(57)【特許請求の範囲】
【請求項１】
広域分散された端末からの外部ユーザのアクセスに対して認証を行うことにより情報提供サーバ上での操作権限を制御する認証／権限制御システムであって：
外部ユーザに関する外部ユーザ情報を個別に登録し管理する外部ユーザ管理部と；
アクセス権限に応じて内部で予め定義づけられる内部ユーザに関する内部ユーザ情報を登録し管理する内部ユーザ管理部と；
前記外部ユーザ情報と前記内部ユーザ情報との写像を作成する権限写像部と；
外部ユーザに提供される情報資源を格納する記憶装置と；
外部ユーザからの情報取得要求を受けて，前記権限写像部においてその外部ユーザを対応する内部ユーザに変換し，変換された内部ユーザのアクセス権限に応じて，前記記憶装置から情報資源を取得して，その情報資源を前記外部ユーザに提供する情報提供部と；
を備え，
外部ユーザの情報取得要求に応じて新規の内部ユーザが動的に作成され，前記権限写像は前記外部ユーザと前記新規の内部ユーザとの写像を作成し，前記情報提供部は前記新規の内部ユーザのアクセス権限に応じて前記記憶装置から情報を取得してその情報を前記外部ユーザに提供することを特徴とする，認証／権限制御システム。
【請求項２】
前記内部ユーザは，前記情報資源に対するアクセス権限に応じて段階的に作成されることを特徴とする，請求項１に記載の認証／権限制御システム。
【請求項３】
外部ユーザのログイン時に，前記外部ユーザ管理部で管理される前記外部ユーザ情報を参照して，外部ユーザのログインの一次認証を行う外部ユーザ認証部をさらに備えたことを特徴とする，請求項１または２に記載の認証／権限制御システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は，認証／権限制御システムに係り，特に，インターネット上に広域分散された端末装置からのログインに対する認証を行うことにより，情報提供サーバ上の操作権限の制御を行う認証／権限制御システムに関するものである。
【０００２】
【従来の技術】
従来，インターネット上に広域分散された任意の端末装置からユーザが所望の情報提供サーバにログインして，その情報提供サーバ内に格納された情報資源を取得したり，その情報資源に変更を加えたりする際には，ユーザが端末装置側から情報提供サーバ側にユーザ名やパスワードなどの認証情報を送信し，その認証情報に基づいて情報提供サーバ側がそのユーザのアクセス権限を評価し，ユーザは情報提供サーバに許可された範囲内で情報提供サーバの情報資源に対して所定のアクセスを行っていた。
【０００３】
図６に，従来の認証／権限制御システムの概略構成を示す。図示のように，認証／権限制御システムは，広域分散された端末装置１０１−１，１０１−２，…１０１−ｎと，これらの端末装置と一般電話回線などで接続された情報提供サーバ１１０とから構成されている。
【０００４】
端末装置（ユーザ）１０１は，情報提供サーバ１１０にログインし，ユーザが所望する情報資源を取得したり，情報提供サーバ１１０上での所定のプログラム実行を要求するための装置である。情報提供サーバ１１０は，単一の装置ではなく，情報提供部１１１，権限制御部１１２，ユーザ管理部１１３及び二次記憶装置１１４から構成されている。なお，各構成要素は，必ずしも単一の装置内に存在する必要はなく，それぞれ別の装置として構成し，所定のデータ伝送装置で相互接続することも可能である。
【０００５】
まず，情報提供部１１１は，任意の端末装置１０１を利用してのユーザからのログイン要求や情報取得要求を受け付ける装置である。権限制御部１１２は，ユーザからのログイン要求に対して各ユーザ毎に許可されたアクセス権限を調査し，許可された情報資源に対してのみアクセスを可能とする装置である。ユーザ管理部１１３は，ユーザ管理情報，すなわち各ユーザに関する情報，認証用の情報（例えば，ユーザ名，パスワード等），権限情報（どの情報資源及びプログラムに対してアクセス可能かを記述した情報）などを登録して管理する装置である。さらに，二次記憶装置１１４は，情報提供サーバがユーザに提供する情報資源やプログラムを格納する記憶装置である。
【０００６】
次に，上記のような認証／権限制御システムにおいて，ユーザが端末装置１０１から情報提供サーバ１１０にアクセスし，目的の情報を取得するまでの動作について説明する。
【０００７】
（１）サーバログイン
ユーザは，自己の端末装置１０１からユーザ名やパスワードなどに代表される認証に必要な情報を，アクセスしたい情報提供サーバ１１０に送信してログインを行う。
【０００８】
（２）認証要求
ユーザからのログインを受けて，情報提供サーバ１１０の情報提供部１１１は，ユーザから送信された認証情報を権限制御部１１２に送り，その認証を依頼する。
【０００９】
（３）認証実行
権限制御部１１２は，送られた認証情報に基づいて，ユーザ管理部１１３にアクセスし，認証に必要なユーザ管理情報の取得を行い，ログインしてきたユーザが正規ユーザであるか否かを確認し，その結果を情報提供部１１１に戻す。
【００１０】
（４）認証完了
情報提供部１１１は，権限制御部１１２から送られてきた認証結果を受け取り，その結果をユーザの端末装置１１０に返送する。
【００１１】
（５）情報要求
ユーザは端末装置１１０において，アクセスが許可されたかどうかを確認し，アクセスが許可された場合には，取得したい情報資源を情報提供部１１１に対して要求する。
【００１２】
（６）認可要求
情報提供部１１１は，ユーザの端末装置１１１からの情報取得要求を受け取り，その情報要求の内容を権限制御部１１２に送信する。
【００１３】
（７）認可検証実行
権限制御部１１２は情報要求の内容を受け取り，ユーザ管理部１１３に再びアクセスし，そこに格納されているユーザ管理情報から，情報要求元のユーザがその情報資源を取得する権限を有するかどうか検証する。そして，ユーザが必要な権限を有していると判断した場合には，ユーザ要求してきた情報資源を二次記憶装置１１４から取得して，その情報資源を情報提供部１１１に提供する。
【００１４】
（８）情報提供
情報提供部１１１は，権限制御部１１２からユーザが要求した情報資源を受け取り，ユーザ端末１１０に送信して，一連の処理を終了する。
【００１５】
【発明が解決しようとする課題】
上記のように構成された従来の認証／権限制御方法では，ユーザの情報提供サーバへのアクセス権限は，ログイン時と情報要求時と少なくとも２回の検証を受ける必要があるため，大量のユーザを抱える情報提供サーバでは，ピーク時に権限制御部の処理能力が飽和し，ユーザへの情報提供速度が低下するという問題があった。
【００１６】
また，大量のユーザへの情報提供速度を上げようとすれば，記憶装置の大容量化及び権限制御部などの演算装置の高速化や装置の多重化が避けられず，コスト増につながるという問題があった。
【００１７】
さらに，情報提供サーバのコア部分へのアクセス権限を有するスーパーユーザが情報提供サーバにアクセスしようとした場合であっても，一般ユーザと同様の手順を踏まなければならないため，効率が悪く，特に緊急にメンテナンスが必要な場合には問題であった。
【００１８】
本発明は，上記のような従来の認証／権限制御装置がかかえる問題点に鑑みて成されたものであり，大量のユーザを抱える情報提供サーバであっても，ユーザの認証／権限情報を効率よく管理することにより，必要な情報資源を各ユーザに効率的に提供することが可能な，新規かつ改良された認証／権限制御システムを提供することを目的としている。
【００１９】
さらに本発明の別の目的は，従来のシステムのユーザ管理情報資源をそのまま利用し，また新たに必要となる設備を最小限に抑えて，大量のユーザへの情報提供システムを構築することが可能な，新規かつ改良された認証／権限制御システムを提供することである。
【００２０】
さらにまた本発明の別の目的は，情報提供サーバへのアクセス権限のレベルに柔軟に対応し，例えばスーパーユーザが一般ユーザよりもアクセスし易い環境を整えることにより，メンテナンス作業などを容易に行うことが可能な，新規かつ改良された認証／権限制御システムを提供することである。
【００２１】
【課題を解決するための手段】
上記課題を解決するために，本発明によれば，例えばインターネット上で広域分散された端末からの外部ユーザのアクセスに対して認証を行うことにより情報提供サーバ上での操作権限を制御する認証／権限制御システムが提供される。そして，この認証／権限制御システムは，請求項１によれば，外部ユーザに関する外部ユーザ情報を個別に登録し管理する外部ユーザ管理部と，アクセス権限に応じて内部で予め定義づけらる内部ユーザに関する内部ユーザ情報を登録し管理する内部ユーザ管理部と，外部ユーザ情報と内部ユーザ情報との写像を作成する権限写像部と，外部ユーザに提供される情報資源を格納する記憶装置と，外部ユーザからの情報取得要求を受けて権限写像部においてその外部ユーザを対応する内部ユーザに変換し変換された内部ユーザのアクセス権限に応じて記憶装置から情報資源を取得してその情報資源を外部ユーザに提供する情報提供部とを備えたことを特徴としている。
【００２２】
かかる構成によれば，大量の外部ユーザを少数の内部ユーザに変換して処理を行うので，大量の外部ユーザがアクセスしてきた場合でも，システム内部の処理を効率化することができ，情報提供速度を向上させることができる。また，一旦，外部ユーザが内部ユーザに変換されれば，情報提供サーバ内では，その内部ユーザのアクセス権限に応じた処理が行われるので，外部ユーザ側にはログイン時の一次認証のみですべての処理が行われているように映り，ユーザインタフェースに優れた情報提供サービスシステムを提供することができる。さらにまた，一般ユーザからのアクセスとスーパーユーザからのアクセスとを区別して管理することが可能となるので，システムのメンテナンス時などの効率化を図ることができる。
【００２３】
上記認証／権限制御システムにおいては，内部ユーザを，情報資源に対するアクセス権限に応じて段階的に作成すれば，大量の外部ユーザを少数の内部ユーザに効率的に変換することができる。
【００２４】
上記認証／権限制御システムにおいて，外部ユーザの情報取得要求に応じてそのつど新規の内部ユーザを動的に作成し，権限写像において，その外部ユーザと新規の内部ユーザとの写像を作成し，情報提供部により，その新規の内部ユーザのアクセス権限に応じて記憶装置から情報資源を取得して，その情報資源を外部ユーザに提供するように構成しても良い。
【００２５】
あるいはまた，上記認証／権限制御システムにおいて，新規の外部ユーザに関する外部ユーザ情報の登録時に，その外部ユーザの変換先の内部ユーザも登録し管理することにより，外部ユーザのアクセス時に自動的に予め登録された内部ユーザに変換するように構成しても良い。
【００２６】
さらに，上記認証／権限制御システムにおいて，外部ユーザのログイン時に，外部ユーザ管理部で管理される外部ユーザ情報を参照して，外部ユーザのログインの一次認証を行う外部ユーザ認証部をさらに設け，その外部ユーザ認証部において大量の外部ユーザの一次認証を高速に処理することが可能となり，内部システムへの負担を軽減することが可能となり，さらに高速の情報提供サービスシステムを構築することができる。
【００２７】
【発明の実施の形態】
以下に，添付図面を参照しながら，本発明にかかる認証／権限制御システムの好適な実施形態について詳細に説明することにする。
【００２８】
（第１の実施形態）
まず図１を参照しながら，本発明の第１の実施形態にかかる認証／権限制御システムの概略構成について説明すると，この認証／権限制御システムは，例えばインターネット上で，広域分散された端末装置１０−１，１０−２，…１０−ｎと，これらの端末と一般電話回線などで接続された情報提供サーバ１５とから構成されている。
【００２９】
端末装置１０は，例えば通信機能付きのパーソナルコンピュータや携帯端末のように，情報提供サーバ１５にログインし，ユーザが所望する情報を取得したり，情報提供サーバ１５上での所定のプログラム実行を要求するための装置である。情報提供サーバ１５は，本実施の形態によれば，外部情報提供サーバ２０と内部情報提供サーバ３０とから構成されている。
【００３０】
まず，外部情報提供サーバ２０は，広域分散された端末１０からアクセスされるサーバであり，外部に公開されているものである。具体的には，外部情報提供サーバ２０は，情報提供部２１，外部ユーザ認証部２２，外部ユーザ管理部２３及び権限写像部２４から構成されている。なお，各構成要素は，必ずしも単一の装置内に存在する必要はなく，それぞれ別の装置として構成し，所定のデータ伝送装置で相互接続することも可能である。
【００３１】
情報提供部２１は，外部ユーザがインターネット上に存在する任意の端末装置１０を利用して送ってきた，ログイン要求や情報取得要求を受け付ける装置である。外部ユーザ管理部２３は，外部ユーザに関する情報を登録し管理する装置であり，そこには外部ユーザ管理情報，すなわち各外部ユーザに関する個人情報，ログイン時の一次認証用の情報（例えば，ユーザ名，パスワード等），権限情報（どの情報及びプログラムに対してアクセス可能かを記述した情報）などが格納されて管理される。外部ユーザ認証部２２は，外部ユーザからのログイン要求に対して，外部ユーザ管理部２３において各外部ユーザ毎に管理されている外部ユーザ情報を参照して，ログインしてきた外部ユーザが正規ユーザか否かの一次認証を行う装置である。さらに，権限写像部２４は，外部ユーザ管理部２３において登録管理される外部ユーザ情報と後述する内部ユーザ管理部３１において登録管理される内部ユーザ情報との写像を作成する装置である。
【００３２】
次に，内部情報提供サーバ３０は，既存の社内の情報システム内で独自システムによって管理されている情報提供サーバであり，本格的なユーザ管理やアクセス権の管理が可能なシステムから構築されている。具体的には，内部情報提供サーバ３０は，段階的なアクセス権限に応じて内部で予め定義づけられる内部ユーザに関する内部ユーザ情報を登録し管理する内部ユーザ管理部３１と，ログインしてきた正規の外部ユーザに対してそのアクセス権限に応じて提供される，各種コンテンツやプログラムなどの情報資源が格納されたハードディスクなどの大容量記憶装置から成る二次記憶装置３２とから主に構成されている。
【００３３】
本発明の第１の実施形態にかかる認証／権限制御システムは，上記のように構成されている。次に図２を参照しながら，この認証／権限制御システムの動作について説明するが，その前に，本発明の理解を容易にするために，本発明の基本的コンセプトについて説明する。
【００３４】
昨今，インターネット上には様々な情報提供サービスが存在しており，各ユーザ（端末装置）は所望の情報提供サーバにアクセスして，そのアクセス権限に応じた情報資源を取得している。また，情報提供サーバ側では，ユーザのログインを受けると，そのユーザのログインを認証するとともにアクセス権限を調査し，許可されたアクセス権限に応じた情報をユーザに提供している。しかも，かかる認証／権限処理は各ユーザ（端末装置）ごとに個別に行う必要があるため，大量のユーザ（端末装置）を抱える場合には，情報提供サーバ側で認証／権限処理を実時間で処理できず，サービスの質が低下するという深刻な問題を抱えていた。
【００３５】
しかしながら，発明者の知見によれば，大量のユーザ（端末装置）が存在していたとしても，各ユーザ（端末装置）ごとに権限制御が異なることは希であり，大多数の一般ユーザ（端末装置）に対しては同一の権限制御を行えば十分である。仮に各ユーザごとに異なる権限制御可能であっても，管理コストの面から大多数の一般ユーザ（端末装置）に対しては同一の権限制御を行っているのが実状である。
【００３６】
本発明は，インターネットを利用した情報提供サービスが有する上記特質に鑑みて成されたものであり，大量の外部ユーザを権限写像部２４において必要最低限の数の内部ユーザに変換することにより，どんなに大量の外部ユーザが存在していても，少数の内部ユーザが内部情報提供サーバ３０にアクセスするという擬似的アクセス環境を作り出すことにより，認証／権限処理の効率化を図ることをその要旨としている。なお，外部ユーザを内部ユーザに変換する写像については，その写像規則を任意に設定することが可能であり，例えば，アクセス権限の段階（例えば，外部ユーザには，外部に解放されているコンテンツを利用するだけの一般ユーザや，内部のシステムプログラムの変更まで許可されたスーパーユーザなど各種段階のユーザが損ｚ内する。）に応じた数の内部ユーザを作成することが可能である。
【００３７】
上記のような本願発明の基本コンセプトを念頭において，図２を参照しながら，この認証／権限制御システムの動作について説明する。まず，外部ユーザは，インターネット上の端末装置１０を用いて，必要な情報資源名（ｒ０１）と外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を情報提供部２１に送信して，情報提供サーバ１５の外部情報提供サーバ２０にログインする（ステップＳ１０１）。
【００３８】
かかる外部ユーザのログインを受けて，外部情報提供サーバ２０の情報提供部２１は，ログインしてきた外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を外部ユーザ認証部２２に転送し，ユーザ認証を委託する（ステップＳ１０２）。
【００３９】
外部ユーザ認証部２２は，外部ユーザ管理部２３において管理される外部ユーザ情報を参照して，ログインしてきた外部ユーザが正規ユーザかどうかの認証を行う（ステップＳ１０３）。外部ユーザ認証部２２は，その認証が否定的である場合にはＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否する（ステップＳ１０４）。これに対して，外部ユーザ認証部２２は，その認証が肯定的である場合にはＯＫ信号を情報提供部２１に戻す。
【００４０】
情報提供部２１は，ＯＫ信号を受けて，権限写像部２４に認証を受けた外部ユーザを内部ユーザに変換するように委託する。権限写像部２４は，図３に示すようなユーザ対応表に基づいて，認証された外部ユーザに対応する内部ユーザに変換し，その内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）を情報提供部２１に戻す（ステップＳ１０５）。なお，本実施の形態においては，外部ユーザの登録時に，図３に示すように，その外部ユーザのアクセス権限に応じた変換先の内部ユーザに関する情報，すなわちその内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）についても，外部ユーザ名（ｕ０１）と関連づけられて登録されているものとする。
【００４１】
情報提供部２１は，外部ユーザから変換された内部ユーザの内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）により内部情報提供サーバ３０の内部ユーザ管理部３１に再ログインする。かかる再ログイン処理は，通常は，外部ユーザには隠蔽される。もちろん，必要に応じて（例えば，外部ユーザがスーパーユーザである場合），外部ユーザに透明になるように構成しても良い。
【００４２】
内部ユーザによるログインを受けると，内部ユーザ管理部３１は，その内部ユーザの内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）が内部情報サーバ３０にログイン可能なものであるかどうかを判定する（ステップＳ１０６）。そして，そのログインが認められないものである場合には，ＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否する（ステップＳ１０７）。これに対して，内部ユーザ管理部３１は，そのログインが認められるものである場合には，ＯＫ信号を情報提供部２１に戻す。
【００４３】
情報提供部２１は，ＯＫ信号を受けて，内部ユーザ管理部３１に外部ユーザ（ただし，現在は内部ユーザに変換されている。）から要求された情報資源名（ｒ０１）を内部ユーザ管理部３１に送る。内部ユーザ管理部３１は，ログインしてきた内部ユーザがその情報資源（ｒ０１）にアクセス権限があるかどうかを判断する（ステップＳ１０８）。そして，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限が無い場合には，その旨を情報提供部２１に戻すとともに，内部情報サーバ３０からログオフし，外部ユーザからのアクセスを拒否する（ステップＳ１０９）。これに対して，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限を有している場合には，その情報資源（ｒ０１）から取得して，情報提供部２１に送った後，内部情報サーバ３０からログオフする（ステップＳ１１０）。
【００４４】
情報提供部２１は，以上のような認証／権限処理の結果，要求された情報資源を取得できた場合には，ログインしてきた外部ユーザに対して，その情報資源を戻し，一連の処理を終了する（ステップＳ１１１）。
【００４５】
以上説明したように，本発明の第１の実施形態にかかる認証／権限制御システムにおいては，外部ユーザがログインしてくるごとに外部情報提供サーバ２０において動的に内部ユーザが作成され，その内部ユーザに認められるアクセス権限に応じて内部情報提供サーバ３０から必要な情報資源を取得できるように構成したので，大量の外部ユーザが少数の内部ユーザに変換され，アクセス権限の段階に応じた効率的な情報資源に対するアクセスが可能となり，高速の情報提供サービスシステムを構築することができる。
【００４６】
また，一旦，外部ユーザが内部ユーザに変換されれば，内部情報提供サーバ内では，その内部ユーザのアクセス権限に応じた処理のみが行われるので，外部ユーザ側にはログイン時の一次認証のみですべての処理が行われているように映り，ユーザインタフェースに優れた情報提供サービスシステムを構築できる。
【００４７】
（第２の実施形態）
次に，図４を参照しながら，本発明の第２の実施形態にかかる認証／権限制御システムについて詳細に説明する。なお，この第２の実施形態にかかる認証／権限制御システムの基本的構成については，図１に関連して説明した第１の実施形態にかかる認証／権限制御システムの構成と実質的に同一なので，実質的に同一な機能構成要素については，同一の参照番号を付することにより重複説明を省略する。
【００４８】
この第２の実施形態に特徴的な点は，外部ユーザの登録時にその外部ユーザに対応する内部ユーザについての登録をも行っていた第１の実施形態の場合と異なり，外部ユーザがログインして来るたびに，動的に新規の内部ユーザを作成する点である。
【００４９】
以下，図４を参照しながら，第２の実施形態にかかる認証／権限制御システムの動作について説明する。まず，外部ユーザは，インターネット上の端末装置１０を用いて，必要な情報資源名（ｒ０１）と外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を情報提供部２１に送信して，情報提供サーバ１５の外部情報提供サーバ２０にログインする（ステップＳ２０１）。
【００５０】
かかる外部ユーザのログインを受けて，外部情報提供サーバ２０の情報提供部２１は，ログインしてきた外部ユーザのユーザ名（ｕ０１）とパスワード（ｐ０１）を外部ユーザ認証部２２に転送し，ユーザ認証を委託する（ステップＳ２０２）。
【００５１】
外部ユーザ認証部２２は，外部ユーザ管理部２３において管理される外部ユーザ情報を参照して，ログインしてきた外部ユーザが正規ユーザかどうかの認証を行う（ステップＳ２０３）。外部ユーザ認証部２２は，その認証が否定的である場合にはＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否する（ステップＳ２０４）。これに対して，外部ユーザ認証部２２は，その認証が肯定的である場合にはＯＫ信号を情報提供部２１に戻す。
【００５２】
情報提供部２１は，ＯＫ信号を受けて，権限写像部２４に認証を受けた外部ユーザを内部ユーザに変換するように委託する。権限写像部２４は，図５に示すようなユーザ対応表に基づいて，認証された外部ユーザ名（ｕ０１）から，その外部ユーザ名（ｕ０１）に対応する内部ユーザ名（ｕ０２）及び内部ユーザパスワード（ｐ０２）を取得する（ステップＳ２０５）。さらに，権限写像部２４は，内部情報提供サーバ３０に再ログインするための新規の内部ユーザを動的に作成し，その内部ユーザ名（ｕ０２），内部ユーザパスワード（ｐ０２）及び内部ユーザアクセス権（ａ０２）を情報提供部２１に戻す（ステップＳ２０６）。なお，本実施の形態においては，内部ユーザは，外部ユーザのログオンのたびに動的に作成される。したがって，先の実施形態の場合とは異なり，外部情報管理部２３において，各外部ユーザに対応する内部ユーザを登録し管理する必要がないので，外部情報管理部２３におけるデータ処理をより高速化することができる。
【００５３】
ここで，ステップＳ２０６において，新規の内部ユーザの作成に失敗した場合には，その旨を情報提供部２１に戻して，その外部ユーザのアクセスを拒否する（ステップＳ２０７）。これに対して，ステップＳ２０６において，新規の内部ユーザの作成に成功した場合には，情報提供部２１は，内部情報提供サーバ３０の内部ユーザ管理部３１に対して，新規に作成された内部ユーザ名（ｕ０２）で再ログインする（ステップＳ２０８）。この再ログイン処理は，先の実施形態と同様に，外部ユーザに隠蔽するように構成しても良いし，外部ユーザに透明になるように構成しても良い。
【００５４】
新規に作成された内部ユーザによるログインを受けると，内部ユーザ管理部３１は，その内部ユーザのアクセス権限（ａ０２）が内部情報サーバ３０にログイン可能なものであるかどうかを判定する（ステップＳ２０８）。そして，そのログインが認められないものである場合には，ＮＧ信号を情報提供部２１に戻して，ログインしてきた外部ユーザのアクセスを拒否するとともに，その内部ユーザ名（ｕ０２）を消去する（ステップＳ２０９）。これに対して，内部ユーザ管理部３１は，そのログインが認められるものである場合には，ＯＫ信号を情報提供部２１に戻す。
【００５５】
情報提供部２１は，ＯＫ信号を受けて，内部ユーザ管理部３１に外部ユーザ（ただし，現在は新規の内部ユーザに変換されている。）から要求された情報資源名（ｒ０１）を内部ユーザ管理部３１に送る。内部ユーザ管理部３１は，ログインしてきた内部ユーザがその情報資源（ｒ０１）にアクセス権限があるかどうかを判断する（ステップＳ２１０）。そして，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限が無い場合には，その旨を情報提供部２１に戻すとともに，内部情報サーバ３０からログオフし，その内部ユーザ名（ｕ０２）を消去するとともに，外部ユーザからのアクセスを拒否する（ステップＳ２１１）。これに対して，その内部ユーザがその情報資源（ｒ０１）に対するアクセス権限を有している場合には，その情報資源（ｒ０１）から取得して，情報提供部２１に送った後，内部情報サーバ３０からログオフし，不要となった内部ユーザ名（ｕ０２）を消去する（ステップＳ２１２）。
【００５６】
情報提供部２１は，以上のような認証／権限処理の結果，要求された情報資源を取得できた場合には，ログインしてきた外部ユーザに対して，その情報資源を戻し，一連の処理を終了する（ステップＳ２１３）。
【００５７】
以上説明したように，本発明の第２の実施形態にかかる認証／権限制御システムにおいては，先の第１の実施形態にかかる認証／権限制御システムと同様の効果を奏することが可能となるとともに，外部ユーザのログインのたびに動的に内部ユーザを作成し，不要となった内部ユーザを削除するので，外部ユーザ管理部２３における登録データ量を大幅に削減することが可能となり，処理の高速化を図ることができる。
【００５８】
以上，添付図面を参照しながら本発明にかかる認証／権限制御システムの好適な実施形態について説明したが，本発明はかかる例に限定されない。当業者であれば，特許請求の範囲に記載された技術的思想の範疇内において，各種の変更例又は修正例に想到し得ることは明らかであり，それらについても当然に本発明の技術的範囲に属するものと了解される。
【００５９】
【発明の効果】
本発明によれば，大量の外部ユーザを少数の内部ユーザに変換して処理を行うので，大量の外部ユーザがアクセスしてきた場合でも，システム内部的には少数の内部ユーザがログインする擬似的環境で認証／権限制御を行うので，内部的な処理の効率化を図ることが可能となり，情報提供速度を向上させることができる。
【００６０】
また，一旦，外部ユーザが内部ユーザに変換されれば，情報提供サーバ内では，その内部ユーザのアクセス権限に応じた処理が行われるので，外部ユーザ側にはログイン時の一次認証のみですべての処理が行われているように映り，外部ユーザはストレスを感ぜずに情報提供サービスシステムを利用することができる。
【００６１】
さらにまた，本発明によれば，一般ユーザからのアクセスとスーパーユーザからのアクセスとを区別して管理することが可能となるので，システムのメンテナンス時などの効率化を図ることができる。
【図面の簡単な説明】
【図１】本発明にかかる認証／権限制御システムの概略的な構成を示すブロック図である。
【図２】本発明の第１の実施形態にかかる認証／権限制御システムの概略的動作を示すフローチャートである。
【図３】本発明の第１の実施形態にかかる認証／権限制御システムにおいて参照される外部ユーザと内部ユーザとの写像関係を示す説明図である。
【図４】本発明の第２の実施形態にかかる認証／権限制御システムの概略的動作を示すフローチャートである。
【図５】本発明の第２の実施形態にかかる認証／権限制御システムにおいて参照される外部ユーザと内部ユーザとの写像関係を示す説明図である。
【図６】従来の認証／権限制御システムの概略的な構成を示すブロック図である。
【符号の説明】
１０      端末装置（外部ユーザ）
１５      情報提供サーバ
２０      外部情報提供サーバ
２１      情報提供部
２２      外部ユーザ認証部
２３      外部ユーザ管理部
２４      権限写像部
３０      内部情報提供サーバ
３１      内部ユーザ管理部
３２      二次記憶装置
【図１】
0003545573.tif 000002
【図２】
0003545573.tif 000003
【図３】
0003545573.tif 000004
【図５】
0003545573.tif 000005
【図４】
0003545573.tif 000006
【図６】
0003545573.tif 000007