JP2007272387A - ファイルアクセス権限設定システム - Google Patents

Abstract

【課題】ディレクトリサービスで保持している情報について一元管理するとともに、組織階層に基づくファイルアクセス権限を簡単に設定する。
【解決手段】組織階層に基づくユーザ情報の提供は、グループおよびユーザ情報をディレクトリサービス５０３に保持する。組織(グループ)の階層構造である親子関係の情報は独自にデータベース５０２に保持する。グループおよびユーザ情報と組織階層の情報は、グラフィカルなユーザインタフェースにより結びつける。組織階層情報一覧の要求があった場合には、組織階層情報から求めたユーザやグループを一覧の形で提供する。
【選択図】 図６

Description

本発明は、ファイルアクセス権限設定システムに関し、特に、組織階層に基づき、組織に所属する社員などのユーザ情報又は部・課などのグループ情報を提供するためのディレクトリサービスを含むにファイルアクセス権限設定システムに関する。

コンピュータシステムの発達に伴い、コンピュータシステムによりユーザの管理を行うことが一般的になってきている。コンピュータシステムが複数存在する場合に、それぞれのコンピュータシステムが個別にユーザ管理を行うように構成すると、ユーザ情報が複数個所に存在することになり、ユーザ情報の管理が煩雑となる。

そこで、ユーザ情報を一元管理するために、ディレクトリサービスを利用することが一般的となっている。図１は、ディレクトリサービスの利用方法の一例を示す図である。ユーザ情報１０１ａ、所属グループ１０１ｂ、メールアドレス１０１ｃなどの情報を一括管理するディレクトリサービス１０１、電子メールを送受信するメールサーバ１０２、共用プリンタを管理するプリンタサーバ１０３、共用フォルダを管理するファイルサーバ１０４、社内業務を行う業務システム１０５が設けられている。

このような場合、メールサーバ１０２、プリンタサーバ１０３、ファイルサーバ１０４や業務システム１０５は、認証のためにユーザ情報をディレクトリサービス１０１より取得し、対象となるユーザが実際に登録されているか、パスワードは合っているか、などを照合して確認するサービスを行う。また、ディレクトリサービス１０１は、ユーザがどのグループに属するかに関する情報も持っているため、グループに複数のユーザを属するような構成をとっていれば、ファイルサーバ１０４のように共用するフォルダやグループに対し参照や更新などのアクセス権を設定することにより、ユーザ毎に権限を設定する煩わしさも解消することが可能となる。

業務システムでは、業務を行うためのユーザ認証や部署情報、ユーザ情報を表示させることにより、様々なナビゲーションを表現することが可能となる。このように、ユーザや組織などの情報をそれぞれのメールサーバ１０２、プリンタサーバ１０３、ファイルサーバ１０４や、業務システム１０５のそれぞれで保持すると、会社であれば社員の退職や異動などがあった場合などに、全てのサーバやシステムの情報を変更する必要があり、管理が煩雑となってしまうという問題がある。

この問題を解決するために、ディレクトリサービスとして情報を一元管理し、全てのサーバや業務システムの情報を使用するような形態をとっている。ディレクトリサービスに使用するインタフェース(またはプロコトル)として一般的にLDAP（Lightweight Directory Access Protocol）が利用される。ディレクトリサービスは、グループの情報を保持するが、グループ間の関係の情報については持っていないのが一般的である。LDAPのインタフェースでも、効率よくグループ間の関係を取得するインタフェースは持っていない。

特開２００２−３４２３５２号公報 特開２００１−２１６３３５号公報 特開平８−５０５５９号公報

あるファイルに対して誰が参照可能かどうかという権限情報をファイルに設定可能とする。図２は、ファイルに「誰が、何をできる」というような権限を与えた場合のシステム構成例を示す図である。図２に示すように、権限情報２０３を付与されたファイル２０１は、実際の情報を書き込んだ実ファイル２０２と、「誰が、何をできる」といった権限情報２０３とを合わせて一つのファイル２０１を構成する。このファイル２０１は、専用のファイルエディタ２０４でのみ内容を参照可能であるということを前提として、ファイルエディタ２０４は、権限情報２０３に基づいてユーザの操作を制限することが可能となる。

権限情報２０３に設定されたように、ユーザＡ２０５はファイル２０１の更新が可能であるため、ファイルエディタ２０４はファイル２０１の更新を許可するようにユーザＡ２０５の操作を制御する。また、グループＸに属するユーザｎ２０６は、参照可の権限のみであれば、ファイルエディタ２０４はユーザｎ２０６に対してファイル２０１の参照のみを許容し、更新する等の操作を制限するような仕組みとすることができる。

ここで、ファイル２０１に対して付与する権限情報２０３の「誰が」の部分の情報は、ディレクトリサービス２０７から取得するように構成されている。すなわち、ディレクトリサービス２０７に登録されているユーザまたはグループでなければ、ファイルを操作(参照・更新等)が出来ない。

図３（Ａ）、（Ｂ）は、会社組織がファイルに権限情報を付与する場合のルールの例を示す図である。ｘｘ会社３０１の社員であるＪ担当３０２がファイル３０３を参照する場合を考える。ファイル３０３に対して参照制限のために何らかのガードをかけたい場合に、例えばＪ担当３０２以外は参照できないように設定した場合でも、Ｊ担当３０２の上司であるＩ課長３０３、Ｄ部長３０４や社長３０５は参照可能としたいが、直系の上長でないＥ部長３０６や他部署に所属する開発１１課３０７の社員には見せたくないという場合がある。しかしながら、組織階層に従った下から上に向かっての直系の上長または部署をたどった情報をLDAPでディレクトリサービスから取得することはできない。図４は、会社の組織階層に従った情報をディレクトリサービスに設定する場合の例を示す図である。組織階層を表現するためには、図４に示すように、会社グループ４０１の中に営業本部グループ４０２と開発本部グループ４０３といった様にグループを入れ子の形にするしか方法がない。開発１２課４０４からの直系のグループの一覧の取得をする方法はなく、会社グループ４０１を選択した場合には、社員全員を選択することになり、社長だけの情報を取得することはできない。

これを解決する手段として、全ての情報をデータベース内に格納することにより、組織階層に従った、直系の上位ユーザもしくはグループを取得することができる。しかしながら、この方法では、ユーザ情報やグループ情報をディレクトリサービスとデータベースとで２重管理することになり、当初のディレクトリサービスによる情報の一元管理が出来なくなってしまうという問題がある。

本発明の目的は、下から上への直系の上長または上位組織情報を、既存のディレクトリサービスを利用して一元管理できるサービスを提供することである。

本発明に係るファイルアクセス権限設定システムは、ファイルに対するアクセス権を与える対象ユーザまたはグループを、組織階層を意識して自動的に取得し、ファイルに権限を設定する仕組みを有する。

すなわち、本発明の一観点によれば、組織の構成単位毎の組織階層に関する情報を提供する組織階層提供サービスと、該組織階層提供サービスが提供する前記組織階層情報に基づいて作成された構成単位名を保持するディレクトリサービス及び構成単位毎にツリー状に形成された階層情報を保持するデータベースに対して、前記ディレクトリサービスの各構成単位名と前記データベースの構成単位毎の組織情報とを、該構成単位名に基づいて自動的に関連付けるための登録を行う管理者端末と、前記関連付けに基づいて、組織が保持する権限付与対象ファイルに対して構成単位毎のアクセス権限を付与するファイル権限設定システムと、を備えることを特徴とするファイルアクセス権限設定システムが提供される。ディレクトリサービスには、組織の階層情報を含まない。データベースには、組織の階層情報が含まれる。両方の情報に基づいて、管理者端末から、例えば、組織の下方向から上方向の経路に沿ってファイルアクセス権限を付与することができる。

本発明の他の観点によれば、組織の構成単位毎の組織階層に関する情報を提供するステップと、提供された前記組織階層情報に基づいて、構成単位名をディレクトリサービスに保持させるとともに、構成単位毎ツリー状に形成された階層情報をデータベースに保持させるステップと、前記データベースの構成単位毎の組織階層と前記ディレクトリサービスの各構成単位名とを構成単位名に基づいて自動的に関連付けるステップと、前記関連付けに基づいて権限付与対象ファイルに対して構成単位毎のアクセス権限を付与するステップと、を有することを特徴とするファイルアクセス権限設定方法が提供される。前記構成単位毎のアクセス権限を付与するステップは、前記ツリーを一本道に辿って前記構成単位に対して前記アクセス権限を付与していくステップを有することも可能である。本発明は、上記に記載のステップをコンピュータに実行させるためのプログラムであっても良い。

本発明の組織階層提供サービスを用いると、ディレクトリサービスで保持している情報については一元管理しつつ、データベースに別途保持させた組織階層に基づいて、ファイルアクセス権限を効率良く設定することができるという利点がある。

本明細書において、組織の構成単位とは、会社、社長、本部長、開発本部などの本部、部、課、グループ、プロジェクトチームなど、固定的又は一時的なグループを含むものとして定義される。このような構成単位については、何らかの階層が決められているのが一般的である。

以下に、本発明の一実施の形態によるファイルアクセス権限設定システムについて図面を参照しながら説明を行う。図５は、本実施の形態によるファイルアクセス権限設定システムに対して組織階層情報を提供するシステムの一構成例を示す図である。管理者端末５０１は、組織階層提供サービス５０２が提供する管理画面から、組織情報の登録と組織階層の登録とを行う。ファイル権限設定システム５０３は、開発１２課用フォルダ５０４に格納されている、例えば開発１２課用フォルダ内のファイル５０４ａ、開発１３課用フォルダ内のファイル５０４ｂに権限を付与するために、対象となるグループを組織階層提供サービス５０２から取得する。

図６は、下方向から上方向の経路に沿った課レベルのユーザ(又はグループ)の一覧の取得方法と、「組織階層提供サービス」５０２としてシステムに提供する方法を示す。組織階層提供サービス５０２は、組織階層情報を持つデータベース５０５と、グループ又はユーザ情報を保持するディレクトリサービス５０６と、で構成される。尚、図示しないが、図５、図６において、組織階層提供サービス５０２、ファイル権限設定システム５０３、データベース５０５及びディレクトリサービス５０６は、単一または複数のコンピュータ装置（サーバ）内に存在するものとする。

以下に処理の流れについて図５、６を参照しながら説明を行う。
１）管理者端末５０１の画面から、組織の各構成単位の登録及び組織階層を定義する。組織の各構成単位とは、具体的には、ディレクトリサービス５０６の「営業本部」や「開発本部」などを指す。ディレクトリサービス５０６の各構成単位は、階層構造を持たないため、この階層(関連)はデータベース５０５で保持する。
尚、「組織階層を定義する」とは、管理者端末５０１の画面上で、「xx会社」の下には「営業本部」と「開発本部」といった各構成単位の位置（関連）を定義することを指す。
２）組織階層提供サービス５０２は、組織の各構成単位が登録された場合には、ディレクトリサービス５０６に、新たに登録された構成単位のオブジェクトを作成する。すなわち、構成単位オブジェクトをディレクトリサービス５０６に作成するように依頼(指示)する。
３）組織階層提供サービス５０２は、組織階層を定義した場合は、組織階層提供サービスに定義した組織階層情報を、データベース５０５内に持ち管理する。尚、組織階層を定義するのは、上記１）の管理者端末５０１が行う。
４）このとき、組織階層提供サービス５０２は、データベース５０５の組織階層の各構成単位の階層情報とディレクトリサービス５０６の各構成単位情報（オブジェクト）とを自動的に関連付ける（Ｌ１からＬ７）。すなわち、上記１）の情報を元に、上記２）→３）→４）の処理を行う。
５）この結果、ファイル権限設定システム５０３は、組織階層提供サービス５０２に対して、ある末端の組織（または途中の組織）の情報を基に、下から上方向(課レベル)の経路に沿ったユーザ(もしくはグループ)の図３に示すようなファイルのアクセス権限に関する一覧を取得することができ、構成単位毎のアクセス権限を付与することが可能となる。

以上に説明したように、本実施の形態による組織階層提供サービスを用いると、以下に示す効果がある。

ディレクトリサービスで保持している情報について一元管理するとともに、組織階層に基づくファイルアクセス権限を簡単に設定することができる。

本発明は、ファイルアクセス権限設定システムに利用可能である。

本発明の一実施の形態によるファイルアクセス権限設定システムのシステム構成例を示す図である。 ファイルにアクセス権限を与える方法についての図である。 組織階層に従ったユーザ一覧の取得についての説明の図である。 ディレクトリサービスで組織階層を表現した場合の図である。 ファイル権限設定サービスに組織階層情報を提供する利用形態を示した図である。 ファイル権限設定サービスに組織階層情報を提供する方法を示した図である。

符号の説明

５０１…管理者端末、５０２…組織階層提供サービス、５０３…ファイル権限設定システム、５０４…開発１２課用フォルダ、５０５…データベース、５０６…ディレクトリサービス。

Claims (4)

1. 組織の構成単位毎の組織階層に関する情報を提供する組織階層提供サービスと、
   該組織階層提供サービスが提供する前記組織階層情報に基づいて作成された構成単位名を保持するディレクトリサービス及び構成単位毎にツリー状に形成された階層情報を保持するデータベースに対して、前記ディレクトリサービスの各構成単位名と前記データベースの構成単位毎の組織情報とを、該構成単位名に基づいて自動的に関連付けるための登録を行う管理者端末と、
   前記関連付けに基づいて、組織が保持する権限付与対象ファイルに対して構成単位毎のアクセス権限を付与するファイル権限設定システムと
   を備えることを特徴とするファイルアクセス権限設定システム。
2. 組織の構成単位毎の組織階層に関する情報を提供するステップと、
   提供された前記組織階層情報に基づいて、構成単位名をディレクトリサービスに保持させるとともに、構成単位毎ツリー状に形成された階層情報をデータベースに保持させるステップと、
   前記データベースの構成単位毎の組織階層と前記ディレクトリサービスの各構成単位名とを構成単位名に基づいて自動的に関連付けるステップと、
   前記関連付けに基づいて権限付与対象ファイルに対して構成単位毎のアクセス権限を付与するステップと
   を有することを特徴とするファイルアクセス権限設定方法。
3. 前記構成単位毎のアクセス権限を付与するステップは、前記ツリーを一本道に辿って前記構成単位に対して前記アクセス権限を付与していくステップを有することを特徴とする請求項２に記載のファイルアクセス権限設定方法。
4. コンピュータに請求項２又は３に記載のステップを実行させるためのプログラム。

Images