JP6682254B2 - 認証連携システム及び認証連携方法、認可サーバー及びプログラム - Google Patents

認証連携システム及び認証連携方法、認可サーバー及びプログラム Download PDF

Info

Publication number
JP6682254B2
JP6682254B2 JP2015239750A JP2015239750A JP6682254B2 JP 6682254 B2 JP6682254 B2 JP 6682254B2 JP 2015239750 A JP2015239750 A JP 2015239750A JP 2015239750 A JP2015239750 A JP 2015239750A JP 6682254 B2 JP6682254 B2 JP 6682254B2
Authority
JP
Japan
Prior art keywords
authorization token
information
authorization
token
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2015239750A
Other languages
English (en)
Other versions
JP2017107343A (ja
JP2017107343A5 (ja
Inventor
貴彦 西田
貴彦 西田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Canon Inc
Original Assignee
Canon Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Canon Inc filed Critical Canon Inc
Priority to JP2015239750A priority Critical patent/JP6682254B2/ja
Priority to US15/364,916 priority patent/US9985962B2/en
Priority to CN201611101535.3A priority patent/CN106856476B/zh
Priority to KR1020160165710A priority patent/KR102074030B1/ko
Priority to EP16202820.3A priority patent/EP3179399B1/en
Publication of JP2017107343A publication Critical patent/JP2017107343A/ja
Publication of JP2017107343A5 publication Critical patent/JP2017107343A5/ja
Application granted granted Critical
Publication of JP6682254B2 publication Critical patent/JP6682254B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
    • G06Q20/3674—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes involving authentication
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F17/00—Coin-freed apparatus for hiring articles; Coin-freed facilities or services
    • G07F17/26—Coin-freed apparatus for hiring articles; Coin-freed facilities or services for printing, stamping, franking, typing or teleprinting apparatus
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2105—Dual mode as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Automation & Control Theory (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Accessory Devices And Overall Control Thereof (AREA)

Description

本発明は、たとえばクラウドサービスにおけるサービスとローカルサービスとの認証連携システム及び認証連携方法、認可サーバー及びプログラムに関する。
近年、サーバーをインターネットに公開しクライアントにサービスを提供するクラウドコンピューティングサービス（或いはクラウドサービス）の形態が注目を集めている。クラウドコンピューティングサービスは、多くのコンピューティング・リソースを用いてデータ変換やデータ処理を分散実行し、多くのクライアントからの要求を分散並列処理により並行して処理することが主な特徴である。現在、このクラウドコンピューティングサービスを実現するクラウドコンピューティングサービス環境上にＷｅｂサービスを実装し、多種多様なサービスをＷｅｂ上で提供するベンダーが乱立しつつある。クラウドサービスの開発において、すでにＷｅｂ上に多く提供されているサービスを有効活用し新しい機能を提供することで、開発スピードや開発コストの面で優位になる。一方で事業者等は従来自らがサーバー等を保有し、運用する自社運用システム（以下、オンプレミスシステムとも呼ぶ。）が数多く運用されている。すべての社内システムをまとめてクラウドサービスに移行することは難しく、その結果、一部のオンプレミスシステムから段階的にクラウドサービスに移行するなど、オンプレミスサービスとクラウドサービスを連携させ両方を利用するユーザーが増えてきている。
オンプレミスサービスとクラウドサービスを連携する場合、従来のオンプレミスのようなローカル認証（ＬＤＡＰなど）とクラウドの認証とが異なるため、シングルサインオン（Ｓｉｎｇｌｅ Ｓｉｇｎ Ｏｎ、以下ＳＳＯとも呼ぶ）が強く望まれる。従来技術ではオンプレミスのローカル認証をクラウドサービスに構築されたローカル認証サービスに同期し、クラウドサービスとオンプレミスのログインサービスの両方にログインすることでユーザーＩＤプロビジョニングを開始する。たとえばユーザーＩＤ等、ユーザーアカウントに関する情報の生成や保守などの管理を開始する。その後、ユーザーはクラウドサービスのローカル認証サービスにＶＰＮを使ってログインすると、ユーザーに紐づいたクレデンシャル情報でクラウドサービスにもログインできる（例えば、特許文献１参照。）。
特表2015-518198号公報
しかしながら、ローカル認証とクラウドサービス認証を連携するために全ユーザーのＩＤプロビジョニングが必要であり、またユーザーの増減のたびにＩＤプロビジョニングをメンテナンスする必要があるためユーザー管理の運用コストが高くなってしまうという課題があった。
本発明は上記従来例に鑑みて成されたもので、ローカル認証とクラウドサービス認証との間でユーザーＩＤプロビジョニングする必要がない認証連携システム及び認証連携方法、認可サーバー及びプログラムを提供することを目的とする。
上記目的を達成するために本発明は以下の構成を有する。
第１の側面によれば、本発明は、ユーザーが認可操作を行ったことでアプリケーションサーバーを利用する権限がクライアントデバイスに委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として登録する前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに認可トークン生成リクエストを受信する手段と、
前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納する手段と、
前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答する応答手段と
を有することを特徴とする認可サーバーにある。
第２の側面によれば、本発明は、認可サーバーとアプリケーションサーバーとクライアントデバイスとを含む認証連携システムであって、
前記クライアントデバイスは、
ユーザーが認可操作を行ったことでアプリケーションサーバーを利用する権限が委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として格納し、
前記認可サーバーに対して、ログインしたユーザーのローカルユーザー情報および前記代表トークン情報とともに認可トークン生成リクエストを送信し、
前記認可トークン生成リクエストに応じて第２の認可トークンを受信した場合、前記第２の認可トークンとともに、処理のリクエストをアプリケーションサーバーに送信し、
前記認可サーバーは、
前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに前記認可トークン生成リクエストを受信し、
前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して前記第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納し、
前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答し、
前記アプリケーションサーバーは、
前記クライアントデバイスから前記第２の認可トークンとともに処理のリクエストを受信すると、前記認可サーバーに対して前記認可トークン検証リクエストを送信し、前記認可トークン検証リクエストが成功した応答として、前記第２の認可トークンと関連付けられた前記ローカルユーザー情報を含む前記認可トークン情報を受信し、
前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理することを特徴とする認証連携システムにある。
本発明によれば、ローカル認証とクラウドサービス認証との間でＩＤプロビジョニングする必要もないため運用負荷を下げることができる。
システム構成図 各装置のハードウェア構成図 プリンター認可フローを示す図 ユーザー認可画面を示す図 認証印刷フローを示す図 認可トークン発行フローを示す図 認可トークン利用フローを示す図 各装置のソフトウェア構成図 （ａ）ローカル認証サーバーで管理するテーブル構造を示す図、（ｂ）（ｃ）プリンターで管理するテーブル構造を示す図、（ｄ）（ｅ）認可サーバーで管理するテーブル構造を示す図 データ変換サーバーで管理するテーブル構造を示す図 ストレージサーバーで管理するテーブル構造を示す図
以下、本発明を実施するための形態について図面を用いて説明する。
［実施形態１］
＜システム構成＞
図１は、本発明の実施形態に係る認証連携システムを含むモバイル印刷システムの全体構成を示す図である。
図において、クライアント端末１０２、プリンター１０３は、ローカルネットワーク１０１を介して１台又は複数台接続されている。クライアント端末１０２は、ローカルネットワーク１０１を介してインターネットワーク１００にアクセスし、サーバー１０４〜１０９にアクセスすることができる。モバイル端末１０２は有線または無線ＬＡＮを介してネットワークに接続する。
セキュリティドメイン１１０〜１１２は認証・認可されたユーザーのアクセス可能範囲を示しておりセキュリティドメインを越えて認証・認可したユーザーや認可トークンを利用することはできない。ローカル認証セキュリティドメイン１１０はローカル認証サーバー１０４で認証されたユーザーでアクセス可能な範囲を示しており、業務サーバー１０５が属する。帳票サービスセキュリティドメイン１１１は認可サーバー１０６で発行された認可トークンでアクセス可能な範囲を示しており、帳票サーバー１０７やデータ変換サーバー１０８が属する。ストレージサービスセキュリティドメイン１１２は不図示のストレージサービスセキュリティドメイン認可サーバーで発行された認可トークンでアクセス可能な範囲を示しており、ストレージサーバー１０９が属する。図１においては、ローカル認証セキュリティドメイン１１０がオンプレミスシステムであり、帳票サービスセキュリティドメイン１１１およびストレージサービスセキュリティドメイン１１２がクラウドシステムに相当する。
ローカル認証サーバー１０４は業務サーバー１０５へアクセスするためのユーザー認証を実現するためのサーバーである。ユーザーはローカル認証サーバー１０４で認証されることで業務サーバー１０５にアクセスすることができる。ローカル認証方式としてＬＤＡＰが用いられることが多いが、本実施形態ではユーザー名、パスワード、ドメインの一致を確認するのみの簡易的な認証方式とする。これは説明の便宜であって、ユーザーごとに固有の認証情報を用いてユーザー認証を行う他の認証方式についても本実施形態の発明を適用することができる。
業務サーバー１０５はユーザー業務情報を管理するサーバーである。本実施形態では販売する製品を業務サーバー１０５で顧客毎に管理し、販売員が業務サーバー１０５の情報を用いて顧客に対して営業を行うユースケースを想定している。業務サーバー１０５はクライアント端末１０２からのリクエストに応じてユーザー業務情報を表示・編集するための画面を提供する。認可サーバー１０６はＯＡｕｔｈを実現するためのサーバーでありクライアント情報の管理や認可トークンの発行・管理を行う。帳票サーバー１０７は業務サーバー１０５からユーザー業務情報を受け取り、帳票テンプレートにユーザー業務情報を反映させて帳票ＰＤＦを生成し管理するサーバーである。そして帳票サーバー１０７は生成した帳票ＰＤＦをデータ変換サーバー１０８に保存するリクエストを行う。データ変換サーバー１０８は、帳票サーバー１０７から帳票ＰＤＦ保存リクエストを受け付け、帳票ＰＤＦデータを保存し管理するとともに、プリンター１０３からの印刷データ変換リクエストを受け付け印刷データの生成、管理を行う。ストレージサーバー１０９はファイル管理を行うサーバーであり、プリンター１０３、帳票サーバー１０７、データ変換サーバー１０８からのファイルアップロード／ダウンロードを受け付ける。なお、ＯＡｕｔｈは、ユーザーの権限をそのユーザーの同意を前提としてサービス間で安全に受け渡す（すなわち委譲する）ための仕組みであり、その仕組みを実現するサーバーが認可サーバー１０６である。たとえばＯＡｕｔｈによりユーザーが第１のサーバーで許諾された権限の全部または一部を第２のサーバーに委譲することで、第２のサーバーは、そのユーザーの権限の範囲内で第１のサーバーによるサービスを受けることができる。ＯＡｕｔｈによれば、ユーザーは、第１のサーバーにログインするための認証情報を第２のサーバーに教える必要がない。
ここで、サーバー１０６〜１０９の各サーバーはそれぞれ複数台のサーバーで冗長化されたクラウドサービスとしてインターネット上に公開されるが、本実施形態では説明を簡略化するため、それぞれ１台構成としている。またローカル認証サーバー１０４と業務サーバー１０５も複数台のサーバーで冗長化された構成をとることもできるが、本実施例では説明を簡略化するため、それぞれ１台構成としている。なお、クラウドサービスを実現する各サーバーのうち、認可サーバー１０６とストレージサーバー１０９とを除いた、クライアントに対してアプリケーションを提供するためのサーバー）をまとめてアプリケーションサーバーと呼ぶこともある。
また、本実施形態では、プリンター１０３がデータ変換サーバー１０８に保存されている帳票ＰＤＦを印刷する方法について説明する。業務サーバー１０５のデータを使用して帳票サーバー１０７での帳票ＰＤＦ生成し、帳票サーバー１０７からデータ変換サーバー１０８への帳票ＰＤＦの保存が済んでいるものとする。
＜クライアント端末１０２、サーバー１０４〜１０９のハードウェア構成＞
図２（ａ）は、クライアント端末１０２とサーバー１０４〜１０９の各サーバーのハードウェア構成の一例を示す図である。特に断らない限り、本実施形態に係る発明の機能が実行可能であるならば、単体の機器であっても、複数の機器からなるシステムであっても、本実施形態に係る発明が適用できることは言うまでもない。また、特に断らない限り、本実施形態に係る発明の機能が実行可能であるならば、ＬＡＮ、ＷＡＮ等のネットワークを介して接続が為され、処理が行われるシステムであっても本実施形態に係る発明を適用できることは言うまでもない。本実施形態ではシステムバス２１９により各構成要素が接続されているものとして説明する。
ＣＰＵ２２０は情報処理装置の制御装置であり、記憶装置２２６に格納されているアプリケーションプログラム、プリントドライバプログラム、オペレーティングシステムや本実施形態のプリントシステムプログラムを実行する。また、ＣＰＵ２２０はＲＡＭ２２２にプログラム実行に必要な情報、ファイル等を一時的に格納する制御を行う。また、ＣＰＵ２２０はディスプレイ２２７上の不図示マウスカーソル等で指示されたコマンドに基づいて登録された種々のウインドウを開き、種々のデータ処理を実行する。ＲＯＭ２２１は固定された情報を記憶するＲＯＭであり、内部には基本Ｉ／Ｏプログラム等のプログラム、文書処理の際に使用するフォントデータ、テンプレート用データ等の各種データを記憶する。ＲＡＭ２２２は情報を一時記憶するＲＡＭであり、ＣＰＵ２２０の主メモリやワークエリア等として機能する。表示制御部２２４は、ディスプレイ２２７にて出力する情報の制御を行っている。入力制御部２２５は、キーボード２２８より入力される情報を制御し、情報処理装置は入力制御部２２５を介して外部装置とのデータのやり取りを行う。記憶装置２２６は外部記憶の一つで、大容量メモリとして機能し、アプリケーションプログラム、プリントドライバプログラム、ＯＳ等を格納している。キーボード２２８は指示入力部であり、ユーザーが各サーバーへの指示等を入力指示するためのものである。ディスプレイ２２７は表示部であり、キーボード２２８から入力したコマンド等を表示するものである。ネットワークコントローラ２２３は、インターネットへ直接的または間接的に接続するためのネットワークインターフェース部である。
また、クライアント端末１０２は、例えば、デスクトップパソコン、ノートパソコン、モバイルパソコン、ＰＤＡ（パーソナルデータアシスタント）等から成り、Ｗｅｂブラウザー等のプログラムを実行する環境が内蔵されている。クライアント端末１０２にインストールされたＷｅｂブラウザーは図２（ａ）で示した記憶装置２２６に記憶されており、前述したようにＣＰＵ２２０によってＲＡＭ２２２にロードされ実行される。
＜プリンター１０３のハードウェア構成＞
図２（ｂ）は、プリンター１０３のハードウェア構成図である。ハードウェアの各構成要素は、システムバス２３０に接続されている。ＣＰＵ２３１は装置全体の制御を行って、システムバス２３０に接続される各種デバイスとのアクセスを統括的に制御する。この制御は、ＲＯＭ２３２に記憶された制御プログラム等あるいはディスクコントローラ(ＤＫＣ２３５)を介して接続された外部メモリ２３６に記憶された制御プログラムやリソースデータ(資源情報)等に基づく。ＲＡＭ２３３は、ＣＰＵ２３１の主メモリ、ワークエリア等として機能するＲＡＭで、図示しない増設ポートに接続されるオプションＲＡＭによりメモリ容量を拡張することができるように構成されている。記憶装置２４０は大容量メモリとして機能する外部記憶装置である。操作パネル（操作部）２３９は、画面を表示し、また、画面を介したユーザーの操作指示を受け付ける。また、プリンター１０３の動作モード等の設定やプリンター１０３の動作状況の表示や、印刷するコンテンツデータを指定する等の操作を行うためのボタンおよび液晶パネル等の表示部も配置される。ネットワークコントローラ２３４は、ネットワークインターフェースカード（ＮＩＣ）であり、該インターフェース２３４を介して外部装置とのデータのやり取りを行う。なお、図２（ｂ）で示したプリントエンジン２３８は既知の印刷技術を利用するものであり、好適な実施系として例えば電子写真方式(レーザービーム方式)やインクジェット方式、昇華方(熱転写)方式等が挙げられる。ラスタコントローラ２３７は、ＰＤＬ言語である印刷データを画像データに変換するコントローラである。機器Ｉ／Ｆ２４１は、ＵＳＢ等で接続可能な外部機器との接続Ｉ／Ｆである。本実施形態では、機器Ｉ／Ｆ２４１に、ＩＣカードリーダー２４２が接続されており、ＩＣカードに含まれるユーザー情報等を非接触で読み込み、プリンター１０３上で動作するアプリケーションプログラムが読み取った情報を利用することができるものである。
＜ローカル認証サーバー１０４のソフトウェア構成＞
次に、本実施例を実施するために必要な図１に図示される各サーバー、プリンターのソフトウェア構成と、夫々が扱う管理情報について説明する。ローカル認証サーバー１０４は認証Ｉ／Ｆ１０４１、認証情報管理部１０４２、ローカル認証情報３００を格納するストレージを含む。各ソフトウェアモジュールは図２（ａ）で示した記憶装置２２６に記憶されており、前述したようにＣＰＵ２２０によってＲＡＭ２２２にロードされ実行される。認証Ｉ／Ｆ１０４１はローカル認証サーバー１０４の各種インターフェースを提供し、受け付けた情報の妥当性の検証を行う。認証情報管理部１０４２は図９で説明するローカル認証情報３００を管理し、認証Ｉ／Ｆが受け付けたリクエストに応じて、ユーザー認証の成否を応答する。 図９に示すローカル認証情報３００はローカル認証サーバー１０４が外部メモリに記憶するデータテーブルである。これらのデータテーブルは、ローカル認証サーバー１０４のストレージではなく、インターネット１００やローカルネットワーク１０１を介して通信可能に構成された別のサーバーに記憶するように構成することもできる。ローカル認証サーバー１０４が保持するデータテーブルはローカル認証情報３００を含む。ローカル認証情報３００は、業務サーバー１０５にアクセス可能なユーザーのユーザー情報としてドメイン名（ドメイン識別情報）３０１、ユーザー名（ユーザー識別情報）３０２、パスワード３０３を含む。ローカル認証サーバー１０４は、ローカル認証の対象となるユーザーにより入力されたユーザー認証情報と、ローカル認証情報３００として登録されたユーザー認証情報の一致によりユーザーを認証する。ローカル認証情報３００は、ローカル認証セキュリティドメイン１１０内でローカルに通用する認証情報である。
＜プリンターのソフトウェア構成＞
プリンター１０３は、ログインアプリケーション１０３１、認可サーバー連携クライアント１０３２、プルプリントアプリケーション１０３３を含む。、各ソフトウェアモジュールは、図２で示した記憶装置２４０に記憶されており、ＣＰＵ２３１によってＲＡＭ３３にロードされ実行される。なお以下の説明ではアプリケーションを「アプリ」と略称する。
ログインアプリ１０３１は、ローカル認証サーバー１０４と連携し、ローカルセキュリティドメイン１１０における認証を行う。ログインアプリ１０３１は、ＩＣカードリーダー２４２からのログインするユーザーのユーザー認証情報（ユーザー情報とも呼ぶ。）の入力を受け付ける。そして、ローカル認証サーバー１０４に対して、ユーザー情報の妥当性の検証すなわちユーザー認証をリクエストする。ログインアプリ１０３１は、ローカル認証サーバー１０４からユーザー情報情報の検証が成功した、すなわちユーザー認証に成功したとの応答を受けた場合には、プルプリントアプリ１０３３に対してログインしたユーザーのユーザー情報を渡す。
認可サーバー連携クライアント１０３２は、OAuthの仕組みを利用して認可サーバー１０６と連携することで、プリンター１０３に対して、帳票サービスセキュリティドメイン１１１における権限の移譲を行う。本実施形態において、認可サーバー連携クライアント１０３２は、代表トークン４００、認可サーバー情報４１０を保持し、管理する。代表トークンの例は図９に示す。認可サーバー情報４１０は、認可サーバー連携クライアント１０３２が認可サーバー１０６を特定するための情報であり、例えば認可サーバー１０６のＵＲＬなどである。認可サーバー情報４１０は、認可サーバー連携クライアント１０３２に例えばユーザーなどにより設定されている。
プルプリントアプリ１０３３は、データ変換サーバー１０８に対して認証印刷に係るリクエストの送信と、ストレージサーバー１０９からの印刷データの取得、プリントエンジン２３８への印刷データの転送を行い、印刷を実行する。プルプリントアプリ１０３３は、認可トークン情報４２０と、ローカル認証連携情報４３０を保持し、管理する。ローカル認証連携情報４３０は、プルプリントアプリ１０３３が予め保持しており、ローカル認証セキュリティドメイン１１０との連携をするか否かをｔｒｕｅ／ｆａｌｓｅで示す。図９（ｂ）代表トークン情報４００については、図９（ｂ）に、認可サーバー連携クライアント１０３２が保持する代表トークン情報４００の例を示す。代表トークン情報４００は、認可サーバー１０６のクライアント情報５００に登録されているクライアントが発行した認可トークンの情報で、顧客テナントを代表するクライアントに紐づく認可トークンの情報である。認可トークンＩＤ４０１は認可トークンを一意に識別可能な識別子である。クライアントＩＤ４０２、テナントＩＤ４０３それぞれは、当該認可トークンを発行した際の認可サーバー１０６のクライアント情報５００で管理されるクライアントのクライアントＩＤ、テナントＩＤである。
認可サーバー連携クライアント１０３２は、この代表認可トークン情報４００を使用することで、認可サーバー１０６に対して、認可トークンの発行の要求を行うことができる。本実施形態では、後述のユーザー認可設定フローにおいて、テナントＩＤがuser_tenant1である顧客テナントの、クライアントＩＤがclient0001である代表クライアントによる認可トークン生成リクエストに対して発行した認可トークン情報が、代表認可トークン情報４００として登録される。
図９（ｃ）には、プルプリントアプリが管理し、データ変換サーバー１０８へのリクエストの際に付加する認可トークン情報４２０の例を示す。
後述の認証印刷フローの中で、プルプリントアプリ１０３３からのリクエストに従って、認可サーバー連携クライアント１０３２が代表トークン情報４００を使用して認可サーバー１０６に認可トークン生成リクエストを送信する。認可トークン情報４２０は、その認可トークン生成リクエストに応じて発行される認可トークンと、ローカル認証セキュリティドメイン１１０のユーザーとを関連付けた情報である。換言すれば、クラウドサービスのクライアントと、ローカルサービスのユーザーとを紐づけた情報であるともいえる。図９（ｃ）において、認可トークンＩＤ４２１は、認可トークンを一意に識別可能な識別子である。ユーザー名４２２、ドメイン名４２３はそれぞれ、ローカル認証サーバー１０５で管理される、ＩＣカード認証によってログインアプリ１０３１からプルプリントアプリ１０３３が受け取ったローカル認証情報３００に含まれるユーザー識別情報およびドメイン識別情報である。プルプリントアプリ１０３３は、認可サーバー連携クライアント１０３２から取得した認可トークンと、ログインアプ１０３１リから受け取ったログイン中のユーザー情報とを、トークン情報４２０によって紐付けて保持する。
＜認可サーバー１０６のソフトウェア構成＞
認可サーバー１０６はＷｅｂサーバー１０６１、認可情報管理部１０６２、クライアント情報５００と認可トークン情報５１０とを格納するストレージを有している。各ソフトウェアモジュールは図２（ａ）で示した記憶装置２２６に記憶されており、前述したようにＣＰＵ２２０によってＲＡＭ２２２にロードされ実行される。Ｗｅｂサーバー１０６１は認可サーバー１０６の各種インターフェースを提供し、受け付けた情報の妥当性の検証を行う。認可情報管理部１０６２はユーザー情報５００と認可トークン情報５１０を管理し、Ｗｅｂサーバー１０６１が受け付けたリクエストに応じて、認可トークンの発行・スコープ確認・有効期限確認などを行う。
図９（ｄ）に、データベースに保存されているユーザー情報５００の例を示す。
クライアント情報５００は、サーバー１０６〜１０８にアクセス可能なクライアント情報が登録されている。本実施形態においてクライアント情報５００には、プリンター１０３の情報がクライアントとして登録されている。クライアントＩＤは、クライアントを一意に識別する識別子である。シークレットは、ユーザーの正当性を判断するためのパスワードである。認可サーバー１０６は、クライアントから受信したクライアントＩＤとパスワードの組と、クライアント情報のクライアントＩＤ５０１とシークレット５０２の組との一致によりクライアントを特定する。スコープ５０３は、ＯＡｕｔｈのスコープであり認可サーバー１０６が発行する認可トークンでアクセス可能な範囲を示す。本実施形態のスコープの種類はPrintを定義する。Printスコープは、プリンター１０３がデータ変換サーバー１０８のインターフェースにアクセスする際に必要なスコープである。テナントＩＤ５０４は、顧客テナントを一意に識別する識別子である。本実施形態では、テナントＩＤがuser_tenant1である顧客テナントの代表ユーザーとして、ＩＤがuser0001のユーザーが定義し登録されている。
図９（ｅ）に、データベースに保存されている認可トークン情報５１０の例を示す。
認可トークン情報５１０は、認可サーバー１０６により認可トークン生成リクエストを受け付けた際に生成される。１つのリクエストについて１レコードが生成される。認可トークン５１１は認可トークンを一意に識別可能な識別子である。有効期限５１２は、認可トークンの有効期限であり認可トークン生成リクエスト受信時間から一定時間後の値が登録される。有効期限を過ぎた認可トークンは無効である。スコープ５１３は認可トークンが利用可能なスコープであり、認可サーバー１０６への認可トークン生成リクエストで渡されるスコープが登録される。クライアントＩＤ５１４、テナントＩＤ５１５は夫々、認可サーバー１０６への認可トークン生成リクエストで渡されるクライアントＩＤ、テナントＩＤが登録される。アプリケーションＩＤはクライアントが複数アプリケーションで利用される場合に各アプリケーションを識別する識別子である。アプリケーションＩＤは認可サーバー１０６への認可トークン生成リクエストでアプリケーションＩＤが渡された場合に登録される。認可サーバー１０６への認可トークン生成リクエストでアプリケーションＩＤが渡されなかった場合は登録されない。本実施形態ではプリンター１０３から認可サーバー１０６への認可トークン生成リクエストにおいてアプリケーションＩＤにローカルユーザー情報（ユーザー名＠ドメイン名）が指定され、アプリケーションＩＤ５１５として登録される。なお図３に示されたローカル認証情報からパスワードを除いたユーザー名とドメイン名とを含む情報をローカルユーザー情報と呼ぶことにする。
＜データ変換サーバー１０８のソフトウェア構成＞
データ変換サーバー１０８は、Ｗｅｂサーバー１０８１、データ変換部１０８２、データ変換情報管理部１０８３、文書情報７００、データ変換情報７１０、テナント設定情報７２０を格納するストレージを有する。各ソフトウェアモジュールは図２（ａ）で示した記憶装置２２６に記憶されており、前述したようにＣＰＵ２２０によってＲＡＭ２２２にロードされ実行される。Ｗｅｂサーバー１０８１はデータ変換サーバー１０８の各種インターフェースを提供し、受け付けた情報の妥当性の検証を行う。そして認可サーバー１０６に対して認可トークン検証リクエストや認可トークン情報取得リクエストを行う。データ変換部１０８２は、プリンター１０３からのリクエストに応じて、文書情報７００として管理される帳票ＰＤＦをプリンター１０３で解釈可能な印刷データに変換を行う。データ変換情報管理部１０８３は、帳票サーバー１０７によってストレージサーバー１０９に保存された帳票ＰＤＦを文書情報７００として管理するとともに、データ変換部１０８２で生成した印刷データをデータ変換情報７１０として管理する。さらに、データ変換情報管理部１０８３は、テナント設定情報７２０を管理し、Ｗｅｂサーバーが受け付けた印刷データ生成リクエストに応じて、データ変換部１０８１で印刷データを生成する。
図１０（ａ）に、データベースに保存されている文書情報７００の例を示す。文書情報７００は、データ変換サーバー１０８により帳票ＰＤＦ保存リクエスト受信時に生成される。１つのリクエストについて１レコードが生成される。文書ＩＤ７０１は、データ変換サーバー１０８が帳票ＰＤＦ保存リクエストを受信した際に発行する、文書を一意に識別する識別子である。テナントＩＤ７０２は、帳票ＰＤＦ保存リクエストした要求元のテナントのテナントＩＤすなわち一意に識別するための識別子であり、ユーザーＩＤ７０３は、帳票ＰＤＦ保存リクエストした要求元のテナントのユーザーのユーザーＩＤである。ユーザーＩＤ７０３には、認可サーバー１０６で管理されるクライアントＩＤやローカル認証サーバー１０４で管理されるローカルユーザー情報（ユーザー名３０２＠ドメイン名３０１）が登録される。文書ＵＲＬは帳票ＰＤＦが保存されているストレージサーバー１０９のＵＲＬパスである。
図１０（ｂ）に、データベースに保存されているデータ変換情報７１０の例を示す。
データ変換情報７１０は、データ変換サーバー１０８により印刷データ生成リクエスト受信時に生成される。１つのリクエストについて１レコードが生成される。データ変換ＩＤ７１１は、データ変換サーバー１０８が印刷データ生成リクエストを受信した際に発行する、データ変換処理を一意に識別する識別子である。テナントＩＤ７１２、ユーザーＩＤ７１３は、データ変換サーバー１０８が印刷データ生成リクエスト受信時に生成する、データ変換対象の文書情報７００のテナントＩＤ７０１、ユーザーＩＤ７０３とそれぞれ同じ値である。データＵＲＬは、データ変換サーバー１０８が生成する印刷データの保存先であるストレージサーバー１０９のＵＲＬである。なお、データ変換情報７１０には文書ＩＤのフィールドをさらに含めて、文書情報７００との関連付けを行ってもよい。
図９（ｃ）に、データベースに保存されているテナント設定情報７２０の例を示す。テナント設定情報７２０はデータ変換サーバー１０８におけるテナント毎の設定情報である。テナントＩＤ７２１の設定としてローカル認証連携モードを保持する。ローカル認証連携モードはローカル認証セキュリティドメイン１１０との連携をするか否かをｔｒｕｅ／ｆａｌｓｅで示す。たとえばｔｒｕｅは連携することを、ｆａｌｓｅは連携しないことを示す。テナント設定情報７２０に含まれた各テナントのローカル認証連携モードの設定は、各テナントのクライアントが保持するローカル認証連携情報と同期するのが望ましい。例えば、データ変換サーバー１０８のテナント設定情報７２０が設定されたなら、それをテナントに分配したり、逆にテナントにおいて設定されたローカル認証連携情報をデータ変換サーバー１０８が収集したり、あるいはその両方をおこなうことで同期を維持する。
＜ストレージサーバー１０９のソフトウェア構成＞
ストレージサーバー１０９はＷｅｂサーバー１０９１、ストレージ管理部１０９２、ファイル情報８００を格納するストレージを有する。各ソフトウェアモジュールは図２（ｂ）で示した記憶装置２２６に記憶されており、前述したようにＣＰＵ２２０によってＲＡＭ２２２にロードされ実行される。Ｗｅｂサーバー１０７１はストレージサーバー１０９の各種インターフェースを提供し、受け付けた情報の妥当性の検証を行う。そして不図示のストレージ認可サーバーに対して認可トークン検証リクエストを行う。ストレージ管理部１０９２は図８で説明するファイル情報８００を管理し、アップロードリクエストされたファイルの入出力を行う。ストレージは図８で説明するストレージサーバー１０９が保持している情報やストレージサーバー１０９受信したファイルが格納されている。
図１１に、データベースに保存されているファイル情報８００の例を示す。
ファイル情報８００はストレージサーバー１０９に保存するファイルの情報である。データＵＲＬはストレージサーバー１０９に保存するファイルを一意に特定することができるＵＲＬである。ファイルパスはストレージ上のファイルパスでありファイルの格納場所を示す。データＵＲＬに対してリクエストすることによりストレージのファイル操作を行うことができる。たとえば、データＵＲＬに対してＨＴＴＰ ＧＥＴメソッドをリクエストすると対応するファイルがダウンロードできる。データＵＲＬに対してＨＴＴＰ ＰＵＴメソッドにファイル添付してリクエストするとファイルをアップロードし保存できる。データＵＲＬに対してＨＴＴＰ ＤＥＬＥＴＥメソッドをリクエストすると対応するファイルを削除できる。
＜ユーザー認可設定フロー＞
図３は、本実施の形態における、顧客テナントの代表ユーザーの権限のプリンター１０３への委譲を認可するフローを示した図である。
Ｓ３．１において、クライアント端末１０２のWebブラウザー１０２１は、プリンター１０３へ、必要なスコープを指定して、ユーザー認可設定リクエストを送信する。本実施形態では、たとえばプリンター１０３がデータ変換サーバー１０８のインターフェースにアクセスする際に必要なスコープであるPrintがスコープとして指定される。
Ｓ３．２において、プリンター１０３の認可サーバー連携クライアント１０３２は、ユーザー認可設定リクエストを受け付けると、認可設定画面へのリダイレクト指示をWebブラウザー１０２１に返す。そのリダイレクト指示は、Webブラウザー１０２１に、プリンター１０３の情報と必要な権限のスコープとを含む認可リクエストを認可サーバー１０６へ送信させるための指示である。
Ｓ３．３において、Webブラウザー１０２１は、受け取ったリダイレクト指示に従って認可サーバー１０６に対して認可設定画面リクエストを送信する。
Ｓ３．４において、認可サーバー１０６はWebサーバーで認可設定画面リクエストを受け取ると、認可設定画面リクエストに認証情報が付加されていない場合、ログイン状態でないと判断し、ログイン画面を返す。認証情報が付加されており、既にログインしている状態と判断した場合、認可サーバー１０６はクライアント情報５００を参照し、ログインユーザーを特定する。
ここで、図４（ａ）は、Ｓ３．３のリクエストに対するレスポンスとしてWebブラウザー１０２１が認可サーバー１０６から受け取り、表示するログイン画面の例である。Webブラウザー１０２１は、ログインボタン９０４押下によって、ユーザーの入力により予め認可サーバーに登録されているユーザー情報として、テナントID９０１、クライアントID９０２、パスワード９０３とともに、ログインリクエストを認可サーバー１０６に送信する。
認可サーバー１０６はログインリクエストを受け付けると、クライアント情報５００を参照してリクエストに含まれるテナントID、クライアントID、パスワードを検証する。すなわち、入力された認証情報と一致するレコードがクライアント情報５００に含まれているか判定する。検証の結果ログインが成功すると、ログインしたクライアント情報を特定することができ、Webブラウザー１０２１に認証情報を返す。Webブラウザー１０２１は、認証情報を各リクエストに付加することで、認証状態を保持することができ、各サーバーは認証情報からログイン中のユーザー情報を特定できる。
一方、Ｓ３．３の認可設定画面リクエストに認証情報が添付されていた場合、認可サーバー１０６は、ログイン中のユーザー情報５００を特定するとＳ３．３のリクエストに対するレスポンスを返す。このレスポンスとして、認可設定画面リクエストに含まれるスコープ、プリンター情報、ユーザー情報５００を含む認可確認画面９１０をWebブラウザーに返す。図４（ｂ）は、Webブラウザー１０２１に表示する認可確認画面９１０の例である。この例では、認可を確認するメッセージとともに、使用するクライアントID、テナントID、認可するプリンターのIPアドレスと、Scopeに紐づく権限を示す画面９１１を表示している。また、認可の実行を受け付けるためのＯＫボタン９１２と拒否するためのＮＧボタン９１３とを表示する。
クライアント端末１０２のWebブラウザー１０２１は、認可確認画面９１０において、OKボタン９１２の押下による認可実行を受け付けると、Ｓ３．４において、認可サーバー１０６に認可トークン生成リクエストを送信する。認可サーバー１０６は、認可トークン生成リクエストを受け付けると、ユーザー情報５００を参照し、認可トークン生成リクエストのパラメータであるスコープが該当するログイン中のユーザー情報５００に含まれるかを判定する。含まれる場合は認可トークンを生成し、認可トークン情報５１０に登録する。スコープが該当するユーザー情報５００に含まれない場合は、Webブラウザー１０２１にエラーを返す。認可サーバー１０６は、Ｓ３．４のレスポンスとして、生成した認可トークンをWebブラウザーに返す。
Ｓ３．５において、Webブラウザー１０２１は、認可サーバー１０６から受け取った認可トークンを、代表トークン登録リクエストとともにプリンター１０３の認可サーバー連携クライアント１０３２に送信する。プリンター１０３の認可サーバー連携クライアント１０３２は代表トークン登録リクエストを受け付けると、代表トークン情報４００として、受信した認可トークンの認可トークンＩＤ、クライアントＩＤ、テナントＩＤをそれぞれ登録する。
このフローにより、認可サーバー１０６に登録されているユーザー情報５００の権限をプリンター１０３に委譲することができ、プリンター１０３はこの代表トークン情報４００を使用することで、該当のユーザー情報５００の権限でデータ変換サーバー１０８にアクセスすることができる。この手順では、ログイン中の、あるいはログインしたユーザーをクラウドサービスの代表クライアントとして認可トークンを取得し、それを代表トークンとしてプリンター１０３に登録することで、クライアントの権限をプリンター１０３に委譲することができる。プリンター１０３は例えば後述する図５の手順で、委譲された権限を行使して文書の印刷等を実行できる。
＜認証プリント＞
図５は、本実施の形態における、認証プリントを行うフローを示した図である。ここでは、図３のユーザー認可設定フローが済んでおり、認可サーバー１０６のユーザー情報５００で管理されるユーザーによってプリンター１０３が認可され、代表トークン情報４００がプリンター１０３に登録されているものとする。図５のシーケンスでは、プリンター１０３がクラウドサービスのクライアントであり、プリンター１０３をクライアントデバイスとも呼ぶ。図５において、Ｓ５．Ｘはリクエストを示し、Ｓ５．ＸＲは、Ｓ５．Ｘのリクエストに対する応答を示す。
Ｓ５．１において、プリンター１０３のログインアプリは、ICカードリーダー２４２からドメイン名、ユーザー名、パスワードから成るローカル認証情報を受け付けると、Ｓ５．２において、ローカル認証サーバー１０４にユーザー認証リクエストを送信する。
ローカル認証サーバー１０４は、ローカル認証情報３００を参照し、リクエストに含まれるローカル認証情報と照合して結果をプリンターに返す。ローカル認証情報３００に該当するレコードがあれば認証は成功である。
プリンター１０３は、ローカル認証サーバー１０４から受け取った認証結果が失敗であった場合、エラーとして処理を終了する。認証結果が成功であった場合、プリンター１０３のログインアプリ１０３１は、ログインしたユーザーのローカル認証情報をプルプリントアプリ１０３３に渡す。さらに、プルプリントアプリ１０３３は、認可サーバー連携クライアント１０３２に対して、スコープとアプリケーションＩＤとを含む認可トークン取得リクエストを送る。ここで、プルプリントアプリ１０３３は、認可トークン生成リスエストに含めるアプリケーションIDとして指定する値をローカル認証連携情報４３０に応じて決定する。プルプリントアプリ１０３３は、ローカル認証連携情報４３０のローカル認証連携モードの値がtrueであった場合、アプリケーションIDとしてローカルユーザー情報（ユーザー名＠ドメイン名）を指定する。ローカル認証連携モードの値がfalseの場合にはデフォルトの値を使用する。本実施形態では、デフォルトの値として、プリンター１０３上で動作しているプルプリントアプリ１０３３を識別する予め決められたIDとする。しかし、任意の文字列、または、アプリケーションIDを指定しなくてもてもよい。
Ｓ５．３において、プリンター１０３の認可サーバー連携クライアント１０３２は、代表トークン情報４００の認可トークンとScope、アプリケーションIDを含む認可トークン生成リクエストを認可サーバー１０５に送信する。
認可サーバー１０６は、プリンター１０３から認可トークン生成リクエストを受け取ると、後述の図６に示す＜認可サーバー１０６の認可トークン発行フロー＞によって、認可トークンの発行を行いプリンター１０３に返す。認可サーバー連携クライアント１０３２は受け取った認可トークンをプルプリントアプリ１０３３に渡す。プルプリントアプリ１０３３は、認可トークンＩＤと、アプリケーションＩＤに含まれたローカルユーザー情報とを、認可トークンＩＤ４２１、ユーザー名４２２、ドメイン名４２３として認可トークン情報４２０に保持する。
Ｓ５．４において、プルプリントアプリ１０３３は、データ変換サーバー１０８に、Ｓ５．３で取得した認可トークンを含む文書情報取得リクエストを送信する。データ変換サーバー１０８は、文書情報取得リクエストを受け付けると、Ｓ５．４−１において、後述の＜データ変換サーバー１０８の認可トークン検証フロー＞（図６参照）を処理し、認可サーバー１０６に対して認可トークン検証リクエストを行って、認可トークンが正当なものであれば、当該認可トークンに対応する認可トークン情報５１０を取得する。認可トークン情報５１０にはアプリケーションＩＤが含まれており、それはＳ５．１でプリンター１０３にログインしたユーザーのローカルユーザー情報である。その場合データ変換サーバー１０８は、Ｓ５．４で決定したユーザーＩＤで、文書情報７００から該当するレコードを抽出し、Ｓ５．４のレスポンスとしてプリンター１０３に返す。
Ｓ５．５において、プリンター１０３のプルプリントアプリ１０３３は、Ｓ５．４で取得した文書情報７００を参照し、認可トークンと、文書ＩＤを含めた印刷データ生成リスエストとを変換サーバー１０８に送信する。データ変換サーバー１０８は、印刷データ生成リクエストを受け付けると、Ｓ５．５−１において、Ｓ５．４−１と同様に認可サーバー１０６に対して認可トークン検証リクエストを行って認可トークン情報５１０を取得し、ユーザーＩＤを特定する。さらに、データ変換サーバー１０８は、印刷データ生成リクエストに含まれる文書ＩＤと、Ｓ５．５−１で特定したユーザーＩＤとを使用して、文書情報７００から該当のレコードを抽出する。さらに、データ変換サーバー１０８は、抽出した文書情報７００の文書ＵＲＬを参照し、Ｓ５．５−２において、ストレージサーバー１０９から該当の文書データファイルを取得する。最後に、データ変換サーバー１０８は、Ｓ５．５−２で取得した文書データを印刷データに変換するとともに、変換して得た印刷データに対応するデータ変換ＩＤを新規に発行し、データ変換情報７１０にそのデータ変換ＩＤを持つレコードを登録する。さらにデータ変換サーバー１０８は、ストレージサーバー１０９に変換後の印刷データをアップロードし、データ変換情報７１０の印刷ＵＲＬ７１４に、アップロードした印刷データにアクセスするためのＵＲＬを登録する。データ変換サーバー１０８は、新規に登録した変換データ情報７１０の印刷ＵＲＬ７１４をＳ５．５の印刷データ生成リクエストのレスポンスとしてプリンター１０３に返す。
Ｓ５．６において、プリンター１０３のプルプリントアプリ１０３３は、Ｓ５．５の印刷データ生成リクエストで取得した印刷ＵＲＬにアクセスすることで印刷データの取得を行い、取得した印刷データをラスタコントローラ２３７、プリントエンジン２３８に転送し印刷を実行する。
＜認可サーバー１０６の認可トークン発行フロー＞
図６は認可サーバー１０６が認可トークン生成リクエスト（Ｓ５．３）を受信したときの認可トークン発行の処理フローの詳細である。
Ｆ６０１において認可サーバー１０６は認可トークン生成リクエストを受信する。認可サーバー１０６は認可トークン生成リクエストのパラメータとして代表認可トークン、スコープ、アプリケーションＩＤを受け取る。
Ｆ６０２において認可サーバー１０６は認可トークン情報５１０からＦ６０１で受信した代表認可トークンと一致するレコードを特定する。
Ｆ６０３において認可サーバー１０６はＦ６０２で特定したクライアント情報５００のスコープ５０３が、Ｆ６０１で受信したスコープと一致するか判定する。一致しない場合エラーとする（Ｆ６０５）。
Ｆ６０４において認可サーバー１０６は認可トークンＩＤを発行し、Ｆ６０１で受信したクライアントＩＤ、スコープ、アプリケーションＩＤを含むレコードを認可トークン情報５１０に登録する。本実施形態の前述Ｓ５．３のフローにおいては、ローカル認証連携モードがセットされていればアプリケーションＩＤにローカル認証情報（ユーザー名＠ドメイン名）が指定されるが、ローカル認証連携しないクライアントからのリクエストの場合、アプリケーションＩＤには空または異なる値が登録される。
＜データ変換サーバー１０８の認可トークン検証フロー＞
図７は、データ変換サーバー１０８が各種リクエスト（Ｓ５．４、Ｓ５．５）を受信したときの認可トークン検証の処理フローの詳細である。
Ｆ７０１において、データ変換サーバー１０８はリクエストを受信する。またリクエストのパラメータとして認可トークンを受信する。
Ｆ７０２において、データ変換サーバー１０８は認可サーバー１０６に対して認可トークン検証リクエストを行う。認可トークン検証リクエストの結果、認可トークン情報が得られなかった場合エラーとする（Ｆ７０６）。
Ｆ７０３において、データ変換サーバー１０８は、テナント設定情報７２０から認可トークン情報のテナントＩＤと一致するレコードを特定し、そのテナントのローカル認証連携モードが有効(true)であるかを判断する。
Ｆ７０３において、テナントのローカル認証連携モードが有効だった場合、データ変換サーバー１０８はＦ７０４において、認可トークン情報のテナントＩＤとアプリケーションＩＤに登録されているローカルユーザー情報３００（ユーザー名＠ドメイン名）を一意のユーザーとしてリクエストを処理する。
Ｆ７０３において、テナントのローカル認証連携モードが無効だった場合、データ変換サーバー１０８はＦ７０５において、認可トークン情報５１０のユーザーＩＤを一意のユーザーとしてリクエストを処理する。
以上のように、認可トークン発行時にローカルユーザー情報を紐付けておくことで、認可トークン利用時に認可トークン情報からローカルユーザー情報を取得することができ、データ変換サーバー１０８でローカル認証サーバー１０４のユーザーを一意のユーザーとして認識することができる。例えば認可トークンに紐づいたローカルユーザー情報をデータ変換サーバー１０８の課金処理や処理集計処理で一意のユーザーとして処理することで、ローカル認証サーバー１０４と連動して運用することができる。ローカル認証セキュリティドメイン１１０と帳票サービスセキュリティドメイン１１１の間でＩＤプロビジョニングする必要がなく運用負荷を下げることができる。また、業務サーバー１０５は一つのクライアントを使いまわして認可トークンを発行しているが、発行した認可トークンの利用はローカル認証情報で限定されるため、認可トークンで他のユーザーの情報にアクセスすることはできないためセキュアに認証連携することができる。
さらに、ローカル認証連携モードの有効／無効をテナント毎の設定として持つことによって、マルチテナント時に特定のテナントのみローカル認証連携を行うことができ、認証・認可において柔軟に顧客ニーズに応えることが出来る。
［その他の実施例］
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給し、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
１０２ クライアント端末、１０３ プリンター、１０４ ローカル認証サーバー、１０６ 認可サーバー、１０８ データ変換サーバー、１０９ ストレージサーバー

Claims (8)

  1. ユーザーが認可操作を行ったことでアプリケーションサーバーを利用する権限がクライアントデバイスに委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として登録する前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに認可トークン生成リクエストを受信する手段と、
    前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納する手段と、
    前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答する応答手段と
    を有することを特徴とする認可サーバー。
  2. 前記代表トークン情報には、代表クライアントの識別情報と、該代表クライアントのテナントの識別情報とを含み、
    前記応答手段は、前記代表クライアントのテナントの識別情報を、前記認可トークン情報の一部として応答することを特徴とする請求項１に記載の認可サーバー。
  3. 前記ローカルユーザー情報は、ローカル認証サーバーにより認証されたユーザーのアクセス可能なドメインを示す情報と、前記ドメインにおけるユーザー識別情報とを含むことを特徴とする請求項１又は２に記載の認可サーバー。
  4. 前記認可トークン検証リクエストは、前記認可トークンと共に前記クライアントデバイスから処理のリクエストを受け付けたアプリケーションサーバーから受信され、
    前記ローカルユーザー情報は、前記アプリケーションサーバーにより、前記処理のリクエストの要求元のユーザーの識別のために用いられることを特徴とする請求項３に記載の認可サーバー。
  5. 認可サーバーとアプリケーションサーバーとクライアントデバイスとを含む認証連携システムであって、
    前記クライアントデバイスは、
    ユーザーが認可操作を行ったことで前記アプリケーションサーバーを利用する権限が委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として格納し、
    前記認可サーバーに対して、ログインしたユーザーのローカルユーザー情報および前記代表トークン情報とともに認可トークン生成リクエストを送信し、
    前記認可トークン生成リクエストに応じて第２の認可トークンを受信した場合、前記第２の認可トークンとともに、処理のリクエストをアプリケーションサーバーに送信し、
    前記認可サーバーは、
    前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに前記認可トークン生成リクエストを受信し、
    前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して前記第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納し、
    前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答し、
    前記アプリケーションサーバーは、
    前記クライアントデバイスから前記第２の認可トークンとともに処理のリクエストを受信すると、前記認可サーバーに対して前記認可トークン検証リクエストを送信し、前記認可トークン検証リクエストが成功した応答として、前記第２の認可トークンと関連付けられた前記ローカルユーザー情報を含む前記認可トークン情報を受信し、
    前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理する
    ことを特徴とする認証連携システム。
  6. 前記代表トークン情報には、クライアントデバイスの識別情報と、該クライアントデバイスのテナントの識別情報とを含み、
    前記認可サーバーは、検証が成功した前記認可トークンの生成を要求したクライアントのテナントの識別情報を、前記認可トークン情報の一部として応答し、
    前記アプリケーションサーバーは、前記テナントの識別情報に応じて設定されたローカル認証連携モードがセットされている場合に、前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理することを特徴とする請求項５に記載の認証連携システム。
  7. コンピュータを、
    代表クライアントに対して発行した認可トークンが代表トークン情報として登録された、前記代表クライアントから権限の委譲を受けたクライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに認可トークン生成リクエストを受信する手段と、
    前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記認可トークンと関連付けた認可トークン情報を生成して格納する手段と、
    認可トークン検証リクエストに応じて前記認可トークン情報に基づいた認可トークンの検証が成功した場合には、検証が成功した前記認可トークンに関連付けられた前記認可トークン情報を応答する応答手段と
    して機能させるためのプログラム。
  8. 認可サーバーとアプリケーションサーバーとクライアントデバイスとを含む認証連携システムにおける認証連携方法であって、
    前記クライアントデバイスが、
    ユーザーが認可操作を行ったことでアプリケーションサーバーを利用する権限が委譲され、委譲されたことで発行された第１の認可トークンを代表トークン情報として格納し、
    前記認可サーバーに対して、ログインしたユーザーのローカルユーザー情報および前記代表トークン情報とともに認可トークン生成リクエストを送信し、
    前記認可トークン生成リクエストに応じて第２の認可トークンを受信した場合、前記第２の認可トークンとともに、処理のリクエストをアプリケーションサーバーに送信し、
    前記認可サーバーが、
    前記クライアントデバイスから、前記代表トークン情報およびローカルユーザー情報とともに前記認可トークン生成リクエストを受信し、
    前記認可トークン生成リクエストとともに受信した前記代表トークン情報に基づいた認証が成功した場合には、前記クライアントデバイスに対して前記第２の認可トークンを応答し、前記認可トークン生成リクエストとともに受信したローカルユーザー情報を前記第２の認可トークンと関連付けた認可トークン情報を生成して格納し、
    前記クライアントデバイスから前記第２の認可トークンとともに処理リクエストを受けた前記アプリケーションサーバーから、前記第２の認可トークンを含む認可トークン検証リクエストを受信し、受信した前記第２の認可トークンと前記認可トークン情報とに基づいた認可トークンの検証が成功した場合には、前記認可トークン情報に含まれる前記ローカルユーザー情報を前記アプリケーションサーバーへ応答し、
    前記アプリケーションサーバーが、
    前記クライアントデバイスから前記第２の認可トークンとともに処理のリクエストを受信すると、前記認可サーバーに対して前記認可トークン検証リクエストを送信し、前記認可トークン検証リクエストが成功した応答として、前記第２の認可トークンと関連付けられた前記ローカルユーザー情報を含む前記認可トークン情報を受信し、
    前記ローカルユーザー情報で示されるユーザーまたは前記クライアントデバイスに対して前記処理のリクエストを処理する
    ことを特徴とする認証連携方法。
JP2015239750A 2015-12-08 2015-12-08 認証連携システム及び認証連携方法、認可サーバー及びプログラム Active JP6682254B2 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2015239750A JP6682254B2 (ja) 2015-12-08 2015-12-08 認証連携システム及び認証連携方法、認可サーバー及びプログラム
US15/364,916 US9985962B2 (en) 2015-12-08 2016-11-30 Authorization server, authentication cooperation system, and storage medium storing program
CN201611101535.3A CN106856476B (zh) 2015-12-08 2016-12-02 授权服务器和认证协作系统
KR1020160165710A KR102074030B1 (ko) 2015-12-08 2016-12-07 인가 서버, 인증 제휴 시스템 및 프로그램을 저장한 저장 매체
EP16202820.3A EP3179399B1 (en) 2015-12-08 2016-12-08 Authorization server, authentication cooperation system, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2015239750A JP6682254B2 (ja) 2015-12-08 2015-12-08 認証連携システム及び認証連携方法、認可サーバー及びプログラム

Publications (3)

Publication Number Publication Date
JP2017107343A JP2017107343A (ja) 2017-06-15
JP2017107343A5 JP2017107343A5 (ja) 2019-01-24
JP6682254B2 true JP6682254B2 (ja) 2020-04-15

Family

ID=57708305

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2015239750A Active JP6682254B2 (ja) 2015-12-08 2015-12-08 認証連携システム及び認証連携方法、認可サーバー及びプログラム

Country Status (5)

Country Link
US (1) US9985962B2 (ja)
EP (1) EP3179399B1 (ja)
JP (1) JP6682254B2 (ja)
KR (1) KR102074030B1 (ja)
CN (1) CN106856476B (ja)

Families Citing this family (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9495533B2 (en) * 2011-09-29 2016-11-15 Oracle International Corporation Mobile application, identity relationship management
US10425386B2 (en) * 2016-05-11 2019-09-24 Oracle International Corporation Policy enforcement point for a multi-tenant identity and data security management cloud service
US10735394B2 (en) 2016-08-05 2020-08-04 Oracle International Corporation Caching framework for a multi-tenant identity and data security management cloud service
US10516672B2 (en) 2016-08-05 2019-12-24 Oracle International Corporation Service discovery for a multi-tenant identity and data security management cloud service
US20180107531A1 (en) * 2016-10-19 2018-04-19 Electronics And Telecommunications Research Institute Service server, user terminal and method of 3d collaborative printing
JP6949585B2 (ja) * 2017-06-30 2021-10-13 キヤノン株式会社 管理サーバ、サービス提供サーバ、システム、制御方法、および、プログラム
DE102017221300A1 (de) * 2017-11-28 2019-05-29 Siemens Mobility GmbH Verfahren und System zum Bereitstellen einer datentechnischen Funktion mittels eines Datenverarbeitungssystems eines spurgebundenen Fahrzeugs
US11153305B2 (en) * 2018-06-15 2021-10-19 Canon U.S.A., Inc. Apparatus, system and method for managing authentication with a server
EP3585084A1 (de) * 2018-06-18 2019-12-25 Siemens Aktiengesellschaft Einrichtung einer zugangsberechtigung zu einem teilnetzwerk eines mobilfunknetzes
CN108881232B (zh) * 2018-06-21 2019-07-02 北京海泰方圆科技股份有限公司 业务系统的登录访问方法、装置、存储介质和处理器
CN110650112B (zh) * 2018-06-27 2022-05-20 贵州白山云科技股份有限公司 一种通用鉴权方法、装置及云服务网络系统
CN109587148A (zh) * 2018-12-11 2019-04-05 上海宜延电子商务有限公司 一种数据计算客户端、数据计算服务器及数据计算系统
JP7324048B2 (ja) * 2019-05-22 2023-08-09 キヤノン株式会社 印刷装置、印刷システム、印刷装置の登録方法、及び、プログラム
US11582229B2 (en) * 2019-06-01 2023-02-14 Apple Inc. Systems and methods of application single sign on
CN110324333B (zh) * 2019-06-29 2021-12-28 北京启迪区块链科技发展有限公司 一种数据处理方法、装置、终端及存储介质
CN111327582B (zh) * 2019-08-22 2022-12-20 刘高峰 一种基于OAuth协议的授权方法、装置及系统
CN111176710B (zh) * 2019-12-30 2023-10-03 宁波视睿迪光电有限公司 一种终端软件管理系统的运行方法及终端软件管理系统
KR102146940B1 (ko) * 2020-03-16 2020-08-24 주식회사 스태비 토큰 위변조 검증 방법
DE102020125570A1 (de) * 2020-09-30 2022-03-31 Novar Gmbh Verfahren, system und computerprogramm zur authentifikation von brandsteuersystemen
CN112612770A (zh) * 2020-12-28 2021-04-06 深圳市科创思科技有限公司 一种分布式文件上传方法及系统
CN114499977B (zh) * 2021-12-28 2023-08-08 天翼云科技有限公司 一种认证方法及装置
CN114884724B (zh) * 2022-05-06 2024-03-22 杭州联吉技术有限公司 一种云服务器交互方法、装置、可读存储介质及终端设备
CN115102711B (zh) * 2022-05-09 2024-01-02 支付宝(杭州)信息技术有限公司 信息授权方法、装置以及系统

Family Cites Families (46)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7324972B1 (en) 1997-03-07 2008-01-29 Clickshare Service Corporation Managing transactions on a network: four or more parties
US6510236B1 (en) 1998-12-11 2003-01-21 International Business Machines Corporation Authentication framework for managing authentication requests from multiple authentication devices
US7221935B2 (en) 2002-02-28 2007-05-22 Telefonaktiebolaget Lm Ericsson (Publ) System, method and apparatus for federated single sign-on services
US7685206B1 (en) * 2004-02-12 2010-03-23 Microsoft Corporation Authorization and access control service for distributed network resources
US7519596B2 (en) * 2004-03-30 2009-04-14 Microsoft Corporation Globally trusted credentials leveraged for server access control
US8010783B1 (en) 2004-04-15 2011-08-30 Aol Inc. Service provider invocation
US10140596B2 (en) 2004-07-16 2018-11-27 Bryan S. M. Chua Third party authentication of an electronic transaction
CN100546245C (zh) * 2006-01-11 2009-09-30 西安电子科技大学 跨安全域的网络认证和密钥分配方法
JP4766249B2 (ja) * 2006-03-01 2011-09-07 日本電気株式会社 トークン譲渡方法、トークン譲渡システム及び権限認証許可サーバ
US8151116B2 (en) 2006-06-09 2012-04-03 Brigham Young University Multi-channel user authentication apparatus system and method
US8239927B2 (en) 2008-02-29 2012-08-07 Microsoft Corporation Authentication ticket validation
US20090271847A1 (en) 2008-04-25 2009-10-29 Nokia Corporation Methods, Apparatuses, and Computer Program Products for Providing a Single Service Sign-On
CN101399671B (zh) * 2008-11-18 2011-02-02 中国科学院软件研究所 一种跨域认证方法及其系统
US20100235882A1 (en) 2009-03-13 2010-09-16 Gidah, Inc. Method and system for using tokens in a transaction handling system
US8195819B1 (en) * 2009-07-13 2012-06-05 Sprint Communications Company L.P. Application single sign on leveraging virtual local area network identifier
US8707404B2 (en) 2009-08-28 2014-04-22 Adobe Systems Incorporated System and method for transparently authenticating a user to a digital rights management entity
US8739260B1 (en) 2011-02-10 2014-05-27 Secsign Technologies Inc. Systems and methods for authentication via mobile communication device
US20140044123A1 (en) 2011-05-23 2014-02-13 Twilio, Inc. System and method for real time communicating with a client application
US9648006B2 (en) 2011-05-23 2017-05-09 Twilio, Inc. System and method for communicating with a client application
JP5759305B2 (ja) * 2011-08-19 2015-08-05 キヤノン株式会社 アクセス管理システム、アクセス管理方法、アクセス管理サーバ、連携サーバ、およびプログラム
US10176335B2 (en) 2012-03-20 2019-01-08 Microsoft Technology Licensing, Llc Identity services for organizations transparently hosted in the cloud
US11424930B2 (en) 2012-05-22 2022-08-23 Barclays Bank Delaware Systems and methods for providing account information
US8762731B2 (en) * 2012-09-14 2014-06-24 Sap Ag Multi-system security integration
JP6066647B2 (ja) * 2012-09-27 2017-01-25 キヤノン株式会社 デバイス装置、その制御方法、およびそのプログラム
JP5988841B2 (ja) * 2012-11-16 2016-09-07 キヤノン株式会社 通信装置、通信システム、情報処理方法及びプログラム
GB2509895A (en) 2012-11-22 2014-07-23 Visa Europe Ltd Activation and Use of a Digital Wallet via Online Banking
US9374369B2 (en) 2012-12-28 2016-06-21 Lookout, Inc. Multi-factor authentication and comprehensive login system for client-server networks
US20140245411A1 (en) 2013-02-22 2014-08-28 Nokia Corporation Method and apparatus for providing account-less access via an account connector platform
JP5516776B1 (ja) * 2013-03-05 2014-06-11 富士ゼロックス株式会社 中継装置、通信システム及びプログラム
JP6177020B2 (ja) 2013-06-18 2017-08-09 キヤノン株式会社 認証システム、その制御方法、サービス提供装置およびコンピュータプログラム
US20150033315A1 (en) * 2013-07-23 2015-01-29 Salesforce.Com, Inc. Authentication and diagnostic functions for a database system
AU2014292980A1 (en) 2013-07-24 2016-02-04 Visa International Service Association Systems and methods for interoperable network token processing
US10496986B2 (en) 2013-08-08 2019-12-03 Visa International Service Association Multi-network tokenization processing
US9106642B1 (en) 2013-09-11 2015-08-11 Amazon Technologies, Inc. Synchronizing authentication sessions between applications
JP6265733B2 (ja) * 2013-12-25 2018-01-24 キヤノン株式会社 権限管理サーバー及び権限管理方法
US20150281225A1 (en) 2014-03-27 2015-10-01 Microsoft Corporation Techniques to operate a service with machine generated authentication tokens
US9419962B2 (en) 2014-06-16 2016-08-16 Adobe Systems Incorporated Method and apparatus for sharing server resources using a local group
US20160065552A1 (en) 2014-08-28 2016-03-03 Drfirst.Com, Inc. Method and system for interoperable identity and interoperable credentials
US9420463B2 (en) * 2014-09-30 2016-08-16 Sap Se Authorization based on access token
US10021084B2 (en) * 2014-10-28 2018-07-10 Open Text Sa Ulc Systems and methods for credentialing of non-local requestors in decoupled systems utilizing a domain local authenticator
US9871821B2 (en) * 2014-11-11 2018-01-16 Oracle International Corporation Securely operating a process using user-specific and device-specific security constraints
US9794329B2 (en) * 2014-11-28 2017-10-17 Sap Se Cloud application with secure local access
CN107004094B (zh) * 2014-12-09 2021-01-15 佳能株式会社 信息处理装置、信息处理装置的控制方法、信息处理系统和计算机程序
CN104639562B (zh) * 2015-02-27 2018-03-13 飞天诚信科技股份有限公司 一种推送认证的系统和设备的工作方法
US10148522B2 (en) * 2015-03-09 2018-12-04 Avaya Inc. Extension of authorization framework
US10104084B2 (en) * 2015-07-30 2018-10-16 Cisco Technology, Inc. Token scope reduction

Also Published As

Publication number Publication date
JP2017107343A (ja) 2017-06-15
CN106856476B (zh) 2020-10-30
US20170163636A1 (en) 2017-06-08
KR102074030B1 (ko) 2020-02-05
KR20170067660A (ko) 2017-06-16
EP3179399A1 (en) 2017-06-14
US9985962B2 (en) 2018-05-29
CN106856476A (zh) 2017-06-16
EP3179399B1 (en) 2019-10-09

Similar Documents

Publication Publication Date Title
JP6682254B2 (ja) 認証連携システム及び認証連携方法、認可サーバー及びプログラム
CN106856475B (zh) 授权服务器以及认证协作系统
US9230078B2 (en) Authentication system, control method thereof, service provision device, and storage medium
JP6056384B2 (ja) システム及びサービス提供装置
JP5820188B2 (ja) サーバおよびその制御方法、並びにプログラム
JP6318940B2 (ja) サービス提供システム、データ提供方法及びプログラム
JP6098169B2 (ja) 情報処理システム、情報処理装置、プログラム及び認証方法
US9185102B2 (en) Server system and control method
US20120229838A1 (en) Print server, printing system, control method, and computer-readable medium
US20140007199A1 (en) Relay device, relay method, and non-transitory computer readable medium
JP6248641B2 (ja) 情報処理システム及び認証方法
US10496342B2 (en) Printing system, method, and program for implementing service coordination among a plurality of security domains
US9661184B2 (en) Data processing system and data processing method for authenticating user by utilizing user list obtained from service providing apparatus
US10713098B2 (en) Information processing apparatus and cookie information management method
JP2016115260A (ja) 権限移譲システム、権限移譲システムに用いられる認可サーバー、リソースサーバー、クライアント、媒介装置、権限移譲方法およびプログラム
JP6303312B2 (ja) サービス提供システム及び画像提供方法
JP6447766B2 (ja) サービス提供システム、データ提供方法及びプログラム
JP6237868B2 (ja) クラウドサービス提供システム及びクラウドサービス提供方法
JP2009205223A (ja) シングルサインオンによるグループ内サービス認可方法と、その方法を用いたグループ内サービス提供システムと、それを構成する各サーバ
JP2014142735A (ja) 印刷システム、方法、及びプログラム
JP2017091221A (ja) 権限委譲システム、その制御方法、認可サーバ及びプログラム
JP2016053858A (ja) サービスプロバイダ装置、サービスプロバイダ装置を制御するための制御方法、およびプログラム

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20181205

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20181205

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20190925

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20191015

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20191017

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20200225

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20200325

R151 Written notification of patent or utility model registration

Ref document number: 6682254

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151