JP5060222B2 - アカウント管理システム、基底アカウント管理装置、派生アカウント管理装置及びプログラム - Google Patents

Description

本発明は、階層的なアカウントを管理するアカウント管理システム、基底アカウント管理装置、派生アカウント管理装置及びプログラムに係り、例えば、ルートとなる認証要素が失効しても、派生する認証要素の失効を阻止し得るアカウント管理システム、基底アカウント管理装置、派生アカウント管理装置及びプログラムに関する。

近年、特定物理領域などの物理リソースや、ファイルやデータなどの情報リソースが広域に分散して配置され、これら物理リソースに配置されたコンピュータや情報リソースを保持するコンピュータがネットワークを介して接続された環境（以下、広域分散環境という）が知られている。

この種の広域分散環境では、物理リソースへの不正な立ち入り、情報リソースの漏洩や盗難、といった脅威が増加してきている。このような脅威に対し、利用者による物理リソースや情報リソースへのアクセスを制御する物理セキュリティシステム及び情報セキュリティシステムの重要性が高まっている。

各セキュリティシステムでは、利用者を正しく識別及び認証し、アクセス対象への正当なセキュリティ属性（権限など）を有するか否かを確認できることが重要である。

物理セキュリティシステムでは、利用者の身元に応じて特定の制限領域への立ち入りを制御する。この種の制御は、古くは監視員による人的な監視方式を利用し、近年ではコンピュータによる情報処理的な認証方式を利用して実現されている。情報処理的な認証方式としては、例えば、スマートカードなどのセキュアデバイスによる所有物認証や、生体情報に基づくバイオメトリック認証などにより、利用者が本人であることを確認する本人確認方式がある。また、認証方式を利用した制御は、例えば、認証方式による本人確認の後、さらに、正当なセキュリティ属性を有しているか否かを判定し、この判定結果に応じて立ち入りを制御することにより実現される。

情報セキュリティシステムは、利用者の身元に応じて特定のファイルやデータへのアクセスを制御する。この種の制御は、前述したような認証方式を利用して実現される。

また、このような利用者の認証をサービスとして提供するセキュリティシステムも登場している。係るセキュリティシステムでは、生体情報のような機微度の高い認証要素を扱う場合、一般サービスとは独立して認証要素を管理することが望まれる。

しかしながら、以上のような各セキュリティシステムでは、利用者のアカウントをそれぞれ独立して管理する場合が多い。この場合、アカウント登録時に、予め利用者は、運転免許証や保険証、社員証などといった物理的な身元証明書類を各セキュリティシステムの管理者に提示する。

各セキュリティシステムの管理者は、提示された身元証明書類に基づいて、アカウント登録の可否を判断する。このような判断を各セキュリティシステムで実行することは、多大な負荷をシステム提供者と利用者に課すことになる。

一方、アカウント管理に類似する既存技術として、ＰＫＩ（Public Key Infrastructure：公開鍵基盤）と公開鍵証明書（Ｘ．５０９証明書）が知られている（例えば、非特許文献１参照。）。ＰＫＩとは、利用者（個人または機関）の身元を保証するために、信頼できる第三者機関（通常、Certificate Authority：ＣＡと呼ばれる）が保証を行う枠組みである。

ここで、第三者機関は、自己を証明するためのルート証明書（またはＣＡ証明書）などと呼ばれる公開鍵証明書を持ち、このルート証明書に基づいて個々の利用者の公開鍵証明書を生成する。利用者は、公開鍵証明書により自己の身元を証明できる。自己の身元を証明する場合、利用者は、公開鍵証明書に含まれる公開鍵に対し、対応する秘密鍵（または私有鍵）を用いて生成したディジタル署名等を利用する。

公開鍵証明書以外には、属性情報のみを保証するための公開鍵を含まない属性証明書等が知られている（例えば、非特許文献２参照。）。属性証明書は、属性情報と、公開鍵証明書のシリアル番号とを含み、且つこの公開鍵証明書の公開鍵に対応する秘密鍵によるディジタル署名が付与されている。すなわち、属性証明書は、公開鍵証明書に派生して生成されている。

なお、このようにルート（基底）となる認証要素（例、公開鍵証明書）に基づいて派生する認証要素（例、属性証明書）を生成する場合、ルートの認証要素が失効した場合、派生する全ての認証要素を再生成する必要がある。但し、公開鍵証明書と属性証明書の場合、ルートの認証要素である公開鍵証明書の有効期間（または生存サイクル期間）が、派生する認証要素である属性証明書の有効期間よりも長いので、再生成の影響は少ない。
R. Housley、W. Polk、W. Ford、D. Solo、" Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile"、[online]、 [2007年4月27日検索]、インターネット＜URL：http://www.ietf.org/rfc/rfc3280.txt＞ S. Farrell、R. Housley、" An Internet Attribute Certificate Profile for Authorization"、[online]、 [2007年4月27日検索]、インターネット＜URL：http://www.ietf.org/rfc/rfc3281.txt＞

しかしながら、本発明者の検討によれば、ルートの認証要素の有効期間よりも派生する認証要素の有効期間が長い場合、再生成の影響が非常に大きいと考えられる。

例えば、認証要素が公開鍵証明書の場合には、利用する秘密鍵の鍵長や暗号アルゴリズムの危殆化速度に依存して公開鍵証明書の有効期間が中短期となる。認証要素が生体情報の場合には、生体情報の偽造が困難なことから、有効期間が長期となる。

ここで、ルートの認証要素を公開鍵証明書とし、派生する認証要素を生体情報とした場合、中短期でルートの認証要素（公開鍵証明書）が失効する毎に、派生する認証要素（生体情報）も有効期間が長期でも失効してしまう。

すなわち、第１の課題としては、ルートとなる認証要素と、それに派生する認証要素とが独立して個別のシステム上で管理される場合に、ルートとなる認証要素の失効に伴い、派生する認証要素も失効しなければならないことが挙げられる。

このとき、派生する認証要素を利用したサービスやシステム等を継続させるためには、ルートとなる認証要素を再生成した後、派生する認証要素を再生成する必要がある。

このように、ルートとなる認証要素の有効期間が失効する場合、派生する認証要素の固有な安全性や運用特性とは無関係に、派生する認証要素の有効期間を短縮させてしまう。

しかしながら、派生する認証要素が生体情報の場合、生体情報は高い機微度をもつセンシティブな情報であり、取得時のセキュリティに細心の注意を払う必要があるため、頻繁に更新及び再生成することが難しい。

そのため、実運用を考慮すると、ルートとなる認証要素である公開鍵証明書の有効期間を暗号学的安全性よりも長期間に設定することになる。このように、ルート及び派生のそれぞれの認証要素が持つ固有な安全性と運用特性とに基づく有効期間を適切に設定することが困難である。

また、第２の課題としては、従来の公開鍵証明書の有効期限（validity period）では、派生する認証要素の有効期間を一時的に無効にする設定ができないことが挙げられる。

例えば、２００７年１月１日から２００７年２月１日まで有効とし、２００７年２月２日から２００７年２月末日まで無効とし、２００７年３月１日から２００７年４月１日まで有効としたい場合に対応できない。

この場合、派生する認証要素を有効期間“２００７年１月１日〜２００７年２月１日”として生成し、２００７年２月２日に無効とした後、派生する認証要素を有効期間“２００７年３月１日〜２００７年４月１日”として再生成することになる。

このように、認証要素を一時的に無効にした後に再生成することは、各認証要素の管理主体及び利用者に多大な負担となる。

本発明は上記実情を考慮してなされたもので、ルートとなる認証要素が失効しても、派生する認証要素の失効を阻止し得るアカウント管理システム、基底アカウント管理装置、派生アカウント管理装置及びプログラムを提供することを目的とする。

また、本発明の他の目的は、派生する認証要素の有効期間を一時的に無効に設定し得るアカウント管理システム、基底アカウント管理装置、派生アカウント管理装置及びプログラムを提供することにある。

第１の発明は、利用者の身元を保証するための基底アカウント情報を管理する基底アカウント管理装置と、前記基底アカウント情報に基づいて生成される派生アカウント情報を管理する派生アカウント管理装置とを備え、前記各アカウント管理装置が利用者のクライアント装置と通信可能なアカウント管理システムであって、前記基底アカウント管理装置としては、初期認証要素情報が格納された初期認証要素フィールド及び派生アカウント信用要素情報が格納される派生アカウント信用要素フィールドを備えた前記基底アカウント情報を記憶した基底アカウント記憶手段と、前記基底アカウント管理装置の秘密鍵及びこの秘密鍵に対応する公開鍵証明書が記憶された基底アカウント鍵記憶手段と、前記派生アカウント信用要素情報に対する複数の有効期間を含む生存条件を予め設定するための生存条件設定手段と、前記初期認証要素情報に基づいて、前記クライアント装置の利用者を認証する初期認証手段と、前記初期認証手段による認証結果が正当のとき、信用要素識別情報、基底アカウント管理装置識別情報、派生アカウント管理装置識別情報、基底アカウント情報参照情報及び前記生存条件に対し、前記基底アカウント管理装置の秘密鍵に基づいて電子署名を生成する手段と、前記信用要素識別情報、前記基底アカウント管理装置識別情報、前記派生アカウント管理装置識別情報、前記基底アカウント情報参照情報、前記生存条件、前記電子署名及び前記公開鍵証明書からなる派生アカウント信用要素情報を前記派生アカウント信用要素情報フィールドに格納する手段と、前記基底アカウント記憶手段内の派生アカウント信用要素情報を派生アカウント管理装置に送信する手段と、を備えており、前記派生アカウント管理装置としては、前記派生アカウント信用要素情報が格納される派生アカウント信用要素フィールド及び派生認証要素情報が格納される派生認証要素フィールドを備えた前記派生アカウント情報を記憶可能な派生アカウント記憶手段と、前記基底アカウント管理装置から派生アカウント信用要素情報を受信すると、この派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段と、この検証の結果、電子署名が正当のとき、前記派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段と、この検証の結果、生存条件を満たす場合、前記派生アカウント信用要素情報を前記派生アカウント信用要素フィールドに含む前記派生アカウント情報を作成し、この派生アカウント情報を前記派生アカウント記憶手段に書き込む手段と、前記利用者の生体情報を前記クライアント装置から取得し、この生体情報から生体情報テンプレートを作成する手段と、前記生体情報テンプレートを含む派生認証要素情報を前記派生アカウント記憶手段内の前記派生アカウント情報の派生認証要素フィールドに書き込む手段と、前記派生認証要素の書き込みの後、前記派生アカウント情報へのアクセス要求を受けたとき、前記派生アカウント記憶手段内の派生アカウント情報における派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段と、この検証の結果、電子署名が正当のとき、当該派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段と、この検証の結果、生存条件を満たさない場合、前記アクセス要求を拒否して前記派生アカウント情報を無効化する手段と、を備えたアカウント管理システムである。

なお、第１の発明は、各装置の集合体を「システム」として表現したが、これに限らず、各装置の集合体又は各装置を「装置」、「方法」、「プログラム」又は「コンピュータ読み取り可能な記憶媒体」として表現してもよい。

（作用）
第１の発明においては、生存条件を満たすときに有効となる派生アカウント情報を、基底アカウント管理装置の公開鍵証明書の有効期間を過ぎると失効する派生アカウント信用要素情報と、この有効期間とは無関係に有効な利用者の生体情報テンプレートと、の両者を含む構成としたことにより、ルートとなる認証要素（公開鍵証明書）が失効しても、派生する認証要素（生体情報テンプレート）の失効を阻止することができる。また、生存条件が複数の有効期間を含む構成により、派生する認証要素の有効期間を一時的に無効に設定することができる。

以上説明したように本発明によれば、ルートとなる認証要素が失効しても、派生する認証要素の失効を阻止できる。また、派生する認証要素の有効期間を一時的に無効に設定できる。

以下、本発明の各実施形態について図面を用いて説明する。なお、以下の各装置は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。

（第１の実施形態）
図１は本発明の第１の実施形態に係るアカウント管理システムの構成例を示す模式図である。このアカウント管理システムは、互いに通信可能な基底アカウント管理装置１０及び派生アカウント管理装置２０を備えており、各アカウント装置１０，２０にクライアント装置３０がネットワーク４０を介して通信可能となっている。

ここで、基底アカウント管理装置１０は、図２に示すように、基底アカウント保存部１１、通信部１２、制御部１３、転送処理部１４、基底アカウント操作部１５、派生アカウント信用要素生成部１６、生存条件設定部１７及び初期認証部１８を備えている。

基底アカウント保存部１１は、各部１２〜１８から読出／書込可能な記憶装置であり、図３に示す如き、派生アカウント信用要素情報を含む基底アカウント（情報）５０と、基底アカウント管理装置５０の秘密鍵及びこの秘密鍵に対応する公開鍵証明書（図示せず）とを保存している。基底アカウント５０は、利用者の全ての身元保証の基底となるアカウントであり、現実世界の利用者の身元を保証するために作成される。基底アカウント５０を作成するための身元保証処理としては任意の方式が適用可能である。本実施形態では、基底アカウント５０は予め基底アカウント保存部１１に保存されているものとする。

基底アカウント５０は、基底属性情報ブロック５１及び派生管理情報ブロック５４を備えている。

基底属性情報ブロック５１は、基底アカウント５０の対象主体に関連する属性情報フィールド５２，５３の集合である。基底属性情報ブロック５１は、基底属性情報フィールド５２及び初期認証要素フィールド５３を備えている。

基底属性情報フィールド５２は、基底アカウント５０の対象主体が有する一般的な属性情報を格納するフィールドである。例えば、基底アカウント５０のアカウントＩＤや、姓名、住所などが該当する。基底アカウント１０は、基底属性情報フィールド５２を任意に含んでもよい。

初期認証要素フィールド５３は、基底アカウント管理装置１０が利用する初期認証の認証要素（以後、初期認証要素という）を格納するフィールドである。初期認証要素としては、例えばパスワードや公開鍵証明書対などが該当する。

派生管理情報ブロック５４は、派生アカウント６０に対して生成した派生アカウント信用要素情報５６を管理するためのフィールドの集合である。派生管理情報ブロック５４は、派生アカウント信用要素情報フィールド５５を備えている。

派生アカウント信用要素情報フィールド５５には、後述する派生アカウント６０に対して生成した派生アカウント信用要素情報５６が格納される。但し、派生アカウント信用要素情報フィールド５５には、派生アカウント信用要素情報５６が格納される場合に限らず、派生アカウント信用要素情報５６を取得するための参照情報のみを格納してもよい。また、派生アカウント信用要素情報５６を保存するリポジトリを基底アカウント管理装置１０の外部に構築し、派生アカウント信用要素情報５６から基底アカウント５０を参照してもよい。いずれにしても、派生アカウント信用要素情報５６と基底アカウント５０との関連性を保持し、随時参照できればよい。

派生アカウント信用要素情報５６は、図４に示すように、派生アカウント６０の正当性を確認するための情報であり、信用要素識別情報（派生アカウント信用要素情報５６の識別情報）、生成元情報（基底アカウント管理装置１０の識別情報）、生成先情報（派生アカウント管理装置２０の識別情報）、基底アカウント参照情報（基底アカウント５０を参照するための識別情報）、生存条件情報及びセキュリティ情報を含む。

生成先情報（派生アカウント管理装置２０の識別情報）は、ユーザＩＤなどの基底アカウント固有の識別子でもよく、pseudonyms（仮名）のような派生アカウントとの間で確立される一時的な乱数情報（pseudo-random）であってもよい。

生存条件情報は、派生アカウント全体に対する生存条件を示す情報であり、ここでは派生アカウント信用要素情報５６の一部分とした例を述べる。生存条件情報には２つの生存条件が指定される。１つ目は派生アカウント信用要素情報５６の生存条件である。２つ目は派生アカウントの生存条件である。

派生アカウント信用要素情報５６の生存条件は、派生アカウント信用要素有効期間である。派生アカウント信用要素有効期間は、有効開始日時（NotBefore）と有効終了日時（NotOnAfter）とで表す形式や、有効期限（validity period）を示す形式などが使用可能となっている。有効開始日時と有効終了日時とで表す形式は、この例では有効開始日時未満と有効終了日時以降を示したが、指定日時を含むか否かについては任意の定義を適宜使用すればよい。また、複数の有効期間を記してもよく、例えば、有効開始日時と有効終了日時との組を複数記してもよい。

派生アカウントの生存条件は、派生アカウント拡張生存条件（以下、拡張生存条件ともいう）であり、派生アカウント信用要素情報５６に依らない生存条件を示している。この派生アカウント拡張生存条件は、派生アカウントを有効にするための特定イベントの規定や、派生アカウントを無効にする条件などを示す。

特定イベントの規定としては、例えば、決済能力の審査など、基底アカウント管理装置１０以外の第三者による合意もしくは保証が必要な場合を示す情報である。図４の例では、派生アカウント生成時に第三者に承認を求めるイベントを派生アカウント拡張生存条件としている。この例では、イベントサブジェクト（EventSubject）、イベントアクション（EventAction）、イベントオブジェクト（EventObject）、イベントコンディション（EventCondition）及びイベント効果（EventEffect）から構成される。但し、イベントサブジェクト（イベント主体）は、派生アカウント管理装置２０を示すため、暗黙的に省略してもよい。

イベントサブジェクト（イベント主体）は、イベントアクションを実行する主体を示し、この例ではイベント主体をＵＲＬ形式で示している。

イベントアクション（イベント動作）は、イベント主体が実行すべきイベント動作を示し、この例では、イベント対象から承認を得る動作”GET APROVAL”を示している。

イベントオブジェクト（イベント対象）は、イベントアクションを実行する対象を示し、この例ではイベント対象をＵＲＬ形式で示している。

イベントコンディション（イベント条件）は、イベントの発生条件を示しており、ここでは、さらに子要素としてイベントの種別を示すイベントタイプ（EventType）を備えている。イベントタイプ”CREATE ACCOUNT”は、アカウント作成時のみに発生する旨を示す種別である。イベントコンディションは、イベントタイプ以外に任意の条件を設定しても構わない。

イベント効果は、イベントアクションの実行が成功した場合の効果であり、派生アカウント拡張生存条件の評価結果となる。ここでは、派生アカウント作成時（EventType）に、派生アカウント管理装置（EventSubject）が、ＵＲＬ”http://example3.co.jp”で定められる第三者装置（EventObject）から承認を得た場合（EventAction）に、派生アカウントの有効を示す”許可（permit）”という効果（EventEffect）を得る。図４は、生存条件の一例を示しており、任意の形式での記述に変形しても構わない。

セキュリティ情報は、派生アカウント信用要素情報５６を暗号学的技術により保護するための情報である。暗号学的技術としては、一般的な方式が利用可能となっている。例えば、ディジタル署名技術を利用する場合、署名アルゴリズム名、鍵情報（公開鍵証明書）及び署名値などがセキュリティ情報に含まれる。なお、署名アルゴリズム名は、所定の署名アルゴリズムを用いる場合のように検証者への通知が不要な場合には省略してもよい。

通信部１２は、派生アカウント管理装置２０及びクライアント装置３０等の外部エンティティ装置と通信するための機能部である。

制御部１３は、基底アカウント管理装置１０内でのイベントやデータを制御するための機能部であり、後述する図８に示す動作を実行するように、各部１１，１２，１４〜１８を制御する機能をもっている。

転送処理部１４は、派生アカウント管理装置２０の転送処理部から送出された転送を処理し、要求処理を解釈する機能部である。要求された処理を基底アカウント管理装置１０内の該当する機能部に伝えて、処理が実行された結果を転送元の派生アカウント管理装置２０に返信する。

具体的には転送処理部１４は、派生アカウント管理装置２０から受けた基底アカウント管理装置名、及び派生アカウント管理装置２０の接続先情報を受信して初期認証部１８に送出する機能と、初期認証部による認証結果を派生アカウント管理装置へ転送する機能とをもっている。

基底アカウント操作部１５は、基底アカウントに対する操作を実行する機能部である。基底アカウントに対する操作は、本実施形態では基底アカウントを構成するフィールドに対する一般的なＣＲＵＤ（CREATE：作成、READ：読み取り、UPDATE：更新、DELETE：削除）操作を対象とする。

具体的には、基底アカウント操作部１５は、通信部１２から基底アカウント信用要素情報５６の送信要求を受信すると、基底アカウント保存部１１内の派生アカウント信用要素情報５６を通信部１２により派生アカウント管理装置２０に送信する機能とをもっている。

派生アカウント信用要素生成部１６は、派生アカウントを保証するための派生アカウント信用要素情報５６を生成する機能部である。初期認証部１８を介して利用者の初期認証が成功し、かつ許可された派生アカウント管理装置２０からの派生アカウント信用要素情報生成要求である場合に、派生アカウント信用要素情報５６を生成する。派生アカウント信用要素情報５６に生存条件情報を含める場合は、生存条件設定部１７から生存条件情報を取得し、生成する派生アカウント信用要素情報５６の構成情報として含める。

具体的には派生アカウント信用要素生成部１６は、初期認証部１８による認証処理が成功したとき、信用要素識別情報、生成元情報、生成先情報、基底アカウント参照情報、生存条件に対し、基底アカウント管理装置の秘密鍵に基づいて電子署名を生成する機能と、これら信用要素識別情報、生成元情報、生成先情報、基底アカウント参照情報、生存条件及びセキュリティ情報（署名アルゴリズム名、秘密鍵に対応する公開鍵証明書、電子署名）からなる派生アカウント信用要素情報５６を生成する機能と、基底アカウント操作部１５により、この派生アカウント信用要素情報５６を基底アカウント保存部１１内の基底アカウント５０の派生アカウント信用要素情報フィールド５５に書き込む機能とをもっている。

生存条件設定部１７は、派生アカウント６０に対する生存条件情報を管理する機能部であり、事前に生存条件設定情報が設定され、各部からの要求に応じて、生存条件設定情報を出力する機能をもっている。生存条件設定情報は、生存条件情報の出力条件情報と、生存条件情報とから構成される。

出力条件情報は、派生アカウント用途及び派生アカウント管理装置識別情報を備えている。派生アカウント用途は、派生アカウント６０の用途情報であり、例えば「PAYMENT」（決済用途）や、「INTERNAL BUSINESS OPERATIONS」（業務用途）などがある。情報の定義は、基底アカウント管理装置１０と派生アカウント管理装置２０との間で事前に共有されるものとする。派生アカウント管理装置識別情報（生成先情報）及び生存条件は、前述した通りである。

初期認証部１８は、基底アカウント５０の初期認証要素に基づいて利用者を認証する機能部である。初期認証部１８で実行される認証方式の種類に関しては、任意の認証方式が適用可能であるが、ここでは一例としてパスワード認証方式を用いる。

具体的には初期認証部１８は、転送処理部１４から基底アカウント管理装置名及び派生アカウント管理装置２０の接続先情報を受けると、制御部１３及び通信部１２を介してユーザＩＤ及びパスワードの入力画面データをクライアント装置３０に送信する機能と、通信部１２により受信したユーザＩＤ及びパスワードと、基底アカウント保存部１１内の基底アカウントに含まれるユーザＩＤ及びパスワードとを照合することにより、利用者の認証処理を実行する機能と、認証処理の実行結果を派生アカウント信用要素生成部１６に送出する機能とをもっている。

派生アカウント管理装置２０は、基底アカウント５０の身元保証に由来して作成されるアカウント（以後、派生アカウントという）を管理する。派生アカウントは、基底アカウント５０の認証要素とは異なる認証要素（以後、派生認証要素という）を保持し、基底アカウント５０とは別々に管理されている。派生アカウント管理装置２０の好適な例としては、生体情報テンプレートを保持し、生体認証サービスを提供する生体認証システムなどが挙げられる。

派生アカウント管理装置２０は、図５に示すように、派生アカウント保存部２１、通信部２２、制御部２３、転送処理部２４、派生アカウント操作部２５、派生認証要素作成部２６及びアカウント検証部２７を備えている。

派生アカウント保存部２１は、各部２２〜２７から読出／書込可能な記憶装置であり、図６に示す如き、派生アカウント（情報）６０と、基底アカウント管理装置１０の公開鍵証明書と、派生アカウント管理装置２０の秘密鍵及びこの秘密鍵に対応する公開鍵証明書とが保存される。

派生アカウント６０は、ユーザ属性情報ブロック６１及び派生アカウント管理情報ブロック６４を備えている。

ユーザ属性情報ブロック６１は、派生アカウントの対象主体に関連する属性情報を格納するためのフィールド６２，６３の集合である。ユーザ属性情報ブロック６１は、属性情報フィールド６２及び派生認証要素フィールド６３を備えている。

属性情報フィールド６２は、派生アカウント６０の対象主体が有する一般的な属性情報を格納するフィールドである。例えば、派生アカウント６０のアカウントＩＤなどが該当する。派生アカウント６０は、属性情報フィールド６２を任意に含んでもよい。

派生認証要素フィールド６３は、派生アカウント管理装置２０が利用する認証要素、すなわち派生認証要素を格納するフィールドである。派生認証要素としては、例えば生体情報のテンプレートデータなどが該当する。

派生アカウント管理情報ブロック６４は、派生アカウント６０の生存管理の判断基準となる情報を格納するためのフィールド６５，６６の集合である。派生アカウント管理情報ブロック６４は、派生アカウント信用要素情報フィールド６５及び有効情報フィールド６６を備えている。

派生アカウント信用要素情報フィールド６５は、基底アカウント管理装置１０により生成された派生アカウント信用要素情報５６を格納するフィールドである。

有効情報フィールド６６は、派生アカウント６０が有効か否かを定義する情報（以後、有効情報という）を格納するフィールドである。有効情報は、例えば、有効であるときは「１」、無効であるときは「０」と表現する。但し、有効情報フィールド６６及び有効情報は、本実施形態においては任意なフィールド及び情報である。

通信部２２は、基底アカウント管理装置１０及びクライアント装置３０等の外部エンティティ装置と通信するための機能部である。

制御部２３は、派生アカウント管理装置２０内でのイベントやデータを制御し、アカウント検証部２７による検証結果に応じて派生アカウント６０の有効性を制御するための機能部であり、図８に示す動作を実行するように各部２１，２２，２４〜２７を制御する機能をもっている。

転送処理部２４は、基底アカウント管理装置１０の転送処理部１４から送出された転送を処理し、要求処理を解釈する機能部であり、要求処理を派生アカウント管理装置２０内の該当する機能部に伝え、処理の実行結果を転送元の基底アカウント管理装置１０に返信する。

具体的には転送処理部２４は、クライアント装置３０から受信した基底アカウント管理装置名を当該基底アカウント装置１０に転送する機能と、この転送のとき、派生アカウント管理装置２０の接続先情報（ＵＲＩ：Uniform Resource IdentifierまたはURL：Uniform Resource Locatorなど）も基底アカウント管理装置１０に送信する機能と、基底アカウント管理装置１０から認証結果を受信すると、派生アカウント信用要素情報５６の送信要求を基底アカウント管理装置１０に送信する機能とをもっている。

派生アカウント操作部２５は、派生アカウント６０に対する操作を実行する機能部であり、生成された派生アカウント信用要素情報５６に基づいて派生アカウント６０を生成する機能をもっている。

派生アカウント６０に対する操作は、本実施形態では派生アカウント６０を構成するフィールドに対する一般的なＣＲＵＤ（CREATE：作成、READ：読み取り、UPDATE：更新、DELETE：削除）操作、さらに無効化処理及び有効化処理を対象とする。

具体的には派生アカウント操作部２５は、制御部２３から派生アカウント生成要求を受けると、派生アカウント保存部２１内の基底アカウント管理装置名を制御部２３及び通信部２２を介してクライアント装置３０に送信する機能と、派生アカウント６０へのアクセス要求があったとき、派生アカウント６０の生存検証をアカウント検証部２７に要求する機能と、アカウント検証部２７から受けた検証結果が「permit（許可）」であれば、派生アカウント６０にアクセスし、派生アカウント６０のユーザ属性情報ブロック６１に基づき、ユーザ認証を実行する機能と、アカウント検証部２７から受けた検証結果が「deny（拒否）」であれば、派生アカウント６０へのアクセスを拒否し、派生アカウント６０を無効化する機能とをもっている。

派生認証要素作成部２６は、利用者のクライアント装置３０との間で派生認証要素を合意確立し、合意した派生認証要素を作成する機能と、作成した派生認証要素を派生アカウント保存部２１内の派生アカウント６０の派生認証要素フィールド６３に書き込む機能と、派生認証要素の書き込み後、派生アカウントの作成完了又は失敗を示す処理結果をクライアント装置３０及び基底アカウント管理装置１０に通知する機能とをもっている。

アカウント検証部２７は、派生アカウント６０が有する派生アカウント管理情報ブロック６４のフィールドの情報を検証する機能部であり、派生アカウント信用要素情報５６に含まれる生存条件を検証する機能をもっている。

具体的には、アカウント検証部２７は、通信部２２により派生アカウント信用要素情報５６を受信すると、この派生アカウント信用要素情報５６内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報５６内の電子署名を検証する機能と、この検証の結果、電子署名が正当のとき、派生アカウント信用要素情報５６に含まれる生存条件に基づいて、派生アカウント６０の生存が許可されるか否かを検証する機能と、検証結果が“許可（permit）”の場合、派生アカウント操作部２５により派生アカウント６０を作成して派生アカウント保存部２１に書き込む機能とをもっている。

また、アカウント検証部２７は、派生アカウント操作部２５から派生アカウント６０の生存検証を要求されたときにも、同様に、電子署名を検証した後に生存条件を検証し、検証結果を派生アカウント操作部２５に送出する機能をもっている。

クライアント装置３０は、利用者が基底アカウント管理装置１０と派生アカウント管理装置２０とに接続するためのエンティティ装置である。

クライアント装置３０は、図７に示すように、データ保存部３１、通信部３２及びユーザインタフェース部３３を備えている。

データ保存部３１は、通信部３２及びユーザインタフェース部３３から読出／書込可能な記憶装置であり、例えば、各部３２，３３の処理における一時的な記憶装置として用いられる。

通信部３２は、ユーザインタフェース部３３に制御され、基底アカウント管理装置１０及び派生アカウント管理装置２０と通信するためのものであり、データ保存部３１に対する読出／書込機能をもっている。

ユーザインタフェース部３３は、利用者の操作により、クライアント装置３０にデータを入出力する機能と、データ保存部３１に対する読出／書込機能と、通信部３２を制御する機能とをもっている。

具体的にはユーザインタフェース部３３は、利用者の操作により、通信部３２を介して派生アカウント生成要求を派生アカウント管理装置２０に送信する機能と、通信部３２が受信した基底アカウント管理装置名を画面表示する機能と、この画面表示中、利用者の操作により選択された基底アカウント管理装置名を通信部３２から派生アカウント管理装置２０に送信する機能とをもっている。

次に、以上のように構成されたアカウント管理システムの動作について図８を用いて説明する。この説明は「アカウント登録」及び「派生アカウントの検証及び削除」の順に行う。

（アカウント登録）
［ステップＳＴ１］
クライアント装置３０においては、利用者の操作により、ユーザインタフェース部３３が通信部３２を介して、派生アカウント生成要求を派生アカウント管理装置２０に送信する。

［ステップＳＴ２］
派生アカウント管理装置２０においては、この派生アカウント生成要求を通信部２２及び制御部２３を介して派生アカウント操作部２５が受けると、派生アカウント操作部２５が、選択可能な基底アカウント管理装置１０を示す基底アカウント管理装置名を制御部２３及び通信部２２を介してクライアント装置３０に送信する。基底アカウント管理装置名は、予め派生アカウント保存部２１内に書き込まれているものとする。

クライアント装置３０においては、基底アカウント管理装置名を通信部３２が受信すると、ユーザインタフェース部３３がこの基底アカウント管理装置名を画面表示する。

［ステップＳＴ３−１］
クライアント装置３０においては、利用者の操作により、ユーザインタフェース部３３が基底アカウント管理装置名を選択し、この基底アカウント管理装置名を通信部３２から派生アカウント管理装置２０に送信する。

［ステップＳＴ３−２］
派生アカウント管理装置２０においては、この基底アカウント管理装置名を転送処理部２４が受信すると、転送処理部２４がこの基底アカウント管理装置名に基づいて、受信内容を当該基底アカウント管理装置１０へ転送する。このとき、派生アカウント管理装置２０の接続先情報も基底アカウント管理装置１０に送信される。

［ステップＳＴ４］
基底アカウント管理装置１０においては、基底アカウント管理装置名、及び派生アカウント管理装置２０の接続先情報を転送処理部１４が受信して初期認証部１８に送出する。

初期認証部１８は、この基底アカウント管理装置名、及び派生アカウント管理装置２０の接続先情報を受けると、基底アカウント保存部１１内の初期認証要素に基づき、基底アカウント操作部１５を介して利用者を認証する。

例えば、基底アカウント保存部１１内の初期認証要素がパスワードの場合、初期認証部１８は、制御部１３及び通信部１２を介して、ユーザＩＤ及びパスワードの入力画面データをクライアント装置３０に送信する。

クライアント装置３０においては、利用者の操作により、ユーザインタフェース部３３に入力されたユーザＩＤ及びパスワードを通信部３２から基底アカウント管理装置１０に送信する。

基底アカウント管理装置１０では、初期認証部１８が、通信部１２により受信したユーザＩＤ及びパスワードと、基底アカウント保存部１１内の基底アカウントに含まれるユーザＩＤ及びパスワードとを照合することにより、利用者の認証処理を実行する。

［ステップＳＴ５］
通信部１２により受信したパスワードと基底アカウント保存部１１の基底アカウントに含まれるパスワードとの一致により認証処理が成功したとき、基底アカウント管理装置１０においては、派生アカウント信用要素生成部１６が、信用要素識別情報、生成元情報、生成先情報、基底アカウント参照情報、生存条件に対し、基底アカウント管理装置の秘密鍵に基づいて電子署名を生成する。なお、生存条件は生存条件設定部１７に事前に設定されている。

また、派生アカウント信用要素生成部１６は、信用要素識別情報、生成元情報、生成先情報、基底アカウント参照情報、生存条件及びセキュリティ情報からなる派生アカウント信用要素情報５６を生成する。

しかる後、派生アカウント信用要素生成部１６は、基底アカウント操作部１５により、この派生アカウント信用要素情報５６を基底アカウント保存部１１内の基底アカウント５０の派生アカウント信用要素情報フィールド５５に書き込む。

これ以降の任意のステップにおいて、基底アカウント操作部１５は、派生アカウント信用要素情報５６の参照ＩＤを当該派生アカウント信用要素情報５６と関連付けて基底アカウント保存部１１に保存する。保存するタイミングとしては、例えば派生アカウント６０が生成されるタイミング（［ステップＳＴ８］）が望ましい。

［ステップＳＴ６−１］
基底アカウント管理装置１０は、転送処理部１４が、初期認証部１８による認証結果を派生アカウント管理装置２０へ転送する。
［ステップＳＴ６−２］
派生アカウント管理装置２０においては、転送処理部２４が認証結果を受信すると、派生アカウント信用要素情報５６の送信要求を基底アカウント管理装置１０に送信する。

［ステップＳＴ７］
基底アカウント管理装置１０は、通信部１２により、派生アカウント信用要素情報５６の送信要求を受信すると、基底アカウント操作部１５が、基底アカウント保存部１１内の派生アカウント信用要素情報５６を派生アカウント管理装置２０に送信する。

［ステップＳＴ８］
派生アカウント管理装置２０においては、通信部２２により派生アカウント信用要素情報５６を受信すると、アカウント検証部２７が、この派生アカウント信用要素情報５６におけるセキュリティ情報内の公開鍵証明書に基づいて、当該セキュリティ情報内の電子署名を検証し、この検証の結果、電子署名が正当のときには、派生アカウント信用要素情報５６に含まれる生存条件に基づいて、派生アカウント６０の生存が許可されるか否かを検証する。

具体的には図９に示すように、アカウント検証部２７は、派生アカウント信用要素情報５６内の派生アカウント信用要素有効期間に基づいて、派生アカウント信用要素情報５６が有効か否かを判定し（ＳＴ８−１）、判定結果が否の場合にはステップＳＴ８−５に進み、評価結果を“拒否（deny）”として処理を終了する。

ステップＳＴ８−１の判定結果が“有効”を示す場合、アカウント検証部２７は、派生アカウント信用要素情報５６に派生アカウント拡張生存条件が存在するか否かを判定し（ＳＴ８−２）、判定結果が否の場合にはステップＳＴ８−６に進み、評価結果を“許可（permit）”として処理を終了する。

ステップＳＴ８−２の判定結果が“存在する”旨を示す場合、アカウント検証部２７は、派生アカウント拡張生存条件で規定されるイベントを実行し（ＳＴ８−３）、派生アカウント拡張生存条件のイベント効果が“許可（permit）”か否かを判定する（ＳＴ８−４）。

ステップＳＴ８−４の判定結果が否の場合、アカウント検証部２７は、ステップＳＴ８−５に進み、評価結果を“拒否（deny）”として（ＳＴ８−５）、処理を終了する。

一方、ステップＳＴ８−４の判定結果が“許可（permit）”の場合、アカウント検証部２７は、ステップＳＴ８−６に進み、評価結果を“許可（permit）”として処理を終了する。

次に、アカウント検証部２７は、図１０に示すように、派生アカウント信用要素情報の生存条件の評価結果を得ると（ＳＴ８−１〜ＳＴ８−６）、得られた評価結果が“許可（permit）”か否かを判定し（ＳＴ８−７）、判定結果が否の場合には処理を終了する。

ステップＳＴ８−７の判定結果が“許可（permit）”の場合、アカウント検証部２７は、派生アカウント操作部２５により派生アカウント６０を作成し（ＳＴ８−８）、処理を終了する。派生アカウント６０は、派生アカウント操作部２５により、派生アカウント保存部２１に書き込まれる。

[ステップＳＴ９］
派生アカウント管理装置２０においては、派生認証要素作成部２６が、利用者のクライアント装置３０との間で派生認証要素を合意確立し、この合意した派生認証要素を派生アカウント保存部２１内の派生アカウント６０の派生認証要素フィールド６３に書き込む。例えば生体認証の場合、派生認証要素作成部２６は、利用者の生体情報をクライアント装置３０から取得し、この生体情報から生体情報テンプレートを作成し、生体情報テンプレートにテンプレート管理情報を付与して派生認証要素を作成する。なお、テンプレート管理情報には、派生アカウント信用要素情報５６の各情報を含めてもよい。この各情報としては、例えば、発行元情報（基底アカウント管理装置１０の識別情報）や、基底アカウント参照情報などが挙げられる。また、テンプレート管理情報は付与しなくてもよい。

また、派生認証要素作成部２６は、真正性を保証する観点から、生体情報テンプレートとテンプレート管理情報に対して電子署名を施すことにより、派生認証要素を作成してもよい。電子署名を施す場合、電子署名の署名生成鍵（一般的には、公開鍵証明書の対となる秘密鍵）は、派生アカウント管理装置２０が有する鍵であり、頻繁な更新の必要性が少なく、（基底アカウント装置１０の公開鍵証明書の有効期間や秘密鍵の鍵長よりも）長期的な有効期間や安全な鍵長が選択される。このため、生体情報テンプレートに電子署名を施す場合でも、派生認証要素は、基底アカウント管理装置１０の公開鍵証明書の有効期間よりも、長い有効期間を得ることができる。なお、派生アカウント管理装置２０が有する署名生成鍵及びこの署名生成鍵に対応する公開鍵証明書は、例えば、派生アカウント保存部２１に予め保存されている。

いずれにしても、このステップＳＴ９は、派生アカウント６０の派生認証要素フィールド６３に派生認証要素を書き込む場合に実行される。

［ステップＳＴ１−１０］
派生認証要素の書き込み後、派生アカウント管理装置２０においては、派生認証要素作成部２６が制御部２３及び通信部２２を介し、完了又は失敗を示す処理結果をクライアント装置３０及び基底アカウント管理装置１０に通知する。以後、派生アカウント６０が利用可能となる。

（派生アカウントの検証及び削除）
次に、派生アカウント６０を検証及び削除する動作について図１１を用いて説明する。派生アカウント６０の検証は、任意のタイミングで実行される。ここでは、派生アカウント６０のユーザ属性情報ブロックへのアクセス時に実行される例を述べる。なお、派生アカウント６０の検証は、派生アカウント管理装置２０によるユーザ認証など、派生認証要素を利用する際に実行されることが望ましい。以下の動作説明は、派生アカウント操作部２５が派生アカウント６０のユーザ属性情報ブロック６１にアクセスする時点から開始する。

[ステップＳＴ１１］
派生アカウント管理装置２０においては、派生アカウント操作部２５が、派生アカウント６０へのアクセス要求があったとき、派生アカウント６０の生存検証をアカウント検証部２７に要求する。アカウント検証部２７は、派生アカウント保存部２１から派生アカウント６０の派生アカウント信用要素情報５６を取得する。

[ステップＳＴ１２］
アカウント検証部２７は、取得した派生アカウント信用要素情報５６におけるセキュリティ情報内の公開鍵証明書に基づいて、当該セキュリティ情報内の電子署名を検証し、この検証の結果、電子署名が正当のときには、派生アカウント信用要素情報５６内の生存条件に基づいて、図９に示したように、派生アカウント６０の生存が許可されるか否かを検証し、検証結果を派生アカウント操作部２５に返す。

なお、派生アカウント操作部２５は、アカウント検証部２７による生存条件の検証に加え、派生アカウント信用要素情報５６内の信用要素識別情報、生成元情報及び基底アカウント参照情報に基づいて、基底アカウント管理装置１０に生存検証を要求してもよい。

いずれにしても、最終的な検証結果が「permit（許可）」であれば、派生アカウント操作部２５は、派生アカウント６０へアクセスし、派生アカウント６０のユーザ属性情報ブロック６１に基づき、ユーザ認証を実行する。

例えば、ユーザ属性情報ブロック６１の派生認証要素フィールド６３に生体情報テンプレートが格納されていた場合、派生アカウント操作部２５は、通信部２２を介して、生体情報の入力メッセージデータをクライアント装置３０に送信する。

クライアント装置３０においては、利用者の操作により、ユーザインタフェース部３３に入力された生体情報を通信部３２から派生アカウント管理装置２０に送信する。

派生アカウント管理装置２０では、派生アカウント操作部２５が、通信部２２により受信した生体情報と、派生アカウント保存部２１内の派生アカウントに含まれる生体情報テンプレートとを照合することにより、ユーザ認証を実行する。

［ステップＳＴ１３］
一方、アカウント検証部２７から受けた検証結果が「deny（拒否）」であれば、派生アカウント操作部２５は、派生アカウント６０へのアクセスを拒否し、派生アカウント６０を無効化する。

派生アカウント６０を無効化する場合、派生アカウント管理情報ブロック６４の有効情報フィールド６６に無効を示す有効情報を上書き更新する。

無効化せずに拒否する場合は、派生アカウント６０を削除する。通常は、派生アカウント拡張生存条件などで明示的な指定がなければ、派生アカウント６０を削除せずに無効化することが望ましい。

これは、例えば２組の有効期間“２００７年１月１日〜２００７年２月１日”及び“２００７年３月１日〜２００７年４月１日”を設定した場合、２組の有効期間の間だけ派生アカウント６０を無効化すれば、再度、派生アカウント６０を作成しなくてもすむからである。

なお、派生アカウント６０の無効化を解除する場合、再度［ステップＳＴ１］から［ステップＳＴ６］までを実行し、派生アカウント信用要素情報５６を更新する。派生アカウント信用要素情報５６を更新した後、派生アカウント６０の派生アカウント管理情報ブロック６４の有効情報フィールド６６に有効を示す有効情報を上書き更新する。

上述したように本実施形態によれば、生存条件を満たすときに有効となる派生アカウント情報６０を、基底アカウント管理装置１０の公開鍵証明書の有効期間を過ぎると失効する派生アカウント信用要素情報５６と、この有効期間とは無関係に有効な利用者の生体情報テンプレートと、の両者を含む構成としている。

これにより、ルートとなる認証要素（公開鍵証明書）が失効しても、派生する認証要素（生体情報テンプレート）の失効を阻止することができる。また、生存条件が複数の有効期間を含む構成により、派生する認証要素の有効期間を一時的にかつ選択的に無効に設定することができる。

すなわち、認証要素間の信頼関係性を表現する情報に基づいて認証要素を管理することにより、本来それぞれの認証要素が持つ固有な安全性や運用特性に基づく有効期間などの有効条件と、身元保証などのルートとなる認証要素で保証可能な有効期間などの有効条件とを独立して管理でき、派生する認証要素を自律的に制御することができる。これにより、認証要素の再生成処理などの負担を軽減でき、利用者の利便性を向上できる。

例えば従来は、ルートの認証要素として公開鍵証明書を個人や社員に発行する場合、有効期間付きの住所移転や転属などで記載内容が比較的頻繁に更新される可能性が高く、それに伴い、ルートの公開鍵証明書を再発行すると共に、派生する生体情報を再生成する必要が生じていた。

しかしながら、本実施形態によれば、前述した通り、ルートとなる認証要素（公開鍵証明書）が失効しても、派生する認証要素（生体情報テンプレート）の失効を阻止できるので、認証要素の再生成処理などの負担を軽減でき、利用者の利便性を向上できる。

このような効果は、有効期間に限らず、類似する認証要素が有効であると判断される生存条件に対しても同様に得られる。例えば、予め期間が不明な住所移転や転属などの場合でも、有効な住所や有効な所属を生存条件が含み且つＩＣカード等により現在の住所データや所属データを入力して生存条件と照合する構成とすれば、同様の効果を得ることができる。

また従来は、各セキュリティシステムの管理主体が独立してアカウントを管理するので、統合したセキュリティシステムの管理や、統合したアカウントのライフサイクル管理を実現することが難しかった。例えば、社員が退社した場合、各事業所で当該社員のアカウントを速やかに削除する必要があった。

しかしながら、一般に、社員の退社は口頭や書面により各事業所に通知される場合が多いので、各事業所では、退社した社員のアカウントが残っている場合があった。よって、従来は、退社後の元社員が権限無くリソースにアクセス可能な状態が長期に渡って存在する可能性が生じていた。この状態はセキュリティ上問題がある。

一方、本実施形態によれば、社員が退社した場合には、少なくとも基底アカウント管理装置１０の基底アカウント１０が無効化される。

このため、派生アカウント管理装置２０がアクセス要求を受けたとき、派生アカウント管理装置２０が派生アカウント信用要素情報５６内の信用要素識別情報、生成元情報及び基底アカウント参照情報に基づいて、基底アカウント管理装置１０に生存検証を要求することにより、基底アカウント管理装置１０から“拒否”が通知されるので、当該アクセス要求を拒否して派生アカウント６０を無効化でき、もって、退社した社員からリソースを保護することができる。

（第２の実施形態）
図１２は本発明の第２の実施形態に係るアカウント管理システムが適用された入退出管理システムの構成を示す模式図であり、図１３乃至図１５は各装置の構成を示す模式図であって、前述した図面と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。

本実施形態の入退出管理システムは、認証サーバ装置１０’、入退出管理装置２０’がネットワーク４０を介して接続されている。入退出管理装置２０’には、ネットワーク４０とは物理的または論理的に隔離されたローカルネットワークを介して入退出管理クライアント装置３０’及び入退出制御装置７０が接続されている。入退出管理装置２０’、入退出管理クライアント装置３０’及び入退出制御装置７０は、物理リソースとしての入退出管理ドメイン８０に配置されている。

入退出管理クライアント装置３０’は、認証サーバ装置３０’と直接に通信可能なネットワーク４０に接続してもよい。認証サーバ装置１０’は、第１の実施形態の基底アカウント管理装置１０に該当する。入退出管理装置２０’は、第１の実施形態の派生アカウント管理装置２０に該当する。

認証サーバ装置１０’は、基底アカウント管理装置１０と同様に基底アカウントを管理対象としている。入退出管理システムの例のため、基底アカウントとして企業の従業員アカウントを用いるが、これに限らず、例えば、金融機関の口座アカウントや、自治体における住民アカウントなども好適に使用可能となっている。

認証サーバ装置１０’は、図１３に示すように、図２に示した基底アカウント管理装置１０と同様な構成となっている。但し、ここでは、認証サーバ装置１０’と入退出管理装置２０’との直接的な対向通信を用いているため、図２の転送処理部１４に代えて、通信処理部１４’を備えている。

通信処理部１４’は、前述したクライアント装置３０を経由する間接的な転送ではなく、直接的に入退出管理装置２０’と通信するという通信上の機能のみに差異があり、他の実現される機能は転送処理部１４と同様であるとする。

入退出管理装置２０’は、前述した派生アカウント６０を有し、特定のドメインとしての入退出管理ドメイン８０の境界における人物や物品等の入退出を管理対象とする。入退出管理ドメイン８０の好適な例としては、企業における事業所や工場などにおける各部屋や特定エリアなどが挙げられる。

入退出管理装置２０’は、図１４に示すように、図５に示した派生アカウント管理装置２０と同様の構成に加え、入退出許可判断部２８及び派生認証要素認証部２９を備えている。また、認証サーバ装置１０’と同様に、転送処理部２４に代えて、通信処理部２４’を備えている。

入退出許可判断部２８は、派生認証要素認証部２９によるユーザ認証の結果に基づき、入退出の許可又は拒否を判断する機能と、許可又は拒否を示す判断結果を通信部２２により入退出制御装置７０に送信する機能とをもっている。

派生認証要素認証部２９は、派生アカウント操作部２５に起動されると、通信部２２を介して派生認証要素の入力メッセージデータを入退出制御装置７０に送信する機能と、通信部２２により受信した派生認証要素（生体情報）と、派生アカウント保存部２１内の派生アカウントに含まれる派生認証要素（生体認証テンプレート）とを照合してユーザ認証を実行し、ユーザ認証の結果を入退出許可判断部２８に送出する機能とをもっている。

入退出制御装置７０は、実際に入退出を制御する装置であり、入退出要求があったときに、入退出管理装置２０’に問い合わせて、入退出の許可判断（認証結果）を取得し、ドア等の開閉制御を行なう。本実施形態では、理解を容易にするために、入退出管理装置２０’と入退出制御装置７０とを分離した構成としたが、これに限らず、入退出管理装置２０’及び入退出制御装置７０を一台の装置により実現してもよい。

入退出制御装置７０は、図１５に示すように、データ保存部７１、通信部７２、ユーザインタフェース部７３、制御部７４及び入退出制御部７５を備えている。

データ保存部７１は、各部７２〜７５から読出／書込可能な記憶装置であり、例えば、各部７２〜７５の処理における一時的な記憶装置として用いられる。

通信部７２は、ユーザインタフェース部７３に制御され、入退出管理装置２０’と通信するためのものであり、データ保存部３１に対する読出／書込機能をもっている。

ユーザインタフェース部７３は、利用者の操作により、入退出制御装置７０にデータを入出力する機能と、データ保存部７１に対する読出／書込機能と、通信部７２を制御する機能とをもっている。

具体的にはユーザインタフェース部７３は、利用者の操作により、通信部７２を介してアクセス要求を入退出管理装置２０’に送信する機能と、通信部７２が受信した生体情報の入力メッセージを画面表示する機能と、この画面表示中、利用者の操作により入力された生体情報を通信部７２から入退出管理装置２０’に送信する機能とをもっている。

制御部７４は、入退出制御装置７０内でのイベントやデータを制御するための機能部であり、各部７１〜７３，７５を制御する機能をもっている。

入退出制御部７５は、通信部７２により入退出管理装置２０’から取得した認証結果に応じて、入退出制御装置７０の制御対象範囲（ドアなど）の入退出に関わる動作（ドアの開錠など）を制御する機能をもっている。

入退出管理クライアント装置３０’は、入退出管理装置２０’上に派生アカウント６０を作成する際に、アカウント作成対象となる利用者が操作するクライアント装置３０である。

派生アカウント６０の作成に際しては、認証サーバ装置１０’上で事前に申請されていてもよい。事前申請または、さらに適切な権限を持つ承認者により承認されている場合にのみ、入退出管理装置２０’からの派生アカウント作成要求を受け付けてもよい。

次に、以上のように構成された入退出管理システムの動作について図１６を用いて説明する。

[ステップＳＴ２１］
入退出管理クライアント装置３０’においては、利用者の操作により、ユーザインタフェース部３３が通信部３２を介して、派生アカウント生成要求を入退出管理装置２０’に送信する。

［ステップＳＴ２２］
入退出管理装置２０’においては、この派生アカウント生成要求を通信部２２及び制御部２３を介して派生アカウント操作部２５が受けると、派生アカウント操作部２５が、選択可能な認証サーバ装置１０’を示す認証サーバ装置名を制御部２３及び通信部２２を介して入退出管理クライアント装置３０’に送信する。認証サーバ装置名は、予め派生アカウント保存部２１内に書き込まれているものとする。

入退出管理クライアント装置３０’においては、認証サーバ装置名を通信部３２が受信すると、ユーザインタフェース部３３がこの認証サーバ装置名を画面表示する。

［ステップＳＴ２３］
利用者は、自己の身元を保証してくれる認証サーバ装置１０’を選択する。
入退出管理クライアント装置３０’においては、利用者の操作により、ユーザインタフェース部３３が認証サーバ装置名を選択し、この認証サーバ装置名を通信部３２から入退出管理装置２０’に送信する。

［ステップＳＴ２４］
入退出管理装置２０’は、通信処理部２４’が、認証サーバ装置名を受信すると、この認証サーバ装置名に基づいて、派生アカウント作成許可要求を認証サーバ装置１０’に送信する。

入退出管理クライアント装置３０’においては、利用者の操作により、ユーザインタフェース部３３が認証情報を生成し、この認証情報を通信部３２が入退出管理クライアント装置３０’及び入退出管理装置２０’を介して認証サーバ装置１０’に送信する。

認証情報の生成方法としては、例えば、ＩＣカード型の従業員証に格納される公開鍵証明書を利用して認証情報を生成する方式などが挙げられる。ここでいう認証情報としては、例えば、従業員証に格納されたユーザＩＤ及びパスワードを公開鍵証明書内の公開鍵で暗号化して得られた暗号化データが使用可能となっている。

必要があれば、認証情報を生成するための認証サーバ装置１０’との間の相互作用をこのステップＳＴ２４上で実行してもよい。例えば、認証サーバ装置１０’から乱数を受けると、この乱数に従業員証内のユーザＩＤ及びパスワードを連接し、この連接データを従業員証内の公開鍵で暗号化して得られた暗号化データを認証情報に使用してもよい。

［ステップＳＴ２５］
認証サーバ装置１０’では接続を受理し、通信処理部１４’により受信した認証情報を初期認証部１８が検証することにより利用者の認証処理を実行し、認証結果を通信処理部１４’から入退出管理装置２０’に応答する。

ここで、検証方法としては、例えば、暗号化されたユーザＩＤ及びパスワードが認証情報の場合、認証情報を基底アカウント保存部１１内の公開鍵証明書に対応する秘密鍵に基づいて復号し、得られたユーザＩＤ及びパスワードと、基底アカウント保存部１１内の基底アカウントに含まれるユーザＩＤ及びパスワードとを照合し、両パスワードが一致すれば認証成功となる。

また、乱数、ユーザＩＤ及びパスワードの連接データを暗号化した暗号化データが認証情報の場合、前述した復号及びパスワード照合に加え、復号した乱数と、予め送信した乱数とを照合し、両乱数が一致すれば認証成功となる。

［ステップＳＴ２６］
入退出管理装置２０’は、認証サーバ装置１０’から通信処理部２４’により受信した認証結果が認証成功を示すとき、派生アカウント信用要素情報５６の要求を通信処理部２４’から認証サーバ装置１０’に送信する。この派生アカウント信用要素情報５６は、図４に示した構成をもっている。

［ステップＳＴ２７］
認証サーバ装置１０’においては、派生アカウント信用要素情報５６の要求を通信部１２により受信すると、派生アカウント信用要素生成部１６が、信用要素識別情報、生成元情報、生成先情報、基底アカウント参照情報、生存条件に対し、認証サーバ装置１０’の秘密鍵に基づいて電子署名を生成する。なお、生存条件は生存条件設定部１７に事前に設定されている。

このとき、派生アカウント６０の生存条件の例として、有効期間の設定を”２００７年１月１日から２００７年２月１日まで”、かつ”２００７年３月１日から２００７年４月１日まで”とする。上記例は、連続的な期間ではなく、離散的な期間で、入退出管理を実施することを想定している。

また、派生アカウント信用要素生成部１６は、信用要素識別情報、生成元情報、生成先情報、基底アカウント参照情報、生存条件及びセキュリティ情報からなる派生アカウント信用要素情報５６を生成する。

しかる後、派生アカウント信用要素生成部１６は、基底アカウント操作部１５により、この派生アカウント信用要素情報５６を基底アカウント保存部１１内の基底アカウント５０の派生アカウント信用要素情報フィールド５５に書き込む。

これ以降の任意のステップにおいて、基底アカウント操作部１５は、派生アカウント信用要素情報５６の参照ＩＤを当該派生アカウント信用要素情報５６と関連付けて基底アカウント保存部１１に保存する。保存するタイミングとしては、例えば派生アカウント６０が生成されるタイミング（［ステップＳＴ２９］）が望ましい。

［ステップＳＴ２８］
認証サーバ装置１０’においては、基底アカウント操作部１５が、基底アカウント保存部１１内の派生アカウント信用要素情報５６を通信部１２から入退出管理装置２０’に送信する。

[ステップＳＴ２９］
入退出管理装置２０’においては、通信部２２により派生アカウント信用要素情報５６を受信すると、アカウント検証部２７が、この派生アカウント信用要素情報５６におけるセキュリティ情報内の公開鍵証明書に基づいて、当該セキュリティ情報内の電子署名を検証する。

アカウント検証部２７は、この検証の結果、電子署名が正当のときには、派生アカウント信用要素情報５６に含まれる生存条件に基づいて、派生アカウント６０の生存が許可されるか否かを検証する。この検証処理は、具体的には図９及び図１０を用いて前述した通りに実行される。

評価結果が“許可（permit）”であれば、派生アカウント操作部２５が派生アカウント６０を作成する。評価結果が“拒否（deny）”であれば、派生アカウント６０を作成しない。

[ステップＳＴ３０］
次に、入退出管理装置２０’は、処理の結果と派生認証要素の要求とを入退出管理クライアント装置３０’に送信する。

［ステップＳＴ３１］
次に、入退出管理装置２０’においては、派生認証要素作成部２６が、利用者のクライアント装置３０との間で派生認証要素を合意確立し、合意した派生認証要素を派生アカウント保存部２１内の派生アカウント６０の派生認証要素フィールド６３に書き込む。

［ステップＳＴ３２］
派生認証要素の書き込み後、派生アカウント管理装置２０においては、派生認証要素作成部２６が制御部２３及び通信部２２を介し、完了又は失敗を示す処理結果を認証サーバ装置１０’に通知する。

［ステップＳＴ３３］
次に、派生アカウント管理装置２０においては、派生認証要素作成部２６が制御部２３及び通信部２２を介し、完了又は失敗を示す処理結果を入退出クライアント装置３０’に通知する。

入退出クライアント装置３０’は、受信した処理結果を画面表示することにより、利用者に処理結果を通知する。この処理結果により、全ての処理を完了したのか、失敗したのかが利用者に通知される。処理結果が完了を示すとき、派生アカウント６０が利用可能となる。

（派生アカウントの検証及び削除）
派生アカウント６０を検証及び削除する動作については、入退出管理装置２０’と入退出制御装置７０とが分離した構成であることを除き、前述した動作と同様である。以下、前述した図１１を用いて説明する。

[ステップＳＴ１１］
入退出制御装置７０においては、利用者から入退出要求を受けると、派生アカウント６０へのアクセス要求を入退出管理装置２０’に送信する。

入退出管理装置２０’においては、派生アカウント操作部２５が、派生アカウント６０へのアクセス要求があったとき、派生アカウント６０の生存検証をアカウント検証部２７に要求する。アカウント検証部２７は、派生アカウント保存部２１から派生アカウント６０の派生アカウント信用要素情報５６を取得する。

[ステップＳＴ１２］
アカウント検証部２７は、前述した通り、取得した派生アカウント信用要素情報５６における電子署名及び生存条件を検証し、検証結果を派生アカウント操作部２５に返す。

なお、派生アカウント操作部２５は、入退出許可判断部２８による生存条件の検証に加え、派生アカウント信用要素情報５６内の信用要素識別情報、生成元情報及び基底アカウント参照情報に基づいて、認証サーバ装置１０’に生存検証を要求してもよい。

いずれにしても、最終的な検証結果が「permit（許可）」であれば、派生アカウント操作部２５は、派生アカウント６０へアクセスし、派生アカウント６０のユーザ属性情報ブロック６１に基づき、派生認証要素認証部２９を起動してユーザ認証を実行する。

例えば、ユーザ属性情報ブロック６１の派生認証要素フィールド６３に生体情報テンプレートが格納されていた場合、派生認証要素認証部２９は、通信部２２を介して、生体情報の入力メッセージデータを入退出制御装置７０に送信する。

入退出制御装置７０においては、利用者の操作により、ユーザインタフェース部７３に入力された生体情報を通信部７２から入退出管理装置２０’に送信する。

入退出管理装置２０’では、派生認証要素認証部２９が、通信部２２により受信した生体情報と、派生アカウント保存部２１内の派生アカウントに含まれる生体情報テンプレートとを照合してユーザ認証を実行し、ユーザ認証の結果を入退出許可判断部２８に送出する。

入退出許可判断部２８は、ユーザ認証の結果に基づき、入退出の許可又は拒否を判断する。例えばユーザ認証の結果が類似度のとき、入退出許可判断部２８は、この類似度が所定のしきい値を超えるか否かにより、入退出の許可又は拒否を判断する。所定のしきい値は、入退出制御装置７０に応じた値（入退出したいエリアの重要度に応じた値）を保持していてもよい。

しかる後、入退出管理装置２０’では、許可又は拒否を示す判断結果を通信部２２により入退出制御装置７０に送信する。

入退出制御装置７０においては、入退出制御部７０が、通信部７２により受信した判断結果に応じてドアの開錠などを制御する。

［ステップＳＴ１３］
一方、アカウント検証部２７から受けた検証結果が「deny（拒否）」であれば、派生アカウント操作部２５は、派生アカウント６０へのアクセスを拒否し、派生アカウント６０を無効化する。無効化の実行方法や無効化の解除方法は、前述した通りである。

上述したように本実施形態によれば、第１の実施形態のアカウント管理システムを入退出管理システムに適用した構成としても、第１の実施形態と同様の作用効果を得ることができる。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。

本発明の第１の実施形態に係るアカウント管理システムの構成を示す模式図である。 同実施形態における基底アカウント管理装置の構成を示す模式図である。 同実施形態における基底アカウントの構成を示す模式図である。 同実施形態における派生アカウント信用要素情報の構成を示す模式図である。 同実施形態における派生アカウント管理装置の構成を示す模式図である。 同実施形態における派生アカウントの構成を示す模式図である。 同実施形態におけるクライアント装置の構成を示す模式図である。 同実施形態における動作を説明するためのシーケンス図である。 同実施形態における動作を説明するためのフローチャートである。 同実施形態における動作を説明するためのフローチャートである。 同実施形態における動作を説明するためのフローチャートである。 本発明の第２の実施形態に係るアカウント管理システムが適用された入退出管理システムの構成を示す模式図である。 同実施形態における認証サーバ装置の構成を示す模式図である。 同実施形態における入退出管理装置の構成を示す模式図である。 同実施形態における入退出制御装置の構成を示す模式図である。 同実施形態における動作を説明するためのシーケンス図である。

符号の説明

１０…基底アカウント管理装置、１０’…認証サーバ装置、１１…基底アカウント保存部、１２，２２…通信部、１３，２３…制御部、１４，２４…転送処理部、１４’，２４’…通信処理部、１５…基底アカウント操作部、１６…派生アカウント信用要素生成部、１７…生存条件設定部、１８…初期認証部、２０…派生アカウント管理装置、２０’…入退出管理装置、２１…派生アカウント保存部、２５…派生アカウント操作部、２６…派生認証要素作成部、２７…アカウント検証部、２８…入退出許可判断部、２９…派生認証要素認証部、３０…クライアント装置、３０’…入退出管理クライアント装置、４０…ネットワーク、５０…基底アカウント、５１…基底属性情報ブロック、５２…基底属性情報フィールド、５３…初期認証要素フィールド、５４…派生管理情報ブロック、５５…派生アカウント信用要素情報フィールド、５６…派生アカウント信用要素情報、６０…派生アカウント、６１…ユーザ属性情報ブロック、６２…属性情報フィールド、６３…派生認証要素フィールド、６４…派生アカウント管理情報ブロック、６５…派生アカウント信用要素情報フィールド、６６…有効情報フィールド、７０…入退出制御装置、７５…入退出制御部、８０…入退出管理ドメイン。

Claims (9)

1. 利用者の身元を保証するための基底アカウント情報を管理する基底アカウント管理装置と、前記基底アカウント情報に基づいて生成される派生アカウント情報を管理する派生アカウント管理装置とを備え、前記各アカウント管理装置が利用者のクライアント装置と通信可能なアカウント管理システムであって、
   前記基底アカウント管理装置は、
   初期認証要素情報が格納された初期認証要素フィールド及び派生アカウント信用要素情報が格納される派生アカウント信用要素フィールドを備えた前記基底アカウント情報を記憶した基底アカウント記憶手段と、
   前記基底アカウント管理装置の秘密鍵及びこの秘密鍵に対応する公開鍵証明書が記憶された基底アカウント鍵記憶手段と、
   前記派生アカウント信用要素情報に対する複数の有効期間を含む生存条件を予め設定するための生存条件設定手段と、
   前記初期認証要素情報に基づいて、前記クライアント装置の利用者を認証する初期認証手段と、
   前記初期認証手段による認証結果が正当のとき、信用要素識別情報、基底アカウント管理装置識別情報、派生アカウント管理装置識別情報、基底アカウント情報参照情報及び前記生存条件に対し、前記基底アカウント管理装置の秘密鍵に基づいて電子署名を生成する手段と、
   前記信用要素識別情報、前記基底アカウント管理装置識別情報、前記派生アカウント管理装置識別情報、前記基底アカウント情報参照情報、前記生存条件、前記電子署名及び前記公開鍵証明書からなる派生アカウント信用要素情報を前記派生アカウント信用要素情報フィールドに格納する手段と、
   前記基底アカウント記憶手段内の派生アカウント信用要素情報を派生アカウント管理装置に送信する手段と、
   を備えており、
   前記派生アカウント管理装置は、
   前記派生アカウント信用要素情報が格納される派生アカウント信用要素フィールド及び派生認証要素情報が格納される派生認証要素フィールドを備えた前記派生アカウント情報を記憶可能な派生アカウント記憶手段と、
   前記基底アカウント管理装置から派生アカウント信用要素情報を受信すると、この派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段と、
   この検証の結果、電子署名が正当のとき、前記派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段と、
   この検証の結果、生存条件を満たす場合、前記派生アカウント信用要素情報を前記派生アカウント信用要素フィールドに含む前記派生アカウント情報を作成し、この派生アカウント情報を前記派生アカウント記憶手段に書き込む手段と、
   前記利用者の生体情報を前記クライアント装置から取得し、この生体情報から生体情報テンプレートを作成する手段と、
   前記生体情報テンプレートを含む派生認証要素情報を前記派生アカウント記憶手段内の前記派生アカウント情報の派生認証要素フィールドに書き込む手段と、
   前記派生認証要素の書き込みの後、前記派生アカウント情報へのアクセス要求を受けたとき、前記派生アカウント記憶手段内の派生アカウント情報における派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段と、
   この検証の結果、電子署名が正当のとき、当該派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段と、
   この検証の結果、生存条件を満たさない場合、前記アクセス要求を拒否して前記派生アカウント情報を無効化する手段と、
   を備えたことを特徴とするアカウント管理システム。
2. 利用者の身元を保証するための基底アカウント情報に基づいて生成される派生アカウント情報を管理する派生アカウント管理装置と、前記利用者のクライアント装置とに通信可能であり且つ前記基底アカウント情報を管理する基底アカウント管理装置であって、
   初期認証要素情報が格納された初期認証要素フィールド及び派生アカウント信用要素情報が格納される派生アカウント信用要素フィールドを備えた前記基底アカウント情報を記憶した基底アカウント記憶手段と、
   前記基底アカウント管理装置の秘密鍵及びこの秘密鍵に対応する公開鍵証明書が記憶された基底アカウント鍵記憶手段と、
   前記派生アカウント信用要素情報に対する複数の有効期間を含む生存条件を予め設定するための生存条件設定手段と、
   前記初期認証要素情報に基づいて、前記クライアント装置の利用者を認証する初期認証手段と、
   前記初期認証手段による認証結果が正当のとき、信用要素識別情報、基底アカウント管理装置識別情報、派生アカウント管理装置識別情報、基底アカウント情報参照情報及び前記生存条件に対し、前記基底アカウント管理装置の秘密鍵に基づいて電子署名を生成する手段と、
   前記信用要素識別情報、前記基底アカウント管理装置識別情報、前記派生アカウント管理装置識別情報、前記基底アカウント情報参照情報、前記生存条件、前記電子署名及び前記公開鍵証明書からなる派生アカウント信用要素情報を前記派生アカウント信用要素情報フィールドに格納する手段と、
   前記基底アカウント記憶手段内の派生アカウント信用要素情報を派生アカウント管理装置に送信する手段とを備え、
   前記派生アカウント管理装置に対し、前記生存条件を満たすときに有効となる前記派生アカウント情報を、前記公開鍵証明書の有効期間を過ぎると失効する前記派生アカウント信用要素情報と、この有効期間とは無関係に有効な前記利用者の生体情報テンプレートと、の両者を含むように作成可能としたことを特徴とする基底アカウント管理装置。
3. 請求項２に記載の基底アカウント管理装置において、
   前記生存条件は、派生アカウント情報を作成するときに、所定の第三者装置から承認を得た場合に生存を許可する旨の拡張生存条件を含むことを特徴とする基底アカウント管理装置。
4. 利用者の身元を保証するための基底アカウント情報を管理する基底アカウント管理装置と、前記利用者のクライアント装置とに通信可能であり且つ前記基底アカウント情報に基づいて生成される派生アカウント情報を管理する派生アカウント管理装置であって、
   前記基底アカウント管理情報が、前記基底アカウント情報内の初期認証要素情報に基づく前記利用者の認証結果が正当の場合に、信用要素識別情報、基底アカウント管理装置識別情報、派生アカウント管理装置識別情報、基底アカウント情報参照情報、複数の有効期間を含む生存条件に対し、前記基底アカウント管理装置の秘密鍵に基づいて電子署名を生成することにより、前記信用要素識別情報、前記基底アカウント管理装置識別情報、前記派生アカウント管理装置識別情報、前記基底アカウント情報参照情報、前記生存条件、前記電子署名及び、前記秘密鍵に対応する公開鍵証明書からなる派生アカウント信用要素情報を送信したとき、この派生アカウント信用要素情報を前記基底アカウント管理装置から受信する受信手段と、
   前記派生アカウント信用要素情報が格納される派生アカウント信用要素フィールド及び派生認証要素情報が格納される派生認証要素フィールドを備えた前記派生アカウント情報を記憶可能な派生アカウント記憶手段と、
   前記基底アカウント管理装置から派生アカウント信用要素情報を受信すると、この派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段と、
   この検証の結果、電子署名が正当のとき、前記派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段と、
   この検証の結果、生存条件を満たす場合、前記派生アカウント信用要素情報を前記派生アカウント信用要素フィールドに含む前記派生アカウント情報を作成し、この派生アカウント情報を前記派生アカウント記憶手段に書き込む手段と、
   前記利用者の生体情報を前記クライアント装置から取得し、この生体情報から生体情報テンプレートを作成する手段と、
   前記生体情報テンプレートを含む派生認証要素情報を前記派生アカウント記憶手段内の前記派生アカウント情報の派生認証要素フィールドに書き込む手段と、
   前記派生認証要素の書き込みの後、前記派生アカウント情報へのアクセス要求を受けたとき、前記派生アカウント記憶手段内の派生アカウント情報における派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段と、
   この検証の結果、電子署名が正当のとき、当該派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段と、
   この検証の結果、生存条件を満たさない場合、前記アクセス要求を拒否して前記派生アカウント情報を無効化する手段と、
   を備えたことを特徴とする派生アカウント管理装置。
5. 請求項４に記載の派生アカウント管理装置において、
   前記生存条件は、派生アカウント情報を作成するときに、所定の第三者装置から承認を得た場合に生存を許可する旨の拡張生存条件を含むことを特徴とする派生アカウント管理装置。
6. 利用者の身元を保証するための基底アカウント情報に基づいて生成される派生アカウント情報を管理する派生アカウント管理装置と、前記利用者のクライアント装置とに通信可能であり且つ前記基底アカウント情報を管理する基底アカウント管理装置としてのコンピュータに用いられるプログラムであって、
   前記コンピュータを、
   初期認証要素情報が格納された初期認証要素フィールド及び派生アカウント信用要素情報が格納される派生アカウント信用要素フィールドを備えた前記基底アカウント情報を前記コンピュータの基底アカウント記憶手段に書き込む手段、
   前記基底アカウント管理装置の秘密鍵及びこの秘密鍵に対応する公開鍵証明書を前記コンピュータの基底アカウント鍵記憶手段に書き込む手段、
   前記派生アカウント信用要素情報に対する複数の有効期間を含む生存条件を予め設定するための生存条件設定手段、
   前記初期認証要素情報に基づいて、前記クライアント装置の利用者を認証する初期認証手段、
   前記初期認証手段による認証結果が正当のとき、信用要素識別情報、基底アカウント管理装置識別情報、派生アカウント管理装置識別情報、基底アカウント情報参照情報及び前記生存条件に対し、前記基底アカウント管理装置の秘密鍵に基づいて電子署名を生成する手段、
   前記信用要素識別情報、前記基底アカウント管理装置識別情報、前記派生アカウント管理装置識別情報、前記基底アカウント情報参照情報、前記生存条件、前記電子署名及び前記公開鍵証明書からなる派生アカウント信用要素情報を前記派生アカウント信用要素情報フィールドに格納する手段、
   前記基底アカウント記憶手段内の派生アカウント信用要素情報を派生アカウント管理装置に送信する手段、として機能させ、
   前記派生アカウント管理装置に対し、前記生存条件を満たすときに有効となる前記派生アカウント情報を、前記公開鍵証明書の有効期間を過ぎると失効する前記派生アカウント信用要素情報と、この有効期間とは無関係に有効な前記利用者の生体情報テンプレートと、の両者を含むように作成可能としたプログラム。
7. 請求項６に記載のプログラムにおいて、
   前記生存条件は、派生アカウント情報を作成するときに、所定の第三者装置から承認を得た場合に生存を許可する旨の拡張生存条件を含むことを特徴とするプログラム。
8. 利用者の身元を保証するための基底アカウント情報を管理する基底アカウント管理装置と、前記利用者のクライアント装置とに通信可能であり且つ前記基底アカウント情報に基づいて生成される派生アカウント情報を管理する派生アカウント管理装置としてのコンピュータに用いられるプログラムであって、
   前記コンピュータを、
   前記基底アカウント管理情報が、前記基底アカウント情報内の初期認証要素情報に基づく前記利用者の認証結果が正当の場合に、信用要素識別情報、基底アカウント管理装置識別情報、派生アカウント管理装置識別情報、基底アカウント情報参照情報、複数の有効期間を含む生存条件に対し、前記基底アカウント管理装置の秘密鍵に基づいて電子署名を生成することにより、前記信用要素識別情報、前記基底アカウント管理装置識別情報、前記派生アカウント管理装置識別情報、前記基底アカウント情報参照情報、前記生存条件、前記電子署名及び、前記秘密鍵に対応する公開鍵証明書からなる派生アカウント信用要素情報を送信したとき、この派生アカウント信用要素情報を前記基底アカウント管理装置から受信する受信手段、
   前記基底アカウント管理装置から派生アカウント信用要素情報を受信すると、この派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段、
   この検証の結果、電子署名が正当のとき、前記派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段、
   この検証の結果、生存条件を満たす場合、前記派生アカウント信用要素情報を前記派生アカウント信用要素フィールドに含む前記派生アカウント情報を作成し、この派生アカウント情報を前記派生アカウント記憶手段に書き込む手段、
   前記利用者の生体情報を前記クライアント装置から取得し、この生体情報から生体情報テンプレートを作成する手段、
   前記生体情報テンプレートを含む派生認証要素情報を前記派生アカウント記憶手段内の前記派生アカウント情報の派生認証要素フィールドに書き込む手段、
   前記派生認証要素の書き込みの後、前記派生アカウント情報へのアクセス要求を受けたとき、前記派生アカウント記憶手段内の派生アカウント情報における派生アカウント信用要素情報内の公開鍵証明書に基づいて、当該派生アカウント信用要素情報内の電子署名を検証する手段、
   この検証の結果、電子署名が正当のとき、当該派生アカウント信用要素情報内の生存条件を満たすか否かを検証する手段、
   この検証の結果、生存条件を満たさない場合、前記アクセス要求を拒否して前記派生アカウント情報を無効化する手段、
   として機能させるためのプログラム。
9. 請求項８に記載のプログラムにおいて、
   前記生存条件は、派生アカウント情報を作成するときに、所定の第三者装置から承認を得た場合に生存を許可する旨の拡張生存条件を含むことを特徴とするプログラム。

Images