JP5732732B2 - 認証サーバ装置、プログラム、および方法 - Google Patents

Description

本発明は、サーバに自動的にログインするためのシングル・サインオン・サービスのための処理に関する。

シングル・サインオンを使用するウェブ・サーバまたはそのアプリケーションのＵＲＩ（Uniform Resource Identifier）をシングル・サインオン用のサーバに登録する場合、ウェブ・サーバまたはアプリケーションの認証方式およびＩＰアドレス等の必要な情報を予め収集する必要がある。そのために、オペレータは、シングル・サインオンを使用するウェブ・サーバとクライアントの間の全ての通信ログを収集して解析し、ウェブ・サーバまたはアプリケーションからのＨＴＭＬ（HyperText Markup Language）で記述されたＵＲＬ（Uniform Resource Locator）情報を解析する必要がある。

その解析のために、管理者は、ミドルウェアとしての例えばＯＳ（Operating System）、データベース（ＤＢ）、ＨＴＭＬ、ＨＴＴＰ（HyperText Transfer Protocol）等に関する専門的知識を必要とする。また、管理者は、その登録のたびに、保存した電文とネットワーク上に流れる電文とを比較して解析する必要がある。

既知のシングル・サインオン方法では、ナレッジ（知識）として格納したシングル・サインオンを実現するシングル・サインオン・モジュールと、業務システムのログイン通信を解析し適用可能なシングル・サインオン・モジュールを選択し実行するシングル・サインオン・サーバとを用いる。それによって、ＨＴＴＰ、ＨＴＭＬなどの下位レイヤの知識を必要とせずにシングル・サインオンを実現する。それによって、短期間、低コストでのシングル・サインオンが実現できる。

特開２００６−３３１０４４号公報

しかしながら、既知のシングル・サインオン方法では、自動ログインを実現するために、全てのシングル・サインオン・モジュールとネットワークに流れる電文を比較する必要がある。自動ログインの度に全てのシングル・サインオン・モジュールと比較するため、シングル・サインオン・モジュールの種類が増えるほどＳＳＯサーバの負荷が高くなるという問題がある。

一側面では、本発明の目的は、自動ログイン時のサーバの負荷を抑えること、又はシングル・サインオンのための認証情報を簡単に登録できるようにすることである。

本発明の実施形態の一観点（特徴）によれば、シングル・サインオンによるログインを実現する認証サーバ装置は、記憶装置と、解析部と、を具えている。解析部は、サーバに対する第１のログイン要求に含まれるログイン情報から可変情報であることを表す所定形式の認証情報を抽出し、サーバの識別情報と対応付けて、抽出した所定形式の認証情報を記憶装置に格納し、ユーザの識別情報とユーザのサーバに対する認証情報とを含む第２のログイン要求に含まれるログイン情報から抽出されたユーザのサーバに対する認証情報を、ユーザのサーバに対するログインにおける所定形式の認証情報に対応する情報として記憶装置に格納する。

本発明の実施形態の一観点によれば、自動ログイン時のサーバの負荷を抑えることができ、又は、シングル・サインオンのための認証情報を簡単に登録できる。

図１は、ネットワーク５を介して相互に接続された、シングル・サインオン（ＳＳＯ）サーバと、管理者用およびユーザ用の情報処理端末と、ウェブ・サーバとの間の接続の例を示している。 図２は、シングル・サインオン・サーバの概略的な構成の例を示している。 図３は、データベース中のサーバ別のログイン情報のテーブルの例を示している。 図４Ａおよび４Ｂは、データベース中のサーバ別ユーザ別の認証情報のテーブルおよびサーバ別の可変情報のテーブルの例をそれぞれ示している。 図５Ａおよび５Ｂは、異なる認証方式に対する図３のサーバ別のログイン情報の具体的なテーブルの例を示している。 図６Ａおよび６Ｂは、図４Ａおよび４Ｂのサーバ別ユーザ別の認証情報のテーブルおよびサーバ別の可変情報の具体的なテーブルの例をそれぞれ示している。 図７は、シングル・サインオン・サーバによって実行される、情報処理端末からの各種のログイン要求に対するシングル・サインオン用の処理のためのフローチャートの例を示している。 図８は、シングル・サインオン・サーバによって実行される、管理者用の情報処理端末からのログイン要求に対するサーバ別のシングル・サインオン用のログイン情報の登録のためのフローチャートの例を示している。 図９は、サーバのログイン入力用ウェブ・ページを表すログイン入力画面の例を示している。 図１０は、シングル・サインオン・サーバによって実行される、ユーザ用の情報処理端末からのログイン要求に対するサーバ別のシングル・サインオン用のログイン情報の登録のためのフローチャートの例を示している。 図１１は、シングル・サインオン・サービス登録画面の例を示している。 図１２Ａおよび１２Ｂは、シングル・サインオン・サーバによって実行される、ユーザ用の情報処理端末からのウェブ・サーバへのログイン要求に対するシングル・サインオン処理のためのフローチャートの例を示している。 （図12Aで説明）

発明の目的および利点は、請求の範囲に具体的に記載された構成要素および組み合わせによって実現され達成される。

前述の一般的な説明および以下の詳細な説明は、典型例および説明のためのものであって、本発明を限定するためのものではない。

本発明の非限定的な実施形態を、図面を参照して説明する。図面において、同様の構成要素には同じ参照番号が付されている。

図１は、ネットワーク５を介して相互に接続された、シングル・サインオン（ＳＳＯ）サーバ１０と、管理者用の情報処理端末２０およびユーザ用の情報処理端末２２、．．．２４と、ウェブ・サーバ３０、３２、．．．３４との間の接続の例を示している。情報処理端末２０〜２４はクライアント・マシンである。情報処理端末２０〜２４において、それぞれのプロセッサ上にウェブ・ブラウザが実装（実行）される。情報処理端末２０〜２４において、シングル・サインオン・サーバ１０およびウェブ・サーバ３０〜３４との間の送受信および受信ＵＲＬ情報の表示または提示は、それぞれのウェブ・ブラウザによって実行される。シングル・サインオン・サーバ１０およびウェブ・サーバ３０〜３４は、情報処理装置としてのサーバ・マシンである。シングル・サインオン・サーバ１０は、データベース（ＤＢ）１６を有する。管理者用の情報処理端末２０としてユーザ用の情報処理端末２２〜２４が共用されてもよい。

ネットワーク５は、例えば、インターネット、ケーブルテレビ（ＣＡＴＶ）網、電話回線網、移動体通信網および／またはＬＡＮ等のネットワークを含んでいてもよい。情報処理端末２０〜２４は、例えば、パーソナル・コンピュータ（ＰＣ）、携帯電話機またはＰＤＡ（Personal Digital Assistant）であってもよい。ウェブ・サーバ３０〜３４は、ユーザの情報処理端末２２〜２４に対してコンテンツ供給または情報処理サービスを提供するアプリケーションを含んでいる。

ユーザは、ウェブ・サーバ３０〜３４またはそのアプリケーションに対するそれぞれのユーザ固有の認証情報を、シングル・サインオン・サーバ１０に予め登録することができる。それによって、ユーザはユーザの代表認証情報のみを用いて、それぞれ別々の認証を必要とする複数のウェブ・サーバ３０〜３４またはアプリケーションにアクセスすることができる。

図２は、シングル・サインオン・サーバ１０の概略的な構成の例を示している。
シングル・サインオン・サーバ１０は、プロセッサ１２、例えば磁気ディスクおよびＲＡＭのような記憶装置１４、受付部１０２、ログイン解析部１０４、ログイン実行部１０６、およびネットワーク５に接続されるネットワーク・インタフェース（ＮＷ／ＩＦ）を含んでいる。記憶装置１４は、サーバ用のプログラム、およびデータベース（ＤＢ）１６およびその他のデータ等を格納する。

受付部１０２、ログイン解析部１０４およびログイン実行部１０６は、記憶装置１４に格納されプロセッサ１２によって実行されるアプリケーション・プログラムとしてソフトウェアの形態で実装されていても、または集積回路としてハードウェアの形態で実装されていてもよい。データベース１６は、シングル・サインオン・サービスおよびその予備処理に必要なデータまたはファイルを格納している。

図３は、データベース１６中のサーバ別のログイン情報のテーブルの例を示している。
図３のサーバ別のログイン情報のテーブルは、例えば、次の各項目（エントリ）を含んでいる。
（１）ウェブ・サーバのトップ・ウェブページのＵＲＬまたはＵＲＩ、
（２）ウェブ・サーバのログイン用のＵＲＬまたはＵＲＩ、
（３）サーバの認証方式（Ｆｏｒｍ／Ｂａｓｉｃ）、
（４）認証用の固有情報、
（５）ログイン要求用のＵＲＬまたはＵＲＩ、および
（６）ログイン・データ情報。

図４Ａおよび４Ｂは、データベース１６中のサーバ別かつユーザ別の認証情報のテーブルおよびサーバ別の可変情報のテーブルの例をそれぞれ示している。

図４Ａのサーバ別ユーザ別の認証情報のテーブルは、例えば、特定のウェブ・サーバ識別と特定のユーザ識別の組合せに対する、次の各項目（エントリ）を含んでいる。
（１）代表認証情報としての代表ＩＤおよび代表パスワード、
（２）サーバまたはアプリケーション用のユーザＩＤ、および
（３）サーバまたはアプリケーション用のユーザ・パスワード。

図４Ｂのサーバ別の可変情報のテーブルは、例えば、ウェブ・サーバ識別に対する次の各項目（エントリ）を含んでいる。
（１）仮のユーザＩＤ、
（２）仮のパスワード、および
（３）仮のその他の可変情報。
図４Ｂにおける所定の形式の仮のユーザＩＤ（例えば、“ｕｉｄ”）および所定の形式の仮のパスワード（例えば、“ｐａｓｓｗｏｒｄ”）は、図４Ａの実際の認証情報としてのユーザＩＤおよびユーザ・パスワードを継承して用いることを表す。図４Ｂの仮のその他の可変情報は、図４Ａの認証情報中のいずれの項目の情報とも対応しないので、その“仮のその他の可変情報”が実際の“その他の可変情報”となってもよい。

図５Ａおよび５Ｂは、異なる認証方式（Ｆｏｒｍ／Ｂａｓｉｃ）に対する図３のサーバ別のログイン情報の具体的なテーブルの例を示している。

図５Ａのサーバ別のログイン情報の具体的なテーブルは、例えば、次の各項目（エントリ）を含んでいる。
（１）ウェブ・サーバのトップ・ウェブページのＵＲＬ“ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ｉｎｄｅｘ．ｈｔｍｌ”、
（２）ウェブ・サーバのログイン用のＵＲＬ“ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ｌｏｇｉｎ．ｈｔｍｌ”、
（３）ウェブ・サーバの認証方式“Ｆｏｒｍ”、
（４）ウェブ・サーバの認証用の固有情報“ｉｎｐｕｔ”、“ｎａｍｅ”、 “ｕｓｅｒＩＤ”、“ＬＯＧ＿ＩＮ”、“ｕｓｅｒｉｄ”、“ｐａｓｓｗｄ”“ｓｕｂｍｉｔ”、“ａｃｔｉｏｎ”、
（５）ウェブ・サーバのログイン要求用のＵＲＬ“ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ａｃｔｉｏｎ．ｈｔｍｌ”、および
（６）ウェブ・サーバのログイン・データ情報“ｕｓｅｒｉｄ＝ｕｉｄ，ｐａｓｓｗｄ＝ｐａｓｓｗｏｒｄ，ｄｏｃＩＤ＝ｋｅｙ１”。
図５Ａにおいて、破線の下線で示されたログイン・データ情報中の値“ｕｉｄ”、“ｐａｓｓｗｏｒｄ”および“ｋｅｙ１”は、ログイン用の仮の可変情報である。

図５Ｂのサーバ別のログイン情報の具体的なテーブルは、例えば、次の各項目を含んでいる。
（１）ウェブ・サーバのトップ・ウェブページのＵＲＬ“ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ｉｎｄｅｘ．ｈｔｍｌ”、
（２）ウェブ・サーバのログイン用のＵＲＬ“ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ｌｏｇｉｎ．ｈｔｍｌ”、および
（３）ウェブ・サーバの認証方式“Ｂａｓｉｃ”（ベーシック認証、基本認証）。
認証方式が“Ｂａｓｉｃ”の場合は、他の項目（４）〜（６）は存在しない。

図６Ａおよび６Ｂは、図４Ａおよび４Ｂのサーバ別ユーザ別の認証情報のテーブルおよびサーバ別の可変情報の具体的なテーブルの例をそれぞれ示している。

図６Ａのウェブ・サーバ別ユーザ別の認証情報のテーブルは、例えば、ウェブ・サーバ識別“Ｓｅｒｖｅｒ＿１”およびユーザ識別“Ｕｓｅｒ＿１”に対する、次の各項目を含んでいる。
（１）代表ユーザＩＤ“ＵｓｅｒＩＤ＿１０”および代表パスワード“ＰＷＤ＿１０”、
（２）実際のユーザＩＤ“ＵｓｅｒＩＤ＿１１”、および
（３）実際のユーザ・パスワード“ＰＷＤ＿１１”。

図６Ｂのサーバ別の可変情報の具体的なテーブルは、例えば、ウェブ・サーバ“Ｓｅｒｖｅｒ＿１”に対する、次の各項目を含んでいる。
（１）仮のユーザＩＤ“ｕｉｄ”、
（２）仮のユーザ・パスワード“ｐａｓｓｗｏｒｄ”、および
（３）仮の可変情報“ｋｅｙ１，ｗｏｒｋｇｒｏｕｐ”。
上述のように、（３）仮の可変情報“ｋｅｙ１，ｗｏｒｋｇｒｏｕｐ”は最終的に実際の可変情報となってもよい。

図７は、シングル・サインオン・サーバ１０によって実行される、情報処理端末２０〜２４からの各種のログイン要求に対するシングル・サインオン用の処理のためのフローチャートの例を示している。

図７を参照すると、管理者用の情報処理端末２０およびユーザ用の情報処理端末２２〜２４（そのウェブ・ブラウザ）は、先にシングル・サインオン・サーバ１０にＩＤおよびパスワードを用いてログインする。情報処理端末２０のウェブ・ブラウザは、管理者の操作に従って、サーバ別のシングル・サインオン用の認証情報を登録するためのウェブ・サーバへのログイン要求を、シングル・サインオン・サーバ１０に送信することができる。そのウェブ・サーバへのログイン要求は、ウェブ・サーバ３０〜３４のＵＲＬまたはＵＲＩの形態を有することができる。情報処理端末２０のウェブ・ブラウザは、管理者の操作に従って、ウェブ・サーバ３０〜３４またはそのアプリケーションの（１）トップページＵＲＬまたはＵＲＩ、および（２）ログインページＵＲＬまたはＵＲＩを、シングル・サインオン・サーバ１０に送信する。

ユーザ用の情報処理端末２２〜２４は、ウェブ・サーバ別のシングル・サインオン用の認証情報を登録するためのログイン要求、またはウェブ・サーバ３０〜３４またはアプリケーションへのログイン要求をシングル・サインオン・サーバ１０に送信することができる。ウェブ・サーバ別のシングル・サインオン用の認証情報を登録するためのログイン要求は、シングル・サインオン・サーバ１０のＵＲＬまたはＵＲＩを含み、さらに、シングル・サインオン・サーバ１０用のユーザのＩＤおよびパスワードを含んでいる。そのＩＤおよびパスワードは、シングル・サインオン・サーバ１０にログインするために必要である。そのＩＤおよびパスワードは、管理者用のＩＤおよび管理者用のパスワード、またはユーザの代表ＩＤおよび代表パスワードであってもよい。

ステップ３０２において、受付部１０２（またはプロセッサ１２）は、ロングイン要求を受信する。管理者またはユーザが未認証の場合は、受付部１０２またはプロセッサ１２は、管理者またはユーザの認証処理を行う。その認証には、管理者用のＩＤおよびパスワードで、またはユーザの代表者ＩＤおよび代表パスワードで認証してもよい。

ステップ３０４において、ログイン解析部１０４（またはプロセッサ１２）は、その要求が管理者からのものかまたはユーザからのものかを判定する。そのために、ログイン解析部１０４（またはプロセッサ１２）は、例えば、その要求からリンク元のページのＵＲＬ（Ｒｅｆｅｒｅｒ情報）を参照して、要求元ＵＲＬが管理者用のログイン入力画面のものか（例えば、シングル・サインオン・サーバ１０のドメインのＵＲＬか）どうかを判定してもよい。その要求が管理者からのウェブ・サーバ３０〜３４へのログイン要求であると判定された場合は、手順はステップ３０６に進む。

ステップ３０６において、ログイン解析部１０４（またはプロセッサ１２）は、データベース１６中のサーバ別のログイン情報のテーブル（図３）を検索して、ＵＲＬのウェブ・サーバ３０〜３４の認証方式（Ｆｏｒｍ／Ｂａｓｉｃ）が既に登録されているかどうかを判定する。その認証方式が未だ登録されていないと判定された場合は、手順は図８のステップ４２２に進む。認証方式が既に登録されていると判定された場合は、ステップ３０８において、受付部１０２（またはプロセッサ１２）は、所要のその他の処理を実行する。

ステップ３０４において、その要求が管理者からのものでなくユーザからのものであると判定された場合は、ステップ３１２において、ログイン解析部１０４（またはプロセッサ１２）は、そのログイン要求が登録要求のためのもの（ＵＲＬ）かどうかを判定する。そのログイン要求が登録要求のためのものであると判定された場合は、手順は、図１０のステップ４５２に進む。そのログイン要求が登録要求のためのものでない判定された場合は、手順はステップ３１４に進む。

ステップ３１４において、ログイン解析部１０４（またはプロセッサ１２）は、データベース１６中のサーバ別のログイン情報のテーブル（図３）を検索して、ウェブ・サーバ３０〜３４の認証方式が既に登録されているかどうかを判定する。その認証方式が未だ登録済みでないと判定された場合は、ステップ３１６において受付部１０２（またはプロセッサ１２）は、ユーザ情報処理端末２２に対してエラー通知を行う。その認証方式が登録済みであると判定された場合は、手順はステップ３１８に進む。ステップ３１８において、ログイン解析部１０４（またはプロセッサ１２）は、データベース１６を検索して、そのユーザの代表ＩＤ、代表パスワード、ウェブ・サーバ３０〜３４用のユーザＩＤおよびパスワードが既に登録済みであるかどうかを判定する。そのために、データベース１６中のサーバ別ユーザ別の認証情報のテーブル（図４Ａ）が検索される。

ステップ３１８においてユーザＩＤおよびパスワードが登録済みであると判定された場合は、手順は、図１２Ａのステップ５２２へ進む。ステップ３１８においてユーザＩＤおよびパスワードが未だ登録済みでないと判定された場合は、手順は、図１０のステップ４５２へ進む。

図８は、シングル・サインオン・サーバ１０によって実行される、管理者用の情報処理端末２０からのログイン要求に対するサーバ別のシングル・サインオン用のログイン情報の登録のためのフローチャートの例を示している。

図８を参照すると、ステップ４２２において、ログイン解析部１０４（またはプロセッサ１２）は、受信したログイン要求のウェブ・サーバ３０の２つのＵＲＬまたはＵＲＩを、データベース１６のウェブ・サーバ別のログイン情報テーブル（図３、（１）、（２））に格納する。その２つのＵＲＬまたはＵＲＩは、トップページＵＲＬまたはＵＲＩ、およびログインページＵＲＬまたはＵＲＩである。次いで、ログイン実行部１０６（またはプロセッサ１２）は、それらのＵＲＬを用いてウェブ・サーバ３０へログイン要求を送信する。ウェブ・サーバ３０（そのプロセッサ）は、ログイン要求に応答して、そのＵＲＬに対応するＨＴＭＬのログイン入力フォームを表すファイルをログイン実行部１０６（またはプロセッサ１２）に送信し返す。

ステップ４２４において、ログイン実行部１０６（またはプロセッサ１２）は、ウェブ・サーバ３０からログイン入力フォームのファイルを受信し、そのファイルを情報処理端末２０に転送する。ステップ４２６において、ログイン解析部１０４（またはプロセッサ１２）は、そのログイン入力フォームのファイルを解析する。ログイン解析部１０４（またはプロセッサ１２）は、可能であれば（Ｆｏｒｍの場合）、ログイン入力フォームのファイルから認証用の固有情報を抽出してデータベース１６のウェブ・サーバ別のログイン情報テーブル（図３、（４））に格納する。その格納される固有情報は、例えば、“ｉｎｐｕｔ”タグ、“ｔｉｔｌｅ”タグ、“ｎａｍｅ”タグ、およびそれらの値、“ｕｓｅｒＩＤ”、“ＬＯＧ＿ＩＮ”、“ｕｓｅｒｉｄ”、“ｐａｓｓｗｄ”、“ｓｕｂｍｉｔ”、“ａｃｔｉｏｎ”である。認証方式がＢａｓｉｃ（ベーシック）の場合は、固有情報は抽出されない。

ステップ６２６において、情報処理端末２０（そのウェブ・ブラウザ）は、そのログイン入力フォームのファイルを受信してその表示装置に対応するログイン入力画面を表示する。管理者は、情報処理端末２０を操作してログイン入力画面の入力欄に認証情報を含むログイン情報を入力して送信する。

図９は、ウェブ・サーバ３０のログイン入力用ウェブ・ページを表すログイン入力画面の例を示している。管理者は、図９のログイン入力画面において、可変情報であることを表す、所定形式の仮のログイン情報を入力する。その仮のログイン情報は、仮のユーザＩＤ（例えば“＄［ｕｉｄ］”）、仮のユーザ・パスワード（例えば“＄［ｐａｓｓｗｏｒｄ］”）、および仮のその他の情報（例えば“＄［ｋｅｙ１：ｗｏｒｋｇｒｏｕｐ］”）であってもよい。例えば、“＄［ｘ］”（ｘは変数）を有する形式が可変情報を表す仮の情報ｘであることを表してもよい。この所定形式の仮の情報がログイン入力画面の可変情報の入力欄に入力されてログイン情報のファイルが送信されることによって、ログイン情報中の可変情報としての各種の認証情報の位置が識別でき、シングル・サインオン・サーバ１０による可変情報の自動的な抽出が可能になる。換言すれば、仮のユーザ・ログイン情報は、ログイン情報中の各種の可変認証情報を識別しその位置を表すマーカーとして機能する。

ステップ６２８において、情報処理端末２０は、ログイン要求用のＵＲＬのその入力されたログイン情報のファイルをシングル・サインオン・サーバ１０に送信する。ログイン情報のファイルは、認証方式（Ｆｏｒｍ／Ｂａｓｉｃ）等を表す固定情報と、管理者によって入力された可変情報とを含んでいる。

ステップ４２８において、ログイン解析部１０４（またはプロセッサ１２）は、情報処理端末２０からその認証情報のファイルを受信する。ステップ４３０において、ログイン解析部１０４（またはプロセッサ１２）は、ログイン情報のファイルを解析し、その認証方式（Ｆｏｒｍ／Ｂａｓｉｃ）を決定してデータベース１６のウェブ・サーバ別のログイン情報テーブル（図３、（３））に格納する。認証方式がＢａｓｉｃ（基本認証）の場合には、Ｂａｓｉｃ認証用のヘッダ（Ａｕｔｈｏｒｉｚａｔｉｏｎ）を含んでいる。ここで、Ｂａｓｉｃ認証方式とは、例えばＤｉｇｅｓｔ（ダイジェスト）認証方式を含めたＢａｓｉｃ認証方式と同系統の認証方式を含めてＢａｓｉｃ認証と称する。また、Ｆｏｒｍ認証方式とは、Ｆｏｒｍ認証と同系統の認証方式をＦｏｒｍ認証方式と称する。

ステップ４３２において、ログイン解析部１０４（またはプロセッサ１２）は、その認証方式がＢａｓｉｃ（基本認証）かどうかを判定する。認証方式がＢａｓｉｃであると判定された場合は、手順はステップ４３６に進む。

ステップ４３２において認証方式がＢａｓｉｃでないまたはＦｏｒｍであると判定された場合は、手順はステップ４３４に進む。ステップ４３４において、ログイン解析部１０４（またはプロセッサ１２）は、ログイン情報のファイルを解析して、固定情報と可変情報を抽出して、データベース１６のウェブ・サーバ別のログイン情報テーブル（図３、６Ｂ）に格納する。

ログイン解析部１０４（またはプロセッサ１２）は、固定情報として、ログイン情報のファイルからログイン要求用のＵＲＬまたはＵＲＩを抽出してそのテーブル（図３、（５））に格納する。また、ログイン解析部１０４（またはプロセッサ１２）は、可変情報を表す情報を含む情報として、ログイン情報のファイルからログイン・データ情報を抽出してそのテーブル（図３、（６））に格納する。Ｆｏｒｍ認証方式の場合、ログイン要求用のＵＲＩは、例えば “ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ａｃｔｉｏｎ．ｈｔｍｌ”である。ログイン・データ情報は、例えば“ｕｓｅｒｉｄ＝ｕｉｄ，ｐａｓｓｗｄ＝ｐａｓｓｗｏｒｄ，ｄｏｃＩＤ＝ｋｅｙ１”である。ここで、値“ｕｉｄ”、“ｐａｓｓｗｏｒｄ”および“ｋｅｙ１”は、ログイン用の仮の可変情報である。

ログイン解析部１０４（またはプロセッサ１２）は、可変情報として、ログイン情報のファイルから管理者によって入力された仮のユーザＩＤ、仮のユーザ・パスワード、および仮のその他の情報を抽出してそのテーブル（図６Ｂ、（１）、（２）、（３））に格納する。仮のユーザＩＤは、例えば“ｕｉｄ”である。仮のユーザ・パスワードは、例えば“ｐａｓｓｗｏｒｄ”である。仮のその他の情報は、例えば“ｋｅｙ１、ｗｏｒｋｇｒｏｕｐ”である。

このように、ログイン解析部１０４（またはプロセッサ１２）は、認証方式に応じて固定情報と可変情報を抽出する。その結果、認証方式に応じて、ユーザまたはその代表ＩＤに対してウェブ・サーバ３０〜３４の各々に対する送信すべきログイン要求のフォーマットにおけるログイン情報の各項目とその可変情報の配置が識別できる。

ステップ４３６において、ログイン解析部１０４（またはプロセッサ１２）は、情報処理端末２０に登録完了を通知する。情報処理端末２０は、その通知の受信に応答して、ステップ６３６において登録完了を表す画面を表示装置に表示する。

図１０は、シングル・サインオン・サーバ１０によって実行される、ユーザ用の情報処理端末２２〜２４からのログイン要求に対するサーバ別のシングル・サインオン用のログイン情報の登録のためのフローチャートの例を示している。

図１０を参照すると、ユーザ用の情報処理端末２２からのログイン要求（図７）に応答して、ステップ４５２において、ログイン解析部１０４（またはプロセッサ１２）は、シングル・サインオン・サービス登録のフォームのファイルを情報処理端末２２に送信する。ステップ６５２において、情報処理端末２２（そのブラウザ）は、その登録のフォームのファイルを受信して、対応するシングル・サインオン・サービス登録画面をその表示装置に表示する。ユーザは、情報処理端末２２を操作して登録画面の入力欄に実際の認証情報を入力して送信する。

図１１は、シングル・サインオン・サービス登録画面の例を示している。ユーザは、図１１の登録画面において、シングル・サインオン・サーバ１０に対するユーザ名（例えば“Ｕｓｅｒ＿１”）、代表ＩＤ（例えば“ＵｓｅｒＩＤ＿１０”）および代表パスワード（例えば“ＰＷＤ＿１０”）を入力する。ユーザは、さらに、ウェブ・サーバ名（例えば“Ｓｅｒｖｅｒ＿１”）、各ウェブ・サーバに対する実際の可変認証情報として、ユーザＩＤ（例えば“Ｕｓｅｒ＿１１”）、ユーザ・パスワード（例えば“ＰＷＤ＿１１”）、およびその他の情報（例えば“Ｉｎｆｏ＿１１”）を入力する。

ステップ６５４において、情報処理端末２２は、その入力された登録情報のファイルをシングル・サインオン・サーバ１０に送信する。登録情報のファイルは、ユーザによって入力された上述の可変認証情報を含んでいる。

ステップ４５４において、ログイン解析部１０４（またはプロセッサ１２）は、登録情報のファイルを解析して、所定のフォーマットに従って、ユーザの代表ＩＤ、代表パスワード、各ウェブ・サーバに対する実際の可変認証情報としてのユーザＩＤ、ユーザ・パスワードおよびその他の情報を抽出する。ログイン解析部１０４（またはプロセッサ１２）は、抽出されたユーザの代表ＩＤおよび各ウェブ・サーバに対するユーザＩＤとユーザ・パスワードをデータベース１６のサーバ別ユーザ別の認証情報のテーブル（図４Ａ、（２）、（３））に格納し、その他の情報をサーバ別の可変情報のテーブル（図４Ｂ、（３））に格納する。このようなユーザ別の可変情報の抽出によって、ユーザまたはその代表ＩＤについて、ウェブ・サーバ３０〜３４の各々に対して送信すべきログイン情報における可変情報としての認証情報およびその他の情報が決定される。

ステップ４５６において、ログイン解析部１０４（またはプロセッサ１２）は、情報処理端末２２に登録完了を通知する。情報処理端末２２は、その通知の受信に応答して、ステップ６５６において登録完了を表す画面を表示装置に表示する。

図１０におけるシングル・サインオン・サービス登録画面への入力と登録要求の送信は、例えばサーバ別のデフォルト値のユーザＩＤおよびユーザ・パスワードのような認証情報を用いて、管理者によって情報処理端末２０によって行うこともできる。

図１２Ａおよび１２Ｂは、シングル・サインオン・サーバ１０によって実行される、ユーザ用の情報処理端末２２〜２４からのウェブ・サーバ３０へのログイン要求に対するシングル・サインオン処理のためのフローチャートの例を示している。

図１２Ａを参照すると、情報処理端末２２からのウェブ・サーバ３０へのログイン要求（図７）に応答して、ステップ５２２において、ログイン実行部１０６（またはプロセッサ１２）は、情報処理端末２２に対してシングル・サインオンのための自動ログインＣｏｏｋｉｅとともにログイン入力ファイルを送信する。Ｃｏｏｋｉｅ（クッキー）は、ユーザの認証およびサイトへのアクセスの記録のファイルである。

ステップ６６２において、情報処理端末２２は、ログイン入力ファイルを受信して、それに対応するログイン入力画面をその表示装置に表示する。ユーザは情報処理端末２２（ブラウザ）を操作してそのログイン入力画面に自己の代表ＩＤおよび代表パスワードを入力する。ステップ６６４において、情報処理端末２２は、代表ＩＤおよび代表パスワードを含むログイン要求をＣｏｏｋｉｅとともにシングル・サインオン・サーバ１０に送信する。

ステップ５２４において、ログイン実行部１０６（またはプロセッサ１２）は、ログイン要求およびＣｏｏｋｉｅを受信し、ユーザを再度認証して、リダイレクト要求をＣｏｏｋｉｅとともに情報処理端末２２に送信する。そのリダイレクト要求は、情報処理端末２２のウェブ・ブラウザに対して、宛先をシングル・サインオン・サーバ１０からウェブ・サーバ３０へ変更してシングル・サインオンによるログイン要求を送信するよう要求するものである。ステップ６６６において、情報処理端末２２は、ウェブ・サーバ３０を宛先とするシングル・サインオンによるログイン要求をＣｏｏｋｉｅとともにシングル・サインオン・サーバ１０に送信する。

ステップ５２６において、ログイン実行部１０６（またはプロセッサ１２）は、データベース１６中のサーバ別ログイン情報テーブル（図３、５Ａ、５Ｂ、（３）から、ウェブ・サーバ３０の認証方式を取り出す。ログイン実行部１０６（またはプロセッサ１２）は、必要な場合には、そのサーバ別ログイン情報テーブル（図３、５Ａ、５Ｂ、（４）〜（６））から、認証用の固有情報、ログイン要求用のＵＲＬ、およびログイン・データ情報を取り出す。次いで、ログイン実行部１０６（またはプロセッサ１２）は、サーバ別ユーザ別の認証情報テーブル（図４Ａ、６Ａ、（２）、（３））からウェブ・サーバ３０用のユーザＩＤおよびユーザ・パスワードを取り出す。次いで、ログイン実行部１０６（またはプロセッサ１２）は、データベース１６中のサーバ別の可変情報テーブル（図４Ｂ、６Ｂ、（１）〜（３））からウェブ・サーバ３０用の仮のユーザＩＤ、仮のユーザ・パスワードおよび仮のその他の情報を取り出す。ログイン実行部１０６（またはプロセッサ１２）は、認証方式のフォーマットに応じてそれらの取り出した情報を編成して、ウェブ・サーバ３０に対するログイン要求を生成する。

Ｆｏｒｍ認証方式の場合、例えば、ログイン情報（ｈｔｔｐ：／／ｓａｍｐｌｅ．ｆｕｊｉｔｓｕ．ｃｏｍ／ａｃｔｉｏｎ．ｈｔｍｌ）において、ユーザＩＤ“ｕｓｅｒｉｄ＝ｕｉｄ”（図５Ａ、（６））として、可変情報のテーブル（図６Ｂ、（１））に基づいて“ｕｓｅｒｉｄ＝ＵｓｅｒＩＤ＿１１”（図６Ａ、（２）が代入される。その際、仮のユーザＩＤの代わりに認証情報のテーブルの実際のユーザＩＤ（図６Ａ、（２））が代入される。また、例えば、ログイン情報において、ユーザ・パスワード“ｐａｓｓｗｄ＝ｐａｓｓｗｏｒｄ”（図５Ａ、（６））として、可変情報のテーブル（図６Ｂ、（２））に基づいて“ｐａｓｓｗｄ＝ＰＷＤ＿１１”（図６Ａ、（３））が代入される。その際、仮のユーザ・パスワードの代わりに認証情報のテーブルの実際のユーザ・パスワード（図６Ａ、（３））が参照される。さらに、例えば、ログイン情報において、その他の情報“ｄｏｃＩＤ＝ｋｅｙ１”（図５Ａ、（６））として、可変情報のテーブル（図６Ｂ、（３））を参照して“ｄｏｃＩＤ＝ｋｅｙ１，ｗｏｒｋｇｒｏｕｐ”（図６Ｂ、（３））が代入される。この場合、仮のその他の情報に代入すべきその他の情報が認証情報に存在しないので、仮の情報が実際の可変情報となる。

Ｂａｓｉｃ認証方式の場合、例えば、ログイン情報におけるＡｕｔｈｏｒｉｚａｔｉｏｎヘッダの既知の位置に、認証情報として、可変情報のテーブル（図６Ｂ、（１）、（２））に基づいて、ユーザＩＤ“ＵｓｅｒＩＤ＿１１”（図６Ａ、（２））およびユーザ・パスワード“ＰＷＤ＿１１”（図６Ａ、（３））がエンコードされて配置される。

図１２Ｂを参照すると、ステップ５２８において、ログイン実行部１０６（またはプロセッサ１２）は、その生成されたログイン要求をウェブ・サーバ３０にネットワーク５を介して送信する。ステップ７３２において、ウェブ・サーバ３０は、そのログイン要求を受信し、対応するＵＲＬ情報を送信する。ログイン認証に成功した場合には、ウェブ・サーバ３０は、それに応答して対応する例えば情報コンテンツのようなＵＲＬ情報をシングル・サインオン・サーバ１０に送信する。ログイン認証に失敗した場合には、ウェブ・サーバ３０は、ログイン・エラーを表し再ログインを指示するために、ログイン入力フォームのファイルをシングル・サインオン・サーバ１０に送信する。

ステップ５３２において、ログイン実行部１０６（またはプロセッサ１２）は、そのＵＲＬ情報のファイルを受信する。ステップ５３４において、ログイン実行部１０６（またはプロセッサ１２）は、データベース１６中の認証用の固有情報または認証方式（Ｂａｓｉｃ）（図３、（４）、（３））を参照して、受信したＵＲＬ情報がログイン入力フォームを表すかどうかを判定する。認証方式がＢａｓｉｃの場合には、ログイン入力フォームのファイルにＢａｓｉｃ認証用ヘッダ（Ａｕｔｈｏｒｉｚａｔｉｏｎ）が含まれている。認証方式がＦｏｒｍの場合には、ログイン入力フォームに認証用の固有情報が含まれている。そのＵＲＬ情報がログイン入力フォームを表さないと判定された場合は、ログイン実行部１０６（またはプロセッサ１２）は、そのＵＲＬ情報のファイルを情報処理端末２２に転送する。ステップ６６７において、情報処理端末２２はＵＲＬ情報を提示する。このようにして、シングル・サインオン・サーバ１０によって、情報処理端末２２〜２４に対してシングル・サインオン・サービスが提供される。その後、通常の形態で情報処理端末２２とウェブ・サーバ３０の間でＵＲＬ情報の送受信が行われる。

ステップ５３４においてＵＲＬ情報がログイン入力フォームを表すと判定された場合はステップ５３６において、ログイン実行部１０６（またはプロセッサ１２）は、ログイン入力フォームのファイルをＮ回以上受信したかどうかを判定する。ここで、Ｎは予め定義された固定値である。それをＮ回以上受信していないと判定された場合は、手順はステップ５２８に戻る。ステップ５２８において、ウェブ・サーバ３０に対して再びログインが試行される。そのファイルをＮ回以上受信したと判定された場合は、ステップ５３８において、ログイン実行部１０６（またはプロセッサ１２）は、ログイン・エラーの通知を情報処理端末２２に送信する。ステップ６６８において、情報処理端末２２は、その表示装置にログインのエラーを表示する。

ここで挙げた全ての例および条件的表現は、発明者が技術促進に貢献した発明および概念を読者が理解するのを助けるためのものであり、ここで具体的に挙げたそのような例および条件に限定することなく解釈されるものである。また、明細書におけるそのような例の編成は本発明の優劣を示すこととは関係ない。本発明の実施形態を詳細に説明したが、本発明の精神および範囲から逸脱することなく、それに対して種々の変更、置換および変形を施すことができる。

以上の実施例を含む実施形態に関して、さらに以下の付記を開示する。
（付記１） クライアントのサーバへのシングル・サインオンによるログインを実現するサーバ装置であって、
記憶装置と、
前記クライアントから受信した前記サーバに対するログイン情報を解析して、前記サーバの認証方式を判定し、さらに前記ログイン情報から可変情報であることを表す所定形式の仮の認証情報を抽出して、前記認証方式の情報と前記可変情報としての前記仮の認証情報とを前記記憶装置に格納し、ユーザの代表認証情報に対する前記サーバ用の前記ユーザの認証情報を前記可変情報として前記記憶装置に格納する解析部と、
を具えるサーバ装置。
（付記２） さらに、別のクライアントから前記代表認証情報による認証によって前記サーバへのログイン要求を受信した場合に、前記記憶装置から前記認証方式の情報、前記可変情報としての前記仮の認証情報、および前記ユーザの認証情報を取り出し、前記認証方式に従って前記可変情報として前記ユーザの認証情報を用いて前記サーバに対するログイン要求を生成するログイン実行部を具える、付記１に記載のサーバ装置。
（付記３） 前記解析部は、前記代表認証情報に対する前記サーバ用の前記ユーザの認証情報を、別のクライアントから受信した認証情報登録要求から抽出するものであることを特徴とする、付記１または２に記載のサーバ装置。
（付記４） 前記解析部は、さらに前記ログイン情報から固定情報を抽出して前記記憶装置に格納し、
前記ログイン実行部は、前記記憶装置から前記固定情報を取り出して、前記認証方式に従って前記固定情報と前記可変情報としての前記ユーザの認証情報とを用いて前記サーバに対するログイン要求を生成するものであることを特徴とする、付記２に記載のサーバ装置。
（付記５） 前記解析部は、前記認証情報登録要求を受信する前に、ユーザの代表認証情報に対する任意のサーバへのログイン用の認証情報を入力するための登録画面を表す情報を前記別のクライアントに送信するものであることを特徴とする、請求項３に記載のサーバ装置。
（付記６） 前記解析部は、前記ログイン情報を受信する前に、前記サーバから受信したログイン画面を表す情報を前記別のサーバへ転送し、前記ログイン画面を表す情報を解析して、前記ログイン画面を表す情報に認証用の固有情報が存在する場合にはその認証用の固有情報を抽出して前記記憶装置に格納するものであることを特徴とする、付記１乃至５のいずれかに記載のサーバ装置。
（付記７） 記憶装置を有するサーバ装置用の、クライアントのサーバへのシングル・サインオンによるログインを実現するためのプログラムであって、
前記クライアントから受信した前記サーバに対するログイン情報を解析して、前記サーバの認証方式を判定し、さらに前記ログイン情報から可変情報であることを表す所定形式の仮の認証情報を抽出して、前記認証方式の情報と前記可変情報としての前記仮の認証情報とを前記記憶装置に格納するステップと、
ユーザの代表認証情報に対する前記サーバ用の前記ユーザの認証情報を前記可変情報として前記記憶装置に格納するステップと、
を前記サーバ装置に実行させるためのプログラム。

５ ネットワーク
１０ シングル・サインオン・サーバ
１４ 記憶装置
１６ データベース
２０ 管理者用の情報処理端末（クライアント）
２２、２４ ユーザ用の情報処理端末（クライアント）
３０、３２、３４ ウェブ・サーバ

Claims (7)

1. サーバへのシングル・サインオンによるログインを実現する認証サーバ装置であって、
   記憶装置と、
   解析部と、を具え、
   前記解析部は、
   前記サーバに対する第１のログイン要求に含まれるログイン情報から可変情報であることを表す所定形式の認証情報を抽出し、
   前記サーバの識別情報と対応付けて、抽出した前記所定形式の認証情報を前記記憶装置に格納し、
   ユーザの識別情報と該ユーザの前記サーバに対する認証情報とを含む第２のログイン要求に含まれるログイン情報から抽出された該ユーザの前記サーバに対する認証情報を、前記ユーザの前記サーバに対するログインにおける前記所定形式の認証情報に対応する情報として前記記憶装置に格納するものである
   ことを特徴とする認証サーバ装置。
2. 前記所定形式の認証情報は、前記第１のログイン要求に含まれるログイン情報中の可変認証情報を識別し可変情報の位置を表すものであることを特徴とする、請求項１に記載の認証サーバ装置。
3. さらに、クライアントから代表認証情報による認証によって前記サーバへの第３のログイン要求を受信した場合に、前記記憶装置から、認証方式の情報、可変情報としての仮の認証情報、および前記ユーザの前記サーバに対する認証情報を取り出し、前記認証方式に従って前記可変情報として前記ユーザの前記サーバに対する認証情報を用いて前記サーバに対するログイン要求を生成するログイン実行部を具える、請求項１または２に記載の認証サーバ装置。
4. 前記解析部は、前記ユーザの前記サーバに対する認証情報をクライアントから受信するものであることを特徴とする、請求項１乃至３のいずれかに記載の認証サーバ装置。
5. 前記解析部は、さらに前記第１のログイン要求に含まれるログイン情報から固定情報を抽出して前記記憶装置に格納し、
   前記ログイン実行部は、前記記憶装置から前記固定情報を取り出して、前記認証方式に従って、前記固定情報と前記可変情報としての前記ユーザの前記サーバに対する認証情報とを用いて前記サーバに対するログイン要求を生成するものであることを特徴とする、請求項３に記載の認証サーバ装置。
6. サーバへのシングル・サインオンによるログインを実現するためのプログラムであって、
   前記サーバに対する第１のログイン要求に含まれるログイン情報から可変情報であることを表す所定形式の認証情報を抽出し、
   前記サーバの識別情報と対応付けて、抽出した前記所定形式の認証情報を前記記憶装置に格納し、
   ユーザの識別情報と該ユーザの前記サーバに対する認証情報とを含む第２のログイン要求に含まれるログイン情報から抽出された該ユーザの前記サーバに対する認証情報を、前記ユーザの前記サーバに対するログインにおける前記所定形式の認証情報に対応する情報として前記記憶装置に格納する
   処理を認証サーバ装置に実行させるためのプログラム。
7. サーバへのシングル・サインオンによるログインを実現するためのプログラムであって、
   前記サーバに対する第１のログイン要求に含まれるログイン情報から可変情報であることを表す所定形式の認証情報を抽出し、
   前記サーバの識別情報と対応付けて、抽出した前記所定形式の認証情報を前記記憶装置に格納し、
   ユーザの識別情報と該ユーザの前記サーバに対する認証情報とを含む第２のログイン要求に含まれるログイン情報から抽出された該ユーザの前記サーバに対する認証情報を、前記ユーザの前記サーバに対するログインにおける前記所定形式の認証情報に対応する情報として前記記憶装置に格納する
   処理を、認証サーバ装置が実行する方法。

Images