで通信が行われる。なお、ネットワーク４０は、認証スイッチ６を含むＬＡＮ、ＳＰサーバ２を含むＬＡＮ、等の接続により構成されてもよい。
ユーザ端末１と認証スイッチ６は、所定の通信インタフェース、例えばイーサネット（登録商標）で接続される。この接続は、有線接続でもよいし、無線接続でもよい。無線接続の場合、以下である。ネットワーク４０は、無線ＬＡＮを含む。認証スイッチ６には、無線ＬＡＮアクセスポイント装置が接続される。ユーザ端末１は、無線通信機能を持つ携帯端末であり、無線ＬＡＮアクセスポイント装置との無線接続を通じて、認証スイッチ６に接続する。あるいは、認証スイッチ６は、無線ＬＡＮアクセスポイント機能を備えてもよい。
ユーザ端末１は、ネットワーク４０へログインしてサービスを利用する際、認証スイッチ６へアクセスし、認証スイッチ６との接続を通じてネットワーク４０に接続する。ユーザ端末１は、ＳＳＯ認証のために、認証スイッチ６を通じてＳＰサーバ２やＩｄＰサーバ３へアクセスする。ＳＰサーバ２とＩｄＰサーバ３は、実施の形態１と同様に、ユーザ端末１のリダイレクトを介して、ＳＳＯ認証のために連係する。ユーザ端末１からネットワーク４０上のＳＰサーバ２やＩｄＰサーバ３へアクセスする際には、必ず認証スイッチ６を通じたアクセスである。
認証スイッチ６は、レイヤ２及びレイヤ３のスイッチ機能を備えると共に、認証サーバ７との連係での通信に基づいてRADIUS認証を行う機能を備える認証機器である。認証スイッチ６は、ネットワーク４０のエッジに接続されるノードであり、ユーザ端末１をネットワーク４０へ接続する。ネットワーク４０に接続される複数の認証スイッチ６として、認証スイッチ６ａ，６ｂ等がある。
認証スイッチ６は、RADIUS認証クライアントであり、認証サーバ７は、RADIUS認証サーバである。ユーザ端末１がネットワーク４０へログインする際、認証スイッチ６と認証サーバ７との間では、RADIUSプロトコルに基づいたクライアントサーバ通信により、RADIUS認証の処理が行われる。認証スイッチ６は、RADIUS認証の成功に応じて、ユーザ端末１がネットワーク４０へログインすることを許可する。
また、認証スイッチ６は、ＭＡＣアドレスを用いた接続制限を行う機能を有する。接続制限は、ユーザ端末１がネットワーク４０へ接続することに関する制限及び制御である。認証スイッチ６は、RADIUS認証の結果に応じて、接続制限を行う。
認証スイッチ６は、ＩＰアドレス及び当該ＩＰアドレスに関係付けられたＵＲＬを有する。このＵＲＬは、RADIUS認証用のＵＲＬとして予め公開される。ユーザ端末１は、当該ＵＲＬを宛先として認証スイッチ６へアクセスする。認証スイッチ６ａのＩＰアドレスをＩＰａ、認証スイッチ６ｂのＩＰアドレスをＩＰｂ、等とする。
認証サーバ７は、RADIUS認証を行う機能を備えるサーバ装置である。認証サーバ７は、ＤＢ５２を保持する。ＤＢ５２は、RADIUS認証用の認証情報を格納するRADIUS認証ＤＢである。ＤＢ５２には、RADIUS認証用の認証情報として、正規の複数のユーザの認証情報が登録されている。この認証情報は、例えば、ユーザＩＤ及びパスワードの組合せによるアカウントである。なお、RADIUS認証用の認証情報は、ＳＳＯ認証用の認証情報とは別の情報である。認証サーバ７は、認証スイッチ６からの認証要求に対し、ＤＢ５２を参照してRADIUS認証を行い、RADIUS認証の結果を表す認証応答を認証スイッチ６へ送信する。
認証サーバ７は、所定のＩＰアドレスを有し、当該ＩＰアドレスに関係付けられたＵＲＬ「ＵＲＬ７」を公開する。各認証スイッチ６は、「ＵＲＬ７」を宛先として認証サーバ７へアクセスする。
ＳＰサーバ２は、実施の形態１と同様のサービスプロバイダサーバである。ＳＰサーバ２は、ＳＰサービス７１、管理情報７２、情報保持サービス７３、及び情報保持部７４を有する。情報保持部７４にはＳＳＯ前情報７５が格納される。
実施の形態３では、ＳＰサーバ２のＳＰサービス７１は、以下のサービスを提供する。ＳＰサービス７１のサービスは、第１に、ＩｄＰサービス８１に対するＳＳＯ認証クライアントとしてのサービスである。
ＳＰサービス７１のサービスは、第２に、ユーザ端末１のＳＳＯ認証の成功後に、認証スイッチ６及び認証サーバ７でのRADIUS認証を必ず成功させる情報を提供するサービスである。この情報を、説明上、認証成功情報と称する。認証成功情報は、RADIUS認証用の認証情報として特定のパラメータ値を含む情報である。特定のパラメータ値は、認証サーバ７でのRADIUS認証を必ず成功させるパラメータ値である。認証成功情報は、ＳＳＯ前にユーザ端末１がアクセスしていた認証スイッチ６でのRADIUS認証を成功させる情報である。認証成功情報は、その認証スイッチ６でのRADIUS認証の形式を含む、その認証スイッチ６の種類に応じた情報である。
ＳＰサービス７１は、サービスの提供のために、管理情報７２を管理する。管理情報７２には、複数の認証スイッチ６における認証スイッチ６の種類に応じた認証成功情報が格納されている。
情報保持サービス７３は、情報保持部７４に、ＳＳＯ前情報７５を保持する。実施の形態３では、ＳＳＯ前情報７５は、認証スイッチ６を通じたユーザ端末１とＳＰサーバ２との通信セッション情報におけるＨＴＴＰ要求のパラメータ値を含む。ＳＳＯ前情報７５は、ＨＴＴＰ要求のパラメータ値に格納される、認証スイッチ６のＩＰアドレス及び種類の情報を含む。
ＩｄＰサーバ３は、実施の形態１と同様にアイデンティティプロバイダサーバである。ＩｄＰサーバ３は、ＳＳＯ認証を行うＩｄＰサービス８１を有する。実施の形態３では、ＳＳＯ認証用の認証情報は、アカウント管理サーバ８のＤＢ５１に管理されている。ＩｄＰサーバ３は、ＳＳＯ認証の際、アカウント管理サーバ８との連係の通信に基づいて、ＳＳＯ認証を行う。
ＩｄＰサービス８１は、ＳＰサーバ２からのリダイレクトによる、ユーザ端末１からのＳＳＯのアクセスを受ける。ＩｄＰサービス８１は、ＳＳＯ認証ページをユーザ端末１へ提供し、ユーザ端末１から入力されたＳＳＯ認証用の認証情報を受信する。ＩｄＰサービス８１は、アカウント管理サーバ８へアクセスし、そのＤＢ５１の認証情報を参照し、ＳＳＯ認証を行う。ＩｄＰサービス８１は、ＳＳＯ認証の認証結果情報を、ユーザ端末１へ提供し、ユーザ端末１をＳＰサーバ２へリダイレクトさせる。
アカウント管理サーバ８は、アカウント管理機能を備えるサーバ装置であり、ＤＢ５１を保持する。アカウント管理機能は、複数のユーザのアカウントを含む情報を一元管理する機能である。ＤＢ５１は、ＳＳＯ認証用の認証情報を格納するＳＳＯ認証ＤＢである。ＤＢ５１には、認証情報であるアカウントとして、正規の複数のユーザのアカウントが設定されている。アカウント管理サーバ８は、Active Directory、Open LDAP（Lightweight Directory Access Protocol）、等の技術を用いて構成可能である。
アカウント管理サーバ８は、管理者を含む外部に対するインタフェースとして設定画面を提供する。管理者は、端末からアカウント管理サーバ８へアクセスし、設定画面を表示する。設定画面は、ＤＢ５１の認証情報の内容を表示する。管理者は、設定画面で、認証情報の設定や確認が可能である。例えば、管理者は、予め初期設定として、ＤＢ５１にアカウントＡ１，Ａ２等を設定する。
アカウント管理サーバ８は、所定のＩＰアドレスを持ち、当該ＩＰアドレスに関係付けられたＵＲＬ「ＵＲＬ８」を公開する。ＩｄＰサーバ３は、「ＵＲＬ８」を宛先としてアカウント管理サーバ８へアクセスする。
ＳＳＯ認証とRADIUS認証とにおける基本的な制御の順序としては、まず、ユーザ端末１、ＳＰサーバ２、及びＩｄＰサーバ３間の通信に基づいて、ＳＳＯ認証が行われる。この際、ユーザは、ＳＳＯ認証画面でＳＳＯ認証用の認証情報を入力する操作を行う。ＳＳＯ認証の成功後、次に、ユーザ端末１、認証スイッチ６、及び認証サーバ７間の通信に基づいて、RADIUS認証が行われる。ＳＰサーバ２は、ＳＰサービス７１として、当該RADIUS認証を成功させる。この際、ユーザは、RADIUS認証画面でRADIUS認証用の認証情報を入力する操作が不要であり、すぐにネットワーク４０へログインできる。
［認証スイッチ、認証サーバ、ＳＰサーバ］
図７は、実施の形態３における認証スイッチ６、認証サーバ７、及びＳＰサーバ２の詳しい構成を示す。
認証スイッチ６は、プロセッサ、メモリ、通信インタフェース装置等のハードウェアを備え、当該ハードウェアに基づいてソフトウェア処理またはハードウェア処理により実現される処理部として、RADIUS認証クライアント部６１、接続制限部６２、及びＳＳＯリダイレクト部６３を有する。
RADIUS認証クライアント部６１は、RADIUS認証クライアントとしての処理を行う。RADIUS認証クライアント部６１は、認証サーバ７のRADIUS認証サーバ部７０１と通信し、RADIUS認証の処理を行う。RADIUS認証クライアント部６１は、ユーザ端末１からのアクセスに対し、RADIUS認証ページをユーザ端末１へ提供し、RADIUS認証ページによるRADIUS認証画面を表示させる。RADIUS認証クライアント部６１は、ユーザ端末１からRADIUS認証画面で入力された認証情報を受け取る。RADIUS認証クライアント部６１は、認証要求及び認証情報を、RADIUS認証サーバ部７０１へ送信し、RADIUS認証サーバ部７０１から認証応答を受信する。
また、RADIUS認証クライアント部６１は、ユーザ端末１から認証情報として認証成功情報７７を受信した場合、認証要求及び認証成功情報７７を、RADIUS認証サーバ部７０１へ送信する。RADIUS認証クライアント部６１は、認証応答から、RADIUS認証が成功である場合、ユーザ端末１がネットワーク４０へ接続することを許可する。
接続制限部６２は、接続制限の管理のためのリスト６４を保持する。リスト６４は、接続許可ＭＡＣアドレスリスト表である。接続制限部６２は、RADIUS認証が成功の場合、ユーザ端末１によるネットワーク４０への接続を許可するため、リスト６４において、ユーザ端末１のＭＡＣアドレスを接続許可ＭＡＣアドレスとして登録する。接続制限部６２は、ユーザ端末１によるネットワーク４０への接続を不許可にする場合、リスト６４において、ユーザ端末１の接続許可ＭＡＣアドレスを削除する。
ＳＳＯリダイレクト部６３は、ユーザ端末１からのアクセスを受けた場合、ユーザ端末１がＳＳＯ認証前の状態である場合、当該ユーザ端末１のＳＳＯ認証、及びＳＳＯ前情報の保存のために、ユーザ端末１をＳＰサーバ２へリダイレクトさせる。ＳＳＯリダイレクト部６３は、ＳＰサーバ２のＵＲＬを含むリダイレクト指示をユーザ端末１へ送信する。
更に、ＳＳＯリダイレクト部６３は、ＳＳＯ前情報の保存に係わる機能を有する。ＳＳＯリダイレクト部６３は、ユーザ端末１をＳＰサーバ２へリダイレクトさせる際、ＨＴＴＰ要求のパラメータ値に、自身のＩＰアドレス及び種類を含む情報を書き込む。このＩＰアドレスは、ＳＳＯ前にユーザ端末１がアクセスしていた認証スイッチ６を示す。この種類は、認証スイッチ６でのRADIUS認証の形式を含む種類を示す。
認証サーバ７は、プロセッサ、メモリ、通信インタフェース装置等のハードウェアを備え、当該ハードウェアに基づいてソフトウェア処理またはハードウェア処理により実現される処理部として、RADIUS認証サーバ部７０１を有する。
RADIUS認証サーバ部７０１は、認証スイッチ６のRADIUS認証クライアント部６１からの認証要求及び認証情報を受信する。RADIUS認証サーバ部７０１は、ＤＢ５２に設定されているRADIUS認証情報７０２を参照して、RADIUS認証を行う。RADIUS認証サーバ部７０１は、ユーザ端末１からの認証情報と、ＤＢ５２のRADIUS認証情報７０２に登録されている認証情報とが一致する場合、RADIUS認証の結果を成功とし、不一致である場合、失敗とする。
また、RADIUS認証サーバ部７０１は、RADIUS認証クライアント部６１から、認証情報として、認証成功情報７７に基づいた特定のパラメータ値を受け取った場合、RADIUS認証の結果を成功とする。RADIUS認証サーバ部７０１は、RADIUS認証の結果を表す認証応答を、RADIUS認証クライアント部６１へ送信する。
ＳＰサーバ２は、ＳＰサービス７１において、ＳＳＯリダイレクト部７１Ａと、情報提供部７１Ｂとを有する。管理情報７２は、認証成功情報７７を含む。
ＳＳＯリダイレクト部７１Ａは、ユーザ端末１からＳＳＯのアクセスを受けた場合、ユーザ端末１がＳＳＯ認証前の状態である場合には、情報保持サービス７３へＳＳＯ前情報の保存を要求する。その際、ＳＳＯリダイレクト部７１Ａは、ユーザ端末１からのＨＴＴＰ要求のパラメータ値に書き込まれている、認証スイッチ６のＩＰアドレス及び種類を含む情報を、保存対象のＳＳＯ前情報とする。
ＳＳＯリダイレクト部７１Ａは、ＳＳＯ前情報７５の保存後、ＳＳＯ認証のために、ユーザ端末１をＩｄＰサーバ３へリダイレクトさせる。ＳＳＯリダイレクト部７１Ａは、ＩｄＰサーバ３のＵＲＬを含むリダイレクト指示をユーザ端末１へ送信する。
情報保持サービス７３は、ＳＳＯリダイレクト部７１Ａから、保存の要求を受信した場合、保存対象のＳＳＯ前情報を、情報保持部７４にＳＳＯ前情報７５として保存する。情報保持サービス７３は、ＳＳＯ前情報７５の保存後、ＳＰサービス７１へ応答を送信する。また、情報保持サービス７３は、情報提供部７１Ｂから、取得の要求を受信した場合、取得対象のＳＳＯ前情報７５を情報保持部７４から読み出し、情報提供部７１ＢへＳＳＯ前情報７５及び応答を送信する。
情報提供部７１Ｂは、ＩｄＰサーバ３からのリダイレクトによる、ユーザ端末１からのＳＳＯのアクセスを受ける。情報提供部７１Ｂは、認証結果情報から、ユーザ端末１のＳＳＯ認証が成功である場合、情報保持サービス７３に要求して、ＳＳＯ前情報７５を取得する。情報提供部７１Ｂは、取得したＳＳＯ前情報７５から、ＳＳＯ認証前にユーザ端末１がアクセスしていた認証スイッチ６のＩＰアドレス及び種類を認識できる。
情報提供部７１Ｂは、取得したＳＳＯ前情報７５に基づいて、管理情報７２を参照し、RADIUS認証を成功させる対象の認証スイッチ６に関係付けられた認証成功情報７７を読み出す。この認証成功情報７７は、ＳＳＯ認証前にユーザ端末１がアクセスしていた認証スイッチ６及びその種類に応じた認証成功情報７７である。情報提供部７１Ｂは、読み出した認証成功情報７７及び認証スイッチＩＰアドレスを含む情報を、ユーザ端末１へ送信する。
［ＳＳＯ前情報］
図８の（ａ）は、実施の形態３におけるＳＳＯ前情報７５の構成例である表を示す。この表は、列として、「日時」、「認証スイッチＩＰアドレス」、「認証スイッチ種類」がある。「日時」列には、当該行のＳＳＯ前情報７５を保存した日時が格納される。「認証スイッチＩＰアドレス」列には、通信セッションの相手のユーザ端末１がアクセスした認証スイッチ６の識別情報及びアドレス情報として、ＩＰアドレスが格納される。「認証スイッチ種類」列には、認証スイッチ６の種類を表す情報が格納される。
本例では、第１行のＳＳＯ前情報７５は、ＩＰアドレス「ＩＰａ」を持つ認証スイッチ６ａを通じたユーザ端末１ａとのセッション情報であり、認証スイッチ６ａの種類が「Ｋａ」であることを示す。
［管理情報］
図８の（ｂ）は、管理情報７２の構成例である表を示す。この表は、列として、「認証スイッチＩＰアドレス」、「種類」、「RADIUS認証パラメータ形式」、「認証成功情報」がある。「認証スイッチＩＰアドレス」列には、ネットワーク４０に接続される複数の各々の認証スイッチ６の識別情報及びアドレス情報として、ＩＰアドレスが格納されている。「種類」列には、複数の各々の認証スイッチ６の種類を表す情報が格納されている。「種類」は、認証スイッチ６のメーカや型式、認証方式、受け付けるコマンド、等の違いに応じた種類である。「RADIUS認証パラメータ形式」列には、「種類」のうちの１つの情報として、認証スイッチ６でのRADIUS認証で受け付ける認証情報のパラメータの形式を表す情報が格納されている。「認証成功情報」列には、認証スイッチ６の種類に応じた認証成功情報７７が格納されている。
本例では、第１行は、ＩＰアドレス「ＩＰａ」を持つ認証スイッチ６ａに関する情報であり、種類が「Ｋａ」であり、認証成功情報が「Ｎａ」である。種類「Ｋａ」に対応したRADIUS認証用のパラメータの形式は、ユーザＩＤが［ｉｄ］であり、パスワードが［ｐｗ］である。認証成功情報「Ｎａ」は、認証スイッチ６ａ及び認証サーバ７でのRADIUS認証を成功させる情報である。認証成功情報「Ｎａ」において、RADIUS認証用のパラメータ値は、［ｉｄ］＝“success_user”、［ｐｗ］＝“success_pass”である。このパラメータ値は、認証サーバ７でのRADIUS認証の結果を成功にさせる特定のパラメータ値である。
同様に、第２行は、ＩＰアドレス「ＩＰｂ」を持つ認証スイッチ６ｂに関する情報であり、種類が「Ｋｂ」であり、認証成功情報が「Ｎｂ」である。種類「Ｋｂ」に対応したRADIUS認証用のパラメータの形式は、ユーザＩＤが［name］であり、パスワードが［pass］である。認証成功情報「Ｎｂ」は、認証スイッチ６ｂ及び認証サーバ７でのRADIUS認証を成功させる情報である。認証成功情報「Ｎｂ」において、RADIUS認証用のパラメータ値は、［name］＝“success_user”、［pass］＝“success_pass”である。
実施の形態３では、ネットワーク４０に接続される複数の認証スイッチ６として、異なる種類の装置を含む。実施の形態３では、認証スイッチ６ａは、種類「Ｋａ」の装置であり、認証スイッチ６ｂは、種類「Ｋｂ」の装置である。認証スイッチ６ａと認証スイッチ６ｂは、認証方式としてRADIUS認証を行う点は共通であるが、RADIUS認証のパラメータの形式が異なる。認証スイッチ６ａは、第１行に示す形式のパラメータ値を受信した場合には受け付けてRADIUS認証を行うが、この形式ではない場合には受け付けない。同様に、認証スイッチ６ｂは、第２行に示す形式のパラメータ値を受信した場合には受け付けてRADIUS認証を行うが、この形式ではない場合には受け付けない。
［通信処理シーケンス］
図９は、図６の実施の形態３の認証システムにおける、ＳＳＯを含む通信処理シーケンスを示す。概要として、通信手順８０１は、Ｓ４１〜Ｓ４６に対応し、ＳＳＯ前情報７５の保存を含む、ＳＳＯ認証前の通信手順を示す。通信手順８０２は、Ｓ４７〜Ｓ５７に対応し、ＳＳＯ認証の主な通信手順を示す。通信手順８０３は、Ｓ５８〜Ｓ６４に対応し、ＳＳＯ前情報７５の取得を含む、ＳＳＯ認証後の通信手順を示す。以下、図９のステップＳ４１〜Ｓ６４について、例を用いて説明する。
（Ｓ４１，Ｓ４２） Ｓ４１で、ユーザ９ａは、ネットワーク４０へログインしてサービスを利用する際、ユーザ端末１ａからネットワーク４０へアクセスする操作を行う。操作に従い、Ｓ４２で、ユーザ端末１ａは、所定のＵＲＬを宛先として例えば認証スイッチ６ａへアクセスする。
（Ｓ４３，Ｓ４４） Ｓ４３で、認証スイッチ６ａは、Ｓ４２のユーザ端末１ａからのアクセスを受ける。認証スイッチ６ａは、RADIUS認証を行う前に、ＳＳＯ認証のために、Ｓ４３で、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。その際、認証スイッチ６ａは、ＳＰサーバ２の「ＵＲＬ２」を含むリダイレクト指示を、ユーザ端末１ａへ送信する。ユーザ端末１ａは、Ｓ４３の指示に従い、Ｓ４４で、「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスする。
また、Ｓ４３でリダイレクトさせる際、認証スイッチ６ａは、ＳＰサーバ２へのＨＴＴＰ要求のＧＥＴメソッドのパラメータ値に、自身のＩＰアドレス「ＩＰａ」及び種類「Ｋａ」を含む情報を書き込む。ユーザ端末１ａは、Ｓ４４で、当該ＨＴＴＰ要求をＳＰサーバ２へ送信する。この情報は、ＳＳＯ前情報７５の保存のための情報であり、ＳＳＯ前にユーザ端末１がアクセスしていた認証スイッチ６が、ＩＰアドレス「ＩＰａ」及び種類「Ｋａ」を持つ認証スイッチ６ａであることを示す情報である。このＨＴＴＰ要求は、ＩＰアドレス「ＩＰａ」及び種類「Ｋａ」を持つ認証スイッチ６ａを通じたＨＴＴＰ要求を示す。なお、ＨＴＴＰ要求のパラメータ値として、例えば、［switch_IPaddress］＝ＩＰａ、［kind］＝Ｋａ、である。
（Ｓ４５，Ｓ４６） Ｓ４５で、ＳＰサーバ２のＳＰサービス７１は、Ｓ４４のユーザ端末１ａからのＨＴＴＰ要求によるＳＳＯのアクセスを受ける。ＳＰサービス７１は、ユーザ端末１ａとの通信セッション情報として、Ｓ４４のＨＴＴＰ要求に含まれるパラメータ値を取得する。ＳＰサービス７１は、ＳＳＯ認証の開始にあたり、ＳＳＯ認証前の通信セッション情報におけるＨＴＴＰ要求のパラメータ値を、ＳＳＯ前情報７５として保存する。本例では、保存対象のＳＳＯ前情報は、当該ＨＴＴＰ要求のパラメータ値における、認証スイッチ６ａのＩＰアドレス「ＩＰａ」及びその種類「Ｋａ」を含む情報である。ＳＰサービス７１は、保存の要求、及び保存対象のＳＳＯ前情報を、情報保持サービス７３へ送信する。
Ｓ４６で、情報保持サービス７３は、ＳＰサービス７１からの保存の要求、及び保存対象のＳＳＯ前情報を受け取り、そのＳＳＯ前情報を情報保持部７４にＳＳＯ前情報７５として保存し、以後、保持する。情報保持サービス７３は、保存した旨の応答をＳＰサービス７１へ送信する。
（Ｓ４７，Ｓ４８） ＳＰサーバ２のＳＰサービス７１は、Ｓ４６のＳＳＯ前情報７５の保存後、Ｓ４７で、ＳＳＯ認証の主な通信手順を開始する。ＳＰサービス７１は、ＳＳＯ認証のために、ユーザ端末１ａをＩｄＰサーバ３へリダイレクトさせる。その際、ＳＰサービス７１は、ＩｄＰサーバ３の「ＵＲＬ３」を含むリダイレクト指示を、ユーザ端末１ａへ送信する。ユーザ端末１ａは、Ｓ４７の指示に従い、Ｓ４８で、「ＵＲＬ３」を宛先としてＩｄＰサーバ３へアクセスする。
（Ｓ５０〜Ｓ５３） Ｓ５０で、ＩｄＰサーバ３のＩｄＰサービス８１は、Ｓ４８のユーザ端末１ａからのＳＳＯのアクセスを受ける。ＩｄＰサービス８１は、ユーザ端末１ａがＳＳＯ認証前の状態であるため、ＳＳＯ認証用のＳＳＯ認証ページをユーザ端末１ａへ送信する。Ｓ５１で、ユーザ端末１ａは、ＳＳＯ認証ページを受信し、ＳＳＯ認証ページによるＳＳＯ認証画面を表示する。ＳＳＯ認証画面は、ＳＳＯ認証用の認証情報の入力をユーザに促すメッセージ等の情報を含む。認証情報は、ユーザのアカウントであるユーザＩＤ及びパスワードである。Ｓ５２で、ユーザ９ａは、ＳＳＯ認証画面で、認証情報として自分のアカウントＡ１を入力する。Ｓ５３で、ユーザ端末１ａは、入力されたアカウントＡ１、及びＳＳＯ認証要求を、ＩｄＰサーバ３へ送信する。
（Ｓ５４，Ｓ５５） Ｓ５４で、ＩｄＰサーバ３のＩｄＰサービス８１は、Ｓ５３のユーザ端末１ａからのＳＳＯ認証要求、及び認証情報であるアカウントＡ１を受信する。Ｓ５５で、ＩｄＰサービス８１は、ＳＳＯ認証のため、アカウント管理サーバ８へアクセスし、そのＤＢ５１の認証情報を参照する。ＩｄＰサービス８１は、ユーザにより入力されたアカウントと、ＤＢ５１に登録されているアカウントとが一致する場合、ＳＳＯ認証の結果を成功とし、不一致である場合、失敗とする。本例では、入力されたアカウントＡ１とＤＢ５１に登録されているアカウントＡ１とが一致するので、ＳＳＯ認証の結果が成功となる。この時点で、ユーザ９ａのユーザ端末１ａは、ＳＳＯ認証済み状態となる。
（Ｓ５６，Ｓ５７） ＩｄＰサービス８１は、Ｓ５５のＳＳＯ認証の結果が成功である場合、Ｓ５６で、ＳＳＯ認証の成功及びＳＳＯ認証済み状態を表す認証結果情報を、ユーザ端末１ａへ提供し、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。その際、ＩｄＰサーバ３は、ＳＰサーバ２の「ＵＲＬ２」を含むリダイレクト指示、及び認証結果情報を、ユーザ端末１ａへ送信する。ユーザ端末１ａは、Ｓ５６の指示に従い、Ｓ５７で、「ＵＲＬ２」を宛先としてＳＰサーバ２へアクセスし、認証結果情報を送信する。
（Ｓ５８，Ｓ５９） Ｓ５８で、ＳＰサーバ２のＳＰサービス７１は、ＩｄＰサーバ３からのリダイレクトによる、Ｓ５７のユーザ端末１ａからのＳＳＯのアクセスを受ける。ＳＰサービス７１は、受信した認証結果情報から、ユーザ端末１ａのＳＳＯ認証の成功及びＳＳＯ認証済み状態を認識する。ＳＰサービス７１は、ユーザ端末１ａのＳＳＯ認証の成功後、ＳＳＯ前情報７５の取得を情報保持サービス７３に要求する。
Ｓ５９で、情報保持サービス７３は、ＳＰサービス７１からの取得の要求に対し、情報保持部７４を参照し、要求されているＳＳＯ前情報７５を読み出し、ＳＳＯ前情報７５及び応答を、ＳＰサービス７１へ送信する。情報保持サービス７３は、日時や認証スイッチＩＰアドレスをキーに、ＳＳＯ前情報７５を検索する。本例では、ＳＳＯ前情報７５として、図８の（ａ）の第１行のような情報｛ＩＰａ，Ｋａ｝が取得される。
（Ｓ６０） ＳＰサーバ２のＳＰサービス７１は、Ｓ５９のＳＳＯ前情報７５を取得し、そのＳＳＯ前情報７５の内容から、ＳＳＯ認証前にユーザ端末１がアクセスしていた認証スイッチ６のＩＰアドレス及びその種類を認識する。ＳＰサービス７１は、その認証スイッチ６及び種類に応じて、異なる認証成功情報７７を使い分けて、ユーザ端末１へ提供する。ＳＰサービス７１は、ＳＳＯ前情報７５の認証スイッチＩＰアドレス及び種類に応じた認証成功情報７７を管理情報７２から読み出す。
本例では、ＳＰサービス７１は、ＳＳＯ認証前にユーザ端末１ａがアクセスしていた「ＩＰａ」を持つ認証スイッチ６ａ及びその種類「Ｋａ」を認識する。ＳＰサービス７１は、図８の（ｂ）の管理情報７２の第１行から、認証スイッチ６ａのＩＰアドレス「ＩＰａ」及び種類「Ｋａ」に応じた認証成功情報「Ｎａ」を読み出す。
ＳＰサービス７１は、認証スイッチＩＰアドレス「ＩＰａ」及び認証成功情報「Ｎａ」を含む指示を、ユーザ端末１ａへ送信する。この指示は、ユーザ端末１ａから「ＩＰａ」」を持つ認証スイッチ６ａへ認証成功情報「Ｎａ」と共にアクセスさせる指示である。
（Ｓ６１〜Ｓ６４） Ｓ６１で、ユーザ端末１ａは、Ｓ６０の認証成功情報７７を含む指示を受信する。ユーザ端末１ａは、指示に従い、自動的に、ＩＰアドレス「ＩＰａ」を宛先として認証スイッチ６ａへアクセスすると共に、認証成功情報「Ｎａ」を認証スイッチ６ａに渡す。この際、ユーザ９ａは、RADIUS認証用の認証情報を入力する操作が不要である。
Ｓ６２で、認証スイッチ６ａは、ユーザ端末１ａからの認証成功情報「Ｎａ」を受け取ると、認証サーバ７との通信に基づいて、図１０のように、RADIUS認証を行う。認証サーバ７は、認証スイッチ６ａからの認証成功情報「Ｎａ」を受け取ると、RADIUS認証の結果を成功とし、成功を表す応答を認証スイッチ６ａへ送信する。認証スイッチ６ａは、応答から、RADIUS認証の成功を認識し、ユーザ端末１ａがネットワーク４０へ接続することを許可する。Ｓ６３で、認証スイッチ６ａは、接続を許可する旨の情報をユーザ端末１ａへ送信する。これにより、Ｓ６４で、ユーザ端末１ａは、ネットワーク４０へのログインが許可された状態となる。この状態で、ユーザ端末１ａは、認証スイッチ６ａを通じて、ネットワーク４０上のサービス、例えば図示しないＷｅｂサーバ等へアクセスし、利用可能である。
［RADIUS認証の通信手順］
図１０は、図９のＳ６２に対応した、認証スイッチ６ａと認証サーバ７との間におけるRADIUS認証の通信手順を示す。Ｓ６２は、Ｓ６２−１〜Ｓ６２−３を含む。Ｓ６１で、認証スイッチ６ａは、ユーザ端末１からの認証成功情報「Ｎａ」におけるRADIUS認証用のパラメータ値として、図８の（ｂ）の第１行に示す、［ｉｄ］＝“success_user”、［ｐｗ］＝“success_pass”を受信している。
Ｓ６２−１で、認証スイッチ６ａは、認証成功情報「Ｎａ」のRADIUS認証用のパラメータ値を含む、認証要求を、認証サーバ７へ送信する。この際、認証スイッチ６ａは、認証成功情報「Ｎａ」のRADIUS認証用のパラメータ値を、認証サーバ７で受け付ける形式へ変換してから、認証サーバ７へ送信する。本例では、Ｓ６２−１で送信されるRADIUS認証用のパラメータ値は、［user］＝“success_user”、［password］＝“success_pass”である。
Ｓ６２−２で、認証サーバ７は、認証スイッチ６ａから受信した認証要求、及びRADIUS認証用のパラメータ値に従い、ＤＢ５２を参照してRADIUS認証を行う。認証サーバ７は、受信したRADIUS認証用のパラメータ値が、認証成功情報７７による特定のパラメータ値である場合、RADIUS認証の結果を成功とする。認証サーバ７は、受信したRADIUS認証用のパラメータ値が、認証成功情報７７による特定のパラメータ値ではない場合、そのパラメータ値により、ＤＢ５２を参照して、RADIUS認証を行う。
Ｓ６２−３で、認証サーバ７は、RADIUS認証の結果である成功または失敗を表す認証応答を、認証スイッチ６ａへ送信する。
なお、認証スイッチ６ａは、RADIUS認証が成功の場合、ユーザ端末１ａの接続を許可するため、ユーザ端末１ａのＭＡＣアドレスを接続許可ＭＡＣアドレスとしてリスト６４に登録する。認証スイッチ６ａは、ユーザ端末１からのアクセスを受けた場合、そのユーザ端末１からのフレームの送信元ＭＡＣアドレス、及びリスト６４を確認する。認証スイッチ６ａは、リスト６４に、その送信元ＭＡＣアドレスが接続許可ＭＡＣアドレスとして登録されている場合、そのユーザ端末１による接続を許可し、登録されていない場合、接続を不許可とし、フレームを破棄する。
［効果等］
以上のように、実施の形態３の認証システムによれば、ＳＳＯ後、ＳＳＯ前情報に応じたサービスをユーザ端末１へ提供することができる。実施の形態３では、ＳＳＯ認証の成功により、RADIUS認証の手続きが簡略化される。ＳＰサービス７１は、ＳＳＯ認証の成功後、ＳＳＯ認証前にユーザ端末１がアクセスしていた認証スイッチ６及びその種類に応じた認証成功情報７７を提供する。認証成功情報７７により、認証スイッチ６及び認証サーバ７でのRADIUS認証が成功になる。ユーザは、RADIUS認証の際、認証情報を入力する手間が無く、すぐにネットワーク４０へログインしてサービスを利用できる。
実施の形態３の変形例として、以下が挙げられる。ＳＳＯ認証及びRADIUS認証は、ユーザＩＤ及びパスワードの組合せによる認証に限らず、他の方式の認証も適用可能である。また、認証スイッチ６と認証サーバ７との間の認証は、RADIUS認証に限らず、他の方式の認証も適用可能である。
また、アカウント管理サーバ８が無い構成でもよい。その場合、ＩｄＰサーバ３は、ＳＳＯ認証ＤＢを保持する。ＩｄＰサーバ３は、そのＳＳＯ認証ＤＢを参照してＳＳＯ認証を行う。また、認証サーバ７のRADIUS認証用のＤＢ５２は、認証サーバ７内ではなく、ネットワーク４０に接続される所定の装置内に存在してもよい。
認証スイッチ６及び認証サーバ７は、RADIUS認証として、所定のアプリケーションのサービスへのログインのための認証を行ってもよい。所定のアプリケーションは、例えば社員が共通で使用するアプリケーションである。ＳＰサーバ２は、サービスとして、そのアプリケーションへのログインのための認証を成功させる認証成功情報を提供する。これにより、ユーザ端末１は、ＳＳＯ認証後、アプリケーションのサービスへすぐにログインできる。
また、変形例として、認証サーバ７とＳＰサーバ２は、１台のサーバ装置で実現されてもよい。言い換えると、ＳＰサーバ２に認証サーバ７の機能を統合した構成としてもよい。１台に統合されたＳＰサーバは、ＳＰサービス、情報保持サービス、及びRADIUS認証サーバとしてのサービス等を提供する。特に、ＳＰサービスは、実施の形態３のサービスに加え、更に、RADIUS認証サーバとしての認証を行う認証サービスを提供する。
この変形例の認証システムは、以下のような構成を有する。ＳＰサーバは、サービスとして、認証スイッチとの通信に基づいてユーザ端末がネットワークへ接続する際の認証を行う認証サービスを有する。ＳＰサーバは、ＳＳＯ前情報の内容に応じたサービスとして、認証スイッチ及び認証サービスでの認証を成功させる認証成功情報を、ユーザ端末へ提供し、ユーザ端末を認証成功情報と共に認証スイッチへアクセスさせる。認証サービスは、認証スイッチから、認証要求、及び認証成功情報を受信した場合、認証を成功とし、当該認証の成功を表す認証応答を認証スイッチへ送信する。
認証スイッチは、ユーザ端末からアクセスを受けた場合、ユーザ端末をＳＰサーバへリダイレクトさせる。認証スイッチは、ユーザ端末から認証のためのアクセスを受けて、認証成功情報を受信した場合、認証要求、及び認証成功情報を、ＳＰサーバの認証サービスへ送信する。認証スイッチは、認証サービスから認証の成功を表す認証応答を受信した場合、ユーザ端末がネットワークへ接続することを許可する。
［第１の変形例］
図１１及び図１２を用いて、実施の形態３の第１の変形例の認証システムについて説明する。以下、第１の変形例の構成について、実施の形態３の構成とは異なる部分について説明する。
図１１は、第１の変形例の認証システムにおける、ユーザ端末１ａ、認証スイッチ６ａ、及びＳＰサーバ２間における、ＳＳＯ前情報の保存、取得、及びサービス提供等の通信処理の例を示す。第１の変形例では、情報保持サービス７３は、ＳＰサーバ２や他のサーバ内ではなく、ユーザ端末１内に、ＳＳＯ前情報を保存する。情報保持サービス７３は、保存対象のＳＳＯ前情報を、Cookieファイル１５に出力し、Cookieファイル１５をユーザ端末１内に退避させる形で保持させる。Cookieファイル１５は、ユーザ端末１とＳＰサーバ２の通信セッションで使用される情報である。
第１の変形例における、ＳＳＯ前情報の保存を含む、ＳＳＯ認証の前の通信手順の例は以下である。ユーザ９ａは、ネットワーク４０へログインしてサービスを利用する際、ユーザ端末１ａから認証スイッチ６ａへアクセスする。認証スイッチ６ａは、RADIUS認証を行う前に、ＳＳＯ認証のために、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。その際、認証スイッチ６ａは、ＳＰサーバ２へのＨＴＴＰ要求のＧＥＴメソッドのパラメータ値に、自身のＩＰアドレス「ＩＰａ」及び種類「Ｋａ」を含む情報を書き込む。
ＳＰサーバ２のＳＰサービス７１は、ユーザ端末１ａからのＨＴＴＰ要求によるＳＳＯのアクセスを受ける。ＳＰサービス７１は、ＨＴＴＰ要求に含まれるパラメータ値を取得する。ＳＰサービス７１は、ＳＳＯ認証の前に、当該ＨＴＴＰ要求のパラメータ値を、ＳＳＯ前情報として保存する。ＳＰサービス７１は、保存の要求、及び保存対象のＳＳＯ前情報を、情報保持サービス７３へ送信する。
情報保持サービス７３は、ＳＰサービス７１からの保存の要求、及び保存対象のＳＳＯ前情報を受け取り、そのＳＳＯ前情報を、ユーザ端末１ａとのCookieファイル１５に出力する。情報保持サービス７３は、Cookieファイル１５のうち、特定のパラメータ値に、ＳＳＯ前情報を書き込む。
特定のパラメータは、例えば認証スイッチ情報を表すパラメータである「switch_info」として設けられる。また、そのうち、例えば認証スイッチ６のＩＰアドレスのパラメータを［Switch_IPaddress］、認証スイッチ６の種類のパラメータを［Switch_Kind］、とする。情報保持サービス７３は、例えば［Switch_IPaddress］＝ＩＰａ、［Switch_Kind］＝Ｋａ、のように書き込む。
情報保持サービス７３は、そのCookieファイル１５をユーザ端末１ａに送信し、ユーザ端末１ａ内の情報保持部１４に保存させる。ユーザ端末１ａは、そのCookieファイル１５を情報保持部１４に保存する。情報保持部１４は、メモリ等の記憶手段により構成される。情報保持サービス７３は、保存した旨の応答をＳＰサービス７１へ送信する。
ＳＳＯ前情報の取得を含む、ＳＳＯ認証の後の通信手順の例は以下である。ＳＰサービス７１は、ユーザ端末１ａのＳＳＯ認証の成功後、ＳＳＯ前情報の取得を情報保持サービス７３へ要求する。情報保持サービス７３は、ＳＰサービス７１からの取得の要求に従い、ユーザ端末１ａへアクセスし、情報保持部１４に保持されているCookieファイル１５を要求する。ユーザ端末１ａは、要求されたCookieファイル１５を情報保持サービス７３へ送信する。情報保持サービス７３は、受信したCookieファイル１５から、特定のパラメータ値に書き込まれているＳＳＯ前情報を取得し、取得したＳＳＯ前情報及び応答をＳＰサービス７１へ送信する。
ＳＰサービス７１は、取得したＳＳＯ前情報の内容に応じたサービスとして、認証成功情報７７をユーザ端末１ａへ提供する。ＳＰサービス７１は、管理情報７２に、複数の各々の認証スイッチ６の種類に応じた認証成功情報７７として、認証成功情報「Ｎａ」，「Ｎｂ」等を保持している。ＳＰサービス７１は、取得したＳＳＯ前情報から、ＳＳＯ前にユーザ端末１ａがアクセスしていた認証スイッチ６ａ及びその種類「Ｋａ」を認識する。ＳＰサービス７１は、サービスとして、認証スイッチ６ａ及び認証サーバ７でのRADIUS認証を成功させる認証成功情報「Ｎａ」を提供する。ＳＰサービス７１は、管理情報７２から、認証スイッチ６ａの種類「Ｋａ」に応じた認証成功情報「Ｎａ」を読み出す。
ＳＰサービス７１は、ユーザ端末１ａに認証成功情報「Ｎａ」を提供する際、認証成功情報「Ｎａ」を含むRADIUS認証ページ１６を提供する。このRADIUS認証ページ１６は、Cookieファイル１５のＳＳＯ前情報に応じてユーザ端末１ａでの表示内容及び機能を動的に変化させるＷｅｂページにより構成される。
ユーザ端末１ａは、ＳＰサービス７１から認証スイッチ６ａを通じてRADIUS認証ページ１６を受信し、受信したRADIUS認証ページ１６によるRADIUS認証画面１７を表示する。RADIUS認証画面１７は、RADIUS認証用の認証情報であるアカウントの入力をユーザに促す情報が含まれている。本例では、RADIUS認証画面１７は、アカウントの入力欄に、認証成功情報「Ｎａ」に基づいたRADIUS認証用のパラメータ値がセットされた状態で表示される。すなわち、ユーザＩＤの入力欄には、“success_user”のような特定の値が入力済みであり、パスワードの入力欄には、“success_pass”のような特定の値が入力済みである。ユーザ９ａは、そのRADIUS認証画面１７を見て、実行を示すＯＫボタンを押す。これにより、ユーザ端末１ａから認証スイッチ６ａへ、認証成功情報「Ｎａ」として、RADIUS認証用のパラメータ値が渡される。
図１２は、RADIUS認証の際の通信処理の例として、図１１のRADIUS認証画面１７に基づいて、ユーザ端末１から認証スイッチ６へアクセスし、認証スイッチ６から認証サーバ７へ認証要求を行う例を示す。
図１２の（ａ）は、ユーザ９ａのユーザ端末１ａが認証スイッチ６ａへアクセスする例である。ユーザ９ａは、図１１のRADIUS認証画面１７と同じであるRADIUS認証画面１７ａで、ＯＫボタンを押す。ユーザ端末１ａは、認証成功情報「Ｎａ」として、RADIUS認証用のパラメータ値を、認証スイッチ６ａへ送信する。このパラメータ値は、［ｉｄ］＝“success_user”、［ｐｗ］＝“success_pass”である。
認証スイッチ６ａは、受信したRADIUS認証用のパラメータ値が、正しい形式のパラメータ値である場合には受け取る。正しい形式は、図８の（ｂ）の「RADIUS認証パラメータ形式」の通りである。認証スイッチ６ａは、受け取ったRADIUS認証用のパラメータ値を、認証サーバ７で受け付ける所定の形式に変換する。所定の形式として、ユーザＩＤが［user］、パスワードが［password］である。すなわち、変換後のパラメータ値は、［user］＝“success_user”、［password］＝“success_pass”である。認証スイッチ６ａは、認証要求、及びそのRADIUS認証用のパラメータ値を、認証サーバ７へ送信する。
認証サーバ７は、受信した認証情報が所定の形式のRADIUS認証用のパラメータ値である場合には受け取る。認証サーバ７は、受け取ったパラメータ値が、特に、認証成功情報７７による特定のパラメータ値である場合、RADIUS認証の結果を成功にする。
図１２の（ｂ）は、ユーザ９ｂのユーザ端末１ｂが認証スイッチ６ｂへアクセスする例である。ユーザ９ｂは、認証成功情報「Ｎｂ」に基づいたRADIUS認証画面１７ｂでＯＫボタンを押す。ユーザ端末１ｂは、認証成功情報「Ｎｂ」によるRADIUS認証用のパラメータ値を、認証スイッチ６ｂへ送信する。このパラメータ値は、種類「Ｋｂ」に対応した、［name］＝“success_user”、［pass］＝“success_pass”を含む。認証スイッチ６ｂは、受け取ったRADIUS認証用のパラメータ値を、認証サーバ７で受け付ける所定の形式に変換し、認証要求、及びそのRADIUS認証用のパラメータ値を、認証サーバ７へ送信する。変換後のパラメータ値は、［user］＝“success_user”、［password］＝“success_pass”である。認証サーバ７は、受け取ったRADIUS認証用のパラメータ値が、特に、認証成功情報７７による特定のパラメータ値である場合、RADIUS認証の結果を成功にする。
上記のように、第１の変形例では、ＳＰサービスとして、ユーザ端末１がアクセスした認証スイッチ６の種類に応じたRADIUS認証画面を提供し、ユーザによるRADIUS認証用の認証情報の入力を省略させることができる。
［第２の変形例］
実施の形態３の第２の変形例の認証システムについて説明する。第２の変形例では、実施の形態３の図９の通信処理シーケンスにおいて、通信手順８０１及び通信手順８０３を、実施の形態２の図５の通信手順５０１及び通信手順５０３と同様の通信手順とする。また、第２の変形例では、実施の形態２の図４と同様に、ＳＰサーバ２と情報保持サーバ４とで分離されている。ユーザ端末１は、先に情報保持サーバ４の情報保持サービスへアクセスし、次にＳＰサーバ２のＳＰサービスへアクセスする。情報保持サービスは、ＳＳＯ前情報を保存した後、ユーザ端末１をＳＰサービスへリダイレクトさせる。その他は、実施の形態３の構成と同様である。
第２の変形例における通信手順の例は以下である。ユーザ９ａは、ユーザ端末１ａから認証スイッチ６ａへアクセスする。認証スイッチ６ａは、ユーザ端末１ａがＳＳＯ認証前の場合、ＳＳＯ認証のため、情報保持サーバ４へアクセスする。また、その際、認証スイッチ６ａは、ＨＴＴＰ要求のパラメータ値に、ユーザ端末１ａがアクセスした認証スイッチ６ａのＩＰアドレス「ＩＰａ」及びその種類「Ｋａ」を含む情報を書き込む。情報保持サーバ４は、認証スイッチ６ａからのアクセスを受けると、ＨＴＴＰ要求のパラメータ値を保存対象のＳＳＯ前情報として情報保持部に保存する。情報保持サーバ４は、ＳＳＯ前情報の保存後、ユーザ端末１ａをＳＰサービス２１へリダイレクトさせる。
ＳＰサーバ２は、ユーザ端末１ａからのアクセスを受けると、ＳＳＯ認証の通信手順を開始する。以降、図９のＳ４７〜Ｓ５５と同様の通信手順が行われる。ＩｄＰサーバ３は、ＳＳＯ認証の成功の場合、認証結果情報を提供し、ユーザ端末１ａを情報保持サーバ４へリダイレクトさせる。情報保持サーバ４は、ユーザ端末１ａからのアクセスを受けると、情報保持部を参照してＳＳＯ前情報を読み出し、ＳＳＯ前情報をユーザ端末１ａへ提供し、ユーザ端末１ａをＳＰサーバ２へリダイレクトさせる。ＳＰサーバ２は、ユーザ端末１ａからのアクセスを受け、認証結果情報及びＳＳＯ前情報を受信する。ＳＰサーバ２は、ユーザ端末１ａのＳＳＯ認証の成功後、ＳＳＯ前情報に応じたサービスとして、認証スイッチ６ａでのRADIUS認証を成功させる認証成功情報「Ｎａ」をユーザ端末１ａへ提供する。
［第３の変形例］
実施の形態３の第３の変形例の認証システムについて説明する。第３の変形例では、ＳＰサーバ２は、認証成功情報７７として、ワンタイムパスワードを提供する。ワンタイムパスワードとは、１回限りで有効な認証情報である。このワンタイムパスワードは、認証スイッチ６及び認証サーバ７でのRADIUS認証の方式に対応したワンタイムパスワードである。認証スイッチ６及び認証サーバ７は、ワンタイムパスワードを用いたRADIUS認証を行う。
ＳＰサーバ２は、ユーザ端末１のＳＳＯ認証の成功後、サービスとして、認証スイッチ６及び認証サーバ７でのRADIUS認証を成功させるワンタイムパスワードをユーザ端末１へ提供する。ユーザ端末１は、認証スイッチ６へアクセスし、そのワンタイムパスワードを認証スイッチ６へ渡す。認証スイッチ６は、ユーザ端末１から受け取ったワンタイムパスワード及び認証要求を認証サーバ７へ送信する。認証サーバ７は、認証スイッチ６から受信したワンタイムパスワードを用いてRADIUS認証を行い、そのRADIUS認証の結果が成功になる。
第３の変形例は、RADIUS認証用の認証情報としてワンタイムパスワードとすることにより、セキュリティをより高めることができる。
以上、本発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されず、その要旨を逸脱しない範囲で種々変更可能である。
１，１ａ，１ｂ…ユーザ端末、２…ＳＰサーバ、３…ＩｄＰサーバ、９ａ，９ｂ…ユーザ、２１…ＳＰサービス、２２…Ｗｅｂコンテンツ、２３…情報保持サービス、２４…情報保持部、２５…ＳＳＯ前情報、３１…ＩｄＰサービス、３２…ＳＳＯ認証ＤＢ、３３…認証情報、４０…ネットワーク、９０…管理者

Claims (13)

  1. ユーザ端末のシングルサインオンの際にシングルサインオン認証を行うアイデンティティプロバイダサーバと、
    前記シングルサインオン認証の成功の場合にサービスを前記ユーザ端末へ提供するサービスプロバイダサーバと、
    前記シングルサインオン認証用の認証情報が設定されているシングルサインオン認証ＤＢと、
    情報保持部と、
    を備え、
    前記サービスプロバイダサーバは、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末の前記シングルサインオンの前の通信セッション情報を、シングルサインオン前情報として、前記情報保持部に保存し、
    前記シングルサインオン前情報の保存後、前記ユーザ端末を前記アイデンティティプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記シングルサインオン前情報を前記情報保持部から取得し、
    前記シングルサインオン前情報の内容に応じた前記サービスを、前記ユーザ端末へ提供し、
    前記アイデンティティプロバイダサーバは、前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末から入力された認証情報を用いて、前記シングルサインオン認証ＤＢを参照して前記シングルサインオン認証を行い、前記シングルサインオン認証の成功の場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記ユーザ端末がネットワークへ接続する際にアクセスする認証機器と、
    前記認証機器との通信に基づいて前記ユーザ端末が前記ネットワークへ接続する際の認証を行う認証サーバと、
    を備え、
    前記サービスプロバイダサーバは、
    前記シングルサインオン前情報の内容に応じた前記サービスとして、前記認証機器及び前記認証サーバでの前記認証を成功させる認証成功情報を、前記ユーザ端末へ提供し、前記ユーザ端末を前記認証成功情報と共に前記認証機器へアクセスさせ、
    前記認証機器は、
    前記ユーザ端末から前記アクセスを受けた場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記ユーザ端末から前記認証のためのアクセスを受けて、前記認証成功情報を受信した場合、認証要求、及び前記認証成功情報を、前記認証サーバへ送信し、
    前記認証サーバから前記認証の成功を表す認証応答を受信した場合、前記ユーザ端末が前記ネットワークへ接続することを許可し、
    前記認証サーバは、
    前記認証要求、及び前記認証成功情報を受信した場合、前記認証を成功とし、当該認証の成功を表す前記認証応答を前記認証機器へ送信する、
    認証システム。
  2. ユーザ端末のシングルサインオンの際にシングルサインオン認証を行うアイデンティティプロバイダサーバと、
    前記シングルサインオン認証の成功の場合にサービスを前記ユーザ端末へ提供するサービスプロバイダサーバと、
    前記シングルサインオン認証用の認証情報が設定されているシングルサインオン認証ＤＢと、
    情報保持部と、
    を備え、
    前記サービスプロバイダサーバは、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末の前記シングルサインオンの前の通信セッション情報を、シングルサインオン前情報として、前記情報保持部に保存し、
    前記シングルサインオン前情報の保存後、前記ユーザ端末を前記アイデンティティプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記シングルサインオン前情報を前記情報保持部から取得し、
    前記シングルサインオン前情報の内容に応じた前記サービスを、前記ユーザ端末へ提供し、
    前記アイデンティティプロバイダサーバは、前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末から入力された認証情報を用いて、前記シングルサインオン認証ＤＢを参照して前記シングルサインオン認証を行い、前記シングルサインオン認証の成功の場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記ユーザ端末がネットワークへ接続する際にアクセスする認証機器を備え、
    前記サービスプロバイダサーバは、
    前記サービスとして、前記認証機器との通信に基づいて前記ユーザ端末が前記ネットワークへ接続する際の認証を行う認証サービスを有し、
    前記シングルサインオン前情報の内容に応じた前記サービスとして、前記認証機器及び前記認証サービスでの前記認証を成功させる認証成功情報を、前記ユーザ端末へ提供し、前記ユーザ端末を前記認証成功情報と共に前記認証機器へアクセスさせ、
    前記認証機器は、
    前記ユーザ端末から前記アクセスを受けた場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記ユーザ端末から前記認証のためのアクセスを受けて、前記認証成功情報を受信した場合、認証要求、及び前記認証成功情報を、前記サービスプロバイダサーバの前記認証サービスへ送信し、
    前記認証サービスから前記認証の成功を表す認証応答を受信した場合、前記ユーザ端末が前記ネットワークへ接続することを許可し、
    前記認証サービスは、前記認証機器から、前記認証要求、及び前記認証成功情報を受信した場合、前記認証を成功とし、当該認証の成功を表す前記認証応答を前記認証機器へ送信する、
    認証システム。
  3. 請求項１または２に記載の認証システムにおいて、
    前記サービスプロバイダサーバは、
    情報保持サービス、及び前記情報保持部を有し、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記情報保持サービスに要求して、前記シングルサインオン前情報を、前記情報保持部に保存させ、
    前記シングルサインオン認証の成功後、前記情報保持サービスに要求して、前記シングルサインオン前情報を、前記情報保持部から取得させる、
    認証システム。
  4. 請求項１または２に記載の認証システムにおいて、
    情報保持サーバを有し、
    前記情報保持サーバは、
    前記情報保持部を有し、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記シングルサインオン前情報を、前記情報保持部に保存し、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記シングルサインオン前情報を、前記情報保持部から取得し、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記アイデンティティプロバイダサーバは、前記シングルサインオン認証の成功の場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせる前に、前記情報保持サーバへリダイレクトさせる、
    認証システム。
  5. 請求項１または２に記載の認証システムにおいて、
    情報保持サーバを有し、
    前記情報保持サーバは、前記情報保持部を有し、
    前記サービスプロバイダサーバは、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記情報保持サーバに要求して、前記シングルサインオン前情報を前記情報保持部に保存させ、前記ユーザ端末を前記アイデンティティプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記情報保持サーバに要求して、前記シングルサインオン前情報を、前記情報保持部から取得させる、
    認証システム。
  6. 請求項１または２に記載の認証システムにおいて、
    前記情報保持部は、前記ユーザ端末に設けられている、
    認証システム。
  7. 請求項１〜６のいずれか一項に記載の認証システムにおいて、
    前記サービスプロバイダサーバは、前記ユーザ端末からのＨＴＴＰ要求のパラメータ値を、前記シングルサインオン前情報として保存する、
    認証システム。
  8. 請求項１〜７のいずれか一項に記載の認証システムにおいて、
    前記シングルサインオン前情報は、前記シングルサインオンの前に前記ユーザ端末がアクセスしていた前記認証機器の識別情報及び種類の情報を含み、
    前記サービスプロバイダサーバは、前記サービスとして、前記シングルサインオンの前に前記ユーザ端末がアクセスしていた前記認証機器の種類に応じた前記認証成功情報を提供する、
    認証システム。
  9. 請求項８記載の認証システムにおいて、
    前記認証機器は、前記ユーザ端末から前記アクセスを受けた場合、当該認証機器の識別情報及び種類の情報を、前記ユーザ端末からのＨＴＴＰ要求のパラメータ値に書き込み、
    前記サービスプロバイダサーバは、前記ユーザ端末からの前記ＨＴＴＰ要求の前記パラメータ値を、前記シングルサインオン前情報として保存する、
    認証システム。
  10. 請求項１〜９のいずれか一項に記載の認証システムにおいて、
    前記認証は、RADIUS認証であり、
    前記認証成功情報は、前記RADIUS認証用の認証情報を含む、
    認証システム。
  11. 請求項１〜９のいずれか一項に記載の認証システムにおいて、
    前記認証は、ワンタイムパスワードを用いた認証であり、
    前記認証成功情報は、前記認証用のワンタイムパスワードを含む、
    認証システム。
  12. ユーザ端末のシングルサインオンの際にシングルサインオン認証を行うアイデンティティプロバイダサーバと、
    前記シングルサインオン認証の成功の場合にサービスを前記ユーザ端末へ提供するサービスプロバイダサーバと、
    前記シングルサインオン認証用の認証情報が設定されているシングルサインオン認証ＤＢと、
    情報保持部と、
    を備え、
    前記サービスプロバイダサーバは、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末の前記シングルサインオンの前の通信セッション情報を、シングルサインオン前情報として、前記情報保持部に保存し、
    前記シングルサインオン前情報の保存後、前記ユーザ端末を前記アイデンティティプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記シングルサインオン前情報を前記情報保持部から取得し、
    前記シングルサインオン前情報の内容に応じた前記サービスを、前記ユーザ端末へ提供し、
    前記アイデンティティプロバイダサーバは、前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末から入力された認証情報を用いて、前記シングルサインオン認証ＤＢを参照して前記シングルサインオン認証を行い、前記シングルサインオン認証の成功の場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    情報保持サーバを有し、
    前記情報保持サーバは、
    前記情報保持部を有し、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記シングルサインオン前情報を、前記情報保持部に保存し、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記シングルサインオン前情報を、前記情報保持部から取得し、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    前記アイデンティティプロバイダサーバは、前記シングルサインオン認証の成功の場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせる前に、前記情報保持サーバへリダイレクトさせる、
    認証システム。
  13. ユーザ端末のシングルサインオンの際にシングルサインオン認証を行うアイデンティティプロバイダサーバと、
    前記シングルサインオン認証の成功の場合にサービスを前記ユーザ端末へ提供するサービスプロバイダサーバと、
    前記シングルサインオン認証用の認証情報が設定されているシングルサインオン認証ＤＢと、
    情報保持部と、
    を備え、
    前記サービスプロバイダサーバは、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末の前記シングルサインオンの前の通信セッション情報を、シングルサインオン前情報として、前記情報保持部に保存し、
    前記シングルサインオン前情報の保存後、前記ユーザ端末を前記アイデンティティプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記シングルサインオン前情報を前記情報保持部から取得し、
    前記シングルサインオン前情報の内容に応じた前記サービスを、前記ユーザ端末へ提供し、
    前記アイデンティティプロバイダサーバは、前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記ユーザ端末から入力された認証情報を用いて、前記シングルサインオン認証ＤＢを参照して前記シングルサインオン認証を行い、前記シングルサインオン認証の成功の場合、前記ユーザ端末を前記サービスプロバイダサーバへリダイレクトさせ、
    情報保持サーバを有し、
    前記情報保持サーバは、前記情報保持部を有し、
    前記サービスプロバイダサーバは、
    前記ユーザ端末から前記シングルサインオンのアクセスを受けた場合、前記情報保持サーバに要求して、前記シングルサインオン前情報を前記情報保持部に保存させ、前記ユーザ端末を前記アイデンティティプロバイダサーバへリダイレクトさせ、
    前記シングルサインオン認証の成功後、前記情報保持サーバに要求して、前記シングルサインオン前情報を、前記情報保持部から取得させる、
    認証システム。
JP2014258109A 2014-12-19 2014-12-19 認証システム Active JP6358947B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2014258109A JP6358947B2 (ja) 2014-12-19 2014-12-19 認証システム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2014258109A JP6358947B2 (ja) 2014-12-19 2014-12-19 認証システム

Publications (2)

Publication Number Publication Date
JP2016118930A JP2016118930A (ja) 2016-06-30
JP6358947B2 true JP6358947B2 (ja) 2018-07-18

Family

ID=56243044

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2014258109A Active JP6358947B2 (ja) 2014-12-19 2014-12-19 認証システム

Country Status (1)

Country Link
JP (1) JP6358947B2 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6266049B1 (ja) * 2016-07-25 2018-01-24 三井情報株式会社 情報処理システム、情報処理方法、情報処理装置及びプログラム
CN107809496B (zh) 2016-09-09 2020-05-12 新华三技术有限公司 网络访问控制方法和装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4152753B2 (ja) * 2003-01-09 2008-09-17 日本電信電話株式会社 ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および統合型認証アクセス制御システム
JP4291213B2 (ja) * 2004-05-26 2009-07-08 日本電信電話株式会社 認証方法、認証システム、認証代行サーバ、ネットワークアクセス認証サーバ、プログラム、及び記録媒体
US9143502B2 (en) * 2004-12-10 2015-09-22 International Business Machines Corporation Method and system for secure binding register name identifier profile
JP2007272542A (ja) * 2006-03-31 2007-10-18 Ntt Communications Kk アクセス制御装置、アクセス制御方法、及びプログラム
JP2007310512A (ja) * 2006-05-16 2007-11-29 Mitsubishi Electric Corp 通信システム、サービス提供サーバおよびユーザ認証サーバ
JP4820342B2 (ja) * 2007-08-09 2011-11-24 日本電信電話株式会社 ユーザ認証方法、ユーザ認証装置、プログラム及び記録媒体

Also Published As

Publication number Publication date
JP2016118930A (ja) 2016-06-30

Similar Documents

Publication Publication Date Title
US10419418B2 (en) Device fingerprint based authentication
US20200099677A1 (en) Security object creation, validation, and assertion for single sign on authentication
EP2984589B1 (en) System and method for mobile single sign-on integration
CN101009561B (zh) 用于imx会话控制和认证的系统和方法
US20030226036A1 (en) Method and apparatus for single sign-on authentication
US20120246226A1 (en) System and method for sharing data from a local network to a remote device
JP2009519529A (ja) 認証方法を拡張するための方法及びシステム
JP6358947B2 (ja) 認証システム
JP7025684B2 (ja) 代理認証システム、代理認証方法、プログラム
AU2017344389B2 (en) Portal aggregation service mapping subscriber device identifiers to portal addresses to which connection and authentication requests are redirected and facilitating mass subscriber apparatus configuration
EP2997711A1 (en) Providing single sign-on for wireless devices
CA2659096A1 (en) Configurable data access application for highly secure systems
JP6848275B2 (ja) プログラム、認証システム及び認証連携システム
JP6347732B2 (ja) 認証システム
JP6055546B2 (ja) 認証装置、認証方法、およびプログラム
JP2004302869A (ja) アクセス管理サーバ、ネットワーク装置、ネットワークシステム、アクセス管理方法
JP2014130542A (ja) 画像形成装置、セッション管理方法及びプログラム
NO326557B1 (no) Fremgangsmate og system for felles sterk autentisering av web-tjenester som aksesseres via en mobil terminal

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170925

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20180409

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20180417

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20180529

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20180605

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20180619

R150 Certificate of patent or registration of utility model

Ref document number: 6358947

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250

R250 Receipt of annual fees

Free format text: JAPANESE INTERMEDIATE CODE: R250