ユーザが操作するユーザ端末のログイン処理を行うIDプロバイダ装置と、前記ログイン処理が完了した場合に前記ユーザ端末にサービスデータを送信するサービスプロバイダ装置とを備え、前記ユーザ端末は前記サービスプロバイダ装置にサービス利用要求を行なう認証連携システムであって、前記IDプロバイダ装置は、前記ユーザを識別するユーザ識別子含む前記ユーザを特定するためのユーザ属性の項目名と前記ユーザ属性の項目値とを関連付けたIDPユーザ属性情報を記憶するIDPユーザ属性情報記憶部と、前記ユーザIDと前記ユーザのログイン状態がログイン完了状態であることを示す認証トークンとを対応付けて記憶するIDP認証セッション記憶部と、前記サービスデータの送信が許可される対象となるユーザを示すポリシ情報を記憶するポリシ情報記憶部と、前記IDプロバイダ装置の署名生成鍵を記憶する鍵記憶部と、前記ユーザ端末のログイン処理が未完了状態である場合には、前記ユーザ端末にログイン要求を行い、前記ユーザ端末のログイン処理が完了状態である場合には、前記サービス利用要求を受信した前記サービスプロバイダ装置から発行されるSP認証連携要求を受信し、前記ログイン処理の認証方式名を含むアサーション本文に対して前記署名生成鍵に基づくデジタル署名を生成し、当該アサーション本文と当該デジタル署名とを含む認証アサーションを作成し、前記認証アサーション含む認証連携応答を前記サービスプロバイダ装置に送信するIDP認証連携部と、前記ユーザ端末から前記SP認証連携要求を受信した場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンが記憶されているか否かを確認するログイン状態確認処理を行うログイン状態判定部と、前記ログイン状態確認処理の結果がログイン未完了の状態であれば、前記SP認証連携要求を前記IDP認証連部に転送する認証連携要求転送部と、前記ユーザ端末から、前記IDP認証連携部からの前記ログイン要求に基づいて送信された前記ユーザの認証情報を受信し、受信した前記認証情報に基づいて前記ログイン処理を行う認証識別部と、前記ログイン状態確認処理の結果がログイン完了状態である場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンに対応付けて記憶されたユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可される対象となるユーザであるか否かを評価し、前記ログイン状態確認処理の結果がログイン未完了の状態である場合に、前記認証情報に含まれるユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可されるユーザであるか否かを評価するポリシ評価部と、前記ポリシ評価部による評価結果が許可である場合に、前記取得されたIDPユーザ属性情報を参照して前記サービスプロバイダ装置とのアカウント連携処理を行い、前記サービスプロバイダ装置における前記ユーザの識別子であるSP側ユーザIDを作成するアカウント連携部と、前記アカウント連携処理後に前記SP認証連携要求を前記IDP認証連携部に送信する認証連携要求転送部とを具備する認証連携制御部と、を備え、前記サービスプロバイダ装置は、前記認証連携応答を受信した場合に前記サービスデータの送信を許可するログイン処理の認証方式名と、前記署名生成鍵に対応する署名検証鍵とを含む検証ポリシを記憶する検証ポリシ記憶部と、前記アカウント連携処理において発行される前記SP側ユーザIDと、前記ユーザ属性情報に含まれるユーザ属性の項目名および項目値のうちの少なくとも一つの項目名と項目値とであるユーザ属性部分情報とを関連付けたアカウント登録を記憶するSPユーザ属性情報記憶部と、前記サービス利用要求を受信した場合、当該サービス利用要求が認証トークンを含むか否かを判定し、前記サービス利用要求が前記認証トークンを含む場合には当該認証トークンと前記サービスデータとを前記ユーザ端末に送信し、前記サービス利用要求が前記認証トークンを含まない場合には、前記ユーザ端末のアドレス情報を含む前記IDプロバイダ装置に対する前記SP認証連携要求を発行し、前記認証連携応答を受信した場合、前記検証ポリシ内の認証方式名と署名検証鍵とに基づいて、前記認証方式名とデジタル署名とをそれぞれ検証し、前記検証した結果がいずれも正当のとき、認証トークンを発行し、前記認証トークンと前記サービスデータとを前記ユーザ端末に送信するSP認証連携部と、前記SP側ユーザIDと、前記認証トークンとを関連付けて記憶するSP認証セッション記憶部と、を備える認証連携システム。ユーザが操作するユーザ端末のログイン処理を行うIDプロバイダ装置と、前記ログイン処理が完了した場合に前記ユーザ端末にサービスデータを送信するサービスプロバイダ装置とを備え、前記ユーザ端末は前記IDプロバイダ装置にサービス利用要求を行なう認証連携システムであって、前記IDプロバイダ装置は、前記ユーザを識別するユーザ識別子含む前記ユーザを特定するためのユーザ属性の項目名と前記ユーザ属性の項目値とを関連付けたIDPユーザ属性情報を記憶するIDPユーザ属性情報記憶部と、前記ユーザIDと前記ユーザのログイン状態がログイン完了状態であることを示す認証トークンとを対応付けて記憶するIDP認証セッション記憶部と、前記サービスデータの送信が許可される対象となるユーザを示すポリシ情報を記憶するポリシ情報記憶部と、前記IDプロバイダ装置の署名生成鍵を記憶する鍵記憶部と、前記ユーザ端末からサービス利用要求を受信した場合に、前記サービスプロバイダ装置に対するIDP認証連携要求を発行するIDP認証連携要求部と、前記ユーザ端末のログイン処理が未完了状態である場合には、前記ユーザ端末にログイン要求を行い、前記ユーザ端末のログイン処理が完了状態である場合には、前記IDP認証連携要求を受信し、前記ログイン処理の認証方式名を含むアサーション本文に対して前記署名生成鍵に基づくデジタル署名を生成し、当該アサーション本文と当該デジタル署名とを含む認証アサーションを作成し、前記認証アサーション含む認証連携応答を前記サービスプロバイダ装置に送信するIDP認証連携部と、前記IDP認証連携要求を受信した場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンが記憶されているか否かを確認するログイン状態確認処理を行うログイン状態判定部と、前記ログイン状態確認処理の結果がログイン未完了の状態であれば、前記IDP認証連携要求を前記IDP認証連部に転送する認証連携要求転送部と、前記ユーザ端末から、前記IDP認証連携部からの前記ログイン要求に基づいて送信された前記ユーザの認証情報を受信し、受信した前記認証情報に基づいて前記ログイン処理を行う認証識別部と、前記ログイン状態確認処理の結果がログイン完了状態である場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンに対応付けて記憶されたユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可される対象となるユーザであるか否かを評価し、前記ログイン状態確認処理の結果がログイン未完了の状態である場合に、前記認証情報に含まれるユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可されるユーザであるか否かを評価するポリシ評価部と、前記ポリシ評価部による評価結果が許可である場合に、前記取得されたIDPユーザ属性情報を参照して前記サービスプロバイダ装置とのアカウント連携処理を行い、前記サービスプロバイダ装置における前記ユーザの識別子であるSP側ユーザIDを作成するアカウント連携部と、前記アカウント連携処理後に前記IDP認証連携要求を前記IDP認証連携部に送信する認証連携要求転送部とを具備する認証連携制御部と、を備え、前記サービスプロバイダ装置は、前記認証連携応答を受信した場合に前記サービスデータの送信を許可するログイン処理の認証方式名と、前記署名生成鍵に対応する署名検証鍵とを含む検証ポリシを記憶する検証ポリシ記憶部と、前記アカウント連携処理において発行される前記SP側ユーザIDと、前記ユーザ属性情報に含まれるユーザ属性の項目名および項目値のうちの少なくとも一つの項目名と項目値とであるユーザ属性部分情報とを関連付けたアカウント登録を記憶するSPユーザ属性情報記憶部と、前記IDP認証連携部から前記認証連携応答を受信した場合、前記検証ポリシ内の認証方式名と署名検証鍵とに基づいて、前記認証方式名とデジタル署名とをそれぞれ検証し、前記検証した結果がいずれも正当のとき、認証トークンを発行し、前記認証トークンと前記サービスデータとを前記ユーザ端末に送信するSP認証連携部と、前記SP側ユーザIDと、前記認証トークンとを関連付けて記憶するSP認証セッション記憶部と、を備える認証連携システム。ユーザが操作するユーザ端末にサービスデータを送信するサービスプロバイダ装置と接続され認証連携システムを構成する、前記サービスプロバイダ装置にサービス利用要求を行なう前記ユーザ端末のログイン処理を行うIDプロバイダ装置であって、前記ユーザを識別するユーザ識別子含む前記ユーザを特定するためのユーザ属性の項目名と前記ユーザ属性の項目値とを関連付けたIDPユーザ属性情報を記憶するIDPユーザ属性情報記憶部と、前記ユーザIDと前記ユーザのログイン状態がログイン完了状態であることを示す認証トークンとを対応付けて記憶するIDP認証セッション記憶部と、前記サービスデータの送信が許可される対象となるユーザを示すポリシ情報を記憶するポリシ情報記憶部と、前記IDプロバイダ装置の署名生成鍵を記憶する鍵記憶部と、前記ユーザ端末のログイン処理が未完了状態である場合には、前記ユーザ端末にログイン要求を行い、前記ユーザ端末のログイン処理が完了状態である場合には、前記サービス利用要求を受信した前記サービスプロバイダ装置から発行されるSP認証連携要求を受信し、前記ログイン処理の認証方式名を含むアサーション本文に対して前記署名生成鍵に基づくデジタル署名を生成し、当該アサーション本文と当該デジタル署名とを含む認証アサーションを作成し、前記認証アサーション含む認証連携応答を前記サービスプロバイダ装置に送信するIDP認証連携部と、前記ユーザ端末から前記SP認証連携要求を受信した場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンが記憶されているか否かを確認するログイン状態確認処理を行うログイン状態判定部と、前記ログイン状態確認処理の結果がログイン未完了の状態であれば、前記SP認証連携要求を前記IDP認証連部に転送する認証連携要求転送部と、前記ユーザ端末から、前記IDP認証連携部からの前記ログイン要求に基づいて送信された前記ユーザの認証情報を受信し、受信した前記認証情報に基づいて前記ログイン処理を行う認証識別部と、前記ログイン状態確認処理の結果がログイン完了状態である場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンに対応付けて記憶されたユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可されるユーザであるか否かを評価し、前記ログイン状態確認処理の結果がログイン未完了の状態である場合に、前記認証情報に含まれるユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可される対象となるユーザであるか否かを評価するポリシ評価部と、前記ポリシ評価部による評価結果が許可である場合に、前記取得されたIDPユーザ属性情報を参照して前記サービスプロバイダ装置とのアカウント連携処理を行い、前記サービスプロバイダ装置における前記ユーザの識別子であるSP側ユーザIDを作成するアカウント連携部と、前記アカウント連携処理後に前記SP認証連携要求を前記IDP認証連携部に送信する認証連携要求転送部とを具備する認証連携制御部と、前記サービスプロバイダ装置から送信された前記認証連携要求を前記認証連携制御部に転送する転送装置と、を備えるIDプロバイダ装置。ユーザが操作するユーザ端末にサービスデータを送信するサービスプロバイダ装置と接続され認証連携システムを構成し、ユーザ端末のログイン処理を行うIDプロバイダ装置であって、前記ユーザを識別するユーザ識別子含む前記ユーザを特定するためのユーザ属性の項目名と前記ユーザ属性の項目値とを関連付けたIDPユーザ属性情報を記憶するIDPユーザ属性情報記憶部と、前記ユーザIDと前記ユーザのログイン状態がログイン完了状態であることを示す認証トークンとを対応付けて記憶するIDP認証セッション記憶部と、前記サービスデータの送信が許可される対象となるユーザを示すポリシ情報を記憶するポリシ情報記憶部と、前記IDプロバイダ装置の署名生成鍵を記憶する鍵記憶部と、前記ユーザ端末からサービス利用要求を受信した場合に、前記サービスプロバイダ装置に対するIDP認証連携要求を発行するIDP認証連携要求部と、前記ユーザ端末のログイン処理が未完了状態である場合には、前記ユーザ端末にログイン要求を行い、前記ユーザ端末のログイン処理が完了状態である場合には、前記IDP認証連携要求を受信し、前記ログイン処理の認証方式名を含むアサーション本文に対して前記署名生成鍵に基づくデジタル署名を生成し、当該アサーション本文と当該デジタル署名とを含む認証アサーションを作成し、前記認証アサーション含む認証連携応答を前記サービスプロバイダ装置に送信するIDP認証連携部と、前記IDP認証連携要求を受信した場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンが記憶されているか否かを確認するログイン状態確認処理を行うログイン状態判定部と、前記ログイン状態確認処理の結果がログイン未完了の状態であれば、前記IDP認証連携要求を前記IDP認証連部に転送する認証連携要求転送部と、前記ユーザ端末から、前記IDP認証連携部からの前記ログイン要求に基づいて送信された前記ユーザの含む認証情報を受信し、受信した前記認証情報に基づいて前記ログイン処理を行う認証識別部と、前記ログイン状態確認処理の結果がログイン完了状態である場合に、前記認証セッション記憶部に当該ユーザに発行された認証トークンに対応付けて記憶されたユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可される対象となるユーザであるか否かを評価し、前記ログイン状態確認処理の結果がログイン未完了の状態である場合に、前記認証情報に含まれるユーザIDに基づいて前記IDPユーザ属性情報記憶部から取得したIDPユーザ属性情報と前記ポリシ情報とに基づいて前記ユーザ端末を操作するユーザがサービスデータの送信が許可されるユーザであるか否かを評価するポリシ評価部と、前記ポリシ評価部による評価結果が許可である場合に、前記取得されたIDPユーザ属性情報を参照して前記サービスプロバイダ装置とのアカウント連携処理を行い、前記サービスプロバイダ装置における前記ユーザの識別子であるSP側ユーザIDを作成するアカウント連携部と、前記アカウント連携処理後に前記IDP認証連携要求を前記IDP認証連携部に送信する認証連携要求転送部とを具備する認証連携制御部と、を備えるIDプロバイダ装置。前記ユーザIDと、前記各サービスプロバイダ装置のサービス利用状況とを関連付けたサービス利用状況情報を記憶するサービス利用状況記憶部を備え、前記認証連携要求事前処理部は、前記サービス利用状況記憶部に記憶された前記サービス利用状況情報と前記ポリシ情報記憶部に記憶された前記ポリシ情報とを参照して前記ユーザ端末を操作するユーザがサービスデータの送信が許可されるユーザであるか否かを評価する請求項3に記載のIDプロバイダ装置。本発明が解決しようとする課題は、IDプロバイダ装置を改造する必要がないため導入が容易であり、かつ、SSOの過程でアカウント登録および連携を実行する際に人手を介さないでサービス利用可否の決定を行うことができる認証連携システムおよびIDプロバイダ装置を提供することである。実施形態のIDプロバイダ装置は、サービスデータの送信が許可される対象となるユーザを示すポリシ情報を記憶するポリシ情報記憶部と、認証連携要求を受信した場合に、ユーザ端末のログイン状態に応じたタイミングでポリシ評価処理とアカウント連携処理とを行なう認証連携要求事前処理部と、サービスプロバイダ装置から認証連携要求を受信した場合に、当該認証連携要求を認証連携要求事前処理部に転送する認証連携要求転送部と、を備える。以下、図面を参照して本発明の実施形態に係る認証連携システムについて説明する。第1の実施形態以下、図1乃至図15を参照して本実施形態の認証連携システムについて説明する。図1は、本実施形態の認証連携システムの基本構成を示すブロック図である。この認証連携システムは、ユーザが操作するユーザ端末100に対してログイン処理を実行可能なIDプロバイダ装置200と、ログイン処理が成功した場合にユーザ端末100にサービスデータを送信可能なサービスプロバイダ装置300とを備えている。なお、サービスプロバイダ装置300は、複数台あってもよいが、ここでは1台のみを図示している。また、ユーザ端末100と、IDプロバイダ装置200と、サービスプロバイダ装置300とは、それぞれネットワークを介して接続されても良い。ユーザ端末100は、通常のコンピュータ機能を有し、IDプロバイダ装置200およびサービスプロバイダ装置300と通信可能な装置であり、ユーザの操作に応じて、サービスプロバイダ装置300の利用を要求するSP利用要求をサービスプロバイダ装置300に送信する機能と、ユーザ端末100とIDプロバイダ装置200との間でログイン処理を実行する機能と、サービスプロバイダ装置300からサービスデータを受信する機能と、予めメモリに記憶したサービス利用アプリケーションプログラムをCPUが実行することにより、当該受信したサービスデータを再生する機能と、ユーザインタフェース機能と、を備える。IDプロバイダ装置200は、ログイン処理、すなわちサービスプロバイダ装置300が提供するサービスを利用するユーザの認証を行う。また、IDプロバイダ装置200は、後述するポリシ情報に基づき、サービスプロバイダへのユーザのアカウント登録とアカウント連携とを行う。IDプロバイダ装置200は、ポータルサーバ210、Webサーバ220、IDP認証連携部230、認証連携制御システム240、IDPユーザストア250、ポリシストア260、認証セッション一時記憶装置第1メモリ270、および鍵記憶装置280を備えている。ポータルサーバ210はユーザに、アクセス先のサービスプロバイダを表示する。Webサーバ220は、リバースプロキシ装置第1のメッセージ転送部221と転送先URL記憶装置222を備え、ユーザ端末100からのメッセージを受信する。すなわち、Webサーバ220がメッセージを受信すると、リバースプロキシ装置221は、転送先URL記憶装置222を参照して受信したメッセージを転送する。図2は転送先URL記憶装置222に記憶された転送先URL管理テーブル223の一例である。図2に示すように本実施形態の転送先URL管理テーブル223は、インターネット公開URLと転送先URLとが対応付けられて記憶され、各インターネット公開URLと転送先URLにはIDが付与されている。すなわち、リバースプロキシ装置221は、ユーザ端末100からwebサーバ220が受信したメッセージに対応するインターネット公開URLを検索し、検索結果に対応する転送先URLに当該メッセージを転送する。IDP認証連携部230は、SSOのIDプロバイダ機能を有する。ここで、図3を参照して、IDP認証連携部230の構成の一例について説明する。図3に示すように、本実施形態のIDプロバイダ装置200のIDP認証連携部230は、認証連携要求メッセージ受信部232、ログイン要求メッセージ送信部233、ログイン応答メッセージ受信部234、および認証連携応答メッセージ送信部235を備える。認証連携要求メッセージ受信部232は、後述するサービスプロバイダ装置300のSP認証連携部330から認証連携要求メッセージを受信する。認証連携要求メッセージは例えば、HTTPリクエストの形態であり、サービスプロバイダ装置300がユーザ端末100からサービス利用要求を受信した場合に、IDプロバイダ装置200に認証連携を要求するために発行するメッセージである。また、認証連携要求メッセージ受信部232は、ユーザ端末のログイン状態を確認し、ログイン完了状態であれば、後述する認証連携応答メッセージ送信部235にユーザを認証したことを示す認証連携応答メッセージの作成を依頼する。ログイン要求メッセージ送信部233は、ログイン未完了のユーザ端末100にログイン要求メッセージを送信する。ログイン応答メッセージ受信部234は、ログイン要求メッセージへの応答情報として、ユーザ端末100によって入力されたログイン応答メッセージを受信し、ユーザのログイン処理を行う。具体的には、ログイン応答メッセージ受信部234は、当該ユーザ端末100から、ログイン要求メッセージへの応答情報としてユーザIDおよびユーザ認証情報を含むログイン応答メッセージを受信した場合に、IDプロバイダユーザストア250以下、IDPユーザストア250という内のユーザIDおよび参照情報に基づいて認証する処理である。ここで、図4を参照して、IDPユーザストア250について説明する。IDPユーザストア250は、IDプロバイダ装置200に所属するユーザに関する属性情報以下、ユーザ属性情報というを記憶する。図4に示すように、IDPユーザストア250は、ユーザを特定するためのユーザ属性の項目名とユーザ属性の項目値とを関連付けたユーザ属性情報251を記憶する。ユーザ属性情報251は、例えばユーザを識別するユーザIDと、ユーザの氏名と、ユーザの従業員番号と、ユーザの所属部と、ユーザの所属課と、ユーザの役職と、ユーザ端末のアドレス情報と、ユーザのログイン処理をした際に参照する参照情報と、ユーザの電話番号と、を項目名に含む。なお、IDPユーザストア250にユーザ属性情報251は複数記憶されているが、図4にはその一例を示している。すなわち、ユーザ属性情報251は個人の情報を特徴付ける情報の集合体である。なお、ユーザ属性情報251はこれらには限らず、例えば勤務状態といった任意の項目名と項目値とを更に含んでもよい。また、ユーザのログイン処理をした際に参照する参照情報は、本実施形態ではパスワードを用いるが、これには限らず、例えばユーザの指紋等の生体認証情報であってもよい。認証連携応答メッセージ送信部235は、認証連携要求メッセージ受信部232から認証連携応答メッセージ作成依頼を受信した場合に、IDプロバイダ装置200でユーザを認証したことを示す認証アサーションを含む認証連携応答メッセージを作成する。認証アサーションとは、サービスプロバイダ装置300が認証結果を信用できるかを判断するため、認証手段の種類やクレデンシャルがどのように作成されたかなどの情報が含まれる。ここで、図5に本実施形態のIDP認証連携部230が作成する認証アサーション231の一例を示す。図5に示すように、認証アサーション231は、認証連携IDと、ログイン処理の認証方式名を含むアサーション本文と、デジタル署名と含む。認証連携IDとは、IDプロバイダ装置200とサービスプロバイダ装置300の双方で、それぞれのユーザIDユーザIDとSP側ユーザIDを紐付けるためのIDであり、後述するアカウントプロビジョニング部247によって発行される。認証連携IDは、例えば、新規に発行してもよいし、IDプロバイダ装置200のユーザIDを指定してもよいし、IDプロバイダ装置200とサービスプロバイダ装置300間で共通のユーザ属性情報251であるメールアドレスを指定してもよい。なお、認証連携IDは、後述の認証連携応答確認処理で、サービスプロバイダ装置300が、利用要求してきたユーザを識別するために使用する。デジタル署名は、IDP認証連携部230によって当該アサーション本文に対して鍵記憶装置280内の署名生成鍵に基づいて生成される。なお、鍵記憶装置280は、IDプロバイダ装置200の署名生成鍵を記憶する。署名生成鍵としては、例えば、公開鍵暗号方式における公開鍵と秘密鍵との鍵ペアのうちの秘密鍵が使用可能となっている。また、認証連携応答メッセージ送信部235は、作成した認証連携応答メッセージをSP認証連携部330に対して送信する。続いて、図6を参照して、認証連携制御システム240の構成の一例について説明する。図6に示すように、認証連携制御システム240は、認証連携要求メッセージ事前処理部241と、ポリシ評価情報取得部245と、ポリシ評価部246と、アカウントプロビジョニング部247とを備える。認証連携要求メッセージ事前処理部241は、ログイン状態判定部242と、ユーザID取得部243と、認証連携要求メッセージ転送部第2のメッセージ転送部244とを備え、ユーザ端末100からIDプロバイダ装置200が認証連携要求メッセージを受信した場合に事前処理を行う。事前処理については後述する。ログイン状態判定部242はユーザ端末100から、例えばHTTPリクエストの形態である認証連携要求メッセージを受信した場合に、HTTPリクエストに含まれるCookieに格納されたにIDP認証トークンを参照してログイン状態を判定する。IDP認証トークンは、後述するログイン処理が行われるとIDプロバイダ装置200が発行する。すなわち、HTTPリクエスト中のCookieにIDP認証トークンが含まれる場合、IDプロバイダ装置200においてユーザがログイン完了状態である。なお、このCookieには当該IDP認証トークンが発行されたユーザを示すユーザIDもが含まれる。このCookieは、例えばIDプロバイダ装置に備えられたRAMのようなメモリに格納される。以下、Cookieが格納されたメモリを認証セッション一時記億装置270という。図7に認証セッション一時記憶装置270の一例を示す。ユーザID取得部243は、ログイン状態判定部242がログイン完了状態であると判定した場合に、当該認証連携要求メッセージからIDP認証トークンに対応したユーザIDを取得する。認証連携要求メッセージ転送部244は、IDプロバイダ装置200内には存在しないURL以下、ダミーURLというに認証連携要求メッセージを転送する。転送先のダミーURLはあらかじめ設定されており、ここではダミー1URLであるとする。ポリシ評価情報取得部245は、IDPユーザストア250と、後述するサービス利用状況データストア320とからポリシ評価情報を取得する。ポリシ評価情報とはIDPユーザストア250に記憶されたユーザ属性情報251と後述するSPサービスストア320に記憶されたユーザのサービス利用状況情報321~324を含む情報である。ポリシ評価部246は、ポリシ評価情報取得部245が取得したポリシ評価情報と、ポリシストア260で管理されるポリシ情報とに基づいて、サービスプロバイダ300を利用しようとするユーザの利用可否を判断する。本実施形態のポリシストア260は、通信が許可される対象となるユーザを示す複数のポリシ情報を記憶する。図8にポリシストア260の一例を示す。図8に示すように、ポリシストア260は、サービスプロバイダID毎に、当該サービスプロバイダIDで識別されるサービスプロバイダ装置300によるサービスデータの送信が許可されるユーザの所属および役職を示す複数の認証連携ポリシ以下、ポリシ情報という261262、263、264、を記憶する。なお、ポリシストア260は、ユーザの所属および役職といった静的なポリシ例えば、図8中のA~Cの[1]~[3]に加え、更に、サービスの利用数、従量制課金の合計といった動的なポリシ例えば、図8中のCの[4]を含んでもよい。例えば、上述したポリシの各要素について、サブジェクトは氏名や役職、所属など、リソースはサービスプロバイダIDやURLなど、アクションは利用開始や利用再開など、環境条件は何らかの要求を行なうユーザのIPアドレスやアクセス可能な期間や時刻などが該当する。また、責務条件はポリシアクセス可否条件評価の結果を受けて、認証連携の実行に際して課す作業になる。例えば、新規利用者を登録する要求は許可するが、その代わりに遊休者のIDを削除することは確実に実行せよというような指示になるのである例えば、図8中のBの[4]の[責務条件]。アカウントプロビジョニング部247は、ポリシ評価部246の利用可否の判断結果に基づき、IDPユーザストア250からユーザ属性情報251を取得し、取得したユーザ属性情報251を用いて、SPユーザストア310に対してアカウント登録を行う。すなわち、アカウントプロビジョニング部247は、認証連携IDを発行する。また、アカウントプロビジョニング部247は、IDPユーザストア250とSPユーザストア310の両方に対して、アカウント連携を行う。上述のような構成によって、認証連携制御システム240は、ユーザがSSOを要求したときもしくはSSO処理の途中で行われるログインのタイミングで、ポリシ情報に基づき後述するアカウント登録処理とアカウント連携処理を行う。ここでポリシ情報とは、誰どのユーザが、どのサービスプロバイダ装置に、どのような操作アクションを行うことができるか否かが定義された、ユーザのサービスプロバイダ利用可否条件の集合体を指す。言い換えると、ポリシ情報とは、サービスプロバイダ装置300にサービスデータの送信が許可される対象となるユーザを示す。また、ポリシ情報には、オプションとして環境条件や責務条件についても定義されるものもある。一方、サービスプロバイダ装置300は、ユーザが利用するサービスを提供するものである。サービスプロバイダ装置300は、サービスプロバイダ以下、SPと記載するユーザストア310、サービス利用状況データストア320、SP認証連携部330、検証ポリシストア340、一時記憶装置第2メモリ350を備えている。SPユーザストア310は、ユーザ属性部分情報記憶手段として機能する。なお、ユーザ属性部分情報とは、IDPユーザストア250内のユーザ属性情報251内のユーザ属性の項目名および項目値のうちの一部の項目名と項目値とである。このユーザ属性部分情報とサービスプロバイダ装置300におけるユーザID以下、SP側ユーザIDというと関連付けた情報をアカウント登録情報という311という。すなわち、SPユーザストア310は、サービスプロバイダ300が送信するサービスデータを利用するユーザのアイデンティティ情報を記憶する。なお、SPユーザストア310は、ユーザ属性部分情報ではなく、ユーザ属性情報251すべてをSP側ユーザIDに関連付けて記憶しても良い。具体的には、SPユーザストア310は、図9に示すように、認証連携IDと氏名とアドレス情報と電話番号などのユーザ属性情報の一部と、サービスプロバイダ装置300内でユーザを識別するSP側ユーザIDとを関連付けたアカウント登録情報311記憶している。サービス利用状況データストア320は、図10に示すように、サービスプロバイダ装置300ごとの、ユーザ利用管理テーブル321と、利用数管理テーブル322と、ディスク使用量管理テーブル323と、課金料金管理テーブル324とを記憶し、ユーザのサービス利用状況を監視している。ユーザ利用管理テーブル321は、SP側ユーザIDと、サービスデータの送信が許可された場合を示すサービス利用中、またはサービスデータの送信が許可されていない場合を示すサービス未利用のいずれかを示すサービス利用状況とを関連付けて書き込まれる。利用数管理テーブル322は、ユーザ利用管理テーブル321内のサービス利用状況が示すサービス利用中の個数を示す利用数と、利用数の上限値とを関連付けて書き込まれる。ディスク使用量管理テーブル323は、ユーザ利用管理テーブル321内のサービス利用状況が示すサービス利用中のサービスデータが使用しているディスク容量と、サービスプロバイダ装置300におけるディスク容量の上限値とを関連付けて書き込まれる。課金料金管理テーブル324は、ユーザ利用管理テーブル321内のサービス利用状況が示すサービス利用中のサービスに課金された料金の合計と、サービスプロバイダ装置300における課金料金の上限値とを関連付けて書き込まれる。サービスデータストア322には、これらの管理テーブル321~324の他に、例えばライセンス数を管理するテーブルを記憶しても良い。SP認証連携部330は、SSOのサービスプロバイダ機能を有する。SP認証連携部330は、具体的には、認証連携応答確認処理と、SP利用応答処理を行う。認証連携応答確認処理は、後述する検証ポリシストア340内の認証アサーション検証ポリシ内の認証方式名と署名検証鍵とに基づいて、IDプロバイダ装置200のIDP認証連携部230が作成する認証アサーション231の認証方式名とデジタル署名とをそれぞれ検証し、検証した結果がいずれも正当のとき、SP認証トークンを発行し、このSP認証トークンを認証連携IDおよびSP側ユーザIDに関連付けて一時記憶装置350に書き込む処理である。SP利用応答処理は、この認証連携応答確認処理においてSP認証トークンが発行された場合に、ユーザ端末100にサービスプロバイダ装置300が利用可能であると応答する処理である。図11に示すように検証ポリシストア340は、ログイン処理が成功した場合にサービスデータの送信を許可するログイン処理の認証方式名と、IDプロバイダ装置200の署名生成鍵に対応する署名検証鍵とを含む認証アサーション検証ポリシ341を記憶する。署名検証鍵としては、例えば、公開鍵暗号方式における公開鍵と秘密鍵との鍵ペアのうちの公開鍵が使用可能となっている。一時記憶装置350は、RAM等のような一時的なメモリであり、図12に示すように、例えば、登録されたアカウント登録情報311内の認証連携IDと、SP側のユーザIDと、発行されたSP認証トークンとを関連付けて記憶する。ここで、本実施形態の認証連携システムの認証連携処理について図13乃至図15を参照して説明する。なお、本実施形態では、IDプロバイダ装置200とサービスプロバイダ装置300との間でSSO処理が可能な状態であり、かつ当該IDプロバイダ側の組織に所属するユーザが当該サービスプロバイダ装置300にアカウントが登録されてない状態から開始される。また、ユーザのログイン状態と、ユーザからのSSO要求起点にはさまざまな組み合わせがあるが、本実施形態ではユーザのログイン状態は完了状態であり、かつユーザからのSSO要求起点がサービスプロバイダ装置300から開始とする。また、本実施形態の認証連携システムにおいては、SSOは上述した1~6の手順で行なわれるとする。この状態において、ユーザがサービスプロバイダ装置300にサービス利用要求をしたときに、SSO処理を実行し、サービスプロバイダ装置300のサービスを利用可能とする本実施形態の認証連携システムの動作について説明する。図13乃至図15は本実施形態の認証連携システムの動作の一例を示すシーケンス図である。なお、シーケンス図にはステップ番号を付与しており、小さい番号から順に処理が行われるとする。図13に示すように、ステップS1では、ユーザが、アカウントが未登録のサービスプロバイダ装置300のサービスを利用するために、ユーザ端末100を操作し所望のサービスプロバイダ装置300にサービス要求を行なう。サービスプロバイダ装置300へのサービス要求は、例えば、ユーザ端末100の表示部図示しないに表示されたサービス公開URLのリンクのうち、ユーザの所望のリンクを、入力部図示しないを用いてクリックする。ステップS2ではユーザ端末100は、ユーザの操作により、サービスプロバイダ装置300にサービス要求以下、SP利用要求メッセージというを送信する。サービスプロバイダ装置300は、アクセス管理を担うSP認証連携部330がSP利用要求メッセージを受信する。ステップS3では、SP利用要求メッセージを受信したSP認証連携部330が、ユーザの認証連携状態を確認する。認証連携状態の確認は、例えば、ユーザからのSP利用要求メッセージがHTTPリクエストの形態の場合、そのHTTPリクエストに含まれるCookieの中に、SP認証連携部330が発行したSP認証トークンが存在するかしないかで判断する。当該SP認証トークンが存在すれば、SP認証連携部330は、ユーザ端末100の認証連携が完了した状態とみなす。一方、当該SP認証トークンが存在しない場合は、SP認証連携部330は、ユーザ端末100の認証連携が未完了の状態とみなし、ユーザ端末のアドレス情報を含む認証連携要求メッセージを作成する。本実施形態では、認証連携が未完了状態とする。ステップS4では、SP認証連携部330が、ステップS3での認証連携状態の確認結果、認証連携が未完了状態であるため、IDP認証連携部230の認証連携要求メッセージ受信部232を宛先とした認証連携要求メッセージを発行し、ユーザ端末100に送信する。ステップS5では、ユーザ端末100が、認証連携要求メッセージを受信すると、指定された宛先ここでは、IDP認証連携部230の認証連携要求メッセージ受信部232にリダイレクトする。ステップS6では、ステップS5においてユーザ端末100によってリダイレクトされた認証連携要求メッセージを、一旦Webサーバ220が受信する。Webサーバ220が認証連携要求メッセージを受信すると、リバースプロキシ装置221が、転送先URL記憶装置222に記憶された転送先URL管理テーブル223に基づいて、メッセージ転送の要否判定を行う。判定方法は、転送先URL管理テーブル223のインターネット公開URLフィールドの中に、受信した認証連携要求メッセージの宛先と適合するURLを検索する。ここでは、No.1のID1-Aが適合するため、転送先はID1-Bの認証連携制御システム240の認証連携要求メッセージ事前処理部241となる。ステップS7では、Webサーバ220が、リバースプロキシ装置221を通じて、前ステップの判定において転送先と判定されたID1-Bの認証連携制御システム240の認証連携要求メッセージ事前処理部241を宛先として、認証連携要求メッセージを転送する。続いて、図14の処理に進む。図14のステップS8では、転送された認証連携要求メッセージを受信した認証連携要求メッセージ事前処理部241のログイン状態判定部242が、ユーザのログイン状態を判定する。ログイン状態の確認は、認証セッション一時記憶装置270におけるIDP認証トークンの有無によって確認する。本実施形態によると、ログイン完了状態であるため、認証セッション一時記憶装置270にIDP認証トークンが存在する。したがって、ログイン状態判定部242はログイン完了状態と判定し、判定結果をユーザID取得部243に送信する。続いて、ステップS9では、ユーザID取得部243が、認証セッション一時記憶装置270から、ステップS8において確認されたIDP認証トークンと対応付けられたユーザIDを取得する。ステップS10では、認証連携要求メッセージ事前処理部241が、ポリシ評価情報取得部245に対し、ポリシ評価情報の取得を依頼する。このとき、ステップS9で取得したユーザIDもポリシ評価情報取得部245に送信する。ステップS11では、ポリシ評価情報取得部245が、サービスプロバイダ装置300のサービス利用状況データストア320にアクセスし、サービス利用状況情報321~324を取得する以下、サービス利用状況情報取得処理という。ステップS12では、ポリシ評価情報取得部245が、認証連携要求メッセージ事前処理部241から受信したユーザIDを検索キーとして、図4に示したIDPユーザストア250から、ユーザ属性情報251を取得する以下、ユーザ属性情報取得処理という。ステップS13では、認証連携要求メッセージ事前処理部241は、ポリシ評価部246に対し、ポリシ評価の実行を依頼する。このとき、ステップS11の実行によって得られたサービス利用状況情報321~324と、ステップS12の実行によって得られたユーザ属性情報251を、ポリシ評価情報としてまとめ、それをポリシ評価部246に引き渡す。ステップS14では、ポリシ評価部246は、図8のポリシストア260から、ユーザが指定したサービスプロバイダ装置300に関するポリシ情報261を取得する。ステップS15では、ポリシ評価部246が、ステップS13で取得されたポリシ評価情報と、ステップS14で取得したポリシ情報を使って、ポリシ評価を行う。以下、ステップS13~ステップS15の処理をポリシ評価処理という。ポリシ評価処理の結果、当該ユーザのサービス利用可否が決定する。本実施形態では、サービス利用が許可されたとする。ステップS16では、サービス利用が許可の場合、認証連携要求メッセージ事前処理部241のアカウントプロビジョニング部247が、当該ユーザに関するアカウントプロビジョニングを実施する。このとき、ステップS12で取得されたユーザIDも送信する。ステップS17では、アカウントプロビジョニング部247が、ステップS16で受信したユーザIDを検索キーとして、IDPユーザストア250から当該ユーザのユーザ属性情報251の一部の属性情報であるユーザ属性部分情報を取得する。ステップS18では、アカウントプロビジョニング部247が、当該ユーザのSP側ユーザIDを作成し、取得したユーザ属性部分情報と対応付けてSPユーザストア310に登録するとともに、IDプロバイダ装置200とサービスプロバイダ装置300の両アカウントを紐付ける認証連携IDも登録する。本実施形態では、認証連携IDとして、IDプロバイダ装置200のユーザIDを指定する。以下、ステップS16~ステップS18の処理をアカウントプロビジョニング処理アカウント連携処理という。続いて、図15のステップS19の処理に進む。図15のステップS19では、認証連携要求メッセージ事前処理部241の認証連携要求メッセージ転送部244が、IDプロバイダ装置200内には存在しないダミーのURLを宛先として、ユーザ端末100に向けて認証連携要求メッセージを転送する。ここでは、ダミーのURLはダミー1URLであるとする。ステップS20では、認証連携要求メッセージを受信したユーザ端末100が、指定のURL、すなわち、ダミー1URLに認証連携要求メッセージをリダイレクトする。ステップS21では、Webサーバ220が、ユーザ端末100によってリダイレクトされた認証連携要求メッセージを一旦受信する。Webサーバ220のリバースプロキシ装置221は、転送先URL記憶装置222に保存された転送先URL管理テーブル223に基づいたメッセージ転送の要否判定を行う。なお、判定方法は、転送先URL管理テーブル223のインターネット公開URLフィールドの中から、ステップS20で受信した認証連携要求メッセージの宛先と適合するURLを検索する。ここでは、ID1-Cが適合するため、転送先はID1-D、すなわちIDP認証連携部230の認証連携要求メッセージ受信部232となる。続いて、メッセージ転送処理が行われる。ステップS22では、Webサーバ220のリバースプロキシ装置221が、ステップS21の判定結果に基づいて、IDP認証連携部230の認証連携要求メッセージ受信部232を宛先として、認証連携要求メッセージを転送する。ステップS23では、IDP認証連携部230の認証連携要求メッセージ受信部232が、認証連携要求メッセージを受信後、ユーザのログイン状態を確認する。ログイン状態の確認は、例えば認証セッション一時記憶装置270にユーザに発行されたIDP認証トークンが記憶されているか否かを確認することによって行なう。本実施形態ではログイン完了状態としているためIDP認証トークンが存在する。ステップS24では、IDP認証連携部230の認証連携要求メッセージ受信部232が、ログイン状態の確認後、ログイン完了状態であるため、認証連携応答メッセージ送信部235に対し、認証連携応答メッセージの送信を要求する。認証連携応答メッセージとは、サービスプロバイダ300に、IDプロバイダ装置200でユーザを認証したことを示す認証アサーションを含む。ステップS25では、認証連携応答メッセージ送信部235が、IDプロバイダ装置200側でユーザを認証したことを証明する認証アサーションを作成し、作成した認証アサーションを含める認証連携応答メッセージを作成する。作成した認証連携応答メッセージはSP認証連携部330を宛先として、ユーザ端末100に送信する。ステップS26では、ユーザ端末100が、指定の宛先であるSP認証連携部330に対し、受信した認証連携応答メッセージをリダイレクトする。ステップS27では、認証連携応答メッセージを受信したSP認証連携部330が、認証連携応答確認処理を行い、確認結果に基づいて認証連携を行う。認証連携応答確認処理では、具体的には、SP認証連携部330は、受信したメッセージに含まれる認証アサーションの検証を行う。なお、認証アサーションの検証は、図11に示した検証ポリシストア340の認証アサーション検証ポリシに従って行う。検証の結果、問題がなければ、SP認証連携部330は認証連携を完了し、SP認証トークンを発行する。SP認証連携部330が発行したSP認証トークンは、例えば、HTTPCookieやセッション情報に格納する。なお、ステップS24~S27の処理を認証連携応答処理という。ステップS28では、認証連携を完了したSP認証連携部330が、ユーザ端末100に当該SP認証トークンとサービスデータとを含むSP利用応答メッセージを送信し、ユーザに利用可能である旨を通知するSP利用応答処理を行う。これによって、IDプロバイダ装置200所属のユーザとサービスプロバイダ装置300との間でのSSO処理が終了する。上述のように、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザが、サービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は完了状態であり、かつユーザからのSSO要求起点がサービスプロバイダ装置300から開始する場合において、SSOの過程でアカウント登録および連携を実行する際の人手を介さないサービス利用可否の決定を行うことが可能となる。具体的には、本実施形態の認証連携システムは、SSO処理手順2と3の間に、ポリシストア260に事前に記憶されたサービス利用に関するポリシ情報261とサービス利用状況データストア320の利用状況321~324に基づき、サービスプロバイダ装置300が提供するサービスを、認証連携要求を行なったユーザが利用可能か否かを評価した後、サービスプロバイダ装置300へのアカウント登録とアカウント連携を行う処理を割り込ませることで、ユーザ端末100を介したサービスプロバイダ装置300が提供するサービスの利用申請からSSOに至る一連の処理を自動化させることができる。したがって、本実施形態の認証連携システムによって、ユーザ所属の上長やIS部門など人手を介すことなく、ユーザがスムーズにサービス利用を開始できる。また、本実施形態の認証連携システムによると、IDプロバイダ装置200の認証連携サーバ230が、SSO手順2~4の処理を連続して行う中で、SSO手順3の直前に、ポリシ評価、およびアカウント登録アカウント連携を行なうアカウントプロビジョニング処理の割り込みをIDプロバイダ装置の認証連携サーバ製品を直接改造することなく実現することが可能となる。このため、導入コストも低く、容易に、かつ人手を介さずにサービス利用可否を決定できる認証連携システムの提供が可能となる。また、本実施形態の認証連携システムによると、ユーザがSSOを要求したときの起点が、サービスプロバイダ装置300の動作が開始したときであって、ユーザのログインが完了である場合に、適切なタイミングで、ポリシ評価とアカウントプロビジョニングを実施できる。第2の実施形態第2の実施形態の認証連携システムについて図16乃至図19を参照して説明する。本実施形態は第1の実施形態と同様に、IDプロバイダ装置200とサービスプロバイダ装置300との間でSSO処理が可能な状態であり、かつ当該IDプロバイダ装置200が設置された組織に所属するユーザが当該サービスプロバイダ装置300にアカウントが登録されてない状態から開始される。また、本実施形態の認証連携システムは第1の実施形態と同様に、SSOは上述した1~6の手順で行なわれるとする。また、ユーザのログイン状態と、ユーザからのSSO要求起点にはさまざまな組み合わせがあるが、本実施形態ではユーザのログイン状態は未完了状態であり、かつユーザからのSSO要求起点がサービスプロバイダ装置300から開始とする。ここで、図16を参照して、本実施形態の認証連携システムの機能構成について説明する。なお、第1の実施形態と同一の構成には同一の符号を付し、説明は省略する。図16は本実施形態の認証連携制御システム240の機能構成の一例を示す図である。図16に示すように、本実施形態の認証連携制御システム240は、ポリシ評価情報取得部245と、ポリシ評価部246と、アカウントプロビジョニング部247と、ログイン応答メッセージ事前処理部290を備える。ログイン応答メッセージ事前処理部290は、認証情報抽出部291と、認証識別部292と、ログイン応答メッセージ転送部293とを備える。認証情報抽出部291は、ユーザ端末100からログイン応答メッセージを受信した場合に、ログイン応答メッセージに含まれるユーザIDとパスワードとを認証情報として抽出する。なお、ログイン応答メッセージは、ユーザがログイン未完了の場合にIDプロバイダ装置200から送信されるログイン要求メッセージに応答するために、ユーザ端末100によって入力される。ログイン応答メッセージは、例えば、ユーザがログイン未完了の場合にユーザ端末100に表示されるログイン画面を介して入力される。ログイン画面には、具体的には、ユーザIDとパスワードを入力する欄が表示される。認証識別部292は、認証情報抽出部291によって抽出された認証情報と、図4に示したIDPユーザストア250に含まれるユーザIDおよび参照情報に基づいてユーザの認証と識別を行う。具体的に、認証識別部292は、認証情報抽出部291が抽出したユーザIDに基づいてIDPユーザストア250を検索し、ユーザIDが一致するユーザ属性情報に含まれる参照情報と認証情報抽出部291が抽出したパスワードが一致するかを判定する。ログイン応答メッセージ転送部293は、ダミーURLにログイン応答メッセージを転送する。図17乃至図19を参照して、ユーザがサービスプロバイダ装置300にサービス利用要求をしたときに、SSO処理を実行し、サービスプロバイダ装置300のサービスを利用可能とする、本実施形態の認証連携システムの認証連携処理について説明する。図17乃至図19は、本実施形態の認証連携処理の一例を示すシーケンス図である。なお、本実施形態の認証連携処理は、図13に示したステップS1~ステップS7の処理に続いて、図17乃至図19に示したステップS30~ステップS50の処理を行う。ステップS1~ステップS7の処理は第1の実施形態と同様であるため省略し、図17のステップS30から説明する。ステップS30では、本実施形態のログイン状態判定部242がログイン状態は未完了状態であると判定し、判定結果を認証連携要求メッセージ転送部244に送信する。ステップS31では、認証連携要求メッセージ転送部244が、認証連携要求メッセージをダミーURL宛に転送する。ここでは、ダミーのURLはダミー1URLであるとする。ステップS32では、認証連携要求メッセージを受信したユーザ端末100が、指定のURL、すなわち、ダミー1URLに認証連携要求メッセージをリダイレクトする。ステップS33では、Webサーバ220が、ユーザ端末100によってリダイレクトされた認証連携要求メッセージを一旦受信する。Webサーバ220のリバースプロキシ装置221は、転送先URL記憶装置222に保存された転送先URL管理テーブル223に基づいたメッセージ転送の要否判定を行う。ここでは、ID1-Cが適合するため、転送先はID1-D、すなわちIDP認証連携部230の認証連携要求メッセージ受信部232となる。続いて、メッセージ転送処理が行われる。ステップS34では、Webサーバ220のリバースプロキシ装置221が、ステップS33の判定結果に基づいて、IDP認証連携部230の認証連携要求メッセージ受信部232を宛先として、認証連携要求メッセージを転送する。ステップS35では、IDP認証連携部230の認証連携要求メッセージ受信部232が、認証連携要求メッセージを受信後、ユーザのログイン状態を確認する。ログイン状態の確認は図14のステップS8と同様の処理であるため、説明は省略する。本実施形態では、ログイン未完了である。ステップS36では、ステップS35の判定結果に基づいて、ログイン要求メッセージ送信部233が、ユーザ端末100にログイン要求メッセージを送信する。ステップS37では、ログイン要求メッセージを受信したユーザ端末100に、ログイン画面が表示され、ユーザが当該ログイン画面を介してユーザIDとパスワードとを入力する。ステップS38では、ユーザ端末100が、ステップS37で入力された当該ユーザIDとパスワードとを含むログイン応答メッセージをIDP認証連携部230のログイン応答メッセージ受信部234を宛先として送信する。続いて図18のステップS39に進む。図18のステップS39ではWebサーバ220が、ステップS38でユーザ端末100によって送信されたログイン応答メッセージを一旦受信する。また、Webサーバ220のリバースプロキシ装置221は、転送先URL記憶装置222に保存された転送先URL管理テーブル223に基づいて、当該ログイン応答メッセージの転送制御の要否判定を行う。なお、判定方法は、転送先URL管理テーブル223のインターネット公開URLフィールドの中から、受信したログイン応答メッセージの宛先と適合するURLを検索する。ここでは、ID3-Aが適合するため、メッセージ転送要と判定される。なお、転送先URL管理テーブル223に一致するURLが存在しない場合は転送制御不要と判定される。ここでは、転送先はID3-B、すなわち認証連携システム240のログイン応答メッセージ事前処理部290となる。続いて、メッセージ転送処理が行われる。ステップS40では、Webサーバ220のリバースプロキシ装置221が、ステップS39の判定結果に基づいて、ログイン応答メッセージ事前処理部290を宛先として、ログイン応答メッセージを転送する。ステップS41では、ログイン応答メッセージ事前処理部291の認証情報抽出部291が、受信したログイン応答メッセージから、ユーザIDとパスワードを認証情報として抽出する。ステップS42では、ログイン応答メッセージ事前処理部291の認証識別部292が、ステップS41で抽出されたユーザIDを検索キーとして、IdPユーザストア250のユーザ属性情報を検索し、パスワードを取得する。ステップS43では、ログイン応答メッセージ事前処理部291の認証識別部292が、取得したパスワードと、ログイン応答メッセージから抽出されたパスワードとを照合し、ユーザの認証を行うとともに、ユーザIDによるユーザの識別を行う。本実施形態では、ユーザを認証できたとする。ステップS44では、ログイン応答メッセージ事前処理部291が、ポリシ評価情報取得部245に、ポリシ評価情報の取得要求を送信する。このとき、ログイン応答メッセージから取得されたユーザIDもともに送信する。ステップS44の処理に引き続いて、図14のステップS11のサービスデータ取得処理、図14のステップS12のユーザ属性情報取得処理、ステップS13~S15のポリシ評価処理、およびステップS16~S18のアカウントプロビジョニング処理は行われる。これらの処理は第1の実施形態で説明済みであるため省略する。続いて、図19のステップS45では、ログイン応答メッセージ事前処理部291のログイン応答メッセージ転送部293が、IDプロバイダ装置200内には存在しないダミーのURLを宛先として、ユーザ端末100に向けてログイン応答メッセージを転送する。なお、本実施形態ではログイン応答メッセージ転送部293が転送するダミーのURLはあらかじめ設定されており、ダミー3URLであるとする。ステップS46では、ログイン応答メッセージを受信したユーザ端末100が、宛先であるダミー3URLにログイン応答メッセージをリダイレクトする。ステップS47では、Webサーバ220が、ユーザ端末100によってリダイレクトされたログイン応答メッセージを一旦受信する。ここで、Webサーバ220のリバースプロキシ装置221が、転送先URL記憶装置222に記憶された転送先URL管理テーブル223に基づき、メッセージ転送の要否判定を行う。判定方法は、転送先URL管理テーブル223のインターネット公開URLフィールドの中の受信したログイン応答メッセージの宛先と一致するURLを検索し、一致するURLが存在する場合に転送要とする。ここでは、ID3-Cが適合するため、転送先は対応する転送先URLのID3-Dである。すなわち、リバースプロキシ装置221は、IDP認証連携部230のログイン応答メッセージ受信部234にログイン応答メッセージの転送が必要であると判定する。ステップS48では、Webサーバ220のリバースプロキシ装置221が、ステップS47での判定結果に基づいて、IDP認証連携部230のログイン応答メッセージ受信部234を宛先として、ログイン応答メッセージを転送する。ステップS49では、IDP認証連携部230のログイン応答メッセージ受信部234が、受信したログイン応答メッセージに基づいてログイン処理を行う。ログイン処理は、具体的には、ログイン応答メッセージ受信部234が、受信したログイン応答メッセージログインからユーザIDとパスワードを取得する。取得したユーザIDを検索キーとして、ログイン応答メッセージ受信部234がIDPユーザストア250からパスワードを取得し、ログイン応答メッセージから抽出したパスワードと照合してユーザの認証を行う。なお、本実施形態では、ユーザの認証が確認できたとする。ステップS50では、ログイン応答メッセージ受信部234が、IDプロバイダ装置200においてログインが完了したことを示すIDP認証トークンを発行し、ユーザIDとともに認証セッション一時記憶装置270に格納する。ステップS50に続いて、図15のステップS24~ステップS27における認証連携応答処理とステップS28におけるSP利用応答処理を行い、本実施形態の認証連携処理は終了する。上述のように、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザがサービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は未完了状態であり、かつユーザからのSSO要求起点がサービスプロバイダ装置300から開始する場合において、SSOの過程でアカウント登録および連携を実行する際の人手を介さないサービス利用可否の決定を行うことが可能となる。また、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザがサービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は未完了状態であり、かつユーザからのSSO要求起点がサービスプロバイダ装置300から開始する場合において、適切なタイミングで、ポリシ評価とアカウントプロビジョニングを実施できる。第3の実施形態第3の実施形態の認証連携システムについて図20乃至図24を参照して説明する。本実施形態は第1の実施形態と同様に、IDプロバイダ装置200とサービスプロバイダ装置300との間でSSO処理が可能な状態であり、かつ当該IDプロバイダ装置200側の組織に所属するユーザが当該サービスプロバイダ装置300にアカウントが登録されてない状態から開始される。また、ユーザのログイン状態と、ユーザからのSSO要求起点にはさまざまな組み合わせがあるが、本実施形態ではユーザのログイン状態は完了状態であり、かつユーザからのSSO要求起点がIDプロバイダ装置200から開始されるIDP開始モデルとする。IDP開始モデルは、前述のSSO手順1において、ユーザ端末からIDプロバイダに対して、サービスプロバイダのサービス提供を要求するところから始まるモデルである。したがって、本実施形態ではSSO手順2は行われず、手順1に続いて3~6の処理を行う。ここで、図20および図21を参照して、本実施形態の認証連携システムの機能構成について説明する。なお、第1の実施形態および第2の実施形態と同一の構成には同一の符号を付し、説明は省略する。図20は本実施形態のIDP認証連携部230の機能構成の一例を示す図である。図20に示すように、本実施形態のIDP認証連携部230は、ログイン要求メッセージ送信部233と、ログイン応答メッセージ受信部234と、認証連携応答メッセージ送信部235と、認証連携応答発行要求メッセージ受信部236とを備える。認証連携応答発行要求メッセージ受信部236は、認証連携応答発行要求メッセージを受信する。なお、認証連携応答発行要求メッセージとは、IDP開始モデルにおいて発行されるサービスプロバイダ装置300への認証連携要求メッセージのことである。すなわち、ユーザ端末100からサービス利用要求を受信したIDプロバイダ装置200がサービスプロバイダ装置300に認証連携を要求するために発行するメッセージである。サービスプロバイダ装置300が発行する認証連携要求メッセージをSP認証連携要求メッセージといい、IDプロバイダ装置200が発行する認証連携要求メッセージ認証連携応答発行要求メッセージをIDP認証連携要求メッセージとしてもよい。図21は本実施形態の認証連携制御システム240の機能構成の一例を示す図である。図21に示すように、本実施形態の認証連携制御システム240は、認証連携応答発行要求メッセージ事前処理部294を備える。認証連携応答発行要求メッセージ事前処理部294は、認証連携応答発行要求メッセージ転送部295を備え、受信した認証連携応答発行要求メッセージの転送処理を行う。ここで、図22乃至図24を参照して、本実施形態における認証連携システムの認証連携処理について説明する。図22乃至図24は、本実施形態における認証連携処理の一例を示すシーケンス図である。まず、ステップS61では、ユーザが、サービスプロバイダ装置300のサービスを利用するために、ポータルサーバ210によってユーザ端末100に表示されたポータルメニュー画面を介して、サービスプロバイダ装置300が提供するサービス公開URLのリンクのうち所望のリンクをクリックすることにより、ユーザ端末100にSP利用要求が入力される。ステップS62では、ユーザ端末100がポータルサーバ210にSP利用要求メッセージを送信する。ステップS63では、Webサーバ220が、ユーザ端末100から送信されたSP利用要求メッセージを受信し、受信したSP要求メッセージの転送要否判定処理を行う。転送要否判定処理は、具体的には、Webサーバ220が備えるリバースプロキシ装置221が、転送先URL記憶装置222に記憶された転送先URL管理テーブル223に基づいて行う。例えば、図2の転送先URL管理テーブル223のインターネット公開URLフィールドの中に、受信したSP利用要求メッセージの宛先と適合するURLを検索する。ここでは宛先はポータルサーバ220であるが、図2のインターネット公開URLフィールドの中に適合するものがないため、リバースプロキシ装置221は転送処理が不要であると判定する。ステップS64では、リバースプロキシ装置221が、ステップS63での判定結果に基づいて、元々の宛先であるポータルサーバ220にSP利用要求メッセージを転送する。ステップS65では、SP利用要求メッセージを受信したポータルサーバ220が、IDP認証連携部230の認証連携応答発行要求メッセージ受信部236を宛先とした認証連携応答発行要求メッセージを作成し、ユーザ端末100に送信する。すなわち、ポータルサーバ220は認証連携応答発行要求機能を備える。ステップS66では、認証連携応答発行要求メッセージを受信したユーザ端末100が、指定された宛先である認証連携応答発行要求メッセージ受信部294にリダイレクトする。ステップS67では、Webサーバ220が、リダイレクトされた認証連携応答発行要求メッセージを受信し、受信したメッセージの転送要否判定処理を行う。転送要否判定処理はステップS63における処理と同様である。ここでは、宛先が、図2に示した転送先URL管理テーブル223のインターネット公開URLのID2-Aと一致するため、リバースプロキシ装置221は転送要と判定する。また、転送先URLは、ID2-Aに対応するID2-Bの転送先URLである。すなわち、転送先URLは、認証連携制御システム240の認証連携応答発行要求メッセージ事前処理部294である。ステップS68では、リバースプロキシ装置221が、ステップS67の判定結果に基づいて、認証連携制御システム240の認証連携応答発行要求メッセージ事前処理部294を宛先として、認証連携応答発行要求メッセージを転送する。図23のステップS69では、認証連携応答発行要求メッセージを受信した認証連携応答発行要求メッセージ事前処理部294のログイン状態判定部242が、ユーザのログイン状態を判定する。ログイン状態の確認は、認証セッション一時記憶装置270にユーザに発行されたIDP認証トークンが記憶されているか否かによって確認する。本実施形態では、認証セッション一時記憶装置270にIDP認証トークンが記憶されており、ログイン完了状態と判定される。ステップS70では、ユーザID取得部243が、認証セッション一時記憶装置270から、ステップS69におけるIDP認証トークンに対応づけられたユーザIDを取得する。ステップS71では、認証連携応答発行要求メッセージ事前処理部294が、ポリシ評価情報取得部245にポリシ評価情報の取得を要求する。このとき、ステップS70で取得されたユーザIDもポリシ評価情報取得部245に引き渡される。ステップS71に引き続いて、図14のステップS11のサービスデータ取得処理、図14のステップS12のユーザ属性情報取得処理、ステップS13~S15のポリシ評価処理、およびステップS16~S18のアカウントプロビジョニング処理が行われる。これらの処理は第1の実施形態で説明済みであるため省略する。続いて、図24のステップ72の処理を行う。ステップS72では、ステップS18のアカウントプロビジョニング終了後に、認証連携応答発行要求メッセージ受信部294が、宛先がダミーURLである認証連携応答発行要求メッセージをユーザ端末100に送信する。なお、認証連携応答発行要求メッセージ受信部294が送信するダミーURLはあらかじめ設定されており、本実施形態ではダミー2URLである。ステップS73では、認証連携応答発行要求メッセージを受信したユーザ端末100が、認証連携応答発行要求メッセージの宛先であるダミー2URLに、認証連携応答発行要求メッセージをリダイレクトする。ステップS74では、リバースプロキシ装置221が、転送先URL記憶装置223に記憶された転送先URL管理テーブル223に基づいて、ユーザ端末100によってリダイレクトされた認証連携応答発行要求メッセージの転送要否判定処理を行う。ここでは、転送先URL管理テーブル223に含まれるインターネット公開URLのID2-Cが適合するため、メッセージ転送制御が必要であると判定する。転送先は、ID2-Cに対応した転送先URLである。すなわち、ID2-DのIDP認証連携部230の認証連携応答発行要求メッセージ受信部236である。ステップS75では、リバースプロキシ装置221が、ステップS74の判定結果に基づいて、IDP認証連携部230の認証連携応答発行要求メッセージ受信部236を宛先として、認証連携応答発行要求メッセージを転送する。ステップS76では、IDP認証連携部230の認証連携応答発行要求メッセージ受信部236が、認証連携応答発行要求メッセージを受信後、ユーザのログイン状態を判定する。ログイン状態判定結果は、例えば認証セッション一時記憶装置270にユーザに発行されたIDP認証トークンが記憶されているか否かを確認することによって行なう。本実施形態ではログイン完了状態としているためIDP認証トークンが存在する。ステップS77では、IDP認証連携部230の認証連携応答発行要求メッセージ受信部236が、ログイン状態の判定結果がログイン完了状態であるため、認証連携応答メッセージ送信部235に対し、認証連携応答メッセージの送信を要求する。認証連携応答メッセージ送信部235は、IDP側でユーザを認証したことを証明する認証アサーションを作成する。ステップS77の処理に引き続き、図15のステップS25~ステップS28の処理が行われ、本実施形態の認証連携処理は終了する。ステップS25~S28の処理については第1の実施形態で説明しているため、省略する。上述のように、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザがサービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は完了状態であり、かつユーザからのSSO要求起点がIDプロバイダ装置200から開始する場合において、SSOの過程でアカウント登録および連携を実行する際の人手を介さないサービス利用可否の決定を行うことが可能となる。また、本実施形態の認証連携システムによると、IDプロバイダ装置200の認証連携サーバ230が、SSO手順2~4の処理を連続して行う中で、SSO手順3の直前に、ポリシ評価、およびアカウント登録アカウント連携を行なうアカウントプロビジョニング処理の割り込みをIDプロバイダ装置の認証連携サーバ製品を直接改造することなく実現することが可能となる。このため、導入コストも低く、かつ人手を介さずにサービス利用可否を決定できる認証連携システムの提供が可能となる。また、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザがサービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は完了状態でありかつユーザからのSSO要求起点がIDプロバイダ装置200から開始する場合において、適切なタイミングで、ポリシ評価とアカウントプロビジョニングを実施できる。第4の実施形態第4の実施形態の認証連携システムについて図25乃至図26を参照して説明する。本実施形態は第1の実施形態と同様に、IDプロバイダ装置200とサービスプロバイダ装置300との間でSSO処理が可能な状態であり、かつ当該IDプロバイダ側の組織に所属するユーザが当該サービスプロバイダ装置300にアカウントが登録されてない状態から開始される。また、本実施形態の認証連携システムは第1の実施形態と同様に、SSOは上述した1~6の手順で行なわれるとする。また、本実施形態ではユーザのログイン状態は未完了状態であり、かつユーザからのSSO要求起点がIDプロバイダ装置200から開始とする。ここで、図25を参照して、本実施形態の認証連携システムの機能構成について説明する。なお、第1の実施形態乃至第3の実施形態と同一の構成には同一の符号を付し、説明は省略する。図25は、本実施形態の認証連携制御システム240の機能構成の一例を示す図である。図25に示すように、本実施形態の認証連携制御システム240は、ポリシ評価情報取得部245と、ポリシ評価部246と、アカウントプロビジョニング部247と、ログイン応答メッセージ事前処理部290と、認証連携応答発行要求メッセージ事前処理部294とを備える。すなわち、本実施形態の認証連携制御システム240は、第2の実施形態の認証連携制御システム240の認証連携要求メッセージ事前処理部241を第3の実施形態の認証連携制御システム240の認証連携応答発行要求メッセージ事前処理部294に置き換えて構成されている。ここで、図22、図24、および図26を参照して、本実施形態の認証連携システムにおける認証連携処理の一例について説明する。図26は、本実施形態の認証連携処理の一例を示すシーケンス図である。まず、本実施形態の認証連携システムは、図22のステップS61のSP利用要求からステップS68の認証連携応答発行要求メッセージの転送までの処理を行なう。これらの処理は第3の実施形態で説明したため、省略する。ステップS68に続いて、ステップS81では、携応答発行要求メッセージを受信した認証連携応答発行要求メッセージ事前処理部294のログイン状態判定部242が、ユーザのログイン状態を判定する。ログイン状態の確認は、認証セッション一時記憶装置270に、ユーザに発行されたIDP認証トークンが記憶されているか否かによって確認する。本実施形態では、認証セッション一時記憶装置270にIDP認証トークンが記憶されておらず、ログイン未完了状態と判定される。ステップS81でログイン未完了状態と判定されたため、続いて、図24に示したステップS72~ステップS75の処理を行う。これらの処理も第3の実施形態で説明したため、省略する。ステップS75に引き続いて、図17のステップS35~図19のステップS28までの処理を行い、本実施形態の認証連携処理は終了する。図17のステップS35~図19のステップS28までの処理は、第2の実施形態で説明したため省略する。上述のように、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザがサービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は未完了状態であり、かつユーザからのSSO要求起点がIDプロバイダ装置200から開始する場合において、SSOの過程でアカウント登録および連携を実行する際の人手を介さないサービス利用可否の決定を行うことが可能となる。また、本実施形態の認証連携システムによると、IDプロバイダ装置200の組織に所属するユーザがサービスプロバイダ装置300にアカウントが登録されてない状態であり、ユーザのログイン状態は未完了状態でありかつユーザからのSSO要求起点がIDプロバイダ装置200から開始する場合において、適切なタイミングで、ポリシ評価とアカウントプロビジョニングを実施できる。また、本実施形態の認証連携システムによると、IDプロバイダ装置200の認証連携サーバ230が、SSO手順2~4の処理を連続して行う中で、SSO手順3の直前に、ポリシ評価、およびアカウント登録アカウント連携を行なうアカウントプロビジョニング処理の割り込みをIDプロバイダ装置の認証連携サーバ製品を直接改造することなく実現することが可能となる。このため、導入コストも低く、かつ人手を介さずにサービス利用可否を決定できる認証連携システムの提供が可能となる。以上、本発明のいくつかの実施形態を説明したが、これら実施形態は例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。