(57)【要約】【課題】  一回のログインで複数のアプリケーションへのアクセスを可能にする。【解決手段】  認証システムは、複数ユーザの人事情報が格納されている人事情報データベースと、複数のアプリケーション毎にそのアプリケーションにアクセス可能なユーザの識別コードまたはグループが設定されている、アプリケーション管理データベースと、ユーザ端末からの一回のログインで複数のアプリケーションに対する認証を可能にする認証アプリケーションと、を備える。前記認証アプリケーションは、ユーザ端末から識別コードとパスワードを受け取ると、前記人事情報データベースに対して該当するユーザの人事情報を照会し、前記人事情報に基づいて、前記アプリケーション管理データベースに格納されている権限情報を検索して、前記ユーザのアクセス権限のあるアプリケーションを決定する。   【選択図】図１
2005107984.tif 000002
【特許請求の範囲】
【請求項１】
複数ユーザの人事情報が格納されている人事情報データベースと、
複数のアプリケーション毎にそのアプリケーションにアクセス可能なユーザの識別コードまたは人事が設定されている、アプリケーション管理データベースと、
ユーザ端末からの一回のログインで複数のアプリケーションに対する認証をする認証アプリケーションと、
を備える認証システムであって、
前記認証アプリケーションは、
ユーザ端末から識別コードとパスワードを受け取ると、前記人事情報データベースに対して前記識別コードとパスワードを送信して該当するユーザの人事情報を照会する照会手段と、
前記人事情報に基づいて、前記、アプリケーション管理データベースに格納されている権限情報を検索して、前記ユーザのアクセス権限のあるアプリケーションを決定する決定手段と、
前記ユーザ端末に対し、アクセス可能なアプリケーションの情報を送信する送信手段と、
を備えることを特徴とする、ユーザ認証システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アプリケーションに対するユーザの認証システムに関する。
【背景技術】
【０００２】
現在、多くの企業の情報システムは、多種多様なプラットフォームを組み合わせて利用しており、それらのプラットフォーム上では多種多様なアプリケーションが動作している。
【０００３】
従来、ユーザが複数のアプリケーションを利用する場合、各アプリケーションは個別にユーザのＩＤやパスワードを管理していた。従って、ユーザはアプリケーション毎にユーザＩＤとパスワードとを入力し、認証を受ける必要があった（例えば、特許文献１）。
【０００４】
情報システムが複雑になりアプリケーションの種類が多くなると、アプリケーション毎に認証を受けているとユーザの手間がかかる。また、ユーザの管理するＩＤやパスワードの数も増加し、それらを覚えたり、定期的にパスワードを変更すると言ったユーザの負担が重くなってしまう。このような問題を解決すべく、一回の認証手続きで複数のアプリケーションなどにアクセスできる技術として、シングル・サインオン（Single Sign-On）が知られている。この技術では、複数のアプリケーションの認証データを一括管理するサーバを設け、このサーバに一度ログインすれば、アプリケーションにおける再度のログイン作業が不要になる。これよって、ユーザは複数のＩＤやパスワードを覚えておく負担から解放されるだけでなく、一組のＩＤとパスワードのみで高いセキュリティを実現することが可能となる。
【特許文献１】特開平１１−３１１３２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、アプリケーションに対する権限の情報としては、例えば、ユーザの企業内の職位に対して権限が与えられているものや、個別のプロジェクト毎に権限が与えられているものがあり、一回のログインでユーザの使用できるアプリケーションを決定するためには、これら両方の権限情報を参照する必要がある。このような情報が格納されているデータベースは頻繁に更新されるものであり、そのたびに認証情報をも更新するのは手間がかかる。
【０００６】
従って、本発明は、人事情報とアプリケーション毎の権限情報を参照して、各個人のアプリケーションに対する権限の認証を実行するシステムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、ユーザの人事情報と、アプリケーション毎に設定されている権限情報とを利用して、一回のログインで複数のアプリケーションへのアクセスを可能にするシステムに関する。
【０００８】
本発明の一形態によると、複数ユーザの人事情報が格納されている人事情報データベースと、複数のアプリケーション毎にそのアプリケーションにアクセス可能なユーザの識別コードまたはグループが設定されている、アプリケーション管理データベースと、ユーザ端末からの一回のログインで複数のアプリケーションに対する認証を可能にする認証アプリケーションと、を備える認証システムが提供される。前記認証アプリケーションは、ユーザ端末から識別コードとパスワードを受け取ると、前記人事情報データベースに対して前記識別コードとパスワードを送信して該当するユーザの人事情報を照会する照会手段と、前記人事情報に基づいて、前記アプリケーション管理データベースに格納されている権限情報を検索して、前記ユーザのアクセス権限のあるアプリケーションを決定する決定手段と、前記ユーザ端末に対し、アクセス可能なアプリケーションの情報を送信する送信手段と、を備える。
【発明の効果】
【０００９】
本発明のシステムによれば、人事情報データベースやアプリケーション管理データベースが更新された場合でも、認証のために更新を行う必要がなくなる。
【発明を実施するための最良の形態】
【００１０】
図１は、本発明による認証システムの全体構成図である。
【００１１】
ユーザ端末１２は、ユーザＩＤやパスワードを入力をするためのキーボード等の入力部と、アプリケーションプログラムを表示するための表示部を含む。
【００１２】
認証システム１０は、認証アプリケーション１４と、アプリケーション管理データベース１６と、人事情報ディレクトリサーバ１８を含む。
【００１３】
人事情報ディレクトリサーバ１８にはユーザ情報として、人物の名前、ユーザＩＤ番号、職位、所属、職種、グループ（チーム）等が格納されている。一例として、以下のような内容である。
【表１】
2005107984.tif 000003
【００１４】
なお、上記の例では、職位・所属はユーザに対して一対一で対応付けされ、職種・グループは一対一もしくは一対複数で対応付けされる。
【００１５】
例えば、あるユーザのユーザ情報は、
職位：課長
所属：Ａ支社製造部
職種：ラインオペレータ
グループ：ＸＡプロジェクト、安全委員
となる。
【００１６】
アプリケーション管理データベース１６には、各アプリケーションについて、どのような人物がどのような権限を持って各アプリケーションにアクセス可能かを記述した情報が格納されている。例えば、アプリケーション毎に利用できるユーザＩＤを網羅的に格納してあっても良いし、あるいは、ユーザ情報にある職位、所属、職種、グループを組み合わせて権限を設定しても良い。また、権限によってアプリケーションの使用の可・不可のみではなく、参照のみ可、一部のデータのみ参照可といった制限をかけても良い。以下、具体例をいくつか述べる。
【００１７】
例１．「職位：部長以上」または、「職種：プロジェクトリーダー」かつ「グループ：ＸＡプロジェクト」のどちらかであれば、ＸＡプロジェクトのデータ全てに対して、編集権限と参照権限の両方が与えられる。
【００１８】
例２．「グループ：ＸＡプロジェクト」であれば、ＸＡプロジェクトのデータ全ての参照権限が与えられる。
【００１９】
例３．「所属：Ａ支社製造部」であれば、ＸＡプロジェクトの参照画面を参照することができるが、画面上の一部データが表示されないように制限される。
【００２０】
認証アプリケーション１４は、ユーザ端末１２からのログイン要求を受け取ると、送信されたユーザＩＤとパスワードに基づいて、人事情報ディレクトリサーバ１８にそのユーザの人事情報を照会する。人事情報ディレクトリサーバ１８から人事情報を受け取ると、次に、認証アプリケーション１４は、その情報とアプリケーション管理データベースから受け取る権限情報とを比較して、ログインしたユーザの権限のあるアプリケーション名を決定する。従って、本システムでは、各ユーザの職位やプロジェクトの構成メンバまでも考慮したアクセス制御が実行されることになる。
【００２１】
人事情報やアプリケーションの権限情報は、頻繁に更新される。本システムでは、人事情報を利用してアプリケーションの認証作業を実行するので、職位の変更や新規プロジェクトのためにアプリケーションにアクセスするユーザに変更があっても、認証のために改めてユーザＩＤ等を割り振る必要が無くなる。
【００２２】
以下、本システムを使用した認証プロセスについて説明する。
【００２３】
ステップ１：ユーザは自己の端末からウェブブラウザ等を用いて認証アプリケーションにアクセスし、ユーザＩＤやパスワード等の認証に必要な情報を認証アプリケーションに送信してログインする。
【００２４】
ステップ２：認証アプリケーションは人事情報ディレクトリサーバに問い合わせる。
【００２５】
ステップ３：人事情報ディレクトリサーバは、ログインしてきたユーザが正規ユーザかどうかを確認し、正規ユーザであれば人事情報を付帯して認証アプリケーションに送る。
【００２６】
ステップ４：認証アプリケーションは、人事情報ディレクトリサーバから送られてきた認証情報に基づいて、ログインしてきたユーザのアプリケーションに対する権限をアプリケーション管理データベースに問い合わせ、どのアプリケーションにどのような権限があるかを決定する。
【００２７】
ステップ５：ユーザ端末には利用可能なアプリケーションのみが表示される。また、利用可能なアプリケーションのうち、ユーザの人事情報の組み合わせによって、データの参照のみ可、一部のデータのみ参照可、データの参照・編集可といった制限をかけることもできる。当然、ユーザは各アプリケーションに対して改めて認証作業を行わなくて良い。
【００２８】
以上のような認証処理を行うことによって、ユーザごとに異なる権限の制御が可能となる。結果として、ユーザ側の負担の削減と、アプリケーションへの不正アクセスを防止するという安全性を両立することが可能である。
【図面の簡単な説明】
【００２９】
【図１】本発明による認証システムの全体構成図である。
【符号の説明】
【００３０】
１０      認証システム
１２      ユーザ端末
１４      認証アプリケーション
１６      アプリケーション管理データベース
１８      人事情報ディレクトリサーバ
２０      アプリケーション
【図１】
2005107984.tif 000004