(57)【要約】【課題】クライアントがサーバへのアクセス順序を意識することなく異なるドメインに属する複数のＷｅｂサーバに対してシングルサインオンを実現するユーザ認証システムを得ること。【解決手段】中継認証サーバ２３は、端末３がＷｅｂサーバ２１，２２にクッキー＃２の発行前にアクセス要求した場合には端末３に認証サーバ１３へアクセスさせ、端末３からクッキー＃１を含むアクセス要求を受信した場合にはクッキー＃２を生成してＷｅｂサーバ２１，２２および端末３に送信し、認証サーバ１３は、クッキー＃１の発行前にアクセス要求を受けた場合には端末３から認証情報を取得してログインによる認証処理を実行してクッキー＃１を生成してＷｅｂサーバ１１，１２および端末３に送信し、クッキー＃１の発行後に端末３からのアクセス要求を受信した場合にはクッキー＃１を端末３に送信する。【選択図】        図３
2008197973.tif 000002
【特許請求の範囲】
【請求項１】
第１のドメインに属する１〜複数のＷｅｂサーバおよびログインによる認証処理によってクライアントに対して前記第１のドメインに対する第１のクッキーを発行する認証サーバと、第２のドメインに属する１〜複数のＷｅｂサーバおよびログインによる認証処理によってクライアントに対して前記第２のドメインの第２クッキーを発行する中継認証サーバと、前記第１および第２のクッキーを含むアクセス要求によって第１および第２のドメインに属するＷｅｂサーバのサービスを受けるクライアント端末とがネットワークに接続されるユーザ認証システムにおいて、
前記中継認証サーバは、
前記クライアント端末が前記第２のドメインに属するＷｅｂサーバに前記第２のクッキーの発行前にアクセス要求した場合には前記クライアント端末に前記認証サーバへのアクセス指示を送信し、前記クライアント端末から前記第１のドメインに対する第１のクッキーを含むアクセス要求を受信した場合には前記第２のドメインに対する第２のクッキーを生成し、生成した第２のクッキーを前記第２のドメインに属するＷｅｂサーバおよび前記クライアント端末に送信する第２のクッキーの発行処理を実行し、
前記認証サーバは、
前記クライアント端末が前記第１のクッキーの発行前にアクセス要求を受けた場合には前記クライアント端末から認証情報を取得して前記クライアント端末を利用するクライアントを認証するログインによる認証処理を実行して前記第１のクッキーを生成し、生成した第１のクッキーを前記第１のドメインに属するＷｅｂサーバおよびクライアント端末に送信する第１のクッキーの発行処理を実行し、前記第１のクッキーの発行処理を実行した後に前記クライアント端末からのアクセス要求を受信した場合には前記第１のクッキーを前記クライアント端末に送信し、
前記クライアント端末は、
前記中継認証サーバからのアクセス指示によって前記認証サーバにアクセスした場合には前記認証サーバから受信した第１のクッキーの値をデータとして含めたアクセス要求を前記中継認証サーバに送信し、第１および第２のドメインに属するＷｅｂサーバにアクセスする際には第１および第２のクッキーをアクセス要求に含めること、
を特徴とするユーザ認証システム。
【請求項２】
前記認証サーバは、
前記クライアント端末からログアウト操作を要求された場合、ログアウト処理を実行させる入力画面と、前記ログアウト処理の実行が入力された場合に前記第１および第２のクッキーを消去する指示とを含む表示画面情報を前記クライアント端末に送信し、
前記クライアント端末は、
前記表示画面情報を表示するとともに、クライアントからログアウト処理の実行指示が入力されると、ログアウト処理要求を認証サーバに送信して第１のクッキーを消去させるとともに、ログアウト処理要求を中継認証サーバに送信して第２のクッキーを消去させること、
を特徴とする請求項１に記載のユーザ認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
複数のＷｅｂサーバのユーザ認証に関するものであり、特に、異なるドメインに属する複数のＷｅｂサーバに対してシングルサインオンを実現するユーザ認証システムに関するものである。
【背景技術】
【０００２】
複数のＷｅｂサーバへのシングルサインオンを実現する方法として、ログイン成功時に認証に成功した旨の情報をクッキーに設定し、以降のログイン操作を省略する方法がある。しかしながら、クッキーはＷｅｂブラウザなどのＷｅｂクライアントからクッキーの発行元ドメインに対してだけ送られるデータであるため、通常は複数ドメインに跨るシングルサインオンに利用することは難しい。
【０００３】
このようなクッキーの制約を回避するための従来技術として、たとえば、特許文献１がある。特許文献１には、第１サーバが、第２サーバへのリンク情報であってユーザが第１サーバにより認証済みであることを示すユーザ認証情報を有するリンク情報を含むユーザの認証完了画面構成データをユーザ端末に送信し、ユーザ端末のブラウザがユーザの認証完了画面構成データに含まれるリンク情報解釈する際に、ユーザ端末がユーザ認証情報を第２サーバに送信し、第２サーバがユーザ認証情報を含むクッキーを送信し、ユーザが第２サーバにアクセスした際に、第２サーバがクッキーを受信してクッキー内のユーザ認証情報を参照することでユーザを認証する技術が開示されている。
【０００４】
【特許文献１】特開２００３−５８５０３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記特許文献１に記載の従来技術は、第１サーバにアクセスした後に第１サーバからのリンク情報によって第２サーバにアクセスするものであり、シングルサインオン対象のサーバ群へのアクセス順序が規定されているため、ブラウザのブックマーク等から直接任意のサーバにアクセスすることができないという問題があった。
【０００６】
本発明は、上記に鑑みてなされたものであって、クライアントがサーバへのアクセス順序を意識することなく異なるドメインに属する複数のＷｅｂサーバに対してシングルサインオンを実現するユーザ認証システムを得ることを目的とする。
【課題を解決するための手段】
【０００７】
上述した課題を解決し、目的を達成するために、本発明は、第１のドメインに属する１〜複数のＷｅｂサーバおよびログインによる認証処理によってクライアントに対して前記第１のドメインに対する第１のクッキーを発行する認証サーバと、第２のドメインに属する１〜複数のＷｅｂサーバおよびログインによる認証処理によってクライアントに対して前記第２のドメインの第２クッキーを発行する中継認証サーバと、前記第１および第２のクッキーを含むアクセス要求によって第１および第２のドメインに属するＷｅｂサーバのサービスを受けるクライアント端末とがネットワークに接続されるユーザ認証システムにおいて、前記中継認証サーバは、前記クライアント端末が前記第２のドメインに属するＷｅｂサーバに前記第２のクッキーの発行前にアクセス要求した場合には前記クライアント端末に前記認証サーバへのアクセス指示を送信し、前記クライアント端末から前記第１のドメインに対する第１のクッキーを含むアクセス要求を受信した場合には前記第２のドメインに対する第２のクッキーを生成し、生成した第２のクッキーを前記第２のドメインに属するＷｅｂサーバおよび前記クライアント端末に送信する第２のクッキーの発行処理を実行し、前記認証サーバは、前記クライアント端末が前記第１のクッキーの発行前にアクセス要求を受けた場合には前記クライアント端末から認証情報を取得して前記クライアント端末を利用するクライアントを認証するログインによる認証処理を実行して前記第１のクッキーを生成し、生成した第１のクッキーを前記第１のドメインに属するＷｅｂサーバおよびクライアント端末に送信する第１のクッキーの発行処理を実行し、前記第１のクッキーの発行処理を実行した後に前記クライアント端末からのアクセス要求を受信した場合には前記第１のクッキーを前記クライアント端末に送信し、前記クライアント端末は、前記中継認証サーバからのアクセス指示によって前記認証サーバにアクセスした場合には前記認証サーバから受信した第１のクッキーの値をデータとして含めたアクセス要求を前記中継認証サーバに送信し、第１および第２のドメインに属するＷｅｂサーバにアクセスする際には第１および第２のクッキーをアクセス要求に含めること、を特徴とする。
【発明の効果】
【０００８】
この発明によれば、第１のドメインに属する１〜複数のＷｅｂサーバおよびログインによる認証処理によってクライアントに対して第１のドメインに対する第１のクッキーを発行する認証サーバと、第２のドメインに属する１〜複数のＷｅｂサーバおよびログインによる認証処理によってクライアントに対して第２のドメインの第２クッキーを発行する中継認証サーバと、第１および第２のクッキーを含むアクセス要求によって第１および第２のドメインに属するＷｅｂサーバのサービスを受けるクライアント端末とがネットワークに接続されるユーザ認証システムにおいて、中継認証サーバは、クライアント端末が第２のドメインに属するＷｅｂサーバに第２のクッキーの発行前にアクセス要求した場合にはクライアント端末に認証サーバへのアクセス指示を送信し、クライアント端末から第１のドメインに対する第１のクッキーを含むアクセス要求を受信した場合には第２のドメインに対する第２のクッキーを生成し、生成した第２のクッキーを第２のドメインに属するＷｅｂサーバおよびクライアント端末に送信する第２のクッキーの発行処理を実行し、認証サーバは、クライアント端末から第１のクッキーの発行前にアクセス要求を受けた場合にはクライアント端末から認証情報を取得してクライアント端末を利用するクライアントを認証するログインによる認証処理を実行して第１のクッキーを生成し、生成した第１のクッキーを第１のドメインに属するＷｅｂサーバおよびクライアント端末に送信する第１のクッキーの発行処理を実行し、第１のクッキーの発行処理を実行した後にクライアント端末からのアクセス要求を受信した場合には第１のクッキーをクライアント端末に送信し、クライアント端末は、中継認証サーバからのアクセス指示によって認証サーバにアクセスした場合には認証サーバから受信した第１のクッキーの値をデータとして含めたアクセス要求を中継認証サーバに送信し、第１および第２のドメインに属するＷｅｂサーバにアクセスする際には第１および第２のクッキーをアクセス要求に含めるようにしている。
【０００９】
すなわち、認証サーバを持たないドメインには認証サーバにクライアント端末を接続させる中継認証サーバを備えることで、クライアントのログインによる認証処理はシステム内のどのドメインにアクセスした場合でも認証サーバが実行し、クッキーの発行については、ログインによる認証処理が終了した後にクライアント端末がアクセスしようとしたＷｅｂサーバが属するドメイン内の認証サーバまたは中継認証サーバが実行するようにしている。これにより、クライアントはサーバへのアクセス順序を意識することなく異なるドメインに属する複数のＷｅｂサーバに対してシングルサインオンを実現するユーザ認証システムを得ることという効果を奏する。
【発明を実施するための最良の形態】
【００１０】
以下に、本発明にかかるユーザ認証システムおよび中継認証サーバの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００１１】
実施の形態１．
図１〜図３を参照して、この発明の実施の形態１を説明する。図１は、この発明におけるユーザ認証システムの構成の一例を示す図である。図１において、ユーザ認証システムは、複数（この場合は４台）のＷｅｂサーバ１１，１２，２１，２２と、認可情報データベース(以下、認可情報ＤＢという）およびユーザデータベース（以下、ユーザＤＢという）と接続される認証サーバ１３と、端末３とがネットワーク４を介して接続される。Ｗｅｂサーバ１１，１２、認証サーバ１３、認可情報ＤＢ１４、およびユーザＤＢ１５はドメイン１に属し、Ｗｅｂサーバ２１，２２および中継認証サーバ２３はドメイン２に属している。このユーザ認証システムでは、クライアントは端末３を用いてユーザ登録（たとえば、ユーザＩＤおよびパスワードの登録）を行ない、登録したユーザＩＤおよびパスワードを認証情報として用いてドメイン１，２にログインすることによりＷｅｂサーバ１１，１２，２１，２２へのアクセスが可能となり各種サービスの提供を受けることができる。
【００１２】
端末３は、たとえば、ブラウザがインストールされたパーソナルコンピュータなどで構成され、クライアントによって操作され、Ｗｅｂサーバ１１，１２，２１，２２にアクセスして所望のサービスの提供を受けるための装置である。
【００１３】
ユーザＤＢ１５には、クライアントが端末３を介して登録したユーザＩＤおよびパスワードが登録される。認可情報ＤＢ１４には、Ｗｅｂサーバ１１，１２，２１，２２が有するコンテンツに関連付けてそのコンテンツを利用可能なユーザＩＤが登録される。
【００１４】
認証サーバ１３は、ユーザＤＢ１５認可情報ＤＢ１４に基づいて、自装置が属するドメイン１のＷｅｂサーバ１１，１２へのログイン、および自装置が属するドメイン１とは異なるドメイン２のＷｅｂサーバ２１，２２へのログインの認証処理を行ない、自装置が属するドメイン１に対するクッキーを発行するとともに認可チケットを発行する。
【００１５】
中継認証サーバ２３は、自装置が属するドメイン２のＷｅｂサーバ２１，２２へのログインの要求を認証サーバ１３に中継する。中継認証サーバ２３は、認証サーバ１３によってログインの認証処理が実行された後に、認証サーバ１３が発行したドメイン１に対するクッキーと認可チケットに基づいて、自装置が属するドメイン２に対するクッキーおよび認可チケットを発行する。
【００１６】
つぎに、図２および図３のシーケンス図と図１とを参照して、この実施の形態１のユーザ認証システムの動作について説明する。まず、図２のシーケンス図を参照して、ドメイン１のＷｅｂサーバ１１にクライアントがアクセス要求を行った場合のシングルサインオンの動作について説明する。なお、クライアントは、端末３を用いてユーザ登録処理を行なっており、ユーザＤＢ１５にはユーザＩＤおよびパスワードが登録され、認可情報ＤＢ１４には認可情報が登録されているものとする。
【００１７】
クライアントは、端末３を用いてＷｅｂサーバ１１に所望のサービスの提供（Ｗｅｂサイトへのアクセス）を要求する。端末３は、Ｗｅｂサーバ１１にアクセス要求を送信する（ステップＳ１００）。すでに、ドメイン１のＷｅｂサーバ１１，１２のＷｅｂサイトにアクセスしている場合はログインの認証処理が行われて端末３にはドメイン１に対するクッキー＃１が記憶されているので、クッキー＃１を含むアクセス要求を送信する。Ｗｅｂサーバ１１のアクセスがドメイン１のＷｅｂサーバ１１，１２への最初のアクセスの場合はログインの認証処理が行われていないため端末３にはドメイン１に対するクッキー＃１が記憶されていないため、クッキー＃１を含めないアクセス要求を送信する。
【００１８】
Ｗｅｂサーバ１１は、クライアントに対してログインの認証済みであるか否かを判定する（ステップＳ１０１）。クッキーは、後述するが、認証サーバ１３のログインによる認証処理によってクライアントが用いる端末３およびドメイン１内のＷｅｂサーバ１１，１２に通知される。よって、Ｗｅｂサーバ１１は、アクセス要求に自装置が記憶しているクッキーと一致するクッキーが含まれている場合にはログインによる認証処理が行われ認証済みのクライアントであると判定し、アクセス要求に自装置が記憶しているクッキーと一致するクッキーが含まれていない場合にはログインによる認証処理が行われていない未認証のクライアントであると判定する。
【００１９】
認証済みではない場合（ステップＳ１０１，Ｎｏ）、Ｗｅｂサーバ１１は、認証サーバ１３へのアクセス指示を端末３に送信する（ステップＳ１０２）。端末３は、アクセス指示に基づいて認証サーバ１３にアクセス要求を送信する（ステップＳ１０３）。認証サーバ１３は、アクセス要求を受けると、ログインの操作を促し認証情報（ユーザＩＤおよびパスワード）を要求する認証情報要求を端末３に送信する（ステップＳ１０４）。端末３は、認証情報要求に基づいてクライアントに認証情報の入力を促すログイン画面を表示する。端末３は、クライアントによって認証情報が入力されると、入力された認証情報を含む認証情報応答を認証サーバ１３に送信する（ステップＳ１０５）。
【００２０】
認証サーバ１３は、認証情報応答、ユーザＤＢ１５、および認可情報ＤＢ１４に基づいてログインの認証処理を実行する（ステップＳ１０６）。具体的には、認証サーバ１３は、認証情報応答に含まれる認証情報、すなわちユーザＩＤおよびパスワードの組がユーザＤＢ１５に登録されているか否かを判定する。認証情報応答に含まれるユーザＩＤおよびパスワードの組がユーザＤＢ１５に登録されている場合、認証サーバ１３はログインを許可して、このユーザＩＤが示すクライアントに対してドメイン１のクッキー＃１を生成する。このクッキー＃１にはログインによる認証処理が実行され認証が成功した旨の情報が含まれている。また、認証サーバ１３は、認証情報応答に含まれるユーザＩＤに関連付けられて認可情報ＤＢ１４に登録されているコンテンツを抽出してドメイン１の認可チケット＃１を生成する。一方、認証情報応答に含まれるユーザＩＤおよびパスワードの組がユーザＤＢ１５に登録されていない場合、認証サーバ１３は、予め定められた所定の処理、たとえば、端末３に対してパスワードが異なるなどとメッセージを表示させて認証情報を再度入力させるなどの指示を行う処理を実行する。
【００２１】
認証サーバ１３は、認証処理によってクッキー＃１および認可チケット＃１を生成すると、生成したクッキー＃１および認可チケット＃１を含む認証許可を端末３に送信する（ステップＳ１０６）。なお、端末３に送信する認証許可にはログイン前に端末３がアクセス要求したＷｅｂサーバ１１へのアクセス指示を含めておく。また、認証サーバ１３は、生成したクッキー＃１を記憶するとともに、生成したクッキー＃１および認可チケット＃１をドメイン１内のすべてのＷｅｂサーバ１１，１２に送信する（ステップＳ１０７）。Ｗｅｂサーバ１１，１２は、受信したクッキー＃１および認可チケット＃１を記憶し、以後、端末３からクッキー＃１を含むアクセス要求を受けた場合、認可チケット＃１によってアクセスが認可されたＷｅｂサイトのサービスを端末３に提供する。
【００２２】
認証許可を受信すると、端末３は、認証許可に含まれるクッキー＃１および認可チケット＃１を記憶する。端末３は、認証許可に含まれるクッキー＃１を含むＷｅｂサーバ１１へのアクセス要求をＷｅｂサーバ１１に送信する（ステップＳ１０８）。Ｗｅｂサーバ１１は、先のステップＳ１０１で説明したように、受信したアクセス要求にクッキー＃１が含まれているか否かによってログインの認証済みであるか否かを判定する。ここでは、アクセス要求にクッキー＃１が含まれているので、Ｗｅｂサーバ１１は、アクセス要求によって要求されたサービスを端末３に提供する（ステップＳ１０９）。
【００２３】
その後、クライアントが端末３を介してＷｅｂサーバ１１，１２のＷｅｂサイトにアクセスを要求した場合、端末３は記憶しているクッキー＃１を含むアクセス要求をＷｅｂサーバ１１，１２に送信する。Ｗｅｂサーバ１１，１２には、認証サーバ１３からクッキー＃１および認可チケット＃１が通知されているので、Ｗｅｂサーバ１１，１２は、ログインによる認証済みであることを認識し、認可チケット＃１に含まれるコンテンツのサービスを端末３を介してクライアントに提供する。このように、認証サーバ１３が属するドメイン１のＷｅｂサーバ１１，１２へのアクセス動作は、従来のクッキーを用いたシングルサインオンの動作と同様となる。
【００２４】
つぎに、図３のシーケンス図を参照して、ドメイン２のＷｅｂサーバ２１，２２にクライアントがアクセス要求を行った場合のシングルサインオンの動作について説明する。なお、クライアントは、端末３を用いてユーザ登録処理を行なっており、ユーザＤＢ１５にはユーザＩＤおよびパスワードが登録され、認可情報ＤＢ１４には認可情報が登録されているものとする。
【００２５】
クライアントは、端末３を用いてＷｅｂサーバ２１，２２に所望のサービスの提供を要求する。端末３は、Ｗｅｂサーバ２１，２２にアクセス要求を送信する（ステップＳ２００）。端末３は、すでに、ドメイン２のＷｅｂサーバ２１，２２のＷｅｂサイトにアクセスしている場合にはドメイン２に対するクッキー＃２が端末３に記憶されているのでクッキー＃２を含むアクセス要求を送信し、Ｗｅｂサーバ２１，２２のＷｅｂサイトへの最初のアクセスの場合にはクッキー＃２が記憶されていないので、クッキー＃２を含めないアクセス要求を送信する。
【００２６】
Ｗｅｂサーバ２１，２２は、受信したアクセス要求にクッキー＃２が含まれているか否かによってドメイン２に対するログインの認証済みであるか否かを判定する（ステップＳ２０１）。認証済みである場合（ステップＳ２０１，Ｙｅｓ）、すなわちアクセス要求にクッキー＃２が含まれている場合、Ｗｅｂサーバ２１，２２は要求されたサービスを提供する（ステップＳ２０２）。
【００２７】
認証済みではない場合（ステップＳ２０１，Ｎｏ）、すなわちアクセス要求にクッキー＃２が含まれていない場合、Ｗｅｂサーバ２１，２２は、中継認証サーバ２３へのアクセス指示を端末３に送信する（ステップＳ２０３）。端末３は、アクセス指示に基づいて中継認証サーバ２３にアクセス要求を送信する（ステップＳ２０４）。中継認証サーバ２３は、アクセス要求を受けると、認証サーバ１３へのアクセス指示を端末３に送信する（ステップＳ２０５）。端末３は、アクセス指示に基づいて認証サーバ１３にアクセス要求を送信する（ステップＳ２０６）。なお、端末３は、認証サーバ１３が属するドメイン１のクッキー＃１を記憶している場合にはクッキー＃１を含めたアクセス要求を送信する。
【００２８】
認証サーバ１３は、クライアントに対してログインの認証済みであるか否かを判定する（ステップＳ２０７）。クッキーは、ログインによる認証処理によってクライアントが用いる端末３に通知される。よって、認証サーバ１３は、アクセス要求にクッキー（この場合はクッキー＃１）が含まれている場合にはログインによる認証処理が行われ認証済みのクライアントであると判定し、アクセス要求にクッキー＃１が含まれていない場合にはログインによる認証処理が行われていない未認証のクライアントであると判定する。
【００２９】
認証済みではない場合（ステップＳ２０７，Ｎｏ）、認証サーバ１３は、ログインの操作を促し認証情報（ユーザＩＤおよびパスワード）を要求する認証情報要求を端末３に送信する（ステップＳ２０８）。端末３は、認証情報要求に基づいてクライアントに認証情報の入力を促すログイン画面を表示する。端末３は、クライアントによって認証情報が入力されると、入力された認証情報を含む認証情報応答を認証サーバ１３に送信する（ステップＳ２０９）。
【００３０】
認証サーバ１３は、認証情報応答、ユーザＤＢ１５、および認可情報ＤＢ１４に基づいてログインの認証処理を実行する（ステップＳ２１０）。認証処理は、先の図２のシーケンス図を参照して説明したステップＳ１０６の処理と同様であるのでここではその詳細な説明を省略する。
【００３１】
認証処理によってクッキー＃１および認可チケット＃１を生成した後、または認証済みである場合（ステップＳ２０７，Ｙｅｓ）、認証処理によってクライアントが用いる端末３に対するクッキー＃１および認可チケット＃１を含む認証許可を端末３に送信する（ステップＳ２１１）。なお、認証許可には、中継認証サーバ２３へのアクセス指示を含めておく。また、認証サーバ１３は、生成したクッキー＃１および認可チケット＃１をドメイン１内のすべてのＷｅｂサーバ１１，１２に送信する（ステップＳ２１２）。Ｗｅｂサーバ１１，１２は、受信したクッキー＃１および認可チケット＃１を記憶する。
【００３２】
なお、認証済みである場合は、端末３およびＷｅｂサーバ１１，１２にクッキー＃１および認可チケット＃１を通知済みであるので、端末３に対して中継認証サーバ２３へのアクセス指示のみを送信するようにしてもよい。
【００３３】
認証許可を受信すると、端末３は、認証許可に含まれるクッキー＃１および認可チケット＃１を記憶する。端末３は、中継認証サーバ２３へのアクセス要求を中継認証サーバ２３に送信する（ステップＳ２１３）。このとき、端末３は、認証サーバ１３から通知されたドメイン１におけるクッキー＃１の値をデータとしてアクセス要求に含めておく。たとえば、ＨＴＭＬのＰＯＳＴパラメータなどを用いればよい。
【００３４】
データとしてクッキー＃１の値が含まれているアクセス要求を受信すると、中継認証サーバ２３は、クッキー＃１に基づいてドメイン２におけるクライアントへのクッキー＃２および認可チケット＃２を生成する（ステップＳ２１４）。中継認証サーバ２３は、生成したクッキー＃２および認可チケットを含む認証許可を端末３に送信する（ステップＳ２１５）。なお、端末３に送信する認証許可には、端末３がアクセス要求したＷｅｂサーバ２１，２２へのアクセス指示を含めておく。また、中継認証サーバ２３は、生成したクッキー＃２を記憶するとともに、生成したクッキー＃２および認可チケット＃２をドメイン２内のすべてのＷｅｂサーバ２１，２２に送信する（ステップＳ２１６）。Ｗｅｂサーバ２１，２２は、受信したクッキー＃２および認可チケット＃２を記憶し、以後、端末３からクッキー＃２を含むアクセス要求を受けた場合、認可チケット＃２によってアクセスが許可されたＷｅｂサイトのサービスを端末３に提供する。
【００３５】
認証許可を受信すると、端末３は、認証許可に含まれるクッキー＃２および認可チケット＃２を記憶する。端末３は、認証許可に含まれるクッキー＃２を含むＷｅｂサーバ２１，２２へのアクセス要求をＷｅｂサーバ２１，２２に送信する（ステップＳ２１７）。Ｗｅｂサーバ２１，２２は、先のステップＳ２０１で説明したように、受信したアクセス要求にクッキー＃２が含まれているか否かによってログインの認証済みであるか否かを判定する。ここでは、アクセス要求にクッキー＃２が含まれているので、Ｗｅｂサーバ２１，２２はアクセス要求によって要求されたサービスを端末３に提供する（ステップＳ２１８）。
【００３６】
その後、クライアントが端末３を介してドメイン１に属するＷｅｂサーバ１１，１２のＷｅｂサイトにアクセスを要求した場合、端末３はドメイン１に対するクッキー＃１を記憶していので、クッキー＃１を含めたＷｅｂサーバ１１，１２へのアクセス要求を送信する。よって、ドメイン２のＷｅｂサーバ２１、２２からドメイン１のＷｅｂサーバ１１，１２にアクセスする場合でも、ログインによる認証処理を行なうことなくＷｅｂサーバ１１，１２へのアクセスが可能となる。
【００３７】
以上説明したように、この実施の形態１においては、中継認証サーバ２３は、端末３がドメイン２に属するＷｅｂサーバ２１，２２にドメイン２のクッキー＃２の発行前にアクセス要求した場合には端末３に認証サーバ１３へのアクセス指示を送信し、端末３からドメイン１に対するクッキー＃１を含むアクセス要求を受信した場合にはドメイン２に対するクッキー＃２を生成し、生成した第２のクッキーをドメイン２に属するＷｅｂサーバ２１，２２および端末３に送信するクッキーの発行処理を実行し、認証サーバ１３は、ドメイン１に対するクッキー＃１の発行前にアクセス要求を受けた場合には端末３から認証情報を取得して端末３を利用するクライアントを認証するログインによる認証処理を実行してクッキー＃１を生成し、生成したクッキー＃１をドメイン１に属するＷｅｂサーバ１１，１２および端末３に送信するクッキーの発行処理を実行し、クッキー＃１の発行処理を実行した後に端末３からのアクセス要求を受信した場合にはクッキー＃１を端末３に送信し、端末３が、中継認証サーバ２３からのアクセス指示によって認証サーバ１３にアクセスした場合には認証サーバ１３から受信したクッキー＃１の値をデータとして含めたアクセス要求を中継認証サーバ２３に送信し、ドメイン１，２に属するＷｅｂサーバ１１，１２，２１，２２にアクセスする際にはクッキー＃１，＃２をアクセス要求に含めるようにしている。
【００３８】
すなわち、認証サーバ１３を持たないドメイン２には認証サーバ１３に端末３を接続させる中継認証サーバ２３を備えることで、クライアントのログインによる認証処理はシステム内のどのドメイン１，２にアクセスした場合でも認証サーバ１３が実行し、クッキー＃１，＃２の発行については、ログインによる認証処理が終了した後に端末３がアクセスしようとしたＷｅｂサーバ１１，１２，２１，２２が属するドメイン１，２内の認証サーバ１３または中継認証サーバ２３が実行するようにしている。これにより、クライアントはＷｅｂサーバ１１，１２，２１，２２へのアクセス順序を意識することなく１回のログイン操作で異なるドメイン１，２に属する複数のＷｅｂサーバ１１，１２，２１，２２に対してシングルサインオンを実現することができ、ブラウザのブックマーク等から直接どのＷｅｂサーバ１１，１２，２１，２２ヘもアクセスすることが可能となる。
【００３９】
また、クライアントのログインによる認証処理はシステム内のどのドメイン１，２にアクセスした場合でも認証サーバ１３が実行し、認証サーバ１３を持たないドメインには認証サーバ１３に端末３を接続させるとともに当該ドメインに対するクッキーを発行する中継認証サーバ２３を備えるだけでよいため、ユーザ管理機能やシングルサインオンの対象となるＷｅｂサーバ１１，１２，２２，２１の情報等は認証サーバ１３で集中管理することができ、メンテナンスコストを小さくすることができる。
【００４０】
さらに、ログインによる認証処理が終了した後に、認証に成功した旨の情報がクッキーに設定されシングルサインオンの対象の中継認証サーバ２３に送信されるため、クライアントがログアウトを実行してクライアントが切り替わった場合にはクッキーの情報が更新され、Ｗｅｂサーバ１１，１２，２１，２２はクライアントが切り替わったことを認識することが可能となる。
【００４１】
なお、この実施の形態１においては、自装置が属するドメインに対するクッキーが含まれていないアクセス要求を受けた場合、中継認証サーバ２３が認証サーバ１３へのアクセス指示を端末３に送信して認証サーバ１３にアクセスさせ、認証サーバ１３がログインによる認証処理が実行されているか否かを判定するようにしたが、中継認証サーバ２３が端末３が認証サーバ１３が属するドメイン１に対するクッキー＃１を記憶しているか否かによってログインによる認証処理が実行されているか否かを判定するようにしてもよい。この場合、端末３は、中継認証サーバ２３へのアクセス要求にログインによる認証処理によって発行されたクッキー＃１を記憶している場合にはクッキー＃１の値をデータとして含めたアクセス要求を送信し、中継認証サーバ２３は、アクセス要求のデータにクッキー＃１の値が含まれているか否かによってログインによる認証処理が実行されているか否かを判定し、アクセス要求のデータにクッキー＃１の値が含まれている場合には認証サーバ１３へのアクセス指示を送信することなくドメイン２にたいするクッキー＃２を発行し、アクセス要求のデータにクッキー＃１の値が含まれていない場合のみ認証サーバ１３へのアクセス指示を送信すればよい。
【００４２】
実施の形態２．
図４を参照してこの発明の実施の形態２を説明する。先の実施の形態１では、異なるドメインに属するＷｅｂサーバにアクセスする際に、１回のログインによる認証処理でそれぞれのドメインのクッキーを発行することで複数のドメインにおけるシングルサインオンを実現するようにした。この実施の形態２では、ログアウト時の動作について説明する。
【００４３】
ログアウト操作時には、認証サーバは発行したクッキーを消去する。クッキーの消去は、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔを用いるのが一般的である。しかしながら、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔを用いてクッキーを消去する場合、Ｊａｖａ（登録商標）Ｓｃｒｉｐｔの制約がありスクリプトを受信したサーバが属するドメインに対するクッキーしか消去できない。そのため、従来技術では、先の実施の形態１で説明したユーザ認証システムにおいて、複数のドメインにおけるシングルサインオンを実現しても、ログアウト時には、ログインしたドメイン毎にログアウト操作を行わなければならないという問題があった。このような問題を改善するために、この実施の形態２では、１回のログアウト操作で複数のドメインのクッキーを消去するものである。なお、この実施の形態２のユーザ認証システムの構成は、先の図１に示した実施の形態１のユーザ認証システムと同様であるので、ここではその説明を省略する。
【００４４】
クライアントは、ドメイン１，２内のＷｅｂサーバ１１，１２，２１，２２の所望のサービスを受けた後、ログアウト操作を行う。クライアントからログアウトの要求が入力されると、端末３は、ブラウザから認証サーバ１３のログアウトのページへのアクセス要求を認証サーバ１３に送信する。認証サーバ１３は、アクセス要求によって指定されたログアウトのページ画面の表示情報を端末３に送信してログアウトのページを表示させる。
【００４５】
ログアウトのページの表示情報は、図４に示すように、複数のＨＴＭＬフレームで構成され、端末３のブラウザ上には、ログアウト実行ボタンが表示されたフレームを表示する記述と、ユーザ認証システムにおけるシングルサインオンの対象となる各ドメインのログアウト（この場合はドメイン１とドメイン２のログアウト）のソースがブラウザ上ではクライアントが認識できない大きさで表示されるフレームを表示する記述とを含んでいる。
【００４６】
図４において、「ｍａｉｎｌｏｇｐｕｔ．ｈｔｍｌ」のＨＴＭＬファイルには、ログアウトボタンが含まれ、ログアウトボタンを押下すると「ｈｔｔｐ：／／ｓｅｒｖｅｒ．ｄｏｍａｉｎｌ／ｌｏｇｏｕｔ．ｈｔｍｌ」および「ｈｔｔｐ：／／ｓｅｒｖｅｒ．ｄｏｍａｉｎ２／ｌｏｇｏｕｔ．ｈｔｍｌ」に含まれるＪａｖａ（登録商標）Ｓｃｒｉｐｔを実行するＪａｖａ（登録商標）Ｓｃｒｉｐｔを含んでいる。「ｈｔｔｐ：／／ｓｅｒｖｅ．ｄｏｍａｉｎｌ／ｌｏｇｏｌｌｔ．ｈｔｍｌ」のＨＴＭＬファイルには、ドメイン１のクッキーを消去するＪａｖａ（登録商標）Ｓｃｒｉｐｔを含んでおり、「ｈｔｔｐ：／／ｓｅｒｖｅｒ．ｄｏｍａｉｎ２／ｌｏｇｏｕｔ．ｈｔｍｌ」のＨＴＭＬファイルには、ドメイン２のクッキーを消去するＪａｖａ（登録商標）Ｓｃｒｉｐｔを含んでいる。
【００４７】
クライアントは、ログアウトのページ画面の表示情報によって端末３のブラウザ上に表示されたログアウトボタンを、入力手段であるマウスによって押下する。これにより、ＨＴＭＬ中のＪａｖａ（登録商標）Ｓｃｒｉｐｔが実行され、端末３は、ドメイン１の認証サーバ１３にログアウト処理を要求してクッキー＃１を消去させ、ドメイン２の中継認証サーバ２３にログアウト処理を要求してクッキー＃２を消去させるとともに、自身が記憶したドメイン１に対するクッキー＃１および認可チケット＃１と、ドメイン２に対するクッキー＃２および認可チケット＃２とを消去する。
【００４８】
一方、認証サーバ１３は、クッキー＃１および認可チケット＃１を消去するとともに、Ｗｅｂサーバ１１，１２にクッキー＃１および認可チケット＃１の消去を要求してＷｅｂサーバ１１，１２が記憶したクッキー＃１および認可チケット＃１を消去する。また、中継認証サーバ２３は、クッキー＃２および認可チケット＃２を消去するとともに、Ｗｅｂサーバ１１，１２にクッキー＃２および認可チケット＃２の消去を要求してＷｅｂサーバ１１，１２が記憶したクッキー＃２および認可チケット＃２を消去する。
【００４９】
以上説明したように、この実施の形態２においては、認証サーバ１３が、端末３からログアウト操作を要求された場合、ログアウト処理を実行させる入力画面と、ログアウト処理の実行が入力された場合にドメイン１のクッキー＃１を消去する指示とを含む表示画面情報を端末３に送信し、端末３は、表示画面情報を表示するとともに、クライアントからログアウト処理の実行指示が入力されると、ログアウト処理要求を認証サーバ１３に送信してクッキー＃１を消去させるとともに、ログアウト処理要求を中継認証サーバ２３に送信してクッキー＃２を消去させるようにしているため、異なるドメインに属するＷｅｂサーバにアクセスする際に、１回のログインによる認証処理でそれぞれのドメインのクッキーを発行することで複数のドメインにおけるシングルサインオンを実現した場合に、ログアウトの操作についても１回のログアウトの実行で複数のドメインから発行されたすべてのクッキーを消去してログアウト処理を実行することができる。
【産業上の利用可能性】
【００５０】
以上のように、本発明にかかるユーザ認証システムは、クッキーを用いたシングルサインオンに有用であり、特に、複数のドメインに跨ってサービスを提供するシステムに適している。
【図面の簡単な説明】
【００５１】
【図１】この発明におけるユーザ認証システムの構成の一例を示す図である。
【図２】実施の形態１のユーザ認証システムの動作を説明するためのシーケンス図である。
【図３】実施の形態１のユーザ認証システムの動作を説明するためのシーケンス図である。
【図４】実施の形態２のユーザ認証システムのログアウトのページを表示する表示情報の記述の一例を示す図である。
【符号の説明】
【００５２】
１，２  ドメイン
３  端末
４  ネットワーク
１１，１２，２１，２２  Ｗｅｂサーバ
１３  認証サーバ
１４  認可情報ＤＢ
１５  ユーザＤＢ
２３  中継認証サーバ
【図１】
2008197973.tif 000003
【図２】
2008197973.tif 000004
【図３】
2008197973.tif 000005
【図４】
2008197973.tif 000006