[go: up one dir, main page]

WO2016166856A1 - シングルサインオンシステムおよびシングルサインオン方法 - Google Patents

シングルサインオンシステムおよびシングルサインオン方法 Download PDF

Info

Publication number
WO2016166856A1
WO2016166856A1 PCT/JP2015/061628 JP2015061628W WO2016166856A1 WO 2016166856 A1 WO2016166856 A1 WO 2016166856A1 JP 2015061628 W JP2015061628 W JP 2015061628W WO 2016166856 A1 WO2016166856 A1 WO 2016166856A1
Authority
WO
WIPO (PCT)
Prior art keywords
application
user
redirect
information
single sign
Prior art date
Application number
PCT/JP2015/061628
Other languages
English (en)
French (fr)
Inventor
峰幸 田村
Original Assignee
株式会社日立システムズ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立システムズ filed Critical 株式会社日立システムズ
Priority to US15/563,618 priority Critical patent/US10476733B2/en
Priority to PCT/JP2015/061628 priority patent/WO2016166856A1/ja
Priority to JP2017512140A priority patent/JP6449993B2/ja
Publication of WO2016166856A1 publication Critical patent/WO2016166856A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/957—Browsing optimisation, e.g. caching or content distillation
    • G06F16/9574—Browsing optimisation, e.g. caching or content distillation of access to content, e.g. by caching
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/563—Data redirection of data network streams
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Definitions

  • the present invention relates to a technique effective when applied to a single sign-on system and a single sign-on method for realizing single sign-on in cooperation of a plurality of Web sites.
  • single sign-on (“single sign-in”, “single log-on”, “single log-in”, etc. may be referred to as “single sign-in” or the like) that enables authentication using a single user ID at each Web site.
  • SSO Single Sign-On
  • JP2013-152757A (Patent Document 1) associates user IDs of a plurality of systems using inter-system user ID mapping.
  • Patent Document 1 associates user IDs of a plurality of systems using inter-system user ID mapping.
  • the first system acquires user ID information related to the first system, and acquires ID information related to the second system from the ID information of the user according to the inter-system user ID mapping table.
  • the second system automatically allows logon when user authentication is successful.
  • an object of the present invention is to enable access to a cooperation destination website using the user ID of the cooperation source website even when the user ID of the target user is not held and managed on the cooperation destination website.
  • a single sign-on system includes a first Web server having a first application and a second Web server having a second application, and the first application In response to an access request to the second application from a user who is logged in using a Web browser of the information processing terminal, the second application is logged by the user ID logged in the first application.
  • This is a single sign-on system for logging in to the system and has the following characteristics.
  • the second Web server further accepts a login interface for single sign-on login to the second application and a third browser that accepts access from the Web application by redirection from the first application. Application.
  • the login interface of the second Web server is based on the user information including the user ID.
  • the login interface receives a call from the first application, the login interface records information on the user including the user ID as redirect information, and a redirect token for identifying the redirect information.
  • a response is generated and added to the URL for accessing the third application.
  • the first application redirects access from the Web browser to the third application based on the URL responded to the login interface call, and the third application
  • the redirect information identified by the redirect token included in the URL is recorded in the second web server with respect to the redirect related access from the web browser, the redirect information is included in the redirect information.
  • a login cookie related to the second application is generated based on the user ID, and access from the Web browser is redirected to the second application.
  • the security information is obtained using the user ID of the cooperation source website. It is possible to access the Web site of the cooperation destination while ensuring the above.
  • FIG. 1 is a diagram showing an outline of a configuration example of a single sign-on system according to an embodiment of the present invention.
  • the single sign-on system 1 includes, for example, a user terminal 40, which is an information processing terminal used by a user with a cooperation source web server 10 and a cooperation destination web server 20 connected to a network 30 such as the Internet. Are connected via the network 30.
  • the user accesses a website provided by the collaboration source web server 10 and the collaboration destination web server 20 using a web browser (not shown) on the user terminal 40.
  • the cooperation source Web server 10 and the cooperation destination Web server 20 are each implemented by a virtual server built on a server device or a cloud computing service, and are not shown an OS (Operating System), a DBMS (DataBase Management System), or a Web server.
  • a website is composed of middleware such as programs, and software and applications that run on these middleware.
  • the collaboration source web server 10 is a server system that constitutes a website (cooperation source website) that is originally used by the user, and a collaboration source application 11 that is a web application that implements a service provided by the collaboration source website. Is in operation.
  • an authentication processing unit 12 and a user management database (DB) 13 that perform user authentication processing for a user to access a cooperation source website and use a service are provided.
  • a part or all of the authentication function by the authentication processing unit 12 and the user management DB 13 may be implemented by an authentication server (not shown) separate from the cooperation source Web server 10.
  • a method of user authentication processing by the authentication processing unit 12 is not particularly limited, and a known technique such as a method using a user ID / password can be appropriately used.
  • the cooperation destination web server 20 is a server system that constitutes a website (cooperation destination website) that is used by a user who uses the cooperation source website moving or cooperating from there.
  • a cooperation destination application 21 that is a Web application that implements a service provided by the site is running.
  • the user may have an authentication function (not shown) for performing user authentication processing for accessing the cooperation destination Web site and using the service.
  • each of the cooperation source website and the cooperation destination website is a shared website that provides services to a plurality of users, for example, as SaaS (Software as a ⁇ ⁇ ⁇ Service), but is not limited thereto. Absent.
  • the cooperation destination Web server 20 of the present embodiment includes a guidance application 22, a login interface 23, and a database of application authentication information DB 24 and redirect information DB 25.
  • the guidance application 22 displays the navigation page that is automatically guided first, and accesses the navigation page.
  • This is a Web application having a function of determining whether or not the cooperation destination website can be used (that is, login to the cooperation destination website).
  • the login interface 23 has an interface function for receiving a request when logging in to the cooperation destination website from the cooperation source website by SSO.
  • it is implemented in the form of a login API (Application Programming Interface), and the cooperation source application 11 can perform login by SSO by calling the API.
  • the login interface 23 performs authentication at the application level for the cooperation source application 11 that called the login API.
  • the authentication is OK, the login interface 23 creates and responds to redirect information for the target user as described later. Thereby, the access to the cooperation source website from the user terminal 40 is redirected to the navigation page of the cooperation destination website.
  • the application authentication information DB 24 is a database that holds authentication information when the login interface 23 performs application authentication for the cooperation source application 11.
  • the authentication information is registered in advance in the application authentication information DB 24 based on, for example, an application from each cooperation source website that permits access by an operation manager of the cooperation destination website.
  • the contents of the authentication information held in the application authentication information DB 24 can vary depending on the application authentication technique.
  • the application authentication method is not particularly limited, and can be appropriately designed according to the system environment and the like. For example, by issuing an ID and a password for each cooperation source application 11 and holding them in the application authentication information DB 24 as authentication information, application authentication using the ID and password may be performed.
  • the value of the allowable range of the IP address of the cooperation source Web server 10 on which the cooperation source application 11 that called the login API is operating is held as authentication information in the application authentication information DB 24, and depends on the location of the cooperation source Web server 10 and the location network.
  • Application authentication may be performed.
  • the redirect information DB 25 is a redirect created by the login interface 23 individually for the user of the cooperation source website based on the parameters when the login API is called by the cooperation source application 11, the passed data, and the like. It is a database that holds information. With this redirect information, access to the collaboration source website from the user terminal 40 is redirected to the navigation page of the collaboration destination website, and the content of the access and the content of the redirect information DB 25 are collated by the guidance application 22. Then, the determination of SSO is performed.
  • FIG. 2 is a diagram showing an overview of an example of the flow of SSO processing according to the present embodiment.
  • the cooperation destination application 21 of the cooperation destination web server 20 from the state where the cooperation source application 11 (cooperation source website) of the cooperation source web server 10 is logged in and accessed by a web browser (not shown) on the user terminal 40.
  • the flow of processing when an access request to the (cooperation destination website) is made and login to the cooperation destination application 21 (cooperation destination website) by SSO is shown. It is assumed that authentication information about the cooperation source application 11 is registered in advance in the application authentication information DB 24 of the cooperation destination Web server 20.
  • the user instructs the cooperation source application 11 accessing from the user terminal 40 to access the cooperation destination Web application 21 (arrow “1” in the figure).
  • the user gives an instruction by clicking a hyperlink to the cooperation destination website on the screen displayed on the web browser on the user terminal 40 by the cooperation source application 11.
  • the cooperation source application 11 calls the login interface 23 (login API) of the cooperation destination web server 20 and requests redirection information in order to log in to the cooperation destination website by SSO ("2" in the figure). Arrow).
  • the login interface 23 performs application authentication of the cooperation source application 11 based on information such as parameters when the login API is called and authentication information registered in the application authentication information DB 24 (“3-” in the figure). 1 "arrow).
  • the application authentication can be performed using, for example, an ID and a password assigned to each cooperation source application 11.
  • the authentication of the cooperation source application 11 may be performed each time a login request related to SSO for each user is performed, or may be performed only once at the beginning, or may be performed periodically whenever a predetermined time elapses. If application authentication fails, an error is returned.
  • redirect information DB 25 when the application authentication is successful, predetermined information such as a user ID, a user name, and a role for identifying the target user is stored as redirect information in the redirect information DB 25 (arrow “3-2” in the figure). .
  • a redirect token is generated and set as key information for identifying the target redirect information on the redirect information DB 25.
  • the redirect token is, for example, an identifier (32 characters) such as UUID (Universally Unique Identifier) or GUID (Globally Unique Identifier) generated to identify redirect information data, and SHA (Secure Hash Algorithm) from the data. It consists of a character string composed of a hash value (for example, 128 characters) calculated by the hash function.
  • the redirect information stored in the redirect information DB 25 is provided with a valid period of a predetermined time (for example, a short time such as 2 minutes). For example, when storing data in the redirect information DB 25, the time stamp at that time is also recorded, and data whose validity period has passed is treated as invalid when read, or periodically checked and deleted. Process such as. By making the redirect information valid only for a short time, it is possible to prevent security by logging in by unauthorized SSO, as will be described later.
  • a valid period of a predetermined time for example, a short time such as 2 minutes.
  • the login interface 23 After storing the redirect information in the redirect information DB 25, the login interface 23 responds to the link source application 11 with the information of the redirect destination URL (Uniform Resource Locator) (arrow "3-3" in the figure).
  • This URL is a URL for displaying a navigation page provided by the guidance application 22, and further includes a character string of a redirect token as an argument.
  • the cooperation source application 11 designates the acquired URL (and redirect token), and causes the Web browser of the user terminal 40 to redirect to the navigation page provided by the guidance application 22 (“4-1” in the figure). And “4-2” arrow).
  • the guidance application 22 that has received access from the user terminal 40 by redirection searches the redirection information DB 25 using the redirection token acquired as an argument as a key, and determines whether or not the corresponding redirection information is stored (in the figure). “5-1” arrow). If the redirect information cannot be acquired, it is determined that there is a possibility of unauthorized login, and an error is returned to the user terminal 40. As described above, the redirect information is valid only for a short time. However, in the case of access based on the normal flow described above, the navigation page can be accessed within a sufficiently valid period. However, for example, it is difficult for a third party to steal the generated redirect information or the like and perform unauthorized access based on the stealing information in a short time as described above.
  • the redirect information can be acquired, based on the content, that is, the user ID, the user name, the role, and the like, a login cookie related to the cooperation destination website is generated, the cookie is designated, and the user terminal Forty Web browsers are redirected to the cooperation destination Web site provided by the cooperation destination application 21 (arrows “5-2” and “5-3” in the figure). As a result, the cooperation destination website is displayed on the web browser of the user terminal 40 (arrow “6” in the figure).
  • the login cookie invalidates the login cookie if, for example, a predetermined time (for example, 15 minutes) has passed since the previous access in order to ensure security against unauthorized access or the like. Thereby, for example, when the state of no operation on the user terminal 40 continues for 15 minutes or more, it can be executed again from the login at the next operation.
  • the login cookie is invalidated if a predetermined time (for example, 12 hours) or more has passed since generation. Thereby, for example, when 12 hours or more have elapsed since the login, it can be executed again from the login at the next operation.
  • the cooperation destination website when the application authentication is performed between the web site and the cooperation source website, the user ID logged in at the cooperation source website can be used to access the cooperation destination website. That is, SSO can be realized without the need for mapping or associating user IDs between the cooperation source website and the cooperation destination website.
  • the present invention made by the present inventor has been specifically described based on the embodiments.
  • the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the scope of the invention. Needless to say.
  • the above-described embodiment has been described in detail for easy understanding of the present invention, and is not necessarily limited to the one having all the configurations described.
  • the present invention can be used for a single sign-on system and a single sign-on method for realizing single sign-on in cooperation with a plurality of Web sites.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Mining & Analysis (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

連携先のＷｅｂサイトで対象のユーザのユーザＩＤが保持されていない場合でも、連携元のＷｅｂサイトのユーザＩＤを用いてアクセスを可能とする。代表的な実施の形態によれば、連携元アプリケーションは、ユーザＩＤを含む情報に基づいて連携先ＷｅｂサーバのログインＡＰＩを呼び出し、ログインＡＰＩは、ユーザＩＤを含む情報をリダイレクト情報として記録し、リダイレクトトークンを生成して、誘導アプリケーションのＵＲＬに付加して応答する。連携元アプリケーションは、応答されたＵＲＬに基づいて、アクセスを誘導アプリケーションにリダイレクトさせ、誘導アプリケーションは、ＵＲＬに含まれるリダイレクトトークンにより識別されるリダイレクト情報が記録されている場合に、含まれるユーザＩＤに基づいてログインクッキーを生成し、アクセスを連携先アプリケーションに対してリダイレクトさせる。

Description

シングルサインオンシステムおよびシングルサインオン方法
　本発明は、複数のＷｅｂサイトの連携においてシングルサインオンを実現するシングルサインオンシステムおよびシングルサインオン方法に適用して有効な技術に関するものである。
　昨今では複数のＷｅｂサイトやシステム、サービスの間で連携してサービスを提供したり、シームレスなアクセスを実現したりすることが行われる。その際に各Ｗｅｂサイト等において１つのユーザＩＤを用いて認証を行えるようにするいわゆるシングルサインオン（“シングルサインイン”、“シングルログオン”、“シングルログイン”などと呼称される場合があるが、以下ではこれらを総称して「ＳＳＯ」（Single Sign-On）と記載する場合がある）の仕組みがとられる場合がある。
　ＳＳＯに係る技術としては種々のものが提案されているが、例えば、特開２０１３－１５２７５７号公報（特許文献１）には、システム間ユーザＩＤマッピングを使用して複数のシステムのユーザＩＤを関連付けることでシステム間のＳＳＯを実現する技術が記載されている。ここでは、第１のシステムは、第１のシステムに関するユーザのＩＤ情報を取得し、システム間ユーザＩＤマッピングテーブルに従い、当該ユーザのＩＤ情報から第２のシステムに関するＩＤ情報を取得して第２のシステムに送信する。第２のシステムは、ユーザ認証に成功すると自動的にログオンを許可する。
特開２０１３－１５２７５７号公報
　特許文献１なども含む従来技術では、連携するＷｅｂサイトのそれぞれで保持、管理されているユーザＩＤをマッピングして関連付けることで、一方のＷｅｂサイトのユーザＩＤから連携先の他方のＷｅｂサイトのユーザＩＤを抽出し、これを用いて自動的にログインするという仕組みがとられている。
　しかしながら、このような仕組みでは、例えば、あるＷｅｂサイトに対して連携を希望するＷｅｂサイトが生じる毎に、当該Ｗｅｂサイトとの間でユーザＩＤのマッピングを行うことが必要となり、非常に煩雑である。マッピングを行った後も、ユーザＩＤに追加・変更がある毎にマッピング情報のメンテナンスを行う必要があり、保守性も低下してしまう。また、そもそも連携先のＷｅｂサイトにユーザＩＤを有していない場合にはログインすることもできず、柔軟性にも欠ける面がある。
　そこで本発明の目的は、連携先のＷｅｂサイトで対象のユーザのユーザＩＤが保持、管理されていない場合でも、連携元のＷｅｂサイトのユーザＩＤを用いて連携先のＷｅｂサイトに対するアクセスを可能とするシングルサインオンシステムおよびシングルサインオン方法を提供することにある。
　本発明の前記ならびにその他の目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。
　本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、以下のとおりである。
　本発明の代表的な実施の形態によるシングルサインオンシステムは、第１のアプリケーションを有する第１のＷｅｂサーバと、第２のアプリケーションを有する第２のＷｅｂサーバとを有し、前記第１のアプリケーションに対して情報処理端末のＷｅｂブラウザを利用してログインしているユーザからの前記第２のアプリケーションに対するアクセス要求に対して、前記第１のアプリケーションでログインしているユーザＩＤによって前記第２のアプリケーションにログインさせるシングルサインオンシステムであって、以下の特徴を有するものである。
　すなわち、前記第２のＷｅｂサーバは、さらに、前記第２のアプリケーションに対するシングルサインオンによるログインを行うためのログインインタフェースと、前記Ｗｅｂブラウザから、前記第１のアプリケーションからのリダイレクトによるアクセスを受け付ける第３のアプリケーションと、を有する。
　また、前記第１のアプリケーションは、前記ユーザからの前記第２のアプリケーションに対する前記アクセス要求を受けた場合に、前記ユーザＩＤを含む前記ユーザの情報に基づいて前記第２のＷｅｂサーバの前記ログインインタフェースを呼び出し、前記ログインインタフェースは、前記第１のアプリケーションからの呼び出しを受けた場合に、前記ユーザＩＤを含む前記ユーザに係る情報をリダイレクト情報として記録し、前記リダイレクト情報を識別するためのリダイレクトトークンを生成して、前記第３のアプリケーションにアクセスするためのＵＲＬに付加して応答する。
　また、前記第１のアプリケーションは、前記ログインインタフェースの呼び出しに対して応答された前記ＵＲＬに基づいて、前記Ｗｅｂブラウザからのアクセスを前記第３のアプリケーションに対してリダイレクトさせ、前記第３のアプリケーションは、前記Ｗｅｂブラウザからのリダイレクトに係るアクセスに対して、前記ＵＲＬに含まれる前記リダイレクトトークンにより識別される前記リダイレクト情報が前記第２のＷｅｂサーバに記録されている場合に、前記リダイレクト情報に含まれる前記ユーザＩＤに基づいて前記第２のアプリケーションに係るログインクッキーを生成し、前記Ｗｅｂブラウザからのアクセスを前記第２のアプリケーションに対してリダイレクトさせる。
　本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。
　すなわち、本発明の代表的な実施の形態によれば、連携先のＷｅｂサイトで対象のユーザのユーザＩＤが保持、管理されていない場合でも、連携元のＷｅｂサイトのユーザＩＤを用いて、セキュリティを確保しつつ連携先のＷｅｂサイトに対してアクセスすることが可能となる。
本発明の一実施の形態であるシングルサインオンシステムの構成例について概要を示した図である。 本発明の一実施の形態におけるＳＳＯの処理の流れの例について概要を示した図である。
　以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一の符号を付し、その繰り返しの説明は省略する。
　＜システム構成＞
　図１は、本発明の一実施の形態であるシングルサインオンシステムの構成例について概要を示した図である。シングルサインオンシステム１は、例えば、連携元Ｗｅｂサーバ１０と連携先Ｗｅｂサーバ２０がインターネット等のネットワーク３０に対して接続され、これらのサーバに対してユーザが使用する情報処理端末であるユーザ端末４０がネットワーク３０を介して接続される構成を有している。ユーザは、ユーザ端末４０上の図示しないＷｅｂブラウザを利用して連携元Ｗｅｂサーバ１０および連携先Ｗｅｂサーバ２０が提供するＷｅｂサイトにアクセスする。
　連携元Ｗｅｂサーバ１０および連携先Ｗｅｂサーバ２０は、それぞれ、サーバ機器やクラウドコンピューティングサービス上に構築された仮想サーバにより実装され、図示しないＯＳ（Operating System）やＤＢＭＳ（DataBase Management System）、Ｗｅｂサーバプログラムなどのミドルウェア、およびこれらのミドルウェア上で稼働するソフトウェアやアプリケーションによってＷｅｂサイトを構成している。
　連携元Ｗｅｂサーバ１０上は、ユーザが元々利用しているＷｅｂサイト（連携元Ｗｅｂサイト）を構成するサーバシステムであり、連携元Ｗｅｂサイトが提供するサービスを実装するＷｅｂアプリケーションである連携元アプリケーション１１が稼働している。また、ユーザが連携元Ｗｅｂサイトにアクセスしてサービスを利用するためのユーザ認証処理を行う認証処理部１２およびユーザ管理データベース（ＤＢ）１３を有している。認証処理部１２およびユーザ管理ＤＢ１３による認証機能は、その一部もしくは全部を連携元Ｗｅｂサーバ１０とは別の図示しない認証サーバなどによって実装していてもよい。認証処理部１２によるユーザ認証処理の手法は特に限定されず、ユーザＩＤ／パスワードによるものなど、公知の技術を適宜利用することができる。
　連携先Ｗｅｂサーバ２０は、連携元Ｗｅｂサイトを利用しているユーザが、そこから移動したり連携したりして利用するＷｅｂサイト（連携先Ｗｅｂサイト）を構成するサーバシステムであり、連携先Ｗｅｂサイトが提供するサービスを実装するＷｅｂアプリケーションである連携先アプリケーション２１が稼働している。連携元Ｗｅｂサーバ１０と同様に、ユーザが連携先Ｗｅｂサイトにアクセスしてサービスを利用するためのユーザ認証処理を行う認証機能（図示しない）を有していてもよい。
　連携元Ｗｅｂサイトと連携先Ｗｅｂサイトは、それぞれ、例えば、ＳａａＳ（Software as a Service）として複数のユーザに対してサービスを提供する共有Ｗｅｂサイトであるのが典型的であるが、これに限られない。
　本実施の形態では、連携元Ｗｅｂサイトにユーザ認証を経てアクセスしているユーザが、連携先ＷｅｂサイトにアクセスするためのＳＳＯの機能として、従来技術のように、連携元ＷｅｂサイトにおけるユーザＩＤと連携先ＷｅｂサイトにおけるユーザＩＤとのマッピングを要さずに、連携元ＷｅｂサイトのユーザＩＤを用いて連携先Ｗｅｂサイトに自動的にログインすることを可能とする。このようなＳＳＯを実現するため、本実施の形態の連携先Ｗｅｂサーバ２０は、誘導アプリケーション２２、ログインインタフェース２３、およびアプリケーション認証情報ＤＢ２４とリダイレクト情報ＤＢ２５のデータベースを有している。
　誘導アプリケーション２２は、後述するように、ユーザが連携元Ｗｅｂサイトから連携先Ｗｅｂサイトにアクセスしようとした際に、最初に自動的に誘導されるナビゲートページを表示し、ナビゲートページへのアクセスに対して連携先Ｗｅｂサイトの利用可否（すなわち連携先Ｗｅｂサイトへのログイン）を判定する機能を有するＷｅｂアプリケーションである。
　ログインインタフェース２３は、連携元Ｗｅｂサイトから連携先Ｗｅｂサイトに対してＳＳＯによりログインする際のリクエストを受け付けるためのインタフェースの機能を有する。例えば、ログインＡＰＩ（Application Programming Interface）の形で実装され、連携元アプリケーション１１は、当該ＡＰＩを呼び出すことでＳＳＯによるログインを行うことができる。ログインインタフェース２３は、ログインＡＰＩを呼び出した連携元アプリケーション１１についてアプリケーションレベルでの認証を行い、認証がＯＫの場合に、後述するように、対象ユーザについてのリダイレクト情報を作成して応答する。これにより、ユーザ端末４０からの連携元Ｗｅｂサイトへのアクセスを連携先Ｗｅｂサイトのナビゲートページにリダイレクトさせる。
　アプリケーション認証情報ＤＢ２４は、ログインインタフェース２３が連携元アプリケーション１１についてアプリケーション認証を行う際の認証情報を保持するデータベースである。当該認証情報は、例えば、連携先Ｗｅｂサイトの運用管理者等が、アクセスを許可する各連携元Ｗｅｂサイトからの申請等に基づいて予めアプリケーション認証情報ＤＢ２４に登録しておく。アプリケーション認証情報ＤＢ２４で保持する認証情報の内容は、アプリケーション認証の手法に応じて変わり得る。
　アプリケーション認証の手法は特に限定されず、システム環境等に応じて適宜設計することができる。例えば、連携元アプリケーション１１毎にＩＤとパスワードを発行し、これらを認証情報としてアプリケーション認証情報ＤＢ２４に保持しておくことで、ＩＤとパスワードによるアプリケーション認証を行ってもよい。ログインＡＰＩを呼び出した連携元アプリケーション１１が稼働する連携元Ｗｅｂサーバ１０のＩＰアドレスの許容範囲の値を認証情報としてアプリケーション認証情報ＤＢ２４に保持しておき、連携元Ｗｅｂサーバ１０のロケーションや所在ネットワークによりアプリケーション認証を行ってもよい。
　リダイレクト情報ＤＢ２５は、連携元アプリケーション１１によりログインＡＰＩが呼び出された際のパラメータや受け渡されたデータ等に基づいて、ログインインタフェース２３が、連携元Ｗｅｂサイトの利用ユーザに対して個別に作成したリダイレクト情報を保持しておくデータベースである。このリダイレクト情報により、ユーザ端末４０からの連携元Ｗｅｂサイトへのアクセスは連携先Ｗｅｂサイトのナビゲートページにリダイレクトされるとともに、誘導アプリケーション２２により、当該アクセスの内容とリダイレクト情報ＤＢ２５の内容とが照合されてＳＳＯの判定が行われる。
　＜ＳＳＯの処理の流れ＞
　図２は、本実施の形態のＳＳＯの処理の流れの例について概要を示した図である。ここでは、ユーザ端末４０上の図示しないＷｅｂブラウザによって連携元Ｗｅｂサーバ１０の連携元アプリケーション１１（連携元Ｗｅｂサイト）にログインしてアクセスしている状態から、連携先Ｗｅｂサーバ２０の連携先アプリケーション２１（連携先Ｗｅｂサイト）へのアクセス要求がされ、ＳＳＯにより連携先アプリケーション２１（連携先Ｗｅｂサイト）にログインする場合の処理の流れを示している。なお、連携先Ｗｅｂサーバ２０のアプリケーション認証情報ＤＢ２４には、連携元アプリケーション１１についての認証情報は予め登録されているものとする。
　まず、ユーザは、ユーザ端末４０からアクセスしている連携元アプリケーション１１に対して、連携先Ｗｅｂアプリケーション２１へのアクセスを指示する（図中の「１」の矢印）。具体的には、ユーザは例えば、連携元アプリケーション１１によってユーザ端末４０上のＷｅｂブラウザに表示されている画面上で、連携先Ｗｅｂサイトへのハイパーリンクをクリック等により指示する。指示を受けた連携元アプリケーション１１は、ＳＳＯにより連携先Ｗｅｂサイトにログインするため、連携先Ｗｅｂサーバ２０のログインインタフェース２３（ログインＡＰＩ）を呼び出し、リダイレクト情報を要求する（図中の「２」の矢印）。
　ログインインタフェース２３は、ログインＡＰＩが呼び出された際のパラメータ等の情報と、アプリケーション認証情報ＤＢ２４に登録された認証情報とに基づいて、連携元アプリケーション１１のアプリケーション認証を行う（図中の「３－１」の矢印）。アプリケーション認証は、上述したように、例えば、連携元アプリケーション１１毎に割り当てられたＩＤとパスワード等により行うことができる。連携元アプリケーション１１の認証は、各ユーザについてのＳＳＯに係るログイン要求の都度行ってもよいし、最初に一度だけ行ったり、所定の時間が経過する毎に定期的に行ったりしてもよい。アプリケーション認証が失敗した場合はエラーを応答する。
　一方、アプリケーション認証が成功した場合は、対象のユーザを識別するユーザＩＤやユーザ名、ロールなどの所定の情報をリダイレクト情報としてリダイレクト情報ＤＢ２５に格納する（図中の「３－２」の矢印）。このとき、対象のリダイレクト情報をリダイレクト情報ＤＢ２５上で識別するためのキー情報としてリダイレクトトークンを生成して設定する。リダイレクトトークンは、例えば、リダイレクト情報のデータを識別するために生成されたＵＵＩＤ（Universally Unique Identifier）もしくはＧＵＩＤ（Globally Unique Identifier）などの識別子（３２文字）と、当該データからＳＨＡ（Secure Hash Algorithm）などのハッシュ関数により算出されたハッシュ値（例えば１２８文字）とにより構成される文字列からなる。
　なお、リダイレクト情報ＤＢ２５に格納されたリダイレクト情報には所定の時間（例えば２分間などの短時間）の有効期間を設ける。例えば、リダイレクト情報ＤＢ２５にデータを格納する際にその時点のタイムスタンプを併せて記録しておき、有効期間を経過したデータについては読み込みの際に無効と取り扱う、もしくは定期的にチェックして削除するなどの処理を行う。リダイレクト情報を短時間のみ有効とすることで、後述するように不正なＳＳＯによるログインを防止してセキュリティを確保することができる。
　リダイレクト情報ＤＢ２５にリダイレクト情報を格納した後、ログインインタフェース２３は、リダイレクト先のＵＲＬ（Uniform Resource Locator）の情報を連携元アプリケーション１１に対して応答する（図中の「３－３」の矢印）。このＵＲＬは、誘導アプリケーション２２が提供するナビゲートページを表示するためのＵＲＬであり、さらに、リダイレクトトークンの文字列が引数として含まれる。
　連携元アプリケーション１１は、取得したＵＲＬ（およびリダイレクトトークン）を指定して、ユーザ端末４０のＷｅｂブラウザに対して、誘導アプリケーション２２が提供するナビゲートページへリダイレクトさせる（図中の「４－１」および「４－２」の矢印）。
　リダイレクトによるユーザ端末４０からのアクセスを受けた誘導アプリケーション２２では、引数として取得したリダイレクトトークンをキーとしてリダイレクト情報ＤＢ２５を検索し、該当するリダイレクト情報が格納されているか否かを判定する（図中の「５－１」の矢印）。リダイレクト情報が取得できなかった場合は、不正なログインの可能性があると判断してユーザ端末４０に対してエラーを応答する。上述したように、リダイレクト情報は短時間のみ有効であるが、上述した正常な流れによるアクセスの場合には十分有効期間内にナビゲートページにアクセスすることができる。しかしながら、例えば、生成されたリダイレクト情報等を第三者が窃取して、これに基づいて不正なアクセスを行うというようなことは、上記のような短時間では困難である。
　一方、リダイレクト情報が取得できた場合は、その内容、すなわちユーザＩＤやユーザ名、ロール等の情報に基づいて、連携先Ｗｅｂサイトに係るログインクッキーを生成し、当該クッキーを指定して、ユーザ端末４０のＷｅｂブラウザに対して、連携先アプリケーション２１が提供する連携先Ｗｅｂサイトへリダイレクトさせる（図中の「５－２」および「５－３」の矢印）。これにより、ユーザ端末４０のＷｅｂブラウザには連携先Ｗｅｂサイトが表示される（図中の「６」の矢印）。
　なお、ログインクッキーは、不正アクセス等に対するセキュリティを確保するため、例えば、前回のアクセスから所定の時間（例えば、１５分）以上経過している場合は、連携先アプリケーション２１がこれを無効とする。これにより、例えば、ユーザ端末４０上で無操作の状態が１５分以上続いた場合は、次回操作時に再度ログインから実行させることができる。また、アクセスや操作の有無に関わらず、ログインクッキーは生成から所定の時間（例えば、１２時間）以上経過している場合は無効とする。これにより、例えば、ログインから１２時間以上経過した場合は、次回操作時に再度ログインから実行させることができる。
　以上に説明したように、本発明の一実施の形態であるシングルサインオンシステム１によれば、連携先Ｗｅｂサイトで対象のユーザのユーザＩＤが保持、管理されていない場合でも、連携先Ｗｅｂサイトと連携元Ｗｅｂサイトとの間でのアプリケーション認証がされている場合に、連携元ＷｅｂサイトでログインしているユーザＩＤを用いて、連携先Ｗｅｂサイトに対するアクセスを可能とする。すなわち、連携元Ｗｅｂサイトと連携先Ｗｅｂサイトとの間でユーザＩＤのマッピングや関連付けを行うことを要さずにＳＳＯを実現することができる。
　以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は上記の実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、上記の実施の形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、上記の実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
　本発明は、複数のＷｅｂサイトの連携においてシングルサインオンを実現するシングルサインオンシステムおよびシングルサインオン方法に利用可能である。
１…シングルサインオンシステム、
１０…連携元Ｗｅｂサーバ、１１…連携元アプリケーション、１２…認証処理部、１３…ユーザ管理ＤＢ１３、
２０…連携先Ｗｅｂサーバ、２１…連携先アプリケーション、２２…誘導アプリケーション、２３…ログインインタフェース、２４…アプリケーション認証情報ＤＢ、２５…リダイレクト情報ＤＢ２５、
３０…ネットワーク、
４０…ユーザ端末

Claims (6)

  1. 　第１のアプリケーションを有する第１のＷｅｂサーバと、第２のアプリケーションを有する第２のＷｅｂサーバとを有し、前記第１のアプリケーションに対して情報処理端末のＷｅｂブラウザを利用してログインしているユーザからの前記第２のアプリケーションに対するアクセス要求に対して、前記第１のアプリケーションでログインしているユーザＩＤによって前記第２のアプリケーションにログインさせるシングルサインオンシステムであって、
    　前記第２のＷｅｂサーバは、さらに、
    　前記第２のアプリケーションに対するシングルサインオンによるログインを行うためのログインインタフェースと、
    　前記Ｗｅｂブラウザから、前記第１のアプリケーションからのリダイレクトによるアクセスを受け付ける第３のアプリケーションと、を有し、
    　前記第１のアプリケーションは、前記ユーザからの前記第２のアプリケーションに対する前記アクセス要求を受けた場合に、前記ユーザＩＤを含む前記ユーザの情報に基づいて前記第２のＷｅｂサーバの前記ログインインタフェースを呼び出し、
    　前記ログインインタフェースは、前記第１のアプリケーションからの呼び出しを受けた場合に、前記ユーザＩＤを含む前記ユーザに係る情報をリダイレクト情報として記録し、前記リダイレクト情報を識別するためのリダイレクトトークンを生成して、前記第３のアプリケーションにアクセスするためのＵＲＬに付加して応答し、
    　前記第１のアプリケーションは、前記ログインインタフェースの呼び出しに対して応答された前記ＵＲＬに基づいて、前記Ｗｅｂブラウザからのアクセスを前記第３のアプリケーションに対してリダイレクトさせ、
    　前記第３のアプリケーションは、前記Ｗｅｂブラウザからのリダイレクトに係るアクセスに対して、前記ＵＲＬに含まれる前記リダイレクトトークンにより識別される前記リダイレクト情報が前記第２のＷｅｂサーバに記録されている場合に、前記リダイレクト情報に含まれる前記ユーザＩＤに基づいて前記第２のアプリケーションに係るログインクッキーを生成し、前記Ｗｅｂブラウザからのアクセスを前記第２のアプリケーションに対してリダイレクトさせる、シングルサインオンシステム。
  2. 　請求項１に記載のシングルサインオンシステムにおいて、
    　前記第２のＷｅｂサーバにおいて前記ログインインタフェースにより記録された前記リダイレクト情報は、所定の期間のみ有効である、シングルサインオンシステム。
  3. 　請求項１に記載のシングルサインオンシステムにおいて、
    　前記ログインインタフェースにより生成される前記リダイレクトトークンは、前記リダイレクト情報に対して割り当てられた識別情報と、前記リダイレクト情報に基づいて算出されたハッシュ値と、からなる、シングルサインオンシステム。
  4. 　請求項１に記載のシングルサインオンシステムにおいて、
    　前記第２のアプリケーションは、前記ユーザからの前記第２のアプリケーションに対するアクセスが所定の期間以上ない場合に前記ログインクッキーを無効とする、シングルサインオンシステム。
  5. 　請求項１に記載のシングルサインオンシステムにおいて、
    　前記第２のアプリケーションは、前記第３のアプリケーションにより前記ログインクッキーが生成されてから所定の期間が経過した場合に前記ログインクッキーを無効とする、シングルサインオンシステム。
  6. 　第１のアプリケーションを有する第１のＷｅｂサーバと、第２のアプリケーションを有する第２のＷｅｂサーバとを有する情報処理システムにおいて、前記第１のアプリケーションに対して情報処理端末のＷｅｂブラウザを利用してログインしているユーザからの前記第２のアプリケーションに対するアクセス要求に対して、前記第１のアプリケーションでログインしているユーザＩＤによって前記第２のアプリケーションにログインさせるシングルサインオン方法であって、
    　前記第２のＷｅｂサーバは、さらに、
    　前記第２のアプリケーションに対するシングルサインオンによるログインを行うためのログインインタフェースと、
    　前記Ｗｅｂブラウザから、前記第１のアプリケーションからのリダイレクトによるアクセスを受け付ける第３のアプリケーションと、を有し、
    　前記第１のアプリケーションが、前記ユーザからの前記第２のアプリケーションに対する前記アクセス要求を受けた場合に、前記ユーザＩＤを含む前記ユーザの情報に基づいて前記第２のＷｅｂサーバの前記ログインインタフェースを呼び出すステップと、
    　前記ログインインタフェースが、前記第１のアプリケーションからの呼び出しを受けた場合に、前記ユーザＩＤを含む前記ユーザに係る情報をリダイレクト情報として記録し、前記リダイレクト情報を識別するためのリダイレクトトークンを生成して、前記第３のアプリケーションにアクセスするためのＵＲＬに付加して応答するステップと、
    　前記第１のアプリケーションが、前記ログインインタフェースの呼び出しに対して応答された前記ＵＲＬに基づいて、前記Ｗｅｂブラウザからのアクセスを前記第３のアプリケーションに対してリダイレクトさせるステップと、
    　前記第３のアプリケーションが、前記Ｗｅｂブラウザからのリダイレクトに係るアクセスに対して、前記ＵＲＬに含まれる前記リダイレクトトークンにより識別される前記リダイレクト情報が前記第２のＷｅｂサーバに記録されている場合に、前記リダイレクト情報に含まれる前記ユーザＩＤに基づいて前記第２のアプリケーションに係るログインクッキーを生成し、前記Ｗｅｂブラウザからのアクセスを前記第２のアプリケーションに対してリダイレクトさせるステップと、を有する、シングルサインオン方法。
PCT/JP2015/061628 2015-04-15 2015-04-15 シングルサインオンシステムおよびシングルサインオン方法 WO2016166856A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US15/563,618 US10476733B2 (en) 2015-04-15 2015-04-15 Single sign-on system and single sign-on method
PCT/JP2015/061628 WO2016166856A1 (ja) 2015-04-15 2015-04-15 シングルサインオンシステムおよびシングルサインオン方法
JP2017512140A JP6449993B2 (ja) 2015-04-15 2015-04-15 シングルサインオンシステムおよびシングルサインオン方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/061628 WO2016166856A1 (ja) 2015-04-15 2015-04-15 シングルサインオンシステムおよびシングルサインオン方法

Publications (1)

Publication Number Publication Date
WO2016166856A1 true WO2016166856A1 (ja) 2016-10-20

Family

ID=57126124

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/061628 WO2016166856A1 (ja) 2015-04-15 2015-04-15 シングルサインオンシステムおよびシングルサインオン方法

Country Status (3)

Country Link
US (1) US10476733B2 (ja)
JP (1) JP6449993B2 (ja)
WO (1) WO2016166856A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6266153B1 (ja) * 2017-03-17 2018-01-24 ヤフー株式会社 情報処理装置、情報処理システム、情報処理方法、及び情報処理プログラム
CN110149336A (zh) * 2019-05-24 2019-08-20 深圳绿米联创科技有限公司 单点登录方法、装置以及信息系统

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR3047374B1 (fr) 2016-01-28 2018-07-27 Overkiz Procede de configuration, de controle ou de supervision d’une installation domotique
FR3061390B1 (fr) 2016-12-28 2022-12-16 Overkiz Procede de configuration, de controle ou de supervision d’une installation domotique
FR3061399B1 (fr) * 2016-12-28 2023-04-21 Overkiz Procede de configuration d’acces, de commande et de supervision a distance d’au moins un dispositif domotique appartenant a une installation domotique
FR3061400A1 (fr) * 2016-12-28 2018-06-29 Overkiz Procede de configuration d’acces, de commande et de supervision a distance d’au moins un dispositif domotique appartenant a une installation domotique
US10333936B2 (en) * 2017-01-24 2019-06-25 Box, Inc. Method and system for secure cross-domain login
GB201719080D0 (en) * 2017-11-17 2018-01-03 Light Blue Optics Ltd Device authorization systems
US10608936B1 (en) * 2018-10-10 2020-03-31 Intuit Inc. Implementing data sharing features in legacy software applications
CN109862047A (zh) * 2019-04-18 2019-06-07 首约科技(北京)有限公司 登录服务器的方法、装置及存储介质
CN115242501B (zh) * 2022-07-20 2024-05-17 北京沃东天骏信息技术有限公司 一种登录方法、服务器、终端及计算机可读存储介质
US11831633B1 (en) * 2023-04-12 2023-11-28 Intuit Inc. Bi-directional federation link for seamless cross-identity SSO

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004086510A (ja) * 2002-08-27 2004-03-18 Wao Corporation コンテンツサービス提供システム、コンテンツサービス用サーバおよび会員用クライアント
WO2012004916A1 (ja) * 2010-07-09 2012-01-12 日本電気株式会社 サービス提供システム
JP2013250894A (ja) * 2012-06-01 2013-12-12 Canon Inc マッピングサーバーとシングルサインオンシステム、マッピング機能提供方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7185364B2 (en) * 2001-03-21 2007-02-27 Oracle International Corporation Access system interface
AU2003261124A1 (en) * 2002-07-02 2004-01-23 America Online Incorporated Seamless cross-site user authentication status detection and automatic login
CN1835438B (zh) 2006-03-22 2011-07-27 阿里巴巴集团控股有限公司 一种在网站间实现单次登录的方法及网站
US8219802B2 (en) * 2008-05-07 2012-07-10 International Business Machines Corporation System, method and program product for consolidated authentication
US9276929B2 (en) * 2013-03-15 2016-03-01 Salesforce.Com, Inc. Method and apparatus for multi-domain authentication
CN103188248A (zh) * 2011-12-31 2013-07-03 卓望数码技术（深圳）有限公司 基于单点登录的身份认证系统及方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004086510A (ja) * 2002-08-27 2004-03-18 Wao Corporation コンテンツサービス提供システム、コンテンツサービス用サーバおよび会員用クライアント
WO2012004916A1 (ja) * 2010-07-09 2012-01-12 日本電気株式会社 サービス提供システム
JP2013250894A (ja) * 2012-06-01 2013-12-12 Canon Inc マッピングサーバーとシングルサインオンシステム、マッピング機能提供方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6266153B1 (ja) * 2017-03-17 2018-01-24 ヤフー株式会社 情報処理装置、情報処理システム、情報処理方法、及び情報処理プログラム
JP2018156435A (ja) * 2017-03-17 2018-10-04 ヤフー株式会社 情報処理装置、情報処理システム、情報処理方法、及び情報処理プログラム
CN110149336A (zh) * 2019-05-24 2019-08-20 深圳绿米联创科技有限公司 单点登录方法、装置以及信息系统

Also Published As

Publication number Publication date
JPWO2016166856A1 (ja) 2017-12-28
US20180091355A1 (en) 2018-03-29
US10476733B2 (en) 2019-11-12
JP6449993B2 (ja) 2019-01-09

Similar Documents

Publication Publication Date Title
JP6449993B2 (ja) シングルサインオンシステムおよびシングルサインオン方法
JP5357246B2 (ja) 統合認証のためのシステム、方法およびプログラム製品
US7827318B2 (en) User enrollment in an e-community
US9047387B2 (en) Secregating anonymous access to dynamic content on a web server, with cached logons
US12107926B2 (en) Secure, anonymous browsing with a remote browsing server
US8898765B2 (en) Signing off from multiple domains accessible using single sign-on
US9413750B2 (en) Facilitating single sign-on (SSO) across multiple browser instance
US7296077B2 (en) Method and system for web-based switch-user operation
CN102098158B (zh) 跨域名单点登录和注销的方法、系统及相应设备
US20140075531A1 (en) Using identity/resource profile and directory enablers to support identity management
US9172707B2 (en) Reducing cross-site scripting attacks by segregating HTTP resources by subdomain
US20100049790A1 (en) Virtual Identity System and Method for Web Services
WO2018022193A1 (en) Login proxy for third-party applications
US8346967B2 (en) Management of redirection
US9894057B2 (en) Method and system for managing secure custom domains
JP2005293088A (ja) 認証システム及び認証方法
CN115484092A (zh) 一种统一身份认证方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15889194

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017512140

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15563618

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15889194

Country of ref document: EP

Kind code of ref document: A1