(57)【要約】【課題】  様々な出力データフォーマットのリーダを一元サポートすることができる。【解決手段】  複合機は、ネットワークを介して、リーダによる読取データをユーザマネージャサーバ装置３に送信し、ユーザマネージャサーバ装置３は、複合機から読取データを受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を行い、ユーザ認証に成功したログインユーザについての認可情報をその複合機へ送信する。【選択図】  図３
2011193308.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続され、ユーザ識別情報を読み取り読取データを出力するリーダを有する画像形成装置と、
前記ネットワークに接続され、前記画像形成装置のログインユーザによる使用が許可される機能を特定する認可情報をその画像形成装置に提供するユーザマネージャサーバ装置とを備え、
前記画像形成装置は、前記リーダによる読取データを前記ユーザマネージャサーバ装置に送信し、
前記ユーザマネージャサーバ装置は、前記画像形成装置から前記読取データを受信し、受信した前記読取データのデータフォーマットを特定し、前記データフォーマットを所定のデータフォーマットに変換して前記読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を、前記ユーザマネージャサーバ装置内または認証サーバ装置で行い、ユーザ認証に成功した前記ログインユーザについての認可情報をその画像形成装置へ送信すること、
を特徴とする画像形成システム。
【請求項２】
ネットワークに接続され、ユーザ識別情報を読み取り読取データを出力するリーダを有する画像形成装置と、
前記ネットワークに接続され、前記画像形成装置のアプリケーションからの要求に応じた処理を実行するアプリケーションサーバ装置とを備え、
前記画像形成装置は、前記読取データを前記アプリケーションサーバ装置に送信し、
前記アプリケーションサーバ装置は、前記画像形成装置から前記読取データを受信し、受信した前記読取データのデータフォーマットを特定し、前記データフォーマットを所定のデータフォーマットに変換して前記読取データに対応するＩＤを特定し、そのＩＤの認証に成功した場合のみ、前記画像形成装置のアプリケーションからの要求に応じた処理を実行すること、
を特徴とする画像形成システム。
【請求項３】
ログインユーザによる使用が許可される機能を特定する認可情報を画像形成装置へ提供するユーザマネージャサーバ装置において、
ネットワークに接続されるネットワークインタフェースと、
前記ネットワークインタフェースを使用して、前記画像形成装置におけるユーザ識別情報読取用リーダから出力された読取データを前記画像形成装置から受信し、受信した前記読取データのデータフォーマットを特定し、前記データフォーマットを所定のデータフォーマットに変換して前記読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を、当該ユーザマネージャサーバ装置内または認証サーバ装置で行うユーザ認証処理部と、
ユーザ認証に成功した前記ログインユーザについての認可情報をその画像形成装置へ送信する認可処理部と、
を備えることを特徴とするユーザマネージャサーバ装置。
【請求項４】
前記ユーザ認証処理部は、前記データフォーマットを示すデータタイプ情報を前記画像形成装置から受信し、受信した前記データタイプ情報から前記読取データのデータフォーマットを特定することを特徴とする請求項３記載のユーザマネージャサーバ装置。
【請求項５】
前記読取データは、暗号化されており、
前記ユーザ認証処理部は、前記データタイプ情報に基づいて前記読取データを復号すること、
を特徴とする請求項４記載のユーザマネージャサーバ装置。
【請求項６】
前記ユーザ識別情報は、ＩＤカードのカードＩＤであり、
前記ユーザ認証処理部は、データフォーマット変換後の前記読取データからカードＩＤを特定し、そのカードＩＤに対応するユーザＩＤを特定すること、
を特徴とする請求項３記載のユーザマネージャサーバ装置。
【請求項７】
画像形成装置のアプリケーションからの要求に応じた処理を実行するアプリケーションサーバ装置において、
ネットワークに接続されるネットワークインタフェースと、
前記ネットワークインタフェースを使用して、前記画像形成装置におけるユーザ識別情報読取用リーダから出力された読取データを前記画像形成装置から受信し、受信した前記読取データのデータフォーマットを特定し、前記データフォーマットを所定のデータフォーマットに変換して前記読取データに対応するＩＤを特定し、そのＩＤの認証を行う認証処理部と、
そのＩＤの認証に成功した場合のみ、前記画像形成装置のアプリケーションからの要求に応じた処理を実行する処理実行部と、
を備えることを特徴とするアプリケーションサーバ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像形成システム、ユーザマネージャサーバ装置、およびアプリケーションサーバ装置に関するものである。
【背景技術】
【０００２】
近年、ネットワークシステムにおけるユーザや機器を管理するために、アクティブディレクトリ、ｅディレクトリなどといったディレクトリサービスが導入されている。プリンタ、コピー機、複合機などの画像形成装置にはネットワーク機能を有しているものがあり、現在、そのようなディレクトリサービスでユーザやグループ（部門）の管理を行うことができる。ディレクトリサービスでユーザ管理を行う場合、通常、画像形成装置に対してログイン操作を行ったユーザのユーザ認証が、ディレクトリサービスのサーバ装置で行われる。
【０００３】
他方、画像形成装置において、各種機能のうち、ログインユーザに許可された機能のみが使用可能とする認可処理が行われることがある。通常、認可処理では、各ユーザについて、使用が許可される機能（または使用が禁止される機能）を指定する認可情報が画像形成装置に予め設定されており、その認可情報に従って、ログインユーザが使用する機能が制限される。また、ユーザごとの認可情報を有する中間サーバ装置を使用して、ログインユーザの認可情報を画像形成装置に提供するシステムもある（例えば特許文献１参照）。
【０００４】
また、ログイン時のユーザ認証の方法として、画像形成装置にカードリーダを設け、ユーザがＩＤカードを携帯し、画像形成装置にログインする際にユーザがそのＩＤカードをカードリーダに提示し、画像形成装置が、そのＩＤカードからユーザＩＤを読み取ってユーザ認証を行う方法もある。この場合、画像形成装置では、規定の出力データフォーマット（文字列データ、１６進データなど）でそのカードリーダから出力される読取データを解釈し、ユーザＩＤなどを取得する。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００８−１４００６７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
上述のように、画像形成装置にカードリーダを内蔵するか、あるいは接続する場合、画像形成装置では、そのカードリーダの出力データフォーマットに合わせて読取データを処理するドライバなどが画像形成装置に内蔵されるため、カードリーダを交換したり、画像形成装置に新たにカードリーダを接続するときに、交換または接続するカードリーダの機種がその出力データフォーマットのものに制限されてしまう。
【０００７】
また、カードリーダに合わせてドライバを更新することも考えられるが、多数の画像形成装置が接続されているシステムでは、画像形成装置ごとについてドライバの更新を行う必要があり、開発効率がよくない。さらに、ディレクトリサービスのサーバ装置でユーザ認証を行う場合、カードリーダで取得されたユーザＩＤのデータフォーマットが、そのサーバ装置に適合するフォーマットとは異なるときには、データフォーマットの変換が必要になるため、同様に、画像形成装置ごとについてドライバの更新を行う必要があり、現実的ではない。
【０００８】
本発明は、上記の問題に鑑みてなされたものであり、様々な出力データフォーマットのリーダを一元サポートすることができる画像形成システム、並びにその画像形成システムに使用可能なユーザマネージャサーバ装置およびアプリケーションサーバ装置を得ることを目的とする。
【課題を解決するための手段】
【０００９】
上記の課題を解決するために、本発明では以下のようにした。
【００１０】
本発明に係る画像形成システムは、ネットワークに接続され、ユーザ識別情報を読み取り読取データを出力するリーダを有する画像形成装置と、ネットワークに接続され、画像形成装置のログインユーザによる使用が許可される機能を特定する認可情報をその画像形成装置に提供するユーザマネージャサーバ装置とを備える。そして、画像形成装置は、リーダによる読取データをユーザマネージャサーバ装置に送信し、ユーザマネージャサーバ装置は、画像形成装置から読取データを受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を、当該ユーザマネージャサーバ装置内または認証サーバ装置で行い、ユーザ認証に成功したログインユーザについての認可情報をその画像形成装置へ送信する。
【００１１】
これにより、ユーザマネージャサーバ装置でリーダの読取データのフォーマット変換を行うため、画像形成装置内では読取データの加工を行う必要がなく、画像形成装置において、様々な出力データフォーマットのリーダを使用することができる。
【００１２】
本発明に係る画像形成システムは、ネットワークに接続され、ユーザ識別情報を読み取り読取データを出力するリーダを有する画像形成装置と、ネットワークに接続され、画像形成装置のアプリケーションからの要求に応じた処理を実行するアプリケーションサーバ装置とを備える。そして、画像形成装置は、読取データをアプリケーションサーバ装置に送信し、アプリケーションサーバ装置は、画像形成装置から読取データを受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するＩＤを特定し、そのＩＤの認証に成功した場合のみ、画像形成装置のアプリケーションからの要求に応じた処理を実行する。
【００１３】
これにより、アプリケーションサーバ装置でリーダの読取データのフォーマット変換を行うため、画像形成装置内では読取データの加工を行う必要がなく、画像形成装置において、様々な出力データフォーマットのリーダを使用することができる。
【００１４】
本発明に係るユーザマネージャサーバ装置は、ネットワークに接続されるネットワークインタフェースと、ネットワークインタフェースを使用して、画像形成装置におけるユーザ識別情報読取用リーダから出力された読取データを画像形成装置から受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を、当該ユーザマネージャサーバ装置内または認証サーバ装置で行うユーザ認証処理部と、ユーザ認証に成功したログインユーザについての認可情報をその画像形成装置へ送信する認可処理部とを備える。
【００１５】
これにより、ユーザマネージャサーバ装置でリーダの読取データのフォーマット変換を行うため、画像形成装置内では読取データの加工を行う必要がなく、画像形成装置において、様々な出力データフォーマットのリーダを使用することができる。
【００１６】
また、本発明に係るユーザマネージャサーバ装置は、上記のユーザマネージャサーバ装置に加え、次のようにしてもよい。この場合、ユーザ認証処理部は、データフォーマットを示すデータタイプ情報を画像形成装置から受信し、受信したデータタイプ情報から読取データのデータフォーマットを特定する。
【００１７】
これにより、ユーザマネージャサーバ装置において、リーダによる読取データのデータフォーマットの種別が正確に特定される。
【００１８】
また、本発明に係るユーザマネージャサーバ装置は、上記のユーザマネージャサーバ装置のいずれかに加え、次のようにしてもよい。この場合、読取データは、暗号化されており、ユーザ認証処理部は、データタイプ情報に基づいて読取データを復号する。
【００１９】
これにより、データタイプ情報により指定される方式等で、読取データが正確に復号される。
【００２０】
また、本発明に係るユーザマネージャサーバ装置は、上記のユーザマネージャサーバ装置のいずれかに加え、次のようにしてもよい。この場合、ユーザ識別情報は、ＩＤカードのカードＩＤであり、ユーザ認証処理部は、データフォーマット変換後の読取データからカードＩＤを特定し、そのカードＩＤに対応するユーザＩＤを特定する。
【００２１】
本発明に係るアプリケーションサーバ装置は、ネットワークに接続されるネットワークインタフェースと、ネットワークインタフェースを使用して、画像形成装置におけるユーザ識別情報読取用リーダから出力された読取データを画像形成装置から受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するＩＤを特定し、そのＩＤの認証を行う認証処理部と、そのＩＤの認証に成功した場合のみ、画像形成装置のアプリケーションからの要求に応じた処理を実行する処理実行部とを備える。
【００２２】
これにより、アプリケーションサーバ装置でリーダの読取データのフォーマット変換を行うため、画像形成装置内では読取データの加工を行う必要がなく、画像形成装置において、様々な出力データフォーマットのリーダを使用することができる。
【発明の効果】
【００２３】
本発明によれば、様々な出力データフォーマットのリーダを一元サポートすることができる。また、サーバ側の拡張性および開発効率が向上する。
【図面の簡単な説明】
【００２４】
【図１】図１は、本発明の実施の形態１に係る画像形成システムの構成を示すブロック図である。
【図２】図２は、図１における複合機の構成を示すブロック図である。
【図３】図３は、図１におけるユーザマネージャサーバ装置の構成を示すブロック図である。
【図４】図４は、図３における認可ポリシーデータの構成例を示す図である。
【図５】図５は、図１におけるディレクトリサーバ装置の構成を示すブロック図である。
【図６】図６は、図１に示すシステムにおいて、複合機へユーザがログインしたときの各装置の動作について説明するシーケンス図である。
【図７】図７は、本発明の実施の形態２に係る画像形成システムの構成を示すブロック図である。
【図８】図８は、図７におけるアプリケーションサーバ装置の構成を示すブロック図である。
【図９】図９は、図７に示すシステムにおいて、複合機からアプリケーションサーバ装置への処理要求を行うときの各装置の動作について説明するシーケンス図である。
【発明を実施するための形態】
【００２５】
以下、図に基づいて本発明の実施の形態を説明する。
【００２６】
実施の形態１．
【００２７】
図１は、本発明の実施の形態に係る画像形成システムの構成を示すブロック図である。図１に示すシステムでは、複数の複合機１Ａ，１Ｂおよびプリンタ１Ｃがネットワーク２に接続されており、さらに、そのネットワーク２にユーザマネージャサーバ装置３およびディレクトリサーバ装置４が接続されている。
【００２８】
複合機１Ａは、プリンタ機能、スキャナ機能、コピー機能、ファクシミリ機能などを備え、複合機１Ａ上の操作パネル、ネットワーク２に接続されたホスト装置などからの指令に従って上述の機能で各種ジョブを実行する画像形成装置である。複合機１Ｂも同様の装置である。また、プリンタ１Ｃも、複合機１Ａ，１Ｂと同様に画像形成装置であるが、スキャナ機能、コピー機能およびファクシミリ機能を有さない。以下では、複合機１Ａ，１Ｂが画像形成装置として機能する場合について主に説明するが、プリンタ１Ｃも同様に画像形成装置として機能させることが可能である。
【００２９】
ユーザマネージャサーバ装置３は、複合機１Ａ，１Ｂからのユーザ認証要求の受け付け、および複合機１Ａ，１Ｂへのログインユーザについての認可情報の提供を行うサーバ装置である。また、ディレクトリサーバ装置４は、アクティブディレクトリ、ｅディレクトリなどのディレクトリサービスを提供するサーバ装置である。
【００３０】
図２は、図１における複合機１Ａの構成を示すブロック図である。なお、複合機１Ｂも同様の構成を有する。複合機１Ａは、操作パネル２１、モデム２２、ネットワークインタフェース２３、プリンタ２４、スキャナ２５および制御装置２６を有する。
【００３１】
操作パネル２１は、複合機１Ａの筐体に設置され、ユーザに各種情報を表示する表示装置２１ａおよびユーザ操作を受け付ける入力装置２１ｂを有する。表示装置２１ａは、例えば、液晶ディスプレイ、各種インジケータなどである。入力装置２１ｂは、例えば、タッチパネル、キースイッチなどである。
【００３２】
また、モデム２２は、公衆交換電話網（ＰＳＴＮ）などの加入電話回線ネットワークに接続可能であり、ファクシミリデータの送受を行う通信装置である。
【００３３】
また、ネットワークインタフェース２３は、有線または無線のコンピュータネットワーク２に接続可能であり、ネットワーク２に接続されている他の装置（サーバ装置３、図示せぬホスト装置など）との間でデータ通信を行う装置である。
【００３４】
また、プリンタ２４は、印刷要求に従って用紙に印刷を行い印刷物を排出する内部装置である。電子写真方式の場合、プリンタ２４は、感光体ドラムを帯電させた後、印刷データに基づいて光源を発光させることにより、感光体ドラム表面に静電潜像を形成し、この静電潜像をトナーで現像し、トナー画像を用紙に転写し定着し、その用紙を印刷物として排出する。
【００３５】
また、スキャナ２５は、自動原稿給紙装置により給紙されてきた原稿またはユーザにより載置された原稿の片面または両面に対して光を照射しその反射光等を受光して原稿の画像を読み取り画像データとして出力する内部装置である。
【００３６】
また、リーダ２７は、ユーザ識別情報を読み取り読取データを出力する装置であり、複合機１Ａ内に設けられていてもよいし、周辺機器として接続されていてもよい。この実施の形態では、リーダ２７は、磁気カード、ＩＣカードなどのＩＤカードから、ユーザ識別情報を読み取り、そのユーザ識別情報を含む読取データを所定の出力データフォーマット（文字列、１６進などのうちのいずれか１つ）で出力するカードリーダである。なお、リーダ２７は、ユーザの生体情報（指紋など）を読み取るリーダでもよい。その場合、その生体情報から得られる特徴量がユーザ識別情報として使用される。リーダ２７は、接触式であってもよいし、非接触式であってもよい。
【００３７】
また、制御装置２６は、複合機１Ａにおける各部を制御するとともに、データ処理を行う装置である。制御装置２６は、例えばＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）などを有するコンピュータとして構成される。制御装置２６において、ＣＰＵが、ＲＯＭや他の記憶装置（フラッシュメモリなど）に記憶されているプログラムをＲＡＭにロードして実行することで各種処理部を実現する。この制御装置２６では、ＦＡＸ通信部３１、ネットワーク通信部３２、制御部３３、および判定部３４が実現される。
【００３８】
ＦＡＸ通信部３１は、モデム２２を制御し、ファクシミリデータを受信する処理部である。ＦＡＸ通信部３１は、ファクシミリデータを受信すると、印刷要求を判定部３４に供給する。
【００３９】
ネットワーク通信部３２は、ネットワークインタフェース２３を制御し、各種通信プロトコルでネットワーク２上の装置との間でデータ通信を行う処理部である。例えば、ネットワーク通信部３２は、ユーザログイン時にリーダ２７から出力された読取データをユーザマネージャサーバ装置３へ送信し、ユーザマネージャサーバ装置３からログインユーザの認可情報を受信する。また、例えば、ネットワーク通信部３２は、ホストコンピュータから印刷要求（ＰＤＬ（Page Description Language）データなど）を受信し、その印刷要求を制御部３３に供給する。
【００４０】
制御部３３は、操作パネル２１へのユーザ操作によるジョブ要求、またはネットワークインタフェース２３およびネットワーク通信部３２によりホスト装置から受信されたジョブ要求を受け付け、複合機１Ａ内の各部を制御して、そのジョブ要求に対応するジョブを実行する処理部である。ジョブ要求としては、印刷要求、スキャン要求、ファクシミリ送信要求などがある。また、制御部３３は、ログイン操作があると、リーダ２７から読取データを取得し、フォーマット変換せずにそのままネットワーク通信部３２を使用して送信し、ユーザ認証、認可情報などをユーザマネージャサーバ装置３に要求する。この実施の形態では、読取データとともに、読取データのデータフォーマットを示すデータタイプ情報が送信される。
【００４１】
判定部３４は、ネットワークインタフェース２３およびネットワーク通信部３２により、ユーザマネージャサーバ装置３から受信された、ログインユーザについての認可情報に基づいて、この複合機１Ａの有する機能のうち、ログインユーザによる使用を禁止する機能（または許可する機能）を特定し、各機能について使用を許可するか否かを示すデータを例えばＲＡＭ上に保持する処理部である。制御部３３は、そのデータを参照して、ログインユーザによる複合機１Ａの使用を制限する。例えば、ログインユーザに対してカラーコピー機能の使用が制限される場合、操作パネル２１において、カラーコピーが選択できないようにコピー機能のメニューが表示される（例えば、モノクロ／カラーのうちのカラーの選択ボタンがグレイアウトされる）。
【００４２】
このように、複合機１Ａ，１Ｂは構成される。
【００４３】
図３は、図１におけるユーザマネージャサーバ装置３の構成を示すブロック図である。ユーザマネージャサーバ装置３は、記憶装置４１、ネットワークインタフェース４２、および演算処理装置４３を有する。
【００４４】
記憶装置４１は、プログラムやデータを記憶する装置である。記憶装置４１には、不揮発性半導体メモリ、ハードディスクドライブなどが使用される。記憶装置４１には、認可ポリシーデータ５１、ローカルユーザデータ５２およびローカルグループデータ５３が記憶されている。
【００４５】
認可ポリシーデータ５１は、複合機１Ａ，１Ｂのログインユーザによる使用が許可される機能を特定するために使用される認可情報を含むデータである。認可ポリシーデータ５１には、ユーザについての認可情報と、グループについての認可情報とを含むことができる。ユーザについての認可情報は、そのユーザに対して適用される認可情報であり、グループについての認可情報は、そのグループに属するユーザに対して適用される認可情報である。また、認可ポリシーデータ５１には、ユーザについての認可情報として、ディレクトリサーバ装置４に登録されているドメインユーザについての認可情報と、このユーザマネージャサーバ装置３に登録されているローカルユーザについての認可情報とを含めることができる。また、認可ポリシーデータ５１には、グループについての認可情報として、ディレクトリサーバ装置４に登録されているドメイングループについての認可情報と、このユーザマネージャサーバ装置３に登録されているローカルグループについての認可情報とを含めることができる。ユーザについての認可情報は、ユーザＩＤ、およびそのユーザについて使用が許可（または禁止）される機能の情報（例えば機能のＩＤ）を含む。グループについての認可情報は、グループＩＤ、およびそのグループに属するユーザについて使用が許可（または禁止）される機能の情報（例えば機能のＩＤ）を含む。例えば、使用が許可（または禁止）される機能は、印刷、スキャン、コピー、ファクシミリ送信などの大項目の他、各大項目に付随する小項目（例えばカラー／モノクロ選択機能）を含む。
【００４６】
図４は、図３における認可ポリシーデータ５１の構成例を示す図である。
【００４７】
図４に示す認可ポリシーデータ５１では、ドメイングループＡは、ドメインユーザＡ，Ｂ，Ｃ，Ｄを含み、ローカルグループＡは、ローカルユーザＡ，ＢおよびドメインユーザＢ，Ｄを含む。そして、ドメイングループＡについて認可ポリシー＃１（認可情報を含むポリシーデータ）が設定されており、ドメイングループＡに属するドメインユーザＡについて認可ポリシー＃２が設定されており、ローカルグループＡについて認可ポリシー＃３が設定されており、ローカルグループＡに属するローカルユーザＡについて認可ポリシー＃４が設定されており、ドメイングループＡに属するドメインユーザＢについて認可ポリシー＃５が設定されており、ドメインユーザＥについて認可ポリシー＃６が設定されており、ローカルユーザＣについて認可ポリシー＃７が設定されている。
【００４８】
ローカルユーザデータ５２は、ローカルユーザの登録情報（ユーザＩＤおよびパスワード）を含むデータである。ローカルユーザは、ディレクトリサーバ装置４に登録されているドメインユーザとは別に、このユーザマネージャ装置３に登録されているユーザである。
【００４９】
ローカルグループデータ５３は、ローカルグループの登録情報（グループＩＤ、およびグループに属するユーザのユーザＩＤ）を含むデータである。ローカルグループは、ディレクトリサーバ装置４に登録されているドメインユーザとは別に、このユーザマネージャ装置３に登録されているグループである。ローカルグループには、ローカルユーザと、ドメインユーザとを含めることができる。つまり、ローカルユーザのみからなるローカルグループ、ドメインユーザのみからなるローカルグループ、およびローカルユーザおよびドメインユーザからなるローカルグループが設定可能である。
【００５０】
また、ネットワークインタフェース４２は、有線または無線のコンピュータネットワーク２に接続可能であり、ネットワーク２に接続されている他の装置（複合機１Ａ，１Ｂ、サーバ装置４など）との間でデータ通信を行う装置である。
【００５１】
また、演算処理装置４３は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを有するコンピュータとして構成され、ＲＯＭまたは記憶装置４１に記憶されているプログラムをＲＡＭにロードし、ＣＰＵで実行することにより各種処理部を実現する。この演算処理装置４３では、ネットワーク通信部６１、ユーザ認証処理部６２、および認可処理部６３が実現される。
【００５２】
ネットワーク通信部６１は、ネットワークインタフェース４２を制御し、各種通信プロトコルでネットワーク２上の装置との間でデータ通信を行う処理部である。例えば、ネットワーク通信部６１は、ログイン時のリーダ２７による読取データを複合機１Ａから受信し、そのユーザについての認可情報をその複合機１Ａへ送信する。また、例えば、ネットワーク通信部６１は、ユーザ認証要求をディレクトリサーバ装置４へ送信し、その認証結果およびユーザ情報をディレクトリサーバ装置４から受信する。
【００５３】
ユーザ認証処理部６２は、ネットワークインタフェース４２およびネットワーク通信部６１を使用して、ユーザ識別情報読取用リーダ２７から出力された読取データをその読取データのデータタイプ情報とともに複合機１Ａ（または複合機１Ｂ）から受信し、受信した読取データのデータフォーマットをデータタイプ情報からデータフォーマット判定部６２ａで特定し、フォーマット変換部６２ｂでデータフォーマットを所定のデータフォーマットに（例えば１６進を文字列に）変換して読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を行う処理部である。ユーザ認証処理部６２は、複合機１Ａ，１Ｂのログインユーザの認証を、複合機１Ａ内のローカルユーザデータ５２で、またはネットワークインタフェース４２を使用してディレクトリサーバ装置４などの認証サーバ装置で行う。
【００５４】
なお、リーダ２７から出力される読取データが暗号化されている場合、ユーザ認証処理部６２は、データタイプ情報により暗号化方式を特定し、その暗号化方式に対応する復号方式で読取データを復号する。
【００５５】
認可処理部６３は、ユーザ認証に成功した、複合機１Ａ（または複合機１Ｂ）のログインユーザについての認可情報を認可ポリシーデータ５１から抽出し、その複合機１Ａ（または複合機１Ｂ）へ送信する処理部である。この実施の形態では、認可処理部６３は、ユーザ認証に成功した、複合機１Ａ（または複合機１Ｂ）のログインユーザがローカルグループに属する場合、そのローカルグループに対する認可情報を、認可ポリシーデータ５１から抽出して、そのログインユーザについての認可情報としてネットワークインタフェース４２を使用して複合機１Ａ（または複合機１Ｂ）へ送信し、ユーザ認証に成功したログインユーザがローカルグループに属さない場合、そのログインユーザの属するドメイングループまたはそのユーザ（ドメインユーザまたはローカルユーザ）に対する認可情報を、認可ポリシーデータ５１から抽出して、そのログインユーザについての認可情報としてネットワークインタフェース４２を使用して複合機１Ａ（または複合機１Ｂ）へ送信する。
【００５６】
例えば図４に示す認可ポリシーデータ５１の場合、ドメインユーザＡが複合機１Ａにログインすると、認可ポリシー＃２および認可ポリシー＃１が複合機１Ａに送信される。なお、ユーザおよびグループの認可ポリシー（ここでは認可ポリシー＃２および認可ポリシー＃１）において競合する認可設定がある場合には、グループまたはユーザのうちの所定の認可ポリシーの設定が適用される。また、その場合、ドメインユーザＢが複合機１Ａにログインすると、認可ポリシー＃５、認可ポリシー＃３および認可ポリシー＃１が複合機１Ａに送信される。なお、ドメイングループおよびローカルグループの認可ポリシー（ここでは認可ポリシー＃１および認可ポリシー＃３）において競合する認可設定がある場合には、ドメイングループまたはローカルユーザのうちの所定の認可ポリシーの設定が適用される。また、その場合、ドメインユーザＣが複合機１Ａにログインすると、認可ポリシー＃１が複合機１Ａに送信される。また、その場合、ドメインユーザＤが複合機１Ａにログインすると、認可ポリシー＃１および認可ポリシー＃３が複合機１Ａに送信される。また、その場合、ドメインユーザＥが複合機１Ａにログインすると、認可ポリシー＃６が複合機１Ａに送信される。また、その場合、ローカルユーザＡが複合機１Ａにログインすると、認可ポリシー＃４および認可ポリシー＃３が複合機１Ａに送信される。また、その場合、ローカルユーザＢが複合機１Ａにログインすると、認可ポリシー＃３が複合機１Ａに送信される。また、その場合、ローカルユーザＣが複合機１Ａにログインすると、認可ポリシー＃７が複合機１Ａに送信される。
【００５７】
なお、あるログインユーザに適用すべき認可ポリシーが複数ある場合、サーバ装置３において、認可処理部６３が、それらの認可ポリシーを結合して１つの認可ポリシーを生成し、その生成した認可ポリシーを送信するようにしてもよい。その場合、複数の認可ポリシーで競合する設定項目については、所定のルールに従って選択されるいずれかの認可ポリシーが適用される。
【００５８】
このように、ユーザマネージャサーバ装置３は構成される。
【００５９】
図５は、図１におけるディレクトリサーバ装置４の構成を示すブロック図である。ディレクトリサーバ装置４は、記憶装置７１、ネットワークインタフェース７２、および演算処理装置７３を有する。
【００６０】
記憶装置７１は、プログラムやデータを記憶する装置である。記憶装置７１には、不揮発性半導体メモリ、ハードディスクドライブなどが使用される。記憶装置７１には、ディレクトリサービスのデータベース９１が構築されており、データベース９１には、ユーザデータ９１ａおよびグループデータ９１ｂが含まれる。ユーザデータ９１ａには、ユーザＩＤ、パスワード、およびユーザ情報（連絡先となる電話番号、ファクシミリ番号、電子メールアドレス、その他の属性情報）が含まれる。グループデータ９１ｂには、グループＩＤ、グループに属するユーザのユーザＩＤリストおよびグループ情報（連絡先、責任者、その他の属性情報）が含まれる。
【００６１】
ネットワークインタフェース７２は、有線または無線のコンピュータネットワーク２に接続可能であり、ネットワーク２に接続されている他の装置（サーバ装置３など）との間でデータ通信を行う装置である。
【００６２】
演算処理装置７３は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを有するコンピュータとして構成され、ＲＯＭまたは記憶装置７１に記憶されているプログラムをＲＡＭにロードし、ＣＰＵで実行することにより各種処理部を実現する。この演算処理装置７３では、ネットワーク通信部８１、およびディレクトリサービス処理部８２が実現される。
【００６３】
ネットワーク通信部８１は、ネットワークインタフェース７２を制御し、各種通信プロトコルでネットワーク２上の装置との間でデータ通信を行う処理部である。例えば、ネットワーク通信部８１は、ユーザ認証要求を受信し、その認証結果およびユーザ情報を送信する。
【００６４】
ディレクトリサービス処理部８２は、ドメインユーザおよびドメイングループを管理する処理部である。ディレクトリサービス処理部８２は、ドメインユーザおよびドメイングループの登録および削除、ユーザ認証、ドメインユーザのユーザ情報およびドメイングループのグループ情報の提供などを行う。ユーザ認証には、ＬＤＡＰ（Lightweight Directory Access Protocol）認証、ケルベロス認証などが使用される。ディレクトリサービスがアクティブディレクトリである場合、ディレクトリサービス処理部８２は、ドメインコントローラとして動作する。
【００６５】
このように、ディレクトリサーバ装置４は構成される。
【００６６】
次に、上記システムにおいて、複合機１Ａへユーザがログインしたときの各装置の動作について説明する。図６は、図１に示すシステムにおいて、複合機１Ａへユーザがログインしたときの各装置の動作について説明するシーケンス図である。なお、複合機１Ｂへユーザがログインしたときも同様に各装置が動作する。
【００６７】
複合機１Ａのリーダ２７がＩＤカードを検出し、そのＩＤカードからユーザ識別情報を読み出し、所定のデータフォーマットで読取データを出力すると（ステップＳ１）、制御部３３は、その読取データを受け付け、データタイプ情報とともに、ネットワーク通信部３２およびネットワークインタフェース２３を使用してユーザマネージャサーバ装置３へ送信する（ステップＳ２）。
【００６８】
ユーザマネージャサーバ装置３では、ユーザ認証処理部６２が、ネットワーク通信部６１およびネットワークインタフェース４２を使用して、その読取データとデータタイプ情報を受信し、受信した読取データのデータフォーマットをデータタイプ情報から特定する（ステップＳ３）。ユーザ認証処理部６２は、そのデータフォーマットが所定のデータフォーマットではない場合には、そのデータフォーマットを所定のデータフォーマットに変換する（ステップＳ４）。そして、ユーザ認証処理部６２は、その読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を行う。ここでは、ユーザ認証処理部６２は、そのユーザＩＤおよびユーザ認証要求を所定のプロトコル（ＬＤＡＰ等）でディレクトリサーバ装置４に送信する（ステップＳ５）。
【００６９】
ディレクトリサーバ装置４では、ディレクトリサービス処理部８２が、ネットワーク通信部８１およびネットワークインタフェース７２を使用して、そのユーザＩＤおよび認証要求を所定のプロトコルで受信し、ディレクトリデータベース９１を参照して、そのユーザＩＤが正当なユーザのものであるか否かを判定する（ステップＳ６）。
【００７０】
そして、ディレクトリサービス処理部８２は、ネットワーク通信部８１およびネットワークインタフェース７２を使用して、その判定結果（つまり、認証結果）、および認証に成功した場合にはそのユーザのユーザ情報を、認証要求の応答として、ユーザマネージャサーバ装置３へ送信する（ステップＳ７）。
【００７１】
ユーザマネージャサーバ装置３では、ユーザ認証処理部６２が、ネットワーク通信部６１およびネットワークインタフェース４２を使用して、認証要求の応答としてその認証結果を受信し、認証に成功した場合には、併せてユーザ情報を受信する。そして、認証に成功した場合には、認可処理部６３は、認可ポリシーデータ５１を参照し、そのユーザの認可情報（つまり、そのユーザに適用される認可ポリシー）を特定し（ステップＳ８）、ネットワーク通信部６１およびネットワークインタフェース４２を使用して、その認可情報およびユーザ情報とともに、認証成功を示す応答を複合機１Ａへ送信する（ステップＳ９）。
【００７２】
複合機１Ａでは、制御部３３は、ネットワーク通信部３２およびネットワークインタフェース２３を使用して、その認可情報およびユーザ情報を受信し、その認可情報を判定部３４に提供する（ステップＳ１０）。判定部３４は、その認可情報に基づいて、複合機１Ａの有する所定の機能のそれぞれについてそのユーザの使用が許可されるか否かを示すデータをＲＡＭ上に設定する。
【００７３】
その後、その認可情報に従って機能制限された状態で、ユーザに複合機１Ａの使用が許可される（ステップＳ１１）。複合機１Ａでは、制御部３３は、判定部３４により設定された上述のデータを参照して、そのユーザに許可されている機能を使用するジョブのみを受け付けて実行する。
【００７４】
なお、ユーザ認証に失敗した場合には、認証失敗を示す応答のみがユーザマネージャサーバ装置３から複合機１Ａへ送信され、複合機１Ａは、認証失敗を示す応答を受信すると、認証失敗を示すメッセージを操作パネル２１に表示するとともに、そのユーザによる複合機１Ａの使用を禁止する。
【００７５】
以上のように、上記実施の形態１によれば、複合機１Ａ（または複合機１Ｂ）は、リーダ２７による読取データをユーザマネージャサーバ装置３に送信し、ユーザマネージャサーバ装置３は、複合機１Ａ（または複合機１Ｂ）から読取データを受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するユーザＩＤを特定し、そのユーザＩＤによるユーザ認証を、当該ユーザマネージャサーバ装置３内またはサーバ装置４で行い、ユーザ認証に成功したログインユーザについての認可情報をその複合機１Ａ（または複合機１Ｂ）へ送信する。
【００７６】
これにより、認可情報を提供するユーザマネージャサーバ装置でリーダの読取データのフォーマット変換を行うため、複合機１Ａ（または複合機１Ｂ）内では読取データの加工を行う必要がなく、複合機１Ａ（または複合機１Ｂ）において、様々な出力データフォーマットのリーダを使用することができるとともに、様々な出力データフォーマットのリーダを一元サポートすることができる。また、サーバ側の拡張性および開発効率が向上する。
【００７７】
実施の形態２．
【００７８】
図７は、本発明の実施の形態２に係る画像形成システムの構成を示すブロック図である。実施の形態２に係る画像形成システムでは、複合機１Ａ，１Ｂ内のアプリケーションからの要求に応じた処理を実行するアプリケーションサーバ装置１０１が設けられ、そのアプリケーションサーバ装置１０１が、上述のユーザ認証処理装置６２と同様の認証処理部を有する。
【００７９】
図８は、図７におけるアプリケーションサーバ装置１０１の構成を示すブロック図である。
【００８０】
アプリケーションサーバ装置１０１は、ネットワークインタフェース１１１、および演算処理装置１１２を有する。
【００８１】
また、ネットワークインタフェース１１１は、有線または無線のコンピュータネットワーク２に接続可能であり、ネットワーク２に接続されている他の装置（複合機１Ａ，１Ｂ、サーバ装置４など）との間でデータ通信を行う装置である。
【００８２】
また、演算処理装置１１２は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを有するコンピュータとして構成され、ＲＯＭなどに記憶されているプログラムをＲＡＭにロードし、ＣＰＵで実行することにより各種処理部を実現する。この演算処理装置１１２では、ネットワーク通信部１２１、認証処理部１２２、およびサーバ処理部１２３が実現される。
【００８３】
ネットワーク通信部１２１は、ネットワークインタフェース１１１を制御し、各種通信プロトコルでネットワーク２上の装置との間でデータ通信を行う処理部である。例えば、ネットワーク通信部１２１は、ログイン時のリーダ２７による読取データを、処理要求とともに複合機１Ａから受信し、その処理要求により指定された処理を実行し、その処理の実行結果をその複合機１Ａへ送信する。また、例えば、ネットワーク通信部１２１は、認証要求をディレクトリサーバ装置４へ送信し、その認証結果およびユーザ情報をディレクトリサーバ装置４から受信する。
【００８４】
認証処理部１２２は、ネットワークインタフェース１１１を使用して、ユーザ識別情報読取用リーダ２７から出力された読取データをその読取データのデータタイプ情報とともに複合機１Ａ（または複合機１Ｂ）から受信し、受信した読取データのデータフォーマットをデータタイプ情報からデータフォーマット判定部１１２ａで特定し、フォーマット変換部１１２ｂでデータフォーマットを所定のデータフォーマットに（例えば１６進を文字列に）変換して読取データに対応するＩＤ（読取データそのもの、またはその読取データに関連付けられているＩＤ）を特定し、そのＩＤの認証を行う処理部である。認証処理部１２２は、このＩＤの認証を、ネットワークインタフェース１１１を使用してディレクトリサーバ装置４などの認証サーバ装置で行う。
【００８５】
なお、リーダ２７から出力される読取データが暗号化されている場合、認証処理部１２２は、データタイプ情報により、暗号化方式を特定し、その暗号化方式に対応する復号方式で読取データを復号する。
【００８６】
サーバ処理部１２３は、認証処理部１２２が読取データから得られたＩＤの認証に成功し場合のみ、処理要求で指定された処理を実行する処理部である。
【００８７】
次に、複合機１Ａからアプリケーションサーバ装置１０１への処理要求を行うときの各装置の動作について説明する。図９は、図７に示すシステムにおいて、複合機１Ａからアプリケーションサーバ装置１０１への処理要求を行うときの各装置の動作について説明するシーケンス図である。なお、複合機１Ｂからアプリケーションサーバ装置１０１への処理要求を行うときも同様に各装置が動作する。
【００８８】
実施の形態１と同様に、複合機１Ａのリーダ２７がＩＤカードを検出し、そのＩＤカードからユーザ識別情報を読み出し、所定のデータフォーマットで読取データを出力すると、制御部３３は、その読み取りデータを取得する。また、この複合機１Ａでは、例えばＪａｖａ仮想マシン上でアプリケーションプログラムが制御装置２６により実行されており、そのアプリケーションプログラムの実行中に、アプリケーションサーバ装置１０１への処理要求が発生すると（ステップＳ１０１）、制御部３３は、その処理要求および読取データを、データタイプ情報とともに、ネットワーク通信部３２およびネットワークインタフェース２３を使用してアプリケーションサーバ装置１０１へ送信する（ステップＳ１０２）。
【００８９】
アプリケーションサーバ装置１０１では、認証処理部１２２が、ネットワーク通信部１２１およびネットワークインタフェース１１１を使用して、その処理要求、その読取データおよびデータタイプ情報を受信し、データフォーマット判定部１２２ａで、受信した読取データのデータフォーマットをデータタイプ情報から特定する（ステップＳ１０３）。認証処理部１２２は、そのデータフォーマットが所定のデータフォーマットではない場合には、フォーマット変換部１２２ｂで、そのデータフォーマットを所定のデータフォーマットに変換する（ステップＳ１０４）。そして、認証処理部１２２は、その読取データに対応するＩＤを特定し、そのＩＤによるユーザ認証を行う。ここでは、ユーザ認証処理部１２２は、そのユーザＩＤおよびユーザ認証要求を所定のプロトコル（ＬＤＡＰ等）でディレクトリサーバ装置４に送信する（ステップＳ１０５）。
【００９０】
ディレクトリサーバ装置４では、ディレクトリサービス処理部８２が、ネットワーク通信部８１およびネットワークインタフェース７２を使用して、そのＩＤおよび認証要求を所定のプロトコルで受信し、ディレクトリデータベース９１を参照して、そのＩＤが正当なユーザまたは機器（ＩＤカード等）のものであるか否かを判定する（ステップＳ１０６）。
【００９１】
そして、ディレクトリサービス処理部８２は、ネットワーク通信部８１およびネットワークインタフェース７２を使用して、その判定結果（つまり、認証結果）、および認証に成功した場合にはそのユーザのユーザ情報を、認証要求の応答として、アプリケーションサーバ装置１０１へ送信する（ステップＳ１０７）。
【００９２】
アプリケーションサーバ装置１０１では、認証処理部１２２が、ネットワーク通信部１２１およびネットワークインタフェース１１１を使用して、認証要求の応答としてその認証結果を受信する。そして、認証に成功した場合には、サーバ処理部１２３は、処理要求で指定された処理を実行し（ステップＳ１０８）、ネットワーク通信部１２１およびネットワークインタフェース１１１を使用して、その処理結果を複合機１Ａへ送信する（ステップＳ１０９）。
【００９３】
以上のように、上記実施の形態２によれば、複合機１Ａ（または複合機１Ｂ）は、読取データをアプリケーションサーバ装置１０１に送信し、アプリケーションサーバ装置１０１は、複合機１Ａ（または複合機１Ｂ）から読取データを受信し、受信した読取データのデータフォーマットを特定し、データフォーマットを所定のデータフォーマットに変換して読取データに対応するＩＤを特定し、そのＩＤの認証に成功した場合のみ、複合機１Ａ（または複合機１Ｂ）のアプリケーションからの要求に応じた処理を実行する。
【００９４】
これにより、アプリケーションサーバ装置１０１でリーダの読取データのフォーマット変換を行うため、複合機１Ａ（または複合機１Ｂ）内では読取データの加工を行う必要がなく、複合機１Ａ（または複合機１Ｂ）において、様々な出力データフォーマットのリーダを使用することができるとともに、様々な出力データフォーマットのリーダを一元サポートすることができる。また、サーバ側の拡張性および開発効率が向上する。
【００９５】
なお、上述の各実施の形態は、本発明の好適な例であるが、本発明は、これらに限定されるものではなく、本発明の要旨を逸脱しない範囲において、種々の変形、変更が可能である。
【００９６】
例えば、上記各実施の形態では、ローカルユーザとドメインユーザが混在してローカルグループに含まれているが、ローカルユーザのみのローカルグループや、ドメインユーザのみのローカルグループがあってもよい。
【００９７】
また、上記各実施の形態において、ユーザマネージャサーバ装置３を、ネットワーク２には接続せずにネットワーク２とは異なる別のネットワークに接続し、その別のネットワークおよびネットワーク２にディレクトリサーバ装置４に接続し、ユーザマネージャサーバ装置３とディレクトリサーバ装置４とはその別のネットワークを介してデータ通信を行うようにしてもよい。
【００９８】
また、上記各実施の形態では、画像形成装置として複合機１Ａ，１Ｂが使用されているが、その代わりに、プリンタ、コピー機などが使用されていてもよい。また、上記各実施の形態では、システムの画像形成装置は３台であるが、１台、２台または４台以上の画像形成装置を使用することも可能である。
【００９９】
また、上記各実施の形態において、認可情報に、複合機へのアクセス権限レベルを含めるようにしてもよい。例えば、アクセス権限レベルとして、管理者および一般ユーザのうちのいずれかが設定される。管理者の場合には、メンテナンスなど、一般ユーザが使用できない機能が使用可能となる。
【０１００】
また、上記各実施の形態において、データタイプ情報の代わりに、リーダ２７の機種を示す機種情報を複合機１Ａ，１Ｂがサーバ装置３，１０１へ送信し、サーバ装置３，１０１ではその機種情報から読取データのデータフォーマットを特定するようにしてもよい。また、上記各実施の形態において、サーバ装置３，１０１において、読取データの内容から、データフォーマットを識別するようにしてもよい。
【０１０１】
また、上記各実施の形態において、複合機１Ａ，１Ｂが、複合機１Ａ，１Ｂの操作パネル２１へ入力されたパスワードをサーバ装置３，１０１へ送信し、サーバ装置３，１０１が、読取データから特定されたユーザＩＤおよびそのパスワードでユーザ認証を行うようにしてもよい。その場合、例えば、サーバ装置４は、ユーザＩＤおよびそのパスワードでユーザ認証を行うようにしてもよい。
【０１０２】
また、上記実施の形態２では、アプリケーションサーバ装置１０１において読取データのデータフォーマットを変換しているが、その代わりに、複合機１Ａ，１Ｂにおいて読取データのデータフォーマットを変換してから外部アプリケーションへ読取データを送信するようにしてもよい。例えば、このデータフォーマットの変換を行う拡張機能用のＪａｖａ（登録商標）アプリケーションを、Ｊａｖａ（登録商標）仮想マシンを有する複合機１Ａ，１Ｂにインストールしておき、そのＪａｖａ（登録商標）アプリケーションが、リーダ２７の読取データを取得し、アプリケーションサーバ装置１０１で要求されるデータフォーマットに、読取データのデータフォーマットを変換した後、その読取データをアプリケーションサーバ装置１０１へ送信する。
【産業上の利用可能性】
【０１０３】
本発明は、例えば、複数の画像形成装置を有するネットワークシステムに適用可能である。
【符号の説明】
【０１０４】
１Ａ，１Ｂ  複合機（画像形成装置の一例）
１Ｃ  プリンタ（画像形成装置の一例）
２  ネットワーク
３  ユーザマネージャサーバ装置
４  ディレクトリサーバ装置（認証サーバ装置の一例）
２７  リーダ
４１  記憶装置
４２，１１１  ネットワークインタフェース
６２  ユーザ認証処理部
６３  認可処理部
１０１  アプリケーションサーバ装置
１２２  認証処理部
１２３  サーバ処理部（処理実行部の一例）
【図１】
2011193308.tif 000003
【図２】
2011193308.tif 000004
【図３】
2011193308.tif 000005
【図４】
2011193308.tif 000006
【図５】
2011193308.tif 000007
【図６】
2011193308.tif 000008
【図７】
2011193308.tif 000009
【図８】
2011193308.tif 000010
【図９】
2011193308.tif 000011