JP2001337864A - アクセス制御システム - Google Patents

Abstract

(57)【要約】 【課題】ネットワークからの侵入者がいかなるユーザー
権限を利用して不正なファイル読み出しや書き込みを試
みても、該アクセスの抑止が可能なアクセス制御システ
ム及びその方法を提供する。 【解決手段】特定のファイルへのアクセスを、特定のユ
ーザーが特定のプログラムを使用した場合に限り許可す
るといったポリシーを用いる。さらに、ポリシーをポリ
シーファイル２００に登録し、ファイルＩ／Ｏフックプ
ログラム１０６がフックしたアクセス情報を、ＯＳ間通
信処理部１０８を介してセキュリティ用ＯＳ１０４上の
アクセス制御プログラム１１０に渡し、前記ポリシーに
基づいたアクセス制御を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報処理装置が管
理する情報を不正なアクセスから保護する場合に好適な
アクセス制御技術に関する。

【０００２】

【従来の技術】一般のコンピュータシステムでは、マル
チユーザー・マルチタスクＯＳが備えるユーザー認証機
構と、該認証結果に基づいたファイルアクセス制御機構
を用いて機密情報ファイルの保護を実現しているケース
が多い。具体的には、前記ＯＳが実装された情報処理装
置を利用する際に、ユーザーは必ず自己のユーザーＩＤ
とパスワードを入力し、認証を受ける。前記情報処理装
置が管理する全てのファイル各々には、ファイルリード
やライト等のアクセスタイプ毎に、ユーザーＩＤとグル
ープＩＤを用いてアクセス可能なユーザーを定義したア
クセスコントロールリストがセキュリティ属性情報とし
て割り当てられている。ユーザーがアプリケーションプ
ログラムを介してファイルへアクセスした場合、上記Ｏ
Ｓは、アクセス要求元となるユーザーのＩＤ及び該ユー
ザーが所属するグループＩＤを、アクセス対象となるフ
ァイルに割り当てられたアクセスコントロールリストと
照合し、当該リストに前記ユーザーが含まれている場合
に限りアクセスを許可するといった制御を行なう。

【０００３】一方で、インターネットを介した情報発
信、情報収集や、各種サービス提供を行なう手段として
ＷｏｒｌｄＷｉｄｅＷｅｂ（ＷＷＷ）のサービスが広く
使われている。ＷＷＷでは、ＨｙｐｅｒＴｅｘｔＴｒａ
ｎｓｆｅｒＰｒｏｔｏｃｏｌ（ＨＴＴＰ）と呼ばれる通
信プロトコルが、リクエストデータとレスポンスデータ
の転送に用いられている。また、ＷＷＷシステムではコ
ンテンツの不正な差し替えや、ネットワークを経由した
機密情報流出を未然に防ぐためのセキュリティ技術がい
くつか用意されている。

【０００４】ＨＴＴＰが有するセキュリティ機構とし
て、基本認証（ＢａｓｉｃＡｕｔｈｅｎｔｉｃａｔｉｏ
ｎ）と呼ばれるものがある。基本認証では、認証情報と
してユーザーＩＤとパスワードを予めＷＷＷサーバに登
録しておき、ブラウザを通じてユーザーから送信される
ユーザーＩＤとパスワードを、前記認証情報と比較して
認証を行なう。各コンテンツへのアクセス権限設定を記
述したポリシーファイルと、該ポリシーに基づくアクセ
ス制御機構も前記ＷＷＷサーバに実装されている。同様
な機構を、ＣｏｍｍｏｎＧａｔｅｗａｙＩｎｔｅｒｆａ
ｃｅ（ＣＧＩ）プログラムに実装し、ユーザー認証とコ
ンテンツへのアクセス制御を実現することも可能であ
る。

【０００５】ＷＷＷでは、他のセキュリティ技術とし
て、認証局から発行される証明書に基づき、ユーザーと
ＷＷＷサーバの相互認証と通信データの暗号化を行なう
ことが可能である。この技術は、消費者のクレジットカ
ード番号がネットワーク上に流れる一部のインターネッ
トショッピングのようなサービスにおいて、必須の技術
とされている。これらの技術によるユーザー（クライア
ント）認証は、ＷＷＷサーバ側のＯＳが具備するユーザ
ー認証機構とは通常独立したものであるが、前記認証に
用いるユーザーＩＤや、ユーザーの証明書を、ＯＳが管
理するユーザーアカウントに関連付けて使用することが
できるWWWサーバプログラムもある。つまり、認証され
たユーザーは、ＯＳのアクセス制御下でＷＷＷコンテン
ツにアクセスする。これらのセキュリティ技術について
は、“Web Security:A Step-by-Step Reference Guid
e”Lincoln D. Stein著、Addison-Wesley Pub Co;（ISB
N:0201634899）などに記載されている。

【０００６】近年増加しているインターネットサービス
プログラム等に潜むセキュリティホールやバグを利用し
た不正アクセスを解決する他の技術としては、常駐型の
ファイル監視プログラムを情報処理装置上に設け、定期
的にファイルの破壊の有無をチェックする方法が、特開
平１０−０６９４１７号公報に開示されている。これと
同様の技術として、特定のファイルについてそのサイズ
の増減やタイムスタンプを定期的にチェックするプログ
ラムを情報処理装置上に設け、該ファイルの変化を検知
するツールが、シェアウエアやフリーウエアとして幾つ
か公開されている。

【０００７】

【発明が解決しようとする課題】先に述べたセキュリテ
ィホールやバグに関する情報は、ｈｔｔｐ：／／ｗｗ
ｗ．ｃｅｒｔ．ｏｒｇ／等で報告され、バグ修正用のプ
ログラムも各メーカーから配布されるようになってい
る。しかし、攻撃者あるいは侵入者は、あらゆる手段を
用いて外部ネットワークから情報処理装置への侵入を試
みる。たとえば、前記マルチユーザー・マルチタスクな
ＯＳが具備するアクセス制御機構では、アクセス要求元
のユーザーＩＤとその所属グループに基づいてアクセス
の可否を判断しているため、ＯＳの管理者のような強い
権限をもつユーザーに成りすまして侵入すれば、システ
ム中のいかなるファイルにもアクセスできるので、シス
テム中の情報を書き換えたり、機密情報を盗み出すこと
がてきてしまう。

【０００８】また、前記ファイルの変化を定期的にチェ
ックする手法では、ファイルが改ざんされた後の検出に
なるため、不正アクセスが発生したことは分かるが、そ
れを未然に防ぐことができないと共に、ファイルの不正
な読み出しについては事後検出もできない。

【０００９】また、前記ＷＷＷサーバやＣＧＩプログラ
ムを利用してコンテンツのアクセス制御機能を実現した
システムにおいては、各コンテンツへのアクセス権限設
定を記述したポリシーファイルも、その他のファイルと
同じく不正アクセスの対象になる。したがって、該ポリ
シーファイルが破壊あるいは改ざんされた場合には、前
記アクセス制御機能が正常に働かない。

【００１０】本発明の目的は、アクセス要求元（サブジ
ェクト）がいかなる権限をもつ場合でも、そのアクセス
手段およびアクセス対象（オブジェクト）を制限するこ
とが可能なアクセス制御システム及びその方法を提供す
ることにある。

【００１１】本発明の他の目的は、不正なファイルアク
セスを未然に防ぐことが可能なアクセス制御システム及
びその方法を提供することにある。

【００１２】本発明の他の目的は、アクセス権限設定を
記述したポリシーファイルと、該ポリシーファイルに基
づいてアクセス制御を施行するプログラムを、外部から
の不正アクセスや攻撃から保護可能なアクセス制御シス
テム及びその方法を提供することにある。

【００１３】本発明の他の目的は、例えば機密情報にア
クセスしながらサービスを提供するようなアプリケーシ
ョンプログラムを、外部からの不正アクセスから保護可
能なアクセス制御システム及びその方法を提供すること
にある。

【００１４】

【課題を解決するための手段】上記目的を達成するため
に、本発明では、ファイルアクセスに関するアクセス制
御ポリシーとして、より厳密にアクセス要求を特定する
情報、すなわち、アクセス要求元とアクセス実行手段と
アクセスタイプとを特定する情報を用いる。

【００１５】さらに具体的には、特定のファイルへのア
クセスを、特定のユーザーが特定のプログラムを用いた
場合のみ許可するアクセス制御ポリシーを記述したポリ
シーファイルを作り、アクセス制御手段が、ファイルへ
のアクセスが発生したときに、前記ポリシーファイルの
記述に従ってアクセスの正当性すなわち可否を判定す
る。前記アクセス制御ポリシーには、アクセス対象とな
るファイルの名称と、アクセスが許可されたユーザー名
とプログラム名の組合せを、ファイルのオープン・リー
ド・ライト・削除・リネームといったアクセスタイプ毎
に予め規定しておく。

【００１６】また、不正なファイルアクセスを未然に防
ぐために、本発明では、前記ファイルアクセスを監視す
るファイルＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）フック
手段を前記情報処理装置に設け、該ファイルＩ／Ｏフッ
ク手段は、前記アクセスを検知した時に、当該アクセス
タイプ及びアクセス対象となるファイルの名称と、該ア
クセスの要求元となるユーザー名及びプログラム名を取
得して前記アクセス制御手段に送信する。前記アクセス
制御手段は、受信内容を前記ポリシーファイルの内容と
照合し、該ポリシーに違反するアクセスであれば当該ア
クセスを無効にし、前記ファイルＩ／Ｏフック手段を経
由して前記アクセス要求元にエラーを返す。

【００１７】また、前記ポリシーファイルと前記アクセ
ス制御手段を保護するために、本発明では、１台の情報
処理装置上に２つのＯＳと、両ＯＳ間でデータ通信する
ためのプロセス間通信手段と、両ＯＳが互いに排他的に
占有するメモリや磁気ディスクおよびネットワークデバ
イスを設ける。前記２つのＯＳのうち一方をアクセス監
視対象となるサービス用ＯＳとして使用し前記ファイル
Ｉ／Ｏフック手段を前記サービス用ＯＳのカーネルレベ
ルのモジュールとして設ける。もう一方をセキュリティ
用ＯＳとして使用し、前記アクセス制御手段および前記
ポリシーファイルを占有する磁気ディスクに格納すると
共に、前記アクセス制御手段をプロセスとして動作さ
せ、該アクセス制御手段とポリシーファイルを前記サー
ビス用ＯＳ上の、サービスを受けるユーザが使うプロセ
スからアクセスできないようにする。

【００１８】一方、よりセキュリティを高めるために、
機密情報を取り扱うようなアプリケーションプログラム
（以後、機密プログラムと称す）とのプロセス間通信に
関するアクセス制御ポリシーとして、より厳密にアクセ
ス要求を特定する情報、すなわち、アクセス要求元とア
クセス実行手段とを特定する情報を用いてもよい。具体
的には、特定の機密プログラムとのプロセス間通信を、
特定のユーザーが特定のプログラムを用いた場合のみ許
可するアクセス制御ポリシーを記述したポリシーファイ
ルを作り、複数のアプリケーションプログラム間で通信
が発生したときに、プロセス間通信手段が当該通信を検
知してアクセス制御手段に通知し、アクセス制御手段が
前記ポリシーファイルの記述に従って通信の正当性すな
わち可否を判定する。前記アクセス制御ポリシーには、
通信機能を備える機密プログラムの名称と、当該機密プ
ログラムとの通信が許可されたユーザー名とプログラム
名の組合せを予め規定しておく。

【００１９】この場合は，前記機密プログラムと当該機
密プログラムがアクセスする機密情報ファイルについて
も、前記セキュリティ用ＯＳが占有する磁気ディスクに
格納すると共に、前記機密プログラムをセキュリティ用
ＯＳ上のプロセスとして動作させることでサービス用Ｏ
Ｓ側からの不正アクセスから保護する。もしくは、セキ
ュリティ用ＯＳやサービス用ＯＳとは別の第３のＯＳ
と、各ＯＳ間で通信するためのプロセス間通信手段と、
各ＯＳが互いに排他的に占有するメモリや磁気ディスク
およびネットワークデバイスを設け、前記機密プログラ
ムと当該プログラムがアクセスする機密情報ファイル
を、前記第３のＯＳが占有する磁気ディスクに格納する
と共に、第３のＯＳ上のプロセスとして動作させること
で、サービス用ＯＳ側からの不正アクセスから保護す
る。

【００２０】本発明におけるＯＳとは、ユーザーまたは
プログラムからの要求に応じて記憶媒体中のデータ、フ
ァイルへのアクセスを実行する機能と、アクセス要求元
のユーザーやプログラムを識別する機能と、排他制御機
構により占有する記憶手段を有するプログラムモジュー
ルを意味しており、 ・データ（ファイル）アクセスを管理しており、検知が
可能である。 ・アクセス要求元のユーザーを識別できる。 ・アクセス要求元のアプリケーションを識別できる。

【００２１】といった特徴を持つ。したがって、一般的
にＯＳと呼ばれるものに限らず上記特徴を持つものであ
れば、本発明を適用することは可能である。

【００２２】また，サービス提供とは，リクエストに応
じて所定の処理を実行し、その処理結果を要求元に返す
ことを指し，また，サービス利用とは，上記サービス提
供をおこなうものに対して、リクエストを発行し、その
処理結果を受け取ることを指す。

【００２３】また，機密情報とは、システム利用者のう
ち、権限を持つものだけがその内容および存在自体を知
り得るような情報を指し，機密プログラムとは、このよ
うな情報を扱いながら所定を処理を実行するプログラム
を指す。

【００２４】本発明を実現するのに必要な各プログラム
（コード、モジュール、ユニットともいう）は，ネット
ワークに接続される他のサーバからコンピュータが読み
取り可能な媒体，すなわちネットワーク上の伝送信号，
またはＣＤＲＯＭ，ＦＤなどの可搬型記憶媒体，を経由
して，事前にまたは必要なときに導入してもよい。

【００２５】

【発明の実施の形態】以下、図を用いて本発明の実施の
一形態を説明する。

【００２６】図１は、本発明のアクセス制御システムの
一構成例である。１００はサーバ情報処理装置であり、
サービス用オペレーティングシステム（ＯＳ）１０３が
管理するメモリ１０１、当該サービス用ＯＳ１０３が占
有するディスクコントローラ１１２ａと磁気ディスク１
１４ａとＬＡＮコントローラ１１３、セキュリティ用Ｏ
Ｓ１０４が管理するメモリ１０２と、当該セキュリティ
用ＯＳ１０４が占有するディスクコントローラ１１２ｂ
と磁気ディスク１１４ｂその他を備える。

【００２７】複数ＯＳ制御プログラム１１６は、サーバ
情報処理装置上で複数のＯＳ（本実施例ではサービス用
ＯＳ１０３とセキュリティ用ＯＳ１０４）が動作するた
めの各種の制御をする部分で、各ハードウェアの初期化
および、メモリと磁気ディスクの分割占有処理、ＣＰＵ
のスケジューリング、割り込み処理等を行う。ＯＳ間通
信処理部１０８は、複数ＯＳ制御プログラム１１６の中
に存在し、サーバ情報処理装置上で動作するＯＳ間での
通信機能を提供する。やサーバ情報処理装置１００の起
動時には、前記複数ＯＳ制御プログラム１１６が各ハー
ドウェアの初期化およびＯＳ毎のハードウェア分割占有
処理等を行い、サービス用ＯＳ１０３とサーバプログラ
ム１０９がディスクコントローラ１１２ａを介して磁気
ディスク１１４ａからメモリ１０１上にロードされると
共に、セキュリティ用ＯＳ１０４とアクセス制御プログ
ラム１１０がディスクコントローラ１１２ｂを介して磁
気ディスク１１４ｂからメモリ１０２上にロードされ
る。前記ＯＳ間通信処理部１０８は、ファイルＩ／Ｏフ
ックプログラムと前記アクセス制御プログラム１１０と
の間でデータ交換を行なうために使用するものとし、前
記サーバプログラム１０９からは直接使用できないイン
タフェースとなっている。

【００２８】なお、ＯＳ間通信処理部１０８は、サービ
ス用ＯＳ１０３に含まれるプロセス間通信プログラムと
して、構成することも可能である。

【００２９】また、サービス用ＯＳ１０３は、流通して
いる既存のマルチユーザー・マルチタスクなＯＳと同
様、ユーザーの識別・認証機能を具備しているものとす
る。前記サーバ情報処理装置１００と複数のクライアン
ト情報処理装置１２０は、ローカルエリアネットワーク
（ＬＡＮ）１１５を介して相互に接続されており、前記
サーバプログラム１０９は、ＬＡＮコントローラ１１３
とＬＡＮ１１５を介して、クライアントプログラム１２
１からのリクエストの受信と、当該クライアントプログ
ラム１２１へのレスポンスの送信を行なう。サーバプロ
グラム１０９とクライアントプログラム１２１は、例え
ばＷＷＷサーバとブラウザに相当するプログラムであ
る。なお、前記サーバ情報処理装置１００とクライアン
ト情報処理装置１２０は、電話回線やインターネットを
介して接続されていてもよい。また、サービス用ＯＳ１
０３とセキュリティＯＳとは、ＯＳ間通信のインタフェ
ースを非公開にすれば別々の装置上にあっても良く、セ
キュリティ的にも問題はない。

【００３０】前記サーバプログラム１０９のようにＯＳ
上で動作するアプリケーションプログラムは、一般にユ
ーザーレベルのプロセスと呼ばれている。該サーバプロ
グラム１０９は、前述のようにクライアントプログラム
１２１からのリクエストに基いて処理を実行するもので
あり、言い換えればネットワークからの攻撃の対象にも
なり得るプログラムである。これに対し、ファイルＩ／
Ｏフックプログラム１０６やファイルシステムドライバ
１０７のようにＯＳの一機能として動作するプログラム
は、一般にカーネルレベルのモジュールと呼ばれてお
り、多くのコンピュータシステムではアクセス制御機能
をカーネルレベルのモジュールとして実装している。

【００３１】図１のサーバ情報処理装置１００のよう
に、１台の情報処理装置上に複数のＯＳを同時に動作さ
せるための技術としては、仮想計算機あるいはマイクロ
カーネルがある。その他、リアルタイムＯＳを一般的な
ＯＳのカーネルレベルのモジュールとして実装すると共
に、前記リアルタイムＯＳがシステム障害を検知する
と、リアルタイム処理を継続しながらもシステムを自動
的に再起動する方法が、特開平１１−０２４９４３号公
報に開示されている。また、ＯＳ間通信処理部１０８の
ような、異種ＯＳ上のプロセス間通信を実現する方法
は、特開平１１−０８５５４６号公報に開示されてい
る。これらを本発明の前提条件として、引続き実施の形
態を述べる。

【００３２】図２は、前記ポリシーファイル２００のデ
ータ構造を示したものである。

【００３３】２１０から２１２は、ポリシー記述の一例
を示したものである。オブジェクト名２０１は、アクセ
スを制限すべきファイルの名称を示す。オブジェクト名
として、２１０や２１２のようにファイル単位の指定
と、２１１のようなディレクトリ単位の指定が可能とな
っている。ディレクトリ単位の指定では、該ディレクト
リ名に続くファイル名を所定の文字、記号（たとえばア
スタリスク（＊））で表記する。前記オブジェクトに対
して禁止すべきアクセスを、禁止されたアクセスのタイ
プ２０２に示す。エラーコード２０３は、前記禁止され
たアクセスのタイプ２０２が発生した際に、当該アクセ
ス発行元（サブジェクト）となるプログラムに返すべき
エラーコードを示す。例外サブジェクト２０４は、特別
にアクセスを許されたプログラムの名称である。プログ
ラムのハッシュ値２０５は、前記例外サブジェクトとし
て指定されたプログラムファイルの特徴値（ハッシュ
値）をたとえば８バイトで表したものである。ユーザー
名２０６は、前記例外サブジェクト２０４のプログラム
を利用可能なユーザーを、前記サービス用ＯＳ１０３が
管理するユーザー名またはグループ名で表したものであ
る。

【００３４】つまり前記ポリシーは、前記プログラムの
ハッシュ値２０５に登録されたハッシュ値を有するプロ
グラムが前記例外サブジェクトとして登録され、且つ該
プログラムをユーザー名２０６に登録されたユーザーあ
るいはグループのメンバーが利用している場合に限り、
例外としてアクセスを許可することを表している。同時
に、これら条件が整っていない場合は、アクセス発行元
のプログラムに対して前記エラーコード２０３を返すこ
とを意味する。

【００３５】前記ポリシーファイル２００の設定は、シ
ステムのセキュリティ管理者が行なうものとする。例え
ば、ＨＴＭＬファイルなどのＷＷＷコンテンツを侵入者
によって不正に書き換えられないようにするには、該Ｈ
ＴＭＬファイルへのライトアクセスを原則として禁止し
ておき、例外としてコンテンツ管理者に任命されている
ユーザーが特定のＨＴＭＬ編集用プログラムを用いた場
合に限りライトアクセスを許可するといったポリシーを
前記ポリシーファイル２００に記述すればよい。

【００３６】例外サブジェクトには、サーバプログラム
１０９のように、ネットワークからの攻撃を受けやすい
プログラムを指定しないことが重要である。更に例外サ
ブジェクトとして登録するプログラムを、ＣＤ−ＲＯＭ
等の取り外し可能な記憶媒体に格納しておき、必要なと
きだけ媒体を装着して使用すればより確実に保護できる
ので、さらなるセキュリティ効果が期待できる。図１の
構成に当該媒体の駆動装置を追加し、ディスクコントロ
ーラ１１２ａが当該駆動装置に対応すれば、このような
記憶媒体が使用可能となる。

【００３７】図３は、アクセスログファイル３００のデ
ータ構造の一例を示したものである。アクセスログファ
イル３００は、前記ポリシーファイル２００にて禁じら
れているアクセスが発生した事実を、アクセス制御プロ
グラム１１０のアクセスログ登録ルーチン４０６が書き
込むためのファイルであり、当該アクセスが発生した日
時３０１と、当該アクセスの対象となったファイルを表
すオブジェクト名３０２と、当該アクセスのタイプ３０
３、当該アクセスを発行したプログラムを表すサブジェ
クト名３０４、そして前記プログラムを利用していたユ
ーザーを表すユーザー名３０５から構成される。

【００３８】図４に、ファイルＩ／Ｏフックプログラム
１０６と、アクセス制御プログラム１１０の構成を示
す。

【００３９】ファイルＩ／Ｏフックプログラム１０６
は、前記サーバ情報処理装置１００の起動時に、サービ
ス用ＯＳ１０３と共にメモリ１０１上にロードされる。
アクセス制御プログラム１１０は、前記サーバ情報処理
装置１００の起動時に、セキュリティ用ＯＳ１０４と共
にメモリ１０２上にロードされる。

【００４０】図５と図６を用いて、本発明のアクセス制
御の概要を記す。

【００４１】図５は、Ｉ／Ｏマネージャ１０５と、ファ
イルＩ／Ｏフックプログラム１０６と、アクセス制御プ
ログラム１１０の三者間における処理の流れを示すもの
である。５０１は、サーバプログラム１０９が発行した
ファイルアクセスが、Ｉ／Ｏマネージャ１０５を経由し
てファイルＩ／Ｏフックプログラム１０６に到達するま
での通信経路であり、サービス用ＯＳ１０３の上で動作
する全てのアプリケーションプログラムからのファイル
アクセスについて共通なものである。ファイルＩ／Ｏフ
ックプログラム１０６には、図６に示すＩ／Ｏパケット
６００のデータが渡される。Ｉ／Ｏパケット６００は、
Ｉ／Ｏフックプログラム１０６に渡される前にサービス
用ＯＳ１０３が具備するアクセス制御機構をパスしてい
ることと仮定して説明するが、これに限ったものではな
く、前記アクセス制御プログラム１１０のチェックをパ
スしてからサービス用ＯＳ１０３が具備するアクセス制
御機構のチェックを受けるものであってもよい。

【００４２】図６は、前記三者間を流れるパケットのデ
ータ構造を示したものである。６０１はアクセス対象の
ファイルを表すオブジェクト名である。６０２は前記オ
ブジェクトへのアクセスタイプを示す。６０３は、当該
アクセスを発行したプログラムのプロセスＩＤを示す。
６０４は当該アクセスの処理結果を示すステータスを示
す。６０５は当該アクセスに関連するデータの長さを示
すものであり、例えば前記アクセスタイプ６０２がファ
イルへの書込み（ライト）要求であれば、書込みデータ
がデータ領域６０７に格納され、当該書込みデータの長
さがデータ長６０５に格納される。６０６は、前記デー
タ領域６０７へのポインタである。

【００４３】図５において、５０２は、ファイルＩ／Ｏ
フックプログラム１０６が検知したファイルオープン要
求に関するアクセス権限チェックと、アクセスログ３０
０への書き込みを、アクセス制御プログラム１１０に対
してリクエストするに用いる通信経路である。前記リク
エストのデータ構造を、図６のリクエストパケット６１
０に示す。サブジェクト名６１１は、ファイルアクセス
の発行元となるプログラムの名称であり、ユーザー名６
１２は、前記プログラムの利用者をユーザー名とグルー
プ名で表すものである。サブジェクト名６１１及びユー
ザー名６１２は、受信したＩ／Ｏパケット６００に含ま
れるプロセスＩＤ６０３を指定して、前記サービス用Ｏ
Ｓ１０３として用いる標準のＯＳに対してシステムコー
ルを発行することで取得できる。

【００４４】前記リクエストパケット６１０は、ＯＳ間
通信処理部１０８が当該パケットのデータを、ファイル
Ｉ／Ｏフックプログラムのメモリ空間６３０からアクセ
ス制御プログラムのメモリ空間６４０に複写することで
伝達される。アクセス制御プログラム１１０では、受信
したリクエストパケットに含まれる情報を、ポリシーフ
ァイル２００の内容と照合し、その結果をレスポンスパ
ケット６２０に登録して前記ファイルＩ／Ｏフックプロ
グラムに伝達する。この伝達は、前記通信経路５０２と
同様に、ＯＳ間通信処理部１０８が前記パケットのデー
タを、アクセス制御プログラムのメモリ空間６４０から
ファイルＩ／Ｏフックプログラムのメモリ空間６３０に
複写することで達成される。５０３は、当該レスポンス
パケットの通信経路を示すものである。

【００４５】ファイルＩ／Ｏフックプログラム１０６
は、受信したレスポンスパケット６２０の内容から当該
アクセスの可否を判断し、アクセス不可であればエラー
コード２０３をＩ／Ｏパケット６００のステータス６０
４に設定し、当該Ｉ／Ｏパケットを前記Ｉ／Ｏマネージ
ャ１０５に返す。前記ステータス６０４にエラーコード
が設定されている場合、前記Ｉ／Ｏマネージャ１０５
は、通信経路５０６を用いてファイルアクセス発行元の
サーバプログラム１０９に当該エラーを返す。一方、前
記ステータス６０４にエラーコードが設定されていなけ
れば、通信経路５０５を用いてファイルシステムドライ
バ１０７及びディスクコントローラ１１２ａを介して磁
気ディスク１１４ａへのファイルアクセスを続行し、通
信経路５０６を用いて当該アクセスの結果を前記サーバ
プログラム１０９に返す。

【００４６】本発明のアクセス制御の具体的処理内容
を、図７から図１６を用いて説明する。

【００４７】図７は、ファイルＩ／Ｏフックプログラム
１０６が具備するファイルＩ／Ｏフックルーチンの処理
内容を示すフロー図である。

【００４８】サーバプログラム１０９が、ステップ７０
１でクライアントプログラム１２１からのリクエストを
受信し、ステップ７０２で前記リクエストに応じたファ
イルアクセスをサービス用ＯＳ１０３に対して発行した
場合を想定する。

【００４９】当該ファイルアクセスは、通信経路５０１
を経由して、ファイルＩ／Ｏフックルーチン４００にＩ
／Ｏパケット６００として渡される（ステップ７０
３）。ステップ７０３からステップ７１２は、ファイル
Ｉ／Ｏフックルーチン４００の処理フローである。ステ
ップ７０４では、Ｉ／Ｏパケット６００に含まれるプロ
セスＩＤ６０３から、ファイルアクセス発行元のサブジ
ェクト名６１１とユーザー名６１２を取得する。

【００５０】ステップ７０５からステップ７０８では、
アクセスタイプ６０２を調べ、ファイルオープン、ファ
イルクローズ、ファイルリード又はライト、またはファ
イル削除又はリネームにそれぞれ対応する処理ルーチン
を実行する。これらに該当しない場合、又は対応する処
理ルーチンを実行した後は、通信経路５０４を経由し
て、ステップ７１３にてＩ／Ｏマネージャ１０５の処理
に戻る。

【００５１】図８を用いてオープン処理ルーチン４０１
の処理フローを説明する。ステップ８０１では、アクセ
ス日時として現在の日付と時刻を取得する。ステップ８
０２では、リクエストパケット６１０を作成すると共
に、当該パケット中のエラーコード２０３とハッシュ値
２０５を０に初期設定する。次にステップ８０３にて、
アクセス制御プログラム１１０のオープン制御ルーチン
４０５をコールすると共に、前記リクエストパケット６
１０をオープン制御ルーチン４０５に渡す。

【００５２】オープン制御ルーチン４０５の処理フロー
を、図９を用いて説明する。ステップ９０１では、受信
したリクエストパケット６１０のうち、オブジェクト名
６０１とアクセスタイプ６０２の内容を、ポリシーファ
イル２００と照合する。ステップ９０２では、当該アク
セスが禁止されたアクセスのタイプとして登録されてい
るかどうかを判別する。このとき、禁止されたアクセス
タイプに該当しなければ正当なアクセスとみなし、ステ
ップ９０３にて、許可されたアクセスタイプをレスポン
スパケット６２０の認可アクセス６１３に登録し、オー
プン処理ルーチン４０１の処理に戻る。ここで、許可さ
れたアクセスタイプとは、オブジェクト名６０１で示さ
れるファイルに対するリードとライトの内、サブジェク
ト名６１１で示されるプログラムから実行可能なアクセ
スタイプのことを表す。したがって、オブジェクト名６
０１で示されるファイルに対して、ポリシーファイル２
００の中でリードとライト共に許可されていれば、認可
アクセス６１３にはリードとライトの両方を登録する。
また、リードのみが許可されている場合はリードのみ
を、ライトのみが許可されている場合はライトのみを前
記認可アクセス６１３に登録する。リードとライトの両
方を禁じる場合には、ポリシーとして当該ファイルのオ
ープンを禁止するよう、予めポリシーファイル２００に
記述しておけばよい。

【００５３】ステップ９０２にて禁止されたアクセスだ
と判断した場合、ステップ９０４にて、前記サブジェク
ト名６１１とユーザー名６１２が、共にポリシーファイ
ル２００に記述された例外サブジェクト２０４とユーザ
ー名２０６に該当するか否かを判別する。このとき、サ
ブジェクト名については該プログラムファイルのパス名
が完全に一致するか否かを判別する。またユーザー名に
ついては、ユーザー名６１２に含まれるユーザー名とグ
ループ名のいずれかが一致するか否かを判別する。判別
の結果、例外サブジェクト２０４かつユーザー名２０６
に該当する場合、ステップ９０５にて当該プログラムフ
ァイルのハッシュ値２０５をポリシーファイル２００か
ら取得して、レスポンスパケット６２０に設定する。ま
た、ステップ９０６では、ステップ９０３と同様に、許
可されたアクセスタイプをレスポンスパケット６２０の
認可アクセス６１３として設定する。その後、ステップ
９０８で、該当するエラーコード２０３をレスポンスパ
ケット６２０に設定してから、オープン処理ルーチン４
０１へ戻る。ここでのエラーコード設定は、オープン処
理ルーチン４０１のステップ８０４からステップ８１２
の処理の中で意味を持つものである。

【００５４】ステップ９０４にて、例外サブジェクト２
０４とユーザー名２０６とに該当しないと判断した場
合、ステップ９０７にて、当該アクセスの内容をアクセ
スログファイル３００に書込む。その後、ステップ９０
８で、該当するエラーコード２０３をレスポンスパケッ
ト６２０に設定してから、オープン処理ルーチン４０１
へ戻る。

【００５５】次に、図８において、ステップ８０４では
レスポンスパケット中のハッシュ値２０５の値を調べ、
０であれば例外として認められたアクセスではないと判
断し、ステップ８０５でエラーコードの値をチェックす
る。エラーコードが０でなければ禁止されたアクセスで
あったと判断し、ステップ８０６にて、Ｉ／Ｏパケット
６００のステータス６０４に、当該エラーコード２０３
を設定して処理を終了する。ステップ８０５で、エラー
コードが０であれば、正当なアクセスであったと判断
し、ステップ８１０にて当該アクセス情報を後述するオ
ープンファイルテーブルの先頭アドレスに登録してから
処理を終了する。

【００５６】ステップ８０４でハッシュ値が０でない場
合は、例外として認められたサブジェクトであると判断
し、ステップ８０７にてサブジェクト名６０１で示され
るプログラムファイルのハッシュ値を算出し、ステップ
８０８にてレスポンスパケット中のハッシュ値２０５と
比較する。両者が等しければ、例外サブジェクト２０４
に相当するとみなして、ステップ８１２にて当該アクセ
ス情報をオープンファイルテーブルの先頭アドレスに登
録してから本ルーチンの処理を終了する。ハッシュ値が
等しくなければ、前記プログラムファイルが不正なプロ
グラムであるとみなして、ステップ８０９にて前記リク
エストパケットにおけるサブジェクト名６１１を例外サ
ブジェクトにならないように、例えばサブジェクト名と
してnullデータに、変更し、、ステップ８１０にてアク
セスログ登録ルーチン４０６をコールすると共に前記リ
クエストパケット６１０をアクセスログ登録ルーチン４
０６に渡す。

【００５７】該アクセスログ登録ルーチン４０６の処理
フローを、図１４を用いて説明する。ステップ１４０１
で、リクエストパケット６１０の内容をポリシーファイ
ル２００と照合する。予め前記ステップ８０９で例外サ
ブジェクト扱いにならぬようにサブジェクト名６１１を
クリアしておくことにより、必ず禁止されたオープンア
クセスとして扱われる。ステップ１４０２にて、該当す
るエラーコードをポリシーファイル２００から読み出し
てレスポンスパケット６２０に設定し、当該パケットを
返す。ステップ１４０３にて当該アクセス内容を、アク
セスログファイル３００に書き込み、オープン処理ルー
チン４０１の処理に戻る。

【００５８】図８のオープン処理ルーチン４０１におい
て、ステップ８１１でレスポンスパケット中のエラーコ
ード２０３をＩ／Ｏパケットのステータス６０４に設定
して本ルーチンの処理を終了する。

【００５９】図１０を用いてオープンファイルテーブル
について説明する。オープンファイルテーブル１０００
は、現在オープン中のファイルに関する情報を格納した
構造体データ１００２の集合である。１個の構造体には
１件のオープンファイルの情報を記憶しており、ファイ
ルＩ／Ｏフックプログラム１０６では、各構造体を先頭
アドレス１００１とポインタ１００３によりリストとし
て管理する。本オープンファイルテーブル１０００の一
例を図１１に示す。

【００６０】オープンファイルテーブル１０００に登録
された情報に該当するアクセスであれば、該アクセスを
許可することになるため、オープンファイルテーブル１
０００を不正に書換えられないよう保護することが重要
である。サービス用ＯＳ１０３として、プロセス毎に独
立したメモリ空間が割当てられると共にメモリ空間の排
他制御機構が働くＯＳを使うことで、前記オープンファ
イルテーブル１０００も別プロセスからは不正に書換え
できない仕組みにすることが可能になる。

【００６１】図１２は、クローズ処理ルーチン４０２の
処理フローを示したものである。ステップ１２０１で
は、受信したＩ／Ｏパケット６００の中にあるオブジェ
クト名６０１と、プロセスＩＤ６０３、並びにプロセス
ＩＤ６０３から取得したサブジェクト名６１１およびユ
ーザー名６１２の組み合わせと同じものをオープンファ
イルテーブル１０００から検索する。ステップ１２０２
で、該当する情報がテーブルにあれば、ステップ１２０
３にて該当する情報をテーブルから削除する。一方、テ
ーブルに存在しなければ、ポリシーファイル２００に登
録されていないファイルへのクローズ要求とみなし、本
ルーチンの処理を終了する。

【００６２】図１３は、リード・ライト処理ルーチン４
０３の処理フローを表したものである。ステップ１３０
１では、受信したＩ／Ｏパケット６００の中にあるオブ
ジェクト名６０１と、プロセスＩＤ６０３と、プロセス
ＩＤ６０３から取得したサブジェクト名６１１と、ユー
ザー名６１２との組み合わせと同じものをオープンファ
イルテーブル１０００から検索し、更にアクセスタイプ
６０２が認可されたアクセスタイプ６１３に含まれるか
否かをチェックする。ステップ１３０２にて、前記オブ
ジェクト名６０１と、プロセスＩＤ６０３と、サブジェ
クト名６１１と、ユーザー名６１２と、アクセスタイプ
６０２との組合せがテーブル１０００にあれば、本ルー
チンの処理を終了する。このことは、オープンファイル
テーブル１０００に登録されたアクセスであれば正当な
アクセスであるとみなし、アクセス制御プログラム１１
０の処理を行わないことを意味する。これは、本発明の
アクセス制御によって生じるシステムのパフォーマンス
低下を軽減する効果がある。

【００６３】ステップ１３０２にて、オープンファイル
テーブルに登録されたアクセスでなければ前記ポリシー
ファイル２００により禁止されたアクセスとみなし、ス
テップ１３０３でアクセス日時を取得し、ステップ１３
０４でリクエストパケット６１０を作成する。このと
き、エラーコード２０３を０に初期設定する。この後、
ステップ１３０５にてアクセスログ登録ルーチン４０６
の処理にジャンプする。

【００６４】図１４のアクセスログ登録ルーチン４０６
において、ステップ１４０１ではリクエストパケット６
１０の内容をポリシーファイル２００と照合し、ステッ
プ１４０２にて、該当するエラーコードをポリシーファ
イル２００から読み出してレスポンスパケット６２０に
設定する。次に、ステップ１４０３にて当該アクセス内
容を、アクセスログファイル３００に書き込み、リード
・ライト処理ルーチン４０３の処理に戻る。リード・ラ
イト処理ルーチン４０３では、図１３のステップ１３０
６において、レスポンスパケットで受信したエラーコー
ドをＩ／Ｏパケットのステータス６０４に設定し、本ル
ーチンの処理を終了する。

【００６５】図１５は、削除・リネーム処理ルーチン４
０４の処理フローを表したものである。図８のオープン
処理ルーチン４０１と同じ処理内容のステップには同じ
番号を付している。

【００６６】ステップ１５０３にて、アクセス制御プロ
グラム１１０の削除・リネーム制御ルーチン４０７をコ
ールすると共に、前記リクエストパケット６１０を削除
・リネーム制御ルーチンに渡す。

【００６７】削除・リネーム制御ルーチン４０７の処理
フローを、図１６を用いて説明する。図９のオープン制
御ルーチン４０５と同じ処理内容のステップには同じ番
号を付している。ステップ１６０２では、当該アクセス
が禁止されたアクセスのタイプとして登録されているか
どうかを判別する。禁止されたアクセスタイプに該当し
なければ正当なアクセスとみなし、削除・リネーム処理
ルーチン４０４の処理に戻る。

【００６８】ステップ１６０２にて禁止されたアクセス
だと判断した場合、図９と同様にステップ９０４、９０
５の処理を行い、ステップ１６０３にて、例外サブジェ
クト２０４とユーザー名２０６に該当しないと判断した
場合、図９と同様にステップ９０７の処理を行う。

【００６９】ステップ９０５または９０７の処理を済ま
せると、ステップ９０８で、該当するエラーコード２０
３をレスポンスパケット６２０に設定してから、削除・
リネーム処理ルーチン４０４へ戻る。

【００７０】次に図１５において、図８と同様にステッ
プ８０４の処理を行う。ステップ１５０５では、エラー
コードが０であれば、正当なアクセスであったと判断
し、本ルーチンの処理を終了する。ステップ８０７にて
サブジェクト名６０１で示されるプログラムファイルの
ハッシュ値を算出し、ステップ８０８にてレスポンスパ
ケット中のハッシュ値２０５と比較して、両者が等しけ
れば、例外サブジェクト２０４に相当するとみなして本
ルーチンの処理を終了する。ハッシュ値が等しくない場
合は図８と同様の処理を行い、アクセスログ登録ルーチ
ン４０６を呼び出す。当該ルーチンが処理を済ませると
削除・リネーム処理ルーチン４０４の処理に戻る。

【００７１】図１５において、ステップ１５１１でレス
ポンスパケット中のエラーコード２０３をＩ／Ｏパケッ
トのステータス６０４に設定して本ルーチンの処理を終
了する。

【００７２】以上、本発明の実施の一形態を説明した
が、ＯＳが備えるファイルシステムの種類によっては、
ファイルオープン要求を表すＩ／Ｏパケットの中に、目
的となるアクセスタイプを付属情報として含むものがあ
る。つまり、ファイルのリードアクセスをするためのオ
ープン要求なのか、リード・ライトのためのオープン要
求なのかを、前記Ｉ／Ｏパケット６００中のアクセスタ
イプ６０２から検知できる。このようなファイルシステ
ムを前提とした場合には、図７に示すファイルＩ／Ｏフ
ックルーチン４００の処理フローと、図８に示すオープ
ン処理ルーチン４０１の処理フローと、更に図９に示す
オープン制御ルーチン４０５の処理フローとを変更する
ことにより、前記オープンファイルテーブル１０００の
管理が不要なアクセス制御システムが実現できる。

【００７３】図７においてはファイルＩ／Ｏフックルー
チン４００の処理フローから、ステップ７０６と、ステ
ップ７０７と、ステップ７１０と、ステップ７１１を省
く。つまり、ファイルオープン要求と、ファイル削除要
求と、ファイルのリネーム要求のいずれかを検知し、フ
ァイルのオープン要求であれば、ステップ７０９にてオ
ープン処理ルーチン４０１の処理に移り、削除又はリネ
ーム要求であれば、ステップ７１２にて削除・リネーム
処理ルーチン４０４の処理に移るよう、ファイルＩ／Ｏ
フックルーチン４００の処理フローを変更すればよい。

【００７４】図８においては，オープン処理ルーチンの
処理フローから、ステップ８１２の処理を省く。つま
り、ステップ８０８でのハッシュ値照合処理の結果、等
しければ本ルーチンの処理を終了するよう、オープン処
理ルーチン４０１の処理フローを変更する。

【００７５】更に、図９で説明したオープン制御ルーチ
ン４０５の処理フローは、図２６に示す処理フローに変
更する。図２６のステップ２８０１における処理，すな
わち，受信したリクエストパケット６１０のうち、オブ
ジェクト名６０１とアクセスタイプ６０２の内容を、ポ
リシーファイル２００と照合するといった処理におい
て、このときアクセスタイプ６０２の中に含まれる前記
オープン要求の付属情報（リードやライト）まで取得し
て、前記ポリシーファイル２００と照合する。本発明で
は、前記オープン要求の付属情報として、リードとライ
トの両方が含まれる場合、リードとライトの両方、もし
くはいずれか一方が禁止されたアクセスとしてポリシー
ファイル２００に記述されていれば、当該オープン要求
を禁止されたアクセスとしてみなす。

【００７６】ステップ２８０２では、当該アクセスが禁
止されたアクセスのタイプとして登録されているかどう
かを判別する。このとき、禁止されたアクセスタイプに
該当しなければ正当なアクセスとみなし、ステップ２８
０３にて、レスポンスパケット６２０のエラーコード２
０３と、ハッシュ値２０５を共に０を設定し、オープン
処理ルーチン４０１の処理に戻る。リードとライトの両
方を禁じる場合には、ポリシーとして当該ファイルのオ
ープンを禁止するよう、予めポリシーファイル２００に
記述しておけばよい。

【００７７】ステップ２８０２にて禁止されたアクセス
だと判断した場合、ステップ２８０４にて、前記サブジ
ェクト名６１１とユーザー名６１２が、共にポリシーフ
ァイル２００に記述された例外サブジェクト２０４とユ
ーザー名２０６に該当するか否かを判別する。このと
き、サブジェクト名については該プログラムファイルの
パス名が完全に一致するか否かを判別する。またユーザ
ー名については、ユーザー名６１２に含まれるユーザー
名とグループ名のいずれかが一致するか否かを判別す
る。判別の結果、例外サブジェクト２０４かつユーザー
名２０６に該当する場合、ステップ２８０５にて当該プ
ログラムファイルのハッシュ値２０５をポリシーファイ
ル２００から取得して、レスポンスパケット６２０に設
定する。その後、ステップ２８０８で、該当するエラー
コード２０３をレスポンスパケット６２０に設定してか
ら、オープン処理ルーチン４０１へ戻る。

【００７８】ステップ２８０４にて、例外サブジェクト
２０４とユーザー名２０６とに該当しないと判断した場
合、ステップ２８０７にて、当該アクセスの内容をアク
セスログファイル３００に書込む。その後、ステップ２
８０８で、該当するエラーコード２０３をレスポンスパ
ケット６２０に設定してから、オープン処理ルーチン４
０１へ戻る。

【００７９】次に、本発明のアクセス制御システムのう
ち、プロセス間通信に関するアクセス制御について説明
する。図１７は、機密性の高い情報と、それにアクセス
するプログラムを不正アクセスから保護するためのアク
セス制御システムの一構成例であり，図１と同じ構成要
素には，同じ番号を付している。この構成は、情報の機
密性を確保しつつ、外部ネットワークに対してサービス
を提供する場合に有効であり、高い安全性を確保するこ
とができる。

【００８０】図１７の構成は，図１の構成と同様である
が，さらに，機密用ＯＳ１２２が管理するメモリ１７０
８と、当該機密用ＯＳ１２２が占有するディスクコント
ローラ１１２ｃと磁気ディスク１１４ｃとＬＡＮコント
ローラ１２３その他を備える。

【００８１】前記サービス用ＯＳ１０３が占有するＬＡ
Ｎコントローラ１１３ａは、インターネット等の外部ネ
ットワーク１７０６に接続されたクライアント情報処理
装置１２０等との通信に用いる。一方、前記機密用ＯＳ
１２２が占有するＬＡＮコントローラ１１３ｃは、内部
ネットワーク１７０７に接続された機器との通信に用い
る。

【００８２】複数ＯＳ制御プログラム１１６は、機密用
ＯＳ１２２まで含めた複数のＯＳの制御を行う。

【００８３】前記サービス用ＯＳ１０３とセキュリティ
用ＯＳ１０４と機密用ＯＳ１２２は、各々ドライバ部１
１７とドライバ部１１８とドライバ部１１９を含んでお
り、各ＯＳ上のアプリケーションプログラムは、必ずこ
れらドライバを経由してＯＳ間通信処理部１０８へアク
セスする。この方法は、すでに説明したプロセス間通信
方法と同様なものである。

【００８４】一般的なプロセス間通信の種類には、共有
メモリやセマフォ、メッセージキューなど様々なものが
あり、いずれも予め取り決められた名称や番号を用いて
通信相手を識別することになっている。

【００８５】更に本発明は、以下の特徴を持つ。すなわ
ち，プロセス間通信の不正利用を防止するために、プロ
セス間通信に関するセキュリティポリシーを記述した通
信制御ポリシー１８００を前記磁気ディスク１１４ｂに
格納しておき、前記ＯＳ間通信処理部１０８を利用した
プロセス間通信の要求については、セキュリティ用ＯＳ
１０４側で動作する通信制御プログラム１７００が、前
記通信制御ポリシー１８００の記述に基づいてアクセス
制御を行う。また、当該プロセス間通信に関するアクセ
スログを、前記磁気ディスク１１４ｂ中の通信ログ１９
００に記録する機能を備える。また、前記通信制御プロ
グラム１７００は、実行中のプロセス間通信に関する情
報を、セキュリティ用ＯＳ１０４が管理するメモリ１０
２の中に設けた通信管理テーブル２０００にて保持す
る。

【００８６】中継プログラム１７０１は、前記サービス
用ＯＳ１０３の上で動作するアプリケーションプログラ
ムの１つである。本実施例では、外部ネットワークに接
続されたクライアント情報処理装置１２０からの要求に
応じて、後述する機密プログラム１７０３とのプロセス
間通信を行ない、処理結果を前記クライアント情報処理
装置１２０に返信する役割をもったプログラムを中継プ
ログラムと称す。なお、前記クライアント情報処理装置
１２０とのデータ通信をサーバプログラム１０９により
実施し、前記中継プログラム１７０１は、必要に応じて
サーバプログラム１０９が呼び出して利用するものであ
ってもよい。

【００８７】機密プログラム１７０３は、機密用ＯＳ１
２２の上で動作するアプリケーションプログラムの１つ
であり、本実施例では、機密用ＯＳ１２２が占有するデ
ィスクコントローラ１１２ｃを利用して磁気ディスク１
１４ｃに格納された機密情報１７０４にアクセスした
り、同じく機密用ＯＳ１２２が占有するＬＡＮコントロ
ーラ１１３ｃを経由して、占有する内部ネットワークに
接続された記憶媒体中の機密情報１７０５にアクセスし
ながらサービスを提供するものと仮定して説明する。

【００８８】前記サーバ情報処理装置１００の起動時に
は、前記複数ＯＳ制御プログラム１１６が各ハードウェ
アの初期化、メモリ領域の分割、ＣＰＵのスケジューリ
ング等を行う。

【００８９】次に、サービス用ＯＳ１０３とサーバプロ
グラム１０９と中継プログラム１７０１がディスクコン
トローラ１１２ａを介して磁気ディスク１１４ａからメ
モリ１０１上にロードされ、セキュリティ用ＯＳ１０４
とアクセス制御プログラム１１０がディスクコントロー
ラ１１２ｂを介して磁気ディスク１１４ｂからメモリ１
０２上にロードされ、更に機密用ＯＳ１２２と機密プロ
グラム１７０３がディスクコントローラ１１２ｃを介し
て磁気ディスク１１４ｃからメモリ１７０８上にロード
される。

【００９０】図１８は、前記通信制御ポリシー１８００
のデータ構造の一例を示したものである。アプリケーシ
ョン名１８０１は、機密用ＯＳ１２２の上で動作する機
密プログラムの名称であり、機密用ＯＳ１２２上でユニ
ークな識別子となるよう、例えばプログラムファイルの
絶対パス名等を用いる。サービス番号１８０２は、前記
アプリケーション名１８０１に対応する機密プログラム
が提供するサービスの識別子であり、例えばＴＣＰ／Ｉ
Ｐ通信におけるポート番号や、メッセージ通信における
メッセージキュー番号（メッセージキュー名称）等に相
当する。本実施の形態では、１つの機密プログラムに対
して１つのサービス番号を登録する場合を例に説明する
が、これに限ったものではなく、複数のサービス番号を
登録してもよい。サービス番号は、通信する双方で事前
に取り決めておくものとし、中継プログラム１７０１か
ら通信制御ポリシー１８００の参照はできないものとす
る。

【００９１】許可アプリケーション名１８０３は、サー
ビス用ＯＳ１０３上で動作するプログラムであり、且つ
前記アプリケーション名１８０１で示される機密プログ
ラムとの通信を許可されたプログラムの名称であり、例
えば中継プログラム１７０１に相当する。特徴値１８０
４は、前記許可アプリケーション名１８０３で示される
プログラムが備える特徴値であり、例えば当該プログラ
ムファイルのサイズやハッシュ値等に相当する。ユーザ
ー名１８０５は、前記許可アプリケーション名１８０３
で示されるプログラムが実行中に使用する権限をユーザ
ー名で表したものである。これは、一般的なマルチユー
ザー・マルチタスクのＯＳにおいて、アプリケーション
プログラムが必ず何れかのユーザー権限を使用して動作
することを前提としている。特にユーザー名を限定した
くない場合は、ユーザー名を所定の文字、記号（たとえ
ばアスタリスク（＊））で表記する。なお、本通信制御
ポリシー１８００は、システムの運用に先立って、管理
者が予め登録しておくものである。また、図１８では機
密プログラムと中継プログラムの組み合わせが１対１の
場合を例に記述しているが、１つの機密プログラムの利
用許可を、複数の中継プログラムに与えても良い。

【００９２】図１９は、前記通信ログ１９００のデータ
構造の一例を示したものである。通信ログ１９００は、
前記通信制御ポリシー１８００に違反する通信が発生し
た事実を書き込むためのファイルであり、当該通信が発
生した日時１９０１と、当該通信の対象となった機密プ
ログラム名１９０２と、機密プログラムとの通信要求を
発行したサービス用ＯＳ１０３側プログラムを表すサブ
ジェクト名１９０３、そしてエラーの内容を表すエラー
番号１９０４から構成される。

【００９３】図２０は、通信管理テーブル２０００のデ
ータ構造の一例を示したものである。通信管理テーブル
２０００は、機密プログラムの識別子２００１と、当該
機密プログラムが提供するサービスの番号２００２と、
機密プログラムとのプロセス間通信のために使用する暗
証データ２００３と、サービス用ＯＳ１０３のドライバ
部１１７が提供する通信中のプログラムの識別子２００
４、とから構成される。図２０では、各識別子にそれぞ
れプログラム名称を用いているが、例えば機密用ＯＳ１
２２とサービス用ＯＳ１０３が各々管理するプロセスＩ
Ｄのような、プロセス特有の情報と組み合わせて管理し
てもよい。

【００９４】図２１から図２５は、中継プログラム１７
０１と機密プログラム１７０３が、前記ＯＳ間通信処理
部１０８の通信機能を利用してプロセス間通信をする際
の、処理フローを示したものである。本実施の形態にお
いて、中継プログラム１７０１と機密プログラム１７０
３は、クライアントとサーバの関係にあることから、前
もって機密プログラム１７０３がデータ受信可能な状態
になるものとして説明する。また、プロセス間通信手段
には様々な種類があるが、どの手段を用いた場合でもそ
の手順は、ハンドルの取得処理、データ送信処理とデー
タ受信処理、ハンドルの解放処理に大別できる。ハンド
ルとは、アプリケーションプログラムがファイル、メモ
リなどのオブジェクトをアクセスする際にアクセス対象
となるオブジェクトを指定するデータであり，ＯＳから
与えられる。ハンドルは、オブジェクトごとにシステム
内でユニークな数値であることが保証されている。この
場合のオブジェクトとは、例えばファイルやソケットな
ど、データ処理の際に用いるアクセス対象全般を指す。
本発明では、機密用ＯＳ１２２やサービス用ＯＳ１０３
上のプログラムがハンドル値を取得する際に、各ＯＳの
ドライバ部を経由して必ず通信制御プログラム１７００
によるポリシーチェックを受け，正当性を確認するとこ
ろに特徴がある。

【００９５】図２１は、前記ＯＳ間通信処理部１０８を
介して、機密プログラム１７０３が通信制御プログラム
１７００に対してサービスを登録し、中継プログラム１
７０１からのデータ受信待ち状態になるまでの処理フロ
ーを示したものである。ステップ２１００にて、前記通
信制御プログラム１７００は、ＯＳ間通信処理部１０８
の機能を用いて機密用ＯＳ１２２側からのデータ受信が
可能な状態となっている。機密プログラム１７０３は、
ステップ２１０１にて暗証データを作成し、ステップ２
１０２にて、機密用ＯＳ１２２のドライバ部１１９に対
してサービス番号と暗証データを送付し、中継プログラ
ム１７０１とのプロセス間通信に利用するハンドルを要
求する。

【００９６】機密用ＯＳ１２２のドライバ部１１９は、
ステップ２１０３にて通信制御プログラム１７００との
通信路を確立し、ステップ２１０４にて前記機密プログ
ラム１７０３の識別子とサービス番号と暗証データを、
通信制御プログラム１７００に送付する。

【００９７】通信制御プログラム１７００は、ステップ
２１０５にて通信制御ポリシー１８００を参照し、機密
プログラムとサービス番号が登録されているかどうかを
調べ，正当性を確認する。通信制御ポリシー１８００に
記述されていれば、ステップ２１０６にて前記機密プロ
グラム１７０３の識別子情報とサービス番号と暗証デー
タを、通信管理テーブル２０００に登録する。通信制御
ポリシー１８００に記述されていなければ、ステップ２
１０７にてその旨を前記ドライバ部１１９に返信するた
めのエラー設定を行う。ステップ２１０８では、通信制
御ポリシーとの照合結果を返信するとともに、ドライバ
部１１８を介して、ドライバ部１１９との通信路を解放
する。

【００９８】前記ドライバ部１１９は、ステップ２１０
９にて通信制御プログラム１７００からの返信データを
チェックし、通信管理テーブル２０００への登録に成功
していれば、ステップ２１１１にて中継プログラム１７
０１と通信するために利用するハンドルをＯＳ間通信処
理部１０８から取得し、ステップ２１１２にて前記機密
プログラム１７０３への返信データとして、前記ハンド
ル値を設定する。一方、通信管理テーブルへの登録に失
敗した場合は、ステップ２１１０にて、前記機密プログ
ラム１７０３への返信データとしてエラーを設定する。

【００９９】機密プログラム１７０３は、ステップ２１
１３にてドライバ部１１９からの返信データをチェック
する。要求したハンドル取得に成功していれば、ステッ
プ２１１４にてサービス用ＯＳ１０３側からのデータ受
信待ち状態になり、ハンドル取得に失敗していれば、ス
テップ２１１５にて所定のエラー処理を実行する。

【０１００】図２２は、前記機密プログラム１７０３が
プロセス間通信に利用していたハンドルを解放する際の
処理フローを示したものである。ステップ２２００に
て、前記通信制御プログラム１７００は、ＯＳ間通信処
理部１０８の機能を用いて機密用ＯＳ１２２側からのデ
ータ受信が可能な状態となっている。機密プログラム１
７０３は、ステップ２２０１にて、機密用ＯＳ１２２の
ドライバ部１１９に対してハンドル値を指定し、当該ハ
ンドルの解放を要求する。

【０１０１】機密用ＯＳ１２２のドライバ部１１９は、
ステップ２２０２にて通信制御プログラム１７００との
通信路を確立し、ステップ２２０３にて前記機密プログ
ラム１７０３の識別子とサービス番号を、通信制御プロ
グラム１７００に送付する。

【０１０２】通信制御プログラム１７００では、ステッ
プ２２０４にて通信管理テーブル２０００を参照し、登
録された機密プログラムであるかを確認する。通信管理
テーブル２０００に記述されていれば、ステップ２２０
５にて前記機密プログラムの情報を、通信管理テーブル
２０００から削除する。通信管理テーブル２０００に記
述されていなければ、ステップ２２０６にてその旨を前
記ドライバ部１１９に返信するためのエラー設定を行
う。ステップ２２０７では、通信管理テーブル２０００
との照合結果を返信するとともに、ドライバ部１１９と
の通信路を解放する。

【０１０３】前記ドライバ部１１９は、ステップ２２０
８にて通信制御プログラム１７００からの返信データを
チェックし、通信管理テーブルからの削除に成功してい
れば、ステップ２２１０にて今度は中継プログラム１７
０１との通信に利用していたハンドルの解放処理を実行
する。一方、通信管理テーブルからの削除に失敗した場
合は、ステップ２２０９にて、前記機密プログラム１７
０３への返信データとしてエラーを設定する。

【０１０４】機密プログラム１７０３は、ステップ２２
１１にてドライバ部１１９からの返信データをチェック
し、ハンドル解放に成功していれば、ステップ２２１２
にて処理を終了する。一方、ハンドル解放に失敗してい
れば、ステップ２２１３にて所定のエラー処理を実行す
る。

【０１０５】図２３と図２４は、前記ＯＳ間通信処理部
１０８を介して、中継プログラム１７０１が機密プログ
ラム１７０３とのプロセス間通信用のハンドルを取得す
るまでの処理フローを示したものである。図２３のステ
ップ２３００にて、前記通信制御プログラム１７００
は、ＯＳ間通信処理部１０８の機能を用いてサービス用
ＯＳ１０３側からのデータ受信が可能な状態となってい
る。中継プログラム１７０１は、ステップ２３０１に
て、サービス用ＯＳ１０３のドライバ部１１７に対して
利用したいサービス番号を送付し、機密プログラムとの
プロセス間通信に利用するハンドルを要求する。サービ
ス番号は、上述の通り、ポート番号と同様に、事前に取
り決めておくものとする。参照のために、プログラムに
固定的に埋め込んでおくか、定義ファイルに記述してお
くなどが考えられる。

【０１０６】サービス用ＯＳ１０３のドライバ部１１７
は、ステップ２３０２にて通信制御プログラム１７００
との通信路を確立し、ステップ２３０３にて前記中継プ
ログラム１７０１の識別子とその特徴値、および中継プ
ログラム１７０１が使用しているユーザー権限を表すユ
ーザー名を取得し、利用したいサービス番号と共に通信
制御プログラム１７００に送付する。

【０１０７】通信制御プログラム１７００では、ステッ
プ２３０４にて通信管理テーブル２０００と通信制御ポ
リシー１８００を参照し、指定されたサービスが有効で
あり、且つ当該サービスの利用を許可されたプログラム
か否かを調べ，正当性を確認する。具体的には、ドライ
バ部１１７から渡された中継プログラムの識別子と特徴
値とユーザー名とが、通信制御ポリシー１８００の内容
に一致すればポリシーに合致していると言える。もしサ
ービスが有効で、且つポリシーに合致していれば、ステ
ップ２３０５にて前記中継プログラム１７０１の識別子
情報を、前記サービス利用中のプログラムとして通信管
理テーブル２０００に登録し、該当するサービスの利用
に必要な暗証データを中継プログラムに返信するため
に、通信管理テーブル２０００から取得する。一方、サ
ービスが有効でない、あるいはポリシーに合致していな
ければ、ステップ２３０６にてその旨を通信ログ１９０
０に書き込むと共に、前記ドライバ部１１７に返信する
ためのエラー設定を行う。ステップ２３０７では、通信
制御ポリシーとの照合結果を返信するとともに、ドライ
バ部１１７との通信路を解放する。

【０１０８】前記ドライバ部１１７は、ステップ２３０
８にて通信制御プログラム１７００からの返信データを
チェックし、通信管理テーブル２０００への登録に成功
していれば、つまり中継プログラム１７０１の認証に成
功していれば、ステップ２３１０にて今度は機密プログ
ラムとの通信用ハンドルを取得する処理（図２４）に移
る。一方、通信管理テーブルへの登録に失敗した場合
は、ステップ２３０９にて、前記中継プログラム１７０
１にエラーを返して終了する。

【０１０９】図２４では、図２１のステップ２１１４で
示したように、前記機密プログラム１７０３がサービス
用ＯＳ１０３側からデータ受信可能であることを前提に
して、中継プログラム１７０１の通信用ハンドル取得処
理を説明する。サービス用ＯＳ１０３のドライバ部１１
７は、ＯＳ間通信処理部１０８の機能を利用して、機密
プログラム１７０３との通信用ハンドルを取得する。ス
テップ２４０２では、先に図２３のステップ２３０７に
て通信制御プログラム１７００から受信した暗証データ
を、機密用ＯＳ１２２のドライバ部１１９を経由して機
密プログラム１７０３に送付する。

【０１１０】機密プログラム１７０３では、ステップ２
４０３にて、ドライバ部１１７から受信した暗証データ
と、機密プログラム１７０３が作成した（図２１のステ
ップ２１０１）暗証データとを照合し、結果を前記ドラ
イバ部１１７に返信する。

【０１１１】前記ドライバ部１１７は、ステップ２４０
４にて機密プログラム１７０３からの返信データをチェ
ックする。前記暗証データが一致している場合には、前
記機密プログラム１７０３との通信を許可されたと判断
し、ステップ２４０５にて、中継プログラム１７０１へ
の返信データとして、機密プログラム１７０３との通信
ハンドル値を設定する。一方、前記暗証データに誤りが
あった場合は、ステップ２４０６にて、機密プログラム
１７０３との通信用ハンドルを解放すると共に、前記中
継プログラム１７０１への返信データとしてエラーを設
定する。

【０１１２】中継プログラム１７０１は、ステップ２４
０７にてドライバ部１１７からの返信データをチェック
し、ハンドル取得に成功していれば、以後、ＯＳ間通信
処理部１０８の機能を利用して機密プログラム１７０３
とのデータ通信が可能となる（ステップ２４０８）。一
方、ハンドル取得に失敗していれば、ステップ２４０９
にて所定のエラー処理を実行する。

【０１１３】図２５は、前記中継プログラム１７０１が
機密プログラムとのプロセス間通信に利用していたハン
ドルを解放する際の処理フローを示したものである。ス
テップ２５００にて、前記通信制御プログラム１７００
は、ＯＳ間通信処理部１０８の機能を用いてサービス用
ＯＳ１０３側からのデータ受信が可能な状態となってい
る。中継プログラム１７０１は、ステップ２５０１に
て、サービス用ＯＳ１０３のドライバ部１１７に対して
ハンドル値を指定して、当該ハンドルの解放を要求す
る。

【０１１４】サービス用ＯＳ１０３のドライバ部１１７
は、ステップ２５０２にて通信制御プログラム１７００
との通信路を確立し、ステップ２５０３にて前記中継プ
ログラム１７０１の識別子とサービス番号を、通信制御
プログラム１７００に送付する。

【０１１５】通信制御プログラム１７００では、ステッ
プ２５０４にて通信管理テーブル２０００を参照し、当
該テーブルに登録された中継プログラムであるかを確認
する。通信管理テーブル２０００に登録されていれば、
ステップ２５０５にて前記中継プログラムに該当する情
報を、通信管理テーブル２０００から削除する。通信管
理テーブル２０００に記述されていなければ、ステップ
２５０６にてその旨を前記ドライバ部１１７に返信する
ためのエラー設定を行う。ステップ２５０７では、通信
管理テーブル２０００との照合結果を返信するととも
に、ドライバ部１１７との通信路を解放する。

【０１１６】前記ドライバ部１１７は、ステップ２５０
８にて通信制御プログラム１７００からの返信データを
チェックし、通信管理テーブルからの削除に成功してい
れば、ステップ２５１０にて今度は機密プログラム１７
０３との通信に利用していたハンドルの解放処理を実行
する。一方、通信管理テーブルからの削除に失敗した場
合は、ステップ２５０９にて、前記中継プログラム１７
０１への返信データとしてエラーを設定する。

【０１１７】中継プログラム１７０１は、ステップ２５
１１にてドライバ部１１７からの返信データをチェック
し、ハンドル解放に成功していれば、ステップ２５１２
にて処理を終了する。一方、ハンドル解放に失敗してい
れば、ステップ２５１３にて所定のエラー処理を実行す
る。

【０１１８】以上説明したように、本発明によれば、侵
入者が強い権限をもつユーザーに成りすました場合で
も、ファイルへのアクセスを制限できるという効果があ
る。

【０１１９】また、不正なファイルアクセスを未然に防
ぐことができるという効果がある。

【０１２０】また、機密性の高い情報へのアクセス手段
となるプログラム自体を保護できるという効果がある。
また、前記ポリシーファイルとアクセス制御手段を、外
部からの不正アクセスや攻撃から保護できるという効果
がある。

【０１２１】また、図１に示すシステムの、サーバ情報
処理装置とクライアント情報処理装置とを結ぶLAN１１
５や、図１７に示すシステムの、サーバ情報処理装置と
クライアント情報処理装置とを結ぶ外部ネットワーク１
７０６などの通信回線上にファイアウォールを設け、さ
らに本発明を併用すれば、より強固なセキュリティを確
保することが出来る。

【０１２２】

【発明の効果】本発明によれば、情報処理装置が管理す
るファイル、情報、および実行中のプロセスを不正なア
クセスから保護することが可能になる。

【図面の簡単な説明】

【図１】本発明の実施の形態におけるアクセス制御シス
テムの一構成例を示す図。

【図２】アクセス制御ポリシーの設定を格納するための
ポリシーファイルを示す図。

【図３】不正アクセスが発生した事実を記録するための
アクセスログファイルを示す図。

【図４】ファイルＩ／Ｏフックプログラム１０６とアク
セス制御プログラム１１０を構成するプログラムルーチ
ンを示す図。

【図５】本発明の実施の一形態において、各モジュール
間を流れるデータの通信経路を示す図。

【図６】本発明の実施の一形態において、各モジュール
間を流れるデータの構造を示す図。

【図７】ファイルＩ／Ｏフックルーチン４００の処理の
フローチャートを示す図。

【図８】オープン処理ルーチン４０１の処理のフローチ
ャートを示す図。

【図９】オープン制御ルーチン４０５の処理のフローチ
ャートを示す図。

【図１０】オープンファイルテーブルの構造体とそのリ
ストを示す図。

【図１１】オープンファイルテーブルに登録されるデー
タの一例を示す図。

【図１２】クローズ処理ルーチン４０２の処理のフロー
チャートを示す図。

【図１３】リード・ライト処理ルーチン４０３の処理の
フローチャートを示す図。

【図１４】アクセスログ登録ルーチン４０６の処理のフ
ローチャートを示す図。

【図１５】削除・リネーム処理ルーチン４０４の処理の
フローチャートを示す図。

【図１６】削除・リネーム処理ルーチン４０７の処理の
フローチャートを示す図。

【図１７】プロセス間通信に関するアクセス制御システ
ムの一構成例を示す図。

【図１８】プロセス間通信に関するポリシーの設定を格
納するためのファイルを示す図。

【図１９】不正なプロセス間通信が発生した事実を記録
するためのログファイルを示す図。

【図２０】通信管理テーブルのリストを示す図。

【図２１】機密用ＯＳ１２２上のプログラムによる通信
用ハンドル取得処理のフローチャートを示す図。

【図２２】機密用ＯＳ１２２上のプログラムによる通信
用ハンドル解放処理のフローチャートを示す図。

【図２３】サービス用ＯＳ１０３上のプログラムによる
通信用ハンドル取得処理のフローチャート（前半）を示
す図。

【図２４】サービス用ＯＳ１０３上のプログラムによる
通信用ハンドル取得処理のフローチャート（後半）を示
す図。

【図２５】サービス用ＯＳ１０３上のプログラムによる
通信用ハンドル解放処理のフローチャートを示す図。

【図２６】オープン制御ルーチン４０５の処理のフロー
チャート（その２）を示す図。

【符号の説明】

１００・・・サーバ情報処理装置、１０１・・・サービス用Ｏ
Ｓが管理するメモリ、１０２・・・セキュリティ用ＯＳが
管理するメモリ、１０３・・・サービス用ＯＳ、１０４・・・
セキュリティ用ＯＳ、１０５・・・Ｉ／Ｏマネージャ、１
０６・・・ファイルＩ／Ｏフックプログラム、１０７・・・フ
ァイルシステムドライバ、１０８・・・ＯＳ間通信制御
部、１０９・・・サーバプログラム、１１０・・・アクセス制
御プログラム、１１１・・・ＣＰＵ、１１２・・・ディスクコ
ントローラ、１１３・・・ＬＡＮコントローラ、１１４・・・
磁気デバイス、１１５・・・ＬＡＮ、１１６・・・複数ＯＳ制
御プログラム、１１７〜１１９・・・ドライバ部、１２０・
・・クライアント情報処理装置、１２１・・・クライアント
プログラム、２００・・・ポリシーファイル、３００・・・ア
クセスログファイル、５０１〜５０６・・・通信経路、６
００・・・Ｉ／Ｏパケット、６１０・・・リクエストパケッ
ト、６２０・・・レスポンスパケット、１０００・・・オープ
ンファイルテーブル、１７００・・・通信制御プログラ
ム、１７０１・・・中継プログラム、１７０３・・・機密プロ
グラム、１７０４〜１７０５・・・機密情報、１７０６・・・
外部ネットワークとの接続回線、１７０７・・・内部ネッ
トワークとの接続回線、１７０８・・・機密用ＯＳが管理
するメモリ、１８００・・・通信制御ポリシー、１９００・
・・通信ログ、２０００・・・通信管理テーブル

───────────────────────────────────────────────────── フロントページの続き (72)発明者 梶浦 敏範 愛知県尾張旭市晴丘町池上１番地 株式会 社日立製作所情報機器事業部内 Ｆターム(参考） 5B017 AA01 BA06 BB06 CA16 5B076 FB05 5B082 GA11 5B085 AE00 BG03 BG07

Claims (38)

【特許請求の範囲】
1. 【請求項１】各種処理に必要な情報を格納するための記
   憶部と、 記憶媒体に格納されたファイルへの入出力処理部と、 前記ファイルへのアクセス制御ポリシーを記述した，前
   記記憶部中のポリシーファイルと、 当該ファイルアクセス要求の正当性を前記アクセス制御
   ポリシーに基づき判定するアクセス制御処理部と、 前記入出力処理部を用いたファイルアクセス要求の発行
   を監視し、発行されたファイルアクセス要求を前記アク
   セス制御処理部に伝え、正当性判定結果を前記アクセス
   制御処理部から受信する監視処理部と、 前記入出力処理部とアクセス制御処理部と監視処理部各
   々が使用する前記記憶部中の記憶領域と，前記ポリシー
   ファイルとを、前記前記入出力処理部とアクセス制御処
   理部と監視処理部のいずれとも異なるアクセス実行処理
   部から保護するための排他制御部と、を備え、 前記ポリシーファイルは、アクセス制御ポリシーとし
   て，アクセス対象となるファイルについて、アクセス要
   求発行元とアクセス実行処理部とアクセスタイプとを特
   定する情報を備え、 前記監視処理部は、アクセス要求発行元とアクセス実行
   処理部とアクセスタイプとを特定する情報を用いて、前
   記発行されたファイルアクセス要求を伝えるアクセス制
   御システム。
2. 【請求項２】請求項１記載のアクセス制御システムであ
   って、 前記アクセス制御ポリシーは、前記ファイルに対して禁
   止されたアクセスタイプと、該禁止されたアクセスが発
   生した場合にアクセス要求発行元に返すべきエラーコー
   ドと、例外として該アクセス要求を許可されたアクセス
   実行処理部とアクセス要求発行元とを特定する情報とか
   らなるアクセス制御システム。
3. 【請求項３】請求項２記載のアクセス制御システムであ
   って、 前記アクセス制御ポリシーに記すアクセス実行処理部
   は、プログラムであり、該プログラムのパス名と、該プ
   ログラムの特徴値との組合せで特定するアクセス制御シ
   ステム。
4. 【請求項４】請求項３記載のアクセス制御システムにお
   いて、 さらに、ファイルアクセス要求内容を登録するアクセス
   ログファイルを備え、前記アクセス制御処理部は、前記
   ファイルアクセス要求を前記ポリシーファイルの記述と
   照合し、正当性の判定結果を前記監視処理部に送信する
   とともに、 前記アクセス要求が許可されるものであれば、当該アク
   セス実行処理部の特徴値を、前記監視処理部に送信し、 前記アクセス要求が前記アクセス制御ポリシーに違反す
   るものであれば、該ファイルアクセス要求内容を、前記
   アクセスログファイルに登録するアクセス制御システ
   ム。
5. 【請求項５】請求項４記載のアクセス制御システムにお
   いて、 さらにオープンファイルテーブルを備え、 前記アクセス制御処理部により正当であると判定された
   前記ファイルアクセス要求のアクセスタイプがオープン
   アクセスである場合、 前記アクセス制御処理部からレスポンス情報として取得
   した、アクセスタイプと、前記アクセス対象となるファ
   イルと、前記アクセス要求発行元と、アクセス実行処理
   部とを特定する情報を、前記オープンファイルテーブル
   に登録する処理部と、 前記アクセス要求としてリードアクセスまたはライトア
   クセスが発行された場合は、 前記オープンファイルテーブルを検索し、前記アクセス
   要求の正当性を判定する処理部を備えるアクセス制御シ
   ステム。
6. 【請求項６】請求項５記載のアクセス制御システムであ
   って、 前記監視処理部は、さらに、 前記オープンファイルテーブルに登録されていないリー
   ドアクセス要求またはライトアクセス要求を検知した場
   合は、前記アクセス制御処理部を介して当該アクセス要
   求内容を前記アクセスログファイルに登録する処理部を
   備えるアクセス制御システム。
7. 【請求項７】請求項６記載のアクセス制御システムであ
   って、 前記監視処理部は、さらに、 ファイルクローズ要求を検知した場合には前記オープン
   ファイルテーブルから該当する情報を削除する処理部を
   備えるアクセス制御システム。
8. 【請求項８】請求項４記載のアクセス制御システムにお
   いて、 前記アクセス制御処理部は、 当該属性情報と前記ポリシーファイルの記述との前記照
   合を、前記ファイルアクセス要求のアクセスタイプがオ
   ープンアクセスであり、且つ当該ファイルアクセス要求
   の属性情報として、リードアクセスまたはライトアクセ
   スに関する情報が含まれる場合におこなうアクセス制御
   システム。
9. 【請求項９】請求項８記載のアクセス制御システムであ
   って、 前記監視処理部は、さらに、 前記ファイルアクセス要求が正当であると判定された場
   合、前記前記監視処理部は前記アクセス実行処理部の特
   徴値を算出し、前記アクセス制御処理部から受信した前
   記特徴値とを比較する処理部と、 一致した場合には前記アクセス要求を許可する処理部
   と、 一致しない場合には前記ファイルアクセス要求を無効に
   すると共に、前記アクセス制御処理部を介して当該ファ
   イルアクセス内容を前記アクセスログファイルに登録す
   る処理部とを備えるアクセス制御システム。
10. 【請求項１０】ファイルへの入出力処理部と排他的に使
    用する第１の記憶処理部を管理する第１のＯＳと、排他
    的に使用する第２の記憶処理部を管理する第２のＯＳ
    と、前記第１のＯＳと第２のＯＳとの間でデータ通信す
    るための通信処理部とを具備した情報処理システムにお
    いて、 前記第１のＯＳは，管理する前記ファイル入出力処理部
    へ発行されたファイルアクセス要求を監視する監視処理
    部を備え，前記第２のＯＳは，前記ファイルアクセス要
    求の正当性をアクセス制御ポリシーに基づき判定するア
    クセス制御処理部を備え，前記監視処理部は、前記アク
    セス要求を、前記通信処理部を介して、前記アクセス制
    御処理部に伝え、正当性判定結果を、前記通信処理部を
    介して、前記アクセス制御処理部から受信する情報処理
    システム。
11. 【請求項１１】請求項１０記載の情報処理システムにお
    いて、 前記第２のＯＳは、前記アクセス制御ポリシーとして、
    アクセス対象となるファイルについて、アクセス要求発
    行元とアクセス実行処理部とアクセスタイプとを特定す
    る情報を記すポリシーファイルを備える情報処理システ
    ム。
12. 【請求項１２】請求項１１記載の情報処理システムであ
    って、 前記アクセス制御ポリシーに記すアクセス実行処理部
    は、プログラムであり、該プログラムのパス名と、該プ
    ログラムの特徴値との組合せで特定する情報処理システ
    ム。
13. 【請求項１３】請求項１２記載の情報処理システムにお
    いて、 前記第２のＯＳは、さらに、ファイルアクセス要求内容
    を登録するアクセスログファイルを備え、 前記アクセス制御処理部は、 前記ファイルアクセス要求を前記ポリシーファイルの記
    述と照合し、正当性の判定結果を前記監視処理部に送信
    するとともに、 前記アクセス要求が許可されるものであれば、当該アク
    セス実行処理部の特徴値を、前記監視処理部に送信し、 前記アクセス要求が前記アクセス制御ポリシーに違反す
    るものであれば、該ファイルアクセス要求内容を、前記
    アクセスログファイル登録する情報処理システム。
14. 【請求項１４】請求項１３記載の情報処理システムにお
    いて、 前記第１のＯＳは、さらにオープンファイルテーブルを
    備え、 前記アクセス制御処理部により正当であると判定された
    前記ファイルアクセス要求のアクセスタイプがオープン
    アクセスである場合、 前記アクセス制御処理部からレスポンス情報として取得
    した、アクセスタイプと、前記アクセス対象となるファ
    イルと、前記アクセス要求発行元と、アクセス実行処理
    部とを特定する情報を、前記オープンファイルテーブル
    に登録する処理部と、 前記アクセス要求としてリードアクセスまたはライトア
    クセスが発行された場合は、 前記オープンファイルテーブルを検索し、前記アクセス
    要求の正当性を判定する処理部を備える情報処理システ
    ム。
15. 【請求項１５】請求項１４記載の情報処理システムであ
    って、 前記監視処理部は、さらに、 前記オープンファイルテーブルに登録されていないリー
    ドアクセス要求またはライトアクセス要求を検知した場
    合は、前記アクセス制御処理部を介して当該アクセス要
    求内容を前記アクセスログファイルに登録する処理部を
    備える情報処理システム。
16. 【請求項１６】請求項１５記載の情報処理システムであ
    って、 前記監視処理部は、さらに、 ファイルクローズ要求を検知した場合には前記オープン
    ファイルテーブルから該当する情報を削除する処理部を
    備える情報処理システム。
17. 【請求項１７】請求項１３記載の情報処理システムであ
    って、 前記アクセス制御処理部は、当該属性情報と前記ポリシ
    ーファイルの記述との前記照合を、前記ファイルアクセ
    ス要求のアクセスタイプがオープンアクセスであり、且
    つ当該ファイルアクセス要求の属性情報として、リード
    アクセスまたはライトアクセスに関する情報が含まれる
    場合に行う情報処理システム。
18. 【請求項１８】請求項１７記載の情報処理システムであ
    って、 前記監視処理部は、さらに、 前記ファイルアクセス要求が正当であると判定された場
    合、前記前記監視処理部は前記アクセス実行処理部の特
    徴値を算出し、前記アクセス制御処理部から受信した前
    記特徴値とを比較する処理部と、 一致した場合には前記アクセス要求を許可する処理部
    と、 一致しない場合には前記ファイルアクセス要求を無効に
    すると共に、前記アクセス制御処理部を介して当該ファ
    イルアクセス内容を前記アクセスログファイルに登録す
    る処理部とを備える情報処理システム。
19. 【請求項１９】ファイルへの入出力処理部と排他的に使
    用する第１の記憶処理部を管理する第１のＯＳと、排他
    的に使用する第２の記憶処理部を管理する第２のＯＳ
    と、前記第１のＯＳと第２のＯＳとの間でデータ通信す
    るための通信処理部とを具備した情報処理システムに用
    いるアクセス制御システムであって、 前記第１のＯＳに組み込み、管理する前記ファイル入出
    力処理部へ発行されたファイルアクセス要求を監視する
    監視処理部と，前記第２のＯＳが制御し、前記ファイル
    アクセス要求の正当性をアクセス制御ポリシーに基づき
    判定するアクセス制御処理部と、を備え、 前記監視処理部は、前記アクセス要求を、前記通信処理
    部を介して、前記アクセス制御処理部に伝え、正当性判
    定結果を、前記通信処理部を介して、前記アクセス制御
    処理部から受信する情報処理システム。
20. 【請求項２０】ファイルへの入出力処理部と、前記ファ
    イルを格納する記憶処理部とを備えた情報処理装置に読
    み込まれ、実行され、前記情報処理装置上にアクセス制
    御システムを構成させるプログラムと前記プログラムが
    使用するファイルとを格納した記憶媒体であって、 前記プログラムが使用するファイルは、アクセス制御ポ
    リシーを記述したポリシーファイルであって、 前記アクセス制御ポリシーは、アクセス対象となるファ
    イルについて、アクセス要求発行元とアクセス実行処理
    部とアクセスタイプとを特定する情報を記したものであ
    り、 前記プログラムは、アクセス制御プログラムと、監視プ
    ログラムとを備え、前記アクセス制御プログラムは、前
    記情報処理装置に、 当該ファイルアクセス要求の正当性を前記アクセス制御
    ポリシーに基づき判定させ、 前記監視プログラムは、前記情報処理装置に、 前記入出力処理部を用いたファイルアクセス要求の発行
    を監視させ、 発行されたファイルアクセス要求を、アクセス要求発行
    元とアクセス実行処理部とアクセスタイプとを特定する
    情報を用いて、前記アクセス制御プログラムに伝えさせ
    ることを特徴とする記憶媒体。
21. 【請求項２１】各種処理に必要な情報を格納するための
    記憶部と、 サービス提供の役割を有する第１のプログ
    ラムと前記第１のプログラムのサービスを利用する第２
    のプログラムとが相互に通信するためのプロセス間通信
    処理部と、 前記第１のプログラムと第２のプログラムとを特定する
    情報と，前記第１のプログラムと第２のプログラムとに
    よるプロセス間通信に関するアクセス制御ポリシーを記
    述した，前記記憶部中の通信制御ポリシーファイルと、 当該プロセス間通信要求の正当性を前記通信制御ポリシ
    ーに基づき判定するアクセス制御処理部と、 前記第１のプログラムから前記プロセス間通信処理部へ
    発行される第１の通信要求通信要求を、前記第１のプロ
    グラムを特定する情報を用いて前記アクセス制御処理部
    に伝え、前記第１の通信要求の正当性判定結果を前記ア
    クセス制御処理部から受信する第１の監視処理部と、 前記第２のプログラムから前記プロセス間通信処理部へ
    発行される第２の通信要求を、前記第１のプログラムを
    特定する情報を用いて前記アクセス制御処理部に伝え、
    前記第２の正当性判定結果を前記アクセス制御処理部か
    ら受信する第２の監視処理部と、 前記プロセス間通信処理部と前記アクセス制御処理部と
    前記第１の監視処理部と前記第２の監視処理部が各々利
    用する記憶領域と、および前記通信制御ポリシーファイ
    ルを、前記プロセス間通信処理部とアクセス制御処理部
    と第１の監視処理部と第２の監視処理部のいずれにも該
    当しないアクセス実行処理部から保護するための排他制
    御部と、を備えるアクセス制御システム。
22. 【請求項２２】請求項２１記載のアクセス制御システム
    であって、 前記第１のプログラムを特定する情報は、前記第１のプ
    ログラムを一意に識別可能な情報と、サービスの種類を
    識別するためのサービス番号との組合せであり、 前記第２のプログラムを特定する情報は、前記第２のプ
    ログラムを一意に識別可能な情報と、該プログラムの利
    用者情報と、特徴値との組合せであるアクセス制御シス
    テム。
23. 【請求項２３】請求項２２記載のアクセス制御システム
    において、 さらに、プロセス間通信処理を実行中のプログラムの情
    報を登録する通信管理テーブルを備え、 前記アクセス制御処理部は、 現在プロセス間通信可能な状態にある前記第１のプログ
    ラムを特定する情報と、該第１のプログラムとプロセス
    間通信処理中の前記第２のプログラムを特定する情報と
    を、前記通信管理テーブルに登録して保持し、 前記第２の監視処理部からプロセス間通信要求を伝えら
    れた場合は、前記通信管理テーブルを検索し、第１のプ
    ログラムがプロセス間通信可能な状態にあり、且つ該第
    １のプログラムとプロセス間通信処理中の第２のプログ
    ラムが存在するか否かを判定することを特徴とするアク
    セス制御システム。
24. 【請求項２４】請求項２３記載のアクセス制御システム
    において、 前記アクセス制御処理部は、現在プロセス間通信可能な
    状態にある第１のプログラムを特定する情報として、該
    第１のプログラムを一意に識別可能な情報と、サービス
    の種類を識別するためのサービス番号と、該第１のプロ
    グラムが指定した暗証情報とを前記通信管理テーブルに
    登録し、 該第１のプログラムとプロセス間通信処理中の第２のプ
    ログラムを特定する情報として、該第２のプログラムを
    一意に識別可能な情報を前記通信管理テーブルに登録し
    て保持することを特徴とするアクセス制御システム。
25. 【請求項２５】請求項２４記載のアクセス制御システム
    において、 さらに、プロセス間通信要求内容を登録する通信ログフ
    ァイルを備え、 前記アクセス制御処理部は、 前記第１の監視処理部から伝えられる，前記第１のプロ
    グラムによるプロセス間通信要求を前記通信制御ポリシ
    ーファイルの記述と照合し、該プロセス間通信要求が前
    記通信制御ポリシーに登録されていれば、該第１のプロ
    グラムを特定する情報を、前記通信管理テーブルに登録
    する処理部と、 前記第１のプログラムによる該プロセス間通信要求が前
    記通信制御ポリシーに登録されていなければ、該プロセ
    ス間通信要求内容を、前記通信ログファイルに登録する
    処理部と、 前記第２の監視処理部から伝えられる，前記第２のプロ
    グラムによるプロセス間通信要求を前記通信制御ポリシ
    ーファイルの記述と照合し、該プロセス間通信要求が前
    記通信制御ポリシーにて許可されており、かつ前記第１
    のプログラムと通信可能な状態であれば、該第２のプロ
    グラムを特定する情報を前記通信管理テーブルに登録し
    て、前記暗証情報を通信管理テーブルから取り出して前
    記第２の監視処理部に返信する処理部と、 前記第２のプログラムによる該プロセス間通信要求が前
    記通信制御ポリシーに登録されていなければ、該プロセ
    ス間通信要求内容を、前記通信ログファイルに登録する
    処理部と、を備えることを特徴とするアクセス制御シス
    テム。
26. 【請求項２６】請求項２５記載のアクセス制御システム
    であって、 前記アクセス制御処理部は、さらに、 前記第１の監視処理部または第２の監視処理部からプロ
    セス間通信の終了要求を伝えられた場合には、前記通信
    管理テーブルから該当する情報を削除する処理部を備え
    るアクセス制御システム。
27. 【請求項２７】請求項２６記載のアクセス制御システム
    であって、 前記第１の監視処理部は、 前記第１のプログラムからプロセス間通信要求が発行さ
    れた場合に、該第１のプログラムを特定する情報を取得
    してから、前記発行されたプロセス間通信要求を前記ア
    クセス制御処理部に伝えるアクセス制御システム。
28. 【請求項２８】請求項２７記載のアクセス制御システム
    であって、 前記第２の監視処理部は、 前記第２のプログラムからプロセス間通信要求が発行さ
    れた場合に、該第２のプログラムを特定する情報を取得
    してから、前記プロセス間通信の開始要求を前記アクセ
    ス制御処理部に伝えるアクセス制御システム。
29. 【請求項２９】排他的に使用する第１の記憶処理部を管
    理する第１のＯＳと、排他的に使用する第２の記憶処理
    部を管理する第２のＯＳと、前記第１のＯＳと第２のＯ
    Ｓとの間でデータ通信するための通信処理部とを具備し
    た情報処理システムにおいて、 前記第１のＯＳは，前記通信処理部へ発行されたプロセ
    ス間通信要求を監視する第１の監視処理部を備え，前記
    第２のＯＳは，前記プロセス間通信要求の正当性を通信
    制御ポリシーに基づき判定するアクセス制御処理部を備
    え，前記第１の監視処理部は、前記第１のＯＳ上で動作
    する第１のプログラムを特定する情報を用いて、前記発
    行されたプロセス間通信要求を、前記通信処理部を介し
    て前記アクセス制御処理部に伝え、正当性判定結果を、
    前記通信処理部を介して、前記アクセス制御処理部から
    受信する情報処理システム。
30. 【請求項３０】請求項２９記載の情報処理システムにお
    いて、 さらに、排他的に使用する第３の記憶処理部を管理する
    第３のＯＳを備え、 前記第３のＯＳは、通信処理部へ発行されたプロセス間
    通信要求を監視する第２の監視処理部を備え、 前記第２の監視処理部は、第３のＯＳ上で動作する第２
    のプログラムを特定する情報を用いて、前記発行された
    プロセス間通信要求を、前記通信処理部を介して、前記
    アクセス制御処理部に伝え、正当性判定結果を前記通信
    処理部を介して、前記アクセス制御処理部から受信する
    情報処理システム。
31. 【請求項３１】請求項３０記載の情報処理システムであ
    って、 前記第２のＯＳは、前記通信制御ポリシーとして、前記
    プロセス間通信が可能な第１のプログラムを特定する情
    報と、該第１のプログラムとの通信が許可された第２の
    プログラムを特定する情報との組合せを記すポリシーフ
    ァイルを備えることを特徴とする情報処理システム。
32. 【請求項３２】請求項３１記載の情報処理システムであ
    って、 前記通信制御ポリシーに記す第１のプログラムを、該プ
    ログラムのパス名と、サービスの種類を識別するための
    サービス番号との組合せで特定し、 前記通信制御ポリシーに記す第２のプログラムを、該プ
    ログラムのパス名と、該プログラムの利用者情報と、特
    徴値との組合せで特定することを特徴とする情報処理シ
    ステム。
33. 【請求項３３】請求項３２記載の情報処理システムにお
    いて、 前記通信処理部は、前記第１のＯＳと第２のＯＳと第３
    のＯＳとの間で行われるデータ通信を制御し、 前記第２のＯＳは、さらに、プロセス間通信処理を実行
    中のプログラムの情報を登録する通信管理テーブルを備
    え、 前記アクセス制御処理部は、現在プロセス間通信可能な
    状態にある第１のプログラムを特定する情報と、該第１
    のプログラムとプロセス間通信処理中の前記第３のＯＳ
    上で動作する第２のプログラムを特定する情報とを、前
    記通信管理テーブルに登録して保持し、 前記第２の監視処理部からプロセス間通信要求を伝えら
    れた場合は、前記通信管理テーブルを検索し、第１のプ
    ログラムがプロセス間通信可能な状態にあり、且つ該第
    １のプログラムとプロセス間通信処理中の第２のプログ
    ラムが存在するか否かを判定することを特徴とする情報
    処理システム。
34. 【請求項３４】請求項３３記載の情報処理システムにお
    いて、 前記アクセス制御処理部は、現在プロセス間通信可能な
    状態にある第１のプログラムを特定する情報として、該
    第１のプログラムを一意に識別可能な情報と、サービス
    の種類を識別するためのサービス番号と、該第１のプロ
    グラムが指定した暗証情報とを前記通信管理テーブルに
    登録し、 該第１のプログラムとプロセス間通信処理中の第２のプ
    ログラムを特定する情報として、該第２のプログラムを
    一意に識別可能な情報を前記通信管理テーブルに登録し
    て保持することを特徴とする情報処理システム。
35. 【請求項３５】請求項３４記載の情報処理システムにお
    いて、 前記第２のＯＳは、さらに、プロセス間通信要求内容を
    登録する通信ログファイルを備え、 前記アクセス制御処理部は、前記第１の監視処理部から
    伝えられる，前記第１のプログラムによるプロセス間通
    信要求を前記通信制御ポリシーファイルの記述と照合
    し、該プロセス間通信要求元が前記通信制御ポリシーに
    登録されていれば、該第１のプログラムを特定する情報
    を、前記通信管理テーブルに登録する処理部と、 該プロセス間通信要求元が前記通信制御ポリシーに登録
    されていなければ、該プロセス間通信要求内容を、前記
    通信ログファイルに登録する処理部と、 前記第２の監視処理部から伝えられる，前記第３のプロ
    グラムによるプロセス間通信要求を前記通信制御ポリシ
    ーファイルの記述と照合し、該プロセス間通信要求元が
    前記通信制御ポリシーにて許可されており、、かつ前記
    第１のプログラムと通信可能な状態であれば、該第２の
    プログラムを特定する情報を前記通信管理テーブルに登
    録して、前記暗証情報を通信管理テーブルから取り出し
    て前記第２の監視処理部に返信する処理部と、 前記第３のプログラムによる該プロセス間通信要求元が
    前記通信制御ポリシーに登録されていなければ、該プロ
    セス間通信要求内容を、前記通信ログファイルに登録す
    る処理部と、を備えることを特徴とする情報処理システ
    ム。
36. 【請求項３６】請求項３５記載の情報処理システムであ
    って、 前記アクセス制御処理部は、さらに、 前記第１の監視処理部または第２の監視処理部からプロ
    セス間通信の終了要求を伝えられた場合には、前記通信
    管理テーブルから該当する情報を削除する処理部を備え
    ることを特徴とする情報処理システム。
37. 【請求項３７】請求項３６記載の情報処理システムであ
    って、 前記第１の監視処理部は、 前記第１のプログラムからプロセス間通信要求が発行さ
    れた場合に、該第１のプログラムを特定する情報を取得
    してから、前記発行されたプロセス間通信要求を前記ア
    クセス制御処理部に伝える情報処理システム。
38. 【請求項３８】請求項３７記載の情報処理システムであ
    って、 前記第２の監視処理部は、 前記第２のプログラムからプロセス間通信要求が発行さ
    れた場合に、該第２のプログラムを特定する情報を取得
    してから、前記プロセス間通信の開始要求を前記アクセ
    ス制御処理部に伝え、該アクセス制御処理部にて許可さ
    れる場合には、前記プロセス間通信の開始を許可して、
    前記第１のプログラムに対して前記暗証情報を伝える処
    理部と、前記アクセス制御処理部にて許可されない場合
    には前記プロセス間通信の開始を無効にする処理部とを
    備えることを特徴とする情報処理システム。