JP2004151942A

JP2004151942A - Web service providing apparatus, web service providing method, and web service providing program

Info

Publication number: JP2004151942A
Application number: JP2002315663A
Authority: JP
Inventors: Sho Imasato; 詔今郷
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2002-10-30
Filing date: 2002-10-30
Publication date: 2004-05-27

Abstract

【課題】どのようなウェブサービスを利用できるかをクライアントにサービス一覧を提示することができ、さらにセキュリティ保持機能に優れ、クライアントの資格に応じて一覧の内容を変更して提示することができるウェブサービス提供装置、ウェブサービス提供方法およびウェブサービス提供プログラムを提供する。
【解決手段】クライアント認証手段１１２によりクライアント（１２１，１２２）からのアクセス要求があったときにクライアント認証を行ない、ウェブサービス一覧提供手段（通信手段等）によりクライアント認証が成功したクライアントに対して当該クライアントが使用可能なウェブサービスの一覧を提供し、複数のウェブサービス提供手段（通信手段等）によりクライアントから一覧に提示されたウェブサービスの利用要求を受け取ったときはクライアント（１２１，１２２）に利用要求にかかるウェブサービスを提供する。
【選択図】図２A web that can present a service list to a client as to what kind of web service can be used, has a superior security maintenance function, and can change and present the contents of the list according to the qualification of the client. A service providing apparatus, a web service providing method, and a web service providing program are provided.
Kind Code: A1 A client authentication unit performs client authentication when there is an access request from a client, and a client authenticated by a web service list providing unit (communication unit or the like). A list of available web services is provided by the client, and when a web service use request presented in the list is received from the client by a plurality of web service providing means (communication means, etc.), the client (121, 122) uses the list. Providing web services for requests.
[Selection] Fig. 2

Description

【０００１】
【発明の属する技術分野】
本発明は、ウェブサービスをクライアントに提供する機能を備えたウェブサービス提供技術に関し、どのようなウェブサービスを利用できるかをクライアントに一覧提示することができ、さらにセキュリティ保持機能に優れ、クライアントの資格に応じて前記一覧の内容を変更して提示することができるウェブサービス提供装置、ウェブサービス提供方法およびウェブサービス提供プログラムに関する。
【０００２】
【従来の技術】
ウェブサービスは、ＷＷＷのインフラを利用しあるまとまった機能（サービス）を呼び出すための一連の関数（手続き）をプラットフォーム（機種やＯＳ等）に依存しない形式で呼び出せるようにした、サーバ上の機能である。
【０００３】
典型的には、ＷＷＷの通信プロトコルであるＨＴＴＰを利用し、サーバ上の一連の関数（手続き）を、プラットフォームに依存しないデータ形式であるハイパーテキスト言語（たとえば、ＸＭＬ）で呼び出せるような構成となっている。
この種のサービスをクライアントが利用する場合には、サービスの仕様、およびサービス呼出要求の発行先（ＵＲＬ）を知る必要がある。
【０００４】
通常、サービスの仕様は事前にサービス提供者から入手し、クライアント側でのサービスを利用できるように、たとえばソフトウェアを構築することになる。この場合、サービス呼出要求の発行先はサーバの設置状況やソフトウェアのインストール条件などにより変動することもある。そのため、クライアントはサービスの利用に際して、何らかの方法でサービス呼出要求の発行先を知る必要がある。
【０００５】
たとえば、図１２に示すように、クライアント８２は次の手順でサービスサーバ８１のサービス呼出要求の発行先を知ることができる。ここではサービスサーバ８１は、サービス１（符号８１１で示す），サービス２（符号８１１で示す），管理サービス（符号８１３で示す），サービス一覧８１４からなるものとする。
【０００６】
（１）サービスサーバの特定のＵＲＬ（図１２ではサービス一覧８１４）に対し、サービス一覧の取得要求を発行する。これはＨＴＴＰによる通常のウェブページの取得方法と同じである。サービス一覧の取得要求先ＵＲＬはどのサーバでも固定とする（たとえば所定ポートのルートＵＲＬなど）。
【０００７】
（２）サービスサーバ８１は自身が持つサービスの名前（ＩＤ）とサービス呼出要求の発行先（ＵＲＬ）とを含むサービス一覧をＸＭＬ形式でクライアント８２に返す。
【０００８】
（３）クライアント８２は自身が使用したいサービスが一覧に記載されているか否かを確認し、記載されていればそのサービス呼出要求の発行先（ＵＲＬ）に対して関数の呼出し要求を行なう。
具体的には、あるホストの特定の名前の文書をＨＴＴＰＧＥＴすると、〔表１〕のようなＸＭＬ文書が提示される。
【０００９】
【表１】

【００１０】
このＸＭＬ文書をクライアント８２が解析することで、どのようなサービスが用意されており、どのようにしてそのサービスを使用すればよいかがわかる。
【００１１】
（４）サービスサーバ８１は要求された関数を実行し、結果をクライアント８２に返す。
【００１２】
〔表１〕の例では、このサービスサーバ８１にはＳｅｒｖｉｃｅ１という名前のサービス８１１と、Ｓｅｒｖｉｃｅ２という名前のサービス８１２の２つのサービスが存在し、図１２に示すように、それぞれ“ｈｔｔｐ：／／ｆｏｏ／ｂａｒ／ｓ１．ｗｓｄｌ”と“ｈｔｔｐ：／／ｆｏｏ／ｓｏｍｅ／ｐｌａｃｅ／ｓｅｒｖ２．ｗｓｄｌ”にアクセスすることでサービス情報が取得でき、そのサービスにアクセスできるようになることを表している。
以上の手順で、（３），（４）は必要なだけ繰り返される。
【００１３】
【発明が解決しようとする課題】
しかし、従来のウェブサービス一覧技術では、クライアント８２が一覧を求めるとそのクライアント８２が何であるかに関わらず、全てのサービスの一覧を返している。また、返すときも単なるＸＭＬファイルとして一覧を返すだけである。
【００１４】
しかし、これには次の問題がある。
（１）一覧を提示するクライアントを限定できない。そのため、サービスを使用して欲しくないクライアントにもサービス一覧を提示してしまう。たとえ、サービス使用時にサービスがクライアントを認証するとしても、セキュリティ上の弱点となってしまう。
たとえば、もし悪意のあるクライアントがサービス一覧を取得してしまうと、サービス拒否攻撃（ＤｏＳ攻撃：ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅａｔｔａｃｋ）などの攻撃を受け、サーバがサービス提供できなくなるおそれがある。また、意図しないクライアントから想定外の方法でサービスを利用され、サービスの内部データの一貫性が失われるおそれもある。
【００１５】
（２）クライアントの種類に応じて一覧内容を切り替えることができない。たとえば一般的なクライアントと管理用クライアントとでは必要とするサービスが一般的には異なる。クライアントにすべてのサービスを提示すると、クライアント側でサービスを選択する際の手間が増えるおそれがある。
【００１６】
（３）サーバが返したサービス一覧が信用できるものかどうかクライアントが判断する材料がない。もし悪意のあるサーバであった場合、クライアントは意図しないサービスにアクセスしてしまうおそれがある。
【００１７】
本発明の目的は、どのようなウェブサービスを利用できるかをクライアントに一覧提示することができ、さらにセキュリティ保持に優れ、クライアントの資格に応じて前記一覧の内容を変更して提示することができるウェブサービス提供装置、ウェブサービス提供方法およびウェブサービス提供プログラムを提供することにある。
【００１８】
【課題を解決するための手段】
本発明のウェブサービス提供装置は、ネットワーク（ＬＡＮまたはインターネット等のＷＡＮ）を介してウェブサービスをクライアントに提供する機能を備えたもので、前記クライアントからのアクセス要求があったときに、クライアント認証を行なうクライアント認証手段と、クライアント認証が成功したクライアントに対して当該クライアントが使用可能なウェブサービスの一覧を提供するウェブサービス一覧提供手段と、前記クライアントから、前記ウェブサービス一覧に提示されたウェブサービスの利用要求を受け取ったときは（クライアント認証を行なうことなく）前記クライアントに前記利用要求にかかるウェブサービスを提供する複数のウェブサービス提供手段とを備えたことを特徴とする。
【００１９】
以上の構成により、どのようなウェブサービスを利用できるかをクライアントに一覧として提示することができる。また、サービス自体がクライアント認証を行なう機能がなくても、サービス一覧の段階でクライアント認証を行なうことで、程度のセキュリティを確保できる。
【００２０】
また、本発明のウェブサービス提供装置では、ウェブサービス一覧提供手段は、クライアント認証が失敗したクライアントに対しても、当該クライアントが使用可能なウェブサービスの一覧を提供することができる。これにより、不特定のクライアントに公開してもよいサービスの一覧はクライアントを認証することなく提供できるので、公開に適したサービスをより多くのクライアントに提供することができる。
【００２１】
本発明のウェブサービス提供装置では、クライアント認証が成功したときにのみクライアントに提供できるウェブサービスと、クライアント認証が成功するか否かによらずクライアントに提供できるウェブサービスとを、情報管理するウェブサービス情報管理手段を備えることができる。この場合、前記ウェブサービス情報管理手段は、ウェブサービスのＵＲＬと、当該ウェブサービスが、クライアント認証が成功したときにのみクライアントに提供できるウェブサービスであるか、クライアント認証が成功するか否かによらずクライアントに提供できるウェブサービスであるかを特定する情報とのテーブルを有することができる。これにより、それぞれのサービスに対して、一覧を許す際にクライアント認証が必要か否かを適宜指定（変更）できるので、状況に応じて適切なセキュリティ確保を行なうことができる。
【００２２】
本発明のウェブサービス提供方法は、ウェブサービスをクライアントに提供するものであって、前記クライアントからのアクセス要求があったときにクライアント認証を行なうクライアント認証ステップと、クライアント認証が成功したクライアントに対して当該クライアントが使用可能なウェブサービスの一覧を提供する一覧提供ステップと、前記クライアントから、前記ウェブサービス一覧に提示されたウェブサービスの利用要求を受け取ったときは（クライアント認証を行なうことなく）前記クライアントに前記利用要求にかかるウェブサービスを提供するウェブサービス提供ステップとを備えたことを特徴とする。
【００２３】
本発明のウェブサービス提供方法において、ウェブサービス提供ステップでは、さらに、クライアント認証が失敗したクライアントに対して当該クライアントが使用可能なウェブサービスの一覧を提供することができる。
【００２４】
本発明のウェブサービス提供プログラムは、ウェブサービスをクライアントに提供するものであって、前記クライアントからのアクセス要求があったときにクライアント認証を行なうクライアント認証ステップを実行するプログラムと、クライアント認証が成功したクライアントに対して当該クライアントが使用可能なウェブサービスの一覧を提供する一覧提供ステップを実行するプログラムと、前記クライアントから、前記ウェブサービス一覧に提示されたウェブサービスの利用要求を受け取ったときは（クライアント認証を行なうことなく）前記クライアントに前記利用要求にかかるウェブサービスを提供するウェブサービス提供ステップを実行するプログラムとを備えたことを特徴とする。
【００２５】
また、ウェブサービス提供ステップを実行するプログラムは、さらに、クライアント認証が失敗したクライアントに対して当該クライアントが使用可能なウェブサービスの一覧を提供することができる。
【００２６】
また、本発明では、暗号等の秘密技術を応用することもできる。
すなわち、本発明のウェブサービス提供装置は、ウェブサービスをクライアントに提供する機能を備えたもので、クライアント認証が必要なウェブサービスを、認証用情報により可読な秘密一覧として提供し、クライアント認証が不要なウェブサービスを可読一覧として提供するウェブサービス一覧提供手段と、前記クライアントから、前記ウェブサービス一覧に提示されたウェブサービスの利用要求を受け取ったときは（クライアント認証を行なうことなく）前記クライアントに前記利用要求にかかるウェブサービスを提供する複数のウェブサービス提供手段とを備えたことをも特徴とする。
【００２７】
このウェブサービス提供装置では、サービス一覧データを秘密化して提供するので、前もってその認証用情報を用いて秘密を解除することができるクライアントのみがサービス一覧を取得できる。
【００２８】
この認証用情報により可読な秘密一覧として提供できるウェブサービスと、クライアント認証が不要なウェブサービスを可読一覧として提供できることを情報管理するウェブサービス情報管理手段を備えることができる。この場合、前記ウェブサービス情報管理手段は、ウェブサービスのＵＲＬと、当該ウェブサービスの情報を認証用秘密解除キーにより可読な一覧として提供できるウェブサービスであるか、認証不要なウェブサービスの情報を可読な一覧として提供できるウェブサービスであるかを特定する情報とのテーブルを有することができる。
これにより、それぞれのサービスに対して、一覧を許す際に暗号化が必要か否かを必要に応じて指定（変更）できるので、状況に応じて適切なセキュリティ確保を行なうことができる。
【００２９】
本発明のウェブサービス提供方法は、ウェブサービスをクライアントに提供する機能を備えたもので、認証が必要なウェブサービスの情報を認証用秘密解除キーにより可読な一覧として提供し、認証不要なウェブサービスの情報を可読な一覧として提供するウェブサービス一覧提供ステップと、前記クライアントから、前記ウェブサービス一覧に提示されたウェブサービスの利用要求を受け取ったときは（クライアント認証を行なうことなく）前記クライアントに前記利用要求にかかるウェブサービスを提供するステップとを備えたことをも特徴とする。
【００３０】
本発明のウェブサービス提供装置では、ウェブサービスをクライアントに提供する機能を備えたもので、電子署名を作成する手段を備え、前記クライアントからのアクセス要求があったときに、ウェブサービス一覧情報とともにその一覧に対するサーバの電子署名を提供することを特徴とする。
これにより、サービス一覧データに加えて、そのデータに対するサーバの電子署名を提供するので、そのサービス一覧データが信頼できるかどうかをクライアントが判断でき、信頼できない場合はサービスを利用しないことでセキュリティを確保できる。
【００３１】
【発明の実施の形態】
以下、本発明の実施形態を説明する。
図１は、本発明のウェブサービス提供装置を応用したシステムを示す図である。図１では、ネットワーク（図１ではＬＡＮ）１００に、サービスサーバ（本発明の「ウェブサービス提供装置」）１１、管理用クライアント１２１および複数の一般クライアント１２２が接続されている。図２は、サービスサーバ１１と、管理用クライアント１２１と、一般クライアント１２２との関係を示しており、同図においてサービスサーバ１１は、サービス一覧管理手段１１１、クライアント認証手段１１２およびサービスセキュリティ属性設定手段１１３を含む。なお、図示はしないが本発明のウェブサービス一覧提供手段、ウェブサービス提供手段は、サービスサーバの送信機能等がその役割を果たす。サービスサーバ１１は、管理用クライアント１２１，一般クライアント１２２からのサービス情報取得要求ＳＩＲに応じてサービス一覧を返し、当該一覧に提示されたサービスを提供することができる。
【００３２】
一般クライアント１２２はウェブサービスを利用する通常のクライアントであり、管理用クライアント１２１はサービスサーバ１１の管理を行なうためにサーバ管理者が使用するクライアントである。
【００３３】
以下、図１および図２に示すサービスサーバ１１（すなわち、本発明のウェブサービス提供装置）の動作を、図３のフローチャートに基づき説明する。
サービス一覧管理手段１１１が、クライアント（１２１，１２２）が発行したサービス情報取得要求ＳＩＲ（たとえば、“ＧＥＴ／ＨＴＴＰ／１．１”のようなＨＴＴＰ要求）を受け取ったものとする（Ｓ１０１）。
サービス情報取得要求ＳＩＲを受け取ったサービス一覧管理手段１１１は、クライアント認証が必要なことを意味する情報をクライアント（１２１，１２２）に返す。それに対して、クライアント（１２１，１２２）は認証に必要な情報（本発明における「認証用情報」、ＲＧＩ）を、もう一度サービス一覧管理手段１１１に対して発行し、サービス一覧管理手段１１１は、ユーザ認証情報を取得する（Ｓ１０２）。ここで、「認証に必要な情報」とは、たとえば、パスワード、あるいはクライアント名とパスワードとの組である。このクライアント認証のメカニズムはＨＴＴＰで規定されているメカニズムと同じである。
【００３４】
クライアント（１２１，１２２）から認証データを受け取ったサービス一覧管理手段１１１は、そのデータをクライアント認証手段１１２に渡し、認証可能かどうかの判定を行なう（Ｓ１０３）。クライアント認証手段１１２は〔表２〕のようなデータを保持しており、渡された認証データが一致する行があれば、認証できたものと判定する。
【００３５】
【表２】

【００３６】
サービス一覧管理手段１１１は、〔表３〕のように、個々のサービスの名前とサービス呼出要求の発行先（ＵＲＬ）、利用可能なクライアントの一覧を管理している。
【００３７】
【表３】

【００３８】
クライアントの認証が成功すれば、サービス一覧管理手段１１１は、そのクライアントが利用できるサービスのみの一覧を作成し（Ｓ１０４）、これをＸＭＬデータとしてクライアントに返す（Ｓ１０６）。
【００３９】
一方、認証が失敗したときは、何人も利用可能なサービスの一覧を作成し、（Ｓ１０５）、これをＸＭＬデータとしてクライアントに返す（Ｓ１０６）。なお、各ステップの処理実行のプログラムをサービスサーバ１１のＲＯＭ等の記憶手段に格納しておくことができる。
【００４０】
たとえば、認証が成功したクライアントがｕｓｅｒＡであった場合は、〔表４〕のようなサービス一覧のスクリプトが、ｕｓｅｒＡに返される。
【００４１】
【表４】

【００４２】
図３では，認証が成功したクライアントに送信する一覧には、何人も利用可能なサービスの情報を含めなかった。図４は、認証が成功したクライアントに、何人も利用可能なサービスの情報をも加えた一覧を送信する場合のフローチャートである。すなわち、クライアントの認証が成功した場合（Ｓ１０３の「ＹＥＳ」の場合）に、サービス一覧管理手段１１１は、クライアントが利用できるサービスおよび何人も利用できるサービスの一覧を作成する（Ｓ１０４′）。
【００４３】
クライアントは、この一覧の中から使用するサービスを選択し、そのサービス呼出要求の発行先（ＵＲＬ）に所定のサービス利用要求を送付する。
以上のように、サービスセキュリティ属性設定手段は、クライアントから属性設定要求があれば、そのクライアントを認証し、ＧＵＩなどを使って、それぞれのサービスの使用にクライアント認証が必要か否か、使用にクライアント認証が必要な場合は、どのクライアントが使用可能か、サービスセキュリティ属性設定ができるクライアントの設定を可能とする。具体的には、クライアントからの指示に基づいてサービス一覧管理手段１１１が管理しているデータを変更する。
【００４４】
図５は、暗号化した一覧をクライアントに提示するウェブサービス提供装置を応用したシステムを示す図である。図５においては、サービスサーバ２１と、管理用クライアント２２１と、一般クライアント２２２との関係を示しており、同図においてサービスサーバ２１は、サービス一覧管理手段２１１、クライアント認証手段２１２、サービスセキュリティ属性設定手段２１３およびデータ暗号管理手段２１４を含む。サービスサーバ２１は、管理用クライアント２２１，一般クライアント２２２からのサービス情報取得要求ＳＩＲに応じて、暗号化した一覧または暗号化しない一覧をサービス一覧を返し、当該一覧に提示されたサービスを提供することができる。なお、全システムの構成は、図１に示した構成において、サービスサーバの符号を２１とし、管理用クライアントの符号を２２１とし、一般クライアントの符号を２２２としたものであるので図示はしない。
【００４５】
図６および図７のフローチャートにより、図５のサービスサーバ２１の動作を説明する。
図６に示すように、サービス一覧管理手段２１１が、クライアント（２２１，２２２）が発行したサービス情報取得要求ＳＩＲ（たとえば、“ＧＥＴ／ＨＴＴＰ／１．１”のようなＨＴＴＰ要求）を受け取ったものとする（Ｓ２０１）。
【００４６】
サービス一覧管理手段２１１は、〔表５〕に示すように、個々のサービスの名前とサービス呼出要求の発行先（ＵＲＬ）、利用可能なクライアントの一覧を管理している。
【００４７】
【表５】

【００４８】
サービス一覧管理手段２１１がサービス一覧を要求されると、サービス一覧を作成し（Ｓ２０２）、これをクライアントに送信する（Ｓ２０３）。
【００４９】
図７は、サービス一覧の作成処理を示している。サービス一覧の作成が開始されると（図７の「ｓｔａｒｔ」参照）、サービス情報を〔表６〕に示すようなＸＭＬとして作成し（Ｓ３０１）する。
【００５０】
【表６】

【００５１】
この後、クライアントが利用可能なサービスについての情報を１つ取り出し（Ｓ３０２）、暗号化が必要な必要であるか否かを判断する（Ｓ３０３）。暗号化が必要な必要なサービスの情報は、所定の暗号キーで暗号化し、認証用秘密解除キーにより可読な一覧に加え（Ｓ３０４）、暗号化が不要なサービスの情報は暗号化せずにそのままで可読な一覧に加え（Ｓ３０５）、未処理のサービスがなくなるまでＳ３０２〜Ｓ３０５を繰り返す（Ｓ３０６）。なお、各ステップの処理実行のプログラムをサービスサーバ２１のＲＯＭ等の記憶手段に格納しておくことができる。
【００５２】
復号キーを知らないクライアントは、暗号化されているサービス情報は利用することができないが、暗号化されていないサービス情報は利用できる。復号キーを知っているクライアントは、暗号化されているサービス情報も利用することができる。
【００５３】
クライアントはこの一覧の中から使用するサービスを選択し、そのサービス呼出要求の発行先（ＵＲＬ）に所定のサービス利用要求を送付する。
サービスセキュリティ属性設定手段は、クライアントから属性設定要求があれば、そのクライアントを認証し、ＧＵＩなどを使って、それぞれのサービス情報を一覧作成時に暗号化するか否かの設定、サービスセキュリティ属性設定ができるクライアントの設定をすることができる。具体的には、クライアントからの指示に基づいてサービス一覧管理手段が管理しているデータを変更する。
【００５４】
図１および図２に示したサービスサーバ１１、図５に示したサービスサーバ２１では、管理用クライアントがサービス情報取得要求ＳＩＲを発行したときに認証が成功する例を示したが、本発明はこれに限定されない。たとえば、事業所に設置されたサービスサーバ（ウェブサービス提供装置）がインターネットファクシミリ装置である場合、インターネットファクシミリ装置が備えたウェブサービスを、認証が成功したクライアントには利用を制限しないが、認証が失敗したクライアントには利用を制限することができる。この場合、クライアントがサーバにアクセスすると、クライアントのディスプレイには図８（Ａ）に示す入力ページが表示される。入力ページには、ＩＤ（ここでは社員ＩＤ）およびパスワードの入力欄が表示され、オペレータが正当なＩＤおよびパスワードを入力した場合において、オペレータが、特定の資格を持つ者（正規社員）である場合には、図８（Ｂ）に示すページがクライアントのディスプレイに表示される。また、オペレータが、特定の資格を持たない者（たとえば、正規社員でない者）である場合には、図８（Ｃ）に示すページがクライアントのディスプレイに表示される。図８（Ｃ）に示すように、特定の資格を持たないクライアントは、受信文書閲覧サービスおよびプリントサービスを利用することができる。一方、特定の資格を持つクライアントは、上記のサービスのほか、インターネットファクシミリサービス、受信文書閲覧サービス、受信文書転送サービスおよびプリントサービスの一覧が表示されている。
【００５５】
上記した例では、クライアントはＬＡＮ１００を介してサービスサーバにサービス情報取得要求ＳＩＲを発行する例を示したが、クライアントがインターネットを介してサービスサーバにアクセスするようにシステムを構成することができる。
【００５６】
図９は、このときのシステム構成例を示す図である。図９では、教育関連サービスを提供するサービスサーバ３１と、教育関連サービスを利用する複数のクライアントがインターネット２００を介して接続されている。この場合、クライアントと教育関連サービス主催者から許可を受けた者（教育関連サービス主催者と契約をした者）のみが認証ＩＤ等を与えられる。ここではクライアント３２１が教育関連サービス主催者から許可を受けており、クライアント３２２が教育関連サービス主催者から許可を受けていないものとする。
【００５７】
クライアントは、サービス情報取得要求ＳＩＲをサービスサーバ３１に発行し、サービスサーバ３１から図１０（Ａ）に示すメンバーＩＤとパスワード表示画面を取得する。認証が成功したクライアント３２１（契約者）は、図１０（Ｂ）に示すような一覧を取得することができる。一方、認証が成功したクライアント３２１（契約者）は、図１０（Ｃ）に示すような一覧を取得することができる。
【００５８】
図１１は、一覧に電子署名付与により、意図しないサービスサーバから送られた一覧に提示されたサービスの利用を避けることができる例を示す図である。図１１において、サービスサーバ３１は、サービス一覧管理手段３１１と、電子署名付与手段３１２とを備えている。
【００５９】
一般クライアント３２がサービスサーバ３１のサービス一覧を要求する場合は、サービス一覧管理手段３１１に対してサービス情報取得要求ＳＩＲ（たとえば、ＧＥＴ／ＨＴＴＰ／１．１等）を発行する。
【００６０】
サービス情報取得要求ＳＩＲを受け取ったサービス一覧管理手段３１１は、サービス一覧データを作成し、所定の秘密キーを用いて電子署名を作成する。この秘密キーは、電子署名付与手段３１２により作成される。サービス一覧データとそれに対する電子署名データの両方がクライアントに返される。
【００６１】
一般クライアントはサービスサーバ３１から送られた公開キーを用いて、返されたサービス一覧データが、クライアントが想定しているサーバが作成したものであるか否かを検証することができる。もし検証に失敗した場合、クライアント３２はそのサービスの利用を取り止めることができる。
【００６２】
【発明の効果】
本発明によれば、どのようなウェブサービスを利用できるかをクライアントに一覧提示することができ、さらにセキュリティ保持に優れ、クライアントの資格に応じて前記一覧の内容を変更して提示することができる。
【図面の簡単な説明】
【図１】本発明のウェブサービス提供装置を応用したシステムを示す図である。
【図２】図１のシステムにおけるサービスサーバと管理用クライアントと一般クライアントとの関係を示す図である。
【図３】図１および図２に示すサービスサーバの動作を説明するためのフローチャートである。
【図４】認証が成功したクライアントに、何人も利用可能なサービスの情報をも加えた一覧を送信する場合のフローチャートを示す図である。
【図５】暗号化した一覧をクライアントに提示するウェブサービス提供装置を応用したシステムを示す図である。
【図６】図５のサービスサーバの動作を説明するためのフローチャートである。
【図７】図６におけるサービス一覧の作成処理を示すフローチャートである。
【図８】（Ａ），（Ｂ），（Ｃ）は、事業所に設置されたウェブサービス提供装置がインターネットファクシミリ装置である場合のクライアントのディスプレイの表示を示す図である。
【図９】クライアントがインターネットを介してサービスサーバにアクセスするように構成したシステムを示す図である。
【図１０】（Ａ），（Ｂ），（Ｃ）は、ウェブサービス提供装置が教育関連サービスを提供するサーバである場合における、クライアントのディスプレイの表示を示す図である。
【図１１】一覧に電子署名付与により、意図しないサービスサーバから送られた一覧に提示されたサービスの利用を避けることができる例を示す図である。
【図１２】クライアントが特定のサーバのサービス呼出要求の発行先を知ることができる従来手順の説明図である。
【符号の説明】
１１，２１，３１サービスサーバ
１２１管理用クライアント
１２１，２２１管理用クライアント
１２２，２２２一般クライアント
１１１，２１１，３１１サービス一覧管理手段
１１２，２１２クライアント認証手段
１１３，２１３サービスセキュリティ属性設定手段
２１４データ暗号管理手段
ＳＩＲサービス情報取得要求[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a web service providing technology having a function of providing a web service to a client. The present invention can present to a client a list of web services that can be used. The present invention relates to a web service providing apparatus, a web service providing method, and a web service providing program that can change and present the contents of the list according to the web service.
[0002]
[Prior art]
A web service is a function on a server that enables a series of functions (procedures) for calling a certain set of functions (services) using the WWW infrastructure in a format independent of the platform (model, OS, etc.). is there.
[0003]
Typically, a configuration is used in which a series of functions (procedures) on a server can be called in a hypertext language (for example, XML) which is a platform-independent data format using HTTP which is a WWW communication protocol. ing.
When a client uses this type of service, it is necessary to know the specification of the service and the destination (URL) of the service call request.
[0004]
Usually, service specifications are obtained in advance from a service provider, and, for example, software is constructed so that services on the client side can be used. In this case, the destination of the service call request may fluctuate depending on the server installation status, software installation conditions, and the like. Therefore, when using the service, the client needs to know the issue destination of the service call request by some method.
[0005]
For example, as shown in FIG. 12, the client 82 can know the issue destination of the service call request of the service server 81 in the following procedure. Here, it is assumed that the service server 81 includes a service 1 (indicated by reference numeral 811), a service 2 (indicated by reference numeral 811), a management service (indicated by reference numeral 813), and a service list 814.
[0006]
(1) A service list acquisition request is issued to a specific URL (the service list 814 in FIG. 12) of the service server. This is the same as a normal method of acquiring a web page by HTTP. The URL of the service list acquisition request destination is fixed at any server (for example, a root URL of a predetermined port).
[0007]
(2) The service server 81 returns a service list including a service name (ID) of the service server 81 itself and a service call request destination (URL) to the client 82 in an XML format.
[0008]
(3) The client 82 checks whether or not the service that the client 82 wants to use is listed, and if so, makes a function call request to the service call request issue destination (URL).
Specifically, when a document having a specific name of a certain host is HTTP GET, an XML document as shown in [Table 1] is presented.
[0009]
[Table 1]

[0010]
By analyzing this XML document by the client 82, it is possible to know what services are prepared and how to use the services.
[0011]
(4) The service server 81 executes the requested function and returns the result to the client 82.
[0012]
In the example of [Table 1], the service server 81 has two services, a service 811 named Service1 and a service 812 named Service2. As shown in FIG. 12, each of the services is "http: // foo". By accessing "/bar/s1.wsdl" and "http: //foo/some/place/serv2.wsdl", service information can be obtained and the service can be accessed.
In the above procedure, (3) and (4) are repeated as necessary.
[0013]
[Problems to be solved by the invention]
However, in the conventional web service list technology, when a client 82 requests a list, a list of all services is returned regardless of what the client 82 is. When returning, the list is simply returned as a simple XML file.
[0014]
However, this has the following problems.
(1) The client presenting the list cannot be limited. Therefore, a service list is presented to a client who does not want to use the service. Even if the service authenticates the client when using the service, it is a security weakness.
For example, if a malicious client obtains a service list, an attack such as a denial-of-service attack (DoS attack: Denial of Service attack) may cause the server to be unable to provide services. In addition, the service may be used by an unintended client in an unexpected way, and the internal data of the service may be inconsistent.
[0015]
(2) The list content cannot be switched according to the type of client. For example, a general client and a management client generally require different services. When all services are presented to the client, there is a possibility that the trouble of selecting the service on the client side increases.
[0016]
(3) There is no material for the client to determine whether the service list returned by the server is reliable. If the server is malicious, the client may access unintended services.
[0017]
An object of the present invention is to present a list of what web services can be used to a client, to provide a client with excellent security, and to change and present the content of the list according to the client's qualification. A web service providing apparatus, a web service providing method, and a web service providing program are provided.
[0018]
[Means for Solving the Problems]
The web service providing apparatus of the present invention has a function of providing a web service to a client via a network (LAN or WAN such as the Internet), and performs client authentication when there is an access request from the client. Client authentication means for performing, a web service list providing means for providing a list of web services available to the client to the client for which the client authentication has succeeded, and a web service list presented by the client from the web service list. When a use request is received (without performing client authentication), a plurality of web service providing means for providing the client with a web service according to the use request are provided.
[0019]
With the above configuration, what kind of web service can be used can be presented to the client as a list. Even if the service itself does not have a function of performing client authentication, it is possible to secure a certain level of security by performing client authentication at the stage of a service list.
[0020]
Further, in the web service providing apparatus according to the present invention, the web service list providing unit can provide a list of web services usable by the client even for a client for which the client authentication has failed. As a result, a list of services that may be published to unspecified clients can be provided without authenticating the clients, so that services suitable for publication can be provided to more clients.
[0021]
According to the web service providing apparatus of the present invention, a web service that manages a web service that can be provided to a client only when client authentication is successful and a web service that can be provided to a client regardless of whether or not client authentication succeeds An information management means can be provided. In this case, the web service information management means determines the URL of the web service, whether the web service is a web service that can be provided to the client only when the client authentication is successful, and whether the client authentication is successful. And a table with information specifying whether the web service can be provided to the client. Thereby, it is possible to appropriately designate (change) whether or not client authentication is necessary when permitting the list for each service, so that appropriate security can be ensured according to the situation.
[0022]
The web service providing method of the present invention provides a web service to a client, and performs a client authentication step of performing client authentication when there is an access request from the client; A list providing step of providing a list of web services that can be used by the client; and, when receiving a use request for the web service presented in the web service list from the client (without performing client authentication), And a web service providing step of providing a web service according to the use request.
[0023]
In the web service providing method according to the present invention, in the web service providing step, a list of web services that can be used by the client can be provided to the client whose client authentication has failed.
[0024]
A web service providing program of the present invention provides a web service to a client, and executes a client authentication step of performing client authentication when there is an access request from the client; A program for executing a list providing step of providing a list of web services available to the client to the client, and a request for using the web service presented in the web service list received from the client (client A program for executing a web service providing step of providing the client with a web service according to the use request (without performing authentication).
[0025]
In addition, the program that executes the web service providing step can further provide a list of web services that can be used by the client to the client that failed in the client authentication.
[0026]
In the present invention, a secret technology such as encryption can be applied.
That is, the web service providing apparatus of the present invention has a function of providing a web service to a client, and provides a web service that requires client authentication as a readable secret list using authentication information, and does not require client authentication. A web service list providing means for providing a web service list as a readable list, and, when receiving a use request of the web service presented in the web service list from the client (without performing client authentication), It is also characterized by comprising a plurality of web service providing means for providing a web service according to a use request.
[0027]
In this web service providing apparatus, the service list data is provided in a confidential manner, so that only a client capable of releasing the secret using the authentication information in advance can acquire the service list.
[0028]
A web service that can be provided as a readable secret list by the authentication information and a web service information management unit that manages information that a web service that does not require client authentication can be provided as a readable list can be provided. In this case, the web service information management means is a web service that can provide a URL of the web service and the information of the web service as a readable list using an authentication secret release key, or can read information of a web service that does not require authentication. It can have a table with information specifying whether the web service can be provided as a simple list.
Thus, it is possible to specify (change) whether or not encryption is necessary when permitting the list for each service as necessary, so that appropriate security can be ensured according to the situation.
[0029]
The web service providing method of the present invention has a function of providing a web service to a client, provides information of a web service requiring authentication as a readable list by using an authentication secret release key, and provides a web service that does not require authentication. A web service list providing step of providing the information of the web service as a readable list, and, when receiving a use request for the web service presented in the web service list from the client (without performing client authentication), Providing a web service according to the usage request.
[0030]
The web service providing apparatus of the present invention has a function of providing a web service to a client, includes a means for creating an electronic signature, and when an access request is received from the client, the web service list information is displayed together with the web service list information. The electronic signature of the server for the list is provided.
As a result, in addition to the service list data, the server's electronic signature for the data is provided, so that the client can determine whether the service list data is reliable. If the service list data is not reliable, security is ensured by not using the service it can.
[0031]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, embodiments of the present invention will be described.
FIG. 1 is a diagram showing a system to which a web service providing apparatus according to the present invention is applied. In FIG. 1, a network (LAN in FIG. 1) 100 is connected to a service server (“web service providing device” of the present invention) 11, a management client 121, and a plurality of general clients 122. FIG. 2 shows the relationship between the service server 11, the management client 121, and the general client 122. In FIG. 2, the service server 11 includes a service list management unit 111, a client authentication unit 112, and a service security attribute setting unit. 113. Although not shown, the transmission function of the service server plays a role in the web service list providing means and the web service providing means of the present invention. The service server 11 returns a service list in response to a service information acquisition request SIR from the management client 121 or the general client 122, and can provide the services presented in the list.
[0032]
The general client 122 is a normal client using a web service, and the management client 121 is a client used by a server administrator to manage the service server 11.
[0033]
Hereinafter, the operation of the service server 11 (that is, the web service providing apparatus of the present invention) shown in FIGS. 1 and 2 will be described with reference to the flowchart of FIG.
It is assumed that the service list management unit 111 has received a service information acquisition request SIR (for example, an HTTP request such as "GET / HTTP / 1.1") issued by the client (121, 122) (S101).
Upon receiving the service information acquisition request SIR, the service list management unit 111 returns information indicating that client authentication is required to the clients (121, 122). On the other hand, the client (121, 122) issues information necessary for authentication (“authentication information”, RGI in the present invention) to the service list management unit 111 again, and the service list management unit 111 The authentication information is obtained (S102). Here, the “information necessary for authentication” is, for example, a password or a set of a client name and a password. The mechanism of this client authentication is the same as the mechanism specified in HTTP.
[0034]
The service list management unit 111 that has received the authentication data from the client (121, 122) passes the data to the client authentication unit 112 and determines whether authentication is possible (S103). The client authentication unit 112 holds data as shown in [Table 2], and if there is a row where the passed authentication data matches, it is determined that authentication has been successful.
[0035]
[Table 2]

[0036]
The service list management unit 111 manages the name of each service, the destination (URL) of the service call request, and the list of available clients as shown in [Table 3].
[0037]
[Table 3]

[0038]
If the client is successfully authenticated, the service list management unit 111 creates a list of only services that can be used by the client (S104), and returns this to the client as XML data (S106).
[0039]
On the other hand, if the authentication fails, a list of services that can be used by any number of people is created (S105), and this is returned to the client as XML data (S106). Note that a program for executing the processing of each step can be stored in a storage unit such as a ROM of the service server 11.
[0040]
For example, if the client that has been successfully authenticated is userA, a script of a service list as shown in [Table 4] is returned to userA.
[0041]
[Table 4]

[0042]
In FIG. 3, the list transmitted to the successfully authenticated client does not include information on services that can be used by anyone. FIG. 4 is a flowchart for transmitting a list including information on services that can be used by any number of people to a client that has been successfully authenticated. That is, when the authentication of the client is successful ("YES" in S103), the service list management unit 111 creates a list of services that can be used by the client and services that can be used by any number of people (S104 ').
[0043]
The client selects a service to be used from the list, and sends a predetermined service use request to the destination (URL) of the service call request.
As described above, the service security attribute setting means authenticates the client when there is an attribute setting request from the client, and determines whether or not client authentication is necessary for use of each service by using a GUI or the like. If authentication is required, it is possible to set which clients can use which service security attributes and which clients can be used. Specifically, the data managed by the service list management unit 111 is changed based on an instruction from the client.
[0044]
FIG. 5 is a diagram illustrating a system to which a web service providing apparatus that presents an encrypted list to a client is applied. FIG. 5 shows the relationship among the service server 21, the management client 221 and the general client 222. In FIG. 5, the service server 21 includes a service list management unit 211, a client authentication unit 212, and a service security attribute setting. Means 213 and data encryption management means 214. In response to the service information acquisition request SIR from the management client 221 or the general client 222, the service server 21 returns an encrypted list or an unencrypted list as a service list, and provides the service presented in the list. Can be. It should be noted that the configuration of the entire system is not shown because the reference numeral of the service server is 21, the reference numeral of the management client is 221 and the reference numeral of the general client is 222 in the configuration shown in FIG.
[0045]
The operation of the service server 21 of FIG. 5 will be described with reference to the flowcharts of FIGS.
As shown in FIG. 6, the service list management unit 211 receives a service information acquisition request SIR (for example, an HTTP request such as “GET / HTTP / 1.1”) issued by the client (221, 222). (S201).
[0046]
As shown in [Table 5], the service list management unit 211 manages the name of each service, the destination (URL) of the service call request, and a list of available clients.
[0047]
[Table 5]

[0048]
When the service list management means 211 is requested for the service list, it creates a service list (S202) and transmits this to the client (S203).
[0049]
FIG. 7 shows a service list creation process. When the creation of the service list is started (see “start” in FIG. 7), the service information is created as XML as shown in [Table 6] (S301).
[0050]
[Table 6]

[0051]
Thereafter, the client extracts one piece of information on the services available to the client (S302), and determines whether encryption is necessary or not (S303). Information on services that need to be encrypted is encrypted using a predetermined encryption key, added to a readable list using an authentication secret key (S304), and information on services that do not need encryption is left unencrypted. (S305), and repeats S302 to S305 until there is no unprocessed service (S306). The program for executing the processing of each step can be stored in a storage unit such as a ROM of the service server 21.
[0052]
A client who does not know the decryption key cannot use the encrypted service information, but can use the unencrypted service information. Clients who know the decryption key can also use the encrypted service information.
[0053]
The client selects a service to be used from the list, and sends a predetermined service use request to the destination (URL) of the service call request.
The service security attribute setting means authenticates the client, if there is an attribute setting request from the client, and sets whether or not to encrypt each service information at the time of creating a list using a GUI or the like. Can configure client settings. Specifically, the data managed by the service list management unit is changed based on an instruction from the client.
[0054]
In the service server 11 shown in FIG. 1 and FIG. 2 and the service server 21 shown in FIG. 5, an example is shown in which authentication succeeds when the management client issues a service information acquisition request SIR. It is not limited to. For example, if the service server (web service providing device) installed in the business office is an Internet facsimile machine, the use of the web service provided by the Internet facsimile machine is not restricted to a client who has successfully authenticated, but the authentication has failed. The use can be restricted to the client who made it. In this case, when the client accesses the server, an input page shown in FIG. 8A is displayed on the display of the client. On the input page, input fields for an ID (here, an employee ID) and a password are displayed. When the operator inputs a valid ID and password, the operator is a person having a specific qualification (regular employee). 8B, the page shown in FIG. 8B is displayed on the display of the client. If the operator does not have a specific qualification (for example, a person who is not a regular employee), the page shown in FIG. 8C is displayed on the display of the client. As shown in FIG. 8C, a client who does not have a specific qualification can use the received document browsing service and the print service. On the other hand, for a client having a specific qualification, a list of Internet facsimile service, received document browsing service, received document transfer service, and print service is displayed in addition to the above services.
[0055]
In the above example, the example has been described in which the client issues the service information acquisition request SIR to the service server via the LAN 100, but the system can be configured such that the client accesses the service server via the Internet.
[0056]
FIG. 9 is a diagram showing an example of the system configuration at this time. In FIG. 9, a service server 31 that provides an education-related service and a plurality of clients that use the education-related service are connected via the Internet 200. In this case, only the person who has been authorized by the client and the education-related service organizer (the person who has contracted with the education-related service organizer) is given the authentication ID and the like. Here, it is assumed that the client 321 has received permission from the education-related service organizer and the client 322 has not received permission from the education-related service organizer.
[0057]
The client issues a service information acquisition request SIR to the service server 31 and acquires the member ID and password display screen shown in FIG. The client 321 (contractor) whose authentication has succeeded can obtain a list as shown in FIG. On the other hand, the client 321 (contractor) who has been successfully authenticated can obtain a list as shown in FIG.
[0058]
FIG. 11 is a diagram illustrating an example in which the use of a service presented in a list sent from an unintended service server can be avoided by adding an electronic signature to the list. In FIG. 11, the service server 31 includes a service list management unit 311 and an electronic signature giving unit 312.
[0059]
When the general client 32 requests the service list of the service server 31, it issues a service information acquisition request SIR (for example, GET / HTTP / 1.1) to the service list management unit 311.
[0060]
The service list management unit 311 that has received the service information acquisition request SIR creates service list data, and creates an electronic signature using a predetermined secret key. This secret key is created by the electronic signature providing unit 312. Both the service list data and the digital signature data for the service list data are returned to the client.
[0061]
The general client can use the public key sent from the service server 31 to verify whether the returned service list data is created by the server assumed by the client. If the verification fails, the client 32 can stop using the service.
[0062]
【The invention's effect】
ADVANTAGE OF THE INVENTION According to this invention, what kind of web service can be used can be shown to a client in a list, furthermore, it is excellent in security maintenance, and the content of the said list can be changed and presented according to a client's qualification. .
[Brief description of the drawings]
FIG. 1 is a diagram showing a system to which a web service providing apparatus of the present invention is applied.
FIG. 2 is a diagram showing a relationship among a service server, a management client, and a general client in the system of FIG. 1;
FIG. 3 is a flowchart for explaining the operation of the service server shown in FIGS. 1 and 2;
FIG. 4 is a diagram illustrating a flowchart in a case where a list including information on services that can be used by any number of people is transmitted to a client that has been successfully authenticated.
FIG. 5 is a diagram illustrating a system to which a web service providing apparatus that presents an encrypted list to a client is applied.
FIG. 6 is a flowchart for explaining the operation of the service server of FIG. 5;
FIG. 7 is a flowchart showing a service list creation process in FIG. 6;
FIGS. 8A, 8B, and 8C are diagrams showing a display on a client display when a web service providing apparatus installed in a business office is an Internet facsimile apparatus.
FIG. 9 is a diagram showing a system configured so that a client accesses a service server via the Internet.
FIGS. 10A, 10B, and 10C are diagrams showing display on a client display when the web service providing apparatus is a server that provides an educational-related service.
FIG. 11 is a diagram illustrating an example in which the use of a service presented in a list sent from an unintended service server can be avoided by adding an electronic signature to the list.
FIG. 12 is an explanatory diagram of a conventional procedure by which a client can know a service call request issuing destination of a specific server.
[Explanation of symbols]
11,21,31 Service server
121 Management Client
121,221 management client
122,222 General Client
111, 211, 311 Service list management means
112, 212 Client authentication means
113, 213 Service security attribute setting means
214 data encryption management means
SIR service information acquisition request

Claims

A web service providing apparatus having a function of providing a web service to a client,
Client authentication means for performing client authentication when there is an access request from the client;
Web service list providing means for providing a list of web services available to the client for which the client authentication has succeeded,
A plurality of web service providing means for providing a web service according to the use request to the client when receiving a use request of the web service presented in the web service list from the client;
A web service providing apparatus comprising:

2. The web service providing apparatus according to claim 1, wherein the web service list providing unit provides a list of web services available to the client for which the client authentication has failed.

Web service information management means for managing a web service that can be provided to the client only when the client authentication is successful and a web service that can be provided to the client regardless of whether the client authentication is successful or not. The web service providing apparatus according to claim 1 or 2, wherein

The web service information management means,
Web service URL,
Information specifying whether the web service is a web service that can be provided to the client only when the client authentication is successful or a web service that can be provided to the client regardless of whether the client authentication is successful;
4. The web service providing apparatus according to claim 3, comprising a table of:

A web service providing method for providing a web service to a client,
A client authentication step of performing client authentication when there is an access request from the client;
A list providing step of providing a list of web services available to the client for which the client authentication is successful;
A web service providing step of, when receiving a use request of the web service presented in the web service list from the client, providing the client with a web service according to the use request;
A web service providing method, comprising:

6. The web service providing method according to claim 5, wherein in the web service providing step, a list of web services usable by the client for which the client authentication has failed is further provided.

A web service providing program for providing a web service to a client,
A program for performing a client authentication step of performing client authentication when there is an access request from the client;
A program for performing a list providing step of providing a list of web services available to a client for which client authentication has succeeded,
A program for executing a web service providing step of providing a web service according to the use request to the client when receiving a use request of the web service presented in the web service list from the client;
A web service providing program comprising:

The web service providing program according to claim 7, wherein the program for performing the web service providing step further provides a list of web services available to the client for which the client authentication has failed, to the client.

A web service providing apparatus having a function of providing a web service to a client,
Web service list providing means for providing a Web service requiring client authentication as a readable secret list by using authentication information, and providing a Web service not requiring client authentication as a readable list,
A plurality of web service providing means for providing a web service according to the use request to the client when receiving a use request of the web service presented in the web service list from the client;
A web service providing apparatus comprising:

10. A web service which can be provided as a readable secret list based on authentication information, and a web service information management means for managing that a web service which does not require client authentication can be provided as a readable list. Web service providing device.

The web service information management means may be a web service that can provide a URL of the web service and the web service information as a readable list using an authentication secret release key, or a web service information that does not require authentication as a readable list. The web service providing apparatus according to claim 10, further comprising a table with information specifying whether the web service can be provided.

A web service providing method having a function of providing a web service to a client,
A web service list providing step of providing information of a web service requiring authentication as a readable list using an authentication secret release key and providing information of a web service not requiring authentication as a readable list;
When receiving a use request for the web service presented in the web service list from the client, providing the client with the web service according to the use request;
A web service providing method, comprising:

A web service providing apparatus having a function of providing a web service to a client,
A web service providing apparatus, comprising: means for creating an electronic signature, wherein when an access request is received from the client, an electronic signature of a server for the list is provided together with web service list information.