JP2013008140A

JP2013008140A - シングルサインオンシステム、シングルサインオン方法および認証サーバ連携プログラム

Info

Publication number: JP2013008140A
Application number: JP2011139533A
Authority: JP
Inventors: Kazuya Kikuchi; 一也菊池
Original assignee: Hitachi Systems Ltd
Current assignee: Hitachi Systems Ltd
Priority date: 2011-06-23
Filing date: 2011-06-23
Publication date: 2013-01-10
Also published as: WO2012176506A1

Abstract

【課題】利用者は利用者装置のＯＳ認証のみで、クラウドサービスまでの複数のサービスを利用可能とすることができシングルサインオンシステムを提供する。
【解決手段】シングルサインオンシステムにおいて、利用者１００が利用する利用者装置１１０と、利用者装置１１０の利用時の利用者１００の認証処理を行う認証サーバ装置１２０と、利用者装置１１０および認証サーバ装置１２０が接続された社内ネットワーク１４０と、社内ネットワーク１４０にインターネット１７０を介して接続され、利用者１００にアプリケーションを提供するアプリケーションサーバ装置１６０と、認証サーバ装置１２０による利用者１００の認証情報を共有し、アプリケーションサーバ装置１６０へのシングルサインオン処理を行う認証連携基盤装置１５０とを備えたものである。
【選択図】図１

Description

本発明は、一度のログオンにより複数のサービスを利用可能とするシングルサインオンシステムに関し、特に、パスワードを用いた現行の認証方法から、より高度な安全性を備えた認証方法を実現し、利便性をも向上させるに好適な認証技術に関するものである。

クラウドサービス利用の普及に伴い、企業は今後、複数のクラウドサービス（ＳａａＳ：ｓｏｆｔｗａｒｅａｓａｓｅｒｖｉｃｅ）を利用すると考える。しかし、複数サービス利用により企業及び個人のＩＤ等のアカウント管理が複雑となり、現在ではクラウドサービスと認証連携（シングルサインオン）製品が普及し始めている。

現在の認証連携製品では、サービスポータル画面を経由してシングルサインオンにより各サービスにアクセスされるが、サービスポータル画面そのものにはログオンしなければならないという問題がある。

また、利用者がＰＣに一度サインオンすることにより、複数のアプリケーションとのシングルサインオンを実現する仕組みがあった［例えば、特開２００９−２２３４５２号公報（特許文献１）］。

特開２００９−２２３４５２号公報

しかしながら、特許文献１に記載のものは、利用者装置及び該当アプリケーション側にエージェントプログラムをインストールしなければならないという追加作業が発生してしまい、クラウドサービスとのシングルサインオンでは導入が困難（導入できない）こととなる。

そこで、本発明の目的は、企業内の認証サーバ装置とデータセンタなどで管理している認証連携基盤装置を連携させることにより、利用者は利用者装置のＯＳ認証のみで、クラウドサービスまでの複数のサービスを利用可能とすることができ、これにより、ユーザの利便性向上及び高セキュアな認証連携を提供することができるシングルサインオンシステムを提供することにある。

本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次の通りである。

すなわち、代表的なものの概要は、シングルサインオンシステムにおいて、利用者が利用する利用者端末と、利用者端末の利用時の利用者の認証処理を行う認証サーバ装置と、利用者端末および認証サーバ装置が接続された内部ネットワークと、内部ネットワークにインターネットを介して接続され、利用者にアプリケーションを提供するアプリケーションサーバ装置と、認証サーバ装置による利用者の認証情報を共有し、アプリケーションサーバ装置へのシングルサインオン処理を行う認証連携基盤装置とを備えたものである。

また、利用者が利用者端末を利用し、利用者端末が接続された内部ネットワークを介して、インターネットに接続されたアプリケーションサーバ上のアプリケーションを利用する際のシングルサインオン方法であって、インターネットに接続され、アプリケーションサーバへのシングルサインオン処理を行う認証連携基盤装置の認証情報を、内部ネットワークに接続され、利用者の認証を行う認証サーバ装置の認証情報と共有させ、認証連携基盤装置のアプリケーションサーバへのシングルサインオン処理により、利用者にアプリケーションサーバ上のアプリケーションを提供するものである。

また、認証サーバ連携プログラムにおいて、情報処理装置を、認証サーバの認証情報に基づいて、認証の連携のための利用者の認証情報を保持し、認証連携基盤装置によるシングルサインオン処理時に利用者の認証情報が存在しない場合に、認証連携基盤装置への利用者の認証情報の提供を行う認証連携装置として機能させるものである。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下の通りである。

すなわち、代表的なものによって得られる効果は、企業内の認証サーバ装置とデータセンタなどで管理している認証連携基盤装置を連携させることにより、利用者は利用者装置のＯＳ認証のみで、クラウドサービスまでの複数のサービス利用を可能とすることができる。これにより、ユーザの利便性が向上すると共に、高セキュアな認証連携を実現することができる。

本発明の一実施の形態に係るシングルサインオンシステムのシステム構成を示す構成図である。本発明の一実施の形態に係るシングルサインオンシステムの認証連携装置のソフトウェア構成を示す図である。本発明の一実施の形態に係るシングルサインオンシステムの認証連携基盤装置のソフトウェア構成を示す図である。本発明の一実施の形態に係るシングルサインオンシステムのシングルサインオン方法による認証処理を示す処理フローである。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

＜シングルサインオンシステムの構成＞
図１〜図３により、本発明の一実施の形態に係るシングルサインオンシステムのシステム構成について説明する。図１は本発明の一実施の形態に係るシングルサインオンシステムのシステム構成を示す構成図、図２は本発明の一実施の形態に係るシングルサインオンシステムの認証連携装置のソフトウェア構成を示す図、図３は本発明の一実施の形態に係るシングルサインオンシステムの認証連携基盤装置のソフトウェア構成を示す図である。

図１において、シングルサインオンシステムは、利用者１００が使用する利用者装置１１０、利用者１００が利用者装置１１０にログオンするための認証を受ける認証サーバ装置１２０、利用者装置１１０を介して何らかの業務を行うためのアプリケーションサーバ（ＡＰサーバ）装置１６０が、内部ネットワークである社内ネットワーク１４０及びインターネット１７０で接続される従来の構成に加えて、新たに認証連携装置１３０、認証連携基盤装置１５０が社内ネットワーク１４０とインターネット１７０に接続される構成を備えている。

図２において、情報処理装置などから構成される認証連携装置１３０には、メモリ２２０上に認証サーバ連携プログラム２１０がロードされ、認証サーバ連携プログラム２１０が認証連携装置１３０内の処理部（図示せず）などにより処理され、社内ネットワーク１４０に接続されている認証サーバ装置１２０とインターネット１７０を介して接続されている認証連携基盤装置１５０の認証連携などが行われている。

図３において、情報処理装置などから構成される認証連携基盤装置１５０には、メモリ３３０上に認証サーバ連携モジュール３１０のプログラムと認証連携システム３２０のプログラムがロードされ、認証サーバ連携モジュール３１０のプログラムと認証連携システム３２０のプログラムが認証連携基盤装置１５０の処理部（図示せず）などにより処理され、利用者１００へのアプリケーションポータルの提供、認証サーバ装置１２０との認証情報の共有、アプリケーションサーバ装置１６０へのシングルサインオンなどが行われている。

なお、図３に示す例では、認証サーバ連携モジュール３１０のプログラムと認証連携システム３２０のプログラムがメモリ３３０にロードされている例を示しているが、認証連携基盤装置１５０の処理を行うことができるプログラムなどであれば、どのような構成であってもよい。

＜シングルサインオンシステムのシングルサインオン方法による認証処理＞
次に、図４により、本発明の一実施の形態に係るシングルサインオンシステムのシングルサインオン方法による認証処理について説明する。図４は本発明の一実施の形態に係るシングルサインオンシステムのシングルサインオン方法による認証処理を示す処理フローである。

まず、利用者１００は利用者装置１１０を起動する（ステップ４０１）。当該利用者装置１１０はＯＳを起動しＯＳにログオンするためのログオン画面を利用者１００に対して表示する（ステップ４０２）。ここではＯＳ用のユーザＩＤ及びパスワードを入力させる画面が表示される。

そして、利用者１００はＯＳ用のユーザＩＤ及びパスワードを入力する（ステップ４０３）。利用者装置１１０は入力されたＯＳ用のユーザＩＤのパスワードと当該ユーザＩＤの照合用のパスワードを比較することによって認証を行い、一致した場合には正当な利用者であるとみなしログオンを許可する。図４に示す例では、照合用のパスワードは認証サーバ装置１２０に記録されているため、認証サーバ装置１２０に利用者１００が入力したユーザＩＤ及びパスワードを送信する（ステップ４０４）。

認証サーバ装置１２０では受信したユーザＩＤ及びパスワードと認証サーバ装置１２０内で記録しているＯＳ用ユーザ情報と照合することで認証を行いその認証結果を利用者装置１１０に返信する（ステップ４０５）。

認証結果がＯＫの場合には利用者装置１１０が利用者１００にログオン後の画面を表示する（ステップ４０６）。ログオンが許可された場合、利用者１００は当該利用者装置１１０内にあるプログラムを実行できるようになるのでアプリケーション利用プログラム（アプリケーションポータル）は、インターネットを経由して認証連携基盤装置１５０の認証サーバ連携モジュール３１０にアクセス要求を送信する（ステップ４０７）。

認証連携基盤装置１５０はアクセス要求を受け、当該利用者１００の認証情報と認証連携基盤装置１５０に格納されている認証ＩＤとを照合させ、認証情報が不一致で認証確認ＮＧの場合（ステップ４０８）には、利用者装置１１０に対して認証情報の要求を実施する（ステップ４０９）。

そして、利用者装置１１０は認証情報を判定するため、認証連携装置１３０に認証情報の判定を依頼する（ステップ４１０）。認証連携装置１３０内のメモリ２２０に存在する認証サーバ連携プログラム２１０で保持している認証情報が存在せず、認証確認ＮＧの場合（ステップ４１１）には、認証サーバ装置１２０に認証情報を依頼する（ステップ４１２）。

認証サーバ装置１２０は利用者１００の固有ＩＤが暗号化されている情報を受け取り、認証の確認を実施し、認証連携装置１３０に認証情報を付加し認証確認結果を返信する（ステップ４１３）。そして、認証連携装置１３０は受け取った認証情報を利用者装置１１０に通知する（ステップ４１５）。

また、認証連携装置１３０内のメモリ２２０に存在する認証サーバ連携プログラム２１０で保持している認証情報が存在し、認証確認ＯＫの場合（ステップ４１４）には、認証情報を利用者装置１１０に通知する（ステップ４１５）。

そして、利用者装置１１０は、再度、認証連携基盤装置１５０の認証サーバ連携モジュール３１０にアクセス要求と認証情報を送り（ステップ４１６）、当該利用者１００の認証情報と認証連携基盤装置１５０に格納されている認証ＩＤとを照合させ、認証情報が一致した場合に利用者１００が利用できるアプリケーションポータル画面を利用者装置１１０を経由して表示する（ステップ４１７）。

また、認証連携基盤装置１５０はアクセス要求を受け、当該利用者１００の認証情報と認証連携基盤装置１５０に格納されている認証ＩＤとを照合させ、認証情報が一致し、認証確認ＯＫの場合（ステップ４２１）には、利用者１００が利用できるアプリケーションポータル画面を利用者装置１１０を経由して表示する（ステップ４１７）。

そして、利用者１００はアプリケーションポータル画面から利用するアプリケーションを認証連携基盤装置１５０に要求する（ステップ４１８）。

認証連携基盤装置１５０は、認証連携システム３２０による該当するアプリケーションとのシングルサインオン機能を有しているため、該当するアプリケーションをアプリケーションサーバ装置１６０に要求する（ステップ４１９）。

そして、要求を受け取ったアプリケーションサーバ装置１６０は認証情報を確認し、アプリケーション画面を利用者装置１１０を経由して利用者１００に表示する（ステップ４２０）。

そして、利用者１００は、アプリケーション画面を操作することにより、アプリケーションサーバ装置１６０のアプリケーションを利用する。

以上のように、本実施の形態では、認証連携装置１３０により、社内ネットワーク１４０に接続されている認証サーバ装置１２０とインターネット１７０を介して接続されている認証連携基盤装置１５０の認証連携を行い、認証連携基盤装置１５０により、認証サーバ装置１２０との認証情報を共有し、アプリケーションサーバ装置１６０へのシングルサインオンを行うようにしたので、利用者１００は、利用者装置１１０への一度のＯＳ認証のみで、複数のアプリケーションサーバ装置１６０のアプリケーションを利用することができる。

また、認証サーバ装置１２０の認証情報をインターネット１７０を経由して認証連携基盤装置１５０の認証情報と共有するためにインターネット１７０上で流れる認証情報を、例えば、ＳＨＡ（ＳｅｃｒｅｔＨａｓｈＡｌｇｏｒｉｓｍ）暗号化方式などで暗号化してすることにより、より高セキュアな認証連携を行うことができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

例えば、本実施の形態では、認証連携基盤装置１５０から利用者装置１１０に対して認証情報の要求を実施しているが、認証連携基盤装置１５０から認証連携装置１３０に認証情報の要求を実施するようにしてもよい。

本発明は、一度のログオンにより複数のサービスを利用可能とするシングルサインオンシステムに関し、利用者が利用者装置からインターネットを介してアプリケーションサーバ装置上のアプリケーションを利用するシステムなどに広く適用可能である。

１００…利用者、１１０…利用者装置、１２０…認証サーバ装置、１３０…認証連携装置、１４０…社内ネットワーク、１５０…認証連携基盤装置、１６０…アプリケーションサーバ装置、１７０…インターネット、２１０…認証サーバ連携プログラム、２２０…メモリ、３１０…認証サーバ連携モジュール、３２０…認証連携システム、３３０…メモリ。

Claims

利用者が利用する利用者端末と、
前記利用者端末の利用時の前記利用者の認証処理を行う認証サーバ装置と、
前記利用者端末および前記認証サーバ装置が接続された内部ネットワークと、
前記内部ネットワークにインターネットを介して接続され、前記利用者にアプリケーションを提供するアプリケーションサーバ装置と、
前記認証サーバ装置による前記利用者の認証情報を共有し、前記アプリケーションサーバ装置へのシングルサインオン処理を行う認証連携基盤装置とを備えたことを特徴とするシングルサインオンシステム。
請求項１に記載のシングルサインオンシステムにおいて、
前記内部ネットワークに接続され、前記認証サーバ装置による前記利用者の認証情報と前記認証連携基盤装置の認証情報を連携させる認証連携装置を備えたことを特徴とするシングルサインオンシステム。
請求項２に記載のシングルサインオンシステムにおいて、
前記認証連携装置は、認証の連携のための前記利用者の認証情報を保持し、前記利用者の認証時に前記利用者の認証情報が存在しない場合、前記認証サーバ装置に問い合わせ、前記利用者の認証情報を取得することを特徴とするシングルサインオンシステム。
請求項３に記載のシングルサインオンシステムにおいて、
前記認証連携基盤装置は、前記シングルサインオン処理時に前記利用者の認証情報が存在しない場合、前記認証連携装置を介して前記利用者の認証情報を取得することを特徴とするシングルサインオンシステム。
請求項１に記載のシングルサインオンシステムにおいて、
前記インターネット上で流れる認証情報をＳＨＡ暗号化方式により暗号化することを特徴とするシングルサインオンシステム。
請求項１に記載のシングルサインオンシステムにおいて、
前記認証連携装置および前記認証連携基盤装置で利用する前記利用者の認証情報は、前記認証サーバ装置の認証方式で使用される認証情報であることを特徴とするシングルサインオンシステム。
利用者が利用者端末を利用し、前記利用者端末が接続された内部ネットワークを介して、インターネットに接続されたアプリケーションサーバ上のアプリケーションを利用する際のシングルサインオン方法であって、
前記インターネットに接続され、前記アプリケーションサーバへのシングルサインオン処理を行う認証連携基盤装置の認証情報を、前記内部ネットワークに接続され、前記利用者の認証を行う認証サーバ装置の認証情報と共有させ、前記認証連携基盤装置の前記アプリケーションサーバへのシングルサインオン処理により、前記利用者に前記アプリケーションサーバ上の前記アプリケーションを提供することを特徴とするシングルサインオン方法。
請求項７に記載のシングルサインオン方法において、
前記認証連携基盤装置の認証情報は、前記アプリケーションサーバへのシングルサインオン処理時に、前記利用者の認証情報が存在しない場合に、前記認証サーバ装置の認証情報に基づいて蓄積されることを特徴とするシングルサインオン方法。
利用者が利用する利用者端末と、前記利用者端末の利用時の前記利用者の認証処理を行う認証サーバ装置と、前記利用者端末および前記認証サーバ装置が接続された内部ネットワークと、前記内部ネットワークにインターネットを介して接続され、前記利用者にアプリケーションを提供するアプリケーションサーバ装置と、前記アプリケーションサーバ装置へのシングルサインオン処理を行う認証連携基盤装置とを備えたシングルサインオンシステムの認証連携処理を行うために情報処理装置を、
前記認証サーバの認証情報に基づいて、認証の連携のための前記利用者の認証情報を保持し、前記認証連携基盤装置による前記シングルサインオン処理時に前記利用者の認証情報が存在しない場合に、前記認証連携基盤装置への前記利用者の認証情報の提供を行う認証連携装置として機能させることを特徴とする認証サーバ連携プログラム。