(57)【要約】【課題】本発明は、仮想閉域網へのアクセスの際に、一度の認証で複数のサーバ上のコンテンツへのアクセスを可能にすることを目的とする。【解決手段】仮想閉域網へのリモートアクセスを実現する場合に、認証機能とゲートウェイ機能とを分離して、ゲートウェイ機能を使って通過の許可されているコンテンツへのアクセス要求のみを通過させ、それ以外のアクセス要求については認証機能を使って認証を行ってゲートウェイ機能に通過許可を設定するという処理を行う認証機構を用意することで、仮想閉域網内のサーバ上のコンテンツに対してシングルサインオンの認証を実現するという構成を採るときにあって、仮想閉域網へのアクセスのための認証でもって、仮想閉域網内のサーバ上のコンテンツへのアクセスの認証を兼ねるようにするという構成を採る。これにより、一度の認証で複数のサーバ上のコンテンツへのアクセスが可能になる。【選択図】　　　　　図１
2004021761.tif 000002
【特許請求の範囲】
【請求項１】
利用者端末から発行される仮想閉域網内のコンテンツへのアクセス要求を認証する認証アクセス制御サーバ装置であって、
仮想閉域網への接続に必要とされる認証を行うことで、認証機能を持たないサーバの保有する、その認証と認証が兼用されるコンテンツ群配下のコンテンツについて認証を得る手段と、
仮想閉域網内のゲートウェイに、コンテンツへのアクセス許可が設定されていないことでアクセス要求が転送されてくる場合に、それを受け取る手段と、
上記認証の兼用が許可されないコンテンツ群を処理対象として、アクセス要求コンテンツの属するコンテンツ群の認証に必要な情報を、利用者端末から初回アクセス要求の場合にのみ取得し認証を実行して、認証機能を持たないサーバの保有する該コンテンツ群配下のコンテンツについて認証を得る手段と、
アクセス要求コンテンツを保有する認証機能を持つサーバに対して、該コンテンツの認証に必要な情報を指定して認証を依頼することで認証を得る手段と、
上記認証を得たコンテンツへのアクセス要求の許可を示すエントリ情報を上記ゲートウェイに設定する手段とを備えることを、
特徴とする認証アクセス制御サーバ装置。
【請求項２】
請求項１記載の認証アクセス制御サーバ装置において、
規定の状態になる場合に、上記ゲートウェイに設定したエントリ情報を無効化する手段を備えることを、
特徴とする認証アクセス制御サーバ装置。
【請求項３】
請求項２記載の認証アクセス制御サーバ装置において、
上記無効化する手段は、利用者端末が仮想閉域網から切り離された場合に、上記ゲートウェイに設定した該利用者端末にかかる全てのエントリ情報を無効化することを、
特徴とする認証アクセス制御サーバ装置。
【請求項４】
請求項２記載の認証アクセス制御サーバ装置において、
上記無効化する手段は、認証したコンテンツ群に対応付けて利用者端末に送信したプログラムからの応答が一定時間なくなる場合に、上記ゲートウェイに設定した該利用者端末にかかる該コンテンツ群配下のコンテンツについての全てのエントリ情報を無効化することを、
特徴とする認証アクセス制御サーバ装置。
【請求項５】
請求項２記載の認証アクセス制御サーバ装置において、
上記無効化する手段は、認証したコンテンツ群に対応付けて利用者端末に送信したプログラムから認証の無効化指示が発行される場合に、上記ゲートウェイに設定した該利用者端末にかかる該コンテンツ群配下のコンテンツについての全てのエントリ情報を無効化することを、
特徴とする認証アクセス制御サーバ装置。
【請求項６】
請求項２記載の認証アクセス制御サーバ装置において、
上記無効化する手段は、利用者端末からのアクセス要求に応答して認証したコンテンツ群についての認証から一定時間経過する場合に、上記ゲートウェイに設定した該利用者端末にかかる該コンテンツ群配下のコンテンツについての全てのエントリ情報を無効化することを、
特徴とする認証アクセス制御サーバ装置。
【請求項７】
利用者端末から発行される仮想閉域網内のコンテンツへのアクセス要求を認証する認証アクセス制御方法であって、
仮想閉域網への接続に必要とされる認証を行うことで、認証機能を持たないサーバの保有する、その認証と認証が兼用されるコンテンツ群配下のコンテンツについて認証を得る過程と、
仮想閉域網内のゲートウェイに、コンテンツへのアクセス許可が設定されていないことでアクセス要求が転送されてくる場合に、それを受け取る過程と、
上記認証の兼用が許可されないコンテンツ群を処理対象として、アクセス要求コンテンツの属するコンテンツ群の認証に必要な情報を、利用者端末から初回アクセス要求の場合にのみ取得し認証を実行して、認証機能を持たないサーバの保有する該コンテンツ群配下のコンテンツについて認証を得る過程と、
アクセス要求コンテンツを保有する認証機能を持つサーバに対して、該コンテンツの認証に必要な情報を指定して認証を依頼することで認証を得る過程と、
上記認証を得たコンテンツへのアクセス要求の許可を示すエントリ情報を上記ゲートウェイに設定する過程とを備えることを、
特徴とする認証アクセス制御方法。
【請求項８】
請求項７記載の認証アクセス制御方法において、
規定の状態になる場合に、上記ゲートウェイに設定したエントリ情報を無効化する過程を備えることを、
特徴とする認証アクセス制御方法。
【請求項９】
請求項７又は８記載の認証アクセス制御方法の実現に用いられる処理をコンピュータに実行させるための認証アクセス制御プログラム。
【請求項１０】
請求項７又は８記載の認証アクセス制御方法の実現に用いられる処理をコンピュータに実行させるための認証アクセス制御プログラムを記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コネクションレス型通信網上に構築された仮想閉域網に遠隔地からリモートアクセスするための認証を行ない、利用者端末の仮想閉域網への接続を実現すると同時に、仮想閉域網内にあって当該利用者がアクセス権限を有している複数のサーバ上のコンテンツへのアクセスに対する認証について一括して行う認証アクセス制御サーバ装置と、その認証アクセス制御サーバ装置で用いられる認証アクセス制御方法と、その認証アクセス制御方法の実現に用いられる認証アクセス制御プログラムと、その認証アクセス制御プログラムを記録した記録媒体とに関する。
【０００２】
【従来の技術】
従来、企業通信網など特定の対地のみを接続する閉域網を構築するために、仮想閉域網が導入されている。コネクションレス型通信網における仮想閉域網は、伝送路、転送ノードを共有するのみならず、論理パス、論理回線も共有して、セキュリティを確保した転送制御がなされている。
【０００３】
また、仮想閉域網は特定の対地のみを接続するのではなく、特定の端末、または特定の利用者からのリモートアクセスを受け付けることができるようになっている。例えば、社員の自宅の端末から電話網あるいはＡＤＳＬ網等を経由して企業の仮想閉域網にアクセスし、会社のホストコンピュータに接続することができる。電話網等と仮想閉域網との間にリモートアクセスサーバが設置されており、端末は、ダイアルアップ等でリモートアクセスサーバに接続し、仮想閉域網にアクセスすることが行なわれている。
【０００４】
リモートアクセスサーバと仮想閉域網とを接続する転送ノードと、リモートアクセスサーバと転送ノードとを制御する閉域網群制御サーバとを備え、複数の仮想閉域網の利用者が共用している。
【０００５】
本出願人は、先に出願した特願２０００−３８０８３８（公開されていない）で、リモートアクセスサーバと転送ノードとの間の物理回線を複数の仮想閉域網が利用可能にすることで、設備の利用効率を向上させるという発明を出願した。
【０００６】
この先願発明では、利用者からの接続要求に基づいて、リモートアクセスサーバは、仮想閉域網毎に仮想ルータ（以下、ＶＲ：Ｖｉｒｔｕａｌ　Ｒｏｕｔｅｒと表記）を割り当て、ＶＲを１本の物理回線に接続するようにしている。そして、利用者からの切断を契機に、リモートアクセスサーバは、ＶＲを開放し、他の仮想閉域網の利用者に割り当てるようにしている。
【０００７】
一方、本出願人は、先に出願した特願２００２−７１２７７（公開されていない）で、仮想閉域網に代表される通信網への接続環境が整っていることを前提として、通信網上に接続されている複数のサーバ上のコンテンツへのアクセスを一度の認証で可能にする（以下、シングルサインオンと表記）方法として、網内に認証アクセス制御サーバ装置とゲートウェイ装置とを設置するという発明を出願した。
【０００８】
この先願発明では、図１１に示すように、従来のリバース・プロキシ型の認証アクセス制御サーバからゲートウェイ機能を切り出すことで、アドレスとポート番号に加えて、コンテンツを識別する情報（ＵＲＬ等）に基づくパケットフィルタリングのハードウェア処理が可能な専用のゲートウェイ装置と、認証制御を行う認証アクセス制御サーバ装置とに分離し、ゲートウェイ装置の通過を許可するエントリが設定されていないサーバ宛てのアクセス要求のみを認証アクセス制御サーバ装置に転送することで、認証アクセス制御サーバ装置への負荷の集中を回避できることを特徴としている。
【０００９】
【発明が解決しようとする課題】
仮想閉域網に利用者が遠隔地からアクセスする場合は、通常、仮想閉域網に接続した後、何らかの業務を行うために、その仮想閉域網内のサーバにアクセスすることが考えられる。
【００１０】
このとき、一旦仮想閉域網に接続した後は、先願発明である特願２００２−７１２７７を適用することにより、仮想閉域網内のサーバ上のコンテンツへのシングルサインオンが可能であるが、仮想閉域網自体へのアクセスに対しては、別に認証が必要であるため、利用者がリモートアクセスにより仮想閉域網内のサーバへアクセスするためには二度以上の認証が必要となり、シングルサインオンとしては不十分であるという問題がでる。
【００１１】
本発明は、このような問題に鑑みてなされたものであり、仮想閉域網へのリモートアクセスにおいて、仮想閉域網へのアクセス時に一度認証を行うだけで、セキュリティ強度を損なうことなく、その仮想閉域網内にあって利用者がアクセス権限を持つサーバ上のコンテンツに対してさらなる認証手順を踏む必要のないシステムを実現することをその目的とする。
【００１２】
【課題を解決するための手段】
本発明の認証アクセス制御サーバ装置は、認証アクセス制御サーバ装置とゲートウェイと転送ノードとリモートアクセスサーバとで構成されて、利用者端末がリモートアクセスサーバおよび転送ノードを介して遠隔地から仮想閉域網に接続した上で、利用者端末から発行される仮想閉域網内のコンテンツへのアクセス要求を認証する認証アクセス制御システムで用いられる。
【００１３】
本発明の認証アクセス制御サーバ装置は、本発明を実現するために、▲１▼利用者端末から仮想閉域網への接続要求をリモートアクセスサーバを介して受信し、仮想閉域網への接続における認証に必要な情報を利用者端末から受け取る手段と、▲２▼その受け取った情報を用いた認証の結果に基づき、リモートアクセスサーバと転送ノードに対して、利用者端末と仮想閉域網との間の接続パスを動的に設定することによって、利用者端末と仮想閉域網との間を接続する手段と、▲３▼仮想閉域網への接続に対する認証をもって、利用者が仮想閉域網内でアクセス権限を持つコンテンツ群のうちの同時認証が許可されるコンテンツ群に対する認証を兼ねることとし、認証機能を持たないコンテンツサーバの保有するそのコンテンツ群配下のコンテンツについて認証を得る手段と、▲４▼ゲートウェイにコンテンツへのアクセス要求の許可が設定されていないことで、そのアクセス要求が転送されてくる場合に、それを受け取る手段と、▲５▼アクセス要求コンテンツの属する上記同時認証が許可されないコンテンツ群の認証に必要な情報を、利用者端末からそのコンテンツ群への初回アクセス要求の場合にのみ取得する手段と、▲６▼その取得した情報を使って、アクセス要求コンテンツの属する上記同時認証が許可されないコンテンツ群について認証を実行して、認証機能を持たないコンテンツサーバの保有するそのコンテンツ群配下のコンテンツについて認証を得る手段と、▲７▼アクセス要求コンテンツを保有する認証機能を持つコンテンツサーバに対して、そのコンテンツの認証に必要な情報を指定して認証を依頼することで認証を得る手段と、▲８▼認証を得たコンテンツへのアクセス要求の許可を示すエントリ情報をゲートウェイに設定する手段とを備えるように構成する。
【００１４】
この構成を採るときに、本発明の認証アクセス制御サーバ装置は、さらに、規定の状態になる場合に、ゲートウェイに設定したエントリ情報を無効化する手段を備えることがある。
【００１５】
この本発明の認証アクセス制御サーバ装置が動作することで実現される認証アクセス制御方法については、具体的にはコンピュータプログラムで実現できるものであり、このコンピュータプログラムは、半導体メモリなどのような適当な記録媒体に記録して提供することができる。
【００１６】
次に、このように構成される本発明の認証処理の流れの一例について説明する。
【００１７】
このように構成される本発明の認証アクセス制御サーバ装置は、仮想閉域網への接続要求が発行されると、利用者端末から、その仮想閉域網へのアクセスに必要となる認証情報を取得して、それに基づいて、仮想閉域網へのアクセスの認証を行う。
【００１８】
この認証が得られると、本発明の認証アクセス制御サーバ装置は、その認証と認証が兼用されるコンテンツ群を特定して、認証機能を持たないコンテンツサーバの保有する、そのコンテンツ群配下のコンテンツについて認証が得られたものと見なして、ゲートウェイに対して、そのコンテンツへのアクセス要求の許可を示すエントリ情報を設定する。
【００１９】
これ以降、エントリ情報が設定されていることで、認証機能を持たないコンテンツサーバに保有される上記認証兼用のコンテンツ群配下のコンテンツへのアクセス要求（認証を行った利用者からのアクセス要求）については、ゲートウェイから転送されてくることはない。
【００２０】
一方、利用者端末からコンテンツへのアクセス要求が発行されるときにあって、そのコンテンツにかかるエントリ情報がゲートウェイに設定されていない場合には、そのアクセス要求が本発明の認証アクセス制御サーバ装置に転送され、これを受けて、本発明の認証アクセス制御サーバ装置は、そのアクセス要求のコンテンツの属するコンテンツ群への初回のアクセス要求（利用者からの初回のアクセス要求）であるのか否かを判断して、初回のアクセス要求であることを判断するときには、利用者端末から、そのコンテンツ群の認証に必要な情報（利用者及びコンテンツ群毎に定義される情報）を取得する。
【００２１】
続いて、本発明の認証アクセス制御サーバ装置は、この取得した認証に必要な情報を使ってアクセス要求コンテンツの属するコンテンツ群について認証を実行し、これにより、認証機能を持たないコンテンツサーバに保有されるそのコンテンツ群配下のコンテンツについて認証を得て、ゲートウェイに対して、そのコンテンツへのアクセス要求の許可を示すエントリ情報を設定する。
【００２２】
これ以降、エントリ情報が設定されていることで、認証機能を持たないコンテンツサーバに保有されるそのコンテンツ群配下のコンテンツへのアクセス要求（認証を行った利用者からのアクセス要求）については、ゲートウェイから転送されてくることはなくなる。
【００２３】
本発明の認証アクセス制御サーバ装置は、この初回のアクセス要求が認証機能を持たないコンテンツサーバに保有されるコンテンツへのアクセス要求である場合には、このエントリ情報の設定により、この初回アクセス要求におけるゲートウェイに対してのエントリ情報の設定を終了する。
【００２４】
一方、本発明の認証アクセス制御サーバ装置は、この初回のアクセス要求が認証機能を持つコンテンツサーバに保有されるコンテンツへのアクセス要求である場合には、コンテンツ群についての認証が得られると、そのコンテンツサーバからの要求に応答して、そのコンテンツの認証に必要な情報（利用者及びコンテンツ毎に定義される情報であって、認証アクセス制御サーバ装置の内部で保持している）を指定して、そのコンテンツサーバに対して認証依頼を行うことでそのコンテンツについて認証を得て、ゲートウェイに対して、そのコンテンツへのアクセス要求の許可を示すエントリ情報を設定する。
【００２５】
これ以降、エントリ情報が設定されていることで、そのコンテンツへのアクセス要求（認証を行った利用者からのアクセス要求）については、ゲートウェイから転送されてくることはなくなる。
【００２６】
そして、初回のアクセス要求の後に発行される同一コンテンツ群配下の別のコンテンツに対するアクセス要求が転送されてくる場合には、そのコンテンツ群についての認証は既に終了しているので、そのコンテンツを保有するコンテンツサーバからの要求に応答して、そのコンテンツの認証に必要な情報（利用者及びコンテンツ毎に定義される情報であって、認証アクセス制御サーバ装置の内部で保持している）を指定して、そのコンテンツサーバに対して認証依頼を行うことでそのコンテンツについて認証を得て、ゲートウェイに対して、そのコンテンツへのアクセス要求の許可を示すエントリ情報を設定する。
【００２７】
これ以降、エントリ情報が設定されていることで、そのコンテンツへのアクセス要求（認証を行った利用者からのアクセス要求）については、ゲートウェイから転送されてくることはなくなる。
【００２８】
このような形でゲートウェイにエントリ情報を設定していくことで、コンテンツへのアクセス要求が本発明の認証アクセス制御サーバ装置に転送されなくなってくるが、利用者端末とコンテンツサーバとの接続関係をそのまま放置しておくことはセキュリティ上好ましいことではない。
【００２９】
そこで、本発明の認証アクセス制御サーバ装置は、利用者端末が仮想閉域網から切り離された場合には、ゲートウェイに設定したその利用者端末にかかる全てのエントリ情報を無効化するように処理する。
【００３０】
また、本発明の認証アクセス制御サーバ装置は、認証したコンテンツ群に対応付けて利用者端末にプログラムを送信するようにして、そのプログラムからの応答が一定時間なくなる場合には、ゲートウェイに設定したその利用者端末にかかるそのコンテンツ群配下のコンテンツについての全てのエントリ情報を無効化するように処理することがある。
【００３１】
また、本発明の認証アクセス制御サーバ装置は、認証したコンテンツ群に対応付けて利用者端末にプログラムを送信するようにして、そのプログラムから認証の無効化指示が発行される場合には、ゲートウェイに設定したその利用者端末にかかるそのコンテンツ群配下のコンテンツについての全てのエントリ情報を無効化するように処理することがある。
【００３２】
また、本発明の認証アクセス制御サーバ装置は、利用者端末からのアクセス要求に応答して認証したコンテンツ群についての認証から一定時間経過する場合には、ゲートウェイに設定したその利用者端末にかかるそのコンテンツ群配下のコンテンツについての全てのエントリ情報を無効化するように処理することがある。
【００３３】
ここで、この無効化処理を実行するために、本発明の認証アクセス制御サーバ装置は、どのようなエントリ情報をゲートウェイに設定したのかについて記録するように処理している。
【００３４】
このようにして、本発明では、仮想閉域網へのリモートアクセスを実現する場合に、認証機能とゲートウェイ機能とを分離して、ゲートウェイ機能を使って通過の許可されているコンテンツへのアクセス要求のみを通過させ、それ以外のアクセス要求については認証機能を使って認証を行ってゲートウェイ機能に通過許可を設定するという処理を行う認証機構を用意することで、仮想閉域網内のサーバ上のコンテンツに対してシングルサインオンの認証を実現するという構成を採るときにあって、仮想閉域網へのアクセスのための認証でもって、仮想閉域網内のサーバ上のコンテンツへのアクセスの認証を兼ねるようにするという構成を採ることから、利用者は仮想閉域網内のサーバから別途認証手順を求められることなく効率的に業務を遂行できるという効果が得られる。
【００３５】
【発明の実施の形態】
以下、実施の形態に従って本発明を詳細に説明する。
【００３６】
図１に、本発明を実現するシステム構成の一実施形態例を図示する。
【００３７】
この図に示すように、本発明を実現する認証アクセス制御システム１は、本発明により構成される認証アクセス制御サーバ装置２、ゲートウェイ３、転送ノード４、リモートアクセスサーバ５から構成されており、ゲートウェイ３はＩＰアドレス、ポート番号およびコンテンツのＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）に基づくパケットフィルタリング機能を有している。
【００３８】
この構成を採るときに、利用者７が利用者端末６から仮想閉域網８に遠隔からダイアルアップでアクセスするものとし、この仮想閉域網８内には、コンテンツサーバ９，１０上にあって利用者７がアクセス権限を持つ２つのコンテンツ群１１，１２があり、この２つのコンテンツ群１１，１２へのアクセスには別々の認証を必要とし、仮想閉域網８への接続の認証でコンテンツ群１１へのアクセスの認証を兼ねるものとする。
【００３９】
また、コンテンツ群１１はコンテンツ１３，１５からなり、コンテンツ群１２はコンテンツ１４，１６からなるものとし、コンテンツサーバ９は認証機能を持ち、コンテンツサーバ１０は認証機能を持たないものとする。
【００４０】
認証アクセス制御サーバ装置２は、本発明に特徴的な認証処理を実行するために、仮想閉域網アクセス認証テーブル２０と、コンテンツ群アクセス認証テーブル２１と、コンテンツアクセス認証テーブル２２とを備える。
【００４１】
図２に、仮想閉域網アクセス認証テーブル２０の一実施形態例を図示し、図３に、コンテンツ群アクセス認証テーブル２１の一実施形態例を図示し、図４に、コンテンツアクセス認証テーブル２２の一実施形態例を図示する。
【００４２】
この仮想閉域網アクセス認証テーブル２０は、各利用者が各仮想閉域網にリモートアクセスするにあたって必要とされる認証情報を管理するものである。
【００４３】
具体的には、図２に示すように、各利用者識別番号に対応付けて、各仮想閉域網について、アクセス権を有しているのか否かということと、アクセス権を有している場合には、そのアクセスに必要な認証情報（ユーザＩＤとパスワードとの対データ）を管理する。
【００４４】
例えば、利用者識別番号“００１”の利用者７は、仮想閉域網ｘについてはアクセス権を有して、その認証情報はこういう値であり、一方、仮想閉域網ｙについてはアクセス権を有していないといったような情報を管理するのである。
【００４５】
一方、コンテンツ群アクセス認証テーブル２１は、仮想閉域網内で利用者毎に規定され、利用者が仮想閉域網内の各コンテンツ群にアクセスするにあたって必要とされる認証情報と、そのコンテンツ群について仮想閉域網へのログインの際の認証でもって認証が兼ねられているのか否かを示す情報と、そのコンテンツ群へのアクセスについて認証済みであるのか否かを示す情報とを管理する。
【００４６】
具体的には、図３に示すように、利用者毎に、各コンテンツ群に対応付けて、そのコンテンツ群へのアクセスに必要な認証情報（ユーザＩＤとパスワードとの対データ）と、そのコンテンツ群について仮想閉域網へのログインの際の認証でもって認証が兼ねられているのか否かを示す情報と、そのコンテンツ群へのアクセスについて既に認証済みであるのか否かを示す情報とを管理する。
【００４７】
例えば、利用者識別番号“００１”の利用者７が、コンテンツ群１１にアクセスするときに必要とされる認証情報はこういう値であり、コンテンツ群１１へのアクセスについては仮想閉域網ログインの際の認証で兼ねられており、コンテンツ群１１へのアクセスの認証については未だ行われていないといったような情報を管理するのである。
【００４８】
一方、コンテンツアクセス認証テーブル２２は、コンテンツ毎に規定され、そのコンテンツの所属するコンテンツ群の識別情報と、そのコンテンツを保有するコンテンツサーバの識別情報と、そのコンテンツにアクセスするためにコンテンツサーバで認証が求められるのか否かということと、認証が求められる場合には、その認証に必要な情報（ユーザＩＤとパスワードとの対データ）とを管理する。
【００４９】
具体的には、図４に示すように、各コンテンツに対応付けて、そのコンテンツの所属するコンテンツ群名と、そのコンテンツを保有するコンテンツサーバ名と、そのコンテンツを保有するコンテンツサーバで認証が必要であるのか否かということと、認証が必要な場合には、その認証に必要となる認証情報（ユーザＩＤとパスワードとの対データ）を管理する。
【００５０】
例えば、コンテンツ１３については、コンテンツ群１１に属し、コンテンツサーバ９で保有され、コンテンツサーバ９では認証が要求されていて、利用者識別番号“００１”の利用者７についてのその認証情報はこういう値であるといったような情報を管理するのである。
【００５１】
本発明では、上述したように、仮想閉域網にアクセスするための閉域網群制御サーバに対して、仮想閉域網内のサーバ上のコンテンツについてシングルサインオンを実現する機能を付加することで、本発明により構成される認証アクセス制御サーバ装置２を構築して、仮想閉域網へのアクセスを許可されると同時に、それらのコンテンツに対するアクセス許可を得ることができるようにすることを特徴とする。
【００５２】
本発明の認証アクセス制御サーバ装置２の実行する認証処理について簡単に説明するならば、本発明の認証アクセス制御サーバ装置２は、リモートアクセスサーバ５を介して、利用者端末６からの仮想閉域網アクセス要求を受信すると、先ず最初に、その仮想閉域網８へのアクセスの認証に必要な情報を利用者端末６に要求する。
【００５３】
その要求に応答して送られてくる認証情報を受信すると、続いて、仮想閉域網アクセス認証テーブル２０に登録される認証情報と照合することで認証を行い、その認証に成功すると、リモートアクセスサーバ５と転送ノード４に対して、利用者端末６から仮想閉域網８への接続パスを確立する。
【００５４】
さらに、利用者７が仮想閉域網８へのログインと同時に認証することを許可しているコンテンツ群をコンテンツ群アクセス認証テーブル２１から検索し、そのコンテンツ群配下のコンテンツについては仮想閉域網アクセスの認証をもって認証したこととし、認証機能を持たないコンテンツサーバの保有するそのコンテンツについて、ゲートウェイ３に対して、そのコンテンツへのアクセスを許可するエントリ情報を設定する。
【００５５】
この後、利用者７がコンテンツサーバでの認証が求められるコンテンツへのアクセスを試みた場合には、コンテンツアクセス認証テーブル２２を検索して認証情報を取得して、それを指定してコンテンツサーバに認証を依頼することで認証を得て、ゲートウェイ３に対して、そのコンテンツへのアクセスを許可するエントリ情報を設定する。
【００５６】
そして、仮想閉域網ログインと同時の認証を許可されていないコンテンツ群については、利用者が仮想閉域網ログインした後、そのコンテンツ群内のコンテンツへの初回のアクセス要求を契機として、利用者端末６から認証情報を得て、コンテンツ群アクセス認証テーブル２１に登録される認証情報と照合することで認証を行い、認証機能を持たないコンテンツサーバの保有するそのコンテンツについて、ゲートウェイ３に対して、そのコンテンツへのアクセスを許可するエントリ情報を設定する。
【００５７】
次に、図５及び図６に示す処理の流れに従って、本発明の認証アクセス制御サーバ装置２の実行する認証処理について詳細に説明する。
【００５８】
（１）利用者７が仮想閉域網８にアクセスを試みた場合の処理
図５及び図６に、利用者７がダイアルアップで仮想閉域網８にアクセスを試みた場合の処理を図示する。
【００５９】
利用者端末６から仮想閉域網８に電話網経由でダイアルアップによるリモート接続を試みた場合、利用者端末６とリモートアクセスサーバ５との間の通信路が確立した後、仮想閉域網８へのアクセス要求として、認証に必要なユーザＩＤとパスワードとの対データがリモートアクセスサーバ５に送信される（ステップ１０１）。
【００６０】
リモートアクセスサーバ５は、そのアクセス要求を認証アクセス制御サーバ装置２に送信して、認証を要求する（ステップ１０２）。
【００６１】
認証アクセス制御サーバ装置２は、仮想閉域網アクセス認証テーブル２０を参照することで、受信したアクセス要求を認証し（ステップ１０３）、その認証結果をリモートアクセスサーバ５を介して利用者端末６に送信する（ステップ１０４、１０５）。
【００６２】
認証アクセス制御サーバ装置２は、認証に成功だった場合は、コンテンツ群アクセス認証テーブル２１を参照することで、利用者７がアクセス権を持つコンテンツ群のうち、仮想閉域網８へのログインと同時の認証を許可するコンテンツ群（本実施形態例ではコンテンツ群１１）を特定し、利用者端末６を送信元とし、コンテンツサーバ９，１０上にあってコンテンツ群１１に属する、コンテンツサーバでの認証を必要としないコンテンツ（本実施形態例ではコンテンツ１５）を送信先とするパケットを通過させるようにと、ゲートウェイ３に対してエントリ情報を設定する（ステップ１０６）。
【００６３】
さらに、認証アクセス制御サーバ装置２は、利用者端末６に対して、利用者７によるコンテンツの閲覧が終了したのか否かについて判断するために、Ｊａｖａ　アプレット（Ｊａｖａ　は登録商標）を送信する（ステップ１０７）。
【００６４】
この後、ゲートウェイ３に設定した該当のエントリ情報に従って、コンテンツ群１１に属する、コンテンツサーバでの認証を必要としない全てのコンテンツ（本実施形態例ではコンテンツ１５）については、認証アクセス制御サーバ装置２を介さないコンテンツファイルアクセスが可能になる（ステップ１０８、１０９）。
【００６５】
利用者端末６から、コンテンツ群１１に属する、コンテンツサーバでの認証を必要とするコンテンツ（本実施形態例ではコンテンツ１３）へのアクセス要求が行なわれた場合、ゲートウェイ３に該当のエントリ情報が設定されていないことから、アクセス要求は認証アクセス制御サーバ装置２に転送される（ステップ１１０）。
【００６６】
認証アクセス制御サーバ装置２は、コンテンツアクセス認証テーブル２２を検索することでアクセス要求のコンテンツの属するコンテンツ群を特定し、それをキーにしてコンテンツ群アクセス認証テーブル２１を検索することで、コンテンツ１３の属するコンテンツ群１１に対する認証を終了していることを判断して、直ちにアクセス要求をコンテンツサーバ９（コンテンツ１３を保有するコンテンツサーバ）に送信する（ステップ１１１）。
【００６７】
このアクセス要求に対して、コンテンツサーバ９からコンテンツ１３へのアクセスに対するパスワードの要求（ステップ１１２）が発行され、認証アクセス制御サーバ装置２は、これに応答して、コンテンツアクセス認証テーブル２２を検索して、該当するユーザＩＤとパスワードとの対データを取得してコンテンツサーバ９に送信する（ステップ１１３）。
【００６８】
さらに、認証アクセス制御サーバ装置２は、ゲートウェイ３に対して、利用者端末６を送信元とし、コンテンツ１３を送信先とするパケットを通過させるようにと、エントリ情報を設定する（ステップ１１４）。
【００６９】
コンテンツサーバ９は、認証アクセス制御サーバ装置２から受信したユーザＩＤとパスワードとにより認証を行ない（ステップ１１５）、要求されているコンテンツを送信する（ステップ１１６、１１７）。
【００７０】
この後、ゲートウェイ３に設定した該当のエントリ情報に従って、利用者端末６からのコンテンツ１３宛てのコンテンツファイルアクセス要求については、認証アクセス制御サーバ装置２を経由せずに、直接コンテンツサーバ９との間でやり取りが行なわれる（ステップ１１８、１１９）。
【００７１】
なお、仮想閉域網８へのログインと同時の認証が許可されていないコンテンツ群１２に対しては、コンテンツ群１２に属するコンテンツ（本実施形態例ではコンテンツ１４，１６）への初回アクセス時にパスワード投入を求められるが、その後は、上記のステップ１０６〜１１９に該当する処理が行なわれることから、利用者７はコンテンツ群１２内のコンテンツに対して改めてパスワードを求められることはない。
【００７２】
次に、図７ないし図９に示す処理フローに従って、以上に説明した認証アクセス制御サーバ装置２の実行する認証処理についてまとめる。
【００７３】
認証アクセス制御サーバ装置２は、利用者端末６の発行する仮想閉域網へのリモート接続要求に応答して、リモートアクセスサーバ５から認証に必要なユーザＩＤとパスワードとの対データが送信されてくると、図７の処理フローに示すように、先ず最初に、ステップ１０で、それを受信し、続くステップ１１で、図２に示すデータ構造を持つ仮想閉域網アクセス認証テーブル２０に登録される認証情報を参照して、その仮想閉域網へのアクセス要求の認証を行う。
【００７４】
続いて、ステップ１２で、この認証に成功したのか否かを判断して、認証に成功しなかったことを判断するときには、ステップ１３に進んで、リモートアクセスサーバ５に認証不可を返信して、処理を終了する。
【００７５】
一方、ステップ１２で、認証に成功したことを判断するときには、ステップ１４に進んで、図３に示すデータ構造を持つコンテンツ群アクセス認証テーブル２１を参照して、利用者７がアクセス権を持ち、かつ、アクセス要求先の仮想閉域網との同時認証を許可するコンテンツ群を特定する。
【００７６】
続いて、ステップ１５で、そのコンテンツ群アクセス認証テーブル２１に、特定したコンテンツ群について認証済みを記録する。すなわち、仮想閉域網へのアクセス要求の認証でもって認証が行われたと見なして、コンテンツ群アクセス認証テーブル２１に、特定したコンテンツ群について認証済みを記録するのである。
【００７７】
続いて、ステップ１６で、図４に示すデータ構造を持つコンテンツアクセス認証テーブル２２を参照して、特定したコンテンツ群の中から、認証機能を持たないコンテンツサーバに保有されるコンテンツを特定する。
【００７８】
続いて、ステップ１７で、ゲートウェイ３に対して、その特定したコンテンツへのアクセス要求の通過許可を示すエントリ情報を設定し、続くステップ１８で、アクセス要求発行元の利用者端末６にＪａｖａ　アプレットを送信して、処理を終了する。
【００７９】
このようにして、認証アクセス制御サーバ装置２は、利用者端末６の発行する仮想閉域網へのリモート接続要求に応答して、仮想閉域網へのアクセス要求の認証でもって認証が兼ねられるコンテンツ群を特定して、認証機能を持たないコンテンツサーバに保有されるそのコンテンツ群配下のコンテンツへのアクセス要求がゲートウェイ３から転送されてこないようにと、ゲートウェイ３に対して、その特定したコンテンツへのアクセス要求の通過許可を示すエントリ情報を設定するように処理するのである。
【００８０】
一方、認証アクセス制御サーバ装置２は、通過許可を示すエントリ情報が設定されていないことでゲートウェイ３からアクセス要求が転送されてくると、図８及び図９の処理フローに示すように、先ず最初に、ステップ２０で、図４に示すデータ構造を持つコンテンツアクセス認証テーブル２２を参照して、アクセス要求コンテンツの所属するコンテンツ群を特定する。
【００８１】
続いて、ステップ２１で、図３に示すデータ構造を持つコンテンツ群アクセス認証テーブル２１を参照して、その特定したコンテンツ群について認証が済んでいるのか否かをチェックする。
【００８２】
続いて、ステップ２２で、このチェックにより認証済みであることが得られたのか否かを判断して、認証済みでないことを判断するときには、ステップ２３に進んで、利用者７からシングルサインオン用のパスワードを取得する。
【００８３】
続いて、ステップ２４で、図３に示すデータ構造を持つコンテンツ群アクセス認証テーブル２１に登録される認証情報を参照し、取得したシングルサインオン用のパスワードに基づいて、特定したコンテンツ群について認証を行い、コンテンツ群アクセス認証テーブル２１に認証済みを記録する。
【００８４】
続いて、ステップ２５で、図４に示すデータ構造を持つコンテンツアクセス認証テーブル２２を参照して、特定したコンテンツ群の中から、認証機能を持たないコンテンツサーバに保有されるコンテンツを特定する。
【００８５】
続いて、ステップ２６で、ゲートウェイ３に対して、その特定したコンテンツへのアクセス要求の通過許可を示すエントリ情報を設定し、続くステップ２７で、アクセス要求発行元の利用者端末６にＪａｖａ　アプレットを送信する。
【００８６】
このステップ２６でのエントリ情報の設定処理により、これ以降、シングルサインオンで認証を行った認証機能を持たないコンテンツサーバに保有されるコンテンツへのアクセス要求については、ゲートウェイ３から転送されてくることはない。
【００８７】
続いて、ステップ２８で、ゲートウェイ３から転送されてきたアクセス要求についての処理を行うべく、アクセス要求コンテンツを保有するコンテンツサーバに対して、アクセス要求を転送する。
【００８８】
続いて、ステップ２９で、アクセス要求コンテンツを保有するコンテンツサーバは認証機能を持っているのか否かを判断して、認証機能を持っていないことを判断するときには、ステップ３０に進んで、ステップ２８の転送処理に応答してコンテンツサーバから転送されてくるコンテンツを受信して利用者端末６に転送して、処理を終了する。
【００８９】
この後、ゲートウェイ３にエントリ情報が設定されていることで、アクセス要求発行元の利用者端末６と、そのアクセス要求で指定されるコンテンツを保有する認証機能を持たないコンテンツサーバとの間のやり取り（そのコンテンツについてのやり取り）については、認証アクセス制御サーバ装置２に転送されてくることはない。
【００９０】
一方、ステップ２９で、アクセス要求コンテンツを保有するコンテンツサーバが認証機能を持っていることを判断するときには、ステップ３１に進んで、ステップ２８の転送処理に応答してコンテンツサーバから要求されるパスワードの転送要求を受け取り、続くステップ３２で、図４に示すデータ構造を持つコンテンツアクセス認証テーブル２２に登録されるユーザＩＤとパスワードとの対データを返信することで、そのコンテンツサーバの認証を得る。
【００９１】
続いて、ステップ３３で、ゲートウェイ３に対して、アクセス要求コンテンツへのアクセス要求の通過許可を示すエントリ情報を設定し、続くステップ３４で、アクセス要求コンテンツを保有する認証機能を持つコンテンツサーバから転送されてくるコンテンツを受信して利用者端末６に転送して、処理を終了する。
【００９２】
この後、ゲートウェイ３にエントリ情報が設定されていることで、アクセス要求発行元の利用者端末６と、そのアクセス要求で指定されるコンテンツを保有する認証機能を持つコンテンツサーバとの間のやり取り（そのコンテンツについてのやり取り）について、認証アクセス制御サーバ装置２に転送されていることはない。
【００９３】
一方、ステップ２２で、アクセス要求コンテンツの所属するコンテンツ群について認証が済んでいることを判断するときには、ステップ３５に進んで、アクセス要求コンテンツを保有するコンテンツサーバに対して、アクセス要求を転送してから、上述したステップ３１〜ステップ３４の処理を行って、処理を終了する。
【００９４】
すなわち、ステップ２２で、アクセス要求コンテンツの所属するコンテンツ群について認証が済んでいることを判断するということは、図７の処理フローの処理に従ってコンテンツ群について認証が済んでいたり、図８の処理フローのステップ２４の処理に従ってコンテンツ群について認証が済んでいることを意味し、従って、アクセス要求コンテンツを保有するコンテンツサーバが認証機能を持っていて、なおかつ、ゲートウェイ３にそのアクセス要求コンテンツに係るエントリ情報が設定されていないことを意味するので、ステップ３５に進んで、アクセス要求コンテンツを保有する認証機能を持つコンテンツサーバに対して、アクセス要求を転送してから、上述したステップ３１〜ステップ３４の処理を行って、処理を終了するのである。
【００９５】
このようにして、認証アクセス制御サーバ装置２は、ゲートウェイ３からアクセス要求が転送されてくると、アクセス要求コンテンツの所属するコンテンツ群が認証済みでない場合には、利用者端末６から取得した認証情報を使ってシングルサインオンを行うことで、認証機能を持たないコンテンツサーバに保有されるそのコンテンツ群配下のコンテンツへのアクセス要求がゲートウェイ３から転送されてこないようにと、ゲートウェイ３に対して、その特定したコンテンツへのアクセス要求の通過許可を示すエントリ情報を設定するように処理することになる。
【００９６】
そして、認証機能を持つコンテンツサーバに保有されるコンテンツについては、そのコンテンツへのアクセス要求時に、そのコンテンツサーバに対して認証を依頼することで認証を得て、そのコンテンツへのアクセス要求がゲートウェイ３から転送されてこないようにと、ゲートウェイ３に対して、そのコンテンツへのアクセス要求の通過許可を示すエントリ情報を設定するように処理することになる。
【００９７】
（２）利用者端末６を仮想閉域網８から切り離す場合の処理
仮想閉域網８に接続されていた利用者端末６を仮想閉域網８から切り離すために、利用者７が利用者端末６を電話網から切断した場合、リモートアクセスサーバ５から認証アクセス制御サーバ装置２に対して、利用者端末６が切断された旨の信号が送信される。
【００９８】
認証アクセス制御サーバ装置２は、その信号に基づき、利用者７が持つ仮想閉域網８内の全てのコンテンツ群に対する認証を無効化し、ゲートウェイ３上の該当する通過許可のエントリ情報を消去する。
【００９９】
（３）利用者のブラウザ終了による認証の無効化処理
認証アクセス制御サーバ装置２は、利用者７のコンテンツ群１１（あるいはコンテンツ群１２）に対する認証を行なった後、利用者端末６に送信した常駐プログラム（ここではＪａｖａ　アプレット）との間で、一定時間毎に通信を行う。
【０１００】
認証アクセス制御サーバ装置２は、利用者端末６のＪａｖａ　アプレットからの応答がなくなった場合、利用者７によるコンテンツ群１１（コンテンツ群１２）のコンテンツの閲覧が終了したものと判断して、ゲートウェイ３に対して先に設定した、利用者端末６を送信元としコンテンツ群１１（コンテンツ群１２）に属するコンテンツを送信先とする通過許可のエントリ情報を全て削除する。
【０１０１】
これにより認証は無効化され、利用者端末６からコンテンツ群１１（コンテンツ群１２）に属するコンテンツ宛てのアクセス要求については、再び認証アクセス制御サーバ装置２を経由して認証を求められることになる。
【０１０２】
（４）利用者のログアウト処理による認証の無効化処理
利用者７のコンテンツ群１１（あるいはコンテンツ群１２）に対する認証を行なった後に利用者端末６に送信する常駐プログラム（ここではＪａｖａ　アプレット）によって、利用者端末６上のブラウザに、図１０に示すように、認証の強制失効を指示するログアウトボタン３１，３２を表示させる。
【０１０３】
このログアウトボタン３１，３２の表示を受けて、利用者端末６は、利用者７がログアウトボタン３１（ログアウトボタン３２）をクリックすることを契機にして、認証アクセス制御サーバ装置２に対して、コンテンツ群１１（コンテンツ群１２）に対する認証の強制失効を指示するパケットを送信する。
【０１０４】
認証アクセス制御サーバ装置２は、そのパケットを受信すると、ゲートウェイ３に対して先に設定した、利用者端末６を送信元としコンテンツ群１１（コンテンツ群１２）に属するコンテンツを送信先とする通過許可のエントリ情報を全て削除する。
【０１０５】
これにより認証は無効化され、利用者端末６からコンテンツ群１１（コンテンツ群１２）に属するコンテンツ宛てのアクセス要求については、再び認証アクセス制御サーバ装置２を経由して認証を求められることになる。
【０１０６】
（５）認証後一定時間経過による認証の無効化処理
認証アクセス制御サーバ装置２は、利用者７のコンテンツ群１１（あるいはコンテンツ群１２）に対する認証を行なった時刻を記録しておき、一定時間が経過すると、ゲートウェイ３に対して先に設定した、利用者端末６を送信元としコンテンツ群１１（コンテンツ群１２）に属するコンテンツを送信先とする通過許可のエントリ情報を全て削除する。
【０１０７】
これにより認証は無効化され、利用者端末６からコンテンツ群１１（コンテンツ群１２）に属するコンテンツ宛てのアクセス要求については、再び認証アクセス制御サーバ装置２を経由して認証を求められることになる。
【０１０８】
【発明の効果】
以上説明したように、本発明では、仮想閉域網へのリモートアクセスを実現する場合に、認証機能とゲートウェイ機能とを分離して、ゲートウェイ機能を使って通過の許可されているコンテンツへのアクセス要求のみを通過させ、それ以外のアクセス要求については認証機能を使って認証を行ってゲートウェイ機能に通過許可を設定するという処理を行う認証機構を用意することで、仮想閉域網内のサーバ上のコンテンツに対してシングルサインオンの認証を実現するという構成を採るときにあって、仮想閉域網へのアクセスのための認証でもって、仮想閉域網内のサーバ上のコンテンツへのアクセスの認証を兼ねるようにするという構成を採ることから、利用者は仮想閉域網内のサーバから別途認証手順を求められることなく効率的に業務を遂行できるという効果が得られる。
【図面の簡単な説明】
【図１】本発明を実現するシステム構成の一実施形態例である。
【図２】仮想閉域網アクセス認証テーブルの一実施形態例である。
【図３】コンテンツ群アクセス認証テーブルの一実施形態例である。
【図４】コンテンツアクセス認証テーブルの一実施形態例である。
【図５】実施形態例における処理の流れを示す図である。
【図６】実施形態例における処理の流れを示す図である。
【図７】本発明で実行する処理フローの一実施形態例である。
【図８】本発明で実行する処理フローの一実施形態例である。
【図９】本発明で実行する処理フローの一実施形態例である。
【図１０】利用者端末上のブラウザの画面イメージを説明する図である。
【図１１】先願発明における認証アクセス制御システムを説明する図である。
【符号の説明】
１　　認証アクセス制御システム
２　　認証アクセス制御サーバ装置
３　　ゲートウェイ
４　　転送ノード
５　　リモートアクセスサーバ
６　　利用者端末
７　　利用者
８　　仮想閉域網
９　　コンテンツサーバ
１０　コンテンツサーバ
１１　コンテンツ群
１２　コンテンツ群
１３　コンテンツ
１４　コンテンツ
１５　コンテンツ
１６　コンテンツ
２０　仮想閉域網アクセス認証テーブル
２１　コンテンツ群アクセス認証テーブル
２２　コンテンツアクセス認証テーブル
【図１】
2004021761.tif 000003
【図２】
2004021761.tif 000004
【図３】
2004021761.tif 000005
【図４】
2004021761.tif 000006
【図５】
2004021761.tif 000007
【図６】
2004021761.tif 000008
【図７】
2004021761.tif 000009
【図８】
2004021761.tif 000010
【図９】
2004021761.tif 000011
【図１０】
2004021761.tif 000012
【図１１】
2004021761.tif 000013