(57)【要約】【課題】自動的なシングルサインオン処理を好適に行うこと。【解決手段】本発明の一態様に係る情報処理システムは、ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、前記認証許可情報を前記第３の装置に送信する送信部と、を有し、前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有することを特徴とする。【選択図】図４
2018018143.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、
前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
前記認証許可情報を前記第３の装置に送信する送信部と、を有し、
前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有することを特徴とする情報処理システム。
【請求項２】
前記第４の装置は、前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部を有し、
前記送信部は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
前記受信部は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記Ｗｅｂサービスの認証許可情報を、前記第２の装置から受信することを特徴とする請求項１に記載の情報処理システム。
【請求項３】
前記第２の装置は、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部を有し、
前記送信部は、前記第２の装置に対して、前記通信サービスの認証処理に必要な情報及び前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
前記受信部は、前記第２の装置において前記通信サービスの認証処理が成功した場合に、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記Ｗｅｂサービスの認証許可情報を、前記第２の装置から受信することを特徴とする請求項１に記載の情報処理システム。
【請求項４】
前記第１の装置は、前記通信サービスの認証処理に成功した前記ユーザ端末からのＷｅｂアクセスに対して、前記第５の装置へのリダイレクトを実施するように制御し、
前記第５の装置は、前記リダイレクトに基づいて、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信することを特徴とする請求項１から請求項３のいずれかに記載の情報処理システム。
【請求項５】
前記送信部は、前記第３の装置に格納された前記認証許可情報を取得するために用いられる所定の情報を、前記第１の装置に送信することを特徴とする請求項４に記載の情報処理システム。
【請求項６】
前記所定の情報は、前記第５の装置のＵＲＬ（Uniform  Resource  Locator）であり、
前記第１の装置は、前記通信サービスの認証処理に成功した前記ユーザ端末からのＷｅｂアクセスを、前記第５の装置のＵＲＬにリダイレクトするように制御することを特徴とする請求項５に記載の情報処理システム。
【請求項７】
前記受信部は、前記第１の装置から、前記ユーザ端末を特定するための特定情報を受信し、
前記送信部は、前記認証許可情報を、前記特定情報と関連付けて前記第３の装置に送信し、
前記第１の装置は、前記第５の装置へのリダイレクトの際に、前記特定情報を前記第５の装置に送信するように制御し、
前記第５の装置は、前記特定情報を用いて、前記第３の装置から前記認証許可情報を取得することを特徴とする請求項５又は請求項６に記載の情報処理システム。
【請求項８】
前記第５の装置は、前記ユーザ端末にＷｅｂ認証処理を行わせるための情報を送信し、
前記第４の装置は、当該情報に従って送信された通知に基づいて、前記Ｗｅｂ認証処理を行うことを特徴とする請求項７に記載の情報処理システム。
【請求項９】
前記送信部は、前記Ｗｅｂ認証処理に成功した場合、前記ユーザ端末へのアカウンティング開始のステータスを示す情報を、前記特定情報と関連付けて前記第３の装置に送信することを特徴とする請求項７又は請求項８に記載の情報処理システム。
【請求項１０】
前記特定情報は、前記ユーザ端末のＭＡＣ（Media  Access  Control）アドレスであることを特徴とする請求項７から請求項９のいずれかに記載の情報処理システム。
【請求項１１】
前記通信サービスは、無線通信サービスであり、
当該無線通信サービスの認証処理としてＲＡＤＩＵＳ（Remote  Authentication  Dial  In  User  Service）認証が用いられることを特徴とする請求項１から請求項１０のいずれかに記載の情報処理システム。
【請求項１２】
前記認証許可情報は、複数のＷｅｂサービスに関するシングルサインオン（ＳＳＯ：Single  Sign  On）のセッション情報であることを特徴とする請求項１から請求項１１のいずれかに記載の情報処理システム。
【請求項１３】
ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を用いる情報処理方法であって、
前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する工程と、
前記認証許可情報を前記第３の装置に送信する工程と、を有し、
前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う工程を有することを特徴とする情報処理方法。
【請求項１４】
ユーザ端末に対して通信サービスを提供する第１の装置、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置、及びデータを格納する第３の装置、と通信する情報処理装置であって、
前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部と、
前記通信サービスの認証処理に成功した場合、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
前記認証許可情報を前記第３の装置に送信する送信部と、を有することを特徴とする情報処理装置。
【請求項１５】
ユーザ端末に対して通信サービスを提供する第１の装置、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置、及びデータを格納する第３の装置、と通信する情報処理装置のコンピュータに、
前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う手順と、
前記通信サービスの認証処理に成功した場合、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する手順と、
前記認証許可情報を前記第３の装置に送信する手順と、を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、Ｗｅｂサービスの認証に係る情報処理システム、情報処理方法、情報処理装置及びプログラムに関する。
【背景技術】
【０００２】
ネットワークを介して提供されるＷｅｂサービス（クラウドサービス）が普及してきている。クラウドサービスの一例として、例えば、ＳａａＳ（Software  as  a  Service）がある。クラウドサービスの利用により、業務システムなどをＷｅｂに移行することができ、ネットワークに接続される通信端末に対して、充実した機能を提供することができる。
【０００３】
クラウドサービスは、通常、許可されたユーザにのみ提供され、ユーザ認証を要する。例えば、適切なユーザ識別子及びパスワードを送信してきた通信端末はユーザ認証をパスすることができる。多くのクラウドサービスを利用するユーザがクラウドサービスごとに認証のための情報（認証情報）を入力するものとすると、利便性に欠ける。
【０００４】
このため、一回のユーザ認証で複数のシステムを利用可能にするシングルサインオン（ＳＳＯ：Single  Sign  On）という技術が広く検討されている。ＳＳＯの方式としては、リバースプロキシを用いるもの、ＳＡＭＬ（Security  Assertion  Markup  Language）に基づくもの、ＯｐｅｎＩＤ（登録商標）に基づくもの（OpenID  Connect）、などがある。ユーザは認証サーバ（ＳＳＯサーバ）に１回ログインするだけで、例えばＳＡＭＬに対応するクラウドサービスを利用することができるようになる。
【０００５】
しかしながら、ＳＳＯを用いる場合であっても、例えばサービスポータルのシステムにユーザが自らサインオンする必要があるため、更なる利便性の向上が望まれている。例えば、ユーザがユーザ装置のＯＳ（Operating  System）認証をするだけでクラウドサービスへのＳＳＯを実現する技術が提案されている（特許文献１）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−８１４０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載される発明は、ＳＳＯサーバと連携するための専用の認証連携装置を有する特定のネットワーク（例えば、社内ＬＡＮ（Local  Area  Network））にユーザ装置が接続される必要があるなど、限定的な環境での適用となり、利用の自由度が少ないという課題がある。
【０００８】
本発明はかかる点に鑑みてなされたものであり、自動的なＳＳＯ処理を好適に行うことができる情報処理システム、情報処理方法、情報処理装置及びプログラムを提供することを目的の１つとする。
【課題を解決するための手段】
【０００９】
本発明の一態様に係る情報処理システムは、ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、前記認証許可情報を前記第３の装置に送信する送信部と、を有し、前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、自動的なＳＳＯ処理を好適に行うことができる。
【図面の簡単な説明】
【００１１】
【図１】無線ＬＡＮサービスの認証方式及びプロトコルの一例を示す図である。
【図２】Ｗｅｂサービスの認証方式及びプロトコルの一例を示す図である。
【図３】本発明の一実施形態に係る情報処理システムの概略構成の一例を示す図である。
【図４】本発明の一実施形態に係る無線ＬＡＮ及びＷｅｂサービスのシングルサインオンのシーケンスの一例を示す図である。
【図５】図４のステップＳ１−Ｓ１０のより詳細なシーケンスの一例を示す図である。
【図６】図４のステップＳ１０−Ｓ１２のより詳細なシーケンスの一例を示す図である。
【図７】本発明の一実施形態に係る認証セッション無効化のシーケンスの一例を示す図である。
【図８】本発明の一実施形態に係るサーバの機能構成の一例を示す図である。
【図９】本発明の一実施形態に係るサーバ及びデバイスのハードウェア構成の一例を示す図である。
【発明を実施するための形態】
【００１２】
ユーザ端末が接続し得る無線ＬＡＮやＷｅｂシステムの数が増加する中、それぞれのログイン処理に必要な識別子（ＩＤ：Identifier）、パスワード（ＰＷＤ：Password）などの入力の手間や、管理負荷の増大といった課題が生じている。
【００１３】
本発明者らは、無線ＬＡＮサービスとＷｅｂサービスとのＳＳＯを実現することができれば、上記の課題が解決できると考えた。しかしながら、一般的にＳＳＯは、データ通信方式や認証方式が同一であるＷｅｂサービス（Ｗｅｂアプリケーション）が対象となっている。このため、従来のＳＳＯを実現する技術では、無線ＬＡＮサービスとＷｅｂサービスとのＳＳＯは、データ通信方式や認証方式などのプロトコルが異なるため、実現することができない。
【００１４】
本発明者らは、Ｗｅｂサービスを利用するためにはネットワークに接続する必要があることに着目し、ネットワーク接続の確立に伴ってＳＳＯ処理を自動的に行うことが好ましいことを発見した。例えば接続するネットワークによって、ＳＳＯ処理によって利用可能となるＷｅｂサービス群を切り替えることができれば、利便性が高い。
【００１５】
そこで、本発明者らはまず、ネットワークに接続する認証方式と、Ｗｅｂサービスの認証方式と、の違いを検討した。
【００１６】
図１は、無線ＬＡＮサービスの認証方式及びプロトコルの一例を示す図である。図１の場合、無線端末及び無線システム（例えば、無線アクセスポイント（ＡＰ：Access  Point）、無線ＬＡＮコントローラ（ＷＬＣ：Wireless  LAN  Controller）など）間では、下位レイヤにおいてＩＥＥＥ８０２．１１規格の無線ＬＡＮ（例えば、ＩＥＥＥ  ８０２．１１ａ）を用いて通信が実現される。なお、このような無線ＬＡＮは、Ｗｉ−Ｆｉ（登録商標）とも呼ばれる。
【００１７】
また、無線システム及び認証システム間では、下位レイヤにおいてイーサネット（登録商標）、ＩＰ（Internet  Protocol）、ＵＤＰ（User  Datagram  Protocol）などを用いて通信が実現される。なお、無線システム及び認証システム間が有線により接続される例を示しているが、これに限られない。
【００１８】
無線端末は、まず無線システムにアクセスし、８０２．１Ｘ認証を要求する。認証プロトコルは８０２．１Ｘ認証でサポートされるものであればよく、例えばＴＬＳ（Transport  Layer  Security）、ＰＥＡＰ（Protected  Extensible  Authentication  Protocol）などを用いることができる。認証プロトコルのパケットはＥＡＰ（Extensible  Authentication  Protocol）でラップされ、ＥＡＰｏＬ（EAP  over  LAN）でデータリンク層のパケットとして通信される。
【００１９】
無線システムは、認証システムに対して認証要求を送信する。無線システム及び認証システム間は信用されたネットワークで接続され、ＥＡＰｏＬではなくＲＡＤＩＵＳ（Remote  Authentication  Dial  In  User  Service）が用いられる。認証システム（認証サーバ）は、例えばＲＡＤＩＵＳサーバとも呼ばれる。
【００２０】
認証システムは、認証要求を受けると、認証応答を返信し、無線システムは当該認証応答に基づく認証結果を無線端末に送信する。
【００２１】
図２は、Ｗｅｂサービスの認証方式及びプロトコルの一例を示す図である。図２の場合、無線端末及び無線システム間では、下位レイヤにおいてＩＥＥＥ８０２．１１規格の無線ＬＡＮを用いて通信が実現される。また、無線システム及び認証システム間では、下位レイヤにおいてＩＥＥＥ８０２．３規格のイーサネットを用いて通信が実現される。なお、無線システム及び認証システム間が有線により接続される例を示しているが、これに限られない。
【００２２】
各装置間の通信では、ＩＰ、ＴＣＰ（Transmission  Control  Protocol）、ＨＴＴＰ（Hypertext  Transfer  Protocol）／ＨＴＴＰＳ（HTTP  Secure）などを利用する。認証プロトコルは、例えば、フォーム認証、ベーシック認証などであってもよい。無線端末は、無線システムを介してＷｅｂサーバに認証要求を送信し、Ｗｅｂサーバから認証応答を受信する。
【００２３】
以上述べたような無線ＬＡＮサービス及びＷｅｂサービスの認証方式を検討し、本発明者らは、無線ＬＡＮサービスと１つ以上のＷｅｂサービスのシングルサインオンを実現することを着想した。具体的には、本発明者らは、ユーザ端末が無線ＬＡＮ接続の認証に成功した際、当該認証情報に基づいて、Ｗｅｂサービスの認証サーバから認証セッションを取得し、その後認証セッションの橋渡しを行うことを見出した。
【００２４】
これにより、無線ＬＡＮを利用するユーザは、無線ＬＡＮ接続時に一度認証を行うだけで、Ｗｅｂサービスやクラウドサービスを、ＩＤ及びパスワードの入力なしで利用することが可能となる。
【００２５】
以下、本発明の実施形態について添付図面を参照して詳細に説明する。なお、以下の実施形態では、ユーザ装置（ユーザ端末）の利用するネットワークが無線ＬＡＮである場合を例に説明するが、これに限られない。例えば、ネットワークに有線ＬＡＮを用いる場合、電話回線を用いる場合、他のネットワーク構成を用いる場合などであっても、本発明を適用することができる。
【００２６】
（情報処理システム）
まず、本発明が適用される情報処理システムについて説明する。図３は、本発明の一実施形態に係る情報処理システムの概略構成の一例を示す図である。図３に示す情報処理システム１は、ユーザ端末１０と、無線システム２０と、認証サーバ（ＲＡＤＩＵＳサーバ）３０と、ＳＳＯサーバ（ＩｄＰ（Identity  Provider）サーバ）４０と、データベース（ＤＢ：Database）５０と、認証連携サーバ（ポータルサーバ）６０と、クラウドサービスプロバイダ（ＳＰ：Service  Provider）サーバ／ＳＳＯ保護対象サーバ７０（以下では、これらを区別せず単に「ＳＰサーバ７０」と表記する）と、を含む。
【００２７】
ユーザ端末１０は、例えばユーザの操作によりブラウザなどのアプリケーションを実行し、各種サーバと通信する情報処理装置である。ユーザ端末１０は、無線通信機能を有しており、無線システム２０との間で無線通信を行う。なお、ユーザ端末１０は、携帯電話、スマートフォン、タブレット型端末などの携帯端末（移動通信端末）であってもよいし、パソコン（ＰＣ：Personal  Computer）などの固定通信端末であってもよい。
【００２８】
無線システム２０は、ユーザ端末１０との間で無線通信を実現するＡＰ、ユーザ端末１０の無線通信に関する制御（例えばＡＰの制御）を行うＷＬＣなどを含んで構成される。ＡＰは例えばルータであってもよいし、ＷＬＣは無線ＬＡＮスイッチなどと呼ばれてもよい。また、ＡＰ及びＷＬＣは有線又は無線で接続されてもよい。ＡＰ及びＷＬＣは、単一の装置で実現されてもよい。以下、本明細書では無線システム２０を単にＷＬＣ２０とも表す。
【００２９】
ＷＬＣ２０（第１の装置）は、所定の認証方式（例えば、図１で示したような、８０２．１Ｘ認証、ＲＡＤＩＵＳ認証など）に対応した情報処理装置（例えば、無線コントローラ）である。ＷＬＣ２０は、認証に成功したユーザ端末１０に対して所定の通信サービス（例えば、無線通信）を提供する。ＷＬＣ２０は、ユーザ端末１０と有線で接続される場合には、有線通信サービスを提供するものとしてもよい。
【００３０】
ＲＡＤＩＵＳサーバ３０（第１の装置、第２の装置及び第３の装置と通信する第４の装置）は、ユーザ端末１０に対してＲＡＤＩＵＳ認証を提供する情報処理装置である。ＲＡＤＩＵＳサーバ３０は、ＳＳＯサーバ４０に対して、ユーザ端末１０についてのＳＳＯ認証を実施するように要求し、セッション情報を取得することができる。
【００３１】
ＳＳＯサーバ４０（第２の装置）は、ユーザ端末１０に対してＷｅｂサービスの認証処理を提供する情報処理装置である。例えば、ＳＳＯサーバ４０は、ＳＰサーバ７０に関するＳＳＯ処理を提供する。ＷｅｂアプリケーションやクラウドサービスへのＳＳＯは、例えばＯｐｅｎＡＭ（登録商標）を用いて実現することができる。
【００３２】
ＤＢ５０（第３の装置）は、種々のデータを格納する情報処理装置である。例えば、ＤＢ５０は、ＳＳＯ認証済みであることを示すセッション情報を格納する。なお、ＤＢ５０は、ファイル、ディレクトリ、ユーザストアなどと呼ばれてもよい。
【００３３】
ポータルサーバ６０（ユーザ端末１０及び第３の装置と通信する第５の装置）は、ＤＢ５０からユーザ端末１０に対応するＳＳＯのセッション情報を取得し、ユーザ端末１０に送信する情報処理装置である。また、ポータルサーバ６０は、ユーザ端末１０にＷｅｂ認証を実施させるための情報を通知することができる。
【００３４】
ＳＰサーバ７０は、ＳＳＯ認証済みのユーザ端末１０に対して、サービスを提供する情報処理装置である。なお、サインオンが必要なＳＰサーバ７０が１つであったり、ＳＰサーバ７０がＳＳＯサーバ４０と同一であったりする場合には、ＳＳＯサーバ４０は、ＳＳＯでなくサインオンを行うＷｅｂサーバであってもよい。
【００３５】
ＲＡＤＩＵＳサーバ３０などの各装置の機能構成及びハードウェア構成の一例については、後述する。
【００３６】
なお、当該システム構成は一例であり、これに限られない。例えば、各装置は、図１ではそれぞれ１つずつ含まれる構成としたが、各機器の数はこれに限られず、複数存在してもよい。また、情報処理システム１では、所定の装置の機能が複数の装置により実現される構成としてもよい。例えば、ＳＰサーバ７０は、複数のサーバから構成されてもよい。
【００３７】
また、複数の装置が１つの装置で実現されてもよい。例えば、ＲＡＤＩＵＳサーバ３０、ＤＢ５０及びポータルサーバ６０の少なくとも２つが、単一の装置（例えば、サーバ）で実現されてもよい。
【００３８】
（情報処理方法）
本発明の実施形態に係る情報処理方法（ＳＳＯ認証連携方法）について、以下で説明する。各情報処理方法は、上述の情報処理システムに適用されてもよい。
【００３９】
以下、図４を参照して、具体的な処理の流れについて説明する。図４は、本発明の一実施形態に係る無線ＬＡＮ及びＷｅｂサービスのシングルサインオンのシーケンスの一例を示す図である。
【００４０】
ユーザ端末１０は、ＷＬＣ２０に対して接続を要求する（ステップＳ１）。無線ＬＡＮの場合、８０２．１Ｘ認証が開始される。ユーザが認証情報（例えば、ＩＤ、パスワード（ＰＷＤ）など）をユーザ端末１０に入力し、ユーザ端末１０は、ＷＬＣ２０に当該認証情報を送信する。
【００４１】
次に、ＷＬＣ２０は、ＲＡＤＩＵＳサーバ３０に対して、認証要求（RADIUS/Access-Request）を送信する（ステップＳ２）。ＲＡＤＩＵＳサーバ３０は、ユーザ端末１０の認証を実施し、認証に成功した場合にステップＳ３以降を実施する。ＲＡＤＩＵＳによる認証に失敗した場合は、認証を拒否する旨の認証拒否（RADIUS/Access-Reject）をＷＬＣ２０に送信する。
【００４２】
ＲＡＤＩＵＳによる認証（ユーザ端末１０の無線ＬＡＮ接続の認証）に成功したＲＡＤＩＵＳサーバ３０は、ＳＳＯサーバ４０に対して、Ｗｅｂサービス認証セッションの発行要求を送信する（ステップＳ３）。ステップＳ３は、例えばＲＥＳＴ（Representational  State  Transfer）  ＡＰＩ（Application  Programming  Interface）、ＲＥＳＴｆｕｌ  ＡＰＩなどと呼ばれるインターフェースを介して実施されてもよい。具体的には、ＲＥＳＴ  ＡＰＩでは、ＨＴＴＰ  ＧＥＴ及び／又はＰＯＳＴを用いて処理要求／応答を通知することができる。
【００４３】
ＳＳＯサーバ４０は、ユーザ認証に成功した場合、認証許可を示す情報を生成し、ＲＡＤＩＵＳサーバ３０に送信する（ステップＳ４）。当該情報は、セッション情報、認証許可情報、認証成功情報、トークン、ＳＳＯトークン、Ｗｅｂサービストークンなどと呼ばれてもよい。また、ステップＳ４は、Ｗｅｂサービス認証セッションの発行処理と呼ばれてもよい。
【００４４】
なお、ステップＳ２−Ｓ４は、別の態様で実現されてもよい。例えば、ステップＳ２の後、ＲＡＤＩＵＳサーバ３０は、ＲＡＤＩＵＳ認証を自ら実施しなくてもよい。この場合、ＲＡＤＩＵＳサーバ３０は、ＲＡＤＩＵＳ認証処理に必要な情報（例えば、ユーザ端末１０のＩＤ及びＰＷＤ）を、ＳＳＯサーバ４０に対して送信する。当該情報は、Ｗｅｂサービス認証セッションの発行要求と同時に送信されてもよい（ステップＳ３’）。ＳＳＯサーバ４０は、ＲＡＤＩＵＳ認証及びＷｅｂサービスの認証を実施し、ＲＡＤＩＵＳ認証結果に関する情報（例えば、認証に成功した旨）及びトークンを送信することができる（ステップＳ４’）。なお、ＳＳＯサーバ４０は、いずれかの認証に失敗した場合は両方失敗したものと判断してもよい。
【００４５】
ＳＳＯトークンを受信したＲＡＤＩＵＳサーバ３０は、当該ＳＳＯトークンをＤＢ５０に登録する（ステップＳ５）。ステップＳ５は、Ｗｅｂサービス認証セッションの登録処理と呼ばれてもよい。なお、ステップＳ５は、ステップＳ６の前又は後に実施してもよいし、ステップＳ６と同時に実施してもよい。
【００４６】
ＲＡＤＩＵＳサーバ３０は、ＷＬＣ２０に対して、認証に成功した旨の認証応答（RADIUS/Access-Accept）を送信する（ステップＳ６）。ここでは、ＲＡＤＩＵＳサーバ３０は、Ｗｅｂサービス認証及びＲＡＤＩＵＳ認証の両方に成功した場合にステップＳ６の認証応答を送信するものとしたが、ステップＳ２の後、ＲＡＤＩＵＳ認証が成功した時点で認証応答を送信してもよい。この場合、ステップＳ３−Ｓ５は認証応答の送信後に実施されてもよい。
【００４７】
ＷＬＣ２０は、ユーザ端末１０に対して、認証結果が成功であったことを示す応答を通知する（ステップＳ７）。ユーザ端末１０は、ステップＳ７の完了時点で、ＷＬＣ２０を介した無線通信を実施することが可能となる。
【００４８】
８０２．１Ｘ認証を終えたユーザ端末１０がＷｅｂアクセス（例えば、ＨＴＴＰＳによるＷｅｂアクセス）を開始すると（ステップＳ８）、ＷＬＣ２０は、当該Ｗｅｂアクセスをポータルサーバ６０にリダイレクト（転送）する（ステップＳ９）。
【００４９】
ユーザ端末１０は、ポータルサーバ６０から指示された情報（例えば、スクリプト）に従ってＷＬＣ２０にアクセスし、ＲＡＤＩＵＳサーバ３０との間でＷｅｂ認証処理を行い、その後ポータルサーバ６０へのリダイレクトが再度行われる（ステップＳ１０）。なお、当該Ｗｅｂ認証処理は、後述するようにバックグラウンドで実施させることが好ましい。
【００５０】
ポータルサーバ６０は、アクセスしてきたユーザ端末１０に対応するＷｅｂサービス認証セッション（トークン）を取得する（ステップＳ１１）。
【００５１】
ポータルサーバ６０は、取得したトークンをＣｏｏｋｉｅ情報（クッキートークンなどと呼ばれてもよい）としてユーザ端末１０に送信する（ステップＳ１２）。Ｃｏｏｋｉｅ情報は、ブラウザに埋め込まれて送信されてもよい。例えば、ポータルサーバ６０は、Ｃｏｏｋｉｅ情報にトークンＩＤを含めて送信することができる。ステップＳ１１及びＳ１２により、ユーザ端末１０がセッション認証済端末かどうかの識別と、ユーザ端末１０へのＷｅｂサービス認証セッションの受渡しが行われる。
【００５２】
トークンを受信したユーザ端末１０がＳＰサーバ７０にアクセスすると（ステップＳ１３）、ＳＰサーバ７０はＳＳＯサーバ４０へのリダイレクトを実施し、認証問合せを行う（ステップＳ１４）。その際、ＳＳＯサーバ４０のトークンをＣｏｏｋｉｅ情報として送信する。例えばＳＡＭＬ連携を用いる場合、ＳＰサーバ７０はＳＡＭＬリクエストを付与して、ＳＳＯサーバ４０にリダイレクトする。
【００５３】
ＳＳＯサーバ４０は、トークンに基づいて、ユーザ端末１０が認証済みであることを確認すると、ＳＰサーバ７０へ認証済みであることを通知する（ステップＳ１５）。例えばＳＡＭＬ連携を用いる場合、ＳＳＯサーバ４０はＳＡＭＬアサーションを付与して、ＳＰサーバ７０にリダイレクトする。ステップＳ１５の後は、ＳＳＯが完了しているため、ユーザ端末１０は各クラウドサービスを利用することができる。
【００５４】
また、ＳＰサーバ７０が、クラウドサービスを提供するサーバでなく、個別にＷｅｂサービスを提供するＳＳＯ保護対象サーバ７０である場合、ユーザ端末１０は、直接ＳＳＯ保護対象サーバ７０に接続し、各Ｗｅｂサービスを利用することができる。また、トークンが所定のＷｅｂサービスに関するトークンである場合、ユーザ端末１０は、当該Ｗｅｂサービスを提供するＷｅｂサーバと直接通信して、当該Ｗｅｂサービスを利用することができる。
【００５５】
図５は、図４のステップＳ１−Ｓ１０のより詳細なシーケンスの一例を示す図である。ステップＳ１において、例えばユーザ端末１０は、ユーザＩＤ（ＩＤ）及びパスワード（ＰＷＤ）を送信する。
【００５６】
ステップＳ２において、ＷＬＣ２０は、ユーザ端末１０から送信されたＩＤ及びＰＷＤに加えて、ユーザ端末１０を特定するための特定情報をＲＡＤＩＵＳサーバ３０に送信する。ここで、特定情報は、例えばユーザ端末１０のＭＡＣ（Media  Access  Control）アドレス、ユーザ端末１０のシリアル番号、ユーザ端末１０を利用するユーザ名などの少なくとも１つであってもよい。以下では特定情報としてＭＡＣアドレス（図５では、「ClientMAC」で示される）を利用する場合を例に説明するが、これに限られない。なお、ＷＬＣ２０は、ＡＰを介して通信中のユーザ端末１０のＭＡＣアドレスを容易に取得することができる。
【００５７】
ステップＳ３では、ＲＡＤＩＵＳサーバ３０はＳＳＯサーバ４０に対して、ＳＳＯ（又はＷｅｂサービス）の認証処理に必要な情報（例えば、ログインに必要なＩＤ及びＰＷＤなどのアカウント情報）を送信する。ここで、無線ＬＡＮ用のアカウント（ＲＡＤＩＵＳ認証のアカウント）とＳＳＯ用のアカウント（及び／又はＷｅｂサービス用のアカウント）が同じである場合には、ＲＡＤＩＵＳサーバ３０は、ユーザ端末１０から送信されたＩＤ及びＰＷＤを送信することができる。
【００５８】
また、無線ＬＡＮ用のアカウントとＳＳＯ用のアカウントが異なる場合には、ＲＡＤＩＵＳサーバ３０は、ＩＤ及びＰＷＤの組、又は特定情報に基づいて、ＳＳＯ用のアカウントのＩＤ及びＰＷＤを取得し、取得されたＩＤ及びＰＷＤをＳＳＯサーバ４０に送信してもよい。
【００５９】
例えば、ＲＡＤＩＵＳサーバ３０は、無線ＬＡＮ用のアカウントとＳＳＯ用のアカウントとの対応関係に関する情報（例えば、参照テーブル）を保持してもよく、この場合、ＲＡＤＩＵＳサーバ３０は、当該参照テーブルと、ユーザ端末１０から受信した無線ＬＡＮ用アカウントに関する情報（例えば、ＩＤ、ＰＷＤなど）と、に基づいてＳＳＯ用のアカウントに関する情報（例えば、ＩＤ、ＰＷＤなど）を特定してもよい。
【００６０】
ステップＳ４にてトークンが発行された後、ステップＳ５では、ＲＡＤＩＵＳサーバ３０は、受信したトークンを、無線ＬＡＮ用のアカウント情報（ＩＤ及びＰＷＤ）及び特定情報の少なくとも１つとともに（関連付けて）登録（Register）する。図３の例では、ＲＡＤＩＵＳサーバ３０は、ＩＤ、ＭＡＣアドレス及びトークン（Token）をＤＢ５０に通知して登録させる。
【００６１】
ステップＳ６では、ＲＡＤＩＵＳサーバ３０は、認証応答とともに、リダイレクト先のポータルサーバ６０へのアクセスに必要な情報（例えば、アドレス、ＵＲＬ（Uniform  Resource  Locator））をＷＬＣ２０に送信することができる。なお、リダイレクト先のポータルサーバ６０のアドレスは、予めＷＬＣ２０に設定されるものとしてもよいが、ＲＡＤＩＵＳサーバ３０からの通知により更新可能とすることが好ましい。また、ＲＡＤＩＵＳサーバ３０は、ユーザ識別情報（例えば、ＩＤ、特定情報など）をＷＬＣ２０に送信してもよい。
【００６２】
ステップＳ７で無線接続が確立された後、例えばユーザ端末１０のユーザがブラウザを起動しＷｅｂアクセスを実施する（ここでは、Ｗｅｂページとして”www.test.com”にアクセスするものとするが、アクセス対象はこれに限られない）。ユーザ端末１０はＷｅｂ認証にてまだ認証されていないため、ＷＬＣ２０のＷｅｂ認証のリダイレクト機能により、ステップＳ６で指定されたＵＲＬ（ポータルサーバ６０）に強制的にリダイレクトされる（ステップＳ８−Ｓ９）。
【００６３】
この際、ユーザ端末１０がポータルサーバ６０に送信するＨＴＴＰ  ＧＥＴリクエストには、例えば、特定情報（client_mac）、ユーザ端末１０が接続するＡＰのＭＡＣアドレス（ap_mac）、ユーザの資格情報を記録するコントローラのＵＲＬ（switch_url（スイッチＵＲＬ））、認証に成功した後ユーザがリダイレクトされるＵＲＬ（redirect（リダイレクトＵＲＬ））、ユーザ端末１０が利用するＷＬＡＮのＳＳＩＤ（Service  Set  Identifier）（wlan）などが含まれてもよい。これらの情報は、ＵＲＬクエリ文字列（ＵＲＬパラメータ）として送信することができる。
【００６４】
ポータルサーバ６０は、ユーザ端末１０にバックグラウンドでＷｅｂ認証処理を行わせるための情報（例えば、スクリプト、パラメータなど）を返す。例えば、スイッチＵＲＬにはＷｅｂ認証のＵＲＬを指定し、リダイレクトＵＲＬにはＷｅｂ認証後にリダイレクトされるポータルサーバＵＲＬ（セッションを受け渡すためのＵＲＬ）を含めてもよい。
【００６５】
ユーザ端末１０は、Ｗｅｂ認証のため、ＷＬＣ２０にユーザ識別情報（例えば、ＩＤ、特定情報など）及びパスワードを送信する（ステップＳ１０）。ここでは、ユーザ識別情報としてユーザ名（uname）及びパスワード（pwd）を送信している。なお、リダイレクトＵＲＬを送信してもよい。
【００６６】
Ｗｅｂ認証を開始したＷＬＣ２０は、アカウンティング要求（RADIUS/Accounting-Request）をＲＡＤＩＵＳサーバ３０に送信する。アカウンティング要求には、アカウンティングステータス（「開始」を示す「START」）、アカウンティング対象のセッションＩＤ（Session-ID）及び特定情報（例えば、ユーザ端末１０のＭＡＣアドレス）を含めて送信してもよい。
【００６７】
ＲＡＤＩＵＳサーバ３０は、ユーザ端末１０が既にＲＡＤＩＵＳ認証に成功したと判断した（Ｗｅｂ認証処理に成功した）場合、ユーザ端末１０へのアカウンティング開始のステータスを示す情報（例えば、開始フラグ（Acct-Start-flag））をＤＢ５０に登録（格納、設定などともいう）する。ＲＡＤＩＵＳサーバ３０は、受信した特定情報に基づいて、開始フラグを登録する対象となるユーザ端末１０を判断してもよい。
【００６８】
また、ＲＡＤＩＵＳサーバ３０は、ＤＢ５０に対して、開始フラグを、セッションＩＤ及び／又は特定情報と関連付けて送信（登録）してもよい。登録に成功後、ＲＡＤＩＵＳサーバ３０は、アカウンティング応答（RADIUS/Accounting-Response）をＷＬＣ２０に送信する。ここで、Ｗｅｂ認証処理が完了する（ＷＬＣ２０のステータスが実行中（Run）となる）。
【００６９】
図６は、図４のステップＳ１０−Ｓ１２のより詳細なシーケンスの一例を示す図である。ＷＬＣ２０は、Ｗｅｂ認証処理が完了したため、ポータルサーバ６０に再度リダイレクトする（ステップＳ１０）。ポータルサーバ６０は、ＤＢ５０にアクセスして、特定情報に対応する情報を選択し、開始フラグが設定されているか及び／又はＳＳＯステータスを確認する。開始フラグが設定されている場合、ＳＳＯステータスを「開始」としてＤＢ５０に更新登録するようにしてもよい。また、特定情報に対応するＳＳＯトークンを取得する（ステップＳ１１）。
【００７０】
ポータルサーバ６０は、取得したトークンを、Ｃｏｏｋｉｅ情報としてユーザ端末１０に送信する（ステップＳ１２）。トークンを受信したユーザ端末１０は、ポータルサーバ６０に対して、所定のクラウドサービスのＷｅｂページ、ＷｅｂサービスのＷｅｂページ、又はユーザ端末１０がアクセス可能なクラウドサービス及び／又はＷｅｂサービスなどが列挙されたＷｅｂページ（ポータルページ、userhomeなどと呼ばれてもよい）のＧＥＴリクエストを送信してもよい。
【００７１】
以上説明した情報処理方法の実施形態によれば、無線ＬＡＮを利用するユーザは、無線ＬＡＮ接続時に一度認証を行うだけで、Ｗｅｂサービスやクラウドサービスを、ＩＤ及びパスワードの入力なしで利用することが可能となる。
【００７２】
特に、上記実施形態によれば、ＷＬＣ２０のＷｅｂ認証のリダイレクト機能を用いてポータルサーバ６０からのトークン取得処理を自動的に行うことができる。ＲＡＤＩＵＳサーバ３０がリダイレクト先のポータルサーバ６０のアドレス（ＵＲＬなど）をＷＬＣ２０に設定することができるため、例えばユーザ端末１０を利用するユーザがポータルサーバ６０のアドレスを事前に知らない場合であっても、接続する無線ＬＡＮサービス（ＷＬＣ２０）に応じて適切なポータルサーバ６０との通信を行うことができる。
【００７３】
また、一旦ＳＳＯ連携可能な無線ＬＡＮに接続し、当該無線ＬＡＮのアカウント情報を記憶したユーザ端末であれば、ユーザのＩＤ／ＰＷＤの入力処理を省くことができるため、ユーザのＷｅｂサービス利用に係る負担を大きく軽減することができる。
【００７４】
なお、上記図５−６のステップＳ１０−Ｓ１１により、ユーザ端末１０は、ブラウザによる初回Ｗｅｂアクセス時にトークンを取得できることが保証される。しかしながら、ステップＳ１０−Ｓ１１を省略してもよい。この場合、ステップＳ９の後、ポータルサーバ６０は、ユーザ端末１０の特定情報を利用して、ＤＢ５０からトークンを取得してもよい（ステップＳ１１’）。Ｗｅｂ認証処理を省略することで、トークン取得にかかる時間を短縮することができる。
【００７５】
ユーザ端末１０の無線接続が切断された場合には、ＳＳＯトークンを有効のまま（認証セッションを維持）としてもよいが、ＳＳＯトークンを無効とする（認証セッションを破棄する）ことが好ましい。
【００７６】
図７は、本発明の一実施形態に係る認証セッション無効化のシーケンスの一例を示す図である。ステータスが実行中（Run）であるＷＬＣ２０は、周期的及び／又は任意のタイミングで、ユーザ端末１０との無線通信が維持されているか否かを確認する。無線ＬＡＮ（Ｗｉ−Ｆｉ）が切断されている場合、ＷＬＣ２０は、これを検知する。
【００７７】
ＷＬＣ２０は、アカウンティング停止（RADIUS/Accounting-Request(Stop)）をＲＡＤＩＵＳサーバ３０に送信する。アカウンティング停止には、ＨＴＴＰのセッションＩＤ（Session-ID）を含めて送信してもよい。
【００７８】
ＲＡＤＩＵＳサーバ３０は、ＳＳＯサーバ４０に対して、ＲＥＳＴ  ＡＰＩを介してユーザ端末１０に対応するトークンについてのログアウトを指示する。ＳＳＯサーバ４０は、ログアウトに成功したことをＲＡＤＩＵＳサーバ３０に通知する。
【００７９】
ＲＡＤＩＵＳサーバ３０は、ＤＢ５０に対して、セッションＩＤを削除するように指示する。ＤＢ５０は、セッションＩＤの削除に成功したことをＲＡＤＩＵＳサーバ３０に通知する。
【００８０】
ＲＡＤＩＵＳサーバ３０は、ＷＬＣ２０に対して、アカウンティング返答（RADIUS/Accounting-Response）を送信する。ここで、認証セッションの無効化処理が完了する。なお、図５では、ＷＬＣ２０がユーザ端末１０の無線ＬＡＮ切断を契機に認証セッションの無効化処理を進める例を示したが、これに限られない。例えば、ユーザ端末１０が、ＷＬＣ２０に所定の信号を送信することにより、ＷＬＣ２０が当該ユーザ端末１０の認証セッションの無効化処理を実施するものとしてもよい。
【００８１】
なお、以上の実施形態では、ユーザ端末１０が無線ＬＡＮを利用するものとしたが、これに限られない。例えば、ユーザ端末が、有線ＬＡＮ、電話回線、他のネットワーク及び他のアクセス網の少なくとも１つのアカウントにログインする場合に、当該アカウントに基づいてＳＳＯ（又はＷｅｂサービス）のログイン処理を行うようにしてもよい。他のネットワークとしては、例えば、ＬＴＥ（Long  Term  Evolution）、ＬＴＥ−Ａ（LTE-Advanced）、ＧＳＭ（登録商標）（Global  System  for  Mobile  communications）、ＷＣＤＭＡ（登録商標）、ＣＤＭＡ２０００、ＩＥＥＥ  ８０２．１６（ＷｉＭＡＸ（登録商標））、ＩＥＥＥ  ８０２．２０、Ｂｌｕｅｔｏｏｔｈ（登録商標）、その他の無線通信方法及び／又はこれらに基づいて拡張された次世代通信方式に、上述のＳＳＯ認証連携方法を適用してもよい。
【００８２】
（機器の構成）
図８は、本発明の一実施形態に係るＲＡＤＩＵＳサーバ３０の機能構成の一例を示す図である。ＲＡＤＩＵＳサーバ３０は、制御部３１と、記憶部３２と、通信部３３と、入力部３４と、出力部３５と、を有する。なお、本例では、本実施形態における特徴部分の機能ブロックを主に示しており、ＲＡＤＩＵＳサーバ３０は、他の処理に必要な他の機能ブロックも有してもよい。また、一部の機能ブロックを含まない構成としてもよい。
【００８３】
制御部３１は、ＲＡＤＩＵＳサーバ３０の制御を実施する。制御部３１は、本発明に係る技術分野での共通認識に基づいて説明されるコントローラ、制御回路又は制御装置により構成することができる。
【００８４】
制御部３１は、本発明の一実施形態に係る認証処理部などを構成することができる。例えば、制御部３１は、ＷＬＣ２０からの通知に基づいて、ユーザ端末１０に関する通信サービス（例えば、無線通信）の認証処理を行う認証処理部として機能する制御を行ってもよい。また、当該認証処理部は、ユーザ端末１０（ＷＬＣ２０）からの通知に基づいて、当該ユーザ端末１０のＷｅｂ認証処理を行ってもよい。なお、当該通知は、ポータルサーバ６０からユーザ端末１０に送信された、Ｗｅｂ認証処理を行わせるための情報に基づいてもよい。
【００８５】
記憶部３２は、ＲＡＤＩＵＳサーバ３０で利用する情報を記憶（保持）する。例えば、記憶部３２は、ユーザ端末１０の特定情報や、トークンなどを記憶してもよい。記憶部３２は、例えば、本発明に係る技術分野での共通認識に基づいて説明されるメモリ、ストレージ、記憶装置などにより構成することができる。
【００８６】
通信部３３は、他の装置との間で種々の情報を通信する。通信部３３は、本発明に係る技術分野での共通認識に基づいて説明されるトランスミッター／レシーバー、送受信回路又は送受信装置により構成することができる。なお、通信部３３は、送信部及び受信部から構成されてもよい。
【００８７】
例えば通信部３３は、ユーザ端末１０に関する通信サービスの認証処理に成功した場合、ＳＳＯサーバ４０に対して、当該ユーザ端末１０に関するＷｅｂサービス（ＳＳＯ）の認証処理に必要な情報を送信し、当該必要な情報を用いて取得されたＷｅｂサービス（ＳＳＯ）の認証許可情報を受信してもよい。
【００８８】
通信部３３は、Ｗｅｂサービス（ＳＳＯ）の認証許可情報（トークン）をＤＢ５０に送信してもよい。また、通信部３３は、ＤＢ５０に格納されたトークンを取得するために用いられる所定の情報（ＵＲＬなど）を、ＷＬＣ２０に送信してもよい。
【００８９】
また、通信部３３は、ＷＬＣ２０から、ユーザ端末１０を特定するための特定情報（例えば、ＭＡＣアドレス）を受信し、ＳＳＯサーバ４０から受信したトークンを、当該特定情報と関連付けてＤＢ５０に送信してもよい。
【００９０】
また、通信部３３は、Ｗｅｂ認証処理に成功した場合、ユーザ端末１０へのアカウンティング開始のステータスを示す情報を、当該ユーザ端末１０の特定情報と関連付けてＤＢ５０に送信（登録）してもよい。
【００９１】
入力部３４は、ユーザからの操作により入力を受け付ける。また、入力部３４は、所定の機器や記憶媒体と接続され、データの入力を受け付けてもよい。入力部３４は、入力結果を例えば制御部３１に出力してもよい。
【００９２】
入力部３４は、本発明に係る技術分野での共通認識に基づいて説明されるキーボード、マウス、ボタンなどの入力装置、入力端子、入力回路などにより構成することができる。また、入力部３４は、表示部と一体となった構成（例えば、タッチパネル）としてもよい。
【００９３】
出力部３５は、種々の情報をユーザが認識できるように出力する。例えば、出力部３５は、画像を表示する表示部、音声を出力する音声出力部などを含んで構成されてもよい。表示部は、例えば、本発明に係る技術分野での共通認識に基づいて説明されるディスプレイ、モニタなどの表示装置により構成することができる。また、音声出力部は、本発明に係る技術分野での共通認識に基づいて説明されるスピーカーなどの出力装置により構成することができる。
【００９４】
出力部３５は、例えば、本発明に係る技術分野での共通認識に基づいて説明される演算器、演算回路、演算装置、プレイヤー、画像／映像／音声処理回路、画像／映像／音声処理装置、アンプなどを含んで構成することができる。
【００９５】
ユーザ端末１０、ＷＬＣ２０、ＳＳＯサーバ４０、ＤＢ５０、ポータルサーバ６０、ＳＰサーバ７０などについても、図８と同様の構成を有してもよい。例えば、ＷＬＣ２０の制御部は、通信サービスの認証処理に成功したユーザ端末１０からのＷｅｂアクセスに対して、ポータルサーバ６０へのリダイレクトを実施するように制御してもよい。ここで、当該リダイレクトの際は、ユーザ端末１０の特定情報をあわせて送信してもよい。また、ポータルサーバ６０の制御部は、当該リダイレクトに基づいて、ＤＢ５０からトークンを取得し、ユーザ端末１０に送信するように制御してもよい。
【００９６】
（ハードウェア構成）
なお、上記実施形態の説明に用いたブロック図は、機能単位のブロックを示している。これらの機能ブロック（構成部）は、ハードウェア及び／又はソフトウェアの任意の組み合わせによって実現される。また、各機能ブロックの実現手段は特に限定されない。すなわち、各機能ブロックは、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線又は無線で接続し、これら複数の装置により実現されてもよい。
【００９７】
例えば、本発明の一実施形態におけるＲＡＤＩＵＳサーバ３０などは、本発明の情報通信方法の処理を行うコンピュータとして機能してもよい。図９は、本発明の一実施形態に係るＲＡＤＩＵＳサーバ３０のハードウェア構成の一例を示す図である。上述のＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などは、物理的には、プロセッサ１００１、メモリ１００２、ストレージ１００３、通信装置１００４、入力装置１００５、出力装置１００６、バス１００７などを含むコンピュータ装置として構成されてもよい。
【００９８】
なお、以下の説明では、「装置」という文言は、回路、デバイス、ユニットなどに読み替えることができる。ＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などのハードウェア構成は、図に示した各装置を１つ又は複数含むように構成されてもよいし、一部の装置を含まずに構成されてもよい。
【００９９】
例えば、プロセッサ１００１は１つだけ図示されているが、複数のプロセッサがあってもよい。また、処理は、１のプロセッサで実行されてもよいし、処理が同時に、逐次に、又はその他の手法で、１以上のプロセッサで実行されてもよい。
【０１００】
ＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などにおける各機能は、プロセッサ１００１、メモリ１００２などのハードウェア上に所定のソフトウェア（プログラム）を読み込ませることで、プロセッサ１００１が演算を行い、通信装置１００４による通信や、メモリ１００２及びストレージ１００３におけるデータの読み出し及び／又は書き込みを制御することで実現される。
【０１０１】
プロセッサ１００１は、例えば、オペレーティングシステムを動作させてコンピュータ全体を制御する。プロセッサ１００１は、周辺装置とのインターフェース、制御装置、演算装置、レジスタなどを含む中央処理装置（ＣＰＵ：Central  Processing  Unit）で構成されてもよい。なお、上述の制御部１１などの各部は、プロセッサ１００１で実現されてもよい。プロセッサ１００１は、１以上のチップで実装されてもよい。
【０１０２】
また、プロセッサ１００１は、プログラム（プログラムコード）、ソフトウェアモジュールやデータを、ストレージ１００３及び／又は通信装置１００４からメモリ１００２に読み出し、これらに従って各種の処理を実行する。プログラムとしては、上述の実施形態で説明した動作の少なくとも一部をコンピュータに実行させるプログラムが用いられる。例えば、制御部１１は、メモリ１００２に格納され、プロセッサ１００１で動作する制御プログラムによって実現されてもよく、他の機能ブロックについても同様に実現されてもよい。
【０１０３】
メモリ１００２は、コンピュータ読み取り可能な記録媒体であり、例えば、ＲＯＭ（Read  Only  Memory）、ＥＰＲＯＭ（Erasable  Programmable  ROM）、ＥＥＰＲＯＭ（Electrically  EPROM）、ＲＡＭ（Random  Access  Memory）、その他の適切な記憶媒体の少なくとも１つで構成されてもよい。メモリ１００２は、レジスタ、キャッシュ、メインメモリ（主記憶装置）などと呼ばれてもよい。メモリ１００２は、本発明の一実施形態に係る情報処理方法を実施するために実行可能なプログラム（プログラムコード）、ソフトウェアモジュールなどを保存することができる。
【０１０４】
ストレージ１００３は、コンピュータ読み取り可能な記録媒体であり、例えば、フレキシブルディスク、フロッピー（登録商標）ディスク、光磁気ディスク（例えば、コンパクトディスク（ＣＤ−ＲＯＭ（Compact  Disc  ROM）など）、デジタル多用途ディスク、Ｂｌｕ−ｒａｙ（登録商標）ディスク）、リムーバブルディスク、ハードディスクドライブ、スマートカード、フラッシュメモリデバイス（例えば、カード、スティック、キードライブ）、磁気ストライプ、データベース、サーバ、その他の適切な記憶媒体の少なくとも１つで構成されてもよい。ストレージ１００３は、補助記憶装置と呼ばれてもよい。なお、上述の記憶部１２は、メモリ１００２及び／又はストレージ１００３で実現されてもよい。
【０１０５】
通信装置１００４は、有線及び／又は無線ネットワークを介してコンピュータ間の通信を行うためのハードウェア（送受信デバイス）であり、例えばネットワークデバイス、ネットワークコントローラ、ネットワークカード、通信モジュールなどともいう。なお、上述の通信部１３は、通信装置１００４で実現されてもよい。
【０１０６】
入力装置１００５は、外部からの入力を受け付ける入力デバイス（例えば、キーボード、マウスなど）である。出力装置１００６は、外部への出力を実施する出力デバイス（例えば、ディスプレイ、スピーカーなど）である。なお、入力装置１００５及び出力装置１００６は、一体となった構成（例えば、タッチパネル）であってもよい。なお、上述の入力部１４及び出力部１５は、それぞれ入力装置１００５及び出力装置１００６で実現されてもよい。
【０１０７】
また、プロセッサ１００１やメモリ１００２などの各装置は、情報を通信するためのバス１００７で接続される。バス１００７は、単一のバスで構成されてもよいし、装置間で異なるバスで構成されてもよい。
【０１０８】
また、ＲＡＤＩＵＳサーバ３０、ＳＳＯサーバ４０などは、マイクロプロセッサ、デジタル信号プロセッサ（ＤＳＰ：Digital  Signal  Processor）、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＰＬＤ（Programmable  Logic  Device）、ＦＰＧＡ（Field  Programmable  Gate  Array）などのハードウェアを含んで構成されてもよく、当該ハードウェアにより、各機能ブロックの一部又は全てが実現されてもよい。例えば、プロセッサ１００１は、これらのハードウェアの少なくとも１つで実装されてもよい。
【０１０９】
（変形例）
なお、本明細書で説明した用語及び／又は本明細書の理解に必要な用語については、同一の又は類似する意味を有する用語と置き換えてもよい。
【０１１０】
本明細書で説明した情報、パラメータなどは、絶対値で表されてもよいし、所定の値からの相対値で表されてもよいし、対応する別の情報で表されてもよい。また、本明細書においてパラメータなどに使用する名称は、いかなる点においても限定的なものではない。
【０１１１】
本明細書で説明した情報、信号などは、様々な異なる技術のいずれかを使用して表されてもよい。例えば、上記の説明全体に渡って言及され得るデータ、命令、コマンド、情報、信号、ビット、シンボル、チップなどは、電圧、電流、電磁波、磁界若しくは磁性粒子、光場若しくは光子、又はこれらの任意の組み合わせによって表されてもよい。
【０１１２】
情報、信号などは、複数のネットワークノードを介して入出力されてもよい。入出力された情報、信号などは、特定の場所（例えば、メモリ）に保存されてもよいし、テーブルで管理してもよい。入出力される情報、信号などは、上書き、更新又は追記をされ得る。出力された情報、信号などは、削除されてもよい。入力された情報、信号などは、他の装置へ送信されてもよい。
【０１１３】
また、所定の情報の通知（例えば、「Ｘであること」の通知）は、明示的に行うものに限られず、暗示的に（例えば、当該所定の情報の通知を行わないことによって又は別の情報の通知によって）行われてもよい。
【０１１４】
ソフトウェアは、ソフトウェア、ファームウェア、ミドルウェア、マイクロコード、ハードウェア記述言語と呼ばれるか、他の名称で呼ばれるかを問わず、命令、命令セット、コード、コードセグメント、プログラムコード、プログラム、サブプログラム、ソフトウェアモジュール、アプリケーション、ソフトウェアアプリケーション、ソフトウェアパッケージ、ルーチン、サブルーチン、オブジェクト、実行可能ファイル、実行スレッド、手順、機能などを意味するよう広く解釈されるべきである。
【０１１５】
また、ソフトウェア、命令、情報などは、伝送媒体を介して送受信されてもよい。例えば、ソフトウェアが、有線技術（同軸ケーブル、光ファイバケーブル、ツイストペア、デジタル加入者回線（ＤＳＬ：Digital  Subscriber  Line）など）及び／又は無線技術（赤外線、マイクロ波など）を使用してウェブサイト、サーバ、又は他のリモートソースから送信される場合、これらの有線技術及び／又は無線技術は、伝送媒体の定義内に含まれる。
【０１１６】
本明細書で使用する「システム」及び「ネットワーク」という用語は、互換的に使用される。
【０１１７】
本明細書で説明した各態様／実施形態は単独で用いてもよいし、組み合わせて用いてもよいし、実行に伴って切り替えて用いてもよい。また、本明細書で説明した各態様／実施形態の処理手順、シーケンス、フローチャートなどは、矛盾の無い限り、順序を入れ替えてもよい。例えば、本明細書で説明した方法については、例示的な順序で様々なステップの要素を提示しており、提示した特定の順序に限定されない。
【０１１８】
本明細書で使用する「に基づいて」という記載は、別段に明記されていない限り、「のみに基づいて」を意味しない。言い換えれば、「に基づいて」という記載は、「のみに基づいて」と「に少なくとも基づいて」の両方を意味する。
【０１１９】
以上、本発明について詳細に説明したが、当業者にとっては、本発明が本明細書中に説明した実施形態に限定されるものではないということは明らかである。本発明は、特許請求の範囲の記載により定まる本発明の趣旨及び範囲を逸脱することなく修正及び変更態様として実施することができる。したがって、本明細書の記載は、例示説明を目的とするものであり、本発明に対して何ら制限的な意味を有するものではない。
【符号の説明】
【０１２０】
１  情報処理システム
１０  ユーザ端末
２０  無線システム（ＡＰ／無線ＬＡＮコントローラ）
３０  認証サーバ（ＲＡＤＩＵＳサーバ）
４０  ＳＳＯサーバ
５０  データベース
６０  認証連携サーバ（ポータルサーバ）
７０  クラウドサービスプロバイダサーバ／ＳＳＯ保護対象サーバ
【図１】
2018018143.tif 000003
【図２】
2018018143.tif 000004
【図３】
2018018143.tif 000005
【図４】
2018018143.tif 000006
【図５】
2018018143.tif 000007
【図６】
2018018143.tif 000008
【図７】
2018018143.tif 000009
【図８】
2018018143.tif 000010
【図９】
2018018143.tif 000011
【手続補正書】
【提出日】平成29年11月21日(2017.11.21)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、
前記第４の装置は、前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部と、
前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
前記認証許可情報を前記第３の装置に送信する送信部と、を有し、
前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有し、
前記送信部は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
前記受信部は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記認証許可情報を、前記第２の装置から受信することを特徴とする情報処理システム。
【請求項２】
ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、
前記第４の装置は、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
前記認証許可情報を前記第３の装置に送信する送信部と、を有し、
前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有し、
前記第２の装置は、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部を有し、
前記送信部は、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報と、前記第１の装置からの通知に含まれる前記通信サービスの認証処理に必要な情報と、を送信し、
前記認証処理部は、前記通信サービスの認証処理に必要な情報に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行い、
前記受信部は、前記第２の装置において前記通信サービスの認証処理が成功した場合に、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記Ｗｅｂサービスの認証許可情報を、前記第２の装置から受信することを特徴とする請求項１に記載の情報処理システム。
【請求項３】
前記第１の装置は、前記通信サービスの認証処理に成功した前記ユーザ端末からのＷｅｂアクセスに対して、前記第５の装置へのリダイレクトを実施するように制御し、
前記第５の装置は、前記リダイレクトに基づいて、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信することを特徴とする請求項１又は請求項２に記載の情報処理システム。
【請求項４】
前記送信部は、前記第３の装置に格納された前記認証許可情報を取得するために用いられる所定の情報を、前記第１の装置に送信することを特徴とする請求項３に記載の情報処理システム。
【請求項５】
前記所定の情報は、前記第５の装置のＵＲＬ（Uniform  Resource  Locator）であり、
前記第１の装置は、前記通信サービスの認証処理に成功した前記ユーザ端末からのＷｅｂアクセスを、前記第５の装置のＵＲＬにリダイレクトするように制御することを特徴とする請求項４に記載の情報処理システム。
【請求項６】
前記受信部は、前記第１の装置から、前記ユーザ端末を特定するための特定情報を受信し、
前記送信部は、前記認証許可情報を、前記特定情報と関連付けて前記第３の装置に送信し、
前記第１の装置は、前記第５の装置へのリダイレクトの際に、前記特定情報を前記第５の装置に送信するように制御し、
前記第５の装置は、前記特定情報を用いて、前記第３の装置から前記認証許可情報を取得することを特徴とする請求項４又は請求項５に記載の情報処理システム。
【請求項７】
前記第５の装置は、前記ユーザ端末にＷｅｂ認証処理を行わせるための情報を送信し、
前記第４の装置は、当該情報に従って送信された通知に基づいて、前記Ｗｅｂ認証処理を行うことを特徴とする請求項６に記載の情報処理システム。
【請求項８】
前記送信部は、前記Ｗｅｂ認証処理に成功した場合、前記ユーザ端末へのアカウンティング開始のステータスを示す情報を、前記特定情報と関連付けて前記第３の装置に送信することを特徴とする請求項７に記載の情報処理システム。
【請求項９】
前記特定情報は、前記ユーザ端末のＭＡＣ（Media  Access  Control）アドレスであることを特徴とする請求項６から請求項８のいずれかに記載の情報処理システム。
【請求項１０】
前記通信サービスは、無線通信サービスであり、
当該無線通信サービスの認証処理としてＲＡＤＩＵＳ（Remote  Authentication  Dial  In  User  Service）認証が用いられることを特徴とする請求項１から請求項９のいずれかに記載の情報処理システム。
【請求項１１】
前記認証許可情報は、複数のＷｅｂサービスに関するシングルサインオン（ＳＳＯ：Single  Sign  On）のセッション情報であることを特徴とする請求項１から請求項１０のいずれかに記載の情報処理システム。
【請求項１２】
ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を用いる情報処理方法であって、
前記第４の装置は、前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う工程と、
前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信工程と、
前記認証許可情報を前記第３の装置に送信する送信工程と、
を有し、
前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う工程を有し、
前記送信工程は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
前記受信工程は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記認証許可情報を、前記第２の装置から受信することを特徴とする情報処理方法。
【請求項１３】
ユーザ端末に対して通信サービスを提供する第１の装置、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置、及びデータを格納する第３の装置、と通信する情報処理装置であって、
前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部と、
前記通信サービスの認証処理に成功した場合、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、
前記認証許可情報を前記第３の装置に送信する送信部と、を有し、
前記送信部は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、
前記受信部は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記認証許可情報を、前記第２の装置から受信することを特徴とする情報処理装置。
【請求項１４】
ユーザ端末に対して通信サービスを提供する第１の装置、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置、及びデータを格納する第３の装置、と通信する情報処理装置のコンピュータに、
前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う手順と、
前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信する手順と、
前記通信サービスの認証処理に成功した場合、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する手順と、
前記認証許可情報を前記第３の装置に送信する手順と、を実行させるためのプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００９
【補正方法】変更
【補正の内容】
【０００９】
本発明の一態様に係る情報処理システムは、ユーザ端末に対して通信サービスを提供する第１の装置と、当該ユーザ端末に対してＷｅｂサービスの認証処理を提供する第２の装置と、データを格納する第３の装置と、第１の装置、第２の装置及び第３の装置と通信する第４の装置と、前記ユーザ端末及び前記第３の装置と通信する第５の装置と、を有する情報処理システムであって、前記第４の装置は、前記第１の装置からの通知に基づいて、前記ユーザ端末に関する前記通信サービスの認証処理を行う認証処理部と、前記ユーザ端末に関する前記Ｗｅｂサービスの認証許可情報を前記第２の装置から受信する受信部と、前記認証許可情報を前記第３の装置に送信する送信部と、を有し、前記第５の装置は、前記第３の装置から前記認証許可情報を取得し、前記ユーザ端末に送信するための制御を行う制御部を有し、前記送信部は、前記通信サービスの認証処理に成功した場合、前記第２の装置に対して、前記Ｗｅｂサービスの認証処理に必要な情報を送信し、前記受信部は、前記Ｗｅｂサービスの認証処理に必要な情報を用いて取得された前記認証許可情報を、前記第２の装置から受信することを特徴とする。