(57)【要約】【課題】認証情報を動的に更新するシングルサインオンシステムの提供【解決手段】複数のウェブサーバ他に対するユーザＩＤ及びパスワードを含む認証情報並びに前記パスワードの有効期限情報を格納するシングルサインオンデータベース３００と、シングルサイン機能を制御するシングルサインオンサーバ２００とを備え、前記シングルサインオンサーバ２００が、利用者端末１００から任意のウェブサーバ他にアクセスするための認証情報を受け付けたとき、この受け付けた認証情報のパスワードが有効期限を越えているか否かを前記有効期限情報を参照して判定し、この有効期限を越えていると判定したとき、新たなパスワードを生成し、前記シングルサインオンデータベースの認証情報のパスワードを前記新たなパスワードに更新するシングルサインオンシステム。【選択図】図１
2012033042.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータである利用者端末にインターネットを介して接続され、一度の認証処理によって多数のウェブサーバ及びウェブアプリケーションへの認証を簡略化するシングルサイン機能を制御するシングルサインオンサーバと、前記シングルサインオンサーバに接続され、複数のウェブサーバ及びウェブアプリケーションに対するユーザＩＤ及びパスワードを含む認証情報並びに前記パスワードの有効期限情報を格納するシングルサインオンデータベースと、前記シングルサインオンサーバに接続され、管理者が操作する管理者端末とを備えるシングルサインオンシステムであって、前記シングルサインオンサーバが、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、前記受け付けた認証情報のパスワードが有効期限を越えているか否かを前記シングルサインオンデータベースに格納した有効期限情報を参照して判定する第１工程と、前記第１工程によって受け付けた認証情報のパスワードが有効期限を越えていると判定したとき、新たなパスワードを生成する第２工程と、前記シングルサインオンデータベースの認証情報のパスワードを前記新たなパスワードに更新する第３工程とを実行するシングルサインオンシステム。
【請求項２】
前記シングルサインオンサーバが、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、任意のウェブサーバへのログインが初回のログインか否かを判定し、初回ログインと判定したとき、前記第２工程による新たなパスワードを生成する第４工程を実行する請求項１記載のシングルサインオンシステム。
【請求項３】
コンピュータである利用者端末にインターネットを介して接続され、一度の認証処理によって多数のウェブサーバ及びウェブアプリケーションへの認証を簡略化するシングルサイン機能を制御するシングルサインオンサーバと、前記シングルサインオンサーバに接続され、複数のウェブサーバ及びウェブアプリケーションに対するユーザＩＤ及びパスワードを含む認証情報並びに前記パスワードの有効期限情報を格納するシングルサインオンデータベースと、前記シングルサインオンサーバに接続され、管理者が操作する管理者端末とを備えるコンピュータシステムのシングルサインオン方法であって、前記シングルサインオンサーバに、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、前記受け付けた認証情報のパスワードが有効期限を越えているか否かを前記シングルサインオンデータベースに格納した有効期限情報を参照して判定する第１機能と、前記第１機能によって受け付けた認証情報のパスワードが有効期限を越えていると判定したとき、新たなパスワードを生成する第２機能と、前記シングルサインオンデータベースの認証情報のパスワードを前記新たなパスワードに更新する第３機能とを実行させるシングルサインオン方法。
【請求項４】
前記シングルサインオンサーバに、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、任意のウェブサーバへのログインが初回のログインか否かを判定し、初回ログインと判定したとき、前記第２工程による新たなパスワードを生成する第４工程を実行させる請求項３記載のシングルサインオン方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、自動的に認証情報を変更することができるシングルサインオンシステム及びシングルサインオン方法に関する。
【背景技術】
【０００２】
一般にシングルサインオン（Ｓｉｎｇｌｅ  Ｓｉｇｎ−Ｏｎ）とは、一度の認証処理によって複数のコンピュータ上のリソースが利用可能になる認証機能を意味し、例えば、あるコンピュータにログインした後、グループウェア等の他のアプリケーションを使用する際に再度のログイン、他のサーバ上のウェブアプリケーションを使用する際も再度のログインするといったコンピュータ環境下において、一度の認証処理によって多数のコンピュータやウェブアプリケーションへの認証を簡略化するための機能である。
【０００３】
従来、シングルサインオンを行うコンピュータシステムとして、シングルサインオンサーバにマスターとなるユーザＩＤ（ｉｄｅｎｔｉｔｙ）とパスワードとクライアント証明書等によってログインし、そのシングルサインオンサーバに格納した情報を用いて個々のシステム、例えばウェブアプリケーションに自動的にログインする技術が実施されており、この従来技術においては、前記シングルサインオンサーバに個々のウェブアプリケーションにログインするためのユーザＩＤやパスワード等の固有の認証情報を保持している必要がある。
【０００４】
このシングルサインオンに関する技術が記載された文献としては、例えば、下記の特許文献１が挙げられ、この特許文献１には、マスターとなるユーザＩＤやパスワードの漏洩を防止するため、最初のアクセス時と異なるコンピュータからアクセスされた否かを判定する検知規則やパスワードの入力ミス回数を判定する検知規則他の複数の検知規則を制御する不正アクセス検知部を設け、この不正アクセス検知部が、複数の検知規則を基に不正アクセスを検知する技術が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００９−００３５５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
前述の特許文献１に記載された技術は、不正アクセスによるマスターとなるユーザＩＤやパスワードの漏洩を防止することができるものの、個々のシステムでのパスワード有効期限が過ぎた場合には、静的に個々のシステムへの認証情報、例えばパスワードを保持しているため、シングルサインオンサーバの利用者が個々のシステムに対するパスワードを設定し直さなければならず、シングルサインオンサーバから接続するシステムが多数になると、これらパスワードの変更作業が煩雑となり、シングルサインオンのメリットが低下するという課題があった。
【０００７】
本発明の目的は、前述の従来技術による課題を除去することであり、シングルサインサーバによる個々のシステムへのシングルサインオンにおける認証情報を動的に生成し自動で個々のサーバへの認証情報を変更することができるシングルサインオンシステム及びシングルサインオン方法を提供することである。
【課題を解決するための手段】
【０００８】
前記目的を達成するために請求項１記載の本発明は、コンピュータである利用者端末にインターネットを介して接続され、一度の認証処理によって多数のウェブサーバ及びウェブアプリケーションへの認証を簡略化するシングルサイン機能を制御するシングルサインオンサーバと、前記シングルサインオンサーバに接続され、複数のウェブサーバ及びウェブアプリケーションに対するユーザＩＤ及びパスワードを含む認証情報並びに前記パスワードの有効期限情報を格納するシングルサインオンデータベースと、前記シングルサインオンサーバに接続され、管理者が操作する管理者端末とを備えるシングルサインオンシステムであって、
前記シングルサインオンサーバが、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、前記受け付けた認証情報のパスワードが有効期限を越えているか否かを前記シングルサインオンデータベースに格納した有効期限情報を参照して判定する第１工程と、前記第１工程によって受け付けた認証情報のパスワードが有効期限を越えていると判定したとき、新たなパスワードを生成する第２工程と、前記シングルサインオンデータベースの認証情報のパスワードを前記新たなパスワードに更新する第３工程とを実行することを特徴とする。
【０００９】
請求項２記載の発明は、前記シングルサインオンシステムにおいて、前記シングルサインオンサーバが、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、任意のウェブサーバへのログインが初回のログインか否かを判定し、初回ログインと判定したとき、前記第２工程による新たなパスワードを生成する第４工程を実行することを特徴とする。
【００１０】
請求項３記載の発明は、コンピュータである利用者端末にインターネットを介して接続され、一度の認証処理によって多数のウェブサーバ及びウェブアプリケーションへの認証を簡略化するシングルサイン機能を制御するシングルサインオンサーバと、前記シングルサインオンサーバに接続され、複数のウェブサーバ及びウェブアプリケーションに対するユーザＩＤ及びパスワードを含む認証情報並びに前記パスワードの有効期限情報を格納するシングルサインオンデータベースと、前記シングルサインオンサーバに接続され、管理者が操作する管理者端末とを備えるコンピュータシステムのシングルサインオン方法であって、
前記シングルサインオンサーバに、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、前記受け付けた認証情報のパスワードが有効期限を越えているか否かを前記シングルサインオンデータベースに格納した有効期限情報を参照して判定する第１機能と、前記第１機能によって受け付けた認証情報のパスワードが有効期限を越えていると判定したとき、新たなパスワードを生成する第２機能と、前記シングルサインオンデータベースの認証情報のパスワードを前記新たなパスワードに更新する第３機能とを実行させることを特徴とする。
【００１１】
請求項４記載の発明は、前記シングルサインオン方法において、前記シングルサインオンサーバに、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、任意のウェブサーバへのログインが初回のログインか否かを判定し、初回ログインと判定したとき、前記第２工程による新たなパスワードを生成する第４工程を実行させることを特徴とする。
【発明の効果】
【００１２】
本発明によるシングルサインオンシステム及びシングルサインオン方法は、前記シングルサインオンサーバが、前記利用者端末から任意のウェブサーバ又はウェブアプリケーションにアクセスするための認証情報を受け付けたとき、前記受け付けた認証情報のパスワードが有効期限を越えているか否かを前記シングルサインオンデータベースに格納した有効期限情報を参照して判定する第１工程と、前記第１工程によって受け付けた認証情報のパスワードが有効期限を越えていると判定したとき、新たなパスワードを生成する第２工程と、前記第２工程によって生成した新たなパスワードを前記シングルサインオンサーバの認証情報のパスワードに更新する第３工程とを実行することによって、シングルサインオンにおける認証情報を動的に生成し自動で個々のサーバへの認証情報を変更することができる。
ことができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施形態によるシングルサインオンを行うコンピュータシステムを示す図
【図２】本発明の実施形態によるシングルサインオン方法の動作フローを示す図
【発明を実施するための形態】
【００１４】
以下、本発明によるシングルサインオンシステム及びシングルサインオン方法の一実施形態を図面を参照して詳細に説明する。
本実施形態によるシングルサインオンを行うコンピュータシステムは、図１に示す如く、コンピュータである利用者端末１００にインターネット６００を介して接続され、一度の認証処理によって多数のコンピュータやウェブアプリケーションへの認証を簡略化するためのシングルサイン機能を制御するシングルサインオンサーバ２００と、このシングルサインオンサーバ２００に接続され、複数のウェブ（Ｗｅｂ）サーバ４１０〜４３０に対するユーザＩＤとパスワードとクライアント証明書他の認証情報を格納するシングルサインオン（ＳＳＯ）データベース３００と、前記シングルサインオンサーバ２００に接続され、管理者が操作する管理者端末５００とを備える。
【００１５】
前記シングルサインオンデータベース３００は、シングルサインオン（ＳＳＯ）のユーザＩＤ毎に予め登録されたアプリケーション（ＡＰ）名と、前回のパスワード（ＰＷ）の更新日時と、ログインＰＷ変更手順識別子と、他アプリケーション（ＡＰ）のＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）と、この他アプリケーション（ＡＰ）のユーザＩＤと、他アプリケーション（ＡＰ）のパスワードと、このパスワードの有効期限の各項目情報を格納するものであって、例えば、シングルサインオン（ＳＳＯ）のユーザＩＤ「Ａ００００１」のユーザが、アプリケーション（ＡＰ）名が「ＡＰ０１」から「ＡＰ０４」を登録しており、アプリケーション（ＡＰ）名「ＡＰ０１」の前回のパスワード（ＰＷ）の更新日時が「２０１０／０１／２５  ０９：１２：１５」、ログインＰＷ変更手順識別子が「Ｍ」、他アプリケーション（ＡＰ）のＵＲＬが「Ａａａ・・」、この他アプリケーション（ＡＰ）のユーザＩＤが「ＡＰ０１ＡＡＡＡＡ」、他アプリケーション（ＡＰ）のパスワードが「１２３３４５」、このパスワードの有効期限が「１Ｗ」（１週間）の各項目情報を複数レコードとして格納している。
【００１６】
このように構成されたシングルサインオンシステムは、図２に示す如く、まず、事前にＳＳＯ（シングルサインオン）データベース３００にウェブサーバ４１０他へアクセスするためのユーザＩＤと初期パスワードとウェブサーバ４１０他のＵＲＬ並びにウェブサーバ４１０他のログイン手順およびパスワード変更手順を識別する情報を格納するステップ７０１と、利用者が利用者端末１００を用いてシングルサインオンサーバ２００にマスターとなるＳＳＯユーザＩＤを用いてパスワード及びクライアント証明書等によって認証しログインを行うステップ７０２と、この認証を行ったシングルサインオンサーバ２００が利用者端末１００にＡＰ選択画面（ウェブサーバのアプリケーションを選択するための画面２１０）を表示するステップ７０３と、利用者が利用者端末１００の表示部に表示された画面よりアクセスするウェブサーバ４１０他のウェブ（Ｗｅｂ）アプリケーションを選択するステップ７０４と、シングルサインオンサーバ２００がシングルサインオンデータベース３００を参照し、ユーザＩＤおよびＡＰ（ウェブアプリケーション）名をキーに検索（事例では、ＳＳＯユーザＩＤ：Ａ００００１、ＡＰ名：ＡＰ０２として説明する）し、他システムの認証で使用するユーザＩＤ、パスワード、ＵＲＬ、ログイン／パスワード変更手順識別子、パスワード有効期限を取得するステップ７０５とを実行する。
【００１７】
次いで、本シングルサインオンシステムは、シングルサインオンサーバ２００が、該当するシステム（ウェブアプリケーション）へのログインが初回のログインか否かを判定するステップ７０６と、このステップ７０６によって初回ログインでないと判定したとき、パスワード（ＰＷ）の有効期限が超過しているか否かを該当レコードの前回パスワード変更時刻がブランクであるか否かによって判定し、期限を超過していないと判定したとき、後述するステップ７１０に移行するステップ７１１と、前記ステップ７０６により初回ログインと判定したとき、または、前記ステップ７１１によって期限を超過していると判定したとき、シングルサインオンデータベース３００の該当レコードから抽出済の認証情報等を用いて該当システムにログインし、前記ステップ７０７によって生成したパスワードを用いて該当システムの更新パスワードを生成するステップ７０７と、該当のシステムに対してパスワードの更新処理を実施するステップ７０８と、前記生成した更新パスワードをシングルサインオンデータベース３００の該当レコードに格納するステップ７０９と、シングルサインオンデータベース３００の該当レコードにから取得した該当システムのユーザＩＤ及びパスワードを用いて該当システムへリダイレクトすることで、利用者端末から該当システムへのログイン（シングルサインオン）をおこなうステップ７１０とを実行する。
【００１８】
なお、前述の実施形態においてはシングルサインオンデータベース３００に格納している他システムのパスワードについては、利用者が意識する必要はないが、利用者がシングルサインオンサーバを介さず直接他システムへのアクセスを必要とする場合には、シングルサインオンサーバの認証を得ることによって、その利用者に関係する他システムへアクセスするためのパスワードを入手（画面上に表示）する手段を提供してもよく、管理者端末５００からの接続に限り他システムへアクセスするためのパスワードを入手（画面上に表示）可能としてもよい。
【００１９】
以上説明したように本実施形態によれば、シンブルサインオンサーバによるシングルサインオンを行う際に対象となるシステム（ウェブアプリケーション）群のパスワード有効期限切れ時に煩雑な操作を利用者に強いることなくセキュリティレベルを維持することができる。
【符号の説明】
【００２０】
１００  利用者端末、２００  シングルサインオンサーバ、
３００  シングルサインオンデータベース、４１０  ウェブサーバ、
５００  管理者端末、６００  インターネット
【図１】
2012033042.tif 000003
【図２】
2012033042.tif 000004