(57)【要約】【課題】  既存のアプリケーションソフトウェアの仕組みを利用しつつ、統合的にユーザ認証を実行することができる統合認証方法、統合認証装置、およびこのような統合認証方法を実行するためのプログラムを提供する。【解決手段】  ユーザの統合認証を実行した後、アプリケーションソフトウェアに対する操作を端末装置で受け付ける。アプリケーションソフトウェアに対する操作があれば、そのユーザに対応付けられて記憶された個別認証情報を認証情報記憶部から取得し、取得された個別認証情報を用いて、当該ユーザのアプリケーションソフトウェアに対する個別認証を実行する。また、アクセス制御情報記憶部に格納されたアクセス制御情報を参照することにより、受け付けた操作が許容されるべきものであるか否かを判断し、判断が肯定された場合に限ってその操作を実行する。【選択図】図１
2006065712.tif 000002
【特許請求の範囲】
【請求項１】
複数のアプリケーションソフトウェアを利用するユーザの認証を統合して実行する統合認証方法において、
ユーザの統合認証を実行するステップと、
前記ユーザに対応付けられて記憶された個別認証情報を取得するステップと、
取得された前記個別認証情報を用いて、統合認証された前記ユーザの、アプリケーションソフトウェアに対する個別認証を実行するステップと、
を備えることを特徴とする統合認証方法。
【請求項２】
前記個別認証を実行するステップでは、前記アプリケーションソフトウェアに予め用意されている認証方法を利用して前記個別認証を実行することを特徴とする請求項１に記載の統合認証方法。
【請求項３】
アプリケーションソフトウェアに対する操作の要求を受け付けるステップと、
予め記憶されたアクセス制御情報を参照することにより、前記操作が許容されるか否かを判断するステップと、
前記操作が許容されると判断された場合に限り、前記操作を実行するステップと、
を備えることを特徴とする請求項１または２に記載の統合認証方法。
【請求項４】
前記アクセス制御情報は、前記ユーザに対して認められる作業領域を規定することを特徴とする請求項３に記載の統合認証方法。
【請求項５】
前記アクセス制御情報は、前記ユーザに対して認められる役割を規定することを特徴とする請求項３に記載の統合認証方法。
【請求項６】
複数のアプリケーションソフトウェアを利用するユーザの認証を統合して実行する統合認証装置において、
ユーザの統合認証を実行する統合認証手段と、
前記ユーザに対応付けられた個別認証情報を記憶する個別認証情報記憶手段と、
該個別認証情報記憶手段から前記個別認証情報を取得する取得手段と、
該取得手段により取得された前記個別認証情報を用いて、統合認証された前記ユーザの、アプリケーションソフトウェアに対する個別認証を実行する個別認証手段と、
を備えることを特徴とする統合認証装置。
【請求項７】
前記個別認証手段は、前記アプリケーションソフトウェアに予め用意されている認証方法を利用して前記個別認証を実行することを特徴とする請求項６に記載の統合認証装置。
【請求項８】
アプリケーションソフトウェアに対する操作の要求を受け付ける受付手段と、
アクセス制御情報を予め記憶するアクセス制御情報記憶手段と、
該アクセス制御情報記憶手段のアクセス制御情報を参照することにより、前記操作が許容されるか否かを判断する判断手段と、
前記操作が許容されると判断された場合に限り、前記操作を実行する実行手段と、
を備えることを特徴とする請求項６または７に記載の統合認証装置。
【請求項９】
前記アクセス制御情報は、前記ユーザに対して認められる作業領域を規定することを特徴とする請求項８に記載の統合認証装置。
【請求項１０】
前記アクセス制御情報は、前記ユーザに対して認められる役割を規定することを特徴とする請求項８に記載の統合認証装置。
【請求項１１】
複数のアプリケーションソフトウェアを利用するユーザの認証を統合して行う統合認証方法を実行するためのプログラムであって、
コンピュータに、
ユーザの統合認証を実行するステップと、
前記ユーザに対応付けられて記憶された個別認証情報を取得するステップと、
取得された前記個別認証情報を用いて、統合認証された前記ユーザの、アプリケーションソフトウェアに対する個別認証を実行するステップと、
を実行させることを特徴とするプログラム。
【請求項１２】
前記個別認証を実行するステップでは、前記アプリケーションソフトウェアに予め用意されている認証方法を利用して前記個別認証を実行することを特徴とする請求項１１に記載のプログラム。
【請求項１３】
コンピュータに、
アプリケーションソフトウェアに対する操作の要求を受け付けるステップと、
予め記憶されたアクセス制御情報を参照することにより、前記操作が許容されるか否かを判断するステップと、
前記操作が許容されると判断された場合に限り、前記操作を実行するステップと、
を実行させることを特徴とする請求項１１に記載のプログラム。
【請求項１４】
前記アクセス制御情報は、前記ユーザに対して認められる作業領域を規定することを特徴とする請求項１３に記載のプログラム。
【請求項１５】
前記アクセス制御情報は、前記ユーザに対して認められる役割を規定することを特徴とする請求項１３に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数のアプリケーションソフトウェアを利用するユーザの認証を統合して実行する統合認証方法、統合認証装置および統合認証方法を実行するプログラムに関する。
【背景技術】
【０００２】
既存のアプリケーションソフトウェアにおいて、ユーザ認証やアクセス制御の仕組みを備えるものがある。また、共通の情報処理システムで複数のアプリケーションソフトウェアを使用する場合がある。
【０００３】
特許文献１には、ソフトウェアのライセンスを保護するためのソフトウェアライセンス認証システムが記載されている。
【０００４】
【特許文献１】特開２００４−２１３４３６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、複数のアプリケーションソフトウェアを共通の情報処理システムで取り扱う場合、アプリケーションソフトウェアによってユーザ認証の仕組みの有無や、アクセス制御の有無あるいは方式が異なるため、アプリケーションソフトウェアごとに個別のユーザ認証が必要となるとともに、適切なアクセス制御が困難になるという問題がある。
【０００６】
図８は、既存のアプリケーションソフトウェアにおけるユーザ認証およびアクセス制御の仕組みの実装状況を例示している。この例では、ユーザ認証の仕組みが有るものと無いものとが混在している。また、アクセス制御についても、作業領域および役割区分の両者を設定することによりアクセス制御を行うものや、役割区分についてのみアクセス制御の設定が可能なもの、あるいはアクセス制御の仕組みを持たないもの等が混在している。このような複数のソフトウェアを共通の情報処理システムで使用する場合、図９に示すようにアプリケーションソフトウェアごとに個別にユーザ認証が必要となる。また、図１０に示すように、アクセス制御もアプリケーションソフトウェアごとに実行されることになる。
【０００７】
しかしながら、ユーザ認証をアプリケーションソフトウェアごとに実行する場合、ユーザは利用する全アプリケーションソフトウェアのユーザＩＤおよびパスワードを記憶しなくてはならず、これらの管理が煩雑となる。また、各アプリケーションソフトウェアに対する認証のたびに、キーボード等による入力作業が必要となる。さらに、複数のアプリケーションソフトウェアがそれぞれ独立したユーザ認証／アクセス制御の仕組みを持っているため、それらを管理するシステム管理者の負担が大きくなる。
【０００８】
また、セキュリティ上の観点から、ユーザ認証／アクセス制御に未対応のソフトウェアをそのまま使用することには問題がある。さらに、例えばＩＡ（Industrial Automation）システムのアプリケーションでは作業領域および役割区分の両者によるきめ細かなアクセス制御が必要となるが、既存のソフトウェアではそのようなアクセス制御に対応したものが少ない。
【０００９】
また、シングルサインオン（Single Sign-On）機能、すなわち認証を必要とする複数のアプリケーションソフトウェアを使用する際、１度の認証を実行することで許可されているすべてのシステムを利用可能とする機能を提供する製品が存在する。しかし、このような製品では、既存のアプリケーションソフトウェアで実現しているユーザ認証／アクセス制御の仕組み、とくに作業領域および役割区分の両者によるアクセス制御の仕組みをそのまま利用できないという問題がある。
【００１０】
本発明の目的は、既存のアプリケーションソフトウェアの仕組みを利用しつつ、統合的にユーザ認証を実行することができる統合認証方法、統合認証装置、およびこのような統合認証方法を実行するためのプログラムを提供することにある。
【課題を解決するための手段】
【００１１】
本発明の統合認証方法は、複数のアプリケーションソフトウェアを利用するユーザの認証を統合して実行する統合認証方法において、ユーザの統合認証を実行するステップと、前記ユーザに対応付けられて記憶された個別認証情報を取得するステップと、取得された前記個別認証情報を用いて、統合認証された前記ユーザの、アプリケーションソフトウェアに対する個別認証を実行するステップと、を備えることを特徴とする。
この統合認証方法によれば、予め記憶された、アプリケーションに対する個別認証に必要な情報を取得し、そのアプリケーションソフトウェアに対する認証を実行するので、各アプリケーションに対する個々のユーザ認証の作業が不要となり、システムにシングルサインオン機能を持たせることができる。また、ユーザを統合認証するステップを設けたので、アプリケーションソフトウェアにユーザ認証の仕組みが無い場合であっても、ユーザ認証の機会を確実に確保することができる。さらに、予め記憶された個別認証情報を用いてアプリケーションソフトウェアに対する個別認証を実行しているので、各アプリケーションソフトウェアに対する個別認証に必要な情報をユーザ等が記憶する必要はなく、システム管理の負担も低減される。さらにまた、各アプリケーションに対する個別認証に必要な情報として、各アプリケーションソフトウェアの仕組みとして用意された認証に必要な情報（例えば、各アプリケーションソフトウェアに対し登録されたユーザＩＤおよびパスワード）を予め記憶しておくことにより、その仕組みをそのまま利用することが可能となる。なお、元のアプリケーションソフトウェアに認証の仕組みが備わっていないものが含まれている場合には、そのソフトウェアに対する個別認証を省略してもよいし、そのソフトウェアに対する個別認証の処理を追加してもよい。また、この発明において、ユーザを統合認証する方法は限定されない。例えば、ユーザＩＤおよびパスワードを用いる方法でもよいし、ユーザの身体的特徴を利用する方法でもよい。「個別認証情報」は、各アプリケーションに対して登録されるユーザＩＤやパスワードであってもよく、また、ユーザを特定する各種の情報、例えば、ユーザの身体的特徴等であってもよい。
【００１２】
前記個別認証を実行するステップでは、前記アプリケーションソフトウェアに予め用意されている認証方法を利用して前記個別認証を実行してもよい。
この場合には、アプリケーションソフトウェアに予め用意されている認証方法を利用するので、個別認証の手順を新たに作成する必要がない。このため統合認証を実現するシステムを容易に構築できる。
【００１３】
アプリケーションソフトウェアに対する操作の要求を受け付けるステップと、予め記憶されたアクセス制御情報を参照することにより、前記操作が許容されるか否かを判断するステップと、前記操作が許容されると判断された場合に限り、前記操作を実行するステップと、を備えてもよい。
この場合には、操作が許容されるか否かを判断し、判断が肯定された場合に限り操作を実行するので、アプリケーションソフトウェアに対するアクセスを適切に制限することができる。参照の対象となるアクセス制御情報は、例えば、ユーザごとに許容される操作を規定する情報とすることができる。また、アクセス制御の仕組みが設けられていないアプリケーションソフトウェアに対しても、操作を制限することが可能となる。アクセス制御の仕組みが設けられているアプリケーションに関しては、その仕組みを利用することもできる。
【００１４】
前記アクセス制御情報は、前記ユーザに対して認められる作業領域を規定してもよい。また、前記アクセス制御情報は、前記ユーザに対して認められる役割を規定してもよい。
これらの場合には、作業領域あるいは役割区分に基づくアプリケーションソフトウェアへのアクセス制御が可能となる。
【００１５】
本発明の統合認証装置は、複数のアプリケーションソフトウェアを利用するユーザの認証を統合して実行する統合認証装置において、ユーザの統合認証を実行する統合認証手段と、前記ユーザに対応付けられた個別認証情報を記憶する個別認証情報記憶手段と、該個別認証情報記憶手段から前記個別認証情報を取得する取得手段と、該取得手段により取得された前記個別認証情報を用いて、統合認証された前記ユーザの、アプリケーションソフトウェアに対する個別認証を実行する個別認証手段と、を備えることを特徴とする。
この統合認証装置によれば、予め記憶された、アプリケーションに対する個別認証に必要な情報を取得し、そのアプリケーションソフトウェアに対する認証を実行するので、各アプリケーションに対する個々のユーザ認証の作業が不要となり、システムにシングルサインオン機能を持たせることができる。また、ユーザを統合認証する統合認証手段を設けたので、アプリケーションソフトウェアにユーザ認証の仕組みが無い場合であっても、ユーザ認証の機会を確実に確保することができる。さらに、予め記憶された個別認証情報を用いてアプリケーションソフトウェアに対する個別認証を実行しているので、各アプリケーションソフトウェアに対する個別認証に必要な情報をユーザ等が記憶する必要はなく、システム管理の負担も低減される。さらにまた、各アプリケーションに対する個別認証に必要な情報として、各アプリケーションソフトウェアの仕組みとして用意された認証に必要な情報（例えば、各アプリケーションソフトウェアに対し登録されたユーザＩＤおよびパスワード）を予め記憶しておくことにより、その仕組みをそのまま利用することが可能となる。なお、元のアプリケーションソフトウェアに認証の仕組みが備わっていないものが含まれている場合には、そのソフトウェアに対する個別認証を省略してもよいし、そのソフトウェアに対する個別認証の処理を追加してもよい。また、この発明において、ユーザを統合認証する方法は限定されない。例えば、ユーザＩＤおよびパスワードを用いる方法でもよいし、ユーザの身体的特徴を利用する方法でもよい。「個別認証情報」は、各アプリケーションに対して登録されるユーザＩＤやパスワードであってもよく、また、ユーザを特定する各種の情報、例えば、ユーザの身体的特徴等であってもよい。
【００１６】
前記個別認証手段は、前記アプリケーションソフトウェアに予め用意されている認証方法を利用して前記個別認証を実行してもよい。
この場合には、アプリケーションソフトウェアに予め用意されている認証方法を利用するので、個別認証の手順を新たに作成する必要がない。このため統合認証を実現するシステムを容易に構築できる。
【００１７】
アプリケーションソフトウェアに対する操作の要求を受け付ける受付手段と、アクセス制御情報を予め記憶するアクセス制御情報記憶手段と、該アクセス制御情報記憶手段のアクセス制御情報を参照することにより、前記操作が許容されるか否かを判断する判断手段と、前記操作が許容されると判断された場合に限り、前記操作を実行する実行手段と、を備えてもよい。
この場合には、操作が許容されるか否かを判断し、判断が肯定された場合に限り操作を実行するので、アプリケーションソフトウェアに対するアクセスを適切に制限することができる。参照の対象となるアクセス制御情報は、例えば、ユーザごとに許容される操作を規定する情報とすることができる。また、アクセス制御の仕組みが設けられていないアプリケーションソフトウェアに対しても、操作を制限することが可能となる。アクセス制御の仕組みが設けられているアプリケーションに関しては、その仕組みを利用することもできる。
【００１８】
前記アクセス制御情報は、前記ユーザに対して認められる作業領域を規定してもよい。また、前記アクセス制御情報は、前記ユーザに対して認められる役割を規定してもよい。
これらの場合には、作業領域あるいは役割区分に基づくアプリケーションソフトウェアへのアクセス制御が可能となる。
【００１９】
本発明のプログラムは、複数のアプリケーションソフトウェアを利用するユーザの認証を統合して行う統合認証方法を実行するためのプログラムであって、コンピュータに、ユーザの統合認証を実行するステップと、前記ユーザに対応付けられて記憶された個別認証情報を取得するステップと、取得された前記個別認証情報を用いて、統合認証された前記ユーザの、アプリケーションソフトウェアに対する個別認証を実行するステップと、を実行させることを特徴とする。
このプログラムによれば、予め記憶された、アプリケーションに対する個別認証に必要な情報を取得し、そのアプリケーションソフトウェアに対する認証を実行するので、各アプリケーションに対する個々のユーザ認証の作業が不要となり、システムにシングルサインオン機能を持たせることができる。また、ユーザを統合認証するステップを設けたので、アプリケーションソフトウェアにユーザ認証の仕組みが無い場合であっても、ユーザ認証の機会を確実に確保することができる。さらに、予め記憶された個別認証情報を用いてアプリケーションソフトウェアに対する個別認証を実行しているので、各アプリケーションソフトウェアに対する個別認証に必要な情報をユーザ等が記憶する必要はなく、システム管理の負担も低減される。さらにまた、各アプリケーションに対する個別認証に必要な情報として、各アプリケーションソフトウェアの仕組みとして用意された認証に必要な情報（例えば、各アプリケーションソフトウェアに対し登録されたユーザＩＤおよびパスワード）を予め記憶しておくことにより、その仕組みをそのまま利用することが可能となる。なお、元のアプリケーションソフトウェアに認証の仕組みが備わっていないものが含まれている場合には、そのソフトウェアに対する個別認証を省略してもよいし、そのソフトウェアに対する個別認証の処理を追加してもよい。また、この発明において、ユーザを統合認証する方法は限定されない。例えば、ユーザＩＤおよびパスワードを用いる方法でもよいし、ユーザの身体的特徴を利用する方法でもよい。「個別認証情報」は、各アプリケーションに対して登録されるユーザＩＤやパスワードであってもよく、また、ユーザを特定する各種の情報、例えば、ユーザの身体的特徴等であってもよい。
【００２０】
前記個別認証を実行するステップでは、前記アプリケーションソフトウェアに予め用意されている認証方法を利用して前記個別認証を実行してもよい。
この場合には、アプリケーションソフトウェアに予め用意されている認証方法を利用するので、個別認証の手順を新たに作成する必要がない。このため統合認証を実現するシステムを容易に構築できる。
【００２１】
コンピュータに、アプリケーションソフトウェアに対する操作の要求を受け付けるステップと、予め記憶されたアクセス制御情報を参照することにより、前記操作が許容されるか否かを判断するステップと、前記操作が許容されると判断された場合に限り、前記操作を実行するステップと、を実行させてもよい。
この場合には、操作が許容されるか否かを判断し、判断が肯定された場合に限り操作を実行するので、アプリケーションソフトウェアに対するアクセスを適切に制限することができる。参照の対象となるアクセス制御情報は、例えば、ユーザごとに許容される操作を規定する情報とすることができる。また、アクセス制御の仕組みが設けられていないアプリケーションソフトウェアに対しても、操作を制限することが可能となる。アクセス制御の仕組みが設けられているアプリケーションに関しては、その仕組みを利用することもできる。
【００２２】
前記アクセス制御情報は、前記ユーザに対して認められる作業領域を規定してもよい。また、前記アクセス制御情報は、前記ユーザに対して認められる役割を規定してもよい。
これらの場合には、作業領域あるいは役割区分に基づくアプリケーションソフトウェアへのアクセス制御が可能となる。
【発明の効果】
【００２３】
本発明の統合認証方法、統合認証装置およびプログラムによれば、各アプリケーションに対する認証に必要な情報を参照してアプリケーションソフトウェアに対する認証を実行するので、アプリケーションソフトウェアに設けられたユーザ認証等の仕組みを利用しつつ、システムにシングルサインオン機能を持たせることができる。
【発明を実施するための最良の形態】
【００２４】
以下、図１〜図７を参照して、本発明による統合認証方法の一実施形態について説明する。
【００２５】
図１（ａ）は本実施形態の統合認証方法が適応される情報処理システムの構成を示すブロック図である。図１（ａ）に示すように、この情報処理システム１００は、ユーザ認証およびアクセス制御の処理を含むシステム全体の処理を統括する処理サーバ１と、複数のアプリケーションソフトウェアが格納されたアプリケーションサーバ２と、端末装置３とを備える。処理サーバ１、アプリケーションサーバ２および端末装置３は、互いに通信回線５を介して接続されている。
【００２６】
処理サーバ１には、端末装置３を介してアプリケーションソフトウェアを使用するユーザの認証に必要な認証情報を記憶する認証情報記憶部１１と、アプリケーションソフトウェアへのアクセス制限に必要なアクセス制御情報を記憶するアクセス制御情報記憶部１２と、処理サーバ１における作業処理に必要な情報を一時的に記憶する作業用メモリ１３と、処理サーバ１の各部を制御し、必要な処理を実行する制御部１４とが設けられている。
【００２７】
また、アプリケーションサーバ２には、各アプリケーションソフトウェアを格納するアプリケーションソフトウェア格納部２１と、処理サーバ１の制御部１４との間で通信を行いつつ、必要な処理を実行する制御部２２とが設けられている。
【００２８】
情報処理システム１００では、ユーザが端末装置３を操作することで処理サーバ１にアクセスし、アプリケーションサーバ２に格納されたアプリケーションソフトウェアを使用することができる。また、情報処理システム１００は、ユーザに対し各アプリケーションソフトウェアの統合認証を実行する機能を有する。統合認証を行うことによりユーザは各アプリケーションソフトウェアに対する個別のユーザ認証のための操作をすることなく、各アプリケーションソフトウェアにアクセスすることができる。すなわち、情報処理システムはシングルサインオン（Single Sign-On）機能を有する。さらに、情報処理システム１００は、ユーザがアプリケーションソフトウェアを使用するに際しアプリケーションソフトウェアに対するアクセスを制限する機能を有する。
【００２９】
図１（ｂ）は、処理サーバ１の本発明にかかる機能を示すブロック図である。図１（ｂ）に示すように、処理サーバ１は、ユーザの統合認証を実行する統合認証手段１０１、ユーザに対応付けられた個別認証情報を記憶する個別認証情報記憶手段１０２、個別認証情報記憶手段１０２から個別認証情報を取得する取得手段１０３、および取得手段１０３により取得された個別認証情報を用いて、統合認証されたユーザの、アプリケーションソフトウェアに対する個別認証を実行する個別認証手段１０４として、それぞれ機能する。なお、個別認証情報記憶手段１０２は、認証情報記憶部１１の機能に相当する。
【００３０】
また、処理サーバ１は、アプリケーションソフトウェアに対する操作の要求を受け付ける受付手段１０５、アクセス制御情報を予め記憶するアクセス制御情報記憶手段１０６、アクセス制御情報記憶手段１０６のアクセス制御情報を参照することにより、操作が許容されるか否かを判断する判断手段１０７、および判断手段１０７において操作が許容されると判断された場合に限り、操作を実行する実行手段１０８として、それぞれ機能する。なお、アクセス制御情報記憶手段１０６は、アクセス制御情報記憶部１２の機能に相当する。
【００３１】
図２は認証情報記憶部１１に格納された統合ユーザ認証テーブルおよびアプリケーションアカウントマッピングテーブルを示す図である。
【００３２】
図２に示すように、統合ユーザ認証テーブルは、「統合ユーザ」と「パスワード」とを対応付けるテーブルである。ここで、「統合ユーザ」とは実際に端末装置３を介して処理サーバ１にアクセスするユーザであり、各アプリケーションに対して登録されている各ユーザを統合したユーザとして登録されている者である。図２に示すように、例えば統合ユーザ「admin」に対応してパスワード「Admin」が、統合ユーザ「user A」に対応してパスワード「Xyzxyzx」が、それぞれ予め設定されている。統合ユーザ認証テーブルに格納された「統合ユーザ」および「パスワード」は、後述する統合認証に必要なアカウント情報である。
【００３３】
次に、アプリケーションアカウントマッピングテーブルは、各アプリケーションソフトウェアに対して登録されている「ユーザ」および「パスワード」と、「統合ユーザ」とを対応付けるテーブルである。例えば、統合ユーザ「admin」は、第１のアプリケーションに対してはユーザ「ADMIN」として、第２のアプリケーションに対してはユーザ「app2admin」として、それぞれ異なるユーザとして登録されていることが示されている。また、第１のアプリケーションのユーザ「ADMIN」にはパスワード「adm」が、第２のアプリケーションのユーザ「app2admin」にはパスワード「admin」が、それぞれ登録されていることが示されている。このように、アプリケーションアカウントマッピングテーブルは、各アプリケーションソフトウェアに対する個別認証に必要なアカウント情報を統合ユーザに関連付けて格納している。
【００３４】
図３はアクセス制御情報記憶部１２に格納された役割定義テーブル、アクセス権限定義テーブルおよびエリア情報を示す図である。これらは、後述するアクセス制御処理に必要なアクセス制御情報を構成する。
【００３５】
図３に示すように、役割定義テーブルには役割名と、ビジネスロジックとの対応付けが定義されている。ビジネスロジックは各アプリケーションソフトウェアに対して実行可能な操作を示しており、例えば、役割名「App1 Engineer」には、第１のアプリケーションに対する操作である「App1/build」および「App1/delete」が許容されていることが示されている。また、役割名「App4 Admin」には、第４のアプリケーションに対する操作である「App4/build」、「App4/delete」、「App4/start」、「App4/stop」、「App4/read」および「App4/write」がそれぞれ許容されていることが示されている。
【００３６】
次に、アクセス権限定義テーブルには、各統合ユーザに与えられる「役割名」およびアクセス可能な作業領域を規定する「エリア」が定義されている。例えば、統合ユーザ「admin」には、役割名「App1 Engineer」、「Appl Operator」および「App4 Admin」で示す役割が与えられている。また、役割名「App1 Engineer」、「Appl Operator」および「App4 Admin」にそれぞれ対応して、エリア「/root」がアクセス可能な作業領域として規定されている。また、例えば、統合ユーザ「user A」には、役割名「App1 Engineer」および「App4 Engineer」で示す役割がそれぞれ与えられ、役割名「App1 Engineer」に対応してエリア「/root/App1」および「/root/App4」がアクセス可能な作業領域として規定されている。
【００３７】
図３に示すように、エリア情報には各アプリケーションソフトウェアの作業領域が階層化されて示されており、図３において上方に行くほど上位の（広範囲の）作業領域となっている。図３のアクセス権限定義テーブルの「エリア」に規定される範囲は、エリア情報に示される範囲に対応している。例えば、「/root」として示されるエリアはすべてのアプリケーションソフトウェア（第１〜第４のアプリケーション）の全作業領域を示し、「/root/App1」として示されるエリアは第１のアプリケーションの全作業領域を示す。また、「/root/App1/controler1」として示されるエリアは第１のアプリケーションの「controler1」に包含される作業領域を示す。
【００３８】
次に、情報処理システム１００における統合認証処理、個別認証処理およびアクセス制御処理の動作について説明する。
【００３９】
まず、図４および図５を参照しつつ、統合認証処理の手順について説明する。図４は統合認証における処理手順を示すフローチャート、図５は統合認証における処理手順を機能的に示すブロック図である。
【００４０】
統合認証処理は統合認証手段および取得手段の機能に対応する。統合認証処理では、ユーザが、統合ユーザおよび正しいパスワードを入力したことを確認する、統合認証を実行する処理であり、コンピュータプログラムに従う処理サーバ１の制御部１４の制御に基づいて実行される。処理サーバ１（図１）が図５に示すウェブ（Web）サーバ５０として、端末装置３（図１）が図５に示すウェブ（Web）クライアントとして、それぞれ機能する。ウェブ（Web）サーバ５０には認証／アクセス制御基盤５１が構築される。
【００４１】
図５に示すように、統合認証処理では、端末装置３のモニタに認証画面４１を表示し、ユーザに対してユーザ名（統合ユーザ）およびパスワードの入力を要求する。次いで、認証／アクセス制御基盤５１が統合ユーザ認証テーブル（図２）を参照して統合認証を行う。以下、図４のフローチャートに即して統合認証処理の各手順を説明する。
【００４２】
まず、図４のステップＳ１では、ユーザの認証操作を受け付ける。図５に示すように、ここでは、端末装置３のモニタに認証画面４１を表示させ、ユーザ（統合ユーザ）にユーザ本人を特定する情報であるユーザ名と、パスワードとを入力させる。この処理は図５における「まる１」（丸の中に１を表記したものを便宜上「まる１」とする。「まる２」以降の表記についても同様。）として示す処理であり、ウェブクライアントである端末装置３から認証／アクセス制御基盤５１にユーザ名およびパスワードが入力される。ステップＳ２では認証情報記憶部１１に格納されている統合ユーザ認証テーブルを認証／アクセス制御基盤５１が参照（図５における「まる２」に対応）し、入力されたユーザ名（図２における「統合ユーザ」）に対応付けられたパスワードと、実際に入力されたパスワードとを比較する。
【００４３】
次に、ステップＳ３では、ステップＳ２においてパスワードが一致したか否か判断し、一致した場合、すなわち統合認証ができた場合にはステップＳ５へ進み、パスワードが一致しなかった場合、すなわち統合認証ができなかった場合にはステップＳ４へ進む。ステップＳ４では認証画面４１に認証ができなかったことを示すエラー表示を行い、ステップＳ１へ戻る。
【００４４】
一方、ステップＳ５では、認証／アクセス基盤５１が、当該統合ユーザの統合認証が完了した旨の情報である認証情報を作業メモリ１３内に設けられるセッション上に構築し、処理を終了する。この処理は図５における「まる３」に対応する。
【００４５】
次に、図６および図７を参照しつつ、個別認証処理およびアクセス制御処理の手順について説明する。図６はアプリケーションソフトウェアへのアクセス時の処理手順を示すフローチャート、図７はアプリケーションソフトウェアへのアクセス時の処理手順を機能的に示すブロック図である。
【００４６】
この処理では、すでに統合認証処理（図４）を済ませたユーザが、認証のための新たな操作を要求されることなく、所定のアプリケーションソフトウェアに対しアクセス可能としている（シングルサインオン処理）。また、統合ユーザに対し予め設定された範囲でのみアプリケーショソフトウェアへのアクセスを可能とする、アクセス制御処理を実行している。図７に示すように、この処理はウェブサーバ５０においてウェブアプリケーション５２をユーザ認証／アクセス制御基盤５１の対象クライアントとして機能させることにより実行される。図７において、ウェブアプリケーション提供ＤＬＬ（Dynamic Link Library）５３は、ウェブアプリケーション５２の実行に必要なＤＬＬであり、アクセスＤＬＬ５４は第１のアプリケーションへのアクセスに必要なＤＬＬである。また、認証用プラグイン５５は第１のアプリケーションに対する認証を実行するためのＤＬＬであり、第１のアプリケーションから提供される。
【００４７】
図６および図７では、統合認証処理（図４）を済ませたユーザが、第１のアプリケーションにアクセスした場合の手順を例示している。他のアプリケーションソフトウェアへのアクセスがあった場合も、同様の手順が適用される。以下、図６のフローチャートに即して、個別認証処理およびアクセス制御処理の各手順を説明する。なお、個別認証処理は個別認証手段の機能に、アクセス制御処理は判断手段および実行手段の機能に、それぞれ相当する。
【００４８】
図６のステップＳ１１では、図７のウェブ（Web）クライアントとして機能する端末装置３のモニタにアプリケーションソフトウェア１のアプリケーション画面４２を表示させ、端末装置３を介してのアプリケーションソフトウェア１への操作（操作の要求）を受け付ける。この処理は、図７における「まる１」に対応している。ステップＳ１２では、認証／アクセス制御基盤に対し、統合認証が完了しているか否かの問い合わせを行う（図７における「まる２」に対応）。この処理は、ステップＳ５（図４）の処理に応答した処理であり、ここでは当該ユーザの統合認証処理の完了を示す認証情報がセッション上に構築されていることを確認している。
【００４９】
次に、ステップＳ１３では、作業メモリ１３内に設けられるセッションの認証情報にアクセスし、第１のアプリケーションに対する個別認証が完了しているか確認する（図７における「まる３」に対応）。次に、ステップＳ１４では、ステップＳ１３において個別認証の完了が確認されたか否か判断し、判断が肯定されればステップＳ２１へ進み、判断が否定されればステップＳ１５へ進む。なお、ステップＳ１４の判断は、後述するステップＳ１８の処理が実行済みであるか否かに応答するものである。この判断は、統合認証処理を経た後、ユーザが第１のアプリケーションに最初にアクセスした時には否定され、２度目以降のアクセス時には肯定されることになる。
【００５０】
ステップＳ１４の判断が否定された場合には、ステップＳ１５において、認証情報記憶部１１に格納されたアプリケーションアカウントマッピングテーブルから当該ユーザ（統合ユーザ）の第１のアプリケーションに対する「ユーザ」および「パスワード」を取得する。この処理は図７における「まる３−１」に対応しており、認証／アクセス基盤５１が認証情報記憶部１１のアプリケーションアカウントマッピングテーブルにアクセスし、「ユーザ」および「パスワード」を取得する処理である。
【００５１】
次に、ステップＳ１６では、アプリケーションサーバ２と通信を行い、ステップＳ１５で取得した「ユーザ」および「パスワード」を用いて第１のアプリケーションのユーザ認証を実行する。この処理は図７における「まる３−２」に対応しており、認証／アクセス制御基盤５１が、認証用プラグイン５５を用いて第１のアプリケーションに対する個別認証を実行する。この処理は第１のアプリケーションに設けられた認証の仕組みをそのまま利用して実行することができる。
【００５２】
次に、ステップＳ１７において第１のアプリケーションの個別認証（ステップＳ１６）が完了したか否か判断し、判断が肯定されればステップＳ１８へ進み、判断が否定されればステップＳ１１へ戻る。
【００５３】
ステップＳ１８では、作業メモリ１３内に設けられたセッション上の認証情報に第１のアプリケーションに対する当該ユーザの個別認証が完了している旨の情報を設定し、ステップＳ２１へ進む。この処理は、図７における「まる３−３」に対応している。
【００５４】
ステップＳ２１では、アクセス制御情報記憶部１２のアクセス制御情報を参照して、ステップＳ１１で受け付けた操作が役割定義テーブルおよびアクセス権限テーブルに定義したアクセス制限にかかるか否か確認する（図７における「まる４」に対応）。次に、ステップＳ２２ではステップＳ２１における確認の結果、今回のアクセスが許容されるか否か判断し、判断が肯定されればステップＳ２３へ進み、判断が否定されればステップＳ２４へ進む。
【００５５】
上記ステップＳ２１では、役割定義テーブルおよびアクセス権限定義テーブルを参照することで、ステップＳ１１で受け付けた操作が、ユーザの役割名およびアクセス可能な作業領域（エリア）に照らして許容されるべきものであるか否かが判断される。その操作が、該当する統合ユーザに割り当てられた役割名およびエリアに包含される場合には操作が許容され、包含されない場合には操作が許容されない。したがって、役割区分および作業領域の両面に基づいて、適切なアクセス制御が実行される。
【００５６】
なお、この処理は、第１のアプリケーションにアクセス制限の仕組みが設けられている場合には、その仕組みをそのまま利用して実行してもよい。また、第１のアプリケーションにアクセス制限の仕組みが設けられていない場合であっても、アクセス制御情報にアクセス制限を定義することで、第１のアプリケーションに対する適切なアクセス制御を実行できる。
【００５７】
ステップＳ２４では、アクセスが許容されない旨（アクセス不可エラー）を示す画面を端末装置３のモニタに表示させ、ステップＳ１１に戻る。
【００５８】
一方、ステップＳ２３ではウェブアプリケーション５２に対し、第１のアプリケーションに対する操作（ステップＳ２５）に必要な認証情報を返す（図７の「まる５」に対応）。次に、ステップＳ２５では、アプリケーションサーバ２との間で通信を実行し、ステップＳ２３で返された認証情報を用いて第１のアプリケーションに対する操作を実行する（図７の「まる６」に対応）。
【００５９】
次にステップＳ２６では、ステップＳ２５の操作の結果を端末装置３のモニタに表示し、処理を終了する。
【００６０】
このように、図６および図７に示す処理では、アプリケーションアカウントマッピングテーブルから当該ユーザ（統合ユーザ）の第１のアプリケーションに対する「ユーザ」および「パスワード」を取得し（ステップＳ１５）、取得した「ユーザ」および「パスワード」を用いて第１のアプリケーションに対する個別認証を実行している（ステップＳ１６）。このため、システムを使用するユーザは統合認証時に単一のアカウントによりシステムにアクセスするだけで、個別認証のための操作を要求されることなく第１のアプリケーションを利用できる。他のアプリケーションソフトウェアを利用する場合も同様である。
【００６１】
また、アクセス制御情報記憶部１２のアクセス制御情報を参照することにより、ユーザが要求した操作を必要に応じて禁止しているので（ステップＳ２１〜ステップＳ２２）、アクセスを適切に制限することができる。さらに、アクセス制御情報は役割定義テーブルおよびアクセス権限テーブルを含んで構成されているので、作業領域および役割区分の両者に基づくユーザ（統合ユーザ）単位でのアクセス制御が実現できる。このため、アプリケーションソフトウェアに対する誤操作や機密情報の漏洩を確実に防止できる。
【００６２】
本発明の適用範囲は上記実施形態に限定されることはない。また、本発明は、ＩＡシステムのみならず、各種情報を取り扱う情報処理システムに対し、広く適用することができる。
【図面の簡単な説明】
【００６３】
【図１】一実施形態の統合認証方法が適応される情報処理システムを示す図であり、（ａ）は情報処理システムの構成を示すブロック図、（ｂ）は処理サーバの機能を示すブロック図。
【図２】認証情報記憶部に格納された統合ユーザ認証テーブルおよびアプリケーションアカウントマッピングテーブルを示す図。
【図３】アクセス制御情報記憶部に格納された役割定義テーブル、アクセス権限定義テーブルおよびエリア情報を示す図。
【図４】統合認証における処理手順を示すフローチャート。
【図５】統合認証における処理手順を機能的に示すブロック図。
【図６】アプリケーションソフトウェアへのアクセス時の処理手順を示すフローチャート。
【図７】アプリケーションソフトウェアへのアクセス時の処理手順を機能的に示すブロック図。
【図８】既存のアプリケーションソフトウェアにおけるユーザ認証およびアクセス制御の仕組みの実装状況を例示する図。
【図９】従来のシステムにおけるユーザ認証の方法を示す図。
【図１０】従来のシステムにおけるアクセス制御の方法を示す図。
【符号の説明】
【００６４】
１      処理サーバ
２      アプリケーションサーバ
３      端末装置
１１    認証情報記憶部
１２    アクセス制御情報記憶部
１０１  統合認証手段
１０２  個別認証情報記憶手段
１０３  取得手段
１０４  個別認証手段
１０５  受付手段
１０６  アクセス制御情報記憶手段
【図１】
2006065712.tif 000003
【図２】
2006065712.tif 000004
【図４】
2006065712.tif 000005
【図６】
2006065712.tif 000006
【図８】
2006065712.tif 000007
【図９】
2006065712.tif 000008
【図１０】
2006065712.tif 000009
【図３】
2006065712.tif 000010
【図５】
2006065712.tif 000011
【図７】
2006065712.tif 000012