JP2007310512A

JP2007310512A - 通信システム、サービス提供サーバおよびユーザ認証サーバ

Info

Publication number: JP2007310512A
Application number: JP2006137049A
Authority: JP
Inventors: Takeshi Kusaka; 武日下
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2006-05-16
Filing date: 2006-05-16
Publication date: 2007-11-29

Abstract

【課題】サーバが提供するサービスの不正利用を防止する通信システムを得ること。
【解決手段】サービスを提供する複数のＷｅｂサーバ１Ａ，１Ｂ，１Ｃにシングルサインオンでアクセスしてサービスを取得するクライアント端末３を備えた通信システム１００において、クライアント端末３のログインに関するクッキーをクライアント端末３に送信するとともに、クライアント端末３から送信されたユーザ識別情報に基づいてサービスの提供を許可するか否かの判断を行う認証サーバ２を備え、認証サーバ２はサービスの提供を許可する場合にサービスの提供を許可する情報をクッキーとは別の認可チケットとしてクライアント端末３に送信し、各Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃは、クライアント端末３からのクッキーおよび認可チケットに基づいてサービスをクライアント端末３に提供するか否かを判断する。
【選択図】図１

Description

本発明は、シングルサインオンシステムでユーザにサービス提供を行なう通信システム、サービス提供サーバおよびユーザ認証サーバに関するものである。

近年、コンピュータのネットワーク化が進み、１つのユーザ端末から複数のサーバ（ＷＷＷ（World Wide Web）サーバ）へアクセスすることが可能となっている。このようなネットワーク内においては、ユーザ端末から各サーバへのアクセスを容易かつ安全に行なうことが望まれる。ユーザ端末から各サーバへのアクセスを容易に行なう技術として、ユーザ端末が１度のログインで複数のサーバにアクセスできるよう制御する機能を用いたシングルサインオンがある。

例えば、複数のサーバへのシングルサインオンを実現する方法として、ユーザ端末からサーバへのログイン成功時に、ユーザ（ユーザ端末）の認証に成功したことを示す情報をＣｏｏｋｉｅに設定する方法がある。この方法では、Ｃｏｏｋｉｅに設定された情報（ユーザの認証に成功したことを示す情報）に基づいて、以降のログイン操作を省略し、ユーザ端末から各サーバへのアクセスを容易化している（特許文献１，２参照）。

特開２００３−２９６２７７号公報特開平１１−２８２８０４号公報

しかしながら、上記従来の技術では、サーバからユーザ端末へのサービス提供の可否をＣｏｏｋｉｅのみで判断しているため、Ｃｏｏｋｉｅが盗用されるとサーバが提供するサービスの不正利用が可能となってしまうという問題があった。

本発明は、上記に鑑みてなされたものであって、ユーザ端末からサーバへのアクセスを容易に行なわせるとともに、サーバが提供するサービスの不正利用を防止する通信システム、サービス提供サーバおよびユーザ認証サーバを得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明は、サービスを提供する複数のサービス提供サーバと当該複数の各サービス提供サーバにシングルサインオンでアクセスしてサービスを取得する通信端末とを備えた通信システムにおいて、前記通信端末からベーシック認証要求があった場合に、前記通信端末のログインに関するクッキーを前記通信端末に送信するとともに、前記通信端末から送信された当該通信端末のユーザを識別するユーザ識別情報に基づいて前記通信端末から要求のあったサービスの提供を許可するか否かの判断を行うユーザ認証サーバを備え、前記ユーザ認証サーバは、前記通信端末から要求のあったサービスの提供を許可する場合に、前記通信端末から要求のあったサービスの提供を許可する情報を前記クッキーとは別の認可チケットとして前記通信端末に送信し、前記各サービス提供サーバは、前記通信端末から送信される前記クッキーおよび前記認可チケットに基づいて、前記通信端末から要求のあったサービスを前記通信端末に提供するか否かを判断し、前記通信端末から要求のあったサービスを前記通信端末に提供すると判断した場合に、前記通信端末から要求のあったサービスを前記通信端末に提供することを特徴とする。

この発明によれば、ユーザ認証サーバがサービスの提供を許可するか否かをユーザ識別情報に基づいて判断するとともにサービスの提供を許可する場合にサービスの提供を許可する情報をクッキーとは別の認可チケットとして通信端末に送信し、各サービス提供サーバが通信端末から送信されるクッキーおよび認可チケットに基づいてサービスを通信端末に提供するか否かを判断するので、通信端末からサービス提供サーバへのアクセスを容易に行なわせつつサービス提供サーバが提供するサービスの不正利用を防止することが可能になるという効果を奏する。

以下に、本発明にかかる通信システム、サービス提供サーバおよびユーザ認証サーバの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

実施の形態
図１は、本発明の実施の形態に係る通信システムの構成を示す図である。通信システム１００は、複数のサーバ（Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃ）、認証サーバ２、クライアント端末３を備えている。通信システム１００においては、各Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃ、認証サーバ２、クライアント端末３がそれぞれ、通信ネットワークであるネットワーク４を介して接続されている。

なお、ここでのＷｅｂサーバ１Ａ，１Ｂ，１Ｃが特許請求の範囲に記載のサービス提供サーバに対応し、ここでの認証サーバ２が特許請求の範囲に記載のユーザ認証サーバに対応する。また、ここでのクライアント端末３が特許請求の範囲に記載の通信端末に対応する。

Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃは、クライアント端末３に種々の情報（保護対象となるサービス）を提供するサーバであり、コンピュータ等を備えて構成されている。認証サーバ２は、クライアント端末３のログイン処理を行なうサーバであり、コンピュータ等を備えて構成されている。認証サーバ２は、クライアント端末３から送信されるユーザＩＤ・パスワード（ユーザ識別情報）に基づいて、クライアント端末３のＷｅｂサーバ１Ａ，１Ｂ，１Ｃへのアクセスを許可するか否かを判断する。

クライアント端末３は、パーソナルコンピュータ等の通信機能を備えた端末であり、Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃに対してシングルサインオンでアクセスする。クライアント端末３は、Ｗｅｂブラウザを備えており、このＷｅｂブラウザを用いてＷｅｂサーバ１Ａ，１Ｂ，１Ｃから種々のサービスを取得し、表示・再生する。ここでの、クライアント端末３は、ベーシック認証（ユーザ認証）の要求を行なうベーシック認証要求用のユーザＩＤ・パスワードを認証サーバ２へ送信し、認証サーバ２にＷｅｂサーバ１Ａ，１Ｂ，１Ｃのサービスを要求する。

なお、ここでのＷｅｂサーバ１Ａ，１Ｂ，１Ｃ、認証サーバ２は、同一ドメインにあるものとする。例えば、Ｗｅｂサーバ１ＡのＦＱＤＮ（Fully Qualified Domain Name）を、ｗｗｗ．ｄｏｍａｉｎ．ｃｏ．ｊｐとし、認証サーバ２のＦＱＤＮをｗｗｗ．ａｓｅｒｖｅｒ．ｄｏｍａｉｎ．ｃｏ．ｊｐとする。

ここで、認証サーバ２、Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃの詳細な構成について説明する。図２は、認証サーバの構成を示すブロック図である。認証サーバ２は、通信部２１、通信制御部２２、認可チケット作成部２３、ユーザ認証部（判断部）２４、記憶部２５、制御部２９を備えている。通信部２１は、ネットワーク４を介してクライアント端末３と情報（認証要求やその応答、ベーシック認証要求やその応答など）の送受信を行う。

通信制御部２２は、クライアント端末３との間でやりとりする情報の送受信を制御する。通信制御部２２は、クライアント端末３から認証要求を受けると、クライアント端末３にベーシック認証を要求させる応答（ベーシック認証要求を指示する情報）を送信し、クライアント端末３からベーシック認証要求を受けると、クライアント端末３にベーシック認証要求に対する応答（Ｃｏｏｋｉｅ（クッキー）や後述の認可チケット）を送信する。

また、通信制御部２２は、クライアント端末３からログアウト要求を受けると、クライアント端末３にログアウトを実行させる応答（ログアウト処理の実行を指示する情報）を送信し、クライアント端末３からログアウト実行を受けると、クライアント端末３のＣｏｏｋｉｅを削除させる指示情報（応答）をクライアント端末３に送信する。

記憶部２５は、各Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃへの接続条件に関する情報を含んだＡＣＬ（Access Control List）（アクセスコントロールリスト）、クライアント端末３のベーシック認証に必要なユーザＩＤ・パスワードを記憶する。また、記憶部２５は、サービスのコンテンツパスとサービスの対応付けに関する情報を記憶する。

ユーザ認証部２４は、クライアント端末３から送信される情報（ベーシック認証に必要なユーザＩＤ・パスワード）、記憶部２５が記憶するクライアント端末３のベーシック認証に必要なユーザＩＤ・パスワードに基づいて、クライアント端末３のユーザ認証を行なう。また、ユーザ認証部２４は、クライアント端末３から送信される情報（認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ）に基づいて、クライアント端末３のログイン状態を判断する。また、ユーザ認証部２４は、記憶部２５が記憶するアクセスコントロールリストを用いて、Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃへの接続可否（サービス提供の可否）を判断する。

認可チケット作成部２３は、Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃへの接続可否を示す情報（認可チケット）を作成する。認可チケット作成部２３は、ユーザ認証部２４が、クライアント端末３のユーザ認証に成功した場合に、クライアント端末３から要求されるＷｅｂサーバ（Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃの何れか）に対する認可チケットを作成する。なお、ユーザ認証部２４は、認可チケットをＣｏｏｋｉｅとは独立した別の情報として作成する。認可チケット作成部２３は、作成した認可チケットを通信部２１を介してクライアント端末３に送信する。制御部２９は、通信部２１、通信制御部２２、認可チケット作成部２３、ユーザ認証部２４、記憶部２５を制御する。

つぎに、Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃの構成について説明する。なお、Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃは同様の構成を有するので、ここではＷｅｂサーバ１Ａを例にとって説明する。

図３は、Ｗｅｂサーバの構成を示すブロック図である。Ｗｅｂサーバ１Ａは、通信部１１、通信制御部１２、サービス提供部１３、サービス可否判断部（判断部）１４、記憶部１５、制御部１９を備えている。

通信部１１は、ネットワーク４を介してクライアント端末３と情報（サービス要求やサービス提供など）の送受信を行う。通信制御部１２は、クライアント端末３との間でやりとりする情報の送受信を制御する。通信制御部１２は、クライアント端末３との間で情報を送受信する際のセッションを生成する。

通信制御部１２は、クライアント端末３からサービス要求があった場合に、サービス要求内にＣｏｏｋｉｅがなければ、クライアント端末３にＣｏｏｋｉｅを要求する応答（後述の認証要求）を送るとともに、生成済みのセッションがあればこのセッションを削除して新たなセッションを生成する。

通信制御部１２は、クライアント端末３からサービス要求があった場合に、サービス要求内にＣｏｏｋｉｅがあって認可チケットがなければ、ユーザ認証（認可チケット）を要求する応答（後述のベーシック認証要求を指示する応答）を送る。

通信制御部１２は、クライアント端末３からサービス要求があった場合に、サービス要求内にＣｏｏｋｉｅと認可チケットがあれば、この認可チケットをセッションに保管（格納）する。通信制御部１２は、既に生成してあるセッションの認可チケット内の管理番号と、新たなに受信したＣｏｏｋｉｅの管理番号が異なる場合に、生成済みのセッションを削除して新たなセッションを生成する。記憶部１５は、通信制御部１２が生成したセッションを記憶する。

サービス可否判断部１４は、クライアント端末３から送られる認証Ｃｏｏｋｉｅに基づいて、クライアント端末３がログイン済みであるか否かを判断する。サービス可否判断部１４は、クライアント端末３から送られる後述のログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号とに基づいて、クライアント端末３へサービス提供を行なってよいか否かを判断する。サービス可否判断部１４は、クライアント端末３から送られるログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号が同じである場合、クライアント端末３へサービス提供を行なってよいと判断する。

また、サービス可否判断部１４は、セッションに保管した認可チケット内の情報、クライアント端末３から送信されたコンテンツパス（クライアント端末３によってサービス要求されるコンテンツのパス）に基づいて、クライアント端末３から送信されたコンテンツパスに対応するサービスをクライアント端末３に提供してよいか否かを判断する。サービス可否判断部１４は、クライアント端末３へサービス提供を行なってもよいと判断した場合に、サービス提供を行なってもよいと判断したサービスをクライアント端末３に提供するようサービス提供部１３に指示する。

サービス提供部１３は、サービス可否判断部１４がクライアント端末３へサービス提供を行なってよいと判断した場合に、サービス可否判断部１４からの指示に基づいて、クライアント端末３へ所定の情報（サービス）を提供する。制御部１９は、通信部１１、通信制御部１２、サービス提供部１３、サービス可否判断部１４、記憶部１５を制御する。

つぎに、通信システム１００の処理手順について説明する。まず、通信システム１００の処理手順として、クライアント端末３によるログイン実行時の処理手順を説明する。図４は、通信システムのログイン実行時の処理手順を示すフローチャートである。

クライアント端末３は、まずＷｅｂサーバ１Ａにサービスを要求するためのサービス要求（情報）を送信する。ここでのサービス要求にはコンテンツを指定するコンテンツパスが含まれている（１）。クライアント端末３から送信されたサービス要求はネットワーク４を介してＷｅｂサーバ１Ａに送られる。以下、クライアント端末３とＷｅｂサーバ１Ａとの間の情報の送受信、クライアント端末３と認証サーバ２との間の情報の送受信はネットワーク４を介して行なわれる。

Ｗｅｂサーバ１Ａの通信部１１は、クライアント端末３からサービス要求を受信し、このサービス要求を通信制御部１２に入力する。通信制御部１２は、クライアント端末３からのサービス要求が入力されると、クライアント端末３との間のセッションを生成する。

また、クライアント端末３からのサービス要求には、Ｃｏｏｋｉｅが含まれていないため、ここでの通信制御部１２は、認証サーバ２へリダイレクト送信を行なう指示情報（以下、リダイレクト指示という）を、サービス要求に対する応答として通信部１１からクライアント端末３に送信する。ここでのリダイレクト指示（応答）は、認証サーバ２によるユーザ認証をクライアント端末３に指示するための指示情報であり、認証サーバ２のアドレス、クライアント端末３から要求のあったサービスのコンテンツパスを含んでいる（２）。

クライアント端末３は、Ｗｅｂサーバ１Ａからリダイレクト指示を受信すると、このリダイレクト指示に含まれる認証サーバ２のアドレスを抽出し、この認証サーバ２に接続する。そして、クライアント端末３は認証サーバ２にユーザ認証の要求（認証要求）を行なう（３）。

認証サーバ２の通信部２１は、クライアント端末３からの認証要求を受信すると、この認証要求を通信制御部２２に入力する。通信制御部２２は、クライアント端末３から認証要求を受けると、クライアント端末３にベーシック認証を要求させる応答（ベーシック認証要求を指示する情報）を送信する。ここでのベーシック認証要求の指示情報は、例えばベーシック認証のログイン画面としてクライアント端末３に送信される。また、ここでのベーシック認証要求の指示情報は、クライアント端末３から要求のあったサービスのコンテンツパスを含んでいる（４）。

クライアント端末３は、認証サーバ２からベーシック認証要求の指示情報を受信すると、ベーシック認証を行なうためのユーザＩＤとパスワードを、ベーシック認証要求として認証サーバ２に送信する。ここでのベーシック認証要求は、クライアント端末３が要求したサービスのコンテンツパスを含んでいる。クライアント端末３は、ベーシック認証のログイン画面にユーザＩＤとパスワードを入力して、認証サーバ２に送信する（５）。クライアント端末３は、認証サーバ２へ送信したユーザＩＤとパスワードと記憶しておく。

認証サーバ２は、クライアント端末３からベーシック認証要求を受信すると、ユーザ認証部２４が、クライアント端末３のベーシック認証を行なう。具体的には、ユーザ認証部２４が、予め記憶部２５に登録してあるクライアント端末３のユーザＩＤ・パスワードと、受信したベーシック認証要求内のユーザＩＤ・パスワードとが同一であるか否かを確認する。

ユーザ認証部２４は、記憶部２５に登録してあるクライアント端末３のユーザＩＤ・パスワードと、受信したベーシック認証要求内のユーザＩＤ・パスワードとが同一であると判断すると（ベーシック認証成功）、クライアント端末３から要求のあったサービスをクライアント端末３に提供可能か否かを判断する。

ユーザ認証部２４は、クライアント端末３から要求のあったサービスをクライアント端末３に提供可能か否かを判断するため、クライアント端末３からのベーシック認証要求に含まれるコンテンツパスを抽出する。そして、記憶部２５に記憶しているコンテンツパスとＷｅｂサーバとの対応付けに関する情報を用いて、抽出したコンテンツパスに対応するＷｅｂサーバを特定する。ここでのユーザ認証部２４は、コンテンツパスに対応するＷｅｂサーバとしてＷｅｂサーバ１Ａを特定し、記憶部２５内のアクセスコントロールリストを用いて、クライアント端末３から要求のあったサービスをクライアント端末３に提供可能か否かを判断する。

ユーザ認証部２４がクライアント端末３から要求のあったサービスをクライアント端末３に提供可能であると判断すると、制御部２９は通信制御部２２、認可チケット作成部２３に、ベーシック認証要求に対する応答（クライアント端末３へのリダイレクト指示）を行なわせる。

まず、認可チケット作成部２３は、Ｗｅｂサーバ１Ａへのアクセス許可を示す認可チケットを作成する。ここでの認可チケットは、後述のログイン管理番号Ｃｏｏｋｉｅ（認証サーバ２が付与する管理番号）と同じ情報（ログイン管理番号）を含んでいる。通信制御部２２は、通信部２１からクライアント端末３にベーシック認証要求に対する応答を送信する。

ここでの応答には、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット作成部２３が作成した認可チケット、クライアント端末３から要求のあったサービスのコンテンツパス（Ｗｅｂサーバ１Ａのコンテンツパス）を含んでいる。

認証Ｃｏｏｋｉｅは、Ｃｏｏｋｉｅとして送信される情報であり、クライアント端末３のユーザがログイン済みであることを示す情報である。ログイン管理番号Ｃｏｏｋｉｅは、Ｃｏｏｋｉｅとして送信される情報であり、ログイン毎にユニークな番号（ログインを識別する情報）である。ログイン管理番号Ｃｏｏｋｉｅは、ログインからログアウトまでの間、一時的に割当てられる番号である。

認証Ｃｏｏｋｉｅとログイン管理番号Ｃｏｏｋｉｅは、クライアント端末３（ブラウザ）に保管される情報であり、認可チケットは、クライアント端末３からＷｅｂサーバ１Ａに送信されてＷｅｂサーバ１Ａのセッション上に保管される情報である。また、認証Ｃｏｏｋｉｅとログイン管理番号Ｃｏｏｋｉｅは、同一のドメイン内（Ｗｅｂサーバ１Ａ，１Ｂ，１Ｃ、認証サーバ２）で共通して使用可能な情報である。

認証サーバ２は、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅを、Ｃｏｏｋｉｅとしてクライアント端末３に送信し、認可チケット、コンテンツパスを、ＨＴＴＰ（HyperText Transport Protocol）のＧＥＴメソッドまたはＰＯＳＴメソッドによってクライアント端末３に送信する（６）。

クライアント端末３は、認証サーバ２からリダイレクト指示を受信すると、認証サーバ２から受信したコンテンツパス（サービス要求時に指定したコンテンツパス）に対応するＷｅｂサーバ（Ｗｅｂサーバ１Ａ）に接続する。そして、クライアント端末３は、サービス要求として、認証サーバ２から受信した認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット、コンテンツパスを接続中のＷｅｂサーバ１Ａに送信する（７）。

ここでのクライアント端末３は、ＨＴＴＰのＧＥＴメソッドまたはＰＯＳＴメソッドによって認可チケット、コンテンツパスをＷｅｂサーバ１Ａに送信する。Ｗｅｂサーバ１Ａは、クライアント端末３から送信された認可チケットを受信すると、この認可チケットをクライアント端末３との間に生成したセッションに保管する。

つぎに、Ｗｅｂサーバ１Ａのサービス可否判断部１４は、クライアント端末３から受信した認証Ｃｏｏｋｉｅに基づいて、クライアント端末３のユーザがログイン済みであることを確認する。

さらに、サービス可否判断部１４は、クライアント端末３から受信したログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管してある認可チケット内のログイン管理番号が同じであるか否かを判断する。サービス可否判断部１４は、ログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号が同じであると判断すると、認可チケット内の情報（アクセス制御の条件）に基づいて、クライアント端末３のユーザへサービス提供してもよいか否か（クライアント端末３がサービスを受ける権限を有しているか否か）を判断する。

サービス可否判断部１４が、クライアント端末３のユーザへサービス提供してもよいと判断すると、サービス提供部１３はコンテンツパスに対応するサービスをクライアント端末３に送信し、サービス提供を行なう（８）。

なお、ここでは認証サーバ２が、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット、コンテンツパスをクライアント端末３に送信することとしたが、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット、コンテンツパスをそれぞれ別のサーバからクライアント端末３に送信する構成としてもよい。この場合、クライアント端末３は、（３）や（５）の処理において、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット、コンテンツパスを送信する複数のサーバにアクセスし、アクセスしたサーバから認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット、コンテンツパスを取得する。

つぎに、通信システム１００の処理手順として、クライアント端末３によるシングルサインオン実行時の処理手順を説明する。図５は、通信システムのシングルサインオン実行時の処理手順を示すフローチャートである。

ここでは、クライアント端末３がログイン済みの状態で、Ｗｅｂサーバ１Ａとは異なるＷｅｂサーバ１Ｂにサービス要求を行なう場合について説明する。クライアント端末３は、ログイン済みであるため、ベーシック認証に必要なユーザＩＤ・パスワード、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅを保持している。

まず、クライアント端末３が、Ｗｅｂサーバ１Ｂにサービス要求を送信する。ここでのサービス要求にはコンテンツパス、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅが含まれている（１１）。

Ｗｅｂサーバ１Ｂの通信部１１は、クライアント端末３からサービス要求を受信し、このサービス要求を通信制御部１２に入力する。通信制御部１２は、クライアント端末３からのサービス要求が入力されると、クライアント端末３との間のセッションを生成する。

また、通信制御部１２は、クライアント端末３から受信したサービス要求がＣｏｏｋｉｅを含んでいるので、認証サーバ２へのリダイレクト指示（ベーシック認証要求）を、サービス要求に対する応答としてクライアント端末３に送信する。ここでのリダイレクト指示（応答）には、認証サーバ２のアドレス、クライアント端末３から要求のあったサービスのコンテンツパスを含んでいる（１２）。

クライアント端末３は、Ｗｅｂサーバ１Ｂからリダイレクト指示を受信すると、このリダイレクト指示に含まれる認証サーバ２のアドレスを抽出し、この認証サーバ２に接続する。クライアント端末３は、すでにログイン済みであるため、認証サーバ２にベーシック認証を行なうためのユーザＩＤ・パスワード、認証Ｃｏｏｋｉｅ、コンテンツパスを、ベーシック認証要求として認証サーバ２に送信する（１３）。

認証サーバ２は、クライアント端末３からベーシック認証要求を受信する。認証サーバ２のユーザ認証部２４は、クライアント端末３から認証Ｃｏｏｋｉｅを受信したので、クライアント端末３は既にログイン済みであると判断する。そして、ユーザ認証部２４は、予め記憶部２５に登録してあるクライアント端末３のユーザＩＤ・パスワードと、受信したベーシック認証要求内のユーザＩＤ・パスワードとが同一であるか否かを確認する。

ユーザ認証部２４は、記憶部２５に登録してあるクライアント端末３のユーザＩＤ・パスワードと、受信したベーシック認証要求内のユーザＩＤ・パスワードとが同一であると判断すると、クライアント端末３から要求のあったサービスをクライアント端末３に提供可能か否かを判断する。

ユーザ認証部２４は、クライアント端末３から要求のあったサービスをクライアント端末３に提供可能か否かを判断するため、クライアント端末３からのベーシック認証要求に含まれるコンテンツパスを抽出する。そして、記憶部２５に記憶しているコンテンツパスとＷｅｂサーバとの対応付けに関する情報を用いて、抽出したコンテンツパスに対応するＷｅｂサーバを特定する。ここでのユーザ認証部２４は、コンテンツパスに対応するＷｅｂサーバとしてＷｅｂサーバ１Ｂを特定し、記憶部２５内のアクセスコントロールリストを用いて、クライアント端末３から要求のあったサービスをクライアント端末３に提供可能か否かを判断する。

まず、認可チケット作成部２３は、Ｗｅｂサーバ１Ｂへのアクセス許可を示す認可チケットを作成する。ここでの認可チケットには、クライアント端末３から受信したログイン管理番号Ｃｏｏｋｉｅと同じ情報（ログイン管理番号）が含まれている。通信制御部２２は、通信部２１からクライアント端末３にベーシック認証要求に対する応答を送信する。

ここでの応答には、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット作成部２３が作成した認可チケット、クライアント端末３から要求のあったサービスのコンテンツパス（Ｗｅｂサーバ１Ｂのコンテンツパス）を含んでいる。

認証サーバ２は、認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅを、Ｃｏｏｋｉｅとしてクライアント端末３に送信し、認可チケット、コンテンツパスを、ＨＴＴＰのＧＥＴメソッドまたはＰＯＳＴメソッドによってクライアント端末３に送信する（１４）。

クライアント端末３は、認証サーバ２からリダイレクト指示（応答）を受信すると、認証サーバ２から受信したコンテンツパス（サービス要求時に指定したコンテンツパス）に対応するＷｅｂサーバ（Ｗｅｂサーバ１Ｂ）に接続する。そして、クライアント端末３は、サービス要求として、認証サーバ２から受信した認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ、認可チケット、コンテンツパスを接続中のＷｅｂサーバ１Ｂに送信する（１５）。

ここでのクライアント端末３は、ＨＴＴＰのＧＥＴメソッドまたはＰＯＳＴメソッドによって認可チケット、コンテンツパスをＷｅｂサーバ１Ｂに送信する。Ｗｅｂサーバ１Ｂは、クライアント端末３から送信された認可チケットを受信すると、この認可チケットをクライアント端末３との間に生成したセッションに保管する。

つぎに、Ｗｅｂサーバ１Ｂのサービス可否判断部１４は、クライアント端末３から受信した認証Ｃｏｏｋｉｅに基づいて、クライアント端末３のユーザがログイン済みであることを確認する。

さらに、サービス可否判断部１４は、ログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号が同じであるか否かを判断する。サービス可否判断部１４が、ログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号が同じであると判断すると、認可チケット内の情報（アクセス制御の条件）に基づいて、クライアント端末３のユーザへサービス提供してもよいか否か（クライアント端末３がサービスを受ける権限を有しているか否か）を判断する。

サービス可否判断部１４が、クライアント端末３のユーザへサービス提供してもよいと判断すると、サービス提供部１３はコンテンツパスに対応するサービスをクライアント端末３に送信し、サービス提供を行なう（１６）。

ここで、通信システム１００の処理手順として、Ｃｏｏｋｉｅ（認証Ｃｏｏｋｉｅ）が盗用された場合の処理手順を説明する。図６は、Ｃｏｏｋｉｅが盗用された場合の通信システムの処理手順を示すフローチャートである。

ここでは、Ｃｏｏｋｉｅを盗用してＷｅｂサーバにアクセスする端末をクライアント端末Ｘとし、クライアント端末ＸがアクセスするＷｅｂサーバをＷｅｂサーバ１Ｃとして説明する。

認証Ｃｏｏｋｉｅを盗んだクライアント端末Ｘは、まずＷｅｂサーバ１Ｃにサービスを要求するためのサービス要求（情報）を送信する（２１）。Ｗｅｂサーバ１Ｃの通信部１１は、クライアント端末Ｘからサービス要求を受信し、このサービス要求を通信制御部１２に入力する。通信制御部１２は、クライアント端末Ｘからのサービス要求が入力されると、クライアント端末Ｘとの間のセッションを生成する。

また、クライアント端末３からのサービス要求は、Ｃｏｏｋｉｅを含んでいないため、ここでの通信制御部１２は、認証サーバ２へのリダイレクト指示を、サービス要求に対する応答としてクライアント端末Ｘに送信する。ここでのリダイレクト指示（応答）には、認証サーバ２のアドレス、クライアント端末Ｘから要求のあったサービスのコンテンツパスを含んでいる（２２）。

クライアント端末Ｘは、Ｗｅｂサーバ１Ｃからリダイレクト指示を受信すると、このリダイレクト指示に含まれる認証サーバ２のアドレスを抽出し、この認証サーバ２に接続する。そして、クライアント端末Ｘは認証サーバ２にユーザ認証の要求（認証要求）を行なう（２３）。

認証サーバ２の通信部２１は、クライアント端末Ｘからの認証要求を受信すると、この認証要求を通信制御部２２に入力する。通信制御部２２は、クライアント端末Ｘから認証要求を受けると、クライアント端末Ｘにベーシック認証要求を指示する情報を送信する。ここでのベーシック認証要求の指示情報は、例えばベーシック認証のログイン画面としてクライアント端末Ｘに送信される（２４）。

クライアント端末Ｘは、認証サーバ２からベーシック認証要求の指示情報を受信すると、ベーシック認証を行なうためのユーザＩＤとパスワードを、ベーシック認証要求（２５）として認証サーバ２に送信しなければならない。ここでのクライアント端末Ｘは、盗用した認証Ｃｏｏｋｉｅに対応したベーシック認証用のユーザＩＤとパスワードが分からないため、ベーシック認証用のユーザＩＤとパスワードを認証サーバ２に送信することができない。このため、認証サーバ２のユーザ認証部２４は、クライアント端末Ｘのベーシック認証が失敗したと判断する。これにより、認証サーバ２の認可チケット作成部２３は、認可チケットを作成することなく処理を終了する。認証サーバ２からクライアント端末Ｘへは、認可チケットが送信されないので、クライアント端末ＸはＷｅｂサーバ１Ｃのサービス提供を受けることができない。

つぎに、通信システム１００の処理手順として、クライアント端末３によるシングルサインオフ実行時の処理手順を説明する。図７は、通信システムのシングルサインオフ実行時の処理手順を示すフローチャートである。

ここでは、クライアント端末３がログイン済みの状態で、Ｗｅｂサーバ１Ａ、Ｗｅｂサーバ１Ｂのサービスを利用中である場合のシングルサインオフについて説明する。Ｗｅｂサーバ１Ａ、Ｗｅｂサーバ１Ｂは、クライアント端末３がＷｅｂサーバ１Ａ、Ｗｅｂサーバ１Ｂのサービスを利用中であるため、それぞれ認可チケットをセッション上に保管している。

クライアント端末３は、認証サーバ２にログアウトを要求する（３１）。認証サーバ２の通信部２１は、クライアント端末３からのログアウト要求を受信すると、このログアウト要求を通信制御部２２に入力する。通信制御部２２は、クライアント端末３からログアウト要求を受けると、クライアント端末３にログアウトを実行させる応答（ログアウト処理の実行を指示する情報）を送信する。ここでのログアウトを実行させる応答は、例えばログアウト画面としてクライアント端末３に送信される（３２）。

クライアント端末３は、ログアウトを実行する指示情報を認証サーバ２に送信する（３３）。認証サーバ２の通信制御部２２は、クライアント端末３のＣｏｏｋｉｅ（認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ）を削除させる指示情報（応答）をクライアント端末３に送信する（３４）。これにより、クライアント端末３は、Ｗｅｂサーバ１Ａ，１Ｂに対応するＣｏｏｋｉｅ（認証Ｃｏｏｋｉｅ、ログイン管理番号Ｃｏｏｋｉｅ）を削除する。

ログアウトの実行後に、クライアント端末３がＷｅｂサーバ１Ａに接続してサービス要求を行なうと（３５）、Ｗｅｂサーバ１Ａの通信制御部１２は、クライアント端末３から認証Ｃｏｏｋｉｅを取得できないため、クライアント端末３との間で生成していたセッションを破棄する。そして、Ｗｅｂサーバ１Ａの通信制御部１２は、新たなセッションを生成する。Ｗｅｂサーバ１Ａでは、セッションを再生成することによって、セッションが切断されるため、クライアント端末３はＷｅｂサーバ１Ａからログアウトしたこととなる。

さらに、通信制御部１２は、認証サーバ２へのリダイレクト指示（応答）をクライアント端末３に送信する。ここでのリダイレクト指示（応答）には、認証サーバ２のアドレス、クライアント端末３から要求のあったサービスのコンテンツパスを含んでいる（３６）。

クライアント端末３は、Ｗｅｂサーバ１Ａからリダイレクト指示を受信すると、このリダイレクト指示に含まれる認証サーバ２のアドレスを抽出し、この認証サーバ２に接続する。クライアント端末３は、ベーシック認証が済んでいるため、ベーシック認証に必要なユーザＩＤ・パスワードをベーシック認証要求として認証サーバ２に送信する。ここでのベーシック認証要求は、クライアント端末３が要求したサービスのコンテンツパスを含んでいる（３７）。

認証サーバ２は、クライアント端末３からベーシック認証要求を受信すると、ユーザ認証部２４が、予め記憶部２５に登録してあるクライアント端末３のユーザＩＤ・パスワードと、受信したベーシック認証要求内のユーザＩＤ・パスワードとが同一であるか否かを確認する。

まず、認可チケット作成部２３は、Ｗｅｂサーバ１Ａへのアクセス許可を示す認可チケットを作成する。ここでの認可チケットは、新たなログイン管理番号Ｃｏｏｋｉｅと同じ情報（新たなログイン管理番号）を含んでいる。通信制御部２２は、クライアント端末３にベーシック認証要求に対する応答を送信する。

ここでの応答には、認証Ｃｏｏｋｉｅ、新たなログイン管理番号Ｃｏｏｋｉｅ、認可チケット作成部２３が作成した新たな認可チケット、クライアント端末３から要求のあったサービスのコンテンツパスを含んでいる。

認証サーバ２は、認証Ｃｏｏｋｉｅ、新たなログイン管理番号Ｃｏｏｋｉｅを、Ｃｏｏｋｉｅとしてクライアント端末３に送信し、新たな認可チケット、コンテンツパスを、ＨＴＴＰのＧＥＴメソッドまたはＰＯＳＴメソッドによってクライアント端末３に送信する（３８）。

クライアント端末３は、認証サーバ２からリダイレクト指示を受信すると、認証サーバ２から受信したコンテンツパス（サービス要求時に指定したコンテンツパス）に対応するＷｅｂサーバ（Ｗｅｂサーバ１Ａ）に接続する。そして、クライアント端末３は、サービス要求として、認証サーバ２から受信した認証Ｃｏｏｋｉｅ、新たなログイン管理番号Ｃｏｏｋｉｅ、新たな認可チケット、コンテンツパスを接続中のＷｅｂサーバ１Ａに送信する（３９）。

ここでのクライアント端末３は、ＨＴＴＰのＧＥＴメソッドまたはＰＯＳＴメソッドによって認可チケット、コンテンツパスをＷｅｂサーバ１Ａに送信する。Ｗｅｂサーバ１Ａは、クライアント端末３から送信された新たな認可チケットを受信すると、この認可チケットをクライアント端末３との間に生成した新たなセッションに保管する。

つぎに、Ｗｅｂサーバ１Ａのサービス可否判断部１４は、クライアント端末３から受信した認証Ｃｏｏｋｉｅに基づいて、クライアント端末３のユーザがログイン済みであることを確認する。さらに、サービス可否判断部１４は、ログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号が同じであるか否かを判断する。サービス可否判断部１４が、ログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号が同じであると判断すると、認可チケット内の情報（アクセス制御の条件）に基づいて、クライアント端末３のユーザへサービス提供してもよいか否か（クライアント端末３がサービスを受ける権限を有しているか否か）を判断する。

サービス可否判断部１４が、クライアント端末３のユーザへサービス提供してもよいと判断すると、サービス提供部１３はコンテンツパスに対応するサービスをクライアント端末３に送信し、サービス提供を行なう（４０）。

この後、クライアント端末３がＷｅｂサーバ１Ｂに接続してサービス要求を行なう場合、クライアント端末３からＷｅｂサーバ１Ｂに認証Ｃｏｏｋｉｅと新たなログイン管理番号Ｃｏｏｋｉｅが送られる（４１）。

Ｗｅｂサーバ１Ｂのサービス可否判断部１４は、クライアント端末３からログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管してある認可チケット内のログイン管理番号が同じであるか否かを判断する。ここでのログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管した認可チケット内のログイン管理番号は、ログイン管理番号Ｃｏｏｋｉｅの値が新たな値となっているため異なっている。

したがって、サービス可否判断部１４は、クライアント端末３から受信したログイン管理番号Ｃｏｏｋｉｅの値と、セッションに保管してある認可チケット内のログイン管理番号は異なると判断する。そして、通信制御部１２は生成済みのセッションを破棄して新たなセッションを生成する。さらに、通信制御部１２は、認証サーバ２へのリダイレクト指示を、サービス要求に対する応答としてクライアント端末３に送信する（４２）。Ｗｅｂサーバ１Ｂでは、セッションを再生成することによって、セッションが切断されるため、クライアント端末３はＷｅｂサーバ１Ｂからログアウトしたこととなる。

同様に、クライアント端末３は、ログアウト実行前に利用中であった全てのＷｅｂサーバからログアウトすることが可能となり、１度のログアウト操作で全てのＷｅｂサーバからログアウトすること（シングルサインオフ）が可能となる。この後、通信システム１００では、（３７）〜（４０）と同様の処理が行なわれ、クライアント端末３はＷｅｂサーバ１Ｂから所定のサービスを受信する。

なお、ここでは通信システム１００が複数のサーバとしてＷｅｂサーバ１Ａ，１Ｂ，１Ｃを備えている場合について説明したが、通信システム１００は、複数のサーバとして２つ又は４つ以上のＷｅｂサーバを備える構成としてもよい。

このように実施の形態によれば、Ｃｏｏｋｉｅとは別に認可チケットを用いて、クライアント端末へのサービス提供の可否を判断している。このため、クライアント端末ＸがＣｏｏｋｉｅを盗用してＷｅｂサーバ１Ｃからサービスを受けようとしても、クライアント端末Ｘは、ベーシック認証用のユーザＩＤとパスワードが分からないため、認証サーバ２から認可チケットを取得することができず、Ｗｅｂサーバ１Ｃからサービスの提供を受けることができない。したがって、Ｃｏｏｋｉｅを盗用したクライアント端末Ｘによるサービスの不正利用（なりすまし）を防止することが可能となる。

また、通信システム１００は、各Ｗｅｂサーバ１Ａ，１Ｂでログアウト処理を判断するので、認証サーバ２に大きな負荷をかけることなく容易にシングルサインオフを実行することが可能となる。また、シングルサインオフを容易に実行できるので、クライアント端末３を複数人のユーザで使用する場合にサービスの不正利用を容易に防止することが可能となる。

以上のように、本発明にかかる通信システム、サービス提供サーバおよびユーザ認証サーバは、シングルサインオンによるサービス提供に適している。

本発明の実施の形態に係る通信システムの構成を示す図である。認証サーバの構成を示すブロック図である。Ｗｅｂサーバの構成を示すブロック図である。通信システムのログイン実行時の処理手順を示すフローチャートである。通信システムのシングルサインオン実行時の処理手順を示すフローチャートである。Ｃｏｏｋｉｅが盗用された場合の通信システムの処理手順を示すフローチャートである。通信システムのシングルサインオフ実行時の処理手順を示すフローチャートである。

符号の説明

１Ａ，１Ｂ，１ＣＷｅｂサーバ
２認証サーバ
３クライアント端末
４ネットワーク
１１，２１通信部
１２，２２通信制御部
１３サービス提供部
１４サービス可否判断部
１５，２５記憶部
１９，２９制御部
２３認可チケット作成部
２４ユーザ認証部
１００通信システム

Claims

サービスを提供する複数のサービス提供サーバと当該複数の各サービス提供サーバにシングルサインオンでアクセスしてサービスを取得する通信端末とを備えた通信システムにおいて、
前記通信端末からベーシック認証要求があった場合に、前記通信端末のログインに関するクッキーを前記通信端末に送信するとともに、前記通信端末から送信された当該通信端末のユーザを識別するユーザ識別情報に基づいて前記通信端末から要求のあったサービスの提供を許可するか否かの判断を行うユーザ認証サーバを備え、
前記ユーザ認証サーバは、前記通信端末から要求のあったサービスの提供を許可する場合に、前記通信端末から要求のあったサービスの提供を許可する情報を前記クッキーとは別の認可チケットとして前記通信端末に送信し、
前記各サービス提供サーバは、前記通信端末から送信される前記クッキーおよび前記認可チケットに基づいて、前記通信端末から要求のあったサービスを前記通信端末に提供するか否かを判断し、前記通信端末から要求のあったサービスを前記通信端末に提供すると判断した場合に、前記通信端末から要求のあったサービスを前記通信端末に提供することを特徴とする通信システム。
前記ユーザ認証サーバは、前記通信端末のログインに関する管理番号を含めたクッキーを前記通信端末に送信するとともに、前記通信端末のログインに関する管理番号を含めた認可チケットを前記通信端末に送信し、
前記サービス提供サーバは、前記通信端末から送信される前記クッキー内のログインに関する管理番号と、前記通信端末から送信される前記認可チケット内のログインに関する管理番号とに基づいて、前記通信端末から要求のあったサービスを前記通信端末に提供するか否かを判断することを特徴とする請求項１に記載の通信システム。
前記通信端末は、当該通信端末のベーシック認証要求を前記ユーザ認証サーバに行なう際に、前記ユーザ識別情報を前記ユーザ認証サーバに送信することを特徴とする請求項１または２に記載の通信システム。
前記サービス提供サーバは、前記通信端末から前記クッキーを取得できなかった場合に、前記通信端末との間に生成していたセッションを破棄して新たなセッションを生成することを特徴とする請求項１〜３のいずれか１つに記載の通信システム。
前記サービス提供サーバは、前記通信端末から送信される前記クッキー内のログインに関する管理番号と、前記通信端末から送信される前記認可チケット内のログインに関する管理番号とが異なる場合に、前記通信端末との間に生成していたセッションを破棄して新たなセッションを生成することを特徴とする請求項１〜４のいずれか１つに記載の通信システム。
シングルサインオンでアクセスしてサービスの要求を行なう通信端末に要求のあったサービスを提供するサービス提供サーバにおいて、
前記通信端末から要求のあったサービスを提供するか否かを判断する判断部と、
前記判断部が、前記通信端末から要求のあったサービスを提供してもよいと判断した場合に、前記通信端末から要求のあったサービスを提供するサービス提供部と、
を備え、
前記判断部は、前記通信端末のユーザを識別して前記通信端末から要求のあったサービスの提供を許可するか否かの判断を行うユーザ認証サーバから前記通信端末に送信される前記通信端末のログインに関するクッキー、および前記ユーザ認証サーバが前記サービスの提供を許可する場合に前記サービスの提供を許可する情報を前記クッキーとは別の認可チケットとして前記通信端末に送信する当該認可チケットを前記通信端末から取得し、取得した前記クッキーおよび前記認可チケットに基づいて、前記通信端末から要求のあったサービスを提供するか否かを判断することを特徴とするサービス提供サーバ。
シングルサインオンでアクセスしてサービスの要求を行なう通信端末に前記サービスを提供する複数のサービス提供サーバに対し、前記通信端末から要求のあったサービスの提供を許可するか否かを判断するユーザ認証サーバにおいて、
前記通信端末からユーザ認証の要求があった場合に、前記通信端末のログインに関するクッキーを前記通信端末に送信する通信部と、
前記通信端末から送信された当該通信端末のユーザを識別するユーザ識別情報に基づいて前記通信端末から要求のあったサービスの提供を許可するか否かの判断を行う判断部と、
を備え、
前記通信部は、前記判断部が前記通信端末から要求のあったサービスの提供を許可すると判断した場合に、前記サービス提供サーバが提供するサービスの提供を許可する情報を前記クッキーとは別の認可チケットとして前記通信端末に送信することを特徴とするユーザ認証サーバ。