JP2004185396A

Movatterモバイル変換

Info

Publication number: JP2004185396A
Application number: JP2002352511A
Authority: JP
Inventors: Yoichiro Matsuno; 陽一郎松野; Kaoru Maeda; 薫前田; Katsumi Kanezaki; 克己金崎
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2002-12-04
Filing date: 2002-12-04
Publication date: 2004-07-02
Anticipated expiration: 2022-12-04
Also published as: JP4108461B2

Abstract

Description

Translated fromJapanese

【０００１】
【発明の属する技術分野】
本発明は，認証システムに関し、詳細には、既存の認証サービスを利用しているアプリケーションが、効率的にＷｅｂサービス上の認証サービスを利用可能とした認証システムに関する。
【０００２】
【従来の技術】
例えば、オフィス内の文書管理システムのように、業務上使用されるアプリケーションの中には、ユーザのアクセスに対して管理を行う必要があるものが多い。複数のアプリケーションがある場合は、オフィス内のメンバーの移動やアクセス権限の変化などが比較的頻繁に発生し、システム管理者の手間を増大させるため、各アプリケーション内にユーザの管理情報を持たせることは難しい。
【０００３】
そのため、現在では、ディレクトリサービスなどのユーザ管理情報の提供と認証を行うサービスを利用することが多くなっている。代表的なものとして、ＭｉｃｒｏｓｏｆｔのａｃｔｉｖｅｄｉｒｅｃｔｏｒｙやＬＤＡＰなどが挙げられる。図６は、従来の認証方法を説明するための図である。同図において、１はクライアント、２はサーバアプリケーション（サービスサーバ）、３は従来の認証サービス（認証サーバ）を示している。
【０００４】
図６において、ユーザは、オフィス内のシステムにアクセスする際に、クライアント１からユーザ名やパスワードなどのクレデンシャル情報を入力して（１）、サーバアプリケーション２に送信する。サーバアプリケーション２は、このクレデンシャル情報の解析を認証サービス３に委託し（２）、認証サービス３は、登録されているユーザと同一であることを認証して、認証ユーザー情報をサーバアプリケーション２に通知する（３）。そして、サーバアプリケーション２は、クライアント１のユーザを認証する（４）。
【０００５】
このように、ユーザが認証されることで、ユーザはそのアプリケーションを利用することができる。しかしながら、これらの認証サービス３は、主にＬＡＮやＷＡＮなどの限られた範囲内で用いられており、ファイアーウォールなどを越えることはできないのが一般的であった。
【０００６】
また、Ｗｉｎｄｏｗｓ（Ｒ）やＵＮＩＸ（Ｒ）などのプラットフォームの異なるシステムの場合には、通常、異なる認証サービスが用いられており、ユーザ管理を統合する際には認証サービス同士の連携を取る必要があるため、エキスパートでなければ導入・運用ができないのが現状である。
【０００７】
最近、ｗｅｂベースでネットワークシステムが連携できるようになりつつある。これは、プラットフォーム依存性が少なく、既存のバックボーンを利用することが可能であることが大きい。特に、ＷｅｂサービスなどＨＴＴＰやＳＭＴＰを用いた通信形態ではファイアーウォールを越えることも可能である。そこで、認証サービスやディレクトリサービス等もＷｅｂサービスで実現しようという動きが起こっている。Ｗｅｂサービス上の認証サービスでは、多くの場合、シングルサインオン環境を実現している。
【０００８】
図７は、Ｗｅｂサービスにおける認証方法を説明するための説明図である（例えば、特許文献１参照）。同図において、４はＷｅｂサービスクライアント（Ｗｅｂブラウザ）、５はＷｅｂサービスアプリケーション（Ｗｅｂサービスサーバ）、６はＷｅｂサービス認証サービス（Ｗｅｂサービス認証サーバ）を示している。
【０００９】
Ｗｅｂサービスクライアント４が、Ｗｅｂサービス認証サービス６に対して、ユーザ名、パスワードなどのクレデンシャル情報を与えると（１）、Ｗｅｂサービス認証サービス６は、認証を行ったという証明書（文字列の認証チケット）をユーザに発行する（２）。この認証チケットは、Ｗｅｂサービス認証サービスと連携したサービス群のみが、内容を理解することができ、ユーザが誰であるか、どのグループに属しているかなどの情報を得ることができる。そして、Ｗｅｂサービスクライアント４が、Ｗｅｂサービスアプリケーション２に認証チケットを提示すると（３）、Ｗｅｂサービスアプリケーション２は、Ｗｅｂサービスクライアント４を認証する（４）。
【００１０】
このように、ユーザは、ローカルに認証チケットを持つことで、対応アプリケーションサービス群にアクセスする際に認証チケットを提示することができる。すなわち、従来のように何回もパスワードを入力することなく、対応サービスを利用することが可能となる。
【００１１】
これによれば、ベンダーが新たなアプリケーションを開発する際に、Ｗｅｂサービスとして実装し、Ｗｅｂサービス認証サービスから送られる認証チケットを理解できれば、プラットフォームに依存しないシングルサインオン環境に則したシステムを提供することが可能である。
【００１２】
ここで、全てのシステムを直ちに新しいものに置き換えることはできないため、既存のシステムとの連携を考える必要がある。既存のシステムをＷｅｂサービス化するためには、Ｗｅｂサーバやアプリケーションサーバ上でＷｅｂサービスのプロトコルを既存のシステムのプロトコルに変換するラッパーを用意するだけで良い。これは、さまざまなツールを用いることで、比較的簡単に実現可能である。
【００１３】
しかしながら、認証サービスを既存アプリケーションの認証システムに組み込むためには、単にラッパーを用いただけでは実現できない。認証の際にユーザ名やパスワードなどを受け取るような既存のアプリケーションでは、ユーザ名とパスワードなどの情報を用いて、ローカルな認証サービスを利用して認証を行うため、認証チケットを理解することができない。そのため、何らかの方法で認証チケットをデコードして認証を行えるシステムを構築する必要がある。
【００１４】
【特許文献１】
特開平１１−２８２８０４号公報
【００１５】
【発明が解決しようとする課題】
本発明は、上記に鑑みてなされたものであり、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことが可能な認証システムを提供することを目的とする。
【００１６】
【課題を解決するための手段】
上記課題を解決するために、請求項１にかかる発明は、クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、認証振り分け処理部とを含む認証システムにおいて、前記Ｗｅｂサービス認証サーバが、前記クライアントからパスワードを受信した場合に、該クライアントの認証を行って、ユーザ認証が成功したことを表す認証チケットをクライアントに送信する工程と、前記アプリケーションサーバが、前記クライアントからパスワードとして前記認証チケットを受信した場合に、当該認証チケットを前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記サービスサーバから前記認証チケットを受信した場合に、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信する工程と、前記Ｗｅｂサービス認証サーバが、前記認証振り分け処理部から前記認証チケットを受信した場合に、認証チケットをデコードして認証し、その認証情報を前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記サービスサーバに前記認証情報を送信する工程と、前記サービスサーバが、前記認証振り分け処理部から前記認証情報を受信した場合に、前記クライアントを認証する工程と、を含むことを特徴とする。
【００１７】
上記発明によれば、パスワードを必要とする既存の認証サービスを利用して認証を行っているサーバアプリケーションをＷｅｂサービスなどの新しい認証方式の認証サービスに対応させる。付言すると、既存のサーバアプリケーションではユーザから受け取るものはユーザ名とパスワードなどの情報であり、新規認証方式の認証サービスが発行する認証チケットを理解することはできない。また、パスワード情報のみを扱うことを前提としている事が多いため、既存の認証サービスを利用する認証モジュールは内部の深い層または外部にあることが多い。そこで、請求項１の発明では、認証チケットをパスワードとして渡す機能と、既存のサーバアプリケーションの認証モジュールまたは既存認証サービスと認証モジュールの間に、認証振り分け処理機能とを追加することにより、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことを可能とする。
【００１８】
また、請求項２にかかる発明は、請求項１にかかる発明において、さらに、ローカルサービスのユーザとして認証を行う認証サーバを含み、前記サービスサーバが、前記クライアントからパスワードを受信した場合に、当該パスワードの情報を前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記サービスサーバから前記パスワードを受信した場合に、前記認証サーバに当該パスワードを送信する工程と、前記認証サーバが、前記認証振り分け処理部から前記パスワードを受信した場合に、認証情報を前記認証振り分けサーバに送信する工程と、前記認証振り分け処理部が、前記認証サーバから前記認証情報を受信した場合に、前記サービスサーバに認証情報を送信する工程と、前記サービスサーバが、前記認証振り分け処理部から認証情報を受信した場合に、前記クライアントを認証する工程と、を含むことを特徴とする。
【００１９】
上記発明によれば、認証処理分け処理部は、パスワードを受け取った場合には、既存の認証サーバにパスワードを送信し、認証チケットを受信した場合には、Ｗｅｂサービス認証サーバに認証チケットを送信することにより、サーバアプリケーションの認証モジュールが、パスワードによる認証方式と認証されたことを証明するチケットを用いた認証方式の両者に対応することが可能となる。
【００２０】
また、請求項３にかかる発明は、請求項１または請求項２にかかる発明において、さらに、前記サービスサーバの内部または外部に設けられ、前記クライアントからパスワードとして前記認証チケットを受信して、前記サービスサーバに渡すＷｅｂサービスインターフェイスを含むことを特徴とする。
【００２１】
上記発明によれば、サービスサーバの内部または外部にＷｅｂサービスインターフェイスを設けることにより、サービスサーバに余り修正を加えずに、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことを可能とする。
【００２２】
また、請求項４にかかる発明は、請求項１または請求項２にかかる発明において、前記認証振り分け処理部は、前記サービスサーバの外部に設けられていることを特徴とする。
【００２３】
上記発明によれば、認証振り分け処理部をサービスサーバの外部に設けことにより、既存のサーバアプリケーションをインターフェイスのわずかな修正と既存の認証システムのインターフェイスの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００２４】
また、請求項５にかかる発明は、請求項１または請求項２にかかる発明において、前記認証振り分け処理部は、前記サービスサーバの内部に設けられていることを特徴とする。
【００２５】
上記発明によれば、認証振り分け処理部をサービスサーバの内部に設けことにより、既存のサーバアプリケーションの認証モジュールの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００２６】
また、請求項６にかかる発明は、請求項２にかかる発明において、前記クライアントは、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能としたことを特徴とする。
【００２７】
上記発明によれば、クライアントでは、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能とすることにより、サーバアプリケーションのクライアントが、Ｗｅｂサービスの新規認証方式と既存の認証方式にも対応している場合に、認証方式を選択することが可能となる。
【００２８】
また、請求項７にかかる発明は、請求項２にかかる発明において、前記クライアントは、ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能としたことを特徴とする。
【００２９】
上記発明によれば、クライアントでは、ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能とすることにより、サーバアプリケーションのクライアントが、Ｗｅｂサービスの新規認証方式と既存の認証方式にも対応している場合に、認証方式を予め選択することが可能となる。
【００３０】
また、請求項８にかかる発明は、請求項２にかかる発明において、前記サービスサーバは、他のサービスを利用する必要がある場合には、前記クライアントがログインする際に用いたパスワードを使用して、前記Ｗｅｂサービス認証サーバにアクセスして、認証されたことを証明する認証チケットを取得し、当該認証チケットで前記他のサービスの認証を行うことを特徴とする。
【００３１】
上記発明によれば、クライアントがパスワードによって認証される場合、サーバアプリケーションが、現在の認証では許可されていないサービスを利用する必要があった場合に、それらのサービスを利用することが可能となる。
【００３２】
【発明の実施の形態】
以下、図面を参照して、本発明にかかる認証システムの好適な実施の形態を、（実施の形態１）、（実施の形態２）、（実施の形態３）、（実施の形態４）、（実施の形態５）の順に詳細に説明する。
【００３３】
（実施の形態１）
図１は、実施の形態１にかかる認証システムの構成例を示す図である。図１において、上記図６および図７と同等機能を有する部位には同一符号を付してある。同図において、２は既存のサーバアプリケーション（アプリケーションサーバ）、４はＷｅｂサービスクライアント（Ｗｅｂブラウザ）、６はＷｅｂサービス認証サービス（Ｗｅｂサービス認証サーバ）、７はＷｅｂサービスインターフェイス、８は認証振り分けサーバを示している。
【００３４】
図１に示す認証システムは、既存のサーバアプリケーション２に、Ｗｅｂサービスインターフェイス２でラッピングを施し、認証振り分けサーバ８と組み合わせることで、Ｗｅｂサービス化とＷｅｂサービス上での認証サービスとを実現したものである。
【００３５】
つぎに、図１の認証システムにおいてＷｅｂサービスクライアント４を認証する場合の認証手順を説明する。図１において、まず、Ｗｅｂサービスクライアント４が、Ｗｅｂサービス認証サービス３に対して、ユーザ名、パスワードなどの情報を与えると（１）、Ｗｅｂサービス認証サービス３は、認証を行ったという証明書（文字列の認証チケット）をユーザに発行する（２）。これにより、Ｗｅｂサービスクライアント４は、認証チケットを取得する。
【００３６】
Ｗｅｂサービスクライアント４は、取得した認証チケットをＷｅｂサービスインターフェイス２にパスワードとして渡す（３）。パスワードとして扱われた認証チケットは、サーバアプリケーション２の認証モジュールへ到達する。認証モジュールは、本来、既存のローカル認証サービスへパスワードを渡し、認証が成功した結果として認証情報を受け取るものである。これに対して、本実施の形態では、認証モジュールは、既存の認証サービスにパスワードを渡す代わりに、認証チケットを認証振り分けサーバ８に渡す（４）。
【００３７】
認証振り分けサーバ８は、認証チケットを受け取ると、この認証チケットをＷｅｂサービス認証サービス６へ送る（５）。Ｗｅｂサービス認証サービス３は、認証チケットをデコードして認証を行い、認証情報を認証振り分けサーバ８へ返す（６）。認証振り分けサーバ８は、その認証情報を既存のサーバアプリケーション２へ返す（７）。ここで、認証情報は、本来、サーバアプリケーション２の認証モジュールが既存のローカル認証サービスから受け取るはずであった認証情報と同じ形式で得られるので、サーバアプリケーション２は従来と同じ処理を行うことができる。そして、サーバアプリケーション２は、Ｗｅｂインターフェイス２を介してＷｅｂサービスクライアント４を認証する（８）。
【００３８】
以上説明したように、実施の形態１によれば、Ｗｅｂサービスクライアント４は、既存のサーバアプリケーション２にラッピングされたＷｅｂサービスインターフェイス７に、パスワードの代わりに認証チケットを文字列として渡すだけであるので、サーバアプリケーション２の内部的にはパスワードと同様の扱いで認証チケットを扱うことができる。このため、サーバアプリケーション２の内部を修正することなく、認証振り分けサーバ（認証振り分け処理部）８に認証チケットを渡すことができる。したがって、Ｗｅｂサービスの認証方式のような新規の認証方式を新たに導入する際に、パスワードを受け取るような認証方式を用いていた既存のサーバアプリケーションを改造するためのコストを大幅に削減することが可能となる。
【００３９】
（実施の形態２）
図２は、実施の形態２にかかる認証システムの構成例を示す図である。実施の形態２にかかる認証システムは、実施の形態１の認証システムにおいて、従来のクライアントからもアクセスできるように構成したものである。図２において、図１と同等機能を有する部位には同一符号を付し、その説明は省略する。図２において、１は、従来のクライアント、３は従来の認証サービスを示している。
【００４０】
認証振り分けサーバ８は、既存のサーバアプリケーション２から受け取った情報が、パスワードか認証チケットかを判別し、認証チケットであった場合は、Ｗｅｂサービス認証サービス６へ認証チケットを渡し、パスワードであった場合には、従来の認証サービス６にパスワードとユーザ名などの情報を渡す。
【００４１】
図２の認証システムにおいて、従来のクライアント１を認証する場合の認証手順を説明する。図２において、まず、クライアント１は、ユーザ名、パスワードなどの情報をサーバアプリケーション２に送信すると（９）、サーバアプリケーション２は、ユーザ名、パスワードなどの情報を認証振り分けサーバ８に送信する（４）。
【００４２】
認証振り分けサーバ８は、既存のサーバアプリケーション２から受け取った情報が、パスワードか認証チケットかを判別し、認証チケットであった場合は、実施の形態１と同じようにＷｅｂサービス認証サービス６へ認証チケットを渡し（５）、パスワードであった場合には、従来の認証サービス６にパスワードとユーザ名などの情報を渡す（１１）。従来の認証サービス３は、パスワードとユーザ名などの情報を受け取ると、登録されているユーザと同一であることを認証して、認証情報を認証振り分けサーバ８へ返す（６）。認証振り分けサーバ８は、その認証情報を既存のサーバアプリケーション２へ送る（７）。そして、サーバアプリケーション２は、クライアント１を認証する（１０）。
【００４３】
以上説明したように、実施の形態２によれば、認証振り分けサーバ（認証振り分け処理部）８は、受け取った情報が、パスワードか認証チケットかを判別して、認証チケットである場合にはＷｅｂサービス認証サービス６へ渡し、パスワードである場合には、従来の認証サービス３へ渡すことしたので、新しいＷｅｂ認証方式と既存の認証方式の両方の認証方式に認証処理を振り分け可能である。このため、新しいＷｅｂ認証方式を導入する際にも低コストで柔軟な対応を可能にする。付言すると、新たな認証サービスへの対応化のためのコストは、認証振り分けサーバ８の設置とインターフェイスのわずかな変更だけで済むことになる。
【００４４】
（実施の形態３）
図３は、実施の形態３にかかる認証システムの構成例を示す図である。実施の形態３にかかる認証システムは、図３に示すように、実施の形態２の認証システムにおいて、Ｗｅｂサービスインターフェース７を既存のサーバアプリケーション２の外部に設け、上記認証振り分けサーバ８と同様の機能を有する認証振り分けモジュール１８を既存のサーバアプリケーション２の内部に実装したものである。
【００４５】
つぎに、図３の認証システムでＷｅｂサービスクライアント４を認証する場合の認証手順を説明する。図３において、まず、Ｗｅｂサービスクライアント４が、Ｗｅｂサービス認証サービス３に対して、ユーザ名、パスワードなどの情報を与えると（１）、Ｗｅｂサービス認証サービス３は、認証を行ったという証明書（文字列の認証チケット）をユーザに発行する（２）。これにより、Ｗｅｂサービスクライアント４は、認証チケットを取得する。
【００４６】
Ｗｅｂサービスクライアント４は、取得した認証チケットをＷｅｂサービスインターフェイス７にパスワードとして渡す（３）。パスワードとして扱われた認証チケットは、サーバアプリケーション２の認証モジュールへ到達する。認証モジュールは、認証チケットを認証振り分けモジュール１８に渡す（４）。
【００４７】
認証振り分けモジュール１８は、認証チケットを受け取った場合には、認証チケットをＷｅｂサービス認証サービス６に渡す（５）。Ｗｅｂサービス認証サービス６は認証チケットをデコードして認証し、認証情報を認証振り分けモジュール１８に返す（６）。認証振り分けモジュール１８は、従来の認証サービスで認証を受けた際に受け取った認証情報と同様に、Ｗｅｂサービス認証サービス６から受け取った認証情報をサーバアプリケーション２へ渡す。サーバアプリケーション２は、認証情報を受け取ると、Ｗｅｂサービスインターフェイス７を介して、Ｗｅｂサービスクライアント４のユーザの認証を行う（７、８）。
【００４８】
なお、認証振り分けモジュール１８が、パスワードを受け取った場合には、従来の認証サービス３にパスワードとユーザ名などの情報を渡し、従来の認証サービス３からデコードされた認証情報を受け取る。この際、サーバアプリケーションが、状況よってＷｉｎｄｏｗｓ認証サービスやＬＤＡＰ認証サービスなど異なる認証サービスに認証処理を振り分けるようなものであっても、実装可能である。
【００４９】
以上説明したように、実施の形態３によれば、サーバアプリケーション２内に認証振り分けモジュール１８を実装して、認証チケットの内容やパスワードその他の状況を判別してチケットやパスワードを適切な認証サービスへ渡し、認証情報を受け取れるように振り分け処理を行うこととしたので、新規認証方式への対応が可能となる。付言すると、サーバアプリケーションの認証モジュールが、状況を判断して複数の認証サービスにパスワードを渡している場合には、全ての認証サービスの前に複数の認証振り分けサーバを設置する必要がある。
【００５０】
（実施の形態４）
図４は、実施の形態４にかかる認証システムの構成例を示す図である。図４において、図３と同等機能を有する部位には同一符号を付してある。同図において、９はアプリケーションクライアントを示している。
【００５１】
アプリケーションクライアント９は、Ｗｅｂサービスクライアントとしても、従来のローカルクライアントとしても、サーバアプリケーション２にログインでき、パスワードでも認証チケットでも認証を行えるように構成されている。
【００５２】
アプリケーションクライアント９が、サーバアプリケーション２に認証を依頼する際には、”Ｗｅｂサービスユーザで認証するか”、”ドメインユーザで認証するか”を選択するための選択チェックボックスダイアログが表示部に表示される。ユーザは、このダイアログでいずれかの認証方式を選択し、アプリケーションクライアント８は、選択された認証方式で認証を行う。それ以外は、実施の形態３と同様であるためその説明は省略する。
【００５３】
以上説明したように、アプリケーションクライアント９を、Ｗｅｂサービスクライアントとしても、従来のローカルクライアントとしても、サーバアプリケーション２にログインでき、パスワードでも認証チケットでも認証を行えるように構成したので、ユーザの使い勝手が良くなる。
【００５４】
付言すると、Ｗｅｂサービスのプロトコルは、一般的にＤＣＯＭやＳｏｃｋｅｔ通信よりも遅いため、速度が必要な場合には従来のプロトコルをそのまま使える方が重要である。そのため、実施の形態４の如く、サーバアプリケーション２をＷｅｂサービスとしてアクセスするか、従来通りのアクセスをするかを用途によってダイアログから選択できるようにすることによって、ユーザビリティを高めることが可能となる。
【００５５】
なお、上記では、アプリケーションクライアント８では、認証を依頼する際に認証方式を選択チェックボックスダイアログで選択することとしたが、オプションダイアログなどで、デフォルトの認証方式を設定できるように構成しても良い。かかる構成によれば、毎回認証方式を設定するのが面倒な場合に、デフォルトを予め設定できることは、余計な作業を減らすことを可能にするため、ユーザビリティーを高めることができる。また、選択チェックボックスダイアログの表示／非表示を設定できるように構成しても良い。
【００５６】
（実施の形態５）
図５は、実施の形態５にかかる認証システムの構成例を示す図である。同図において、図３と同等機能を有する部位には同一符号を付してある。また、図５において、１０は、Ｗｅｂサービスディレクトリサービス（Ｗｅｂサービスディレクトリサーバ）を示している。
【００５７】
実施の形態５の認証システムは、実施の形態３の認証システムにおいて、従来の認証サービス３で認証を行った場合に、新たにＷｅｂサービスとして実装されたＷｅｂサービスディレクトリサービス１０にアクセス可能に構成したものである。サーバアプリケーション２は、認証の際に用いたＷｅｂサービスクライアント４のユーザのユーザ名やパスワードなどの情報を有している。サーバアプリケーション２は、この情報を使用してＷｅｂサービス認証サービス６にアクセスし、認証チケットを自動的に得て、その認証チケットを使用して、Ｗｅｂサービスディレクトリサービス１０にアクセスし、Ｗｅｂサービスディレクトリサービス１０とのセッションを行う。
【００５８】
つぎに、図５の認証システムの認証手順を説明する。図５において、まず、Ｗｅｂサービスクライアント４は、ユーザ名とパスワードなどの情報を用いて、サーバアプリケーション２に対して、従来の認証を行う（１）。認証振り分けモジュール１８は、ユーザ名とパスワードなどの情報を従来の認証サービスに渡す（２）。従来の認証サービス３は、ユーザ名とパスワードなどで認証を行う。その結果得られた認証情報を認証振り分けモジュールに返す（３）。認証振り分けモジュールは、既にユーザの認証を行っているが、現在受けている認証では利用できない他のＷｅｂサービスを利用する必要があるため、保持しているユーザ名とパスワード等の情報を利用したいＷｅｂサービス認証サービスへ送る（４）。Ｗｅｂサービス認証サービス６は、その情報から認証を行い、その結果を認証チケットとして認証振り分けモジュール１８に返す（５）。認証チケットを受け取った認証振り分けモジュール１８は、その認証チケットを利用したいＷｅｂサービスディレクトリサービス１０に渡す（６）。これに応じて、Ｗｅｂサービスディレクトリサービス１０は、ディレクトリサービスセッションチケットを認証振り分けモジュール１８に渡す（７）。この結果、新しいＷｅｂサービスとのセッションを行うことができる。
【００５９】
以上説明したように、実施の形態５によれば、ユーザは、既存のパスワードによる認証サービスで認証したのか、認証チケットを用いたサービスのユーザとして認証を受けたのかを意識することなく、認証チケットを用いたサービスと連携するサーバアプリケーションを利用することが可能となる。
【００６０】
なお、本発明は、上記した実施の形態に限定されるものではなく、発明の要旨を変更しない範囲で適宜変形可能である。
【００６１】
【発明の効果】
以上説明したように，請求項１にかかる認証システムによれば、クライアントと、Ｗｅｂサービスのユーザとして認証を行うＷｅｂサービス認証サーバと、ローカルなサービスを提供するアプリケーションサーバと、認証振り分け処理部とを含む認証システムにおいて、前記Ｗｅｂサービス認証サーバが、前記クライアントからパスワードを受信した場合に、該クライアントのユーザの認証を行って、ユーザ認証が成功したことを表す認証チケットをクライアントに送信する工程と、前記アプリケーションサーバが、前記クライアントからパスワードとして前記認証チケットを受信した場合に、当該認証チケットを前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記サービスサーバから前記認証チケットを受信した場合に、前記Ｗｅｂサービス認証サーバに当該認証チケットを送信する工程と、前記Ｗｅｂサービス認証サーバが、前記認証振り分け処理部から前記認証チケットを受信した場合に、認証チケットをデコードして認証し、その認証情報を前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記Ｗｅｂサービス認証サーバから前記認証情報を受信した場合に、前記サービスサーバに前記認証情報を送信する工程と、前記サービスサーバが、前記認証振り分け処理部から前記認証情報を受信した場合に、前記クライアントのユーザを認証する工程と、を含むこととしたので、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことが可能な認証システムを提供することが可能となるという効果を奏する。
【００６２】
また、請求項２にかかる認証システムによれば、請求項１にかかる発明において、さらに、ローカルサービスのユーザとして認証を行う認証サーバを含み、前記サービスサーバが、前記クライアントからパスワードを受信した場合に、当該パスワードを前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記サービスサーバから前記パスワードを受信した場合に、前記認証サーバに当該パスワードを送信する工程と、前記認証サーバが、前記認証振り分け処理部から前記パスワードを受信した場合に、認証情報を前記認証振り分け処理部に送信する工程と、前記認証振り分け処理部が、前記認証サーバから前記認証情報を受信した場合に、前記サービスサーバに認証情報を送信する工程と、前記サービスサーバが、前記認証振り分け処理部から認証情報を受信した場合に、前記クライアントのユーザを認証する工程と、を含むこととしたので、パスワードによる認証方式と認証されたことを証明する認証チケットを用いた認証方式との両者に対応することが可能となる。
【００６３】
また、請求項３にかかる認証システムによれば、請求項１または請求項２にかかる認証システムにおいて、さらに、前記サービスサーバの内部または外部に設けられ、前記クライアントからパスワードとして前記認証チケットを受信して、前記サービスサーバに渡すＷｅｂサービスインターフェイスを含むこととしたので、サービスサーバに余り修正を加えずに、パスワードなどを用いた従来の認証システムをなるべく修正せずに、認証チケットを受け取った場合にも認証を行うことを可能とする。
【００６４】
また、請求項４にかかる認証システムによれば、請求項１または請求項２にかかる認証システムにおいて、前記認証振り分け処理部は、前記サービスサーバの外部に設けられていることとしたので、既存のサーバアプリケーションのインターフェイスのわずかな修正と既存の認証システムのインターフェイスの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００６５】
また、請求項５にかかる認証システムによれば、請求項１または請求項２にかかる発明において、前記認証振り分け処理部は、前記サービスサーバの内部に設けられていることとしたので、既存のサーバアプリケーションの認証モジュールの修正のみで、認証チケットを受け取った場合にも認証を行うことが可能となる。
【００６６】
また、請求項６にかかる認証システムによれば、請求項２にかかる発明において、前記クライアントは、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能としたので、クライアントが、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式に対応している場合に、ユーザがその認証方式を選択することが可能となる。
【００６７】
また、請求項７にかかる認証システムによれば、請求項２にかかる発明において、前記クライアントは、ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能としたので、クライアントが、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式に対応している場合に、ユーザがその認証方式を初期設定することが可能となる。
【００６８】
また、請求項８にかかる認証システムによれば、請求項２にかかる発明において、前記サービスサーバは、他のサービスを利用する必要がある場合には、前記クライアントがログインする際に用いたパスワードを使用して、前記Ｗｅｂサービス認証サーバにアクセスして、認証されたことを証明する認証チケットを取得し、当該認証チケットを使用して前記他のサービスでのユーザの認証を行うこととしたので、ユーザは、既存のパスワードによる認証サービスで認証したのか、認証チケットを用いたサービスのユーザとして認証を受けたのかを意識することなく、認証チケットを用いたサービスと連携するサーバアプリケーションを利用することが可能となる。
【図面の簡単な説明】
【図１】実施の形態１にかかる認証システムの構成例を示す図である。
【図２】実施の形態２にかかる認証システムの構成例を示す図である。
【図３】実施の形態３にかかる認証システムの構成例を示す図である。
【図４】実施の形態４にかかる認証システムの構成例を示す図である。
【図５】実施の形態５にかかる認証システムの構成例を示す図である。
【図６】従来の認証方法を説明するための説明図である。
【図７】Ｗｅｂサービスにおける認証方法を説明するための説明図である
【符号の説明】
１クライアント
２サーバアプリケーション
３従来の認証サービス
４Ｗｅｂサービスクライアント
５Ｗｅｂサービスアプリケーション
６Ｗｅｂサービス認証サービス
７Ｗｅｂサービスインターフェイス
８認証振り分けサーバ
９アプリケーションクライアント
１０Ｗｅｂサービスディレクトリサービス
１８認証振り分けモジュール[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to an authentication system, and more particularly, to an authentication system in which an application using an existing authentication service can efficiently use an authentication service on a Web service.
[0002]
[Prior art]
For example, there are many applications used for business purposes, such as a document management system in an office, that need to manage access to users. When there are multiple applications, the movement of members in the office and changes in access rights occur relatively frequently, and the user must have management information in each application to increase the work of the system administrator. Is difficult.
[0003]
For this reason, a service for providing and authenticating user management information such as a directory service is often used at present. Typical examples include Microsoft's active directory and LDAP. FIG. 6 is a diagram for explaining a conventional authentication method. In FIG. 1,reference numeral 1 denotes a client, 2 denotes a server application (service server), and 3 denotes a conventional authentication service (authentication server).
[0004]
In FIG. 6, when accessing a system in an office, a user inputs credential information such as a user name and a password from the client 1 (1) and transmits the credential information to theserver application 2. Theserver application 2 entrusts the analysis of the credential information to the authentication service 3 (2), and theauthentication service 3 authenticates that the user is the same as the registered user and notifies theserver application 2 of the authentication user information. (3). Then, theserver application 2 authenticates the user of the client 1 (4).
[0005]
As described above, when the user is authenticated, the user can use the application. However, theseauthentication services 3 are mainly used within a limited range such as a LAN and a WAN, and generally cannot cross a firewall or the like.
[0006]
In the case of systems with different platforms, such as Windows (R) and UNIX (R), different authentication services are usually used. When integrating user management, it is necessary to cooperate with authentication services. At present, it is impossible to install and operate without experts.
[0007]
Recently, network systems can be linked on a web basis. This is largely platform independent and can leverage existing backbones. In particular, in a communication mode using HTTP or SMTP such as a Web service, it is possible to cross a firewall. Therefore, there has been a movement to realize an authentication service, a directory service, and the like with a Web service. In the authentication service on the Web service, a single sign-on environment is realized in many cases.
[0008]
FIG. 7 is an explanatory diagram for explaining an authentication method in a Web service (for example, see Patent Document 1). In the figure, reference numeral 4 denotes a Web service client (Web browser), 5 denotes a Web service application (Web service server), and 6 denotes a Web service authentication service (Web service authentication server).
[0009]
When the Web service client 4 gives credential information such as a user name and a password to the Web service authentication service 6 (1), the Webservice authentication service 6 issues a certificate (authentication ticket of a character string) that authentication has been performed. ) Is issued to the user (2). Only the group of services that cooperate with the Web service authentication service can understand the contents of the authentication ticket, and can obtain information such as who the user is and which group the user belongs to. Then, when the Web service client 4 presents the authentication ticket to the Web service application 2 (3), theWeb service application 2 authenticates the Web service client 4 (4).
[0010]
As described above, the user has the authentication ticket locally, and can present the authentication ticket when accessing the corresponding application service group. That is, it is possible to use the corresponding service without repeatedly inputting the password as in the related art.
[0011]
According to this, when a vendor develops a new application, the system is implemented as a Web service, and if an authentication ticket sent from the Web service authentication service can be understood, a system that conforms to a platform-independent single sign-on environment is provided. It is possible.
[0012]
Here, not all systems can be immediately replaced with new ones, so it is necessary to consider linking with existing systems. To convert an existing system into a Web service, it is only necessary to prepare a wrapper that converts a Web service protocol into an existing system protocol on a Web server or an application server. This can be achieved relatively easily using various tools.
[0013]
However, incorporation of the authentication service into the authentication system of an existing application cannot be realized by merely using a wrapper. Existing applications that receive user names and passwords during authentication use information such as user names and passwords to perform authentication using a local authentication service, and therefore cannot understand the authentication ticket . Therefore, it is necessary to construct a system capable of decoding the authentication ticket by some method and performing authentication.
[0014]
[Patent Document 1]
JP-A-11-282804
[0015]
[Problems to be solved by the invention]
The present invention has been made in view of the above, and provides an authentication system capable of performing authentication even when an authentication ticket is received, without modifying a conventional authentication system using a password or the like as much as possible. The purpose is to:
[0016]
[Means for Solving the Problems]
In order to solve the above problem, the invention according toclaim 1 includes a client, a Web service authentication server that performs authentication as a user of a Web service, an application server that provides a local service, and an authentication distribution processing unit. In the authentication system, when the Web service authentication server receives a password from the client, the Web service authentication server authenticates the client and transmits an authentication ticket indicating that the user authentication is successful to the client; When receiving the authentication ticket as a password from the client, transmitting the authentication ticket to the authentication distribution processing unit, and when the authentication distribution processing unit receives the authentication ticket from the service server, , Said We Transmitting the authentication ticket to a service authentication server; and when the web service authentication server receives the authentication ticket from the authentication distribution processing unit, decodes and authenticates the authentication ticket, and authenticates the authentication information. Transmitting the authentication information to the service server when the authentication distribution processing unit receives the authentication information from the Web service authentication server; and transmitting the authentication information to the service server. Authenticating the client when the authentication information is received from an authentication distribution processing unit.
[0017]
According to the invention, a server application that performs authentication using an existing authentication service that requires a password is made compatible with an authentication service of a new authentication method such as a Web service. In addition, in the existing server application, what is received from the user is information such as a user name and a password, and cannot understand the authentication ticket issued by the authentication service of the new authentication method. Further, since it is often assumed that only password information is handled, an authentication module using an existing authentication service is often located in a deep layer inside or outside. Therefore, in the invention ofclaim 1, by adding a function of passing an authentication ticket as a password and an authentication distribution processing function between an authentication module of an existing server application or an existing authentication service and an authentication module, a password or the like is provided. It is possible to perform authentication even when an authentication ticket is received without modifying the conventional authentication system used as much as possible.
[0018]
The invention according toclaim 2 is the invention according toclaim 1, further comprising an authentication server for performing authentication as a user of the local service, wherein the service server receives the password from the client when the password is received from the client. Transmitting the information to the authentication distribution processing unit, and, when the authentication distribution processing unit receives the password from the service server, transmitting the password to the authentication server, the authentication server, A step of transmitting authentication information to the authentication distribution server when receiving the password from the authentication distribution processing unit; and when the authentication distribution processing unit receives the authentication information from the authentication server, the service server Transmitting authentication information to the service server; When receiving the authentication information from only processing unit, characterized in that it and a step of authenticating the client.
[0019]
According to the invention, the authentication processing division processing unit transmits the password to the existing authentication server when receiving the password, and transmits the authentication ticket to the Web service authentication server when receiving the authentication ticket. This makes it possible for the authentication module of the server application to support both an authentication method using a password and an authentication method using a ticket proving that authentication has been performed.
[0020]
The invention according toclaim 3 is the invention according toclaim 1 orclaim 2, further provided inside or outside the service server, receiving the authentication ticket as a password from the client, and It is characterized by including a Web service interface to be passed to the server.
[0021]
According to the above invention, by providing a Web service interface inside or outside the service server, the authentication ticket can be generated without modifying the service server as much as possible and without modifying the conventional authentication system using a password or the like as much as possible. Authentication can be performed even when received.
[0022]
The invention according to a fourth aspect is characterized in that, in the invention according to the first or second aspect, the authentication distribution processing unit is provided outside the service server.
[0023]
According to the above invention, by providing the authentication distribution processing unit outside the service server, the existing server application can be modified even if the interface is only slightly modified and the interface of the existing authentication system is received, and the authentication ticket is received. Authentication can be performed.
[0024]
The invention according toclaim 5 is characterized in that, in the invention according toclaim 1 orclaim 2, the authentication distribution processing unit is provided inside the service server.
[0025]
According to the above invention, by providing the authentication distribution processing unit inside the service server, it becomes possible to perform authentication even when an authentication ticket is received, only by modifying the authentication module of the existing server application.
[0026]
According to a sixth aspect of the present invention, in the second aspect, the client has a dialog for selecting a method of performing authentication as a user of a Web service and a method of performing authentication as a user of a local service. It is displayed so that the user can select one of the methods.
[0027]
According to the above invention, the client displays a dialog for selecting a method of performing authentication as a user of the Web service and a method of performing authentication as a user of the local service, and the user can select one of the methods. Accordingly, when the client of the server application supports both the new authentication method and the existing authentication method of the Web service, the authentication method can be selected.
[0028]
According to a seventh aspect of the present invention, in the second aspect of the invention, as the user authentication method, the client authenticates as a user of a Web service or a method of authenticating as a user of a local service. Is set to be able to be initially set.
[0029]
According to the above invention, the client can be initially set to use either a method of performing authentication as a user of a Web service or a method of performing authentication as a user of a local service as a user authentication method. When the client of the server application supports both the new authentication method of the Web service and the existing authentication method, the authentication method can be selected in advance.
[0030]
In the invention according toclaim 8, in the invention according toclaim 2, the service server uses the password used when the client logs in when another service needs to be used. Accessing the Web service authentication server to obtain an authentication ticket for proving that authentication has been performed, and performing authentication of the other service using the authentication ticket.
[0031]
According to the above invention, when the client is authenticated by the password, when the server application needs to use services that are not permitted by the current authentication, those services can be used.
[0032]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, with reference to the drawings, preferred embodiments of an authentication system according to the present invention will be described as (Embodiment 1), (Embodiment 2), (Embodiment 3), (Embodiment 4), A detailed description will be given in the order of (Embodiment 5).
[0033]
(Embodiment 1)
FIG. 1 is a diagram illustrating a configuration example of the authentication system according to the first embodiment. In FIG. 1, parts having the same functions as those in FIGS. 6 and 7 are denoted by the same reference numerals. 2,reference numeral 2 denotes an existing server application (application server), 4 denotes a Web service client (Web browser), 6 denotes a Web service authentication service (Web service authentication server), 7 denotes a Web service interface, and 8 denotes an authentication distribution server. Is shown.
[0034]
The authentication system shown in FIG. 1 realizes a Web service and an authentication service on a Web service by wrapping an existingserver application 2 with aWeb service interface 2 and combining it with anauthentication distribution server 8. is there.
[0035]
Next, an authentication procedure when authenticating the Web service client 4 in the authentication system of FIG. 1 will be described. In FIG. 1, first, when the Web service client 4 gives information such as a user name and a password to the Web service authentication service 3 (1), the Webservice authentication service 3 issues a certificate (authentication). A character string authentication ticket) is issued to the user (2). Thus, the Web service client 4 acquires the authentication ticket.
[0036]
The Web service client 4 passes the acquired authentication ticket to theWeb service interface 2 as a password (3). The authentication ticket treated as a password reaches the authentication module of theserver application 2. The authentication module originally passes a password to an existing local authentication service and receives authentication information as a result of successful authentication. On the other hand, in the present embodiment, the authentication module passes the authentication ticket to theauthentication distribution server 8 instead of passing the password to the existing authentication service (4).
[0037]
Upon receiving the authentication ticket, theauthentication distribution server 8 sends the authentication ticket to the Web service authentication service 6 (5). The Webservice authentication service 3 decodes the authentication ticket to perform authentication, and returns authentication information to the authentication distribution server 8 (6). Theauthentication distribution server 8 returns the authentication information to the existing server application 2 (7). Here, the authentication information is obtained in the same format as the authentication information that the authentication module of theserver application 2 should originally receive from the existing local authentication service, so that theserver application 2 can perform the same processing as before. . Then, theserver application 2 authenticates the Web service client 4 via the Web interface 2 (8).
[0038]
As described above, according to the first embodiment, the Web service client 4 only passes the authentication ticket as a character string instead of the password to theWeb service interface 7 wrapped by the existingserver application 2. In theserver application 2, the authentication ticket can be handled in the same manner as the password. Therefore, the authentication ticket can be transferred to the authentication distribution server (authentication distribution processing unit) 8 without modifying the inside of theserver application 2. Therefore, when a new authentication method such as an authentication method for a Web service is newly introduced, the cost for remodeling an existing server application that uses an authentication method for receiving a password can be significantly reduced. It becomes possible.
[0039]
(Embodiment 2)
FIG. 2 is a diagram illustrating a configuration example of an authentication system according to the second embodiment. The authentication system according to the second embodiment is different from the authentication system according to the first embodiment in that it can be accessed from a conventional client. 2, parts having the same functions as those in FIG. 1 are denoted by the same reference numerals, and description thereof will be omitted. In FIG. 2,reference numeral 1 denotes a conventional client, and 3 denotes a conventional authentication service.
[0040]
Theauthentication distribution server 8 determines whether the information received from the existingserver application 2 is a password or an authentication ticket. If the information is an authentication ticket, theauthentication distribution server 8 passes the authentication ticket to the Webservice authentication service 6, and if the information is a password. , Information such as a password and a user name is passed to theconventional authentication service 6.
[0041]
An authentication procedure for authenticating theconventional client 1 in the authentication system of FIG. 2 will be described. In FIG. 2, first, theclient 1 transmits information such as a user name and a password to the server application 2 (9), and theserver application 2 transmits information such as a user name and a password to the authentication distribution server 8 (4). ).
[0042]
Theauthentication distribution server 8 determines whether the information received from the existingserver application 2 is a password or an authentication ticket. If the information is an authentication ticket, theauthentication distribution server 8 sends the authentication ticket to the Webservice authentication service 6 as in the first embodiment. (5), and if it is a password, the password and information such as a user name are passed to the conventional authentication service 6 (11). Upon receiving information such as the password and the user name, theconventional authentication service 3 authenticates that the user is the same as the registered user, and returns the authentication information to the authentication distribution server 8 (6). Theauthentication distribution server 8 sends the authentication information to the existing server application 2 (7). Then, theserver application 2 authenticates the client 1 (10).
[0043]
As described above, according to the second embodiment, the authentication distribution server (authentication distribution processing unit) 8 determines whether the received information is a password or an authentication ticket, and determines whether the received information is an authentication ticket. Since the password is passed to theauthentication service 6 and the password is passed to theconventional authentication service 3, the authentication process can be distributed to both the new Web authentication method and the existing authentication method. Therefore, even when a new Web authentication method is introduced, low cost and flexible response can be achieved. In addition, the cost for adapting to the new authentication service requires only the installation of theauthentication distribution server 8 and a slight change in the interface.
[0044]
(Embodiment 3)
FIG. 3 is a diagram illustrating a configuration example of an authentication system according to the third embodiment. As shown in FIG. 3, the authentication system according to the third embodiment differs from the authentication system according to the second embodiment in that theWeb service interface 7 is provided outside the existingserver application 2 and has the same function as theauthentication distribution server 8. Theauthentication distribution module 18 having the above is mounted inside the existingserver application 2.
[0045]
Next, an authentication procedure in the case where the Web service client 4 is authenticated by the authentication system of FIG. 3 will be described. In FIG. 3, first, when the Web service client 4 gives information such as a user name and a password to the Web service authentication service 3 (1), the Webservice authentication service 3 issues a certificate (authentication). A character string authentication ticket) is issued to the user (2). Thus, the Web service client 4 acquires the authentication ticket.
[0046]
The Web service client 4 passes the acquired authentication ticket to theWeb service interface 7 as a password (3). The authentication ticket treated as a password reaches the authentication module of theserver application 2. The authentication module passes the authentication ticket to the authentication distribution module 18 (4).
[0047]
When receiving the authentication ticket, theauthentication distribution module 18 passes the authentication ticket to the Web service authentication service 6 (5). The Webservice authentication service 6 decodes and authenticates the authentication ticket, and returns authentication information to the authentication distribution module 18 (6). Theauthentication distribution module 18 passes the authentication information received from the Webservice authentication service 6 to theserver application 2 in the same manner as the authentication information received when the authentication is performed by the conventional authentication service. Upon receiving the authentication information, theserver application 2 authenticates the user of the Web service client 4 via the Web service interface 7 (7, 8).
[0048]
When theauthentication distribution module 18 receives the password, it passes information such as the password and the user name to theconventional authentication service 3 and receives the decoded authentication information from theconventional authentication service 3. At this time, even if the server application distributes the authentication processing to different authentication services such as the Windows authentication service and the LDAP authentication service depending on the situation, the server application can be implemented.
[0049]
As described above, according to the third embodiment, theauthentication distribution module 18 is mounted in theserver application 2 to determine the contents of the authentication ticket, the password, and other conditions, and transfer the ticket and the password to an appropriate authentication service. Since the distribution process is performed so as to receive the authentication information, it is possible to cope with the new authentication method. In addition, when the authentication module of the server application judges the situation and passes the password to a plurality of authentication services, it is necessary to install a plurality of authentication distribution servers before all the authentication services.
[0050]
(Embodiment 4)
FIG. 4 is a diagram illustrating a configuration example of the authentication system according to the fourth embodiment. 4, parts having the same functions as those in FIG. 3 are denoted by the same reference numerals. In the figure,reference numeral 9 denotes an application client.
[0051]
Theapplication client 9 is configured to be able to log in to theserver application 2 as a Web service client or a conventional local client, and to perform authentication using a password or an authentication ticket.
[0052]
When theapplication client 9 requests theserver application 2 for authentication, a selection check box dialog for selecting “authenticate with a Web service user” or “authenticate with a domain user” is displayed on the display unit. You. The user selects one of the authentication methods in this dialog, and theapplication client 8 performs authentication using the selected authentication method. Otherwise, the third embodiment is the same as the third embodiment, and a description thereof will be omitted.
[0053]
As described above, since theapplication client 9 is configured so as to be able to log in to theserver application 2 and perform authentication using a password or an authentication ticket whether theapplication client 9 is a Web service client or a conventional local client, user convenience is good. Become.
[0054]
In addition, since a Web service protocol is generally slower than DCOM or Socket communication, it is more important to be able to use a conventional protocol as it is when speed is required. Therefore, as in the fourth embodiment, usability can be improved by allowing a user to select whether to access theserver application 2 as a Web service or to access theserver application 2 in the conventional manner from a dialog.
[0055]
In the above description, theapplication client 8 selects the authentication method in the selection check box dialog when requesting authentication. However, theapplication client 8 may be configured so that the default authentication method can be set in the option dialog or the like. . According to such a configuration, when it is troublesome to set the authentication method every time, setting the default in advance makes it possible to reduce unnecessary work, thereby improving usability. Further, a configuration may be made such that display / non-display of the selection check box dialog can be set.
[0056]
(Embodiment 5)
FIG. 5 is a diagram illustrating a configuration example of the authentication system according to the fifth embodiment. In the figure, the parts having the same functions as those in FIG. 3 are denoted by the same reference numerals. In FIG. 5,reference numeral 10 denotes a Web service directory service (Web service directory server).
[0057]
The authentication system according to the fifth embodiment is configured such that when authentication is performed by theconventional authentication service 3 in the authentication system according to the third embodiment, a Webservice directory service 10 newly installed as a Web service can be accessed. Things. Theserver application 2 has information such as the user name and password of the user of the Web service client 4 used for authentication. Theserver application 2 accesses the Webservice authentication service 6 using this information, automatically obtains an authentication ticket, uses the authentication ticket to access the Webservice directory service 10, and executes the Web service directory service. A session with 10 is performed.
[0058]
Next, an authentication procedure of the authentication system of FIG. 5 will be described. In FIG. 5, first, the Web service client 4 performs conventional authentication on theserver application 2 using information such as a user name and a password (1). Theauthentication distribution module 18 passes information such as a user name and a password to a conventional authentication service (2). Theconventional authentication service 3 performs authentication using a user name and a password. The authentication information obtained as a result is returned to the authentication distribution module (3). The authentication distribution module has already authenticated the user, but needs to use other Web services that cannot be used with the currently received authentication, and therefore wants to use the stored information such as the user name and password. Send to service authentication service (4). The Webservice authentication service 6 performs authentication from the information and returns the result to theauthentication distribution module 18 as an authentication ticket (5). Upon receiving the authentication ticket, theauthentication distribution module 18 transfers the authentication ticket to the Webservice directory service 10 that wants to use the authentication ticket (6). In response, the Webservice directory service 10 passes the directory service session ticket to the authentication distribution module 18 (7). As a result, a session with a new Web service can be performed.
[0059]
As described above, according to the fifth embodiment, the user can use the authentication ticket without being conscious of whether the user has been authenticated with the authentication service using the existing password or has been authenticated as a user of the service using the authentication ticket. It is possible to use a server application that cooperates with a service that uses.
[0060]
The present invention is not limited to the above-described embodiment, and can be appropriately modified without changing the gist of the invention.
[0061]
【The invention's effect】
As described above, according to the authentication system of the first aspect, the client, the Web service authentication server that performs authentication as a user of the Web service, the application server that provides the local service, and the authentication distribution processing unit In the authentication system including: when the Web service authentication server receives a password from the client, authenticates the user of the client, and transmits an authentication ticket indicating that the user authentication is successful to the client; A step of, when the application server receives the authentication ticket as a password from the client, transmitting the authentication ticket to the authentication distribution processing unit; and the authentication distribution processing unit receiving the authentication ticket from the service server. did Transmitting the authentication ticket to the Web service authentication server, and, when the Web service authentication server receives the authentication ticket from the authentication distribution processing unit, decodes and authenticates the authentication ticket; Transmitting authentication information to the authentication distribution processing unit; and transmitting the authentication information to the service server when the authentication distribution processing unit receives the authentication information from the Web service authentication server. And a step of, when the service server receives the authentication information from the authentication distribution processing unit, authenticating the user of the client, without modifying the conventional authentication system using a password or the like as much as possible. Provides an authentication system that can perform authentication even when an authentication ticket is received Rukoto an effect that is possible.
[0062]
Further, according to the authentication system ofclaim 2, in the invention ofclaim 1, further comprising an authentication server for performing authentication as a user of a local service, wherein the service server receives a password from the client. Transmitting the password to the authentication distribution processing unit; transmitting the password to the authentication server when the authentication distribution processing unit receives the password from the service server; and Transmitting the authentication information to the authentication distribution processing unit when the password is received from the authentication distribution processing unit, and when the authentication distribution processing unit receives the authentication information from the authentication server, Transmitting authentication information to a service server; and When receiving the authentication information from the proof distribution processing unit, the step of authenticating the user of the client, it is determined that the method includes an authentication method using a password and an authentication method using an authentication ticket for certifying that the authentication has been performed. It is possible to cope with both.
[0063]
According to the authentication system of the third aspect, in the authentication system of the first or second aspect, the authentication system is further provided inside or outside the service server, and receives the authentication ticket as a password from the client. In the case where an authentication ticket is received without modifying the service server as much as possible and modifying the conventional authentication system using a password or the like as much as possible without including any modification to the service server, Also enables authentication.
[0064]
According to the authentication system of the fourth aspect, in the authentication system of the first or second aspect, the authentication distribution processing unit is provided outside the service server. With only a small modification of the interface of the server application and a modification of the interface of the existing authentication system, it is possible to perform authentication even when an authentication ticket is received.
[0065]
According to the authentication system of the fifth aspect, in the invention of the first or second aspect, the authentication distribution processing unit is provided inside the service server. Only by modifying the authentication module of the application, it becomes possible to perform authentication even when an authentication ticket is received.
[0066]
Further, according to the authentication system according toclaim 6, in the invention according toclaim 2, the client selects a method of performing authentication as a user of a Web service and a method of performing authentication as a user of a local service. Is displayed, and the user can select one of the methods. Therefore, when the client supports a method of performing authentication as a Web service user and a method of performing authentication as a local service user, Thus, the user can select the authentication method.
[0067]
Further, according to the authentication system according toclaim 7, in the invention according toclaim 2, as the user authentication method, the client performs authentication as a user of a Web service, and the client performs authentication as a user of a local service. Can be initially set, so that if the client supports a method of authenticating as a Web service user and a method of authenticating as a local service user, the user The method can be initialized.
[0068]
According to the authentication system of the eighth aspect, in the invention of the second aspect, when the service server needs to use another service, the service server sets the password used when the client logs in to the service server. Access to the Web service authentication server to obtain an authentication ticket certifying that the user has been authenticated, and using the authentication ticket to authenticate the user in the other service. A user can use a server application that cooperates with a service using an authentication ticket without being aware of whether the user has been authenticated using an existing password authentication service or has been authenticated as a user of a service using an authentication ticket. It becomes possible.
[Brief description of the drawings]
FIG. 1 is a diagram illustrating a configuration example of an authentication system according to a first embodiment;
FIG. 2 is a diagram illustrating a configuration example of an authentication system according to a second embodiment;
FIG. 3 is a diagram illustrating a configuration example of an authentication system according to a third embodiment;
FIG. 4 is a diagram illustrating a configuration example of an authentication system according to a fourth embodiment;
FIG. 5 is a diagram illustrating a configuration example of an authentication system according to a fifth embodiment;
FIG. 6 is an explanatory diagram for explaining a conventional authentication method.
FIG. 7 is an explanatory diagram for explaining an authentication method in a Web service.
[Explanation of symbols]
1 client
2 Server application
3 Conventional authentication services
4 Web service client
5 Web service application
6 Web service authentication service
7 Web service interface
8 Authentication distribution server
9 Application Client
10 Web service directory service
18 Authentication distribution module

Claims

Translated fromJapanese

さらに、前記サービスサーバの内部または外部に設けられ、前記クライアントからパスワードとして前記認証チケットを受信して、前記サービスサーバに渡すＷｅｂサービスインターフェイスを含むことを特徴とする請求項１または請求項２に記載の認証システム。3. The Web server according to claim 1, further comprising a Web service interface provided inside or outside the service server, receiving the authentication ticket as a password from the client, and passing the authentication ticket to the service server. Authentication system.

前記認証振り分け処理部は、前記サービスサーバの外部に設けられていることを特徴とする請求項１または請求項２に記載の認証システム。The authentication system according to claim 1, wherein the authentication distribution processing unit is provided outside the service server.

前記認証振り分け処理部は、前記サービスサーバの内部に設けられていることを特徴とする請求項１または請求項２に記載の認証システム。The authentication system according to claim 1, wherein the authentication distribution processing unit is provided inside the service server.

前記クライアントは、
Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とを選択するためのダイアログを表示して、ユーザがいずれかの方式を選択可能としたことを特徴とする請求項２に記載の認証システム。The client,
A method for displaying a dialog for selecting a method of performing authentication as a user of a Web service and a method of performing authentication as a user of a local service, and allowing the user to select one of the methods. 3. The authentication system according to 2.

前記クライアントは、
ユーザ認証方式として、Ｗｅｂサービスのユーザとして認証を行う方式と、ローカルサービスのユーザとして認証を行う方式とのいずれを使用するかを初期設定可能としたことを特徴とする請求項２に記載の認証システム。The client,
3. The authentication according to claim 2, wherein the user authentication method can be initially set to use either a method of performing authentication as a user of a Web service or a method of performing authentication as a user of a local service. system.

前記サービスサーバは、他のサービスを利用する必要がある場合には、前記クライアントがログインする際に用いたパスワードを使用して、前記Ｗｅｂサービス認証サーバにアクセスして、認証されたことを証明する認証チケットを取得し、当該認証チケットを使用して前記他のサービスの認証を行うことを特徴とする請求項２に記載の認証システム。When it is necessary to use another service, the service server accesses the Web service authentication server using the password used when the client logs in, and certifies that the client has been authenticated. The authentication system according to claim 2, wherein an authentication ticket is obtained, and the other service is authenticated using the authentication ticket.