JP6638430B2 - 情報処理装置、端末装置、プログラム及び情報処理システム - Google Patents

Description

本発明は情報処理装置、端末装置、プログラム及び情報処理システムに関する。

近年、ユーザ環境のＡＤ（アクティブディレクトリ）で管理されているアカウント情報によりクラウドサービスを利用したいという要求がある。ＡＤＦＳ（アクティブディレクトリフェデレーションサービス）やＡＤＦＳ Ｐｒｏｘｙを使ったＩＤ連携は既に知られている。

例えばクラウドコンピューティングプラットフォーム上でシングルＩＤ／シングルサインオンを確立するための方法は従来から知られている。従来の方法ではコンピューターに関連付けられたユーザー資格情報を検証し、コンピューターからシングルＩＤが確立されることになるドメインの識別情報を受信する。

次に、従来の方法では、ユーザー資格情報の検証に応答して、ドメインのユーザーからのサインオンのために、クラウドコンピューティングプラットフォーム上でディレクトリサービスを構成する。従来の方法では、ログインに関連付けられた資格情報をディレクトリサービスが承認する判定に応答して、第２のコンピューターへのログインを許可することを判定する。

また、従来の方法では、ディレクトリサービスが承認する判定に応答して、クラウドコンピューティングプラットフォーム上で提供されるソフトウェアサービスにアクセスするように、ログインに関連付けられた資格情報を承認する（例えば特許文献１参照）。

しかしながら、ＡＤＦＳやＡＤＦＳ Ｐｒｏｘｙを使ったＩＤ連携は、ＡＤＦＳやＡＤＦＳ Ｐｒｏｘｙを動作させるためのサーバ環境の準備及び構築、構築後の運用といった専門的な知識とコストが必要という問題があった。

本発明の実施の形態は、上記の点に鑑みなされたものであり、オンプレミス環境におけるアカウント情報を使ったＩＤ連携を容易に実現できる情報処理装置を提供することを目的とする。

上記した課題を達成するために本願請求項１は、端末装置がサービスを利用するための資格情報を発行する情報処理装置であって、前記端末装置から組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を受け付け、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記組織情報により識別される組織に所属するユーザを前記オンプレミス環境におけるアカウント情報によりユーザ管理情報から検索する認証手段と、検索された前記ユーザに前記資格情報を発行する資格情報発行手段と、を有することを特徴とする。

本発明の実施の形態によれば、オンプレミス環境におけるアカウント情報を使ったＩＤ連携を容易に実現できる。

第１の実施形態に係る情報処理システムの一例の構成図である。 コンピュータの一例のハードウェア構成図である。 第１の実施形態に係る画像形成装置の一例のハードウェア構成図である。 第１の実施形態に係るサービス提供システムの一例の処理ブロック図である。 認証・認可部の一例の処理ブロック図である。 クライアント端末の一例の処理ブロック図である。 クライアント管理部が管理するクライアント情報の一例の構成図である。 テナント情報記憶部が記憶するテナント情報の一例の構成図である。 ユーザ情報記憶部が記憶するユーザ情報の一例の構成図である。 ライセンス情報記憶部が記憶するライセンス情報の一例の構成図である。 簡易ディレクトリ認証の準備の一例を示す説明図である。 簡易ディレクトリ認証を利用した印刷ジョブ登録処理の一例を示すシーケンス図である。 簡易ディレクトリ認証のリクエストの一例の説明図である。 認証・認可部における簡易ディレクトリ認証処理の一例のフローチャートである。 簡易ディレクトリ認証を利用した印刷ジョブ実行処理の一例を示すシーケンス図である。 簡易ディレクトリ認証の準備の他の例を示すシーケンス図である。 サービス設定画面の一例のイメージ図である。 テナント認証キーのファイルの一例の構成図である。 テナント認証キーを設定する処理の一例のシーケンス図である。 簡易ディレクトリ認証を利用した印刷ジョブ登録処理の他の例を示すシーケンス図である。 ユーザ設定画面の一例のイメージ図である。

以下、本発明の実施形態について図面を参照しながら説明する。
［第１の実施形態］
＜システム構成＞
図１は第１の実施形態に係る情報処理システムの一例の構成図である。図１の情報処理システム１０００は例えばオフィス内ネットワーク等のオンプレミス環境のネットワークＮ１と、例えばインターネットなどのクラウドコンピューティング環境のネットワークＮ２とを有する。

ネットワークＮ１は、ファイヤウォールＦＷの内側にあるプライベートなネットワークである。ファイヤウォールＦＷはネットワークＮ１とネットワークＮ２との接点に設置され、不正なアクセスを検出及び遮断する。ネットワークＮ１にはクライアント端末１０１１、ＡＤ（アクティブディレクトリ）サーバ装置１０１２、複合機などの画像形成装置１０１３が接続されている。

クライアント端末１０１１は端末装置の一例である。クライアント端末１０１１は一般的なＯＳなどが搭載された情報処理装置によって実現できる。クライアント端末１０１１は無線による通信の手段または有線による通信の手段を有する。クライアント端末１０１１は、デスクトップＰＣ、ノートＰＣ、スマートフォンや携帯電話、タブレットＰＣなどのユーザが操作可能な端末である。

ＡＤサーバ装置１０１２はアクティブディレクトリに関する処理を行う。ＡＤサーバ装置１０１２は、ネットワークＮ１上に存在する様々な資源、ユーザの情報や権限などを一元管理する。例えばＡＤサーバ装置１０１２はネットワークＮ１上に存在する様々な資源を使用するユーザのアカウント情報や各資源へのアクセス権限などの情報を一元管理することができる。なお、ＡＤサーバ装置１０１２はネットワークＮ１上に存在する様々な資源を使用するユーザをドメイン単位に管理する。

画像形成装置１０１３は複合機などの画像形成機能を有する装置である。画像形成装置１０１３も端末装置の一例である。画像形成装置１０１３は無線による通信の手段または有線による通信の手段を有する。また、画像形成装置１０１３は、複合機、コピー機、スキャナ、プリンタ、レーザプリンタ、プロジェクタ、電子黒板など、画像形成に係る処理を行う装置である。図１ではクライアント端末１０１１、ＡＤサーバ装置１０１２、画像形成装置１０１３がそれぞれ一台である例を示しているが複数台であってもよい。

また、ネットワークＮ２にはサービス提供システム１０１４が接続されている。サービス提供システム１０１４は、一台以上の情報処理装置により実現される。サービス提供システム１０１４はクライアント端末１０１１、画像形成装置１０１３に何らかのサービスを提供するシステムの一例である。第１の実施形態に係る情報処理システム１０００では後述するように、ＡＤサーバ装置１０１２で管理されているユーザのオンプレミス環境におけるアカウント情報を使って、ＡＤサーバ装置１０１２とサービス提供システム１０１４とがＩＤ連携する。なお、サービス提供システム１０１４の詳細は、後述する。

＜ハードウェア構成＞
図１のクライアント端末１０１１、ＡＤサーバ装置１０１２は例えば図２に示すようなハードウェア構成のコンピュータにより実現される。また、サービス提供システム１０１４を実現する一台以上の情報処理装置も図２に示すハードウェア構成のコンピュータにより実現される。

図２はコンピュータの一例のハードウェア構成図である。図２のコンピュータ１００は入力装置１０１、表示装置１０２、外部Ｉ／Ｆ１０３、ＲＡＭ１０４、ＲＯＭ１０５、ＣＰＵ１０６、通信Ｉ／Ｆ１０７、及びＨＤＤ１０８などを備え、それぞれがバスＢで相互に接続されている。

入力装置１０１はキーボードやマウス、タッチパネルなどを含み、ユーザが各操作信号を入力するのに用いられる。表示装置１０２はディスプレイ等を含み、コンピュータ１００による処理結果を表示する。なお、入力装置１０１及び表示装置１０２は必要なときに接続して利用する形態であってもよい。

通信Ｉ／Ｆ１０７は、コンピュータ１００をネットワークＮ１〜Ｎ２に接続するインタフェースである。これにより、コンピュータ１００は通信Ｉ／Ｆ１０７を介してデータ通信を行うことができる。

ＨＤＤ１０８はプログラムやデータを格納している不揮発性の記憶装置である。格納されるプログラムやデータには例えばコンピュータ１００全体を制御する基本ソフトウェアであるＯＳや、ＯＳ上において各種機能を提供するアプリケーションソフトウェアなどがある。なお、コンピュータ１００はＨＤＤ１０８に替え、記憶媒体としてフラッシュメモリを用いるドライブ装置（例えばソリッドステートドライブ：ＳＳＤ）を利用するものであってもよい。

外部Ｉ／Ｆ１０３は、外部装置とのインタフェースである。外部装置には、記録媒体１０３ａなどがある。これにより、コンピュータ１００は外部Ｉ／Ｆ１０３を介して記録媒体１０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体１０３ａにはフレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリなどがある。

ＲＯＭ１０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。ＲＯＭ１０５にはコンピュータ１００の起動時に実行されるＢＩＯＳ、ＯＳ設定、及びネットワーク設定などのプログラムやデータが格納されている。ＲＡＭ１０４はプログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。

ＣＰＵ１０６は、ＲＯＭ１０５やＨＤＤ１０８などの記憶装置からプログラムやデータをＲＡＭ１０４上に読み出し、処理を実行することで、コンピュータ１００全体の制御や機能を実現する演算装置である。

図１のクライアント端末１０１１、ＡＤサーバ装置１０１２は、コンピュータ１００のハードウェア構成により、後述するような各種処理を実現できる。また、サービス提供システム１０１４を実現する一台以上の情報処理装置もコンピュータ１００のハードウェア構成により、後述するような各種処理を実現できる。

図３は第１の実施形態に係る画像形成装置の一例のハードウェア構成図である。図３に示した画像形成装置１０１３は、コントローラ２０１、操作パネル２０２、外部Ｉ／Ｆ２０３、通信Ｉ／Ｆ２０４、プリンタ２０５及びスキャナ２０６などを備える。

コントローラ２０１はＣＰＵ２１１、ＲＡＭ２１２、ＲＯＭ２１３、ＮＶＲＡＭ２１４及びＨＤＤ２１５などを備える。ＲＯＭ２１３は、各種プログラムやデータが格納されている。ＲＡＭ２１２はプログラムやデータを一時保持する。ＮＶＲＡＭ２１４は、例えば設定情報等が格納されている。また、ＨＤＤ２１５は各種プログラムやデータが格納されている。

ＣＰＵ２１１は、ＲＯＭ２１３やＮＶＲＡＭ２１４、ＨＤＤ２１５などからプログラムやデータ、設定情報等をＲＡＭ２１２上に読み出し、処理を実行することで、画像形成装置１０１３全体の制御や機能を実現する。

操作パネル２０２はユーザからの入力を受け付ける入力部と、表示を行う表示部とを備えている。外部Ｉ／Ｆ２０３は外部装置とのインタフェースである。外部装置には、記録媒体２０３ａなどがある。これにより、画像形成装置１０１３は外部Ｉ／Ｆ２０３を介して記録媒体２０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体２０３ａにはＩＣカード、フレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリ等がある。

また、通信Ｉ／Ｆ２０４は画像形成装置１０１３をネットワークＮ２に接続するインタフェースである。これにより、画像形成装置１０１３は通信Ｉ／Ｆ２０４を介してデータ通信を行うことができる。

プリンタ２０５は印刷データを被搬送物に印刷するための印刷装置である。例えば被搬送物は紙、コート紙、厚紙、ＯＨＰ、プラスチックフィルム、プリプレグ、銅箔など、紙に限定されない。スキャナ２０６は原稿から画像データ（電子データ）を読み取り、画像ファイル（電子ファイル）を生成するための読取装置である。

本実施形態に係る画像形成装置１０１３は、上記ハードウェア構成により、後述するような各種処理を実現できる。なお、ファイヤウォールＦＷのハードウェア構成については説明を省略する。

＜ソフトウェア構成＞
《サービス提供システム》
第１の実施形態に係るサービス提供システム１０１４は例えば図４に示す処理ブロックにより実現される。図４は、第１の実施形態に係るサービス提供システムの一例の処理ブロック図である。サービス提供システム１０１４はプログラムを実行することで、図４に示すような処理ブロックを実現する。

図４のサービス提供システム１０１４はアプリケーション１１０１、共通サービス１１０２、データベース（ＤＢ）１１０３、管理１１０４、業務１１０５、プラットフォームＡＰＩ１１０６を実現している。

アプリケーション１１０１は、ポータルサービスアプリ１１１１、スキャンサービスアプリ１１１２及びプリントサービスアプリ１１１３を一例として有する。

ポータルサービスアプリ１１１１は、ポータルサービスを提供するアプリケーションである。ポータルサービスは、サービス提供システム１０１４を利用するための入り口となるサービスを提供する。スキャンサービスアプリ１１１２はスキャンサービスを提供するアプリケーションである。プリントサービスアプリ１１１３はプリントサービスを提供するアプリケーションである。アプリケーション１１０１には、その他のサービスアプリが含まれていてもよい。

プラットフォームＡＰＩ１１０６はポータルサービスアプリ１１１１、スキャンサービスアプリ１１１２、プリントサービスアプリ１１１３などが共通サービス１１０２を利用するためのインタフェースである。プラットフォームＡＰＩ１１０６はアプリケーション１１０１からの要求を共通サービス１１０２が受信するために設けられた予め定義されたインタフェースであり、例えば関数やクラス等により構成される。

プラットフォームＡＰＩ１１０６は、サービス提供システム１０１４が複数の情報処理装置で構成される場合、ネットワーク経由で利用可能な例えばＷｅｂ ＡＰＩにより実現できる。

共通サービス１１０２は、認証・認可部１１２１、テナント管理部１１２２、ユーザ管理部１１２３、クライアント管理部１１２４、ライセンス管理部１１２５、機器管理部１１２６、一時画像保存部１１２７、ログ収集部１１２８、画像処理ワークフロー制御部１１３０を有する。

また、画像処理ワークフロー制御部１１３０はメッセージキュー１１３１、１つ以上のワーカー（Ｗｏｒｋｅｒ）１１３２を有する。ワーカー１１３２は画像変換や画像送信などの機能を実現する。

認証・認可部１１２１は、クライアント端末１０１１や画像形成装置１０１３などのオフィス機器からの認証要求に基づいて認証・認可を実行する。オフィス機器はクライアント端末１０１１、画像形成装置１０１３などの総称である。認証・認可部１１２１は例えばデータベース１１０３にアクセスしてユーザを認証・認可する。

また、認証・認可部１１２１はデータベース１１０３にアクセスして画像形成装置１０１３を認証する。さらに、認証・認可部１１２１はデータベース１１０３にアクセスして後述する簡易ディレクトリ認証を行う。

テナント管理部１１２２は後述するテナント情報記憶部１１４２に記憶されているテナント情報を管理する。なお、テナントは企業や部門などのグループの単位である。ユーザ管理部１１２３は後述するユーザ情報記憶部１１４３に記憶されているユーザ情報を管理する。クライアント管理部１１２４は後述のクライアント情報を管理する。

ライセンス管理部１１２５は後述するライセンス情報記憶部１１４４に記憶されているライセンス情報を管理する。機器管理部１１２６は後述する機器情報記憶部１１４５に記憶されている機器情報を管理する。一時画像保存部１１２７は後述する一時画像記憶部１１４６への一時画像の保存、一時画像記憶部１１４６からの一時画像の取得を行う。ログ収集部１１２８は後述のログ情報記憶部１１４１に記憶されたログ情報を管理する。

画像処理ワークフロー制御部１１３０はアプリケーション１１０１からの要求に基づいて画像処理に関するワークフローを制御する。メッセージキュー１１３１は処理の種類に対応するキューを有する。画像処理ワークフロー制御部１１３０は処理（ジョブ）に係るリクエストのメッセージを、そのジョブの種類に対応するキューに投入する。

ワーカー１１３２は対応するキューを監視している。キューにメッセージが投入されるとワーカー１１３２は、対応するジョブの種類に応じた画像変換や画像送信などの処理を行う。なお、キューに投入されたメッセージはワーカー１１３２が主体的に読み出す（Ｐｕｌｌ）ようにしてもよいし、キューからワーカー１１３２に提供する（Ｐｕｓｈ）ようにしてもよい。

図４のデータベース１１０３は、ログ情報記憶部１１４１、テナント情報記憶部１１４２、ユーザ情報記憶部１１４３、ライセンス情報記憶部１１４４、機器情報記憶部１１４５、一時画像記憶部１１４６、ジョブ情報記憶部１１４７、クライアント情報記憶部１１４８及びアプリケーション固有の設定情報記憶部１１５０を有する。

ログ情報記憶部１１４１はログ情報を記憶する。テナント情報記憶部１１４２はテナント情報を記憶する。ユーザ情報記憶部１１４３はユーザ情報を記憶する。ライセンス情報記憶部１１４４はライセンス情報を記憶している。また、機器情報記憶部１１４５は機器情報を記憶する。

一時画像記憶部１１４６は一時画像を記憶する。一時画像は、例えばワーカー１１３２が処理するスキャン画像などのファイルやデータである。ジョブ情報記憶部１１４７は処理（ジョブ）に係るリクエストの情報（ジョブ情報）を記憶する。クライアント情報記憶部１１４８は後述のクライアント情報を記憶する。また、アプリケーション固有の設定情報記憶部１１５０はアプリケーション１１０１に固有の設定情報を記憶する。

図４の管理１１０４は監視部、デプロイ部、サーバアカウント管理部やサーバログイン管理部を一例として有している。また、図４の業務１１０５は顧客情報管理部、契約管理部、販売管理部、ライセンス管理部、開発環境部を一例として有する。

サービス提供システム１０１４は、認証・認可や画像処理に関するワークフローなどの共通サービスを提供する統合基盤と、統合基盤の機能を利用してスキャンサービス、プリントサービスなどのアプリサービスを提供するサービス群として機能する。

統合基盤は、例えば共通サービス１１０２、ＤＢ１１０３、管理１１０４、業務１１０５及びプラットフォームＡＰＩ１１０６によって構成される。サービス群は、例えばアプリケーション１１０１によって構成される。図４に示したサービス提供システム１０１４はサービス群と統合基盤とを分離した構成により、プラットフォームＡＰＩ１１０６を利用するアプリケーション１１０１を容易に開発できる。

なお、図４に示したサービス提供システム１０１４の処理ブロックの分類形態は一例であり、アプリケーション１１０１、共通サービス１１０２、ＤＢ１１０３、管理１１０４及び業務１１０５が図４に示されるような階層で分類されていることが必須ではない。第１の実施形態に係るサービス提供システム１０１４の処理を実施できるのであれば図４に示される階層関係などは特定のものに限定されない。

図５は認証・認可部の一例の処理ブロック図である。図５の認証・認可部１１２１は簡易ディレクトリ認証処理部１１、ユーザ情報設定部１２、サービス利用権限設定部１３、チケット発行部１４及び通常認証処理部１５を有する構成である。

簡易ディレクトリ認証処理部１１は、ＡＤサーバ装置１０１２で管理されているオンプレミス環境におけるアカウント情報を使って後述の簡易ディレクトリ認証を行う。ユーザ情報設定部１２は、ユーザ情報の設定に関する処理を行う。サービス利用権限設定部１３はサービス利用権限の設定に関する処理を行う。チケット発行部１４はプリントサービスアプリ１１１３などのアプリケーション１１０１を利用するために必要な認証チケットの発行に関する処理を行う。通常認証処理部１５は、サービス提供システム１０１４におけるアカウント情報を使って通常認証を行う。

図６はクライアント端末の一例の処理ブロック図である。図６のクライアント端末１０１１はＯＳ（オペレーティングシステム）２０及びクライアントアプリ３０が搭載されている。クライアント端末１０１１はＯＳ２０を実行することにより、ログオン処理部２１及びＡＤ認証要求部２２を実現している。また、クライアント端末１０１１はクライアントアプリ３０を実行することにより、印刷ジョブ登録処理部３１及び簡易ディレクトリ認証要求部３２を実現している。

ログオン処理部２１は、ユーザのログオンに関する処理を行う。ＡＤ認証要求部２２はＡＤサーバ装置１０１２に対し、オンプレミス環境でのアカウント情報による認証を要求する。以下では、オンプレミス環境でのアカウント情報による認証をＡＤ認証と呼ぶ。

印刷ジョブ登録処理部３１は認証・認可部１１２１が発行した認証チケットを利用してプリントサービスアプリ１１１３などのアプリケーション１１０１に印刷ジョブの登録を行う。簡易ディレクトリ認証要求部３２はオンプレミス環境でのアカウント情報を使って行われる後述の簡易ディレクトリ認証要求を、認証・認可部１１２１に対して行う。

図７はクライアント管理部が管理するクライアント情報の一例の構成図である。図７のクライアント情報は項目として内部ＩＤ、クライアントＩＤ、クライアントキー及び提供サービスを有する。

内部ＩＤはデータベース１１０３におけるプライマルキー（主キー）であり、内部管理用である。クライアントＩＤはクライアントアプリ３０を識別するＩＤである。クライアントキーはクライアントアプリ３０を認証するための秘密キーである。提供サービスはクライアントアプリ３０が提供するサービスを表す情報である。

また、図８はテナント情報記憶部が記憶するテナント情報の一例の構成図である。図８のテナント情報は項目として内部ＩＤ、テナントＩＤ、テナント認証キー及びドメインを有する。内部ＩＤはデータベース１１０３におけるプライマルキー（主キー）であり、内部管理用である。テナントＩＤはテナントを識別するＩＤである。テナント認証キーはテナントを認証するための秘密キーである。ドメインはアクティブディレクトリ等のディレクトリサービスのドメイン名である。

また、図９はユーザ情報記憶部が記憶するユーザ情報の一例の構成図である。図９に示したユーザ情報は項目として内部ＩＤ、テナントＩＤ、ユーザＩＤ、姓、名、メールアドレス及びオンプレミスＩＤを有する。内部ＩＤはデータベース１１０３におけるプライマルキー（主キー）であり、内部管理用である。テナントＩＤはユーザの所属するテナントのテナントＩＤである。

ユーザＩＤはサービス提供システム１０１４においてユーザを識別するＩＤである。姓はユーザの姓である。名はユーザの名である。メールアドレスはユーザのメールアドレスである。オンプレミスＩＤはオンプレミス環境においてユーザを識別するＩＤ（以下、ＡＤユーザＩＤと呼ぶ）である。

図１０はライセンス情報記憶部が記憶するライセンス情報の一例の構成図である。図１０のライセンス情報は項目として内部ＩＤ、サービス種別、ライセンス数、テナントＩＤ及び利用ユーザを有する。内部ＩＤはデータベース１１０３におけるプライマルキー（主キー）であり、内部管理用である。

サービス種別はライセンスのサービス種別を表している。ライセンス数はサービスを利用できるユーザ数を表している。テナントＩＤはライセンスを保有するテナントのＩＤである。利用ユーザはサービスを利用できるユーザのユーザＩＤである。

＜処理の詳細＞
以下では、第１の実施形態に係る情報処理システム１０００の処理の詳細について説明する。なお、第１の実施形態では一例として、サービス提供システム１０１４に登録した印刷ジョブを画像形成装置１０１３で印刷する処理について説明する。

《準備》
図１１は簡易ディレクトリ認証の準備の一例を示す説明図である。例えばテナントの管理者は図１１に示す手順で簡易ディレクトリ認証の準備を行う。ステップＳ１１においてテナントの管理者は管理者アカウントでサービス提供システム１０１４にログインする。ステップＳ１２において管理者は簡易ディレクトリ認証用のテナント認証キーの発行依頼と、ドメイン名の登録とをサービス提供システム１０１４に対して行う。

ステップＳ１３において、サービス提供システム１０１４はドメイン名を図８のテナント情報の項目「ドメイン」に登録し、テナント認証キーを発行する。サービス提供システム１０１４は発行したテナント認証キーを図８のテナント情報に登録する。ステップＳ１３の処理により、図８に示したテナント情報はテナント認証キーとドメインとが保存された状態となる。サービス提供システム１０１４はテナント認証キーのファイル及びクライアントアプリ３０のダウンロード画面をクライアント端末１０１１に表示させる。

ステップＳ１４において、テナントの管理者はクライアント端末１０１１にテナント認証キーのファイルをダウンロードする。また、ステップＳ１５において、テナントの管理者はクライアント端末１０１１にクライアントアプリ３０をダウンロードする。テナントの管理者はステップＳ１６において、簡易ディレクトリ認証を利用するユーザのクライアント端末１０１１に、テナント認証キーのファイルと、クライアントアプリ３０とを配布する。ステップＳ１６までの処理により、簡易ディレクトリ認証の準備は終了する。

《印刷ジョブ登録》
図１２は簡易ディレクトリ認証を利用した印刷ジョブ登録処理の一例を示すシーケンス図である。ステップＳ２１においてユーザは、ドメインに参加しているクライアント端末１０１１を操作し、ＯＳ２０にＡＤユーザＩＤ及びパスワードを指定してログオンを要求する。クライアント端末１０１１のログオン処理部２１はユーザからのログオンの要求を受け付ける。ステップＳ２２に進み、ＯＳ２０のＡＤ認証要求部２２はＡＤユーザＩＤ及びパスワードを指定してＡＤ認証を要求する。

ＡＤサーバ装置１０１２はＡＤ認証に指定されていたＡＤユーザＩＤ及びパスワードの組み合わせが登録されていれば、ログオン成功の認証結果をＯＳ２０のＡＤ認証要求部２２に返す。ここではログオンが成功したものとして説明を続ける。ステップＳ２３においてＯＳ２０のログオン処理部２１は例えば画面表示などによりユーザにログオン成功を知らせる。

ステップＳ２４においてユーザはクライアント端末１０１１を操作し、クライアントアプリ３０の印刷ジョブ登録処理部３１に印刷ジョブの登録実行を要求する。ステップＳ２５に進み、クライアントアプリ３０の簡易ディレクトリ認証要求部３２はＯＳ２０にログオン情報の取得を要求する。クライアントアプリ３０の簡易ディレクトリ認証要求部３２はログオン情報としてドメイン及びＡＤユーザＩＤを取得する。なお、図１２のシーケンス図ではＯＳ２０からログオン情報を取得する例を示したが、ＡＤサーバ装置１０１２から取得してもよい。

また、ステップＳ２６に進み、クライアントアプリ３０の簡易ディレクトリ認証要求部３２はＡＤサーバ装置１０１２にＡＤユーザ情報の取得を要求し、ＡＤユーザＩＤと対応付いた姓、名、メールアドレスを取得する。

そして、ステップＳ２７に進み、簡易ディレクトリ認証要求部３２はサービス提供システム１０１４の認証・認可部１１２１へ簡易ディレクトリ認証を要求する。簡易ディレクトリ認証の引数には、クライアントＩＤ、クライアントキー、テナント認証キー、ドメイン、ＡＤユーザＩＤ、ユーザＩＤ、姓、名、メールアドレス等が含まれている。

例えばクライアントＩＤ、クライアントキーはクライアントアプリ３０に埋め込まれているものを利用できる。また、テナント認証キーはステップＳ１６で配布されたテナント認証キーのファイルから読み出すことができる。ドメイン、ＡＤユーザＩＤはステップＳ２５においてＯＳ２０から取得したものを利用できる。また、姓、名、メールアドレスはステップＳ２６で取得したものを利用できる。

ユーザＩＤはサービス提供システム１０１４においてユーザを識別するＩＤである。簡易ディレクトリ認証の引数のユーザＩＤはＡＤユーザＩＤと同じものを利用できるが、例えば認証・認可部１１２１の禁則文字を含んでいた場合などに、加工で適切な値を設定する必要がある。なお、適切な値の設定は認証・認可部１１２１で行ってもよい。

ステップＳ２７の簡易ディレクトリ認証の要求は例えば図１３に示すようなリクエストにより行われる。図１３は簡易ディレクトリ認証のリクエストの一例の説明図である。

図１３に示した簡易ディレクトリ認証のリクエストは、クライアントアプリ３０の情報としてクライアントＩＤ「ｃｌｉｅｎｔＡ」とクライアントキー「Ｐｏｅｈｊｆｋｄｎｇ７１２ＦｓｓｆＦｓＡ」とを表している。

テナントの情報としてテナントＩＤ「１２３４５６７８９」及びテナント認証キー「ｄＨＪＺＰＬｂｖ８ｏｔＣＴＧＡｙｒＩｗｍ」を表している。ＯＳ２０にログオンしているユーザの情報としてドメイン「ａｄ．ｅｘａｍｐｌｅ．ｃｏｍ」とＡＤユーザＩＤ「ａｄ＿ｕｓｅｒＡ」とを表している。サービス提供システム１０１４におけるユーザの情報としてユーザＩＤ「ｕｓｅｒＡ」とメールアドレス「ａｄ＿ｕｓｅｒＡ＠ｅｘａｍｐｌｅ．ｃｏｍ」と姓「山田」と名「太郎」とを表している。サービスの情報としてサービスの種別「ＣｌｏｕｄＰｒｉｎｔ」を表している。

図１２に戻り、認証・認可部１１２１の簡易ディレクトリ認証処理部１１は、ステップＳ２７の簡易ディレクトリ認証の要求にユーザパラメータが含まれていれば、ステップＳ２８の処理を行う。ステップＳ２８において認証・認可部１１２１のユーザ情報設定部１２はステップＳ２７の簡易ディレクトリ認証の要求に含まれていたユーザパラメータに基づき、新規ユーザの作成又はユーザ情報の更新を行う。

なお、新規ユーザの作成はステップＳ２７の簡易ディレクトリ認証の要求に含まれていたユーザパラメータに基づき、ユーザ情報のレコードを追加することにより行う。また、認証・認可部１１２１の簡易ディレクトリ認証処理部１１は、ステップＳ２７の簡易ディレクトリ認証の要求にサービスパラメータが含まれていれば、ステップＳ２９の処理を行う。ステップＳ２９において認証・認可部１１２１のサービス利用権限設定部１３はステップＳ２７の簡易ディレクトリ認証の要求に含まれていたサービスパラメータに基づいてサービス利用権限の付与を行う。

ステップＳ３０に進み、認証・認可部１１２１のチケット発行部１４はプリントサービスアプリ１１１３を使用するための認証チケットを発行する。ステップＳ３１に進み、認証・認可部１１２１はクライアントアプリ３０に認証チケットを返す。

ステップＳ３２に進み、クライアントアプリ３０の印刷ジョブ登録処理部３１は発行された認証チケットを添付して印刷ジョブの登録をプリントサービスアプリ１１１３に要求する。プリントサービスアプリ１１１３は認証チケットと対応付けて印刷ジョブを登録する。プリントサービスアプリ１１１３は印刷ジョブの登録結果をクライアントアプリ３０の印刷ジョブ登録処理部３１に返す。ステップＳ３３に進み、クライアントアプリ３０の印刷ジョブ登録処理部３１は例えば画面表示などによりユーザに印刷ジョブ登録完了を知らせる。

図１２のシーケンス図において、認証・認可部１１２１は例えば図１４に示すように簡易ディレクトリ認証を行う。図１４は認証・認可部における簡易ディレクトリ認証処理の一例のフローチャートである。

ステップＳ５１において認証・認可部１１２１の簡易ディレクトリ認証処理部１１は図７に示したクライアント情報を参照し、アプリ認証を行う。アプリ認証はクライアント情報のクライアントＩＤとクライアントキーとをチェックし、登録済みのクライアントアプリ３０かを認証するものである。

登録済みのクライアントアプリ３０であれば、ステップＳ５２に進み、簡易ディレクトリ認証処理部１１は図８に示したテナント情報を参照し、テナント認証を行う。テナント認証はテナント情報のテナント認証キーをチェックし、テナント認証キーが何れかのテナントのテナント認証キーであるかを認証するものである。

テナント認証キーが何れかのテナントのテナント認証キーであれば、簡易ディレクトリ認証処理部１１はステップＳ５３に進み、テナント情報を参照し、ドメインパラメータのチェックを行う。ドメインパラメータのチェックは、テナント情報のドメインが該当するテナントのドメインと一致しているかを確認するものである。

テナント情報のドメインが該当するテナントのドメインと一致していれば、簡易ディレクトリ認証処理部１１は、ステップＳ５４に進み、オンプレミスＩＤによるユーザ検索を行う。オンプレミスＩＤによるユーザ検索は図９のユーザ情報を参照し、該当するテナントに所属し、オンプレミスＩＤ（ＡＤユーザＩＤ）が一致するユーザを検索する。

該当するテナントに所属し、オンプレミスＩＤが一致するユーザが検索されなければ簡易ディレクトリ認証処理部１１はステップＳ５５に進み、ユーザ情報のユーザＩＤのパラメータをチェックする。

ユーザ情報のユーザＩＤのパラメータが指定されていれば、簡易ディレクトリ認証処理部１１はステップＳ５６に進み、ユーザパラメータのチェックを行う。ユーザパラメータがＯＫであれば、ユーザ情報設定部１２はステップＳ５７において、新規ユーザの作成を行う。

なお、該当するテナントに所属し、オンプレミスＩＤが一致するユーザが検索されれば簡易ディレクトリ認証処理部１１はステップＳ５８に進み、ユーザパラメータの有無を確認する。ユーザパラメータがあれば、簡易ディレクトリ認証処理部１１はステップＳ５９に進み、ユーザパラメータのチェックを行う。ユーザパラメータがＯＫであれば、ユーザ情報設定部１２はステップＳ６０において、ユーザ情報の更新を行う。例えばユーザ情報の更新は図９のユーザ情報に姓、名、メールアドレスを更新する処理である。

ステップＳ６１に進み、簡易ディレクトリ認証処理部１１はサービスパラメータの有無を確認する。サービスパラメータがあれば簡易ディレクトリ認証処理部１１はステップＳ６２に進み、サービスパラメータのチェックを行う。簡易ディレクトリ認証処理部１１はサービスパラメータのチェックがＯＫであればステップＳ６３に進み、図１０のライセンス情報を参照して、サービス利用権限の設定を行う。サービス利用権限の設定は、図１０のライセンス情報から該当するサービス種別のライセンス情報を検索し、利用ユーザの項目にユーザＩＤを追加する。このとき、簡易ディレクトリ認証処理部１１は図７のクライアント情報も参照して、該当するクライアントアプリ３０が提供しないサービスであればエラーをレスポンスする。ステップＳ６４に進み、チケット発行部１４は認証チケットを発行し、その認証チケットを成功レスポンスとしてクライアントアプリ３０に返す。

なお、ステップＳ５１で登録済みのクライアントアプリ３０でない場合、ステップＳ５２でテナント認証キーが何れかのテナントのテナント認証キーでない場合、簡易ディレクトリ認証処理部１１は失敗レスポンスを返す。

また、ステップＳ５３でテナント情報のドメインが該当するテナントのドメインと一致していない場合、ステップＳ５５でユーザ情報のユーザＩＤのパラメータが指定されていない場合、簡易ディレクトリ認証処理部１１は失敗レスポンスを返す。

また、ステップＳ５６でユーザパラメータがＯＫでない場合、ステップＳ５９でユーザパラメータがＯＫでない場合、ステップＳ６２でサービスパラメータのチェックがＯＫでない場合、簡易ディレクトリ認証処理部１１は失敗レスポンスを返す。

《印刷ジョブ実行》
図１５は簡易ディレクトリ認証を利用した印刷ジョブ実行処理の一例を示すシーケンス図である。例えば印刷ジョブを登録したユーザは図１５に示す手順で画像形成装置１０１３に印刷ジョブを実行させる。

ステップＳ８１においてユーザは例えばＩＣカードにより画像形成装置１０１３にログインする。ステップＳ８２に進み、画像形成装置１０１３はＡＤサーバ装置１０１２からＩＣカードに対応付けられているＡＤユーザＩＤを取得する。ステップＳ８３に進み、画像形成装置１０１３はＡＤユーザＩＤによるジョブ一覧取得依頼をサービス提供システム１０１４に対して行う。

ステップＳ８４に進み、サービス提供システム１０１４はＡＤユーザＩＤによる認証チケットとジョブ一覧とを画像形成装置１０１３に返す。画像形成装置１０１３はジョブ一覧を表示し、ユーザから印刷ジョブを指定した印刷指示を受け付ける。ステップＳ８５に進み、画像形成装置１０１３はユーザにより指定された印刷ジョブをサービス提供システム１０１４に要求する。ステップＳ８６に進み、サービス提供システム１０１４は要求された印刷ジョブデータを画像形成装置１０１３に返信する。そして、画像形成装置１０１３は返信された印刷ジョブデータにより印刷を行う。

（まとめ）
第１の実施形態に係る情報処理システム１０００は、図１２のシーケンス図に示したように、オンプレミス環境におけるアカウント情報により、サービス提供システム１０１４におけるユーザ情報を自動生成する。また、第１の実施形態に係る情報処理システム１０００は、自動生成されたユーザ情報によりサービス提供システム１０１４へのログインを可能とする。したがって、第１の実施形態に係る情報処理システム１０００は、ＡＤＦＳやＡＤＦＳ Ｐｒｏｘｙを用いなくても、オンプレミス環境におけるアカウント情報を使用したＩＤ連携を容易に実現できる。第１の実施形態によれば、ユーザはオンプレミス環境におけるアカウント情報を入力することで、サービス提供システム１０１４が提供するサービスを利用できる。
[第２の実施形態]
第２の実施形態は一部を除いて前述した第１の実施形態と同様であるため、適宜説明を省略する。

＜処理の詳細＞
以下では、第２の実施形態に係る情報処理システム１０００の処理の詳細について説明する。なお、第２の実施形態では一例として、サービス提供システム１０１４に登録した印刷ジョブを画像形成装置１０１３で印刷する処理について説明する。

《準備》
図１６は簡易ディレクトリ認証の準備の他の例を示すシーケンス図である。例えばテナントの管理者は図１６に示す手順で簡易ディレクトリ認証の準備を行う。図１６のシーケンス図はテナント認証キーの発行の手順と、テナント認証キーの配布の手順とを含む。

図１６のシーケンス図においてサービス提供システム１０１４がテナント認証キーを発行する。テナント認証キーはクライアントアプリ３０からサービス提供システム１０１４へ印刷ジョブを登録する際の認証に利用される。図１６のシーケンス図は、そのテナント認証キーを事前にテナントの管理者が発行・配布する手順を示している。なお、図１６に示されているユーザ及び管理者は、そのユーザ及び管理者が操作するクライアント端末１０１１である。

ステップＳ１０１においてテナントの管理者は管理者アカウントでサービス提供システム１０１４のポータルサービスアプリ１１１１にログインを要求する。ポータルサービスアプリ１１１１はステップＳ１０２に進み、管理者からログインを要求された管理者アカウントによるログインを認証・認可部１１２１に要求する。

ステップＳ１０３において認証・認可部１１２１はログインを要求された管理者アカウントを検証し、検証結果をポータルサービスアプリ１１１１に返す。ここではＯＫの検証結果がポータルサービスアプリ１１１１に返されたものとする。ステップＳ１０４においてポータルサービスアプリ１１１１はサービス設定画面を管理者のクライアント端末１０１１に表示させる。

ステップＳ１０１〜Ｓ１０４に示した第一の手順では、サービス提供システム１０１４に登録されている管理者アカウントでテナントの管理者がサービス提供システム１０１４にログインしている。このログインによりサービス提供システム１０１４はテナント認証キーを発行するテナントを決定できる。

図１７はサービス設定画面の一例のイメージ図である。図１７のサービス設定画面はテナントのドメイン名を設定する欄と、テナント認証キーの発行依頼を行う「ファイルをダウンロード」ボタンと、が含まれている。図１７のサービス設定画面は例えばブラウザを利用して表示される。テナントのドメイン名としては、例えばＡＤサーバ装置１０１２で利用しているドメインを登録する。

ステップＳ１０５において管理者は例えば図１７のサービス設定画面にドメイン名を設定し、簡易ディレクトリ認証用のテナント認証キーの発行依頼を、サービス提供システム１０１４に対して行うことができる。管理者のクライアント端末１０１１はドメイン名を指定してテナント認証キーの発行を要求する。

ポータルサービスアプリ１１１１はステップＳ１０６に進み、ドメイン名を指定してテナント認証キーの発行を認証・認可部１１２１に要求する。ステップＳ１０７において認証・認可部１１２１は、管理者のテナントに紐付くテナント認証キーを発行する。

ステップＳ１０８において、認証・認可部１１２１は設定されたドメイン名と発行したテナント認証キーとを図８のテナント情報に登録する。図８に示したテナント情報はテナント認証キーとドメインとが保存された状態となる。認証・認可部１１２１は発行したテナント認証キーをポータルサービスアプリ１１１１に通知する。

ステップＳ１０９において、ポータルサービスアプリ１１１１は管理者のクライアント端末１０１１に対して、テナント認証キーのファイルをダウンロードする。管理者のクライアント端末１０１１に対してテナント認証キーを提供する形態は、テナント認証キーのファイルのダウンロードであってもよいし、テナント認証キーのテキストをブラウザに表示させるものであってもよい。

ステップＳ１０５〜Ｓ１０９に示した第二の手順では、テナントの管理者がドメイン名を指定してサービス提供システム１０１４にテナント認証キーの発行を依頼し、テナントのテナント認証キーのファイルを取得している。

図１８はテナント認証キーのファイルの一例の構成図である。ファイル内のテナント認証キーは暗号化されていてもよい。また、テナント認証キーのファイルは、クライアントアプリ３０に同梱された形でサービス提供システム１０１４から管理者のクライアント端末１０１１にダウンロードされてもよい。

テナントの管理者はステップＳ１１０において、ユーザのクライアント端末１０１１にテナント認証キーのファイルを配布する。ステップＳ１１０に示した第三の手順ではテナント認証キーをテナント内のユーザのクライアント端末１０１１に配布している。

テナント認証キーを配布されたユーザは例えば図１９に示す手順でユーザのクライアント端末１０１１にテナント認証キーを設定する。図１９はテナント認証キーを設定する処理の一例のシーケンス図である。

ステップＳ１２１において、ユーザは配布されたテナント認証キーをユーザのクライアント端末１０１１のＯＳ２０に配置する。テナント認証キーの配置場所はクライアントアプリ３０のインストーラと同じファイル格納場所（フォルダなど）でもよいし、クライアントアプリ３０のインストール時に選択するファイル格納場所であってもよい。クライアントアプリ３０に同梱された形でテナント認証キーのファイルがユーザのクライアント端末１０１１に配布された場合、ステップＳ１２１の処理は不要となる。

ステップＳ１２２において、ユーザはクライアント端末１０１１を操作し、クライアントアプリ３０をインストールする。ステップＳ１２３において、インストールされたクライアントアプリ３０はＯＳ２０に配置されたテナント認証キーのファイルからテナント認証キーを取得する。

ステップＳ１２４に進み、クライアントアプリ３０は取得したテナント認証キーをＯＳ２０に設定する。ステップＳ１２５に進み、ＯＳ２０はテナント認証キーをレジストリに書き込んで保存する。なお、テナント認証キーが暗号化されている場合、クライアントアプリ３０は復号したテナント認証キーをＯＳ２０に設定する。ここまでの処理により簡易ディレクトリ認証の準備は終了する。

《印刷ジョブ登録》
図２０は簡易ディレクトリ認証を利用した印刷ジョブ登録処理の他の例を示すシーケンス図である。ユーザは図２０に示す手順で印刷ジョブをサービス提供システム１０１４に登録する。図２０のシーケンス図はログオンする手順と、印刷の準備をする手順と、印刷ジョブを登録する手順とを含む。

ステップＳ１３１においてユーザは、ドメインに参加しているクライアント端末１０１１を操作し、ＯＳ２０にＡＤユーザＩＤ及びパスワードを指定してクライアント端末１０１１へのログオンを要求する。ＯＳ２０はユーザからのログオンの要求を受け付ける。

ステップＳ１３２に進み、ＯＳ２０はＡＤユーザＩＤ及びパスワードを指定してＡＤ認証をＡＤサーバ装置１０１２に要求する。ＡＤサーバ装置１０１２はＡＤ認証に指定されていたＡＤユーザＩＤ及びパスワードの組み合わせが登録されていれば、ログオン成功の認証結果をＯＳ２０に返す。ここではログオンが成功したものとして説明を続ける。

ステップＳ１３３においてＯＳ２０は例えば画面表示などによりユーザにログオン成功を知らせる。ステップＳ１３１〜Ｓ１３３に示した第一の手順では、ＡＤサーバ装置１０１２による認証によりユーザがクライアント端末１０１１にログオンしている。

ステップＳ１３４においてユーザは既存の文書作成ソフト４０に印刷指示を行い、プリンタ一覧を表示させる。ステップＳ１３５に進み、ユーザはクライアント端末１０１１を操作してプリンタを選択する。ステップＳ１３４〜Ｓ１３５に示した第二の手順では印刷の準備として印刷を行うプリンタを選択している。

ステップＳ１３６においてユーザはクライアント端末１０１１を操作し、文書作成ソフト４０に印刷の実行を指示する。印刷の実行を指示された文書作成ソフト４０はステップＳ１３７においてクライアントアプリ３０に文書を投入する。ステップＳ１３８においてクライアントアプリ３０はレジストリに保存されているテナント認証キーをＯＳ２０から取得する。

テナント認証キーをＯＳ２０から取得できた場合、クライアントアプリ３０はステップＳ１３９において、例えば図２１に示すユーザ設定画面をユーザのクライアント端末１０１１に表示し、ユーザ情報を要求する。

図２１はユーザ設定画面の一例のイメージ図である。図２１のユーザ設定画面には簡易ディレクトリ認証を使用するか否かをユーザに選択させるための選択欄（例えばチェックボックスなど）が設けられている。ステップＳ１４０においてユーザは簡易ディレクトリ認証を使用するか否かを選択する。ここでは簡易ディレクトリ認証を使用する（ＡＤ連携する）が選択されたものとする。簡易ディレクトリ認証を使用するが選択されなかった場合は、事前にサービス提供システム１０１４に登録したユーザ名及びパスワードを入力して通常認証を行い、プリントサービスアプリ１１１３を使用する。

ステップＳ１４１に進み、ユーザのクライアント端末１０１１は簡易ディレクトリ認証を使用する（ＡＤ連携する）ことをクライアントアプリ３０に通知する。ステップＳ１４２に進み、クライアントアプリ３０はＯＳ２０にログオン情報の取得を要求する。クライアントアプリ３０はログオン情報としてドメイン及びＡＤユーザＩＤを取得する。

また、ステップＳ１４３に進み、クライアントアプリ３０はＡＤサーバ装置１０１２にＡＤユーザ情報の取得を要求し、ＡＤユーザＩＤと対応付いた姓、名、メールアドレスを取得する。なお、ユーザ情報が不要な場合、ＡＤサーバ装置１０１２への問い合わせは行わなくてもよい。

そして、ステップＳ１４４に進み、クライアントアプリ３０はサービス提供システム１０１４の認証・認可部１１２１へ簡易ディレクトリ認証を要求する。簡易ディレクトリ認証の引数には、クライアントＩＤ、クライアントキー、テナント認証キー、ドメイン、ＡＤユーザＩＤ、ユーザＩＤ、姓、名、メールアドレス等が含まれている。

ステップＳ１４４の簡易ディレクトリ認証の要求は例えば図１３に示したようなリクエストにより行われる。認証・認可部１１２１は、図１４に示した簡易ディレクトリ認証処理を行い、プリントサービスアプリ１１１３を使用するための認証チケットを発行してクライアントアプリ３０に返す。クライアントアプリ３０は認証チケットを取得することによりプリントサービスアプリ１１１３のＡＰＩを利用できるようになる。認証チケットはプリントサービスアプリ１１１３のＡＰＩを利用する際に必要な認証情報（認証が許可されたことを示す情報）である。

認証チケットを発行する際、認証・認可部１１２１は事前に登録されたドメイン及びテナント認証キーの検証を行う。なお、発行された認証チケットはクライアントアプリ３０にキャッシュとして保存され、２回目以降の印刷ジョブ登録時に利用される。また、クライアントアプリ３０は認証チケットを利用し、プリントサービスアプリ１１１３が印刷できる状態に文書を変換する。

ステップＳ１４５に進み、クライアントアプリ３０は発行された認証チケットを添付して印刷ジョブの登録をプリントサービスアプリ１１１３に要求する。プリントサービスアプリ１１１３は認証チケットと対応付けて印刷ジョブを登録する。プリントサービスアプリ１１１３は印刷ジョブの登録結果をクライアントアプリ３０に返す。ステップＳ１４６に進み、クライアントアプリ３０は例えば画面表示などによりユーザに印刷ジョブ登録完了を知らせる。

《印刷ジョブ実行》
簡易ディレクトリ認証を利用した印刷ジョブ実行処理は第１の実施形態と同様であるため説明を省略する。

（まとめ）
第２の実施形態に係る情報処理システム１０００は、図２０のシーケンス図に示したように、オンプレミス環境におけるアカウント情報により、サービス提供システム１０１４におけるユーザ情報を自動生成する。また、第２の実施形態に係る情報処理システム１０００は、自動生成されたユーザ情報によりサービス提供システム１０１４へのログインを可能とする。したがって、第２の実施形態に係る情報処理システム１０００は、ＡＤＦＳやＡＤＦＳ Ｐｒｏｘｙを用いなくても、オンプレミス環境におけるアカウント情報を使用したＩＤ連携を容易に実現できる。

このように、第２の実施形態によればサービス提供システム１０１４が発行したテナント認証キーをクライアントアプリ３０に設定し、そのテナント認証キーをサービス提供システム１０１４の利用時に利用できる。

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。クライアント端末１０１１は端末装置の一例である。認証チケットは資格情報の一例である。簡易ディレクトリ認証処理部１１は認証手段の一例である。チケット発行部１４は資格情報発行手段の一例である。ユーザ情報設定部１２はユーザ情報設定手段の一例である。サービス利用権限設定部１３はサービス利用権限設定手段の一例である。

１１ 簡易ディレクトリ認証処理部
１２ ユーザ情報設定部
１３ サービス利用権限設定部
１４ チケット発行部
２０ ＯＳ（オペレーティングシステム）
２１ ログオン処理部
２２ ＡＤ（アクティブディレクトリ）認証要求部
３０ クライアントアプリ
３１ 印刷ジョブ登録処理部
３２ 簡易ディレクトリ認証要求部
４０ 文書作成ソフト
１００ コンピュータ
１０１ 入力装置
１０２ 表示装置
１０３ 外部Ｉ／Ｆ
１０３ａ、２０３ａ 記録媒体
１０４ ＲＡＭ
１０５ ＲＯＭ
１０６ ＣＰＵ
１０７ 通信Ｉ／Ｆ
１０８ ＨＤＤ
２０１ コントローラ
２０２ 操作パネル
２０３ 外部Ｉ／Ｆ
２０４ 通信Ｉ／Ｆ
２０５ プリンタ
２０６ スキャナ
２１１ ＣＰＵ
２１２ ＲＡＭ
２１３ ＲＯＭ
２１４ ＮＶＲＡＭ
２１５ ＨＤＤ
１０００ 情報処理システム
１０１１ クライアント端末
１０１２ ＡＤ（アクティブディレクトリ）サーバ装置
１０１３ 画像形成装置
１０１４ サービス提供システム
１１０１ アプリケーション
１１０２ 共通サービス
１１０３ データベース
１１０４ 管理
１１０５ 業務
１１０６ プラットフォームＡＰＩ（Application Programming Interface）
１１１１ ポータルサービスアプリ
１１１２ スキャンサービスアプリ
１１１３ プリントサービスアプリ
１１２１ 認証・認可部
１１２２ テナント管理部
１１２３ ユーザ管理部
１１２４ クライアント管理部
１１２５ ライセンス管理部
１１２６ 機器管理部
１１２７ 一時画像保存部
１１２８ ログ収集部
１１３０ 画像処理ワークフロー制御部
１１３１ メッセージキュー
１１３２ ワーカー
１１４１ ログ情報記憶部
１１４２ テナント情報記憶部
１１４３ ユーザ情報記憶部
１１４４ ライセンス情報記憶部
１１４５ 機器情報記憶部
１１４６ 一時画像記憶部
１１４７ ジョブ情報記憶部
１１４８ クライアント情報記憶部
１１５０ アプリケーション固有の設定情報記憶部
Ｂ バス
ＦＷ ファイヤウォール
Ｎ１〜Ｎ２ ネットワーク

特表２０１５−５１８１９８号公報

Claims (12)

1. 端末装置がサービスを利用するための資格情報を発行する情報処理装置であって、
   前記端末装置から組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を受け付け、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記組織情報により識別される組織に所属するユーザを前記オンプレミス環境におけるアカウント情報によりユーザ管理情報から検索する認証手段と、
   検索された前記ユーザに前記資格情報を発行する資格情報発行手段と、
   を有する情報処理装置。
2. 前記認証手段が、前記組織情報により識別される組織に所属するユーザを、前記オンプレミス環境におけるアカウント情報により前記ユーザ管理情報から検索できなかった場合に、前記ユーザ管理情報に、前記オンプレミス環境におけるアカウント情報に対応する前記ユーザの情報を作成するユーザ情報設定手段、
   を更に有し、
   前記資格情報発行手段は、前記ユーザの情報が作成された前記ユーザに前記資格情報を発行すること
   を特徴とする請求項１記載の情報処理装置。
3. 前記ユーザ情報設定手段は、
   前記認証手段が、前記組織情報により識別される組織に所属するユーザを、前記オンプレミス環境におけるアカウント情報により前記ユーザ管理情報から検索できた場合に、前記認証要求に含まれていた前記オンプレミス環境におけるアカウント情報に基づき、前記ユーザ管理情報における前記ユーザの情報を更新すること
   を特徴とする請求項２記載の情報処理装置。
4. 前記ユーザの情報が作成された前記ユーザのサービス利用権限を権限管理情報に設定するサービス利用権限設定手段、
   を更に有することを特徴とする請求項１又は２記載の情報処理装置。
5. 前記認証手段は、前記端末装置から組織情報、ドメイン情報、アプリ情報及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を受け付けて、前記アプリ情報に基づいて認証を行い、前記アプリ情報の認証に失敗した場合、前記資格情報発行手段に前記資格情報を発行させないこと
   を特徴とする請求項１乃至４何れか一項記載の情報処理装置。
6. 前記認証手段は、前記認証要求に含まれていた前記組織情報に基づいて認証を行い、前記組織情報の認証に失敗した場合、前記資格情報発行手段に前記資格情報を発行させないこと
   を特徴とする請求項１乃至５何れか一項記載の情報処理装置。
7. 情報処理装置が発行した資格情報を用いて前記情報処理装置が提供するサービスを利用する端末装置であって、
   前記情報処理装置に組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を行い、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記情報処理装置の発行した前記資格情報を取得する認証要求手段と、
   取得した前記資格情報を用いて前記情報処理装置が提供するサービスを利用するサービス利用手段と、を有し、
   前記認証要求手段は、前記情報処理装置において前記ドメイン情報と対応付けて発行された前記組織情報が、前記端末装置に配置されていれば、前記情報処理装置に組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を行うこと
   を特徴とする端末装置。
8. 前記認証要求手段は、前記情報処理装置において前記ドメイン情報と対応付けて発行された前記組織情報が、前記端末装置に配置されていなければ、前記情報処理装置におけるアカウント情報により認証要求を行うこと
   を特徴とする請求項７記載の端末装置。
9. 端末装置がサービスを利用するための資格情報を発行する情報処理装置を、
   前記端末装置から組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を受け付け、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記組織情報により識別される組織に所属するユーザを前記オンプレミス環境におけるアカウント情報によりユーザ管理情報から検索する認証手段、
   検索された前記ユーザに前記資格情報を発行する資格情報発行手段、
   として機能させるためのプログラム。
10. 情報処理装置が発行した資格情報を用いて前記情報処理装置が提供するサービスを利用する端末装置を、
    前記情報処理装置に組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を行い、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記情報処理装置の発行した前記資格情報を取得する認証要求手段、
    取得した前記資格情報を用いて前記情報処理装置が提供するサービスを利用するサービス利用手段、として機能させ、
    前記認証要求手段は、前記情報処理装置において前記ドメイン情報と対応付けて発行された前記組織情報が、前記端末装置に配置されていれば、前記情報処理装置に組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を行うこと
    を特徴とするプログラム。
11. １台以上の情報処理装置を含む情報処理システムであって、
    サービスを利用するための資格情報を指定して要求を行った端末装置にサービスを提供するアプリケーション手段と、
    前記端末装置から組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を受け付け、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記組織情報により識別される組織に所属するユーザを前記オンプレミス環境におけるアカウント情報によりユーザ管理情報から検索する認証手段と、
    検索された前記ユーザに前記資格情報を発行する資格情報発行手段と、
    を有する情報処理システム。
12. １台以上の情報処理装置と、前記情報処理装置が発行した資格情報を用いて前記情報処理装置が提供するサービスを利用する端末装置と、を含む情報処理システムであって、
    前記資格情報を用いて前記情報処理装置が提供するサービスを利用するサービス利用手段と、
    前記サービスを利用するための資格情報を指定して要求を行った前記端末装置にサービスを提供するアプリケーション手段と、
    前記情報処理装置に組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を行う認証要求手段と、
    前記端末装置から組織情報、ドメイン情報、及び、オンプレミス環境におけるアカウント情報を含んだ認証要求を受け付け、前記組織情報と前記ドメイン情報とを対応付ける組織管理情報に、前記認証要求に含まれていた前記組織情報と前記ドメイン情報とが対応付けられていれば、前記組織情報により識別される組織に所属するユーザを前記オンプレミス環境におけるアカウント情報によりユーザ管理情報から検索する認証手段と、
    検索された前記ユーザに前記資格情報を発行する資格情報発行手段と、
    を有する情報処理システム。

Images