JP5751029B2 - 認証装置、プログラムおよび記録媒体 - Google Patents

Description

本発明は、認証サービスに関し、より詳細には、認証装置間でデータ同期を効率的に行うための認証装置、プログラムおよび記録媒体に関する。

従来、大規模な組織においては、認証サービスやディレクトリ・サービスに関して、マスタとなるマスタ認証サーバに対して、中間層となる認証サーバを１以上準備することにより、認証サーバの冗長化が行われている。冗長化されたシステムでは、例えば複合機、ネットワーク装置、アプリケーションなどのクライアントは、マスタ認証サーバから直接サービスを受ける代わりに、中間層の認証サーバからサービスを受けることができるよう構成されている。これにより、データ取得の高速化、効率化および耐障害性の向上が図られる。

しかしながら、複数の認証サーバが設けられる冗長化システムでは、各認証サーバで保持する情報の整合性を維持する必要がある。このため、マスタ認証サーバと中間層の認証サーバとの間で適切にデータ同期を行う必要がある。

上述したデータ同期は、効率的に行うことが求められるが、データ同期に関連して、種々の従来技術が知られる。例えば特開２０１１−４８５４９号公報（特許文献１）は、データ保護ポリシの更新を行うにあたり同期で更新されないデータに関するデータ保護ポリシがマスタ・コンピュータで変更されている場合に、スレーブ・コンピュータで当該変更がされているデータ保護ポリシの同期を行う構成を開示する。

特開２００３−２９６１７２号公報（特許文献２）は、データベースの同期を取るためのネットワーク・トラフィックを低減することを目的とした文書管理装置を開示する。この文書管理装置は、第１の文書管理データベースに格納されたオブジェクトの参照関係情報を検出する検出機能と、その検出機能に参照関係情報が検出されたレコードを第１の文書管理データベースから取得して第２の文書管理データベースに同期させる機能とを実現する。

しかしながら、従来技術の認証サービスにおけるデータ同期では、中間層の認証サーバがマスタ認証サーバ上のデータと同期する方法が固定されており、要求される同期の間隔が異なるなどデータの重要性にかかわらず、一律に同期が行われていた。同期間隔を短くする必要のないデータが、重要度の高いデータの更新に併せて一律に同期されると、余分なデータトラフィックを発生させてしまうことになりかねない。このように、従来技術の認証サービスにおけるデータ同期は、データ同期の効率性の観点から、充分なものではなかった。

データ同期に関連して、上記特許文献１および特許文献２の従来技術も知られているが、いずれも、上述したデータに要求される同期間隔のレベルを考慮するものではなく、認証処理に関するデータ同期の効率を向上する観点から、充分とはいえなかった。

本発明は、上記従来技術における不充分な点に鑑みてなされたものであり、本発明は、外部の認証装置と連携して情報処理装置を認証する認証装置と該外部の認証装置とのデータ同期に関して、要求される同期間隔が異なる複数のレベルの情報を、適切な同期機構を利用して、適時に同期することにより、高効率、かつ、高品質なデータ同期が実現可能な認証装置、プログラムおよび記録媒体を提供することを目的とする。

本発明では、上記課題を解決するために、以下の特徴を有する、外部の認証装置と連携して情報処理装置を認証する認証装置を提供する。本認証装置は、情報処理装置からの認証および項目値取得の要求に応答して、求められたアカウントに対する認証を行う認証手段と、認証が行われることに応答して、都度同期する項目として設定された項目名に対応する項目値を外部の認証装置から取得する都度項目値取得手段と、都度項目値取得手段により取得された項目値で、ローカル・データベース内の項目値を更新する都度項目値更新手段とを含む。上記都度項目値取得手段および都度項目値更新手段は、通常とは異なる要求の都度同期する同期機構を提供する。本認証装置は、さらに、上記都度項目値更新手段によって更新された項目値を含む項目値セットを取得する項目値セット取得手段と、上記認証手段より得られた認証結果と項目値セット取得手段により得られた項目値セットとを情報処理装置に返却する返却手段とを含む。

本発明では、さらに、コンピュータを上記各手段として機能させる、外部の認証装置と連携して情報処理装置を認証する認証装置をコンピュータ上に実現するためのコンピュータ実行可能なプログラムを提供することができる。さらに、本発明では、上記プログラムをコンピュータ可読に格納する記録媒体を提供することができる。

上記構成によれば、当該認証装置が外部の認証装置とデータ同期をする際に、提供する情報のうちの都度同期する項目を区分し、該項目に対応して要求に応じて都度同期するデータ同期機構が別途準備される。これにより、クライアントからのサービス要求に応答して一のレベルの情報を都度同期し、他のレベルの情報と異なるデータ同期機構で同期することが可能となる。これにより、同期されるデータの品質および効率を両立させることが可能となる。

本実施形態の認証システムを示す概略図。 本実施形態による中間層認証サーバ装置のハードウェア構成図。 本実施形態による認証システムの機能ブロック図。 （Ａ）予定同期項目登録テーブル、（Ｂ）都度同期項目登録テーブル、（Ｃ，Ｅ）タスクスケジューラが管理するスケジュール、（Ｄ）予定同期項目および都度同期項目を登録するテーブルのデータ構造を示す図。 本実施形態の中間層認証サーバ装置が実行する認証要求時のデータ同期処理を示すフローチャート。 本実施形態の中間層認証サーバ装置が実行するスケジュールに従ったデータ同期処理を示すフローチャート。 （Ａ）マスタデータベースに保持されるエントリ、（Ｂ，Ｃ）ローカル・データベースに保持されているエントリのデータ構造を示す図。 本実施形態による都度同期項目値および予定同期項目値の設定機能に関連する機能ブロック図。 本実施形態による同期項目設定データを設定するための管理画面を例示する図。

以下、本発明の実施形態について説明するが、本発明の実施形態は、以下に説明する実施形態に限定されるものではない。なお、以下に説明する実施形態では、マスタ認証サーバ装置と、中間層認証サーバ装置とを含み構成される認証システムを用いて説明する。

図１は、本実施形態の認証システムを示す概略図である。図１に示す認証システム１００は、マスタ認証サーバ装置１１０と、１以上の中間層認証サーバ装置１２０と、認証サービスにおいてクライアントとなる１以上の複数の装置１５０〜１５４と、管理端末１６０とを含む。これらの装置１１０，１２０，１５０〜１５４，１６０は、ネットワーク１０２を介して相互接続されている。

マスタ認証サーバ装置１１０および中間層認証サーバ装置１２０は、それぞれ、クライアントに対し認証サービスないしディレクトリ・サービスを提供するサーバ機能を備える。認証サービスないしディレクトリ・サービスのプロトコルとしては、ＬＤＡＰ（Lightweight Directory Access Protocol）などが代表的であり、その他、既知の汎用プロトコルまたは独自プロトコルを対象とすることができる。

マスタ認証サーバ装置１１０は、認証情報およびディレクトリ情報を含むアカウント情報のマスタデータを保有する。マスタ認証サーバ装置１１０は、クライアントとなる装置１５０〜１５４からのアカウント認証要求に応答し、上述したアカウント情報を用いて、アカウント認証を行い、情報を提供することができる。アカウント情報の追加、変更および削除は、マスタ認証サーバ装置１１０上のマスタデータに対して行われる。なお、マスタ認証サーバ装置１１０は、本実施形態における外部の認証装置を構成する。

中間層認証サーバ装置１２０は、マスタ認証サーバ装置１１０が保有するマスタデータのレプリカデータを保有する。中間層認証サーバ装置１２０は、マスタ認証サーバ装置１１０の代わりに、クライアントとなる装置１５０〜１５４からの認証要求を受け付けて、マスタ認証サーバ装置１１０と連携してアカウント認証を行う。中間層認証サーバ装置１２０ａ，１２０ｂと、マスタ認証サーバ装置１１０との間では、詳細は後述する本実施形態のデータ同期機構により、アカウント情報のデータ同期が適時に行われる。これにより、サービスの負荷分散、高速化および冗長化が図られる。なお、中間層認証サーバ装置１２０は、本実施形態における、上記外部の認証装置と連携して情報処理装置を認証する認証装置を構成する。

複合機１５０、プリンタ１５２、パーソナル・コンピュータ１５４は、それぞれ、上述した認証サービスないしディレクトリ・サービスの提供を受けるクライアントとなる装置である。以下、これらの装置１５０〜１５４を総称してクライアント１５０〜１５４と参照する。クライアント１５０〜１５４は、それぞれ、各クライアントを操作する利用者から、ユーザ名およびパスワードやＩＣ認証カード情報などアカウント認証情報の入力を受け付けて、サーバ装置１１０，１２０に対し、認証処理を要求する。マスタ認証サーバ装置１１０および１以上の中間層認証サーバ装置１２０のいずれに認証要求が行われるかは、特に限定されるものではないが、予めクライアント毎に主となる認証要求先を定めておいてもよいし、ロードバランサ等を用いて振り分けるよう構成されていてもよい。

クライアントとしては、図１には、複合機１５０ａ，１５０ｂ、プリンタ１５２ａ，１５２ｂ、パーソナル・コンピュータ１５４ａ，１５４ｂを例示するが、特にこれに限定されるものではない。クライアントとしては、ワークステーションやサーバなどのその他の汎用コンピュータ装置、スマートフォンやＰＤＡ（Personal Digital Assistance）などの携帯情報端末、ファクシミリなどの画像通信装置といった、認証サービスにアクセスするアプリケーションが動作する種々の情報処理装置を採用することができる。またクライアントの数は、特に限定されるものではなく、１または複数備えることができる。

管理端末１６０は、マスタ認証サーバ装置１１０にリモートでアクセスし、アカウント情報の追加、変更、削除等を行うための端末である。管理端末１６０は、さらに、中間層認証サーバ装置１２０にリモートでアクセスし、データ同期に関連した各種設定を行うために使用される。

上記ネットワーク１０２は、特に限定されるものではないが、イーサネット（登録商標）やＴＣＰ／ＩＰ（Transmission Control Protocol / Internet Protocol）などのトランザクション・プロトコルによるＬＡＮ（Local Area Network）、ＶＰＮ（Virtual Private Network）や専用線を使用して接続されるＷＡＮ（Wide Area Network）などとして構成することができる。

図２は、本実施形態による中間層認証サーバ装置１２０のハードウェア構成を示す図である。中間層認証サーバ装置１２０は、マイクロプロセッサ・ユニット（ＭＰＵ)１２と、ＢＩＯＳ（Basic Input Output System）を格納する不揮発性メモリ１４と、ＭＰＵ１２によるプログラム処理を可能とする実行記憶空間を提供するメモリ１６とを含む。ＭＰＵ１２は、起動時に、不揮発性メモリ１４からＢＩＯＳを読み出し、システム診断を行なうとともに入出力装置２６の管理を行う。

ＭＰＵ１２は、また、内部バス２２を介して記憶制御用インタフェース１８に接続される。記憶制御用インタフェース１８としては、ＩＤＥ（Integrated Device Electronics）、ＡＴＡ（AT Attachment）、ＳＡＴＡ、ｅＳＡＴＡなどの規格により、ハードディスク２０の入出力を管理するインタフェースを使用することができる。ハードディスク２０は、ＭＰＵ１２からの入出力要求に応答してデータの書込または読み出しを実行する。なお、本実施形態において、ハードディスク２０は、アカウント情報を保持するローカル用のデータベースの記憶領域を構成する。

ＭＰＵ１２は、さらに、内部バス２２を介してＵＳＢ、ＩＥＥＥ１１６４などのシリアルまたはパラレル・インタフェース２４を制御して、キーボード、マウス、プリンタなどの入出力装置２６と通信し、ユーザからの入力を受け取ることができる。

中間層認証サーバ装置１２０は、さらに、ＶＲＡＭ２８とグラフィック・チップ３０とを含んで構成することができる。グラフィック・チップ３０は、ＭＰＵ１２からの指令に応答して、ビデオ信号を処理し、ディスプレイ装置３２へと表示させる。本認証システム１００の管理者は、上記ディスプレイ装置３２および入出力装置２６を介して、中間層認証サーバ装置１２０に対し、コンソールから各種設定を行うことができる。

ＭＰＵ１２は、また、内部バス２２を介してネットワークＩ／Ｆ（ＮＩＣ；Network Interface Card）３４と接続される。これにより、ネットワーク１０２を通して、中間層認証サーバ装置１２０は、クライアント１５０〜１５４、管理端末１６０などの外部装置と通信することができる。また、管理者は、上記ネットワークＩ／Ｆ３４を介して、中間層認証サーバ装置１２０に対し、リモートで各種設定を行うことができる。

中間層認証サーバ装置１２０は、不揮発性メモリ１４やハードディスク２０などの記憶装置に格納されたプログラム（図示せず）を読み出し、メモリ１６のメモリ領域に展開する。これにより、中間層認証サーバ装置１２０は、適切なオペレーティング・システム（ＯＳ）の下、後述する各機能手段および各処理を実現する。上記ＯＳとしては、Ｗｉｎｄｏｗｓ（登録商標）、ＵＮＩＸ（登録商標）またはＬＩＮＵＸ（登録商標）など、如何なるアーキテクチャを有するＯＳを採用することができる。

なお、詳細な説明は割愛するが、本実施形態におけるマスタ認証サーバ装置１１０、クライアントのパーソナル・コンピュータ１５４および管理端末１６０についても、図２に示すハードウェア構成と同様の構成とすることができる。この場合、ハードウェア構成は、特定の用途に応じて、コンポーネントを追加または削除されてもよい。複合機１５０および１５２については、詳細なハードウェア構成の説明は割愛するが、既知の如何なるハードウェア構成を採用することができる。

以下、図３〜図７を参照しながら、本実施形態によるマスタ認証サーバ装置１１０および中間層認証サーバ装置１２０間で行われる、データ同期処理について説明する。図３は、本実施形態による認証システム１００の機能ブロック図である。図３には、マスタ認証サーバ装置１１０上に実現される機能ブロックと、中間層認証サーバ装置１２０上に実現される機能ブロックとが示されている。

図３に示すように、マスタ認証サーバ装置１１０は、マスタデータベース１１２と、認証処理部１１４と、項目値提供部１１６とを含む。マスタデータベース１１２は、アカウント情報のマスタデータを格納するデータベースである。マスタデータベース１１２は、ハードディスク２０などの永続的な記憶領域として提供される。

認証処理部１１４は、中間層認証サーバ装置１２０がクライアント１５０〜１５４から受け取った認証要求を処理する際に、中間層認証サーバ装置１２０からの要求を受けて、アカウント認証をし、認証結果を返却する機能部である。項目値提供部１１６は、中間層認証サーバ装置１２０とデータ同期するため、中間層認証サーバ装置１２０にアカウント情報を提供する機能部である。

なお、図３は、中間層認証サーバ装置１２０から開始されるデータ同期に関連する機能ブロック中心に示すものである。マスタ認証サーバ装置１１０自体がクライアント１５０〜１５４から認証要求を受信してアカウント認証するための機能部については、図３からは省略されていることに留意されたい。

図３に示す中間層認証サーバ装置１２０上の機能ブロックを参照すると、中間層認証サーバ装置１２０は、ローカル・データベース１２２と、タスクスケジューラ１２４と、同期実行部１２６と、認証実行部１３２とを含む。ローカル・データベース１２２は、上述したマスタデータベース１１２内のマスタデータのレプリカを格納する、当該中間層認証サーバ装置１２０が直接アクセス可能なデータベースである。ローカル・データベース１２２は、図２に示したハードディスク２０などの永続的な記憶領域として提供される。

本実施形態において、認証サービスないしディレクトリ・サービスに関連するデータ同期は、少なくとも２つのデータ同期機構を利用して実施される。タスクスケジューラ１２４および同期実行部１２６は、第１のデータ同期機構を実現するための機能部である。タスクスケジューラ１２４は、第１のデータ同期機構によるデータ同期を実施するスケジュールを管理する。タスクスケジューラ１２４は、予め設定されたスケジュールに従って、定期的または不定期に同期実行部１２６を呼び出す。同期実行部１２６は、上記タスクスケジューラ１２４からの呼び出しに応答して、予定に従ったデータ同期処理を実施する。

同期実行部１２６は、より詳細には、項目値取得部１２８と、項目値更新部１３０とを含み構成される。ここで、項目値とは、認証サーバ装置１１０，１２０がクライアント１５０〜１５４に対し提供するユーザ名、ユーザ表示名、電子メールアドレス、ファクシミリ番号、固定電話番号、ＩＰ電話番号、会社の電話番号、自宅の電話番号、グループメンバシップ、公開キー、社員番号、オフィス、自宅住所、写真、アクセス制御情報などクライアントに提供する種々の情報を含む。その他、同期される項目値としては、パスワード、ＩＣカード認証データ、生態認証データなどの認証情報を含んでいてもよい。以下、予定に従ったデータ同期を行うための同期実行部１２６が備える項目値取得部１２８および項目値更新部１３０を、それぞれ、予定項目値取得部１２８および予定項目値更新部１３０と参照する。

予定項目値取得部１２８は、予定に従いデータ同期を行うものとして予め設定された項目について、マスタ認証サーバ装置１１０に対し項目値を要求して、取得する。以下、予定に従いデータ同期を行うものとして予め設定される項目を予定同期項目と参照する。予定同期項目は、通常、クライアントからの認証処理において必要性の低いデータとすることができ、電子メールアドレス、ファクシミリ番号、電話番号その他利用権限の決定に影響しないデータを挙げることができる。予定項目値更新部１３０は、予定項目値取得部１２８が取得した各予定同期項目の項目値でローカル・データベース１２２のレプリカデータを更新する。

図４（Ａ）は、予め設定された予定同期項目を登録する予定同期項目登録テーブルのデータ構造を示す図である。図４（Ｃ）は、本実施形態のタスクスケジューラ１２４が管理するスケジュールのデータ構造を示す図である。図４（Ｃ）に示すスケジュールは、毎週火曜日の午前１時に、予定同期項目の項目値を同期対象として、同期実行部１２６を呼び出してデータ同期を実施する旨を規定している。

なお、説明の便宜上、説明する実施形態では、第１のデータ同期機構では、全アカウントの全予定同期項目の項目値がマスタ認証サーバ装置１１０から取得されて、上書により更新されるものとして説明する。しかしながら、不必要なネットワーク・トラフィックを削減する観点からは、好適には、エントリの更新日時等の属性を利用して、マスタデータベース１１２とローカル・データベース１２２との間の差分となる、追加、変更または削除されたアカウントのエントリだけを同期対象とすることができる。

これに対して、認証実行部１３２は、第２のデータ同期機構を実現する機能部である。認証実行部１３２は、クライアント１５０〜１５４からの認証要求を受け取り、マスタ認証サーバ装置１１０と連携してアカウント認証を行うとともに、要求にかかるアカウントについて都度のデータ同期を実行する。

認証実行部１３２は、より詳細には、受付部１３４と、認証要求部１３６と、項目値取得部１３８と、項目値更新部１４０と、セット取得部１４２と、返却部１４４とを含み構成される。以下、認証要求が行われる都度データ同期を行うための認証実行部１３２における項目値取得部１３８および項目値更新部１４０を、それぞれ、都度項目値取得部１３８および都度項目値更新部１４０と参照する。

受付部１３４は、クライアント１５０〜１５４からの認証要求および項目値取得要求を受け付ける。認証要求には、クライアント１５０〜１５４にログインした利用者のユーザ名およびパスワード、ＩＣ認証データなどのユーザ認証情報が含まれる。

認証要求部１３６は、受付部１３４が認証要求および項目値取得要求を受け付けたことに応答して、マスタ認証サーバ装置１１０に対し、上記ユーザ認証情報を渡して認証処理を要求する。さらに認証要求部１３６は、上記認証処理の要求とともに、認証要求が行われる都度データ同期を行うものとして設定された項目について、当該認証要求にかかるアカウントの項目値をマスタ認証サーバ装置１１０に対し要求して、認証結果および項目値を取得する。以下、認証要求がある都度データ同期を行うものとして設定された項目を都度同期項目と参照する。都度項目値更新部１４０は、都度項目値取得部１３８が取得した各都度同期項目の項目値で、ローカル・データベース１２２上のレプリカデータを更新する。

なお、説明する実施形態では、認証要求部１３６が、マスタ認証サーバ装置１１０に認証処理を要求するものとして説明する。しかしながら、ユーザ認証情報もデータ同期の対象とする実施形態では、中間層認証サーバ装置１２０内でアカウント認証を行ってもよい。認証要求部１３６は、外部のマスタ認証サーバ装置１１０に要求して、または単独で、クライアントからの認証要求に応答して、求められたアカウントに対する認証を行う、本実施形態における認証手段を構成する。

図４（Ｂ）は、予め設定された都度同期項目を登録する都度同期項目登録テーブルのデータ構造を示す図である。都度同期項目は、認証要求毎にデータ同期される項目であり、クライアントからの認証処理において必要性の高く、高い整合性が求められるデータが設定されることが好ましい。都度同期項目としては、ユーザの名称や識別子、所属グループの名称や識別子、アクセス権限情報その他利用権限の決定に影響するデータを挙げることができる。

なお、説明の便宜上、説明する実施形態では、第２のデータ同期機構においては、認証要求が求められるアカウントの全都度同期項目の項目値がマスタ認証サーバ装置１１０から取得されて、上書により更新されるものとして説明する。しかしながら、不必要なネットワーク・トラフィックを削減する観点からは、好適には、当該アカウントのエントリにおける更新日時等の属性を利用して、マスタデータベース１１２とローカル・データベース１２２との間に差分があった場合だけ、実際の同期を行う構成とすることができる。

セット取得部１４２は、認証に成功した場合に、クライアント１５０〜１５４に対し、要求された情報を返却するために、ローカル・データベース１２２から当該アカウントのエントリの必要な項目値セットを取得する。返却部１４４は、クライアント１５０〜１５４に対し、認証要求および項目値取得要求に対する応答として、認証結果と、セット取得部１４２が取得した項目値セットとを返却する。

なお、説明する実施形態では、アカウント情報は、予定同期項目および都度同期項目の２つに分けられ、それぞれの項目群について、異なる２つのデータ同期機構によってデータ同期をするものとして説明してきた。しかしながら、アカウント情報の区分は、上述した２つに限定されるものではなく、図４（Ｄ）に例示する「高」、「中」、「低」の優先度などように、３つ以上のレベルに区分されてもよい。その場合には、アカウント情報を、都度同期項目と、複数の異なるスケジュールで同期される複数の予定同期項目とに区分し、図４（Ｅ）に示すように、予定同期項目毎にスケジュールを設定すればよい。

以下、図５〜図７を参照しながら、本実施形態において実行されるデータ同期処理について、中間層認証サーバ装置１２０を主体として詳細に説明する。図５は、本実施形態の中間層認証サーバ装置１２０が実行する、認証要求時のデータ同期処理を示すフローチャートである。図５に示す処理は、中間層認証サーバ装置１２０が、認証サービスないしディレクトリ・サービスを開始させたことに応答して、ステップＳ１００から開始される。

ステップＳ１０１では、中間層認証サーバ装置１２０は、受付部１３４がクライアント１５０〜１５４から認証要求を受信したか否かを判定する。ステップＳ１０１で、認証要求を受信していないと判定された場合（ＮＯ）には、ステップＳ１０１をループさせて、認証要求を待ち受ける。一方、ステップＳ１０１で、クライアント１５０〜１５４から認証要求を受信したと判定された場合（ＹＥＳ）は、ステップＳ１０２へ処理が進められる。

ステップＳ１０２では、中間層認証サーバ装置１２０は、認証要求部１３６により、マスタ認証サーバ装置１１０に対し、認証が求められているアカウントの認証処理の要求を行うとともに、当該アカウントの都度同期項目の取得要求を行う。このとき、マスタ認証サーバ装置１１０は、認証処理部１１４により、マスタデータベース１１２を参照して、要求されたアカウントについての認証処理を行う。認証に成功した場合には、マスタ認証サーバ装置１１０は、項目値提供部１１６により、マスタデータベース１１２から当該アカウントのエントリを読み出し、要求された都度同期項目の項目値を中間層認証サーバ装置１２０に返却する。

ステップＳ１０３では、中間層認証サーバ装置１２０は、都度同期項目値取得部１３８により、マスタ認証サーバ装置１１０から認証結果および都度同期項目の項目値を取得する。認証結果は、認証に成功した結果または認証に失敗した結果を含む。

ステップＳ１０４では、中間層認証サーバ装置１２０は、認証が成功したか否かに応じて処理を分岐させる。ステップＳ１０４で、認証結果から認証が成功したと判定された場合（ＹＥＳ）は、ステップＳ１０５へ処理が分岐される。ステップＳ１０５では、中間層認証サーバ装置１２０は、都度同期項目値更新部１４０により、マスタ認証サーバ装置１１０から取得した項目値で、ローカル・データベース１２２の当該アカウントのエントリを更新する。

例えば、図７（Ａ）に示すエントリがマスタデータベース１１２に保持されており、一方で中間層認証サーバ装置１２０のローカル・データベース１２２に当初「ＵＳＥＲ０１」に対するアカウント情報が存在しなかった場合、図７（Ｂ）に示すエントリがローカル・データベース１２２に登録される。ここでは、図４（Ｂ）に示す項目が都度同期項目として設定される場合を例示している。図７（Ｂ）に示すように、この段階では、エントリのユーザ名および表示名以外の項目値が空の状態となっている。

ステップＳ１０６では、中間層認証サーバ装置１２０は、セット取得部１４２により、ローカル・データベース１２２から、少なくともクライアント１５０〜１５４に返却することが求められる項目値のセットを読み出す。ここでは、エントリの全項目値のセットが返却されるものとして説明する。ステップＳ１０７では、中間層認証サーバ装置１２０は、返却部１４４により、クライアント１５０〜１５４に対し、認証要求および項目値取得要求に対する応答として、認証が成功した旨の認証結果および項目値セットを返却し、ステップＳ１０１へ処理をループさせ、次の認証要求を待ち受ける。

上記図７（Ａ）および（Ｂ）の例によれば、項目値セットは、ユーザ名および表示名の項目値を含み、メールアドレスやファクシミリ番号など都度同期項目以外の項目値については空（ＮＵＬＬ）のまま、クライアント１５０〜１５４に返却されることになる。

一方、ステップＳ１０４で、認証が失敗したと判定された場合（ＮＯ）は、ステップＳ１０８へ処理が分岐される。ステップＳ１０８では、中間層認証サーバ装置１２０は、返却部１４４により、クライアント１５０〜１５４に対し、認証が失敗した旨の認証結果を返却する。この場合、項目値セットは返却されない。

図６は、本実施形態の中間層認証サーバ装置１２０が実行する、スケジュールに従ったデータ同期処理を示すフローチャートである。図６に示す処理は、中間層認証サーバ装置１２０が起動し、タスクスケジューラ１２４が起動したことに応答して、ステップＳ２００から開始される。

ステップＳ２０１では、中間層認証サーバ装置１２０は、タスクスケジューラ１２４により、スケジュールとして規定したタイミングが到来したか否かを判定する。ステップＳ２０１で、未だタイミングが到来していないと判定された場合（ＮＯ）には、ステップＳ２０１をループして、タイミングの到来を待ち受ける。一方、ステップＳ２０１で、所与のタイミングが到来したと判定された場合（ＹＥＳ）は、ステップＳ２０２へ処理が進められる。

ステップＳ２０２では、中間層認証サーバ装置１２０は、予定同期項目値取得部１２８により、マスタ認証サーバ装置１１０に対し、すべてのアカウントについての予定同期項目の取得要求を行う。ステップＳ２０３では、中間層認証サーバ装置１２０は、予定同期項目値取得部１２８により、マスタ認証サーバ装置１１０から予定同期項目の項目値を取得する。ステップＳ２０４では、中間層認証サーバ装置１２０は、予定同期項目値更新部１４０により、マスタ認証サーバ装置１１０から取得した項目値で、ローカル・データベース１２２の当該アカウントのエントリを更新し、ステップＳ２０１へ処理をループさせ、次のタイミングの到来を待ち受ける。

上述した予定に従ったデータ同期により、都度同期項目および予定同期項目を含む項目値がデータ同期されることになる。図６に示すデータ同期処理が行われた以降に認証要求が行われた場合は、上記図７（Ａ）および（Ｂ）の例によれば、図７（Ｃ）に示す全ての項目値の値を含む項目値セットが、クライアント１５０〜１５４に返却されることになる。

以下、図８および図９を参照しながら、都度同期項目値および予定同期項目値を設定する機能について説明する。本実施形態においては、都度同期項目値および予定同期項目値は、中間層認証サーバ装置１２０のローカルのコンソールから、または管理端末１６０からリモートで予め設定することができるように構成されている。

図８は、本実施形態による都度同期項目値および予定同期項目値の設定機能に関連する機能ブロック図である。図８に示すように、中間層認証サーバ装置１２０は、さらに、同期実行部１２６および認証実行部１３２が参照する同期項目設定データ１４６と、該同期項目設定データ１４６を編集するための管理ツール１４８とを備える。

同期項目設定データ１４６は、都度同期項目および予定同期項目を規定するデータである。管理ツール１４８は、ディスプレイ装置３２および入出力装置２６を使用して中間層認証サーバ装置１２０のローカルから、または外部の管理端末１６０からのリモート接続により、同期項目設定データ１４６を編集するためグラフィカル・ユーザ・インタフェース（ＧＵＩ）を提供する機能部である。管理ツール１４８は、特定の実施形態では、管理画面をウェブページとして公開するウェブサーバとして構成することができる。

図９は、本実施形態による同期項目設定データ１４６を設定するための管理画面を例示する図である。図９に示す管理画面３００は、予定同期項目を設定するための領域３１０と、都度同期項目を設定するための領域３２０と、設定を反映させるためのボタン３３０と、設定内容をキャンセルするためのボタン３４０とを含む。

領域３１０，３２０には、各アカウント情報における各項目を予定同期項目値または都度同期項目値として設定するための選択ボタン３１２ａ〜３１２ｆおよび選択ボタン３２２ａ〜３２２ｆとを備える。図９中において、反転表示されたボタンは、予定同期項目値または都度同期項目値として現在選択されていることを示す。図９に示す管理画面において、予定同期項目および都度同期項目が選択された状態で、ボタン３３０がクリックされると、その設定内容が同期項目設定データ１４６に反映される。

以上説明したように、実施形態では、中間層認証サーバ装置が外部のマスタ認証サーバ装置とデータ同期をする際に、アカウント情報を複数のレベルに区分して、各レベルに対応して複数のデータ同期機構が準備される。上記構成により、一のレベルの情報はクライアントからのサービス要求に応答して都度同期する一方で、他のレベルの情報は予定に従って同期することができる。例えばクライアントからの認証処理において必要性の低いデータは、スケジュールに従ってデータ同期する一方で、クライアントからの認証処理において必要性の高いデータは、認証要求毎にデータ同期を行うよう構成することができる。

上述したようにデータの重要度に応じた頻度およびタイミングでデータ同期を行うことができるため、余分なネットワーク・トラフィックの発生を回避し、同期処理の処理コストも削減し、かつ、マスタデータとレプリカデータの整合性を充分なレベルで維持することができる。ひいては、同期されるデータの品質および効率を両立させることが可能となる。

以上説明したように、本実施形態によれば、外部の認証装置と連携して情報処理装置を認証する認証装置と、該外部の認証装置とのデータ同期に関して、要求される同期間隔が異なる複数のレベルの情報を、適切な同期機構を利用して、適時にデータ同期することにより、高効率、かつ、高品質なデータ同期が実現可能な認証装置、プログラムおよび記録媒体を提供することができる。

なお、上記機能部は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）、などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して、あるいは電気通信回線を通じて頒布することができる。

これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１２…ＭＰＵ、１４…不揮発性メモリ、１６…メモリ、１８…記憶制御用インタフェース、２０…ハードディスク、２２…内部バス、２４…インタフェース、２６…入出力装置、２８…ＶＲＡＭ、３０…グラフィック・チップ、３２…ディスプレイ装置、３４…ネットワークＩ／Ｆ、１００…認証システム、１０２…ネットワーク、１１０…マスタ認証サーバ装置、１１２…マスタデータベース、１１４…認証処理部、１１６…項目値提供部、１２０…中間層認証サーバ装置、１２２…ローカル・データベース、１２４…タスクスケジューラ、１２６…同期実行部、１２８…項目値取得部、１３０…項目値更新部、１３２…認証実行部、１３４…受付部、１３６…認証要求部、１３８…項目値取得部、１４０…項目値更新部、１４２…セット取得部、１４４…返却部、１４６…同期項目設定データ、１４８…管理ツール、１５０〜１５４…クライアント、１６０…管理端末、３００…管理画面、３１０，３２０…領域、３１２，３２２…選択ボタン、３３０，３４０…ボタン

特開２０１１−４８５４９号公報 特開２００３−２９６１７２号公報

Claims (8)

1. 外部の認証装置と連携して情報処理装置を認証する認証装置であって、
   前記情報処理装置からの認証および項目値取得の要求に応答して、求められたアカウントに対する認証を行う認証手段と、
   前記認証が行われることに応答して、前記外部の認証装置に対し要求し、前記求められたアカウントのエントリを構成する複数の項目のうちの予定に従って同期する予定同期項目群とは異なった都度同期する都度同期項目群のひとつとして設定された項目名に対応する項目値を取得する都度項目値取得手段と、
   前記都度項目値取得手段により取得された項目値で、ローカル・データベース内の項目値を更新する都度項目値更新手段と、
   前記都度項目値更新手段によって更新された項目値を含む項目値セットを取得する項目値セット取得手段と、
   前記認証手段より得られた認証結果と前記項目値セット取得手段により得られた前記項目値セットとを前記情報処理装置に返却する返却手段と
   を含み、前記予定同期項目群は、それぞれ優先度が設定された１以上の項目を含み、前記予定同期項目群の項目各々についての同期処理の実行は、項目各々に設定された前記優先度に応じた更新期間が設定されて行われることを特徴とする、認証装置。
2. 前記優先度に応じた同期実行の予定に従って、前記外部の認証装置から、少なくとも追加、変更または削除されたアカウントのエントリに関し、前記予定同期項目群のひとつとして設定された項目名に対応する項目値を取得する予定項目値取得手段と、
   前記予定項目値取得手段により取得した項目値で前記ローカル・データベースの項目値を更新する予定項目値更新手段と
   をさらに含み、前記項目値セット取得手段により取得される前記項目値セットは、前記予定項目値更新手段によって更新された項目値をさらに含むことを特徴とする、請求項１に記載の認証装置。
3. 前記認証装置は、前記都度同期項目群と、前記予定同期項目群とを設定するための管理インタフェースを提供する管理ツール手段をさらに備えることを特徴とする、請求項２に記載の認証装置。
4. 前記都度項目値取得手段は、前記都度同期項目群のひとつとして設定された項目名に対応する項目値が更新された日時を用いて、外部の認証装置が備えるマスタデータベースと前記ローカル・データベースとの間の差分を同期対象とする、請求項１〜３のいずれか１項に記載の認証装置。
5. 前記外部の認証装置は、マスタ認証サーバであり、当該認証装置は、中間層の認証サーバである、請求項１〜４のいずれか１項に記載の認証装置。
6. 外部の認証装置と連携して情報処理装置を認証する認証装置をコンピュータ上に実現するためのコンピュータ実行可能なプログラムであって、前記プログラムは、前記コンピュータを、
   前記情報処理装置からの認証および項目値取得の要求に応答して、求められたアカウントに対する認証を行う認証手段、
   前記認証が行われることに応答して、前記外部の認証装置に対し要求し、前記アカウントのエントリを構成する複数の項目のうちの予定に従って同期する予定同期項目群とは異なった都度同期する都度同期項目群のひとつとして設定された項目名に対応する項目値を取得する都度項目値取得手段、
   前記都度項目値取得手段により取得された項目値で、ローカル・データベース内の項目値を更新する都度項目値更新手段、
   前記都度項目値更新手段によって更新された項目値を含む項目値セットを取得する項目値セット取得手段、および
   前記認証手段より得られた認証結果と前記項目値セット取得手段により得られた前記項目値セットとを前記情報処理装置に返却する返却手段
   として機能させるためのプログラムであり、前記予定同期項目群は、それぞれ優先度が設定された１以上の項目を含み、前記予定同期項目群の項目各々についての同期処理の実行は、項目各々に設定された前記優先度に応じた更新期間が設定されて行われることを特徴とする、プログラム。
7. 前記コンピュータを、さらに
   前記優先度に応じた同期実行の予定に従って、前記外部の認証装置から、少なくとも追加、変更または削除されたアカウントのエントリに関し、前記予定同期項目群のひとつとして設定された項目名に対応する項目値を取得する予定項目値取得手段、
   前記予定項目値取得手段により取得した項目値で前記ローカル・データベースの項目値を更新する予定項目値更新手段
   として機能させるためのプログラムであって、前記項目値セット取得手段により取得される前記項目値セットは、前記予定項目値更新手段によって更新された項目値をさらに含むことを特徴とする、請求項６に記載のプログラム。
8. 請求項６または請求項７に記載のコンピュータ実行可能なプログラムをコンピュータ可読に格納する記録媒体。