[go: up one dir, main page]

WO2009084601A1 - アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム - Google Patents

アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム Download PDF

Info

Publication number
WO2009084601A1
WO2009084601A1 PCT/JP2008/073644 JP2008073644W WO2009084601A1 WO 2009084601 A1 WO2009084601 A1 WO 2009084601A1 JP 2008073644 W JP2008073644 W JP 2008073644W WO 2009084601 A1 WO2009084601 A1 WO 2009084601A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
authority
information
access
token
Prior art date
Application number
PCT/JP2008/073644
Other languages
English (en)
French (fr)
Inventor
Makoto Hatakeyama
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to US12/735,120 priority Critical patent/US8544066B2/en
Priority to JP2009548071A priority patent/JP5423397B2/ja
Publication of WO2009084601A1 publication Critical patent/WO2009084601A1/ja
Priority to US14/017,559 priority patent/US8935747B2/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Definitions

  • the present invention relates to an access authority management system, an access authority management method, and an access authority management program that can centrally manage authority delegation between users.
  • FIG. 22 is a configuration diagram illustrating an example of a certificate generation / distribution system using SAML described in Non-Patent Document 1.
  • an identity provider hereinafter referred to as IdP
  • a service provider hereinafter referred to as SP
  • a user agent user terminal device software
  • the user accesses the SP 101 through the user agent 102 in order to use a service that is restricted in use of the SP 101 (step (1) in FIG. 22).
  • the SP 101 sends a certificate request message to the IdP 100 in order to obtain the user's certificate (step (2-a) in FIG. 22), and the user agent 102 sends the certificate request message from the SP 101 to the IdP 100. (Step (2-b) in FIG. 22).
  • the IdP 100 uses the user information 103 to create a certificate (assertion) described in conformity with XML (ExtensibleuMarkup Language) (step (3) in FIG. 22).
  • the IdP 100 creates an artifact that plays the role of a ticket corresponding to the assertion, and returns it to the user agent 102 (step (4-a) in FIG. 22).
  • the user agent 102 redirects the artifact to the SP 101 (step (4-b) in FIG. 22).
  • the SP 101 sends the received artifact to IdP 100 and requests the corresponding assertion (step (5) in FIG. 22).
  • the IdP 100 confirms the artifact received from the SP 101 and returns a corresponding assertion to the SP 101 (step (6) in FIG. 22).
  • the SP 101 confirms the validity of the assertion received from the IdP 100, verifies the security policy of the SP 101, and determines whether to grant permission for the access request to the user's service. If it is determined that permission is granted, service provision to the user agent 102 is started (step (7) in FIG. 22).
  • the IdP 100 creates a certificate relating to the user and distributes it to the SP 101.
  • the certificate distributed by the IdP 100 it is possible to describe information related to the user who has accessed the SP 101.
  • examples of the information related to the user include user identifier information, certificate validity range (a business operator to be distributed and validated), and other confidential information related to the user.
  • FIG. 23 is an explanatory diagram for explaining an access management system that realizes delegation of authority described in Patent Document 1.
  • the example shown in FIG. 23 shows a system that manages authority delegation between members of the organization A (110) and members of the organization B (111).
  • resources 113 are managed.
  • the resource 113 is managed.
  • the organization B has a resource access person 115 who accesses the resource 113.
  • the access management system shown in FIG. 23 operates as follows. That is, first, the administrator 112 of the organization A sends the credit information to the administrator 114 of the organization B (step (1) in FIG. 23). In the credit information, a condition (condition for delegating authority) for the resource access person 115 of the organization B to access the resource instead of the administrator of the organization A is described. Here, the description is continued assuming that the resource access person 115 satisfies the condition for accessing the resource. Next, the administrator 114 of the organization B issues credit information to the resource access 115 of the organization B instead of the administrator 112 of the organization A (step (2) in FIG. 23). The credit information issued by the administrator 114 of the organization B includes the credit information issued by the administrator 112 of the organization A.
  • the resource access person 115 of the organization B sends an access request message to the resource 113 of the organization A together with the credit information issued by the administrator 114 of the organization B (step (3) in FIG. 23).
  • the resource 113 of the organization A determines whether access is possible based on the credit information sent from the resource access person 115 of the organization B, and sends some information to the resource access person 115 of the organization B.
  • the administrator 112 of the organization A realizes the transfer of access authority by sending information for proxy access to the organization B that is the partner to whom the access authority is transferred.
  • the techniques described in Patent Document 1 and Non-Patent Document 1 described above have the following problems to be solved.
  • the first problem is that, using the technology described in Patent Document 1 and Non-Patent Document 1, a user (user 1) uses an access authority delegated from another user (user 2), When the service provider (SP1) performs proxy access to another service provider (SP2), there is a high possibility that information is leaked. This is because all user information and access authority held by the service provider must be exchanged between the provider (SP1) that performs proxy access and the service provider (SP2) that is the access destination.
  • Non-Patent Document 1 a certificate that describes access authority information of both user 1 and user 2 is exchanged between SP1 and SP2, so that information can be leaked. High nature.
  • credit information in which all access authority information is described is exchanged between service providers. That is, the two service providers exchange all information related to the user such as setting of access authority and authority delegation.
  • Non-Patent Document 1 a certificate in which information related to a user is described is exchanged between providers. As a result, all information about the user is disclosed to other providers.
  • SP1 When a certain user (user 1) uses the access authority delegated from another user (user 2) to cause the service provider (SP1) to perform proxy access to another service provider (SP2), SP1 Since access is accepted from user 1, information on user 2 is not necessary. Further, since SP2 accepts proxy access with the authority of user 2, only the authority information of user 2 is necessary, and the information of user 1 is not necessary. Therefore, SP1 and SP2 do not need to acquire both pieces of user information. That is, it is preferable that only the minimum user information necessary for each service provider can be used.
  • the second problem is that one user (user 1) uses the access authority delegated from another user (user 2) to give the service provider (SP1) proxy access to another service provider (SP2).
  • SP1 service provider
  • SP2 service provider
  • the user 2 needs to specify the settings regarding access authority and authority delegation as a policy for all providers, which is inefficient.
  • each provider manages information independently to determine whether access is possible. Since each service provider manages user accessibility information, when a user delegates authority to another user, it is necessary to set a delegation condition for all related providers.
  • access control is performed by verifying a certificate after the service provider receives the certificate. Therefore, when the user sets authority delegation, the user needs to set authority delegation for all SPs.
  • the administrator of the organization A that performs access control issues credit information as access control information. In other words, it is necessary to store the settings related to user authority delegation for each resource or service provider to be accessed.
  • the present invention provides an access authority management system, an access authority management method, and an access authority that can reduce information exchanged between apparatuses when a certain apparatus performs proxy access to another apparatus with authority delegated by a user.
  • the purpose is to provide a management program.
  • Another object of the present invention is to provide an access authority management system, an access authority management method, and an access authority management program capable of centrally managing settings relating to access control and authority delegation in one place.
  • An access authority management system includes an authentication apparatus that manages conditions for delegating authority, a service providing apparatus that provides a service in response to a service request, and a service proxy access apparatus that performs access to the service providing apparatus. And an authentication device based on a user authentication certificate generation unit that issues user authentication information in which information related to a user is described to another device, and information on a user to whom the authority is transferred and a condition for delegating the authority.
  • Authority delegation information and a token corresponding to the authority delegation information are issued to another device, authority delegation certificate and token generation unit, the service delegation access device for authority delegation to access the other device
  • a token request unit that requests issuance of information and tokens
  • a user proxy access unit that accesses other services using tokens Hints
  • service providing apparatus characterized in that it comprises a user authentication certificate request unit that acquires user authentication information from the authentication device by using the token.
  • An authentication apparatus is an authentication apparatus that issues user authentication information in an access authority management system that manages authority delegation, and a user who generates user authentication information in which information about a user is described for another apparatus Authentication certificate generation unit, privilege delegation setting information reception unit for setting conditions for delegating access privileges to another user, privilege delegation condition storage unit for storing conditions for delegating access privileges set by users, and privilege delegation An authority delegation certificate / token generator that issues authority delegation information and a token corresponding to the authority delegation information to another device based on the information of the previous user and the conditions for delegating the authority, and authority delegation certificate Certificate storage unit that stores authority delegation information and tokens issued by the certificate / token generation unit, and when a token is received, it corresponds to the received token Characterized in that a certificate request receiving unit that acquires limited delegation information from the certificate storage unit.
  • a service proxy access apparatus is a service proxy access apparatus that performs access proxy to a service providing apparatus in an access authority management system that manages authority delegation, and obtains user authentication information of the accessing user
  • the authentication certificate management unit, the user authentication certificate storage unit that stores the acquired user authentication information, the authority delegation information for accessing other devices, the token request unit that requests the token issuance, and the token
  • a user proxy access unit for accessing other services is a service proxy access apparatus that performs access proxy to a service providing apparatus in an access authority management system that manages authority delegation, and obtains user authentication information of the accessing user
  • the authentication certificate management unit, the user authentication certificate storage unit that stores the acquired user authentication information, the authority delegation information for accessing other devices, the token request unit that requests the token issuance, and the token
  • a user proxy access unit for accessing other services is a service proxy access apparatus that performs access proxy to a service providing apparatus in an access authority management system that manages authority delegation, and obtains user authentication information of the accessing user
  • a service providing apparatus is a service providing apparatus that provides a service in response to a service request in an access authority management system that manages authority delegation, and receives a token for acquiring information about a user from another apparatus.
  • a service information storage unit for storing services to be provided to the apparatus.
  • the access authority management method includes a service providing apparatus that manages authority delegation conditions and issues user authentication information, and a service providing apparatus that provides a service in response to a service request, and a service that performs access to the service providing apparatus.
  • a document request step is executed.
  • An authentication program is an authentication program in an authentication device that issues user authentication information in an access authority management system that manages authority delegation, User authentication certificate generating means for generating user authentication information in which information about the user is described for another device, authority delegation setting information receiving means for setting conditions for delegating access authority to another user, Based on the authority delegation condition storage means for storing the conditions for delegating the set access authority, information on the user to whom the authority is transferred and the conditions for delegating the authority, authority delegation information and a token corresponding to the authority delegation information are provided.
  • an authority delegation certificate / token generation means Upon receipt of a token, an authority delegation certificate / token generation means to be issued to another device, a certificate storage means for storing authority delegation information and tokens issued by the authority delegation certificate / token generation means, A computer as an authentication device comprising certificate request accepting means for obtaining authority delegation information corresponding to the received token from the certificate storage means Characterized in that to ability.
  • a service proxy access program is a service proxy access program in a service proxy access device that performs access proxy to a service providing device in an access privilege management system that manages authority delegation, and user authentication of a user who is accessing the service proxy access program
  • User authentication certificate management means for acquiring information, user authentication certificate storage means for storing the acquired user authentication information, authority delegation information for accessing other devices, and token request means for requesting issuance of a token
  • the computer functions as a service proxy access device including user proxy access means for accessing other services using the token.
  • a service providing program is a service providing program in a service providing apparatus that provides a service in response to a service request in an access authority management system that manages authority delegation, and acquires information about a user from another apparatus.
  • a service providing apparatus comprising service information storage means for storing a service provided to another apparatus.
  • FIG. 10 is an explanatory diagram for explaining an access management system that realizes delegation of authority described in Patent Document 1.
  • FIG. 1st Example of the access management system by this invention It is a block diagram which shows the structure of the 1st Example of the access management system by this invention. It is a block diagram which shows the structure of the 2nd Example of the access management system by this invention. It is a block diagram which shows the structure of the system for implement
  • achieving the delivery of the certificate described in the nonpatent literature 1. 10 is an explanatory diagram for explaining an access management system that realizes delegation of authority described in Patent Document 1.
  • FIG. 1 is a block diagram showing an overall configuration of an access authority management system according to an embodiment of the present invention.
  • the first embodiment of the present invention includes an authentication device 1, a service proxy access device 2, a service providing device 3, a service access user terminal device 4, and an authority setting user terminal device 5. These devices are each connected to the network 6.
  • FIG. 1 shows an authentication device 1, a service proxy access device 2, a service providing device 3, a service access user terminal device 4, and an authority setting user terminal device 5.
  • this is merely an example, and one or more of these devices may exist.
  • a user who delegates authority to another user accesses the authentication apparatus 1 via the authority setting user terminal apparatus 5.
  • a user whose authority is delegated by another user accesses the service proxy access device 2 via the service access user terminal device 4.
  • the user may be an individual or an organization composed of a plurality of individuals.
  • FIG. 2 is a block diagram showing the main configuration of the access authority management system according to the present invention.
  • the access authority management system performs access to the authentication apparatus 1 that manages conditions for delegating authority, the service providing apparatus 3 that provides a service in response to a service request, and the service providing apparatus.
  • a service proxy access device 2 The authentication device 1 includes a user authentication certificate generation unit 12 and an authority transfer certificate / token generation unit 14.
  • the user authentication certificate generation unit 12 issues user authentication information in which information about the user is described to another device.
  • the authority delegation certificate / token generation unit 14 sends the authority delegation information and the token corresponding to the authority delegation information to other apparatuses based on the information of the authority delegation destination user and the condition for delegating the authority. Issue.
  • the service proxy access device 2 includes a token request unit 33 and a user proxy access unit 32.
  • the token request unit 33 requests issuance of authority delegation information and tokens for accessing other devices.
  • the user proxy access unit 32 accesses other services using a token.
  • the service providing apparatus 3 includes a user authentication certificate request unit 53 that acquires user authentication information from the authentication apparatus using a token.
  • the service providing apparatus 3 includes a service information storage unit 60 that stores services to be provided to other apparatuses, and includes a token reception unit 52 that receives tokens for acquiring information about users from other apparatuses. Yes.
  • the user authentication information (for example, user authentication certificate) acquired by the user authentication certificate request unit 53 is what is called authority delegation information (for example, authority delegation certificate) in the authentication device 1. Since the authentication device 1 has authority delegation setting information, it can be determined as authority delegation information. However, in the service providing apparatus 3, there is no information regarding authority delegation, which is information regarding the user. Since the service providing apparatus 3 cannot determine whether or not it is authority transfer information, it is set as user authentication information. Both refer to the same information, but the information they have as a premise is different for each device, so they are called differently.
  • the authentication device 1 includes an authority delegation condition storage unit 21 that stores conditions for delegating access authority set by a user who delegates authority, and the authority delegation certificate / token generation unit 14 is stored in the authority delegation condition storage unit 21. You may make it issue authority delegation information and the token corresponding to authority delegation information based on the conditions for delegating the stored authority. Further, the authentication device 1 receives the certificate transfer unit 23 that stores the authority delegation information issued by the authority delegation certificate / token generation unit 14 and the token corresponding to the authority delegation information, and receives the token. A certificate request receiving unit 18 that acquires authority delegation information corresponding to the token from the certificate storage unit may be included. In addition, the authentication device 1 includes an authority user conversion unit 15 that determines whether or not to grant access authority to another user. The authority transfer certificate / token generation unit 14 includes the authority user conversion unit 15. If it is determined that the authorization is permitted, authority delegation information and a token corresponding to the authority delegation information may be issued.
  • the service proxy access device 2 includes a user authentication certificate management unit 35 that acquires user authentication information of the accessing user, and a user authentication certificate storage unit 41 that stores the acquired user authentication information. May be.
  • the service providing apparatus 3 further transmits the authority delegation information for accessing another apparatus as a proxy for the user described in the user authentication information, the token request unit 33A that requests the token issuance, and the other apparatus.
  • a user proxy access unit 32A that accesses other services using a token may be included.
  • FIG. 3 is a block diagram illustrating a configuration example of the authentication device 1.
  • the authentication device 1 includes a user authentication certificate request reception unit 10, a user information management unit 11, a user authentication certificate generation unit 12, an authority transfer setting information reception unit 13, and an authority transfer certificate.
  • Certificate / token generation unit 14 authority user conversion unit 15, authority transfer certificate / token management unit 16, authority transfer certificate request reception unit 17, certificate request reception unit 18, user information storage unit 20 ,
  • the user authentication certificate request receiving unit 10 receives a user authentication certificate request from another device, and uses the user authentication certificate issued by the user authentication certificate generating unit 12 to request the user authentication certificate.
  • Reply to The user authentication certificate is a document in which information about a user stored (stored) in the user information storage unit 20 is described, and includes user identifier information and certificate issuer information.
  • An example of the user authentication certificate is shown in FIG.
  • the user authentication certificate is, for example, SAML described in Non-Patent Document 1, X. Although the format is 509, it is not limited to these formats. In the present invention, the user authentication certificate may be in any format as long as information about the user is included.
  • the user authentication certificate request accepting unit 10 receives a user authentication certificate generation request
  • the user information management unit 11 acquires user information that is a target of the certificate from the user information storage unit 20, and acquires the user authentication certificate.
  • the user authentication certificate generation unit 12 issues a user authentication certificate based on information in the user information storage unit 20.
  • the authority delegation setting information reception unit 13 receives authority delegation setting information from the authority setting user terminal device 5 shown in FIG.
  • the authority delegation setting information receiving unit 13 stores the authority delegation setting information in the authority delegation condition storage unit 21 together with the information stored in the user information storage unit 20.
  • the authority delegation setting information includes the identifier of the authority delegation source user, the identifier of the user to whom the authority is delegated, and the provider ID, URL, resource, and the like that can be accessed using the delegated authority. Information.
  • An example of information stored in the delegation condition storage unit 21 is shown in FIG.
  • the authority delegation certificate / token generation unit 14 obtains an authority delegation certificate issuance request for proxy access from the authority delegation certificate request reception unit 17, and further receives information on the delegation destination user from the authority user conversion unit 15. Obtain and issue authority delegation certificate.
  • the format of the authority transfer certificate is the same as that of the user authentication certificate.
  • the service providing apparatus 3 that receives the authority delegation certificate has no authority delegation setting information, and when viewed from the service providing apparatus 3, the user information is described, so that it is simply a user authentication certificate.
  • the authority transfer certificate / token generation unit 14 issues a token for uniquely identifying the certificate.
  • a token for uniquely identifying a certificate.
  • a token for uniquely identifying a certificate can be realized using, for example, an artifact defined by SAML described in Non-Patent Document 1. However, any format other than the artifact may be used as long as it is a character string uniquely associated with the certificate.
  • the authority user conversion unit 15 acquires a user authentication certificate from the authority delegation certificate request reception unit 17 and determines whether or not authority delegation is permitted based on the conditions described in the authority delegation condition storage unit 21. . If it is determined that the authority transfer is permitted, the user information of the user whose authority is transferred is acquired from the user information storage unit 20. For example, if the user identifier described in the user authentication certificate is described as the authority delegation destination user identifier stored in the authority delegation condition storage unit 21, it is determined that the authority may be delegated. To do. Then, the user authentication certificate (authority transfer certificate) is permitted to be issued as the authority transfer source user.
  • the authority transfer certificate / token management unit 16 associates the certificate generated by the authority transfer certificate / token generation unit 14 with the token and registers them in the certificate storage unit 23, or uses the token to store the certificate storage unit 23. Or get a certificate from The authority delegation certificate request accepting unit 17 obtains an authority certificate issuance request for proxy access and a user authentication certificate from different devices. Then, the authority delegation certificate request receiving unit 17 returns the token relating to the access authority generated by the authentication apparatus 1 to the apparatus from which the authority certificate issuance request is acquired.
  • the certificate request reception unit 18 acquires a token from another device and returns a certificate stored in the certificate storage unit 23.
  • the user information storage unit 20 stores user information.
  • the user information includes a user identifier, information related to the user's access authority (Read, Write, execution authority, etc.), and information on whether or not to issue a certificate to another device.
  • the information regarding the user is not limited to such information. Other information may be added in addition to or instead of these pieces of information.
  • the authority delegation condition storage unit 21 stores delegation user identifiers, delegation destination user identifiers, and user authority delegation information such as access destination devices and access destination information.
  • the service provision information storage unit 22 stores information such as the access destination URL of the service provision apparatus 3 shown in FIG.
  • the certificate storage unit 23 stores the certificate and the token in association with each other.
  • An example of information stored in the certificate storage unit 23 is shown in FIG.
  • a certificate is stored using a token as a key.
  • FIG. 7 is a block diagram showing a configuration example of the service proxy access device 2.
  • the service proxy access device 2 includes a user authentication certificate request unit 31, a user proxy access unit 32, a token request unit 33, a user authentication certificate verification unit 34, and a user authentication certificate management.
  • the user authentication certificate request unit 31 requests the authentication device 1 for a user authentication certificate and acquires the user authentication certificate.
  • the user proxy access unit 32 confirms the access authority stored in the proxy access information storage unit 42. If the proxy access is possible, the user proxy access unit 32 uses the token regarding the access authority acquired from the authentication device 1 as a proxy for the user. Access other devices.
  • the token request unit 33 requests the authentication apparatus 1 to issue an authority transfer certificate using the user authentication certificate, and obtains a token.
  • the user authentication certificate verification unit 34 verifies whether the user authentication certificate acquired from the authentication device 1 is correct. Verifying whether the user authentication certificate is correct means confirming whether the certificate has a violation by confirming the validity period of the certificate, the format of the certificate, the issuer of the certificate, and the like.
  • the user authentication certificate management unit 35 registers the user authentication certificate in the user authentication certificate storage unit 41 and acquires the authentication certificate of the accessing user.
  • the token management unit 36 stores the token acquired from the authentication device 1 in the token storage unit 43.
  • the user authentication certificate storage unit 41 stores a user authentication certificate.
  • the proxy access information storage unit 42 stores access authority information indicating whether or not the device can access another device on behalf of the user.
  • FIG. 8 is a block diagram illustrating a configuration example of the service providing apparatus 3.
  • the service providing apparatus 3 includes a service access receiving unit 50, a service information management unit 51, a token receiving unit 52, a user authentication certificate requesting unit 53, a certificate verification unit 54, a service An information storage unit 60, an access authority condition storage unit 61, and a certificate information storage unit 62 are included.
  • the service access accepting unit 50 acquires a service request from another device, and when the service request satisfies the access conditions stored in the access authority condition storage unit 61, sends information related to the service.
  • the service information management unit 51 acquires information about the service from the service information storage unit 60.
  • the token reception unit 52 acquires a service request by proxy access
  • the token reception unit 52 acquires a token from the service request message.
  • the user authentication certificate request unit 53 sends the token acquired from the token reception unit 52 to the authentication device 1 and acquires a user authentication certificate.
  • the certificate verification unit 54 analyzes the token acquired by the user authentication certificate request unit 53 and confirms that the certificate is correct.
  • the service information storage unit 60 and information related to services provided by the service providing apparatus 3 to other apparatuses are stored.
  • An access authority condition storage unit 61 and conditions for providing services are stored.
  • the certificate information storage unit 62 stores an authentication certificate related to the user.
  • the authority setting user terminal apparatus 5 accesses the authentication apparatus 1 and sets conditions for authority delegation (step I1). At this time, if the authority delegation condition is already set in the authentication device 1, the process of step I1 can be omitted. Details of the processing in step I1 will be described later with reference to FIG.
  • the service access user terminal device 4 accesses the service proxy access device 2. Then, the service proxy access device 2 acquires a user authentication certificate from the authentication device 1 (step I2). Details of the processing in step I2 will be described later with reference to FIG. Thereafter, the service proxy access apparatus 2 performs proxy access to the service providing apparatus 3 using the user authority (step I3). Details of the processing in step I3 will be described later with reference to FIG.
  • FIG. 10 is a flowchart showing processing related to the authentication device 1 when a certain user sets authority delegation to another user.
  • User A accesses the authority delegation setting information receiving unit 13 of the authentication apparatus 1 via the authority setting user terminal device 5 (step A1).
  • the user A who delegates authority inputs a condition for delegating the access authority of the user himself / herself managed in the user information storage unit 20 to another user (step A2).
  • the input authority is registered in the authority transfer condition storage unit 21 (step A3).
  • a condition for realizing authority delegation is set.
  • the user A notifies the user B of information related to the authority transfer set by the user A.
  • the notification may be performed via a network or may be performed offline.
  • FIG. 11 is a flowchart showing processing related to the service proxy access device 2 when requesting and obtaining a user authentication certificate.
  • the user B whose authority has been delegated accesses the user authentication certificate request unit 31 of the service proxy access device 2 via the service access user terminal device 4 (step B1).
  • the user authentication certificate request unit 31 generates a request message for requesting a user authentication certificate and sends it to the authentication device 1 (step B2).
  • the authentication device 1 issues a user authentication certificate and sends it to the service proxy access device 2 (step B3). Details of the processing in step B3 will be described later with reference to FIG.
  • the user authentication certificate verification unit 34 verifies whether or not the user authentication certificate has been issued correctly (step B4). If it is determined as a result of the verification process in step B4 that the certificate is not correct, the process ends. If it is determined in step B4 that the certificate is correct, the user authentication certificate management unit 35 registers the certificate in the user authentication certificate storage unit 41 and ends the process (step B5). ).
  • FIG. 12 is a flowchart showing processing related to the authentication device when generating a user authentication certificate.
  • the authentication device 1 receives a certificate request from another device via the user authentication certificate request acceptance unit 10 (step C1).
  • the user information management unit 11 acquires the user information described in the certificate from the user information storage unit 20 (step C2).
  • the user authentication certificate generation unit 12 issues a user authentication certificate based on the certificate request from another device and the user information acquired from the user information storage unit 20 (step C3).
  • the user authentication certificate request accepting unit 10 sends the user authentication certificate to the device that has requested the user authentication certificate (step C4).
  • FIG. 13 is a flowchart showing processing related to the service proxy access apparatus 2 when proxy access is made to another service.
  • the user B accesses the user proxy access unit 32 of the service proxy access device 2 and requests proxy access from the service proxy access device 2 (step D1).
  • the user proxy access unit 32 confirms the access authority stored in the proxy access information storage unit 42, and whether or not the user B can execute the proxy access (whether or not the user B can use the service proxy access device 2). ) Is determined (step D2). If it cannot be executed, the process is terminated (step D9). If the proxy access is possible as a result of the determination in step D2, the token request unit 33 generates a message requesting a token for proxy access, and is stored in the generated message and the user authentication certificate storage unit 41. The user authentication certificate (of user B) is sent to the authentication device 1 (step D3).
  • the authentication device 1 generates an authority delegation certificate and a token, and sends the token to the service proxy access device 2 (step D4). Details of the process of step D4 will be described later with reference to FIG. Thereafter, after the token is registered in the token storage unit 43 via the token management unit 36, the user proxy access unit 32 creates an access request message for the service providing device 3 (step D5). Further, the user proxy access unit 32 sends the access request message and the token generated by the authentication device 1 to the service providing unit 3 (step D6).
  • the service providing device 3 sends service information to the service proxy access device 2 based on the access request message (step D7). Details of the processing in step D7 will be described later with reference to FIG. Finally, the user proxy access unit 32 acquires information about the service, and sends the proxy access processing result to the user B (step D8).
  • FIG. 14 is a flowchart showing processing related to the authentication device when issuing a certificate for delegating authority and issuing a token related to the certificate.
  • the authority delegation certificate request reception unit 17 of the authentication device 1 acquires an issue request message for requesting issuance of an authority delegation certificate and a user authentication certificate (user B) (step E1).
  • the authority user conversion unit 15 stores the information described in the issue request message and the information described in the user authentication certificate (of user B) in the authority transfer condition storage unit 21. It is determined whether or not an authority delegation certificate (for user A) can be issued in comparison with (condition) (step E2). If the information described in the issue request message or the user authentication certificate does not satisfy the condition, the process ends (step E8).
  • the delegated user A is based on the information described in the issuance request message and the information managed in the authority delegation condition storage unit 21. Is acquired from the user information storage unit 20 (step E3).
  • the authority delegation certificate / token generation unit 14 issues the authority delegation certificate using the information of the user A acquired from the user information storage unit 20 (step E4). Further, the authority delegation certificate / token generation unit 14 issues a token corresponding to the authority delegation certificate (step E5). Thereafter, the authority transfer certificate / token management unit 16 registers the token and the authority transfer certificate in the certificate storage unit 23 (step E6). Then, the authority delegation certificate request reception unit 17 sends the generated token to the apparatus that has requested the authority delegation certificate (step E7). As described above, the authority delegation certificate / token generation unit 14 generates authority delegation information (specifically, authority delegation certificate) and a token corresponding to the authority delegation information based on the condition for delegating authority. And issued to other devices via the authority delegation certificate request accepting unit 17.
  • authority delegation certificate / token generation unit 14 generates authority delegation information (specifically, authority delegation certificate) and a token corresponding to the authority delegation information based on the condition for delegating authority. And issued to other devices via the authority delegation certificate request accepting unit 17.
  • FIG. 15 is a flowchart showing processing related to the service providing apparatus 3 that accepts proxy access.
  • the service access receiving unit 50 of the service providing apparatus 3 receives a message requesting access to a service, and the token receiving unit 52 receives a token (step F1).
  • the user authentication certificate request unit 53 creates a message requesting the user authentication certificate using the received token and sends it to the authentication device 1 (step F2).
  • the authentication device 1 sends the authority transfer certificate as the user authentication certificate of the user A to the service providing device 3 (step F3). Details of the processing in step F3 will be described later with reference to FIG.
  • the certificate verification unit 54 verifies the user authentication certificate sent from the authentication device 1 (step F4). The contents to be verified include confirmation of the validity period of the certificate, confirmation of the format of the certificate, confirmation of the issuer of the certificate, and the like. If it is determined that the user authentication certificate of user A is not correct, the process ends (step F8). If it is determined in step F4 that the certificate is correct, the user authentication certificate of user A is registered in the certificate information storage unit 62 (step F5).
  • the service access receiving unit 50 collates the contents described in the acquired user authentication certificate of the user A with the conditions managed by the access authority condition storage unit 61, so that the user A It is determined whether or not the providing device 3 can be accessed (step F6). If it is determined that access is not possible, the process is terminated (step F8). If it is determined that access is permitted as a result of the process of step F6, the service access receiving unit 50 acquires information about the service from the service information storage unit 60 via the service information management unit 51, and the acquired information is It is sent to the access source (step F7).
  • the certificate request reception unit 18 of the authentication device 1 receives a message requesting a user authentication certificate and a token instead of the authority transfer certificate (step G1).
  • the certificate request accepting unit 18 uses the received token to obtain a certificate corresponding to the token from the certificate storage unit 23 via the authority transfer certificate / token management unit 16 (step G2). Then, the certificate request receiving unit 18 sends the certificate to the access source (step G3).
  • the access authority management system accesses the authentication device 1 that issues authority delegation and a user certificate, and other providers with the authority of the user.
  • the service proxy access device 2 and the service providing device 3 that accepts access from other services, confirms user information and provides the service, and a user to whom authority has been delegated by another user are used to access the service.
  • a service access user terminal device 4 and an authority setting user terminal device 5 used by a user who registers settings for delegating authority to other users are connected to each other via a network 6.
  • the authentication device 1 uses the user information management unit to convert the information stored in the user information storage unit 20 based on the certificate request received by the user authentication certificate request reception unit 10. 11, a user authentication certificate generation unit 12 that generates a user authentication certificate, and authority delegation setting information reception that accepts authority delegation setting information from the user terminal device and registers in the authority delegation condition storage unit 21 Based on the authority delegation setting information using the information acquired from the authority user conversion unit 15 and the service providing unit information storage unit 22 based on the certificate request received by the unit 13 and the authority delegation certificate request receiving unit 17.
  • An authority delegation certificate A certificate storage unit 23 that registers the token generated by the token generation unit 14 in association with a certificate via the authority delegation certificate / token management unit 16 and a certificate storage unit 23 that stores the received token.
  • the service proxy access device 2 verifies the user authentication certificate by the user authentication certificate verification unit 34.
  • a user authentication certificate management unit 35 that stores the user authentication certificate in the user authentication certificate storage unit 41, certificate information stored in the user authentication certificate storage unit 41, and proxy access information storage unit 42 The stored conditions for proxy access are compared to determine whether or not they match, and if they match, a token related to access authority is requested via the token request unit 33, and the acquired token is A user who uses the token acquired by the token management unit 36 registered in the storage unit 43 and the token request unit 33 to proxy access to another provider with the authority of the user. And it includes a proxy access unit 32.
  • the service providing apparatus 3 uses the information stored in the service information storage unit 60 under the situation that matches the conditions stored in the access authority condition storage unit 61.
  • a certificate is acquired based on the token acquired by the service access receiving unit 50 acquired via the service information management unit 51 and returned to the access source and the token received by the token receiving unit 52, and the certificate is verified using the certificate verification unit 54
  • a user authentication certificate request unit 53 that stores the certificate information storage unit 62 in the certificate information storage unit 62.
  • the certificate acquired by the user authentication certificate request unit 53 is what was called an authority transfer certificate in the authentication apparatus 1. Since the authentication device 1 has authority delegation setting information, it can be determined as a certificate for authority delegation (authority delegation certificate). However, the service providing apparatus 3 is a certificate in which user information is described, and there is no information regarding authority delegation. Since the service providing apparatus 3 cannot determine that it is an authority delegation certificate, a user authentication certificate is used. They both refer to the same thing, but they have different names because they have different information.
  • Adopting such a configuration a user who delegates authority to another user sets authority conditions in the authentication device 1 via the authority setting user terminal device 6, and then the user who has been delegated authority is a service access user terminal
  • the service proxy access device 2 is accessed via the device 5, the service proxy access device 2 requests the authentication device 1 to issue an authority transfer certificate and a token, and further accesses the service providing device 3 to send the token.
  • the service providing apparatus 3 obtains the certificate of the user who delegated authority from the authentication apparatus 1 using the token, and controls the access using the delegated user certificate, thereby achieving the object of the present invention. Can do.
  • the authentication device 1 is configured to selectively send an appropriate user authentication certificate in accordance with the device accessed by the authentication device 1, so there is no need to send unnecessary user information and information leaks. Can reduce the possibility of
  • the user (user A) who delegates authority sets the authority delegation condition only in the authentication apparatus 1, and the service providing apparatus 3 delegates authority instead of the delegated user (user B).
  • the user (user A) is configured to determine whether or not access is possible. Therefore, the user A who delegates authority only needs to set the authority delegation condition in one place. As a result, the trouble of authority setting can be saved.
  • FIG. 17 is a block diagram showing a configuration of a service providing apparatus 7 which is a service providing apparatus according to the second aspect of the present invention.
  • the service providing apparatus 7 includes a proxy access unit 71 in addition to the configuration of the service providing apparatus 3 in the first embodiment shown in FIG. Is different.
  • the overall configuration is the same as the configuration shown in FIG. 1 although the service providing device 7 exists instead of the service providing device 3 or in addition to the service providing device 3.
  • the proxy access unit 71 includes a user proxy access unit 32, a token request unit 33, a proxy access information storage unit 42, and a token storage unit 43.
  • Each unit included in the proxy access unit 71 includes a user proxy access unit 32, a token request unit 33, and a proxy access information storage unit included in the service proxy access device 2 according to the first embodiment illustrated in FIG. 42 and the token storage unit 43 perform the same operation.
  • the process of setting authority delegation to the authentication apparatus 1 by the authority setting user terminal apparatus 5 and the process of acquiring the user authentication certificate from the authentication apparatus 1 by the service proxy access apparatus 2 are shown in FIG. 10, FIG. 11, and FIG.
  • the operation is the same as that in the first embodiment.
  • the service proxy access device 2 requests the authentication device 1 to issue a certificate regarding authority for proxy access, acquires a token as a result, and sends an access request message to the service providing device 7 in the first operation. This is the same as the operation in the embodiment (processing from steps D1 to D6 in FIG. 13). However, unlike the operation in the first embodiment, the operation when the service providing apparatus 7 receives a proxy access request is as shown in the flowchart of FIG.
  • the service providing device 7 obtains the access request, it obtains a user authentication certificate from the authentication device 1 and determines whether or not the service can be provided (steps F1 to F7).
  • the processing in steps F1 to F7 is the same as the operation of the service providing apparatus 3 in the first embodiment shown in FIG.
  • the service apparatus 7 when the service providing apparatus 7 sends service information, the service apparatus 7 performs proxy access to other service apparatuses.
  • the token request unit 33 in the service providing device 7 sends the user authentication certificate acquired in the process of step F3 to the authentication device 1 and also transmits a token for realizing proxy access.
  • An issue request message is sent (step H10).
  • the authentication apparatus 1 receives the token issuance request, it issues a certificate and a token corresponding to the certificate, and sends the certificate to the service providing apparatus 7 (step H11).
  • the process of step H11 is the same as the process of the authentication device 1 in the first embodiment shown in FIG.
  • the token management unit 36 registers the token in the token storage unit 43. Further, the user proxy access unit 32 uses the information in the proxy access information storage unit 42 to create an access request message for proxy access to another service providing device (step H12). Then, the user proxy access unit 32 sends an access request message to another service providing apparatus (step H13).
  • the service providing apparatus that has received the access request message performs the same process as the process of the service providing apparatus 3 shown in FIG. 15 or the same process as the process of the service providing apparatus 7 shown in FIG. (Step H14). Thereafter, the user proxy access unit 32 sends the result of proxy access to the device accessing the service providing device 7 (step H15).
  • the service access user terminal device 4 reuses the information on the authority delegation condition stored in the authentication device 1, and the authority-delegated service utilization device 7 becomes a further service utilization device. It is configured to re-delegate authority. Therefore, the service proxy access apparatus 2 can set authority delegation without considering re-entrustment of authority to another service using apparatus, and the authority delegation process of the service proxy access apparatus 2 can be simplified.
  • FIG. 19 is a block diagram showing an overall configuration of the third embodiment.
  • the third embodiment includes an authentication device A, a service proxy access device B, and a service providing device C that can communicate via the network G, as in the first and second embodiments. I have.
  • the authentication device A corresponds to the authentication device 1 in the first and second embodiments.
  • the service proxy access device B corresponds to the service proxy access device 2.
  • the service providing device C corresponds to the service providing device 3 or the service providing device 7 in the first and second embodiments.
  • the authentication device A, service proxy access device B, and service providing device C are each equipped with a CPU.
  • the authentication program D is a program for controlling the operation of the authentication device A and issuing a certificate or issuing a token according to a request from the service proxy access device B or the service providing device C.
  • the authentication device A executes the same processing as the processing of the authentication device 1 in the first and second embodiments by executing control according to the authentication program D.
  • the service proxy access program E is a program for controlling the operation of the service proxy access device B, obtaining a certificate or token from the authentication device A, and accessing the service providing device C.
  • the service proxy access apparatus B executes the same processing as that of the service proxy access apparatus 2 in the first and second embodiments by executing control according to the service proxy access program E.
  • the service providing program F is a program for controlling the operation of the service providing apparatus C, obtaining a certificate from the authentication apparatus A, and providing a service to the service proxy access apparatus B.
  • the service providing device C executes the same processing as the processing of the service providing devices 3 and 7 in the first and second embodiments by executing control according to the service providing program F.
  • Example 1 Next, a first embodiment of the present invention will be described with reference to the drawings.
  • the first example corresponds to the first embodiment of the present invention.
  • FIG. 20 is a block diagram showing the configuration of the first embodiment of the access management system.
  • the access authority management system includes an authentication device 200, a shopping site 201, and a carrier 202 (specifically, a server device in the carrier).
  • FIG. 20 shows a product purchaser 203 and a product delivery destination user 204.
  • the authentication device 200 is a device that manages user information and distributes certificates on the Internet.
  • the shopping site 201 is a device that behaves as a service proxy access device.
  • the carrier 202 (specifically, a server device or the like in the carrier) is a device that behaves as a service providing device.
  • the product purchaser 203 accesses the network through the service access user terminal device.
  • the merchandise delivery destination user 204 accesses the network via the authority setting user terminal device.
  • the product purchaser 203 purchases a product at the shopping site 202 and requests delivery of the product to the carrier 202 with the authority of the product delivery destination 204 in order to give the delivery destination user 204 a gift. to deliver.
  • an authentication apparatus in the present embodiment an organization that manages user information such as an ISP (Internet Service Provider) and a carrier is assumed.
  • the carrier 202 in this embodiment already manages the contact address of the product delivery address. Assume that the user of the merchandise delivery destination 204 has the authority to access the contact information. In this embodiment, the authority to access the contact information of the merchandise delivery address is transferred between the user and the device.
  • the user of the merchandise delivery destination 204 notifies the authentication apparatus 200 that the merchandise purchaser 203 allows the authority to access the contact information managed in the carrier 202 to be transferred (step S100 in FIG. 20). ). Based on the notification, the product purchased by the product purchaser as a present can be sent to the product delivery destination.
  • the product purchaser 203 accesses the shopping site 201 (step S101 in FIG. 20).
  • the shopping site 201 sends a user authentication certificate request to the authentication apparatus 200 in order to acquire the accessed user information (step S102 in FIG. 20).
  • the authentication device 200 that has received the request issues a user authentication certificate (step S103 in FIG. 20) and sends it to the shopping site 201 (step S104 in FIG. 20). Since the user can be identified by looking at the user authentication certificate, the shopping site 201 performs a product purchase procedure and a product delivery procedure according to the access of the product purchaser 203 (step S105 in FIG. 20).
  • the shopping site 201 requests the authentication device 200 for authority to request the shipping agent 202 to ship the product (step S106 in FIG. 20).
  • the authentication device 200 determines whether the product purchaser 203 can access the contact information of the product delivery destination 204 managed in the carrier 202. If access is permitted, a user authentication certificate relating to the user of the merchandise delivery destination 204 is issued to the carrier 202, and a token is issued (step S107 in FIG. 20).
  • the authentication device 200 sends the issued token to the shopping site 201 (step S108 in FIG. 20).
  • the shopping site receives the token, it sends a product shipping request together with the token (step S110 in FIG. 20).
  • the carrier 202 receives the merchandise shipping request, it confirms with which authority the request is accessing (step S111 in FIG. 20).
  • the carrier 202 sends the token to the authentication device 200 and requests the certificate (step S112 in FIG. 20).
  • the authentication device 200 searches for and acquires a certificate from the received token (step S113 in FIG. 20). Then, the certificate is sent to the carrier 202 requesting the certificate (step S114 in FIG. 20).
  • the authority is confirmed and it is determined whether or not the contact address of the merchandise delivery destination 204 can be accessed (step S115 in FIG. 20). If access is possible, the product delivery address is known, and the product is sent to the product delivery destination 204 in accordance with a request from the shopping site 201.
  • the shopping site and the carrier only exchange tokens relating to user authority, and do not exchange documents in which user information such as user IDs are described. Further, the user of the merchandise delivery destination 204 need only set authority delegation only to the authentication apparatus 200, and does not need to distribute delegation conditions to a plurality of apparatuses.
  • FIG. 21 is a block diagram showing the configuration of the second embodiment of the access management system.
  • the access authority management system includes an authentication device 205, a service provider 207, a billing agency service 208 (specifically, a server device or the like in a billing agency service provider), and a cost burden department 209 ( Specifically, it includes a server device in the expense-bearing department.
  • the authentication device 205 is a device that manages user information and distributes certificates on the Internet.
  • the service provider 207 is a device that behaves as a service proxy access device.
  • the billing proxy service 208 (specifically, a server device or the like in the billing proxy service provider) behaves as a service providing device that performs service provision and proxy access.
  • the user terminal device 206 is a device used by employees who access the network via the service access user terminal device.
  • the expense sharing department 209 is a department of a company that performs payment processing in accordance with a request for a billing agency service. In addition, the communication processing with others in the expense burden department 209 is specifically realized by a server device or the like in the expense burden department 209.
  • the administrator of the company in charge of cost 209 has set up the authority to access the charging agent service to the employee via the authority setting user terminal device.
  • the service provider 207 uses the service provider 207.
  • the service usage fee is assumed to be paid by the company's expense department 209.
  • the billing service 208 performs billing processing for billing the service usage fee.
  • the service provider 207 requests the charging agent service for charging under the authority of the company's expense department 209. Further, the billing agency service 208 makes a payment request to the company's expense department 209 with the authority of the service provider 207.
  • a user who has the authority as an employee accesses the service provider 207 via the user terminal device 206 (step S201 in FIG. 21).
  • the service provider 207 sends a user authentication certificate request to the authentication device 205 in order to acquire user information that has been accessed (step S202 in FIG. 21).
  • the authentication device 205 issues a user authentication certificate (step S203 in FIG. 21) and sends it to the service provider 207 (step S204 in FIG. 21). Since the user can be identified by looking at the user authentication certificate, the service provider 207 provides a service to the user (step S205 in FIG. 21).
  • the service provider 207 requests authority for requesting the charging processing to the charging agent service 208 from the authentication device 205 (step S206 in FIG. 21).
  • the authentication device 205 Upon receiving the authority certificate issuance request, the authentication device 205 issues a user authentication certificate in which the information of the cost burden department 209 of the company where the user works is described, and further issues a token (in FIG. 21).
  • the token issued by the authentication device 205 is sent to the service provider 207 (step S208 in FIG. 21).
  • the service provider 207 receives the token, it sends a billing proxy request together with the token (step S210 in FIG. 21).
  • the billing proxy service 208 receives the billing proxy request, it confirms who to charge (step S211 in FIG. 21).
  • a token is sent to the authentication device 205 and a certificate is requested (step S212 in FIG. 21).
  • the authentication device 205 searches for and acquires a certificate from the received token (step S213 in FIG. 21).
  • the certificate is sent to the billing agency service 208 requesting the certificate (step S214 in FIG. 21).
  • billing agency service 208 receives the certificate, it confirms the authority and performs billing processing (step S215 in FIG. 21).
  • the billing agency service 208 when the billing agency service 208 sends a bill to the company's expense bearing department 209, the billing agency service 208 accesses the expense burden department 209 instead of the service provider 207. Therefore, the billing agency service 208 sends a certificate issuance request regarding the authority to access the expense burden department 209 to the authentication device 205 (step S216 in FIG. 21).
  • the authentication device 205 Upon receiving the certificate issuance request, the authentication device 205 issues a certificate for the service provider 207 to access the expense burden department 209, and further issues a token (step S217 in FIG. 21). Then, the authentication device 205 sends a token to the charging agent service 208 (step S218 in FIG. 21).
  • the charging agent service 208 When the charging agent service 208 receives the token, it sends the received token and the payment invoice to the company's expense department 209 (step S219 in FIG. 21).
  • the expense sharing department 209 accepts the payment request, the certificate request message and the received token are sent to the authentication device 205 in order to confirm from which service the request is received (step S220 in FIG. 21). .
  • the authentication device 205 acquires a certificate associated with the received token (step S221 in FIG. 21). After that, the authentication device 205 sends the certificate to the expense sharing department 209 that has requested the certificate (step S222 in FIG. 21). Receiving the certificate, the expense sharing department 209 confirms the certificate and the payment request, and completes the payment process (step S223 in FIG. 21).
  • the present invention permits a service provider to perform proxy access using a right delegated by another user in a situation where a plurality of service providers cooperate to provide a service to the user. Applicable for use. Also, for applications such as certificate management and authority delegation management system in distributed systems built on networks such as Internet services, intra-company systems, inter-company systems, and carrier systems, and programs for implementing authority management systems on computers Applicable.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

或る装置がユーザから委譲された権限で他の装置を代理アクセスする場合に装置間で交換される情報を減らすことができるようにする。 　認証装置１は、他の装置に対してユーザに関する情報が記載されたユーザ認証情報を発行するユーザ認証証明書生成手段１２と、権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成手段１４とを含み、サービス代理アクセス装置２は、他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段３３と、トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段３２とを含み、サービス提供装置３は、トークンを利用して認証装置からユーザ認証情報を取得するユーザ認証証明書要求手段５３を含む。

Description

アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム
　本発明は、ユーザ間での権限委譲を集中的に管理できるアクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラムに関する。
　ネットワーク上の各事業者間でユーザに関する情報を連携するための技術として、標準化団体ＯＡＳＩＳで策定された標準技術仕様ＳＡＭＬ（Security Assertion Markup Language）がある。図２２は、非特許文献１に記載されているＳＡＭＬを利用した証明書生成配布システムの一例を示す構成図である。
　図２２に示す証明書作成配布システムでは、アイデンティティプロバイダ（以下、ＩｄＰと表記する。）１００とサービスプロバイダ（以下、ＳＰと表記する。）１０１とユーザエージェント（利用者端末装置のソフトウエア）１０２とがネットワークを経由して相互に接続されている。このような構成を有する証明書生成配布システムの典型的な動作として、ＳＡＭＬアーティファクトプロファイルを用いて証明書の作成と配布とを行う手順を説明する。図２２に示す例において、ＩｄＰ１００とＳＰ１０１とは、それぞれユーザエージェント１０２を利用しているユーザに関する情報を、利用者情報１０３及び利用者情報１０４として記憶装置に保有していることを前提にする。
　図２２に示す証明書生成配布システムにおいて、ユーザは、ユーザエージェント１０２を通じて、ＳＰ１０１の利用制限があるサービスを利用するために、ＳＰ１０１にアクセスする（図２２におけるステップ（１））。ＳＰ１０１は、利用者の証明書を取得するために、ＩｄＰ１００に対して証明書要求メッセージを送付し（図２２におけるステップ（２－ａ））、ユーザエージェント１０２はＳＰ１０１からの証明書要求メッセージをＩｄＰ１００にリダイレクトする（図２２におけるステップ（２－ｂ））。ＩｄＰ１００は、利用者情報１０３を利用してＸＭＬ（Extensible Markup Language）に準拠して記述された証明書（アサーション）を作成する（図２２におけるステップ（３））。更に、ＩｄＰ１００は、アサーションに対応するチケットの役割を担うアーティファクトを作成し、ユーザエージェント１０２に返信する（図２２におけるステップ（４－ａ））。ユーザエージェント１０２は、アーティファクトをＳＰ１０１に対してリダイレクトする（図２２におけるステップ（４－ｂ））。
　ＳＰ１０１は、受信したアーティファクトをＩｄＰ１００に送付し、対応するアサーションを要求する（図２２におけるステップ（５））。ＩｄＰ１００は、ＳＰ１０１から受け取ったアーティファクトを確認し、対応するアサーションをＳＰ１０１に対して返信する（図２２におけるステップ（６））。ＳＰ１０１は、ＩｄＰ１００から受信したアサーションの正当性を確認し、ＳＰ１０１のセキュリティポリシを検証して利用者のサービスへのアクセス要求に対して許可を与えるか否かを判断する。そして、許可を与えると判断した場合にはユーザエージェント１０２に対するサービスの提供を開始する（図２２におけるステップ（７））。
　以上のように、ＩｄＰ１００は、ユーザに関する証明書を作成し、それをＳＰ１０１に対して配布する。ここで、ＩｄＰ１００が配布する証明書には、ＳＰ１０１にアクセスしたユーザに関する情報を記載することが可能になっている。ここで、このユーザに関する情報としては例えば、ユーザ識別子情報や、証明書の有効範囲（配布されて有効となる対象の事業者）情報や、その他利用者に関する機密情報等が挙げられる。
　また、アクセス権限の委譲を管理するシステムの一例が、特許文献１に記載されている。図２３は、特許文献１に記載された権限の委譲を実現するアクセス管理システムを説明するための説明図である。図２３に示す例では、組織Ａ（１１０）の構成員と組織Ｂ（１１１）の構成員との間での権限委譲を管理するシステムについて示している。或る組織Ａでは、リソース１１３が管理されている。別の組織Ｂでは、リソース１１３が管理されている。また、組織Ｂには、リソース１１３にアクセスするリソースアクセス者１１５が存在する。
　図２３に示されたアクセス管理システムはつぎのように動作する。すなわち、最初に、組織Ａの管理者１１２が、組織Ｂの管理者１１４に信用情報を送付する（図２３のステップ（１））。信用情報には、組織Ａの管理者の代わりに組織Ｂのリソースアクセス者１１５がリソースにアクセスするための条件（権限を委譲するための条件）が記載されている。ここでは、リソースアクセス者１１５がリソースにアクセスするための条件を満たしているものとして説明を続ける。次に、組織Ｂの管理者１１４が、組織Ｂのリソースアクセス１１５に対して、組織Ａの管理者１１２の代わりに信用情報を発行する（図２３のステップ（２））。組織Ｂの管理者１１４が発行する信用情報には、組織Ａの管理者１１２が発行した信用情報が含まれる。その後、組織Ｂのリソースアクセス者１１５が、組織Ｂの管理者１１４が発行する信用情報とともに、組織Ａのリソース１１３に対してアクセス要求メッセージを送付する（図２３のステップ（３））。組織Ａのリソース１１３は、組織Ｂのリソースアクセス者１１５から送付された信用情報を元にアクセスの可否を判断し、何らかの情報を組織Ｂのリソースアクセス者１１５に送付する。
　以上のように、組織Ａの管理者１１２は、アクセス権限を委譲する相手である組織Ｂに対して、代理アクセスをするための情報を送付することによって、アクセス権限の委譲を実現している。
特開２００６－２５４４６４号公報 オアシス（ＯＡＳＩＳ）、"アサーションズ　アンド　プロトコル　フォー　ディ　オアシス　セキュリティ　アサーション　マークアップ　ラングエッジ（Assertions and Protocol for the OASIS Security Assertion Markup Language）　（ＳＡＭＬ）Ｖ２．０"［online］、２００５年３月１５日、［平成１９年１１月２６日検索］、インターネット、＜ＵＲＬ：http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf＞
　もっとも、上述した特許文献１や非特許文献１に記載された技術には、以下のような解決すべき課題があった。
　第１の課題は、特許文献１や非特許文献１に記載された技術を利用して、あるユーザ（ユーザ１）が、別のユーザ（ユーザ２）から委譲されたアクセス権限を利用して、サービスプロバイダ（ＳＰ１）に他のサービスプロバイダ（ＳＰ２）への代理アクセスを実行させる場合に、情報が漏洩する可能性が高いことである。代理アクセスするプロバイダ（ＳＰ１）とアクセス先となるサービスプロバイダ（ＳＰ２）との間で、サービスプロバイダが保有する全てのユーザ情報やアクセス権限を交換しなければならないからである
　すなわち、特許文献１や非特許文献１に記載された技術では、ユーザ１とユーザ２の両者のアクセス権限情報を記載した証明書をＳＰ１とＳＰ２との間で交換するので、情報が漏えいする可能性が高い。特許文献１に記載された技術では、アクセス権限情報が全て記載された信用情報をサービスプロバイダ間で交換する。つまり、２つのサービスプロバイダは、アクセス権限や権限委譲の設定というユーザに関する全ての情報を交換する。また、非特許文献１に記載された技術でも、ユーザに関する情報が記載された証明書をプロバイダ間で交換する。その結果、ユーザに関する情報を全て他のプロバイダに開示している。
　あるユーザ（ユーザ１）が、別のユーザ（ユーザ２）から委譲されたアクセス権限を利用して、サービスプロバイダ（ＳＰ１）に他のサービスプロバイダ（ＳＰ２）への代理アクセスを実行させる場合に、ＳＰ１はユーザ１からアクセスを受け付けているので、ユーザ２の情報は不要である。また、ＳＰ２はユーザ２の権限で代理アクセスを受け入れているので、ユーザ２の権限情報のみが必要であり、ユーザ１の情報は不要になる。そのため、ＳＰ１とＳＰ２は、両方のユーザ情報を取得する必要がない。つまり、それぞれのサービスプロバイダにとって必要最低限のユーザ情報のみを利用できるようにすることが好ましい。
　第２の課題は、あるユーザ（ユーザ１）が、別のユーザ（ユーザ２）から委譲されたアクセス権限を利用して、サービスプロバイダ（ＳＰ１）に他のサービスプロバイダ（ＳＰ２）への代理アクセスを実行させる場合に、ユーザ２は全てのプロバイダにアクセス権限や権限委譲に関する設定をポリシとして規定する必要があり、非効率的になることである。
　その理由は、それぞれのプロバイダがアクセスの可否を判断するため情報を独立して管理しているためである。サービスプロバイダは、それぞれがユーザのアクセス可否情報を管理しているので、あるユーザが別のユーザに権限を委譲する場合には、関連する全てのプロバイダに委譲条件を設定する必要がある。非特許文献１に記載された技術では、サービスプロバイダが証明書を受け取ってから証明書を検証してアクセス制御している。よって、ユーザが権限委譲を設定する場合に、ユーザは全てのＳＰに対して権限委譲の設定する必要がある。また、特許文献１に記載された技術でも、アクセス制御する組織Ａの管理者がアクセス制御情報として信用情報を発行している。つまり、アクセスの対象となるリソースやサービスプロバイダ毎に、ユーザの権限委譲に関する設定を保管する必要がある。これらの方式では、リソースの数や連携しているサービスプロバイダの数が増えれば増えるほど、アクセス権限や権限委譲を設定する数が増えるため非効率的である。
　そこで、本発明は、ある装置がユーザから委譲された権限で他の装置に代理アクセスする場合に、装置間で交換される情報を減らすことができるアクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラムを提供することを目的とする。
　また、本発明の他の目的は、アクセス制御や権限委譲に関する設定を一箇所で集中管理できるアクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラムを提供することである。
　本発明によるアクセス権限管理システムは、権限を委譲する条件を管理する認証装置と、サービス要求に応じてサービスを提供するサービス提供装置と、サービス提供装置へのアクセスを代行するサービス代理アクセス装置とを備え、認証装置が、他の装置に対してユーザに関する情報が記載されたユーザ認証情報を発行するユーザ認証証明書生成部と、権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成部とを含み、サービス代理アクセス装置が、他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求部と、トークンを利用して他のサービスにアクセスするユーザ代理アクセス部とを含み、サービス提供装置が、トークンを利用して認証装置からユーザ認証情報を取得するユーザ認証証明書要求部を含むことを特徴とする。
　本発明による認証装置は、権限委譲を管理するアクセス権限管理システムにおける、ユーザ認証情報を発行する認証装置であって、他の装置に対してユーザに関する情報が記載されたユーザ認証情報を生成するユーザ認証証明書生成部と、別のユーザにアクセス権限を委譲する条件を設定する権限委譲設定情報受付部と、ユーザが設定したアクセス権限を委譲する条件を格納する権限委譲条件格納部と、権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成部と、権限委譲証明書・トークン生成部が発行した権限委譲情報とトークンとを保管する証明書格納部と、トークンを受信すると、受信したトークンに対応する権限委譲情報を証明書格納部から取得する証明書要求受付部とを備えたことを特徴とする。
　本発明によるサービス代理アクセス装置は、権限委譲を管理するアクセス権限管理システムにおける、サービス提供装置へのアクセス代行をするサービス代理アクセス装置であって、アクセスしているユーザのユーザ認証情報を取得するユーザ認証証明書管理部と、取得したユーザ認証情報を保管するユーザ認証証明書格納部と、他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求部と、トークンを利用して他のサービスにアクセスするユーザ代理アクセス部とを備えたことを特徴とする。
　本発明によるサービス提供装置は、権限委譲を管理するアクセス権限管理システムにおける、サービス要求に応じてサービスを提供するサービス提供装置であって、他の装置からユーザに関する情報を取得するためのトークンを受信するトークン受付部と、受信したトークンから、ユーザ認証情報を取得するユーザ認証証明書要求部と、ユーザに関する情報を検証してサービス情報へのアクセスの可否を判定するサービスアクセス受付部と、他の装置に提供するサービスを保管するサービス情報格納部とを備えたことを特徴とする。
　本発明によるアクセス権限管理方法は、権限委譲条件を管理し、ユーザ認証情報を発行する認証装置が、サービス要求に応じてサービスを提供するサービス提供装置と、サービス提供装置へのアクセスを代行するサービス代理アクセス装置に権限委譲に関する情報やトークンを生成、配布するアクセス権限管理方法であって、認証装置が、他の装置に対してユーザに関する情報が記載されたユーザ認証情報を生成するユーザ認証証明書生成ステップと、権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成ステップとを実行し、サービス代理アクセス装置が、他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求ステップと、トークンを利用し他のサービスにアクセスするユーザ代理アクセスステップとを実行し、サービス提供装置が、トークンを利用して認証装置からユーザ認証情報を取得するユーザ認証証明書要求ステップを実行することを特徴とする。
　本発明による認証プログラムは、権限委譲を管理するアクセス権限管理システムにおける、ユーザ認証情報を発行する認証装置における認証プログラムであって、
　他の装置に対してユーザに関する情報が記載されたユーザ認証情報を生成するユーザ認証証明書生成手段と、別のユーザにアクセス権限を委譲する条件を設定する権限委譲設定情報受付手段と、ユーザが設定したアクセス権限を委譲する条件を格納する権限委譲条件格納手段と、権限移譲先のユーザの情報と前記権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成手段と、前記権限委譲証明書・トークン生成手段が発行した権限委譲情報とトークンとを保管する証明書格納手段と、トークンを受信すると、受信したトークンに対応する権限委譲情報を前記証明書格納手段から取得する証明書要求受付手段とを備えた認証装置としてコンピュータを機能させることを特徴とする。
　本発明によるサービス代理アクセスプログラムは、権限委譲を管理するアクセス権限管理システムにおける、サービス提供装置へのアクセス代行をするサービス代理アクセス装置におけるサービス代理アクセスプログラムであって、アクセスしているユーザのユーザ認証情報を取得するユーザ認証証明書管理手段と、取得したユーザ認証情報を保管するユーザ認証証明書格納手段と、他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、前記トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを備えたサービス代理アクセス装置としてコンピュータを機能させることを特徴とする。
　本発明によるサービス提供プログラムは、権限委譲を管理するアクセス権限管理システムにおける、サービス要求に応じてサービスを提供するサービス提供装置におけるサービス提供プログラムであって、他の装置からユーザに関する情報を取得するためのトークンを受信するトークン受付手段と、受信したトークンから、ユーザ認証情報を取得するユーザ認証証明書要求手段と、ユーザに関する情報を検証してサービス情報へのアクセスの可否を判定するサービスアクセス受付手段と、他の装置に提供するサービスを保管するサービス情報格納手段とを備えたサービス提供装置としてコンピュータを機能させることを特徴とする。
　本発明によれば、セキュリティとプライバシを保護しつつ、アクセス制御や権限委譲を実現できる。
本発明によるアクセス権限管理システム全体の基本的構成を示すブロック図である。 本発明によるアクセス権限管理システムの構成を示すブロック図である。 第１の発明形態における認証装置の構成例を示すブロック図である。 第１の発明形態における認証装置が発行するユーザ認証証明書の例である。 第１の発明形態における権限委譲の条件である権限委譲設定者と権限委譲先利用者とアクセス先サービスＩＤとの対応を示す説明図である。 第１の発明形態におけるトークンと証明書との対応を示す説明図である。 第１の発明形態におけるサービス代理アクセス装置の構成を示すブロック図である。 第１の発明形態におけるサービス提供装置の構成を示すブロック図である。 第１の発明形態における処理の概要を示す流れ図である。 第１の発明形態における、あるユーザが他のユーザに権限委譲を設定するときの認証装置に関する処理を示す流れ図である。 第１の発明形態における、ユーザ認証証明書を要求・取得するときのサービス代理アクセス装置に関する処理を示す流れ図である。 第１の発明形態における、ユーザ認証証明書を生成するときの認証装置に関する処理を示す流れ図である。 第１の発明形態における、他のサービスに代理アクセスするときのサービス代理アクセス装置に関する処理を示す流れ図である。 第１の発明形態における、権限委譲の証明書を発行し、証明書に関連するトークンを発行するときの認証装置に関する処理を示す流れ図である。 第１の発明形態における、代理アクセスを受け付けるサービス提供装置に関する処理を示す流れ図である。 第１の発明形態における、トークンから証明書を取得するときの認証装置に関する処理を示す流れ図である。 第２の発明形態におけるサービス提供装置の構成を示すブロック図である。 第２の発明形態における、代理アクセスを受け付けるサービス提供装置に関する処理を示す流れ図である。 本発明の第３の実施形態の概要を示すブロック図である。 本発明によるアクセス管理システムの第１の実施例の構成を示す構成図である。 本発明によるアクセス管理システムの第２の実施例の構成を示す構成図である。 非特許文献１に記載された証明書の配信を実現するためのシステムの構成を示す構成図である。 特許文献１に記載された権限の委譲を実現するアクセス管理システムを説明するための説明図である。
符号の説明
１　認証装置
２　サービス代行アクセス装置
３　サービス提供装置
４　サービスアクセスユーザ端末装置
５　権限設定ユーザ端末装置
６　ネットワーク
７　サービス提供装置
１０　ユーザ認証証明書要求受付部
１１　ユーザ情報管理部
１２　ユーザ認証証明書生成部
１３　権限委譲設定情報受付部
１４　権限委譲証明書・トークン生成部
１５　権限ユーザ変換部
１６　権限委譲証明書・トークン管理部
１７　権限委譲証明書要求受付部
１８　証明書要求受付部
２０　ユーザ情報格納部
２１　権限委譲条件格納部
２２　サービス提供装置情報格納部
２３　証明書格納部
３１　ユーザ認証証明書要求部
３２　ユーザ代理アクセス部
３３　アクセス権限トークン要求部
３４　ユーザ証明書管理部
３５　ユーザ証明書検証部
３６　アクセス権限トークン管理部
４１　ユーザ認証証明書格納部
４２　代理アクセス情報格納部
４３　アクセス権限トークン格納部
５０　サービスアクセス受付部
５１　サービス情報管理部
５２　アクセス権限トークン受付部
５３　ユーザ認証証明書要求部
５４　証明書検証部
６０　サービス情報格納部
６１　アクセス権限条件格納部
６２　証明書情報格納部
７１　サービス代理アクセス部
１００　アイデンティティプロバイダ（ＩｄＰ）
１０１　サービスプロバイダ（ＳＰ）
１０２　ユーザエージェント
１０３　利用者情報
１０４　利用者情報
１１０　組織Ａ
１１１　組織Ｂ
１１２　組織Ａの管理者
１１３　リソース
１１４　組織Ｂの管理者
１１５　組織Ｂのリソースアクセス者
２００　認証装置
２０１　ショッピングサイト
２０２　商品購入者
２０２　運送業者
２０４　届け先
２０５　認証装置
２０６　ユーザ端末装置
２０７　サービスプロバイダ
２０８　課金代行サービス
２０９　会社の費用負担部門
Ａ　認証装置
Ｂ　サービス代理アクセス装置
Ｃ　サービス提供装置
Ｄ　認証用プログラム
Ｅ　サービス代理アクセス用プログラム
Ｆ　サービス提供用プログラム
Ｇ　ネットワーク
　次に、本発明の実施形態について図面を参照して詳細に説明する。
　図１は、本発明の実施形態であるアクセス権限管理システムの全体的な構成を示すブロック図である。本発明の第１の実施形態は、認証装置１と、サービス代理アクセス装置２と、サービス提供装置３と、サービスアクセスユーザ端末装置４と、権限設定ユーザ端末装置５とを有している。そして、これらの装置はそれぞれネットワーク６に接続されている。図１には、認証装置１、サービス代理アクセス装置２、サービス提供装置３、サービスアクセスユーザ端末装置４及び権限設定ユーザ端末装置５をそれぞれ１つずつ図示している。もっとも、これはあくまで例示であり、これら装置は、それぞれ、１つ以上存在してもよい。
　他のユーザに権限を委譲するユーザは、権限設定ユーザ端末装置５を介して認証装置１にアクセスする。他のユーザから権限を委譲されたユーザは、サービスアクセスユーザ端末装置４を介してサービス代理アクセス装置２にアクセスする。なお、ユーザは、個人であっても、複数の個人で構成される組織であってもよい。
　図２は、本発明によるアクセス権限管理システムの主要構成を示すブロック図である。図２に示すように、アクセス権限管理システムは、権限を委譲する条件を管理する認証装置１と、サービス要求に応じてサービスを提供するサービス提供装置３と、サービス提供装置へのアクセスを代行するサービス代理アクセス装置２とを有している。認証装置１は、ユーザ認証証明書生成部１２と、権限委譲証明書・トークン生成部１４とを含む。ユーザ認証証明書生成部１２は、他の装置に対してユーザに関する情報が記載されたユーザ認証情報を発行する。また、権限委譲証明書・トークン生成部１４は、権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する。サービス代理アクセス装置２は、トークン要求部３３と、ユーザ代理アクセス部３２とを含む。トークン要求部３３は、他の装置にアクセスするための権限委譲情報とトークンの発行を要求する。また、ユーザ代理アクセス部３２は、トークンを利用して他のサービスにアクセスする。サービス提供装置３は、トークンを利用して認証装置からユーザ認証情報を取得するユーザ認証証明書要求部５３を含む。
　また、サービス提供装置３は、他の装置に提供するサービスを保管するサービス情報格納部６０を備え、他の装置からユーザに関する情報を取得するためのトークンを受信するトークン受付部５２を有している。
　なお、ユーザ認証証明書要求部５３が取得するユーザ認証情報（例えば、ユーザ認証証明書）は、認証装置１内では、権限委譲情報（例えば、権限委譲証明書）と呼んでいたものである。認証装置１には、権限委譲設定情報があるので、権限委譲情報と判断できる。しかし、サービス提供装置３においては、ユーザに関する情報であり、権限委譲に関する情報がない。サービス提供装置３では権限委譲情報であるか否かは判断できないので、ユーザ認証情報とする。両者は同じ情報を指しているが、前提として持っている情報が装置毎に異なるので呼び方を変えている。
　また、本実施の形態の各装置の構成を、下述のように変更してもよい。なお、本発明は記載された実施形態及び実施例に限定されるものではない。本発明の構成や詳細には、本発明の意義を逸脱しない範囲内で当業者が理解し得る様々な変更をすることができることは明らかである。
　認証装置１は、権限を委譲するユーザが設定した、アクセス権限を委譲する条件を格納する権限委譲条件格納部２１を含み、権限委譲証明書・トークン生成部１４は、権限委譲条件格納部２１に格納されている権限を委譲する条件に基づいて、権限委譲情報と権限委譲情報に対応するトークンとを発行するようにしてもよい。また、認証装置１は、権限委譲証明書・トークン生成部１４が発行した権限委譲情報と、その権限委譲情報に対応するトークンとを保管する証明書格納部２３と、トークンを受信すると、受信したトークンに対応する権限委譲情報を証明書格納部から取得する証明書要求受付部１８とを含んでいてもよい。また、認証装置１は、別のユーザへのアクセス権限の委譲を認めるか否か判断する権限ユーザ変換部１５を含み、権限委譲証明書・トークン生成部１４は、権限ユーザ変換部１５が権限委譲を認めると判断した場合に、権限委譲情報と権限委譲情報に対応するトークンとを発行するようにしてもよい。
　また、サービス代理アクセス装置２は、アクセスしているユーザのユーザ認証情報を取得するユーザ認証証明書管理部３５と、取得したユーザ認証情報を保管するユーザ認証証明書格納部４１とを有していてもよい。
　サービス提供装置３は、更に、ユーザ認証情報に記載されているユーザの代理として他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求部３３Ａと、他の装置に対してトークンを利用して他のサービスにアクセスするユーザ代理アクセス部３２Ａとを含んでいてもよい。
　［第１の実施形態］
　次に、本発明の第１の実施形態を説明する。アクセス権限管理システムの全体的な構成は、図１に示されたような構成である。
　図３は、認証装置１の構成例を示すブロック図である。図３に示す例では、認証装置１は、ユーザ認証証明書要求受付部１０と、ユーザ情報管理部１１と、ユーザ認証証明書生成部１２と、権限委譲設定情報受付部１３と、権限委譲証明書・トークン生成部１４と、権限ユーザ変換部１５と、権限委譲証明書・トークン管理部１６と、権限委譲証明書要求受付部１７と、証明書要求受付部１８と、ユーザ情報格納部２０と、権限委譲条件格納部２１と、サービス提供情報格納部２２と、証明書格納部２３とを含む。
　ユーザ認証証明書要求受付部１０は、ユーザ認証証明書の要求を他の装置から受け付けて、ユーザ認証証明書生成部１２が発行したユーザ認証証明書を、ユーザ認証証明書の要求を行った装置に返信する。ユーザ認証証明書とは、ユーザ情報格納部２０に格納（保管）されているユーザに関する情報を記載した文書であり、ユーザ識別子情報や証明書発行者情報などを含む。なお、ユーザ認証証明書の一例が図４に示されている。ユーザ認証証明書は、例えば、非特許文献１に記載されたＳＡＭＬや、Ｘ．５０９の形式であるが、それらの形式に限定されるものではない。本発明において、ユーザに関する情報が含まれていれば、ユーザ認証証明書は、どのような形式でもよい。
　ユーザ情報管理部１１は、ユーザ認証証明書要求受付部１０がユーザ認証証明書の生成要求を受け取ったときに、証明書の対象になるユーザ情報をユーザ情報格納部２０から取得し、ユーザ認証証明書生成部１２に送る。ユーザ認証証明書生成部１２は、ユーザ情報格納部２０の情報を元にユーザ認証証明書を発行する。
　権限委譲設定情報受付部１３は、図１に示された権限設定ユーザ端末装置５から権限委譲設定情報を受け付ける。そして権限委譲設定情報受付部１３は、権限委譲設定情報を、ユーザ情報格納部２０に格納されている情報とともに権限委譲条件格納部２１に格納する。ここで、権限委譲設定情報とは、権限委譲元ユーザの識別子と、権限を委譲する先のユーザの識別子と、委譲した権限を利用してアクセスできる対象になるプロバイダＩＤやＵＲＬやリソース等を含む情報である。なお、委譲条件格納部２１に格納される情報の一例が図５に示されている。
　権限委譲証明書・トークン生成部１４は、代理アクセスするための権限委譲証明書の発行要求を権限委譲証明書要求受付部１７から取得し、更に、権限ユーザ変換部１５から委譲先ユーザの情報を取得し、権限委譲証明書を発行する。権限委譲証明書の形式は、ユーザ認証証明書の形式と同じである。権限委譲証明書を発行した認証装置１から見れば、権限委譲設定情報に基づいて発行された証明書なので、権限委譲証明書となる。しかし、権限委譲証明書を受け取るサービス提供装置３には権限委譲設定情報はなく、サービス提供装置３から見ると、ユーザの情報が記載されているので、単にユーザ認証証明書になる。
　更に、権限委譲証明書・トークン生成部１４は、証明書を一意に特定するためのトークンを発行する。トークンには、証明書を識別するための識別子が記載されている。証明書を一意に特定するためのトークンを、例えば、非特許文献１で挙げたＳＡＭＬが規定するアーティファクトを用いて実現できる。しかし、証明書と一意に対応付けられる文字列であれば、アーティファクト以外のどのような形式のものでもよい。
　権限ユーザ変換部１５は、権限委譲証明書要求受付部１７からユーザ認証証明書を取得し、権限委譲条件格納部２１に記載されている条件を元に、権限委譲を認めるか否かを判断する。権限委譲を認めると判断した場合には、権限が委譲されるユーザのユーザ情報をユーザ情報格納部２０から取得する。例えば、ユーザ認証証明書に記載されているユーザの識別子が、権限委譲条件格納部２１に格納されている権限委譲先ユーザの識別子として記載されている場合には、権限を委譲してよいと判断する。そして、権限委譲元ユーザとしてユーザ認証証明書（権限委譲証明書）の発行を認める。
　権限委譲証明書・トークン管理部１６は、権限委譲証明書・トークン生成部１４が生成した証明書とトークンを関連付けて証明書格納部２３に登録したり、トークンを利用して証明書格納部２３から証明書を取得したりする。権限委譲証明書要求受付部１７は、代理アクセスするための権限証明書の発行要求とユーザ認証証明書とを別の装置から取得する。そして、権限委譲証明書要求受付部１７は、該認証装置１が生成したアクセス権限に関するトークンを、権限証明書の発行要求が取得された装置に返信する。
　証明書要求受付部１８は、他の装置からトークンを取得して、証明書格納部２３に格納されている証明書を返信する。
　ユーザ情報格納部２０は、ユーザ情報を格納する。ユーザ情報とは、ユーザ識別子、ユーザのアクセス権限に関する情報（Ｒｅａｄ、Ｗｒｉｔｅ、実行権限など）、及び他の装置に証明書を発行するか否かという情報などが含まれる。ただし、ユーザに関する情報は、それらの情報に限定されるものではない。これらの情報に加えて、又は、替えて他の情報を付加するようにしてもよい。
　権限委譲条件格納部２１は、委譲ユーザの識別子、委譲先ユーザの識別子、及びアクセス先装置やアクセス先情報などのユーザの権限委譲情報を格納する。サービス提供情報格納部２２は、図１に示されたサービス提供装置３のアクセス先ＵＲＬなどの情報を格納する。
　証明書格納部２３は、証明書とトークンとを対応付けて格納する。証明書格納部２３が格納する情報の一例が図６に示されている。図６に示す例では、トークンをキーとして証明書が格納されている。
　図７は、サービス代理アクセス装置２の構成例を示すブロック図である。図７に示すように、サービス代理アクセス装置２は、ユーザ認証証明書要求部３１と、ユーザ代理アクセス部３２と、トークン要求部３３と、ユーザ認証証明書検証部３４と、ユーザ認証証明書管理部３５と、トークン管理部３６と、ユーザ認証証明書格納部４１と、代理アクセス情報格納部４２と、トークン格納部４３とを含む。
　ユーザ認証証明書要求部３１は、認証装置１にユーザ認証証明書を要求して、ユーザ認証証明書を取得する。
　ユーザ代理アクセス部３２は、代理アクセス情報格納部４２に格納されているアクセス権限を確認し、代理アクセスできる場合には、認証装置１から取得したアクセス権限に関するトークンを利用して、ユーザの代理として他の装置にアクセスする。
　トークン要求部３３は、ユーザ認証証明書を利用して認証装置１に権限委譲証明書の発行を依頼し、トークンを取得する。
　ユーザ認証証明書検証部３４は、認証装置１から取得したユーザ認証証明書が正しいか否か検証する。ユーザ認証証明書が正しいか否か検証するとは、証明書の有効期間、証明書のフォーマット、証明書の発行者などを確認することによって、証明書に違反がないか確認することである。
　ユーザ認証証明書管理部３５は、ユーザ認証証明書をユーザ認証証明書格納部４１に登録したり、アクセスしているユーザの認証証明書を取得したりする。トークン管理部３６は、認証装置１から取得されたトークンをトークン格納部４３に格納する。ユーザ認証証明書格納部４１は、ユーザ認証証明書を格納する。代理アクセス情報格納部４２は、当該装置がユーザの代理として他の装置にアクセスできるか否かというアクセス権限情報を格納する。
　図８は、サービス提供装置３の構成例を示すブロック図である。図８に示すように、サービス提供装置３は、サービスアクセス受付部５０と、サービス情報管理部５１と、トークン受付部５２と、ユーザ認証証明書要求部５３と、証明書検証部５４と、サービス情報格納部６０と、アクセス権限条件格納部６１と、証明書情報格納部６２とを含む。
　サービスアクセス受付部５０は、他の装置からサービス要求を取得し、サービス要求が、アクセス権限条件格納部６１に格納されているアクセス条件を満たしている場合は、サービスに関する情報を送付する。
　サービス情報管理部５１は、サービスに関する情報をサービス情報格納部６０から取得する。トークン受付部５２は、代理アクセスによるサービス要求を取得した際に、サービス要求メッセージからトークンを取得する。ユーザ認証証明書要求部５３は、トークン受付部５２から取得したトークンを認証装置１に送付し、ユーザ認証証明書を取得する。
　証明書検証部５４は、ユーザ認証証明書要求部５３が取得したトークンを解析し、証明書が正しいことを確認する。サービス情報格納部６０と、サービス提供装置３が他の装置に提供するサービスに関する情報を格納する。アクセス権限条件格納部６１と、サービスを提供する条件を格納する。証明書情報格納部６２は、ユーザに関する認証証明書を格納する。
　次に、図９～図１６を参照して第１の実施形態の動作を説明する。
　まず、システム全体の動作の流れを、図９を用いて説明する。権限設定ユーザ端末装置５は、認証装置１にアクセスし、権限委譲の条件を設定する（ステップＩ１）。このとき、すでに認証装置１に権限委譲の条件が設定されている場合には、ステップＩ１の処理を省略することができる。ステップＩ１の処理の詳細については、図１０を参照して後述する。次に、サービスアクセスユーザ端末装置４は、サービス代理アクセス装置２にアクセスする。そして、サービス代理アクセス装置２は、認証装置１からユーザ認証証明書を取得する（ステップＩ２）。ステップＩ２の処理の詳細については、図１１を参照して後述する。その後、サービス代理アクセス装置２は、ユーザの権限を用いてサービス提供装置３に代理アクセスする（ステップＩ３）。ステップＩ３の処理の詳細については、図１３を参照して後述する。
　次に、図１０を参照して、あるユーザ（ユーザＡとする）が他のユーザ（ユーザＢとする）にアクセス権限を委譲するための設定動作を説明する。図１０は、あるユーザが他のユーザに権限委譲を設定するときの認証装置１に関する処理を示す流れ図である。
　ユーザＡは、権限設定ユーザ端末装置５を介して認証装置１の権限委譲設定情報受付部１３にアクセスする（ステップＡ１）。次に、権限を委譲するユーザＡは、ユーザ情報格納部２０に管理されているユーザ自身のアクセス権限を、別のユーザに委譲するための条件を入力する（ステップＡ２）。そして、入力された権限を権限委譲条件格納部２１に登録する（ステップＡ３）。上記の処理によって、権限委譲を実現するための条件が設定される。ユーザＡは、ユーザＡが設定した権限委譲に関する情報を、ユーザＢに通知する。通知は、ネットワークを介して行われてもよいし、オフラインで行われてもよい。
　次に、図１１を参照して、サービスアクセスユーザ端末装置４がサービス代理アクセス装置２にアクセスした際に、サービス代理アクセス装置２が認証装置１からユーザ認証証明書を取得する動作を説明する。図１１は、ユーザ認証証明書を要求して取得するときのサービス代理アクセス装置２に関する処理を示す流れ図である。
　まず、権限を委譲されたユーザＢは、サービスアクセスユーザ端末装置４を介してサービス代理アクセス装置２のユーザ認証証明書要求部３１にアクセスする（ステップＢ１）。ユーザ認証証明書要求部３１は、ユーザ認証証明書を要求するためのメ要求ッセージを生成し、認証装置１に送付する（ステップＢ２）。要求ッセージを受信した認証装置１は、ユーザ認証証明書を発行し、サービス代理アクセス装置２に送付する（ステップＢ３）。ステップＢ３の処理の詳細については、図１２を参照して後述する。認証装置１からユーザ認証証明書を取得すると、ユーザ認証証明書検証部３４は、ユーザ認証証明書が正しく発行されているか否か検証する（ステップＢ４）。ステップＢ４の検証処理の結果、証明書が正しくないと判断された場合には、処理を終了する。ステップＢ４の検証の結果、証明書が正しいと判断された場合には、ユーザ認証証明書管理部３５は、ユーザ認証証明書格納部４１に該証明書を登録し、処理を終了する（ステップＢ５）。
　次に、図１２を参照して、認証装置１がユーザ認証証明書を発行する処理（図１１におけるステップＢ３）の動作を説明する。図１２は、ユーザ認証証明書を生成するときの認証装置に関する処理を示す流れ図である。
　まず、認証装置１は、ユーザ認証証明書要求受付部１０を介して他の装置から証明書要求を受信する（ステップＣ１）。次に、ユーザ情報管理部１１は、証明書に記載するユーザ情報をユーザ情報格納部２０から取得する（ステップＣ２）。更に、ユーザ認証証明書生成部１２は、他の装置からの証明書要求と、ユーザ情報格納部２０から取得したユーザ情報に基づいて、ユーザ認証証明書を発行する（ステップＣ３）。そして、ユーザ認証証明書要求受付部１０は、ユーザ認証証明書を要求した装置にユーザ認証証明書を送付する（ステップＣ４）。
　次に、図１３を参照して、サービス代理アクセス装置２が権限委譲されたユーザＢの要求に従って権限委譲したユーザＡの権限でサービス提供装置３にアクセスする動作について説明する。図１３は、他のサービスに代理アクセスするときのサービス代理アクセス装置２に関する処理を示す流れ図である。
　まず、ユーザＢは、サービス代理アクセス装置２のユーザ代理アクセス部３２にアクセスし、サービス代理アクセス装置２に対して代理アクセスを要求する（ステップＤ１）。ユーザ代理アクセス部３２は、代理アクセス情報格納部４２に格納されているアクセス権限を確認し、ユーザＢが代理アクセスを実行できか否か（ユーザＢがサービス代理アクセス装置２を利用できるか否か）を判断する（ステップＤ２）。実行できない場合には、処理を終了する（ステップＤ９）。ステップＤ２の判断の結果、代理アクセスできる場合には、トークン要求部３３は、代理アクセスのためのトークンを要求するメッセージを生成し、生成したメッセージとユーザ認証証明書格納部４１に保管されている（ユーザＢの）ユーザ認証証明書とを認証装置１に送付する（ステップＤ３）。
　次に、認証装置１は、権限委譲証明書とトークンとを生成し、トークンをサービス代理アクセス装置２に送付する（ステップＤ４）。ステップＤ４の処理の詳細については、図１４を参照して後述する。その後、トークン管理部３６を介してトークンがトークン格納部４３に登録された後、ユーザ代理アクセス部３２は、サービス提供装置３に対するアクセス要求メッセージを作成する（ステップＤ５）。更に、ユーザ代理アクセス部３２は、アクセス要求メッセージと認証装置１で生成されたトークンとをサービス提供部３に送付する（ステップＤ６）。
　また、サービス提供装置３は、アクセス要求メッセージに基づいてサービス情報をサービス代理アクセス装置２に送付する（ステップＤ７）。ステップＤ７の処理の詳細については、図１５を参照して後述する。最後に、ユーザ代理アクセス部３２は、サービスに関する情報を取得し、ユーザＢに代理アクセスの処理結果を送付する（ステップＤ８）。
　次に、図１４を参照して、認証装置１が権限委譲証明書とトークンを生成する動作を説明する。図１４は、権限委譲の証明書を発行し、証明書に関連するトークンを発行するときの認証装置に関する処理を示す流れ図である。
　まず、認証装置１の権限委譲証明書要求受付部１７は、権限委譲証明書の発行を要求する発行要求メッセージと（ユーザＢの）ユーザ認証証明書とを取得する（ステップＥ１）。次に、権限ユーザ変換部１５は、発行要求メッセージに記載されている情報と（ユーザＢの）ユーザ認証証明書に記載されている情報とを、権限委譲条件格納部２１に格納されている情報（条件）に照合して、（ユーザＡに関する）権限委譲証明書を発行できるか否かを判断する（ステップＥ２）。発行要求メッセージまたはユーザ認証証明書に記載されている情報が条件を満たしていない場合には、処理を終了する（ステップＥ８）。ステップＥ２の判断の結果、証明書を発行できると判断した場合には、発行要求メッセージに記載されている情報と権限委譲条件格納部２１で管理されている情報とに基づいて、委譲したユーザＡの情報をユーザ情報格納部２０から取得する（ステップＥ３）。
　次に、権限委譲証明書・トークン生成部１４は、ユーザ情報格納部２０から取得したユーザＡの情報を利用して、権限委譲証明書を発行する（ステップＥ４）。また、権限委譲証明書・トークン生成部１４は、権限委譲証明書に対応するトークンを発行する（ステップＥ５）。その後、権限委譲証明書・トークン管理部１６は、証明書格納部２３にトークンと権限委譲証明書とを登録する（ステップＥ６）。そして、権限委譲証明書要求受付部１７は、権限委譲証明書を要求した装置に、生成したトークンを送付する（ステップＥ７）。以上のように、権限委譲証明書・トークン生成部１４は、権限を委譲する条件に基づいて、権限委譲情報（具体的には、権限委譲証明書）と権限委譲情報に対応するトークンとを生成し、権限委譲証明書要求受付部１７を介して他の装置に対して発行する。
　次に、図１５を参照して、サービス提供装置３が他の装置からのアクセスを受け付けたときの動作を説明する。図１５は、代理アクセスを受け付けるサービス提供装置３に関する処理を示す流れ図である。
　サービス提供装置３のサービスアクセス受付部５０は、サービスへのアクセス要求するメッセージを受け付け、トークン受付部５２は、トークンを受け付ける（ステップＦ１）。次に、ユーザ認証証明書要求部５３は、受け付けられたトークンを利用して、ユーザ認証証明書を要求するメッセージを作成し、認証装置１に送付する（ステップＦ２）。
　認証装置１は、権限委譲証明書をユーザＡのユーザ認証証明書としてサービス提供装置３に送付する（ステップＦ３）。ステップＦ３の処理の詳細については、図１６を参照して後述する。次に、証明書検証部５４は、認証装置１から送付されたユーザ認証証明書を検証する（ステップＦ４）。検証する内容は、証明書の有効期間の確認や、証明書のフォーマットの確認や、証明書の発行者の確認などである。ユーザＡのユーザ認証明書が正しくないと判断された場合には、処理を終了する（ステップＦ８）。ステップＦ４の検証の結果、証明書が正しいと判断された場合には、ユーザＡのユーザ認証明書を証明書情報格納部６２に登録する（ステップＦ５）。
　次に、サービスアクセス受付部５０は、取得されたユーザＡのユーザ認証証明書に記載されている内容と、アクセス権限条件格納部６１で管理されている条件とを照合して、ユーザＡがサービス提供装置３にアクセスしてよいか否かを判断する（ステップＦ６）。アクセスできないと判断された場合には、処理を終了する（ステップＦ８）。ステップＦ６の処理の結果、アクセスを認めると判断された場合には、サービスアクセス受付部５０は、サービス情報管理部５１を介してサービス情報格納部６０からサービスに関する情報を取得し、取得した情報をアクセス元に送付する（ステップＦ７）。
　次に、図１６を参照して、認証装置１がトークンを取得して証明書を送付する動作を説明する。トークンから証明書を取得するときの認証装置に関する処理を示す流れ図である。
　認証装置１の証明書要求受付部１８は、権限委譲証明書の代わりとしてユーザ認証証明書を要求するメッセージとトークンとを受信する（ステップＧ１）。証明書要求受付部１８は、受信されたトークンを利用して、権限委譲証明書・トークン管理部１６を介して証明書格納部２３からトークンに対応する証明書を取得する（ステップＧ２）。そして、証明書要求受付部１８がアクセス元に証明書を送付する（ステップＧ３）。
　以上に説明したように、本発明によるアクセス権限管理システムは、図１に示されたように、権限の委譲やユーザ証明書を発行する認証装置１と、ユーザの権限で他のプロバイダにアクセスするサービス代理アクセス装置２と、他のサービスからのからアクセスを受け付けてユーザ情報を確認しサービスを提供するサービス提供装置３と他のユーザから権限を委譲されたユーザがサービスにアクセスするために利用するサービスアクセスユーザ端末装置４と他のユーザに権限を委譲するための設定を登録するユーザが利用する権限設定ユーザ端末装置５が、相互にネットワーク６を介して接続されている。
　そして、図３に示されたように、認証装置１は、ユーザ認証証明書要求受付部１０が受け付けた証明書要求に基づいて、ユーザ情報格納部２０に格納されている情報をユーザ情報管理部１１を介して取得し、ユーザ認証証明書を生成するユーザ認証証明書生成部１２と、ユーザ端末装置からの権限委譲設定情報を受け付けて、権限委譲条件格納部２１に登録する権限委譲設定情報受付部１３と、権限委譲証明書要求受付部１７が受け付けた証明書要求に基づいて、権限ユーザ変換部１５とサービス提供部情報格納部２２から取得した情報を利用して、権限委譲設定情報に基づいて作成するユーザ認証証明書（これを権限委譲証明書という。）と証明書に対応するトークンとを生成する権限委譲証明書・トークン生成部１４と、権限委譲証明書・トークン生成部１４が生成したトークンを権限委譲証明書・トークン管理部１６を介して証明書を関連付けて登録する証明書格納部２３と、受け付けたトークンを利用して証明書格納部２３が格納する証明書を検索して、要求元に返信する証明書要求受付部１８とを備えている。
　図７に示されたように、サービス代理アクセス装置２は、ユーザ認証証明書要求部３１が認証装置１からユーザ認証証明書を取得すると、ユーザ認証証明書を検証するユーザ認証証明書検証部３４と、ユーザ認証証明書をユーザ認証証明書格納部４１に格納するユーザ認証証明書管理部３５と、ユーザ認証証明書格納部４１が格納している証明書情報と、代理アクセス情報格納部４２が格納している代理アクセスのための条件とを比較し、合致するか否かを判断し、合致した場合には、トークン要求部３３を介してアクセス権限に関するトークンを要求し、取得したトークンをトークン格納部４３に登録するトークン管理部３６と、トークン要求部３３が取得したトークンを利用して他のプロバイダにユーザの権限で代理アクセスするユーザ代理アクセス部３２を備えている。
　図４に示されたように、サービス提供装置３は、アクセス権限条件格納部６１が保管している条件に合致している状況の下で、サービス情報格納部６０に格納されている情報を、サービス情報管理部５１を介して取得し、アクセス元に返送するサービスアクセス受付部５０と、トークン受付部５２が取得したトークンを元に証明書を取得し、証明書検証部５４を用いて証明書を検証し、証明書情報格納部６２に保管させるユーザ認証証明書要求部５３とを備えている。
　ユーザ認証証明書要求部５３が取得する証明書は、認証装置１内では、権限委譲証明書と呼んでいたものである。認証装置１には、権限委譲設定情報があるので、権限委譲のための証明書（権限委譲証明書）と判断できる。しかし、サービス提供装置３においては、ユーザの情報が記載されている証明書であり、権限委譲に関する情報がない。サービス提供装置３では権限委譲証明書であると判断できないので、ユーザ認証証明書とする。両者は同じものを指しているが、前提として持っている情報が異なるので呼び方を変えている。
　このような構成を採用し、権限を他のユーザに委譲するユーザが権限設定ユーザ端末装置６を介して認証装置１に権限条件を設定し、その後、権限を委譲されたユーザがサービスアクセスユーザ端末装置５を介してサービス代理アクセス装置２にアクセスし、サービス代理アクセス装置２が認証装置１に権限委譲証明書とトークンの発行を依頼し、更に、サービス提供装置３にアクセスしてトークンを送付する。サービス提供装置３が認証装置１からトークンを利用して権限を委譲したユーザの証明書を取得し、委譲したユーザの証明書を用いてアクセスを制御することによって、本発明の目的を達成することができる。
　本実施形態の効果を説明する。本実施形態では、認証装置１がアクセスしてきた装置に応じて、適切なユーザ認証証明書を選択的に送付するように構成されているので、不要なユーザ情報を送付する必要がなくなり、情報漏えいの可能性を軽減できる。
　また、本実施形態では、更に、権限を委譲するユーザ（ユーザＡ）は認証装置１にのみ権限委譲条件を設定し、サービス提供装置３は委譲されたユーザ（ユーザＢ）ではなく権限を委譲したユーザ（ユーザＡ）としてアクセス可否を判断するというように構成されている。そのため、権限を委譲するユーザＡは一箇所のみに権限委譲条件を設定すればよい。その結果、権限設定の手間を省くことができる。
　また、本実施形態では、更に、権限を委譲するユーザが認証装置１に対して権限委譲条件を入力するので、ユーザの確認やユーザの同意を求めながら、ユーザの意図に沿った権限委譲の設定ができる。
　［第２の実施形態］
　次に、本発明の第２の実施形態を図面を参照して説明する。図１７は、第２の発明形態におけるサービス提供装置であるサービス提供装置７の構成を示すブロック図である。図１７に示すように、第２の実施形態は、サービス提供装置７が、図８に示された第１の実施形態におけるサービス提供装置３の構成に加えて、代理アクセス部７１を有している点で異なる。また、全体的な構成は、サービス提供装置３に代えて、又は、サービス提供装置３に加えてサービス提供装置７が存在することになるが、図１に示された構成と同じである。
　代理アクセス部７１は、ユーザ代理アクセス部３２と、トークン要求部３３と、代理アクセス情報格納部４２と、トークン格納部４３とを含む。代理アクセス部７１に含まれるそれぞれの部は、図４に示された第１の実施形態におけるサービス代理アクセス装置２に含まれるユーザ代理アクセス部３２と、トークン要求部３３と、代理アクセス情報格納部４２と、トークン格納部４３と、それぞれ同じ動作をする。
　権限設定ユーザ端末装置５が認証装置１に権限の委譲を設定する処理と、サービス代理アクセス装置２が認証装置１からユーザ認証証明書を取得する処理は、図１０、図１１、図１２に示された第１の実施形態における動作と同じである。また、サービス代理アクセス装置２が代理アクセスのための権限に関する証明書を認証装置１に発行依頼し、その結果トークンを取得し、サービス提供装置７にアクセス要求メッセージを送付する動作は、第１の実施形態における動作（図１３のステップＤ１～Ｄ６までの処理）と同じである。しかし、サービス提供装置７が代理アクセス要求を受けた場合の動作が、第１の実施形態における動作と異なり、図１８の流れ図に示すようになる。
　次に、図１８の流れ図を参照して本実施形態の全体の動作を説明する。
　サービス提供装置７がアクセス要求を取得すると、認証装置１からユーザ認証証明書を取得し、サービスの提供の可否を判断する（ステップＦ１～Ｆ７）。ステップＦ１～Ｆ７の処理は、図１５に示された第１の実施形態におけるサービス提供装置３の動作と同じである。
　第２の実施形態では、サービス提供装置７がサービス情報を送付したときに、サービス装置７が他のサービス装置に対して代理アクセスを行う。代理アクセスを行うために、サービス提供装置７におけるトークン要求部３３は、認証装置１に対して、ステップＦ３の処理で取得したユーザ認証証明書を送付するとともに、代理アクセスを実現するためのトークンの発行要求メッセージを送付する（ステップＨ１０）。認証装置１がトークンの発行要求を受信すると、証明書とその証明書に対応するトークンを発行し、サービス提供装置７に送付する（ステップＨ１１）。ステップＨ１１の処理は、図１４に示された第１の実施形態における認証装置１の処理と同じである。
　サービス提供装置７がトークンを取得すると、トークン管理部３６がトークンをトークン格納部４３に登録する。更に、ユーザ代理アクセス部３２は、代理アクセス情報格納部４２の情報を利用して、他のサービス提供装置に対して代理アクセスするためのアクセス要求メッセージを作成する（ステップＨ１２）。そして、ユーザ代理アクセス部３２は、他のサービス提供装置に対してアクセス要求メッセージを送付する（ステップＨ１３）。
　アクセス要求メッセージを受信したサービス提供装置は、図１５に示されたサービス提供装置３の処理と同じ処理、または、図１８に示されたサービス提供装置７の処理と同じ処理であるサービス要求受付処理を行う（ステップＨ１４）。その後、ユーザ代理アクセス部３２は、代理アクセスの結果を、サービス提供装置７にアクセスしている装置に対して送付する（ステップＨ１５）。
　第２の実施形態の効果を説明する。第２の実施形態では、認証装置１で保管されている権限委譲の条件に関する情報をサービスアクセスユーザ端末装置４が再利用し、権限委譲されたサービス利用装置７が、更に別のサービス利用装置に対して権限を再委譲するというように構成されている。そのため、サービス代理アクセス装置２は、別のサービス利用装置への権限の再委託を考慮することなく権限委譲を設定でき、サービス代理アクセス装置２の権限委譲処理を簡略化できる。
　［第３の実施形態］
　次に、本発明の第３の実施形態を図面を参照して説明する。図１９は、第３の実施形態の全体的な構成を示すブロック図である。図１９に示すように、第３の実施形態は、第１及び第２の実施形態と同様に、ネットワークＧを介して通信可能な認証装置Ａとサービス代理アクセス装置Ｂとサービス提供装置Ｃとを備えている。なお、認証装置Ａは、第１及び第２の実施形態における認証装置１に相当する。サービス代理アクセス装置Ｂは、サービス代理アクセス装置２に相当する。サービス提供装置Ｃは、第１及び第２の実施形態におけるサービス提供装置３またはサービス提供装置７に相当する。
　認証装置Ａ、サービス代理アクセス装置Ｂ及びサービス提供装置Ｃは、それぞれＣＰＵを搭載している。認証用プログラムＤは、認証装置Ａの動作を制御し、サービス代理アクセス装置Ｂやサービス提供装置Ｃからの要求に従って、証明書を発行したり、トークンを発行したりするためのプログラムである。認証装置Ａは、認証用プログラムＤに従って制御を実行することによって、第１及び第２の実施形態における認証装置１の処理と同じ処理を実行する。
　サービス代理アクセス用プログラムＥは、サービス代理アクセス装置Ｂの動作を制御し、証明書やトークンを認証装置Ａから取得し、サービス提供装置Ｃにアクセスするためのプログラムである。サービス代理アクセス装置Ｂは、サービス代理アクセス用プログラムＥに従って制御を実行することによって、第１及び第２の実施形態におけるサービス代理アクセス装置２の処理と同じ処理を実行する。
　サービス提供用プログラムＦは、サービス提供装置Ｃの動作を制御し、認証装置Ａから証明書を取得し、サービス代理アクセス装置Ｂにサービスを提供するためのプログラムである。サービス提供装置Ｃは、サービス提供用プログラムＦに従って制御を実行することによって、第１及び第２の実施形態におけるサービス提供装置３，７の処理と同じ処理を実行する。
　［実施例１］
　次に、本発明の第１の実施例を、図面を参照して説明する。第１の実施例は本発明の第１の実施形態に対応する実施例である。
　図２０は、アクセス管理システムの第１の実施例の構成を示す構成図である。アクセス権限管理システムは、図２０に示すように、認証装置２００と、ショッピングサイト２０１と、運送業者２０２（具体的には、運送業者におけるサーバ装置等）とを含む。また、図２０には、商品購入者２０３と、商品届け先ユーザ２０４とが示されている。
　認証装置２００は、ンターネット上でユーザ情報を管理し証明書を配布する装置である。ショッピングサイト２０１は、サービス代理アクセス装置として振舞う装置である。運送業者２０２（具体的には、運送業者におけるサーバ装置等）は、サービス提供装置として振舞う装置である。商品購入者２０３は、サービスアクセスユーザ端末装置を介してネットワークにアクセスする。商品届け先ユーザ２０４は、権限設定ユーザ端末装置を介してネットワークにアクセスする。
　本実施例では、商品購入者２０３がショッピングサイト２０２で商品を購入し、届け先ユーザ２０４に贈答するために商品届け先２０４の権限で運送業者２０２に商品の配送を依頼し、運送業者２０２が商品を配送する。本実施例における認証装置として、ＩＳＰ（インターネットサービスプロバイダ）やキャリアなどのユーザ情報を管理する組織が想定されている。
　また、本実施例における運送業者２０２は、すでに商品届け先の連絡先を管理している。連絡先にアクセスできる権限は、商品届け先２０４のユーザが持っているとする。本実施例では、商品届け先の連絡先にアクセスする権限をユーザや装置間で委譲する。
　商品届け先２０４のユーザは、認証装置２００に対して、商品購入者２０３が運送業者２０２内で管理されている連絡先にアクセスする権限を委譲することを認めることを通知する（図２０におけるステップＳ１００）。通知に基づいて、商品購入者がプレゼントとして購入した商品を商品届け先に送付できるようになる。
　以上の条件の下で商品購入者２０３は、ショッピングサイト２０１にアクセスする（図２０におけるステップＳ１０１）。ショッピングサイト２０１は、アクセスしてきたユーザ情報を取得するために、ユーザ認証証明書要求を認証装置２００に送付する（図２０におけるステップＳ１０２）。要求を受信した認証装置２００は、ユーザ認証証明書を発行し（図２０におけるステップＳ１０３）、ショッピングサイト２０１に送付する（図２０におけるステップＳ１０４）。ユーザ認証証明書を見ればユーザを識別できるので、ショッピングサイト２０１は、商品購入者２０３のアクセスに従って商品購入手続きと、商品配送手続きを行う（図２０におけるステップＳ１０５）。
　また、ショッピングサイト２０１は、運送業者２０２に商品発送を依頼するための権限を認証装置２００に要求する（図２０におけるステップＳ１０６）。認証装置２００が権限証明書の発行要求を受信すると、認証装置２００は、商品購入者２０３が運送業者２０２内で管理されている商品届け先２０４の連絡先にアクセスできるか判断する。アクセスを認める場合には、運送業者２０２向けに商品届け先２０４のユーザに関するユーザ認証証明書を発行し、更に、トークンを発行する（図２０におけるステップＳ１０７）。
　次に、認証装置２００がショッピングサイト２０１に、発行されたトークンを送付する（図２０におけるステップＳ１０８）。ショッピングサイトがトークンを受信すると、トークンとともに商品発送要求を送付する（図２０におけるステップＳ１１０）。運送業者２０２が、商品発送要求を受信すると、その要求が誰の権限でアクセスしているのか確認する（図２０におけるステップＳ１１１）。しかし、この段階では、ユーザ認証証明書はなく、トークンのみが受信されているので、運送業者２０２は、認証装置２００にトークンを送付するとともに、証明書を要求する（図２０におけるステップＳ１１２）。認証装置２００は、受信したトークンから証明書を検索して取得する（図２０におけるステップＳ１１３）。そして、証明書を要求している運送業者２０２に送付する（図２０におけるステップＳ１１４）。
　運送業者２０２が証明書を受信すると、権限を確認し、商品届け先２０４の連絡先にアクセスできるか否かを判断する（図２０におけるステップＳ１１５）。アクセスできた場合には、商品届け先住所が分かるので、ショッピングサイト２０１の要求に従って、商品を商品届け先２０４に送付する。
　本実施例では、ショッピングサイトと運送業者は、ユーザの権限に関するトークンを交換するだけであり、ユーザＩＤ等のユーザ情報が記載された文書を交換していない。また、商品届け先２０４のユーザは、認証装置２００にのみ権限委譲を設定するだけでよく、委譲の条件を複数の装置に配布する必要はない。
　［実施例２］
　次に、本発明の第２の実施例を、図面を参照して説明する。第２の実施例は本発明の第２の実施形態に対応する実施例である。
　図２１は、アクセス管理システムの第２の実施例の構成を示す構成図である。アクセス権限管理システムは、図２１に示すように、認証装置２０５と、サービスプロバイダ２０７と、課金代行サービス２０８（具体的には、課金代行サービス提供者におけるサーバ装置等）と、費用負担部門２０９（具体的には、費用負担部門におけるサーバ装置等。）を含む。
　認証装置２０５は、インターネット上でユーザ情報を管理し証明書を配布する装置である。サービスプロバイダ２０７は、サービス代理アクセス装置として振舞う装置である。課金代行サービス２０８（具体的には、課金代行サービス提供者におけるサーバ装置等）は、サービス提供と代理アクセスとを行うサービス提供装置として振舞う。ユーザ端末装置２０６は、サービスアクセスユーザ端末装置を介してネットワークにアクセスする社員が利用する装置である。費用負担部門２０９は、課金代行サービスの要求に従って支払い処理を行う会社の部門である。なお、費用負担部門２０９における他者との通信処理などは、具体的には、費用負担部門２０９におけるサーバ装置等で実現される。
　本実施例では、会社の費用負担部門２０９の管理者が権限設定ユーザ端末装置を介して社員に課金代行サービスへのアクセス権限を設定しているとする。また、本実施例では、ユーザがサービスプロバイダ２０７を利用する際に、ユーザ自身の権限で利用するが、そのサービス利用料は会社の費用負担部門２０９が支払うとする。そのサービス利用料の課金は、課金代行サービス２０８が課金処理を行う。サービスプロバイダ２０７は、会社の費用負担部門２０９の権限で課金代行サービスに課金を依頼する。また、課金代行サービス２０８は、サービスプロバイダ２０７の権限で会社の費用負担部門２０９に支払い請求をすることになる。
　社員としての権限を持っているユーザは、ユーザ端末装置２０６を介して、サービスプロバイダ２０７にアクセスする（図２１におけるステップＳ２０１）。サービスプロバイダ２０７は、アクセスしてきたユーザ情報を取得するために、ユーザ認証証明書要求を認証装置２０５に送付する（図２１におけるステップＳ２０２）。要求を受信した認証装置２０５は、ユーザ認証証明書を発行し（図２１におけるステップＳ２０３）、サービスプロバイダ２０７に送付する（図２１におけるステップＳ２０４）。ユーザ認証証明書を見ればユーザを識別できるので、サービスプロバイダ２０７は、ユーザに対してサービスを提供する（図２１におけるステップＳ２０５）。
　次に、サービスプロバイダ２０７は、課金代行サービス２０８に課金処理を依頼するための権限を認証装置２０５に要求する（図２１におけるステップＳ２０６）。認証装置２０５は、権限証明書の発行要求を受信すると、ユーザが勤めている会社の費用負担部門２０９の情報が記載されたユーザ認証証明書を発行し、更に、トークンを発行する（図２１におけるステップＳ２０７）。次に、認証装置２０５が発行したトークンをサービスプロバイダ２０７に送付する（図２１におけるステップＳ２０８）。サービスプロバイダ２０７がトークンを受信すると、トークンとともに課金代行要求を送付する（図２１におけるステップＳ２１０）。課金代行サービス２０８が、課金代行要求を受信すると、誰に課金するべきか確認する（図２１におけるステップＳ２１１）。
　しかし、この段階では、ユーザ認証証明書はなく、課金代行サービス２０８は、トークンのみを受信している。そこで、認証装置２０５にトークンを送付し、証明書を要求する（図２１におけるステップＳ２１２）。認証装置２０５は、受信したトークンから証明書を検索して取得する（図２１におけるステップＳ２１３）。そして、証明書を要求している課金代行サービス２０８に送付する（図２１におけるステップＳ２１４）。課金代行サービス２０８が証明書を受信すると、権限を確認し、課金処理を行う（図２１におけるステップＳ２１５）。
　更に、課金代行サービス２０８が会社の費用負担部門２０９に請求書を送付する際には、課金代行サービス２０８はサービスプロバイダ２０７の代わりに費用負担部門２０９にアクセスすることになる。そこで、課金代行サービス２０８は、費用負担部門２０９にアクセスするための権限に関する証明書の発行要求を認証装置２０５に送付する（図２１におけるステップＳ２１６）。認証装置２０５は、証明書発行要求を受信すると、サービスプロバイダ２０７が費用負担部門２０９にアクセスするための証明書を発行し、更に、トークンを発行する（図２１におけるステップＳ２１７）。そして、認証装置２０５は、課金代行サービス２０８にトークンを送付する（図２１におけるステップＳ２１８）。
　課金代行サービス２０８がトークンを受信すると、受信したトークンと、支払い請求書とを会社の費用負担部門２０９に送付する（図２１におけるステップＳ２１９）。費用負担部門２０９が支払い要求書を受け付けると、どこのサービスからの要求であるかを確認するために、認証装置２０５に証明書の要求メッセージと受信したトークンを送付する（図２１におけるステップＳ２２０）。認証装置２０５は、受信したトークンに対応付けられた証明書を取得する（図２１におけるステップＳ２２１）。その後、認証装置２０５は、証明書を要求してきた費用負担部門２０９に送付する（図２１におけるステップＳ２２２）。証明書を受け取った費用負担部門２０９は、証明書と支払い要求書を確認して、支払い処理を完了する（図２１におけるステップＳ２２３）。
　本願は、日本の特願２００７－３３５９８８（２００７年１２月２７日に出願）に基づいたものであり、又、特願２００７－３３５９８８に基づくパリ条約の優先権を主張するものである。特願２００７－３３５９８８の開示内容は、特願２００７－３３５９８８を参照することにより本明細書に援用される。
　本発明の代表的な実施形態が詳細に述べられたが、様々な変更(changes)、置き換え(substitutions)及び選択(alternatives)が請求項で定義された発明の精神と範囲から逸脱することなくなされることが理解されるべきである。また、仮にクレームが出願手続きにおいて補正されたとしても、クレームされた発明の均等の範囲は維持されるものと発明者は意図する。
　本発明は、複数のサービスプロバイダが連携してユーザにサービスを提供する状況において、あるユーザが別のユーザから委譲された権限を利用して、サービスプロバイダに代理アクセスを実行することを許可するといった用途に適用可能である。また、インターネットサービス、企業内システム、企業間システム、キャリアシステムなどのネットワーク上で構築される分散システムにおける証明書管理や権限委譲管理システムや、権限管理システムをコンピュータに実現するためのプログラムといった用途に適用可能である。

Claims (22)

  1. 　権限を委譲する条件を管理する認証装置と、サービス要求に応じてサービスを提供するサービス提供装置と、前記サービス提供装置へのアクセスを代行するサービス代理アクセス装置とを備え、
    　前記認証装置は、
    　他の装置に対してユーザに関する情報が記載されたユーザ認証情報を発行するユーザ認証証明書生成手段と、
    　権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成手段とを含み、
    　前記サービス代理アクセス装置は、
    　他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、
    　トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを含み、
    　前記サービス提供装置は、トークンを利用して前記認証装置からユーザ認証情報を取得するユーザ認証証明書要求手段を含む
    　ことを特徴とするアクセス権限管理システム。
  2. 　サービス提供装置は、
    　ユーザ認証情報に記載されているユーザの代理として他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、
    　他の装置に対してトークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを更に含む
    　請求項１記載のアクセス権限管理システム。
  3. 　認証装置は、権限を委譲するユーザが設定したアクセス権限を委譲する条件を格納する権限委譲条件格納手段を更に含み、
    　権限委譲証明書・トークン生成手段は、前記権限委譲条件格納手段に格納されている権限を委譲する条件に基づいて、権限委譲情報と権限委譲情報に対応するトークンとを発行する
    　請求項１または請求項２記載のアクセス権限管理システム。
  4. 　認証装置は、
    　権限委譲証明書・トークン生成手段が発行した権限委譲情報と、その権限委譲情報に対応するトークンとを保管する証明書格納手段と、
    　トークンを受信すると、受信したトークンに対応する権限委譲情報を前記証明書格納手段から取得する証明書要求受付手段とを更に含む
    　請求項１から請求項３のうちのいずれか１項に記載のアクセス権限管理システム。
  5. 　認証装置は、別のユーザへのアクセス権限の委譲を認めるか否か判断する権限ユーザ変換手段を含み、
    　権限委譲証明書・トークン生成手段は、前記権限ユーザ変換手段が権限委譲を認めると判断した場合に、権限委譲情報と権限委譲情報に対応するトークンとを発行する
    　請求項１から請求項４のうちのいずれか１項に記載のアクセス権限管理システム。
  6. 　権限委譲を管理するアクセス権限管理システムにおける、ユーザ認証情報を発行する認証装置であって、
    　他の装置に対してユーザに関する情報が記載されたユーザ認証情報を生成するユーザ認証証明書生成手段と、
    　別のユーザにアクセス権限を委譲する条件を設定する権限委譲設定情報受付手段と、
    　ユーザが設定したアクセス権限を委譲する条件を格納する権限委譲条件格納手段と、
    　権限移譲先のユーザの情報と前記権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成手段と、
    　前記権限委譲証明書・トークン生成手段が発行した権限委譲情報とトークンとを保管する証明書格納手段と、
    　トークンを受信すると、受信したトークンに対応する権限委譲情報を前記証明書格納手段から取得する証明書要求受付手段とを備えた
    　ことを特徴とする認証装置。
  7. 　別のユーザへのアクセス権限の委譲を認めるか否か判断する権限ユーザ変換手段を備え、
    　権限委譲証明書・トークン生成手段は、前記権限ユーザ変換手段が権限委譲を認めると判断した場合に、権限委譲情報と権限委譲情報に対応するトークンとを発行する
    　請求項６記載の認証装置。
  8. 　権限委譲を管理するアクセス権限管理システムにおける、サービス提供装置へのアクセス代行をするサービス代理アクセス装置であって、
    　アクセスしているユーザのユーザ認証情報を取得するユーザ認証証明書管理手段と、
    　取得したユーザ認証情報を保管するユーザ認証証明書格納手段と、
    　他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、
    　前記トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを備えた
    　ことを特徴とするサービス代理アクセス装置。
  9. 　アクセス権限を格納する代理アクセス情報格納手段を備え、
    　ユーザ代理アクセス手段は、前記代理アクセス情報格納手段に格納されているアクセスしているユーザのアクセス権限が代理アクセスできることを示している場合に、トークンを利用して他のサービスにアクセスする
    　請求項８記載のサービス代理アクセス装置。
  10. 　権限委譲を管理するアクセス権限管理システムにおける、サービス要求に応じてサービスを提供するサービス提供装置であって、
    　他の装置からユーザに関する情報を取得するためのトークンを受信するトークン受付手段と、
    　受信したトークンから、ユーザ認証情報を取得するユーザ認証証明書要求手段と、
    　ユーザに関する情報を検証してサービス情報へのアクセスの可否を判定するサービスアクセス受付手段と、
    　他の装置に提供するサービスを保管するサービス情報格納手段とを備えた
    　ことを特徴とするサービス提供装置。
  11. 　ユーザの代理として他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、
    　前記トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを備えた
    　請求項１０記載のサービス提供装置
  12. 　権限委譲条件を管理し、ユーザ認証情報を発行する認証装置が、サービス要求に応じてサービスを提供するサービス提供装置と、前記サービス提供装置へのアクセスを代行するサービス代理アクセス装置に権限委譲に関する情報やトークンを生成、配布するアクセス権限管理方法であって、
    　前記認証装置が、
    　他の装置に対してユーザに関する情報が記載されたユーザ認証情報を生成し、
    　権限移譲先のユーザの情報と権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行し、
    　前記サービス代理アクセス装置が、
    　他の装置にアクセスするための権限委譲情報とトークンの発行を要求し、
    　トークンを利用し他のサービスにアクセスし、
    　前記サービス提供装置が、トークンを利用して前記認証装置からユーザ認証情報を取得する
    　ことを特徴とするアクセス権限管理方法。
  13. 　認証装置が、
    　別のユーザにアクセス権限を委譲する条件を設定し、
    　ユーザが設定したアクセス権限を委譲する条件を格納し、
    　権限委譲証明書・トークン生成ステップで発行された権限委譲情報と権限委譲情報に対応するトークンとを証明書格納手段に保管し、
    　トークンを受信すると、受信したトークンに対応する権限委譲情報を前記証明書格納手段から取得する
    　請求項１２記載のアクセス権限管理方法。
  14. 　サービス代理アクセス装置が、
    　アクセスしているユーザのユーザ認証情報を取得し、
    　取得したユーザ認証情報を保管する
    　請求項１２または請求項１３記載のアクセス権限管理方法。
  15. 　サービス提供装置が、他の装置からユーザに関する情報を取得するためのトークンを受信し、
    　ユーザに関する情報を検証してサービス情報へのアクセスの可否を判定し、
    　他の装置に提供するサービスを保管する
    　請求項１２から請求項１４のうちのいずれか１項に記載のアクセス権限管理方法。
  16. 　サービス提供装置が、
    　他の装置にアクセスするための権限委譲情報とトークンの発行を要求し、
    　前記トークンを利用して他のサービスにアクセスする
    　請求項１５記載のアクセス権限管理方法。
  17. 　権限委譲を管理するアクセス権限管理システムにおける、ユーザ認証情報を発行する認証装置における認証プログラムであって、
    　他の装置に対してユーザに関する情報が記載されたユーザ認証情報を生成するユーザ認証証明書生成手段と、
    　別のユーザにアクセス権限を委譲する条件を設定する権限委譲設定情報受付手段と、
    　ユーザが設定したアクセス権限を委譲する条件を格納する権限委譲条件格納手段と、
    　権限移譲先のユーザの情報と前記権限を委譲する条件とに基づいて、権限委譲情報と権限委譲情報に対応するトークンとを他の装置に対して発行する権限委譲証明書・トークン生成手段と、
    　前記権限委譲証明書・トークン生成手段が発行した権限委譲情報とトークンとを保管する証明書格納手段と、
    　トークンを受信すると、受信したトークンに対応する権限委譲情報を前記証明書格納手段から取得する証明書要求受付手段とを備えた
    　認証装置としてコンピュータを機能させることを特徴とする認証プログラム。
  18. 　請求項１７に記載の認証プログラムであって、前記認証装置を、
    　別のユーザへのアクセス権限の委譲を認めるか否か判断する権限ユーザ変換手段を備え、
    　権限委譲証明書・トークン生成手段は、前記権限ユーザ変換手段が権限委譲を認めると判断した場合に、権限委譲情報と権限委譲情報に対応するトークンとを発行する
    　認証装置として機能させることを特徴とする認証プログラム。
  19. 　権限委譲を管理するアクセス権限管理システムにおける、サービス提供装置へのアクセス代行をするサービス代理アクセス装置におけるサービス代理アクセスプログラムであって、
    　アクセスしているユーザのユーザ認証情報を取得するユーザ認証証明書管理手段と、
    　取得したユーザ認証情報を保管するユーザ認証証明書格納手段と、
    　他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、
    　前記トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを備えた
    　サービス代理アクセス装置としてコンピュータを機能させることを特徴とするサービス代理アクセスプログラム。
  20. 　請求項１９記載のサービス代理アクセスプログラムであって、前記サービス代理アクセス装置を、
    　アクセス権限を格納する代理アクセス情報格納手段を備え、
    　ユーザ代理アクセス手段は、前記代理アクセス情報格納手段に格納されているアクセスしているユーザのアクセス権限が代理アクセスできることを示している場合に、トークンを利用して他のサービスにアクセスする
    　サービス代理アクセス装置として機能させることを特徴とするサービス代理アクセスプログラム。
  21. 　権限委譲を管理するアクセス権限管理システムにおける、サービス要求に応じてサービスを提供するサービス提供装置におけるサービス提供プログラムであって、
    　他の装置からユーザに関する情報を取得するためのトークンを受信するトークン受付手段と、
    　受信したトークンから、ユーザ認証情報を取得するユーザ認証証明書要求手段と、
    　ユーザに関する情報を検証してサービス情報へのアクセスの可否を判定するサービスアクセス受付手段と、
    　他の装置に提供するサービスを保管するサービス情報格納手段とを備えた
    　サービス提供装置としてコンピュータを機能させることを特徴とするアクセス権限管理プログラム。
  22. 　請求項２１記載のサービス提供プログラムであって、前記サービス提供装置を、
    　ユーザの代理として他の装置にアクセスするための権限委譲情報とトークンの発行を要求するトークン要求手段と、
    　前記トークンを利用して他のサービスにアクセスするユーザ代理アクセス手段とを備えた
    　サービス提供装置として機能させることを特徴とするアクセス権限管理プログラム。
PCT/JP2008/073644 2007-12-27 2008-12-25 アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム WO2009084601A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US12/735,120 US8544066B2 (en) 2007-12-27 2008-12-25 Access right management system, access right management method, and access right management program
JP2009548071A JP5423397B2 (ja) 2007-12-27 2008-12-25 アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム
US14/017,559 US8935747B2 (en) 2007-12-27 2013-09-04 Access right management system, access right management method, and access right management program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2007-335988 2007-12-27
JP2007335988 2007-12-27

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US12/735,120 A-371-Of-International US8544066B2 (en) 2007-12-27 2008-12-25 Access right management system, access right management method, and access right management program
US14/017,559 Continuation US8935747B2 (en) 2007-12-27 2013-09-04 Access right management system, access right management method, and access right management program

Publications (1)

Publication Number Publication Date
WO2009084601A1 true WO2009084601A1 (ja) 2009-07-09

Family

ID=40824315

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2008/073644 WO2009084601A1 (ja) 2007-12-27 2008-12-25 アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム

Country Status (3)

Country Link
US (2) US8544066B2 (ja)
JP (1) JP5423397B2 (ja)
WO (1) WO2009084601A1 (ja)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011070726A1 (ja) * 2009-12-07 2011-06-16 日本電気株式会社 属性情報連携提供システム、アクセス情報管理装置、アクセス情報代理管理装置、方法、およびプログラム
JP2012008958A (ja) * 2010-06-28 2012-01-12 Canon Inc 権限委譲システム、権限委譲方法、情報処理装置、及びプログラム
JP2012093801A (ja) * 2010-10-22 2012-05-17 Canon Inc 権限委譲システム、権限委譲方法、認証装置、情報処理装置、制御方法、およびプログラム
JP2012098839A (ja) * 2010-10-29 2012-05-24 Toshiba Corp アクセス認可装置
JP2013041550A (ja) * 2011-08-19 2013-02-28 Canon Inc アクセス管理システム、アクセス管理方法、アクセス管理サーバ、連携サーバ、およびプログラム
JP2013073627A (ja) * 2011-09-26 2013-04-22 Teruten Inc Ｐｃアクセス制御方法、それを含むモジュール、サーバ、及びシステム
JP2014010486A (ja) * 2012-06-27 2014-01-20 Ntt Docomo Inc 情報処理装置及び認可情報管理方法
JP5724017B1 (ja) * 2014-05-29 2015-05-27 周 志偉Ｚｈｏｕ Ｚｈｉ Ｗｅｉ 複数コンピュータシステムの認証連携システム
JP2015228067A (ja) * 2014-05-30 2015-12-17 キヤノン株式会社 権限移譲システム、方法、認証サーバーシステム、およびそのプログラム
US9288213B2 (en) 2012-10-31 2016-03-15 Ricoh Company, Ltd. System and service providing apparatus
CN111416822A (zh) * 2020-03-20 2020-07-14 数篷科技(深圳)有限公司 访问控制的方法、电子设备和存储介质

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012062915A2 (en) * 2010-11-11 2012-05-18 Nec Europe Ltd. Method and system for providing service access to a user
US20130018759A1 (en) * 2011-07-13 2013-01-17 Ebay Inc. Third party token system for anonymous shipping
JP5858796B2 (ja) * 2012-01-16 2016-02-10 キヤノン株式会社 権限委譲システム、およびその権限委譲システムにおけるサーバーシステム、および権限委譲システムを制御する制御方法
EP2817917B1 (en) * 2012-02-20 2018-04-11 KL Data Security Pty Ltd Cryptographic method and system
US9621403B1 (en) * 2012-03-05 2017-04-11 Google Inc. Installing network certificates on a client computing device
JP6025480B2 (ja) * 2012-09-27 2016-11-16 キヤノン株式会社 認可サーバーシステム、権限移譲システム、その制御方法、およびプログラム
US20140122217A1 (en) * 2012-10-29 2014-05-01 Aol Inc. Systems and methods for providing digital bundles of services
US20140122204A1 (en) * 2012-10-29 2014-05-01 Aol Inc. Systems and methods for providing digital bundling services to multiple users at discounted prices
US9558333B2 (en) 2012-10-29 2017-01-31 Aol Inc. Systems and methods for facilitating the sharing of digital bundles of services between users
JP6061633B2 (ja) * 2012-11-14 2017-01-18 キヤノン株式会社 デバイス装置、制御方法、およびそのプログラム。
US10133855B2 (en) * 2013-10-08 2018-11-20 Comcast Cable Communications Management, Llc Systems and methods for entitlement management
US9426156B2 (en) * 2013-11-19 2016-08-23 Care Innovations, Llc System and method for facilitating federated user provisioning through a cloud-based system
CN103618605B (zh) * 2013-11-26 2017-07-14 中国联合网络通信集团有限公司 时变访问令牌的生成方法及服务器
JP6435678B2 (ja) * 2014-07-16 2018-12-12 富士ゼロックス株式会社 情報処理装置、管理装置、プログラム及びシステム
JP2016085641A (ja) * 2014-10-27 2016-05-19 キヤノン株式会社 権限移譲システム、権限移譲システムにて実行される方法、およびそのプログラム
US11615199B1 (en) * 2014-12-31 2023-03-28 Idemia Identity & Security USA LLC User authentication for digital identifications
CN105471833B (zh) 2015-05-14 2019-04-16 瑞数信息技术（上海）有限公司 一种安全通讯方法和装置
CN105491001B (zh) * 2015-05-14 2017-02-22 瑞数信息技术（上海）有限公司 一种安全通讯方法和装置
US10855789B1 (en) * 2016-03-03 2020-12-01 Headspin, Inc. System for management of an array of proxy access devices
JP6729145B2 (ja) * 2016-08-03 2020-07-22 富士通株式会社 接続管理装置、接続管理方法および接続管理プログラム
EP3355141B1 (de) * 2017-01-27 2019-03-06 Siemens Aktiengesellschaft Operator-system für ein prozessleitsystem
WO2021033262A1 (ja) * 2019-08-20 2021-02-25 日本電信電話株式会社 ユーザクレデンシャル制御システムおよびユーザクレデンシャル制御方法
US11526928B2 (en) 2020-02-03 2022-12-13 Dell Products L.P. System and method for dynamically orchestrating application program interface trust
CN114697063A (zh) * 2020-12-30 2022-07-01 北京国双科技有限公司 一种安全认证方法、装置、电子设备及存储介质
KR102393403B1 (ko) * 2021-10-28 2022-04-29 차경운 소프트웨어 멀티 소유권 계정 관리 방법

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005006204A1 (ja) * 2003-07-11 2005-01-20 Nippon Telegraph And Telephone Corporation データベースアクセス制御方法、データベースアクセス制御装置、代理処理サーバ装置、データベースアクセス制御のためのプログラム、および該プログラムを記録した記録媒体
JP2006004314A (ja) * 2004-06-21 2006-01-05 Nec Corp 信用確立方法と信用に基づいたサービス制御システム
JP2006195844A (ja) * 2005-01-14 2006-07-27 Nippon Telegr & Teleph Corp <Ntt> 最少トランザクションによる電子権利譲渡管理方法および権利譲渡処理装置、権利譲受装置権利譲渡管理装置、並びにそのプログラム
JP2007028049A (ja) * 2005-07-14 2007-02-01 Fuji Xerox Co Ltd 証明書管理装置、方法及びプログラム
JP2007149010A (ja) * 2005-11-30 2007-06-14 Nec Corp 権限管理サーバ、権限管理システム、トークン検証方法、トークン検証プログラム
JP2007226470A (ja) * 2006-02-22 2007-09-06 Nec Corp 権限管理サーバ、権限管理方法、権限管理プログラム
JP2007233705A (ja) * 2006-03-01 2007-09-13 Nec Corp トークン譲渡方法、トークン譲渡システム及び権限認証許可サーバ

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001175540A (ja) * 1999-12-22 2001-06-29 Nec Corp アクセス権管理システム、携帯端末、ゲートウェイおよびコンテンツサーバ
JP2002063444A (ja) * 2000-08-23 2002-02-28 Nec Corp 匿名による個人間取引方法及びシステム
JP2002251573A (ja) 2001-02-21 2002-09-06 Outserv Co Ltd ユーザデータベースサーバ及びユーザ情報取得装置
US7770212B2 (en) * 2002-08-15 2010-08-03 Activcard System and method for privilege delegation and control
JP2006504176A (ja) * 2002-10-22 2006-02-02 コーニンクレッカ　フィリップス　エレクトロニクス　エヌ　ヴィ コンテンツ操作を許可する方法及び装置
JP4039632B2 (ja) * 2003-08-14 2008-01-30 インターナショナル・ビジネス・マシーンズ・コーポレーション 認証システム、サーバおよび認証方法並びにプログラム
JP2008511232A (ja) * 2004-08-24 2008-04-10 アクサルト・エス・アー 制御認証のためのパーソナルトークンおよび方法
WO2006081381A2 (en) * 2005-01-26 2006-08-03 Telcordia Technologies, Inc. System and method for authorized digital content distribution
US7770206B2 (en) 2005-03-11 2010-08-03 Microsoft Corporation Delegating right to access resource or the like in access management system
US7900247B2 (en) 2005-03-14 2011-03-01 Microsoft Corporation Trusted third party authentication for web services
CN101223489A (zh) * 2005-06-23 2008-07-16 汤姆森特许公司 允许数字版权管理的便携回放设备、方法和系统
US20070288319A1 (en) * 2005-07-25 2007-12-13 Robinson Timothy L System and method for transferring biometrically accessed redemption rights
US8024785B2 (en) * 2006-01-16 2011-09-20 International Business Machines Corporation Method and data processing system for intercepting communication between a client and a service
US9055040B2 (en) * 2006-02-03 2015-06-09 Qualcomm Incorporated Method and apparatus for content protection in wireless communications
US20070245414A1 (en) * 2006-04-14 2007-10-18 Microsoft Corporation Proxy Authentication and Indirect Certificate Chaining
US8325920B2 (en) * 2006-04-20 2012-12-04 Google Inc. Enabling transferable entitlements between networked devices
KR101086420B1 (ko) * 2006-12-22 2011-11-23 삼성전자주식회사 권리객체 복호방법과 장치 및 이를 이용한 콘텐츠공유방법과 장치
JP4826793B2 (ja) * 2007-02-14 2011-11-30 日本電気株式会社 利用権取引システム、トークン取引方法及びそのプログラム
US8321919B2 (en) * 2007-09-05 2012-11-27 Oracle International Corp. Framework for delegating roles in human resources ERP systems
US8386776B2 (en) * 2007-09-25 2013-02-26 Nec Corporation Certificate generating/distributing system, certificate generating/distributing method and certificate generating/distributing program

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005006204A1 (ja) * 2003-07-11 2005-01-20 Nippon Telegraph And Telephone Corporation データベースアクセス制御方法、データベースアクセス制御装置、代理処理サーバ装置、データベースアクセス制御のためのプログラム、および該プログラムを記録した記録媒体
JP2006004314A (ja) * 2004-06-21 2006-01-05 Nec Corp 信用確立方法と信用に基づいたサービス制御システム
JP2006195844A (ja) * 2005-01-14 2006-07-27 Nippon Telegr & Teleph Corp <Ntt> 最少トランザクションによる電子権利譲渡管理方法および権利譲渡処理装置、権利譲受装置権利譲渡管理装置、並びにそのプログラム
JP2007028049A (ja) * 2005-07-14 2007-02-01 Fuji Xerox Co Ltd 証明書管理装置、方法及びプログラム
JP2007149010A (ja) * 2005-11-30 2007-06-14 Nec Corp 権限管理サーバ、権限管理システム、トークン検証方法、トークン検証プログラム
JP2007226470A (ja) * 2006-02-22 2007-09-06 Nec Corp 権限管理サーバ、権限管理方法、権限管理プログラム
JP2007233705A (ja) * 2006-03-01 2007-09-13 Nec Corp トークン譲渡方法、トークン譲渡システム及び権限認証許可サーバ

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5678893B2 (ja) * 2009-12-07 2015-03-04 日本電気株式会社 属性情報連携提供システム、アクセス情報管理装置、アクセス情報代理管理装置、方法、およびプログラム
WO2011070726A1 (ja) * 2009-12-07 2011-06-16 日本電気株式会社 属性情報連携提供システム、アクセス情報管理装置、アクセス情報代理管理装置、方法、およびプログラム
JP2012008958A (ja) * 2010-06-28 2012-01-12 Canon Inc 権限委譲システム、権限委譲方法、情報処理装置、及びプログラム
JP2012093801A (ja) * 2010-10-22 2012-05-17 Canon Inc 権限委譲システム、権限委譲方法、認証装置、情報処理装置、制御方法、およびプログラム
US8875245B2 (en) 2010-10-22 2014-10-28 Canon Kabushiki Kaisha Authority delegating system, authority delegating method, authentication apparatus, information processing apparatus, control method, and computer-readable medium
JP2012098839A (ja) * 2010-10-29 2012-05-24 Toshiba Corp アクセス認可装置
JP2013041550A (ja) * 2011-08-19 2013-02-28 Canon Inc アクセス管理システム、アクセス管理方法、アクセス管理サーバ、連携サーバ、およびプログラム
JP2013073627A (ja) * 2011-09-26 2013-04-22 Teruten Inc Ｐｃアクセス制御方法、それを含むモジュール、サーバ、及びシステム
JP2014010486A (ja) * 2012-06-27 2014-01-20 Ntt Docomo Inc 情報処理装置及び認可情報管理方法
US9288213B2 (en) 2012-10-31 2016-03-15 Ricoh Company, Ltd. System and service providing apparatus
JP5724017B1 (ja) * 2014-05-29 2015-05-27 周 志偉Ｚｈｏｕ Ｚｈｉ Ｗｅｉ 複数コンピュータシステムの認証連携システム
JP2015225562A (ja) * 2014-05-29 2015-12-14 周 志偉Ｚｈｏｕ Ｚｈｉ Ｗｅｉ 複数コンピュータシステムの認証連携システム
JP2015228067A (ja) * 2014-05-30 2015-12-17 キヤノン株式会社 権限移譲システム、方法、認証サーバーシステム、およびそのプログラム
CN111416822A (zh) * 2020-03-20 2020-07-14 数篷科技(深圳)有限公司 访问控制的方法、电子设备和存储介质
CN111416822B (zh) * 2020-03-20 2022-10-18 数篷科技(深圳)有限公司 访问控制的方法、电子设备和存储介质

Also Published As

Publication number Publication date
US8544066B2 (en) 2013-09-24
US20140013410A1 (en) 2014-01-09
JP5423397B2 (ja) 2014-02-19
JPWO2009084601A1 (ja) 2011-05-19
US8935747B2 (en) 2015-01-13
US20100281522A1 (en) 2010-11-04

Similar Documents

Publication Publication Date Title
JP5423397B2 (ja) アクセス権限管理システム、アクセス権限管理方法及びアクセス権限管理用プログラム
US10810515B2 (en) Digital rights management (DRM)-enabled policy management for an identity provider in a federated environment
US10333941B2 (en) Secure identity federation for non-federated systems
US8196177B2 (en) Digital rights management (DRM)-enabled policy management for a service provider in a federated environment
JP5458888B2 (ja) 証明書生成配布システム、証明書生成配布方法およびプログラム
CN110995450B (zh) 基于Kubernetes的认证授权方法及系统
US8051491B1 (en) Controlling use of computing-related resources by multiple independent parties
KR101137269B1 (ko) 리소스의 위임을 수행하는 방법 및 시스템
US8806595B2 (en) System and method of securing sharing of resources which require consent of multiple resource owners using group URI&#39;s
US7873716B2 (en) Method and apparatus for supporting service enablers via service request composition
US8990896B2 (en) Extensible mechanism for securing objects using claims
US20140013409A1 (en) Single sign on for cloud
US20120036360A1 (en) System and method establishing trusted relationships to enable secure exchange of private information
CN115719265A (zh) 区块链实现的方法和系统
WO2013071087A1 (en) Single sign on for cloud
US20130144633A1 (en) Enforcement and assignment of usage rights
JP2003296281A (ja) アクセス制御方法及びシステム
Chai et al. BHE-AC: A blockchain-based high-efficiency access control framework for Internet of Things
Constandache et al. Policy based dynamic negotiation for grid services authorization
CN116707849A (zh) 针对飞地实例的云服务访问权限设置方法和云管理平台
Mbanaso et al. Obligations of trust for privacy and confidentiality in distributed transactions
Hatakeyama Federation proxy for cross domain identity federation
WO2023160632A1 (zh) 针对飞地实例的云服务访问权限设置方法和云管理平台
JP6053205B2 (ja) 情報流通システム、方法および処理プログラム
Lutz et al. Harmonizing service and network provisioning for federative access in a mobile environment

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08868749

Country of ref document: EP

Kind code of ref document: A1

DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 12735120

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2009548071

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 08868749

Country of ref document: EP

Kind code of ref document: A1