JP2004110335A

JP2004110335A - アクセス制御システム

Info

Publication number: JP2004110335A
Application number: JP2002271064A
Authority: JP
Inventors: Hideaki Yanagihara; 柳原　秀明
Original assignee: Fuji Electric Systems Co Ltd
Current assignee: Fuji Electric Co Ltd
Priority date: 2002-09-18
Filing date: 2002-09-18
Publication date: 2004-04-08

Abstract

【課題】Ｗｅｂのアクセス制御をより容易に導入できるようなアクセス制御システムを提供する。
【解決手段】Ｗｅｂサーバ１０３のアクセス制御フィルタモジュール２０６は、仮想パス名情報テーブル２０２から仮想パス名配列２１０を予め生成して登録する。端末装置１０４からアクセスがあったとき、認証サーバ１０２がアクセス権情報テーブル２０３に基づいてアクセス権情報を含むチケット２０５を生成して端末装置１０４へ送信する。端末装置１０４はチケット２０５をＷｅｂサーバ１０３へ送信し、アクセス制御フィルタモジュール２０６が、チケット２０５と仮想パス名配列２１０とを参照し、アクセス権情報でアクセス可能と指定された仮想ファイルのみアクセスを許可する。
【選択図】　図２

Description

【０００１】
【発明の属する技術分野】
本発明は、ネットワークを通じて行われるＷｅｂサーバへのアクセスを制御するアクセス制御システムに関する。
【０００２】
【従来の技術】
近年のコンピュータのネットワーク化に伴い、サーバなどに保管される電子化されたファイルへもネットワークを介してアクセスできるようになった。このようなファイルは、例えば従業員のプライバシーに関わるものなど機密性の高い情報などもある。このような事情から、サーバにアクセスするユーザの権限などに応じてサーバへのアクセスを制限するようなアクセス制御方式が必要である。
【０００３】
従来技術のアクセス制御方式は、例えば、通常のオペレーティングシステムのアクセス制御方式や、サーバへのアクセス方式の主流であるＷｏｒｌｄ　Ｗｉｄｅ　Ｗｅｂ（以降、Ｗｅｂと呼ぶ）のアクセス制御方式などが知られている。
【０００４】
オペレーティングシステムのアクセス制御方式では、ログイン時に入力されるアカウント（ユーザを特定するための情報）によりファイルへのアクセス制御を行っている。この場合、アカウントによりユーザが特定できるため、ユーザ別のアクセス制御は容易である。
【０００５】
一方、Ｗｅｂのアクセス制御方式は、インターネットなど不特定のユーザによるアクセスを可能とするため、Ｗｅｂサーバ内の参照可能に設定された仮想的なファイル（以降、仮想ファイルと記す）に対して、匿名ユーザ用に割り当てられたアカウントによりアクセスが行えるようになっている。このような仮想ファイルには、アクセスに制限がない。
【０００６】
しかしながら、Ｗｅｂのアクセス制御方式でも、ユーザ毎にアカウントを設け、そのアカウントごとに権限を設定し、その権限に応じて仮想ファイルに対するアクセス制御できるものもある。
このようなアクセス制御は、Ｗｅｂサービス内のアプリケーション・プログラムに、ユーザに権限に応じたアクセス制御を行う機能を持たせることで実現していた。
このようなＷｅｂ方式のアクセス制御方式に関する従来技術として、例えば、非特許文献１のｐｐ．３８−３９に記載された「３．２．２Ｊａｖａ（登録商標）２　Ｐｌａｔｆｏｒｍ　Ｅｎｔｅｒｐｒｉｓｅ　Ｅｄｉｔｉｏｎ（以下、Ｊ２ＥＥと略記する）の“アクセス制御”に記載されている技術がある。
【０００７】
以下に非特許文献１から該当個所の記載を引用しつつ説明する。
「（２）アクセス制御方式
認証された呼出し者アイデンティティだけに、コンポーネントへのアクセスを許す。Ｊ２ＥＥアーキテクチャでは、認証に成功したコンテキストによる呼出しでは、コンテナが、呼出し者のクリデンシャル（ｃｒｅｄｅｎｔｉａｌ；Ｘ。５０９証明書やｋｅｒｂｅｒｏｓのサービスチケットなど）のセキュリティ属性と、対象コンポーネントに対するアクセス制御規則を比較し、規則が満足された場合、呼出が許可される。アクセス制御規則には次の２種類がある。
・宣言型アクセス制御
デプロイヤがデプロイツールを用いて、アプリケーションアセンブラから提供されるアプリケーション許可モデルを、実行環境で特定されるポリシーとメカニズムにマップする。アプリケーション許可モデルはデプロイメントディスクリプタに記述される。記述される内容はセキュリティロールと呼ばれる論理的な特権と、その特権とコンポーネントの関係である。コンポーネントのメソッド単位で設定可能である。
・プログラム型アクセス制御
プログラムにアクセス制御のためのコードを埋め込む方法である。この方法により、より粒度の細かいアクセス制御が可能となる。特権とセキュリティロールの関係付けは前者と同じくデプロイメントディスクリプタ内で定義される。」
Ｊ２ＥＥのアクセス制御方式はこのようになる。
【０００８】
さらに具体的に説明する。
Ｊ２ＥＥのＫｅｒｂｅｒｏｓプロトコルは、図４で示す手順で認証を受けている。
１．ＫＤＣ（Ｋｅｙ　ｄｉｓｔｒｉｂｕｔｉｏｎ　Ｃｅｎｔｅｒ：鍵配布センター）クライアント１０が、ＫＤＣサーバ２０の認証サーバ２０ａにログイン・セッション証明書を要求する。
２．認証サーバ２０ａは、チケット付与チケットとログイン・セッション鍵をＫＤＣクライアント１０へ返信する。
【０００９】
３．ＫＤＣクライアント１０は、ＫＤＣサーバ２０のチケット付与サーバ２０ｂにチケット付与チケットと認証メッセージとを提出し、アプリケーション・サーバ３０用の証明書を要求する。
４．チケット付与サーバ２０ｂは、ＫＤＣクライアント１０へチケットとセッション鍵を返信する。
【００１０】
５．アプリケーション・クライアント１０（＝ＫＤＣクライアント）は、チケットをアプリケーション・サーバ３０に提出し、認証メッセージによりサービスを要求する。
６．アプリケーション・サーバ３０は、認証メッセージをアプリケーション・クライアント１０へ送信する（相互検証が必須の場合）。
このようにしてアクセスの可否を判定している。
【００１１】
そして、Ｊ２ＥＥでは、デプロイメントディスクリプタによりアクセス可能なコンポーネントまたはメソッドを設定することができる。
従来技術（Ｊ２ＥＥ）によるアクセス制御はこのようなものである。
【００１２】
【非特許文献１】
「ＩＴプラットフォームにおけるセキュリティ機能の調査」、電子商取引推進協議会平成１２年度セキュリティＷＧ成果報告書、ｐｐ．３８−３９
【００１３】
【発明が解決しようとする課題】
上記したＫｅｒｂｅｒｏｓプロトコルでは、認証からサーバへのアクセスまで手順が複雑であり、簡略化が難しいという問題点があった。
【００１４】
また、Ｊ２ＥＥのプログラムでは、デプロイメントディスクリプタ内でアクセス権限を定義する必要があった。これは、例えば、Ｗｅｂサーバにおいてユーザのアクセスを設定する必要が生じることとなるが、全てのＷｅｂサーバで多数のユーザ毎に多数の仮想ファイルのアクセスを制御するのは、効率的ではなく、様々なアクセス制限に応じたきめ細やかなアクセス制御を実現しようとする場合、アクセス制御機能の組み込みが容易ではなかった。
【００１５】
また、仮想ディレクトリ単位でのアクセス制御を行うことにより、仮想ディレクトリ下にある仮想ファイルを一括してアクセス制御の対象とするようにして、Ｗｅｂサーバで仮想ディレクトリ単位・仮想ファイル単位でのアクセスの可否の管理を行えるようにしたいという要請があった。
【００１６】
本発明は、上記した課題を解決するためになされたものであり、その目的は、Ｗｅｂのアクセス制御をより容易に導入できるようなアクセス制御システムを提供することにある。
【００１７】
【課題を解決するための手段】
上記課題を解決するために、請求項１記載のアクセス制御システムによれば、
端末装置、認証サーバ、および、Ｗｅｂサーバがネットワークを介して接続され、認証サーバによりＷｅｂサーバへのアクセスが認証されたユーザに対して、Ｗｅｂサーバへのアクセスを仮想ディレクトリ・仮想ファイル毎に制御するアクセス制御システムであって、
一のアクセス先番号に対して一または複数の仮想パス名を関連づけて登録した仮想パス名情報テーブルと、ユーザそれぞれに対してアクセス先番号毎のアクセスの可否が設定されたアクセス権情報を登録したアクセス権情報テーブルと、を含むデータベースの読み出しができるようになされ、
仮想パス名情報テーブルを参照し、仮想パス名をキーと、また、アクセス先番号を要素として対応させた配列である仮想パス名配列を予め生成して登録するＷｅｂサーバの配列生成手段と、
端末装置を通じてアクセスしたユーザの認証を行うとともに、アクセス権情報テーブルを参照して認証を受けるユーザに設定されたアクセス権情報を含むチケットを発行し、このチケットを端末装置へ送信する認証サーバのチケット発行手段と、
アクセス先の指定とともに端末装置から送信されるチケットを受信し、アクセス先を指定する仮想パス名と、仮想パス名配列に含まれるキーと、を比較して一致する要素を選択し、この要素がチケットのアクセス権情報でアクセスが許可されたアクセス先番号と一致する場合にＷｅｂサーバの仮想ファイルへのアクセスを許可するＷｅｂサーバのアクセス制御手段と、
を備えることを特徴とする。
【００１８】
また、請求項２記載のアクセス制御システムによれば、
請求項１記載のアクセス制御システムにおいて、
前記チケットは、文字列情報を格納したファイルであるｃｏｏｋｉｅとすることを特徴とする。
【００１９】
【発明の実施の形態】
以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。図１は本実施形態によるアクセス制御システムの構成図、図２は仮想ファイルへのアクセス制御の説明図、図３はアクセス制御フィルタモジュールにおけるアクセス制御の処理手順を示すフローチャートである。
【００２０】
アクセス制御システム１００は、図１に示すように、ネットワーク１０１、認証サーバ１０２、Ｗｅｂサーバ１０３、端末装置（Ｗｅｂブラウザ）１０４を備えている。
【００２１】
ネットワーク１０１は、ＴＣＰ／ＩＰにより通信を行えるようになされた通信回線であり、例えば、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）とＷＡＮ（Ｗｉｄｅ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）の組み合わせや、ＬＡＮとＷＡＮ以外にもインターネットなども含むようなネットワークであってもよい。
【００２２】
認証サーバ１０２は、ユーザの認証を行うためのサーバである。
認証サーバ１０２は、図２で示すように、データベース２０１を備えている。
データベース２０１には、認証用の各種情報が登録されており、具体的には、仮想パス名情報テーブル２０２、アクセス権情報テーブル２０３、個人情報管理テーブル（図示せず）等が登録されている。
【００２３】
仮想パス名情報テーブル２０２には、アクセス先番号に対してＷｅｂサーバ１０３内の仮想ファイル・仮想ディレクトリのパス名（以降、仮想パス名と記す）を割り当てて設定登録するテーブルである。
なお、一のアクセス先番号に対して複数の仮想パス名を設定してもよい。例えば、図２のアクセス先番号３では二経路の仮想パス名（“／ＡＰＰ３／”と“／ｔｏｐ３．ｈｔｍｌ”）が割り当てられている。
【００２４】
アクセス権情報テーブル２０３には、それぞれのユーザに対して、アクセス先番号毎のアクセス権情報を設定する。図２のアクセス権情報テーブル２０３中の「○」はアクセス権があることを表し「×」はアクセス権がないことを表している。
例えばユーザＡは、アクセス先番号１，２の仮想ファイルへはアクセスできるが、アクセス先番号３への仮想ファイルへはアクセスできない。
【００２５】
この認証サーバ１０２は、プログラムである認証モジュール２０４が搭載されている。認証モジュール２０４は、図示しない個人情報管理テーブル等を参照してユーザの登録の有無を検証し、ユーザを認証する。登録があるユーザはＷｅｂサーバ１０３への重要な仮想ファイルへのアクセスが許されたユーザであり、また、登録がないユーザは重要な仮想ファイルへのアクセスが許されていないユーザである。
【００２６】
なお、図２で示したように認証サーバ１０２とデータベース２０１とが一体となる構成に代えて、図示しないが、認証サーバ１０２と物理的に分離されるデータベースサーバを設置してもよい。また、認証サーバ１０２は２台以上のサーバで構成してもよい。これら構成は適宜選択される。
【００２７】
Ｗｅｂサーバ１０３は、各種のサービスを提供するサーバであり、図１で示すように複数台接続されている。このＷｅｂサーバ１０３では、一または複数の仮想ファイルが保存されている。本明細書では、仮想ファイルとはＷｅｂページを提供するためのファイルであり、例えば、ＨＴＭＬ（　ＨｙｐｅｒＴｅｘｔ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ファイル、ＸＭＬ（ｅＸｔｅｎｓｉｂｌｅ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ファイル、ＸＨＴＭＬ（ｅＸｔｅｎｓｉｂｌｅ　ＨｙｐｅｒＴｅｘｔ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ファイル、ＤＨＴＭＬ（Ｄｙｎａｍｉｃ　ＨｙｐｅｒＴｅｘｔ　Ｍａｒｋｕｐ　Ｌａｎｇｕａｇｅ）ファイル、または、アプリケーションプログラムである実行可能ファイルを指すものとして説明する。
【００２８】
これらＷｅｂサーバ１０３では、Ｗｅｂサイトを構成するファイルを収容するための仮想ルートディレクトリがそれぞれ設定される。この仮想ルートディレクトリの下位に仮想ディレクトリ・仮想ファイルが設定されている。
これら仮想ディレクトリ・仮想ファイルは、実ディレクトリ・実ファイルとは相違していることから仮想と呼ばれる。
【００２９】
なお、図２で示すように、Ｗｅｂサーバ１０３には、第１仮想ファイル２０７，第２仮想ファイル２０８，第３仮想ファイル２０９が保存され、ユーザによってはアクセスするのが望ましくない仮想ファイルが含まれているものとする。
例えば、企業等において構築されるネットワークであって、人事情報等が記録された仮想ファイルは、ユーザの役職別または組織別にアクセス権が付与され、一般従業員によるアクセスが制限される。このような仮想ファイルは、プログラムであるアクセス制御フィルタモジュール２０６によりアクセスが制御される。
【００３０】
端末装置１０４は、例えば、パーソナルコンピュータや携帯型の情報端末であり、Ｗｅｂブラウザを搭載したクライアントである。なお、形態等について特に限定するものではないが、少なくともＴＣＰ／ＩＰによる通信機能を有するものであれば良い。
【００３１】
続いて、本アクセス制御システムによるアクセス制御について図２，図３を参照しつつ説明する。
本実施形態によるアクセス制御では、第１仮想ファイル２０７、第２仮想ファイル２０８、第３仮想ファイル２０９へのアクセスをユーザ別に制御するため、ユーザ別にアクセス可能な仮想ファイルや仮想ディレクトリである仮想パス名を設定する。その設定情報は、認証サーバ１０２のデータベース２０１内で管理する仮想パス名情報テーブル２０２とアクセス権情報テーブル２０３とに格納されている。
【００３２】
まず、Ｗｅｂサーバ１０３は、予め認証サーバ１０２にアクセスして仮想パス名情報デーブル２０２に登録されているデータを読み出す。この取得したデータに基づいて、アクセス制御フィルタモジュール２０６は、仮想パス名配列２１０を生成する。
【００３３】
この仮想パス配列２１０は、取得した仮想パス名情報テーブル２０２の仮想パス名を配列のキーとし、また、アクセス先番号を配列の要素（値）として格納したデータである。
このような取得は、例えば、システム立ち上げ時や、システム立ち上げ後は定時に行ったり、または、データベース２０１の更新時などに行われ、常時最新のデータが仮想パス名配列２１０として登録されているようにする。
【００３４】
このような状況下、ユーザＡが端末装置１０４を操作してＷｅｂサーバ１０３の第１仮想ファイル２０７、第２仮想ファイル２０８、第３仮想２０９にアクセスを試みるものとする。
まず始めに、ユーザＡは端末装置１０４のＷｅｂブラウザを操作し、認証サーバ１０２にアクセスして認証処理を行う。
端末装置１０４は、ユーザＡを特定するためのアカウント、つまり個人情報特定データを認証サーバ１０２へ送信する。この個人情報特定データとは、例えば、予め付与されたＩＤ、パスワードなど個人を特定するために必要なデータである。
【００３５】
認証サーバ１０２の認証モジュール２０４は、端末装置１０４から個人情報特定データが入力された場合、予め登録されている個人情報特定データベース（図示せず）の個人情報特定データと比較してユーザＡが登録されているか否かを判断し、登録されている場合にユーザＡを認証し、ユーザＡを認証する認証情報（具体的には認証データ）をチケット２０５に書き込む。
【００３６】
さらに、認証モジュール２０４は、アクセス権情報テーブル２０３を参照し、認証したユーザＡに対応して登録されているアクセス先番号毎のアクセス権情報も、チケット２０５に書き込む。
ユーザＡの場合は、アクセス先番号１，２へはアクセス可能であることを示す情報、アクセス先番号３へはアクセス不可であることを示す情報（具体的にはアクセス権データ）である。
認証サーバ１０２は、認証情報とアクセス権情報とを含むチケット２０５を端末装置１０４に送信する。
【００３７】
本実施形態では、チケット２０５の発行に、ファイルの一種であって、Ｗｅｂ技術で利用されているＣｏｏｋｉｅを用いている。
Ｃｏｏｋｉｅでは、そのパラメータであるｄｏｍａｉｎとして、アクセス対象となる複数のＷｅｂサーバ１０３のドメイン名に対し最も上位のドメイン名を設定する。それにより、端末装置１０４からＷｅｂサーバ１０３へアクセスする場合には、端末装置１０４から認証サーバ１０２より発行されたチケット２０５を送信できるようにしている。
また、Ｃｏｏｋｉｅのパラメータｐａｔｈには、Ｗｅｂサーバ１０３内の仮想ファイルの全てでチケット２０５を参照できるようにルートパスを設定している。
【００３８】
続いて、チケット２０５が送信された後、端末装置１０４のＷｅｂブラウザを操作してＷｅｂサーバ１０３の第１，第２，第３の仮想ファイルの何れかのＵＲＬを指定すると、端末装置１０４はＷｅｂサーバ１０３にアクセスするとともに、受信したチケット２０５をＷｅｂサーバ１０３に送信する。
【００３９】
Ｗｅｂサーバ１０３のアクセス制御フィルタモジュール２０６は、端末装置１０４からＷｅｂサーバ１０３へのアクセス時に、端末装置１０４とＷｅｂサーバ１０３内の仮想ファイルとの間をフィルタリングする形でアクセス制御を行う。本実施形態によるアクセス制御システムでは、Ｗｅｂサーバ１０３に搭載されたＣＰＵが、そのアクセス制御フィルタモジュール２０６を実行することで実現される。
【００４０】
アクセス制御フィルタモジュール２０６は、仮想パス名配列２１０と、端末装置１０４で指定されたＵＲＬに含まれるアクセス先の仮想パス名と、チケット２０５に含まれるアクセス権情報２１１と、を参照してアクセス制御を実施する。
【００４１】
次に、図２に示すようなアクセス制御を実現させるアクセス制御フィルタモジュール２０６の動作について、図３のフローチャートを参照しつつ説明する。図３は、認証サーバ１０２にて認証されたユーザＡが端末装置１０４からＷｅｂサーバ１０３へアクセスした際の、アクセス制御フィルタモジュール２０６における、アクセス制御の処理手順を示している。
【００４２】
ステップＳ１では、端末装置１０４からのアクセス要求を受信すると、ＵＲＬからアクセス先の仮想パス名を調べる。
ステップＳ２では、その仮想パス名が仮想パス名配列２１０のキーとして存在するか調べ、存在しない場合はステップＳ３に進み、存在するならばステップＳ６へジャンプする。
【００４３】
アクセス先の仮想パス名が仮想パス名配列２１０のキーとして存在しない場合に、ステップＳ３では、さらにその仮想パス名の上位ディレクトリ名が存在するか否かを調べ、上位ディレクトリ名が存在する場合にはステップＳ４へ進むが、上位ディレクトリ名が存在しない場合には仮想パス名情報テーブル２０２に設定された仮想ファイルまたは仮想ディレクトリに一致しないためアクセス不可であると判定してフローから抜ける。なお、このような場合であっても、アクセス可と設定してもよい。
【００４４】
ステップＳ３で上位ディレクトリ名があると判断された場合、ステップＳ４ではその上位ディレクトリ名を調べる。ステップＳ５ではその上位のディレクトリ名がキーに含まれているかを判定し、含まれている場合にはステップＳ６の先頭へジャンプし、含まれていない場合にはステップＳ３の先頭に戻ってさらに上位のディレクトリ名が存在するか否かを調査する。
【００４５】
ステップＳ２でアクセス先の仮想パス名がキーに含まれていると判断された場合、および、ステップＳ５で上位のディレクトリ名がキーに含まれていると判断された場合、ステップＳ６では、仮想パス名配列２１０を調べて、その一致したキーに対応する要素を調べる。この要素はアクセス先番号と一致している。
【００４６】
ステップＳ７では、その要素とチケットのアクセス権情報２１１とを比較し、アクセス権があるか否かについて判断する。要素に対応するアクセス先番号にアクセス権がある場合はアクセスを許可し、アクセス権がない場合はアクセスを拒否する。
【００４７】
アクセスが許可された場合、所望の仮想ファイルが端末装置１０４に送信されてＷｅｂブラウザに表示される。
アクセスが拒否された場合、アクセス制御フィルタモジュール２０６は、アクセスが拒否されたことを表示する表示データを返信し、端末装置１０４のＷｅｂブラウザでユーザＡが確認する。
【００４８】
例えば、図２で示すユーザＡの端末送信１０４からは、アクセス先番号１として設定されている仮想パス名“／ＡＰＰ１／ｉｎｄｅｘ．ｈｔｍｌ”の第１仮想ファイル２０７や、アクセス先番号２として設定されている仮想パス名“／ＡＰＰ２／”以下にある多数の第２仮想ファイル２０８にアクセスできるが、アクセス先番号３として設定されている仮想パス名“／ＡＰＰ３／”や“／ｔｏｐ．ｈｔｍｌ”である第３仮想ファイル２０９にアクセスできない。
【００４９】
以上説明した本実施形態では、アクセス制御フィルタモジュール２０６がＷｅｂサーバ１０３またはこのＷｅｂサーバ１０３内のアプリケーションプログラムに代わってアクセス制御を自動的に行う。このため、Ｗｅｂサーバ１０３内のアプリケーションプログラムがアクセス制御の機能を実装していなくとも、アクセス制御に対応することができる。
【００５０】
このようなアクセス制御システムを実現させるアクセス制御フィルタモジュール２０６のようなプログラムは、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、或いは磁気テープなどの記録媒体に記録させて配布してもよい。記録媒体は、プログラムを配信する装置がアクセスできるものであってもよい。
または、ネットワークを介して、そのプログラムの一部、もしくは、全部を配信するようにしてもよい。
ユーザはプログラムを取得してコンピュータなどのＷｅｂサーバにインストールすることができる。
【００５１】
【発明の効果】
以上説明した本発明のアクセス制御システムは、より容易、且つ低コストでＷｅｂのアクセス制御を実現することが可能となる。Ｗｅｂアプリケーションプログラムを新たに開発する場合であっても、アクセス制御を必ずしも実装させる必要がなくなるため、Ｗｅｂアプリケーションプログラムの開発コストの向上を抑えることになる。
【００５２】
また、Ｗｅｂサーバはアクセス制御フィルタモジュールをインストールするのみであり、その後のユーザの変更・追加、アクセス先番号の変更等の設定の変更はデータベースを更新するのみでよく、運用が容易である。
【００５３】
このように、Ｗｅｂのアクセス制御をより容易に導入できるようなアクセス制御システムを提供することができる。
【図面の簡単な説明】
【図１】本発明の実施形態によるアクセス制御システムの構成図である。
【図２】仮想ファイルへのアクセス制御の説明図である。
【図３】アクセス制御フィルタモジュールにおけるアクセス制御の処理手順を示すフローチャートである。
【図４】Ｋｅｒｂｅｒｏｓプロトコルを説明する説明図である。
【符号の説明】
１０　　アプリケーション・クライアント（ＫＤＣクライアント）
２０　　ＫＤＣサーバ
２０ａ　認証サーバ
２０ｂ　チケット付与サーバ
３０　　アプリケーション・サーバ
１００　　アクセス制御システム
１０１　　ネットワーク
１０２　　認証サーバ
１０３　　Ｗｅｂサーバ
１０４　　端末装置（Ｗｅｂブラウザ）
２０１　　データベース
２０２　　仮想パス名情報テーブル
２０３　　アクセス権情報テーブル
２０４　　認証モジュール
２０５　　チケット
２０６　　アクセス制御フィルタモジュール
２０７　　第１仮想ファイル
２０８　　第２仮想ファイル
２０９　　第３仮想ファイル
２１０　　仮想パス名配列
２１１　　アクセス権情報

Claims

端末装置、認証サーバ、および、Ｗｅｂサーバがネットワークを介して接続され、認証サーバによりＷｅｂサーバへのアクセスが認証されたユーザに対して、Ｗｅｂサーバへのアクセスを仮想ディレクトリ・仮想ファイル毎に制御するアクセス制御システムであって、
一のアクセス先番号に対して一または複数の仮想パス名を関連づけて登録した仮想パス名情報テーブルと、ユーザそれぞれに対してアクセス先番号毎のアクセスの可否が設定されたアクセス権情報を登録したアクセス権情報テーブルと、を含むデータベースの読み出しができるようになされ、
仮想パス名情報テーブルを参照し、仮想パス名をキーと、また、アクセス先番号を要素として対応させた配列である仮想パス名配列を予め生成して登録するＷｅｂサーバの配列生成手段と、
端末装置を通じてアクセスしたユーザの認証を行うとともに、アクセス権情報テーブルを参照して認証を受けるユーザに設定されたアクセス権情報を含むチケットを発行し、このチケットを端末装置へ送信する認証サーバのチケット発行手段と、
アクセス先の指定とともに端末装置から送信されるチケットを受信し、アクセス先を指定する仮想パス名と、仮想パス名配列に含まれるキーと、を比較して一致する要素を選択し、この要素がチケットのアクセス権情報でアクセスが許可されたアクセス先番号と一致する場合にＷｅｂサーバの仮想ファイルへのアクセスを許可するＷｅｂサーバのアクセス制御手段と、
を備えることを特徴とするアクセス制御システム。
請求項１記載のアクセス制御システムにおいて、
前記チケットは、文字列情報を格納したファイルであるｃｏｏｋｉｅとすることを特徴とするアクセス制御システム。