JP2005301756A - アクセス制御システム - Google Patents

Abstract

【課題】柔軟な権限の付与とセキュリティ維持を両立させる技術を提供する。
【解決手段】アクセス制御部１５０は、ロール割り当て管理部１８０から、ユーザに付与されているロールＩＤを取得する。ロール情報管理部１７０は、ロール権限テーブル１７４からそのロールＩＤに関するロール権限情報（許可される操作、関係、状態およびオブジェクトタイプ）を取得してアクセス制御部１５０へ提供する。アクセス制御部１５０は、処理要求の対象オブジェクトに関する情報をオブジェクト管理部１４０から取得し、ユーザと対象オブジェクトの関係、対象オブジェクトの状態、対象オブジェクトのタイプが、ロール権限テーブル１７４に示されるものと合致するか否かを判定し、さらに、要求処理がロール権限テーブル１７４に示される許可される操作に含まれるか否かに基づいて要求処理に対する許可判定を行う。
【選択図】図１

Description

本発明は、アクセス制御システムに関し、特に、オブジェクトに対するユーザからのアクセスを制御する技術に関する。

従来から広く行われているアクセス制御リストによるアクセス制御は、個々のオブジェクトとユーザの組み合わせに対して、ユーザによる操作権限が設定されるため、ユーザの追加や削除もしくは責務の変更の際、各ユーザに対して、必要な権限を与え且つ不必要な権限を与ないようにセキュリティを維持する事が困難である。

このため近年、ユーザ役割によるアクセス制御が行われるようになってきている（特許文献１など）。ユーザ役割によるアクセス制御では、ユーザの責務に対応する役割であるロールが定義されユーザには役割が付与される。ここでユーザとは単一の利用者に限定されず複数の利用者をメンバーとして含むグループであってもよい。またサービスのような非人的な主体であっても良い。役割は、ユーザに付与されているだけで権限を行使できる場合もあれば、特定の対象に対しての役割として割り当てられ、割り当てられた対象のオブジェクトに対してのみ行使できる場合もある。また、ロール間に継承関係を定義し、あるロールに対する権限がサブロールを付与されたユーザにも適用される事も可能である。

ユーザ役割によるアクセス制御においては、個々のオブジェクトに対してではなく役割に権限が保持されるため、役割に与える権限と役割の付与ないし割り当てに管理を集中でき、ユーザの追加や削除もしくはユーザの責務変更の際には、付与する役割の変更だけで済むなど、アクセス制御リスト方式に比べてはるかにセキュリティ管理が容易である。

特開２０００−２０７３６３号公報

しかしながら、従来のユーザ役割によるアクセス制御、つまり、ロールに基づくアクセス制御では、多様な種類のオブジェクトや複数の状態を持つオブジェクトに対して、操作に応じて権限を設定するためには、「作成」「読み取り」「書き込み」などといった汎用的な操作ではなく、「種類１のオブジェクトの作成」「種類１のオブジェクトの読み取り」などと、対象とするオブジェクトの種類を明示的に示した操作による多数の権限の定義が必要となってしまい、ロールの継承などの方式を用いても多数のロールの一貫性を維持することが困難となってしまう。

本発明は、こうした従来の問題点に鑑みてなされたものであり、その目的は、柔軟な権限の付与とセキュリティ維持を両立させる技術を提供することにある。

上記目的を達成するために、本発明の好適な態様であるアクセス制御プログラムは、情報資源であるオブジェクトに対するユーザからのアクセスを制御するためのアクセス制御プログラムにおいて、対象となるオブジェクト情報および対象となる操作情報が登録されたロールを管理するロール管理部から、アクセスを要求したユーザに対応するロールを取得する手順、前記取得したロールに基づいて、オブジェクトに対してそのユーザに許可された操作を判別する手順をコンピュータに実行させることを特徴とする。

この構成において、ユーザとは、オブジェクトに対して操作などを実行する操作主体一般の概念であり、単一の利用者に限定されず複数の利用者をメンバーとして含むグループであってもよい。またサービスのような非人的な主体も含まれる。ちなみに、本アクセス制御プログラムは、例えば、光ディスク媒体などに記憶されてコンピュータに提供され、あるいは、ネットワークなどを介してコンピュータに提供される。

本アクセス制御プログラムでは、ロールの権限としての定義に、そのロールの対象となるオブジェクトのオブジェクト情報が含まれる。オブジェクト情報としては、例えば、そのロールに基づいて権限を行使できる対象オブジェクトの種類や、対象オブジェクトの状態、あるいは、対象オブジェクトと操作主体であるユーザと関連などが定義される。このように、ロールの表現能力が高められ、アクセスの認可判定においては、ロールに定義された各種行使条件を合わせて判定を行うことにより柔軟な権限の設定が可能となる。また、多数のロールを定義する必要などがなくなり、一貫した管理が容易なアクセス制御を実現できる。

望ましくは、前記ロールのオブジェクト情報には、そのロールの対象となるオブジェクトの種類を示したオブジェクトタイプ情報が含まれ、前記ロールの操作情報には、前記オブジェクトタイプ情報に示された種類のオブジェクトに対して許可された許可操作情報が含まれる、ことを特徴とする。望ましくは、前記ロールのオブジェクト情報には、そのロールの対象となるオブジェクトの状態を限定した状態限定情報が含まれることを特徴とする。望ましくは、前記ロールのオブジェクト情報には、そのロールの対象となるオブジェクトとそのロールの対象となるユーザとの関係を限定した関係限定情報が含まれることを特徴とする。

上記目的を達成するために、本発明の好適な態様であるアクセス制御装置は、情報資源であるオブジェクトに対するユーザからのアクセスを制御するアクセス制御装置において、対象となるオブジェクト情報および対象となる操作情報が登録されたロールを管理するロール管理部と、前記ロール管理部から、アクセスを要求したユーザに対応するロールを取得し、取得したロールに基づいて、オブジェクトに対してそのユーザに許可された操作を判別するアクセス制御部と、を有することを特徴とする。

上記目的を達成するために、本発明の好適な態様であるアクセス制御システムは、情報資源であるオブジェクトに対するユーザからのアクセスを制御するアクセス制御システムにおいて、複数のオブジェクトを管理するオブジェクト管理部と、各ロールごとに対象となるオブジェクト情報および対象となる操作情報が登録された複数のロールを管理するロール管理部と、前記ロール管理部から、アクセスを要求したユーザに対応するロールを取得し、取得したロールに基づいて、そのユーザによって要求されたオブジェクトに対してそのユーザに許可された操作を判別するアクセス制御部と、を有することを特徴とする。

この構成において、オブジェクト管理部、ロール管理部およびアクセス制御部は、全てが一つの装置内に組み込まれてもよく、あるいは、一部が他の装置内に組み込まれてもよい。オブジェクト管理部、ロール管理部およびアクセス制御部が複数の装置に分散された形態の場合、例えばネットワークを介してそれら複数の装置が接続される。

本発明により、柔軟な権限の付与とセキュリティ維持を両立させたアクセス制御が実現できる。

以下、本発明の好適な実施形態を図面に基づいて説明する。

図１には、本発明の好適な実施形態が示されており、図１は、アクセス制御システムの全体構成図である。本システムは、アクセス制御装置１００と複数のユーザ端末２００がネットワーク３００を介して接続されたシステムである。

本システムでは、各ユーザがユーザ端末２００を利用してアクセス制御装置１００によって管理されるオブジェクトへアクセスする。オブジェクトとは、データベースやファイルシステムやメモリなどに蓄積あるいは一時的に格納された情報資源である。アクセス制御装置１００は、ユーザのロール（ユーザ役割）に基づいて、そのユーザによるオブジェクトへのアクセス（閲覧、書き込みなどの操作）を制御する。アクセス制御装置１００の構成は次のとおりである。

処理要求受信部１１０は、ユーザからのオブジェクトに対する処理要求を受け付ける。ユーザは、ユーザ端末２００を利用してオブジェクト名やそのオブジェクトに対する処理要求（例えば、オブジェクトの読み取りや書き込みなどの要求）を行い、処理要求受信部１１０がその処理要求を受け付ける。要求処理部１３０は、処理要求受信部１１０で受け付けられた処理要求を実行する。処理結果送信部１２０は、要求処理部１３０で実行された処理結果をユーザ端末２００へ送信する。

オブジェクト管理部１４０は、オブジェクトを蓄積あるいは一時的に格納する。オブジェクト管理部１４０によって管理されるオブジェクトには、各オブジェクトごとにオブジェクトＩＤなどが割り当てられている。オブジェクト管理部１４０は、各オブジェクトごとのオブジェクトＩＤなどを登録したオブジェクトテーブル１４２に基づいてオブジェクトを管理する。

図２は、オブジェクトテーブルを説明するための図であり、オブジェクトテーブルの一例を示している。図２のオブジェクトテーブルは、各オブジェクトごとに、オブジェクトＩＤ（Ｏ１〜Ｏ９）が割り当てられている。また、各オブジェクトのオブジェクト名、オブジェクトタイプなどが示されている。本実施形態では、オブジェクト（あるいはオブジェクトの集合体）として、複数の構成員（ユーザ）によって遂行される一つの業務プロジェクトを想定する。さらに、その業務プロジェクトはいくつかのタスクによって遂行される。つまり、各タスクはタスク責任者の指示に従って複数の構成員によって遂行され、さらに、複数のタスクをプロジェクト責任者がまとめて、業務プロジェクトが遂行される。

図２において、オブジェクトタイプの「Ｐｒｏｊｅｃｔ」は業務プロジェクトに対応し、「Ｔａｓｋ」は業務プロジェクトに属するタスクに対応している。オブジェクトタイプの「Ｄｏｃｕｍｅｎｔ」は、業務プロジェクトで利用される文書を意味している。このように、図２の例では、業務プロジェクト、タスク、文書の個々をオブジェクトとして捉えている。また、業務プロジェクト、タスク、文書には、階層関係が成立している。つまり、文書はあるタスクに属し（そのタスクを親とし）、タスクはある業務プロジェクトに属している。図２の親オブジェクトには、そのオブジェクトが属するオブジェクト（そのオブジェクトの親）が示されている。例えば、オブジェクトＩＤ「Ｏ２」の親オブジェクトは「Ｏ１」である。（ちなみに、図２の各オブジェクトの階層関係が後に詳述する図９に示されている。）さらに、図２のオブジェクト状態にはそのオブジェクトの状態が示されている。例えば、オブジェクト「Ｏ１」は「Ｉｎ Ｐｒｏｇｒｅｓｓ」（進行中）であり、オブジェクト「Ｏ２」は「Ｐｒｅｐａｒｉｎｇ」（未着手）である。オブジェクト状態は、オブジェクト状態定義テーブルによって定義される。

図３は、オブジェクト状態定義テーブルを説明するための図であり、オブジェクト状態定義テーブルの一例を示している。図３のテーブルには、各オブジェクト状態ごとに、オブジェクト状態ＩＤ、状態名、対象オブジェクトタイプが示されている。例えば、オブジェクト状態ＩＤ「Ｐｒｅｐａｒｉｎｇ」は、状態名「未着手」を意味し、その対象オブジェクトタイプが「Ｐｒｏｊｅｃｔ」および「Ｔａｓｋ」であることが示されている。また、オブジェクト状態ＩＤ「Ｄｒａｆｔ」は、状態名「作成中」を意味し、その対象オブジェクトタイプが「Ｄｏｃｕｍｅｎｔ」であることが示されている。

図１に戻り、アクセス制御部１５０は、処理要求受信部１１０が受け付けた処理要求の実行に対する認可の判定を行う。その認可の判定には、ユーザ情報管理部１６０、ロール情報管理部１７０およびロール割り当て管理部１８０の各々で管理される各種テーブルが利用される。

ユーザ情報管理部１６０は、ユーザテーブル１６２を管理しており、必要に応じてユーザテーブル１６２に基づくユーザ情報をアクセス制御部１５０へ提供し、また、アクセス制御装置１００の管理者などの指示に基づいてユーザテーブル１６２の修正などを行う。

図４は、ユーザテーブルを説明するための図であり、ユーザテーブルの一例を示している。ユーザテーブルには、アクセス制御装置１００を利用するユーザ、例えば、業務プロジェクトに属する全てのユーザの情報が登録される。各ユーザには、ユーザＩＤが割り当てられ、そのユーザ名（例えばユーザの本名）とともにユーザテーブルに登録される。図４において、例えば、ユーザ名「Ｓｕｚｕｋｉ」にユーザＩＤ「Ｕ１」が割り当てられ、ユーザ名「Ｔａｋａｈａｓｈｉ」にユーザＩＤ「Ｕ３」が割り当てられている。

図１に戻り、ロール情報管理部１７０は、ロールテーブル１７２およびロール権限テーブル１７４を管理しており、必要に応じてこれらのテーブルに基づくロール情報をアクセス制御部１５０へ提供し、また、アクセス制御装置１００の管理者などの指示に基づいてこれらのテーブルの修正などを行う。ロールとは、ユーザのオブジェクトに対する役割（ユーザ役割）であり、このロールに基づいてオブジェクトに対する権限（アクセスなどの権限）がユーザに付与される。

図５は、ロールテーブルを説明するための図であり、ロールテーブルの一例を示している。ロールテーブルには、各ロールに与えられたロールＩＤとそのロール名が登録されている。図５において、例えば、ロール名「プロジェクトマネージャー」にロールＩＤ「ＰＭ」が割り当てられ、ロール名「タスク責任者」にロールＩＤ「ＴＬ」が割り当てられている。

図６は、ロール権限テーブルを説明するための図であり、ロール権限テーブルの一例を示している。ロール権限テーブルには、各ロールＩＤごとに、限定子、オブジェクトタイプおよび許可される操作が登録されている。オブジェクトタイプには、そのロールによって権限が行使できる対象のオブジェクトタイプ（図２参照）が登録される。オブジェクトタイプにおける”＊”は、特定のオブジェクトタイプによらず権限が行使できることを表している。また、許可される操作には、そのロールによって許可される操作ＩＤが登録される。許可される操作における”｛＊｝”は、全ての操作が許可されることを表している。操作ＩＤは、オブジェクトに対する操作ごとに与えられるＩＤであり、操作定義テーブルで設定される。

図７は、操作定義テーブルを説明するための図であり、操作定義テーブルの一例を示している。操作定義テーブルには、各操作ＩＤと操作名が対応付けられている。例えば、操作ＩＤ「Ｃ」は、オブジェクトを「作成」する操作を意味しており、また、操作ＩＤ「Ｒ」は、オブジェクトを「読み取り」する操作を意味している。

図６に戻り、限定子の「関係」は、オブジェクトとユーザとの間の関係を限定するものであり、また、限定子の「状態」は、オブジェクトのオブジェクト状態（図３参照）を限定するものである。なお、「関係」および「状態」における”＊”は、オブジェクトとユーザとの間の関係やオブジェクトのオブジェクト状態に関する限定がないことを表している。

例えば、ロールＩＤ「ＰＭ」には、図６のロール権限テーブルの登録Ｎｏ．１において、限定子による限定がなく全てのオブジェクトタイプ対して全ての操作の権限が与えられている。また、ロールＩＤ「ＴＬ」には、登録Ｎｏ．３において、限定子による限定がなく、全ての「Ｔａｓｋ」オブジェクトに対して読み取り「Ｒ」および内容読み取り「ＲＣ」の操作の権限が与えられている。なお、同じロールＩＤ「ＴＬ」には、登録Ｎｏ．４において、「Ｔａｓｋ」オブジェクトに対して全ての操作の権限が与えられている。しかし、その権限対象となる「Ｔａｓｋ」オブジェクトが限定子によって「Ａｓｓｉｇｎｅｄ」に指定されている。この「Ａｓｓｉｇｎｅｄ」は、ロール割り当てテーブル（後に詳述）によって割り当てられた「Ｔａｓｋ」オブジェクトに権限を限定する意味である。ちなみに、限定子の関係における「Ａｕｔｈｏｒ」は、オブジェクトの作成者のみに権限を限定するものである。また、限定子の状態における「Ｉｎ Ｐｒｏｇｒｅｓｓ」は、進行中のオブジェクトにのみ権限を限定するものである。

図１に戻り、ロール割り当て管理部１８０は、ロール割り当てテーブル１８２を管理しており、必要に応じてこのテーブルに基づくロール割り当て情報をアクセス制御部１５０へ提供し、また、アクセス制御装置１００の管理者などの指示に基づいてこのテーブルの修正などを行う。

図８は、ロール割り当てテーブルを説明するための図であり、ロール割り当てテーブルの一例を示している。ロール割り当てテーブルには、各割り当てＩＤごとに、ユーザＩＤ、オブジェクトＩＤおよびロールＩＤが登録され、その結果、各ユーザに対して、ロールとそのロールの対象オブジェクトが割り当てられる。例えば、割り当てＩＤ「Ａ１」では、ユーザ「Ｕ１」に対して、ロール「ＰＭ」とその対象オブジェクト「Ｏ１」が割り当てられており、また、割り当てＩＤ「Ａ２」では、ユーザ「Ｕ２」に対して、ロール「ＰＣ」とその対象オブジェクト「Ｏ１」が割り当てられている。

図９は、ロール割り当ての模式図であり、図２から図８までのテーブル内容に関するオブジェクト、ユーザおよびロールの割り当ての関係を示している。図９において、各オブジェクト（９０１〜９０９）は、オブジェクトテーブル（図２参照）に示される「親オブジェクト」に基づく階層構造を有している。各オブジェクト（９０１〜９０９）には、オブジェクトテーブルに登録されているそのオブジェクトのオブジェクトＩＤ（Ｏ１、Ｏ２など）、オブジェクト名（Ｐｒｏｊｅｃｔ１、Ｔａｓｋ１など）およびオブジェクト状態（Ｉｎ Ｐｒｏｇｒｅｓｓ、Ｐｒｅｐａｒｉｎｇなど）が示されている。さらに図９において、各オブジェクト（９０１〜９０９）の右側には、ロール割り当てテーブル（図８参照）によって割り当てられたロール割り当て（９１１〜９１５）が示されている。各ロール割り当て（９１１〜９１５）には、割り当てられたユーザのユーザＩＤ（Ｕ１、Ｕ２など）およびロールＩＤ（ＰＭ、ＰＣなど）が示されている。

図１に戻り、アクセス制御部１５０は、上述した各種テーブル（図２から図８）に関する情報を適宜参照して、処理要求受信部１１０が受け付けた処理要求の実行に対する認可の判定を行う。判定は例えば次の手順で実行される。

（手順１）アクセス制御部１５０は、処理を要求したユーザに付与されているロールＩＤを取得する。つまり、ロール割り当て管理部１８０から、そのユーザに付与されているロールのロールＩＤを取得する。この際、ロール割り当て管理部１８０は、ロール割り当てテーブル１８２（図８）から、そのユーザに付与されているロールＩＤを確認して、アクセス制御部１５０にそのロールＩＤを提供する。

（手順２）アクセス制御部１５０は、取得したロールＩＤに関するロール権限情報をロール情報管理部１７０から取得する。つまり、ロール情報管理部１７０は、ロール権限テーブル１７４（図６）からそのロールＩＤに関するロール権限情報（許可される操作、関係、状態およびオブジェクトタイプ）を取得してアクセス制御部１５０へ提供する。なお、ロールＩＤに関するロール権限情報が複数存在する場合（例えば、図６におけるロールＩＤ「ＴＬ」）には、各ロール権限情報ごとに以下の手順４および手順５の処理を実行する。

（手順３）アクセス制御部１５０は、ユーザによる処理要求の対象であるオブジェクトに関する情報をオブジェクト管理部１４０から取得する。つまり、オブジェクト管理部１４０は、オブジェクトテーブル１４２（図２）からそのオブジェクトに関する情報（オブジェクトタイプおよびオブジェクト状態）を取得してアクセス制御部１５０へ提供する。

（手順４）アクセス制御部１５０は、処理を要求したユーザと処理対象のオブジェクトの関係、処理対象のオブジェクトの状態、処理対象のオブジェクトのタイプが、ロール情報管理部１７０から取得したロール権限テーブル１７４（図６）に示されるロール権限情報（関係、状態およびオブジェクトタイプ）と合致するか否かを判定する。ロール権限テーブル１７４において、“＊”のように任意の関係、状態、オブジェクトタイプが示されている場合には、該当項目については無条件に合致すると見なす。

（手順５）アクセス制御部１５０は、合致すると判定された場合に、要求された処理がロール権限テーブル１７４（図６）に示される許可される操作に含まれるか否かを判定し、含まれる場合には要求された処理が認可される。

手順４および手順５の処理は、全てのロール権限情報に対して実行され、その結果、認可されると判定されるロールが無い場合には、処理要求は許可されない。このように、アクセス制御部１５０は、上記、手順１から手順５の処理を実行して、ユーザが要求する処理の実行に関する許可の判定を行う。

ちなみに、図２から図８に示したテーブル例に基づいて許可判定を行った場合のいくつかの結果を示すと次のとおりである。

ユーザ「Ｕ１」については、ロール割り当てテーブル（図８）によってオブジェクト「Ｏ１」に対してロール「ＰＭ」が割り当てられている。ロール「ＰＭ」は、ロール権限テーブル（図６）の登録Ｎｏ．１において、限定子による限定がなく全てのオブジェクトタイプに対して全ての操作の権限が与えられている。このため、ロール「ＰＭ」が割り当てられたユーザ「Ｕ１」は、オブジェクト「Ｏ１」およびオブジェクト「Ｏ１」の階層下にある全てのオブジェクト（Ｏ２〜Ｏ９）に対して全ての操作が許可される。

ユーザ「Ｕ２」については、ロール割り当てテーブル（図８）によってオブジェクト「Ｏ１」に対してロール「ＰＣ」が割り当てられている。ロール「ＰＣ」は、ロール権限テーブル（図６）の登録Ｎｏ．２において、限定子による限定がなく、オブジェクトタイプ「Ｔａｓｋ」に対して｛Ｒ，Ｗ，Ｄ，Ｓ，ＣＣ，ＲＣ，ＷＣ，ＤＣ，ＳＣ｝の操作権限が与えられている。このため、ロール「ＰＣ」が割り当てられたユーザ「Ｕ２」は、オブジェクト「Ｏ１」の階層下にある全てのタスクオブジェクト（Ｏ２〜Ｏ５）に対して、｛Ｒ，Ｗ，Ｄ，Ｓ，ＣＣ，ＲＣ，ＷＣ，ＤＣ，ＳＣ｝の操作が許可される。

ユーザ「Ｕ４」については、ロール割り当てテーブル（図８）によってオブジェクト「Ｏ３」に対してロール「ＴＬ」が割り当てられている。ロール「ＴＬ」は、ロール権限テーブル（図６）の登録Ｎｏ．３において、限定子による限定がなく、オブジェクトタイプ「Ｔａｓｋ」に対して｛Ｒ，ＲＣ｝の操作権限が与えられている。このため、ロール「ＴＬ」が割り当てられたユーザ「Ｕ４」は、全てのタスクオブジェクト（Ｏ２〜Ｏ５）に対して、｛Ｒ，ＲＣ｝の操作が許可される。なお、ロール「ＴＬ」は、ロール権限テーブル（図６）の登録Ｎｏ．４において、限定子により「Ａｓｓｉｇｎｅｄ」に限定されてオブジェクトタイプ「Ｔａｓｋ」に対して全ての操作権限が与えられている。この「Ａｓｓｉｇｎｅｄ」は、ロール割り当てテーブル（図８）によって割り当てられたオブジェクトに権限を限定する意味である。ロール割り当てテーブルによってユーザ「Ｕ４」にはオブジェクト「Ｏ３」が割り当てられている。したがって、ユーザ「Ｕ４」は、タスクオブジェクト「Ｏ３」に対してのみ全ての操作が許可される。

上記、手順１から手順５の処理を実行して、アクセス制御部１５０において、ユーザが要求する処理の実行に関する許可の判定が行われた結果、処理要求が許可された場合には、要求処理部１３０においてその処理が実行され、さらにその処理結果が処理結果送信部１２０からそのユーザのユーザ端末２００へ送信される。処理要求が許可されない場合には、要求処理部１３０においてその処理の実行は行われず、例えば、処理不許可の旨が処理結果送信部１２０からユーザ端末２００へ送信される。なお、必ずしもアクセス制御部１５０は要求処理部１３０から呼び出される構成である必要は無く、要求処理部１３０に処理要求が到達する前段で処理の実行の認可を判定してもよい。

以上、本発明の好適な実施形態を説明したが、上述した実施形態は、あらゆる点で単なる例示にすぎず、本発明の範囲を限定するものではない。

本発明に係るアクセス制御システムの全体構成図である。 オブジェクトテーブルを説明するための図である。 オブジェクト状態定義テーブルを説明するための図である。 ユーザテーブルを説明するための図である。 ロールテーブルを説明するための図である。 ロール権限テーブルを説明するための図である。 操作定義テーブルを説明するための図である。 ロール割り当てテーブルを説明するための図である。 ロール割り当ての模式図である。

符号の説明

１００ アクセス制御装置、１５０ アクセス制御部、１６０ ユーザ情報管理部、１７０ ロール情報管理部、１８０ ロール割り当て管理部。

Claims (6)

1. 情報資源であるオブジェクトに対するユーザからのアクセスを制御するためのアクセス制御プログラムにおいて、
   対象となるオブジェクト情報および対象となる操作情報が登録されたロールを管理するロール管理部から、アクセスを要求したユーザに対応するロールを取得する手順、
   前記取得したロールに基づいて、オブジェクトに対してそのユーザに許可された操作を判別する手順、
   をコンピュータに実行させることを特徴とするアクセス制御プログラム。
2. 請求項１に記載のアクセス制御プログラムにおいて、
   前記ロールのオブジェクト情報には、そのロールの対象となるオブジェクトの種類を示したオブジェクトタイプ情報が含まれ、
   前記ロールの操作情報には、前記オブジェクトタイプ情報に示された種類のオブジェクトに対して許可された許可操作情報が含まれる、
   ことを特徴とするアクセス制御プログラム。
3. 請求項２に記載のアクセス制御プログラムにおいて、
   前記ロールのオブジェクト情報には、そのロールの対象となるオブジェクトの状態を限定した状態限定情報が含まれる、
   ことを特徴とするアクセス制御プログラム。
4. 請求項３に記載のアクセス制御プログラムにおいて、
   前記ロールのオブジェクト情報には、そのロールの対象となるオブジェクトとそのロールの対象となるユーザとの関係を限定した関係限定情報が含まれる、
   ことを特徴とするアクセス制御プログラム。
5. 情報資源であるオブジェクトに対するユーザからのアクセスを制御するアクセス制御装置において、
   対象となるオブジェクト情報および対象となる操作情報が登録されたロールを管理するロール管理部と、
   前記ロール管理部から、アクセスを要求したユーザに対応するロールを取得し、取得したロールに基づいて、オブジェクトに対してそのユーザに許可された操作を判別するアクセス制御部と、
   を有することを特徴とするアクセス制御装置。
6. 情報資源であるオブジェクトに対するユーザからのアクセスを制御するアクセス制御システムにおいて、
   複数のオブジェクトを管理するオブジェクト管理部と、
   各ロールごとに対象となるオブジェクト情報および対象となる操作情報が登録された複数のロールを管理するロール管理部と、
   前記ロール管理部から、アクセスを要求したユーザに対応するロールを取得し、取得したロールに基づいて、そのユーザによって要求されたオブジェクトに対してそのユーザに許可された操作を判別するアクセス制御部と、
   を有することを特徴とするアクセス制御システム。

Images