特許ウォッチ

公開番号2025037394
公報種別公開特許公報(A)
公開日2025-03-18
出願番号2023144303
出願日2023-09-06
発明の名称利用者認可システム及び利用者認可方法
出願人株式会社日立製作所
代理人弁理士法人サンネクスト国際特許事務所
主分類G06F 21/62 20130101AFI20250311BHJP(計算;計数)
要約【課題】データの提供部が、その提供先までに経由するコンポーネントに関する情報を把握するとともに、当該データへのアクセス可否を判断する利用者認可システム及び利用者認可方法を提供する。
【解決手段】利用者認可システムは、要求に応じて提供されうるデータの提供元と提供先及び中継コンポーネントを含む複数のエンティティの認証情報、属性情報及び発行済み資格情報を管理する認証部70と、一のエンティティの資格情報と、他のエンティティの資格情報と、を基に、委任項を含む資格情報を生成し、要求に応じて複数のエンティティのうちの特定のエンティティに対して提供する資格情報生成部であるSTS(Security Token Service)30と、を備え、STSは、STSによって生成された資格情報を基に、資格情報を受け取った特定のエンティティに対して、上述した要求が経由する他のエンティティに関する情報を提供する。
【選択図】図8
特許請求の範囲【請求項１】
要求に応じて提供されうるデータの提供元と提供先、及び前記要求が経由しうる中継コンポーネントという要求のやり取りに関係する複数のエンティティに関する認証情報、属性情報及び発行済み資格情報を管理し、前記複数のエンティティの認証を行う認証部と、
前記複数のエンティティのうちの一のエンティティの資格情報と他のエンティティの資格情報とを基に、委任項を含む資格情報を生成し、前記要求に応じて前記複数のエンティティのうちの特定のエンティティに対して提供する資格情報生成部と、を備え、
前記資格情報生成部は、
前記資格情報生成部によって生成された前記資格情報を基に、前記資格情報を受け取った前記特定のエンティティに対して、前記要求に応じて経由する他のエンティティに関する情報を提供する
ことを特徴とする利用者認可システム。
続きを表示（約 1,500 文字）【請求項２】
前記資格情報生成部は、
前記要求に応じて経由する前記他のエンティティに関する情報を前記資格情報に含めて前記特定のエンティティに対して提供する
ことを特徴とする請求項１に記載の利用者認可システム。
【請求項３】
前記資格情報生成部によって生成された前記資格情報を基に、認可ポリシーに基づいて、前記データの提供元へのアクセス可否を判断する認可部を備える、
ことを特徴とする請求項１または請求項２に記載の利用者認可システム。
【請求項４】
前記資格情報生成部は、
前記要求に応じて経由する他のエンティティに関する情報を保有しており、
経路記録要求を受け取ると、前記特定のエンティティに対して、前記他のエンティティに関する情報を提供する
ことを特徴とする請求項１に記載の利用者認可システム。
【請求項５】
前記特定のエンティティは、
提供された前記他のエンティティに関する情報を用いて、前記要求に応じて経由する他のエンティティを把握する
ことを特徴とする請求項４に記載の利用者認可システム。
【請求項６】
要求に応じて提供されうるデータの提供元と提供先、及び前記要求が経由しうる中継コンポーネントという要求のやり取りに関する複数のエンティティに関する認証情報、属性情報及び発行済み資格情報を利用者認可システムの認証部が管理し、前記複数のエンティティの認証を行う認証ステップと、
前記利用者認可システムの資格情報生成部が、前記複数のエンティティのうちの一のエンティティの資格情報と他のエンティティの資格情報とを基に、委任項を含む資格情報を生成し、前記要求に応じて前記複数のエンティティのうちの特定のエンティティに対して提供する資格情報生成ステップと、を有し、
前記資格情報生成ステップでは、
前記資格情報生成部が、前記資格情報生成部によって生成された前記資格情報を基に、前記資格情報を受け取った前記特定のエンティティに対して、前記要求に応じて経由する他のエンティティに関する情報を提供する
ことを特徴とする利用者認可システムの利用者認可方法。
【請求項７】
前記資格情報生成ステップでは、
前記資格情報生成部が、前記要求に応じて経由する前記他のエンティティに関する情報を前記資格情報に含めて前記特定のエンティティに対して提供する
ことを特徴とする請求項６に記載の利用者認可方法。
【請求項８】
前記利用者認可システムの認可部が、前記資格情報生成部によって生成された前記資格情報を基に、認可ポリシーに基づいて、前記データの提供元へのアクセス可否を判断する認可ステップを有する、
ことを特徴とする請求項６または請求項７に記載の利用者認可方法。
【請求項９】
前記資格情報生成ステップでは、
前記資格情報生成部が、前記要求に応じて経由する他のエンティティに関する情報を保有しており、
経路記録要求を受け取ると、前記特定のエンティティに対して、前記他のエンティティに関する情報を提供する
ことを特徴とする請求項６に記載の利用者認可方法。
【請求項１０】
前記特定のエンティティは、
提供された前記他のエンティティに関する情報を用いて、前記要求に応じて経由する他のエンティティを把握する
ことを特徴とする請求項９に記載の利用者認可方法。

発明の詳細な説明【技術分野】
【０００１】
本発明は、利用者認可システム及び利用者認可方法に関し、例えば、保護されたデータ、リソースにアクセスする際の認証認可方式に関する利用者認可システムに適用して好適なものである。
続きを表示（約 2,000 文字）【背景技術】
【０００２】
OpenID Connectなどの標準的な認証認可の枠組みでは、保護されたリソース等にアクセスする際、要求元（人、又は機器）は、自らの資格情報を用いて認証コンポーネントから認証結果を取得し、取得した認証結果を用いて、保護されたリソース等へのアクセス要求をサーバに送信する。
【０００３】
サーバは、認可結果を施行するポイントであり、認可コンポーネントに認可可否を問い合わせる。この認可コンポーネントは、認証コンポーネントに認証結果の有効性を問い合わせ、この認証コンポーネントから認証結果が有効である旨の情報を得た場合には、ポリシーに基づいてアクセス要求の認可可否をサーバに返送する。
【０００４】
サーバは、認可コンポーネントから得られた認可可否の結果に基づいて、保護されたリソース等へのアクセス要求を処理する（非特許文献１参照）。認証コンポーネントは、アクセス要求の認可可否を判断する際には、所定のポリシーに基づいた判断の処理を行う。その１つとして、属性に基づくアクセス制御を意味するＡＢＡＣ（Attribute Based Access Control）がある。このアクセス制御は、要求元の所属や職位、場所といった属性に基づいて認可可否の判断を行う制御である。
【０００５】
要求元の属性を用いてアクセス要求の認可を行う場合、属性の正しさが担保されている必要がある。しかし、認証コンポーネントがそれを担うのは負荷が高くなるため、認証コンポーネントは、別のコンポーネント、例えば、属性認証局と連携する必要がある。
【０００６】
また、委任の枠組みを用いて、あるサーバがクライアントの代理としてターゲットサービスにアクセスすることを管理する方法が開示されている。例えば、信頼する第三者機関は、サーバに対して資格情報を発行する際、そのサーバがクライアントの代理としてターゲットサービスにアクセスすることが認可されているかを判断し、この判断の結果に基づいて資格情報を発行する方法が開示されている（特許文献１参照）。
【０００７】
近年、組織や分野を跨いだデータ連携の取組が世界各地で行われている。組織や分野を跨いだデータ連携においては、データ発見や認証認可、データのやり取り時のプロトコルの差異など様々な課題が存在する。それらを解決するため、データ連携基盤を構築し、利用者は、コネクタと呼ばれるコンポーネントを介して利用者間で通信を行ったり、データ連携を支援するサービスを利用したりする、というアプローチがＣＡＤＤＥ（Connector Architecture for Decentralized Data Exchange）やＩＤＳ（International Data Spaces）などで採用されている。ＣＡＤＤＥは、分散型データ交換のためのコネクタ・アーキテクチャであり、ＩＤＳは欧州を中心として構築が取り組まれているデータ連携構想ＧＡＩＡ－Ｘの実現形態として考えられているアーキテクチャである。
【０００８】
具体的には、データを取得したい利用者（以下、データ利用者とも称する）は、データを取得する際に、自身が利用するデータ連携基盤へのコネクタ（以下、利用者コネクタとも称する）を介して、データを提供する利用者（以下、データ提供者とも称する）が利用するデータ連携基盤へのコネクタ（以下、提供者コネクタとも称する）へデータ取得要求を出す。提供者コネクタは、データ取得要求を解釈し、必要に応じてデータ提供者が管理するデータであって、保護されたデータへアクセスし、アクセスにより得られたデータを利用者コネクタへ渡す。
【０００９】
また、データ連携基盤における利用者コネクタ又は提供者コネクタは、データ利用者又はデータ提供者が直接利用するだけではなく、何らかのプログラムが利用する形態が想定されているので、ｗｅｂＡＰＩ（Application Programing Interface）を備えている。そのため、データ連携基盤を用いてデータをやり取りする場合、データ利用者からのデータ取得要求は、データ利用者、プログラム、利用者コネクタ、提供者コネクタと、複数のコンポーネントを介して行われることとなる。
【００１０】
近年、データ活用への着目の高まりから、データ管理への関心が高まっている。データは、無体物であるため、所有権の対象ではないが、データオーナーシップやデータ主権といった、データの生成に寄与した人がデータの扱いを決めることができるという考え方が主流となってきている。
（【００１１】以降は省略されています）

関連特許