特許 7587492 認証装置、認証装置の制御方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-12

(45)【発行日】2024-11-20

(54)【発明の名称】認証装置、認証装置の制御方法及びプログラム

(51)【国際特許分類】

   G06F 21/57 20130101AFI20241113BHJP

   G06F 21/64 20130101ALI20241113BHJP

【ＦＩ】

G06F21/57

G06F21/64

【請求項の数】 10

(21)【出願番号】P 2021213795

(22)【出願日】2021-12-28

(65)【公開番号】P2023097587

(43)【公開日】2023-07-10

【審査請求日】2024-02-20

(73)【特許権者】

【識別番号】000005108

【氏名又は名称】株式会社日立製作所

(74)【代理人】

【識別番号】110000176

【氏名又は名称】弁理士法人一色国際特許事務所

(72)【発明者】

【氏名】石田 明久

(72)【発明者】

【氏名】甲斐 賢

【審査官】上島 拓也

(56)【参考文献】

【文献】特開２０２０－０７４６０４（ＪＰ，Ａ）

【文献】特開平１１－２８２７５３（ＪＰ，Ａ）

【文献】特開２０１６－１７３８５１（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５７

Ｇ０６Ｆ ２１／６４

(57)【特許請求の範囲】

【請求項1】

サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築されたサービス提供システムの認証を行う認証装置であって、
プロセッサ及びメモリを備え、
前記サービス提供プログラムを含む、前記サービス提供システムを構築する際に用いられるデータの正当性を認証するデータ認証部と、
前記データを用いて前記サービス提供システムを構築する処理主体の正当性を認証するＩＤ属性認証部と、
前記サービス提供システムを構築する手順の正当性を認証するプロセス認証部と、
前記データの正当性、前記処理主体の正当性、及び前記手順の正当性が認証された場合に、前記サービス提供システムが正当に構築されていることを認証し、前記サービス提供システムが正当に構築されていることを証明するための証明書を出力するシステム認証部と、
を備える認証装置。

【請求項2】

請求項１に記載の認証装置であって、
前記データ認証部、前記ＩＤ属性認証部、前記プロセス認証部、及び前記システム認証部の正当性を認証するルート認証部と、
をさらに備える認証装置。

【請求項3】

請求項１に記載の認証装置であって、
前記処理主体には、前記データを用いて前記サービス提供システムを構築する処理を行うソフトウェアモジュールと、前記ソフトウェアモジュールを用いて前記サービス提供システムの構築する作業を行う担当者と、が含まれる、認証装置。

【請求項4】

請求項１に記載の認証装置であって、
前記データには、前記サービス提供プログラムの他に、前記サービス提供プログラムが前記情報処理サービスを提供する際に用いる参照データ、及び前記サービス提供システムの構成を表す構成定義ファイルと、が含まれる、認証装置。

【請求項5】

サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築されたサービス提供システムの認証を行う認証装置の制御方法であって、
前記認証装置が、
前記サービス提供プログラムを含む、前記サービス提供システムを構築する際に用いられるデータの正当性を認証し、
前記データを用いて前記サービス提供システムを構築する処理主体の正当性を認証し、
前記サービス提供システムを構築する手順の正当性を認証し、
前記データの正当性、前記処理主体の正当性、及び前記手順の正当性が認証された場合に、前記サービス提供システムが正当に構築されていることを認証し、
前記サービス提供システムが正当に構築されていることを証明するための証明書を出力する、
認証装置の制御方法。

【請求項6】

請求項５に記載の認証装置の制御方法であって、
前記処理主体には、前記データを用いて前記サービス提供システムを構築する処理を行うソフトウェアモジュールと、前記ソフトウェアモジュールを用いて前記サービス提供システムの構築する作業を行う担当者と、が含まれる、認証装置の制御方法。

【請求項7】

請求項５に記載の認証装置の制御方法であって、
前記データには、前記サービス提供プログラムの他に、前記サービス提供プログラムが前記情報処理サービスを提供する際に用いる参照データ、及び前記サービス提供システムの構成を表す構成定義ファイルと、が含まれる、認証装置の制御方法。

【請求項8】

プロセッサ及びメモリを備えたコンピュータに、サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築されたサービス提供システムの認証を実行させるためのプログラムであって、
前記コンピュータに、
前記サービス提供プログラムを含む、前記サービス提供システムを構築する際に用いられるデータの正当性を認証する手順と、
前記データを用いて前記サービス提供システムを構築する処理主体の正当性を認証する手順と、
前記サービス提供システムを構築する手順の正当性を認証する手順と、
前記データの正当性、前記処理主体の正当性、及び前記手順の正当性が認証された場合に、前記サービス提供システムが正当に構築されていることを認証する手順と、
前記サービス提供システムが正当に構築されていることを証明するための証明書を出力する手順と、
を実行させるためのプログラム。

【請求項9】

請求項８に記載のプログラムであって、
前記処理主体には、前記データを用いて前記サービス提供システムを構築する処理を行うソフトウェアモジュールと、前記ソフトウェアモジュールを用いて前記サービス提供システムの構築する作業を行う担当者と、が含まれる、プログラム。

【請求項10】

請求項８に記載のプログラムであって、
前記データには、前記サービス提供プログラムの他に、前記サービス提供プログラムが前記情報処理サービスを提供する際に用いる参照データ、及び前記サービス提供システムの構成を表す構成定義ファイルと、が含まれる、プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、認証装置、認証装置の制御方法及びプログラムに関する。

【背景技術】

【0002】

従来より、コンピュータにプログラムを実行させることで情報処理サービスを提供するシステムが様々に開発されてきたが、情報処理サービスの内容が高度化するにつれシステムが大規模化するとともに構成も複雑化している。またシステムの変更も頻繁に行われるようになっている。

【0003】

そのため、このようなシステムの開発を支援し、より効率的にシステムを作り出せるようにするための様々な技術が提案されている（例えば、非特許文献１～３参照）。

【先行技術文献】

【非特許文献】

【0004】

【文献】RTCA DO-178 Revision C: Software Considerations in Airborne Systems and Equipment Certification1（https://www.oviss.jp/view/item/000000000110）

【文献】Introducing SLSA, an End-to-End Framework for Supply Chain Integrity（https://security.googleblog.com/2021/06/introducing-slsa-end-to-end-framework.html）

【文献】Certificate transparency3（Communications of the ACM, Vol.57, Issue 10, October 2014, pp 40-46, https://dl.acm.org/doi/fullHtml/10.1145/2659897）

【発明の概要】

【発明が解決しようとする課題】

【0005】

そのような技術として、例えば近年、ＯＳＳ（Open Source Software）やパブリッククラウド、Ａｇｉｌｅ、Ｓｏｆｔｗａｒｅ Ｄｅｆｉｎｅｄ Ｎｅｔｗｏｒｋ等の新たな開発環境や開発手法が普及している。

【0006】

しかしながらその結果、システムの開発により多くの人が参加するようになると共に、開発工程自体も、要件定義、設計、開発、テストの各工程が何度も繰り返されるようになっている。さらにプログラムを実行するコンピュータ自体が仮想化されて、情報処理サービスを提供するシステム全体がソフトウェアとして実現されるようになっている。またその結果、システムの構成が頻繁に変更されることも益々増えている。

【0007】

そのため、このような状況でもシステムの構成を適切に把握し、システムの各構成要素の依存関係を追跡可能とするために、Ｓｏｆｔｗａｒｅ Ｓｕｐｐｌｙ Ｃｈａｉｎやｇｉｔ、ｔｅｒｒａｆｏｒｍなどの構成管理ツールが用いられている。また、コンテナやサービスメッシュのように、システムの構成要素間の依存関係を最適化し、構成要素間の呼び出し関係の把握を容易にする技術も用いられている。

【0008】

しかしながらこのような技術では、システムが仕様通りの動作をする状態かどうかを把握することはできない。

【0009】

例えば開発者のミスや悪意を持った者の不正な行為によって、脆弱性を持ったコードがプログラムに混入することによってシステムが仕様外の動作をする状態になる可能性があ
る。またプログラムは仕様通りだとしても、設定値やデータの誤りによってシステムが仕様外の動作をする可能性がある。加えて、プログラムが動作する環境上にマルウェアが動作している場合においては、配備されたプログラムやデータに問題がない場合でも、配備後の改竄によってシステムが仕様外の動作をする状態になっている可能性がある。

【0010】

このため、プログラムやシステムを変更あるいは配備した際に様々なシナリオテストを行うことで、事前に問題を発見することも行われている。

【0011】

また配備後の改竄を検知あるいは防止する方法としては、下記の（１）～（３）のような技術が存在する。

【0012】

（１）配備されるプログラムやシステム、データが改竄されていないことをハッシュ値で確認する。
（２）不正なプログラムが動作しないようにプログラムを実行する際に署名を確認する。（３）不正なプログラムが動作したことを検知するために耐タンパー領域に格納された実行プログラムのハッシュチェーンを検証する。

【0013】

しかしながら、情報処理サービスの利用者は、これらの技術を用いるために必要な情報を入手することができないため、これらの技術を用いてシステムの状態を把握することはできない。

【0014】

そのため情報処理サービスの利用者は、下記の（４）、（５）といった手段でしかシステムの状態を把握することができない。

【0015】

（４）システムのＡＰＩ（Application Programming Interface）を定期的に実行するこ
とで死活を確認する。
（５）システムとその運用者全体を信頼し、適切な状態であるとみなす。

【0016】

ここで、（４）の手段の場合、死活監視に用いるのは定型リクエストに対する定型応答の確認であるため、システムが期待通りの結果を出力するかどうかといった限定的な情報しか得られない。そのため、システムが適切な構成要素を用いて構築されており、しかも、適切な担当者によって適切な手順で構築されたものであるかといったことを確認することはできない。

【0017】

一方（５）の手段の場合、情報処理サービスの利用者は、システムの状態について事前に何も知ることができず、利用時に初めて状態を把握することしかできない。

【0018】

以上に述べたようなシステム利用者が抱える課題を解決するため、システムの完全性や健全性を第三者による検証やフレームワークで解決する技術が存在する。

【0019】

まず、非特許文献１に記載されているように、航空機などの高い安全性や信頼性が求められるシステムの開発方法論が知られている。非特許文献１には、高い安全性や信頼性が求められる部分に対し、要件と仕様の対応関係の明確化、検証計画の事前策定、開発プロセス及び環境の標準化などを行い、第三者機関から認証してもらうことなどが記載されている。

【0020】

また、非特許文献２に記載されているように、悪意を持った変更からプログラムやシステムを守るための方法論が存在する。非特許文献２には、プログラムの出処を明らかにしたり構築及び配備に関わる環境を検証されたものとすることで、悪意を持った変更が加えられないようにすることが記載されている。

【0021】

さらに、非特許文献３に記載されているように、Ｗｅｂ上に数多く存在する証明書に対し、異常な証明書を検出可能とする手法が存在する。非特許文献３には、追記のみが許可され書き換えができないログストアを利用して、誰もが証明書の検証とその結果の公開を可能とすることで、信頼のチェーンや信頼の基点の持ち方によらずに異常の有無を検知可能とすることが記載されている。

【0022】

しかしながら、非特許文献１の手法では、仕様の妥当性なども検証対象としており、要求と仕様の対応などを人手で検証する必要がある。そのため、検証完了に数か月単位の時間を要するため、プログラムやシステムのように、構成が頻繁に変更される分野には対応することは困難である。

【0023】

また非特許文献２の手法では、悪意あるコードの混入やｂｕｉｌｄ時の攻撃を検出及び防御することを目的に、コードの出処の確認や、外乱が入りづらい構築及び配備の環境の使用を既定しているが、正規の権限を持つ人が誤った操作をしてしまうことによって生じる不正な状態を防ぐことができない。

【0024】

また非特許文献３の手法は、Ｗｅｂ上のサーバやドメイン証明書を対象とする手法であるため、プログラムが動作するシステムの異常な状態の検出や検証に適用することはできない。

【0025】

本発明はこのような課題を鑑みてなされたものであり、サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築されたサービス提供システムを認証することが可能な認証装置、認証装置の制御方法及びプログラムを提供することを目的とする。

【課題を解決するための手段】

【0026】

上記課題を解決する認証装置は、サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築されたサービス提供システムの認証を行う認証装置であって、プロセッサ及びメモリを備え、前記サービス提供プログラムを含む、前記サービス提供システムを構築する際に用いられるデータの正当性を認証するデータ認証部と、前記データを用いて前記サービス提供システムを構築する処理主体の正当性を認証するＩＤ属性認証部と、前記サービス提供システムを構築する手順の正当性を認証するプロセス認証部と、前記データの正当性、前記処理主体の正当性、及び前記手順の正当性が認証された場合に、前記サービス提供システムが正当に構築されていることを認証し、前記サービス提供システムが正当に構築されていることを証明するための証明書を出力するシステム認証部と、を備える。

【0027】

その他、本願が開示する課題、およびその解決方法は、発明を実施するための形態の欄、および図面により明らかにされる。

【発明の効果】

【0028】

本発明によれば、サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築されたサービス提供システムの認証を行うことが可能になる。

【図面の簡単な説明】

【0029】

【図1】全体構成の一例を示す図である。

【図2】プロセスログ情報の一例を示す図である。

【図3】配備ログ情報の一例を示す図である。

【図4】ＩＤ認証結果情報の一例を示す図である。

【図5】属性認証結果情報の一例を示す図である。

【図6】プロセス認証結果情報の一例を示す図である。

【図7】データ認証結果情報の一例を示す図である。

【図8】システム認証結果情報の一例を示す図である。

【図9】属性認証のシーケンスの一例を示す図である。

【図10】プロセス認証のシーケンスの一例を示す図である。

【図11】データ認証のシーケンスの一例を示す図である。

【図12】システム認証のシーケンスの一例を示す図である。

【図13】証明書の一例を示す図である。

【図14】全体構成の一例を示す図である。

【図15】構築配備装置、システム関連装置、認証装置の構成の一例を示す図である。

【図16】構築配備装置の記憶装置の一例を示す図である。

【図17】システム関連装置の記憶装置の一例を示す図である。

【図18】認証装置の記憶装置の一例を示す図である。

【発明を実施するための形態】

【0030】

以下、本発明の実施の形態を、図面を用いて説明する。なお、以下で説明する実施の形態は一例にすぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。さらに、以下に示した実施の形態は単独で適用してもよいし、複数もしくはすべての実施の形態を組み合わせて適用しても構わない。

【0031】

＝＝全体構成＝＝
図１は本発明の実施形態に係る認証装置Ａ０３を含む情報処理システムＡ００の全体構成を論理的に示した図である。情報処理システムＡ００は、構築配備装置Ａ０１と、システム関連装置Ａ０２と、認証装置Ａ０３と、を有して構成される。

【0032】

なお、構築配備装置Ａ０１、システム関連装置Ａ０２、及び認証装置Ａ０３は、物理的なコンピュータを用いて構成されていてもよいし、仮想的なコンピュータを用いて構成されていてもよい。

【0033】

構築配備装置Ａ０１は、後述するサービス提供システムＡ２２の構築を行う機能を有するコンピュータである。サービス提供システムＡ２２は、サービス提供プログラムを実行することにより所定の情報処理サービスを提供するように構築される。

【0034】

また、構築配備装置Ａ０１は、サービス提供システムＡ２２を構築する際に用いる様々なデータを記憶している。このデータには、上記のサービス提供プログラムの他に、サービス提供プログラムが情報処理サービスを提供する際に用いる参照データや、サービス提供システムＡ２２の構成を表す構成定義ファイルが含まれる。

【0035】

図１に示すように、構築配備装置Ａ０１は、データリポジトリＡ１０と、ビルドＡ１１と、コンテナリポジトリＡ１２と、配備Ａ１３と、プロセスログＡ１４を有して構成される。

【0036】

これらのうち、データリポジトリＡ１０、コンテナリポジトリＡ１２及びプロセスログＡ１４には、構築配備装置Ａ０１がサービス提供システムＡ２２を構築する際に用いる上述したデータが記憶されている。またビルドＡ１１及び配備Ａ１３は、上記のデータを用いてサービス提供システムＡ２２を構築する処理を行うソフトウェアモジュールである。

【0037】

例えば、ビルドＡ１１及び配備Ａ１３は、データリポジトリＡ１０及びコンテナリポジトリＡ１２に記憶されている各種のデータを用いることで、サービス提供システムＡ２２
を構築し、システム関連装置Ａ０２に配備する。そしてサービス提供システムＡ２２を構築する際の処理の履歴がプロセスログＡ１４に記録される。

【0038】

システム関連装置Ａ０２は、サービス提供システムＡ２２を実行して情報処理サービスの提供を行うコンピュータである。

【0039】

なお本実施形態では、システム関連装置Ａ０２がシステムプラットフォームＡ２０を実行することで構築される実行基盤上でサービス提供システムＡ２２が実行され、上述した情報処理サービスが提供される。このような態様により、システム関連装置Ａ０２は、プロセッサやメモリ、ネットワーク等の物理的なハードウェア構成の制約を受けずにサービス提供システムＡ２２を実行して情報処理サービスを提供することが可能となる。また提供する情報処理サービスの内容に応じて複数のサービス提供システムＡ２２を柔軟に実行することが可能になる。

【0040】

システム関連装置Ａ０２は、システムプラットフォームＡ２０と、配備ログＡ２１と、サービス提供システムＡ２２と、を有して構成される。

【0041】

これらのうち、配備ログＡ２１には、配備Ａ１３がサービス提供システムＡ２２をシステム関連装置Ａ０２に配備した際の処理の履歴が記録される。またシステムプラットフォームＡ２０は、サービス提供システムＡ２２を実行するための実行基盤を提供するためのソフトウェアモジュールである。

【0042】

認証装置Ａ０３は、システム関連装置Ａ０２に配備されたサービス提供システムＡ２２の認証を行うコンピュータである。例えば認証装置Ａ０３は、開発、構築、及び配備の観点でサービス提供システムＡ２２の健全性を検証する。

【0043】

認証装置Ａ０３は、ルート認証部Ａ３０と、ＩＤ属性認証部Ａ３１と、属性規約Ａ３２と、ＩＤ属性認証結果Ａ３３と、プロセス認証部Ａ４１と、プロセスモデルＡ４２と、プロセス認証結果Ａ４３と、データ認証部Ａ５１と、データ品質規約Ａ５２と、データ認証結果Ａ５３と、システム認証部Ａ６１と、システム規約Ａ６２と、システム認証結果Ａ６３とを有して構成される。

【0044】

ルート認証部Ａ３０は、ＩＤ属性認証部Ａ３１、プロセス認証部Ａ４１、データ認証部Ａ５１、及びシステム認証部Ａ６１の正当性を認証する上位の認証局として機能する。なおルート認証部Ａ３０は、ルート認証部Ａ３０を自己認証している。

【0045】

ＩＤ属性認証部Ａ３１は、サービス提供システムＡ２２を構築する処理主体の正当性を認証する。処理主体とは、例えばサービス提供システムＡ２２を構築する処理を行うソフトウェアモジュールや、ソフトウェアモジュールを用いてサービス提供システムＡ２２の構築する作業を行う担当者などである。ソフトウェアモジュールは、例えばビルドＡ１１や配備Ａ１３である。また担当者は、例えばサービス提供システムＡ２２の開発者や運用者、これらの担当者を管理する管理者を含む。

【0046】

このような態様により、サービス提供システムＡ２２が構築された際に、不当な改変がなされたソフトウェアモジュールが使用されていないかや、正当な権限を有しない使用者がソフトウェアモジュールを使用していないかについても、認証を行うことが可能となる。

【0047】

プロセス認証部Ａ４１は、サービス提供システムＡ２２を構築する手順の正当性を認証する。例えばプロセス認証部Ａ４１は、プロセスログＡ１４に記録されている処理の履歴
を用いることで、サービス提供システムＡ２２を構築する手順の正当性を認証する。

【0048】

データ認証部Ａ５１は、構築配備装置Ａ０１がサービス提供システムＡ２２を構築する際に用いる様々なデータの正当性を認証する。上述した様に、例えばデータには、サービス提供プログラムの他に、サービス提供プログラムが情報処理サービスを提供するために参照する参照データや、サービス提供システムＡ２２の構成を表す構成定義ファイルが含まれる。

【0049】

このような態様により、構築されたサービス提供システムＡ２２が不当なデータを使用して構築されていないかどうかを認証することが可能となる。

【0050】

システム認証部Ａ６１は、上述したデータの正当性、処理主体の正当性、及び手順の正当性が認証された場合に、サービス提供システムＡ２２が正当に構築されていることを認証する。さらにシステム認証部Ａ６１は、サービス提供システムＡ２２が正当に構築されていることを証明するための電子証明書を出力する。

【0051】

このように、本実施形態に係る認証装置Ａ０３によれば、構築配備装置Ａ０１によるサービス提供システムＡ２２の構築が、正当な処理主体により正当なデータが正当な手順で処理されることによって行われていることを認証することが可能になる。

【0052】

また、サービス提供システムＡ２２が正当に構築されていることを証明するための電子証明書が発行されるため、サービス提供システムＡ２２の利用者は、認証装置Ａ０３が発行する電子証明書を確認することで、サービス提供システムＡ２２の状態を把握することが可能になる。その際、利用者は自身で検証を行う必要がなく、また認証装置Ａ０３だけを信頼すればよい。特に本実施形態では、ルート認証部Ａ３０だけを信頼すれば済む。

【0053】

以下詳細に説明する。

【0054】

＝構築配備装置＝
データリポジトリＡ１０は、サービス提供システムＡ２２上で動作するサービス提供プログラムのソースコードや用いられるデータ、サービス提供システムＡ２２の構成定義ファイルなどを管理及び保存するものである。データリポジトリＡ１０は、ｇｉｔなどの、ファイルをリポジトリ、パス、ブランチ等と対応付けて管理し、ファイル変更時の差分を日時、変更反映者、変更内容のハッシュ値と対応付けて管理するソフトウェアモジュールを用いて構成される。

【0055】

ビルドＡ１１は、データリポジトリＡ１０から取得したソースコードのテストやビルドを行うと共に、ビルドされたイメージにミドルウェアなどの様々なデータを組み込んでコンテナイメージを構築し、コンテナリポジトリＡ１２に保存するものである。ビルドＡ１１は、ＪｅｎｋｉｎｓといったＣＩサーバや、各種言語処理系、ｄｏｃｋｅｒといったコンテナ構築ソフトウェアを組み合わせたソフトウェアモジュールを用いて構成される。

【0056】

コンテナリポジトリＡ１２は、ビルドＡ１１が構築したコンテナイメージを管理及び保存するものである。コンテナリポジトリＡ１２は、ｄｏｃｋｅｒｈｕｂやＨａｒｂｏｒといった、コンテナイメージを名前とタグで管理するソフトウェアモジュールを用いて構成される。

【0057】

配備Ａ１３は、データリポジトリＡ１０内に管理されている構成定義ファイルの内容に従って、システムプラットフォームＡ２０上にコンテナやｖｏｌｕｍｅ、ＮＷ（ネットワーク）といったリソースを作成したり、コンテナリポジトリＡ１２から取得したコンテナ
イメージを配備して、サービス提供システムＡ２２を構築するものである。配備Ａ１３は、ｔｅｒｒａｆｏｒｍといった、構成定義ファイルの内容を解釈し、上記配備を実行するソフトウェアモジュールを用いて構成される。

【0058】

プロセスログＡ１４は、データリポジトリＡ１０における各種コミットや、ビルドＡ１
１ におけるビルドやテスト、コンテナリポジトリＡ１２におけるコンテナイメージの登録、更新、削除、配備Ａ１３における配備に関するリソースの作成、更新、削除やコンテナイメージの配備などのイベントをログとして記録するものである。

【0059】

＝システム関連装置＝
システムプラットフォームＡ２０は、配備Ａ１３の指示を受けて作成される各種リソースを有するサービス提供システムＡ２２の実行基盤を構築する。これはＫｕｂｅｒｎｅｔｅｓなどの基盤ソフトウェア（ソフトウェアモジュール）を用いて構成される。

【0060】

配備ログＡ２１は、システムプラットフォームＡ２０におけるリソースの作成、更新、削除などのイベントをログとして記録するものである。

【0061】

サービス提供システムＡ２２は、配備Ａ１３が構成定義ファイルを基に構築するコンテナであり、システムプラットフォームＡ２０上で実行される。サービス提供システムＡ２２は、情報処理サービスの種類ごとに複数構成され、利用者に様々な機能を提供する。

【0062】

＝認証装置＝
ルート認証部Ａ３０は、ＩＤ属性認証部Ａ３１、プロセス認証部Ａ４１、データ認証部Ａ５１、及びシステム認証部Ａ６１の正当性を認証する、信頼の基点となる認証局である。

【0063】

ＩＤ属性認証部Ａ３１は、ルート認証部Ａ３０から委任を受けて、処理主体のＩＤ及び属性の正当性を認証する認証局である。

【0064】

ＩＤ属性認証部Ａ３１は、ＩＤの認証については、ＩＤ属性認証結果Ａ３３に格納されたＩＤやＣｒｅｄｅｎｔｉａｌなどの情報を用いて、サービス提供システムＡ２２に関わる開発者や運用者、またビルドＡ１１や配備Ａ１３、システムプラットフォームＡ２０といった処理主体の認証を行う。

【0065】

またＩＤ属性認証部Ａ３１は、属性の認証については、開発者や運用者に関して、保持する資格や経験のほか、プロセスログＡ１４に格納された過去の行動履歴をもとに、属性規約Ａ３２に格納された基準を基に判定し、コミットやコードのレビュー可能、配備指示可能と言った属性の判定を行ってＩＤ属性認証結果Ａ３３に格納するとともに、その情報を用いて属性の認証を行う。

【0066】

プロセス認証部Ａ４１は、ルート認証部Ａ３０から委任を受けて、サービス提供システムＡ２２を構築するプロセスの正当性を認証する認証局である。

【0067】

プロセス認証部Ａ４１は、ソースコードやデータのコミットやレビュー、テスト、システムの配備などのログのシーケンスが正規のプロセスから逸脱していないかということと、操作を行った人のｒｏｌｅを検証し、オペレーションが問題ないことを証明する。

【0068】

プロセス認証部Ａ４１は、プロセスログＡ１４および配備ログＡ２１に格納されたログのシーケンスに対し、プロセスモデルＡ４２に格納されたプロセスモデルとの比較を行い、プロセスの種類の判別や適合性を計算する。プロセス認証部Ａ４１は、その結果をプロ
セス認証結果Ａ４３に格納する。

【0069】

プロセスモデルはペトリネットといったデータ構造で表現され、プロセス認証部Ａ４１は、ログシーケンスとプロセスモデルの比較にはプロセスマイニングなどの手法を用いる。

【0070】

データ認証部Ａ５１は、ルート認証部Ａ３０から委任を受けて、データの認証を行う認証局である。

【0071】

データ認証部Ａ５１は、ソースコードやデータのコミット、レビューを行った人のＩＤやｒｏｌｅを検証し、ソースコードやデータに不正な改変が入っていないことを証明する。

【0072】

データ認証部Ａ５１は、データリポジトリＡ１０やコンテナリポジトリＡ１２に格納された各種データに対し、データ品質規約Ａ５２に格納された規約を基に判定し、データが信頼できるものかどうかを判定する。データ認証部Ａ５１は、その結果をデータ認証結果Ａ５３に格納する。

【0073】

規約は、どのようなデータが信頼できるものであるかということを記した規約群である。データ品質規約Ａ５２には、データの作成や変更に関わった人が有効なＩＤや属性を持っており、また元となったデータが検証済みのものであれば、作成されたデータも信頼してよいといった規則が記されている。

【0074】

システム認証部Ａ６１は、ルート認証部Ａ３０から委任を受けて、サービス提供システムＡ２２の認証を行う認証局である。

【0075】

システム認証部Ａ６１は、サービス提供システムＡ２２が動作するシステムプラットフォームＡ２０と、サービス提供システムＡ２２の配備時に、元となるコンテナ等のイメージを認証する。またサービス提供システムＡ２２が配備された際に、ソースコードやデータ、オペレーション、関わった人や属性、配備先のシステムプラットフォームＡ２０や用いられたイメージを検証し、配備されたサービス提供システムＡ２２に対して不正な状態につながる問題点がないことを証明する。

【0076】

システム認証部Ａ６１は、配備されたサービス提供システムＡ２２の正当性をシステム規約Ａ６２に基づいて判定し、サービス提供システムＡ２２の健全性を判定する。システム認証部Ａ６１は、その結果をシステム認証結果Ａ６３に格納する。

【0077】

図２は、本実施形態におけるプロセスログＡ１４に記憶されるプロセスログ情報Ｂ００の形式の一例を示したものである。プロセスログ情報Ｂ００は、「プロセスＩＤ」と、「日時」と、「ログ種別」と、「イベント名」と、「ログ生成者」と、「コンテキスト」の組のリストで構成される。

【0078】

ここで、「プロセスＩＤ」には、各プロセスログ情報（以下、ログとも記す）Ｂ００の識別子が記載される。

【0079】

「日時」は、ログが生成された日時である。

【0080】

「ログ種別」は、ログの種類を区別するためのものであり、開発に関するもの、運用に関するもの、ビルドや配備といったモジュールに関するものといった種別が記されている。

【0081】

「イベント名」は、ログを区別するためのものであり、開発におけるコミットや承認、運用における配備指示や承認、モジュールが出力した各ログを区別するためのものである。

【0082】

「ログ生成者」は、ログの生成者を区別するものであり、ＩＤ属性認証結果Ａ３３に基づいた、ログを生成した人やソフトウェアモジュールのＩＤが記されている。

【0083】

「コンテキスト」は、ログのシーケンスの区別を補助するためのものであり、このカラムに格納された値でログを抽出することで、関連した一連のログのシーケンスの取得を可能とするものである。

【0084】

図３は、本実施形態における配備ログＡ２１に記憶されている配備ログ情報Ｃ００が持つデータの形式の一例を示したものである。配備ログ情報Ｃ００は、「リソースＩＤ」と、「作成日時」と、「削除日時」と、「設定値」と、「プラットフォームＩＤ」の組のリストで構成される。

【0085】

ここで、「リソースＩＤ」は、リソースの識別子である。

【0086】

「作成日時」は、リソースが作成された日時である。

【0087】

「削除日時」は、リソースが削除されている場合、削除された日時である。

【0088】

「設定値」は、リソース作成時にリソースに対して設定された値であり、例えば容量や性能などが挙げられる。

【0089】

「プラットフォームＩＤ」は、リソースが作成されたシステムプラットフォームＡ２０のＩＤである。

【0090】

図４は、本実施形態における、ＩＤ属性認証結果Ａ３３に記憶されるＩＤ認証結果情報Ｄ００の形式の一例を示したものである。ＩＤ認証結果情報Ｄ００は、「ＩＤ」と、「Ｎａｍｅ」と、「アカウント種類」と、「Ｃｒｅｄｅｎｔｉａｌ」と、「作成日時」と、「更新日時」と、「公開鍵」と、「ｉｓ有効」の組のリストで構成される。

【0091】

ここで、「ＩＤ」は、人やモジュール等の処理主体が持つアカウントの識別子である。

【0092】

「Ｎａｍｅ」は、アカウントを人が区別しやすくするための文字列である。

【0093】

「アカウント種類」は、このアカウントが人向けのものかプログラムやモジュールが使うものなのかといった種類を区別するための文字列である。

【0094】

「Ｃｒｅｄｅｎｔｉａｌ」は、アカウントを識別するための情報であり、パスワードや外部ＩｄＰへの参照が記されている。

【0095】

「作成日時」は、アカウントが作成された日時である。

【0096】

「更新日時」は、アカウントが更新された日時である。アカウントは有効性検証などのため、定期的に使用状況が検証され、更新される。

【0097】

「公開鍵」は、アカウント利用者が持つ秘密鍵に対応する公開鍵である。

【0098】

「ｉｓ有効」は、アカウントが有効か無効かを識別するためのフラグである。なお「ｉｓ有効」に関しては、このカラムを持つ代わりにＣＲＬの形で管理して公開したり、ＯＣＳＰサーバで管理して公開する形態でも構わない。この内容を他者が参照する際は、例えばＲＦＣ５２８０で規定されるＸ．５０９公開鍵証明書の形式で提供される。

【0099】

また、このエントリは、エントリ追加を希望する人から証明書署名要求がＩＤ属性認証部Ａ３１に出され、その内容をＩＤ属性認証部Ａ３１が検証し、証明書署名要求の内容に問題がない場合に追加される。また、エントリ内容は、ＩＤ属性認証部Ａ３１によって検証され、存在が確認できなくなった場合は「ｉｓ有効」の値がｆａｌｓｅとなる。また、証明書発行先からの要求によっても「ｉｓ有効」の値をｆａｌｓｅにする。

【0100】

図５は、本実施形態におけるＩＤ属性認証結果Ａ３３に記憶される属性認証結果情報Ｅ００のデータの形式の一例を示したものである。属性認証結果情報Ｅ００は、「ＩＤ」と、「属性種類」と、「作成日時」と、「更新日時」と、「ｉｓ有効」の組のリストで構成される。

【0101】

ここで、「ＩＤ」は、属性を証明する対象のアカウントの識別子である。

【0102】

「属性種類」は、証明対象の属性を示す文字列である。

【0103】

「作成日時」は、属性証明が作成された日時である。

【0104】

「更新日時」Ｅ０４は、属性証明が更新された日時である。属性は、有効性検証などのため、対象の状況などが調査され、更新される。

【0105】

「ｉｓ有効」は、対象の属性証明が有効か無効かを識別するためのフラグである。なお「ｉｓ有効」については、このカラムを持つ代わりにＣＲＬの形で管理して公開したり、ＯＣＳＰサーバで管理して公開する形態でも構わない。この内容を他者が参照する際は、例えばＲＦＣ５７５５で規定されるＸ．５０９属性証明書の形式で提供される。

【0106】

図６は、本実施形態における、プロセス認証結果Ａ４３に記憶されるプロセス認証結果情報Ｆ００が持つデータの形式の一例を示したものである。プロセス認証結果情報Ｆ００は、「プロセス認証結果ＩＤ」と、「シーケンスＩＤ」と、「プロセスＩＤの集合を特定可能な属性」と、「判定結果」と、「判定日時」と、「ｉｓ有効」の組のリストで構成される。

【0107】

ここで、「プロセス認証結果ＩＤ」は、認証結果を区別するための識別子である。

【0108】

「シーケンスＩＤ」は、認証対象のプロセスログのシーケンスに対して付与した識別子である。

【0109】

「プロセスＩＤの集合を特定可能な属性」は、プロセスログＡ１４に格納されたプロセスログ情報Ｂ００から判定対象のプロセスログ集合を特定するための値であり、プロセスＩＤのリストや、抽出のための種別やイベント名、ログ生成者、期間と言った抽出条件が格納される。

【0110】

「判定結果」は、対象のプロセスログ集合が判定の結果どのようなオペレーションに対応しており、かつそれが正しく行われているかどうかを示す文字列である。

【0111】

「判定日時」は、判定を行った日時である。

【0112】

「ｉｓ有効」は、判定結果が有効であるかどうかを示すフラグである。この内容を他者が参照する際は、例えばＲＦＣ３０２９で規定されるデータ検証証明書に類した形式で提供される。この場合、例えばｃｅｒｔｓフィールドに対象シーケンスに対する検証結果を格納する形で提供される。

【0113】

図７は、本実施形態における、データ認証結果Ａ５３に記憶されるデータ認証結果情報Ｇ００が持つデータの形式の一例を示したものである。データ認証結果情報Ｇ００は、「データ認証結果ＩＤ」と、「ファイル特定可能な属性」と、「ハッシュ値」と、「判定結果」と、「判定日時」と、「ｉｓ有効」の組のリストで構成される。

【0114】

ここで、「データ認証結果ＩＤ」は、認証結果を区別するための識別子である。

【0115】

「ファイル特定可能な属性」は、認証対象のファイルを特定するための値であり、データリポジトリＡ１０及びコンテナリポジトリＡ１２内のファイルのＵＲＬとｂｒａｎｃｈ名とバージョンの組などが格納される。

【0116】

「ハッシュ値」は、認証対象のファイルのハッシュ値である。

【0117】

「判定結果」は、対象のファイルが判定の結果正規の権限やｒｏｌｅを持ったアカウントによって作成及び更新され、また確認されているかどうかを示す文字列である。

【0118】

「判定日時」は、判定を行った日時である。

【0119】

「ｉｓ有効」は、判定結果が有効であるかどうかを示すフラグである。なお「ｉｓ有効」については、このカラムを持つ代わりにＣＲＬの形で管理して公開したり、ＯＣＳＰサーバで管理して公開する形態でも構わない。この内容を他者が参照する際は、例えばＲＦＣ３０２９で規定されるデータ検証証明書に類した形式で提供される。

【0120】

図８は、本実施形態における、システム認証結果Ａ６３に記憶されるシステム認証結果情報Ｈ００が持つデータの形式の一例を示したものである。システム認証結果情報Ｈ００は、「システム認証結果ＩＤ」と、「システムＩＤ」と、「配備時のシーケンスＩＤ」と、「判定結果」と、「判定日時」と、「有効期限」と、「前回のシステム認証結果ＩＤ」と、「ｉｓ有効」の組のリストで構成される。

【0121】

ここで、「システム認証結果ＩＤ」は、認証結果を区別するための識別子である。

【0122】

「システムＩＤ」は、配備されたサービス提供システムＡ２２ごとに、配備Ａ１３によって振られる、各サービス提供システムＡ２２を識別するための値である。

【0123】

「配備時のシーケンスＩＤ」は、配備ログＡ２１に格納された認証対象のサービス提供システムＡ２２が配備された際に出力されたログのシーケンスに対して付与した識別子である。

【0124】

「判定結果」は、対象のサービス提供システムＡ２２が正規のコードを用いて、正規のプロセスに従い、正規のシステムプラットフォームＡ２０へ配備されたものであり、また確認されているかどうかを示す文字列である。

【0125】

「判定日時」は、判定を行った日時である。

【0126】

「有効期限」は、判定が有効な期限の日時である。

【0127】

「前回のシステム認証結果ＩＤ」は、サービス提供システムＡ２２の認証を、有効期限が切れる前に再度行った場合、それまで有効であったシステム認証結果ＩＤの値である。

【0128】

「ｉｓ有効」は、判定結果が有効であるかどうかを示すフラグである。なお「ｉｓ有効」については、このカラムを持つ代わりにＣＲＬの形で管理して公開したり、ＯＣＳＰサーバで管理して公開する形態でも構わない。

【0129】

この内容を他者が参照する際は、例えばＲＦＣ３０２９で規定されるデータ検証証明書に類した形式で提供される。例えばｃｅｒｔｓフィールドに配備時のログのシーケンスの検証結果や、サービス提供システムＡ２２に用いられているコードやデータの検証結果、サービス提供システムＡ２２を配備する際に関わった人のＩＤや属性の検証結果、サービス提供システムＡ２２の利用者がサービス提供システムＡ２２を識別するための情報を格納する形で提供される。

【0130】

サービス提供システムＡ２２を識別するための情報としては、例えばＦＱＤＮやＩＰアドレス、設置されている場所といった情報が挙げられる。

【0131】

図９は、ＩＤ属性認証部Ａ３１が行う属性認証に関する処理を記したアクティビティ図である。図９は、ＩＤ属性認証部Ａ３１が処理主体の属性に関する認証を行う際の処理を記したものである。

【0132】

ＩＤ属性認証部Ａ３１は、ステップＩ０１では、属性検証対象の処理主体のアカウントを決め、そのアカウントに対応する情報を収集する。ＩＤ属性認証部Ａ３１は、プロセスログＡ１４やプロセス認証結果Ａ４３などから情報を収集する。またＩＤ属性認証部Ａ３１は、処理主体が構築配備装置Ａ０１上で行った行動だけでは測れない資格や経験などについては、アカウントの持ち主からの申告やエビデンス、上司による承認なども利用したりする。

【0133】

ＩＤ属性認証部Ａ３１は、ステップＩ０２では、収集した情報を属性規約Ａ３２に照らし合わせる。規約の内容としては、処理主体が過去の一定期間内に配備や開発、レビューに関わった経験があるかといった内容や、正常な範囲から逸脱したプロセスを行っていないかといった内容が挙げられる。また、エビデンスがあり上司が承認し外部機関が認証した有効な資格を持っているといったことも挙げられる。

【0134】

ＩＤ属性認証部Ａ３１は、ステップＩ０３では、ステップＩ０２で照らし合わせた結果を基に、属性の付与や更新可否を判断する。そしてＩＤ属性認証部Ａ３１は、判断した結果をＩＤ属性認証結果Ａ３３に格納する。

【0135】

なお、ＩＤ属性認証部Ａ３１は、属性証明書の発行を希望する人が認証装置Ａ０３に証明書署名要求を送信してきた場合に、属性認証の処理を実行する。またＩＤ属性認証部Ａ３１は、定期的にも属性認証の処理を実施している。

【0136】

図１０は、プロセス認証部Ａ４１が行うプロセス認証に関する処理を記したアクティビティ図である。図１０は、プロセス認証部Ａ４１がプロセスに関する認証を行う際の処理を記したものである。

【0137】

プロセス認証部Ａ４１は、ステップＪ０１では、プロセスログＡ１４からプロセスログ
の並びを取得し、それをモデルと比較し、適合率を算出する。取得する方法としては、日時の範囲やログ種別、ログ生成者やコンテキストの値を用いたり、プロセスＩＤのリストを用いたりする。またプロセス認証部Ａ４１は、プロセスのモデルをプロセスモデルＡ４２から取得する。

【0138】

プロセス認証部Ａ４１は、ステップＪ０２では、ステップＪ０１の結果をもとに、プロセスログの並びがどのモデルに対応したものかということを判別する。判別方法としては、算出した適合率が閾値以上のもののうち、最大の値となったモデルに対応する手順とする。

【0139】

プロセス認証部Ａ４１は、データリポジトリＡ１０やコンテナリポジトリＡ１２へのデータマージやサービス提供システムＡ２２の配備を承認した人が認証装置Ａ０３に証明書署名要求を送信してきた場合に、プロセス認証の処理を実行する。またプロセス認証部Ａ４１は、データリポジトリＡ１０やコンテナリポジトリＡ１２を管理するソフトウェアモジュールや、サービス提供システムＡ２２の配備を行ったソフトウェアモジュールが認証装置Ａ０３に証明書署名要求を送信してきた場合にプロセス認証の処理を実行してもよい。

【0140】

図１１は、データ認証部Ａ５１が行うデータ認証に関する処理を記したアクティビティ図である。図１１は、データ認証部Ａ５１がデータに関する認証を行う際の処理を記したものである。

【0141】

データ認証部Ａ５１は、ステップＫ０１において、検証対象のデータに対して、変更元のデータ、コミットやレビュー、テストを行ったアカウントやプロセスの情報を取得し、検証を行う。このときデータ認証部Ａ５１は、リポジトリ名やパス、ブランチ名、ハッシュ値などを用いることで検証対象のデータを特定する。

【0142】

またデータ認証部Ａ５１は、データが信頼できる機関によって作成されたものかどうかということや、データ認証結果Ａ５３に検証結果が存在するかといったことで変更元のデータを判断する。コミットやレビュー、テストについては、プロセスログＡ１４からプロセスログの並びを取得し、検証をプロセス認証部Ａ４１を介して行う。アカウントの情報については、ＩＤ属性認証結果Ａ３３に有効なアカウントがあり、必要な属性を持っているかを判別する。

【0143】

データ認証部Ａ５１は、ステップＫ０２において、ステップＫ０１の結果がデータ品質規約Ａ５２と照らし合わせて問題ないかを判別し、データ認証結果Ａ５３に反映する。規約の例としては、信頼できるデータに対し、有効な資格を持った人、ソフトウェアモジュールがコミット、レビュー、テストといった既定されたプロセスで変更を加えたものであれば問題ないといったものである。

【0144】

データ認証部Ａ５１は、データリポジトリＡ１０やコンテナリポジトリＡ１２へのデータのコミットやマージを行った人が証明書署名要求を作成してデータ認証部Ａ５１に送信してきた場合にデータ認証の処理を実行する。またデータ認証部Ａ５１は、データリポジトリＡ１０やコンテナリポジトリＡ１２の管理ソフトウェア（ソフトウェアモジュール）が証明書署名要求を送信してきた場合に、データ認証の処理を実行してもよい。

【0145】

図１２は、システム認証部Ａ６１が行うシステム認証に関する処理を記したアクティビティ図である。図１２は、システム認証部Ａ６１がサービス提供システムＡ２２に関する認証を行う際の処理を記したものである。

【0146】

システム認証部Ａ６１は、ステップＬ０１において、サービス提供システムＡ２２の配備に関するプロセスを検証する。このときシステム認証部Ａ６１は、配備ログＡ２１及びプロセスモデルＡ４２を参照し、配備時のプロセスログとモデルとの適合性を検証する。

【0147】

システム認証部Ａ６１は、ステップＬ０２において、サービス提供システムＡ２２に用いられているデータを検証する。このときシステム認証部Ａ６１は、データ認証結果Ａ５３を参照し、ソースコードや設定値、参照データ、構成定義ファイルなどの検証結果を参照することでデータの検証を行う。

【0148】

システム認証部Ａ６１は、ステップＬ０３において、データ品質規約Ａ５２やデータ認証結果Ａ５３、属性規約Ａ３２、ＩＤ属性認証結果Ａ３３を参照し、配備先のシステムプラットフォームＡ２０と、配備を指示した処理主体のアカウントの有効性、属性の有効性等を検証する。

【0149】

システム認証部Ａ６１は、ステップＬ０４において、ステップＬ０１～Ｌ０３に問題がない場合、現在のサービス提供システムＡ２２に問題がないと判断する。

【0150】

システム認証部Ａ６１は、サービス提供システムＡ２２の配備実行の承認を行った人が証明書署名要求を作成してシステム認証部Ａ６１に送信してきた場合にシステム認証処理を実行する。またシステム認証部Ａ６１は、配備を行ったソフトウェアモジュールが証明書署名要求を送信してきた場合にシステム認証処理を実行してもよい。

【0151】

また、サービス提供システムＡ２２の識別情報が他のＣＳＲで使われており、現行のサービス提供システムＡ２２が置き換えられていることが確認できた場合、システム認証部Ａ６１は、証明書を失効させる処理を行う。

【0152】

図１３は、システム認証部Ａ６１がサービス提供システムＡ２２の証明書を検証する際に関わる証明書チェーンの例を示したものである。

【0153】

Ｍ０１は、ルート認証部Ａ３０の自己証明書である。

【0154】

Ｍ０２～Ｍ０５は、それぞれＩＤ属性認証部Ａ３１、プロセス認証部Ａ４１、データ認証部Ａ５１、システム認証部Ａ６１の証明書であり、それぞれルート認証部Ａ３０による署名を含んでいる。

【0155】

Ｍ０６は、サービス提供システムＡ２２に関わる人やソフトウェアモジュール等の処理主体のＩＤに関する証明書であり、ＩＤ属性認証部Ａ３１の署名を含んでいる。ここで、処理主体は、サービス提供システムＡ２２の開発、運用、配備に関わる担当者や、構築配備装置Ａ０１及びシステム関連装置Ａ０２を機能させるソフトウェアモジュールを含む。

【0156】

Ｍ０７は、サービス提供システムＡ２２に関わる人やソフトウェアモジュール等の処理主体の属性に関する証明書であり、ＩＤ属性認証Ｍ０２の署名を含んでいる。

【0157】

Ｍ０８は、プロセス認証部Ａ４１によって検証されたプロセスに関する証明書であり、プロセス認証部Ａ４１の署名を含んでいる。

【0158】

Ｍ０９は、データ認証部Ａ５１によって検証されたデータに関する証明書であり、データ認証部Ａ５１の証明を含んでいる。

【0159】

Ｍ１０は、システム認証部Ａ６１によって検証された、サービス提供システムＡ２２の
構築や配備に関わるソフトウェアモジュールに関する証明書であり、システム認証部Ａ６１の署名を含んでいる。ここでソフトウェアモジュールは、構築配備装置Ａ０１及びシステム関連装置Ａ０２を機能させるソフトウェアモジュールを含む。

【0160】

Ｍ１１は、システム認証部Ａ６１によって検証された、第１サービス提供システムＡ２２が連携する第２サービス提供システムＡ２２に関する証明書であり、システム認証部Ａ６１の署名を含んでいる。ここで第２サービス提供システムＡ２２は、Ｍ１２で検証結果が示される第１サービス提供システムＡ２２から依存されているコンピュータである。

【0161】

例えば第２サービス提供システムＡ２２は、第１サービス提供システムＡ２２からデータを取得してその処理結果を第１サービス提供システムＡ２２に送信する場合や、第１サービス提供システムＡ２２が処理するためのデータを第１サービス提供システムＡ２２に提供する場合などが挙げられる。

【0162】

なお、他のサービス提供システムＡ２２から依存されない場合は、本証明書がない場合もある。

【0163】

Ｍ１２は、システム認証部Ａ６１によって検証された、サービス提供システムＡ２２に関する証明書である。この証明書には、システム認証部Ａ６１の署名と、システム認証部Ａ６１による検証結果と、利用者のシステム識別手段と、関係するデータの識別子群と、関係するプロセスの識別子群と、関係する処理主体の識別子群を含む。また必要に応じてその他拡張領域を含む。

【0164】

サービス提供システムＡ２２の利用者は、この証明書を参照することで、システム認証部Ａ６１によるシステム検証結果を確認することができる。また必要と判断すれば、サービス提供システムＡ２２の開発、構築、配備に関わった人やｍｏｄｕｌｅ等の処理主体、プロセス、データの検証結果を確認することができる。また必要と判断すればそれらの検証を行った認証局の検証結果を確認することができる。

【0165】

このことから、利用者はルート認証のみを信頼し、階層構造をとる証明書チェーンを図１３に示した実線の矢印の順にたどって検証することで、対象のサービス提供システムＡ２２が検証済みであり、問題ないかどうかを判断することができる。

【0166】

なお、図１３は証明書チェーンを表したものであり、実際には各証明書は有効期限といった情報を含む。

【0167】

次に、上記実施形態で説明したサービス提供システムＡ２２の例として、鉄道やバスといった車両内のモニタに沿線情報や広告といったコンテンツを表示する場合を説明する。この場合、サービス提供システムＡ２２は、車両が移動中に通信ネットワークがつながらない状態でもコンテンツを表示可能とするため、１日１回コンテンツの更新を行うものとする。

【0168】

コンテンツはデータリポジトリＡ１０に保存された上で、ビルドＡ１１によってコンテナ内に内包される。またコンテンツを更新する毎にコンテナイメージの作成が行われる。

【0169】

コンテンツの更新時は、コンテンツを更新するｒｏｌｅを持つ者が、更新内容をコンテンツに反映させるためのコミット要求を出し、コンテンツの更新を承認するｒｏｌｅを持つ者が、コンテンツの内容を確認して承認することで、更新後のコンテンツがデータリポジトリＡ１０に反映される。

【0170】

コンテナの配備は、毎日一定のタイミングで行う他、何かしら想定外の事由が生じた場合に、コンテナの配備を行うｒｏｌｅを持つ者の要求と、コンテナの配備を承認するｒｏｌｅをもつ者の承認と、によって行われる。

【0171】

このような情報処理サービスを提供するサービス提供システムＡ２２に対し、認証装置Ａ０３は、これらのプロセスや更新、配備に関わった処理主体のＩＤやｒｏｌｅ等を検証し、証明書を発行する。

【0172】

また認証装置Ａ０３は、発行された証明書の保存場所を示すＵＲＬ（Uniform Resource
Locator）をエンコードしてＱＲコード（登録商標）を生成し、情報処理サービスの利用者が操作する不図示の端末の表示モニタに送信する。

【0173】

このような構成を組むことで、利用者はサービス提供システムＡ２２の健全性について確認することができる。

【0174】

次に、上記実施形態で説明したサービス提供システムＡ２２の他の例として、設備や車両といった装置に対して遠隔監視や利用状況のモニタリングを行う場合を説明する。

【0175】

この場合、サービス提供システムＡ２２は、監視対象の装置にデバイス証明書を発行すると共に、販売した顧客ごとに利用者証明書を発行する。

【0176】

そしてサービス提供システムＡ２２は、この２つのアカウントの秘密鍵によって署名された状態で、監視対象の装置からデータを収集する。

【0177】

認証装置Ａ０３は、サービス提供システムＡ２２によって収集されたデータの署名を検証することで、正規の顧客が利用する正規の装置から収集されたデータであることを確認できる。

【0178】

また、サービス提供システムＡ２２がデータの分析やレポートを作成する際の手順についても認証装置Ａ０３が検証するようにしておくことで、顧客側も、自身が持つ装置から得られたデータが正しく処理されレポートに反映されたということを検証できる。

【0179】

このような構成を組むことで、利用者は、サービス提供システムＡ２２の健全性について確認することができる。

【0180】

次に、本実施形態に係る情報処理システムＡ００の全体構成例を図１４に示す。

【0181】

図１４は、図１に示した全体構成例に対応する図であるが、構築配備装置Ａ０１、システム関連装置Ａ０２及び認証装置Ａ０３が、インターネットやＬＡＮ（Local Area Network）、電話網等のネットワーク５００を介して通信可能に接続されて構成されていることを示している。

【0182】

次に、構築配備装置Ａ０１、システム関連装置Ａ０２及び認証装置Ａ０３が物理的なコンピュータにより実現されている場合のハードウェア構成について説明する。なお構築配備装置Ａ０１、システム関連装置Ａ０２及び認証装置Ａ０３の構成は、同じとは限らないが基本的な構成は共通しているので、重複を避けるために図１５にまとめて示す。

【0183】

なお、構築配備装置Ａ０１、システム関連装置Ａ０２及び認証装置Ａ０３を実現するコンピュータの例として、パーソナルコンピュータ、オフィスコンピュータ、サーバ装置、スマートフォン、タブレット、汎用機（メインフレーム）等がある。

【0184】

またこのコンピュータは、その全部又は一部が、例えば、クラウドシステムによって提供される仮想サーバのように、仮想化技術やプロセス空間分離技術等を用いて提供される仮想的な情報処理資源を用いて実現されるものであってもよい。また、このコンピュータによって提供される機能の全部又は一部は、例えば、クラウドシステムがＡＰＩ等を介して提供するサービスによって実現してもよいし、ＳａａＳ（Software as a Service）、
ＰａａＳ（Platform as a Service）、ＩａａＳ（Infrastructure as a Service）等を利用して実現されるものであってもよい。

【0185】

なお、構築配備装置Ａ０１、システム関連装置Ａ０２及び認証装置Ａ０３がハイパーバイザ型の仮想コンピュータにより実現される場合は、図１５に示すような構成をソフトウェアにより実現するための不図示の仮想化ソフトウェアを不図示の物理的なコンピュータが実行している。その場合、この物理的なコンピュータの構成は、図１５に示す構成と同様である。

【0186】

＜認証装置＞
認証装置Ａ０３は、ＣＰＵ（Central Processing Unit）３１０、メモリ３２０、通信
装置３３０、記憶装置３４０、入力装置３５０、出力装置３６０及び記録媒体読取装置３７０を有して構成される。

【0187】

ＣＰＵ３１０は認証装置Ａ０３の全体の制御を司るもので、記憶装置３４０に記憶される本実施形態に係る各種の動作を行うためのコードから構成される認証装置制御プログラム６３０や各種データをメモリ３２０に読み出して実行あるいは処理することにより、認証装置Ａ０３としての各種機能を実現するプロセッサである。

【0188】

例えば、ＣＰＵ３１０により認証装置制御プログラム６３０及び各種データが実行あるいは処理され、メモリ３２０や通信装置３３０、記憶装置３４０等のハードウェア機器と協働することにより、ルート認証部Ａ３０、ＩＤ属性認証部Ａ３１、プロセス認証部Ａ４１、データ認証部Ａ５１、システム認証部Ａ６１などの各機能が実現される。

【0189】

ＣＰＵ３１０は、例えば、ＭＰＵ（Micro Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）、ＡＩ（Artificial Intelligence）チップ等を用いて構成されていてもよい。

【0190】

認証装置制御プログラム６３０は、認証装置Ａ０３が有する機能を実現するためのプログラムを総称しており、例えば、認証装置Ａ０３上で動作するアプリケーションプログラムやＯＳ（Operating System）、ミドルウェア、種々のライブラリ等を含む。

【0191】

メモリ３２０は例えば半導体記憶装置により構成することができる。メモリ３２０は、プログラムやデータを記憶する装置であり、例えば、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、不揮発性メモリ（ＮＶＲＡＭ（Non Volatile RAM））等である。

【0192】

記憶装置３４０は各種プログラムやデータ、テーブル等を記憶するための物理的な記憶領域を提供する装置である。記憶装置３４０は、例えば、ＳＳＤ（Solid State Drive）
、ハードディスクドライブ、光学式記憶装置（ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）等）、ストレージシステム、ＩＣカード、ＳＤカードや光学式記録媒体等の非一時的な記録媒体の読取／書込装置、クラウドサーバの非一時的な記憶領域等である。記憶装置３４０には、記録媒体の読取装置や通信装置３３０を介して、非一時的な記
録媒体や非一時的な記憶装置を備えた他の情報処理装置からプログラムやデータを読み込むことができる。記憶装置３４０に格納（記憶）されているプログラムやデータはメモリ３２０に随時読み込まれる。

【0193】

本実施形態では、図１８に示すように、記憶装置３４０には認証装置制御プログラム６３０の他、属性規約Ａ３２、ＩＤ属性認証結果Ａ３３、プロセスモデルＡ４２、プロセス認証結果Ａ４３、データ品質規約Ａ５２、データ認証結果Ａ５３、システム規約Ａ６２、システム認証結果Ａ６３などの各種データが記憶されている。

【0194】

記憶装置３４０は、認証装置Ａ０３に内蔵されている形態とすることもできるし、外付されている形態とすることもできる。

【0195】

記録媒体読取装置３７０は、ＣＤ－ＲＯＭやＤＶＤ等の記録媒体８００に記録されたプログラムやデータを読み取り、記憶装置３４０に格納する。

【0196】

通信装置３３０は、他の装置との間の通信を実現する装置である。通信装置３３０は、ネットワーク５００を介して、所定の通信プロトコルに準拠した他の装置との間の通信を実現する、有線方式又は無線方式の通信インタフェースであり、例えば、ＮＩＣ（Network Interface Card）、無線通信モジュール等である。

【0197】

例えば通信装置３３０は、インターネットやＬＡＮ（Local Area Network）等のネットワーク５００を介して構築配備装置Ａ０１やシステム関連装置Ａ０２等の他のコンピュータとデータやプログラムの授受を行う。例えば不図示の他のコンピュータに、上述した認証装置制御プログラム６３０を格納しておき、認証装置Ａ０３がこのコンピュータから認証装置制御プログラム６３０をダウンロードして実行するようにすることができる。

【0198】

また認証装置Ａ０３は記憶装置３４０を備えずに、ネットワーク５００を通じて通信可能に接続された不図示の他のコンピュータに記憶されている上記のプログラムやテーブル等の各種データを用いて認証装置Ａ０３としての機能を実現する形態も可能である。

【0199】

入力装置３５０は、オペレータ等による認証装置Ａ０３へのデータ入力等のために用いられる装置でありユーザインタフェースとして機能する。入力装置３５０としては例えばキーボードやマウス、タッチパネル、カードリーダ、ペン入力方式のタブレット、マイク等を用いることができる。

【0200】

出力装置３６０は、情報を外部に出力するための装置でありユーザインタフェースとして機能する。出力装置３６０は、例えば、上記の各種情報を可視化する表示装置（液晶モニタ、ＬＣＤ（Liquid Crystal Display）、グラフィックカード等）、上記の各種情報を音声化する装置（音声出力装置（スピーカ等））、上記の各種情報を文字化する装置（印字装置等）である。尚、例えば、認証装置Ａ０３が通信装置３３０を介して他の装置との間で情報の入力や出力を行う構成としてもよい。

【0201】

なお、入力装置３５０と出力装置３６０は、ユーザとの間の対話処理（情報の受け付け、情報の提供等）を実現するユーザインタフェースを構成する。
認証装置Ａ０３には、例えば、オペレーティングシステム、ファイルシステム、ＤＢＭＳ（DataBase Management System）（リレーショナルデータベース、ＮｏＳＱＬ等）、ＫＶＳ（Key-Value Store）等が導入されていてもよい。

【0202】

＜構築配備装置＞
構築配備装置Ａ０１は、ＣＰＵ１１０、メモリ１２０、通信装置１３０、記憶装置１４
０、入力装置１５０、出力装置１６０及び記録媒体読取装置１７０を有して構成される。

【0203】

ＣＰＵ１１０は構築配備装置Ａ０１の全体の制御を司るもので、記憶装置１４０に記憶される本実施形態に係る各種の動作を行うためのコードから構成される構築配備装置制御プログラム６１０や各種データをメモリ１２０に読み出して実行あるいは処理することにより、本実施形態で説明する構築配備装置Ａ０１としての各種機能を実現するプロセッサである。

【0204】

例えば、ＣＰＵ１１０により構築配備装置制御プログラム６１０及び各種データが実行あるいは処理され、メモリ１２０や通信装置１３０、記憶装置１４０等のハードウェア機器と協働することにより、データリポジトリＡ１０、ビルドＡ１１、コンテナリポジトリＡ１２、配備Ａ１３、プロセスログＡ１４などの各機能が実現される。

【0205】

構築配備装置制御プログラム６１０は、構築配備装置Ａ０１が有する機能を実現するためのプログラムを総称しており、例えば、構築配備装置Ａ０１上で動作するアプリケーションプログラムやＯＳ（Operating System）、ミドルウェア、種々のライブラリ等を含む。

【0206】

本実施形態では、図１６に示すように、記憶装置１４０には構築配備装置制御プログラム６１０の他、データリポジトリＡ１０、コンテナリポジトリＡ１２、プロセスログＡ１４などの各種データが記憶されている。

【0207】

なお上述した様に、構築配備装置Ａ０１は認証装置Ａ０３と共通の構成を有しているので、重複する説明を省略する。

【0208】

＜システム関連装置＞
システム関連装置Ａ０２は、ＣＰＵ２１０、メモリ２２０、通信装置２３０、記憶装置２４０、入力装置２５０、出力装置２６０及び記録媒体読取装置２７０を有して構成される。

【0209】

ＣＰＵ２１０はシステム関連装置Ａ０２の全体の制御を司るもので、記憶装置２４０に記憶される本実施形態に係る各種の動作を行うためのコードから構成されるシステム関連装置制御プログラム６２０や各種データをメモリ２２０に読み出して実行あるいは処理することにより、本実施形態で説明するシステム関連装置Ａ０２としての各種機能を実現するプロセッサである。

【0210】

例えば、ＣＰＵ２１０によりシステム関連装置制御プログラム６２０及び各種データが実行あるいは処理され、メモリ２２０や通信装置２３０、記憶装置２４０等のハードウェア機器と協働することにより、システムプラットフォームＡ２０、配備ログＡ２１、サービス提供システムＡ２２などの各機能が実現される。

【0211】

システム関連装置制御プログラム６２０は、システム関連装置Ａ０２が有する機能を実現するためのプログラムを総称しており、例えば、システム関連装置Ａ０２上で動作するアプリケーションプログラムやＯＳ（Operating System）、ミドルウェア、種々のライブラリ等を含む。

【0212】

本実施形態では、図１７に示すように、記憶装置２４０にはシステム関連装置制御プログラム６２０の他、システムプラットフォームＡ２０、配備ログＡ２１、サービス提供システムＡ２２などの各種データが記憶されている。

【0213】

なお上述した様に、システム関連装置Ａ０２は認証装置Ａ０３と共通の構成を有しているので、重複する説明を省略する。

【0214】

以上、本実施形態に係る認証装置Ａ０３、認証装置Ａ０３の制御方法及びプログラムについて詳細に説明したが、本実施形態によれば、情報処理サービスを提供するために構築されたサービス提供システムＡ２２を認証することが可能になる。例えば、サービス提供システムＡ２２の構築が、正当な処理主体により正当なデータが正当な手順で処理されることによって行われていることを認証することが可能になる。

【0215】

またサービス提供システムＡ２２の構築及び変更時のプロセスの適切さと要素のテストの有無を、第三者が、信頼の連鎖をもって検証可能とすることで、サービス提供システムＡ２２が期待した結果を返す見込みであることを判別することが可能となる。

【0216】

また、サービス提供システムＡ２２が正当に構築されていることを証明するための電子証明書を発行することにより、サービス提供システムＡ２２の利用者は、認証装置Ａ０３が発行する電子証明書を確認することで、サービス提供システムＡ２２の状態を把握することが可能になる。その際、利用者は自身で検証を行う必要がなく、また認証装置Ａ０３だけを信頼すればよい。特に本実施形態では、ルート認証部Ａ３０だけを信頼すれば済む。

【0217】

なお、上述した実施の形態は本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明はその趣旨を逸脱することなく変更、改良され得るとともに、本発明にはその等価物も含まれる。

【0218】

また、上記の各構成、機能、処理部、処理手段等は、それらの一部または全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）等の記録装置、ま
たは、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

【0219】

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

【符号の説明】

【0220】

Ａ００ 情報処理システム
Ａ０１ 構築配備装置
１１０ ＣＰＵ
１２０ メモリ
１３０ 通信装置
１４０ 記憶装置
１５０ 入力装置
１６０ 出力装置
１７０ 記録媒体読取装置
Ａ１０ データリポジトリ
Ａ１１ ビルド
Ａ１２ コンテナリポジトリ
Ａ１３ 配備
Ａ１４ プロセスログ
Ａ０２ システム関連装置
２１０ ＣＰＵ
２２０ メモリ
２３０ 通信装置
２４０ 記憶装置
２５０ 入力装置
２６０ 出力装置
２７０ 記録媒体読取装置
Ａ２０ システムプラットフォーム
Ａ２１ 配備ログ
Ａ２２ サービス提供システム
Ａ０３ 認証装置
３１０ ＣＰＵ
３２０ メモリ
３３０ 通信装置
３４０ 記憶装置
３５０ 入力装置
３６０ 出力装置
３７０ 記録媒体読取装置
Ａ３０ ルート認証部
Ａ３１ ＩＤ属性認証部
Ａ３２ 属性規約
Ａ３３ ＩＤ属性認証結果
Ａ４１ プロセス認証部
Ａ４２ プロセスモデル
Ａ４３ プロセス認証結果
Ａ５１ データ認証部
Ａ５２ データ品質規約
Ａ５３ データ認証結果
Ａ６１ システム認証部
Ａ６２ システム規約
Ａ６３ システム認証結果
Ｂ００ プロセスログ情報
Ｃ００ 配備ログ情報
Ｄ００ ＩＤ認証結果情報
Ｅ００ 属性認証結果情報
Ｆ００ プロセス認証結果情報
Ｇ００ データ認証結果情報
Ｈ００ システム認証結果情報
Ｍ００ 証明書チェーン
５００ ネットワーク
６１０ 構築配備装置制御プログラム
６２０ システム関連装置制御プログラム
６３０ 認証装置制御プログラム
８００ 記録媒体

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】