(57)【要約】【課題】既存のシステムを改変せずに、セキュリティ性を保ちながら待機時間を短縮させるアプリケーション実行システム、アプリケーション実行方法、およびそれに用いられる認証サーバ、認証プログラムを提供する。【解決手段】アプリケーション実行システム１における認証サーバ３０は、リモート接続許可された認証情報を格納する認証情報記憶部３２０を予め記憶しておき、端末１０から送信された識別情報を受信し、前記認証情報記憶部３２０の情報を用いて、前記受信した識別情報に対応するアプリケーションクライアント２０の情報を検出し、前記端末１０に送信する。それにより、前記端末１０は前記アプリケーションクライアント２０へリモート接続する。認証サーバ３０は、前記端末１０から前記アプリケーションクライアント２０へのリモート接続の間は、当該アプリケーションクライアント２０へのリモート接続を排他的なものとする。【選択図】図１
2007310686.tif 000002
【特許請求の範囲】
【請求項１】
ユーザが操作する端末と、
前記端末がリモート接続するアプリケーションクライアントと、
前記アプリケーションクライアントの指示によりアプリケーションを実行するアプリケーションサーバと、
前記端末による前記アプリケーションクライアントへのリモート接続を認証する認証サーバとがネットワークを介して通信されるシステムにおいて、
前記認証サーバは、
前記リモート接続を許可する識別情報、当該識別情報に対応するユーザを示すユーザ情報、および当該ユーザ情報に対応する前記アプリケーションクライアントの情報を関連付けて認証情報として記憶する認証情報記憶部と、
前記端末から送信された識別情報を受信する受信部と、
前記受信した識別情報に対応するアプリケーションクライアントの情報を前記認証情報記憶部の情報を用いて検出し、検出したアプリケーションクライアントの情報を、前記識別情報を送信してきた前記端末に送信する認証部とを有し、
前記端末は、
前記認証サーバから受信した前記アプリケーションクライアントの情報に基づいて、当該アプリケーションクライアントにリモート接続することで、当該アプリケーションクライアントを介して、前記アプリケーションサーバに前記アプリケーションを実行させ、
前記認証サーバは、
前記端末から前記アプリケーションクライアントへのリモート接続の間は、当該アプリケーションクライアントへのリモート接続を排他的なものとする
ことを特徴とするアプリケーション実行システム。
【請求項２】
前記端末は、ハードディスクを備えていないシンクライアント端末である
ことを特徴とする請求項１に記載のアプリケーション実行システム。
【請求項３】
前記認証サーバは、暗号鍵および復号鍵を生成し、前記暗号鍵を前記端末に、前記復号鍵を前記アプリケーションクライアントにそれぞれ送信し、
前記端末は、
前記認証サーバから受信した暗号鍵を記憶し、
送信するデータに対し、前記暗号鍵を用いて署名または証明書の付与、あるいは前記データの暗号化を行ってから前記アプリケーションクライアントへ送信し、
前記アプリケーションクライアントは、
前記認証サーバから受信した復号鍵を記憶し、
前記復号鍵を用いて、前記端末から受信した前記データに付与されている前記署名または前記証明書の検証、あるいは前記暗号化されたデータの復号化を行う
ことを特徴とする請求項１または請求項２に記載のアプリケーション実行システム。
【請求項４】
前記認証サーバは、
前記端末および前記アプリケーションクライアント間におけるリモート接続の処理情報を格納するログ情報記憶部をさらに備える
ことを特徴とする請求項１ないし請求項３のいずれか一項に記載のアプリケーション実行システム。
【請求項５】
ユーザが操作する端末と、
前記端末がリモート接続するアプリケーションクライアントと、
前記アプリケーションクライアントの指示によりアプリケーションを実行するアプリケーションサーバと、
前記端末による前記アプリケーションクライアントへのリモート接続を認証する認証サーバとがネットワークを介して通信されるシステムにおけるアプリケーション実行方法において、
前記認証サーバは、
前記リモート接続を許可する識別情報、当該識別情報に対応するユーザを示すユーザ情報、および当該ユーザ情報に対応する前記アプリケーションクライアントの情報を関連付けて認証情報として認証情報記憶部に記憶し、
前記端末から送信された識別情報を受信部を介して受信し、
前記受信した識別情報に対応するアプリケーションクライアントの情報を前記認証情報記憶部の情報を用いて検出し、検出したアプリケーションクライアントの情報を、前記識別情報を送信してきた前記端末に送信し、
前記端末は、
前記認証サーバから受信した前記アプリケーションクライアントの情報に基づいて、当該アプリケーションクライアントにリモート接続することで、当該アプリケーションクライアントを介して、前記アプリケーションサーバに前記アプリケーションを実行させ、
前記認証サーバは、
前記端末から前記アプリケーションクライアントへのリモート接続の間は、当該アプリケーションクライアントへのリモート接続を排他的なものとする
ことを特徴とするアプリケーション実行方法。
【請求項６】
ユーザが操作する端末と、
前記端末がリモート接続するアプリケーションクライアントと、
前記アプリケーションクライアントの指示によりアプリケーションを実行するアプリケーションサーバと、
前記端末による前記アプリケーションクライアントへのリモート接続を認証する認証サーバとがネットワークを介して通信され、前記端末が、前記アプリケーションクライアントへ排他的にリモート接続して、前記アプリケーションサーバに前記アプリケーションを実行させるシステムに用いられる認証サーバのアプリケーション実行方法であって、
前記リモート接続を許可する識別情報、当該識別情報に対応するユーザを示すユーザ情報、および当該ユーザ情報に対応する前記アプリケーションクライアントの情報を関連付けて認証情報記憶部に記憶し、
前記端末から送信された識別情報を受信部を介して受信し、
前記受信した識別情報に対応するアプリケーションクライアントの情報を前記認証情報記憶部の情報を用いて検出し、検出したアプリケーションクライアントの情報を、前記識別情報を送信してきた前記端末に送信し、
前記端末から前記アプリケーションクライアントへのリモート接続の間は、当該アプリケーションクライアントへのリモート接続を排他的なものとする
ことを特徴とするアプリケーション実行方法。
【請求項７】
ユーザが操作する端末と、
前記端末がリモート接続するアプリケーションクライアントと、
前記アプリケーションクライアントの指示によりアプリケーションを実行するアプリケーションサーバと、
前記端末による前記アプリケーションクライアントへのリモート接続を認証する認証サーバとがネットワークを介して通信され、前記端末が、前記アプリケーションクライアントへ排他的にリモート接続して、前記アプリケーションサーバに前記アプリケーションを実行させるシステムに用いられる認証サーバであって、
前記リモート接続を許可する識別情報、当該識別情報に対応するユーザを示すユーザ情報、および当該ユーザ情報に対応する前記アプリケーションクライアントの情報を関連付けて記憶する認証情報記憶部と、
前記端末から送信された識別情報を受信する受信部と、
前記受信した識別情報に対応するアプリケーションクライアントの情報を前記認証情報記憶部の情報を用いて検出し、検出したアプリケーションクライアントの情報を、前記識別情報を送信してきた前記端末に送信し、前記端末から前記アプリケーションクライアントへのリモート接続の間は、当該アプリケーションクライアントへのリモート接続を排他的なものとする認証部と
を有することを特徴とする認証サーバ。
【請求項８】
ユーザが操作する端末と、
前記端末がリモート接続するアプリケーションクライアントと、
前記アプリケーションクライアントの指示によりアプリケーションを実行するアプリケーションサーバと、
前記端末による前記アプリケーションクライアントへのリモート接続を認証する認証サーバとがネットワークを介して通信され、前記端末が、前記アプリケーションクライアントへ排他的にリモート接続して、前記アプリケーションサーバに前記アプリケーションを実行させるシステムにおいて、前記認証サーバとしてのコンピュータを、
前記リモート接続を許可する識別情報、当該識別情報に対応するユーザを示すユーザ情報、および当該ユーザ情報に対応する前記アプリケーションクライアントの情報を関連付けて記憶する認証情報記憶部と、
前記端末から送信された識別情報を受信する受信部と、
前記受信した識別情報に対応するアプリケーションクライアントの情報を前記認証情報記憶部の情報を用いて検出し、検出したアプリケーションクライアントの情報を、前記識別情報を送信してきた前記端末に送信し、前記端末から前記アプリケーションクライアントへのリモート接続の間は、当該アプリケーションクライアントへのリモート接続を排他的なものとする認証部
として機能させることを特徴とする認証プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアントサーバシステムのネットワークにおいて、特に、セキュリティ性および効率性を必要とする技術に関する。
【背景技術】
【０００２】
クライアントサーバを利用する公共システムなどの業務システムは、そのセキュリティ性から、業務システムに対して１人１ログインが基本仕様となっている。また、公共システムを扱う市区町村などの自治体において、地方や出張所などの規模の小さな箇所では、窓口には端末が１台しか設置されていないことが多く、その１台の端末を、複数の職員で共用して複数の業務を行っているのが現状である。
そのため、職員が来訪者への対応を行う際には、まず窓口で来訪者から用件を伺い、業務システムを使用することが分かったら、職員の自席に設置してある端末（自席端末）で起動している業務システムの自アカウントをログアウトし、その後、窓口に設置してある端末（窓口端末）の業務システムを起動し、自アカウントでログインしてから業務システムを利用する。対応が終了したら、窓口端末の業務システムの自アカウントをログアウトし、業務システムを終了させ、自席に戻って自席端末の業務システムに自アカウントでログインしなおす、という操作を行っている。
【０００３】
特許文献１は、ユーザ管理付加情報をサーバで管理することで業務を効率的に行う技術について開示している。また、特許文献２は、ＷＷＷ（World Wide Web）ブラウザを利用した業務システムの技術を開示している。
【特許文献１】特開２００５−４４９９号公報（図７）
【特許文献２】特開平１０−１７１７５５号公報（図３）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来、公共システムにおける業務システムでは、それを利用する職員が自席端末と窓口端末とでログアウト／ログイン、終了／起動などを何度も行うことで多大な時間を要しており、窓口の来訪者を待たせることにもつながっている。また、規模の小さな箇所では、１台の窓口端末を複数の職員で共用して複数の業務を行っており、それによる時間の浪費やセキュリティ性の面で問題があった。
【０００５】
また、窓口端末は、来訪者など外部の人間も容易に近づける場所に設置してあり、待機時間を短縮するために、例えばログインした状態で放置させておいた場合、外部の悪意ある人間によって情報を盗まれる可能性が大きい。また、物理的に窓口端末自体を盗難される可能性もあり、その場合のデータ流出や情報漏洩などの危険性も大きい。
【０００６】
特許文献１の技術は、端末が物理的な盗難にあった場合には、そのデータが漏洩する危険性がある。また、特許文献２の技術は、ＷＷＷブラウザに限定されたシステムにしか利用できない問題がある。
【０００７】
また、現在運用されている既存のシステムを改変することなく、前記効果が得られることが望まれている。
【０００８】
そこで、本発明は、前記問題に鑑み、既存のシステムを改変せずに、セキュリティ性を保ちながら待機時間を短縮させるアプリケーション実行システム、アプリケーション実行方法、およびそれに用いられる認証サーバ、認証プログラムを提供することを課題とする。
【課題を解決するための手段】
【０００９】
前記課題を解決する本発明は、ユーザが操作する端末と、前記端末がリモート接続するアプリケーションクライアントと、前記アプリケーションクライアントの指示によりアプリケーションを実行するアプリケーションサーバと、前記端末による前記アプリケーションクライアントへのリモート接続を認証する認証サーバとがネットワークを介して通信されるシステムにおいて、前記認証サーバは、リモート接続を許可する認証情報を記憶し、前記端末が取得した識別情報を受信し、前記受信した識別情報と、前記認証情報とを照合して、前記識別情報に対応するアプリケーションクライアントの情報を検出し、前記アプリケーションクライアントの情報を前記端末に送信し、前記端末から前記アプリケーションクライアントへのリモート接続の間は、当該アプリケーションクライアントへのリモート接続を排他的なものとすることで、前記端末は、前記アプリケーションクライアントに排他的にリモート接続し、前記アプリケーションクライアントを介して前記アプリケーションサーバに前記アプリケーションを実行させることを特徴とする。
なお、本発明は、他のアプリケーション実行方法、およびそれに用いられる認証サーバ、認証プログラムを含む。
【発明の効果】
【００１０】
本発明によれば、既存のシステムを改変せずに、セキュリティ性を保ちながら待機時間を短縮させるアプリケーション実行システム、アプリケーション実行方法、およびそれに用いられる認証サーバ、認証プログラムを提供することができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明を実施するための最良の形態（以下「実施形態」とする）について図面を参照しながら説明する。
なお、本実施形態では、市区町村の自治体において、職員（ユーザ）が窓口業務で、業務システムである公共システムを利用することを例として説明する。
【００１２】
＜システム構成＞
まず、図１を用いて本発明の実施形態に係るシステム構成について説明する。図１は、本実施形態におけるアプリケーション実行システムの構成と、本システムを構成する各要素の機能を示す図である。
本実施形態におけるアプリケーション実行システム１は、窓口端末（端末）１０、業務ネットワーク１２、業務端末（アプリケーションクライアント）２０（２０Ａ，２０Ｂ，２０Ｃ）、認証サーバ３０、業務サーバ（アプリケーションサーバ）４０（４０Ａ，４０Ｂ，４０Ｃ）から主に構成される。なお、本実施形態における「業務システム」は、業務サーバ４０の業務プログラム（アプリケーション）４００が提供する機能によって実現される概念とする。
【００１３】
窓口端末１０は、窓口で来訪者の対応のために業務システムを利用する際に、業務端末２０へのリモート接続を行うコンピュータである。窓口端末１０は、例えばシンクライアント（Thin Client）などの端末がリモートデスクトップなどの機能を備えることで具現される。
この窓口端末１０は、所定の記憶媒体などに書き込まれた一意の情報を読み取る機能をもつ識別情報読取部１００と、業務端末２０とのリモート接続を行う接続処理部１０１と、キーボード、マウスなどの入力部１１０と、画面などの出力部１１１と、業務ネットワーク１２に情報を送信するための送信部１２０と、業務ネットワーク１２から情報を受信するための受信部１２１とを備える。
識別情報読取部１００は、識別情報読取装置として窓口端末１０の外部に接続されてもよい。
接続処理部１０１は、受信部１２１を介して業務端末２０の出力結果（画面イメージ）を受信し、出力部１１１に出力する。また、入力部１１０を介して職員（ユーザ）に入力された操作情報などを、送信部１２０を介して業務端末２０へ送信する。それにより、業務端末２０に対してリモート接続が行われる。
【００１４】
窓口端末１０の識別情報読取部１００が情報を読み取る対象である読み取り先として、認証デバイス１１がある。この認証デバイス１１は、この認証デバイス１１を所有する職員（ユーザ）を特定するための一意の情報であるデバイスＩＤを含むものであり、例えば、ＩＣ（Integrated Circuit）カード、ＵＳＢ（Universal Serial Bus）キーなどが考えられる。また、識別情報読取部１００は、ユーザの指紋、指静脈などを読み取ることで情報を取得してもよく、この場合は、認証デバイス１１は不要である。
【００１５】
業務ネットワーク１２は、ある特定の組織内の独立したコンピュータネットワークであり、例えば自治体の庁内業務系ネットワークなどである。
【００１６】
業務端末２０は、窓口端末１０がリモート接続する、職員の自席に設置してある端末であり、一般的なコンピュータを用いてもよい。また、ブレード型のコンピュータや、メタフレームなどサーバ型のコンピュータを用いてもよい。この業務端末２０が、業務サーバ４０の業務プログラム４００を実行することで、業務システムの機能が提供される。
図１では、業務ネットワーク１２に、業務端末２０Ａ，２０Ｂ，２０Ｃのように複数台接続されている例が示されている。
【００１７】
業務サーバ４０は、一般的なコンピュータであり、自治体の庁内業務システムで運用されている業務プログラム４００を動作させることで業務に関する処理を行うサーバである。業務サーバ４０は、業務プログラム４００、および業務サーバ４０へのアクセスや操作ログなどを適宜取得する業務ログ情報記憶部４１０を備える。業務プログラム４００によって提供される業務システムの例としては、戸籍システム、納税システム、国民健康保険システムなどが考えられる。
なお、業務端末２０は、予め業務サーバ４０と通信可能な状態になっており、業務プログラム４００によって機能する業務システムを利用できるものとする。
図１では、業務ネットワーク１２に、業務サーバ４０Ａ，４０Ｂ，４０Ｃのように複数台接続されている例が示されており、業務サーバ４０Ａは戸籍システムを業務端末２０Ａに提供し、業務サーバ４０Ｂは納税システムを業務端末２０Ｂに提供し、業務サーバ４０Ｃは国民健康保険システムを業務端末２０Ｃに提供するものとして説明する。
【００１８】
認証サーバ３０は、一般的なコンピュータであり、窓口端末１０が業務端末２０にリモート接続する際の認証を行う。
認証サーバ３０は、窓口端末１０から受信した識別情報の認証を行う認証部３００、ＨＤＤ（Hard Disk Drive）などの記憶部３１０、窓口端末１０および業務端末２０へ業務ネットワーク１２を介して情報を送信する送信部３４０、窓口端末１０から業務ネットワーク１２を介して識別情報などを受信する受信部３４１などを備える。
認証サーバ３０の記憶部３１０は、認証に用いられる情報を管理する認証情報記憶部３２０と、接続履歴などの情報を格納するログ情報記憶部３３０とを備える。さらに、認証情報記憶部３２０は、認証ユーザ情報３２１と、接続先認証情報３２２とを備える。
【００１９】
暗号鍵生成サーバ５０は、一般的なコンピュータであり、認証サーバ３０と接続される。暗号鍵生成サーバ５０には、窓口端末１０および業務サーバ４０間の接続に用いられる暗号鍵および復号鍵を生成する暗号鍵生成部５００、生成した暗号鍵および復号鍵を格納する暗号鍵情報記憶部５１０を備える。
【００２０】
接続処理部１０１、認証部３００、業務プログラム４００、および暗号鍵生成部５００は、それぞれのコンピュータなどのメモリに展開され、ＣＰＵ（Central Processing Unit）が動作することによって機能する。ここでメモリとは、例えばＲＡＭ（Random Access Memory）やフラッシュメモリなどを含む。
【００２１】
窓口端末１０、業務端末２０、認証サーバ３０、および業務サーバ４０は、業務ネットワーク１２で物理的に接続されており、通信の際はこの業務ネットワーク１２を介して行われる。
【００２２】
＜データ＞
図２は、認証情報記憶部に保持されるデータ構成の一例を示す図である。
認証情報記憶部３２０は、２つの情報を備える。図２（ａ）は、認証ユーザ情報であり、利用許可される識別情報とそれに対応するユーザの情報を管理する。図２（ｂ）は、接続先認証情報であり、接続先として認証可能な業務端末の情報をユーザ毎に管理する。
【００２３】
認証ユーザ情報３２１の項目としては、それぞれの認証ユーザ情報を一意に識別する項番、認証デバイス情報としてデバイスの種類およびデバイスＩＤ、認証デバイス情報に対応するユーザを示す情報としてユーザＩＤ（ユーザ情報）、そのユーザＩＤに対応する生体認証、パスワードなどの情報で構成された例が示されている。
デバイスＩＤとは、認証デバイス１１に記憶される、認証デバイス１１を一意に識別する情報である。
この認証ユーザ情報３２１を参照することで、デバイスＩＤ、パスワード、生体認証などの識別情報に対応するユーザＩＤを検出する。
【００２４】
接続先認証情報３２２の項目としては、それぞれの接続先認証情報を一意に識別する項番、ユーザＩＤ、業務端末情報、所属組織、利用許可されている業務システムなどの情報で構成された例が示されている。
この接続先認証情報３２２の情報を参照することで、ユーザＩＤに対応する業務端末を検出する。
なお、所属組織、利用許可されている業務システムなどの項目は、必須ではなく、また、適宜変更されてもよい。
認証情報記憶部３２０において、認証ユーザ情報３２１のユーザＩＤは、接続先認証情報３２２のユーザＩＤとリンクしている。
【００２５】
図３は、ログ情報記憶部に保持されるデータ構成の一例を示す図である。
ログ情報記憶部３３０は、窓口端末１０および業務端末２０間の送受信に関わる認証サーバ３０の処理情報が格納される。ログ情報記憶部３３０の項目としては、ログ情報を一意に識別する項番、ログ採取された日時、処理を指示した職員（ユーザ）などを示すユーザＩＤ、処理を指示した端末を示す端末情報、接続先を示す接続先端末情報、ネットワーク情報、生成した暗号鍵および復号鍵を示す暗号鍵生成ＩＤ、事象などの情報で構成される。
なお、ユーザＩＤは、認証ユーザ情報３２１（図２の（ａ）参照）および接続先認証情報３２２（図２の（ｂ）参照）のユーザＩＤとリンクしており、暗号鍵生成ＩＤは、後記する暗号鍵情報記憶部５１０（図４参照）の暗号鍵生成ＩＤとリンクしている。
【００２６】
図４は、暗号鍵生成サーバの暗号鍵情報記憶部に保持されるデータ構成の一例を示す図である。暗号鍵情報記憶部５１０は、暗号鍵情報を一意に識別する項番、暗号鍵生成部５００が生成した暗号鍵および復号鍵について、生成した日時と、暗号鍵生成ＩＤと、暗号鍵と、復号鍵との情報を管理する。なお、暗号鍵生成ＩＤは、暗号鍵および復号鍵の組を一意に識別する情報であり、前記したとおり、ログ情報記憶部３３０の暗号鍵生成ＩＤとリンクしている。
【００２７】
＜リモート接続処理＞
図５は、本発明の実施形態に係るアプリケーション実行システムの、リモート接続処理の流れを示すフローチャートである。
【００２８】
本実施形態では、自治体の職員（ユーザ）が業務システム（戸籍システム）を利用する場合を例として説明する。
【００２９】
まず、予め業務端末２０Ａが業務サーバ４０Ａの業務プログラム４００Ａ（業務システム）を起動してログインしておく（Ｓ５０１）。これにより、業務端末２０Ａは業務サーバ４０Ａの業務プログラム４００Ａの提供する機能、つまり業務システムを利用可能な状態となる。
【００３０】
窓口端末１０は、識別情報読取部１００を介して識別情報を取得する（Ｓ５０２）。具体的には、窓口端末１０は、職員の所有する認証デバイス１１（例えば、ＩＣカード）に登録されているデバイスＩＤを、窓口端末１０の識別情報読取部１００を介して取得する。このとき用いられる認証デバイス１１は、ＩＣカードに限らず、ＵＳＢキーなどを用いてもよい。そして、デバイスＩＤの情報に加えて、入力部１１０を介して職員に適宜パスワードを入力させる。また、認証デバイス１１を不要とした生体認証の技術を用いることも可能である。さらに、それぞれを組み合わせてもよく、それによりセキュリティ性が高まる。なお、ここで取得した、デバイスＩＤおよび適宜入力されたパスワードなどの情報が、識別情報である。
【００３１】
続いて、窓口端末１０のユーザである職員が、窓口端末１０の入力部１１０を介して接続先の業務端末２０Ａを示す情報を入力することで、窓口端末１０は、自身がどの業務端末２０に接続するか、という接続先端末情報を取得する（Ｓ５０３）。この接続先端末情報は、接続先の端末を一意に識別できる情報であればよく、端末名、ＩＰアドレスなどが考えられる。
【００３２】
窓口端末１０は、ステップＳ５０２で取得した識別情報とステップＳ５０３で取得した接続先端末情報とを、送信部１２０を介して認証サーバ３０へ送信する（Ｓ５０４）。
【００３３】
図７は、窓口端末において業務端末にリモート接続する際の画面例を示す図である。ここでは、窓口端末１０が、ステップＳ５０２における識別情報と、ステップＳ５０３における接続先端末情報とを取得する。
職員は、識別情報として、窓口端末１０の識別情報読取部１００に認証デバイス１１のデバイスＩＤを読み取らせて、パスワードを入力する。さらに、接続先端末情報として、接続先の業務端末２０Ａを選択し、「リモート接続」ボタンを押下する。それにより、窓口端末１０は、識別情報および接続先端末情報を取得し、これらの取得した情報をステップＳ５０４で、認証サーバ３０へ送信する。
【００３４】
認証サーバ３０は、窓口端末１０から送信されてきた識別情報および接続先端末情報を受信部３４１を介して受信する（Ｓ５０５）。
このとき、認証サーバ３０は、処理の情報をログ情報記憶部３３０に格納する。ここで格納される情報について具体的に説明する。図３に例示されるログ情報記憶部３３０によれば、項番「１」に示されるように、日時「2006/01/01  00：00：00」に、ユーザＩＤ「X123456」の職員が、端末情報「窓口端末のＩＰアドレス」に相当する窓口端末１０を用いて、業務端末情報「業務端末のＩＰアドレス」に相当する業務端末２０Ａに対して、ネットワーク情報「業務ネットワーク」を介して、事象「接続要求」を行い、認証サーバ３０がその要求を受信したことがログとして格納される。
以下同様に、認証サーバ３０は、自身である認証サーバ３０を経由する処理が実施されるごとに、その処理の情報を、ログ情報記憶部３３０に格納する。
【００３５】
認証サーバ３０は、受信した識別情報と、認証情報記憶部３２０の情報とを照合して、接続先の業務端末２０を検出する。
【００３６】
詳しく説明すると、例えばステップＳ５０２〜Ｓ５０３で、窓口端末１０が、識別情報として、デバイスＩＤ＝「A123456」と、パスワード「****」とを取得し、接続先端末情報として「業務端末２０Ａ」を取得し、ステップＳ５０５で、認証サーバ３０がこれらの情報を受信したとする。
その場合、ステップＳ５０６で、認証サーバ３０はまず、受信した識別情報と認証ユーザ情報３２１とを照合して、図２（ａ）における項番「１」の情報と、受信したデバイスＩＤの情報およびパスワードの情報とが一致することを判別し、ユーザＩＤ＝「X123456」を検出する。なお、窓口端末１０の識別情報読取部１００が、デバイスＩＤを取得する際に、デバイスの種類の情報も取得することで、認証サーバ３０では、デバイスの種類の情報も含めた照合を行ってもよい。
続いて、認証サーバ３０は、前記検出したユーザＩＤ＝「X123456」の情報に基づいて、接続先認証情報３２２（図２（ｂ））に格納されている、当該ユーザＩＤに対応して接続許可されている業務端末情報（業務端末２０ＡのＩＰアドレス）の情報を検出し、検出した業務端末情報と、ステップＳ５０５で受信した接続先端末情報とを照合し、一致した場合には（Ｓ５０６→一致）、照合一致を示す情報をログ情報記憶部３３０に格納する（図３の項番「２」）。
【００３７】
一方、照合の結果、識別情報または接続先端末情報が認証情報記憶部３２０の情報と一致しなかった場合には（Ｓ５０６→不一致）、ステップＳ５０５に戻る。なお、図示しないが、このとき、認証サーバ３０は、照合不一致を示す情報をログ情報記憶部３３０に格納してもよく、また、認証できなかったことを通知するメッセージを窓口端末１０の画面に適宜表示させてもよい。
【００３８】
認証サーバ３０は、ステップＳ５０６において検出した業務端末２０ＡのＩＰアドレスを接続先端末情報として、窓口端末１０へ送信部３４０を介して送信し（Ｓ５０７）、窓口端末１０は、受信部１２１を介して接続先端末情報（業務端末２０ＡのＩＰアドレス）を受信する（Ｓ５０８）。これにより、以降、窓口端末１０の画面上に業務端末２０Ａの画面が表示され、窓口端末１０の入力情報が、業務端末２０Ａに反映される、つまり窓口端末１０による業務端末２０Ａへのリモート接続が可能となる。認証サーバ３０は、リモート接続成功を示す情報をログ情報記憶部３３０に格納する（図３の項番「３」）。
【００３９】
前記ステップＳ５０２〜Ｓ５０８の処理は、窓口端末１０が、職員（ユーザ）を識別する一意の情報であるデバイスＩＤを含む識別情報を認証サーバ３０に送信することで、認証サーバ３０は、受信した識別情報を、予め登録されている認証ユーザ情報３２１と照合し、リモート接続の可否を判別する。それにより、識別情報が不正であるなど、認証情報記憶部３２０にて認証されていない不正なユーザからのリモート接続を防止する、という確実な認証を実現する。
【００４０】
なお、認証された識別情報を送信してきた職員（ユーザ）による窓口端末１０から業務端末２０Ａへのリモート接続が実施されている間、認証サーバ３０は、業務端末２０Ａへの、他からのリモート接続処理を行わないようにして、業務端末２０Ａの制御権を排他的なものとする。
具体的には、認証サーバ３０は、認証された職員（ユーザ）による窓口端末１０から業務端末２０Ａへのリモート接続中に、他の窓口端末１０から、業務端末２０Ａへの接続要求を示す接続先端末情報および識別情報を受信した場合に（図５のステップＳ５０５）、ステップＳ５０６以降の処理を行わない。なお、このとき、認証サーバ３０は、リモート接続に伴う処理が行われなかったことを通知するメッセージを他の窓口端末１０の画面に適宜表示させてもよい。これにより、業務端末２０Ａは、認証された職員（ユーザ）しか利用できないものとなり、セキュリティ性が保障される。
さらに例えば、窓口端末１０からのリモート接続中は、業務端末２０Ａは、自身のキーボードにロックをかけるなどして操作を受け付けないようにし、リモート接続中を示す画面を表示させたり、画面自体を非表示にしたりすることで、当該職員以外の操作および画面閲覧を防止してもよい。それにより、セキュリティ性はさらに向上する。
【００４１】
認証サーバ３０は、暗号鍵生成サーバ５０に暗号鍵および復号鍵を生成させて、生成させた暗号鍵および復号鍵を受信する。受信した暗号鍵を窓口端末１０へ送信し（Ｓ５０９）、暗号鍵送信を示す情報をログ情報記憶部３３０に格納する（図３の項番「４」）。
窓口端末１０は、送信されてきた暗号鍵を受信し（Ｓ５１０）、記憶する。
また、認証サーバ３０は、受信した復号鍵を業務端末２０Ａへ送信し（Ｓ５１１）、復号鍵送信を示す情報をログ情報記憶部３３０に格納する（図３の項番「５」）。
業務端末２０Ａは、送信されてきた復号鍵を受信し（Ｓ５１２）、記憶する。
認証サーバ３０は、暗号鍵生成サーバ５０の暗号鍵生成部５００に指示して、生成させた暗号鍵および復号鍵を、暗号鍵情報記憶部５１０に格納させる（Ｓ５１３）。図４は、暗号鍵情報記憶部５１０に格納される暗号鍵および復号鍵の情報を例示している。
【００４２】
なお、暗号鍵生成部５００および暗号鍵情報記憶部５１０を、認証サーバ３０に含ませる形態としてもよい。その場合、暗号鍵生成サーバ５０は不要となり、ステップＳ５０９における暗号鍵を生成する処理と、ステップＳ５１１における復号鍵を生成する処理は、認証サーバ３０が実施する。
【００４３】
以降、窓口端末１０は、ステップＳ５１０で受信した暗号鍵の情報に基づいて、送信するデータやその経路についての暗号化を行い、業務端末２０Ａは、ステップＳ５１２で受信した復号鍵の情報に基づいて、窓口端末１０から送信されてきたデータやその経路の復号化を行う。これにより、秘匿情報の送受信が可能となる。
また、暗号鍵および復号鍵を、秘密鍵および公開鍵として、署名および証明書などに用いてもよい。その場合、窓口端末１０は、業務端末２０Ａへ送信するデータに署名、証明書などを付与して送信し、業務端末２０Ａは、受信したデータに付与されている署名、証明書などの検証を行うことで、送信元確認が可能となる。
【００４４】
図８は、窓口端末において、業務端末を介して業務システムが利用可能となっている画面例を示す図である。図８によれば、窓口端末１０の画面上に、ステップＳ５０３で選択した業務端末２０Ａの画面イメージが表示されており、窓口端末１０を用いて、業務サーバ４０Ａの提供する機能である戸籍システムが利用可能となっている。
【００４５】
＜リモート切断処理＞
図６は、本発明の実施形態に係るアプリケーション実行システムの、リモート接続切断処理の流れを示すフローチャートである。
職員は、窓口端末１０の入力部１１０を介して、窓口端末１０および業務端末２０Ａ間のリモート接続の切断要求を入力し、窓口端末１０は、これを取得する。窓口端末１０は、業務端末２０Ａとのリモート接続の切断要求の情報を、送信部１２０を介して認証サーバ３０へ送信し（Ｓ５２１）、認証サーバ３０は、受信部３４１を介して切断要求情報を受信する（Ｓ５２２）。認証サーバ３０の認証部３００は、窓口端末１０と業務端末２０Ａとのリモート接続を切断する（Ｓ５２３）。これにより、窓口端末１０から業務端末２０Ａへのリモート接続が終了する。
認証サーバ３０は、窓口端末１０と業務端末２０Ａとのリモート接続切断を示す情報をログ情報記憶部３３０に格納する（図３の項番「６」）。
【００４６】
本実施形態によれば、認証サーバ３０が、窓口端末１０から送信される、認証デバイス１１などの識別情報を用いて、認証された職員（ユーザ）か否かを判別して、リモート接続を許可する方法としたことで、例えば単なるパスワード入力による本人確認と比較して、セキュリティをさらに強固なものとする。
【００４７】
窓口端末１０にシンクライアントを用い、データ等を保管しない仕様としたことで、万が一物理的な盗難に遭ったり、悪意のある人間によってデータを盗み見されたりした場合にも、情報漏洩することがなくなる。なお、窓口端末１０は、外部の可搬性記憶媒体へのデータ保存や、印刷などの機能についても持たせないことが望ましい。それにより、情報漏洩防止は更に強固となる。
また、窓口端末１０に、ＯＳ（Operating System）や業務に利用するプログラムに対しての、バージョンアップ、バグ対応、ウイルス対応などを行う必要性や頻度が減少するため、全体の管理コストを低減できる。
【００４８】
職員が自席で利用している業務端末２０に、窓口端末１０からリモート接続する構成としたことで、職員は、窓口において自席の端末環境を利用することが可能となり、業務効率が向上する。
【００４９】
予め業務端末２０で業務サーバ４０の業務システムを起動し利用可能な状態としてあるので、窓口端末１０で業務システムを利用する場合に所要する時間は、窓口端末１０から業務端末２０へのリモート接続に要する時間だけとなり、窓口で来訪者を待たせる時間が短縮される。
なお、図１において、窓口端末１０から業務端末２０Ｂへリモート接続しての業務サーバ４０Ｂ（納税システム）の利用や、業務端末２０Ｃへリモート接続しての業務サーバ４０Ｃ（国民健康保険システム）の利用も可能である。そのような場合でも、本実施形態によれば、業務端末２０は予め業務サーバ４０の業務システムに起動ログイン済みであるため、窓口端末１０を用いたシステム利用に要する時間が短縮され、窓口において来訪者を待たせる時間が極力減少でき、効率性が向上する。
【００５０】
認証サーバ３０から送付される暗号鍵により、窓口端末１０および業務端末２０間の通信が暗号化されるので、安全性が確保される。また、この暗号鍵を利用して、様々な場面での署名や証明書の付与などにも活用できる。
【００５１】
従来、業務システム利用（データベースを参照・操作した場合など）のログの内容やフォーマットなどは、業務システムそれぞれの取得タイミングやログフォーマットなどに依存しており、統一管理されていない。そのため、障害時などのログ追跡の際には、多大な時間と労力を要していた。
しかし、本実施形態によれば、窓口端末１０は、必ず認証サーバ３０を経由して業務端末２０にリモート接続／切断するので、そのリモート接続に関する情報は全てログ情報記憶部３３０に格納され、ログ情報の取り漏れがなく、信頼性が向上する。さらに、本実施形態によれば、既存システム（業務サーバ４０、業務端末２０、業務ネットワーク１２）の構成や設定を変更することなく、統一されたフォーマットでリモート接続情報のログ取得が可能であり、ログ追跡に要する時間と手間を削減することが可能となる。
また、業務サーバ４０において取得した、接続および操作ログなどを、業務ログ情報記憶部４１０に適宜格納しておき、その業務システムのログ（業務ログ情報記憶部４１０）と認証サーバ３０のログ（ログ情報記憶部３３０）とを突き合わせることで、不正アクセスなどの調査の場合でも、ログイン〜業務〜ログアウトまでの一貫したログを取得することが可能となる。
【００５２】
認証サーバ３０において、自身に保管されている認証情報記憶部３２０を用いて認証部３００が認証を行うことで、既存の業務端末２０および業務サーバ４０に変更を行うことなく、既存の構成を活かしたままで、識別情報を用いた認証によってセキュリティをさらに強固にし、認証情報の一元管理が可能となる。
【００５３】
業務サーバ４０には特定の業務端末２０からの接続のみ許可し、業務端末２０には特定の窓口端末１０からの接続のみ許可する設定をそれぞれ行い、他端末からのアクセスを防ぐようにすることが好ましい。これにより、さらにセキュリティが向上する。
【００５４】
以上によれば、現在使用しているシステムの見直しを図る必要無く、現在のネットワークおよび業務システムに窓口端末１０および認証サーバ３０の装置を追加するだけで、コスト、時間、手間を最小限にした上で、前記した効果を得ることができる。つまり、セキュリティ性を保ちながら待機時間を短縮させ、住民満足度の向上を図ることが可能となる。
【００５５】
＜変形例＞
図９に、本発明におけるアプリケーション実行システムを適用した変形例を示す。図９は、前記したアプリケーション実行システム１の業務ネットワーク１２に、社内イントラネットの社内ネットワーク１７を併用した例である。図１と同じ要素については同じ符号を付し、説明も省略する。
【００５６】
図９では、業務ネットワーク１２の他に、社内ネットワーク１７が備えられている。社内ネットワーク１７は、ある特定の組織内の独立したネットワーク、例えば自治体の庁内ＯＡ（Office Automation）系ネットワークであって、業務ネットワーク１２とは物理的に接続されないネットワークである。
そして、業務サーバ４０の代わりに社内ネットワーク１７に接続される社内ＯＡサーバ４０ａは、例えば文書管理システムや、ストレージとしての機能を備える。
【００５７】
業務端末２０ａは、社内ネットワーク１７に接続され、業務ネットワーク１２における業務端末２０Ａと同様の機能をもつ。認証サーバ３０ａは、社内ネットワーク１７に接続され、業務ネットワーク１２における認証サーバ３０と同様の機能をもつ。なお、暗号鍵生成サーバ５０ａが適宜備えられてもよい。
【００５８】
この構成により、互いに接続されていない複数のネットワーク（業務ネットワーク１２，社内ネットワーク１７）があっても、窓口端末１０でどちらも最低限の所要時間で利用可能となる。
【００５９】
また、業務端末２０Ａおよび業務端末２０ａは、来訪者が物理的に触れることの不可能な場所（例えば、端末格納室など）に集めて設置し、外から施錠してもよい。
これによれば、業務端末２０Ａおよび業務端末２０ａについて、部外者による犯罪だけでなく、内部犯罪および内部不正行為なども含めた物理的な盗難に対するセキュリティ性が向上する。
【００６０】
職員は、窓口端末１０で社内ネットワーク１７および業務ネットワーク１２の両方の業務端末２０を操作することができるので、業務効率はさらに向上する。なお、この変形例では、認証サーバ３０および認証サーバ３０ａのように、複数台設置したが、それに限らず、認証サーバ３０を１台として、その認証サーバ３０にネットワークカードを２枚以上実装することによって、業務ネットワーク１２と社内ネットワーク１７とで物理的に分離しながら、両方のネットワークに接続できるようにしてもよい。
そうすることで、例えば人事異動時など、ユーザ情報の変更が発生した場合には、認証サーバ３０の認証情報記憶部３２０の情報を修正すればよいので、運用管理が容易となる。
【００６１】
また、図１、図９に示す認証サーバ３０で実行される認証部３００、認証情報記憶部３２０、ログ情報記憶部３３０などを、コンピュータにより読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラム（認証プログラム）をコンピュータシステムに読み込ませ、実行することにより、本発明の実施形態に係るアプリケーション実行システム１が実現されるものとしてもよい。
【００６２】
以上、本発明の好適な実施の形態について一例を示したが、本発明は前記実施の形態に限定されず、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
例えば、窓口に設置する窓口端末１０は１台に限らず、複数台設置し、それぞれの窓口端末１０から職員が必要に応じてそれぞれの業務端末２０（２０Ａ，２０Ｂ，２０Ｃ）にリモート接続できるようにしてもよい。
また、認証サーバ３０に備えられる認証部３００、記憶部３１０などの機能を、業務端末２０に含ませる構成としてもよい。それにより、窓口端末１０を業務ネットワーク１２に接続し、業務端末２０に設定を行うことで前記した効果を得ることができる。
さらに、産業上の利用先としては、顧客対応とその他の業務のように２種類以上の業務を並行して行う、銀行や旅行社の窓口などでも、本発明は適用可能である。
【図面の簡単な説明】
【００６３】
【図１】本実施形態におけるアプリケーション実行システムの構成と、本システムを構成する各要素の機能を示す図である。
【図２】認証情報記憶部に保持されるデータ構成の一例を示す図である。図２（ａ）は、認証ユーザ情報であり、利用許可される識別情報とそれに対応するユーザの情報を管理する。図２（ｂ）は、接続先認証情報であり、接続先として認証可能な業務端末の情報をユーザ毎に管理する。
【図３】ログ情報記憶部に保持されるデータ構成の一例を示す図である。
【図４】暗号鍵生成サーバの暗号鍵情報記憶部に保持されるデータ構成の一例を示す図である。
【図５】本発明の実施形態に係るアプリケーション実行システムの、リモート接続処理の流れを示すフローチャートである。
【図６】本発明の実施形態に係るアプリケーション実行システムの、リモート接続切断処理の流れを示すフローチャートである。
【図７】窓口端末において業務端末にリモート接続する際の画面例を示す図である。
【図８】窓口端末において業務端末を介して業務システムが利用可能となっている画面例を示す図である。
【図９】本発明におけるアプリケーション実行システムを適用した変形例を示す図である。
【符号の説明】
【００６４】
１      アプリケーション実行システム
１０    窓口端末
１１    認証デバイス
１２    業務ネットワーク
２０    業務端末
３０    認証サーバ
３００  認証部
３１０  記憶部
３２０  認証情報記憶部
３３０  ログ情報記憶部
４０    業務サーバ
４００  業務プログラム
４１０  業務ログ情報記憶部
５０    暗号鍵生成サーバ
５００  暗号鍵生成部
５１０  暗号鍵情報記憶部
【図１】
2007310686.tif 000003
【図２】
2007310686.tif 000004
【図３】
2007310686.tif 000005
【図４】
2007310686.tif 000006
【図５】
2007310686.tif 000007
【図６】
2007310686.tif 000008
【図７】
2007310686.tif 000009
【図８】
2007310686.tif 000010
【図９】
2007310686.tif 000011