(57)【要約】【課題】リソース利用までの応答時間を短縮する。【解決手段】認証認可仲介装置１が、ＡＰＩ提供装置２からトークンを含む権限確認要求を受信し、受信したトークンに対応するトークン情報（権限範囲及び有効期限など）をトークン情報記憶部１３から取得し、トークンが有効期限内である場合は、そのトークンは有効であると判定してＡＰＩ提供装置２に権限確認応答を返信し、トークン情報が取得できない場合、又はトークンの有効期限が切れていた場合は、権限確認要求を認証認可装置５へ送信し、認証認可装置５から受信したトークン情報をトークン情報記憶部１３に記憶させるとともに、受信したトークン情報に基づく権限確認応答をＡＰＩ提供装置２に返信する。【選択図】図１
2019133378.tif 000002
【特許請求の範囲】
【請求項１】
認証認可装置の発行した、リソースの利用が認可されたことを示す一時的な資格情報の有効性を確認する認証認可仲介装置であって、
前記資格情報と当該資格情報の有効性を示す有効性情報を記憶する資格情報記憶手段と、
前記資格情報を含む確認要求を受信し、当該資格情報の前記有効性情報を前記資格情報記憶手段から取得して前記資格情報の有効性を確認する有効性確認手段と、
前記有効性確認手段が前記資格情報の前記有効性情報を取得できない場合又は前記有効性情報から前記資格情報の有効性を確認できない場合に、前記資格情報を前記認証認可装置へ送信し、前記認証認可装置から受信した前記資格情報の有効性を示す有効性情報を前記資格情報記憶手段に記憶させる確認要求転送手段と、
前記資格情報記憶手段から取得した前記有効性情報又は前記認証認可装置から受信した前記有効性情報に基づいて前記資格情報の有効性を返信する確認応答手段と、
を有することを特徴とする認証認可仲介装置。
【請求項２】
前記資格情報記憶手段が記憶する前記資格情報のそれぞれについて、当該資格情報を前記認証認可装置へ送信し、前記認証認可装置から受信した前記資格情報の有効性を示す有効性情報を前記資格情報記憶手段に記憶させる資格情報最新化手段を有することを特徴とする請求項１に記載の認証認可仲介装置。
【請求項３】
前記資格情報記憶手段から資格情報と有効性情報を取得して別の認証認可仲介装置へ送信し、別の認証認可仲介装置から資格情報と有効性情報を受信した場合は、当該資格情報と有効性情報を前記資格情報記憶手段に記憶させる資格情報共有手段を有することを特徴とする請求項１又は２に記載の認証認可仲介装置。
【請求項４】
認証認可装置の発行した、リソースの利用が認可されたことを示す一時的な資格情報の有効性を確認する認証認可仲介方法であって、
前記資格情報を含む確認要求を受信し、当該資格情報の有効性を示す有効性情報を資格情報記憶手段から取得して前記資格情報の有効性を確認するステップと、
前記資格情報の有効性を確認するステップで前記有効性情報を取得できない場合又は前記有効性情報から前記資格情報の有効性を確認できない場合に、前記資格情報を前記認証認可装置へ送信し、前記認証認可装置から受信した前記資格情報の有効性を示す有効性情報を前記資格情報記憶手段に記憶させるステップと、
前記資格情報記憶手段から取得した前記有効性情報又は前記認証認可装置から受信した前記有効性情報に基づいて前記資格情報の有効性を返信するステップと、
を有することを特徴とする認証認可仲介方法。
【請求項５】
前記資格情報記憶手段が記憶する前記資格情報のそれぞれについて、当該資格情報を前記認証認可装置へ送信し、前記認証認可装置から受信した前記資格情報の有効性を示す有効性情報を前記資格情報記憶手段に記憶させるステップを有することを特徴とする請求項４に記載の認証認可仲介方法。
【請求項６】
前記資格情報記憶手段から資格情報と有効性情報を取得して別の認証認可仲介装置へ送信し、別の認証認可仲介装置から資格情報と有効性情報を受信した場合は、当該資格情報と有効性情報を前記資格情報記憶手段に記憶させるステップを有することを特徴とする請求項４又は５に記載の認証認可仲介方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リソースへのアクセスを認可する技術に関する。
【背景技術】
【０００２】
エッジコンピューティングでは、ユーザの近く（コアネットワークのエッジ）にエッジサーバ（小規模データセンタ）を複数分散配置することで、大規模データセンタを集中配備するクラウドコンピューティング環境と比べて、通信遅延を短縮することができる。エッジコンピューティングを利用して、エッジサーバ上あるいはエッジサーバの近くにリソース（機能や情報など）を提供するサーバ装置を配置すれば、通信遅延が短縮され、応答性が改善される。
【０００３】
クライアント装置がサーバ装置の提供するリソースを利用するためには、認証認可装置によるクライアント装置に対するリソース利用の認可が必要である。認証認可装置は、クライアント装置を認証したうえで、クライアント装置に対してリソースの利用を認可する。例えば、クライアント装置は、リソースの利用が認可された一時的な資格情報を認証認可装置から取得し、一時的な資格情報を付与した要求をサーバ装置へ送信する。サーバ装置は、一時的な資格情報の有効性及び権限範囲を確認したうえで、リソースを利用したサービスをクライアント装置に提供する。クライアント装置に対してリソースの利用を認可する方式として、特許文献１や非特許文献１等の方式がある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−２０１０９８号公報
【非特許文献】
【０００５】
【非特許文献１】The OAuth 2.0 Authorization Framework, IETF RFC6749
【発明の概要】
【発明が解決しようとする課題】
【０００６】
エッジコンピューティングを利用してリソースを提供する際、サーバ装置と認証認可装置が地理的に離れている場合、サーバ装置がクライアント装置から受信した一時的な資格情報を認証認可装置に確認する際に時間を要するため、クライアント装置の要求からリソース利用までの応答時間が長くなるという問題があった。認証認可装置を各エッジサーバの近くに配置することでリソース利用の認可にかかる時間を短縮できるが、クライアント装置が移動する場合には対応できないという問題があった。
【０００７】
本発明は、上記に鑑みてなされたものであり、リソース利用までの応答時間を短縮することを目的とする。
【課題を解決するための手段】
【０００８】
第１の本発明に係る認証認可仲介装置は、認証認可装置の発行した、リソースの利用が認可されたことを示す一時的な資格情報の有効性を確認する認証認可仲介装置であって、前記資格情報と当該資格情報の有効性を示す有効性情報を記憶する資格情報記憶手段と、前記資格情報を含む確認要求を受信し、当該資格情報の前記有効性情報を前記資格情報記憶手段から取得して前記資格情報の有効性を確認する有効性確認手段と、前記有効性確認手段が前記資格情報の前記有効性情報を取得できない場合又は前記有効性情報から前記資格情報の有効性を確認できない場合に、前記資格情報を前記認証認可装置へ送信し、前記認証認可装置から受信した前記資格情報の有効性を示す有効性情報を前記資格情報記憶手段に記憶させる確認要求転送手段と、前記資格情報記憶手段から取得した前記有効性情報又は前記認証認可装置から受信した前記有効性情報に基づいて前記資格情報の有効性を含む確認応答を返信する確認応答手段と、を有することを特徴とする。
【０００９】
第２の本発明に係る認証認可仲介方法は、認証認可装置の発行した、リソースの利用が認可されたことを示す一時的な資格情報の有効性を確認する認証認可仲介方法であって、前記資格情報を含む確認要求を受信し、当該資格情報の有効性を示す有効性情報を資格情報記憶手段から取得して前記資格情報の有効性を確認するステップと、前記資格情報の有効性を確認するステップで前記有効性情報を取得できない場合又は前記有効性情報から前記資格情報の有効性を確認できない場合に、前記資格情報を前記認証認可装置へ送信し、前記認証認可装置から受信した前記資格情報の有効性を示す有効性情報を前記資格情報記憶手段に記憶させるステップと、前記資格情報記憶手段から取得した前記有効性情報又は前記認証認可装置から受信した前記有効性情報に基づいて前記資格情報の有効性を含む確認応答を返信するステップと、を有することを特徴とする。
【発明の効果】
【００１０】
本発明によれば、リソース利用までの応答時間を短縮することができる。
【図面の簡単な説明】
【００１１】
【図１】本実施形態の認証認可仲介装置を含む全体構成図である。
【図２】認証認可仲介装置の保持するトークンの情報の例を示す図である。
【図３】権限確認要求受付部の処理の流れを示すフローチャートである。
【図４】トークン有効性確認部の処理の流れを示すフローチャートである。
【図５】権限確認要求応答部の処理の流れを示すフローチャートである。
【図６】権限確認要求転送部の処理の流れを示すフローチャートである。
【図７】トークン最新化部によるトークン情報を更新する処理の流れを示すフローチャートである。
【図８】トークン情報の送信側のトークン共有部の処理の流れを示すフローチャートである。
【図９】トークン情報の受信側のトークン共有部の処理の流れを示すフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について図面を用いて説明する。
【００１３】
図１は、本実施形態の認証認可仲介装置１を含む全体構成図である。
【００１４】
ＡＰＩ提供装置２は、リソース３の利用を可能とするためのＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ  Ｐｒｏｇｒａｍｉｎｇ  Ｉｎｔｅｒｆａｃｅ）を提供する。ＡＰＩ提供装置２及びリソース３は、エッジコンピューティング環境のエッジサーバ上、あるいはエッジサーバ近傍に配置される。ＡＰＩ提供装置２及びリソース３は地理的に分散して複数配置される。図１の右側に示したＡＰＩ提供装置２及びリソース３は、別のエッジに配置されたＡＰＩ提供装置２とリソース３である。
【００１５】
ＡＰＩ利用装置４は、例えばユーザの保持する端末であり、リソース３の利用が認可された一時的な資格情報（例えばトークン）を付与してＡＰＩ提供装置２のＡＰＩを呼び出す。ＡＰＩ利用装置４は、永続的な資格情報（例えばＩＤとパスワード）及びリソース利用の権限範囲（スコープ）を認証認可装置５へ送信し、認証認可装置５からトークンを取得して保存しておく。永続的な資格情報は、認証認可装置５から事前に付与されたものである。権限範囲は、例えばアクセスする情報の範囲、情報に対する操作（読み出しや書き込みなど）の範囲である。
【００１６】
認証認可装置５は、ＡＰＩ利用装置４から永続的な資格情報とリソース３の利用認可の要求を受信し、ＡＰＩ利用装置４からの要求が正当である場合は、トークンを発行してＡＰＩ利用装置４へ返信する。認証認可装置５は、永続的な資格情報、発行したトークン、そのトークンの権限範囲及び有効期限を保存する。認証認可装置５は、トークンを含む権限確認要求を受信すると、そのトークンの権限範囲及び有効期限などの情報を含む権限確認応答を返信する。
【００１７】
ＡＰＩ提供装置２は、ＡＰＩ利用装置４から受信したトークンを認証認可仲介装置１へ送信してトークンの有効性を確認する。トークンの有効性が確認できた場合、ＡＰＩ提供装置２は、ＡＰＩ利用装置４からのＡＰＩ呼出しを許可してリソース３を権限範囲内で利用させる。
【００１８】
認証認可仲介装置１は、各ＡＰＩ提供装置２の近傍に配置され、自身の保持するトークンの情報を参照してトークンの有効性を確認する。該当するトークンの情報を保持していない場合、認証認可仲介装置１は、認証認可装置５にトークンを含む権限確認要求を送信し、認証認可装置５からトークンの権限範囲及び有効期限を取得して、トークンとともに権限範囲及び有効期限を保存する。
【００１９】
次に、認証認可仲介装置１の構成について説明する。
【００２０】
図１に示す認証認可仲介装置１は、権限確認要求受付部１１、トークン有効性確認部１２、トークン情報記憶部１３、権限確認要求転送部１４、権限確認要求応答部１５、トークン最新化部１６、及びトークン共有部１７を備える。認証認可仲介装置１が備える各部は、演算処理装置、記憶装置等を備えたコンピュータにより構成して、各部の処理がプログラムによって実行されるものとしてもよい。このプログラムは認証認可仲介装置１が備える記憶装置に記憶されており、磁気ディスク、光ディスク、半導体メモリ等の記録媒体に記録することも、ネットワークを通して提供することも可能である。
【００２１】
権限確認要求受付部１１は、ＡＰＩ提供装置２からトークンを含む権限確認要求を受信し、権限確認要求からトークンを抽出してトークン有効性確認部１２へ送信する。
【００２２】
トークン有効性確認部１２は、受信したトークンに対応するトークン情報（権限範囲及び有効期限など）をトークン情報記憶部１３から取得し、トークンの有効性を確認する。トークン有効性確認部１２は、トークン情報が取得でき、かつトークンが有効期限内である場合は、そのトークンは有効であると判定し、権限確認要求応答部１５へ権限範囲及び有効期限を送信する。トークン有効性確認部１２は、トークン情報が取得できない場合、又は有効期限を超えていた場合は、権限確認要求転送部１４へ権限確認要求の送信を依頼する。
【００２３】
トークン情報記憶部１３は、トークン、権限範囲、及び有効期限を記憶する。図２に、トークン情報記憶部１３の記憶するトークンの情報の例を示す。
【００２４】
権限確認要求転送部１４は、権限確認要求を認証認可装置５へ送信し、認証認可装置５から権限確認応答を受信する。権限確認要求転送部１４は、受信した権限確認応答に含まれる権限範囲及び有効期限をトークン情報記憶部１３に保存するとともに、権限確認要求応答部１５へ権限範囲及び有効期限を送信する。
【００２５】
権限確認要求応答部１５は、トークン有効性確認部１２又は権限確認要求転送部１４から受信した権限範囲及び有効期限に基づいて権限確認応答を作成し、権限確認応答をＡＰＩ提供装置２へ送信する。
【００２６】
トークン最新化部１６は、定期的に、トークン情報記憶部１３に保存されているトークンの権限確認要求の送信を権限確認要求転送部１４に依頼し、トークン情報記憶部１３に保存されている情報を更新する。
【００２７】
トークン共有部１７は、他の認証認可仲介装置１との間でトークン情報を送受信し、他の認証認可仲介装置１との間でトークン情報を共有する。
【００２８】
なお、認証認可仲介装置１は、必要に応じて、トークン最新化部１６及びトークン共有部１７を備えるものでよい。
【００２９】
次に、認証認可仲介装置１がトークンの有効性を確認する処理について説明する。
【００３０】
図３〜６は、認証認可仲介装置１がトークンの有効性を確認するときの各部の処理の流れを示すフローチャートである。認証認可仲介装置１は、トークンを含む権限確認要求を受信すると以下の処理を開始する。
【００３１】
図３に示すように、権限確認要求受付部１１は、ＡＰＩ提供装置２から権限確認要求を受信すると（ステップＳ１１）、権限確認要求からトークンを抽出し、トークンをトークン有効性確認部１２へ送信する（ステップＳ１２）。
【００３２】
図４に示すように、トークン有効性確認部１２は、権限確認要求に含まれるトークンに対応するトークン情報（権限範囲、有効期限）をトークン情報記憶部１３から取得する（ステップＳ２１）。
【００３３】
トークン情報が取得でき、かつトークンが有効期限内である場合（ステップＳ２２のＹｅｓ）、トークン有効性確認部１２は、権限範囲及び有効期限を権限確認要求応答部１５へ送信する（ステップＳ２３）。
【００３４】
トークンの情報が取得できない場合、あるいはトークンの有効期限が切れていた場合（ステップＳ２２のＮｏ）、トークン有効性確認部１２は、権限確認要求の送信を権限確認要求転送部１４に依頼する（ステップＳ２４）。
【００３５】
図５に示すように、権限確認要求応答部１５は、権限範囲及び有効期限を受信し（ステップＳ３１）、権限確認応答を作成して、権限確認応答をＡＰＩ提供装置２へ送信する（ステップＳ３２）。トークンが有効な場合は、リソース３の利用要求を許可する。例えば、適切なリソース提供装置（図示せず）へ要求を転送する。
【００３６】
一方、図６に示すように、権限確認要求転送部１４は、権限確認要求の送信を依頼されると、トークンを含む権限確認要求を作成して認証認可装置５へ送信する（ステップＳ４１）。
【００３７】
権限確認要求転送部１４は、認証認可装置５から権限確認応答を受信すると（ステップＳ４２）、権限範囲と有効期限を確認する（ステップＳ４３）。
【００３８】
トークンが有効の場合（ステップＳ４３のＹｅｓ）、権限確認要求転送部１４は、トークン、権限範囲、及び有効期限をトークン情報記憶部１３に保存する（ステップＳ４４）。
【００３９】
トークンが有効でない場合は（ステップＳ４３のＮｏ）、トークン情報記憶部１３に保存せず、ステップＳ４５へ進む。このとき、有効でないと判定されたトークンの情報をトークン情報記憶部１３から削除してもよい。
【００４０】
権限確認要求転送部１４は、権限範囲及び有効期限を権限確認要求応答部１５へ送信する（ステップＳ４５）。権限確認要求応答部１５は、権限範囲及び有効期限を受信すると、前述した図５の処理を実行する。
【００４１】
次に、トークン情報記憶部１３に保存したトークン情報を更新する処理について説明する。
【００４２】
認証認可装置５においてトークンが有効期限前に無効化されることもある。その場合、認証認可仲介装置１の保持するトークン情報が認証認可装置５の保持する実際の情報と異なってしまう。そこで、本実施形態では、認証認可装置５において有効期限前にトークンが無効化される場合に備えて、認証認可仲介装置１は、トークン情報記憶部１３に保存したトークンについて、定期的に認証認可装置５に権限確認要求を送信し、トークン情報を更新する。
【００４３】
図７は、トークン最新化部１６によるトークン情報を更新する処理の流れを示すフローチャートである。トークン最新化部１６は、所定のタイミングで定期的に図７の処理を実行する。
【００４４】
トークン最新化部１６は、トークン情報記憶部１３からトークン情報を取得し（ステップＳ５１）、各トークンについて、権限確認要求の送信を権限確認要求転送部１４に依頼する（ステップＳ５２）。権限確認要求転送部１４は、権限確認要求の送信を依頼されると前述の図６に示した処理を実行する。図６のステップＳ４４においてトークン情報記憶部１３に保存したトークン情報が最新の情報に更新される。なお、図６のステップＳ４５では、権限確認要求応答部１５に結果を送信する代わりに、トークン最新化部１６に結果を送信する。
【００４５】
次に、認証認可仲介装置１間でトークン情報を共有する処理について説明する。
【００４６】
ＡＰＩ利用装置４は移動して別のＡＰＩ提供装置２（例えば、図１の右側のＡＰＩ提供装置２）に接続することもある。別のＡＰＩ提供装置２には、別の認証認可仲介装置１（図１の右側の認証認可仲介装置１）が接続されているが、別の認証認可仲介装置１には、ＡＰＩ利用装置４の保持するトークンの情報が保存されていない。そのため、別の認証認可仲介装置１は、認証認可装置５にトークンの有効性を確認しなければならない。そこで、本実施形態では、ＡＰＩ利用装置４が移動することに備えて、認証認可仲介装置１間でトークン情報を共有する。
【００４７】
図８は、トークン情報の送信側のトークン共有部１７の処理の流れを示すフローチャートであり、図９は、トークン情報の受信側のトークン共有部１７の処理の流れを示すフローチャートである。
【００４８】
図８に示すように、トークン共有部１７は、ＡＰＩ利用装置４の行動履歴等からＡＰＩ利用装置４の移動を検知すると（ステップＳ６１）、ＡＰＩ利用装置４が今後接続するＡＰＩ提供装置２を予測する（ステップＳ６２）。ＡＰＩ利用装置４の移動の検知及び今後接続するＡＰＩ提供装置２の予測には周知の技術を用いることができる。例えば、ＡＰＩ利用装置４がこれまでに接続したことのあるＡＰＩ提供装置２を今後接続するＡＰＩ提供装置２とする。あるいは、ＡＰＩ利用装置４を利用するユーザのスケジュール情報を取得し、そのスケジュール情報からユーザの移動先と時刻を特定し、移動の検知と今後接続するＡＰＩ提供装置２の予測を行ってもよい。近隣のＡＰＩ提供装置２を今後接続するＡＰＩ提供装置２として予測してもよい。
【００４９】
トークン共有部１７は、ステップＳ６２で予測したＡＰＩ提供装置２に接続された他の認証認可仲介装置１へトークン、権限範囲、及び有効期限などのトークン情報を送信する（ステップＳ６３）。
【００５０】
図９に示すように、受信側のトークン共有部１７は、トークン情報を受信すると（ステップＳ７１）、受信したトークン情報をトークン情報記憶部１３に保存する（ステップＳ７２）。
【００５１】
以上説明したように、本実施形態によれば、認証認可仲介装置１が、ＡＰＩ提供装置２からトークンを含む権限確認要求を受信し、受信したトークンに対応するトークン情報（権限範囲及び有効期限など）をトークン情報記憶部１３から取得し、トークンが有効期限内である場合は、そのトークンは有効であると判定してＡＰＩ提供装置２に権限確認応答を返信し、トークン情報が取得できない場合、又はトークンの有効期限が切れていた場合は、権限確認要求を認証認可装置５へ送信し、認証認可装置５から受信したトークン情報をトークン情報記憶部１３に記憶させるとともに、受信したトークン情報に基づく権限確認応答をＡＰＩ提供装置２に返信することにより、２回目以降のリソース３に対する権限確認要求に対して、認証認可仲介装置１がトークンの有効性を自律的に判断するので、リソース利用までの応答時間を短縮できる。
【００５２】
本実施形態によれば、トークン最新化部１６が、トークン情報記憶部１３の保持するトークンのそれぞれについて、権限確認要求転送部１４に権限確認要求を認証認可装置５へ送信させて、認証認可装置５から受信したトークン情報をトークン情報記憶部１３に記憶させることにより、トークン情報記憶部１３の保持するトークン情報を認証認可装置５の保持する情報と同期させることができる。
【００５３】
本実施形態によれば、トークン共有部１７が、トークン情報記憶部１３からトークンとトークン情報を取得して別の認証認可仲介装置１へ送信し、別の認証認可仲介装置１からトークンとトークン情報を受信した場合は、そのトークンとトークン情報をトークン情報記憶部１３に記憶させることにより、ＡＰＩ利用装置４が別のＡＰＩ提供装置２に接続した場合でも、別のＡＰＩ提供装置２に接続された別の認証認可仲介装置１はトークンとトークン情報を保持するので、別の認証認可仲介装置１は、認証認可装置５へ権限確認要求を転送することなく、トークンの有効性を自律的に判断できる。
【符号の説明】
【００５４】
１…認証認可仲介装置
１１…権限確認要求受付部
１２…トークン有効性確認部
１３…トークン情報記憶部
１４…権限確認要求転送部
１５…権限確認要求応答部
１６…トークン最新化部
１７…トークン共有部
２…ＡＰＩ提供装置
３…リソース
４…ＡＰＩ利用装置
５…認証認可装置
【図１】
2019133378.tif 000003
【図２】
2019133378.tif 000004
【図３】
2019133378.tif 000005
【図４】
2019133378.tif 000006
【図５】
2019133378.tif 000007
【図６】
2019133378.tif 000008
【図７】
2019133378.tif 000009
【図８】
2019133378.tif 000010
【図９】
2019133378.tif 000011