JP4547296B2 - アクセス制御システム及びアクセス制御方法 - Google Patents

Description

本発明は、アクセスシステム、多様アクセスシステム収容装置、認証承認鍵生成装置及びアクセス制御方法に関する。

従来、ネットワークでは多様なサービス形態を実現する為に、３Ｇ ＲＡＮやＷＬＡＮといった多様なアクセスシステムを収容することが行われている（例えば、非特許文献１参照。）。

将来的には、既存の様々なアクセスシステムに、新規のアクセスシステムを追加するなど多様なアクセスシステムを収容する場合、コアネットワーク内は統一プロトコルで管理して、効率的に多様なアクセスシステムを収容することを目指している。

その中で、アクセス制御については、アクセスシステム毎に依存しない秘匿とIntegrity鍵との生成機能を統一的に管理することが必要となる。

ここで、アクセス制御とは、端末がアクセスシステムを経由してネットワークに接続し契約したサービスを利用する際の、端末を利用するユーザの認証、そのユーザが利用可能なサービスの承認、及び端末とネットワーク間で転送されるデータの秘匿及びインテグリティ確保の為の鍵生成及びその鍵をアクセスシステムへ転送する為の制御のことである。
"複数無線アクセスシステム間調整のためのＭＡＳＣ（Multi-Access System Coordinator）機能"柿島純、田辺哲通、天田博章、田村基、社団法人電子情報通信学会 信学技報、２００４年１０月

上述したように、３Ｇ ＲＡＮやＷＬＡＮといった多様なアクセスシステムを収容する為には、アクセスシステム毎にアクセス制御を具備する必要がある。殊に、鍵生成機能をアクセスシステム毎に具備しなければならない。

よって、新規アクセスシステム導入に際しては、同等の複数アクセス制御を開発及び実装しなければならず、冗長開発による開発規模肥大と迅速な実装の弊害という課題があった。

そこで、本発明は、上記の課題に鑑み、開発費を低減し、迅速な実装を可能とするアクセスシステム、多様アクセスシステム収容装置、認証承認鍵生成装置及びアクセス制御方法を提供することを目的とする。

上記目的を達成するため、本発明の第１の特徴は、端末装置及びアクセスシステムに対応する鍵生成情報を生成する多様アクセスシステム収容装置に接続されるアクセスシステムであって、（ａ）端末装置から、アクセスシステムに対応するユーザＩＤとユーザ認証情報とを含む第１のアクセス制御情報を受信するアクセス制御情報受信部と、（ｂ）第１のアクセス制御情報にアクセスシステムのアクセスシステム識別子情報を付加し、第２のアクセス制御情報を生成するアクセス制御情報処理部と、（ｃ）多様アクセスシステム収容装置に対して第２のアクセス制御情報を転送するアクセス制御情報転送部とを備えるアクセスシステムであることを要旨とする。

第１の特徴に係るアクセスシステムによると、アクセスシステム識別子情報を付加し、第２のアクセス制御情報を生成することにより、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とすることができる。

又、本発明の第２の特徴は、アクセスシステム及び端末装置のユーザ認証処理とユーザ承認処理と秘匿とインテグリティ確保の為の鍵情報生成処理とを行う認証承認鍵生成装置に接続され、アクセスシステムに対応する鍵生成情報を生成する多様アクセスシステム収容装置であって、（ａ）アクセスシステムから、アクセスシステムに対応するユーザＩＤとユーザ認証情報とアクセスシステム識別子情報とを含む第２のアクセス制御情報を受信する第１のアクセス制御情報受信部と、（ｂ）第２のアクセス制御情報に基づいて、認証承認鍵生成装置に対応する統一ユーザＩＤとユーザ認証情報と鍵生成情報とを含む第３のアクセス制御情報を生成する第１のアクセス制御情報生成部と、（ｃ）認証承認鍵生成装置に対して、第３のアクセス制御情報を転送する第１のアクセス制御情報転送部と、（ｄ）認証承認鍵生成装置から、統一ユーザＩＤと、秘匿とインテグリティ確保の為の鍵情報とを含む第４のアクセス制御情報を受信する第２のアクセス制御情報受信部と、（ｅ）第４のアクセス制御情報に基づいて、アクセスシステムに対応するユーザＩＤと秘匿とインテグリティ確保の為の情報とを含む第５のアクセス制御情報を生成する第２のアクセス制御情報生成部と、（ｆ）アクセスシステムに対して、第５のアクセス制御情報を転送する第２のアクセス制御情報転送部とを備える多様アクセスシステム収容装置であることを要旨とする。

第２の特徴に係る多様アクセスシステム収容装置によると、アクセスシステム識別子から鍵生成情報を生成し、アクセスシステム毎のユーザＩＤを統一ユーザＩＤに変更することにより、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とすることができる。

又、本発明の第３の特徴は、アクセスシステムに対応する鍵生成情報を生成する多様アクセスシステム収容装置に接続された、端末装置のユーザ認証処理とユーザ承認処理と秘匿とインテグリティ確保の為の鍵情報生成処理とを行う認証承認鍵生成装置であって、（ａ）多様アクセスシステム収容装置から、認証承認鍵生成装置に対応する統一ユーザＩＤとユーザ認証情報と鍵生成情報とを含む第３のアクセス制御情報を受信するアクセス制御情報受信部と、（ｂ）統一ユーザＩＤとユーザ認証情報とに基づいて、端末装置のユーザについてのユーザ認証処理及びサービス承認処理を行うユーザ認証処理部と、（ｃ）鍵生成情報に基づいて、秘匿とインテグリティ確保の為の鍵情報を生成する鍵生成処理部と、（ｄ）多様アクセス収容装置に対して、統一ユーザＩＤと、秘匿とインテグリティ確保の為の鍵情報とを含む第４のアクセス制御情報を転送するアクセス制御情報転送部とを備える認証承認鍵生成装置であることを要旨とする。

第３の特徴に係る認証承認鍵生成装置によると、統一ユーザＩＤとユーザ認証情報とに基づいて、端末装置のユーザについてのユーザ認証処理及びサービス承認処理を行い、鍵生成情報に基づいて、秘匿とインテグリティ確保の為の鍵情報を生成することにより、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とすることができる。

又、本発明の第４の特徴は、端末装置のユーザについてのユーザ認証処理とサービス承認処理と秘匿とインテグリティ確保の為の鍵情報生成処理と当該鍵のアクセスシステムへの転送処理とを行うアクセス制御方法であって、（ａ）端末装置がアクセスシステムに対応するユーザＩＤとユーザ認証情報を含む第１のアクセス制御情報をアクセスシステムに送信するステップと、（ｂ）アクセスシステムが、第１のアクセス制御情報にアクセスシステム識別子情報を付加し、第２のアクセス制御情報を生成するステップと、（ｃ）アクセスシステムが、第２のアクセス制御情報を、アクセスシステムに対応する鍵生成情報を生成する多様アクセスシステム収容装置に転送するステップと、（ｄ）多様アクセスシステム収容装置が、第２のアクセス制御情報のアクセスシステム識別子情報に基づいて、秘匿とインテグリティ確保の為の鍵生成情報を生成するステップと、（ｅ）多様アクセスシステム収容装置が、第２のアクセス制御情報のアクセスシステムに対応するユーザＩＤに基づいて、ユーザ認証処理とユーザ承認処理と秘匿とインテグリティ確保の為の鍵情報生成処理とを行う認証承認鍵生成装置に対応する統一ユーザＩＤを生成するステップと、（ｆ）多様アクセスシステム収容装置が、第２のアクセス制御情報のユーザ認証情報と鍵生成情報と統一ユーザＩＤとを含む第３のアクセス制御情報を生成するステップと、（ｇ）多様アクセスシステム収容装置が、第３のアクセス制御情報を、認証承認鍵生成装置に転送するステップと、（ｈ）認証承認鍵生成装置が、第３のアクセス制御情報の統一ユーザＩＤとユーザ認証情報に基づいて、端末装置のユーザについての認証処理を行うステップと、（ｉ）認証承認鍵生成装置が、第３のアクセス制御情報の鍵生成情報に基づいて、秘匿とインテグリティ確保の為の鍵情報を生成するステップと、（ｊ）認証承認鍵生成装置が、統一ユーザＩＤと秘匿とインテグリティ確保の為の鍵情報とを含む第４のアクセス制御情報を多様アクセスシステム収容装置に転送するステップと、（ｋ）アクセスシステム収容装置が、第４のアクセス制御情報の統一ユーザＩＤをアクセスシステム識別子情報に基づいて、アクセスシステムに対応するユーザＩＤを生成するステップと、（ｌ）アクセスシステム収容装置が、第４のアクセス制御情報の匿とインテグリティ確保の為の鍵情報とアクセスシステムに対応するユーザＩＤとを含む第５のアクセス制御情報を生成するステップと含むアクセス制御方法であることを要旨とする。

第４の特徴に係るアクセス制御方法によると、アクセスシステムが３Ｇ ＲＡＮやＷＬＡＮといったアクセスシステム識別子を多様アクセスシステム収容装置に通知することと、そのアクセスシステム識別子からアルゴリズム種別や鍵長といった鍵生成情報への変換とＩＭＳＩやＩＭＰＩといったアクセスシステム毎に異なるユーザＩＤ様式をＮＡＩといった統一したユーザＩＤ様式への変換を実行する多様アクセスシステム収容装置を導入することにより、認証承認鍵生成装置がアクセスシステムを認識せず、統一したアクセス制御を実行することを可能とする。

本発明によると、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とするアクセスシステム、多様アクセスシステム収容装置、認証承認鍵生成装置及びアクセス制御方法を提供することができる。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。

（アクセス制御システム）
図１〜図５を参照して、本実施形態に係るアクセス制御システムについて説明する。

本実施形態に係るアクセス制御システムは、図１に示すように、端末装置１００と、アクセスシステム２００と、アクセスシステム２００に対応する鍵生成情報を生成する多様アクセスシステム収容装置３００と、端末装置のユーザ認証処理とユーザ承認処理と秘匿とインテグリティ確保の為の鍵情報生成処理とを行う認証承認鍵生成装置４００とを備える。

認証承認鍵生成装置４００は、端末装置１００のユーザについてのユーザ認証処理と、サービス承認処理と、秘匿とインテグリティ確保の為の鍵生成処理と、それらの鍵のアクセスシステムへの転送処理とを行う。

また、端末装置１００は、アクセスシステム２００に接続されており、アクセスシステム２００は、多様アクセスシステム収容装置３００に接続されており、多様アクセスシステム収容装置３００は、認証承認鍵生成装置４００に接続されている。又、図１では、説明の簡略化のため、アクセスシステム２００を１つ図示しているが、図７に示すように、端末装置１００は、複数のアクセスシステム２００ａ、２００ｂと接続され、それぞれのアクセスシステム２００ａ、２００ｂは、１つの多様アクセスシステム収容装置３００に接続されることができる。

端末装置１００は、図２に示すように、ユーザＩＤ記憶部１０１と、アクセス制御情報送信部１０２とを備える。本実施形態では、端末装置１００として、携帯電話、ノートパソコンなどの通信端末が用いられる。

ユーザＩＤ記憶部１０１は、端末装置のユーザを識別するため、アクセスシステム２００に対応するユーザＩＤとユーザ認証情報を記憶する。ユーザＩＤとしては、例えば、ＩＭＳＩ（International Mobile Subscriber Identity）やＩＭＰＩ（IMS Private Identity）等が用いられる。又、ユーザＩＤ記憶部１０１は、ＲＡＭ等の内部記憶装置でもよく、ＨＤ等の外部記憶装置でもよい。

アクセス制御情報送信部１０２は、アクセス制御処理時に、アクセスシステム２００に対して、アクセスシステムに対応するユーザＩＤとユーザ認証情報を含む第１のアクセス制御情報を送信する。

又、本実施形態に係る端末装置１００は、処理制御装置（ＣＰＵ）を有し、アクセス制御情報送信部１０２などをモジュールとしてＣＰＵに内蔵する構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、端末装置１００は、アクセス制御情報送信処理などを処理制御装置（ＣＰＵ）に実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

アクセスシステム２００は、図３に示すように、アクセス制御情報受信部２０１と、アクセスシステム識別子情報記憶部２０２と、アクセス制御情報処理部２０３と、アクセス制御情報転送部２０４とを備える。本実施形態では、アクセスシステム２００として、ＲＮＣやＷＬＡＮ無線アクセスポイント等が用いられる。

アクセス制御情報受信部２０１は、第1のアクセス制御情報を、端末装置１００から受信する。

アクセスシステム識別子情報記憶部２０２は、３Ｇ ＲＡＮやＷＬＡＮなどのアクセスシステム識別子を記憶する。又、アクセスシステム識別子情報記憶部２０２は、ＲＡＭ等の内部記憶装置でもよく、ＨＤ等の外部記憶装置でもよい。

アクセス制御情報処理部２０３は、第１のアクセス制御情報にアクセスシステム識別子を付加し、第２のアクセス制御情報を生成する。

アクセス制御情報転送部２０４は、多様アクセスシステム収容装置３００に対して、第２のアクセス制御情報を送信する。

又、アクセス制御情報受信部２０１は、後述する多様アクセスシステム収容装置３００によって生成された、秘匿とインテグリティ確保の為の鍵情報とアクセスシステムに対応するユーザＩＤとを含む第５のアクセス制御情報を受信する。そして、アクセス制御情報処理部２０３は、第５のアクセス制御情報に基づいて、端末装置１００との間にセキュアな通信路を確立する。

又、本実施形態に係るアクセスシステム２００は、処理制御装置（ＣＰＵ）を有し、アクセス制御情報受信部２０１、アクセス制御情報処理部２０３、アクセス制御情報転送部２０４などをモジュールとしてＣＰＵに内蔵する構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、アクセスシステム２００は、アクセス制御情報受信処理、アクセス制御情報処理、アクセス制御情報転送処理などを処理制御装置（ＣＰＵ）に実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

多様アクセスシステム収容装置３００は、図４に示すように、第１のアクセス制御情報受信部３０１と、鍵生成情報記憶部３０２と、アクセスシステム識別子処理部３０３と、第１のユーザＩＤ処理部３０４と、第１のアクセス制御情報生成部３０５と、第１のアクセス制御情報転送部３０６と、第２のアクセス制御情報受信部３０７と、第２のユーザＩＤ処理部３０８と、第２のアクセス制御情報生成部３０９と、第２のアクセス制御情報転送部３１０とを備える。本実施形態では、多様アクセスシステム収容装置３００として、局在ノード等が用いられる。

第１のアクセス制御情報受信部３０１は、第２のアクセス制御情報を、アクセスシステム２００から受信する。

鍵生成情報記憶部３０２は、アクセスシステム識別子に対応する鍵生成情報を記憶する。本実施形態では、鍵生成情報として、鍵生成アルゴリズム（例えば、ＣＫ＆ＩＫ、ＭＳＫ）や鍵長等が用いられる。又、鍵生成情報記憶部３０２は、ＲＡＭ等の内部記憶装置でもよく、ＨＤ等の外部記憶装置でもよい。

アクセスシステム識別子処理部３０３は、鍵生成情報記憶部３０２を参照し、第２のアクセス制御情報に含まれるアクセスシステム識別子からアクセスシステム識別子に対応する鍵生成情報を取得する。

第１のユーザＩＤ処理部３０４は、第２のアクセス制御情報に含まれるアクセスシステムに対応するユーザＩＤから、認証承認鍵生成装置に対応する統一ユーザＩＤを生成する。ここで、統一ユーザＩＤとは、アクセスシステム毎に異なるユーザＩＤ様式を、統一したユーザＩＤ様式へ変換したものであり、例えば、ＮＡＩ（Network Access Identifier）などが用いられる。

第１のアクセス制御情報生成部３０５は、第２のアクセス制御情報に含まれるユーザ認証情報と、鍵生成情報と、統一ユーザＩＤとを含む第３のアクセス制御情報を生成する。

第１のアクセス制御情報転送部３０６は、認証承認鍵生成装置４００に対して第３のアクセス制御情報を送信する。

第２のアクセス制御情報受信部３０７は、秘匿とインテグリティ確保の為の鍵情報と統一ユーザＩＤとを含む第４のアクセス制御情報を、認証承認鍵生成装置４００から受信する。

第２のユーザＩＤ処理部３０８は、第４のアクセス制御情報に含まれる統一ユーザＩＤから、アクセスシステムに対応するユーザＩＤを生成する。

第２のアクセス制御情報生成部３０９は、第４のアクセス制御情報に含まれる秘匿とインテグリティ確保の為の鍵情報とアクセスシステムに対応するユーザＩＤとを含む第５のアクセス制御情報を生成する。

第２のアクセス制御情報転送部３１０は、アクセスシステム２００に対して第５のアクセス制御情報を送信する。

又、本実施形態に係る多様アクセスシステム収容装置３００は、処理制御装置（ＣＰＵ）を有し、第１のアクセス制御情報受信部３０１、アクセスシステム識別子処理部３０３、第１のユーザＩＤ処理部３０４、第１のアクセス制御情報生成部３０５、第１のアクセス制御情報転送部３０６、第２のアクセス制御情報受信部３０７、第２のユーザＩＤ処理部３０８、第２のアクセス制御情報生成部３０９、第２のアクセス制御情報転送部３１０などをモジュールとしてＣＰＵに内蔵する構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、多様アクセスシステム収容装置３００は、第１のアクセス制御情報受信処理、アクセスシステム識別子処理などを処理制御装置（ＣＰＵ）に実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

認証承認鍵生成装置４００は、図５に示すように、アクセス制御情報受信部４０１と、ユーザ認証処理部４０２と、鍵生成処理部４０３と、アクセス制御情報生成部４０４と、アクセス制御情報転送部４０５とを備える。本実施形態では、認証承認鍵生成装置４００として、ＡＡＡサーバ等が用いられる。

アクセス制御情報受信部４０１は、第３のアクセス制御情報を、多様アクセスシステム収容装置３００から受信する。

ユーザ認証処理部４０２は、第３のアクセス制御情報に含まれる統一ユーザＩＤとユーザ認証情報とに基づいて、端末装置１００のユーザについてのユーザ認証処理とサービス承認処理とを行う。

鍵生成処理部４０３は、第３のアクセス制御情報に含まれる鍵生成情報からアクセスシステムに対応する秘匿とインテグリティ確保の為の鍵を生成する。

アクセス制御情報生成部４０４は、秘匿とインテグリティ確保の為の鍵情報と統一ユーザＩＤとを含む第４のアクセス制御情報を生成する。

アクセス制御情報転送部４０５は、多様アクセスシステム収容装置３００に対して第４のアクセス制御情報を送信する。

又、本実施形態に係る認証承認鍵生成装置４００は、アクセス制御情報受信部４０１、ユーザ認証処理部４０２、鍵生成処理部４０３、アクセス制御情報生成部４０４、アクセス制御情報転送部４０５などをモジュールとしてＣＰＵに内蔵する構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、認証承認鍵生成装置４００は、アクセス制御情報受信処理、ユーザ認証処理、鍵生成処理などを処理制御装置（ＣＰＵ）に実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

（アクセス制御方法）
次に、図６を参照して、本実施形態に係るアクセス制御システムにおけるアクセス制御方法について説明する。

まず、ステップＳ１０１において、アクセス制御処理を希望する端末装置１００は、アクセスシステムに対応するユーザＩＤとユーザ認証情報とを含む第１のアクセス制御情報をアクセスシステム２００へ送信する。

次に、ステップＳ１０２において、アクセスシステム２００は、第１のアクセス制御情報にアクセスシステム識別子を付加し、第２のアクセス制御情報を生成する。

次に、ステップＳ１０３ において、アクセスシステム２００は、第２のアクセス制御情報を多様アクセスシステム収容装置３００に対して送信する。

次に、ステップＳ１０４において、多様アクセスシステム収容装置３００は、第２のアクセス制御情報に含まれるアクセスシステム識別子に基づき、鍵生成情報を生成する。そして、多様アクセスシステム収容装置３００は、第２のアクセス制御情報に含まれるアクセスシステムに対応するユーザＩＤに基づき、統一ユーザＩＤを生成する。そして、多様アクセスシステム収容装置３００は、統一ユーザＩＤとユーザ認証情報と鍵生成情報とを含む第３のアクセス制御情報を生成する。

次に、ステップＳ１０５において、多様アクセスシステム収容装置３００は、第３のアクセス制御情報を認証承認鍵生成装置４００に対して送信する。

次に、ステップＳ１０６において、認証承認鍵生成装置４００は、受信した第３のアクセス制御情報に含まれる統一ユーザＩＤとユーザ認証情報に基づき、端末装置１００のユーザについてのユーザ認証処理とサービス承認処理とを行う。そして、ステップＳ１０７において、認証承認鍵生成装置４００は、受信した第３のアクセス制御情報に含まれる鍵生成情報に基づき秘匿とインテグリティ確保の為の鍵情報を生成する。そして、認証承認鍵生成装置４００は、統一ユーザＩＤと、秘匿とインテグリティ確保の為の鍵情報とを含む第４のアクセス制御情報を生成する。

次に、ステップＳ１０８において、認証承認鍵生成装置４００は、第４のアクセス制御情報を多様アクセスシステム収容装置３００に対して送信する。

次に、ステップＳ１０９において、多様アクセスシステム収容装置３００は、第４のアクセス制御情報に含まれる統一ユーザＩＤに基づき、アクセスシステムに対応するユーザＩＤを生成する。そして、多様アクセスシステム収容装置３００は、アクセスシステムに対応するユーザＩＤと、秘匿とインテグリティ確保の為の鍵情報とを含む第５のアクセス制御情報を生成する。

次に、ステップＳ１１０において、多様アクセスシステム収容装置３００は、第５のアクセス制御情報をアクセスシステム２００に対して送信する。そして、ステップＳ１１１において、アクセスシステム２００は、第５のアクセス制御情報に基づいて、端末装置１００との間にセキュアな通信路を確立する。

（作用及び効果）
本実施形態に係るアクセスシステム２００によると、図７に示すように、それぞれのアクセスシステムＡ２００ａ（例えば、３Ｇ ＲＡＮ）、アクセスシステムＢ２００ｂ（例えば、ＷＬＡＮ）が、３Ｇ ＲＡＮ、ＷＬＡＮなどのアクセスシステム識別子情報を付加し、第２のアクセス制御情報を生成し、多様アクセスシステム収容装置３００に通知することにより、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とすることができる。

又、本実施形態に係る多様アクセスシステム収容装置３００によると、アクセスシステム識別子から鍵生成情報を生成し、アクセスシステム毎のユーザＩＤを統一ユーザＩＤに変更することにより、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とすることができる。

又、本実施形態に係る認証承認鍵生成装置４００によると、統一ユーザＩＤとユーザ認証情報とに基づいて、端末装置のユーザについてのユーザ認証処理及びサービス承認処理を行い、鍵生成情報に基づいて、秘匿とインテグリティ確保の為の鍵情報を生成することにより、多様なアクセスシステムを収容する場合に、開発費を低減し、迅速な実装を可能とすることができる。

上述したように、本実施形態では、アクセスシステム２００が３Ｇ ＲＡＮやＷＬＡＮといったアクセスシステム識別子を多様アクセスシステム収容装置３００に通知することと、そのアクセスシステム識別子からアルゴリズム種別や鍵長といった鍵生成情報への変換とＩＭＳＩやＩＭＰＩといったアクセスシステム毎に異なるユーザＩＤ様式をＮＡＩといった統一したユーザＩＤ様式への変換を実行する多様アクセスシステム収容装置３００を導入することにより、認証承認鍵生成装置４００がアクセスシステム２００を認識せず、統一したアクセス制御を実行することを可能とする。

本実施形態に係るアクセス制御システム及びアクセス制御方法によれば、新規アクセスシステムを収容する際に、新規アクセス制御の為の認証承認鍵生成機能を具備する必要がなく、従来のような冗長開発が不要となる。又、多様アクセスシステム収容機能を局在ノードのみに実装することで収容が可能となる為、迅速な実装が可能となる。

（その他の実施形態）
本発明は上記の実施形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

例えば、図１及び図７において、多様アクセスシステム収容装置３００と認証承認鍵生成装置４００はそれぞれ別体として説明したが、多様アクセスシステム収容機能と認証承認鍵生成機能を有する１つの装置として実現されてもよい。

このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

本実施形態に係るアクセス制御システムの構成ブロック図である（その１）。 本実施形態に係る端末装置の構成ブロック図である。 本実施形態に係るアクセスシステムの構成ブロック図である。 本実施形態に係る多様アクセスシステム収容装置の構成ブロック図である。 本実施形態に係る認証承認鍵生成装置の構成ブロック図である。 本実施形態に係るアクセス制御方法を示すフローチャートである。 本実施形態に係るアクセス制御システムの構成ブロック図である（その２）。

符号の説明

１００…端末装置
１０１…ユーザＩＤ記憶部
１０２…アクセス制御情報送信部
２００、２００ａ、２００ｂ…アクセスシステム
２０１…アクセス制御情報受信部
２０２…アクセスシステム識別子情報記憶部
２０３…アクセス制御情報処理部
２０４…アクセス制御情報転送部
３００…多様アクセスシステム収容装置
３０１…第１のアクセス制御情報受信部
３０２…鍵生成情報記憶部
３０３…アクセスシステム識別子処理部
３０４…第１のユーザＩＤ処理部
３０５…第１のアクセス制御情報生成部
３０６…第１のアクセス制御情報転送部
３０７…第２のアクセス制御情報受信部
３０８…第２のユーザＩＤ処理部
３０９…第２のアクセス制御情報生成部
３１０…第２のアクセス制御情報転送部
４００…認証承認鍵生成装置
４０１…アクセス制御情報受信部
４０２…ユーザ認証処理部
４０３…鍵生成処理部
４０４…アクセス制御情報生成部
４０５…アクセス制御情報転送部

Claims (2)

1. アクセスシステムと、
   前記アクセスシステムに接続され、前記アクセスシステムに対応する鍵生成情報を生成する多様アクセスシステム収容装置と、
   前記多様アクセスシステム収容装置に接続され、端末装置のユーザ認証処理と、サービス承認処理と、秘匿及びインテグリティ確保の為の鍵情報生成処理とを行う認証承認鍵生成装置と
   を備えるアクセス制御システムであって、
   前記アクセスシステムは、
   前記端末装置から、前記アクセスシステムに対応するユーザＩＤとユーザ認証情報とを含む第１のアクセス制御情報を受信するアクセス制御情報受信部と、
   前記第１のアクセス制御情報に前記アクセスシステムのアクセスシステム識別子情報を付加し、第２のアクセス制御情報を生成するアクセス制御情報処理部と、
   前記多様アクセスシステム収容装置に対して前記第２のアクセス制御情報を転送するアクセス制御情報転送部と
   を備え、
   前記多様アクセスシステム収容装置は、
   前記アクセスシステムから、前記アクセスシステムに対応する前記ユーザＩＤと前記ユーザ認証情報と前記アクセスシステム識別子情報とを含む前記第２のアクセス制御情報を受信する第１のアクセス制御情報受信部と、
   前記第２のアクセス制御情報に基づいて、前記認証承認鍵生成装置に対応する統一ユーザＩＤと前記ユーザ認証情報と前記鍵生成情報とを含む第３のアクセス制御情報を生成する第１のアクセス制御情報生成部と、
   前記認証承認鍵生成装置に対して、前記第３のアクセス制御情報を転送する第１のアクセス制御情報転送部とを備え、
   前記認証承認鍵生成装置は、
   前記多様アクセスシステム収容装置から、前記認証承認鍵生成装置に対応する前記第３のアクセス制御情報を受信する第１のアクセス制御情報受信部と、
   前記統一ユーザＩＤと前記ユーザ認証情報とに基づいて、前記端末装置のユーザについての前記ユーザ認証処理及び前記サービス承認処理を行うユーザ認証処理部と、
   前記鍵生成情報に基づいて、前記秘匿とインテグリティ確保の為の鍵情報を生成する鍵生成処理部と、
   前記多様アクセスシステム収容装置に対して、前記統一ユーザＩＤと前記鍵情報とを含む第４のアクセス制御情報を転送するアクセス制御情報転送部と
   を備え、
   前記多様アクセスシステム収容装置は、
   前記認証承認鍵生成装置から、前記第４のアクセス制御情報を受信する第２のアクセス制御情報受信部と、
   前記第４のアクセス制御情報に基づいて、前記アクセスシステムに対応する前記ユーザＩＤと、前記秘匿及びインテグリティ確保の為の情報とを含む第５のアクセス制御情報を生成する第２のアクセス制御情報生成部と、
   前記アクセスシステムに対して、前記第５のアクセス制御情報を転送する第２のアクセス制御情報転送部と
   をさらに備えることを特徴とするアクセス制御システム。
2. 端末装置のユーザについてのユーザ認証処理と、サービス承認処理と、秘匿及びインテグリティ確保の為の鍵情報生成処理と、鍵情報のアクセスシステムへの転送処理とを行うアクセス制御方法であって、
   前記端末装置が前記アクセスシステムに対応するユーザＩＤとユーザ認証情報とを含む第１のアクセス制御情報を前記アクセスシステムに送信するステップと、
   前記アクセスシステムが、前記第１のアクセス制御情報に、前記アクセスシステムのアクセスシステム識別子情報を付加し、第２のアクセス制御情報を生成するステップと、
   前記アクセスシステムが、前記第２のアクセス制御情報を、前記アクセスシステムに対応する鍵生成情報を生成する多様アクセスシステム収容装置に転送するステップと、
   前記多様アクセスシステム収容装置が、前記第２のアクセス制御情報に付加されている前記アクセスシステム識別子情報に基づいて、秘匿及びインテグリティ確保の為の前記鍵生成情報を生成するステップと、
   前記多様アクセスシステム収容装置が、前記第２のアクセス制御情報に付加されている前記ユーザＩＤに基づいて、前記ユーザ認証処理と前記サービス承認処理と前記鍵情報生成処理とを行う認証承認鍵生成装置に対応する統一ユーザＩＤを生成するステップと、
   前記多様アクセスシステム収容装置が、前記ユーザ認証情報と前記鍵生成情報と前記統一ユーザＩＤとを含む第３のアクセス制御情報を生成するステップと、
   前記多様アクセスシステム収容装置が、前記第３のアクセス制御情報を前記認認証承認鍵生成装置に転送するステップと、
   前記認証承認鍵生成装置が、前記統一ユーザＩＤと前記ユーザ認証情報とに基づいて、前記ユーザについての認証処理を行うステップと、
   前記認証承認鍵生成装置が、前記鍵生成情報に基づいて、前記鍵情報を生成するステップと、
   前記認証承認鍵生成装置が、前記統一ユーザＩＤと前記鍵情報とを含む第４のアクセス制御情報を前記多様アクセスシステム収容装置に転送するステップと、
   前記多様アクセスシステム収容装置が、前記統一ユーザＩＤを前記アクセスシステム識別子情報に基づいて、前記アクセスシステムに対応する前記ユーザＩＤを生成するステップと、
   前記多様アクセスシステム収容装置が、前記第４のアクセス制御情報の前記鍵情報と前記アクセスシステムに対応する前記ユーザＩＤとを含む第５のアクセス制御情報を生成するステップと、
   前記多様アクセスシステム収容装置が、前記アクセスシステムに対して、前記第５のアクセス制御情報を転送するステップと
   含むことを特徴とするアクセス制御方法。

Images