JP2001325172A - 通信設定管理システム - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】通信設定を多くの通信エンティティへ配布する
場合において、きめ細かな通信設定の記述と容易な適用
規則の記述が同時に実現できる通信設定管理システムを
提供する。 【解決手段】通信エンティティの設定方法の情報を参照
して、設定する内容を纏めた設定テンプレートを、入力
又は編集する設定テンプレート入力・編集手段１５と、
該設定テンプレートを蓄積する設定テンプレート蓄積手
段１２と、どの通信属性にどの設定テンプレートを適用
すべきかの規則を入力又は編集する適用規則入力・編集
手段１４と、該適用規則を蓄積する適用規則蓄積手段１
１と、設定を配布先の通信エンティティの属性に従っ
て、適用規則蓄積手段の該当する適用規則で指定される
設定テンプレートを設定テンプレート蓄積手段から読み
出し、該読み出された設定テンプレートを通信エンティ
ティに配布を行う検索・応答機能手段１３を備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、通信実体（以下通
信エンティティという）間で通信を行う際に、どのよう
な通信にどのような特性を与えるかを定めた通信設定を
一括して管理するための通信設定管理システムに関す
る。

【０００２】

【従来の技術】近年のネットワークの発展により、非常
に多くのコンピュータや通信機器及び、オブジェクト指
向等で実現されるソフトウェア部品などの通信実体（通
信エンティティ）が有線あるいは無線のネットワークに
接続され、相互間で様々な通信を行うようになってい
る。

【０００３】ここで通信実体即ち、通信エンティティと
は、通信機能を有したコンピュータ、ルータなどの通信
ハードウエア機器及び、オブジェクト指向等で実現され
るソフトウェア部品を指す。また、通信の特性とは通信
の速度や手順、セキュリティの程度や質などを指す。そ
して、通信設定とは通信の速度や質を指示するための処
理手順、暗号アルゴリズム、暗号鍵の長さなどのパラメ
ータを指す。

【０００４】上記のネットワークに接続された通信エン
ティティ間の通信では通信の特性を管理してネットワー
クの効率的な利用や適切なセキュリティの適用を行うこ
とが望まれている。

【０００５】このための一提案として、例えば特開平６
−６３４７号公報に記載のセキュリティ管理システムで
は複数の通信機器にセキュリティに関する設定を分配す
るシステムが開示されている。

【０００６】このような場合には、通信の属性によって
通信の特性を割り当てる。すなわち、通信設定を割り当
てるのが一般的である。ここで通信の属性としては、通
信の発信者（ユーザ名、ホスト名、ポート番号等）、受
信者（ユーザ名、ホスト名、ポート番号、サービスの呼
称、ファイル名等）、通信の種類（要求の内容、引数
等）等が挙げられる。

【０００７】このような通信の属性に対し、それぞれど
のような通信の設定を割り当てるかという規則を適用規
則と呼び、このような通信の設定と適用規則を併せてポ
リシーと呼ぶ。

【０００８】このような通信の設定を管理する仕組みと
して図１に示すように第１の従来技術では設定レベルと
いう概念を用いていた。図１において、ネットワークに
接続される複数の通信エンティティ２₁〜２_nに対し、通
信の設定を行う通信設定管理装置１が示される。

【０００９】ここで、通信設定管理装置１は、適用規則
入力・編集手段１００、適用規則蓄積手段１０１及び検
索・応答機能部１０２を有する。これら手段及び機能部
はハードウェアとして構成され、あるいはソフトウエア
で実現される。

【００１０】かかる通信設定管理装置１に対し、設定レ
ベル２００が用意される。この設定レベル２００は異な
る設定内容を大雑把なレベルで表したものであり、それ
自体は具体的な設定内容を表していない。

【００１１】そのかわりに設定レベルと具体的な設定内
容の対照情報２０１が別途用意されている。この対照情
報２０１と与えられた設定レベル２００に照らし合わせ
て通信エンティティ２₁〜２_nに具体的にどのような設定
を行うかが決定される。

【００１２】管理者は、この設定レベル２００のみ、あ
るいは設定レベル２００と対象情報２０１を照らし合わ
せて、各々の通信に設定レベルを割り当てる適用規則を
適用規則入力・編集手段１００を用いて記述する。記述
された適用規則は、適用規則蓄積手段１０１に格納され
る。

【００１３】そして、適時に適用規則蓄積手段１０１か
ら検索・応答機能部１０２により適用規則を検索し、対
応する通信エンティティ２₁〜２_nに設定とする。この場
合、適用規則と設定レベルは区別されて扱われる。つま
りポリシーは、適用規則と設定レベルに明確に分けられ
る。

【００１４】第２の従来方法として、図１の例のような
設定レベル２００を用意せずに、管理者が適用規則を記
述する際に割り当てる設定内容を詳細設定入力・編集手
段１０３を用いて具体的に記述することもできる。この
場合には、管理者には具体的な設定内容（２０２）に関
する詳しい知識が必須であり、適用規則と設定は区別さ
れておらず不可分のものとして扱われる。つまり、ポリ
シーは適用規則と設定が入り混じったものである。

【００１５】また、通信設定管理装置１の配置方法とし
て、従来図３に示すように一つの目的・用途については
一つの通信設定管理装置１が複数の通信エンティティを
一括して設定管理していた。そして、図３において、通
信に関する設定についても通信の両端の通信エンティテ
ィ２₁-２₂への単独の通信設定管理装置が設定を与えて
いた。

【００１６】

【発明が解決しようとする課題】上記第１の従来技術で
は、対照情報２０１が管理者から隠蔽されている場合に
は、管理者には詳細な設定内容に関する高度の知識を必
要としない。容易に入力・編集が可能であるが、逆に高
度の知識を持っていた際に詳細な設定内容に踏み込んで
入力・編集を行うことができない。

【００１７】一方、第１の従来技術で対照情報が管理者
に提供されている場合及び、上記第２の従来技術の場合
は、管理者は高度の知識を用いてきめ細かな設定を行う
ことが可能であるが高度の知識を有しない管理者にとっ
ては設定を行うことが困難である。

【００１８】すなわち、高度の知識を有してきめ細かな
ポリシーを記述したい管理者の要求と高度の知識を持た
ずに容易にポリシーを記述したい管理者の要求を同時に
満たすことができず、知識の異なる管理者間で管理を分
担することができないという問題がある。

【００１９】したがって、本発明の目的は、通信設定を
多くの通信エンティティへ配布する場合において、高度
の知識を要するきめ細かな通信設定の記述と高度の知識
を要さない容易な適用規則の記述が同時に実現できる通
信設定管理システムを提供することにある。

【００２０】さらに本発明の目的は、各ドメイン毎に配
置することにより、管理ドメイン毎の異なる設定を実現
する際の管理を効率化できる通信設定管理システムを提
供することにある。

【００２１】

【課題を解決するための手段】前記の課題を解決する本
発明に従う通信設定管理システムは、複数の通信実体
（エンティティ）に対して通信の特性を定めた設定を配
布する通信設定管理システムであって、前記通信エンテ
ィティの具体的な設定方法の情報を参照して、前記通信
エンティティに対し設定する内容を纏めた設定テンプレ
ートを、入力又は編集する設定テンプレート入力・編集
手段と、前記設定テンプレート入力・編集手段により入
力又は編集された設定テンプレートを蓄積する設定テン
プレート蓄積手段と、どのような属性を持った通信にど
の設定テンプレートを適用すべきかの規則を記した適用
規則を入力又は編集する適用規則入力・編集手段と、前
記適用規則入力・編集手段により入力又は編集された適
用規則を蓄積する適用規則蓄積手段と、設定を配布する
先の通信エンティティの属性に従って、前記適用規則蓄
積手段から該当する適用規則を選び、前記適用規則で指
定される設定テンプレート名を有する設定テンプレート
を前記設定テンプレート蓄積手段から読み出し、前記読
み出された設定テンプレートを前記通信エンティティに
配布を行う検索・応答機能手段を備えることを特徴とす
る。

【００２２】好ましい態様として、さらに定義済みの設
定テンプレート群を前記設定テンプレート蓄積手段に一
括して入力する設定テンプレート一括入力手段を備える
ことを特徴とする。

【００２３】さらに好ましい態様として、それぞれ少な
くとも１つの通信エンティティを有する複数の管理ドメ
インがネットワークを介して存在し、前記複数の管理ド
メインの各々に配置される一つの通信設定管理装置を有
する。そして、異なる管理ドメインに属する通信エンテ
ィティ間の通信に対し、該当する管理ドメインに配置さ
れる通信設定管理装置は、それぞれの管理ドメイン毎に
異なる通信特性の設定を与え、前記設定を該当する管理
ドメイン毎に管理することを特徴とする。

【００２４】かかる態様に対し、更に好ましい態様とし
て、他の管理ドメインに配置される通信設定管理装置と
相互に情報を交換し、前記情報と自管理ドメインの設定
テンプレート及び適用規則との矛盾を検知する矛盾検出
機能部を有することを特徴とする。

【００２５】また、好ましい態様として、前記矛盾検出
機能部により前記適用規則により指定される設定テンプ
レートあるいは設定テンプレートの集合が一致しない矛
盾が検出された時、前記矛盾を修正する矛盾修正機能部
を更に有することを特徴とする。

【００２６】本発明の特徴は、以下の図面を参照して説
明される発明の実施の形態から更に明らかになる。

【００２７】

【発明の実施の形態】以下本発明の実施の形態を、添付
図面を参照して説明する。なお、図面は本発明の説明の
ためのものであり、従って本発明の保護の範囲はかかる
図面に記載されたものに限定されるものではない。

【００２８】図４は、本発明の通信設定管理システムの
第１の実施例概念を説明する図である。図において、通
信設定管理装置１は、適用規則蓄積手段１１、設定テン
プレート蓄積手段１２、検索・応答機能部１３、適用規
則入力・編集手段１４、設定テンプレート入力・編集手
段１５を有して構成される。これらの機能部及び手段に
対応する機能は、先に説明したように、ハードウェア又
はソフトウェアで実現可能である。

【００２９】設定テンプレートは、通信エンティティに
渡す設定をひとまとめにして名前をつけたものである。
設定テンプレート入力・編集手段１５は、詳細設定入力
・編集機能を有している。設定テンプレートは高度な知
識を有する上級管理者２１が各通信エンティティの具体
的な設定方法の情報２０を参照しながら、設定テンプレ
ート入力・編集手段１５を用いて入力し、あるいは編集
して設定テンプレート蓄積手段１２に格納される。

【００３０】適用規則はどのような属性を持った通信に
どの設定テンプレートを適用すべきかという規則を記し
たものである。すなわち適用規則は通信の属性と設定テ
ンプレート名の組である。適用規則は通常の管理者２２
が適用規則入力・編集手段１４を用いて入力あるいは編
集する。

【００３１】適用規則入力・編集手段１４は設定テンプ
レート名読み出し機能を有しており、設定テンプレート
蓄積手段１２から設定テンプレートの名前の一覧を読み
出して、管理者に提示し選択させる。

【００３２】こうして入力あるいは編集された適用規則
は適用規則蓄積手段１１へ格納される。通信が発生し、
通信エンティティ２へ設定を配布するときには、検索・
応答機能部１３が配布先の通信の属性に従って適用規則
蓄積手段１１から該当する適用規則を選び出し、そこに
指定されている設定テンプレート名を持つ設定テンプレ
ートを設定テンプレート蓄積手段１２から読み出す。そ
してこの設定テンプレートを配布先の通信エンティティ
ヘ配布する。

【００３３】本実施例では、設定テンプレート蓄積手段
１２と設定テンプレート入力・編集手段１５を設け、各
通信エンティティの具体的な設定方法２０から利用した
い組み合わせを取り出して入力・編集し、蓄積しておく
方法を用いている。

【００３４】これにより、典型的な設定テンプレートに
関しては、高度な知識を有する上級管理者２１がこれら
を入力しておく。これにより、通常の管理者２２は各通
信エンティティの具体的な設定方法に関する高度な知識
を持たなくとも適用規則を容易に入力することができ
る。

【００３５】また具体的な設定方法に関する高度な知識
を有する上級管理者２１は、設定テンプレート入力・編
集手段１５を用いて、設定テンプレートの中の詳細な値
まで検討し、入力あるいは編集することによりきめ細か
な設定テンプレートを作ることができる。

【００３６】このように、管理者の知識に応じて、高度
な知識を必要とせずに容易に設定を割り当てることと、
高度な知識を用いてきめ細かな設定を割り当てることの
両立が可能である。

【００３７】したがって、知識の異なる管理者２１，２
２間で管理業務を分担し効率良くポリシー(設定および
適用規則)を管理することができる。

【００３８】ここで、上記図４の実施例構成において、
設定テンプレート入力・編集手段１５は、管理者２１と
の対話的な入出力により設定テンプレートを閲覧・入力
・編集するものであり、すでに定義済みの多くの設定テ
ンプレートがデータとして用意されている場合には、対
話的に入力するのは手間がかかり効率が悪い。

【００３９】すなわち、図４に示す実施例構成では、設
定テンプレートの入力は設定テンプレート入力・編集手
段１５を介して行われるが、これは対話的に管理者２１
に入力・編集させることを目的としており、既に定義済
みの設定テンプレート群がある場合には効率が悪かっ
た。

【００４０】そこで、定義済みの設定テンプレート群を
一括して入力することを可能とする通信設定管理システ
ムが要求される。図５は、かかる要求に対応する実施例
の概念構成を示す図である。

【００４１】図５の実施例構成の特徴は、図４の実施例
構成の通信設定管理装置１に対し、定義済みの設定テン
プレート群２３を用意し、これを一括して受け付け、設
定テンプレート蓄積手段１２へ格納する設定テンプレー
トー括入力手段１６が追加されている。

【００４２】一括して定義済みの設定テンプレート群を
受け取るための設定チンプレートー括入力手段１６によ
り管理者の人手を要さずに一括して定義済み設定テンプ
レート群２３を設定テンプレート蓄積手段１２へ入力で
きる。これにより効率良く定義済み設定テンプレート群
２３を入力でき、特に通信エンティティの設計者が新た
に実装した機能に対応する設定テンプレート群を配布す
る際などに有効である。

【００４３】ここで、通信に関するポリシーでは、通信
の両端で等しくなければいけないポリシーもあるが、必
ずしも等しくなくてもよいポリシーも存在する。セキュ
リティを例にとれば、通信内容の暗号化をする場合には
用いる暗号アルゴリズムの種類や鍵の長さは等しく設定
されなければならないが、通信の監査のポリシー、たと
えばログをとるかどうかの設定は等しい必要はない。

【００４４】また通信の両端で適用規則を記述したい通
信属性のパラメータが異なる。たとえば、クライアント
のユーザがサーバにあるファイルヘアクセスするような
通信であれば、クライアント側ドメインではユーザとい
う属性に対して適用規則を記述するのは容易である。し
かし、目的のファイルという属性ではファイルに関する
知識が少ないので記述しづらい。

【００４５】一方、サーバ側ドメインではファイルとい
う属性に対して適用規則を記述するのは容易だが、ユー
ザという属性に対してはユーザに関する知識が少ないの
で記述しづらい。このような場合には、サーバ側とクラ
イアント側で異なる適用規則を記述できることが望まし
い。

【００４６】以上の二例のような場合に、図３に示した
ように、通信設定管理装置１が一つしか存在しないと、
両ドメインがそれぞれ異なる組織である時に、通信設定
管理装置１を有さない組織は相手の組織ヘポリシーの変
更を依頼せねばならず、手間がかかり効率が悪い。

【００４７】かかる問題を解決する本発明に従う構成と
して、図６に通信設定管理装置１の配置方法を示す。

【００４８】図６において、通信エンティティ２は、管
理ドメイン４にあり、複数の管理ドメイン４間はネット
ワーク３で接続されている。そして、管理ドメイン４毎
に一つの通信設定管理装置1が配置され、各通信設定管
理装置１が対応する管理ドメイン４内の通信エンティテ
ィ２ヘ設定を供給（フィード）する。

【００４９】ここで、管理ドメイン４はどのような領域
に対応していても構わないが、通信エンティティ２を管
理する組織毎に区切るのが一般的である。図示されてい
ないが、管理ドメイン４内の通信エンティティ２は互い
に接続されており、また管理ドメイン４間をつなぐネッ
トワーク３へも接続されているものとする。

【００５０】このように、管理ドメイン４毎に通信設定
管理装置１を配置することにより、通信の両端で異なっ
ていても構わない、あるいは異なっていた方が都合のよ
い通信のポリシー(設定テンプレートおよび適用規則)
を、各ドメインごとに記述し、管理することが可能とな
る。これにより、通信設定管理装置１が一つだけである
場合に発生する、相手組織への変更依頼などの非効率が
解消できる。

【００５１】ここで、図６に示す構成では、管理ドメイ
ンごとに通信設定管理装置が配置されるので、通信の両
端で等しくなければならない設定を異なる設定内容で記
述してしまう可能性がある。

【００５２】たとえば、ある通信に対して両端で異なる
暗号アルゴリズムを適用するようなポリシー(設定ある
いは適用規則)が入力されると、実際にその通信が発生
したときに暗号アルゴリズムの相違のため通信が達成で
きない。

【００５３】したがって、かかる問題を解決するための
実施例構成として、図７にその概念構成を示す。すなわ
ち、図７の実施例構成は、図６の構成において、通信設
定管理装置１が、ドメイン４毎に配置された場合に、異
なるドメインの通信設定管理装置１との間で生じる設定
や適用規則の矛盾を解決することが可能な通信設定管理
システムに関するものである。

【００５４】図７の実施例構成において、図４の実施例
構成における通信設定管理装置１に対し、異なるドメイ
ンの通信設定管理装置１と互いに情報を交換し（２
３）、その情報を用いて設定や適用規則の矛盾を検出す
る矛盾検出機能部１７が追加されている。これにより通
信設定管理装置１において、他のドメインの通信設定管
理装置１に適用される異なる設定テンプレートが指定さ
れることに起因する矛盾を解消することができる。

【００５５】すなわち、通信設定管理装置１が前記の矛
盾検出機能部１７を有することにより、通信相手の管理
ドメインの通信設定管理装置１との間でのポリシー(設
定テンプレートおよび適用規則)の矛盾を検出すること
ができる。これにより、矛盾した設定テンプレートを通
信エンティティに与えてしまい、その結果通信エンティ
ティが相手との通信に失敗するなどの問題を回避するこ
とができる。

【００５６】ここで、図７の実施例構成において、ポリ
シー(設定や適用規則)の矛盾を検出できるが、検出した
矛盾を設定や適用規則を入力し直したり編集したりする
ことによって修正するのでは、手間がかかり非効率的で
ある。

【００５７】矛盾の原因の一つとして、適用規則に従っ
た結果選ばれた設定テンプレートあるいは設定テンプレ
ートの集合が異なっていることが考えられる。かかる点
を考慮した実施例構成の概念図を図８に示す。

【００５８】図８の実施例構成において、通信設定管理
装置１に対し、更に矛盾修正機能部１８を備えている。
矛盾検出機能部１８は矛盾を検出すると、矛盾修正機能
部１７へ修正を要求する。

【００５９】矛盾修正機能部１７は、もし検出された矛
盾が適用規則が異なる設定テンプレートあるいは設定テ
ンプレートの集合を指定していることに起因していて、
しかもその相違が図示されない所与の規則によって修正
可能な場合には、この矛盾を修正可能なものと見なす。

【００６０】修正可能と見なされた矛盾をどのように扱
うかは本発明では特に規定しないが、たとえば修正可能
なので矛盾と見なさずに受け入れる、あるいは修正した
結果を新たな適用規則として適用規則蓄積手段１４へ格
納する、などが考えられる。

【００６１】このように、図８の実施例構成では、矛盾
修正機能部１８が前記の働きをすることにより、適用規
則が指定する設定テンプレートが通信相手と異なってい
る、あるいは設定テンプレートの集合が完全に一致しな
いなどに起因する矛盾を修正可能と見なすことができ、
あるいは実際に修正を施すこともできる。

【００６２】これにより上記の原因に起因する矛盾を管
理者２１、２２の人手による修正を要せずに自動的に回
避・修正することが可能となる。

【００６３】以下に、上記の実施例概念を適用し、通信
設定管理システムを通信のセキュリティ設定の管理に用
いた場合の具体的な実施例を説明する。

【００６４】図９は、上記の実施例概念を総合して適用
し、通信設定管理システムを通信のセキュリティ設定の
管理に用いた場合の具体的な実施例を示す図であり、通
信設定管理装置１とそれを備えたシステム全体の構成例
を示す。

【００６５】各通信エンティティの具体的な設定方法に
関する情報２０は通信設定管理装置１の内部に保持され
る必要はないが、この実施例では図のように通信設定管
理装置１の内部に保持している。

【００６６】この実施例では、個々の通信を区別するた
めの属性を次の三つのパラメータから成るものとする。
すなわち、主体（subject）、動作（action）、客体（o
bject）である。

【００６７】以下では、主体はユーザ名、客体はサーバ
の種類、及び動作は客体のサーバに対する処理であっ
て、読み出し（read）と書込み（write）から成るもの
とする。

【００６８】図１０は、通信エンティティの具体的な設
定方法の情報２０の構成例である。この情報２０は、情
報テーブル化され、通信エンティティがサポートしてい
る可能性のあるセキュリティ機能の設定の方法を示して
いる。そして、情報テーブルにある文字列を受け取ると
通信エンティティは対応するセキュリティ機能を適用す
るものとする。

【００６９】このセキュリティ機能は、この実施例では
認証２００、秘匿２０１、ログ記録(監査)２０２の三つ
の分野に分けられている。

【００７０】さらに、認証２００にはＲＳＡアルゴリズ
ムを５１２ビットの鍵、１０２４ビットの鍵及び２０４
８ビットの鍵でで利用する設定、および認証なしの４種
の選択肢が示されている。

【００７１】秘匿２０１にはＤＥＳ暗号とTripleＤＥＳ
暗号、および秘匿なしの三つの選択肢が示されている。
また、ログ記録２０２には単純にありとなしの二つの選
択肢が示されている。

【００７２】図１１は設定テンプレート蓄積手段１２に
格納されている設定テンプレートの構成例である。設定
テンプレートは、設定テンプレート名２１０と、上記の
通信エンティティの具体的な設定方法の情報２０から求
められる具体的な設定内容２１１の組から成る。図１１
に示す例では補助的な情報としてコメント２１２も加え
られている。

【００７３】図１２は適用規則蓄積手段１１に格納され
ている適用規則の構成例である。主体(Subject)２２０
として指定されているAdmin，Customer, Userは個々の
ユーザ名ではなくそれぞれユーザの属するグループ名で
あり、順に管理者グループ、顧客グループ、一般ユーザ
グループを表す。

【００７４】ユーザのグループに対する所属関係の情報
は図示されない蓄積手段によって管理ドメインごとに蓄
積されており、管理者２１，２２や通信設定管理装置１
は自由に得ることができるものとする。

【００７５】次に、図９の実施例構成において、図４の
実施例概念を実現する動作を説明する。第一の手順は、
設定テンプレートの入力である。

【００７６】図１３は、設定の方法(この例ではセキュ
リティ設定の方法)について高度な知識を有する上級管
理者２１が、設定テンプレート入力・編集手段１５を用
いて、設定テンプレートを入力する際に示される画面の
例である。

【００７７】図では「Ｔ０４」という名の新たな設定テ
ンプレートを追加しようとしている。設定内容２１１の
認証２００の部分について、４つの選択肢が示されてい
る。これらの選択肢は、図１０に示した通信エンティテ
ィの具体的な設定方法の情報２０から得られたものであ
る。

【００７８】上級管理者２１はこの情報２０を参照して
どの認証方法がふさわしいかを判断し入力する。このよ
うに入力された設定テンプレートは、設定テンプレート
入力・編集手段１５により設定テンプレート蓄積手段１
２へ格納される。

【００７９】第二の手順は適用規則の入力である。図１
４は、高度な知識を有さない一般の管理者２２が、通用
規則入力・編集手段１４を用いて、適用規則を入力する
際に示される画面の例である。

【００８０】図１４では関係会社の人間(Ex#staffグル
ープ)が設計図面サーバから読み出す際のセキュリティ
設定を記述しようとしている。割り当てられた設定テン
プレートについて設定テンプレート蓄積手段１２から読
み出される５つの設定テンプレート名（Ｔ01,Ｔ02,Ｔ0
3,Ｔ04）とそれぞれに対応するコメントが、選択肢とし
て提示されている。これらは図１１に示した設定テンプ
レート蓄積手段１２の内容から得られたものであり、こ
のように入力されて適用規則は適用規則蓄積手段１１に
格納される。

【００８１】図１５は、上記の二つの手順を経て用意さ
れた情報を基に、通信エンティティ２に設定テンプレー
トを配布する実施例動作フローである。通常、検索・応
答機能部１３は通信エンティティ２からの要求を待って
いる（３００）。

【００８２】通信エンティティ２は、ユーザからの指令
で通信を開始する際に、その通信にどのような設定を適
用するべきであるかを知るために、通信設定管理装置１
に要求を出す。この時、通信の属性である主体２２０の
ユーザ名、客体２２２のサーバ名、及び希望する動作２
２１を通信設定管理装置１へ知らせる。ここでは順に
「yamada」、「人事情報サーバ」、「read」であったと
する。

【００８３】通信設定管理装置１は、通信エンティティ
２からの要求を受信する（３００−ＹＥＳ）と、要求を
解析し、前記の属性の三項目（２２０，２２１，２２
２）を得る（３０２）。

【００８４】次にこの属性と合致する適合規則を適用規
則蓄積手段１１から検索する（３０３）。この時、この
例では適用規則の主体２２０欄はグループ名で記載され
ているので、図示されない蓄積手段よりユーザ名が属す
るグループ名を得る必要がある。

【００８５】ここでは、ユーザ「yamada」はグループ
「User」のみに属していたとする。すると、この属性に
合致する適用規則は図１２における第６行目の規則であ
るから「Ｔ０２」という名の設定テンプレートを適用す
べきことが分かる。

【００８６】もし、ここで該当する適用規則が見つから
なければ（３０４−ＮＯ）、エラーが有ったことを通信
エンティティ２へ返答し、要求待ち状態へ戻る（３０
５）。

【００８７】この例のように見つかった場合には、検索
・応答機能部１３は「Ｔ０２」という名の設定テンプレ
ートを設定テンプレート蓄積手段１２から検索して取得
する（３０６）。これを通信エンティティ２へ返す（３
０７）。そして、再び要求を待つ状態に戻る。

【００８８】通信エンティティ２は受け取った設定テン
プレートに従って通信の特性を設定する。すなわち、こ
の例では図１１からＲＳＡアルゴリズムで５１２ビット
の鍵を用いて認証（２００）を行い、通信の内容はＤＥ
Ｓアルゴリズムで暗号秘匿化（２０１）し、通信の記録
をログ（２０２）に残すように設定を行う。

【００８９】なお、通信エンティティ２がどのように設
定テンプレートの解釈を行い、設定を行うかは本発明で
は特に規定されるものではない。

【００９０】次に図９の実施例構成において、図５の実
施例概念を実現する動作を説明する。

【００９１】ここで、ある組織に新たにＲＣ４暗号アル
ゴリズムで秘匿を実現できる通信エンティティ２が導入
されたものとする。この時そのような通信エンティティ
２の設計者や、高度な知識を有する上級管理者２１は図
１６Ａに示す設定テンプレート群２３を用意し、これら
をそれぞれ入力する代わりに、設定テンプレート一括入
力手段１６を用いて容易に設定テンプレート蓄積手段１
２に追加することが可能である。

【００９２】設定テンプレート蓄積手段１２は、与えら
れた定義済みの設定テンプレート群２３に対し、含まれ
るそれぞれの設定テンプレートが、図１６Ｂに示される
許容される設定内容２１１の情報に反しないかを確認す
る。問題がなければ次々に設定テンプレート蓄積手段１
２に追加していく。設定内容２１１の情報に反していた
ものは一旦全てを受け取った後で、まとめて違反を入力
者に通知する。

【００９３】次に、具体的実施例２として、異なる組織
を管理ドメイン４とした場合の、図６乃至図７に関する
構成例や動作を示す。

【００９４】図１７は図６に示す通信設定管理装置１の
配置方法の具体例である。組織Ａ，Ｂをまたぐ通信が発
生した際には、両端の通信エンティティ２₁―２₂の属す
る管理ドメイン４の通信設定管理装置１がそれぞれ設定
をフィードする。管理ドメイン４は組織Ａ，Ｂごとに分
けられたものであり、ここではそれぞれが企業であるも
のとする。

【００９５】各々の通信設定管理装置１の内部はすでに
述べた実施例と同じで図9の構成を有するものとする。
また、組織ＡおよびＢの通信設定管理装置１は、図１８
に示す設定テンプレートを共有し、それぞれ設定テンプ
レート蓄積手段１２に格納しているものとする。

【００９６】図１９Ａ，１９Ｂはそれぞれ組織Ａおよび
Ｂの適用規則である。組織Ｂでは、すでに図に示した適
用規則を通信設定管理装置１の適用規則蓄積手段１１に
格納しているものとする。

【００９７】この場合、組織Ａで図に示した適用規則３
１，３２を入力する場合を考える。なお、適用規則は、
番号が若いもの程優先順位が高く、即ち検索時には上か
ら順に検索して最初に合致したものを適用するものとす
る。

【００９８】図６において説明したように、管理ドメイ
ン４ごとに通信設定管理装置１を配置する利点は、管理
ドメイン４ごとに異なるポリシーを入力できることであ
る。

【００９９】たとえば、適用規則３１を入力した場合、
主体２２０がUserグループ、客体２２２が一般サーバ、
動作２２１が読み出しであるような通信に対して、組織
ＡではＴ２１、組織ＢではＴ２２、と異なる設定テンプ
レートが割り当てられることになる。

【０１００】しかし、図１８によれば、テンプレートＴ
２１とＴ２２の相違はログ記録２０２の有無だけであ
る。ログ記録２０２は通信の両端で等しくなくてもよ
い。すなわち、一方でログを記録し、もう一方ではログ
を記録しなくても構わないのであるから、このような設
定は有効である。

【０１０１】また、適用規則３２を入力した場合、組織
ＡではUserというグルーブ名で、組織ＢではSectionＡ
というグループ名で割り当てられるが、組織Ａでは、一
般ユーザグループUser、管理者グループAdmin、といっ
た区分でユーザを管理している。一方、組織Ｂでは、部
署Ａ SectionＡ、部署Ｂ SectionＢといった区分でユー
ザを管理しているのであれば、SectionＡ、SectionＢの
ように適用規則を記述する方が容易である。

【０１０２】ただし、UserグループとSectionＡグルー
プに重なりがあった場合、即ち両方のグループに属する
ユーザがいた場合には、組織ＡではＴ２３、組織Ｂでは
Ｔ２４という異なる設定テンプレートが割り当てられ
る。このため、矛盾が生じる可能性がある。

【０１０３】このような矛盾を検出、あるいは回避・修
正する図６乃至図８の具体例を以下に説明する。

【０１０４】矛盾検出機能部１７が他の管理ドメイン４
と授受する情報の内容や情報を得た後、それを用いての
具体的な矛盾検出アルゴリズムについては、通信の属性
や適用規則の記述法などに依存するので、本発明では特
に限定されない。

【０１０５】ここでは単純にグループの帰属情報を用い
てグループの重なりを調べ、設定テンプレート同士の矛
盾あるいは同値関係は別途情報として与えられるよう
な、簡単な矛盾検出法を例に説明する。なお、その他の
矛盾検出法としては、上記特開平６−６３４７号公報に
記載の方法などが挙げられる。

【０１０６】図２０は、矛盾検出の動作を説明する図で
ある。適用規則３１が入力される（３００）と組織Aの
通信設定管理装置１の矛盾検出機能部１７は、組織Ｂの
通信設定管理装置１へ適用規則の一覧とグループ所属情
報を要求する（３０１）。

【０１０７】組織Ｂの通信設定管理装置１はこの要求を
受け、図１８にある適用規則の一覧とグループ所属情報
を返す（３０２）。次に、組織Ａの矛盾検出機能部１７
は入力された適用規則と組織Ｂの適用規則の一つ一つを
順に照合し、必要ならばグループ所属情報を用いて属性
(この場合主体属性)に重なりがないかを検査しながら、
矛盾の有無を検査していく（３０３）。

【０１０８】ここではまず単純に設定テンプレート名が
異なれば矛盾していると判断するものとする。適用規則
３１が入力されると、これを矛盾検出機能部１７は組織
Ｂの三つの適用規則と順に照合していくが、最初の適用
規則との照合で、割り当てられる設定テンプレートが異
なるにも関わらず、三つの属性が完全に一致しているこ
とがわかる。

【０１０９】そこで、ここでいったんは矛盾と見なされ
ることとなる。また適用規則３２が入力されると、最初
の適用規則とは矛盾しないが、二番目の適用規則との間
で、まず割り当てられる設定テンプレートが異なるので
矛盾の可能性があることがわかり、次に三つの属性のう
ち客体、動作の二つが一致しているので、残る主体のグ
ループが重なりを持つかどうかが問題となる。

【０１１０】そこで、組織Ｂのグループ所属情報と組織
Ａのグループ所属情報を照合し、UserグループとSectio
n Aグループが重なりを持つかを検査する。重なりを持
つなら、ここでいったんは矛盾と見なされる。

【０１１１】もし矛盾の修正をしないのであれば、たと
えば矛盾と見なされた適用規則を管理者へ報告し、再入
力を促すことが出来る（３０４）。

【０１１２】次に、前記のように検出された矛盾を修正
する方法について述べる。図２１は矛盾修正の動作例を
説明する図である。この動作例では、矛盾修正機能部１
８は図示されていない二つの情報を有しているものとす
る。それは設定テンプレートの同値情報と優先情報であ
る。これらの例を図２２に示した。

【０１１３】まず矛盾修正機能部１８は矛盾を検出し
（４００）、検出された矛盾を同値情報と照合し、無視
できないかを検査する（４０１）。同値情報とは異なる
設定テンプレート名であっても、その相違は通信の両端
で異なっていても構わないものであるから、同値と見な
してよい設定テンプレートの組を示したものである。

【０１１４】たとえば、適用規則３１の入力では、Ｔ２
１とＴ２２の設定テンプレートの相違が矛盾として検出
されるが、これらの相違はログ記録の有無に関するもの
のみなので、同値情報にＴ２１とＴ２２は同値と見なし
てよいと記されている（図２２Ａ参照）。そこでこの相
違は矛盾ではないと見なすことになる。

【０１１５】次に、矛盾修正機能部１８は検出された矛
盾を優先情報（図２２Ｂ参照）と照合し、優先順位によ
って修正できないか検査する。

【０１１６】優先情報とは異なる設定テンプレート間に
優先順位があり、一方の設定テンプレートに修正して構
わないような設定テンプレートの組を示したものであ
る。

【０１１７】たとえば、適用規則３２の入力では、前記
のとおりUserグループとSectionＡグループとの重なり
において一方でＴ２３、もう一方でＴ２４が選ばれると
いう矛盾が生じる。

【０１１８】しかし、Ｔ２３とＴ２４の相違は暗号アル
ゴリズムの相違であり、より強力な暗号アルゴリズムを
選択すれば済むのであれば、ＤＥＳ（Ｔ２３）よりTrip
leＤＥＳ（Ｔ２４）の方が強力であるので、Ｔ２３をＴ
２４に修正することで矛盾を回避できる。

【０１１９】矛盾を修正する場合には、組織Ｂへ適用規
則の変更を伝えねばならないが、このとき組織ＡとＢの
どちらの適用規則が修正されるのかを判断する。先の例
（図２２Ｂ）では、修正されるＴ２３を割り当てていた
のは組織Ａの方なので、グループの重なりの部分５００
（グループの関係を示す図２３を参照）では組織Ａの適
用規則３２が修正されるべきである。

【０１２０】しかし、重ならない部分では組織ＡのＴ２
３の割り当てが有効であるから、重なり部分が修正結果
となり、その他の部分には影響を与えないよう、適用規
則を挿入する位置の番号を決める(図２３参照)。

【０１２１】この例の場合には、組織Ａでは番号２の前
に組織Ｂの適用規則を追加し、組織Ｂでは番号２の後ろ
に組織Ａの適用規則を追加する必要がある。この判断結
果を組織Ｂの通信設定管理装置の矛盾修正概能部へ伝
え、自分は前記のように適用規則を適用規則蓄積手段へ
追加する。

【０１２２】これにより、組織Ａ及びＢの適用規則蓄積
手段１１は図２４のようになる。なお上記の実施例２で
は、グループ所属情報を用い、すべてのグループの構成
員について重複がないかを調べる方式を用いているが、
もしグルーブが互いに重なりを持たないように定義され
ていたり、重なりの有無を知る方法が別に用意されてい
るのであれば、それらを用いて重複の検出を行っても構
わない。

【０１２３】また、上の例では主体であるユーザのグル
ープのみについて重複を検査しているが、E. Lupu and
M. Sloman "Conflict Analysis for Management Polici
es"Fifth IFIP/IEEE に記載あるようにそれ以外の属性
についても同様に検査することが可能である。

【０１２４】また、矛盾修正を設定テンプレートの同値
情報と優先情報が別途用意されているものと見なして行
っているが、矛盾を無視したり新たな設定テンプレート
ヘ修正したりするための手段や必要な情報はこれに限ら
ない。

【０１２５】（付記１）複数の通信実体（エンティテ
ィ）に対して通信の特性を定めた設定を配布する通信設
定管理システムであって、前記通信エンティティの具体
的な設定方法の情報を参照して、該通信エンティティに
対し設定する内容を纏めた設定テンプレートを、入力又
は編集する設定テンプレート入力・編集手段と、該設定
テンプレート入力・編集手段により入力又は編集された
設定テンプレートを蓄積する設定テンプレート蓄積手段
と、どのような属性を持った通信にどの設定テンプレー
トを適用すべきかの規則を記した適用規則を入力又は編
集する適用規則入力・編集手段と、該適用規則入力・編
集手段により入力又は編集された適用規則を蓄積する適
用規則蓄積手段と、設定を配布する先の通信エンティテ
ィの属性に従って、前記適用規則蓄積手段から該当する
適用規則を選び、該適用規則で指定される設定テンプレ
ート名を有する設定テンプレートを前記設定テンプレー
ト蓄積手段から読み出し、該読み出された設定テンプレ
ートを前記通信エンティティに配布を行う検索・応答機
能手段を備えることを特徴とする通信設定管理システ
ム。

【０１２６】（付記２）付記１において、さらに定義済
みの設定テンプレート群を前記設定テンプレート蓄積手
段に一括して入力する設定テンプレート一括入力手段を
備えることを特徴とする通信設定管理システム。

【０１２７】（付記３）それぞれ少なくとも１つの通信
エンティティを有する複数の管理ドメインがネットワー
クを介して存在し、該複数の管理ドメインの各々に配置
される一つの通信設定管理装置を有し、異なる管理ドメ
インに属する通信エンティティ間の通信に対し、該当す
る管理ドメインに配置される通信設定管理装置は、それ
ぞれの管理ドメイン毎に異なる通信特性の設定を与え、
該設定を該当する管理ドメイン毎に管理することを特徴
とする通信設定管理システム。

【０１２８】（付記４）付記３において、前記通信設定
管理装置は、前記通信エンティティの具体的な設定方法
の情報を参照して、該通信エンティティに対し設定する
内容を纏めた設定テンプレートを、入力又は編集する設
定テンプレート入力・編集手段と、該設定テンプレート
入力・編集手段により入力又は編集された設定テンプレ
ートを蓄積する設定テンプレート蓄積手段と、どのよう
な属性を持った通信にどの設定テンプレートを適用すべ
きかの規則を記した適用規則を入力又は編集する適用規
則入力・編集手段と、該適用規則入力・編集手段により
入力又は編集された適用規則を蓄積する適用規則蓄積手
段と、設定を配布する先の通信エンティティの属性に従
って、前記適用規則蓄積手段から該当する適用規則を選
び、該適用規則で指定される設定テンプレート名を有す
る設定テンプレートを前記設定テンプレート蓄積手段か
ら読み出し、該読み出された設定テンプレートを前記通
信エンティティに配布を行う検索・応答機能手段を備え
ることを特徴とする通信設定管理システム。

【０１２９】（付記５）付記４において、さらに、他の
管理ドメインに配置される通信設定管理装置と相互に情
報を交換し、該情報と自管理ドメインの設定テンプレー
ト及び適用規則との矛盾を検知する矛盾検出機能部を有
することを特徴とする通信設定管理システム。

【０１３０】（付記６）付記５において、前記矛盾検出
機能部により前記適用規則により指定される設定テンプ
レートあるいは設定テンプレートの集合が一致しない矛
盾が検出された時、該矛盾を修正する矛盾修正機能部を
更に有することを特徴とする通信設定管理システム。

【０１３１】

【発明の効果】本発明によれば、通信設定を多くの通信
エンティティヘ配布する通信設定管理装置において、高
度な知識を要するきめ細かな通信設定の記述と高度な知
識を要さない容易な適用規則の記述が同時に実現でき、
管理者の知識によって両者を使い分けることができる。

【０１３２】また、通信設定管理装置を各管理ドメイン
ごとに配置することにより、管理ドメインごとに異なる
設定を実現する際の管理が効率化される。またその際に
相手管理ドメインとの間で生じるポリシー(設定と適用
規則)の矛盾を自動的に検出し、あるいは人手を介さず
に自動的に修正することが可能となる。

【図面の簡単な説明】

【図１】第１の従来技術を説明する図である。

【図２】第２の従来技術を説明する図である。

【図３】第３の従来技術を説明する図である。

【図４】本発明の第１の実施例構成を説明する図であ
る。

【図５】本発明の第２の実施例構成を説明する図であ
る。

【図６】本発明の第３の実施例構成を説明する図であ
る。

【図７】本発明の第４の実施例構成を説明する図であ
る。

【図８】本発明の第５の実施例構成を説明する図であ
る。

【図９】本発明の上記第１の実施例における通信設定管
理装置の具体的構成例ブロック図である。

【図１０】本発明の上記第１の実施例における設定テン
プレート蓄積手段に格納される設定テンプレートの例で
ある。

【図１１】本発明の上記第１の実施例における設定テン
プレート蓄積手段に格納される設定テンプレートの他の
例である。

【図１２】本発明の上記第１の実施例における適用規則
蓄積手段に格納される適用規則の例である。

【図１３】本発明の上記第１の実施例における上級管理
者に示される設定テンプレート入力・編集の画面の例で
ある。

【図１４】本発明の上記第１の実施例における一般の管
理者に示される適用規則入力・編集画面の例である。

【図１５】本発明の上記第１の実施例における検索・応
答機能部の動作説明図である。

【図１６】本発明の上記第１の実施例における一括して
追加される設定テンプレート群の例である。

【図１７】本発明の上記第２の実施例における通信設定
管理装置の配置の例である。

【図１８】第２の実施例における組織Ａ及びＢの通信設
定管理装置が共有している設定テンプレートの例であ
る。

【図１９】図１８における組織Ａ及びＢの適用規則を示
す図である。

【図２０】矛盾検出機能の動作説明図である。

【図２１】設定テンプレートの同値情報及び優先情報で
ある。

【図２２】矛盾修正の動作説明図である。

【図２３】矛盾修正の概念図である。

【図２４】矛盾修正後の適用規則である。

【符号の説明】

１…通信設定管理装置、２…通信エンティティ、３…ネ
ットワーク、４…管理ドメイン、１１…適用規則蓄積手
段、１２…設定テンプレート蓄積手段、１３…検索・応
答桧能部、１４…適用規則入力・編集手段、１５…設定
テンプレート入力・編集手段、１６…設定テンプレート
ー括入力手段、１７…矛盾検出機能部、１８…矛盾修正
機能部、２０…各通信エンティティの具体的な設定方法
の情報、２１…高度な知識を有する上級管理者、２２…
一般の管理者、２３…定義済みの設定テンプレート群、
３１・３２…組織Aの適用規則の例、４１・４２…組織
Ｂの適用規則の例

───────────────────────────────────────────────────── フロントページの続き (71)出願人 500224324 ゲーエムデー フォルシュンクスツェント ルム インフォルマチオンテクニック ゲ ーエムベーハー ＧＭＤ−Ｆｏｒｓｃｈｕｎｇｓｚｅｎｔｒ ｕｍ Ｉｎｆｏｒｍａｔｉｏｎｓｔｅｃｈ ｎｉｋ ＧｍｂＨ ドイツ連邦共和国 Ｄ−53757 サンクト オーガスティン Ｄ−53757 Ｓａｎｋｔ Ａｕｇｕｓｔｉ ｎ， Ｇｅｒｍａｎｙ (72)発明者 森川 郁也 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 箕浦 真 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 福田 健一 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 エリザベス ギースラー ドイツ連邦共和国 Ｄ−64295 ダルムシ ュタット ラインストラッセ 75 ゲーエ ムデー フォルシュンクスツェントルム インフォルマチオンテクニック ゲーエム ベーハー内 (72)発明者 オラフ ヘンニガー ドイツ連邦共和国 Ｄ−64295 ダルムシ ュタット ラインストラッセ 75 ゲーエ ムデー フォルシュンクスツェントルム インフォルマチオンテクニック ゲーエム ベーハー内 (72)発明者 ライナー プリノース ドイツ連邦共和国 Ｄ−64295 ダルムシ ュタット ラインストラッセ 75 ゲーエ ムデー フォルシュンクスツェントルム インフォルマチオンテクニック ゲーエム ベーハー内 (72)発明者 トーマス シュレーダー ドイツ連邦共和国 Ｄ−64295 ダルムシ ュタット ラインストラッセ 75 ゲーエ ムデー フォルシュンクスツェントルム インフォルマチオンテクニック ゲーエム ベーハー内 Ｆターム(参考） 5B089 GA21 GB02 HA06 JA35 JB22 KA03 KA13 KB04 KC44 LB14 5E501 AA02 BA02 BA05 CA02 CB02 5K034 AA19 HH01 HH02 HH06 HH63

Claims (5)

【特許請求の範囲】
1. 【請求項１】複数の通信実体（エンティティ）に対して
   通信の特性を定めた設定を配布する通信設定管理システ
   ムであって、 前記通信エンティティの具体的な設定方法の情報を参照
   して、該通信エンティティに対し設定する内容を纏めた
   設定テンプレートを、入力又は編集する設定テンプレー
   ト入力・編集手段と、 該設定テンプレート入力・編集手段により入力又は編集
   された設定テンプレートを蓄積する設定テンプレート蓄
   積手段と、 どのような属性を持った通信にどの設定テンプレートを
   適用すべきかの規則を記した適用規則を入力又は編集す
   る適用規則入力・編集手段と、 該適用規則入力・編集手段により入力又は編集された適
   用規則を蓄積する適用規則蓄積手段と、 設定を配布する先の通信エンティティの属性に従って、
   前記適用規則蓄積手段から該当する適用規則を選び、該
   適用規則で指定される設定テンプレート名を有する設定
   テンプレートを前記設定テンプレート蓄積手段から読み
   出し、該読み出された設定テンプレートを前記通信エン
   ティティに配布を行う検索・応答機能手段を備えること
   を特徴とする通信設定管理システム。
2. 【請求項２】請求項１において、 さらに定義済みの設定テンプレート群を前記設定テンプ
   レート蓄積手段に一括して入力する設定テンプレート一
   括入力手段を備えることを特徴とする通信設定管理シス
   テム。
3. 【請求項３】それぞれ少なくとも１つの通信エンティテ
   ィを有する複数の管理ドメインがネットワークを介して
   存在し、 該複数の管理ドメインの各々に配置される一つの通信設
   定管理装置を有し、 異なる管理ドメインに属する通信エンティティ間の通信
   に対し、該当する管理ドメインに配置される通信設定管
   理装置は、それぞれの管理ドメイン毎に異なる通信特性
   の設定を与え、該設定を該当する管理ドメイン毎に管理
   することを特徴とする通信設定管理システム。
4. 【請求項４】請求項３において、前記通信設定管理装置
   は、 前記通信エンティティの具体的な設定方法の情報を参照
   して、該通信エンティティに対し設定する内容を纏めた
   設定テンプレートを、入力又は編集する設定テンプレー
   ト入力・編集手段と、 該設定テンプレート入力・編集手段により入力又は編集
   された設定テンプレートを蓄積する設定テンプレート蓄
   積手段と、 どのような属性を持った通信にどの設定テンプレートを
   適用すべきかの規則を記した適用規則を入力又は編集す
   る適用規則入力・編集手段と、 該適用規則入力・編集手段により入力又は編集された適
   用規則を蓄積する適用規則蓄積手段と、 設定を配布する先の通信エンティティの属性に従って、
   前記適用規則蓄積手段から該当する適用規則を選び、該
   適用規則で指定される設定テンプレート名を有する設定
   テンプレートを前記設定テンプレート蓄積手段から読み
   出し、該読み出された設定テンプレートを前記通信エン
   ティティに配布を行う検索・応答機能手段を備えること
   を特徴とする通信設定管理システム。
5. 【請求項５】請求項４において、 さらに、他の管理ドメインに配置される通信設定管理装
   置と相互に情報を交換し、該情報と自管理ドメインの設
   定テンプレート及び適用規則との矛盾を検知する矛盾検
   出機能部を有することを特徴とする通信設定管理システ
   ム。