JP2005332049A - ポリシ変換方法、ポリシ移行方法およびポリシ評価方法 - Google Patents

Abstract

【課題】 あるアクセス制御装置に適した複数のアクセス制御ポリシで構成されるアクセス制御ポリシセットを他のアクセス制御装置に適したアクセス制御ポリシセットに自動的に変換する手順を提供する。
【解決手段】 ポリシ変換要求に対応するアクセス属性の値の集合を取得し（ステップＳ１１２）、取得した各アクセス属性の値を、第一のアクセス制御ポリシセットの各アクセス制御ポリシの適用条件部に適用して評価を行い、適用可であるアクセス制御ポリシの適用条件部を評価結果で置き換えて第二のアクセス制御ポリシセットを生成する（ステップＳ１１３）。各アクセス属性の値を、第二のアクセス制御ポリシセットの各アクセス制御ポリシのアクセス可否条件部に代入して評価を行い、アクセス可否条件部を評価結果で置き換えて第三のアクセス制御ポリシセットを生成する（ステップＳ１１４）。
【選択図】 図１１

Description

本発明は、情報システムにおいて保護すべき電子ファイルや機能あるいはサービスなどへの不正なアクセスを防御する方法に関し、特に、アクセス属性を１あるいは複数個の変数として取る述語表現によってアクセス可否の規則が構成されるアクセス制御ポリシを用いる場合に、そのようなアクセス制御ポリシを、目的に応じた態様へ変換する方法と、そのように変換されたアクセス制御ポリシを他システムへ移行する方法と、そのような他システムにおける移行後のポリシによるポリシ評価方法と、に関する。

情報システムあるいはコンピュータシステムの発達の歴史の中でその初期段階においては、システムが管理するリソースに対するユーザのアクセスを制御するために、システムが管理する各リソースに対してアクセスしうるユーザと当該ユーザに許されるアクション、すなわちアクセスの種別とを記述するＡＣＬ（アクセス制御リスト）が、アクセス制御情報として用いられてきた。例えば、リソースごとに、どのユーザからのフルアクセスを認め、どのユーザからは読み出しのみを認め、どのユーザには一切のアクセスを認めないなどが、ＡＣＬに記述されていた。しかしながら、このような形態によるアクセス制御情報は、ファイルやデバイス、機能、サービスなどのリソースごとに記述する必要があるため、リソースの増減や、許可すべきアクセス者あるいはアクセス種別の変更に対する柔軟性に欠け、その設定・変更にかかる手間がかかることが問題となっていた。そこで近年では、アクセス制御ポリシあるいは単にポリシと呼ばれる、より柔軟なアクセス制御情報の構成方式が主流となってきている。アクセス制御ポリシのフォーマットの例としては、ＯＡＳＩＳ(Organization for the Advancement of Structured Information Standards)で規定されているＸＡＣＭＬ(eXtensible Access Control Markup Language)がある。ＸＡＣＭＬの詳細については、例えば、インターネット上のウェブサイト（http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=xacml）で取得することができる。

アクセス制御ポリシは、発生しうるアクセス要求を特徴付ける属性、すなわち、アクセス者属性、アクセス環境属性、リソース属性、アクション属性を変数として持つ述語表現によって、アクセス可否の規則を構成する。アクセス制御ポリシには、例えば、「あらゆるリソースに対するあらゆる種別のアクセスは平日のみ許可する」あるいは「役職レベル属性がＢ以上のユーザには、機密レベル属性の値が１０であるようなリソースに対する修正のアクセスを許可する」といったことが形式的に記述される。そして、アクセス要求が発生した際には、そのアクセス要求の各種属性の値を同定し、それらの属性値を、対応するアクセス制御ポリシの該当する変数部に代入し、得られた真偽値によってそのアクセス要求の可否を判定する。

また、アクセス制御ポリシを用いるアクセス制御方法では、複数存在するアクセス制御ポリシのうち、どのようなアクセスに対してどのポリシを適用すべきかを判定する条件を備えることが多い。その判定条件も、アクセス要求を特徴付けるアクセス者属性、アクセス環境属性、リソース属性、アクション属性を変数として持つ述語表現で記述されることが多い。上記のＸＡＣＭＬも、そのような条件を備えたフォーマットの１つである。

アクセス制御ポリシは、アクセス属性をパラメータとする述語表現を用いることによって、記述者の持つさまざまな観点からさまざまな詳細度で記述することができるため、アクセス制御ポリシを用いることにより、アクセス制御情報の設定・修正にかかるコストが低減されている。

以下の説明において、アクセス制御ポリシに基づいてアクセス制御を行ってリソースの保護を図る装置のことを、リソース保護システムと呼び、このリソース保護システムは、アクセス制御を行うアクセス制御装置の範疇に含まれるものである。
"eXtensible Access Control Markup Language (XAXML)"、[online]、2003年2月18日、OASIS Open 2003、［平成１６年５月１０日検索］、インターネット＜ＵＲＬ：http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=xacml＞

アクセス制御ポリシによってさまざまな観点からさまざまな詳細度で記述されたアクセス制御情報は、ＡＣＬのようにリソースとの対応関係が直接的に記載されているものではいないため、あるリソースに対応するポリシは複数存在することができ、また、アクセスのコンテキストなどに応じて変わりうる。すなわち、アクセス制御ポリシを用いる場合には、あるリソースに対して適用すべきアクセス制御の規則を、漏れなく重複なく抽出することが困難となる、という問題点がある。

また、このようなアクセス制御ポリシの性質は、あるリソース保護システムで管理されることにより無許可アクセスから保護されていたリソースあるいはその複製を、別のリソース保護システムに配備して、元のリソース保護システムと同等の、すなわち一貫性のあるポリシでアクセス制御を行う場合、そのように適切なアクセス制御ポリシを設定するのが困難であるという問題をもたらす。

リソースの移管先のアクセス制御装置やリソース保護システムが、元の（すなわち移管前の）リソース保護システムと同等以上の記憶容量や処理性能、機能を具備している場合には、元のリソース保護システムに格納されている全てのアクセス制御ポリシを移管するという方法も採用することができる。しかしながら、移管先のリソース保護システムが、元のリソース保護システムと比べて、記憶容量や処理性能、あるいは具備する機能が乏しいなどの制約が厳しい場合、例えば、いわゆるサーバなどの高性能な装置で管理されているリソースの一部を、ＩＣ（集積回路）カードなどの相対的に性能の低い装置に移管する場合には、サーバで管理される全てのアクセス制御ポリシを移管することは非現実的である。とはいえ、サーバのアクセス制御ポリシを参照しながら、それと同等の意味を持つＩＣカード用のアクセス制御ポリシを人手によって記述することは、手間が増大するばかりでなく、適切な設定ができなかったり、誤りの混入によるセキュリティレベルの低下を引きおこす。

また、アクセス要求に対する可否の判断を行うためのアクセス制御ポリシの評価には、そのアクセス制御ポリシにおいて変数化されているアクセス属性の値を必要とするが、移管先のリソース保護システムでは、そのようなアクセス属性の値を取得する機能を具備しないケースも考えられる。そのような場合には、元のリソース保護システムに管理されているアクセス制御ポリシをそのまま、あるいは一部抜粋してリソース移管先のリソース保護システムに格納しても、アクセス制御ポリシの評価ができず、よってアクセス制御を行うと言う本来の目的が達成できない。

そこで本発明の目的は、複数のアクセス制御ポリシで構成されるアクセス制御ポリシセット（アクセス制御ポリシ集合）を、アクセス制御対象とするリソースや、発生しうるアクセスの性質、あるいは、評価時のアクセス属性値の取得機能の十分性に応じて必要十分なポリシ集合に自動的に変換する方法、特に、サーバなど制約の少ない機器からリソースを制約の厳しい装置上に移動させつつも、サーバと一貫性のあるポリシでアクセス制御を行うために必要なアクセス制御ポリシを、元のアクセス制御ポリシから自動的に変換して生成する方法を提供するにある。

また本発明の別の目的は、そのように自動的に変換して生成されたアクセス制御ポリシを実際に他のシステムに移行するポリシ移行方法と、他のシステムに移行したアクセス制御ポリシによるポリシ評価方法と、を提供することにある。

本発明では、アクセスの可否を判定するための規則であるアクセス制御ポリシは、発生しうるアクセスを特徴付けるアクセス属性に対応する変数を任意の数だけ含む述語表現であって、あるアクセスのアクセス属性の値を該当するそれぞれの変数に代入して評価することによってそのアクセスへのアクセス制御ポリシの適用可否を示す値が得られる適用条件部と、アクセス属性に対応する変数を任意の数だけ含む述語表現であって、あるアクセスの全てのアクセス属性の値を、該当するそれぞれの変数に代入して評価すると、そのアクセスの可否を示す値が得られるアクセス可否条件部と、から構成されている。ここでアクセスを特徴付けるアクセス属性には、アクセス者属性、アクセス環境属性、リソース属性、アクション属性が含まれる。

そして本発明のポリシ変換方法は、１ないし複数のアクセス制御ポリシから構成される第一のアクセス制御ポリシセットと、１ないし複数のアクセス属性の値を含むアクセス属性値集合とを入力とするものであって、
アクセス属性値集合に含まれる各アクセス属性の値を、第一のアクセス制御ポリシセットを構成するそれぞれのアクセス制御ポリシの適用条件部の該当する変数に代入してそれらの適用条件部をそれぞれ評価して第一の評価結果を得る第一の評価ステップと、
第一の評価結果として適用不可を示す値が得られたアクセス制御ポリシを第一のアクセス制御ポリシセットの中から除いた残りのアクセス制御ポリシそれぞれについて、適用条件部を第一の評価結果で置き換えたアクセス制御ポリシを得て、その得られたアクセス制御ポリシから構成される第二のアクセス制御ポリシセットを生成して出力する第一の生成ステップと、
アクセス属性値集合に含まれる各アクセス属性の値を、第一の生成ステップで生成された第二のアクセス制御ポリシセットを構成するそれぞれのアクセス制御ポリシのアクセス可否条件部の該当する変数に代入してそれらのアクセス可否条件部をそれぞれ評価して第二の評価結果を得る第二の評価ステップと、
第二のアクセス制御ポリシセットを構成するアクセス制御ポリシそれぞれについて、アクセス可否条件部を第二の評価結果に置き換えたアクセス制御ポリシを得て、その得られたアクセス制御ポリシから構成される第三のアクセス制御ポリシセットを生成して出力する第二の生成ステップと、
アクセス属性値集合と第三のアクセス制御ポリシセットとを対にして出力する出力ステップと、
を有する。

以下の説明において、第一の評価ステップ及び第一の生成ステップをまとめてポリシ絞込みステップと呼び、第二の評価ステップ及び第二の生成ステップをまとめてポリシ事前評価ステップと呼ぶことがある。

上述したポリシ変換方法では、第一の評価結果及び第二の評価結果に関し、変数の値が必要なだけ代入されなかったために具体値が確定しないことが起こりうるが、そのような場合には、可能な限り評価を施した後の述語表現を得て、その得られた述語表現を、対応する第一の評価結果あるいは第二の評価結果とすればよい。

また、ポリシ絞込みステップでは、生成した第二のアクセス制御ポリシセットに含まれるアクセス制御ポリシの各適用条件部を比較し、適用可否を示す値もしくは述語表現が一致するアクセス制御ポリシが複数あった場合に、適用条件部が一致したアクセス制御ポリシの集合それぞれについて、その一致した適用可否を示す値もしくは述語表現を適用条件部に、そのアクセス制御ポリシの集合に含まれるアクセス制御ポリシそれぞれのアクセス可否条件部の論理積をアクセス可否条件部に持つアクセス制御ポリシに併合した後に、第二のアクセス制御ポリシセットを出力するようにすることができる。

さらに本発明のポリシ変換方法では、リソースの識別情報を入力として受け取り、リソースのリソース属性の値を取得して出力するリソース属性値取得ステップを設け、そのようにして取得したリソース属性の値の集合をポリシ絞込みステップ及びポリシ事前評価ステップにおいてアクセス属性値集合として用いることができる。その場合は、出力ステップにおいて、リソースの識別情報と第三のアクセス制御ポリシセットとを対にして出力すればよい。また、アクセス制御ポリシ内の述語表現において変数として使用されるアクセス属性のうち、実際のアクセス要求が発生した際の最新の値を取得して評価すべき前記アクセス属性の種別もしくは識別情報の列挙である実行時評価アクセス属性リストを設定する実行時評価アクセス属性リスト設定ステップを設け、実行時評価アクセス属性リストに含まれるアクセス属性を除外したアクセス属性値の集合を用いてポリシ絞込みステップ及びポリシ事前評価ステップを実行するようにしてもよい。

本発明のポリシ移行方法は、第一のアクセス制御装置で管理される１ないし複数のリソースあるいはその複製を第二のアクセス制御装置に格納する際に、上述した本発明のポリシ変換方法に基づいて、格納されたリソースへのアクセスの可否を判定するためのアクセス制御ポリシを第一のアクセス制御装置において生成し、第二のアクセス制御装置に設定する。具体的には、第一のアクセス制御装置が使用するアクセス制御ポリシの集合と、第二のアクセス制御装置に格納されるべきリソースについての第一のアクセス制御装置におけるリソース属性の値の集合を入力として、上述したポリシ変換方法により第三のアクセス制御ポリシセットを生成し、この第三のアクセス制御ポリシセットと、第一のアクセス制御装置におけるリソース属性の値の集合に対応する情報とを、第二のアクセス制御装置に格納されるリソースに対応付けて設定する。あるいは、第一のアクセス制御装置が使用するアクセス制御ポリシの集合と、第二のアクセス制御装置に格納されるべきリソースについての第一のアクセス制御装置における識別情報を入力として、上述したポリシ変換方法により第三のアクセス制御ポリシセットを生成し、この第三のアクセス制御ポリシセットを、第二のアクセス制御装置に格納されるリソースに対応付けて設定する。

ポリシ移行に際しては、ハードウエア上等の制約によって第二のアクセス制御装置が取得できないアクセス属性が生じる可能性があるが、そのような場合には、少なくとも、第二のアクセス制御装置では取得できない１ないし複数のアクセス属性については、第一のアクセス制御装置において、それぞれのアクセス属性の値を取得し、そのアクセス属性にそれぞれ対応する変数に代入してその変数を含む述語表現の評価を済ませて第三のアクセス制御ポリシセットを生成するようにすればよい。

さらに本発明は、上述のようにして移行させたポリシの評価をも含むものである。本発明に基づくポリシ評価方法は、
保持する１ないし複数のアクセス制御ポリシセットの中から、受け取ったアクセス要求に対応する１ないし複数のアクセス制御ポリシセットを抽出する適用アクセス制御ポリシセット特定ステップと、
１ないし複数のアクセス制御ポリシセットに含まれる全てのアクセス制御ポリシそれぞれの適用条件部の評価に必要なアクセス属性の値を全て取得し、取得したアクセス属性の値を、アクセス制御ポリシそれぞれの適用条件部の該当する変数に代入してそれらの適用条件部を評価し、適用可否を示す値を取得し、適用可を示す値が得られたアクセス制御ポリシを抽出する適用アクセス制御ポリシ特定ステップと、
１ないし複数のアクセス制御ポリシそれぞれのアクセス可否条件部の評価に必要なアクセス属性の値を全て取得し、取得したアクセス属性の値を、アクセス制御ポリシそれぞれのアクセス可否条件部の該当する変数に代入して当該アクセス可否条件部を評価し、アクセスの可否を示す値を取得するポリシ評価ステップと、
を有し、
アクセスの要求を受け取ると、適用アクセス制御ポリシセット特定ステップにおいて、保持しているアクセス制御ポリシセットの中からそのアクセス要求に対応する１ないし複数のアクセス制御ポリシセットを抽出し、抽出された１ないし複数のアクセス制御ポリシセットに含まれるアクセス制御ポリシの中からそのアクセス要求に適用すべき１ないし複数のアクセス制御ポリシを抽出し、
ポリシ評価ステップにおいて適用アクセス制御ポリシ特定ステップで抽出された１ないし複数のアクセス制御ポリシそれぞれのアクセス可否条件部の評価結果を取得し、全ての評価結果がアクセス可を示す値であった場合にのみ、そのアクセス要求によるアクセスを許可と判定する。

以上説明したように本発明は、設定されている複数のアクセス制御ポリシの中から、与えられた条件、すなわち対象とするリソースあるいはアクセス者の識別情報あるいはこれらの属性値から、その与えられた条件に対して適切なアクセス制御ポリシを自動的に抽出し、例えばデータサイズを抑制した、別のアクセス制御ポリシに変換して出力することができる、という効果がある。例えば、高性能のサーバーをリソース保護システムとして使用していて、このリソース保護システムで管理しているリソースの一部を、性能上の制約が大きいリソース保護システムに移管するような場合に、本発明によれば、前者で用いているアクセス制御ポリシを、後者に適したアクセス制御ポリシに自動的に変換することができる。

さらに本発明によれば、ポリシの変換時に確定しているアクセス属性値については事前評価を施したアクセス制御ポリシを自動出力することによって、後の評価処理にかかるコストを低減するとともに、実際に評価を実行するリソース保護システムにおけるアクセス属性の値を取得する機構等の配備を省略あるいは簡素化させることができる。

これによって、本発明によれば、あるリソース保護システムにおいて管理されているリソースを他のリソース保護システムに移転させる場合において、元のリソース保護装置において施行していたポリシと同等の、一貫性のあるアクセス制御ポリシで移転先のリソース保護システムにおけるアクセス制御が容易に達成できる。また、処理能力や記憶容量などに関する制約が厳しい装置に対しても、上記のようなリソースの移転と一貫性のあるアクセス制御の継続を容易に実現可能とする。

次に、本発明の好ましい実施の形態について、図面を参照して説明する。以下では、本発明に基づくアクセス制御ポリシの変換方法、移行方法および評価方法を説明する。

まず最初に、本実施形態において用いるアクセス制御ポリシを説明する。図１は、アクセス制御ポリシの一覧１０を示している。一覧１０は複数のアクセス制御ポリシを含んでおり、この一覧１０に含まれる各アクセス制御ポリシは、それぞれ、適用条件部１２とアクセス可否条件部１３とから構成されている。また、各アクセス制御ポリシを識別するために、ポリシごとにポリシＩＤ（識別番号）１１が付与されている。

適用条件部１２は、アクセスを特徴付けるアクセス属性、すなわちアクセス者属性、アクセス環境属性、リソース属性、アクション属性のいずれか、に対応する変数を任意の数だけ含む述語表現である。この述語表現において、あるアクセスのアクセス属性の値を、該当するそれぞれの変数に代入して評価すると、そのアクセスへの当該アクセス制御ポリシの適用可否を示す真偽値が得られる。真（ＴＲＵＥ）は「適用可」を、偽（ＦＡＬＳＥ）は「適用不可」を意味する。

アクセス可否条件部１３は、適用条件部１２と同様に、いずれかのアクセス属性に対応する変数を任意の数だけ含む述語表現であり、この述語表現において、あるアクセスの全てのアクセス属性の値を該当するそれぞれの変数に代入して評価すると。そのアクセスの可否を示す真偽値が得られる。真は「アクセス許可」を、偽は「アクセス不許可」を意味する。あるアクセスの可否を判定する際にそのアクセスに適用すべきとされる、すなわち、適用条件部１２の評価結果が真となるようなアクセス制御ポリシが、複数存在することもあり得る。本実施形態では、そのような場合には、適用すべきアクセス制御ポリシの全てのアクセス可否判定部の評価結果が「真」である場合にのみにアクセスを許可し、それ以外の場合にはアクセスを拒否するものとする。

なお、図１に記載のアクセス制御ポリシは、本発明が適用をしうるアクセス制御ポリシの構成の一例であって、本発明によるアクセス制御ポリシの変換方法、移行方法、評価方法は、ここに示した構成のアクセス制御ポリシを前提とするものではない。本発明は、例えば、適用条件部を各アクセス可否条件部とは独立に定義管理し、互いの識別情報を対応付ける形態を有するアクセス制御ポリシにも適用可能である。

ここで、図１に示した各アクセス制御ポリシを構成する述語、関数及び変数を説明する。図２は、アクセス制御ポリシを構成する述語及び関数の一覧４０を示しており、図３は、各アクセス制御ポリシを構成する変数の一覧５０を示している。述語及び関数としては、図２に示すように、「ＡＮＤ」、「ＯＲ」、「ＥＱ」、「ＮＥＱ」、「ＧＴ」、「ＬＴ」、「ＰＬＵＳ」があり、これらは述語表現において一般的に用いられているものである。

本発明において変数とは、上記の通り、アクセス属性（アクセス者属性、アクセス環境属性、リソース属性、アクション属性）のいずれかに対応している。本実施形態では、図３に示すように、アクセス属性の種別、すなわち、リソース属性、アクセス者属性、アクセス環境属性、アクション属性ごとに異なる変数名（それぞれ、ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ、ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ、ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ、ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ）を与えている。各変数は対応するアクセス属性の名称を引数に取る。

図４は、本実施形態において用いるアクセス制御ポリシを構成する変数が引数に取り得るアクセス属性の名称を、変数名の各別、すなわち、リソース属性、アクセス者属性、アクセス環境属性、アクション属性の各別にまとめたものであり、それらが一覧６１〜６４として示されている。これらによれば、例えば、“曜日”というアクセス属性の名称を引数にとり変数名がＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅである変数「（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“曜日”）」は、アクセス属性のうちアクセス環境属性の１つであって、あるアクセスの発生した曜日を意味する値に対応する。

本実施形態では、いくつかのアクセス属性については、その取り得る値が定められている。例えば、「機密性」をその名称とするリソース属性６５は、Ｉｎｔｅｇｅｒ（整数）型であって、かつ０から５の値を取り得る。また、Ｓｔｒｉｎｇ（文字列）型の値を持つアクセス属性のいくつかは、取り得る値を列挙により外延的に定義され、値域を制約されている。図５は、本実施形態において用いられる文字列シンボル管理テーブル７０の構成を示している。文字列シンボル管理テーブル７０は、文字列型の値をアクセス属性が取り得る値を列挙により外延的に定義したものである。

例えば、図４を参照すると、アクセス者属性「役職」６６はＳｔｒｉｎｇ型の値を持ち、その値域は「Ｓｙｍ［Ｐｏｓｔ］」であると定義されている。この値域に記述されているＳｙｍ［Ｐｏｓｔ］は、当該属性は文字列シンボル管理テーブルによりその値域が外延的に定義されており、かつその定義の名称が［Ｐｏｓｔ］であることを意味する。そこで、図５を参照すると、［Ｐｏｓｔ］を名称とする文字列型の属性値の値域の定義７１があり、候補値が｛“部長”，“チーフ”，“一般社員”｝となっている。これらにより、「役職」をその名称とするアクセス者属性６６は、“部長”、“チーフ”、“社員”、のいずれかをその値として持つＳｔｒｉｎｇ型の属性であると定義されていることになる。

以上のような定義に基づき、図１の一覧１０にある各アクセス制御ポリシの意味が定義され、また解釈される。例えば、図１においてポリシＩＤ“０００１”のアクセス制御ポリシは、「アクセス対象のリソースの“分類”属性の値が“技術情報”であって、またそのアクセスが行うアクションの“種別”属性の値が“閲覧”である」アクセスに対して適用されるアクセス制御ポリシであって、「アクセスしたアクセス者の“所属部署”属性の値が“研究部”、“開発部”、“営業部”のいずれかと一致する」場合にはそのアクセスを許可する、という意味を持ったポリシである。また、例えば、ポリシＩＤ“００５１”のアクセス制御ポリシは、「アクセスしたアクセス者の“所属部署”属性の値が、アクセス対象のリソースの“作成元”属性の値と異なる」アクセスに対して適用されるアクセス制御ポリシであって、「アクセスが起きたコンテキストすなわちアクセス環境の“年月日”属性の値が、アクセス対象のリソースの“登録年月日”属性の値に“２日間”を加えた年月日よりも大きい」場合、すなわち、「アクセス対象のリソースの登録年月日から２日後以降に発生したアクセスである」場合にはそのアクセスを許可する、という意味を持ったポリシである。

次に、本実施形態によるポリシ変換方法、ポリシ移行方法が適用される情報システムについて説明する。図６は、そのような情報システムの構成の一例を示している。

ネットワーク５に対し、第一、第三及び第四のリソース保護システム１、３、４が接続し、第一及び第三のリソース保護システム１、３は、ネットワーク５とは別のネットワーク５Ａにも接続し、ネットワーク５Ａには、複数のパーソナルコンピュータ（ＰＣ）７が接続している。第四のリソース保護システム４は、ネットワーク５，５Ａとは別のネットワーク５Ｂにも接続し、ネットワーク５Ｂには、複数のパーソナルコンピュータ（ＰＣ）７Ａが接続している。さらに、第一のリソース保護システム１には、第二のリソース保護システム２が接続している。後述する事例では、第二のリソース保護システム２を第一のリソース保護システム１から切り離し、そのかわりにパーソナルコンピュータ６を第二のリソース保護システム２に接続して、リソースの移管を行っている。

各リソース保護システム１〜４は、ファイルサーバ装置の一種であって、保護すべきリソースを管理している。ただし、各リソース保護システム１〜４は、相互に同等の機能と性能を有する必要はなく、一般的には、使用される目的や環境等に応じて、機能や性能が異なっている。特に第一のリソース保護システム１は、通信ネットワーク５Ａを介して接続しているパーソナルコンピュータ７から、第一のリソース保護システム１の管理下にあるリソースへのアクセスの要求があった場合には、予め設定されているアクセス制御ポリシに基づいてそのアクセスの要求によるアクセスの可否を判定し、その結果に従ってリソースへのアクセスの提供あるいは拒絶を行う機能を持つ。

そのようなアクセス制御を行う第一のリソース保護システム１は、図７に示すように、保護すべきリソースを複数管理するリソース管理部２３と、アクセス要求が意図するアクセスを特徴付ける各種アクセス属性の値を取得するリソース属性管理部２４、アクセス者属性取得部２５及びコンテキスト検出部３３と、アクセス制御ポリシを設定するためのポリシ設定部２８と、設定されたアクセス制御ポリシを格納するアクセス制御ポリシ管理部２２とを有する。第一のリソース保護システム１は、さらに、アクセス要求を受信するためのアクセス要求受信部３０と、アクセス制御ポリシ管理部２２から取得したアクセス制御ポリシに、リソース属性管理部２４、アクセス者属性取得部２５及びコンテキスト検出部３３により取得した、アクセス要求に対応する各種アクセス属性の値を代入して評価し、得られた真偽値によって当該アクセスの可否を判定するポリシ評価部３２と、許可と判定された場合に要求されたリソースへの要求された操作種別でのアクセスを提供するリソース提供部３１を備える。第一のリソース保護システム１には、ポリシの変換のために、ポリシ変換要求受信手段２０、変換後ポリシ送信部２１、ポリシ絞込み部２６、ポリシ事前評価部２７及びアクセス属性値集合取得部２９も備えているが、それらについては後述する。

ポリシ評価部３２は、あるアクセスの可否を判定する際には、そのアクセスに適用すべきアクセス制御ポリシ全てのアクセス可否判定部の評価結果が「真」である場合にのみアクセスを許可し、それ以外の場合には拒否する。本実施形態においてアクセス制御ポリシ管理部２２によって管理されるアクセス制御ポリシは、図１に示す通りである。

リソース属性管理部２４は、図８に示す通り、リソース属性を１つのテーブル（リソース属性管理テーブル８０）で管理している。リソース属性管理テーブル８０では、各行が１つのリソースに対応し、列８１はリソースのＩＤ、列８２はリソースの“名称”属性、列８３はリソースの“分類”属性、列８４はリソースの“機密性”属性、列８５はリソースの“作成元”属性、列８６はリソースの“登録年月日”属性をそれぞれ表している。各属性の型は、図４のリソース属性の一覧６１に示す通りである。なお、本実施形態では各リソースのリソース属性を１つのテーブルで管理しているが、属性ごとに別のテーブルに分割して管理しても良い。また、例えば、リソース管理部２３において管理される各リソース自身に、メタデータあるいはプロパティとしてリソース属性を記述しておき、リソース属性の取得要求に対応してリソース管理部２３内の該当するリソースからリソース属性を取得して返却するように構成しても良い。

アクセス者属性取得部２５は、属性証明書を用いて属性認証を行うことにより、属性認証を行うことによりアクセス者のアクセス者属性を取得するものである。ここでは、属性証明書は、図４のアクセス者属性の一覧６２に示すアクセス者属性の各別に各アクセス者に発行された属性証明書であって、アクセス者属性の名称とそのアクセス者が有するアクセス者属性の値とを対にした属性が格納されている。図９は、このような属性証明書の発行の元となるアクセス者属性の管理テーブルの一例（アクセス者属性管理テーブル９０）を示している。アクセス者属性管理テーブル９０では、各行が１人のアクセス者に対応し、列９１はアクセス者のＩＤ、列９２はアクセス者の“所属組織”属性、列９３はアクセス者の“役職”属性、列９４はアクセス者の“氏名”属性、列９５はアクセス者の“内線番号”属性、列９６はアクセス者の“着任日”属性をそれぞれ表している。各属性の型は、図４のアクセス者属性の一覧６２の通りである。

図９に示すアクセス者属性管理テーブル９０に基づき、そのテーブル９０の行９７において示される、ユーザＩＤが“００１３５”であるアクセス者に対して発行された属性証明書の例を図１０に示す。属性証明書１０１Ａは、ユーザＩＤが“００１３５”であるアクセス者のアクセス者属性“所属組織”に関する属性証明書であり、アクセス者属性の名称“所属組織”を含む属性名情報１０２Ａと、アクセス者のアクセス者属性“所属組織”に対する属性値“営業部”を含む属性値情報１０３Ａと、アクセス者の秘密鍵に対応する公開鍵、あるいは公開鍵の公開鍵証明書の識別情報を含む属性所有者検証情報１０４Ａと、情報１０２Ａ、１０２Ａ、１０３Ａを含む情報に基づき属性証明書の発行者の秘密鍵によって生成された署名データを含む属性証明書認証情報１０４Ａとから構成される。属性証明書１０１Ｂは、同様に、ユーザＩＤが“００１３５”であるアクセス者のアクセス者属性“役職”に関する属性証明書であり、アクセス者属性の名称“役職”を含む属性名情報１０２Ｂと、アクセス者のアクセス者属性“役職”に対する属性値“部長”を含む属性値情報１０３Ｂと、アクセス者の秘密鍵に対応する公開鍵、あるいはその公開鍵の公開鍵証明書の識別情報を含む属性所有者検証情報１０４Ｂと、情報１０２Ｂ、１０２Ｂ、１０３Ｂを含む情報に基づきその属性証明書の発行者の秘密鍵によって生成された署名データを含む属性証明書認証情報１０４Ｂと、から構成されている。アクセス者属性“氏名”、“内線番号”、“着任日”についても同様の形態の属性証明書が発行される。

アクセス者属性取得部２５は、アクセス者のアクセス者属性が必要になった場合には、アクセス者属性の名称に対応する属性証明書とその所有の証明をアクセス者に要求し、属性証明書と、属性証明書に含まれる属性所有者検証情報に対応する秘密鍵により生成された署名データを受け取り、属性所有者検証情報に対応する公開鍵でそのデータを検証し、さらに、属性証明書の属性証明書認証情報をあらかじめ保持している正当な属性証明書発行者の公開鍵で検証して、双方が合格した場合には、そのアクセス者のアクセス属性の値が属性証明書に記載されている属性値情報に含まれる属性値であると認める。

なお、本実施形態では、アクセス者属性の各別に属性証明書を発行する形態について説明しているが、１枚の属性証明書に、全ての、あるいは、いくつかのアクセス者属性の値を掲載して使用しても良い。

コンテキスト検出部３３は、アクセス要求受信部３０にアクセスの要求を受信した際の時刻などのシステム情報を取得し、これをアクセス環境属性として他の機能部（リソース管理部２３、ポリシ評価部３２など）に提供するものであって、ここでは、図４のアクセス環境属性の一覧６３に示す種類のシステム情報を取得、提供する。

以下では、第一のリソース保護システム１に対してアクセス要求が行われた場合のアクセス制御のためのポリシ評価の様子について、具体例を元に説明する。ここでは、図９に示すアクセス者属性管理テーブル９０に記載の「ユーザＩＤが“００１３５”であるアクセス者」によって、図８に示すリソース属性管理テーブル８０に記載の「リソースＩＤが“３０００”であるリソース」に対する「閲覧操作」が、「２００４年３月１日（月曜）の１９時００分」に発生したというケースについて説明する。

まず、ユーザＩＤが“００１３５”であるアクセス者によるアクセス要求が、アクセス要求受信部３０において受信される。このアクセス要求には、アクセス対象のリソースのＩＤとして“３０００”が、また、そのアクセスの種別として“閲覧”が含まれる。また、コンテキスト検出部３３によってこの時点でのシステム状態が取得される。この時点で、このアクセス要求によるアクセスのアクセス属性のいくつかが定まる。それは、アクション属性“種別”、アクセス環境属性“年月日”、“曜日”、“時刻”であり、それぞれ値は“閲覧”、“２００４／３／１”、“月曜”、“１９：００”である。

ポリシ評価部３２は、まず、これら確定しているアクセス属性に基づき、アクセス制御ポリシ管理部２２の中からそのアクセス要求によるアクセスに対して適用されるべきアクセス制御ポリシの候補を抽出する。すなわち、確定済みのアクセス属性の値を各アクセス制御ポリシの適用条件部の該当する変数に代入し、評価を試みる。この場合、図１に記載のアクセス制御ポリシのうち、ポリシＩＤが“００１１”、“００１２”、“００２１”、“００３２”、“００４２”の各アクセス制御ポリシの適用条件部の値が「偽（ＦＡＬＳＥ）」になるために、これらアクセス制御ポリシは適用候補から外される。残りのアクセス制御ポリシの適用条件部を検査すると、これらの評価を完了させるためには、アクセス対象リソースのリソース属性“分類”と“機密性”と“作成元”そして、アクセス要求したアクセス者のアクセス者属性“所属部署”が必要であることがわかる。よってポリシ評価部３２は、これらのアクセス属性をリソース属性管理部２４、アクセス者属性取得部２５から取得する。取得結果は、リソース属性“分類”の値“販売情報”、同“機密性”の値“１”、同“作成元”の値“総務部”、アクセス者属性“所属部署”の値“営業部”である。残るアクセス制御ポリシそれぞれの適用条件部の該当する変数に、これらのアクセス属性の値を代入して評価すると、ポリシＩＤが“０００２”、“００５１”の各アクセス制御ポリシの適用条件部の値が「真（ＴＲＵＥ）」となり、残りのアクセス制御ポリシの適用条件部の値が「偽」となる。そこでポリシ評価部３２は、今回のアクセス要求によるアクセスの可否の判定には、ポリシＩＤが“０００２”、“００５１”の各アクセス制御ポリシを適用すればよいと判断する。

次に、ポリシ評価部３２は、ポリシＩＤが“０００２”、“００５１”の各アクセス制御ポリシの各アクセス可否判定部の評価に必要なアクセス属性を特定する。各アクセス可否判定部を検査すると、アクセス者属性“所属部署”と、アクセス環境属性“年月日”と、リソース属性“登録年月日”が必要であることが分かるが、前者２つは既に取得済みであるから、ポリシ評価部３２は、リソース属性“登録年月日”をリソース属性管理部２４から取得し、その値“２００４／２／２９”を得る。これらの得られたアクセス属性値を、２つのアクセス制御ポリシそれぞれのアクセス可否判定部の該当する変数に代入して評価すると、アクセス者属性“所属部署”の値“営業部”が｛“開発部”，“営業部”，“総務部”｝に該当することから、ポリシＩＤが“０００２”のアクセス制御ポリシからは「真」を、また一方のポリシＩＤが“００５１”のアクセス制御ポリシについては、アクセス環境属性“年月日”の値が“２００４／３／１”であり、リソース属性「登録年月日」の値“２００４／２／２９”に“２日間”加えた年月日よりも小さいため、評価結果として「偽」を得る。

上述の通り、ポリシ評価部３２は、アクセスに適用すべきアクセス制御ポリシ全てのアクセス可否判定部の評価結果が「真」である場合にのみそのアクセスを許可し、それ以外の場合には拒否するから、今回のケースのアクセス要求によるアクセスは拒否される。

また、第一のリソース保護システム１は、管理するリソースの一部を他のリソース保護システムに複製あるいは移動させて配置するために、アクセス制御ポリシ管理部２２において管理する全てのアクセス制御ポリシから、複製あるいは移動させるリソースに対する必要十分なアクセス制御ポリシを自動生成する機能を持つ。そのために、リソース保護システム１は、上述したように、変換する際の条件を含むポリシ変換要求を受信するポリシ変換要求受信部２０と、ポリシ変換要求に含まれる変換する際の条件に対応する１ないし複数のアクセス属性の値を収集するアクセス属性値集合取得部２９と、アクセス制御ポリシ管理部２２において管理する全てのアクセス制御ポリシから、アクセス属性値集合に対応するアクセスに適用される可能性のあるアクセス制御ポリシを抽出してそれらを含むアクセス制御ポリシセット（アクセス制御ポリシ集合）を生成するポリシ絞込み部２６と、ポリシ絞込み部２６で生成されたアクセス制御ポリシセットに含まれるアクセス制御ポリシのアクセス可否判定部を、アクセス属性値集合を元に事前評価したアクセス制御ポリシセットを生成するポリシ事前評価部２７と、ポリシ事前評価部２７で生成されたアクセス制御ポリシセットを出力する変換後ポリシ送信部２１を、さらに備えている。

次に、本実施形態におけるポリシ変換方法を説明する。図１１は本発明に基づくポリシ変換方法の概略を説明するものである。

図１１に示したポリシ変換方法では、まず、ポリシ変換要求受信部２０においてポリシ変換要求を受信して（ステップＳ１１１）、アクセス属性値集合取得部２９において、そのポリシ変換要求に対応するアクセス属性の値の集合を取得し（ステップＳ１１２）、ポリシ絞込み部２６において、取得されたアクセス属性の値の集合を用いて、アクセス制御ポリシ管理部２２において管理する全てのアクセス制御ポリシから第二のアクセス制御ポリシセットを生成する（ステップＳ１１３）。次に、ポリシ事前評価部２７において、第二のアクセス制御ポリシセットから第三のアクセス制御ポリシセットを生成し（ステップＳ１１４）、最後に、変換後ポリシ送信部２１において、第三のアクセス制御ポリシセットを変換後のアクセス制御ポリシとして変換要求元に返信する（ステップＳ１１５）。

ポリシ変換要求受信部２０において受信するポリシ変換要求は、変換後のアクセス制御ポリシが適用の対象とするアクセスを特徴付ける、リソースの識別情報あるいは１ないし複数のリソース属性の値、および／あるいは、アクセス者の識別情報あるいは１ないし複数のアクセス者属性の値を含む。アクセス属性値集合取得部２９は、ポリシ変換要求にリソースの識別情報が含まれていた場合には、そのリソースの全てのリソース属性の値をリソース属性管理部２４から取得し、また、ポリシ変換要求にアクセス者の識別情報が含まれていた場合には、そのアクセス者のアクセス属性の値をアクセス者属性取得部２５から取得し、ポリシ変換要求に含まれる他のリソース属性および／あるいはアクセス者属性の値の集合に加えてそれらの取得したリソース属性および／あるいはアクセス属性を、他の機能部、特にポリシ絞込み部２６およびポリシ事前評価部２７に提供する。

なお、時間経過に伴う属性値の変化を考慮すれば、ポリシの変換時ではなく、実際のアクセス要求受領に対して変換後のポリシを用いたポリシ評価を行う時、すなわちアクセス可否判定を実施する時に最新のアクセス属性の値を用いてアクセス可否を判定する必要のあるアクセス属性も存在する。例えば、モバイルＰＣからアクセスするような場合、アクセス者の所在位置などのアクセス者属性は、アクセスが実行される時点の値を用いる必要があると考えられる。

そのような配慮をすべきアクセス属性が存在する場合には、あらかじめ、そのようなアクセス属性の種別あるいは名称を実行時評価アクセス属性リストに設定しておき、アクセス属性値集合取得部２９は、実行時評価アクセス属性リストに掲載されているアクセス属性については、ポリシ変換要求に指定されていても削除するような機構を設けることによって、これに対応することが可能である。あるいは、アクセス属性値集合取得部２９は、リソース属性管理部２４、アクセス者属性取得部２５からリソース属性あるいはアクセス者属性の値を取得する際にその掲載されているアクセス属性の値は取得しないか取得しても除外する、などの機構を設けることによって、これに対応することが可能である。

また、ポリシを評価してアクセスを制御する装置の機能的制約等によって、ポリシの評価に必要なアクセス属性の値をポリシの評価時に得ることが困難である場合がある。例えば、ＩＣカードなど記憶容量が少なくかつ外部の記憶装置との通信が実用的な時間内に行えないような装置においてアクセス制御を行う場合などが挙げられる。そのような場合には、評価時には入手が困難なアクセス属性の種別あるいは名称をポリシの変換より前に通知しておき、ポリシの変換時において、これらのアクセス属性の値をアクセス属性値集合取得部２９において取得するよう構成することで、ポリシ変換を実現できる。

次に、ポリシ絞込み部２６における処理、すなわち、ポリシの絞込みと第二のアクセス制御ポリシセットの生成の処理について、図１２を用いて説明する。

ポリシ絞込み部２６は、アクセス制御ポリシ管理部２２において管理される全てのアクセス制御ポリシからなる第一のアクセス制御ポリシセットと、アクセス属性値集合取得部２９において収集されたアクセス属性値の集合であるアクセス属性値集合とを入力として、まず、要素が空の第二のアクセス制御ポリシセットを生成し（ステップＳ１２１）、
第一のアクセス制御ポリシセットに含まれるアクセス制御ポリシに未処理のものがあるか検査する（ステップＳ１２２）。未処理のアクセス制御ポリシが存在しない場合には、ポリシ絞込み部２６は、第二のアクセス制御ポリシセットを出力して（ステップＳ１２８）、処理を終了する。これに対してステップＳ１２２において未処理のアクセス制御ポリシが存在すれば、ポリシ絞込み部２６は、その未処理のアクセス制御ポリシの適用条件部にある各変数に、それらの変数に対応するアクセス属性の値がアクセス属性値集合に存在すればこれを代入することによって、その適用条件部を可能な限り評価し（ステップＳ１２３）、ステップＳ１２３の評価の結果を判定する（ステップＳ１２４）。ステップＳ１２３で行った評価の結果として適用不可を示す値が得られた場合には、ステップＳ１２２に戻り、それ以外の場合、すなわち、適用可を示す値が得られた場合、あるいは、変数への代入が不足したために具体的な評価値が得られるまで至らなかった評価途中の述語表現であった場合には、ステップＳ１２５に進む。

ステップＳ１２５では、ポリシ絞込み部２６は、ステップＳ１２３での評価結果と同一の値を適用条件部に持つアクセス制御ポリシを第二のアクセス制御ポリシセットから検索する。ステップＳ１２３での評価結果と同一の値を適用条件部に持つアクセス制御ポリシが第二のアクセス制御ポリシセットにまだ存在していなかった場合には、ポリシ絞込み部２６は、アクセス制御ポリシの適用条件部をその評価結果に置き換えた後に、そのアクセス制御ポリシを第二のアクセス制御ポリシセットに追加し（ステップＳ１２７）、その後、ステップＳ１２２に戻る。ステップＳ１２５において、ステップＳ１２３での評価結果と同一の値を適用条件部に持つアクセス制御ポリシが、第二のアクセス制御ポリシセットに既に存在していた場合には、ポリシ絞込み部２６は、第二のアクセス制御ポリシセットに存在するアクセス制御ポリシＸのアクセス可否条件部を、そのアクセス可否条件部とステップＳ１２３での評価結果との論理積からなる述語表現に置き換えた上で（ステップＳ１２６）、ステップＳ１２２に戻る。

以上の処理は、ステップＳ１２２での検査の結果、未処理のアクセス制御ポリシが第一のアクセス制御ポリシセットになくなるまで繰り返され、未処理のアクセス制御ポリシがなくなった時点で制御がステップＳ１２８に移行し、第二のアクセス制御ポリシセットが出力されることとなる。

次に、ポリシ事前評価部２７における処理、すなわち、第二のアクセス制御ポリシセットから第三のアクセス制御ポリシセットを生成する処理について、図１３を用いて説明する。

ポリシ事前評価部２７は、ポリシ絞込み部２６が生成し出力した第二のアクセス制御ポリシセットと、アクセス属性値集合取得部２９において収集されたアクセス属性値の集合であるアクセス属性値集合とを入力として、まず、要素が空の第三のアクセス制御ポリシセットを生成し（ステップＳ１３１）、第二のアクセス制御ポリシセットに含まれるアクセス制御ポリシに未処理のものがあるか検査する（ステップＳ１３２）。未処理のアクセス制御ポリシが存在しない場合には、ポリシ事前評価部２７は、第三のアクセス制御ポリシセットを出力して（ステップＳ１３５）、処理を終了する。これに対してステップＳ１３２において未処理のアクセス制御ポリシが存在すれば、ポリシ事前評価部２７は、未処理のアクセス制御ポリシのアクセス可否条件部にある各変数に、その変数に対応するアクセス属性の値がアクセス属性値集合に存在すればこれを代入してアクセス可否条件部を可能な限り評価し（ステップＳ１３３）、アクセス制御ポリシのアクセス可否条件部を、ステップＳ１３３での評価結果、すなわちアクセス可否を示す値に置き換えた後にそのアクセス制御ポリシを第三のアクセス制御ポリシセットに追加した上で（ステップＳ１３４）、ステップＳ１３２に戻る。ステップＳ１３４において、変数への代入が不足したために具体的な評価値が得られるまで至らなかった場合には、アクセス制御ポリシのアクセス可否条件部をその評価途中の述語表現に置き換えた後にそのアクセス制御ポリシを第三のアクセス制御ポリシセットに追加するものとする。

以上の処理は、ステップＳ１３２での検査の結果、未処理のアクセス制御ポリシが第二のアクセス制御ポリシセットになくなるまで繰り返され、未処理のアクセス制御ポリシがなくなった時点で制御がステップＳ１３５に移行し、第三のアクセス制御ポリシセットが出力されることとなる。

変換後ポリシ送信部２１は、生成された第三のアクセス制御ポリシセットを出力する際に、そのアクセス制御ポリシセットがどのようなアクセスに対して適用の対象となりうるかを示す情報を関連付けて、そのポリシセットを出力する。例えば、ポリシ変換要求にリソースの識別情報が含まれていた場合には、変換後ポリシ送信部２１は、そのリソース識別情報を関連付けて出力し、アクセス者の識別情報が含まれていた場合には、そのアクセス者識別情報を関連付けて出力し、どちらも含まれていなかった場合には、アクセス属性値集合取得部２９において取得しポリシ絞込み部２６あるいはポリシ事前評価部２７において用いられたアクセス属性値集合に対応するアクセス属性値集合識別情報を関連付けて出力する。

以下では、具体的な事例を元に、本実施形態におけるポリシ変換方法、移行方法、評価方法を詳細に説明する。

＜事例１＞
事例１では、第一のリソース保護システム１からリソースＩＤ“４４４４”を持つリソースを第二のリソース保護システム２に移管させる事例について説明する。このような移管は、例えば、いわゆるファイルサーバ装置などで管理されアクセス制御されているリソースのうち、ごく少数のリソースを、ＩＣカードなどの処理性能や記憶領域に関する制約の厳しい装置に移動もしくは複製し、かつ、元のサーバ上と一貫性のあるポリシに基づいてその移管されたリソースへのアクセスを制御したい、といった場合に相当する。

この事例における第二のリソース保護システム２は、例えば、ＩＣカード装置であって、制約条件が厳しいことにより、図１４に示す機能構成を取っている。すなわち、第二のリソース保護システム２は、リソース管理部２３、アクセス者属性取得部２５、アクセス要求受信部３０、リソース提供部３１、ポリシ評価部３２及びコンテキスト検出部３３を備えており、これらの機能部は、第一のリソース保護システム１におけるものと同様の機能と役割を有する。リソース管理部２３は、第一のリソース保護システム１から移管されたリソースを管理する。さらに第二のリソース保護システム２は、ポリシセット評価部３４、ポリシセット管理部３５及びポリシセット受入部３６を備えている。第二のリソース保護システム２には、ポリシ変換要求受信部、変換後ポリシ送信部、アクセス制御ポリシ管理部、リソース属性管理部、ポリシ絞込み部、ポリシ事前評価部、ポリシ設定部及びアクセス属性値集合取得部は設けられていない。ポリシセット管理部３５は、アクセス制御ポリシセットを格納するものであり、ポリシセット受入部３６は、リソース保護システム１からリソースの移管を受ける際にそのリソースに対応するアクセス制御ポリシセットを受信して受け入れ、ポリシセット管理部３５に格納する。ポリシセット評価部３４は、受信したアクセス要求に対応して、ポリシセット管理部３５において管理されるアクセス制御ポリシセットの中からアクセス要求に対応するアクセス制御ポリシセットを特定するとともに、ポリシ評価部３２を制御してそのアクセス制御ポリシセットに含まれる個々のアクセス制御ポリシの評価を行う。

第二のリソース保護システム２へのリソースおよびポリシの移管、あるいは、同移管後のアクセス制御の際のシステムの態様の一例について、図６を用いて説明する。第二のリソース保護システム２は、リソースおよびポリシの移管時にはＩＣカード読み取り・書き込み機などを介して第一のリソース保護システム１に接続されて、リソースおよびポリシの移管を受ける。その後、第二のリソース保護システム２は第一のリソース保護システム１から取り外され、他のパーソナルコンピュータ６に接続され、移管されたリソースへのそのパーソナルコンピュータ６からのアクセス要求に対するアクセス制御を行う。

以下では、まず、本事例における第一のリソース保護システム１への適切なポリシ変換要求「リソースＩＤ“４４４４”に関するポリシの変換」に応じた第一のリソース保護システム１におけるポリシの変換処理について説明し、続いて、このようにして生成されたアクセス制御ポリシセットと対応するリソースとを格納した第二のリソース保護システム２におけるそのリソースへのリソース要求を判定する際のポリシ評価方法について説明する。

（ポリシの変換）
第一のリソース保護システム１は、図１１に示した手順において、「リソースＩＤ“４４４４”」を指定したポリシ変換要求を受け取る（ステップＳ１１１）と、まず、そのリソースに対応する全てのリソース属性の値を収集する（ステップＳ１１２）。収集されるリソース属性の値は、図８に示したリソース属性管理テーブル８０により、「“名称”＝“△△リスト（社内展開用）”、“分類”＝“顧客情報”、“機密性”＝“２”、“作成元”＝“総務部”、“登録年月日”＝“２００３／１０／１”」である。これらリソース属性の値の集合をアクセス属性値集合とし、アクセス制御ポリシ管理部２２において管理する全てのアクセス制御ポリシ、すなわち、図１に示したアクセス制御ポリシの一覧１０に含まれる全てのアクセス制御ポリシの集合を第一のアクセス制御ポリシセットとし、ポリシの絞込みを行う（ステップＳ１１３）。

第一のリソース保護システム１のポリシ絞込み部２６におけるポリシの絞込みでは、図１２に示す手順により、まず、中身が空の第二のアクセス制御ポリシセットを生成する（ステップＳ１２１）。次に、第一のアクセス制御ポリシセットに含まれるアクセス制御ポリシそれぞれについて、順次以下のように処理が行われる。

まず、最初のＩＤ＝“０００１”のアクセス制御ポリシに対する処理を行う。このポリシの適用条件部の各変数に対応するアクセス属性の値がアクセス属性値集合に存在するかどうかを確認すると、変数「（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“分類”）」すなわち、リソース属性“分類”が該当するため、その値“顧客情報”を代入して評価する。すると、適用条件部は「（ＡＮＤ（（ＥＱ“顧客情報”“技術情報”）（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“閲覧”）））」となる。ここで評価を行うと第一のＥＱ節の評価結果が「偽」となり、ＡＮＤ節全体も「偽」となるから、適用条件部の評価結果は「偽」、すなわち適用不可を示す値となる（ステップＳ１２３）。よって、ステップＳ１２４からステップＳ１２２に戻って、次のポリシの評価に移る。

次のＩＤ＝“０００２”のアクセス制御ポリシに対して同様の代入処理を行うと、その適用条件部は「（ＡＮＤ（（ＥＱ“顧客情報”“販売情報”）（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“閲覧”）））」となり、ここで評価を行うと第一のＥＱ節の評価結果が「偽」となり、ＡＮＤ節全体も「偽」となり、適用条件部の評価結果は「偽」、すなわち適用不可を示す値となる（ステップＳ１２３）。よって、このアクセス制御ポリシも適用不可と判定され、次のポリシの評価に移る。

次のＩＤ＝“０００３”のアクセス制御ポリシに対して同様の代入処理を行うと、その適用条件部は「（ＡＮＤ（（ＥＱ“顧客情報”“顧客情報”）（ＯＲ（（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“閲覧”）（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“修正”）））））」となり、ここで評価を行うと第一のＥＱ節の評価結果は「真」となる。ＯＲ節に含まれる残り２つのＥＱ節は変数の値が未確定であるため評価ができない。よって、該適用条件部の評価結果は、「（ＯＲ（（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“閲覧”）（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“修正”）））」という述語表現となる（ステップＳ１２３）。

ここでは評価結果が適用不可を示す値「偽」ではないため、第二のアクセス制御ポリシセットへの追加候補となる。同様の適用条件部を持つアクセス制御ポリシが第二のアクセス制御ポリシセットに存在しないため（ステップＳ１２５）、その評価結果「（ＯＲ（（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“閲覧”）（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“修正”）））」を適用条件部とし、アクセス可否条件部を元のままの「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“営業部”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“総務部”）））」とするアクセス制御ポリシを第二のアクセス制御ポリシセットに追加する（ステップＳ１２７）。

以下、ＩＤ＝“００１１”、“００１２”のアクセス制御ポリシについても同様の処理を行うと、双方とも「偽」が得られるため、第二のアクセス制御ポリシセットへの反映はなされない。

次に、ＩＤ＝“００２１”のアクセス制御ポリシに対して同様の代入処理を行おうとするが、その適用条件部「（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“削除”）」に代入可能な変数がないため、そのまま、ステップＳ１２３での評価結果となる。評価結果が適用不可を示す値「偽」ではないため、第二のアクセス制御ポリシセットへの追加候補となる。同様の適用条件部を持つアクセス制御ポリシが第二のアクセス制御ポリシセットに存在しないため（ステップＳ１２５）、この評価結果「（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“削除”）」を適用条件部とし、アクセス可否条件部を元のままの「（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））」とするアクセス制御ポリシを第二のアクセス制御ポリシセットに追加する（ステップＳ１２７）。

以下、ＩＤ＝“００３１”、“００３２”、“００４１”、“００４２”のアクセス制御ポリシについても同様の処理を行うが、すべて評価結果として「偽」が得られるため、第二のアクセス制御ポリシセットへの反映はなされない。

最後に、ＩＤ＝“００５１”のアクセス制御ポリシに対して同様の代入処理を行うと、その適用条件部は「（ＮＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“総務部”）」となるが、これ以上評価ができない。よって、適用条件部の評価結果は、「（ＮＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“総務部”）」という述語表現となる（ステップＳ１２３）。ここでは評価結果が適用不可を示す値「偽」ではないため、第二のアクセス制御ポリシセットへの追加候補となる。同様の適用条件部を持つアクセス制御ポリシが第二のアクセス制御ポリシセットに存在しないため（ステップＳ１２５）、評価結果「（ＮＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“総務部”）」を適用条件部とし、アクセス可否条件部を元のままの「（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“年月日”）（ＰＬＵＳ（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“登録年月日”）“２日間”））」とするアクセス制御ポリシを第二のアクセス制御ポリシセットに追加する（ステップＳ１２７）。

これで未処理のアクセス制御ポリシがなくなったため、ステップＳ１２８に移行して、現時点での第二のアクセス制御ポリシセットを出力する。その内容を図１５に示す。

以上でポリシ絞込み部２６での処理が終わると、ポリシ事前評価部２７が、第二のアクセス制御ポリシセットに含まれるアクセス可否条件部の事前評価を行い、第三のアクセス制御ポリシセットの生成（図１１のステップＳ１１４）を行う。

ポリシ事前評価部２７におけるポリシの事前評価では、図１３に示す手順より、まず、中身が空の第三のアクセス制御ポリシセットを生成する（ステップＳ１３１）。次に、上述した図１５に示した内容の第二のアクセス制御ポリシセットに含まれるアクセス制御ポリシそれぞれについて処理を行う。

まず、最初のＩＤ＝“０００３−１Ａ”のアクセス制御ポリシに対する処理を行う。このポリシのアクセス可否条件部の各変数に対応するアクセス属性の値がアクセス属性値集合に存在しないため、代入は一切行われず、評価結果は元のアクセス可否判定部の通りとなる（ステップＳ１３３）。よって、そのアクセス制御ポリシをそのまま第三のアクセス制御ポリシセットに追加する（ステップＳ１３４）。

次に、ＩＤ＝“００２１−１Ａ”のアクセス制御ポリシのアクセス可否条件部を見ると、「（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”）」に対する代入が可能である。代入すると、「（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“総務部”）」となるが、これ以上評価ができない。よって、このアクセス可否条件部の評価結果は、「（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“総務部”）」という述語表現となる（ステップＳ１３３）。アクセス制御ポリシのアクセス可否判定部をこの評価結果に置き換えたアクセス制御ポリシを第三のアクセス制御ポリシセットに追加する（ステップＳ１３４）。

最後に、ＩＤ＝“００５１−１Ａ”のアクセス制御ポリシに対して同様の代入処理を行うと、そのアクセス可否条件部は「（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“年月日”）“２００３／１０／３”）」となるが、これ以上評価ができない。よって、アクセス可否条件部の評価結果は、「（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“年月日”）“２００３／１０／３”）」という述語表現となる（ステップＳ１３３）。このアクセス制御ポリシのアクセス可否判定部をこの評価結果に置き換えたアクセス制御ポリシを第三のアクセス制御ポリシセットに追加する（ステップＳ１３４）。

これで未処理のアクセス制御ポリシがなくなったため、ステップＳ１３５に移行して、現時点での第三のアクセス制御ポリシセットを出力する。その内容を図１６に示す。

最後に、このようにして生成された第三のアクセス制御ポリシセットを、ポリシ変換要求において指定されたリソースの識別情報と関連付けて出力する（図１１のステップＳ１１５）。

以上でポリシの変換処理は終了である。

（ポリシの移行）
以上のようにして生成された第三のアクセス制御ポリシセットの移行は、ポリシ変換要求において指定されたリソースに対応付けて、第二のリソース保護システム２のポリシセット受入部３６を介してポリシセット管理部３５に第三のアクセス制御ポリシセットを格納することによって完了する。

（ポリシの評価）
次に、ポリシの移行が完了した後、第二のリソース保護システム２に対してそのリソース保護システム２が管理するリソースへのアクセス要求が発生した場合のポリシ評価方法について説明する。この時の、第二のリソース保護システム２のポリシセット管理部３５に格納されるアクセス制御ポリシセット群を図１７に示す。図１７において、アクセス制御ポリシセット１７０が、上記のポリシ変換によって生成されて格納された、リソースＩＤ“４４４４”に対応するアクセス制御ポリシセットである。アクセス制御ポリシセットに付けられたタグ１７１は、対応するリソースの識別情報を示している。

第二のリソース保護システム２は、アクセス要求を受けると、ポリシセット評価部３４によって、そのアクセス要求がアクセス対象とするリソースの識別情報をキーにして、ポリシセット管理部３５に格納されるアクセス制御ポリシセット群の中から対応するアクセス制御ポリシセットを検索し、見つかった場合には、そのアクセス制御ポリシセットに含まれる各アクセス制御ポリシを展開する。ポリシ評価部３２は、ポリシセット評価部３４により展開されたアクセス制御ポリシ群を用いて、上述したポリシ評価の方法と同様にして評価を行う。

例えば、図９のアクセス者属性管理テーブル９０において行９８に示されるアクセス者が、第二のリソース保護システム２に対して「リソースＩＤ“４４４４”の閲覧」を要求した場合、アクセス制御ポリシセット１７０が検索され、そのポリシセット１７０に含まれる３つのアクセス制御ポリシ（ＩＤ＝“０００３−１Ｂ”、“００２１−Ｂ”、“００５１−Ｂ”）が展開され、その適用可否が評価される。

アクセス要求が受理された時点で確定しているアクション属性“種別”の値“閲覧”をＩＤ＝“００２１−１Ｂ”のアクセス制御ポリシの適用条件部に代入して評価すると、適用不可を示す値「偽」となるため、このアクセス制御ポリシは適用候補から除外される。また、ＩＤ＝“０００３−１Ｂ”のアクセス制御ポリシの適用条件部に同じくアクション属性“種別”の値“閲覧”を代入して評価すると、適用可を示す「真」が得られるため、その適用が決定する。残る１つのＩＤ＝“００５１−１Ｂ”のアクセス制御ポリシの適用条件部の評価に必要なアクセス属性として、アクセス者属性“所属部署”が特定され、その値“総務部”がアクセス者属性取得部２５により取得される。取得した値をそのアクセス制御ポリシの適用条件部の該当する変数に代入すると、「（ＮＥＱ“総務部”“総務部”）」となり、その評価結果として「偽」が得られるので、このアクセス制御ポリシも適用不可となる。

適用可能と判定されたＩＤ＝“０００３−１Ｂ”のアクセス制御ポリシのアクセス可否条件部の変数「（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）」に、該当するアクセス者属性“所属部署”の値“総務部”を代入して評価すると、第二のＥＱ節が「真」となり、このＥＱ節を含むＯＲ節が「真」となるため、アクセス可否条件部全体の評価値もアクセス可を意味する「真」となる。他に適用対象のアクセス制御ポリシがないため、これをもって、そのアクセス要求によるアクセス、すなわち「リソースＩＤ“４４４４”の閲覧」が許可される。

＜事例２＞
事例２では、第一のリソース保護システム１から、リソース属性“分類”の値が“技術情報”であり、かつリソース属性“機密性”の値が“３以上”すなわち“３もしくは４もしくは５”であるようなリソースを、第三のリソース保護システム３に移動させる事例について説明する。このような移管は、例えば、企業内文書などのリソースを１つのファイルサーバ装置などで管理しアクセス制御していた状況において、アクセストラフィックの分散などの観点から、管理されるリソースのうちの一部を他の同様かあるいはより小規模のファイルサーバに移動もしくは複製し、かつ、元のサーバ上と一貫性のあるポリシに基づいて、その移管されたリソースへのアクセスを制御したい、といった場合に相当する。

本事例における第三のリソース保護システム３は、第一のリソース保護システム１と同様のファイルサーバ装置の一種であって、図１８に示す機能構成を取っている。すなわち、第三のリソース保護システム３は、リソース管理部２３、リソース属性管理部２４、アクセス者属性取得部２５、アクセス要求受信部３０、リソース提供部３１、ポリシ評価部３２及びコンテキスト検出部３３を備えており、これらの機能部は、第一のリソース保護システム１におけるものと同様の機能と役割を有する。リソース管理部２３は、第一のリソース保護システム１から移管されたリソースを管理し、リソース属性管理部２４は第一のリソース保護システム１から移管されたリソースのリソース属性の値を管理する。また、第三のリソース保護システムは、ポリシセット評価部３４、ポリシセット管理部３５及びポリシセット受入部３６を備えており、これらの機能部は、第二のリソース保護システム２におけるものと同様の機能と役割を有する。第三のリソース保護システム２には、ポリシ変換要求受信部、変換後ポリシ送信部、アクセス制御ポリシ管理部、ポリシ絞込み部、ポリシ事前評価部、ポリシ設定部及びアクセス属性値集合取得部は設けられていない。

第三のリソース保護システム３は、図６に示したように、管理用の通信ネットワーク５を介して第一のリソース保護システム１と接続しており、通信ネットワーク５上の通信によってリソースおよびポリシの移管を受ける。また、第三のリソース保護システム３は、多数のパーソナルコンピュータ７が接続している通信ネットワーク５Ａとも接続しており、このネットワーク５Ａ上の通信によって、移管されたリソースへのこれらパーソナルコンピュータ７からのアクセス要求を受け付け、そのアクセスの制御を行う。

以下では、まず、本事例における第一のリソース保護システム１への適切なポリシ変換要求「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝」に応じた、第一のリソース保護システム１におけるポリシの変換処理について説明し、続いて、このように生成されたアクセス制御ポリシセットとリソースとを格納した第三のリソース保護システム３における、そのリソースへのアクセス要求を判定する際のポリシ評価方法について説明する。

（ポリシの変換）
第一のリソース保護システム１は、図１１のフローチャートに示す手順により、「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝」を指定したポリシ変換要求を受け取る（ステップＳ１１１）と、これらリソース属性の値の集合をアクセス属性値集合とし、アクセス制御ポリシ管理部２２において管理する全てのアクセス制御ポリシ、すなわち、図１に示すアクセス制御ポリシの一覧１０に含まれる全てのアクセス制御ポリシの集合を第一のアクセス制御ポリシセットとし、ポリシの絞込み（ステップＳ１１３）を行う。

ポリシ絞込み部２６におけるポリシの絞込みでは、図１２に示す手順において、まず、中身が空の第二のアクセス制御ポリシセットを生成する（ステップＳ１２１）。次に、第一のアクセス制御ポリシセットに含まれるアクセス制御ポリシのそれぞれについて、アクセス制御ポリシの適用条件部の各変数に対応するアクセス属性の値がアクセス属性値集合にあればこれを代入して評価し（ステップＳ１２３）、評価結果に応じてステップＳ１２５もしくはステップＳ１２６を実施する。

ステップＳ１２３における処理の詳細は、上述した通りであるが、ここでは、リソース属性“機密性”については複数の可能性のある値が指定されているために、ステップＳ１２３における、その代入と評価については特別な処理が必要である。すなわち、取りうる値｛“３”，“４”，“５”｝それぞれについて該当する変数に代入を行って、変数を含む部分述語論理を評価した結果が全て「真」であれば、この変数を含む部分述語論理を「真」と見なし、全て「偽」であれば、この変数を含む部分述語論理を「偽」と見なし、真偽が混在する場合には、評価値が確定しないことから、その変数を変数のままとする必要がある。

この事例の場合、リソース属性“機密性”に対応する変数を含む部分述語論理は全て「（ＧＴ（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“機密性”）２）」であり、リソース属性“機密性”が取りうる値として指定されている｛“３”，“４”，“５”｝のいずれを代入してもその部分述語論理は「真」を返すことから、評価結果を「真」と見なすことができる。

ステップＳ１２３の結果、適用不可の値「偽」を得るアクセス制御ポリシは、ポリシＩＤとして“０００２”、“０００３”、“００１２”を有する３つのアクセス制御ポリシとなる。

また、本事例の場合、ステップＳ１２３における適用条件部の評価の結果、同一の評価結果を得るアクセス制御ポリシが存在する。すなわち、ステップＳ１２５における検査の際、評価結果と同一の値を適用条件部に持つアクセス制御ポリシが第二のアクセス制御ポリシセットに存在するために、ステップＳ１２６に進む場合がある。具体的には、その１つはポリシＩＤとして“００３２”を有するアクセス制御ポリシである。このアクセス制御ポリシのステップＳ１２３による評価結果は、「（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“削除”）」となるが、このとき既に、もともとポリシＩＤとして“００２１”を有していたアクセス制御ポリシが第二のアクセス制御ポリシセットに格納されており、かつ、適用条件部として同一の値「（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“削除”）」を持つ。よって、ポリシＩＤ“００３２”のアクセス制御ポリシについては、ステップＳ１２６に進み、ポリシのアクセス可否条件部「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“部長”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“チーフ）））」と、第二のアクセス制御ポリシセットに格納されている旧ポリシＩＤ“００２１”のアクセス制御ポリシのアクセス可否条件部「（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））」の論理積、すなわち、「（ＡＮＤ（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“部長”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“チーフ”）））（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”）））」に、第二のアクセス制御ポリシセットに格納されている旧ポリシＩＤ“００２１”のアクセス制御ポリシのアクセス可否条件部を置き換える。また、同様に、ポリシＩＤ“００４２”のアクセス制御ポリシに対するステップＳ１２３による評価結果も「（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“削除”）」となるため、このアクセス制御ポリシについてもステップＳ１２６に進み、このポリシのアクセス可否条件部「（ＡＮＤ（（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“０９：００”）（ＬＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“１８：００”）））」と、第二のアクセス制御ポリシセットに格納されている旧ポリシＩＤ“００２１”のアクセス制御ポリシのアクセス可否条件部「（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））」の論理積に、第二のアクセス制御ポリシセットに格納されている旧ポリシＩＤ“００２１”のアクセス制御ポリシのアクセス可否条件部を置き換える。

また、同様に、ポリシＩＤ“００４２”のアクセス制御ポリシに対するステップＳ１２３による評価結果も「（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“削除”）」となり、やはり、もともとポリシＩＤとして“００２１”を有していたアクセス制御ポリシの適用条件部に一致するために、これらのアクセス可否判定部の論理積、すなわち、「（ＡＮＤ（（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“部長”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“チーフ”）））（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））））」に、第二のアクセス制御ポリシセットに格納されている旧ポリシＩＤ“００２１”のアクセス制御ポリシのアクセス可否条件部を置き換える。

以上の処理により生成された第二のアクセス制御ポリシセットを図１９に示す。ここで、ポリシＩＤ“００２１−２Ａ”を有するアクセス制御ポリシは、上述の通り、第一のアクセス制御ポリシセットにおいて、ポリシＩＤ“００２１”、“００３２”、“００４２”を有していたアクセス制御ポリシが併合されたものである。なお、ポリシＩＤ“００２１−２Ａ”のアクセス制御ポリシは、適用条件部が「（ＯＲ（（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“閲覧”）（ＥＱ（ＡｃｔｉｏｎＡｔｔｒｉｂｕｔｅ“種別”）“修正”）））」であり、ポリシＩＤ“０００１−２Ａ”とポリシＩＤ“００１１−２Ａ”の各アクセス制御ポリシの適用条件部の論理和となっている。このような場合には、ポリシＩＤ“００２１−２Ａ”のアクセス制御ポリシについて、その適用条件部の論理和を構成する各述語論理を適用条件とするアクセス制御ポリシに分割し、それぞれ一致するポリシＩＤ“０００１−２Ａ”とポリシＩＤ“００１１−２Ａ”のアクセス制御ポリシに併合してもよい。そのような処理を施した場合の第二のアクセス制御ポリシセットの内容を図２０に示す。

ここで、ポリシＩＤ“０００１−２Ａ”を有するアクセス制御ポリシは、ポリシＩＤ“０００１−２Ａ”のアクセス制御ポリシと、ポリシＩＤ“００２１−２Ａ”の一部を併合したもの、また、ポリシＩＤ“００１１−２Ａ”を有するアクセス制御ポリシは、ポリシＩＤ“００１１−２Ａ”のアクセス制御ポリシと、ポリシＩＤ“００２１−２Ａ”の一部を併合したものである。

以上のようにしてポリシ絞込み部２６での処理が行われたら、次に、第二のアクセス制御ポリシセットに含まれるアクセス可否条件部の事前評価を行い、第三のアクセス制御ポリシセットの生成（図１１のステップＳ１１４）を行う。

ポリシ事前評価部２７におけるポリシの事前評価では、図１３に示す手順により、まず、中身が空の第三のアクセス制御ポリシセットを生成し（ステップＳ１３１）、その後、第二のアクセス制御ポリシセットに含まれる各アクセス制御ポリシのアクセス可否条件部の各変数に、該当するアクセス属性値集合の中のアクセス属性の値を代入して評価する（ステップＳ１３３）。この事例では、第二のアクセス制御ポリシセットに含まれるすべてのアクセス制御ポリシのアクセス可否条件部の変数に対応するアクセス属性の値がアクセス属性値集合には存在しないため、すべてのアクセス制御ポリシがそのまま第三のアクセス制御ポリシセットに格納されることとなる。

最後に、このようにして生成された第三のアクセス制御ポリシセットを、ポリシ変換要求において指定されたアクセス属性値集合、すなわち、「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝」と関連付けて出力する（ステップＳ１１５）。

以上でポリシの変換処理は終了である。

（ポリシの移行）
上述のようにして生成された第三のアクセス制御ポリシセットの移行は、ポリシ変換要求において指定されたアクセス属性値集合、すなわち、「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝」に関連付けて、第三のリソース保護システム３のポリシセット受入部３６を介して、第三のアクセス制御ポリシセットをポリシセット管理部３５に格納し、さらに、移管されるリソースに関するリソース属性の値を、第一のリソース保護システム１のリソース属性管理部２４から抽出し、第三のリソース保護システム３のリソース属性管理部２４に設定することによって完了する。

（ポリシの評価）
次に、ポリシの移行が完了した後、第三のリソース保護システム３に移管されたリソース、すなわちリソースＩＤ“１２３４”、“２２２２”をそれぞれ有する２つのリソースのいずれかに対するアクセス要求が発生した場合のポリシ評価方法について説明する。

この時の、第三のリソース保護システム３のポリシセット管理部３５に格納されるアクセス制御ポリシセット群を図２１に示す。図２１において、アクセス制御ポリシセット２００が、上記のポリシ変換によって生成されて格納された、リソース群に対応するアクセス制御ポリシセットである。アクセス制御ポリシセットに付けられたタグ２０１は、アクセス制御ポリシセット２００に対応するアクセスを、そのアクセスのアクセス属性の値によって示すものであり、アクセス制御ポリシセット２００の生成に用いられたアクセス属性値集合が設定されている。また、この時の第三のリソース保護システム３のリソース属性管理部２４の設定状況を図２２に示す。リソース属性管理部２４のリソース管理テーブル２１０には、上記の移管された２つのリソースのリソース属性のみが格納されている。

第三のリソース保護システム３は、アクセス要求を受けると、ポリシセット評価部３４によって、そのアクセス要求が対象とするリソースのリソース属性の値が、ポリシセット管理部３５に格納されるアクセス制御ポリシセット群に関連付けられたアクセス属性値集合に対応する情報と合致するようなアクセス制御ポリシセットを検索し、見つかった場合には、そのアクセス制御ポリシセットに含まれる各アクセス制御ポリシを展開する。そして、ポリシ評価部３２が、ポリシセット評価部３４により上記のように展開されたアクセス制御ポリシ群を用いて、事例１におけるポリシ評価の方法と同様にして評価を行う。

例えば、図９のアクセス者属性管理テーブル９０の行９７に示されるアクセス者が、「２００３／１２／１（月曜）」に、第三のリソース保護システム３に対して「リソースＩＤ“２２２２”の閲覧」を要求した場合、このアクセスが対象とするリソースＩＤ“２２２２”のリソースの各リソース属性の値「“名称”＝“□□詳細仕様書”、“分類”＝“技術情報”、“機密性”＝“５”、“作成元”＝“研究部”、“登録年月日”＝“２００３／１／１０”」が取得される。そして、ポリシセット管理部３５に格納されるアクセス制御ポリシセットそれぞれに関連付けられたアクセス属性値集合と、取得されたリソース属性の値の集合とを照合した結果、アクセス制御ポリシセット２００が抽出、取得され、そのポリシセット２００に含まれるアクセス制御ポリシが展開され、その適用可否が評価される。

以降のポリシの評価は、事例１と同様にして、適宜必要なアクセス属性値を取得し、該当する変数に代入し、評価することによって実施される。今回の事例では、まず適用条件部の評価により、それぞれポリシＩＤが“００１１−２Ｂ”、“００２１−２Ｂ”であるアクセス制御ポリシが適用不可と判定される。

残るポリシＩＤが“０００１−２Ｂ”、“００３１−２Ｂ”、“００４１−２Ｂ”、“００５１−２Ｂ”であるアクセス制御ポリシのアクセス可否条件部の評価をそれぞれ行うと、ポリシＩＤ“０００１−２Ｂ”のアクセス制御ポリシについて、「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“研究部”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“開発部”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“営業部”）））」から「ＯＲ（（ＥＱ“営業部”“研究部”）（ＥＱ“営業部”“開発部”）（ＥＱ“営業部”“営業部”）））」へ、そして「（ＯＲ（ＦＡＬＳＥ ＦＡＬＳＥ ＴＲＵＥ））」と評価が進み、結果として「真」となる。また、ポリシＩＤ“００３１−２Ｂ”のポリシについて、「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“部長”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“チーフ”）））））」から「（ＯＲ（（ＥＱ“営業部”“研究部”）（ＯＲ（（ＥＱ“部長”“部長”）（ＥＱ“部長”“チーフ”）））））」、そして「（ＯＲ（ＦＡＬＳＥ（ＯＲ（ＴＲＵＥ ＦＡＬＳＥ））））」と評価が進み、結果として「真」となる。ポリシＩＤ“００４１−２Ｂ”のポリシについて、「（ＡＮＤ（（ＮＥＱ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“曜日”）“土”）（ＮＥＱ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“曜日”）“日”）））」から「（ＡＮＤ（（ＮＥＱ“月”“土”）（ＮＥＱ“月”“日”）））」、そして「（ＡＮＤ（ＴＲＵＥ ＴＲＵＥ））」と評価が進み、結果として「真」となり、また、ポリシＩＤ“００５１−２Ｂ”のポリシについて、「（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“年月日”）（ＰＬＵＳ（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“登録年月日”）“２日間”））」から「（ＧＴ“２００３／１２／１”（ＰＬＵＳ“２００３／１／１０”“２日間”））」、そして「（ＧＴ“２００３／１２／１”“２００３／１／１２”）」と評価が進み、結果として「真」となる。

適用可能と判定された全てのアクセス制御ポリシについて、アクセス可否条件部が全て「真」という評価結果を得たため、そのアクセス要求によるアクセス、すなわち「リソースＩＤ“２２２２”の閲覧」が許可される。

なお、本事例において、第三のアクセス制御ポリシセットを第三のリソース保護装置３に格納する際に、第三のアクセス制御ポリシセットが対応するアクセスを規定するものとして、アクセス制御ポリシセットを生成する際のアクセス属性値集合を用いたが、この事例のように移管されるリソースの数が少ない場合には、移管されるリソース、すなわち、アクセス属性値集合に該当したリソースの個々の識別情報を取得し、これを第三のアクセス制御ポリシセットに対応付けて管理するように、リソース保護システムを構成してもよい。そのような場合のポリシ評価の手順は、＜事例１＞におけるそれと同様となる。

＜事例３＞
本事例では、事例２と同様に、第一のリソース保護システム１から、リソース属性“分類”の値が“技術情報”であり、かつリソース属性“機密性”の値が“３以上”すなわち“３もしくは４もしくは５”であるようなリソースを、第四のリソース保護システム４に移動させる事例について説明する。ただし、本事例で用いる第四のリソース保護システム４では、別のセキュリティ機構によって、その第四のリソース保護システム４にアクセスしうるアクセス者が、アクセス者属性“所属部署”の値として“開発部”を持ち、かつ、同じくアクセス者属性“役職”の値として“部長”もしくは“チーフ”を持つアクセス者に限定されているとする。よって、「アクセス者属性“所属部署”＝“開発部”ＡＮＤ、アクセス者属性“役職”＝｛“部長”，“チーフ”｝」を事例２のアクセス属性値集合に追加したものをアクセス属性値集合とする。

このような移管は、例えば、企業内の文書などの全てのリソースを１つのファイルサーバ装置などで管理しアクセス制御していた状況において、アクセストラフィックの分散などの観点から、管理されるリソースのうちの一部を、アクセス者が限定されるファイルサーバ、例えばある特定部署で構築されているＬＡＮ環境からのみアクセスが許されるようなファイルサーバに移動もしくは複製し、かつ、元のサーバ上と一貫性のあるポリシに基づいて、その移管されたリソースへのアクセスを制御したい、といった場合に相当する。

本事例における第四のリソース保護システム４は、上記の第三のリソース保護システム３と同様の機能と構成を有する。また、第四のリソース保護システム４は、図６に示すように、管理用の通信ネットワーク５を介して第一のリソース保護システム１と接続しており、通信ネットワーク５上の通信によってリソースおよびポリシの移管を受ける。また、第四のリソース保護システム４は、“開発部”に所属し、かつ、“役職”が“部長”あるいは“チーフ”である利用者が使用するパーソナルコンピュータ７Ａが接続している通信ネットワーク５Ｂとも接続しており、ネットワーク５Ｂ上の通信によって、パーソナルコンピュータ７Ａから、その移管されたリソースへのアクセス要求を受け付け、そのアクセスの制御を行う。

以下では、まず、本事例における第一のリソース保護システム１への適切なポリシ変換要求「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝ＡＮＤアクセス者属性“所属部署”＝“開発部”ＡＮＤアクセス者属性“役職”＝｛“部長”，“チーフ”｝」に応じた、第一のリソース保護システム１におけるポリシの変換処理について説明し、続いて、このように生成されたアクセス制御ポリシセットとリソースとを格納した第四のリソース保護システム４における、そのリソースへのアクセス要求を判定する際のポリシ評価方法について説明する。

（ポリシの変換）
第一のリソース保護システム１は、「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝ＡＮＤアクセス者属性“所属部署”＝“開発部”ＡＮＤアクセス者属性“役職”＝｛“部長”，“チーフ”｝」を指定したポリシ変換要求を受け取る（図１１のステップＳ１１１）と、これらリソース属性の値の集合をアクセス属性値集合とし、アクセス制御ポリシ管理部２２において管理する全てのアクセス制御ポリシ、すなわち、図１に示すアクセス制御ポリシの一覧１０に含まれる全てのアクセス制御ポリシの集合を第一のアクセス制御ポリシセットとし、ポリシの絞込み（ステップＳ１１３）を行う。

ポリシ絞込み部２６におけるポリシの絞込みでは、図１２の手順により、まず、中身が空の第二のアクセス制御ポリシセットを生成する（ステップＳ１２１）。次に、第一のアクセス制御ポリシセットに含まれるアクセス制御ポリシのそれぞれについて、そのアクセス制御ポリシの適用条件部の各変数に対応するアクセス属性の値がアクセス属性値集合にあればこれを代入して評価し（ステップＳ１２３）、評価結果に応じてステップＳ１２５もしくはステップＳ１２６を実施する。

ステップＳ１２３における処理の詳細は、上述した通りであり、生成される第二のアクセス制御ポリシセットも事例２において得られたものとほぼ同様であるが、本事例では、アクセス者属性“所属部署”の値が“開発部”と指定されていることから、ポリシＩＤ“００５１”のアクセス制御ポリシの適用条件部が、事例２のそれと異なっている。すなわち、そのポリシの適用条件部の変数「（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）」に、入力されたアクセス属性値集合に含まれる「“所属部署”＝“開発部”」が代入されるため、適用条件部は、「（ＮＥＱ“開発部”（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））」となる。

以上のようにして生成された第二のアクセス制御ポリシセットを図２３に示す。

次に、第二のアクセス制御ポリシセットに含まれるアクセス可否条件部の事前評価を行い、第三のアクセス制御ポリシセットの生成（図１１のステップＳ１１４）を行う。

ポリシ事前評価部２７によるポリシの事前評価では、図１３に示す手順により、まず、中身が空の第三のアクセス制御ポリシセットを生成し（ステップＳ１３１）、その後、第二のアクセス制御ポリシセットに含まれる各アクセス制御ポリシのアクセス可否条件部の各変数に、該当するアクセス属性値集合の中のアクセス属性の値を代入して評価する（ステップＳ１３３）。

今回の事例では、第二のアクセス制御ポリシセットに含まれるアクセス制御ポリシのアクセス可否条件部の変数に対応するアクセス属性の値で、入力されたアクセス属性値集合に存在するものは、「アクセス者属性“所属部署”＝“開発部”」と「アクセス者属性“役職”＝｛“部長”，“チーフ”｝」であるので、これらをそれぞれのアクセス可否条件部の該当する変数に代入して評価を行う。なお、複数の取りうる値が指定されているアクセス者属性“役職”についての扱いは、上述の事例２のポリシ絞込みステップにおける、リソース属性“機密性”に関する処理と同様である。ただし、この事例の場合、アクセス者属性“役職”に対応する変数を含む部分述語論理には、そのアクセス者属性“役職”が取りうる値として指定されている｛“部長”，“チーフ”｝のいずれの値が代入されるかによって評価結果が異なるものが存在することから、評価結果として真偽が確定しない述語表現のままとなる部分があることに、注意が必要である。

以下、第二のアクセス制御ポリシセットに含まれるそれぞれのアクセス制御ポリシのアクセス可否判定部の事前評価の様子を見ていく。

まず、ポリシＩＤ“０００１−３Ａ”のポリシについては、「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“研究部”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“開発部”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“営業部”）））」から「ＯＲ（（ＥＱ“開発部”“研究部”）（ＥＱ“開発部”“開発部”）（ＥＱ“開発部”“営業部”）））」へ、そして「（ＯＲ（ＦＡＬＳＥ ＴＲＵＥ ＦＡＬＳＥ））」と評価が進み、結果として「真」が得られる。

ポリシＩＤ“００１１−３Ａ”のポリシについては「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“研究部”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）“開発部”）））」から「（ＯＲ（（ＥＱ“開発部”“研究部”）（ＥＱ“開発部”“開発部”）））」、そして「（ＯＲ（ＦＡＬＳＥ ＴＲＵＥ））」と評価が進み、結果として「真」が得られる。

ポリシＩＤ“００２１−３Ａ”のポリシについては「（ＡＮＤ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“部長”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”“チーフ”）））（ＡＮＤ（（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“０９：００”）（ＬＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“１８：００”）））））」から「（ＡＮＤ（（ＥＱ“開発部”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））（ＯＲ（（ＥＱ｛“部長”，“チーフ”｝“部長”）（ＥＱ｛“部長”，“チーフ”｝“チーフ”）））（ＡＮＤ（（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“０９：００”）（ＬＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“１８：００”）））））」と評価が進むが、ここで、部分述語表現「（ＯＲ（（ＥＱ｛“部長”，“チーフ”｝“部長”）（ＥＱ｛“部長”，“チーフ”｝“チーフ”）））」において、上記のような複数の値をとりえるアクセス者属性が指定されていることから、それぞれについて評価を行って見ると、｛“部長”，“チーフ”｝いずれの値を与えた場合でも、ＯＲ節に含まれる述語表現のいずれかが「真」となることから、ＯＲ節全体として「真」と評価して良い。よって、このポリシからは、「（ＡＮＤ（（ＥＱ“開発部”（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））ＴＲＵＥ（ＡＮＤ（（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“０９：００”）（ＬＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“１８：００”）））））」、すなわち、「（ＡＮＤ（（ＥＱ“開発部”（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））（ＡＮＤ（（ＧＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“０９：００”）（ＬＴ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“時刻”）“１８：００”）））））」という結果を得る。

また、ポリシＩＤ“００３１−３Ａ”のポリシについては、「（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“所属部署”）（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））（ＯＲ（（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“部長”）（ＥＱ（ＳｕｂｊｅｃｔＡｔｔｒｉｂｕｔｅ“役職”）“チーフ”）））））」から「（ＯＲ（（ＥＱ“開発部”（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））（ＯＲ（（ＥＱ｛“部長”，“チーフ”｝“部長”）（ＥＱ｛“部長”，“チーフ”｝“チーフ”）））））」と評価される。ここでのＯＲ節「（ＯＲ（（ＥＱ｛“部長”，“チーフ”｝“部長”）（ＥＱ｛“部長”，“チーフ”｝“チーフ”）））」も、先と同じようにＯＲ節全体として「真」と評価してよいから、「（ＯＲ（（ＥＱ“開発部”（ＲｅｓｏｕｒｃｅＡｔｔｒｉｂｕｔｅ“作成元”））ＴＲＵＥ））」と評価が進み、結果として「真」を得る。

残りのポリシＩＤ“００４１−３Ａ”とポリシＩＤ“００５１−３Ａ”のアクセス制御ポリシについては、変数に対応するアクセス属性の値が定まらないため、評価できない。

以上、第二のアクセス制御ポリシセットに対するポリシ事前評価ステップによるアクセス可否条件部の事前評価を行った結果として生成される第三のアクセス制御ポリシセットは、図２４に示すようになる。

最後に、こにょうにして生成された第三のアクセス制御ポリシセットを、ポリシ変換要求において指定されたアクセス属性値集合、すなわち、「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝」と関連付けて、出力する（図１１のステップＳ１１５）。

以上でポリシの変換処理は終了である。

（ポリシの移行）
次に、このようにして生成された第三のアクセス制御ポリシセットの移行を行う。第三のアクセス制御ポリシセットの移行は、ポリシ変換要求において指定されたアクセス属性値集合、すなわち、「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝ＡＮＤアクセス者属性“所属部署”＝“開発部”ＡＮＤアクセス者属性“役職”＝｛“部長”，“チーフ”｝」を、生成された第三のアクセス制御ポリシセットに関連付けて、第四のリソース保護システム４に格納することによって行われる。ただし、第四のリソース保護システム４にアクセスしうるアクセス者は、別のセキュリティ機構により既に「アクセス者属性“所属部署”＝“開発部”ＡＮＤアクセス者属性“役職”＝｛“部長”，“チーフ”｝」を満たすことが保障されているため、該当する部分を除いたアクセス属性値集合、すなわち「リソース属性“分類”＝“技術情報”ＡＮＤリソース属性“機密性”＝｛“３”，“４”，“５”｝」を関連付けて格納する。さらに、移管されるリソースに関するリソース属性の値を、第一のリソース保護システム１のリソース属性管理部２４から抽出し、第四のリソース保護システム４のリソース属性管理手段２４に設定することによって、ポリシの移行が完了する。

（ポリシの評価）
このようにアクセス制御ポリシの移行が完了した後、第四のリソース保護システム４に移管されたリソースに対するアクセス要求が発生した場合のポリシ評価方法は、事例２のそれとほぼ同様であるが、第四のリソース保護システムに対してアクセスしうるアクセス者がアクセス者属性“所属部署”の値として“開発部”を持つものに限られているため、これらのアクセス者属性については、アクセス者属性取得部を用いずとも確定している点で異なる。

この時の、第四のリソース保護システム４のポリシセット管理部３５に格納されるアクセス制御ポリシセット群を図２５に示す。ここで、アクセス制御ポリシセット２４０は、移管されたリソース群に対応し、上記のポリシ変換によって生成され格納されたアクセス制御ポリシセットである。アクセス制御ポリシセットに付けられたタグ２４１は、アクセス制御ポリシセット２４０に対応するアクセスを、そのアクセスのアクセス属性の値によって示すものである。

第四のリソース保護システム４は、事例２における第三のリソース保護システム３と同様に、アクセス要求を受けると、ポリシセット評価部３４によってそのアクセス要求に該当するアクセス制御ポリシセットをポリシセット管理部３５から取得し、その中の各アクセス制御ポリシを展開する。そして、ポリシ評価部３２が、このように展開されたアクセス制御ポリシ群を用いて、ポリシ評価を行う。

例えば、図９のアクセス者属性管理テーブル９０の行９９に示されるアクセス者が、「２００４／２／２９（日曜）」に、第四のリソース保護システム４に対して、「リソースＩＤ“１２３４”の修正」を要求した場合、そのアクセスが対象とするリソースＩＤ“１２３４”のリソースの各リソース属性の値「“名称”＝“□□概要書”、“分類”＝“技術情報”、“機密性”＝“４”、“作成元”＝“開発部”、“登録年月日”＝“２００２／１１／１”」が取得される。そして、ポリシセット管理部３５に格納されるアクセス制御ポリシセットそれぞれに関連付けられたアクセス属性値集合と、取得されたリソース属性の値の集合とを照合した結果、アクセス制御ポリシセット２４０が抽出、取得され、そのアクセス制御ポリシセット２４０に含まれるアクセス制御ポリシが展開され、その適用可否が評価される。

以降のポリシの評価は、事例２と同様にして、適宜必要なアクセス属性値を取得し、該当する変数に代入し、評価することによって実施される。

今回の事例では、まず適用条件部の評価により、それぞれポリシＩＤが“０００１−３Ｂ”、“００２１−３Ｂ”、“００５１−３Ｂ”であるアクセス制御ポリシが適用不可と判定される。

残るポリシＩＤが“００１１−３Ｂ”、“００３１−３Ｂ”、“００４１−３Ｂ”であるアクセス制御ポリシのアクセス可否条件部の評価をそれぞれ行うと、ポリシＩＤ“００１１−３Ｂ”のポリシは、既に「真」と評価されている。ポリシＩＤ“００３１−３Ｂ”のポリシについても既に「真」と評価されている。最後に、ポリシＩＤ“００４１−３Ｂ”のポリシについては、「（ＡＮＤ（（ＮＥＱ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“曜日”）“土”）（ＮＥＱ（ＣｏｎｔｅｘｔＡｔｔｒｉｂｕｔｅ“曜日”）“日”）））」から「（ＡＮＤ（（ＮＥＱ“日”“土”）（ＮＥＱ“日”“日”）））」へ、そして「（ＡＮＤ（ＴＲＵＥ ＦＡＬＳＥ））」と評価が進み、結果として「偽」となる。

この場合、適用可能と判定されたアクセス制御ポリシのうち１つでアクセス可否条件部が「偽」という評価結果を得たため、そのアクセス要求によるアクセス、すなわち「リソースＩＤ“１２３４”の修正」は拒否されることになる。

以上説明したポリシ変換、ポリシ移行及びポリシ評価は、図７、図１４あるいは図１８にそれぞれ構成が示された各リソース保護システムにおいて実行されるものであるが、これらのリソース保護システムは、それを実現するための計算機プログラムを、サーバ用コンピュータやパーソナルコンピュータなどの計算機に読み込ませ、そのプログラムを実行させることによっても実現できる。ポリシ変換、ポリシ移行あるいはポリシ評価を行うためのプログラムは、ＣＤ−ＲＯＭや不揮発性半導体メモリなどの記録媒体によって、あるいはネットワークを介して、計算機に読み込まれる。そのような計算機は、例えば、ＣＰＵと、プログラムやデータを格納するための補助記憶装置と、主メモリと、キーボードやマウスなどの入力装置と、液晶ディスプレイなどの表示装置と、ＣＤ−ＲＯＭ等の記録媒体を読み取る読み取り装置と、ネットワークに接続するための通信インタフェースとから構成されている。補助記憶装置、主メモリ、入力装置、表示装置、読み取り装置及び通信インタフェースは、いずれもＣＰＵに接続している。この計算機では、ポリシの変換、移行あるいは評価を行うためのプログラムを格納した記録媒体を読み取り装置に装着し、記録媒体からプログラムを読み出して補助記憶装置に格納し、あるいはそのようなプログラムをネットワークを介して補助記憶装置に格納し、そのように格納されたプログラムをＣＰＵが実行することにより、ポリシの変換、移行あるいは評価が行われることになる。

アクセス制御ポリシの設定例を示す図である アクセス制御ポリシで用いられる述語、関数を一覧として示す図である。 アクセス制御ポリシで用いられる変数を一覧として示す図である。 アクセス制御ポリシで用いられる各種アクセス属性を一覧として示す図である。 アクセス制御ポリシで用いられる文字列シンボル管理テーブルを一覧として示す図である。 ポリシ移行システムの構成例を示すブロック図である。 第一のリソース保護システムの構成を示すブロック図である。 リソース属性管理テーブルを示す図である。 アクセス者属性管理テーブルを示す図である。 アクセス者の有する属性証明書の例を示す図である。 本発明に基づくポリシ変換の処理を示すフローチャートである。 ポリシ絞込み部におけるポリシ絞込みステップの処理を示すフローチャートである。 ポリシ事前評価部におけるポリシ事前評価ステップの処理を示すフローチャートである。 第二のリソース保護システムの構成を示すブロック図である。 第二のアクセス制御ポリシセットの一例を示す図である。 第三のアクセス制御ポリシセットの一例を示す図である。 ポリシ管理部内のアクセス制御ポリシセットを示す図である。 第三のリソース保護システムの構成を示すブロック図である。 第二のアクセス制御ポリシセットの別の例を示す図である。 第二のアクセス制御ポリシセットの別の例を示す図である。 ポリシ管理部内のアクセス制御ポリシセットを示す図である。 第三のリソース保護システムのリソース属性管理テーブルの内容の一例を示す図である。 第二のアクセス制御ポリシセットの別の例を示す図である。 第三のアクセス制御ポリシセットの別の例を示す図である。 ポリシ管理部内のアクセス制御ポリシセットを示す図である。

符号の説明

１〜４ リソース保護システム
５，５Ａ，５Ｂ ネットワーク
６，７，７Ａ パーソナルコンピュータ
１０ アクセス制御ポリシの一覧
１１ ポリシＩＤ
１２ 適用条件部
１３ アクセス可否判定部
２０ ポリシ変換要求受信部
２１ 変換後ポリシ送信部
２２ アクセス制御ポリシ管理部
２３ リソース管理部
２４ リソース属性管理部
２５ アクセス者属性取得部
２６ ポリシ絞込み部
２７ ポリシ事前評価部
２８ ポリシ設定部
２９ アクセス属性値集合取得部
３０ アクセス要求受信部
３１ リソース提供部
３２ ポリシ評価部
３３ コンテキスト検出部
３４ ポリシセット評価部
３５ ポリシセット管理部
３６ ポリシセット受入部

Claims (14)

1. アクセスの可否を判定するための規則であるアクセス制御ポリシを変換するポリシ変換方法であって、
   前記アクセス制御ポリシは、発生しうるアクセスを特徴付けるアクセス属性に対応する変数を任意の数だけ含む述語表現であって、あるアクセスのアクセス属性の値を該当するそれぞれの変数に代入して評価することによって当該アクセスへの前記アクセス制御ポリシの適用可否を示す値が得られる適用条件部と、アクセス属性に対応する変数を任意の数だけ含む述語表現であって、あるアクセスの全てのアクセス属性の値を、該当するそれぞれの変数に代入して評価すると、当該アクセスの可否を示す値が得られるアクセス可否条件部と、から構成され、
   １ないし複数の前記アクセス制御ポリシから構成される第一のアクセス制御ポリシセットと、１ないし複数のアクセス属性の値を含むアクセス属性値集合とを入力として受け取る入力ステップと、
   前記アクセス属性値集合に含まれる各アクセス属性の値を、前記第一のアクセス制御ポリシセットを構成するそれぞれのアクセス制御ポリシの前記適用条件部の該当する変数に代入して前記適用条件部をそれぞれ評価して第一の評価結果を得る第一の評価ステップと、
   前記第一の評価結果として適用不可を示す値が得られたアクセス制御ポリシを前記第一のアクセス制御ポリシセットの中から除いた残りの前記アクセス制御ポリシそれぞれについて、前記適用条件部を前記第一の評価結果で置き換えたアクセス制御ポリシを得て、該得られたアクセス制御ポリシから構成される第二のアクセス制御ポリシセットを生成して出力する第一の生成ステップと、
   前記アクセス属性値集合に含まれる各アクセス属性の値を、前記第一の生成ステップで生成された前記第二のアクセス制御ポリシセットを構成するそれぞれのアクセス制御ポリシのアクセス可否条件部の該当する変数に代入して当該アクセス可否条件部をそれぞれ評価して第二の評価結果を得る第二の評価ステップと、
   前記第二のアクセス制御ポリシセットを構成するアクセス制御ポリシそれぞれについて、前記アクセス可否条件部を前記第二の評価結果に置き換えたアクセス制御ポリシを得て、該得られたアクセス制御ポリシから構成される第三のアクセス制御ポリシセットを生成して出力する第二の生成ステップと、
   前記アクセス属性値集合と前記第三のアクセス制御ポリシセットとを対にして出力する出力ステップと、
   を有するポリシ変換方法。
2. 前記第一の評価ステップは、当該第一の評価ステップにおいて変数の値が必要なだけ代入されなかったために具体値が確定しなかった場合には、可能な限り評価を施した後の述語表現を得て、該得られた述語表現を前記第一の評価結果とするステップを含み、
   前記第二の評価ステップは、当該第二の評価ステップにおいて変数の値が必要なだけ代入されなかったために具体値が確定しなかった場合には、可能な限り評価を施した後の述語表現を得て、該得られた述語表現を前記第二の評価結果とするステップを含む、請求項１に記載のポリシ変換方法。
3. 前記第一の生成ステップは、生成した前記第二のアクセス制御ポリシセットに含まれるアクセス制御ポリシの各適用条件部を比較し、適用可否を示す値もしくは述語表現が一致するアクセス制御ポリシが複数あった場合に、前記適用条件部が一致したアクセス制御ポリシの集合それぞれについて、当該一致した適用可否を示す値もしくは述語表現を適用条件部に、当該アクセス制御ポリシの集合に含まれるアクセス制御ポリシそれぞれのアクセス可否条件部の論理積をアクセス可否条件部に持つアクセス制御ポリシに併合した後に、前記第二のアクセス制御ポリシセットを出力するステップである、請求項２に記載のポリシ変換方法。
4. リソースの識別情報を入力として受け取り、該リソースのリソース属性の値を取得して出力するリソース属性値取得ステップをさらに有し、
   前記第一のアクセス制御ポリシセットと前記リソースの識別情報とを入力として受け取ると、前記リソース属性値取得ステップにおいて、当該リソース識別情報に対応するリソースの１ないし複数のリソース属性の値を取得し、該取得された１ないし複数のリソース属性の値の集合を前記第一の評価ステップ及び前記第二の評価ステップにおいて前記アクセス属性値集合として用い、
   前記出力ステップにおいて、前記リソースの識別情報と前記第三のアクセス制御ポリシセットとを対にして出力する、請求項１ないし３のいずれか１項に記載のポリシ変換方法。
5. 前記アクセス制御ポリシ内の述語表現において変数として使用される前記アクセス属性のうち、実際のアクセス要求が発生した際の最新の値を取得して評価すべき前記アクセス属性の種別もしくは識別情報の列挙である実行時評価アクセス属性リストを設定する実行時評価アクセス属性リスト設定ステップをさらに有し、
   前記第一の評価ステップ及び前記第二の評価ステップにおいて、それぞれ、入力された前記アクセス属性値集合に含まれるアクセス属性から、前記実行時評価アクセス属性リストに含まれるアクセス属性を除外したアクセス属性値の集合を用いて、前記第一の評価結果及び前記第二の評価結果が求められる、請求項１ないし４のいずれか１項に記載のポリシ変換方法。
6. 前記リソース属性値取得ステップは、前記第一のアクセス制御ポリシセットに含まれる各アクセス制御ポリシの適用条件部およびアクセス可否条件部の評価に必要な全てのリソース属性のうち、前記実行時評価アクセス属性リストに含まれるアクセス属性を除外したリソース属性の値を取得するステップである、請求項１ないし５のいずれか１項に記載のポリシ変換方法。
7. 第一のアクセス制御装置で管理される１ないし複数のリソースあるいはその複製を第二のアクセス制御装置に格納する際に、前記格納されたリソースへのアクセスの可否を判定するためのアクセス制御ポリシを生成し、前記第二のアクセス制御装置に設定する方法であって、
   前記第一のアクセス制御装置において、当該第一のアクセス制御装置が使用するアクセス制御ポリシの集合と、前記第二のアクセス制御装置に格納されるべきリソースについての前記第一のアクセス制御装置におけるリソース属性の値の集合を入力として、請求項１ないし６のいずれか１項に記載のポリシ変換方法により前記第三のアクセス制御ポリシセットを生成し、該生成された第三のアクセス制御ポリシセットと、前記第二のアクセス制御装置に格納される、前記リソースの前記第一のアクセス制御装置におけるリソース属性の値の集合に対応する情報を、前記第二のアクセス制御装置に格納される該リソースに対応付けて設定する、ポリシ移行方法。
8. 第一のアクセス制御装置で管理される１ないし複数のリソースあるいはその複製を第二のアクセス制御装置に格納する際に、前記格納されたリソースへのアクセスの可否を判定するためのアクセス制御ポリシを生成し、前記第二のアクセス制御装置に設定する方法であって、
   前記第一のアクセス制御装置において、当該第一のアクセス制御装置が使用するアクセス制御ポリシの集合と、前記第二のアクセス制御装置に格納されるべきリソースについての前記第一のアクセス制御装置における識別情報を入力として、請求項１ないし６のいずれか１項に記載のポリシ変換方法により前記第三のアクセス制御ポリシセットを生成し、該生成された第三のアクセス制御ポリシセットを、前記第二のアクセス制御装置に格納されるリソースに対応付けて設定する、ポリシ移行方法。
9. 請求項７または８に記載のポリシ移行方法であって、前記ポリシ変換方法により前記第三のアクセス制御ポリシセットを生成する際に、少なくとも、前記第二のアクセス制御装置では取得できない１ないし複数の前記アクセス属性については、それぞれの前記アクセス属性の値を取得し、当該アクセス属性にそれぞれ対応する変数に代入して該変数を含む述語表現の評価を済ませて前記第三のアクセス制御ポリシセットを生成し、前記第三のアクセス制御ポリシセットを前記第二のアクセス制御装置に格納される前記リソースに対応付けて格納する、ポリシ移行方法。
10. 請求項１ないし５のいずれか１項に記載のポリシ変換方法に基づき生成された１ないし複数の前記アクセス制御ポリシセットに基づいてリソースへのアクセス可否を判定するポリシ評価方法であって、
    保持する１ないし複数の前記アクセス制御ポリシセットの中から、受け取ったアクセス要求に対応する１ないし複数の前記アクセス制御ポリシセットを抽出する適用アクセス制御ポリシセット特定ステップと、
    １ないし複数のアクセス制御ポリシセットに含まれる全てのアクセス制御ポリシそれぞれの適用条件部の評価に必要なアクセス属性の値を全て取得し、該取得したアクセス属性の値を、前記アクセス制御ポリシそれぞれの適用条件部の該当する変数に代入して当該適用条件部を評価し、適用可否を示す値を取得し、適用可を示す値が得られた１ないし複数のアクセス制御ポリシを抽出する適用アクセス制御ポリシ特定ステップと、
    １ないし複数のアクセス制御ポリシそれぞれのアクセス可否条件部の評価に必要なアクセス属性の値を全て取得し、該取得したアクセス属性の値を、前記アクセス制御ポリシそれぞれのアクセス可否条件部の該当する変数に代入して当該アクセス可否条件部を評価し、アクセスの可否を示す値を取得するポリシ評価ステップと、
    を有し、
    アクセスの要求を受け取ると、前記適用アクセス制御ポリシセット特定ステップにおいて、保持しているアクセス制御ポリシセットの中から当該アクセス要求に対応する１ないし複数のアクセス制御ポリシセットを抽出し、当該適用アクセス制御ポリシセット特定ステップで抽出された１ないし複数のアクセス制御ポリシセットに含まれるアクセス制御ポリシの中から当該アクセス要求に適用すべき１ないし複数のアクセス制御ポリシを抽出し、
    前記ポリシ評価ステップにおいて前記適用アクセス制御ポリシ特定ステップで抽出された１ないし複数のアクセス制御ポリシそれぞれのアクセス可否条件部の評価結果を取得し、全ての評価結果がアクセス可を示す値であった場合にのみ、当該アクセス要求によるアクセスを許可と判定する、ポリシ評価方法。
11. 前記適用アクセス制御ポリシセット特定ステップは、アクセスの要求が指し示すアクセスのアクセス属性の値を取得して、該取得したアクセス属性の値が、保持する１ないし複数の前記アクセス制御ポリシセットそれぞれに対応付けられたアクセス属性値集合に含まれるか比較することにより、当該アクセス要求に対応する１ないし複数の前記アクセス制御ポリシセットを抽出するステップを有する、請求項１０に記載のポリシ評価方法。
12. 前記適用アクセス制御ポリシセット特定ステップは、アクセスの要求がアクセス対象として指し示すリソースの識別情報を取得し、保持する１ないし複数の前記アクセス制御ポリシセットの中から、該取得したリソースの識別情報が対応付けられている１ないし複数のアクセス制御ポリシセットを抽出するステップを有する、請求項１０または１１に記載のポリシ評価方法。
13. 前記適用アクセス制御ポリシセット特定ステップは、アクセスを要求したアクセス者のアクセス者属性の値を取得して、該取得したアクセス者属性の値が、保持する１ないし複数の前記アクセス制御ポリシセットそれぞれに対応付けられたアクセス属性値集合に含まれるか比較することにより、該アクセス要求に対応する１ないし複数の前記アクセス制御ポリシセットを抽出するステップを有する、請求項９ないし１１のいずれか１項に記載のポリシ評価方法。
14. 前記適用アクセス制御ポリシセット特定ステップ、前記適用アクセス制御ポリシ特定ステップおよび前記ポリシ評価ステップにおいて使用する前記アクセス者属性の値が、アクセス者が所有する１ないし複数の属性証明書を用いた属性認証によって取得される、請求項１０ないし１３のいずれか１項に記載のポリシ変換方法。

Images