(57)【要約】【課題】  複数の認証方式を用いて認証を実行する際に、認証の利便性を向上させること。【解決手段】  ユーザの認証を実行する認証システムは、ユーザクライアントからのリクエストに応じて、そのリクエストに第１の認証情報が含まれる場合にその第１の認証情報を用いて第１の認証を実行し、リクエストに第１の認証情報が含まれない場合であって、そのリクエストに第２の認証情報が含まれる場合にその第２の認証情報を用いて第２の認証を実行し、第１の認証と第２の認証との少なくともいずれかにおける認証が成功したときに、システムにおける認証が成功したと判定する。【選択図】  図１
2014102647.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの認証を実行する認証システムであって、
ユーザクライアントからのリクエストに応じて、当該リクエストに第１の認証情報が含まれる場合に当該第１の認証情報を用いて認証を実行する第１認証手段と、
前記リクエストに前記第１の認証情報が含まれない場合であって、当該リクエストに第２の認証情報が含まれる場合に当該第２の認証情報を用いて認証を実行する第２認証手段と、
前記第１認証手段と前記第２認証手段との少なくともいずれかにおける認証が成功したときに、システムにおける認証が成功したと判定する判定手段と、
を有することを特徴とする認証システム。
【請求項２】
前記リクエストに、前記第１の認証情報と前記第２の認証情報とがいずれも含まれない場合に、前記ユーザクライアントへエラーを通知する通知手段をさらに備える、
ことを特徴とする請求項１に記載の認証システム。
【請求項３】
前記リクエストに前記第１の認証情報が含まれている場合であって前記第１認証手段において前記認証が失敗した場合、又は、前記第２認証手段における認証が失敗した場合に、前記ユーザクライアントへエラーを通知する通知手段をさらに備える、
ことを特徴とする請求項１に記載の認証システム。
【請求項４】
前記第１認証手段を有する第１の装置であって、前記リクエストに前記第１の認証情報が含まれず、かつ、前記リクエストに前記第２の認証情報が含まれる場合に、第２の装置へ、前記第２の認証情報を含むメッセージを送信する送信手段をさらに有する第１の装置と、
前記第２認証手段と、前記判定手段と、前記メッセージを受信する受信手段とを有する前記第２の装置と、
を含み、
前記判定手段は、前記メッセージに前記第２の認証情報が含まれる場合であって、前記第２認証手段において前記第２の認証情報を用いた認証が成功した場合に、システムにおける認証が成功したと判定する、
ことを特徴とする請求項１から３のいずれか１項に記載の認証システム。
【請求項５】
前記送信手段は、前記リクエストに前記第１の認証情報が含まれ、前記第１の認証情報を用いた認証が成功した場合、前記第２の装置へ、前記第２の認証情報を含まない前記メッセージを送信し、
前記判定手段は、前記メッセージに、前記第２の認証情報が含まれない場合、システムにおける認証が成功したと判定する、
ことを特徴とする請求項４に記載の認証システム。
【請求項６】
前記第２の装置はＷｅｂサービスを処理する装置であり、
前記第１の装置と前記第２の装置は、前記リクエストがユーザ認証が不要なＷｅｂサービスへのリクエストである場合、認証を行わずに、前記Ｗｅｂサービスの利用を許可する、
ことを特徴とする請求項４又は５に記載の認証システム。
【請求項７】
前記第２の装置はＷｅｂサービスを処理する装置であり、
前記送信手段は、前記リクエストがユーザ認証が不要なＷｅｂサービスへのリクエストである場合、前記第２の装置へ、前記第２の認証情報を含まない前記メッセージを送信する、
ことを特徴とする請求項５に記載の認証システム。
【請求項８】
前記第１認証手段と前記第２認証手段と前記判定手段とを有する第１の装置であって、システムにおける認証が成功したかの情報を第２の装置に送信する送信手段をさらに有する第１の装置と、
前記情報を受信する受信手段を有し、Ｗｅｂサービスを処理する前記第２の装置と、
を含み、
前記第２の装置は、前記情報が、システムの認証が成功したことを示す場合、前記ユーザクライアントに対して前記Ｗｅｂサービスの利用を許可する、
ことを特徴とする請求項１から３のいずれか１項に記載の認証システム。
【請求項９】
前記リクエストは、Ｗｅｂサービスを利用するためのリクエストであり、
前記ユーザクライアントに係るユーザが、前記Ｗｅｂサービスを利用する権限を有するかを識別する識別手段をさらに有し、
前記ユーザが前記Ｗｅｂサービスを利用する権限を有さない場合は、前記第１認証手段と前記第２認証手段とにおける認証の結果によらず、前記Ｗｅｂサービスの利用を許可しない、
ことを特徴とする請求項１から８のいずれか１項に記載の認証システム。
【請求項１０】
前記第１の認証情報は、ＨＴＴＰダイジェスト認証の認証情報である、
ことを特徴とする請求項１から９のいずれか１項に記載の認証システム。
【請求項１１】
前記第２の認証情報は、ＷＳ−Ｓｅｃｕｒｉｔｙ認証の認証情報である、
ことを特徴とする請求項１から１０のいずれか１項に記載の認証システム。
【請求項１２】
ユーザの認証を実行する認証装置であって、
ユーザクライアントからのリクエストに応じて、当該リクエストに第１の認証情報が含まれる場合に当該第１の認証情報を用いて認証を実行する第１認証手段と、
前記リクエストに前記第１の認証情報が含まれない場合であって、当該リクエストに第２の認証情報が含まれる場合に当該第２の認証情報を用いて認証を実行する第２認証手段と、
前記第１認証手段と前記第２認証手段との少なくともいずれかにおける認証が成功したときに、システムにおける認証が成功したと判定する判定手段と、
を有することを特徴とする認証装置。
【請求項１３】
ユーザの認証を実行する認証システムにおける認証方法であって、
第１認証手段が、ユーザクライアントからのリクエストに応じて、当該リクエストに第１の認証情報が含まれる場合に当該第１の認証情報を用いて認証を実行する第１認証工程と、
第２認証手段が、前記リクエストに前記第１の認証情報が含まれない場合であって、当該リクエストに第２の認証情報が含まれる場合に当該第２の認証情報を用いて認証を実行する第２認証工程と、
判定手段が、前記第１認証工程と前記第２認証工程との少なくともいずれかにおける認証が成功したときに、システムにおける認証が成功したと判定する判定工程と、
を有することを特徴とする認証方法。
【請求項１４】
ユーザの認証を実行する認証装置における認証方法であって、
第１認証手段が、ユーザクライアントからのリクエストに応じて、当該リクエストに第１の認証情報が含まれる場合に当該第１の認証情報を用いて認証を実行する第１認証工程と、
第２認証手段が、前記リクエストに前記第１の認証情報が含まれない場合であって、当該リクエストに第２の認証情報が含まれる場合に当該第２の認証情報を用いて認証を実行する第２認証工程と、
判定手段が、前記第１認証工程と前記第２認証工程との少なくともいずれかにおける認証が成功したときに、システムにおける認証が成功したと判定する判定工程と、
を有することを特徴とする認証方法。
【請求項１５】
コンピュータを請求項１２に記載の認証装置が備える各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の認証方式を用いた認証技術に関する。
【背景技術】
【０００２】
複数の認証情報を用いてユーザや機器を認証する仕組みがある。例えば、複数の認証情報を用いることでより高いセキュリティを確保する技術や、複数の認証の過程を１度経ることにより以降は最初の認証だけ行い利便性を高める技術がある。
【０００３】
特許文献１には、携帯端末ごとに固有の第１の認証情報と、携帯端末ごとに生成した第２の認証情報とを用いて、第１の認証情報を用いた認証が成功した場合に携帯端末との通信を許可し、第２の認証情報を用いた認証処理を行うシステムが記載されている。また、特許文献２には、端末装置に搭載されたアプリケーションを使用するための第１の認証手段と、外部サービスを使用するための第２の認証手段とを備える認証装置が記載されている。特許文献２に記載の認証装置は、第１の認証と第２の認証の両方の認証に成功した場合に得られる認証子を用いてユーザのログイン操作を簡略化する。
【０００４】
また、非特許文献１ではＨＴＴＰダイジェスト認証とＷＳ−Ｓｅｃｕｒｉｔｙの２つの認証を用いて、過去に公開されたＯＮＶＩＦの仕様において使用されていた認証方式と互換性を保つ方法が開示されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−１２３０５９号公報
【特許文献２】特開２００９−２２３７３９号公報
【非特許文献】
【０００６】
【非特許文献１】ＯＮＶＩＦ  Ｃｏｒｅ  Ｓｐｅｃ．  Ｖｅｒ．  ２．２  ｐｐ．  ３０−３１
【発明の概要】
【発明が解決しようとする課題】
【０００７】
また、非特許文献１の技術では、Ｗｅｂサーバにおいて、ＨＴＴＰダイジェストの認証情報とＷＳＳ（ＷＳ−Ｓｅｃｕｒｉｔｙ）の両方の認証情報の有無を調べることが要求される。そして、非特許文献１の技術では、ＷＳＳの認証情報が含まれていた場合は、ＨＴＴＰダイジェスト認証の認証情報が含まれていなくても、ＨＴＴＰダイジェスト認証は行わずにＷＳＳの認証情報だけで認証処理を行う。しかしながら、非特許文献１に記載の認証方法において、認証の利便性を高めるために特許文献１又は特許文献２に記載の技術を適用することは困難である。
【０００８】
本発明は上記課題に鑑みなされたものであり、認証の利便性を高めながら、Ｗｅｂサービスを処理する技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
上記目的を達成するため、本発明による認証システムは、ユーザの認証を実行する認証システムであって、ユーザクライアントからのリクエストに応じて、当該リクエストに第１の認証情報が含まれる場合に当該第１の認証情報を用いて認証を実行する第１認証手段と、前記リクエストに前記第１の認証情報が含まれない場合であって、当該リクエストに第２の認証情報が含まれる場合に当該第２の認証情報を用いて認証を実行する第２認証手段と、前記第１認証手段と前記第２認証手段との少なくともいずれかにおける認証が成功したときに、システムにおける認証が成功したと判定する判定手段と、を有する。
【発明の効果】
【００１０】
本発明によれば、複数の認証方式を用いて認証を実行する際に、認証の利便性を向上させることができる。
【図面の簡単な説明】
【００１１】
【図１】実施形態１のＷｅｂサービスシステムの構成図。
【図２】実施形態１のＷｅｂサーバの認証処理を示すフローチャート。
【図３】実施形態１のＷｅｂサービス処理部の処理を示すフローチャート。
【図４】実施形態２のＷｅｂサービスシステムの構成図。
【図５】実施形態２のＷｅｂサーバの認証処理を示すフローチャート。
【発明を実施するための形態】
【００１２】
以下、添付図面を参照して本発明の実施の形態を詳細に説明する。
【００１３】
＜＜実施形態１＞＞
（システム構成）
本実施形態に係るＷｅｂサービスシステムの構成を図１に示す。Ｗｅｂサービスシステムは、例えば、第１の装置であるＷｅｂサーバ１１と、第２の装置であるＷｅｂサービス処理装置１２とを含む。そして、Ｗｅｂサーバ１１の第１認証処理部１とＷｅｂサービス処理装置１２の第２認証処理部２とにより、ユーザ認証システムを構築する。Ｗｅｂサーバ１１は、ユーザクライアント１３から、ＨＴＭＬメッセージ１４によるＷｅｂサービスのリクエストを受け付ける。なお、Ｗｅｂサーバ１１とＷｅｂサービス処理装置１２とを、第１の装置及び第２の装置など、別の装置のように記載しているが、これらのＷｅｂサービスシステムの全体は、ＰＣなどの１つの装置の中に含まれてもよい。
【００１４】
第１認証処理部１は、ＨＴＭＬのユーザ認証の仕組みであるＨＴＭＬダイジェスト認証（第１の認証処理）を実行する。第１認証処理部１は、第１の認証情報であるＨＴＭＬダイジェスト認証の認証情報の有無の判定と認証処理とを実行する。そして、Ｗｅｂサーバ１１は、不図示の送信部により、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置１２へ送信する。なお、ＳＯＡＰメッセージ１５には、ＨＴＭＬメッセージ１４を構成する少なくとも一部の情報（例えばボディ部分）が含まれる。
【００１５】
Ｗｅｂサービス処理装置１２はＷｅｂサービスの処理を行うモジュールで、Ｗｅｂサービスのユーザ認証の仕組みであるＷＳ−Ｓｅｃｕｒｉｔｙ認証（ＷＳＳ認証）（第２の認証処理）を行う第２認証処理部２を含む。第２認証処理部２は、ＸＭＬで記載されたＳＯＡＰメッセージ１５を解析するエンジンを備え、第２の認証情報であるＷＳＳ認証の認証情報の有無の判定と認証処理とを実行する。Ｗｅｂサービス処理装置１２は、ユーザクライアント１３からのＷｅｂサービスの要求を処理し、Ｗｅｂサーバ１１を通して処理結果をユーザクライアント１３へ送信する。
【００１６】
Ｗｅｂサーバ１１は、ＳＯＡＰメッセージ１５（ＨＴＭＬメッセージ１４のボディ）を解析し、第２の認証情報であるＷＳＳ認証の認証情報の有無を判定する。そして、ＷＳＳ認証の認証情報がある場合は、送信部により、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置１２へ送信する。
【００１７】
図２は、Ｗｅｂサーバ１１内の第１認証処理部１の処理の詳細を示すフローチャートである。Ｗｅｂサーバ１１は、ユーザクライアント１３からＨＴＭＬメッセージ１４を受信すると、そのＨＴＭＬメッセージを解析してＨＴＴＰダイジェスト認証の認証ヘッダが含まれるかどうかを判定する（Ｓ２１）。ＨＴＴＰダイジェスト認証の認証ヘッダが含まれている場合（Ｓ２１でＹｅｓ）、Ｗｅｂサーバ１１は、ＨＴＴＰダイジェスト認証の処理を実行し（Ｓ２２）、ＨＴＴＰダイジェスト認証の結果を判定する（Ｓ２３）。そして、ＨＴＴＰダイジェスト認証に失敗した場合（Ｓ２３でＮｏ）は、Ｗｅｂサーバ１１は、ユーザクライアント１３へ、ＨＴＴＰ４００エラー（Ｂａｄ  Ｒｅｑｕｅｓｔ）を返し、ＨＴＴＰダイジェスト認証が失敗したことを通知する（Ｓ２４）。ＨＴＴＰダイジェスト認証に成功した場合（Ｓ２３でＹｅｓ）、Ｗｅｂサーバ１１は、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置へ送信する（Ｓ２５）。
【００１８】
一方、Ｓ２１でＨＴＴＰダイジェスト認証の認証ヘッダが含まれていないと判定した場合（Ｓ２１でＮｏ）、Ｗｅｂサーバ１１は、ＨＴＭＬメッセージ１４にＷＳＳ認証情報が含まれるかを判定する（Ｓ２６）。そして、ＷＳＳ認証情報がＨＴＭＬメッセージ１４に含まれていると判定した場合（Ｓ２６でＹｅｓ）、Ｗｅｂサーバ１１は、ＳＯＡＰメッセージ１５をＷｅｂサービス処理部へ送信する（Ｓ２５）。
【００１９】
ＨＴＭＬメッセージ１４にＷＳＳ認証情報が含まれていないと判定した場合（Ｓ２６でＮｏ）、Ｗｅｂサーバ１１は、ＨＴＭＬメッセージ１４により要求されるＷｅｂサービスが特定のサービスであるかどうかを判定する（Ｓ２７）。ここで、特定のサービスとは、例えば、Ｗｅｂサービスシステムの時刻情報や機能の情報の提供など、ユーザ認証が不要とされるサービスである。そして、ＨＴＭＬメッセージ１４により要求されるＷｅｂサービスが特定のサービスであると判定された場合（Ｓ２７でＹｅｓ）は、Ｗｅｂサーバ１１は、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置１２へ送信する（Ｓ２５）。一方、ＨＴＭＬメッセージ１４で要求されるサービスが特定のサービスでない場合（Ｓ２７でＮｏ）は、ＨＴＭＬメッセージ１４は、ユーザ認証が要求されるサービスを要求していることとなる。しかしながら、この場合、ＨＴＴＰダイジェスト認証のヘッダとＷＳＳ認証情報の両方がないことから認証ができない。このため、Ｗｅｂサーバ１１は、ＨＴＴＰ４０１エラー（Ｕｎａｕｔｈｏｒｉｚｅｄ）をユーザクライアント１３へ通知し（Ｓ２８）、認証情報の付与を促す。
【００２０】
通常のＷｅｂサーバは、ＨＴＴＰダイジェスト認証の認証情報（第１の認証情報）がない場合は、ＨＴＴＰ４０１エラーをユーザクライアント１３へ通知し、ＨＴＴＰダイジェスト認証情報を付加するように促す。しかし、本実施形態においては、ＨＴＴＰダイジェスト認証ヘッダが含まれていなくても（Ｓ２１でＮｏ）、ＷＳＳ認証情報が含まれていれば（Ｓ２６でＹｅｓ）、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置１２へ送信する（Ｓ２５）。この場合、ユーザ認証は後述するＷｅｂサービス処理装置でのＷＳＳ認証だけが行われる。
【００２１】
続いて、Ｗｅｂサービス処理装置１２における認証処理を説明する。図３は、Ｗｅｂサービス処理装置１２内の第２認証処理部２の処理の詳細を示すフローチャートである。
【００２２】
Ｗｅｂサービス処理装置１２は、Ｗｅｂサーバ１１から取得したＳＯＡＰメッセージ１５を解析し、要求されているのが特定のサービスであるかどうかを判定する（Ｓ３１）。要求されているサービスがユーザ認証が不要なサービスであった場合（Ｓ３１でＹｅｓ）、ＷＳＳ認証は不要であり、Ｗｅｂサービスの利用が許可され、処理が実行される（Ｓ３５）。一方で、要求されているサービスがユーザ認証が必要なサービスである場合（Ｓ３1でＮｏ）は、Ｗｅｂサービス処理装置１２は、ＳＯＡＰメッセージ１５にＷＳＳ認証情報が含まれているかを判定する（Ｓ３２）。
【００２３】
ＳＯＡＰメッセージ１５にＷＳＳ認証情報が含まれていない場合（Ｓ３２でＮｏ）は、Ｗｅｂサービス処理装置１２は、Ｗｅｂサーバ１１でＨＴＴＰダイジェスト認証でユーザ認証が成功している。このため、Ｗｅｂサービスの利用が許可され、処理が実行される（Ｓ３５）。ＳＯＡＰメッセージ１５にＷＳＳ認証情報が含まれている場合（Ｓ３２でＹｅｓ）は、第１認証処理部１において、ＨＴＴＰダイジェスト認証ヘッダがなかったためにユーザ認証が終わっていないことがわかる。このため、この場合、Ｗｅｂサービス処理装置１２は、ＷＳＳ認証処理を行い（Ｓ３３）、ＷＳＳ認証に成功したかを判定する（Ｓ３４）。そして、ＷＳＳ認証に成功した場合（Ｓ３４でＹｅｓ）は、Ｗｅｂサービス処理装置１２は、Ｗｅｂサービスの利用が許可され、処理が実行される（Ｓ３５）。また、ＷＳＳ認証に失敗した場合（Ｓ３４でＮｏ）は、Ｗｅｂサービス処理装置１２は、ユーザクライアント１３へ、認証に失敗したことを示すＨＴＴＰ４００エラーを返答する（Ｓ３６）。
【００２４】
なお、上述の説明では、Ｓ３６においてＨＴＴＰ４００エラーを通知しているが、Ｗｅｂサービス処理装置１２は、ＨＴＴＰ４００エラーに加えてＳＯＡＰメッセージでもエラー（ｔｅｒ：Ｕｎａｕｔｈｏｒｉｚｅｄ）を通知してもよい。なお、このエラー通知もＷＳＳ認証に失敗したことを示すが、ＳＯＡＰメッセージのエラーまで解釈するかはユーザクライアント１３次第である。
【００２５】
本実施形態によれば、Ｗｅｂサーバ１１は、ＷＳＳの認証情報の有無を解析することで、ＨＴＴＰダイジェスト認証の結果を踏まえてＳＯＡＰメッセージをＷｅｂサービス処理装置１２に送るか、ユーザクライアント１３へ適切なエラーを返す。このように、Ｗｅｂサーバ１１でＷＳＳの認証情報を解析することで、ＨＴＴＰダイジェスト認証情報がない場合にＨＴＴＰダイジェスト認証を回避し、Ｗｅｂサービスを処理する技術を提供することができる。そして、これにより、認証の利便性を向上させることが可能となる。
【００２６】
＜＜実施形態２＞＞
続いて、図４及び図５を参照して、第２の実施形態について説明する。本実施形態におけるシステムの構成を図４に示す。実施例１との違いは、Ｗｅｂサービス処理装置１２で行っていた第２の認証処理を、Ｗｅｂサーバ１１で実行し、Ｗｅｂサービス処理装置１２ではユーザ認証の処理を行わない点である。また、特定のユーザ権限を有するユーザクライアントを考慮している点も異なる。
【００２７】
図５は、Ｗｅｂサーバ１１での、ＨＴＴＰダイジェスト認証とＷＳＳ認証の処理を示すフローチャートである。Ｗｅｂサーバ１１は、ユーザクライアント１３から処理装置１２１４を受信すると、ＨＴＭＬメッセージを解析して、ＨＴＴＰダイジェスト認証の認証ヘッダが含まれるかどうかを判定する（Ｓ５０１）。Ｗｅｂサーバ１１のＨＴＴＰ認証方式がベーシック認証である場合や、認証を行わない場合は、ＨＴＴＰダイジェスト認証ヘッダが含まれないと判定する。
【００２８】
Ｗｅｂサーバ１１は、ＨＴＴＰダイジェスト認証の認証ヘッダが含まれている場合（Ｓ５０１でＹｅｓ）、ＨＴＴＰダイジェスト認証の処理を行い（Ｓ５０２）、ＨＴＴＰダイジェスト認証の結果を判定する（Ｓ５０３）。そして、ＨＴＴＰダイジェスト認証に失敗した場合（Ｓ５０３でＮｏ）、Ｗｅｂサーバ１１は、ＨＴＴＰ４００エラー（Ｂａｄ  Ｒｅｑｕｅｓｔ）を返し、ユーザクライアント１３にＨＴＴＰダイジェスト認証が失敗したことを通知する（Ｓ５０４）。一方、ＨＴＴＰダイジェスト認証に成功した場合（Ｓ５０３でＹｅｓ）、Ｗｅｂサーバ１１は、ＨＴＭＬメッセージにＷＳＳ認証情報が含まれるかを判定する（Ｓ５０５）。
【００２９】
ＨＴＭＬメッセージにＷＳＳ認証情報が含まれない場合（Ｓ５０５でＮｏ）は、ＨＴＴＰダイジェスト認証でユーザ認証ができているため、Ｗｅｂサーバ１１は、ＷＳＳ認証は行わずにＳＯＡＰメッセージ１５をＷｅｂサービス処理装置へ送信する（Ｓ５０９）。ＨＴＭＬメッセージにＷＳＳ認証情報が含まれる場合（Ｓ５０５でＹｅｓ）は、Ｗｅｂサーバ１１は、ＷＳＳ認証処理を行い（Ｓ５０７）、ＷＳＳ認証に成功したかどうかを判定する（Ｓ５０８）。そして、ＷＳＳ認証に成功した場合は（Ｓ５０８でＹｅｓ）、Ｗｅｂサーバ１１は、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置１２へ送信する（Ｓ５０９）。一方、ＷＳＳ認証に失敗した場合（Ｓ５０８でＹｅｓ）は、Ｗｅｂサーバ１１は、ＨＴＴＰダイジェスト認証には成功しているが、ＷＳＳ認証には失敗しているため、ユーザクライアント１３へＨＴＴＰ４００エラーを返答する（Ｓ５１０）。
【００３０】
Ｓ５０１でＨＴＭＬメッセージにＨＴＴＰダイジェスト認証ヘッダが含まれないと判定した場合（Ｓ５０１でＮｏ）、Ｗｅｂサーバ１１は、続いて、ＨＴＭＬメッセージにＷＳＳ認証情報が含まれているかを判定する（Ｓ５０６）。そして、ＨＴＭＬメッセージにＷＳＳ認証情報が含まれていた場合（Ｓ５０６でＹｅｓ）は、Ｗｅｂサーバ１１は、ＷＳＳ認証処理を行う（Ｓ５０７）。これ以降の処理は、Ｓ５０５でＨＴＭＬメッセージにＷＳＳ認証情報が含まれていると判定された場合（Ｓ５０５でＹｅｓ）と同様の処理を行う。
【００３１】
Ｓ５０６でＨＴＭＬメッセージにＷＳＳ認証情報が含まれないと判定した場合（Ｓ５０６でＮｏ）は、ＨＴＭＬメッセージは認証情報を含まないＷｅｂサービスのリクエストであることとなる。しかし、ユーザ認証が不要な特定のサービスへのリクエストに対しては、Ｗｅｂサービスの処理を受け付けることができる。このため、Ｗｅｂサーバ１１は、ＨＴＭＬメッセージによるＷｅｂサービスの要求が特定のサービスへのリクエストであるかを判定する（Ｓ５１１）。そして、特定のサービスへのリクエストであれば（Ｓ５１１でＹｅｓ）、Ｗｅｂサーバ１１は、ＳＯＡＰメッセージ１５をＷｅｂサービス処理装置１２へ送信する。ユーザ認証が必要なサービスである場合は（Ｓ５１１でＮｏ）、ユーザクライアント１３へＨＴＴＰ４０１エラーを返答し、認証情報を付与することを促す。
【００３２】
次に、ユーザがサービスを受ける権限を持っていない場合、またはユーザが特定のユーザである場合に、ＷＳＳの認証処理の結果によらず、ユーザ認証を不可と判定する機能について説明する。ネットワークの設定など、Ｗｅｂサービスシステムの重要な設定を変更するサービスの場合、特定のユーザ又は権限を持ったユーザだけにサービスを提供したい要求がある。そのため、Ｓ５０９の処理の前に、ユーザクライアント１３がＷｅｂサービスを実行する権限を有するかを識別するようにしてもよい。ユーザに権限がない場合、Ｗｅｂサービスの利用を許可せず、処理を実行せずにＨＴＴＰ４００エラーを通知する。
【００３３】
本実施形態では、図４に示す通り、Ｗｅｂサービス処理装置は第２認証処理部２を備えていない。ユーザ認証はＷｅｂサーバ１１がＨＴＴＰダイジェスト認証とＷＳＳ認証を両方行い、Ｗｅｂサーバ１１から送られたＳＯＡＰメッセージ１５は、Ｗｅｂサービス処理装置はユーザ認証を行わず全てのＷｅｂサービスへのリクエストを処理する。
【００３４】
本実施形態によれば、Ｗｅｂサーバは、ＷＳＳの認証情報の有無に加えてＷＳＳ認証の可否を判定することで、ＨＴＴＰダイジェスト認証の結果を踏まえてＳＯＡＰメッセージをＷｅｂサービス処理装置に送るか、ユーザクライアントに適切なエラーを返す。このようにすることで、ＨＴＴＰダイジェスト認証情報が無い場合はＨＴＴＰダイジェスト認証を回避し、Ｗｅｂサービスを処理する技術を提供することができる。そして、これにより、認証の利便性を向上させることが可能となる。
【００３５】
＜＜その他の実施形態＞＞
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
【図１】
2014102647.tif 000003
【図２】
2014102647.tif 000004
【図３】
2014102647.tif 000005
【図４】
2014102647.tif 000006
【図５】
2014102647.tif 000007