JP2004341896A - 属性承認装置、属性承認リソース管理装置、および属性承認装置監査統計サーバ - Google Patents

Abstract

【課題】各ユーザが持つ属性情報をサービスに依らず汎用的に利用可能とする。
【解決手段】承認条件判定部１１は承認条件判定要求を入力すると、承認条件判定要求からリソース識別情報を取得し、リソース識別情報を入力として承認ポリシ管理部１３を呼び出し、承認ポリシ定義を取得する。そして承認ポリシ定義から承認条件属性定義情報リストを取得し、承認条件属性定義情報リストを元に承認条件を作成し、呼出元に返却する。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットのようなオープンなネットワークにおいて、リソースへのアクセスの承認判断に必要な属性情報の取得、検証のためのルール、および、取得した属性情報による承認ルールを定める承認ポリシ定義を管理し、それに基づいて承認判断を行なう属性承認装置に関する。
【０００２】
【従来の技術】
現在、リソースに対するアクセス制御は、あらかじめユーザに割り当てられたＩＤやロールを識別することによって実施されることが多い。ＩＤやロールは、リソース管理者が自ら発行して管理、あるいは、リソース管理者から管理を依頼されたあらかじめ非常に密接な連携関係にある割り当て機関が発行管理する。
【０００３】
そのため、リソースへのアクセスの際に、承認結果の判定材料となるＩＤやロールといった情報は、事前にリソース管理者（あるいはリソースサーバ）側に十分に知られていたり、また、それらの情報の入手は容易であり、取得した情報の信頼性を確認することが不要または容易であることが多い。
【０００４】
このことから、従来の技術は、イントラネットなどの変化の少ない、閉域なネットワークにおけるシステム、あるいは、あらかじめユーザ集合を厳密に管理することが容易なシステムに対しては有効であると考えられる。
【０００５】
【非特許文献１】
Ｒｅｃｏｍｍｅｎｄａｔｉｏｎ Ｘ．５０９ ”Ｔｈｅ Ｄｉｒｅｃｔｏｒｙ： Ｐｕｂｌｉｃ−ｋｅｙ ａｎｄ Ａｔｔｒｉｂｕｔｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｆｒａｍｅｗｏｒｋｓ”， ＩＴＵ−Ｔ， ２０００年３月
【非特許文献２】
Ｒｅｑｕｅｓｔ ｆｏｒ Ｃｏｍｍｅｎｔｓ ３２８１ ”Ａｎ Ｉｎｔｅｒｎｅｔ Ａｔｔｒｉｂｕｔｅ Ｃｅｒｔｉｆｉｃａｔｅ Ｐｒｏｆｉｌｅ ｆｏｒ Ａｕｔｈｏｒｉｚａｔｉｏｎ”， Ｔｈｅ Ｉｎｔｅｒｎｅｔ Ｓｏｃｉｅｔｙ， ２００２年４月
【０００６】
【発明が解決しようとする課題】
現在、インターネットは社会インフラとなりつつあり、今後、これまで以上に多様なサービスがインターネット上で実現されるようになり、その数も増大するものと予想される。
【０００７】
このような状況下で、サービスにおけるアクセス制御のために従来技術を用いる場合、各サービスが管理するユーザ情報の規模が著しく増大し、流動的なユーザ集合に対して登録や更新の負担が大きくなりスケーラビリティの確保が困難になる。また、ユーザは個々のサービスを、そのアクセス制御方法の違いを意識して柔軟に利用する必要があるため、サービスの多様性に比例して、利用者の負担も増加してしまう。
【０００８】
このことは、従来技術が、各サービス側で独自にユーザの識別情報やユーザの特徴情報を管理することを基本としていることが原因と考えられる。また、これは異種サービス間での連携サービス実現の妨げともなってしまう。
【０００９】
そこで、本発明の目的は、各ユーザが持つさまざまな特徴情報（以下、属性情報）をサービスに依らずに汎用的に利用可能なものとし、各サービスのアクセス承認のための判断材料として利用することによって、サービスやユーザの負担を低減する属性承認装置を提供することにある。
【００１０】
【課題を解決するための手段】
本発明の属性承認装置は、
リソース識別情報と、承認結果判定に必要な属性情報の条件を表わす承認条件属性定義情報リストと、属性情報を用いた承認結果の判定規則を表わす承認ルール情報とからなる承認ポリシ定義を複数蓄積、管理する承認ポリシ管理手段と、リソース識別情報を含む、リソースへのアクセスの承認結果判定に必要な属性情報の条件の取得を要求することを表わす承認条件判定要求を入力として受け取り、該承認条件判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認条件属性定義情報リストを元に承認条件を決定して要求元に返却する承認条件判定手段と、
承認要求対象を表わすリソース識別情報と承認結果判定のための属性情報リストを含む承認結果判定要求を入力として受け取り、該承認結果判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認ルール情報によって、該承認結果判定要求に含まれる属性情報リストを対象とした承認判定処理を行ない、承認結果を要求元に返却する承認結果判定手段を有する。
【００１１】
リソースへのアクセスに関する承認判断に必要な属性情報の条件として承認条件属性定義情報リストと、収集した属性情報による承認判断の手順を表わす承認ルール情報と、を承認ポリシ定義としてあらかじめ作成して属性承認装置に登録しておくことによって、リソース管理装置は、属性承認装置を用いて、アクセス要求の対象となったリソースへの承認判断に必要な属性情報を判定すること、および、その結果を元にして収集した属性情報を元にして承認結果を判定することが可能になる。
【００１２】
これにより、リソース管理装置ごとにアクセス制御のための承認判断機構を実装する必要がなくなり、また、アクセス要求側が保持する属性情報を元にしたアクセス制御を行なうためリソース管理装置側での管理コストが低減される。
【００１３】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００１４】
［第１の実施形態］
図１を参照すると、本発明の一実施形態の属性認証装置１は承認条件判定部１１と承認結果判定部１２と承認ポリシ管理部１３とで構成される。
【００１５】
図２を参照すると、属性情報３０は属性種別情報３１と１つ以上の属性要素情報３２によって構成される。
【００１６】
図３を参照すると、承認ポリシ定義４０はリソース識別情報４１と承認条件属性定義情報リスト４２と承認ルール情報４３とによって構成され、承認条件属性定義情報リスト４２は０個以上の属性定義情報４２１によって構成される。
【００１７】
図４を参照すると、承認条件判定要求５０はリソース識別情報５１によって構成される。
【００１８】
図５を参照すると、承認結果判定要求６０はリソース識別情報６１と属性情報リスト６２によって構成され、属性情報リスト６２は０個以上の属性情報６２１によって構成される。
【００１９】
図６を参照すると、承認条件７０はリソース識別情報７１と承認条件属性定義情報リスト７２とによって構成され、承認条件属性定義情報リスト７２は０個以上の属性定義情報７２１によって構成される。
【００２０】
承認条件判定部１１は、承認条件判定要求５０を入力として、リソース識別情報５１と一致するリソース識別情報４１を含む承認ポリシ定義４０を承認ポリシ管理部１３から取得し、承認ポリシ定義４０の承認条件属性定義情報４２を元にして、承認条件７０を生成して呼出元に返却する。承認結果判定部１２は、承認結果判定要求６０を入力として、リソース識別情報６１と一致するリソース識別情報４１を含む承認ポリシ定義４０を承認ポリシ管理部１３から取得し、承認ルール情報４３と属性情報リスト６２を元にして承認結果を生成して呼出元に返却する。承認ポリシ管理部１３は、複数の承認ポリシ定義４０を蓄積管理し、承認条件判定部１１および承認結果判定部１２から、リソース識別情報を含む承認ポリシ定義の取得要求を受け取り、リソース識別情報４１が一致する承認ポリシ定義４０を返却する。
【００２１】
図７は、属性承認装置１が承認条件判定要求５０を受け付けたときの承認条件判定部１１の処理を示している。
【００２２】
ステップ１０１に、承認条件判定要求５０を入力として取得する。ステップ１０２に、承認条件判定要求５０からリソース識別情報５１を取得する。ステップ１０３に、リソース識別情報５１を入力として、承認ポリシ管理部１３を呼び出して承認ポリシ定義４０を取得する。ステップ１０４に、承認ポリシ定義４０から承認条件属性定義情報リスト４２を取得する。ステップ１０５に、承認条件属性定義情報リスト４２を元にして承認条件７０を生成する。ステップ１０６に、承認条件７０を呼出元に返却して終了する。
【００２３】
図８は承認結果判定要求６０を受け付けた場合の承認結果判定部１２の処理を示している。
【００２４】
ステップ２０１に、承認結果判定要求６０を入力として取得する。ステップ２０２に、承認結果判定要求６０からリソース識別情報６１を取得する。ステップ２０３に、リソース識別情報６１を入力として、承認ポリシ管理部１３を呼び出して承認ポリシ定義４０を取得する。ステップ２０４に、承認ポリシ定義４０から承認ルール情報４３を取得する。ステップ２０５に、承認ルール情報４３と属性情報リスト６２に含まれる属性情報６２１によって承認結果を判定する。ステップ２０６に、承認結果を呼出元に返却して終了する。
【００２５】
［第２の実施形態］
第１の実施形態では、属性承認装置１の呼出元自身が、承認条件を要求する場合と、承認条件に従って属性承認装置１の呼出元の側で収集した属性情報を元にして承認結果を判定を要求する場合とを区別して、２つの機能を切り替えて呼び出しを行なう。
【００２６】
本実施形態では、このような呼び出しの区別をせず、１種類の機能により上記の２つの機能を実現する。
【００２７】
図９を参照すると、本発明の第２の実施形態の属性承認装置２は承認条件判定部２１と承認結果判定部２２と承認ポリシ管理部２３と制御部２４で構成される。
【００２８】
図１０を参照すると、承認条件判定兼務承認結果判定要求８０はリソース識別情報８１と属性情報リスト８２とによって構成され、属性情報リスト８２は０個以上の属性情報８２１によって構成される。
【００２９】
承認ポリシ管理部２３は、複数の承認ポリシ定義４０を蓄積管理し、承認条件判定部２１および承認結果判定部２２から、リソース識別情報を含む承認ポリシ定義の取得要求を受け取り、リソース識別情報が一致する承認ポリシ定義４０を返却する。制御部２４は、承認条件判定兼承認結果判定要求８０を入力として、リソース識別情報８１を元に生成した承認条件判定要求５０を入力として承認条件判定部２１を呼び出して承認条件７０を取得し、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が属性情報リスト８２にすべて含まれている場合に、リソース識別情報８１と属性情報リスト８２を元に生成した承認結果判定要求６０を入力として承認結果判定部２２を呼び出して承認結果を取得し、制御部２４の呼出元に返却する。制御部２４は、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が十分に属性情報リスト８２に含まれていない場合には、承認条件７０を制御部２４の呼出元に返却する。
【００３０】
図１１は属性承認装置２が承認結果判定要求６０を受け付けた場合の制御部２４の処理を示している。
【００３１】
ステップ３０１に、承認条件判定兼結果判定要求８０を入力として取得する。
ステップ３０２に、承認条件判定兼結果判定要求８０からリソース識別情報８１と属性情報リスト８２を取得する。ステップ３０３に、リソース識別情報８１を元に承認条件判定要求５０を生成する。ステップ３０４に、承認条件判定要求５０を入力として、承認条件判定部２１を呼び出して承認条件７０を取得する。ステップ３０５に、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が属性情報リスト８２にすべて含まれていることを検証する。ステップ３０６で、検証結果が失敗の場合はステップ３０７に進み、成功の場合はステップ３０８に進む。ステップ３０７に、承認条件を呼出元に返却して、終了する。ステップ３０８に、リソース識別情報８１と属性情報リスト８２を元にして、承認結果判定要求６０を生成する。ステップ３０９に、承認結果判定要求６０を入力として、承認結果判定部２２を呼び出して承認結果を取得する。ステップ３１０に、承認結果を呼出元に返却して、処理を終了する。
【００３２】
［第３の実施形態］
第１および第２の実施形態において、承認ポリシ定義４０の承認条件属性定義情報リスト４２を構成する属性定義情報４２１が、属性の種別を表わす種別識別情報３１を含むものとすると、属性の構成要素による細かな違いがある場合にも、同一種類の属性であれば、単一の承認ポリシ定義４０を設定するのみで良く、サービス側の管理コストを低減することができる。
【００３３】
［第４の実施形態］
第１〜３の実施形態において、承認ポリシ定義４０の承認条件属性定義情報リスト４２を構成する属性定義情報４２１が、属性の検証方法を定める属性検証条件を含むものとすると、属性情報の有効性に関して多様な条件を定めることが可能となり、承認結果判定部１２，２２において正当な属性情報のみを用いた承認結果判定処理を実施することが可能となる。
【００３４】
［第５の実施形態］
第４の実施形態において、属性検証条件を発行者制約とすることによって、属性情報の発行者（生成者）を検証することが可能となり、信頼可能な機関によって発行された属性情報のみによる承認結果判定処理を実施することが可能となる。例えば、発行者制約は属性の発行者を表わす識別情報（ＩＤ）とし、属性情報に発行者を表わす識別情報（ＩＤ）を含めるとした場合には、文字列の一致検証を実施すればよい。または、属性情報を署名付きデータとした場合には、属性検証情報として署名検証鍵を用いる方法が考えられる。
【００３５】
［第６の実施形態］
第１〜５の実施形態に示した属性承認装置１や属性承認装置２は、図１２、図１３に示すように、通信網（インターネット、ＬＡＮ、同一ホスト内のプロセス間通信、等）４を介して、リソース管理装置３と接続し、リソース管理装置３は通信網６を介して、リソース利用要求を発するリソースアクセス装置５と接続して構成される属性承認リソース管理システムとして用いることができる。 図１４は、属性承認リソース管理システムのリソース管理装置３が属性承認装置１と連携して動作する場合の処理を示している。
【００３６】
ステップ４０１に、リソースの利用要求を入力として取得する。ステップ４０２に、承認条件判定要求５０を生成する。ステップ４０３に、承認条件判定要求５０を入力として、属性承認装置１を呼び出して承認条件７０を取得する。ステップ４０４に、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報を、呼出元（リソースアクセス装置５）から収集し、属性情報リスト８２を生成する。ステップ４０５に、リソース識別情報６１と属性情報リスト６２を元にして、承認結果判定要求６０を生成する。ステップ４０６に、承認結果判定要求６０を入力として、属性承認装置１を呼び出して承認結果を取得する。
ステップ４０７に、承認結果に基いてリソースを呼出元に提供して、処理を終了する。
【００３７】
なお、属性承認装置２を用いる場合は、リソース管理装置が承認条件判定要求５０と承認結果判定要求６０を使い分けるのではなく、承認条件判定兼承認結果判定要求８０のみを用いる点が異なるが、基本的な処理の流れは上記と同様である。
【００３８】
［第７の実施形態］
図１５は、属性承認装置１または属性承認装置２から監査統計情報を収集する属性承認装置監査統計サーバ７による属性承認装置監査統計システムの構成図を示している。
【００３９】
各属性承認装置１または各属性承認装置２は、通信網８を介して、属性承認装置監査統計サーバ７と接続されており、属性承認装置１または属性承認装置２は、承認条件や承認結果の判定処理を行なう際に、監査統計情報を蓄積管理する。
属性承認装置監査統計サーバ７は、１つ以上の属性承認装置１または属性承認装置２から監査統計情報を取得集計する。
【００４０】
このシステムは、属性承認装置の異常や不正の摘発を検出することによってセキュリティレベルを維持することや、属性承認装置によるマーケティングデータの収集に有効である。
【００４１】
［第８の実施形態］
第１〜第８の実施形態において、図２に示される属性情報３０の電子的形式を、Ｘ．５０９、またはＲＦＣ３２８１の仕様に基づく属性証明書の形式とすることによって、公開鍵認証基盤に基づく安全性の高い属性受信制御装置、あるいは属性受信制御プログラムを実現することが可能である。また、それらの仕様に基づいて開発された実績のある信頼性の高い処理装置、あるいは処理プログラムを実装部品として利用することも可能となる。
【００４２】
なお、属性承認装置１と２の機能は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプルグラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００４３】
【発明の効果】
以上説明したように、本発明は下記の効果がある。
【００４４】
請求項１の発明は、リソースへのアクセスに関する承認判断に必要な属性情報の条件として承認条件属性定義情報リストと、収集した属性情報による承認判断の手順を表わす承認ルール情報とを承認ポリシ定義としてあらかじめ作成して属性承認装置に登録しておくことによって、リソース管理装置は、属性承認装置を用いて、アクセス要求の対象となったリソースへの承認判断に必要な属性情報を判定すること、および、その結果を元にして収集した属性情報を元にして承認結果を判定することが可能になる。
【００４５】
これにより、リソース管理装置ごとにアクセス制御のための承認判断機構を実装する必要がなくなり、また、アクセス要求側が保持する属性情報を元にしたアクセス制御を行なうためリソース管理装置側での管理コストが低減される。
【００４６】
請求項２の発明は、承認判断に用いる承認ポリシ定義において、承認条件属性情報定義情報リストを、属性情報の種別を表わす属性種別情報を元にして定義することによって、承認ポリシ定義の数を抑えることが可能となり、記述コストを低減することができる。
【００４７】
請求項３の発明は、承認ポリシ定義の承認条件属性定義情報リストに、属性情報の属性検証条件を含めるようにし、承認結果の判定を行なう際に、各属性情報の有効性を属性検証条件を元にして検証することによって、承認ポリシ定義ごとに属性の有効性の判断記述を制御することが可能になる。
【００４８】
請求項４の発明は、上記請求項３の発明の効果に加え、属性検証条件を発行者を限定する条件とすることによって、属性承認に用いる属性情報の発行元を限定することが可能になる。
【００４９】
請求項５の発明は、呼出元から受け付ける要求の種類を承認条件判定要求と承認結果判定要求の両方を兼ねる承認条件判定兼承認結果判定要求とすることによって、属性承認装置の呼出元の実装方法の多様性に対応可能になる。
【００５０】
請求項７と８の発明は、リソース管理装置が、承認に必要な属性情報の決定から収集した属性情報の検証と分析を属性承認装置を用いて実施するため、アクセス制御に必要な大部分の処理機構を独自に保有する必要がなく、また、承認に必要な属性はアクセス要求側等からその都度リソース管理装置が収集するため、承認に必要な属性情報は、属性承認装置から得られる承認条件を元にして、アクセス要求側等からリソース管理装置がその都度収集することが可能であるため、アクセス要求側の属性情報を異なるリソース管理装置間で共有利用することが可能となる。
【００５１】
請求項１０の発明は、属性承認装置から承認条件判定および承認結果判定の監査統計情報を属性承認装置監査統計サーバが収集することによって、各属性承認装置が適性に運用、動作していることを監視検証することが可能となり、また、属性情報の流通、リソースへのアクセス要求の履歴、傾向等を統計情報として得ることが可能になる。
【００５２】
請求項６、９の発明は属性情報をＸ．５０９仕様に基づく属性証明書とすることによって、公開鍵認証基盤を用いた安全性の高い属性承認装置ならびに属性承認リソース管理システムならびに属性承認装置監査統計システムを実現することが可能になる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態の属性承認装置の構成図である。
【図２】属性情報の構成を示す図である。
【図３】属性ポリシ定義の構成図である。
【図４】承認条件判定要求の構成図である。
【図５】承認結果判定要求の構成図である。
【図６】承認条件の構成図である。
【図７】承認条件判定部の処理を示すフローチャートである。
【図８】承認結果判定部の処理を示すフローチャートである。
【図９】本発明の第２の実施形態の属性承認装置の構成図である。
【図１０】承認条件判定兼承認結果判定要求の構成図である。
【図１１】制御部の処理を示すフローチャートである。
【図１２】本発明の第１の属性承認リソース管理システムの構成図である。
【図１３】本発明の第２の属性承認リソース管理システムの構成図である。
【図１４】リソース管理装置の処理を示すフローチャートである。
【図１５】本発明の属性承認装置監査統計システムの構成図である。
【符号の説明】
１，２ 属性承認装置
３ リソース管理装置
５ リソースアクセス装置
７ 属性承認装置監査統計サーバ
４，６，８ 通信網
１１，２１ 承認条件判定部
１２，２２ 承認結果判定部
１３，２３ 承認ポリシ管理部
２４ 制御部
３０ 属性情報
３１ 属性種別情報
３２ 属性要素情報
４０ 承認ポリシ定義
４１ リソース識別情報
４２ 承認条件属性定義情報リスト
４３ 承認ルール情報
４２１ 属性定義情報
５０ 承認条件判定要求
５１ リソース識別情報
６０ 承認結果判定要求
６１ リソース識別情報
６２ 属性情報リスト
６２１ 属性情報
７０ 承認条件
７１ リソース識別情報
７２ 承認条件属性定義情報リスト
７２１ 属性定義情報
８０ 承認条件判定兼承認結果判定要求
８１ リソース識別情報
８２ 属性情報リスト
８２１ 属性情報
１０１〜１０６，２０１〜２０６，３０１〜３１０，４０１〜４０７ ステップ

Claims (11)

1. リソースへのアクセス承認要求とアクセス元に関する特徴を表わす属性情報を入力として、リソースへの承認判断を実施し、承認結果を返却する装置であって、
   リソース識別情報と、承認結果判定に必要な属性情報の条件を表わす承認条件属性定義情報リストと、属性情報を用いた承認結果の判定規則を表わす承認ルール情報とからなる承認ポリシ定義を複数蓄積、管理する承認ポリシ管理手段と、リソース識別情報を含む、リソースへのアクセスの承認結果判定に必要な属性情報の条件の取得を要求することを表わす承認条件判定要求を入力として受け取り、該承認条件判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認条件属性定義情報リストを元に承認条件を決定して要求元に返却する承認条件判定手段と、
   承認要求対象を表わすリソース識別情報と承認結果判定のための属性情報リストを含む承認結果判定要求を入力として受け取り、該承認結果判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認ルール情報によって、該承認結果判定要求に含まれる属性情報リストを対象とした承認判定処理を行ない、承認結果を要求元に返却する承認結果判定手段を有する属性承認装置。
2. 前記承認条件属性定義情報リストの各属性定義情報が、属性情報の種別を表わす種別識別情報を含み、
   前記承認条件判定手段は、該種別識別情報を含む承認条件を要求元に返却し、前記承認結果判定手段が、前記種別識別情報に対応する属性情報からなる属性情報リストを含む承認結果判定要求を受け取る、請求項１記載の属性承認装置。
3. 前記承認条件属性定義情報リストの各属性定義情報は、属性情報の有効性を検証するための条件を表わす属性検証条件を含み、
   前記承認結果判定手段が、前記承認結果判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義の承認条件属性定義情報リストに含まれる属性定義情報から属性検証条件を取得し、承認結果判定要求に含まれる属性情報リストに含まれる属性情報のうち属性検証条件によって検証した結果が有効であるもののみを用いて、前記承認ポリシ定義に含まれる承認ルール情報に従った承認判定処理を行ない、その結果を要求元に返却する、請求項１または２記載の属性承認装置。
4. 前記属性検証条件が信頼し得る発行者を表わす発行者識別情報であり、前記承認結果判定手段が属性検証条件に従って属性情報の有効性を検証する際には、属性情報の発行者が属性検証条件が規定する発行者識別情報が示す発行者と一致する場合に有効とみなし、一致しない場合に無効とみなす、請求項３記載の属性承認装置。
5. リソース識別情報と属性情報と含む承認条件判定兼承認結果判定要求を受け取り、該承認条件判定兼承認結果判定要求に含まれるリソース識別情報を含む承認条件判定要求を承認条件判定手段に入力し、前記承認条件判定手段から返却された承認条件を元に、前記承認条件判定兼承認結果判定要求に含まれる属性情報の不足分を判定し、不足がある場合には承認条件を自身の要求元に返却し、不足がない場合は、前記承認条件判定兼承認結果判定要求に含まれるリソース識別情報と属性情報を含む承認結果判定要求を前記承認結果判定手段に入力し、前記承認結果判定手段から返却される承認結果を、自身の呼出元に返却する制御手段をさらに有する、請求項１から４のいずれかに記載の属性承認装置。
6. 前記属性情報を、Ｘ．５０９仕様に基づく属性証明書を利用して実現する、請求項１から５のいずれかに記載の属性承認装置。
7. リソースごとに属性情報によるアクセス制御情報をあらかじめ設定し、リソースの利用要求を入力として、アクセス制御を行なった結果に応じて、リソースの機能を提供する装置であって、
   請求項１から４のいずれかに記載の属性承認装置と通信網を介して接続され、受け付けたリソース利用要求が指定するリソースへのアクセスの承認結果の判定に必要な属性情報を表わす承認条件を、前記属性承認装置に承認条件取得要求を送信することによって、取得し、取得した承認条件に基づいてリソースの利用要求元から属性情報を取得した後、該属性情報を元にして前記属性承認装置を用いて承認結果を取得し、承認結果に従ってリソースの利用要求元に対するリソースの提供方法を変化させる属性承認リソース管理装置。
8. リソースごとに属性情報によるアクセス制御情報をあらかじめ設定し、リソースの利用要求を入力として、アクセス制御を行なった結果に応じて、リソースの機能を提供する装置であって、
   請求項５記載の属性承認装置と前記通信網を介して接続され、リソース利用要求を受け取ると、前記属性承認装置に、リソース識別情報と、０個以上の属性情報によって構成される属性情報リストを含む承認判定条件兼承認結果判定要求を送信することによって、承認条件あるいは承認結果を取得し、承認条件を取得した場合には、該承認条件に基づいてリソースの利用要求元から属性情報を取得した後、該属性情報を元にして前記属性承認装置を用いて承認結果を取得し、該承認結果に従ってリソースの利用要求元に対するリソースの提供方法を変化させる属性承認リソース管理装置。
9. 前記属性情報を、Ｘ．５０９仕様に基づく属性証明書を利用して実現する、請求項７または８記載の属性承認リソース管理装置。
10. 承認条件判定処理および承認結果判定処理に関する動作の履歴を監査統計情報として記録蓄積する、請求項１から５のいずれかに記載の属性承認装置から、通信網を介して監査情報あるいは統計情報を取得する属性承認装置監査統計サーバ。
11. 前記属性情報を、Ｘ．５０９仕様に基づく属性証明書を利用して実現する、請求項１０記載の属性承認装置監査統計サーバ。

Images