JP2005338935A - 社内情報システム管理装置及び社内情報システム管理方法 - Google Patents

Abstract

【課題】 コンテンツのアクセス制御機能が必要な社内情報システムを運用管理するディレクトリ運用管理方式に係り、「組織情報」から「アクセス権グループ情報」を自動生成すると共に、組織変更に追従しながら「アクセス権グループ情報」を維持管理することを課題とする。
【解決手段】 論理組織情報入力部２１は、組織情報記憶部１から、組織毎に論理組織情報を読み込み、アクセス権グループ判定部２２は、読み込んだ論理組織情報に含まれる階層関係に基づいて、当該組織から社内情報システムへのアクセスの制御に必要なアクセス権情報を判定し、当該組織の階層関係に従ってアクセス権グループ情報記憶部３に記憶させる。
【選択図】 図２

Description

この発明は、コンテンツのアクセス制御機能が必要な社内情報システムにおいて、「アクセス権グループ情報」を「組織情報」から自動生成すると共に、組織変更に追従しながら「アクセス権グループ情報」を維持管理するディレクトリ運用管理方式に関する。

コンテンツのアクセス制御が必要な従来の社内情報システムでは、会社の組織変更が発生する度に、システム管理者が手作業で「アクセス権グループ情報」の再設定の更新作業をしている。

従来のような手作業による更新作業では、組織規模が大きくなればなる程、更新作業に手間が掛かり、システムの運用管理上の課題となっている。また、組織情報の変更に対応し、組織情報に基いた「アクセス権グループ情報」の定義を新組織情報に併せて再定義する必要があるが、旧組織用に定義したデータを新組織に自動的に再編成する事は困難であった。
特開平１１−０５３２４３号公報 特開平１０−０３１６９９号公報

この発明は、上述のような課題を解決するためになされたもので、組織情報の変更に追従した「アクセス権グループ情報」の維持管理を自動化することを目的とし、次の特長による利便性を有する。
（１）「組織情報」に基く「アクセス権グループ情報」を自動生成する。
（２）「組織情報」から自動生成できない「アクセス権グループ情報」は、専用のディレクトリ編集ツールで編集する。
（３）専用のディレクトリ編集ツールで定義する定義データは、スクリプト定義ファイルに自動保存され、このスクリプト定義ファイルを使って、定義データの再投入ができる。
（４）スクリプト定義ファイルを使って定義データの再投入する際に、組織変更によって編集データの適用先が消滅している場合には、スクリプト定義ファイルに保存された情報を元に、新組織に合わせた適用先の候補を列挙し、新組織への適用作業を自動化する。
（５）列挙された適用先候補に対し、システム管理者が適用先の決定を判断する。

本発明に係る社内情報システム管理装置は、
アクセス権により組織からコンテンツに対するアクセスの制御を行う社内情報システムを管理する社内情報システム管理装置であって、以下の要素を有することを特徴とする
（１）組織毎に、少なくとも当該組織の階層関係を含む論理組織情報を記憶する組織情報記憶部
（２）組織情報記憶部から、組織毎に論理組織情報を読み込む論理組織情報入力部
（３）組織毎に、読み込んだ論理組織情報に含まれる階層関係に基づいて、当該組織から社内情報システムへのアクセスの制御に必要なアクセス権情報を判定するアクセス権グループ判定部
（４）判定した組織毎のアクセス権情報を、当該組織の階層関係に従って記憶するアクセス権グループ情報記憶部。

本発明においては、組織情報の変更に追従した「アクセス権グループ情報」の維持管理を自動化することできる。また、自動化できない設定についても、適用先の候補を自動的に抽出し、選択による操作処理の利便性を図ることができる。

実施の形態１．
以下本発明を図面に示す実施例に基づいて説明する。図１は、この発明のディレクトリ運用管理システムの運用管理の流れを示す図である。

図１に示すように、自動生成ツール（社内情報システム管理装置の一部）により、社内共通ディレクトリの組織情報から、組織情報に基くアクセス権グループ情報を自動生成している。アクセス権グループ情報は、自動生成されるだけではなく、ディレクトリ編集ツール（社内情報システム管理装置の一部）により、組織情報から自動生成できない追加情報の定義を行うことができる。

まず、自動生成ツールにより、組織情報に基くアクセス権グループ情報を自動生成する動作について説明する。図２は、自動生成に係る構成を示す図である。

組織情報記憶部１は、組織毎に、少なくとも当該組織の階層関係を含む論理組織情報を記憶している。論理組織情報入力部２１は、組織情報記憶部１から、組織毎に論理組織情報を読み込むように構成されている。アクセス権グループ判定部２２は、組織毎に、読み込んだ論理組織情報に含まれる階層関係に基づいて、当該組織から社内情報システムへのアクセスの制御に必要なアクセス権情報を判定するように構成されている。アクセス権グループ情報記憶部３は、判定した組織毎のアクセス権情報を、当該組織の階層関係に従って記憶するように構成されている。

図３は、自動生成処理フローを示す図である。論理組織情報入力部２１が読み込む論理組織ごとに、以下の処理を繰り返す（Ｓ３０１）。論理組織情報入力部２１により、論理組織に関する情報を取得し（Ｓ３０２）、アクセス権グループ判定部２２により、当該組織に関するアクセス権を判定する（Ｓ３０３）。そして、アクセス権グループ情報記憶部３に判定したアクセス権情報を記憶する（Ｓ３０４）。すべての論理組織について処理した時点で終了する（Ｓ３０５）。

次に、ディレクトリ編集ツールにより、組織情報から自動生成できない追加情報を定義する編集の動作について説明する。図４は、編集に係る構成を示す図である。

定義データ入力部４１は、アクセス権グループ判定部２２によりアクセス権情報を判定できない組織について、アクセス権情報を特定する情報を含む定義データを入力するように操作者に促し、操作者の操作により定義データを入力するようにを構成されている。アクセス権情報登録部４２は、入力した定義データに基づいてアクセス権情報を特定して、当該組織のアクセス権情報としてアクセス権グループ情報記憶部３に記憶させるように構成されている。スクリプト定義データ登録部４３は、定義データ入力部４１により入力した定義データをスクリプト定義データとしてスクリプト定義ファイル記憶部５に記憶させるように構成されている。スクリプト定義ファイル記憶部５は、組織毎のスクリプト定義データを記憶するように構成されている。

図５は、編集の処理フローを示す図である。定義データ入力部４１により、定義データを入力し（Ｓ５０１）、アクセス権情報登録部４２により、アクセス権情報を登録する（Ｓ５０２）。また、スクリプト定義データ登録部４３により、スクリプト定義データを登録する（Ｓ５０３）。すべての定義データを入力した時点で終了する（Ｓ５０４）。

ディレクトリ編集ツールにより追加される定義データは、図７に示すスクリプト定義ファイルのデータ構成で保存される。このスクリプト定義ファイルは、後述するように、ディレクトリ編集ツールを介して再度アクセス権グループ情報に投入することができる。

次に、組織変更に伴いアクセス権を更新する場合について説明する。図６は、社内共通ディレクトリの組織情報に変更があった場合の運用管理の流れを示す図である。

図６に示すように、前述と同様に社内共通ディレクトリの組織情報から、組織情報に基くアクセス権グループ情報を自動生成する処理を行い、更新された組織情報から、新しいアクセス権グループ情報を自動生成する。更に、新しい組織情報から自動生成されたアクセス権グループ情報に対して、前述の処理で自動保存したスクリプト定義ファイルの情報を、編集ツールによりアクセス権グループ情報に再投入する。

この場合、新組織情報から「総務課」の組織構造が削除されているため、旧組織情報向けに作成したスクリプト定義情報を再投入すると、適用先が存在しない状態が発生する。この時、編集ツールは旧組織の「総務課」が存在しない旨を警告するメッセージと、スクリプト定義ファイルの情報に保存された「適用先（名前）」「組織論理ＩＤ」「組織長名」から、新組織構造におけるデータの適用先候補を再投入アルゴリズムに則ってリストアップする。

編集ツールの使用者は、リストアップされた適用先候補のリストの中から、候補を一つ選択し［選択］ボタンをクリックすると、選択された適用先候補を新しい適用先としてデータを再投入する。適切な提供先が無く、定義を破棄する場合には［破棄］ボタンをクリックする。このように、一度追加定義したアクセス権グループ情報を、再投入可能なスクリプト定義ファイルとして保存することで、当該データ再利用性を高めることができるようになる。

図７は、スクリプト定義ファイルのデータ構造の例を示している。これらの定義データのうち、「適用先（名前）」、「組織論理ＩＤ」、及び「組織長名」のデータが、組織情報の変更によって適用先が消滅した時に、適用先候補を探し出すためのキーとなる。「適用先（名前）」は、適用する先となる当該組織の上位組織を特定する情報である。「組織論理ＩＤ」は、階層関係を含めて当該組織を特定する情報である。「組織長名」は、当該組織の組織長の氏名である。

定義されている順番に優先順位が高い。つまり、「適用先（名前）」、「組織論理ＩＤ」、「組織長名」の順に優先される。新組織に同一の「適用先（名前）」が存在する場合には適用先候補リストに設定する。「組織論理ＩＤ」は、組織名称が変更された場合でも、組織の役割が変わらない場合に該当組織を候補に挙げるためのキーであり、図８で示すデータ構造になっている。「組織長名」は、組織名や組織の役割が変わった場合にも旧組織長を中心に旧組織構成の人員がそのまま異動するケースを想定した検索キーとなっている。

図８は、適用先候補を検索するために必要なキー情報の内、組織論理ＩＤの構成を示している。「適用先（名前）」は、旧適用先のから新適用先を推測する上で一番直感的な情報であるが、組織情報の改訂によってその名称が変わる事が多く、この情報だけで適用先候補をリストアップするには不十分である。そこで、名称とは別に組織単位が持つ役割を「論理組織単位ＩＤ」と「組織階層ＩＤ」によって論理的に定義し、この論理情報を元に適用先候補をリストアップする機能を有する。

ここで、組織情報が変更され、スクリプト定義ファイルの情報をアクセス権グループに再投入する場合の動作について詳述する。図９は、再投入に係る構成を示す図である。

スクリプト定義データ入力部４４は、アクセス権グループ判定部２２によりアクセス権情報を判定できない組織について、当該組織のスクリプト定義データをスクリプト定義ファイル記憶部５から読み出すように構成されている。適合判定部４５は、アクセス権グループ情報記憶部３で記憶している階層関係に従って、スクリプト定義データによるアクセス権情報を適用する先となる上位組織が存在するか否かを判定するように構成されている。適用先推測部４６は、適合判定部４５により上記適用する先となる上位組織が存在しないと判定した場合に、スクリプト定義データに含まれる適用先情報、組織論理ＩＤ、及び組織長名に基づいて、適用先の候補のリストである適用先候補リストを生成するように構成されている。適用先選択部４７は、適用先候補リストを出力し、適用先候補リストからの適用先の選択を操作者に促し、適用先の選択を入力するように構成されている。アクセス権情報登録部４８は、スクリプト定義データに基づいてアクセス権情報を特定して、当該アクセス権情報を、選択された適用先の下位の組織のアクセス権情報としてアクセス権グループ情報記憶部３に記憶させるように構成されている。

続いて、処理について説明する。図１０は、スクリプト定義ファイルの情報を、ディレクトリ編集ツールを介して再度アクセス権グループに再投入する際の処理フローを示す図である。

定義データ入力部４１により、スクリプト定義ファイル記憶部５から、定義データを１レコード取り出す（Ｓ１００１）。スクリプト定義ファイルをレコードの有無をチェックし（Ｓ１００２）、処理すべきレコードが無くなったら終了する（Ｓ１００３）。

適合判定部４５により、スクリプト定義ファイルから読み出したレコードの情報を元にして、再投入データを生成し（Ｓ１００４）、生成したデータを適用先に再投入する（Ｓ１００５）。適用先が存在し、投入が成功した場合は、Ｓ１００１に戻る（Ｓ１００６）。

適用先が存在せずに、投入が失敗した場合は、入力したレコードに含まれる「適用先（名前）」「論理組織ＩＤ」「組織長名」をキーにして、適用先候補を推測する（Ｓ１００７）。その為に適用先候補を推測する推測アルゴリズム（適用先推測処理）Ｓ１００９〜Ｓ１０１６を呼び出す（Ｓ１００８）。

図１１は、推測アルゴリズムを示す図である。適用先推測部４６により、以下の処理を行う。まず、優先順位（高）の「適用先（名前）」をキーにして、新組織情報に当該組織名があるか検索し（Ｓ１００９）、該当する組織がある場合には、適用先候補として適用先候補リストに情報を追加する（Ｓ１０１０）。

次に、優先順位（中の上）の「論理組織ＩＤ」をキーにして、新組織情報に当該組織があるか検索し（Ｓ１０１１）、該当する組織がある場合には、適用先候補として適用先候補リストに情報を追加する（Ｓ１０１２）。

続いて、優先順位（中の下）の「論理組織ＩＤ」の組織階層をマスク（ワイルドカード）した情報をキーにして、新組織情報に該当する組織があるか検索し（Ｓ１０１３）、該当する組織がある場合には、適用先候補として適用先候補リストに情報を追加する（Ｓ１０１４）。

最後に、優先順位（低）の「組織長名」をキーにして、新組織情報に該当する組織があるか検索し（Ｓ１０１５）、該当する組織がある場合には、適用先候補として適用先候補リストに情報を追加する（Ｓ１０１６）。

図１０に示すように、推測アルゴリズムを終了すると、適用先選択部４７により、検索された適用先候補リストを表示して、ディレクトリ編集ツールの作業者が適用先を選択する（Ｓ１０１７）。新適用先を選択しなかった場合には、定義を破棄してＳ１００１に戻る（Ｓ１０１８）。選択した場合には、新適用先に生成したデータを投入してＳ１００１に戻る（Ｓ１０１９）。

実施の形態２．
上述の形態では、適用先候補リストをタイトルとして表示したが、適用先候補リストを階層関係に従って表示することも有効である。

この形態では、適用先選択部４７は、Ｓ１０１７で、図１２に示すように適用先候補リストを階層関係に従って表示して、適用先の選択を促す。

これにより、適用先との階層関係の認識を容易にすることができる。

上述のように、この発明に係るディレクトリ運用管理方式は、「組織情報」に基く「アクセス権グループ情報」を、社内共通ディレクトリで管理される「組織情報」から自動生成する機能と、「組織情報」から自動生成できない「アクセス権グループ情報」については、専用のディレクトリ編集ツールを使ってグラフィカルに定義する機能を有する。この時、ディレクトリ編集ツールは一度入力した定義データを再投入できるように、定義したデータをスクリプト定義ファイルとして自動保存する。このスクリプト定義ファイルの情報を「組織情報」に変更があった時に、再投入することで「アクセス権グループ情報」の再設定作業が自動的に行うことができる。

但し、大規模な組織変更が行われる場合には、スクリプト定義ファイルに記録されているデータの適用先自体が消滅している可能性があるため、単純な再投入操作だけでは対応できないケースが存在する。そこで、本スクリプト定義ファイルには、定義データの適用先が新組織上に見つからなかった場合に、新組織上での適用先を推測するために必要なキーワードを優先順位をつけて予め設定しておき、このキーワードを元に新しい組織上の適用先を推測し、その候補を列挙する機能を提供する。

この機能は、グラフィカルユーザインターフェースのディレクトリ編集ツールとして提供され、推測して列挙された新組織の候補の中から、最終的な提供先が確定できるインターフェースを有する。

ディレクトリ運用管理方式を実現する社内情報システム管理装置は、コンピュータであり、各要素はプログラムにより処理を実行することができる。また、プログラムを記憶媒体に記憶させ、記憶媒体からコンピュータに読み取られるようにすることができる。

組織情報に基くアクセス権グループ情報の自動生成の概念を示す図である。 自動生成に係る構成を示す図である。 自動生成処理フローを示す図である。 編集に係る構成を示す図である。 編集の処理フローを示す図である。 組織情報に変更があった場合の運用管理の概念を示す図である。 スクリプト定義ファイルのデータ構成を示す図である。 組織論理ＩＤのデータ構造を示す図である。 再投入に係る構成を示す図である。 再投入の処理フローを示す図である。 推測アルゴリズムを示す図である。 実施の形態２に係る表示例を示す図である。

符号の説明

１ 組織情報記憶部、２ 自動生成ツール、３ アクセス権グループ情報記憶部、４ 編集ツール、５ スクリプト定義ファイル記憶部、２１ 論理組織情報入力部、２２ アクセス権グループ判定部、４１ 定義データ入力部、４２ アクセス権情報登録部、４３ スクリプト定義データ登録部、４４ スクリプト定義データ入力部、４５ 適合判定部、４６ 適用先推測部、４７ 適用先選択部、４８ アクセス権情報登録部。

Claims (7)

1. アクセス権により組織からコンテンツに対するアクセスの制御を行う社内情報システムを管理する社内情報システム管理装置であって、以下の要素を有することを特徴とする社内情報システム管理装置
   （１）組織毎に、少なくとも当該組織の階層関係を含む論理組織情報を記憶する組織情報記憶部
   （２）組織情報記憶部から、組織毎に論理組織情報を読み込む論理組織情報入力部
   （３）組織毎に、読み込んだ論理組織情報に含まれる階層関係に基づいて、当該組織から社内情報システムへのアクセスの制御に必要なアクセス権情報を判定するアクセス権グループ判定部
   （４）判定した組織毎のアクセス権情報を、当該組織の階層関係に従って記憶するアクセス権グループ情報記憶部。
2. 社内情報システム管理装置は、更に、
   アクセス権グループ判定部によりアクセス権情報を判定できない組織について、アクセス権情報を特定する情報を含む定義データを入力する定義データ入力部と、
   入力した定義データに基づいてアクセス権情報を特定して、当該組織のアクセス権情報としてアクセス権グループ情報記憶部に記憶させるアクセス権情報登録部とを有することを特徴とする請求項１記載の社内情報システム管理装置。
3. 社内情報システム管理装置は、更に、
   定義データ入力部により入力した定義データをスクリプト定義データとしてスクリプト定義ファイル記憶部に記憶させるスクリプト定義データ登録部と、
   組織毎のスクリプト定義データを記憶するスクリプト定義ファイル記憶部と、
   アクセス権グループ判定部によりアクセス権情報を判定できない組織について、当該組織のスクリプト定義データをスクリプト定義ファイル記憶部から読み出すスクリプト定義データ入力部と、
   アクセス権グループ情報記憶部で記憶している階層関係に従って、スクリプト定義データによるアクセス権情報を適用する先となる上位組織が存在するか否かを判定する適合判定部とを有することを特徴とする請求項２記載の社内情報システム管理装置。
4. スクリプト定義データは、適用する先となる当該組織の上位組織を特定する適用先情報と、当該組織を階層関係を含めて特定する組織論理ＩＤと、当該組織の組織長の氏名である組織長名とのうち少なくとも一つを含み、
   社内情報システム管理装置は、更に、
   適合判定部により上記適用する先となる上位組織が存在しないと判定した場合に、スクリプト定義データに含まれる上記適用先情報、上記組織論理ＩＤ、上記組織長名のうち少なくとも一つに基づいて、適用先の候補のリストである適用先候補リストを生成する適用先推測部と、
   適用先候補リストを出力し、適用先候補リストからの適用先の選択を操作者に促し、適用先の選択を入力する適用先選択部と、
   スクリプト定義データに基づいてアクセス権情報を特定して、当該アクセス権情報を、選択された適用先の下位の組織のアクセス権情報としてアクセス権グループ情報記憶部に記憶させるアクセス権情報登録部とを有することを特徴とする請求項３記載の社内情報システム管理装置。
5. 適用先選択部は、適用先候補リストを階層関係に従って表示することを特徴とする請求項４に記載の社内情報システム管理装置。
6. アクセス権により組織からコンテンツに対するアクセスの制御を行う社内情報システムを管理する社内情報システム管理装置による社内情報システム管理方法であって、以下の要素を有することを特徴とする社内情報システム管理方法
   （１）組織毎に、少なくとも当該組織の階層関係を含む論理組織情報を読み込む工程
   （２）組織毎に、読み込んだ論理組織情報に含まれる階層関係に基づいて、当該組織から社内情報システムへのアクセスの制御に必要なアクセス権情報を判定する工程
   （３）判定した組織毎のアクセス権情報を、当該組織の階層関係に従って記憶する工程。
7. アクセス権により組織からコンテンツに対するアクセスの制御を行う社内情報システムを管理する社内情報システム管理装置となるコンピュータに、以下の手順を実行させるためのプログラム
   （１）組織毎に、少なくとも当該組織の階層関係を含む論理組織情報を読み込む手順
   （２）組織毎に、読み込んだ論理組織情報に含まれる階層関係に基づいて、当該組織から社内情報システムへのアクセスの制御に必要なアクセス権情報を判定する手順
   （３）判定した組織毎のアクセス権情報を、当該組織の階層関係に従って記憶する手順。

Images