JP2002091816A - アクセス制御システム - Google Patents

Abstract

(57)【要約】 【課題】 データに対するアクセス制御規則と、アクセ
ス制御規則に対するアクセス制御規則とを区別すること
なく扱うことにより、アクセス制御規則に対するアクセ
ス制御についても、データに対するアクセス制御と同様
の柔軟な制御を行うことができるアクセス制御システム
を提供する。 【解決手段】 アクセス制御システムにおいて、アクセ
ス要求に応じて、このオブジェクトに対するアクセスの
可否を、このオブジェクトに対するアクセス権限を規定
したアクセス制御規則に基づいて判断するアクセス制御
部２００と、このオブジェクトに対するアクセス制御規
則を一般のデータオブジェクトと同様のオブジェクトと
して格納したオブジェクト格納部５００とを備え、アク
セス制御部２００は、アクセス制御規則を対象とするア
クセス要求に応じて、このアクセス制御規則に対するア
クセスの可否を判断する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、アクセス制御に関
し、特にアクセス制御規則を柔軟に設定するためのアク
セス制御規則に対するアクセス制御に関する。

【０００２】

【従来の技術】今日、コンピュータのセキュリティの観
点から、情報資源であるオブジェクト（データファイル
やディレクトリなど）に対するアクセス制御が一般に行
われている。アクセス制御は、所定のオブジェクトに対
してアクセス権限を持つ者やアクセスできる内容（実行
できる処理の種類）を制限するアクセス制御規則を設定
し、この規則に基づいて、ユーザなどからのアクセス要
求を評価し、アクセスの可否を判断する。

【０００３】このようなアクセス制御を行うことのでき
る代表的な例としてＯＳ(OperatingSystem)のＵＮＩＸ
（登録商標）がある。ＵＮＩＸにおいては、ファイルシ
ステムやユーザＩＤ等を使用してアクセス制御が行われ
ている。ファイルシステムには、所有者(owner)、所有
者の所属するグループ(group)、その他(other)の三種類
のサブジェクトがある。そして各サブジェクトに対して
それぞれ、ファイルの読込み(read)、書込み(write)、
実行(execute)権限の可否が指定されている。これら全
ての権限を制限なく行使できるのは、全ての権限を持っ
ているスーパーユーザである、ルート(root)ユーザでな
ければならない。また、それぞれのユーザＩＤ毎のデー
タに制限なくアクセスすることができるのも、全ての権
限を持っているスーパーユーザである、rootユーザでな
ければならない。これらは、最上位の固定されたアクセ
ス制御規則により決定されている。そして、このrootユ
ーザが持っている権限の一部を他のユーザに委譲したり
することはできない。この為、他のユーザに対してroot
ユーザの持つような強い権限を与えようとする場合に
は、root権限そのものを与える必要がある。

【０００４】また、他のアクセス制御の例として、アプ
リケーションソフトウェア自身が管理するオブジェクト
に対するアクセス制御を行う例がある。例えば、データ
ベース、ビュー、フォーム、文書などの複数オブジェク
トの階層に対して柔軟にアクセス制御を付加することが
できるソフトウェアとして、米国ロータス社のNotesが
知られている。このNotesによるアクセス制御規則の変
更権限はデータベース管理者のロールにのみ固定的に与
えられている。つまり、データベース管理者のロールに
ユーザを追加すれば、皆がアクセス制御規則を変更する
ことができる。しかしながら、一部のオブジェクト階層
にのみ変更権限を持たせ、他の部分のオブジェクト階層
には変更権限を持たせないようなアクセス制御を行うこ
とはできない。

【０００５】以上の例のように、従来のアクセス制御シ
ステムにおいて、一般に、アクセス制御規則に対するア
クセス権限に関して、ユーザは、全ての権限が与えられ
るか、全く何の権限も持つことができないかのどちらか
であった。

【０００６】また、アクセス制御規則を記述するための
言語に関する従来技術としてＢＪＳがある。このＢＪＳ
では、administration権限に基づいてアクセス制御規則
に対するアクセス制御規則を管理することができる。ad
ministration権限にはadministerとadm-accessの２種類
がある。administerはadministration権限を含む全ての
アクセス制御規則を作成することができ、adm-accessは
administer権限とadm-access権限とを除く他の権限（se
lectやcreateなど）を持つアクセス制御規則を作成する
ことができる。例えば、adm-access権限を持つAliceに
関して、次のアクセス制御規則が存在するとする。 <Alice, select, adm-access, strong, table1, Trent> このアクセス制御規則は、Aliceがtable1のselect操作
に関する限り、アクセス制御規則を自由に生成し、削除
することができることを意味する。例えば、Employeeが
table1にselectに関する権限を持ち、この権限の作成者
がAliceであることを示す規則、 <Employee, select, +, table1, Alice, strong> を作成することができる。他の例としては、例えば、ad
minister権限を持つBobに関して、次のアクセス制御規
則が存在するとする。 <Bob, select, administrater, strong, table1, Trent
> このアクセス制御規則は、Bobがtable1のselect操作に
関する限り、アクセス制御規則の作成権限を他人に委譲
することができることを意味する。例えば、Carolがtab
le1にselect操作権限に関する限り、Carolがtable1にse
lect操作権限に関するアクセス制御規則を作成する権限
を持ち、この権限の作成者がBobであることを示す規
則、 <Carol, select, adm-access, strong, table1, Bob> を作成することができる。

【０００７】ＢＪＳを用いれば、上記のようにアクセス
制御規則に対するアクセスを制御する規則を記述するこ
とができる。ただし、アクセス制御規則の記述と、アク
セス制御規則に対するアクセス制御規則であるadminist
ration権限の記述とは、異なる書式で行われる。

【０００８】

【発明が解決しようとする課題】上述したように、従
来、オペレーティングシステムやアプリケーションソフ
トウェアにて行われている一般的なアクセス制御は、ア
クセス制御規則自体に対するアクセス権限に関して、ユ
ーザは、全ての権限を与えられるか、全く何の権限も持
つことができないかのどちらかであった。そのため、特
定のアクセス制御規則の追加のみを特定のユーザに与え
るというように、アクセス制御規則に対するアクセス権
限を制限付きで認めることができなかった。すなわち、
アクセス制御規則に対するアクセス権限の一部を委譲す
ることはできなかった。そして、多くのユーザにアクセ
ス制御規則に対する全てのアクセス権限を与えてしまう
ことは、セキュリティ上好ましくない。また、システム
に変更があった場合に、権限の管理が煩雑となる。

【０００９】また、ＢＪＳを用いることにより、上述し
たように、アクセス制御規則に対するアクセスを制御す
る規則を記述することが可能となる。しかし、ＢＪＳに
おいて、administration権限は、アクセス制御規則とは
異なる書式で記述されており、その内容を、当該admini
stration権限により制御されるアクセス制御規則の対象
であるオブジェクト（tableなど）との組で決めなけれ
ばならない。したがって、例えば特定のオブジェクトに
対して指定されたアクセス制御規則を見る権限（readな
ど）などのように、アクセス制御規則に対する権限の内
容がオブジェクトと分離されているような権限を設定す
ることはできない。このように、ＢＪＳを用いてアクセ
ス制御規則に対するアクセスを制御しようとする場合に
も、柔軟なアクセス制御を行うことができない。

【００１０】これら従来のアクセス制御における問題点
を解決し、ユーザに対して、アクセス制御規則に対する
権限の任意の一部を与えることができれば、より使いや
すく便利なアクセス制御システムとして活用できる。ま
た、アクセス制御規則に対するアクセスを制御する規則
として、アクセス制御規則の追加、変更、削除等の記述
を柔軟に行うことができれば、更に使いやすく便利なア
クセス制御システムとして活用できる。

【００１１】そこで本発明は、データに対するアクセス
制御規則と、アクセス制御規則に対するアクセス制御規
則とを区別することなく扱うことにより、アクセス制御
規則に対するアクセス制御についても、データに対する
アクセス制御と同様の柔軟な制御を行うことができるア
クセス制御システムを提供することを目的とする。これ
により、ユーザに対して、アクセス制御規則に対する権
限の任意の一部を与えるようなアクセス制御を容易に行
うことが可能となる。また、アクセス制御規則の追加、
変更、削除等を容易に行うことが可能となる。

【００１２】

【課題を解決するための手段】上記の目的を達成するた
め、本発明は、情報資源であるオブジェクトへのアクセ
ス要求に対するアクセス制御を行うアクセス制御システ
ムにおいて、アクセス要求に応じて、このオブジェクト
に対するアクセスの可否を、このオブジェクトに対する
アクセス権限を規定したアクセス制御規則に基づいて判
断するアクセス要求判断部と、このオブジェクトに対す
るアクセス制御規則を一般のデータオブジェクトと同様
のオブジェクトとして格納したオブジェクト格納部とを
備え、アクセス要求判断部は、アクセス制御規則を対象
とするアクセス要求に応じて、このアクセス制御規則に
対するアクセスの可否を判断することを特徴とする。す
なわち、アクセス制御規則を一般のデータオブジェクト
と区別することなく扱うことができる。

【００１３】ここで、このアクセス要求判断部は、この
アクセス制御規則を含む所定のオブジェクトを対象とす
るアクセス要求に応じて、オブジェクト格納部から、こ
のアクセス要求の対象であるオブジェクトとこのオブジ
ェクトに対するアクセス制御規則を記述したオブジェク
トとを取得し、取得したアクセス制御規則に基づいてこ
のオブジェクトに対するアクセスの可否を判断すること
を特徴とする。すなわち、アクセス要求判断部は、オブ
ジェクト格納部からアクセス対象とアクセス制御規則の
二つのオブジェクトを取得し、これらを用いてアクセス
要求に対するアクセスの可否を判断する。

【００１４】さらにここで、このオブジェクト格納部に
オブジェクトとして格納されるアクセス制御規則は、同
じくオブジェクト格納部に格納されている他のアクセス
制御規則に対するアクセス権限を規定したアクセス制御
規則である場合を含む。言い換えれば、アクセス制御規
則に対するアクセス制御規則もオブジェクトとしてアク
セス要求の対象となり、さらに上位のアクセス制御規則
によってアクセス制御されるという多重化された構造を
取り得る。

【００１５】また、このアクセス制御システムにおい
て、アクセス要求の対象であるオブジェクトとこのオブ
ジェクトに対するアクセス制御規則との相互関係を管理
するオブジェクト対応管理部をさらに備えた構成とする
ことができる。具体的には、このオブジェクト対応管理
部は、アクセス制御規則との対応が記述されたオブジェ
クトからこの対応情報を取得して管理する。そして、こ
のオブジェクトに付随し、かつアクセス制御規則との対
応が記述されていないオブジェクトに対してアクセス要
求がなされた場合に、このオブジェクト対応管理部によ
り保管されていたアクセス制御規則の対応情報に基づい
てアクセス制御規則を取得し、このアクセス制御規則と
の対応が記述されていないオブジェクトに対するアクセ
ス制御規則として用いることができる。オブジェクトと
アクセス制御規則との対応情報は、オブジェクトに付す
るタグにより記述することができる。

【００１６】また、本発明は、他のアクセス制御システ
ムを提供することができる。すなわち、所定の情報資源
へのアクセス要求に対するアクセス制御を行うアクセス
制御システムにおいて、この情報資源へのアクセス権限
を規定したアクセス制御規則と、このアクセス制御規則
と共通の書式で記述され、かつこのアクセス制御規則に
対するアクセス権限を規定した上位制御規則とを格納し
た格納手段と、このアクセス制御規則を対象とするアク
セス要求に応じて、このアクセス制御規則に対するアク
セスの可否を、この上位制御規則に基づいて判断する判
断手段とを備える。そして、この格納手段に格納された
アクセス制御規則は他のアクセス制御規則に対する上位
制御規則である場合を含むことを特徴とする。すなわ
ち、アクセス制御規則もアクセス要求の対象となる一つ
の情報資源としてみた場合に上位制御規則もアクセス制
御規則に他ならない。したがって、共通の書式でアクセ
ス制御規則を記述し、その制御対象を他のアクセス制御
規則とすることによって、上位制御規則を作成すること
ができ、アクセス制御規則を多重化することができる。

【００１７】ここで、この格納手段に格納されたアクセ
ス制御規則は、一般のデータオブジェクトにおいてアク
セス制御規則を指し示す指示情報を付加するのと同様
に、自アクセス制御規則に対する上位制御規則を指し示
す指示情報を付した指示情報付きオブジェクトとして記
述することができる。この指示情報は上述したタグで表
現することができる。

【００１８】また、このアクセス制御システムは、判断
手段によりアクセスを許可されたアクセス要求に応じ
て、このアクセス制御規則及びこの上位制御規則を生成
し、変更し、または削除する処理手段をさらに備えた構
成とすることができる。

【００１９】さらにここで、この上位制御規則は、この
アクセス制御規則に対するアクセス権限の一部を特定の
主体に対して認めることを規定した規則とすることがで
きる。

【００２０】また、本発明は、さらに他のアクセス制御
システムを提供することができる。すなわち、データの
構成要素に対する制御情報を示すタグを付されたタグ付
きオブジェクトを対象とし、当該タグ付きオブジェクト
へのアクセス要求に対するアクセス制御を行うアクセス
制御システムにおいて、このタグ付きオブジェクトへの
アクセス権限を規定するアクセス制御規則を格納したア
クセス制御規則格納手段と、このアクセス要求に応じ
て、このアクセス要求の対象であるタグ付きオブジェク
トに対するアクセスの可否を、このアクセス制御規則に
基づいて判断するアクセス要求判断手段とを備え、この
アクセス制御規則格納手段に格納されたアクセス制御規
則は、規則の構成要素に対する制御情報を示すタグを付
されたタグ付きオブジェクトとして記述され、このアク
セス要求判断手段は、このアクセス制御規則を対象とす
るアクセス要求に応じて、タグ付きオブジェクトである
このアクセス制御規則に対するアクセスの可否を判断す
ることを特徴とする。すなわち、アクセス制御規則をタ
グ付きオブジェクトの形式で記述したことにより、アク
セス制御システム上は、ＨＴＭＬなどの一般のタグ付き
データオブジェクトとアクセス制御規則とを区別するこ
となく扱うことができる。

【００２１】ここで、このアクセス制御システムは、タ
グ付きオブジェクトとして記述されたタグ付きデータオ
ブジェクトと前記タグを持たないタグ無しデータオブジ
ェクトとを格納したデータオブジェクト格納手段をさら
に備え、アクセス要求判断手段は、アクセス制御規則、
タグ付きデータオブジェクト、タグ無しデータオブジェ
クトのいずれかに対するアクセスの可否を判断すること
を特徴とする。

【００２２】さらにここで、このアクセス制御システム
は、このタグ付きデータオブジェクトに対するアクセス
要求が行われた場合に、このタグ付きデータオブジェク
トに対するアクセス制御規則に関する情報を保持する管
理手段をさらに備え、アクセス要求判断手段は、このタ
グ付きデータオブジェクトに付随するタグ無しデータオ
ブジェクトに対するアクセス要求が行われた場合に、こ
の管理手段に保持されている情報に基づいて、このタグ
付きデータオブジェクトに対するアクセス制御規則を取
得し、取得したこのアクセス制御規則に基づいてこのタ
グ無しデータオブジェクトに対するアクセスの可否を判
断する構成とすることができる。すなわち、データオブ
ジェクトをタグ付きデータオブジェクトとタグ無しデー
タオブジェクトとに分け、タグ無しデータオブジェクト
はこのオブジェクトが付随するタグ付きデータオブジェ
クトのアクセス制御規則を流用することにより、タグ無
しデータオブジェクトへのアクセス制御を実現できる。

【００２３】また、本発明は、クライアントからのアク
セス要求を受け付けて、アクセス対象であるオブジェク
トに対してこのアクセス要求に応じた処理を行うサーバ
であって、アクセス要求に応じて、このアクセス要求の
対象であるオブジェクトに対するアクセスの可否を、当
該オブジェクトに対するアクセス権限を規定したアクセ
ス制御規則に基づいて判断するアクセス要求判断部と、
このアクセス要求判断部によりアクセスが許可されたア
クセス要求に応じて、このオブジェクトに対する処理を
実行するオブジェクト処理部と、このオブジェクトに対
するアクセス制御規則をオブジェクトとして格納したオ
ブジェクト格納部とを備え、このアクセス要求判断部
は、このアクセス制御規則を対象とするアクセス要求に
応じて、このアクセス制御規則に対するアクセスの可否
を判断することを特徴とする。すなわち、アクセス制御
を行ってオブジェクトに対する処理を行うサーバとして
提供することができる。

【００２４】また、本発明は、情報資源であるオブジェ
クトへのアクセス要求に対するアクセス制御を行うアク
セス制御方法において、アクセス制御規則を対象オブジ
ェクトとするアクセス要求を受け付けるステップと、こ
のアクセス要求の対象オブジェクトに対するアクセス権
限を規定するアクセス制御規則を取得するステップと、
取得したこのアクセス制御規則に基づいてこの対象オブ
ジェクトに対するアクセスの可否を判定するステップと
を含むことを特徴とする。すなわち、アクセス制御規則
を一般のデータオブジェクトと同様に対象オブジェクト
としてアクセス要求を受け付け、アクセス制御を行うこ
とができる。

【００２５】さらにまた、本発明は、データの構成要素
に対する制御情報を示すタグを付されたタグ付きオブジ
ェクトを対象とし、このタグ付きオブジェクトへのアク
セス要求に対するアクセス制御を行うアクセス制御方法
において、このタグ付きオブジェクトに対するアクセス
要求が行われた場合に、このタグ付きオブジェクトに対
するアクセス制御規則に関する情報を保持するステップ
と、このタグ付きオブジェクトに付随するタグ無しオブ
ジェクトに対するアクセス要求が行われた場合に、この
アクセス制御規則に関する情報を保持するステップにお
いて保持された情報に基づいてこのタグ付きオブジェク
トに対するアクセス制御規則を取得するステップと、取
得されたアクセス制御規則を用いてこのタグ無しオブジ
ェクトに対するアクセスの可否を行うステップとを含む
ことを特徴とする。

【００２６】また、本発明は、情報資源であるオブジェ
クトへのアクセス要求に対するアクセス制御を行うため
のアクセス制御規則を生成するアクセス制御規則生成方
法において、このアクセス制御規則の生成要求を受け付
け、この生成要求に対する前記アクセス制御規則に基づ
いて、この生成要求を許可するかどうかを判断するステ
ップと、この生成要求が許可された場合に、この生成要
求に応じたアクセス制御規則を生成し、この生成要求に
対するアクセス制御規則を指示する指示情報を生成され
たこのアクセス制御規則に付加するステップとを含むこ
とを特徴とする。

【００２７】さらに本発明は、これらのアクセス制御方
法またはアクセス制御規則生成方法における各ステップ
に相当する処理をコンピュータに実行させるプログラム
を作成し、コンピュータにて読み取り可能な記憶媒体に
格納して提供したり、プログラム伝送装置から配信した
りすることにより提供することができる。

【００２８】

【発明の実施の形態】以下、添付図面に示す実施の形態
に基づいて本発明を詳細に説明する。まず、本発明の概
要について説明する。本発明は、通常のアクセス制御の
対象であるオブジェクトとアクセス制御規則自体とを区
別することなく扱うため、タグ付きオブジェクトという
概念を導入した。ここで、タグとは、データの構成要素
に対する制御情報を示すデータであり、例えば、データ
の構成要素に対して付けられた固有の名前とすることが
できる。また、タグ付きオブジェクトとは、タグ名によ
りデータを参照することができるようなオブジェクトで
ある。例えば、ＨＴＭＬ（Hypertext Markup Languag
e）やＸＭＬ（Extensible Markup Language）などのマ
ークアップ言語はオブジェクトである。

【００２９】本発明では、アクセス制御規則をタグ付き
オブジェクトとして記述する。また、一般のデータオブ
ジェクトについてもタグ付きオブジェクトとタグを持た
ないタグ無しオブジェクトとに分類する。そして、オブ
ジェクトの記述形式に応じたアクセス制御を行う。これ
により、タグ付きオブジェクトであれば、アクセス制御
規則であるかデータオブジェクトであるかに関わらず、
同様の手法でアクセス制御を行うことが可能となる。

【００３０】図１は、本実施の形態における、アクセス
制御システムの全体構成を説明する図である。図１にお
いて、符号１００はアクセス要求部であり、アクセス要
求を発行する。符号２００はアクセス制御部であり、管
理している情報資源であるオブジェクトに対するアクセ
スの可否を制御するアクセス要求判断手段である。符号
３００はオブジェクト管理部であり、オブジェクトやア
クセス制御規則をオブジェクト格納部（後述の符号５０
０）から取り出して、アクセス制御部２００に渡す。ま
た、オブジェクト格納部５００から取り出されたオブジ
ェクトやアクセス制御規則を補足するために、必要に応
じてオブジェクト対応管理部（後述の符号４００）を使
うことができる。符号４００はオブジェクト対応管理部
であり、オブジェクト格納部５００からオブジェクトを
取り出す際、またはオブジェクト格納部５００に対して
オブジェクトを格納する際に、当該オブジェクトの状態
を管理する。特に、取り出されたオブジェクトに対する
アクセス制御規則などの情報を一時的に蓄える機能を持
つ。符号５００はオブジェクト格納部であり、アクセス
要求の対象となるオブジェクトを格納している。符号６
００はアクセス処理部６００であり、アクセス制御部２
００によって許可されたアクセス要求に応じて、当該ア
クセス制御の対象であるオブジェクトに対する処理を実
行する。

【００３１】本実施の形態におけるアクセス制御システ
ムは、複数のコンピュータ装置をネットワークで接続し
たネットワークシステムとして構築されても良いし、単
一のコンピュータ装置の一部として構成されても良い。
前者の場合、例えば図１に示すアクセス要求部１００
は、パーソナルコンピュータや携帯端末、その他の各種
の端末装置にて実現される。そして、アクセス制御部２
００、オブジェクト管理部３００、オブジェクト対応管
理部４００、オブジェクト格納部５００及びアクセス処
理部６００は、アクセス要求部１００である端末装置に
ネットワークを介して接続されたサーバマシンにて実現
される。また、後者の場合、例えばアクセス要求部１０
０は、コンピュータ装置内で動作し、オブジェクト格納
部５００に格納されているオブジェクトに対してアクセ
スし、処理を行うアプリケーションプログラムの機能に
より実現される。そして、アクセス制御部２００、オブ
ジェクト管理部３００、オブジェクト対応管理部４０
０、オブジェクト格納部５００及びアクセス処理部６０
０は、オペレーティングシステムやアプリケーションプ
ログラムの機能により実現される。なお、図１に示す各
構成要素は、上記アプリケーションプログラムやオペレ
ーティングシステムなどのコンピュータプログラムにて
制御されたＣＰＵにて実現される仮想的なソフトウェア
ブロックである。ＣＰＵを制御する当該コンピュータプ
ログラムはＣＤ−ＲＯＭやフロッピー（登録商標）ディ
スクなどの記憶媒体に格納したり、ネットワークを介し
て伝送したりすることにより提供される。

【００３２】また、オブジェクト格納部５００に格納さ
れるオブジェクトは、タグを付されたタグ付きオブジェ
クトとタグを持たないタグ無しオブジェクトからなる。
タグ付きオブジェクトには、文書など一般のデータであ
るタグオブジェクトとタグ付きオブジェクトに対するア
クセス制御規則を記述したアクセス制御タグオブジェク
トとがある。アクセス制御タグオブジェクトには、タグ
オブジェクトのみならず、他のアクセス制御タグオブジ
ェクトに対するアクセス制御規則を記述したものも存在
する。タグ無しオブジェクトは、内部にタグ表現を持た
ない任意の形式のオブジェクトである。

【００３３】図２は図１に示したアクセス制御システム
における動作のアルゴリズムの全体概要を表している。
まず、アクセス要求部１００によって、オブジェクトに
対するアクセス要求が生成される(ステップ７０１)。ス
テップ７０１においてアクセス要求部１００で生成され
たアクセス要求は、アクセス制御部２００へ送られる。
アクセス制御部２００を受け取ったアクセス要求は、オ
ブジェクト管理部３００を介してオブジェクト格納部５
００からアクセス要求の対象となるオブジェクトを取り
出す（ここでは、アクセス要求の対象としてアクセス制
御タグオブジェクト、タグオブジェクト、タグ無しオブ
ジェクトの３種類が考えられるため、単にオブジェクト
と表記する）。オブジェクト管理部３００は、アクセス
対象であるオブジェクトと共に、当該オブジェクトに対
するアクセス制御規則を記述したアクセス制御タグオブ
ジェクトをオブジェクト格納部５００から取り出し、ア
クセス制御部２００へ送る。この際、必要であれば、取
り出されたオブジェクトに対してオブジェクト対応管理
部４００に処理を渡し、補足処理を行う。

【００３４】アクセス対象であるオブジェクト及びアク
セス制御タグオブジェクトを受け取ったアクセス制御部
２００は、当該オブジェクトに対するアクセスの可否を
判定する(ステップ７０２)。ステップ７０２においてア
クセスが許可されると、アクセス処理部６００が、アク
セス要求の対象であるオブジェクトに対し、アクセス要
求に応じた処理を施す(ステップ７０３)。ステップ７０
３において処理が施されたオブジェクトは、当該処理の
内容に応じてアクセス制御部２００によって返送先を判
断され、アクセス要求部１００またはオブジェクト格納
部５００に送られる(ステップ７０４)。例えば、アクセ
ス要求としてデータのリードを要求した場合は、対象で
あるオブジェクトはアクセス要求部１００に返送される
必要がある。また、アクセス要求に応じた処理としてデ
ータの書き換えが行われた場合は、書き換えられたオブ
ジェクトをオブジェクト格納部５００に格納する必要が
ある。以上のように、図１に示すアクセス制御システム
における主要な処理の流れは、アクセス対象がアクセス
制御規則であるアクセス制御タグオブジェクトである
と、一般のデータオブジェクトであるタグオブジェクト
またはタグ無しオブジェクトであるとを問わず同一であ
る。

【００３５】図３は、本実施の形態においてアクセス対
象となるオブジェクトのデータ構造を説明する図であ
る。これらはオブジェクト格納部５００に格納されるオ
ブジェクトであり、上述したように、タグ付きオブジェ
クトとタグ無しオブジェクトとからなる。タグ付きオブ
ジェクトはさらに、一般のデータオブジェクトであるタ
グオブジェクトと、タグがアクセス制御の内容に関する
規則を規定しているアクセス制御タグオブジェクトとに
分けられる。タグ付きオブジェクトのデータ構造は、タ
グにより、図３に示すように特定される。

【００３６】図３を参照すると、タグオブジェクトに付
されるタグには、アクセス制御識別名タグと、アクセス
可能主体タグと、その他の任意のタグとがある。アクセ
ス制御識別名タグは、自タグオブジェクトに対するアク
セス制御規則を記述したアクセス制御タグオブジェクト
を指示する、オブジェクトＩＤ等の識別名を示すタグで
ある。アクセス可能主体タグは、タグオブジェクトを生
成したアクセス主体であるユーザ名、グループ名、シス
テムプロセス番号等を指示するタグである。当該タグに
て示されるアクセス可能主体は、当該タグオブジェクト
に対して行うことができる処理の全てに対してアクセス
権限を持つ。また、タグオブジェクトには、当該タグオ
ブジェクトのデータ形式などに応じてデータ構造を示す
任意のタグを設定することができる。なお、アクセス制
御識別名タグ及びアクセス可能主体タグは、一つのタグ
オブジェクトに対してそれぞれ複数設定することができ
る。

【００３７】次に、アクセス制御タグオブジェクトに付
されるタグには、アクセス制御識別名タグと、アクセス
可能主体タグと、アクセス対象タグと、アクセス主体タ
グと、アクセス種別タグと、アクセスフラグタグと、ア
クセス条件タグとがある。このうち、アクセス制御識別
名タグとアクセス可能主体タグとは、タグオブジェクト
において上述した各タグと同一である。アクセス対象タ
グは、当該アクセス制御タグオブジェクトによるアクセ
ス制御の対象となるオブジェクト（以下、対象オブジェ
クト）を示すタグである。当該アクセス対象タグの内容
は対象オブジェクトに付されたタグのタグ名である。複
数のオブジェクトによってタグの親子関係を示している
場合、タグ名を使うことによりアクセス対象のオブジェ
クトを決めることができる。アクセス主体タグは、当該
アクセス制御タグオブジェクトにより対象オブジェクト
へのアクセスを許可されている主体を示すタグである。
当該アクセス主体タグの内容は、対象オブジェクトへの
アクセスを行うユーザ、グループ、プロセスなどを特定
する識別子である。アクセス種別タグは、対象オブジェ
クトに対して行う処理の種類を示すタグである。処理の
例としては、読出し、変更、追加、生成、削除などがあ
る。アクセスフラグタグは、アクセスの可否を決めるフ
ラグであり、その内容は、許可と不許可である。すなわ
ち、アクセス要求において、アクセス主体タグにて示さ
れているアクセス主体が、アクセス対象タグにて示され
ている対象オブジェクトを対象として、アクセス種別タ
グに示されている処理を要求した場合、アクセスフラグ
タグが許可となっていれば、当該アクセス制御タグオブ
ジェクトは、そのようなアクセスを許可する。一方、ア
クセスフラグタグが不許可となっていれば、当該アクセ
ス制御タグオブジェクトは、そのようなアクセスを拒否
する。アクセス条件タグは、アクセス制御タグオブジェ
クトを適用する条件を示すタグであり、何らかの評価可
能な条件式として記述される。なお、アクセス制御タグ
オブジェクトを構成するタグのうち、アクセス対象タ
グ、アクセス主体タグ、アクセス種別タグ、アクセスフ
ラグタグ及びアクセス条件タグが一組となって、一つの
アクセス制御規則を表現する。したがって、この組を複
数設定することにより、当該アクセス制御タグオブジェ
クトに同種のアクセス制御規則を複数設定することがで
きる。なお、各組において、アクセス条件タグなど、特
に設定しなくてもアクセス制御に差し支えないタグにつ
いては、内容をＮＵＬＬとすることもできる。また、こ
れらのタグの種類は一例に過ぎず、アクセス制御に差し
支えなければ、いずれかのタグを省略しても良いし、ア
クセス制御のために用いることができる情報であれば、
他のタグを追加しても良い。以上のように、本実施の形
態では、アクセス制御規則を、タグによりデータ構造を
特定されたタグ付きオブジェクトとして記述することに
より、上述したタグオブジェクトと同様に扱うことが可
能となる。

【００３８】タグ無しオブジェクトは、任意の形式のオ
ブジェクトであり、内部にタグによって表現されるデー
タ構造を持たない。例えばＧＩＦファイルなどはタグ無
しオブジェクトである。

【００３９】図４は、図１に示したアクセス制御システ
ムの各ブロック間でやりとりされる情報（インターフェ
イス）の一覧を示す図である。図４を参照すると、アク
セス要求部１００からアクセス制御部２００の方向に
は、アクセス要求が送られる。ここで、アクセス要求と
は、アクセス対象、アクセス主体、アクセス種別からな
る三つのデータの組であり、例えば上述したタグのタグ
名を記述する。アクセス制御部２００からアクセス要求
部１００の方向には、アクセス制御の判定結果を表すア
クセスフラグの情報と、アクセス処理部６００にて処理
されたオブジェクトが送られる。アクセス制御部２００
からオブジェクト管理部３００の方向には、アクセス対
象を表すオブジェクト識別子が送られる。ここで、オブ
ジェクト識別子とは、オブジェクトを一意に参照する情
報であり、例えば、オブジェクトＩＤやＸPathなどの表
現形式を持つ。また、アクセス制御部２００からオブジ
ェクト格納部５００の方向には、アクセス処理部６００
にて処理されたオブジェクトが送られる。オブジェクト
管理部３００からアクセス制御部２００の方向には、対
象オブジェクトとアクセス制御タグオブジェクトが送ら
れる。オブジェクト管理部３００からオブジェクト格納
部５００の方向には、アクセス対象を表すオブジェクト
識別子が送られる。オブジェクト格納部５００からオブ
ジェクト管理部３００の方向には、対象オブジェクトま
たはアクセス制御タグオブジェクトが送られる。オブジ
ェクト管理部３００からオブジェクト対応管理部４００
の方向には、対象オブジェクトやアクセス制御タグオブ
ジェクトを表すオブジェクト識別子が送られる。オブジ
ェクト対応管理部４００からオブジェクト管理部３００
の方向には、アクセス制御タグオブジェクトが送られ
る。アクセス制御部２００からアクセス処理部６００の
方向には、処理対象であるオブジェクトと、アクセス制
御タグオブジェクトから取得されるアクセス対象タグ、
アクセス種別タグ及びアクセスフラグとが送られる。ま
た、アクセス処理部６００からアクセス制御部２００の
方向には処理済みのオブジェクトが送られる。

【００４０】次に、図１を用いて、本実施の形態を各構
成要素とそれに伴うオブジェクトの動きを追いながらさ
らに詳しく説明する。以下の説明において、特に明示し
ない場合、タグオブジェクトとアクセス制御タグオブジ
ェクトとを総称してオブジェクトと呼ぶ。ユーザは、ア
クセス要求部１００から、アクセス制御部２００に対し
てアクセス要求を行う。アクセス要求に伴い引数とし
て、ここではオブジェクト識別名Ａ、主体識別名Ａ、ア
クセス種別Ａ、アクセス引数Ａが送られたものとする。
ここで、オブジェクト識別名Ａとは、対象オブジェクト
を特定する情報であり、オブジェクトＩＤやファイル名
のような対象を指す名前、あるいはＸPathのように木構
造の特定の場所を示すポインタである。主体識別名Ａと
は、アクセス主体を特定する情報であり、ユーザ名やプ
ロセス名である。アクセス種別Ａとは、要求する処理の
首里を特定する情報であり、読込みや書込みのような操
作名である。アクセス引数Ａは、操作を規定するために
使われるパラメータである。

【００４１】アクセス制御部２００は、アクセス要求を
受け取ると、オブジェクト識別名Ａに対するアクセス情
報を取得する為に、オブジェクト識別名Ａを引数とし
て、オブジェクト管理部３００を呼ぶ。

【００４２】オブジェクト管理部３００は、オブジェク
ト格納部５００の中に、オブジェクト識別名Ａのオブジ
ェクトＩＤもしくはファイル名に一致するオブジェクト
Ａが格納されているかどうかを調べる。一致するものが
あれば、オブジェクト格納部５００からオブジェクトＡ
を取得する。ここで、オブジェクトＡは、タグオブジェ
クト、アクセス制御タグオブジェクト、タグ無しオブジ
ェクトの中の何れかである。オブジェクト格納部５００
の中に、オブジェクト識別名Ａに相当するオブジェクト
が存在しなかった場合には、エラーを出力して処理を終
了する。オブジェクト管理部３００はさらに、オブジェ
クトＡにアクセス制御識別名タグが存在していた場合、
そのタグに書かれたデータをオブジェクト識別名Ｂとみ
なし、再度オブジェクト格納部５００からオブジェクト
識別名Ｂに該当するオブジェクトＢをオブジェクトＡに
対するアクセス制御規則として取得する。オブジェクト
制御識別タグが複数の場合には、取得すべきオブジェク
トＢが複数であるものとする。また、オブジェクトＡに
アクセス可能主体というタグ名があれば、当該オブジェ
クトに対してアクセスできるのが当該アクセス可能主体
のみであるため、ここではこれ以上の処理を行わない。
オブジェクト管理部３００は、以上のようにして得られ
たオブジェクトＡ及びオブジェクトＢをアクセス制御部
２００に戻す。

【００４３】アクセス制御部２００は、オブジェクトＢ
に記述されたオブジェクトＡに対するアクセス制御規則
に基づきアクセス判定を行う。そして、得られたアクセ
ス判定結果に基づき、アクセス処理部６００に対して必
要な処理を依頼する。

【００４４】アクセス処理部６００は、図４に示したよ
うに、アクセス制御部２００から対象オブジェクトと、
アクセス対象タグ、アクセス種別タグ、及びアクセス判
定結果を示すアクセスフラグタグを受け取り、これらに
基づいて対象オブジェクトに対する処理を実行する。そ
して、処理の結果に応じて結果オブジェクトＲを生成
し、アクセス制御部２００に送る。

【００４５】アクセス制御部２００は、アクセス処理部
６００において生成された結果オブジェクトＲを、アク
セス要求部１００またはアクセス格納部５００に送る。
例えば、アクセス要求にて要求された処理（アクセス種
別タグ）が対象オブジェクトのリードであれば、結果オ
ブジェクトＲ（対象オブジェクトと同一）をアクセス要
求部１００に返送する。また、アクセス処理部６００に
おいてデータの書き換えが行われたならば、生成された
結果オブジェクトＲをアクセス処理部６００へ送って格
納する。また、処理の内容によっては、アクセス要求部
１００及びアクセス格納部５００の両方に結果オブジェ
クトＲを送る場合もあるし、何もしない場合もある。こ
れらの判断は、例えば、アクセス制御部２００におい
て、図８に示すような対応テーブルを持っておき、アク
セス要求の引数であるアクセス種別またはアクセス制御
タグオブジェクトのアクセス種別タグに応じて決定する
ことができる。

【００４６】次に、オブジェクト格納部５００から取得
されたオブジェクトＡがタグ無しオブジェクトであった
場合について説明する。この場合、タグ無しオブジェク
トはタグを持たないため、アクセス制御規則を記述した
アクセス制御タグオブジェクトを指示することができな
い。そこで、オブジェクト対応管理部４００により補足
処理を行う。この場合、オブジェクト管理部３００は、
オブジェクト対応管理部４００に対してオブジェクト識
別名Ａに対応するアクセス制御を指定したエントリーが
あるかどうかを問い合わせる。オブジェクト対応管理部
４００は、オブジェクト管理部３００から問い合わせら
れたエントリーに対応するアクセス制御タグオブジェク
トがあれば、オブジェクト管理部３００に対してそのオ
ブジェクトの識別名を戻す。ここでは、オブジェクト識
別名Ｂが戻されたものとする。また、オブジェクト管理
部３００から問い合わせられたエントリーに対応するア
クセス制御タグオブジェクトがない場合には、何も記述
がされていない空のアクセス制御タグオブジェクトを戻
す。また、オブジェクト対応管理部４００は、管理する
エントリーの有効期限や使用フラグに基づいてエントリ
ーの削除等の管理をも行う。オブジェクト対応管理部４
００に格納されているタグ無しオブジェクトとアクセス
制御タグオブジェクトとの対応関係の詳細については後
述する。

【００４７】次に、アクセス制御部２００におけるアク
セス制御の判定を行う処理について詳細に説明する。オ
ブジェクト管理部３００から送られてきたアクセス制御
タグオブジェクトには、アクセス対象、アクセス主体、
アクセス種別、アクセスフラグ、アクセス許可条件が記
述されている。図５は、アクセス要求部１００から送ら
れたアクセス要求に対するアクセス判定アルゴリズムを
示す図である。図５において、まず、アクセス要求に応
じて取得された主体識別名Ａ、アクセス種別Ａ、アクセ
ス主体、アクセス種別、アクセスフラグ、アクセス許可
条件の各データがオブジェクト管理部３００から送られ
てくる(ステップ８０１)。次に、主体識別名Ａがアクセ
ス主体に含まれている規則を全て抽出する(ステップ８
０２)。ここで、規則がない場合はアクセス不許可とな
る(ステップ８０８)。主体識別名Ａがアクセス主体に含
まれているものがあれば、次の処理として、その中でさ
らにアクセス種別Ａがアクセス種別に含まれている規則
を全て抽出する(ステップ８０３)。ここで、規則がない
場合はアクセス不許可となる(ステップ８０８)。アクセ
ス種別Ａがアクセス種別に含まれているものがあれば、
次の処理として、その中でアクセス条件が満足されるも
のを全て抽出する(ステップ８０４)。ここで、規則がな
い場合はアクセス不許可となる(ステップ８０８)。アク
セス条件が満足されるものがあれば、次の処理として、
抽出された規則の中で最も優先度の高い規則を選択する
(ステップ８０５)。次に、選択された規則は一つあるい
は複数だが、アクセスフラグは全て同一であるかどうか
の判断を行う(ステップ８０６)。アクセスフラグが全て
同一でない場合には、アクセス不許可となる(ステップ
８０８)。アクセスフラグが全て同一であれば、次の処
理として、それらの規則においてアクセスフラグが許可
であるかどうかの判定を行う(ステップ８０７)。アクセ
スフラグが不許可であればアクセス不許可となる(ステ
ップ８０８)。ステップ８０７にて、アクセスフラグが
許可である場合にはアクセス許可となる(ステップ８０
９)。

【００４８】次に、タグ無しオブジェクトをアクセス制
御するためのオブジェクト管理部３００と、オブジェク
ト対応管理部４００における処理について説明する。オ
ブジェクト管理部３００に送られてきたタグオブジェク
トの中に、タグ無しオブジェクトの識別子が含まれてい
る場合に、オブジェクト管理部３００は、オブジェクト
対応管理部４００に対して新しくエントリーを生成する
ように要求する。これは、ＨＴＭＬファイル等のタグオ
ブジェクトに対するアクセスが行われ、その直後に当該
gifファイルやWordファイル等のタグ無しオブジェクト
に対するアクセスが発生した場合に対処するために行
う。本実施の形態では、タグ無しオブジェクトに対する
アクセス制御規則は当該タグ無しオブジェクトがポイン
トされているタグオブジェクト経由でアクセス制御を行
うことを前提とする。従って、タグオブジェクトに含ま
れるタグ無しオブジェクトと対応するアクセス制御規則
をオブジェクト対応管理部４００に送り、一時的に対応
表を作成するようにする。この表により、ＨＴＭＬファ
イル等のタグオブジェクトが読まれた直後の、gifファ
イル等のタグ無しオブジェクトの読込みアクセスを柔軟
な制御を行うことができる。

【００４９】オブジェクト対応管理部４００におけるオ
ブジェクト対応管理処理について説明する。オブジェク
ト対応管理部４００は、タグ無しオブジェクトとアクセ
ス制御規則の関係を一時的に保管するためのオブジェク
ト対応テーブルを管理する。図６はオブジェクト対応テ
ーブルの構成例を示す図である。図６を参照すると、オ
ブジェクト対応テーブルには、オブジェクト識別子、ア
クセス主体、アクセス種別、アクセス制御タグオブジェ
クト識別子、有効期限、履歴といったデータ項目とイン
ターフェイスの定義とを関係付けて構成される。オブジ
ェクト識別子は、タグ無しオブジェクトの識別子であ
り、例としてはgifファイル(.gif)等が挙げられる。ア
クセス制御タグオブジェクト識別子は、オブジェクト識
別子に対するアクセス制御規則であり、どの規則を使っ
たかが判るものである。これらのデータ項目の他に、各
エントリーの有効期限や使用履歴の示すフラグなどを設
定し、各エントリーの有効期限や使用履歴等の情報か
ら、有効期限の過ぎたエントリーの削除等を行い、オブ
ジェクト対応テーブルの管理を行う。

【００５０】アクセス処理部６００は、アクセス種別に
よって定められた必要処理をオブジェクトに対して実行
する。ここで、必要処理とは、アクセス処理部６００に
格納されているスクリプトプログラム、及びデフォルト
で提供されているプログラムによって構成されているも
のとする。また、このスクリプトプログラムは、引数と
してオブジェクト、アクセス種別、アクセス引数を使
う。スクリプトプログラムは、要求に応じた処理結果を
処理済みオブジェクトとして戻す機能を持つ。図７にア
クセス処理部６００における必要処理の例を示す。デフ
ォルトで提供されているプログラムは、新しくオブジェ
クトを生成する際にアクセス可能主体タグとアクセス制
御識別タグの値をセットするプログラムと、オブジェク
トを削除する際に中身のないヌルオブジェクトを作るプ
ログラムである。前者は、アクセス可能主体タグにアク
セス要求のアクセス主体識別名を、アクセス制御識別タ
グにアクセス制御タグオブジェクト識別子をセットする
プログラムである。

【００５１】またここで、オブジェクト管理部３００か
らアクセス制御部２００に対してタグオブジェクトが送
られた際、送られてきたアクセス制御タグオブジェクト
の中には、複数のアクセス制御規則が記述されている場
合が考えられる。あるいは、オブジェクト管理部３００
からは、複数のアクセス制御タグオブジェクトが送られ
てくる可能性がある。その場合、アクセス制御規則同士
で矛盾が発生する可能性がある。例えば、第一の規則
で、『AliceはDateタグの内容をReadできる』と書かれ
ているのに、第二の規則で、『AliceはDateタグの内容
をReadできない』と書かれているような場合である。そ
こで、本アルゴリズムは、規則間の優先順位に基づいた
矛盾解決方法を用いる。各規則に優先順位を設定し、常
に優先順位の高いアクセス制御規則が適用されることと
する。この場合、規則群の全ての規則に対して各々異な
る優先度を割り当てれば、必ず矛盾しない結果が得られ
ることは明らかである。

【００５２】図９に社員データに対するアクセス制御規
則の例を示す。ここで、ＩＤ＝１の規則は、『人事課長
は社員の給料フィールドを変更できる』ことを示し、Ｉ
Ｄ＝２の規則は、『社員の役職がない場合、人事課長は
社員の給料フィールドを変更できない』ことを示してい
る。このような場合、ＩＤ＝１の規則から『変更可
能』、ＩＤ＝２の規則から『変更不能』といったよう
に、ＩＤ＝１とＩＤ＝２の規則は変更権限に関して矛盾
した結果を出力する可能性がある。本実施の形態では、
各規則に付けた優先度に基づいて、矛盾解消を行う。図
９に示すように、規則１には優先度２(ＰＲ＝２)、規則
２には優先度１(ＰＲ＝１)を属性として設定した。つま
り、『変更不能』と設定した規則の優先度の方が、『変
更可能』と設定した規則の優先度よりも高いので、『変
更不能』という結果が得られることになる。このよう
に、権限に矛盾が発生した場合でも、優先度から規則を
判定することができる。

【００５３】次に、既に存在するタグオブジェクトに対
する変更動作をどのようにアクセス制御するかを具体的
な例を用いて更に詳しく説明する。オブジェクト内のデ
ータに対する変更動作は変更、あるいは追加というアク
セス種別で表現する。ここで変更とは、タグオブジェク
ト内のタグ構造を変更することを意味する。追加とは、
タグオブジェクト内に新しく子供のタグ構造を追加する
ことを意味する。

【００５４】図１０は、データ及びアクセス制御規則の
初期状態を表している。図１０において、各タグオブジ
ェクトに付されたオブジェクト１、オブジェクト２、オ
ブジェクト３は、オブジェクト識別名である。オブジェ
クト識別名がオブジェクト１であるオブジェクトは、Al
iceという社員の給料に関する内容の情報を持つタグオ
ブジェクトである。また、オブジェクト識別名がオブジ
ェクト２であるオブジェクトは、タグオブジェクトに対
するアクセス制御規則群を表すアクセス制御タグオブジ
ェクトである。さらに、オブジェクト識別名がオブジェ
クト３であるオブジェクトは、アクセス制御タグオブジ
ェクトに対するアクセス制御規則を表すアクセス制御タ
グオブジェクトである。オブジェクト３には、アクセス
可能主体に相当する変更可能者が指定されている、ま
た、同図において、太い矢印はアクセス制御識別名タグ
の値を示しており、自オブジェクトに対するアクセス制
御規則を記述するオブジェクトを指している。細い矢印
はアクセス制御を行うことのできる対象範囲を示してい
る。

【００５５】次に、タグオブジェクトに対してアクセス
制御を行う場合の動作を説明する。図１１は、図１０に
示した関係のオブジェクト群において、タグオブジェク
トにデータを追加する様子を説明する図である。図１１
の例では、アクセス要求部１００から、オブジェクト識
別名Ａが『オブジェクト１』、主体識別名Ａが『人事課
長』、アクセス種別Ａが『追加』、アクセス引数Ａが
『<社員><名前>Bob</名前><給料>２０万</給料></社員
>』というアクセス要求があったものとする。アクセス
制御部２００は、受け取ったアクセス要求の中からオブ
ジェクト識別名Ａであるオブジェクト１を取り出し、オ
ブジェクト管理部３００に送る。

【００５６】オブジェクト管理部３００は、オブジェク
ト格納部５００からオブジェクト識別名Ａに相当するオ
ブジェクト１を取り出す。取り出されたオブジェクト１
であるタグオブジェクトから、当該タグオブジェクトの
アクセス制御識別名タグで示されるアクセス制御タグオ
ブジェクトの識別名を取り出す。ここで取り出される識
別名にて特定されるアクセス制御タグオブジェクトは、
当該オブジェクト１であるタグオブジェクトに対するア
クセス制御規則を規定する。ここでは、太い矢印で示さ
れるオブジェクト２である。オブジェクト管理部３００
は、オブジェクト格納部５００からオブジェクト２を取
り出す。アクセス制御部２００は、データを表すオブジ
ェクト１とアクセス制御規則を表すオブジェクト２とを
受け取り、アクセス要求部１００からのアクセス引数Ａ
とともに、アクセス処理部６００へ送る。

【００５７】アクセス処理部６００は、オブジェクト２
が人事課長によってオブジェクト１に対するアクセス引
数Ａを追加することを許可しているかどうかを検証す
る。そして、規則１が社員データに対して人事課長がデ
ータを追加することができることが書かれている規則で
あることを確認し、追加処理を行う。これにより、アク
セス要求部１００からアクセス引数Ａとしてアクセス要
求があった、社員データであるオブジェクト１対するBo
bの社員エントリーの追加がなされる。更新されたオブ
ジェクト１は、オブジェクトＲとしてアクセス制御部２
００に送られる。

【００５８】アクセス制御部２００は、アクセス種別に
応じて、更新されたオブジェクト１であるオブジェクト
Ｒをアクセス要求部１００に送り返すか、オブジェクト
管理部３００に送るかを決定する。オブジェクトＲの送
り先は、例えば上述した図８に示すような対応テーブル
により、アクセス処理部６００にて行われた処理の内容
に基づいて決定される。ここでは、アクセス種別が追加
の場合に、作成されたオブジェクトＲをオブジェクト管
理部３００に送るという規則があるものとし、社員エン
トリーの追加がなされたオブジェクト１であるオブジェ
クトＲをオブジェクト管理部３００に送る。オブジェク
ト管理部３００は、アクセス制御部２００から受け取っ
たオブジェクトＲをオブジェクト格納部５００に送り、
格納する。最後に、アクセス制御部２００は、アクセス
判定結果をアクセス要求部１００に送り、アクセス要求
に対する処理を終了する。

【００５９】次に、アクセス制御規則に対してアクセス
制御を行う場合の動作を説明する。図１２は、図１１の
状態にあるオブジェクト群において、アクセス制御タグ
オブジェクトにアクセス制御規則を追加する様子を説明
する図である。図１２の例では、アクセス要求部１００
から、オブジェクト識別名Ａが『オブジェクト２』、主
体識別名Ａが『人事部長』、アクセス種別Ａが『追
加』、アクセス引数Ａが『<規則>[名前、監査課、読み]
</規則>』というアクセス要求があったものとする。こ
こで、『[名前、監査課、読み]』の各部分はそれぞれ、
『名前』がアクセス対象タグ、『監査課』がアクセス主
体タグ、『読み』がアクセス種別タグを表現しているも
のとする。アクセスフラグタグには許可、アクセス条件
タグには真が指定されていると仮定する。アクセス制御
部２００は、受け取ったアクセス要求の中からオブジェ
クト識別名Ａであるオブジェクト２を取り出し、オブジ
ェクト管理部３００に送る。

【００６０】オブジェクト管理部３００は、オブジェク
ト格納部５００からオブジェクト識別名Ａに相当するオ
ブジェクト２を取り出す。取り出されたオブジェクト２
であるアクセス制御タグオブジェクトから、アクセス制
御識別タグで示されるアクセス制御タグオブジェクトの
識別名を取り出す。個々で取り出される識別名にて特定
されるアクセス制御タグオブジェクトは、当該オブジェ
クト２であるアクセス制御タグオブジェクトに対するア
クセス制御規則を規定する。ここでは、太い矢印で示さ
れるオブジェクト３である。オブジェクト管理部３００
は、オブジェクト格納部５００からオブジェクト３を取
り出す。アクセス制御部２００は、アクセス制御規則を
表すオブジェクト２とアクセス制御規則に対するアクセ
ス制御規則を表すオブジェクト３とを受け取り、アクセ
ス要求部１００からのアクセス引数Ａとともに、アクセ
ス処理部６００へ送る。

【００６１】アクセス処理部６００は、オブジェクト３
が人事部長によってオブジェクト２に対するアクセス引
数Ａを追加することを許可しているかどうかを検証す
る。そして、管理１がオブジェクト２のアクセス制御規
則の規則群に対して新たなアクセス制御規則を追加する
ことができるということが書かれている規則であるとい
うことを確認し、追加処理を行う。これにより、アクセ
ス要求部１００からアクセス引数Ａとしてアクセス要求
があった、オブジェクト２に対する規則３のエントリー
の追加がなされる。更新されたオブジェクト２は、オブ
ジェクトＲとしてアクセス制御部２００に送られる。

【００６２】アクセス制御部２００は、アクセス種別に
応じて、更新されたオブジェクト２であるオブジェクト
Ｒをアクセス要求部１００に送り返すか、オブジェクト
管理部３００に送るかを決定する。上述したように、ア
クセス種別が追加の場合には、作成されたオブジェクト
Ｒをオブジェクト管理部３００に送るという規則がある
ものとし、規則３のエントリーの追加がなされたオブジ
ェクト２であるオブジェクトＲをオブジェクト管理部３
００に送る。オブジェクト管理部３００は、アクセス制
御部２００から受け取ったオブジェクトＲをオブジェク
ト格納部５００に送り、格納する。最後に、アクセス制
御部２００は、アクセス判定結果をアクセス要求部１０
０に送り、アクセス要求に対する処理を終了する。

【００６３】以上のプロセスで示したように、データに
対するアクセス制御と、アクセス制御規則に対するアク
セス制御規則を同一に扱うことができる。なお、全ての
タグオブジェクトの上位に存在するアクセス制御タグオ
ブジェクトには、必ずアクセス可能主体が書かれている
ものとする。すなわち、本実施の形態によるアクセス制
御システムにおいても、全てのオブジェクトに対する権
限を持つユーザが設定されることになる。ただし、上記
のようにアクセス制御規則を多重化し、柔軟に設定でき
るため、特定のアクセス制御規則に対するアクセス権限
の一部のみを特定のユーザに与えようとする場合にも、
そのようなアクセス制御規則をアクセス制御タグオブジ
ェクトの形式で設定すれば良く、当該権限を与えようと
するユーザをアクセス可能主体に加える必要はない。図
１０乃至図１２に示した例では、最上位のアクセス制御
タグオブジェクトとしては、オブジェクト３が該当し、
アクセス可能主体（図では変更可能者と記載）として
は、人事システム担当者が記述されている。

【００６４】次に、タグオブジェクトの生成、削除の制
御について、具体的な例を用いて説明する。タグオブジ
ェクトの生成処理は生成というアクセス種別で表現し、
削除処理は削除というアクセス種別で表現する。図１３
に初期状態を示す。図１３においてオブジェクト１、オ
ブジェクト２はオブジェクト識別名を表す。オブジェク
ト１は社員情報を表現するタグオブジェクトであり、オ
ブジェクト２はオブジェクト１へのアクセスを制御する
アクセス制御タグオブジェクトである。オブジェクト２
には、アクセス主体が『正社員』グループならば社員情
報タグの下位に新しくタグを生成できるという規則と、
オブジェクト２の生成者は、社員情報タグの中に書かれ
た要素内容を削除できるという規則を表す。ここでい
う、削除とはタグの削除、またはタグも含めたオブジェ
クトの構成要素全体の削除のどちらかを意味することに
なる。

【００６５】まず、タグオブジェクトの生成を要求する
アクセス制御要求について詳しく説明する。図１４は、
図１３の状態から新規のタグオブジェクト（オブジェク
ト識別名がオブジェクト３）を生成する様子を説明する
図である。アクセス要求部１００から、オブジェクト識
別名Ａが『オブジェクト１』、主体識別名が正社員フル
ープに含まれる『鈴木』、アクセス種別Ａが『生成』、
アクセス引数Ａが『<情報><PDA>WorkPad</PDA></情報
>』というアクセス要求があったものとする。これに応
じて、アクセス制御部２００は、アクセス要求からオブ
ジェクト識別名Ａである『オブジェクト１』を取り出
し、オブジェクト管理部３００に送る。

【００６６】オブジェクト管理部３００は、オブジェク
ト格納部５００からオブジェクト１を取り出す。オブジ
ェクト管理部３００はオブジェクト１のアクセス制御識
別名タグがオブジェクト２をポイントしているので、オ
ブジェクト格納部５００からオブジェクト識別名Ａに相
当するオブジェクト２を取り出す。そして、取り出した
オブジェクト１及びオブジェクト２をアクセス制御部２
００へ送る。

【００６７】アクセス制御部２００は、オブジェクト管
理部３００からオブジェクト１及びオブジェクト２を受
け取り、図５に示したアクセス判定アルゴリズムを実行
し、アクセス許可であることがわかる。したがって、ア
クセス制御部２００は、アクセス要求部１００からのア
クセス引数Ａと共に、オブジェクト１及びオブジェクト
２をアクセス処理部６００へ送る。

【００６８】アクセス処理部６００には、図１５に示す
処理スクリプトプログラムが設けられているものとす
る。図１５のタグオブジェクト生成プログラム及びデフ
ォルトのプログラムにより、新しいオブジェクト３が生
成され、処理済みオブジェクトとしてアクセス制御部２
００に送られる。ここで、オブジェクト３は、自オブジ
ェクトを生成したアクセス制御規則であるオブジェクト
２をアクセス制御識別タグの値として持つ。アクセス可
能主体の解釈としては、次のようなアクセス制御規則
（アクセス制御タグオブジェクト）が存在し、それはア
クセス制御識別タグで指定されたオブジェクトより低い
優先度を持っていると考えることができる。 <規則> [*、アクセス可能主体名、*] </規則> このアクセス制御タグオブジェクトは、該当オブジェク
トにアクセス制御識別の値がセットされていない場合
は、全ての権限を初期状態で持つものとする。

【００６９】また、図１６に示すように、アクセス種別
が生成の場合には、処理済みのオブジェクトの送り先と
してオブジェクト格納部５００が設定されているものと
する。従って、アクセス制御部２００は、生成されたオ
ブジェクト３をオブジェクト管理部３００に送る。オブ
ジェクト管理部３００は、アクセス制御部２００から受
け取ったオブジェクト３をオブジェクト格納部５００に
送る。オブジェクト格納部５００は、オブジェクト３を
オブジェクト１の社員情報タグの下位に位置するオブジ
ェクトとして蓄える。

【００７０】次に、タグオブジェクトの削除を要求する
アクセス制御要求を考える。図１４の状態で、アクセス
要求部１００から、オブジェクト識別名Ａが『オブジェ
クト３』、主体識別名Ａが『鈴木』、アクセス種別Ａが
『削除』というアクセス要求があったものとする。これ
に応じて、アクセス制御部２００は、アクセス要求から
オブジェクト識別名Ａである『オブジェクト３』を取り
出し、オブジェクト管理部３００に送る。

【００７１】オブジェクト管理部３００は、オブジェク
ト格納部５００からオブジェクト３を取り出す。オブジ
ェクト管理部３００は、オブジェクト３のアクセス制御
識別名タグが、オブジェクト２をポイントしているの
で、オブジェクト格納部５００からオブジェクト２を取
り出す。

【００７２】アクセス制御部２００は、オブジェクト管
理部３００からオブジェクト２及びオブジェクト３を受
け取り、図５に示したアクセス判定アルゴリズムを実行
し、アクセス許可であることがわかる。アクセス制御部
２００は、アクセス要求部１００からの各アクセス引数
とともに、アクセス処理部６００へ送る。

【００７３】アクセス処理部６００では、空のオブジェ
クト（Ｎｕｌｌオブジェクト）を生成し、処理済みオブ
ジェクトとする。ここで、図１７に示すように、アクセ
ス種別が削除の場合には、処理済みのオブジェクトの送
り先としてオブジェクト格納部５００が設定されている
ものとする。従って、アクセス処理部２００は、処理済
みのタグオブジェクトＲ（すなわちＮｕｌｌオブジェク
ト）をオブジェクト格納部５００に送る。オブジェクト
格納部５００では、送られてきたＮｕｌｌオブジェクト
によって相当するオブジェクト３を上書きし、結果とし
てオブジェクト３はオブジェクト格納部５００から削除
される。このようにして、オブジェクト３が削除された
状態を図１８に示す。

【００７４】次に、本実施の形態の適用例として、ＷＥ
Ｂサーバ上に保管されたＸＭＬファイルに対してアクセ
ス制御を行う場合の動作例を説明する。図１９は、本実
施の形態によるアクセス制御システムを導入したＷＥＢ
サーバシステムの構成例を示す図である。図１９に示す
例では、ＷＥＢサーバ１０００上にオブジェクトとして
置かれた複数のＸＭＬファイルに対するアクセス要求を
受け付け、当該アクセス要求に対してアクセス制御を行
い、その結果をアクセス要求の発信元であるＷＥＢブラ
ウザ２０００にＨＴＭＬ形式のファイルとして提供する
サービスを行うものとする。

【００７５】同図において、ＷＥＢブラウザ２０００
は、図１におけるアクセス要求部１００に相当する。す
なわち、ＸＭＬデータに対するアクセス要求を発行す
る。特に、本実施の形態では、ＷＥＢブラウザ２０００
からのアクセス要求として、アクセス主体を示すユーザ
識別名、アクセス対象を示すＸＭＬファイル名、及びア
クセス種別名を送る。

【００７６】ＷＥＢサーバ１０００において、送受信部
１１００は、ＷＥＢブラウザ２０００から送られたアク
セス要求を受け付け、ＸＭＬ−ＨＴＭＬ変換部１２００
に送る。また、ＸＭＬ−ＨＴＭＬ変換部１２００から送
られたＨＴＭＬファイルをＷＥＢブラウザ２０００に送
る。ＸＭＬ−ＨＴＭＬ変換部１２００は、送受信部１１
００から送られてきたアクセス要求をアクセス制御部１
３００に送る。また、アクセス制御部１３００から送ら
れてきたＸＭＬファイルをＷＥＢブラウザ２０００に返
す為に、ＨＴＭＬファイルに変換し、送受信部１１００
に送る。アクセス制御部１３００は、図１におけるアク
セス制御部２００、オブジェクト管理部３００、オブジ
ェクト対応管理部４００、アクセス処理部６００に相当
する。すなわち、アクセス要求として送られてきた各ア
クセス引数に基づいて、アクセスの可否を判定し、アク
セス対象であるＸＭＬファイル名を確定し、ＸＭＬデー
タ格納部１４００から取得する。また、ＸＭＬデータ格
納部１４００から取得したＸＭＬファイルをＸＭＬ−Ｈ
ＴＭＬ変換部１２００に送る。ＸＭＬデータ格納部１４
００は、図１におけるオブジェクト格納部５００に相当
する。すなわち、オブジェクトであるＸＭＬファイルを
格納する。格納されているＸＭＬファイルには内容が一
般のデータであるものと、アクセス制御規則であるもの
とがある。

【００７７】図２０は、ＸＭＬデータ格納部１４００に
格納されているＸＭＬファイルの構成例を示す図であ
る。図２０を参照すると、オブジェクト識別名が、X00
1.xmlであるタグオブジェクトは、『社員番号１１２２
３３のAliceという名前の社員の給料は１０００００円
である』という社員オブジェクトについて定義してい
る。Policy.xmlは、社員オブジェクトに対するアクセス
制御規則（アクセス制御タグオブジェクト）であり、
『人事課員は、社員オブジェクトを読み込みできる』こ
とを定義している。Admin.xmlは、社員オブジェクトに
対するアクセス制御規則であるPolicy.xmlへのアクセス
制御規則（アクセス制御タグオブジェクト）であり、
『人事課マネージャーは、社員オブジェクトに対するア
クセス制御を変更できる』ことを定義している。また、
Admin.xmlに記載されたアクセス制御主体は、このアク
セス制御タグオブジェクトAdmin.xml自体は、アクセス
可能主体である人事システム管理者がアクセス権限を持
ち、変更できることを意味する。

【００７８】以上のように、オブジェクト識別名がPoli
cy.xmlのオブジェクトは、オブジェクト識別名がX001.x
mlというデータオブジェクトに対するアクセス制御規則
である。また、オブジェクト識別名がAdmin.xmlのオブ
ジェクトは、オブジェクト識別名がPolicy.xmlというア
クセス制御規則に対するアクセス制御規則である。これ
ら、Policy.xmlとAdmin.xmlの記述形式には、全く違い
がない。このように、本実施の形態によれば、データオ
ブジェクトの定義に対するアクセス制御規則と、アクセ
ス制御規則に対するアクセス制御規則とを区別すること
なく、オブジェクト間の関係だけから決定できる。

【００７９】これらのアクセス制御タグオブジェクトが
用意されている状態で、例えば、ＷＥＢブラウザ２００
０から、『人事課員の高橋は社員ファイルを読込みでき
るか』という質問のアクセス要求があったとする。ここ
で、アクセス主体は人事課員であるので、この質問に対
して、アクセス判定結果としてのアクセスフラグは『許
可』である。オブジェクトとしてＸＭＬデータ格納部１
４００に格納されている社員ファイルであるX001.xmlが
ＨＴＭＬファイルに変換されてＷＥＢブラウザ２０００
に戻される。

【００８０】また、別の例として、ＷＥＢブラウザ２０
００から、『監査課マネージャーの山本は社員ファイル
に対するアクセス制御記述を書き換えられるか』という
質問のアクセス要求があったとする。ここで、アクセス
主体は監査課マネージャーであるので、この質問に対し
て、アクセス判定結果として『不許可』がＷＥＢブラウ
ザ２０００に戻される。

【００８１】次に、『人事課マネージャーは社員オブジ
ェクトへのアクセス制御規則を変更できる』という規則
があったとする。このアクセス制御規則に対して、『監
査課マネージャーは社員オブジェクトへのアクセス制御
規則の中で、アクセスフラグの部分を変更できる』とい
う規則を追加したとする。これは、監査課マネージャー
に対して、社員オブジェクトへのアクセス制御規則の一
部の権限を委譲したことを意味する。

【００８２】図２１は、図２０の状態から新たなアクセ
ス制御タグオブジェクトであるＸＭＬファイルを追加し
た状態を示す図である。図２１において、オブジェクト
識別名がPolicy.xmlのオブジェクトは、アクセス制御識
別名として、Admin1.xmlとAdmin2.xmlを持つアクセス制
御規則であり、『人事課員は社員オブジェクトの読込み
ができる』ことを意味する。オブジェクト識別名がAdmi
n1.xmlであるタグオブジェクトは、Policy.xmlに対する
アクセス制御規則であり、アクセス可能主体は人事シス
テム管理者である。これは、『監査課マネージャーは、
アクセスフラグに対して変更ができる』ことを意味す
る。オブジェクト識別名がAdmin2.xmlであるタグオブジ
ェクトは、Policy.xmlに対するアクセス制御規則であ
り、アクセス可能主体は人事システム管理者である。こ
れは、『人事課マネージャーは、アクセス制御に対して
変更ができる』ことを意味する。

【００８３】上述したようなアクセス制御規則への変更
が発生した後に、ＷＥＢブラウザ２０００から、『監査
課マネージャーの山本は社員ファイルに対するアクセス
制御記述を書き換えられるか』という質問のアクセス要
求があった場合、アクセス判定結果として『許可』がＷ
ＥＢブラウザ２０００に戻され、アクセス制御規則が記
述されたファイルであるAdmin1.xmlがＨＴＭＬ形式に変
換されてＷＥＢブラウザ２０００に戻される。

【００８４】図２２は、社員オブジェクトX001.xmlと、
社員オブジェクトに対するアクセス制御規則であるPoli
cy.xml、また、アクセス制御規則Policy.xmlに対するア
クセス制御規則であるAdmPolicy1.xml及びAdmPolicy2.x
mlの各タグオブジェクト間の関係を示す図である。図２
２を参照すると、X001.xmlに対するアクセス制御規則が
Policy.xmlであり、Policy.xmlに対するアクセス制御規
則がAdmPolicy1.xml及びAdmpolicy2.xmlとなっている。
また、データオブジェクトであるX001.xmlに対するアク
セス制御規則Policy.xmlの記述形式と、アクセス制御規
則であるPolicy.xmlに対するアクセス制御規則AdmPolic
y1.xml及びAdmPolicy2.xmlの記述形式との間には、違い
がないことがわかる。

【００８５】このように、従来のアクセス制御において
は、『アクセス制御規則を変更できる人は、システム管
理者のみ』というような単純な規則があり、この規則は
変更できなかった。これに対し、本実施の形態によれ
ば、データオブジェクトに対するアクセス制御規則と同
じ記述形式でアクセス制御規則を記述することにより、
データオブジェクトに対するアクセス制御規則と、アク
セス制御規則に対するアクセス制御規則を区別すること
なく扱うことができる。アクセス制御規則がデータオブ
ジェクトに対するものか、他のアクセス制御規則に対す
るものかは、各オブジェクト間の関係だけから決定でき
る。また、データオブジェクトに対するアクセス制御規
則の記述を追加、変更、削除する場合と同様に、アクセ
ス制御規則に対するアクセス制御規則の記述も柔軟に追
加、変更、削除することが可能である。

【００８６】次に、本実施の形態における他の適用例と
して、ＷＥＢサーバ間でＸＭＬファイルをやりとりする
場合の動作例を説明する。図２３は、本実施の形態によ
るアクセス制御システムを導入したＷＥＢサーバと他の
ＷＥＢサーバとの関係を示す図である。図２３に示す例
では、ＷＥＢサーバ３０００上に置かれたＸＭＬで記述
された電子注文文書の取得を要求するアクセス要求を他
のＷＥＢサーバ４０００から受け付け、当該アクセス要
求に対してアクセス制御を行い、その結果をアクセス要
求の発信元であるＷＥＢサーバ４０００にＸＭＬ形式の
ファイルとして提供するサービスを行うものとする。

【００８７】同図において、ＷＥＢサーバ４０００は、
図１におけるアクセス要求部１００に相当する。すなわ
ち、ＷＥＢサーバ３０００に対するアクセス要求とし
て、ユーザ識別名、ＸＭＬファイル名、アクセス種別名
を送る。

【００８８】ＷＥＢサーバ３０００において、送受信部
３１００は、ＷＥＢサーバ４０００から送られたアクセ
ス要求を受け取り、アクセス制御部３２００に送る。ま
た、アクセス制御部３２００から送られたＸＭＬデータ
をＷＥＢサーバ４０００に送る。

【００８９】アクセス制御部３２００は、図１における
アクセス制御部２００、オブジェクト管理部３００、オ
ブジェクト対応管理部４００、アクセス処理部６００に
相当する。すなわち、送受信部３１００からアクセス要
求として送られてきた各アクセス引数に基づいて、アク
セスの可否を判定し、アクセス対象であるＸＭＬファイ
ル名を確定し、ＸＭＬデータ格納部３３００から取得す
る。また、取得したＸＭＬファイルに対するアクセス制
御規則をアクセス制御規則格納部３４００から取得す
る。アクセス制御部３２００にて取得されたＸＭＬデー
タは、アクセス制御を経た後、送受信部３１００を介し
てＷＥＢサーバ４０００に送られる。

【００９０】ＸＭＬデータ格納部３３００及びアクセス
制御規則格納部３４００は、図１におけるオブジェクト
格納部５００に相当する。すなわち、アクセス対象であ
るオブジェクトを格納する。ＸＭＬデータ格納部３３０
０は、データオブジェクトのみを格納しており、アクセ
ス制御規則は格納していない。アクセス制御規則格納部
３４００は、ＸＭＬデータ格納部３３００に格納されて
いるデータオブジェクトに対するアクセス制御規則や、
アクセス制御規則格納部３４００に格納されている他の
アクセス制御規則に対するアクセス制御規則を格納して
いる。

【００９１】ここでは、図１９乃至図２２を参照して説
明した例とは違い、アクセス対象であるオブジェクトを
データオブジェクトとアクセス制御規則（アクセス制御
タグオブジェクト）とに分け、ＸＭＬデータ格納部３３
００とアクセス制御規則格納部３４００とにそれぞれ格
納している。これにより、物理的に高度なセキュリティ
を施されたアクセス制御規則格納部３４００にのみアク
セス制御規則を格納するなどのような、柔軟なアクセス
制御記述管理が可能となる。また、ＸＭＬデータ格納部
３３００とアクセス制御規則格納部３４００とを分けた
ことにより、アクセス制御規則は、タグ付きオブジェク
トの形式で記述されていれば良く、特に、ＸＭＬで記述
される必要は無くなる。例えばバイナリー形式のタグ付
きオブジェクトとして記述すれば、より高速なアクセス
制御処理を実現することもできる。

【００９２】

【発明の効果】以上説明したように、本発明によれば、
データに対するアクセス制御規則と、アクセス制御規則
に対するアクセス制御規則とを区別することなく扱うこ
とができるため、アクセス制御規則に対するアクセス制
御についても、データに対するアクセス制御と同様の柔
軟な制御を行うことができるアクセス制御システムを提
供することができる。これにより、ユーザに対して、ア
クセス制御規則に対する権限の任意の一部を与えるよう
なアクセス制御を容易に行うことが可能となる。また、
アクセス制御規則の追加、変更、削除等を容易に行うこ
とが可能となる。

【図面の簡単な説明】

【図１】 本実施の形態における、アクセス制御システ
ムの全体構成を説明するブロック図である。

【図２】 本実施の形態における、動作アルゴリズムの
全体概要を表す図である。

【図３】 本実施の形態における、アクセス対象となる
オブジェクトのデータ構造を示す図である。

【図４】 本実施の形態における、構成要素間のインタ
ーフェイスの定義を説明する図である。

【図５】 本実施の形態における、アクセス要求に対す
るアクセス判定アルゴリズムを示す図である。

【図６】 本実施の形態における、オブジェクト対応テ
ーブルの構成例を示す図である。

【図７】 本実施の形態における、アクセス処理部によ
る処理であるアクセス種別と処理スクリプトプログラム
との関係を示す図である。

【図８】 本実施の形態における、アクセス処理部によ
り処理を施されたオブジェクトの送り先を定めた規則の
一例を示す図である。

【図９】 本実施の形態における、タグオブジェクトと
アクセス制御タグオブジェクトの例を示す図である。

【図１０】 本実施の形態における、アクセス制御の動
作を説明する図であり、データの初期状態の例を示す図
である。

【図１１】 図１０に示した関係のオブジェクト群にお
いて、タグオブジェクトにデータを追加する様子を説明
する図である。

【図１２】 図１１の状態にあるオブジェクト群におい
て、アクセス制御タグオブジェクトにアクセス制御規則
を追加する様子を説明する図である。

【図１３】 本実施の形態における、アクセス制御のう
ちタグオブジェクトの生成及び削除の動作を説明する図
であり、データの初期状態の例を示す図である。

【図１４】 図１３の状態から新規のタグオブジェクト
を生成した様子を説明する図である。

【図１５】 本実施の形態における、アクセス種別と処
理スクリプトプログラム名の関係の一例を示す図であ
る。

【図１６】 本実施の形態における、アクセス処理部に
より生成されたオブジェクトの送り先を定めた規則の一
例を示す図である。

【図１７】 本実施の形態における、アクセス処理部に
より削除されたオブジェクト（Ｎｕｌｌオブジェクト）
の送り先を定めた規則の一例を示す図である。

【図１８】 図１４の状態からタグオブジェクトを削除
した様子を説明する図である。

【図１９】 本実施の形態の適用例として、本実施の形
態によるアクセス制御システムを導入したＷＥＢサーバ
システムの構成例を示す図である。

【図２０】 図１９の適用例における、ＸＭＬデータ格
納部に格納されているＸＭＬファイルの構成例を示す図
である。

【図２１】 図２０の状態から新たなアクセス制御タグ
オブジェクトであるＸＭＬファイルを追加した状態を示
す図である。

【図２２】 図２０及び図２１に示した各オブジェクト
の相互関係を示す図である。

【図２３】 本実施の形態の他の適用例として、本実施
の形態によるアクセス制御システムを導入したＷＥＢサ
ーバと他のＷＥＢサーバとの関係を示す図である。

【符号の説明】

１００…アクセス要求部、２００…アクセス制御部、３
００…オブジェクト管理部、４００…オブジェクト対応
管理部、５００…オブジェクト格納部、６００…アクセ
ス処理部、１０００、３０００、４０００…ＷＥＢサー
バ、１１００、３１００…送受信部、１２００…ＸＭＬ
−ＨＴＭＬ変換部、１３００、３２００…アクセス制御
部、１４００、３３００…ＸＭＬデータ格納部、３４０
０…アクセス制御規則格納部、２０００…ＷＥＢブラウ
ザ

フロントページの続き (72)発明者 工藤 道治 神奈川県大和市下鶴間1623番地14 日本ア イ・ビー・エム株式会社 東京基礎研究所 内 (72)発明者 天野 富夫 神奈川県大和市下鶴間1623番地14 日本ア イ・ビー・エム株式会社 東京基礎研究所 内 Ｆターム(参考） 5B017 AA01 BA06 BB06 CA16 5B045 BB28 BB48 DD15 GG09 HH02 5B082 GA11

Claims (21)

【特許請求の範囲】
1. 【請求項１】 情報資源であるオブジェクトへのアクセ
   ス要求に対するアクセス制御を行うアクセス制御システ
   ムにおいて、 アクセス要求に応じて、前記オブジェクトに対するアク
   セスの可否を、当該オブジェクトに対するアクセス権限
   を規定したアクセス制御規則に基づいて判断するアクセ
   ス要求判断部と、 前記オブジェクトに対するアクセス制御規則をオブジェ
   クトとして格納したオブジェクト格納部とを備え、 前記アクセス要求判断部は、アクセス制御規則を対象と
   するアクセス要求に応じて、当該アクセス制御規則に対
   するアクセスの可否を判断することを特徴とするアクセ
   ス制御システム。
2. 【請求項２】 前記アクセス要求判断部は、 前記アクセス制御規則を含む所定の前記オブジェクトを
   対象とするアクセス要求に応じて、前記オブジェクト格
   納部から、当該アクセス要求の対象である前記オブジェ
   クトと当該オブジェクトに対する前記アクセス制御規則
   とを取得し、 取得した前記アクセス制御規則に基づいて前記オブジェ
   クトに対するアクセスの可否を判断する、請求項１に記
   載のアクセス制御システム。
3. 【請求項３】 前記オブジェクト格納部にオブジェクト
   として格納されるアクセス制御規則は、アクセス制御規
   則に対するアクセス権限を規定したアクセス制御規則で
   ある場合を含む、請求項１に記載のアクセス制御システ
   ム。
4. 【請求項４】 アクセス要求の対象である前記オブジェ
   クトと当該オブジェクトに対する前記アクセス制御規則
   との相互関係を管理するオブジェクト対応管理部をさら
   に備えた、請求項１に記載のアクセス制御システム。
5. 【請求項５】 所定の情報資源へのアクセス要求に対す
   るアクセス制御を行うアクセス制御システムにおいて、 前記情報資源へのアクセス権限を規定したアクセス制御
   規則と、当該アクセス制御規則と共通の書式で記述さ
   れ、当該アクセス制御規則に対するアクセス権限を規定
   した上位制御規則とを格納した格納手段と、 前記アクセス制御規則を対象とするアクセス要求に応じ
   て、当該アクセス制御規則に対するアクセスの可否を、
   前記上位制御規則に基づいて判断する判断手段とを備
   え、 前記格納手段に格納された前記アクセス制御規則は他の
   アクセス制御規則に対する前記上位制御規則である場合
   を含むことを特徴とするアクセス制御システム。
6. 【請求項６】 前記格納手段に格納された前記アクセス
   制御規則は、前記上位制御規則を指し示す指示情報を付
   した指示情報付きオブジェクトとして記述される、請求
   項５に記載のアクセス制御システム。
7. 【請求項７】 前記判断手段によりアクセスを許可され
   たアクセス要求に応じて、前記アクセス制御規則及び前
   記上位制御規則を生成し、変更し、または削除する処理
   手段をさらに備えた、請求項５に記載のアクセス制御シ
   ステム。
8. 【請求項８】 前記上位制御規則は、前記アクセス制御
   規則に対するアクセス権限の一部を特定の主体に対して
   認めることを規定した規則である、請求項５に記載のア
   クセス制御システム。
9. 【請求項９】 データの構成要素に対する制御情報を示
   すタグを付されたタグ付きオブジェクトを対象とし、当
   該タグ付きオブジェクトへのアクセス要求に対するアク
   セス制御を行うアクセス制御システムにおいて、 前記タグ付きオブジェクトへのアクセス権限を規定する
   アクセス制御規則を格納したアクセス制御規則格納手段
   と、 アクセス要求に応じて、当該アクセス要求の対象である
   前記タグ付きオブジェクトに対するアクセスの可否を、
   前記アクセス制御規則に基づいて判断するアクセス要求
   判断手段とを備え、 前記アクセス制御規則格納手段に格納された前記アクセ
   ス制御規則は、規則の構成要素に対する制御情報を示す
   タグを付されたタグ付きオブジェクトとして記述され、 前記アクセス要求判断手段は、前記アクセス制御規則を
   対象とするアクセス要求に応じて、タグ付きオブジェク
   トである当該アクセス制御規則に対するアクセスの可否
   を判断することを特徴とするアクセス制御システム。
10. 【請求項１０】 タグ付きオブジェクトとして記述され
    たタグ付きデータオブジェクトと前記タグを持たないタ
    グ無しデータオブジェクトとを格納したデータオブジェ
    クト格納手段をさらに備え、 前記アクセス要求判断手段は、前記アクセス制御規則、
    前記タグ付きデータオブジェクト、前記タグ無しデータ
    オブジェクトのいずれかに対するアクセスの可否を判断
    する、請求項９に記載のアクセス制御システム。
11. 【請求項１１】 前記タグ付きデータオブジェクトに対
    するアクセス要求が行われた場合に、当該タグ付きデー
    タオブジェクトに対するアクセス制御規則に関する情報
    を保持する管理手段をさらに備え、 前記アクセス要求判断手段は、 前記タグ付きデータオブジェクトに付随する前記タグ無
    しデータオブジェクトに対するアクセス要求が行われた
    場合に、前記管理手段に保持されている情報に基づい
    て、当該タグ付きデータオブジェクトに対する前記アク
    セス制御規則を取得し、 取得した前記アクセス制御規則に基づいて前記タグ無し
    データオブジェクトに対するアクセスの可否を判断す
    る、請求項１０に記載のアクセス制御システム。
12. 【請求項１２】 クライアントからのアクセス要求を受
    け付けて、アクセス対象であるオブジェクトに対して当
    該アクセス要求に応じた処理を行うサーバであって、 アクセス要求に応じて、当該アクセス要求の対象である
    オブジェクトに対するアクセスの可否を、当該オブジェ
    クトに対するアクセス権限を規定したアクセス制御規則
    に基づいて判断するアクセス要求判断部と、 前記アクセス要求判断部によりアクセスが許可されたア
    クセス要求に応じて、前記オブジェクトに対する処理を
    実行するオブジェクト処理部と、 前記オブジェクトに対するアクセス制御規則をオブジェ
    クトとして格納したオブジェクト格納部とを備え、 前記アクセス要求判断部は、前記アクセス制御規則を対
    象とするアクセス要求に応じて、当該アクセス制御規則
    に対するアクセスの可否を判断することを特徴とするサ
    ーバ。
13. 【請求項１３】 前記オブジェクト処理部は、前記アク
    セス制御規則を対象とするアクセス要求に応じて、前記
    アクセス制御規則を生成し、変更し、または削除する、
    請求項１２に記載のサーバ。
14. 【請求項１４】 前記オブジェクト処理部は、前記アク
    セス制御規則を対象とするアクセス要求に応じて、アク
    セス制御規則に対するアクセス権限の一部を特定の主体
    に対して認めるアクセス制御規則を生成する、請求項１
    ２に記載のサーバ。
15. 【請求項１５】 情報資源であるオブジェクトへのアク
    セス要求に対するアクセス制御を行うアクセス制御方法
    において、 アクセス制御規則を対象オブジェクトとするアクセス要
    求を受け付けるステップと、 前記アクセス要求の対象オブジェクトに対するアクセス
    権限を規定するアクセス制御規則を取得するステップ
    と、 取得した前記アクセス制御規則に基づいて前記対象オブ
    ジェクトに対するアクセスの可否を判定するステップと
    を含む、アクセス制御方法。
16. 【請求項１６】 データの構成要素に対する制御情報を
    示すタグを付されたタグ付きオブジェクトを対象とし、
    当該タグ付きオブジェクトへのアクセス要求に対するア
    クセス制御を行うアクセス制御方法において、 前記タグ付きオブジェクトに対するアクセス要求が行わ
    れた場合に、当該タグ付きオブジェクトに対するアクセ
    ス制御規則に関する情報を保持するステップと、 前記タグ付きオブジェクトに付随するタグ無しオブジェ
    クトに対するアクセス要求が行われた場合に、前記アク
    セス制御規則に関する情報を保持するステップにおいて
    保持された情報に基づいて当該タグ付きオブジェクトに
    対するアクセス制御規則を取得するステップと、 取得された前記アクセス制御規則を用いて前記タグ無し
    オブジェクトに対するアクセスの可否を行うステップと
    を含む、アクセス制御方法。
17. 【請求項１７】 情報資源であるオブジェクトへのアク
    セス要求に対するアクセス制御を行うためのアクセス制
    御規則を生成するアクセス制御規則生成方法において、 前記アクセス制御規則の生成要求を受け付け、当該生成
    要求に対する前記アクセス制御規則に基づいて、当該生
    成要求を許可するかどうかを判断するステップと、 前記生成要求が許可された場合に、当該生成要求に応じ
    たアクセス制御規則を生成し、前記生成要求に対するア
    クセス制御規則を指示する指示情報を生成された当該ア
    クセス制御規則に付加するステップとを含む、アクセス
    制御規則生成方法。
18. 【請求項１８】 コンピュータに実行させるプログラム
    を当該コンピュータの入力手段が読取可能に記憶した記
    憶媒体において、 前記プログラムは、 アクセス制御規則を対象オブジェクトとするアクセス要
    求を受け付ける処理と、 前記アクセス要求の対象オブジェクトに対するアクセス
    権限を規定するアクセス制御規則を取得する処理と、 取得した前記アクセス制御規則に基づいて前記対象オブ
    ジェクトに対するアクセスの可否を判定する処理とを前
    記コンピュータに実行させる、記憶媒体。
19. 【請求項１９】 コンピュータに実行させるプログラム
    を当該コンピュータの入力手段が読取可能に記憶した記
    憶媒体において、 前記プログラムは、 所定の情報資源に対するアクセス権限を規定するアクセ
    ス制御規則の生成要求を受け付け、当該生成要求に対す
    るアクセス制御を行うためのアクセス制御規則に基づい
    て、当該生成要求を許可するかどうかを判断する処理
    と、 前記生成要求が許可された場合に、当該生成要求に応じ
    たアクセス制御規則を生成し、前記生成要求に対する前
    記アクセス制御規則を指示する指示情報を生成された当
    該アクセス制御規則に付加する処理とを前記コンピュー
    タに実行させる、記憶媒体。
20. 【請求項２０】 コンピュータに、アクセス制御規則を
    対象オブジェクトとするアクセス要求を受け付ける処理
    と、前記アクセス要求の対象オブジェクトに対するアク
    セス権限を規定するアクセス制御規則を取得する処理
    と、取得した前記アクセス制御規則に基づいて前記対象
    オブジェクトに対するアクセスの可否を判定する処理と
    を実行させるプログラムを記憶する記憶手段と、 前記記憶手段から前記プログラムを読み出して当該プロ
    グラムを送信する送信手段とを備えた、プログラム伝送
    装置。
21. 【請求項２１】 コンピュータに、所定の情報資源に対
    するアクセス権限を規定するアクセス制御規則の生成要
    求を受け付け、当該生成要求に対するアクセス制御を行
    うためのアクセス制御規則に基づいて、当該生成要求を
    許可するかどうかを判断する処理と、前記生成要求が許
    可された場合に、当該生成要求に応じたアクセス制御規
    則を生成し、前記生成要求に対する前記アクセス制御規
    則を指示する指示情報を生成された当該アクセス制御規
    則に付加する処理とを実行させるプログラムを記憶する
    記憶手段と、 前記記憶手段から前記プログラムを読み出して当該プロ
    グラムを送信する送信手段とを備えた、プログラム伝送
    装置。