特許 7507138 ネットワークシステムおよびサーバ装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-06-19

(45)【発行日】2024-06-27

(54)【発明の名称】ネットワークシステムおよびサーバ装置

(51)【国際特許分類】

   G06F 21/45 20130101AFI20240620BHJP

   G06F 21/31 20130101ALI20240620BHJP

【ＦＩ】

G06F21/45

G06F21/31

【請求項の数】 10

(21)【出願番号】P 2021200569

(22)【出願日】2021-12-10

(65)【公開番号】P2023086211

(43)【公開日】2023-06-22

【審査請求日】2023-07-21

(73)【特許権者】

【識別番号】300059979

【氏名又は名称】エイチ・シー・ネットワークス株式会社

(74)【代理人】

【識別番号】110002066

【氏名又は名称】弁理士法人筒井国際特許事務所

(72)【発明者】

【氏名】伊藤 雅人

(72)【発明者】

【氏名】宮嶋 ひより

【審査官】上島 拓也

(56)【参考文献】

【文献】特開平１０－２４０６８７（ＪＰ，Ａ）

【文献】特開２０１７－２０４６９７（ＪＰ，Ａ）

【文献】特開２００４－２１３４７６（ＪＰ，Ａ）

【文献】特開２０１２－１３８６９２（ＪＰ，Ａ）

【文献】特開２００４－２０８１９９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／４５

Ｇ０６Ｆ ２１／３１

(57)【特許請求の範囲】

【請求項1】

ネットワークへのログインの許可／拒否を判定する認証サーバと、
情報端末からのアカウントを含んだログイン要求に応じて、前記アカウントからの前記ネットワークへのログインの許可／拒否を、前記認証サーバへの問い合わせ通信によって定める認証クライアントと、
ログデータベースを有するログ管理サーバと、
を有するネットワークシステムであって、
前記認証クライアントは、前記認証サーバへの問い合わせ通信によって前記ログインが許可された際に、許可によってログイン状態となった前記アカウントであるログインアカウントと、ログイン時間とを含んだ認証結果ログを前記ログ管理サーバへ送信し、
前記ログ管理サーバは、
前記認証クライアントからの前記ログインアカウントと前記ログイン時間とを前記ログデータベースに登録し、
前記ログインアカウントの前記ログイン時間からの経過時間を監視し、前記経過時間が、予め定められた制限時間に達した場合に、前記ログインアカウントからの前記ネットワークへの通信を遮断するための通信遮断命令を、前記認証クライアントへ送信する、
ネットワークシステム。

【請求項2】

請求項１記載のネットワークシステムにおいて、
前記ログデータベースは、前記ログインアカウントと、前記ログイン時間と、前記ログインアカウントの送信元である前記認証クライアントの識別子と、の対応関係を保持し、
前記ログ管理サーバは、前記ログインアカウントの前記通信遮断命令を、前記ログデータベースに基づいて定められる前記認証クライアントへ送信する、
ネットワークシステム。

【請求項3】

請求項２記載のネットワークシステムにおいて、
前記認証サーバは、予め設定された、前記ログインアカウントの前記制限時間の情報を保持し、
前記ログデータベースは、前記ログインアカウントと、前記ログイン時間と、前記認証クライアントの識別子とに加えて、前記制限時間との対応関係を保持し、
前記ログ管理サーバは、前記認証サーバと通信することで、前記ログインアカウントの前記制限時間を前記認証サーバから取得し、前記ログデータベースに登録する、
ネットワークシステム。

【請求項4】

請求項１記載のネットワークシステムにおいて、
前記ログ管理サーバは、前記認証クライアントが前記通信遮断命令の送信対象であるか非送信対象であるかを表す対象判別情報を予め保持し、前記非送信対象の前記認証クライアントには前記通信遮断命令を送信しない、
ネットワークシステム。

【請求項5】

請求項１記載のネットワークシステムにおいて、
前記ログ管理サーバは、前記経過時間が前記制限時間に達する前に、前記ログインアカウントを有するユーザへ、前記制限時間が迫っていることを表す事前通知を送信する、
ネットワークシステム。

【請求項6】

ネットワークへのログインの許可／拒否を判定する認証サーバと、情報端末からのアカウントを含んだログイン要求に応じて、前記アカウントからの前記ネットワークへのログインの許可／拒否を、前記認証サーバへの問い合わせ通信によって定める認証クライアントと、に接続され、ログデータベースを有するサーバ装置であって、
前記認証クライアントは、前記認証サーバへの問い合わせ通信によって前記ログインが許可された際に、許可によってログイン状態となった前記アカウントであるログインアカウントと、ログイン時間とを含んだ認証結果ログを前記サーバ装置へ送信し、
前記サーバ装置は、
前記認証クライアントからの前記ログインアカウントと前記ログイン時間とを前記ログデータベースに登録し、
前記ログインアカウントの前記ログイン時間からの経過時間を監視し、前記経過時間が、予め定められた制限時間に達した場合に、前記ログインアカウントからの前記ネットワークへの通信を遮断するための通信遮断命令を、前記認証クライアントへ送信する、
サーバ装置。

【請求項7】

請求項６記載のサーバ装置において、
前記ログデータベースは、前記ログインアカウントと、前記ログイン時間と、前記ログインアカウントの送信元である前記認証クライアントの識別子と、の対応関係を保持し、
前記サーバ装置は、前記ログインアカウントの前記通信遮断命令を、前記ログデータベースに基づいて定められる前記認証クライアントへ送信する、
サーバ装置。

【請求項8】

請求項７記載のサーバ装置において、
前記認証サーバは、予め設定された、前記ログインアカウントの前記制限時間の情報を保持し、
前記ログデータベースは、前記ログインアカウントと、前記ログイン時間と、前記認証クライアントの識別子とに加えて、前記制限時間との対応関係を保持し、
前記サーバ装置は、前記認証サーバと通信することで、前記ログインアカウントの前記制限時間を前記認証サーバから取得し、前記ログデータベースに登録する、
サーバ装置。

【請求項9】

請求項６記載のサーバ装置において、
前記認証クライアントが前記通信遮断命令の送信対象であるか非送信対象であるかを表す対象判別情報を予め保持し、前記非送信対象の前記認証クライアントには前記通信遮断命令を送信しない、
サーバ装置。

【請求項10】

請求項６記載のサーバ装置において、
前記経過時間が前記制限時間に達する前に、前記ログインアカウントを有するユーザへ、前記制限時間が迫っていることを表す事前通知を送信する、
サーバ装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、ネットワークシステムおよびサーバ装置に関する。

【背景技術】

【0002】

特許文献１には、不正通信をより確実に遮断することが可能なネットワークシステムが示される。当該ネットワークシステムにおいて、ログ管理サーバは、認証サーバまたは認証スイッチからの認証許可ログと、ＤＨＣＰサーバからのＤＨＣＰログとを受信し、認証許可の対象となるアカウントＩＤ（ＭＡＣアドレス）とＩＰアドレスとの対応関係を端末管理ＤＢに登録する。ログ管理サーバは、不正通信検知装置からの不正通信検知ログを受信した場合に、不正通信を行ったＩＰアドレスに対応するアカウントＩＤ（ＭＡＣアドレス）を、端末管理ＤＢに基づいて特定し、特定したアカウントＩＤを対象とする認証拒否命令を認証サーバへ送信する。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２０１７－２０４６９７公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

例えば、ＲＡＤＩＵＳ（Remote Authentication Dial In User Service）機能を有する認証クライアントは、ユーザからの情報端末を介したネットワークへのログイン要求に応じて、認証サーバに問い合わせ通信を行うことでログインの許可／拒否を定めることができる。加えて、ＲＡＤＩＵＳアカウンティング機能を有する認証クライアントは、ログインを許可したユーザ毎に、ネットワークへの送受信オクテット数や接続時間等を記録することができる。

【0005】

一方、ユーザの中には、ネットワークを定常的に利用する一般ユーザや、ネットワークを一時的に利用するゲストユーザ等が含まれ得る。前述したようなＲＡＤＩＵＳアカウンティング機能を有する、または、それと等価な機能、例えばセッションタイムアウトの設定機能を有する認証クライアントを用いると、例えば、ゲストユーザ毎に、ネットワークへの接続時間を制限すること等が可能となる。しかしながら、ＲＡＤＩＵＳアカウンティング機能等を有しない認証クライアントを用いる場合、ユーザによるネットワークへの接続時間を制限することが困難となり得る。

【0006】

本発明の目的の一つは、認証クライアントの機能に依らず、ユーザによるネットワークへの接続時間を制限することが可能なネットワークシステムおよびサーバ装置を提供することにある。

【0007】

本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。

【課題を解決するための手段】

【0008】

本願において開示される発明のうち、代表的な実施の形態の概要を簡単に説明すれば、次のとおりである。

【0009】

一実施の形態によるネットワークシステムは、ネットワークへのログインの許可／拒否を判定する認証サーバと、情報端末からのアカウントを含んだログイン要求に応じて、当該アカウントからのネットワークへのログインの許可／拒否を、認証サーバへの問い合わせ通信によって定める認証クライアントと、ログ管理サーバと、を有する。認証クライアントは、認証サーバへの問い合わせ通信によってログインが許可された際に、許可によってログイン状態となったアカウントであるログインアカウントと、ログイン時間とを含んだ認証結果ログをログ管理サーバへ送信する。ログ管理サーバは、認証クライアントからのログインアカウントとログイン時間とをログデータベースに登録する。そして、ログ管理サーバは、ログインアカウントのログイン時間からの経過時間を監視し、当該経過時間が、予め定められた制限時間に達した場合に、当該ログインアカウントからのネットワークへの通信を遮断するための通信遮断命令を、認証クライアントへ送信する。

【発明の効果】

【0010】

本願において開示される発明のうち、代表的な実施の形態によって得られる効果を簡単に説明すると、認証クライアントの機能に依らず、ユーザによるネットワークへの接続時間を制限することが可能になる。

【図面の簡単な説明】

【0011】

【図1】本発明の実施の形態１によるネットワークシステムにおいて、主要部の構成例および動作例を示す概略図である。

【図2】図１に示されるネットワークシステムの主要部の処理内容の一例を示すシーケンス図である。

【図3】図１におけるログ管理サーバの主要部の構成例を示す概略図である。

【図4】実施の形態２によるネットワークシステムにおいて、図１におけるログ管理サーバの主要部の構成例を示す概略図である。

【図5】図４におけるログＤＢおよび対象判別情報の構成例を示す概略図である。

【図6】図４における経過時間監視部の処理内容の一例を示すフロー図である。

【発明を実施するための形態】

【0012】

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

【0013】

（実施の形態１）
＜ネットワークシステムの概略＞
図１は、本発明の実施の形態１によるネットワークシステムにおいて、主要部の構成例および動作例を示す概略図である。図１に示すネットワークシステムは、イントラネット網等のネットワーク１０と、ネットワーク１０に接続される認証スイッチＳＷ、無線ＬＡＮコントローラＷＬＣ、ログ管理サーバ１５、認証サーバ１６、ディレクトリサーバ１７およびアプリケーションサーバ１８等を備える。ネットワーク１０は、例えば、ＯＳＩ参照モデルのレイヤ３（Ｌ３）のネットワークであり、ルータやＬ３スイッチ等を含む。

【0014】

認証スイッチＳＷおよび無線ＬＡＮコントローラＷＬＣは、例えば、ＲＡＤＩＵＳクライアントといった認証クライアントＳＷ／ＷＬＣである。認証スイッチＳＷは、例えば、ＯＳＩ参照モデルのレイヤ２（Ｌ２）の中継処理を担うＬ２スイッチであり、ポートＰ１，…，Ｐｎを備える。ポートＰ１には、ユーザ１１ａによって利用される情報端末ＴＭ１０が有線で接続され、ポートＰｎには、ネットワーク管理者１２によって利用される管理端末ＴＭｍが有線で接続される。無線ＬＡＮコントローラＷＬＣは、無線通信のアクセスポイントの機能とＬ２スイッチの機能とを備える。無線ＬＡＮコントローラＷＬＣには、ユーザ１１ｂによって利用される情報端末ＴＭ２０が無線で接続される。

【0015】

認証サーバ１６は、例えば、コンピュータ装置で実現されるＲＡＤＩＵＳサーバ等であり、ネットワーク１０へのログインの許可／拒否を判定する。具体的には、認証サーバ１６は、メモリ２２に保持される認証データベース（ＤＢと略す）２３を有し、認証ＤＢ２３に基づいてログインの許可／拒否を判定する。認証ＤＢ２３は、アカウントＡＣＮ毎に、ログインの許可／拒否の情報を保持する。さらに、この例では、認証ＤＢ２３は、アカウントＡＣＮ毎に、ネットワーク１０の利用に伴う制限時間ＬＬＴの情報を保持する。認証ＤＢ２３の各情報は、予め、ネットワーク管理者１２によって登録される。

【0016】

アカウントＡＣＮは、例えば、パスワード認証に対応するユーザＩＤ／パスワードや、ＭＡＣアドレス認証に対応するＭＡＣアドレス等である。図１に示される例では、２個のアカウントＡＣＮとして、情報端末ＴＭ１０のＭＡＣアドレス“ＭＡ１０”と、ユーザ１１ｂのユーザＩＤ“ＵＩＤ２”／パスワード“ＰＷ２”とが登録されている。当該２個のアカウントＡＣＮからのネットワーク１０へのログインは、共に許可される。

【0017】

制限時間ＬＬＴは、ネットワーク１０の利用可能期間や、利用可能時刻を表す。図１に示される例では、アカウントＡＣＮ“ＭＡ１０”は、ログイン後、３時間まで利用可能であり、アカウントＡＣＮ“ＵＩＤ２”は、ログイン時間を問わず、時刻“ｈ３：ｍ３：ｓ３”まで利用可能である。なお、認証ＤＢ２３は、ここでは、認証サーバ１６内に設けられるが、アクティブディレクトリサーバやＬＤＡＰ（Lightweight Directory Access Protocol）サーバといったディレクトリサーバ１７に設けられてもよい。この場合、認証サーバ１６は、当該ディレクトリサーバ１７と連携しながらログインの許可／拒否を判定する。

【0018】

認証クライアントＳＷ／ＷＬＣは、情報端末からのアカウントＡＣＮを含んだログイン要求ＬＲＱに応じて、当該アカウントＡＣＮからのネットワーク１０へのログインの許可／拒否を、認証サーバ１６への問い合わせ通信によって定める。具体例として、認証スイッチＳＷは、情報端末ＴＭ１０からのアカウントＡＣＮ“ＭＡ１０”を含んだログイン要求ＬＲＱに応じて、“ＭＡ１０”を含んだログイン判定要求ＡＲＱを認証サーバ１６へ送信する。認証サーバ１６は、“ＭＡ１０”を対象に、ログインの許可／拒否を判定する。

【0019】

図１に示される例では、認証サーバ１６は、認証ＤＢ２３の登録内容に基づいて、“ＭＡ１０”からのログインを許可と判定する。そして、認証スイッチＳＷは、認証サーバ１６から、ログインの許可／拒否の判定結果、ここでは許可の判定結果を含んだログイン判定応答ＡＲＳを受信する。この場合、ログインが許可された情報端末ＴＭ１０は、認証スイッチＳＷを介してネットワーク１０を利用できる。その結果、情報端末ＴＭ１０は、例えば、ネットワーク１０に接続されたアプリケーションサーバ１８等との通信が可能となる。

【0020】

また、認証クライアントＳＷ／ＷＬＣは、認証サーバ１６への問い合わせ通信によってログインが許可された際に、ログインアカウントＡＣＮａと、ログイン時間ＬＴと、認証クライアントの識別子（ＩＤ）ＣＩＤとを含んだ認証結果ログＬＧをログ管理サーバ１５へ送信する。ログインアカウントＡＣＮａは、ログインの許可によってログイン状態となったアカウントである。

【0021】

ログイン時間ＬＴは、例えば、認証クライアントＳＷ／ＷＬＣまたは認証サーバ１６の時刻情報に基づいて定められる。認証クライアントの識別子ＣＩＤは、例えば、認証結果ログＬＧの送信元ＩＰアドレスによって定められる。具体例として、認証スイッチＳＷは、情報端末ＴＭ１０のログインアカウントＡＣＮａ“ＭＡ１０”と、ログイン時間ＬＴ“ｈ１：ｍ１：ｓ１”と、認証スイッチＳＷのＩＰアドレス“ＩＰＡ１”とを含む認証結果ログＬＧをログ管理サーバ１５へ送信する。

【0022】

ログ管理サーバ（サーバ装置）１５は、コンピュータ装置で実現され、その機能の一つとして、認証結果ログＬＧを含め、ネットワーク１０上で生じた各種ログを収集する。ログは、例えば、ｓｙｓｌｏｇや、ＳＮＭＰ（Simple Network Management Protocol） Ｔｒａｐ等で通知されるログである。ログ管理サーバ１５は、メモリ２０に保持されるログＤＢ２１を有する。

【0023】

ログＤＢ２１は、ログインアカウントＡＣＮａと、ログイン時間ＬＴと、ログインアカウントＡＣＮａの送信元である認証クライアントの識別子ＣＩＤと、の対応関係を保持し、加えて制限時間ＬＬＴとの対応関係を保持する。ログ管理サーバ１５は、認証クライアントＳＷ／ＷＬＣからの認証結果ログＬＧを受信した場合、認証結果ログＬＧに含まれるログインアカウントＡＣＮａとログイン時間ＬＴと認証クライアントの識別子ＣＩＤとをログＤＢ２１に登録する。また、ログ管理サーバ１５は、認証サーバ１６と通信することで、ログインアカウントＡＣＮａの制限時間ＬＬＴを認証サーバ１６から取得し、ログＤＢ２１に登録する。

【0024】

図１に示される例では、ログ管理サーバ１５は、認証スイッチＳＷからの認証結果ログＬＧを受信し、ログインアカウントＡＣＮａ“ＭＡ１０”と、ログイン時間ＬＴ“ｈ１：ｍ１：ｓ１”と、認証スイッチＳＷのＩＰアドレス“ＩＰＡ１”とをログＤＢ２１に登録する。また、ログ管理サーバ１５は、認証サーバ１６から、“ＭＡ１０”に対応する制限時間ＬＬＴ“３ｈｒ”を取得し、ログＤＢ２１に登録する。

【0025】

なお、無線ＬＡＮコントローラＷＬＣが情報端末ＴＭ２０からユーザＩＤ“ＵＩＤ２”／パスワード“ＰＷ２”を含むログイン要求ＬＲＱを受けた場合も、同様の処理が行われる。その結果、ログＤＢ２１には、ログインアカウントＡＣＮａ“ＵＩＤ２”と、ログイン時間ＬＴ“ｈ２：ｍ２：ｓ２”と、制限時間ＬＬＴ“ｈ３：ｍ３：ｓ３”と、無線ＬＡＮコントローラＷＬＣのＩＰアドレス“ＩＰＡ２”との対応関係が登録される。

【0026】

ここで、ログ管理サーバ１５は、ログＤＢ２１に基づいて、各ログインアカウントＡＣＮａのログイン時間ＬＴからの経過時間を監視し、当該経過時間が、予め定められた制限時間ＬＬＴに達した場合に、認証クライアントＳＷ／ＷＬＣへ通信遮断命令ＣＢを送信する。通信遮断命令ＣＢは、当該ログインアカウントＡＣＮａからのネットワーク１０への通信を遮断するための命令である。また、通信遮断命令ＣＢの宛先となる認証クライアントＳＷ／ＷＬＣは、ログＤＢ２１における認証クライアントの識別子ＣＩＤに基づいて定められる。

【0027】

認証クライアントＳＷ／ＷＬＣは、通信遮断命令ＣＢを受けて、通信遮断命令ＣＢに含まれるログインアカウントＡＣＮａからのネットワーク１０への通信を遮断する。言い換えれば、認証クライアントＳＷ／ＷＬＣは、当該ログインアカウントＡＣＮａを強制的にログアウトさせる。

【0028】

図１に示される例では、ログ管理サーバ１５は、ログインアカウントＡＣＮａ“ＭＡ１０”を対象に、ログイン時間ＬＴ“ｈ１：ｍ１：ｓ１”から３時間経過した場合に、ＩＰアドレスＩＰＡ１を宛先とするＩＰパケット等を用いて、“ＭＡ１０”の通信遮断命令ＣＢを送信する。また、ログ管理サーバ１５は、ログインアカウントＡＣＮａ“ＵＩＤ２”を対象に、時間“ｈ３：ｍ３：ｓ３”に到達した場合に、ＩＰアドレスＩＰＡ２を宛先とするＩＰパケット等を用いて、“ＵＩＤ２”の通信遮断命令ＣＢを送信する。

【0029】

図２は、図１に示されるネットワークシステムの主要部の処理内容の一例を示すシーケンス図である。図２において、情報端末ＴＭは、認証クライアントＳＷ／ＷＬＣ、すなわち認証スイッチＳＷまたは無線ＬＡＮコントローラＷＬＣへアカウントＡＣＮを含んだログイン要求ＬＲＱを送信する（ステップＳ１０１）。これに応じて、認証クライアントＳＷ／ＷＬＣは、アカウントＡＣＮを含むログイン判定要求ＡＲＱを、認証サーバ１６へ送信する（ステップＳ１０２）。

【0030】

認証サーバ１６は、この例では、認証ＤＢ２３に基づいて、ログイン判定要求ＡＲＱに含まれるアカウントＡＣＮからのログインを許可と判定し、許可の判定結果を含んだログイン判定応答ＡＲＳを認証クライアントＳＷ／ＷＬＣへ送信する（ステップＳ１０３）。これにより、認証クライアントＳＷ／ＷＬＣは、当該アカウントＡＣＮ、すなわちログインアカウントＡＣＮａからのネットワーク１０へのログインを許可する（ステップＳ１０４）。

【0031】

具体的には、認証クライアントＳＷ／ＷＬＣは、例えば、当該ログインアカウントＡＣＮａの送信元となる情報端末ＴＭを対象に、パケットフィルタ等を用いて、当該情報端末ＴＭのＭＡＣアドレスを送信元とするフレームの中継を許可する。その結果、情報端末ＴＭは、ネットワーク１０の利用が可能となる（ステップＳ１）。この際に、図１に示したように、ログインアカウントＡＣＮａがユーザＩＤ“ＵＩＤ２”の場合、認証クライアントＳＷ／ＷＬＣは、ステップＳ１０１において、予め“ＵＩＤ２”と情報端末ＴＭ２０のＭＡＣアドレス“ＭＡ２０”との対応関係を保持しておけばよい。

【0032】

また、認証クライアントＳＷ／ＷＬＣは、ステップＳ１０４の処理に伴い、ログ管理サーバ１５へ認証結果ログＬＧを送信する（ステップＳ１０５）。認証結果ログＬＧには、ログインアカウントＡＣＮａと、ログイン時間ＬＴと、認証クライアントの識別子ＣＩＤ、例えばＩＰアドレスとが含まれる。ログ管理サーバ１５は、これらの情報（ＡＣＮａ，ＬＴ，ＣＩＤ）をログＤＢ２１に登録する（ステップＳ１０６）。

【0033】

さらに、ログ管理サーバ１５は、ログインアカウントＡＣＮａに対応する制限時間ＬＬＴを認証サーバ１６から取得し（ステップＳ１０７）、ログＤＢ２１に登録する（ステップＳ１０８）。なお、この例では、ログ管理サーバ１５は、ステップＳ１０５でログインアカウントＡＣＮａを受信したのちに、当該ログインアカウントＡＣＮａに対応する制限時間ＬＬＴを認証サーバ１６から取得している。

【0034】

ただし、例えば、ログ管理サーバ１５は、図１に示した認証ＤＢ２３におけるアカウントＡＣＮと制限時間ＬＬＴとの対応関係を定期的に取得し、当該対応関係をメモリ２０に保持することで、当該対応関係に基づいて、ログＤＢ２１に登録する制限時間ＬＬＴを定めてもよい。また、ここでは、ネットワーク管理者１２は、アカウントＡＣＮ毎の制限時間ＬＬＴを、認証サーバ１６に登録したが、代わりに、ログ管理サーバ１５に登録してもよい。この場合、ステップＳ１０７の処理は不要となる。ただし、認証に関する情報を一元管理する、すなわち、ネットワーク管理を効率化するという観点では、認証サーバ１６に制限時間ＬＬＴを登録する方が望ましい。

【0035】

ステップＳ１０８ののち、ログ管理サーバ１５は、ログＤＢ２１に登録されたログインアカウントＡＣＮａを対象に、ログイン時間ＬＴからの経過時間を監視する（ステップＳ１０９）。そして、ログ管理サーバ１５は、経過時間が制限時間ＬＬＴに達した場合、当該ログインアカウントＡＣＮａの通信遮断命令ＣＢを認証クライアントＳＷ／ＷＬＣへ送信する（ステップＳ１１０）。

【0036】

認証クライアントＳＷ／ＷＬＣは、通信遮断命令ＣＢを受信し、当該通信遮断命令ＣＢに含まれるログインアカウントＡＣＮａからのネットワーク１０へ通信を遮断する（ステップＳ１１１）。具体的には、認証クライアントＳＷ／ＷＬＣは、当該ログインアカウントＡＣＮａの送信元となる情報端末ＴＭを対象に、パケットフィルタ等を用いて、当該情報端末ＴＭのＭＡＣアドレスを送信元とするフレームの中継を遮断する。その結果、情報端末ＴＭは、ネットワーク１０を利用できなくなる（ステップＳ２）。すなわち、ステップＳ１０１に戻り、再度のログイン要求ＬＲＱが必要とされる状態になる。

【0037】

なお、ステップＳ１１１の処理が行われたのちのログイン要求ＬＲＱに対する許可／拒否は、例えば、認証サーバ１６の登録内容に基づいて定められればよい。具体的には、認証サーバ１６において、例えば、ログインを１回限り許可、制限無く許可、時間指定で許可等の制約を設ければよい。また、制限時間ＬＬＴに達する前にログアウトが行われた場合、ログ管理サーバ１５は、ログアウトされた旨を表すログを受信する。この場合、当該ログアウトされたアカウントＡＣＮは、ログＤＢ２１におけるログインアカウントＡＣＮａから除外され、制限時間ＬＬＴの監視対象から除外される。

【0038】

＜ログ管理サーバ（サーバ装置）の詳細＞
図３は、図１におけるログ管理サーバの主要部の構成例を示す概略図である。図３に示すログ管理サーバ（サーバ装置）１５は、ログＤＢ２１を保持するメモリ２０に加えて、ログ受信部２５と、制限時間取得部２６と、経過時間監視部２７と、通信遮断命令送信部２８とを備える。メモリ２０は、例えば、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の不揮発性メモリと、ＤＲＡＭ（Dynamic Random Access Memory）やＳＲＡＭ（Static RAM）等の揮発性メモリとの組み合わせで構成される。

【0039】

ログ受信部２５、制限時間取得部２６、経過時間監視部２７および通信遮断命令送信部２８は、例えば、プロセッサがメモリ２０に格納された所定のプログラムを実行することで実現される。ログ受信部２５は、図２のステップＳ１０５，Ｓ１０６に示したように、認証クライアントＳＷ／ＷＬＣからの認証結果ログＬＧを受信し、ログの情報をログＤＢ２１に登録する。制限時間取得部２６は、図２のステップ１０７，Ｓ１０８に示したように、認証サーバ１６からログインアカウントＡＣＮａの制限時間を取得し、ログＤＢ２１に登録する。

【0040】

経過時間監視部２７は、図２のステップＳ１０９に示したように、ログＤＢ２１に基づいて、ログインアカウントＡＣＮａにおけるログイン時間ＬＴからの経過時間を監視し、経過時間が制限時間ＬＬＴに達したか否かを判定する。通信遮断命令送信部２８は、図２のステップＳ１１０に示したように、経過時間監視部２７の監視結果に基づいて、制限時間ＬＬＴに達したログインアカウントＡＣＮａの通信遮断命令ＣＢを、ログＤＢ２１に基づいて得られる認証クライアントＳＷ／ＷＬＣへ送信する。

【0041】

＜実施の形態１の主要な効果＞
以上、実施の形態１のネットワークシステムおよびサーバ装置を用いることで、認証クライアントＳＷ／ＷＬＣの機能に依らず、ユーザによるネットワーク１０への接続時間を制限することが可能になる。具体的には、認証クライアントＳＷ／ＷＬＣがＲＡＤＩＵＳアカウンティング機能やセッションタイムアウトの設定機能を有しない場合であっても、ログ管理サーバ１５が、ログＤＢ２１に基づいて制限時間ＬＬＴを監視することで、ユーザによるネットワーク１０への接続時間を制限できるようになる。その結果、ＲＡＤＩＵＳアカウンティング機能等に対応しない既存の認証クライアントＳＷ／ＷＬＣを交換する必要性がなくなるため、コストの増大を抑制できる。

【0042】

（実施の形態２）
＜ログ管理サーバ（サーバ装置）の詳細＞
図４は、実施の形態２によるネットワークシステムにおいて、図１におけるログ管理サーバの主要部の構成例を示す概略図である。図４に示すログ管理サーバ１５ａは、図３に示した構成例と比較して、次の点が異なっている。１点目の相違点として、ログＤＢ２１ａの登録内容が異なる。２点目の相違点として、メモリ２０内に対象判別情報３０が追加される。３点目の相違点として、経過時間監視部２７ａの処理内容が若干異なる。４点目の相違点として、事前通知送信部３１が追加される。事前通知送信部３１は、例えば、プロセッサがメモリ２０に格納された所定のプログラムを実行することで実現される。

【0043】

図５は、図４におけるログＤＢおよび対象判別情報の構成例を示す概略図である。図５に示すログＤＢ２１ａは、図１の構成例と比較して、さらに、ログインアカウントＡＣＮａ毎のＭＡＣアドレスＭＡ、ＩＰアドレスＩＰＡ、メールアドレスＭＬＡおよび事前通知送信情報３５が追加されている。認証クライアントＳＷ／ＷＬＣは、例えば、図２に示されるステップＳ１０１において、ログインアカウントＡＣＮａ毎のＭＡＣアドレスＭＡを取得することができる。認証クライアントＳＷ／ＷＬＣは、図２に示されるステップＳ１０５において、当該ＭＡＣアドレスＭＡを含んだ認証結果ログＬＧを送信すればよい。

【0044】

ログインアカウントＡＣＮａ毎のＩＰアドレスＩＰＡは、例えば、特許文献１に示されるように、ログ管理サーバ１５ａが、ネットワーク１０に接続される図示しないＤＨＣＰ（Dynamic Host Configuration Protocol）サーバから、ＭＡＣアドレスとＩＰアドレスとの対応関係を表すＤＨＣＰログを受信することで取得され得る。ログインアカウントＡＣＮａ毎のメールアドレスＭＬＡは、特に、アクティブディレクトリ等のディレクトリサーバ１７によって保持される場合が多い。この場合、認証クライアントＳＷ／ＷＬＣは、認証サーバ１６から当該メールアドレスＭＬＡを含んだログイン判定応答ＡＲＳを受信し、当該メールアドレスＭＬＡを含んだ認証結果ログＬＧを送信すればよい。

【0045】

ログＤＢ２１ａ内のＭＡＣアドレスＭＡまたはＩＰアドレスＩＰＡは、例えば、ログ管理サーバ１５が、図２に示されるステップＳ１１０において通信遮断命令ＣＢを送信する際に、遮断対象となるログインアカウントＡＣＮａと等価な情報として送信され得る。例えば、認証クライアントＳＷ／ＷＬＣは、通信を遮断する際に、パケットフィルタ等に、ＭＡＣアドレスＭＡまたはＩＰアドレスＩＰＡを設定する場合が多い。ＭＡＣアドレスＭＡまたはＩＰアドレスＩＰＡを含んだ通信遮断命令ＣＢを用いると、このような場合に容易に対応することが可能になる。メールアドレスＭＬＡおよび事前通知送信情報３５は、後述する事前通知送信部３１で用いられる。

【0046】

図５に示す対象判別情報３０は、認証クライアントＳＷ／ＷＬＣが通信遮断命令ＣＢの送信対象であるか非送信対象であるかを表す情報である。対象判別情報３０は、予め、ネットワーク管理者１２によって定められる。例えば、図１において、認証スイッチＳＷは、ＲＡＤＩＵＳアカウンティング機能等を有しておらず、無線ＬＡＮコントローラＷＬＣは、ＲＡＤＩＵＳアカウンティング機能等を有している場合を仮定する。この場合、無線ＬＡＮコントローラＷＬＣでは、ＲＡＤＩＵＳアカウンティング機能等を用いて、ログインアカウントＡＣＮａ毎の制限時間ＬＬＴを管理したい場合がある。

【0047】

ただし、この場合、ログ管理サーバ１５による制限時間ＬＬＴの管理も併用すると、無線ＬＡＮコントローラＷＬＣにおいて、重複する通信遮断命令が生じ、これらのタイムラグも生じ得るため、意図しない制御が行われるおそれがある。そこで、対象判別情報３０が設けられる。図５に示される例では、認証クライアントの識別子ＣＩＤ毎に対象／非対象が定められ、ＩＰアドレスＩＰＡ１を有する認証スイッチＳＷが対象に、ＩＰアドレスＩＰＡ２を有する無線ＬＡＮコントローラＷＬＣが非対象に定められる。

【0048】

ログ管理サーバ１５ａ、具体的には、経過時間監視部２７ａは、対象判別情報３０に基づいて、非送信対象の認証クライアント、図５に示される例では無線ＬＡＮコントローラＷＬＣからのログインアカウントＡＣＮａに対しては、経過時間の監視を行わない。これに伴い、ログ管理サーバ１５ａ、具体的には、通信遮断命令送信部２８は、非送信対象の認証クライアントである無線ＬＡＮコントローラＷＬＣには、通信遮断命令ＣＢを送信しない。

【0049】

事前通知送信部３１は、ログイン時間ＬＴからの経過時間が制限時間ＬＬＴに達する前に、対象のログインアカウントＡＣＮａを有するユーザへ、制限時間ＬＬＴが迫っていることを表す事前通知を送信する。具体的には、例えば、経過時間監視部２７ａは、制限時間ＬＬＴに達したログインアカウントＡＣＮａの有無に加えて、それよりも前の予め定められた時間である事前通知時間に達したログインアカウントＡＣＮａの有無も監視する。

【0050】

事前通知送信部３１は、経過時間監視部２７ａの監視結果に基づいて、事前通知時間に達したログインアカウントＡＣＮａを有するユーザへ、例えば、メールを用いて事前通知を送信する。この際のメールアドレスＭＬＡは、ログＤＢ２１ａに基づいて定められる。また、事前通知送信部３１は、事前通知を送信した場合、ログＤＢ２１ａ内の事前通知送信情報３５に、送信済を登録する。

【0051】

図６は、図４における経過時間監視部の処理内容の一例を示すフロー図である。経過時間監視部２７ａは、図６の処理を所定の制御周期で繰り返し実行する。まず、経過時間監視部２７ａは、ログＤＢ２１ａに登録されるログインアカウントＡＣＮａが監視対象であるか否かを対象判別情報３０に基づいて判別し、監視対象のログインアカウントＡＣＮａ毎にログイン時間ＬＴからの経過時間を監視する（ステップＳ２０１）。そして、経過時間監視部２７ａは、経過時間が事前通知時間に達したログインアカウントＡＣＮａの有無を判定する（ステップＳ２０２）。

【0052】

事前通知時間に達したログインアカウントＡＣＮａが有る場合（ステップＳ２０２：Ｙｅｓ）、経過時間監視部２７ａは、当該ログインアカウントＡＣＮａの経過時間が制限時間ＬＬＴにも達したか否かを判定する（ステップＳ２０３）。経過時間が制限時間ＬＬＴにも達した場合（ステップＳ２０３：Ｙｅｓ）、経過時間監視部２７ａは、通信遮断命令送信部２８へ、制限時間ＬＬＴに達したログインアカウントＡＣＮａを通知し、処理を終了する（ステップＳ２０４）。

【0053】

一方、事前通知時間に達したが制限時間ＬＬＴには達していないログインアカウントＡＣＮａが有る場合（ステップＳ２０２：Ｙｅｓ、ステップＳ２０３：Ｎｏ）、経過時間監視部２７ａは、ログＤＢ２１ａに基づいて、当該ログインアカウントＡＣＮａへの事前通知が送信済か未送信かを判定する（ステップＳ２０５）。事前通知が未送信の場合（ステップＳ２０５：Ｙｅｓ）、経過時間監視部２７ａは、事前通知送信部３１へ、事前通知が未送信であるログインアカウントＡＣＮａを通知し、処理を終了する（ステップＳ２０６）。なお、経過時間監視部２７ａは、ステップＳ２０２において事前通知時間に達したログインアカウントＡＣＮａが無い場合（“Ｎｏ”の場合）や、ステップＳ２０５で事前通知を送信済の場合（“Ｎｏ”の場合）にも、処理を終了する。

【0054】

＜実施の形態２の主要な効果＞
以上、実施の形態２のネットワークシステムおよびサーバ装置を用いることでも、実施の形態１で述べた各種効果と同様の効果が得られる。さらに、対象判別情報３０を設けることで、ＲＡＤＩＵＳアカウンティング機能等を有する認証クライアントＳＷ／ＷＬＣと、ＲＡＤＩＵＳアカウンティング機能等を有しない認証クライアントＳＷ／ＷＬＣとが混在するネットワークシステムにおいて、制限時間ＬＬＴを不都合なく管理することができる。さらに、事前通知送信部３１を設けることで、例えば、ユーザがネットワーク１０を利用している途中で、予期せぬネットワーク遮断が生じるような事態を防止できる。

【0055】

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。例えば、前述した実施の形態は、本発明を分かり易く説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

【0056】

例えば、前述した各種プログラムは、非一時的な有形のコンピュータ可読記録媒体に格納された上で、コンピュータ装置に供給され得る。このような記録媒体として、例えば、ハードディスクドライブ等を代表とする磁気記録媒体、ＤＶＤ（Digital Versatile Disc）やブルーレイディスク等を代表とする光記録媒体、フラッシュメモリ等を代表とする半導体メモリ等が挙げられる。

【符号の説明】

【0057】

１０…ネットワーク、１１ａ，１１ｂ…ユーザ、１２…ネットワーク管理者、１５，１５ａ…ログ管理サーバ、１６…認証サーバ、１７…ディレクトリサーバ、１８…アプリケーションサーバ、２０，２２…メモリ、２１，２１ａ…ログＤＢ、２３…認証ＤＢ、２５…ログ受信部、２６…制限時間取得部、２７，２７ａ…経過時間監視部、２８…通信遮断命令送信部、３０…対象判別情報、３１…事前通知送信部、３５…事前通知送信情報、ＡＣＮ…アカウント、ＡＣＮａ…ログインアカウント、ＡＲＱ…ログイン判定要求、ＡＲＳ…ログイン判定応答、ＣＢ…通信遮断命令、ＣＩＤ…認証クライアントの識別子、ＩＰＡ…ＩＰアドレス、ＬＧ…認証結果ログ、ＬＬＴ…制限時間、ＬＲＱ…ログイン要求、ＬＴ…ログイン時間、ＭＡ…ＭＡＣアドレス、ＭＬＡ…メールアドレス、Ｐ１～Ｐｎ…ポート、ＳＷ…認証スイッチ、ＴＭ，ＴＭ１０，ＴＭ２０…情報端末、ＴＭｍ…管理端末、ＷＬＣ…無線ＬＡＮコントローラ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】