JPH11328117A - 認証システムにおけるユーザ管理方法 - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】クライアントとサーバの間を中継する全てのプ
ロキシサーバの属する認証サーバへクライアントのユー
ザ情報を登録する必要がない方式を提供する。 【解決手段】ユーザ登録をクライアントに最も近い認証
サーバのみにし、それ以降の認証には認証サーバ間で証
明書を受け渡すようにする。クライアントからサーバに
接続する際には、クライアントとそれに最も近い認証サ
ーバとの間で認証を行なった後、認証サーバ間で認証を
行なってクライアントの証明書を受け渡していき、サー
バに最も近いプロキシサーバが属する認証サーバまで辿
り着いたら、経路情報をクライアントに送る。クライア
ントは、経路情報にしたがってプロキシサーバとの間で
認証を行ない、最終的にサーバまでの接続を確立する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、仮想プライベート
ネットワーク（Virtual Private NetWork:ＶＰＮ）に必
要な認証を秘密鍵暗号方式を用いて実行するために用い
るユーザ情報の管理作業、およびＶＰＮにおいてクライ
アントからサーバへ到達するために中継するプロキシ
（Proxy）サーバの設定管理作業を軽減する、管理方法
に関する。

【０００２】

【従来の技術】近年、インタネットから社内イントラネ
ットへアクセスする等、公衆回線を使って安価にネット
ワークシステムを構築するニーズが高まっている。イン
タネットを介して、あたかも一つの企業内ネットワーク
に見せるシームレスな接続を提供するのがＶＰＮであ
る。ＶＰＮでは、なりすましを防ぐためにユーザ認証を
行ってからデータの送受信を開始し、また盗聴や改竄か
ら公衆回線を流れるデータを守るために暗号化する機能
を持つ。

【０００３】ＶＰＮの構成要素は、要求元のクライアン
ト、要求受付先のサーバ、該クライアントおよびサーバ
間の公衆回線上を流れるデータを暗号化／復号するプロ
キシサーバ、および、認証要求を受けてユーザの認証と
ユーザ管理を行う認証サーバに大別される。

【０００４】従来の秘密鍵暗号方式による認証では、例
えば特開平０９−０６９８３１号「暗号通信システム」
に示されるように、クライアントからプロキシサーバに
接続すると、プロキシサーバの属する認証サーバが持つ
ユーザ情報と、認証サーバからクライアントに配布した
証明書とを元にして、認証が行われる。そのため、クラ
イアントとサーバとの間で複数のプロキシサーバを中継
する場合、全てのプロキシサーバの属する認証サーバか
ら事前にクライアントへ証明書が配布されていなければ
いけない。

【０００５】また、要求元のクライアントから目的の要
求受付先のサーバに接続するために、どのプロキシサー
バを中継しなければいけないかを、事前に全てのプロキ
シサーバへ定義しておかなければいけなかった。

【０００６】

【発明が解決しようとする課題】上記従来技術では、要
求元のクライアントと要求受付先のサーバの間を中継す
る全てのプロキシサーバの属する認証サーバへ、当該ク
ライアントのユーザを登録しなければいけないことにな
る。多数のユーザが利用する、複数のプロキシサーバが
存在するネットワーク環境では、ユーザの管理だけで多
大な作業が必要になり、それぞれの認証サーバから発行
された証明書を、発行先のユーザへ配布しなければいけ
ない問題があった。また、要求元のクライアントから要
求受付先のサーバまでの経路を事前に全てのプロキシサ
ーバへ定義しておかなければならず面倒であった。

【０００７】本発明は、上述の従来技術における問題点
に鑑み、クライアントとサーバの間を中継する全てのプ
ロキシサーバの属する認証サーバへ当該クライアントの
ユーザのユーザ情報を登録する必要がなく、また経路を
事前に全てのプロキシサーバへ定義しておく必要もない
ような認証システムにおけるユーザ管理方法を提供する
ことを目的とする。

【０００８】

【課題を解決するための手段】上記目的を達成するた
め、請求項１に係る発明は、ネットワーク接続されたク
ライアントとサーバとの間に置かれた複数のプロキシサ
ーバと、クライアントとプロキシサーバとの間の認証を
管理する認証サーバとを備えた認証システムにおけるユ
ーザ管理方法であって、あらかじめ、前記クライアント
から前記プロキシサーバを介して前記サーバにアクセス
するユーザについて、前記クライアントに最も近い認証
サーバに登録し、該認証サーバから証明書の配布を受け
ておくとともに、あらかじめ、認証サーバ同士で認証を
行なうための証明書を、所定の認証サーバ間で受け渡し
ておくことを特徴とする。

【０００９】請求項２に係る発明は、ネットワーク接続
されたクライアントとサーバとの間に置かれた複数のプ
ロキシサーバと、クライアントとプロキシサーバとの間
の認証を管理する認証サーバとを備えた認証システムに
おけるユーザ管理方法であって、あらかじめ、前記クラ
イアントから前記プロキシサーバを介して前記サーバに
アクセスするユーザについて、前記クライアントに最も
近い認証サーバに登録し、該認証サーバから証明書の配
布を受けておくステップと、あらかじめ、認証サーバ同
士で認証を行なうための証明書を、所定の認証サーバ間
で受け渡しておくステップと、前記クライアントから前
記サーバに接続するとき、前記クライアントから該クラ
イアントに最も近い認証サーバに接続して認証を行なう
ステップと、前記クライアントに最も近い認証サーバか
ら、次に中継するプロキシサーバの属する認証サーバ
へ、接続し、認証サーバ間で受け渡した証明書を用いて
認証サーバ間の認証を行なうとともに、前記クライアン
トの証明書を受け渡し、これを要求受付先のサーバに最
も近いプロキシサーバの属する認証サーバに辿り着くま
で繰り返すことにより、前記クライアントからサーバへ
接続する際に中継するプロキシサーバの経路情報を取得
するステップと、中継するプロキシサーバの経路情報を
前記クライアントに送るステップと、前記経路情報に基
づいて、前記クライアントと前記プロキシサーバとの間
の認証を行なっていくことにより、前記クライアントと
前記サーバ間の接続を確立するステップとを備えたこと
を特徴とする。

【００１０】請求項３に係る発明は、請求項１または２
において、前記中継するプロキシサーバを、階層化した
認証サーバで管理することを特徴とする。

【００１１】

【発明の実施の形態】以下、図面を参照して本発明の実
施の形態を説明する。

【００１２】本実施の形態では、証明書の発行（ユーザ
の登録）をクライアントに最も近い認証サーバのみに
し、ユーザ情報の管理作業を軽減する。証明書を発行し
た認証サーバ以外の認証サーバとの認証は、クライアン
トに最も近い認証サーバから次に中継するプロキシサー
バの属する認証サーバへ、クライアントの証明書を認証
サーバ間で順次受け渡し、クライアントの認証に使用す
る。また、要求受付先のサーバに最も近いプロキシサー
バの属する認証サーバにたどりついた時点で、中継する
プロキシサーバの情報をクライアントへ送り、その情報
を元にクライアントと各認証サーバ間の認証を行ってい
く。

【００１３】上記の方式を実現するため、本実施の形態
では、認証サーバ間で認証を行い、証明書を受け渡す機
能を持つ。また中継するプロキシサーバの定義と次に中
継するプロキシサーバが属する認証サーバの定義を認証
サーバに持たせ、中継するプロキシサーバの検索は認証
サーバが行う。さらに認証サーバは階層構造を持たせる
ことにより、次に中継するプロキシサーバが属する認証
サーバの定義の管理作業を軽減させる。

【００１４】以下、本実施の形態を詳しく説明する。な
お、本実施の形態は、クライアントからサーバへの接続
に３台のプロキシサーバを中継し、それぞれのプロキシ
サーバが属する認証サーバが３台あり、認証サーバ２，
３が属する上位の認証サーバ４が存在するシステムを例
として説明する。

【００１５】図１は、本実施の形態のシステム構成図で
ある。図１において、ネットワーク環境は、ネットワー
ク１，２，３，４（１０１，１０２，１０３，１０４）
で独立したネットワークである。各プロキシサーバ（１
２１，１２２，１２３）とそれの属する認証サーバ（１
３１，１３２，１３３）は、同一ネットワーク内にあ
る。

【００１６】次に、要求元であるクライアント（１１
１）について説明する。クライアント（１１１）は、サ
ーバ（１１２）に接続してデータを送受信する形態のア
プリケーションが動作するクライアントである。ＶＰＮ
の設定として、サーバ（１１２）に接続するにはプロキ
シサーバ１（１２１）を中継するという情報のみがクラ
イアント（１１１）にあらかじめ定義されており、認証
サーバ１（１３１）から証明書（１４１）が配布済みで
ある。クライアント（１１１）上のアプリケーションか
らサーバ（１１２）への接続要求があると、クライアン
ト（１１１）はプロキシサーバ１（１２１）に接続し
て、認証サーバ１（１３１）との認証を行う。図５に、
クライアントのＶＰＮとしての動作を示す。図５の手順
については後に詳述する。

【００１７】次に、要求受付先であるサーバ（１１２）
について説明する。サーバ（１１２）ではアプリケーシ
ョンサーバが起動していて、クライアント（１１１）か
らの接続を待機している。

【００１８】次に、プロキシサーバ１〜３（１２１〜１
２３）について説明する。クライアント（１１１）に最
も近いのがプロキシサーバ１（１２１）であり、ネット
ワーク１（１０１）と２（１０２）とを中継し、クライ
アント（１１１）から最初に認証要求のあるプロキシサ
ーバである。サーバ（１１２）に最も近いプロキシサー
バがプロキシサーバ３（１２３）であり、ネットワーク
３（１０３）と４（１０４）とを中継し、サーバ（１１
２）と平文データの送受信を行う、中継の終端となるプ
ロキシサーバである。プロキシサーバ２（１２２）は、
ネットワーク２（１０２）と３（１０３）とを中継する
プロキシサーバである。図６に、これらのプロキシサー
バの動作を示す。図６の手順については後に詳述する。

【００１９】次に、認証サーバ１〜４（１３１〜１３
４）について説明する。プロキシサーバ１（１２１），
２（１２２），３（１２３）が属する認証サーバが、そ
れぞれ認証サーバ１（１３１），２（１３２），３（１
３３）となる。ここでは１台のプロキシサーバが１台の
認証サーバに属する場合を例として説明するが、複数台
のプロキシサーバが１台の認証サーバに属することも可
能である。認証サーバ１（１３１）は独立した１台の認
証サーバであるが、認証サーバ２（１３２），３（１３
３）は認証サーバ４（１３４）が統括する認証サーバグ
ループを形成している。認証サーバ４は、この認証サー
バグループ内の認証サーバ２（１３２），３（１３３）
を統括する。

【００２０】各認証サーバには、クライアント（１１
１）からサーバ（１１２）に接続するために次に中継す
べきプロキシサーバが属する認証サーバを定義した中継
経路定義情報が登録されている。図２に、その中継経路
定義情報を示す。図２に示すように、認証サーバ１（１
３１）には、サーバ（１１２）への接続要求が来たと
き、次に中継すべきプロキシサーバの情報を持っている
のが認証サーバ２（１３２）であることを示す中継経路
定義情報が登録されている。認証サーバ２（１３２）に
は、中継経路定義情報は登録されていない。認証サーバ
３（１３３）には、サーバ（１１２）への接続要求が来
たとき、次にサーバ（１１２）と直接データの送受信が
可能であることを示すＥｎｄが登録されている。認証サ
ーバ４（１３４）には、サーバ（１１２）への接続要求
が来たとき、次に中継すべきプロキシサーバの情報を持
っているのが認証サーバ３（１３３）であることを示す
中継経路定義情報が登録されている。

【００２１】各認証サーバには、クライアント（１１
１）からサーバ（１１２）に接続するために接続を中継
するプロキシサーバ（各認証サーバが管理するプロキシ
サーバ）を示す定義情報が登録されている。図３に、そ
の定義情報を示す。図３に示すように、認証サーバ１
（１３１）には、サーバ（１１２）への接続要求が来た
とき、この認証サーバ１（１３１）で管理され、その接
続要求を中継するプロキシサーバが、プロキシサーバ１
（１２１）であることを示す定義情報が登録されてい
る。認証サーバ２（１３２）には、サーバ（１１２）へ
の接続要求が来たとき、この認証サーバ２（１３２）で
管理され、その接続要求を中継するプロキシサーバが、
プロキシサーバ２（１２２）であることを示す定義情報
が登録されている。認証サーバ３（１３３）には、サー
バ（１１２）への接続要求が来たとき、この認証サーバ
３（１３３）で管理され、その接続要求を中継するプロ
キシサーバが、プロキシサーバ３（１２３）であること
を示す定義情報が登録されている。認証サーバ４（１３
４）には、そのような定義情報は登録されていない。

【００２２】各認証サーバには、認証サーバのグループ
を構成する上位の認証サーバを定義する定義情報が登録
されている。図４に、その定義情報を示す。図４に示す
ように、認証サーバ２（１３２）には、自認証サーバの
上位の認証サーバとして認証サーバ４（１３４）が登録
されている。認証サーバ３（１３３）には、自認証サー
バの上位の認証サーバとして認証サーバ４（１３４）が
登録されている。認証サーバ１（１３１）および４（１
３４）には、上位の認証サーバが登録されていない。

【００２３】クライアント（１１１）からサーバ（１１
２）への接続は、認証サーバ１（１３１）が持つ証明書
（認証サーバ１（１３１）がクライアント（１１１）に
発行した証明書１（１４１））を中継経路定義に従って
次の認証サーバへと順次送り、各認証サーバは一時的に
証明書を保管し、クライアント（１１１）との認証に用
いる。認証サーバ間の認証に使用する証明書は、事前に
認証を要求する相手から配布されている必要がある。こ
の例では、認証サーバ１（１３１）はあらかじめ認証サ
ーバ２（１３２）が発行した証明書２（１４２）の配布
を受けており、認証サーバ２（１３２）はあらかじめ認
証サーバ４（１３４）が発行した証明書４（１４４）の
配布を受けており、認証サーバ３（１３３）はあらかじ
め認証サーバ４（１３４）が発行した証明書３（１４
３）の配布を受けているものとする。接続を中継する次
の認証サーバが、透過でない独立した別のネットワーク
に存在する場合、認証はプロキシサーバを中継して行わ
れる。図７、図８、および図９に、認証サーバの動作を
示す。図７、図８、および図９の手順については、後に
詳述する。

【００２４】上記の環境で、クライアント（１１１）か
らサーバ（１１２）に対して接続要求があるときの処理
手順を、図５〜図９のフローチャートを参照して説明す
る。

【００２５】クライアント（１１１）からサーバ（１１
２）に対して接続要求があると、クライアント（１１
１）では図５の処理を開始する。まず、サーバ（１１
２）へ接続するのに中継するプロキシサーバを検索し
（ステップ５０１）、当該プロキシサーバへ接続する
（ステップ５０２）。クライアント（１１１）は、サー
バ（１１２）に接続するためには、プロキシサーバ１
（１２１）を中継すべきことを知っているので、ＶＰＮ
はプロキシサーバ１（１２１）へ接続し、認証を開始す
る（ステップ５０３）。すなわち、ステップ５０３で、
プロキシサーバ１（１２１）へ、証明書１（１４１）を
付けてクライアント（１１１）の認証要求を送信する。

【００２６】プロキシサーバ１（１２１）は、図６の処
理で接続待ち状態になっているので、クライアント（１
１１）からの証明書１（１４１）付きの認証要求を受信
し（ステップ６０１）、プロキシサーバ１（１２１）が
属する認証サーバ１（１３１）へ接続し（ステップ６０
２）、クライアント（１１１）の認証要求を証明書１
（１４１）を付けて送信する（ステップ６０３）。

【００２７】認証サーバ１（１３１）は、図７の処理で
接続待ち状態になっているので、プロキシサーバ１（１
２１）からのクライアント認証要求を受信し（ステップ
７０１）、証明書１（１４１）と認証サーバ１（１３
１）が管理するユーザ情報と比較して認証を行う（ステ
ップ７０２）。認証に失敗したときは、コネクションを
切断して（ステップ７０４）、接続待ちに戻る。認証に
成功したときは、認証要求元を判定し（ステップ７０
３）、認証要求元がクライアントからのときは、図８の
ステップ８０１に進み、認証要求元が認証サーバからの
ときは、図９のステップ９０１に進む。いまはクライア
ント（１１１）からの認証要求であるので、図８の処理
を実行する。

【００２８】まず、証明書の種別を判別する（ステップ
８０１）。クライアント（１１１）から送られてきた証
明書１（１４１）は、いま処理を行なっている認証サー
バ自らが発行したものであるから、ステップ８０２に進
む。そして、次の認証サーバの情報を中継経路定義情報
（図２）から検索する（ステップ８０２）。図２から分
かるように、認証サーバ１（１３１）には、接続先がサ
ーバ（１１２）である接続要求が来たとき、次の認証サ
ーバは認証サーバ２（１３２）である旨が登録されてい
る。そこで、検索結果として認証サーバ２（１３２）を
得て、ステップ８０３からステップ８０５に進み、認証
サーバ１（１３１）から認証サーバ２（１３２）へ接続
し、証明書２を付けて認証サーバ２（１３２）に認証要
求を送信する（ステップ８０５）。

【００２９】認証サーバ２（１３２）は、図７の処理で
接続待ち状態になっているので、認証サーバ１（１３
１）からの認証要求を受信し（ステップ７０１）、認証
サーバ１（１３１）から送信された証明書２（１４２）
と認証サーバ２（１３２）が管理する認証サーバ情報と
を比較して認証を行う（ステップ７０２）。認証に失敗
したときは、コネクションを切断して（ステップ７０
４）、接続待ちに戻る。認証に成功したときは、認証要
求元を判定する（ステップ７０３）。いまは認証要求元
が認証サーバ１（１３１）からであるので、認証は成功
し、図９の処理を実行することになる。

【００３０】認証サーバ２（１３２）における認証に成
功したので、認証サーバ１（１３１）における処理は、
ステップ８０５からステップ８０６を経て、ステップ８
０８に進む。ここでクライアント（１１１）の証明書１
（１４１）を、次の認証サーバである認証サーバ２（１
３２）に送信し（ステップ８０８）、中継経路受信待ち
に入る（ステップ８０９）。

【００３１】認証サーバ２（１３２）における図９の処
理では、まず、クライアントの証明書１（１４１）を認
証サーバ１（１３１）から受信して一時的に保存し（ス
テップ９０１）、次の認証サーバを中継経路定義情報
（図２）から検索する（ステップ９０２）。検索した結
果、認証サーバ２（１３２）には、サーバ（１１２）に
対する次の認証サーバは登録されていないが、上位の認
証サーバが定義（図４）されているため、ステップ９０
３から９０４を経て、ステップ９０５に進み、認証サー
バ４（１３４）へ接続し、証明書４を付けて認証サーバ
４（１３４）に認証要求を送信する（ステップ９０
５）。

【００３２】認証サーバ４（１３４）は、図７の処理で
接続待ち状態になっているので、認証サーバ２（１３
２）からの認証要求を受信し（ステップ７０１）、認証
サーバ２（１３２）から送信された証明書４（１４４）
と認証サーバ４（１３４）が管理する認証サーバ情報と
を比較して認証を行う（ステップ７０２）。認証に失敗
したときは、コネクションを切断して（ステップ７０
４）、接続待ちに戻る。認証に成功したときは、認証要
求元を判定する（ステップ７０３）。いまは認証要求元
が認証サーバ２（１３２）からであるので、認証は成功
し、図９の処理を実行することになる。

【００３３】認証サーバ４（１３４）における認証に成
功したので、認証サーバ２（１３２）における処理は、
ステップ９０５からステップ９０６を経て、ステップ９
０８に進む。ここでクライアント（１１１）の証明書１
（１４１）を、次の認証サーバである上位の認証サーバ
４（１３４）に送信し（ステップ９０８）、中継経路受
信待ちに入る（ステップ９０９）。

【００３４】認証サーバ４（１３４）における図９の処
理では、まず、クライアントの証明書１（１４１）を認
証サーバ２（１３２）から受信して一時的に保存し（ス
テップ９０１）、次の認証サーバを中継経路定義情報
（図２）から検索する（ステップ９０２）。検索した結
果、認証サーバ４（１３４）には、次の認証サーバは認
証サーバ３（１３３）である旨が登録されている。そこ
で、ステップ９０３から９０５に進み、次の認証サーバ
３（１３３）へ接続し、証明書３を付けて認証サーバ３
（１３３）に認証要求を送信する（ステップ９０５）。

【００３５】認証サーバ３（１３３）は、図７の処理で
接続待ち状態になっているので、認証サーバ４（１３
４）からの認証要求を受信し（ステップ７０１）、認証
サーバ４（１３４）から送信された証明書３（１４３）
と認証サーバ３（１３３）が管理する認証サーバ情報と
を比較して認証を行う（ステップ７０２）。認証に失敗
したときは、コネクションを切断して（ステップ７０
４）、接続待ちに戻る。認証に成功したときは、認証要
求元を判定する（ステップ７０３）。いまは認証要求元
が認証サーバ４（１３４）からであるので、認証は成功
し、図９の処理を実行することになる。

【００３６】認証サーバ３（１３３）における認証に成
功したので、認証サーバ４（１３４）における処理は、
ステップ９０５からステップ９０６を経て、ステップ９
０８に進む。ここでクライアント（１１１）の証明書１
（１４１）を、次の認証サーバである認証サーバ３（１
３３）に送信し（ステップ９０８）、中継経路受信待ち
に入る（ステップ９０９）。また、認証サーバ４（１３
４）では、クライアント（１１１）の認証を行なわない
ため、証明書１（１４１）を一時保存しておく必要が無
いから、証明書１は破棄する。

【００３７】認証サーバ３（１３３）における図９の処
理では、まず、クライアントの証明書１（１４１）を認
証サーバ４（１３４）から受信して一時的に保存し（ス
テップ９０１）、次の認証サーバを中継経路定義情報
（図２）から検索する（ステップ９０２）。検索した結
果、次の認証サーバは無く、Ｅｎｄが検出されるから、
中継するプロキシサーバ３（１２３）の情報（図３）を
認証サーバ４（１３４）へ中継経路情報として送信し
（ステップ９１０）、コネクションを切断する。

【００３８】認証サーバ４（１３４）は、図９のステッ
プ９０９で中継経路受信待ち状態にあるが、認証サーバ
３（１３３）から送られてきた中継経路情報（サーバ
（１１２）に接続するために最後に中継するプロキシサ
ーバがプロキシサーバ３（１２３）であることを示す情
報）を受信して（ステップ９０９）、該受信した中継経
路情報を、認証要求元である認証サーバ２（１３２）へ
送信し（ステップ９１０）、コネクションを切断する。
なお、この認証サーバ４（１３４）におけるステップ９
１０では、中継経路情報に何も付け加えない。図３から
分かるように、認証サーバ４（１３４）には、中継する
プロキシサーバの登録が無いからである。

【００３９】認証サーバ２（１３２）は、図９のステッ
プ９０９で中継経路受信待ち状態にあるが、認証サーバ
４（１３４）から送られてきた中継経路情報を受信して
（ステップ９０９）、該受信した中継経路情報に、中継
するプロキシサーバ２（１２２）の情報（図３）を付加
して、認証要求元である認証サーバ１（１３１）へ送信
し（ステップ９１０）、コネクションを切断する。結果
として、認証サーバ１（１３１）に送られる中継経路情
報は、「サーバ（１１２）に接続するためには、プロキ
シサーバ２，３の順に中継する」という情報になる。

【００４０】認証サーバ１（１３１）は、図８のステッ
プ８０９で中継経路受信待ち状態にあるが、認証サーバ
２（１３２）から送られてきた中継経路情報を受信して
（ステップ８０９）、該受信した中継経路情報をプロキ
シサーバ１（１２１）へ送信し（ステップ８１０）、さ
らに認証成功を示す情報をプロキシサーバ１（１２１）
へ送信する（ステップ８１１）。そして、ステップ７０
４に進み、コネクションを切断する。

【００４１】プロキシサーバ１（１２１）は、認証サー
バ１（１３１）から認証成功の通知を受信すると、ステ
ップ６０４から６０５に進み、クライアント（１１１）
に、認証の成功と共に、中継するプロキシサーバがプロ
キシサーバ２，３であることを通知する（ステップ６０
５）。また、クライアント（１１１）から次の中継先で
あるプロキシサーバ２への接続要求を受信すると（ステ
ップ６０７）、プロキシサーバ２へ接続して、データの
中継を開始する（ステップ６０８）。

【００４２】クライアント（１１１）は、プロキシサー
バ１（１２１）からの認証成功の通知を受信すると、ス
テップ５０４から５０５に進み、次に中継するプロキシ
サーバがプロキシサーバ２（１２２）であるから、プロ
キシサーバ１（１２１）を中継して、プロキシサーバ２
（１２２）へ接続要求を送信し（ステップ５０６）、証
明書１（１４１）を付けてプロキシサーバ２（１２２）
へクライアントの認証要求を送信する（ステップ５０
３）。

【００４３】プロキシサーバ１（１２１）は、ステップ
６０８でデータを中継する状態にあるから、クライアン
ト（１１１）からのプロキシサーバ２（１２２）への接
続要求、および認証要求は、プロキシサーバ１（１２
１）を経て、プロキシサーバ２（１２２）へ送られる。

【００４４】プロキシサーバ２（１２２）は、図６の処
理で接続待ち状態になっているので、クライアント（１
１１）からの証明書１（１４１）付きの認証要求を受信
し（ステップ６０１）、プロキシサーバ２（１２２）が
属する認証サーバ２（１３２）へ接続し（ステップ６０
２）、クライアント（１１１）の認証要求を証明書１
（１４１）を付けて送信する（ステップ６０３）。

【００４５】認証サーバ２（１３２）は、図７の処理で
接続待ち状態になっているので、プロキシサーバ２（１
２２）からのクライアント認証要求を受信し（ステップ
７０１）、受信した証明書１（１４１）を用いて認証を
行う（ステップ７０２）。認証サーバ２（１３２）では
上述した処理により証明書１（１４１）が一時保存され
ているので認証は成功し、ステップ７０２から７０３に
進む。また、認証要求元はクライアントであるので、図
８の処理に進む（ステップ７０３）。図８において、証
明書種別の判定（ステップ８０１）では、受け取った証
明書１（１４１）は認証サーバ２（１３２）が管理する
証明書ではないため、中継経路定義の検索は行わず、認
証が成功した時点でプロキシサーバ２（１２２）へ認証
の成功を送信する（ステップ８１１）。認証終了後は、
認証サーバ２（１３２）は証明書１（１４１）を破棄す
る。

【００４６】プロキシサーバ２（１２２）は、認証サー
バ２（１３２）から認証成功の通知を受信すると、ステ
ップ６０４から６０５に進み、クライアント（１１１）
に、認証の成功を通知する（ステップ６０５）。また、
クライアント（１１１）から次の中継先であるプロキシ
サーバ３への接続要求を受信すると（ステップ６０
７）、プロキシサーバ３へ接続して、データの中継を開
始する（ステップ６０８）。

【００４７】クライアント（１１１）は、プロキシサー
バ２（１２２）からの認証成功の通知を受信すると、ス
テップ５０４から５０５に進み、次に中継するプロキシ
サーバがプロキシサーバ３（１２３）であるから、プロ
キシサーバ１（１２１），２（１２２）を中継して、プ
ロキシサーバ３（１２３）へ接続要求を送信し（ステッ
プ５０６）、証明書１（１４１）を付けてプロキシサー
バ３（１２３）へクライアントの認証要求を送信する
（ステップ５０３）。

【００４８】プロキシサーバ１（１２１），２（１２
２）は、それぞれステップ６０８でデータを中継する状
態にあるから、クライアント（１１１）からのプロキシ
サーバ３（１２３）への接続要求、および認証要求は、
プロキシサーバ１（１２１），２（１２２）を経て、プ
ロキシサーバ３（１２３）へ送られる。

【００４９】プロキシサーバ３（１２３）は、図６の処
理で接続待ち状態になっているので、クライアント（１
１１）からの証明書１（１４１）付きの認証要求を受信
し（ステップ６０１）、プロキシサーバ３（１２３）が
属する認証サーバ３（１３３）へ接続し（ステップ６０
２）、クライアント（１１１）の認証要求を証明書１
（１４１）を付けて送信する（ステップ６０３）。

【００５０】認証サーバ３（１３３）は、図７の処理で
接続待ち状態になっているので、プロキシサーバ３（１
２３）からのクライアント認証要求を受信し（ステップ
７０１）、受信した証明書１（１４１）を用いて認証を
行う（ステップ７０２）。認証サーバ３（１３３）では
上述した処理により証明書１（１４１）が一時保存され
ているので認証は成功し、ステップ７０２から７０３に
進む。また、認証要求元はクライアントであるので、図
８の処理に進む（ステップ７０３）。図８において、証
明書種別の判定（ステップ８０１）では、受け取った証
明書１（１４１）は認証サーバ３（１３３）が管理する
証明書ではないため、中継経路定義の検索は行わず、認
証が成功した時点でプロキシサーバ３（１２３）へ認証
の成功を送信する（ステップ８１１）。認証終了後は、
認証サーバ３（１３３）は証明書１（１４１）を破棄す
る。

【００５１】プロキシサーバ３（１２３）は、認証サー
バ３（１３３）から認証成功の通知を受信すると、ステ
ップ６０４から６０５に進み、クライアント（１１１）
に、認証の成功を通知する（ステップ６０５）。また、
クライアント（１１１）から次の接続先であるサーバ
（１１２）への接続要求を受信すると（ステップ６０
７）、サーバ（１１２）へ接続して、データの中継を開
始する（ステップ６０８）。

【００５２】クライアント（１１１）は、プロキシサー
バ３（１２３）からの認証成功の通知を受信すると、ス
テップ５０４から５０５に進み、次に中継するプロキシ
サーバは無いから、サーバへの接続要求を送信する（ス
テップ５０７）。このときプロキシサーバ１（１２
１），２（１２２），３（１２３）は、何れもステップ
６０８でデータを中継する状態にある。クライアント
（１１１）は、サーバ（１１２）との通信を開始する
（ステップ５０８）。通信が終了したら（ステップ５０
９）、コネクションを切断する（ステップ５１０）。こ
れにより、各プロキシサーバのコネクションも次々に切
断される（ステップ６０９）。

【００５３】クライアントの認証や、認証サーバ間の認
証が失敗した場合は、失敗した時点で順次コネクション
を切断し、クライアントアプリケーションにサーバへの
接続失敗を通知する。

【００５４】

【発明の効果】以上説明したように、本発明によれば、
全ての中継するプロキシサーバが属する認証サーバから
証明書を事前に配布しておく必要がなく、ユーザの管理
が容易にできる。また、認証サーバを階層化して認証サ
ーバグループを形成することにより、認証サーバグルー
プの中で最初に認証要求を受信する下位の認証サーバ全
てに設定しなければいけない中継経路を、上位の１台の
認証サーバで管理することができる。

【図面の簡単な説明】

【図１】本発明の実施の形態を示すシステム構成図。

【図２】各認証サーバに定義する、接続先サーバに対し
て次に中継するプロキシサーバの情報を持っている認証
サーバを定義する説明図。

【図３】各認証サーバに定義する、接続先サーバへの接
続を中継するプロキシサーバを定義する説明図。

【図４】各認証サーバに定義する、認証サーバのグルー
プを構成するために上位の認証サーバを定義する説明
図。

【図５】クライアントのＶＰＮとしての動作を示すフロ
ーチャート図。

【図６】プロキシサーバの動作を示すフローチャート
図。

【図７】認証サーバの動作を示すメインフローチャート
図。

【図８】認証サーバがクライアントとの認証処理を示す
サブフローチャート図。

【図９】認証サーバが認証サーバ間の認証処理を示すサ
ブフローチャート図。

【符号の説明】

１０１，１０２，１０３，１０４…それぞれ独立した
（透過でない）ネットワーク１，２，３，４。 １１１…クライアントアプリケーションが動作する計算
機。 １１２…サーバアプリケーションが動作してクライアン
トからの接続を待機する計算機。 １２１，１２２，１２３…ネットワーク間を中継する計
算機。 １３１，１３２，１３３，１３４…クライアントのユー
ザ認証と認証サーバ間の認証を行う計算機。 １４１…認証サーバ１からクライアントへ配布した証明
書。 １４２…認証サーバ２から認証サーバ１へ配布した証明
書。 １４３…認証サーバ３から認証サーバ４へ配布した証明
書。 １４４…認証サーバ４から認証サーバ２へ配布した証明
書。

Claims (3)

【特許請求の範囲】
1. 【請求項１】ネットワーク接続されたクライアントとサ
   ーバとの間に置かれた複数のプロキシサーバと、クライ
   アントとプロキシサーバとの間の認証を管理する認証サ
   ーバとを備えた認証システムにおけるユーザ管理方法で
   あって、 あらかじめ、前記クライアントから前記プロキシサーバ
   を介して前記サーバにアクセスするユーザについて、前
   記クライアントに最も近い認証サーバに登録し、該認証
   サーバから証明書の配布を受けておくとともに、 あらかじめ、認証サーバ同士で認証を行なうための証明
   書を、所定の認証サーバ間で受け渡しておくことを特徴
   とする認証システムにおけるユーザ管理方法。
2. 【請求項２】ネットワーク接続されたクライアントとサ
   ーバとの間に置かれた複数のプロキシサーバと、クライ
   アントとプロキシサーバとの間の認証を管理する認証サ
   ーバとを備えた認証システムにおけるユーザ管理方法で
   あって、 あらかじめ、前記クライアントから前記プロキシサーバ
   を介して前記サーバにアクセスするユーザについて、前
   記クライアントに最も近い認証サーバに登録し、該認証
   サーバから証明書の配布を受けておくステップと、 あらかじめ、認証サーバ同士で認証を行なうための証明
   書を、所定の認証サーバ間で受け渡しておくステップ
   と、 前記クライアントから前記サーバに接続するとき、前記
   クライアントから該クライアントに最も近い認証サーバ
   に接続して認証を行なうステップと、 前記クライアントに最も近い認証サーバから、次に中継
   するプロキシサーバの属する認証サーバへ、接続し、認
   証サーバ間で受け渡した証明書を用いて認証サーバ間の
   認証を行なうとともに、前記クライアントの証明書を受
   け渡し、これを要求受付先のサーバに最も近いプロキシ
   サーバの属する認証サーバに辿り着くまで繰り返すこと
   により、前記クライアントからサーバへ接続する際に中
   継するプロキシサーバの経路情報を取得するステップ
   と、 中継するプロキシサーバの経路情報を前記クライアント
   に送るステップと、 前記経路情報に基づいて、前記クライアントと前記プロ
   キシサーバとの間の認証を行なっていくことにより、前
   記クライアントと前記サーバ間の接続を確立するステッ
   プとを備えたことを特徴とする認証システムにおけるユ
   ーザ管理方法。
3. 【請求項３】前記中継するプロキシサーバを、階層化し
   た認証サーバで管理することを特徴とする請求項１また
   は２の何れか１つに記載の認証システムにおけるユーザ
   管理方法。