JP2012118833A - アクセス制御方法 - Google Patents

Abstract

【課題】
いわゆるシングルサインオンにおいて、セキュリティを確保しつつ、ユーザ認証の利便性を高める認証技術を提供することを課題とする。
【解決手段】
ユーザの認証を一元的に管理する統合認証装置と、ユーザが利用する端末装置と、各種業務の情報処理を行う業務処理装置を含むアクセス制御システムにおいて、ユーザ認証処理を代行する処理と、ユーザの本人性を確認する処理と、前記ユーザに与えられた業務権限を管理する処理と、業務処理の実行に必要な認証レベルを管理する処理と、前記認証レベルと認証方式の対応を管理する処理と、前記ユーザの認証情報を格納したＤＢと、前記ユーザに与えられた業務権限を格納したＤＢと、業務処理の実行に必要な認証レベルを格納したＤＢと、任意の時点における前記ユーザの認証レベルを格納したＤＢと、を有することを特徴とするアクセス制御システム。
【選択図】 図１

Description

本発明は、アクセス権限およびユーザ認証を一元管理するための技術に関し、とくにシングルサインオンシステムに関する。

近年、計算機およびアプリケーションを安価に入手できるようになったことで、企業活動を支える各種業務の情報システム化が進んでいる。

業務システムを容易に構築できる環境が整備される一方で、企業内の個々の部門が個別に整備を進めることも多く、そうした業務システムを利用するユーザにとっては、システムごとに申請や認証の手続きが必要であったり、ＩＤとパスワードを使い分ける必要があるなど、不便を強いられる状況にあった。

上記のようなユーザの利便性を向上させる方法のひとつに、一度の認証で以後の認証を必要とせず、かつ複数の業務システムを利用可能にするシングルサインオンシステムがある。

シングルサインオンシステムは、ユーザの利便性を向上させる一方で、認証方法が全ての業務システムで共通になることから、セキュリティレベルに応じた認証が行えず、生体認証など本人性の高い認証方式を採用すると、セキュリティが高まる一方で利便性が損なわれたうえコスト増になるというデメリットがあり、ＩＤとパスワードなど本人性の低い認証方式を採用すると、重要な業務システムが悪用される可能性が高まるデメリットがある。

上記のような課題に対しては、ユーザを登録する際の本人確認方法の違いを業務システムに提供し、業務システムの認証可否の条件に加える技術がある。例えば、特許文献１では、互いに信頼関係や連携関係にない複数のシステムから構成されるネットワークシステムにおいて、一回の認証情報の入力により、認証が必要な複数のアプリケーションを利用可能とするために、以下の構成を採っている。Ｗｅｂサーバ１０が、端末１３からの認証情報と記憶部の認証情報とを照合して認証を行い、該認証が成立した場合に、前記認証情報に含まれるユーザＩＤ、当該Ｗｅｂサーバ１０への第一のＵＲＬ、Ｗｅｂサーバ１１への第二のＵＲＬおよび前記記憶部の認証強度に関連する情報を含むメッセージを生成してネットワークに出力し、Ｗｅｂサーバ１１から認証が成功したことを示すメッセージであって、前記ユーザＩＤ、前記第一のＵＲＬ、前記第二のＵＲＬおよび認証強度に関連する情報を含むメッセージを受信すると、該ユーザＩＤが前記記憶部に記憶されている場合に前記受信した認証強度に関連する情報と前記記憶部の認証強度に関連する情報に基づいて認証を行う。

特開２０１０−８６４３５号公報

しかしながら、特許文献１に記載の技術は、業務システム側に本人確認方法の違いを受け取って判断をする手段が必要となり、既に業務システムが存在する環境では、システムの大幅な改編が必要となる。また、認証時の認証方式は業務システムに応じて変更しないため、セキュリティと利便性を両立できない課題がある。

上記の課題を解決するために、本発明では、シングルサインオンにおいて、予め認証された第１の認証の認証レベルとアクセス（ないし認証要求）されているシステム等で要求される第２の認証の認証レベルを比較し、この比較結果に基づいて、第２の認証の要否を判断するものである。より具体的には、第２の認証の認証レベルの方が高い（第１の認証レベルの認証の方が低い）場合に、第２の認証ないしこれに対応する認証を実行する。また、第２の認証の認証レベルの方が低い（第１の認証レベルの認証の方が高い）場合に、第２の認証ないしこれに対応する認証を抑止することも本発明の一態様である。

また、上記の第２の認証に対応する認証には、第１の認証と第２の認証の差分を特定し、その差分の認証を実行することも本発明の一態様である。ここでの、差分とは、少なくとも第２の認証が複数の認証を組み合わせて実現される場合、この複数の認証のうち、第１の認証に含まれない認証であり、これを実行する。また、第１の認証の認証レベルと、第２の認証の認証レベルのレベル差を算出し、このレベル差分の認証レベルの認証を実行してもよい。

また、第１の認証、すなわち、予め認証済み（でその結果がまだ有効として維持されているもの）が複数ある場合、上述の差分には、複数の第１の認証のうち認証レベルが最上位のものを基準に差分を特定する。

より詳細には、本発明におけるアクセス制御方法は、ユーザの認証を一元的に管理する統合認証装置と、ユーザが利用する端末装置と、各種業務の情報処理を行う業務処理装置を含むアクセス制御システムにおいて、ユーザ認証処理を代行する処理と、ユーザの本人性を確認する処理と、前記ユーザに与えられた業務権限を管理する処理と、業務処理の実行に必要な認証レベルを管理する処理と、前記認証レベルと認証方式の対応を管理する処理と、前記ユーザの認証情報を格納したＤＢと、前記ユーザに与えられた業務権限を格納したＤＢと、業務処理の実行に必要な認証レベルを格納したＤＢと、任意の時点における前記ユーザの認証レベルを格納したＤＢと、を含んでいる。

本発明によれば、実態に即した認証方式を選択できることから、セキュリティと利便性の両立が可能となる。

本発明の一実施例におけるアクセス制御システム１００の機能を説明する図である。 本発明の一実施例におけるアクセス制御システム１００のハードウェア構成を説明する図である。 本発明の一実施例におけるアクセス制御システム１００内で処理されるデータの一例を示す図である。 本発明の一実施例におけるアクセス制御システム１００の代表的な処理の一例を説明する図である。

図１に、本発明の一実施例におけるアクセス制御システム１００の構成を示す。

図１に示すように、アクセス制御システム１００は、統合認証装置１１００、端末装置１２００、業務処理装置１３００を含んでいる。各装置間は、ローカルエリアネットワーク（ＬＡＮ）やインターネットなどの通信路によって結ばれている。なお、アクセス制御システム１００に含まれる各装置は、それぞれ複数あっても良い。

統合認証装置１１００は、端末装置１２００から業務処理装置１３００へアクセスするユーザの認証処理を代行する認証代行手段１１０１、前記ユーザの認証情報を管理するユーザ管理手段１１０２、前記ユーザの本人性を確認する認証手段１１０３、前記ユーザの業務処理手段の利用権限を管理するアクセス制御管理手段１１０４、業務処理手段の利用に必要な認証レベルを管理する認証レベル管理手段１１０５、認証レベルと認証方式の対応を管理する認証方式管理手段１１０６、前記ユーザの認証情報を格納したユーザＤＢ１１０７、前記ユーザが利用可能な業務処理手段の情報を格納したアクセス制御ＤＢ１１０８、業務処理手段の利用に必要な認証レベルの情報を格納した認証レベルＤＢ１１０９、前記ユーザのある時点における認証レベルを格納した認証状態ＤＢ１１１０、認証レベルと認証方式の対応情報を格納した認証方式ＤＢ１１１１を含む。

端末装置１２００は、ユーザが業務処理手段に対する操作命令やデータの入力行い、処理結果を受け取るための業務処理入出力手段１２０１、ユーザが本人性確認のために認証情報を入力する認証情報入力手段１２０２を含む。端末装置１２００は、パソコンなどの情報処理装置である。認証情報入力手段は、ＩＤやパスワードを入力するためのキーボード、認証情報をＩＣカードなどの媒体から読み出すためのリーダ、生体情報を入力するための生体情報スキャナなどである。

業務処理装置１３００は、人事、会計、設計、製造、物流などの業務処理を実施する業務処理手段Ａ１３０１、業務処理手段Ｂ１３０２を含む。業務処理手段Ａ１３０１と業務処理手段Ｂ１３０２は、同じ業務処理であっても良く、異なる業務処理であっても良い。業務処理装置１３００は、前記業務処理を実施するアプリケーションが動作するサーバである。

以上の各装置は、いわゆるコンピュータで実現され、後述するフローチャートを含めその処理はプログラムに従ってＣＰＵの如き演算装置で実行される。なお、プログラムに従って処理を実行する演算装置については、図１においては各手段で表現している。

図２に、アクセス制御システム１００に含まれる、統合認証装置１１００、端末装置１２００、業務処理装置１３００のハードウェア構成の一例を示している。

装置２００は、ＣＰＵ２０１、ＲＡＭ、ＲＯＭなどのメモリ２０２、ハードディスク、シリコンディスクなどのディスク２０３、キーボート、マウス、もしくはスイッチなどの入力装置２０４、液晶ディスプレイ、ＣＲＴ、ＬＥＤ、もしくはスピーカーなどの出力装置２０５、装置２００の外部と通信を行う通信インタフェース２０６などを含み、装置内部の通信路によって結ばれている。

図３は、アクセス制御システム１００内で処理される各種データの一例を示している。
データ３００は、ユーザＤＢ１１０７の内用を表形式で表した一例である。便宜上、文字列で表現するが、生体情報３０３などのデータは生体の特徴量を電子化したデータである。データ３００は、あらかじめ業務処理の責任者がユーザ管理手段１１０２を用いて格納する。

データ３１０は、アクセス制御ＤＢ１１０８の内容を表形式で表した一例である。データ３１０は、あらかじめ業務処理の責任者がアクセス制御管理手段１１０３を用いて格納する。
データ３２０、認証レベルＤＢ１１０９の内容を表形式で表した一例である。データ３２０は、あらかじめ業務処理の責任者が認証レベル管理手段１１０５を用いて格納する。

データ３３０は、認証状態ＤＢ１１１０の内容を表形式で表した一例である。データ３３０は、あらかじめ業務処理の責任者があらかじめ認証レベル管理手段１１０５を用いて格納する。

データ３４０は、認証方式ＤＢ１１１１の内容を表形式で表した一例である。データ３４０は、認証方式管理手段１１０６が、ある時点におけるユーザの認証状態を格納する。

図４は、アクセス制御システム１００における代表的な処理であるユーザ認証処理を表したものである。
フローチャート４００は、ユーザが端末装置１２００から業務処理装置１３０１へアクセスする時に開始される。
ここでは、ユーザが業務処理手段Ａ１３０１を利用するものとし、業務処理の管理者からユーザに事前に割り振られている「ユーザID」は「0001」とし、ユーザが選択する認証方式は「ユーザＩＤ＋パスワード」とする。

まず、処理４０１では、業務処理入出力手段１２０１が認証代行手段１１０１に対して業務処理手段Ａ１３０１へのアクセスを要求する。

つぎに、処理４０２では、認証代行手段１１０１は、認証レベル管理手段１１０５を介して認証状態ＤＢ１１１０のユーザＩＤ３３１と認証レベル３３２を参照して値の有無で、業務処理入出力手段１２０１からのアクセスが以前に認証されていたか確認をする。これは、データ３３０の認証レベル３３２に認証レベルが記録されているかで判断する。また、この際、以前に認証されている場合、当該認証が有効かを確認するとより好適である。この場合、認証が無効化（ログオフなど）する場合、認証レベル３３２をnullにするなど、その内容を削除することで判断が可能になる。

ここでは、業務処理入出力手段１２０１からのアクセスが以前にない、ないしアクセス後ログオフなどすることで、認証レベル３３２の列で、データ３３３には値が無い(null)の状態とする
つぎに、処理４０３では、認証代行手段１１０１は、認証レベル管理手段１１０５を介して認証レベルＤＢ１１０９の業務処理手段Ａ３２２の列を参照して、業務処理手段Ａ１３０１の利用に必要な「認証レベル」が「1」「2」「3」であることを取得する。

つぎに、処理４０４では、認証代行手段１１０１は、処理４０２で取得した認証レベルと、処理４０３で抽出した認証レベルとを比較し、処理４０２で取得した値が、処理４０３で取得した値以上であれば、ユーザの再認証は不要として処理４０８を実施する。それ以外の場合には、ユーザ認証が必要として処理４０５を実施する。
ここでは、処理４０２で取得した認証レベルに値がないため、処理４０５を実施する。

つぎに、処理４０５では、認証代行手段１１０１は、認証レベル管理手段１１０５を介して認証方式ＤＢ１１１１の認証レベル３４１の列を検索し、「1」「2」「3」にそれぞれ対応する認証方式３４１の値として取得した「ユーザＩＤ＋パスワード」「ＩＣカード」「生体情報」を業務処理入出力手段１２０１へ送付する。
業務処理入出力手段１２０１は、認証代行手段１１０１から受け取った認証方式をユーザに提示し、ユーザによる認証方式の選択と、認証情報入力手段１２０２への認証情報の入力を待つ。
上記の通り、ここではユーザが「ユーザＩＤ＋パスワード」を選択し、認証情報として「ユーザID」に「0001」を入力し、「パスワード」に「Saklfjdaf」を入力するものとする。ここでは、ユーザが選択したものとしたが、認証済みの内容との差分での認証としてもよい。この場合、現に要求されている第２の認証が複数の認証の組み合わせであれば、既に行われた(有効な)第1の認証には含まれない認証が第２の認証(組み合わせ)に存在すれば、この認証で認証を実行する。また、認証レベルを比較してこれを用いて、必要とされる認証を特定してもよい。つまり、認証レベルが1であるもので認証されており、アクセス要求を出しているものが認証レベル３を要求される場合、その差分である認証レベル2を特定し、これに対応する認証（図3の例では、ＩＣカード認証）を行うようにしてもよい。

つぎに、処理４０６では、業務処理入出力手段１２０１は、ユーザが選択した認証方式「ユーザＩＤ＋パスワード」と、認証情報入力手段１２０２に入力された「0001」と「Saklfjdaf」を認証代行手段１１０１へ送付する。

認証代行手段１１０１は、業務処理入出力手段１２０１より受け取った情報を認証手段１１０３へ渡す。
認証手段１１０３は、ユーザＤＢ１１０７を参照し、認証代行手段１１０１より受け取った情報を元に、ユーザＩＤ３０１の列では「001」を、パスワード３０２の列では「Saklfjdaf」を検索して、一致の有無を確認する。

つぎに、処理４０７では、認証手段１１０３は、ユーザＤＢ１１０７に格納された認証情報の値と、ユーザが入力した認証情報の値が一致した場合には、認証成功と判定して処理４０８を実施し、一致しなかった場合には認証失敗と判定してフローチャート４００を終了する。

ここでは、処理４０６にて、一致するものが存在するため、処理４０８を実施する。
つぎに、処理４０８では、認証代行手段１１０１は、認証手段１１０１から認証情報が一致した結果を受け、認証レベル管理手段１１０５を介して、「ユーザID」の「001」と「認証レベル」「１」を認証状態ＤＢ１１１０に格納する。
認証代行手段１１０１は、業務処理手段Ａ１３０１に対して、端末装置１２００の業務処理入出力手段１２０１からのアクセスを許可する。

つぎに、処理４０９では、業務管理手段Ａ１３０１は、業務処理入出力手段１２０１からの操作命令およびデータの応じた処理を実施し、その結果を業務処理入出力手段１２０１へと回答する。

以上で説明したように、ユーザが業務処理装置を利用する際に、処理４０２および処理４０３で、業務処理ごとに必要な認証レベルおよび認証方式を抽出し、処理４０４で、その時点におけるユーザの認証レベルが業務処理に必要な認証レベルに到達しない場合にのみ処理４０４および処理４０５でユーザ認証を実施し、処理４０７で認証が成功した場合に処理４０９の業務処理を実施させるため、複数の認証方式でユーザ認証が実施でき、かつ業務システム毎に認証方式を選択できることから、セキュリティレベルの異なる業務システムのセキュリティを確保しつつ、煩雑なユーザ認証を防いでユーザの利便性を向上できる。

１００ アクセス制御システム
１１００ 統合認証装置
１１０１ 認証代行手段
１１０２ ユーザ管理手段
１１０３ 認証手段
１１０４ アクセス制御管理手段
１１０５ 認証レベル管理手段
１１０６ 認証方式管理手段
１１０７ ユーザＤＢ
１１０８ アクセス制御ＤＢ
１１０９ 認証レベルＤＢ
１１１０ 認証状態ＤＢ
１１１１ 認証方式ＤＢ
１２００ 端末装置
１２０１ 業務処理入出力手段
１２０２ 認証情報入力手段
１３００ 業務処理装置
１３０１ 業務処理手段Ａ
１３０２ 業務処理手段Ｂ
２００ 装置
２０１ ＣＰＵ
２０２ メモリ
２０３ ディスク
２０４ 入力装置
２０５ 出力装置
２０６ 通信インタフェース

Claims (5)

1. ユーザの認証を一元的に管理する統合認証装置と、ユーザが利用する端末装置と、各種業務の情報処理を行う業務処理装置を含むアクセス制御システムを用いたアクセス制御方法において、
   前記統合認証装置が、
   ユーザの本人性を確認する第1の認証処理を実行し、
   前記第1の認証処理の実行結果を記録し、
   前記ユーザから前記端末装置を介して前記業務処理装置に対するアクセス要求を受付けた場合、前記第1の認証処理の結果が有効なものであるかを判断し、
   前記判断の結果、有効である場合、前記業務処理装置のアクセスに必要な第２の認証を特定して、当該第２の認証と前記第１の認証を比較し、
   前記比較の結果に基づいて、前記第２の認証ないし当該第２の認証に対応する認証の要否を判断し、
   前記認証の要否の判断結果に基づいて、前記ユーザに対する認証を制御することを特徴とするアクセス制御方法。
2. 請求項１に記載のアクセス制御方法において、
   前記統合認証装置は、
   前記業務処理装置の業務処理の実行に必要な認証レベルを第１の記憶装置に記憶しておき、
   前記認証レベルと認証の仕方を示す認証方法を対応付けて第２の記憶装置に記憶しておき、
   前記アクセスに必要な第２の認証の特定は、前記第１のおよび第２の記憶装置の記憶内容に基づいて特定することを特徴とするアクセス制御方法。
3. 請求項２に記載のアクセス制御方法において、
   前記２の認証ないし当該第２の認証に対応する認証の要否の判断は、前記第１の認証における第１の認証レベルと前記第２の認証における認証レベルを比較し、前記第１の認証レベルが低いか同等の場合、前記第２の認証ないし前記第２の認証に対応する認証が必要と判断することを特徴とするアクセス制御方法。
4. 請求項３に記載のアクセス制御方法において、
   前記第２の認証レベルに対応する認証として、前記第１の認証と前記第２の認証の差分に対応する認証を特定することを特徴とするアクセス制御方法。
5. 請求項４に記載のアクセス制御方法において、
   前記差分に対応する認証として、（１）前記第２の認証が複数の認証の組み合わせで実現される場合、前記第１の認証に用いられない認証ないし（２）前記第１の認証レベルと前記第２の認証レベルの差を示す認証レベルの認証を特定することを特徴とするアクセス制御方法。

Images