JP7680988B2 - Single sign-on authentication system and single sign-on authentication device - Google Patents
Single sign-on authentication system and single sign-on authentication device Download PDFInfo
- Publication number
- JP7680988B2 JP7680988B2 JP2022111692A JP2022111692A JP7680988B2 JP 7680988 B2 JP7680988 B2 JP 7680988B2 JP 2022111692 A JP2022111692 A JP 2022111692A JP 2022111692 A JP2022111692 A JP 2022111692A JP 7680988 B2 JP7680988 B2 JP 7680988B2
- Authority
- JP
- Japan
- Prior art keywords
- authentication
- user
- registered
- mac address
- server
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Landscapes
- Small-Scale Networks (AREA)
Description
本発明は、シングルサインオン（ＳＳＯ：Single Sign On）認証システムおよびＳＳＯ認証装置に関する。 The present invention relates to a single sign-on (SSO) authentication system and an SSO authentication device.
特許文献１には、ＳＡＭＬ（Security Assertion Markup Language）を用いたＳＳＯ後に、ＳＳＯ前の情報に応じたサービスを、サービス利用者へ提供することが可能な認証システムが示される。具体的には、ＳＰ（Service Provider）サーバは、ユーザ端末からＳＳＯのアクセスを受けた場合、ユーザ端末のＳＳＯ前の通信セッション情報をＳＳＯ前情報として情報保持部に保存し、ユーザ端末をＩｄＰ（Identify Provider）サーバへリダイレクトさせる。ＩｄＰサーバは、ユーザ端末から入力された認証情報を用いて、ＳＳＯ認証ＤＢを参照してＳＳＯ認証を行い、ＳＳＯ認証の成功の場合、ユーザ端末をＳＰサーバへリダイレクトさせる。ＳＰサーバは、ＳＳＯ認証の成功後、ＳＳＯ前情報を情報保持部から取得し、ＳＳＯ前情報の内容に応じたサービスをユーザ端末へ提供する。
例えば、特許文献１に記載されるＳＡＭＬを用いる方式を代表に、１回の認証手続きで複数のＷｅｂサービスやアプリケーション等へのログインを可能にするＳＳＯ認証システムが知られている。認証手続きに際し、ユーザは、通常、ユーザ識別子およびパスワードを入力する必要がある。一方、ユーザ識別子およびパスワードの入力を省略する方式として、証明書認証や生体認証が存在する。しかしながら、証明書認証を用いる場合、被認証装置に予め証明書をインストールする作業が必要となり得る。また、生体認証を用いる場合、生体認証に対応した装置を別途設ける必要がある。
For example, SSO authentication systems, such as the method using SAML described in
本発明は、このようなことに鑑みてなされたものであり、その目的の一つは、ユーザの作業負荷を軽減することが可能なＳＳＯ認証システムおよびＳＳＯ認証装置を提供することにある。 The present invention has been made in light of the above, and one of its objectives is to provide an SSO authentication system and an SSO authentication device that can reduce the user's workload.
本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。 The above and other objects and novel features of the present invention will become apparent from the description of this specification and the accompanying drawings.
本願において開示される発明のうち、代表的な実施の形態の概要を簡単に説明すれば、次のとおりである。 A brief overview of a representative embodiment of the invention disclosed in this application is as follows:
一実施の形態によるＳＳＯ認証システムは、ユーザ端末にＩＰアドレスを割り当てるＤＨＣＰサーバと、ネットワークを介してユーザ端末およびＤＨＣＰサーバに接続され、ユーザ端末からの認証要求に応じてＳＳＯの認証許否を判定するＳＳＯ認証サーバと、を備える。ＤＨＣＰサーバは、ユーザ端末にＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、ユーザ端末のＭＡＣアドレスとの対応関係を記憶する。ＳＳＯ認証サーバは、ＳＳＯの認証を許可するＭＡＣアドレスが予め登録される認証テーブルを保持する。そして、ＳＳＯ認証サーバは、ユーザ端末から認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバから取得し、取得したＭＡＣアドレスの認証テーブルへの登録有無に基づいて、ＳＳＯの認証許否を判定する。 An SSO authentication system according to one embodiment includes a DHCP server that assigns an IP address to a user terminal, and an SSO authentication server that is connected to the user terminal and the DHCP server via a network and determines whether or not to permit SSO authentication in response to an authentication request from the user terminal. When the DHCP server assigns an IP address to the user terminal, it stores the correspondence between the assigned IP address and the MAC address of the user terminal. The SSO authentication server holds an authentication table in which MAC addresses that permit SSO authentication are registered in advance. Then, when the SSO authentication server receives a packet including an authentication request from the user terminal, it acquires from the DHCP server the MAC address that corresponds to the source IP address of the received packet, and determines whether or not to permit SSO authentication based on whether or not the acquired MAC address is registered in the authentication table.
本願において開示される発明のうち、代表的な実施の形態によって得られる効果を簡単に説明すると、ユーザの作業負荷を軽減することが可能になる。 To briefly explain the effect of a representative embodiment of the invention disclosed in this application, it is possible to reduce the workload of the user.
以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。 The following describes in detail an embodiment of the present invention with reference to the drawings. In all drawings used to explain the embodiment, the same components are generally designated by the same reference numerals, and repeated explanations will be omitted.
（実施の形態１）
＜ＳＳＯ認証システムの概略＞
図１は、実施の形態１によるＳＳＯ認証システムの構成例を示す概略図である。ここでは、ＳＳＯ認証システムとして、ＳＡＭＬ方式を用いる場合を例とする。図１に示すＳＳＯ認証システムは、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１１と、ＳＳＯ認証サーバ１２と、ディレクトリサーバ１３と、サービスプロバイダＳＰａ，ＳＰｂと、ユーザ端末ＴＭ１０，ＴＭ２０とを備える。これらの装置は、互いにネットワーク１０を介して接続される。
(Embodiment 1)
<Outline of SSO authentication system>
Fig. 1 is a schematic diagram showing a configuration example of an SSO authentication system according to a first embodiment. Here, a case where the SAML method is used as the SSO authentication system is taken as an example. The SSO authentication system shown in Fig. 1 includes a DHCP (Dynamic Host Configuration Protocol)
サービスプロバイダＳＰａ，ＳＰｂは、Ｗｅｂサービスやアプリケーション等を提供するサーバである。明細書では、複数のサービスプロバイダＳＰａ，ＳＰｂを総称して、サービスプロバイダＳＰと呼ぶ。また、ユーザ端末ＴＭ１０，ＴＭ２０を総称してユーザ端末ＴＭと呼ぶ。 Service providers SPa and SPb are servers that provide web services, applications, and the like. In this specification, multiple service providers SPa and SPb are collectively referred to as service provider SP. Also, user terminals TM10 and TM20 are collectively referred to as user terminals TM.
ネットワーク１０は、ＯＳＩ参照モデルのレイヤ２（Ｌ２）の処理を担う図示しないＬ２スイッチや、レイヤ３（Ｌ３）の処理を担うルータ１５を備える。この例では、少なくとも、ＳＳＯ認証サーバ１２は、ルータ１５を介して、ユーザ端末ＴＭ１０，ＴＭ２０を含む各装置に接続される。ルータ１５は、Ｌ３スイッチであってもよく、明細書では、ルータ１５とＬ３スイッチを特に区別しない。
The
ＤＨＣＰサーバ１１は、ユーザ端末ＴＭにＩＰアドレスを割り当てる。ＤＨＣＰサーバ１１は、ＩＰ管理テーブル２２を保持する記憶部２１を備える。記憶部２１および後述する記憶部２３，２５は、例えば、ＲＡＭおよび不揮発性メモリの組み合わせで構成される。ＩＰ管理テーブル２２には、ＩＰアドレスとＭＡＣアドレスとの対応関係がＩＰアドレス割り当て情報として登録される。ＤＨＣＰサーバ１１は、ユーザ端末ＴＭにＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、ユーザ端末ＴＭのＭＡＣアドレスとの対応関係を記憶する。
The DHCP
この例では、ＤＨＣＰサーバ１１は、端末ＴＭ１０からのＩＰアドレスの割り当て要求に応じてＩＰアドレスＩＰＡ１０を割り当て、ＩＰ管理テーブル２２に、ＩＰアドレスＩＰＡ１０と、端末ＴＭ１０のＭＡＣアドレスＭＡ１０との対応関係を登録する。また、ＤＨＣＰサーバ１１は、端末ＴＭ２０からのＩＰアドレスの割り当て要求に応じてＩＰアドレスＩＰＡ２０を割り当て、ＩＰ管理テーブル２２に、ＩＰアドレスＩＰＡ２０と、端末ＴＭ２０のＭＡＣアドレスＭＡ２０との対応関係を登録する。
In this example, DHCP
ＳＳＯ認証サーバ（ＳＳＯ認証装置）１２は、ユーザ端末ＴＭからの認証要求に応じてＳＳＯの認証許否を判定する。ＳＳＯ認証サーバ１２は、ＳＡＭＬ方式ではＩｄｐと呼ばれる。ＳＳＯ認証サーバ１２は、認証テーブル２４を保持する記憶部２３を備える。認証テーブル２４には、ＳＳＯの認証を許可するＭＡＣアドレスが許可ＭＡＣアドレス情報として予め登録される。また、認証テーブル２４には、ＭＡＣアドレスに加えて、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤが予め登録されてもよい。この例では、認証テーブル２４には、端末ＴＭ１０のＭＡＣアドレスＭＡ１０と、端末ＴＭ１０を使用するユーザ１４ａのユーザ識別子ＵＩＤ１０との対応関係が登録される。
The SSO authentication server (SSO authentication device) 12 determines whether or not to permit SSO authentication in response to an authentication request from a user terminal TM. The
ディレクトリサーバ１３は、例えば、ネットワーク１０に接続される各種リソースを管理するＬＤＡＰ（Lightweigth Directory Access Protocol）サーバ等である。ディレクトリサーバ１３は、リソース管理テーブル２６を保持する記憶部２５を備える。リソース管理テーブル２６には、ネットワーク１０に接続される各種リソースを管理するためのリソース管理情報が予め登録される。なお、ネットワーク１０を使用するためには、ネットワーク１０を使用するリソースがリソース管理テーブル２６に予め登録されている必要がある。
The
この例では、リソース管理テーブル２６には、ユーザアカウントとして、ユーザ端末ＴＭ１０，ＴＭ２０を使用するユーザ１４ａ，１４ｂのユーザ識別子ＵＩＤ１０，ＵＩＤ２０が予め登録される。また、リソース管理テーブル２６には、コンピュータアカウントとして、プリンタやサーバ等に設定されたコンピュータ識別子も登録され得る。さらに、各アカウントには、属性情報が紐づけられる。例えば、ユーザアカウントの属性情報には、ユーザの社員番号、所属、メールアドレス等の情報や、パスワードの情報や、アクセス権限の情報といった各種ユーザ情報が含まれ得る。
In this example, the user identifiers UID10 and UID20 of
このように構成において、ＳＳＯ認証サーバ１２は、概略的には、ユーザ端末ＴＭからＳＳＯの認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバ１１から取得する。そして、ＳＳＯ認証サーバ１２は、取得したＭＡＣアドレスの認証テーブル２４への登録有無に基づいて、ＳＳＯの認証許否を判定する。
In this configuration, when the
すなわち、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭのＭＡＣアドレスに基づいてＳＳＯの認証を行い、具体的には、ユーザ端末ＴＭからのＬ３のパケットを受信し、Ｌ２のＭＡＣアドレスに基づいてＳＳＯの認証を行う。これにより、ユーザは、ＳＳＯの認証に際し、ユーザ識別子ＵＩＤおよびパスワードを入力する必要はない。その結果、ユーザの作業負荷を軽減することが可能になる。なお、ＳＳＯの認証が許可されたユーザ端末ＴＭは、ＳＳＯの機能によって、その後もユーザ識別子ＵＩＤおよびパスワードを入力することなく複数のサービスプロバイダＳＰａ，ＳＰｂへアクセスできる。
That is, the
また、ＳＳＯ認証サーバ１２は、取得したＭＡＣアドレスが認証テーブル２４に登録有りの場合、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを認証テーブル２４から取得する。そして、ＳＳＯ認証サーバ１２は、取得したユーザ識別子ＵＩＤをディレクトリサーバ１３に送信することでユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定し、登録有りの場合にＳＳＯの認証を許可する。これにより、ネットワーク１０の使用を許可されているユーザであることを確認した上で、ＳＳＯの認証を許可することができる。すなわち、セキュリティを向上できる。
Furthermore, if the acquired MAC address is registered in the authentication table 24, the
＜ＳＳＯ認証システムの動作＞
図２は、図１におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図２において、まず、ユーザ端末ＴＭは、ＤＨＣＰサーバ１１との間で所定のＤＨＣＰ処理を行うことで、ＤＨＣＰサーバ１１からＩＰアドレスが割り当てられる（ステップＳ１０１）。具体的には、ＤＨＣＰサーバ１１は、ユーザ端末ＴＭから、ＤＨＣＰディスカバーを含んだＬ２のブロードキャストフレームを受信し、当該ＤＨＣＰディスカバーに応答することで、ユーザ端末ＴＭにＩＰアドレスを割り当てる。そして、ＤＨＣＰサーバ１１は、ステップＳ１０１でＩＰアドレスを割り当てた際に、ユーザ端末ＴＭからのフレームに含まれるユーザ端末ＴＭのＭＡＣアドレスと、割り当てたＩＰアドレスとの対応関係をＩＰ管理テーブル２２に登録する（ステップＳ１０２）。
<Operation of SSO authentication system>
Fig. 2 is a sequence diagram showing an example of the processing contents of the main part of the SSO authentication system in Fig. 1. In Fig. 2, first, the user terminal TM performs a predetermined DHCP process with the
その後、ユーザ端末ＴＭは、ＳＳＯ認証サーバ１２に、Ｌ３のパケットを用いてＳＳＯの認証要求を送信する（ステップＳ１０３）。これに応じて、ＳＳＯ認証サーバ１２は、当該パケットに含まれる送信元のＩＰアドレスをキーにＤＨＣＰサーバ１１のＩＰ管理テーブル２２を参照することで、当該ＩＰアドレスに対応するＭＡＣアドレスをＤＨＣＰサーバ１１から取得する（ステップＳ１０４）。続いて、ＳＳＯ認証サーバ１２は、ステップＳ１０４で取得したＭＡＣアドレスの認証テーブル２４への登録有無を判定する（ステップＳ１０５）。
Then, the user terminal TM sends an SSO authentication request to the
ステップＳ１０５にて、ＭＡＣアドレスが認証テーブル２４に登録無しの場合、ＳＳＯ認証サーバ１２は、ユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ１０６－２）。具体的には、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力画面を表示させる。一方、ステップＳ１０５にて、ＭＡＣアドレスが認証テーブル２４に登録有りの場合、ＳＳＯ認証サーバ１２は、ステップＳ１０４で取得したＭＡＣアドレスをキーに認証テーブル２４を参照する。これにより、ＳＳＯ認証サーバ１２は、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを取得する（ステップＳ１０６－１）。
If the MAC address is not registered in the authentication table 24 in step S105, the
続いて、ＳＳＯ認証サーバ１２は、ステップＳ１０６－１で取得したユーザ識別子ＵＩＤをディレクトリサーバ１３に送信することで、ユーザ識別子ＩＤのリソース管理テーブル２６への登録有無を判定する（ステップＳ１０７，Ｓ１０８）。具体的には、ＳＳＯ認証サーバ１２は、例えばＬＤＡＰを用いて、ユーザ識別子ＵＩＤをディレクトリサーバ１３に送信し、ディレクトリサーバ１３からユーザ識別子ＵＩＤの登録有無の情報を受信する。登録有りの場合、ＳＳＯ認証サーバ１２は、加えてユーザ情報、すなわち属性情報も受信する（ステップＳ１０７）。ＳＳＯ認証サーバ１２は、受信した情報に基づいて、ユーザ識別子ＩＤのリソース管理テーブル２６への登録有無を判定する（ステップＳ１０８）。
Then, the
ステップＳ１０８にて、ユーザ識別子ＩＤがリソース管理テーブル２６に登録有りの場合、ＳＳＯ認証サーバ１２は、ＳＳＯの認証を許可し、ユーザ端末ＴＭに許可応答を送信する（ステップＳ１０９－１）。一方、ステップＳ１０８にて、ユーザ識別子ＩＤがリソース管理テーブル２６に登録無しの場合、ＳＳＯ認証サーバ１２は、ＳＳＯの認証を拒否し、ユーザ端末ＴＭに拒否応答を送信する（ステップＳ１０９－２）。
If the user identifier ID is registered in the resource management table 26 in step S108, the
図２に示した処理の具体例として、図１におけるユーザ端末ＴＭ１０が、ＳＳＯ認証サーバ１２に認証要求を送信した場合を想定する（ステップＳ１０３）。この場合、ユーザ端末ＴＭ１０のＩＰアドレスＩＰＡ１０に基づいてＭＡＣアドレスＭＡ１０が取得される（ステップＳ１０４）。ＭＡＣアドレスＭＡ１０は、認証テーブル２４に登録有りであり、ＭＡＣアドレスＭＡ１０に対応するユーザ識別子ＵＩＤ１０は、リソース管理テーブル２６に登録有りである（ステップＳ１０５，Ｓ１０８）。このため、ユーザ端末ＴＭ１０には、許可応答が送信される（ステップＳ１０９－１）。 As a specific example of the process shown in FIG. 2, assume that the user terminal TM10 in FIG. 1 sends an authentication request to the SSO authentication server 12 (step S103). In this case, the MAC address MA10 is obtained based on the IP address IPA10 of the user terminal TM10 (step S104). The MAC address MA10 is registered in the authentication table 24, and the user identifier UID10 corresponding to the MAC address MA10 is registered in the resource management table 26 (steps S105, S108). Therefore, an authorization response is sent to the user terminal TM10 (step S109-1).
一方、図１におけるユーザ端末ＴＭ２０が、ＳＳＯ認証サーバ１２に認証要求を送信した場合を想定する（ステップＳ１０３）。この場合、ユーザ端末ＴＭ２０のＩＰアドレスＩＰＡ２０に基づいてＭＡＣアドレスＭＡ２０が取得される（ステップＳ１０４）。ＭＡＣアドレスＭＡ２０は、認証テーブル２４に登録無しである（ステップＳ１０５）。このため、ユーザ端末ＴＭ２０、詳細にはユーザ１４ｂには、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力が要求される（ステップＳ１０６－２）。詳細は省略するが、ユーザ１４ｂがユーザ識別子ＵＩＤおよびパスワードＰＷを入力すると、ＳＳＯ認証サーバ１２は、ディレクトリサーバ１３内のリソース管理テーブル２６と照合することで、認証許否を判定する。
On the other hand, assume that the user terminal TM20 in FIG. 1 sends an authentication request to the SSO authentication server 12 (step S103). In this case, the MAC address MA20 is obtained based on the IP address IPA20 of the user terminal TM20 (step S104). The MAC address MA20 is not registered in the authentication table 24 (step S105). For this reason, the user terminal TM20, specifically the
また、ステップＳ１０７において、ユーザ情報、すなわち属性情報には、例えば、２個のサービスプロバイダＳＰａ，ＳＰｂの中の１個のサービスプロバイダＳＰａのみにアクセスが可能といった、アクセス権限が含まれ得る。この場合、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭがサービスプロバイダＳＰａにアクセスする場合に限って、ステップＳ１０９－１において、許可応答を送信する。
In addition, in step S107, the user information, i.e., attribute information, may include access authority, such as the ability to access only one service provider SPa among two service providers SPa and SPb. In this case, the
具体例として、ＳＡＭＬでは、ユーザ端末ＴＭが、サービスプロバイダＳＰａに対してアクセスを行い、サービスプロバイダＳＰａからユーザ端末ＴＭを介してリダイレクトする形でステップＳ１０３における認証要求が生じ得る。ＳＳＯ認証サーバ１２は、ステップＳ１０７でのユーザ情報の中にサービスプロバイダＳＰａへのアクセス権限が含まれているため、ユーザ端末ＴＭに許可応答を送信する。許可応答は、サービスプロバイダＳＰａへのアクセスを許可するための認証トークン等である。一方、ＳＳＯ認証サーバ１２は、ユーザ端末ＴＭがサービスプロバイダＳＰｂに対してアクセスを行うことで生じた認証要求に対しては、ステップＳ１０７でのユーザ情報の中にサービスプロバイダＳＰｂへのアクセス権限が含まれていないため、ユーザ端末ＴＭに拒否応答を送信する。
As a specific example, in SAML, the user terminal TM accesses the service provider SPa, and an authentication request in step S103 may occur in the form of a redirect from the service provider SPa via the user terminal TM. The
なお、実施の形態によるＳＳＯ認証システムは、必ずしもＳＡＭＬ方式に限らず、例えば、リバースプロキシ方式等といった他の方式にも適用可能である。リバースプロキシ方式では、例えば、ＳＳＯ認証サーバ１２をリバースプロキシサーバとして、ユーザ端末ＴＭからサービスプロバイダＳＰａ，ＳＰｂへのアクセスが常にリバースプロキシサーバを経由して行われるように構成される。この場合、リバースプロキシサーバは、ユーザ端末ＴＭからの認証要求に応じて図２に示したような処理を行い、ステップＳ１０９－１における許可応答として認証済みクッキー等を送信すればよい。
The SSO authentication system according to the embodiment is not necessarily limited to the SAML method, but can also be applied to other methods such as the reverse proxy method. In the reverse proxy method, for example, the
＜ＳＳＯ認証サーバの詳細＞
図３は、図１におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。図３に示すＳＳＯ認証サーバ（ＳＳＯ認証装置）１２は、図１に示した認証テーブル２４を保持する記憶部２３に加えて、処理部３０と、通信部３１とを備える。処理部３０は、例えば、プロセッサが記憶部２３に保存される図示しない制御プログラムを実行すること等で実現される。ただし、処理部３０は、これに限らず、一部または全てがＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specific Integrated Circuit）等で実現されてもよい。通信部３１は、例えば、イーサネット（登録商標）のインタフェース回路等によって実現される。
<SSO authentication server details>
Fig. 3 is a block diagram showing an example of the configuration of the main part of the SSO authentication server in Fig. 1. The SSO authentication server (SSO authentication device) 12 shown in Fig. 3 includes a
処理部３０は、送信元ＩＰアドレス取得部３５と、ＭＡＣアドレス取得部３６と、ユーザ識別子取得部３７と、ユーザ情報検証部３８と、認証判定部３９とを備える。送信元ＩＰアドレス取得部３５は、ユーザ端末ＴＭ１０からの認証要求パケットＡＲＱを、通信部３１を介して受信し、当該認証要求パケットＡＲＱの送信元ＩＰアドレスＳ－ＩＰを取得する。
The
ＭＡＣアドレス取得部３６は、取得された送信元ＩＰアドレスＳ－ＩＰに対応するＭＡＣアドレスを、通信部３１を介してＤＨＣＰサーバ１１から取得する。ユーザ識別子取得部３７は、取得されたＭＡＣアドレスの認証テーブル２４への登録有無を判定する。そして、ユーザ識別子取得部３７は、ＭＡＣアドレスが認証テーブル２４に登録有りの場合、当該ＭＡＣアドレスをキーとして認証テーブル２４を参照することで、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを取得する。
The MAC
ユーザ情報検証部３８は、ユーザ識別子取得部３７で取得されたユーザ識別子ＵＩＤを、通信部３１を介してディレクトリサーバ１３に送信することで、ユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定する。また、ユーザ情報検証部３８は、ユーザ識別子ＵＩＤがリソース管理テーブル２６に登録有りの場合、当該ユーザ識別子ＵＩＤに対応するユーザ情報ＩＭｕ、すなわち属性情報をリソース管理テーブル２６から取得する。
The user
認証判定部３９は、ユーザ識別子取得部３７での判定結果、すなわちＭＡＣアドレスの認証テーブル２４への登録有無情報ＩＭｒに基づいて、ＳＳＯの認証許否を判定する。より望ましくは、認証判定部３９は、当該登録有無情報ＩＭｒに加えて、ユーザ情報検証部３８での判定結果、すなわちユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無および登録有りの際のユーザ情報ＩＭｕに基づいて、ＳＳＯの認証許否を判定する。詳細には、認証判定部３９は、ＭＡＣアドレスが認証テーブル２４に登録有り、かつ、ユーザ識別子ＵＩＤがリソース管理テーブル２６に登録有りの場合に、認証許可と判定する。この際には、認証判定部３９は、ユーザ情報ＩＭｕに含まれ得るアクセス権限を反映して、認証許否を判定してもよい。
The
＜実施の形態１の主要な効果＞
以上、実施の形態１の方式では、ＳＳＯ認証サーバ１２は、ＤＨＣＰサーバ１１と連携してユーザ端末ＴＭに割り当てられたＩＰアドレスに対応するＭＡＣアドレスを取得し、当該ＭＡＣアドレスに基づいて、ＳＳＯの認証を行う。その結果、ＳＳＯの認証に際し、ユーザ識別子ＵＩＤやパスワードＰＷの入力が不要となり、証明書の準備等も不要となるため、ユーザの作業負荷を軽減することが可能になる。また、ＳＳＯの認証に際し、生体認証デバイス等も不要となるため、コストを低減することが可能になる。
<Major Effects of First Embodiment>
As described above, in the method of the first embodiment, the
（実施の形態２）
＜ＳＳＯ認証システムの概略＞
図４は、実施の形態２によるＳＳＯ認証システムの構成例を示す概略図である。図４に示すＳＳＯ認証システムは、図１に示した構成例と比較して次の２点が異なっている。１点目の相違点として、図１におけるディレクトリサーバ１３が設けられず、その代わりに、ＳＳＯ認証サーバ１２ａが、当該ディレクトリサーバ１３内のリソース管理テーブル２６を記憶部２３に保持する。２点目の相違点として、１点目の相違点に伴いＳＳＯ認証サーバ１２ａは、図１の場合とは異なる処理を行う。
(Embodiment 2)
<Outline of SSO authentication system>
Fig. 4 is a schematic diagram showing a configuration example of an SSO authentication system according to the second embodiment. The SSO authentication system shown in Fig. 4 differs from the configuration example shown in Fig. 1 in the following two points. As a first difference, the
すなわち、ＳＳＯ認証サーバ１２ａ内の記憶部２３は、ＳＳＯの認証を許可するＭＡＣアドレスとユーザ識別子ＵＩＤとの対応関係を表す認証テーブル２４に加えて、ネットワークに接続される各種リソースを管理するためのリソース管理テーブル２６を保持する。そして、概略的には、ＳＳＯ認証サーバ１２ａは、図１の場合と同様に、ＤＨＣＰサーバ１１から取得したＭＡＣアドレスが認証テーブル２４に登録有りの場合、当該ＭＡＣアドレスに対応するユーザ識別子ＵＩＤを認証テーブル２４から取得する。ただし、ＳＳＯ認証サーバ１２ａは、図１の場合と異なり、ディレクトリサーバ１３と通信することなく、取得したユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定し、登録有りの場合に、ＳＳＯの認証を許可する。
That is, the
＜ＳＳＯ認証システムの動作＞
図５は、図４におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図５において、ステップＳ１０１からステップＳ１０６－１，Ｓ１０６－２までの処理内容に関しては、図２の場合と同様である。その後、ステップＳ１０８ａにおいて、ＳＳＯ認証サーバ（ＳＳＯ認証装置）１２ａは、図２の場合と異なり、ステップＳ１０７での処理を経ることなく、ステップＳ１０６－１で取得したユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を判定する。
<Operation of SSO authentication system>
Fig. 5 is a sequence diagram showing an example of the processing contents of the main parts of the SSO authentication system in Fig. 4. In Fig. 5, the processing contents from step S101 to steps S106-1 and S106-2 are the same as those in Fig. 2. Thereafter, in step S108a, the SSO authentication server (SSO authentication device) 12a, unlike the case in Fig. 2, determines whether the user identifier UID acquired in step S106-1 is registered in the resource management table 26 without going through the processing in step S107.
その後は、図２の場合と同様に、ＳＳＯ認証サーバ１２aは、ユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無に基づいて、ユーザ端末ＴＭに、許可応答または拒否応答を送信する（ステップＳ１０９－１，Ｓ１０９－２）。なお、図示は省略されるが、ＳＳＯ認証サーバ１２aは、ステップＳ１０８ａにてユーザ識別子ＵＩＤがリソース管理テーブル２６に登録されている場合、図２の場合と同様にして、当該ユーザ識別子ＵＩＤのユーザ情報、すなわち属性情報を適宜処理する。
2, the
＜ＳＳＯ認証サーバの詳細＞
図６は、図４におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。図６に示されるＳＳＯ認証サーバ１２ａは、図３に示した構成例と比較して次の２点が異なっている。１点目の相違点として、記憶部２３は、認証テーブル２４に加えて、リソース管理テーブル２６を保持する。２点目の相違点として、ユーザ情報検証部３８ａは、図３の場合とは異なる処理を行う。
<SSO authentication server details>
Fig. 6 is a block diagram showing a configuration example of the main part of the SSO authentication server in Fig. 4. The
すなわち、ユーザ情報検証部３８ａは、ユーザ識別子取得部３７で取得されたユーザ識別子ＵＩＤのリソース管理テーブル２６への登録有無を、ディレクトリサーバ１３との通信を経ることなく判定する。また、ユーザ情報検証部３８ａは、図３の場合と同様に、ユーザ識別子ＵＩＤがリソース管理テーブル２６に登録有りの場合、当該ユーザ識別子ＵＩＤに対応するユーザ情報ＩＭｕ、すなわち属性情報をリソース管理テーブル２６から取得する。
That is, the user
＜実施の形態２の主要な効果＞
以上、実施の形態２の方式を用いることで、実施の形態１で述べた各種効果と同様の効果が得られる。さらに、ＳＳＯ認証サーバ１２ａがリソース管理テーブル２６を備えることで、ディレクトリサーバ１３が不要となり、装置コストの低減や通信負荷の軽減等が実現可能になる。
<Major Effects of the Second Embodiment>
As described above, by using the method of the second embodiment, it is possible to obtain the same effects as those described in the first embodiment. Furthermore, by providing the
（実施の形態３）
＜ＳＳＯ認証システムの概略＞
図７は、実施の形態３によるＳＳＯ認証システムの構成例を示す概略図である。図７に示すＳＳＯ認証システムは、図４に示した構成例と比較して次の点が異なっている。すなわち、ＳＳＯ認証サーバ１２ｂ内の記憶部２３は、認証管理テーブル４５を保持する。これに伴い、ＳＳＯ認証サーバ１２ｂは、図４の場合とは異なる処理を行う。
(Embodiment 3)
<Outline of SSO authentication system>
Fig. 7 is a schematic diagram showing a configuration example of an SSO authentication system according to embodiment 3. The SSO authentication system shown in Fig. 7 is different from the configuration example shown in Fig. 4 in the following respects. That is, the
認証管理テーブル４５には、ネットワーク１０に接続される各種リソースを管理するための情報が予め登録され、当該情報の一部としてＳＳＯの認証を許可するＭＡＣアドレスが登録される。すなわち、認証管理テーブル４５は、図４に示した認証テーブル２４とリソース管理テーブル２６とを統合したようなものとなっている。ＳＳＯ認証サーバ１２ｂは、概略的には、ＤＨＣＰサーバ１１から取得したＭＡＣアドレスの認証管理テーブル４５への登録有無に基づいて、ＳＳＯの認証許否を判定する。
In the authentication management table 45, information for managing various resources connected to the
この例では、認証管理テーブル４５には、ユーザアカウントであるユーザ識別子ＵＩＤ１０に紐づけられた属性情報、すなわちユーザ情報の一つとして、ＳＳＯの認証を許可するＭＡＣアドレスＭＡ１０が登録される。この場合、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスＭＡ１０を有するユーザ端末ＴＭ１０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証を許可する。
In this example, the MAC address MA10 that allows SSO authentication is registered in the authentication management table 45 as attribute information linked to the user identifier UID10, which is a user account, i.e., as one piece of user information. In this case, when the
一方、認証管理テーブル４５において、ユーザ識別子ＵＩＤ２０の属性情報の中には、ＭＡＣアドレスは登録されない。この場合、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスＭＡ２０を有するユーザ端末ＴＭ２０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証は許可しない。その代わりに、ＳＳＯ認証サーバ１２ｂは、ユーザ１４ｂにユーザ識別子ＵＩＤおよびパスワードの入力を要求する。
On the other hand, in the authentication management table 45, the MAC address is not registered in the attribute information of the user identifier UID20. In this case, when the
＜ＳＳＯ認証システムの動作＞
図８は、図７におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図８において、ステップＳ１０１からステップＳ１０４までの処理内容に関しては、図５の場合と同様である。その後、ステップＳ１０５ａにおいて、ＳＳＯ認証サーバ（ＳＳＯ認証装置）１２ｂは、ステップＳ１０４で取得したＭＡＣアドレスの認証管理テーブル４５への登録有無を判定する。ただし、ステップＳ１０５ａでは、図５におけるステップＳ１０５の場合と異なり、ＭＡＣアドレスが認証管理テーブル４５に登録有りの際に、必然的に、ユーザ識別子ＵＩＤも認証管理テーブル４５に登録有りとなる。
<Operation of SSO authentication system>
Fig. 8 is a sequence diagram showing an example of the processing contents of the main part of the SSO authentication system in Fig. 7. In Fig. 8, the processing contents from step S101 to step S104 are the same as those in Fig. 5. After that, in step S105a, the SSO authentication server (SSO authentication device) 12b determines whether the MAC address acquired in step S104 is registered in the authentication management table 45. However, in step S105a, unlike the case of step S105 in Fig. 5, when the MAC address is registered in the authentication management table 45, the user identifier UID is also necessarily registered in the authentication management table 45.
その後、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスが認証管理テーブル４５に登録有りの場合、ユーザ端末ＴＭに、許可応答を送信する（ステップＳ１０６ａ－１）。一方、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスが認証管理テーブル４５に登録無しの場合、ユーザ端末ＴＭを使用するユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ１０６ａ－２）。なお、図示は省略されるが、ＳＳＯ認証サーバ１２ｂは、ステップＳ１０５ａにてＭＡＣアドレスが認証管理テーブル４５に登録有りの場合、図２の場合と同様にして、対応するユーザ識別子ＵＩＤのユーザ情報、すなわち属性情報を適宜処理する。
After that, if the MAC address is registered in the authentication management table 45, the
＜ＳＳＯ認証サーバの詳細＞
図９は、図７におけるＳＳＯ認証サーバの主要部の構成例を示すブロック図である。図９に示されるＳＳＯ認証サーバ１２ｂは、図６に示した構成例と比較して次の２点が異なっている。１点目の相違点として、記憶部２３は、認証管理テーブル４５を保持する。２点目の相違点として、ユーザ識別子取得部３７およびユーザ情報検証部３８ａは設けられず、図５の場合とは異なる処理を行う認証判定部４６が設けられる。
<SSO authentication server details>
Fig. 9 is a block diagram showing a configuration example of the main part of the SSO authentication server in Fig. 7. The
認証判定部４６は、ＭＡＣアドレス取得部３６で取得されたＭＡＣアドレスの認証管理テーブル４５への登録有無に基づいて、ＳＳＯの認証許否を判定する。具体的には、認証判定部４６は、取得されたＭＡＣアドレスをキーに認証管理テーブル４５を参照することで、ＭＡＣアドレスの登録有無を判定し、登録有りの場合には、対応するユーザ情報ＩＭｕ、すなわちＭＡＣアドレスを除く属性情報を取得する。そして、認証判定部４６は、ＭＡＣアドレスが認証管理テーブル４５に登録有りの場合には、ＳＳＯの認証を許可する。
The
＜実施の形態３の主要な効果＞
以上、実施の形態３の方式を用いることで、実施の形態１，２で述べた各種効果と同様の効果が得られる。さらに、１個の認証管理テーブル４５に基づいてＳＳＯの認証を管理できるため、ネットワーク管理を効率化することが可能になる。
<Major Effects of Third Embodiment>
As described above, by using the method of the third embodiment, it is possible to obtain the same effects as those described in the first and second embodiments. Furthermore, since SSO authentication can be managed based on one authentication management table 45, it is possible to improve the efficiency of network management.
（実施の形態４）
＜ＳＳＯ認証システムの概略＞
図１０は、実施の形態４によるＳＳＯ認証システムの構成例を示す概略図である。図１０に示されるＳＳＯ認証システムは、図７の場合とほぼ同様の構成を備える。ただし、図７の場合とは、ＳＳＯ認証サーバ１２ｃ内の記憶部２３が保持する認証管理テーブル４５ｃの構成が異なっている。これに伴い、図７の場合とは、ＳＳＯ認証サーバ１２ｃの処理内容も異なっている。
(Embodiment 4)
<Outline of SSO authentication system>
Fig. 10 is a schematic diagram showing a configuration example of an SSO authentication system according to the fourth embodiment. The SSO authentication system shown in Fig. 10 has a configuration almost similar to that of Fig. 7. However, the configuration of the authentication management table 45c held by the
認証管理テーブル４５ｃには、ＳＳＯの認証を許可するＭＡＣアドレス毎に、厳密には、ユーザ識別子ＵＩＤ毎に、ＳＳＯの対象とするサービスプロバイダＳＰを表すエンティティＩＤが、属性情報の一つとして予め登録されている。言い換えれば、属性情報の一つとして、アクセス権限が登録されている。図１０の例では、ＭＡＣアドレスＭＡ１０に対応するユーザ識別子ＵＩＤ１０に対して、サービスプロバイダＳＰａのみのアクセス権限が付与されている。一方、ユーザ識別子ＵＩＤ２０に対しては、サービスプロバイダＳＰａ，ＳＰｂへのアクセス権限が付与されている。 In the authentication management table 45c, for each MAC address for which SSO authentication is permitted, or more precisely, for each user identifier UID, an entity ID representing the service provider SP that is the target of SSO is preregistered as one piece of attribute information. In other words, access authority is registered as one piece of attribute information. In the example of FIG. 10, the user identifier UID10 corresponding to the MAC address MA10 is granted access authority only to the service provider SPa. On the other hand, the user identifier UID20 is granted access authority to the service providers SPa and SPb.
ＳＳＯ認証サーバ１２ｃは、ＤＨＣＰサーバ１１から取得したＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、当該ＭＡＣアドレスに対応するエンティティＩＤが表すサービスプロバイダＳＰへのＳＳＯの認証を許可する。この例では、ＳＳＯ認証サーバ１２ｃは、ＭＡＣアドレスＭＡ１０を有するユーザ端末ＴＭ１０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証を許可し、サービスプロバイダＳＰａのみへのアクセスを許可する。
If the MAC address obtained from the
一方、ＳＳＯ認証サーバ１２ｂは、ＭＡＣアドレスＭＡ２０を有するユーザ端末ＴＭ２０からの認証要求を受信した際、ＭＡＣアドレスによるＳＳＯの認証は許可せず、ユーザ１４ｂにユーザ識別子ＵＩＤおよびパスワードの入力を要求する。ＳＳＯ認証サーバ１２ｂは、ユーザ１４ｂによって正しいユーザ識別子ＵＩＤ２０およびパスワードが入力された場合、ＳＳＯの認証を許可し、サービスプロバイダＳＰａ，ＳＰｂへのアクセスを許可する。
On the other hand, when the
＜ＳＳＯ認証システムの動作＞
図１１は、図１０におけるＳＳＯ認証システムの主要部の処理内容の一例を示すシーケンス図である。図１２は、図１１とは異なる処理内容の一例を示すシーケンス図である。ＳＡＭＬによる認証方式として、サービスプロバイダＳＰへのアクセスを起点とする方式と、ＩｄｐであるＳＳＯ認証サーバ１２ｃへのアクセスを起点とする方式とが存在する。図１１は、前者の方式を表し、図１２は、後者の方式を表す。
<Operation of SSO authentication system>
Fig. 11 is a sequence diagram showing an example of the processing contents of the main part of the SSO authentication system in Fig. 10. Fig. 12 is a sequence diagram showing an example of the processing contents different from those in Fig. 11. As authentication methods using SAML, there are a method that starts from access to the service provider SP, and a method that starts from access to the
図１１において、ステップＳ１０１，Ｓ１０２の処理内容に関しては、図８の場合と同様である。その後、ステップＳ２０１において、ユーザ端末ＴＭは、図８の場合と異なり、サービスプロバイダＳＰへアクセスする。具体例として、サービスプロバイダＳＰａへのアクセスが生じた場合を想定する。サービスプロバイダＳＰａは、ユーザ端末ＴＭからのアクセスに応じて、サービスプロバイダＳＰａのエンティティＩＤを含む認証要求を、ユーザ端末ＴＭを介してＳＳＯ認証サーバ１２ｃにリダイレクトさせる（ステップＳ１０３ａ）。
In FIG. 11, the processing contents of steps S101 and S102 are the same as in FIG. 8. Then, in step S201, the user terminal TM accesses the service provider SP, unlike in FIG. 8. As a specific example, assume that access to the service provider SPa occurs. In response to access from the user terminal TM, the service provider SPa redirects an authentication request including the entity ID of the service provider SPa to the
これに伴い、ＳＳＯ認証サーバ１２ｃは、図８の場合と同様に、当該認証要求に含まれる送信元ＩＰアドレスに対応するＭＡＣアドレスを、ＤＨＣＰサーバ１１から取得する（ステップＳ１０４）。そして、ＳＳＯ認証サーバ１２ｃは、取得されたＭＡＣアドレスの認証管理テーブル４５ｃへの登録有無を判定する（ステップＳ１０５ａ）。ＭＡＣアドレスが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭを使用するユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ２０２－２）。
As a result, the
一方、ステップＳ１０５ａにて、ＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、図８の場合と異なり、ステップＳ１０３ａでの認証要求に含まれるサービスプロバイダＳＰａのエンティティＩＤの、認証管理テーブル４５ｃへの登録有無を判定する（ステップＳ２０２－１）。具体的には、ＳＳＯ認証サーバ１２ｃは、認証管理テーブル４５ｃにおいて、対象のＭＡＣアドレス、厳密には対象のユーザ識別子ＵＩＤに紐づいて、サービスプロバイダＳＰａのエンティティＩＤが登録されているか否かを判定する。
On the other hand, if the MAC address is registered in the authentication management table 45c in step S105a, the
ステップＳ２０２－１にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、許可応答を表す認証トークン等を、ユーザ端末ＴＭを介してサービスプロバイダＳＰａにリダイレクトさせる（ステップＳ２０３－１）。一方、ステップＳ２０２－１にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭに、拒否応答を送信する（ステップＳ２０３－２）。
If the entity ID of the service provider SPa is registered in the authentication management table 45c in step S202-1, the
図１２において、ステップＳ１０１からステップＳ１０５ａまでの処理内容に関しては、図８の場合と同様である。ステップＳ１０５ａにて、ＭＡＣアドレスが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭを使用するユーザに、ユーザ識別子ＵＩＤおよびパスワードＰＷの入力を要求する（ステップＳ３０１－２）。
In FIG. 12, the process from step S101 to step S105a is the same as in FIG. 8. If the MAC address is not registered in the authentication management table 45c in step S105a, the
一方、ステップＳ１０５ａにて、ＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭに、サービスプロバイダＳＰの選択肢情報を送信する（ステップＳ３０１－１）。具体的には、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭの画面上に、ＳＳＯの対象となる各サービスプロバイダＳＰａ，ＳＰｂを表すアイコン等を表示させる。
On the other hand, if the MAC address is registered in the authentication management table 45c in step S105a, the
その後、ユーザ端末ＴＭを使用するユーザは、画面上に表示されたアイコンをクリックすること等で、アクセスしたいサービスプロバイダＳＰを選択する（ステップＳ３０２）。具体例として、サービスプロバイダＳＰａが選択された場合を想定する。これに応じて、ユーザ端末ＴＭは、選択されたサービスプロバイダＳＰａのエンティティＩＤを含んだログイン要求を、ＳＳＯ認証サーバ１２ｃに送信する（ステップＳ３０３）。
Then, the user of the user terminal TM selects the service provider SP that he or she wishes to access, for example by clicking on an icon displayed on the screen (step S302). As a specific example, assume that service provider SPa is selected. In response, the user terminal TM transmits a login request including the entity ID of the selected service provider SPa to the
ＳＳＯ認証サーバ１２ｃは、ステップＳ３０３でのログイン要求を受信し、当該ログイン要求に含まれるサービスプロバイダＳＰａのエンティティＩＤの、認証管理テーブル４５ｃへの登録有無を判定する（ステップＳ３０４）。具体的には、ＳＳＯ認証サーバ１２ｃは、認証管理テーブル４５ｃにおいて、対象のＭＡＣアドレス、厳密には対象のユーザ識別子ＵＩＤに紐づいて、サービスプロバイダＳＰａのエンティティＩＤが登録されているか否かを判定する。
The
ステップＳ３０４にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録有りの場合、ＳＳＯ認証サーバ１２ｃは、許可応答を表す認証トークン等を、ユーザ端末ＴＭを介してサービスプロバイダＳＰａにリダイレクトさせる（ステップＳ３０５－１）。一方、ステップＳ３０４にて、サービスプロバイダＳＰａのエンティティＩＤが認証管理テーブル４５ｃに登録無しの場合、ＳＳＯ認証サーバ１２ｃは、ユーザ端末ＴＭに、拒否応答を送信する（ステップＳ３０５－２）。
If the entity ID of the service provider SPa is registered in the authentication management table 45c in step S304, the
＜ＳＳＯ認証サーバの詳細＞
図１０におけるＳＳＯ認証サーバ１２ｃの構成に関しては、図９の場合とほぼ同様である。ただし、実施の形態４では、記憶部２３は、図１０に示した認証管理テーブル４５ｃを保持し、また、認証判定部４６が認証管理テーブル４５ｃから取得するユーザ情報ＩＭｕの中には、サービスプロバイダＳＰのエンティティＩＤが含まれる。認証判定部４６は、ＭＡＣアドレス取得部３６で取得されたＭＡＣアドレスが認証管理テーブル４５ｃに登録有りの場合、当該ＭＡＣアドレスに対応するエンティティＩＤが表すサービスプロバイダＳＰへのＳＳＯの認証を許可する。
<SSO authentication server details>
The configuration of the
＜認証管理テーブルの変形例＞
図１３は、図１０における認証管理テーブルの図１０とは異なる構成例を示す概略図である。図１３に示す認証管理テーブル４５ｄは、図１０の場合と異なり、ユーザ識別子ＵＩＤ１０に対応して２個のＭＡＣアドレスＭＡ１０，ＭＡ１１が登録されている。さらに、ＭＡＣアドレスＭＡ１０に対応してサービスプロバイダＳＰａのエンティティＩＤが登録され、ＭＡＣアドレスＭＡ１２に対応してサービスプロバイダＳＰｂのエンティティＩＤが登録されている。
<Modification of the authentication management table>
Fig. 13 is a schematic diagram showing an example of a configuration of the authentication management table in Fig. 10 that is different from that of Fig. 10. Unlike the case of Fig. 10, the authentication management table 45d shown in Fig. 13 has two MAC addresses MA10 and MA11 registered corresponding to a user identifier UID10. Furthermore, the entity ID of the service provider SPa is registered corresponding to the MAC address MA10, and the entity ID of the service provider SPb is registered corresponding to the MAC address MA12.
この場合、ＳＳＯ認証サーバ１２ｃは、ＭＡＣアドレスＭＡ１０を有するユーザ端末ＴＭ１０からの認証要求を受信した際には、サービスプロバイダＳＰａのみへのＳＳＯの認証を許可する。また。ＳＳＯ認証サーバ１２ｃは、ＭＡＣアドレスＭＡ１１を有するユーザ端末からの認証要求を受信した際には、サービスプロバイダＳＰｂのみへのＳＳＯの認証を許可する。
In this case, when the
＜実施の形態４の主要な効果＞
以上、実施の形態４の方式を用いることで、実施の形態１～３で述べた各種効果と同様の効果が得られる。さらに、ＭＡＣアドレスに紐づけられたアクセス権限の情報、詳細には、エンティティＩＤに基づいて、サービスプロバイダＳＰへのアクセスを制限できる。その結果、自由度が高いネットワーク管理を実現することが可能になる。
<Major Effects of Fourth Embodiment>
As described above, by using the method of the fourth embodiment, it is possible to obtain the same effects as those described in the first to third embodiments. Furthermore, it is possible to restrict access to the service provider SP based on information on access authority linked to a MAC address, more specifically, on an entity ID. As a result, it is possible to realize a highly flexible network management.
以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。例えば、前述した実施の形態は、本発明を分かり易く説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。 The invention made by the inventor has been specifically described above based on the embodiments, but the present invention is not limited to the above-mentioned embodiments and can be modified in various ways without departing from the gist of the invention. For example, the above-mentioned embodiments have been described in detail to explain the invention in an easy-to-understand manner, and the invention is not necessarily limited to having all of the configurations described. It is also possible to replace part of the configuration of one embodiment with the configuration of another embodiment, and it is also possible to add the configuration of another embodiment to the configuration of one embodiment. It is also possible to add, delete, or replace part of the configuration of each embodiment with other configurations.
１０：ネットワーク、１１：ＤＨＣＰサーバ、１２，１２ａ，１２ｂ：ＳＳＯ認証サーバ（ＳＳＯ認証装置）、１３：ディレクトリサーバ、１４ａ，１４ｂ：ユーザ、１５：ルータ、２１，２３，２５：記憶部、２２：ＩＰ管理テーブル、２４：認証テーブル、２６：リソース管理テーブル、３０：処理部、３１：通信部、３５：送信元ＩＰアドレス取得部、３６：ＭＡＣアドレス取得部、３７：ユーザ識別子取得部、３８：ユーザ情報検証部、３９：認証判定部、４５，４５ｃ：認証管理テーブル、ＳＰ：サービスプロバイダ、ＴＭ：ユーザ端末 10: Network, 11: DHCP server, 12, 12a, 12b: SSO authentication server (SSO authentication device), 13: Directory server, 14a, 14b: User, 15: Router, 21, 23, 25: Storage unit, 22: IP management table, 24: Authentication table, 26: Resource management table, 30: Processing unit, 31: Communication unit, 35: Source IP address acquisition unit, 36: MAC address acquisition unit, 37: User identifier acquisition unit, 38: User information verification unit, 39: Authentication judgment unit, 45, 45c: Authentication management table, SP: Service provider, TM: User terminal
Claims (3)
ネットワークを介して前記ユーザ端末および前記ＤＨＣＰサーバに接続され、前記ユーザ端末からの認証要求に応じてシングルサインオンの認証許否を判定するシングルサインオン認証サーバと、
認証を許可するユーザ識別子が登録されるリソース管理テーブルと、
を備え、
前記ＤＨＣＰサーバは、前記ユーザ端末にＩＰアドレスを割り当てた際に、割り当てたＩＰアドレスと、前記ユーザ端末のＭＡＣアドレスとの対応関係を記憶し、
前記シングルサインオン認証サーバは、
シングルサインオンの認証を許可するＭＡＣアドレス、および当該ＭＡＣアドレスに対応するユーザ識別子が予め登録される認証テーブルを保持し、
前記ユーザ端末から前記認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスを前記ＤＨＣＰサーバから取得し、取得したＭＡＣアドレスの前記認証テーブルへの登録有無を判定し、
取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記ユーザ識別子を前記認証テーブルから取得し、取得した前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定し、前記リソース管理テーブルに登録有りの場合、前記シングルサインオンの認証を許可し、
取得したＭＡＣアドレスが前記認証テーブルに登録無しの場合、前記ユーザ端末を介してユーザに、前記ユーザ識別子およびパスワードの入力を要求し、
前記シングルサインオン認証サーバに前記ネットワークを介して接続され、前記ユーザ識別子を含めて前記ネットワークに接続される各種リソースを管理するための前記リソース管理テーブルを保持するディレクトリサーバをさらに備え、
前記シングルサインオン認証サーバは、前記ＤＨＣＰサーバから取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、前記認証テーブルから取得した前記ユーザ識別子を前記ディレクトリサーバに送信することで前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定する、
シングルサインオン認証システム。 A DHCP server that assigns IP addresses to user terminals;
a single sign-on authentication server that is connected to the user terminal and the DHCP server via a network and determines whether or not to permit single sign-on authentication in response to an authentication request from the user terminal;
a resource management table in which user identifiers permitted to be authenticated are registered;
Equipped with
When the DHCP server assigns an IP address to the user terminal, the DHCP server stores a correspondence relationship between the assigned IP address and a MAC address of the user terminal;
The single sign-on authentication server,
holding an authentication table in which MAC addresses for which single sign-on authentication is permitted and user identifiers corresponding to the MAC addresses are registered in advance;
When receiving a packet including the authentication request from the user terminal, obtain a MAC address corresponding to a source IP address of the received packet from the DHCP server, and determine whether the obtained MAC address is registered in the authentication table;
If the acquired MAC address is registered in the authentication table, the user identifier corresponding to the MAC address is acquired from the authentication table, and it is determined whether the acquired user identifier is registered in the resource management table. If the acquired user identifier is registered in the resource management table, the single sign-on authentication is permitted.
If the acquired MAC address is not registered in the authentication table, the user is requested to input the user identifier and password via the user terminal ;
a directory server connected to the single sign-on authentication server via the network and holding the resource management table for managing various resources connected to the network, including the user identifier;
when the MAC address acquired from the DHCP server is registered in the authentication table, the single sign-on authentication server transmits the user identifier acquired from the authentication table to the directory server to determine whether the user identifier is registered in the resource management table;
Single sign-on authentication system.
前記ネットワークは、前記ユーザ端末と前記ＤＨＣＰサーバとの間に接続され、ＯＳＩ参照モデルのレイヤ３の処理を担うルータを備える、
シングルサインオン認証システム。 2. The single sign-on authentication system according to claim 1 ,
The network includes a router connected between the user terminal and the DHCP server and performing layer 3 processing of the OSI reference model.
Single sign-on authentication system.
シングルサインオンの認証を許可するＭＡＣアドレス、および当該ＭＡＣアドレスに対応するユーザ識別子が予め登録される認証テーブルを保持する記憶部と、
前記ユーザ端末から前記認証要求を含むパケットを受信した際に、受信したパケットの送信元ＩＰアドレスに対応するＭＡＣアドレスを前記ＤＨＣＰサーバから取得するＭＡＣアドレス取得部と、
取得したＭＡＣアドレスが前記認証テーブルに登録有りの場合、当該ＭＡＣアドレスに対応する前記ユーザ識別子を前記認証テーブルから取得するユーザ識別子取得部と、
取得した前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定するユーザ情報検証部と、
前記ユーザ識別子が前記リソース管理テーブルに登録有りの場合、前記シングルサインオンの認証を許可し、前記ＭＡＣアドレス取得部で取得されたＭＡＣアドレスが前記認証テーブルに登録無しの場合、前記ユーザ端末を介してユーザに、前記ユーザ識別子およびパスワードの入力を要求する認証判定部と、
を備え、
前記シングルサインオン認証装置は、前記ユーザ識別子を含めて前記ネットワークに接続される各種リソースを管理するための前記リソース管理テーブルを保持するディレクトリサーバに、前記ネットワークを介して接続され、
前記ユーザ情報検証部は、前記ユーザ識別子取得部で取得された前記ユーザ識別子を前記ディレクトリサーバに送信することで前記ユーザ識別子の前記リソース管理テーブルへの登録有無を判定する、
シングルサインオン認証装置。 A single sign-on authentication device that is connected to the user terminal and the DHCP server via a network and determines whether or not to permit single sign-on authentication in response to an authentication request from the user terminal, on the premise that a DHCP server stores a correspondence relationship between the assigned IP address and a MAC address of the user terminal when the DHCP server assigns an IP address to the user terminal, and further on the premise that a resource management table is provided in which user identifiers for which authentication is permitted are registered, comprising:
a storage unit that holds an authentication table in which MAC addresses that are permitted to be authenticated for single sign-on and user identifiers corresponding to the MAC addresses are registered in advance;
a MAC address acquisition unit that, when receiving a packet including the authentication request from the user terminal, acquires a MAC address corresponding to a source IP address of the received packet from the DHCP server;
a user identifier acquiring unit that acquires the user identifier corresponding to the MAC address from the authentication table when the acquired MAC address is registered in the authentication table;
a user information verification unit that determines whether the acquired user identifier is registered in the resource management table;
an authentication determination unit that permits authentication of the single sign-on when the user identifier is registered in the resource management table, and requests a user to input the user identifier and a password via the user terminal when the MAC address acquired by the MAC address acquisition unit is not registered in the authentication table;
Equipped with
the single sign-on authentication device is connected via the network to a directory server that holds the resource management table for managing various resources connected to the network, including the user identifier;
the user information verification unit transmits the user identifier acquired by the user identifier acquisition unit to the directory server to determine whether the user identifier is registered in the resource management table;
Single sign-on authentication device.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2022111692A JP7680988B2 (en) | 2022-07-12 | 2022-07-12 | Single sign-on authentication system and single sign-on authentication device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2022111692A JP7680988B2 (en) | 2022-07-12 | 2022-07-12 | Single sign-on authentication system and single sign-on authentication device |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2024010384A JP2024010384A (en) | 2024-01-24 |
| JP7680988B2 true JP7680988B2 (en) | 2025-05-21 |
Family
ID=89620993
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2022111692A Active JP7680988B2 (en) | 2022-07-12 | 2022-07-12 | Single sign-on authentication system and single sign-on authentication device |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP7680988B2 (en) |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008287524A (en) | 2007-05-17 | 2008-11-27 | Canon Inc | Authentication method, authentication apparatus, and program |
| JP2016110300A (en) | 2014-12-03 | 2016-06-20 | 日立電線ネットワークス株式会社 | Authentication system |
| JP2021165977A (en) | 2020-04-08 | 2021-10-14 | エイチ・シー・ネットワークス株式会社 | Server device and network system |
| JP2022087192A (en) | 2018-08-31 | 2022-06-09 | ベーステクノロジー株式会社 | Authentication system and its method, and its program |
-
2022
- 2022-07-12 JP JP2022111692A patent/JP7680988B2/en active Active
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2008287524A (en) | 2007-05-17 | 2008-11-27 | Canon Inc | Authentication method, authentication apparatus, and program |
| JP2016110300A (en) | 2014-12-03 | 2016-06-20 | 日立電線ネットワークス株式会社 | Authentication system |
| JP2022087192A (en) | 2018-08-31 | 2022-06-09 | ベーステクノロジー株式会社 | Authentication system and its method, and its program |
| JP2021165977A (en) | 2020-04-08 | 2021-10-14 | エイチ・シー・ネットワークス株式会社 | Server device and network system |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2024010384A (en) | 2024-01-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8838986B2 (en) | Invocation of third party's service | |
| JP5357246B2 (en) | System, method and program product for integrated authentication | |
| US20030226036A1 (en) | Method and apparatus for single sign-on authentication | |
| US6807577B1 (en) | System and method for network log-on by associating legacy profiles with user certificates | |
| US7117359B2 (en) | Default credential provisioning | |
| US6892307B1 (en) | Single sign-on framework with trust-level mapping to authentication requirements | |
| TWI400922B (en) | Authentication of a principal in a federation | |
| RU2337399C2 (en) | Stable authorisation context based on external identification | |
| US7860883B2 (en) | Method and system for distributed retrieval of data objects within multi-protocol profiles in federated environments | |
| JP6057666B2 (en) | Image forming apparatus, information processing method, and program | |
| US8347403B2 (en) | Single point authentication for web service policy definition | |
| US10432604B2 (en) | System and method for pool-based identity authentication for service access without use of stored credentials | |
| US20060230438A1 (en) | Single sign-on to remote server sessions using the credentials of the local client | |
| US6785729B1 (en) | System and method for authorizing a network user as entitled to access a computing node wherein authenticated certificate received from the user is mapped into the user identification and the user is presented with the opprtunity to logon to the computing node only after the verification is successful | |
| JP2005516533A (en) | Single sign-on on the Internet using public key cryptography | |
| WO2011089712A1 (en) | Authentication method, authentication system, and authentication program | |
| WO2007115209A2 (en) | Identity and access management framework | |
| JP2004536359A (en) | System and method for authenticating a user to a web server | |
| CN101316219A (en) | Virtual network connection device, system and method for controlling virtual network connection | |
| CN101971184A (en) | Client/server system for communicating according to the standard protocol opc ua and having single sign-on mechanisms for authenticating, and method for performing single sign-on in such a system | |
| JP7680988B2 (en) | Single sign-on authentication system and single sign-on authentication device | |
| JP2018180692A (en) | Authentication authorization system, authentication authorization server, authentication method and program | |
| JP2004302869A (en) | Access management server, network device, network system and access management method | |
| US20250343800A1 (en) | Method and system for authenticating a user on an idaas server to access an application | |
| WO2005050422A1 (en) | Apparatus for providing a service in an identity federation framework |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20240403 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20241108 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20241119 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20250107 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20250212 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20250324 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20250430 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20250509 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7680988 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |