CN101098231A

CN101098231A - 信息处理系统和存储有控制程序的记录介质

Info

Publication number: CN101098231A
Application number: CNA2007100065561A
Authority: CN
Inventors: 木子健一郎; 中津山恒
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2006-06-28
Filing date: 2007-02-02
Publication date: 2008-01-02
Anticipated expiration: 2027-02-02
Also published as: US20080005789A1; CN101098231B; JP2008009607A; JP4882546B2; US8176538B2

Abstract

本发明提供了信息处理系统和存储有控制程序的记录介质。该信息处理系统包括：信息发布服务器；客户机装置；和多个业务提供服务器，其向客户机装置的用户提供业务，并且所述信息发布服务器包括：用户认证信息存储器，其存储用户认证信息；接收部，其接收来自所述多个业务提供服务器的认证信息；和认证代理信息发布部，其发布基于接收部接收到的认证信息和存储在用户认证信息存储器中的用户认证信息制成的认证代理信息，并且所述客户机装置包括：用户认证部，其执行对用户的认证；和认证代理部，如果用户认证部执行了所述认证，则基于认证代理信息发布部所发布的认证代理信息，作为代理执行用户到所述多个业务提供服务器的认证。

Description

信息处理系统和存储有控制程序的记录介质

技术领域

本发明涉及信息处理系统和存储有控制程序的记录介质。

背景技术

已经提出了SSO(单一登入，Single Sign-On)系统，利用SSO系统，用户首先受到认证，然后该用户可利用由该认证所许可的所有功能。例如，可以利用如第2005-321970号日本专利申请公报中所述的结构实现该系统，并且该系统不再需要在连接到服务器、连接到另一服务器等的过程中进行重复认证操作。

在网络系统运行于学校、企业等中的情况下，为了提高安全性，在内网和外网(例如，因特网)之间的边界处设置代理(proxy)服务器，该代理服务器作为内网中的计算机的代理执行与外网的连接。该代理服务器旨在从内网利用外网上的服务器，因而有时被特称为正向代理。

与之相对的是，与对从内网到外网的连接进行中继的正向代理相反，反向代理对从外网到内网的连接进行中继。反向代理的应用不限于从外网到内网的连接，但通常反向代理用于同一网络中。

作为SSO系统之一，有一种反向代理型SSO系统，在该系统中设置有反向代理用于集总地管理和监察(audit)来自外网侧的连接。对于这种类型的系统，从Web浏览器到Web服务器的所有请求被该反向代理接收，然后被传送到操作用Web服务器。因此，所有的请求都经过该反向代理，这可能会使反向代理成为瓶颈，导致处理速度和可用性降低。

对于该反向代理型SSO系统，从浏览器侧看起来似乎所有的内容都存在于反向代理中。因此，对于反向代理，在(例如，由HTML(超文本标记语言)、样式表(CSS)、客户机侧脚本语言(Java(注册商标)Script或VBScript)等构成的)内容中设置有链接等的情况下，该链接目的地的URL被变更，这样，就需要重写该内容。此时，可能无法重写内容，在这种情况下，就需要在服务器侧采取行动，这使得难以使任意业务参加SSO系统。

此外，除了如上所述的反向代理型SSO系统之外，还提出了中介(agent)型SSO系统，该系统将认证模块并入Web服务器中以在导向被并入的Web应用等之前完成认证。在这种情况下，不会产生瓶颈，因而，在性能上不存在问题，但是通信是直接在服务器和客户机之间进行的，这就出现了无法设置监察点的问题。

此外，因为中介型SSO系统要并入到Web服务器中，所以这种SSO系统会依赖于平台和类型，这限制了可应用的服务器。因此，对于该中介型SSO系统，与反向代理型SSO系统一样，也难以使任意服务参加SSO系统。

发明内容

考虑到以上情况作出了本发明，本发明提供了一种信息处理系统和一种存储有控制程序的记录介质。

本发明的第一方面提供了一种信息处理系统，其包括：信息发布服务器；客户机装置；和多个业务提供服务器，其向所述客户机装置的用户提供服务，并且所述信息发布服务器包括：用户认证信息存储器，其存储用户认证信息；接收部，其接收来自所述多个业务提供服务器的认证信息；和认证代理信息发布部，其发布基于所述接收部接收到的所述认证信息和存储在所述用户认证信息存储器中的所述用户认证信息制成的认证代理信息，并且所述客户机装置包括：用户认证部，其执行对所述用户的认证；和认证代理部，如果所述用户认证部执行了所述认证，则基于所述认证代理信息发布部所发布的所述认证代理信息，作为代理执行所述用户到所述多个业务提供服务器的认证。

本发明的第二方面提供了本发明的第一方面的信息处理系统，其中，所述客户机装置还包括：监察策略获取部，其从所述信息发布服务器获取监察策略；和日志输出部，其基于由所述监察策略获取部获取的所述监察策略，输出监察日志。

本发明的第三方面提供了本发明的第一方面或第二方面的信息处理系统，其中，所述认证代理部是透过型代理。

本发明的第四方面提供了一种存储有控制程序的计算机可读记录介质，所述控制程序使计算机执行处理以作为代理向多个业务提供服务器进行认证，所述处理包括：对用户进行认证；获取认证代理信息，该认证代理信息用于向所述多个业务提供服务器进行认证；以及如果进行了对所述用户的所述认证，则基于所获取的认证代理信息，作为代理执行所述用户向所述多个业务提供服务器的认证。

本发明的第五方面提供了本发明的第四方面的计算机可读记录介质，所述处理还包括：获取监察策略；以及基于所获取的监察策略输出监察日志。

本发明的第六方面提供了本发明的第四方面或第五方面的计算机可读记录介质，其中，对所述用户的所述认证是由透过型代理执行的。

附图说明

将根据附图来详细描述本发明的示例性实施例，在附图中：

图1是示出了根据本发明的信息处理系统的整体结构的一个示例的图；

图2是示出了如图1所示的信息处理系统的一部分功能结构的图；

图3是示出了如图2所示的认证代理信息的一个示例的图；

图4是表示如图1和图2所示的信息处理系统中的第一处理的流程的序列图；以及

图5是表示如图1和图2所示的信息处理系统中的第二处理的流程的序列图。

具体实施方式

以下，将参照附图详细描述根据本发明的信息处理系统和存储有控制程序的记录介质的示例性实施例。

图1是示出了根据本发明的信息处理系统的整体结构的一个示例的图。

在该信息处理系统中，通过由LAN(局域网)、WAN(广域网)等构成的网络50使一个或多于一个的客户机终端10、监察服务器20、SSO信息发布服务器30、以及一个或多于一个的业务提供服务器40互相连接。在该信息处理系统中，由布置在客户机终端10中的透过型代理(以下称作C-SSO)在SSO程序的控制下实现SSO方案。换言之，一旦有效地执行了认证，则该C-SSO12执行针对各个业务提供服务器40的代理认证，因而，在此之后，在用户访问参加了SSO方案的某一业务提供服务器40时，不会要求用户进行认证。该信息处理系统中的网络结构仅仅是一个示例，在网络50中，可连接各种其它网络终端，诸如应用服务器、Web服务器等。

在这里，在SSO信息发布服务器30中，存储有用于将C-SSO12安装在客户机终端10中的C-SSO安装程序31，通过该程序31，将C-SSO12安装在客户机终端10中。

此外，如稍后将详细描述的，该C-SSO12作为代理执行向业务提供服务器40的认证，因而，C-SSO12需要保存用于向业务提供服务器40执行认证的认证信息。因此，SSO信息发布服务器30从业务提供服务器40接收用于登录到特定业务提供服务器40的认证信息，并进而向安装有C-SSO12的客户机终端10发布该认证信息。

在客户机终端10中，提供用于读取HTML内容的Web浏览器11等作为应用，通过利用该Web浏览器11来实现与业务提供服务器40等的数据通信。在该示例性实施例中，作为示例描述了通过Web浏览器11执行与业务提供服务器40等的数据通信的情况，然而，在这种通信中，不必总是使用Web浏览器11，可使用任何其它软件来代替，只要该软件利用http请求就行。

在利用Web浏览器11访问业务提供服务器40时，该访问是通过C-SSO12进行的。这是因为C-SSO12截获来自Web浏览器11的请求。在从Web浏览器11参照业务提供服务器40时，对于用户来说就像该用户直接访问服务器一样，然而，实际上该访问是通过C-SSO12进行的。此外，监察服务器20接收该客户机终端10上的、作为监察日志21的访问记录等，并将其存储。在向该监察服务器20发送监察日志21时，由C-SSO12执行对监察日志21的获取和发送。

业务提供服务器40存储各种信息(如HTML内容、图像等)和资源(如Web应用等)，并且响应于通过Web浏览器11而来自客户机终端10的http请求而提供这种信息等。该业务提供服务器40存储静态内容(例如，HTML内容等)和动态内容(Web应用等)，并包括Web服务器和应用服务器两者的功能，然而，这仅是一个示例，该服务器可包括这些功能中的一种。

在这里，为了易于描述，将简要描述客户机终端10参加SSO方案时执行的操作。当第一次执行从客户机终端10到特定的业务提供服务器40的访问时，需要首先进行认证。在这里，周期性地从业务提供服务器40向SSO信息发布服务器30发送用于登录到该业务提供服务器40的认证信息。例如，每次当经过了一定时间或时段时，或者每次当变更了认证信息时，会发生这种周期性的发送。

来自客户机终端10的请求被重定向到SSO信息发布服务器30。通过该重定向，请求从SSO信息发布服务器30将C-SSO12安装到客户机终端10。访问安装页的用户可以预先安装C-SSO12。

当用户接受该安装请求，并且在客户机终端10中安装了C-SSO12时，SSO信息发布服务器30向客户机终端10发送经编码的认证代理信息和监察策略。

当登录到C-SSO12后，用户使用Web浏览器11再次试图访问业务提供服务器40时，C-SSO12截获该请求，从而作为该业务提供服务器40的代理执行认证。在这里，在成功地执行了认证的情况下，在业务提供服务器40中执行根据用户请求的处理。基于监察策略向监察服务器20发送在客户机终端10上执行的这种处理的内容。

接下来，参照图2，将描述如图1所示的信息处理系统的一部分功能结构。与图1中给出的组件相同的组件设置有相同的标号和标记。

将业务提供服务器40构造为包括如下的各种处理功能部：认证信息发送部41，其提供这样的功能，即，向SSO信息发布服务器30发送用于登录到其自身终端的认证信息；和认证部42，其提供这样的功能，即，执行关于是否许可登录到其自身终端的认证确定。从安全的角度考虑，从该认证信息发送部41发送的认证信息进行编码后才发送。

将SSO信息发布服务器30构造为包括如下的各种处理功能部：C-SSO安装程序、SSO信息发布部32、用户认证信息存储器33、以及认证信息接收部34。

认证信息接收部34提供从业务提供服务器40接收认证信息的功能，用户认证信息存储器33提供存储该用户认证信息的功能。SSO信息发布部32提供如下功能：基于从业务提供服务器40接收的认证信息和存储在用户认证信息存储器33中的用户认证信息，根据来自客户机终端10的请求而制成认证代理信息，并向客户机终端10发布该认证代理信息。此外，除了该认证代理信息之外，SSO信息发布部32根据来自客户机终端10的请求还向客户机终端10发布监察策略。在向客户机终端10发布认证代理信息和监察策略时，将它们以与从业务提供服务器40向SSO信息发布服务器30发送认证信息的方式相同的方式进行编码。编码和解码要使用的密钥的管理和传输方法、以及采用什么编码方法不是关键问题，只要能够保持安全性，就可使用任何方法。

在客户机终端10中，安装有Web浏览器11、各种程序13和C-SSO12，在这里，C-SSO12被构造为包括如下各种处理功能部：用户认证部61、请求获取部62、SSO信息获取部63、认证代理部64和日志输出部65。

用户认证部61提供进行为登录到C-SSO12的认证的功能。在利用SSO方案时，要求用户在该用户认证部61和该用户之间进行用户认证以登录到C-SSO12。在本示例性实施例中，基于存储在用户认证信息存储器33中的用户认证信息，执行用户认证部61中的用户认证。

请求获取部62提供这样的功能：截获并获取来自Web浏览器11的请求以及针对该请求对Web浏览器11的响应。换言之，来自Web浏览器11的特定请求及对其的响应总是通过C-SSO12。

SSO信息获取部63获取由SSO信息发布服务器30的SSO信息发布部32发布的信息。具体地讲，SSO信息获取部63请求SSO信息发布服务器30发布参加SSO方案所需的信息(如认证代理信息64a、监察策略65a等)，并获取根据该请求而发布的信息，以将该信息传递到认证代理部64和日志输出部65。

认证代理部64提供这样的功能：代替用户使用认证代理信息64a向各个业务提供服务器40进行认证。例如，图3中示出了该认证代理信息64a的一个示例。在无需使用户对其有所意识的情况下执行了认证代理部64中的这种认证。

日志输出部65提供这样的功能：基于监察策略65a向监察服务器20输出指示各种处理内容的日志。在这里，监察策略65a提供了这样的规则，该规则指出要在什么定时输出日志、要收集什么日志等。通过向从SSO信息发布服务器30安装在各个客户机终端10中的C-SSO12发布该监察策略65a，可以容易地使得用于整个系统的策略一致。此外，仅通过重写监察策略65a，就可以容易地变更所收集的监察日志的内容。在该示例性实施例中，给出的描述基于以下假设：监察策略65a规定要在从Web浏览器11接收到请求之时以及在该请求之后收集日志。

监察策略65a在编码后被存储，或者以使用户不易变更该监察策略而加以保护的方式进行存储。此外，在安装C-SSO12时、在发布认证代理信息时等，从SSO信息发布服务器30下载监察策略65a。在客户机终端10上运行这个上面提到的C-SSO12时，不需要对Web浏览器11进行特别设置等。这是因为C-SSO12是作为透过型代理来实现的。

接下来，参照图4，将描述如图1和图2所示的信息处理系统中的处理流程。在这里，将描述从客户机终端10中没有安装C-SSO12的状态开始的处理流程。

首先，从业务提供服务器40的认证信息发送部41向SSO信息发布服务器30发送认证信息，SSO信息发布服务器30的认证信息接收部34接收该认证信息(在步骤S101中)。

接下来，用户利用Web浏览器11从客户机终端10访问SSO信息发布服务器30(在步骤S102中)，然后SSO信息发布服务器30参照Cookie等从而检测到在客户机终端10中还没有安装C-SSO，因此请求用户执行C-SSO安装程序31(在步骤S103中)。通过预先将系统设置为即使在安装C-SSO12之前用户从客户机终端10直接访问业务提供服务器40的情况下也将用户重定向到SSO信息服务器30，要求用户以与用户首先访问SSO信息发布服务器30的情况的方式相同的方式安装C-SSO12。

当用户批准安装时，开始向客户机终端10中安装C-SSO12(在步骤S104中)。在这里，当完成向客户机终端10的安装时，根据来自C-SSO12的SSO信息获取部63的请求，从SSO信息发布服务器30的SSO信息发布部32向C-SSO12发送包括认证代理信息64a和监察策略65a的经编码的信息(在步骤S105中)。C-SSO12利用SSO信息获取部63获取该信息，并将认证代理信息64a传递到认证代理部64，以及将监察策略65a传递到日志输出部65(在步骤S106中)。

当完成了C-SSO12的安装并且用户利用Web浏览器11试图访问业务提供服务器40时(在步骤S107中)，C-SSO12利用请求获取部62截获该请求。如果此时没有完成到C-SSO12的登录，则用户认证部61显示弹出窗口，或者按其他方式操作，以请求用户登录到C-SSO12(在步骤S108中)。

用户输入用户认证信息(如帐户、密码等)(在步骤S109中)，并指导用户认证的实现。在这里，当成功地进行了认证时(在步骤S110中)，完成了到C-SSO12的登录。

然后，当C-SSO12检测到还没有完成向业务提供服务器40的认证时，C-SSO12代替用户执行向各业务提供服务器40认证的认证代理(在步骤S111中)。利用从C-SSO12的认证代理部64向业务提供服务器40的认证部42发送的认证代理信息64a来实现该认证。

当成功地进行了认证代理时(在步骤S112中)，已经接收到在步骤S107中来自Web浏览器11的请求的请求获取部62对该请求进行中继(在步骤S113中)。当业务提供服务器40对该请求作出响应时(在步骤S114中)，C-SSO12的请求获取部62对该响应进行中继(在步骤S115中)，以将该响应返回到Web浏览器11。由此，在Web浏览器11的画面上，显示与步骤S107中的请求相对应的HTML内容等(在步骤S116中)。

虽然在图4中没有示出，但是基于监察策略65a，C-SSO 12的日志输出部65在从Web浏览器11接收到请求时或之后收集日志，并将日志输出到监察服务器20。

接下来，参照图5，将描述如图1和图2所示的信息处理系统中的处理流程。在这里，将描述从C-SSO12已安装在客户机终端10中的状态开始的处理流程。

首先，当用户利用Web浏览器11试图从客户机终端10访问业务提供服务器40时(在步骤S201中)，C-SSO12在请求获取部62处截获该请求。如果此时没有完成到C-SSO12的登录，则用户认证部61显示弹出窗口，或者按其他方式操作，以请求用户登录到C-SSO12(在步骤S202中)。

用户输入用户认证信息(如帐户、密码等)(在步骤S203中)，并指导用户认证的实现。在这里，当成功地进行了认证时(在步骤S204中)，完成了到C-SSO12的登录。

然后，当C-SSO12检测到还没有完成对业务提供服务器40的认证时，C-SSO12代替用户执行向各业务提供服务器40认证的认证代理(在步骤S205中)。利用从C-SSO12的认证代理部64向业务提供服务器40的认证部42发送的认证代理信息64a来实现该认证。

当成功地进行了认证代理时(在步骤S206中)，已经接收到在步骤S201中来自Web浏览器11的请求的请求获取部62对该请求进行中继(在步骤S207中)。当业务提供服务器40对该请求作出响应时(在步骤S208中)，C-SSO12的请求获取部62对该响应进行中继(在步骤S209中)，以将该响应返回到Web浏览器11。由此，在Web浏览器11的画面上，显示与步骤S201中的请求相对应的HTML内容等(在步骤S210中)。

虽然在图5中没有示出，但是基于监察策略65a，C-SSO12的日志输出部65在从Web浏览器11接收到请求之时或之后收集日志，并将日志输出到监察服务器20。

在上文中，已描述了本发明的典型示例性实施例的一个示例。然而，本发明不限于如上所述且在附图中示出的示例性实施例，并可在此要求权利的发明的范围和精神内对示例性实施例进行修改。

例如，可利用外部记录介质(如USB(通用串行总线，Universal SerialBus)钥匙)进行SSO功能的有效/无效的选择以及SSO信息发布服务器30对认证代理信息、监察策略等的发布。

此外，在上述示例性实施例中，已描述了由根据本发明的信息处理系统来执行处理的情况。然而，可将该系统构造为由安装在计算机中的控制程序来执行该处理。这种控制程序不仅可通过通信部(如网络等)来提供，而且可通过存储在记录介质(如CD-ROM等)中来提供。

本发明的信息处理系统和控制程序可应用于任何信息处理系统，利用该系统，用户首先受到认证，然后用户就可利用该认证所许可的所有功能。本发明的信息处理系统和控制程序还可应用于使计算机执行上述处理的任何控制程序。

根据本发明第一方面的信息处理系统，不会像反向代理型那样产生瓶颈，这就消除了性能降低的可能性。此外，不需要重写内容，因而，不需要在参加SSO方案的业务提供服务器侧采取行动，这就允许了任意业务参加SSO方案。

此外，根据本发明第二方面的信息处理系统，信息发布服务器集总地管理和发布关于策略的信息，因而，可以使得策略一致且没有瓶颈。

此外，根据本发明第三方面的信息处理系统，在客户机装置侧运行的认证代理软件被实现为透过型代理，这样就不需要用户来进行关于代理的设置。

此外，根据本发明第四方面的信息处理系统，可使计算机作为代理实现执行到多个业务提供服务器的认证的处理，因而，不会像反向代理型那样出现瓶颈，这排除了性能降低的可能性。此外，无需重写内容，因而，不需要在参加SSO方案的业务提供服务器侧采取行动，这就允许了任意业务参加SSO方案。

此外，根据本发明第五方面的信息处理系统，可以使得策略一致且没有瓶颈。

此外，根据本发明第六方面的信息处理系统，认证代理软件被实现为透过型代理，这样就不需要用户来进行关于代理的设置。

出于例示和说明的目的，提供了对本发明的示例性实施例的以上描述。以上描述并不是想要穷举或将本发明限制为所公开的精确形式。显然，许多修改和变型对本领域的技术人员是明显的。选择并描述这些示例性实施例是为了最好地解释本发明的原理及其实际应用，从而使本领域的其他技术人员能够针对适于所构想的具体用途的各种实施例和各种变型例而理解本发明。本发明的范围旨在由所附权利要求及其等同物限定。

Claims

1、一种信息处理系统，该系统包括：

信息发布服务器；

客户机装置；和

多个业务提供服务器，其向所述客户机装置的用户提供业务，以及

所述信息发布服务器包括：

用户认证信息存储器，其存储用户认证信息；

接收部，其接收来自所述多个业务提供服务器的认证信息；和

认证代理信息发布部，其发布基于所述用户认证信息和所述认证信息制成的认证代理信息，以及

所述客户机装置包括：

用户认证部，其执行对所述用户的认证；和

认证代理部，如果所述用户认证部执行了所述认证，则所述认证代理部基于所发布的认证代理信息，在所述用户访问所述多个业务提供服务器中的至少一个时执行代理认证。

2、如权利要求1所述的信息处理系统，其中，所述客户机装置还包括：

监察策略获取部，其从所述信息发布服务器获取监察策略；和

日志输出部，其基于由所述监察策略获取部获取的所述监察策略，输出监察日志。

3、如权利要求1或2所述的信息处理系统，其中，所述认证代理部是透过型代理。

4、一种存储有控制程序的计算机可读记录介质，所述控制程序使计算机在访问多个业务提供服务器时执行用于进行代理认证的处理，所述处理包括：

对用户进行认证；

获取认证代理信息，该认证代理信息用于向所述多个业务提供服务器进行认证；以及

如果进行了对所述用户的所述认证，则基于所获取的认证代理信息，在所述用户访问所述多个业务提供服务器中的至少一个时执行代理认证。

5、如权利要求4所述的计算机可读记录介质，所述处理还包括：

获取监察策略；以及

基于所获取的监察策略输出监察日志。

6、如权利要求4或5所述的计算机可读记录介质，其中，对所述用户的所述认证是由透过型代理执行的。