JP7215542B2 - 認証連携装置、情報処理プログラム及び認証連携システム - Google Patents

Description

本発明は、認証連携装置、情報処理プログラム及び認証連携システムに関する。

特許文献１には、認証サーバーを別途設置することなく、端末への一度のログイン操作で端末利用者が各種機能を提供するサーバーとシングルサインオンを実現することを可能とするシングルサインオンシステムを提供することを課題とし、情報処理装置は、自装置に対するログイン操作を受け付けて認可サーバーに認証連携要求を送信し、認可サーバーから第１の認証要求を受け付けたことに起因して第２の認証要求をサービス提供サーバーに送信し、サービス提供サーバーによる第２の認証要求への応答に起因して、第３の認証要求をサービス提供サーバーに送信し、第３の認証要求に応答したサービス提供サーバーから、認可コードを含む認可サーバーへのリダイレクト指示を受信し、リダイレクトに含まれる認可コードを用いて認証トークンを生成した認可サーバーから、認証トークンを含む認証連携要求に対する応答を受信することが開示されている。

特開２０１６－００９２９９号公報

ユーザーが機器を利用する場合は、認証を必要とする機器がある。そして、その機器から他のサービス提供装置が提供するサービスを利用しようとした場合にも、サービス提供装置におけるユーザーの認証が必要であるものがある。そこで、機器における認証とサービス提供装置における認証を連携させて、機器における認証が完了したことによって、サービス提供装置が提供するサービスを利用できるようにしている。ただし、その認証連携を行うためには、管理者が種々の設定を行う必要がある。
本発明は、機器とサービス提供装置における認証連携を行うための設定ができる認証連携装置、情報処理プログラム及び認証連携システムを提供することを目的としている。

かかる目的を達成するための本発明の要旨とするところは、次の各項の発明に存する。
発明［１］は、機器に対して、該機器がサービス提供装置が提供するサービスを利用する場合に、該機器が本認証連携装置に対してアクセスするためのＵＲＬを設定する設定手段、を有する認証連携装置である。

発明［２］は、認証連携装置であるコンピュータを、機器に対して、該機器がサービス提供装置が提供するサービスを利用する場合に、該機器が前記認証連携装置に対してアクセスするためのＵＲＬを設定する設定手段、として機能させるための情報処理プログラムである。

発明［１］の認証連携装置によれば、機器とサービス提供装置における認証連携を行うための、その機器における設定ができる。

発明［２］の情報処理プログラムによれば、機器とサービス提供装置における認証連携を行うための、その機器における設定ができる。

本実施の形態の構成例についての概念的なモジュール構成図である。 本実施の形態を利用したシステム構成例を示す説明図である。 本実施の形態による処理例を示すフローチャートである。 提供情報テーブル、応答情報テーブルのデータ構造例を示す説明図である。 本実施の形態による処理例を示すフローチャートである。 機器設定情報テーブルのデータ構造例を示す説明図である。 本実施の形態による処理例を示すフローチャートである。 本実施の形態による処理例を示す説明図である。 本実施の形態による処理例を示す説明図である。 従来技術による処理例を示す説明図である。 証明書テーブルのデータ構造例を示す説明図である。 証明書チェーンの例を示す説明図である。 ＳＳＬ通信処理例の概要を示す説明図である。 連携認証処理例の概要を示す説明図である。 従来技術による処理例を示す説明図である。 本実施例による処理例を示す説明図である。 本実施例による機器の提示例を示す説明図である。 本実施例による処理例を示す説明図である。 信頼関係構築情報テーブルのデータ構造例を示す説明図である。 サービス提供装置でのＳＳＬ運用形態例を示す説明図である。 ＳＳＬ運用形態と証明書との関係例を示す説明図である。 非ＳＳＬモードにおける証明書の発行処理例を示す説明図である。 本実施の形態を実現するコンピュータのハードウェア構成例を示すブロック図である。

以下、図面に基づき本発明を実現するにあたっての好適な一実施の形態の例を説明する。
図１は、本実施の形態の構成例についての概念的なモジュール構成図を示している。
なお、モジュールとは、一般的に論理的に分離可能なソフトウェア（コンピュータ・プログラム）、ハードウェア等の部品を指す。したがって、本実施の形態におけるモジュールはコンピュータ・プログラムにおけるモジュールのことだけでなく、ハードウェア構成におけるモジュールも指す。それゆえ、本実施の形態は、それらのモジュールとして機能させるためのコンピュータ・プログラム（コンピュータにそれぞれの手順を実行させるためのプログラム、コンピュータをそれぞれの手段として機能させるためのプログラム、コンピュータにそれぞれの機能を実現させるためのプログラム）、システム及び方法の説明をも兼ねている。ただし、説明の都合上、「記憶する」、「記憶させる」、これらと同等の文言を用いるが、これらの文言は、実施の形態がコンピュータ・プログラムの場合は、記憶装置に記憶させる、又は記憶装置に記憶させるように制御するという意味である。また、モジュールは機能に一対一に対応していてもよいが、実装においては、１モジュールを１プログラムで構成してもよいし、複数モジュールを１プログラムで構成してもよく、逆に１モジュールを複数プログラムで構成してもよい。また、複数モジュールは１コンピュータによって実行されてもよいし、分散又は並列環境におけるコンピュータによって１モジュールが複数コンピュータで実行されてもよい。なお、１つのモジュールに他のモジュールが含まれていてもよい。また、以下、「接続」とは物理的な接続の他、論理的な接続（データの授受、指示、データ間の参照関係、ログイン等）の場合にも用いる。「予め定められた」とは、対象としている処理の前に定まっていることをいい、本実施の形態による処理が始まる前はもちろんのこと、本実施の形態による処理が始まった後であっても、対象としている処理の前であれば、そのときの状況・状態にしたがって、又はそれまでの状況・状態にしたがって定まることの意を含めて用いる。「予め定められた値」が複数ある場合は、それぞれ異なった値であってもよいし、２以上の値（もちろんのことながら、全ての値も含む）が同じであってもよい。また、「Ａである場合、Ｂをする」という記載は、「Ａであるか否かを判断し、Ａであると判断した場合はＢをする」の意味で用いる。ただし、Ａであるか否かの判断が不要である場合を除く。また、「Ａ、Ｂ、Ｃ」等のように事物を列挙した場合は、断りがない限り例示列挙であり、その１つのみを選んでいる場合（例えば、Ａのみ）を含む。
また、システム又は装置とは、複数のコンピュータ、ハードウェア、装置等がネットワーク（一対一対応の通信接続を含む）等の通信手段で接続されて構成されるほか、１つのコンピュータ、ハードウェア、装置等によって実現される場合も含まれる。「装置」と「システム」とは、互いに同義の用語として用いる。もちろんのことながら、「システム」には、人為的な取り決めである社会的な「仕組み」（社会システム）にすぎないものは含まない。
また、各モジュールによる処理毎に又はモジュール内で複数の処理を行う場合はその処理毎に、対象となる情報を記憶装置から読み込み、その処理を行った後に、処理結果を記憶装置に書き出すものである。したがって、処理前の記憶装置からの読み込み、処理後の記憶装置への書き出しについては、説明を省略する場合がある。なお、ここでの記憶装置としては、ハードディスク、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、外部記憶媒体、通信回線を介した記憶装置、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）内のレジスタ等を含んでいてもよい。

本実施の形態である認証連携システムは、機器１３０がサービス提供装置１６０が提供するサービスを利用するにあたって、認証連携を行うものであって、図１の例に示すように、通信回線を介して接続されている認証連携装置１００、機器１３０、サービス提供装置１６０を有している。ここでの認証連携は、機器１３０で行われた認証が、サービス提供装置１６０が提供するサービスを利用するにあたっての認証として認められるものである。

また、認証連携装置１００と機器１３０は、ファイアウォール１９０内に設置されており、サービス提供装置１６０は、ファイアウォール１９０外に設置されている。具体例として、認証連携装置１００、機器１３０は社内のイントラネット（通信回線１９５ａの一例）で接続されており、サービス提供装置１６０は社外のインターネット（通信回線１９５ｂの一例）に接続されている場合が該当する。ファイアウォール１９０は、外部（この例では、通信回線１９５ｂ、サービス提供装置１６０等）からの不正なアクセスを、ファイアウォール１９０内の通信回線、機器等（この例では、通信回線１９５ａ、認証連携装置１００、機器１３０等）に侵入させないようにしている。したがって、認証連携装置１００又は機器１３０と、サービス提供装置１６０との間で通信を行うには、認証連携装置１００又は機器１３０から、サービス提供装置１６０に対して最初に通信（送信）を開始する必要があり（認証連携装置１００又は機器１３０からサービス提供装置１６０への通信が契機になることが通信の条件であり）、サービス提供装置１６０から認証連携装置１００又は機器１３０に対して最初に（いきなり）通信を開始することはできない。

認証連携装置１００は、通信モジュール１０５、設定モジュール１１０、認証連携モジュール１１５を有している。
通信モジュール１０５は、通信回線１９５ａを介して機器１３０の通信モジュール１３５と接続されており、通信回線１９５ｂを介してサービス提供装置１６０の通信モジュール１６５と接続されている。通信モジュール１０５は、機器１３０との通信、ファイアウォール１９０を介してサービス提供装置１６０との通信を行う。

設定モジュール１１０は、通信モジュール１０５を介して、サービス提供装置１６０に対して、機器１３０がそのサービス提供装置１６０にアクセスするための第１のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）と、ＩＤトークンをそのサービス提供装置１６０に渡すための第３のＵＲＬを要求する。なお、ＵＲＬの概念には、ＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を含むものとする。
そして、設定モジュール１１０は、通信モジュール１０５を介して、サービス提供装置１６０に対して、機器１３０が認証連携装置１００にアクセスするための第２のＵＲＬを送信する。
ここで、サービス提供装置１６０に対する要求と送信は、１回の通信で行ってもよい。つまり、第２のＵＲＬを送信することが、第１のＵＲＬと第３のＵＲＬの要求としてもよい。したがって、サービス提供装置１６０は、設定モジュール１１０から、第２のＵＲＬを受信した場合は、第１のＵＲＬと第３のＵＲＬの要求を受信したと解して、その第１のＵＲＬと第３のＵＲＬを送信してもよい。
さらに、要求においては、サービス提供装置１６０を識別する情報である識別情報、公開鍵方式における暗号鍵を要求してもよい。
そして、送信においては、さらに、公開鍵方式における署名鍵を送信してもよい。
ここで「公開鍵方式における」とは、鍵が公開鍵と秘密鍵に分けられている暗号化方式を用いることであり、もちろんのことながら、要求する暗号鍵は、暗号鍵の公開鍵であり、送信する署名鍵は、署名鍵の公開鍵である。
「ＩＤトークン」は、認証の結果得られるトークンである。
「第１のＵＲＬ」は、認証連携を開始するためのサービス提供装置１６０におけるＵＲＬである。
「第２のＵＲＬ」は、ＩＤトークンを発行するためのＵＲＬである。
「第３のＵＲＬ」は、認証連携装置１００が発行したＩＤトークンを受け渡すためのＵＲＬである。
また、設定モジュール１１０は、機器１３０に対して、その機器１３０がサービス提供装置１６０が提供するサービスを利用する場合に、その機器１３０が認証連携装置１００に対してアクセスするためのＵＲＬを設定する。
設定モジュール１１０の処理によって、機器１３０がサービス提供装置１６０の提供するサービスを利用する前に、認証連携装置１００は、第１のＵＲＬ、第３のＵＲＬを、サービス提供装置１６０から取得していることになる。

認証連携モジュール１１５は、機器１３０を介してのサービス提供装置１６０からのアクセスに対して、ＩＤトークンを発行し、そのＩＤトークンをサービス提供装置１６０の第３のＵＲＬに格納する。

機器１３０は、通信モジュール１３５、設定モジュール１４０、サービス利用処理モジュール１４５を有している。
通信モジュール１３５は、通信回線１９５ａを介して認証連携装置１００の通信モジュール１０５と接続されており、通信回線１９５ｂを介してサービス提供装置１６０の通信モジュール１６５と接続されている。通信モジュール１３５は、認証連携装置１００との通信、ファイアウォール１９０を介してサービス提供装置１６０との通信を行う。

設定モジュール１４０は、認証連携装置１００からの通信にしたがって、機器１３０がサービス提供装置１６０が提供するサービスを利用する場合に、その機器１３０が認証連携装置１００に対してアクセスするためのＵＲＬを設定する。
したがって、設定モジュール１４０の処理によって、機器１３０がサービス提供装置１６０の提供するサービスを利用する前に、機器１３０は、そのサービスを利用する場合に、認証連携装置１００に対してアクセスするためのＵＲＬを、認証連携装置１００から取得していることになる。
サービス利用処理モジュール１４５は、機器１３０がサービス提供装置１６０が提供するサービスを利用する場合は、通信モジュール１３５を介して、認証連携装置１００に対してアクセスし、第１のＵＲＬを取得する。
そして、サービス利用処理モジュール１４５は、第１のＵＲＬを用いて、サービス提供装置１６０にアクセスする。

サービス提供装置１６０は、通信モジュール１６５、設定モジュール１７０、サービス提供用認証モジュール１７５、サービス提供処理モジュール１８０を有している。
通信モジュール１６５は、通信回線１９５ｂを介して、認証連携装置１００の通信モジュール１０５、機器１３０の通信モジュール１３５と接続されている。通信モジュール１６５は、ファイアウォール１９０を介して認証連携装置１００、機器１３０との通信を行う。

設定モジュール１７０は、通信モジュール１６５を介して、認証連携装置１００からの要求に応じて、その認証連携装置１００に対して、機器１３０がサービス提供装置１６０にアクセスするための第１のＵＲＬと、ＩＤトークンをサービス提供装置１６０に渡すための第３のＵＲＬを送信する。
そして、設定モジュール１７０は、認証連携装置１００から、機器１３０が認証連携装置１００にアクセスするための第２のＵＲＬを受信する。これらの処理は、認証連携装置１００の設定モジュール１１０の処理に対応するものである。したがって、「第１のＵＲＬ」、「第２のＵＲＬ」、「第３のＵＲＬ」は、前述した通りである。
なお、前述したように、認証連携装置１００に対する要求と送信（サービス提供装置１６０に対する送信と要求に該当）は、１回の通信で行ってもよい。
設定モジュール１７０の処理によって、機器１３０がサービス提供装置１６０の提供するサービスを利用する前に、サービス提供装置１６０は、第２のＵＲＬを、認証連携装置１００から取得していることになる。

サービス提供用認証モジュール１７５は、機器１３０からのアクセスに応答して、機器１３０を介して、認証連携装置１００の第２のＵＲＬにアクセスする。
次に、サービス提供用認証モジュール１７５は、ＩＤトークンが発行されたことを確認し、機器１３０にサービス提供を開始するように、サービス提供処理モジュール１８０を制御する。
サービス提供処理モジュール１８０は、サービス提供用認証モジュール１７５の制御にしたがって（ＩＤトークンが発行されたことを確認された場合）、機器１３０にサービス提供を開始する。サービス提供処理モジュール１８０が、機器１３０に提供するサービスは、サービス提供処理モジュール１８０自身がそのサービスの処理を行ってもよいし、他の装置（後述するサービス装置２６５）が処理するサービスであってもよい。

図２は、本実施の形態を利用したシステム構成例を示す説明図である。
認証連携装置１００、機器１３０ａ、機器１３０ｂ、機器１３０ｃは、通信回線１９５ａを介してそれぞれ接続されている。
認証連携装置１００は、前述した連携認証の機能の他に、通信回線１９５ａに接続されている機器１３０の管理、機器１３０を利用するユーザーの管理等を行う。
機器１３０は、ユーザーが利用するものであって、例えば、パーソナルコンピュータ、複写機、ファックス、スキャナ、プリンタ、複合機（スキャナ、プリンタ、複写機、ファックス等のいずれか２つ以上の機能を有している画像処理装置）等がある。機器１３０を利用するには、機器１３０による認証が必要である。認証として、ユーザーＩＤ（ユーザー名、メールアドレス等を含む）とパスワードの組み合わせ、ＩＣカードの利用、指紋、虹彩、顔等の生体認証等がある。
ファイアウォール１９０は、前述したように、外部からの不正なアクセスを、ファイアウォール１９０内の通信回線、機器等に侵入させないようにしている。
通信回線１９５ａ、通信回線１９５ｂは、無線、有線、これらの組み合わせであってもよい。例えば、通信回線１９５ａとして、通信インフラとしてのインターネット等、通信回線１９５ｂとして、通信インフラとしてのイントラネット等であってもよい。
認証連携装置１００、機器１３０ａ、機器１３０ｂ、機器１３０ｃは、通信回線１９５ａ、ファイアウォール１９０、通信回線１９５ｂを介して、サービス提供装置１６０、サービスＤ装置２６５Ｄ、サービスＥ装置２６５Ｅと接続されている。

サービス提供装置１６０とサービスＡ装置２６５Ａ、サービスＢ装置２６５Ｂ、サービスＣ装置２６５Ｃは、通信回線を介して接続されている。サービス提供装置１６０は、認証連携装置１００等からの要求に応じて、サービスを提供する。ここでサービスとは、コンピュータ（コンピュータを内蔵している装置を含む）とソフトウェアが、利用者、他の機器、他のソフトウェア等に対して提供する機能群や働きのことをいう。また、文脈によっては、サービスは、そのサービスを提供するコンピュータ資源（コンピュータとソフトウェア）を指す。したがって、人間のみで提供するサービスは含まない。なお、サービスを提供するコンピュータは、１つであってもよいし、複数であってもよい。具体的には、サーバーと呼ばれるコンピュータであってもよいし、クラウド（サーバー群）等であってもよい。以下、サービスとしてクラウドサービスを例示して説明する。例えば、データセンター（文書共有を支援するクラウドサービス）、スキャナで読み込んだ文書を翻訳するクラウドサービス、移動先のプリンタからオンデマンドでプリントするクラウドサービス、スキャナで読み込んだレシートから経理処理を行うクラウドサービス等がある。サービス提供装置１６０は、これらのサービスそのものをサービス提供装置１６０自身が提供してもよいし、他の装置（サービス装置２６５）が提供するサービスのポータル（入り口）としての機能を有していてもよい。サービス提供装置１６０が提供するサービスの処理を行う他の装置として、サービス提供装置１６０に直接接続しているサービスＡ装置２６５Ａ、サービスＢ装置２６５Ｂ、サービスＣ装置２６５Ｃ等の他に、通信回線１９５ｂを介して接続されているサービスＤ装置２６５Ｄ、サービスＥ装置２６５Ｅ等であってもよい。

図３は、本実施の形態（主に、認証連携装置１００、サービス提供装置１６０）による処理例を示すフローチャートである。この処理例は、サービス提供装置１６０の提供するサービスを機器１３０が利用する前に行われる、認証連携装置１００とサービス提供装置１６０の設定処理である。
ステップＳ３０２では、認証連携装置１００は、サービス提供装置１６０に対して、設定情報の提供及び要求を行う。設定情報の提供として、認証連携装置１００はサービス提供装置１６０に提供情報テーブル４００ａ１を送信する。図４（ａ１）は、提供情報テーブル４００ａ１のデータ構造例を示す説明図である。提供情報テーブル４００ａ１は、認証エンドポイントＵＲＬ欄４１５を有している。認証エンドポイントＵＲＬ欄４１５は、認証エンドポイントＵＲＬ（第２のＵＲＬ）を記憶している。認証エンドポイントＵＲＬとは、ＩＤトークン発行用のＩＤである。設定情報の要求として、認証連携装置１００はサービス提供装置１６０に応答情報テーブル４５０ｂ１を要求する。図４（ｂ１）は、応答情報テーブル４５０ｂ１のデータ構造例を示す説明図である。応答情報テーブル４５０ｂ１は、ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ欄４６０、リダイレクトＵＲＬ欄４６５を有している。ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ欄４６０は、ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ（第１のＵＲＬ）を記憶する。リダイレクトＵＲＬ欄４６５は、リダイレクトＵＲＬ（第３のＵＲＬ）を記憶する。もちろんのことながら、ステップＳ３０２の時点では、応答情報テーブル４５０ｂ１内は空欄である。ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬとは、ＯＩＤＣ開始用のサービス提供装置１６０へのＵＲＬである。リダイレクトＵＲＬとは、発行したＩＤトークンの受け渡し用のＵＲＬである。

ステップＳ３０４では、サービス提供装置１６０は、ステップＳ３０２で受信した設定情報に基づく設定を行う。前述の提供情報テーブル４００ａ１をサービス提供装置１６０内に設定する。
ステップＳ３０６では、サービス提供装置１６０は、認証連携装置１００に対して、設定情報を提供する。サービス提供装置１６０は、前述の応答情報テーブル４５０ｂ１に値をセットして、認証連携装置１００に送信する。
ステップＳ３０８では、認証連携装置１００は、ステップＳ３０６で受信した設定情報に基づく設定を行う。前述の応答情報テーブル４５０ｂ１を認証連携装置１００内に設定する。

前述の提供情報テーブル４００ａ１を提供情報テーブル４００ａ２、応答情報テーブル４５０ｂ１を応答情報テーブル４５０ｂ２としてもよい。
図４（ａ２）は、提供情報テーブル４００ａ２のデータ構造例を示す説明図である。提供情報テーブル４００ａ２は、認証エンドポイントＵＲＬ欄４１５、署名鍵欄４２０を有している。認証エンドポイントＵＲＬ欄４１５は、認証エンドポイントＵＲＬを記憶している。署名鍵欄４２０は、署名鍵を記憶している。提供情報テーブル４００ａ２は、提供情報テーブル４００ａ１に署名鍵欄４２０を付加したものである。署名鍵とは、ＩＤトークン署名用公開鍵である。なお、署名は秘密鍵で行い、公開鍵で検証する。
図４（ｂ２）は、応答情報テーブル４５０ｂ２のデータ構造例を示す説明図である。
応答情報テーブル４５０ｂ２は、ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ欄４６０、リダイレクトＵＲＬ欄４６５、暗号鍵欄４７０を有している。ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ欄４６０は、ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬを記憶している。リダイレクトＵＲＬ欄４６５は、リダイレクトＵＲＬを記憶している。暗号鍵欄４７０は、暗号鍵を記憶している。応答情報テーブル４５０ｂ２は、応答情報テーブル４５０ｂ１に暗号鍵欄４７０を付加したものである。暗号鍵とは、ＩＤトークン暗号用公開鍵である。なお、公開鍵で暗号化し、秘密鍵で復号する。

さらに、前述の提供情報テーブル４００ａ１を提供情報テーブル４００ａ３、応答情報テーブル４５０ｂ１を応答情報テーブル４５０ｂ３としてもよい。
図４（ａ３）は、提供情報テーブル４００ａ３のデータ構造例を示す説明図である。
提供情報テーブル４００ａ３は、ｉｓｓｕｅｒ欄４０５、ｃｌｉｅｎｔ＿ｉｄ欄４１０、認証エンドポイントＵＲＬ欄４１５、署名鍵欄４２０、署名アルゴリズム欄４２５を有している。ｉｓｓｕｅｒ欄４０５は、ｉｓｓｕｅｒを記憶している。ｃｌｉｅｎｔ＿ｉｄ欄４１０は、本実施の形態において、クライアントを一意に識別するための情報（ｃｌｉｅｎｔ＿ｉｄ：ｉｄｅｎｔｉｆｉｃａｔｉｏｎ）を記憶している。認証エンドポイントＵＲＬ欄４１５は、認証エンドポイントＵＲＬを記憶している。署名鍵欄４２０は、署名鍵を記憶している。署名アルゴリズム欄４２５は、署名アルゴリズムを記憶している。提供情報テーブル４００ａ３は、提供情報テーブル４００ａ２にｉｓｓｕｅｒ欄４０５、ｃｌｉｅｎｔ＿ｉｄ欄４１０、署名アルゴリズム欄４２５を付加したものである。ｉｓｓｕｅｒとは、ＩＤトークン発行者（認証連携装置１００）のＩＤである。ｃｌｉｅｎｔ＿ｉｄとは、ＩＤトークン発行者（認証連携装置１００）がサービス提供装置１６０に割り振るＩＤである。暗号アルゴリズムとは、ＩＤトークン暗号用のアルゴリズムのリストである。
なお、暗号アルゴリズムは双方（認証連携装置１００、サービス提供装置１６０）が対応している（搭載している）必要があるため、次のようにして調停する。
・認証連携装置１００が、認証連携装置１００自身が使用可能な暗号アルゴリズムのリストを送信する。
・サービス提供装置１６０は受け取ったリストの中から、サービス提供装置１６０自身が使用可能な暗号アルゴリズムを一つ（ずつ）選択し、選択した暗号アルゴリズムを応答する。
なお、認証連携装置１００がサービス提供装置１６０（又は、サービス提供装置１６０が認証連携装置１００）に、一方的に使用する暗号アルゴリズムを伝えるようにしてもよい。
図４（ｂ３）は、応答情報テーブル４５０ｂ３のデータ構造例を示す説明図である。
応答情報テーブル４５０ｂ３は、プロバイダＩＤ欄４５５、ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ欄４６０、リダイレクトＵＲＬ欄４６５、暗号鍵欄４７０、暗号アルゴリズム欄４７５を有している。プロバイダＩＤ欄４５５は、本実施の形態において、プロバイダを一意に識別するための情報（プロバイダＩＤ）を記憶している。ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬ欄４６０は、ＯｐｅｎＩＤＣｏｎｎｅｃｔ開始ＵＲＬを記憶している。リダイレクトＵＲＬ欄４６５は、リダイレクトＵＲＬを記憶している。暗号鍵欄４７０は、暗号鍵を記憶している。暗号アルゴリズム欄４７５は、暗号アルゴリズムを記憶している。応答情報テーブル４５０ｂ３は、応答情報テーブル４５０ｂ２にプロバイダＩＤ欄４５５、暗号アルゴリズム欄４７５を付加したものである。プロバイダＩＤとは、サービス提供装置１６０が認証連携装置１００に割り振るＩＤである。署名アルゴリズムとは、ＩＤトークン署名用のアルゴリズムのリストである。
なお、署名アルゴリズムは双方（認証連携装置１００、サービス提供装置１６０）が対応している（搭載している）必要があるため、次のようにして調停する。
・認証連携装置１００が、認証連携装置１００自身が使用可能な署名アルゴリズムのリストを送信する。
・サービス提供装置１６０は受け取ったリストの中から、サービス提供装置１６０自身が使用可能な署名アルゴリズムを一つ（ずつ）選択し、選択した署名アルゴリズムを応答する。
なお、認証連携装置１００がサービス提供装置１６０（又は、サービス提供装置１６０が認証連携装置１００）に、一方的に使用する署名アルゴリズムを伝えるようにしてもよい。

図５は、本実施の形態（主に、認証連携装置１００、機器１３０）による処理例を示すフローチャートである。この処理例は、サービス提供装置１６０の提供するサービスを機器１３０が利用する前に行われる、認証連携装置１００の設定処理である。
ステップＳ５０２では、認証連携装置１００は、機器１３０に対して、設定情報を提供する。設定情報の提供として、認証連携装置１００は機器１３０に機器設定情報テーブル６００を送信する。図６は、機器設定情報テーブル６００のデータ構造例を示す説明図である。機器設定情報テーブル６００は、認証連携装置ＵＲＬ欄６０５を有している。認証連携装置ＵＲＬ欄６０５は、機器１３０が連携認証装置１００に対してアクセスするためのＵＲＬを記憶している。
ステップＳ５０４では、機器１３０は、設定情報に基づく設定を行う。前述の機器設定情報テーブル６００を機器１３０内に設定する。

図７は、本実施の形態（機器１３０、認証連携装置１００、サービス提供装置１６０、サービス装置２６５）による処理例を示すフローチャートである。
認証連携装置１００の管理対象となる機器１３０にログインすることで、機器１３０へのログインのみでサービス提供装置１６０へのログインは不要で、サービス装置２６５によるサービス（例えば、経理処理を行うクラウドサービス）の利用を可能とする。
認証連携装置１００及びサービス提供装置１６０への認証処理シーケンスを示すものである。なお、サービス提供装置１６０は、ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ仕様にしたがったフレームワーク上で動作するため、認証連携においてもＯｐｅｎＩＤ Ｃｏｎｎｅｃｔを前提とした処理となる。

ステップＳ７０２では、ユーザー７１０は、機器１３０に対して、カード認証／手打ち認証用のＩＣカードの読み込ませ／ユーザーＩＤとパスワードの組み合わせの打ち込みを行う。
ステップＳ７０４では、機器１３０は、認証連携装置１００に対して、認証を依頼する。もちろんのことながら、認証できない場合には、以下の処理は行われず、ユーザー７１０はサービス装置２６５によるサービスを利用することはできない。

ステップＳ７０６では、ユーザー７１０は、機器１３０に対して、サービス装置２６５によるサービスを利用するための操作を行う。
ステップＳ７０８では、機器１３０は、認証連携装置１００に対して、ＯＩＤＣ開始ＵＲＬ（第１のＵＲＬ）を要求し、取得する。

ステップＳ７１０では、機器１３０は、サービス提供装置１６０に対して、ＯＩＤＣ開始ＵＲＬへアクセスする。
ステップＳ７１２では、サービス提供装置１６０は、機器１３０を経由して（リダイレクト機能を用いて）、認証連携装置１００に対して、認可要求を行う。つまり、認証エンドポイントＵＲＬ（第２のＵＲＬ）へのアクセスを行う。そして、認証連携装置１００は、ＩＤトークンを発行し、そのＩＤトークンをリダイレクトＵＲＬ（第３のＵＲＬ）に格納する。

ステップＳ７１４では、認証連携装置１００は、機器１３０を経由して（リダイレクト機能を用いて）、サービス提供装置１６０に対して、ＩＤトークンの応答を行う。
ステップＳ７１６では、サービス提供装置１６０は、機器１３０に対して、サービス用のトークンを応答する。
ステップＳ７１８では、機器１３０は、サービス装置２６５に対して、サービス用のトークンを用いて、サービスの利用を開始する。

図８は、本実施の形態による処理例を示す説明図である。
認証連携装置１００におけるユーザーの管理とサービス提供装置１６０におけるユーザーの管理との対応例を示している。機器１３０のユーザー（つまり、認証連携装置１００が管理しているユーザー）は、サービス提供装置１６０によっても管理されている。ユーザーの管理は、木構造を用いている。認証連携装置１００に登録されているユーザーをユーザー反映機能によりサービス提供装置１６０へ登録することが可能である。認証連携の対象となったユーザーは、サービス提供装置１６０内では属性変更不可となり、認証連携装置１００側でのみ属性変更が可能となる。
例えば、認証連携装置１００では、２つのテナント（テナント８１０、テナント８２６）があり、そのテナントの下には、ユーザー（ユーザー８１２等）又はユーザーグループ（例えば、ユーザーグループ８１４等）があり、ユーザーグループの下にはユーザー（ユーザー８１６等）がある。一方、サービス提供装置１６０では、３つのテナント（テナント８４０、テナント８５０、テナント８５８）があり、そのテナントの下には、ユーザー（ユーザー８４２等）がある。
なお、サービス提供装置１６０ではユーザーグループを省略しているが、サービス提供装置１６０内にもユーザーグループを設けてもよい。また、ユーザーグループの下にさらにユーザーグループを設けてもよい。
なお、テナントとは、認証連携装置１００の所有者（会社等の法人を含む）とサービス提供装置１６０の所有者（会社等の法人を含む）との間に交わされた契約に対応し、サービス提供装置１６０が提供するユーザーグループの単位である。１つのテナントは、テナント管理者と一般ユーザーで構成され、サービス提供装置１６０からの招待メールを受け取って、テナントに参加したユーザーだけテナント（又は、サービス提供装置１６０）を利用できる。ただし、招待メールが発行されるきっかけは、テナント管理者が、認証連携装置１００上で管理されるデータを編集し、ユーザーをテナントに関連付けることである。

図９は、本実施の形態による処理例を示す説明図である。
イントラ内（ファイアウォール１９０内）に、アクティブ・ディレクトリー９１０、認証連携装置１００、機器１３０が設置されており、イントラ外（ファイアウォール１９０外）に、サービス提供装置１６０が設置されている。
アクティブ・ディレクトリー９１０（Ａｃｔｉｖｅ Ｄｉｒｅｃｔｏｒｙ（登録商標））は、例えば、社内のユーザー、パーソナルコンピュータを管理する。認証連携装置１００は、社内のユーザー、機器１３０を管理する。一般的には、認証連携装置１００より先にアクティブ・ディレクトリー９１０が導入されており、アクティブ・ディレクトリー９１０が管理しているユーザー数も認証連携装置１００が管理しているユーザーより多い。したがって、アクティブ・ディレクトリー９１０が管理しているユーザーを、認証連携装置１００にも反映させている。そして、認証連携装置１００のユーザーを、前述したようにサービス提供装置１６０にも反映させている。つまり、アクティブ・ディレクトリー９１０のユーザー情報を認証連携装置１００がサービス提供装置１６０に反映すると共に、前述の図３、図５の例による設定処理によって、認証連携装置１００とサービス提供装置１６０との間での信頼関係を構築する。つまり、ユーザー７１０が機器１３０ａで認証された場合は、サービス提供装置１６０におけるサービスをログインなしで（ユーザー７１０のログイン処理は、機器１３０ａでの１回だけで）利用できる環境を提供する。
これによって、認証連携装置１００の管理者による工数を削減している。顧客におけるアクティブ・ディレクトリー９１０の改修をせずに、認証連携装置１００がサービス提供装置１６０での認証へのアクティブ・ディレクトリー９１０のユーザー情報の同期（追加／更新／削除）を定期的に実施するため、管理者の工数を削減できる。さらに、認証連携装置１００の機器１３０の管理により、一括で機器１３０への設定を反映することができる。
また、操作性を向上させることができる。ユーザー７１０は機器１３０の認証のみで、サービス提供装置１６０のサービスを利用することができるようになる。

図１０は、従来技術による処理例を示す説明図である。本実施の形態（認証連携装置１００、機器１３０、サービス提供装置１６０）を用いない場合の例を示している。
イントラ内（ファイアウォール１９０内）に、アクティブ・ディレクトリー９１０、機器１０３０（図１０の例では複数）が設置されており、イントラ外（ファイアウォール１９０外）に、サービス提供装置１０６０が設置されている。
アクティブ・ディレクトリー９１０を利用している環境で、サービス提供装置１０６０が提供しているサービスを利用する場合、以下の状況となる。
ユーザー７１０は、サービス提供装置１０６０のサービスの利用時、機器１０３０とサービス提供装置１０６０が提供するサービスそれぞれで認証が必要となる。図１０の例では、サービスＡ連携、サービスＢ連携のそれぞれでログインが必要である。なお、初回のログイン時に機器１０３０のキャッシュ機能を使えば、次回以降ログインの手間が省ける。しかし、機器１０３０毎にキャッシュするため、別の機器１０３０ではログインが必要となり、ユーザー７１０の使い勝手は悪い。
図９の例に示したように、本実施の形態を用いた場合、ユーザー７１０は機器１３０の認証のみで、サービス提供装置１６０のサービスを利用することができるようになる。また、そのための環境を、認証連携装置１００がサービス提供装置１６０、機器１３０への設定によって構築している。

図１１以降の図を用いて、本実施の形態のさらなる詳細を示す実施例を説明する。
図１１～図１５の例を用いて、本実施例を説明するにあたって前提となる技術を説明する。
図１６～図２２の例を用いて、本実施例を説明する。

まず、証明書の概要について説明する。
証明書の目的について説明する。証明書は、署名検証や暗号処理に使用する公開鍵の身元を証明するものであり、ＰＫＩ（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ、公開鍵暗号基盤）の構成要素である。
証明書には、証明書テーブル１１００の情報が含まれる。図１１は、証明書テーブル１１００のデータ構造例を示す説明図である。証明書テーブル１１００は、名前欄１１１０、公開鍵欄１１１５、有効期間欄１１２０、発行者欄１１２５を有している。名前欄１１１０は、名前を記憶している。ここでの名前は、証明書の身元の名前である。公開鍵欄１１１５は、公開鍵を記憶している。ここでの公開鍵は、署名検証や暗号化に用いる鍵である。有効期間欄１１２０は、有効期間を記憶している。ここでの有効期間は、本証明書の有効期間である。発行者欄１１２５は、発行者を記憶している。ここでの発行者は、本証明書の発行者（本証明書の保証者）を示している。
証明書は認証局（ＣＡ：Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）が発行し、証明書の発行者にはその認証局の名前が記載される。
保証は、認証局の秘密鍵による署名で行われる。検証者は証明書に含まれる公開鍵で署名の正当性を検証する。

認証局も自身を保証する証明書があり、その証明書は他の認証局が発行する。このように証明書は保証の関係がチェーンのように連なる。これを証明書チェーンという。
図１２は、証明書チェーンの例を示す説明図である。
ルート証明書１２１０の保証者は自分自身となる（自己発行）。そのため、ルート証明書１２１０には社会的な信用が求められる。
中間ＣＡ証明書１２２０は、ルート証明書１２１０から発行（保証）される。中間ＣＡ証明書１２２０は、中間認証局の証明書である。
ＥＥ証明書１２３０（ＥｎｄＥｎｔｉｔｙ）は、中間ＣＡ証明書１２２０から発行（保証）される。ＥＥ証明書１２３０は、サービスを提供するサーバー（例えば、サービス提供装置１６０）など、特定の実態に発行される証明書であり、証明書チェーンの末端に位置する。
この例は３つの証明書（ルート証明書１２１０、中間ＣＡ証明書１２２０、ＥＥ証明書１２３０）からなるチェーンだが、チェーンを構成する数に制限はなく、４つ以上、２つ、又は、１つの場合もある。特に１つの場合は、自己署名証明書と呼ばれ、ＥｎｄＥｎｔｉｔｙとなるサーバー自身が発行する証明書などであり、主にテスト環境等で使用されるケースが多い。

次に、通信における証明書の利用について説明する。
秘匿通信のプロトコルとしてＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔｓ Ｌａｙｅｒ）／ＴＬＳ（Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）がある（現在は、ＴＬＳ１．２が主流である。以下ＳＳＬと記載する）。ＳＳＬでは通信確立時に、クライアントは「サーバー証明書検証」を行い、サーバーの身元を確認する。身元を確認できたら、証明書内の公開鍵を用いて、秘匿通信（通信内容を暗号化した通信）を行う。

ＳＳＬ通信の概要について、図１３の例を用いて説明する。なお、証明書のみについて簡略化している。なお、サーバー１３１０はサービス提供装置１６０、クライアント１３２０は認証連携装置１００、機器１３０に該当する。
通信相手の身元を確認できるように、予め信用できる各証明書を所持している。所持する証明書は必ずしもルート証明書である必要はなく、証明書の検証処理では、サーバーが提示する証明書チェーンのいずれかの証明書が、所持する証明書のいずれかを用いて検証できればよい。サーバー１３１０は、自身の証明書（ルート証明書Ａ１２１０Ａ、中間ＣＡ証明書１２２０、ＥＥ証明書１２３０）を所持しており、クライアント１３２０は、ルート証明書Ａ１２１０Ａ、ルート証明書Ｂ１２１０Ｂ、ルート証明書Ｃ１２１０Ｃを検証用に所持している。

ステップＳ１３０２では、クライアント１３２０がサーバー１３１０に対して、通信開始する。
ステップＳ１３０４では、サーバー１３１０がクライアント１３２０に対して、サーバー証明書を提示する。

ステップＳ１３０６では、クライアント１３２０が、ステップＳ１３０４で提示されたサーバー証明書の検証を行う。具体的には、以下の２つの処理を行う。
（１）証明書の身元確認
提示されたチェーンの中のいずれかの証明書が、検証用に所持する証明書と一致するかを確認する。つまり、証明書の公開鍵を用いて署名を検証する。
（２）ＥＥ証明書の名前の確認
ＥＥ証明書の名前が通信開示時に指定した通信先の名前（ＩＰアドレスやＦＱＤＮ（サイト名））と一致することを確認する。

ステップＳ１３０８では、クライアント１３２０がサーバー１３１０に対して、秘匿通信を開始する。クライアント１３２０は、証明書の公開鍵を用いてデータを暗号化して送信する。サーバー１３１０は、受信した暗号化データを、秘密鍵を用いて復号する。

次に、フェデレーションについて説明する。
それぞれがユーザー管理（ユーザーデータの管理、認証、認可の実現）を持つシステム間（例えば、認証連携装置１００とサービス提供装置１６０）で、認証や認可の連携を実現する仕組みを、フェデレーションと呼ぶ。
フェデレーションにより、ＳＳＯ（Ｓｉｎｇｌｅ Ｓｉｇｎ－Ｏｎ、シングルサインオン）を実現する。
なお、狭義のＳＳＯは、単一のシステム内の各サーバー（サービス提供サーバー）へのアクセスを、高々１回の認証（ログイン）処理になるように実現することを指す。
狭義のＳＳＯでは、ユーザー管理や認証処理を一元化し、認証結果をサーバー間で共有することで実現する。
一方、フェデレーションは主に、狭義のＳＳＯのような一元化を実現することが困難な、大きなシステム間で連携を実現する方式を指す。

図１４は、連携認証処理例の概要を示す説明図である。
フェデレーションは、大きく、
（１）信頼関係の構築（ステップＳ１４０２に相当）
（２）ユーザーデータの同期（プロビジョニング：Ｐｒｏｖｉｓｉｏｎｉｎｇ）（ステップＳ１４０４に相当）
を事前に行い、それにより、
（３）認証処理の委譲（システムＢへの認証をシステムＡが代行）（ステップＳ１４０６に相当）
が実現される。

ステップＳ１４０２では、システムＢ１４２０がシステムＡ１４１０を信頼するための信頼関係の構築を行う。信頼関係の構築は、予め、署名や暗号化のための公開鍵や、ステップＳ１４０６で用いるプロトコルで連携するための互いのアクセスポイント（ＵＲＬ）等の情報を交換しあうことで、信頼関係を構築する。
ステップＳ１４０４では、システムＡ１４１０がシステムＢ１４２０に対して、ユーザーデータの同期（プロビジョニング）を行う。つまり、システムＡ１４１０が管理しているユーザーデータＡ１４１５Ａと、システムＢ１４２０が管理しているユーザーデータＢ１４２５Ｂを同期させる。
ステップＳ１４０６では、システムＢ１４２０がシステムＡ１４１０に対して、認証処理の委譲を行う。認証処理の委譲では、ＳＡＭＬ、ＯＩＤＣ（ＯｐｅｎＩＤ Ｃｏｎｎｅｃｔ）といったプロトコルが使われる。

図１５は、従来技術による処理例（本実施例を用いない処理例）を示す説明図である。一般的な認証連携の手順を示すものである。
認証連携装置１５００、アクティブ・ディレクトリー１５１０、機器１５３０が、通信回線を介して接続されている。機器１５３０、サービス提供装置１５６０が、通信回線を介して接続されている。機器１５３０とサービス提供装置１５６０間には、ファイアウォールがある。
ステップＳ１５０２では、機器１５３０のパネル（表示画面の一例）上で、ユーザーが機器１５３０にログインすると、認証連携装置１５００に認証要求を行う。
認証連携装置１５００がアクティブ・ディレクトリー１５１０と連携している場合は、ステップＳ１５０４で、認証処理をさらにアクティブ・ディレクトリー１５１０に要求する。
ステップＳ１５０２又はステップＳ１５０４で認証が成功したら、認証結果を機器１５３０に返す。

ステップＳ１５０６では、機器１５３０は、サービス提供装置１５６０にアクセスする。前回のステップ１５１２で受け取ったＯＡｕｔｈトークン１５３５がある場合、それを提示する。その場合、ステップＳ１５０８、ステップＳ１５１０は省略され、ステップＳ１５１２に進む。

ステップＳ１５０８では、サービス提供装置１５６０は機器１５３０にログイン画面を返す。
ステップＳ１５１０では、ユーザーが入力したログイン情報をサービス提供装置１５６０に渡す。
ステップＳ１５１２では、サービス提供装置１５６０は受け取ったログイン情報（又は、ステップＳ１５０６でＯＡｕｔｈトークン１５３５を受け取った場合は、そのＯＡｕｔｈトークン１５３５）を検証し、サービス用の画面情報を機器１５３０に返す。この時、サービスアクセス用のチケット（ＯＡｕｔｈトークン１５３５）も返却する。
なお、ステップＳ１５１２で受け取ったＯＡｕｔｈトークン１５３５は、機器１５３０にキャッシュされる。有効期間が切れるまでは、以後このトークンを提示することで、ログイン操作はスキップされる。

図１６は、本実施例による処理例を示す説明図である。図７の例に示したフローチャートによる処理例に相当する。
認証連携装置１６００、アクティブ・ディレクトリー１６１０、機器１６３０が、通信回線を介して接続されている。機器１６３０、サービス提供装置１６６０が、通信回線を介して接続されている。機器１６３０とサービス提供装置１６６０間には、ファイアウォールがある。

アクティブ・ディレクトリー１６１０は、イントラネット内のユーザーを管理するサーバーである。なお、必須構成要素ではない。
認証連携装置１６００（認証連携装置１００に相当）は、アクティブ・ディレクトリー１６１０やサービス提供装置１６６０との間で認証連携を実現するサーバーである。ユーザー管理サーバーを兼ねることもできる。特に、認証連携装置１６００は、ユーザー管理の他、機器１６３０の管理も担う。例えば、機器１６３０の各種設定や連携を行う。

機器１６３０（機器１３０に相当）は、顧客のイントラネットに配置され、認証連携装置１６００に管理される機器である。例えば、複合機がある。また、機器１６３０は、複数あってもよい。
サービス提供装置１６６０（サービス提供装置１６０に相当）は、クラウドサービスを行う。認証を統括するプラットフォームである認証基盤や、各サービスを提供するサービス提供サービス等を担う。

ステップＳ１６０２では、機器１６３０のパネル上で、ユーザーが機器１６３０にログインすると、認証連携装置１６００に認証要求を行う。
認証連携装置１６００がアクティブ・ディレクトリー１６１０と連携している場合は、ステップＳ１６０４で、認証処理をさらにアクティブ・ディレクトリー１６１０に要求する。
ステップＳ１６０２又はステップＳ１６０４で認証が成功したら、認証情報をＣｏｏｋｉｅとして、ステップＳ１６０６で用いるＵＲＬとともに機器１６３０に返す。

ステップＳ１６０６では、機器１６３０は、ステップＳ１６０２又はステップＳ１６０４で受け取ったＵＲＬ（サービス提供装置１６６０）にアクセスする。
前回のステップＳ１６１４で受け取ったＯＡｕｔｈトークン１６３５がある場合、それを提示（機器１６３０がサービス提供装置１６６０にＯＡｕｔｈトークン１６３５を送信）する。その場合、ステップＳ１６０８～ステップＳ１６１２は省略され、ステップＳ１６１４に進む。

ステップＳ１６０８では、サービス提供装置１６６０は、機器１６３０にログイン画面を返す代わりに、認証連携装置１６００の認証用ＵＲＬ（ステップＳ１６１０）へのリダイレクトを応答する。
ステップＳ１６１０では、リダイレクトを受けた機器１６３０は、認証連携装置１６００へリダイレクトの通信を行う。この場合、ステップＳ１６０２の応答で返却された認証情報（Ｃｏｏｋｉｅ）を付与して通信する。

ステップＳ１６１２では、認証連携装置１６００は、ステップＳ１６０８で受け取った認証情報（Ｃｏｏｋｉｅ）を元に、ログインユーザーの情報を記載したＩＤトークン１６０５を生成し、そのＩＤトークン１６０５に署名と暗号を施し、サービス提供装置１６６０へのリダイレクトを応答する。応答を受けた機器１６３０は、ＩＤトークン１６０５をサービス提供装置１６６０に渡す。

ステップＳ１６１４では、サービス提供装置１６６０は受け取ったＩＤトークン１６０５を確認（復号と署名の検証）し（又は、ステップＳ１６０６でＯＡｕｔｈトークン１６３５を受け取った場合は、それを検証し）、サービス用の画面情報を機器１６３０に返す。この時、サービスアクセス用のチケット（ＯＡｕｔｈトークン１６３５）も返却する。
なお、ステップＳ１６１４で受け取ったＯＡｕｔｈトークン１６３５は、機器１６３０にキャッシュされる。有効期間が切れるまでは、以後このトークンを提示することで、ステップＳ１６０８～ステップＳ１６１２のステップは省略される。

図１７は、本実施例による機器１６３０の提示例を示す説明図である。
機器１６３０のパネルに画面１７００を表示する。
図１７（ａ）の例は、機器１６３０へのログイン画面を示している。画面１７００ＡにユーザーＩＤ欄１７０５、パスワード欄１７１０を表示する。
ステップＳ１７０２では、機器１６３０は、ユーザーＩＤ、パスワードを受け付けて、ログイン処理する。

図１７（ｂ）の例は、機器１６３０でのログイン後のトップ画面を示している。画面１７００Ｂにコピーボタン１７１５、プリントボタン１７２０、サービスＡボタン１７２５、サービスＢボタン１７３０を表示する。
ステップＳ１７０４では、コピーやプリントなどの機器１６３０単体の機能（コピーボタン１７１５、プリントボタン１７２０）や、サービス提供装置１６６０が提供する各サービスと連携する機能（サービスＡボタン１７２５、サービスＢボタン１７３０）を実行するための、各種ボタンを配置表示する。

本実施例における認証連携では、全ての機器１６３０において、常にサービスへのログイン画面（画面１７００Ｃ）がスキップされる。つまり、ステップＳ１７０６を経ずに、ステップＳ１７０８に進む。
なお、従来のＯＡｕｔｈ連携（図１５に示した処理例）では、機器１５３０毎に２回目以降のサービス利用では（ＯＡｕｔｈトークンの有効期限が切れるまでは）、サービスへのログイン画面（画面１７００Ｃ）がスキップされる。

図１７（ｃ）の例は、サービス提供装置１６６０が提供するサービスへのログイン画面を示している。画面１７００ＣにサービスＡにおけるユーザーＩＤ欄１７３５、サービスＡにおけるパスワード欄１７４０を表示する。
ステップＳ１７０６では、サービス用のボタン（例えば、サービスＡボタン１７２５）が押されると、サービスＡへのログイン画面を表示する。
なお、従来のＯＡｕｔｈ連携（図１５に示した処理例）では、機器１５３０毎に最初の１回（及びトークンの有効期限が切れた後）は、サービスへのログイン操作（ステップＳ１７０６の処理）が必要になる。

図１７（ｄ）の例は、サービス提供装置１６６０が提供するサービスログイン後のトップ画面を示している。画面１７００ＤにサービスＡのトップ画面１７４５を表示する。
ステップＳ１７０８では、サービスＡ用の画面を表示する。

図１８は、本実施例による処理例を示す説明図である。認証連携装置１６００、アクティブ・ディレクトリー１６１０、機器１６３０、サービス提供装置１６６０間の処理例を示している。
構築手順として、次の３つがある。
（１）認証連携装置１６００と機器１６３０との間での信頼関係を構築する。図１９の例を用いて後述する。
（２）認証連携装置１６００（又はアクティブ・ディレクトリー１６１０）が管理するユーザー情報を、サービス提供装置１６６０に同期させる。
（３）認証連携装置１６００が機器１６３０に設定する。図２０の例を用いて後述する。

ステップＳ１８０２では、認証連携装置１６００とサービス提供装置１６６０は、互いに公開鍵とＵＲＬ１８０５等の情報を交換する。
認証連携装置１６００がアクティブ・ディレクトリー１６１０と連携している場合は、ステップＳ１８０４で、アクティブ・ディレクトリー１６１０のユーザーデータ１８１０を認証連携装置１６００のユーザーデータ１８１５としてコピーする。
ステップＳ１８０６では、認証連携装置１６００のユーザーデータ１８１５をサービス提供装置１６６０に同期する。サービス提供装置１６６０はユーザーデータ１８２０を得る。
ステップＳ１８０８では、認証連携装置１６００が機器１６３０に設定を行う。ＵＲＬ（機器設定情報テーブル６００）と認証連携装置１６００の証明書を設定する。

図１９は、信頼関係構築情報テーブル１９００のデータ構造例を示す説明図である。
信頼関係の構築例を示すものである。認証連携装置１６００からサービス提供装置１６６０への１回の通信で、信頼関係を構築する。例えば、信頼関係構築情報テーブル１９００にしたがって、情報の交換処理を行う。
信頼関係構築情報テーブル１９００の例に示すように、通信の上り（認証連携装置１６００からサービス提供装置１６６０への通信）で、認証連携装置１６００からの情報を提供し、通信の下り（サービス提供装置１６６０から認証連携装置１６００への通信）で、サービス提供装置１６６０からの情報を入手する。

具体的には、信頼関係構築情報テーブル１９００は、項目１９１０、通信の上り１９２０、通信の下り１９３０を有している。そして、各行にプロバイダＩＤ１９５２、連携開始ＵＲＬ１９５４、認証用ＵＲＬ１９５６、ＩＤトークン応答ＵＲＬ１９５８、署名検証用公開鍵１９６０、暗号用公開鍵１９６２を有している。
プロバイダＩＤ１９５２は、サービス提供装置１６６０が認証連携装置１６００に割り当てた識別情報（ＩＤ）であり、通信の下り１９３０でサービス提供装置１６６０から認証連携装置１６００に渡される。
連携開始ＵＲＬ１９５４は、図１６の例で示したステップ１６０６で用いるＵＲＬであり、通信の下り１９３０でサービス提供装置１６６０から認証連携装置１６００に渡される。
認証用ＵＲＬ１９５６は、図１６の例で示したステップ１６１０で用いるＵＲＬであり、通信の上り１９２０で認証連携装置１６００からサービス提供装置１６６０に渡される。
ＩＤトークン応答ＵＲＬ１９５８は、図１６の例で示したステップ１６１２で用いるＵＲＬであり、通信の下り１９３０でサービス提供装置１６６０から認証連携装置１６００に渡される。
署名検証用公開鍵１９６０は、サービス提供装置１６６０は、この署名検証用公開鍵１９６０を用いて署名を検証する。つまり、認証連携装置１６００は、自身の秘密鍵で署名しているからである。通信の上り１９２０で認証連携装置１６００からサービス提供装置１６６０に渡される。
暗号用公開鍵１９６２は、認証連携装置１６００は、この暗号用公開鍵１９６２を用いて暗号化する。つまり、サービス提供装置１６６０は、自身の秘密鍵で復号するからである。通信の下り１９３０でサービス提供装置１６６０から認証連携装置１６００に渡される。

次に、認証連携装置１６００が行う、機器１６３０への設定処理を示す。
図２０は、認証連携装置１６００でのＳＳＬ運用形態例を示す説明図である。図２１は、ＳＳＬ運用形態と証明書との関係例を示す説明図である。図２２は、非ＳＳＬモードにおける証明書の発行処理例を示す説明図である。
認証連携装置１６００は機器１６３０に、次の２つを設定する。
（１）開始ＵＲＬ。つまり、図１６の例で示したステップＳ１６０２で機器１６３０が認証連携装置１６００にアクセスするＵＲＬである。
（２）認証連携装置１６００の証明書。

証明書の設定について、認証連携装置１５００（従来の認証連携装置）のＳＳＬ運用形態は、図２０の例に示すＳＳＬ運用形態テーブル２０００のようになっている。
ＳＳＬ運用形態として「非ＳＳＬモード」である場合、認証連携装置１６００外部の通信をＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）で行う。なお、ＨＴＴＰは、秘匿通信を行わない。
ＳＳＬ運用形態として「ＳＳＬモード」である場合、認証連携装置１６００外部の通信をＨＴＴＰＳ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ Ｓｅｃｕｒｅ）で行う。なお、ＨＴＴＰＳは、秘匿通信を行う。
認証連携装置１５００は、顧客のイントラネット内で運用されるため、その顧客の判断で、非ＳＳＬで運用する形態を用意している。
これは、ＳＳＬモードで運用するためには、第三者機関による証明書の発行や、認証連携装置１５００や機器１５３０への各種設定が必要であり、構築のためには高度な知識と設定負担が必要になるためである。
しかし、本実施例（認証連携装置１６００）における認証連携では、インターネット上のサービス提供装置１６６０と連携するため、たとえ非ＳＳＬモードであっても、認証連携装置１６００とサービス提供装置１６６０間の通信では、セキュリティ上の観点から秘匿通信が強く求められる。

そこで、例えば、図２１に示すＳＳＬ運用形態と証明書の関係テーブル２１００にしたがって、ＳＳＬ運用形態に応じて、証明書の設定処理を行う。
ＳＳＬ運用形態として「非ＳＳＬモード」である場合、認証連携装置１６００の証明書として「自己ＣＡ証明書２２１０」を用い、その発行者は「認証連携装置１６００自身」であり、認証連携装置１６００への設定は「不要」である。
ＳＳＬ運用形態として「ＳＳＬモード」である場合、認証連携装置１６００の証明書として「第三者機関発行の証明書」を用い、その発行者は「第三者機関」であり、認証連携装置１６００への設定は「顧客が設定」することになる。
そして、非ＳＳＬモードにおける証明書は、図２２の例に示すように、自己ＣＡ証明書２２１０は、認証連携装置１６００自身が自己発行したものであり、自己ＣＡ証明書２２１０を用いて、サービス提供装置証明書２２２０を発行（署名）する。
つまり、認証連携装置１６００が認証局となり、自身用の自己ＣＡ証明書２２１０（サーバー証明書）を発行する。顧客には、認証連携装置１６００を信用してもらうことになる。
認証連携装置１６００が発行した認証局用の証明書（自己ＣＡ証明書２２１０）を機器１６３０に登録する。機器１６３０は、認証連携装置１６００と通信する際に、この証明書（自己ＣＡ証明書２２１０）を用いて、認証連携装置１６００の正当性を検証する。
自己ＣＡ証明書２２１０を機器１６３０に登録することで、認証連携装置１６００の名前（ＩＰアドレスやＦＱＤＮ（サイト名））が変わっても、機器１６３０への再設定が不要となる。

図２３を参照して、本実施の形態（又は実施例）の認証連携装置１００、機器１３０、サービス提供装置１６０、認証連携装置１６００、機器１６３０、サービス提供装置１６６０のハードウェア構成例について説明する。図２３に示す構成は、例えばパーソナルコンピュータ（ＰＣ）等によって構成されるものであり、スキャナ等のデータ読み取り部２３１７と、プリンタ等のデータ出力部２３１８を備えたハードウェア構成例を示している。

ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）２３０１は、前述の実施の形態において説明した各種のモジュール、すなわち、通信モジュール１０５、設定モジュール１１０、認証連携モジュール１１５、通信モジュール１３５、設定モジュール１４０、サービス利用処理モジュール１４５、通信モジュール１６５、設定モジュール１７０、サービス提供用認証モジュール１７５、サービス提供処理モジュール１８０等の各モジュールの実行シーケンスを記述したコンピュータ・プログラムにしたがった処理を実行する制御部である。

ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）２３０２は、ＣＰＵ２３０１が使用するプログラムや演算パラメータ等を格納する。ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）２３０３は、ＣＰＵ２３０１の実行において使用するプログラムや、その実行において適宜変化するパラメータ等を格納する。これらはＣＰＵバス等から構成されるホストバス２３０４により相互に接続されている。

ホストバス２３０４は、ブリッジ２３０５を介して、ＰＣＩ（Ｐｅｒｉｐｈｅｒａｌ Ｃｏｍｐｏｎｅｎｔ Ｉｎｔｅｒｃｏｎｎｅｃｔ／Ｉｎｔｅｒｆａｃｅ）バス等の外部バス２３０６に接続されている。

キーボード２３０８、マウス等のポインティングデバイス２３０９は、操作者により操作されるデバイスである。ディスプレイ２３１０は、液晶表示装置又はＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）等があり、各種情報をテキストやイメージ情報として表示する。また、ポインティングデバイス２３０９とディスプレイ２３１０の両方の機能を備えているタッチスクリーン等であってもよい。その場合、キーボードの機能の実現について、キーボード２３０８のように物理的に接続しなくても、画面（タッチスクリーン）上にソフトウェアでキーボード（いわゆるソフトウェアキーボード、スクリーンキーボード等ともいわれる）を描画して、キーボードの機能を実現するようにしてもよい。

ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）２３１１は、ハードディスク（フラッシュ・メモリ等であってもよい）を内蔵し、ハードディスクを駆動し、ＣＰＵ２３０１によって実行するプログラムや情報を記録又は再生させる。ハードディスクには、提供情報テーブル４００、応答情報テーブル４５０、機器設定情報テーブル６００等が格納される。さらに、その他の各種データ、各種コンピュータ・プログラム等が格納される。

ドライブ２３１２は、装着されている磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体２３１３に記録されているデータ又はプログラムを読み出して、そのデータ又はプログラムを、インタフェース２３０７、外部バス２３０６、ブリッジ２３０５、及びホストバス２３０４を介して接続されているＲＡＭ２３０３に供給する。なお、リムーバブル記録媒体２３１３も、データ記録領域として利用可能である。

接続ポート２３１４は、外部接続機器２３１５を接続するポートであり、ＵＳＢ、ＩＥＥＥ１３９４等の接続部を持つ。接続ポート２３１４は、インタフェース２３０７、及び外部バス２３０６、ブリッジ２３０５、ホストバス２３０４等を介してＣＰＵ２３０１等に接続されている。通信部２３１６は、通信回線に接続され、外部とのデータ通信処理を実行する。データ読み取り部２３１７は、例えばスキャナであり、ドキュメントの読み取り処理を実行する。データ出力部２３１８は、例えばプリンタであり、ドキュメントデータの出力処理を実行する。

なお、図２３に示すハードウェア構成は、１つの構成例を示すものであり、本実施の形態は、図２３に示す構成に限らず、本実施の形態において説明したモジュールを実行可能な構成であればよい。例えば、一部のモジュールを専用のハードウェア（例えば特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ：ＡＳＩＣ）等）で構成してもよく、一部のモジュールは外部のシステム内にあり通信回線で接続している形態でもよく、さらに図２３に示すシステムが複数互いに通信回線によって接続されていて互いに協調動作するようにしてもよい。また、特に、パーソナルコンピュータの他、携帯情報通信機器（携帯電話、スマートフォン、モバイル機器、ウェアラブルコンピュータ等を含む）、情報家電、ロボット、複写機、ファックス、スキャナ、プリンタ、複合機などに組み込まれていてもよい。

なお、説明したプログラムについては、記録媒体に格納して提供してもよく、また、そのプログラムを通信手段によって提供してもよい。その場合、例えば、前記説明したプログラムについて、「プログラムを記録したコンピュータ読み取り可能な記録媒体」の発明として捉えてもよい。
「プログラムを記録したコンピュータ読み取り可能な記録媒体」とは、プログラムのインストール、実行、プログラムの流通等のために用いられる、プログラムが記録されたコンピュータで読み取り可能な記録媒体をいう。
なお、記録媒体としては、例えば、デジタル・バーサタイル・ディスク（ＤＶＤ）であって、ＤＶＤフォーラムで策定された規格である「ＤＶＤ－Ｒ、ＤＶＤ－ＲＷ、ＤＶＤ－ＲＡＭ等」、ＤＶＤ＋ＲＷで策定された規格である「ＤＶＤ＋Ｒ、ＤＶＤ＋ＲＷ等」、コンパクトディスク（ＣＤ）であって、読出し専用メモリ（ＣＤ－ＲＯＭ）、ＣＤレコーダブル（ＣＤ－Ｒ）、ＣＤリライタブル（ＣＤ－ＲＷ）等、ブルーレイ・ディスク（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、光磁気ディスク（ＭＯ）、フレキシブルディスク（ＦＤ）、磁気テープ、ハードディスク、読出し専用メモリ（ＲＯＭ）、電気的消去及び書換可能な読出し専用メモリ（ＥＥＰＲＯＭ（登録商標））、フラッシュ・メモリ、ランダム・アクセス・メモリ（ＲＡＭ）、ＳＤ（Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌ）メモリーカード等が含まれる。
そして、前記のプログラムの全体又はその一部は、前記記録媒体に記録して保存や流通等させてもよい。また、通信によって、例えば、ローカル・エリア・ネットワーク（ＬＡＮ）、メトロポリタン・エリア・ネットワーク（ＭＡＮ）、ワイド・エリア・ネットワーク（ＷＡＮ）、インターネット、イントラネット、エクストラネット等に用いられる有線ネットワーク、又は無線通信ネットワーク、さらにこれらの組み合わせ等の伝送媒体を用いて伝送させてもよく、また、搬送波に乗せて搬送させてもよい。
さらに、前記のプログラムは、他のプログラムの一部分若しくは全部であってもよく、又は別個のプログラムと共に記録媒体に記録されていてもよい。また、複数の記録媒体に分割して記録されていてもよい。また、圧縮や暗号化等、復元可能であればどのような態様で記録されていてもよい。

前述の実施の形態は以下のように把握してもよい。
例えば、課題として以下のものがある。
ユーザーが機器を利用する場合は、認証を必要とする機器がある。そして、その機器から他のサービス提供装置が提供するサービスを利用しようとした場合にも、サービス提供装置におけるユーザーの認証が必要であるものがある。そこで、機器における認証とサービス提供装置における認証を連携させて、機器における認証が完了したことによって、サービス提供装置が提供するサービスを利用できるようにしている。ただし、その認証連携を行うためには、管理者が種々の設定を行う必要がある。
本発明は、機器とサービス提供装置における認証連携を行うための設定ができる認証連携装置、サービス提供装置、認証連携システム及び情報処理プログラムを提供することを目的としている。

［Ａ１］
サービス提供装置に対して、機器が該サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを該サービス提供装置に渡すための第３のＵＲＬを要求する要求手段と、
前記サービス提供装置に対して、前記機器が本認証連携装置にアクセスするための第２のＵＲＬを送信する送信手段
を有する認証連携装置。
［Ａ２］
前記認証連携装置と前記機器は、ファイアウォール内に設置されており、
前記サービス提供装置は、前記ファイアウォール外に設置されている、
［Ａ１］に記載の認証連携装置。
［Ａ３］
前記第１のＵＲＬは、認証連携を開始するためのサービス提供装置におけるＵＲＬである、
［Ａ２］に記載の認証連携装置。
［Ａ４］
前記第２のＵＲＬは、ＩＤトークンを発行するためのＵＲＬである、
［Ａ２］に記載の認証連携装置。
［Ａ５］
前記第３のＵＲＬは、前記認証連携装置が発行したＩＤトークンを受け渡すためのＵＲＬである、
［Ａ２］に記載の認証連携装置。
［Ａ６］
認証連携装置からの要求に応じて、該認証連携装置に対して、機器が本サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを本サービス提供装置に渡すための第３のＵＲＬを送信する送信手段と、
該認証連携装置から、前記機器が前記認証連携装置にアクセスするための第２のＵＲＬを受信する受信手段
を有するサービス提供装置。
［Ａ７］
前記認証連携装置と前記機器は、ファイアウォール内に設置されており、
前記サービス提供装置は、前記ファイアウォール外に設置されている、
［Ａ６］に記載のサービス提供装置。
［Ａ８］
前記第１のＵＲＬは、認証連携を開始するための前記サービス提供装置におけるＵＲＬである、
［Ａ７］に記載のサービス提供装置。
［Ａ９］
前記第２のＵＲＬは、ＩＤトークンを発行するためのＵＲＬである、
［Ａ７］に記載のサービス提供装置。
［Ａ１０］
前記第３のＵＲＬは、前記認証連携装置が発行したＩＤトークンを本サービス提供装置に受け渡すためのＵＲＬである、
［Ａ７］に記載のサービス提供装置。
［Ａ１１］
機器に対して、該機器がサービス提供装置が提供するサービスを利用する場合に、該機器が本認証連携装置に対してアクセスするためのＵＲＬを設定する設定手段、
を有する認証連携装置。
［Ａ１２］
機器と［Ａ１］に記載の認証連携装置が通信可能に接続されており、該機器と［Ａ６］に記載のサービス提供装置が通信可能に接続されており、
前記機器が前記サービス提供装置が提供するサービスを利用する場合は、該機器が前記認証連携装置に対してアクセスし、第１のＵＲＬを取得し、
前記機器は、前記第１のＵＲＬを用いて、前記サービス提供装置にアクセスし、
前記サービス提供装置は、前記機器を介して、前記認証連携装置の第２のＵＲＬにアクセスし、
前記認証連携装置は、ＩＤトークンを発行し、該ＩＤトークンを前記サービス提供装置の第３のＵＲＬに格納し、
前記サービス提供装置は、前記ＩＤトークンが発行されたことを確認し、前記機器にサービス提供を開始し、
前記認証連携装置は、前記第１のＵＲＬ、前記第３のＵＲＬを、前記サービス提供装置から取得しており、
前記サービス提供装置は、前記第２のＵＲＬを前記認証連携装置から取得している、
認証連携システム。
［Ａ１３］
前記認証連携装置と前記機器は、ファイアウォール内に設置されており、
前記サービス提供装置は、前記ファイアウォール外に設置されている、
［Ａ１２］に記載の認証連携システム。
［Ａ１４］
認証連携装置であるコンピュータを、
サービス提供装置に対して、機器が該サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを該サービス提供装置に渡すための第３のＵＲＬを要求する要求手段と、
前記サービス提供装置に対して、前記機器が前記認証連携装置にアクセスするための第２のＵＲＬを送信する送信手段
として機能させるための情報処理プログラム。
［Ａ１５］
サービス提供装置であるコンピュータを、
認証連携装置からの要求に応じて、該認証連携装置に対して、機器が前記サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを前記サービス提供装置に渡すための第３のＵＲＬを送信する送信手段と、
該認証連携装置から、前記機器が前記認証連携装置にアクセスするための第２のＵＲＬを受信する受信手段
として機能させるための情報処理プログラム。
［Ａ１６］
認証連携装置であるコンピュータを、
機器に対して、該機器がサービス提供装置が提供するサービスを利用する場合に、該機器が前記認証連携装置に対してアクセスするためのＵＲＬを設定する設定手段、
として機能させるための情報処理プログラム。

そして、前述の発明は、以下の効果を有する。
［Ａ１］の認証連携装置によれば、機器とサービス提供装置における認証連携を行うための設定ができる。
［Ａ２］の認証連携装置によれば、ファイアウォール内に認証連携装置と機器が設置されており、ファイアウォール外にサービス提供装置が設置されている場合でも対応することができる。
［Ａ３］の認証連携装置によれば、認証連携を開始するためのサービス提供装置におけるＵＲＬを第１のＵＲＬとすることができる。
［Ａ４］の認証連携装置によれば、ＩＤトークンを発行するためのＵＲＬを第２のＵＲＬとすることができる。
［Ａ５］の認証連携装置によれば、認証連携装置は発行したＩＤトークンを受け渡すためのＵＲＬを第３のＵＲＬとすることができる。
［Ａ６］のサービス提供装置によれば、認証連携装置からの要求に応じて、機器とサービス提供装置における認証連携を行うための設定情報を送信でき、本サービス提供装置における設定ができる。
［Ａ７］のサービス提供装置によれば、ファイアウォール内に認証連携装置と機器が設置されており、ファイアウォール外にサービス提供装置が設置されている場合でも対応することができる。
［Ａ８］のサービス提供装置によれば、認証連携を開始するためのサービス提供装置におけるＵＲＬを第１のＵＲＬとすることができる。
［Ａ９］のサービス提供装置によれば、ＩＤトークンを発行するためのＵＲＬを第２のＵＲＬとすることができる。
［Ａ１０］のサービス提供装置によれば、認証連携装置が発行したＩＤトークンを本サービス提供装置に受け渡すためのＵＲＬを第３のＵＲＬとすることができる。
［Ａ１１］の認証連携装置によれば、機器とサービス提供装置における認証連携を行うための、その機器における設定ができる。
［Ａ１２］の認証連携システムによれば、機器とサービス提供装置における認証連携を行うことができる。
［Ａ１３］の認証連携システムによれば、ファイアウォール内に認証連携装置と機器が設置されており、ファイアウォール外にサービス提供装置が設置されている場合でも対応することができる。
［Ａ１４］の情報処理プログラムによれば、機器とサービス提供装置における認証連携を行うための設定ができる。
［Ａ１５］の情報処理プログラムによれば、認証連携装置からの要求に応じて、機器とサービス提供装置における認証連携を行うための設定情報を送信でき、本サービス提供装置における設定ができる。
［Ａ１６］の情報処理プログラムによれば、機器とサービス提供装置における認証連携を行うための、その機器における設定ができる。

１００…認証連携装置
１０５…通信モジュール
１１０…設定モジュール
１１５…認証連携モジュール
１３０…機器
１３５…通信モジュール
１４０…設定モジュール
１４５…サービス利用処理モジュール
１６０…サービス提供装置
１６５…通信モジュール
１７０…設定モジュール
１７５…サービス提供用認証モジュール
１８０…サービス提供処理モジュール
１９０…ファイアウォール
１９５…通信回線
２６５…サービス装置
９１０…アクティブ・ディレクトリー
１０３０…機器
１０６０…サービス提供装置
１３１０…サーバー
１３２０…クライアント
１４１０…システムＡ
１４２０…システムＢ
１５００…認証連携装置
１５１０…アクティブ・ディレクトリー
１５３０…機器
１５６０…サービス提供装置
１５３５…ＯＡｕｔｈトークン
１６００…認証連携装置
１６１０…アクティブ・ディレクトリー
１６３０…機器
１６６０…サービス提供装置
１６０５…ＩＤトークン
１６３５…ＯＡｕｔｈトークン

Claims (3)

1. サービス提供装置に対して、機器が該サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを該サービス提供装置に渡すための第３のＵＲＬを要求する要求手段と、
   前記サービス提供装置に対して、前記機器が本認証連携装置にアクセスするための第２のＵＲＬを送信する第１の送信手段と、
   前記機器に対して、該機器が前記サービス提供装置によって提供されるサービスを利用する場合に、該機器が本認証連携装置に対してアクセスするための第４のＵＲＬを送信する第２の送信手段
   を有する認証連携装置。
2. 認証連携装置であるコンピュータを、
   サービス提供装置に対して、機器が該サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを該サービス提供装置に渡すための第３のＵＲＬを要求する要求手段と、
   前記サービス提供装置に対して、前記機器が本認証連携装置にアクセスするための第２のＵＲＬを送信する第１の送信手段と、
   前記機器に対して、該機器が前記サービス提供装置によって提供されるサービスを利用する場合に、該機器が本認証連携装置に対してアクセスするための第４のＵＲＬを送信する第２の送信手段
   として機能させるための情報処理プログラム。
3. 機器と請求項１に記載の認証連携装置が通信可能に接続されており、該機器とサービス提供装置が通信可能に接続されており、
   前記サービス提供装置は、
   前記認証連携装置からの要求に応じて、該認証連携装置に対して、機器が本サービス提供装置にアクセスするための第１のＵＲＬと、ＩＤトークンを本サービス提供装置に渡すための第３のＵＲＬを送信する送信手段と、
   該認証連携装置から、前記機器が前記認証連携装置にアクセスするための第２のＵＲＬを受信する受信手段
   を有しており、
   前記機器は、該機器が前記サービス提供装置によって提供されるサービスを利用する前に、第４のＵＲＬを前記認証連携装置から取得し
   前記機器が前記サービス提供装置によって提供されるサービスを利用する場合は、該機器が前記認証連携装置に対して第４のＵＲＬを用いてアクセスし、第１のＵＲＬを取得し、
   前記機器は、前記第１のＵＲＬを用いて、前記サービス提供装置にアクセスし、
   前記サービス提供装置は、前記機器を介して、前記認証連携装置の第２のＵＲＬにアクセスし、
   前記認証連携装置は、ＩＤトークンを発行し、該ＩＤトークンを前記サービス提供装置の第３のＵＲＬに格納し、
   前記サービス提供装置は、前記ＩＤトークンが発行されたことを確認し、前記機器にサービス提供を開始し、
   前記認証連携装置は、前記第１のＵＲＬ、前記第３のＵＲＬを、前記サービス提供装置から取得しており、
   前記サービス提供装置は、前記第２のＵＲＬを前記認証連携装置から取得している、
   認証連携システム。
   

Images