JP2004287784A - アクセス制御装置および方法 - Google Patents

Abstract

【課題】ユーザ登録を行うことなしにコンピュータネットワーク上の資源に一時的にアクセスを許可する。
【解決手段】利用中のユーザ１０２は、ビジターユーザ１０６のアクセス権発行依頼情報１０３を生成し、各々電子署名を施し、アクセス権発行手段１０４に送付する。アクセス権発行手段１０４は送付されてきた前記アクセス権発行依頼情報１０３について、ユーザ１０２の署名を検証し、検証がすべて成功した場合のみアクセス権情報１０５を生成する。アクセス許可情報は、例えば、ＰＫＩの属性証明書を用いることができる。アクセス権発行手段１０４は、前記アクセス権情報１０５に自分の署名を施し、さらに、前記アクセス権発行依頼情報１０３に含まれる発行先識別子により発行先である前記ビジターユーザ１０６の公開鍵証明書を取得し、この公開鍵によりアクセス権情報１０５を暗号化し、前記ビジターユーザ１０６に送付する。
【選択図】図１

Description

【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワーク上の資源に対する一時的なアクセス権を与える技術に関する。なお、資源（リソースともいう）とは、例えば、掲示板、ウェブサイトのようなネットワーク上のアプリケーションを想定するが、特にそれに限定されない。なお、以下では、アクセス権を利用権、アクセス制御を利用制御と呼ぶ場合もある。
【０００２】
【従来の技術】
従来、コンピュータネットワーク上のリソースへのアクセス制御方法として、パスワードによるユーザ認証が知られている。例えば、非特許文献１に示されるように、Ａｐａｃｈｅ（商標）ウェブサーバの、基本認証機能では、アクセス制限が必要なリソース（この場合ＵＲＬで示されるウェブページあるいはＣＧＩプログラム）ごとに、アクセス可能なアカウント名とパスワードの対を、あらかじめサーバ側で設定し、その内容をサーバマシン上のディスクファイルとして生成・保存する。ユーザがアクセス制限対象となっている当該ＵＲＬにアクセスした場合、Ａｐａｃｈｅサーバはユーザに対して、アカウント名とパスワードを要求する。ユーザが正しいアカウント名とパスワードの対を与えたときのみに、当該ＵＲＬへのアクセスが可能となる。
【０００３】
また、ネットワーク上に認証サーバを設けることも知られている（例えば特許文献１、２）。すなわち、認証サーバ・クライアントシステムでは、ネットワーク上に認証サーバが設けられ、当該認証サーバが、各クライアントの情報と、クライアントのアクセス情報を一元管理する構成になっている。クライアント間でのアクセス要求は、すべて当該認証サーバを経由し、各クライアント情報とアクセス情報とから、認証サーバがアクセス可否を決定する仕組みになっている。
【特許文献１】
特開２００１−２８２６６７
【特許文献２】
特開２０００−１０９３０
【非特許文献１】
ｈｔｔｐ：／／ｗｗｗ．ａｐａｃｈｅ．ｊｐ／ｄｏｃｓ／ｈｏｗｔｏ／ａｕｔｈ．ｈｔｍｌ
【０００４】
【発明が解決する課題】
ところで、従来のアクセス制御手法では、一時的にアクセスを許可したい場合に問題があった。すなわち、従来のような構成であると、一時的なアクセス権を与える場合でも、ユーザ登録から行う必要があり、円滑なコミュニケーションを妨げる可能性がる。また、その後、２度と使用しない可能性があるユーザアカウント情報を含めてサーバで管理する必要があり、サーバ資源を圧迫する。このことは、コミュニティが大きくなるにしたがって、その可能性が増大する。
【０００５】
例えば、当該リソースが掲示板やチャットのような参加型のコミュニケーションツールであって、パスワードを使ってアクセス制御をしている場合を考える。話題をある程度しぼって議論したい等の要請のため、登録者のみにアクセス制限している例はインターネット上よく見られる。ある話題について、コミュニケーションが盛り上がった状態で、現在のＮ人の参加者（Ｎ≧１）が、別のユーザをコミュニケーションに参加してもらいたいと思ったとする。このとき当該ユーザが登録をしていないと、当該ユーザの登録を最初に実行する必要がある。また、登録作業が完了するまで、当該ユーザはコミュニケーションに参加できず、また、現在のコミュニケーションもその時点で中断してしまい、話題の盛り上がりに対して負の影響を与えかねない。
【０００６】
この登録作業は、一般のインターネット上では、自動化によりかなり高速に行われるが、必ずしも許容範囲内で終了するとは保証されない。また、社内ネットワーク上での場合には、一般に、ユーザ登録作業は特定の管理者あるは管理部門によって統括され、事前申請等の煩雑な作業を伴うことが多く、迅速な対応は期待できない。また、登録に際して、参加を依頼されたユーザの側が登録に必要な個人情報の開示を拒否する場合も考えられる。
【０００７】
この発明は、以上の事情を考慮してなされたものであり、コンピュータネットワーク上の資源へのアクセスを一時的に許可する場合でも、円滑なコミュニケーションを損なったり、サーバ資源を圧迫する等の不都合を伴わないアクセス制御技術を提供することを目的としている。
【０００８】
【課題を解決するための手段】
この発明によれば、上述の目的を達成するために、特許請求の範囲に記載のとおりの構成を採用している。ここでは、発明を詳細に説明するのに先だって、特許請求の範囲の記載について補充的に説明を行なっておく。
【０００９】
この発明では、例えば、現在のアプリケーションへの参加者Ｎ人（Ｎ≧１）以上が合意すれば、任意のユーザ（アクセス権がない）に一時的なアクセス権を発行可能にする。個々の参加者が、それぞれの固有のデータから、対象者に対するアクセス許可データを生成・送付する。このアクセス許可データに基づいてアクセス権情報を任意のユーザに発行する。なお、アプリケーションは、例えば、掲示板サービス、ウェブサービス等であるが、これに限定されない。また、この発明は、アプリケーションの利用に限定されず、広くコンピュータネットワーク上の資源への利用制御に適用できる。
【００１０】
さらにこの発明を説明する。
【００１１】
この発明の一側面によれば、上述の目的を達成するために、コンピュータネットワーク上の資源への利用制御を行う利用制御装置に：上記資源の所定のユーザの要求に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段と；上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段と；上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証する手段とを設けるようにしている。
【００１２】
この構成においては、コンピュータネットワーク上の資源を現に利用している利用者等、所定の利用者の依頼に基づいて他の利用者にアクセス権情報を発行して当該他の利用者が当該資源にアクセスできるようにしているので、従前のようなユーザ登録が必要なく、この結果、迅速なコミュニケーションへの参加を実現でき、またユーザ管理に伴うサーバ資源の圧迫を招来することもない。
【００１３】
また、この構成においては、上記所定のユーザは上記資源を利用中のユーザのほかに、あらかじめ登録されているユーザであってもよいし、上記資源を利用したコミュニケーションの所定のスレッドに参加しているユーザであってもよい。登録されているユーザは通常のユーザとして登録されているユーザであってもよいし、特定の権限を有するものとして登録されているユーザであってもよい。利用中のユーザや登録されているユーザ等のすべてのアクセス権発行依頼情報があるときにアクセス権情報を発行してもよいし、当該ユーザの一部からの依頼があるときにアクセス権情報を発行してもよい。多数決等によりアクセス権情報を発行するようにしてもよい。
【００１４】
スレッドに参加しているユーザが依頼を行う場合、上記資源のアクセス権情報は、上記所定のスレッドに関してのみ上記資源の利用を許可するものでもよい。スレッドは、関連する一まとまりの、例えば話題を共通にするコミュニケーションである。例えばコミュニケーションの参照情報を用いてスレッドを判別できる。
【００１５】
また、上記資源のアクセス権情報が許可するアクセスの操作タイプのアクセス権限は、上記所定のユーザの操作タイプのアクセス権限のＡＮＤ論理により決定されたり、ＯＲ論理により決定されてもよい。
【００１６】
上記資源の利用情報が許可するアクセスの期間は上記所定のユーザがそれぞれ許可されているアクセスの期間のＡＮＤ論理により決定されたり、ＯＲ論理により決定されてもよい。
【００１７】
また、上記他のユーザをユーザ情報から決定し、この決定にしたがって、上記アクセス権発行依頼情報が生成さえるように上記所定のユーザに依頼を行うようにしてもよいし、上記他のユーザやその他の者が上記所定のユーザに対して上記アクセス権発行依頼情報を生成するように処理するように依頼してもよい。
【００１８】
上記資源の利用許可情報は、属性証明書により規定されてもよいが、これに限定されない。
【００１９】
また、この発明の他の側面によれば、上述の目的を達成するために、サービス提供装置に：ネットワークに接続されユーザに対してサービスを提供するサーバ装置と；上記ネットワークに接続されユーザが利用するクライアント装置と；上記サーバ装置の所定の資源へのアクセス制御を行うアクセス制御装置とを設け；上記クライアント装置は、当該クライアント装置の所定のユーザの所定の操作に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段を有し；上記アクセス制御装置は、上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段と、上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証する検証手段とを有し；上記サーバ装置は上記検証手段の検証結果に基づいて上記他のユーザに対する上記所定の資源へのアクセスを許容するようにしている。
【００２０】
この構成においても、コンピュータネットワーク上の資源を現に利用している利用者等、所定の利用者の依頼に基づいて他の利用者にアクセス権情報を発行して当該他の利用者が当該資源にアクセスできるようにしているので、従前のようなユーザ登録が必要なく、この結果、迅速なコミュニケーションへの参加を実現でき、またユーザ管理に伴うサーバ資源の圧迫を招来することもない。
【００２１】
なお、この発明は装置またはシステムとして実現できるのみでなく、方法としても実現可能である。また、そのような発明の一部をソフトウェアとして構成することができることはもちろんである。またそのようなソフトウェアをコンピュータに実行させるために用いるソフトウェア製品もこの発明の技術的な範囲に含まれることも当然である。
【００２２】
この発明の上述の側面および他の側面は特許請求の範囲に記載され以下実施例を用いて詳述される。
【００２３】
【発明の実施の形態】
以下、この発明の実施例について説明する。
【００２４】
この実施例のアクセス制御システムは、ＰＫＩ（公開鍵インフラストラクチャ）を前提とし、当該アクセス制御システムがカバーするドメイン対応に認証局（ＣＡ）が設置され、各ユーザは証明書を持つ。また属性証明書発行局（ＡＡ）が設置され、この属性証明書発行局が発行する属性証明書をアクセス許可情報として用いる。この例では、認証局が属性証明書発行局をかねる。もちろん、以上は一例であり、このような構成に限定されず、種々の変更が可能である。
【００２５】
図１は、この実施例のアクセス制御システムを模式的に示しており、この図において、１０１は、コミュニケーションスペースであり、１０２は、コミュニケーションスペース１０１を利用中のユーザであり、ここではＮ人参加しているとする。１０３は、アクセス権発行依頼情報であり、１０４は、アクセス権情報発行手段である。１０５は、アクセス権情報であり、１０６は、コミュニケーションスペース１０１のビジターユーザであり、１０７は、アクセス要求である。ここでは、「アクセス権」ないし「アクセス」という用語を用いたが、「利用権」ないし「利用」ということもある。
【００２６】
コミュニケーションスペース１０１は、コンピュータ上で実行されるプログラムによって実現されるもので、例えば、電子掲示板やチャットツールなどである。ここでのコミュニケーションスペース１０１は、任意のユーザが自由にアクセスできるものではなく、特定のユーザが例えば特定の話題についてのコミュニケーションを実施するために生成され、特定のユーザ以外のユーザのアクセスを制限しているものであることを前提とする。
【００２７】
ここで、当該コミュニケーションスペース１０１において、図中、１０２で示されるユーザ１からユーザＮのＮ人のユーザが、すでにコミュニケーションを行っている状態を初期状態とし、この状態で、このＮ人のユーザが、新たに別のユーザをビジターユーザ１０６としてコミュニケーションに参加してもらいたいという場合を考える。
【００２８】
最初のステップとして、前記ビジターユーザ１０６のアクセス権発行依頼情報１０３を所定のユーザインタフェース（例えば後述図５参照）を用いて生成する。アクセス権発行依頼情報１０３は、例えば、▲１▼コミュニケーションスペース識別子、▲２▼発行先識別子、▲３▼有効期限情報または有効アクセス回数、▲４▼アクセス許可者の人数を含む。
【００２９】
アクセス権発行依頼時にはアクセス権設定方法を指定することもできる。所定のアクセス権設定方法を無指定時の設定方法とすることもできる。もちろん所定の設定方法を固定的に用いてもよい。
【００３０】
アクセス権発行依頼時（実施例においては、例えば、属性証明書発行依頼時）、当該リソース（例えば掲示板など）の複数の参加者各々が、ビジターユーザに対して、許可するアクセス権の詳細を設定する。
【００３１】
この場合、各参加者が設定したアクセス権の詳細または各参加者のアクセス権自体から、以下のような手順のいずれかまたは組み合わせによって、実際に発行を依頼するアクセス権情報を決定する。
▲１▼発行を認めた参加者各々が設定したアクセス権のＡＮＤ論理
▲２▼発行を認めた参加者各々が設定したアクセス権のＯＲ論理
▲３▼特定の特権ユーザがいる場合は、当該ユーザの設定値を優先
▲４▼当該リソース （例えば、掲示板の特定のスレッド、特定のチャットルームなど） の生成時からの参加ユーザ（複数）を優先
【００３２】
各参加者は例えば図５に示すようなユーザインタフェースを用いてアクセス権の詳細を設定できる。この例では、利用期限を日単位で設定し、またボタンを用いて許可すべき操作を選択するようにしている。また、各参加者は他の参加者の設定状況を図６に示すように参照することができる。図６においてユーザ「ＥＥＥ」は、設定項目の値が「ｘ」となっている。これはユーザ「ＥＥＥ」が設定未了であることを示す場合もあるし、承認ユーザとして設定されていない場合もある。もちろん、種々の態様でユーザの種別、ユーザの既設定値を表示することができる。
【００３３】
次にユーザ１からユーザＮは、前記アクセス権発行依頼情報１０３に各々電子署名を施し、これをアクセス権発行手段１０４に送付する。この動作手順を図２に示す。図２の動作は図２の記載から明らかであるので詳細な説明は省略する。
【００３４】
アクセス権発行手段１０４は、コミュニケーションスペース１０１内に構成されても、別構成でネットワーク接続されていても良い。
【００３５】
アクセス権発行手段１０４は送付されてきた前記アクセス権発行依頼情報１０３について、ユーザ１からユーザＮの署名を検証し、検証がすべて成功した場合のみアクセス権情報１０５を生成する。アクセス許可情報は、例えば、ＰＫＩの属性証明書を用いることができる。
【００３６】
属性証明書は、つぎのような項目を含む。
▲１▼発行先情報
名前：
連絡先：例えば、住所／郵便番号／電話番号／ＦＡＸ番号／Ｅ−Ｍａｉｌ
▲２▼アクセス先リソース情報
ファイル名／サーバのＵＲＬ／アプリケーション名／ホスト（マシン）名など：アクセス許可者の人数：
▲３▼アクセス許可情報
アクセス許可機能（閲覧／追記／変更／削除／転送など）：
アクセス許可期間／回数：
アクセス許可条件：例えば、アクセス時のアクセス先リソースの状態（アクセス許諾発行依頼者（複数）すべてまたは一定数以上がアクセス状態にある、あるいは、アクセス許諾発行依頼者がすべてアクセス先リソースに対する正当なアクセス権を持っている状態にある。（登録抹消になっていない））
【００３７】
アクセス権発行手段１０４は、前記アクセス権情報１０５に自分の署名を施し、さらに、前記アクセス権発行依頼情報１０３に含まれる発行先識別子により発行先である前記ビジターユーザ１０６の公開鍵証明書を取得し、この公開鍵によりアクセス権情報１０５を暗号化し、前記ビジターユーザ１０６に送付する。この動作手順を図３に示す。図３の動作も図３の記載から明らかであるので詳細な説明は省略する。
【００３８】
前記ビジターユーザ１０６は、アクセス権発行手段１０４から送付された前記暗号化されたアクセス権情報１０５を自分の秘密鍵で復号し、前記アクセス権情報１０５を取り出す。前記ビジターユーザ１０６は、コミュニケーションスペース１０１に対して、アクセス要求とともに、前記アクセス権情報を送付する。コミュニケーションスペース１０１は、前記ビジターユーザい１０６から送付されたアクセス権情報に施された、前記アクセス権発行手段１０４の署名を検証し、成功した場合のみ、有効期限あるいは有効回数内ならば、アクセス要求に対し相当の応答をする。この動作手順を図４に示す。図４の動作も図４の記載から明らかであるので詳細な説明は省略する。
【００３９】
上述のアクセス条件を適切に設定することによりコミュニケーションスペース等の状況、目的に応じた最適なアクセス権限をビジターユーザ１０６に付与できる。例えば、許可を行ったユーザが誰も、あるいは数人しか、ログインしていない場合には、当該許可を得たビジターユーザがアクセスできないように設定できる。あるいは、許可を行ったユーザのうち全員あるいは何人かが、コミュニケーションスペースあるいは該当するスレッドから抜けている場合には、当該許可を得たビジターユーザがアクセスできないように設定できる。
【００４０】
なお、アクセス権情報のユーザへの送付方法は種々採用できる。図１および図３の、ビジターユーザ１０６の公開鍵証明書の発行系列と、参加者１．．Ｎの証明書やアクセス権情報１０５などの証明書群との発行系列が関連をもつ（相互に認証可能等）必要はなく、単にアクセス権情報１０５が確実にビジターユーザ１０６に届くような施策が施されていれば問題ない。セキュア機能付のメールや印スターとメッセージングツールのようなものでも対応可能な場合もある。これは求められるセキュリティ強度に依存して決まる。
【００４１】
例えば、企業内システム等でなおかつＰＫＩインフラが導入済みの状態を想定すれば、既存のＰＫＩインフラのためのデータ、システムをそのまま流用することで、比較的高いセキュリティ強度が確保できる。
【００４２】
つぎに上述の実施例の具体的な実現例について説明する。
【００４３】
図７は具体例の構成を示しており、図７において、ネットワーク２００に、コミュニケーションスペース提供サーバ２０１、アクセス制御サーバ２０２、認証局２０３、クライアント端末２０４等が接続されている。クライアント端末２０４の一部のユーザは、すでにコミュニケーションスペース提供サーバ２０１のコミュニケーションスペースに参加している参加中ユーザ１０２であり、また他のクライアント端末２０４のユーザは、現時点においてアクセス権がないビジターユーザ１０６である。
【００４４】
コミュニケーションスペース提供サーバ２０１はアクセス制御サーバ２０２の機能を具備していてもよい。この場合、アクセス制御サーバ２０２は省略できる。
【００４５】
図８は、アクセス制御サーバ２０２、認証局２０３、クライアント端末２０４の詳細を、実施例のアクセス制御に関連する範囲で示すものである。図８において、クライアント端末２０４は、参加依頼生成部２０５、アクセス権発行依頼生成部２０６、参加依頼受信部２０７等を有している。アクセス制御サーバ２０２はユーザ情報データベース２０８、参加依頼生成部２０９、パスワード認証部２１０、アクセス権検証部２１１等を有している。認証局２０３は、アクセス権発行依頼受信部２１２、属性証明書生成部２１３等を有している。アクセス制御サーバ２０２、認証局２０３、クライアント端末２０４等で実現される機能のうちの少なくとも一部はコンピュータプログラムで実現され、かかるコンピュータプログラムは、例えば、図示しない記録媒体（後述の図９、図１０の記録媒体１００１〜１００５参照）や通信手段を用いてインストールされる。
【００４６】
図７および図８において、利用中ユーザのクライアント端末において、ビジターユーザ用にアクセス権発行依頼部２０６がアクセス権発行依頼情報を生成して認証局２０３に送出する。認証局２０３では、アクセス権発行依頼受信部２１２がアクセス権発行依頼情報を受信し、署名等を検証した後、属性証明書生成部２１３によりアクセス権に合致した属性証明書を生成してビジターユーザのクライアント端末に送出する。ビジターユーザはアクセス制御サーバ２０２のアクセス権検証部２１１に属性証明書を送出してアクセス権の検証を受ける。検証に成功したら、例えばセッションが開始され、そのセッションの元でコミュニケーションスペース提供サーバを利用可能になる。
【００４７】
アクセス制御サーバ２０２のパスワード認証部２１０は、ユーザ情報データベース２０８を用いてユーザ登録済みのユーザのパスワード認証等を行うものである。
【００４８】
また、この例では、ビジターユーザが、利用しているクライアント端末２０４の参加依頼生成部２０５を用いて参加依頼を行うことができる。この参加依頼の情報は、例えばアクセス制御サーバ２０２を介して、利用中ユーザのクライアント端末２０４に送られ、このクライアント端末２０４の参加依頼受信部２０７で受信される。参加依頼受信部２０７は、利用中ユーザに対してアクセス権発行依頼を発行するように催促する処理を行い、利用中ユーザはこれに基づいてアクセス権発行依頼を行ったり、または拒否を当該ビジターユーザのクライアント端末２０４に通知する。
【００４９】
また、アクセス制御サーバ２０２の参加依頼生成部２０９は、所定の状況、例えば、所定の話題に関するコミュニケーションがあったときに、その話題にふさわしいビジターユーザをユーザ情報データベース２０８の情報から判別し、当該ビジターユーザ用の参加依頼を生成して、利用中ユーザのクライアント端末２０４に参加依頼の情報を送出する。これにより、当該ビジターユーザに対して一時的な参加が許容される。
【００５０】
なお、この発明は上述の実施例に限定されるものではなくその趣旨を逸脱しない範囲で種々変更が可能である。例えば、上述の例では属性証明書を用いてアクセス権情報としたが、アクセス権を表象するものであればどのようなものでもよい。ビジターユーザのみが保持している情報と組み合わせて初めてアクセス権を証明する情報となる情報を、アクセス権情報としてビジターユーザに供給するようにしてもよい。
【００５１】
図９はアクセス制御サーバ２０２が認証局２０３の機能も兼ね備える例を示す。この図において図８と対応する箇所には対応する符号を付した。図９の各種機能（２０５、２１１〜２１３）はコンピュータプログラムにより実現され、かかるプログラムは、例えば記録媒体１００１、１００２や通信手段を用いてインストールされる。
【００５２】
図１０はコミュニケーションスペース提供サーバ２０１がアクセス制御サーバ２０２や認証局２０３の機能も兼ね備える例を示す。この図においても図８と対応する箇所には対応する符号を付した。図１０の各種機能（２０５、２１１〜２１３）もコンピュータプログラムにより実現され、かかるプログラムは、例えば記録媒体１００１、１００３や通信手段を用いてインストールされる。
【００５３】
図１１はコミュニケーションスペース提供サーバ２０１がアクセス制御サーバ２０２の機能も兼ね備える例を示す。この図においても図８と対応する箇所には対応する符号を付した。図１１の各種機能（２０５、２１１〜２１３）もコンピュータプログラムにより実現され、かかるプログラムは、例えば記録媒体１００１、１００４、１００５や通信手段を用いてインストールされる。
【００５４】
【発明の効果】
以上説明したように、この発明によれば、簡易かつ迅速に、また、サーバ資源を圧迫することなく、ビジターユーザに対してコンピュータネットワーク上の資源を一時的に利用させることができる。
【図面の簡単な説明】
【図１】この発明の実施例を全体として示す図である。
【図２】上述実施例におけるアクセス権依頼情報生成動作を説明するフローチャートである。
【図３】上述実施例におけるアクセス権発行依頼情報生成動作等を説明するフローチャートである。
【図４】上述実施例におけるアクセス権の検証動作等を説明するフローチャートである。
【図５】アクセス権の設定用ユーザインタフェースの例を説明する図である。
【図６】アクセス権の設定用ユーザインタフェースの例を説明する図である。
【図７】上述実施例の構成例を説明する図である。
【図８】図７の要部を詳細に説明する図である。
【図９】上述実施例の変形例を説明する図である。
【図１０】上述実施例の他の変形例を説明する図である。
【図１１】上述実施例のさらに他の変形例を説明する図である。
【符号の説明】
１０１ コミュニケーションスペース
１０２ 参加中ユーザ
１０３ アクセス権発行依頼情報
１０４ アクセス権発行手段
１０５ アクセス権情報
１０６ ビジターユーザ
２００ ネットワーク
２０１ コミュニケーションスペース提供サーバ
２０２ アクセス制御サーバ
２０３ 認証局
２０４ クライアント端末
２０５ 参加依頼生成部
２０６ アクセス権発行依頼生成部
２０６ アクセス権発行依頼部
２０７ 参加依頼受信部
２０８ ユーザ情報データベース
２０９ 参加依頼生成部
２１０ パスワード認証部
２１１ アクセス権検証部
２１２ アクセス権発行依頼受信部
２１３ 属性証明書生成部
１００１〜１００５ 記録媒体

Claims (20)

1. コンピュータネットワーク上の資源へのアクセス制御を行うアクセス制御装置において、
   上記資源の所定のユーザの要求に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段と、
   上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段と、
   上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証する手段とを有することを特徴とするアクセス制御装置。
2. 上記所定のユーザは上記資源をアクセス中のユーザである請求項１記載のアクセス制御装置。
3. 上記所定のユーザはあらかじめ登録されているユーザである請求項１記載のアクセス制御装置。
4. 上記所定のユーザは、上記資源を利用したコミュニケーションの所定のスレッドに参加しているユーザである請求項１記載のアクセス制御装置。
5. 上記資源のアクセス権情報は、上記所定のスレッドに関してのみ上記資源の利用を許可する請求項４記載のアクセス制御装置。
6. 上記資源のアクセス権情報により許可されるアクセスの操作タイプのアクセス権限は、上記所定のユーザの操作タイプのアクセス権限のＡＮＤ論理により決定される請求項１〜５のいずれかに記載のアクセス制御装置。
7. 上記資源のアクセス権情報により許可されるアクセスの操作タイプのアクセス権限は、上記所定のユーザの操作タイプのアクセス権限のＯＲ論理により決定される請求項１〜５のいずれかに記載のアクセス制御装置。
8. 上記資源のアクセス権情報により許可されるアクセスの期間は、上記所定のユーザがそれぞれ許可されているアクセスの期間のＡＮＤ論理により決定される請求項１〜７のいずれかに記載のアクセス制御装置。
9. 上記資源のアクセス権情報により許可されるアクセスの期間は、上記所定のユーザがそれぞれ許可されているアクセスの期間のＯＲ論理により決定される請求項１〜７のいずれかに記載のアクセス制御装置。
10. 上記他のユーザをユーザ情報から決定する手段と、
    上記他のユーザに関して上記アクセス権発行依頼情報を生成するための要求を行うように、上記所定のユーザに対して依頼する情報を生成する手段とをさらに有する請求項１〜９のいずれかに記載のアクセス制御装置。
11. 上記他のユーザから、上記他のユーザに関して上記アクセス権発行依頼情報を生成することを要求する情報を受け取る手段と、
    上記要求する情報に基づいて、上記他のユーザに関して上記アクセス権発行依頼情報を生成するための要求を行うように、上記所定のユーザに対して依頼する情報を生成する手段とをさらに有する請求項１〜９のいずれかに記載のアクセス制御装置。
12. 上記資源のアクセス権情報は、属性証明書により規定される請求項１〜１１のいずれかに記載のアクセス制御装置。
13. コンピュータネットワーク上の資源へのアクセス制御を行うアクセス制御装置でアクセス権限を証明するために用いられる上記資源のアクセス権情報を生成するアクセス権情報生成装置において、
    上記資源の所定のユーザの要求に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段と、
    上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段とを有することを特徴とするアクセス権情報生成装置。
14. コンピュータネットワーク上の資源へのアクセス制御を行うアクセス制御方法において、
    上記資源の所定のユーザの要求に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成するステップと、
    上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成するステップと、
    上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証するステップとを有することを特徴とするアクセス制御方法。
15. コンピュータネットワーク上の資源へのアクセス制御を行うアクセス制御用コンピュータプログラムにおいて、
    上記資源の所定のユーザの要求に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成するステップと、
    上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成するステップと、
    上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証するステップとをコンピュータに実行させるために用いられることを特徴とするアクセス制御用コンピュータプログラム。
16. コンピュータネットワーク上の資源の所定のユーザの要求に基づいて上記所定のユーザのクライアント端末において他のユーザに対する上記資源のアクセス発行依頼情報が生成され、このアクセス発行依頼情報に基づいて上記他のユーザの上記資源へのアクセス制御を行うアクセス制御システムに用いられるアクセス制御用コンピュータプログラムにおいて、
    上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成するステップと、
    上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証するステップとをアクセス制御用コンピュータに実行させるために用いられることを特徴とするアクセス制御用コンピュータプログラム。
17. コンピュータネットワーク上の資源の所定のユーザの要求に基づいて上記所定のユーザのクライアント端末において他のユーザに対する上記資源のアクセス発行依頼情報が生成され、このアクセス発行依頼情報に基づいて上記他のユーザの上記資源へのアクセス制御を行うためのアクセス権情報が生成され、当該アクセス権情報を検証して上記他のユーザの上記資源のアクセスを制御するアクセス制御システムに用いられるアクセス権情報生成用コンピュータプログラムにおいて、
    上記アクセス権発行依頼情報を受け取るステップと、
    受け取った上記アクセス権発行依頼情報に基づいて、上記他のユーザへの上記資源のアクセス権情報を生成するステップとをコンピュータに実行させるために用いられることを特徴とするアクセス権情報生成用コンピュータプログラム。
18. ネットワークに接続されユーザに対してサービスを提供するサーバ装置と、
    上記ネットワークに接続されユーザが利用するクライアント装置と、
    上記サーバ装置の所定の資源へのアクセス制御を行うアクセス制御装置とを有し、
    上記クライアント装置は、当該クライアント装置の所定のユーザの所定の操作に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段を有し、
    上記アクセス制御装置は、
    上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段と、
    上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証する検証手段とを有し、
    上記サーバ装置は上記検証手段の検証結果に基づいて上記他のユーザに対する上記所定の資源へのアクセスを許容することを特徴とするサービス提供制御装置。
19. ネットワークに接続されユーザに対してサービスを提供するサーバ装置と、上記ネットワークに接続されユーザが利用するクライアント装置と、上記サーバ装置の所定の資源へのアクセス制御を行うアクセス制御装置とを用い、上記サーバ装置によるサービス提供をアクセス権情報により制御するサービス提供制御方法において、
    上記クライアント装置において、当該クライアント装置の所定のユーザの所定の操作に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成するステップと、
    アクセス権情報生成手段により、上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成するステップと、
    検証手段により、上記他のユーザの上記資源へのアクセス要求の際に上記他のユーザに関して上記資源のアクセス権情報を受取り、上記資源のアクセス権情報の内容が正当であるかどうか検証するステップと、
    上記サーバ装置において、上記検証手段の検証結果に基づいて上記他のユーザに対する上記所定の資源へのアクセスを許容するステップとを有することを特徴とするサービス提供制御方法。
20. ネットワークに接続されユーザに対してサービスを提供するサーバ装置と、上記ネットワークに接続されユーザが利用するクライアント装置と、上記サーバ装置の所定の資源へのアクセス制御を行うアクセス制御装置とを用い、上記サーバ装置によるサービス提供をアクセス権情報により制御するサービス提供装置において上記サーバ装置のサービスに対してアクセス可能なユーザからの依頼に基づいてアクセス権情報を発行するためのアクセス権発行用のコンピュータプログラムにおいて、
    上記クライアント装置において、当該クライアント装置の所定のユーザの所定の操作に基づいて生成された、他のユーザに対する上記資源のアクセス権発行依頼情報を受け取るステップと、
    上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成するステップとをコンピュータに実行させるために用いられることを特徴とするアクセス権発行用コンピュータプログラム。

Images