JP6620435B2 - ユーザー統合管理システム - Google Patents

Description

本開示は、ユーザー統合管理システム、通信端末、ならびにプログラムに関し、特に、生体認証を実行する管理装置にユーザーの生体情報を登録するためのユーザー統合管理システム、ならびに、当該生体情報の登録に利用される通信端末およびプログラムに関する。

従来のドアゲートの開錠システム等の認証システムでは、ユーザーの生体情報を登録しておき、当該生体情報を用いてユーザーの認証が行なわれている。このようなユーザー認証に関し、種々の技術が提案されている。たとえば、特開２００６−１２６８９１号公報（特許文献１）では、ユーザーが、端末を介して、サーバーに生体情報を登録するための方法が開示されている。当該方法は、サーバーが、当該サーバーと端末との間の相互認証の後、当該端末へ鍵を送信し、当該ユーザーに対して当該端末への鍵の入力を要求し、入力された鍵が当該端末へ送信された鍵と一致していることを検査する段階を含む。なお、当該方法では、端末に対して、鍵は、暗号化されて送信される。端末では、当該鍵が復号化される。

特開２００６−１２６８９１号公報

近年、多くのシステムにおいて、上記したような生体情報を用いたユーザー認証が行なわれるようになってきている。このような状況下では、ユーザーは、複数のシステムに生体情報を登録しようとする場合、それぞれのシステムに対して、特許文献１に記載されたような方法に従った処理を実行する。生体情報の登録は、ユーザーにとってリスクを背負い場合もあり得る。したがって、ユーザーは、各システムに生体情報を登録する際に、それぞれのシステムについてその安全性を精査することを必要とされ、煩雑であると感じる事態が生じ得る。

本開示は、かかる実情に鑑み考え出されたものであり、その目的は、ユーザー統合管理システムにおいて、複数のシステムに生体情報を登録する際のユーザーの負担を軽減することである。

本開示によれば、ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムが提供される。ユーザー統合管理サーバーは、当該ユーザー統合管理サーバー固有の暗号鍵を用いて管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、電子署名生成部によって生成された電子署名をユーザー端末へ送信する電子署名送信部とを含む。ユーザー端末は、ユーザーの生体情報を格納する第１の格納部と、ユーザー統合管理サーバー固有の暗号鍵を用いて電子署名を検証する検証部と、検証部による電子署名の検証が成功した場合に、管理装置固有の暗号鍵を用いて生体情報を暗号化する暗号化部と、暗号化部によって暗号化された生体情報を管理装置へ送信する生体情報送信部とを含む。管理装置は、ユーザーの生体情報を格納する第２の格納部と、暗号化された生体情報を、復号化して、第２の格納部に格納するための生体情報登録部とを含む。

ユーザー統合管理システムは、ユーザー統合管理サーバーと通信可能な基本システムをさらに備え、基本システムは、生体情報を生成し、ユーザー固有の暗号鍵を用いてユーザーの生体情報を暗号化した情報を生成し、暗号化されたユーザーの生体情報をユーザー統合管理サーバーへ送信し、ユーザー統合管理サーバーは、暗号化された生体情報を格納する第３の格納部をさらに含み、電子署名送信部は、暗号化された生体情報をユーザー端末へ送信し、検証部は、暗号化された生体情報をユーザー固有の暗号鍵を用いて復号化して第１の格納部へ格納する。

好ましくは、基本システムは、生体情報を用いた認証処理を実行するための認証処理部をさらに含む。

本開示の本開示の他の局面に従うと、ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムが提供される。ユーザー統合管理サーバーは、当該ユーザー統合管理サーバー固有の暗号鍵を用いて管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、電子署名生成部によって生成された電子署名をユーザー端末へ送信する電子署名送信部とを含み、ユーザー端末は、ユーザーの生体情報を格納する第１の格納部と、ユーザー統合管理サーバー固有の暗号鍵を用いて電子署名を検証する検証部と、検証部による電子署名の検証が成功した場合に、管理装置固有の暗号鍵を用いて生体情報を暗号化する暗号化部と、暗号化部によって暗号化された生体情報を管理装置へ送信する生体情報送信部とを含み、管理装置は、ユーザーの生体情報を格納する第２の格納部と、暗号化された生体情報を、復号化して、第２の格納部に格納するための生体情報登録部とを含み、ユーザー統合管理サーバーは、管理装置における生体認証処理の稼働履歴を格納するための履歴格納手段と、稼働履歴が信頼度についての予め定められた基準を満たすか否かを判断する判断手段とをさらに含み、電子署名生成部は、判断手段によって稼働履歴が信頼度についての予め定められた基準を満たすと判断されたことを条件として、電子署名を生成する。

好ましくは、稼働履歴は、管理装置において生体認証を利用したユーザー認証が成功したか失敗したかを表わす結果を含み、予め定められた基準は、稼働履歴における結果の総数のうちユーザー認証が失敗したことを示すことを示す結果の割合である。

本開示のさらに他の局面に従うと、ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムが提供される。ユーザー統合管理サーバーは、当該ユーザー統合管理サーバー固有の暗号鍵を用いて管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、電子署名生成部によって生成された電子署名をユーザー端末へ送信する電子署名送信部とを含み、ユーザー端末は、ユーザーの生体情報を格納する第１の格納部と、ユーザー統合管理サーバー固有の暗号鍵を用いて電子署名を検証する検証部と、検証部による電子署名の検証が成功した場合に、管理装置固有の暗号鍵を用いて生体情報を暗号化する暗号化部と、暗号化部によって暗号化された生体情報を管理装置へ送信する生体情報送信部とを含み、管理装置は、ユーザーの生体情報を格納する第２の格納部と、暗号化された生体情報を、復号化して、第２の格納部に格納するための生体情報登録部とを含み、ユーザー統合管理サーバーは、管理装置において生体認証を利用する予定のユーザーの情報を格納するユーザー情報格納部をさらに含み、ユーザーの情報は、当該ユーザーを特定する情報と、当該ユーザーに関連付けられた端末を特定する情報とを含み、管理装置は、ユーザー統合管理サーバーに向けてユーザーの情報を送信し、電子署名送信部は、管理装置から送信されたユーザーの情報がユーザー情報格納部に格納されていることを条件として、当該ユーザーに関連付けられた端末であるユーザー端末へ電子署名を送信する。

別の局面において、好ましくは、ユーザー統合管理サーバーは、管理装置において生体認証を利用する予定のユーザーの情報を格納するユーザー情報格納部をさらに含み、ユーザーの情報は、当該ユーザーを特定する情報と、当該ユーザーに関連付けられた端末を特定する情報とを含み、管理装置は、ユーザー統合管理サーバーに向けてユーザーの情報を送信し、電子署名送信部は、管理装置から送信されたユーザーの情報がユーザー情報格納部に格納されていることを条件として、当該ユーザーに関連付けられた端末であるユーザー端末へ電子署名を送信する。

本開示の他の局面に従うと、ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムが提供される。ユーザー統合管理サーバーは、当該ユーザー統合管理サーバー固有の暗号鍵を用いて管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、電子署名生成部によって生成された電子署名をユーザー端末へ送信する電子署名送信部とを含み、ユーザー端末は、ユーザーの生体情報を格納する第１の格納部と、ユーザー統合管理サーバー固有の暗号鍵を用いて電子署名を検証する検証部と、検証部による電子署名の検証が成功した場合に、管理装置固有の暗号鍵を用いて生体情報を暗号化する暗号化部と、暗号化部によって暗号化された生体情報を管理装置へ送信する生体情報送信部とを含み、管理装置は、ユーザーの生体情報を格納する第２の格納部と、暗号化された生体情報を、復号化して、第２の格納部に格納するための生体情報登録部とを含み、ユーザー統合管理サーバーが属するシステムを含む種々のシステムの管理者の情報を格納する管理者情報データベースをさらに備え、管理装置は、ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、電子署名送信部は、管理装置から送信された管理者の情報が管理者情報データベースに格納されていることを条件として、電子署名を生成する。

好ましくは、ユーザー統合管理サーバーが属するシステムを含む種々のシステムの管理者の情報を格納する管理者情報データベースをさらに備え、管理装置は、ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、電子署名送信部は、管理装置から送信された管理者の情報が管理者情報データベースに格納されていることを条件として、電子署名を生成する。
本開示の他の局面に従うと、ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムが提供される。ユーザー統合管理サーバーは、当該ユーザー統合管理サーバー固有の暗号鍵を用いて管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、電子署名生成部によって生成された電子署名をユーザー端末へ送信する電子署名送信部とを含み、ユーザー端末は、ユーザーの生体情報を格納する第１の格納部と、ユーザー統合管理サーバー固有の暗号鍵を用いて電子署名を検証する検証部と、検証部による電子署名の検証が成功した場合に、管理装置固有の暗号鍵を用いて生体情報を暗号化する暗号化部と、暗号化部によって暗号化された生体情報を管理装置へ送信する生体情報送信部とを含み、管理装置は、ユーザーの生体情報を格納する第２の格納部と、暗号化された生体情報を、復号化して、第２の格納部に格納するための生体情報登録部とを含み、ユーザー統合管理サーバーは、外部の機器との間でシステムの管理者についての情報を送受信するための問合せ手段をさらに含み、管理装置は、ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、問合せ手段は、外部の機器に対して、管理装置から送信された管理者の情報に関する問合せを送信し、電子署名生成部は、問合せに対する返信が管理装置の管理者が正当なものであることを示すものであることを条件として、電子署名を生成する。
好ましくは、ユーザー統合管理サーバーは、外部の機器との間でシステムの管理者についての情報を送受信するための問合せ手段をさらに含み、管理装置は、ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、問合せ手段は、外部の機器に対して、管理装置から送信された管理者の情報に関する問合せを送信し、電子署名生成部は、問合せに対する返信が管理装置の管理者が正当なものであることを示すものであることを条件として、電子署名を生成する。

好ましくは、ユーザー端末は、プロセッサと、プロセッサによって実行されるアプリケーションプログラムを記憶する記憶装置とを含み、電子署名送信部によるユーザー端末への電子署名の送信は、アプリケーションプログラムに対する通知、および、電子メールの送信の少なくとも一方を含む。

好ましくは、生体情報登録部は、暗号化された生体情報を復号化した後、さらに、予め定められたフォーマットへと変換して、第２の格納部へ格納する。

好ましくは、電子署名生成部は、公開鍵暗号方式に従って、管理装置固有の暗号鍵を用いた電子署名を生成する。

好ましくは、生体情報登録部は、生体情報の一部を抽出して生体情報登録部に格納する。

好ましくは、ユーザー統合管理システムは、２以上の管理装置を含み、各管理装置の生体情報登録部は、管理装置ごとに設定された態様で生体情報の一部を抽出する。

本開示によれば、ユーザー統合管理システムでは、ユーザー端末がユーザー統合管理サーバーによって生成された電子署名の検証に成功すれば、ユーザー端末から管理装置へ、ユーザーの生体情報が、当該管理装置固有の暗号鍵を用いて暗号化されて送信される。ユーザー統合管理サーバーが、ユーザー端末の代わりに、管理装置の信頼性を確認する処理を実行し、ユーザー端末は、ユーザー統合管理サーバーのみの信頼性を確認するユーザー統合管理システムが構築され得る。

これにより、ユーザー端末を操作するユーザーに複数の管理装置のそれぞれの信頼性を確認するという負担がかかる事態を回避し得る。

第１の実施の形態のユーザー統合管理システムの全体構成を示す図である。 ユーザー統合管理システムにおいて実行される処理の一具体例の概略的な流れを示す図である。 ユーザー統合管理サーバー（ＵＭＳ）のハードウェア構成の一例を示す図である。 ＭＦＰ（Multi−Functional Peripheral）のハードウェア構成を示す図である。 ユーザー端末のハードウェア構成の一例を示す図である。 管理装置のハードウェア構成の一例を示す図である。 ユーザー統合管理システムを構成する各装置の機能構成を示す図である。 稼働情報格納部に格納される連携システムテーブルの一例を模式的に示す図である。 図２に示された処理の流れをより具体的に説明するためのシーケンス図である。 ＵＭＳにおいて実行される、システムＸの信頼度を確認するための処理のフローチャートである。 第２の実施の形態のユーザー統合管理システムの機能ブロック図である。 第２の実施の形態のユーザー統合管理システムにおいて、ＵＭＳがシステムＸの信頼度を確認するための処理のフローチャートである。 第３の実施の形態のユーザー統合管理システムの構成を示す図である。 第３の実施の形態のユーザー統合管理システムの機能ブロック図である。 第３の実施の形態のユーザー統合管理システムにおいて、ＵＭＳがシステムＸの信頼度を確認するための処理のフローチャートである。 第４の実施の形態のユーザー統合管理システムにおいて、ＵＭＳがシステムＸの信頼度を確認するための処理のフローチャートである。

以下、図面を参照しつつ、本開示の実施の形態について説明する。以下の説明では、同一の部品には同一の符号を付してある。それらの名称および機能も同じである。したがって、それらについての詳細な説明は繰り返さない。

＜第１の実施の形態＞
［１．ユーザー統合管理システムの概略的な構成］
図１は、第１の実施の形態のユーザー統合管理システムの全体構成を示す。図１に示されるように、ユーザー統合管理システムは、ユーザー統合管理サーバー（ＵＭＳ）１００と、管理装置９０１と、管理装置９０２と、管理装置９０３とを含む。管理装置９０１、管理装置９０２、および管理装置９０３のそれぞれは、ユーザーの生体情報を利用して生体認証を行なうシステムの管理装置を構成する。

より具体的には、管理装置９０１は、ドアゲートに関連付けられている。管理装置９０１は、生体認証に成功すれば、たとえば当該ドアゲートを開錠する。

管理装置９０２は、カード発行システムに関連付けられている。管理装置９０２は、生体認証に成功すれば、たとえば、当該カード発行システムにおいて当該生体認証の対象となったユーザーに対してクレジットカードを発行するための処理を実行する。

管理装置９０３は、ＭＦＰ（Multi−Functional Peripheral）２００に関連付けられている。管理装置９０３は、生体認証に成功すれば、たとえば、ＭＦＰの画像形成動作を許可する。管理装置９０３は、ＭＦＰの一部を構成してもよい。

ユーザー統合管理システムにおいて、ユーザーＰは、ユーザー統合管理ＵＭＳ１００の信頼性を事前に確認している。そして、ユーザー統合管理ＵＭＳ１００は、ユーザーＰに代わって、管理装置９０１〜９０３のそれぞれの信頼性を確認する。ユーザー統合管理ＵＭＳ１００は、管理装置９０１〜９０３のうち、ユーザーＰに対して（たとえば、電子メールで、または、当該ユーザーＰが利用しているアプリケーションプログラムに向けて）、その信頼性を確認できた装置についての信頼性情報を送信する。より具体的には、ユーザー統合管理ＵＭＳ１００は、管理装置９０１の信頼性を確認すると、ユーザー統合管理ＵＭＳ１００固有の暗号鍵を用いて、管理装置９０１固有の暗号鍵の電子署名を生成し、そして、当該電子署名をユーザーＰへ送信する。

その後、ユーザーＰは、ユーザー統合管理ＵＭＳ１００固有の暗号鍵を用いて当該電子署名を検証する。当該電子署名の検証が成功すると、ユーザーＰは、電子署名の対象となった暗号鍵を用いてユーザーＰの生体情報を暗号化し、当該暗号鍵に関連付けられた装置（管理装置９０１〜９０３のいずれか）へ暗号化された生体情報を送信する。たとえば、ユーザーＰは、管理装置９０１固有の暗号鍵を用いて、当該ユーザーＰの生体情報を暗号化し、そして、暗号化された生体情報を管理装置９０１へ送信する。

暗号化された生体情報は、送信先で復号化された後、格納される。たとえば、管理装置９０１へ暗号化された生体情報が送信されると、管理装置９０１は、生体情報を、復号化した後、当該管理装置９０１に格納する。

［２．ユーザー統合管理システムにおける処理の概略的な流れ］
図２は、ユーザー統合管理システムにおいて実行される処理の一具体例の概略的な流れを示す図である。図２のユーザー統合管理システムは、図１に示されたＵＭＳ１００を含む。また、図２のユーザー統合管理システムは、ユーザーＰによって操作される（ユーザーＰに関連付けられた）ユーザー端末３００を含む。

また、図２では、ＭＦＰ２００は、図１の管理装置９０３を含むＭＦＰの一例である。そして、ＭＦＰ２００を含むユーザー認証システムが、「システムＡ」として記載されている。

また、図２では、管理装置４００は、図１の管理装置９０１の一例である。そして、管理装置４００を含むユーザー認証システムが、「システムＸ」として記載されている。

図２に示されたユーザー統合管理システムは、ユーザーＰは、ＵＭＳ１００およびシステムＡの信頼性を事前に確認していることを前提としている。そして、図２には、システムＸが、ユーザーＰの生体情報を取得するための処理が示されている。図２では、装置間で実行される処理の順序が「（１−１）」等の数字を付されて示されている。当該数字に従って、図２に示された処理の流れを説明する。

（１−１）〜（１−４）は、ユーザーＰが、システムＡを利用して、ＵＭＳ１００に当該ユーザーＰの生体情報を登録するための処理を示す。具体的には、（１−１）で、ユーザーは、ＭＦＰ２００を操作することにより、ＵＭＳ１００に対して、当該ＵＭＳ１００の公開鍵（ＵＭＳ１００固有の暗号鍵の一例）を要求する。これに応じて、（１−２）で、ＵＭＳ１００は、ＭＦＰ２００に、ＵＭＳ１００の公開鍵（ＰＫｕｍｓ）を送信する。ＭＦＰ２００は、（１−３）で、ユーザーＰの生体情報とＵＭＳ１００の公開鍵（ＰＫｕｍｓ）とを、ユーザーＰの公開鍵（ユーザーＰ固有の暗号鍵の一例：ＰＫｕｓｅｒ）を用いて暗号化する。そして、ＭＦＰ２００は、（１−４）で、当該暗号化された生体情報と公開鍵（ＰＫｕｍｓ）とを、ＵＭＳ１００へ送信する。これにより、ＵＭＳ１００では、ユーザーＰの生体情報が、暗号化された状態で格納される。

（２−１）〜（２−４）は、ＵＭＳ１００が、管理装置４００の信頼性を確認するための処理を示す。具体的には、（２−１）で、まずＵＭＳ１００は、管理装置４００からのユーザーＰの生体情報の登録の要求を受信する。より具体的には、管理装置４００は、ユーザーＰを特定する情報（たとえば、ユーザーＩＤ）とともに、生体情報を要求する。

ＵＭＳ１００は、（２−２）で、システムＸの信頼性を確認する。信頼性の確認の一例は、システムＸの稼働状況である。ＵＭＳ１００は、システムＸに対して、当該システムＸにおける、ユーザーＰの、および／または、他のユーザーの、ユーザー認証処理の履歴を要求する。ＵＭＳ１００は、当該履歴が予め定められた基準を満たすか否かを判断する。そして、ＵＭＳ１００は、履歴が当該基準を満たす場合、システムＸが信頼できると判断する。当該基準の一例は、認証の成功率が特定の値以上であることである。当該基準の他の例は、当該履歴が、ユーザー認証が失敗したまま数日間以上放置されているという結果を含まないことである。

システム（２−３）で、ＵＭＳ１００は、管理装置４００に対して、システムＸ固有の暗号鍵を要求する。これ応じて、管理装置４００は、ＵＭＳ１００に、システムＸの公開鍵（システムＸ固有の暗号鍵の一例：ＰＫｓｙｓ）を送信する。

（３−１）〜（３−５）は、ユーザーＰがユーザー端末３００を利用して、システムＸの管理装置４００に当該ユーザーＰの生体情報を登録するための処理である。

具体的には、（３−１）で、ＵＭＳ１００は、システムＸの公開鍵（ＰＫｓｙｓ）を、ＵＭＳ１００の公開鍵（ＵＭＳ１００固有の暗号鍵の一例：ＰＫｕｍｓ）で署名する。そして、ＵＭＳ１００は、（３−２）で、システムＸの公開鍵が署名されることによって生成されたデータ（図２中の「署名されたデータ」）と、ユーザーＰの生体情報とＵＭＳ１００の公開鍵（ＰＫｕｍｓ）とが暗号化されることによって生成されたデータ（図２中の「暗号化されたデータ」）とを、ユーザー端末３００へ送信する。これらのデータの送信の一例は、ユーザー端末３００において実行されるアプリケーションプログラムに対する送信であってもよいし、ユーザーＰのアドレスを送信先とする電子メールの送信であってもよい。

（３−３）で、ユーザーＰは、ユーザー端末３００に、ＵＭＳ１００の公開鍵（ＰＫｕｍｓ）を用いてシステムＸの公開鍵（ＰＫｓｙｓ）を検証する。より具体的には、ユーザー端末３００は、上記「暗号化されたデータ」をユーザーＰの秘密鍵（ＰＫｕｓｅｒ）を利用して復号化することにより、ＵＭＳ１００の公開鍵を取得する。そして、ユーザー端末３００は、当該ＵＭＳ１００の公開鍵を利用して上記「署名されたデータ」を処理することにより、システムＸの公開鍵（ＰＫｓｙｓ）を検証する。

上記（３−３）での検証が成功すると、（３−４）で、ユーザー端末３００は、ユーザーＰの生体情報を、システムＸの公開鍵（ＰＫｓｙｓ）で暗号化して、管理装置４００へ送信する。

（３−５）で、管理装置４００は、上記（３−４）で送信されたデータをシステムＸの秘密鍵（ＳＫｓｙｓ）で復号化することによりユーザーＰの生体情報を取得し、当該生体情報を管理装置４００において格納する。

［３．ハードウェア構成］
図２に示された各装置のハードウェア構成の一例を説明する。

（１）ＵＭＳ１００
図３は、ＵＭＳ１００のハードウェア構成の一例を示す図である。

図３に示されるように、ＵＭＳ１００は、主な構成要素として、ＣＰＵ（Central Processing Unit）１０１と、ＲＡＭ（Random Access Memory）１０２と、記憶装置１０３と、ディスプレイ１０４と、入力装置１０５と、ＮＩＣ（Network Interface Controller）１０６とを備えている。ＣＰＵ１０１と、ＲＡＭ１０２と、記憶装置１０３と、ディスプレイ１０４と、入力装置１０５と、ＮＩＣ１０６とは、互いに内部バスで接続されている。

ＣＰＵ１０１は、ＵＭＳ１００の全体的な動作を制御するための処理を実行するプロセッサーの一例である。本明細書では、ＣＰＵ１０１が所与のプログラムを実行することによって実現される制御の内容が、ＵＭＳ１００によって実行される制御として記述され得る。

ＲＡＭ１０２は、ＣＰＵ１０１における処理実行時のワークエリアとして機能する。
記憶装置１０３は、ＣＰＵ１０１が実行するＯＳやブラウザーアプリケーションなどの各種のプログラムやこれらのプログラムの実行に利用されるデータを含む、各種のデータを保存する。記憶装置１０３は、たとえばＣＤ−ＲＯＭ（Compact Disc - Read Only Memory）、ＤＶＤ−ＲＯＭ（Digital Versatile Disk - Read Only Memory）、ＵＳＢ（Universal Serial Bus）メモリー、メモリーカード、ＦＤ（Flexible Disk）、ハードディスク、ＳＳＤ（Solid State Drive）、磁気テープ、カセットテープ、ＭＯ（Magnetic Optical Disc）、ＭＤ（Mini Disc）、ＩＣ（Integrated Circuit）カード（メモリーカードを除く）、光カード、マスクＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭ（Electronically Erasable Programmable Read-Only Memory）などの、不揮発的にデータを格納する媒体である。また、記憶装置１０３には、ネットワークを介してダウンロードされたプログラムがインストールされる場合も有り得る。

本開示にかかるプログラムは、コンピューターのオペレーティングシステム（ＯＳ：Operating System）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本発明にかかるプログラムに含まれ得る。

また、本開示にかかるプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本発明にかかるプログラムに含まれ得る。

提供されるプログラム製品は、ハードディスクなどのプログラム格納部にインストールされて実行される。なお、プログラム製品は、プログラム自体と、プログラムが記録された記録媒体とを含む。

ディスプレイ１０４は、ＣＰＵ１０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。なお、ＵＭＳ１００では、ディスプレイ１０４は省略され得る。

入力装置１０５は、たとえばキーボードや操作ボタンによって実現される。入力装置１０５は、情報の入力を受け付けると、当該情報をＣＰＵ１０１へ送る。

ＮＩＣ１０６は、ＵＭＳ１００が、ＭＦＰ２００、ユーザー端末３００、および管理装置４００等のユーザー統合管理システムの他の装置との間で情報をやり取りする際の通信インターフェースである。

（２）ＭＦＰ２００
図４は、ＭＦＰ２００のハードウェア構成を示す図である。図４に示されるように、ＭＦＰ２００は、主な構成要素として、ＣＰＵ２０１と、ＲＯＭ（Read Only Memory）２０２と、ＲＡＭ２０３と、ＮＶ−ＲＡＭ２０４と、記憶装置２０５と、ＮＩＣ２０６と、操作パネル２０７と、スキャナー部２０８と、プリンター部２０９と、ファクシミリ（ＦＡＸ）部２１０と、生体情報取得部２１１とを備えている。ＭＦＰ２００内の各要素は、互いに内部バスで接続されている。

ＣＰＵ２０１は、ＭＦＰ２００の動作を統括的に制御するための処理を実行するプロセッサーの一例である。本明細書では、ＣＰＵ２０１が所与のプログラムを実行することによって実現される制御の内容が、ＭＦＰ２００によって実行される制御として記述され得る。

ＲＯＭ２０２は、ＣＰＵ２０１が実行するプログラムを含む各種のデータを格納する。
ＲＡＭ２０３およびＮＶ−ＲＡＭ２０４は、ＣＰＵ２０１におけるプログラム実行時のワークエリアとして機能する。ＲＡＭ２０３および／またはＮＶ−ＲＡＭ２０４は、スキャナー部２０８で読み取られた画像データ等を一時的に保存する場合もある。

記憶装置２０５は、ＭＦＰ２００に登録されている宛先情報やドキュメントなどの各種のデータを保存する。ドキュメントのデータは、ネットワークを介してＭＦＰ２００に入力される場合もあれば、スキャナー部２０８で画像が読み取られることによって生成される場合もある。

ＮＩＣ２０６は、ＭＦＰ２００が、ＵＭＳ１００やユーザー端末３００等の、ユーザー統合管理システム内の他の装置と情報をやり取りする際の通信インターフェースである。

操作パネル２０７は、コピーの画質または用紙のための設定値、スキャンの送信先（宛先登録）を登録または選択するための情報など、各種の情報の入力を受け付ける。操作パネル２０７の表面には、たとえばタッチパネルが積層された液晶表示部が設けられている。操作パネル２０７は、たとえばＭＦＰ２００における設定内容を表示する。

スキャナー部２０８は、セットされた原稿をスキャンし、原稿の画像データを生成する。スキャナー部２０８における画像データの生成方法は公知の方法を採用することができる。

プリンター部２０９は、たとえば電子写真方式により、スキャナー部２０８で読み取られた画像データや、ＦＷ配信サーバー１００等の外部の情報処理装置から送信されたプリントデータを、印刷のためのデータに変換し、変換後のデータに基づいて文書等の画像を印刷する装置である。電子写真方式などの画像形成の態様は、公知の技術を採用することができる。

ＦＡＸ部２１０は、ファクシミリ通信により画像情報を送受信する。
生体情報取得部２１１は、たとえば、ユーザーの生体情報の一例である指紋画像を取得するユニットによって実現される。ＣＰＵ２０１は、たとえば、生体情報生成用のアプリケーションを実行することにより、当該指紋画像に対してトリミング等の処理を施すことにより、生体情報を生成する。

ＭＦＰ２００では、ＣＰＵ２０１が適切なプログラムを実行することによって、本明細書に記載されたようなＭＦＰ２００の動作が実現される。ＣＰＵ２０１によって実行されるプログラムは、上記したようにＲＯＭ２０２に格納されている代わりに、記憶装置２０５に格納されていてもよいし、ＭＦＰ２００に対して着脱可能な記憶媒体に格納されていてもよい。当該プログラムが格納される記憶媒体は、たとえば、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＵＳＢメモリー、メモリーカード、ＦＤ、ハードディスク、ＳＳＤ、磁気テープ、カセットテープ、ＭＯ、ＭＤ、ＩＣカード（メモリーカードを除く）、光カード、マスクＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭなどの、不揮発的にデータを格納する媒体が挙げられる。

（３）ユーザー端末３００
図５は、ユーザー端末３００のハードウェア構成の一例を示す図である。

図５に示されるように、ユーザー端末３００は、主な構成要素として、ＣＰＵ３０１と、ＲＡＭ３０２と、記憶装置３０３と、ディスプレイ３０４と、入力装置３０５と、ＮＩＣ３０６とを備えている。ＣＰＵ３０１と、ＲＡＭ３０２と、記憶装置３０３と、ディスプレイ３０４と、入力装置３０５と、ＮＩＣ３０６とは、互いに内部バスで接続されている。

ＣＰＵ３０１は、ユーザー端末３００の全体的な動作を制御するための処理を実行するプロセッサーの一例である。本明細書では、ＣＰＵ３０１が所与のプログラムを実行することによって実現される制御の内容が、ユーザー端末３００によって実行される制御として記述され得る。

ＲＡＭ３０２は、ＣＰＵ３０１における処理実行時のワークエリアとして機能する。
記憶装置３０３は、ＣＰＵ３０１が実行するＯＳやブラウザーアプリケーションなどの各種のプログラムやこれらのプログラムの実行に利用されるデータを含む、各種のデータを保存する。上記アプリケーションは、署名されたデータを検証するためのアプリケーションを含む。

記憶装置３０３は、たとえば、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＵＳＢメモリー、メモリーカード、ＦＤ、ハードディスク、ＳＳＤ、磁気テープ、カセットテープ、ＭＯ、ＭＤ、ＩＣカード（メモリーカードを除く）、光カード、マスクＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭなどの、不揮発的にデータを格納する媒体が挙げられる。また、記憶装置３０３には、ネットワークを介してダウンロードされたプログラムがインストールされる場合も有り得る。

ディスプレイ３０４は、ＣＰＵ３０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。なお、ユーザー端末３００では、ディスプレイ３０４は省略され得る。

入力装置３０５は、たとえばキーボードや操作ボタンによって実現される。入力装置３０５は、情報の入力を受け付けると、当該情報をＣＰＵ３０１へ送る。

ＮＩＣ３０６は、ユーザー端末３００が、ＵＭＳ１００、ＭＦＰ２００、および管理装置４００等のユーザー統合管理システムの他の装置との間で情報をやり取りする際の通信インターフェースである。

（４）管理装置４００
図６は、管理装置４００のハードウェア構成の一例を示す図である。

図６に示されるように、管理装置４００は、主な構成要素として、ＣＰＵ４０１と、ＲＡＭ４０２と、記憶装置４０３と、ディスプレイ４０４と、入力装置４０５と、ＮＩＣ４０６と、生体情報取得部４０７とを備えている。ＣＰＵ４０１と、ＲＡＭ４０２と、記憶装置４０３と、ディスプレイ４０４と、入力装置４０５と、ＮＩＣ４０６と、生体情報取得部４０７とは、互いに内部バスで接続されている。

ＣＰＵ４０１は、管理装置４００の全体的な動作を制御するための処理を実行するプロセッサーの一例である。本明細書では、ＣＰＵ４０１が所与のプログラムを実行することによって実現される制御の内容が、管理装置４００によって実行される制御として記述され得る。

ＲＡＭ４０２は、ＣＰＵ４０１における処理実行時のワークエリアとして機能する。
記憶装置４０３は、ＣＰＵ４０１が実行するＯＳやブラウザーアプリケーションなどの各種のプログラムやこれらのプログラムの実行に利用されるデータを含む、各種のデータを保存する。上記アプリケーションは、署名されたデータを検証するためのアプリケーションを含む。

記憶装置４０３は、たとえば、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、ＵＳＢメモリー、メモリーカード、ＦＤ、ハードディスク、ＳＳＤ、磁気テープ、カセットテープ、ＭＯ、ＭＤ、ＩＣカード（メモリーカードを除く）、光カード、マスクＲＯＭ、ＥＰＲＯＭ、ＥＥＰＲＯＭなどの、不揮発的にデータを格納する媒体が挙げられる。また、記憶装置４０３には、ネットワークを介してダウンロードされたプログラムがインストールされる場合も有り得る。

ディスプレイ４０４は、ＣＰＵ４０１によって実行されるプログラムの処理結果を示す画像を表示するための表示装置である。なお、管理装置４００では、ディスプレイ４０４は省略され得る。

入力装置４０５は、たとえばキーボードや操作ボタンによって実現される。入力装置４０５は、情報の入力を受け付けると、当該情報をＣＰＵ４０１へ送る。

ＮＩＣ４０６は、管理装置４００が、ＵＭＳ１００、ＭＦＰ２００、および管理装置４００等のユーザー統合管理システムの他の装置との間で情報をやり取りする際の通信インターフェースである。

生体情報取得部４０７は、たとえば、ユーザーの生体情報の一例である指紋画像を取得するユニットによって実現される。ＣＰＵ４０１は、たとえば、生体情報生成用のアプリケーションを実行することにより、当該指紋画像に対してトリミング等の処理を施すことにより、生体情報を生成する。

［４．機能ブロック］
図７は、ユーザー統合管理システムを構成する各装置の機能構成を示す図である。

（１）ＭＦＰ２００
図７を参照して、ＭＦＰ２００は、生体情報生成部２９１と、生体情報登録部２９２と、ユーザー認証処理部２９３とを含む。生体情報生成部２９１は、ユーザーＰの生体情報を生成し、たとえば、図４の生体情報取得部２１１と生体情報生成用のアプリケーションを実行するＣＰＵ２０１とによって実現される。

生体情報登録部２９２は、ＵＭＳ１００にユーザーＰの生体情報を登録し、たとえば図２のステップ（１−３）およびステップ（１−４）の処理を実行するＣＰＵ２０１によって実現される。

ユーザー認証処理部２９３は、ユーザー認証処理を実行し、たとえば生体情報取得部２１１およびユーザー認証用のアプリケーションを実行するＣＰＵ２０１とによって実現される。ＣＰＵ２０１は、たとえば、生体情報取得部２１１を介して入力された生体情報と予め登録された生体情報とを照合し、それらが一致すると、ユーザーの認証に成功したと判断する。ＣＰＵ２０１は、ユーザーの認証が成功したことを条件として、ＭＦＰ２００に画像形成動作を実行させてもよい。

（２）ＵＭＳ１００
ＵＭＳ１００は、生体情報格納部１９０と、暗号鍵格納部１９１と、信頼確認処理部１９２と、稼働情報格納部１９３と、電子署名生成部１９４と、電子署名送信部１９５とを含む。

生体情報格納部１９０は、ユーザーの生体情報を、暗号化された状態で、格納する。生体情報格納部１９０は、たとえば記憶装置１０３によって実現される。

暗号鍵格納部１９１は、ユーザー固有の暗号鍵およびシステム固有の暗号鍵を格納し、たとえば記憶装置１０３によって実現される。

信頼確認処理部１９２は、システムＸ等の、外部のシステム（その管理者）の信頼性を確認するための処理を実行し、たとえば所与のプログラムを実行するＣＰＵ１０１によって実現される。

稼働情報格納部１９３は、システムＸ等の外部のシステムの稼働状況の履歴を確認し、たとえば記憶装置１０３によって実現される。本明細書では、稼働情報格納部１９３に格納される履歴は、「連携システムテーブル」と呼ばれる。連携システムテーブルの内容は、後述する図８を参照して詳細に説明される。

電子署名生成部１９４は、システムＸ等の外部のシステム固有の暗号鍵の電子署名を生成し（図２のステップ（３−１））、たとえば所与のプログラムを実行するＣＰＵ１０１によって実現される。

電子署名送信部１９５は、上記電子署名をユーザーに向けて送信し（図２のステップ（３−２））、たとえば所与のプログラムを実行するＣＰＵ１０１によって実現される。

（３）ユーザー端末３００
ユーザー端末３００は、電子署名検証部３９１と、生体情報格納部３９２と、暗号化処理部３９３と、生体情報送信部３９４とを含む。

電子署名検証部３９１は、ＵＭＳ１００から送信された電子署名を検証し、たとえば、電子署名検証用のアプリケーションを実行するＣＰＵ３０１によって実現される。

生体情報格納部３９２は、ＵＭＳ１００から送信されたユーザーの生体情報を格納し、たとえば記憶装置３０３によって実現される。ユーザーの生体情報は、ＭＦＰ２００から送信される場合もあり得る。

暗号化処理部３９３は、ユーザーの生体情報を暗号化し、たとえば、暗号化アプリケーションを実行するＣＰＵ３０１によって実現される。

生体情報送信部３９４は、暗号化処理部３９３によって生成された暗号化データ（生体情報）を管理装置４００へ送信し、たとえば、管理装置４００等の、生体認証を実行するシステムを管理する装置へ生体情報を登録するためのアプリケーションを実行するＣＰＵ３０１によって実現される。

（４）管理装置４００
管理装置４００は、稼働履歴格納部４９０と、生体情報登録部４９１と、生体情報格納部４９２と、ユーザー認証処理部４９３とを含む。

稼働履歴格納部４９０は、システムＸにおけるユーザー認証の履歴を格納し、たとえば、記憶装置４０３によって実現される。ユーザー認証の履歴は、たとえば、ユーザー認証のための処理を実行した時刻、対象となったユーザーを特定する情報（ユーザーＩＤ）、および、ユーザー認証の結果または状況（認証の成功、失敗、問合中）を含む。「問合中」とは、たとえば、ユーザー認証において入力された生体情報が管理装置４００内に格納されていないときに、一時的にユーザー認証の結果が失敗とされ、人事システム等の外部システムに当該生体情報を問合せている状態である。

生体情報登録部４９１は、ユーザー端末３００等から暗号化された状態で送信された生体情報を、復号化して管理装置４００内に登録するための処理を実行し、たとえば、所与のアプリケーションを実行するＣＰＵ４０１によって実現される。

生体情報格納部４９２は、ユーザーの生体情報を格納し、たとえば記憶装置４０３によって実現される。

ユーザー認証処理部４９３は、生体情報格納部４９２に格納された生体情報を利用して、ユーザー認証処理を実行し、たとえば、生体情報取得部４０７および所与のアプリケーションを実行するＣＰＵ４０１によって実現される。

［５．連携システムテーブル］
図８は、稼働情報格納部１９３に格納される連携システムテーブルの一例を模式的に示す図である。

図８に示されるように、連携システムテーブルは、ユーザー認証が実行されたシステムを特定する情報（連携システムＩＤ）と、ユーザー認証が実行された日付（日付）と、ユーザー認証の対象となったユーザーを特定する情報（ユーザーＩＤ）と、ユーザー認証の結果（ユーザー認証の成否）とを含む。図８に示された例では、連携システムテーブルは、２以上のシステム（図１の「ＭＦＰ」および「入退出管理システム」）におけるユーザー認証の結果を含む。

［６．処理の流れ］
図９は、図２に示された処理の流れをより具体的に説明するためのシーケンス図である。図９には、図２のユーザー端末３００（ユーザー端末）、ＭＦＰ２００（システムＡ）、ＵＭＳ１００（ＵＭＳ）、および、管理装置４００（システムＸ）のそれぞれにおいて実行される処理および各装置において格納されるデータが示されている。

なお、図９では、凡例５００として示されるように、長方形の箱は実行される処理を示し、角が丸い箱であって仕切りを含まない箱は保持（格納）されるデータを示し、角が丸い箱であって実線で仕切られている箱は暗号化されたデータを示し、そして、角が丸い箱であって破線で仕切られている箱は署名されたデータを示す。暗号化されたデータを示す箱では、上部に暗号鍵が示され、下部に暗号化の対象となったデータが示される。署名されたデータを示す箱では、上部に署名に利用された鍵が示され、下部に署名の対象となったデータが示される。

以下に、図９と図２とを参照して、ユーザー統合管理システム内の処理をさらに詳細に説明する。

図９に示されるように、ＭＦＰ２００は、ユーザーの生体情報を生成し、格納している。そして、ＭＦＰ２００は、ステップＳＡ１０で、ユーザー端末３００に対して、ユーザーＰの公開鍵（ＰＫｕｓｅｒ）の送信の要求を通知する。

図９のステップＳＴ１０として示されるように、ユーザー端末３００は、ユーザーにより生体情報の登録のための操作がなされると、ステップＳＡ１０における送信の要求に応じて、ＭＦＰ２００に対して、ユーザーＰの公開鍵（ＰＫｕｓｅｒ）を送信する。

一方、ＭＦＰ２００は、図９のステップＳＡ２０で、ＵＭＳ１００に対して、当該ＵＭＳ１００の公開鍵の送信を要求する。これに応じて、ＵＭＳ１００は、ＵＭＳ１００の公開鍵（ＰＫｕｍｓ）を送信する。

そして、ＭＦＰ２００は、図９のステップＳＡ３０で、生体情報とＵＭＳ１００の公開鍵（ＰＫｕｍｓ）とを、ユーザーＰの公開鍵（ＰＫｕｓｅｒ）で暗号化する（図２の（１−３））。そして、ＭＦＰ２００は、当該暗号化されたデータをＵＭＳ１００へ送信する（図２の（１−４））。

管理装置４００からユーザーの生体情報の登録を要求されると、ＵＭＳ１００は、図９のステップＳＵ１０として示されるように、システムＸの信頼度を確認する（図２の（２−２））。そして、当該信頼度を確認すると、ＵＭＳ１００は、図９のステップＳＵ２０として示されるように、システムＸに公開鍵の送信の要求を通知する（図２の（２−３））。これに応じて、管理装置４００は、ＵＭＳ１００へ、システムＸの公開鍵（ＰＫｓｙｓ）を送信する（図２の（２−４））。

そして、図９のステップＳＵ３０で、ＵＭＳ１００は、システムＸの公開鍵（ＰＫｓｙｓ）を、ＵＭＳ１００の公開鍵（ＵＭＳ１００固有の暗号鍵の一例：ＰＫｕｍｓ）で署名する（図２の（３−１））。

そして、図９のステップＳＵ４０で、ＵＭＳ１００は、管理装置４００に対して登録許可依頼を出す。登録許可依頼とは、システムＸに管理装置４００のユーザー（ユーザーＰ）に当該ユーザーの生体情報を登録することの許可である。登録許可依頼は、システムＸの公開鍵が署名されることによって生成されたデータ（図２中の「署名されたデータ」）と、ユーザーＰの生体情報とＵＭＳ１００の公開鍵（ＰＫｕｍｓ）とが暗号化されることによって生成されたデータ（図２中の「暗号化されたデータ」）とを含む。

なお、登録許可依頼は、ＵＭＳ１００がシステムＸの信頼性を確認したという事実に基づいて発行される。ユーザーは、ＵＭＳ１００の信頼性を事前に確認しているので、当該登録許可依頼がＵＭＳ１００から送信されたということを検証しさえすればよい。

登録許可依頼に応じて、図９のステップＳＴ２０として、ユーザー端末３００は、上記「暗号化されたデータ」をユーザーＰの秘密鍵（ＰＫｕｓｅｒ）を利用して復号化する。これにより、ユーザー端末３００は、ユーザーの生体情報とＵＭＳ１００の公開鍵とを取得する。そして、図９のステップＳＴ３０として、ユーザー端末３００は、当該ＵＭＳ１００の公開鍵を利用して上記「署名されたデータ」を処理することにより、システムＸの公開鍵（ＰＫｓｙｓ）を検証する（ＰＫｓｙｓの妥当性を確認）。当該妥当性の確認の一例は、上記「署名されたデータ」がＵＭＳ１００から送信されたものであることの確認である。他の例は、公開鍵（ＰＫｓｙｓ）がシステムＸの公開鍵であることの確認である。ユーザー端末３００は、たとえば、外部のデータベースを参照することにより、ＵＭＳ１００から送られた公開鍵（ＰＫｓｙｓ）が、システムＸとして特定される団体の公開鍵であることを確認する。

ステップＳＴ３０でＰＫｓｙｓの妥当性が確認できた場合、ユーザー端末３００は、図９のステップＳＴ４０で、ステップＳ２０で取得された生体情報を、システムＸの公開鍵（ＰＫｓｙｓ）で暗号化して、管理装置４００へ送信する（図２の（３−４））。

図９のステップＳＸ１０として示されるように、管理装置４００は、ステップＳＴ４０で送信されたデータを復号化することにより、ユーザーＰの生体情報を取得する。そして、ステップＳＸ２０で、管理装置４００は、取得した生体情報を生体情報格納部４９２に格納する。

管理装置４００では、生体情報は、当該管理装置４００において予め定められたフォーマットに変換されて格納され得る。フォーマットとは、たとえば、画像のファイル形式である。

なお、フォーマット変換では、復号化によって取得された生体情報から所与の特徴量が算出されてもよい。この場合、生体情報格納部４９２には、当該特徴量が格納される。

また、管理装置４００では、復号化によって取得された生体情報の一部が抽出された後、格納されてもよい。これにより、管理装置４００において記憶装置４０３が必要とされる記憶容量を低減できる。

［７．信頼度の確認］
図１０は、ＵＭＳ１００において実行される、システムＸの信頼度を確認するための処理（図２の（２−２）、または、図９のステップＳＵ１０）のフローチャートである。図１０に示された処理は、たとえば、管理装置４００からユーザーＰの生体情報の登録の要求を受けたことを条件として開始される。

図１０に示されるように、ステップＳＵ１０２で、ＵＭＳ１００は、管理装置４００のユーザー認証についての稼働履歴を取得する。そして、制御はステップＳＵ１０４へ進められる。

ユーザー統合管理システムでは、各システム（たとえば、ＭＦＰ２００、管理装置４００）は、所定の間隔（たとえば、１日ごと）に、ユーザー認証についての稼働履歴をＵＭＳ１００へ送信する。ＵＭＳ１００では、受信した稼働履歴を、図８に示したように連携システムテーブルへ格納する。ステップＳＵ１０２では、たとえば、連携システムテーブルから、対象となるシステムの稼働履歴が抽出される。

ステップＳＵ１０４で、ＵＭＳ１００は、ステップＳＵ１０２で取得された稼働履歴が、特定の基準（たとえば、上記された、認証の成功率が特定の値以上であること、または、ユーザー認証が失敗したまま数日間以上放置されているという結果を含まないこと）を満たすかどうかを判断する。基準が満たされると判断されると、制御はステップＳＵ１０６へ進められる。基準が満たされないと判断されると、制御はステップＳＵ１０８へ進められる。

ステップＳＵ１０６で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されたことを通知して、図１０の処理を終了させる。ステップＳＵ１０６の制御の後、ＵＭＳ１００は、図９のステップＳＵ４０以降の制御を実行する。つまり、ＵＭＳ１００は、ユーザー端末３００に対して、ユーザー端末３００が管理装置４００へ生体情報を送信するための制御を実行する。

ステップＳＵ１０８で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されなかったを通知して、図１０の処理を終了させる。ステップＳ１０８の制御の後は、ＵＭＳ１００は、図９のステップＳＵ４０以降の制御を実行しない。つまり、ユーザー端末３００は、管理装置４００へ生体情報を送信しない。

以上説明された図１０の処理は、たとえば、ＵＭＳ１００が管理装置４００からユーザーＰの生体情報の登録の要求を受けたことを条件として開始される。なお、当該処理は、たとえば、他の事象（たとえば、ユーザーＰがユーザー端末３００等を介してＵＭＳ１００へ管理装置４００に生体情報の登録を要求したこと）の発生を条件として開始されてもよい。

なお、ステップＳＵ１０６およびステップＳＵ１０８の少なくとも一方の制御は、省略されてもよい。特に、図１０の処理が管理装置４００からの要求以外の事象の発生を条件として開始される場合には、ステップＳＵ１０６およびＳＵ１０８の制御は省略され得る。

［８．第１の実施の形態のまとめ］
第１の実施の形態で説明されたユーザー統合管理システムは、少なくとも、ユーザー統合管理サーバー（ＵＭＳ１００）、生体認証を実行する管理装置（管理装置４００）、および、ユーザー端末（ユーザー端末３００）を備える。ユーザー統合管理サーバーは、当該ユーザー統合管理サーバー固有の暗号鍵（ＳＫｕｍｓ）を用いて管理装置固有の暗号鍵（ＰＫｓｙｓ）の電子署名を生成する電子署名生成部（電子署名生成部１９４）と、電子署名生成部によって生成された電子署名をユーザー端末へ送信する電子署名送信部（電子署名送信部１９５）とを含む。ユーザー端末は、ユーザーの生体情報を格納する第１の格納部（生体情報格納部３９２）と、ユーザー統合管理サーバー固有の暗号鍵を用いて電子署名を検証する検証部（電子署名検証部３９１）と、検証部による電子署名の検証が成功した場合に、管理装置固有の暗号鍵を用いて生体情報を暗号化する暗号化部（暗号化処理部３９３）と、暗号化された生体情報を管理装置へ送信する生体情報送信部（生体情報送信部３９４）とを含む。管理装置は、ユーザーの生体情報を格納する第２の格納部（生体情報格納部４９２）と、暗号化された生体情報を、復号化して、第２の格納部に格納するための生体情報登録部（生体情報登録部４９１）とを含む。

以上説明された第１の実施の形態では、ユーザー統合管理システムにおいて、ＵＭＳ１００が、新たな生体情報の登録先であるシステムＸの信頼性を確認する。ＵＭＳ１００は、システムＸの信頼性を確認すると、ＵＭＳ１００固有の暗号鍵を用いて、当該システムＸ固有の暗号鍵の電子署名を生成し、ユーザーＰに向けて送信する。ユーザーＰは、当該電子署名をユーザー端末３００で受信する。そして、ユーザー端末３００を通して、ユーザーＰは、当該電子署名を検証する。検証が成功すれば、ユーザーＰは、ユーザー端末３００を通して、システムＸの管理装置４００へ、当該ユーザーＰの生体情報を送信する。

つまり、ユーザー統合管理システムでは、ユーザー端末３００のユーザー（ユーザーＰ）の代わりに、ＵＭＳ１００が、システムＸの信頼性を確認する。２以上のシステムのそれぞれからユーザーＰの生体情報の登録が要求されても、それぞれのシステムの信頼性は、ＵＭＳ１００によって確認される。ユーザーＰは、ＵＭＳ１００の信頼性を確認していれば、それぞれのシステムの信頼性を確認する必要はない。

＜第２の実施の形態＞
［１．概要］
第２の実施の形態のユーザー統合管理システムのハードウェア構成は、第１の実施の形態の構成と同様とすることができる。そして、第２の実施の形態では、システムＸの確認方法が、第１の実施の形態から変更され得る。より具体的には、第２の実施の形態では、ＵＭＳ１００に、システムＸにおいてユーザー認証の対象となることが予定されるユーザー（予定ユーザー）を特定する情報が登録される。そして、ＵＭＳ１００は、連携システムテーブルが、システムＸが当該予定ユーザーの認証に成功していることを示す情報を含むことを条件として、システムＸが信頼できると判断する。

［２．機能構成］
図１１は、第２の実施の形態のユーザー統合管理システムの機能ブロック図である。図１１に示されるように、第２の実施の形態では、ＵＭＳ１００は、さらに、予定ユーザー情報格納部１９３Ａを含む。予定ユーザー情報格納部１９３Ａには、たとえば、ＵＭＳ１００の管理者によって、システムＸにおいて認証の対象となり得るユーザーを特定する情報が登録される。

［３．処理の流れ］
図１２は、第２の実施の形態のユーザー統合管理システムにおいて、ＵＭＳ１００がシステムＸの信頼度を確認するための処理のフローチャートである。図１２の処理は、図１０の処理の変形例である。

図１１および図１２を参照して、ステップＳＵ１１２で、ＵＭＳ１００は、予定ユーザー情報格納部１９３Ａに、上記予定ユーザーの情報を登録する。

たとえば、システムＸが入退出管理システムである場合、ＵＭＳ１００の管理者は、予定ユーザー情報格納部１９３Ａに、当該入退出管理システムの管理下にあるドアゲートを開錠を許可することが予定されているユーザー（たとえば、入社予定の新入社員）を特定する情報（たとえば、ユーザーＩＤ等）を登録する。予定ユーザー情報格納部１９３Ａには、当該予定ユーザーの認証が開始され得る時期（アカウント有効開始日）を特定する情報が格納されてもよい。

次に、ステップＳＵ１１４で、ＵＭＳ１００は、システムＸの稼働履歴を取得する。稼働履歴は、たとえば、連携システムテーブル（図８）から取得される。そして、制御はステップＳＵ１１６へ進められる。

ステップＳＵ１１６で、ＵＭＳ１００は、ステップＳＵ１１４で取得した稼働履歴において、上記予定ユーザーの認証が成功したことを示す情報（認証成功実績）が含まれるかどうかを判断し、含まれる場合に、システムＸが信頼できると判断される。この場合、制御はステップＳＵ１０６へ進められる。一方、ＵＭＳ１００は、稼働履歴に認証成功実績が含まれないと判断すると、制御をステップＳＵ１０８へ進める。

ステップＳＵ１０６で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されたことを通知して、図１２の処理を終了させる。ステップＳＵ１０６の制御の後、ＵＭＳ１００は、図９のステップＳＵ４０以降の制御を実行する。つまり、ＵＭＳ１００は、ユーザー端末３００に対して、ユーザー端末３００が管理装置４００へ生体情報を送信するための制御を実行する。

ステップＳＵ１０８で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されなかったを通知して、図１２の処理を終了させる。

第２の実施の形態では、ＵＭＳ１００は、当該システムＸの稼働履歴が認証成功実績を含まないと判断すると、システムＸが信頼できないと判断する。この場合は、ユーザーＰに、上記登録許可依頼は送信されない。なお、予定ユーザー情報格納部１９３Ａに上記予定ユーザーの認証が開始され得る時期を特定する情報が格納されている場合、ＵＭＳ１００は、当該時期が到来しているにも拘わらず、当該システムＸの稼働履歴が認証成功実績を含まないことを条件として、システムＸが信頼できないと判断してもよい。

＜第３の実施の形態＞
［１．概要］
図１３は、第３の実施の形態のユーザー統合管理システムの構成を示す。第３の実施の形態では、ＵＭＳ１００は、外部の人事データベース（ＤＢ）８００と通信可能である。人事ＤＢ８００には、ユーザー統合管理システムの下にあるユーザーに関する情報が格納される。より具体的には、人事ＤＢ８００には、各ユーザーを特定する情報（ユーザーＩＤ、氏名、所属等）が格納されている。人事ＤＢ８００には、種々のネットワークシステムの管理者を特定する情報が格納される。人事ＤＢ８００には、ユーザー統合管理システムの下で管理されるユーザーによって構成される組織を特定する情報（たとえば、企業の組織構成）が格納されていてもよい。

そして、第３の実施の形態では、ＵＭＳ１００は、システムＸの信頼性を確認するために、管理装置４００から、システムＸの管理者を特定する情報を取得する。そして、ＵＭＳ１００は、当該情報を、人事ＤＢ８００に格納されている情報と照合する。ＵＭＳ１００は、管理装置４００から取得した情報が人事ＤＢ８００に登録されている場合、システムＸが信頼できると判断する。一方、管理装置４００から取得された情報が人事ＤＢ８００に登録されていない場合、システムＸが信頼できないと判断する。

［２．機能構成］
図１４は、第３の実施の形態のユーザー統合管理システムの機能ブロック図である。図７と比較して、第３の実施の形態では、ＵＭＳ１００は、稼働情報格納部１９３を含まない。これは、システムＸの信頼性の確認に、稼働履歴が必要とされないことに基づく。

そして、第３の実施の形態では、信頼確認処理部１９２が、人事ＤＢ８００への問合せを行なう。

［３．処理の流れ］
図１５は、第３の実施の形態のユーザー統合管理システムにおいて、ＵＭＳ１００がシステムＸの信頼度を確認するための処理のフローチャートである。図１５の処理は、図１０の処理の変形例である。

図１５を参照して、ステップＳＵ１２２で、ＵＭＳ１００は、システムＸの管理者を特定する情報を取得する。ＵＭＳ１００は、たとえば、管理装置４００から生体情報の登録の要求を受けたことに応じて、管理装置４００に、システムＸの管理者を特定する情報を要求してもよい。または、管理装置４００は、生体情報の登録の要求とともに、システムＸの管理者を特定する情報を送信してもよい。そして、制御はステップＳＵ１２４へ進められる。

ステップＳＵ１２４で、ＵＭＳ１００は、ステップＳＵ１２２で取得した情報を人事ＤＢ８００で検索する。そして、制御はステップＳＵ１２６へ進められる。

ステップＳＵ１２６で、ＵＭＳ１００は、人事ＤＢ８００に、ステップＳＵ１２２で取得された情報が格納されているか否かを判断する。そして、ＵＭＳ１００は、当該情報が人事ＤＢ８００に格納されていると判断すると、ステップＳＵ１０６へ制御を進め、格納されていないと判断すると、ステップＳＵ１０８へ制御を進める。

ステップＳＵ１０６で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されたことを通知して、図１２の処理を終了させる。ステップＳＵ１０６の制御の後、ＵＭＳ１００は、図９のステップＳＵ４０以降の制御を実行する。つまり、ＵＭＳ１００は、ユーザー端末３００に対して、ユーザー端末３００が管理装置４００へ生体情報を送信するための制御を実行する。

ステップＳＵ１０８で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されなかったを通知して、図１２の処理を終了させる。

第３の実施の形態では、ＵＭＳ１００は、人事ＤＢ８００にシステムＸの管理者の登録の有無を問合せることにより、客観的な情報を利用して、システムＸの信頼性を確認することができる。また、人事ＤＢ８００に既に登録されている情報を利用するため、即座に、システムＸの信頼性を確認することができる。

＜第４の実施の形態＞
［１．概略］
第４の実施の形態のユーザー統合管理システムでは、ＵＭＳ１００は、第３の実施の形態における人事ＤＢ８００の検索の代わりに、他のシステムへの問合せを送信する。たとえば、ＵＭＳ１００は、管理装置４００からシステムＸへのユーザーＰの生体情報の登録の要求を受け付けるとき、管理装置４００から当該システムＸの管理者の情報を取得する。そして、ＵＭＳ１００は、当該情報の真偽を外部のシステムに対して問合せる。当該問合せの一例は、外部システム（図１に示されたシステムであってもよいし、図１に示されたシステム以外のシステムであってもよい）、管理装置４００から当該システムＸの管理者の情報と、当該情報がシステムＸの管理者として登録されているか否かの問合せとを送信する。

ＵＭＳ１００から問合せを受信したシステムでは、データベースにおいて、ＵＭＳ１００から送信されてきた者がシステムＸの管理者として登録されているか否かを判断し、その結果を、上記問合せに対する回答としてＵＭＳ１００へ送信する。

ＵＭＳ１００は、当該問合せに対する回答が、管理装置４００から取得されたシステムＸの管理者が登録されているというもの（つまり、正当な管理者であるというもの）であれば、システムＸが信頼できると判断する。一方、当該問合せに対する回答が、上記の者が管理装置４００から取得されたシステムＸの管理者としては登録されていないというものであれば、ＵＭＳ１００は、システムＸが信頼できないと判断する。

ＵＭＳ１００は、複数の送信先に上記問合せを送信してもよい。そして、当該複数の送信先のうち予め定められた数以上の送信先から、上記の者が管理装置４００から取得されたシステムＸの管理者として登録されているという回答を得られたことを条件として、システムＸが信頼できると判断してもよい。

［２．機能構成］
第４の実施の形態のシステムは、図１４に示された、第３の実施の形態のユーザー統合管理システムの機能構成と同じとすることができる。なお、第４の実施の形態では、信頼確認処理部１９２が、上記した問合せの確認、問合せに対する回答の受信、および、当該回答に基づくシステムＸの信頼性の判断を実行する。

［３．処理の流れ］
図１６は、第４の実施の形態のユーザー統合管理システムにおいて、ＵＭＳ１００がシステムＸの信頼度を確認するための処理のフローチャートである。図１６の処理は、図１０の処理の変形例である。

図１６を参照して、ステップＳＵ１３２で、ＵＭＳ１００は、管理装置４００からシステムＸの管理者を特定する情報を取得する。そして、制御はステップＳＵ１３４へ進められる。

ステップＳＵ１３４で、ＵＭＳ１００は、外部システムに、ステップＳＵ１３２で取得された情報の登録の有無を問い合わせる。そして、制御はステップＳＵ１３６へ進められる。

ステップＳＵ１３６で、ＵＭＳ１００は、外部システムから、管理装置４００から取得したシステムＸの管理者の情報を保証する返信を取得したか否かを判断する。当該返信は、上記したような、「上記の者が管理装置４００から取得されたシステムＸの管理者としては登録されてい」という回答である。そして、ＵＭＳ１００は、そのような返信を取得したと判断するとステップＳＵ１０６へ制御を進める。一方、ＵＭＳ１００は、そのような返信を取得できなかったと判断すると、ステップＳ１０８へ制御を進める。

ステップＳＵ１０６で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されたことを通知して、図１６の処理を終了させる。

ステップＳＵ１０８で、ＵＭＳ１００は、管理装置４００へ、ユーザーＰの生体情報の登録が許可されなかったを通知して、図１６の処理を終了させる。

以上説明された第４の実施の形態では、ＵＭＳ１００は、外部システムに対して、管理装置４００から取得したシステムＸの管理者の情報を確認する。外部システムでは、ＵＭＳ１００からの問合せに対する回答は、当該外部システムの管理者が当該外部システムの管理装置を操作することによって作成されてもよいし、当該管理装置が所与のプログラムを実行することによって当該管理者の入力を必要とすることなく作成されてもよい。

今回開示された実施の形態およびその変形例はすべての点で例示であって制限的なものではないと考えられるべきである。本開示の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

本開示では、第１〜第４の実施の形態において、互いに異なる態様で、システムＸの信頼性が確認された。ＵＭＳ１００は、これらの中の複数の態様を組合せて、システムＸの信頼性を確認してもよい。具体的には、ＵＭＳ１００は、たとえば、第１の実施の形態において言及されたように、稼働履歴に基づいてシステムＸの信頼性を確認し、かつ、第３の実施の形態において言及されたように、人事ＤＢ８００を参照してシステムＸの信頼性を確認して、初めて、当該システムＸが信頼できると判断してもよい。

１００ ＵＭＳ、１０１，２０１，３０１，４０１ ＣＰＵ、１０３，２０５，３０３，４０３ 記憶装置、１０６，２０６，３０６，４０６ ＮＩＣ、１９０，３９２，４９２ 生体情報格納部、１９１ 暗号鍵格納部、１９２ 信頼確認処理部、１９３ 稼働情報格納部、１９３Ａ 予定ユーザー情報格納部、１９４ 電子署名生成部、１９５ 電子署名送信部、２００ ＭＦＰ、２１１，４０７ 生体情報取得部、２９１ 生体情報生成部、２９２，４９１ 生体情報登録部、２９３，４９３ ユーザー認証処理部、３００ ユーザー端末、３９１ 電子署名検証部、３９３ 暗号化処理部、３９４ 生体情報送信部、４００，９０１，９０２，９０３ 管理装置、４９０ 稼働履歴格納部、８００ 人事ＤＢ。

Claims (16)

1. ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムであって、
   前記ユーザー統合管理サーバーは、
   当該ユーザー統合管理サーバー固有の暗号鍵を用いて前記管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、
   前記電子署名生成部によって生成された前記電子署名を前記ユーザー端末へ送信する電子署名送信部とを含み、
   前記ユーザー端末は、
   ユーザーの生体情報を格納する第１の格納部と、
   前記ユーザー統合管理サーバー固有の暗号鍵を用いて前記電子署名を検証する検証部と、
   前記検証部による前記電子署名の検証が成功した場合に、前記管理装置固有の暗号鍵を用いて前記生体情報を暗号化する暗号化部と、
   前記暗号化部によって暗号化された前記生体情報を前記管理装置へ送信する生体情報送信部とを含み、
   前記管理装置は、
   前記ユーザーの生体情報を格納する第２の格納部と、
   暗号化された前記生体情報を、復号化して、前記第２の格納部に格納するための生体情報登録部とを含み、
   前記ユーザー統合管理サーバーと通信可能な基本システムをさらに備え、
   前記基本システムは、
   前記生体情報を生成し、
   前記ユーザー固有の暗号鍵を用いて前記ユーザーの生体情報を暗号化した情報を生成し、
   暗号化された前記ユーザーの生体情報を前記ユーザー統合管理サーバーへ送信し、
   前記ユーザー統合管理サーバーは、
   暗号化された前記生体情報を格納する第３の格納部をさらに含み、
   前記電子署名送信部は、
   暗号化された前記生体情報を前記ユーザー端末へ送信し、
   前記検証部は、
   暗号化された前記生体情報を前記ユーザー固有の暗号鍵を用いて復号化して前記第１の格納部へ格納する、ユーザー統合管理システム。
2. 前記基本システムは、前記生体情報を用いた認証処理を実行するための認証処理部をさらに含む、請求項１に記載のユーザー統合管理システム。
3. ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムであって、
   前記ユーザー統合管理サーバーは、
   当該ユーザー統合管理サーバー固有の暗号鍵を用いて前記管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、
   前記電子署名生成部によって生成された前記電子署名を前記ユーザー端末へ送信する電子署名送信部とを含み、
   前記ユーザー端末は、
   ユーザーの生体情報を格納する第１の格納部と、
   前記ユーザー統合管理サーバー固有の暗号鍵を用いて前記電子署名を検証する検証部と、
   前記検証部による前記電子署名の検証が成功した場合に、前記管理装置固有の暗号鍵を用いて前記生体情報を暗号化する暗号化部と、
   前記暗号化部によって暗号化された前記生体情報を前記管理装置へ送信する生体情報送信部とを含み、
   前記管理装置は、
   前記ユーザーの生体情報を格納する第２の格納部と、
   暗号化された前記生体情報を、復号化して、前記第２の格納部に格納するための生体情報登録部とを含み、
   前記ユーザー統合管理サーバーは、
   前記管理装置における生体認証処理の稼働履歴を格納するための履歴格納手段と、
   前記稼働履歴が信頼度についての予め定められた基準を満たすか否かを判断する判断手段とをさらに含み、
   前記電子署名生成部は、
   前記判断手段によって前記稼働履歴が信頼度についての前記予め定められた基準を満たすと判断されたことを条件として、前記電子署名を生成する、ユーザー統合管理システム。
4. 前記稼働履歴は、前記管理装置において生体認証を利用したユーザー認証が成功したか失敗したかを表わす結果を含み、
   前記予め定められた基準は、前記稼働履歴における前記結果の総数のうちユーザー認証が失敗したことを示すことを示す結果の割合である、請求項３に記載のユーザー統合管理システム。
5. ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムであって、
   前記ユーザー統合管理サーバーは、
   当該ユーザー統合管理サーバー固有の暗号鍵を用いて前記管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、
   前記電子署名生成部によって生成された前記電子署名を前記ユーザー端末へ送信する電子署名送信部とを含み、
   前記ユーザー端末は、
   ユーザーの生体情報を格納する第１の格納部と、
   前記ユーザー統合管理サーバー固有の暗号鍵を用いて前記電子署名を検証する検証部と、
   前記検証部による前記電子署名の検証が成功した場合に、前記管理装置固有の暗号鍵を用いて前記生体情報を暗号化する暗号化部と、
   前記暗号化部によって暗号化された前記生体情報を前記管理装置へ送信する生体情報送信部とを含み、
   前記管理装置は、
   前記ユーザーの生体情報を格納する第２の格納部と、
   暗号化された前記生体情報を、復号化して、前記第２の格納部に格納するための生体情報登録部とを含み、
   前記ユーザー統合管理サーバーは、
   前記管理装置において生体認証を利用する予定のユーザーの情報を格納するユーザー情報格納部をさらに含み、
   前記ユーザーの情報は、
   当該ユーザーを特定する情報と、当該ユーザーに関連付けられた端末を特定する情報とを含み、
   前記管理装置は、
   前記ユーザー統合管理サーバーに向けてユーザーの情報を送信し、
   前記電子署名送信部は、
   前記管理装置から送信されたユーザーの情報が前記ユーザー情報格納部に格納されていることを条件として、当該ユーザーに関連付けられた端末である前記ユーザー端末へ前記電子署名を送信する、ユーザー統合管理システム。
6. 前記ユーザー統合管理サーバーは、
   前記管理装置において生体認証を利用する予定のユーザーの情報を格納するユーザー情報格納部をさらに含み、
   前記ユーザーの情報は、
   当該ユーザーを特定する情報と、当該ユーザーに関連付けられた端末を特定する情報とを含み、
   前記管理装置は、
   前記ユーザー統合管理サーバーに向けてユーザーの情報を送信し、
   前記電子署名送信部は、
   前記管理装置から送信されたユーザーの情報が前記ユーザー情報格納部に格納されていることを条件として、当該ユーザーに関連付けられた端末である前記ユーザー端末へ前記電子署名を送信する、請求項１〜請求項４のいずれか１項に記載のユーザー統合管理システム。
7. ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムであって、
   前記ユーザー統合管理サーバーは、
   当該ユーザー統合管理サーバー固有の暗号鍵を用いて前記管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、
   前記電子署名生成部によって生成された前記電子署名を前記ユーザー端末へ送信する電子署名送信部とを含み、
   前記ユーザー端末は、
   ユーザーの生体情報を格納する第１の格納部と、
   前記ユーザー統合管理サーバー固有の暗号鍵を用いて前記電子署名を検証する検証部と、
   前記検証部による前記電子署名の検証が成功した場合に、前記管理装置固有の暗号鍵を用いて前記生体情報を暗号化する暗号化部と、
   前記暗号化部によって暗号化された前記生体情報を前記管理装置へ送信する生体情報送信部とを含み、
   前記管理装置は、
   前記ユーザーの生体情報を格納する第２の格納部と、
   暗号化された前記生体情報を、復号化して、前記第２の格納部に格納するための生体情報登録部とを含み、
   ユーザー統合管理サーバーが属するシステムを含む種々のシステムの管理者の情報を格納する管理者情報データベースをさらに備え、
   前記管理装置は、
   前記ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、
   前記電子署名送信部は、
   前記管理装置から送信された管理者の情報が前記管理者情報データベースに格納されていることを条件として、前記電子署名を生成する、ユーザー統合管理システム。
8. ユーザー統合管理サーバーが属するシステムを含む種々のシステムの管理者の情報を格納する管理者情報データベースをさらに備え、
   前記管理装置は、
   前記ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、
   前記電子署名送信部は、
   前記管理装置から送信された管理者の情報が前記管理者情報データベースに格納されていることを条件として、前記電子署名を生成する、請求項１〜請求項６のいずれか１項に記載のユーザー統合管理システム。
9. ユーザー統合管理サーバー、生体認証を実行する管理装置、および、ユーザー端末を備えたユーザー統合管理システムであって、
   前記ユーザー統合管理サーバーは、
   当該ユーザー統合管理サーバー固有の暗号鍵を用いて前記管理装置固有の暗号鍵の電子署名を生成する電子署名生成部と、
   前記電子署名生成部によって生成された前記電子署名を前記ユーザー端末へ送信する電子署名送信部とを含み、
   前記ユーザー端末は、
   ユーザーの生体情報を格納する第１の格納部と、
   前記ユーザー統合管理サーバー固有の暗号鍵を用いて前記電子署名を検証する検証部と、
   前記検証部による前記電子署名の検証が成功した場合に、前記管理装置固有の暗号鍵を用いて前記生体情報を暗号化する暗号化部と、
   前記暗号化部によって暗号化された前記生体情報を前記管理装置へ送信する生体情報送信部とを含み、
   前記管理装置は、
   前記ユーザーの生体情報を格納する第２の格納部と、
   暗号化された前記生体情報を、復号化して、前記第２の格納部に格納するための生体情報登録部とを含み、
   ユーザー統合管理サーバーは、
   外部の機器との間でシステムの管理者についての情報を送受信するための問合せ手段をさらに含み、
   前記管理装置は、
   前記ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、
   前記問合せ手段は、
   前記外部の機器に対して、前記管理装置から送信された管理者の情報に関する問合せを送信し、
   前記電子署名生成部は、
   前記問合せに対する返信が前記管理装置の管理者が正当なものであることを示すものであることを条件として、前記電子署名を生成する、ユーザー統合管理システム。
10. ユーザー統合管理サーバーは、
    外部の機器との間でシステムの管理者についての情報を送受信するための問合せ手段をさらに含み、
    前記管理装置は、
    前記ユーザー統合管理サーバーに向けて当該管理装置の管理者の情報を送信し、
    前記問合せ手段は、
    前記外部の機器に対して、前記管理装置から送信された管理者の情報に関する問合せを送信し、
    前記電子署名生成部は、
    前記問合せに対する返信が前記管理装置の管理者が正当なものであることを示すものであることを条件として、前記電子署名を生成する、請求項１〜請求項８のいずれか１項に記載のユーザー統合管理システム。
11. 前記ユーザー統合管理サーバーは、
    当該ユーザー統合管理サーバー固有の暗号鍵を格納する暗号鍵格納部をさらに含み、
    前記電子署名生成部は、
    前記暗号鍵格納部に格納された前記暗号鍵を用いて、前記電子署名を生成する、請求項１〜請求項１０のいずれか１項に記載のユーザー統合管理システム。
12. 前記ユーザー端末は、プロセッサと、前記プロセッサによって実行されるアプリケーションプログラムを記憶する記憶装置とを含み、
    前記電子署名送信部による前記ユーザー端末への前記電子署名の送信は、前記アプリケーションプログラムに対する通知、および、電子メールの送信の少なくとも一方を含む、請求項１〜請求項１１のいずれか１項に記載のユーザー統合管理システム。
13. 前記生体情報登録部は、暗号化された前記生体情報を復号化した後、さらに、予め定められたフォーマットへと変換して、前記第２の格納部へ格納する、請求項１〜請求項１２のいずれか１項に記載のユーザー統合管理システム。
14. 前記電子署名生成部は、公開鍵暗号方式に従って、前記管理装置固有の暗号鍵を用いた電子署名を生成する、請求項１〜請求項１３のいずれか１項に記載のユーザー統合管理システム。
15. 前記生体情報登録部は、前記生体情報の一部を抽出して前記生体情報登録部に格納する、請求項１〜請求項１４のいずれか１項に記載のユーザー統合管理システム。
16. ユーザー統合管理システムは、２以上の前記管理装置を含み、
    各前記管理装置の前記生体情報登録部は、前記管理装置ごとに設定された態様で前記生体情報の一部を抽出する、請求項１５に記載のユーザー統合管理システム。

Images