JP2008160252A - 通信端末を認証する装置、方法およびプログラム - Google Patents

Abstract

【課題】認証処理を含む前処理を効率化する認証装置を提供する。
【解決手段】プロキシのＩＤと能力情報とを含む装置情報を記憶する第１記憶部１５１と、認証の開始を要求する第１メッセージを端末から受信したときに装置情報を第１記憶部１５１から取得する取得部１１２と、取得した装置情報を含む第２メッセージを端末に送信する第１送信部１１３と、送信した装置情報に含まれる装置ＩＤから選択された第１装置ＩＤとサーバ装置が提供する機能の設定情報とを含む第３メッセージ、および認証情報を端末から受信する受信部１１１と、受信した認証情報に基づいて端末を認証する認証部１１４と、端末が認証されたときに、受信した第３メッセージに含まれる第１装置ＩＤのプロキシが中継するサーバ装置に対して、受信した第３メッセージに含まれる設定情報を送信する第２送信部１３０と、を備えた。
【選択図】 図３

Description

この発明は、シグナリングプロトコルを利用する端末装置のネットワークアクセス認証を行う装置、方法およびプログラムに関するものである。

近年、外部ネットワークに接続された端末装置からの内部ネットワークに対するアクセスを許可するためのネットワークアクセス認証を行う認証エージェントと呼ばれる装置が提供されている。外部ネットワークに接続された各通信装置は、認証エージェントにより認証された後でなければ、内部ネットワーク内の各種サービスを利用できない。

一方、通信装置間に介在し通信を制御・中継するシグナリングプロトコルとしてＳＩＰ（Session Initiation Protocol）が広く知られている。ＳＩＰを利用したサービスとしてインターネット電話システムなどの通信システムが開発されている。

ＳＩＰを用いた通信システムでは、端末装置であるＳＩＰ端末は、認証エージェント等によって認証された後、通信を中継するＳＩＰプロキシのうち、特定のプロキシをアウトバウンドプロキシとして選択して通信を行う。

アウトバウンドプロキシとは、あるＳＩＰ端末がＳＩＰメッセージの送信を行う際、常に最初の送信先とするプロキシであって、かつ、そのＳＩＰ端末がＳＩＰメッセージを受信する際に、ＳＩＰメッセージの唯一の受信元とするプロキシをいう。

各組織で運用されるネットワークには、複数の異なるＳＩＰプロキシが含まれ、ＳＩＰプロキシの種類によって、ＳＩＰ端末が利用可能なＳＩＰの機能が異なる場合がある。この場合、ＳＩＰ端末は、アウトバウンドプロキシを選択する際、そのＳＩＰプロキシで利用可能なＳＩＰ機能（能力情報）を事前に確認する処理が必要となる。

従来は、ＳＩＰ端末がアクセス認証の前に、ＳＩＰプロキシの能力情報を知ることができず、アクセス認証後に、必要な能力を持ったＳＩＰプロキシを探索するための処理が必要であった。このため、例えば、ＳＩＰ ＯＰＴＩＯＮＳリクエストメッセージ交換を、探索対象の複数のＳＩＰプロキシに対して複数回行うことによりこれを実現していた。

このように、一般にネットワーク経由で各種サーバのサービス等を利用するとき、認証処理を含む複数の前処理が必要となる場合が多く、そのような前処理の改善に関する技術が提案されている。

例えば、特許文献１では、無線通信網で提供されるサービスのための認証において、認証処理と、サービスで用いるデータリンクであるトンネル設定とを別の通信経路で実行することにより、柔軟性のある認証方法を提供する技術が提案されている。

特開２００６−１２１６９８号公報

しかしながら、特許文献１の方法では、サービス利用までに必要な前処理を効率的に実行できないという問題があった。具体的には、特許文献１の方法では、複数の認証サーバや、サービス利用に必要な複数のパケットデータゲートウェイなどの、接続先となる装置のアドレスを事前に入手する必要があった。また、認証と同時にサービス利用の登録等を実行することができなかった。

ＳＩＰシステムでも、ＳＩＰ機能の利用開始までの前処理が非効率となる問題が存在する。例えば、必要な能力を有するＳＩＰプロキシを探索したが該当するＳＩＰプロキシが存在しない場合は、アクセス認証処理や探索処理が無駄となる。また、この場合、ＳＩＰ端末はアクセス認証を終えたネットワークからの切断処理や、別のネットワークに対する認証・探索処理がさらに必要となる。

また、ＳＩＰ端末が能力情報を確認するＳＩＰプロキシのアドレス情報を事前に取得しておく必要があるという問題も存在する。従来は、ＳＩＰ端末がＳＩＰプロキシのアドレス情報を事前に保持しておく方法や、ＤＮＳを利用する方法が考えられたが、前者では柔軟性に乏しく、後者ではシステム規模が増大するため、企業などの小さな組織が運用するネットワークでは利用は困難であった。

また、ＳＩＰ端末は、あるネットワークに接続した後、ＳＩＰ機能を利用するためのアドレスの登録や、利用するサービスの購読処理を行う必要がある。さらに、ＳＩＰ端末とＳＩＰプロキシ間で通信するＳＩＰメッセージのセキュリティ強化のため、事前にＴＬＳ（Transport Layer Security）のための認証および鍵交換を行ってセキュアなコネクションを確立する場合も多い。このようなＳＩＰシステムでは、サービス利用までの前処理がさらに煩雑となる。

本発明は、上記に鑑みてなされたものであって、ネットワークで提供されるサービスの利用開始までに必要な認証処理を含む前処理を効率化することができる装置、方法およびプログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、通信端末と第１ネットワークを介して接続されるとともに、前記通信端末から受信した設定情報に基づいて前記通信端末に機能を提供するサーバ装置と、前記第１ネットワークと第２ネットワークとの間の通信を中継する中継装置と、に前記第２ネットワークを介して接続され、前記サーバ装置が提供する機能の前処理として前記通信端末を認証する認証装置であって、前記中継装置を識別する装置ＩＤと、前記中継装置の処理能力に関する能力情報とを対応づけた装置情報を記憶する第１記憶部と、認証の開始を要求する第１メッセージを前記通信端末から受信する第１受信部と、前記第１メッセージを受信したときに、前記装置情報を前記第１記憶部から取得する取得部と、取得した前記装置情報を含む第２メッセージを前記通信端末に送信する第１送信部と、送信した前記装置情報に含まれる前記装置ＩＤから前記通信端末が前記装置情報に含まれる前記能力情報を参照して選択した第１装置ＩＤを含む第３メッセージを前記通信端末から受信する第２受信部と、認証に用いる認証情報を前記通信端末から受信する第３受信部と、受信した前記認証情報に基づいて前記通信端末を認証する認証部と、前記通信端末が認証されたときに、前記機能の提供を受けるための設定情報を、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置、または受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置が通信を中継する前記サーバ装置に対して送信する第２送信部と、を備えたことを特徴とする。

また、本発明は、上記装置を実行することができる方法およびプログラムである。

本発明によれば、ネットワークで提供されるサービスの利用開始までに必要な認証処理を含む前処理を効率化することができるという効果を奏する。

以下に添付図面を参照して、この発明にかかる認証する装置、方法およびプログラムの最良な実施の形態を詳細に説明する。

本実施の形態にかかる認証装置は、認証処理の最初のフェーズで、ＳＩＰプロキシを選択するための能力情報を認証エージェントからＳＩＰ端末に送信するとともに、ロケーションサーバへ登録するアドレス情報や、イベントサーバへの購読要求をＳＩＰ端末から受信するものである。そして、アドレス情報等を受信した認証エージェントが、ロケーションサーバへのアドレス情報の登録処理等を代行するものである。

図１は、本実施の形態にかかる認証装置である認証エージェント１００を含む通信システムの構成を示すブロック図である。同図に示すように、本実施の形態の通信システムは、ＳＩＰ端末２００ａ、２００ｂが、外部ネットワーク１０を介して、内部ネットワーク２０に接続する構成となっている。

ＳＩＰ端末２００ａ、２００ｂは、シグナリングプロトコルとしてＳＩＰを使用するアプリケーションを動作させるものである。ＳＩＰ端末２００ａ、２００ｂは同様の構成を備えているため、以下では単にＳＩＰ端末２００という場合がある。なお、端末の台数は２台に限られるものではない。アプリケーションとしては、例えば、高機能電話端末などが該当する。ＳＩＰ端末２００の構成の詳細については後述する。

外部ネットワーク１０は、例えばインターネットによって構成されるが、ネットワーク形態はこれに限られるものではない。また、内部ネットワーク２０は、主にある組織で独自のポリシに基づいて運用され、複数のサービスをＳＩＰ端末２００に提供可能なＬＡＮなどのネットワークである。なお、内部ネットワーク２０のネットワーク形態はＬＡＮに限られず、ホットスポットネットワークなどでもよいし、有線ネットワーク、または無線ネットワークのいずれであってもよい。

内部ネットワーク２０は、認証エージェント１００と、ファイアウォール３００と、ロケーションサーバ４００と、ＳＩＰプロキシ５００ａ、５００ｂと、イベントサーバ６００ａ、６００ｂとを含んでいる。

認証エージェント１００は、外部ネットワーク１０と内部ネットワーク２０との境界に設置され、ＳＩＰ端末２００の内部ネットワーク２０に対するネットワークアクセス認証を行い、認証が成功したＳＩＰ端末２００を内部ネットワーク２０に収容する機能を持つ。なお、認証エージェント１００がアクセス認証を行う際に、認証機能を備えた外部の認証サーバ（図示せず）を利用するように構成してもよい。

認証エージェント１００は、内部ネットワーク２０で運用されている全てのＳＩＰプロキシ５００の機能拡張（能力情報）を把握している。ＳＩＰ端末２００の認証を行う際、ＳＩＰ端末２００に対して、運用しているＳＩＰプロキシ５００とその能力情報を提供することで、ＳＩＰ端末２００が、アウトバウンドプロキシとして接続するＳＩＰプロキシ５００を選択することを可能とする。

また、認証エージェント１００は、ＳＩＰ端末２００から、認証成功の場合に登録するＳＩＰのアドレス情報や利用するイベントサービスの情報を取得する。そして、認証エージェント１００は、取得した情報を用いて、ＳＩＰ端末２００に代わって、アウトバウンドプロキシに対する鍵交換処理、ＳＩＰアドレス情報登録処理、およびイベントサービス購読処理を行う。認証エージェント１００の構成の詳細については後述する。

ファイアウォール３００は、外部ネットワーク１０と内部ネットワーク２０との境界に設置され、認証されたネットワークアクセスのみの通過を許可するトラフィックフィルタリング処理を行うものである。ＳＩＰ端末２００のアクセスに関しては、認証エージェント１００が、認証結果に応じてフィルタリングに関する設定を行う。このため、ファイアウォール３００は、外部装置からトラフィックフィルタリングのための設定を行うことが可能であることを前提とする。そのためのプロトコルとしては、例えばＳＮＭＰ（Simple Network Management Protocol）などを利用できる。また、ファイアウォール３００は認証エージェント１００と同一のエンティティにより実現されていてもよい。

ロケーションサーバ４００は、内部ネットワーク２０内で機能するＳＩＰ端末２００またはイベントサーバ６００ａ、６００ｂのアドレス情報を管理するものである。ＳＩＰ端末２００は、まずロケーションサーバ４００に対して、自装置の利用するアドレスを登録することで、その後ＳＩＰ機能を利用することが可能となる。

アドレスの登録は、通常、ＳＩＰ Ｒｅｇｉｓｔｅｒメッセージ交換によって実現する。なお、ＳＩＰ Ｒｅｇｉｓｔｅｒメッセージ交換の際、ＳＩＰ端末２００の認証を行うことが可能である。この認証は、通常、ＳＩＰ ＲｅｇｉｓｔｅｒメッセージのＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅヘッダを利用したダイジェスト認証である。認証を行う際には、別途設置された認証サーバを利用するように構成してもよい。

ＳＩＰプロキシ５００ａ、５００ｂは、ＳＩＰメッセージをＳＩＰ端末２００または他のＳＩＰプロキシ間で転送するＳＩＰメッセージ中継サーバである。内部ネットワーク２０には複数のＳＩＰプロキシ５００ａ、５００ｂが運用されており、各ＳＩＰプロキシ５００がサポートする拡張機能は異なっていてよい。ここで、各ＳＩＰプロキシ５００がサポートするＳＩＰ拡張機能は、ＳＩＰプロトコル仕様に従わない独自拡張のものでも構わないが、ＳＩＰプロトコル仕様通りに、ＳＩＰ ＯＰＴＩＯＮＳリクエストメッセージ交換によって、ＳｕｐｐｏｒｔｅｄヘッダまたはＡｌｌｏｗヘッダの値で確認できるものとする。

なお、ＳＩＰプロキシ５００ａ、５００ｂは、外部装置からトランスポートの暗号化を行うための鍵の設定を行うことが可能であるものとする。この鍵は、例えば、特定のＳＩＰ端末２００とのＳＩＰメッセージ交換を行うためのＴＬＳ（Transport Layer Security）プロトコルで利用する共有秘密鍵（ＰＳＫ：Pre-shared Key）が該当する。

イベントサーバ６００ａ、６００ｂは、ＳＩＰ端末２００に対して、イベントサービスを提供するものである。イベントサービスとしては、例えば、プレゼンスサービスなどが該当する。これ以外にも、ＳＩＰにおけるさまざまなサービスがイベントサービスの枠組で提供される。イベントサービスを利用するときには、通常、ＳＩＰ端末２００とイベントサーバ６００との間でＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージ交換によりサービス購読処理が行われる。また、ＳＩＰ Ｎｏｔｉｆｙメッセージ交換によってサービス提供が行われる。ＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージ交換によるサービス購読の際、ＳＩＰ端末２００の認証を行うことが可能である。認証を行う際には、別途設置された認証サーバを利用するように構成してもよい。

図１のようなネットワーク構成で、ＳＩＰ端末２００が、外部ネットワーク１０から内部ネットワーク２０に接続して、内部ネットワーク２０で提供されているＳＩＰサービスを利用するときは、認証エージェント１００によるアクセス認証を行う必要がある。

また、ＳＩＰ端末２００は、複数のＳＩＰプロキシ５００のうち、特定のＳＩＰプロキシ５００をアウトバウンドプロキシとして選択する。これは、あるＳＩＰ端末２００がＳＩＰメッセージの送信を行う際、常に最初の送信先として、選択したＳＩＰプロキシ５００を指定すること、および、ＳＩＰ端末２００がＳＩＰメッセージを受信する際、常に選択したＳＩＰプロキシ５００のみから受信することを意味する。

あるＳＩＰサービスを利用するために、当該ＳＩＰサービスをサポートしているＳＩＰプロキシ５００をアウトバウンドプロキシとして選択しなければならない場合がある。このため、ＳＩＰ端末２００は、各ＳＩＰプロキシ５００の能力（ＳＩＰ拡張機能）に関する情報を事前に入手し、当該情報を参照してアウトバウンドプロキシを選択する必要がある。

次に、ＳＩＰ端末２００の構成の詳細について説明する。図２は、ＳＩＰ端末２００の詳細な構成を示すブロック図である。同図に示すように、ＳＩＰ端末２００は、認証部２０１と、ＳＩＰ処理部２０２と、ネットワークインターフェース（Ｉ／Ｆ）２０３とを備えている。

認証部２０１は、内部ネットワーク２０に接続する際に、アクセス認証プロトコルを実行するものである。本実施の形態では、アクセス認証プロトコルとして、ＰＡＮＡ（Protocol for Carrying Authentication for Network Access）を用いた例について説明するが、利用可能なプロトコルはこれに限られるものではない。

また、本実施の形態の認証部２０１は、ＰＡＮＡのメッセージから取得した接続可能なＳＩＰプロキシ５００の情報をＳＩＰ処理部２０２に送出するとともに、選択されたＳＩＰプロキシ５００をＳＩＰ処理部２０２から受け取る機能を備えている。また、認証部２０１は、選択されたＳＩＰプロキシ５００の情報や、登録するアドレス等の設定情報を含むように拡張したＰＡＮＡのメッセージを生成して認証エージェント１００に送信する。拡張されたメッセージの詳細については後述する。

ＳＩＰ処理部２０２は、ＳＩＰアプリケーションを動作させ、ＳＩＰメッセージの構成と解釈を行うものである。本実施の形態では、ＳＩＰ処理部２０２は、認証部２０１から通知されたＳＩＰプロキシ５００の情報から、アウトバウンドプロキシとするＳＩＰプロキシ５００を選択して認証部２０１に通知する機能を備える。

例えば、ＳＩＰ処理部２０２は、ＳＩＰアプリケーションで必要な拡張機能を備えたＳＩＰプロキシ５００を通知された装置情報を参照して決定する。また、ＳＩＰ処理部２０２が、通知された情報をＳＩＰアプリケーションなどによってユーザに提示し、ユーザが選択したＳＩＰプロキシ５００を認証部２０１に送出するように構成してもよい。

また、ＳＩＰ処理部２０２は、認証成功時、ＳＩＰアプリケーション動作に必要なＳＩＰアドレス登録情報およびイベントサービス購読情報を認証部２０１に通知し、その結果を認証部２０１から受信する機能を有する。

ネットワークＩ／Ｆ２０３は、ＳＩＰ端末２００が送信するメッセージを外部ネットワーク１０に送出するものである。また、ネットワークＩ／Ｆ２０３は、外部ネットワーク１０から、ＳＩＰ端末２００宛てのパケットを取得し、取得したパケットの内容に応じて、認証部２０１またはＳＩＰ処理部２０２に対して受信したメッセージ内容を通知するものである。

次に、認証エージェント１００の構成の詳細について説明する。図３は、認証エージェント１００の詳細な構成を示すブロック図である。同図に示すように、認証エージェント１００は、主なハードウェア構成として、第１記憶部１５１と、第２記憶部１５２と、第３記憶部１５３と、内部ネットワークＩ／Ｆ１０１と、外部ネットワークＩ／Ｆ１０２と、を備えている。また、認証エージェント１００は、主なソフトウェア構成として、受信部１１１と、取得部１１２と、第１送信部１１３と、認証部１１４と、ＳＩＰ処理部１２０と、第２送信部１３０と、を備えている。

第１記憶部１５１は、内部ネットワーク２０で運用されているＳＩＰプロキシ５００の能力情報を保持する装置情報テーブル１５１ａを格納するものである。装置情報テーブル１５１ａは、ＳＩＰ端末２００が認証を開始したときに、選択可能なＳＩＰプロキシ５００の能力情報を取得するために参照される。

図４は、装置情報テーブル１５１ａのデータ構造の一例を示す説明図である。同図に示すように、装置情報テーブル１５１ａは、ＳＩＰプロキシ５００を識別するＩＤと、ＳＩＰプロキシ５００の名前と、ＩＰアドレスと、能力情報とを対応づけた装置情報を格納している。能力情報としては、ＳＩＰ ＯＰＴＩＯＮＳリクエストメッセージ交換によって取得可能なＳｕｐｐｏｒｔｅｄヘッダまたはＡｌｌｏｗヘッダの値を格納している。

同図では、ＩＤ＝０１１のＳＩＰプロキシ５００は、「ｅａｒｔｈ」で識別されるイベントサービスをサポートしているのに対し、ＩＤ＝０１２のＳＩＰプロキシ５００は、「ｍｅｒｃｕｒｙ」で識別されるイベントサービスをサポートしているため、両ＳＩＰプロキシ５００で能力が異なる例が示されている。

第２記憶部１５２は、ＳＩＰ端末２００ごとの選択可能なＳＩＰプロキシ５００の情報を保持する対応テーブル１５２ａを格納するものである。対応テーブル１５２ａは、装置情報テーブル１５１ａに格納されたＳＩＰプロキシ５００の情報から、ＳＩＰ端末２００ごとに定められた情報のみを取得するために参照される。

図５は、対応テーブル１５２ａのデータ構造の一例を示す説明図である。同図に示すように、対応テーブル１５２ａは、ＳＩＰ端末２００を識別する端末ＩＤと、提供可能なＳＩＰプロキシ５００のＩＤである提供可能ＳＩＰプロキシＩＤとを対応づけて格納している。

同図の例では、提供可能ＳＩＰプロキシＩＤに格納されたＩＤごとに、「○」または「×」が指定され、「○」が指定されたＳＩＰプロキシＩＤのＳＩＰプロキシ５００が提供可能であることが示されている。

第３記憶部１５３は、ＳＩＰプロキシ５００ごとの処理負荷に関する負荷情報を保持する負荷テーブル１５３ａを格納するものである。負荷テーブル１５３ａは、処理負荷に応じて負荷が集中しないように適切なＳＩＰプロキシ５００を選択してＳＩＰ端末２００に提示するために参照される。

図６は、負荷テーブル１５３ａのデータ構造の一例を示す説明図である。同図に示すように、負荷テーブル１５３ａは、ＳＩＰプロキシ５００のＩＤと、ＳＩＰプロキシ５００に接続しているＳＩＰ端末２００の個数を表す接続端末数とを対応づけて格納している。なお、ＳＩＰプロキシ５００の負荷情報は接続端末数に限られるものではなく、ＣＰＵ（Central Processing Unit）消費量、メモリ消費量などの従来から用いられているあらゆるリソースに関する負荷情報のいずれか１つ以上を利用するように構成することができる。

また、対応テーブル１５２ａおよび負荷テーブル１５３ａはいずれか１つのみを利用するように構成してもよいし、いずれも用いずに、装置情報テーブル１５１ａのみを参照して選択可能なＳＩＰプロキシ５００を取得するように構成してもよい。

なお、第１記憶部１５１、第２記憶部１５２、および第３記憶部１５３は、ＨＤＤ（Hard Disk Drive）、光ディスク、メモリカード、ＲＡＭ（Random Access Memory）などの一般的に利用されているあらゆる記憶媒体により構成することができる。

内部ネットワークＩ／Ｆ１０１は、認証エージェント１００が、内部ネットワーク２０の各装置と通信する際に利用するインターフェースである。外部ネットワークＩ／Ｆ１０２は、認証エージェント１００を、外部ネットワーク１０と接続するものであり、認証するＳＩＰ端末２００との間のパケット送受信に利用するインターフェースである。

受信部１１１は、ＰＡＮＡによるアクセス認証（ＰＡＮＡ認証）に必要な各種情報を、外部ネットワークＩ／Ｆ１０２を介してＳＩＰ端末２００から受信するものである。例えば、受信部１１１は、ＳＩＰ端末２００からＰＡＮＡ認証の開始を要求するメッセージであるＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージや、認証フェーズで用いる認証情報を含むＥＡＰ（Extensible Authentication Protocol）メッセージを受信する。

また、本実施の形態では、受信部１１１は、ＳＩＰ端末２００で選択されたＳＩＰプロキシ５００の情報、ロケーションサーバ４００に登録するアドレス情報、およびイベントサーバ６００に送信するサービス購読のための設定情報などを含むように拡張されたＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージを受信する。拡張されたメッセージの詳細については後述する。

取得部１１２は、受信部１１１がＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージを受信したときに、選択可能なＳＩＰプロキシ５００の装置情報を装置情報テーブル１５１ａから取得するものである。

第１送信部１１３は、ＰＡＮＡ認証で必要な各種情報を外部ネットワークＩ／Ｆ１０２を介してＳＩＰ端末２００に送信するものである。例えば、第１送信部１１３は、ＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージに対して認証エージェント１００から返信するメッセージであるＰＡＮＡ−Ｓｔａｒｔ−ＲｅｑｕｅｓｔメッセージをＳＩＰ端末２００に送信する。

なお、本実施の形態では、第１送信部１１３は、取得部１１２により取得された装置情報を含むように拡張されたＰＡＮＡ−Ｓｔａｒｔ−ＲｅｑｕｅｓｔメッセージをＳＩＰ端末２００に送信する。

認証部１１４は、ＳＩＰ端末２００からのＰＡＮＡ認証の開始要求に応じて、ＰＡＮＡ認証を実行し、ＳＩＰ端末２００を認証するものである。認証部１１４は、認証の際、外部の認証サーバに問い合わせを行って認証を行うように構成してもよい。アクセス認証プロトコルによるメッセージは、外部ネットワークＩ／Ｆ１０２を介して送受信する。また、認証部１１４は、認証時のＡＡＡ（Authentication, Authorization and Accounting）プロトコルによるメッセージや、認証成功後のファイアウォール制御メッセージなどは、内部ネットワークＩ／Ｆ１０１を介して送受信する。

また、認証部１１４は、ＰＡＮＡ認証が成功した場合、ＰＡＮＡの仕様に従い導出された鍵情報を得ることができる。この鍵情報は、ＳＩＰ端末２００とＳＩＰプロキシ５００との間のＳＩＰトランスポートを保護するための共有秘密鍵（ＴＬＳのＰＳＫ）として利用される。

ＳＩＰ処理部１２０は、ＳＩＰメッセージの構成と解釈を行うものである。具体的には、ＳＩＰ処理部１２０は、ＳＩＰ端末２００の認証を行う際に、必要となるＳＩＰメッセージの交換処理を行う。

第２送信部１３０は、ＳＩＰ端末２００に代わって実行するＳＩＰプロキシ５００などの外部装置への設定に必要な各種設定情報を当該外部装置に送信するものである。第２送信部１３０は、鍵設定部１３１と、アドレス登録部１３２と、サービス購読部１３３と、ファイアウォール設定部１３４と、を備えている。

鍵設定部１３１は、認証時に生成された共有秘密鍵をＳＮＭＰｖ３プロトコルなどのセキュアな方法でＳＩＰプロキシ５００に送信することにより、ＳＩＰプロキシ５００にＴＬＳで利用する共有秘密鍵（ＴＬＳ−ＰＳＫ）を設定するものである。

アドレス登録部１３２は、ＳＩＰ端末２００から受信したメッセージから取得されたアドレス情報を、ロケーションサーバ４００に登録するものである。例えば、アドレス登録部１３２は、アドレス情報を登録するためのＳＩＰメッセージであるＳＩＰ ＲｅｇｉｓｔｅｒメッセージをＳＩＰ処理部１２０によって生成し、ＳＩＰ処理部１２０を用いて生成されたＳＩＰ Ｒｅｇｉｓｔｅｒメッセージをロケーションサーバ４００に送信することによってアドレスを登録する。

なお、アドレス登録方法は上記に限られず、ロケーションサーバ４００のデータベースにＳＩＰ端末２００のアドレス情報を追加できるものであればどのような方法であってもよい。また、ＳＩＰ端末２００から、ＳＩＰ Ｒｅｇｉｓｔｅｒメッセージそのものを含むメッセージを受信し、受信したメッセージから取り出したＳＩＰ Ｒｅｇｉｓｔｅｒメッセージでアドレスを登録するように構成してもよい。

サービス購読部１３３は、ＳＩＰ端末２００から受信したメッセージから取得された設定情報を用いて、イベントサーバ６００に対するサービス購読処理を行うものである。例えば、サービス購読部１３３は、サービス購読のためのＳＩＰメッセージであるＳＩＰ ＳｕｂｓｃｒｉｂｅメッセージをＳＩＰ処理部１２０によって生成し、ＳＩＰ処理部１２０を用いて生成されたＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージをイベントサーバ６００に送信することによってサービス購読処理を行う。

なお、サービス購読処理は上記に限られず、イベントサーバ６００のデータベースにＳＩＰ端末２００の設定情報を追加してサービス購読を設定できるものであればどのような方法であってもよい。また、ＳＩＰ端末２００から、ＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージそのものを含むメッセージを受信し、受信したメッセージから取り出したＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージでサービス購読処理を実行するように構成してもよい。

ファイアウォール設定部１３４は、認証部１１４の認証結果に応じて、ＳＩＰ端末２００の内部ネットワーク２０へのアクセスの可否をファイアウォール３００に対して設定するものである。ファイアウォール設定部１３４は、例えば、ＳＮＭＰｖ３を用いてファイアウォール３００に対するアクセス可否の設定を行う。

次に、本実施の形態を実現するために必要なアクセス認証プロトコルのフォーマットの拡張の一例について説明する。以下では、アクセス認証プロトコルとしてＰＡＮＡを利用し、（１）ＳＩＰプロキシ情報の搬送、（２）ＳＩＰアドレス登録とサービス購読のための情報搬送、のために拡張したＰＡＮＡのメッセージフォーマットの例を示す。

（１）ＳＩＰプロキシ情報の搬送
上述のように、認証エージェント１００は、ＰＡＮＡによるアクセス認証の際、ＳＩＰ端末２００に対して、内部ネットワーク２０で運用されているＳＩＰプロキシ５００の情報を提供する。また、ＳＩＰ端末２００は、アウトバウンドプロキシとして選択したＳＩＰプロキシ５００の情報を、認証エージェント１００に通知する。

このため、認証に用いるセッションの初期化を行う第１フェーズ（Discovery and handshake phase）で交換されるＰＡＮＡ−Ｓｔａｒｔ−ＲｅｑｕｅｓｔメッセージおよびＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージに、ＳＩＰプロキシ５００の情報を搬送するための拡張領域を追加する。具体的には、両メッセージにそれぞれ拡張用のＡＶＰ（Attribute Value Pair）として、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰを追加する。

ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰは、ＳＩＰプロキシ５００のＩＤを１つ、文字列であるＳＩＰプロキシ５００の名前を１つ、サポートする拡張を示すＳｕｐｐｏｒｔｅｄヘッダの値を任意の数、および、サポートするメソッドを示すＡｌｌｏｗヘッダの値を任意の数、含む。

認証エージェント１００からＳＩＰ端末２００に対して、利用可能なＳＩＰプロキシ５００の選択肢を示すため、ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージには、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰを複数含むことができる。また、ＳＩＰ端末２００が認証エージェント１００に対して、選択したＳＩＰプロキシ５００を通知するため、ＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージには、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰを１つ含むことができる。

ここで、ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージのメッセージ構造について説明する。なお、ＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージについては、ＳＩＰアドレス登録と購読に関する拡張が存在するため、後述する「（２）ＳＩＰアドレス登録と購読のための情報搬送」で説明する。

図７は、ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージのメッセージ構造の一例を示す説明図である。同図に示すように、拡張したＡＶＰとして、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰがネットワーク設定用データの後に追加されている。なお、図７から図１１において、記号「＊」は、メッセージ構造において、該当するメッセージが複数回繰り返されうることを示している。

図８は、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰの詳細なデータ構造の一例を示す説明図である。同図に示すように、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰには、ＳＩＰプロキシ５００のＩＤと、ＳＩＰプロキシ５００の名前と、対応するＳｕｐｐｏｒｔｅｄヘッダの値と、対応するＡｌｌｏｗヘッダの値とが格納されている。各情報は、それぞれ装置情報テーブル１５１ａのＩＤ、名前、Ｓｕｐｐｏｒｔｅｄヘッダ値、およびＡｌｌｏｗヘッダ値から取得した値が設定される。

（２）ＳＩＰアドレス登録と購読のための情報搬送
ＳＩＰ端末２００は、ＰＡＮＡのアクセス認証の際、アクセス認証成功時に行うＳＩＰアドレス登録およびイベントサービス購読のための情報を、認証エージェント１００に通知する。

このため、ＳＩＰ端末２００から認証エージェント１００に対して送信する上述のＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージに、ＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰおよびＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰをさらに追加する。

図９は、ＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージのメッセージ構造の一例を示す説明図である。同図に示すように、拡張したＡＶＰとして、上記（１）に関するＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰに加え、ＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰおよびＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰが、ネットワーク設定用データの後に追加されている。

図１０は、ＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰの詳細なデータ構造の一例を示す説明図である。同図に示すように、ＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰには、ＳＩＰ端末２００として登録するアドレスであるＳＩＰ ＵＲＩ（ＡｏＲ:Address of Record）を１つ、およびＳＩＰコンタクトアドレスを任意の数、含むことができる。

図１１は、ＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰの詳細なデータ構造の一例を示す説明図である。同図に示すように、ＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰには、登録するイベントサービスの種類（ＳＩＰイベントタイプ）を示すＩＤであるＳＩＰイベントタイプＩＤを１つ、登録するイベントサービスに関連するＲｅｑｕｅｓｔ−ＵＲＩを１つ、対象となるイベントサービスを利用するために必要な任意のメッセージを任意の数、含むことができる。

なお、以上のような拡張以外にも、例えば、アクセス認証成功後にＳＩＰ端末２００が送信すべきＳＩＰメッセージ自体を含めるＡＶＰを定義して、当該ＡＶＰによって認証成功時に送信すべきＳＩＰメッセージを認証エージェント１００に送信するような拡張も可能である。

また、上記説明では、アクセス認証プロトコルとしてＰＡＮＡを用いた例について説明したが、利用可能なアクセス認証プロトコルはＰＡＮＡに限られるものではなく、認証開始時にＳＩＰ端末２００と認証エージェント１００との間でメッセージの交換が行われるものであればあらゆるプロトコルに適用できる。すなわち、交換されるメッセージにそれぞれ上記のＡＶＰに相当する拡張を加え、各装置間で必要な情報を交換するように構成することができる。

次に、このように構成された本実施の形態にかかる認証エージェント１００によるサービス利用開始処理について説明する。図１２は、本実施の形態におけるサービス利用開始処理の全体の流れを示すシーケンス図である。

なお、以下では、内部ネットワーク２０にＳＩＰプロキシ５００ａおよびＳＩＰプロキシ５００ｂが存在し、それぞれＳＩＰ機能拡張として、「ｅａｒｔｈ」および「ｍｅｒｃｕｒｙ」をＳｕｐｐｏｒｔｅｄヘッダ値として有するものとする。すなわち、図４のＩＤ＝０１１および０１２がそれぞれＳＩＰプロキシ５００ａおよびＳＩＰプロキシ５００ｂに対応するものとする。

また、ＳＩＰ端末２００は、「ｅａｒｔｈ」をサポートするＳＩＰプロキシ５００ａをアウトバウンドプロキシとして選択し、コンタクトアドレスとして「abc@192.168.0.10」、ＡｏＲとして「termA@example.com」を、ロケーションサーバ４００に登録する場合を例に説明する。

さらに、ＳＩＰ端末２００は、イベントタイプＩＤ＝「presence」、Ｒｅｑｕｅｓｔ−ＵＲＩ＝「eventA.service.example.com」であるイベントサービスと、イベントタイプＩＤ＝「pana」、Ｒｅｑｕｅｓｔ−ＵＲＩ＝「eventB.service.example.com」であるイベントサービスとを登録するものとする。

まず、認証エージェント１００のＳＩＰ処理部１２０は、ＳＩＰ ＯＰＴＩＯＮＳリクエストメッセージ交換でＳｕｐｐｏｒｔｅｄヘッダ、Ａｌｌｏｗヘッダの値を取得することにより、各ＳＩＰプロキシ５００ａ、５００ｂの能力情報を取得する（ステップＳ１２０１、ステップＳ１２０２）。

具体的には、ＳＩＰ処理部１２０は、内部ネットワークＩ／Ｆ１０１を介して、各ＳＩＰプロキシ５００に対して、定期的にＳＩＰ ＯＰＴＩＯＮＳリクエストメッセージを送信する。各ＳＩＰプロキシ５００は、このＳＩＰ ＯＰＴＩＯＮＳリクエストメッセージに対して、ＳＩＰプロトコル仕様に対応して、ＳＩＰ ＯＰＴＩＯＮＳレスポンスメッセージを返送する。ここには、対象となるＳＩＰプロキシ５００がサポートする能力情報に相当する、ＳｕｐｐｏｒｔｅｄヘッダおよびＡｌｌｏｗヘッダを含んでいる。ＳＩＰ ＯＰＴＩＯＮＳレスポンスメッセージは、内部ネットワークＩ／Ｆ１０１を介して、ＳＩＰ処理部１２０で受信される。ＳＩＰ処理部１２０はこれを解釈し、各ＳＩＰプロキシ５００のＩＤと名前とＳｕｐｐｏｒｔｅｄヘッダの値と、Ａｌｌｏｗヘッダの値を取得し、装置情報テーブル１５１ａに格納する。ただし、装置情報テーブル１５１ａに値を格納する方法はこれに限らず、例えばシステムの管理者がマニュアルで登録を行ってもよい。

例えば、ＳＩＰ処理部１２０は、ＳＩＰプロキシ５００ａに関しては、ＩＤ＝０１１、ＩＰアドレス＝「192.168.1.11」、およびＳｕｐｐｏｒｔｅｄヘッダの値＝「ｅａｒｔｈ」を取得し、ＳＩＰプロキシ５００ｂに関しては、ＩＤ＝０１２、ＩＰアドレス＝「192.168.1.12」、およびＳｕｐｐｏｒｔｅｄヘッダの値＝「ｍｅｒｃｕｒｙ」を取得する。

次に、ＳＩＰ端末２００の認証部２０１は、ＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージを送信することによってアクセス認証の開始を要求する（ステップＳ１２０３）。これは、ＰＡＮＡの第１フェーズ（Discovery and handshake phase）の開始を意味する。なお、ＳＩＰ端末２００は、このメッセージ送信によって、認証エージェント１００のアドレスを発見するように構成してもよい。また、例えばＰＡＮＡ Ｈｅａｄｅｒのバージョン（version）情報を利用して、本実施の形態に示す拡張方式における認証を行うことを要求してもよい。

ＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージが認証エージェント１００の受信部１１１によって受信されると、取得部１１２が、装置情報テーブル１５１ａから、各ＳＩＰプロキシ５００の装置情報を取得する（ステップＳ１２０４）。原則として、取得部１１２は、装置情報テーブル１５１ａに格納されているすべてのＳＩＰプロキシ５００の情報を取得する。

対応テーブル１５２ａで、ＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージを送信したＳＩＰ端末２００に対応するレコードが登録されている場合は、取得部１１２は、当該ＳＩＰ端末２００に提供可能なＳＩＰプロキシ５００のＩＤを対応テーブル１５２ａから取得し、取得したＩＤの装置情報のみを、装置情報テーブル１５１ａから取得する。

例えば、ＰＡＮＡ−ＰＡＡ−Ｄｉｓｃｏｖｅｒメッセージを送信したＳＩＰ端末２００の端末ＩＤが「00112233445577」であったとすると、図５に示すような対応テーブル１５２ａから、ＩＤ＝０１１および０１２が取得される。したがって、ＩＤ＝０１１および０１２に対応する装置情報のみが装置情報テーブル１５１ａから取得される。

同様に、負荷テーブル１５３ａで、各ＳＩＰプロキシ５００の負荷情報が管理されている場合、取得部１１２は、負荷テーブル１５３ａを参照して最も処理負荷の小さいＳＩＰプロキシ５００を選択し、選択したＳＩＰプロキシ５００の装置情報のみを装置情報テーブル１５１ａから取得するように構成してもよい。また、例えば同一の機能拡張をサポートするＳＩＰプロキシ５００が複数ある場合に負荷情報を参照して、最も処理負荷の小さいＳＩＰプロキシ５００を選択するように構成してもよい。

次に、認証部２０１が、取得された装置情報内の能力情報等を含むＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを生成し、第１送信部１１３が、生成されたメッセージをＳＩＰ端末２００に送信する（ステップＳ１２０５）。

なお、認証部２０１は、ＳＩＰプロキシ５００のＩＰアドレスは、ＡＶＰに含める必要がないことに注意する。ここでは、例えば、認証部２０１は、ＳＩＰプロキシ５００ａとＳＩＰプロキシ５００ｂの情報を、ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰとして含むＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを生成する。

ＳＩＰ端末２００では、認証部２０１がＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを受信し、当該メッセージ内のＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰに含まれるＳＩＰプロキシ５００のＩＤ、名前、および拡張機能情報をＳＩＰ処理部２０２に渡す。また、ＳＩＰ処理部２０２が、装置情報を参照してアウトバウンドプロキシとするＳＩＰプロキシ５００を選択し、認証部２０１に通知する。

このように、従来は認証後にＳＩＰ端末２００が各ＳＩＰプロキシ５００に対して能力情報の取得要求を送信しなければならなかったのに対し、本実施の形態では、事前に認証エージェント１００が入手した各ＳＩＰプロキシ５００の能力情報を認証時に用いるメッセージから取得することができる。このため、能力情報取得のための処理負荷が軽減されるとともに、必要な能力情報を保持するＳＩＰプロキシを運用しない内部ネットワークに対する認証処理の無駄を回避することが可能となる。

なお、ここでは、ＳＩＰ処理部２０２は、上述のようにＳＩＰプロキシ５００ａを選択して認証部２０１に通知したものとする。

また、ＳＩＰ処理部２０２は、アクセス認証成功後にＳＩＰアドレス登録を行うＡｏＲおよびコンタクトアドレスを認証部２０１に通知することができる。さらに、ＳＩＰ処理部２０２、アクセス認証成功後にＳＩＰサービス登録を行うイベントサーバ６００のＲｅｑｕｅｓｔ−ＵＲＩなどの情報を認証部２０１に通知することができる。

例えば、ＳＩＰ処理部２０２は、ＳＩＰ登録のためのコンタクトアドレスとして「abc@192.168.0.10」、ＡｏＲとして「termA@example.com」を認証部２０１に通知する。また、利用するイベントサービスとして、イベントタイプＩＤ＝「presence」、Ｒｅｑｕｅｓｔ−ＵＲＩ＝「eventA.service.example.com」、および、イベントタイプＩＤ＝「pana」、Ｒｅｑｕｅｓｔ−ＵＲＩ＝「eventB.service.example.com」を認証部２０１に通知する。また、後者のイベントサービスに対しては、そのサービス固有のメッセージとして例えば「event B:level 1」などの文字列を含めることを認証部２０１に通知することもできる。

通知を受けた認証部２０１は、選択されたＳＩＰプロキシ５００のＩＤ等を含む図８のようなＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰと、登録するアドレス情報等を含む図１０のようなＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰと、購読を要求するイベントサービスのＩＤ等を含む図１１のようなＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰと、を含む、図９に示すようなＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージを生成して認証エージェント１００に送信する（ステップＳ１２０６）。

認証エージェント１００の認証部１１４は、ＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージを受信する。当該メッセージの受信が正常に完了することにより、ＰＡＮＡの第１フェーズから、ＥＡＰの実行によりＳＩＰ端末２００の認証を行う第２フェーズ（認証フェーズ：Authentication and authorization phase）に以降する。認証フェーズでは、ＰＡＮＡの認証用のメッセージ（ＰＡＮＡ−Ａｕｔｈ−Ｒｅｑｕｅｓｔ、ＰＡＮＡ−Ａｕｔｈ−Ａｎｓｗｅｒ）が交換され、ＥＡＰ−Ｐａｙｌｏａｄ ＡＶＰを利用したＥＡＰ認証が実行される（ステップＳ１２０７）。

なお、この認証ステップは、（１）ＳＩＰ端末２００のアクセス認証、（２）ＳＩＰ端末２００のＳＩＰアドレス登録（ＳＩＰ Ｒｅｇｉｓｔｅｒ）のための認証、（３）ＳＩＰ端末２００の通知したイベントサーバ６００の購読のための認証、（４）ＳＩＰ端末２００と、ＳＩＰ端末２００が選択したＳＩＰプロキシ５００との間のセキュアトランスポート確立のための認証のすべてに相当する。

また、認証部１１４が、内部ネットワークＩ／Ｆ１０１を介して内部ネットワーク２０に存在する認証サーバにアクセスしてＥＡＰ認証を実行するように構成してもよい。このとき、受信したＰＡＮＡ−Ｓｔａｒｔ−ＡｎｓｗｅｒメッセージのＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰ、ＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰまたはＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰに含まれる情報、すなわち、ＳＩＰ端末２００の選択したＳＩＰプロキシ５００、または利用することが示されているイベントサーバ６００の種類などの情報によって、アクセスする認証サーバを変更するように構成してもよいし、認証サーバにアクセスする際のＡＡＡプロトコルに情報を付加するように構成してもよい。

ＰＡＮＡ／ＥＡＰ認証が成功すると、認証エージェント１００は、ＳＩＰ端末２００に対する認証結果と、ＰＡＮＡ／ＥＡＰによって導出した鍵情報を得る。この鍵情報は、認証エージェント１００とＳＩＰ端末２００との間の共有秘密鍵となる。

次に、鍵設定部１３１は、認証処理で導出された共有秘密鍵を、ＳＩＰ端末２００がＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰに含めたＳＩＰプロキシ５００、すなわち、ＳＩＰ端末２００が選択したＳＩＰプロキシ５００ａに対して、ＳＮＭＰｖ３などのセキュアな方法で送信する（ステップＳ１２０８）。

次に、アドレス登録部１３２は、ＳＩＰ端末２００がＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰに含めたＡｏＲとコンタクトアドレスとを取得し、取得したＡｏＲおよびコンタクトアドレスをロケーションサーバ４００に登録する。

具体的には、アドレス登録部１３２は、まず、取得したＡｏＲおよびコンタクトアドレスをＳＩＰ処理部１２０に通知する。通知を受けたＳＩＰ処理部１２０は、ＡｏＲとコンタクトアドレスを登録するためのＳＩＰ Ｒｅｇｉｓｔｅｒメッセージを作成し、ロケーションサーバ４００との間でリクエスト送信処理およびレスポンス受信処理を行う（ステップＳ１２０９）。これは、ＳＩＰ端末２００のためのＳＩＰ Ｒｅｇｉｓｔｅｒ処理を代行することに相当する。

ここでは、アドレス登録部１３２は、ＳＩＰ処理部１２０でメッセージを送信することにより、ＡｏＲ＝「termA@example.com」、コンタクトアドレス＝「abc@192.168.0.10」をロケーションサーバ４００に登録する。

なお、ＳＩＰ処理部１２０は、実行した登録アドレス情報およびレスポンスメッセージに含まれる登録有効期限情報を記憶部（図示せず）に保持させてもよい。登録有効期限情報は通常、ＳＩＰ ＲｅｇｉｓｔｅｒレスポンスメッセージのＥｘｐｉｒｅｓヘッダまたはＣｏｎｔａｃｔヘッダのｅｘｐｉｒｅｓパラメタで示される。

次に、サービス購読部１３３は、ＳＩＰ端末２００がＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰに含めたイベントタイプＩＤとＲｅｑｕｅｓｔ−ＵＲＩとサービス利用のためのメッセージとを取得し、イベントサーバ６００に登録する処理を行う。

具体的には、サービス購読部１３３は、まず、取得したイベントタイプＩＤとＲｅｑｕｅｓｔ−ＵＲＩとサービス利用のための固有メッセージとをＳＩＰ処理部１２０に通知する。ＳＩＰ処理部１２０は、通知された情報を元に、イベントサーバ６００に対して、サービスを購読するためのＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージを作成し、イベントサーバ６００との間でリクエスト送信処理およびレスポンス受信処理を行う（ステップＳ１２１０）。これは、ＳＩＰ端末２００のためのＳＩＰ Ｓｕｂｓｃｒｉｂｅ処理を代行することに相当する。

ここでは、サービス購読部１３３は、イベントタイプＩＤ＝「presence」のイベントサービスの購読をＲｅｑｕｅｓｔ−ＵＲＩ＝「eventA.service.example.com」のイベントサーバ６００に対して登録し、イベントタイプＩＤ＝「pana」のイベントサービスの購読をＲｅｑｕｅｓｔ−ＵＲＩ＝「eventB.service.example.com」のイベントサーバ６００に対して登録する。後者については、サービス固有のメッセージとしてＳＩＰ ＳＤＰに「eventB: level 1」を付加してサービス購読を登録する。

なお、ＳＩＰ処理部１２０は、実行したサービス購読情報およびレスポンスメッセージに含まれる購読有効期限情報を記憶部（図示せず）に保持させてもよい。購読有効期限情報は通常、ＳＩＰ ＳｕｂｓｃｒｉｂｅレスポンスメッセージのＥｘｐｉｒｅｓヘッダにて示される。

次に、ファイアウォール設定部１３４は、内部ネットワークＩ／Ｆ１０１を介して、認証結果に応じたファイアウォール３００の設定を行うことにより、ＳＩＰ端末２００のネットワークアクセスについて可否を設定する（ステップＳ１２１１）。

次に、認証部１１４は、外部ネットワークＩ／Ｆ１０２を介して、ＳＩＰ端末２００に対して、ＰＡＮＡ−Ｂｉｎｄ−Ｒｅｑｕｅｓｔメッセージを送信する（ステップＳ１２１２）。当該メッセージには、ＳＩＰ端末２００の認証結果を含んでいる。また、ＳＩＰアドレス登録、イベントサーバ６００への購読結果、またはエラー情報を含んでもよい。

ＰＡＮＡ−Ｂｉｎｄ−Ｒｅｑｕｅｓｔメッセージを受信したＳＩＰ端末２００の認証部２０１は、ＳＩＰアドレス登録やイベントサーバ６００への購読結果またはエラー情報をＳＩＰ処理部２０２に通知してもよい。ＳＩＰ処理部２０２は、これにより、認証エージェント１００によって、ＳＩＰアドレス登録およびイベントサービス購読処理が行われたことを確認することができる。

また、ＳＩＰ処理部２０２は、ＥＡＰ認証より導出された共有秘密鍵情報を元にして、選択したＳＩＰプロキシ５００ａとの間でＳＩＰトランスポートを保護するためのＴＬＳ−ＰＳＫの共有秘密鍵（Pre-shared Key）を設定する。

以上のシーケンスにより、ＳＩＰ端末２００は、選択したＳＩＰプロキシ５００ａとの間でＴＬＳ−ＰＳＫの鍵交換を終えており、また、指示したＳＩＰアドレス登録処理を終えており、また、指示したイベントサーバ６００への購読処理を終えている状態となる。

なお、これ以降、認証エージェント１００は、記憶部（図示せず）に記憶されたＳＩＰアドレス登録情報およびイベントサービス購読情報を元にして、対応する有効期間の間隔または任意のタイミングで、ＳＩＰアドレス登録処理およびイベントサービス購読処理を実行し、ＳＩＰアドレス登録有効期間およびイベントサービス購読有効期間の更新を行ってもよい。

また、ＳＩＰ端末２００と認証エージェント１００との間で、ＰＡＮＡセッションを終了する終了フェーズ（PANA termination phase）が実行され、ＰＡＮＡ認証状態が終了した場合、記憶部に記憶されたＳＩＰアドレス登録およびイベントサービス購読を解除する処理を行ってもよい。このとき、記憶部に記憶されている同情報は削除されてもよい。

ステップＳ１２０８からステップＳ１２１０で示したように、本実施の形態では、認証成功後に、ＳＩＰ端末２００に代わって認証エージェント１００が鍵情報の設定、アドレス登録、および利用サービスの購読を実行している。これにより、ネットワークにアクセスしてサービス利用を開始するまでの前処理の効率化を実現できる。

次に、従来のＳＩＰ端末および認証エージェントによるサービス利用開始処理について説明する。図１３は、従来のサービス利用開始処理の全体の流れを示すシーケンス図である。

なお、同図のＳＩＰ端末１３２０、ファイアウォール１３３０、認証エージェント１３１０、ロケーションサーバ１３４０、ＳＩＰプロキシ１３５０ａ、１３５０ｂ、およびイベントサーバ１３６０は、従来から用いられている一般的な機能をそれぞれ有するものとする。

まず、ＳＩＰ端末１３２０は、ＤＮＳを利用したアドレス取得方法などによって、アクセス対象となる認証エージェント１３１０、ロケーションサーバ１３４０、ＳＩＰプロキシ１３５０、およびイベントサーバ１３６０などのアドレス情報を事前に取得しておく必要がある（ステップＳ１３０１）。

次に、ＳＩＰ端末１３２０は、認証エージェント１３１０に対して、アクセス認証を開始する（ステップＳ１３０２）。

認証エージェント１３１０は、ＳＩＰ端末１３２０の認証を行う（ステップＳ１３０３）。この際、別途ネットワーク上に存在する認証サーバに問い合わせを行ってもよい。

認証が成功すると、ＳＩＰ端末１３２０は、ネットワークへのアクセスを許可される（ステップＳ１３０４）。これにともない、ファイアウォール１３３０の設定を行うなどして（ステップＳ１３０５）、ＳＩＰ端末１３２０のネットワークアクセスが可能になる。

ＳＩＰ端末１３２０は、この後、各ＳＩＰプロキシ１３５０との間でＳＩＰメッセージを交換するため、事前にＴＬＳなどのトランスポートプロトコルのための認証および鍵交換プロトコルを実行し、セキュアなコネクションを確立する必要がある（ステップＳ１３０６、ステップＳ１３０７）。

次に、ＳＩＰ端末１３２０は、適切な機能を持ったアウトバウンドプロキシを選択するため、ネットワークで運用されている各ＳＩＰプロキシ１３５０に対して、その能力情報を問い合わせる（ステップＳ１３０８、ステップＳ１３０９）。ただし、運用されているＳＩＰプロキシのアドレス情報は事前に取得しておく必要がある。

これは、ＳＩＰ ＯＰＴＩＯＮＳメッセージ交換により可能である。ＳＩＰ端末１３２０は、運用されている全てのＳＩＰプロキシ１３５０に対して能力情報を問い合わせ、アウトバウンドプロキシとして接続を望むＳＩＰプロキシ１３５０を選択する。

次に、ＳＩＰ端末１３２０は、ロケーションサーバ１３４０に対して、ＳＩＰアドレス登録を要求する（ステップＳ１３１０、ＳＩＰ Ｒｅｇｉｓｔｅｒメッセージ交換）。必要であれば、ロケーションサーバ１３４０は、ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｉｏｎヘッダを付加したＳＩＰ Ｒｅｇｉｓｔｅｒメッセージ交換を別途行うことで、ＳＩＰ端末１３２０のアドレス登録に伴う認証を行う。

次に、ＳＩＰ端末１３２０は、接続したネットワークでＳＩＰサービスを利用するため、必要なイベントサーバ１３６０に対する購読処理を行う（ステップＳ１３１１）。なお、利用するサービスが複数存在する場合は、複数のイベントサーバ１３６０に対してそれぞれ購読処理を実行する必要がある。

購読処理は、ＳＩＰ Ｓｕｂｓｃｒｉｂｅメッセージ交換により実行することができる。ＳＩＰ端末１３２０は、イベントサーバ１３６０の種類やそのアドレス情報を、事前に何らかの方法で取得している必要がある。イベントサーバ１３６０は、この購読処理を行う際、別途、ＳＩＰサービス購読のためのＳＩＰ端末１３２０の認証処理を行うかもしれない。

このように、従来の方法では、認証処理と、アドレス登録処理およびサービス購読処理が分離されているため、認証後に各ＳＩＰ端末１３２０でＳＩＰプロキシ１３５０の能力情報を取得する必要があるなど、サービス利用までの前処理に無駄が生じていた。また、事前にアドレス情報等を入手する必要がある点でも前処理の効率化に改善の余地があった。

これに対し、本実施の形態にかかる認証装置では、認証処理の最初のフェーズで、ＳＩＰプロキシの能力情報を認証エージェントからＳＩＰ端末に送信するとともに、登録するアドレス情報や、購読要求に必要な情報をＳＩＰ端末から認証エージェントに対して送信することができる。また、アドレス情報等を受信した認証エージェントが、アドレス情報の登録処理等を代行することができる。このため、ＳＩＰ端末が適切なＳＩＰプロキシに効率的に接続可能となるとともに、ＳＩＰ機能を利用するまでに必要な認証処理を含む前処理を短縮し効率化することが可能となる。

具体的には、本実施の形態によれば、ＳＩＰ端末が接続するアウトバウンドプロキシの選択を容易に実行可能となる。また、ＳＩＰ端末が、ＳＩＰプロキシなどのアドレス情報を事前に取得する必要がなくなる。さらに、従来、ＳＩＰ端末が行っていたＳＩＰアドレス登録（ＳＩＰ Ｒｅｇｉｓｔｅｒ）、ＳＩＰプロキシ認証（ＳＩＰ Ｒｅｇｉｓｔｅｒに伴う ＷＷＷ−Ａｕｔｈｅｎｔｉｃａｔｅ処理）、イベントサービス購読（ＳＩＰ Ｓｕｂｓｃｒｉｂｅ）の簡略化およびネットワークアクセス認証処理との統合が実現できる。

次に、本実施の形態にかかる認証装置のハードウェア構成について説明する。図１４は、本実施の形態にかかる認証装置のハードウェア構成を示す説明図である。

本実施の形態にかかる認証装置は、ＣＰＵ５１などの制御装置と、ＲＯＭ（Read Only Memory）５２やＲＡＭ５３などの記憶装置と、ネットワークに接続して通信を行う通信Ｉ／Ｆ５４と、ＨＤＤ（Hard Disk Drive）、ＣＤ（Compact Disc）ドライブ装置などの外部記憶装置と、ディスプレイ装置などの表示装置と、キーボードやマウスなどの入力装置と、各部を接続するバス６１を備えており、通常のコンピュータを利用したハードウェア構成となっている。

本実施の形態にかかる認証装置で実行される認証プログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ−ＲＯＭ（Compact Disk Read Only Memory）、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ（Compact Disk Recordable）、ＤＶＤ（Digital Versatile Disk）等のコンピュータで読み取り可能な記録媒体に記録されて提供される。

また、本実施の形態にかかる認証装置で実行される認証プログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。また、本実施の形態にかかる認証装置で実行される認証プログラムをインターネット等のネットワーク経由で提供または配布するように構成してもよい。

また、本実施の形態の認証プログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

本実施の形態にかかる認証装置で実行される認証プログラムは、上述した各部（受信部、取得部、第１送信部、認証部、ＳＩＰ処理部、第２送信部）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ５１（プロセッサ）が上記記憶媒体から認証プログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、上述した各部が主記憶装置上に生成されるようになっている。

以上のように、本発明にかかる通信端末を認証する装置、方法およびプログラムは、複数のＳＩＰプロキシを含み各種ＳＩＰサービスを提供するネットワークに対するアクセス認証を行う装置、方法およびプログラムに適している。

本実施の形態にかかる認証装置を含む通信システムの構成を示すブロック図である。 ＳＩＰ端末の詳細な構成を示すブロック図である。 認証エージェントの詳細な構成を示すブロック図である。 装置情報テーブルのデータ構造の一例を示す説明図である。 対応テーブルのデータ構造の一例を示す説明図である。 負荷テーブルのデータ構造の一例を示す説明図である。 ＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージのメッセージ構造の一例を示す説明図である。 ＳＩＰ−Ｐｒｏｘｙ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰの詳細なデータ構造の一例を示す説明図である。 ＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージのメッセージ構造の一例を示す説明図である。 ＳＩＰ Ｒｅｇｉｓｔｅｒ−Ｉｎｆｏｒｍａｔｉｎ ＡＶＰの詳細なデータ構造の一例を示す説明図である。 ＳＩＰ−Ｓｅｒｖｉｃｅ−Ｉｎｆｏｒｍａｔｉｏｎ ＡＶＰの詳細なデータ構造の一例を示す説明図である。 本実施の形態におけるサービス利用開始処理の全体の流れを示すシーケンス図である。 従来のサービス利用開始処理の全体の流れを示すシーケンス図である。 本実施の形態にかかる認証装置のハードウェア構成を示す説明図である。

符号の説明

５１ ＣＰＵ
５２ ＲＯＭ
５３ ＲＡＭ
５４ 通信Ｉ／Ｆ
６１ バス
１０ 外部ネットワーク
２０ 内部ネットワーク
１００ 認証エージェント
１０１ 内部ネットワークＩ／Ｆ
１０２ 外部ネットワークＩ／Ｆ
１１１ 受信部
１１２ 取得部
１１３ 第１送信部
１１４ 認証部
１２０ ＳＩＰ処理部
１３０ 第２送信部
１３１ 鍵設定部
１３２ アドレス登録部
１３３ サービス購読部
１３４ ファイアウォール設定部
１５１ 第１記憶部
１５１ａ 装置情報テーブル
１５２ 第２記憶部
１５２ａ 対応テーブル
１５３ 第３記憶部
１５３ａ 負荷テーブル
２００ａ、２００ｂ ＳＩＰ端末
２０１ 認証部
２０２ ＳＩＰ処理部
２０３ ネットワークＩ／Ｆ
３００ ファイアウォール
４００ ロケーションサーバ
５００ａ、５００ｂ ＳＩＰプロキシ
６００ａ、６００ｂ イベントサーバ
１３１０ 認証エージェント
１３２０ ＳＩＰ端末
１３３０ ファイアウォール
１３４０ ロケーションサーバ
１３５０ａ、１３５０ｂ ＳＩＰプロキシ
１３６０ イベントサーバ

Claims (18)

1. 通信端末と第１ネットワークを介して接続されるとともに、前記通信端末から受信した設定情報に基づいて前記通信端末に機能を提供するサーバ装置と、前記第１ネットワークと第２ネットワークとの間の通信を中継する中継装置と、に前記第２ネットワークを介して接続され、前記サーバ装置が提供する機能の前処理として前記通信端末を認証する認証装置であって、
   前記中継装置を識別する装置ＩＤと、前記中継装置の処理能力に関する能力情報とを対応づけた装置情報を記憶する第１記憶部と、
   認証の開始を要求する第１メッセージを前記通信端末から受信する第１受信部と、
   前記第１メッセージを受信したときに、前記装置情報を前記第１記憶部から取得する取得部と、
   取得した前記装置情報を含む第２メッセージを前記通信端末に送信する第１送信部と、
   送信した前記装置情報に含まれる前記装置ＩＤから前記通信端末が前記装置情報に含まれる前記能力情報を参照して選択した第１装置ＩＤを含む第３メッセージを前記通信端末から受信する第２受信部と、
   認証に用いる認証情報を前記通信端末から受信する第３受信部と、
   受信した前記認証情報に基づいて前記通信端末を認証する認証部と、
   前記通信端末が認証されたときに、前記機能の提供を受けるための設定情報を、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置、または受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置が通信を中継する前記サーバ装置に対して送信する第２送信部と、
   を備えたことを特徴とする認証装置。
2. 前記第２受信部は、前記第１装置ＩＤと、前記サーバ装置に対して登録する前記通信端末のアドレスとを含む前記第３メッセージを受信し、
   前記第２送信部は、前記設定情報として、受信した前記第３メッセージに含まれる前記アドレスを、前記サーバ装置に対して送信すること、
   を特徴とする請求項１に記載の認証装置。
3. 前記第２受信部は、前記第１装置ＩＤと、前記サーバ装置が提供する前記機能を識別する機能ＩＤとを含む前記第３メッセージを受信し、
   前記第２送信部は、前記設定情報として、受信した前記第３メッセージに含まれる前記機能ＩＤの前記機能の利用を要求する第４メッセージを前記サーバ装置に対して送信すること、
   を特徴とする請求項１に記載の認証装置。
4. 前記認証部は、さらに、前記中継装置と前記通信端末との間の通信で用いる鍵情報を生成し、
   前記第２送信部は、前記通信端末が認証されたときに、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置に対し、生成された前記鍵情報を前記設定情報として送信すること、
   を特徴とする請求項１に記載の認証装置。
5. 前記通信端末を識別する端末ＩＤと、前記通信端末が利用可能な前記中継装置の前記装置ＩＤとを対応づけて記憶する第２記憶部をさらに備え、
   前記取得部は、前記第１メッセージを受信した前記通信端末の前記端末ＩＤに対応する前記装置ＩＤを前記第２記憶部から取得し、取得した前記装置ＩＤに対応する前記装置情報を前記第１記憶部から取得すること、
   を特徴とする請求項１に記載の認証装置。
6. 前記中継装置の前記装置ＩＤと、前記中継装置の処理負荷に関する負荷情報とを対応づけて記憶する第３記憶部をさらに備え、
   前記取得部は、前記負荷情報を前記第３記憶部から取得し、取得した前記負荷情報に基づいて、前記処理負荷が最も小さい前記中継装置の前記装置ＩＤを前記第３記憶部から取得し、取得した前記装置ＩＤに対応する前記装置情報を前記第１記憶部から取得すること、
   を特徴とする請求項１に記載の認証装置。
7. 前記第３記憶部は、前記装置ＩＤと、通信を中継している前記通信端末の個数である前記負荷情報とを対応づけて記憶し、
   前記取得部は、前記個数が最も小さい前記中継装置の前記装置ＩＤを前記第３記憶部から取得し、取得した前記装置ＩＤに対応する前記装置情報を前記第１記憶部から取得すること、
   を特徴とする請求項６に記載の認証装置。
8. 前記第１送信部は、前記第１メッセージに対する応答メッセージであって、取得した前記装置情報を含む前記第２メッセージを前記通信端末に送信すること、
   を特徴とする請求項１に記載の認証装置。
9. 前記第２受信部は、前記第２メッセージに対する応答メッセージであって、前記第１装置ＩＤを含む前記第３メッセージを前記通信端末から受信すること、
   を特徴とする請求項８に記載の認証装置。
10. 前記第１受信部は、前記第１メッセージとして、ＰＡＮＡ（Protocol for Carrying Authentication for Network Access）のＰＡＮＡ−ＰＡＡ（PANA Authentication Agent）−Ｄｉｓｃｏｖｅｒメッセージを前記通信端末から受信し、
    前記第１送信部は、前記第２メッセージとして、取得した前記装置情報を含むＰＡＮＡのＰＡＮＡ−Ｓｔａｒｔ−Ｒｅｑｕｅｓｔメッセージを前記通信端末に送信し、
    前記第２受信部は、前記第３メッセージとして、前記第１装置ＩＤを含むＰＡＮＡのＰＡＮＡ−Ｓｔａｒｔ−Ａｎｓｗｅｒメッセージを前記通信端末から受信すること、
    を特徴とする請求項１に記載の認証装置。
11. 前記第１記憶部は、ＳＩＰ（Session Initiation Protocol）のプロキシサーバである前記中継装置の前記装置ＩＤと、前記能力情報とを対応づけた前記装置情報を記憶し、
    前記第２送信部は、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記プロキシサーバが通信を中継する前記サーバ装置に対して前記設定情報を送信すること、
    を特徴とする請求項１に記載の認証装置。
12. 前記第２受信部は、前記第１装置ＩＤと、ＳＩＰのロケーションサーバである前記サーバ装置に対して登録する前記通信端末のアドレスとを含む前記第３メッセージを受信し、
    前記第２送信部は、前記設定情報として、受信した前記第３メッセージに含まれる前記アドレスを、前記ロケーションサーバに対して送信すること、
    を特徴とする請求項１１に記載の認証装置。
13. 前記第２送信部は、ＳＩＰのＲｅｇｉｓｔｅｒメッセージを前記ロケーションサーバに送信することによって、受信した前記第３メッセージに含まれる前記アドレスを前記ロケーションサーバに対して送信すること、
    を特徴とする請求項１２に記載の認証装置。
14. 前記第２受信部は、前記第１装置ＩＤと、ＳＩＰで利用可能な前記機能を提供するイベントサーバである前記サーバ装置の前記機能ＩＤとを含む前記第３メッセージを受信し、
    前記第２送信部は、前記設定情報として、受信した前記第３メッセージに含まれる前記機能ＩＤを、前記イベントサーバに対して送信すること、
    を特徴とする請求項１１に記載の認証装置。
15. 前記第２送信部は、受信した前記第３メッセージに含まれる前記機能ＩＤの前記機能の利用を要求するＳＩＰのＳｕｂｓｃｒｉｂｅメッセージを前記イベントサーバに対して送信すること、
    を特徴とする請求項１４に記載の認証装置。
16. 前記認証部は、さらに、前記中継装置と前記通信端末との間の通信で用いるＴＬＳ（Transport Layer Security）のための鍵情報を生成し、
    前記第２送信部は、前記通信端末が認証されたときに、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記プロキシサーバに対し、生成された前記鍵情報を前記設定情報として送信すること、
    を特徴とする請求項１１に記載の認証装置。
17. 通信端末と第１ネットワークを介して接続されるとともに、前記通信端末から受信した設定情報に基づいて前記通信端末に機能を提供するサーバ装置と、前記第１ネットワークと第２ネットワークとの間の通信を中継する中継装置と、に前記第２ネットワークを介して接続され、前記サーバ装置が提供する機能の前処理として前記通信端末を認証する認証装置における認証方法であって、
    前記認証装置は、前記中継装置を識別する装置ＩＤと、前記中継装置の処理能力に関する能力情報とを対応づけた装置情報を記憶する第１記憶部を備え、
    第１受信部によって、認証の開始を要求する第１メッセージを前記通信端末から受信する第１受信ステップと、
    取得部によって、前記第１メッセージを受信したときに、前記装置情報を前記第１記憶部から取得する取得ステップと、
    第１送信部によって、取得した前記装置情報を含む第２メッセージを前記通信端末に送信する第１送信ステップと、
    第２受信部によって、送信した前記装置情報に含まれる前記装置ＩＤから前記通信端末が前記装置情報に含まれる前記能力情報を参照して選択した第１装置ＩＤを含む第３メッセージを前記通信端末から受信する第２受信ステップと、
    第３受信部によって、認証に用いる認証情報を前記通信端末から受信する第３受信ステップと、
    認証部によって、受信した前記認証情報に基づいて前記通信端末を認証する認証ステップと、
    第２送信部によって、前記通信端末が認証されたときに、前記機能の提供を受けるための設定情報を、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置、または受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置が通信を中継する前記サーバ装置に対して送信する第２送信ステップと、
    を備えたことを特徴とする認証方法。
18. 通信端末と第１ネットワークを介して接続されるとともに、前記通信端末から受信した設定情報に基づいて前記通信端末に機能を提供するサーバ装置と、前記第１ネットワークと第２ネットワークとの間の通信を中継する中継装置と、に前記第２ネットワークを介して接続され、前記サーバ装置が提供する機能の前処理として前記通信端末を認証する認証装置における認証プログラムであって、
    前記認証装置は、前記中継装置を識別する装置ＩＤと、前記中継装置の処理能力に関する能力情報とを対応づけた装置情報を記憶する第１記憶部を備え、
    認証の開始を要求する第１メッセージを前記通信端末から受信する第１受信手順と、
    前記第１メッセージを受信したときに、前記装置情報を前記第１記憶部から取得する取得手順と、
    取得した前記装置情報を含む第２メッセージを前記通信端末に送信する第１送信手順と、
    送信した前記装置情報に含まれる前記装置ＩＤから前記通信端末が前記装置情報に含まれる前記能力情報を参照して選択した第１装置ＩＤを含む第３メッセージを前記通信端末から受信する第２受信手順と、
    認証に用いる認証情報を前記通信端末から受信する第３受信手順と、
    受信した前記認証情報に基づいて前記通信端末を認証する認証手順と、
    前記通信端末が認証されたときに、前記機能の提供を受けるための設定情報を、受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置、または受信した前記第３メッセージに含まれる前記第１装置ＩＤの前記中継装置が通信を中継する前記サーバ装置に対して送信する第２送信手順と、
    をコンピュータに実行させる認証プログラム。

Images