CN100571179C - 信息处理设备和网络管理方法 - Google Patents

Abstract

本发明公开了一种信息处理设备和网络管理方法。该网络管理方法包括：设置步骤，用于设置限制连接到网络的装置的功能的功能限制信息；以及判断步骤，用于对于网络中的多个组中的每一组判断哪个用户可以访问，其中该设置步骤还包括设置关于在该判断步骤中被判断为可以访问的用户的功能限制信息。

Description

信息处理设备和网络管理方法

技术领域

本发明涉及一种特别适合于连接到网络的装置的功能管理的信息处理装置、网络系统、网络管理系统和计算机程序。

背景技术

近年来，计算机相互连接的计算机网络(以下简称为网络)已得以普及。可以在建筑物的一层、整个建筑物、建筑物群(建筑物内部)、局部地区或更大地区中构建这类网络。然后，这类网络相互连接，从而形成世界级网络(即，因特网)。

此外，在许多情况下还将计算机以外的打印机、传真机和复印机(以下称之为装置)连接到网络。当计算机通过网络向装置发送作业时，计算机用户可以利用该装置。例如，关于计算机通过网络向打印机发送打印作业时所进行的打印(网络打印)，具有以下优点：多个计算机可以共享大规模高速打印机或昂贵的彩色打印机。另外，关于网络打印，还具有以下优点：打印机可以响应于客户计算机远程发出的打印指令进行打印。因此，现今网络打印已得以普遍使用。

而且，近年的复印机不仅具有复印原稿的功能，而且还具有执行从外部客户终端发送的打印以进行打印的功能、以及利用扫描后的原稿或电子邮件的文件传送功能将原稿或邮件电子发送到外部的功能等。这类复印机被称为MFP(Multi FunctionPeripheral，多功能外围设备)。

然而，由于MFP具有大量功能而产生了问题。例如，可以将扫描后的信息发送到外部，由此出现信息泄露的危险性较高等的问题。此外，随着打印薄片数量的增加，所消耗的纸张和调色剂的费用也增加，很久以前就存在针对每一用户限制打印功能和可打印薄片的数量的需求。从降低TOC(Total Cost ofOwnership，总体拥有成本)的角度而言，满足该需求非常重要。

为了解决上述问题，提出了一种利用ID管理所有用户并限制每一ID可用的功能、资源和使用时间段的方法(参考日本特开平11-134136号公报)。

顺便提及，根据上述传统技术，由系统管理员设置用户的装置使用限制的信息，并将该信息作为表形式的数据进行管理。用户的装置使用限制的信息被称为ACL(Access Control List，访问控制列表)。

在系统中仅存在一个ACL的情况下，由系统管理员设置的且作为表形式的数据来管理的ACL的数量如图9所示为一个。这样，当在系统中仅存在一个ACL时，即使在用户利用该系统中的任何装置的情况下，该用户都受到相同的限制。在图9的ACL800中，例如，即使在“用户C”利用该系统中的任何装置的情况下，该用户都不能利用传真(FAX)。

基于此，可考虑为每一装置准备ACL以便如图10所示限制内容因每一装置而改变。这样，当为每一装置准备了多个ACL900a～900n时，系统管理员弄不清楚哪个用户可以访问哪个装置。为此，系统管理员需要相对于为每一装置所准备的多个ACL900a～900n，设置所有用户的信息以便进行管理。

然而，在装置数量和用户数量巨大的网络中，对为每一装置所准备的所有ACL设置所有用户的信息是一件非常麻烦的工作。因此，存在用于管理系统的成本巨大的问题。在目的为降低TCO的系统中，这点是一个问题。

发明内容

根据本发明的一方面，提供一种信息处理设备，其包括：设置单元，用于设置限制连接到网络的装置的功能的功能限制信息，所述装置运行图像形成处理，并且所述装置的所述功能包括打印功能、扫描功能和发送功能中的至少一个；以及判断单元，用于对于所述网络中的多个组中的每一组判断哪个用户可以访问，其中，所述设置单元设置关于由所述判断单元判断为可以访问的用户的所述功能限制信息，以及当用户使用所述装置的所述功能时，基于由所述设置单元设置的用户的所述功能限制信息来限制所述装置的所述功能的使用。

根据本发明的另一方面，提供一种信息处理设备，其包括：设置单元，用于设置限制连接到网络的装置的功能的功能限制信息；判断单元，用于对于所述网络中的多个组中的每一组判断哪个用户可以访问；获得单元，用于获得与作为连接到所述网络的装置的作业的发出源的用户有关的信息；确定单元，用于利用与基于所述获得单元所获得的信息而指定的用户有关的所述功能限制信息，确定可由作为所述作业的发出目的地的装置执行的功能的内容；以及执行单元，用于根据所述确定单元所确定的内容，执行所述作业，其中，所述设置单元设置关于由所述判断单元判断为可以访问的用户的所述功能限制信息。

根据本发明的另一方面，提供一种网络管理方法，其包括：设置用于限制连接到网络的装置的功能的功能限制信息，所述装置运行图像形成处理，并且所述装置的所述功能包括打印功能、扫描功能和发送功能中的至少一个；对于所述网络中的多个组中的每一组判断哪个用户可以访问；设置关于被判断为可以访问的用户的功能限制信息；以及当用户使用所述装置的所述功能时，基于所设置的用户的所述功能限制信息来限制所述装置的所述功能的使用。

根据本发明的又一方面，提供一种网络管理方法，其包括：设置用于限制连接到网络的装置的功能的功能限制信息；对于所述网络中的多个组中的每一组判断哪个用户可以访问；获得与作为连接到所述网络的装置的作业的发出源的用户有关的信息；利用与基于所获得的信息而指定的用户有关的所述功能限制信息，确定可由作为所述作业的发出目的地的装置执行的功能的内容；根据所确定的内容，执行所述作业；以及设置关于被判断为可以访问的用户的功能限制信息。

而且，根据本发明的另一方面，提供一种包含用于使计算机执行网络管理任务的计算机可执行指令的计算机可读介质。这里，该介质包括以下计算机可执行指令：设置用于限制连接到网络的装置的功能的功能限制信息；对于所述网络中的多个组中的每一组判断哪个用户可以访问；以及设置关于被判断为可以访问的用户的功能限制信息。

根据本发明的另一方面，提供一种存储在包含用于使计算机执行网络管理任务的计算机可执行指令的可读介质上的计算机程序。这里，该程序包括以下计算机可执行指令：设置用于限制连接到网络的装置的功能的功能限制信息；对于所述网络中的多个组中的每一组判断哪个用户可以访问；以及设置关于被判断为可以访问的用户的功能限制信息。

通过以下参照附图对典型实施例的说明，本发明的其它特征、方面和优点将显而易见。

附图说明

图1示出根据本发明典型实施例的网络系统的逻辑结构。

图2示出根据本发明典型实施例用于实现图1所示的网络系统中的各功能元件的结构例子。

图3是示出根据本发明典型实施例的服务器PC和各客户机中的硬件的结构例子的框图。

图4是示出根据本发明典型实施例的多功能复印机(MFP)中的硬件的结构例子的框图。

图5示出根据本发明典型实施例的作业结构例子。

图6示出根据本发明典型实施例的ACT的内容的例子。

图7示出根据本发明典型实施例的ACL的内容的例子。

图8是用于说明根据本发明典型实施例系统管理员实用程序(administrator utility，AU)设置ACL的处理的例子的流程图。

图9示出对根据本发明典型实施例的引导系统(introductory system)的系统仅设置的一个ACL的内容。

图10示出对本发明典型实施例的引导系统设置的多个ACL的内容。

图11是根据本发明典型实施例的系统结构图。

图12示出根据本发明典型实施例的访问控制列表的例子。

图13是示出根据本发明典型实施例的操作的流程图。

具体实施方式

第一典型实施例

接着参照附图说明第一典型实施例。

图1示出根据该典型实施例的网络系统的逻辑结构例子。注意，图1是通过使用UML(Universal Modeling Language，通用建模语言)的符号描述的类图。图2示出用于实现图1所示的网络系统中的各功能元件的结构例子。

如图2所示，网络系统由例如通过网络201(包括201a～201c)相互连接的装置214～216和224～226、服务器202、204和205、以及客户机PC 211～213和221～223构成。根据该典型实施例，举例说明该网络系统是用于限制执行使用装置214～216和224～226的用户的作业的打印管理系统。这里，作业执行的限制包括对装置214～216和224～226的访问限制、对装置214～216和224～226中的可打印薄片的数量的限制等。另外，用户不一定是个人，而包括组织(例如，公司)和组织中的部门(例如，公司的部门)等团体用户。

在图1中，多功能复印机(MFP)104相当于例如图2中所示的装置214～216和224～226。多功能复印机(MFP)104具有在纸张上复印原稿的功能。另外，多功能复印机(MFP)104具有打印从外部打印机驱动程序(Drv)103发送的打印数据的功能。而且，多功能复印机(MFP)104具有读取纸张上的原稿并将纸件原稿的图像数据发送给外部文件服务器或邮件地址的功能(即，SEND(发送)功能)。

系统管理员实用程序(AU)100在例如图2所示的服务器PC(应用程序服务器)上运行，并被配置成进行网络系统的设置及管理该网络系统。例如，利用系统管理员实用程序(AU)100，可以进行关于将被保持在用户信息服务器(AD)101上的功能限制信息的设置。

用户信息服务器(AD)101保持用户ID和密码等用户信息110。另外，在该网络系统中，用户信息服务器(AD)101保持表示每一用户可以使用多功能复印机(MFP)104的哪些功能的功能限制信息(ACL)107。用户信息服务器(AD)101在例如图2所示的目录服务器203上运行。更具体地，例如，通过使用LDAP服务器、活动目录服务器等来实现用户信息服务器(AD)101。应该注意，后面将详细说明功能限制信息(ACL)107。

票据(ticket)发出服务器(SA)102例如在图2所示的服务器PC 202上运行。票据发出服务器(SA)102被配置成基于存储在用户信息服务器101中的功能限制信息107和存储在实绩(actual performance)收集服务器(JSS)106中的用户的作业执行的实绩值，发出票据105。票据105被称为ACT(AccessControl Token，访问控制令牌)。票据105包括关于用户可以使用的多功能复印机(MFP)104的功能的信息。更具体地，在ACT 105中将用于限制执行作业的多功能复印机(MFP)104的功能的功能限制项作为功能限制信息来描述。而且，在ACT 105中将待打印薄片的限定数量等关于多功能复印机(MFP)104所执行的功能的上限值的信息作为功能限制信息来描述。包括上述信息的ACT 105具有向打印机驱动程序(Drv)103和多功能复印机(MFP)104通知网络系统上可以使用多功能复印机(MFP)104的用户的访问限制信息的作用。

打印机驱动程序(Drv)103例如在图2所示的客户机PC211～213和221～223上运行。根据该典型实施例，当用户使用客户机PC 211～213和221～223时，为了弄清楚哪个用户使用哪个客户机PC而需要登录(login)。

实绩收集服务器(JSS)106被配置成，例如，计算跨多个装置(MFP 104)通过后面所述的实绩收集客户机109所通知的各用户的作业执行的实绩。这里，作业执行的实绩包括例如打印的薄片数量的实绩值。另外，实绩收集服务器(JSS)106保持作为整个网络系统中的各用户的作业的执行状态的用户作业发出状态108。在图1所示的例子中，打印机驱动程序(Drv)103从多功能复印机(MFP)104获得作业执行的实绩。另外，实绩收集服务器(JSS)106通过实绩收集客户机109收集作业执行的实绩。

用户作业发出状态108是表示在发出ACT 105后对各用户是否完成了使用ACT 105的作业的信息。将用户作业发出状态108作为实绩收集服务器(JSS)106所管理的数据保存在实绩收集服务器(JSS)106中。

对每个多功能复印机(MFP)104设置实绩收集客户机(JSS客户机)109，并使其在多功能复印机(MFP)104中运行。实绩收集客户机(JSS客户机)109向实绩收集服务器(JSS)106通知各用户在多功能复印机(MFP)104中的作业执行的实绩，其中，实绩收集客户机本身属于该多功能复印机(MFP)104。这样，将网络系统中的各用户的作业执行的实绩保持在实绩收集客户机(JSS客户机)109上。

应该注意，可以通过实绩收集客户机(JSS客户机)109计算多个多功能复印机(MFP)104中的作业执行的实绩。

接着，参照图2，详细说明用于实现图1所示的网络系统中的各功能元件的结构例子。

在图2中，在网络201中连接装置214～216和224～226、服务器202、204和205、以及客户机PC 211～213和221～223。在根据该典型实施例的网络系统中，例如，向由一个建筑物中的一层或连续多层上的用户所形成的用户群等部分本地用户群提供服务。

更具体地，根据该典型实施例，通过以太网(Ethernet，注册商标)构建网络201，并通过认证VLAN(虚拟LAN)运行网络201。“认证VLAN”是指能够通过使用用户ID和密码管理和限制每一用户的访问、但是不管理或限制每一终端(例如，PC或MFP)的访问的虚拟LAN(VLAN)。因此，当用户从任一终端登录网络201时，用户仅可以访问属于许可VLAN的终端，而不能访问属于未许可VLAN的终端。

服务器PC 202设有支持Microsoft Windows(注册商标)或UNIX(注册商标)等OS(操作系统)的计算机、以及用于实现OS和OS的管理功能等的应用程序。图1所示的系统管理员实用程序(AU)100和实绩收集服务器(JSS)106在服务器PC 202上运行。

目录服务器203保持功能限制信息(ACL)107、用户信息110等。图1所示的用户信息服务器(AD)101在目录服务器203上运行。

认证VLAN服务器204被配置成管理认证VLAN的设置信息。根据该典型实施例，认证VLAN服务器204包括用于管理登录网络201的用户ID、用户密码和分配给用户的VLAN名称的管理表204a。可以通过系统管理员创建管理表204a，或者可以基于从客户机PC 211～213和221～223发送的信息，通过认证VLAN服务器204自动创建管理表204a。

当用户登录网络201时，IP地址管理服务器205与认证VLAN服务器204相关联运行以向终端(客户机PC 211～213和221～223等)分配IP地址。根据该典型实施例，IP地址管理服务器205包括用于管理VLAN名称、VLAN中的IP地址范围和IP地址的子网掩码(subnet mask)的管理表205a。可以通过系统管理员创建管理表205a，或者可以基于从客户机PC 211～213和221～223发送的信息，通过IP地址管理服务器205自动创建管理表205a。应该注意，用于管理IP地址的协议包括例如DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)。

VLAN 206和207是由认证VLAN构成的逻辑VLAN。应该注意，这里将VLAN 206的名称设置为“VLAN 1”，将VLAN 207的名称设置为“VLAN 2”。

认证VLAN开关208和209是用于构成认证VLAN的开关，它们被配置成控制将要发送给网络201的包。例如，认证VLAN开关208进行控制以防止将从VLAN 206发送的包发送给VLAN207等其它VLAN。应该注意，根据该典型实施例，将服务器PC202、目录服务器203、认证VLAN服务器204和IP地址管理服务器205设置成可从VLAN 206和207中的任何一个访问。

客户机PC 211～213和221～223设有支持MicrosoftWindows(注册商标)或UNIX(注册商标)等OS的计算机。图1所示的打印机驱动程序(Drv)103在客户机PC 211～213和221～223上运行。

装置214～216和224～226相当于图1所示的多功能复印机(MFP)104。另外，根据该典型实施例，装置214～216和224～226还设有图1所示的实绩收集客户机(JSS客户机)109。

应该注意，上述结构仅是例子。例如，可以通过客户机PC211～213和221～223实现图1所示的多功能复印机(MFP)104以外的所有实绩收集客户机109、票据发出服务器(SA)102、以及打印机驱动程序(Drv)103等。另外，也可以通过多个服务器计算机实现实绩收集客户机109、票据发出服务器(SA)102、以及打印机驱动程序(Drv)103等。

换句话说，打印机驱动程序(Drv)103和票据发出服务器(SA)102之间的接口可以是物理通信介质，或者可由用于消息通信的以软件方式形成的逻辑接口构成。这里，物理通信介质为例如网络、本地接口、CPU总线等。类似地，票据发出服务器(SA)102和实绩收集服务器(JSS)106之间的接口可以由物理通信介质或逻辑接口构成。另外，可以由物理通信介质或逻辑接口构成票据发出服务器(SA)102与用户信息服务器(AD)101之间的接口以及实绩收集客户机109与实绩收集服务器(JSS)106之间的接口。

另外，装置214～216和224～226不局限于多功能复印机(MFP)。例如，装置214～216和224～226可以是打印机、复印机、传真机、以及扫描器装置等。而且，可以在CPU执行程序时执行上述功能，或者可以通过安装硬件电路来实现上述功能。

图3是示出服务器PC 202和各客户机PC 211～213和221～223中的硬件结构的例子的框图。

在图3中，CPU 501利用RAM 503执行存储在ROM 502中的程序等，从而全面控制连接到系统总线504的各装置502、503和505～508。例如，CPU 501执行系统管理员实用程序(AU)100、票据发出服务器(SA)102、打印机驱动程序(Drv)103、实绩收集服务器(JSS)106、以及实绩收集客户机109的功能。系统管理员实用程序(AU)100、票据发出服务器(SA)102、打印机驱动程序(Drv)103、实绩收集服务器(JSS)106、以及实绩收集客户机109被存储在ROM 502或硬盘驱动器(HD)511中。应该注意，它们也可以从软盘驱动器(FD)512提供。

RAM 503用作CPU 501的主存储器、工作区等。键盘控制器(key board eontroller，KB C)505被配置成控制来自键盘(KB)509和该图中未示出的指示装置等的指令输入。CRT控制器(CRTC)506被配置成控制CRT显示器(CRT)510的显示。

盘控制器(DKC)507被配置成控制对存储引导程序、各种应用程序、编辑文件、用户文件等的硬盘驱动器(HD)511和软盘控制器(FD)512的访问。网络接口卡(NIC)508被配置成通过网络201与外部装置双向交换数据。

应该注意，作为服务器PC 202的用户接口，有KB 509和CRT510等物理连接到服务器PC 202的装置、以及利用HTTP/HTML的Web接口等。因而，可以从该图中未示出的连接到网络201的管理员计算机，通过网络201操作服务器PC 202。

另外，还可以通过使用图3所示的硬件来实现目录服务器203、认证VLAN服务器204和IP地址管理服务器205。

图4是示出多功能复印机(MFP)104中的硬件结构的例子的框图。

在图4中，控制器单元2000是用于实现到扫描器2070、打印机2095和网络201的连接以进行图像信息和装置信息的输入和输出的控制器。

CPU 2001是用于控制整个系统的控制器。RAM 2002是用于运行CPU 2001的系统工作存储器，还是用于临时存储图像数据的图像存储器。ROM 2003是存储系统的引导程序的引导ROM。HDD 2004是存储系统软件、图像数据、以及历史记录(日志)等的硬盘驱动器。

操作单元I/F 2006是关于具有触摸面板的操作单元(UI：用户界面)2012的接口单元，并被配置成将待显示在操作单元2012上的图像数据输出到操作单元2012。另外，操作单元I/F2006还具有向CPU 2001通知用户从操作单元2012输入的信息的功能。网络I/F 2010连接网络201，并被配置成输入和输出信息。

调制解调器2050连接到例如公用电路，并被配置成输入和输出信息。

IC卡插槽2100被配置成在插入IC卡介质后输入适当的PIN(Personal Identifier Number，个人身份识别号)代码。结果，可以输入和输出用于编码和解码的密钥。

图像总线I/F 2005将系统总线2007连接到用于高速传送数据的图像总线2008，并用作用于转换数据结构的总线桥。图像总线2008由PCI总线或IEEE1394构成。在图像总线2008上，配置下面的装置。

光栅图像处理器(raster image processor，RIP)2060被配置成将PDL代码展开成位图图像。装置I/F 2020将作为图像输入装置的扫描器2070和作为图像输出装置的打印机2095连接到控制器单元2000，以进行图像数据的同步系统/异步系统的转换。扫描器图像处理单元2080被配置成对输入的图像数据进行校正、处理和编辑等。打印机图像处理单元2090被配置成对打印输出图像进行打印机校正、分辨率转换等。图像转动单元2030被配置成进行图像数据的转动。图像压缩单元2040被配置成对多值图像数据基于JPEG进行压缩和展开处理，以及对二值图像数据基于JBIG、MMR或MH进行压缩和展开处理。

编码和解码处理单元2110是利用在IC卡插槽2100中输入的密钥对数据进行编码和解码处理的硬件加速器板。OCR和OMR处理单元2111被配置成对将被转换成字符编码的图像数据中所包括的字符信息或二维条形码进行解码的处理。

接着，说明根据该典型实施例的整个网络系统的操作概要。首先，系统管理员实用程序(AU)100相对于用户信息服务器(AD)101为每一用户设置功能限制信息(ACL)107。结果，将功能限制信息(ACL)107保存在用户信息服务器(AD)101中。

接着，当向多功能复印机(MFP)104发出作业(例如，打印作业)时，利用用户ID作为自变量，打印机驱动程序(Drv)103请求票据发出服务器(SA)102发出描述用户可以使用的功能的ACT 105。换句话说，打印机驱动程序(Drv)103向票据发出服务器(SA)102发送用户的识别信息(用户ID)的ACT发出请求，其中，将向该用户发出打印作业等作业。

接着，票据发出服务器(SA)102获得存储在用户信息服务器(AD)101内的功能限制信息(ACL)107中的与将向其发出作业的用户相对应的功能限制信息(ACL)107。而且，票据发出服务器(SA)102从实绩收集服务器(JSS)106获得将向其发出作业的用户的作业执行的实绩。这里，基于ACT发出请求中所包括的用户识别信息来识别将向其发出作业的用户。

接着，票据发出服务器(SA)102基于从用户信息服务器(AD)101获得的功能限制信息(ACL)107和从实绩收集服务器(JSS)106获得的作业执行的实绩，确定对于该用户应当被允许的作业的设置内容。票据发出服务器(SA)102生成反映所确定的作业设置内容的ACT 105，并提供用于证明该ACT是票据发出服务器(SA)102所发出的电子签名。然后，票据发出服务器(SA)102将电子签名后的ACT 105返回给Drv 103。

接着，打印机驱动程序(Drv)103在将作业发送给多功能复印机(MFP)104前，添加从票据发出服务器(SA)102所接收的ACT 105作为头的一部分。然后，打印机驱动程序(Drv)103将添加了ACT 105的作业发送给多功能复印机(MFP)104，以执行该作业。

图5示出作业结构的例子。

在图5中，作业600由表示谁是发出作业600的用户的认证信息601、访问控制令牌(ACT)602、以及表示请求多功能复印机(MFP)104执行的操作内容的主体部603构成。在图5所示的例子中，请求打印主体部603中所包括的PDL数据。这里，图5所示的访问控制令牌602相当于图1中的通过打印机驱动程序(Drv)103从票据发出服务器(S A)102接收到的ACT 105。

已接收到上述内容的作业600的多功能复印机(MFP)104将所接收到的作业600的访问控制令牌602中描述的可用装置列表与主体部603中描述的请求内容进行比较。然后，当请求内容包括在可用功能中时，多功能复印机(MFP)104执行请求内容。另一方面，当请求内容不包括在可用功能中时，多功能复印机(MFP)104取消作业600。

图6示出ACT 105的内容的例子。

在图6中，描述701是描述与获得访问控制令牌602的用户有关的信息的部分。在图6所示的例子中，描述了用户名为Taro，分配职责“PowerUser”，并且邮件地址为“taro@xxx.yyy”。

描述702是描述多功能复印机(MFP)104中的获得访问控制令牌602的用户的可用功能的部分。在图6所示的例子中，描述了来自客户机PC的被称为“PDL Print”的打印功能是可用的。然后，作为与打印时的限制功能有关的信息，描述了允许彩色打印，但不允许单面打印。

描述703是描述多功能复印机(MFP)104中的可由获得访问控制令牌602的用户使用的打印薄片数量的上限值的部分。在图6所示的例子中，描述了彩色打印薄片数量的上限值在整个系统中为1000，黑白打印薄片数量的上限值在整个系统中为1000。

图7示出ACL 107的内容的例子。如图7所示，ACL 107由多个ACL 107a、107b～107n等构成。为每一VLAN分配ACL 107。换句话说，根据该典型实施例，一个ACL 107应用于一个VLAN。换句话说，存在与相对于网络201设置的VLAN相同数量的ACL107。

在ACL 107中，对于属于分配给ACL 107的VLAN的每一用户，管理与多功能复印机(MFP)104所具有的各功能的限制有关的功能限制信息。

接着，参照图8的流程图，说明系统管理员实用程序(AU)100设置ACL 107的处理例子。应该注意，这里，运行在图2所示的服务器PC 202上的系统管理员实用程序(AU)100设置运行在目录服务器203上的用户信息服务器(AD)101中所保持的ACL 107。

首先，在步骤S101，系统管理员实用程序(AU)100从认证VLAN服务器204获得与相对于网络201设置的VLAN有关的VLAN信息。然后，系统管理员实用程序(AU)100创建网络201中所管理的VLAN的列表。

接着，在步骤S102，系统管理员实用程序(AU)100从运行在目录服务器203上的用户信息服务器(AD)101获得网络201中所管理的用户的列表(用户信息110)。然后，系统管理员实用程序(AU)100创建网络201中所管理的用户的列表。

接着，在步骤S 103，系统管理员实用程序(AU)100从在步骤S101中创建的列表中取出未处理的VLAN数据。而且，系统管理员实用程序(AU)100从保持在用户信息服务器(AD)101内的ACL 107中取出未处理的VLAN的ACL 107。然后，系统管理员实用程序(AU)100将未处理的VLAN的ACL 107显示在用户界面上。

接着，在步骤S104，系统管理员实用程序(AU)100从在步骤S102中创建的用户列表中取出未处理的用户数据。

接着，在步骤S105，系统管理员实用程序(AU)100询问认证VLAN服务器204在步骤S104中取出的未处理的用户是否属于在步骤S103中取出的未处理的VLAN。然后，系统管理员实用程序(AU)100基于该询问判断在步骤S104中取出的未处理的用户是否属于在步骤S103中取出的未处理的VLAN。作为该判断的结果，在步骤S104中取出的未处理的用户属于步骤S103中取出的未处理的VLAN的情况下，执行步骤S106中的处理。另一方面，在步骤S104中取出的未处理的用户不属于步骤S103中取出的未处理的VLAN的情况下，执行步骤S107中的处理。

在步骤S106，在步骤S103中所显示的未处理的VLAN的ACL 107的显示区域中，系统管理员实用程序(AU)100激活判断为属于未处理的VLAN的用户的条目(行)的输入。

另一方面，在步骤S107，在步骤S103中所显示的未处理的VLAN的ACL 107的显示区域中，系统管理员实用程序(AU)100禁止判断为属于未处理的VLAN的用户的条目(行)。

接着，在步骤S108，系统管理员实用程序(AU)100在步骤S102的用户列表中，将在步骤S104中取出的未处理的用户设置成处理过。然后，系统管理员实用程序(AU)100判断在步骤S102所创建的用户列表中的所有用户是否都被设置为处理过。作为该判断的结果，在所有用户都被设置为处理过的情况下，执行步骤S109中的处理。另一方面，在不是所有用户都被设置为处理过的情况下，重复进行步骤S104～S108中的处理，直到所有用户都被设置为处理过为止。

接着，在步骤S109，系统管理员实用程序(AU)100基于相对于在步骤S103中所显示的未处理的VLAN的ACL 107的系统管理员的操作，设置属于未处理的VLAN的用户的限制。应该注意，系统管理员利用设置给系统管理员实用程序(AU)100的用户界面，对未处理的VLAN的ACL 107进行操作。另外，如上所述，对用户的限制包括对用户限制的功能的项和上限值等。

接着，在步骤S110，系统管理员实用程序(AU)100在步骤S101所创建的VLAN列表中，将在步骤S103中取出的未处理的VLAN设置为处理过。然后，系统管理员实用程序(AU)100判断在步骤S101所创建的VLAN列表中的所有VLAN是否都被设置为处理过。作为该判断的结果，在所有VLAN都被设置为处理过的情况下，结束该处理序列。另一方面，在不是所有VLAN都被设置为处理过的情况下，重复进行步骤S103～S110中的处理，直到所有VLAN都被设置为处理过为止。

如上所述，根据该典型实施例，在利用认证VLAN进行操作时，将网络201分成多个VLAN 206和207的组。然后，以分组后的VLAN 206和207为单位，设置与限制可以访问VLAN 206和207的用户能够使用的功能有关的信息(ACL 107)。结果，对于可以访问VLAN 206和207的用户，可以进行对装置211～213和221～223(MFP 104)的功能的限制的设置。

另外，以VLAN 206和207为单位设置ACL 107，并且即使当对功能限制的应用对象添加网络201时，如果应用对象属于VLAN 206和207，则也不需要重新设置ACL 107。

通过上述说明，根据该典型实施例，即使在具有大量装置和用户的大规模网络环境下，也可以大大降低当网络201的管理员设置功能限制时所产生的费用。

另外，MFP 104等装置211～213和221～223将作业600的访问控制令牌602中描述的可用功能列表与主体部603中描述的请求内容进行比较。然后，当请求内容包括在可用功能中时，执行请求内容，而当不包括请求内容时，取消作业600。这样，当使用MFP 104等功能时，获得请求使用该功能的用户的功能限制信息(访问控制令牌602)，并且从这样的功能限制信息，确定用户可以使用的功能。因此，可以适当地进行功能限制。

而且，除对MFP 104等所具有的功能的执行项的限制以外，设置待打印薄片的限定数量等执行上限值，从而使得可以更适当地限制MFP 104等的功能。

应该注意，根据该典型实施例，作为例子说明了网络201为以太网(Ethernet，注册商标)等LAN的情况，但是网络201不是必须为LAN。例如，当用户处于另一建筑物或辖区等时，为了使远程用户参与该典型实施例的网络系统，网络201可以由WAN、因特网等构成。应该注意，WAN是广域以太网(Ethernet，注册商标)或通过利用ISDN电话线路等高速数字线路连接一些LAN而构成的集合体。可以利用较少总线通过简单电连接实现这些连接。

同样，根据该典型实施例，功能限制的应用对象是MFP 104等硬件，但是功能限制的应用对象不是必须为硬件。也就是说，只要限制了连接到网络201的装置的功能，可以将功能限制的应用对象设置为打印驱动程序103等软件。

另外，根据该典型实施例，作为例子说明了在认证VLAN的环境下运行网络201的情况。如上所述，在认证VLAN的环境下运行网络201的情况下，可以在通过认证VLAN服务器204管理用户的可访问范围并为每个认证VLAN分配ACL 107的同时进行管理。然而，不是必须在认证VLAN的环境下运行网络201。

例如，可以在正常VLAN或子网组的环境下运行网络201。在这种情况下，为每个正常VLAN或子网生成ACL，从而可以与该典型实施例类似地限制功能。应该注意，在正常VLAN或子网中，必须为每一客户机PC而不是为每一用户设置网络201的可访问范围。因此，必须设置对应表以理解哪个用户使用哪个客户机PC。

应该注意，在上述说明中，子网是逻辑网络，例如，在IP v4规范中，可以利用子网掩码指定每个网络地址属于哪个子网。这样，在使网络201在子网组的环境下运行的情况下，例如，可以通过IP地址管理服务器205管理用户的可访问范围。

另外，根据该典型实施例，装置211～213和221～223(MFP104)判断是否可以进行作业600，但是结构不必局限于上述结构。例如，当打印机驱动程序(Drv)103生成作业时，可以判断是否可以通过该装置来执行该作业。

另外，根据该典型实施例，打印机驱动程序(Drv)103从票据发出服务器(SA)102获得ACT 105，并且在作业600中包括具有这样获得的ACT 105的访问控制令牌(ACT)602。然而，结构不必局限于上述结构。例如，装置211～213和221～223(MFP 104)可以获得相当于访问控制令牌(ACT)602的信息。

更具体地，例如，打印机驱动程序(Drv)103向装置211～213和221～223(MFP 104)发出包括认证信息601和主体部603的作业(不包括访问控制令牌602的作业)。装置211～213和221～223(MFP 104)从票据发出服务器(SA)102获得ACT 105，还从打印机驱动程序(Drv)103获得该作业。然后，装置211～213和221～223(MFP 104)将ACT 105中描述的可用功能列表与主体部603中描述的请求内容进行比较，以基于该比较结果判断是否执行这样获得的作业。

另外，如在该典型实施例中一样，当为每一VLAN生成ACL107时，容易管理ACL 107，因而是优选的，但结构不必局限于上述结构。例如，在图7所示的表中，在每个用户添加表示用户属于哪个VLAN的项时进行管理，从而不必为每个VLAN生成ACL 107。

当运行上述典型实施例时，每当添加AD的用户时必须设置功能限制。然而，根据下述典型实施例，可以对AD的用户组设置功能限制。为此，即使当添加用户时，对所属用户组应用该限制，因而不必进行设置。

图11是示出根据本发明典型实施例的整个系统的逻辑结构的类图。特别说明与图1的不同点。

应该注意，根据该典型实施例的系统由在网络上连接的装置、服务器和客户机PC构成。另外，该系统为用于进行使用该装置的用户或用户组的访问限制和可打印薄片的数量的作业执行限制的打印管理系统。这里应该注意，用户组是指包括至少一个用户ID的组。

附图标记100表示系统管理员实用程序(以下称为AU)。AU 100被配置成在该图中未示出的服务器PC上运行，并进行该系统的设置和管理。特别地，可以设置用户信息服务器101的功能限制信息。

附图标记101表示用户信息服务器(以下称为AD)。用户信息服务器保存用户ID和密码等用户信息110、表示哪个用户属于哪个用户组的用户组信息111、以及表示允许该系统中的每个用户组使用哪些功能的功能限制信息(以下称为ACL)107。例如，利用LDAP服务器、活动目录服务器等来实现用户信息服务器101。应该注意，后面将详细说明ACL 107。

附图标记102表示票据发出服务器(以下称为SA)。基于存储在AD 101中的各用户组的功能限制信息和积累在实绩收集服务器106中的用户组的作业执行实绩，票据发出服务器发出描述关于可用功能的信息的票据。该票据被称为访问控制令牌(以下称为ACT)。ACT是具有将对该系统上的用户的访问限制信息从服务器发送给装置的作用的数据。在ACT中，描述了与相对于用户的作业执行的功能限制项和待打印薄片的限定数量等上限值有关的信息。

附图标记103表示打印机驱动程序(以下称为Drv)。Drv 103被配置成在该图中未示出的客户机PC上运行。当使用该客户机PC时，为了查明哪个用户使用该客户机PC而必须登录。

附图标记104表示多功能复印机(以下称为MFP)。MFP 104不仅具有在纸张上复印原稿的功能，而且还具有打印从外部驱动程序发送的打印数据的功能以及读取纸张上的原稿以将图像数据发送给外部文件服务器或邮件地址的功能(SEND功能)。

附图标记105表示访问控制令牌(以下称为ACT)。ACT 105是描述关于MFP 104中用户可执行的功能或可打印的上限薄片数量的信息的ACT。

附图标记106表示实绩收集服务器(JSS)。JSS被配置成计算跨多个打印装置打印机(根据该典型实施例，为MFP 104)从后述的实绩收集客户机109通知的各用户组的作业执行打印薄片数量的实绩。另外，JSS保持作为整个系统中的各用户组的打印实绩的用户作业发出状态108。在这种情况下，通过实绩收集客户机109，由JSS 106收集Drv 103从MFP 104获得的作业执行实绩。

附图标记108表示用户作业发出状态。这是关于在发出ACT105后对各用户是否完成了利用ACT的打印作业的信息。对每一用户ID或用户ID所属的每一用户组计算用户作业发出状态108。将用户作业发出状态108作为JSS 106所管理的数据保存在JSS 106中。

附图标记109表示实绩收集客户机(以下称为JSS客户机)。每一MFP的JSS客户机109在MFP上运行。另外，JSS客户机109将MFP上各用户的打印薄片数量的实绩通知给JSS 106。可选地，可以由JSS客户机109跨多个装置(例如，打印机)来计算作业执行实绩。作业执行实绩的例子包括打印薄片数量的实绩。结果，将管理系统中每个用户和用户组的作业执行实绩保持在JSS客户机109上。

具体序列如下：

1、AU 100相对于AD 101设置每一用户组的功能限制信息，并将ACL 107保存在AD 101中。

2、Drv 103将添加有作业所发送到的用户的标识符的ACT发出请求发送给SA 102。

3、SA 102指定该用户所属的用户组，并从存储在AD 101中的ACL 107中获得与作业所发送到的用户所属的用户组相对应的功能限制信息。SA 102还获得与具有来自JSS 106的ACT发送请求的用户所属的用户组相对应的作业执行实绩。SA 102基于这样获得的功能限制信息和作业执行实绩，确定用于允许该用户的作业设置内容。SA 102生成反映该作业的设置内容的ACT 105。另外，SA 102提供用于证明SA 102已发出该ACT的电子签名，并将该ACT发送给Drv 103。

4、Drv 103将该作业和ACT 105发送给MFP 104以便执行。

接着，说明图11中所示的系统的示例操作概要。

AU 100相对于AD 101设置每一用户组的功能限制信息，换句话说，AU 100设置ACL 107。当Drv 103向MFP 104发出打印作业时，利用用户ID作为自变量，请求SA 102发出描述该用户的可用功能的ACT 105。SA 102指定该用户所属的用户组。基于存储在AD 101中的ACL 107，SA 102发出描述可用功能的ACT 105，并将ACT返回给Drv 103。为了向MFP 104发送作业，Drv 103将之前接收到的ACT 105作为头的一部分添加到该作业以进行发送。这里，图11的访问控制令牌602相当于图11中Drv103从SA 102接收到的ACT 105。

已接收到作业的MFP 104将访问控制令牌602中描述的可用功能列表与主体部603中描述的请求内容进行比较。当请求内容包括在可用功能中时，执行请求。如果请求内容不包括在可用功能中，则取消作业。

而且，图12示出了ACL 107的内容例子。

ACL 107由多个ACL构成。以VLAN为单位分配ACL。换句话说，一个ACL应用于一个VLAN。

在这一个ACL中，关于能够访问VLAN的用户组，可以以用户组为单位设置关于MFP的各功能的功能限制信息并对其进行管理。

接着，说明AU 100设置ACL 107的处理。

在该说明中，在图11，服务器PC 202上的AU 100设置保持在目录服务器203上的AD 101中的ACL 107。同时参考图13的流程图，详细说明上述处理的示例流程。

从现在开始的主语基本上是AU 100。在步骤S 131，AU 100从认证VLAN服务器204获得VLAN信息，并创建将在网络1中管理的VLAN列表。

在步骤S132，AU 100从目录服务器203获得将由网络1管理的用户的列表，以创建用户列表。

在步骤S133，AU 100从VLAN列表取出未处理的VLAN的数据，还从ACL 107取出用于该VLAN的ACL以将其显示在用户界面上。在步骤S134，AU 100从用户列表取出未处理的用户的数据。

在步骤S135，AU 100询问认证VLAN服务器204该用户是否属于该VLAN。当该用户属于该VLAN时，执行步骤S136中的处理，而当该用户不属于该VLAN时，执行步骤S138中的处理。在步骤S136，AU 100在目录服务器203中搜索该用户所属的用户组。

在步骤S137，在该VLAN的ACL显示中，AU 100激活该用户的条目(行)。在步骤S138，在该VLAN的ACL显示中，AU 100将该用户的条目(行)设置成灰化(gray out)并禁止该条目。

在步骤S139，AU 100将该用户设置为处理过，并判断用户列表中的所有用户是否都被设置为处理过。当所有用户都被设置为处理过时，执行步骤S140中的处理，而当所有用户未被设置为处理过时，流程返回到步骤S134。在步骤S140，AU 100的用户(系统管理员)设置该VLAN的ACL设置。在步骤S141，AU 100将该VLAN设置为处理过，并判断VLAN列表中的所有VLAN是否都被设置为处理过。当所有VLAN都被设置为处理过时，结束该处理序列，而当所有VLAN未被设置为处理过时，流程返回到步骤S133。

其它典型实施例

为了运行用于实现上述典型实施例的功能的各种装置，可以向装置或与各种装置连接的系统中的计算机提供用于实现上述典型实施例的功能的软件的程序代码。通过基于存储在该装置或系统中的计算机(CPU或MPU)中的程序运行各种装置来实施这些功能的例子在本发明的范围内。

另外，在这种情况下，该软件的程序代码本身实现上述典型实施例的功能。另外，程序代码本身、用于向计算机提供该程序代码的单元，例如，存储该程序代码的记录介质构成了本发明。作为用于存储该程序代码的记录介质，例如，可以使用软盘、硬盘、光盘、磁光盘、CD-ROM、磁带、非易失性存储卡、ROM等。

另外，不仅当计算机执行所提供的程序代码时实现上述典型实施例的功能，而且当该程序代码与运行在该计算机上的操作系统或其它应用程序等一起工作时也实现上述实施例的功能。勿庸置疑，该程序代码包括在本发明的典型实施例中。

而且，在将所提供的程序代码存储在计算机的功能扩展板所设置的存储器中后，功能扩展板所设置的CPU等基于该程序代码的指令执行部分或全部实际处理。勿庸置疑，通过该处理实现上述典型实施例的功能的情况同样在本发明的范围内。

而且，在将所提供的程序代码存储在计算机的功能扩展单元所设置的存储器中后，功能扩展单元所设置的CPU等基于该程序代码的指令执行部分或全部实际处理。勿庸置疑，通过该处理实现上述典型实施例的功能的情况同样在本发明的范围内。

尽管参照典型实施例说明了本发明，但是应该理解，本发明不局限于所公开的典型实施例。所附权利要求书的范围符合最宽的解释，以包含所有修改、等同结构和功能。

Claims (14)

1.一种信息处理设备，其包括：

设置单元，用于设置限制连接到网络的装置的功能的功能限制信息，所述装置运行图像形成处理，并且所述装置的所述功能包括打印功能、扫描功能和发送功能中的至少一个；以及

判断单元，用于对于所述网络中的多个组中的每一组判断哪个用户可以访问，

其中，所述设置单元设置关于由所述判断单元判断为可以访问的用户的所述功能限制信息，以及

当用户使用所述装置的所述功能时，基于由所述设置单元设置的用户的所述功能限制信息来限制所述装置的所述功能的使用。

2.一种信息处理设备，其包括：

设置单元，用于设置限制连接到网络的装置的功能的功能限制信息；

判断单元，用于对于所述网络中的多个组中的每一组判断哪个用户可以访问；

获得单元，用于获得与作为连接到所述网络的装置的作业的发出源的用户有关的信息；

确定单元，用于利用与基于所述获得单元所获得的信息而指定的用户有关的所述功能限制信息，确定可由作为所述作业的发出目的地的装置执行的功能的内容；以及

执行单元，用于根据所述确定单元所确定的内容，执行所述作业，

其中，所述设置单元设置关于由所述判断单元判断为可以访问的用户的所述功能限制信息。

3.根据权利要求2所述的信息处理设备，其特征在于，还包括创建单元，该创建单元用于对于所述多个组中的每一组创建可以访问的用户的列表，其中，所述判断单元利用所述创建单元所创建的列表，对于所述多个组中的每一组判断哪个用户可以访问。

4.根据权利要求2所述的信息处理设备，其特征在于，还包括注册单元，该注册单元用于注册所述网络中的多个组，其中，所述判断单元对于所述注册单元所注册的所述多个组中的每一组判断哪个用户可以访问。

5.根据权利要求2所述的信息处理设备，其特征在于，所述功能限制信息包括关于是否执行连接到所述网络的装置的功能的信息和表示执行多少连接到所述网络的装置的功能的信息中的至少一个。

6.根据权利要求2所述的信息处理设备，其特征在于，所述设置单元对于所述网络中的所述多个组中的每一组设置表示哪个用户可以访问该组的所述功能限制信息。

7.根据权利要求2所述的信息处理设备，其特征在于，所述网络中的所述多个组是由认证VLAN构成的组。

8.一种网络管理方法，其包括：

设置用于限制连接到网络的装置的功能的功能限制信息，所述装置运行图像形成处理，并且所述装置的所述功能包括打印功能、扫描功能和发送功能中的至少一个；

对于所述网络中的多个组中的每一组判断哪个用户可以访问；

设置关于被判断为可以访问的用户的功能限制信息；以及

当用户使用所述装置的所述功能时，基于所设置的用户的所述功能限制信息来限制所述装置的所述功能的使用。

9.一种网络管理方法，其包括：

设置用于限制连接到网络的装置的功能的功能限制信息；

对于所述网络中的多个组中的每一组判断哪个用户可以访问；

获得与作为连接到所述网络的装置的作业的发出源的用户有关的信息；

利用与基于所获得的信息而指定的用户有关的所述功能限制信息，确定可由作为所述作业的发出目的地的装置执行的功能的内容；

根据所确定的内容，执行所述作业；以及

设置关于被判断为可以访问的用户的功能限制信息。

10.根据权利要求9所述的网络管理方法，其特征在于，还包括：

对于所述多个组中的每一组创建可以访问的用户的列表；以及

利用所创建的列表，对于所述多个组中的每一组判断哪个用户可以访问。

11.根据权利要求9所述的网络管理方法，其特征在于，还包括：

注册所述网络中的多个组；以及

对于所注册的多个组中的每一组判断哪个用户可以访问。

12.根据权利要求9所述的网络管理方法，其特征在于，所述功能限制信息包括关于是否执行连接到所述网络的装置的功能的信息和表示执行多少连接到所述网络的装置的功能的信息中的至少一个。

13.根据权利要求9所述的网络管理方法，其特征在于，还包括对于所述网络中的所述多个组中的每一组设置表示哪个用户可以访问该组的所述功能限制信息。

14.根据权利要求9所述的网络管理方法，其特征在于，所述网络中的所述多个组是由认证VLAN构成的组。

Images