JP2003186831A - ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム - Google Patents

ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム

Info

Publication number
JP2003186831A
JP2003186831A JP2001379799A JP2001379799A JP2003186831A JP 2003186831 A JP2003186831 A JP 2003186831A JP 2001379799 A JP2001379799 A JP 2001379799A JP 2001379799 A JP2001379799 A JP 2001379799A JP 2003186831 A JP2003186831 A JP 2003186831A
Authority
JP
Japan
Prior art keywords
information
permission
information processing
processing apparatus
network
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2001379799A
Other languages
English (en)
Inventor
Atsushi Saito
淳 齋藤
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sony Corp
Original Assignee
Sony Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sony Corp filed Critical Sony Corp
Priority to JP2001379799A priority Critical patent/JP2003186831A/ja
Publication of JP2003186831A publication Critical patent/JP2003186831A/ja
Withdrawn legal-status Critical Current

Links

Abstract

(57)【要約】 【課題】 同一のネットワークに接続された端末装置に
対して、アクセス制御の設定を容易に行うことができる
ようにする。 【解決手段】 ローカルエリアネットワーク２Ａに接続
された端末装置１は、端末装置１内に予め記憶されてい
るデフォルトポリシを検索し、検出されたポリシに基づ
いて、アクセス制御の設定を行う。また、ポリシ管理サ
ーバ３には、ローカルエリアネットワーク２Ａにおける
端末装置のポリシが管理者により予め登録されている。
端末装置１がポリシ管理サーバ３にポリシを要求する
と、ポリシ管理サーバ３は、要求されたポリシを検索
し、端末装置１に供給する。端末装置１は、ポリシ管理
サーバ３より取得したポリシ、およびデフォルトポリシ
に基づいて、アクセス制御の設定を行う。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明はネットワークシステ
ム、情報処理装置および方法、記録媒体、並びにプログ
ラムに関し、特に、それぞれ異なるアクセス制御の仕組
みを有する複数の端末装置が接続されたネットワークに
おいても、すべての端末装置に対して、アクセス制御の
設定を容易に行うことができるネットワークシステム、
情報処理装置および方法、記録媒体、並びにプログラム
に関する。
【０００２】
【従来の技術】従来、ネットワーク中に接続された機
器、またはサービスにおける、外部の機器からのアクセ
スを制御するアクセス制御は、通信の経路上にあるファ
イアウォールで行う方法が主に用いられている。さら
に、機器またはサービス自体においてアクセス制御を行
うという方法が併用される場合もある。
【０００３】近年、IPv６（Internet Protocol Version
6）技術の発展とともに、将来のネットワークのありか
たとして、end-to-end通信を基本とした構成が望まれて
いる。そのような構成においては、通信の経路上に外部
からの不正なアクセスを防ぐファイアウォールを設けず
に、ネットワークのセキュリティを端末装置自身で確保
するような構成となることが考えられている。
【０００４】
【発明が解決しようとする課題】しかしながら、以上の
ような方法の場合、例えば、管理者が、あるユーザに対
して、自分が管理するすべての機器またはサービスへの
アクセス権を与えるような場合、管理者は、それらの機
器またはサービス毎にアクセス制御機構の設定を行わな
ければならないという課題があった。
【０００５】これに対して、特開2000-244495号公報に
おいては、予め定めたポリシに従い、アクセス制御を行
うネットワーク管理システムが開示されている。
【０００６】この場合、ポリシはサーバにおいて統一的
に管理する必要があり、さらにセキュリティの設定を行
う専門知識を有する管理者による管理が必要となる。
【０００７】しかしながら、家庭内のネットワークであ
るホームネットワーク等のように、家庭用機器がネット
ワークに接続されているような場合、通常、セキュリテ
ィの設定を行う専門知識を有する管理者は存在しないの
で、これらの機器のセキュリティの設定操作は、容易で
なければならない。
【０００８】また、その他にも、パケットフィルタ型の
ファイアウォールを各端末装置に分散して配置し、それ
らのファイアウォールの管理をサーバから行う方法が考
えられる。この方法においては、パケットフィルタは、
予め定められたルールに従い、パケットのソースアドレ
スまたはあて先アドレス等の情報に基づいて、IPパケッ
トの通過許可または禁止を決定し、そのルールは、サー
バに登録されている。
【０００９】しかしながら、この方法においては、端末
装置がファイアウォールを実装することが前提であり、
テレビや電子レンジ等に代表されるような家庭用機器等
のように多種多様な端末装置が存在する場合、それらの
端末装置すべてが上述したファイアウォールを実装でき
るとは限らず、その場合、上述した方法は実現できな
い。
【００１０】本発明はこのような状況に鑑みてなされた
ものであり、それぞれ異なるアクセス制御の仕組みを有
する複数の端末装置が接続されたネットワークにおいて
も、すべての端末装置に対して、アクセス制御の設定を
容易に行うことができるようにしたものである。
【００１１】
【課題を解決するための手段】本発明のネットワークシ
ステムは、第１のネットワークに接続され、第１のネッ
トワークに接続されている第２のネットワークを介し
て、他の情報処理装置からの接続要求を受け付ける第１
の情報処理装置と、第１のネットワークに接続され、第
１の情報処理装置への接続の許可に関する情報を管理す
る第２の情報処理装置とを備えるネットワークシステム
であって、第１の情報処理装置は、他の情報処理装置に
よる接続の許可に関する情報からなる第１の許可情報を
記憶する第１の記憶手段と、他の情報処理装置による接
続の許可に関する情報からなる第２の許可情報を第２の
情報処理装置に要求する要求手段と、第２の情報処理装
置より供給された、要求手段による要求に対応する第２
の許可情報を取得する取得手段と、第１の記憶手段によ
り記憶されている第１の許可情報、または、取得手段に
より取得された第２の許可情報に基づいて、他の情報処
理装置による接続を制御する接続制御手段とを備え、第
２の情報処理装置は、第２の許可情報の入力を受け付け
る入力受付手段と、入力受付手段により入力が受け付け
られた第２の許可情報を記憶する第２の記憶手段と、要
求手段による要求に基づいて、第２の記憶手段により記
憶されている第２の許可情報を検索する検索手段と、検
索手段により検索された第２の許可情報を第１の情報処
理装置に供給する供給手段とを備えることを特徴とす
る。
【００１２】前記第１の許可情報は、第１の記憶手段に
予め記憶されている第１の情報処理装置に固有の許可情
報であり、第２の許可情報は、第１のネットワークにお
ける第１の情報処理装置の許可情報であるようにしても
よい。
【００１３】前記接続制御手段は、第１の許可情報また
は第２の許可情報として、他の情報処理装置のアドレス
情報に基づいて接続を制御するようにしてもよい。
【００１４】前記接続制御手段は、第１の許可情報また
は第２の許可情報として、他の情報処理装置を操作する
ユーザに関する情報に基づいて接続を制御するようにし
てもよい。
【００１５】本発明の第１の情報処理装置は、第１の他
の情報処理装置による接続の許可に関する情報からなる
第１の許可情報を記憶する記憶手段と、第１の他の情報
処理装置による接続の許可に関する情報からなる第２の
許可情報を有する第２の他の情報処理装置を検索する検
索手段と、検索手段により検索された第２の他の情報処
理装置に第２の許可情報を要求する要求手段と、第２他
の情報処理装置より供給された、要求手段による要求に
対応する第２の許可情報を取得する取得手段と、第１の
他の情報処理装置による接続を制御する接続制御手段
と、記憶手段により記憶されている第１の許可情報、お
よび、取得手段により取得された第２の許可情報に基づ
いて、接続制御手段による制御に関する設定を行う第１
の設定手段とを備えることを特徴とする。
【００１６】前記第１の設定手段は、記憶手段により記
憶されている第１の許可情報、および、取得手段により
取得された第２の許可情報より、接続制御手段による制
御に関する設定に用いる許可情報を選択する選択手段
と、選択手段により選択された、接続制御手段による制
御に関する設定に用いる許可情報に含まれるアドレスに
関する設定を行う第２の設定手段と、第２の設定手段に
よりアドレスに関する設定が行われた許可情報に基づい
て、接続制御手段による制御に関する設定を行う第３の
設定手段とを備えるようにすることができる。
【００１７】前記第１の許可情報は、記憶手段に予め記
憶されている固有の許可情報であり、前記第２の許可情
報は、第１のネットワークにおける許可情報であるよう
にすることができる。
【００１８】前記接続制御手段は、第１の許可情報また
は第２の許可情報として、第１の他の情報処理装置のア
ドレス情報に基づいて接続を制御するようにすることが
できる。
【００１９】前記接続制御手段は、第１の許可情報また
は第２の許可情報として、第１の他の情報処理装置を操
作するユーザに関する情報に基づいて接続を制御するよ
うにすることができる。
【００２０】本発明の第１の情報処理方法は、第１の許
可情報の記憶部からの取得を制御する記憶制御ステップ
と、第１の他の情報処理装置による接続の許可に関する
情報からなる第２の許可情報を有する第２の他の情報処
理装置を検索する検索ステップと、検索ステップの処理
により検索された第２の他の情報処理装置に第２の許可
情報を要求する要求ステップと、第２の他の情報処理装
置より供給された、要求ステップの処理による要求に対
応する第２の許可情報の取得を制御する取得制御ステッ
プと、第１の他の情報処理装置による接続を制御する接
続制御ステップと、記憶制御ステップの処理により記憶
部からの取得が制御された第１の許可情報、および、取
得制御ステップの処理により取得が制御された第２の許
可情報に基づいて、接続制御ステップの処理による制御
に関する設定を行う設定ステップとを含むことを特徴と
する。
【００２１】本発明の第１の記録媒体のプログラムは、
第１の許可情報の記憶部からの取得を制御する記憶制御
ステップと、第１の他の情報処理装置による接続の許可
に関する情報からなる第２の許可情報を有する第２の他
の情報処理装置を検索する検索ステップと、検索ステッ
プの処理により検索された第２の他の情報処理装置に第
２の許可情報を要求する要求ステップと、第２の他の情
報処理装置より供給された、要求ステップの処理による
要求に対応する第２の許可情報の取得を制御する取得制
御ステップと、第１の他の情報処理装置による接続を制
御する接続制御ステップと、記憶制御ステップの処理に
より記憶部からの取得が制御された第１の許可情報、お
よび、取得制御ステップの処理により取得が制御された
第２の許可情報に基づいて、接続制御ステップの処理に
よる制御に関する設定を行う設定ステップとを含むこと
を特徴とする。
【００２２】本発明の第１のプログラムは、第１の許可
情報の記憶部からの取得を制御する記憶制御ステップ
と、第１の他の情報処理装置による接続の許可に関する
情報からなる第２の許可情報を有する第２の他の情報処
理装置を検索する検索ステップと、検索ステップの処理
により検索された第２の他の情報処理装置に第２の許可
情報を要求する要求ステップと、第２の他の情報処理装
置より供給された、要求ステップの処理による要求に対
応する第２の許可情報の取得を制御する取得制御ステッ
プと、第１の他の情報処理装置による接続を制御する接
続制御ステップと、記憶制御ステップの処理により記憶
部からの取得が制御された第１の許可情報、および、取
得制御ステップの処理により取得が制御された第２の許
可情報に基づいて、接続制御ステップの処理による制御
に関する設定を行う設定ステップとをコンピュータに実
現させる。
【００２３】本発明の第２の情報処理装置は、許可情報
の入力を受け付ける入力受付手段と、入力受付手段によ
り入力が受け付けられた許可情報を記憶する記憶手段
と、他の情報処理装置による要求に基づいて、記憶手段
により記憶されている許可情報を検索する検索手段と、
検索手段により検索された許可情報を他の情報処理装置
に供給する供給手段とを備えることを特徴とする情報処
理装置。
【００２４】本発明の第２の情報処理方法は、他の情報
処理装置による要求に基づいて、許可情報を検索する検
索ステップと、検索ステップの処理により検索された許
可情報の他の情報処理装置への供給を制御する供給制御
ステップとを備えることを特徴とする情報処理方法。
【００２５】本発明の第２の記録媒体のプログラムは、
他の情報処理装置による要求に基づいて、許可情報を検
索する検索ステップと、検索ステップの処理により検索
された許可情報の他の情報処理装置への供給を制御する
供給制御ステップとをコンピュータに実現させる。
【００２６】本発明の第２のプログラムは、他の情報処
理装置による要求に基づいて、許可情報を検索する検索
ステップと、検索ステップの処理により検索された許可
情報の他の情報処理装置への供給を制御する供給制御ス
テップとをコンピュータに実現させる。
【００２７】本発明のネットワークシステムにおいて
は、第１のネットワークに接続され、第１のネットワー
クに接続されている第２のネットワークを介して、他の
情報処理装置からの接続要求を受け付ける第１の情報処
理装置と、第１のネットワークに接続され、第１の情報
処理装置への接続の許可に関する情報を管理する第２の
情報処理装置とが備えられ、第１の情報処理装置におい
ては、他の情報処理装置による接続の許可に関する情報
からなる第１の許可情報が記憶され、他の情報処理装置
による接続の許可に関する情報からなる第２の許可情報
が第２の情報処理装置に要求され、第２の情報処理装置
より供給された第２の許可情報が取得され、第１の許可
情報または第２の許可情報に基づいて、他の情報処理装
置による接続が制御され、第２の情報処理装置において
は、第２の許可情報の入力が受け付けられ、第２の許可
情報が記憶され、要求に基づいて、記憶されている第２
の許可情報が検索され、その第２の許可情報が第１の情
報処理装置に供給される。
【００２８】本発明の第１の情報処理装置および方法、
並びにプログラムにおいては、第１の他の情報処理装置
による接続の許可に関する情報からなる第１の許可情報
が記憶され、第１の他の情報処理装置による接続の許可
に関する情報からなる第２の許可情報を有する第２の他
の情報処理装置が検索され、その第２の他の情報処理装
置に第２の許可情報が要求され、第２他の情報処理装置
より供給された第２の許可情報が取得され、第１の他の
情報処理装置による接続が制御され、第１の許可情報お
よび第２の許可情報に基づいて、制御に関する設定が行
われる。
【００２９】本発明の第２の情報処理装置および方法、
並びにプログラムにおいては、許可情報の入力が受け付
けられ、その許可情報が記憶され、他の情報処理装置に
よる要求に基づいて、許可情報が検索され、その許可情
報が他の情報処理装置に供給される。
【００３０】
【発明の実施の形態】図１は、本発明を適用したアクセ
ス制御管理システムの構成例を表している。
【００３１】図１において、端末装置１は、ローカルエ
リア２内に設置され、LAN（Local Area Network）やホ
ームネットワーク等に代表される、ローカルエリア２内
のローカルエリアネットワーク２Ａに接続されている。
ポリシ管理サーバ３は、ローカルエリアネットワーク２
Ａに接続され、ローカルエリアネットワーク２Ａ内に接
続されている端末装置１または４等の各端末機器のアク
セス制御に関する情報であるポリシを管理している。端
末装置４は、端末装置１と同様にローカルエリアネット
ワーク２Ａに接続されている。
【００３２】ローカルエリアネットワーク２Ａは、ま
た、ローカルエリア２の外側の、例えばインターネット
等に代表されるネットワーク５に接続されている。そし
て、外部端末装置６は、ネットワーク５に接続され、ネ
ットワーク５およびローカルエリアネットワーク２Ａを
介して、端末装置１または４にアクセスする。
【００３３】端末装置１および４は、ローカルエリアネ
ットワーク２Ａを介して接続された外部の機器に対し
て、サービスを提供できるような機能を有する、パーソ
ナルコンピュータ等の情報処理装置、または、ビデオデ
ッキやテレビジョン受像機等の家庭用電化製品である。
例えば、端末装置１および４は、ローカルエリアネット
ワーク２Ａを介してアクセスしてきた外部端末装置６の
要求に応じて、WEB等のHTTP（HyperText Transfer Prot
ocol）サービスを提供することができるパーソナルコン
ピュータであってもよいし、外部端末装置６がローカル
エリアネットワーク２Ａを介して、録画予約等を行うこ
とができるビデオデッキ等であってもよい。
【００３４】また、端末装置１および４は、外部よりロ
ーカルエリアネットワーク２Ａを介して要求される外部
端末装置６のアクセスを、アクセス制御に関する設定情
報からなるポリシに基づいて、制御する。ポリシには、
誰にアクセスを許可するか否か等のアクセス制御に関す
るルールが含まれている。端末装置１および４にはそれ
ぞれ、固有のポリシが予め記憶されており、ポリシは、
例えば、XML（eXtensible Markup Language）により記
述されている。
【００３５】ポリシ管理サーバ３は、ローカルエリアネ
ットワーク２Ａの管理者によって作成された、ローカル
エリアネットワーク２Ａにおける端末装置１または４の
ポリシが記憶されている。ポリシは、例えば、XML（eXt
ensible Markup Language）により記述されている。
【００３６】端末装置１は、ローカルエリアネットワー
ク２Ａに接続されると、端末装置１のIPアドレスを取得
する。端末装置１は、取得したIPアドレスを用いて、予
め記憶されているポリシを適用する。そして、ポリシ管
理サーバ３より端末装置１用のポリシを取得し、取得さ
れたポリシを適用するか否かを判定する。
【００３７】端末装置１は、以上のようにしてアクセス
制御に関する設定を行い、外部端末装置６によるアクセ
スを制御する。
【００３８】図２は、端末装置１の構成例を示すブロッ
ク図である。
【００３９】図２において、CPU（Central Processing
Unit）１１は、ROM（Read Only Memory）１２に記憶さ
れているプログラム、または記憶部２３からRAM（Rando
m Access Memory）１３にロードされたプログラムに従
って各種の処理を実行する。RAM１３にはまた、CPU１１
が各種の処理を実行する上において必要なデータなども
適宜記憶される。CPU１１、ROM１２、およびRAM１３
は、バス１４を介して相互に接続されている。このバス
１４にはまた、入出力インタフェース２０も接続されて
いる。
【００４０】入出力インタフェース２０には、キーボー
ド、マウスなどよりなる入力部２１、CRT（Cathode Ray
Tube）、LCD（Liquid Crystal Display）などよりなる
ディスプレイ、並びにスピーカなどよりなる出力部２
２、ハードディスクなどより構成される記憶部２３、お
よび、モデム、ターミナルアダプタなどより構成される
通信部２４が接続されている。通信部２４は、ローカル
エリアネットワーク２Ａを介しての通信処理を行う。通
信部２４はまた、他のユーザ端末との間で、アナログ信
号またはデジタル信号の通信処理を行う。
【００４１】入出力インタフェース２０にはまた、必要
に応じてドライブ３０が接続され、磁気ディスク４１、
光ディスク４２、光磁気ディスク４３、或いは半導体メ
モリ４４などが適宜装着され、それらから読み出された
コンピュータプログラムが、必要に応じて記憶部２３に
インストールされる。
【００４２】図３は、ポリシ管理サーバ３の構成例を示
すブロック図である。
【００４３】図３において、ポリシ管理サーバ３は、図
２の端末装置１のCPU１１乃至半導体メモリ４４に対応
するCPU５１乃至半導体メモリ８４を有しており、その
基本的構成は、端末装置１と同様であるので、その説明
は省略する。
【００４４】なお、図示は省略するが、端末装置４およ
び外部端末装置６も、図２に示した端末装置１と基本的
に同様の構成を有するコンピュータにより構成される。
【００４５】図４は、端末装置１が有する機能の例を示
す機能ブロック図である。
【００４６】図４において、端末装置１は、パケット中
に含まれるデータを調べて、送信元や送信先IPアドレ
ス、プロトコルタイプ、ポート番号などに基づいてパケ
ットを通過させたり、破棄したりするパケットフィルタ
１０１、ポリシの管理処理を行うポリシ管理クライアン
ト１０２、WEB等のサービスを提供するHTTPサービス１
０３の機能を有している。
【００４７】また、ポリシ管理クライアント１０２に
は、ポリシを反映させたパケットフィルタ１０１用の設
定を生成するパケットフィルタ用設定プログラム１１
１、ポリシの解析処理を行うポリシ解析プログラム１１
２、予めポリシを記憶しているデータベース１１３を含
んでいる。
【００４８】図５は、ポリシ管理サーバ３が有する機能
の例を示す機能ブロック図である。
【００４９】図５において、ポリシ管理サーバ３は、ポ
リシの入力処理に用いられるGUIプログラム１２１、WEB
等のサービスを提供するHTTPサービス１２２、ポリシの
解析処理を行うポリシ解析プログラム１２３、入力され
たポリシを記憶するデータベース１２４の機能を有して
いる。
【００５０】次に、以上のように構成されたポリシ管理
システムの動作を説明する。なお、ここでは、図１のネ
ットワーク５に接続されている外部端末装置６が、ネッ
トワーク５およびローカルエリアネットワーク２Ａを介
して、端末装置１にアクセスし、端末装置１が提供する
HTTPサービスを利用する場合について説明する。
【００５１】最初に、ローカルエリア２のローカルエリ
アネットワーク２Ａを管理する管理者がポリシ管理サー
バ３にローカルエリアネットワーク２Ａにおいて適用さ
れるセキュリティに関するポリシを登録していることを
前提とする。
【００５２】例えば、利用者である外部端末装置６のユ
ーザが、端末装置１のTCP（Transmission Control Prot
ocol）ポート番号８０番へアクセスすることを許可した
いということを、以下のように記述されるポリシで表
す。
【００５３】 <subject name="Trusted remote6"> <location type="IPaddress">2001:298:200:c1::2/128</location> </subject> <target name="httpInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>80</port> </target> <policy name="pol1"> <subject>Trusted remote2A</subject> <target>HttpInHome</target> <condition>ALLWAYS</condition> </policy>
【００５４】６，７行目において、TCPポート番号８０
番についてのポリシであることが記述されている。
【００５５】ポリシをポリシ管理サーバ３に登録する
際、管理者は、ポリシ管理サーバ上のGUIプログラム１
２１を用いて、登録動作を行うことができる。また、そ
れ以外にも、一般的なデータベースに対するアクセスプ
ロトコルを用いて、ポリシを登録する動作を行うように
してもよい。
【００５６】次に、アクセス制御の設定に関する処理を
説明する。端末装置１は、ローカルエリア２Ａに接続さ
れると、最初に、アクセス制御設定処理を実行する。図
６のフローチャートを参照して、端末装置１によるアク
セス制御設定処理について説明する。
【００５７】最初に、ステップＳ１において、CPU１１
は、IPアドレス設定処理を実行する。IPアドレス設定処
理の詳細は、図７のフローチャートを参照して後述す
る。
【００５８】IPアドレス設定処理を終了したCPU１１
は、ステップＳ２に進み、デフォルトポリシを検索す
る。初期設定になるデフォルトポリシは、端末装置１の
記憶部２３、またはROM１２等に予め記憶されている。
デフォルトポリシは、例えば、ローカルエリアネットワ
ーク２Ａからのポート番号８０番のポートへのアクセス
を許可するというポリシである場合、以下のように記述
される。
【００５９】
【００６０】６，７行目において、TCPポート番号８０
番へのアクセスを許可していることが記述されている
が、この場合、５行目のIPアドレス情報はまだ記述され
ておらず、「SELF」となっている。
【００６１】以上のような、デフォルトポリシを検索す
るとCPU１１は、ステップＳ３に進み、検索されたデフ
ォルトポリシの中で未適用のポリシが存在するか否かを
判定し、存在すると判定した場合、CPU１１は、ステッ
プＳ４に進み、その未適用のポリシについて、ポリシ適
用処理を実行する。ポリシ適用処理の詳細については、
図８のフローチャートを参照して後で説明する。ポリシ
適用処理が終了すると、CPU１１は、ステップＳ３に戻
り、それ以降の処理を繰り返す。
【００６２】ステップＳ３において、全てのポリシにつ
いて適用処理を行い、未適用のポリシが存在しないと判
定した場合、CPU１１は、ステップＳ５に進む。
【００６３】以上の処理により、端末装置１は、端末装
置１に予め記憶されているポリシに基づいて、アクセス
制御を行うことができる。端末装置１をローカルエリア
ネットワーク２Ａに接続すると、ここまでの処理が自動
的に実行され、端末装置１は、デフォルトポリシに基づ
いたアクセス制御を行うことができるようになる。
【００６４】次に、ステップＳ５において、CPU１１
は、ローカルエリアネットワーク２Ａにおいて、ポリシ
管理サーバ３を検索する。この処理は、 TCP/IPネット
ワークのクライアントマシンにおいて、IPアドレスやホ
スト名、ドメイン名、ネットマスク、デフォルトゲート
ウェイ、ネームサーバアドレスなどのパラメータをサー
バから自動的にロードしてくるためのプロトコルである
DHCP（Dynamic Host Configuration Protocol）におけ
るサーバの検索と同様の仕組みを用いて行うことができ
る。
【００６５】検索が終了すると、CPU１１は、ステップ
Ｓ６において、利用可能なポリシ管理サーバ３が存在す
るか否かを判定する。存在しないと判定した場合、CPU
１１は、アクセス制御設定処理を終了する。
【００６６】利用可能なポリシ管理サーバ３に存在する
と判定した場合、CPU１１は、ステップＳ７において、
ポリシ管理サーバ３に端末装置１に対応するポリシを要
求する。このポリシを要求する取得要求には、パラメー
タとして、端末のIPアドレスや端末の種類などが含まれ
る。取得要求は、例えば、文書を転送するために用いら
れるアプリケーションレベルのプロトコルであるHTTPを
用いて、要求メッセージであるHTTPリクエストにパラメ
ータを記述し、ポリシを応答メッセージであるHTTPレス
ポンスのMessage Bodyに記述することで、実現すること
が可能である。例えば、以下のように記述されたHTTPリ
クエストにより端末のIPアドレスを含む取得要求が行わ
れる。
【００６７】POST /cgi-bin/policy.cgi HTTP/1.0 Host: polserver.homenet.or.jp ipaddr=2001:298:200:b1::1
【００６８】３行目には、端末装置のIPアドレスであ
る”2001:298:200:b1::1”が記述されている。
【００６９】以上のような要求を取得するとポリシ管理
サーバは、端末装置１に対応するポリシを検索し、端末
装置１に供給する。
【００７０】ステップＳ８において、CPU１１は、ポリ
シ管理サーバ３より供給されたポリシを取得したか否か
を判定し、取得するまで待機する。そして、取得したと
判定すると、CPU１１は、ステップＳ９に進み、取得し
たポリシの内、未処理のポリシが存在するか否かを判定
する。全てのポリシについて、後述するような処理を行
ったと判定した場合、CPU１１は、アクセス制御設定処
理を終了する。
【００７１】ステップＳ９において、未処理のポリシが
存在すると判定した場合、CPU１１は、ステップＳ１０
に進み、取得したポリシと適用されたデフォルトポリシ
を比較する。そして、ステップＳ１１に進み、ステップ
Ｓ１０における比較の結果、矛盾が生じるか否かを判定
する。矛盾が生じると判定した場合、CPU１１は、ステ
ップＳ１２に進み、デフォルトポリシを優先させるか否
かを判定する。CPU１１は、ステップＳ１１において、
矛盾が生じたと判定した場合、デフォルトポリシの、デ
フォルトポリシが他のポリシで置き換えることを許可し
ているか否かを表しているパラメータを参照し、このパ
ラメータに基づいて、ステップＳ１２において、デフォ
ルトポリシを優先させるか否かを判定する。
【００７２】デフォルトポリシのパラメータを参照した
結果、デフォルトポリシを優先させると判定した場合、
CPU１１は、ステップＳ９に戻り、それ以降の処理を繰
り返す。デフォルトポリシを優先させないと判定した場
合、CPU１１は、ステップＳ１３に進む。
【００７３】また、ステップＳ１１において、取得した
ポリシとデフォルトポリシの間で矛盾が生じないと判定
した場合、CPU１１は、ステップＳ１３に進む。
【００７４】ステップＳ１３において、CPU１１は、取
得したポリシを適用させるために、ポリシ適用処理を実
行する。ポリシ適用処理の詳細は、図８のフローチャー
トを参照して、後で説明する。
【００７５】ステップＳ１３において、ポリシ適用処理
が終了したCPU１１は、ステップＳ９に戻り、それ以降
の処理を繰り返す。
【００７６】次に、図７のフローチャートを参照して、
図６のステップＳ１において実行されるIPアドレス設定
処理について説明する。
【００７７】最初に、ステップＳ３１において、CPU１
１は、通信部２４を制御して、ネットワークへのリンク
の状態変化を調べる。この処理は、例えば、Ethernet
(R)のlink stateを監視する等して行われる。
【００７８】そして、ステップＳ３２において、CPU１
１は、ステップＳ３１の処理結果に基づいて、リンク状
態が変化しているか否かを判定する。変化していないと
判定した場合は、ステップＳ３１に戻り、それ以降の処
理を繰り返す。
【００７９】端末装置１がローカルエリアネットワーク
２Ａに接続されるなどして、リンク状態が変化したと判
定した場合、CPU１１は、ステップＳ３３に進み、IPア
ドレス情報取得処理を行い、IPアドレスの取得を試み
る。例えば、IPv６の場合、Router Soliciticationを行
って、RouterからNetwork prefixの情報を得ることによ
り、端末装置１のアドレス設定を行う。
【００８０】ステップＳ３４において、CPU１１は、ス
テップＳ３３の処理の結果、IPアドレス情報を取得した
か否かを判定する。取得していないと判定した場合、CP
U１１は、ステップＳ３１に戻り、それ以降の処理を繰
り返す。
【００８１】また、IPアドレス情報を取得したと判定し
た場合、CPU１１は、ステップＳ３５に進み、取得したI
Pアドレス情報に基づいて、端末装置１のIPアドレスを
設定する。IPアドレスを設定したCPU１１は、IPアドレ
ス設定処理を終了し、図６のステップＳ２に進む。
【００８２】次に、図８のフローチャートを参照して、
図６のステップＳ４、およびステップＳ１３において実
行されるポリシ適用処理の詳細について説明する。
【００８３】最初に、ステップＳ５１において、CPU１
１は、対象となるポリシのアドレスに関する情報を設定
する。CPU１１は、ポリシに記述されている自分自身の
アドレスを表す部分、およびネットワークの同一セグメ
ントを表す部分を、図６のステップＳ１の処理において
取得したローカルエリアネットワーク２Ａのアドレス情
報を用いて、置き換える。CPU１１は、例えば、上述し
た以下のような記述例のポリシに対して、アドレスの設
定を行う。
【００８４】
【００８５】端末装置１のIPアドレスを”2001:298:20
0:b1::1/128”とすると、このIPアドレスを用いて、上
述した自分自身のアドレスを表す”SELF”を置き換え、
端末装置１が接続されているローカルエリアネットワー
ク２ＡのＩＰアドレスを示す”2001:298:200:b1::/64”
を用いて、ネットワークのアドレスを示す”ＬＯＣＡ
Ｌ”を置き換える。
【００８６】そして、ステップＳ２において、IPアドレ
スを設定したポリシに基づいて、パケットフィルタの実
装の一つであるIPフィルタ用の書式で記述された設定情
報を生成する。CPU１１は、例えば、上述したポリシを
以下のように変更する。
【００８７】pass in on fxp0 proto tcp from 2001:29
8:200:b1::/64 to 2001:298:200:b1::1/128 port=80 keep state
【００８８】IPフィルタ用の設定情報を生成したCPU１
１は、ステップＳ５３において、IPフィルタ用の設定情
報に基づいて、パケットフィルタを設定する。IPフィル
タの場合、上述した設定内容をパラメータとして、ioct
lシステムコールが実行されることにより設定が有効に
なる。
【００８９】ステップＳ５３の処理を終了したCPU１１
は、ポリシ適用処理を終了し、図６のステップＳ３、ま
たはステップＳ９に進む。
【００９０】次に、図９のフローチャートを参照して、
図６のステップＳ７において、端末装置１のCPU１１に
ポリシを要求されたポリシ管理サーバ３のCPU５１によ
るアクセス制御設定処理について説明する。
【００９１】最初に、ポリシ管理サーバ３のCPU５１
は、ステップＳ７１において、通信部６４を制御して、
端末装置１より供給された要求情報を取得したか否かを
判定し、取得したと判定するまで待機する。
【００９２】端末装置１のCPU１１が図６のステップＳ
７の処理を実行し、ポリシ管理サーバ３に要求情報を供
給することでポリシを要求し、ポリシ管理サーバ３のCP
U５１がその要求情報を取得したと判定すると、ステッ
プＳ７２において、記憶部６３を制御して、要求された
端末装置１に対応するポリシを、例えば、IPアドレス情
報等により検索する。この検索により、例えば、以下に
示すようなポリシが検索結果として得られる。
【００９３】 <subject name="Trusted remote6"> <location type="IPaddress">2001:298:200:c1::2/128</location> </subject> <target name="httpInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>80</port> </target> <policy name="pol1"> <subject>Trusted remote2A</subject> <target>HttpInHome</target> <condition>ALLWAYS</condition> </policy>
【００９４】このポリシは、ローカルエリアネットワー
ク２Ａの管理者により予め登録してあった、端末装置１
のローカルエリアネットワーク２におけるポリシであ
り、２行目に記述されているIPアドレスが、検索条件で
ある上述したデフォルトポリシのIPアドレスと一致する
ことにより検出される。
【００９５】ステップＳ７２の処理を終了したCPU１１
は、ステップＳ７３において、検索結果である、要求情
報に対応するポリシを端末装置１に供給する。供給が終
了すると、CPU５１は、アクセス制御設定処理を終了す
る。
【００９６】以上のようにして、パケットフィルタ１０
１の設定が行われ、端末装置１は、その設定に基づい
て、ローカルエリアネットワーク２Ａからのアクセスを
制御する。
【００９７】以上においては、端末装置１が有するパケ
ットフィルタ機能により、パケットの送信元や送信先IP
アドレス、プロトコルタイプ、ポート番号などに基づい
てパケットを通過させたり、破棄したりすることで、ア
クセスを制御するようにしていたが、これに限らず、例
えば、SSL（Secure Sockets Layer）などのセキュリテ
ィ機構により、アクセスを要求する外部端末装置６のユ
ーザを認証すること等によりアクセスを制御するように
しても良い。
【００９８】図１０は、端末装置１がSSL機能を有する
場合の機能の構成例を示す機能ブロック図である。
【００９９】図１０において、端末装置１は、ポリシ管
理クライアント１０２、HTTPサービス１０３の他に、ユ
ーザ認証処理を行うSSL１３１を有している。また、こ
れに伴い、ポリシ管理クライアントが有する機能には、
ポリシ解析プログラム１１２およびデータベース１１３
の他に、SSL用設定プログラム１３２が構成されてい
る。
【０１００】SSLは、ユーザ認証、暗号化、メッセージ
認証等の機能を有しており、TCP／IPのソケット単位で
の制御が可能である。
【０１０１】上述した場合と同様に、端末装置１には、
デフォルトポリシとなるポリシが記憶されており、ま
た、ポリシ管理サーバ３には、ローカルエリアネットワ
ーク２Ａにおける各端末装置のポリシが、管理者により
登録されている。
【０１０２】この場合、登録されるポリシは、例えば、
特定のX．５０９証明書を保持するユーザが、ローカル
エリアネットワーク２Ａ上の機器のTCPポート８０番へ
アクセスすることを許可する場合、以下のように記述さ
れる。
【０１０３】 <subject name="User Cert109"> <Usercert type="x509cert"> MIID2jCCA0OgAwIBAgIBAjANBgkqhkiG9w0BAQQFADCBmDELMAkGA1UEBhMCSlAxDjAMBgNV BAgTBVRva3lvMRIwEAYDVQQHEwlTaGluYWdhd2ExGTAXBgNVBAoTEFNvbnkgQ29ycG9yYXRp b24xETAPBgNVBAsTCElOUyBMYWIuMRIwEAYDVQQDEwljYXNhZG9yQ0ExIzAhBgkqhkiG9w0B CQEWFGpzYWl0b0BzbS5zb255LmNvLmpwMB4XDTAxMDEzMTA3MjcxMloXDTAyMDEzMTA3Mjcx MlowgaQxCzAJBgNVBAYTAkpQMQ4wDAYDVQQIEwVUb2t5bzESMBAGA1UEBxMJU2hpbmFnYXdh MRkwFwYDVQQKExBTb255IENvcnBvcmF0aW9uMREwDwYDVQQLEwhJTlMgTGFiLjEeMBwGA1UE AxMVY2FzYWRvci5zbS5zb255LmNvLmpwMSMwIQYJKoZIhvcNAQkBFhRqc2FpdG9Ac20uc29u eS5jby5qcDCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEAvJsMgqsiYqpr9cOaEfdCMy3B L20n9NsW8nJpF4F6FjfwcqYmp0ELoLd4Z4P3vfI07B+4Y+VrwSixoVzpq8eRgq+27vS/2RfD ZLdZBVnGyqhmx2awK3Lm+7GDK5pUZ1giyPksJiyiOH71O4c1GKEhdfeiD9+ndf99FEzfCX8o ZTcCAwEAAaOCASQwggEgMAkGA1UdEwQCMAAwLAYJYIZIAYb4QgENBB8WHU9wZW5TU0wgR2Vu ZXJhdGVkIENlcnRpZmljYXRlMB0GA1UdDgQWBBTmT0CTwiHGu3CggHeUcBMVAqNidzCBxQYD VR0jBIG9MIG6gBRYSeTMT73I+T73HLigQczjaSEUlKGBnqSBmzCBmDELMAkGA1UEBhMCSlAx DjAMBgNVBAgTBVRva3lvMRIwEAYDVQQHEwlTaGluYWdhd2ExGTAXBgNVBAoTEFNvbnkgQ29y cG9yYXRpb24xETAPBgNVBAsTCElOUyBMYWIuMRIwEAYDVQQDEwljYXNhZG9yQ0ExIzAhBgkq hkiG9w0BCQEWFGpzYWl0b0BzbS5zb255LmNvLmpwggEAMA0GCSqGSIb3DQEBBAUAA4GBAERU LK+2Rb/dNI1EKKDUKuAyWDK/wezlTXdpvOakytYdEmmLrkgh9lbgHLQJzIkZMXJzqR2cS/9c VOKRXOv02ZIe5ZgT+NwXq+MfN1aAHClVRE8dfcNRmfDKT5zj9KUOpNvBWffd6hcDCfQHPZh3 s0BtRW9/nD9xom7FbgEUgZ+m </Usercert> </subject> <target name="httpInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>80</port> </target> <policy name="pol1"> <subject>User109</subject> <target>HttpInHome</target> <condition>ALLWAYS</condition> </policy>
【０１０４】以上の場合も、３３および３４行目に、TC
Pポート番号８０番へのアクセスを許可することが記述
されている。
【０１０５】この場合においても、端末装置１によるア
クセス制御設定処理は、図６に説明した場合と基本的に
同様である。端末装置１がローカルエリアネットワーク
２Ａに接続されると、図７において説明したように、端
末装置１のIPアドレス情報が取得され、端末装置１に記
憶されているデフォルトポリシによって設定される。ま
た、その設定が完了すると、端末装置１のCPU１１は、
ポリシ管理サーバ３を検索し、対応するポリシを要求す
る。ポリシ管理サーバ３は、図９において説明したよう
に、その要求に対して、対応するポリシを検索し、端末
装置１に供給する。端末装置１は、そのポリシを取得す
ると、デフォルトポリシと比較し、デフォルトポリシま
たは取得したポリシに基づいて、SSL１３１の設定を行
う。
【０１０６】しかしながら、図８のフローチャートを参
照して説明したポリシ適用処理は、SSLの場合と異な
る。図１１のフローチャートを参照して、端末装置１に
よるポリシ適用処理を説明する。
【０１０７】最初に端末装置１のCPU１１は、ステップ
Ｓ９１において、ポリシのアドレスに関する情報を設定
する。この処理は、図８のステップＳ７１の処理に対応
する。CPU１１は、端末装置１のIPアドレス情報”2001:
298:200:b1::2/128”を用いて、ポリシ中に記述されて
いる、自分自身のアドレスを示す”SELF”を置き換え、
ローカルエリアネットワークのIPアドレス情報”2001:2
98:200:b1::/64”を用いて、ポリシ中に記述されてい
る、ローカルエリアネットワークのアドレスを示す”LO
CAL”を置き換える。
【０１０８】ポリシのアドレスに関する情報を設定した
CPU１１は、ステップＳ９２に進み、ポリシに基づい
て、ＳＳＬ用の設定情報を生成する。CPU１１は、ポリ
シの中において指定されている証明書の内容を抽出して
メッセージの暗号・復号化のための規格であるPEM（Pri
vacy Enhanced Mail）形式のファイルとする。
【０１０９】そして、ステップＳ９３において、CPU１
１は、SSL用の設定情報に基づいて、SSLを設定する。SS
Lの実装の１つであるOpenSSLの場合、アクセスを許可す
るユーザの証明書が、/etc/ssl/certsなどのように、サ
ービスごとにプログラム中で指定した証明書ディレクト
リに保存される。
【０１１０】ステップＳ９３の処理を終了したCPU１１
は、ポリシ適用処理を終了し、図６のステップＳ３、ま
たはステップＳ９に進む。
【０１１１】以上のようにして、SSLを用いて認証処理
を実行することにより、アクセス制御を行うこともでき
る。
【０１１２】また、認証処理を実行する機構として、IK
E（Internet Key Exchange）を用いてIPsec（Internet
Protocol security architecture）によりアクセス制御
を行うようにしてもよい。
【０１１３】IKEは、IPsecに必要な鍵を動的に確立する
独立した機構であり、RFC２４０７およびRFC２４０８に
規定されている、鍵交換の枠組みを提供するISAKMP（In
ternet Security Association and Key Management Pro
tocol）と、ISAKMP上で実際の鍵管理機構を定義してい
るOakleyからなる。
【０１１４】IKEは、ISAKMPのためのISAKMP SA（ISAKMP
Security Association）を確立するPhase１と、IPsec
のSAを確立するPhase２により構成される。なお、SAと
は、通信を保護するために用いられる方針や鍵の集合の
ことである。Phase１には通信者のIDの保護が可能なメ
インモードと、IDの保護が不可能なアグレッシブモード
の２つが存在し、Phase２にはクイックモードのみが存
在する。
【０１１５】このIKEを用いてユーザ認証を行い、特定
のユーザのみに特定の端末装置に対するアクセスを許可
するような制御を行うことができる。ユーザ認証は、IK
EにおいてもSSLの場合と同様に、公開鍵暗号に基づいて
生成されたユーザ証明書を用いることによって行うこと
ができる。
【０１１６】IKEにおけるユーザ認証処理のプロセスに
おいて、X．５０９証明書の検証を行い、正当に認証さ
れれば通信相手の提示してきた証明書内容が正しいこと
が認証される。証明書に記述される内容の１つとして、
Subject DN（Distinguished Name）という信頼できる第
３者が証明書の所有者に与えた名前があるので、ユーザ
認証を行うことができる。
【０１１７】例えば、このSubject DNを用いて、認証さ
れた特定のユーザのみに特定の端末装置にアクセスを許
可するポリシが以下のように記述される。
【０１１８】 <subject name="User Cert109"> <Usercert type="x509dn"> C=JP,ST=Tokyo,L=Shinagawa,O=Ssss Corporation,CN=Ssss Taro, Email=taro.ssss@ssss.co.jp </Usercert> </subject> <target name="host303"> <location>2001:298:200:b1::3/128</location> </target> <policy name="pol1"> <subject>User109</subject> <target>host5</target> <condition>ALLWAYS</condition> </policy>
【０１１９】図１２は、端末装置１がIKE機能を有する
場合の機能の構成例を示す機能ブロック図である。
【０１２０】図１２において、端末装置１は、ポリシ管
理クライアント１０２、HTTPサービス１０３の他に、ユ
ーザ認証処理を行うIKEデーモン１４１を有している。
また、これに伴い、ポリシ管理クライアントが有する機
能には、ポリシ解析プログラム１１２およびデータベー
ス１１３の他に、IKE用設定プログラム１４２が構成さ
れている。
【０１２１】この場合、端末装置１によるアクセス制御
設定処理は、SSL機能を有する場合と同様に行われる。
端末装置１がローカルエリアネットワーク２Ａに接続さ
れると、図７において説明したように、端末装置１のIP
アドレス情報が取得され、端末装置１に記憶されている
デフォルトポリシによって設定される。また、その設定
が完了すると、端末装置１のCPU１１は、ポリシ管理サ
ーバ３を検索し、対応するポリシを要求する。ポリシ管
理サーバ３は、図９において説明したように、その要求
に対して、対応するポリシを検索し、端末装置１に供給
する。端末装置１は、そのポリシを取得すると、デフォ
ルトポリシと比較し、デフォルトポリシまたは取得した
ポリシに基づいて、IKE１４１の設定を行う。
【０１２２】しかしながら、図６のステップＳ４および
ステップＳ１３において実行されるポリシ適用処理は、
SSLの場合と異なる。図１３のフローチャートを参照し
て、端末装置１によるポリシ適用処理を説明する。
【０１２３】最初に、ステップＳ１１１において、端末
装置１のCPU１１は、ポリシからアクセスを許可するID
情報を抽出する。上述したポリシの３または４行目で指
定されている証明書のSubject DNを抽出すると、以下の
ような情報が取得される。
【０１２４】C=JP,ST=Tokyo,L=Shinagawa,O=Ssss Corpo
ration,CN=Ssss Taro, Email=taro.ssss@ssss.co.jp
【０１２５】CPU１１は、ステップＳ１１２において、
抽出されたID情報に基づいて、IKEデーモン１４１の設
定を行う。CPU１１は、取得したSubject DNを、IKEのメ
ッセージのやりとりを行うIKEデーモン１４１に供給す
る。IKEデーモン１４１は、指定されたSubject DNをア
クセスが許可されたユーザのIDとして記録し、以降の処
理に反映させる。
【０１２６】また、ユーザのSubject DNを渡されたIKE
デーモン１４１は次のように動作する。図１４のフロー
チャートを参照して、IKEの処理のうち、Phase 1の部分
における処理について説明する。
【０１２７】最初に、ステップＳ１３１において、外部
端末装置６が通信を保護するために用いられる方針や鍵
の集合からなる情報を含むSAペイロードを端末装置１に
供給し、端末装置１は、ステップＳ１５１において、そ
のSAペイロードを取得する。
【０１２８】SAペイロードを受信すると端末装置１は、
ステップＳ１５２で、返信用のSAペイロードを外部端末
装置６にIKEのSAペイロードとして供給する。
【０１２９】外部端末装置６は、ステップＳ１３２にお
いて、そのSAペイロードを取得すると、ステップＳ１３
３において、共有秘密として使用される鍵情報を含む鍵
交換ペイロード、および通信相手の確認を行うための情
報を含むNonceペイロードを端末装置１に供給する。端
末装置１は、ステップＳ１５３において、その鍵交換ペ
イロードおよびNonceペイロードを取得する。端末装置
１は、ステップＳ１５４において、返信用の鍵交換ペイ
ロードおよびNonceペイロードを外部端末装置６に供給
する。外部端末装置６は、この返信用の鍵交換ペイロー
ドおよびNonceペイロードをステップＳ１３４において
取得すると、ステップＳ１３５において、IDペイロード
および署名ペイロードを端末装置１に供給する。
【０１３０】端末装置１は、ステップＳ１５５におい
て、IDペイロードおよび署名ペイロードを取得すると、
ステップＳ１５６において、署名ペイロードに含まれる
証明書を検証する。そして、ステップＳ１５７におい
て、IKEリクエストに含まれた証明書中からSubjectDNを
取得し、これを保持しているSubjectDNと比較する。こ
れらのSubjectDNが一致した場合のみ、以降の鍵交換プ
ロセスを続行する。
【０１３１】ユーザが認証されると、端末装置１は、ス
テップＳ１５８において、IDペイロードおよび署名ペイ
ロードを外部端末装置６に供給する。外部端末装置６
は、ステップＳ１３６において、その供給されたIDペイ
ロードおよび署名ペイロードを取得する。
【０１３２】以上のようにして、IKEによる認証処理が
行われる。
【０１３３】以上において説明したアクセス制御設定処
理は、ローカルエリアネットワーク２Ａに接続された端
末装置１および端末装置４が互いに異なる機能を有する
場合においても行うことができる。
【０１３４】図１５は、本発明を適用したアクセス制御
管理システムの他の例を示す図である。
【０１３５】図１５において、照明装置２０１、および
FTP（File Transfer Protocol）サーバ２０２は、ロー
カルエリアネットワーク２Ａに接続され、外部端末装置
２０３のリクエストに応じて、ネットワークサービスを
提供することができる装置である。
【０１３６】照明装置２０１は、UPnP（Universal Plug
and Play）デバイスとして制御可能な装置である。UPn
Pは、情報家電などをTCP/IPネットワークから制御する
ための方法であり、UPnPデバイスとはSOAP（Simple Obj
ect Access Protocol）により、ネットワークから制御
を行えるような端末機器のことである。例えば、UPnPデ
バイスである照明装置２０１は、ローカルエリアネット
ワーク２Ａからの要求に応じて、消灯または点灯を制御
することができる。
【０１３７】また、SOAPは、SOAPサーバに対して、HTTP
プロトコルのメッセージとして、XMLで記述された情報
を含めて供給し、SOAPサーバが取得したメッセージを解
釈することによって所定の動作を行うものである。従っ
て、UPnPデバイスは、ネットワーク上ではHTTPサービス
と同様に扱い、ネットワークレベルのアクセス制御を行
うことができる。
【０１３８】また、FTPサーバ２０２は、ネットワーク
から制御可能なコンテンツサーバであり、FTPを利用し
て、コンテンツデータを提供するサービスを行う。
【０１３９】また、ネットワーク５に接続された外部端
末装置２０３は、ローカルエリアネットワーク２Ａを介
して、照明装置２０１にアクセスし、消灯または点灯を
要求したり、FTPサーバ２０２にアクセスし、コンテン
ツデータをFTPを利用してダウンロードしたりする。
【０１４０】図１６は、照明装置２０１の構成例を示す
ブロック図である。
【０１４１】制御部２１１は、CPU、ROM、およびRAM等
により構成され、照明装置２０１全体の制御を行う。証
明部２１２は、制御部２１１に制御され、消灯または点
灯を行う。入力部２１３は、ユーザに操作され、消灯ま
たは点灯等の指示を入力する。記憶部２１４は、ハード
ディスク等により構成され、照明装置を制御するのに必
要なプログラムやデータ等を記憶する。通信部２１５
は、モデム、ターミナルアダプタなどより構成され、ロ
ーカルエリアネットワーク２Ａを介しての通信処理を行
う。
【０１４２】また、制御部２１１は、照明部２１２、入
力部２１３、記憶部２１４、および通信部２１５は、バ
ス２２０を介して相互に接続されている。
【０１４３】さらに、バス２２０には、ドライバ２３０
が必要に応じて接続され、磁気ディスク２４１、光ディ
スク２４２、光磁気ディスク２４３、或いは半導体メモ
リ２４４などが適宜装着され、それらから読み出された
コンピュータプログラムが、必要に応じて記憶部２１４
にインストールされる。
【０１４４】図１７は、照明装置２０１が有する機能の
例を示す機能ブロック図である。
【０１４５】図１７において、照明装置２０１は、パケ
ット中に含まれるデータを調べて、送信元や送信先IPア
ドレス、プロトコルタイプ、ポート番号などに基づいて
パケットを通過させたり、破棄したりするパケットフィ
ルタ２５１、ポリシの管理処理を行うポリシ管理クライ
アント２５２、ネットワークサービスを提供するSOAPサ
ービス２５３の機能を有している。
【０１４６】また、ポリシ管理クライアント２５２に
は、ポリシを反映させたパケットフィルタ２５１用の設
定を生成するパケットフィルタ用設定プログラム２６
１、ポリシの解析処理を行うポリシ解析プログラム２６
２、予めポリシを記憶しているデータベース２６３を含
んでいる。
【０１４７】図１８は、FTPサーバ２０２が有する機能
の例を示す機能ブロック図である。
【０１４８】図１８において、FTPサーバ２０２は、パ
ケット中に含まれるデータを調べて、送信元や送信先IP
アドレス、プロトコルタイプ、ポート番号などに基づい
てパケットを通過させたり、破棄したりするパケットフ
ィルタ２７１、ポリシの管理処理を行うポリシ管理クラ
イアント２７２、コンテンツデータを提供するFTPサー
ビス２７３の機能を有している。
【０１４９】また、ポリシ管理クライアント２７２に
は、ポリシを反映させたパケットフィルタ２７１用の設
定を生成するパケットフィルタ用設定プログラム２８
１、ポリシの解析処理を行うポリシ解析プログラム２８
２、予めポリシを記憶しているデータベース２８３を含
んでいる。
【０１５０】図１９は、外部端末装置２０３が有する機
能の例を示す機能ブロック図である。
【０１５１】外部端末装置２０３には、照明装置２０１
にアクセスし、消灯または点灯等の要求を供給するため
のSOAPクライアント２９１、FTPサーバ２０２にアクセ
スし、コンテンツデータのダウンロードを要求するFTP
クライアント２９２が構成されている。
【０１５２】以上のように構成されるネットワークシス
テムにおいて、ローカルネットワークシステム２Ａの管
理者がポリシ管理システム３に必要なポリシを予め登録
している。
【０１５３】例えば、管理者が、ネットワーク５に接続
された特定の外部端末装置２０３からローカルエリアネ
ットワーク２Ａを介して照明装置２０１のSOAPサービス
２５３へのアクセスを許可し、また、ローカルエリアネ
ットワーク２Ａを介してFTPサーバ２０２のFTPサービス
２７３へのアクセスを許可するようにしたいということ
を、以下のようにポリシに記述する。
【０１５４】 <subject name="Trusted remote203"> <location type="IPaddress">2001:298:200:c1::2/128</location> </subject> <target name="soapInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>80</port> </target> <policy name="pol1"> <subject>Trusted remote203</subject> <target>soapInHome</target> <condition>ALLWAYS</condition> </policy> <target name="ftpInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>21</port> </target> <policy name="pol2"> <subject>Trusted remote203</subject> <target>ftpInHome</target> <condition>ALLWAYS</condition> </policy>
【０１５５】このように、ポリシ管理サーバ３には、ロ
ーカルエリアネットワーク２Ａ に存在する複数の端末
に共通に適用されるようなポリシが登録されている。
【０１５６】照明装置２０１、FTPサーバ２０２および
ポリシ管理サーバ３が、照明装置２０１またはFTPサー
バ２０２のアクセス制御の設定を行う処理の流れは、図
６乃至図９において説明したパケットフィルタを実装し
た場合と基本的に同様である。
【０１５７】照明装置２０１およびFTPサーバ２０２
は、それぞれ装置内のデフォルトポリシを検索するが、
端末の提供するサービスが違うため、異なったポリシと
なっている。
【０１５８】例えば、FTPサーバ２０２には、設計時に
定められたデフォルトポリシとしてローカルエリアネッ
トワークからのポート２１番で動作するFTPサービスへ
のアクセスを許可する、というポリシが記憶されてい
る。これは、例えば、以下のように記述される。
【０１５９】
【０１６０】FTPサーバ２０２は、発見されたポリシ管
理サーバ３に対してポリシ取得要求を供給する。取得要
求にはパラメータが含まれるが、それはFTPサーバ２０
２がftpサービスを有していることを表す情報である。
【０１６１】ここで、取得要求は、例えばHTTPを使っ
て、HTTPリクエストにパラメータを記述し、ポリシをHT
TPレスポンスのMessage Body に記述することで実現で
きる。例えば、以下のようなHTTPリクエストによりFTP
サーバ２０２のIPアドレス2001:298:200:b1::1、および
FTPサーバ２０２がFTPサーバ機能を有していることを示
す情報を含む取得要求が行なわれる。
【０１６２】POST /cgi-bin/policy.cgi HTTP/1.0 Host: polserver.homenet.or.jp ipaddr=2001:298:200:b1::1 servtype=ftp
【０１６３】ポリシ管理サーバ３は、FTPサーバ２０２
からの要求を受取り、処理を開始する。ポリシ管理サー
バ３はデータベース１２４から、取得要求のパラメータ
をつかってFTPサーバ２０２に関連するポリシを検索す
る。上述の例では、ポリシ管理サーバ３は、取得要求で
指定されたIPアドレスの、FTPサーバ２０２に適用すべ
きポリシを得るため、登録されている全ポリシ中からIP
アドレスが一致するポリシを検索する。また、ポリシ管
理サーバ３は、FTPサービス２７３に関連するポリシを
検索する。その結果、例えば、予め登録されている以下
のように記述されたポリシが検索結果として得られる。
【０１６４】 <subject name="Trusted remote202"> <location type="IPaddress">2001:298:200:c1::2/128</location> </subject> <target name="ftpInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>21</port> </target> <policy name="pol1"> <subject>Trusted remote202</subject> <target>ftpInHome</target> <condition>ALLWAYS</condition> </policy>
【０１６５】ポリシ管理サーバ３は、上述したような検
索結果のポリシをFTPサーバ２０２に対して供給する。
【０１６６】FTPサーバ２０２は、このポリシを取得し
て、適用する。これにより、FTPサーバ２０２は、同一
ネットワークセグメントからのアクセスを許可するポリ
シに加えて、特定のIPaddressからのFTPサービス２７３
へのアクセスを許可するようなパケットフィルタ２７１
の設定を行う。
【０１６７】つぎに、照明装置２０１のアクセス制御の
設定を行う動作を説明する。処理の流れは、FTPサーバ
２０２の設定を行う処理の流れと基本的に同様である。
【０１６８】照明装置２０１は、ポリシ管理サーバ３に
対してポリシ取得要求を供給する。パラメータには照明
装置２０１がSOAPサービス２５３を有していることを表
す情報が含まれる。
【０１６９】取得要求は、HTTPが利用され、以下のよう
なHTTPリクエストにより、照明装置２０１がSOAPサーバ
機能を持っていることを示している。
【０１７０】POST /cgi-bin/policy.cgi HTTP/1.0 Host: polserver.homenet.or.jp servtype=soap
【０１７１】ポリシ管理サーバ３は、照明装置２０１か
ら供給された要求情報を取得し、その要求に基づいて、
データベース１２４から、取得要求のパラメータをつか
ってSOAPサービスに関連するポリシを検索する。その結
果、予め登録された以下のように記述されたポリシが検
索結果として得られる。
【０１７２】 <subject name="Trusted remote203"> <location type="IPaddress">2001:298:200:c1::2/128</location> </subject> <target name="soapInHome"> <location>LOCAL</location> <proto>tcp</proto> <port>80</port> </target> <policy name="pol1"> <subject>Trusted remote203</subject> <target>soapInHome</target> <condition>ALLWAYS</condition> </policy>
【０１７３】ポリシ管理サーバ３は、上述したような検
索結果のポリシを照明装置２０１に対して供給する。
【０１７４】照明装置２０１は、このポリシを取得する
と適用する。照明装置２０１は、同一ネットワークセグ
メントからのアクセスを許可するポリシに加えて、特定
のIPaddressからのSOAPサービス２５３へのアクセスを
許可するような パケットフィルタ２５１の設定を行
う。
【０１７５】以上のように設定することで、外部端末装
置２０３のユーザは、ローカルエリアネットワーク２Ａ
に接続されたFTPサーバ２０２が有するFTPサービス２７
３にアクセスして、コンテンツを取得することが可能に
なる。
【０１７６】また、外部端末装置２０３のユーザは、ロ
ーカルエリアネットワーク２Ａに接続された照明装置２
０１が有するSOAPサービス２５３にアクセスして、照明
装置２０１の点灯、消灯などの操作を行うことができる
ようになる。
【０１７７】以上のように、ローカルエリアネットワー
ク２Ａに接続された端末機器が、それぞれ提供するサー
ビスの種類に応じて異なるポリシを取得し、適用するこ
とでローカルエリアネットワーク２Ａの利用者の意図に
沿ったアクセス制御を行うための設定ができる。
【０１７８】一連の処理をソフトウェアにより実行させ
る場合には、そのソフトウェアを構成するプログラム
が、専用のハードウエアに組み込まれているコンピュー
タ、または、各種のプログラムをインストールすること
で、各種の機能を実行することが可能な、例えば汎用の
パーソナルコンピュータなどに、ネットワークや記録媒
体からインストールされる。
【０１７９】この記録媒体は、図２および図３に示すよ
うに、装置本体とは別に、ユーザにプログラムを提供す
るために配布される、プログラムが記録されている磁気
ディスク４１および８１（フロッピディスクを含む）、
光ディスク４２および８２（CD-ROM(Compact Disc-Read
Only Memory),DVD(Digital Versatile Disc)を含
む）、光磁気ディスク４３および８３（ＭＤ（Mini-Dis
c）を含む）、もしくは半導体メモリ４４および８４な
どよりなるパッケージメディアにより構成されるだけで
なく、装置本体に予め組み込まれた状態でユーザに提供
される、プログラムが記録されているCPU１１および５
１に内蔵されているROMなどで構成される。
【０１８０】なお、本明細書において、記録媒体に記録
されるプログラムを記述するステップは、記載された順
序に沿って時系列的に行われる処理はもちろん、必ずし
も時系列的に処理されなくとも、並列的あるいは個別に
実行される処理をも含むものである。
【０１８１】また、本明細書において、システムとは、
複数の装置により構成される装置全体を表すものであ
る。
【０１８２】
【発明の効果】以上のように、本発明のネットワークシ
ステムによれば、それぞれ異なるアクセス制御の仕組み
を有する複数の端末装置が接続されたネットワークにお
いても、すべての端末装置に対して、アクセス制御の設
定を容易に行うことができる。
【０１８３】本発明の第１の情報処理装置および方法、
記録媒体、並びにプログラムによれば、同一のネットワ
ークに接続された端末装置のネットワーク上におけるア
クセス制御の設定を容易に行うことができる。
【０１８４】本発明の第２の情報処理装置および方法、
記録媒体、並びにプログラムによれば、予め定められた
基本的なアクセス制御の設定を容易に行うことができ
る。
【図面の簡単な説明】
【図１】本発明を適用したアクセス制御管理システムの
構成例を表している。
【図２】端末装置の構成例を示すブロック図である。
【図３】ポリシ管理サーバの構成例を示すブロック図で
ある。
【図４】端末装置が有する機能の例を示す機能ブロック
図である。
【図５】ポリシ管理サーバが有する機能の例を示す機能
ブロック図である。
【図６】端末装置によるアクセス制御設定処理について
説明するフローチャートである。
【図７】図６のステップＳ１において実行されるIPアド
レス設定処理について説明するフローチャートである。
【図８】図６のステップＳ４、およびステップＳ１３に
おいて実行されるポリシ適用処理の詳細について説明す
るフローチャートである。
【図９】図６のステップＳ７において、ポリシ管理サー
バによるアクセス制御設定処理について説明するフロー
チャートである。
【図１０】端末装置がSSL機能を有する場合の機能の構
成例を示す機能ブロック図である。
【図１１】端末装置によるポリシ適用処理を説明するフ
ローチャートである。
【図１２】端末装置がIKE機能を有する場合の機能の構
成例を示す機能ブロック図である。
【図１３】端末装置によるポリシ適用処理を説明するフ
ローチャートである。
【図１４】IKEの処理のうち、Phase 1の部分における処
理について説明するフローチャートである。
【図１５】本発明を適用したアクセス制御管理システム
の他の例を示す図である。
【図１６】照明装置の構成例を示すブロック図である。
【図１７】照明装置が有する機能の例を示す機能ブロッ
ク図である。
【図１８】FTPサーバが有する機能の例を示す機能ブロ
ック図である。
【図１９】外部端末装置が有する機能の例を示す機能ブ
ロック図である。
【符号の説明】
１ 端末装置， ２ ローカルエリア， ２Ａ ローカ
ルエリアネットワーク， ３ ポリシ管理サーバ， ４
端末装置， ５ ネットワーク， ６ 外部端末装
置， １１ CPU， １２ ROM， １３ RAM， ２３
記憶部， ２４通信部， ５１ CPU， ５２ ROM，
５３ RAM， ６３ 記憶部， ６４通信部， １０
１ パケットフィルタ， １０２ ポリシ管理クライア
ント，１０３ HTTPサービス， １１１ パケットフィ
ルタ用設定プログラム， １１２ ポリシ解析プログラ
ム， １１３ データベース， １２１ GUIプログラ
ム， １２２ HTTPサービス， １２３ ポリシ解析プ
ログラム， １２４データベース， １３１ SSL，
１３２ SSL用設定プログラム， １４１ IKEデーモ
ン， １４２ IKE用設定プログラム， ２０１ 照明
装置， ２０２FTPサーバ， ２０３ 外部端末装置，
２１１ 制御部， ２１２ 照明部，２１３ 入力
部， ２１４ 記憶部， ２１５ 通信部， ２５１
パケットフィルタ， ２５２ ポリシ管理クライアン
ト， ２５３ SOAPサービス， ２６１ パケットフィ
ルタ用設定プログラム， ２６２ ポリシ解析プログラ
ム，２６３ データベース， ２７１ パケットフィル
タ， ２７２ ポリシ管理クライアント， ２７３ FT
Pサービス， ２８１ パケットフィルタ用設定プログ
ラム， ２８２ ポリシ解析プログラム， ２８３ デ
ータベース， ２９１ SOAPクライアント， ２９２
FTPクライアント

Claims (16)

    【特許請求の範囲】
  1. 【請求項１】 第１のネットワークに接続され、前記第
    １のネットワークに接続されている第２のネットワーク
    を介して、他の情報処理装置からの接続要求を受け付け
    る第１の情報処理装置と、 前記第１のネットワークに接続され、前記第１の情報処
    理装置への接続の許可に関する情報を管理する第２の情
    報処理装置とを備えるネットワークシステムであって、 前記第１の情報処理装置は、 前記他の情報処理装置による接続の許可に関する情報か
    らなる第１の許可情報を記憶する第１の記憶手段と、 前記他の情報処理装置による接続の許可に関する情報か
    らなる第２の許可情報を前記第２の情報処理装置に要求
    する要求手段と、 前記第２の情報処理装置より供給された、前記要求手段
    による要求に対応する前記第２の許可情報を取得する取
    得手段と、 前記第１の記憶手段により記憶されている前記第１の許
    可情報、または、前記取得手段により取得された前記第
    ２の許可情報に基づいて、前記他の情報処理装置による
    接続を制御する接続制御手段とを備え、 前記第２の情報処理装置は、 前記第２の許可情報の入力を受け付ける入力受付手段
    と、 前記入力受付手段により入力が受け付けられた前記第２
    の許可情報を記憶する第２の記憶手段と、 前記要求手段による要求に基づいて、前記第２の記憶手
    段により記憶されている前記第２の許可情報を検索する
    検索手段と、 前記検索手段により検索された前記第２の許可情報を前
    記第１の情報処理装置に供給する供給手段とを備えるこ
    とを特徴とするネットワークシステム。
  2. 【請求項２】 前記第１の許可情報は、前記第１の記憶
    手段に予め記憶されている前記第１の情報処理装置に固
    有の許可情報であり、 前記第２の許可情報は、前記第１のネットワークにおけ
    る前記第１の情報処理装置の許可情報であることを特徴
    とする請求項１に記載のネットワークシステム。
  3. 【請求項３】 前記接続制御手段は、前記第１の許可情
    報または前記第２の許可情報として、前記他の情報処理
    装置のアドレス情報に基づいて前記接続を制御すること
    を特徴とする請求項１に記載のネットワークシステム。
  4. 【請求項４】 前記接続制御手段は、前記第１の許可情
    報または前記第２の許可情報として、前記他の情報処理
    装置を操作するユーザに関する情報に基づいて前記接続
    を制御することを特徴とする請求項１に記載のネットワ
    ークシステム。
  5. 【請求項５】 第１のネットワークに接続され、前記第
    １のネットワークに接続されている第２のネットワーク
    を介して、第１の他の情報処理装置からの接続要求を受
    け付ける情報処理装置であって、 前記第１の他の情報処理装置による接続の許可に関する
    情報からなる第１の許可情報を記憶する記憶手段と、 前記第１のネットワークに接続され、前記第１の他の情
    報処理装置による接続の許可に関する情報からなる第２
    の許可情報を有する第２の他の情報処理装置を検索する
    検索手段と、 前記検索手段により検索された前記第２の他の情報処理
    装置に前記第２の許可情報を要求する要求手段と、 前記第２の他の情報処理装置より供給された、前記要求
    手段による要求に対応する前記第２の許可情報を取得す
    る取得手段と、 前記第１の他の情報処理装置による接続を制御する接続
    制御手段と、 前記記憶手段により記憶されている前記第１の許可情
    報、および、前記取得手段により取得された前記第２の
    許可情報に基づいて、前記接続制御手段による制御に関
    する設定を行う第１の設定手段とを備えることを特徴と
    する情報処理装置。
  6. 【請求項６】 前記第１の設定手段は、 前記記憶手段により記憶されている前記第１の許可情
    報、および、前記取得手段により取得された前記第２の
    許可情報より、前記接続制御手段による制御に関する設
    定に用いる許可情報を選択する選択手段と、 前記選択手段により選択された、前記接続制御手段によ
    る制御に関する設定に用いる許可情報に含まれるアドレ
    スに関する設定を行う第２の設定手段と、 前記第２の設定手段により前記アドレスに関する設定が
    行われた前記許可情報に基づいて、前記接続制御手段に
    よる制御に関する設定を行う第３の設定手段とを備える
    ことを特徴とする請求項５に記載の情報処理装置。
  7. 【請求項７】 前記第１の許可情報は、前記記憶手段に
    予め記憶されている固有の許可情報であり、 前記第２の許可情報は、前記ネットワークにおける許可
    情報であることを特徴とする請求項５に記載の情報処理
    装置。
  8. 【請求項８】 前記接続制御手段は、前記第１の許可情
    報または前記第２の許可情報として、前記第１の他の情
    報処理装置のアドレス情報に基づいて前記接続を制御す
    ることを特徴とする請求項５に記載の情報処理装置。
  9. 【請求項９】 前記接続制御手段は、前記第１の許可情
    報または前記第２の許可情報として、前記第１の他の情
    報処理装置を操作するユーザに関する情報に基づいて前
    記接続を制御することを特徴とする請求項５に記載の情
    報処理装置。
  10. 【請求項１０】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている第２のネットワー
    クを介して、第１の他の情報処理装置による接続の許可
    に関する情報からなる第１の許可情報を記憶する記憶部
    を有し、前記第１の他の情報処理装置からの接続要求を
    受け付ける情報処理装置の情報処理方法であって、 前記第１の許可情報の前記記憶部からの取得を制御する
    記憶制御ステップと、 前記第１の他の情報処理装置による接続の許可に関する
    情報からなる第２の許可情報を有する第２の他の情報処
    理装置を検索する検索ステップと、 前記検索ステップの処理により検索された前記第２の他
    の情報処理装置に前記第２の許可情報を要求する要求ス
    テップと、 前記第２の他の情報処理装置より供給された、前記要求
    ステップの処理による要求に対応する前記第２の許可情
    報の取得を制御する取得制御ステップと、 前記第１の他の情報処理装置による接続を制御する接続
    制御ステップと、 前記記憶制御ステップの処理により前記記憶部からの取
    得が制御された前記第１の許可情報、および、前記取得
    制御ステップの処理により取得が制御された前記第２の
    許可情報に基づいて、前記接続制御ステップの処理によ
    る制御に関する設定を行う設定ステップとを含むことを
    特徴とする情報処理方法。
  11. 【請求項１１】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている第２のネットワー
    クを介して、第１の他の情報処理装置による接続の許可
    に関する情報からなる第１の許可情報を記憶する記憶部
    を有し、前記第１の他の情報処理装置からの接続要求を
    受け付ける情報処理装置用のプログラムであって、 前記第１の許可情報の前記記憶部からの取得を制御する
    記憶制御ステップと、 前記第１の他の情報処理装置による接続の許可に関する
    情報からなる第２の許可情報を有する第２の他の情報処
    理装置を検索する検索ステップと、 前記検索ステップの処理により検索された前記第２の他
    の情報処理装置に前記第２の許可情報を要求する要求ス
    テップと、 前記第２の他の情報処理装置より供給された、前記要求
    ステップの処理による要求に対応する前記第２の許可情
    報の取得を制御する取得制御ステップと、 前記第１の他の情報処理装置による接続を制御する接続
    制御ステップと、 前記記憶制御ステップの処理により前記記憶部からの取
    得が制御された前記第１の許可情報、および、前記取得
    制御ステップの処理により取得が制御された前記第２の
    許可情報に基づいて、前記接続制御ステップの処理によ
    る制御に関する設定を行う設定ステップとを含むことを
    特徴とするコンピュータが読み取り可能なプログラムが
    記録されている記録媒体。
  12. 【請求項１２】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている第２のネットワー
    クを介して、第１の他の情報処理装置による接続の許可
    に関する情報からなる第１の許可情報を記憶する記憶部
    を有し、前記第１の他の情報処理装置からの接続要求を
    受け付ける情報処理装置を制御するコンピュータが実行
    可能なプログラムであって、 前記第１の許可情報の前記記憶部からの取得を制御する
    記憶制御ステップと、 前記第１の他の情報処理装置による接続の許可に関する
    情報からなる第２の許可情報を有する第２の他の情報処
    理装置を検索する検索ステップと、 前記検索ステップの処理により検索された前記第２の他
    の情報処理装置に前記第２の許可情報を要求する要求ス
    テップと、 前記第２の他の情報処理装置より供給された、前記要求
    ステップの処理による要求に対応する前記第２の許可情
    報の取得を制御する取得制御ステップと、 前記第１の他の情報処理装置による接続を制御する接続
    制御ステップと、 前記記憶制御ステップの処理により前記記憶部からの取
    得が制御された前記第１の許可情報、および、前記取得
    制御ステップの処理により取得が制御された前記第２の
    許可情報に基づいて、前記接続制御ステップの処理によ
    る制御に関する設定を行う設定ステップとを含むことを
    特徴とするプログラム。
  13. 【請求項１３】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている第２のネットワー
    クを介して、他の情報処理装置への接続の許可に関する
    情報からなる許可情報を管理する情報処理装置であっ
    て、 前記許可情報の入力を受け付ける入力受付手段と、 前記入力受付手段により入力が受け付けられた前記許可
    情報を記憶する記憶手段と、 前記他の情報処理装置による要求に基づいて、前記記憶
    手段により記憶されている前記許可情報を検索する検索
    手段と、 前記検索手段により検索された前記許可情報を前記他の
    情報処理装置に供給する供給手段とを備えることを特徴
    とする情報処理装置。
  14. 【請求項１４】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている第２のネットワー
    クを介して、他の情報処理装置への接続の許可に関する
    情報からなる許可情報を管理する情報処理装置の情報処
    理方法であって、 前記他の情報処理装置による要求に基づいて、前記許可
    情報を検索する検索ステップと、 前記検索ステップの処理により検索された前記許可情報
    の前記他の情報処理装置への供給を制御する供給制御ス
    テップとを備えることを特徴とする情報処理方法。
  15. 【請求項１５】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている第２のネットワー
    クを介して、他の情報処理装置への接続の許可に関する
    情報からなる許可情報を管理する情報処理装置用のプロ
    グラムであって、 前記他の情報処理装置による要求に基づいて、前記許可
    情報を検索する検索ステップと、 前記検索ステップの処理により検索された前記許可情報
    の前記他の情報処理装置への供給を制御する供給制御ス
    テップとを含むことを特徴とするコンピュータが読み取
    り可能なプログラムが記録されている記録媒体。
  16. 【請求項１６】 第１のネットワークに接続され、前記
    第１のネットワークに接続されている前記第２のネット
    ワークを介して、他の情報処理装置への接続の許可に関
    する情報からなる許可情報を管理する情報処理装置を制
    御するコンピュータが実行可能なプログラムであって、 前記他の情報処理装置による要求に基づいて、前記許可
    情報を検索する検索ステップと、 前記検索ステップの処理により検索された前記許可情報
    の前記他の情報処理装置への供給を制御する供給制御ス
    テップとを含むことを特徴とするプログラム。
JP2001379799A 2001-12-13 2001-12-13 ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム Withdrawn JP2003186831A (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2001379799A JP2003186831A (ja) 2001-12-13 2001-12-13 ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2001379799A JP2003186831A (ja) 2001-12-13 2001-12-13 ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム

Publications (1)

Publication Number Publication Date
JP2003186831A true JP2003186831A (ja) 2003-07-04

Family

ID=27591168

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2001379799A Withdrawn JP2003186831A (ja) 2001-12-13 2001-12-13 ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム

Country Status (1)

Country Link
JP (1) JP2003186831A (ja)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005056355A (ja) * 2003-08-07 2005-03-03 Sony Corp 情報処理装置、情報記録媒体再生装置、コンテンツ利用制御システム、および方法、並びにコンピュータ・プログラム
JP2006067314A (ja) * 2004-08-27 2006-03-09 Ntt Docomo Inc アクセス制御リスト生成装置およびアクセス制御リスト生成方法
JP2006221637A (ja) * 2005-02-11 2006-08-24 Samsung Electronics Co Ltd ネットワーク内のコンテンツに対するユーザーアクセス制御システム及び方法
JP2007026412A (ja) * 2004-08-25 2007-02-01 Ricoh Co Ltd 保守仲介装置、保守対象機器の保守方法、保守プログラム、保守プログラムが記録された記録媒体及び保守システム
JP2007052593A (ja) * 2005-08-17 2007-03-01 Canon Inc 画像処理装置およびファイル送信方法
JP2007095034A (ja) * 2005-09-01 2007-04-12 Canon Inc 情報処理装置およびファイル操作の制限方法
JP2007515127A (ja) * 2003-12-19 2007-06-07 マイクロソフト コーポレーション ネットワークでのリソース情報のルーティング
JP2007316780A (ja) * 2006-05-24 2007-12-06 Nec Corp 計算機システム、計算機及びそれらに用いるファイル操作限定方法並びにそのプログラム
CN101917438A (zh) * 2010-08-23 2010-12-15 浪潮(北京)电子信息产业有限公司 在网络通信系统中访问控制方法和系统
JP2020525898A (ja) * 2017-06-29 2020-08-27 アマゾン テクノロジーズ インコーポレイテッド セキュリティポリシーアナライザサービス及び充足可能性エンジン
US11483317B1 (en) 2018-11-30 2022-10-25 Amazon Technologies, Inc. Techniques for analyzing security in computing environments with privilege escalation
US11616800B2 (en) 2017-06-29 2023-03-28 Amazon Technologies, Inc. Security policy analyzer service and satisfiability engine
US20230247081A1 (en) * 2022-01-31 2023-08-03 Salesforce.Com, Inc. Declarative rendering of hypertext transfer protocol headers

Cited By (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005056355A (ja) * 2003-08-07 2005-03-03 Sony Corp 情報処理装置、情報記録媒体再生装置、コンテンツ利用制御システム、および方法、並びにコンピュータ・プログラム
JP4547880B2 (ja) * 2003-08-07 2010-09-22 ソニー株式会社 情報処理装置、情報記録媒体再生装置、コンテンツ利用制御システム、および方法、並びにコンピュータ・プログラム
JP2007515127A (ja) * 2003-12-19 2007-06-07 マイクロソフト コーポレーション ネットワークでのリソース情報のルーティング
JP2007026412A (ja) * 2004-08-25 2007-02-01 Ricoh Co Ltd 保守仲介装置、保守対象機器の保守方法、保守プログラム、保守プログラムが記録された記録媒体及び保守システム
JP2006067314A (ja) * 2004-08-27 2006-03-09 Ntt Docomo Inc アクセス制御リスト生成装置およびアクセス制御リスト生成方法
JP2006221637A (ja) * 2005-02-11 2006-08-24 Samsung Electronics Co Ltd ネットワーク内のコンテンツに対するユーザーアクセス制御システム及び方法
JP2007052593A (ja) * 2005-08-17 2007-03-01 Canon Inc 画像処理装置およびファイル送信方法
JP4642597B2 (ja) * 2005-08-17 2011-03-02 キヤノン株式会社 画像処理装置およびファイル送信方法
US8169668B2 (en) 2005-08-17 2012-05-01 Canon Kabushiki Kaisha Image processing apparatus and file transmission method
JP2007095034A (ja) * 2005-09-01 2007-04-12 Canon Inc 情報処理装置およびファイル操作の制限方法
US8237939B2 (en) 2005-09-01 2012-08-07 Canon Kabushiki Kaisha Apparatus and method for restricting file operations
US8334991B2 (en) 2005-09-01 2012-12-18 Canon Kabushiki Kaisha Apparatus and method for restricting file operations
JP2007316780A (ja) * 2006-05-24 2007-12-06 Nec Corp 計算機システム、計算機及びそれらに用いるファイル操作限定方法並びにそのプログラム
CN101917438A (zh) * 2010-08-23 2010-12-15 浪潮(北京)电子信息产业有限公司 在网络通信系统中访问控制方法和系统
JP2020525898A (ja) * 2017-06-29 2020-08-27 アマゾン テクノロジーズ インコーポレイテッド セキュリティポリシーアナライザサービス及び充足可能性エンジン
US11616800B2 (en) 2017-06-29 2023-03-28 Amazon Technologies, Inc. Security policy analyzer service and satisfiability engine
US11483317B1 (en) 2018-11-30 2022-10-25 Amazon Technologies, Inc. Techniques for analyzing security in computing environments with privilege escalation
US20230247081A1 (en) * 2022-01-31 2023-08-03 Salesforce.Com, Inc. Declarative rendering of hypertext transfer protocol headers

Similar Documents

Publication Publication Date Title
US7631181B2 (en) Communication apparatus and method, and program for applying security policy
US8200818B2 (en) System providing internet access management with router-based policy enforcement
JP4260116B2 (ja) 安全な仮想プライベート・ネットワーク
KR101038612B1 (ko) 정보 처리 장치, 및 정보 처리 방법
US8776208B2 (en) Incorporating network connection security levels into firewall rules
US7540013B2 (en) System and methodology for protecting new computers by applying a preconfigured security update policy
US8037538B2 (en) Access control processing method
US7636936B2 (en) Administration of protection of data accessible by a mobile device
US7778193B2 (en) Residential network setting method, home gateway apparatus, home gateway program, and recording medium
US7831997B2 (en) Secure and automatic provisioning of computer systems having embedded network devices
US20210136037A1 (en) Endpoint security domain name server agent
JP2008160851A (ja) クライアントの地理的位置を使用して保護スイートを決定するネットワークで実施される方法
JP2003186831A (ja) ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム
JP2005072636A (ja) 通信システム、同通信システムにおけるセキュリティポリシーの配布方法、サーバ装置、ならびにセキュリティポリシーの配布プログラム
JPWO2002067512A1 (ja) 通信のセキュリティを確保するためのパケットフィルタリング方法およびパケット通信システム
CN112039905A (zh) 基于反向连接的网络通信方法、装置及电子设备和介质
US8312155B2 (en) Service publication restriction apparatus, method, and computer-readable storage medium
JP4429059B2 (ja) 通信制御方法及びプログラム、並びに通信制御システム及び通信制御関連装置
JP3649440B2 (ja) クライアント機器への接続をルーティングするためのサーバ
JP4775154B2 (ja) 通信システム、端末装置、プログラム、及び、通信方法
JP2004078280A (ja) リモートアクセス仲介システム及び方法
US11736516B2 (en) SSL/TLS spoofing using tags
Cisco Configuring Digital Certification
JP6591504B2 (ja) パケットフィルタリング装置
JP2003242122A (ja) ネットワークシステム、情報処理装置および方法、記録媒体、並びにプログラム

Legal Events

Date Code Title Description
A300 Application deemed to be withdrawn because no request for examination was validly filed

Free format text: JAPANESE INTERMEDIATE CODE: A300

Effective date: 20050301