(57)【要約】      （修正有）【課題】第１の認証機能によりサービスの提供を管理しつつ、第２の認証機能によるサービスの提供を管理できるようにした情報処理システムを提供する。【解決手段】第１及び第２の情報処理装置を有する情報処理システム１であって、第１の情報処理装置は第１ユーザ情報管理手段と第１の認証情報の正当性を第１のユーザ情報を用いて判定する第１認証処理手段とを有し、第２の情報処理装置は第２ユーザ情報管理手段と第２の認証情報の正当性を第２のユーザ情報を用いて判定する第２認証処理手段とユーザが操作する装置からのアクセスが第１又は第２のユーザ情報で識別されるユーザによるものかを判別し、受信した第１又は第２の認証情報の正当性を第１又は第２認証処理手段に判定させる判別手段と正当性が判定された第１又は第２のユーザ情報で識別されるユーザが操作する装置にサービスを提供するサービス提供手段とを有する。【選択図】図１
2016062215.tif 000002
【特許請求の範囲】
【請求項１】
第１の認証機能により認証を行う第１の情報処理装置と、第２の認証機能により認証を行う第２の情報処理装置と、を有する情報処理システムであって、
第１の情報処理装置は、
第１のユーザ情報を管理する第１ユーザ情報管理手段と、
受信した第１の認証情報の正当性を前記第１のユーザ情報を用いて判定する第１認証処理手段と、を有し、
第２の情報処理装置は、
第２のユーザ情報を管理する第２ユーザ情報管理手段と、
受信した第２の認証情報の正当性を前記第２のユーザ情報を用いて判定する第２認証処理手段と、
ユーザが操作する装置からのアクセスが前記第１のユーザ情報で識別されるユーザによるものか、前記第２のユーザ情報で識別されるユーザによるものかを判別し、前記アクセスが前記第１のユーザ情報で識別されるユーザによるものと判別された場合に、受信した第１の認証情報の正当性を前記第１認証処理手段に判定させ、前記アクセスが前記第２のユーザ情報で識別されるユーザによるものと判別された場合に、受信した第２の認証情報の正当性を前記第２認証処理手段に判定させる判別手段と、
正当性が判定された前記第１又は第２のユーザ情報で識別されるユーザが操作する装置にサービスを提供するサービス提供手段と、を有する
ことを特徴とする情報処理システム。
【請求項２】
前記判別手段は、前記アクセスが前記第１のユーザ情報で識別されるユーザによるものと判別された場合、前記ユーザが操作する装置に、前記第１認証処理手段のログイン画面を表示させ、前記ログイン画面に入力された前記第１の認証情報の正当性が前記第１認証処理手段により判定されたあとで、リダイレクトにより前記ユーザが操作する装置を前記サービス提供手段にアクセスさせること
を特徴とする請求項１記載の情報処理システム。
【請求項３】
前記判別手段は、前記アクセスが前記第１のユーザ情報で識別されるユーザによるものと判別された場合、前記ユーザが操作する装置に、前記第１認証処理手段のログイン画面を表示させ、前記ログイン画面に入力された前記第１の認証情報の正当性が前記第１認証処理手段により判定されたあとで、自動ＰＯＳＴにより前記ユーザが操作する装置を前記サービス提供手段にアクセスさせること
を特徴とする請求項１記載の情報処理システム。
【請求項４】
前記判別手段は、前記ユーザが操作する装置に、前記第２認証処理手段のログイン画面を表示させ、前記ログイン画面に入力された前記第１の認証情報の正当性が前記第１認証処理手段により判定されたあとで、リダイレクトにより前記ユーザが操作する装置を前記サービス提供手段にアクセスさせること
を特徴とする請求項１記載の情報処理システム。
【請求項５】
前記判別手段は、前記ユーザが操作する装置に、前記第２認証処理手段のログイン画面を表示させ、前記ログイン画面に入力された前記第１の認証情報の正当性が前記第１認証処理手段により判定されたあとで、自動ＰＯＳＴにより前記ユーザが操作する装置を前記サービス提供手段にアクセスさせること
を特徴とする請求項１記載の情報処理システム。
【請求項６】
前記第２の情報処理装置は、前段に第３の情報処理装置を設け、前記第３の情報処理装置に組み込んだエージェントで前記第２の認証情報の正当性を前記第２のユーザ情報を用いて判定すること
を特徴とする請求項１記載の情報処理システム。
【請求項７】
前記ユーザが操作する装置は、
前記第１又は第２の認証情報の入力をユーザから受け付ける入力手段と、
ユーザからの入力を受け付けた前記第１又は第２の認証情報を前記第２認証処理手段に送信する送信手段と、
前記第２認証処理手段から前記第１認証処理手段へのアクセス指示を受け付けた場合に前記第１の認証情報を前記第１認証処理手段に送信して、前記第１認証処理手段から前記第１の認証情報の正当性が判別されたユーザであることを示す認証済み情報を受信する受信手段と、
前記第２認証処理手段から前記第２の認証情報の正当性が判別されたユーザであることを示す認証済み情報を受信した場合に、該認証済み情報を用いて前記サービス提供手段にサービスの提供を要求し、前記第１認証処理手段から前記第１の認証情報の正当性が判別されたユーザであることを示す認証済み情報を受信した場合に、該認証済み情報を用いて前記サービス提供手段にサービスの提供を要求するサービス要求手段と、を有すること
を特徴とする請求項１記載の情報処理システム。
【請求項８】
前記第２の情報処理装置は、前記第１ユーザ情報管理手段から前記第１のユーザ情報の一覧を取得し、ユーザにより選択された前記第１のユーザ情報を前記第２のユーザ情報として登録するユーザ登録手段を更に有する
ことを特徴とする請求項１乃至７何れか一項記載の情報処理システム。
【請求項９】
前記ユーザ登録手段は、前記第１ユーザ情報管理手段から取得した前記第１のユーザ情報のうち、前記第２ユーザ情報管理手段に登録できる前記第１のユーザ情報の一覧を表示する
ことを特徴とする請求項８記載の情報処理システム。
【請求項１０】
前記第２の情報処理装置は、前記ユーザ登録手段により登録される前記第２のユーザ情報の数の上限をチェックするライセンス管理手段を更に有する
ことを特徴とする請求項８又は９記載の情報処理システム。
【請求項１１】
前記第２の情報処理装置は、ユーザにより新規登録された前記第２のユーザ情報を前記第２ユーザ情報管理手段に登録すると共に、登録した前記第２のユーザ情報に基づく前記第１のユーザ情報の登録を前記第１ユーザ情報管理手段に要求する新規ユーザ登録手段を更に有する
ことを特徴とする請求項１乃至１０何れか一項記載の情報処理システム。
【請求項１２】
前記第１の情報処理装置は、前記第１ユーザ情報管理手段で前記第１のユーザ情報に変更があった場合に、前記第２ユーザ情報管理手段に通知する通知手段を更に有する
ことを特徴とする請求項１乃至１１何れか一項記載の情報処理システム。
【請求項１３】
前記第２の情報処理装置は、ユーザから前記第２のユーザ情報の削除要求を受け付けると前記第２ユーザ情報管理手段が管理する前記第２のユーザ情報を削除する第２の削除手段を更に有する
ことを特徴とする請求項１乃至１２何れか一項記載の情報処理システム。
【請求項１４】
前記第１の情報処理装置は、ユーザから前記第１のユーザ情報の削除要求を受け付けると前記第１ユーザ情報管理手段が管理する前記第１のユーザ情報を削除すると共に、削除した前記第１のユーザ情報を前記第２ユーザ情報管理手段に通知して、削除した前記第１のユーザ情報に対応する前記第２のユーザ情報を削除させる第１の削除手段を更に有する
ことを特徴とする請求項１乃至１２何れか一項記載の情報処理システム。
【請求項１５】
第１の認証情報の正当性を第１のユーザ情報を用いて判定する第１の認証機能により認証を行う第１の情報処理装置と、第２の認証情報の正当性を第２のユーザ情報を用いて判定する第２の認証機能により認証を行う第２の情報処理装置と、を有する情報処理システムが行う認証方法であって、
ユーザが操作する装置からのアクセスが前記第１のユーザ情報で識別されるユーザによるものか、前記第２のユーザ情報で識別されるユーザによるものかを判別する判別ステップと、
前記アクセスが前記第１のユーザ情報で識別されるユーザによるものと判別された場合に、受信した第１の認証情報の正当性を前記第１の認証機能に判定させ、前記アクセスが前記第２のユーザ情報で識別されるユーザによるものと判別された場合に、受信した第２の認証情報の正当性を前記第２の認証機能に判定させる判定ステップと、
正当性が判定された前記第１又は第２のユーザ情報で識別されるユーザが操作する装置にサービスを提供するサービス提供ステップと、を有する
ことを特徴とする認証方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は情報処理システム及び認証方法に関する。
【背景技術】
【０００２】
デジタル複合機と連携して動作するサービスを提供するサービスサーバに対してユーザの認証情報の隠蔽とユーザ情報の共有をはかるユーザ情報提供システムは従来から知られている（例えば特許文献１参照）。
【０００３】
特許文献１に記載のユーザ情報提供システムは、複合機を介してサービス提供装置を利用する際にユーザ認証を行うと共にサービス提供装置にユーザ情報を提供するシステムであって、認証装置はユーザの識別情報に関連付けて認証情報及びユーザ情報を保持し、複合機に対するユーザの認証情報の入力に基づいてユーザ認証を行い、認証によって当該複合機に当該ユーザ識別情報を送信し、当該識別情報の受信により複合機を介したサービス提供装置へのアクセスが許容され、サービス提供装置は、複合機からのサービス要求および識別情報の受信により、該識別情報を認証装置に送信することにより、認証装置から送信されるユーザ情報を取得していた。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
近年、クラウドサービスに代表されるようなＷｅｂアプリケーションやサーバ側のアプリケーションの機能をサービスとして提供する利用形態が注目されている。このような利用形態においては、一般的に、サービスの提供を受ける為に認証が必要となる。
【０００５】
例えば複数の既存サービスがそれぞれ異なる認証基盤で認証を行っている場合、一度の認証処理により複数の既存サービスが利用可能となるように、シングルサインオン（ＳＳＯ）を新体系の認証機能として採用することがあった。しかしながら、既存サービスを利用している全てのユーザが既存の認証機能から新体系の認証機能に移行することを望むとは限らない。
【０００６】
したがって、既存（旧体系）の認証機能によるサービスの提供を望むユーザには旧体系の認証機能による認証結果に基づき、サービスの提供を継続する必要があった。また、新体系の認証機能によるサービスの提供を望むユーザには新体系の認証機能による認証結果に基づき、サービスの提供ができるようにする必要があった。
【０００７】
本発明の実施の形態は、第１の認証機能によりサービスの提供を管理しつつ、第２の認証機能によるサービスの提供を管理できるようにした情報処理システムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、本願請求項１は、第１の認証機能により認証を行う第１の情報処理装置と、第２の認証機能により認証を行う第２の情報処理装置と、を有する情報処理システムであって、第１の情報処理装置は、第１のユーザ情報を管理する第１ユーザ情報管理手段と、受信した第１の認証情報の正当性を前記第１のユーザ情報を用いて判定する第１認証処理手段と、を有し、第２の情報処理装置は、第２のユーザ情報を管理する第２ユーザ情報管理手段と、受信した第２の認証情報の正当性を前記第２のユーザ情報を用いて判定する第２認証処理手段と、ユーザが操作する装置からのアクセスが前記第１のユーザ情報で識別されるユーザによるものか、前記第２のユーザ情報で識別されるユーザによるものかを判別し、前記アクセスが前記第１のユーザ情報で識別されるユーザによるものと判別された場合に、受信した第１の認証情報の正当性を前記第１認証処理手段に判定させ、前記アクセスが前記第２のユーザ情報で識別されるユーザによるものと判別された場合に、受信した第２の認証情報の正当性を前記第２認証処理手段に判定させる判別手段と、正当性が判定された前記第１又は第２のユーザ情報で識別されるユーザが操作する装置にサービスを提供するサービス提供手段と、を有することを特徴とする。
【発明の効果】
【０００９】
このように、本発明の実施の形態によれば、第１の認証機能によりサービスの提供を管理しつつ、第２の認証機能によるサービスの提供を管理できる。
【図面の簡単な説明】
【００１０】
【図１】本実施形態に係る情報処理システムの一例の構成図である。
【図２】本実施形態に係るコンピュータの一例のハードウェア構成図である。
【図３】本実施形態に係る電子機器の一例のハードウェア構成図である。
【図４】本実施形態に係る認証装置の一例の処理ブロック図である。
【図５】ＩｄＰのユーザテーブルの一例の構成図である。
【図６】本実施形態に係る既存サービス提供装置の一例の処理ブロック図である。
【図７】ＳＰのユーザテーブルの一例の構成図である。
【図８】ＳＰのテナントテーブルの一例の構成図である。
【図９】本実施形態に係る情報処理システムのログイン時の動作について説明するための一例の図である。
【図１０】端末装置のブラウザからのログイン処理の一例のシーケンス図である。
【図１１】サービス提供システムのログイン画面の一例のイメージ図である。
【図１２】端末装置のブラウザからのログイン処理の他の例のシーケンス図である。
【図１３】端末装置のブラウザからのログイン処理の他の例のシーケンス図である。
【図１４】端末装置のブラウザからのログイン処理の他の例のシーケンス図である。
【図１５】端末装置のブラウザからのログイン処理の他の例のシーケンス図である。
【図１６】端末装置のブラウザからのログイン処理の他の例のシーケンス図である。
【図１７】電子機器のアプリからのログイン処理の一例のフローチャートである。
【図１８】ユーザ一覧から選択してユーザ登録する場合の一例の画面遷移図である。
【図１９】ユーザ登録処理の一例のシーケンス図である。
【図２０】新規にユーザ登録するユーザ登録画面の一例の画面イメージ図である。
【図２１】新規にユーザ登録するユーザ登録処理の一例のシーケンス図である。
【図２２】新規にユーザ登録するユーザ登録処理の他の例のシーケンス図である。
【図２３】ユーザ情報を変更するユーザ情報編集画面の一例の画面イメージ図である。
【図２４】ユーザ情報を編集するユーザ情報編集処理の一例のシーケンス図である。
【図２５】ユーザ情報を削除するユーザ削除処理の一例のシーケンス図である。
【図２６】ユーザ情報を削除するユーザ削除処理の他の例のシーケンス図である。
【図２７】ＳＤＫによる既存サービス提供装置の一例の構成図である。
【発明を実施するための形態】
【００１１】
次に、本発明の実施の形態について、詳細に説明する。
［第１の実施形態］
＜システム構成＞
図１は本実施形態に係る情報処理システムの一例の構成図である。図１の情報処理システム１は、ユーザシステム５、サービス提供システム６及び既存サービスシステム７を有する。ユーザシステム５、サービス提供システム６及び既存サービスシステム７はＬＡＮやインターネットなどのネットワークＮ４を介して接続されている。
【００１２】
ユーザシステム５はユーザが操作する端末装置１１、複数人のユーザが共用する電子機器１２、ファイアウォール（ＦＷ）１３がＬＡＮなどのネットワークＮ１を介して接続されている。ネットワークＮ１はＦＷ１３を介してネットワークＮ４に接続される。ＦＷ１３は不正なアクセスを検出及び遮断する。
【００１３】
例えば端末装置１１は一般的なＯＳ等が搭載された情報処理装置（コンピュータ）により実現できる。端末装置１１は、タブレット端末、ＰＣ、スマートフォンや携帯電話などのユーザが操作可能な装置である。
【００１４】
電子機器１２は複数人のユーザが共用する複合機（ＭＦＰ）やコピー機、スキャナ、プリンタ、レーザプリンタ、プロジェクタ、電子黒板などの機器である。なお、図１に示したユーザシステム５は端末装置１１及び電子機器１２が、それぞれ一台である例を示しているが複数台であってもよい。
【００１５】
サービス提供システム６は認証装置２１、１台以上のサービス提供装置２２、ＦＷ２３がＬＡＮなどのネットワークＮ２を介して接続されている。ネットワークＮ２はＦＷ２３を介してネットワークＮ４に接続されている。ＦＷ２３は不正なアクセスを検出及び遮断する。
【００１６】
例えば認証装置２１、サービス提供装置２２は一般的なＯＳ等が搭載された情報処理装置により実現できる。サービス提供システム６はサービスを提供するための１台以上の情報処理装置によって構成される。認証装置２１はサービス提供システム６のサービスを利用するユーザの認証に関する処理を行う。サービス提供装置２２は認証装置２１で認証されたユーザにサービスを提供する。なお、認証装置２１及びサービス提供装置２２は一台のコンピュータに統合して実現してもよいし、複数のコンピュータに分散して実現してもよい。
【００１７】
既存サービスシステム７は１台以上の既存サービス提供装置３２がＬＡＮなどのネットワークＮ３を介して接続されている。ネットワークＮ３はＦＷ３３を介してネットワークＮ４に接続される。ＦＷ３３は不正なアクセスを検出及び遮断する。
【００１８】
例えば既存サービス提供装置３２は一般的なＯＳ等が搭載された情報処理装置により実現できる。既存サービスシステム７は既存サービスを提供するための１台以上の情報処理装置によって構成される。既存サービスシステム７は例えば電子機器１２に搭載されたアプリと連携して既存サービスを提供する。
【００１９】
既存サービス提供装置３２は既存サービスを利用可能なユーザとして認証されたユーザに既存サービスを提供する。なお、既存サービス提供装置３２は一台のコンピュータに統合して実現してもよいし、複数のコンピュータに分散して実現してもよい。
【００２０】
図１の情報処理システム１ではサービス提供システム６が新体系の認証機能により認証を行っているものとする。また、図１の情報処理システム１では既存サービスシステム７が既存（旧体系）の認証機能により認証を行っているものとする。
【００２１】
既存サービスシステム７ではサービスを利用するユーザが新体系の認証機能により認証を行うユーザか既存の認証機能により認証を行うユーザかを判別する。サービスを利用するユーザが新体系の認証機能により認証を行うユーザであると判別すると、既存サービスシステム７はサービス提供システム６に認証を行わせる。サービスを利用するユーザが既存の認証機能により認証を行うユーザであると判別すると、既存サービスシステム７は自分で認証を行う。
【００２２】
本実施形態に係る情報処理システム１では既存サービスシステム７に、新体系の認証機能により認証を行うユーザか既存の認証機能により認証を行うユーザかを判別する仕組みを設けている。
【００２３】
したがって、本実施形態に係る情報処理システム１は既存の認証機能により認証を行うユーザに対して既存の認証機能によりサービスの提供を管理しつつ、新体系の認証機能により認証を行うユーザに対して新体系の認証機能によりサービスの提供を管理できる。
【００２４】
＜ハードウェア構成＞
端末装置１１、認証装置２１、サービス提供装置２２及び既存サービス提供装置３２は例えば図２に示すハードウェア構成のコンピュータにより実現される。図２は本実施形態に係るコンピュータの一例のハードウェア構成図である。
【００２５】
図２に示したコンピュータ５００は、入力装置５０１、表示装置５０２、外部Ｉ／Ｆ５０３、ＲＡＭ５０４、ＲＯＭ５０５、ＣＰＵ５０６、通信Ｉ／Ｆ５０７、及びＨＤＤ５０８などを備え、それぞれがバスＢで相互に接続されている。なお、入力装置５０１及び表示装置５０２は必要なときに接続して利用する形態であってもよい。
【００２６】
入力装置５０１はキーボードやマウスなどを含み、ユーザが各操作信号を入力するのに用いられる。表示装置５０２はディスプレイなどを含み、コンピュータ５００による処理結果を表示する。
【００２７】
通信Ｉ／Ｆ５０７は、コンピュータ５００をネットワークＮ１〜Ｎ３に接続するインタフェースである。これにより、コンピュータ５００は通信Ｉ／Ｆ５０７を介してデータ通信を行うことができる。
【００２８】
ＨＤＤ５０８はプログラムやデータを格納している不揮発性の記憶装置である。格納されるプログラムやデータは、例えばコンピュータ５００全体を制御する基本ソフトウェアであるＯＳや、ＯＳ上において各種機能を提供するアプリケーションソフトウェアなどである。
【００２９】
外部Ｉ／Ｆ５０３は、外部装置とのインタフェースである。外部装置には、記録媒体５０３ａなどがある。これにより、コンピュータ５００は外部Ｉ／Ｆ５０３を介して記録媒体５０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体５０３ａにはフレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリなどがある。
【００３０】
ＲＯＭ５０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。ＲＯＭ５０５には、コンピュータ５００の起動時に実行されるＢＩＯＳ、ＯＳ設定、及びネットワーク設定などのプログラムやデータが格納されている。ＲＡＭ５０４は、プログラムやデータを一時保持する揮発性の半導体メモリである。
【００３１】
ＣＰＵ５０６は、ＲＯＭ５０５やＨＤＤ５０８などの記憶装置からプログラムやデータをＲＡＭ５０４上に読み出し、処理を実行することで、コンピュータ５００全体の制御や機能を実現する演算装置である。本実施形態に係る端末装置１１、認証装置２１、サービス提供装置２２及び既存サービス提供装置３２は、上記したコンピュータ５００のハードウェア構成により後述するような各種処理を実現できる。
【００３２】
図１の電子機器１２の一例である複合機６００は例えば図３に示すハードウェア構成のコンピュータにより実現される。図３は本実施形態に係る電子機器の一例のハードウェア構成図である。
【００３３】
図３に示す複合機６００は、コントローラ６０１、操作パネル６０２、外部Ｉ／Ｆ６０３、通信Ｉ／Ｆ６０４、プリンタ６０５及びスキャナ６０６などを備える。
【００３４】
コントローラ６０１はＣＰＵ６１１、ＲＡＭ６１２、ＲＯＭ６１３、ＮＶＲＡＭ６１４及びＨＤＤ６１５などを備える。ＲＯＭ６１３は、各種プログラムやデータが格納されている。ＲＡＭ６１２はプログラムやデータを一時保持する。ＮＶＲＡＭ６１４は、例えば設定情報等が格納されている。また、ＨＤＤ６１５は各種プログラムやデータが格納されている。
【００３５】
ＣＰＵ６１１は、ＲＯＭ６１３やＮＶＲＡＭ６１４、ＨＤＤ６１５などからプログラムやデータ、設定情報等をＲＡＭ６１２上に読み出し、処理を実行することで、複合機６００全体の制御や機能を実現する。
【００３６】
操作パネル６０２はユーザからの入力を受け付ける入力部と、表示を行う表示部とを備えている。外部Ｉ／Ｆ６０３は外部装置とのインタフェースである。外部装置には、記録媒体６０３ａなどがある。これにより、複合機６００は外部Ｉ／Ｆ６０３を介して記録媒体６０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体６０３ａにはＩＣカード、フレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリ等がある。
【００３７】
通信Ｉ／Ｆ６０４は、複合機６００をネットワークＮ１に接続させるインタフェースである。これにより、複合機６００は通信Ｉ／Ｆ６０４を介してデータ通信を行うことができる。プリンタ６０５は印刷データを用紙に印刷するための印刷装置である。スキャナ６０６は原稿から画像データ（電子データ）を読み取るための読取装置である。
【００３８】
＜ソフトウェア構成＞
《サービス提供システムの認証装置》
サービス提供システム６の認証装置２１は例えば図４に示す処理ブロックにより実現される。図４は本実施形態に係る認証装置の一例の処理ブロック図である。図４の認証装置２１はプログラムを実行することにより、ユーザ情報管理部１０１、認証処理部１０２を実現している。
【００３９】
ユーザ情報管理部１０１は新体系の認証機能により認証を行うユーザのユーザ情報を例えば図５に示すユーザテーブルにより管理している。図５はＩｄＰのユーザテーブルの一例の構成図である。ユーザテーブルは、テナントＩＤ、ユーザＩＤ、パスワード及び名前などを対応付けて管理する。
【００４０】
テナントＩＤは企業、部署、組織などのグループを特定する情報である。ユーザＩＤ及びパスワードは新体系の認証機能により認証を行うユーザを特定する情報である。名前は新体系の認証機能により認証を行うユーザの名前である。
【００４１】
認証処理部１０２は認証情報によるログイン要求を受け付け、図５のユーザテーブルを用いて認証情報の認証（認証情報の正当性の判定）を行う。認証処理部１０２は認証に成功すると、ログイン要求元である端末装置１１や電子機器１２、既存サービス提供装置３２などに認証チケット（以下ＩｄＰ認証チケットと呼ぶ）を発行する。
【００４２】
また、認証処理部１０２はＩｄＰ認証チケットの検証要求を受け付け、そのＩｄＰ認証チケットの検証を行う。認証処理部１０２はＩｄＰ認証チケットに対応するユーザ情報を検証要求元である既存サービス提供装置３２などに返す。
【００４３】
《既存サービス提供装置》
既存サービスシステム７の既存サービス提供装置３２は例えば図６に示す処理ブロックにより実現される。図６は本実施形態に係る既存サービス提供装置の一例の処理ブロック図である。図６の既存サービス提供装置３２はプログラムを実行することにより、ユーザ情報管理部１２１、認証処理部１２２、サービス提供部１２３、テナント新旧判別部１２４を実現している。
【００４４】
ユーザ情報管理部１２１は、既存の認証機能により認証を行うユーザのユーザ情報を例えば図７に示すユーザテーブルにより管理している。図７はＳＰのユーザテーブルの一例の構成図である。ユーザテーブルは、テナントＩＤ、ユーザＩＤ、パスワード、名前、住所、電話番号（Ｔｅｌ）などを対応付けて管理する。
【００４５】
テナントＩＤは企業、部署、組織などのグループを特定する情報である。ユーザＩＤ及びパスワードは既存の認証機能により認証を行うユーザを特定する情報である。名前、住所及び電話番号は、既存の認証機能により認証を行うユーザの名前、住所及び電話番号である。
【００４６】
認証処理部１２２は認証情報によるログイン要求を受け付け、図７のユーザテーブルを用いて認証情報の認証を行う。認証処理部１２２は認証に成功すると、ログイン要求元である端末装置１１や電子機器１２などに認証チケット（以下ＳＰ認証チケットと呼ぶ）を発行する。
【００４７】
サービス提供部１２３は、有効なＩｄＰ認証チケット又は有効なＳＰ認証チケットを利用したサービスの利用要求を受け付けると、サービスの利用要求元である端末装置１１や電子機器１２などにサービスを提供する。テナント新旧判別部１２４は、サービスの利用要求を受け付けたユーザが新体系の認証機能により認証を行う新テナントのユーザか既存の認証機能により認証を行う旧テナントのユーザかを図８に示すテナントテーブルにより判別する。
【００４８】
図８はＳＰのテナントテーブルの一例の構成図である。テナントテーブルは、テナントＩＤ、テナント名、ユーザ上限情報、テナント新旧情報などを対応付けて管理する。テナント新旧情報はサービスを利用するユーザが新体系の認証機能により認証を行う新テナントのユーザか既存の認証機能により認証を行う旧テナントのユーザかを示す情報の一例である。なお、サービス提供部１２３は新テナントのユーザであると判別されると、ＩｄＰ認証チケットの検証をサービス提供システム６に要求することで、有効なＩｄＰ認証チケットであるか否かを判定できる。
【００４９】
なお、図８のテナントテーブルは既存サービス提供装置３２が有償ライセンスに基づいて利用可能なサービスである場合に、テナント毎に、ライセンス契約に応じたユーザ上限が設定されている。
【００５０】
＜処理の詳細＞
以下では、本実施形態に係る情報処理システム１の処理の詳細について説明する。図９は本実施形態に係る情報処理システムのログイン時の動作について説明するための一例の図である。
【００５１】
なお、図９の情報処理システム１ではＳＳＯにおけるＩｄＰ（Ｉｄｅｎｔｉｔｙ  Ｐｒｏｖｉｄｅｒ）としての役割をサービス提供システム６の認証装置２１が担う。図９の情報処理システム１ではＳＳＯにおけるＳＰ（Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）としての役割を既存サービスシステム７の既存サービス提供装置３２が担う。
【００５２】
既存の認証機能により認証を行う旧テナントのユーザの場合、端末装置１１に搭載されたブラウザからのログインも、電子機器１２に搭載されたアプリからのログインも、既存サービスシステム７に対して行われる。
【００５３】
また、新体系の認証機能により認証を行う新テナントのユーザの場合、電子機器１２に搭載されたアプリからのログインはサービス提供システム６が認証するが、２つの方式によりログイン画面を使い分けることができる。新体系の認証機能により認証を行う新テナントのユーザの場合も端末装置１１に搭載されたブラウザからのログインはサービス提供システム６が認証するが、２つの方式によりログイン画面を使い分けることができる。
【００５４】
例えばサービス提供システム６のログイン画面（ＩｄＰのログイン画面）を使う場合は端末装置１１に搭載されたブラウザからサービス提供システム６に対してログインの要求が行われることになる。サービス提供システム６のログイン画面を使うことで既存サービスシステム７のサービスもサービス提供システム６が提供するサービス群の一つとしての新たな価値観と、ＳＳＯと、を明確にユーザへ意識させることができる。
【００５５】
また、既存サービスシステム７のログイン画面（ＳＰのログイン画面）を使う場合は端末装置１１に搭載されたブラウザから既存サービスシステム７を介してサービス提供システム６にログインの要求が行われることになる。既存サービスシステム７のログイン画面を使うことで、既存サービスシステム７が十分にブランドを確立している場合に、ユーザインタフェース（ＵＩ）やユーザエクスペリエンス（ＵＸ）を維持できる。
【００５６】
なお、既存サービスシステム７はサービスを利用するユーザが新体系の認証機能により認証を行う新テナントのユーザか、既存の認証機能により認証を行う旧テナントのユーザかを判別している。既存サービスシステム７は新テナントのユーザであると判別した場合にユーザからのログインの要求をサービス提供システム６に転送し、サービス提供システム６に認証を行わせる。
【００５７】
《端末装置のブラウザからのログイン》
図１０は端末装置のブラウザからのログイン処理の一例のシーケンス図である。図１０では既存サービスシステム７がサービス提供システム６のドメインで運用され、サービス提供システム６のログイン画面を使用する例を表している。
【００５８】
本実施形態に係る情報処理システム１において、既存サービスシステム７における認証をサービス提供システム６に統一し、ユーザにサービス提供システム６のログイン画面からログインさせる。このため、情報処理システム１では認証チケット（Ｃｏｏｋｉｅ）が無い状態で既存サービスシステム７にアクセスが成された場合に、サービス提供システム６のログイン画面に端末装置１１のブラウザをリダイレクトさせる必要がある。
【００５９】
ステップＳ１１において、既存サービスシステム７の既存サービス提供装置３２はマルチテナント対応がされ、テナントを識別する情報（テナントＩＤ）を含んだＨＴＴＰリクエストをブラウザから受信する。なお、テナントＩＤは、ＨＴＴＰリクエストのＵＲＬの一部（サブドメインやＵＲＬパスの一部）として、或いは、クエリパラメータ、リクエストボディなどに含まれる。
【００６０】
ステップＳ１２において、既存サービス提供装置３２はＨＴＴＰリクエストに含まれていたテナントＩＤに基づき、ユーザが新テナントのユーザか旧テナントのユーザかを図８に示すテナントテーブルにより判別する。図１０は新テナントのユーザと判別された例を示している。新テナントのユーザと判別したため、既存サービス提供装置３２はサービス提供システム６が認証を行うと判定し、ステップＳ１３において、ブラウザをサービス提供システム６のログイン画面にリダイレクトさせている。
【００６１】
図１１はサービス提供システムのログイン画面の一例のイメージ図である。図１１に示したログイン画面はテナントＩＤ、ユーザＩＤ及びパスワードの入力欄を有する。ユーザは図１１のログイン画面にサービス提供システム６における認証情報を入力し、ログインボタンを押下する。図１１は認証情報の一例としてユーザにテナントＩＤ、ユーザＩＤ及びパスワードを入力させるログイン画面の一例である。
【００６２】
ステップＳ１４において、ブラウザは認証情報を指定したログイン要求を認証装置２１に対して行う。ステップＳ１５において、認証装置２１は指定されていた認証情報の認証を図５のユーザテーブルを用いて行う。認証に成功すると、認証装置２１はＩｄＰのドメインに対するＣｏｏｋｉｅ（ＩｄＰ認証チケット）を発行し、そのＩｄＰ認証チケットをログイン要求元である端末装置１１のブラウザに送信する。
【００６３】
既存サービスシステム７もサービス提供システム６のドメインで運用する場合、端末装置１１のブラウザはステップＳ１６において、ステップＳ１１でＨＴＴＰリクエストした既存サービス提供装置３２のＵＲＬにＩｄＰ認証チケットをリダイレクトさせる。ＵＲＬはクエリパラメータで受け渡すのが一般的であるが、セッション情報として既存サービス提供装置３２に保存してもよい。
【００６４】
ステップＳ１７において、既存サービス提供装置３２はＩｄＰ認証チケットの検証を認証装置２１に要求する。認証装置２１は、検証を要求されたＩｄＰ認証チケットの検証を行い、ＩｄＰ認証チケットが有効な場合に、そのＩｄＰ認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元である既存サービス提供装置３２に返す。
【００６５】
ステップＳ１８において既存サービス提供装置３２は認証装置２１から返されたテナントＩＤ、ユーザＩＤのユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である端末装置１１のブラウザに例えばサービスのコンテンツを提供する。
【００６６】
図１２は端末装置のブラウザからのログイン処理の他の例のシーケンス図である。既存サービスシステム７のＵＲＬを含めたブランドイメージが確立されている場合には、既存サービスシステム７のＵＲＬを変えることが望ましくない。そこで、図１２のログイン処理ではクロスドメインのＳＳＯを利用する。
【００６７】
ステップＳ２１〜Ｓ２４の処理は図１０のステップＳ１１〜Ｓ１４と同様であるため説明を省略する。ステップＳ２５において、認証装置２１は指定されていた認証情報の認証を図５のユーザテーブルを用いて行う。認証に成功すると、認証装置２１はＩｄＰのドメインに対するＣｏｏｋｉｅ（ＩｄＰ認証チケット）を発行するが、単純に既存サービス提供装置３２にリダイレクトしてもドメインが異なるため、既存サービス提供装置３２に送信できない。
【００６８】
そこで、サービス提供装置２２はステップＳ２４の応答（レスポンス）に、ページ読み込み後に自動的にＦＯＲＭのＰＯＳＴ処理を実行するＪａｖａＳｃｒｉｐｔ（登録商標）を含んだＨＴＭＬを返す。ステップＳ２６において、端末装置１１のブラウザはＦＯＲＭの内容としてＩｄＰ認証チケットを、既存サービス提供装置３２に自動ＰＯＳＴで送信する。
【００６９】
ステップＳ２７において、既存サービス提供装置３２はＩｄＰ認証チケットの検証を認証装置２１に要求する。認証装置２１は、検証を要求されたＩｄＰ認証チケットの検証を行い、ＩｄＰ認証チケットが有効な場合に、そのＩｄＰ認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元である既存サービス提供装置３２に返す。
【００７０】
ステップＳ２８において既存サービス提供装置３２はＳＰ認証チケットを発行する。ステップＳ２９において既存サービス提供装置３２は認証装置２１から返されたテナントＩＤ、ユーザＩＤのユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である端末装置１１のブラウザに、例えばサービスのコンテンツとＳＰ認証チケットとを提供する。
【００７１】
なお、ＳＰ認証チケットは必須ではなく、ＩｄＰ認証チケットをそのまま既存サービス提供装置３２のドメインの認証チケット（Ｃｏｏｋｉｅ）として返してもよい。この場合は既存サービス提供装置３２がリクエストを受け取るごとに、ＩｄＰ認証チケットの検証をサービス提供システム６の認証装置２１に対して要求する必要があり、オーバーヘッドが発生する。
【００７２】
したがって、ＳＰ認証チケットを既存サービス提供装置３２のドメインの認証チケットとして返すことで、図１２のログイン処理では性能の向上が望める。また、既存サービス提供装置３２はＩｄＰ認証チケットを参照する必要があるため、ＳＰ認証チケットと対応付けてＩｄＰ認証チケットを保存しておくことが望ましい。
【００７３】
図１３は端末装置のブラウザからのログイン処理の他の例のシーケンス図である。図１３では既存サービスシステム７におけるユーザ情報を使用して既存サービスシステム７が認証を行い、サービスを提供する例を表している。
【００７４】
ステップＳ３１において、既存サービスシステム７の既存サービス提供装置３２はテナントＩＤを含んだＨＴＴＰリクエストをブラウザから受信する。ステップＳ３２において既存サービス提供装置３２はＨＴＴＰリクエストのテナントＩＤに基づき、ユーザが新テナントのユーザか旧テナントのユーザかを判別する。図１３は旧テナントのユーザと判別された例を示している。旧テナントのユーザと判別したため、既存サービス提供装置３２は自分が認証を行うと判定し、ステップＳ３３において、ブラウザを既存サービスシステム７のログイン画面にリダイレクトさせている。
【００７５】
ステップＳ３４において、ブラウザは認証情報を指定したログイン要求を既存サービス提供装置３２に対して行う。ステップＳ３５において、既存サービス提供装置３２は指定されていた認証情報の認証を図７のユーザテーブルを用いて行う。
【００７６】
認証に成功すると、既存サービス提供装置３２はＳＰ認証チケットを発行し、ＳＰ認証チケットをログイン要求元である端末装置１１のブラウザに送信する。端末装置１１のブラウザはステップＳ３６において、ステップＳ３１でＨＴＴＰリクエストした既存サービス提供装置３２のＵＲＬにＳＰ認証チケットをリダイレクトさせる。
【００７７】
また、ステップＳ３７において、既存サービス提供装置３２はＳＰ認証チケットの検証を行い、ＳＰ認証チケットが有効な場合に、そのＳＰ認証チケットに対応するテナントＩＤ、ユーザＩＤを取得する。既存サービス提供装置３２は取得したテナントＩＤ、ユーザＩＤのユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である端末装置１１のブラウザに例えばサービスのコンテンツを提供する。
【００７８】
図１４は端末装置のブラウザからのログイン処理の他の例のシーケンス図である。図１４では、既存サービスシステム７がサービス提供システム６のドメインで運用され、既存サービスシステム７のログイン画面を使用する例を表している。
【００７９】
ステップＳ４１において、既存サービスシステム７の既存サービス提供装置３２はＨＴＴＰリクエストをブラウザから受信する。既存サービス提供装置３２は認証チケットが無い状態でアクセスが成されたため、ステップＳ４２において、ブラウザを既存サービスシステム７のログイン画面にリダイレクトさせている。
【００８０】
ステップＳ４３において、ブラウザは認証情報を指定したログイン要求を既存サービス提供装置３２に対して行う。ステップＳ４４において既存サービス提供装置３２は認証情報に含まれるテナントＩＤに基づき、ユーザが新テナントのユーザか旧テナントのユーザかを判別する。図１４は新テナントのユーザと判別された例を示している。
【００８１】
新テナントのユーザと判別したため、既存サービス提供装置３２はサービス提供システム６が認証を行うと判定し、ブラウザからの認証情報を指定したログイン要求をサービス提供システム６の認証装置２１に対して行う。ステップＳ４６において、認証装置２１は指定されていた認証情報の認証を図５のユーザテーブルを用いて行う。
【００８２】
認証に成功すると、認証装置２１はＩｄＰ認証チケットを発行し、ＩｄＰ認証チケットをログイン要求元である端末装置１１のブラウザに応答する。ステップＳ４７において既存サービス提供装置３２はステップＳ４１でアクセスされた既存サービスシステム７のＵＲＬにＩｄＰ認証チケットをリダイレクトさせる。
【００８３】
ステップＳ４８において、既存サービス提供装置３２はＩｄＰ認証チケットの検証を認証装置２１に要求する。認証装置２１は、検証を要求されたＩｄＰ認証チケットの検証を行い、ＩｄＰ認証チケットが有効な場合に、そのＩｄＰ認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元である既存サービス提供装置３２に返す。
【００８４】
ステップＳ４９において既存サービス提供装置３２は認証装置２１から返されたテナントＩＤ、ユーザＩＤのユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である端末装置１１のブラウザに例えばサービスのコンテンツを提供する。
【００８５】
なお、既存サービスシステム７のログイン画面がテナントＩＤの入力欄を持っていない場合、既存サービス提供装置３２はテナントを特定する情報と、サービス提供システム６のテナントＩＤとのマッピングテーブルを、保持している必要がある。テナントを特定する情報は、ＵＲＬパス、サブドメインなどである。この場合、既存サービス提供装置３２はマッピングテーブルを利用してテナントＩＤを取得する。
【００８６】
図１５は端末装置のブラウザからのログイン処理の他の例のシーケンス図である。図１５のログイン処理ではクロスドメインのＳＳＯを利用する。ステップＳ５１〜Ｓ５５の処理は図１４のステップＳ４１〜Ｓ４５と同様であるため説明を省略する。
【００８７】
ステップＳ５６において、認証装置２１は指定されていた認証情報を認証する。認証に成功すると、認証装置２１はＩｄＰ認証チケットを発行して、ＩｄＰ認証チケットを既存サービス提供装置３２に返す。ステップＳ５７において、既存サービス提供装置３２はＳＰ認証チケットを発行する。そして、既存サービス提供装置３２はＩｄＰ認証チケットとＳＰ認証チケットとをログイン要求元である端末装置１１のブラウザに応答する。
【００８８】
ステップＳ５８において端末装置１１のブラウザはサービス提供システム６の認証装置２１とのＳＳＯを実現するため、自動ＰＯＳＴでＩｄＰ認証チケットを既存サービス提供装置３２に送信する。ステップＳ５９において、認証装置２１はＩｄＰ認証チケットの検証を行う。検証に成功すると、認証装置２１はＩｄＰ認証チケットをＳｅｔ−Ｃｏｏｋｉｅでブラウザに応答する。
【００８９】
ステップＳ６０において認証装置２１はステップＳ５１でアクセスされた既存サービスシステム７のＵＲＬにＳＰ認証チケットをリダイレクトさせる。ステップＳ６１において既存サービス提供装置３２は認証装置２１から返されたＳＰ認証チケットユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である端末装置１１のブラウザに例えばサービスのコンテンツを提供する。
【００９０】
なお、図１２と同様、ＳＰ認証チケットは必須ではなく、ＩｄＰ認証チケットをそのまま既存サービス提供装置３２のドメインの認証チケット（Ｃｏｏｋｉｅ）として返してもよい。
【００９１】
図１６は端末装置のブラウザからのログイン処理の他の例のシーケンス図である。図１６は図１５のシーケンス図において、ユーザが旧テナントのユーザと判別された例を示している。
【００９２】
ステップＳ７１〜Ｓ７４の処理は図１５のステップＳ５１〜Ｓ５４と同様である。旧テナントのユーザと判別した例であるため、既存サービスシステム７の既存サービス提供装置３２は自分が認証を行うと判定する。ステップＳ７５において、既存サービス提供装置３２は指定されていた認証情報の認証を図７のユーザテーブルを用いて行う。
【００９３】
認証に成功すると、既存サービス提供装置３２はＳＰ認証チケットを発行し、ＳＰ認証チケットをログイン要求元である端末装置１１のブラウザに送信する。端末装置１１のブラウザはステップＳ７６において、ステップＳ７１でＨＴＴＰリクエストした既存サービス提供装置３２のＵＲＬにＳＰ認証チケットをリダイレクトさせる。
【００９４】
また、ステップＳ７７において、既存サービス提供装置３２はＳＰ認証チケットの検証を行い、ＳＰ認証チケットが有効な場合に、そのＳＰ認証チケットに対応するテナントＩＤ、ユーザＩＤを取得する。既存サービス提供装置３２は取得したテナントＩＤ、ユーザＩＤのユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である端末装置１１のブラウザに例えばサービスのコンテンツを提供する。
【００９５】
なお、上記した方式の他、既存サービス提供装置３２の開発を容易にするため、前段のＨＴＴＰサーバ（或いはアプリケーションサーバ）に組み込んだエージェントで認証を行うエージェント方式もある。エージェント方式は、認証チケットの有無、ログイン画面へのリダイレクトなどをエージェントが実行する。認証結果はＨＴＴＰヘッダによって後段のアプリケーションサーバに通知される。アプリケーションはＨＴＴＰヘッダを参照することで、認証済みのユーザのテナントＩＤ及びユーザＩＤを取得できる。
【００９６】
《電子機器のアプリからのログイン》
図１７は電子機器のアプリからのログイン処理の一例のフローチャートである。非ブラウザのアプリケーションではＣｏｏｋｉｅを含むヘッダの柔軟な操作が可能である。ログイン画面はアプリに組み込まれている。ユーザはアプリに組み込まれたログイン画面から認証情報（テナントＩＤ、ユーザＩＤ、パスワード）を入力する。
【００９７】
ステップＳ８１において電子機器１２のアプリはログイン画面に入力された認証情報を用いて既存サービスシステム７の既存サービス提供装置３２へのログインを試みる。既存サービス提供装置３２はステップＳ８２において、認証情報に含まれていたテナントＩＤに基づき、ユーザが新テナントのユーザか旧テナントのユーザかを判別する。
【００９８】
図１７は新テナントのユーザと判別された例を示している。なお、旧テナントのユーザと判別した場合、既存サービス提供装置３２は認証を行い、認証に成功すると、ＳＰ認証チケットを電子機器１２のアプリに返す。
【００９９】
新テナントのユーザと判別したため、既存サービス提供装置３２はサービス提供システム６が認証を行うと判定し、サービス提供システム６の認証装置２１のＵＲＬを電子機器１２のアプリに返し、認証装置２１へのアクセス指示を行う。
【０１００】
ステップＳ８３において、電子機器１２のアプリは受信した認証装置２１のＵＲＬに認証情報を送信して認証装置２１にログインを要求する。ステップＳ８４において、認証装置２１は受信した認証情報の認証を行う。認証に成功すると、認証装置２１はＩｄＰ認証チケットを発行し、そのＩｄＰ認証チケットをログイン要求元である電子機器１２のアプリに送信する。
【０１０１】
ステップＳ８５において、電子機器１２のアプリはＩｄＰ認証チケットを既存サービスシステム７の既存サービス提供装置３２に送信してサービスの利用を要求する。ステップＳ８６において、既存サービス提供装置３２はＩｄＰ認証チケットの検証を認証装置２１に要求する。認証装置２１は検証を要求されたＩｄＰ認証チケットの検証を行い、ＩｄＰ認証チケットが有効な場合に、そのＩｄＰ認証チケットに対応するテナントＩＤ、ユーザＩＤを検証要求元である既存サービス提供装置３２に返す。
【０１０２】
ステップＳ８７において既存サービス提供装置３２は認証装置２１から返されたテナントＩＤ、ユーザＩＤのユーザに対してサービスを提供するための処理を行う。既存サービス提供装置３２はサービスの利用要求元である電子機器１２のアプリに例えばサービスのコンテンツを提供する。
【０１０３】
なお、図１７ではＩｄＰ認証チケットで既存サービス提供装置３２のサービスを利用できる例を示したが、既存サービス提供装置３２もＳＰ認証チケットを発行する構成としてもよい。ＳＰ認証チケットを発行する構成の場合はステップＳ８６でＩｄＰ認証チケットの検証に構成したあと、既存サービス提供装置３２がＳＰ認証チケットを発行して電子機器１２のアプリに返す。アプリはＳＰ認証チケットを利用して既存サービス提供装置３２のサービスを利用できる。
【０１０４】
《ユーザ管理》
既存サービスシステム７の既存サービス提供装置３２がユーザ管理機能を備えている場合は既存サービス提供装置３２の機能で必要となるユーザ管理画面の作り込みが行われている可能性が高い。したがって、既存サービス提供装置３２がユーザ管理機能を備えている場合は、ユーザ管理をサービス提供システム６の認証装置２１に移行するとしても既存サービス提供装置３２のユーザ管理画面を継続して使用できることが望ましい。
【０１０５】
また、サービス提供システム６の認証装置２１が管理しているユーザ情報は複数の既存サービスシステム７に共通する部分となる。したがって、認証装置２１のユーザ管理画面と既存サービス提供装置３２のユーザ管理画面とを行ったり来たりするＵＩは操作性が非常に悪い。
【０１０６】
ここでは、新テナントのユーザに対してのユーザ管理画面を既存サービスシステム７側で用意するために必要となる処理について説明する。なお、以降のシーケンス図では認証チケットの記載を省略しているが、管理者でログインがされているものとする。
【０１０７】
図１８はユーザ一覧から選択してユーザ登録する場合の一例の画面遷移図である。認証装置２１は複数の既存サービスシステム７で使用されることから、認証装置２１に登録されているユーザ数よりも、既存サービス提供装置３２を使用するユーザ数が少ない。
【０１０８】
グループウェアなどの大規模な既存サービス提供装置３２を使用する場合はユーザごとのユーザ情報も大きくなるため、実際に利用するユーザのユーザ情報を既存サービス提供装置３２に登録することが望ましい。
【０１０９】
図１８において、左側のユーザ管理画面ではサービス提供システム６に登録されているログインユーザ（管理者）と同じテナントＩＤのユーザ一覧を、プルダウンで表示することを表している。ログインユーザはプルダウンから選択することにより、認証装置２１で管理する選択したユーザのユーザ属性を、図１８の右側のユーザ管理画面のように表示できる。図１８の右側のユーザ管理画面では既存サービス提供装置３２で独自のユーザ属性の入力フィールドが有効に変化している。
【０１１０】
図１９はユーザ登録処理の一例のシーケンス図である。ステップＳ１０１において端末装置１１のブラウザは既存サービスシステム７の既存サービス提供装置３２にユーザ管理画面を要求し、図１８の左側のユーザ管理画面を表示する。
【０１１１】
なお、ログインユーザによりユーザ一覧を要求されると、既存サービス提供装置３２はステップＳ１０２においてログインユーザのテナントＩＤに基づき、ログインユーザが新テナントのユーザか旧テナントのユーザかを判別する。図１９ではログインユーザが新テナントのユーザであると判別された例を示している。
【０１１２】
ステップＳ１０３において端末装置１１のブラウザはユーザ一覧を既存サービスシステム７の既存サービス提供装置３２に要求する。ステップＳ１０４において、既存サービス提供装置３２はサービス提供システム６のサービス提供装置２２からログインユーザと同じテナントＩＤのユーザ一覧を取得し、端末装置１１のブラウザに提供する。
【０１１３】
ログインユーザがプルダウンで表示されたユーザ一覧からユーザを選択すると、端末装置１１のブラウザは選択されたユーザをステップＳ１０５において既存サービスシステム７の既存サービス提供装置３２に通知する。ステップＳ１０６において、既存サービス提供装置３２は通知されたユーザのユーザ情報をサービス提供システム６の認証装置２１から取得し、端末装置１１のブラウザに返す。
【０１１４】
ログインユーザは図１８の右側のユーザ管理画面の入力フィールドに、独自のユーザ属性のユーザ情報を入力し、登録のための操作（登録ボタンの押下など）を行う。ステップＳ１０７において、端末装置１１のブラウザは例えば図１８の右側のユーザ管理画面に表示された又は入力されたユーザ情報の登録を既存サービスシステム７の既存サービス提供装置３２に要求する。
【０１１５】
ステップＳ１０８において、既存サービス提供装置３２はステップＳ１０７のユーザ情報の登録要求に基づき、登録要求のあったユーザのユーザ情報を自分が備えるユーザ管理機能に登録する。そして、既存サービス提供装置３２はユーザ情報の登録結果を端末装置１１のブラウザに返す。
【０１１６】
例えば図１９のシーケンス図によれば、サービス提供システム６と既存サービスシステム７とでユーザＩＤの仕様に差異があった場合に、ステップＳ１０４で取得するユーザ一覧を以下のように変化させることができる。なお、ユーザＩＤの仕様に差異がある場合とは例えばサービス提供システム６が最大２０文字であり、既存サービスシステム７が最大１０文字である、というような場合である。
【０１１７】
ステップＳ１０４では、例えば既存サービスシステム７のユーザＩＤの仕様を満たしているユーザＩＤのユーザ情報を検索するオプションを指定できるようにしてもよい。例えばサービス提供システム６が最大２０文字のユーザＩＤの仕様、既存サービスシステム７が最大１０文字のユーザＩＤの仕様である場合は、ステップＳ１０４において１０文字以下のユーザＩＤを取得する。
【０１１８】
なお、既存サービスシステム７の既存サービス提供装置３２は例えばステップＳ１０１においてログインユーザからユーザ管理画面を要求された場合に、ログインユーザのテナントの登録ユーザ数がユーザ上限に達していないかを判定（チェック）してもよい。
【０１１９】
ユーザ上限は図８のテナントテーブルから取得できる。ログインユーザのテナントの登録ユーザ数がユーザ上限に達していれば、端末装置１１のブラウザはユーザ登録できない旨を表示するようにしてもよい。
【０１２０】
図２０は新規にユーザ登録するユーザ登録画面の一例の画面イメージ図である。ここではサービス提供システム６及び既存サービスシステム７に登録されていないユーザを同時に登録する処理について説明する。図２０に示すユーザ登録画面は全てのユーザ属性の入力フィールドが有効となっている。
【０１２１】
図２１は新規にユーザ登録するユーザ登録処理の一例のシーケンス図である。ステップＳ１１１において、端末装置１１のブラウザは既存サービスシステム７の既存サービス提供装置３２にユーザ管理画面を要求し、ユーザ管理画面を表示する。ステップＳ１１２において、端末装置１１のブラウザは既存サービスシステム７の既存サービス提供装置３２にユーザ新規登録画面を要求し、図２０のようなユーザ新規登録画面を表示する。
【０１２２】
ログインユーザは図２０のユーザ新規登録画面の入力フィールドに、ユーザ情報を入力して、登録のための操作を行う。ステップＳ１１３において、端末装置１１のブラウザは例えば図２０のユーザ新規登録画面に入力されたユーザ情報の登録を既存サービスシステム７の既存サービス提供装置３２に要求する。
【０１２３】
ステップＳ１１４において、既存サービス提供装置３２はログインユーザのテナントＩＤに基づき、ログインユーザが新テナントのユーザであるか、旧テナントのユーザであるかを判別する。図２１ではログインユーザが新テナントのユーザであると判別された例を示している。
【０１２４】
ステップＳ１１５において、既存サービス提供装置３２はステップＳ１１３のユーザ情報の登録要求に基づき、登録要求のあったユーザのユーザ情報を自分が備えるユーザ管理機能に登録する。また、ステップＳ１１６において、既存サービス提供装置３２はサービス提供システム６の認証装置２１に対して、ユーザ情報の登録を要求する。
【０１２５】
ステップＳ１１７において、認証装置２１は登録要求のあったユーザのユーザ情報を自分が備えるユーザ管理機能に登録する。なお、認証装置２１において登録されるユーザ情報はサービス提供システム６側で管理している項目（パスワード、名前など）となる。既存サービス提供装置３２はユーザ情報の登録結果を端末装置１１のブラウザに返す。
【０１２６】
図２２は新規にユーザ登録するユーザ登録処理の他の例のシーケンス図である。図２２のユーザ登録処理はサービス提供システム６の認証装置２１から新規にユーザ登録を行う例である。
【０１２７】
ステップＳ１２１において、端末装置１１のブラウザはサービス提供システム６の認証装置２１にユーザ管理画面を要求し、ユーザ管理画面を表示する。ステップＳ１２２において、端末装置１１のブラウザはサービス提供システム６の認証装置２１にユーザ新規登録画面を要求し、サービス提供システム６のユーザ新規登録画面を表示する。
【０１２８】
ログインユーザは、サービス提供システム６のユーザ新規登録画面の入力フィールドにユーザ情報を入力して、登録のための操作を行う。ステップＳ１２３において、端末装置１１のブラウザはサービス提供システム６のユーザ新規登録画面に入力されたユーザ情報の登録をサービス提供システム６の認証装置２１に要求する。
【０１２９】
ステップＳ１２４において、サービス提供システム６の認証装置２１はステップＳ１２３のユーザ情報の登録要求に基づき、登録要求のあったユーザのユーザ情報を自分が備えるユーザ管理機能に登録する。ステップＳ１２５において、サービス提供システム６の認証装置２１はユーザ追加のイベントを既存サービスシステム７の既存サービス提供装置３２に通知する。
【０１３０】
ステップＳ１２６において、既存サービス提供装置３２はログインユーザのテナントＩＤに基づき、ログインユーザが新テナントのユーザであるか、旧テナントのユーザであるかを判別する。
【０１３１】
ステップＳ１２７において、既存サービス提供装置３２はステップＳ１２５のユーザ追加のイベントに基づき、サービス提供システム６の認証装置２１に追加されたユーザのユーザ情報を自分が備えるユーザ管理機能に登録する。そして、既存サービス提供装置３２はユーザ情報の登録結果を端末装置１１のブラウザに返す。
【０１３２】
なお、ステップＳ１２７において、既存サービス提供装置３２は既存サービスシステム７のユーザ情報にしか存在しない独自のユーザ属性について、空のままにするか、仮の固定値を設定する。
【０１３３】
図２３はユーザ情報を変更するユーザ情報編集画面の一例の画面イメージ図である。図２３のユーザ情報編集画面は編集可能なユーザ属性の入力フィールドが有効であり、編集できないユーザ属性の入力フィールドが無効となっている。例えば図２３のユーザ情報編集画面では、サービス提供システム６側でユーザＩＤが編集できないため、既存サービスシステム７側でも編集できないようにユーザＩＤの入力フィールドが無効となる。
【０１３４】
図２４はユーザ情報を編集するユーザ情報編集処理の一例のシーケンス図である。端末装置１１のブラウザはステップＳ１２１において既存サービスシステム７の既存サービス提供装置３２にユーザ管理画面を要求し、ユーザ管理画面を表示する。ステップＳ１２２において、端末装置１１のブラウザは既存サービスシステム７の既存サービス提供装置３２にユーザ情報編集画面を要求し、図２３のようなユーザ情報編集画面を表示する。
【０１３５】
ログインユーザはユーザ情報編集画面の入力フィールドに表示されているユーザ情報を変更して、変更のための操作を行う。ステップＳ１２３において、端末装置１１のブラウザは例えば図２３のユーザ情報編集画面で変更されたユーザ情報の変更を既存サービスシステム７の既存サービス提供装置３２に要求する。
【０１３６】
ステップＳ１２４において、既存サービス提供装置３２はログインユーザのテナントＩＤに基づき、ログインユーザが新テナントのユーザであるか、旧テナントのユーザであるかを判別する。図２４ではログインユーザが新テナントのユーザであると判別された例を示している。
【０１３７】
ステップＳ１２５において、既存サービス提供装置３２はステップＳ１２３のユーザ情報の変更要求に基づき、変更要求のあったユーザのユーザ情報を更新する。ステップＳ１２６において、既存サービス提供装置３２はサービス提供システム６の認証装置２１に対して、ユーザ情報の変更を要求する。
【０１３８】
ステップＳ１２７において、認証装置２１は変更要求のあったユーザのユーザ情報を更新する。なお、既存サービスシステム７のユーザ情報にしか存在しない独自のユーザ属性の変更は既存サービスシステム７のユーザ情報に反映される。また、サービス提供システム６が管理しているユーザ属性の変更は、サービス提供システム６のユーザ情報に反映される。既存サービス提供装置３２は、ユーザ情報の変更結果を端末装置１１のブラウザに返す。
【０１３９】
図２５はユーザ情報を削除するユーザ削除処理の一例のシーケンス図である。端末装置１１のブラウザはステップＳ１３１において既存サービスシステム７の既存サービス提供装置３２にユーザ管理画面を要求し、ユーザ管理画面を表示する。
【０１４０】
ログインユーザはユーザ管理画面からユーザを削除するための操作を行う。ステップＳ１３２において、端末装置１１のブラウザは既存サービスシステム７の既存サービス提供装置３２にユーザの削除を要求する。
【０１４１】
ステップＳ１３３において、既存サービス提供装置３２はステップＳ１３２のユーザの削除要求に基づき、削除要求のあったユーザのユーザ情報を削除し、ユーザの削除結果を端末装置１１のブラウザに返す。なお、既存サービスシステム７側にユーザの削除を要求した場合、サービス提供システム６側のユーザ情報は削除されない。
【０１４２】
図２６はユーザ情報を削除するユーザ削除処理の他の例のシーケンス図である。図２６のユーザ削除処理は、サービス提供システム６の認証装置２１にユーザ情報の削除を要求する例である。
【０１４３】
ステップＳ１４１において端末装置１１のブラウザはサービス提供システム６の認証装置２１にユーザ管理画面を要求して、ユーザ管理画面を表示する。ステップＳ１４２においてログインユーザはユーザ管理画面からユーザを削除するための操作を行う。端末装置１１のブラウザはサービス提供システム６の認証装置２１にユーザの削除を要求する。
【０１４４】
ステップＳ１４３において、認証装置２１はステップＳ１４２のユーザの削除要求に基づき、削除要求のあったユーザのユーザ情報を削除する。ステップＳ１４４において認証装置２１はユーザ削除のイベントを既存サービスシステム７の既存サービス提供装置３２に通知する。
【０１４５】
ステップＳ１４５において、既存サービス提供装置３２はログインユーザのテナントＩＤに基づき、ログインユーザが新テナントのユーザであるか、旧テナントのユーザであるかを判別する。
【０１４６】
ステップＳ１４６において、既存サービス提供装置３２はステップＳ１４４のユーザ削除のイベントに基づき、サービス提供システム６の認証装置２１から削除されたユーザのユーザ情報を自分が備えるユーザ管理機能から削除する。そして、既存サービス提供装置３２はユーザ情報の削除結果を端末装置１１のブラウザに返す。
【０１４７】
なお、サービス提供システム６側にユーザの削除を要求した場合、既存サービスシステム７側のユーザ情報も削除する。また、ステップＳ１４４のユーザ削除のイベント通知は複数の既存サービスシステム７が対象となることもあるため、イベント通知先のＵＲＬをサービス提供システム６に登録しておけるようにしてもよい。
【０１４８】
《ＳＤＫによる既存サービス提供装置の構成例》
図２７はＳＤＫによる既存サービス提供装置の一例の構成図である。図２７に示された既存サービス提供装置３２は、サービスロジック２０１、認証・ユーザ管理２０２、ＳＤＫ２０３、Ｗｅｂアプリケーションサーバ２０４、ＤＢＭＳ２０５を有する。ＳＤＫ２０３はイベントハンドラ２１１、クライアントライブラリ２１２、認証エージェント２１３を有する。
【０１４９】
図２７の既存サービス提供装置３２は新テナントのテナントＩＤ（ＩｄＰ連携）に対応するために必要な改修を容易にするためのＳＤＫ２０３を有する。認証・ユーザ管理２０２は、認証エージェント２１３とサービス提供システム６の認証装置２１とで認証処理が終わっている場合、既存サービスシステム７がもともと持っている認証処理を実行せずにヘッダ情報により受信した情報を使用する。また、認証・ユーザ管理２０２は、ユーザ作成やパスワード変更など、サービス提供システム６側に保持されているユーザ情報の操作が必要な箇所において、従来の機能を分岐してサービス提供システム６の認証装置２１との通信部を実装する。認証・ユーザ管理２０２はＳＤＫのクライアントライブラリ２１２を使用することで容易に実装できる。また、認証・ユーザ管理２０２はイベントハンドラ２１１からのイベント通知を受けて、既存サービスシステム７側のユーザ情報を更新する処理を実装する。
【０１５０】
認証エージェント２１３としては、普及度の高いＷｅｂアプリケーションサーバ製品に組み込めるモジュールを提供する。クライアントライブラリ２１２はサービス提供システム６の認証装置２１と通信して、サービス提供システム６の認証装置２１側のユーザ情報を操作するためのライブラリである。クライアントライブラリ２１２が提供するＡＰＩには例えばユーザ一覧を取得するＡＰＩ、ユーザ情報を取得するＡＰＩ、ユーザを作成するＡＰＩ、ユーザを設定するＡＰＩなどがある。
【０１５１】
イベントハンドラ２１１はＷｅｂアプリケーションサーバ２０４上で動作し、サービス提供システム６の認証装置２１からの通知を受信する。認証装置２１から通知を受信した後の処理は、認証・ユーザ管理２０２で実装する。イベントハンドラ２１１が受信するイベントには、ユーザ追加、ユーザ削除などがある。なお、連携が必要な共通のユーザ属性がある場合はユーザ変更のイベント通知も必要となる。ＳＤＫ２０３としては普及度が高いＷｅｂアプリケーションサーバ製品（オープンソースソフトウェアを含む）で動作するモジュールを提供する。
【０１５２】
＜まとめ＞
本実施形態に係る情報処理システム１によれば、既存のユーザに対しては既存の認証機能によりサービスの提供を管理できる。また、本実施形態に係る情報処理システム１によれば新規のユーザに対しては新体系の認証機能によるサービスの提供を管理できる。本実施形態に係る情報処理システム１によれば、既存の認証機能によりサービスの提供を管理しつつ、新体系の認証機能によるサービスの提供を管理できる。
【０１５３】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。なお、認証装置２１は特許請求の範囲に記載した第１の情報処理装置の一例である。既存サービス提供装置３２は第２の情報処理装置の一例である。
【０１５４】
ユーザ情報管理部１０１は第１ユーザ情報管理手段の一例である。認証処理部１０２は第１認証処理手段の一例である。ユーザ情報管理部１２１は第２ユーザ情報管理手段の一例である。認証処理部１２２は第２認証処理手段の一例である。テナント新旧判別部１２４は判別手段の一例である。サービス提供部１２３はサービス提供手段の一例である。
【符号の説明】
【０１５５】
１    情報処理システム
５    ユーザシステム
６    サービス提供システム
７    既存サービスシステム
１１    端末装置
１２    電子機器
１３、２３、３３    ファイアウォール（ＦＷ）
２１    認証装置
２２    サービス提供装置
３２    既存サービス提供装置
１０１    ユーザ情報管理部
１０２    認証処理部
１２１    認証処理部
１２２    ユーザ情報管理部
１２３    サービス提供部
１２４    テナント新旧判別部
２０１    サービスロジック
２０２    認証・ユーザ管理
２０３    ＳＤＫ（Software Development Kit）
２０４    Ｗｅｂアプリケーションサーバ
２０５    ＤＢＭＳ（DataBase Management System）
２１１    イベントハンドラ
２１２    クライアントライブラリ
２１３    認証エージェント
５００    コンピュータ
５０１    入力装置
５０２    表示装置
５０３    外部Ｉ／Ｆ
５０３ａ    記録媒体
５０４    ＲＡＭ
５０５    ＲＯＭ
５０６    ＣＰＵ
５０７    通信Ｉ／Ｆ
５０８    ＨＤＤ
６００    複合機
６０１    コントローラ
６０２    操作パネル
６０３    外部Ｉ／Ｆ
６０３ａ    記録媒体
６０４    通信Ｉ／Ｆ
６０５    プリンタ
６０６    スキャナ
６１１    ＣＰＵ
６１２    ＲＡＭ
６１３    ＲＯＭ
６１４    ＮＶＲＡＭ
６１５    ＨＤＤ
Ｂ    バス
Ｎ１〜Ｎ４    ネットワーク
【先行技術文献】
【特許文献】
【０１５６】
【特許文献１】特開２０１１−１３９５６号公報
【図１】
2016062215.tif 000003
【図２】
2016062215.tif 000004
【図３】
2016062215.tif 000005
【図４】
2016062215.tif 000006
【図５】
2016062215.tif 000007
【図６】
2016062215.tif 000008
【図７】
2016062215.tif 000009
【図８】
2016062215.tif 000010
【図９】
2016062215.tif 000011
【図１０】
2016062215.tif 000012
【図１１】
2016062215.tif 000013
【図１２】
2016062215.tif 000014
【図１３】
2016062215.tif 000015
【図１４】
2016062215.tif 000016
【図１５】
2016062215.tif 000017
【図１６】
2016062215.tif 000018
【図１７】
2016062215.tif 000019
【図１８】
2016062215.tif 000020
【図１９】
2016062215.tif 000021
【図２０】
2016062215.tif 000022
【図２１】
2016062215.tif 000023
【図２２】
2016062215.tif 000024
【図２３】
2016062215.tif 000025
【図２４】
2016062215.tif 000026
【図２５】
2016062215.tif 000027
【図２６】
2016062215.tif 000028
【図２７】
2016062215.tif 000029