(57)【要約】  ファイル共有サービスを提供するサーバへのアクセスをエージェントレスで監視するとともに、特権ＩＤの管理を容易に実現することができる中継処理装置、中継処理方法、およびプログラムを提供する。  クライアント端末２０とセッションを確立して第１のユーザ認証処理を実行し、接続を所望するサーバとの間でセッションを確立して第２のユーザ認証処理を実行し、これらの認証処理両方で認証された場合に、所望するサーバとの間でツリー接続を開始して認可処理を実行して認可されている場合に、クライアント端末２０との間で既に確立しているセッションを利用して所望のサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末２０と所望するサーバとの間で実行される所定の処理を中継するゲートウェイ１０（中継処理装置）とする。
2015004743.tif 000002
【特許請求の範囲】
【請求項１】
ファイル共有サービスを提供するサーバと、前記サーバのファイル共有サービスにて提供されるデータに接続するクライアント端末との間で実行される所定の処理を中継する中継処理装置であって、
前記クライアント端末からの要求に基づいて前記クライアント端末との間でセッションを確立する第１のネゴシエーション制御部と、
前記第１のネゴシエーション制御部により前記クライアント端末との間でセッションが確立された場合に、前記クライアント端末との間で前記第１のユーザ認証処理を実行する第１のセッションセットアップ制御部と、
前記クライアント端末が所望する前記サーバの接続先を示す情報に基づいて前記サーバとの間でセッションを確立する第２のネゴシエーション制御部と、
前記第２のネゴシエーション制御部により前記サーバとの間でセッションが確立された場合に、前記サーバとの間で前記第２のユーザ認証処理を実行する第２のセッションセットアップ制御部と、
前記第１のユーザ認証処理および前記第２のユーザ認証処理の両方において前記クライアント端末のユーザが認証された場合に、前記クライアント端末のユーザが所望する接続先を示す情報を前記サーバに送信し、前記クライアント端末の前記サーバの接続先におけるユーザ認可処理を前記サーバとの間で実行し、前記サーバの接続先とのツリー接続を開始するツリーセットアップ制御部と、
前記ツリーセットアップ制御部により実行された前記ユーザ認可処理の結果、前記クライアント端末のユーザが認可されている場合に、前記クライアント端末との間で既に確立しているセッションを利用して前記サーバとの間で確立した前記ツリー接続を識別できる情報を送信すると共に、前記クライアント端末と前記サーバとの間で実行される前記所定の処理を中継する中継処理部と
を有することを特徴とする中継処理装置。
【請求項２】
請求項１に記載の中継処理装置であって、
前記サーバは、前記ファイル共有サービスをCIFS（Common Internet  File  System）プロトコルにて提供するものであり、
前記第１のユーザ認証処理および前記第２のユーザ認証処理は、
チャレンジ／レスポンス方式によりユーザ認証が実行されるものであり、
前記ユーザ認可処理は、
前記サーバでの接続先となる前記データにおける前記クライアント端末のユーザに対して設定されているアクセス制御に基づいて実行される
ことを特徴とする中継処理装置。
【請求項３】
請求項１または２に記載の中継処理装置であって、
前記第１のセッションセットアップ制御部は、
前記クライアント端末のユーザ認証処理が成功した場合に、その認証結果を前記クライアント端末へ通知し、
前記第２のネゴシエーション制御部は、
前記認証結果の通知を受信したクライアント端末から送信されてきた前記サーバでの接続先を示す情報に基づいて前記サーバとの間でセッションを確立し、
前記中継処理部は、
前記クライアント端末から前記データに対する所定の処理を実行するための操作情報を取得すると、前記データを示す情報および前記操作情報を前記サーバへと通知することを特徴とする中継処理装置。
【請求項４】
請求項１〜３のいずれか１項に記載の中継処理装置であって、
前記クライアント端末および前記サーバとの間でやり取りされる前記データの変更前後の各データについて自己の記憶部あるいはネットワークを介して接続可能な外部の記憶部に記憶する記憶処理部
を有することを特徴とする中継処理装置。
【請求項５】
ファイル共有サービスを提供するサーバと、前記サーバのファイル共有サービスにて提供されるデータに接続するクライアント端末との間で実行される所定の処理を中継する中継処理装置に用いられる中継処理方法であって、
前記クライアント端末からの認証要求に基づいて前記クライアント端末との間でセッションを確立する第１のネゴシエーション制御ステップと、
前記第１のネゴシエーション制御ステップにより前記クライアント端末との間でセッションが確立された場合に、前記クライアント端末との間で前記第１のユーザ認証処理を実行する第１のセッションセットアップ制御ステップと、
前記クライアント端末が所望する前記サーバの接続先を示す情報に基づいて前記サーバとの間でセッションを確立する第２のネゴシエーション制御ステップと、
前記第２のネゴシエーション制御ステップにより前記サーバとの間でセッションが確立された場合に、前記サーバとの間で前記第２のユーザ認証処理を実行する第２のセッションセットアップ制御ステップと、
前記第１のユーザ認証処理および前記第２のユーザ認証処理の両方において前記クライアント端末のユーザが認証された場合に、前記クライアント端末のユーザが所望する接続先を示す情報を前記サーバに送信し、前記クライアント端末の前記サーバの接続先におけるユーザ認可処理を前記サーバとの間で実行し、前記サーバの接続先とのツリー接続を開始するツリーセットアップ制御ステップと、
前記ツリーセットアップ制御ステップにて実行された前記ユーザ認可処理の結果、前記クライアント端末のユーザが認可されている場合に、前記クライアント端末との間で既に確立しているセッションを利用して前記サーバとの間で確立した前記ツリー接続を識別できる情報を送信すると共に、前記クライアント端末と前記サーバとの間で実行される前記所定の処理を中継する中継処理ステップと
を有することを特徴とする中継処理方法。
【請求項６】
ファイル共有サービスを提供するサーバと、前記サーバのファイル共有サービスにて提供されるデータに接続するクライアント端末との間で実行される所定の処理を中継する中継処理装置としてコンピュータを機能させるためのプログラムであって、
前記コンピュータを
前記クライアント端末からの認証要求に基づいて前記クライアント端末との間でセッションを確立する第１のネゴシエーション制御手段と、
前記第１のネゴシエーション制御手段により前記クライアント端末との間でセッションが確立された場合に、前記クライアント端末との間で前記第１のユーザ認証処理を実行する第１のセッションセットアップ制御手段と、
前記クライアント端末が所望する前記サーバの接続先を示す情報に基づいて前記サーバとの間でセッションを確立する第２のネゴシエーション制御手段と、
前記第２のネゴシエーション制御手段により前記サーバとの間でセッションが確立された場合に、前記サーバとの間で前記第２のユーザ認証処理を実行する第２のセッションセットアップ制御手段と、
前記第１のユーザ認証処理および前記第２のユーザ認証処理の両方において前記クライアント端末のユーザが認証された場合に、前記クライアント端末のユーザが所望する接続先を示す情報を前記サーバに送信し、前記クライアント端末の前記サーバの接続先におけるユーザ認可処理を前記サーバとの間で実行し、前記サーバの接続先とのツリー接続を開始するツリーセットアップ制御手段と、
前記ツリーセットアップ制御手段により実行された前記ユーザ認可処理の結果、前記クライアント端末のユーザが認可されている場合に、前記クライアント端末との間で既に確立しているセッションを利用して前記サーバとの間で確立した前記ツリー接続を識別できる情報を送信すると共に、前記クライアント端末と前記サーバとの間で実行される前記所定の処理を中継する中継処理手段
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、中継処理装置、中継処理方法、およびプログラムに関する。
【背景技術】
【０００２】
企業や公共施設などの運用を支える業務情報システム、いわゆるエンタープライズシステム（Enterprise System）は、今や、大小さまざまな組織の基盤となっている。業務情報システムは、ノード端末やデータベースから得られるデータを集計、蓄積、解析、加工した上でより付加価値の高い情報を出力することにより、複雑化する組織マネジメントを支えている。【０００３】
このような業務情報システムを構成するサーバへアクセスする場合、一般権限のＩＤだけでなく、高権限のＩＤにてアクセスし、各種データなどの作成・更新・削除・実行などを行う場合がある。一般権限を超える高権限を持つＩＤは、一般的には特権ＩＤと呼ばれる。この特権ＩＤとしては、たとえばUNIX（登録商標）システムのroot、Windows（登録商標）システムのAdministrator、DBシステムのSYS、SYSTEMなどが知られている。また、この特権ＩＤには、上述したもの以外にも多数存在し、中にはそれらの特権ＩＤが複数の操作者により共有されていたり、プログラムの中で利用されている場合がある。また、通常運用や障害対応の場面で特権ＩＤを利用せざるを得ない場面も多数存在する。そのため、特権ＩＤの利用者を特定し、適切なアクセス管理を行うことは一般権限のＩＤのアクセス管理と比較すると非常に困難な状況が存在する。【０００４】
しかしながら、ＩＴ統制の監査などの場面では、業務情報システムを構成するサーバへのアクセスに対して、「いつ」、「誰が」、「どんな目的で」利用したのかを特権ＩＤを含めて管理すべきである、という指摘を受けるケースがある。たとえば、特権ＩＤの利用者の操作に対して、アクセスした利用者の特定ができない場合や、業務情報システムを構成するサーバでの作業に対して職務分掌ができていない場合、誰でも作業が可能である場合、作業のログが取得できていない場合、作業に対する事後確認ができていない場合などである。【０００５】
このような指摘に対応すべく、たとえば本出願人による提案により、作業者が特権ＩＤを用いて業務情報システムを構成するサーバに接続する前に、中継装置に接続させて、特権ＩＤの利用状況を管理する方法が知られている（特許文献１）。特許文献１に開示される中継装置では、業務情報システムの各サーバへ接続する前に中継装置においてユーザ認証を行うことで、中継装置にて登録されているユーザＩＤと接続先のサーバで使用される特権ＩＤとを紐つけ、特権ＩＤ利用者を特定することで特権ＩＤの利用状況を管理するように構成されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１２−２０３６２４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ところで、特許文献１に開示される技術において、業務情報システムを構成するサーバがＣＩＦＳ（Common Internet File System）によるファイル共有サービスを提供する場合がある。【０００８】
ファイル共有サービスにて提供さるリソースへのアクセスは、企業のセキュリティポリシーによっては、ユーザを特定すると共に、具体的なイベントログ、やりとりしたデータについても取得するように求められることがある。【０００９】
そのため特許文献１に開示される技術でも、中継装置においてＣＩＦＳプロトコルが監視対象となっている。しかしながら、実際にＣＩＦＳプロトコルを実装しているサーバへの接続は、Ｗｉｎｄｏｗｓ（登録商標）が標準で備えている機能であるＷｅｂＤＡＶ（Distributed Authoring and Versioning protocol for the WWW）機能を利用している。すなわち、クライアント端末は、ＷｅｂＤＡＶ機能を利用して中継装置を介してＣＩＦＳで構成されているサーバの共有フォルダへ接続するとともに、操作するように構成されている。なお、ここでいうＷｅｂＤＡＶとは、ＷＷＷでファイルの転送に使われるＨＴＴＰを拡張し、ＷｅｂブラウザからＷｅｂサーバ上のファイルやフォルダを管理できるようにした仕様を備えたものである。ちなみに、ＷｅｂＤＡＶは、ＨＴＴＰ１．１を拡張した仕様で、ＩＥＴＦ（Internet Engineering Task Force）によってＲＦＣ２５１８として定義されているものである。【００１０】
ところが、このＷｅｂＤＡＶ機能はWindows７（登録商標）の機器では標準でＨＴＴＰ（Hypertext Transfer Protocol）ではなく、第三者により認可された証明書を利用するＨＴＴＰＳ（Hypertext Transfer Protocol Security）の通信でしか利用できない。そのため、企業で利用されるクライアント端末が、WindowsＸＰ（登録商標）の機器などからWindows７（登録商標）の機器へと入れ替える場合、認可証明書の利用ができない環境においては従来のような特権ＩＤの管理が中継装置においてできなくなるという問題が生じる。【００１１】
これを解決する方法として、たとえば、各クライアント端末にエージェント・ソフトをインストールしてイベントログや画面データを中継装置側で収集する方法が考えられる。しかしながら、エージェント・ソフトを利用すると、業務情報システムのネットワーク環境に影響を与える可能性が大きくなるという問題が生じる。また、エージェント・ソフトを各クライアント端末にインストールする必要があるため、管理対象が多くなってしまうという問題が生じる。さらには、管理対象が多くなることによりシステム運用側の負荷が増大してしまうという問題が生じる。【００１２】
本発明は、上述した課題の少なくともいずれか１つを鑑みてなされたものであり、ファイル共有サービスを提供するサーバへのアクセスをエージェントレスで監視するとともに、特権ＩＤの管理を容易に実現することができる中継処理装置、中継処理方法、およびプログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明の一側面は、中継処理装置に関するものである。すなわち、本発明に係る中継処理装置は、ファイル共有サービスを提供するサーバと、サーバのファイル共有サービスにて提供されるデータに接続するクライアント端末との間で実行される所定の処理を中継する中継処理装置であって、クライアント端末からの認証要求に基づいてクライアント端末との間でセッションを確立する第１のネゴシエーション制御部と、第１のネゴシエーション制御部によりクライアント端末との間でセッションが確立された場合に、クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御部と、クライアント端末のユーザが所望するサーバの接続先を示す情報に基づいてサーバとの間でセッションを確立する第２のネゴシエーション制御部と、第２のネゴシエーション制御部によりサーバとの間でセッションが確立された場合に、サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御部と、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末のユーザが認証された場合に、クライアント端末のユーザが所望する接続先を示す情報をサーバに送信し、サーバでの接続先におけるユーザ認可処理をサーバとの間で実行し、サーバの接続先とのツリー接続を開始するツリーセットアップ制御部と、ツリーセットアップ制御部により実行されたユーザ認可処理の結果、クライアント端末のユーザが認可されている場合に、クライアント端末との間で既に確立しているセッションを利用してサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末とサーバとの間で実行される所定の処理を中継する中継処理部とを有することを特徴とする。【００１４】
また、上述した構成に加えて、サーバは、ファイル共有サービスをCIFS（Common Internet  File  System）プロトコルにて提供するものであり、第１のユーザ認証処理および第２のユーザ認証処理は、チャレンジ／レスポンス方式によりユーザ認証が実行されるものであり、ユーザ認可処理は、サーバでの接続先となるデータにおけるクライアント端末のユーザに対して設定されているアクセス制御に基づいて実行することができる。【００１５】
また、上述した構成に加えて、第１のセッションセットアップ制御部は、クライアント端末のユーザ認証処理が成功した場合に、その認証結果をクライアント端末へ通知し、第２のネゴシエーション制御部は、認証結果の通知を受信したクライアント端末から送信されてきたサーバでの接続先を示す情報に基づいてサーバとの間でセッションを確立し、中継処理部は、クライアント端末からデータに対する所定の処理を実行するための操作情報を取得すると、データを示す情報および操作情報をサーバへと通知することができる。【００１６】
また、上述した構成に加えて、クライアント端末およびサーバとの間でやり取りされるデータの変更前後の各データについて自己の記憶部あるいはネットワークを介して接続可能な外部の記憶部に記憶する記憶処理部を有することができる。【００１７】
また、本発明の一側面は、中継処理方法に関するものである。すなわち、本発明に係る中継処理方法は、ファイル共有サービスを提供するサーバと、サーバのファイル共有サービスにて提供されるデータに接続するクライアント端末との間で実行される所定の処理を中継する中継処理装置に用いられる中継処理方法であって、クライアント端末からの認証要求に基づいてクライアント端末との間でセッションを確立する第１のネゴシエーション制御ステップと、第１のネゴシエーション制御ステップによりクライアント端末との間でセッションが確立された場合に、クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御ステップと、クライアント端末のユーザが所望するサーバの接続先を示す情報に基づいてサーバとの間でセッションを確立する第２のネゴシエーション制御ステップと、第２のネゴシエーション制御ステップによりサーバとの間でセッションが確立された場合に、サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御ステップと、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末のユーザが認証された場合に、クライアント端末のユーザが所望する接続先を示す情報をサーバに送信し、サーバでの接続先におけるユーザ認可処理をサーバとの間で実行し、サーバの接続先とのツリー接続を開始するツリーセットアップ制御ステップと、ツリーセットアップ制御ステップにて実行されたユーザ認可処理の結果、クライアント端末のユーザが認可されている場合に、クライアント端末との間で既に確立しているセッションを利用してサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末とサーバとの間で実行される所定の処理を中継する中継処理ステップを有することを特徴とする。【００１８】
また、本発明の一側面は、プログラムに関するものである。すなわち、本発明に係るプログラムは、ファイル共有サービスを提供するサーバと、サーバのファイル共有サービスにて提供されるデータに接続するクライアント端末との間で実行される所定の処理を中継する中継処理装置としてコンピュータを機能させるためのプログラムであって、コンピュータをクライアント端末からの認証要求に基づいてクライアント端末との間でセッションを確立する第１のネゴシエーション制御手段と、第１のネゴシエーション制御手段によりクライアント端末との間でセッションが確立された場合に、クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御手段と、クライアント端末のユーザが所望するサーバの接続先を示す情報に基づいてサーバとの間でセッションを確立する第２のネゴシエーション制御手段と、第２のネゴシエーション制御手段によりサーバとの間でセッションが確立された場合に、サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御手段と、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末のユーザが認証された場合に、クライアント端末のユーザが所望する接続先を示す情報をサーバに送信し、サーバでの接続先におけるユーザ認可処理をサーバとの間で実行し、サーバの接続先とのツリー接続を開始するツリーセットアップ制御手段と、ツリーセットアップ制御手段により実行されたユーザ認可処理の結果、クライアント端末のユーザが認可されている場合に、クライアント端末との間で既に確立しているセッションを利用してサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末とサーバとの間で実行される所定の処理を中継する中継処理手段として機能させるプログラムであることを特徴とする。
【発明の効果】
【００１９】
本発明によれば、ファイル共有サービスを提供するサーバへのアクセスをエージェントレスで監視するとともに、特権ＩＤの管理を容易に実現することができる中継処理装置、中継処理方法、およびプログラムを提供することができる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の中継処理装置の第１実施形態であるゲートウェイ１０を含む業務情報システムの構成例を示すブロック図である。
【図２】図２は、CIFSプロトコルを利用したクライアント端末２０とＣＩＦＳサーバ４０の間の通信処理イメージを示す図である。
【図３】図３は、図２に示した通信処理の具体例を示す図である。
【図４】図４は、図１に示すゲートウェイ１０の機能構成例を示すブロック図である。
【図５】図５は、図１に示すクライアント端末２０での画面遷移例を示す図である。
【図６】図６は、図１に示すゲートウェイ１０による中継処理の通信概念図である。
【図７】図７は、図７は、図６に示した通信処理の具体例を示す図である。
【図８】図８は、ＣＩＦＳサーバ４０のログデータ１７Ｂの出力タイミングの一例を示す図である。
【図９】図９は、取得対象とされる操作と操作ログ（ログデータ１７Ｂの一例）の対応を示す図である。
【図１０】図１０は、アクセスログ（ログデータ１７Ｂの一例）の検索結果の一例を示す図である。
【図１１】図１１は、本発明の第２実施形態におけるゲートウェイ１０Ａ、クライアント端末２０、ＣＩＦＳサーバ４０それぞれの間で実行される具体的な通信処理例を示す図である。
【発明を実施するための形態】
【００２１】
本発明に係る中継処理装置、中継処理方法およびプログラムの実施形態について図面を参照しながら説明する。なお、本発明に係る中継処理方法の実施形態については、中継処理装置の動作説明と共に行い、本発明に係るプログラムについては中継処理装置にインストールされているプログラムとして説明する。しかしながら、本発明に係る中継処理装置、中継処理方法およびプログラムは、以下に説明する各実施形態に限定されるものではない。
【００２２】
なお、本明細書における「アクセス制御」とは、主にコンピュータセキュリティによるアクセス制御を意図しており、あるサブジェクト（能動体、クライアント端末など）が、どのオブジェクト（システム、ファイル、サーバなど）に対する処理（たとえばファイルであれば読み取り／書き込み、実行など）を許可するか否か、あるいは許可する接続手段（たとえば、サーバであれば接続の際に使用可能なプロトコル、ポート番号など）について制御することを指す。なお、コンピュータセキュリティによるアクセス制御は、一般的には、認証(authentication)、認可(authorization)、監査(audit)からなるが、これ以外の処理が含まれてもよいし、これらをすべて含んでいなくてもよい。以下の説明において、認証(authentication)とは、ネットワークやサーバに接続する際に利用者が本人であることを確認することを言う。たとえば本人に割り振られたユーザＩＤとパスワードなどの組み合わせが正しいことをもって本人であると確認する。一方、認可(authorization)とは、認証済みの利用者に対して、何らかのサービスの利用やリソースへのアクセスなどに対する権限を与えたりすることを言う。たとえばあらかじめシステム管理者によりリソースへの読み込み、書き込み、実行などの各操作を特定のユーザやグループに対してのみ許可する状態としたり、あるいは不許可の状態としたりする。
【００２３】
[第１実施形態]
図１は、本発明の中継処理装置の第１実施形態であるゲートウェイ１０を含む業務情報システムの構成例を示すブロック図である。同図に示す業務情報システムは、ゲートウェイ１０とクライアント端末２０とがネットワーク３０を介して接続されているとともに、ＣＩＦＳプロトコルによりファイル共有サービスを提供するＣＩＦＳサーバ４０Ａ，４０Ｂ，４０Ｃが、ゲートウェイ１０を介してネットワーク３０に接続されている。なお、以下、ＣＩＦＳサーバ４０Ａ，４０Ｂ，４０Ｃを特に限定する必要がない場合には便宜上ＣＩＦＳサーバ４０と称して説明する。
【００２４】
（ゲートウェイ１０の役割）
ゲートウェイ１０は、クライアント端末２０からネットワーク３０を介してＣＩＦＳサーバ４０への接続を受け付ける中継処理装置であって、ネットワークセキュリティ境界に設置される。ゲートウェイ１０は、CIFS（Common Internet File System）プロトコルのアクセス制御、およびログ取得による監査を行う。なお、本実施例では、CIFSプロトコルに関するアクセス制御、およびログ取得に絞って説明するが、ゲートウェイ１０では、CIFSプロトコル以外にも、TELNET（Telecommunication network）、SSH（Secure SHell）、FTP（File Transfer Protocol）、HTTP（HyperText Transfer Protocol）、HTTPS（Hypertext Transfer Protocol Security）、Windows（登録商標）RDP（Remote Desktop Protocol）などの各種プロトコルについてのアクセス制御、およびログ取得を行うことができるように構成されてもよい。
【００２５】
（CIFSプロトコルを実装したサーバで用いられる典型的な通信処理について）
まず先に、CIFSプロトコルを実装したサーバで用いられる典型的な通信処理について説明する。図２は、クライアント端末２０とＣＩＦＳサーバ４０との間での通信処理のイメージを示す図である。なお、図２に示す通信処理のイメージは、あくまでもクライアント端末２０とＣＩＦＳサーバ４０とが直接通信をした場合を想定したものであって、本実施形態において実際に実行される通信処理ではない。また、クライアント端末２０がＣＩＦＳより下位のトランスポート層レベルでＣＩＦＳサーバ４０への通信路を確保した状態を前提としている。
【００２６】
図２に示すように、クライアント端末２０とＣＩＦＳサーバ４０との間では、大きく分けて３つの通信処理（ＳＴＥＰ１，ＳＴＥＰ２，ＳＴＥＰ３）が実行される。具体的には、クライアント端末２０は、ＣＩＦＳサーバ４０に対してセッション確立のための通信処理を実行する（ＳＴＥＰ１）。続いて、クライアント端末２０は、ＳＴＥＰ１で確立したセッションを利用して、実際のＣＩＦＳサーバ４０のリソースへ接続するための通信処理を実行する（ＳＴＥＰ２）。さらに、クライアント端末２０は、ＣＩＦＳサーバ４０に対して具体的なリソースを使用するための通信処理を実行する（ＳＴＥＰ３）。以下、これらのＳＴＥＰ１、ＳＴＥＰ２、ＳＴＥＰ３の各通信処理について詳細に説明する。
【００２７】
図３は、図２に示したＳＴＥＰ１、ＳＴＥＰ２、ＳＴＥＰ３の各通信処理をより具体的に示した図である。なお、ＳＴＥＰ１の処理は、Windows4.0以前のWindows NT（登録商標）シリーズのＯＳで標準的に使われていたユーザ認証方式であるＮＴＬＭ認証（Windows NT LAN Manager認証）というネットワークプロトコルにより行われている。このＳＴＥＰ１では、このプロトコルのバージョンのすり合わせを行う処理（以下、この処理を単に「プロトコルネゴシエーション」という。）と、クライアント端末２０がＣＩＦＳサーバ４０のファイル共有サービスに接続するための認証を行う処理（以下、この処理を単に「セッションセットアップ」という。）が実行される。
【００２８】
ＳＴＥＰ１のプロトコルネゴシエーションでは、クライアント端末２０がＣＩＦＳサーバ４０に対してサポートしているＮＴＬＭ認証の機能レベルを通知し、最適なプロトコルバージョンを選択させることができる。図３で示す例ではＳＴＥＰ１の「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ（ＮＴＬＭ：type１negotiate）」と記載されている処理がこのプロトコルネゴシエーションに相当する。
【００２９】
ＳＴＥＰ１のセッションセットアップでは、ＣＩＦＳサーバ４０からクライアント端末２０に対してチャレンジ／レスポンス方式でのユーザ認証処理が実行される。たとえばクライアント端末２０からセッション確立の要求（「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ（ＮＴＬＭ：type１negotiate）」）を受けたＣＩＦＳサーバ４０は「ＵＩＤ」と「チャレンジ」（ランダムなバイト列）をクライアント端末２０へ送信する。なお、この「ＵＩＤ」は、ＣＩＦＳのセッションの間だけクライアント端末２０のユーザを識別するために振り分けられる一時的な番号である。ＣＩＦＳサーバ４０は、クライアント端末２０からセッション確立要求の度にこの「ＵＩＤ」を発行し、クライアント端末２０へ通知する。これにより、認証をあくまでもセッションの間だけのものとして管理しやすくすると共に、ユーザ側でユーザ名の変更等（たとえば特定の処理については特権ＩＤでの処理とする場合など）が発生しても、利用中のセッションをそのまま利用してファイル共有を継続することが可能となっている。
【００３０】
クライアント端末２０ではユーザが入力したパスワードの情報に基づいてこのチャレンジを処理した結果である「レスポンス」をＣＩＦＳサーバ４０へと送る。ＣＩＦＳサーバ４０側ではクライアント端末２０側で行われたレスポンス生成と同じ処理を行い、その結果とクライアント端末２０から送られたレスポンスとを比較する。それらが同一のものであれば、ＣＩＦＳサーバ４０およびクライアント端末２０の双方が持っているパスワード情報（正確にはパスワードを一方向関数で処理した、パスワードハッシュ）が等しいことになるため、ＣＩＦＳサーバ４０はクライアント端末２０を正当なユーザであると認証することができる。
【００３１】
ＳＴＥＰ１のセッションセットアップにより、ＣＩＦＳサーバ４０への接続が許可されると、ＣＩＦＳサーバ４０とクライアント端末２０の間でＣＩＦＳプロトコルのレベルでの通信路（セッション）が確立される。そして、一度セッションが確立されると、そのクライアント端末２０（実際にはユーザ）が接続を切断などにより終了させるまで、同じセッションを利用して、ＣＩＦＳプロトコルのコマンドや結果、データなどのやりとりをすることが可能となる。ただし、クライアント端末２０は、ＣＩＦＳサーバ４０のユーザ認証をパスしないと、この接続要求は拒否され、ＣＩＦＳサーバ４０とのセッションを確立することができない。
【００３２】
ＳＴＥＰ２の処理では、ＣＩＦＳサーバ４０が提供するリソースにクライアント端末２０が接続するための処理（以下、この処理を単に「ツリーセットアップ」という。）が行われる。
【００３３】
ツリーセットアップでは、ＣＩＦＳサーバ４０が提供するリソース（例：＼share）に関するアクセス権限のチェック（以下、このチェックを単に「パス認証」という。）が行われる。このパス認証ではＳＴＥＰ１のセッションセットアップ時に使用したユーザ識別情報（例：ユーザＩＤ、パスワード）がそのまま使われて接続が許可されているか否かが判定される。ＣＩＦＳサーバ４０は、クライアント端末２０の接続が許可されていればツリーを識別する情報であるＴＩＤを通知する。
【００３４】
ＳＴＥＰ３の処理では、クライアント端末２０がＣＩＦＳサーバ４０のリソースを利用するための処理（以下、この処理を単に「クライアント要求処理」という。）が実行される。
【００３５】
クライアント要求処理では、たとえば、ＣＩＦＳサーバ４０が有しているファイルに対する実際の操作を行うための通信要求が発生する。図３に示す例では、操作したいファイル名などをクライアント端末２０からＣＩＦＳサーバ４０へ送信すると、ファイル識別子（ＦＩＤ）が通知される。そして、クライアント端末２０は、このＦＩＤに対してファイルの読み出し、書き込みなどの各種コマンドを実行する。ＣＩＦＳサーバ４０側の認可処理により、実行されたコマンドが許可されていれば適切な応答を返す。なお、これらの処理をすべて終了する場合には、クライアント端末２０は、ＳＴＥＰ３の通信レベルでファイルを閉じる処理（ＣＬＯＳＥ）が実行され、ＳＴＥＰ２の通信レベルでセットアップしたツリー接続を切断する処理（ＴＲＥＥ＿ＤＩＳＣＯＮＮＥＣＴ）が実行され、ＳＴＥＰ１の通信レベルでセッションをログオフする処理（ＳＥＳＳＩＯＮ＿ＬＯＧＯＦＦ）が実行されることになる。
【００３６】
これらのＳＴＥＰ１、ＳＴＥＰ２およびＳＴＥＰ３の３つの処理が実行されることでＣＩＦＳサーバ４０は、クライアント端末２０との間で適切な通信経路を確立すると共に、ユーザ認証処理と認可処理を実行して適切なアクセス権限にてリソースを利用させることが可能となっている。
【００３７】
以上、図２および図３を参照しながら、ＣＩＦＳプロトコルの典型的な通信処理例について説明したが、本実施形態におけるゲートウェイ１０は、クライアント端末２０とＣＩＦＳサーバ４０との間のこれらの通信処理を中継するために必要な機能を備えている。
【００３８】
図４は、図１に示すゲートウェイ１０の機能構成例を示すブロック図である。ゲートウェイ１０は、通信制御部１１と記憶部１７とを少なくとも有している。通信制御部１１は、更にネゴシエーション制御部１２、セッションセットアップ制御部１３、ツリーセットアップ制御部１４、中継制御部１５、および通信記録制御部１６を有している。また記憶部１７には、制御プログラム１７Ａ、ログデータ１７Ｂ、第１ユーザ識別情報１７Ｃおよび第２ユーザ識別情報１７Ｄが記憶されている。
【００３９】
なお、図４に示す通信制御部１１内の各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子やＲＡＭ，ＲＯＭ，ＨＤＤ，ＳＳＤ，フラッシュメモリなどの記憶装置で実現でき、ソフトウェア的には、ＯＳ、制御プログラム１７Ａおよびその他のコンピュータプログラム等が上記のハードウェアにインストールされることによって実現することができる。しかし、図４ではそれらの連携によって実現される機能ブロックを示している。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現することができる。また、ゲートウェイ１０に記憶部１７を有する構成としたが、この記憶部１７のログデータ１７Ｂのみを他のログ管理装置（外部記憶装置）などで記憶、管理させる構成としてもよい。
【００４０】
ネゴシエーション制御部１２は、図３で説明したＳＴＥＰ１のプロトコルネゴシエーションを制御するものであり、クライアント端末２０およびＣＩＦＳサーバ４０それぞれとの間でお互いのサポートしているネットワークプロトコル（すなわち、ＮＴＬＭ）のバージョンのすり合わせをそれぞれ行う。具体的には、ネゴシエーション制御部１２は、「Negotiate」というコマンドを通信相手となるクライアント端末２０あるいはＣＩＦＳサーバ４０に対して発行する。たとえば、ネゴシエーション制御部１２は、自身のサポートしているバージョン情報の一覧（ダイアレクト）を通信相手に送信すると共に、その通信相手がサポートしているバージョン情報の応答を受信する。なお、以下の説明において、クライアント端末２０との間でのプロトコルネゴシエーションを制御する場合のネゴシエーション制御部１２を「クライアントネゴシエーション制御部１２Ａ」とし、ＣＩＦＳサーバ４０との間でのプロトコルネゴシエーションを制御する場合のネゴシエーション制御部１２を「サーバネゴシエーション制御部１２Ｂ」として説明する場合がある。
【００４１】
セッションセットアップ制御部１３は、図３で説明したＳＴＥＰ１のセッションセットアップを制御するものであり、クライアント端末２０およびＣＩＦＳサーバ４０それぞれとの間でチャレンジ／レスポンス方式のユーザ認証に関する通信を適切なタイミングでそれぞれ実行する。なお、以下の説明において、クライアント端末２０との間でのセッションセットアップを制御する場合のセッションセットアップ制御部１３を「クライアントセッションセットアップ制御部１３Ａ」とし、ＣＩＦＳサーバ４０との間でのセッションセットアップを制御する場合のセッションセットアップ制御部１３を「サーバセッションセットアップ制御部１３Ｂ」として説明する場合がある。
【００４２】
ツリーセットアップ制御部１４は、図３で説明したＳＴＥＰ２のツリーセットアップを制御するものであり、クライアント端末２０およびＣＩＦＳサーバ４０それぞれとの間でのツリーセットアップに関する通信を適切なタイミングでそれぞれ実行する。
【００４３】
中継制御部１５は、図３で説明したＳＴＥＰ３のクライアント要求処理を制御するものであり、クライアント端末２０およびＣＩＦＳサーバ４０それぞれとの間で発行される各種コマンド、あるいは発行された各種コマンドに対する応答に関する通信を適切なタイミングでそれぞれ中継する処理を実行する。なお、中継制御部１５は、クライアント端末２０から送信されてくるパス情報を、ＣＩＦＳサーバ４０のアドレスに適宜変換してからＣＩＦＳサーバ４０へと転送する。
【００４４】
通信記録制御部１６は、図３で説明したＳＴＥＰ３の処理においてクライアント端末２０とＣＩＦＳサーバ４０との間においてやりとりされるファイルデータや各種コマンドについて取得して記憶部１７にログデータ１７Ｂとして記憶する。なお、通信記録制御部１６は、ネットワーク３０を介して接続可能な外部の記憶部（不図示）にログデータ１７Ｂを記憶するように構成してもよい。
【００４５】
記憶部１７は、制御プログラム１７Ａ，ログデータ１７Ｂ，第１ユーザ識別情報１７Ｃおよび第２ユーザ識別情報１７Ｄを記憶することができる。
【００４６】
制御プログラム１７Ａは、ゲートウェイ１０（コンピュータ）を、図４の通信制御部１１に示す各ブロックとして説明したように機能させるためのプログラムである。
【００４７】
ログデータ１７Ｂは、通信記録制御部１６により記録される操作ログを示す情報である。なお、ログデータ１７Ｂの詳細については後述する（図８，図９，図１０）。
【００４８】
第１ユーザ識別情報１７Ｃは、ゲートウェイ１０が独自にユーザを管理するためのユーザＩＤとパスワードなどのユーザ識別情報である。第２ユーザ識別情報１７Ｄは、ＣＩＦＳサーバ４０に接続する際のユーザＩＤとパスワードなどのユーザ識別情報である。ゲートウェイ１０では、第１ユーザ識別情報１７Ｃと第２ユーザ識別情報１７Ｄとが関連付けて記憶されている。ゲートウェイ１０は、クライアント端末２０との間で実行するユーザ認証処理（第１のユーザ認証）では、第１ユーザ識別情報を用いる。一方、ゲートウェイ１０は、ＣＩＦＳサーバ４０との間で実行するユーザ認証処理（第２のユーザ認証）および認可処理では、第１ユーザ識別情報に関連付けられている第２ユーザ識別情報を用いる。
【００４９】
なお、本実施形態において、第１ユーザ識別情報１７Ｃは各人を識別するためのユーザＩＤおよびパスワードが登録されているが、第２ユーザ識別情報１７Ｄは、ＣＩＦＳサーバ４０での特権ＩＤおよびパスワードなどが登録されている。これにより、ゲートウェイ１０では特権ＩＤの利用者が誰であるのかを把握することができる。
【００５０】
（クライアント端末２０の構成）
図１に戻りクライアント端末２０について説明する。クライアント端末２０は、ＣＩＦＳサーバ４０へ接続するためのコンピュータである。クライアント端末２０は、ユーザによって、ＣＩＦＳサーバ４０へログインするためのユーザＩＤとパスワードが入力されると、ゲートウェイ１０に対してセッション確立をするための認証要求を送信することができる。なお、クライアント端末２０は、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子やＲＡＭ，ＲＯＭ，ＨＤＤなどの記憶装置で実現でき、ソフトウェア的にはWINDOWS（登録商標）、Mac（登録商標）、UNIX（登録商標）,Linux（登録）などの各種OS、コンピュータプログラム等によって実現される。
【００５１】
（ネットワーク３０の構成）
ネットワーク３０は、インターネットやローカルエリアネットワーク（ＬＡＮ）等を組み合わせて構築されたものである。しかしながら、ゲートウェイ１０やＣＩＦＳサーバ４０、クライアント端末２０は、互いに専用回線にて接続される構成であってもよい。
【００５２】
（ＣＩＦＳサーバ４０の構成）
ＣＩＦＳサーバ４０は、ファイル共有サービスを提供するサーバである。なお、ＣＩＦＳサーバ４０は、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子やＲＡＭ，ＲＯＭ，ＨＤＤなどの記憶装置で実現でき、ソフトウェア的にはWINDOWS（登録商標）、Mac（登録商標）、UNIX（登録商標）,Linux（登録）などのサーバ用OS、コンピュータプログラム等によって実現される。
【００５３】
（クライアント端末２０での画面遷移例）
図５は、図１に示すクライアント端末２０での画面遷移例を示す図である。なお、ユーザは接続する予定のＣＩＦＳサーバ４０およびＣＩＦＳサーバ４０のフォルダ等は事前に申請すると共に、当該フォルダのアクセス許可の権限を有する者（承認者）から承認されている必要がある。しかしながら、接続する予定のＣＩＦＳサーバ４０、ＣＩＦＳサーバ４０のフォルダ等は事前申請しなくても利用できるようにしてもよい。
【００５４】
図５は、図１に示すクライアント端末２０での画面遷移例を示す図である。なお、ユーザは接続するＣＩＦＳサーバ４０、ＣＩＦＳサーバ４０のフォルダ等は事前に申請すると共に、当該フォルダのアクセス許可の権限を有する者（承認者）から承認されている必要がある。しかしながら、接続するＣＩＦＳサーバ４０、ＣＩＦＳサーバ４０のフォルダ等は事前申請しなくても利用できるようにしてもよい。
【００５５】
ユーザは、上述の事前承認をした後に、クライアント端末２０で表示される画面５１からゲートウェイ１０のＩＰアドレス（またはホスト名）、ゲートウェイ１０でのフォルダ名を指定する。するとログイン画面５２が別途ポップアップ表示される。ユーザはこのログイン画面５２から、ゲートウェイ１０で独自に管理されているユーザ名、およびパスワードを入力する。すなわち、ユーザは、第１のユーザ識別情報１７Ｃに登録されているユーザＩＤとパスワードを入力する。
【００５６】
するとゲートウェイ１０側では、クライアント端末２０およびＣＩＦＳサーバ４０それぞれとの間で適切な処理が実行されて目的のＣＩＦＳサーバ４０、フォルダにアクセスできるようになり、クライアント端末２０において画面５３が表示される。
【００５７】
図６は、図１に示すゲートウェイ１０による中継処理の通信概念図である。なお、図６に示すような通信がなされる前提として、クライアント端末２０側で、ＣＩＦＳサーバ４０へ接続する際には必ずゲートウェイ１０に接続されるように構成されている必要がある。
【００５８】
ＳＴＥＰ１ではゲートウェイ１０があらかじめクライアント端末２０に割り振っているＵＩＤによるユーザ認証が行われる。ここでクライアント端末２０は、チャレンジ／レスポンス方式によるユーザ認証（第１のユーザ認証）により、ゲートウェイ１０とセッションを確立することになる。
【００５９】
ＳＴＥＰ２ではツリー接続識別子（以下、単に「ＴＩＤ」という）によるパス認証（なお、ここでのパス認証には、ユーザ認可処理の概念も含む）が行われる。ここでゲートウェイ１０は、クライアント端末２０からの情報に基づいて、接続先となるＣＩＦＳサーバ４０のＩＰアドレス、接続先パス名、ＮＴＬＭハッシュ値を取得することができると共に、記憶部１７を参照してＣＩＦＳサーバ４０に接続する際に用いるユーザ名などを特定することができる。ここで、ゲートウェイ１０は、ＣＩＦＳサーバ４０との間でチャレンジ／レスポンス方式によるユーザ認証（第２のユーザ認証）により、ＣＩＦＳサーバ４０とセッションを確立することになる。
【００６０】
ＳＴＥＰ３では実際のファイルの操作に関するやりとりがなされる。なお、ゲートウェイ１０は、ＳＴＥＰ２およびＳＴＥＰ３において、クライアント端末２０から送信されてくるパスの付け替えを適宜実行する。なお、クライアント端末２０とゲートウェイ１０のＳＴＥＰ２の通信処理が終了すると、ゲートウェイ１０とＣＩＦＳサーバ４０間のＳＴＥＰ１の通信処理も終了する。また、クライアント端末２０とゲートウェイ１０間のＳＴＥＰ１が１回だけでも、ゲートウェイ１０とＣＩＦＳサーバ４０間のＳＴＥＰ１は、アクセスする対象が変わるごとに実行する必要がある。
【００６１】
図７は、図６に示した通信処理の具体例を示す図である。以下、それぞれの機器の間で実行される上述したＳＴＥＰ１、ＳＴＥＰ２およびＳＴＥＰ３に対応する処理について説明する。
【００６２】
(クライアント端末２０、ゲートウェイ１０間のＳＴＥＰ１、セッション確立）
本処理は、クライアント端末２０とゲートウェイ１０間のセッションを確立する処理であり、図３で説明したクライアント端末２０とＣＩＦＳサーバ４０間の通信処理と基本的には同様である。
【００６３】
なお、クライアント端末２０とゲートウェイ１０間のＳＴＥＰ１の処理は、ユーザがプロンプト（図５の画面５１）より、ゲートウェイ１０のＩＰアドレス（またはホスト名、コンピュータ名など），ゲートウェイ１０上のフォルダ名を入力することにより実行される。そして、クライアント端末２０は、ユーザにより入力されたＩＰアドレスに対してＳＴＥＰ１の「ＮＥＧＯＣＩＡＴＥ」を実施した後に、「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ（ＮＴＬＭ：type１negotiate）」（以下、これを「type1メッセージ」という。）を送信する。ゲートウェイ１０は、type1メッセージをクライアント端末２０から受信すると「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ（ＮＴＬＭ：type２）」（以下、これを「type２メッセージ」という。）を返信する。このtype2メッセージを受信したクライアント端末２０は、自身のＯＳにログインしているユーザの情報で、「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ（ＮＴＬＭ：type３ response）」（以下、これを「type3メッセージ」という。）を作成し、ゲートウェイ１０へ送信する。なお、クライアント端末２０は、このtype3メッセージの情報で認証に失敗した場合には図５の画面５２で示したようなログインプロンプトを表示させ、ユーザにユーザ名とパスワードの入力を促し、入力された情報に基づいて再度type3メッセージを生成して送信する。すると、ゲートウェイ１０は、「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ response）」にてユーザ認可可否を通知する。
【００６４】
（クライアント端末２０、ゲートウェイ１０間のＳＴＥＰ２、パス情報の送信）
ＳＴＥＰ１の「ＳＥＳＳＩＯＮ＿ＳＥＴＵＰ＿ＡＮＤＸ response）」にてゲートウェイ１０から認証に成功したというメッセージを受信すると、クライアント端末２０は、ユーザがプロンプト（図５の画面５１）から入力したゲートウェイ１０上のフォルダ名に基づいて「ＴＲＥＥ_ＣＯＮＮＥＣＴ_ＡＮＤＸ request）」にて接続したいパス情報をゲートウェイ１０へ送信する。なお、ここでのパス情報は、ゲートウェイ１０上のパス情報である。
【００６５】
（ゲートウェイ１０、ＣＩＦＳサーバ４０間のＳＴＥＰ１、セッション確立）
ゲートウェイ１０は、クライアント端末２０とのＳＴＥＰ２にてパス情報を受信すると、ＣＩＦＳサーバ４０との間でセッションを確立する処理を開始する。なお、ゲートウェイ１０、ＣＩＦＳサーバ４０間のＳＴＥＰ１の処理は、クライアント端末２０とゲートウェイ１０間のＳＴＥＰ１の処理と同様の処理であるため、説明を省略する。
【００６６】
（ゲートウェイ１０、ＣＩＦＳサーバ４０間のＳＴＥＰ２、パス情報の送信、認可処理）
ゲートウェイ１０は、ＣＩＦＳサーバ４０とのＳＴＥＰ１において、認証結果を受信すると、更にクライアント端末２０から受信したパス情報をＣＩＦＳサーバ４０上のパスに置き換えてからＣＩＦＳサーバ４０へと送信する。ＣＩＦＳサーバ４０は、ゲートウェイ１０から送信されてきたパス情報に基づいて認可処理を実行し、認可されていれば、ツリー接続子（ＴＩＤ）をゲートウェイ１０へ送信する。
【００６７】
（クライアント端末２０、ゲートウェイ１０間のＳＴＥＰ２、ＴＩＤの送信）
ゲートウェイ１０は、ＣＩＦＳサーバ４０から受信したＴＩＤをクライアント端末２０へ送信する。
【００６８】
（クライアント端末２０、ゲートウェイ１０間のＳＴＥＰ３）
クライアント端末２０は、接続先のリソースへの各種コマンドを実行する。
【００６９】
（ゲートウェイ１０、ＣＩＦＳサーバ４０間のＳＴＥＰ３）
ゲートウェイ１０は、クライアント端末２０から受信した接続先のリソースへの各種コマンドをＣＩＦＳサーバ４０へと中継すると共に、ＣＩＦＳサーバ４０から送信されてきた各種コマンドの応答についても中継する。
【００７０】
図８は、ＣＩＦＳサーバ４０のログデータ１７Ｂの出力タイミングの一例を示す図である。クライアント端末２０とゲートウェイ１０の間ではセッションセットアップ、ツリーセットアップ、ユーザ認証、認可処理が順番に実行された後に、ゲートウェイ１０がＣＩＦＳサーバ４０との間でセッションセットアップを開始する。そのため、ログデータ１７Ｂの起点としては、ゲートウェイ１０がＣＩＦＳサーバ４０との間でセッションセットアップを実行するタイミングが好ましい。また、終了するタイミングとしては、各装置間でＴＣＰクローズを実行するタイミングにログデータ１７Ｂを出力することが好ましい。
【００７１】
図９は、取得対象とされる操作と操作ログ（ログデータ１７Ｂの一例）の対応を示す図である。なお、図９に示す各操作に基づいて実行される処理が、クライアント端末２０とＣＩＦＳサーバ４０との間で実行される「所定の処理」に対応するものである。ユーザの操作としては、たとえばファイルやディレクトリの作成，書き込み，読み取り，削除，移動，コピーペースト，名称の変更、プロパティの変更などが挙げられる。これらの操作から取得されるログデータ１７Ｂとしては、たとえばユーザの操作がファイルやディレクトリの作成，書き込み，読み取り，削除，移動，コピーペーストのいずれかの操作であれば、その操作がなされたファイルの名前、ファイルの内容などがログデータ１７Ｂとして取得される。また、ユーザの操作がファイルやディレクトリのプロパティの変更であれば、変更前後のプロパティの内容などがログデータ１７Ｂとして取得される。
【００７２】
図１０は、アクセスログ（ログデータ１７Ｂの一例）の検索結果の一例を示す図である。図１０に示すように、ゲートウェイ１０では、ログデータ１７Ｂとして、たとえばゲートウェイ１０へのアクセス開始日時、アクセス終了日時、ゲートウェイ１０との接続時間（秒）、ゲートウェイ１０でのアクセス可否、ゲートウェイ１０のサーバ名（Gateway server名）、ゲートウェイ１０に接続する際に使用されたアカウント名、クライアント端末２０のＩＰアドレス（接続元ＩＰアドレス）、クライアント端末２０のノード名（接続ノード名）、ＣＩＦＳサーバのＩＰアドレス（接続先ＩＰアドレス）などが記憶されており、検索することが可能となっている。なお、アクセスログとしては、上記以外にもＣＩＦＳサーバ４０へのアクセス開始日時、アクセス終了日時、接続時間、ＣＩＦＳサーバ４０でのアクセス可否の結果を示す情報、ＣＩＦＳサーバ４０に接続する際にしようされたアカウント名などであってもよい。
【００７３】
[第２実施形態]
図１１は、本発明の第２実施形態におけるゲートウェイ１０Ａ、クライアント端末２０、ＣＩＦＳサーバ４０それぞれの間で実行される具体的な通信処理例を示す図である。本発明の第２実施形態におけるゲートウェイ１０Ａは、第１実施形態におけるゲートウェイ１０とはＣＩＦＳサーバ４０とのユーザ認証処理のタイミング、ユーザにパスワード入力を求める回数、および装置自体にかかる負荷の３点が主に異なる。
【００７４】
（ＣＩＦＳサーバ４０とのユーザ認証処理のタイミング）
第１実施形態では、ゲートウェイ１０とＣＩＦＳサーバ４０との間で実行されるユーザ認証処理は、クライアント端末２０とゲートウェイ１０との間で実行されるＳＴＥＰ１が完了した後に実行されている。一方、第２実施形態では、ゲートウェイ１０ＡとＣＩＦＳサーバ４０との間で実行されるユーザ認証処理は、クライアント端末２０とゲートウェイ１０Ａとの間で実行されるＳＴＥＰ１が完了する前から開始されるように構成されている。これにより、ゲートウェイ１０Ａは、クライアント端末２０との間で実行されるＳＴＥＰ１の処理を確立する過程で、ＣＩＦＳサーバ４０との間で実行されるＳＴＥＰ１の処理をそのまま転送させてしまうことが可能となる。
【００７５】
（ユーザにパスワード入力を求める回数）
第１実施形態では、ユーザにパスワード入力を求める回数については１回であったが、第２実施形態では２回の入力を求めるように構成されている。これは、ゲートウェイ１０Ａがクライアント端末２０との間で実行するＳＴＥＰ１の処理過程において、ユーザ認証に成功しても一度失敗した旨を通知するためである。なお、ユーザ認証に成功しても一度失敗させる理由は、ＣＩＦＳサーバ４０とクライアント端末２０との間で直接セッションを確立させるためである。
【００７６】
（装置自体にかかる負荷）
第１実施形態では、クライアント端末２０とゲートウェイ１０の間およびゲートウェイ１０とＣＩＦＳサーバ４０との間のそれぞれでセッションを確立させているため、クライアント端末２０からゲートウェイ１０へ送信されてきたパス情報をＣＩＦＳサーバ４０向けのパス情報に変換してから送信する処理が逐一なされていたが、第２実施形態では、ＣＩＦＳサーバ４０とクライアント端末２０との間で直接セッションを確立させているため、クライアント端末２０からゲートウェイ１０Ａへ送信されてきたパス情報をそのままＣＩＦＳサーバ４０へと送信（中継）している。これにより、ゲートウェイ１０Ａ自体で実行される処理が少なくなるため、ゲートウェイ１０Ａ自体にかかる負荷が軽減される。
【００７７】
［発明の実施の形態における効果］
以上のように、ゲートウェイ１０，１０Ａ（中継処理装置）は、ファイル共有サービスを提供するＣＩＦＳサーバ４０と、ＣＩＦＳサーバ４０のファイル共有サービスにて提供されるデータに接続するクライアント端末２０との間で実行される所定の処理を中継するものであり、クライアント端末２０からの要求に基づいてクライアント端末２０との間でセッションを確立するクライアントネゴシエーション制御部１２Ａ（第１のネゴシエーション制御部）と、クライアントネゴシエーション制御部１２Ａによりクライアント端末２０との間でセッションが確立された場合に、クライアント端末２０との間で第１のユーザ認証処理を実行するクライアントセッションセットアップ制御部１３Ａ（第１のセッションセットアップ制御部）と、クライアント端末２０のユーザが所望するＣＩＦＳサーバ４０の接続先を示す情報に基づいてＣＩＦＳサーバ４０との間でセッションを確立するサーバネゴシエーション制御部１２Ｂ（第２のネゴシエーション制御部）と、サーバネゴシエーション制御部１２ＢによりＣＩＦＳサーバ４０との間でセッションが確立された場合に、ＣＩＦＳサーバ４０との間で第２のユーザ認証処理を実行するサーバセッションセットアップ制御部１３Ｂ（第２のセッションセットアップ制御部）と、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末２０のユーザが認証された場合に、クライアント端末２０のユーザが所望する接続先を示す情報をＣＩＦＳサーバ４０に送信し、ＣＩＦＳサーバ４０の接続先におけるクライアント端末２０のユーザ認可処理をＣＩＦＳサーバ４０との間で実行し、ＣＩＦＳサーバ４０の接続先とのツリー接続を開始するツリーセットアップ制御部１４（ツリーセットアップ制御部）と、ツリーセットアップ制御部１４により実行されたユーザ認可処理の結果、クライアント端末２０のユーザが認可されている場合に、ＣＩＦＳサーバ４０との間で確立したツリー接続を識別できる情報（ＴＩＤ）をクライアント端末２０との間で既に確立しているセッションを利用して送信すると共に、クライアント端末２０とＣＩＦＳサーバ４０との間で実行される所定の処理を中継する中継制御部１５（中継処理部）とを有する構成となっている。
【００７８】
これにより、クライアント端末２０の操作としては、目的のＣＩＦＳサーバ４０に対してログイン処理をユーザが実行するだけで目的のＣＩＦＳサーバ４０へのアクセスをすることが可能になる。そして、クライアント端末２０からの通信を中継するゲートウェイ１０，１０Ａ側では、クライアント端末２０との間で確立される１つのセッション内において、ゲートウェイ１０，１０Ａにおけるユーザ認証処理（第１のユーザ認証処理）、ＣＩＦＳサーバ４０におけるユーザ認証処理（第２のユーザ認証処理）およびＣＩＦＳサーバ４０の接続先でのデータにおける認可処理のすべてを実行させることが可能となる。さらに、ＣＩＦＳサーバ４０では、ゲートウェイ１０，１０Ａからの通信要求に基づいてファイル共有サービスにて提供されるデータへのアクセスを制御すればよい。
【００７９】
すなわち、このゲートウェイ１０，１０Ａは、クライアント端末２０とＣＩＦＳサーバ４０との間で実行される通信処理についてアクセス制御を実行しながら中継させることが可能なので、これらの通信内容を記録することが容易に可能である。また、このゲートウェイ１０，１０Ａにより、クライアント端末２０にエージェント・ソフトを個別にインストールする必要がないため、業務情報システムのネットワーク環境に影響を与える可能性が非常に少なくなる。また、エージェント・ソフトを各クライアント端末２０にインストールする必要がないため、管理対象が多くなってしまうという問題は生じない。さらには、管理対象が多くならないため、システム運用側の負荷が増大してしまうという問題も生じない。なお、このゲートウェイ１０，１０Ａでは、クライアント端末２０のユーザについて第１のユーザ認証処理および第２のユーザ認証処理を実行するため、仮に接続先のＣＩＦＳサーバ４０で利用されるＩＤが特権ＩＤであっても、その特権ＩＤを誰がいつどのような対象に対してどのような操作をしたのかを容易に把握することができる。
【００８０】
また、ＣＩＦＳサーバ４０は、ファイル共有サービスをCIFS（Common Internet  File  System）プロトコルにて提供するものであり、このゲートウェイ１０，１０Ａが実行する第１のユーザ認証処理および第２のユーザ認証処理は、ＣＩＦＳで採用されているチャレンジ／レスポンス方式のユーザ認証が実行されるものであり、ユーザ認可処理は、ＣＩＦＳサーバ４０での接続先となるデータにおけるクライアント端末２０のユーザに対してＣＩＦＳにより設定されているアクセス制御に基づいて実行されるように構成されている。
【００８１】
これにより、図２および図３で説明したようなクライアント端末２０とＣＩＦＳサーバ４０との間で直接やり取りする際に実行されるＣＩＦＳ独自の通信処理、すなわちユーザ認証処理および認可処理に対応させて、ゲートウェイ１０，１０Ａ側において適宜必要となる処理をそれぞれの装置との間で実行させながら、両者間の通信を中継することを実現している。
【００８２】
また、クライアントセッションセットアップ制御部１３Ａ（第１のセッションセットアップ制御部）は、クライアント端末２０のユーザ認証処理が成功した場合に、その認証結果をクライアント端末２０へ通知し、サーバネゴシエーション制御部１２Ｂ（第２のネゴシエーション制御部）は、認証結果の通知を受信したクライアント端末２０から送信されてきたＣＩＦＳサーバ４０での接続先を示す情報に基づいてＣＩＦＳサーバ４０との間でセッションを確立し、中継制御部１５（中継処理部）は、クライアント端末２０からデータに対する所定の処理を実行するための操作情報を取得すると、データを示す情報および操作情報をＣＩＦＳサーバ４０へと通知するように構成されている。
【００８３】
これにより、クライアント端末２０側からは、ＣＩＦＳサーバ４０と直接通信やり取りする際の通信と同様の応答がゲートウェイ１０から適宜返ってくることになる。また、ＣＩＦＳサーバ４０側からは、クライアント端末２０と直接やり取りする際の通信と同様の要求がゲートウェイ１０から適宜送信されてくることになる。すなわち、ゲートウェイ１０が通信を中継してもクライアント端末２０とＣＩＦＳサーバ４０との間で直接やり取りされる通信と何ら変わらないため、これらの装置側での設定変更をする必要がない。
【００８４】
また、ゲートウェイ１０，１０Ａは、クライアント端末２０およびＣＩＦＳサーバ４０との間でやり取りされるデータの変更前後の各データをログデータ１７Ｂとして自己の記憶部１７あるいはネットワーク３０を介して接続可能な外部の記憶部（不図示）に記憶する通信記録制御部１６（記憶処理部）を有する構成となっている。
【００８５】
これにより、たとえば、ファイル共有サービスにて提供されるＣＩＦＳサーバ４０のデータへのアクセスについて、特権ＩＤの使用者を特定すると共に、具体的なイベントログや変更前後のファイルデータについても容易に取得することが可能となる。
【００８６】
また、上述したゲートウェイ１０，１０Ａとして説明した装置の中継処理方法、およびゲートウェイ１０，１０Ａとしてコンピュータを機能させるための制御プログラム１７Ａは上述したゲートウェイ１０，１０Ａが奏する効果と同様の効果を奏するものである。
【００８７】
以上、ゲートウェイ１０，１０Ａを例に挙げ説明したが、この発明は、上記実施の形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化したり、上記実施の形態に開示されている複数の構成要素を適宜組み合わせたりすることにより種々の発明を形成できる。例えば、実施の形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施の形態に亘る構成要素を適宜組み合わせても良い。
【００８８】
また、ゲートウェイ１０，１０Ａの上述した一連の処理は、ハードウェアにより実行することもできるし、ソフトウェアにより実行することもできる。一連の処理をソフトウェアにより実行する場合には、そのソフトウェアを構成するプログラムが、専用のハードウェアに組み込まれているコンピュータ、または、各種のプログラムをインストールすることで各種の機能を実行することが可能な、例えば汎用のパーソナルコンピュータなどに、非一時的プログラム記録媒体からインストールされる。
【符号の説明】
【００８９】
１０，１０Ａ…ゲートウェイ、１１…通信制御部、１２…ネゴシエーション制御部、
１３…セッションセットアップ制御部、１４…ツリーセットアップ制御部、１５…中継制御部、１６…通信記録制御部、１７…記憶部、１７Ａ…制御プログラム、１７Ｂ…ログデータ、２０…クライアント端末、３０…ネットワーク、４０，４０Ａ…ＣＩＦＳサーバ（ファイル共有サービスを提供するサーバ）、
【図１】
2015004743.tif 000003
【図２】
2015004743.tif 000004
【図３】
2015004743.tif 000005
【図４】
2015004743.tif 000006
【図６】
2015004743.tif 000007
【図７】
2015004743.tif 000008
【図８】
2015004743.tif 000009
【図９】
2015004743.tif 000010
【図１０】
2015004743.tif 000011
【図１１】
2015004743.tif 000012
【図５】
2015004743.tif 000013
【手続補正書】
【提出日】平成28年10月6日(2016.10.6)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
CIFS（Common Internet  File  System）プロトコルによるファイル共有サービスを提供するサーバと、前記サーバへ接続する際にＷｅｂＤＡＶ機能を用いるクライアント端末との間で実行される所定の処理を中継する中継処理装置であって、
前記クライアント端末からの要求に基づいて前記クライアント端末との間でセッションを確立する第１のネゴシエーション制御部と、
前記第１のネゴシエーション制御部により前記クライアント端末との間でセッションが確立された場合に、前記クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御部と、
前記クライアント端末が所望する前記サーバの接続先を示す情報に基づいて前記サーバとの間でセッションを確立する第２のネゴシエーション制御部と、
前記第２のネゴシエーション制御部により前記サーバとの間でセッションが確立された場合に、前記サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御部と、
前記第１のユーザ認証処理および前記第２のユーザ認証処理の両方において前記クライアント端末のユーザが認証された場合に、前記クライアント端末のユーザが所望する接続先を示す情報を前記サーバに送信し、前記クライアント端末の前記サーバの接続先におけるユーザ認可処理を前記サーバとの間で実行し、前記サーバの接続先とのツリー接続を開始するツリーセットアップ制御部と、
前記ツリーセットアップ制御部により実行された前記ユーザ認可処理の結果、前記クライアント端末のユーザが認可されている場合に、前記クライアント端末との間で既に確立しているセッションを利用して前記サーバとの間で確立した前記ツリー接続を識別できる情報を送信すると共に、前記クライアント端末と前記サーバとの間で実行される特権ＩＤを利用したユーザが実行した前記サーバに対する操作処理を中継する中継処理部と
を有することを特徴とする中継処理装置。
【請求項２】
請求項１に記載の中継処理装置であって、
前記第１のユーザ認証処理および前記第２のユーザ認証処理は、
チャレンジ／レスポンス方式によりユーザ認証が実行されるものであり、
前記ユーザ認可処理は、
前記サーバでの接続先となる前記データにおける前記クライアント端末のユーザに対して設定されているアクセス制御に基づいて実行される
ことを特徴とする中継処理装置。
【請求項３】
請求項１または２に記載の中継処理装置であって、
前記第１のセッションセットアップ制御部は、
前記クライアント端末のユーザ認証処理が成功した場合に、その認証結果を前記クライアント端末へ通知し、
前記第２のネゴシエーション制御部は、
前記認証結果の通知を受信したクライアント端末から送信されてきた前記サーバでの接続先を示す情報に基づいて前記サーバとの間でセッションを確立し、
前記中継処理部は、
前記クライアント端末から前記データに対する前記特権ＩＤを利用したユーザが実行した前記サーバに対する操作情報を取得すると、前記データを示す情報および前記操作情報を前記サーバへと通知することを特徴とする中継処理装置。
【請求項４】
請求項１〜３のいずれか１項に記載の中継処理装置であって、
前記クライアント端末および前記サーバとの間でやり取りされる前記データの変更前後の各データについて自己の記憶部あるいはネットワークを介して接続可能な外部の記憶部に記憶する記憶処理部
を有することを特徴とする中継処理装置。
【請求項５】
CIFS（Common Internet  File  System）プロトコルによるファイル共有サービスを提供するサーバと、前記サーバへ接続する際にＷｅｂＤＡＶ機能を用いるクライアント端末との間で実行される所定の処理を中継する中継処理装置に用いられる中継処理方法であって、
前記クライアント端末からの認証要求に基づいて前記クライアント端末との間でセッションを確立する第１のネゴシエーション制御ステップと、
前記第１のネゴシエーション制御ステップにより前記クライアント端末との間でセッションが確立された場合に、前記クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御ステップと、
前記クライアント端末が所望する前記サーバの接続先を示す情報に基づいて前記サーバとの間でセッションを確立する第２のネゴシエーション制御ステップと、
前記第２のネゴシエーション制御ステップにより前記サーバとの間でセッションが確立された場合に、前記サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御ステップと、
前記第１のユーザ認証処理および前記第２のユーザ認証処理の両方において前記クライアント端末のユーザが認証された場合に、前記クライアント端末のユーザが所望する接続先を示す情報を前記サーバに送信し、前記クライアント端末の前記サーバの接続先におけるユーザ認可処理を前記サーバとの間で実行し、前記サーバの接続先とのツリー接続を開始するツリーセットアップ制御ステップと、
前記ツリーセットアップ制御ステップにて実行された前記ユーザ認可処理の結果、前記クライアント端末のユーザが認可されている場合に、前記クライアント端末との間で既に確立しているセッションを利用して前記サーバとの間で確立した前記ツリー接続を識別できる情報を送信すると共に、前記クライアント端末と前記サーバとの間で実行される特権ＩＤを利用したユーザが実行した前記サーバに対する操作処理を中継する中継処理ステップと
を有することを特徴とする中継処理方法。
【請求項６】
CIFS（Common Internet  File  System）プロトコルによるファイル共有サービスを提供するサーバと、前記サーバへ接続する際にＷｅｂＤＡＶ機能を用いるクライアント端末との間で実行される所定の処理を中継する中継処理装置としてコンピュータを機能させるためのプログラムであって、
前記コンピュータを
前記クライアント端末からの認証要求に基づいて前記クライアント端末との間でセッションを確立する第１のネゴシエーション制御手段と、
前記第１のネゴシエーション制御手段により前記クライアント端末との間でセッションが確立された場合に、前記クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御手段と、
前記クライアント端末が所望する前記サーバの接続先を示す情報に基づいて前記サーバとの間でセッションを確立する第２のネゴシエーション制御手段と、
前記第２のネゴシエーション制御手段により前記サーバとの間でセッションが確立された場合に、前記サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御手段と、
前記第１のユーザ認証処理および前記第２のユーザ認証処理の両方において前記クライアント端末のユーザが認証された場合に、前記クライアント端末のユーザが所望する接続先を示す情報を前記サーバに送信し、前記クライアント端末の前記サーバの接続先におけるユーザ認可処理を前記サーバとの間で実行し、前記サーバの接続先とのツリー接続を開始するツリーセットアップ制御手段と、
前記ツリーセットアップ制御手段により実行された前記ユーザ認可処理の結果、前記クライアント端末のユーザが認可されている場合に、前記クライアント端末との間で既に確立しているセッションを利用して前記サーバとの間で確立した前記ツリー接続を識別できる情報を送信すると共に、前記クライアント端末と前記サーバとの間で実行される特権ＩＤを利用したユーザが実行した前記サーバに対する操作処理を中継する中継処理手段
として機能させるためのプログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
本発明の一側面は、中継処理装置に関するものである。すなわち、本発明に係る中継処理装置は、CIFS（Common Internet  File  System）プロトコルによるファイル共有サービスを提供するサーバと、前記サーバへ接続する際にＷｅｂＤＡＶ機能を用いるクライアント端末との間で実行される所定の処理を中継する中継処理装置であって、クライアント端末からの認証要求に基づいてクライアント端末との間でセッションを確立する第１のネゴシエーション制御部と、第１のネゴシエーション制御部によりクライアント端末との間でセッションが確立された場合に、クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御部と、クライアント端末のユーザが所望するサーバの接続先を示す情報に基づいてサーバとの間でセッションを確立する第２のネゴシエーション制御部と、第２のネゴシエーション制御部によりサーバとの間でセッションが確立された場合に、サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御部と、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末のユーザが認証された場合に、クライアント端末のユーザが所望する接続先を示す情報をサーバに送信し、サーバでの接続先におけるユーザ認可処理をサーバとの間で実行し、サーバの接続先とのツリー接続を開始するツリーセットアップ制御部と、ツリーセットアップ制御部により実行されたユーザ認可処理の結果、クライアント端末のユーザが認可されている場合に、クライアント端末との間で既に確立しているセッションを利用してサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末とサーバとの間で実行される特権ＩＤを利用したユーザが実行したサーバに対する操作処理を中継する中継処理部とを有することを特徴とする。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１４
【補正方法】変更
【補正の内容】
【００１４】
また、上述した構成に加えて、サーバは、第１のユーザ認証処理および第２のユーザ認証処理は、チャレンジ／レスポンス方式によりユーザ認証が実行されるものであり、ユーザ認可処理は、サーバでの接続先となるデータにおけるクライアント端末のユーザに対して設定されているアクセス制御に基づいて実行することができる。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１５
【補正方法】変更
【補正の内容】
【００１５】
また、上述した構成に加えて、第１のセッションセットアップ制御部は、クライアント端末のユーザ認証処理が成功した場合に、その認証結果をクライアント端末へ通知し、第２のネゴシエーション制御部は、認証結果の通知を受信したクライアント端末から送信されてきたサーバでの接続先を示す情報に基づいてサーバとの間でセッションを確立し、中継処理部は、クライアント端末からデータに対する特権ＩＤを利用したユーザが実行したサーバに対する操作情報を取得すると、データを示す情報および操作情報をサーバへと通知することができる。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】変更
【補正の内容】
【００１７】
また、本発明の一側面は、中継処理方法に関するものである。すなわち、本発明に係る中継処理方法は、CIFS（Common Internet  File  System）プロトコルによるファイル共有サービスを提供するサーバと、サーバへ接続する際にＷｅｂＤＡＶ機能を用いるクライアント端末との間で実行される所定の処理を中継する中継処理装置に用いられる中継処理方法であって、クライアント端末からの認証要求に基づいてクライアント端末との間でセッションを確立する第１のネゴシエーション制御ステップと、第１のネゴシエーション制御ステップによりクライアント端末との間でセッションが確立された場合に、クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御ステップと、クライアント端末のユーザが所望するサーバの接続先を示す情報に基づいてサーバとの間でセッションを確立する第２のネゴシエーション制御ステップと、第２のネゴシエーション制御ステップによりサーバとの間でセッションが確立された場合に、サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御ステップと、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末のユーザが認証された場合に、クライアント端末のユーザが所望する接続先を示す情報をサーバに送信し、サーバでの接続先におけるユーザ認可処理をサーバとの間で実行し、サーバの接続先とのツリー接続を開始するツリーセットアップ制御ステップと、ツリーセットアップ制御ステップにて実行されたユーザ認可処理の結果、クライアント端末のユーザが認可されている場合に、クライアント端末との間で既に確立しているセッションを利用してサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末とサーバとの間で実行される特権ＩＤを利用したユーザが実行したサーバに対する操作処理を中継する中継処理ステップを有することを特徴とする。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
また、本発明の一側面は、プログラムに関するものである。すなわち、本発明に係るプログラムは、CIFS（Common Internet  File  System）プロトコルによるファイル共有サービスを提供するサーバと、サーバへ接続する際にＷｅｂＤＡＶ機能を用いるクライアント端末との間で実行される所定の処理を中継する中継処理装置としてコンピュータを機能させるためのプログラムであって、コンピュータをクライアント端末からの認証要求に基づいてクライアント端末との間でセッションを確立する第１のネゴシエーション制御手段と、第１のネゴシエーション制御手段によりクライアント端末との間でセッションが確立された場合に、クライアント端末との間で第１のユーザ認証処理を実行する第１のセッションセットアップ制御手段と、クライアント端末のユーザが所望するサーバの接続先を示す情報に基づいてサーバとの間でセッションを確立する第２のネゴシエーション制御手段と、第２のネゴシエーション制御手段によりサーバとの間でセッションが確立された場合に、サーバとの間で第２のユーザ認証処理を実行する第２のセッションセットアップ制御手段と、第１のユーザ認証処理および第２のユーザ認証処理の両方においてクライアント端末のユーザが認証された場合に、クライアント端末のユーザが所望する接続先を示す情報をサーバに送信し、サーバでの接続先におけるユーザ認可処理をサーバとの間で実行し、サーバの接続先とのツリー接続を開始するツリーセットアップ制御手段と、ツリーセットアップ制御手段により実行されたユーザ認可処理の結果、クライアント端末のユーザが認可されている場合に、クライアント端末との間で既に確立しているセッションを利用してサーバとの間で確立したツリー接続を識別できる情報を送信すると共に、クライアント端末とサーバとの間で実行される特権ＩＤを利用したユーザが実行したサーバに対する操作処理を中継する中継処理手段として機能させるプログラムであることを特徴とする。
【国際調査報告】
2015004743.tif 000014
2015004743.tif 000015
2015004743.tif 000016
2015004743.tif 000017