特許 6248641 情報処理システム及び認証方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6248641

(24)【登録日】2017年12月1日

(45)【発行日】2017年12月20日

(54)【発明の名称】情報処理システム及び認証方法

(51)【国際特許分類】

   G06F 21/41 20130101AFI20171211BHJP

【ＦＩ】

   G06F21/41

【請求項の数】10

【全頁数】21

(21)【出願番号】特願2014-4888(P2014-4888)

(22)【出願日】2014年1月15日

(65)【公開番号】特開2015-133034(P2015-133034A)

(43)【公開日】2015年7月23日

【審査請求日】2017年1月10日

(73)【特許権者】

【識別番号】000006747

【氏名又は名称】株式会社リコー

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(72)【発明者】

【氏名】福田 康治

【審査官】 平井 誠

(56)【参考文献】

【文献】 特開２００６−０３１７１４（ＪＰ，Ａ）

【文献】 特開２００６−２５２４１８（ＪＰ，Ａ）

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／４１

(57)【特許請求の範囲】

【請求項1】

１つ以上の情報処理装置を含む情報処理システムであって、
前記情報処理システムの外部の外部サービスとの認証連携機能を実現するために必要な認証の情報であって、第１の認証機能により認証済みであることを示す第１の認証の情報、を発行する第１の認証機能と、
前記情報処理システムの内部の内部サービスを利用するために必要な認証の情報であって、第２の認証機能により認証済みであることを示す第２の認証の情報、を発行し、さらに、外部装置からの第２の認証の情報を利用した連携認証要求を受信すると、受信した該第２の認証の情報が正当であるときに、前記第１の認証機能に対する連携認証要求を行って、前記第１の認証機能からの連携認証応答を前記外部装置に送信する管理手段と、
前記管理手段からの前記第１の認証機能に対する連携認証要求に基づき、前記第１の認証機能で認証を実行して第１の認証の情報を取得し、第１の認証の情報を利用した連携認証要求を前記第１の認証機能に対して行って、前記第１の認証機能からの連携認証応答を前記管理手段に送信する認証機能利用手段と
を有することを特徴とする情報処理システム。

【請求項2】

前記認証機能利用手段は、前記第１の認証機能に対する連携認証要求に基づき、複数の前記第１の認証機能から選択した一つの前記第１の認証機能で認証を実行して第１の認証の情報を取得し、第１の認証の情報を利用した連携認証要求を複数の前記第１の認証機能から選択した一つの前記第１の認証機能に対して行って、前記第１の認証機能からの連携認証応答を前記管理手段に送信する
ことを特徴とする請求項１記載の情報処理システム。

【請求項3】

前記認証機能利用手段は、第１の認証の情報を利用した連携認証要求を前記第１の認証機能に対して行って、前記第１の認証機能から連携認証応答を受信したあと、第１の認証の情報を削除する
ことを特徴とする請求項１又は２記載の情報処理システム。

【請求項4】

前記管理手段は、前記第２の認証機能が第２の認証の情報を発行したときに第２の認証の情報に関する情報を記憶手段に記憶しておき、前記記憶手段に記憶しておいた第２の認証の情報に関する情報を利用して第２の認証の情報が正当であるかを判定する
ことを特徴とする請求項１乃至３何れか一項記載の情報処理システム。

【請求項5】

前記管理手段は、第２の認証の情報に関する情報のうち、発行日時、上限値の少なくとも一方に基づき、第２の認証の情報が正当であるかを判定する
ことを特徴とする請求項４記載の情報処理システム。

【請求項6】

前記管理手段は、外部装置からの連携認証要求に正当な第２の認証の情報が含まれていない場合に、前記第２の認証機能による認証を行うための画面を前記外部装置に表示させるように制御する
ことを特徴とする請求項１乃至５何れか一項記載の情報処理システム。

【請求項7】

外部装置からの第２の認証の情報を利用した内部サービスに対する要求を内部サービスの前段で受信し、第２の認証の情報が正当でない場合に、前記第２の認証機能による認証を行うための画面を前記外部装置に表示させるように制御する代理手段
を更に有することを特徴とする請求項１乃至６何れか一項記載の情報処理システム。

【請求項8】

冗長化された前記第１の認証機能に対し、前記認証機能利用手段からの第１の認証の情報を利用した連携認証要求を振り分ける振分手段
を更に有することを特徴とする請求項１乃至７何れか一項記載の情報処理システム。

【請求項9】

前記振分手段は、前記第１の認証機能で認証を実行して取得した第１の認証の情報及び冗長化された前記第１の認証機能から一意に前記第１の認証機能を識別する識別情報を前記認証機能利用手段に送信し、前記認証機能利用手段からの第１の認証の情報を利用した連携認証要求を前記第１の認証機能を識別する識別情報に基づいて振り分ける
ことを特徴とする請求項８記載の情報処理システム。

【請求項10】

１つ以上の情報処理装置を含む情報処理システムが実行する認証方法であって、
前記情報処理システムは、前記情報処理システムの外部の外部サービスとの認証連携機能を実現するために必要な認証の情報であって、第１の認証機能により認証済みであることを示す第１の認証の情報と前記情報処理システムの内部の内部サービスを利用するために必要な認証の情報であって、第２の認証機能により認証済みであることを示す第２の認証の情報とを利用するものであり、
第２の認証の情報を発行するステップと、
外部装置からの第２の認証の情報を利用した連携認証要求を受信すると、受信した該第２の認証の情報が正当であるときに、前記第１の認証機能に対する連携認証要求を行うステップと、
前記第１の認証機能に対する連携認証要求に基づき、前記第１の認証機能で認証を実行して第１の認証の情報を取得し、第１の認証の情報を利用した連携認証要求を前記第１の認証機能に対して行うステップと、
前記第１の認証機能からの連携認証応答を前記外部装置に送信するステップと
を有することを特徴とする認証方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は情報処理システム及び認証方法に関する。

【背景技術】

【0002】

ユーザは、クラウドコンピューティングにより提供される多種多様なサービスを利用するために、複数の認証を行わなければならない場合がある。なお、ユーザに対する認証の重荷を減らすための技法としてシングルサインオン（ＳＳＯ）が知られている。シングルサインオンによりユーザはサインオン動作を完了した後、すなわち認証されたあとに別の認証動作を実行する必要がなくなる（例えば特許文献１参照）。

【発明の概要】

【発明が解決しようとする課題】

【0003】

既存の認証機能を利用してサービスを提供している情報処理システムにおいてシングルサインオンによる外部サービスの提供を実現したい場合がある。シングルサインオンによる外部サービスの提供を実現するためには、ＳＡＭＬ（Secure Assertion Markup Language）などによる認証連携機能が必要となる。

【0004】

例えば認証連携機能はオープンソースの認証システムであるＯｐｅｎＡＭなどにより実現される。ＯｐｅｎＡＭとはシングルサインオンを実現するプラットフォームとなるソフトウェアである。ＯｐｅｎＡＭは、認証機能、ＳＡＭＬによる認証連携機能などを有している。

【0005】

しかしながら、既存の認証機能を利用してサービスを提供していた情報処理システムにおいて、ＯｐｅｎＡＭなどが発行する認証チケットを利用するようにすると、ＯｐｅｎＡＭの再起動などにより認証チケットが無効になってしまう。ＯｐｅｎＡＭの再起動などにより認証チケットが無効になってしまうと、外部サービスを利用していないユーザも情報処理システムから強制ログアウトされてしまうという問題があった。

【0006】

本発明の実施の形態は、上記の点に鑑みなされたもので、認証連携機能を実現する他の認証機能の影響を減少させることができる情報処理システム及び認証方法を提供することを目的とする。

【課題を解決するための手段】

【0007】

上記目的を達成するために本願請求項１は、１つ以上の情報処理装置を含む情報処理システムであって、前記情報処理システムの外部の外部サービスとの認証連携機能を実現するために必要な認証の情報であって、第１の認証機能により認証済みであることを示す第１の認証の情報、を発行する第１の認証機能と、前記情報処理システムの内部の内部サービスを利用するために必要な認証の情報であって、第２の認証機能により認証済みであることを示す第２の認証の情報、を発行し、さらに、外部装置からの第２の認証の情報を利用した連携認証要求を受信すると、受信した該第２の認証の情報が正当であるときに、前記第１の認証機能に対する連携認証要求を行って、前記第１の認証機能からの連携認証応答を前記外部装置に送信する管理手段と、前記管理手段からの前記第１の認証機能に対する連携認証要求に基づき、前記第１の認証機能で認証を実行して第１の認証の情報を取得し、第１の認証の情報を利用した連携認証要求を前記第１の認証機能に対して行って、前記第１の認証機能からの連携認証応答を前記管理手段に送信する認証機能利用手段とを有することを特徴とする。

【発明の効果】

【0008】

本発明の実施の形態によれば、認証連携機能を実現する他の認証機能の影響を減少させることができる。

【図面の簡単な説明】

【0009】

【図1】第１の実施形態に係る情報処理システムの一例の構成図である。

【図2】サービス提供システムの他の例の構成図である。

【図3】コンピュータの一例のハードウェア構成図である。

【図4】第１の実施形態に係るサービス提供システムの一例の処理ブロック図である。

【図5】認証・認可部の一例の処理ブロック図である。

【図6】組織情報の一例のデータ構造図である。

【図7】ユーザ情報の一例の構成図である。

【図8】チケット情報の一例の構成図である。

【図9】サービス提供システムが提供するアプリケーションを利用する処理の一例を表したシーケンス図である。

【図10】外部サービスとの認証連携する処理の一例を表したシーケンス図（１／２）である。

【図11】外部サービスとの認証連携する処理の一例を表したシーケンス図（２／２）である。

【図12】外部サービスとの認証連携する処理の他の例を表したシーケンス図である。

【発明を実施するための形態】

【0010】

以下、本発明の実施形態について図面を参照しながら説明する。
［第１の実施形態］
＜システム構成＞
図１は第１の実施形態に係る情報処理システムの一例の構成図である。図１の情報処理システム１０００は、例えばオフィス内ネットワーク等のネットワークＮ１と、クラウドサービスに代表されるサービス提供システム１０２０のネットワークＮ２と、例えばインターネットなどのネットワークＮ３とを有する。

【0011】

ネットワークＮ１は、ファイヤウォールＦＷの内側にあるプライベートなネットワークである。ファイヤウォールＦＷはネットワークＮ１とネットワークＮ３との接点に設置され、不正なアクセスを検出及び遮断する。ネットワークＮ１にはクライアント端末１０１１、携帯端末１０１２、複合機などの画像形成装置１０１３が接続されている。

【0012】

クライアント端末１０１１は端末装置の一例である。クライアント端末１０１１は一般的なＯＳなどが搭載された情報処理装置によって実現できる。クライアント端末１０１１は無線による通信の手段または有線による通信の手段を有する。クライアント端末１０１１は、タブレットＰＣ、ノートＰＣなど、ユーザが操作可能な端末である。

【0013】

携帯端末１０１２は端末装置の一例である。携帯端末１０１２は、無線による通信の手段または有線による通信の手段を有している。携帯端末１０１２は、スマートフォンや携帯電話、タブレットＰＣ、ノートＰＣなど、ユーザが携帯可能な端末である。

【0014】

画像形成装置１０１３は複合機などの画像形成機能を有する装置である。画像形成装置１０１３は無線による通信の手段または有線による通信の手段を有する。画像形成装置１０１３は複合機、コピー機、スキャナ、プリンタ、レーザプリンタ、プロジェクタ、電子黒板など、画像形成に係る処理を行う装置である。図１では、一例としてクライアント端末１０１１、携帯端末１０１２、画像形成装置１０１３がそれぞれ一台である例を示しているが複数台であってもよい。

【0015】

ネットワークＮ２はアクセス制御装置１０２１によってネットワークＮ３に接続されている。ネットワークＮ２はアクセス制御装置１０２１によってセキュリティが保護されている。ネットワークＮ２にはプリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５が接続されている。

【0016】

図１の情報処理システム１０００は、アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５がサービス提供システム１０２０を実現している。

【0017】

アクセス制御装置１０２１は、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５などへのアクセスを制御する。

【0018】

アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５は一台以上の情報処理装置によって実現される。

【0019】

アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５は一台の情報処理装置に統合して実現してもよいし、複数の情報処理装置に分散して実現してもよい。

【0020】

ネットワークＮ２側のサービスの一部はネットワークＮ２以外にあってもよい。携帯端末１０１２は、オフィス内ネットワーク等のネットワークＮ１以外にあってもよい。図１の情報処理システム１０００では携帯端末１０１２がネットワークＮ１と、ネットワークＮ３とにある例を示している。ネットワークＮ３に接続されている外部サービス１０３１はオンラインストレージなどのサービスを提供する装置である。

【0021】

外部サービス１０３１はＩｄＰ（Identity Provider）が発行した認証・認可の情報に応じてクライアントにサービスを提供するＳＰ（Service Provider）の一例である。サービス提供システム１０２０はＩｄＰの一例である。

【0022】

図１のサービス提供システム１０２０の構成は一例であって、図２に示すような構成によっても実現できる。図２はサービス提供システムの他の例の構成図である。図２に示したサービス提供システム１０２０は、ネットワークＮ２がファイヤウォールＦＷを介してネットワークＮ３に接続されている。

【0023】

ネットワークＮ２にはＳａａＳ（Software as a Service）系のサービス提供装置、共通サービス（Network Service Platform）系のサービス提供装置、ストレージ（Storage）系の記憶装置が接続されている。なお、共通サービス系のサービス提供装置はＳａａＳ系のサービス提供装置が共通で使えるサービスを提供する。

【0024】

ＳａａＳ系のサービス提供装置は、例えばポータルサービス提供装置１０５１、プリントサービス提供装置１０５２、スキャンサービス提供装置１０５３など、提供するサービスに応じたサービス提供装置が含まれる。また、共通サービス系のサービス提供装置は例えば認証サービス提供装置１０６１、データ処理サービス提供装置１０６２、一時データ保存サービス提供装置１０６３など、提供する共通サービスに応じたサービス提供装置が含まれる。ストレージ系の記憶装置は、例えば認証情報記憶装置１０７１、ジョブ情報記憶装置１０７２、一時データ記憶装置１０７３など、記憶する情報（データ）に応じた記憶装置が含まれる。

【0025】

図２のサービス提供システム１０２０はファイヤウォールＦＷ、認証サービス提供装置１０６１が提供する認証サービスによってセキュリティが保護されている。なお、図２のサービス提供システム１０２０の構成も一例であって、他の構成であってもよい。

【0026】

＜ハードウェア構成＞
図１のクライアント端末１０１１、携帯端末１０１２は例えば図３に示すようなハードウェア構成のコンピュータにより実現される。また、アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５は、例えば図３に示すようなハードウェア構成のコンピュータにより実現される。

【0027】

また、図２のＳａａＳ系のサービス提供装置、共通サービス系のサービス提供装置、ストレージ系の記憶装置も、例えば図３に示すようなハードウェア構成のコンピュータにより実現される。

【0028】

図３はコンピュータの一例のハードウェア構成図である。図３のコンピュータ１００は入力装置１０１、表示装置１０２、外部Ｉ／Ｆ１０３、ＲＡＭ１０４、ＲＯＭ１０５、ＣＰＵ１０６、通信Ｉ／Ｆ１０７、及びＨＤＤ１０８などを備え、それぞれがバスＢで相互に接続されている。

【0029】

入力装置１０１はキーボードやマウス、タッチパネルなどを含み、ユーザが各操作信号を入力するのに用いられる。表示装置１０２はディスプレイ等を含み、コンピュータ１００による処理結果を表示する。なお、入力装置１０１及び表示装置１０２は必要なときに接続して利用する形態であってもよい。

【0030】

通信Ｉ／Ｆ１０７は、コンピュータ１００をネットワークＮ１〜Ｎ３に接続するインタフェースである。これにより、コンピュータ１００は通信Ｉ／Ｆ１０７を介してデータ通信を行うことができる。

【0031】

ＨＤＤ１０８はプログラムやデータを格納している不揮発性の記憶装置である。格納されるプログラムやデータには例えばコンピュータ１００全体を制御する基本ソフトウェアであるＯＳや、ＯＳ上において各種機能を提供するアプリケーションソフトウェアなどがある。

【0032】

ＨＤＤ１０８は格納しているプログラムやデータを所定のファイルシステム及び／又はＤＢにより管理している。外部Ｉ／Ｆ１０３は、外部装置とのインタフェースである。外部装置には、記録媒体１０３ａなどがある。

【0033】

これにより、コンピュータ１００は外部Ｉ／Ｆ１０３を介して記録媒体１０３ａの読み取り及び／又は書き込みを行うことができる。記録媒体１０３ａにはフレキシブルディスク、ＣＤ、ＤＶＤ、ＳＤメモリカード、ＵＳＢメモリなどがある。

【0034】

ＲＯＭ１０５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。ＲＯＭ１０５にはコンピュータ１００の起動時に実行されるＢＩＯＳ、ＯＳ設定、及びネットワーク設定などのプログラムやデータが格納されている。ＲＡＭ１０４はプログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。

【0035】

ＣＰＵ１０６は、ＲＯＭ１０５やＨＤＤ１０８などの記憶装置からプログラムやデータをＲＡＭ１０４上に読み出し、処理を実行することで、コンピュータ１００全体の制御や機能を実現する演算装置である。

【0036】

クライアント端末１０１１、携帯端末１０１２は、コンピュータ１００のハードウェア構成により、後述するような各種処理を実現できる。アクセス制御装置１０２１、プリントサービス提供装置１０２２、スキャンサービス提供装置１０２３、ポータルサービス提供装置１０２４、他サービス提供装置１０２５は、コンピュータ１００のハードウェア構成により、後述するような各種処理を実現できる。

【0037】

また、図２のＳａａＳ系のサービス提供装置、共通サービス系のサービス提供装置、ストレージ系の記憶装置も、コンピュータ１００のハードウェア構成により、後述するような各種処理を実現できる。また、外部サービス１０３１も図３のコンピュータ１００のようなハードウェア構成により後述するような各種処理を実現できる。なお、画像形成装置１０１３、ファイヤウォールＦＷのハードウェア構成については説明を省略する。

【0038】

＜ソフトウェア構成＞
《サービス提供システム》
第１の実施形態に係るサービス提供システム１０２０は例えば図４に示す処理ブロックにより実現される。図４は、第１の実施形態に係るサービス提供システムの一例の処理ブロック図である。

【0039】

サービス提供システム１０２０はプログラムを実行することで、アプリケーション１１０１、共通サービス１１０２、データベース（ＤＢ）１１０３、アプリケーションＡＰＩ１１０４、プラットフォームＡＰＩ１１０５を実現している。

【0040】

アプリケーションＡＰＩ１１０４はクライアント端末１０１１などの端末装置がアプリケーション１１０１を利用するためのインタフェースである。アプリケーションＡＰＩ１１０４は端末装置からの要求をアプリケーション１１０１が受信するために設けられた予め定義されたインタフェースであり、例えば関数やクラス等により構成される。

【0041】

アプリケーションＡＰＩ１１０４は、サービス提供システム１０２０が複数の情報処理装置で構成される場合、ネットワーク経由で利用可能な例えばＷｅｂ ＡＰＩにより実現できる。

【0042】

アプリケーション１１０１は、ポータルサービスアプリ１１１１、スキャンサービスアプリ１１１２、プリントサービスアプリ１１１３、認証エージェント１１１４及び１１１５を一例として有する。

【0043】

ポータルサービスアプリ１１１１は、ポータルサービスを提供するアプリケーションである。ポータルサービスは、サービス提供システム１０２０を利用するための入り口となるサービスを提供する。スキャンサービスアプリ１１１２はスキャンサービスを提供するアプリケーションである。プリントサービスアプリ１１１３はプリントサービスを提供するアプリケーションである。アプリケーション１１０１には、その他のサービスアプリが含まれていてもよい。

【0044】

認証エージェント１１１４及び１１１５はスキャンサービスアプリ１１１２及びプリントサービスアプリ１１１３を不正な要求から保護するものである。スキャンサービスアプリ１１１２及びプリントサービスアプリ１１１３は認証エージェント１１１４及び１１１５によって不正な要求から保護されており、正当な認証チケットを持つ端末装置等からの要求を受け付ける。

【0045】

プラットフォームＡＰＩ１１０５はポータルサービスアプリ１１１１、スキャンサービスアプリ１１１２、プリントサービスアプリ１１１３などのアプリケーション１１０１が共通サービス１１０２を利用するためのインタフェースである。プラットフォームＡＰＩ１１０５はアプリケーション１１０１からの要求を共通サービス１１０２が受信するために設けられた予め定義されたインタフェースであり、例えば関数やクラス等により構成される。

【0046】

プラットフォームＡＰＩ１１０５は、サービス提供システム１０２０が複数の情報処理装置で構成される場合、ネットワークＮ２経由で利用可能な例えばＷｅｂ ＡＰＩにより実現できる。

【0047】

共通サービス１１０２は認証・認可部１１２１、組織管理部１１２２、ユーザ管理部１１２３、ライセンス管理部１１２４、機器管理部１１２５、一時画像保存部１１２６、画像処理ワークフロー制御部１１２７、ログ収集部１１２８、チケット管理部１１２９を有する。

【0048】

また、画像処理ワークフロー制御部１１２７はメッセージキュー１１３１、１つ以上のワーカー（Ｗｏｒｋｅｒ）１１３２を有する。ワーカー１１３２は画像変換や画像送信などの機能を実現する。

【0049】

認証・認可部１１２１は、クライアント端末１０１１や画像形成装置１０１３などのオフィス機器からのログイン要求に基づいて認証・認可を実行する。オフィス機器はクライアント端末１０１１、携帯端末１０１２、画像形成装置１０１３などの総称である。

【0050】

認証・認可部１１２１は、例えば後述するユーザ情報記憶部１１４３、ライセンス情報記憶部１１４４などにアクセスしてユーザを認証・認可する。また、認証・認可部１１２１は例えば後述する組織情報記憶部１１４２、ライセンス情報記憶部１１４４、機器情報記憶部１１４５などにアクセスして画像形成装置１０１３などを認証する。

【0051】

組織管理部１１２２は後述する組織情報記憶部１１４２に記憶されている組織情報を管理する。ユーザ管理部１１２３は、後述するユーザ情報記憶部１１４３に記憶されているユーザ情報を管理する。

【0052】

ライセンス管理部１１２４は後述するライセンス情報記憶部１１４４に記憶されているライセンス情報を管理する。機器管理部１１２５は後述する機器情報記憶部１１４５に記憶されている機器情報を管理する。一時画像保存部１１２６は後述する一時画像記憶部１１４６への一時画像の保存、一時画像記憶部１１４６からの一時画像の取得を行う。

【0053】

画像処理ワークフロー制御部１１２７はアプリケーション１１０１からの要求に基づいて画像処理に関するワークフローを制御する。メッセージキュー１１３１は処理の種類に対応するキューを有する。画像処理ワークフロー制御部１１２７は処理（ジョブ）に係るリクエストのメッセージを、そのジョブの種類に対応するキューに投入する。

【0054】

ワーカー１１３２は対応するキューを監視している。キューにメッセージが投入されるとワーカー１１３２は、対応するジョブの種類に応じた画像変換や画像送信などの処理を行う。なお、キューに投入されたメッセージはワーカー１１３２が主体的に読み出す（Ｐｕｌｌ）ようにしてもよいし、キューからワーカー１１３２に提供する（Ｐｕｓｈ）ようにしてもよい。

【0055】

ログ収集部１１２８は後述するログ情報記憶部１１４１に記憶されているログ情報を管理する。チケット管理部１１２９はユーザに紐付く認証チケットの発行、認証チケットの正当性チェック、有効期限管理、上限管理などの機能を有する。

【0056】

データベース１１０３は、ログ情報記憶部１１４１、組織情報記憶部１１４２、ユーザ情報記憶部１１４３、ライセンス情報記憶部１１４４、機器情報記憶部１１４５、一時画像記憶部１１４６、ジョブ情報記憶部１１４７、アプリケーション固有の設定情報記憶部１１４８、チケット情報記憶部１１４９を有する。

【0057】

ログ情報記憶部１１４１は、ログ情報を記憶する。組織情報記憶部１１４２は、後述の組織情報を記憶する。ユーザ情報記憶部１１４３は、後述のユーザ情報を記憶する。ライセンス情報記憶部１１４４は、ライセンス情報を記憶する。機器情報記憶部１１４５は機器情報を記憶する。

【0058】

一時画像記憶部１１４６は一時画像を記憶する。一時画像は、例えばワーカー１１３２が処理するスキャン画像などのファイルやデータである。ジョブ情報記憶部１１４７は処理（ジョブ）に係るリクエストの情報（ジョブ情報）を記憶する。アプリケーション固有の設定情報記憶部１１４８はアプリケーション１１０１に固有の設定情報を記憶する。チケット情報記憶部１１４９は後述のチケット情報を記憶する。

【0059】

サービス提供システム１０２０は認証・認可や画像処理に関するワークフローなどの共通サービスを提供する統合基盤と、統合基盤の機能を利用してスキャンサービス、ポータルサービスなどのアプリサービスを提供するサービス群として機能する。統合基盤は例えば共通サービス１１０２、ＤＢ１１０３及びプラットフォームＡＰＩ１１０５によって構成される。サービス群は例えばアプリケーション１１０１及びアプリケーションＡＰＩ１１０４によって構成される。

【0060】

図４に示したサービス提供システム１０２０はサービス群と統合基盤とを分離した構成により、プラットフォームＡＰＩ１１０５を利用するアプリケーション１１０１を容易に開発できる。

【0061】

なお、図４に示したサービス提供システム１０２０の処理ブロックの分類形態は一例であり、アプリケーション１１０１、共通サービス１１０２、ＤＢ１１０３が図４に示されるような階層で分類されていることが必須ではない。第１の実施形態に係るサービス提供システム１０２０の処理を実施できるのであれば、図４に示される階層関係などは特定のものに限定されない。

【0062】

《認証・認可部》
認証・認可部１１２１は例えば図５の処理ブロックにより実現される。図５は認証・認可部の一例の処理ブロック図である。認証・認可部１１２１はマルチベンダ判断部１２０１、ＯＡｕｔｈ部１２０２、代理認証部１２０３、ディレクトリサービス１２０４、認証サービス提供部１２０５及び１２０６を有する。

【0063】

ＯＡｕｔｈ部１２０２はＯＡｕｔｈプロトコルで外部サービス１０３１にＡＰＩ認可を行うものである。代理認証部１２０３は外部サービス１０３１との認証処理を代理で請け負うものである。ディレクトリサービス１２０４は組織情報やユーザ情報などのクラッド処理（作成、読み出し、更新、削除処理）を行うものである。

【0064】

マルチベンダ判断部１２０１は認証サービスを提供する認証サービス提供部１２０５や１２０６の利用判断を行うものである。マルチベンダ判断部１２０１はユーザからのリクエストに応じて、認証サービスを提供する認証サービス提供部１２０５や１２０６を判断して利用する。つまり、マルチベンダ判断部１２０１は実現したい認証サービスを提供する認証サービス提供部１２０５や１２０６を判断している。

【0065】

また、認証サービス提供部１２０５及び１２０６は認証サービスを提供するモジュールの一例である。認証サービス提供部１２０５はＯｐｅｎＡＭによりモジュールを実現した例である。認証サービス提供部１２０６は何らかの認証サービスによりモジュールを実現する例である。

【0066】

認証サービス提供部１２０５は、ＯｐｅｎＡＭのチケット管理部、チケット記憶部及びＳＡＭＬ機能部を一例として有している。また、認証サービス提供部１２０６は何らかの認証サービスのチケット管理部、チケット記憶部及び認証連携機能部を一例として有している。なお、認証サービス提供部１２０５及び１２０６を利用する場合には、認証サービス提供部１２０５及び１２０６が発行した認証チケット（セッション）が必要となる。

【0067】

《組織情報》
図６は組織情報の一例のデータ構造図である。図６の組織情報は項目として組織ＩＤ及び組織名を有する。組織ＩＤは企業、部署などのグループを特定する情報である。組織ＩＤは組織という言語に限定されるものではなく、例えば契約を識別する情報であってもよい。組織ＩＤは一意である。組織名は企業、部署などのグループの名称を表している。

【0068】

《ユーザ情報》
図７はユーザ情報の一例の構成図である。ユーザ情報は項目としてユーザＩＤ、組織ＩＤ及びパスワードを有する。ユーザＩＤ及びパスワードはユーザを特定する情報の一例である。したがって、ユーザＩＤはユーザ名等であってもよい。また、パスワードは必須でない。同じ組織ＩＤで管理されるユーザＩＤ及びパスワードは一意であるが、組織ＩＤが異なれば重複していてもよい。

【0069】

さらに、ユーザＩＤはユーザが所持する電子媒体（例えばＩＣカード）を識別する情報を用いてもよい。ユーザが所持する電子媒体としてはＩＣカード、携帯電話、タブレット端末、電子書籍端末等を利用できる。電子媒体を識別する情報としては、カードＩＤ、シリアルＩＤ、携帯電話の電話番号、端末のプロフィール情報などを利用できる。電子媒体を識別する情報は組み合わせて利用してもよい。

【0070】

《チケット情報》
図８はチケット情報の一例の構成図である。図８のチケットは項目として認証チケット識別子、組織ＩＤ、ユーザＩＤ、作成日時、参照日時を有する。認証チケット識別子は認証チケットを一意に識別する情報である。認証チケット識別子は予め決められたルールに基づいて生成される。

【0071】

また、チケット情報は認証チケット識別子からユーザを特定するために、組織ＩＤ及びユーザＩＤを認証チケット識別子と紐付けている。チケット情報は認証チケットの有効期限管理のため、作成日時及び参照日時を認証チケット識別子と紐付けている。チケット情報の作成日時及び参照日時を利用し、認証チケットは決められたルールに従って有効性が判断される。

【0072】

＜処理の詳細＞
《サービス提供システムが提供するアプリケーションの利用》
図９はサービス提供システムが提供するアプリケーションを利用する処理の一例を表したシーケンス図である。図９のシーケンス図は、サービス提供システム１０２０の認証チケットで保護されているアプリケーション１１０１を利用する際のシーケンス図の一例を表している。

【0073】

ステップＳ１において、図１のオフィス機器に搭載されたブラウザ（Ｃｌｉｅｎｔ Ａｐｐ）はサービス提供システム１０２０の認証チケットを持たない状態でスキャンサービスアプリ１１１２の利用をアプリケーションＡＰＩ１１０４からリクエストする。

【0074】

ステップＳ２において、認証エージェント１１１４はオフィス機器に搭載されたブラウザからスキャンサービスアプリ１１１２へのリクエストの認証チケットの正当性チェックをチケット管理部１１２９にリクエストする。チケット管理部１１２９は認証チケットの正当性チェックを行う。なお、ここでは認証チケットを持たない状態でのリクエストであるため、正当な認証チケットを持つ要求でないと判定される。

【0075】

ステップＳ３において、オフィス機器に搭載されたブラウザは認証エージェント１１１４にサービス提供システム１０２０のログイン画面へのリダイレクトを要求される。ブラウザはサービス提供システム１０２０のポータルサービスアプリ１１１１のログイン画面にリダイレクトされる。

【0076】

ユーザはログイン画面に組織ＩＤ、ユーザＩＤ、パスワードなどの認証情報を入力してログインを要求する。ステップＳ４において、ブラウザはポータルサービスアプリ１１１１にログインを要求する。ログインの要求には組織ＩＤ、ユーザＩＤ、パスワードが含まれる。

【0077】

ステップＳ５において、ポータルサービスアプリ１１１１はチケット管理部１１２９にブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードによるログインを要求する。ステップＳ６において、チケット管理部１１２９はブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードによる認証チケットの発行処理を開始する。

【0078】

ステップＳ７において、チケット管理部１１２９はブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードの認証を認証・認可部１１２１に要求して行わせる。認証・認可部１１２１はブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードの組みが、図７に示すようなユーザ情報としてユーザ情報記憶部１１４３に記憶されているか確認する。

【0079】

ブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザ名、パスワードの組みがユーザ情報記憶部１１４３に記憶されていれば、認証・認可部１１２１は認証の成功をチケット管理部１１２９に通知する。ここでは、認証の成功がチケット管理部１１２９に通知されたものとして説明を続ける。

【0080】

ステップＳ８において、チケット管理部１１２９はチケット情報記憶部１１４９に記憶されている図８に示すようなチケット情報を参照し、認証に成功したユーザの発行済みの認証チケットのチェックを行う。例えばチケット管理部１１２９は認証に成功したユーザの発行済みの認証チケットの上限管理などを行う。

【0081】

ステップＳ９において、チケット管理部１１２９は認証チケットを生成する。ステップＳ１０において、チケット管理部１１２９は認証チケット識別子を生成する。ステップＳ１１において、チケット管理部１１２９は認証に成功したユーザの組織ＩＤ及びユーザＩＤと、生成した認証チケット識別子、作成日時とを紐付けるチケット情報をチケット情報記憶部１１４９に登録する。また、チケット管理部１１２９は認証チケットをログインの要求に対する応答としてブラウザに返す。

【0082】

ステップＳ１２において、オフィス機器に搭載されたブラウザはログインの要求に対して返されたサービス提供システム１０２０の認証チケットを持つ状態でスキャンサービスアプリ１１１２の利用をアプリケーションＡＰＩ１１０４からリクエストする。

【0083】

ステップＳ１３において、スキャンサービスアプリ１１１２の前段に配置されている認証エージェント１１１４はブラウザからスキャンサービスアプリ１１１２へのリクエストの認証チケットの正当性チェックをチケット管理部１１２９にリクエストする。ステップＳ１４において、チケット管理部１１２９はチケット情報記憶部１１４９に記憶されている図８のようなチケット情報を参照し、認証チケットの正当性チェックを行う。

【0084】

チケット管理部１１２９は、ブラウザからスキャンサービスアプリ１１１２へのリクエストの認証チケットがチケット情報記憶部１１４９に記憶されているため、正当な認証チケットを持つ要求であると判定する。チケット管理部１１２９は、ブラウザからスキャンサービスアプリ１１１２へのリクエストの認証チケットに紐付く組織ＩＤ及びユーザＩＤをチケット情報記憶部１１４９から取得する。なお、チケット情報記憶部１１４９に記憶されている図８のようなチケット情報の参照日時は、ステップＳ１４の処理により更新される。

【0085】

チケット管理部１１２９は、ステップＳ１３のリクエストに対する応答として、ブラウザからスキャンサービスアプリ１１１２へのリクエストの認証チケットに紐付く組織ＩＤ及びユーザＩＤを認証エージェント１１１４に返す。

【0086】

認証エージェント１１１４はステップＳ１５において、認証チケットに紐付く組織ＩＤ及びユーザＩＤを付加し、スキャンサービスアプリ１１１２の利用をスキャンサービスアプリ１１１２にリクエストする。

【0087】

このように、サービス提供システム１０２０はアプリケーション１１０１を不正な要求から保護するため、サービス提供システム１０２０の認証チケットを利用している。

【0088】

《外部サービスとの認証連携》
図１０及び図１１は外部サービスとの認証連携する処理の一例を表したシーケンス図である。図１０及び図１１のシーケンス図は、サービス提供システム１０２０が外部サービス１０３１とＳＡＭＬによる認証連携（ＳＡＭＬ連携）を行う際のシーケンス図の一例を表している。

【0089】

ステップＳ２１において、図１のオフィス機器に搭載されたブラウザはユーザから例えばアクセス先として外部サービス１０３１のＵＲＬを入力又はブックマークから選択されると、外部サービス１０３１にアクセスする。

【0090】

ステップＳ２２、Ｓ２３において、ブラウザはシングルサインオン設定されたサービス提供システム１０２０のエンドポイントにリダイレクトされる。ブラウザはリダイレクトにより、チケット管理部１１２９にＳＡＭＬ連携を要求する。

【0091】

チケット管理部１１２９はサービス提供システム１０２０の認証チケットを持たない状態でのリクエストであるため、ステップＳ２４において、ログイン画面へのリダイレクトをブラウザに要求する。オフィス機器に搭載されたブラウザはチケット管理部１１２９にサービス提供システム１０２０のログイン画面へのリダイレクトを要求される。ブラウザはサービス提供システム１０２０のポータルサービスアプリ１１１１のログイン画面にリダイレクトされる。

【0092】

ユーザはログイン画面に組織ＩＤ、ユーザＩＤ、パスワードなどの認証情報を入力してログインを要求する。ステップＳ２５において、ブラウザはポータルサービスアプリ１１１１にログインを要求する。ログインの要求には組織ＩＤ、ユーザＩＤ、パスワードが含まれる。

【0093】

ステップＳ２６において、ポータルサービスアプリ１１１１はチケット管理部１１２９にブラウザからのログインの要求に含まれていた組織ＩＤ、ユーザＩＤ、パスワードによるログインを要求する。なお、ステップＳ２７〜Ｓ３０の処理は図９のステップＳ６〜Ｓ１１と同様であるため、説明を省略する。

【0094】

ステップＳ３１において、図１のオフィス機器に搭載されたブラウザはサービス提供システム１０２０の認証チケットを持つ状態でチケット管理部１１２９にＳＡＭＬ−Ｉｄｐ認証を要求する。ステップＳ３２において、チケット管理部１１２９はチケット情報記憶部１１４９に記憶されている図８に示すようなチケット情報を参照し、認証チケットの正当性のチェックを行う。

【0095】

チケット管理部１１２９はステップＳ３１のＳＡＭＬ−Ｉｄｐ認証の要求に含まれていた認証チケットがチケット情報記憶部１１４９に記憶されていれば認証チケットが正当であると判定する。なお、ＳＡＭＬ−Ｉｄｐ認証の要求に含まれていた認証チケットが正当である場合、チケット管理部１１２９はＳＡＭＬ−Ｉｄｐ認証の要求に含まれていた認証チケットと紐付く組織ＩＤ及びユーザＩＤをユーザ情報としてチケット情報記憶部１１４９から取得する。

【0096】

ステップＳ３３において、チケット管理部１１２９は、取得したユーザ情報を用いてマルチベンダ判断部１２０１にＳＡＭＬ−Ｉｄｐ認証を要求する。マルチベンダ判断部１２０１はステップＳ３４において、ユーザ情報記憶部１１４３を参照し、ＳＡＭＬ−Ｉｄｐ認証にユーザ情報として含まれていた組織ＩＤ及びユーザＩＤに紐付くパスワードを取得する。

【0097】

ステップＳ３５において、マルチベンダ判断部１２０１は取得した組織ＩＤ、ユーザＩＤ及びパスワードによるログインを認証サービス提供部１２０５の一例であるＯｐｅｎＡＭに要求する。ここでＯｐｅｎＡＭに対してログインを要求する理由は、ＳＡＭＬ連携の機能をＯｐｅｎＡＭが有しており、ＳＡＭＬ連携の機能のＡＰＩを利用する際にＯｐｅｎＡＭの認証チケットが必要となるためである。ＯｐｅｎＡＭは認証に成功した場合にＯｐｅｎＡＭの認証チケットを生成し、その認証チケットをログインの要求に対する応答としてマルチベンダ判断部１２０１に返す。

【0098】

ステップＳ３６において、マルチベンダ判断部１２０１はＯｐｅｎＡＭの認証チケットを用いてＯｐｅｎＡＭに対し、ＳＡＭＬ連携の要求（ＳＡＭＬリクエスト）を行う。ＯｐｅｎＡＭは認証チケットの認証に成功すると、ＳＡＭＬレスポンスを含んだＪａｖａｓｃｒｉｐｔ（登録商標）を生成し、マルチベンダ判断部１２０１に返す。

【0099】

マルチベンダ判断部１２０１はＳＡＭＬレスポンスを含んだＪａｖａｓｃｒｉｐｔを受け取った後、ステップＳ３７において、ＯｐｅｎＡＭからログアウトし、ＯｐｅｎＡＭの認証チケットを破棄する。ステップＳ３８において、マルチベンダ判断部１２０１はＳＡＭＬレスポンスを含んだＪａｖａｓｃｒｉｐｔをチケット管理部１１２９からブラウザに返す。

【0100】

ステップＳ３９において、ブラウザは外部サービス１０３１のＡＣＳへサービス提供システム１０２０のＳＡＭＬレスポンスをＰＯＳＴし、外部サービス１０３１とのＳＡＭＬ連携を実現する。

【0101】

つまり、ＯｐｅｎＡＭはＳＡＭＬレスポンスをＰＯＳＴする外部サービス１０３１の宛先を指定してブラウザにＰＯＳＴさせる。外部サービス１０３１はＳＡＭＬレスポンスを確認し、対応するユーザのサービス画面をブラウザに表示させる。

【0102】

このように、サービス提供システム１０２０はサービス提供システム１０２０を利用するための認証チケットと、認証連携機能を実現するＯｐｅｎＡＭの認証チケットと、を別の認証チケットとしている。サービス提供システム１０２０は認証連携機能を利用するタイミングでＯｐｅｎＡＭの認証チケットを発行し、利用後にＯｐｅｎＡＭの認証チケットを削除することで、認証連携機能を実現するＯｐｅｎＡＭの影響を減少させている。

【0103】

したがって、本実施形態のサービス提供システム１０２０はＯｐｅｎＡＭのリリースやメンテナンスなどによる再起動によりＯｐｅｎＡＭの認証チケットが無効になったとしても影響を抑えることができる。

【0104】

《ＯｐｅｎＡＭの負荷分散》
例えばＯｐｅｎＡＭなどの認証サービス提供部１２０５、１２０６はアプリケーションデリバリコントローラ（ＡＤＣ）等によりリクエスト先を制御することで冗長構成とすることができる。本実施形態のサービス提供システム１０２０では、複数台のＯｐｅｎＡＭの前段にＡＤＣ１２１０を配置することにより、ＯｐｅｎＡＭに対するリクエストの分散を行う。

【0105】

図１２は外部サービスとの認証連携する処理の他の例を表したシーケンス図である。図１２のシーケンス図は例えば図１０のステップＳ２１〜Ｓ３０の処理の後で行われる処理である。

【0106】

ステップＳ４１において、図１のオフィス機器に搭載されたブラウザはサービス提供システム１０２０の認証チケットを持つ状態でチケット管理部１１２９にＳＡＭＬ−Ｉｄｐ認証を要求する。ステップＳ４２において、チケット管理部１１２９はチケット情報記憶部１１４９に記憶されている図８に示すようなチケット情報を参照し、認証チケットの正当性のチェックを行う。

【0107】

ＳＡＭＬ−Ｉｄｐ認証の要求に含まれていた認証チケットが正当である場合、チケット管理部１１２９はＳＡＭＬ−Ｉｄｐ認証の要求に含まれていた認証チケットと紐付く組織ＩＤ及びユーザＩＤをユーザ情報としてチケット情報記憶部１１４９から取得する。

【0108】

また、チケット管理部１１２９はステップＳ４３において、ユーザ情報記憶部１１４３を参照し、ＳＡＭＬ−Ｉｄｐ認証にユーザ情報として含まれていた組織ＩＤ及びユーザＩＤに紐付くパスワード（ハッシュ化パスワードを含む）を取得する。ステップＳ４４において、チケット管理部１１２９は、取得したユーザ情報を用いてマルチベンダ判断部１２０１にＳＡＭＬ−Ｉｄｐ認証を要求する。

【0109】

ステップＳ４５において、マルチベンダ判断部１２０１は取得した組織ＩＤ、ユーザＩＤ及びパスワードによるログインを認証サービス提供部１２０５の一例であるＯｐｅｎＡＭ１２０５ａ又は１２０５ｂに要求する。ＯｐｅｎＡＭ１２０５ａ又は１２０５ｂに要求されたログインはＡＤＣ１２１０によりＯｐｅｎＡＭ１２０５ａ又は１２０５ｂに振り分けられる。ここではログインがＯｐｅｎＡＭ１２０５ａに振り分けられたものとして説明を続ける。

【0110】

ステップＳ４６において、ＡＤＣ１２１０は要求されたログインをＯｐｅｎＡＭ１２０５ａに振り分ける。ＯｐｅｎＡＭ１２０５ａは認証に成功した場合にＯｐｅｎＡＭ１２０５ａの認証チケットを生成し、その認証チケットをログインの要求に対する応答としてＡＤＣ１２１０に返す。

【0111】

ステップＳ４７において、ＡＤＣ１２１０は認証チケットを生成したＯｐｅｎＡＭ１２０５ａの識別子を生成する。そして、ＡＤＣ１２１０はステップＳ４８においてＯｐｅｎＡＭ１２０５ａの認証チケットとＯｐｅｎＡＭ１２０５ａの識別子とをマルチベンダ判断部１２０１に返す。

【0112】

ステップＳ４９において、マルチベンダ判断部１２０１はＯｐｅｎＡＭ１２０５ａの認証チケットとＯｐｅｎＡＭ１２０５ａの識別子とを用いてＡＤＣ１２１０に対し、ＳＡＭＬ連携の要求（ＳＡＭＬリクエスト）を行う。ステップＳ５０において、ＡＤＣ１２１０はＳＡＭＬリクエストに含まれるＯｐｅｎＡＭ１２０５ａの識別子に基づき、ＳＡＭＬリクエストをＯｐｅｎＡＭ１２０５ａに送信する。

【0113】

ＯｐｅｎＡＭ１２０５ａは認証チケットの認証に成功すると、ＳＡＭＬレスポンスを含んだＪａｖａｓｃｒｉｐｔを生成し、ＡＤＣ１２１０からマルチベンダ判断部１２０１に返す。マルチベンダ判断部１２０１はＳＡＭＬレスポンスを含んだＪａｖａｓｃｒｉｐｔをチケット管理部１１２９からブラウザに返す。

【0114】

この後、ブラウザは外部サービス１０３１のＡＣＳへサービス提供システム１０２０のＳＡＭＬレスポンスをＰＯＳＴし、外部サービス１０３１とのＳＡＭＬ連携を実現できるようになる。

【0115】

図１２のシーケンス図ではＯｐｅｎＡＭ１２０５ａで発行した認証チケットを含むＳＡＭＬリクエストをＯｐｅｎＡＭ１２０５ｂに送信すると認証エラーとなるため、ＯｐｅｎＡＭ１２０５ａの識別子を生成し、ＡＤＣ１２１０による振り分けに利用している。図１２のシーケンス図ではＯｐｅｎＡＭをａｃｔｉｖｅ−ａｃｔｉｖｅ構成で運用することができる。

【0116】

（まとめ）
本実施形態に係るサービス提供システム１０２０によれば、ＯｐｅｎＡＭによるＳＡＭＬ連携を実現した状態で、サービス提供システム１０２０の認証チケットをＯｐｅｎＡＭから分離して管理するため、ＯｐｅｎＡＭの影響を減少できる。例えばＯｐｅｎＡＭは再起動が必要なパッチ充てなどのリリースやメンテナンスを継続的に実施している。

【0117】

本実施形態に係るサービス提供システム１０２０では、ＯｐｅｎＡＭの再起動によりＯｐｅｎＡＭの認証チケットがリセットされたとしても、サービス提供システム１０２０の認証チケットがリセットされない。したがって、本実施形態に係るサービス提供システム１０２０ではサービス提供システム１０２０のサービスを停止することなく、認証連携機能を実現するＯｐｅｎＡＭなどの他の認証基盤のリリースやメンテナンスを実現することができる。また、本実施形態に係るサービス提供システム１０２０では、ＯｐｅｎＡＭをａｃｔｉｖｅ−ａｃｔｉｖｅ構成で運用することで、ＯｐｅｎＡＭの負荷分散を行うことができる。

【0118】

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。

【0119】

なお、サービス提供システム１０２０の認証基盤は特許請求の範囲に記載した第２の認証機能の一例である。ＯｐｅｎＡＭは第１の認証機能の一例である。チケット管理部１１２９は管理手段の一例である。マルチベンダ判断部１２０１は認証機能利用手段の一例である。認証エージェント１１１４等は代理手段の一例である。アプリケーションデリバリコントローラ（ＡＤＣ）１２１０は振分手段の一例である。

【0120】

サービス提供システム１０２０の認証チケットは第２の認証の情報の一例である。ＯｐｅｎＡＭの認証チケットは第１の認証の情報の一例である。ＳＡＭＬリクエスト（レスポンス）は連携認証要求（応答）の一例である。アプリケーション１１０１は内部サービスの一例である。外部サービス１０３１は外部サービスの一例である。

【符号の説明】

【0121】

１００ コンピュータ
１０１ 入力装置
１０２ 表示装置
１０３ 外部Ｉ／Ｆ
１０３ａ 記録媒体
１０４ ＲＡＭ
１０５ ＲＯＭ
１０６ ＣＰＵ
１０７ 通信Ｉ／Ｆ
１０８ ＨＤＤ
１０００ 情報処理システム
１０１１ クライアント端末
１０１２ 携帯端末
１０１３ 画像形成装置
１０２１ アクセス制御装置
１０２２ プリントサービス提供装置
１０２３ スキャンサービス提供装置
１０２４ ポータルサービス提供装置
１０２５ 他サービス提供装置
１０３１ 外部サービス
１０５１ ポータルサービス提供装置
１０５２ プリントサービス提供装置
１０５３ スキャンサービス提供装置
１０６１ 認証サービス提供装置
１０６２ データ処理サービス提供装置
１０６３ 一時データ保存サービス提供装置
１０７１ 認証情報記憶装置
１０７２ ジョブ情報記憶装置
１０７３ 一時データ記憶装置
１０２０ サービス提供システム
１１０１ アプリケーション
１１０２ 共通サービス
１１０３ データベース
１１０４ アプリケーションＡＰＩ（Application Programming Interface）
１１０５ プラットフォームＡＰＩ
１１１１ ポータルサービスアプリ
１１１２ スキャンサービスアプリ
１１１３ プリントサービスアプリ
１１１４、１１１５ 認証エージェント
１１２１ 認証・認可部
１１２２ 組織管理部
１１２３ ユーザ管理部
１１２４ ライセンス管理部
１１２５ 機器管理部
１１２６ 一時画像保存部
１１２７ 画像処理ワークフロー制御部
１１２８ ログ収集部
１１２９ チケット管理部
１１３１ メッセージキュー
１１３２ ワーカー
１１４１ ログ情報記憶部
１１４２ 組織情報記憶部
１１４３ ユーザ情報記憶部
１１４４ ライセンス情報記憶部
１１４５ 機器情報記憶部
１１４６ 一時画像記憶部
１１４７ ジョブ情報記憶部
１１４８ アプリケーション固有の設定情報記憶部
１１４９ チケット情報記憶部
１２０１ マルチベンダ判断部
１２０２ ＯＡｕｔｈ部
１２０３ 代理認証部
１２０４ ディレクトリサービス
１２０５、１２０６ 認証サービス提供部
１２１０ アプリケーションデリバリコントローラ（ＡＤＣ）
Ｂ バス
ＦＷ ファイヤウォール
Ｎ１〜Ｎ３ ネットワーク

【先行技術文献】

【特許文献】

【0122】

【特許文献1】特開２００６−３１７１４号公報

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】