Source: https://patents.google.com/patent/JP2002215585A/en
Timestamp: 2019-08-22 14:39:13
Document Index: 768744586

Matched Legal Cases: ['art 151', 'art 151', 'art 152', 'art 152', 'art 153', 'art 154']

JP2002215585A - Device and method for processing subject name of individual certificate - Google Patents
Device and method for processing subject name of individual certificate
JP2002215585A
JP2002215585A JP2001315276A JP2001315276A JP2002215585A JP 2002215585 A JP2002215585 A JP 2002215585A JP 2001315276 A JP2001315276 A JP 2001315276A JP 2001315276 A JP2001315276 A JP 2001315276A JP 2002215585 A JP2002215585 A JP 2002215585A
JP2001315276A
Masahito Kurosaki
雅人 黒崎
2000-11-16 Priority to JP2000350185 priority Critical
2000-11-16 Priority to JP2000-350185 priority
2001-10-12 Application filed by Fuji Xerox Co Ltd, 富士ゼロックス株式会社 filed Critical Fuji Xerox Co Ltd
2001-10-12 Priority to JP2001315276A priority patent/JP2002215585A/en
2002-08-02 Publication of JP2002215585A publication Critical patent/JP2002215585A/en
PROBLEM TO BE SOLVED: To easily perform access control, etc., by using the subject name of a certificate. SOLUTION: An authentication part 151 actualizes an authentication procedure between a client terminal 201 and a web server 101. The authentication part 151 when following the authentication procedure receives a certificate from the client terminal and supplies its subject name to an element extraction part 152. The element extraction part 152 traces the hierarchical structure of subject names back to extract a specific element. An authority decision part 153 determines the authority to access a document according to the kind and value of the extracted element and allocated it to a session number. An authority registration part 154 is given the right to access according to the session number while the session continues after the relation between the session number and authority is registered.
【発明の属する技術分野】この発明は、個人証明書（以下では単に証明書と呼ぶこともある）のサブジェクト名を利用してアクセスを制御する技術に関する。 [Field of the Invention The invention utilizes the subject name to a technique for controlling access personal certificate (hereinafter sometimes simply referred to as certificates in).
【従来の技術】ＩＴＵ−Ｔ勧告Ｘ． BACKGROUND OF THE INVENTION ITU-T Recommendation X. ５０９はディレクトリモデル認証を規定しており、このディレクトリモデル認証に準拠して個人証明書を発行局（認証局）から発行してもらう。 509 stipulates the directory model certification, ask them to issue a personal certificate from the issuing authority (certificate authority) in compliance with the directory model authentication. 発行局は申請人から証明書の発行に必要な情報（名前、所属、公開鍵等）を受け取り所定のポリシーに従い証明書を発行し、証明書を所定の証明書格納部に保存する。 Issuing station information necessary for issuing the certificate from the applicant (name, affiliation, public key, etc.) to issue a certificate in accordance with receiving a predetermined policy, to save the certificate in a given certificate storage unit. 申請人は証明書格納部から証明書を取り出すことができる。 The applicant is able to retrieve the certificate from the certificate storage unit.
【０００３】ところで、個人証明書のサブジェクト名を見ただけでは、その証明書の保持者がどういう権限を有しており、どういう性質をもっているか不明である。 [0003] By the way, just by looking at the subject name of the personal certificate, the holder of the certificate has what kind of authority, it is unclear whether they have what kind of nature. 保持者が有している権限や性質を知るために種々のアプローチが採用されている。 Various approaches have been employed to determine the rights and properties of holders has. 例えば、証明書のサブジェクト名と権限とをデータベースに登録し、証明書を用いたアクセスがあるたびにデータベースに問合せる。 For example, to register the subject name and authority of the certificate to the database, query the database every time there is an access using a certificate. しかしこの方法は効率の面で問題があった。 However, this method has a problem in terms of efficiency.
【０００４】図１０は、上述の従来のアプローチを実現するシステム例を示している。 [0004] Figure 10 illustrates an example system for implementing the conventional approach described above. この図において、ユーザはクライアント端末５００を用いてネットワーク（例えばインターネット）５０１を介してウェブ・サーバ５０ In this figure, the user web server 50 via a network (e.g. the Internet) 501 using the client terminal 500
２にアクセスする。 2 to access. このアクセスはＳＳＬ手法を用いて行われ、クライアント端末５００およびウェブ・サーバ５０２の間で証明書を交換し、認証を行い、この後、ネゴシエーションにより決定された慣用暗号によりデータを暗号化して送受信する。 This access is performed by using the SSL approach, exchange certificates between the client terminal 500 and Web server 502 performs authentication and thereafter encrypts the data with the common key cryptosystem, which is determined by the negotiation transceiver . ウェブ・サーバ５０２は、クライアント端末５００から送られた証明書のサブジェクト名（証明書に記載されている被認証者の識別子）を用いてデータベースサーバ（ディレクトリサービス）５０ Web server 502, database server (directory service) 50 using the subject name of the certificate sent from the client terminal 500 (identifier of the person to be authenticated as described in the certificate)
３に問い合わせクライアント端末５００のユーザがアクセス権限を有するかどうかを知る。 User query client terminal 500 to 3 to know whether it has access privileges. 例えば、アクセス対象の権限レベル（例えば０、１、２等）とサブジェクト名を引数としてデータベースサーバ５０３に問い合わせ、当該サブジェクト名のユーザが当該権限レベルにアクセスできるかどうかを応答として受け取る。 For example, the inquiry access target privilege level (e.g., 0, 1, 2, etc.) and the database server 503 to subject name as an argument receives whether a user of the subject name to access the privilege level in response. データベースサーバ５０３は、ユーザ（サブジェクト名）と許容されている権限レベルとの関係を記憶保持している。 Database server 503 stores and holds the relationship between the authority level that is allowed and the user (subject name). もちろん、サブジェクト名を引数として許容権限レベルを受け取ってウェブ・サーバ５０２側においてアクセス対象ファイルがその許容権限レベル以内かを判別するようにすることもあるし、サブジェクト名とアクセス対象ファイル名（ディレクトリ名）をデータベースサーバ５０ Of course, also to ensure that the subject name access target file in receiving an acceptable authority level Web server 502 side as an argument to determine whether the allowable authority levels within the subject name and the access target file name (directory name ) database server 50
３に引き渡して照会を行ってもよい。 It may be subjected to a query delivery to 3.
【０００５】以上のような従来のアプローチでは、アクセスのたびにネットワーク５０１を介してデータベースサーバ５０３に権限の照会を行うので、計算機コストを消費することになる。 [0005] The traditional approach described above, since the query permissions to the database server 503 via the network 501 for each access, would consume computer cost. また、ネットワーク５０１に照会データがそのまま送信されるのでセキュリティ上問題がないわけではなかった。 Also, the query data to the network 501 did not without security problem because it is transmitted.
【０００６】また、上述の問題を回避するためにデータベースサーバ５０３の権限情報のセットまたはサブセットのコピー（データベースサーバ）をウェブ・サーバ５ [0006] In addition, a set or a subset copy of the authority information of the database server 503 in order to avoid the above-mentioned problem (database server), the web server 5
００のサイトにローカルに配置することも考えられる。 It is also conceivable to place the local in 00 of the site.
しかし、このようにすると、データベースサーバ５０３ However, in this case, the database server 503
およびそのコピーとの間で一貫性を維持しなければならず、保守管理等が煩雑となる。 And it must maintain consistency between the copy, maintenance, etc. becomes complicated. また、各サイトにデータベースサーバを配置するとコストアップになる。 Moreover, increase in cost when placing the database server at each site.
【発明が解決する課題】この発明は、以上の事情を考慮してなされたものであり、証明書のサブジェクト名から直ちにその権限や性質を知ることができ、これを用いて簡易にアクセス制御等を行える技術を提供することを目的としている。 [Problems that the Invention is to solve] The present invention has been made in consideration of the above circumstances, it is possible to know immediately the rights and properties from the subject name of the certificate, simple access control or the like using the and its object is to provide a technique capable of performing.
【課題を解決するための手段】この発明によれば、上述の目的を達成するために、特許請求の範囲に記載のとおりの構成を採用している。 Means for Solving the Problems] According to the present invention, in order to achieve the object described above, it adopts the configuration of the as described in the appended claims. ここでは、発明を詳細に説明するのに先だって特許請求の範囲の記載について補充的に説明を行っておく。 Here, it is processed supplemental description of the scope of the prior claims to describe the invention in detail.
【０００９】この発明の一側面によれば、上述の目的を達成するために、個人証明書に含まれるサブジェクト名を処理する個人証明書サブジェクト名処理装置に：個人証明書を受信する手段と；受信した個人証明書を電子署名技術に基づいて検証する手段と；受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出する手段と；上記検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定する手段とを設けるようにしている。 According to one aspect of the invention, in order to achieve the above object, the personal certificate subject name processing apparatus for processing a subject name included in the personal certificate: means for receiving a personal certificate; when the verification is successful; the received personal certificate and means for verifying on the basis of the digital signature technology; and means for extracting at least one predetermined elements in the hierarchy of subject name included in the personal certificate received , based on the value of the predetermined element and be provided with a means for determining the access rights of the holder of the personal certificate.
【００１０】この構成においては、個人証明書を認証してそのサブジェクト名のエレメントの真正を確認し、この真正なエレメントの値に基づいてアクセス権限を判別することができ、ディレクトリサービス等のデータベースにアクセスする必要がなくなる。 [0010] In this configuration, to confirm the authenticity of the elements of the subject name to authenticate a personal certificate, this authentic can be used to determine the access privileges based on the value of the element, in the database, such as a directory service need to access is eliminated.
【００１１】この発明の他の側面によれば、上述の目的を達成するために、ウェブ・サーバ・コンピュータ・システムに：個人証明書を受信する手段と；受信した個人証明書を電子署名技術に基づいて検証する手段と；受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出する手段と；受信した個人証明書の検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定する手段とを設けるようにしている。 [0011] According to another aspect of the present invention, in order to achieve the above object, the web server computer system: means for receiving a personal certificate; personal certificate received digital signature technology means and for verifying on the basis; means for extracting at least one predetermined elements in the hierarchy of subject name included in the personal certificate received; when validation of the received personal certificate has succeeded, the predetermined element based on the value, so that providing the means for determining the access rights of the holder of the personal certificate.
【００１２】この構成においても、ディレクトリサービス等のデータベースを利用することなく簡易にアクセス権限を判別することができる。 [0012] In this configuration, it is possible to determine the simple access rights without having to use the database, such as a directory service.
【００１３】ウェブ・サーバ・コンピュータ・システムはウェブ・サーバ単体で構成されてもよく、ウェブ・サーバとアプリケーション・サーバとで構成されてもよい。 [0013] The web server computer system may be configured in a web server alone, it may be constituted by a web server and application server. アクセス権限の判別を行うために各種の機能はウェブサーバの認証機能やＣＧＩ（コモンゲートインタフェース）プログラムや、アプリケーション・サーバにより実現される。 Various functions in order to perform the determination of the access rights and authentication and CGI (Common Gate Interface) program of the web server is implemented by the application server.
【００１４】この発明のさらに他の側面によれば、上述の目的を達成するために、サブジェクト名の所定のエレメントが保持者の所属組織および個人ＩＤ以外の属性を表す個人証明書を受信して当該サブジェクト名を処理する個人証明書サブジェクト名処理装置に：上記個人証明書を受信する手段と；受信した個人証明書に含まれるサブジェクト名の階層中の所定のエレメントを抽出する手段と；上記所定のエレメントの値が表す、保持者の所属組織および個人ＩＤ以外の属性に基づいて、アクセス権限を決定する手段とを設けるようにしている。 According to yet another aspect of the invention, in order to achieve the above object, and receives the personal certificate predetermined elements of subject name representing an attribute other than the organization and personal ID of the holder the personal certificate subject name processing apparatus for processing the subject name: the personal certificate means for receiving; means for extracting a predetermined element in the hierarchy of subject name included in the personal certificate received; the predetermined It represents the value of the element, based on attributes other than organization and personal ID of the holders, so that providing the means for determining the access rights.
【００１５】この構成においては、ディレクトリサービス等のデータベースを利用することなく簡易にアクセス権限を判別することができる。 [0015] In this configuration, it is possible to determine the simple access rights without having to use the database, such as a directory service. とくにサブジェクト名のオーガニゼーショナル・ユニット・ネームを利用することにより柔軟にアクセス権限情報を規定できる。 In particular it can be defined flexibly access authority information by using an O-crab See relational unit name of the subject name.
【００１６】なお、この発明は装置やシステムとして実現できるのみでなく、方法としても実現できる。 [0016] The present invention is not only can be realized as an apparatus or system can be realized as a method. またこのような方法の一部をコンピュータプログラムとして実現してもよい。 Or it may be implemented a part of such a method as a computer program.
【００１７】この発明の上述の各側面およびこの発明の他の側面は特許請求の範囲に記載され、以下、実施例を用いて詳細に説明される。 [0017] Another aspect of the sides and the invention of the above the invention is set forth in the appended claims, will be described in detail with reference to examples.
【発明の実施の形態】以下、この発明を情報アクセスシステムに適用した実施例について説明する。 BEST MODE FOR CARRYING OUT THE INVENTION Hereinafter, a description will be given of an embodiment in which the present invention is applied to the information access system. この実施例は、幹事会社と協力会社とが所定のプロジェクト名の下で協力して事業を行うことを前提とし、幹事会社および協力会社の従業者等が幹事会社の情報にアクセスできるようにするものである。 This example assumes that conduct business and the managing company and the cooperating companies to cooperate under the given project name, secretary companies and cooperative company employees or the like is to be able to access the information of the managing company it is intended. 情報のアクセスには個人証明書を利用する。 The access of information to use a personal certificate. 幹事会社は、個人証明書の発行にイニシャティブを持つ会社（事業体）である。 Secretary company is a company with the initiative to personal certificate (entities). もちろん、この発明は、このような環境下のみでなく、情報をアクセスする際に権限を判別する種々の環境下で適用可能である。 Of course, the present invention is such not only environment, can be applied in various environments to determine the authorization to access the information.
上述の幹事会社ではなく、証明書の発行を業とする認証局が、証明書を発行するような環境下でも適用可能である。 Instead of the managing company of the above-mentioned, the certificate authority that engaged in the business of the issue of certificates is also applicable in an environment to issue a certificate.
【００１９】図１は、この実施例の情報アクセスシステムを示しており、この図において、証明書発行センタ（幹事会社サイト）１０、協力会社サイト２０等がインターネット３０に接続されている。 [0019] FIG. 1 shows a data access system of this embodiment, in this figure, the certificate issuing center (managing company sites) 10, subcontractors site 20 or the like is connected to the Internet 30. ここでは、便宜上、 Here, for the sake of convenience,
証明書発行センタ１０は、幹事会社の社内に設けられているものとする。 Certificate issuing center 10 is assumed to be provided on the company's managing company. 協力会社サイト２０は、構内ネットワーク網（ＬＡＮ）等によりイントラネットを構築しており、各イントラネットにクライアント端末２０１が接続されている。 Partners site 20 has an intranet by a local area network network (LAN) or the like, the client terminal 201 are connected to each intranet.
【００２０】この例において、証明書発行センタ１０ [0020] In this example, the certificate issuing center 10
は、協力会社サイト２０のクライアント端末２０１等からの個人証明書発行申請を受け取って個人証明書の発行処理を行うものである。 It is used to perform the individual certificate processing to receive a personal certificate issued by the applicant from the like client terminal 201 of the cooperation company site 20. 個人証明書はＩＴＵ−Ｔ勧告Ｘ． Personal certificate is the ITU-T recommendation X. ５０９に準拠するものであり、図２に示すようなものである。 Is intended to conform to 509 is as shown in FIG.
【００２１】証明書発行センタ１０は、ウェブ・サーバ１０１、アプリケーション・サーバ１０２、データベース管理システム１０３、メールサーバ１０４、クライアント端末１０５、ルータ１０６等を有している。 The certificate issuing center 10, the web server 101, application server 102, a database management system 103, mail server 104, the client terminal 105, and a router 106 or the like. これらコンピュータリソースはＬＡＮ１０７に接続されている。 These computer resources are connected to the LAN 107.
【００２２】ウェブ・サーバ１０１は、ＨＴＴＰ（ハイパーテキストトランスファプロトコル）プロトコルに従ってクライアント（クライアント端末２０１、１０５） [0022] The web server 101, HTTP client in accordance with (Hypertext Transfer Protocol) protocol (client terminal 201,105)
から要求を受け取り、要求に応じたＨＴＭＬ文書（ＸＭ It receives a request from, HTML document in response to the request (XM
Ｌ文書）をクライアントに転送する。 To transfer the L document) to the client. アプリケーション・サーバ１０２は、ウェブ・サーバ１０１を介してクライアントから送られたプログラム名および引数に基づいて種々の処理を実行するものである。 Application server 102 is for performing various processes based on the program name and arguments sent from the client through the web server 101. アプリケーション・サーバ１０２にかえてウェブ・サーバ１０１のＣＧＩ CGI web server 101 instead of the application server 102
（コモンゲートインタフェース）のプログラム等を用いてもよい。 May be using a program such as the (common gate interface). データベース管理システム１０３は、証明書発行に関連する種々のデータベースを管理するものである。 Database management system 103 is for managing the various databases relating to a certificate. データベースは、例えば、証明書データベース１０ The database, for example, the certificate database 10
３ａ等である。 It is a 3a and the like.
【００２３】データベース管理システム１０３が管理する証明書データベース１０３ａに保持される証明書情報の簡略化した例を図３に示す。 [0023] An example of a database management system 103 is simplified certificate information stored in the certificate database 103a for managing in FIG. ここでは、証明書情報について説明する前に、この例で用いるＤＮ（ディスティングイシュトネーム、以下サブジェクト名とも呼ぶ。 Here, before describing the certificate information, DN (di Sting Istvan name used in this example, hereinafter also referred to as a subject name.
Ｘ． X. ５０１）について説明しておく。 Keep describes 501). この例では、サブジェクト名は、カントリネーム（Ｃ）、オーガニゼーションネーム（Ｏ）、第１オーガニゼーショナルユニットネーム（ＯＵ１）、第２オーガニゼーショナルユニットネーム（ＯＵ２）、第３オーガニゼーショナルユニットネーム（ＯＵ３）、コモンネーム（ＣＮ）により規定される。 In this example, subject name, country name (C), organization name (O), the first O-Gani See conditioner Ruyunitto Name (OU1), second O Gani See conditioner Ruyunitto Name (OU2), the third O Gani See conditioner Ruyunitto Name (OU3), It is defined by the common name (CN). 幹事会社以外の申請者に対してはＯＵ１として例えば「Ｐａｒｔｎｅｒ」等が記述される。 For example, the OU1 for the applicant other than the managing company "Partner" and the like are described. 幹事会社の社員については、ＯＵ１を省略したり、ＯＵ１として所定の部門名が記述される。 For employees of the managing company, or omit the OU1, given the department name is described as OU1. ＯＵ２は、プロジェクト名が記述される。 OU2 is the project name is described. ただしプロジェクトと関係がない場合にはＯ However O when there is no relationship with the project
Ｕ２は省略される。 U2 is omitted. ＯＵ３は、協力会社の会社名が記述される。 OU3, the company name of the partner companies is described. もちろん、幹事会社の内部の者（社員等）に関してはＯＵ３は省略される。 Of course, people of the interior of the managing company with respect to (employees, etc.) OU3 is omitted. このようにして、サブジェクト名を用いてプロジェクトおよび協力会社を記述することができる。 In this way, it is possible to describe the project and partner companies using the subject name. なお、ＯＵのサフィックスは、ＯＵの属性に対応して用いており、例えば部門（社外の組織）をあらわすＯＵ１は、部門の階層に応じてさらに階層的な構成を採用してもよい。 Incidentally, suffixes of OU are used corresponding to the attributes of the OU, for example OU1 representing sector (outside the organization) may further employ a hierarchical structure according to sectors of the hierarchy. 例えば、「ｊｉｎｊｉ」（人事部）、「ｊｉｎｊｉ１」（第１人事課）等、ＯＵ１を複数規定できる。 For example, "jinji" (Personnel Department), "jinji1" (first Personnel Division) or the like, a OU1 can more defined.
【００２４】なお、プロジェクトとは一括りに管理される業務や活動であり、ここでは便宜上、幹事会社と他の協力会社との間で行われる業務を指す。 [0024] It should be noted, is a business and activities that are managed to lump together the project, here for convenience, refer to the business that takes place between the managing company and the other partners. プロジェクトとの関連で協力会社が登録される。 Partner companies in the context of the project is registered. もちろん、幹事会社内のプロジェクトや非業務的な活動等を「プロジェクト」 Of course, "project" the project and non-business activities and the like in the managing company
として扱ってもよい。 It may be treated as. このようにすることにより組織構成から離れて証明書を発行することが可能となる。 Thus it is possible to issue certificates away from the tissue structure by the.
【００２５】サブジェクト名の具体例を説明する。 [0025] described a specific example of the subject name.
【００２６】（１）具体例１ ［Ｃ＝ＪＰ，Ｏ＝ＸＹＺ Ｃｏ． [0026] (1) Examples 1 [C = JP, O = XYZ Co. ，ＣＮ＝１２３４ Ｒ , CN = 1234 R
ｙｕ Ｉｎａｄａ］ この例では、保持者がＸＹＺ株式会社の社員であり、社員番号が１２３４で、指名が「Ｒｙｕ Ｉｎａｄａ」であることがわかる。 yu Inada] In this example, the holder is an employee of XYZ Co., Ltd., in the employee number is 1234, it can be seen that the nomination is "Ryu Inada".
【００２７】（２）具体例２ ［Ｃ＝ＪＰ，Ｏ＝ＸＹＺ Ｃｏ． [0027] (2) Specific Example 2 [C = JP, O = XYZ Co. ，ＯＵ＝Ｐａｒｔｎｅ , OU = Partne
ｒ，ＯＵ＝Ｘｎｅｔ，ＯＵ＝ＡＢＣ Ｃｏ． r, OU = Xnet, OU = ABC Co. ，ＣＮ＝１ , CN = 1
２３４ ００１ Ｔａｒｏ Ｆｕｊｉ］ この例では、保持者は協力会社のＡＢＣ株式会社の社員であり、プロジェクトＸｎｅｔに参画し、その業務目的が調達（コモンネームの００１が調達を意味する）であり、所属会社の社員番号が１２３４で、氏名が「Ｔａｒ 234 001 Taro Fuji] In this example, the holder is an employee of ABC Co., Ltd. of partner companies, participated in the project Xnet, is its business purposes procurement (001 of the common name means the procurement), it belongs to the company in the employee number is 1234, the name is "Tar
ｏ Ｆｕｊｉ」であることがわかる。 o Fuji "and it can be seen.
【００２８】（３）具体例３ ［Ｃ＝ＪＰ，Ｏ＝ＸＹＺ Ｃｏ． [0028] (3) Specific Example 3 [C = JP, O = XYZ Co. ，ＯＵ＝Ｐａｒｔｎｅ , OU = Partne
ｒ，ＯＵ＝Ｘｎｅｔ，ＣＮ＝１２３４ Ｈａｎａｋｏ r, OU = Xnet, CN = 1234 Hanako
Ｆｕｊｉ］ この例では、保持者が派遣社員であり、その派遣社員番号が１２３４であり、氏名が「Ｈａｎａｋｏ Ｆｕｊ Fuji] In this example, the holder is a temporary employee, the temporary staff number is 1234, the name is "Hanako Fuj
ｉ」であることを示す。 Indicating that it is the i ". 協力会社名あるいはプロジェクト名がないことから派遣社員と判断することができる。 It can be determined that the temporary staff since there is no cooperation company name or project name.
【００２９】図１の説明に戻る。 [0029] Returning to the description of Figure 1. データベース管理システム１０３が管理する証明書データベース１０３ａは、 Certificate database 103a of the database management system 103 is managed,
図３に示すように、証明書情報を保持している。 As shown in FIG. 3, it holds the certificate information. 図３に示すように、サブジェクト名は（Ｃ，Ｏ，ＯＵ１，ＯＵ As shown in FIG. 3, subject name (C, O, OU1, OU
２，ＯＵ３，ＣＮ）であり、コモンネームＣＮは、例えばＣＮ＝１２３４５ ００１ Ｔａｒｏ Ｙａｍａｄａ 2, OU3, CN) and is, common name CN, for example CN = 12345 001 Taro Yamada
である。 It is. 「１２３４５」は協力会社ＡＢＣ内の一意の識別子例えば社員番号である。 "12345" is a unique identifier, for example, the employee number of the cooperating companies in the ABC. 「００１」は幹事会社での業務の種別を示すＩＤである（例えば、調達業務、試作業務）。 "001" is an ID indicating the type of business in the managing company (for example, procurement, prototype business). 「ＴａｒｏＹａｍａｄａ］は申請者の氏名である。証明書データベース１０３ａは証明書ＩＤ、サブジェクト名（Ｃ，Ｏ，ＯＵ１，ＯＵ２，ＯＵ３，ＣＮ）、 "TaroYamada] is the name of the applicant. Certificate database 103a certificate ID, subject name (C, O, OU1, OU2, OU3, CN),
有効期限等を保持している。 It holds the expiration date. なお、証明書は、サブジェクト名、発行者名、公開鍵、発行者署名等を含むものである。 In addition, the certificate, subject name, issuer name, public key, is intended to include the issuer's signature or the like.
【００３０】ウェブ・サーバ１０１、アプリケーション・サーバ１０２、データベース管理システム１０３を用いて具体的な証明書発行処理の機能が実現される。 [0030] Web server 101, application server 102, the function of specific certificate issuing process using a database management system 103 is implemented. クライアントはウェブ・ベースで証明書発行システムの各種の機能を利用できる。 The client can use the various functions of the certificate issuing system in the web-based.
【００３１】メールサーバ１０４はＳＭＴＰ（シンプルメールトランスファプロトコル）デーモン等を実行するものであり、メールの配送を行なう。 [0031] The mail server 104 is intended to perform the SMTP (Simple Mail Transfer Protocol) daemon, and performs the mail delivery.
【００３２】クライアント端末１０５は、ウェブ・ブラウザを具備し、証明書発行センタ（幹事会社）１０内で証明書発行センタ１０のサービスの提供を受ける。 The client terminal 105, and includes a web browser, receive the service of the certificate issuing center 10 in the certificate issuing center (managing company) within 10.
【００３３】クライアント端末２０１は、協力会社サイト２０に配置されたパーソナルコンピュータ、ワークステーション等であり、ウェブ・ブラウザを実装している。 The client terminal 201, a personal computer which is arranged to cooperate company site 20, a workstation, or the like, have implemented a web browser. クライアント端末２０１は、証明書発行センタ１０ The client terminal 201, a certificate issuing center 10
が提供する証明書発行システムにアクセスし、雛型登録（会社登録）、個人証明書発行申請等を行なうことができる。 There was access to the certificate issuing system to provide, chick type registration (company registration), it is possible to perform a personal certificate issued by the applicant and the like. 証明書発行センタ１０はインターネット３０上に公開されているため、適宜ファイヤーウォール等のセキュリティ機構が設けられることが望ましい。 Because the certificate issuing center 10 is published on the Internet 30, it is desirable that the security mechanism, or the like as appropriate firewall is provided. 証明書の発行自体はこの発明と直接には関係がないので、詳細な説明は省略する。 Since certificate itself has no the present invention and directly related to, the detailed description thereof is omitted. 通常の証明書発行所理を採用できることはもちろんである。 It is a matter of course that can be adopted a normal certificate publishing office management.
【００３４】このような証明書発行センタ１０を用いて証明書の発行を申請し、申請が承認され、証明書が発行される。 [0034] to apply for a certificate by using such a certificate issuing center 10, the application is approved, the certificate is issued. 申請者は、証明書ＩＤを通知され、ウェブ・ベースでこれを入力して証明書を取得する。 The applicant is notified of the certificate ID, to obtain a certificate by entering this in the web-based.
【００３５】つぎに証明書を利用したアクセス制御について説明する。 [0035] Next, the access control using to describe the certificate.
【００３６】図４はアクセス制御を行う機構を模式的に示すものである。 [0036] Figure 4 shows a mechanism for access control schematically. この機構はウェブ・サーバ１０１、アプリケーション・サーバ１０２により実現される。 This mechanism is a web server 101 are implemented by the application server 102. もちろん、ウェブ・サーバ１０１のＣＧＩプログラムや、Ｊ Of course, or CGI program of the web server 101, J
ＡＶＡサーブレット（商標）等を用いてアプリケーション・サーバ１０２に代替させることができる。 It can be replaced by the application server 102 using AVA servlet (trademark).
【００３７】図４において、セクセス制御機構は、ルート証明書保持部１５０、認証部１５１、エレメント抽出部１５２、権限判別部１５３、権限登録部１５４、セッション管理部１５５等を含んで構成される。 [0037] In FIG. 4, Sekusesu control mechanism is configured root certificate holding unit 150, the authentication unit 151, the element extracting section 152, authorization determination unit 153, authority registering unit 154, include a session management unit 155 or the like. この例では、ウェブ・サーバ１０１が、ルート証明書保持部１５ In this example, web server 101, the root certificate holding unit 15
０および認証部１５１を構成する。 0 and configuring the authentication unit 151. そして、アプリケーション・サーバ１０２がエレメント抽出部１５２、権限判別部１５３、権限登録部１５４、セッション管理部１ The application server 102 is the element extracting section 152, authorization determination unit 153, authority registering unit 154, a session management unit 1
５５を構成する。 Make up the 55.
【００３８】認証部１５１は図５に示すような認証手続をクライアント端末およびウェブ・サーバ１０１間で実現する。 The authentication unit 151 implements the authentication procedure as shown in FIG. 5 between the client terminal and the web server 101. 図５の認証手続は通常のＳＳＬ／ＴＬＳコネクション要求時にウェブ・サーバ１０１で実行される認証手続であり、図から明らかであるのでとくに説明は行わない。 Authentication procedure of FIG. 5 is a is the authentication process executed by the web server 101 during normal SSL / TLS connection request, in particular description will be apparent from the figures are not performed. 認証部１５１は、この認証手続の際に、クライアント端末から証明書を受け取る。 Authentication unit 151, when the authentication procedure, receive a certificate from the client terminal. この証明書は図５に示す認証手続に利用されるとともに、そのサブジェクト名がエレメント抽出部１５２に供給される。 This certificate together is utilized in the authentication procedure shown in FIG. 5, the subject name is supplied to the element extracting section 152. 認証部１５１ The authentication unit 151
は、ルート証明書保持部１５０に保持されているルート証明書の公開鍵を用いて、クライアント端末から受け取った証明書の署名（図２参照）を検証する。 Using the public key of the root certificate stored in the root certificate holding unit 150, verifies the signature of the certificate received from the client terminal (see FIG. 2). 検証が失敗したときにはコネクションは拒否される。 Connection when the validation fails is rejected. 検証が成功すると、セッション番号（セッションＩＤともいう）が割り当てられ、アプリケーション・サーバ１０５のセッション管理部１５５によりセッション変数が記憶管理される管理される。 If the verification is successful, a session ID (also referred to as a session ID) is assigned, the session variable is managed is stored and managed by the session management unit 155 of the application server 105.
【００３９】エレメント抽出部１５２はサブジェクト名の階層構造を辿って所定のエレメントを抽出する。 The element extracting section 152 extracts a predetermined element follows the hierarchical structure of subject name. この例では、ＯＵ１が「Ｐａｒｔｎｅｒ」であり、ＯＵ３に会社名がある場合に、ＯＵ２のプロジェクト名、ＯＵ３ In this example, the OU1 is "Partner", if there is a company name to OU3, the project name of OU2, OU3
の会社名、ＣＮの業務種別コード（例えば「００１」） Company name, CN of the job type code (for example, "001")
を抽出する。 It is extracted.
【００４０】権限判別部１５３は図６に示すような区別に従って文書のアクセス権限を決定し、これをセッション番号に割り当てる。 The authorization determination unit 153 determines the access right of the document in accordance with distinction as shown in FIG. 6, assigns it to the session number. 図６に示す区別は例えば図７に示すようなテーブルで実装可能であり、権限判別部１５３ Distinction shown in FIG. 6 may be implemented in a table as shown in FIG. 7, for example, permission determination unit 153
がこのようなテーブルを参照して、アクセス可能なファイルやディレクトリを判別する。 But with reference to such table, to determine the accessible file or directory. 権限登録部１５４はセッション番号と権限（権限レベルやアクセス可能なファイル名／ディレクトリ名）との関係をセッション管理部１５５に登録する。 Authority registration unit 154 to register the relationship between the session number and authority (authority level and accessible file name / directory name) to the session management unit 155. 例えば、セッション管理部１５５のデータベース（図示しない）に図８に示すように登録する。 For example, to register as shown in FIG. 8 in the database of the session managing unit 155 (not shown). 以降、セッションが継続する間、このセッション番号に基づいてアクセス権限が許容される。 Thereafter, while the session continues, access is allowed based on the session number.
【００４１】なお、以上の認証手続や権限制御は、証明書発行センタ（幹事会社サイト）１０のウェブ・サーバ１０１との間でのみ可能なわけではなく、他のウェブ・ [0041] It should be noted that the authentication procedure and the authority control of more, not only possible between the certificate issuing center (managing company site) 10 web server 101, other web
サーバとの間でも可能であり、また、同様の認証手続や権限制御をその他種々のサーバとの間で実行できることはもちろんである。 It is also possible with the server, and it is a matter of course that can perform similar authentication procedure and authorization control between various other servers.
【００４２】上述の実施例では、証明書発行センタ１０ [0042] In the above embodiment, the certificate issuing center 10
が幹事会社サイトに設けられるようにしたが、図９に示すように、証明書発行センタ１０と幹事会社サイト４０ Although There was so provided managing company site, as shown in FIG. 9, the certificate issuing center 10 and the managing company site 40
とを個別に設けてもよいことはもちろんである。 DOO may also be provided separately it is a matter of course. 図９に示す例では、証明書発行の機能を証明書発行センタ１０ In the example shown in FIG. 9, a certificate issuing function of certificate issuing center 10
に割り当て、ウェブベースでサービスを行う機能を幹事会社サイト４０に設けている。 The allocation, is provided with a function to perform the service in a web-based managing company site 40. 幹事会社サイト４０には上述実施例と同様な権限制御をウェブ・サーバ１０１で実行する。 The managing company site 40 executes the same privileges control the above embodiment a web server 101. 図９の例ではウェブ・サーバ１０１自体が認証部１５１およびルート証明書保持部１５０を構成し、 Web server 101 itself constitutes the authentication unit 151 and the root certificate holding unit 150 in the example of FIG. 9,
ウェブ・サーバ１０１のＣＧＩプログラムがエレメント抽出部１５２、権限判別部１５３、権限登録部１５４、 CGI program element extraction unit 152 of the web server 101, privilege determination unit 153, authority registration unit 154,
セッション管理部１５５を構成している。 Constitute a session management unit 155. ＣＧＩプログラムでなくＪＡＶＡサーブレット等を用いてもよい。 It may be used JAVA servlet, etc. instead of the CGI program. もちろん、図１に示すようなアプリケーション・サーバを用いてもよい。 Of course, it may be used application server as shown in Figure 1.
【００４３】図９においては図１と対応する箇所に対応する符号を付し、説明を繰り返さない。 The reference numeral corresponding to the corresponding parts as FIG. 1 in FIG. 9, the description will not be repeated.
【００４４】また、上述では、幹事会社と協力会社とが協力してプロジェクトを行う環境を例に挙げて説明を行ったが、任意の形態のサーバとクライアントとの間の権限制御を同様に行えることはもちろんである。 [0044] In the above description, and the managing company and affiliated companies were described as an example environment for the project to cooperate, performed similarly authority control between the server and the client in any form it is a matter of course.
【００４５】以上説明したようにこの発明によれば個人証明書のサブジェクト名を利用して簡易に保持者の権限や性質を判別でき、簡易にアクセス制御を行うことができる。 [0045] As described above can determine the rights and properties of the holders easily by using the subject name of the personal certificate according to the present invention, it is possible to perform simple access control.
【００４６】すなわち、従来ディレクトリサービスサーバ（データベースサーバ）で管理していたアクセス制限に関する情報を、サブジェクト名の中に、そのオーガニゼーショナル・ユニット・ネームやコモンネームの一部として埋め込み、その内容の真正を証明書の署名により確認した上で利用させることができ、ディレクトリサーバ等を用いることなくアクセス制限の情報をサーバに供給することが可能になる。 [0046] In other words, the information about the conventional directory service server access is managed by the (database server) limit, in the subject name, embedded as part of the Haut crab See relational unit name or common name, the authenticity of its contents It can be utilized after confirming by the signature of the certificate, comprising the information of access restrictions without the use of a directory server or the like can be supplied to the server. サーバ側では、サブジェクト名に埋め込まれた情報と権限との関係を記述したテーブル等を保持するだけで簡易にアクセス権限を知ることができる。 On the server side, it is possible to know the access authority easily simply by holding a table or the like that describes the relationship between the information and authority embedded in subject name.
【００４７】この結果、ディレクトリサーバを用いてアクセス制限を行っていた従来システムの欠点を解消することができる。 [0047] As a result, it is possible to eliminate the disadvantages of the prior system that was going to restrict access using the directory server. すなわち、サブジェクト名や権限レベルがネットワーク（例えばインターネット）上を行き交うことがなくなり、また、ディレクトリサーバ等のコピーを各サーバのサイトに配置する必要もなくなる。 In other words, it prevents the subject name and privilege level come and go over the network (e.g. the Internet), also is not necessary to place a copy of the directory server such as the server site.
【００４８】なお、この発明は上述の実施例に限定されるものではなくその趣旨を逸脱しない範囲で種々変更が可能である。 [0048] Note that the present invention may be variously modified without departing from the spirit is not limited to the embodiments described above. 例えば、上述例では、コモンネームに業務種別のコードを含ませたが、所定階層のオーガニゼーショナル・ユニット・ネームに含ませても良い。 For example, in the above example, was included code job type in common name, it may be included in the O crab See relational unit name of a given hierarchy. また、この発明のサブジェクト名の構成をアクセス制御以外の用途に用いることもできることは明らかである。 Moreover, it is clear that it is also possible to use the subject name of the configuration of the invention in applications other than access control.
【発明の効果】以上説明したように、この発明によれば、個人証明書を用いて簡易にアクセス制御等を行うことができる。 As described in the foregoing, according to the present invention, it is possible to perform access control and the like easily by using a personal certificate.
【図１】 この発明の実施例を全体として示すシステム図である。 1 is a system diagram showing the entire embodiments of the present invention.
【図２】 上述の実施例で用いる個人証明書を説明する図である。 Figure 2 is a diagram illustrating a personal certificate used in the above embodiments.
【図３】 上述実施例の証明書データベースを説明する図である。 3 is a diagram for explaining a certificate database above embodiment.
【図４】 上述実施例の申請者権限の制御を模式的に説明するブロック図である。 4 is a block diagram schematically illustrating the control of the applicant authority above embodiment.
【図５】 上述実施例の認証手続を説明する図である。 5 is a diagram illustrating an authentication procedure of the above Example.
【図６】 上述実施例の権限の区別を説明する図である。 6 is a diagram illustrating the distinction between authorized above embodiment.
【図７】 上述実施例の権限の区別を規定するテーブルの例を説明する図である。 7 is a diagram illustrating an example of a table defining the distinction between authorized above embodiment.
【図８】 上述実施例のセッション管理を説明する図である。 8 is a diagram illustrating a session management described above in Example.
【図９】 上述実施例の変形例を説明する図である。 9 is a diagram illustrating a modification of the above embodiment.
【図１０】 従来例を説明する図である。 10 is a diagram for explaining a conventional example.
１０ 証明書発行センタ ２０ 協力会社サイト ３０ インターネット ４０ 幹事会社サイト １０１ ウェブ・サーバ １０２ アプリケーション・サーバ １０３ データベース管理システム １０３ａ 証明書データベース １０４ メールサーバ １０５ アプリケーション・サーバ １０５ クライアント端末 １０６ ルータ １５０ ルート証明書保持部 １５１ 認証部 １５２ エレメント抽出部 １５３ 権限判別部 １５４ 権限登録部 １５５ セッション管理部 ２０１ クライアント端末 ５００ クライアント端末 ５０１ ネットワーク ５０２ ウェブ・サーバ ５０３ データベースサーバ 10 certificate issuing center 20 subcontractors site 30 Internet 40 managing company site 101 web server 102 application server 103 database management system 103a certificate database 104 the mail server 105 an application server 105 the client terminal 106 the router 150 root certificate holding unit 151 authentication unit 152 the element extracting section 153 authority determination unit 154 rights registration unit 155 the session management unit 201 the client terminal 500 the client terminal 501 network 502 web server 503 database server
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl. 7識別記号 ＦＩ テーマコート゛(参考） Ｇ０９Ｃ 1/00 ６４０ Ｇ０９Ｃ 1/00 ６４０Ｅ Ｈ０４Ｌ 9/32 Ｈ０４Ｌ 9/00 ６７１ Ｆターム(参考） 5B085 AE02 AE06 AE23 BG07 5J104 AA07 AA09 KA01 KA06 PA07 ────────────────────────────────────────────────── ─── of the front page continued (51) Int.Cl. 7 identification mark FI theme Court Bu (reference) G09C 1/00 640 G09C 1/00 640E H04L 9/32 H04L 9/00 671 F -term (reference) 5B085 AE02 AE06 AE23 BG07 5J104 AA07 AA09 KA01 KA06 PA07
【請求項１】 個人証明書に含まれるサブジェクト名を処理する個人証明書サブジェクト名処理装置において、 個人証明書を受信する手段と、 受信した個人証明書を電子署名技術に基づいて検証する手段と、 受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出する手段と、 上記検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定する手段とを有することを特徴とする個人証明書サブジェクト名処理装置。 1. A personal certificate subject name processing apparatus for processing a subject name included in the personal certificate, means for receiving a personal certificate, and means for verifying on the basis of the personal certificate received digital signature technology and means for extracting at least one predetermined elements in the hierarchy of subject name included in the personal certificate received, when said verification is successful, based on the value of the predetermined element, the personal certificate personal certificate subject name processing apparatus characterized by having a means for determining the access rights of the holders.
【請求項２】 上記所定のエレメントのうちの１つは、 Wherein one of the predetermined element,
上記サブジェクト名の所定階層のオーガニゼーショナル・ユニット・ネームである請求項１記載の個人証明書サブジェクト名処理装置。 Personal certificate subject name processing apparatus according to claim 1, wherein the O-Gani See relational unit name of a predetermined hierarchy of the subject name.
【請求項３】 上記所定のエレメントは、業務のプロジェクト名を表すために割り当てられた１の階層のオーガニゼーショナル・ユニット・ネームと、目的を表すために割り当てられた、コモンネームの一部とする請求項１ Wherein said predetermined element is an O-Gani See relational unit name of a hierarchy assigned to represent the project name of the business, assigned to represent the object, a part of the common name claim 1
記載の個人証明書サブジェクト名処理装置。 Personal certificate subject name processing apparatus according.
【請求項４】 個人証明書を受信する手段と、 受信した個人証明書を電子署名技術に基づいて検証する手段と、 受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出する手段と、 受信した個人証明書の検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定する手段とを有することを特徴とするウェブ・サーバ・コンピュータ・システム。 It means for receiving 4. personal certificate, and means for verifying on the basis of the personal certificate received digital signature technology, the received personal certificate subject name hierarchy in at least one predetermined of contained wherein means for extracting elements, when the verification of the received personal certificate has succeeded, based on the value of the predetermined element, that it has a means for determining the access rights of the holder of the personal certificate web server computer system that.
【請求項５】 個人証明書を受信する手段と、 受信した個人証明書を電子署名技術に基づいて検証する手段と、 受信した個人証明書の検証が成功したときに、セッション識別子を割り当てる手段と、 受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出する手段と、 受信した個人証明書の検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定する手段と、 決定したアクセス権限を上記セッション識別子に関連づけて保持する手段とを有することを特徴とするウェブ・ Means for receiving a 5. personal certificate, and means for verifying on the basis of the personal certificate received digital signature technology, when the verification of the received personal certificate was successful, means for assigning a session identifier and means for extracting at least one predetermined elements in the subject name of the tier in which the individual certificate received, when the verification of the received personal certificate has succeeded, based on the value of the predetermined element, web, characterized in that it comprises a means for holding the means for determining the access rights of the holder of the personal certificate, access rights determined in relation to the session identifier,
サーバ・コンピュータ・システム。 Server computer system.
【請求項６】 上記所定のエレメントのうちの１つは、 6. One of the predetermined element,
上記サブジェクト名の所定階層のオーガニゼーショナル・ユニット・ネームである請求項５記載のウェブ・サーバ・コンピュータ・システム。 Web server computer system of claim 5 wherein the O-Gani See relational unit name of a predetermined hierarchy of the subject name.
【請求項７】 上記所定のエレメントは、業務のプロジェクト名を表すために割り当てられた１の階層のオーガニゼーショナル・ユニット・ネームと、目的を表すために割り当てられた、コモンネームの一部とする請求項５ 7. The predetermined element is a O Gani See relational unit name of a hierarchy assigned to represent the project name of the business, assigned to represent the object, a part of the common name according to claim 5
記載のウェブ・サーバ・コンピュータ・システム。 Web server computer system described.
【請求項８】 サブジェクト名の所定のエレメントが保持者の所属組織および個人ＩＤ以外の属性を表す個人証明書を受信して当該サブジェクト名を処理する個人証明書サブジェクト名処理装置において、 上記個人証明書を受信する手段と、 受信した個人証明書に含まれるサブジェクト名の階層中の所定のエレメントを抽出する手段と、 少なくとも、上記所定のエレメントの値が表す、保持者の所属組織および個人ＩＤ以外の属性に基づいて、アクセス権限を決定する手段とを有することを特徴とする個人証明書サブジェクト名処理装置。 8. The personal certificate subject name processing apparatus in which a predetermined element to process the subject name to receive a personal certificate representing an attribute other than the organization and personal ID of the holder of the subject name, the personal certificate means for receiving a writing, means for extracting a predetermined element in the hierarchy of subject name included in the personal certificate received, at least, represent the value of the predetermined element, except organization and personal ID of the holder based on the attributes, personal certificate subject name processing apparatus characterized by having a means for determining the access rights.
【請求項９】 上記サブジェクト名の所定階層のオーガニゼーショナル・ユニット・ネームが、保持者がオーガニゼーション・ネームが表す組織の構成員ではなく、かつ当該組織に対して協力していることを示す請求項８記載の個人証明書サブジェクト名処置装置。 9. claims the subject name of a given hierarchy Haut crab Zee relational unit name is, the holder is not a member of the organization represented by the organization name, and show that, working against the organization 8 individual certificate subject name treatment device as claimed.
【請求項１０】 上記サブジェクト名の所定階層のオーガニゼーショナル・ユニット・ネームが、保持者が参加するプロジェクト名を表す請求項８記載の個人証明書サブジェクト名処理装置。 10. predetermined hierarchies Haut crab Zee relational unit name of the subject name, holders personal certificate subject name processing apparatus according to claim 8, wherein representing the project name to join.
【請求項１１】 上記サブジェクト名の所定階層のオーガニゼーショナル・ユニット・ネームが、オーガニゼーション・ネームが表す組織に対して協力し、かつ保持者が属する、協力組織名を表す請求項８記載の個人証明書サブジェクト名処理装置。 11. The subject name of a given hierarchy Haut crab Zee relational unit name is to cooperate with the tissue represented by the organization name, and the holder belongs, personal certificate of claim 8, wherein representing the cooperation organization name writing subject name processing apparatus.
【請求項１２】 上記サブジェクト名の所定階層のオーガニゼーショナル・ユニット・ネームが、保持者が参加する業務の種類を表す請求項８記載の個人証明書サブジェクト名処理装置。 12. predetermined hierarchies Haut crab Zee relational unit name of the subject name, holders personal certificate subject name processing apparatus according to claim 8, wherein indicating the type of business to participate.
【請求項１３】 上記サブジェクト名のコモンネームが、保持者が参加する業務の種類を表す請求項８記載の個人証明書サブジェクト名処理装置。 13. Common Name of the subject name, holders personal certificate subject name processing apparatus according to claim 8, wherein indicating the type of business to participate.
【請求項１４】 個人証明書を受信する手段と、 受信した個人証明書に含まれるサブジェクト名の階層中の所定のエレメントを抽出する手段と、 上記所定のエレメントの値に基づいてアクセス権限を決定する手段とを有することを特徴とする個人証明書サブジェクト名処理装置。 Determining means for receiving 14. A personal certificate, means for extracting a predetermined element in the hierarchy of subject name included in the personal certificate received, the access rights based on the value of the predetermined element personal certificate subject name processing apparatus characterized by having means for.
【請求項１５】 個人証明書に含まれるサブジェクト名を処理する個人証明書サブジェクト名処理方法において、 個人証明書を受信するステップと、 受信した個人証明書を電子署名技術に基づいて検証するステップと、 受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出するステップと、 上記検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定するステップとを有することを特徴とする個人証明書サブジェクト名処理方法。 15. A personal certificate subject name processing method for processing a subject name included in the personal certificate, receiving a personal certificate, and verifying on the basis of the personal certificate received digital signature technology , extracting at least one predetermined elements in the hierarchy of subject name included in the personal certificate received, when said verification is successful, based on the value of the predetermined element, the personal certificate personal certificate subject name processing method characterized by a step of determining access rights holders.
【請求項１６】 サブジェクト名の所定のエレメントが保持者の所属組織および個人ＩＤ以外の属性を表す個人証明書を受信して当該サブジェクト名を処理する個人証明書サブジェクト名処理方法において、 上記個人証明書を受信するステップと、 受信した個人証明書に含まれるサブジェクト名の階層中の所定のエレメントを抽出するステップと、 少なくとも、上記所定のエレメントの値が表す、保持者の所属組織および個人ＩＤ以外の属性に基づいて、アクセス権限を決定するステップとを有することを特徴とする個人証明書サブジェクト名処理方法。 16. A personal certificate subject name processing method in which a predetermined element of the subject name to receive a personal certificate representing an attribute other than the organization and personal ID holders processing the subject name, the personal certificate receiving a write, extracting a predetermined element in the hierarchy of subject name included in the personal certificate received, at least, represent the value of the predetermined element, except organization and personal ID of the holder based on the attributes, personal certificate subject name processing method characterized by a step of determining access rights.
【請求項１７】 個人証明書に含まれるサブジェクト名を処理するためにコンピュータに用いられる個人証明書サブジェクト名処理用コンピュータ・プログラムにいて、 個人証明書を受信するステップと、 受信した個人証明書を電子署名技術に基づいて検証するステップと、 受信した個人証明書に含まれるサブジェクト名の階層中の少なくとも１つの所定のエレメントを抽出するステップと、 上記検証が成功したときに、上記所定のエレメントの値に基づいて、上記個人証明書の保持者のアクセス権限を決定するステップとをコンピュータに実行させるために用いられることを特徴とする個人証明書サブジェクト名処理用コンピュータ・プログラム。 17. are in the personal certificate subject name processing computer program used in a computer for processing the subject name included in the personal certificate, receiving a personal certificate, an individual certificate received extracting and verifying, based on the digital signature technology, at least one predetermined elements in the hierarchy of subject name included in the personal certificate received, when said verification succeeds, the predetermined element based on the value, the personal certificate subject name processing computer program, characterized by being used to perform the steps on a computer for determining access privileges holder of the personal certificate.
【請求項１８】 サブジェクト名の所定のエレメントが保持者の所属組織および個人ＩＤ以外の属性を表す個人証明書を受信して当該サブジェクト名を処理するためにコンピュータに用いられる個人証明書サブジェクト名処理用コンピュータ・プログラムにおいて、 上記個人証明書を受信するステップと、 受信した個人証明書に含まれるサブジェクト名の階層中の所定のエレメントを抽出するステップと、 少なくとも、上記所定のエレメントの値が表す、保持者の所属組織および個人ＩＤ以外の属性に基づいて、アクセス権限を決定するステップとをコンピュータに実行させるために用いられることを特徴とする個人証明書サブジェクト名処理用コンピュータ・プログラム。 18. personal certificate subject name processing used in a computer receiving and for processing the subject name of the individual certificate predetermined elements represent attributes other than organization and personal ID of the holder of the subject name in use a computer program, and extracting and receiving the personal certificate, a predetermined element in the hierarchy of subject name included in the personal certificate received, at least, represent the value of the predetermined element, based on attributes other than organization and personal ID of the holder, individual certificate subject name processing computer program, characterized by being used to perform the determining access privileges to the computer.
【請求項１９】 サブジェクト名のオーガニゼーショナル・ユニット・ネームおよびコモン・ネームの少なくとも１つが保持者の所属組織および個人ＩＤ以外の属性を表す個人証明書を記録したコンピュータ読取り可能な記録媒体。 19. Subject Name O crab Zee relational unit name and common name for at least one holder of the organization and personal computer readable recording the personal certificates representing the attribute other than ID usable medium.
JP2001315276A 2000-11-16 2001-10-12 Device and method for processing subject name of individual certificate Pending JP2002215585A (en)
JP2000350185 2000-11-16
JP2000-350185 2000-11-16
JP2001315276A JP2002215585A (en) 2000-11-16 2001-10-12 Device and method for processing subject name of individual certificate
US09/987,418 US7007091B2 (en) 2000-11-16 2001-11-14 Method and apparatus for processing subject name included in personal certificate
JP2002215585A true JP2002215585A (en) 2002-08-02
ID=26604115
JP2001315276A Pending JP2002215585A (en) 2000-11-16 2001-10-12 Device and method for processing subject name of individual certificate
US (1) US7007091B2 (en)
JP (1) JP2002215585A (en)
JP2004260803A (en) * 2003-02-03 2004-09-16 Sony Corp Radio ad hoc communication system, terminal, attribute certificate issue proposing and requesting method at terminal, and program for implementation thereof
JP2006344077A (en) * 2005-06-09 2006-12-21 Location Value:Kk Job offer and job application matching support system
US7797531B2 (en) 2003-02-03 2010-09-14 Sony Corporation Wireless ad-hoc communication system, terminal, method for suggesting issuance of attribute certificate and method for requesting issuance of attribute certificate in the terminal, and program for causing the terminal to execute the method
2001-10-12 JP JP2001315276A patent/JP2002215585A/en active Pending
2001-11-14 US US09/987,418 patent/US7007091B2/en not_active Expired - Fee Related
JP4631281B2 (en) * 2003-02-03 2011-02-23 ソニー株式会社 Wireless ad-hoc communication system, the terminal, the attribute certificate issuing proposal method and attribute certificate issuing request method and program for executing these methods to the terminal in the terminal
US7007091B2 (en) 2006-02-28
US20020059437A1 (en) 2002-05-16
AU782518B2 (en) 2005-08-04 A method for inter-enterprise role-based authorization