WO2014049709A1 - ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置 - Google Patents

ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置 Download PDF

Info

Publication number
WO2014049709A1
WO2014049709A1 PCT/JP2012/074689 JP2012074689W WO2014049709A1 WO 2014049709 A1 WO2014049709 A1 WO 2014049709A1 JP 2012074689 W JP2012074689 W JP 2012074689W WO 2014049709 A1 WO2014049709 A1 WO 2014049709A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
policy
service provider
determination
request message
Prior art date
Application number
PCT/JP2012/074689
Other languages
English (en)
French (fr)
Inventor
実 西澤
山本　純一
浩二 合田
泰臣 采
誠也 平原
裕一郎 江崎
山田　正隆
Original Assignee
株式会社 東芝
東芝ソリューション株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社 東芝, 東芝ソリューション株式会社 filed Critical 株式会社 東芝
Priority to JP2012544355A priority Critical patent/JP5422753B1/ja
Priority to SG11201502282QA priority patent/SG11201502282QA/en
Priority to CN201280076072.3A priority patent/CN104685511B/zh
Priority to PCT/JP2012/074689 priority patent/WO2014049709A1/ja
Publication of WO2014049709A1 publication Critical patent/WO2014049709A1/ja
Priority to US14/670,036 priority patent/US9571525B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations

Definitions

  • Embodiments of the present invention relate to a policy management system, an ID provider system, and a policy evaluation apparatus.
  • Identity management is a technology that manages the entire life cycle of identities from registration to modification and deletion in various services and systems in order to ensure the safety and convenience of information about individuals and organizations.
  • identity is the total information that identifies an individual, group, organization / company in a certain situation, and includes identifiers, credentials, and attributes.
  • An identifier is information for identifying an identity, and corresponds to an account, an employee number, or the like.
  • the credential is information for indicating the validity of certain information content, and includes a password.
  • An attribute is information that characterizes an identity, such as a name, an address, or a date of birth.
  • SSO Single sign-on
  • SSO is a technology that can use a plurality of applications and services in a single authentication procedure.
  • SSO often integrates authentication provided by multiple applications in a single domain such as an intranet of a single company.
  • SSO is generally realized by a method in which an authentication result is included in an HTTP cookie and the authentication result is shared between applications. Further, such an SSO method has been individually manufactured as an access management product by an SI (System Integration) vendor or a middleware vendor.
  • SI System Integration
  • SAML Security Assertion Markup Language
  • OASIS Organization for the Advancement of Structured Information Standards
  • SAML is a specification in which a representation format of information related to authentication, authorization, and attributes, and a transmission / reception procedure are defined, and is systematically defined to enable various implementation forms according to purposes.
  • the configuration of the subject consists of an identity provider (Identity Provider, hereinafter abbreviated as IdP, referred to as ID provider), a service provider (Service Provider, hereinafter abbreviated as SP, service provider), and a user, issued by an ID provider.
  • IdP Identity Provider
  • SP Service Provider
  • SP Service Provider
  • the first point is that a trust relationship is established between the service provider and the ID provider through business and technical information exchange and consensus building.
  • the second point is that one user has an individual account for each service provider, and the individual SP account and the ID provider account are linked in advance. SSO cannot be started unless these preparations such as the construction of trust relationships and prior account linkage are completed.
  • SSO is realized according to the following procedures (1) to (6).
  • the procedure of SSO via a Web browser will be described.
  • a user requests a service provider to provide a service.
  • the service provider Since the service provider has not yet authenticated the user, the service provider sends an authentication request to the ID provider via the user's Web browser.
  • the ID provider authenticates the user by some means and creates an authentication assertion.
  • SAML does not define authentication means, but defines a mechanism for transmitting an authentication assertion to a service provider.
  • the authentication assertion includes information such as the type of authentication means and how the credentials are created in order to determine whether the service provider can trust the authentication result.
  • the ID provider returns an authentication result including the created authentication assertion to the service provider via the Web browser on the user side.
  • the service provider determines whether to provide the service based on the authentication result of the ID provider.
  • the user receives service provision from the service provider.
  • a user can use a plurality of services without performing a further authentication procedure only by performing a single authentication procedure with an ID provider.
  • middleware vendors that have implemented individual SSO methods sell access management products that implement SAML's ID provider / service provider functions and SAML service providers to ensure cross-domain interoperability. Introduction to commercial Web services that implement functions.
  • the IS department performs a large amount of pre-processing according to a large number of users belonging to the company in a lump, or after a procedure through a series of approval flows at any timing by the user, the account registration and cooperation for the user I do.
  • a system that performs account registration and linkage during the SSO process has a seamless mechanism for determining service availability without human intervention.
  • a company updates its policy from the viewpoint of security when organizational changes or personnel changes occur.
  • it is necessary to perform a handover operation associated with the organizational change or personnel change. If the policy is updated immediately without human intervention, the service used for the handover operation is not available. Inconvenience that it cannot be used may occur. For this reason, in general, policy updating due to organizational changes or personnel changes is performed manually (that is, the user performs policy updating work).
  • the problem to be solved by the present invention is to provide a policy management system, an ID provider system, and a policy evaluation device that can implement a policy update operation without human intervention.
  • the policy management system of the embodiment includes a user terminal, an ID provider system that manages the identity of a user who operates the user terminal, and a service provider system that provides service data to the user terminal.
  • the user terminal includes login execution means, first transmission means, and reproduction means.
  • the login execution means executes a login process with the ID provider system according to a user operation.
  • the first transmission means issues an access request message issued during the login process and including an ID provider authentication token including a user ID for identifying the user and a service provider ID for identifying the service provider system to the ID provider system. Send to.
  • the reproduction means receives service data transmitted from the service provider system and reproduces the received service data.
  • the ID provider system includes a first storage unit, a second storage unit, a third storage unit, a first acquisition unit, a first determination unit, a second acquisition unit, a confirmation unit, a notification reception unit, a policy evaluation unit, and a second determination.
  • the first storage means stores user attribute information that associates an item name and an item value of a user attribute for specifying the user and includes at least a user ID.
  • the second storage means is a determination condition for permitting transmission of service data by a service provider system identified by the service provider ID for each service provider ID, and a plurality of conditions identified by the determination ID Each of these conditions further includes a determination condition that includes a plurality of detailed conditions and responsibilities, and a period in which not only the new policy but also the determination result based on the determination condition of the old policy is referred to when moving from the old policy to the new policy.
  • a pair of old and new policies defining at least a transition period is stored.
  • the third storage means includes, for each service provider ID, a first difference determination condition referred to when a transmission date of the transmitted access request message is within the transition period, and the transmitted access request message.
  • Difference correspondence definition information that defines at least a second difference determination condition that is referred to when the transmission date is outside the transition period and that includes a condition identified by a difference correspondence ID and a duty Is stored.
  • the first acquisition means When the first acquisition means receives the transmitted access request message, the first acquisition means acquires a new policy corresponding to the service provider ID in the access request message.
  • the first determination unit determines whether or not the transmission date of the access request message is included in the transition period defined in the acquired new policy.
  • the second acquisition unit acquires an old policy corresponding to the acquired new policy when indicating that the determination result by the first determination unit is included.
  • the confirmation unit obtains user attribute information stored in the first storage unit based on the user ID included in the ID provider authentication token in the access request message, and the user ID is included in the access request message. It is confirmed whether it is stored in the service provider system identified by the service provider ID.
  • the notification receiving unit receives a notification transmitted from the service provider system and indicating to the confirmation unit that the user ID is stored or not stored.
  • the policy evaluation means evaluates the acquired new policy or the acquired new policy and the old policy based on the acquired user attribute information.
  • the second determination unit determines whether or not the difference correspondence definition information needs to be acquired based on the evaluation result by the policy evaluation unit and the notification received by the notification reception unit.
  • the third acquisition unit acquires the difference correspondence definition information when indicating that the determination result by the second determination unit is necessary.
  • the determination means determines an applicable determination ID based at least on the evaluation result (however, when the difference correspondence definition information is acquired by the third acquisition means, refer to the difference correspondence definition information).
  • the execution requesting unit requests execution of the obligation within the condition identified by the determined determination ID (however, the determination unit refers to the second difference determination condition defined in the difference correspondence definition information). If it is, the duty within the second difference determination condition is requested to be executed).
  • the second transmission unit In response to a request from the execution request unit, the second transmission unit sends an authentication cooperation message including at least a user ID included in the ID provider authentication token in the access request message to a service provider in the access request message. Sent to the service provider system identified by the ID.
  • the third transmitting unit displays rejection screen information for displaying that transmission of service data by the service provider identified by the service provider ID in the access request message is rejected. Transmit to the user terminal.
  • the service provider system includes fourth storage means, issue means, and fourth transmission means.
  • the fourth storage means stores user attribute information in which item names and item values of user attributes for specifying users who use service data are associated with each other.
  • the issuing means When the issuing means receives the transmitted authentication cooperation request message, it verifies the validity of the authentication cooperation request message based on the user ID in the authentication cooperation request message, and the verification result is valid
  • the service provider authentication token including the user ID used for the verification is issued.
  • the fourth transmission means transmits service data to the user terminal identified by the user ID in the issued service provider authentication token.
  • FIG. 1 is a schematic diagram illustrating a configuration example of a policy management system according to an embodiment.
  • FIG. 2 is a schematic diagram showing an example of an old policy stored in the policy storage device according to the embodiment.
  • FIG. 3 is a schematic diagram showing an example of a new policy stored in the policy storage device according to the embodiment.
  • FIG. 4 is a schematic diagram illustrating an example of the difference correspondence definition information stored in the difference correspondence definition storage device according to the embodiment.
  • FIG. 5 is a schematic diagram showing a configuration example of the policy evaluation apparatus according to the embodiment.
  • FIG. 6 is a sequence diagram showing an example of the operation of the policy management system according to the embodiment.
  • FIG. 7 is a sequence diagram showing an example of the operation of the policy management system according to the embodiment.
  • FIG. 8 is a sequence diagram showing an example of the operation of the policy management system according to the modification of the embodiment.
  • FIG. 1 is a schematic diagram showing a configuration example of a policy management system according to an embodiment
  • FIG. 2 is a schematic diagram showing an example of an old policy stored in a policy storage device according to the embodiment
  • FIG. FIG. 4 is a schematic diagram showing an example of a new policy stored in the policy storage device according to the embodiment
  • FIG. 4 shows an example of policy difference correspondence definition information stored in the policy difference correspondence definition storage device according to the embodiment
  • FIG. 5 is a schematic diagram showing a configuration example of the policy evaluation apparatus according to the embodiment
  • the policy management system 1 includes a user terminal 100 operated by a user, an ID provider system 200, and a plurality of service provider systems 300. Although there are usually a plurality of service provider systems 300, only one is shown here.
  • detailed functions of the devices 100 to 300 will be described.
  • the user terminal 100 is a device having a normal computer function and capable of communicating with the ID provider system 200 and each service provider system 300. For example, a service provided by the service provider system 300 according to a user operation is provided. A function of transmitting an access request message for requesting use, a function of executing a login process with the ID provider system 200, a function of receiving service data from the service provider system 300, and a service stored in a memory in advance The CPU has a function of playing back the received service data by executing a use application. The user terminal 100 has a function of redirecting (replying) various messages transmitted from the ID provider system 200 and the service provider systems 300.
  • the ID provider system 200 manages user identities, and includes a user attribute information storage device 201, a policy storage device 202, a policy difference correspondence definition storage device 203, an authentication linkage device 204, a corporate portal device 205, a policy.
  • An evaluation device 206, an ID provisioning device 207, and a rejection screen display device 208 are provided.
  • the user attribute information storage device 201 stores user attribute information that is identity information related to a user of an organization in which the ID provider system 200 is arranged. Specifically, the user attribute information storage device 201 is user attribute information in which an item name and an item value of a user attribute for specifying a user are associated, and a user ID for identifying the user, A plurality of user attribute information including the name, the user's affiliation, the user's title, and the reference information referred to during the user's login process in the item name.
  • the user attribute information is a collection of information characterizing personal information.
  • the user name, the user affiliation, the user job title, and the user login process are referred to.
  • reference information etc. are mentioned, it is not restricted to these, For example, arbitrary item names, such as a telephone number and a work status, and an item value may be further included.
  • the normal password is used as reference information to be referred to at the time of user login processing, the reference information is not limited thereto, and may be biometric authentication information such as a user's fingerprint.
  • the policy storage device 202 stores a pair of old policy 202 a and new policy 202 b for each service provider ID that identifies the service provider system 300. Specifically, the policy storage apparatus 202 determines, for each service provider ID, a determination condition for permitting the service provider system 300 identified by the service provider ID to transmit service data to the user terminal 100, and the determination. A pair including an effective period in which the result of determination based on the condition is valid and a transition period (also referred to as a transition grace period) that also refers to the determination result based on the determination condition of the old policy when shifting from the old policy 202a to the new policy 202b. The old policy 202a and the new policy 202b are stored.
  • the determination condition includes a plurality of conditions identified by the determination ID, and these conditions further include a plurality of detailed conditions and responsibilities.
  • a policy generally defines who (subject) can perform what kind of operation (action) for which system resource (resource) (that is, permit or deny). As an option, responsibility is also defined.
  • the policy difference correspondence definition storage device 203 stores policy difference correspondence definition information 203a for each service provider ID for identifying the service provider system 300, as shown in FIG. Specifically, the policy difference correspondence definition storage device 203 transmits the first difference determination condition referred to when the transmission date of the access request message transmitted from the user terminal 100 is within the transition period, and the transmission from the user terminal 100.
  • the policy difference correspondence definition information 203a including the second difference determination condition referred to when the transmission date of the access request message is outside the transition period is stored.
  • the first difference determination condition includes a plurality of conditions identified by the difference correspondence ID, and these conditions further include a plurality of detailed conditions and an indication of the determination ID to be applied.
  • the second difference correspondence determination condition includes a condition identified by the difference correspondence ID and a responsibility.
  • the authentication linkage device 204 has a single sign-on ID provider function. Specifically, the authentication collaboration apparatus 204 has the following functions (f204-1) to (f204-4).
  • (F204-1) A function of executing a login process for authenticating the user ID and user authentication information transmitted from the user terminal 100 based on the user ID and reference information in the user attribute information storage device 201.
  • F204-2 A function of issuing an ID provider authentication token including the user ID used for the login process to the user terminal 100 when the login process is successful.
  • (f204-4) A function of transmitting an authentication collaboration request message including the created authentication assertion to the authentication collaboration device 302 in the service provider system 300 via the user terminal 100, that is, redirecting the authentication collaboration request message to the user terminal 100 A function to transmit to the authentication collaboration apparatus 302 in the service provider system 300 using the function.
  • the enterprise portal apparatus 205 When the enterprise portal apparatus 205 receives an input of an access request message from the user terminal 100, the enterprise portal apparatus 205 transfers the access request message that has received the input to the policy evaluation apparatus 206.
  • the access request message includes an ID provider authentication token issued by the authentication cooperation apparatus 204 and a service provider ID indicating the service provider system 300 that can provide service data that the user desires to use.
  • the policy evaluation device 206 When the policy evaluation device 206 receives an input of the access request message from the company portal device 205, the policy evaluation device 206 receives the input based on the old policy 202a and / or the new policy 202b stored in the policy storage device 202. It is determined whether or not transmission of service data to the user terminal 100 by the service provider system 300 identified by the service provider ID is permitted. Details of the policy evaluation device 206 will be described later.
  • the ID provisioning device 207 transmits an authentication cooperation request to the authentication cooperation device 204, and also relates to user attribute information stored in the user attribute information storage device 301 in the service provider system 300. , User attribute information registration request processing, update request processing, deletion request processing, and search request processing are executed.
  • the rejection screen display device 208 displays rejection screen information indicating that the transmission of service data by the service provider system 300 identified by the service provider ID in the access request message is rejected in response to an instruction from the policy evaluation device 206. It transmits to the user terminal 100, that is, a rejection screen is displayed on the user terminal 100.
  • the policy evaluation apparatus 206 includes a policy evaluation request unit 211, a new policy acquisition unit 212, an old policy necessity determination unit 213, an old policy acquisition unit 214, an attribute information collection unit 215, a policy evaluation unit 216, A policy difference correspondence determination unit 217, a policy difference correspondence definition acquisition unit 218, and an ID provisioning execution request unit 219 are provided.
  • the service evaluation system 211 When the policy evaluation request unit 211 receives an input of an access request message from the enterprise portal device 205, the service evaluation system 211 service the user terminal 100 by the service provider system 300 identified by the service provider ID in the received access request message.
  • the new policy 202b is acquired via the new policy acquisition unit 212 among the policies that define the determination conditions for permitting data transmission.
  • the old policy necessity determination unit 213 uses the transition period defined in the new policy acquired by the policy evaluation request unit 211 to determine whether or not the transmission date of the access request message by the user terminal 100 is included in the transition period. Determine whether. When indicating that the result of this determination is included, the old policy necessity determination unit 213 acquires the old policy 202a corresponding to the new policy 202b acquired by the policy evaluation request unit 211 via the old policy acquisition unit 214. To do. When the determination result indicates NO, the old policy necessity determination unit 213 determines that it is not necessary to acquire the old policy 202a, and does not acquire the old policy.
  • the attribute information collection unit 215 acquires user attribute information from the user attribute information storage device 201 using the user ID included in the ID provider authentication token in the access request message.
  • the attribute information collection unit 215 confirms whether or not the acquired user attribute information is stored in the user attribute information storage device 301 in the service provider system 300 via the ID provisioning device 207, that is, the acquired user attribute
  • the ID provisioning device 207 is instructed to search the user attribute information storage device 301 in the service provider system 300 using the information.
  • the policy evaluation unit 216 uses the user attribute information acquired by the attribute information collection unit 215 to evaluate the acquired policy. Specifically, the policy evaluation unit 216 evaluates both the old policy 202a and the new policy 202b. Only policy 202b is evaluated.
  • the policy difference correspondence determination unit 217 is stored in the policy difference correspondence definition storage device 203 based on the evaluation result by the policy evaluation unit 216 (that is, the establishment of any one of a plurality of conditions defined in the policy). It is determined whether it is necessary to acquire the policy difference correspondence definition information 203a. Specifically, the policy difference correspondence determination unit 217 has the following functions (f217-1) to (f217-7).
  • (F217-1) A function for determining whether both the old policy 202a and the new policy 202b have been evaluated by the policy evaluation unit 216 or only the new policy 202b has been evaluated.
  • the policy difference correspondence determination unit 217 determines that the evaluation result of the old policy 202a by the policy evaluation unit 216 and the new policy A function of determining whether or not the evaluation result of 202b matches.
  • (F217-3) A function that determines that it is not necessary to acquire the policy difference correspondence definition information 203a when the result of the determination by (f217-2) indicates a match.
  • (F217-7) A function that determines that it is not necessary to obtain the policy difference correspondence definition information 203a when the result of the determination in (f217-5) indicates NO.
  • the ID provisioning execution request unit 219 is defined as a policy that is prioritized according to the definition of the acquired policy difference correspondence definition information 203a when the policy difference correspondence definition information 203a is acquired by the policy difference correspondence determination unit 217. Execute the process according to the obligation in the condition. Further, the ID provisioning execution request unit 219 performs a process according to the obligation in the established condition based on the evaluation result by the policy evaluation unit 216 when the policy difference correspondence definition information 203a is not acquired by the policy difference correspondence determination unit 217. Execute.
  • processing for transmitting an authentication collaboration transmission request to the ID provisioning device 207 in order to cause the ID provisioning device 207 to transmit an authentication collaboration request within the service provider system 300
  • Processing for transmitting a deletion transmission request to the ID provisioning device 207 for transmitting a deletion request for deleting the user attribute information stored in the user attribute information storage device 301 of the user, for causing the rejection screen display device 208 to transmit the rejection screen information For example, processing for transmitting a rejection screen information transmission request to the rejection screen display device 208, and the like.
  • the service provider system 300 provides service data to the user terminal 100.
  • the service provider system 300 includes a user attribute information storage device 301, an authentication cooperation device 302, a service providing device 303, and an ID provisioning device 304. I have.
  • the user attribute information storage device 301 stores user attribute information which is identity information of a user who uses service data by the service provider system 300.
  • This user attribute information may be composed of the same item name as the user attribute information stored in the user attribute information storage device 201 in the ID provider system 200, or the user attribute stored in the user attribute information storage device 201 It may consist of part of the item name of the information.
  • the authentication linkage device 302 has a single sign-on service provider function. Specifically, the authentication collaboration apparatus 302 has the following functions (f302-1) to (f302-3).
  • the assertion body corresponding to the digital signature is decrypted using the signature verification key included in the authentication assertion. Thereafter, the validity of the authentication cooperation request message is verified by determining whether or not the user ID included in the decrypted assertion body is stored in the user attribute information storage device 301.
  • (F302-2) A function that issues a service provider authentication token including the user ID used for the verification when the verification result by the function (f302-1) indicates that the verification is valid.
  • the issued service provider authentication token is stored in a cookie included in the HTTP request when the access request message from the user is in the form of an HTTP request.
  • (F302-3) A function for transmitting a service provision request message including a service provider authentication token issued by the function (f302-2) to the user terminal 100.
  • the service providing apparatus 303 When the service providing apparatus 303 receives an input of a service provision request message returned by the redirect function of the user terminal 100, the service providing apparatus 303 transmits service data that can be provided by the service provider system 300 to the user terminal 100.
  • the ID provisioning apparatus 304 executes a registration process, an update process, a deletion process, and a search process for user attribute information stored in the user attribute information storage apparatus 301 in accordance with a request from the ID provisioning apparatus 207 in the ID provider system 200.
  • pre-processing using the functions (f204-1) and (f204-2) of the authentication collaboration apparatus 204 is executed in advance, and an ID provider authentication token has already been issued.
  • the user who operates the user terminal belongs to “X department”, the title is “boss”, and the date (transmission date) when the access request message is transmitted by the user terminal is “2011 / Assume that it is 10/10 ”.
  • the user terminal 100 receives an ID provider authentication token issued at the time of pre-processing and a service provider ID indicating the service provider system 300 that can provide service data that the user desires to use in response to a user operation.
  • the access request message including this is transmitted to the ID provider system 200 (step S1).
  • the company portal device 205 in the ID provider system 200 transfers the access request message that has received the input to the policy evaluation device 206 (step S2).
  • the policy evaluation request unit 211 in the policy evaluation apparatus 206 receives an input of the access request message from the enterprise portal apparatus 205, the service provider identified by the service provider ID in the access request message that has received the input.
  • the new policy 202b is acquired through the new policy acquisition unit 212 among the policies that define the determination conditions for permitting transmission of service data to the user terminal 100 by the system 300 (step S3).
  • the new policy 202b shown in FIG. 3 has been acquired.
  • the old policy necessity determination unit 213 uses the transition period defined in the new policy 202b acquired in the process of step S3, and the transmission date of the access request message by the user terminal 100 is included in the transition period. It is determined whether or not (step S4). In this case, since the transmission date of the access request message is “2011/10/10” and the transition period defined in the new policy 202b is “2011/10/1 to 2011/10/30”, the access request message It is determined that the message transmission date is included in the transition period.
  • step S4 If the result of the determination at step S4 indicates NO, the process proceeds to step S6 described later.
  • step S4 When the determination result in step S4 indicates that the transition period is included, the old policy necessity determination unit 213 acquires the old policy 202a corresponding to the new policy 202b acquired in the process of step S3. Obtained via the unit 214 (step S5). Here, it is assumed that the old policy 202a shown in FIG. 2 has been acquired.
  • the attribute information collection unit 215 acquires user attribute information from the user attribute information storage device 201 using the user ID included in the ID provider authentication token in the access request message. After that, the attribute information collection unit 215 confirms whether or not the acquired user attribute information is stored in the user attribute information storage device 301, by using a user ID (user name or user name) in the acquired user attribute information. A confirmation request message including the user attribute information itself is transmitted to the ID provisioning apparatus 304 via the ID provisioning apparatus 207. When receiving the input of the confirmation request message transmitted from the attribute information collection unit 215, the ID provisioning device 304 determines whether or not the user attribute information storage device 301 includes the user ID in the confirmation request message that has received the input.
  • step S6 the ID provider system 200 has received a notification that the user ID in the user attribute information acquired by the attribute information collection unit 215 is stored in the user attribute information storage device 301.
  • the policy evaluation unit 216 uses the user attribute information acquired in the process of step S6 to evaluate the policies acquired up to the process, that is, evaluates both the new policy 202b and the old policy 202a. Or only the new policy 202b is evaluated (step S7). Here, both the new policy 202b and the old policy 202a are evaluated.
  • the user's affiliation is “X department”
  • the title is “boss”
  • the user ID of the service provider system has been registered”, so the determination of the new policy 202b shown in FIG.
  • the determination condition of ID “NEW-DENY-3” is satisfied (that is, determination ID “NEW-DENY-3” is satisfied).
  • the determination condition of the determination ID “OLD-PERMIT-2” of the old policy 202a is satisfied (that is, the determination ID “OLD-PERMIT-2” is satisfied).
  • the policy difference correspondence determination unit 217 acquires the policy difference correspondence definition information 203a stored in the policy difference correspondence definition storage device 203 using the functions (f217-1) to (f217-7) described above. It is determined whether or not it is necessary (step S8).
  • step S7 both the new policy 202b and the old policy 202a are evaluated, the determination ID “NEW-DENY-3” is established (that is, rejected) in the new policy 202b, and the determination ID is determined in the old policy 202a. Since “OLD-PERMIT-2” is established (that is, permitted), the policy difference correspondence determining unit 217 determines that it is necessary to acquire the policy difference correspondence definition information 203a, and the policy difference shown in FIG.
  • the correspondence definition information 203a is acquired via the policy difference correspondence definition acquisition unit 218.
  • the ID provisioning execution request unit 219 executes a process in accordance with the obligation within the condition identified by the applied determination ID (step S9).
  • the ID provisioning execution request unit 219 since the policy difference correspondence definition information 203a is acquired in the process of step S8, the ID provisioning execution request unit 219 refers to the policy difference correspondence definition information 203a, and identifies with the difference correspondence ID “DIFF-2”.
  • the duty “execution of authentication collaboration request” within the condition identified by the determination ID “OLD-PERMIT-2” is performed, that is, the authentication collaboration transmission request is transmitted to the ID provisioning device 207.
  • the ID provisioning apparatus 207 transmits the authentication cooperation request to the authentication cooperation apparatus 204 (step S10).
  • the authentication cooperation apparatus 204 when receiving the authentication cooperation request from the ID provisioning apparatus 207, the authentication cooperation apparatus 204 applies a signature generation key (private key) in a key storage device (not shown) to the assertion body including the user ID in the ID provider authentication token. ) Is generated, and an authentication assertion including the assertion body, the digital signature, and a signature verification key (public key) corresponding to the signature generation key is created (step S11).
  • a signature generation key private key
  • a key storage device not shown
  • the authentication collaboration apparatus 204 transmits an authentication collaboration request message including the authentication assertion created in the process of step S11 to the authentication collaboration apparatus 302 via the user terminal 100 (step S12).
  • the authentication collaboration apparatus 302 in the service provider system 300 receives an input of the authentication collaboration request message transmitted from the authentication collaboration apparatus 204, the digital authentication included in the authentication assertion in the authentication collaboration request message that has received the input.
  • the signature is verified using the signature verification key included in the authentication assertion.
  • the authentication collaboration apparatus 302 decrypts the assertion body corresponding to the digital signature using the signature verification key included in the authentication assertion, and then the user ID included in the decrypted assertion body stores the user attribute information.
  • the validity of the authentication cooperation request message is verified by determining whether it is stored in the device 301 (step S13).
  • the authentication collaboration device 302 determines that the authentication collaboration request message is valid.
  • a service provider authentication token including the user ID is issued.
  • the authentication collaboration apparatus 302 transmits a service provision request message including the service provider authentication token issued in the process of step S13 to the user terminal 100 (step S14).
  • the user terminal 100 redirects (replies) the service provision request message that has received the input to the service provider system 300 (step S15). .
  • the service providing apparatus 303 in the service provider system 300 transmits service data that can be provided by the service provider system 300 to the user terminal 100. (Step S16).
  • the user terminal 100 reproduces the service data that has received the input (step S17).
  • the policy update operation can be realized without human intervention by the configuration including the ID provider system 200 including the difference correspondence definition information storage device 203 and the policy evaluation device 206.
  • steps S1 to S3 are executed in the same manner as in the above-described embodiment.
  • step S4 the transmission date of the access request message is “2011/11/1”, and the transition period defined in the new policy 202b is “2011/10/1 to 2011/10/30”. It is determined that the transmission date of the access request message is not included in the transition period (that is, it is determined that it is outside the transition period). For this reason, the process of step S5 is abbreviate
  • step S6 is executed in the same manner as in the above-described embodiment.
  • the policy evaluation unit 216 evaluates only the new policy 202b. In this case, since the user belongs to “Department X”, the title is “Chief”, and “User ID of service provider system is registered”, the determination ID “NEW- of the new policy 202b shown in FIG. The determination condition “DENY-3” is satisfied (that is, the determination ID “NEW-DENY-3” is satisfied).
  • step S8 only the new policy 202b is evaluated in the process of step S7, and the determination ID “NEW-DENY-3” is established (that is, rejected) in the new policy 202b, and (by the process of step S6 described above) ) Since the attribute information collection unit 215 confirms that the user attribute information is stored, the policy difference correspondence determination unit 217 determines that the policy difference correspondence definition information 203a needs to be acquired, and FIG. The policy difference correspondence definition information 203a is acquired via the policy difference correspondence definition acquisition unit 218.
  • the ID provisioning execution request unit 219 since the policy difference correspondence definition information 203a is acquired in the process of step S8, the ID provisioning execution request unit 219 refers to the policy difference correspondence definition information 203a and then determines the difference correspondence ID “DIFF ⁇ According to the condition identified by 5 ”, the duty“ execute the rejection screen display ”within the condition identified by the judgment ID“ NEW-DENY-3 ”and the duty“ delet the service provider system user ID ” I do. That is, the ID provisioning execution request unit 219 transmits a rejection screen information transmission request to the rejection screen display device 208 and transmits a deletion transmission request to the ID provisioning device 207.
  • the ID provisioning apparatus 207 transmits a deletion request message including the user ID in the ID provider authentication token to the ID provisioning apparatus 304 (step S18).
  • the ID provisioning device 304 in the service provider system 300 receives an input of the deletion request message transmitted from the ID provisioning device 207, the ID provisioning device 304 uses the user ID (user attribute information) in the deletion request message that has received the input. Delete from the user attribute information storage device 301 (step S19).
  • the rejection screen display device 208 receives the rejection screen information transmission request transmitted in the process of step S9, it transmits the rejection screen information to the user terminal 100 (step S20).
  • the user terminal 100 displays a rejection screen in accordance with the rejection screen information that has received the input (step S21).
  • the update operation of the system environment accompanying the policy update (that is, the deletion of the user ID (user attribute information) stored in the user attribute information storage device 301) can be realized without human intervention. it can.
  • the storage medium can store a program and can be read by a computer
  • the storage format may be any form.
  • an OS operating system
  • MW middleware
  • database management software network software
  • the storage medium in each embodiment is not limited to a medium independent of a computer, but also includes a storage medium in which a program transmitted via a LAN, the Internet, or the like is downloaded and stored or temporarily stored.
  • the number of storage media is not limited to one, and the case where the processing in each of the above embodiments is executed from a plurality of media is also included in the storage media in the present invention, and the media configuration may be any configuration.
  • the computer in each embodiment executes each process in each of the above embodiments based on a program stored in a storage medium, and a single device such as a personal computer or a plurality of devices are connected to a network. Any configuration of the system or the like may be used.
  • the computer in each embodiment is not limited to a personal computer, and includes an arithmetic processing device, a microcomputer, and the like included in an information processing device, and is a generic term for devices and devices that can realize the functions of the present invention by a program. Yes.

Abstract

　実施形態のポリシ管理システムは、ユーザ端末と、前記ユーザ端末を操作するユーザのアイデンティティを管理するＩＤプロバイダシステムと、前記ユーザ端末にサービスデータを提供するサービスプロバイダシステムとを含む。前記ＩＤプロバイダシステムは、前記サービスプロバイダＩＤ毎に、一対の旧ポリシ及び新ポリシを格納する。また、前記ＩＤプロバイダシステムは、前記サービスプロバイダＩＤ毎に、アクセス要求メッセージの送信日付が旧ポリシから新ポリシへの移行期間内であるときに参照される第１差分判定条件と、アクセス要求メッセージの送信日付が移行期間外であるときに参照される第２差分判定条件とを少なくとも定義する差分対応定義情報を格納する。

Description

ポリシ管理システム、ＩＤプロバイダシステム及びポリシ評価装置
　本発明の実施形態は、ポリシ管理システム、ＩＤプロバイダシステム及びポリシ評価装置に関する。
　社会、経済、生活のオンラインサービスへの依存度が増す情勢を背景に、個人や組織に関する情報を管理するアイデンティティ管理の重要性が高まっている。アイデンティティ管理とは、様々なサービスやシステムにおいて、個人や組織に関する情報の安全性と利便性を図り、登録から変更、削除までのアイデンティティのライフサイクル全体を管理する技術である。
　ここで、アイデンティティとは、ある状況で個人やグループ、組織・企業を特定する情報の総体であり、識別子やクレデンシャル、属性が含まれる。識別子とは、アイデンティティを識別するための情報であり、アカウントや社員番号などに相当する。クレデンシャルとは、ある情報内容の正当性を示すための情報であり、パスワードなどがある。属性とは、アイデンティティを特徴付ける情報であり、氏名や住所、生年月日などを指す。
　このようなアイデンティティ管理を利用した技術の代表例として、シングルサインオン（Single Sign-On、以降ＳＳＯと略す）がある。ＳＳＯは、一度の認証手続きで複数のアプリケーションやサービスを利用できる技術である。ＳＳＯは、一つの企業のイントラネットのようなシングルドメインにおいて、複数のアプリケーションが備える認証を統合させる場合が多かった。この場合、ＳＳＯは、一般的にＨＴＴＰ Ｃｏｏｋｉｅに認証結果を含め、アプリケーション間で認証結果を共有させる方式によって実現される。また、このようなＳＳＯ方式をＳＩ（System Integration）ベンダやミドルウェアベンダが個別にアクセス管理製品として製造していた。
　近年、シングルドメインを超えた異なるドメイン間（以下、クロスドメインともいう）でのＳＳＯが求められてきた。理由としては、企業統合や合併、海外展開などの活発化、および台頭してきたクラウドコンピューティングのＳａａＳ（Software as a Service）等によるアウトソーシングが挙げられる。例えば、ＳａａＳ等は、使いたいときに素早く使える点がメリットの一つである。
　しかしながら、クロスドメインのＳＳＯを実現する場合、認証結果の共有に大きな手間が発生していた。主な原因としては２点ある。１点目は、ＨＴＴＰ Ｃｏｏｋｉｅの利用がシングルドメインに限定されているため、ドメイン間でＨＴＴＰ Ｃｏｏｋｉｅを利用して認証結果を共有できないことである。２点目は、ドメインごとに採用しているアクセス管理製品のＳＳＯ方式がベンダ間で異なるため、単純に導入できず、別途、施策を用意する必要があったためである。
　このような原因を解消するため、ＳＳＯの標準化の要望が高まるようになった。このような要望に応じた代表的な標準技術の一つとして、非営利団体ＯＡＳＩＳ（Organization for the Advancement of Structured Information Standards）が策定したＳＡＭＬ（Security Assertion Markup Language）がある。
　ＳＡＭＬは認証・認可・属性に関する情報の表現形式、および送受信手順が定義された仕様であり、目的に応じて様々な実装形態を可能にするように体系的に規定されている。主体の構成はアイデンティティ提供者（Identity Provider、以降、ＩｄＰと略し、ＩＤプロバイダという）、サービス提供者（Service Provider、以降ＳＰと略し、サービスプロバイダという）、ユーザの３者であり、ＩＤプロバイダが発行する認証結果をサービスプロバイダが信頼することでＳＳＯを実現している。
　ＳＡＭＬに基づくＳＳＯを開始する場合、一般的に次の２点について事前に準備する必要がある。１点目は、サービスプロバイダとＩＤプロバイダとの間でビジネスや技術面での情報交換や合意形成を通じて、信頼関係を構築しておくことである。２点目では、一人のユーザがサービスプロバイダごとに個別のアカウントを持ち、これらの個別のＳＰアカウントとＩＤプロバイダのアカウントを事前に連携させておくことである。これら信頼関係の構築及び事前のアカウント連携といった事前準備を終えた状態でないとＳＳＯを開始することはできない。
　このような事前準備の後、ＳＳＯは以下のような手順（１）～（６）に沿って実現される。ここでは、Ｗｅｂブラウザを介したＳＳＯの手順を説明する。
　（１）ユーザがサービスプロバイダに対してサービス提供を要求する。
　（２）サービスプロバイダは、まだユーザの認証をしていないため、ユーザ側のＷｅｂブラウザを介して、認証リクエストをＩＤプロバイダに送る。
　（３）ＩＤプロバイダは何らかの手段でユーザを認証し、認証アサーションを作成する。なお、ＳＡＭＬは、認証手段を規定せず、認証アサーションをサービスプロバイダに伝える仕組みを規定している。認証アサーションとは、サービスプロバイダが認証結果を信用できるかを判断するため、認証手段の種類やクレデンシャルがどのように作成されたかなどの情報が含まれる。
　（４）ＩＤプロバイダは、作成した認証アサーションを含む認証結果を、ユーザ側のＷｅｂブラウザを介してサービスプロバイダに返信する。
　（５）サービスプロバイダは、ＩＤプロバイダの認証結果に基づき、サービス提供の可否を決定する。
　（６）ユーザは、サービスプロバイダからサービス提供を受ける。
　このように、ＳＡＭＬに基づくＳＳＯでは、ユーザが一度の認証手続きをＩＤプロバイダに行うだけで更なる認証手続きを実行せずに、複数のサービスが使用可能となる。現在では、個別のＳＳＯ方式を実装していたミドルウェアベンダは、クロスドメインの相互運用性を確保するために、ＳＡＭＬのＩＤプロバイダ・サービスプロバイダ機能を実装したアクセス管理製品の販売や、ＳＡＭＬのサービスプロバイダ機能を実装した商用のＷｅｂサービスへの導入を実行している。
　ところで、ＳＡＭＬに基づくＳＳＯでは、上述したように、事前のアカウント連携及び登録が必要である。通常、企業において、サービスプロバイダが提供するサービスを利用する場合、ＩＳ（Information System）部門がサービスプロバイダに対して、アカウント登録及び連携を行う。
　ＩＳ部門は、企業に所属する多数のユーザに応じた大量の事前処理を一括して行うか、又はユーザによる任意のタイミングで一連の承認フローを通した手続きを経た後に当該ユーザに対するアカウント登録及び連携を行う。
　ここで、前者の事前処理を行う場合は、ＳＳＯの過程でアカウント登録及び連携を実行する必要がないので、前述したデータ処理システムとは無関係である。
　一方、後者の承認フローを通す場合は、ユーザだけでなく、ユーザが所属する組織階層ごとの上長や調達部門、ＩＳ部門など多くの人手を介すことになり、大量の手間暇を要する。更に、ＩＳ部門が事前処理を一括して行わないことから、人手による作業が発生し、負担が大きい上、効率や利便性も悪い。例えば、ＳａａＳ等における素早く使えるメリットを生かすことができない。
　従って、ＳＳＯの過程でアカウント登録及び連携を実行するシステムでは、人手を介さずにサービス利用可否を決定するシームレスな仕組みを備えていることが望ましい。
　このため、ＳＳＯの手順の（２）と（３）との間に、事前に定義したサービス利用に関するポリシとサービスの利用状況とに基づき、サービスプロバイダが提供するサービスの利用可否を評価した後に、アカウント連携及び登録を実行する処理を割り込ませることで、サービスプロバイダが提供するサービスの利用申請からＳＳＯに至る一連の処理を自動化させる技術がある。
特許第４８９２０９３号公報
　以上説明した技術は、通常、問題ない。しかしながら、本発明者の検討によれば、以下に述べるように改良の余地がある。
　通常、企業では、組織変更や人事異動が行われると、セキュリティの観点からポリシを更新する。しかしながら、組織変更や人事異動が行われる場合、組織変更や人事異動に伴う引き継ぎ作業を行う必要があり、人手を介さずにすぐにポリシが更新されてしまうと、当該引き継ぎ作業に利用するサービスが利用できないといった不都合が生じ得る。このため、一般的に、組織変更や人事異動によるポリシの更新は人手を介して行われる（つまり、ユーザがポリシ更新作業を行う）。
　しかしながら、人手による作業はユーザへの負担が大きい上、作業ミス（ヒューマンエラー）が生じる恐れがある。
　本発明が解決しようとする課題は、人手を介さずに、ポリシ更新作業を実現し得るポリシ管理システム、ＩＤプロバイダシステム及びポリシ評価装置を提供することである。
　実施形態のポリシ管理システムは、ユーザ端末と、前記ユーザ端末を操作するユーザのアイデンティティを管理するＩＤプロバイダシステムと、前記ユーザ端末にサービスデータを提供するサービスプロバイダシステムとを含む。
　前記ユーザ端末は、ログイン実行手段、第１送信手段及び再生手段を備えている。
　前記ログイン実行手段は、ユーザの操作に応じて、前記ＩＤプロバイダシステムとの間でログイン処理を実行する。
　前記第１送信手段は、前記ログイン処理時に発行され、当該ユーザを識別するユーザＩＤを含むＩＤプロバイダ認証トークンと、前記サービスプロバイダシステムを識別するサービスプロバイダＩＤとを含むアクセス要求メッセージを前記ＩＤプロバイダシステムに送信する。
　前記再生手段は、前記サービスプロバイダシステムから送信されるサービスデータを受信し、当該受信したサービスデータを再生する。
　前記ＩＤプロバイダシステムは、第１格納手段、第２格納手段、第３格納手段、第１取得手段、第１判定手段、第２取得手段、確認手段、通知受領手段、ポリシ評価手段、第２判定手段、第３取得手段、決定手段、実行要求手段、第２送信手段及び第３送信手段を備えている。
　前記第１格納手段は、前記ユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報であって、ユーザＩＤを少なくとも含むユーザ属性情報を格納する。
　前記第２格納手段は、前記サービスプロバイダＩＤ毎に、当該サービスプロバイダＩＤで識別されるサービスプロバイダシステムによるサービスデータの送信を許可するための判定条件であって、判定ＩＤで識別される複数の条件を含み、当該各条件は更に複数の詳細条件及び責務を含む判定条件と、旧ポリシから新ポリシに移行するにあたり、新ポリシだけでなく、旧ポリシの判定条件による判定結果も参照する期間を示す移行期間とを少なくとも定義する一対の旧ポリシ及び新ポリシを格納する。
　前記第３格納手段は、前記サービスプロバイダＩＤ毎に、前記送信されたアクセス要求メッセージの送信日付が前記移行期間内であるときに参照される第１差分判定条件と、前記送信されたアクセス要求メッセージの送信日付が前記移行期間外であるときに参照される第２差分判定条件であって、差分対応ＩＤで識別される条件及び責務を含む第２差分判定条件とを少なくとも定義する差分対応定義情報を格納する。
　前記第１取得手段は、前記送信されたアクセス要求メッセージを受けると、当該アクセス要求メッセージ内のサービスプロバイダＩＤに対応した新ポリシを取得する。
　前記第１判定手段は、当該アクセス要求メッセージの送信日付が前記取得された新ポリシに定義された移行期間に含まれるか否かを判定する。
　前記第２取得手段は、前記第１判定手段による判定結果が含まれる旨を示すとき、前記取得された新ポリシに対応する旧ポリシを取得する。
　前記確認手段は、当該アクセス要求メッセージ内のＩＤプロバイダ認証トークンに含まれるユーザＩＤに基づいて、前記第１格納手段に格納されたユーザ属性情報を取得すると共に、当該ユーザＩＤが当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに格納されているか否かを確認する。
　前記通知受領手段は、前記サービスプロバイダシステムから送信され、前記確認手段に対する通知であって、前記ユーザＩＤが格納されている旨または格納されていない旨を示す通知を受領する。
　前記ポリシ評価手段は、前記取得されたユーザ属性情報に基づいて、前記取得された新ポリシまたは前記取得された新ポリシ及び旧ポリシを評価する。
　前記第２判定手段は、前記ポリシ評価手段による評価結果と、前記通知受領手段により受領された通知とに基づいて、前記差分対応定義情報を取得する必要があるか否かを判定する。
　前記第３取得手段は、前記第２判定手段による判定結果が必要である旨を示すとき、前記差分対応定義情報を取得する。
　前記決定手段は、前記評価結果に少なくとも基づいて（但し、前記第３取得手段により差分対応定義情報が取得された場合は当該差分対応定義情報も参照して）、適応する判定ＩＤを決定する。
　前記実行要求手段は、前記決定された判定ＩＤで識別される条件内の責務を実行するよう要求する（但し、前記決定手段により前記差分対応定義情報に定義された第２差分判定条件が参照された場合は当該第２差分判定条件内の責務も実行するよう要求する）。
　前記第２送信手段は、前記実行要求手段からの要求に応じて、当該アクセス要求メッセージ内の前記ＩＤプロバイダ認証トークンに含まれるユーザＩＤを少なくとも含む認証連携メッセージを、当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに送信する。
　前記第３送信手段は、前記実行要求手段からの要求に応じて、当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダによるサービスデータの送信が拒否された旨を表示させる拒否画面情報を前記ユーザ端末に送信する。
　前記サービスプロバイダシステムは、第４格納手段、発行手段及び第４送信手段を備えている。
　前記第４格納手段は、サービスデータを利用するユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報を格納する。
　前記発行手段は、前記送信された認証連携要求メッセージを受けると、当該認証連携要求メッセージ内のユーザＩＤに基づいて当該認証連携要求メッセージの正当性を検証し、当該検証の結果が正当である場合に、当該検証に用いたユーザＩＤを含むサービスプロバイダ認証トークンを発行する。
　前記第４送信手段は、前記発行されたサービスプロバイダ認証トークン内のユーザＩＤで識別されるユーザ端末にサービスデータを送信する。
図１は一実施形態に係るポリシ管理システムの構成例を示す模式図である。 図２は同実施形態に係るポリシ格納装置に格納される旧ポリシの一例を示す模式図である。 図３は同実施形態に係るポリシ格納装置に格納される新ポリシの一例を示す模式図である。 図４は同実施形態に係る差分対応定義格納装置に格納される差分対応定義情報の一例を示す模式図である。 図５は同実施形態に係るポリシ評価装置の構成例を示す模式図である。 図６は同実施形態に係るポリシ管理システムの動作の一例を示すシーケンス図である。 図７は同実施形態に係るポリシ管理システムの動作の一例を示すシーケンス図である。 図８は同実施形態の変形例に係るポリシ管理システムの動作の一例を示すシーケンス図である。
　図１は一実施形態に係るポリシ管理システムの構成例を示す模式図であり、図２は同実施形態に係るポリシ格納装置に格納される旧ポリシの一例を示す模式図であり、図３は同実施形態に係るポリシ格納装置に格納される新ポリシの一例を示す模式図であり、図４は同実施形態に係るポリシ差分対応定義格納装置に格納されるポリシ差分対応定義情報の一例を示す模式図であって、図５は同実施形態に係るポリシ評価装置の構成例を示す模式図であり、
　ポリシ管理システム１は、図１に示すように、ユーザが操作するユーザ端末１００、ＩＤプロバイダシステム２００及び複数のサービスプロバイダシステム３００を備えている。なお、サービスプロバイダシステム３００は、通常複数台あるが、ここでは１台のみを図示している。以下、各装置１００乃至３００の詳細な機能について説明する。
　ユーザ端末１００は、通常のコンピュータ機能を有してＩＤプロバイダシステム２００及び各サービスプロバイダシステム３００と通信可能な装置であり、例えば、ユーザの操作に応じて、サービスプロバイダシステム３００によって提供されるサービスの利用を希望する旨のアクセス要求メッセージを送信する機能と、ＩＤプロバイダシステム２００との間でログイン処理を実行する機能と、サービスプロバイダシステム３００からサービスデータを受信する機能と、予めメモリに記憶したサービス利用アプリケーションをＣＰＵが実行することにより当該受信したサービスデータを再生する機能とをもっている。また、ユーザ端末１００は、ＩＤプロバイダシステム２００及び各サービスプロバイダシステム３００から送信される各種メッセージをリダイレクト（返信）する機能をもっている。
　ここで、ＩＤプロバイダシステム２００は、ユーザのアイデンティティを管理するものであり、ユーザ属性情報格納装置２０１、ポリシ格納装置２０２、ポリシ差分対応定義格納装置２０３、認証連携装置２０４、企業ポータル装置２０５、ポリシ評価装置２０６、ＩＤプロビジョニング装置２０７及び拒否画面表示装置２０８を備えている。
　ユーザ属性情報格納装置２０１は、ＩＤプロバイダシステム２００が配置される組織のユーザに関するアイデンティティ情報であるユーザ属性情報を格納する。具体的には、ユーザ属性情報格納装置２０１は、ユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報であって、ユーザを識別するためのユーザＩＤと、ユーザの氏名と、ユーザの所属と、ユーザの役職と、ユーザのログイン処理時に参照する参照情報とを項目名に含む複数のユーザ属性情報を格納する。
　なお、ユーザ属性情報は個人の情報を特徴付ける情報の集合体であり、ユーザ属性情報の例としては、上述したように、ユーザの氏名、ユーザの所属、ユーザの役職、ユーザのログイン処理時に参照する参照情報などが挙げられるが、これらに限られず、例えば電話番号や勤務状態といった任意の項目名と項目値とを更に含んでもよい。また、ユーザのログイン処理時に参照する参照情報は、通常パスワードを用いるが、これに限られず、例えばユーザの指紋等の生体認証情報であってもよい。
　ポリシ格納装置２０２は、図２及び図３に示すように、サービスプロバイダシステム３００を識別するサービスプロバイダＩＤ毎に、一対の旧ポリシ２０２ａ及び新ポリシ２０２ｂを格納する。具体的には、ポリシ格納装置２０２は、サービスプロバイダＩＤ毎に、当該サービスプロバイダＩＤで識別されるサービスプロバイダシステム３００によるユーザ端末１００へのサービスデータの送信を許可するための判定条件と、当該判定条件による判定の結果を有効とする有効期間と、旧ポリシ２０２ａから新ポリシ２０２ｂに移行するにあたり、旧ポリシの判定条件による判定の結果も参照する移行期間（移行猶予期間とも呼ぶ）とを含む一対の旧ポリシ２０２ａ及び新ポリシ２０２ｂを格納する。なお、判定条件は判定ＩＤで識別される複数の条件を含んでおり、これら条件は更に複数の詳細条件及び責務を含んでいる。
　ここでポリシとは、一般的に誰（サブジェクト）が、どのシステム資源（リソース）に対して、どのような操作（アクション）を行うことができるか否か（つまり、許可または拒否）が定義されたものであり、オプションとして責務についても定義されるものである。
　ポリシ差分対応定義格納装置２０３は、図４に示すように、サービスプロバイダシステム３００を識別するサービスプロバイダＩＤ毎に、ポリシ差分対応定義情報２０３ａを格納する。具体的には、ポリシ差分対応定義格納装置２０３は、ユーザ端末１００から送信されたアクセス要求メッセージの送信日付が移行期間内であるときに参照される第１差分判定条件と、ユーザ端末１００から送信されたアクセス要求メッセージの送信日付が移行期間外であるときに参照される第２差分判定条件とを含むポリシ差分対応定義情報２０３ａを格納する。なお、第１差分判定条件は差分対応ＩＤで識別される複数の条件を含んでおり、これら条件は更に複数の詳細条件と適応する判定ＩＤの示唆とを含んでいる。また、第２差分対応判定条件は差分対応ＩＤで識別される条件と責務とを含んでいる。
　認証連携装置２０４は、シングルサインオンのＩＤプロバイダ機能を有する。具体的には、認証連携装置２０４は、以下の各機能(f204-1)乃至(f204-4)をもっている。
　(f204-1)　ユーザ端末１００から送信されたユーザＩＤ及びユーザ認証情報をユーザ属性情報格納装置２０１内のユーザＩＤ及び参照情報に基づいて認証するログイン処理を実行する機能。
　(f204-2)　ログイン処理が成功したとき、当該ログイン処理に用いたユーザＩＤを含むＩＤプロバイダ認証トークンをユーザ端末１００に発行する機能。
　(f204-3)　ＩＤプロビジョニング装置２０７から認証連携要求を受けると、ＩＤプロバイダ認証トークン内のユーザＩＤを含むアサーション本文に対して、図示しない鍵記憶装置内の署名生成鍵（秘密鍵）に基づく署名を生成し、当該アサーション本文と、当該デジタル署名と、当該署名生成鍵に対応した署名検証鍵（公開鍵）とを含む認証アサーションを作成する機能。
　(f204-4)　作成した認証アサーションを含む認証連携要求メッセージを、ユーザ端末１００を介してサービスプロバイダシステム３００内の認証連携装置３０２に送信する機能、つまり、認証連携要求メッセージをユーザ端末１００のリダイレクト機能を用いてサービスプロバイダシステム３００内の認証連携装置３０２に送信する機能。
　企業ポータル装置２０５は、ユーザ端末１００からのアクセス要求メッセージの入力を受け付けると、当該入力を受け付けたアクセス要求メッセージをポリシ評価装置２０６に転送する。なお、アクセス要求メッセージには、認証連携装置２０４により発行されたＩＤプロバイダ認証トークンと、ユーザが利用を希望するサービスデータを提供可能なサービスプロバイダシステム３００を示すサービスプロバイダＩＤとが含まれる。
　ポリシ評価装置２０６は、企業ポータル装置２０５からのアクセス要求メッセージの入力を受け付けると、ポリシ格納装置２０２に格納された旧ポリシ２０２ａ及び／または新ポリシ２０２ｂに基づいて、当該入力を受け付けたアクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステム３００によるユーザ端末１００へのサービスデータの送信を許可するか否かを判定する。なお、ポリシ評価装置２０６の詳細については後述する。
　ＩＤプロビジョニング装置２０７は、ポリシ評価装置２０６からの指示に応じて、認証連携要求を認証連携装置２０４に送信する他、サービスプロバイダシステム３００内のユーザ属性情報格納装置３０１に格納されたユーザ属性情報に関して、ユーザ属性情報の登録要求処理、更新要求処理、削除要求処理及び検索要求処理を実行する。
　拒否画面表示装置２０８は、ポリシ評価装置２０６からの指示に応じて、アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステム３００によるサービスデータの送信が拒否された旨を示す拒否画面情報をユーザ端末１００に送信する、つまり、ユーザ端末１００に拒否画面を表示させる。
　ここで、図５を参照しながら、ポリシ評価装置２０６について詳細に説明する。ポリシ評価装置２０６は、図２に示すように、ポリシ評価要求部２１１、新ポリシ取得部２１２、旧ポリシ要否判定部２１３、旧ポリシ取得部２１４、属性情報収集部２１５、ポリシ評価部２１６、ポリシ差分対応判定部２１７、ポリシ差分対応定義取得部２１８及びＩＤプロビジョニング実行要求部２１９を備えている。
　ポリシ評価要求部２１１は、企業ポータル装置２０５からのアクセス要求メッセージの入力を受け付けると、当該入力を受け付けたアクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステム３００によるユーザ端末１００へのサービスデータの送信を許可するための判定条件を定義したポリシのうち新ポリシ２０２ｂを、新ポリシ取得部２１２を介して取得する。
　旧ポリシ要否判定部２１３は、ポリシ評価要求部２１１により取得された新ポリシに定義される移行期間を用いて、ユーザ端末１００によるアクセス要求メッセージの送信日付が当該移行期間に含まれているか否かを判定する。この判定の結果が含まれる旨を示すとき、旧ポリシ要否判定部２１３は、ポリシ評価要求部２１１により取得された新ポリシ２０２ｂに対応した旧ポリシ２０２ａを、旧ポリシ取得部２１４を介して取得する。また判定の結果が否を示すとき、旧ポリシ要否判定部２１３は、旧ポリシ２０２ａを取得する必要はないと判断し、旧ポリシを取得しない。
　属性情報収集部２１５は、アクセス要求メッセージ内のＩＤプロバイダ認証トークンに含まれるユーザＩＤを用いて、ユーザ属性情報格納装置２０１からユーザ属性情報を取得する。属性情報収集部２１５は、取得したユーザ属性情報がサービスプロバイダシステム３００内のユーザ属性情報格納装置３０１に格納されているか否かを、ＩＤプロビジョニング装置２０７を介して確認する、つまり、取得したユーザ属性情報を用いてサービスプロバイダシステム３００内のユーザ属性情報格納装置３０１を検索するようＩＤプロビジョニング装置２０７に指示する。
　ポリシ評価部２１６は、属性情報収集部２１５により取得されたユーザ属性情報を用いて、取得されたポリシを評価する、具体的には、旧ポリシ２０２ａ及び新ポリシ２０２ｂの双方を評価する、または新ポリシ２０２ｂのみを評価する。
　ポリシ差分対応判定部２１７は、ポリシ評価部２１６による評価結果（即ち、ポリシに定義された複数の条件のうちのいずれかの条件の成立）に基づいて、ポリシ差分対応定義格納装置２０３に格納されたポリシ差分対応定義情報２０３ａを取得する必要があるか否かを判定する。具体的には、ポリシ差分対応判定部２１７は、以下の各機能(f217-1)乃至(f217-7)をもっている。
　(f217-1)　ポリシ評価部２１６により旧ポリシ２０２ａ及び新ポリシ２０２ｂの双方について評価が行われたか、または新ポリシ２０２ｂのみについて評価が行われたかのどちらであるかを判定する機能。
　(f217-2)　(f217-1)による判定の結果が、双方について評価が行われた旨を示すとき、ポリシ差分対応判定部２１７は、ポリシ評価部２１６による旧ポリシ２０２ａの評価結果と新ポリシ２０２ｂの評価結果とが一致しているか否かを判定する機能。
　(f217-3)　(f217-2)による判定の結果が一致している旨を示すとき、ポリシ差分対応定義情報２０３ａを取得する必要がないと判断する機能。
　(f217-4)　(f217-2)による判定の結果が否を示すとき、ポリシ差分対応定義情報２０３ａを取得する必要があると判断し、ポリシ差分対応定義情報２０３ａを、差分対応定義取得部２１８を介して取得する機能。
　(f217-5)　(f217-1)による判定の結果が新ポリシ２０２ｂについてのみ評価が行われた旨を示すとき、新ポリシ２０２ｂの評価結果が拒否（つまり、図３に示すNEW-DENY-3が成立）であり、且つ属性情報収集部２１５によりユーザ属性情報が格納されていることが確認されているか否かを判定する機能。
　(f217-6)　(f217-5)による判定の結果が新ポリシ２０２ｂの評価結果が拒否であり且つユーザ属性情報の格納が確認されている旨を示すとき、ポリシ差分対応定義情報２０３ａを取得する必要があると判断し、ポリシ差分対応定義情報２０３ａを、差分対応定義取得部２１８を介して取得する機能。
　(f217-7)　(f217-5)による判定の結果が否を示すとき、ポリシ差分対応定義情報２０３ａを取得する必要がないと判断する機能。
　ＩＤプロビジョニング実行要求部２１９は、ポリシ差分対応判定部２１７によりポリシ差分対応定義情報２０３ａが取得されている場合、当該取得されたポリシ差分対応定義情報２０３ａの定義にしたがって優先されるポリシに定義された条件内の責務に従う処理を実行する。また、ＩＤプロビジョニング実行要求部２１９は、ポリシ差分対応判定部２１７によりポリシ差分対応定義情報２０３ａが取得されていない場合、ポリシ評価部２１６による評価結果に基づいて、成立した条件内の責務に従う処理を実行する。なお、ＩＤプロビジョニング実行要求部２１９により実行される処理の一例としては、ＩＤプロビジョニング装置２０７に認証連携要求を送信させるために認証連携送信要求をＩＤプロビジョニング装置２０７に送信する処理、サービスプロバイダシステム３００内のユーザ属性情報格納装置３０１に格納されたユーザ属性情報を削除させる削除要求を送信させるために削除送信要求をＩＤプロビジョニング装置２０７に送信する処理、拒否画面表示装置２０８に拒否画面情報を送信させるために拒否画面情報送信要求を拒否画面表示装置２０８に送信する処理等が挙げられる。
　また、サービスプロバイダシステム３００は、ユーザ端末１００にサービスデータを提供するものであり、図１に示すように、ユーザ属性情報格納装置３０１、認証連携装置３０２、サービス提供装置３０３及びＩＤプロビジョニング装置３０４を備えている。
　ユーザ属性情報格納装置３０１は、当該サービスプロバイダシステム３００によるサービスデータを利用するユーザのアイデンティティ情報であるユーザ属性情報を格納する。このユーザ属性情報は、ＩＤプロバイダシステム２００内のユーザ属性情報格納装置２０１に格納されるユーザ属性情報と同様な項目名から構成されてもよいし、ユーザ属性情報格納装置２０１に格納されるユーザ属性情報の一部の項目名から構成されてもよい。
　認証連携装置３０２は、シングルサインオンのサービスプロバイダ機能を有する。具体的には、認証連携装置３０２は、以下の各機能(f302-1)乃至(f302-3)をもっている。
　(f302-1)　ＩＤプロバイダシステム２００内の認証連携装置２０４からの認証連携要求メッセージの入力を受け付けると、当該入力を受け付けた認証連携要求メッセージ内の認証アサーションに含まれるデジタル署名を、当該認証アサーションに含まれる署名検証鍵を用いて検証する機能。
　具体的には、まず、認証アサーションに含まれる署名検証鍵を用いてデジタル署名に対応したアサーション本文を復号する。その後、復号したアサーション本文に含まれるユーザＩＤが、ユーザ属性情報格納装置３０１内に格納されているか否かを判定することで、認証連携要求メッセージの正当性を検証する。
　(f302-2)　(f302-1)の機能による検証の結果が正当である旨を示すとき、当該検証に用いたユーザＩＤを含むサービスプロバイダ認証トークンを発行する機能。なお、発行したサービスプロバイダ認証トークンは、ユーザからのアクセス要求メッセージがＨＴＴＰリクエストの形態の場合、そのＨＴＴＰリクエストに含まれるＣｏｏｋｉｅの中に格納される。
　(f302-3)　(f302-2)の機能により発行されたサービスプロバイダ認証トークンを含むサービス提供要求メッセージをユーザ端末１００に送信する機能。
　サービス提供装置３０３は、ユーザ端末１００のリダイレクト機能により返信されたサービス提供要求メッセージの入力を受け付けると、当該サービスプロバイダシステム３００により提供可能なサービスデータをユーザ端末１００に送信する。
　ＩＤプロビジョニング装置３０４は、ＩＤプロバイダシステム２００内のＩＤプロビジョニング装置２０７からの要求に従って、ユーザ属性情報格納装置３０１に格納されたユーザ属性情報の登録処理、更新処理、削除処理及び検索処理を実行する。
　次に、以上のように構成されたポリシ管理システムの動作の一例について、図２乃至４の模式図と、図６及び図７のシーケンス図とを参照しながら説明する。但し、本動作例では、認証連携装置２０４の(f204-1)及び(f204-2)の機能を用いた事前処理（ログイン処理）が予め実行され、既に、ＩＤプロバイダ認証トークンが発行されているものとする。また、本動作例では、ユーザ端末を操作するユーザの所属が“Ｘ部門”であり、役職が“主任”であり、ユーザ端末によってアクセス要求メッセージが送信された日付（送信日付）が“2011/10/10”であるものとする。
　始めに、ユーザ端末１００は、ユーザの操作に応じて、事前処理時に発行されたＩＤプロバイダ認証トークンと、ユーザが利用を希望するサービスデータを提供可能なサービスプロバイダシステム３００を示すサービスプロバイダＩＤとを含むアクセス要求メッセージをＩＤプロバイダシステム２００に送信する（ステップＳ１）。
　続いて、ＩＤプロバイダシステム２００内の企業ポータル装置２０５は、ユーザ端末１００からのアクセス要求メッセージの入力を受け付けると、当該入力を受け付けたアクセス要求メッセージをポリシ評価装置２０６に転送する（ステップＳ２）。
　次に、ポリシ評価装置２０６内のポリシ評価要求部２１１は、企業ポータル装置２０５からのアクセス要求メッセージの入力を受け付けると、当該入力を受け付けたアクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステム３００によるユーザ端末１００へのサービスデータの送信を許可するための判定条件を定義したポリシのうち新ポリシ２０２ｂを、新ポリシ取得部２１２を介して取得する（ステップＳ３）。ここでは、図３に示す新ポリシ２０２ｂが取得されたものとする。
　続いて、旧ポリシ要否判定部２１３は、ステップＳ３の処理において取得された新ポリシ２０２ｂに定義される移行期間を用いて、ユーザ端末１００によるアクセス要求メッセージの送信日付が当該移行期間に含まれているか否かを判定する（ステップＳ４）。この場合、アクセス要求メッセージの送信日付が“2011/10/10”であり、新ポリシ２０２ｂに定義される移行期間が“2011/10/1～2011/10/30”であるので、当該アクセス要求メッセージの送信日付が当該移行期間に含まれていると判定される。
　なお、ステップＳ４の判定の結果が否を示す場合には、後述するステップＳ６の処理に進む。
　ステップＳ４の判定の結果が移行期間に含まれる旨を示す場合には、旧ポリシ要否判定部２１３は、ステップＳ３の処理において取得された新ポリシ２０２ｂに対応した旧ポリシ２０２ａを、旧ポリシ取得部２１４を介して取得する（ステップＳ５）。ここでは、図２に示す旧ポリシ２０２ａが取得されたものとする。
　次に、属性情報収集部２１５は、当該アクセス要求メッセージ内のＩＤプロバイダ認証トークンに含まれるユーザＩＤを用いて、ユーザ属性情報格納装置２０１からユーザ属性情報を取得する。その後、属性情報収集部２１５は、当該取得したユーザ属性情報がユーザ属性情報格納装置３０１に格納されているか否かを確認するために、当該取得したユーザ属性情報内のユーザＩＤ（ユーザの氏名やユーザ属性情報自体でもよい）を含む確認要求メッセージを、ＩＤプロビジョニング装置２０７を介してＩＤプロビジョニング装置３０４に送信する。ＩＤプロビジョニング装置３０４は、属性情報収集部２１５から送信された確認要求メッセージの入力を受け付けると、当該入力を受け付けた確認要求メッセージ内のユーザＩＤがユーザ属性情報格納装置３０１に含まれているか否かを判定（検索）し、当該判定の結果をＩＤプロバイダシステム２００に通知する（ステップＳ６）。ここでは、ＩＤプロバイダシステム２００は、属性情報収集部２１５により取得されたユーザ属性情報内のユーザＩＤがユーザ属性情報格納装置３０１に格納されている旨の通知を受けたものとする。
　続いて、ポリシ評価部２１６は、ステップＳ６の処理において取得されたユーザ属性情報を用いて、当該処理までに取得されたポリシを評価する、つまり、新ポリシ２０２ｂ及び旧ポリシ２０２ａの双方を評価する、または新ポリシ２０２ｂのみを評価する（ステップＳ７）。ここでは、新ポリシ２０２ｂ及び旧ポリシ２０２ａの双方を評価する。新ポリシ２０２ｂの評価では、ユーザの所属が“Ｘ部門”であり、役職が“主任”であり、“サービスプロバイダシステムのユーザＩＤが登録済み”であるため、図３に示す新ポリシ２０２ｂの判定ＩＤ“NEW-DENY-3”の判定条件を満足する（つまり、判定ＩＤ“NEW-DENY-3”が成立する）。また、旧ポリシ２０２ａの評価では、同様に、ユーザの所属が“Ｘ部門”であり、役職が“主任”であり、“サービスプロバイダシステムのユーザＩＤが登録済み”であるため、図２に示す旧ポリシ２０２ａの判定ＩＤ“OLD-PERMIT-2”の判定条件を満足する（つまり、判定ＩＤ“OLD-PERMIT-2”が成立する）。
　次に、ポリシ差分対応判定部２１７は、上述した(f217-1)乃至(f217-7)の機能を用いて、ポリシ差分対応定義格納装置２０３に格納されたポリシ差分対応定義情報２０３ａを取得する必要があるか否かを判定する（ステップＳ８）。ここでは、ステップＳ７の処理において、新ポリシ２０２ｂ及び旧ポリシ２０２ａの双方を評価し、新ポリシ２０２ｂでは判定ＩＤ“NEW-DENY-3”が成立（つまり、拒否）し、旧ポリシ２０２ａでは判定ＩＤ“OLD-PERMIT-2”が成立（つまり、許可）しているため、ポリシ差分対応判定部２１７は、ポリシ差分対応定義情報２０３ａを取得する必要があると判断して、図４に示すポリシ差分対応定義情報２０３ａをポリシ差分対応定義取得部２１８を介して取得する。
　続いて、ＩＤプロビジョニング実行要求部２１９は、適応される判定ＩＤで識別される条件内の責務に従う処理を実行する（ステップＳ９）。ここでは、ステップＳ８の処理において、ポリシ差分対応定義情報２０３ａが取得されたため、ＩＤプロビジョニング実行要求部２１９は当該ポリシ差分対応定義情報２０３ａを参照した上で、差分対応ＩＤ“DIFF-2”で識別される条件に従って、判定ＩＤ“OLD-PERMIT-2”で識別される条件内の責務“認証連携要求の実行”を行う、つまり、認証連携送信要求をＩＤプロビジョニング装置２０７に送信する。
　次に、ＩＤプロビジョニング装置２０７は、ＩＤプロビジョニング実行要求部２１９から認証連携送信要求を受けると、認証連携要求を認証連携装置２０４に送信する（ステップＳ１０）。
　続いて、認証連携装置２０４は、ＩＤプロビジョニング装置２０７から認証連携要求を受けると、ＩＤプロバイダ認証トークン内のユーザＩＤを含むアサーション本文に対して、図示しない鍵記憶装置内の署名生成鍵（秘密鍵）に基づく署名を生成し、当該アサーション本文と、当該デジタル署名と、当該署名生成鍵に対応した署名検証鍵（公開鍵）とを含む認証アサーションを作成する（ステップＳ１１）。
　次に、認証連携装置２０４は、ステップＳ１１の処理において作成した認証アサーションを含む認証連携要求メッセージを、ユーザ端末１００を介して認証連携装置３０２に送信する（ステップＳ１２）。
　続いて、サービスプロバイダシステム３００内の認証連携装置３０２は、認証連携装置２０４から送信された認証連携要求メッセージの入力を受け付けると、当該入力を受け付けた認証連携要求メッセージ内の認証アサーションに含まれるデジタル署名を、当該認証アサーションに含まれる署名検証鍵を用いて検証する。具体的には、認証連携装置３０２は、認証アサーションに含まれる署名検証鍵を用いてデジタル署名に対応したアサーション本文を復号し、その後、復号したアサーション本文に含まれるユーザＩＤが、ユーザ属性情報格納装置３０１内に格納されているか否かを判定することで、認証連携要求メッセージの正当性を検証する（ステップＳ１３）。ここでは、ステップＳ６の処理において、ユーザＩＤがユーザ属性情報格納装置３０１内に格納されていることは確認済みであるので、認証連携装置３０２は当該認証連携要求メッセージは正当であると判断して、当該ユーザＩＤを含むサービスプロバイダ認証トークンを発行する。
　次に、認証連携装置３０２は、ステップＳ１３の処理において発行したサービスプロバイダ認証トークンを含むサービス提供要求メッセージをユーザ端末１００に送信する（ステップＳ１４）。
　続いて、ユーザ端末１００は、認証連携装置３０２から送信されたサービス提供要求メッセージの入力を受け付けると、当該入力を受け付けたサービス提供要求メッセージをサービスプロバイダシステム３００にリダイレクト（返信）する（ステップＳ１５）。
　次に、サービスプロバイダシステム３００内のサービス提供装置３０３は、ユーザ端末１００から返信されたサービス提供要求メッセージの入力を受け付けると、当該サービスプロバイダシステム３００により提供可能なサービスデータをユーザ端末１００に送信する（ステップＳ１６）。
　しかる後、ユーザ端末１００は、サービスプロバイダシステム３００から送信されたサービスデータの入力を受け付けると、当該入力を受け付けたサービスデータを再生する（ステップＳ１７）。
　以上説明した一実施形態によれば、差分対応定義情報格納装置２０３及びポリシ評価装置２０６を含むＩＤプロバイダシステム２００を備えた構成により、人手を介さずに、ポリシ更新作業を実現することができる。
　以下に、上述した一実施形態の変形例について説明する。
　　［変形例］
　ここでは、ポリシ管理システムの動作の変形例について、図２及び図４の模式図と、図６及び図８のシーケンス図とを参照しながら説明する。但し、本動作例では、認証連携装置２０４の(f204-1)及び(f204-2)の機能を用いた事前処理（ログイン処理）が予め実行され、既に、ＩＤプロバイダ認証トークンが発行されているものとする。また、本動作例では、ユーザ端末を操作するユーザの所属が“Ｘ部門”であり、役職が“主任”であり、ユーザ端末によってアクセス要求メッセージが送信された日付（送信日付）が“2011/11/1”であるものとする。
　ステップＳ１乃至Ｓ３の処理は、上述した一実施形態と同様に実行される。
　ステップＳ４の処理では、アクセス要求メッセージの送信日付が“2011/11/1”であり、新ポリシ２０２ｂに定義される移行期間が“2011/10/1～2011/10/30”であるので、当該アクセス要求メッセージの送信日付が当該移行期間に含まれていないと判定される（つまり、移行期間外であると判定される）。このため、ステップＳ５の処理は省略され、ステップＳ６の処理に進む。
　また、ステップＳ６の処理は、上述した一実施形態と同様に実行される。
　ステップＳ７の処理では、ポリシ評価部２１６は新ポリシ２０２ｂのみを評価する。この場合、ユーザの所属が“Ｘ部門”であり、役職が“主任”であり、“サービスプロバイダシステムのユーザＩＤが登録済み”であるため、図３に示す新ポリシ２０２ｂの判定ＩＤ“NEW-DENY-3”の判定条件を満足する（つまり、判定ＩＤ“NEW-DENY-3”が成立する）。
　ステップＳ８の処理では、ステップＳ７の処理において新ポリシ２０２ｂのみを評価し、新ポリシ２０２ｂでは判定ＩＤ“NEW-DENY-3”が成立（つまり、拒否）し、且つ（上述したステップＳ６の処理により）属性情報収集部２１５によりユーザ属性情報が格納されていることが確認されているため、ポリシ差分対応判定部２１７は、ポリシ差分対応定義情報２０３ａを取得する必要があると判断して、図４に示すポリシ差分対応定義情報２０３ａをポリシ差分対応定義取得部２１８を介して取得する。
　ステップＳ９の処理では、ステップＳ８の処理において、ポリシ差分対応定義情報２０３ａが取得されたため、ＩＤプロビジョニング実行要求部２１９は、当該ポリシ差分対応定義情報２０３ａを参照した上で、差分対応ＩＤ“DIFF-5”で識別される条件に従って、判定ＩＤ“NEW-DENY-3”で識別される条件内の責務“拒否画面表示の実行”を行うと共に、責務“サービスプロバイダシステムのユーザＩＤの削除を実行”を行う。つまり、ＩＤプロビジョニング実行要求部２１９は、拒否画面情報送信要求を拒否画面表示装置２０８に送信すると共に、削除送信要求をＩＤプロビジョニング装置２０７に送信する。
　続いて、ＩＤプロビジョニング装置２０７は、ＩＤプロビジョニング実行要求部２１９から削除送信要求を受けると、ＩＤプロバイダ認証トークン内のユーザＩＤを含む削除要求メッセージをＩＤプロビジョニング装置３０４に送信する（ステップＳ１８）。
　次に、サービスプロバイダシステム３００内のＩＤプロビジョニング装置３０４は、ＩＤプロビジョニング装置２０７から送信された削除要求メッセージの入力を受け付けると、当該入力を受け付けた削除要求メッセージ内のユーザＩＤ（ユーザ属性情報）をユーザ属性情報格納装置３０１から削除する（ステップＳ１９）。
　また、拒否画面表示装置２０８は、ステップＳ９の処理において送信された拒否画面情報送信要求を受けると、拒否画面情報をユーザ端末１００に送信する（ステップＳ２０）。
　しかる後、ユーザ端末１００は、拒否画面表示装置２０８から送信された拒否画面情報の入力を受け付けると、当該入力を受け付けた拒否画面情報に従って、拒否画面を表示する（ステップＳ２１）。
　上記した変形例によれば、ポリシ更新に伴うシステム環境の更新作業（つまり、ユーザ属性情報格納装置３０１に格納されたユーザＩＤ（ユーザ属性情報）の削除）も人手を介さずに実現することができる。
　なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
　また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
　また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。
　さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
　また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
　なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
　また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
　なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

Claims (3)

  1. 　ユーザ端末と、前記ユーザ端末を操作するユーザのアイデンティティを管理するＩＤプロバイダシステムと、前記ユーザ端末にサービスデータを提供するサービスプロバイダシステムとを含むポリシ管理システムであって、
    　前記ユーザ端末は、
    　ユーザの操作に応じて、前記ＩＤプロバイダシステムとの間でログイン処理を実行するログイン実行手段と、
    　前記ログイン処理時に発行され、当該ユーザを識別するユーザＩＤを含むＩＤプロバイダ認証トークンと、前記サービスプロバイダシステムを識別するサービスプロバイダＩＤとを含むアクセス要求メッセージを前記ＩＤプロバイダシステムに送信する第１送信手段と、
    　前記サービスプロバイダシステムから送信されるサービスデータを受信し、当該受信したサービスデータを再生する再生手段と
    　を備え、
    　前記ＩＤプロバイダシステムは、
    　前記ユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報であって、ユーザＩＤを少なくとも含むユーザ属性情報を格納する第１格納手段と、
    　前記サービスプロバイダＩＤ毎に、当該サービスプロバイダＩＤで識別されるサービスプロバイダシステムによるサービスデータの送信を許可するための判定条件であって、判定ＩＤで識別される複数の条件を含み、当該各条件は更に複数の詳細条件及び責務を含む判定条件と、旧ポリシから新ポリシに移行するにあたり、新ポリシだけでなく、旧ポリシの判定条件による判定結果も参照する期間を示す移行期間とを少なくとも定義する一対の旧ポリシ及び新ポリシを格納する第２格納手段と、
    　前記サービスプロバイダＩＤ毎に、前記送信されたアクセス要求メッセージの送信日付が前記移行期間内であるときに参照される第１差分判定条件と、前記送信されたアクセス要求メッセージの送信日付が前記移行期間外であるときに参照される第２差分判定条件であって、差分対応ＩＤで識別される条件及び責務を含む第２差分判定条件とを少なくとも定義する差分対応定義情報を格納する第３格納手段と、
    　前記送信されたアクセス要求メッセージを受けると、当該アクセス要求メッセージ内のサービスプロバイダＩＤに対応した新ポリシを取得する第１取得手段と、
    　当該アクセス要求メッセージの送信日付が前記取得された新ポリシに定義された移行期間に含まれるか否かを判定する第１判定手段と、
    　前記第１判定手段による判定結果が含まれる旨を示すとき、前記取得された新ポリシに対応する旧ポリシを取得する第２取得手段と、
    　当該アクセス要求メッセージ内のＩＤプロバイダ認証トークンに含まれるユーザＩＤに基づいて、前記第１格納手段に格納されたユーザ属性情報を取得すると共に、当該ユーザＩＤが当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに格納されているか否かを確認する確認手段と、
    　前記サービスプロバイダシステムから送信され、前記確認手段に対する通知であって、前記ユーザＩＤが格納されている旨または格納されていない旨を示す通知を受領する通知受領手段と、
    　前記取得されたユーザ属性情報に基づいて、前記取得された新ポリシまたは前記取得された新ポリシ及び旧ポリシを評価するポリシ評価手段と、
    　前記ポリシ評価手段による評価結果と、前記通知受領手段により受領された通知とに基づいて、前記差分対応定義情報を取得する必要があるか否かを判定する第２判定手段と、
    　前記第２判定手段による判定結果が必要である旨を示すとき、前記差分対応定義情報を取得する第３取得手段と、
    　前記評価結果に少なくとも基づいて（但し、前記第３取得手段により差分対応定義情報が取得された場合は当該差分対応定義情報も参照して）、適応する判定ＩＤを決定する決定手段と、
    　前記決定された判定ＩＤで識別される条件内の責務を実行するよう要求する（但し、前記決定手段により前記差分対応定義情報に定義された第２差分判定条件が参照された場合は当該第２差分判定条件内の責務も実行するよう要求する）実行要求手段と、
    　前記実行要求手段からの要求に応じて、当該アクセス要求メッセージ内の前記ＩＤプロバイダ認証トークンに含まれるユーザＩＤを少なくとも含む認証連携メッセージを、当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに送信する第２送信手段と、
    　前記実行要求手段からの要求に応じて、当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダによるサービスデータの送信が拒否された旨を表示させる拒否画面情報を前記ユーザ端末に送信する第３送信手段と
    　を備え、
    　前記サービスプロバイダシステムは、
    　サービスデータを利用するユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報を格納する第４格納手段と、
    　前記送信された認証連携要求メッセージを受けると、当該認証連携要求メッセージ内のユーザＩＤに基づいて当該認証連携要求メッセージの正当性を検証し、当該検証の結果が正当である場合に、当該検証に用いたユーザＩＤを含むサービスプロバイダ認証トークンを発行する発行手段と、
    　前記発行されたサービスプロバイダ認証トークン内のユーザＩＤで識別されるユーザ端末にサービスデータを送信する第４送信手段と
    　を備えたことを特徴とするポリシ管理システム。
  2. 　ユーザを識別するユーザＩＤを含むＩＤプロバイダ認証トークンと、サービスプロバイダシステムを識別するサービスプロバイダＩＤとを含むアクセス要求メッセージを送信するユーザ端末と、前記ユーザ端末にサービスデータを提供し、当該サービスデータを利用するユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報を格納する格納手段を含むサービスプロバイダシステムと通信可能なＩＤプロバイダシステムであって、
    　前記ユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報であって、ユーザＩＤを少なくとも含むユーザ属性情報を格納する第１格納手段と、
    　前記サービスプロバイダＩＤ毎に、当該サービスプロバイダＩＤで識別されるサービスプロバイダシステムによるサービスデータの送信を許可するための判定条件であって、判定ＩＤで識別される複数の条件を含み、当該各条件は更に複数の詳細条件及び責務を含む判定条件と、旧ポリシから新ポリシに移行するにあたり、新ポリシだけでなく、旧ポリシの判定条件による判定結果も参照する期間を示す移行期間とを少なくとも定義する一対の旧ポリシ及び新ポリシを格納する第２格納手段と、
    　前記サービスプロバイダＩＤ毎に、前記送信されたアクセス要求メッセージの送信日付が前記移行期間内であるときに参照される第１差分判定条件と、前記送信されたアクセス要求メッセージの送信日付が前記移行期間外であるときに参照される第２差分判定条件であって、差分対応ＩＤで識別される条件及び責務を含む第２差分判定条件とを少なくとも定義する差分対応定義情報を格納する第３格納手段と、
    　前記送信されたアクセス要求メッセージを受けると、当該アクセス要求メッセージ内のサービスプロバイダＩＤに対応した新ポリシを取得する第１取得手段と、
    　当該アクセス要求メッセージの送信日付が前記取得された新ポリシに定義された移行期間に含まれるか否かを判定する第１判定手段と、
    　前記第１判定手段による判定結果が含まれる旨を示すとき、前記取得された新ポリシに対応する旧ポリシを取得する第２取得手段と、
    　当該アクセス要求メッセージ内のＩＤプロバイダ認証トークンに含まれるユーザＩＤに基づいて、前記第１格納手段に格納されたユーザ属性情報を取得すると共に、当該ユーザＩＤが当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに格納されているか否かを確認する確認手段と、
    　前記サービスプロバイダシステムから送信され、前記確認手段に対する通知であって、前記ユーザＩＤが格納されている旨または格納されていない旨を示す通知を受領する通知受領手段と、
    　前記取得されたユーザ属性情報に基づいて、前記取得された新ポリシまたは前記取得された新ポリシ及び旧ポリシを評価するポリシ評価手段と、
    　前記ポリシ評価手段による評価結果と、前記通知受領手段により受領された通知とに基づいて、前記差分対応定義情報を取得する必要があるか否かを判定する第２判定手段と、
    　前記第２判定手段による判定結果が必要である旨を示すとき、前記差分対応定義情報を取得する第３取得手段と、
    　前記評価結果に少なくとも基づいて（但し、前記第３取得手段により差分対応定義情報が取得された場合は当該差分対応定義情報も参照して）、適応する判定ＩＤを決定する決定手段と、
    　前記決定された判定ＩＤで識別される条件内の責務を実行するよう要求する（但し、前記決定手段により前記差分対応定義情報に定義された第２差分判定条件が参照された場合は当該第２差分判定条件内の責務も実行するよう要求する）実行要求手段と、
    　前記実行要求手段からの要求に応じて、当該アクセス要求メッセージ内の前記ＩＤプロバイダ認証トークンに含まれるユーザＩＤを少なくとも含む認証連携メッセージを、当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに送信する第１送信手段と、
    　前記実行要求手段からの要求に応じて、当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダによるサービスデータの送信が拒否された旨を表示させる拒否画面情報を前記ユーザ端末に送信する第２送信手段と
    　を備えたことを特徴とするＩＤプロバイダシステム。
  3. 　ユーザを識別するユーザＩＤを含むＩＤプロバイダ認証トークンと、サービスプロバイダシステムを識別するサービスプロバイダＩＤとを含むアクセス要求メッセージを送信するユーザ端末と、前記ユーザ端末にサービスデータを提供し、当該サービスデータを利用するユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報を格納する格納手段を含むサービスプロバイダシステムと通信可能であり、前記ユーザを特定するためのユーザの属性の項目名と項目値とを関連付けたユーザ属性情報であって、ユーザＩＤを少なくとも含むユーザ属性情報を格納する第１格納手段と、前記サービスプロバイダＩＤ毎に、当該サービスプロバイダＩＤで識別されるサービスプロバイダシステムによるサービスデータの送信を許可するための判定条件であって、判定ＩＤで識別される複数の条件を含み、当該各条件は更に複数の詳細条件及び責務を含む判定条件と、旧ポリシから新ポリシに移行するにあたり、新ポリシだけでなく、旧ポリシの判定条件による判定結果も参照する期間を示す移行期間とを少なくとも定義する一対の旧ポリシ及び新ポリシを格納する第２格納手段と、前記サービスプロバイダＩＤ毎に、前記送信されたアクセス要求メッセージの送信日付が前記移行期間内であるときに参照される第１差分判定条件と、前記送信されたアクセス要求メッセージの送信日付が前記移行期間外であるときに参照される第２差分判定条件であって、差分対応ＩＤで識別される条件及び責務を含む第２差分判定条件とを少なくとも定義する差分対応定義情報を格納する第３格納手段とを含むＩＤプロバイダシステムに用いられるポリシ評価装置であって、
    　前記送信されたアクセス要求メッセージを受けると、当該アクセス要求メッセージ内のサービスプロバイダＩＤに対応した新ポリシを取得する第１取得手段と、
    　当該アクセス要求メッセージの送信日付が前記取得された新ポリシに定義された移行期間に含まれるか否かを判定する第１判定手段と、
    　前記第１判定手段による判定結果が含まれる旨を示すとき、前記取得された新ポリシに対応する旧ポリシを取得する第２取得手段と、
    　当該アクセス要求メッセージ内のＩＤプロバイダ認証トークンに含まれるユーザＩＤに基づいて、前記第１格納手段に格納されたユーザ属性情報を取得すると共に、当該ユーザＩＤが当該アクセス要求メッセージ内のサービスプロバイダＩＤで識別されるサービスプロバイダシステムに格納されているか否かを確認する確認手段と、
    　前記サービスプロバイダシステムから送信され、前記確認手段に対する通知であって、前記ユーザＩＤが格納されている旨または格納されていない旨を示す通知を受領する通知受領手段と、
    　前記取得されたユーザ属性情報に基づいて、前記取得された新ポリシまたは前記取得された新ポリシ及び旧ポリシを評価するポリシ評価手段と、
    　前記ポリシ評価手段による評価結果と、前記通知受領手段により受領された通知とに基づいて、前記差分対応定義情報を取得する必要があるか否かを判定する第２判定手段と、
    　前記第２判定手段による判定結果が必要である旨を示すとき、前記差分対応定義情報を取得する第３取得手段と、
    　前記評価結果に少なくとも基づいて（但し、前記第３取得手段により差分対応定義情報が取得された場合は当該差分対応定義情報も参照して）、適応する判定ＩＤを決定する決定手段と、
    　前記決定された判定ＩＤで識別される条件内の責務を実行するよう要求する（但し、前記決定手段により前記差分対応定義情報に定義された第２差分判定条件が参照された場合は当該第２差分判定条件内の責務も実行するよう要求する）実行要求手段と
    　を備えたことを特徴とするポリシ評価装置。
PCT/JP2012/074689 2012-09-26 2012-09-26 ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置 WO2014049709A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2012544355A JP5422753B1 (ja) 2012-09-26 2012-09-26 ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置
SG11201502282QA SG11201502282QA (en) 2012-09-26 2012-09-26 Policy management system, id provider system, and policy evaluation device
CN201280076072.3A CN104685511B (zh) 2012-09-26 2012-09-26 策略管理系统、id提供者系统以及策略评价装置
PCT/JP2012/074689 WO2014049709A1 (ja) 2012-09-26 2012-09-26 ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置
US14/670,036 US9571525B2 (en) 2012-09-26 2015-03-26 Policy management system, id provider system, and policy evaluation device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2012/074689 WO2014049709A1 (ja) 2012-09-26 2012-09-26 ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/670,036 Continuation US9571525B2 (en) 2012-09-26 2015-03-26 Policy management system, id provider system, and policy evaluation device

Publications (1)

Publication Number Publication Date
WO2014049709A1 true WO2014049709A1 (ja) 2014-04-03

Family

ID=50287276

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2012/074689 WO2014049709A1 (ja) 2012-09-26 2012-09-26 ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置

Country Status (5)

Country Link
US (1) US9571525B2 (ja)
JP (1) JP5422753B1 (ja)
CN (1) CN104685511B (ja)
SG (1) SG11201502282QA (ja)
WO (1) WO2014049709A1 (ja)

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9998446B2 (en) * 2014-08-29 2018-06-12 Box, Inc. Accessing a cloud-based service platform using enterprise application authentication
US20170026474A1 (en) * 2015-07-22 2017-01-26 Microsoft Technology Licensing, Llc Communication Session Recording
US10382418B1 (en) * 2015-09-30 2019-08-13 EMC IP Holding Company LLC Authentication systems with selective authentication method
US9942321B2 (en) 2016-01-06 2018-04-10 Ca, Inc. Identity-to-account correlation and synchronization
US10397199B2 (en) * 2016-12-09 2019-08-27 Microsoft Technology Licensing, Llc Integrated consent system
US10341852B2 (en) * 2017-06-02 2019-07-02 Apple Inc. Informational articles in response to detection of devices or software
CN110390205B (zh) * 2018-04-19 2023-05-23 腾讯科技（深圳）有限公司 权限配置策略的确定方法和装置
CN108900568B (zh) * 2018-05-25 2020-09-18 山东中创软件商用中间件股份有限公司 一种表格传输的方法、系统及服务器
US20200145459A1 (en) * 2018-11-01 2020-05-07 Intuit Inc. Centralized authentication and authorization
CN112202750B (zh) * 2020-09-25 2023-01-24 统信软件技术有限公司 策略执行的控制方法、策略执行系统及计算设备
US11874937B2 (en) * 2020-12-30 2024-01-16 Atlassian Pty Ltd Apparatuses, methods, and computer program products for programmatically parsing, classifying, and labeling data objects

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009129289A (ja) * 2007-11-27 2009-06-11 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
JP2010152463A (ja) * 2008-12-24 2010-07-08 Fuji Xerox Co Ltd ポリシーサーバ、アクセス管理システム及びポリシー管理プログラム
JP4892093B1 (ja) * 2010-11-09 2012-03-07 株式会社東芝 認証連携システム及びｉｄプロバイダ装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7673323B1 (en) 1998-10-28 2010-03-02 Bea Systems, Inc. System and method for maintaining security in a distributed computer network
US7395333B1 (en) * 2000-05-09 2008-07-01 Sun Microsystems, Inc. Method and apparatus to obtain negotiated service advertisement
US7606801B2 (en) 2005-06-07 2009-10-20 Varonis Inc. Automatic management of storage access control
US8140362B2 (en) 2005-08-30 2012-03-20 International Business Machines Corporation Automatically processing dynamic business rules in a content management system
JP4722651B2 (ja) * 2005-09-28 2011-07-13 株式会社エヌ・ティ・ティ・ドコモ 情報送信端末、情報送信方法、物品情報送信システム、及び物品情報送信方法
US8418234B2 (en) 2005-12-15 2013-04-09 International Business Machines Corporation Authentication of a principal in a federation

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009129289A (ja) * 2007-11-27 2009-06-11 Mitsubishi Electric Corp 情報処理装置及び情報処理方法及びプログラム
JP2010152463A (ja) * 2008-12-24 2010-07-08 Fuji Xerox Co Ltd ポリシーサーバ、アクセス管理システム及びポリシー管理プログラム
JP4892093B1 (ja) * 2010-11-09 2012-03-07 株式会社東芝 認証連携システム及びｉｄプロバイダ装置

Also Published As

Publication number Publication date
CN104685511A (zh) 2015-06-03
JP5422753B1 (ja) 2014-02-19
SG11201502282QA (en) 2015-05-28
CN104685511B (zh) 2017-10-24
US9571525B2 (en) 2017-02-14
US20150200971A1 (en) 2015-07-16
JPWO2014049709A1 (ja) 2016-08-22

Similar Documents

Publication Publication Date Title
JP5422753B1 (ja) ポリシ管理システム、ｉｄプロバイダシステム及びポリシ評価装置
JP4892093B1 (ja) 認証連携システム及びｉｄプロバイダ装置
US8955041B2 (en) Authentication collaboration system, ID provider device, and program
US8635679B2 (en) Networked identity framework
US9215232B2 (en) Certificate renewal
JP5197843B1 (ja) 認証連携システムおよびｉｄプロバイダ装置
JP5383838B2 (ja) 認証連携システム、ｉｄプロバイダ装置およびプログラム
Alpár et al. The identity crisis. security, privacy and usability issues in identity management
US7552468B2 (en) Techniques for dynamically establishing and managing authentication and trust relationships
JP4579546B2 (ja) 単一サインオンサービスにおけるユーザ識別子の取り扱い方法及び装置
JP4973246B2 (ja) アクセス権管理システム、サーバ及びアクセス権管理プログラム
US8752152B2 (en) Federated authentication for mailbox replication
US20050188212A1 (en) Access control for federated identities
US20050171872A1 (en) Techniques for establishing and managing a distributed credential store
JP5342020B2 (ja) グループ定義管理システム
EP1560394B1 (en) Techniques for dynamically establishing and managing authentication and trust relationships
JP2006031064A (ja) セッション管理システム及び管理方法
US9600655B2 (en) Policy update system and policy update apparatus
US11539533B1 (en) Access control using a circle of trust
JP6128958B2 (ja) 情報処理サーバーシステム、制御方法、およびプログラム
KR20100073884A (ko) Ｉｄ 연계 기반의 고객정보 중개 및 동기화 방법

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2012544355

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12885810

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12885810

Country of ref document: EP

Kind code of ref document: A1