JP2007065917A - アクセス制御方法、アクセス制御リスト管理装置、アクセス制御装置、アクセス制御システム、アクセス制御プログラム、及び記憶媒体 - Google Patents

Abstract

【課題】 アクセス可否の判別処理に必要な処理負荷を軽減させることができるアクセス制御方法を提供する。
【解決手段】 アクセス制御システム１０００は、プリンタ２００及びＰＣ３００を備える。ＰＣ３００は、アクセス制御リスト２０１から許可リスト２０３及び禁止リスト２０４を生成し、許可リスト２０３及び禁止リスト２０４のうち項目数が少ない方のリストをＰＣ３００のアクセス制御トークンとして採用する。プリンタ２００は、採用されたアクセス制御トークンに基づいてユーザのＰＣ３００を介したアクセスを許可又は禁止する制御を行う。
【選択図】 図４

Description

本発明は、アクセス制御方法、アクセス制御リスト管理装置、アクセス制御装置、アクセス制御システム、アクセス制御プログラム、及び記憶媒体に関する。特に、アクセスに関連する複数の項目に該アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストに従って複数の機器の間のアクセスを制御するアクセス制御方法、アクセス制御リスト管理装置、アクセス制御装置、アクセス制御システム、アクセス制御プログラム、及び記憶媒体に関する。

複数の機器が互いに接続されたコンピュータシステムには、複数の機器の間のアクセスを制御するためのアクセス制御機能を有するものがある（以下、このようなシステムを「アクセス制御システム」という）。

上記アクセス制御システムにおいては、アクセスされる第１の機器に上記アクセス制御機能を付与することが可能である。このアクセス制御システムの第１の例では、第１の機器として複数のファイルを格納可能な記憶装置が設けられ、第１の機器にアクセスする第２の機器としてＰＣが設けられている。なお、記憶装置はＰＣの内部に設けられていてもよい。記憶装置は、所定のファイルシステムを採用することによって複数のファイルや各ファイルのディレクトリを管理している。このアクセス制御システムにおいては、上記アクセス制御機能によって、ファイルシステムで管理されている所定のディレクトリや所定のファイルへのアクセス（利用）に関連する項目、例えば新規作成、変更、削除、実行の項目に対して、第２の機器からのアクセスの許可又は禁止（以下、「アクセス可否」という）を設定することができる。

また、アクセスされる第１の機器に上記アクセス制御機能が付与されたアクセス制御システムの第２の例としては、第１の機器としてプリンタが設けられ、第２の機器としてＰＣが設けられた印刷システムがある。この印刷システムにおけるアクセスに関連する項目としては、印刷処理の際に設定可能な項目「実行」，「カラー印刷」，「両面印刷」，「キャンセル」などがある。ところで、プリンタは、アクセス制御リストに基づいたアクセス可否の判別処理などの複雑な処理を実行するためのＣＰＵやメモリなどのコンピュータ資源に乏しい場合が多い。

さらに、上述したようなアクセス制御システムにおいては、第３の機器としてのサーバに上記アクセス制御機能を付与することが可能である。サーバはコンピュータ資源がプリンタ等の周辺機器よりも充実しているので、複雑な処理を実行することが可能である。例えば、ディレクトリサービスやデータベースなどを使ってアクセス制御リストの管理対象（ユーザ）を一元管理することによって、アクセス制御を各ユーザに委ねることなく、アクセス制御を組織のポリシーとして規定することができる。この例としては、サーバに上述したような全ての項目に対してアクセス可否をリスト的に記述したアクセス制御リストを格納した情報処理システムが提案されている（例えば、特許文献１参照。）。この情報処理システムにおいて、ユーザが第２の機器からサーバを介して第１の機器にアクセスするときは、サーバは、まず、ユーザに対してユーザ認証を行い、次いでアクセス制御リストに従ってサービスをユーザに提供する。
特開２００２−２６９０４３号公報（段落［００６０］〜［００６２］、図４〜図７）

しかしながら、上記アクセス制御リストは、ネットワークに接続された複数の機器のアクセスに関連する全ての項目について用意する必要がある。従って、ネットワークに接続された機器の数が増大するほど、また、アクセスに関連して設定可能な項目の数が増大するほど、アクセス制御リストはより複雑化する。また、アクセス制御リストの管理対象が、各機器、例えばＰＣのユーザだけではなく、複数のユーザが属するグループも含む場合には、ユーザを特定するために必要な処理がより複雑化する。

したがって、第１の機器が第２の機器からアクセスを受ける度に第２の機器又は第３の機器がアクセス制御リストを参照したときには、アクセス可否の判別処理に長時間を要し、結果的にネットワーク全体に多大な処理負荷がかかる。

本発明の目的は、アクセス可否の判別処理に必要な処理負荷を軽減させることができるアクセス制御方法、アクセス制御リスト管理装置、アクセス制御装置、アクセス制御システム、アクセス制御プログラム、及び記憶媒体を提供することにある。

上記目的を達成するために、本発明のアクセス制御方法は、複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを生成するアクセス制御方法において、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成ステップと、前記生成したアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御ステップとを有することを特徴とする。

上記目的を達成するために、本発明のアクセス制御リスト管理装置は、複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを管理するアクセス制御リスト管理装置において、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成手段を備えることを特徴とする。

上記目的を達成するために、本発明のアクセス制御装置は、上記アクセス制御リスト管理装置の前記トークン生成手段によって生成されたアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御手段を備えることを特徴とする。

上記目的を達成するために、本発明のアクセス制御システムは、前記複数の機器を含むシステムにおいて前記複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを生成するアクセス制御装置において、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成手段と、前記生成されたアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御手段とを備えることを特徴とする。

上記目的を達成するために、本発明のアクセス制御プログラムは、複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを生成するアクセス制御プログラムにおいて、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成モジュールと、前記生成されたアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御モジュールとを備えることを特徴とする。

上記目的を達成するために、本発明の記憶媒体は、上記アクセス制御プログラムを格納することを特徴とする。

本発明によれば、アクセス制御リストを簡略化したアクセス制御トークンに基づいて複数の機器の間のアクセスを制御するので、アクセス可否の判別処理に必要な処理負荷を軽減させることができる。

以下、本発明の実施の形態を図面を参照しながら詳細に説明する。

図１は、本発明の第１の実施の形態に係るアクセス制御システムの構成を概略的に示すブロック図である。

図１において、アクセス制御システム１０００は、複数のユーザが使用可能なユーザ端末としてのパーソナルコンピュータ（ＰＣ）３００と、ＰＣ３００からアクセスを受けるプリンタ２００と、これらを互いに接続するネットワーク４００とを備える。

図１において、ＰＣ３００には、プリンタ２００に印刷ジョブや印刷オペレーションを投入するための所定のクライアントアプリケーションソフトウェア（以下、「クライアント・アプリ」という）がインストールされている。

プリンタ２００は、ＰＣ３００のクライアント・アプリを介して投入された印刷ジョブや印刷オペレーションに従って所定の印刷処理などを行う。また、プリンタ２００は、ユーザ毎或いは複数のユーザが属するグループ毎にＰＣ３００からのアクセスを許可又は禁止する制御を行う（アクセス制御装置）。

図２は、図１におけるＰＣ３００の内部構成を概略的に示すブロック図である。

図２において、ＰＣ３００は、アクセス制御リスト管理部１０１と、第１の項目リスト生成部１０２と、第２の項目リスト生成部１０５と、第１の許可リスト生成部１０３と、第１の禁止リスト生成部１０４と、第２の許可リスト生成部１０６と、第２の禁止リスト生成部１０７とを備える。

アクセス制御リスト管理部１０１は、ネットワーク４００に接続された１つ以上の機器、例えば、プリンタ２００へのアクセス可能・不可能な項目のリストであるアクセス制御リスト２０１を準備する（アクセス制御リスト管理装置）。具体的には、アクセス制御リスト管理部１０１は、アクセス制御リスト２０１をユーザ毎或いは複数のユーザが属するグループ毎に用意して管理する。

アクセス制御リスト２０１に列挙されるアクセス可能・不可能な項目としては以下のような項目がある。プリンタ２００による印刷処理の際に設定可能な項目としては、「実行」，「カラー印刷」，「モノクロ印刷」，「両面印刷」，「キャンセル」などがある。プリンタ２００に格納されている印刷ジョブにアクセスして設定可能な項目としては、「一時停止」，「再実行」，「キャンセル」，「機能変更」などがある。プリンタ２００が多機能複写機である場合に印刷処理の際に実行可能な項目としては、「フィニッシング（後処理）」，「両面印刷」，「割り込み印刷」などがある。

アクセス制御リスト２０１の管理の形態は、本第１の実施の形態に係るアクセス制御システムのように、ＰＣ３００（アクセス制御リスト管理部１０１）が一元的に管理する形態に限られることはない。例えば、図１におけるネットワーク４００上で実現するディレクトリサービスや、該ネットワーク４００上に構成されるデータベースが一元的に管理する形態であってもよい。

第１の項目リスト生成部１０２及び第２の項目リスト生成部１０５は、アクセス制御リスト２０１に記述された項目のうち、特定の項目だけを抜き出して項目リストを生成する。具体的には、第１の項目リスト生成部１０２は、アクセス制御リスト２０１に記述された項目のうち、後述する所定の条件を満たす項目、即ち項目Ａ〜Ｅだけを抜き出して第１の項目リスト２０２を生成する。第２の項目リスト生成部１０５は、アクセス制御リスト２０１に記述された項目のうち、後述する所定の条件を満たす項目、即ち項目Ｅ〜Ｊだけを抜き出して第２の項目リスト２０５を生成する。

所定の条件としては、「プリンタ２００に対するジョブ投入の際にアクセス制御の対象となる項目であること」、「プリンタ２００において設定可能な項目、即ちプリンタ２００が実施可能な項目であること」などが挙げられる。また、所定の条件としては、「ＰＣ３００のクライアント・アプリが利用する項目であること」などが挙げられる。なお、これらの条件に関する情報はプリンタ２００がＰＣ３００に通知してもよく、ＰＣ３００が予め保持してもよい。

例えば、「プリンタ２００に対するジョブ投入の際にアクセス制御の対象となる項目であること」を満たす項目としては、「両面印刷」，「カラー印刷」，「フィニッシング（後処理）」などが該当する。「プリンタ２００において設定可能な項目であること」を満たす項目としては、例えばプリンタ２００がモノクロ印刷のみ可能である場合には、「モノクロ印刷」などが該当し、「フィニッシング（後処理）」などは該当しない。また、「ＰＣ３００のクライアント・アプリが利用する項目であること」を満たす項目としては、クライアント・アプリが「両面印刷」や「カラー印刷」のみを利用する場合、これらの項目が該当する。

第１の許可リスト生成部１０３及び第２の許可リスト生成部１０６は、アクセス制御リスト２０１に記述された項目の中から、許可が設定されている項目（以下、「許可項目」という）のみを抜き出す。そして、第１の許可リスト２０３及び第２の許可リスト２０６を生成する。なお、許可リスト２０３，２０６には、許可リストであることを示すフラグ（［許可］）がセットされている。

同様に、第１の禁止リスト生成部１０４及び第２の禁止リスト生成部１０７は、アクセス制御リスト２０１に記述された項目の中から、禁止が設定されている項目（以下、「禁止項目」という）のみを抜き出す。そして、第１の禁止リスト２０４及び第２の禁止リスト２０７を生成する。なお、許可リスト２０４，２０７には、禁止リストであることを示すフラグ（［禁止］）がセットされている。

なお、許可リスト２０３，２０６及び禁止リスト２０４，２０７の生成の際には、図４を用いて後述するように、項目リスト２０２，２０５も参照され、必要な項目の追加や削除を行う。

ＰＣ３００は、アクセス制御リスト２０１及び項目リスト２０２，２０５に基づいて許可リスト２０３，２０６及び禁止リスト２０４，２０７を生成する。そして、ＰＣ３００は、当該生成した許可リスト２０３，２０６及び禁止リスト２０４，２０７に基づいてアクセス制御リスト２０１を簡略化したアクセス制御トークンを生成する。プリンタ２００は、ＰＣ３００により生成されたアクセス制御トークンに基づいてＰＣ３００のアクセスを制御する。

図３は、図１におけるアクセス制御システム１０００においてＰＣ３００がプリンタ２００にアクセスするときに実行されるアクセス処理のフローチャートである。

図３において、まず、ステップＳ４０１では、ＰＣ３００は、ユーザが所望する項目に関してプリンタ２００へのアクセスを要求する度に、後述する図４のアクセス制御トークン生成処理に基づいてアクセス制御トークンを生成する。

続くステップＳ４０２では、ＰＣ３００は、プリンタ２００にアクセス要求を送信すると共に、ステップＳ４０１で生成したアクセス制御トークンをプリンタ２００に引き渡す。プリンタ２００は、ＰＣ３００からのアクセス要求を検知したときは、後述する図５のアクセス制御処理に基づいてアクセス要求に対するアクセスの可否の判別処理を行って（ステップＳ４０３）、本処理を終了する。

なお、上記図３のステップＳ４０１の処理では、ＰＣ３００がプリンタ２００へのアクセスを要求する度にアクセス制御トークンの生成を行うとした。これに代えて、アプリケーションの起動時などに所定のアクセス制御トークンを生成しておいてもよい。この場合には、実際にプリンタ２００へのアクセスを要求するときに、アクセス制御リスト２０１に変更がないか否かをチェックすることが好ましい。さらには、アクセス制御トークンに所定の有効期限を設定してもよい。

図４は、図３のステップＳ４０１において実行されるアクセス制御トークン生成処理の詳細を示すフローチャートである。本処理は、ＰＣ３００によって実行される。

図４において、まず、ステップＳ３０１では、第１の許可リスト生成部１０３は、項目数が「０」の、即ち空の第１の許可リスト２０３を生成する。また、第１の禁止リスト生成部１０４は、項目数が「０」の、即ち空の第１の禁止リスト２０４を生成する。

続くステップＳ３０２では、アクセス制御リスト２０１の項目Ａ〜Ｊの中から所定の順番で１つの項目が読み出される。ステップＳ３０３では、この読み出した項目が第１の項目リスト２０２にあるか否かが判別される。当該判別の結果、上記読み出した項目が第１の項目リスト２０２にあるときは、ステップＳ３０４において、上記読み出した項目に関連するアクセスが許可されているか否か、即ち、上記読み出した項目が許可項目であるか否かが判別される。当該判別の結果、許可項目であるときは、ステップＳ３０５において、読み出した項目を第１の許可リスト２０３に追加する。一方、許可項目でなく禁止項目であるときは、ステップＳ３０６において、上記読み出した項目を第１の禁止リスト２０４に追加する。

続くステップＳ３０７では、ステップＳ３０２で読み出した項目が、アクセス制御リスト２０１の項目Ａ〜Ｊの最後の項目であるか否かが判別される。当該判別の結果、最後の項目でないときは、ステップＳ３０２〜Ｓ３０６の処理を全ての項目について完了するまで繰り返す。一方、最後の項目であったときは、第１の許可リスト２０３及び第１の禁止リスト２０４の生成を終了する。この結果、図２に示すように、第１の許可リスト２０３には許可項目Ａ，Ｂ，Ｅが格納され、第１の禁止リスト２０４には禁止項目Ｃ，Ｄが格納される。

続いて、ステップＳ３０８では、生成した第１の許可リスト２０３の項目数「３」と第１の禁止リスト２０４の項目数「２」とを比較する。当該比較の結果、第１の許可リスト２０３及び第１の禁止リスト２０４のうち項目数が少ない方のリスト、即ち項目数「２」の第１の禁止リスト２０４をＰＣ３００の所定のユーザ、例えばユーザＡに対応する第１のアクセス制御トークンとして採用し（トークン生成ステップ）、本処理を終了する。なお、ステップＳ３０８において、第１の許可リスト２０３の項目数及び第１の禁止リスト２０４の項目数が等しいときは、いずれか一方のリストを第１のアクセス制御トークンとして採用する。

また、ステップＳ３０３の判別の結果、読み出した項目が第１の項目リスト２０２にないとき、即ち項目Ｆ〜Ｊのいずれかであるときは、当該読み出した項目を第１の許可リスト２０３の項目数及び第１の禁止リスト２０４のいずれにも追加しない。そしてステップＳ３０７に進む。

図４の処理によれば、第１の許可リスト２０３及び第１の禁止リスト２０４のうち項目数が少ない方のリストがＰＣ３００のユーザＡに対応する第１のアクセス制御トークンとして採用される（ステップＳ３０８）。具体的には、アクセス制御リスト２０１を簡略化した第１のアクセス制御トークンが生成される。この結果、項目に関するデータ量を２分の１以下に削減して、上記ステップＳ４０３におけるアクセス可否の判別処理に必要な処理負担を軽減させることができる。

また、第１の項目リスト２０２を参照する（ステップＳ３０３）ので、アクセス制御リスト２０１の項目Ａ〜Ｊのうち所定の条件を満たす項目を容易に識別することができる。これにより、第１の許可リスト２０３及び第１の禁止リスト２０４を生成するために必要な時間を短縮化することができる。

なお、図４の処理では、第１の許可リスト２０３及び第１の禁止リスト２０４の双方を同時に生成したが、これに代えて、いずれか一方のリスト、例えば第１の許可リスト２０３のみを生成し、これを第１のアクセス制御トークンとして採用してもよい。この場合、第１の項目リスト２０２の項目数の２分の１と生成した第１の許可リスト２０３の項目数とを比較する。当該比較の結果、第１の許可リスト２０３の項目数が第１の項目リスト２０２の項目数の２分の１を超えるときは第１のアクセス制御トークンとして採用すべきリストとして第１の禁止リスト２０４を改めて生成してもよい。

また、第２の許可リスト生成部１０６及び第２の禁止リスト生成部１０７も、図４のステップＳ３０１〜Ｓ３０７の処理を実行する。これにより、アクセス制御リスト２０１の項目Ａ〜Ｊ及び第２の項目リスト２０５の項目Ｅ〜Ｊを参照して、第２の許可リスト２０６及び第２の禁止リスト２０７を生成する。この結果、図２に示すように、第２の許可リスト２０６には許可項目Ｅ，Ｉが格納され、第２の禁止リスト２０７には禁止項目Ｆ，Ｇ，Ｈ，Ｊが格納される。ステップＳ３０８では、項目数の少ないリスト、即ち項目数「２」の第２の許可リスト２０６が第２のアクセス制御トークンとして、例えば第１のアクセス制御トークンに対応するユーザＡとは別のユーザＢに対応するトークンとして採用される。

また、本第１の実施の形態では、ＰＣ３００が、第１の許可リスト２０３や第１の禁止リスト２０４を生成してこれらのリストのいずれかを第１のアクセス制御トークンとして採用した。しかし、プリンタ２００のコンピュータ資源が豊富な場合には、プリンタ２００がアクセス制御リスト２０１や第１の項目リスト２０２などに基づいて第１の許可リスト２０３や第１の禁止リスト２０４を生成してもよい。そして、プリンタ２００が、これらのリストのいずれかを第１のアクセス制御トークンとして採用してもよい。即ち、図４の処理をプリンタ２００が実行してもよい。

図５は、図４のステップＳ４０３において実行されるアクセス制御処理の詳細を示すフローチャートである。本処理は、プリンタ２００によって実行される。

図５において、まず、プリンタ２００は、ＰＣ３００から受信したアクセス要求からユーザが所望する項目を検知する（ステップＳ５０１）。該アクセス要求に伴って引き渡されたアクセス制御トークンがあるか否かを判別する（ステップＳ５０２）（アクセス制御ステップ）。この判別の結果、アクセス制御トークンがあるときは、そのアクセス制御トークンが許可リストであるか否かを判別する（ステップＳ５０３）。

アクセス制御トークンが許可リストであるときは（ステップＳ５０３でＹＥＳ）、当該許可リストに上記所望の項目が含まれているか否かを判別する（ステップＳ５０４）。この判別の結果、所望の項目が含まれているときは、プリンタ２００は、上記ユーザのＰＣ３００を介したアクセスを許可する（ステップＳ５０６）（アクセス制御ステップ）。そして、当該アクセス要求に応じたジョブ又はオペレーションを実行して、本処理を終了する。一方、許可リストに所望の項目が含まれていないときは、上記ユーザのＰＣ３００を介したプリンタ２００へのアクセスを禁止する（ステップＳ５０７）（アクセス制御ステップ）。そして、アクセス要求に応じたジョブ又はオペレーションを実行することなく、本処理を終了する。

一方、アクセス制御トークンが許可リストでなく禁止リストであるときは（ステップＳ５０３でＮＯ）、当該禁止リストに上記所望の項目が含まれていないか否かを判別する（ステップＳ５０５）。この判別の結果、所望の項目が含まれていないときは、上記ユーザのＰＣ３００を介したプリンタ２００へのアクセスを許可する（ステップＳ５０６）（アクセス制御ステップ）。そして、当該アクセス要求に応じたジョブ又はオペレーションを実行して、本処理を終了する。一方、禁止リストに所望の項目が含まれているときは、上記ユーザのＰＣ３００を介したプリンタ２００へのアクセスを禁止する（ステップＳ５０７）（アクセス制御ステップ）。そして、アクセス要求に応じたジョブ又はオペレーションを実行することなく、本処理を終了する。

なお、アクセス制御トークンがないときは（ステップＳ５０２でＮＯ）、プリンタ２００は、当該ユーザのＰＣ３００を介したアクセスを禁止し（ステップＳ５０７）、本処理を終了する。

図５の処理によれば、プリンタ２００が、アクセス制御リスト２０１を簡略化したアクセス制御トークンに含まれている項目に基づいてユーザのＰＣ３００を介したアクセスを許可又は禁止する制御、即ちアクセス可否の判別を行う（ステップＳ５０６，Ｓ５０７）。この結果、アクセス可否の判別処理に必要な処理負荷を軽減させることができる。したがって、図１におけるネットワーク４００に接続されたコンピュータの数の増大、アクセス制御リスト２０１の項目数の増大、ＰＣ３００のユーザ数の増大、複数のユーザが所定のグループに属するような複雑化などにも対応することができる。

また、図５の処理によれば、アクセス制御トークンがある場合であっても（ステップＳ５０２でＹＥＳ）、ユーザが所望する項目に許可が設定されていなければアクセスを許可しない（ステップＳ５０７）。この結果、アクセス制御システム１０００におけるセキュリティをより向上させることができる。

上記ステップＳ５０７において、ユーザが所望する項目に関連するアクセスをプリンタ２００が禁止した場合、即ち、プリンタ２００がジョブ或いはオペレーションの実行禁止を決定した場合には、その旨を所定の警告表示などによりユーザに通知する。

なお、上述した第１の実施の形態では、図４の処理において項目リストを参照した（ステップＳ３０３）が、参照しなくてもよい。この場合には、例えば、図６（ａ）に示すような項目数「１０」のアクセス制御リスト６０１から、図６（ｂ）に示すような項目数「４」の許可リスト６０２と、図６（ｃ）に示すような項目数「６」の禁止リスト６０３とが生成される。そして、項目数の少ない許可リスト６０２がアクセス制御トークンとして採用される。

図７は、本発明の第２の実施の形態に係るアクセス制御システムの構成を概略的に示すブロック図である。

図７において、アクセス制御システム１０００’は、図１のアクセス制御システム１０００にネットワーク４００に接続するようにサーバコンピュータ（以下、「サーバ」という）１００を設けたものである。

サーバ１００は、図２のアクセス制御リスト２０１のようなアクセス制御リストを管理しており、プリンタ２００やＰＣ３００に代わって上述した図３〜図５の処理の一部の処理を実行する。また、サーバ１００は、ユーザ認証機能を有しており、ＰＣ３００のユーザ別にアクセス制御を行うことができる。

以下、図７のアクセス制御システム１０００’において実行されるアクセス制御方法を説明する。

ＰＣ３００がプリンタ２００にアクセスを要求しようとするときは、まず、ＰＣ３００がサーバ１００にアクセス制御リストを要求し、これに応じて、サーバ１００はＰＣ３００のユーザに対してユーザ認証を行う。

ユーザがユーザ認証に成功したときは、サーバ１００は、図４の処理と同様の処理を実行することにより、アクセス制御リスト及び項目リストに基づいてアクセス制御トークンを生成する。そして、サーバ１００は、ＰＣ３００から要求されたアクセス制御リストとしてそれを簡略化したアクセス制御トークンをＰＣ３００のクライアント・アプリに返す。

ＰＣ３００は、クライアント・アプリを介して、アクセス制御トークンと共にジョブ或いはオペレーションをプリンタ２００に投入する。プリンタ２００は、図５のステップＳ５０３〜Ｓ５０７の処理と同様の処理を実行することにより、アクセス制御トークンの項目に従ってアクセス可否の判別処理を行い、ＰＣ３００からのアクセスを許可するときはジョブ或いはオペレーションを実行する。

なお、上記第２の実施の形態において、サーバ１００は、ユーザ認証機能を有しているとしたが、有していなくてもよい。

また、第２の実施の形態において、サーバ１００がＰＣ３００のクライアント・アプリに返すアクセス制御トークンは、プリンタ２００でのみ復号可能な暗号鍵により暗号化されていることが好ましい。これにより、ＰＣ３００においてクライアント・アプリでアクセス制御トークンの内容を変更することを禁止することができ、アクセス制御システム１０００’におけるセキュリティをより向上させることができる。

また、上記第１及び第２の実施の形態において、ＰＣ３００からアクセスされるものはプリンタ２００であるとしたが、プリンタに限られることはない。例えば、複写機、ファクシミリ送受信機や電子メール送受信機などの通信機器、若しくはこれらの複合機といった周辺機器などの機器であってもよいし、ファイルシステムを採用した機器であってもよい。

また、本発明の目的は、上述した実施の形態の機能を実現するソフトウェアのプログラムコードを記録した記憶媒体を、システム或いは装置に供給し、そのシステム或いは装置のコンピュータ（又はＣＰＵやＭＰＵなど）が記憶媒体に格納されたプログラムコードを読み出して実行することによっても達成される。

この場合、記憶媒体から読み出されたプログラムコード自体が上記実施の形態の機能を実現することになり、そのプログラムコード及び該プログラムコードを記憶した記憶媒体は本発明を構成することになる。

また、プログラムコードを供給するための記憶媒体としては、例えば、フロッピー（登録商標）ディスク、ハードディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ＤＶＤ＋ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどを用いることができる。又は、プログラムコードをネットワークを介してダウンロードしてもよい。

また、コンピュータが読み出したプログラムコードを実行することにより、上記実施の形態の機能が実現されるだけでなく、そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現される場合も含まれる。

更に、記憶媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれた後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって前述した実施の形態の機能が実現される場合も含まれる。

本発明の実施の形態に係るアクセス制御方法は、複数の機器を含むシステムにおいて実行することができる。

本発明の第１の実施の形態に係るアクセス制御システムの構成を概略的に示すブロック図である。 図１におけるＰＣの内部構成を概略的に示すブロック図である。 図１におけるアクセス制御システムにおいてＰＣがプリンタにアクセスするときに実行されるアクセス処理のフローチャートである。 図３のステップＳ４０１において実行されるアクセス制御トークン生成処理の詳細を示すフローチャートである。 図３のステップＳ４０３において実行されるアクセス制御処理の詳細を示すフローチャートである。 図４のステップＳ３０３において項目リストを参照しない場合におけるアクセス制御リストを示す図であり、（ａ）は、アクセス制御トークンを生成する前のアクセス制御リストを示し、（ｂ）は、（ａ）のアクセス制御リストに基づいて生成された許可リストを示し、（ｃ）は、（ａ）のアクセス制御リストに基づいて生成された禁止リストを示す。 本発明の第２の実施の形態に係るアクセス制御システムの構成を概略的に示すブロック図である。

符号の説明

１００ サーバコンピュータ（サーバ）
１０１ アクセス制御リスト管理部
１０２，１０５ 項目リスト生成部
１０３，１０６ 許可リスト生成部
１０４，１０７ 禁止リスト生成部
２００ プリンタ
２０１ アクセス制御リスト
２０２，２０５ 項目リスト
２０３，２０６ 許可リスト
２０４，２０７ 禁止リスト
３００ パーソナルコンピュータ（ＰＣ）
１０００，１０００’ アクセス制御システム

Claims (21)

1. 複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを生成するアクセス制御方法において、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成ステップと、前記生成したアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御ステップとを有することを特徴とするアクセス制御方法。
2. 前記トークン生成ステップは、前記アクセス制御リストの複数の項目のうち、前記アクセスを許可する許可項目のみからなる許可リストを生成する許可リスト生成ステップと、前記生成した許可リストを前記アクセス制御トークンとして採用する採用ステップとを含むことを特徴とする請求項１記載のアクセス制御方法。
3. 前記トークン生成ステップは、前記アクセス制御リストの複数の項目のうち、前記アクセスを禁止する禁止項目のみからなる禁止リストを生成する禁止リスト生成ステップと、前記生成した禁止リストを前記アクセス制御トークンとして採用する採用ステップとを含むことを特徴とする請求項１記載のアクセス制御方法。
4. 前記トークン生成ステップは、前記アクセス制御リストの複数の項目のうち、前記アクセスを許可する許可項目のみからなる許可リストを生成する許可リスト生成ステップと、前記アクセス制御リストの複数の項目のうち、前記アクセスを禁止する禁止項目のみからなる禁止リストを生成する禁止リスト生成ステップと、前記生成した許可リスト及び前記生成した禁止リストのいずれか一方を前記アクセス制御トークンとして採用する採用ステップとを含むことを特徴とする請求項１記載のアクセス制御方法。
5. 前記トークン生成ステップは、前記生成した許可リストの許可項目の項目数と前記生成した禁止リストの禁止項目の項目数とを比較する比較ステップを含み、前記採用ステップは、前記許可リスト及び前記禁止リストのうち項目数が少ない方のリストを前記アクセス制御トークンとして採用することを特徴とする請求項４記載のアクセス制御方法。
6. 前記アクセス制御ステップは、前記採用ステップにおいて採用したリストが前記許可リストであるときは、前記許可リストの許可項目に該当する項目について前記アクセスを許可すると共に、前記許可リストの許可項目に該当しない項目について前記アクセスを禁止し、前記採用ステップにおいて採用したリストが前記禁止リストであるときは、前記禁止リストの禁止項目に該当する項目について前記アクセスを禁止すると共に、前記禁止リストの禁止項目に該当しない項目について前記アクセスを許可する制御を行うことを特徴とする請求項４又は５記載のアクセス制御方法。
7. 前記アクセス制御リストの複数の項目のうち、所定の条件を満たす項目を抜き出して項目リストを生成する項目リスト生成ステップを有し、前記トークン生成ステップは、前記アクセス制御リスト及び前記項目リストに基づいて前記アクセス制御トークンを生成することを特徴とする請求項１乃至６のいずれか１項に記載のアクセス制御方法。
8. 前記アクセス制御トークンの項目数は、前記項目リストの項目数の２分の１以下であることを特徴とする請求項７記載のアクセス制御方法。
9. 複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを管理するアクセス制御リスト管理装置において、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成手段を備えることを特徴とするアクセス制御リスト管理装置。
10. 前記トークン生成手段は、前記アクセス制御リストの複数の項目のうち、前記アクセスを許可する許可項目のみからなる許可リストを生成する許可リスト生成手段と、前記生成された許可リストを前記アクセス制御トークンとして採用する採用手段とを含むことを特徴とする請求項９記載のアクセス制御リスト管理装置。
11. 前記トークン生成手段は、前記アクセス制御リストの複数の項目のうち、前記アクセスを禁止する禁止項目のみからなる禁止リストを生成する禁止リスト生成手段と、前記生成された禁止リストを前記アクセス制御トークンとして採用する採用手段とを含むことを特徴とする請求項９記載のアクセス制御リスト管理装置。
12. 前記トークン生成手段は、前記アクセス制御リストの複数の項目のうち、前記アクセスを許可する許可項目のみからなる許可リストを生成する許可リスト生成手段と、前記アクセス制御リストの複数の項目のうち、前記アクセスを禁止する禁止項目のみからなる禁止リストを生成する禁止リスト生成手段と、前記生成された許可リスト及び前記生成された禁止リストのいずれか一方を前記アクセス制御トークンとして採用する採用手段とを含むことを特徴とする請求項９記載のアクセス制御リスト管理装置。
13. 前記トークン生成手段は、前記生成された許可リストの許可項目の項目数と前記生成された禁止リストの禁止項目の項目数とを比較する比較手段を含み、前記採用手段は、前記許可リスト及び前記禁止リストのうち項目数が少ない方のリストを前記アクセス制御トークンとして採用することを特徴とする請求項１２記載のアクセス制御リスト管理装置。
14. 前記アクセス制御リストの複数の項目のうち、所定の条件を満たす項目を抜き出して項目リストを生成する項目リスト生成手段を備え、前記トークン生成手段は、前記アクセス制御リスト及び前記項目リストに基づいて前記アクセス制御トークンを生成することを特徴とする請求項９乃至１３のいずれか１項に記載のアクセス制御リスト管理装置。
15. 前記アクセス制御トークンの項目数は、前記項目リストの項目数の２分の１以下であることを特徴とする請求項１４記載のアクセス制御リスト管理装置。
16. 前記複数の機器のうち少なくとも１つの機器に適用されることを特徴とする請求項９乃至１５のいずれか１項に記載のアクセス制御リスト管理装置。
17. 請求項９乃至１６のいずれか１項に記載のアクセス制御リスト管理装置の前記トークン生成手段によって生成されたアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御手段を備えることを特徴とするアクセス制御装置。
18. 前記アクセス制御手段は、前記アクセス制御トークンに前記アクセスの許可が設定されている場合において、ユーザが所望する前記アクセスに関連する項目が前記アクセス制御トークンの項目に該当するときは前記アクセスを許可すると共に、前記所望する項目が前記アクセス制御トークンの項目に該当しないときは前記アクセスを禁止し、前記アクセス制御トークンに前記アクセスの禁止が設定されている場合において、前記所望する項目が前記アクセス制御トークンの項目に該当するときは前記アクセスを禁止すると共に、前記所望する項目が前記アクセス制御トークンの項目に該当しないときは前記アクセスを許可する制御を行うことを特徴とする請求項１７記載のアクセス制御装置。
19. 前記複数の機器を含むシステムにおいて前記複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを生成するアクセス制御装置において、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成手段と、前記生成されたアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御手段とを備えることを特徴とするアクセス制御システム。
20. 複数の機器の間のアクセスを制御するために、当該アクセスに関連する複数の項目に前記アクセスの許可及び禁止をそれぞれ設定したアクセス制御リストを生成するアクセス制御プログラムにおいて、前記アクセス制御リストに基づいて当該アクセス制御リストを簡略化したアクセス制御トークンを生成するトークン生成モジュールと、前記生成されたアクセス制御トークンに基づいて前記複数の機器のアクセスを制御するアクセス制御モジュールとを備えることを特徴とするアクセス制御プログラム。
21. 請求項２０記載のアクセス制御プログラムを格納することを特徴とするコンピュータ読み取り可能な記憶媒体。

Images