(57)【要約】【課題】それぞれ異なった認証ドメインに所属するユーザ同士の集合としてバーチャルなグループを形成した場合であっても、ユーザの負担を増大することなくユーザ認証を可能とし且つユーザの属するグループに応じたサービス提供を行う。【解決手段】サービス提供装置２０は、ユーザ端末１０へのサービス提供に先立ち、該サービスに係るユーザが所定のユーザグループに属する事を証明するグループ認証チケットをユーザ端末１０又は認証装置３０から取得し、該グループ認証チケットで識別されたグループに応じたサービス提供をユーザ端末に対して行う。【選択図】  図１
2004272380.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの認証管理単位である認証ドメイン毎に少なくとも１台以上設置された認証装置と、何れかの認証ドメインに属するユーザ端末と、何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置とをネットワークを介して接続し、サービス提供装置がユーザ端末にサービスを提供する際にユーザを認証する方法において、
前記サービス提供装置は、ユーザ端末へのサービス提供に先立ち、該サービスに係るユーザが所定のユーザグループに属する事を証明するグループ認証チケットをユーザ端末又は認証装置から取得し、該グループ認証チケットで識別されたグループに応じたサービス提供をユーザ端末に対して行う
ことを特徴とするグループ認証方法。
【請求項２】
認証装置は、予め、前記グループ認証チケットを作成して該グループ認証チケットに係るグループを構成するユーザが属する各認証ドメインの認証装置に対して該グループ認証チケットを配布するとともに、他の認証装置から受信したグループ認証チケットを管理する
ことを特徴とする請求項１記載のグループ認証方法。
【請求項３】
ユーザ端末は、サービス提供装置へのサービス要求に先立ち、自身が属する認証ドメインの認証装置でユーザ認証を行うとともに該認証装置からグループ認証チケットを取得し、取得したグループ認証チケットをサービス提供装置に送信する
ことを特徴とする請求項２記載のグループ認証方法。
【請求項４】
ユーザ端末は、サービス提供装置へのサービス要求に先立ち、自身が属する認証ドメインの認証装置でユーザ認証を行うとともにサービス提供装置に前記認証装置から受信したユーザ認証を確認する情報及びグループ情報を通知し、
サービス提供装置は、ユーザ端末から受信したユーザ認証確認情報及びグループ情報に基づき該ユーザが属する認証ドメインの認証装置からグループ認証チケットを取得する
ことを特徴とする請求項２記載のグループ認証方法。
【請求項５】
ユーザの認証管理単位である認証ドメイン毎に少なくとも１台以上設置された認証装置と、何れかの認証ドメインに属するユーザ端末と、何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置とをネットワークを介して接続し、サービス提供装置がユーザ端末にサービスを提供する際にユーザを認証するシステムにおいて、
前記サービス提供装置は、ユーザ端末へのサービス提供に先立ち、該サービスに係るユーザが所定のユーザグループに属する事を証明するグループ認証チケットをユーザ端末又は認証装置から取得し、該グループ認証チケットで識別されたグループに応じたサービス提供をユーザ端末に対して行う
ことを特徴とするグループ認証システム。
【請求項６】
認証装置は、予め、前記グループ認証チケットを作成して該グループ認証チケットに係るグループを構成するユーザが属する各認証ドメインの認証装置に対して該グループ認証チケットを配布するとともに、他の認証装置から受信したグループ認証チケットを管理する
ことを特徴とする請求項５記載のグループ認証システム。
【請求項７】
ユーザ端末は、サービス提供装置へのサービス要求に先立ち、自身が属する認証ドメインの認証装置でユーザ認証を行うとともに該認証装置からグループ認証チケットを取得し、取得したグループ認証チケットをサービス提供装置に送信する
ことを特徴とする請求項６記載のグループ認証システム。
【請求項８】
ユーザ端末は、サービス提供装置へのサービス要求に先立ち、自身が属する認証ドメインの認証装置でユーザ認証を行うとともにサービス提供装置に前記認証装置から受信したユーザ認証を確認する情報及びグループ情報を通知し、
サービス提供装置は、ユーザ端末から受信したユーザ認証確認情報及びグループ情報に基づき該ユーザが属する認証ドメインの認証装置からグループ認証チケットを取得する
ことを特徴とする請求項６記載のグループ認証システム。
【請求項９】
ユーザの認証管理単位である認証ドメイン毎に少なくとも１台以上設置された認証装置及び何れかの認証ドメインに属するユーザ端末とネットワークを介して接続するとともに、何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置において、
ユーザ端末へのサービス提供に先立ち、該サービスに係るユーザが所定のユーザグループに属する事を証明するグループ認証チケットをユーザ端末又は認証装置から取得してユーザの属するグループを識別するグループ識別手段と、該認証手段による認証されたグループに応じたサービス提供をユーザ端末に対して行うサービス提供手段とを備えた
ことを特徴とするサービス提供装置。
【請求項１０】
ユーザの認証管理単位である認証ドメインの何れかに属するユーザ端末及び何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置とネットワークを介して接続し、何れかの認証ドメインに属する認証装置において、
前記グループ認証チケットを生成するとともに、生成した認証チケットに係るグループを構成するユーザが属する各認証ドメインの認証装置に対して、該グループ認証チケットを配布するグループ認証チケット生成手段を備えた
ことを特徴とする認証装置。
【請求項１１】
ユーザの認証管理単位である認証ドメイン毎に少なくとも１台以上設置された認証装置及び何れかの認証ドメインに属するユーザ端末とネットワークを介して接続するとともに、何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置を、
ユーザ端末へのサービス提供に先立ち、該サービスに係るユーザが所定のユーザグループに属する事を証明するグループ認証チケットをユーザ端末又は認証装置から取得してユーザの属するグループを識別するグループ識別手段と、
該認証手段による認証されたグループに応じたサービス提供をユーザ端末に対して行うサービス提供手段として機能させる
ことを特徴とするサービス提供プログラム。
【請求項１２】
ユーザの認証管理単位である認証ドメインの何れかに属するユーザ端末及び何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置とネットワークを介して接続し、何れかの認証ドメインに属する認証装置を、
ユーザが所定のユーザグループに属する事を証明するグループ認証チケットを作成して該グループ認証チケットに係るグループを構成するユーザが属する各認証ドメインの認証装置に対して該グループ認証チケットを配布するグループ認証チケット生成手段と、
他の認証装置から受信したグループ認証チケットを管理するグループ認証チケット管理手段として機能させる
ことを特徴とする認証プログラム。
【請求項１３】
請求項１１記載のサービス提供プログラムを記録した記録媒体。
【請求項１４】
請求項１２記載の認証プログラムを記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上の複数の認証ドメインで分散管理されるユーザ認証情報の管理流通方法に関し、特に単一のユーザの認証処理による複数のサービスの提供を可能とするシングルサインオン技術に関する。
【０００２】
【従来の技術】
従来より、一以上のユーザをグループに所属させ、ユーザがサービス提供装置に対してサービスを要求してきたときに、該ユーザの所属するグループに応じてサービス提供を行う方法が提案されている。
【０００３】
例えば、ＵＮＩＸ（登録商標）におけるユーザ管理システムでは、ユーザを何れかのグループに所属させるとともに、ユーザ及びグループに対してファイル及びディレクトリへのアクセス権を関連付けている。より具体的には、ファイルサーバとして機能するＵＮＩＸマシンは、自身が所属する単一認証ドメイン内に、各ユーザのユーザアカウント情報と、各ユーザアカウントに対応するユーザがどのグループに所属するかということを表すグループアカウント情報を保持し、該サービスにアクセスしてくる各々のユーザを認証することにより、該ユーザがどのグループに所属するかも認証し、ファイル共有のグループに基づくアクセス制御を実現していた（非特許文献１参照）。
【０００４】
また、特許文献１に記載の技術では、グループメンバの連名の署名により、協調作業に避ける共有リソースへのアクセス制御を実現していた。すなわち、グループのメンバである全てのユーザの許可がないと、共有リソースである文書の更新をかける、といったことができないような方法が実現されていた。
【０００５】
【非特許文献１】
砂原秀樹／石井秀治／植原啓介／林周志・共著，「プロフェッショナルＢＳＤ」，アスキー出版社，１９９４年７月２１日発行
【０００６】
【特許文献１】
特開平７−２１１２７号公報
【０００７】
【発明が解決しようとする課題】
しかしながら、上記従来の技術では、ユーザが複数のサービス提供者によって提供されるサービスを、それぞれが提供するグループアカウントに基づいて利用する場合、サービスを利用するユーザは、各々のサービス提供者における認証のための情報を一つ一つ記憶しておく必要があった。このため、利用するサービスが増えれば増えるほど、ユーザにとっては自身が管理する必要がある認証情報が増加してしまっていた。特に、昨今はオンライン上でバーチャルグループを形成することによりグループで情報を共有して業務を進めていく機会が非常に増えてきていえる。このため、ユーザは、バーチャルグループを形成するたびに、新しいアカウント認証情報を覚える必要が出てきてしまい、ユーザの負担は多大なものとなっていた。
【０００８】
本発明は、上記事情に鑑みてなされたものであり、その目的とするところは、それぞれ異なった認証ドメインに所属するユーザ同士の集合としてバーチャルなグループを形成した場合であっても、ユーザの負担を増大することなくユーザ認証を可能とし且つユーザの属するグループに応じたサービス提供を行うことにある。
【０００９】
【課題を解決するための手段】
上記目的を達成するために、本願発明では、ユーザの認証管理単位である認証ドメイン毎に少なくとも１台以上設置された認証装置と、何れかの認証ドメインに属するユーザ端末と、何れかの認証ドメインに属し且つユーザ端末に対してサービスを提供するサービス提供装置とをネットワークを介して接続し、サービス提供装置がユーザ端末にサービスを提供する際にユーザを認証する方法において、前記サービス提供装置は、ユーザ端末へのサービス提供に先立ち、該サービスに係るユーザが所定のユーザグループに属する事を証明するグループ認証チケットをユーザ端末又は認証装置から取得し、該グループ認証チケットで識別されたグループに応じたサービス提供をユーザ端末に対して行うことを特徴とするものを提案する。
【００１０】
本発明によれば、サービス提供装置は、ユーザの認証情報を有していなくても該ユーザの本人性を確認し且つ該ユーザが所定のグループに所属するということを確認できるようになるため、それぞれ異なった認証ドメインに所属するユーザ同士の集合として、バーチャルなグループを形成できるようになる。
【００１１】
前記グループ認証チケットの発行の一例として、本願発明では、認証装置は、予め、前記グループ認証チケットを作成して該グループ認証チケットに係るグループを構成するユーザが属する各認証ドメインの認証装置に対して該グループ認証チケットを配布するとともに、他の認証装置から受信したグループ認証チケットを管理することを特徴とするものを提案する。
【００１２】
本発明によれば、サービス提供装置はユーザに対してサービスを提供する際に、該ユーザの属する認証ドメインに設置された認証装置から直接又はユーザ端末など他の装置を介して、グループ認証チケットを取得できる。
【００１３】
また、本願発明では、ユーザ端末は、サービス提供装置へのサービス要求に先立ち、自身が属する認証ドメインの認証装置でユーザ認証を行うとともに該認証装置からグループ認証チケットを取得し、取得したグループ認証チケットをサービス提供装置に送信することを特徴とするものを提案する。
【００１４】
本発明によれば、グループ認証チケットはユーザ端末が自身の属する認証ドメインの認証装置から入手され、ユーザ端末からサービス提供装置に送信されるので、認証装置においてユーザの認証を実施することにより本人性の確認を確実に行うことができる。換言すれば、ユーザは、自身の属する認証ドメインの認証装置で認証を行えば、それぞれ異なった認証ドメインに所属するユーザ同士の集合であるバーチャルなグループについて、該グループに応じたサービスを受けることができる。
【００１５】
また、本願発明では、ユーザ端末は、サービス提供装置へのサービス要求に先立ち、自身が属する認証ドメインの認証装置でユーザ認証を行うとともにサービス提供装置に前記認証装置から受信したユーザ認証を確認する情報及びグループ情報を通知し、サービス提供装置は、ユーザ端末から受信したユーザ認証確認情報及びグループ情報に基づき該ユーザが属する認証ドメインの認証装置からグループ認証チケットを取得することを特徴とするものを提案する。
【００１６】
本発明によれば、ユーザが該ユーザの属する認証装置で認証された後に、そのユーザ認証確認情報及びグループ情報に基づいてサービス提供装置が認証装置からグループ認証チケットを取得できるので、ユーザは、自身の属する認証ドメインの認証装置で認証を行えば、それぞれ異なった認証ドメインに所属するユーザ同士の集合であるバーチャルなグループについて、該グループに応じたサービスを受けることができる。
【００１７】
【発明の実施の形態】
本発明の一実施の形態に係るグループ認証システムについて図面を参照して説明する。図１は本発明のグループ認証システム全体を示す構成図、図２は本システムにおけるサービス提供コンピュータの説明図、図３はグループアカウント情報の例の説明図、図４は本システムにおける認証チケット発行コンピュータの説明図、図５は本システムにおけるグループ認証チケットの説明図である。
【００１８】
図１に示すように、本発明のグループ認証システムは、ユーザ１が利用するユーザ利用コンピュータ１０と、ユーザ利用コンピュータ１０にサービスを提供するサービス提供コンピュータ２０と、後述するグループ認証チケットの発行や認証処理などを行う認証チケット発行コンピュータ３０とが、ネットワーク４０を介して接続されている。これらのコンピュータ１０，２０，３０は、任意の数だけ集まって、認証管理単位である認証ドメイン５０を形成する。すなわち、認証チケット発行コンピュータ３０は、一認証ドメイン５０あたりに少なくとも一つは配置される。
【００１９】
図１の例では、認証ドメイン５０−１は、認証チケット発行コンピュータ３０−１，ユーザ利用コンピュータ１０−１ａ，１０−１ｂによって構成されており、ユーザ１−１ａ，１−１ｂは該認証ドメイン５０−１に所属する。同様に、認証ドメイン５０−２は、認証チケット発行コンピュータ３０−２，ユーザ利用コンピュータ１０−２ａ，１０−２ｂによって構成されており、ユーザ１−２ａ，１−２ｂは該認証ドメイン５０−２に所属する。また、認証ドメイン５０−３は、認証チケット発行コンピュータ３０−３，ユーザ利用コンピュータ１０−３ａ，１０−３ｂによって構成されており、ユーザ１−３ａ，１−３ｂは該認証ドメイン５０−３に所属する。さらに、認証ドメイン５０−４は、認証チケット発行コンピュータ３０−４，サービス提供コンピュータ２０によって構成されているが、認証ドメイン５０−４に所属するユーザは存在していない。
【００２０】
本発明は、このような認証ドメイン５０が形成されている場合に、認証ドメイン５０を跨ったユーザ１のグループを形成し、サービス提供コンピュータ２０が該グループに応じたサービスを容易且つ確実に提供可能とすることを目的としている。
【００２１】
サービス提供コンピュータ２０は、図２に示すように、通信制御部２１と、グループアカウント管理部２２と、グループアカウント情報保存部２３と、グループ認証チケット精査部２４と、サービス提供部２５とを備えている。
【００２２】
通信制御部２１は、他のコンピュータが送信した要求メッセージや応答メッセージをネットワーク４０を介して受信し、また他のコンピュータに対して応答メッセージや要求メッセージを送信する。
【００２３】
グループアカウント管理部２２は、一又は複数のユーザ１によって構成されるグループアカウントを管理するものである。具体的には、グループアカウント管理部２２は、グループ作成要求に応じてグループアカウントを作成する機能、グループアカウント情報保存部２３に該グループアカウントの情報を保存する機能、既存のグループアカウントの情報をグループアカウント情報保存部２３から取り出す機能、認証チケット発行コンピュータ３０に対してグループ認証チケットを発行するように要求する（認証チケット発行要求）機能などを有している。
【００２４】
図３にグループアカウント情報の一例を示す。図３の例では、グループアカウントの属性情報として、グループのグループＩＤ、グループのメンバであるユーザのユーザＩＤ、そのユーザが所属する認証ドメイン５０の認証チケット発行コンピュータ３０の情報がＸＭＬで記述されている。各属性情報のフォーマットとしては、図３の例では、グループＩＤとしては任意の文字列を、ユーザＩＤとしては電子メールアドレスを、認証チケット発行コンピュータの情報としてはＩＰアドレスを用いている。
【００２５】
グループアカウント情報保存部２３は、グループアカウント管理部２２で作成されたグループアカウントの情報を保存する。
【００２６】
グループ認証チケット精査部２４は、サービス提供部２５がユーザ１に対してサービスを提供するときに、ユーザ利用コンピュータ１０等から取得したグループ認証チケットを精査し、該ユーザ１が所定のグループに所属するかどうかを判断する。
【００２７】
サービス提供部２５は、グループ認証チケット精査部２４の判断に基づき、ユーザ利用コンピュータ１０に対して該ユーザ１の所属するグループに応じたサービス提供を行う。例えば、ユーザ利用コンピュータ１０に対してファイル共有サービスを提供する場合では、グループに対してファイルやディレクトリのアクセス権を付与することにより、ファイルやディレクトリのアクセス制御を行う。
【００２８】
認証チケット発行コンピュータ３０は、図４に示すように、通信制御部３１と、ユーザ認証部３２と、ユーザ認証情報保存部３３と、グループ認証チケット生成部３４と、グループ認証チケット管理部３５と、グループ認証チケット保存部３６とを備えている。
【００２９】
通信制御部３１は、他のコンピュータが送信した要求メッセージや応答メッセージをネットワーク４０を介して受信し、また他のコンピュータに対して応答メッセージや要求メッセージを送信する。
【００３０】
ユーザ認証部３２は、ユーザ認証情報保存部３３に保存されている認証情報を用いて、自認証チケット発行コンピュータ３０が所属する認証ドメイン５０内のユーザ１の認証を行う。
【００３１】
ユーザ認証情報保存部３３は、ユーザ認証を行うためのユーザ認証情報を保存する。ユーザ認証情報には、例えば、ユーザ１の識別子（ログイン名）とパスワードの組などが挙げられる。
【００３２】
グループ認証チケット生成部３４は、サービス提供コンピュータ２０からの認証チケット発行要求にしたがい、グループ認証チケットを生成する。ここで、認証チケット発行要求には、後述するようにグループアカウント情報が含まれており、グループ認証チケット生成部３４は、該グループアカウント情報を参照し、そのグループのメンバであるユーザ１が所属する認証ドメイン５０内の認証チケット発行コンピュータ３０に対して、グループ認証チケットを配布する。このグループ認証チケットの配布はグループに属する全てのユーザ１毎に行う。
【００３３】
グループ認証チケットは、ユーザがあるグループに所属することを証明する証明書であり、少なくとも、グループ認証チケットを発行した認証チケット発行サーバの情報と、ユーザが所属するグループの情報（グループＩＤ）と、ユーザの情報（ユーザＩＤ）と、ユーザが所属する認証ドメインの認証チケット発行サーバの情報とが含まれる。図５にＸＭＬで記述したグループ認証チケットの一例を示す。図５の例では、グループＩＤとしては任意の文字列を、ユーザＩＤとしては電子メールアドレスを、各認証チケット発行コンピュータの情報としてはＩＰアドレスを用いている。なお、認証チケット発行コンピュータ３０から他のコンピュータに対してグループ認証チケットが送信される際には、該グループ認証チケットには送信元の認証チケット発行コンピュータ３０による電子署名が付される。電子署名の形態としては公開鍵暗号方式を用いたものなどが挙げられる。
【００３４】
グループ認証チケット管理部３５は、認証チケット発行コンピュータ３０が発行したグループ認証チケットを受け取ってグループ認証チケット保存部３６に保存する機能、要求にしたがってグループ認証チケット保存部３６に保存されたグループ認証チケットを取り出す機能などを有する。なお、グループ認証チケットは、他の認証チケット発行コンピュータ３０から受信するものの他、自身で生成したものも含まれる。ここで、後者のグループ認証チケットは、グループに係るユーザ１が自認証ドメイン５０に属している場合が該当する。
【００３５】
グループ認証チケット保存部３６は、他の認証チケット発行コンピュータ３０から受信したグループ認証チケット、及び、自身のグループ認証チケット生成部３４で生成したグループ認証チケットを保存する。
【００３６】
次に、本実施の形態に係るグループ認証システムの動作について図面を参照して説明する。ここでは、サービス提供コンピュータ２０内の通信制御部２１，グループアカウント管理部２２，グループ認証チケット精査部２４，サービス提供部２５，認証チケット発行コンピュータ３０内の通信制御部３１，ユーザ認証部３２，グループ認証チケット生成部３４，及びグループ認証チケット管理部３５を、ＣＧＩやサーブレットとして実装した例を説明する。
【００３７】
また、本実施形態では、ユーザ利用コンピュータ１０，サービス提供コンピュータ２０，及び、認証チケット発行コンピュータ３０の間で行われる通信のプロトコルとして、ＨＴＴＰを用いるものとする。また、ユーザ認証要求してきたユーザ１を認証チケット発行コンピュータ３０が認証するための認証情報として、ログイン名とパスワードの組を用いるものとする。さらに、グループアカウント情報及びグループ認証チケットはＸＭＬ形式で保存されるものとする。さらに、サービス提供コンピュータ２０によって提供されるサービスはグループに基づくアクセス制御を行うファイル共有サービスとする。
【００３８】
まず、一以上のユーザ１からなるグループを登録する方法について図６のシーケンスチャートを参照して説明する。ここでは、当該グループに属するユーザ１がグループ登録を行う場合について説明するが、グループの登録は当該グループに属さないものが行ってもよい。図６の例では、認証ドメイン５０−１に属するユーザ１−１ａと、認証ドメイン５０−２に属するユーザ１−２ａとがグループを形成する場合について例示している。
【００３９】
まず、ユーザ１はユーザ端末１を用いてサービス提供コンピュータ２０に対して、グループ登録要求を送信する（ステップＳ１）。このときグループ登録要求には、グループを構成する各ユーザのユーザＩＤ及び該ユーザの属する認証ドメイン５０からなるグループ構成情報が含まれる。
【００４０】
グループ登録要求を受信したサービス提供コンピュータ２０は、グループアカウント管理部２２において、受信したグループ構成情報をもとに、グループアカウントを生成し、グループアカウント情報保存部２３に保存する（ステップＳ２）。
【００４１】
グループアカウント管理部２２は、グループアカウントを作成すると、自身が所属する認証ドメイン５０の認証チケット発行コンピュータ３０−４に対して、当該グループのメンバであるユーザが所属する各認証ドメイン５０−１，５０−２の認証チケット発行コンピュータ３０−１，３０−２に対するグループ認証チケットの発行を要求（認証チケット発行要求）する（ステップＳ３）。ここで、認証チケット発行要求には、前記ステップＳ２で生成したグループアカウント情報が含まれる。
【００４２】
認証チケット発行要求を受信した認証チケット発行コンピュータ３０−４は、受信した認証チケット発行要求に基づきグループ認証チケット生成部３４においてグループ認証チケットを生成する（ステップＳ４）。そして、該認証チケットに電子証明を施した後に、該グループアカウント情報を参照して、グループのメンバであるユーザが所属する認証ドメイン５０−１，５０−２内の認証チケット発行コンピュータ３０−１，３０−２に対して、グループ認証チケットを発行（配布）する（ステップＳ５）。
【００４３】
グループ認証チケットを受信した認証チケット発行コンピュータ３０−１，３０−２は、それぞれ電子署名を確認することにより該グループ認証チケットを発行した認証チケット発行コンピュータ３０−４を特定し、グループ認証チケット保存部３６に該グループ認証チケットを保存する。
【００４４】
以上の処理により、グループに関するアカウント情報がサービス提供コンピュータ２０に保存されるとともに、グループに属する各ユーザ１が所属する認証ドメイン５０の認証チケット発行コンピュータ３０には該グループに係るグループ認証チケットが保存される。
【００４５】
次に、グループのメンバであるユーザがサービス提供コンピュータ２０が提供するサービスを利用する場合について図７のシーケンスチャートを参照して説明する。図７の例では、認証ドメイン５０−１に属するユーザ１−１ａがユーザ利用コンピュータ１０−１ａを用いてサービス提供コンピュータ２０からサービスを受ける場合について説明する。
【００４６】
まず、ユーザ１−１ａを所属する認証ドメイン５０−１の認証チケット発行コンピュータ３０−１に認証してもらうために、ユーザ利用コンピュータ１０−１ａは、ログイン名とパスワードといった認証情報を含む認証要求を、認証チケット発行コンピュータ３０−１に対して送信する（ステップＳ１１）。
【００４７】
認証要求を受け取った認証チケット発行コンピュータ３０−１は、ユーザ認証部３２が、ユーザ認証情報保存部３３に保存されている認証要求元ユーザの認証情報と、認証要求と共に送信されてきた認証情報とを照らし合わせて、ユーザの本人性を確認する（ステップＳ１２）。ユーザの本人性が確認されると、グループ認証チケット管理部３５は、グループ認証チケット保存部３６に保存されているグループ認証チケットを取り出し（ステップＳ１３）、これに電子署名を施し、ユーザ利用コンピュータ１０−１ａに対して、グループ認証チケットを発行する（ステップＳ１４）。
【００４８】
グループ認証チケットを受領したユーザ利用コンピュータ１０−１ａは、サービス提供コンピュータ２０に対して、サービス要求をグループ認証チケットと共に送信する（ステップＳ１５）。
【００４９】
サービス要求を受信したサービス提供コンピュータ２０は、グループ認証チケット精査部２４において、提示されたグループ認証チケットを確認する（ステップＳ１６）。本確認では、グループ認証チケットに電子署名が施されていることにより、当該ユーザが所属する認証ドメイン５０−１の認証チケット発行コンピュータ３０−１を特定する。そして、当該ユーザが所属するグループを特定し、サービス提供部２５に対して、グループに基づくアクセス制御を行いつつ、サービスを提供する（ステップＳ１７）。
【００５０】
ここで提供されるサービスは、本実施例における共有サービスの場合、例えばファイル取得要求があった際には、対象のファイルに対して、該ユーザが所属するグループがアクセス権を持っているかどうかを、サービス提供部２５が確認し、ファイルを提供する、というものが挙げられる。
【００５１】
以上のような処理により、ユーザ１は自身の属する認証ドメイン５０の認証チケット発行コンピュータ３０で認証を行うだけで、認証ドメイン５０を跨ったグループの権限でサービス提供コンピュータ２０からサービスを受けることができる。
【００５２】
このように、本発明によれば、サービス提供コンピュータ２０は、ユーザ１の認証情報を有していなくても該ユーザ１の本人性を確認し且つ該ユーザ１が所定のグループに所属するということをグループ認証チケットにより確認できるようになるため、それぞれ異なった認証ドメイン５０に所属するユーザ１同士の集合として、バーチャルなグループを形成できるようになる。
【００５３】
以上、本発明の実施の形態について説明したが、本発明はこれに限定されるものではない。例えば、ユーザ利用コンピュータ１０，サービス提供コンピュータ２０，及び認証チケット発行コンピュータ３０の間で行われる通信のプロトコルはＨＴＴＰだけではなく、独自に決めたもので実装することも可能である。また、上記実施の形態では、各コンピュータの各機能をＣＧＩにより実装したが、本発明は他の実装方法であっても適用できる。
【００５４】
さらに、上記実施の形態では、グループを新規に登録する場合について説明したが、同様の手順によりグループ構成の更新が可能である。すなわち、グループを構成する各ユーザのユーザＩＤ及び該ユーザの属する認証ドメイン５０からなるグループ構成情報を含むグループ更新情報をサービス提供コンピュータ２０に送信することによりグループの更新が可能となる。なお、この場合にも、更新作業を実施するユーザが当該グループに属しているか否かは不問である。
【００５５】
さらに、上記実施の形態では、サービス提供時のユーザ利用コンピュータ１０からグループ認証チケットを取得していたが、該ユーザ利用コンピュータ１０が属する認証チケット発行コンピュータ３０から取得するようにしてもよい。以下、このような形態について図８のフローチャートを参照して説明する。
【００５６】
図８の例では、認証ドメイン５０−１に属するユーザ１−１ａがユーザ利用コンピュータ１０−１ａを用いてサービス提供コンピュータ２０からサービスを受ける場合について説明する。
【００５７】
まず、ユーザ１−１ａを所属する認証ドメイン５０−１の認証チケット発行コンピュータ３０−１に認証してもらうために、ユーザ利用コンピュータ１０−１ａは、ログイン名とパスワードといった認証情報を含む認証要求を、認証チケット発行コンピュータ３０−１に対して送信する（ステップＳ２１）。
【００５８】
認証要求を受け取った認証チケット発行コンピュータ３０−１は、ユーザ認証部３２が、ユーザ認証情報保存部３３に保存されている認証要求元ユーザの認証情報と、認証要求と共に送信されてきた認証情報とを照らし合わせて、ユーザの本人性を確認する（ステップＳ２２）。ユーザの本人性が確認されると、ユーザの認証がなされたことを証明する情報（ユーザ認証証明書）をユーザ利用コンピュータ１０−１ａに送信する（ステップＳ２３）。このユーザ認証証明書には該証明書を発行する認証チケットコンピュータ３０−１による電子署名が付されている。
【００５９】
ユーザ認証証明書を受信したユーザ利用コンピュータ１０−１ａは、サービス要求，ユーザ認証証明書，どのグループに属しているかを示すグループ情報をサービス提供コンピュータ２０に送信する（ステップＳ２４）。
【００６０】
サービス要求等を受信したサービス提供コンピュータ２０は、当該ユーザ１−１ａの属する認証ドメイン５０−１の認証チケット発行コンピュータ３０−１に対して、認証チケットの発行を要求する（ステップＳ２５）。このとき、該要求には、ユーザを識別するために、ユーザ利用コンピュータ１０−１ａから受信したユーザ認証証明書が付される。
【００６１】
グループ認証チケット要求を受信した認証チケット発行コンピュータ３０−１は、グループ認証チケット保存部３６に保存されているグループ認証チケットを取り出し（ステップＳ２６）、これに電子署名を施し、サービス提供コンピュータ２０に対して、グループ認証チケットを発行する（ステップＳ２７）。
【００６２】
グループ認証チケットを受信したサービス提供コンピュータ２０は、グループ認証チケット精査部２４において、提示されたグループ認証チケットを確認する（ステップＳ２８）。本確認では、グループ認証チケットに電子署名が施されていることにより、当該ユーザが所属する認証ドメイン５０−１の認証チケット発行コンピュータ３０−１を特定する。そして、当該ユーザが所属するグループを特定し、サービス提供部２５に対して、グループに基づくアクセス制御を行いつつ、サービスを提供する（ステップＳ２９）。
【００６３】
以上のような処理により、前述の実施形態と同様に、ユーザ１は自身の属する認証ドメイン５０の認証チケット発行コンピュータ３０で認証を行うだけで、認証ドメイン５０を跨ったグループの権限でサービス提供コンピュータ２０からサービスを受けることができる。
【００６４】
さらに、上記実施の形態では、サービス提供コンピュータ２０が属する認証ドメイン５０−４にはユーザ利用コンピュータ１０が所属していなかったが、該認証ドメイン５０にユーザ利用コンピュータ１０を所属するような形態であっても本発明を適用可能である。
【００６５】
【発明の効果】
以上詳述したように、本発明によれば、サービス提供装置は、ユーザの認証情報を有していなくても該ユーザの本人性を確認し且つ該ユーザが所定のグループに所属するということを確認できるようになるため、それぞれ異なった認証ドメインに所属するユーザ同士の集合として、バーチャルなグループを形成できるようになる。
【図面の簡単な説明】
【図１】グループ認証システム全体を示す構成図
【図２】サービス提供コンピュータの説明図
【図３】グループアカウント情報の例の説明図
【図４】認証チケット発行コンピュータの説明図
【図５】グループ認証チケットの例の説明図
【図６】グループ登録時の動作を説明するシーケンスチャート
【図７】サービス提供時の動作を説明するシーケンスチャート
【図８】他の例に係るサービス提供時の動作を説明するシーケンスチャート
【符号の説明】
１…ユーザ、１０…ユーザ利用コンピュータ、２０…サービス提供コンピュータ、２１…通信制御部、２２…グループアカウント管理部、２３…グループアカウント保存部、２４…グループ認証チケット精査部、２５…サービス提供部、３０…認証チケット発行コンピュータ、３１…通信制御部、３２…ユーザ認証部、３３…ユーザ認証情報保存部、３４…グループ認証チケット生成部、３５…グループ認証チケット管理部、３６…グループ認証チケット保存部、４０…ネットワーク、５０…認証ドメイン
【図１】
2004272380.tif 000003
【図２】
2004272380.tif 000004
【図３】
2004272380.tif 000005
【図４】
2004272380.tif 000006
【図５】
2004272380.tif 000007
【図６】
2004272380.tif 000008
【図７】
2004272380.tif 000009
【図８】
2004272380.tif 000010