JP2004287547A

JP2004287547A - Database access authority management system and database access authority management program

Info

Publication number: JP2004287547A
Application number: JP2003075728A
Authority: JP
Inventors: Hiroshi Hashimoto; 寛橋本; Shinji Shibano; 真次芝野
Original assignee: Japan Research Institute Ltd
Current assignee: Japan Research Institute Ltd
Priority date: 2003-03-19
Filing date: 2003-03-19
Publication date: 2004-10-14

Abstract

<P>PROBLEM TO BE SOLVED: To automate the setting change operation of the authority of a database access right owner while maintaining the safety of system operation. <P>SOLUTION: One of management terminal device 3<SB>1-n</SB>of a database device DB is provided with an authentication management server 6, a database access authority management server 20 and a moving object management server 7. The other management terminal device 3<SB>1-n</SB>is provided with a movement management server 5. The server 6 supplies authentication information to the server 5. The server 20 sets the database access authority of the database access right owner and operation command information. The server 7 generates a moving object 8 mounted with the access authority information and the operation command information for setting access authority in the database device DB through the management terminal device 3<SB>1-n</SB>while autonomously moving through an electric communication line 2 between the server 7 itself and the server 5, and inputs it to electric communication line 2. In communication, authentication is executed between the servers based on the authentication information. <P>COPYRIGHT: (C)2005,JPO&NCIPI

Description

【０００１】
【発明の属する技術分野】
本発明は、データベース入出力操作を行う管理端末器を備えたデータベース装置が複数設けられたシステムにおいて、データベースアクセス有資格者のアクセス権限を管理するシステムおよびプログラムに関する。
【０００２】
【従来の技術】
異なる拠点に配置されたデータベース装置を有するシステムにおいて、データベースアクセス有資格者のアクセス権限が当該有資格者の人事異動などにより変更されることがある。その場合、従来では、各管理端末器毎に、変更のあったデータベースアクセス有資格者のアクセス権限を手入力作業で変更していた。
【０００３】
従来から、電気通信回線により通信可能に接続されたコンピュータの間でファイルに関するアクセス制限を行うシステムはある。（例えば、特許文献１参照）
【０００４】
【特許文献１】
特願平１１−５３２４３号
【０００５】
【発明が解決しようとする課題】
しかしながら、このようなアクセス権限の変更は、非常の手間のかかる作業であるうえに、設定ミスが生じやすいという不都合があり、これに伴って可用性（アベイラビリティ）、運用性、セキュリティに関する課題があった。
【０００６】
また、上述したように、ファイルに関するアクセス制限を実現したシステムにあるものの、データベースに関してはそのようなシステムはなく、さらには、ファイルに関するアクセス制限システムにおいても、ファイルやデータベースが分散配置された環境においては、アクセス制限を設定できる権限がそれぞれ分散して存在せざるを得ず、そのために、アクセス制限の管理を一括集中して実施することは不可能であった。
【０００７】
【課題を解決するための手段】
上述した課題を解決するためには、本発明は、管理端末器を有するデータベース装置が複数設けられ、前記管理端末器どうしが電気通信回線により互いに通信可能に接続され、前記管理端末器にデータベースアクセス有資格者が実施する入力操作に基づいて前記データベース装置に記録されている情報の参照や更新の操作が実施されるシステム構成において前記各データベース装置で記憶されているデータベースアクセス有資格者のデータベースアクセス権限を管理するシステムにおいて次の構成を備える。
【０００８】
前記管理端末器のうちの一つ、もしくは前記管理端末器に前記電気通信回線を介して通信可能に接続された他のコンピュータに、認証管理サーバが設けられる。前記管理端末器のうちの一つ、もしくは前記管理端末器に前記電気通信回線を介して通信可能に接続された他のコンピュータに、データベースアクセス権限管理サーバが設けられる。前記管理端末器のうちの一つ、もしくは前記管理端末器に前記電気通信回線を介して通信可能に接続された他のコンピュータに、移動オブジェクト管理サーバが設けられる。その他の前記管理端末器それぞれに移動管理サーバが設けられる。
【０００９】
前記認証管理サーバは、予め自身および他のサーバを認証する認証情報を生成したうえで生成した前記認証情報を前記移動管理サーバに供給する機能を発揮するものとされる。
【００１０】
前記データベースアクセス権限管理サーバは、当該データベースアクセス権限管理サーバが設けられた前記管理端末器もしくは前記他のコンピュータにデータベースアクセス権限管理者が実施する入力操作に応じて前記データベースアクセス有資格者の前記データベースアクセス権限を設定してその情報を記憶する機能と、前記データベース装置に記録されている前記データベースアクセス権限を変更操作する際に必要となる操作コマンド情報を記憶する機能とを発揮するものとされる。
【００１１】
前記移動オブジェクト管理サーバは、前記データベースアクセス権限管理サーバから前記アクセス権限情報と前記操作コマンド情報とを取り込んで記憶する機能と、前記アクセス権限情報と前記操作コマンド情報とを搭載した状態で前記各移動管理サーバの間を前記電気通信回線を介して自律的に移動し、移動中に寄り付いた前記管理端末器を介して前記データベース装置に前記アクセス権限を前記操作コマンド情報に基づいて設定する移動オブジェクトを生成する機能と、前記アクセス権限情報と前記操作コマンド情報とを搭載した移動オブジェクト（以下、情報搭載済移動オブジェクトという）を前記電気通信回線にアップロードする機能とを発揮するものとされる。
【００１２】
かつ、前記移動オブジェクト管理サーバと前記移動管理サーバとは、任意の移動管理サーバとの間で、前記電気通信回線を介した前記情報搭載済移動オブジェクトの送受信操作を実行するとともに、その通信に際して、前記認証情報に基づいて前記任意の移動管理サーバとの間で認証を実行し、認証が成功した前記任意の移動管理サーバに対して、前記情報搭載済移動オブジェクトの送受信操作を実行するものされる。
【００１３】
また、本発明は、管理端末器を有するデータベース装置が複数設けられ、前記管理端末器どうしが電気通信回線により互いに通信可能に接続され、前記管理端末器にデータベースアクセス有資格者が実施する入力操作に基づいて前記データベース装置に記録されている情報の参照や更新の操作が実施されるシステム構成において前記各データベース装置で記憶されているデータベースアクセス有資格者のデータベースアクセス権限を管理するプログラムにおいて次の構成を備える。
【００１４】
前記管理端末器のうちの一つ、もしくは前記管理端末器に前記電気通信回線を介して通信可能に接続された他のコンピュータに、認証管理機能を実行させる認証管理サーバプログラムと、前記管理端末器のうちの一つ、もしくは前記管理端末器に前記電気通信回線を介して通信可能に接続された他のコンピュータに、アクセス権限設定機能と操作コマンド設定情報記憶機能とを実行させるデータベースアクセス権限管理サーバプログラムと、前記管理端末器のうちの一つ、もしくは前記管理端末器に前記電気通信回線を介して通信可能に接続された他のコンピュータに、情報取り込み機能と、移動オブジェクト管理機能と、アップロード機能とを実行させる移動オブジェクト管理サーバプログラムと、その他の前記管理端末器それぞれに移動管理機能を実行させる移動管理サーバプログラムとを有する。
【００１５】
前記認証管理機能は、予め、自身および他のサーバプログラムを認証する認証情報を生成したうえで、生成した前記認証情報を、他のサーバプログラムが設けられた前記管理端末器および前記他のコンピュータに供給する機能とされる。
【００１６】
前記アクセス権限設定機能は、前記データベースアクセス権限管理サーバが設けられた前記管理端末器もしくは前記他のコンピュータにデータベースアクセス権限管理者が実施する入力操作に応じて、前記データベースアクセス有資格者のアクセス権限を設定してその情報を記憶する機能とされる。
【００１７】
前記操作コマンド設定情報記憶機能は、前記データベース装置に記録されている前記データベースアクセス権限を変更操作する際に必要となる操作コマンド情報を記憶する機能とされる。
【００１８】
前記情報取り込み機能は、前記データベースアクセス権限管理サーバから前記電気通信回線を介して前記アクセス権限情報と前記操作コマンド情報とを取り込んで記憶する機能とされる。
【００１９】
前記移動オブジェクト管理機能は、前記各移動管理サーバおよび前記他のコンピュータの間を前記電気通信回線を介して自律的に移動し、移動中に寄り付いた前記管理端末器を介して前記データベース装置に前記アクセス権限を前記操作コマンド情報に基づいて設定する移動オブジェクトを生成する機能とされる。
【００２０】
前記アップロード機能は、前記アクセス権限情報と前記操作コマンド情報を搭載した移動オブジェクト（以下、情報搭載済移動オブジェクトという）を前記電気通信回線にアップロードする機能とされる。
【００２１】
かつ、前記移動オブジェクト管理機能と前記移動管理機能とは、移動管理サーバプログラムが設けられた任意の管理端末器との間で、前記移動オブジェクトからの情報に基づいて前記電気通信回線を介した前記情報搭載済移動オブジェクトの送受信操作を実行するとともに、その通信に際して、前記認証情報に基づいて前記任意の管理端末器との間で認証を実行し、認証が成功した前記管理端末器に対して、前記情報搭載済移動オブジェクトの送受信操作を行う機能とされる。
【００２２】
これにより、本発明は、電気通信回線上において、移動オブジェクトを巡回させながら、各管理端末器を介してデータベース装置にデータベースアクセス有資格者のアクセス権限を自動的に設定することが可能となる。しかも、サーバ（サーバプログラム）間においては、互いに認証に成功したものどうしでしか、移動オブジェクトの受け渡し／受け取りを許容しないようにしたので、移動オブジェクトが電気通信回線上を徘徊するにもかかわらず、その安全性は高く維持されることとなる。
【００２３】
本発明のデータベースアクセス権限管理システムは、次のように構成されるのが好ましい。前記移動管理サーバが、前記情報搭載済移動オブジェクトを受信した場合にはそのオブジェクトの初期開始動作を実行するものとされる。前記移動オブジェクトが、前記移動管理サーバによって実行される初期開始動作に基づいて当該移動オブジェクトが投入された前記管理端末器を介して前記データベース装置に前記データベースアクセス権限を設定する操作を実行するものとされる。
【００２４】
本発明のデータベースアクセス権限管理プログラムは、次のように構成されるのが好ましい。前記移動管理機能は、前記情報搭載済移動オブジェクトを受信した場合にはその移動オブジェクトの初期開始動作を前記管理端末器に実行させる機能を含むとされる。前記移動オブジェクト管理機能は、前記移動オブジェクトとして、前記移動管理サーバによって実行される初期開始動作に基づいて、当該移動オブジェクトが投入された管理端末器を介して前記データベース装置に前記アクセス権限を設定する操作を実行する機能を含むとされる。
【００２５】
以上のように構成すれば、各アクセス権限の設定操作をさらに自動化することが可能となる。
【００２６】
本発明のデータベースアクセス権限管理システムは、次のように構成されるのが好ましい。前記移動オブジェクト管理サーバが、前記移動オブジェクトに、前記認証情報に基づいて生成したデジタル署名を添付したうえで、その移動オブジェクトに前記アクセス権限情報と前記操作コマンド情報情報とを搭載するものとされる。前記移動管理サーバが、前記情報搭載済移動オブジェクトの受信に際して、当該情報搭載済移動オブジェクトに添付されているデジタル署名を前記認証情報に基づいて確認し、デジタル署名を確認できた前記情報搭載済移動オブジェクトに対して前記初期開始動作を実行するものとされる。
【００２７】
本発明のデータベースアクセス権限管理プログラムは、次のように構成されるのが好ましい。前記移動オブジェクト管理機能は、前記移動オブジェクトに、前記認証情報に基づいて生成したデジタル署名を添付したうえで、その移動オブジェクトに前記フトウエアを搭載する機能を含むとされる。前記移動管理機能は、前記ソフトウエア搭載済移動オブジェクトの受信に際して、前記移動オブジェクトに添付されているデジタル署名を前記認証情報に基づいて確認し、デジタル署名を確認できた前記移動オブジェクトに対して前記初期開始動作を実行する機能を含むとされる。
【００２８】
以上のように構成されれば、移動オブジェクトは認証管理サーバ（サーバプログラム）により認証されたものとなり、各管理端末器において安全に移動オブジェクトを受信することが可能となる。
【００２９】
本発明のデータベースアクセス権限管理システムは次のように構成されるのが好ましい。前記移動オブジェクト管理サーバは、前記アクセス権限情報と前記操作コマンド情報とに、前記認証情報に基づいて生成したデジタル署名を添付したうえで、デジタル署名添付情報を前記移動オブジェクトに搭載するものとされる。前記移動管理サーバは、前記情報搭載済移動オブジェクトの受信に際して、添付されているデジタル署名を前記認証情報に基づいて確認し、デジタル署名を確認できた前記情報搭載済移動オブジェクトに対して前記初期開始動作を実行するものとされる。
【００３０】
本発明のデータベースアクセス権限管理プログラムは、次のように構成されるのが好ましい。前記移動オブジェクト管理機能は、前記アクセス権限情報と前記操作コマンド情報とに、前記認証情報に基づいて生成したデジタル署名を添付したうえで、そデジタル署名添付情報を前記移動オブジェクトに搭載する機能を含むとされる。前記移動管理機能は、前記情報搭載済移動オブジェクトの受信に際して、添付されているデジタル署名を前記認証情報に基づいて確認し、デジタル署名を確認できた前情報搭載済移動オブジェクトに対して前記初期開始動作を実行する機能を含むとされる。
【００３１】
以上のように構成されれば、前記アクセス権限情報と前記操作コマンド情報とは認証管理サーバ（サーバプログラム）により認証されたものとなり、各管理端末器は、前記アクセス権限情報を安全に取り込むことが可能となる。
【００３２】
本発明のデータベースアクセス権限管理システムは、次のように構成されるのが好ましい。前記移動オブジェクト管理サーバは、前記移動オブジェクトに前記アクセス権限情報と前記操作コマンド情報とを搭載したうえで、その情報搭載済移動オブジェクトに、前記認証情報に基づいて生成したデジタル署名を添付するものとされる。前記移動管理サーバは、前記情報搭載済移動オブジェクトの受信に際して、前記移動オブジェクトに添付されているデジタル署名を前記認証情報に基づいて確認し、デジタル署名を確認できた前記移動オブジェクトに対して前記初期開始動作を実行するものとされる。
【００３３】
本発明のデータベースアクセス権限管理プログラムは、次のように構成されるのが好ましい。前記移動オブジェクト管理機能は、前記移動オブジェクトに前記アクセス権限情報と前記操作コマンド情報とを搭載したうえで、その情報搭載済移動オブジェクトに、前記認証情報に基づいて生成したデジタル署名を添付する機能を含むとされる。前記移動管理機能は、前記移動管理サーバプログラムの格納コンピュータによる前記情報搭載済移動オブジェクトの受信に際して、前記移動オブジェクトに添付されているデジタル署名を前記認証情報に基づいて確認し、デジタル署名を確認できた前記移動オブジェクトに対して前記初期開始動作を実行する機能を含むとされる。
【００３４】
以上のように構成されれば、情報搭載済移動オブジェクトは認証管理サーバ（サーバプログラム）により認証されたものとなり、各管理端末器は、アクセス権限をさらに安全に取り込むことが可能となる。
【００３５】
本発明のデータベースアクセス権限管理システムにおいては、前記認証管理サーバと前記移動オブジェクト管理サーバとは同一のコンピュータに設けられるのが好ましい。同様に、前記データベースアクセス権限管理サーバと前記移動オブジェクト管理サーバとは同一の前記管理端末器もしくは同一の前記他のコンピュータに設けられるのが好ましい。そうすれば、システムの簡略化を促進することが可能となる。
【００３６】
本発明のデータベースアクセス権限管理システムは、次にように構成されるのが好ましい。前記移動オブジェクト管理サーバは、予め設定しておいた前記移動オブジェクトの移動管理サーバ間の移動経路を、前記移動オブジェクトに登録するものとされる。前記移動オブジェクト管理サーバまたは前記移動管理サーバは、前記移動オブジェクトに設定された移動経路に基づいて前記ソフトウエア搭載済移動オブジェクトを移動させるものとされる。
【００３７】
本発明のデータベースアクセス権限管理プログラムは、次のように構成されるのが好ましい。前記移動オブジェクト管理機能は、予め設定しておいた前記移動オブジェクトの移動経路を、前記移動オブジェクトに登録する機能を含んで構成される。
【００３８】
前記移動オブジェクト管理機能または前記移動管理機能は、前記移動オブジェクトに設定された移動経路に基づいて前記情報搭載済移動オブジェクトを移動させる機能を含んで構成される。
【００３９】
以上のように構成されれば、移動経路上の各管理端末器に対して確実に情報搭載済移動オブジェクトを送り込むことが可能となる。
【００４０】
本発明のデータベースアクセス権限管理システムは次のように構成されるのが好ましい。前記移動オブジェクト管理サーバまたは前記移動管理サーバは、次なる送信先となる移動管理サーバに対する前記情報搭載済移動オブジェクトの送信に失敗した場合にはその次なる移動管理サーバを無視して移動経路上のさらに次に位置する移動管理サーバに対して送信動作を実施するものとされる。前記移動オブジェクトは、入り込みに失敗した移動管理サーバを記憶しておき、前記移動経路を一巡したのち、入り込みに失敗した移動管理サーバを再度巡回するものとされる。
【００４１】
本発明のデータベースアクセス権限管理プログラムは、次のように構成されるのが好ましい。前記移動オブジェクト管理機能または前記移動管理機能を、次なる送信先となる移動管理サーバプログラムに対する前記情報搭載済移動オブジェクトの送信に失敗した場合には、その次なる移動管理サーバプログラムを無視して移動経路上のさらに次に位置する移動管理サーバプログラムに対して送信動作を実施する機能を含んで構成される。前記移動オブジェクト管理機能は、移動オブジェクトとして、入り込みに失敗した移動管理サーバプログラムを記憶しておき、前記移動経路を一巡したのち、入り込みに失敗した移動管理サーバプログラムを再度巡回する移動オブジェクトを生成する機能を含んで構成される。
【００４２】
以上のようにすれば、情報搭載済移動オブジェクトの送信に失敗した管理端末器に対しても、二度三度と送信を繰り返すことが可能となり、その分さらに、各管理端末器に対する移動オブジェクトの送り込みが確実になる。
【００４３】
なお、前記認証情報としては、例えば、公開鍵情報と秘密鍵情報とを用いることができる。
【００４４】
【発明の実施の形態】
以下、本発明を実施の形態を参照して説明する。本実施の形態では、管理端末器を有するデータベース装置が複数設けられ、管理端末器どうしがイントラネットにより互いに通信可能に接続され、管理端末器にデータベースアクセス有資格者が実施する入力操作に基づいて前記データベース装置に記録されている情報の参照や更新の操作が実施されるシステム構成において各データベース装置で記憶されているデータベースアクセス有資格者のデータベースアクセス権限を管理するシステムにおいて、本発明を実施している。
【００４５】
このシステムは、次のような前提において実施されるシステムである。会社等の組織内に複数のデータベース装置が設定されている。各データベース装置は、同一の規格（同一ベンダー、同一バーション）であるのが好ましいものの、実際には、それぞれ規格の異なるデータベース装置が混在して配置されている。組織構成員の中から選別されたデータベースアクセス有資格者が、データベースアクセス権限管理者から付与されたアクセス資格範囲内でデータベース装置にアクセスを実施している。
【００４６】
以上の前提において、前記データベースアクセス有資格者が人事異動等で組織内での役割に変化が生じた場合、彼（彼女）に付与されているデータベース装置に対するアクセス可能（許可）範囲（以下、アクセス権限という）にも変化が生じる。例えば、任意のデータベースアクセス有資格者が人事異動により他部署に転勤した場合を想定する。この場合、データベースアクセス権限管理者は、データベースアクセス有資格者が前任部署で有していたアクセス権限を一旦剥奪したうえで、新任部署で必要となるアクセス権限を新たに付与することになる。このようなアクセス権限は、各データベース装置に記憶されており、そのために人事異動が発生する度にアクセス権限の設定変更をそれぞれのデータベース装置で実施する必要がある。本発明のシステムは、このようなデータベースアクセス権限の設定変動を、移動オブジェクトを用いて一括にかつ自動的に実施するシステムである。
【００４７】
このデータベースアクセス権限管理システム１は、複数のデータベース装置ＤＢを備えている。データベース装置ＤＢは、同一の規格装置で構成されるのが好ましいものの、実際には別々の規格の装置から構成されており、データベースに対する入出力操作を行い操作コマンドはそれぞれ異なるコマンドが設定されている。
【００４８】
各データベース装置ＤＢは、その入出力操作を行う管理端末器３_１ _〜 _ｎを備えている。管理端末器３_１ _〜 _ｎは、データベース装置ＤＢに対して各種情報の入出力を実施する。なお、本実施形態では、管理端末器３_１ _〜 _ｎは、データベース装置ＤＢと別の装置として構成されているが、管理端末器３_１ _〜 _ｎは、データベース装置ＤＢ内に一体に設けられていてもよい。
【００４９】
各管理端末器３_１ _〜 _ｎは電気通信回線２により互いに通信可能に接続されている。電気通信回線２は例えば、光ファイバケーブル網により構成されており、管理端末器３_１ _〜 _ｎはこのような電気通信回線２で構成されるＬＡＮ（ｌｏｃａｌａｒｅａｎｅｔｗｏｒｋ）により通信可能に接続されている。
【００５０】
これら管理端末器３_１ _〜 _ｎの一つである管理端末器３_１には、メインサーバプログラム（以下、メインサーバという）４がインストールされており、他の管理端末器３_２ _〜 _ｎには、移動管理サーバプログラム（以下、移動管理サーバという）５がそれぞれインストールされている。メインサーバ４は、図２に示すように、認証管理サーバプログラム（以下、認証管理サーバという）６と移動オブジェクト管理サーバプログラム（以下、移動オブジェクト管理サーバという）７と、データベースアクセス権限管理サーバプログラム（以下、データベースアクセス権限管理サーバという）１１とにより構成されている。そして、これらのプログラム（サーバ構成）が電気通信回線２を介して有機的に組み合わさって相互動作しており、これにより、電気通信回線２により接続された複数の管理端末器３_１ _〜 _ｎを一つの機能体として動作させる単一のプログラムとして、これらのプログラムは機能している。
【００５１】
なお、本実施形態では、認証管理サーバ６と移動オブジェクト管理サーバ７とデータベースアクセス権限管理サーバ２０とを同一のメインサーバ４（管理端末器３_１）に設けるとしたが、これらのサーバ６，７，１１は、別々の管理端末器３_１ _〜 _ｎに設けてもよいし、電気通信回線２を介して管理端末器３_１ _〜 _ｎに通信可能に接続された他のコンピュータ１２に設けてもよい。
【００５２】
認証管理サーバ６は、予め、自身および他のサーバを認証する認証情報を生成したうえで、生成した認証情報を移動管理サーバに供給する機能を管理端末器３_１が発揮するように、そのプログラムが構成されている。
【００５３】
データベースアクセス権限管理サーバ２０は、
・管理端末器３_１にデータベースアクセス権限管理者が実施する入力操作に応じて、前記データベースアクセス有資格者のアクセス権限を設定してその情報を記憶するアクセス権限設定機能と、
・データベース装置ＤＢに記録されているデータベースアクセス権限を変更操作する際に必要となる操作コマンド情報（データベース装置ＤＢのベンダーやバージョンにより異なる）を記憶する操作コマンド設定情報記憶機能と、
を管理端末器３_１が発揮するようにそのプログラムが構成されている。
【００５４】
移動オブジェクト管理サーバ７は、管理端末器３_１が次の機能を発揮するようにそのプログラムが構成されている。
【００５５】
移動オブジェクト管理サーバ７は、
・自律型移動オブジェクト（［ＡｕｔｏｎｏｍｏｕｓＭｏｂｉｌｅＯｂｊｅｃｔ］、以下、移動オブジェクトという）８を生成する機能と、
・データベースアクセス権限管理サーバ２０からアクセス権限情報と操作コマンド情報とを受け取って記憶する機能と、
・記憶しているデータベース装置ＤＢの操作コマンド情報とアクセス権限情報とに基づいて、データベース装置ＤＢにアクセス権限の変更を示す情報（以下、権限変更情報９という）を生成したうえでその権限変更情報９を暗号化して暗号情報９’を生成する機能と、
・デジタル署名１１を生成して暗号情報９’に添付することで署名暗号情報９’’を生成する機能と、
・署名暗号情報９’’を移動オブジェクト８に搭載することで情報搭載済移動オブジェクト１０を生成する機能と、
・情報搭載済移動オブジェクト１０を暗号化して暗号オブジェクト１０’を生成する機能と、
・デジタル署名１１を生成して暗号オブジェクト１０’に添付することで、署名暗号オブジェクト（以下、モバイルソフトウエアと称す）１０’’を生成する機能と、
・移動管理サーバ５との間で相互認証を実施する機能と、
・モバイルソフトウエア１０’’を、電気通信回線２を介して移動管理サーバ５、…に送信する機能と、
・モバイルソフトウエア１０’’が、複数の移動管理サーバ５、…の間を巡回移動する移動経路を設定する機能と、
を管理端末器３_１が発揮するようにそのプログラムが構成されている。
【００５６】
なお、移動オブジェクト８は権限変更情報９の搬送キャリアとなって、自身も、電気通信回線２を介して各サーバ４、５、…を自律的に移動し、移動中に寄り付いた各サーバ５を介してデータベース装置ＤＢにアクセス権限を操作コマンド情報に基づいて設定するするソフトウエアである。また、モバイルソフトウエア１０’’が、請求項における情報搭載済移動オブジェクトに相当する。
【００５７】
移動管理サーバ５は、管理端末器３_２ _〜 _ｎが次の機能を発揮するようにそのプログラムが構成されている。
【００５８】
移動管理サーバ５は、
・メインサーバ４ないし移動管理サーバ５との間で相互認証を実施する機能と、
・受信したモバイルソフトウエア１０’’の安全性を確認する機能と、
・受信したモバイルソフトウエア１０’’を復号化したうえで初期開始動作を実行する機能と、
・受信したモバイルソフトウエア１０’’を、移動オブジェクト８に登録された移動経路において次となる移動管理サーバ５に送信する機能と、
を管理端末器３_２ _〜 _ｎが発揮するようにそのプログラムが構成されている。
【００５９】
移動オブジェクト８は、電気通信回線２を介して各管理端末器３_２ _〜 _ｎを巡回移動していく途中において、巡回途中の各寄主管理端末器３_２ _〜 _ｎが次の機能を発揮するようにそのプログラムが構成されている。
【００６０】
移動オブジェクト８は、
・登録している移動経路に沿って次となる管理端末器３_２ _〜 _ｎに自分自身（移動オブジェクト８）が送信されるように、現在の寄付先管理端末器３_２ _〜 _ｎ（移動管理サーバ５）を動作させる機能と、
・移動オブジェクト８のプログラム初期開始動作を移動管理サーバ５（寄付先管理端末器３_２ _〜 _ｎ）において実行させる機能と、
・移動中に寄り付いた管理端末器管理端末器３_１ _〜 _ｎを介してデータベース装置ＤＢにアクセス権限を操作コマンド情報に基づいて設定する機能と、
を寄付先管理端末器３_１ _〜 _ｎが発揮するようにそのプログラムが構成されている。
【００６１】
各データベース装置ＤＢのメモリ（図示省略）には、そのデータベース装置ＤＢの操作権限が付与された組織員の識別情報（社員番号等）と、付与されたアクセス権限（参照権限のみ、参照・書込権限）とが対応付けられて記録されている。参照権限は、データベース装置ＤＢに記録されているデータベース情報を参照できる権限であり、書込権限はデータベース情報に書き込みを加えることができる権限である。
【００６２】
次に、この情報収集システム１の動作を、図３の鍵情報授受相関図、図４のタイムテーブル構成、および図５〜図１２のフローチャートを参照して説明する。
【００６３】
まず、認証管理サーバ６では、予め次のような登録操作が実施される。認証管理サーバ６は、自分自身（認証管理サーバ６）の公開鍵情報Ｋｏ_１と秘密鍵情報Ｋｓ_１とを生成するとともに、各管理端末器３_２ _〜 _ｎからの登録要請に基づいて各管理端末器３_２ _〜 _ｎの公開鍵情報Ｋｏ_２ _〜 _ｎと秘密鍵情報Ｋｓ_２ _〜 _ｎとを生成する。
【００６４】
そして、全ての公開鍵情報Ｋｏ_１ _〜 _ｎを各移動管理サーバ５、…に対して公開できる状態にして自身（認証管理サーバ６）のメモリ（図示省略）に保持しておく。一方、自身（認証管理サーバ６）の秘密鍵情報Ｋｓ_１は公開不可の状態にして自身（認証管理サーバ６）のメモリ（図示省略）に保持しておく。
【００６５】
さらに、認証管理サーバ６は各移動管理サーバ５、…の秘密鍵情報Ｋｓ_２ _〜 _ｎを対応する各移動管理サーバ５、…に発送しておく。このとき同時に、認証管理サーバ６の公開鍵情報Ｋｏ_１も各移動管理サーバ５、…に発送しておく。
【００６６】
なお、秘密鍵情報Ｋｓ_２ _〜 _ｎは、対応する各移動管理サーバ５、…以外の移動管理サーバ５、…に対して漏洩不能の状態で発送される。このような発送形態の具体例としては、移動管理サーバ５、…の操作者に対する手渡しや郵送が挙げられる。
【００６７】
各移動管理サーバ５、…では、認証管理サーバ６から入手した自身（移動管理サーバ５、…）の秘密鍵情報Ｋｓ_２ _〜 _ｎと、自身（各移動管理サーバ５、…）の公開鍵情報Ｋｏ_２ _〜 _ｎと、認証管理サーバ６の公開鍵情報Ｋｏ_１とを、自身（移動管理サーバ５、…）のメモリ（図示省略）に格納して保持しておく。このとき、秘密鍵情報Ｋｓ_２ _〜 _ｎは、他の移動管理サーバ５、…に対して公開不可の状態で保持しておく。これら秘密鍵情報Ｋｓ_１ _〜 _ｎと公開鍵情報Ｋｏ_１ _〜 _ｎとの間の相互関係を図３に示す。
【００６８】
以上の登録操作を行ったのち、メインサーバ４（移動オブジェクト管理サーバ７）では、まず、モバイルソフトウエア１０’’の生成を行う。
【００６９】
モバイルソフトウエア１０’’の生成を、図４のタイムテーブル構成図、図５〜図７のフローチャートを参照して説明する。以下の説明では、データベースアクセス有資格者が組織内での人事異動により、彼（彼女）のデータベースアクセス権限に変更が生じた状態を想定している。
【００７０】
データベースアクセス権限管理サーバ２０は、図４（ａ）に示す組織員個人情報テーブルＴ１と、図４（ｂ）に示すアクセス権限情報テーブルＴ２と、データベース操作情報テーブルＴ３とを記録している。組織員個人情報テーブルＴ１には、組織員の番号情報（個別に付与されている）、氏名、所属部門コード、および役職等が記録されている。アクセス権限情報テーブルＴ２には、所属部門の役職と、各データベース装置ＤＢに対する操作権限とが対応付けられて記録されている。操作権限は、データベース装置ＤＢの各テーブル毎に設定されている。データベース操作情報テーブルＴ３には、データベース装置ＤＢのメモリに記録されている操作権限内容の変更に必要な操作コマンドと、データベースアクセス権限管理者のアカウント情報と操作権限の変更操作に必要なパスワード等の情報とが、データベース装置ＤＢの種類（ベンダー名やバージョン名）に対応付けられて記録されている。
【００７１】
以上の設定がなされたうえでデータベースアクセス権限管理サーバ２０は、次の操作を実施する。図５のフローチャートに示すように、データベースアクセス権限管理サーバ２０は、データベースアクセス権限管理者（組織の人事部門担当者等）により人事異動の情報が入力されるか否かを監視する（Ｓ５０１）。人事異動の情報入力は、例えば、データベースアクセス権限管理サーバ２０が設けられた管理端末器３_１の入力装置（図示省略）、ないしはデータベースアクセス権限管理サーバ２０に電気通信回線（ＬＡＮ）２を介して通信可能に接続された他のコンピュータ１２の入力装置になされる。
【００７２】
Ｓ５０１で人事異動の情報入力がなされたことをデータベースアクセス権限管理サーバ２０が検知すると、データベースアクセス権限管理サーバ２０は、入力された人事異動情報に基づいて組織員個人情報テーブルＴ１の内容を書き換える（Ｓ５０２）。
【００７３】
さらに、データベースアクセス権限管理サーバ２０は、組織員個人情報テーブルＴ１の変更に基づいて、データベース操作情報テーブルＴ３から次の情報を取り出す。データベースアクセス権限管理サーバ２０は、人事異動が生じた組織員の異動後の役職に付与されているアクセス権限情報をアクセス権限情報テーブルＴ２から取り出す。さらに、人事異動が生じた組織員に異動前に付与されていたアクセス権限の剥奪に必要なデータベース操作情報と、移動後に新たに付与されるアクセス権限の授与に必要なデータベース操作情報とを、データベース操作情報テーブルＴ３から取り出す。（Ｓ５０３）。
【００７４】
以上説明した被被人事異動者のデータベースアクセス権限の変更に必要な情報の取り出し操作が、被人事異動者（権限に変更が生じたデータベースアクセス有資格者）全てに対して実施される。データベースアクセス権限管理サーバ２０は、取り出したデータベースアクセス権限の変更に必要な情報（以下、権限変更情報という）９を被人事異動者毎に記録して移動オブジェクト管理サーバ７に出力する。
【００７５】
次に、署名暗号情報９’’の登録操作が実施される。図６のフローチャートに示すように、移動オブジェクト管理サーバ７では、権限の設定変更を実施する被人事異動者に関する権限変更情報９の指定を行って、その権限変更情報９を管理端末器３_１の作業メモリ上に持ち込む（Ｓ６０１）。
【００７６】
管理端末器３_１に移動オブジェクト管理サーバ７とデータベースアクセス権限管理サーバ２０とがインストールされている場合には、権限変更情報９は、同一のマシン（管理端末器３_１）内で送受信される。しかしながら、移動オブジェクト管理サーバ７とデータベースアクセス権限管理サーバ２０とが別々の管理端末器３_１ _〜 _ｎや別々の他のコンピュータ１２にインストールされている場合には、権限変更情報９は、電気通信回線（ＬＡＮ）２を介して、データベースアクセス権限管理サーバ２０から移動オブジェクト管理サーバ７に送信される。
【００７７】
次に、指定した権限変更情報９を暗号化して暗号情報９’を生成する（Ｓ６０２）。なお、暗号化の手法は種々あるが、特に限定されることはない。
【００７８】
次に、暗号情報９’から、ハッシュ関数を用いてハッシュキーＨＫ_１を生成する（Ｓ６０３）。なお、ハッシュ関数については、一般に汎用されている技術であるのでここではその説明は省略する。
【００７９】
次に、生成したハッシュキーＨＫ_１を、認証管理サーバ６の秘密鍵情報Ｋｓ_１を用いて暗号化することで、その暗号情報９’（権限変更情報９）のデジタル署名１１を生成する（Ｓ６０４）。
【００８０】
次に、生成したデジタル署名１１を暗号情報９’に添付することで、署名暗号情報９’’を生成し、その署名暗号情報９’’を登録したうえで図示しないメモリに格納する（Ｓ６０５）。
【００８１】
以上の操作を繰り返すことで、複数の署名暗号情報９’’を移動オブジェクト管理サーバ７に登録する。
【００８２】
次に、複数登録された署名暗号情報９’’の中から、各管理端末器３_１ _〜 _ｎを介しデータベース装置ＤＢに更新書込みを希望する署名暗号情報９’’（権限変更情報９）が選択され、さらにはその更新書込み所望に関する情報が操作者（データベースアクセス権限管理者）によって管理端末器３_１に入力されると、メインサーバ４では、図７のフローチャートに示す操作を実施する。
【００８３】
すなわち、まず、移動オブジェクト管理サーバ７において、移動オブジェクト８を生成する（Ｓ７０１）。移動オブジェクト８が有する動作機能等については前述したのでここではその説明は省略する。生成した移動オブジェクト８を、どの順番で各管理端末器３_２ _〜 _ｎに組み込んでいくかを示す順番である移動経路と、その移動経路を何回巡回するかを示す巡回回数とを設定し、それらの情報を移動オブジェクト８の記録領域に登録する（Ｓ７０２）。
【００８４】
おな、移動経路に関する情報は、各権限変更情報９共通として予め設定したうえで移動オブジェクト管理サーバ７に登録しておいてもよいし、各権限変更情報９毎に設定して、操作者（データベースアクセス権限管理者）により管理端末器３_１（移動オブジェクト管理サーバ７）に入力するようにしてもよい。
【００８５】
移動オブジェクト８に対して移動経路の設定登録が終了すると、移動オブジェクト管理サーバ７は、送り込み所望の権限変更情報９の署名暗号情報９’’を図示しないメモリから読み出し、読み出した署名暗号情報９’’を移動オブジェクト８に搭載することで、情報搭載済移動オブジェクト１０を生成し（Ｓ７０３）、さらに、情報搭載済移動オブジェクト１０を暗号化することで、暗号オブジェクト１０’を生成する（Ｓ７０４）。
【００８６】
次に、暗号オブジェクト１０’のデータを、ハッシュ関数を用いて処理することでハッシュキーＨＫ_２を生成し（Ｓ７０５）、さらに、生成したハッシュキーＨＫ_２を、自分自身（認証管理サーバ６）の秘密鍵情報Ｋｓ_１を用いて暗号化することで、この暗号オブジェクト１０’のデジタル署名１２を生成する（Ｓ７０６）。そして、生成したデジタル署名１２を暗号オブジェクト１０’に添付することで、モバイルソフトウエア１０’’を生成する（Ｓ７０７）。
【００８７】
なお、図６、図７のフローチャートを参照して上述したモバイルソフトウエア１０’’の生成では、権限変更情報９に対してデジタル署名１１を生成したうえで、暗号オブジェクト１０’に対してもデジタル署名１２を生成している。つまり、デジタル署名を二重に生成することで、モバイルソフトウエア１０’’を搬送する上での安全精度を高めている。しかしながら、権限変更情報９に対するデジタル署名１１の生成を省略し、暗号オブジェクト１０’に対するデジタル署名１２の生成だけを行うようにしてもよい。具体的には、図６のフローチャートに示すデジタル署名１１の生成操作を省略して、図７のフローチャートに示すデジタル署名１２の生成操作だけを実施してもよい。そうしても、モバイルソフトウエア１０’’を搬送する上での安全精度を維持することができる。
【００８８】
次に、モバイルソフトウエア１０’’の送受信操作を図８に示すフローチャートを参照して説明する。図８においては、その左側に位置するフローが送信操作を実施するサーバ（以下、送信サーバという）の操作を示す一方、その右側に位置するフローが受信操作を実施するサーバ（以下、受信サーバという）の操作を示している。
【００８９】
モバイルソフトウエア１０’’の送信は、移動オブジェクト管理サーバ７から移動管理サーバ５に対して実施されるとともに、移動管理サーバ５から移動管理サーバ５に対しても実施される。以下の説明では、移動オブジェクト管理サーバ７から移動管理サーバ５に対する送受信操作を例にして説明するが、移動管理サーバ５同士による送受信操作も基本的には同様であるので、その説明は省略する。
【００９０】
移動オブジェクト管理サーバ７（移動管理サーバ５でもよい）では、まず、そのモバイルソフトウエア１０’’に登録されている移動経路を読み出して、経路上、自身（移動管理サーバ５）が経路終端に位置するか否かを判断する（Ｓ８０１）。なお、送信サーバが移動オブジェクト管理サーバ７である場合には、このサーバが経路終端に位置することはない。
【００９１】
Ｓ８０１で経路終端に達していないと判断する場合には、登録している移動経路上の次に位置する移動管理サーバ５を特定する（Ｓ８０２）。
【００９２】
なお、移動オブジェクト管理サーバ７においては、モバイルソフトウエア１０’’が生成される（暗号化）前処理として、モバイルソフトウエア１０’’を構成する移動オブジェクト８から移動経路を読み出す。一方、移動管理サーバ５では、モバイルソフトウエア１０’’を復号化したのち移動経路を読み出す。
【００９３】
移動オブジェクト管理サーバ７では、読み出した移動経路に沿って、次に位置する移動管理サーバ５に対して、電気通信回線２を介して物理的アクセス要求を行ったうえで（Ｓ８０３）、その認証アクセスが成功するか否かを監視する（Ｓ８０４）。その際、受信側である移動管理サーバ５では、サーバが正常に機能する状態であれば、Ｓ８０３の物理的アクセスに対して応答する（Ｓ８０５）。
【００９４】
Ｓ８０４で認証アクセスが不成功に終わると判断する場合には、送信サーバは、受信側である移動管理サーバ５が通信不能であると判断する。その場合、移動オブジェクト５における移動経路の登録内容に、送信先である移動管理サーバ５に対して物理的アクセスができなかった旨の情報収集未完了情報を追加記録する（Ｓ８０６）。そして、物理的アクセスが不成功の状態で通信を終了する処理（エラー処理）を実行したうえで（Ｓ８０７）、Ｓ８０１に戻って上述した処理を再実行する。
【００９５】
なお、移動管理サーバ５が通信不能である場合とは、例えば、その移動管理サーバ５が設けられた管理端末器３_２ _〜 _ｎの電源が切られている場合や、管理端末器３_２ _〜 _ｎの電気通信回線２に対する通信ポートが切断されている場合や、管理端末器３_２ _〜 _ｎが故障している場合等が考えられる。
【００９６】
Ｓ８０１〜Ｓ８０７の操作を繰り返し実施することで、物理的アクセスが成功する相手（移動管理サーバ５）が得られると、その移動管理サーバ５との間でサーバ間認証を実施する（Ｓ８０８、Ｓ８０９）。
【００９７】
サーバ間認証は相互認証により実施される。すなわち、一方のサーバにより他方のサーバを認証したのち、反対に他方のサーバにより一方のサーバを認証するという相互認証によりサーバ間認証は実施される。
【００９８】
以下、サーバ間認証を詳細に説明する。なお、サーバ間認証は、移動オブジェクト管理サーバ７と移動管理サーバ５との間の認証、ならびに移動管理サーバ５どうしの間の認証においても同様に実施されるので、これらの認証操作の説明においては、共通化したフローチャートである図９、図１０を参照して説明する。図９は、認証能動側サーバの操作を示し、図１０は、認証受動側サーバの操作を示している。
【００９９】
認証能動側サーバとは、自身の意思で相手サーバの認証を実施するサーバをいい、認証受動側サーバとは、相手サーバの意思で認証を受けるサーバをいい、一回の認証操作においては、認証通信する両サーバにより、認証能動側サーバの役割と認証受動側サーバの役割とが相互に実施される。
【０１００】
認証能動側サーバでは、まず、認証管理サーバ６から電気通信回線２を介して認証受動側サーバの公開鍵情報Ｋｏ_ｐを入手する（Ｓ９０１）。なお、認証能動側サーバが移動オブジェクト管理サーバ７である場合には、電気通信回線２を介することなく自身の管理端末器３_１内にある認証管理サーバ６から認証受動側サーバの公開鍵情報Ｋｏ_ｐを入手する。
【０１０１】
次に、認証能動側サーバでは、乱数ｒを発生させ（９０２）、その乱数ｒを図示しないメモリに記憶したうえで、その乱数ｒを認証受動側サーバの公開鍵情報Ｋｏ_ｐを用いて暗号化する（Ｓ９０３）。そして、暗号化乱数ｒ’を認証受動側サーバに送信する（Ｓ９０４）。
【０１０２】
一方、認証受動側サーバでは、図１０のフローチャートに示すように、認証能動側サーバから暗号化乱数ｒ’を受信するか否かを常時監視する（Ｓ１００１）。
【０１０３】
そして、認証能動側サーバから乱数ｒ’を受信したことを確認すると、まず、認証受動側サーバでは、認証管理サーバ６に対して電気通信回線２を介してアクセスすることで、認証能動側サーバの公開鍵情報Ｋｏ_ａを入手する（Ｓ１００２）。なお、認証能動側サーバが認証管理サーバ６である場合には、Ｓ１００２の操作は必要ない。認証管理サーバ６の公開鍵情報Ｋｏ_１が前もって認証受動側サーバ側に発送されているためである。
【０１０４】
以上の準備操作を実施したのち、自身（認証受動側サーバ）の秘密鍵情報Ｋｓ_ｐを用いて、暗号化乱数ｒ’を復号化する（Ｓ１００３）。
【０１０５】
そして、復号化した乱数ｒを、Ｓ１００２で入手した認証能動側サーバの公開鍵情報Ｋｏ_ａを用いて再度暗号化し（Ｓ１００４）、再暗号化した乱数ｒ’’を認証能動側サーバに、電気通信回線２を介して送信して（Ｓ１００５）、一連の操作を終了する。
【０１０６】
図９のフローチャートに戻って説明する。一方、認証能動側サーバでは、暗号化乱数ｒ’をＳ９０４において認証受動側サーバに送信したうえで、認証受動側サーバから、再暗号化乱数ｒ’’を受信するか否かを監視する（Ｓ９０５）。
【０１０７】
そして、Ｓ８０５において、認証能動側サーバから再暗号化乱数ｒ’’を受信したことを確認すると、自身（認証能動側サーバ）の秘密鍵情報Ｋｓ_ａを用いて、乱数ｒ’’を復号化する（Ｓ９０６）。
【０１０８】
そして、復号化した乱数（ｒ）を、認証能動側サーバ自身で生成して記憶している元の乱数ｒと一致するかどうかを比較する（Ｓ９０７）。
そして、Ｓ８０７において復号化乱数（ｒ）が元の乱数ｒに一致する場合［（ｒ）＝ｒ］には、認証能動側サーバによる認証受動側サーバの認証を完了して一連の操作を終了する（Ｓ９０８）。
【０１０９】
一方、Ｓ９０７において復号化乱数（ｒ）が元の乱数ｒに一致しない場合［（ｒ）≠ｒ］には、認証能動側サーバによる認証受動側サーバの認証ができなかったとして一連の操作を終了する（Ｓ９０９）。
【０１１０】
以上のような認証操作を、認証能動側サーバと認証受動側サーバとの役割を相互に交代しながら実行することで相互認証を実施する。
【０１１１】
図８のフローチャートに戻ってモバイルソフトウエア１０’’の送受信とその操作とを説明する。Ｓ８０８、Ｓ８０９のサーバ間認証を実行したうえで、認証が完了するか否かを監視する（Ｓ８１０）。そして、Ｓ８１０で認証が完了しない（認証に失敗した）場合には、送信側である移動オブジェクト管理サーバ７もしくは移動管理サーバ５は、Ｓ８０６に戻って移動オブジェクト８における移動経路の登録内容に、送信先である移動管理サーバ５に対して認証に失敗した旨の情報収集未完了情報を追加記録する（Ｓ８０６）。そして、認証に失敗した状態で通信を終了する処理（エラー処理）を実行したうえで（Ｓ８０７）、Ｓ８０１に戻って上述した処理を再実行する。
【０１１２】
一方、Ｓ８１０で認証が完了した（認証に成功した）場合には、送信側である移動オブジェクト管理サーバ７もしくは移動管理サーバ５は、送信先である移動管理サーバ５に対して、電気通信回線２を介してモバイルソフトウエア１０’’の送信操作を実施したうえで（Ｓ８１１）、送信操作が成功する否かを監視する（Ｓ８１２）。そして、Ｓ８１２で、モバイルソフトウエア１０’’の送信操作が成功したことを確認すると、モバイルソフトウエア１０’’の送信操作を終了する。
【０１１３】
一方、Ｓ８１２で、モバイルソフトウエア１０’’の送信操作が失敗したことを確認すると、Ｓ８０６に戻って処理を行う。すなわち、その移動管理サーバ５に対してモバイルソフトウエア１０’’を送信できなかった旨の情報収集未完了情報を、移動オブジェクト８における移動経路の登録内容に追加記録する（Ｓ８０６）。そして、モバイルソフトウエアの送信が不成功の状態で通信を終了する処理（エラー処理）を実行したうえで（Ｓ８０７）、Ｓ８０１に戻って上述した処理を再実行する。
【０１１４】
次に受信サーバ（受信側の移動管理サーバ５）の操作を説明する。
受信サーバでは、Ｓ８０９においてサーバ間認証が完了すると、認証を完了したメインサーバ４や他の移動管理サーバ５からモバイルソフトウエア１０’’を受信する（Ｓ８１３）。
【０１１５】
Ｓ８１３におけるモバイルソフトウエア１０’’の受信を受信サーバで確認すると、受信したモバイルソフトウエア１０’’が保証されたものであるか否かの確認操作を実施する（Ｓ８１４）。
【０１１６】
モバイルソフトウエア１０’’の保証確認操作を図１１、図１２のフローチャートを参照して説明する。まず、モバイルソフトウエア１０’’を構成する移動オブジェクト８の保証確認操作を図１１のフローチャートを参照して説明する。
【０１１７】
まず、受信したモバイルソフトウエア１０’’から移動オブジェクト８のデジタル署名１２を取り出し、取り出したデジタル署名１２に対して、予め入手していた認証管理サーバ６の公開鍵情報Ｋｏ_１を用いて復号化することで、ハッシュキーＨＫ_２を復元する（Ｓ１１０１）。
【０１１８】
一方、モバイルソフトウエア１０’’からデジタル署名１２を取り除くことで暗号オブジェクト１０’を復元したうえで（Ｓ１１０２）、復元した暗号オブジェクト１０’から、ハッシュ関数を用いてハッシュキーＨＫ_２’を生成する（Ｓ１１０３）。
【０１１９】
次に、Ｓ１１０１で復元したハッシュキーＨＫ_２とＳ１１０３で生成したハッシュキーＨＫ_２’とが一致するか否かを判断する（Ｓ１１０４）。そして、Ｓ１１０４の判断でハッシュキーＨＫ_２とハッシュキーＨＫ_２’とが一致する場合（ＨＫ_２＝ＨＫ_２’）には、モバイルソフトウエア１０’’の保証を確認できたとして保証確認操作を終了する（Ｓ１１０５）。
【０１２０】
一方、Ｓ１１０４の判断でハッシュキーＨＫ_２とハッシュキーＨＫ_２’とが一致しない場合（ＨＫ_２≠ＨＫ_２’）には、モバイルソフトウエア１０’’の保証を確認できなかったとして保証確認操作を終了する（Ｓ１１０６）。
【０１２１】
Ｓ１１０５において、モバイルソフトウエア１０’’の保証を確認できた場合には、次に、モバイルソフトウエア１０’’に搭載されている権限変更情報９の保証確認を実施する。権限変更情報９の保証確認を図１２のフローチャートを参照して説明する。
【０１２２】
まず、情報搭載済移動オブジェクト１０から権限変更情報９のデジタル署名１１を取り出し、取り出したデジタル署名１１に対して、予め入手していた認証管理サーバ６の公開鍵情報Ｋｏ_１を用いて復号化することで、ハッシュキーＨＫ_１を復元する（Ｓ１２０１）。
【０１２３】
一方、情報搭載済移動オブジェクト１０から暗号情報９’を取り出したうえで（Ｓ１２０２）、取り出した暗号情報９’から、ハッシュ関数を用いてハッシュキーＨＫ_１’を生成する（Ｓ１２０３）。
【０１２４】
次に、Ｓ１２０１で復元したハッシュキーＨＫ_１とＳ１１０３で生成したハッシュキーＨＫ_１’とが一致するか否かを判断する（Ｓ１２０４）。そして、Ｓ１２０４の判断でハッシュキーＨＫ_１とハッシュキーＨＫ_１’とが一致する場合（ＨＫ_１＝ＨＫ_１’）には、権限変更情報９の保証を確認できたとして保証確認操作を終了する（Ｓ１２０５）。一方、Ｓ１２０４の判断でハッシュキーＨＫ_１とハッシュキーＨＫ_１’とが一致しない場合（ＨＫ_１≠ＨＫ_１’）には、権限変更情報９の保証を確認できなかったとして保証確認操作を終了する（Ｓ１２０６）。
【０１２５】
図８のフローチャートに戻ってモバイルソフトウエア１０’’の送受信と操作とを説明する。Ｓ８１４において、モバイルソフトウエア１０’’と権限変更情報９の保証を確認すると、移動管理サーバ５は暗号情報９’を復号化することで権限変更情報９を復元し、移動オブジェクト８の初期開始動作を実行する。これにより、移動オブジェクト８は、寄付先の移動管理サーバ５（管理端末器３_２ _〜 _ｎ）が接続されているデータベース装置ＤＢに記録されている組織員のアクセス権限情報を権限変更情報９に基づいて変更処理する。変更処理は、移動オブジェクト８が管理端末器３_２ _〜 _ｎを介して実施する（Ｓ８１５）。
【０１２６】
Ｓ８１５におけるアクセス権限の変更処理を実施したのち、移動オブジェクト８はその変更処理が正常に完了するか否かを監視する（Ｓ８１６）。Ｓ８１６で変更処理が正常に完了したことを確認すると、移動オブジェクト８は、移動経路の登録内容に、現在寄り付いている移動管理サーバ５において、データベース装置ＤＢのアクセス権限情報の変更処理が完了した旨の情報を追加記録する（Ｓ８１７）。さらには、移動オブジェクト８は記録した変更処理履歴情報をメインサーバ４に送信する。メインサーバ４（移動オブジェクト管理サーバ７）では、移動オブジェクト８（移動管理サーバ５）から受信した情報を、その移動管理サーバ５に対応付けた状態で、図示しないメモリに格納する。
【０１２７】
このような処理を実施したのち、現在受信している移動管理サーバ５（受信サーバ）を、送信サーバに切り換えたうえで（Ｓ８１８）、Ｓ８０１に戻って、今度は上述した送信サーバの処理をこの移動管理サーバ５で実行する。
【０１２８】
一方、Ｓ８１６で権限変更処理が不成功に終わったことを確認する場合には、受信サーバである移動管理サーバ５が設けられた管理端末器３_２ _〜 _ｎを介してデータベース装置ＤＢの権限変更処理が何らかの理由によりできない状態であると判断する。そして、その場合には、移動オブジェクト８における移動経路の登録内容に、寄付先の受信サーバである移動管理サーバ５が設けられた管理端末器３_２ _〜 _ｎを介したデータベース装置ＤＢの権限変更処理ができなかった旨の情報を追加記録する（Ｓ８１９）。さらに、変更処理未完了の状態で操作を終了する処理（エラー処理）を実行する（Ｓ８２０）。
【０１２９】
以上の処理を実施したうえで、現在受信している移動管理サーバ５を送信サーバに切り換え（Ｓ８１８）、Ｓ８０１に戻って、今度は上述した送信サーバの処理をこの移動管理サーバ５で実行する。
【０１３０】
以上説明したＳ８１５〜Ｓ８２０の処理は、Ｓ８１４においてモバイルソフトウエア１０’’と権限変更情報９との保証を確認できた場合の処理である。Ｓ８１４において、モバイルソフトウエア１０’’と権限変更情報９の保証を確認できなかった場合は次の処理を実行する。
【０１３１】
この場合には、受信した移動オブジェクト８に格納している移動経路の登録内容に、送信先である移動管理サーバ５においてモバイルソフトウエア１０’’と権限変更情報９の保証を確認できないためにデータベース装置ＤＢの権限変更処理に失敗した旨の情報を追加記録する（Ｓ８１９）。そして、このような処理を行ったのち、変更処理未完了の状態で操作を終了する処理（エラー処理）を実行する（Ｓ８２０）。
【０１３２】
そして、現在受信している移動管理サーバ５を送信サーバに切り換え（Ｓ８１８）、Ｓ８０１に戻って、今度は上述した送信サーバの処理をこの移動管理サーバ５で実行する。
【０１３３】
以上説明したＳ８０２〜Ｓ８２０の処理は、Ｓ８０１において、経路終端に達していないと判断する場合の一連の処理である。Ｓ８０１において、経路終端に達していると判断する場合は次のような処理を実行する。
【０１３４】
この場合には、移動オブジェクト８における移動経路の登録内容における移動巡回回数データを１つインクリメントしたうえで、その巡回回数が予め移動オブジェクト８に登録しておいた登録回数に達したか否かを判断する（Ｓ８２１）。
【０１３５】
Ｓ８２１において、登録回数に達したと判断する場合には、モバイルソフトウエア１０’’による移動管理サーバ５の巡回が予定数に達して全てのデータベース装置ＤＢに対する権限変更処理が終了したことを移動オブジェクト管理サーバ７（メインサーバ４）に連絡したのち（Ｓ８２２）、モバイルソフトウエア１０’’の送信操作を終了する。
【０１３６】
一方、Ｓ８２１において、登録回数に達していないと判断する場合には、登録している移動経路に基づいて権限変更未処理の管理端末器３_２ _〜 _ｎを再度巡回しながら権限変更処理を行うために、Ｓ８０２に移行して、登録している移動経路上の次に位置する移動管理サーバ５を特定したのち、上述した一連の情報収集操作（Ｓ８０２〜Ｓ８２０）を実行する。
【０１３７】
上述した実施の形態では、ＬＡＮ（ｌｏｃａｌａｒｅａｎｅｔｗｏｒｋ）等で構成されたイントラネットで接続された複数の管理端末器３_１ _〜 _ｎの環境下において本発明を実施したが、インターネットで接続された複数のコンピュータの環境下においても同様に実施することができる。この場合、基本的には、移動管理サーバ５（各管理端末器３_２ _〜 _ｎに格納される）は、モバイルソフトウエア１０’’を受け入れる登録を、移動オブジェクト管理サーバ７（一つの管理端末器３_１ _〜 _ｎもしくは他のコンピュータ１２に格納されている）に対して行う必要がある。移動オブジェクト管理サーバ７では、移動オブジェクト８に対して、登録された移動管理サーバ５を巡回する移動経路を設定してインターネット上にアップロードすることで、移動オブジェクト８を各移動管理サーバ５を巡回させて権限変更処理を実施することができる。また、この場合、認証管理サーバ６は、インターネット上に設けられた公的機関である認証局サーバを用いることができる。
【０１３８】
また、本発明は、移動オブジェクト８に移動経路を設定することなく実施することもできる。この場合、各移動管理サーバ５および移動オブジェクト８に次の設定を行う。すなわち、情報収集を受け入れる管理端末器３_２ _〜 _ｎそれぞれに、移動オブジェクト管理サーバ７によって登録された移動管理サーバ５を格納する。さらには、各移動管理サーバ５にモバイルソフトウエア１０’’が寄り付いた時点においてその移動管理サーバ５の近隣に位置する他の移動管理サーバ５を検索する検索通信機能を管理端末器３_２ _〜 _ｎが発揮するプログラムを、移動管理サーバ５に付け加える。これにより、各移動管理サーバ５に寄り付いたモバイルソフトウエア１０’’は、その移動管理サーバ５が格納された管理端末器３_２ _〜 _ｎを介してデータベース装置ＤＢの権限変更処理を実施したのち、その移動管理サーバ５により検索された近隣の移動管理サーバ５に移動していくことが可能となる。そのため、移動オブジェクト８に移動経路を設定する必要がなくなる。
【０１３９】
また、上述した実施の形態においては、認証管理サーバ６と移動オブジェクト管理サーバ７とを一つにしてメインサーバ４を構成し、このメインサーバ４を管理端末器３_１に格納していたが、認証管理サーバ６と移動オブジェクト管理サーバ７とを分離して構成したうえで、分離した認証管理サーバ６と移動オブジェクト管理サーバ７とを、別々の管理端末器３_１ _〜 _ｎやコンピュータ１２に格納してもよいのはいうまでもない。
【０１４０】
また、上述した実施の形態では、各移動管理サーバ５において、権限変更情報９の保証を確認していたが、モバイルソフトウエア１０’’側において、各移動管理サーバ５の保証を確認するようにしてもよい。
【０１４１】
【発明の効果】
以上説明したように、本発明によれば、データベース装置に設定されたデータベースアクセス有資格者の権限設定を、電気通信回線により互いに通信可能に接続された複数の管理端末器を介して変更することが可能になり、システム運用の安全を維持したうえで自動化して、コンピュータの管理運営の効率化を図ることができる。
【０１４２】
また、データベース装置が分散配置された環境においても、アクセス制限の管理を一括集中して実施することができる。さらには、データベース装置の種類（ベンダーやバージョン）が異なるデータベース装置が存在するシステム環境においてアクセス制限の管理を一括集中して実施することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態のデータベースアクセス権限管理システムが組み込まれるコンピュータシステムの構成を示す図である。
【図２】実施形態のデータベースアクセス権限管理システムの構成を示す図である。
【図３】公開鍵情報／秘密鍵情報の構成を示す図である。
【図４】データベースアクセス権限管理サーバに格納されているデータテーブルを示す図である。
【図５】実施の形態のデータベースアクセス権限管理システムの操作を示す第１のフローチャートである。
【図６】実施の形態のデータベースアクセス権限管理システムの操作を示す第２のフローチャートである。
【図７】実施の形態のデータベースアクセス権限管理システムの操作を示す第３のフローチャートである。
【図８】実施の形態のデータベースアクセス権限管理システムの操作を示す第４のフローチャートである。
【図９】実施の形態のデータベースアクセス権限管理システムの操作を示す第５のフローチャートである。
【図１０】実施の形態のデータベースアクセス権限管理システムの操作を示す第６のフローチャートである。
【図１１】実施の形態のデータベースアクセス権限管理システムの操作を示す第７のフローチャートである。
【図１２】実施の形態のデータベースアクセス権限管理システムの操作を示す第８のフローチャートである。
【符号の説明】
１データベースアクセス権限管理システム
２電気通信回線
３_１ _〜 _ｎ管理端末器
４メインサーバ
５移動管理サーバ
６認証管理サーバ
７移動オブジェクト管理サーバ
８移動オブジェクト
９権限変更情報
９’暗号情報
９’’署名暗号情報
１０情報搭載済移動オブジェクト
１０’暗号オブジェクト
１０’’モバイルソフトウエア
１１デジタル署名
１２他のコンピュータ
２０データベースアクセス権限管理サーバ
ＤＢデータベース装置
Ｔ１組織員個人情報テーブル
Ｔ２アクセス権限情報テーブル
Ｔ３データベース操作情報テーブル
ＨＫ_１ハッシュキー
Ｋｓ_１秘密鍵情報[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a system and a program for managing the access authority of a person qualified for database access in a system provided with a plurality of database devices having a management terminal for performing database input / output operations.
[0002]
[Prior art]
In a system having database devices arranged at different bases, the access authority of a qualified database access person may be changed due to a personnel change or the like of the qualified person. In that case, conventionally, the access authority of the database access qualified person who has changed has been manually changed for each management terminal device.
[0003]
2. Description of the Related Art Conventionally, there is a system for restricting access to files between computers communicably connected by a telecommunication line. (For example, see Patent Document 1)
[0004]
[Patent Document 1]
Japanese Patent Application No. 11-53243
[0005]
[Problems to be solved by the invention]
However, such a change in access authority is a very time-consuming task and has a disadvantage that a setting error is apt to occur. As a result, there are problems regarding availability, operability, and security. .
[0006]
In addition, as described above, although there is a system that realizes access restriction on files, there is no such system for databases, and further, even in an access restriction system for files, in an environment where files and databases are distributed and arranged. In this case, the authority to set the access restriction must exist in a distributed manner, which makes it impossible to collectively and centrally manage the access restriction.
[0007]
[Means for Solving the Problems]
In order to solve the above-described problem, the present invention provides a plurality of database devices each having a management terminal, wherein the management terminals are communicably connected to each other by an electric communication line, and a database access to the management terminal. Database access stored in each of the database devices in a system configuration in which a reference or update operation of information recorded in the database device is performed based on an input operation performed by a qualified person. The authority management system has the following configuration.
[0008]
An authentication management server is provided in one of the management terminals or another computer communicably connected to the management terminal via the telecommunication line. A database access authority management server is provided in one of the management terminals or another computer communicably connected to the management terminal via the telecommunication line. A moving object management server is provided in one of the management terminals or another computer communicably connected to the management terminal via the telecommunication line. A mobility management server is provided for each of the other management terminals.
[0009]
The authentication management server has a function of generating authentication information for authenticating itself and another server in advance, and supplying the generated authentication information to the mobility management server.
[0010]
The database access authority management server is configured to execute the database access authority management server in accordance with an input operation performed by the database access authority administrator on the management terminal or the other computer provided with the database access authority management server. It has a function of setting access authority and storing the information, and a function of storing operation command information necessary for changing the database access authority recorded in the database device. .
[0011]
The moving object management server has a function of taking in the access authority information and the operation command information from the database access authority management server and storing the access authority information and the operation command information. A moving object that autonomously moves between management servers via the telecommunications line and sets the access right to the database device via the management terminal device approached during movement based on the operation command information. And a function of uploading a moving object (hereinafter referred to as an information-equipped moving object) carrying the access authority information and the operation command information to the telecommunication line.
[0012]
And, the moving object management server and the movement management server, between any of the movement management server, while performing the operation of transmitting and receiving the information loaded moving object via the telecommunications line, at the time of the communication, Authentication is performed with the arbitrary mobility management server based on the authentication information, and transmission / reception operations of the information-equipped moving object are performed with respect to the arbitrary mobility management server that has been successfully authenticated. .
[0013]
The present invention also provides a database device having a plurality of management terminals, wherein the management terminals are communicably connected to each other by a telecommunication line, and an input operation performed by a database access qualified person on the management terminal. In a system configuration in which an operation of referring to and updating information recorded in the database device is performed based on the following, a program for managing the database access authority of a database access qualified person stored in each database device includes the following: It has a configuration.
[0014]
An authentication management server program for causing one of the management terminals or another computer communicably connected to the management terminal via the telecommunication line to execute an authentication management function; and A database access authority management server that executes an access authority setting function and an operation command setting information storage function on one of the computers or on another computer communicably connected to the management terminal via the telecommunication line. A program, one of the management terminals, or another computer communicably connected to the management terminal via the telecommunication line, an information capturing function, a moving object management function, and an upload function. Moving to the moving object management server program and the other management terminals respectively. And a mobile management server program for executing management functions.
[0015]
The authentication management function, in advance, after generating authentication information to authenticate itself and other server programs, the generated authentication information, the management terminal device and another computer provided with another server program, and the other computer It is a function to supply.
[0016]
The access right setting function is configured to perform the access right of the database access qualified person according to an input operation performed by the database access right manager on the management terminal or the other computer provided with the database access right management server. Is set and the information is stored.
[0017]
The operation command setting information storage function is a function of storing operation command information necessary for changing the database access authority recorded in the database device.
[0018]
The information fetching function is a function of fetching and storing the access right information and the operation command information from the database access right management server via the electric communication line.
[0019]
The moving object management function autonomously moves between each of the movement management servers and the other computer via the telecommunication line, and connects to the database device via the management terminal that approaches during movement. The function is to generate a moving object for setting the access right based on the operation command information.
[0020]
The upload function is a function of uploading a moving object (hereinafter, referred to as an information-equipped moving object) carrying the access authority information and the operation command information to the telecommunication line.
[0021]
And, the moving object management function and the movement management function, between any management terminal provided with a movement management server program, based on the information from the moving object, via the telecommunication line While performing the transmission / reception operation of the information-equipped moving object, at the time of the communication, the authentication is performed with the arbitrary management terminal based on the authentication information, and for the management terminal successfully authenticated, The function is to perform a transmission / reception operation of the information-loaded mobile object.
[0022]
As a result, the present invention makes it possible to automatically set the access authority of a person qualified for database access to the database device via each management terminal device while circulating the moving object on the telecommunication line. In addition, the server (server program) does not allow the transfer / reception of the moving object only between those successfully authenticated with each other, so that the moving object roams on the telecommunication line. Its safety will be kept high.
[0023]
The database access authority management system of the present invention is preferably configured as follows. When the mobility management server receives the information-loaded mobile object, the mobile management server executes an initial start operation of the object. The moving object performs an operation of setting the database access authority in the database device via the management terminal into which the moving object has been input, based on an initial start operation performed by the movement management server. Is done.
[0024]
The database access right management program of the present invention is preferably configured as follows. The movement management function is considered to include a function of causing the management terminal to execute an initial start operation of the moving object when the information-equipped moving object is received. The moving object management function sets, as the moving object, the access authority to the database device via a management terminal into which the moving object has been input, based on an initial start operation executed by the movement management server. It is said to include a function of executing an operation.
[0025]
With the above configuration, the setting operation of each access right can be further automated.
[0026]
The database access authority management system of the present invention is preferably configured as follows. The moving object management server attaches a digital signature generated based on the authentication information to the moving object, and mounts the access authority information and the operation command information information on the moving object. . The movement management server, upon receiving the information-equipped mobile object, checks a digital signature attached to the information-equipped mobile object based on the authentication information, and the information-equipped mobile object that can confirm the digital signature. The initial start operation is performed on the object.
[0027]
The database access right management program of the present invention is preferably configured as follows. The moving object management function includes a function of attaching the software to the moving object after attaching a digital signature generated based on the authentication information to the moving object. The movement management function, upon receiving the software-installed moving object, checks a digital signature attached to the moving object based on the authentication information. It is said to include a function of executing an initial start operation.
[0028]
With the above configuration, the moving object is authenticated by the authentication management server (server program), and each management terminal can safely receive the moving object.
[0029]
The database access authority management system of the present invention is preferably configured as follows. The moving object management server attaches a digital signature generated based on the authentication information to the access authority information and the operation command information, and mounts the digital signature attached information on the moving object. . The movement management server, upon receiving the information-equipped moving object, checks the attached digital signature based on the authentication information, and performs the initial start for the information-equipped moving object for which the digital signature has been confirmed. The operation is performed.
[0030]
The database access right management program of the present invention is preferably configured as follows. The moving object management function includes a function of attaching a digital signature generated based on the authentication information to the access authority information and the operation command information, and mounting the digital signature attached information on the moving object. It is said. The movement management function checks the attached digital signature based on the authentication information when receiving the information-equipped moving object, and performs the initial start for the previous information-equipped moving object for which the digital signature has been confirmed. It is said to include a function of performing an operation.
[0031]
With the above configuration, the access authority information and the operation command information are authenticated by an authentication management server (server program), and each management terminal can safely capture the access authority information. It becomes possible.
[0032]
The database access authority management system of the present invention is preferably configured as follows. The moving object management server mounts the access authority information and the operation command information on the moving object, and attaches a digital signature generated based on the authentication information to the information mounted moving object. Is done. The movement management server, upon receiving the information-equipped moving object, checks a digital signature attached to the moving object based on the authentication information. A start operation is performed.
[0033]
The database access right management program of the present invention is preferably configured as follows. The moving object management function includes a function of mounting the access authority information and the operation command information on the moving object and attaching a digital signature generated based on the authentication information to the information mounted moving object. It is said to include. The movement management function can confirm the digital signature attached to the moving object based on the authentication information when the moving object with the information is received by the storage computer of the movement management server program, and can confirm the digital signature. And a function of executing the initial start operation on the moving object.
[0034]
With the above-described configuration, the information-equipped moving object is authenticated by the authentication management server (server program), and each management terminal can more securely capture the access authority.
[0035]
In the database access authority management system according to the present invention, it is preferable that the authentication management server and the moving object management server are provided on the same computer. Similarly, it is preferable that the database access authority management server and the moving object management server are provided on the same management terminal or the same other computer. Then, simplification of the system can be promoted.
[0036]
The database access authority management system of the present invention is preferably configured as follows. The moving object management server registers, in the moving object, a predetermined moving route of the moving object between the moving management servers. The moving object management server or the movement management server moves the software-installed moving object based on a moving path set for the moving object.
[0037]
The database access right management program of the present invention is preferably configured as follows. The moving object management function includes a function of registering a previously set moving path of the moving object in the moving object.
[0038]
The moving object management function or the movement management function includes a function of moving the information-equipped moving object based on a moving path set for the moving object.
[0039]
With the above configuration, it is possible to reliably send the information-equipped moving object to each management terminal on the moving route.
[0040]
The database access authority management system of the present invention is preferably configured as follows. If the moving object management server or the movement management server fails to transmit the information-equipped moving object to the next destination movement management server, the moving object management server or the movement management server ignores the next movement management server and moves on the movement route. Further, the transmission operation is performed for the mobility management server located next. The moving object stores a mobility management server that has failed to enter, travels around the travel route, and then revisits the mobility management server that failed to enter.
[0041]
The database access right management program of the present invention is preferably configured as follows. If the moving object management function or the movement management function fails to transmit the information-equipped moving object to the next destination movement management server program, the next movement management server program is ignored. It is configured to include a function of executing a transmission operation to the mobility management server program located further next on the route. The moving object management function stores, as a moving object, a moving management server program that has failed to enter and, after making a round of the movement route, generates a moving object that goes around the moving management server program that failed to enter again. It is configured to include functions.
[0042]
In this way, it is possible to repeat the transmission twice and three times even for the management terminal that failed to transmit the information-equipped moving object, and furthermore, the moving object for each management terminal Delivery is assured.
[0043]
Note that, as the authentication information, for example, public key information and secret key information can be used.
[0044]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, the present invention will be described with reference to embodiments. In the present embodiment, a plurality of database devices having a management terminal are provided, the management terminals are communicably connected to each other via an intranet, and the management terminal is based on an input operation performed by a qualified database access person. The present invention is implemented in a system for managing the database access authority of a database access qualified person stored in each database device in a system configuration in which operations of referring to and updating information recorded in the database device are performed. I have.
[0045]
This system is a system implemented under the following assumptions. A plurality of database devices are set in an organization such as a company. Although it is preferable that the database devices have the same standard (the same vendor and the same version), actually, database devices having different standards are arranged together. A database access qualified person selected from the organization members is accessing the database device within the access qualification range given by the database access authority manager.
[0046]
Based on the above assumptions, if the role of the database access qualified person changes in the organization due to a personnel change or the like, the accessible (permitted) range of the database device assigned to him (her) (hereinafter referred to as access) Authority). For example, it is assumed that a person who is qualified to access any database has been transferred to another department due to a personnel change. In this case, the database access authority manager temporarily denies the access authority that the database access qualified person had in the previous department and then newly grants the access authority required in the new department. Such an access right is stored in each database device, and therefore, every time a personnel change occurs, it is necessary to change the setting of the access right in each database device. The system of the present invention is a system that automatically and collectively changes the setting of the database access authority using a moving object.
[0047]
This database access authority management system 1 includes a plurality of database devices DB. Although the database device DB is preferably formed of the same standard device, it is actually formed of devices of different standards, and performs input / output operations on the database and sets different operation commands. .
[0048]
Each database device DB is a management terminal 3 for performing its input / output operations.₁ _~ _nIt has. Management terminal 3₁ _~ _nPerforms input and output of various information to and from the database device DB. In the present embodiment, the management terminal 3₁ _~ _nIs configured as a separate device from the database device DB, but the management terminal 3₁ _~ _nMay be provided integrally in the database device DB.
[0049]
Each management terminal 3₁ _~ _nAre communicably connected to each other by an electric communication line 2. The telecommunication line 2 is constituted by, for example, an optical fiber cable network, and the management terminal 3₁ _~ _nAre communicably connected by a LAN (local area network) constituted by such an electric communication line 2.
[0050]
These management terminals 3₁ _~ _nManagement terminal 3 which is one of₁Has a main server program (hereinafter referred to as a main server) 4 installed therein.₂ _~ _n, A mobility management server program (hereinafter, referred to as a mobility management server) 5 is installed. As shown in FIG. 2, the main server 4 includes an authentication management server program (hereinafter, referred to as an authentication management server) 6, a moving object management server program (hereinafter, referred to as a moving object management server) 7, and a database access authority management server program (hereinafter, referred to as a management server program). Hereinafter, the database access authority management server) 11. These programs (server configuration) are organically combined with each other via the telecommunication line 2 to operate interoperably, whereby the plurality of management terminals 3 connected by the telecommunication line 2 are connected.₁ _~ _nThese programs function as a single program that operates as one functional body.
[0051]
In this embodiment, the authentication management server 6, the moving object management server 7, and the database access authority management server 20 are connected to the same main server 4 (the management terminal 3).₁), These servers 6, 7, 11 are separate management terminals 3.₁ _~ _nOr the management terminal 3 via the telecommunication line 2.₁ _~ _nMay be provided in another computer 12 communicably connected to the computer.
[0052]
The authentication management server 6 has a function of generating authentication information for authenticating itself and other servers in advance, and supplying the generated authentication information to the mobility management server.₁The program is configured so that
[0053]
The database access authority management server 20
・ Management terminal 3₁In accordance with an input operation performed by a database access authority manager, an access authority setting function for setting the access authority of the database access qualified person and storing the information,
An operation command setting information storage function for storing operation command information (depending on the vendor and version of the database device DB) necessary for changing the database access authority recorded in the database device DB;
Management terminal 3₁The program is configured so that
[0054]
The moving object management server 7 manages the management terminal 3₁The program is configured to perform the following functions.
[0055]
The moving object management server 7
A function of generating an autonomous mobile object ([Autonomous Mobile Object], hereinafter referred to as a mobile object) 8;
A function of receiving and storing access authority information and operation command information from the database access authority management server 20,
-Based on the stored operation command information and access authority information of the database device DB, information indicating a change in access authority (hereinafter, referred to as authority change information 9) is generated in the database device DB, and the authority change information is generated. A function of encrypting 9 and generating encrypted information 9 ';
A function of generating the digital signature 11 and attaching it to the encryption information 9 ′ to generate the signature encryption information 9 ″;
A function of generating the information-mounted moving object 10 by mounting the signature encryption information 9 ″ on the moving object 8;
A function of encrypting the moving object 10 with the information mounted thereon to generate a cryptographic object 10 ′;
A function of generating a digital signature 11 and attaching it to the encryption object 10 ′ to generate a signature encryption object (hereinafter, referred to as mobile software) 10 ″;
A function of performing mutual authentication with the mobility management server 5,
A function of transmitting the mobile software 10 ″ to the mobility management server 5,... Via the telecommunication line 2,
A function in which the mobile software 10 ″ sets a traveling route that circulates between the plurality of mobility management servers 5,.
Management terminal 3₁The program is configured so that
[0056]
The moving object 8 serves as a carrier for the authority change information 9, and itself autonomously moves through the servers 4, 5,... Is software for setting an access right to the database device DB via the command line based on the operation command information. Further, the mobile software 10 ″ corresponds to a moving object with information installed in the claims.
[0057]
The mobility management server 5 includes a management terminal 3₂ _~ _nThe program is configured to perform the following functions.
[0058]
The mobility management server 5
A function of performing mutual authentication with the main server 4 or the mobility management server 5,
A function for confirming the security of the received mobile software 10 ″;
A function of executing the initial start operation after decrypting the received mobile software 10 ″;
A function of transmitting the received mobile software 10 ″ to the next movement management server 5 on the movement route registered in the moving object 8;
Management terminal 3₂ _~ _nThe program is configured so that
[0059]
The moving object 8 is connected to each management terminal 3 via the telecommunication line 2.₂ _~ _nIn the course of traveling round, each host management terminal 3 in the middle of patrol₂ _~ _nThe program is configured to perform the following functions.
[0060]
The moving object 8
-The next management terminal 3 along the registered travel route₂ _~ _nThe current donation destination management terminal 3 so that the₂ _~ _n(Movement management server 5);
The program initial start operation of the moving object 8 is performed by the movement management server 5 (the donation destination management terminal 3).₂ _~ _n),
・ Management terminal device 3 that was approached while moving₁ _~ _nA function of setting the access authority to the database device DB based on the operation command information via the
Donation destination management terminal 3₁ _~ _nThe program is configured so that
[0061]
In a memory (not shown) of each database device DB, identification information (employee number, etc.) of the organization member who has been granted the operation authority of the database device DB, and the granted access authority (only the reference authority, reference / write) Authority) are recorded in association with each other. The reference authority is an authority that can refer to database information recorded in the database device DB, and the write authority is an authority that can add writing to the database information.
[0062]
Next, the operation of the information collection system 1 will be described with reference to the key information exchange correlation diagram of FIG. 3, the time table configuration of FIG. 4, and the flowcharts of FIGS.
[0063]
First, in the authentication management server 6, the following registration operation is performed in advance. The authentication management server 6 has its own (authentication management server 6) public key information Ko.₁And secret key information Ks₁And the management terminal 3₂ _~ _nEach management terminal 3 based on a registration request from₂ _~ _nPublic key information Ko₂ _~ _nAnd secret key information Ks₂ _~ _nAnd generate
[0064]
And all the public key information Ko₁ _~ _nAre made open to the respective mobility management servers 5,... And are stored in a memory (not shown) of the own (authentication management server 6). On the other hand, the secret key information Ks of itself (the authentication management server 6)₁Is set in a state where it cannot be disclosed, and is stored in a memory (not shown) of itself (authentication management server 6).
[0065]
Further, the authentication management server 6 stores secret key information Ks of each of the mobility management servers 5,.₂ _~ _nAre sent to the corresponding mobility management servers 5,. At the same time, the public key information Ko of the authentication management server 6 is₁Are also sent to each of the mobility management servers 5,.
[0066]
Note that the secret key information Ks₂ _~ _nAre sent to the mobility management servers 5,... Other than the corresponding mobility management servers 5,. Specific examples of such a delivery form include handing over and mailing to the operator of the mobility management server 5,.
[0067]
Each of the mobility management servers 5,... Obtains its own (mobility management server 5,...) Private key information Ks obtained from the authentication management server 6.₂ _~ _nAnd the public key information Ko of itself (each of the mobility management servers 5,...)₂ _~ _nAnd the public key information Ko of the authentication management server 6₁Are stored and retained in a memory (not shown) of the own (movement management server 5,...). At this time, the secret key information Ks₂ _~ _nAre kept undisclosed to the other mobility management servers 5,. These secret key information Ks₁ _~ _nAnd public key information Ko₁ _~ _nIs shown in FIG.
[0068]
After performing the above registration operation, the main server 4 (moving object management server 7) first generates mobile software 10 ''.
[0069]
The generation of the mobile software 10 ″ will be described with reference to the time table configuration diagram of FIG. 4 and the flowcharts of FIGS. In the following description, it is assumed that a database access qualified person has changed his (her) database access authority due to a personnel change within the organization.
[0070]
The database access authority management server 20 records an organization member personal information table T1 shown in FIG. 4A, an access authority information table T2 shown in FIG. 4B, and a database operation information table T3. The organization member personal information table T1 records organization member number information (which is individually assigned), name, department code, post, and the like. In the access authority information table T2, the post of the section to which the user belongs and the operation authority for each database device DB are recorded in association with each other. The operation authority is set for each table of the database device DB. The database operation information table T3 includes operation commands necessary for changing the operation authority contents recorded in the memory of the database device DB, account information of the database access authority administrator, passwords necessary for the operation for changing the operation authority, and the like. The information is recorded in association with the type (vendor name or version name) of the database device DB.
[0071]
After the above settings are made, the database access authority management server 20 performs the following operation. As shown in the flowchart of FIG. 5, the database access authority management server 20 monitors whether or not information on personnel changes is input by a database access authority administrator (such as a person in charge of a human resources department of an organization) (S501). The information input of the personnel change is performed by, for example, the management terminal 3 provided with the database access authority management server 20.₁Or an input device of another computer 12 communicably connected to the database access authority management server 20 via the electric communication line (LAN) 2.
[0072]
When the database access right management server 20 detects that the personnel change information has been input in S501, the database access right management server 20 rewrites the contents of the organization member personal information table T1 based on the input personnel change information ( S502).
[0073]
Further, the database access authority management server 20 extracts the following information from the database operation information table T3 based on the change of the organization member personal information table T1. The database access authority management server 20 retrieves, from the access authority information table T2, the access authority information assigned to the post of the organization member in which the personnel change has occurred. Further, the database operation information necessary for depriving the access right that was given before the transfer to the organization member who has undergone the personnel change, and the database operation information necessary for granting the access right newly given after the transfer, are stored in the database. Take out from the operation information table T3. (S503).
[0074]
The operation of extracting the information necessary for changing the database access authority of the person-to-be-transferred person described above is performed for all persons-to-be-transferred person-to-be-transferred persons (qualified database access persons whose authority has been changed). The database access authority management server 20 records the extracted information (hereinafter, referred to as authority change information) 9 necessary for changing the database access authority for each person to be transferred, and outputs the information to the moving object management server 7.
[0075]
Next, a registration operation of the signature encryption information 9 '' is performed. As shown in the flowchart of FIG. 6, the moving object management server 7 designates the authority change information 9 regarding the person or person who changes the authority setting, and transfers the authority change information 9 to the management terminal 3.₁(S601).
[0076]
Management terminal 3₁When the moving object management server 7 and the database access authority management server 20 are installed in the same machine, the authority change information 9 is stored in the same machine (the management terminal 3).₁). However, the moving object management server 7 and the database access authority management server 20 are separate management terminals 3₁ _~ _nOr installed in another computer 12, the authority change information 9 is transmitted from the database access authority management server 20 to the moving object management server 7 via the electric communication line (LAN) 2.
[0077]
Next, the designated authority change information 9 is encrypted to generate encrypted information 9 '(S602). Although there are various encryption methods, there is no particular limitation.
[0078]
Next, a hash key HK is obtained from the encryption information 9 'using a hash function.₁Is generated (S603). It should be noted that the hash function is a commonly used technique, and a description thereof is omitted here.
[0079]
Next, the generated hash key HK₁To the secret key information Ks of the authentication management server 6.₁Then, the digital signature 11 of the encrypted information 9 '(authority change information 9) is generated by encrypting the digital signature 11 (S604).
[0080]
Next, by attaching the generated digital signature 11 to the encryption information 9 ', signature encryption information 9 "is generated, and the signature encryption information 9" is registered and stored in a memory (not shown) (S605). .
[0081]
By repeating the above operation, a plurality of signature encryption information 9 '' is registered in the moving object management server 7.
[0082]
Next, from the plurality of registered signature encryption information 9 ″, each management terminal 3₁ _~ _n, The signature encryption information 9 ″ (authority change information 9) desired to be updated and written to the database device DB is selected, and further information relating to the desired update writing is provided by the operator (database access authority manager) to the management terminal 3.₁In the main server 4, the operation shown in the flowchart of FIG.
[0083]
That is, first, the moving object 8 is generated in the moving object management server 7 (S701). Since the operation functions and the like of the moving object 8 have been described above, the description thereof is omitted here. The generated moving object 8 is stored in the management terminal 3 in any order.₂ _~ _nA moving route, which is an order indicating whether or not the moving route is to be incorporated, and a number of patrols, which indicates how many times the moving route is traversed, are set, and the information is registered in the recording area of the moving object 8 (S702).
[0084]
The information on the travel route may be set in advance as common to each authority change information 9 and registered in the moving object management server 7, or may be set for each authority change information 9 and the operator ( Management terminal 3 by database access authority manager)₁(Moving object management server 7).
[0085]
When the setting registration of the moving route for the moving object 8 is completed, the moving object management server 7 reads out the signature encryption information 9 ″ of the desired authority change information 9 to be sent from a memory (not shown) and reads out the read signature encryption information 9 ′. By mounting 'on the moving object 8, the information-mounted moving object 10 is generated (S703), and the information-mounted moving object 10 is encrypted to generate the encrypted object 10' (S704).
[0086]
Next, the data of the cryptographic object 10 ′ is processed by using a hash function to obtain the hash key HK.₂Is generated (S705), and the generated hash key HK is further generated.₂To the secret key information Ks of the self (authentication management server 6).₁Then, the digital signature 12 of the encrypted object 10 'is generated by encrypting (S706). Then, the mobile software 10 ″ is generated by attaching the generated digital signature 12 to the cryptographic object 10 ′ (S707).
[0087]
In the generation of the mobile software 10 ″ described above with reference to the flowcharts of FIGS. 6 and 7, the digital signature 11 is generated for the authority change information 9 and the digital signature is also generated for the encrypted object 10 ′. The signature 12 is generated. That is, by generating the digital signature twice, the security accuracy in transporting the mobile software 10 ″ is increased. However, the generation of the digital signature 11 for the authority change information 9 may be omitted, and only the generation of the digital signature 12 for the cryptographic object 10 'may be performed. Specifically, the operation of generating the digital signature 11 shown in the flowchart of FIG. 6 may be omitted, and only the operation of generating the digital signature 12 shown in the flowchart of FIG. 7 may be performed. Even so, the safety accuracy in transporting the mobile software 10 ″ can be maintained.
[0088]
Next, transmission / reception operations of the mobile software 10 '' will be described with reference to a flowchart shown in FIG. In FIG. 8, a flow located on the left side indicates an operation of a server that performs a transmission operation (hereinafter, referred to as a transmission server), while a flow located on the right side thereof performs a reception operation (hereinafter, referred to as a reception server). ).
[0089]
The transmission of the mobile software 10 ″ is executed from the moving object management server 7 to the movement management server 5, and is also executed from the movement management server 5 to the movement management server 5. In the following description, the transmission / reception operation from the moving object management server 7 to the mobility management server 5 will be described as an example. However, the transmission / reception operation between the mobility management servers 5 is basically the same, and a description thereof will be omitted.
[0090]
The moving object management server 7 (may be the movement management server 5) first reads the movement route registered in the mobile software 10 ″, and positions itself (the movement management server 5) at the end of the route. It is determined whether or not to perform (S801). If the transmission server is the moving object management server 7, this server is not located at the end of the route.
[0091]
If it is determined in S801 that the route has not reached the end of the route, the mobile management server 5 located next on the registered travel route is specified (S802).
[0092]
In the moving object management server 7, as a pre-process for generating (encrypting) the mobile software 10 '', the moving path is read from the moving object 8 constituting the mobile software 10 ''. On the other hand, the mobility management server 5 reads the travel route after decrypting the mobile software 10 ″.
[0093]
The moving object management server 7 makes a physical access request via the telecommunication line 2 to the next movement management server 5 along the read movement path (S803), and then performs the authentication access. It is monitored whether or not is successful (S804). At this time, the mobility management server 5 on the receiving side responds to the physical access of S803 if the server is in a normal functioning state (S805).
[0094]
If it is determined in S804 that the authentication access is unsuccessful, the transmitting server determines that the mobility management server 5 on the receiving side cannot communicate. In this case, information collection incomplete information to the effect that physical access to the movement management server 5 as the transmission destination could not be performed is additionally recorded in the registered contents of the movement route in the moving object 5 (S806). Then, after performing a process of terminating the communication in a state where the physical access is unsuccessful (error process) (S807), the process returns to S801 to execute the above process again.
[0095]
Note that the case where the mobility management server 5 is unable to communicate means, for example, that the management terminal 3 provided with the mobility management server 5.₂ _~ _nIs turned off or the management terminal 3₂ _~ _nIf the communication port for the telecommunication line 2 is disconnected, or if the management terminal 3₂ _~ _nMay be out of order.
[0096]
When a partner (mobility management server 5) with which physical access is successful is obtained by repeatedly performing the operations of S801 to S807, inter-server authentication is performed with the mobility management server 5 (S808, S809). .
[0097]
Server-to-server authentication is performed by mutual authentication. That is, server-to-server authentication is performed by mutual authentication in which one server authenticates the other server and then the other server authenticates one server.
[0098]
Hereinafter, the server-to-server authentication will be described in detail. Note that the server-to-server authentication is similarly performed in the authentication between the mobile object management server 7 and the mobile management server 5 and in the authentication between the mobile management servers 5. This will be described with reference to FIGS. 9 and 10, which are common flowcharts. FIG. 9 shows the operation of the authentication active side server, and FIG. 10 shows the operation of the authentication passive side server.
[0099]
The active server on the authentication side refers to a server that authenticates the partner server on its own will, and the passive server on the authentication side refers to a server that is authenticated on the will of the partner server. The role of the authentication active server and the role of the authentication passive server are mutually performed by both communicating servers.
[0100]
In the authentication active side server, first, the public key information Ko of the authentication passive side server is transmitted from the authentication management server 6 via the telecommunication line 2._pIs obtained (S901). When the active server on the authentication side is the moving object management server 7, the management terminal 3 does not need to go through the telecommunication line 2.₁Public key information Ko of the authentication passive server from the authentication management server 6 in the_pGet.
[0101]
Next, the authentication active side server generates a random number r (902), stores the random number r in a memory (not shown), and stores the random number r in the public key information Ko of the authentication passive side server._p(S903). Then, the encrypted random number r 'is transmitted to the passive server for authentication (S904).
[0102]
On the other hand, as shown in the flowchart of FIG. 10, the authentication passive server constantly monitors whether or not to receive the encrypted random number r 'from the authentication active server (S1001).
[0103]
Then, when it is confirmed that the random number r 'has been received from the authentication active side server, first, the authentication passive side server accesses the authentication management server 6 via the telecommunication line 2 so that the authentication active side server receives the random number r'. Public key information Ko_aIs obtained (S1002). If the authentication active server is the authentication management server 6, the operation in S1002 is not necessary. Public key information Ko of the authentication management server 6₁Is sent to the authentication passive server side in advance.
[0104]
After performing the above preparation operation, the secret key information Ks of the self (authentication passive side server)_pIs used to decrypt the encrypted random number r '(S1003).
[0105]
Then, the decrypted random number r is used as the public key information Ko of the authentication active server obtained in S1002._a(S1004), and transmits the re-encrypted random number r '' to the authentication active side server via the telecommunication line 2 (S1005), and terminates a series of operations.
[0106]
Returning to the flowchart of FIG. On the other hand, the server on the authentication active side transmits the encrypted random number r ′ to the server on the authentication passive side in S904, and then monitors whether or not to receive the re-encrypted random number r ″ from the server on the authentication passive side (S905). ).
[0107]
Then, in S805, when it is confirmed that the re-encrypted random number r ″ has been received from the authentication active side server, the secret key information Ks of the self (authentication active side server) is confirmed._aIs used to decrypt the random number r '' (S906).
[0108]
Then, it is compared whether the decrypted random number (r) matches the original random number r generated and stored by the authentication active server itself (S907).
If the decrypted random number (r) matches the original random number r in (S807) [(r) = r], the authentication active server completes authentication of the authentication passive server and ends a series of operations. (S908).
[0109]
On the other hand, if the decrypted random number (r) does not match the original random number r in step S907 [(r) ≠ r], a series of operations is terminated assuming that the authentication active server could not authenticate the authentication passive server. (S909).
[0110]
Mutual authentication is performed by executing the above-described authentication operation while alternately performing the roles of the authentication active side server and the authentication passive side server.
[0111]
Returning to the flowchart of FIG. 8, transmission and reception of the mobile software 10 ″ and its operation will be described. After executing the server-to-server authentication in S808 and S809, it is monitored whether or not the authentication is completed (S810). If the authentication is not completed (authentication failed) in S810, the moving object management server 7 or the movement management server 5 on the transmission side returns to S806 and transmits the registered contents of the movement route in the moving object 8 to the registered contents. The information collection incomplete information indicating that the authentication has failed is additionally recorded in the destination mobility management server 5 (S806). Then, after performing processing (error processing) for terminating the communication in a state where the authentication has failed (S807), the processing returns to S801 and the processing described above is executed again.
[0112]
On the other hand, when the authentication is completed (success in the authentication) in S810, the moving object management server 7 or the movement management server 5 on the transmission side transmits the electric communication line 2 to the movement management server 5 on the transmission destination. After performing the transmission operation of the mobile software 10 ″ via the server (S811), it is monitored whether or not the transmission operation is successful (S812). Then, in S812, when it is confirmed that the transmission operation of the mobile software 10 '' is successful, the transmission operation of the mobile software 10 '' is terminated.
[0113]
On the other hand, if it is confirmed in S812 that the transmission operation of the mobile software 10 '' has failed, the process returns to S806 to perform the processing. That is, information collection incomplete information indicating that the mobile software 10 ″ could not be transmitted to the movement management server 5 is additionally recorded in the registered contents of the movement route in the moving object 8 (S806). Then, after performing processing (error processing) for terminating the communication in a state where the transmission of the mobile software is unsuccessful (S807), the process returns to S801 to execute the above-described processing again.
[0114]
Next, the operation of the receiving server (the movement management server 5 on the receiving side) will be described.
When the inter-server authentication is completed in S809, the receiving server receives the mobile software 10 '' from the main server 4 or another mobility management server 5 which has completed the authentication (S813).
[0115]
When the reception of the mobile software 10 '' in S813 is confirmed by the receiving server, an operation for confirming whether or not the received mobile software 10 '' is guaranteed is performed (S814).
[0116]
The guarantee confirmation operation of the mobile software 10 '' will be described with reference to the flowcharts of FIGS. First, a description will be given, with reference to the flowchart in FIG. 11, of a guarantee confirmation operation of the moving object 8 constituting the mobile software 10 ''.
[0117]
First, the digital signature 12 of the moving object 8 is extracted from the received mobile software 10 ″, and the public key information Ko of the authentication management server 6 obtained in advance is obtained for the extracted digital signature 12.₁Is decrypted using the hash key HK₂Is restored (S1101).
[0118]
On the other hand, the cryptographic object 10 'is restored by removing the digital signature 12 from the mobile software 10 "(S1102), and the hash key HK is obtained from the restored cryptographic object 10' using a hash function.₂'Is generated (S1103).
[0119]
Next, the hash key HK restored in S1101₂And the hash key HK generated in S1103₂Is determined (S1104). Then, the hash key HK is determined based on the determination in S1104.₂And hash key HK₂’Matches (HK₂= HK₂In step (1), it is determined that the guarantee of the mobile software 10 '' has been confirmed, and the guarantee confirmation operation ends (S1105).
[0120]
On the other hand, the hash key HK is determined in S1104.₂And hash key HK₂’Does not match (HK₂≠ HK₂In (1), the assurance confirmation operation is terminated because the guarantee of the mobile software 10 '' was not confirmed (S1106).
[0121]
If the guarantee of the mobile software 10 '' has been confirmed in S1105, then the guarantee of the authority change information 9 installed in the mobile software 10 '' is confirmed. The assurance confirmation of the authority change information 9 will be described with reference to the flowchart of FIG.
[0122]
First, the digital signature 11 of the authority change information 9 is extracted from the information-installed moving object 10, and the public key information Ko of the authentication management server 6 obtained in advance is obtained for the extracted digital signature 11.₁Is decrypted using the hash key HK₁Is restored (S1201).
[0123]
On the other hand, the cryptographic information 9 'is extracted from the information-mounted mobile object 10 (S1202), and the hash key HK is extracted from the extracted cryptographic information 9' using a hash function.₁'Is generated (S1203).
[0124]
Next, the hash key HK restored in S1201₁And the hash key HK generated in S1103₁'Is determined (S1204). Then, the hash key HK is determined based on the determination in S1204.₁And hash key HK₁’Matches (HK₁= HK₁'), The assurance confirmation operation is terminated assuming that the assurance of the authority change information 9 has been confirmed (S1205). On the other hand, the hash key HK is determined in S1204.₁And hash key HK₁’Does not match (HK₁≠ HK₁'), The assurance confirmation operation is terminated because the assurance of the authority change information 9 could not be confirmed (S1206).
[0125]
Returning to the flowchart of FIG. 8, transmission / reception and operation of the mobile software 10 ″ will be described. In S814, when the guarantee of the mobile software 10 ″ and the authority change information 9 is confirmed, the mobility management server 5 restores the authority change information 9 by decrypting the encryption information 9 ′, and performs the initial start operation of the moving object 8. Execute Thereby, the moving object 8 is transferred to the donation destination movement management server 5 (management terminal 3).₂ _~ _n), The access authority information of the organization members recorded in the database device DB connected thereto is changed based on the authority change information 9. In the change processing, the moving object 8 is₂ _~ _n(S815).
[0126]
After performing the access authority change processing in S815, the moving object 8 monitors whether the change processing is completed normally (S816). Upon confirming that the change processing has been completed normally in S816, the moving object 8 completes the change processing of the access authority information of the database device DB in the movement management server 5 currently approaching the registered contents of the movement route. The information to the effect is additionally recorded (S817). Further, the moving object 8 transmits the recorded change processing history information to the main server 4. The main server 4 (moving object management server 7) stores information received from the moving object 8 (moving management server 5) in a memory (not shown) in a state where the information is associated with the moving management server 5.
[0127]
After performing such a process, the mobile management server 5 (reception server) that is currently receiving is switched to the transmission server (S818), and the process returns to S801. This is executed by the mobility management server 5.
[0128]
On the other hand, if it is confirmed in step S816 that the authority change process has not been completed successfully, the management terminal 3 provided with the mobility management server 5 as the receiving server is required.₂ _~ _nIs determined to be in a state in which the authority change processing of the database device DB cannot be performed for some reason via. In this case, the registered contents of the moving route in the moving object 8 are added to the management terminal 3 provided with the movement management server 5 which is the receiving server of the donation.₂ _~ _nThe information indicating that the authority change processing of the database device DB via the server could not be performed is additionally recorded (S819). Further, a process of ending the operation in a state where the change process is not completed (error process) is executed (S820).
[0129]
After performing the above processing, the mobile management server 5 that is currently receiving is switched to the transmission server (S818), and the process returns to S801, and the above-described processing of the transmission server is executed by this mobile management server 5.
[0130]
The processing of S815 to S820 described above is processing when the guarantee of the mobile software 10 ″ and the authority change information 9 has been confirmed in S814. If the guarantee of the mobile software 10 '' and the authority change information 9 cannot be confirmed in S814, the following processing is executed.
[0131]
In this case, the registered contents of the moving route stored in the received moving object 8 cannot confirm the assurance of the mobile software 10 ″ and the authority change information 9 in the movement management server 5 that is the transmission destination. Information indicating that the authority change processing of the device DB has failed is additionally recorded (S819). After performing such a process, a process of terminating the operation in a state where the change process has not been completed (error process) is executed (S820).
[0132]
Then, the mobility management server 5 that is currently receiving is switched to the transmission server (S818), the process returns to S801, and the above-described processing of the transmission server is executed by this mobility management server 5.
[0133]
The processing of S802 to S820 described above is a series of processing when it is determined in S801 that the route end has not been reached. In S801, when it is determined that the route end has been reached, the following processing is executed.
[0134]
In this case, after incrementing the number of traveling tours in the registered content of the traveling route in the moving object 8 by one, it is determined whether or not the number of traveling has reached the number of registrations registered in the moving object 8 in advance. A determination is made (S821).
[0135]
If it is determined in step S821 that the number of registrations has been reached, the mobile object 10 ″ traverses the mobility management server 5 to the scheduled number, and the authority change processing for all database apparatuses DB is completed. After contacting the management server 7 (main server 4) (S822), the transmission operation of the mobile software 10 ″ is terminated.
[0136]
On the other hand, if it is determined in S821 that the number of registrations has not been reached, the management terminal 3 on which the authority change has not been processed is performed based on the registered travel route.₂ _~ _nIn order to perform the authority change process while re-touring, the process moves to S802, where the next mobility management server 5 on the registered travel route is specified, and the above-described series of information collection operations (S802 to S802). S820) is executed.
[0137]
In the above-described embodiment, a plurality of management terminals 3 connected via an intranet constituted by a LAN (local area network) or the like are used.₁ _~ _nAlthough the present invention has been implemented in the environment described above, the present invention can be similarly implemented in an environment of a plurality of computers connected via the Internet. In this case, basically, the mobility management server 5 (each management terminal 3₂ _~ _nIs registered in the mobile object management server 7 (one management terminal 3).₁ _~ _nOr stored in another computer 12). The moving object management server 7 sets a moving route for the registered moving management server 5 for the moving object 8 and uploads it on the Internet, thereby causing the moving object 8 to circulate the moving management servers 5. Authority change processing. In this case, the authentication management server 6 can use a certificate authority server which is a public organization provided on the Internet.
[0138]
Further, the present invention can be carried out without setting a moving route for the moving object 8. In this case, the following settings are made for each of the movement management server 5 and the moving object 8. That is, the management terminal 3 that accepts information collection₂ _~ _nEach of them stores the movement management server 5 registered by the moving object management server 7. Further, when the mobile software 10 ″ approaches each mobility management server 5, a search communication function for searching for another mobility management server 5 located near the mobility management server 5 is provided by the management terminal 3.₂ _~ _nIs added to the mobility management server 5. As a result, the mobile software 10 ″ approaching each of the mobility management servers 5 becomes the management terminal 3 in which the mobility management server 5 is stored.₂ _~ _nAfter performing the authority change process of the database device DB via the server, it is possible to move to a nearby mobility management server 5 searched by the mobility management server 5. Therefore, there is no need to set a moving route for the moving object 8.
[0139]
In the embodiment described above, the authentication management server 6 and the moving object management server 7 are combined into one to constitute the main server 4, and this main server 4 is used as the management terminal 3.₁However, after the authentication management server 6 and the moving object management server 7 are separately configured, the separated authentication management server 6 and the moving object management server 7 are connected to separate management terminals 3.₁ _~ _nNeedless to say, the information may be stored in the computer 12 or the computer 12.
[0140]
Also, in the above-described embodiment, the guarantee of the authority change information 9 is confirmed in each mobility management server 5, but the guarantee of each mobility management server 5 is confirmed on the mobile software 10 '' side. May be.
[0141]
【The invention's effect】
As described above, according to the present invention, the authority setting of a database access qualified person set in a database device is changed via a plurality of management terminals communicably connected to each other by a telecommunication line. It is possible to automate the system while maintaining the security of the system operation, and to improve the efficiency of the management and operation of the computer.
[0142]
Further, even in an environment in which database devices are distributed, management of access restrictions can be performed collectively and centrally. Further, in a system environment in which database devices of different types (vendors and versions) exist, management of access restrictions can be collectively performed.
[Brief description of the drawings]
FIG. 1 is a diagram illustrating a configuration of a computer system in which a database access authority management system according to an embodiment of the present invention is incorporated.
FIG. 2 is a diagram illustrating a configuration of a database access authority management system according to the embodiment.
FIG. 3 is a diagram showing a configuration of public key information / private key information.
FIG. 4 is a diagram showing a data table stored in a database access authority management server.
FIG. 5 is a first flowchart illustrating an operation of the database access authority management system according to the embodiment;
FIG. 6 is a second flowchart showing the operation of the database access right management system of the embodiment.
FIG. 7 is a third flowchart showing the operation of the database access authority management system of the embodiment.
FIG. 8 is a fourth flowchart illustrating the operation of the database access authority management system according to the embodiment;
FIG. 9 is a fifth flowchart illustrating the operation of the database access authority management system according to the embodiment;
FIG. 10 is a sixth flowchart illustrating the operation of the database access authority management system according to the embodiment;
FIG. 11 is a seventh flowchart illustrating the operation of the database access authority management system according to the embodiment;
FIG. 12 is an eighth flowchart illustrating the operation of the database access right management system according to the embodiment;
[Explanation of symbols]
1 Database access authority management system
2 Telecommunication lines
3₁ _~ _nManagement terminal
4 Main server
5 mobility management server
6 Authentication management server
7 Moving object management server
8 Moving objects
9 Authority change information
9 'encryption information
9 '' signature encryption information
10 Information loaded moving objects
10 'cryptographic object
10 "mobile software
11 Digital signature
12 Other computers
20 Database access authority management server
DB database device
T1 organization member personal information table
T2 access authority information table
T3 database operation information table
HK₁Hash key
Ks₁Secret key information

Claims

A plurality of database devices having a management terminal are provided, the management terminals are communicably connected to each other by an electric communication line, and the database device is connected to the management terminal based on an input operation performed by a qualified database access person. A system that manages the database access authority of a database access qualified person stored in each of the database devices in a system configuration in which operations of referring to and updating database information recorded in are performed,
An authentication management server is provided on one of the management terminals or another computer communicably connected to the telecommunication line,
One of the management terminals, or another computer communicably connected to the management terminal via the telecommunications line, a database access authority management server,
One of the management terminals, or another computer communicably connected to the management terminal via the telecommunications line, provided with a moving object management server,
A mobility management server is provided for each of the other management terminals,
The authentication management server has a function of generating authentication information for authenticating itself and other servers in advance, and then supplying the generated authentication information to the mobility management server.
The database access authority management server,
In accordance with an input operation performed by the database access authority manager on the management terminal or the other computer provided with the database access authority management server, the database access authority of the database access qualified person is set and the database access authority is set. The ability to store information,
A function of storing operation command information required when performing an operation of changing the database access authority recorded in the database device,
And demonstrate
The moving object management server,
A function of capturing and storing the access authority information and the operation command information from the database access authority management server,
The mobile terminal autonomously moves through the telecommunications line between the respective mobility management servers with the access authority information and the operation command information mounted thereon, and the mobile terminal moves through the management terminal device that is approaching during the movement. A function of generating a moving object that sets the access authority to a database device based on the operation command information;
A function of uploading a moving object equipped with the access authority information and the operation command information (hereinafter referred to as an information-mounted moving object) to the telecommunication line;
And demonstrate
And, the moving object management server and the movement management server, between any of the movement management server, while performing the operation of transmitting and receiving the information loaded moving object via the telecommunications line, at the time of the communication, Authentication is performed with the arbitrary mobility management server based on the authentication information, and the operation of transmitting and receiving the information-equipped moving object is performed with respect to the arbitrary mobility management server that has been successfully authenticated. ,
A database access right management system, characterized in that:

The database access authority management system according to claim 1,
The movement management server executes an initial start operation of the moving object when receiving the information-mounted moving object,
The moving object executes an operation of setting the database access authority in the database device via the management terminal into which the moving object has been input, based on an initial start operation performed by the movement management server. Is,
A database access right management system, characterized in that:

The database access authority management system according to claim 2,
The moving object management server attaches a digital signature generated based on the authentication information to the moving object, and mounts the access authority information and the operation command information information on the moving object.
The mobility management server, upon receiving the information-equipped mobile object, checks a digital signature attached to the information-equipped mobile object based on the authentication information, and confirms the information-equipped mobile object. Performing the initial start operation on the object.
A database access right management system, characterized in that:

The database access authority management system according to claim 3,
The moving object management server attaches a digital signature generated based on the authentication information to the access authority information and the operation command information, and mounts the digital signature attached information on the moving object.
The movement management server, upon receiving the information-equipped moving object, checks the attached digital signature based on the authentication information, and performs the initial start for the information-equipped moving object for which the digital signature has been confirmed. Perform the action,
A database access right management system, characterized in that:

The database access authority management system according to claim 2,
The moving object management server mounts the access authority information and the operation command information on the moving object, and attaches a digital signature generated based on the authentication information to the information mounted moving object. Yes,
The movement management server, upon receiving the information-equipped moving object, checks a digital signature attached to the moving object based on the authentication information. Perform a start operation,
A database access right management system, characterized in that:

The database access authority management system according to any one of claims 1 to 5,
The authentication management server and the moving object management server are provided in the same management terminal or the same other computer,
A database access right management system, characterized in that:

The database access authority management system according to any one of claims 1 to 6,
The database access authority management server and the moving object management server are provided in the same management terminal or the same other computer,
A database access right management system, characterized in that:

The database access authority management system according to any one of claims 1 to 7,
The moving object management server registers, in the moving object, a preset moving path of the moving object,
The moving object management server or the movement management server moves the information-mounted moving object based on a moving path set for the moving object.
A database access right management system, characterized in that:

The database access authority management system according to claim 8,
If the moving object management server or the movement management server fails to transmit the information-equipped moving object to the next destination movement management server, the moving object management server or the movement management server ignores the next movement management server, and Performing a transmission operation to the mobility management server located further next above,
The information-equipped mobile object stores the mobility management server that has failed to enter, travels around the travel route, and then revisits the mobility management server that failed to enter.
A database access right management system, characterized in that:

The database access authority management system according to any one of claims 1 to 9,
Using public key information and private key information as the authentication information,
A database access right management system, characterized in that:

A plurality of database devices having a management terminal are provided, the management terminals are communicably connected to each other by an electric communication line, and the database device is connected to the management terminal based on an input operation performed by a qualified database access person. A program that manages the database access authority of a database access qualified person stored in each of the database devices in a system configuration in which operations of referring to and updating information recorded in are performed,
An authentication management server program for executing an authentication management function on one of the management terminals, or another computer communicably connected to the management terminal via the telecommunication line;
A database for executing an access authority setting function and an operation command setting information storage function on one of the management terminals or another computer communicably connected to the management terminal via the telecommunication line. An access authority management server program,
Performs an information import function, a moving object management function, and an upload function on one of the management terminals or another computer communicably connected to the management terminal via the telecommunication line. A moving object management server program,
A mobility management server program that causes each of the other management terminals to perform a mobility management function,
The authentication management function, in advance, after generating authentication information to authenticate itself and other server programs, the generated authentication information, the management terminal device and another computer provided with another server program, and the other computer Supply function,
The access right setting function is configured to perform the access right of the database access qualified person according to an input operation performed by the database access right manager on the management terminal or the other computer provided with the database access right management server. Is a function to set and store the information.
The operation command setting information storage function is a function of storing operation command information required when performing an operation of changing the database access authority recorded in the database device,
The information capturing function is a function of capturing and storing the access authority information and the operation command information from the database access authority management server via the telecommunication line,
The moving object management function autonomously moves between each of the movement management servers and the other computer via the telecommunication line, and connects to the database device via the management terminal that approaches during movement. A function of generating a moving object that sets the access right based on the operation command information,
The upload function is a function of uploading a moving object (hereinafter, referred to as an information-equipped moving object) equipped with the access authority information and the operation command information to the telecommunication line,
And, the moving object management function and the movement management function, between any management terminal provided with a movement management server program, based on the information from the moving object, via the telecommunication line While performing the transmission / reception operation of the information-equipped moving object, at the time of the communication, the authentication is performed with the arbitrary management terminal based on the authentication information, and for the management terminal successfully authenticated, A function of performing a transmission / reception operation of the information-equipped moving object,
A database access right management program, characterized in that:

The database access authority management program according to claim 11,
The movement management function includes a function of causing the management terminal to execute an initial start operation of the moving object when receiving the information-equipped moving object, and the moving object management function includes: A function of executing an operation of setting the access right to the database device via a management terminal into which the moving object has been input, based on an initial start operation performed by the movement management server.
A database access right management program, characterized in that:

The database access authority management program according to claim 12,
The moving object management function includes, after attaching a digital signature generated based on the authentication information to the moving object, a function of mounting the software on the moving object.
The movement management function, upon receiving the software-installed moving object, checks a digital signature attached to the moving object based on the authentication information. Including the ability to perform an initial start operation,
A database access right management program, characterized in that:

The database access authority management program according to claim 13,
The moving object management function includes a function of attaching a digital signature generated based on the authentication information to the access authority information and the operation command information, and mounting the digital signature attached information on the moving object. ,
The movement management function checks the attached digital signature based on the authentication information when receiving the information-equipped moving object, and performs the initial start for the previous information-equipped moving object for which the digital signature has been confirmed. Including the ability to perform actions,
A database access right management program, characterized in that:

The database access authority management program according to claim 12,
The moving object management function includes a function of mounting the access authority information and the operation command information on the moving object and attaching a digital signature generated based on the authentication information to the information mounted moving object. The move management function includes: upon receipt of the information-equipped moving object by the storage computer of the movement management server program, confirming a digital signature attached to the moving object based on the authentication information; Including a function of executing the initial start operation on the confirmed moving object,
A database access right management program, characterized in that:

The database access authority management program according to any one of claims 11 to 15,
The moving object management function includes a function of registering a previously set moving path of the moving object in the moving object,
The moving object management function or the movement management function includes a function of moving the information-equipped moving object based on a moving path set for the moving object,
A database access right management program, characterized in that:

The database access authority management program according to claim 16,
If the moving object management function or the movement management function fails to transmit the information-equipped moving object to the next destination movement management server program, the next movement management server program is ignored. Including a function of performing a transmission operation on the mobility management server program located further next on the route,
The moving object management function stores, as a moving object, a moving management server program that has failed to enter and, after making a round of the movement route, generates a moving object that goes around the moving management server program that failed to enter again. Including features,
An automatic information collection program characterized by the following.

The database access authority management program according to any one of claims 11 to 17,
Using public key information and private key information as the authentication information,
A database access right management program, characterized in that: