JPH10312362A - アクセス制御システムおよびアクセス制御装置 - Google Patents

Abstract

(57)【要約】 【課題】 現在のシステムを大幅に変更せずに、安全性
の確保および利用者の利便性を考慮したアクセス制御を
行う。 【解決手段】 アクセス制御装置１０がネットワーク７
０を介してある利用者端末からアクセスされた場合に、
パスワード判定部７００においてパスワードとユーザ名
を予め登録したものと比較し、それが一致しない場合で
もアクセス拒否とはせずに、アクセス権限判定部８００
によりユーザ名と付加情報をネットワーク７０を介して
統合認証サーバに送信し、統合認証サーバにおいて正の
判定結果がでた場合はアクセスを許可する。そのため、
利用者は、各アクセス制御装置１０毎にパスワードを設
定しなくても、１つの付加情報で全てのアクセス制御装
置にアクセスできる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、インターネットと
呼ばれるネットワークを利用して情報提供やサービス提
供を行う際に利用者を特定しアクセス許可を行うアクセ
ス制御に関するものである。

【０００２】

【従来の技術】従来のアクセス制御装置の構成を示すブ
ロック図を図４に示す。この従来のアクセス制御装置９
１０は、制御部５０と、ネットワーク入出力部１００
と、入力処理部２００と、ユーザ名判定部６００と、ユ
ーザ名記憶部６５０と、出力処理部３００と、パスワー
ド判定部７００と、パスワード記憶部７５０、記憶部４
００と、処理部５００とから構成されている。

【０００３】ネットワーク入出力部１００は、制御部５
０からの指示により、ネットワーク７０から入力した入
力データを入力処理部２００へ送信し、出力処理部３０
０から送信された出力データをネットワーク７０に送信
する。

【０００４】入力処理部２００は、制御部５０からの指
示により、ネットワーク入出力部１００から送信された
入力データをユーザ名判定部６００に送信し、ユーザ名
判定部６００から送信された判定結果が否の場合、制御
部５０に対してアクセス拒否信号を送信し、ユーザ名判
定部６００から送信された判定結果が正の場合、ネット
ワーク入出力部１００から送信された入力データのうち
のユーザ名とパスワードをパスワード判定部７００へ送
信し、パスワード判定部７００から送信された判定結果
が否の場合、制御部５０に対してアクセス拒否信号を送
信し、パスワード判定部７００から送信された判定結果
が正の場合、ネットワーク入出力部１００から送信され
た入力データを記憶部４００へ送信する。

【０００５】ユーザ名記憶部６５０は、予め特定のユー
ザ名が登録されていて、制御部５０からの指示により登
録されているユーザ名をユーザ名判定部６００に送信す
る。

【０００６】ユーザ名判定部６００は、制御部５０から
の指示により、入力処理部２００から送信されたユーザ
名が記憶部６５０から送信されたユーザ名の中に存在す
るかどうかの判定を行い、その判定結果を入力処理部２
００へ送信する。

【０００７】出力処理部３００は、ユーザ判定部６００
での判定結果が否であるという情報またはパスワード判
定部７００での判定結果が否であるという情報を制御部
５０から受信すると、アクセス拒否を通知する出力デー
タをネットワーク入出力部１００へ送信し、記憶部４０
０から送信された処理結果を記述した出力データをネッ
トワーク入出力部１００へ送信する。

【０００８】パスワード判定部７００は、制御部５０か
らの指示により、入力処理部２００から送信されたユー
ザ名をパスワード記憶部７５０に送信し、パスワード記
憶部７５０から送信されたパスワードと入力処理部２０
０から送信されたパスワードとが一致するかどうかの判
定を行い、その判定結果を入力処理部２００へ送信す
る。

【０００９】パスワード記憶部７５０は、予めユーザ名
とそれに対応するパスワードが登録されていて、制御部
５０からの指示により、パスワード判定部７００から送
信されたユーザ名に対応したパスワードをパスワード判
定部７００に送信する。

【００１０】記憶部４００は、入力処理部２００から送
信された入力データを記憶するとともに入力データに含
まれる処理命令と処理データを処理部５００へ送信し、
処理部５００から送信された処理結果を出力処理部３０
０へ送信する。

【００１１】処理部５００は、記憶部４００から送信さ
れた処理命令を解析し、処理データに対してその処理命
令を実行し、処理結果を記憶部４００に送信する。

【００１２】制御部５０は、次に、上記従来のアクセス
制御装置の動作について説明する。

【００１３】この従来のアクセス制御装置を動作させる
には、まず制御部５０の指示によりネットワーク入出力
部１００に入力データを読み込む。ネットワーク入出力
部１００は、入力後制御部５０の指示により入力処理部
２００へ入力情報を送信する。入力処理部２００は、受
信後制御部５０の指示により、入力情報のうち、ユーザ
名をユーザ名判定部６００へ送信する。ユーザ名記憶部
６５０は、制御部５０の指示により、ユーザ名判定部６
００に対して、登録されているユーザ名を送信する。ユ
ーザ名判定部６００は、判定を実施し、その判定結果を
制御部５０の指示により入力処理部２００へ送信する。

【００１４】ユーザ名判定部６００の判定結果が否であ
る場合、入力処理部２００は、判定結果を受信後、制御
部５０に対して、アクセス拒否信号を送信する。そし
て、出力処理部３００は制御部５０の指示により、アク
セス拒否を通知する出力データをネットワーク入出力部
１００へ送信する。ネットワーク入出力部１００は、制
御部５０の指示により、その出力データをネットワーク
へ送信する。

【００１５】ユーザ名判定部６００の判定結果が正であ
る場合、入力処理部２００は、制御部５０の指示によ
り、入力情報のうち、ユーザ名とパスワードをパスワー
ド判定部７００へ送信する。パスワード記憶部７５０
は、制御部５０の指示により、パスワード判定部７００
へそのユーザ名のパスワードを送信する。パスワード判
定部７００は、判定を実施し、判定結果を制御部５０の
指示により入力処理部２００へ送信する。

【００１６】パスワード判定部７００の判定結果が否で
ある場合、入力処理部２００は、制御部５０に対して、
アクセス拒否信号を送信する。制御部５０は出力処理部
３００に指示を送り、アクセス拒否を通知する出力デー
タをネットワーク入出力部１００へ送信する。ネットワ
ーク入出力部１００は、制御部５０の指示により、その
出力データをネットワークへ送信する。

【００１７】パスワード判定部７００の判定結果が正で
ある場合、入力処理部２００は、制御部５０の指示にし
たがい、入力データを記憶部４００へ送信する。制御部
５０は、記憶部４００からその入力データの処理命令と
処理データを処理部５００へ送信する。処理部５００は
制御部５０の指示により、その処理命令を解析し、その
処理データに対してその処理命令を実行する。記憶部４
００は実行後、制御部５０の指示により、処理結果を受
信する。記憶部４００は制御部５０の指示により、処理
結果を出力処理部３００へ送信する。出力処理部３００
は制御部５０の指示により、ネットワーク入出力部１０
０へ処理結果を記述した出力データを送信する。ネット
ワーク入出力部１００は、制御部５０の指示により、そ
の出力データをネットワークへ送信する。

【００１８】このような従来のアクセス制御装置９１０
を用いたアクセス制御システムを図５および図６を用い
て説明する。ここで、利用者端末４１０は実際には複数
存在するが、説明を簡単にするため１つの利用者端末４
１０を用いて説明する。

【００１９】図５のアクセス制御システムでは、利用者
端末４１０はネットワーク７０を介して複数のアクセス
制御装置９１０に接続されている。現在のインターネッ
トと呼ばれる世界中に相互結合されたシステムでの実現
は大部分がこのような実現方式を利用している。そし
て、各アクセス制御装置９１０は、ネットワーク７０上
で、電子メールやファイル転送やその他、様々なサービ
スを提供している。

【００２０】このアクセス制御システムでは、各アクセ
ス制御装置９１０毎に異なるパスワードを設定しようと
すると、そのパスワードの設定およびそのパスワードの
管理のために利用者に多くの手間を必要とした。また、
それらの手間が面倒なために利用者は全てのアクセス制
御装置９１０に対して同じパスワードを設定する場合が
あり、その場合はパスワードを他人に知られてしまうと
全てのアクセス制御装置９１０にアクセスすることがで
きてしまい安全性に問題があった。

【００２１】このような問題を解決するための従来のア
クセス制御システムを図６に示す。このアクセス制御シ
ステムでは、利用者端末４１０と各アクセス制御装置９
１０との間に、統合認証サーバ９２０が設けられてい
る。統合認証サーバ９２０は、利用者端末４１０からの
アクセスをある設定された統合認証情報によりアクセス
制御し、アクセス許可を決定すると各アクセス制御装置
９１０に対しての接続を行う。

【００２２】この、アクセス制御システムでは、利用者
は、１つの統合認証情報を登録するだけで各に各アクセ
ス制御装置９１０から提供されるサービスを利用するこ
とができるため、利用者には面倒な登録を必要としな
い。

【００２３】しかし、このシステムを実現するために
は、現在の様々なシステムを大幅に変更する必要があ
る。なぜなら、現在のシステムは元々利用者端末４１０
からのアクセスに対応する通信手段しか有していないた
め、利用者端末４１０と各アクセス制御装置９１０との
間に統合認証サーバ９２０を設けるためには大幅に変更
しなければならない。また、新しいサービスが追加され
新たなアクセス制御装置９１０が接続されると、統合認
証サーバ９２０を変更しなければならずコストがかかる
ことになる。

【００２４】

【発明が解決しようとする課題】上述した従来のアクセ
ス制御装置では、ユーザ名とパスワードのみによる固定
的なアクセス判定しか行っていないため、利用者に面倒
な操作を要求するとともに安全性に問題があり、またこ
れらを解決しようとすると現在のシステムを大幅に変更
しなければならないという問題点があった。

【００２５】本発明の目的は、現在のシステムを大幅に
変更することなく、安全性の確保および利用者の利便性
を考慮したアクセス制御を行うことができるアクセス制
御システムおよびアクセス制御装置を提供することであ
る。

【００２６】

【課題を解決するための手段】上記目的を達成するため
に、本発明のアクセス制御装置は、複数の利用者端末と
ネットワークを介して接続され、前記ネットワークから
の入力データを受信するとともに出力データを前記ネッ
トワークに送信するネットワーク入出力部と、前記ネッ
トワーク入出力部により受信された入力データに含まれ
るユーザ名およびパスワードが、予め登録されたユーザ
名およびパスワードと一致するかどうかを判定するパス
ワード判定部と、前記パスワード判定部での判定結果が
正の場合、前記入力データを送信した利用者端末からの
アクセスを許可し、前記パスワード判定部での判定結果
が否の場合、該判定結果をアクセス権限判定部に伝達す
る制御部と、前記制御部から前記パスワード判定部での
否である判定結果が伝達されると、前記ユーザ名と前記
ネットワーク入出力部が受信した入力データに含まれる
付加情報とを、送信されてくる付加情報とユーザ名が予
め登録されている付加情報とユーザ名と一致するかを判
定する統合認証サーバに、前記ネットワークを介して送
信し、前記統合認証サーバから送信された判定結果によ
り前記利用者端末のアクセス許否の決定を行うアクセス
権限判定部とを有する。

【００２７】本発明は、アクセス制御装置がネットワー
クを介してある利用者端末からアクセスされた場合に、
パスワード判定部においてパスワードとユーザ名を予め
登録したものと比較し、それが一致しない場合でもアク
セス拒否とはせずに、アクセス権限判定部によりユーザ
名と付加情報をネットワークを介して統合認証サーバに
送信し、統合認証サーバにおいて正の判定結果がでた場
合はアクセスを許可するようにしたものである。

【００２８】したがって、利用者は、各アクセス制御装
置毎にパスワードを設定しなくても、１つの付加情報を
用いることにより全てのアクセス制御装置にアクセスす
ることができる。

【００２９】また、本発明の実施態様によれば、前記統
合認証サーバから前記アクセス権限判定部に判定結果が
送信される際に、付加情報を変更するための情報である
付加応答情報が合わせて送信され、前記アクセス権限判
定部は、送信された前記付加応答情報を前記利用者端末
に送信する。

【００３０】本発明は、統合認証サーバからアクセス権
限判定部に判定結果が送信される際に付加応答情報を同
時に送信するようにし、アクセス権限判定部はその付加
応答情報を利用者端末に送信するようにし、利用者は次
にアクセス制御装置にアクセスする際は付加応答情報に
より変更した付加情報を用いるようにしたものである。
したがって、付加情報が他人に漏洩した場合でもその付
加情報ではどのアクセス制御装置にもアクセスすること
ができないため、安全性を確保することができる。ま
た、付加応答情報のみが他人に漏洩した場合でも付加応
答情報のみではどのアクセス制御装置にもアクセスする
ことができないため、安全性を確保することができる。

【００３１】また、上記目的を達成するために、本発明
のアクセス制御システムは、複数の利用者端末と、前記
各利用者端末とネットワークにより接続された複数のア
クセス制御装置から構成されるアクセス制御システムに
おいて、予め各利用者のユーザ名および付加情報が登録
されていて、前記各アクセス制御装置からユーザ名およ
び付加情報が送信されてくると該ユーザ名および該付加
情報が登録されているユーザ名および付加情報と一致し
ているかどうかを判定し、該判定結果を前記ユーザ名お
よび前記付加情報を送信したアクセス制御装置に送信す
る統合認証サーバが設けられ、前記各アクセス制御装置
は、パスワードによる認証が否の場合、前記利用者端末
から送信されたユーザ名および付加情報を前記統合認証
サーバに送信し、前記統合認証サーバでの判定結果によ
り前記利用者端末のアクセス許否の決定を行うことを特
徴とする。

【００３２】本発明は、アクセス制御装置がネットワー
クを介してある利用者端末からアクセスされた場合に、
パスワードとユーザ名を予め登録したものと比較し、そ
れが一致しない場合でもアクセス拒否とはせずにユーザ
名と付加情報をネットワークを介して統合認証サーバに
送信し、統合認証サーバにおいて正の判定結果がでた場
合はアクセスを許可するようにしたものである。

【００３３】したがって、利用者は、各アクセス制御装
置毎にパスワードを設定しなくても、１つの付加情報を
用いることにより全てのアクセス制御装置にアクセスす
ることができる。

【００３４】また、本発明の実施態様によれば、前記統
合認証サーバは、前記アクセス制御装置に判定結果を送
信する際に、付加情報を変更するための情報である付加
応答情報を合わせて送信し、前記アクセス制御装置は、
送信された前記付加応答情報を前記利用者端末に送信す
る。

【００３５】本発明は、統合認証サーバからアクセス制
御装置に判定結果が送信される際に付加応答情報を同時
に送信するようにし、アクセス制御装置はその付加応答
情報を利用者端末に送信するようにし、利用者は次にア
クセス制御装置にアクセスする際は付加応答情報により
変更した付加情報を用いるようにしたものである。

【００３６】したがって、付加情報が他人に漏洩した場
合でもその付加情報ではどのアクセス制御装置にもアク
セスすることができないため、安全性を確保することが
できる。また、付加応答情報のみが他人に漏洩した場合
でも付加応答情報のみではどのアクセス制御装置にもア
クセスすることができないため、安全性を確保すること
ができる。

【００３７】

【発明の実施の形態】次に、本発明の実施形態について
図面を参照して詳細に説明する。

【００３８】図１は本発明のアクセス制御装置の一実施
形態の構成を示したブロック図、図２は図１のアクセス
制御装置１０を用いたアクセス制御システムの一例を示
す図、図３は図１のアクセス制御装置１０の動作を示し
たフローチャートである。図４中と同番号は同じ構成要
素を示す。

【００３９】本実施形態のアクセス制御装置１０は、図
４の従来のアクセス制御装置９１０に対して、アクセス
権限判定部８００を設け、制御部５０を制御部９００に
置き換えたものである。

【００４０】アクセス権限判定部８００は、制御部９０
０からパスワード判定部７００での判定結果が否である
との情報を受信すると、ユーザ名を示す情報をユーザ名
判定部６００から受信するとともに入力処理部２００か
ら入力データに含まれる付加情報を受信し、そのユーザ
名と付加情報を出力処理部３００へ送信することにより
ネットワーク７０を介して統合認証サーバ４３０に送信
し、統合認証サーバ４３０から送信された判定結果と付
加応答情報を受信し、その判定結果からアクセス権限結
果を判定し、そのアクセス権限判定結果を入力処理部２
００へ送信するとともに付加応答情報を利用者端末に送
信する。

【００４１】制御部９００は、図４の制御部５０の機能
に加え、パスワード判定部７００での判定結果が否であ
るために入力処理部２００から送信されたアクセス拒否
信号を受信すると、その結果をアクセス権限判定部８０
０に伝達する。

【００４２】図２は本実施形態のアクセス制御装置１０
を用いたアクセス制御システムを示した図である。

【００４３】このアクセス制御システムでは、利用者端
末４１０と統合認証サーバ４３０がそれぞれ各アクセス
制御装置１０とネットワーク７０を介して接続されてい
る。

【００４４】統合認証サーバ４３０は、予め各利用者の
ユーザ名と付加情報とが１対１で登録されていて、アク
セス制御装置１０からユーザ名と付加情報が送信されて
くるとそのユーザ名と付加情報が登録されているものと
一致しているかどうかを判定し、その判定結果をユーザ
名と付加情報を送信したアクセス制御装置１０に送信す
る。

【００４５】次に、本実施形態の動作について図１、図
２および図３のフローチャートを参照して説明する。

【００４６】本装置を動作させるには、まず制御部９０
０の指示により、ネットワーク入出力部１００に入力デ
ータを読み込む（ステップ２１）。ネットワーク入出力
部１００は、入力データの存在を制御部９００へ送信す
る。ネットワーク入出力部１００は、入力データが存在
する場合（ステップ２２）、制御部９００の指示により
入力処理部２００へ入力情報を送信する（ステップ２
３）。入力処理部２００は、受信後制御部９００の指示
により、入力情報のうち、ユーザ名をユーザ名判定部６
００へ送信する（ステップ２４）。ユーザ名記憶部６５
０は、制御部９００の指示により、ユーザ名判定部６０
０へ登録されているユーザ名を送信する。ユーザ名判定
部６００は判定を実施し、判定結果を制御部９００の指
示により、入力処理部２００へ送信する。

【００４７】入力処理部２００は、ユーザ名判定部６０
０の判定結果が否である場合（ステップ２５）、判定結
果を受信後、制御部９００に対して、アクセス拒否信号
を送信し接続許可を行う（ステップ３３）。そして出力
処理部３００は制御部９００の指示により、アクセス拒
否を通知する返信情報を生成し（ステップ３５）、その
返信情報の出力データをネットワーク入出力部１００へ
送信する。そしてネットワーク入出力部１００は、制御
部９００の指示により、その出力データをネットワーク
７０へ送信する（ステップ３６）。そして、認証結果は
接続不許可のため、（ステップ３７）、接続を切断する
（ステップ３９）。

【００４８】ユーザ名判定部６００の判定結果が正であ
る場合（ステップ２５）、入力処理部２００は、制御部
９００の指示により、入力情報のうち、ユーザ名とパス
ワードをパスワード判定部７００へ送信する。パスワー
ド記憶部７５０は、制御部９００の指示により、パスワ
ード判定部７００へそのユーザ名のパスワードを送信す
る（ステップ２６）。パスワード判定部７００は、判定
を実施し、判定結果を制御部９００の指示により、入力
処理部２００へ送信する。

【００４９】パスワード判定部７００の判定結果が否で
ある場合（ステップ２７）、従来はこれによってアクセ
スを否定していたが、本実施形態では次のようにして追
加のアクセス判定を行う。判定の結果を受けて、制御部
９００は、判定検結果が否であることを示す信号をアク
セス権限判定部８００に送信する。アクセス権限判定部
８００は、その信号を受信後、制御部９００の指示によ
り、ユーザ名を示す情報をユーザ名判定部６００より受
信する。それと同時に、アクセス権限判定部８００は制
御部９００の指示により、入力処理部２００へ信号を送
り、ネットワーク７０を介して付加情報を受信する（ス
テップ２８）。

【００５０】本実施形態では、入力処理部２００が入力
データに含まれる付加情報を蓄積しておいて、アクセス
権限判定部８００からの要求により送信するようにして
いるが、この付加情報は新たにネットワーク７０を介し
て利用者端末４１０から受信してもよい。

【００５１】そして、アクセス権限判定部８００は制御
部９００の指示により、ユーザ名と付加情報を出力処理
部３００へ送信することによりネットワーク７０に接続
された統合認証サーバ４３０に送信する（ステップ２
９）。そして、統合認証サーバ４３０から送信されたデ
ータから付加情報の判定結果を取り出し、その判定結果
が否の場合（ステップ３０）、接続不許可とし（ステッ
プ３４）、入力処理部２００は、判定結果を受信後、制
御部９００に対して、アクセス拒否信号を送信する。出
力処理部３００は制御部９００の指示により、アクセス
拒否を通知する出力データをネットワーク入出力部１０
０へ送信する。ネットワーク入出力部１００は、制御部
９００の指示により、その出力データをネットワークへ
送信する。

【００５２】ステップ３０において、付加情報の判定結
果が正の場合、処理すべき付加応答情報があるかどうか
判断し（ステップ３１）、統合認証サーバ４３０から送
信されてきたデータに付加応答情報があればその付加応
答情報を処理し、返信情報を生成する（ステップ３
２）。そして、付加応答情報が無い場合は、そのままス
テップ３３の処理に移る。

【００５３】次に、接続が許可とされ（ステップ３
３）、接続許可を通知する返信情報を生成し（ステップ
３５）、その返信情報の出力データをネットワーク入出
力部１００へ送信する。そして、ネットワーク入出力部
１００は、制御部９００の指示により、その出力データ
をネットワーク７０へ送信する（ステップ３６）。そし
て、利用者端末４１０の接続を許可し、送信されてくる
コマンドを受け付ける。

【００５４】本実施形態では、アクセス制御装置１０が
ネットワーク７０を介してある利用者端末４１０からア
クセスされた場合に、パスワード判定部７００において
パスワードとユーザ名を予め登録したものと比較し、そ
れが一致しない場合でもアクセス拒否とはせずに、アク
セス権限判定部８００によりユーザ名と付加情報をネッ
トワーク７０を介して統合認証サーバに送信し、統合認
証サーバにおいて正の判定結果がでた場合はアクセスを
許可する。そのため、利用者は、各アクセス制御装置１
０毎にパスワードを設定しなくても、１つの付加情報で
全てのアクセス制御装置１０にアクセスすることができ
る。

【００５５】また、付加情報が他人に漏洩した場合でも
その付加情報ではどのアクセス制御装置１０にもアクセ
スすることができないため、安全性を確保することがで
きる。この場合において、付加応答情報のみが他人に漏
洩した場合でも付加応答情報のみではどのアクセス制御
装置１０にもアクセスすることができない。

【００５６】そのため、現在のシステムの大幅な変更を
必要とせずに、ユーザ名とパスワード以外の付加的な情
報に基づくアクセス制御を統一的に行うことができるた
め、安全性が高まるとともに利用者の面倒がないという
効果を有する。

【００５７】また、付加情報の設定、変更等を統合認証
サーバ４３０において一括で行うことができる。

【００５８】また、本実施形態では、統合認証サーバ４
３０から付加応答情報を返し、これに認証や動的な認証
情報変更のために統合認証サーバ４３０と利用者が秘密
に交換するような情報を付加することによって安全性を
高めているが、統合認証サーバ４３０から付加応答情報
を送信しないようにすることも容易に類推することがで
きる。

【００５９】また、通信手順の改造は、通信サービスに
おいて最も複雑である遠隔における機能試験を含むた
め、非常にコストがかかるが、本実施形態によれば、例
えば、ソフトウェアで本実施形態を実現した場合、アク
セス制御における付加情報に限定して改造するための共
通インタフェースをソフトウェアのプログラミングイン
タフェースとして実現するなどにより、改造のためのコ
ストを小さくする効果もある。

【００６０】また、しばしば通信ソフトウェアにおいて
は、最初の接続のための情報を通信を利用する様々なソ
フトウェアに依存するかたちで提供するので、新しいネ
ットワークに対応して通信サービスを実現するような場
合、そのネットワーク固有の機能を用いて、付加情報を
転送することによっても本実施形態を実現することがで
きる。

【００６１】また、付加応答情報をあらかじめそれぞれ
のアクセス制御装置１０が要求する通信手順上の特定の
情報項目に代入することによって、通信手順上の改造を
なくし容易に実現できるようにすることも容易に類推す
ることができる。

【００６２】また、本実施形態では、最初のパスワード
判定部７００で否と出た場合に、アクセス権限判定部８
００を動作させたが、最初のパスワード判定部７００で
正と出た場合に付加的にアクセス権限判定部８００を動
作させるようにすることも可能であることは容易に類推
することができる。

【００６３】この方法を実現するためには、ユーザ名や
パスワードによる判定を予め全て正となるように、例え
ばパスワードが無い場合には自由にアクセスできる、と
いうように設定しておいて、付加情報でアクセス制限す
るというような方法で制御する。この場合にも、本実施
形態と同様にパスワード等の個別情報の設定にそれぞれ
の利用者が煩わされることなく統一的な付加情報による
認証によって複数のサービスに対するアクセス制御が可
能になる。

【００６４】

【発明の効果】以上説明したように、本発明は、現在の
システムの大幅な変更を必要とせずに、ユーザ名とパス
ワード以外の付加的な情報に基づくアクセス制御を統一
的に行うことができるため、安全性が高まるとともに利
用者の面倒がないという効果を有する。

【図面の簡単な説明】

【図１】本発明のアクセス制御装置の一実施形態の構成
を示したブロック図である。

【図２】図１のアクセス制御装置１０を用いたアクセス
制御システムの一例を示す図すである。

【図３】図１のアクセス制御装置１０の動作を示したフ
ローチャートである。

【図４】従来のアクセス制御装置の構成を示したブロッ
ク図である。

【図５】図４のアクセス制御装置９１０を用いたアクセ
ス制御システムの一例を示す図すである。

【図６】図４のアクセス制御装置９１０を用いたアクセ
ス制御システムの他の一例を示す図すである。

【符号の説明】

１０ アクセス制御装置 ２１〜３９ ステップ ５０ 制御部 ７０ ネットワーク １００ ネットワーク入出力部 ２００ 入力処理部 ３００ 出力処理部 ４００ 記憶部 ４１０ 利用者端末 ４３０ 統合認証サーバ ５００ 処理部 ６００ ユーザ名判定部 ６５０ ユーザ名記憶部 ７００ パスワード判定部 ７５０ パスワード記憶部 ８００ アクセス権限判定部 ９００ 制御部 ９１０ アクセス制御装置 ９２０ 統合認証サーバ

Claims (4)

【特許請求の範囲】
1. 【請求項１】 複数の利用者端末とネットワークを介し
   て接続され、前記ネットワークからの入力データを受信
   するとともに出力データを前記ネットワークに送信する
   ネットワーク入出力部と、 前記ネットワーク入出力部により受信された入力データ
   に含まれるユーザ名およびパスワードが、予め登録され
   たユーザ名およびパスワードと一致するかどうかを判定
   するパスワード判定部と、 前記パスワード判定部での判定結果が正の場合、前記入
   力データを送信した利用者端末からのアクセスを許可
   し、前記パスワード判定部での判定結果が否の場合、該
   判定結果をアクセス権限判定部に伝達する制御部と、 前記制御部から前記パスワード判定部での否である判定
   結果が伝達されると、前記ユーザ名と前記ネットワーク
   入出力部が受信した入力データに含まれる付加情報と
   を、送信されてくる付加情報とユーザ名が予め登録され
   ている付加情報とユーザ名と一致するかを判定する統合
   認証サーバに、前記ネットワークを介して送信し、前記
   統合認証サーバから送信された判定結果により前記利用
   者端末のアクセス許否の決定を行うアクセス権限判定部
   とを有するアクセス制御装置。
2. 【請求項２】 前記統合認証サーバから前記アクセス権
   限判定部に判定結果が送信される際に、付加情報を変更
   するための情報である付加応答情報が合わせて送信さ
   れ、前記アクセス権限判定部は、送信された前記付加応
   答情報を前記利用者端末に送信する請求項１記載のアク
   セス制御装置。
3. 【請求項３】 複数の利用者端末と、前記各利用者端末
   とネットワークにより接続された複数のアクセス制御装
   置から構成されるアクセス制御システムにおいて、 予め各利用者のユーザ名および付加情報が登録されてい
   て、前記各アクセス制御装置からユーザ名および付加情
   報が送信されてくると該ユーザ名および該付加情報が登
   録されているユーザ名および付加情報と一致しているか
   どうかを判定し、該判定結果を前記ユーザ名および前記
   付加情報を送信したアクセス制御装置に送信する統合認
   証サーバが設けられ、 前記各アクセス制御装置は、パスワードによる認証が否
   の場合、前記利用者端末から送信されたユーザ名および
   付加情報を前記統合認証サーバに送信し、前記統合認証
   サーバでの判定結果により前記利用者端末のアクセス許
   否の決定を行うことを特徴とするアクセス制御システ
   ム。
4. 【請求項４】 前記統合認証サーバは、前記アクセス制
   御装置に判定結果を送信する際に、付加情報を変更する
   ための情報である付加応答情報を合わせて送信し、前記
   アクセス制御装置は、送信された前記付加応答情報を前
   記利用者端末に送信する請求項３記載のアクセス制御シ
   ステム。