(57)【要約】【課題】  既存のＷｅｂサーバにおけるシステム構成を変更することなく、独立した認証手段を有する複数のＷｅｂサーバに対するシングルサインオンを可能とする認証統括システムを提供する。【解決手段】  認証情報管理サーバ１０１は、認証開始データ生成手段と、認証手順データ生成手段と、接続権限管理手段と、認証開始データ送信手段と、認証手順データ送信手段とを有する。クライアントプログラム１０２ａは、認証要求手段と、認証ウィンドウデータ送信手段と、認証ウィンドウに対する操作データ取得手段と、認証手順データ送信要求手段と、入力操作手段とを有する。クライアントプログラム１０２ａは、認証ウィンドウに対応する認証開始データを送信し、認証情報管理サーバ１０１から取得した認証手順データに基づき認証ウィンドウに対する認証情報の入力処理を行って、各サービス提供システム１１０Ａ，１１０Ｂ，・・・に対するログインを行う。【選択図】      図１
2006350866.tif 000002
【特許請求の範囲】
【請求項１】
各々独立した認証手段を有する複数のＷｅｂシステムに対しネットワークを介してアクセス可能なクライアント端末と、前記各Ｗｅｂシステムの認証ウィンドウを示す認証開始情報と各認証ウィンドウに対する認証情報の入力操作手順を示す認証手順情報とを記憶したサーバ端末とから成る認証統括システムであって、
前記クライアント端末は、前記サーバ端末から前記認証開始情報を予め受信し、ログイン対象とするＷｅｂシステムから受信した認証ウィンドウに対応する認証開始情報の識別情報を前記サーバ端末に送信して、対応する認証手順情報の送信要求を行う認証手順情報送信要求手段と、前記サーバ端末から受信した認証手順情報に基づき、前記認証ウィンドウに対する認証情報の入力処理を行う認証情報入力手段とを備え、
前記サーバ端末は、前記クライアント端末から受信した認証開始情報の識別情報に基づき、前記認証開始情報に対応する認証手順情報を取得して前記クライアント端末に送信する手段を備えることを特徴とする認証統括システム。
【請求項２】
前記サーバ端末は、
当該サーバ端末が前記Ｗｅｂシステムから取得した認証ウィンドウにおける認証情報の入力欄位置を含む認証開始情報を生成する認証開始情報生成手段と、
少なくとも前記認証ウィンドウへの認証情報入力操作及び認証情報送信操作を記録して、認証手順情報を生成する認証手順情報生成手段と
を備えることを特徴とする請求項１に記載の認証統括システム。
【請求項３】
前記認証手順情報生成手段は、
前記認証手順情報に含まれる認証情報を任意の文字列で置き換えた認証手順雛形情報を生成し、当該認証手順雛形情報と前記認証手順情報から抽出した認証情報とを分けて記憶することを特徴とする請求項２に記載の認証統括システム。
【請求項４】
前記サーバ端末は、
予め各ユーザ識別情報に対応付けて、各Ｗｅｂシステムに対する接続の許否を設定した接続権限管理情報を記憶する記憶手段と、
前記認証手順情報送信要求に含まれるユーザ識別情報に基づき、前記接続権限管理情報を参照して接続の拒否を決定する接続権限管理手段と
を備えることを特徴とする請求項１〜３のいずれかに記載の認証統括システム。
【請求項５】
各々独立した認証方式を有する複数のＷｅｂシステムについて、当該各Ｗｅｂシステムの認証ウィンドウを示す認証開始情報と各認証ウィンドウに対する認証情報の入力操作手順を示す認証手順情報とを記憶した記憶手段と、
前記各Ｗｅｂシステムにアクセスするクライアント端末に対し予め認証開始情報を送信する手段と、
前記クライアント端末から受信した認証開始情報の識別情報に基づき、前記認証開始情報に対応する認証手順情報を前記記憶手段から取得して前記クライアント端末に送信する手段と
を備えることを特徴とする認証統括サーバ。
【請求項６】
前記認証統括サーバは、
当該認証統括サーバが前記Ｗｅｂシステムから取得した認証ウィンドウにおける認証情報の入力欄位置を含む認証開始情報を生成する認証開始情報生成手段と、
前記認証ウィンドウへの認証情報入力操作及び認証情報送信操作を記録して、認証手順情報を生成する認証手順情報生成手段と
を備えることを特徴とする請求項５に記載の認証統括サーバ。
【請求項７】
前記認証手順情報生成手段は、
前記認証手順情報に含まれる認証情報を任意の文字列で置き換えた認証手順雛形情報を生成し、当該認証手順雛形情報と前記認証手順情報から抽出した認証情報とを分けて前記記憶手段に記憶することを特徴とする請求項６に記載の認証統括サーバ。
【請求項８】
前記認証統括サーバは、
予め各ユーザ識別情報に対応付けて、各Ｗｅｂシステムに対する接続の許否を設定した接続権限管理情報を記憶する記憶手段と、
前記認証手順情報送信要求に含まれるユーザ識別情報に基づき、前記接続権限管理情報を参照して接続の拒否を決定する接続権限管理手段と
を備えることを特徴とする請求項５〜７のいずれかに記載の認証統括サーバ。
【請求項９】
各々独立した認証方式を有する複数のＷｅｂシステムに対し、ネットワークを介してアクセス可能な情報処理端末に、
前記各Ｗｅｂシステムの認証情報入力用ウィンドウを示す認証開始情報と各認証情報入力用ウィンドウに対する認証情報の入力操作手順を示す認証手順情報とを記憶したサーバ端末から、予め前記認証開始情報を受信する処理と、
アクセスしたＷｅｂシステムの認証情報入力用ウィンドウを示す認証開始情報を検索して、当該認証開始情報の識別情報を前記サーバ端末に送信して、対応する認証手順情報の送信要求を行う処理と、
前記サーバ端末から受信した認証手順情報に基づき、前記認証情報入力用ウィンドウに対する認証情報の入力を行う処理と
を実行させる認証統括プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、独立した認証方式を持つ複数のシステムに対するアクセス制御を一元管理するシステムに関する。
【背景技術】
【０００２】
従来、サーバへのアクセス認証を１度の認証作業のみで行うシステムについては、例えばユーザ認証プロキシサーバを備えた構成や（例えば、特許文献１参照。）、複数のサーバと連携した認証サーバを備えた構成が公知となっている（例えば、特許文献２参照。）
【特許文献１】特開２００２−０３２３４０号公報
【特許文献２】特開２００４−１３３５８４号公報
【０００３】
前記特許文献１に記載のシステムでは、ユーザ端末によるサインオン成功のデータをユーザ認証プロキシサーバが記憶し、２回目以降のアクセスについては、ユーザ認証プロキシサーバが、各Ｗｅｂサーバに送信するものである。
一方、前記特許文献２に記載のシステムでは、認証サーバに対して連携するようにＷｅｂサーバを構成し、前記認証サーバに対してユーザ端末による認証処理を行うことにより、連携した全てのＷｅｂサーバに対するサインオンを可能としたものである。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、前記特許文献１の構成では、２回目以降のアクセスについては認証処理が不要となるが、１回目のアクセスについては個々のＷｅｂサーバ毎に認証処理を行うことが必要となっていた。従って、各Ｗｅｂサーバについての認証情報をユーザ自身が管理する必要があった。
また、前記特許文献２の構成では、各Ｗｅｂサーバを認証サーバに連携するように構成することが必要となるため、既存のＷｅｂサーバについてはシステム構成を変更することが必要となっていた。
【０００５】
本発明は前記課題を解決するためのものであり、既存のＷｅｂサーバにおけるシステム構成を変更することなく、独立した認証手段を有する複数のＷｅｂサーバに対するシングルサインオンを可能とする認証統括システムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
前記課題を解決するため本発明は、各々独立した認証手段を有する複数のＷｅｂシステムに対しネットワークを介してアクセス可能なクライアント端末と、前記各Ｗｅｂシステムの認証ウィンドウを示す認証開始情報と各認証ウィンドウに対する認証情報の入力操作手順を示す認証手順情報とを記憶したサーバ端末とから成る認証統括システムであって、前記クライアント端末は、前記サーバ端末から前記認証開始情報を予め受信し、ログイン対象とするＷｅｂシステムから受信した認証ウィンドウに対応する認証開始情報の識別情報を前記認証サーバに送信して、対応する認証手順情報の送信要求を行う認証手順情報送信要求手段と、前記サーバ端末から受信した認証手順情報に基づき、前記認証ウィンドウに対する認証情報の入力処理を行う認証情報入力手段とを備え、前記サーバ端末は、前記クライアント端末から受信した認証開始情報の識別情報に基づき、前記認証開始情報に対応する認証手順情報を取得して前記クライアント端末に送信する手段を備えることを特徴とする。
また、前記サーバ端末は、当該サーバ端末が前記Ｗｅｂシステムから取得した認証ウィンドウにおける認証情報の入力欄位置を含む認証開始情報を生成する認証開始情報生成手段と、少なくとも前記認証ウィンドウへの認証情報入力操作及び認証情報送信操作を記録して、認証手順情報を生成する認証手順情報生成手段とを備えることを特徴とする。
また、前記認証手順情報生成手段は、前記認証手順情報に含まれる認証情報を任意の文字列で置き換えた認証手順雛形情報を生成し、当該認証手順雛形情報と前記認証手順情報から抽出した認証情報とを分けて記憶することを特徴とする。
また、前記サーバ端末は、予め各ユーザ識別情報に対応付けて、各Ｗｅｂシステムに対する接続の許否を設定した接続権限管理情報を記憶する記憶手段と、前記認証手順情報送信要求に含まれるユーザ識別情報に基づき、前記接続権限管理情報を参照して接続の拒否を決定する接続権限管理手段とを備えることを特徴とする。
また、本発明の認証統括システムを構成するサーバ端末は、各々独立した認証方式を有する複数のＷｅｂシステムについて、当該各Ｗｅｂシステムの認証ウィンドウを示す認証開始情報と各認証ウィンドウに対する認証情報の入力操作手順を示す認証手順情報とを記憶した記憶手段と、前記各Ｗｅｂシステムにアクセスするクライアント端末に対し予め認証開始情報を送信する手段と、前記クライアント端末から受信した認証開始情報の識別情報に基づき、前記認証開始情報に対応する認証手順情報を前記記憶手段から取得して前記クライアント端末に送信する手段とを備えることを特徴とする。
また、認証統括サーバが前記Ｗｅｂシステムから取得した認証ウィンドウにおける認証情報の入力欄位置を含む認証開始情報を生成する認証開始情報生成手段と、前記認証ウィンドウへの認証情報入力操作及び認証情報送信操作を記録して、認証手順情報を生成する認証手順情報生成手段とを備えることを特徴とする。
また、前記認証手順情報生成手段は、前記認証手順情報に含まれる認証情報を任意の文字列で置き換えた認証手順雛形情報を生成し、当該認証手順雛形情報と前記認証手順情報から抽出した認証情報とを分けて前記記憶手段に記憶することを特徴とする。
また、前記認証統括サーバは、予め各ユーザ識別情報に対応付けて、各Ｗｅｂシステムに対する接続の許否を設定した接続権限管理情報を記憶する記憶手段と、前記認証手順情報送信要求に含まれるユーザ識別情報に基づき、前記接続権限管理情報を参照して接続の拒否を決定する接続権限管理手段とを備えることを特徴とする。
また、本発明の認証統括システムを構成するクライアント端末用のプログラムは、各々独立した認証方式を有する複数のＷｅｂシステムに対し、ネットワークを介してアクセス可能な情報処理端末に、前記各Ｗｅｂシステムの認証情報入力用ウィンドウを示す認証開始情報と各認証情報入力用ウィンドウに対する認証情報の入力操作手順を示す認証手順情報とを記憶したサーバ端末から、予め前記認証開始情報を受信する処理と、アクセスしたＷｅｂシステムの認証情報入力用ウィンドウを示す認証開始情報を検索して、当該認証開始情報の識別情報を前記サーバ端末に送信して、対応する認証手順情報の送信要求を行う処理と、前記サーバ端末から受信した認証手順情報に基づき、前記認証情報入力用ウィンドウに対する認証情報の入力を行う処理とを実行させることを特徴とする。
【発明の効果】
【０００７】
以上の構成により本発明では、独立した認証手段を有する複数のＷｅｂサーバについての認証情報を、認証開始情報及び認証手順情報で管理し、クライアント端末側で認証手順情報に基づく入力操作を行うこととしたので、既存の各サービス提供システム側の構成を変更することなく、独立した認証手段を有する複数のＷｅｂサーバに対するシングルサインオンを実現することが可能となる。
また、認証情報を管理するサーバ端末に、各Ｗｅｂサーバに対応する認証開始情報及び認証手順情報を生成する手段を備えることとしたので、ユーザに対し認証情報を公開することなく、認証情報の管理を行うことが可能となる。従って、ユーザ自身による認証情報の漏洩等の危険を無くすことが可能となる。
また、サーバ端末において各ユーザの各Ｗｅｂサーバに対する接続権限を任意に設定可能としたので、各Ｗｅｂサーバにおいて管理されている接続権限とは無関係に、アクセスの制限等を行うことが可能となる。
【発明を実施するための最良の形態】
【０００８】
以下、本発明の一実施の形態に係る認証統括システムについて、図面に基づき説明する。
図１は、本発明の一実施の形態に係る認証統括システムの概略構成を示すブロック図である。
本実施の形態に係る認証統括システム１００は、認証情報管理サーバ１０１と、ユーザの利用するクライアント端末１０２とから構成されている。
認証情報管理サーバ１０１は、接続権限データ１０１ａと、認証開始データ１０１ｂと、認証手順データ１０１ｃを記憶する各記憶手段とを備えている。認証開始データ１０１ｂと認証手順データ１０１ｃは複数存在し得るが、ここでは１つだけ示している。
クライアント端末１０２は、認証情報管理サーバ１０１との間で情報を送受信するクライアントプログラム１０２ａを備えている。
クライアント端末１０２は、インターネット等のネットワークを介して、複数のサービス提供システム１１０Ａ，１１０Ｂ，・・・に対しアクセス可能に接続されている。各サービス提供システム１１０Ａ，１１０Ｂ，・・・は、それぞれ独立した認証手段としての認証サーバ１１１Ａ，１１１Ｂ，・・・と、サービス提供サーバ１１２Ａ，１１２Ｂ，・・・を有している。各認証サーバ１１１Ａ，１１１Ｂ，・・・は、独自の認証方式を具備している。
クライアント端末１０２としては、例えば、パソコンや携帯電話等、各サービス提供システム１１０Ａ，１１０Ｂ，・・・のサービス提供サーバ１１２Ａ，１１２Ｂ，・・・から種々のサービス提供を受けることの可能な情報機器が該当する。
認証情報管理サーバ１０１は、認証開始データ生成手段と、認証手順データ生成手段と、接続権限管理手段と、認証開始データ送信手段と、認証手順データ送信手段とを有する。この場合、認証情報管理サーバ１０１は、クライアントプログラム１０２ａからのみ接続を許可するものとする。ここで、認証手順データには、ユーザＩＤとパスワード，ユーザの生体情報等、個人を特定するのに十分な、あらゆる情報の一部又は全部から構成されるコンテクスト情報を含むものとする。
クライアントプログラム１０２ａは、クライアント端末１０２に備えられており、例えば、ブラウザソフトに組み込まれるもの等で、ブラウザソフトによる各認証サーバ１１１Ａ，１１１Ｂ，・・・へのアクセスを監視可能なものとする。クライアントプログラム１０２ａは、認証情報管理サーバ１０１への認証要求手段と、認証ウィンドウデータ送信手段と、認証ウィンドウに対する操作データ取得手段と、認証手順データ送信要求手段と、認証手順データに応じた入力操作手段とを有する。ここで、認証開始データとは、クライアント端末１０２が各サービス提供システム１１０Ａ，１１０Ｂ，・・・にログインする際に必要となる認証作業の開始地点を特定するための情報を示し、例えば、ユーザＩＤ，パスワード等の認証情報を入力するためにクライアント端末１０２に表示される認証ウィンドウに関する情報が該当する。また、認証手順データとは、認証処理に関連して、クライアント端末１０２で行う処理手順を示すものであり、例えば、クライアント端末１０２に表示した認証ウィンドウに対してユーザにより行われる入力操作及び入力される認証データ等が該当する。この場合、認証開始データ及び認証手順データの内容は、ユーザに公開しないものとする。
接続権限データは、各ユーザが各システムからサービスの提供を受ける権限を有するか否かを管理するものであり、各サービス提供システム１１０Ａ，１１０Ｂ，・・・で設定された接続権限とは別に、認証情報管理サーバ１０１において任意に設定されたものを示す。
【０００９】
図２は、認証ウィンドウと当該認証ウィンドウに対応する認証開始データとの一例を示す図である。
図２（ａ）に示すように、認証ウィンドウ２１０は、例えば、ウィンドウタイトル２１１，ユーザＩＤ入力欄２１２，パスワード入力欄２１３，ＯＫボタン２１４，キャンセルボタン２１５等を有する。
この認証ウィンドウ２１０に対し、認証開始データ２２０は、図２（ｂ）に示すように、ウィンドウタイトル２２１，ウィンドウサイズ２２２，認証要求メッセージ２２３，第１入力欄位置２２４，第２入力欄位置２２５の各データ項目を有する。ウィンドウタイトル２２１は、認証ウィンドウ２１０のウィンドウタイトル２１１のテキストデータを示す。ウィンドウサイズ２２２は、認証ウィンドウ２１０の縦×横のドット数で示す。認証要求メッセージ２２３は、認証ウィンドウ内のテキストメッセージを示す。第１入力欄位置２２４は、認証ウィンドウ２１０の左上を基準とした第１入力欄の位置をドット数で示したものであり、本例では、認証ウィンドウ２１０のユーザＩＤ入力欄２１２の位置を示す。第２入力欄位置２２５も同様に、認証ウィンドウ２１０の左上を基準とした第２入力欄の位置をドット数で示したものであり、本例では、認証ウィンドウ２１０のパスワード入力欄２１３の位置を示す。
なお、認証開始データ２２０に対しては、各認証開始データ２２０を一意に識別するためのシステムＩＤ等の識別情報を付与してデータベースに格納するものとする。
【００１０】
図３は、図２に示す認証開始データ２２０の生成手順を示す図である。
認証開始データの生成は、例えば、管理者等の操作に応じて個人情報管理サーバ１０１が各サービス提供システム１１０Ａ，１１０Ｂ，・・・の認証サーバ１１１Ａ，１１１Ｂ，・・・にアクセスして取得した認証ウィンドウに基づき行う。
認証開始データの生成では、図３（ａ）に示すように、予め管理者等により認証情報管理サーバ１０１に、認証開始データ記録項目３００を設定させる。認証開始データ記録項目３００としては、例えば、ウィンドウ出現位置３０１，ウィンドウタイトル３０２，ウィンドウサイズ（縦）３０３，ウィンドウサイズ（横）３０４，ウィンドウ内メッセージ文３０５，入力欄位置３０６等が含まれる。なお、ウィンドウ出現位置３０１は、認証ウィンドウの表示位置が固定されている場合に設定する。また、入力欄位置３０６が記録項目として設定されている場合は、認証ウィンドウ内に複数の入力欄が存在する場合には、全ての入力欄を記録するものとする。
次に、認証情報管理サーバ１０１又はクライアント端末１０２がサービス提供システム１１０Ａ，１１０Ｂ，・・・の認証サーバ１１１Ａ，１１１Ｂ，・・・にアクセスして、図３（ｂ）に示すように認証開始データとしての記録対象となる認証ウィンドウ３１０を表示する。
この状態において、管理者等による認証開始データ記録指定操作に応じて、図３（ｃ）に示すように、認証開始データ生成手段３２０が、認証開始データ記録項目３００に従い、認証ウィンドウ３１０についての認証開始データ３３０を記録する。ここで、認証開始データ生成手段３２０は、各認証開始データ３３０を一意に識別するためのシステムＩＤを付与する。
以上の処理により、認証ウィンドウ３１０から認証開始データ３３０を生成する。
【００１１】
図４は、認証ウィンドウと、当該認証ウィンドウに対応する認証手順データの一例を示す図である。
図４に示すように、認証ウィンドウ４１０に対し、認証手順データ４２０は、各入力欄４１１，４１２への認証情報の入力を示す第１，第２手順４２１，４２２と、認証情報の送信処理を行うためのＯＫボタン４１３の押下を示す第３手順４２３とから構成されている。
【００１２】
図５は、認証手順データ記憶手段のデータ構造の一例を示す図である。
図４に示す認証手順データ４１０は、認証開始データに付与されたシステムＩＤ毎に、図５（ａ）に示す認証手順雛形データ５１０と、図５（ｂ）に示す認証データ５２０とに分けて管理される。
認証手順雛形データ５１０は、認証手順データ４１０の各処理手順に含まれる入力データ（ＩＤ，パスワード等）を抽象化した文字列で置き換えるとともに、対応する認証開始データに付与されたシステムＩＤ５１１を付加したものである。本例では、第１，第２手順５１２，５１３に含まれるＩＤ，パスワードをそれぞれ「＄ｉｎｐｕｔ１＄」「＄ｉｎｐｕｔ２＄」で置き換えている。
認証データ５２０は、認証手順雛形データ５１０に含まれる抽象化文字列「＄ｉｎｐｕｔ１＄」「＄ｉｎｐｕｔ２＄」に対応するＩＤ，パスワード等の認証情報を管理するものであり、システムＩＤ５２１と、認証統括システム用のログインＩＤ５２２と、各抽象化文字列に対応するＩＤ，パスワード５２３，５２４の各データ項目を有する。
なお、認証データ５２０としては、認証統括システム用のログインＩＤ５２２の代わりに、各ＩＤ，パスワードの組合せについての使用状況を識別するフラグを含めることとしてもよい。即ち、個々のユーザに対してＩＤ，パスワードを割当てるのではなく、ＩＤ，パスワードを複数のユーザで共有することとしてもよい。
【００１３】
図６は、図４，５に示す認証手順データの生成手順を示す図である。
認証手順データの生成は、予め個人情報管理サーバ１０１が、各認証サーバ１１１Ａ，１１１Ｂ，・・・にアクセスして取得した認証ウィンドウに対する入力操作手順を記録して行う。
認証手順データの生成では、まず、図６（ａ）に示すように、管理者等による入力操作として、認証ウィンドウ６００のユーザ入力欄６０１及びパスワード入力欄６０２に対するＩＤ，パスワードの入力及びＯＫボタン６０３の押下の各操作に基づき、認証手順データ生成手段６１０が、第１〜第３手順からなる認証手順データ６２０を生成する。
次に、図６（ｂ）に示すように、認証手順データ６２０に含まれるＩＤ，パスワードを予め設定された抽象化文字列で置き換えて認証手順雛形データ６３０を生成する。
一方、図６（ｃ）に示すように、元の認証手順データ６２０に含まれるＩＤ，パスワードを、認証データ６４０として各抽象化文字列に対応づけて格納する。
この場合、認証手順雛形データ６３０及び認証データ６４０には、認証ウィンドウ６１０に対応する認証開始データのシステムＩＤを付加する。
認証手順データ６２０を使用する場合には、図６（ｄ）に示すように、認証手順雛形データ６３０と、認証データ６４０とを組合せて認証手順データ６２０を生成する。この場合、認証手順データ生成手段６１０は、クライアントプログラム１０２からの認証手順データ送信要求に含まれるシステムＩＤ及びユーザＩＤに基づき認証手順雛形データ６３０及び認証データ６４０を取得して、各ユーザ毎の認証手順データ６２０Ａ，６２０Ｂの生成，送信を行う。
なお、ユーザに対して、認証情報を非公開とする必要がなければ、認証手順データをクライアント端末１０２のクライアントプログラム１０２ａが生成することとしてもよい。例えば、ユーザ自身により行われた認証ウィンドウに対する認証情報の入力操作をクライアントプログラム１０２ａが記録するとともに、その記録結果又は記録結果に基づき生成した認証手順データを認証情報管理サーバ１０１に送信することとしてもよい。
【００１４】
図７は、接続権限データ記憶手段のデータ構造の一例を示す図である。
接続権限データベース７００は、各ユーザに対する各サービス提供システム１１０Ａ，１１０Ｂ，・・・のアクセス許否を管理するためのものであり、認証統括システム用のログインＩＤ７０１と、パスワード７０２と、各システム毎のアクセス許否設定７０３，・・・の各データ項目を有する。各システム毎のアクセス許否設定７０３，・・・は、認証開始データに付与されたシステムＩＤで管理されており、認証開始データが追加された場合に、アクセス許否設定７０３，・・・のデータ項目も追加される。
本実施の形態に係る認証統括システムは、各サービス提供システムにおけるアクセス許否の設定とは別に、認証情報管理サーバ側でもアクセス権限の許否の設定を可能としている。
【００１５】
図８は、本実施の形態に係る認証統括システムの行う認証処理手順を示すフローチャートである。
認証代行処理では、まず、クライアントプログラム１０２ａが、クライアント端末１０２の起動と同時に処理を開始する。
クライアントプログラム１０２ａは、クライアント端末１０２に認証情報入力画面を表示し、ユーザに認証情報管理サーバ１０１用の認証データ（ＩＤ，パスワード等）を入力させ（ステップ８０１）、入力されたＩＤ，パスワードを認証情報管理サーバ１０１に送信する（ステップ８０２）。
認証情報管理サーバ１０１の接続権限管理手段は、クライアントプログラム１０２ａから受信した認証データに基づき認証処理を行い（ステップ８０３）、認証処理の結果、正当なユーザと判定された場合には、認証開始データ送信手段が、クライアントプログラム１０２ａに対し全ての認証開始データを送信して（ステップ８０４）、クライアントプログラム１０２ａが認証情報管理サーバ１０１に対しログアウト処理を行うまで以下の処理を繰り返す（ステップ８０５）。
認証開始データを受信したクライアントプログラム１０２ａは、各サービス提供システム１１０Ａ，１１０Ｂ，・・・から送信される表示画面を監視し（ステップ８０６）、クライアント端末１０２における表示画面と、認証開始データとが一致するか否かを判定する（ステップ８０７）。認証開始データと一致する画面が表示された場合には、クライアント端末１０２の入力手段による入力を禁止し、認証情報管理サーバ１０１に対して認証手順データ要求を送信する（ステップ８０８）。
認証情報管理サーバ１０１の接続権限管理手段は、受信した認証手順データ要求に含まれるシステムＩＤに基づき接続権限データを参照して、ユーザの接続権限を確認する（ステップ８０９）。確認の結果、接続権限を有するユーザの場合には、認証手順データ送信手段が、システムＩＤに対応する認証手順雛形データ及び認証データから認証手順データを生成して、クライアントプログラム１０２ａに送信する（ステップ８１０）。認証手順データを受信したクライアントプログラム１０２ａは、認証手順データに従い認証ウィンドウにＩＤ及びパスワードを入力して各システムに認証情報を送信して認証代行処理を終了する（ステップ８１１）。その後、クライアント端末１０２では、各サービス提供システムに対し直接アクセスした場合と同様にサービスの提供を受けることが可能となる。
一方、接続権限を有しないユーザの場合には、エラーメッセージを送信して（ステップ８１２）、クライアントプログラム１０２ａがエラーメッセージをクライアント端末１０２に表示する（ステップ８１３）。
【００１６】
図９は、認証ウィンドウ及び認証手順データの他の例として、手描きサインを認証情報として用いる場合の例を示す図である。
図９（ａ）に示すように、認証ウィンドウ９００は、一つの手描きサイン入力欄９０１と、ＯＫボタン９０２と、キャンセルボタン９０３とを有する。
この場合、対応する認証手順データ９１０は、図９（ｂ）に示すように、入力欄９０１に「ＵＳＥＲ１」の手描きサインを入力する第１手順９１１と、認証情報の送信処理を行うためのＯＫボタン９０２の押下を示す第２手順９１２とから構成されている。
なお、この場合も、認証手順データ９１０に基づき、認証手順雛形データと認証データとを生成して各記憶手段に格納する。
【００１７】
以上のように、本実施の形態に係る認証統括システムは、独立した認証方式を有するサービス提供システムの認証情報を認証開始データと認証手順データとで管理し、クライアント端末に備えられたクライアントプログラムに認証処理を実行させることとしたので、既存システムについても構成の変更を行うことなく、統括システムへのログインのみにより、複数のサービス提供システムに対するログインが可能となる。
従って、各ユーザは、認証情報管理サーバにログインするための認証情報のみを管理すれば良く、複数のサービス提供システムに対するそれぞれの認証情報を管理する必要が無くなる。
一方、管理者側にとっては、認証情報管理サーバにおいて、複数のサービス提供システムに対する各ユーザの認証情報を管理しているため、定期的にパスワードを変更することができ、セキュリティ性を向上させることが可能となる。
また、認証情報管理サーバにログイン可能な端末であれば、各システムに対する認証情報の入力が不可能な場合であっても、各システムの提供するサービスを利用することができる。例えば、手書きサイン入力を認証情報として用いるシステムに対し、ポインティングデバイス等の手書き入力装置を備えていない端末からもアクセスすることが可能となる。
また、認証情報管理サーバに、各Ｗｅｂサーバに対応する認証開始データ及び認証手順データを生成する手段を備えることとしたので、ユーザに対し認証情報を公開することなく、認証情報の管理を行うことが可能となる。従って、ユーザ自身による認証情報の漏洩等の危険を無くすことが可能となる。この場合、認証手順情報を、認証手順雛形データ及び認証データとの組合せで構成することとしたので、より適切な認証情報の管理を行うことが可能となる。
また、認証情報管理サーバにおいて各ユーザの各Ｗｅｂサーバに対する接続権限を任意に設定可能としたので、各Ｗｅｂサーバにおいて管理されている接続権限とは無関係に、アクセスの制限等を行うことが可能となる。この場合、クライアントプログラムが、認証ウィンドウに対する入力禁止制御を行うことにより、認証情報管理サーバにおいて設定された接続権限に基づくアクセス制限をより確実なものとすることができる。
【００１８】
なお、本発明は前記実施の形態に示すものに限らず、同様の処理を可能とするものであれば、各サーバ構成，データベース構成等を変更してもよい。また、クライアントプログラムはブラウザを構成するモジュール等としてもよい。
【図面の簡単な説明】
【００１９】
【図１】本発明の一実施の形態に係る認証統括システムの概略構成を示すブロック図である。
【図２】認証ウィンドウに対応する認証開始データの一例を示す図である。
【図３】認証開始データの生成処理の概要を示す図である。
【図４】認証ウィンドウに対応する認証手順データの一例を示す図である。
【図５】認証手順データのデータ構造の一例を示す図である。
【図６】認証手順データの生成処理の概要を示す図である。
【図７】接続権限データのデータ構造の一例を示す図である。
【図８】認証統括システムの行う認証処理手順を示すフローチャートである。
【図９】認証手順データの他の例を示す図である。
【符号の説明】
【００２０】
１００  認証統括システム、１０１  認証情報管理サーバ、１０１ａ  接続権限データ、１０１ｂ  認証開始データ、１０１ｃ  認証手順データ、１０２  クライアント端末、１０２ａ  クライアントプログラム、１１０Ａ，１１０Ｂ  サービス提供システム、１１１Ａ，１１１Ｂ  認証サーバ、１１２Ａ，１１２Ｂ  サービス提供サーバ。
【図１】
2006350866.tif 000003
【図２】
2006350866.tif 000004
【図３】
2006350866.tif 000005
【図４】
2006350866.tif 000006
【図５】
2006350866.tif 000007
【図６】
2006350866.tif 000008
【図７】
2006350866.tif 000009
【図８】
2006350866.tif 000010
【図９】
2006350866.tif 000011