JP2015087944A - Roll-based access control method and system - Google Patents
Roll-based access control method and system Download PDFInfo
- Publication number
- JP2015087944A JP2015087944A JP2013225714A JP2013225714A JP2015087944A JP 2015087944 A JP2015087944 A JP 2015087944A JP 2013225714 A JP2013225714 A JP 2013225714A JP 2013225714 A JP2013225714 A JP 2013225714A JP 2015087944 A JP2015087944 A JP 2015087944A
- Authority
- JP
- Japan
- Prior art keywords
- role
- policy
- access
- access right
- point
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Storage Device Security (AREA)
Abstract
Description
本発明はクラウドにおけるロールベースアクセス制御に関する。特に、システム構成が時間とともに変化する場合のアクセス制御に関する。 The present invention relates to role-based access control in the cloud. In particular, the present invention relates to access control when the system configuration changes with time.
一般的に、情報システムでは安全に情報資源を管理するため、アクセス制御が必要である。従来の情報システムでは、情報資源に対して“読込／書込／実行”権限を定義するＤＡＣ(Discretionary Access Control)が主流であったが、職務上の責務などのユーザステータスの変更に伴う権限の再定義が煩雑であり、ヒューマンエラーなどによるセキュリティ事故を発生する要因となっていた。 Generally, in an information system, access control is necessary to manage information resources safely. In conventional information systems, DAC (Discretionary Access Control), which defines the “read / write / execute” authority for information resources, was the mainstream, but the authority associated with changes in user status such as job responsibilities The redefinition was complicated, and it was a factor that caused security accidents due to human error.
そのため、前記アクセス制御としては、職務上の役割毎に操作の権限を設定することでポリシー定義を容易にするＲＢＡＣ(Role Based Access Control)が望ましい。ＲＢＡＣでは、ユーザに対して権限を直接割り付けず、Ｒｏｌｅという単位で権限を設定して割り付けることでステータスの変更に伴う権限の再設定の煩雑さを解消している。ここで、「ポリシー」とはアクセス権の値（種別や内容）である。 Therefore, as the access control, RBAC (Role Based Access Control) that facilitates policy definition by setting operation authority for each job role is desirable. In RBAC, the authority is not assigned directly to the user, but the authority is set and assigned in units called Roles, thereby eliminating the complexity of authority resetting associated with the status change. Here, the “policy” is an access right value (type or content).
しかし、クラウドシステムでは管理する機器の多様性からポリシー施行点（PEP：アクセス制御を実行するシステム）が多数存在し、ポリシー施行点毎にアクセス制御に必要なポリシーの形式は異なる。そこで、ポリシー定義点（PDP：ＲＢＡＣポリシーを定義するシステム）で定義されたＲＢＡＣポリシーを各ポリシー施行点のポリシーへと変換する技術が必要となる。 However, in the cloud system, there are many policy enforcement points (PEP: a system that executes access control) due to the diversity of devices to be managed, and the policy format required for access control differs for each policy enforcement point. Therefore, a technique for converting the RBAC policy defined at the policy definition point (PDP: RBAC policy definition system) into a policy at each policy enforcement point is required.
ポリシーを変換する技術としては特許文献１が存在する。特許文献１では、あらかじめ操作とＡＣＥ(Access Control Entry)をマッピングしておくことで、ＲＢＡＣポリシーをＡＤ(Active Directory)の資源ポリシーへと変換する。
As a technique for converting a policy,
情報システムでは、利用者が果たすべき職務責務の範囲外で当該機器にアクセスすることを防ぐ必要がある（職務分離の原則）。そのため、アクセス制御において最小限となるアクセス権、即ち、一連の業務を行うのに必要なリソースとそのアクセス権を各機器に設定することが望ましい（最小権限の原則、「最小権限」とは、一連の処理を行うのに必要なリソースやアクセス権である。）。 In the information system, it is necessary to prevent access to the equipment outside the scope of duties that the user should fulfill (principle of separation of duties). Therefore, it is desirable to set the minimum access right in access control, that is, the resources necessary for performing a series of operations and the access right to each device (the principle of minimum authority, “minimum authority” These are resources and access rights necessary to perform a series of processing.)
しかし、特許文献１では、あらかじめＲＢＡＣポリシーの中で定義される操作と各ポリシー施行点で設定される権限が固定的にマッピングされているため、各ポリシー施行点におけるアクセス制御機構の多様な制限に基づき各機器に最小権限を設定することが困難である。また、各ポリシー施行点におけるＡＣＥに変換するため、システムの接続形態とＲＢＡＣポリシーに基づき、システム間の接続を最小限にするように権限を設定できない。即ち、システム間の接続が予め人手によって設定されていたされている。
However, in
本発明は、このような状況に鑑みてなされたものであり、各ポリシー施行点におけるアクセス制御機構の多様な制限やシステム全体の接続形態に基づき、各機器への操作権限の範囲が最小権限となるように、ポリシー定義点で定義されたＲＢＡＣポリシーを、各ポリシー施行点のポリシーへと変換することを目的とする。 The present invention has been made in view of such a situation, and based on various restrictions of the access control mechanism at each policy enforcement point and the connection form of the entire system, the scope of operation authority to each device is the minimum authority. Thus, an object is to convert an RBAC policy defined at a policy definition point into a policy at each policy enforcement point.
本発明は、ポリシー定義点で定義されたＲＢＡＣポリシーを複数のポリシー施行点におけるポリシーへと変換する方法であって、前記ポリシー定義点と前記ポリシー施行点はネットワークに接続し、前記ポリシー定義点は、オブジェクト（クラスとインスタンスを含む）と各システムの機能のマトリクスを生成する処理と、前記ＲＢＡＣポリシーと前記ポリシー施行点におけるアクセス制御機構の制限とシステムの接続形態とを制約条件として制約プログラミングすることで前記ポリシー施行点のポリシーへ変換する処理とを実施する、ことを特徴とする。 The present invention is a method of converting an RBAC policy defined at a policy definition point into a policy at a plurality of policy enforcement points, wherein the policy definition point and the policy enforcement point are connected to a network, and the policy definition point is Constraint programming using the process of generating a matrix of objects (including classes and instances) and the functions of each system, the RBAC policy, the restrictions on the access control mechanism at the policy enforcement point, and the connection form of the system And converting the policy into the policy enforcement point policy.
即ち、本発明の動作の主体は「ポリシー定義点」である。クライアント装置１０１は、ユーザからの処理要求を受け付けると、処理要求に応じたアクセス権の要求の設定をポリシー定義点１０３に依頼する。ポリシー定義点１０３は、ロールに応じて各ポリシー施行点１０４に設定すべき権限を決める。即ち、あるアプリケーション（ＡＰ）実行の要求の受付はクライアント装置１０１が行い、そのＡＰの実行はポリシー施行点１０４で行われ、ポリシー定義点は、ロールに応じた権限が設定される。
That is, the subject of the operation of the present invention is the “policy definition point”. When the
ここで、「ロール」と、「クラス」や「インスタンス」との関係について説明する。ネットワークを構成する複数のリソース（処理装置や記憶装置など）にはそれぞれ固有のロール（役割）が与えられており、これら複数のロールは階層構造を有し、上位の構造は「クラス」と呼ばれ、各クラスには下位の構造としていくつかの「インスタンス」が含まれており、上位のクラスから下位のインスタンスに至る階層構造の関係が定められている。このような階層構造は、目的に応じて異なっており、固定した構造ではない。従って、同じインスタンス（リソース）でも、クラスとインスタンスからなる階層構造上の階層レベルが異なる場合がある。 Here, the relationship between “role” and “class” or “instance” will be described. Multiple resources (processing devices, storage devices, etc.) that make up the network are each assigned a unique role. These multiple roles have a hierarchical structure, and the upper structure is called a “class”. Each class includes several “instances” as a lower structure, and a hierarchical structure from an upper class to a lower instance is defined. Such a hierarchical structure differs depending on the purpose and is not a fixed structure. Therefore, even in the same instance (resource), the hierarchical level on the hierarchical structure composed of classes and instances may be different.
更に、本発明では、上記の階層構造上のレベルに応じてインスタンス（リソース）にアクセス権限が設定され、その設定を制御するのがポリシー定義点（所謂サーバである）である。 Furthermore, in the present invention, an access authority is set for an instance (resource) according to the level in the hierarchical structure, and the policy definition point (so-called server) controls the setting.
本発明によれば、アクセス制御機構の多様な制限やシステム全体の接続形態に基づき、各機器への操作が最小権限となるようにポリシー定義点で定義されたＲＢＡＣポリシーを各ポリシー施行点のポリシーへと変換することが可能となる。 According to the present invention, based on various restrictions of the access control mechanism and the connection form of the entire system, the RBAC policy defined at the policy definition point is set so that the operation to each device has the least authority. It becomes possible to convert to.
以下、図面を用いて本発明の実施の形態について説明する。なお、これにより本発明が限定されるものではない。 Hereinafter, embodiments of the present invention will be described with reference to the drawings. Note that the present invention is not limited thereby.
本実施例ではポリシー定義点でＲＢＡＣポリシーを定義し、ポリシー施行点でアクセス制御を行うシステムの例を説明する。 In this embodiment, an example of a system that defines an RBAC policy at a policy definition point and performs access control at the policy enforcement point will be described.
以下の説明において、「人手によって」とは、ユーザが端末に所定の入力操作を行うことを意味する。 In the following description, “by hand” means that the user performs a predetermined input operation on the terminal.
（システム構成）
図１は本実施例におけるシステム構成の例である。
(System configuration)
FIG. 1 shows an example of a system configuration in this embodiment.
図１において、本実施例のシステムはクライアント装置１０１、ネットワーク１０２、ポリシー定義点１０３、ポリシー施行点１０４から構成されている。ユーザはクライアント装置１０１を介してシステムの機能を利用する。クライアント装置１０１は1個に限定されず、実施形態によって複数の場合もある。ネットワーク１０２は、公開ネットワークか非公開ネットワークかは限定せず、接続インタフェースも限定しない。ネットワーク１０２にはクライアント装置１０１、ポリシー定義点１０３（PDP：ＲＢＡＣポリシーを定義するシステム）、ポリシー施行点１０４（PEP：アクセス制御を実行するシステム）が接続されており、その接続プロトコルは限定しない。ネットワーク１０２は単一のネットワークである必要がなく、実施形態によって複数の場合もある。
In FIG. 1, the system according to this embodiment includes a
ポリシー定義点１０３は、認証装置などが該当する。ポリシー定義点１０３は1個に限定されず、実施形態によって複数の場合もある。ポリシー施行点１０４は、ストレージ統合管理装置、ストレージ、ロジカルユニット、ハイパバイザ統合管理装置、ハイパバイザ、仮想マシン、計算装置、ネットワーク装置、などが該当する。ポリシー施行点１０４は複数存在する。
The
クライアント装置１０１は、一連の処理（役割）を実行する処理装置であるポリシー定義点１０３に対してアクセス権の設定を要求し、ポリシー定義点１０３は、要求を達成するためのアクセス権設定の処理の実行を、特定の処理を実行する処理装置であるポリシー施行点１０４に依頼する。
The
また、クライアント装置１０１からの要求によって、ポリシー定義点１０３の内容や、それに対応するポリシー施行点１０４の内容の組み合わせが異なる。
Further, depending on the request from the
図２は、本実施例におけるクライアント装置１０１の機能構成の例である。
FIG. 2 is an example of a functional configuration of the
クライアント装置１０１は、制御部２０１、ユーザからの要求を受け付けたり、ユーザに情報を表示したりする入出力部２１０（即ち、端末）、及びネットワーク１０２に接続された送受信部２１１を有する。
The
図２において、制御部２０１は、システム構成設定要求部２０２、クラスタリング要求部２０３、ポリシー施行点情報設定要求部２０４、ロール設計要求部２０５、アクセス権モデル化要求部２０６、ポリシー定義要求部２０７、アクセス権要求部２０８、及び操作要求部２０８から構成されている。
2, the
入出力部２１０は、キーボード等のインタフェースを介してユーザからの入力を制御し、モニタ等のインタフェースを介してユーザへの出力を制御する処理部である。送受信部２１１は、ネットワーク１０２を介して情報の送受信を行う処理部である。
The input /
制御部２０１内の各要求部２０２〜２０８は、入出力部２１０からの各要求を受け付けて、送受信部２１１及びネットワーク１０２を介してポリシー定義点１０３との間でメッセージ等の授受を行う。しかし、同じ制御部２０１内の操作要求部２０９だけは、入出力部２１０から各要求を受け付けて、送受信部２１１及びネットワーク１０２を介してポリシー施行点１０４との間でメッセージ等の授受を行ない、他の要求部とは通信の相手が異なる。
Each
（クライアント装置の各要求部）
システム構成設定要求部２０２は、入出力部２１０を介してユーザからシステム構成設定要求を受け付け、送受信部２１１を介してシステム構成設定要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からシステム構成設定応答メッセージを受信し、入出力部２１０を介してユーザにシステム構成設定結果を通知する処理部である。
(Each request part of the client device)
The system configuration
クラスタリング要求部２０３は、入出力部２１０を介してユーザからクラスタリング要求を受け付け、送受信部２１１を介してクラスタリング要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からクラスタリング応答メッセージを受信し、入出力部２１０を介してユーザにクラスタリング結果を通知する処理部である。
The
ポリシー施行点情報設定要求部２０４は、入出力部２１０を介してユーザからポリシー施行点情報設定要求を受け付け、送受信部２１１を介してポリシー施行点情報設定要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からポリシー施行点情報設定応答メッセージを受信し、入出力部２１０を介してユーザにポリシー施行点情報設定結果を通知する処理部である。
The policy enforcement point information setting
ロール設計要求部２０５は、入出力部２１０を介してユーザからロール設計要求を受け付け、送受信部２１１を介してロール設計要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からロール設計応答メッセージを受信し、入出力部２１０を介してユーザにロール設計結果を通知する処理部である。
The role
アクセス権モデル化要求部２０６は、入出力部２１０を介してユーザからアクセス権モデル化要求を受け付け、送受信部２１１を介してアクセス権モデル化要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からアクセス権モデル化応答メッセージを受信し、入出力部２１０を介してユーザにアクセス権モデル化結果を通知する処理部である。
The access right
ポリシー定義要求部２０７は、入出力部２１０を介してユーザからポリシー定義要求を受け付け、送受信部２１１を介してポリシー定義要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からポリシー定義応答メッセージを受信し、入出力部２１０を介してユーザにポリシー定義結果を通知する処理部である。
The policy
アクセス権要求部２０８は、入出力部２１０を介してユーザからアクセス権要求を受け付け、送受信部２１１を介してアクセス権要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からアクセス権応答メッセージを受信し、入出力部２１０を介してユーザにアクセス権結果を通知する処理部である。
The access right requesting
操作要求部２０９は、入出力部２１０を介してユーザから操作要求を受け付け、送受信部２１１を介して操作要求メッセージをポリシー施行点１０４に送信し、送受信部２１１を介してポリシー施行点１０４から操作応答メッセージを受信し、入出力部２１０を介してユーザに操作結果を通知する処理部である。
The
図３は、本実施例におけるポリシー定義点１０３の機能構成の例である。
FIG. 3 is an example of a functional configuration of the
ポリシー定義点１０３は、制御部３０１、記憶部３１４、及びネットワーク１０２に接続された送受信部３２３を有する。
The
制御部３０１は、システム構成設定処理部３０２、クラスタリング処理部３０３、ポリシー施行点情報設定処理部３０４、ロール設計処理部３０５、アクセス権モデル化処理部３０６、ポリシー定義処理部３０７、制約条件設定部３０８、制約プログラミング処理部３０９、インスタンス拡張処理部３１０、アクセス権処理部３１１、アクセス権追加処理部３１２、及びアクセス権削除処理部３１３から構成されている。
The
制御部３０１内の各処理部３０２〜３０７、３１１は、送受信部３２３及びネットワーク１０２を介してクライアント装置１０１との間でメッセージ等の授受を行う。しかし、同じ制御部３０１内の処理部３０８〜３１０は、処理部３０７から呼び出され、処理部３１２、３１３は、処理部３１１から呼び出され、かつ、送受信部３２３及びネットワーク１０２を介してポリシー施行点１０４との間でメッセージ等の授受を行ない、他の処理部とは通信の相手が異なる。
Each of the
（ポリシー定義点の各処理部）
システム構成設定処理部３０２は、送受信部３２３を介してクライアント装置１０１からシステム構成設定要求メッセージを受信し、システム構成記憶領域３１５にシステム構成情報を格納し、送受信部３２３を介してクライアント装置１０１にシステム構成設定応答メッセージを送信する処理部である。
(Each processing part of policy definition point)
The system configuration
クラスタリング処理部３０３は、送受信部３２３を介してクライアント装置１０１からクラスタリング要求メッセージを受信し、システム構成記憶領域３１５上のシステム構成情報からポリシー施行点１０４を人手によってクラスとインスタンスに分類し、クラス記憶領域３１６にクラス情報を格納し、インスタンス記憶領域３１７にインスタンス情報を格納し、送受信部３２３を介してクライアント装置１０１にクラスタリング応答メッセージを送信する処理部である。
The
ポリシー施行点情報設定処理部３０４は、送受信部３２３を介してクライアント装置１０１からポリシー施行点情報設定要求メッセージを受信し、ポリシー施行点情報記憶領域３１８にポリシー施行点情報を格納し、送受信部３２３を介してクライアント装置１０１にポリシー施行点情報設定応答メッセージを送信する処理部である。
The policy enforcement point information setting
ロール設計処理部３０５は、送受信部３２３を介してクライアント装置１０１からロール設計要求メッセージを受信し、ロール設計を行い、ロール・ポリシー記憶領域３１９にロール情報を格納し、送受信部３２３を介してクライアント装置１０１にロール設計応答メッセージを送信する処理部である。
The role
アクセス権モデル化処理部３０６は、送受信部３２３を介してクライアント装置１０１からアクセス権モデル化要求メッセージを受信し、ポリシー施行点情報記憶領域３１８上のポリシー施行点情報とクラス記憶領域３１６上のクラス情報からアクセス権をモデル化（リソースとアクセス権との対応付けを行うこと）し、アクセス権モデル記憶領域３２０にアクセス権モデル化情報を格納し、送受信部３２３を介してクライアント装置１０１にアクセス権モデル化応答メッセージを送信する処理部である。
The access right
ポリシー定義処理部３０７は、送受信部３２３を介してクライアント装置１０１からポリシー定義要求メッセージを受信し、ポリシー施行点１０４のポリシー定義を行い（アクセス権を設定すること）、ロール・ポリシー記憶領域３１９にポリシー情報を格納し、送受信部３２３を介してクライアント装置１０１にポリシー定義応答メッセージを送信する処理部である。
The policy
制約条件設定部３０８は、ポリシー定義処理部３０７から呼び出され、ポリシー施行点情報記憶領域３１８上のポリシー施行点情報（人手で入力される構成情報）から制約条件を生成し、制約条件記憶領域３２１に制約条件を格納する処理部である。
The constraint
制約プログラミング処理部３０９は、ポリシー定義処理部３０７から呼び出され、制約条件記憶領域３２１上の制約条件を用いた制約プログラミングにより各ポリシー施行点１０４のポリシー定義する処理部である。制約プログラミングは、変数間の関係を制約という形でプログラミングするものであり、その変数間の関係を表したのが制約条件である。
The constraint
インスタンス拡張処理部３１０は、ポリシー定義処理部３０７から呼び出され、から呼び出され、インスタンス記憶領域３１７上のインスタンス情報からアクセス権モデル記憶領域３２０上のアクセス権モデル化情報を更新する処理部である。即ち、リソースとアクセス権との新たな対応付けを行う。
The instance
アクセス権処理部３１１は、送受信部３２３を介してクライアント装置１０１からアクセス権要求メッセージを受信し、ロール・ポリシー記憶領域３１９上のロール情報とポリシー情報に基づき、ポリシー施行点１０４のアクセス権を決定し、送受信部３２３を介してクライアント装置１０１にアクセス権応答メッセージを送信する処理部である。ここで決定したアクセス権の内容は、アクセス権付与状況記憶領域３２２に格納され、例えば、クライアント装置１０１からの要求に基づいて、アクセス権の付与状況が、クライアント装置１０１の入出力部２１０に表示される。
The access
アクセス権追加処理部３１２は、アクセス権処理部３１１から呼び出され、送受信部３２３を介してポリシー施行点１０４にアクセス権追加要求メッセージを送信し、送受信部３２３を介してポリシー施行点１０４からアクセス権追加応答メッセージを受信する処理部である。
The access right
アクセス権削除処理部３１３は、アクセス権処理部３１１から呼び出され、送受信部３２３を介してポリシー施行点１０４にアクセス権削除要求メッセージを送信し、送受信部３２３を介してポリシー施行点１０４からアクセス権削除応答メッセージを受信する処理部である。アクセス権の追加や削除は人手の指示に基づいて行なわれる。
The access right
次に、符号３１４は記憶部であり、システム構成記憶領域３１５、クラス記憶領域３１６、インスタンス記憶領域３１７、ポリシー施行点情報記憶領域３１８、ロール・ポリシー記憶領域３１９、アクセス権モデル記憶領域３２０、制約条件記憶領域３２１、アクセス権付与状況記憶領域３２２から構成されている。
（ポリシー定義点の各記憶領域）
システム構成記憶領域３１５は、本実施例のシステム構成情報を記憶する領域である。
(Each storage area for policy definition points)
The system
クラス記憶領域３１６は、ポリシー施行点１０４のクラス情報を記憶する領域である。
The
インスタンス記憶領域３１７は、ポリシー施行点１０４のインスタンス情報を記憶する領域である。
The
ポリシー施行点情報記憶領域３１８は、ポリシー施行点１０４の情報を記憶する領域である。
The policy enforcement point
ロール・ポリシー記憶領域３１９は、ＲＢＡＣで定義されたロール情報とポリシー施行点１０４のポリシー情報を記憶する領域である。
The role
アクセス権モデル記憶領域３２０は、アクセス権モデル化情報を記憶する領域である。
The access right
制約条件記憶領域３２１は、制約条件を記憶する領域である。アクセス権付与状況記憶領域３２２は、アクセス権付与状況を記憶する領域である。
The constraint
次に、送受信部３２３は、ネットワーク１０２を介して情報の送受信を行う処理部である。
Next, the transmission /
図４は、本実施例におけるポリシー施行点１０４の機能構成の例である。
FIG. 4 is an example of a functional configuration of the
ポリシー施行点１０４は、制御部４０１、及び、ネットワーク１０２に接続された送受信部４０５を有する。
The
制御部４０１は、アクセス権追加処理部４０２、アクセス権削除処理部４０３、操作処理部４０４から構成されている。
The
アクセス権追加処理部４０２は、送受信部４０５を介してポリシー定義点１０３からアクセス権追加要求メッセージを受信し、送受信部４０５を介してポリシー定義点１０３からアクセス権追加応答メッセージを送信する処理部である。
The access right
アクセス権削除処理部４０３は、送受信部４０５を介してポリシー定義点１０３からアクセス権削除要求メッセージを受信し、送受信部４０５を介してポリシー定義点１０３からアクセス権削除応答メッセージを送信する処理部である。
The access right
操作処理部４０４は、送受信部４０５を介してクライアント装置１０１から操作要求メッセージを受信し、送受信部４０５を介してクライアント装置１０１から操作応答メッセージを送信する処理部である。
The
送受信部４０５は、ネットワーク１０２を介して情報の送受信を行う処理部である。
The transmission /
図５は、本実施例における装置のハードウェア構成図の例である。図５に示したハードウェア構成は、図１に示したクライアント装置１０１、ポリシー定義点１０３、及びポリシー施行点１０４のそれぞれにおけるハードウェアの構成を示したものである。
FIG. 5 is an example of a hardware configuration diagram of the apparatus in the present embodiment. The hardware configuration shown in FIG. 5 shows the hardware configuration of each of the
図５において、コンピュータ５０１は、ＣＰＵ５０２、メモリ５０３、外部記憶装置５０４、送受信装置５０５、出力装置５０６、入力装置５０７から構成されている。各装置の処理部はプログラムとして外部記憶装置５０４に記憶され、メモリ５０３にロードされて、ＣＰＵ５０２により実行される。また、記憶部内の記憶領域としてはメモリ５０３、または外部記憶装置５０４が利用される。各装置の送受信部は送受信装置５０５により実現される。各装置の入出力部は出力装置５０６、及び入力装置５０７により実現される。
In FIG. 5, a
特に、ＣＰＵ５０２とメモリ５０３は、クライアント装置１０１、ポリシー定義点１０３、及びポリシー施行点１０４のそれぞれにおける制御部に対応し、図２、図３、及び図４に示した制御部内の各処理部は、プログラムとしてメモリ５０３に格納され、ＣＰＵ５０２によって実行される。図３の記憶部３１４は、図５に示した外部記憶装置５０４である。図５の送受信装置５０５は、図２、図３、及び図４の各送受信部であり、図１に示したネットワーク１０２に接続されている。また、図５の出力装置５０６及び入力装置５０７は、図２の入出力部２１０である。
In particular, the
（各種情報を用いた処理手順）
図６から図１４を用いて、本システムにおいて初期状態からポリシーを定義する際にクライアント装置１０１、ポリシー定義点１０３、ポリシー施行点１０４が実行する一連の処理の例について説明する。
(Processing procedures using various information)
An example of a series of processes executed by the
図６は、本実施例におけるポリシー定義処理のシーケンス図の例である。 FIG. 6 is an example of a sequence diagram of policy definition processing in this embodiment.
（（１）システム構成情報の設定）
本実施例では最初にポリシー定義点１０３にシステム構成情報を提供する。そのため、まずクライアント装置１０１はポリシー定義点１０３にシステム構成設定要求メッセージ６０１を送信する。システム構成設定要求メッセージ６０１の例は図７に示す。システム構成設定要求メッセージ６０１はポリシー施行点１０４、ネットワーク１０２、ネットワークのトポロジ（構成情報）７０１のパラメータから構成される。図７の例では、ポリシー施行点１０４がＬＵ［１］やハイパバイザ［１］など、ネットワーク１０２がＮＷ［１］など、トポロジ７０１がＬＵ［１］−ＬＵ［２］−ハイパバイザ［１］などになっている。
((1) Setting system configuration information)
In this embodiment, system configuration information is first provided to the
図６に戻って、次にポリシー定義点１０３のシステム構成設定処理部３０２はシステム構成設定６０２を行う。システム構成設定６０２は、システム構成設定要求メッセージ６０１からポリシー施行点１０４、ネットワーク１０２、トポロジ７０１の情報を取得し、該情報をシステム構成記憶領域３１５に格納する。そして、ポリシー定義点１０３はクライアント装置１０１にシステム構成設定応答メッセージ６０３を送信する。システム構成設定応答メッセージ６０３はシステム構成設定６０２の実行結果のパラメータから構成されており、実行結果は真理値により表現される。例えば、実行結果が成功であれば「１」を設定し、失敗であれば「０」を設定する。
Returning to FIG. 6, the system configuration
このように本実施例では、ポリシー施行点１０４、ネットワーク１０２、トポロジ７０１などのシステム構成情報をユーザがポリシー定義点１０３に提供するが、ポリシー定義点１０３がポートスキャン（各ポートについて使用／未使用などの状態を調べること）などの方法でポリシー施行点１０４を特定し、自動的にシステム構成情報を構築してもよい。また、統合管理装置などからシステム構成情報を取得してもよい。
In this way, in this embodiment, the user provides system configuration information such as the
（（２）クラスタリング）
次に本実施例では、ポリシー定義点１０３のクラスタリング処理３０３が、システム構成情報を基にポリシー施行点１０４とネットワーク１０２をクラスタリングする。即ち、構成要素の種類又は接続関係によって構成要素をグループ分けする。
((2) Clustering)
Next, in this embodiment, the
（（２−１）クラスタリング要求メッセージの解析）
そのため、まずクライアント装置１０１はポリシー定義点１０３のクラスタリング処理部３０３にクラスタリング要求メッセージ６０４を送信する。クラスタリング要求メッセージ６０４の例は図８に示す。クラスタリング要求メッセージ６０４はクラス８０１、インスタンス８０２のパラメータから構成されている。図８の例では、Ｃｌａｓｓ＿ＬＵ［１］、Ｃｌａｓｓ＿ハイパバイザ［１］、Ｃｌａｓｓ＿ＮＷ［１］などをクラス８０１としており、ポリシー施行点１０４がインスタンス８０２となり、いずれかのクラス８０１に重複なく包含されている。即ち、複数のポリシー施行点１０４のそれぞれは、人手によって、何れかのクラスに分類される。
((2-1) Analysis of clustering request message)
Therefore, first, the
（（２−２）クラスとインスタンスの分類）
図９には、本実施例におけるクラスとインスタンスの例を示す。本実施例ではポリシー施行点１０４の機能やアクセス機構が同一のものを同一のクラスとする。これらのクラス分けは、人手によって行なわれる。また、クラス８０１とクラス８０１を繋ぐネットワーク１０２のインスタンス８０２が複数存在する場合、そのインスタンス８０２群をクラス８０１にする。図９の例では、ＬＵ［１］、ＬＵ［２］、ＬＵ［ｘ］が同一の機能・アクセス機構を有しているため、クラス８０１＿１としており、クラス８０１＿１とクラス８０１＿ｋを繋ぐネットワーク１０２＿１とネットワーク１０２＿ｍをクラス８０１＿ｋ＋１としている。
((2-2) Class and instance classification)
FIG. 9 shows examples of classes and instances in this embodiment. In this embodiment, the same function and access mechanism of the
（（２−３）クラス及びインスタンスの情報の格納）
図６に戻って、次にポリシー定義点１０３は以下のようにクラスタリング６０５を行う。
((2-3) Class and instance information storage)
Returning to FIG. 6, the
クラスタリング６０５はクラスタリング処理部３０３が行い、クラスタリング要求メッセージ６０４からクラス８０１、インスタンス８０２の情報を取得し、クラス８０１をクラス記憶領域３１６に格納し、インスタンス８０２をインスタンス記憶領域３１７に格納する。そしてポリシー定義点１０３はクライアント装置１０１にクラスタリング応答メッセージ６０６を送信する。クラスタリング応答メッセージ６０６はクラスタリング６０５の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
このように本実施例では、ユーザがクラスタリングを実行し、クラスタリングした結果をポリシー定義点１０３に提供しているが、ポリシー施行点１０４の情報から機能・アクセス機構の同一性を判定し、クラスタリング手法によりクラスタリングしてもよい。
As described above, in this embodiment, the user executes clustering, and the clustering result is provided to the
（（３）ポリシー施行点の詳細情報のポリシー定義点への設定）
（（３−１）ポリシー施行点情報設定の要求）
次に、本実施例では、ポリシー定義点１０３にポリシー施行点１０４の詳細な情報を提供する。そのため、まずクライアント装置１０１はポリシー定義点１０３にポリシー施行点情報設定要求メッセージ６０７を送信する。
((3) Setting the policy enforcement point detailed information to the policy definition point)
((3-1) Policy enforcement point information setting request)
Next, in this embodiment, detailed information of the
ポリシー施行点情報設定要求メッセージ６０７の例を図１０に示す。ポリシー施行点情報設定要求メッセージ６０７はクラス８０１、機能１００１、関連クラス１００２、アクセス制御機構１００３のパラメータから構成される。アクセス制御機構１００３には、各ポリシー施行点にアクセスするための手段に関する情報が格納されている。
An example of the policy enforcement point information setting
関連クラス１００２は機能１００１が実行されることで影響を受けるクラス８０１を意味する。図１０の例では、Ｃｌａｓｓ＿ハイパバイザ［１］の機能１００１が仮想マシン作成などになっており、Ｃｌａｓｓ＿ハイパバイザ［１］のアクセス制御機構１００３がＲＢＡＣ制限機構などになっている。図１０の例のようにクラスによっては、機能１００１、関連クラス１００２、アクセス制御機構１００３がない場合もある。
The
（（３−２）ポリシー施行点情報の格納）
図６に戻って、次にポリシー定義点１０３のポリシー施行点情報設定処理部３０４は、ポリシー施行点情報設定６０８を行う。ポリシー施行点情報設定６０８はポリシー施行点情報設定処理部３０４が行い、ポリシー施行点情報設定要求メッセージ６０７から機能１００１、アクセス制御機構１００３の情報を取得し、該情報をポリシー施行点情報記憶領域３１８に格納する。そして、ポリシー定義点１０３はクライアント装置１０１にポリシー施行点情報設定応答メッセージ６０９を送信する。ポリシー施行点情報設定応答メッセージ６０９はポリシー施行点情報設定６０８の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
((3-2) Policy enforcement point information storage)
Returning to FIG. 6, the policy enforcement point information setting
（（４）ポリシー定義点のロール設計）
次に本実施例では、ロールの設計を行う。
((4) Policy definition point role design)
Next, in this embodiment, a roll is designed.
（（４−１）ロール設計の要求）
そのため、まずクライアント装置１０１はポリシー定義点１０３にロール設計要求メッセージ６１０を送信する。ロール設計要求メッセージ６１０の例を図１１に示す。このメッセージはロール階層構造に対して、クラス又はインスタンスを設定することを要求するメッセージである。
((4-1) Requirements for roll design)
Therefore, first, the
ロール設計要求メッセージ６１０はロール１１０１、上位ロール１１０２、許可機能１１０３、許可インスタンス１１０４、属性１１０５のパラメータから構成される。図１１の例では、（ロール１１０１，上位ロール１１０２，許可機能１１０３、許可インスタンス１１０４、属性１１０５）が（“Ａ社担当“、“サーバ担当“、なし、“ハイパバイザ［１］“・・・、“インスタンス“）などになっている。
The role
図１２には、本実施例におけるロール階層構造の例を示す。図１２は、上位の階層（上位ロール）１１０５ａ及び下位の階層（下位ロール又はインスタンス）１１０５ｂからなる階層構造を示している。ロール１１０１はユーザによって任意に命名され、上位ロール１１０５ａに存在するロール１１０１が下位の階層１１０５ｂにある下位ロール又はインスタンスを指定することでロールの階層構造が構成される。ロール１１０１は“クラス”又は“インスタンス”の２種類の属性のいずれかを有し（ロールの階層構造のうち、上位のものがクラスであり、下位のものがインスタンスであり、全体が木構造をなす）、“クラス” 属性のロール１１０１には、ユーザが実行許可する機能、例えば仮想マシン作成１００１のような機能を許可機能１１０３として割り当て、上位ロール１１０５ａとして“インスタンス”属性のロール１１０１のような下位の階層をとる（割り当てる）ことはできない。“インスタンス” 属性のロール１１０１にはユーザが操作許可するインスタンス８０２を許可インスタンス１１０４として割り当て、上位ロール１１０５ａは必ず指定しなければならない。
FIG. 12 shows an example of a role hierarchical structure in the present embodiment. FIG. 12 shows a hierarchical structure including an upper hierarchy (upper role) 1105a and a lower hierarchy (lower role or instance) 1105b. The
（（４−２）ロール設計要求に含まれる情報の格納）
図６に戻って、次にポリシー定義点１０３はロール設計６１１を行う。ロール設計６１１はロール設計処理部３０５が行い、ロール設計要求メッセージ６１０からロール１１０１、上位ロール１１０２、許可機能１１０３、許可インスタンス１１０４、属性１１０５の情報を取得し、該情報をロール・ポリシー記憶領域３１９に格納する。そしてポリシー定義点１０３はクライアント装置１０１にロール設計応答メッセージ６１２を送信する。ロール設計応答メッセージ６１２はロール設計６１１の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
((4-2) Storage of information included in role design request)
Returning to FIG. 6, the
このように本実施例では、ロールを階層構造で構築し、各ロールに、階層に応じた属性を付与してロール設計を行っているが、ロール設計は該実施形態に限定されるものではなく、ＮＩＳＴ（National Institute of Standards and Technology）が提案する標準的なロール設計などでもよい。 As described above, in this example, roles are constructed in a hierarchical structure, and role design is performed by assigning attributes according to the hierarchy to each role. However, role design is not limited to this embodiment. A standard roll design proposed by NIST (National Institute of Standards and Technology) may be used.
（（５）アクセス権のモデル化）
次に、本実施例では、ポリシー定義点１０３に与えられたクラス８０１や機能１００１からポリシー定義に必要な中間データ（後述するアクセス権マトリクス１３０２）を生成するため、アクセス権のモデル化を行う。
((5) Access rights modeling)
Next, in this embodiment, in order to generate intermediate data (access right matrix 1302 described later) necessary for policy definition from the
（（５−１）アクセス権マトリクスの生成）
そのため、まずクライアント装置１０１はポリシー定義点１０３のアクセス権モデル化処理部３０６にアクセス権モデル化要求メッセージ６１３を送信する。アクセス権モデル化要求メッセージ６１３はポリシー定義点１０３にアクセス権モデル化６１４を実行させるために送信されるメッセージであり、パラメータがないメッセージである。
((5-1) Generation of access right matrix)
Therefore, first, the
次に、ポリシー定義点１０３は“クラス” 属性のロール１１０１それぞれに対しアクセス権モデル化６１４を行う。アクセス権モデル化６１４はアクセス権モデル化処理部３０６が行う。
Next, the
本実施例におけるアクセス権モデル化６１４の例を図１３に示す。まずクラス記憶領域３１６上のクラス８０１情報とポリシー施行点情報記憶領域３１８上の機能１００１からアクセス権マトリクス１３０１を生成する。図１３のようにアクセス権マトリクス１３０１はアクセス元１３０２、アクセス先１３０４を列として持ち、主体１３０３、機能１００１を行として持つ。アクセス権マトリクス１３０１の要素は２値の値であり、アクセス権マトリクス１３０１生成時は全て“０”である。
An example of access
（（５−２）アクセス権のプロット）
次に、ロール・ポリシー記憶領域３１９上のロール１１０１に対する許可機能１１０３とポリシー施行点情報記憶領域３１８上の機能１００１と関連クラス１００２からロール１１０１に必要なアクセス権をプロット（パラメータの設定）する。例えば、“サーバ担当”のロール１１０１に対してアクセス権モデル化６１４を実行する場合、“サーバ担当”のロール１１０１は“仮想マシン作成”の許可機能１１０３を有しており、“仮想マシン作成”の機能１００１は関連クラス１００２として“Ｃｌａｓｓ＿ＬＵ［１］”を有しているため、アクセス権マトリクス１３０１上では、アクセス元１３０２ “Ｃｌａｓｓ＿ハイパバイザ［１］”、主体１３０３ “Ｃｌａｓｓ＿ＬＵ［１］” 機能１００１“なし”の要素と主体１３０３ “Ｃｌａｓｓ＿ハイパバイザ［１］”、アクセス先１３０４ “Ｃｌａｓｓ＿ＬＵ［１］” 機能１００１“仮想マシン作成”の要素が１にインクリメントされる。即ち、所定の要素のフラグが、「権限なし」を示す「０」から、「権限あり」を示す「１」に設定される。
((5-2) Access right plot)
Next, the access right necessary for the
このような処理をサーバ担当”のロール１１０１が有する許可機能１１０３全てに対して行う。そして、アクセス権マトリクス１３０１をアクセス権モデル記憶領域３２０に格納する。上記のアクセス権モデル化処理を“クラス” 属性のロール１１０１の数だけ反復し、“クラス” 属性のロール１１０１の数だけアクセス権マトリクス１３０１を生成する。
Such processing is performed for all
そして、ポリシー定義点１０３はクライアント装置１０１にアクセス権モデル化要求メッセージ６１５を送信する。アクセス権モデル化要求メッセージ６１５はアクセス権モデル化６１４の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
Then, the
（（６）クラスのポリシー定義）
次に本実施例では、“クラス” 属性のロール１１０１それぞれに対しポリシー施行点１０４のポリシー定義を行う。
((6) Class policy definition)
Next, in this embodiment, the policy definition of the
そのため、まずクライアント装置１０１はポリシー定義点１０３にポリシー定義要求メッセージ６１６を送信する。ポリシー定義要求メッセージ６１６はポリシー定義点１０３に一連のポリシー定義処理を実行させるために送信されるメッセージであり、パラメータがないメッセージである。
Therefore, first, the
（（６−１）制約条件の設定）
次に、ポリシー定義点１０３はポリシー定義処理部３０７により一連のポリシー定義処理を実行する。まず、ポリシー定義処理部３０７は制約条件設定６１７を行う。制約条件設定６１７は制約条件設定部３０８が行い、クラス記憶領域３１６上のネットワークに関するクラス８０１からアクセス権マトリクス１３０１の各レコードにおいて、人手により、アクセス元１３０２、アクセス先１３０４と成り得るクラス８０１を制約とする操作を行う。
((6-1) Setting constraint conditions)
Next, the
また、ポリシー施行点情報記憶領域３１８上のアクセス制御機構１００３に基づいて、ポリシー施行点１０４におけるアクセス権設定がアクセス権マトリクス１３０１上でアクセス権担保領域を制約とする。なお、本実施例ではアクセス権設定のアクセス権担保領域については事前に設計できているものとしている。さらに、“ポリシー施行点１０４におけるアクセス権設定の数が少ない方がよい”など普遍的な性質を弱い制約条件とする。制約条件は制約条件記憶領域３２１に格納される。
Further, based on the
（（６−２）制約プログラミングの実行）
次に、ポリシー定義処理部３０７は、アクセス権マトリクス１３０１全体について以下のように制約プログラミング６１８を行う。
((6-2) Executing constraint programming)
Next, the policy
制約プログラミング６１８は制約プログラミング処理部３０９が行い、アクセス権マトリクス１３０１上でインクリメントされた要素全てを包含するようなポリシー施行点１０４におけるアクセス権設定を探索する。そして、ロール１１０１毎に制約プログラミング６１８により求まったアクセス権設定と各アクセス権設定のアクセス権担保領域をロール・ポリシー記憶領域３１９に格納する。
The
（（６−３）インスタンス拡張）
次に、ポリシー定義処理部３０７はインスタンス拡張６１９を行う。即ち、下位のインスタンスに対してもアクセス権を設定できるようにする。
((6-3) Instance expansion)
Next, the policy
インスタンス拡張６１９はインスタンス拡張処理部３１０が行い、“クラス” 属性のロール１１０１毎に生成されたアクセス権マトリクス１３０１を下位の“インスタンス”属性のロール１１０１の数だけ複製し、“インスタンス”属性のロール１１０１毎にアクセス権マトリクス１３０１上でアクセス元１３０２、主体１３０３、アクセス先１３０４のクラス８０１をインスタンス８０２に拡張する。
The instance
インスタンス拡張６１９の結果を図１４に示す。図１４の例では、クラス８０１ “Ｃｌａｓｓ＿ＬＵ［１］”をインスタンス８０２“ＬＵ［１］”、“ＬＵ［２］”に拡張している。アクセス権マトリクス１３０１の要素の値はインスタンス拡張６１９前の値を継承し、ロール・ポリシー記憶領域３１９上の許可インスタンス１１０４に含まれないインスタンス８０２をデクリメントする。そして、インスタンス拡張６１９を実行したアクセス権マトリクス１３０１をアクセス権モデル記憶領域３２０に格納する。
The result of the
（（７）アクセス権担保領域における制約プログラミングの実行）
次にポリシー定義処理部３０７は、ポリシー定義処理部３０７はアクセス権担保領域（インスタンス拡張領域）毎に、上記の制約プログラミング６１８余同様な制約プログラミング６２０を行う。制約プログラミング６２０は制約プログラミング処理部３０９が行い、インスタンス拡張６１９によりアクセス権担保領域が拡大したアクセス権担保領域が対象となる。アクセス権担保領域に対応するアクセス権設定を見直すため、アクセス権担保領域内において最適なアクセス権設定（制約条件の制約の項目を満たしているアクセス権の設定）を探索し、ロール・ポリシー記憶領域３１９に格納する。
((7) Execution of constraint programming in the access right guarantee area)
Next, the policy
そして、ポリシー定義点１０３はクライアント装置１０１にポリシー定義応答メッセージ６２１を送信する。ポリシー定義応答メッセージ６２１はポリシー定義処理の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
Then, the
このように本実施例では、システムのトポロジ、ポリシー施行点１０４のアクセス制御機構を制約条件として制約プログラミングによりロール設計に基づいたポリシー施行点１０４のアクセス権設定を探索する。なお、本実施例で挙げた制約条件は例であり、非限定的なものである。
As described above, in this embodiment, the access right setting of the
本実施例では、ポリシー定義処理以前にクラスタリングによってロールとシステム構成をクラスレベルに抽象化し、ポリシー定義処理においてクラスレベルの制約プログラミングによるアクセス権設定探索とインスタンスレベルの制約プログラミングによるアクセス権設定探索を実行している。クラスとインスタンスに分けてアクセス権設定探索することで、制約プログラミングの計算が発散するリスクを低減する効果がある。即ち、アクセス権の設定対象をクラスとインスタンスに分けることで、制約プログラミングの計算の対象を限定できる。 In this example, roles and system configurations are abstracted to class level by clustering before policy definition processing, and access right setting search by class level constraint programming and access right setting search by instance level constraint programming are executed in policy definition processing. doing. By searching the access right setting separately for classes and instances, there is an effect of reducing the risk of the computation of constraint programming diverging. In other words, by dividing the access right setting targets into classes and instances, it is possible to limit the target of constraint programming calculation.
また、クラスとインスタンスに分けることで、制約プログラミングにおいて、クラスやインスタンスに対応付けられた制約条件を、クラスやインスタンスの内容が若干変更された場合でもそのまま継承でき、インスタンスレベルの制約プログラミングを部分問題として探索することができる。 Also, by dividing into classes and instances, in constraint programming, the constraint conditions associated with classes and instances can be inherited as they are even if the contents of classes and instances are slightly changed, and instance-level constraint programming is a partial problem. Can be explored as
近年、仮想化技術の進歩によりインスタンス生成・削除の機会は増大しており、インスタンスレベルの制約プログラミングを部分問題とすることで、再計算のコストを低減する効果がある。 In recent years, the opportunity of instance generation / deletion has increased due to the advancement of virtualization technology. By making instance-level constraint programming a partial problem, there is an effect of reducing the cost of recalculation.
以上が本システムにおいて初期状態からポリシーを定義する際にクライアント装置１０１、ポリシー定義点１０３、ポリシー施行点１０４が実行する一連の処理の例である。
The above is an example of a series of processes executed by the
（一連の処理の具体例）
図１５から図１６を用いて、本システムにおいてシステムの操作認可をする際にクライアント装置１０１、ポリシー定義点１０３、ポリシー施行点１０４が実行する一連の処理の例について説明する。
(Specific example of a series of processing)
An example of a series of processes executed by the
（（１）アクセス権の要求）
図１５は本実施例における操作認可処理のシーケンス図の例である。本実施例では最初にポリシー定義点１０３がポリシー施行点１０４にアクセス権を設定する。そのため、まずクライアント装置１０１はポリシー定義点１０３にアクセス権要求メッセージ１５０１を送信する。アクセス権要求メッセージ１５０１はユーザがアクセスを希望するロール１１０１、アクセス時間のパラメータから構成されている。
((1) Request access right)
FIG. 15 is an example of a sequence diagram of the operation authorization process in the present embodiment. In this embodiment, the
（（２）アクセス権の設定）
次に、ポリシー定義点１０３はアクセス権設定処理を行う。アクセス権設定処理はアクセス権追加処理部３１２で実行され、全てのポリシー施行点１０４に対してアクセス権追加メッセージ１５０２を送信する。
((2) Setting access rights)
Next, the
アクセス権追加要求メッセージ１５０２の例を図１６に示す。アクセス権追加要求メッセージ１５０２はアクセス権設定１６０１のパラメータから構成されている。アクセス権設定１６０１はロール・ポリシー記憶領域３１９上からユーザがアクセスを希望するロール１１０１に該当するアクセス権設定値を取得する。
An example of the access right addition request message 1502 is shown in FIG. The access right addition request message 1502 includes parameters of the access right setting 1601. The access right setting 1601 acquires an access right setting value corresponding to the
次にポリシー施行点１０４はアクセス権追加１５０３を行う。アクセス権追加１５０３はアクセス権追加処理部４０２で実行され、ポリシー施行点１０４において、アクセス権設定１６０１に基づいてアクセス権を追加する。そして、ポリシー施行点１０４はポリシー定義点１０３にアクセス権追加応答メッセージ１５０４を送信する。アクセス権追加応答メッセージ１５０４はアクセス権追加１５０３の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
Next, the
上記のようなアクセス権設定処理を全てのポリシー施行点１０４に対して反復処理する。ユーザがアクセスを希望するロール１１０１に該当するアクセス権設定１６０１が存在しないポリシー施行点１０４に関しては本処理を省略してもよい。
The access right setting process as described above is repeated for all policy enforcement points 104. This processing may be omitted for the
（（３）アクセス権設定の完了）
次に、ポリシー定義点１０３はクライアント装置１０１にアクセス権応答メッセージ１５０５を送信する。アクセス権応答メッセージ１５０５はアクセス権設定処理の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
((3) Completion of access right setting)
Next, the
（（４）操作要求）
次に、本実施例では、ポリシー施行点１０４において操作を実行する。そのため、クライアント装置１０１はユーザが実行したい操作毎にポリシー施行点１０４に操作要求メッセージ１５０６を送信する。操作要求メッセージ１５０６はポリシー施行点１０４に操作を実行させるために送信されるメッセージであり、パラメータがないメッセージである。
((4) Operation request)
Next, in this embodiment, the operation is executed at the
次に、ポリシー施行点１０４は、操作１５０７を実行する。操作１５０７は操作処理部４０４で実行され、ユーザの希望に従い、機能１００１のいずれかが実行される。そして、ポリシー施行点１０４はクライアント装置１０１に操作応答メッセージ１５０８を送信する。操作応答メッセージ１５０８はアクセス権設定処理の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
Next, the
（（５）アクセス権の削除）
次に、本実施例では、アクセス権が設定されたポリシー施行点１０４（装置などのリソース）を使用後に開放するため、追加したアクセス権の削除を行う。そのため、ポリシー定義点１０３はアクセス権削除処理を実行する。アクセス権削除処理は、アクセス権追加処理後、アクセス権追加要求メッセージ１５０２中のアクセス時間が経過した際に、アクセス権削除処理部４０３において実行される。アクセス権削除処理では、アクセス権を設定した全てのポリシー施行点１０４に対して、アクセス権削除要求メッセージ１５０９を送信する。アクセス権削除要求メッセージ１５０９は、アクセス権設定１６０１を削除するパラメータから構成されている。一方、アクセス権設定１６０１は、ロール・ポリシー記憶領域３１９上からユーザがアクセスを希望する新たなロール１１０１に該当するアクセス権設定値を取得する。
((5) Delete access right)
Next, in this embodiment, in order to release the policy enforcement point 104 (resource such as a device) to which the access right is set after use, the added access right is deleted. Therefore, the
次に、パラメータでアクセス権削除の対処として指定されたポリシー施行点１０４は、アクセス権削除１５１０を実行する。アクセス権削除１５１０はアクセス権削除処理部４０３で実行され、アクセス権削除要求メッセージ１５０９上のアクセス権設定１６０１を削除するパラメータに基づいてアクセス権を削除する。そして、ポリシー施行点１０４はアクセス権削除応答メッセージ１５１１をポリシー定義点１０３に送信する。アクセス権削除応答メッセージ１５１１はアクセス権削除１５１０の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
Next, the
アクセス権の追加と削除を繰り返す際に、各ポリシー施行点１０４における処理の継続に必要な情報が必要に応じて保持される。例えば、(1)最初、ロールＡでポリシー施行点αにアクセス権を追加し、その後削除し、(2)ロールＢでポリシー施行点αにアクセス権を追加し、その後削除し、再び、(3)ロールＡでポリシー施行点αにアクセス権を追加するような場合、(2)のロールＢの実行中であっても。(1)のロールＡで実行していた時の情報を保持しておかないと、(3)のロールＡを再開した時に情報の一貫性が保たれない。
When the addition and deletion of access rights are repeated, information necessary for continuation of processing at each
（他の実施例）
このように本実施例では、ユーザが操作要求する毎にポリシー施行点１０４のアクセス権を実行する。
(Other examples)
As described above, in this embodiment, the access right of the
一般的に、ロール設計の段階で同時実行してはならない操作を１つのロールに対して与える事態を回避するが、１人に複数のロールが割り当てられた場合、同時実行してはならない操作の権限を両方有してしまう場合がある。そのため、全てのロールに対して事前にアクセス権を静的に与える方法だと、同時実行してはならない操作を同時に実行してしまうリスクが高くなり、好ましくない。そこで、本実施例のようにアクセス権を動的に付与することによって、該リスクを低減し、責任分離を容易にする効果がある。即ち、上記の（１）〜（５）の一連の処理（各ポリシー施行点に対するアクセス権の追加と削除）を動的に行うことにより、１つのポリシー施行点１０４（リソース）に対して一時的に操作の権限を与えることができる。 In general, avoid the situation where operations that should not be executed simultaneously at the stage of role design are given to one role. However, if multiple roles are assigned to one person, operations that must not be executed simultaneously. You may have both rights. Therefore, the method of statically assigning access rights to all roles in advance increases the risk of simultaneously performing operations that should not be performed simultaneously, which is not preferable. Therefore, dynamically assigning access rights as in this embodiment has the effect of reducing the risk and facilitating separation of responsibilities. That is, by dynamically performing the series of processes (addition and deletion of access rights to each policy enforcement point) described above (1) to (5), one policy enforcement point 104 (resource) is temporarily stored. Can be authorized to operate.
また、本実施例では、ユーザが指定するアクセス時間を基にアクセス権削除のタイミングを決定しているが、ポリシー定義点１０３がブロードキャストによりポリシー施行点１０４に問い合わせ、操作終了を確認してアクセス権を削除するなどでもよい。
In this embodiment, the access right deletion timing is determined based on the access time specified by the user. However, the
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。 In addition, this invention is not limited to an above-described Example, Various modifications are included. For example, the above-described embodiments have been described in detail for easy understanding of the present invention, and are not necessarily limited to those having all the configurations described. Further, a part of the configuration of one embodiment can be replaced with the configuration of another embodiment, and the configuration of another embodiment can be added to the configuration of one embodiment. Further, it is possible to add, delete, and replace other configurations for a part of the configuration of each embodiment.
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ(Solid State Drive)等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。 Each of the above-described configurations, functions, processing units, processing means, and the like may be realized by hardware by designing a part or all of them with, for example, an integrated circuit. Each of the above-described configurations, functions, and the like may be realized by software by interpreting and executing a program that realizes each function by the processor. Information such as programs, tables, and files that realize each function can be stored in a recording device such as a memory, a hard disk, or an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, or a DVD.
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。 Further, the control lines and information lines indicate what is considered necessary for the explanation, and not all the control lines and information lines on the product are necessarily shown. Actually, it may be considered that almost all the components are connected to each other.
１０１：クライアント装置、１０２：ネットワーク、１０３：ポリシー定義点、１０４＿１、１０４＿ｎ：ポリシー施行点、２０１、３０１、４０１：制御部、３１４：記憶部、２１１：入出力部、２１１、３２３、４０５：送受信部、５０１：コンピュータ、５０２：ＣＰＵ、５０３：メモリ、５０４：外部記憶装置、５０５：送受信装置、５０６：出力装置、５０７：入力装置 101: client device, 102: network, 103: policy definition point, 104_1, 104_n: policy enforcement point, 201, 301, 401: control unit, 314: storage unit, 211: input / output unit, 211, 323, 405: transmission / reception 501: Computer, 502: CPU, 503: Memory, 504: External storage device, 505: Transmission / reception device, 506: Output device, 507: Input device
Claims (15)
前記ポリシー定義点により、
システム構成情報を受信し、ポリシー施行点の機能情報とアクセス制御機構情報を受信し、ロールベースアクセス制御に基づいたロールを受信する処理と、
アクセス権をモデル化し、制約条件を設定し、制約プログラミングにより前記ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する処理と、
前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点に前記アクセス権設定値を送信する処理を実施する、
ことを特徴とするロールベースのアクセス制御方法。 A role-based access control method at a policy definition point connected to a network and a plurality of policy enforcement points,
By the policy definition point,
Processing for receiving system configuration information, receiving policy enforcement point function information and access control mechanism information, and receiving a role based on role-based access control;
Processing for modeling access rights, setting constraint conditions, and searching for access right setting values of the policy enforcement points that satisfy the role by constraint programming;
The policy definition point performs a process of transmitting the access right setting value to a plurality of policy enforcement points via the network.
And a role-based access control method.
前記システム構成情報と前記ポリシー施行点の前記アクセス制御機構情報を強い制約条件とする処理を実施する
ことを特徴とする請求項１に記載のロールベースのアクセス制御方法。 By the policy definition point,
The role-based access control method according to claim 1, wherein the system configuration information and the access control mechanism information at the policy enforcement point are used as a strong constraint.
前記アクセス権設定値の総数と前記ロールとして不要な前記アクセス権設定値の数とを弱い制約条件とする処理を実施する
ことを特徴とする請求項２に記載のロールベースのアクセス制御方法。 By the policy definition point,
The role-based access control method according to claim 2, wherein a process is performed in which the total number of the access right setting values and the number of the access right setting values unnecessary for the role are set as weak constraints.
前記システム構成情報をクラスタリングしてクラス構成情報を生成する処理と、
前記ロールをクラス属性ロールとインスタンス属性ロールに分類する処理と、
前記クラス構成情報を制約条件とし、制約プログラミングにより前記クラス属性ロールを満たす前記ポリシー施行点の暫定アクセス権設定値を探索する処理と、
前記制約条件を継承し、前記暫定アクセス権設定値を継承し、制約プログラミングにより前記インスタンス属性ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する処理を実施する、
ことを特徴とする請求項３に記載のロールベースのアクセス制御方法。 By the policy definition point,
Clustering the system configuration information to generate class configuration information;
A process of classifying the role into a class attribute role and an instance attribute role;
A process of searching for a provisional access right setting value of the policy enforcement point that satisfies the class attribute role by constraint programming using the class configuration information as a constraint condition;
Inheriting the restriction condition, inheriting the provisional access right setting value, and performing a process of searching for the access right setting value of the policy enforcement point that satisfies the instance attribute role by constraint programming.
The role-based access control method according to claim 3.
前記システム構成情報の更新情報を受信し、インスタンス増減の情報を取得する処理と、
前記アクセス権設定値を継承し、前記インスタンス増減より変更が発生し得る前記アクセス権設定値に限定した制約プログラミングにより部分問題として修正する処理を実施する、
ことを特徴とする請求項４に記載のロールベースのアクセス制御方法。 By the policy definition point,
A process of receiving update information of the system configuration information and acquiring instance increase / decrease information;
Inheriting the access right setting value, performing a process of correcting as a partial problem by constraint programming limited to the access right setting value that can be changed by the increase or decrease of the instance,
The role-based access control method according to claim 4.
前記ポリシー施行点の機能情報を受信し、前記クラスを機能の主体とアクセス元とアクセス先とに分け、前記主体と前記アクセス元と前記アクセス先と前記機能の組み合わせによりクラス属性ロールのアクセスモデルを生成する
ことを特徴とする請求項１に記載のロールベースのアクセス制御方法。 By the policy definition point,
The function information of the policy enforcement point is received, the class is divided into a function subject, an access source, and an access destination, and an access model of a class attribute role is determined by a combination of the subject, the access source, the access destination, and the function. The role-based access control method according to claim 1, wherein the role-based access control method is generated.
前記クラス属性ロールの前記アクセスモデルを継承し、前記主体と前記アクセス元と前記アクセス先を前記クラスから前記インスタンスへ拡張することでインスタンス属性ロールのアクセス権モデルを生成する
ことを特徴とする請求項６に記載のロールベースのアクセス制御方法。 By the policy definition point,
The access model of an instance attribute role is generated by inheriting the access model of the class attribute role and extending the subject, the access source, and the access destination from the class to the instance. 6. The role-based access control method according to 6.
アクセス希望ロールを受信し、前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点にアクセス希望ロールに該当する前記アクセス権設定値を送信する処理と、
一定時間終了時後、あるいは操作終了信号を受信後、前記ポリシー施行点で設定したアクセス権を削除する処理を実施する、
ことを特徴とする請求項１に記載のロールベースのアクセス制御方法。 By the policy definition point,
A process of receiving an access desired role, and the policy definition point transmits the access right setting value corresponding to the access desired role to a plurality of policy enforcement points via the network;
After the end of a certain period of time or after receiving an operation end signal, carry out a process of deleting the access right set at the policy enforcement point.
The role-based access control method according to claim 1.
前記ポリシー定義点は、
システム構成情報を受信し、ポリシー施行点の機能情報とアクセス制御機構情報を受信し、ロールベースアクセス制御に基づいたロールを受信する処理と、
アクセス権をモデル化し、制約条件を設定し、制約プログラミングにより前記ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する手段と、
前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点に前記アクセス権設定値を送信する処理を実施する手段と、を有する
ことを特徴とするロールベースのアクセス制御システム。 A role-based access control system having a policy definition point connected to a network and a plurality of policy enforcement points,
The policy definition point is
Processing for receiving system configuration information, receiving policy enforcement point function information and access control mechanism information, and receiving a role based on role-based access control;
Means for modeling an access right, setting a constraint condition, and searching for an access right setting value of the policy enforcement point satisfying the role by constraint programming;
A role-based access control system, wherein the policy definition point includes means for transmitting the access right setting value to a plurality of policy enforcement points via the network.
前記システム構成情報と前記ポリシー施行点の前記アクセス制御機構情報を強い制約条件とする処理を実施する手段を有する
ことを特徴とする請求項９に記載のロールベースのアクセス制御システム。 The policy definition point is
10. The role-based access control system according to claim 9, further comprising a unit that performs processing using the system configuration information and the access control mechanism information of the policy enforcement point as a strong constraint.
前記アクセス権設定値の総数と前記ロールとして不要な前記アクセス権設定値の数とを弱い制約条件とする処理を実施する手段を有する
ことを特徴とする請求項１０に記載のロールベースのアクセス制御システム。 The policy definition point is
The role-based access control according to claim 10, further comprising: a process for setting a weak restriction condition on a total number of the access right setting values and a number of the access right setting values unnecessary for the role. system.
前記ポリシー施行点の機能情報を受信し、前記クラスを機能の主体とアクセス元とアクセス先とに分け、前記主体と前記アクセス元と前記アクセス先と前記機能の組み合わせによりクラス属性ロールのアクセスモデルを生成する手段を有する
ことを特徴とする請求項９に記載のロールベースのアクセス制御システム。 The policy definition point is
The function information of the policy enforcement point is received, the class is divided into a function subject, an access source, and an access destination, and an access model of a class attribute role is determined by a combination of the subject, the access source, the access destination, and the function. The role-based access control system according to claim 9, further comprising means for generating.
前記クラス属性ロールの前記アクセスモデルを継承し、前記主体と前記アクセス元と前記アクセス先を前記クラスから前記インスタンスへ拡張することでインスタンス属性ロールのアクセス権モデルを生成する手段を有する
ことを特徴とする請求項１２に記載のロールベースのアクセス制御システム。 The policy definition point is
Means for inheriting the access model of the class attribute role and generating an access right model of the instance attribute role by extending the subject, the access source, and the access destination from the class to the instance. The role-based access control system according to claim 12.
アクセス希望ロールを受信し、前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点にアクセス希望ロールに該当する前記アクセス権設定値を送信する手段と、
一定時間終了時後、あるいは操作終了信号を受信後、前記ポリシー施行点で設定したアクセス権を削除する処理を実施する手段、を有する
ことを特徴とする請求項９に記載のロールベースのアクセス制御システム。 The policy definition point is
Means for receiving an access desired role, and the policy definition point transmits the access right setting value corresponding to the access desired role to a plurality of policy enforcement points via the network;
10. The role-based access control according to claim 9, further comprising means for executing a process of deleting an access right set at the policy enforcement point after a predetermined time or after receiving an operation end signal. system.
前記アクセス制御法方法は、
前記ポリシー定義点により、
システム構成情報を受信し、ポリシー施行点の機能情報とアクセス制御機構情報を受信し、ロールベースアクセス制御に基づいたロールを受信する処理と、
アクセス権をモデル化し、制約条件を設定し、制約プログラミングにより前記ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する処理と、
前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点に前記アクセス権設定値を送信する処理を実施する、
ことを特徴とする記憶媒体。 A storage medium that is readable and enlightened with a program for executing a role-based access control method at a policy definition point connected to a network and a plurality of policy enforcement points,
The access control method is:
By the policy definition point,
Processing for receiving system configuration information, receiving policy enforcement point function information and access control mechanism information, and receiving a role based on role-based access control;
Processing for modeling access rights, setting constraint conditions, and searching for access right setting values of the policy enforcement points that satisfy the role by constraint programming;
The policy definition point performs a process of transmitting the access right setting value to a plurality of policy enforcement points via the network.
A storage medium characterized by that.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013225714A JP2015087944A (en) | 2013-10-30 | 2013-10-30 | Roll-based access control method and system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2013225714A JP2015087944A (en) | 2013-10-30 | 2013-10-30 | Roll-based access control method and system |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JP2015087944A true JP2015087944A (en) | 2015-05-07 |
Family
ID=53050676
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2013225714A Pending JP2015087944A (en) | 2013-10-30 | 2013-10-30 | Roll-based access control method and system |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2015087944A (en) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107645532A (en) * | 2016-07-22 | 2018-01-30 | 腾讯科技（深圳）有限公司 | The user management method and device of mixed cloud |
| US11297066B2 (en) | 2020-01-20 | 2022-04-05 | International Business Machines Corporation | Constrained roles for access management |
-
2013
- 2013-10-30 JP JP2013225714A patent/JP2015087944A/en active Pending
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN107645532A (en) * | 2016-07-22 | 2018-01-30 | 腾讯科技（深圳）有限公司 | The user management method and device of mixed cloud |
| US11297066B2 (en) | 2020-01-20 | 2022-04-05 | International Business Machines Corporation | Constrained roles for access management |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9774586B1 (en) | Dynamic authorization of users in a multi-tenant environment using tenant authorization profiles | |
| JP5356221B2 (en) | Convert role-based access control policies to resource authorization policies | |
| US9294485B2 (en) | Controlling access to shared content in an online content management system | |
| JP4769304B2 (en) | Operating system independent data management | |
| JP4537022B2 (en) | A data processing method, a storage area control method, and a data processing system that limit data arrangement. | |
| JP4896541B2 (en) | Discoverability and enumeration mechanisms in hierarchically secure storage systems | |
| US10776322B2 (en) | Transformation processing for objects between storage systems | |
| JP5719431B2 (en) | Method for protecting data for context recognition, data processing system thereof, and computer program | |
| US20120131646A1 (en) | Role-based access control limited by application and hostname | |
| CN112532632B (en) | Resource allocation method and device for multi-level cloud platform and computer equipment | |
| JP2010079468A (en) | File server resource division method, system, apparatus and program | |
| US20180352034A1 (en) | Dynamic routing of file system objects | |
| US20230061347A1 (en) | Multiple access points for data containers | |
| US20090254559A1 (en) | File system and method for controlling file system | |
| US8819231B2 (en) | Domain based management of partitions and resource groups | |
| JP2011232840A (en) | Access control information managing method, computer system and program | |
| US9111114B1 (en) | Method of transforming database system privileges to object privileges | |
| JP2015087944A (en) | Roll-based access control method and system | |
| US20230077424A1 (en) | Controlling access to resources during transition to a secure storage system | |
| Zou et al. | Multi-tenancy access control strategy for cloud services | |
| WO2016127773A1 (en) | Update method and device | |
| US20170147158A1 (en) | Methods and systems for managing gui components in a networked storage environment | |
| Li et al. | Research and Design of Docker Technology Based Authority Management System | |
| Costa et al. | Attribute based access control in federated clouds: A case study in bionformatics | |
| US11803568B1 (en) | Replicating changes from a database to a destination and modifying replication capacity |