(57)【要約】【課題】ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことを可能とする。【解決手段】ネットワークアクセス認証システムは、ネットワーク（ＮＷ５０２，インターネット５０３）上のコンテンツサーバ３へアクセスする端末１と、認証鍵を生成する認証鍵生成サーバ８と、認証鍵を配布するポータルサーバ２と、アクセス管理サーバ４とを備える。認証鍵は、ネットワークへアクセスするためのネットワーク設定情報と、ネットワークへのアクセス認可に使用される認証トークンと、ネットワークにおいて特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを含む。アクセス管理サーバ４は、認証トークンに応じてアクセス認可要求を認可するか否かを判定し、アクセス認可要求を認可する場合、ネットワークに設けられたアクセスポリシー設定部５２にアクセスポリシーを設定する。【選択図】図１
2008219266.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上の特定のアクセス先へアクセスする端末装置と、
前記端末装置に転送可能な認証鍵を生成する認証鍵生成サーバと、
前記端末装置に前記認証鍵を配布する認証鍵配布サーバと、
前記端末装置から前記ネットワークへのアクセスを管理するアクセス管理サーバとを備え、
前記認証鍵は、
前記ネットワークへアクセスするための設定情報と、
前記ネットワークへのアクセス認可に使用される認証トークンと、
前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを含み、
前記端末装置は、前記設定情報を用いて、前記ネットワークへのアクセス認可を要求するアクセス認可要求を前記アクセス管理サーバへ送信し、
前記アクセス認可要求は、前記認証トークン及び前記アクセスポリシーを含み、
前記アクセス管理サーバは、
前記認証トークンに応じて前記アクセス認可要求を認可するか否かを判定し、
前記アクセス認可要求を認可する場合、前記端末装置又は前記ネットワークに設けられたポリシー設定部に前記アクセスポリシーを設定する
ことを特徴とするネットワークアクセス認証システム。
【請求項２】
ネットワーク上の特定のアクセス先へアクセスする端末装置に転送可能な認証鍵を生成する認証鍵生成サーバであって、
前記認証鍵の生成を要求する認証鍵生成要求に基づき、前記認証鍵を生成する認証鍵生成部を備え、
前記認証鍵生成部は、
前記ネットワークへアクセスするための設定情報を生成する設定情報生成部と、
前記ネットワークへのアクセス認可に使用される認証トークンを生成する認証トークン生成部と、
前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーを生成するアクセスポリシー生成部と
を備えることを特徴とする認証鍵生成サーバ。
【請求項３】
前記ネットワークへのアクセスに対して課金を行う課金サーバと接続する課金イベント生成部をさらに備え、
前記課金イベント生成部は、前記認証鍵が生成された場合、前記端末装置から前記ネットワークへのアクセスに対する課金先を、前記特定のアクセス先とするよう制御する課金イベントを前記課金サーバへ送信することを特徴とする請求項２に記載の認証鍵生成サーバ。
【請求項４】
前記認証鍵生成要求は、
前記認証鍵生成要求の送信元を一意に識別する送信元識別子と、
前記端末を一意に識別する端末識別子と、
前記特定のアクセス先を識別するアクセス先識別子とを含み、
前記設定情報生成部は、前記送信元識別子から前記設定情報を生成し、
前記認証トークン生成部は、前記送信元識別子から前記認証トークンを生成し、
前記アクセスポリシー生成部は、前記端末識別子及び前記アクセス先識別子から前記アクセスポリシーを生成する
ことを特徴とする請求項２に記載の認証鍵生成サーバ。
【請求項５】
ネットワーク上の特定のアクセス先へアクセスする端末装置に認証鍵を配布する認証鍵配布サーバであって、
前記認証鍵を取得する認証鍵取得部と、
前記特定のアクセス先を識別するアクセス先識別情報と、前記認証鍵とを前記端末装置に配信する配信部とを備え、
前記認証鍵は、
前記ネットワークへのアクセス認可に使用される認証トークンと、
前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーと
を含むことを特徴とする認証鍵配布サーバ。
【請求項６】
前記認証鍵は、前記ネットワークへアクセスするための設定情報をさらに含むことを特徴とする請求項５に記載の認証鍵配布サーバ。
【請求項７】
前記配信部は、前記端末装置が管理するネットワークアクセス設定情報を操作する情報を前記端末装置に配信し、
前記ネットワークアクセス設定情報は、ネットワークアクセス設定を管理する情報であることを特徴とする請求項５に記載の認証鍵配布サーバ。
【請求項８】
前記端末に対して前記ネットワークへのアクセス設定を行うよう端末管理サーバに要求する管理要求部をさらに備え、
前記端末管理サーバは、前記端末装置の設定を管理するサーバであることを特徴とする請求項５に記載の認証鍵配布サーバ。
【請求項９】
ネットワーク上の特定のアクセス先へアクセスする端末装置であって、
前記ネットワークへのアクセス認可に使用される認証トークンと、前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを取得する認証鍵取得部と、
前記ネットワークへのアクセス認可を要求するアクセス認可要求を送信する認可要求部と、
前記ネットワークへのアクセスが認可された場合に、前記アクセス先にアクセスするネットワークアクセス部とを備え、
前記アクセス認可要求は、前記認証トークン、又は前記認証トークンと前記アクセスポリシーを含むことを特徴とする端末装置。
【請求項１０】
外部からのアクセスが制限されたセキュアドメインをさらに備え、
前記セキュアドメインは、前記アクセスポリシーに応じて前記ネットワークへのアクセスを監視するアクセスポリシー設定部を備えることを特徴とする請求項９に記載の端末装置。
【請求項１１】
前記ネットワークへのアクセス設定を行うネットワーク設定部をさらに備え、
前記認証鍵は、前記ネットワークへアクセスするための設定情報をさらに含み、
前記ネットワーク設定部は、前記設定情報を用いて前記ネットワークへのアクセス設定を実行することを特徴とする請求項９に記載の端末装置。
【請求項１２】
前記ネットワーク設定部は、ネットワークアクセス設定を管理する情報であるネットワークアクセス設定情報を操作することで前記ネットワークへアクセスすることを特徴とする請求項９に記載の端末装置。
【請求項１３】
端末装置からネットワークへのアクセスを管理するアクセス管理サーバであって、
前記ネットワークへのアクセス認可を要求するアクセス認可要求を前記端末装置から受信するアクセス認可要求受信部と、
前記アクセス認可要求を認可するか否かを判定する認可判定部とを備え、
前記アクセス認可要求は、
前記ネットワークへのアクセス認可に使用される認証トークンと、
前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを含み、
前記認可判定部は、
前記認証トークンに応じて前記アクセス認可要求を認可するか否かを判定し、
前記アクセス認可要求を認可する場合、前記端末装置又は前記ネットワークに設けられたポリシー設定部に前記アクセスポリシーを設定する
ことを特徴とするアクセス管理サーバ。
【請求項１４】
前記ネットワークへのアクセスに対して課金を行う課金サーバと通信する課金イベント生成部をさらに備え、
前記課金イベント生成部は、前記アクセス認可要求を認可する場合、前記アクセス認可要求を認可したことを示す課金イベントを前記課金サーバへ送信することを特徴とする請求項１３に記載のアクセス管理サーバ。
【請求項１５】
前記認可判定部は、前記認証トークン又は前記アクセスポリシーの少なくとも一方が暗号化されている場合、前記アクセス管理サーバの復号鍵を用いた復号を行うことを特徴とする請求項１３に記載のアクセス管理サーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークアクセスを認証するネットワークアクセス認証システム、当該ネットワークアクセス認証システムに用いられる認証鍵生成サーバ、認証鍵配布サーバ、端末装置及びアクセス管理サーバに関する。
【背景技術】
【０００２】
Smart Phone、ＰＤＡ又はノートパソコンなど、可搬性があり、かつネットワークとの接続が可能な移動機（以下、「端末」）に対して、管理グループ（法人における管理者など）が、端末の状態や設定などを把握し、適切な管理を行えるようにするデバイス管理システムが知られている。Open Mobile Alliance（ＯＭＡ）のワーキンググループであるＯＭＡ−ＤＭ ＷＧは、デバイス管理システムの標準規格策定を進めている。
【０００３】
デバイス管理システムの利用用途の例として、端末カスタマイズサービスを説明する。端末カスタマイズサービスでは、端末利用者は、管理端末を利用して被管理端末のカスタマイズ（端末設定変更や、購入済みコンテンツのダウンロードなど）を実行する。
【０００４】
端末カスタマイズサービスでは、次に示すデバイス管理機能を利用したサービスを端末利用者に提供する。
【０００５】
１．Content Provisioning機能：購入したコンテンツのダウンロードＵＲＩを端末にＰｕｓｈ配信する。
【０００６】
２．端末設定機能：Ｌｏｏｋ ＆ Ｆｅｅｌのカスタマイズなどの設定変更。
【０００７】
３．ソフトウェアインストール機能：購入したアプリケーションの遠隔インストール。
【０００８】
４．アクセスネットワーク設定機能：購入したコンテンツやアプリケーションのダウンロードに使用するアクセスネットワークの設定。
【０００９】
端末カスタマイズサービスにおいて、コンテンツ配信と連携した課金・認可制御機能を実現することを考える。具体的には、管理端末からポータルサーバへのサインオンにより実現される被管理端末へのコンテンツダウンロードに要したネットワークアクセスの料金を無料にするといったサービスを考える。
【００１０】
コンテンツダウンロードに要したネットワークアクセスの料金を無料にするためには、ネットワークキャリアが実行するリバース課金サービスの適用が考えられる。リバース課金サービスは、特定のネットワークアドレスへのアクセスに対して課金先を指定するサービスである。
【００１１】
また、契約条件などにより端末が使用できるネットワークは限られることから、サービスが指定するアクセスネットワークは、端末にとって未認可であることも考えられる。このため、上記サービスを実現するためには、端末にとって未認可であるネットワークに対して一時的にアクセスを認可でき、かつ当該コンテンツのダウンロードであることを監視できる必要がある。
【００１２】
上記サービスでは、端末があるネットワークでアクセス認可された状態を、他のネットワークにおいても引き継ぐことが必要である。認可された状態を他のシステムへ引き継ぐ技術としては、シングルサインオンが知られている。シングルサインオンとは、一般的に、ユーザの認証を必要とする複数のシステムを使用する際、一度認証を行えば、認可されているすべてのシステムを利用できるようにする技術である。
【００１３】
一方で、シングルサインオンを端末からサーバへのアクセス認可に適用する技術が提案されている（特許文献１及び２参照）。特許文献１に記載の技術は、インターネットとサーバ収容ネットワークとの接続点に配置されたゲートウェイにおけるリモートアクセス認証結果を、サーバ収容ネットワーク内の各サービスサーバへのアクセス認証に利用する。
【００１４】
具体的には、ゲートウェイにおけるリモートアクセス認証結果は、サーバ収容ネットワーク内の認証確認サーバによって一元管理される。各サービスサーバは、端末からのアクセス要求を受信すると、端末が認証済みであるか否かを認証確認サーバに確認することで、認証手続を省略する。
【００１５】
特許文献２に記載の技術は、端末からサーバへのアクセス時に用いられたユーザＩＤ及びパスワードに基づいて、サーバがユーザ認証情報を生成する。端末は、サーバによって生成されたユーザ認証情報を利用することで、他のサーバへのアクセス時にユーザＩＤ及びパスワード入力を省略する。
【００１６】
さらに、端末がネットワークへアクセスする際に、複数のネットワークに対する端末の設定データ（ＬＡＮ設定や暗号鍵など）を一括して端末へ送信する技術が提案されている（特許文献３参照）。
【特許文献１】特開２００４−１３３８２４号公報
【特許文献２】特開２００５−２２２４８８号公報
【特許文献３】特開２００６−８５７１９号公報
【発明の開示】
【発明が解決しようとする課題】
【００１７】
しかしながら、上述した特許文献１〜３では、端末があるネットワークでアクセス認可された状態を、他のネットワークにおいても引き継ぐことについては開示していない。また、未認可であるネットワークを介してコンテンツダウンロードを行う場合や、リバース課金サービスを適用する場合には、未認可であるネットワークにおいてアクセス制限を行う必要がある。
【００１８】
上記問題点に鑑み、本発明は、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能なネットワークアクセス認証システム、認証鍵生成サーバ、認証鍵配布サーバ、端末装置及びアクセス管理サーバを提供することを目的とする。
【課題を解決するための手段】
【００１９】
上記目的を達成するために、本発明の第１の特徴は、ネットワーク（ＮＷ５０２，インターネット５０３）上の特定のアクセス先（コンテンツサーバ３）へアクセスする端末装置（端末１，端末１０００，）と、前記端末装置に転送可能な認証鍵を生成する認証鍵生成サーバ（認証鍵生成サーバ８）と、前記端末装置に前記認証鍵を配布する認証鍵配布サーバ（ポータルサーバ２）と、前記端末装置から前記ネットワークへのアクセスを管理するアクセス管理サーバ（アクセス管理サーバ４）とを備え、前記認証鍵は、前記ネットワークへアクセスするための設定情報（ネットワーク設定情報）と、前記ネットワークへのアクセス認可に使用される認証トークンと、前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを含み、前記端末装置は、前記設定情報を用いて、前記ネットワークへのアクセス認可を要求するアクセス認可要求を前記アクセス管理サーバへ送信し、前記アクセス認可要求は、前記認証トークン及び前記アクセスポリシーを含み、前記アクセス管理サーバは、前記認証トークンに応じて前記アクセス認可要求を認可するか否かを判定し、前記アクセス認可要求を認可する場合、前記端末装置又は前記ネットワークに設けられたポリシー設定部（アクセスポリシー設定部５２，１７１）に前記アクセスポリシーを設定することを要旨とする。
【００２０】
このような特徴によれば、認証鍵配布サーバは、設定情報と、認証トークンと、アクセスポリシーとを端末装置へ配布する。設定情報を端末装置へ配布することで、端末装置は、ネットワークにアクセス可能となる。認証トークンを端末装置へ配布することで、ネットワークアクセスに対するシングルサインオンが実現される。アクセスポリシーを端末装置へ配布することで、端末装置のアクセス先を制限することができる。
【００２１】
したがって、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能なアクセス認可システムを提供できる。
【００２２】
本発明の第２の特徴は、ネットワーク上の特定のアクセス先へアクセスする端末装置に転送可能な認証鍵を生成する認証鍵生成サーバであって、前記認証鍵の生成を要求する認証鍵生成要求に基づき、前記認証鍵を生成する認証鍵生成部（認証鍵生成部８１、アクセスポリシー生成部８２）を備え、前記認証鍵生成部は、前記ネットワークへアクセスするための設定情報を生成する設定情報生成部（認証鍵生成部８１）と、前記ネットワークへのアクセス認可に使用される認証トークンを生成する認証トークン生成部（認証鍵生成部８１）と、前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーを生成するアクセスポリシー生成部（アクセスポリシー生成部８２）とを備えることを要旨とする。
【００２３】
このような特徴によれば、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能となる。
【００２４】
本発明の第３の特徴は、本発明の第２の特徴に係り、前記ネットワークへのアクセスに対して課金を行う課金サーバ（課金サーバ７）と接続する課金イベント生成部（課金イベント生成部８３）をさらに備え、前記課金イベント生成部は、前記認証鍵が生成された場合、前記端末装置から前記ネットワークへのアクセスに対する課金先を、前記特定のアクセス先とするよう制御する課金イベントを前記課金サーバへ送信することを要旨とする。
【００２５】
このような特徴によれば、端末装置からネットワークへのアクセスに対する課金先を、特定のアクセス先とするよう制御する課金イベントを課金サーバへ送信することで、端末装置のアクセス先に対して課金を行うことができる。
【００２６】
本発明の第４の特徴は、本発明の第２の特徴に係り、前記認証鍵生成要求は、前記認証鍵生成要求の送信元（ポータルサーバ２）を一意に識別する送信元識別子（ポータルサーバＩＤ）と、前記端末を一意に識別する端末識別子と、前記特定のアクセス先を識別するアクセス先識別子とを含み、前記設定情報生成部は、前記送信元識別子から前記設定情報を生成し、前記認証トークン生成部は、前記送信元識別子から前記認証トークンを生成し、前記アクセスポリシー生成部は、前記端末識別子及び前記アクセス先識別子から前記アクセスポリシーを生成することを要旨とする。
【００２７】
このような特徴によれば、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能となる認証鍵を生成することができる。
【００２８】
本発明の第５の特徴は、ネットワーク上の特定のアクセス先へアクセスする端末装置に認証鍵を配布する認証鍵配布サーバであって、前記認証鍵を取得する認証鍵取得部と、前記特定のアクセス先を識別するアクセス先識別情報と、前記認証鍵とを前記端末装置に配信する配信部とを備え、前記認証鍵は、前記ネットワークへのアクセス認可に使用される認証トークンと、前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを含むことを要旨とする。
【００２９】
このような特徴によれば、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能となる。
【００３０】
本発明の第６の特徴は、本発明の第５の特徴に係り、前記認証鍵は、前記ネットワークへアクセスするための設定情報をさらに含むことを要旨とする。
【００３１】
このような特徴によれば、設定情報を端末装置へ配布することで、端末装置は、ネットワークにアクセス可能となる。
【００３２】
本発明の第７の特徴は、本発明の第５の特徴に係り、前記配信部は、前記端末装置が管理するネットワークアクセス設定情報（例えば、ＯＭＡ−ＤＭ  Conn MOなど）を操作する情報を前記端末装置に配信し、前記ネットワークアクセス設定情報は、ネットワークアクセス設定を管理する情報であることを要旨とする。
【００３３】
このような特徴によれば、端末装置が管理するネットワークアクセス設定情報を操作することができる。
【００３４】
本発明の第８の特徴は、本発明の第５の特徴に係り、前記端末に対して前記ネットワークへのアクセス設定を行うよう端末管理サーバ（デバイス管理サーバ３０）に要求する管理要求部をさらに備え、前記端末管理サーバは、前記端末装置の設定を管理するサーバであることを要旨とする。
【００３５】
このような特徴によれば、端末管理サーバを利用して、アクセス設定を自動的に行うことができる。
【００３６】
本発明の第９の特徴は、ネットワーク上の特定のアクセス先へアクセスする端末装置であって、前記ネットワークへのアクセス認可に使用される認証トークンと、前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを取得する認証鍵取得部（コンテンツＵＲＩ取得部１１、情報抽出部１２）と、前記ネットワークへのアクセス認可を要求するアクセス認可要求を送信する認可要求部（ログイン処理部１４）と、前記ネットワークへのアクセスが認可された場合に、前記アクセス先にアクセスするネットワークアクセス部（ネットワークアクセス部１９）とを備え、前記アクセス認可要求は、前記認証トークン、又は前記認証トークンと前記アクセスポリシーを含むことを要旨とする。
【００３７】
このような特徴によれば、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能となる。
【００３８】
本発明の第１０の特徴は、本発明の第９の特徴に係り、外部からのアクセスが制限されたセキュアドメイン（セキュアドメイン１７）をさらに備え、前記セキュアドメインは、前記アクセスポリシーに応じて前記ネットワークへのアクセスを監視するアクセスポリシー設定部（アクセスポリシー設定部１７１）を備えることを要旨とする。
【００３９】
このような特徴によれば、アクセスポリシーを端末装置に設定するので、ネットワークにおいてアクセスを監視する必要が無くなり、ネットワークの負荷が削減される。また、ネットワークへ無駄なパケットが送信されることが回避されるため、ネットワークコストが削減される。
【００４０】
本発明の第１１の特徴は、本発明の第９の特徴に係り、前記ネットワークへのアクセス設定を行うネットワーク設定部（ネットワーク設定部１３）をさらに備え、前記認証鍵は、前記ネットワークへアクセスするための設定情報をさらに含み、前記ネットワーク設定部は、前記設定情報を用いて前記ネットワークへのアクセス設定を実行することを要旨とする。
【００４１】
このような特徴によれば、設定情報を端末装置へ配布することで、端末装置は、ネットワークにアクセス可能となる。
【００４２】
本発明の第１２の特徴は、本発明の第９の特徴に係り、前記ネットワーク設定部は、ネットワークアクセス設定を管理する情報であるネットワークアクセス設定情報（例えば、ＯＭＡ−ＤＭ  Conn MOなど）を操作することで前記ネットワークへアクセスすることを要旨とする。
【００４３】
このような特徴によれば、ＯＭＡ−ＤＭ ＷＧで提案されているＯＭＡ−ＤＭ  Conn MOなどを操作し、ネットワークアクセス設定を自動的に行うことがことができる。
【００４４】
本発明の第１３の特徴は、端末装置からネットワークへのアクセスを管理するアクセス管理サーバであって、前記ネットワークへのアクセス認可を要求するアクセス認可要求を前記端末装置から受信するアクセス認可要求受信部（ログイン処理部４０）と、前記アクセス認可要求を認可するか否かを判定する認可判定部（認可判定部４２）とを備え、前記アクセス認可要求は、前記ネットワークへのアクセス認可に使用される認証トークンと、前記ネットワークにおいて前記特定のアクセス先以外へのアクセスを制限するアクセスポリシーとを含み、前記認可判定部は、前記認証トークンに応じて前記アクセス認可要求を認可するか否かを判定し、前記アクセス認可要求を認可する場合、前記端末装置又は前記ネットワークに設けられたポリシー設定部に前記アクセスポリシーを設定することを要旨とする。
【００４５】
このような特徴によれば、このような特徴によれば、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能となる。
【００４６】
本発明の第１４の特徴は、本発明の第１３の特徴に係り、前記ネットワークへのアクセスに対して課金を行う課金サーバと通信する課金イベント生成部（課金イベント生成部４４）をさらに備え、前記課金イベント生成部は、前記アクセス認可要求を認可する場合、前記アクセス認可要求を認可したことを示す課金イベントを前記課金サーバへ送信することを要旨とする。
【００４７】
このような特徴によれば、課金サーバに対してアクセス認可による課金イベントを送信することができる。この課金イベントは、端末利用者がネットワークを利用した事実に基づく課金を実施するために利用できる。
【００４８】
本発明の第１５の特徴は、本発明の第１３の特徴に係り、前記認可判定部は、前記認証トークン又は前記アクセスポリシーの少なくとも一方が暗号化されている場合、前記アクセス管理サーバの復号鍵を用いた復号を行うことを要旨とする。
【００４９】
このような特徴によれば、暗号化された認証トークンやアクセスポリシーの完全性を、暗号化側（例えば、認証鍵生成サーバ）との間で保証することができる。
【発明の効果】
【００５０】
本発明によれば、ネットワークアクセスに対するシングルサインオンを確立すると共に、ネットワークにおけるアクセス制限を行うことが可能なネットワークアクセス認証システム、認証鍵生成サーバ、認証鍵配布サーバ、端末装置及びアクセス管理サーバを提供できる。
【発明を実施するための最良の形態】
【００５１】
次に、図面を参照して、本発明の実施形態を説明する。以下の実施形態における図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。
【００５２】
［第１実施形態］
（１）ネットワークアクセス認証システムの概要
まず、図１及び図２を用いて、本実施形態に係るネットワークアクセス認証システムの概要について説明する。
【００５３】
（１．１）ネットワークアクセス認証システムの概略構成
図１は、本実施形態に係るネットワークアクセス認証システムの概略構成図である。
【００５４】
図１に示すように、ネットワークアクセス認証システムは、端末（端末装置）１、ポータルサーバ（アドレス情報配信サーバ）２、コンテンツサーバ３、アクセス管理サーバ４、ゲートウェイ５、課金サーバ７及び認証鍵生成サーバ８を備える。端末１は、例えば、Smart Phone、ＰＤＡ又はノートパソコンなど、可搬性があり、かつネットワーク５０１，５０２との接続が可能な移動機である。
【００５５】
端末１とポータルサーバ２とは、ネットワーク５０１を介して接続され、コンテンツＵＲＩ取得要求及び応答メッセージを交換する。端末１は、ネットワーク５０２を介してコンテンツサーバ３にアクセスし、コンテンツダウンロードを実行する。
【００５６】
例えば、ネットワーク５０１及びネットワーク５０２は、移動通信ネットワークである。具体的には、ネットワーク５０１は携帯電話ネットワーク（例えば、ＧＰＲＳ（General Packet Radio Service））であり、ネットワーク５０２は無線ＬＡＮである。
【００５７】
コンテンツサーバ３は、インターネット５０３上に配置され、複数のコンテンツを蓄積している。
【００５８】
ネットワーク５０２とインターネット５０３との接続点には、ゲートウェイ５が配置される。ゲートウェイ５は、ネットワーク５０２及びインターネット５０３を流れるメッセージを監視し、ルーティングする。端末１は、ダウンロードするコンテンツを選択するためには、まず、ポータルサーバ２へログイン（サインオン）を実施し、ポータルサーバ２が提供するサービスを受ける必要がある。
【００５９】
ポータルサーバ２は、コンテンツサーバ３と接続されており、端末１からのコンテンツＵＲＩ要求に従って、コンテンツＵＲＩ（アドレス情報）を端末１へ送信する。ここでは、ポータルサーバ２は、端末ＩＤから端末を特定し、端末の処理能力（画面解像度など）に合わせたコンテンツのみを抽出して端末利用者に提示するサービスを実行することを想定する。サービスの提示は、Ｗｅｂブラウザなどのインタフェースを介して行われることとする。
【００６０】
認証鍵生成サーバ８は、ポータルサーバ２からの認証鍵生成要求に応じて、端末１からネットワーク５０２へのアクセスを一時的に認可するための認証鍵を生成する。認証鍵生成サーバ８によって生成された認証鍵は、ポータルサーバ２を介して端末１へ転送される。
【００６１】
端末１は、ポータルサーバ２から受信したコンテンツＵＲＩ及び認証鍵を用いて、ネットワーク５０２へのアクセスを実行する。具体的には、端末１は、認証鍵を含むアクセス認可要求をアクセス管理サーバ４へ送信する。
【００６２】
アクセス管理サーバ４は、端末１から受信したアクセス認可要求に応じて、端末１からネットワーク５０２へのアクセスの認可判定を実行する。アクセスを認可すると判定された場合、アクセス管理サーバ４は、その旨を端末１へ通知する。なお、認証鍵には、端末１のアクセスをコンテンツダウンロードに限定するための情報（アクセスポリシー）が含まれており、アクセス管理サーバ４は、アクセスポリシーをゲートウェイ５に設定する。
【００６３】
アクセス認可が通知されると、端末１は、コンテンツＵＲＩによって識別されるコンテンツのダウンロードを実行する。ここで、コンテンツＵＲＩによって識別されるコンテンツのダウンロード以外のアクセスについては、ゲートウェイ５によってブロックされる。
【００６４】
課金サーバ７は、認証鍵生成及びネットワークアクセス認可に基づいた課金を実行する。具体的には、課金サーバ７は、認証鍵生成サーバ８及びアクセス管理サーバ４から受信した課金イベントに基づいて、端末１からネットワーク５０２へのアクセスに対する課金先を判定する。
【００６５】
（１．２）ネットワークアクセス認証システムの概略動作
次に、ネットワークアクセス認証システムの概略動作について説明する。図２は、ネットワークアクセス認証システムの概略動作を示すシーケンス図である。
【００６６】
ステップＳ１００１において、端末１は、ネットワーク５０１を介してコンテンツＵＲＩ要求をポータルサーバ２へ送信する。コンテンツＵＲＩ要求は、ＵＲＩを取得するコンテンツを一意に識別するコンテンツＩＤと、端末１を一意に識別する端末ＩＤとを含む。端末ＩＤとしては、例えばＩＭＥＩ又は電話番号などが使用される。
【００６７】
ステップＳ１００２において、ポータルサーバ２は、端末１に一時的にネットワークアクセスを認可させるための認証鍵を生成するために、認証鍵生成要求を認証鍵生成サーバ８へ送信する。
【００６８】
認証鍵生成要求は、ポータルサーバ２を一意に識別するポータルサーバＩＤと、端末１の端末ＩＤと、コンテンツＩＤから導出されたコンテンツＵＲＩとを含む。本実施形態では、ポータルサーバ２は、コンテンツサーバ３と接続しており、コンテンツＩＤをコンテンツサーバ３へ送信するなどして、コンテンツＵＲＩを導出する。
【００６９】
ステップＳ１００３において、認証鍵生成サーバ８は、認証鍵を生成後、課金イベントを課金サーバ７へ送信する。認証鍵は、ネットワーク５０２へのアクセス認証で用いられる認証トークンと、ネットワーク５０２へのアクセスを監視するためのアクセスポリシーと、一時的にアクセスを認可するネットワーク５０２の設定情報であるアクセスネットワーク情報とを含む。
【００７０】
アクセスポリシーとは、例えばファイアーウォールのポリシーであり、アクセスを認可されるメッセージ発信元及び発信先を特定するものである。すなわち、ポリシーに記載されたメッセージ発信先以外の発信先へはアクセスをすべてブロックさせる。
【００７１】
アクセスネットワーク情報は、ネットワーク５０２が無線ＬＡＮである場合、アクセスネットワーク情報は、ＳＳＩＤ（Service Set Identifier）やＷＥＰ（Wired Equivalent Privacy）キーなどの情報を含む。
【００７２】
ステップＳ１００４において、認証鍵生成サーバ８は、認証鍵をポータルサーバ２へ送信する。
【００７３】
ステップＳ１００５において、ポータルサーバ２は、ステップＳ１００４で受信した認証鍵に加えて、コンテンツＵＲＩを端末１へ送信する。
【００７４】
ステップＳ１００６において、端末１は、ステップＳ１００５で受信したアクセスネットワーク情報に従ってネットワーク設定を実行する。これにより、端末１は、ネットワーク５０２へアクセス可能な状態になる。
【００７５】
ステップＳ１００７において、端末１は、ネットワーク５０２へアクセスし、アクセス認可要求をゲートウェイ５経由でアクセス管理サーバ４へ送信する。アクセス認可要求は、認証鍵を含む。
【００７６】
ステップＳ１００８において、アクセス管理サーバ４は、ステップＳ１００７で受信した認証鍵から認証トークンとアクセスポリシーを抽出する。アクセス管理サーバ４は、認証トークンから認可判定を実施し、認可である場合、ステップＳ１００９においてアクセスポリシー設定要求をゲートウェイ５へ送信する。アクセスポリシー設定要求は、アクセスポリシーと端末１に割り当てるネットワークアドレスとを含む（ＤＨＣＰとの連携をするなどして実現）。
【００７７】
ゲートウェイ５は、アクセスポリシー設定要求を受信すると、アクセスポリシーと端末１のネットワークアドレスとを元にポリシーを設定し、端末１からのネットワークアクセスの監視を開始する。ゲートウェイ５は、監視を開始後のステップＳ１０１０において、ポリシー設定応答をアクセス管理サーバ４へ送信する。
【００７８】
ステップＳ１０１１において、アクセス管理サーバ４は、ポリシー設定応答受信後、課金イベントを生成し、生成した課金イベントを課金サーバ７へ送信する。
【００７９】
ステップＳ１０１２において、アクセス管理サーバ４は、アクセス認可通知を端末１へ送信する。アクセス認可通知は、端末１に対する認可判定の結果と、認可であった場合はネットワークアドレスを含む。
【００８０】
ステップＳ１０１３において、端末１は、認可であった場合に、受信したネットワークアドレスを利用してコンテンツダウンロード要求を実行する。コンテンツダウンロード要求は、コンテンツＵＲＩを含む。ゲートウェイ５は、コンテンツダウンロード要求を受信すると、コンテンツアクセス元及びアクセス先を、設定されたアクセスポリシーを用いて監視する。
【００８１】
（２）ネットワークアクセス認証システムの詳細構成
次に、図３を参照して、端末１、ポータルサーバ２、認証鍵生成サーバ８、アクセス管理サーバ４及びゲートウェイ５の詳細構成について説明する。図３は、図１に示した端末１、ポータルサーバ２、認証鍵生成サーバ８、アクセス管理サーバ４及びゲートウェイ５の詳細構成を示すブロック図である。
【００８２】
（２．１）端末の構成
まず、端末１の構成について説明する。端末１は、コンテンツＵＲＩ要求部１１、情報抽出部１２、ＮＷ設定部１３、ログイン処理部１４、コンテンツ取得部１５及びＮＷアクセス部１９を備える。
【００８３】
コンテンツＵＲＩ要求部１１は、ダウンロードを要求するコンテンツのＵＲＩをポータルサーバ２に要求する。
【００８４】
情報抽出部１２は、ポータルサーバ２から受信したコンテンツＵＲＩ応答情報から、コンテンツＵＲＩ及び認証鍵を抽出する。
【００８５】
ＮＷ設定部１３は、情報抽出部１２によって抽出された認証鍵に含まれているネットワーク設定情報に基づき、コンテンツダウンロード用のネットワーク（ネットワーク５０２）の設定を実行する。
【００８６】
ログイン処理部１４は、ＮＷ設定部１３によって設定されたネットワーク（ネットワーク５０２）に対してネットワークアクセス認可要求を実行する。
【００８７】
コンテンツ取得部１５は、認可されたネットワーク（ネットワーク５０２）を利用してコンテンツダウンロードを実行する。
【００８８】
ＮＷアクセス部１９は、コンテンツダウンロード用のネットワーク（ネットワーク５０２）を利用したネットワークアクセスを実行する。
【００８９】
（２．２）ポータルサーバの構成
次に、ポータルサーバ２の構成について説明する。ポータルサーバ２は、コンテンツＵＲＩ配信部２１及び認証鍵取得部２２を備える。
【００９０】
コンテンツＵＲＩ配信部２１は、端末１からのコンテンツＵＲＩ要求を受付け、コンテンツＵＲＩとともに認証鍵を端末１へ送信する。
【００９１】
認証鍵取得部２２は、認証鍵を認証鍵生成サーバ８から取得する。
【００９２】
（２．３）認証鍵生成サーバの構成
次に、認証鍵生成サーバ８の構成について説明する。認証鍵生成サーバ８は、認証鍵生成部８１、アクセスポリシー生成部８２及び課金イベント生成部８３を備える。
【００９３】
認証鍵生成部８１は、ポータルサーバ２からの認証鍵生成要求を受付け、認証鍵を生成する。
【００９４】
アクセスポリシー生成部８２は、アクセスポリシーを生成する。
【００９５】
課金イベント生成部８３は、認証鍵生成部８１による認証鍵生成に応じて、課金サーバ７へ課金イベントを送信する。
【００９６】
（２．４）アクセス管理サーバの構成
次に、アクセス管理サーバ４の構成について説明する。アクセス管理サーバ４は、ログイン処理部４０、情報抽出部４１、認可判定部４２、ポリシー設定部４３及び課金イベント生成部４４を備える。
【００９７】
ログイン処理部４０は、端末１からゲートウェイ５を介して受信したアクセス認可要求を受付け、ログイン要求を実行する。
【００９８】
情報抽出部４１は、認証鍵を含むログイン情報を、端末１からゲートウェイ５を介して受信し、認証鍵から認証トークン及びアクセスポリシーを抽出する。
【００９９】
認可判定部４２は、情報抽出部４１によって抽出された認証トークンに基づいてネットワークアクセスの認可判定を行う。
【０１００】
ポリシー設定部４３は、アクセスポリシーをゲートウェイ５に送信することで、アクセスポリシーを設定する。
【０１０１】
課金イベント生成部４４は、ネットワークアクセス認可に応じた課金イベントを生成し、生成した課金イベントを課金サーバ７へ送信する。
【０１０２】
（２．５）ゲートウェイの構成
次に、ゲートウェイ５の構成について説明する。ゲートウェイ５は、ルーティング部５１及びアクセスポリシー設定部５２を備える。
【０１０３】
ルーティング部５１は、ネットワークアクセスを監視する。また、ルーティング部５１は、ネットワークアクセス認可要求メッセージやネットワークアクセス要求メッセージを受信し、適切なサーバへ転送する。
【０１０４】
アクセスポリシー設定部５２は、アクセス管理サーバ４の指示により、アクセスポリシーを設定する。
【０１０５】
（３）メッセージの構成例
次に、図４〜図８を参照して、上述したネットワークアクセス認証システムで使用される各メッセージ（情報）の構成について説明する。
【０１０６】
（３．１）認証鍵生成要求の一例
図４は、ポータルサーバ２から認証鍵生成サーバ８へ送信される認証鍵生成要求の一例を示す図である。図４の例では、ＸＭＬにて認証鍵生成要求が記述されているが、ＸＭＬに限るものではない。
【０１０７】
図４に示すように、コンテンツＵＲＩは、＜ｃｏｎｔｅｎｔｓ＿ｕｒｉ＞と＜／ｃｏｎｔｅｎｔｓ＿ｕｒｉ＞との間に記述される。端末ＩＤは、＜ｈａｎｄｓｅｔ＿ｉｄ＞と＜／ｈａｎｄｓｅｔ＿ｉｄ＞との間に記述される。要求者識別子（送信元識別子）としてのポータルサーバＩＤは、＜ｒｅｑｕｅｓｔｅｒ＿ｉｄ＞と＜／ｒｅｑｕｅｓｔｅｒ＿ｉｄ＞との間に記述される。
【０１０８】
認証鍵生成要求情報にポータルサーバＩＤを含めることで、ポータルサーバ２の認証鍵を利用した一時的なネットワーク認可が実現される。
【０１０９】
認証鍵生成要求情報に、ポータルサーバ２とアクセス管理サーバ４が共有している共有秘密情報（例えばパスワード）を含めてもよい。共有秘密情報を追加することで、共有秘密情報を含んだ認証鍵を受け取ることが可能となる。
【０１１０】
（３．２）認証鍵生成サーバが生成する各情報
図５は、認証鍵生成サーバ８が生成する各情報の一例を示す図である。
【０１１１】
図５の例では、認証トークンは、要求者識別子（ポータルサーバＩＤ）とパスワードで構成された文字列を、認証鍵生成サーバとアクセス管理サーバの共有秘密情報でハッシュをとった情報として生成される。
【０１１２】
また、認証鍵は、端末ＩＤ、認証トークン、アクセスポリシー及び有効期限で構成された文字列をアクセス管理サーバ４の公開鍵で暗号化した情報として生成されている。
【０１１３】
暗号化を施すことによって、アクセス管理サーバ４との通信路上での覗き見を防止することができる。端末ＩＤを含めることによって、認可される端末を一意に識別することができる。有効期限を含めることによって、一時的なアクセス認可を実現できる。
【０１１４】
認証鍵識別子は、認証鍵を認証鍵生成サーバとアクセス管理サーバの共有秘密情報でハッシュをとった情報として生成される。
【０１１５】
（３．３）アクセスポリシーの一例
図６は、アクセスポリシーの記述例を示す図である。上述したように、アクセスポリシーは、ネットワークアクセスを監視するためのポリシーであって、例えばファイアーウォールポリシーである。
【０１１６】
本実施形態では、端末１のネットワークアドレスの割り当てをアクセス管理サーバ４が実行することを想定している。そのため、認証鍵生成時には端末１のネットワークアドレスの割り当てが完了していない。そこで、アクセス元情報をアクセスポリシーに記載せず、アクセス管理サーバ４において割り当てられたネットワークアドレスを後で設定できるようにしてある。
【０１１７】
（３．４）コンテンツＵＲＩ応答情報の一例
図７は、ポータルサーバ２から端末１へ送信されるコンテンツＵＲＩ応答情報の一例を示す図である。
【０１１８】
図７に示すように、コンテンツＵＲＩ応答情報は、端末１へ送信するまでの中間者攻撃を検知するためのダイジェストを含んでいる。当該ダイジェストは、コンテンツＵＲＬ、認証鍵及びネットワーク設定情報のダイジェストである。
【０１１９】
生成例としては、端末１との共有秘密情報（ネットワークＩＤ（ＩＭＥＩなど））を用いて一方向性関数（ＨＭＡＣ−ＳＨＡなど）を利用するなどが挙げられる。当該コンテンツＵＲＩ応答情報は、ネットワークアクセス認可をするための情報である認証鍵を含んでいるため、ダイジェストを含めることで、中間者攻撃を防ぐことができる。
【０１２０】
本実施形態では、コンテンツＵＲＩ応答情報をＸＭＬで記述しているが、これに限るものではない。また、本実施形態では平文で記述しているが、全体を暗号化してもよい。端末１の公開鍵を利用するなどして、実現できる。暗号化を施すことにより、端末１との通信路上でコンテンツＵＲＩ応答情報が覗き見されることを防ぐことができる。
【０１２１】
（３．５）認証鍵の一例
図８は、端末１からアクセス管理サーバ４へ送信される認証鍵の一例を示す図である。
【０１２２】
図８に示すように、図７記載のコンテンツＵＲＩ応答情報から抽出された認証鍵がそのまま送信される。なお、認証鍵には、端末１の署名を追加してもよい。このようにすることで、端末１とアクセス管理サーバ４間の通信路上で中間者による改ざんを検知することができる。
【０１２３】
（４）ネットワークアクセス認証システムの処理
次に、図９〜図３０を参照して、上述したネットワークアクセス認証システムの処理について説明する。
【０１２４】
（４．１）端末の処理
図９は、端末１の処理を示すフローチャートである。
【０１２５】
ステップＳ１１において、端末１は、コンテンツＵＲＩ要求部１１を起動し、コンテンツＵＲＩの取得要求を実行する。
【０１２６】
ステップＳ１２において、端末１は、ステップＳ１１で受信したコンテンツＵＲＩ応答情報を引数に情報抽出部１２を呼び出す。
【０１２７】
ステップＳ１３において、端末１は、コンテンツをダウンロードするためのネットワークの設定を実行するため、抽出されたネットワーク設定情報を引数にＮＷ設定部１３を呼び出す。
【０１２８】
ステップＳ１４において、端末１は、ネットワークアクセス認可要求を実行するため、ステップＳ１２で抽出された認証鍵を引数にログイン処理部を呼び出す。
【０１２９】
ステップＳ１５において、端末１は、ステップＳ１４でのネットワークアクセスのログインが成功であるかを判定する。ログインが成功である場合、ステップＳＳ１６の処理に進む。一方、ログインが失敗である場合、処理が終了する。
【０１３０】
ステップＳ１６において、端末１は、ステップＳ１２で抽出されたコンテンツＵＲＩを引数にコンテンツ取得部１５を呼び出す。
【０１３１】
（４．１．１）コンテンツＵＲＩ要求部の処理例
図１０は、コンテンツＵＲＩ要求部１１の処理例を示すフローチャートである。
【０１３２】
ステップＳ１１０において、コンテンツＵＲＩ要求部１１は、ポータルサーバ２へログインする。端末利用者（ユーザ）は、提示されたコンテンツのうち、ダウンロードするコンテンツを指定する。
【０１３３】
ステップＳ１１１において、コンテンツＵＲＩ要求部１１は、ステップＳ１１０での指定に従って、指定されたコンテンツを一意に識別するコンテンツＩＤを取得する。
【０１３４】
ステップＳ１１２において、コンテンツＵＲＩ要求部１１は、コンテンツＩＤを含むコンテンツＵＲＩ要求情報を生成する。
【０１３５】
ステップＳ１１３において、コンテンツＵＲＩ要求部１１は、コンテンツＵＲＩ要求情報をポータルサーバ２へ送信する。なお、ステップＳ１１０にて端末ＩＤを含めない場合、ステップＳ１１２にて端末ＩＤを含めてもよい。
【０１３６】
ステップＳ１１４において、コンテンツＵＲＩ要求部１１は、コンテンツＵＲＩ要求に対応して送信されたコンテンツＵＲＩ応答情報を取得する。
【０１３７】
（４．１．２）コンテンツＵＲＩ要求部の処理
図１１は、情報抽出部１２の処理例を示すフローチャートである。
【０１３８】
ステップＳ１２０において、情報抽出部１２は、コンテンツＵＲＩ応答情報を取得する。
【０１３９】
ステップＳ１２１において、情報抽出部１２は、ステップＳ１２０で取得したコンテンツＵＲＩ応答情報からコンテンツＵＲＩ、認証鍵（及びネットワーク設定情報）を抽出する。例えば、ＸＭＬで記述されたコンテンツＵＲＩ応答情報をパースすることによって、各情報が抽出される。
【０１４０】
（４．１．３）ＮＷ設定部の処理例
図１２は、ＮＷ設定部１３の処理例を示すフローチャートである。
【０１４１】
ステップＳ１３０において、ＮＷ設定部１３は、ネットワーク設定情報を取得する。
【０１４２】
ステップＳ１３１において、ＮＷ設定部１３は、ステップＳ１３０で取得したネットワーク設定情報によりネットワーク設定を反映させる。例えば、ネットワーク設定情報にＳＳＩＤとＷＥＰキーが記述されている場合、当該ＳＳＩＤとＷＥＰキーとがＮＷアクセス部１９に設定される。
【０１４３】
（４．１．４）ログイン処理部の処理例
図１３は、ログイン処理部１４の処理例を示すフローチャートである。
【０１４４】
ステップＳ１４０において、ログイン処理部１４は、認証鍵を取得する。
【０１４５】
ステップＳ１４１において、ログイン処理部１４は、ＮＷ設定部１３にて設定されたネットワークアクセス設定に基づいてアクセス認可要求を送信するため、ＮＷアクセス部１９を呼び出す。
【０１４６】
ステップＳ１４２において、アクセス管理サーバ４からのログイン要求を受信したログイン処理部１４は、ログイン要求に含まれるアクセス管理サーバ識別子を取得し、アクセス管理サーバであることを確認する。
【０１４７】
ここで、アクセス管理サーバであることを正確に確認するために、アクセス管理サーバ識別子として、アクセス管理サーバのCredentialを採用してもよい。Credentialにすることで、アクセス管理サーバ４を偽る装置を端末１側で検知することが可能となる。
【０１４８】
ステップＳ１４３において、ログイン処理部１４は、アクセス管理サーバ４を確認後、認証鍵と端末ＩＤをアクセス管理サーバ４へ送信する。
【０１４９】
ステップＳ１４４において、ログイン処理部１４は、アクセス管理サーバ４にて認可判定が実施された後、ログイン結果を受信すると、ログイン結果を取得する。
【０１５０】
なお、本実施形態においては、アクセス管理サーバ４は、端末からのネットワークアクセス要求に対して、ログイン要求を送信することを想定しているが、これに限るものではない。例えば、ステップＳ１４１においてアクセス認可要求を送信する際に、認証鍵をあわせて送信してもよい。
【０１５１】
（４．１．５）コンテンツ取得部の処理例
図１４は、コンテンツ取得部１５の処理例を示すフローチャートである。
【０１５２】
ステップＳ１５０において、コンテンツ取得部１５は、アクセス認可がなされた後、コンテンツＵＲＩを取得する。
【０１５３】
ステップＳ１５１において、コンテンツ取得部１５は、コンテンツＵＲＩを指定してコンテンツサーバ３へダウンロード要求を実施する。
【０１５４】
ステップＳ１５２において、コンテンツ取得部１５は、コンテンツサーバ３からコンテンツダウンロードを行う。
【０１５５】
（４．２）ポータルサーバの動作
次に、ポータルサーバ２の処理例について説明する。図１５は、ポータルサーバ２の処理例を示すフローチャートである。
【０１５６】
ステップＳ２１において、ポータルサーバ２は、端末１からのコンテンツＵＲＩ要求情報を引数として、コンテンツＵＲＩ配信部２１を呼び出す。ステップＳ２１では、コンテンツＵＲＩ要求情報に含まれるコンテンツＩＤからコンテンツＵＲＩを導出する。
【０１５７】
ステップＳ２２において、ポータルサーバ２は、コンテンツＵＲＩと端末ＩＤを引数として、認証鍵取得部２２を呼び出す。
【０１５８】
ステップＳ２３において、取得した認証鍵とネットワーク設定情報、及びコンテンツＩＤから導出されたコンテンツＵＲＩを端末１へ送信するために、認証鍵、ネットワーク設定情報、コンテンツＵＲＩを引数として、コンテンツＵＲＩ配信部２１を呼び出す。
【０１５９】
（４．２．１）コンテンツＵＲＩ配信部の処理例
図１６は、コンテンツＵＲＩ配信部２１の処理例を示すフローチャートである。上述したように、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ要求情報からコンテンツＩＤを抽出し、コンテンツＵＲＩを導出する機能と、認証鍵、ネットワーク設定情報、コンテンツＵＲＩを端末１へ送信する機能とを備える。
【０１６０】
ステップＳ２１０において、コンテンツＵＲＩ配信部２１は、渡された引数がコンテンツＵＲＩ要求情報であるかどうかを判断する。引数がコンテンツＵＲＩ要求情報である場合、ステップＳ２１１へ進む。引数がコンテンツＵＲＩ要求情報でない場合、ステップＳ２３１へ進む。
【０１６１】
ステップＳ２１１において、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ要求情報を取得する。
【０１６２】
ステップＳ２１２において、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ要求情報からコンテンツＩＤを抽出し、コンテンツＩＤからコンテンツＵＲＩを導出する。
【０１６３】
ステップＳ２１３において、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ要求情報から抽出した端末ＩＤとコンテンツＵＲＩとを出力する。
【０１６４】
一方、ステップＳ２３１において、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ、認証鍵、ネットワーク設定情報を取得する。
【０１６５】
ステップＳ２３２において、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ応答情報を生成する。
【０１６６】
ステップＳ２３３において、コンテンツＵＲＩ配信部２１は、コンテンツＵＲＩ要求元へコンテンツＵＲＩ応答情報を送信する。
【０１６７】
（４．２．２）認証鍵取得部の処理例
図１７は、認証鍵取得部２２の処理例を示すフローチャートである。
【０１６８】
ステップＳ２２０において、認証鍵取得部２２は、コンテンツＵＲＩと端末ＩＤを取得する。
【０１６９】
ステップＳ２２１において、認証鍵取得部２２は、ポータルサーバ２を一意に識別するポータルサーバＩＤを取得する。
【０１７０】
ステップＳ２２２において、認証鍵取得部２２は、認証鍵生成要求情報を生成して認証鍵生成サーバへ送信する。
【０１７１】
ここでポータルサーバＩＤは、Credentialや、ＳＩＰアドレスなどである。認証鍵生成要求情報は、コンテンツＵＲＩ、端末ＩＤ、ポータルサーバＩＤを含んだ情報である。認証鍵生成要求情報に、コンテンツＵＲＩと端末ＩＤを含めることで、認証鍵生成サーバ８は、一時的にネットワークアクセス認可をするネットワークのアクセスポリシーを生成することができる。
【０１７２】
ステップＳ２２３において、認証鍵取得部２２は、認証鍵要求に応じて受信した認証鍵、ネットワーク設定情報を取得して出力する。認証鍵とネットワーク設定情報を取得する際、認証鍵生成サーバ８の実装によっては、クライアント認証のためのステップを含めてもよい。
【０１７３】
（４．３）認証鍵生成サーバの処理例
次に、認証鍵生成サーバ８の処理例について説明する。図１８は、認証鍵生成サーバ８の処理例を示すフローチャートである。
【０１７４】
ステップＳ８１において、認証鍵生成サーバ８は、認証鍵生成要求を受信すると、認証鍵生成要求情報を引数として認証鍵生成部８１を呼び出す。
【０１７５】
ステップＳ８２において、認証鍵生成サーバ８は、生成された認証鍵及びネットワーク設定情報を認証鍵生成要求元へ送信する。
【０１７６】
（４．３．１）認証鍵生成部の処理例
図１９は、認証鍵生成部８１の処理例を示すフローチャートである。
【０１７７】
ステップＳ８１０において、認証鍵生成部８１は、認証鍵生成要求情報を取得する。
【０１７８】
ステップＳ８１１において、認証鍵生成部８１は、認証鍵生成要求情報に含まれているネットワークアドレスと端末ＩＤを引数として、アクセスポリシー生成部８２を呼び出す。
【０１７９】
ステップＳ８１２において、認証鍵生成部８１は、認証鍵生成要求情報に含まれている端末ＩＤと要求者識別子からネットワーク認可を判定するための認証トークンを生成する。なお、ステップＳ８１２では、要求者に対してクライアント認証を実施してもよい。
【０１８０】
認証トークンは、要求者識別子と要求者とアクセス管理サーバ４の共有秘密情報（例えばパスワード）を用いて生成されることが望ましい。当該共有秘密情報は、認証鍵生成要求情報として受信する、あるいは要求者識別子からデータベースを引くなどして取得する。
【０１８１】
ステップＳ８１３において、認証鍵生成部８１は、認証トークンと、アクセスポリシーをアクセス管理サーバ４の公開鍵で暗号化した認証鍵を生成する。ステップＳ８１３では、さらに署名を添付してもよい。署名添付をすることで、アクセス管理サーバ４との通信路上で改ざんを受ける場合にアクセス管理サーバ４にて改ざんを検知することができる。
【０１８２】
なお、本実施形態では、ステップＳ８１３において暗号化を施したが、それに限るものではない。ただし、暗号化をすることでアクセス管理サーバ４との通信路上で覗き見を防ぐことができるので暗号化をすることが望ましい。
【０１８３】
ステップＳ８１４において、認証鍵生成部８１は、認証鍵、ネットワークアドレスを引数として、課金イベント生成部８３を呼び出す。認証鍵を引数として含めることで、認証鍵を利用したネットワークアクセスに対して課金を行うことができる。ネットワークアドレスを引数として含めることで、認証鍵を利用したネットワークアクセスの課金先を決定することができる。
【０１８４】
ステップＳ８１５において、認証鍵生成部８１は、認証鍵及びネットワーク情報を出力する。
【０１８５】
（４．３．２）アクセスポリシー生成部の処理例
図２０は、アクセスポリシー生成部８２の処理例を示すフローチャートである。
【０１８６】
ステップＳ８２０において、アクセスポリシー生成部８２は、ネットワークアドレスと端末ＩＤを取得する。
【０１８７】
ステップＳ８２１において、アクセスポリシー生成部８２は、ステップＳ８２０で取得されたネットワークアドレスと端末ＩＤとからアクセスポリシーを生成する。
【０１８８】
ステップＳ８２３において、アクセスポリシー生成部８２は、アクセスポリシーを出力する。
【０１８９】
（４．３．３）課金イベント生成部の処理例
図２１は、課金イベント生成部８３の処理例を示すフローチャートである。
【０１９０】
ステップＳ８３０において、課金イベント生成部８３は、認証鍵及びネットワークアドレスを取得する。
【０１９１】
ステップＳ８３１において、課金イベント生成部８３は、ステップＳ８３０で取得した認証鍵から認証鍵識別子を生成する。
【０１９２】
ステップＳ８３２において、課金イベント生成部８３は、ステップＳ８３０で取得したネットワークアドレスから課金先情報を導出する。
【０１９３】
ステップＳ８３３において、課金イベント生成部８３は、ステップＳ８３１及びＳ８３２で得られた課金先情報と認証鍵識別子から課金イベントを生成し、課金サーバへ送信する。
【０１９４】
（４．４）アクセス管理サーバの処理例
次に、アクセス管理サーバ４の処理例について説明する。図２２は、アクセス管理サーバ４の処理例を示すフローチャートである。
【０１９５】
ステップＳ４０において、アクセス管理サーバ４は、アクセス認可要求情報を引数としてログイン処理部４０を呼び出す。
【０１９６】
ステップＳ４１において、アクセス管理サーバ４は、ログイン時に受信した認証鍵を引数として情報抽出部１２を呼び出す。
【０１９７】
ステップＳ４２において、アクセス管理サーバ４は、認可であった場合に、認証鍵から抽出された認証トークンを引数として認可判定部４２を呼び出す。
【０１９８】
ステップＳ４３において、アクセス管理サーバ４は、認証鍵から抽出されたポリシーを引数としてポリシー設定部４３を呼び出す。
【０１９９】
ステップＳ４４において、アクセス管理サーバ４は、認可判定結果及びポリシー設定結果を引数としてログイン処理部４０を呼び出す。
【０２００】
ステップＳ４５において、アクセス管理サーバ４は、認証鍵を引数として課金イベント生成部４４を呼び出す。
【０２０１】
（４．４．１）ログイン処理部の処理例
図２３は、ログイン処理部４０の処理例を示すフローチャートである。ログイン処理部４０は、アクセス認可要求情報を受信し、端末１に対してログイン要求を実施し、さらに認証鍵を受信して出力する機能と、認可判定結果、ポリシー設定結果からアクセス認可応答情報を生成し、端末１へ送信する機能とを備える。
【０２０２】
ステップＳ４０１において、ログイン処理部４０は、引数がアクセス認可要求情報であるか否かを判定する。引数がアクセス認可要求情報である場合、ステップＳ４０２に進む。一方、引数がアクセス認可要求情報でない場合、ステップＳ４４１に進む。
【０２０３】
ステップＳ４０２において、ログイン処理部４０は、アクセス認可要求情報を取得する。
【０２０４】
ステップＳ４０３において、ログイン処理部４０は、アクセス管理サーバ識別子を取得してアクセス管理サーバ識別子を含んだログイン要求情報を生成し、アクセス要求元、すなわち端末１へログイン要求情報を送信する。端末１にてログイン要求者を正しくサーバ認証できるように、アクセス管理サーバ識別子としてCredentialを用いてもよい。
【０２０５】
ステップＳ４０４において、ログイン処理部４０は、ログイン要求によって端末１から送信される認証鍵を取得する。
【０２０６】
ステップＳ４０５において、ログイン処理部４０は、認証鍵を出力する。
【０２０７】
一方、ステップＳ４４１において、ログイン処理部４０は、認可判定結果とポリシー設定結果を取得する。
【０２０８】
ステップＳ４４２において、ログイン処理部４０は、アクセス認可応答情報を生成する。
【０２０９】
ステップＳ４４３において、ログイン処理部４０は、アクセス認可要求元、すなわち端末１へアクセス認可応答情報を送信する。
【０２１０】
（４．４．２）情報抽出部の処理例
図２４は、情報抽出部４１の処理例を示すフローチャートである。
【０２１１】
ステップＳ４１０において、情報抽出部４１は、認証鍵を取得する。
【０２１２】
ステップＳ４１１において、情報抽出部４１は、ステップＳ４１０で取得した認証鍵から認証トークンとアクセスポリシーを抽出する。
【０２１３】
ステップＳ４１２において、情報抽出部４１は、認証トークンとアクセスポリシーとを出力する。なお、本実施形態において、認証鍵は、図５で説明した方法で生成されていることを想定しているが、ステップＳ４１１において、アクセス管理サーバ４の復号鍵で認証鍵を復号することによって、認証トークンとアクセスポリシーを抽出することができる。
【０２１４】
（４．４．３）認可判定部の処理例
図２５は、認可判定部４２の処理例を示すフローチャートである。
【０２１５】
ステップＳ４２０において、認可判定部４２は、認証トークンを取得する。
【０２１６】
ステップＳ４２１において、認可判定部４２は、ステップＳ４２０で取得した認証トークンを用いてアクセス認可判定を実行する。ステップＳ４２１におけるアクセス認可判定は、例えば次のようにして実行することができる。
【０２１７】
本実施形態では、認証トークンは、ポータルサーバ２の識別子と、アクセス管理サーバ４がポータルサーバ２と共有している秘密情報（例えばパスワード）から生成されたハッシュ値である。そこで、認可判定部４２は、事前にポータルサーバ２の識別子とパスワードを管理しておき、パスワード突合を行う。
【０２１８】
ステップＳ４２２において、認可判定部４２は、認可判定結果を出力する。認可と判定した場合は、ＤＨＣＰを利用するなどして端末１に割り当てるネットワークアドレスを取得し、認可判定結果とともに出力する。
【０２１９】
（４．４．３）ポリシー設定部の処理例
図２６は、ポリシー設定部４３の処理例を示すフローチャートである。
【０２２０】
ステップＳ４３０において、ポリシー設定部４３は、ネットワークアドレス及びアクセスポリシーを取得する。
【０２２１】
ステップＳ４３１において、ポリシー設定部４３は、ポリシー設定要求情報を生成し、ポリシー設定装置（ここではゲートウェイ５）へ送信する。ポリシー設定要求情報は、アクセス元とアクセス先を指定したアクセスポリシーを含む。図６に示したアクセスポリシーの場合、アクセス元情報が記載されていないため、ここにネットワークアドレスを追加する。
【０２２２】
ステップＳ４３２において、ポリシー設定部４３は、ゲートウェイ５からポリシー設定結果を受信する。
【０２２３】
ステップＳ４３３において、ポリシー設定部４３は、ステップＳ４３２で受信したポリシー設定結果を出力する。
【０２２４】
（４．４．４）課金イベント生成部の処理例
図２７は、課金イベント生成部４４の処理例を示すフローチャートである。
【０２２５】
ステップＳ４５０において、課金イベント生成部４４は、認証鍵を取得する。
【０２２６】
ステップＳ４５１において、課金イベント生成部４４は、ステップＳ４５０で取得した認証鍵から認証鍵識別子を生成する。認証鍵識別子は、例えば、図５に記載の方法で生成される。
【０２２７】
ステップＳ４５２において、課金イベント生成部４４は、認証鍵識別子から課金イベントを生成し、課金サーバへ送信する。当該課金イベントは、認証鍵を利用してネットワークアクセスを認可したことに応じて生成される。すなわち、アクセスポリシーによって特定のネットワークアドレスへの利用のみを認可するため、特定のネットワークアドレスへのアクセスのみの課金を実現することができる。
【０２２８】
ここで、課金サーバ７に送信される課金イベントに含まれる認証鍵識別子は、認証鍵生成サーバ８が認証鍵を生成した時点で送信された課金イベントに含まれる認証鍵識別子と同一になるため、課金サーバ７にて課金イベントの突合を実行することができる。
【０２２９】
（４．５）ゲートウェイの処理例
次に、ゲートウェイ５の処理例について説明する。図２８は、ゲートウェイ５の処理例を示すフローチャートである。
【０２３０】
ステップＳ５１において、ゲートウェイ５は、受信したメッセージを引数としてルーティング部５１を呼び出す。
【０２３１】
（４．５．１）ルーティング部の処理例
図２９は、ルーティング部５１の処理例を示すフローチャートである。
【０２３２】
ステップＳ５１０において、ルーティング部５１は、メッセージを取得する。
【０２３３】
ステップＳ５１１において、ルーティング部５１は、ステップＳ５１０で受信したメッセージがネットワーク認可要求であるかを判断する。メッセージがネットワーク認可要求である場合、ステップＳ５１２に進む。一方、メッセージがネットワーク認可要求でない場合、ステップＳ５１３に進む。
【０２３４】
ステップＳ５１２において、ルーティング部５１は、アクセス認可要求情報をアクセス管理サーバ４へ送信する。
【０２３５】
ステップＳ５１３において、ルーティング部５１は、ステップＳ５１０で受信したメッセージがポリシー設定要求であるかを判断する。メッセージがポリシー設定要求である場合、ステップＳ５１４に進む。メッセージがポリシー設定要求でない場合、ステップＳ５１５に進む。
【０２３６】
ステップＳ５１４において、ルーティング部５１は、ポリシー設定要求情報を取得する。
【０２３７】
ステップＳ５２において、ルーティング部５１は、ポリシー設定要求情報を引数としてアクセスポリシー設定部５２を呼び出す。
【０２３８】
一方、ステップＳ５１５において、ルーティング部５１は、アクセスポリシーとの突合をしてアクセス監視を実行する。
【０２３９】
（４．５．２）アクセスポリシー設定部の処理例
図３０は、アクセスポリシー設定部５２の処理例を示すフローチャートである。
【０２４０】
ステップＳ５２０において、アクセスポリシー設定部５２は、ポリシー設定要求情報を取得する。
【０２４１】
ステップＳ５２１において、アクセスポリシー設定部５２は、ポリシー設定要求情報に基づいてアクセスポリシーの設定を行う。
【０２４２】
ステップＳ５２２において、アクセスポリシー設定部５２は、ポリシー設定結果をポリシー設定要求元へ送信する。本実施形態では、ポリシー設定要求元はアクセス管理サーバ４である。
【０２４３】
（５）作用・効果
以上詳細に説明したように、ポータルサーバ２は、設定情報と、認証トークンと、アクセスポリシーとを端末１へ配布する。設定情報を端末１へ配布することで、端末１は、ネットワークにアクセス可能となる。認証トークンを端末１へ配布することで、ネットワークアクセスに対するシングルサインオンが実現される。さらに、アクセスポリシーを端末１へ配布することで、端末１のアクセス先を制限することができる。
【０２４４】
また、課金の判断とネットワークアクセス監視とを分離することによって、課金処理遅延を削減することができる。
【０２４５】
［第２実施形態］
上述した第１実施形態では、ゲートウェイ５がアクセスポリシーを実行する構成について説明した。本実施形態では、端末がアクセスポリシーを実行する構成について説明する。なお、本実施形態では、上述した第１実施形態と異なる点を主として説明し、重複する説明を省略する。
【０２４６】
（１）ネットワークアクセス認証システムの詳細構成
図３１は、本実施形態に係るネットワークアクセス認証システムの詳細構成を示すブロック図である。
【０２４７】
図３１に示すように、端末１０００は、図３に示した端末１が備える機能ブロックに加えて、外部からのアクセスが限られるセキュアドメイン１７を備える。セキュアドメイン１７の内部には、アクセスポリシーを設定して実行するアクセスポリシー設定部１７１が設けられる。なお、セキュアドメインは、専用のＯＳやプロセッサを利用することで実現される。
【０２４８】
（２）ネットワークアクセス認証システムの概略動作
次に、本実施形態に係るネットワークアクセス認証システムの概略動作について説明する。図３２は、本実施形態に係るネットワークアクセス認証システムのメッセージシーケンス図である。ここでは、図２に示したメッセージシーケンスとの差分について説明する。
【０２４９】
ステップＳ２００２において、ポータルサーバ２は、端末１０００からのコンテンツＵＲＩ要求に応じて、認証鍵生成要求を認証鍵生成サーバ８へ送信する際に、端末設定フラグを追加する。端末設定フラグは、端末が端末１０００のようなセキュアドメイン１７とアクセスポリシー設定部１７１を備えていることを伝えるための情報である。
【０２５０】
ステップＳ２００４において、認証鍵生成サーバ８は、認証鍵生成の際に、認証鍵に端末設定フラグを含める。認証鍵に端末設定フラグを含めることで、最終的に認証鍵が伝えられるアクセス管理サーバ４において、ポリシー設定を要求する先を端末１０００であると判断することができる。
【０２５１】
ステップＳ２００９において、アクセス管理サーバ４は、ポリシー設定要求をゲートウェイ５ではなく端末１０００に送信する。
【０２５２】
ステップＳ２０１０において、端末１０００は、ポリシー設定応答をアクセス管理サーバ４に送信する。
【０２５３】
ステップＳ２０１２において、アクセス管理サーバ４は、アクセス認可通知を端末１０００へ送信する。
【０２５４】
ステップＳ２０１３において、端末１０００は、コンテンツ要求の際、アクセスポリシーに従ってローカルでアクセス監視が実施され、アクセス先を特定する。
【０２５５】
（３．１）ログイン処理部の処理例
図３３は、端末１０００のログイン処理部１４の処理例を示すフローチャートである。
【０２５６】
図３３に示すように、本フローチャートは、図１３に示したフローチャートを拡張したものである。具体的には、ステップＳ１４３とステップＳ１４４の間に、ステップＳ１４５及びＳ１４６が追加されている。
【０２５７】
ステップＳ１４５において、ログイン処理部１４は、アクセス管理サーバからのポリシー設定要求情報を受信し、アクセスポリシー設定部を呼び出す。
【０２５８】
ステップＳ１４６において、ログイン処理部１４は、ポリシー設定応答をアクセス管理サーバ４へ送信する。
【０２５９】
（３．２）アクセスポリシー設定部の処理例
図３４は、アクセスポリシー設定部１７１の処理例を示すフローチャートである。
【０２６０】
図３０に示したフローチャートと同様、ステップＳ１７０において、アクセスポリシー設定部１７１は、ポリシー設定要求情報を取得しアクセスポリシーを抽出する。
【０２６１】
ステップＳ１７１において、アクセスポリシー設定部１７１は、アクセスポリシーを設定する。
【０２６２】
ステップＳ１７２において、アクセスポリシー設定部１７１は、ポリシー設定結果をポリシー設定要求元へ送信する。
【０２６３】
（３．３）情報抽出部の処理例
図２４に示したフローチャートを参照してアクセス管理サーバ４の処理について説明する。ステップＳ４１１において、アクセス管理サーバ４における情報抽出部４１は、認証トークン及びアクセスポリシーに加えて端末設定フラグを抽出する。
【０２６４】
（３．４）アクセス管理サーバの処理例
図２２に示したフローチャートを参照して、アクセス管理サーバ４の処理について説明する。ステップＳ４３において、アクセス管理サーバ４は、さらに端末設定フラグを引数として追加する。
【０２６５】
（３．５）ポリシー設定部の処理例
図２６に示したフローチャートを参照して、ポリシー設定部４３の処理について説明する。
【０２６６】
ステップＳ４３０において、ポリシー設定部４３は、さらに端末設定フラグを取得する。
【０２６７】
ステップＳ４３１において、ポリシー設定部４３は、ポリシー設定装置として端末１０００を選択して、端末１０００にポリシー設定要求情報を送信する。
【０２６８】
（３．６）ルーティング部の処理例
図２９に示したフローチャートを参照して、ルーティング部５１の処理について説明する。
【０２６９】
ルーティング部５１は、図２９に示すフローチャートから、ステップＳ５１３，Ｓ５１４，Ｓ５１５を除くステップを実行する。
【０２７０】
また、ルーティング部５１は、ステップＳ５１１にてネットワークアクセス認可要求でないと判断された場合は、ステップＳ５１５を実行する。
【０２７１】
（４）作用・効果
以上説明したように、本実施形態では、ネットワークアクセスの監視を端末１０００にて実行する。したがって、ゲートウェイ５０における負荷を低減することができ、ネットワーク側の負荷が削減される。
【０２７２】
［第３実施形態］
上述した第１及び第２実施形態では、端末が１つである構成について説明した。本実施形態では、デバイス管理（ＤＭ）に適用される構成について説明する。なお、本実施形態では、上述した第１実施形態と異なる点を主として説明し、重複する説明を省略する。
【０２７３】
（１）ネットワークアクセス認証システムの概要
図３５及び図３６を用いて、本実施形態に係るネットワークアクセス認証システムの概要について説明する。
【０２７４】
（１．１）ネットワークアクセス認証システムの概略構成
図３５は、本実施形態に係るネットワークアクセス認証システムの概略構成例を示した図である。
【０２７５】
本実施形態に係るネットワークアクセス認証システムは、被管理端末１０、管理端末９０及びデバイス管理サーバ３０を備えている点で、図３とは異なっている。
【０２７６】
被管理端末１０は、コンテンツをダウンロードする。管理端末９０は、ポータルサーバ２０を利用して被管理端末を管理する。デバイス管理サーバ３０は、ポータルサーバ２０からのデバイス管理要求に基づいて、被管理端末１０とデバイス管理セッションを確立する。
【０２７７】
被管理端末１０とデバイス管理サーバ３０は、ネットワーク５０１（例えばＧＰＲＳ）上で接続される。
【０２７８】
被管理端末１０は、管理端末９０からのデバイス管理要求に従って、未認可であるネットワーク５０２（例えば無線ＬＡＮ）を利用してコンテンツサーバ３とアクセスし、コンテンツダウンロードを実行する。
【０２７９】
被管理端末１０は、デバイス管理サーバ３０と確立したデバイス管理セッションに基づき、ネットワーク５０２のアクセス認可を得る。
【０２８０】
デバイス管理セッションは、デバイス管理を実行するためのメッセージを流すためのセッションであり、例えばＯＭＡ−ＤＭプロトコルに基づいたセッションである。デバイス管理サーバ３０とポータルサーバ２０との情報のやりとりについては、例えばデバイス管理サーバ３０は、ポータルサーバ２０に対してデバイス管理処理のインタフェースを開示しており、ポータルサーバ２０はそのインタフェースを介してデバイス管理要求を実行するなどで実現する。デバイス管理サーバ３０は、インタフェースに応じてＯＭＡ−ＤＭプロトコルメッセージを生成し、被管理端末１０とのデバイス管理セッションを確立する。
【０２８１】
（１．２）ネットワークアクセス認証システムの概略動作
図３６は、本実施形態に係るネットワークアクセス認証システムのメッセージシーケンスを示している。なお、図３６はネットワークアクセス認可要求がアクセス管理サーバ４に到着するまでのメッセージシーケンスを示している。その後は、図２と同様にメッセージが流れる。
【０２８２】
ステップＳ３００１において、管理端末９０は、コンテンツダウンロード管理要求をポータルサーバ２０へ送信する。コンテンツダウンロード管理要求は、被管理端末を一意に識別する端末ＩＤと、ダウンロードを実行するコンテンツを一意に識別するコンテンツＩＤを含む。
【０２８３】
ステップＳ３００２において、ポータルサーバ２０は、認証鍵生成要求を認証鍵生成サーバ８へ送信する。
【０２８４】
ステップＳ３００３において、認証鍵生成サーバ８は、認証鍵生成に応じた課金イベントを課金サーバ７へ送信する。
【０２８５】
ステップＳ３００４において、認証鍵生成サーバ８は、認証鍵生成応答をポータルサーバ２０へ送信する。
【０２８６】
ステップＳ３００５において、ポータルサーバ２０は、デバイス管理要求をデバイス管理サーバ３０へ送信する。デバイス管理要求は、被管理端末を一意に識別する端末ＩＤと、ネットワークアクセスを認可するための認証鍵と、認可されるネットワークの設定情報（ＷＬＡＮにおけるＳＳＩＤやＷＥＰキーの情報など）とを含む。
【０２８７】
ステップＳ３００６において、デバイス管理サーバ３０は、デバイス管理要求を受信すると、デバイス管理セッションを被管理端末１０と確立し、デバイス管理を実行する。
【０２８８】
当該デバイス管理セッションでは、被管理端末１０がネットワーク５０２により管理されるネットワークドメインに入ったことを機にアクセス認可要求を実行するためのスケジュール設定と、ネットワーク５０２のネットワーク設定を実行するためのネットワーク設定と、ネットワークアクセス認可後コンテンツをダウンロードするためのコンテンツダウンロード設定を実行する。
【０２８９】
被管理端末１０は、スケジュール設定に従って、アクセス認可要求をゲートウェイ５経由でアクセス管理サーバ４へ送信する。アクセス認可要求は認証鍵と端末ＩＤとを含む。
【０２９０】
（２）ネットワークアクセス認証システムの詳細構成
次に、本実施形態に係るネットワークアクセス認証システムの詳細構成について説明する。図３７は、本実施形態に係るネットワークアクセス認証システムにおける各装置の機能構成を示したブロック図である。
【０２９１】
（２．１）管理端末の構成
管理端末９０は、コンテンツダウンロード要求を実行するコンテンツダウンロード要求部９０１を備える。
【０２９２】
（２．２）ポータルサーバの構成
ポータルサーバ２０は、コンテンツダウンロード管理要求を受付けるコンテンツダウンロード応答部２３と、一時的にネットワーク認可をするための認証鍵を取得する認証鍵取得部２２と、デバイス管理サーバのインタフェースを利用してデバイス管理要求を実行するデバイス管理要求部２４とを備える。
【０２９３】
（２．３）デバイス管理サーバの構成
デバイス管理サーバ３０は、ポータルサーバ２０からのデバイス管理要求を受付け、デバイス管理要求に基づいて被管理端末１０とデバイス管理セッションを確立し、被管理端末１０を管理するデバイス管理部３０１を備える。
【０２９４】
デバイス管理部３０１は、例えばＯＭＡ−ＤＭプロトコルスタックを実装しているデバイス管理サーバソフトウェアである。デバイス管理部３０１は、ＯＭＡ−ＤＭプロトコルに基づいて、デバイス管理セッション開始メッセージを被管理端末１０に送信し、応答を受信した後、デバイス管理メッセージを送信する。
【０２９５】
当該デバイス管理メッセージでは、認可を受けるネットワークの設定をするためのネットワーク設定情報と、認可を受けるネットワークドメインに入ったことを検知するとともにネットワークアクセス認可要求を送信するためのスケジュール設定情報と、ネットワークアクセス認可後、コンテンツダウンロードを実行するためのコンテンツダウンロード設定情報を含む。
【０２９６】
（２．４）被管理端末の構成
被管理端末１０は、図３に示した端末１が備える各機能ブロックに加えて、デバイス管理サーバ３０からのデバイス管理セッションを確立するためのデバイス管理クライアント１０１と、タスクのスケジュール処理を実行するスケジュール処理部１８とをさらに備える。
【０２９７】
（３）デバイス管理メッセージの一例
図３８は、デバイス管理メッセージの一例を示す図である。
【０２９８】
本実施形態では、被管理端末１０がネットワーク設定管理オブジェクトＯＭＡ−ＤＭ Conn ＭＯと、スケジュール設定管理オブジェクトＯＭＡ−ＤＭ Scheduling ＭＯと、ソフトウェア管理オブジェクトＯＭＡ−ＤＭ ＳＣＯＭＯとを備えていることを想定している。
【０２９９】
図３８の例では、それぞれの管理オブジェクトを操作するための情報が記載されている。ネットワーク設定情報には、ＳＳＩＤやＷＥＰキーの情報に加えて、認証鍵を含めている。なお、本実施形態では、ＯＭＡ−ＤＭを採用しているが、ＯＭＡ−ＤＭに限るものではない。
【０３００】
（４）ネットワークアクセス認証システムの処理
次に、図３９〜図４６を参照して、本実施形態に係るネットワークアクセス認証システムの処理について説明する。
【０３０１】
（４．１）管理端末の処理例
図３９は、管理端末９０の処理例を示すフローチャートである。
【０３０２】
ステップＳ９０において、管理端末９０は、ポータルサーバ２０へログインする。ログインにおいて、被管理端末１０を一意に識別する端末ＩＤを送信する。端末ＩＤとは端末を特定するための情報であり、例えばＩＭＥＩやＩＭＳＩ、ＭＳＩＳＤＮ、ＳＩＰアドレスなどが挙げられる。
【０３０３】
ステップＳ９１において、端末利用者（ユーザ）は、提示されたコンテンツのうち、ダウンロードをするコンテンツを指定する。管理端末９０は、コンテンツを指定するユーザ入力を取得する。
【０３０４】
ステップＳ９２において、管理端末９０は、ユーザ入力を引数としてコンテンツダウンロード要求部を呼び出す。
【０３０５】
（４．１．１）コンテンツダウンロード要求部の処理例
図４０は、コンテンツダウンロード要求部９０１の処理例を示すフローチャートである。
【０３０６】
ステップＳ９２０において、コンテンツダウンロード要求部９０１は、ユーザ入力を取得する。
【０３０７】
ステップＳ９２１において、コンテンツダウンロード要求部９０１は、コンテンツダウンロード管理要求情報を生成してポータルサーバ２０へ送信する。コンテンツダウンロード管理要求情報には、被管理端末１０を一意に識別する端末ＩＤと、ダウンロードをするコンテンツを一意に識別するコンテンツＩＤとが含まれる。
【０３０８】
（４．３）ポータルサーバの処理例
図４１は、ポータルサーバ２０の処理例を示すフローチャートである。
【０３０９】
ステップＳ２００において、ポータルサーバ２０は、コンテンツダウンロード管理要求情報を引数としてコンテンツダウンロード応答部２３を呼び出す。
【０３１０】
ステップＳ２０１において、ポータルサーバ２０は、コンテンツＵＲＩと端末ＩＤを引数に認証鍵取得部２２を呼び出す。
【０３１１】
ステップＳ２０２において、ポータルサーバ２０は、コンテンツＵＲＩ、認証鍵、ネットワーク設定情報を引数にデバイス管理要求部２４を呼び出す。
【０３１２】
（４．３．１）コンテンツダウンロード応答部の処理例
図４２は、コンテンツダウンロード応答部２３の処理例を示すフローチャートである。
【０３１３】
ステップＳ２３０において、コンテンツダウンロード応答部２３は、コンテンツダウンロード管理要求情報を取得する。
【０３１４】
ステップＳ２３１において、コンテンツダウンロード管理要求情報に含まれているコンテンツＩＤから、コンテンツＵＲＩを解決する。本実施形態ではポータルサーバ２０はコンテンツサーバ３と接続しており、コンテンツＩＤをコンテンツサーバ３へ送信するなどして、コンテンツＵＲＩを導出することができる。
【０３１５】
ステップＳ２３２において、コンテンツダウンロード応答部２３は、コンテンツＵＲＩと、コンテンツダウンロード管理要求情報に含まれている端末ＩＤとを出力する。
【０３１６】
（４．３．２）デバイス管理要求部の処理例
図４３は、デバイス管理要求部２４の処理例を示すフローチャートである。
【０３１７】
ステップＳ２４０において、デバイス管理要求部２４は、コンテンツＵＲＩ、認証鍵及びネットワーク設定情報を取得する。
【０３１８】
ステップＳ２４１において、デバイス管理要求部２４は、デバイス管理要求情報を生成する。デバイス管理要求情報を生成するに当たり、デバイス管理サーバ３０が開示しているインタフェースを利用して生成してもよい。その際、デバイス管理要求情報は、インタフェース識別子とコンテンツＵＲＩ、認証鍵、ネットワーク設定情報を含む。
【０３１９】
ステップＳ２４２において、デバイス管理要求部２４は、デバイス管理要求情報をデバイス管理サーバ３０へ送信する。
【０３２０】
（４．４）被管理端末の処理例
図４４は、被管理端末１０の処理例を示すフローチャートである。
【０３２１】
ステップＳ１００において、被管理端末１０は、デバイス管理セッション開始要求を取得する。
【０３２２】
ステップＳ１０１において、被管理端末１０は、デバイス管理セッション開始要求を引数としてデバイス管理クライアント１０１を呼び出す。
【０３２３】
（４．４．１）デバイス管理クライアントの処理例
図４５は、デバイス管理クライアント１０１の処理例を示すフローチャートである。
【０３２４】
ステップＳ１０１０において、デバイス管理クライアント１０１は、デバイス管理セッション開始要求を取得する。
【０３２５】
ステップＳ１０１１において、デバイス管理クライアント１０１は、デバイス管理サーバとデバイス管理セッションを確立する。デバイス管理セッションでは、上述したデバイス管理メッセージを受信し、当該メッセージに従って、被管理端末１０が保持する管理オブジェクトを操作する。
【０３２６】
ステップＳ１０１２において、デバイス管理クライアント１０１は、操作した管理オブジェクトを元にデバイス管理エージェント（ＮＷ設定部１３、スケジュール処理部１８、コンテンツ取得部１５）を呼び出す。
【０３２７】
（４．４．２）スケジュール処理部の処理例
図４６は、スケジュール処理部１８の処理例を示すフローチャートである。
【０３２８】
ステップＳ１８０において、スケジュール処理部１８は、スケジュール管理オブジェクトに記載のスケジュール処理情報を取得する。
【０３２９】
ステップＳ１８１において、スケジュール処理部１８は、スケジュール処理情報から条件情報を抽出し、条件突合を実行するためのイベントトラップを起動する。
【０３３０】
被管理端末１０が上述したデバイス管理メッセージを受信したと想定すると、ステップＳ１８１では、スケジュール処理部１８は、近隣ネットワークをモニタするモニタリングソフトを起動し、ネットワーク５０２に入ったことを検知する。
【０３３１】
ステップＳ１８１においてイベント発生を検知すると、ステップＳ１８２において、スケジュール処理部１８は、スケジュール処理情報に含まれるタスク処理情報に従ってタスクを実行する。被管理端末１０が上述したデバイス管理メッセージを受信したと想定すると、ステップＳ１８２ではログイン処理部１４を起動する。
【０３３２】
（５）作用・効果
以上説明したように、本実施形態によれば、第１及び第２実施形態と同様の効果をデバイス管理システムでも得ることができる。このため、管理端末９０からポータルサーバ２０へのサインオンにより実現される被管理端末１０へのコンテンツダウンロードに要したネットワークアクセスの料金を無料にするといったサービスが実現できる。
【０３３３】
［その他の実施形態］
上記のように、本発明は実施形態によって記載したが、当該開示の一部をなす論述及び図面は当該発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなる。
【０３３４】
上述した実施形態では、端末１、端末１０００及び被管理端末１０が移動機であったが、移動機に限らず、デスクトップＰＣなどの固定された通信端末であってもよい。また、ネットワーク５０１が携帯電話ネットワークであり、ネットワーク５０２が無線ＬＡＮであったが、これらの移動通信ネットワークに限らず、固定通信ネットワークを利用してもよい。
【０３３５】
また、上述した実施形態では、コンテンツサーバ３がインターネット５０３上に配置されていたが、インターネット５０３以外のネットワーク上に配置されていてもよい。
【０３３６】
上述した第２実施形態では、端末１０００は、認証トークン及びアクセスポリシー含む認証鍵をアクセス管理サーバ４に送信していたが、アクセスポリシーについてはアクセス管理サーバ４に送信せず、セキュアドメイン１７内に保持しておく構成としてもよい。
【０３３７】
このように本発明は、ここでは記載していない様々な実施形態等を包含するということを理解すべきである。したがって、本発明は当該開示から妥当な特許請求の範囲の発明特定事項によってのみ限定されるものである。
【図面の簡単な説明】
【０３３８】
【図１】本発明の第１実施形態に係るネットワークアクセス認証システムの概略構成図である。
【図２】本発明の第１実施形態に係るネットワークアクセス認証システムの概略動作を示すシーケンス図である。
【図３】図１に示した端末、ポータルサーバ、認証鍵生成サーバ、アクセス管理サーバ及びゲートウェイの詳細構成を示すブロック図である。
【図４】本発明の第１実施形態に係るポータルサーバから認証鍵生成サーバへ送信される認証鍵生成要求の一例を示す図である。
【図５】本発明の第１実施形態に係る認証鍵生成サーバが生成する各情報の一例を示す図である。
【図６】本発明の第１実施形態に係るアクセスポリシーの記述例を示す図である。
【図７】本発明の第１実施形態に係るポータルサーバから端末へ送信されるコンテンツＵＲＩ応答情報の一例を示す図である。
【図８】本発明の第１実施形態に係る端末からアクセス管理サーバへ送信される認証鍵の一例を示す図である。
【図９】本発明の第１実施形態に係る端末の処理を示すフローチャートである。
【図１０】本発明の第１実施形態に係るコンテンツＵＲＩ要求部の処理例を示すフローチャートである。
【図１１】本発明の第１実施形態に係る情報抽出部の処理例を示すフローチャートである。
【図１２】本発明の第１実施形態に係るＮＷ設定部の処理例を示すフローチャートである。
【図１３】本発明の第１実施形態に係るログイン処理部の処理例を示すフローチャートである。
【図１４】本発明の第１実施形態に係るコンテンツ取得部の処理例を示すフローチャートである。
【図１５】本発明の第１実施形態に係るポータルサーバの処理例を示すフローチャートである。
【図１６】本発明の第１実施形態に係るコンテンツＵＲＩ配信部の処理例を示すフローチャートである。
【図１７】本発明の第１実施形態に係る認証鍵取得部の処理例を示すフローチャートである。
【図１８】本発明の第１実施形態に係る認証鍵生成サーバの処理例を示すフローチャートである。
【図１９】本発明の第１実施形態に係る認証鍵生成部の処理例を示すフローチャートである。
【図２０】本発明の第１実施形態に係るアクセスポリシー生成部の処理例を示すフローチャートである。
【図２１】本発明の第１実施形態に係る課金イベント生成部の処理例を示すフローチャートである。
【図２２】本発明の第１実施形態に係るアクセス管理サーバの処理例を示すフローチャートである。
【図２３】本発明の第１実施形態に係るログイン処理部の処理例を示すフローチャートである。
【図２４】本発明の第１実施形態に係る情報抽出部の処理例を示すフローチャートである。
【図２５】本発明の第１実施形態に係る認可判定部の処理例を示すフローチャートである。
【図２６】本発明の第１実施形態に係るポリシー設定部の処理例を示すフローチャートである。
【図２７】本発明の第１実施形態に係る課金イベント生成部の処理例を示すフローチャートである。
【図２８】本発明の第１実施形態に係るゲートウェイの処理例を示すフローチャートである。
【図２９】本発明の第１実施形態に係るルーティング部の処理例を示すフローチャートである。
【図３０】本発明の第１実施形態に係るアクセスポリシー設定部の処理例を示すフローチャートである。
【図３１】本発明の第２実施形態に係るネットワークアクセス認証システムの詳細構成を示すブロック図である。
【図３２】本発明の第２実施形態に係るネットワークアクセス認証システムのメッセージシーケンス図である。
【図３３】本発明の第２実施形態に係るログイン処理部の処理例を示すフローチャートである。
【図３４】本発明の第２実施形態に係るアクセスポリシー設定部の処理例を示すフローチャートである。
【図３５】本発明の第３実施形態に係るネットワークアクセス認証システムの概略構成例を示した図である。
【図３６】本発明の第３実施形態に係るネットワークアクセス認証システムのメッセージシーケンスを示している。
【図３７】本発明の第３実施形態に係るネットワークアクセス認証システムにおける各装置の機能構成を示したブロック図である。
【図３８】本発明の第３実施形態に係るデバイス管理メッセージの一例を示す図である。
【図３９】本発明の第３実施形態に係る管理端末の処理例を示すフローチャートである。
【図４０】本発明の第３実施形態に係るコンテンツダウンロード要求部の処理例を示すフローチャートである。
【図４１】本発明の第３実施形態に係るポータルサーバの処理例を示すフローチャートである。
【図４２】本発明の第３実施形態に係るコンテンツダウンロード応答部の処理例を示すフローチャートである。
【図４３】本発明の第３実施形態に係るデバイス管理要求部の処理例を示すフローチャートである。
【図４４】本発明の第３実施形態に係る被管理端末の処理例を示すフローチャートである。
【図４５】本発明の第３実施形態に係るデバイス管理クライアントの処理例を示すフローチャートである。
【図４６】本発明の第３実施形態に係るスケジュール処理部の処理例を示すフローチャートである。
【符号の説明】
【０３３９】
１…端末、２…ポータルサーバ、３…コンテンツサーバ、４…アクセス管理サーバ、５…ゲートウェイ、７…課金サーバ、８…認証鍵生成サーバ、１０…被管理端末、１１…コンテンツＵＲＩ要求部、１２…情報抽出部、１３…ＮＷ設定部、１４…ログイン処理部、１５…コンテンツ取得部、１７…セキュアドメイン、１８…スケジュール処理部、１９…ＮＷアクセス部、２０…ポータルサーバ、２１…コンテンツＵＲＩ配信部、２２…認証鍵取得部、２３…コンテンツダウンロード応答部、２４…デバイス管理要求部、３０…デバイス管理サーバ、４０…ログイン処理部、４１…情報抽出部、４２…認可判定部、４３…ポリシー設定部、４４…課金イベント生成部、５１…ルーティング部、５２…アクセスポリシー設定部、８１…認証鍵生成部、８２…アクセスポリシー生成部、８３…課金イベント生成部、９０…管理端末、１０１…デバイス管理クライアント、１７１…アクセスポリシー設定部、３０１…デバイス管理部、５０１，５０２…ネットワーク、５０３…インターネット、９０１…コンテンツダウンロード要求部
【図１】
2008219266.tif 000003
【図２】
2008219266.tif 000004
【図３】
2008219266.tif 000005
【図４】
2008219266.tif 000006
【図５】
2008219266.tif 000007
【図６】
2008219266.tif 000008
【図７】
2008219266.tif 000009
【図８】
2008219266.tif 000010
【図９】
2008219266.tif 000011
【図１０】
2008219266.tif 000012
【図１１】
2008219266.tif 000013
【図１２】
2008219266.tif 000014
【図１３】
2008219266.tif 000015
【図１４】
2008219266.tif 000016
【図１５】
2008219266.tif 000017
【図１６】
2008219266.tif 000018
【図１７】
2008219266.tif 000019
【図１８】
2008219266.tif 000020
【図１９】
2008219266.tif 000021
【図２０】
2008219266.tif 000022
【図２１】
2008219266.tif 000023
【図２２】
2008219266.tif 000024
【図２３】
2008219266.tif 000025
【図２４】
2008219266.tif 000026
【図２５】
2008219266.tif 000027
【図２６】
2008219266.tif 000028
【図２７】
2008219266.tif 000029
【図２８】
2008219266.tif 000030
【図２９】
2008219266.tif 000031
【図３０】
2008219266.tif 000032
【図３１】
2008219266.tif 000033
【図３２】
2008219266.tif 000034
【図３３】
2008219266.tif 000035
【図３４】
2008219266.tif 000036
【図３５】
2008219266.tif 000037
【図３６】
2008219266.tif 000038
【図３７】
2008219266.tif 000039
【図３８】
2008219266.tif 000040
【図３９】
2008219266.tif 000041
【図４０】
2008219266.tif 000042
【図４１】
2008219266.tif 000043
【図４２】
2008219266.tif 000044
【図４３】
2008219266.tif 000045
【図４４】
2008219266.tif 000046
【図４５】
2008219266.tif 000047
【図４６】
2008219266.tif 000048