(57)【要約】【課題】システム構築コスト及び運用コストを軽減できるシングルサインオン認証方法を提供すること。【解決手段】イントラネット１１上の自社社員を利用者とする社内情報システム１０と、インターネット２２上の自社社員及び社外関係者を利用者とする共用情報システム２０とを具えて成るクライアント・サーバシステム１において、自社社員がクライアント端末装置１３から社内サーバ装置１２にアクセスして認証を受けた場合認証データＤＡを作成し、自社社員が社内情報システム１０から引き続き共用情報システム２０にアクセスした場合に、共用情報システム２０における自社社員のログインの正当性を認証データＤＡに基づいて判断するようにし、これによりシングルサインオン認証を可能とした。【選択図】        図２
2004334395.tif 000002
【特許請求の範囲】
【請求項１】
ローカルエリアネットワーク上で運営され前記ローカルエリアネットワークの利用者が利用するローカルエリアネットワーク情報システムと、広域ネットワーク上で運営され前記ローカルエリアネットワークの利用者及び前記ローカルエリアネットワークの利用者以外の者を利用者とする共用情報システムとを具え、前記ローカルエリアネットワーク情報システムと前記共用情報システムとが接続されて成る情報システムのシングルサインオン認証方法において、
前記ローカルエリアネットワークの利用者が端末装置から前記ローカルエリアネットワーク情報システムにアクセスして認証を受けた場合において前記ローカルエリアネットワークの利用者が前記ローカルエリアネットワーク情報システムから前記共用情報システムにアクセスしたときには、前記認証に基づく情報を含む認証データを作成し、該認証データに基づき前記ローカルエリアネットワークの利用者の前記共用情報システムへのログインの正当性を判断するようにしたことを特徴とするシングルサインオン認証方法。
【請求項２】
ローカルエリアネットワーク上で運営され前記ローカルエリアネットワークの利用者が利用するローカルエリアネットワーク情報システムと、広域ネットワーク上で運営され前記ローカルエリアネットワークの利用者及び前記ローカルエリアネットワークの利用者以外の者を利用者とする共用情報システムとを具え、前記ローカルエリアネットワーク情報システムと前記共用情報システムとが接続されて成る情報システムのシングルサインオン認証方法において、
前記ローカルエリアネットワークの利用者が端末装置から前記共用情報システムにアクセスして認証を受けた場合において前記ローカルエリアネットワークの利用者が前記共用情報システムから前記ローカルエリアネットワーク情報システムにアクセスしたときには、前記認証に基づく情報を含む認証データを作成し、該認証データに基づき前記ローカルエリアネットワークの利用者の前記ローカルエリアネットワーク情報システムへのログインの正当性を判断するようにしたことを特徴とするシングルサインオン認証方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ローカルエリアネットワーク（ＬＡＮ）上で運営されるＬＡＮ情報システムと広域ネットワーク（ＷＡＮ）上で運営される共用情報システムとを具えＬＡＮ情報システムと共用情報システムとが接続されて成る情報システムにおける、ＬＡＮ利用者についてのシングルサインオン認証方法に関するものである。
【０００２】
【従来の技術】
例えば、関連会社や協力会社が参加するプロジェクトを遂行する場合、そのプロジェクトの円滑な処理のため、このプロジェクトに参加している人々の間で様々な情報を共有する必要がある。このような場合、当該プロジェクトに適ったサービスや情報の提供を関連会社の社員等に提供するため、社外ＡＳＰ装置を設け、インターネット経由で関係者が該ＡＳＰ装置を適宜に利用できるサーバシステムを構築することが広く行われている。
【０００３】
そして、このような場合、各会社の社員は自己の属する会社内の情報システムにも適宜アクセスし、社内用の各種処理システムやコンテンツも利用するなどしてプロジェクトの処理を行っている。このような場合、一般に、ＬＡＮ（例えば、イントラネット）上で運営されるＬＡＮ情報システム（例えば、社内情報システム）とＷＡＮ（例えば、インターネット）上で運営される共用情報システムとを具えＬＡＮ情報システムと共用情報システムとが接続されて成る情報システムを構築し、自社の社員はＬＡＮ情報システム及び共用情報システムの両方にアクセス可能とし、自社の社員以外の者は共用情報システムのみにアクセス可能とする情報システムが広く採用されている。
【０００４】
このように、イントラネット上の社内情報システムと、ＡＳＰ装置を用いてインターネット上のサイトとして構成される共用情報システムとの両方を用いて各種の業務処理を遂行しなければならない場合には、利用者は社内情報システムにログインするための認証手段と、共用情報システムにログインするための別の認証手段を必要とすることになる。これは、社内情報システムと共用情報システムとの間にリンクを張って相互に相手側のシステムにアクセスできるようにした場合も同じである。
【０００５】
【発明が解決しようとする課題】
したがって、利用者は、利用したい情報システム毎にＩＤとパスワードとを保有する必要があり、利用者は、各情報システムの管理者に対して認証申請を行い、ＩＤとパスワードとを登録するという手続を行わなければならない上に、登録した複数組のＩＤとパスワードを管理し、使用しなければならないので極めて煩雑であり、不便である。
【０００６】
この問題を解決するため、認証状態を一元管理するための管理サーバを別途設け、これによりシングルサインオン認証を可能とした方法が提案されている。しかし、このように、管理サーバを別途設ける構成によると、ＡＳＰ装置の数が多くなる場合、または利用者が多数になる場合等には、管理サーバに処理が集中し、高性能のシステムを用いる必要が生じるため、コストの上昇を招くことになる上、運用面においても問題が生じやすい。
【０００７】
本発明の目的は、したがって、ＬＡＮ上で運営されるＬＡＮ情報システムとＷＡＮ上で運営される共用情報システムとを具えＬＡＮ情報システムと共用情報システムとが接続されて成る情報システムにおいて、システム構築コスト及び運用コストを軽減できるＬＡＮ利用者のためのシングルサインオン認証方法を提供することにある。
【０００８】
【課題を解決するための手段】
上記課題を解決するため、請求項１の発明によれば、ローカルエリアネットワーク上で運営され前記ローカルエリアネットワークの利用者が利用するローカルエリアネットワーク情報システムと、広域ネットワーク上で運営され前記ローカルエリアネットワークの利用者及び前記ローカルエリアネットワークの利用者以外の者を利用者とする共用情報システムとを具え、前記ローカルエリアネットワーク情報システムと前記共用情報システムとが接続されて成る情報システムのシングルサインオン認証方法において、前記ローカルエリアネットワークの利用者が端末装置から前記ローカルエリアネットワーク情報システムにアクセスして認証を受けた場合において前記ローカルエリアネットワークの利用者が前記ローカルエリアネットワーク情報システムから前記共用情報システムにアクセスしたときには、前記認証に基づく情報を含む認証データを作成し、該認証データに基づき前記ローカルエリアネットワークの利用者の前記共用情報システムへのログインの正当性を判断するようにしたことを特徴とするシングルサインオン認証方法が提案される。
【０００９】
請求項２の発明によれば、ローカルエリアネットワーク上で運営され前記ローカルエリアネットワークの利用者が利用するローカルエリアネットワーク情報システムと、広域ネットワーク上で運営され前記ローカルエリアネットワークの利用者及び前記ローカルエリアネットワークの利用者以外の者を利用者とする共用情報システムとを具え、前記ローカルエリアネットワーク情報システムと前記共用情報システムとが接続されて成る情報システムのシングルサインオン認証方法において、前記ローカルエリアネットワークの利用者が端末装置から前記共用情報システムにアクセスして認証を受けた場合において前記ローカルエリアネットワークの利用者が前記共用情報システムから前記ローカルエリアネットワーク情報システムにアクセスしたときには、前記認証に基づく情報を含む認証データを作成し、該認証データに基づき前記ローカルエリアネットワークの利用者の前記ローカルエリアネットワーク情報システムへのログインの正当性を判断するようにしたことを特徴とするシングルサインオン認証方法が提案される。
【００１０】
【発明の実施の形態】
以下、図面を参照して本発明の実施の形態の一例につき詳細に説明する。
【００１１】
図１は、本発明によるシングルサインオン認証を行うように構成されたクライアント・サーバシステムを概略的に示す図である。このクライアント・サーバシステム１は、イントラネット上で運営され自社社員を利用者とする社内情報システム１０と、インターネット上で運営され自社社員及び認証登録された社外関係者を利用者とする共用情報システム２０とを具え、社内情報システム１０と共用情報システム２０とは専用線３０によって接続されている。
【００１２】
社内情報システム１０は、イントラネット１１に社内サーバ装置１２及び自社社員が操作するための複数のクライアント端末１３が接続されて成っており、利用者である自社社員は、目的とするアプリケーションを実行するため、いずれかのクライアント端末装置１３を操作し、Ｗｅｂブラウザなどから社内サーバ装置１２へアクセスすることができる。なお、１４はＣＧＩ、１５は利用者の認証のための情報が格納されている利用者データベース、１６は自社社員が社内システムから社内サーバ装置１２に直接アクセスした場合にその認証処理を行うための内部認証処理部、１７は自社社員が社外システムを経由して社内サーバ装置１２にアクセスした場合にその認証処理を行うための外部認証処理部である。社内サーバ装置１２には、業務処理のための各種アプリケーションプログラムや情報が格納されている。
【００１３】
社内情報システム１０は、このように、もっぱら社内業務の処理のために用いられるが、例えば関連会社や協力会社が参加するようなプロジェクトを遂行する場合には、これらの社外関係者との情報の共有が必要となる。このような場合に、ある特定の業務にのみ限定する等して自社社員及び社外の関係者が自由に共有の情報にアクセスできるようにするため、共用情報システム２０が設けられている。
【００１４】
共用情報システム２０は、ＡＳＰ装置２１をインターネット２２に接続し、自社社員及び社外の関係者がパーソナルコンピュータ２３を用いてＡＳＰ装置２１にいつ、どこからでもアクセスできるように構成されたシステムである。ＡＳＰ装置２１には、利用者データベース２４及びＡＳＰ認証処理部２５が設けられている。そして、社内サーバ装置１２とＡＳＰ装置２１とは専用線３０で接続されており、必要な情報が社内情報システム１０と共用情報システム２０との間でやりとりされる構成となっている。利用者データベース２４には、自社社員及び社外の関係者についての認証のために必要な情報が格納されている。
【００１５】
次に、クライアント・サーバシステム１にログインするための認証処理について説明する。
【００１６】
先ず、自社社員がクライアント端末装置１３によって社内情報システム１０にログインする場合について説明する。図２は、この場合の認証処理の流れを示す図である。自社社員には、ユーザＩＤと、パスワードと、ワンタイムパスワード（以下パスワード等ということがある）がそれぞれ与えられており、パスワード等の情報を含む自社社員の認証のための情報が社内サーバ装置１２の利用者データベース１５内に格納されている。なお、利用者データベース１５内に格納されている自社社員の認証のための情報は、適宜の時間間隔でＡＳＰ装置２１の利用者データベース２４に送られて格納されるようになっている。
【００１７】
自社社員が、クライアント端末装置１３から、ログイン画面を呼び出すためのページ要求１０１を行うと、これによりアクセスされた社内サーバ装置１２の内部認証処理部１６では、これにより生成されるログイン画面表示のためのＨＴＭＬを用いて、当該クライアント端末装置１３の画面上に所定のログイン画面を表示して認証要求１０２を行う。
【００１８】
利用者である自社社員がログイン画面より、自己のユーザＩＤとパスワードとワンタイムパスワードを入力すると、入力されたユーザＩＤとパスワードとワンタイムパスワードとは、利用者データベース１５内の認証のための情報と照合され、そのログインの正当性の検証が行われる。検証結果、認証が成功すると、認証処理１０４が実行され、ユーザＩＤとパスワードとのダミーをＣＧＩ１４に送る処理１０５を実行する。これにより、ＣＧＩ１４はクライアント端末装置１３にトップページ表示１０６を行い、以後、クライアント端末装置１３は社内サーバ装置１２に対して所望のアクセスを行うことができる。
【００１９】
このようにして認証されたクライアント端末装置１３からＡＳＰ装置２１に対してページ要求１０７が出されると、ＣＧＩ１４は処理１０５で送られているユーザＩＤ及びパスワードを参照し、ＡＳＰ装置２１に対して認証データ送付１０８を行う。この認証データＤＡは（１）社内サーバ装置の認証キー、（２）ログインの経路（今の場合は内部認証処理部経由）についての情報、（３）認証がセキュリティデバイスか、パスワード等のみかの区別、及び（４）ユーザＩＤから成っている。
【００２０】
認証データＤＡは、ページ要求処理１０７に応答してＡＳＰ装置２１に送られ、ＡＳＰ装置２１ではこの認証データＤＡに基づいてページ要求１０７を行ったクライアント端末装置１３のＡＳＰ装置２１に対するログインの正当性を判断する。ＡＳＰ装置２１において認証データＤＡに基づきクライアント端末装置１３が認証されると、その認証処理１０９に基づいてＡＳＰ装置２１のトップページ１１０がクライアント端末装置１３に送られる。以後、クライアント端末装置１３は社内サーバ装置１２に対して所望のアクセスを行うことができる。
【００２１】
なお、社内サーバ装置１２とＡＳＰ装置２１との間にはリンクが張られているので、クライアント端末装置１３はＡＳＰ装置２１に対して直接アクセスすることができる。この場合には、自己のユーザＩＤとパスワードとを入力することによりＡＳＰ装置２１のＡＳＰ認証処理部２５は利用者データベース２４内の認証のための情報を参照して処理を行い、認証されることにより、以後、ＡＳＰ装置２１に対して所望のアクセスを自由に行うことができる。
【００２２】
図２に示した例では、自社社員が、ユーザＩＤとパスワードとワンタイムパスワードとを用いて認証を受けた場合について説明した。しかし、自社社員は、ユーザＩＤとパスワードとを用いて認証を受けることも可能であり、この場合の処理は図２に示した処理と殆ど同一である。内部認証処理部１６における認証のための認証内容が異なるだけである。
【００２３】
次に、自社社員がインターネット２２を経由して、社内情報システム１０にログインする場合の認証処理について説明する。図１から判るように、社内サーバ装置１２はファイアーウォール（図示せず）を介してインターネット２２に接続されており、したがって、自社社員は適宜のパーソナルコンピュータ２３を用いて社内サーバ装置１２にアクセスすることができる。
【００２４】
図３は、この場合の認証処理の流れを示す図である。自社社員には、ユーザＩＤと、パスワードと、ワンタイムパスワード（以下パスワード等ということがある）がそれぞれ与えられており、パスワード等の情報を含む自社社員の認証のための情報が社内サーバ装置１２の利用者データベース１５内に格納されている。なお、利用者データベース１５内に格納されている自社社員の認証のための情報は、適宜の時間間隔でＡＳＰ装置２１の利用者データベース２４に送られて格納されるようになっている。
【００２５】
自社社員が、パーソナルコンピュータ２３から、ログイン画面を呼び出すためのページ要求２０１を行うと、これによりアクセスされた社内サーバ装置１２の外部認証処理部１７では、これにより生成されるログイン画面表示のためのＨＴＭＬを用いて、当該パーソナルコンピュータ２３の画面上に所定のログイン画面を表示して認証要求２０２を行う。
【００２６】
利用者である自社社員がログイン画面より、自己のユーザＩＤとパスワードとワンタイムパスワードを入力すると、入力されたユーザＩＤとパスワードとワンタイムパスワードは、利用者データベース１５内の認証のための情報と照合され、そのログインの正当性の検証が行われる。検証の結果認証が成功すると、認証処理２０４が実行され、ユーザＩＤとパスワードとのダミーをＣＧＩ１４に送る処理２０５を実行する。これにより、ＣＧＩ１４はパーソナルコンピュータ２３にトップページ表示処理２０６を行い、以後、パーソナルコンピュータ２３は社内サーバ装置１２に対して所望のアクセスを行うことができる。
【００２７】
このようにして認証されたパーソナルコンピュータ２３からＡＳＰ装置２１に対してページ要求２０７が出されると、ＣＧＩ１４は処理２０５で送られているユーザＩＤ及びパスワードを参照し、ＡＳＰ装置２１に対して認証データ送付２０８を行う。この認証データＤＢは（１）社内サーバ装置の認証キー（例えば２２桁のコード）、（２）ログインの経路（今の場合は外部認証処理部経由）についての情報、（３）認証がセキュリティデバイスか、パスワード等のみかの区別、及び（４）ユーザＩＤから成っている。
【００２８】
認証データＤＢは、ページ要求処理２０７に応答してＡＳＰ装置２１に送られ、ＡＳＰ装置２１ではこの認証データＤＢに基づいてページ要求２０７を行ったパーソナルコンピュータ２３のＡＳＰ装置２１に対するログインの正当性を判断する。ＡＳＰ装置２１において認証データＤＢに基づきパーソナルコンピュータ２３が認証されると、その認証処理２０９に基づいてＡＳＰ装置２１のトップページ２１０がパーソナルコンピュータ２３に送られる。以後、パーソナルコンピュータ２３は社内サーバ装置１２に対して所望のアクセスを行うことができる。
【００２９】
次に、自社社員がインターネット２２経由で共用情報システム２０にアクセスし、さらに社内情報システム１０にアクセスする場合の認証処理について説明する。
【００３０】
図４を参照すると、自社社員がパーソナルコンピュータ２３により、インターネット２２を経由して、共用情報システム２０にアクセスし、ログイン画面を呼び出すためのページ要求３０１を行うと、これによりＡＳＰ装置２１のＡＳＰ認証処理部２５では、これにより生成されるログイン画面表示のためのＨＴＭＬを用いて、当該パーソナルコンピュータ２３の画面上に所定のログイン画面を表示して認証要求３０２を行う。
【００３１】
利用者である自社社員がログイン画面より、自己のユーザＩＤとパスワードを入力する入力処理３０３を行うと、入力されたユーザＩＤとパスワードは、利用者データベース２４内の認証のための情報と照合される。すでに説明したように、利用者データベース１５内に格納されている自社社員の認証のための情報は、適宜の時間間隔でＡＳＰ装置２１の利用者データベース２４に送られて格納されるようになっているので、入力処理３０３によって入力されたユーザＩＤとパスワードとに基づいて、そのログインの正当性の検証を行うことができる。検証結果、認証が成功すると、認証処理３０４が実行され、これにより、ＡＳＰ装置２１はパーソナルコンピュータ２３にトップページの表示３０５を行い、以後、パーソナルコンピュータ２３はＡＳＰ装置２１に対して所望のアクセスを行うことができる。
【００３２】
このようにして認証されたパーソナルコンピュータ２３から社内サーバ装置１２に対してページ要求３０６が出されると、このページ要求はＡＳＰ装置２１に送られる。ＡＳＰ装置２１では、認証処理３０４の段階で得られた認証処理に必要なデータ、例えばユーザＩＤ、パスワード、接続ＩＰアドレス等に基づいて認証データＤＣを作成し、社内サーバ装置１２に認証データＤＣを送る処理３０７を行う。この認証データＤＣに基づいて社内サーバ装置１２の外部認証処理部１７で認証処理が行われる。この認証処理は図３において説明した認証データＤＢに基づく認証処理と同様である。このようにして認証が成功すると、パーソナルコンピュータ２３は社内サーバ装置１２に対して所望のアクセスを行うことができる。
【００３３】
クライアント・サーバシステム１では、以上説明したように、自社の社員であれば、社内情報システム１０にアクセスして認証のための操作を行って一旦認証を受ければ、続けて共用情報システム２０にログインしようとする際に認証のために必要なデータの入力操作を行う必要なしにそのままアクセスすることが許されるので、自社社員は、自社で用いるパスワード等を１回だけ入力操作すればよい。また、自社の社員であれば、共用情報システム２０にアクセスして認証のための操作を行って一旦認証を受ければ、続けて社内情報システム１０にログインしようとする際に認証のために必要なデータの入力操作を行う必要なしにそのままアクセスすることが許されるので、自社社員は、自社で用いるパスワード等を１回だけ入力操作すればよい。いずれの場合にも、サーバ装置又はＡＳＰ装置における認証データの処理だけですむので、システム構築コスト及び運用コストを増大させることなくシングルサインオン認証を実現することができる。
【００３４】
以上、本発明の一実施形態について説明したが、本発明はこの一実施形態に限定されるものではない。例えば、社内情報システム１０はＬＡＮ上で運営されてもよいし、共用情報システム２０はＷＡＮ上で運営されてもよい。また、ＬＡＮ上で運営されるシステムは、社内情報システム以外の、例えば、ＬＡＮ上で運営される適宜の情報システムであってもよい。
【００３５】
【発明の効果】
本発明によれば、上述の如く、ＬＡＮ上で運営されるＬＡＮ情報システムとＷＡＮ上で運営される共用情報システムとを具えＬＡＮ情報システムと共用情報システムとが接続されて成る情報システムにおいて、システム構築コスト及び運用コストを増大させることなくＬＡＮ情報システムの利用者のシングルサインオン認証を実現することができる。
【図面の簡単な説明】
【図１】シングルサインオン認証を行うように構成されたクライアント・サーバシステムの概略システム図。
【図２】自社社員がクライアント端末装置によって社内情報システムにログインしてから共用情報システムにログインする場合の認証処理を説明するための図。
【図３】自社社員がインターネットを経由して社内情報システムにログインしてから共用情報システムにログインする場合の認証処理を説明するための図。
【図４】自社社員がインターネット経由で共用情報システムにログインしてから社内情報システムにログインする場合の認証処理を説明するための図。
【符号の説明】
１  クライアント・サーバシステム
１０  社内情報システム
１１  イントラネット
１２  社内サーバ装置
１３  クライアント端末装置
１４  ＣＧＩ
１５、２４  利用者データベース
１６  内部認証処理部
１７  外部認証処理部
２０  共用情報システム
２１  ＡＳＰ装置
２２  インターネット
２３  パーソナルコンピュータ
２５  ＡＳＰ認証処理部
３０  専用線
【図１】
2004334395.tif 000003
【図２】
2004334395.tif 000004
【図３】
2004334395.tif 000005
【図４】
2004334395.tif 000006