JP2005316515A - 情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体 - Google Patents

Abstract

【課題】 特定の資源や特定の主体についての操作権限情報を適切に提供することのできる情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体の提供を目的とする。
【解決手段】 操作の対象となる各資源を分類する資源分類情報又は前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、前記主体及び前記資源のいずれか一方の特定の対象について、他方の分類及び前記操作の種別に応じて前記許否判定を実行し、該許否判定の結果に基づいて前記他方の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手段を有することにより上記課題を解決する。
【選択図】 図４

Description

本発明は、情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体に関し、特に資源に対する操作権限に関する情報を提供するための情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体に関する。

コンピュータシステムにおいては、文書等の資源の不正利用等を防止すべく各資源に対してアクセス権が定義されているのが一般である（例えば、特許文献１）。かかるアクセス権が定義されたデータは、一般にＡＣＬ（Access Control List）と呼ばれている。ＡＣＬは、文書ごとに定義されており、その定義内容は、各ユーザに対する各種操作権限の有無を示すものである。したがって、ＡＣＬの定義内容は、ユーザにとって直感的で理解しやすいものであり、特に加工することなく表示させることができた。

図１は、ＡＣＬの表示例を示す図である。図１のＡＣＬ表示画面５００においては、一の文書（文書１）について、各ユーザ又は各グループに対する操作の許否が表示されている。このように、ＡＣＬに基づいてアクセス制御を行うシステムにおいては、ＡＣＬを表示させることによって、ユーザは、特定の文書に対する各種操作権限の有無を容易に確認することが可能であった。

他方において、従来、各種システムごとに保持されていた操作権限情報を、各種のセキュリティ情報と合わせて特定のサーバ（以下、「セキュリティサーバ」という。）において一元管理することにより、複数のシステムにおける資源に対するアクセス制御について、共通のセキュリティルールを適用することが可能なシステム形態が採用され始めている。ここで、セキュリティサーバにおいて管理されている情報は、一般にセキュリティポリシーと呼ばれている。
特開２０００−２３１５０９号公報

しかしながら、セキュリティポリシーは、複数のシステムに対して共通的に適用されるものであるため、その定義内容は、それだけでは具体的な処理内容を特定できるものではなく、抽象的な記述になるのが一般である。例えば、印刷操作を許可する際に課される責務として、セキュリティポリシーにおいては「複製抑止処理」といった表現により定義されているが、あるアプリケーションにおける具体的な意味は、「地紋印刷」であるといった具合である。また、セキュリティポリシーにおける操作権限情報は、ＡＣＬのように個々の資源（文書等）に対して設定されるものではなく、資源を操作する主体（ユーザ又はグループ等）の分類と、資源の分類との組み合わせに応じて包括的に定義されるのが一般である。

したがって、抽象的かつ、包括的なセキュリティポリシーの定義内容をそのまま表示させたとしても、ユーザは、特定の文書や特定のユーザに対するアクセス権情報を把握するために非常に労を要するという問題がある。

本発明は、上記の点に鑑みてなされたものであって、特定の資源や特定の主体についての操作権限情報を適切に提供することのできる情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体の提供を目的とする。

そこで上記課題を解決するため、本発明は、請求項１に記載されるように、操作の対象となる各資源を分類する資源分類情報又は前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、前記主体及び前記資源のいずれか一方の特定の対象について、他方の分類及び前記操作の種別に応じて前記許否判定を実行し、該許否判定の結果に基づいて前記他方の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手段を有することを特徴とする。

このような情報処理装置では、資源分類情報、主体分類情報及び定義情報等により構成される複数のセキュリティ情報によって資源に対する操作権限が管理されている場合に、特定の資源又は特定の主体について各種操作権限の有無を示す情報を提供することができる。

また、上記課題を解決するため、本発明は、上記情報処理装置における操作許否情報生成方法、前記操作許否情報生成方法を前記情報処理装置に実行させるための操作許否情報生成プログラム、又は前記操作許否情報生成プログラムを記録した記録媒体としてもよい。

本発明によれば、特定の資源や特定の主体についての操作権限情報を適切に提供することのできる情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体を提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。図２は、本発明の実施の形態における文書管理システムの構成例を示す図である。図２に示されるように、本実施の形態における文書管理システム１は、セキュリティ管理サーバ１０、文書管理サーバ２０、認証サーバ３０、クライアント装置４０、印刷サーバ５１、変換サーバ５２及び配信サーバ５３等が、インターネットやＬＡＮ（Local Area Network）等のネットワーク６０を介して接続されることにより構成されている。

セキュリティ管理サーバ１０は、文書に関連したセキュリティ上の各種情報（以下、「セキュリティ情報」という。）の管理を行うためのコンピュータである。文書管理システム１において文書を取り扱う各種サーバ（文書管理サーバ１０、印刷サーバ５１、変換サーバ５２、及び配信サーバ５３）は、セキュリティ管理サーバ１０に管理されているセキュリティ情報に基づいて、各ユーザの文書に対する操作権限の有無等を判断する。

文書管理サーバ２０は、文書の管理（文書の保存、保存されている文書に対する検索、更新及び削除等の手段の提供等）を行うための文書管理モジュール２１が実装されたコンピュータである。

認証サーバ３０は、文書管理システム１のユーザの認証を行うための認証モジュール３１が実装されたコンピュータである。認証モジュール３１は、認証要求に応じてユーザの認証を行い、ユーザが認証された場合は、当該ユーザが認証された旨を証明する電子的な証明書（以下、「チケット」という。）を発行する。

印刷サーバ５１、変換サーバ５２及び配信サーバ５３は、文書管理サーバ２０に管理されている文書を扱う各種サーバの例示である。印刷サーバ５１は、文書をプリンタに印刷させるための機能が実装されたコンピュータである。変換サーバ５２は、文書を所定のデータ形式に変換するための機能が実装されたコンピュータである。配信サーバ５３は、文書を所定の宛先に配信するための機能が実装されたコンピュータである。

クライアント装置４０は、上述した各種サーバの機能を利用するアプリケーションが実装されたコンピュータである。但し、クライアント装置４０は、ユーザが直接利用する端末であるとは限らない。例えば、クライアント装置４０は、Ｗｅｂサーバであってもよく、その場合、クライアント装置４０に実装されたアプリケーションは、Ｗｅｂアプリケーションに相当する。

なお、上記各サーバにおける各機能は、Ｗｅｂサービスとして実装されている。したがってクライアント装置４０及び各サーバ間の通信はＳＯＡＰ（Simple Object Access Protocol）によって行われる。

次に、セキュリティ管理サーバ１０の詳細について説明する。図３は、本発明の実施の形態におけるセキュリティ管理サーバのハードウェア構成例を示す図である。図３のセキュリティ管理サーバ１０は、それぞれバスBで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。

セキュリティ管理サーバ１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。

補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたプログラムに従ってセキュリティ管理サーバ１０に係る機能を実行する。インタフェース装置１０５は例えばモデム、ルータ等で構成され、図２のネットワーク６０に接続するために用いられる。

図４は、本発明の実施の形態におけるセキュリティ管理サーバの機能構成例を示す図である。図４に示されるように、セキュリティ管理サーバ１０には、セキュリティ管理モジュール１１、対文書権限判定モジュール１２、対ユーザ権限判定モジュール１３及びマッピングテーブル１４等が実装されている。セキュリティ管理モジュール１１は、各種セキュリティ情報の管理機能が実装されたモジュールである。セキュリティ管理モジュール１１においては、ユーザプロファイル１１１、文書プロファイル１１２、ポリシー１１３及び許可証管理テーブル１１４等がセキュリティ情報として管理されている。

図５は、ユーザプロファイルの例を示す図である。図５に示されるように、ユーザプロファイル１１１は、各ユーザを、当該関係している部署、及び当該ユーザの権限レベルを基準として分類する情報であり、ユーザごとに、各部署（部署Ａ、部署Ｂ、部署Ｃ）の関係者であるか否かについて（以下、「ユーザ区分」という。）と権限レベルとが定義されている。ここで、「部署の関係者」とは、例えば、当該部署に所属している者や、当該部署におけるプロジェクトに参加している者等が該当する。また、権限レベルとは、企業等の組織における役職等が該当する。例えば、ユーザプロファイル１１１において、ユーザＡは、部署Ａの関係者であって正社員であるが、部署Ｂ及び部署Ｃの関係者ではないことが定義されている。

図６は、文書プロファイルの例を示す図である。図６に示されるように、文書プロファイル１１２は、文書管理モジュール２１において管理されている各文書を文書カテゴリ、機密レベル及び管理部署等を基準として分類する情報であり、文書ごとに文書名、文書カテゴリ、機密レベル、及び管理部署等が定義されている。文書名は、文書に付された名前である。文書カテゴリは、設計文書、技術文書、人事文書、議事録、仕様書及び一般文書等の別のように、文書の内容に基づく分類である。機密レベルは、文書の機密度である。管理部署は、文書を管理している部署の部署名である。例えば、文書プロファイル１１２において、文書１は、部署Ａにおいて管理されている社外秘扱いの議事録であるということが定義されている。

図７、図８、及び図９は、ポリシーの定義例を示す図である。図７等におけるポリシー１１３は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）の仕様を参考に定義されている。ここで、「参考に」と表現しているのは、原則としてＸＡＣＭＬの仕様に従いつつ、本実施の形態において独自の拡張を行っているからである。なお、図７、図８、及び図９は、一つのファイル内においてなされている定義を、便宜上分割して表示したものである。

ポリシー１１３においては、主体（ユーザ）、資源（文書）、及び操作種別の組み合わせに応じて、当該操作の許否判定をするための規則（セキュリティルール）が定義されており、一つのセキュリティルールに対応する定義は、＜Ｒｕｌｅ＞タグで囲まれたＲｕｌｅ定義が該当する。図中においては、Ｒｕｌｅ定義ｒ１、Ｒｕｌｅ定義ｒ２（図７）、Ｒｕｌｅ定義ｒ３、Ｒｕｌｅ定義ｒ４（図８）、Ｒｕｌｅ定義ｒ５（図９）等がＲｕｌｅ定義として表示されている。各Ｒｕｌｅ定義は、＜Ｔａｒｇｅｔ＞タグで囲まれたＴａｒｇｅｔ定義を要素として含む。例えば、Ｒｕｌｅ定義ｒ１には、Ｔａｒｇｅｔ定義ｔ１が含まれている。

Ｔａｒｇｅｔ定義は、当該セキュリティルールの適用対象（主体、資源、操作）を特定するための定義であり、＜Ｓｕｂｊｅｃｔ（ｓ）＞タグで囲まれたＳｕｂｊｅｃｔ定義、＜Ｒｅｓｏｕｒｃｅ（ｓ）＞タグで囲まれたＲｅｓｏｕｒｃｅ定義、＜Ａｃｔｉｏｎ（ｓ）＞タグで囲まれたＡｃｔｉｏｎ定義等を含む。Ｓｕｂｊｅｃｔ定義は、セキュリティルールを適用する主体の分類を特定するための定義である。Ｒｅｓｏｕｒｃｅ定義は、セキュリティルールを適用する資源の分類を特定するための定義である。Ａｃｔｉｏｎ定義は、セキュリティルールを適用する操作の種別を特定するための定義である。例えば、Ｔａｒｇｅｔ定義ｔ１より、Ｒｕｌｅ定義ｒ１は、関係者である正社員（主体）による秘文書扱いの仕様書（資源）の閲覧（操作）について許否判定をする際に適用されるセキュリティルールであることが特定される。

セキュリティルールを適用した場合の判定値は、当該Ｒｕｌｅ定義のＥｆｆｅｃｔ属性の値によって特定される。すなわち、Ｅｆｆｅｃｔ属性の値が「Ｐｅｒｍｉｔ」であれば、判定値は「許可」となり、「Ｄｅｎｙ」であれば判定値は「不許可」となる。例えば、Ｒｕｌｅ定義ｒ１のＥｆｆｅｃｔ属性ｅ１の値は、「Ｐｅｒｍｉｔ」であることから、Ｒｕｌｅ定義ｒ１が適用される場合の判定値は「許可」であることが分かる。以上より、Ｒｕｌｅ定義ｒ１には、「関係者である正社員による秘文書扱いの仕様書の閲覧は許可する。」旨が定義されていることとなる。

Ｒｕｌｅ定義には、また、Ｏｖｅｒｗｒｉｔａｂｌｅ属性が定義されている。Ｏｖｅｒｗｒｉｔａｂｌｅ定義は、当該Ｒｕｌｅ定義における定義内容に対して、後述する許可証の定義による上書きを許可するか否かを判定するための属性である。例えば、Ｒｕｌｅ定義ｒ１におけるＯｖｅｒｗｒｉｔａｂｌｅ属性ｗ１の値は「Ｐｅｒｍｉｔ」となっており、Ｒｕｌｅ定義ｒ１に関しては許可証による上書きが許可されている旨が示されている。

一つ以上のＲｕｌｅ定義は、＜Ｐｏｌｉｃｙ＞タグで囲まれたＰｏｌｉｃｙ定義によってまとめることができる。図中には、Ｐｏｌｉｃｙ定義ｐ１、Ｐｏｌｉｃｙ定義ｐ２（図７）、Ｐｏｌｉｃｙ定義ｐ３、Ｐｏｌｉｃｙ定義ｐ４（図８）、及びＰｏｌｉｃｙ定義ｐ５（図９）等がＰｏｌｉｃｙ定義として表示されている。一つのＰｏｌｉｃｙ定義には、Ｒｕｌｅ定義の他に、＜Ｏｂｌｉｇａｔｉｏｎ（ｓ）＞タグで囲まれたＯｂｌｉｇａｔｉｏｎ定義等を含み得る。例えば、Ｐｏｌｉｃｙ定義ｐ１には、Ｏｂｌｉｇａｔｉｏｎ定義ｏ１が含まれている。

Ｏｂｌｉｇａｔｉｏｎ定義は、資源に対する操作を許可する場合に強制する責務についての定義であり、当該Ｏｂｌｉｇａｔｉｏｎ定義を含むＰｏｌｉｃｙ定義に属する全てのＲｕｌｅ定義に対して共通的に適用される。但し、本実施の形態においては、Ｐｏｌｉｃｙ定義とＲｕｌｅ定義とは一対一に対応している。これは、ＸＡＣＭＬの仕様上、Ｏｂｌｉｇａｔｉｏｎ定義はＰｏｌｉｃｙ定義ごとに定義されるものであるところ、本実施の形態においては、Ｒｕｌｅ定義ごとにＯｂｌｉｇａｔｉｏｎ定義を対応させたいからである。Ｏｂｌｉｇａｔｉｏｎ定義ｏ１には、「監査情報の記録」が責務として定義されている。したがって、Ｐｏｌｉｃｙ定義ｐ１には、「関係者である正社員による秘文書扱いの仕様書の閲覧は許可する。但し、閲覧の際には、監査情報を記録しなければならない。」旨が定義されていることとなる。

図１０は、ポリシーの定義内容を概念的に示す図である。すなわち、図１０の表１１３ａは、図７等に示したポリシー１１３における記述から導出される定義内容を表形式にまとめて表示したものである。表１１３ａにおいては、行方向に権限レベル及びユーザ区分によってユーザを分類し、列方向に文書カテゴリ及び機密レベルによって文書を分類し、その組み合わせに応じて、各種操作（閲覧、印刷、編集、削除）についての許否（○又は×）、及び責務等が表示されている。

図１１は、許可証管理テーブルの構成例を示す図である。許可証管理テーブル１１４は、許可証を管理するためのテーブルであり、許可証管理テーブル１１４における一レコード（行）が、一つの許可証に相当する。許可証とは、ポリシー１１３では定義しきれない、追加的な権限（以下、「追加権限」という。）が定義された情報であり、許可証ＩＤ，ユーザ名、文書名、追加権限、責務、許可理由、許可期間及び優先度等の情報から構成される。許可証ＩＤは、各許可証を識別するためのＩＤである。ユーザ名は、許可証の適用対象となるユーザのユーザ名である。文書名は、許可証の適用対象となる文書の文書名である。追加権限は、許可証によって追加的に許可される操作権限である。責務は、追加権限を許可するにあたりユーザに対して強制する責務である。許可理由は、許可証が発行された理由をユーザが認識可能な形式で記述した文字列である。許可期間は、許可証の有効期間である。優先度は、適用対象が重複する許可証が複数存在する場合に、いずれを優先させて適用すべきかを判断するための優先度である。したがって、図１１には、二つの許可証に関する情報が表示されており、許可証ＩＤが「１」の許可証によって、ユーザＡに対して、文書４の閲覧が許可されている。但し、ユーザＡが文書４を閲覧する際には、監査情報を記録しなければならず、また、２００４年３月３１日までに限って、閲覧が許可される旨が示されている。許可証によって、例えば、ポリシー１１３においては権限を有しないユーザが一時的にプロジェクトへ参加する場合等、例外的に、特定のユーザに特定の文書に対する特定の権限を与えることができる。

図４に戻る。対文書権限判定モジュール１２は、上述した各種のセキュリティ情報に基づいて、任意の一の文書について、ユーザ分類（ユーザカテゴリ及び権限レベル等）ごとに各種操作権限の有無を示す情報（以下、「対文書権限情報」という。）を生成する機能が実装されたモジュールである。対ユーザ権限判定モジュール１３は、対文書権限判定モジュール１２とは逆に、任意の一のユーザについて、文書分類（文書カテゴリ及び機密レベル等）ごとに各種操作権限の有無を示す情報（以下、「対ユーザ権限情報」という。）を生成する機能が実装されたモジュールである。なお、マッピングテーブル１４については後述する。

クライアント装置４０におけるアプリケーション４１は、対文書権限判定モジュール１２によって生成された対文書権限情報をユーザに閲覧させるための画面（以下、「対文書権限閲覧画面」という。）や、対ユーザ権限判定モジュール１３によって生成された対ユーザ権限情報をユーザに閲覧させるための画面（以下、「対ユーザ権限閲覧画面」という。）等を表示させる機能が実装されたアプリケーションである。

以下、図２の文書管理システムの処理手順について説明する。図１２は、対文書権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。

ステップＳ１０１からステップＳ１０９までは、対文書権限閲覧画面の表示に際し前提となる処理（セッションの開設、文書の検索等）である。すなわち、ユーザによるユーザ名及びパスワードの入力に基づいて、アプリケーション４１は、ユーザ名及びパスワードを引数として認証モジュール３１に対してユーザの認証を要求する（Ｓ１０１）。認証モジュール３１は、ユーザを認証し、ユーザが認証された場合はその旨を証明するチケットを生成する（Ｓ１０２）。チケットには、例えば、当該チケットを識別するチケットＩＤ、当該チケットが有効なサービスを示す有効範囲、当該チケットによってサービスを利用できる有効期限、ユーザＩＤ、及び改竄チェック用のコード等が記録される。チケットは、その内容を認証モジュール３１のみが参照可能なように暗号化され、アプリケーション４１に送信される（Ｓ１０３）。

アプリケーション４１は、チケットを引数としてセッションの開設要求を文書管理モジュール２１に送信する（Ｓ１０４）。文書管理モジュール２１は、受信したチケットの正当性の検証を認証モジュール３１に要求し（Ｓ１０５）、正当である旨の検証結果が返信されると（Ｓ１０６）、セッションＩＤをアプリケーション４１に対して返信する（Ｓ１０７）。なお、文書管理モジュール２１は、チケットをセッションＩＤと関連付けて保存しておく。

セッションの開設後、ユーザが、文書の検索を指示すると、アプリケーション４１は、セッションＩＤ及び検索条件等を引数として文書の検索要求を文書管理モジュール２１に送信する（Ｓ１０８）。文書管理モジュール２１は、検索条件に基づいて文書を検索し、その検索結果をアプリケーション４１に送信する（Ｓ１０９）。

この時点で、ユーザには、検索された文書の一覧を含む文書一覧画面が提示される。そこで、ユーザが任意の文書を選択し、対文書権限閲覧画面の表示を指示すると、アプリケーション４１は、選択された文書（以下、「カレント文書」という。）の文書ＩＤを引数として対文書権限情報の提供要求を対文書権限判定モジュール１２に対して送信する（Ｓ１１０）。ここで、引数に指定された文書ＩＤは、対文書権限情報の対象とされる文書を特定するための情報としての意味を持つ。

ステップＳ１１０に続いてステップＳ１１１に進み、対文書権限判定モジュール１２が、カレント文書の文書プロファイル、すなわち、文書プロファイル１１２（図６）におけるカレント文書のレコード（以下、「カレント文書プロファイル」という。）の提供をセキュリティ管理モジュール１１に要求すると、セキュリティ管理モジュール１１は、カレント文書プロファイルを文書プロファイル１１２より取得し、対文書権限判定モジュール１２に対して出力する（Ｓ１１２）。

ステップＳ１１２に続いてステップＳ１１３に進み、対文書権限判定モジュール１２が、ポリシー１１３の提供をセキュリティ管理モジュール１１に要求すると、セキュリティ管理モジュール１１は、ポリシー１１３を対文書権限判定モジュール１２に対して出力する（Ｓ１１４）。

ステップＳ１１４に続いてステップＳ１１５に進み、対文書権限判定モジュール１２が、許可証管理テーブル１１４の提供をセキュリティ管理モジュール１１に要求すると、セキュリティ管理モジュール１１は、許可証管理テーブル１１４を対文書権限判定モジュール１２に対して出力する（Ｓ１１６）。

ステップＳ１１６に続いてステップＳ１１７に進み、対文書権限判定モジュール１２は、上記の処理おいて取得したカレント文書プロファイル、ポリシー１１３及び許可証管理テーブル１１４等に基づいて、カレント文書に対する各種操作についての許否判定を行い、その判定結果に基づいて対文書権限情報を生成する。更に、対文書権限判定モジュール１２は、生成した対文書権限情報をアプリケーション４１に対して送信する（Ｓ１１８）。

図１３は、対文書権限情報の例を概念的に示す図である。図１３に示されるように、対文書権限情報１２１には、一の文書に対する各種操作の権限の許否（○又は×）が、ユーザカテゴリと権限レベルとの組み合わせごとに示されている。対文書権限情報１２１のうち、符号１２１ａで示される情報（対文書権限情報１２１ａ）は、ポリシー１１３に基づいて生成されたものであり、符号１２１ｂで示される情報（対文書権限情報１２１ｂ）は、許可証管理テーブル１１４に基づいて生成されたものである。

対文書権限情報１２１を受信したアプリケーション４１は、対文書権限情報１２１に基づいて対文書権限閲覧画面を表示させる。図１４は、対文書権限閲覧画面の表示例を示す図である。図１４の対文書権限閲覧画面４１０において、領域４１１には、対文書権限閲覧画面４１０の対象となっているカレント文書に関する情報として、カレント文書の文書カテゴリ、機密レベル及び管理部署等が表示されている。また、領域４１２には、ポリシー１３に基づいて生成された対文書権限情報１２１ａの内容が表示されている。更に、領域４１３には、許可証テーブル１１４に基づいて生成された対文書権限情報１２１ｂの内容が表示されている。例えば、対文書権限閲覧画面４１０によって、文書４の関係者であって、かつ正社員であるユーザには、文書４の閲覧と印刷とが許可されているが、他のユーザには、いずれの操作も許可されていないことが分かる。但し、カレントユーザであるユーザＡには、許可証によって閲覧と印刷とが許可されていることが分かる。このように、ユーザは、対文書権限閲覧画面４１０を確認することによって、特定の文書について、ユーザ分類ごとに各種操作権限の有無を容易に確認することができる。

領域４１２及び領域４１３においては、ユーザ分類ごとに詳細ボタンが配置されている。例えば、領域４１２における詳細ボタン４１４がクリックされると、当該ユーザ分類を対象としたポリシー詳細情報画面４２０が表示される。ポリシー詳細情報画面４２０は、責務表示領域４２１と該当者表示領域４２２とを有している。責務表示領域４２１は、操作種別ごとに、当該操作の際に課せられる責務の内容が表示される領域である。該当者表示領域４２２には、当該ユーザ分類に属するユーザのユーザ名が表示される領域である。

なお、責務表示領域４２１に表示されている責務の内容の表現形式は、ポリシー１１３に記述されている表現形式と異なることに注意を要する。すなわち、ポリシー１１３（図７）のＯｂｌｉｇａｔｉｏｎ定義ｏ１やＯｂｌｉｇａｔｉｏｎ定義ｏ２等においては、責務の内用について、「監査情報の記録」や「複製抑止処理」といった抽象的な表現が用いられている。これは、「監査情報の記録」及び「複製抑止処理」等が意味する具体的な処理が、個々のアプリケーションによって異なり得ることを考慮したものである。しかし、責務の内容について、アプリケーション４１のユーザに対してポリシー１１３における表現形式のままで責務の内容を提示したとしても、当該ユーザにとっては、その表現形式によって特定される内容がアプリケーション４１においては、具体的にはどのような処理に該当するのか理解することが困難である。そこで、マッピングテーブル１４に基づいて、ポリシー１１３における抽象的な表現形式をアプリケーション４１における具体的な表現形式に置換し、置換された結果を責務表示領域４２１に表示させることにより、ユーザにとって理解しやすい表現によって情報を提供するというわけである。

図１５は、マッピングテーブルの構成例を示す図である。図１５に示されるように、マッピングテーブル１４は、ポリシー１１３内のおける操作及び責務に対する表現形式と、アプリケーション４１における操作及び責務に対する表現形式との対応関係を規定したものである。例えば、マッピングテーブル１４より、ポリシー１１３内における「監査情報の記録」という責務は、アプリケーション４１においては、「ログ記録」として解釈されることになる。なお、かかる解釈はアプリケーションごとに異なり得るため、マッピングテーブル１４は、アプリケーションごとに定義してもよい。

図１４に戻る。領域４１３における詳細ボタン４１５がクリックされると、当該許可証を対象とした許可証詳細情報画面４３０が表示される。許可証詳細情報画面４３０は、当該許可証の詳細情報として、許可理由や許可期間等、対文書権限閲覧画面４１０では表示しきれない情報を表示する画面である。

続いて、図１２のステップＳ１１７において実行される、対文書権限判定モジュール１２による対文書権限情報の生成処理について更に詳しく説明する。図１６は、対文書権限判定モジュールによる対文書権限情報の生成処理の概要を説明するためのフローチャートである。図１６に示されるように、対文書権限情報の生成処理は、ポリシー１１３に基づいて対文書権限情報１２１ａを生成する処理（Ｓ１１７ａ）と、許可証管理テーブル１１４に基づいて対文書権限情報１２１ｂを生成する処理（Ｓ１１７ｂ）とに大きく分けられる。以下、それぞれについて説明する。

図１７は、ポリシーに基づいて対文書権限情報を生成する処理を説明するためのフローチャートである。図１７においては、図７〜図９に示されたポリシー１１３の定義内容に沿って説明する。なお、カレント文書は、「文書４」であるとする。

ステップＳ１１７ａ−１において、対文書権限判定モジュール１２は、セキュリティ管理モジュール１１より取得したカレント文書プロファイル及びポリシー１１３をメモリ上に読み込む。ステップＳ１１７ａ−１に続いてステップＳ１１７ａ−２に進み、対文書権限判定モジュール１２は、カレント文書プロファイルに基づいてカレント文書の文書カテゴリ及び機密レベルを特定する。例えば、文書４については、文書カテゴリは「仕様書」、機密レベルは「秘」として特定される（図６参照）。

ステップＳ１１７ａ−２に続いて、以降は、ポリシー１１３内におけるＰｏｌｉｃｙ定義ごとのループ処理となる（Ｓ１１７ａ−３）。まず、対文書権限判定モジュール１２は、ポリシー１１３において定義されている順番に沿って一つのＰｏｌｉｃｙ定義を処理対象とする（Ｓ１１７ａ−４）。したがって、最初は、Ｐｏｌｉｃｙ定義ｐ１が処理対象のＰｏｌｉｃｙ定義（以下「カレントＰｏｌｉｃｙ定義」という。）となる。ステップＳ１１７ａ−４に続いてステップＳ１１７ａ−５に進み、対文書権限判定モジュール１２は、カレントＰｏｌｉｃｙ定義に属するＲｕｌｅ定義（カレントＲｕｌｅ定義）が、カレント文書が属する文書分類を対象とし得るのであるか否かを判定する。すなわち、カレントＲｕｌｅ定義（例えば、Ｒｕｌｅ定義ｒ１）に属するＴａｒｇｅｔ定義（例えば、Ｔａｒｇｅｔ定義ｔ１。以下、「カレントＴａｒｇｅｔ定義」という。）内のＲｅｓｏｕｒｃｅ定義の値がカレント文書の文書カテゴリ及び機密レベルと一致する場合は、カレントＲｕｌｅ定義はカレント文書を対象とし得るＲｕｌｅ定義（以下、「適用Ｒｕｌｅ定義」という。）であると判定される。一方、少なくともいずれか一方が一致しない場合は、カレントＲｕｌｅ定義は適用Ｒｕｌｅ定義ではないと判定され、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１１７ａ−３に戻る。例えば、カレント文書の文書カテゴリが「仕様書」、機密レベルが「秘」である場合は、Ｔａｒｇｅｔ定義ｔ１におけるＲｅｓｏｕｒｃｅ定義の文書カテゴリの値が「仕様書」であり、機密レベルの値が「秘」であることから、Ｒｕｌｅ定義ｒ１は、適用Ｒｕｌｅ定義であると判定される。

カレントＲｕｌｅ定義が適用Ｒｕｌｅ定義であると判定された場合は、対文書権限判定モジュール１２は、カレントＲｕｌｅ定義が対象としているユーザ分類（ユーザカテゴリ、権限レベル）と操作種別とをカレントＴａｒｇｅｔ定義内のＳｕｂｊｅｃｔ定義及びＡｃｔｉｏｎ定義に基づいて特定する（Ｓ１１７ａ−６、Ｓ１１７ａ−７）。例えば、カレントＴａｒｇｅｔ定義がＴａｒｇｅｔ定義ｔ１の場合は、対象となるユーザカテゴリは「関係者」、権限レベルは「正社員」、対象となる操作種別は、「閲覧」として特定される。

ステップＳ１１７ａ−７に続いてステップＳ１１７ａ−８に進み、対文書権限判定モジュール１２は、カレントＲｕｌｅ定義の対象となるユーザ分類（対象ユーザ分類）及び操作種別（対象操作種別）に関する操作の許否については、既に対文書権限情報に反映済みであるか否かを判断する。この判断は、同じ対象（主体、資源、操作）に対して重複してＲｕｌｅ定義がなされている場合を考慮したものである。本実施の形態においては、ポリシー１１３の定義（図７）において、ＲｕｌｅＣｏｍｂｉｎｉｎｇＡｌｇＩＤ属性の値が「Ｆｉｒｓｔ−ａｐｐｌｉｃａｂｌｅ」であることから（記述１３１−１参照）、定義が重複した場合は、最初のものが優先的に適用される。したがって、対象ユーザ分類及び操作種別に関する操作の許否について既に対文書権限情報への反映がされている場合は、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１１７ａ−３に戻る。

対象ユーザ分類及び対象操作についてまだ対文書権限情報に反映されていない場合は、ステップＳ１１７ａ−９に進み、対文書権限判定モジュール１２は、カレントＲｕｌｅ定義のＥｆｆｅｃｔ属性の値に基づいて対象操作の許否判定を実行し、対象ユーザ分類に対する対象操作の許否を対文書権限情報に書き込む。例えば、カレントＲｕｌｅ定義がＲｕｌｅ定義ｒ１の場合は、Ｅｆｆｅｃｔ属性の値が「Ｐｅｒｍｉｔ」であることから、閲覧操作は許可されている旨が判定され、その判定結果が対文書権限情報に書き込まれる。なお、この際、対文書権限判定モジュール１２は、マッピングテーブル１４に基づいてポリシー１１３に定義されている操作種別の表現形式をアプリケーション４１における表現形式に置換し、置換された表現形式によって操作種別を対文書権限情報に書き込む。

ステップＳ１１７ａ−９が初めて実行された場合の対文書権限情報の状態は、図１８のようになる。図１８は、一つのＲｕｌｅ定義の内容が反映された対文書権限情報の例を示す図である。図１８に示される対文書権限情報１２１には、Ｒｕｌｅ定義ｒ１の定義が反映された状態を示している。したがって、関係者である正社員に対して閲覧が許可されている旨のみが記録されている。

全てのＰｏｌｉｃｙ定義について処理が完了すると（Ｓ１１７ａ−３でＮＯ）、ステップＳ１１７ａ−１０に進み、対文書権限判定モジュール１２は、対文書権限情報内において未確定の部分、すなわち、ポリシー１１３内においては明確に定義されていない部分について規定値（例えば、不許可）を書き込む。

以上で、対文書権限情報１２１ａ（図１３）については完成したこととなる。続いて、許可証管理テーブル１１４に基づいて対文書権限情報１２１ｂを生成する処理（図１６：Ｓ１１７ｂ）について説明する。図１９は、許可証管理テーブルに基づいて対文書権限情報を生成する処理を説明するためのフローチャートである。

ステップＳ１１７ｂ−１において、対文書権限判定モジュール１２は、セキュリティ管理モジュール１１より取得した許可証管理テーブル１１４（図１１）に登録されている全ての許可証をその優先度順にメモリ上に読み込む。以降は、読み込まれた許可証ごとのループ処理である（Ｓ１１７ｂ−２）。ステップＳ１１７ｂ−３に進み、対文書権限判定モジュール１２は、優先度順に読み込まれた許可証の一つをその順番に沿って処理対象（以下「カレント許可証」という。）とする。ステップＳ１１７ｂ−３に続いてステップＳ１１７ｂ−４に進み、対文書権限判定モジュール１２は、カレント許可証の文書名と、カレント文書の文書名とを比較することにより、カレント許可証がカレント文書を適用対象とするもの（以下、「適用許可証」という。）であるか否かを判定する。すなわち、カレント許可証の文書名がカレント文書の文書名と一致する場合は、カレント許可証は適用許可証であると判定される。カレント許可証が適用許可証でない場合は、次の許可証を処理対象とすべくステップＳ１１７ｂ−２に戻る。

カレント許可証が適用許可証である場合はステップＳ１１７ｂ−５に進み、対文書権限判定モジュール１２は、カレント許可証のユーザ名に基づいてカレント許可証が適用対象とするユーザ名を特定し、更に、カレント許可証の追加権限に基づいて、カレント許可証が対象とする操作種別を特定する（Ｓ１１７ｂ−６）。ステップＳ１１７ｂ−６に続いてステップＳ１１７ｂ−７に進み、対文書権限判定モジュール１２は、ポリシー１１３のＲｕｌｅ定義のうち、カレント許可証の適用対象をその適用対象に含むＲｕｌｅ定義において許可証による権限拡張が許可されているか否かを当該Ｒｕｌｅ定義のＯｖｅｒｗｒｉｔａｂｌｅ属性に基づいて判断する。当該Ｒｕｌｅ定義において許可証による拡張が許可されていない場合、すなわち、Ｏｖｅｒｗｒｉｔａｂｌｅ属性の値が「Ｄｅｎｙ」である場合は、カレント許可証は許否判定の際には利用されない無効な情報であるため次の許可証を処理対象とすべくステップＳ１１７ｂ−２に戻る。

当該Ｒｕｌｅ定義において許可証による拡張が許可されている場合、すなわち、Ｏｖｅｒｗｒｉｔａｂｌｅ属性の値が「Ｐｅｒｍｉｔ」である場合は、カレント許可証は許否判定の際に利用される有効な情報であるためカレント許可証について処理を継続すべくステップＳ１１７ｂ−８に進む。ステッＳ１１７ｂ−８において、対文書権限判定モジュール１２は、カレント許可証の適用対象について他の許可証の内容が既に対文書権限情報１２１ｂに反映されているか否かを判断し、既に反映されている場合は、次の許可証を処理対象とすべくステップＳ１１７ｂ−２に戻る。すなわち、ユーザ名、文書名及び追加権限を同じくする許可証が複数存在する場合を考慮した処理である。ここでは、許可証は優先度順に処理されるため、既に、対文書権限情報１２１ｂにその内容が反映されている許可証は、カレント許可証よりも優先度の高いものである。したがって、カレント許可証の適用対象について対文書権限情報１２１ｂへの反映がされていない場合のみステップＳ１１７ｂ−９に進み、対文書権限判定モジュール１２は、カレント許可証の内容、すなわち、カレント許可証のユーザ名とカレント許可証の追加権限に対応する操作を許可する旨とを対文書権限情報１２１ｂに反映する。なお、この際、対文書権限判定モジュール１２は、マッピングテーブル１４に基づいて許可証に定義されている追加権限の表現形式をアプリケーション４１における表現形式に置換し、置換された表現形式によって追加権限を対文書権限情報１２１ｂに書き込む。

全ての許可証について処理が完了すると（ステップＳ１１７ｂ−２でＹＥＳ）、対文書権限判定モジュール１２は処理を終了させる。

許可証管理テーブル１１４（図１１）において、カレント文書（文書４）を適用対象とする許可証は、許可証ＩＤが「１」及び「２」の許可証（以下、それぞれ「許可証１」、「許可証２」という。）である。また、許可証１及び許可証２は、ユーザＡに対するものであり、それぞれ閲覧、印刷に対する権限を許可するものである。そうすると、許可証１の適用対象（ユーザＡ、文書４、閲覧）及び許可証２の適用対象（ユーザＡ、文書４、印刷）をその適用対象に含むＲｕｌｅ定義はＲｕｌｅ定義４であるということになる（図８）。すなわち、文書４の文書カテゴリ、機密レベルはそれぞれ「仕様書」、「秘」である（図６参照）。また、ユーザＡの関係部署は部署Ａであるところ（図５参照）、文書４の管理部署は部署Ｂであるため（図６参照）、ユーザＡの文書４に対するユーザカテゴリは「関係者以外」ということになる。また、ユーザＡの権限レベルは「正社員」である（図５参照）。また、許可証１、許可証２の追加権限は、それぞれ「閲覧」、「印刷」である。したがって、これらの文書分類、ユーザ分類、操作種別を対象とするＲｕｌｅ定義はＲｕｌｅ定義４ということになる（図９参照）。

ここで、Ｒｕｌｅ定義４のＯｖｅｒｗｒｉｔａｂｌｅ属性の値は、「Ｐｅｒｍｉｔ」である。したがって、許可証１及び許可証２に基づいて、文書４についてはユーザＡに対して閲覧及び印刷権限が追加権限として付与されている旨が対文書権限情報１２１ｂに反映されることとなる（図１３参照）。

次に、対ユーザ権限閲覧画面を表示させる際の処理について説明する。図２０は、対ユーザ権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。なお、図２０においては、少なくとも図１２において説明したステップＳ１０１〜Ｓ１０３までの処理が事前に実行されていることが前提となる。すなわち、図２０の処理の開始時点においては、カレントユーザが認証され、当該カレントユーザに対するチケットがアプリケーション４１に対して発行されている。

ステップＳ２０１においてアプリケーション４１は、チケットを引数として、対ユーザ権限情報の提供を対ユーザ権限判定モジュール１３に対して要求する。ここで、引数に指定されたチケットは、対ユーザ権限情報において対象とされるカレントユーザを特定するための情報としての意味を持つ。ステップＳ２０１に続いてステップＳ２０２に進み、対ユーザ権限判定モジュール１３が、チケットを引数としてカレントユーザのユーザＩＤを認証モジュール３１に問い合わせると、認証モジュール３１は、チケットに基づいてユーザＩＤを特定し、当該ユーザＩＤを対ユーザ権限判定モジュール１３に送信する（Ｓ２０３）。

ステップＳ２０３に続いてステップＳ２０４に進み、対ユーザ権限判定モジュール１３が、ユーザＩＤを引数として、カレントユーザに係るユーザプロファイル、すなわち、ユーザプロファイル１１１（図５）におけるカレントユーザのレコード（以下、「カレントユーザプロファイル」という。）の提供をセキュリティ管理モジュール１１に対して要求すると、セキュリティ管理モジュール１１は、カレントユーザプロファイルをユーザプロファイル１１１より取得し、対ユーザ権限判定モジュール１３に対して出力する（Ｓ２０５）。

更に、対ユーザ権限判定モジュール１３は、対文書権限判定モジュール１２によるステップＳ１１３からＳ１１６までの手順と同様の手順で、ポリシー１１３及び許可証管理テーブル１１４をセキュリティ管理モジュール１１より取得し（Ｓ２０６〜Ｓ２０９）、カレントユーザプロファイル、ポリシー１１３及び許可証管理テーブル１１４に基づいて、カレントユーザを対象として、各文書分類に対する各種操作についての許否判定を行い、その判定結果に基づいて対ユーザ権限情報を生成する（Ｓ２１０）。更に、対ユーザ権限判定モジュール１３は、生成した対ユーザ権限情報をアプリケーション４１に対して送信する（Ｓ２１１）。

図２１は、対ユーザ権限情報の例を概念的に示す図である。図２１に示されるように、対ユーザ権限情報１３１には、一のユーザに対する各種操作の権限の許否（○又は×）が、文書カテゴリと権限レベルと管理部署との組み合わせごとに示されている。対ユーザ権限情報１３１のうち、符号１３１ａで示される情報（対ユーザ権限情報１３１ａ）は、ポリシー１１３に基づいて生成されたものであり、符号１３１ｂで示される情報（対ユーザ権限情報１３１ｂ）は、許可証管理テーブル１１４に基づいて生成されたものである。

対ユーザ権限情報１３１を受信したアプリケーション４１は、対ユーザ権限情報１３１に基づいて対ユーザ権限閲覧画面を表示させる。図２２は、対ユーザ権限閲覧画面の表示例を示す図である。図２２の対ユーザ権限閲覧画面４５０において、領域４５１には、対ユーザ権限閲覧画面４５０の対象となっているカレントユーザに関する情報として、カレントユーザの関係部署及び権限レベル等が表示されている。また、領域４５２には、ポリシー１３に基づいて生成された対ユーザ権限情報１３１ａの内容が表示されている。更に、領域４５３には、許可証テーブル１１４に基づいて生成された対ユーザ権限情報１３１ｂの内容が表示されている。例えば、対ユーザ権限閲覧画面４５０の領域４５２によって、部署Ａで管理されている秘文書扱いの仕様書については、ユーザＡ（カレントユーザ）は、閲覧と印刷とが許可されていることが分かる。また、領域４５３より、ユーザＡには許可証が発行されており、当該許可証によって文書４に対する閲覧及び印刷が許可されていることが分かる。このように、ユーザは、対ユーザ権限閲覧画面４５０を確認することによって、自らが、どのような操作権限を有しているのかを、文書分類ごとに容易に確認することができる。

領域４５２及び領域４５３においては、文書分類ごとに詳細ボタンが配置されている。例えば、領域４５２における詳細ボタン４５４がクリックされると、当該文書分類を対象としたポリシー詳細情報画面４６０が表示される。ポリシー詳細情報画面４６０は、責務表示領域４６１と該当文書表示領域４６２とを有している。責務表示領域４６１は、操作種別ごとに、当該操作の際に課せられる責務の内容が表示される領域である。該当文書表示領域４６２には、当該文書分類に属する文書の文書名が表示される領域である。

領域４５２における詳細ボタン４５４がクリックされると、当該許可証を対象とした許可証詳細情報画面４７０が表示される。許可証詳細情報画面４７０は、当該許可証の詳細情報として、許可理由や許可期間等、対ユーザ権限閲覧画面４５０では表示しきれない情報を表示する画面である。

続いて、図２０のステップＳ２１０において実行される、対ユーザ権限判定モジュール１３による対ユーザ権限情報の生成処理について更に詳しく説明する。図２３は、対ユーザ権限判定モジュールによる対ユーザ権限情報の生成処理の概要を説明するためのフローチャートである。図２３に示されるように、対ユーザ権限情報の生成処理は、ポリシー１１３に基づいて対ユーザ権限情報１３１ａを生成する処理（Ｓ２１０ａ）と、許可証管理テーブル１１４に基づいて対ユーザ権限情報１３１ｂを生成する処理（Ｓ２１０ｂ）とに大きく分けられる。以下、それぞれについて説明する。

図２４は、ポリシーに基づいて対ユーザ権限情報を生成する処理を説明するためのフローチャートである。図２４においては、図７〜図９に示されたポリシー１１３の定義内容に沿って説明する。なお、カレントユーザは、「ユーザＡ」であるとする。

ステップＳ２１０ａ−１において、対ユーザ権限判定モジュール１３は、セキュリティ管理モジュール１１より取得したカレントユーザプロファイル及びポリシー１１３をメモリ上に読み込む。ステップＳ２１０ａ−１に続いてステップＳ２１０ａ−２に進み、対ユーザ権限判定モジュール１３は、カレントユーザプロファイルに基づいてカレントユーザの関係部署及び権限レベルを特定する。例えば、ユーザＡについては、関係部署は「部署Ａ」、権限レベルは「正社員」として特定される（図５参照）。

ステップＳ２１０ａ−２に続いて、以降は、ポリシー１１３内におけるＰｏｌｉｃｙ定義ごとのループ処理となる（Ｓ２１０ａ−３）。まず、対ユーザ権限判定モジュール１３は、ポリシー１１３において定義されている順番に沿って一つのＰｏｌｉｃｙ定義を処理対象とする（Ｓ２１０ａ−４）。したがって、最初は、Ｐｏｌｉｃｙ定義ｐ１が処理対象のＰｏｌｉｃｙ定義（以下「カレントＰｏｌｉｃｙ定義」という。）となる。ステップＳ２１０ａ−４に続いてステップＳ２１０ａ−５に進み、対ユーザ権限判定モジュール１３は、カレントＰｏｌｉｃｙ定義に属するＲｕｌｅ定義（カレントＲｕｌｅ定義）が、カレントユーザを対象とし得るものであるか否かを判定する。すなわち、カレントＲｕｌｅ定義（例えば、Ｒｕｌｅ定義ｒ１）に属するＴａｒｇｅｔ定義（例えば、Ｔａｒｇｅｔ定義ｔ１。以下、「カレントＴａｒｇｅｔ定義」という。）内のＳｕｂｊｅｃｔ定義における権限レベルの値がカレントユーザの権限レベルと一致する場合は、カレントＲｕｌｅ定義はカレントユーザを対象とし得るＲｕｌｅ定義（以下、「適用Ｒｕｌｅ定義」という。）であると判定される。一方、両者が一致しない場合は、カレントＲｕｌｅ定義は適用Ｒｕｌｅ定義ではないと判定され、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ２１０ａ−３に戻る。例えば、カレントユーザの権限レベルが「正社員」である場合は、Ｔａｒｇｅｔ定義ｔ１におけるＳｕｂｊｅｃｔ定義の関係部署の値が「正社員」であることから、Ｒｕｌｅ定義ｒ１は、適用Ｒｕｌｅ定義であると判定される。

カレントＲｕｌｅ定義が適用Ｒｕｌｅ定義であると判定された場合は、対ユーザ権限判定モジュール１３は、カレントＲｕｌｅ定義が対象としているユーザカテゴリ、機密レベル、及び操作種別等をカレントＴａｒｇｅｔ定義内のＳｕｂｊｅｃｔ定義、Ｒｅｓｏｕｒｃｅ定義及びＡｃｔｉｏｎ定義に基づいて特定する（Ｓ２１０ａ−６〜Ｓ２１０ａ−８）。例えば、カレントＴａｒｇｅｔ定義がＴａｒｇｅｔ定義ｔ１の場合は、対象となるユーザカテゴリは「関係者」、機密レベルは「秘」、操作種別は、「閲覧」として特定される。

ステップＳ２１０ａ−８に続いてステップＳ２１０ａ−９に進み、対ユーザ権限判定モジュール１３は、カレントＲｕｌｅ定義が対象とするユーザカテゴリ（以下、「カレントユーザカテゴリ」という。）に基づいて、対ユーザ権限情報１３１ａにおける「管理部署」に記録すべき値を決定する。すなわち、カレントユーザカテゴリの値が「関係者」である場合（Ｓ２１０ａ−９でＹＥＳ）は、対ユーザ権限情報１３１ａにおける「管理部署」として記録すべき値は、カレントユーザの関係部署（「部署Ａ」）とされ（Ｓ２１０ａ−１０）、カレントユーザカテゴリの値が「関係者以外」である場合（Ｓ２１０ａ−９でＮＯ）は、対ユーザ権限情報１３１ａにおける「管理部署」として記録すべき値は、カレントユーザの関係部署以外（「部署Ａ以外」）とされる（Ｓ２１０ａ−１１）。

これは、最終的に対ユーザ権限情報１３１ａに基づいて対ユーザ権限閲覧画面４５０が表示された際に、文書分類ごとに、カレントユーザが当該文書分類に属する文書に対して「関係者」である場合、又は「関係者以外」である場合といった表現で操作権限が表示されると、「関係者」である場合又は「関係者以外」である場合とは、具体的にどのような状況を意味するのかユーザにとって不明確となり得るため、当該文書分類に属する文書がカレントユーザの関係部署に管理されている場合、又は管理されていない場合といった表現によって操作権限を表示させるための処理である。

ステップＳ２１０ａ−１０又はステップＳ２１０ａ−１１に続いてステップＳ２１０ａ−１２に進み、対ユーザ権限判定モジュール１３は、対象文書分類及び対象操作種別に関する操作の許否については、既に対ユーザ権限情報に反映済みであるか否かを判断する。この処理は、図１７におけるＳ１１７ａ−６と同様に、同じ対象（主体、資源、操作）に対して重複してＲｕｌｅ定義がなされている場合を考慮したものであり、既に対ユーザ権限情報への反映がされている場合は、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ２１０ａ−３に戻る。

対象文書分類及び対象操作についてまだ対ユーザ権限情報に反映されていない場合は、ステップＳ２１０ａ−１３に進み、対ユーザ権限判定モジュール１３は、カレントＲｕｌｅ定義のＥｆｆｅｃｔ属性の値に基づいて対象操作の許否判定を実行し対象文書分類に対する対象操作の許否を対ユーザ権限情報に書き込む。例えば、カレントＲｕｌｅ定義がＲｕｌｅ定義ｒ１の場合は、Ｅｆｆｅｃｔ属性の値が「Ｐｅｒｍｉｔ」であることから、閲覧操作は許可されている旨が判定され、それが対ユーザ権限情報に書き込まれる。なお、この際、対文書権限判定モジュール１２は、マッピングテーブル１４に基づいてポリシー１１３に定義されている操作種別の表現形式をアプリケーション４１における表現形式に置換し、置換された表現形式によって操作種別を対ユーザ権限情報に書き込む。

ステップＳ２１０ａ−１３が初めて実行された場合の対ユーザ権限情報の状態は、図２５のようになる。図２５は、一つのＲｕｌｅ定義の内容が反映された対ユーザ権限情報の例を示す図である。図２５に示される対ユーザ権限情報１３１には、Ｒｕｌｅ定義ｒ１の定義が反映された状態を示している。したがって、部署Ａに管理されている秘文書扱いの仕様書に対して閲覧が許可されている旨のみが記録されている。

全てのＰｏｌｉｃｙ定義について処理が完了すると（Ｓ２１０ａ−３でＮＯ）、ステップＳ２１０ａ−１４に進み、対ユーザ権限判定モジュール１３は、対ユーザ権限情報内において未確定の部分、すなわち、ポリシー１１３内においては明確に定義されていない部分について規定値（例えば、不許可）を書き込む。

以上で、対ユーザ権限情報１３１ａ（図２１）については完成したこととなる。続いて、許可証管理テーブル１１４に基づいて対ユーザ権限情報１３１ｂを生成する処理（図２３：Ｓ２１０ｂ）について説明する。図２６は、許可証管理テーブルに基づいて対ユーザ権限情報を生成する処理を説明するためのフローチャートである。

ステップＳ２１０ｂ−１において、対ユーザ権限判定モジュール１３は、セキュリティ管理モジュール１１より取得した許可証管理テーブル１１４（図１１）に登録されている全ての許可証をその優先度順にメモリ上に読み込む。以降は、読み込まれた許可証ごとのループ処理である（Ｓ２１０ｂ−２）。ステップＳ２１０ｂ−３に進み、対ユーザ権限判定モジュール１３は、優先度順に読み込まれた許可証の一つをその順番に沿って処理対象（以下「カレント許可証」という。）とする。ステップＳ２１０ｂ−３に続いてステップＳ２１０ｂ−４に進み、対ユーザ権限判定モジュール１３は、カレント許可証のユーザ名と、カレントユーザのユーザ名とを比較することにより、カレント許可証がカレントユーザを適用対象とするも（以下、「適用許可証」という。）であるか否かを判定する。すなわち、カレント許可証のユーザ名がカレントユーザのユーザ名と一致する場合は、カレント許可証は適用許可証であると判定される。カレント許可証が適用許可証でない場合は、次の許可証を処理対象とすべくステップＳ２１０ｂ−２に戻る。

カレント許可証が適用許可証である場合はステップＳ２１０ｂ−５に進み、対ユーザ権限判定モジュール１３は、カレント許可証の文書名に基づいてカレント許可証が適用対象とする文書名、文書カテゴリ及び機密レベルを特定し、更に、カレント許可証の追加権限に基づいて、カレント許可証が対象とする操作種別を特定する（Ｓ２１０ｂ−６）。ステップＳ２１０ｂ−６に続いてステップＳ２１０ｂ−７に進み、対ユーザ権限判定モジュール１３は、ポリシー１１３のＲｕｌｅ定義のうち、カレント許可証の適用対象をその適用対象に含むＲｕｌｅ定義において許可証による権限拡張が許可されているか否かを当該Ｒｕｌｅ定義のＯｖｅｒｗｒｉｔａｂｌｅ属性に基づいて判断する。当該Ｒｕｌｅ定義において許可証による拡張が許可されていない場合、すなわち、Ｏｖｅｒｗｒｉｔａｂｌｅ属性の値が「Ｄｅｎｙ」である場合は、カレント許可証は許否判定の際には利用されない無効な情報であるため次の許可証を処理対象とすべくステップＳ２１０ｂ−２に戻る。

当該Ｒｕｌｅ定義において許可証による拡張が許可されている場合、すなわち、Ｏｖｅｒｗｒｉｔａｂｌｅ属性の値が「Ｐｅｒｍｉｔ」である場合は、カレント許可証は許否判定の際に利用される有効な情報であるためカレント許可証について処理を継続すべくステップＳ２１０ｂ−８に進む。ステッＳ２１０ｂ−８において、対ユーザ権限判定モジュール１３は、カレント許可証の適用対象について他の許可証の内容が既に対ユーザ権限情報１３１ｂに反映されているか否かを判断し、既に反映されている場合は、次の許可証を処理対象とすべくステップＳ２１０ｂ−２に戻る。すなわち、ユーザ名、文書名及び追加権限を同じくする許可証が複数存在する場合を考慮した処理である。ここでは、許可証は優先度順に処理されるため、既に、対ユーザ権限情報１３１にその内容が反映されている許可証は、カレント許可証よりも優先度の高いものである。したがって、カレント許可証の適用対象について対ユーザ権限情報１３１ｂへの反映がされていない場合のみステップＳ２１０ｂ−９に進み、対ユーザ権限判定モジュール１３は、カレント許可証の内容、すなわち、カレント許可証の文書名、及びカレント許可証の追加権限に対応する操作を許可する旨等を対ユーザ権限情報１３１ｂに反映する。なお、この際、対ユーザ権限判定モジュール１３は、対文書権限判定モジュール１２は、マッピングテーブル１４に基づいて許可証に定義されている追加権限の表現形式をアプリケーション４１における表現形式に置換し、置換された表現形式によって追加権限を対ユーザ権限情報１３１ｂに書き込む。

全ての許可証について処理が完了すると（ステップＳ２１０ｂ−２でＹＥＳ）、対ユーザ権限判定モジュール１３は処理を終了させる。

許可証管理テーブル１１４（図１１）において、カレントユーザ（ユーザＡ）を適用対象とする許可証は、許可証１及び許可証２である。また、上述したように、許可証１及び許可証２の適用対象をその適用対象に含むＲｕｌｅ定義は、Ｒｕｌｅ定義４であるところ（図８）、Ｒｕｌｅ定義４のＯｖｅｒｗｒｉｔａｂｌｅ属性の値は、「Ｐｅｒｍｉｔ」である。したがって、許可証１及び許可証２に基づいて、ユーザＡに対しては、文書４について閲覧及び印刷権限が追加権限として付与されている旨が対ユーザ権限情報１３１ｂに反映されることとなる（図２１参照）。

上述したように、本実施の形態におけるセキュリティ管理サーバ１０によれば、抽象的かつ包括的な定義によって文書に対する操作権限が管理されている環境において、特定の文書又は特定のユーザに対する各種操作権限の有無に関する情報を、従来のＡＣＬを表示させた場合と同様の態様によって、また、特定のアプリケーションにおける機能に対応した具体的な表現によって提供することができるため、ユーザは、容易に特定の文書又は特定のユーザに対する操作権限情報を把握することができる。

以上、本発明の好ましい実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

ＡＣＬの表示例を示す図である。 本発明の実施の形態における文書管理システムの構成例を示す図である。 本発明の実施の形態におけるセキュリティ管理サーバのハードウェア構成例を示す図である。 本発明の実施の形態におけるセキュリティ管理サーバの機能構成例を示す図である。 ユーザプロファイルの例を示す図である。 文書プロファイルの例を示す図である。 ポリシーの定義例を示す図である。 ポリシーの定義例を示す図である。 ポリシーの定義例を示す図である。 ポリシーの定義内容を概念的に示す図である。 許可証管理テーブルの構成例を示す図である。 対文書権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。 対文書権限情報の例を概念的に示す図である。 対文書権限閲覧画面の表示例を示す図である。 マッピングテーブルの構成例を示す図である。 対文書権限判定モジュールによる対文書権限情報の生成処理の概要を説明するためのフローチャートである。 ポリシーに基づいて対文書権限情報を生成する処理を説明するためのフローチャートである。 一つのＲｕｌｅ定義の内容が反映された対文書権限情報の例を示す図である。 許可証管理テーブルに基づいて対文書権限情報を生成する処理を説明するためのフローチャートである。 対ユーザ権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。 対ユーザ権限情報の例を概念的に示す図である。 対ユーザ権限閲覧画面の表示例を示す図である。 対ユーザ権限判定モジュールによる対ユーザ権限情報の生成処理の概要を説明するためのフローチャートである。 ポリシーに基づいて対ユーザ権限情報を生成する処理を説明するためのフローチャートである。 一つのＲｕｌｅ定義の内容が反映された対ユーザ権限情報の例を示す図である。 許可証管理テーブルに基づいて対ユーザ権限情報を生成する処理を説明するためのフローチャートである。

符号の説明

１ 文書管理システム
１０ セキュリティ管理サーバ
１１ セキュリティ管理モジュール
１２ 対文書権限判定モジュール
１３ 対ユーザ権限判定モジュール
１４ マッピングテーブル
２０ 文書管理サーバ
２１ 文書管理モジュール
３０ 認証サーバ
３１ 認証モジュール
４０ クライアント装置
４１ アプリケーション
５１ 印刷サーバ
５２ 変換サーバ
５３ 配信サーバ
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ 演算処理装置
１０５ インタフェース装置
１１１ ユーザプロファイル
１１２ 文書プロファイル
１１３ ポリシー
１１４ 許可証管理テーブル
Ｂ バス

Claims (23)

1. 操作の対象となる各資源を分類する資源分類情報又は前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、前記主体及び前記資源のいずれか一方の特定の対象について、他方の分類及び前記操作の種別に応じて前記許否判定を実行し、該許否判定の結果に基づいて前記他方の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手段を有することを特徴とする情報処理装置。
2. 前記操作許否情報生成手段は、前記資源分類情報に基づいて特定の資源が属する分類を特定し、前記定義情報に定義された前記規則のうち前記特定の資源の分類に対応した一つ以上の資源対応規則を適用して、それぞれの前記資源対応規則が対象とする前記主体の分類及び前記操作の種別に応じて前記許否判定を実行することを特徴とする請求項１記載の情報処理装置。
3. 前記操作許否情報生成手段は更に、前記主体と前記資源との組み合わせに応じて前記定義情報に対して追加的に許可された操作の種別が定義された追加許可情報の中から前記特定の資源に対応した対応追加許可情報を特定し、該対応追加情報に基づいて該対応追加許可情報の対象とされる前記主体に応じて前記操作の許否を示す追加許否情報を前記操作許否情報に含めることを特徴とする請求項２記載の情報処理装置。
4. 前記操作許否情報生成手段は、前記操作許否情報を表示させる表示装置からの前記操作許否情報の提供要求に応じ、該提供要求において指定された資源を前記特定の資源として前記操作許否情報を生成し、該操作許否情報を前記表示装置に提供することを特徴とする請求項２又は３記載の情報処理装置。
5. 前記表示装置は、前記操作許否情報に基づいて、前記主体の分類のそれぞれについて前記操作の種別ごとに当該操作に対する権限の有無を表示させることを特徴とする請求項４記載の情報処理装置。
6. 前記表示装置は、更に、前記操作許否情報に含まれている前記追加許否情報に基づいて、前記対応追加許可情報の対象とされる前記主体に応じて前記操作の種別ごとに当該操作に対する権限の有無を表示させることを特徴とする請求項５記載の情報処理装置。
7. 前記操作許否情報生成手段は、前記主体分類情報に基づいて特定の主体が属する分類を特定し、前記定義情報に定義された前記規則のうち前記特定の主体の分類に対応した一つ以上の主体対応規則を適用して、それぞれの前記主体対応規則が対象とする前記資源の分類及び前記操作の種別に応じて前記許否判定を実行することを特徴とする請求項１記載の情報処理装置
8. 前記操作許否情報生成手段は更に、前記主体と前記資源との組み合わせに応じて前記定義情報に対して追加的に許可された操作の種別が定義された追加許可情報の中から前記特定の主体に対応した対応追加許可情報を特定し、該対応追加許可情報に基づいて該対応追加許可情報の対象とされる前記資源に応じて前記操作の許否を示す追加許否情報を前記操作許否情報に含めることを特徴とする請求項７記載の情報処理装置。
9. 前記操作許否情報生成手段は、前記操作許否情報を表示させる表示装置からの前記操作許否情報の提供要求に応じ、該提供要求において指定された主体を前記特定の主体として前記操作許否情報を生成し、該操作許否情報を前記表示装置に提供することを特徴とする請求項７又は８記載の情報処理装置。
10. 前記表示装置は、前記操作許否情報に基づいて、前記資源の分類のそれぞれについて前記操作の種別ごとに当該操作に対する権限の有無を表示させることを特徴とする請求項９記載の情報処理装置。
11. 前記表示装置は、更に、前記操作許否情報に含まれている前記追加許否情報に基づいて、前記対応追加情報の対象とされる前記資源に応じて前記操作の種別ごとに当該操作に対する権限の有無を表示させることを特徴とする請求項１０記載の情報処理装置。
12. 前記操作許否情報生成手段は、前記操作の種別に応じて所定のアプリケーションにおける前記操作の表現形式が定義された操作表現形式定義情報に基づいて、前記操作の表現形式を前記操作の種別ごとに前記操作許否情報に含めることを特徴とする請求項１乃至１１いずれか一項記載の情報処理装置。
13. 前記定義情報は、ＸＡＣＭＬに基づいて定義されていることを特徴とする請求項１乃至１２いずれか一項記載の情報処理装置。
14. コンピュータを用いて資源に対する操作の許否を示す操作許否情報を生成する操作許否情報生成方法であって、
    前記操作の対象となる各資源を分類する資源分類情報に基づいて一の資源の分類を特定する資源分類特定手順と、
    前記資源の分類と前記資源を操作する主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報のうち、前記一の資源の分類に対応した一つ以上の資源対応規則を適用して、それぞれの前記資源対応規則が対象とする前記主体の分類及び前記操作の種別に応じて前記許否判定を実行する許否判定手順と、
    該許否判定の結果に基づいて前記主体の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手順とを有することを特徴とする操作許否情報生成方法。
15. 前記主体と前記資源との組み合わせに応じて前記定義情報に対して追加的に許可された操作の種別が定義された追加許可情報の中から前記一の資源に対応した対応追加許可情報を特定する追加許可情報特定手順と、
    該対応追加許可情報に基づいて該対応追加許可情報の対象とされる前記主体に応じて前記操作の許否を示す追加許否情報を前記操作許否情報に含める追加許否情報反映手順とを更に有することを特徴とする請求項１４記載の操作許否情報生成方法。
16. 前記操作許否情報を表示させる表示装置より前記操作許否情報の提供要求を受信する要求受信手順と、
    前記操作許否情報生成手順において生成された前記操作許否情報を前記表示装置に送信する送信手順とを更に有し、
    前記資源分類手順は、前記提供要求において指定された前記一の資源について分類を特定することを特徴とする請求項１４又は１５記載の操作許否情報生成方法。
17. コンピュータを用いて資源に対する操作の許否を示す操作許否情報を生成する操作許否情報生成方法であって、
    前記資源を操作する各主体を分類する主体分類情報に基づいて一の主体の分類を特定する主体分類特定手順と、
    前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報のうち、前記一の主体の分類に対応した一つ以上の主体対応規則を適用して、それぞれの前記主体対応規則が対象とする前記資源の分類及び前記操作の種別に応じて前記許否判定を実行する許否判定手順と、
    該許否判定の結果に基づいて前記資源の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手順とを有することを特徴とする操作許否情報生成方法。
18. 前記主体と前記資源との組み合わせに応じて前記定義情報に対して追加的に許可された操作の種別が定義された追加許可情報の中から前記一の主体に対応した対応追加許可情報を特定する追加許可情報特定手順と、
    該対応追加許可情報に基づいて該対応追加許可情報の対象とされる前記資源に応じて前記操作の許否を示す追加許否情報を前記操作許否情報に含める追加許否情報反映手順とを更に有することを特徴とする請求項１７記載の操作許否情報生成方法。
19. 前記操作許否情報を表示させる表示装置より前記操作許否情報の提供要求を受信する要求受信手順と、
    前記操作許否情報生成手順において生成された前記操作許否情報を前記表示装置に送信する送信手順とを更に有し、
    前記主体分類手順は、前記提供要求において指定された前記一の主体について分類を特定することを特徴とする請求項１７又は１８記載の操作許否情報生成方法。
20. コンピュータに
    操作の対象となる各資源を分類する資源分類情報に基づいて一の資源の分類を特定する資源分類特定手順と、
    前記資源の分類と前記資源を操作する主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報のうち、前記一の資源の分類に対応した一つ以上の資源対応規則を適用して、それぞれの前記資源対応規則が対象とする前記主体の分類及び前記操作の種別に応じて前記許否判定を実行する許否判定手順と、
    該許否判定の結果に基づいて前記主体の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手順とを実行させるための操作許否情報生成プログラム。
21. 請求項２０記載の操作許否情報生成プログラムを記録したコンピュータ読み取り可能な記録媒体。
22. コンピュータに、
    資源を操作する各主体を分類する主体分類情報に基づいて一の主体の分類を特定する主体分類特定手順と、
    前記資源の分類と前記主体の分類との組み合わせに応じて操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報のうち、前記一の主体の分類に対応した一つ以上の主体対応規則を適用して、それぞれの前記主体対応規則が対象とする前記資源の分類及び前記操作の種別に応じて前記許否判定を実行する許否判定手順と、
    該許否判定の結果に基づいて前記資源の分類のそれぞれについて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手順とを有することを特徴とする操作許否情報生成プログラム。
23. 請求項２２記載の操作許否情報生成プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images