JP2007072581A

JP2007072581A - ポリシ集合生成装置とその制御方法

Info

Publication number: JP2007072581A
Application number: JP2005256533A
Authority: JP
Inventors: Kouya Mori; 航哉森; Taichi Kawabata; 太一川幡; Ikuo Yoda; 育生依田
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2005-09-05
Filing date: 2005-09-05
Publication date: 2007-03-22

Abstract

【課題】２ポリシ集合の置き換えに用いることのできるポリシ集合を生成する。
【解決手段】２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段（１３）と、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段（１４）とを備える。
【選択図】図１

Description

本発明は、ポリシ集合生成装置とその制御方法に関するものである。

従来からアクセスコントロール技術は非常によく研究されており、様々な方式が提案されている。例えば、非特許文献１のアクセス制御マトリックスのように、アクセスするユーザと、アクセスされるリソースの間におけるアクセス権限をマトリックスとして表現する方式が存在し、広く利用されている。また、非特許文献２のRole-Based Access ControlのようにユーザをRoleと呼ばれる論理的な中間体でグループ化し、アクセスコントロールを行うための設定や制御を簡略化できる方式も存在している。また非特許文献３のように、Role-Based Access Controlを拡張し、ユーザのRoleへの割り当てをユーザの属性に応じて自動的に行うRB-RBACという方式も提案されている。

これらの多様なアクセスコントロール方式を用いてどのように制御を行うかを定義したものが、アクセスコントロールポリシである。今後は特に誤解を招かない限り単にポリシと記述する。このポリシは、アクセスコントロール方式によって記述の形式が異なる場合もあるが、基本的には指定されたアクセスをする主体が、指定されたアクセスされる客体に、指定された動作をさせることを許可／禁止することが記述されている。

一般的に、ポリシの設定は手間がかかる作業であり、特にきめ細かな設定を行おうとする程この傾向が強くなる。上記のアクセス制御マトリックスなどでは詳細な設定を行うとマトリックスが巨大化するため、設定にかかる管理コストが高くなると同時に、複雑化したマトリックスが監理者のミスを誘発しやすくなるという問題点がある。このため、煩雑な手間をかけずに、ポリシを自動設定する方式が提案されている。

例えば従来技術においては、実際に行われた操作履歴を利用してポリシを自動設定する方法が提案されている。操作履歴からポリシを生成することにより、自然な操作から簡単なポリシを設定できる、設定コストの低い方法を実現している。ただし、細かな設定を行うためには、あらかじめ様々な操作を行って操作履歴を残す必要がある。また、非特許文献４はマスターポリシーと呼ばれる、新たにポリシを設定するにあたって基となるポリシをあらかじめ設定しておくことで、ポリシを自動作成する方法を提案している。この方式は、ファイル、ユーザ、機器などのリソース全般へのアクセスコントロールを対象としており、新たにリソースが追加された場合、それに対応するマスターポリシーを指定し、その情報を基にして適したポリシを自動的に作成する。これにより、個々のリソースに対するポリシ設定の手間を省きつつ、妥当なポリシを自動設定することを実現している。だたし、事前にマスターポリシーを設定しておく必要があると同時に、新規リソースを追加した場合にどのマスターポリシーを利用するか指定する必要がある。さらに、マスターポリシーの想定内のポリシしか自動生成できない。
Ross Anderson著、情報セキュリティ技術大全，pp.52-53 R.S. Sandhu, E.J. Coyne, H.L. Feinstein and C.E. Youman, Role-Based Access Control Models, IEEE Computer, 1996, 29(2), pp.38-47 M.A. Al-kahtani and R. Sandhu, A Model for Attribute Based User-Role Assignment, IEEE the 18th Annual Computer Security Applications Conference, 2002 菅野政孝，田中俊介，坂田祐司，小熊慶一郎，白鳥則郎，情報ネットワークシステムのポリシー制御"PolicyComputing"の適用と実装，情報処理学会論文誌，42(2)，126-137, 2001

家庭など、ユーザの日常生活に関わるコミュニティには、ホームオートメーションなどのサービスが提供されることがある。このようなコミュニティの特徴は、厳密ではないものの、メンバー内の人間関係に応じてプライバシーが存在しており、明確ではないが、メンバー間の信頼関係によって、アクセスコントロールが自然になされている点である。

また多くの場合、アクセスする側であるユーザの数は比較的少なくかつ固定的であるのに対し、アクセスされる側の機器や情報などのリソースは多数かつ多様かつ流動的である。

このようなコミュニティで、それぞれのメンバーのプライバシーに関わるリソースを利用してホームオートメーションなどのサービスを提供する場合、上記のように各メンバーのリソースに自然に付随するプライバシーを、サービスからリソースに対する操作のアクセスコントロールにより保護する必要がある。

例えば、ユーザの位置情報を利用して着信先の電話機を選択するサービスがある場合、自分以外のユーザに対する着信を自室の電話機には着信させない、などというアクセスコントロールが必要になると考えられる。

このためには、各メンバーの、リソースに対するアクセスコントロールポリシを事前に詳細に設定しておけば良いが、家庭など、ユーザの日常生活に関わるコミュニティは、ユーザやリソースなどが多様であり、メンバー内の人間関係や、守るべきプライバシーも一概に決定できるほど単純ではない。

このため、コミュニティによって異なる多様なポリシを決定できるのは、コミュニティに属するメンバー自身しかいない。しかも、リソースが流動的であるため、継続的にポリシを設定かつ変更していく必要がある。

しかし、家庭など、ユーザの日常生活に関わるコミュニティでは、煩雑なポリシの設定の負担を担えるユーザは一般的に少ないと考えられ、ポリシの設定に手間をかけることを期待できない。

したがって、ポリシを少ない労力で効率良く設定できかつ調整できる方式が必要である。

このポリシ設定に関わる労力を低減するため、Role-Based Access Control（非特許文献２）などのように、ユーザやリソースなどをグループ化する方法が提案されている。

ここでは、ユーザを、Roleと呼ばれる論理的な中間体でグループ化し、アクセスコントロールを行うための設定や制御を簡略化する。

しかし、どのようにユーザやリソースをRoleに割り当てるかを決定する必要があり、グループ化するための設定コストが発生するという問題がある。

また、非特許文献４の方法では、上記のグループ化することで、ポリシの設定コストを下げるというアプローチに加えて、リソースに適したマスターポリシーを基にポリシを自動作成することで、さらに設定コストを下げるようにしている。

この方式では、リソースのタイプごとにマスターポリシーを定義しているため、リソースをグループ化していることになる。

しかし、この方式では、予めリソースに適用したポリシごとにグループ化し、それぞれのマスターポリシーを設定するコストが発生するという問題がある。さらに、マスターポリシーの想定外のポリシを自動作成することができないため、汎用性に欠ける。

このグループ化の設定コストを下げるアプローチとして、グループ化を自動的に行うRB-RBAC（非特許文献３）のような方式が提案されている。

しかし、家庭など、ユーザの日常生活に関わるコミュニティでは、多様なユーザやリソースのグループ化を行う必要があるため、ユーザやリソースのタイプや所有者の場所などの属性情報だけでは効率的にグループ化ができない。

例えば、家庭など、ユーザの日常生活に関わるコミュニティでは、「自室の電話機と、玄関の防犯カメラの映像と、リビングのＨＤレコーダに自分が録画した映像は、子供には触れさせたくない」というように、同一のポリシを適用したいが、属性情報からではグループ化が難しいという場合がある。また、この方式にはグループ化を行うためのルールを予め定義しておかなければならないという問題もある。

また、グループ化とは異なるアプローチとして、ポリシ生成手段を工夫することで、ポリシの設定コストを下げるという方式が提案されている。

例えば、ユーザの操作履歴を基にポリシを決定する方法があり、自然な操作から簡単にポリシ設定を行うことができる。

しかし、多数のリソースにポリシを設定したり、詳細なポリシを設定しようとすると、様々な操作を行わなければならず、手間がかかるという問題がある。

本発明は、上記の課題に鑑みてなされたものであり、その目的とするところは、２ポリシ集合の置き換えに用いることのできるポリシ集合を生成するポリシ集合生成装置とその制御方法を提供することにある。

上記の課題を解決するために、請求項１の本発明は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置であって、当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段と、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段とを備えることを特徴とするポリシ集合生成装置をもって解決手段とする。

請求項２の本発明は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合に当該ポリシ集合の状態を示す値が対応づけられているときにポリシ集合を生成するポリシ集合生成装置であって、ポリシ集合の生成に用いられるポリシ集合を当該ポリシ集合に対応づけられた値に基づいて検出するポリシ集合監視手段と、ポリシ集合の生成に用いられる２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段と、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段とを備えることを特徴とするポリシ集合生成装置をもって解決手段とする。

請求項３の本発明は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置であって、当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段と、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシと、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での未設定の許可設定値を設定済の許可設定値で置き換えてなる許可設定値と、を含むポリシとを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段とを備えることを特徴とするポリシ集合生成装置をもって解決手段とする。

請求項４の本発明は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置の制御方法であって、ポリシ集合生成装置の類似度計算手段が、当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定し、ポリシ集合生成装置のポリシ集合生成手段が、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成することを特徴とするポリシ集合生成装置の制御方法をもって解決手段とする。

請求項５の本発明は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合に当該ポリシ集合の状態を示す値が対応づけられているときにポリシ集合を生成するポリシ集合生成装置の制御方法であって、ポリシ集合生成装置のポリシ集合監視手段が、ポリシ集合の生成に用いられるポリシ集合を当該ポリシ集合に対応づけられた値に基づいて検出し、ポリシ集合生成装置の類似度計算手段が、ポリシ集合の生成に用いられる２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定し、ポリシ集合生成装置のポリシ集合生成手段が、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成することを特徴とするポリシ集合生成装置の制御方法をもって解決手段とする。

請求項６の本発明は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置の制御方法であって、ポリシ集合生成装置の類似度計算手段が、当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定し、ポリシ集合生成装置のポリシ集合生成手段が、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシと、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での未設定の許可設定値を設定済の許可設定値で置き換えてなる許可設定値と、を含むポリシとを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成することを特徴とするポリシ集合生成装置の制御方法をもって解決手段とする。

本発明によれば、２つのポリシ集合の置き換えに用いることのできるポリシ集合を生成することができる。また、生成されたポリシ集合で２つのポリシ集合を置き換えることにより、ポリシの管理が容易となり、記憶容量の削減が可能となる。

また、ポリシ集合の生成に用いられるポリシ集合を当該ポリシ集合に対応づけられた値に基づいて検出するので、例えば、アクセス回数の多いポリシ集合の置き換えに用いることのできるポリシ集合を生成することができる。

また、２つのポリシ集合の置き換えに用いることのできかつ未設定の許可設定値が少ないポリシ集合を生成することができる。

以下、本発明の実施の形態を図面を参照して説明する。

図１は、本実施の形態に係るポリシ集合生成装置の構成を示す図である。

ポリシ集合生成装置１は、コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値という、４つの属性からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成する装置である。ポリシ集合生成装置１は、アクセスコントロール装置２とともに使用される。

図２は、ポリシを例示した図である。具体的には、OASIS, eXtensive Access Control Markup Language Version 2.0 Committee draft 04, 6 Dec 2004に記載されたＸＡＣＭＬに準拠したポリシを示した図である。

ポリシは、具体的には、コンピュータで扱われるファイルであり、このファイルには、主体名、客体名、アクセス方法名および許可設定値が、例えば、英語表記で記述されてなるルールが、１以上含まれる。

また、このポリシは、例えば、ある家庭の父のログイン名で起動されたコンピュータが父の「スケジュールデータ」を読み出すというアクセスを行うに際し、当該コンピュータがアクセスコントロール装置２に当該アクセスの可否を問い合わせたとき、アクセスコントロール装置２により参照され、それによりアクセス可否判定と回答がなされる。

図２に示すように、主体名の記述箇所には、例えば、主体の英語表記である「Ｓｕｂｊｅｃｔ」を含むタグが用いられる。また、客体の記述箇所には、「資源」の英語表記である「Ｒｅｓｏｕｒｃｅ」を含むタグが用いられる。また、アクセス方法名の記述箇所には、「アクセス」に代わる「行動」の英語表記である「Ａｃｔｉｏｎ」を含むタグが用いられる。また、許可設定値の記述箇所には、「影響」の英語表記である「Ｅｆｆｅｃｔ」が用いられる。

客体とは、前述の通り資源であり、例えば、家庭に導入されたホームネットワーク上のサーバにある、父の「スケジュールデータ」であり、この場合の客体名は、例えば、「スケジュールデータ」のファイル名である。他の例を示せば、客体とは、例えば、この「スケジュールデータ」ならびにホームネットワークに接続されたＤＶＤレコーダが作成した「録画リスト」であり、この場合の客体名は、「スケジュールデータ」のファイル名と、「録画リスト」のファイル名とからなる。つまり、客体名は１以上の客体名からなることがある。他の例を示せば、客体名は、「どれでもよい」という意味の英語表記「Ａｎｙ」を含むことで、任意の１以上の客体名を間接的に示すことがある。

主体とは、例えば、父のログイン名で起動されたコンピュータであり、この場合の主体名は、例えば、父のログイン名である。他の例を示せば、主体とは、例えば、娘のログイン名で起動されたコンピュータであり、この場合の主体名は娘のログイン名である。他の例を示せば、主体とは、例えば、父のログイン名で起動されたコンピュータと、娘のログイン名で起動されたコンピュータの一方であり、この場合の主体名は、ログイン名を用いる場合、父のログイン名と娘のログイン名とからなる。つまり、主体名は１以上の主体名からなることがある。他の例を示せば、主体名は、英語表記「Ａｎｙ」を含むことで、任意の１以上の主体名を間接的に示すことがある。

アクセス方法名とは、例えば、「スケジュールデータ」を読み出すというアクセスを示すものであり、この場合、アクセス方法名は、「読み出す」の英語表記である「ＲＥＡＤ」などとされる。他の例を示せば、アクセス方法名とは、例えば、スケジュールデータを書き込むというアクセスを示すものであり、この場合、アクセス方法名は、「書き換える」の英語表記である「ＷＲＩＴＥ」などとされる。他の例を示せば、アクセス方法名は、例えば、「スケジュールデータ」を読み出すというアクセスと書き込むアクセスとを示すものであり、この場合、アクセス方法名は、読み出すアクセスを示すアクセス方法名と、書き換えるアクセスを示すアクセス方法名とからなる。他の例を示せば、アクセス方法名は、英語表記「Ａｎｙ」を含むことで、任意の１以上のアクセス方法名を間接的に示すことがある。

許可設定値とは、例えば、「スケジュールデータ」を読み出すというアクセスを許可すること示すものであり、この場合の許可設定値は、「許可する」の英語表記である「ＰＥＲＭＩＴ」などとされる。他の例を示せば、許可設定値とは、「スケジュールデータ」を読み出すというアクセスを禁止すること示すものであり、この場合の許可設定値は、英語表記の「ＤＥＮＹ」などとされる。つまり、基本的に許可設定値は２値のいずれか一方をとる。なお、「スケジュールデータ」を読み出すというアクセスを許可し、「スケジュールデータ」を書き替えるというアクセスを禁止する場合の許可設定値は、各アクセス方法についての許可設定値により構成される。

なお、ここでは説明簡略化のため、ポリシが１ルールからなることとする。つまり、ポリシは、主体名、客体名、アクセス方法名および許可設定値からなることとする。

図１に戻り、ポリシ集合生成装置１は、ポリシ集合が記憶されるポリシ集合記憶部１１と、ポリシ集合を監視するポリシ集合監視部１２と、ポリシ集合間の類似度を計算する類似度計算部１３と、ポリシ集合を生成するポリシ集合生成部１４とを備える。

ポリシ集合記憶部１１は、同一の客体を示す客体名を含むポリシを１以上含むポリシ集合が１以上記憶される。また、ポリシ集合記憶部１１では、ポリシ集合を１以上含むロールが１以上記憶される。

このように、客体名でグループ化したのは、本発明の適用先である家庭などの環境では、主体名数よりも客体名数の方が多く、しかも客体名の方が流動性が高いためである。

なお、ロールは、該ロールに含まれるポリシ集合を適用すべき客体名を含んでいる。

図３は、ロールとそれに対応づけられた評価値を例示した図である。

ここでは、図３に示すように、ロールには、ロール名が対応づけられ、そのロールには、それに含まれるポリシ数（図では設定ポリシ数）や、そのロール内のポリシ集合を使ってアクセス可否判定が行われた回数（図ではアクセス回数）などが対応づけられ、これらが適宜更新されることとする。これらは、ポリシ集合の生成に用いてよいロールかそうでないロールかを判定する際に用いられる評価値である。これらはポリシ集合監視部１２が取得できるように、ポリシ集合生成装置１内、例えば、ポリシ集合記憶部１１に記憶される。また、これらをポリシ集合監視部１２が記憶してもよい。また、その他の部分に記憶させてもよい。また、ポリシ集合生成装置１外に記憶させてもよい。

これとは別に、ポリシ集合生成装置１は、ポリシ集合監視部１２が取得できるように、この評価値に対し比較される、しきい値を記憶している。

また、ポリシ集合生成装置１は、ポリシ集合生成部１４が取得できるように、ポリシ集合間の類似度に対し比較される、しきい値を記憶している。

次に、本実施の形態の動作を説明する。

まず、図４のフローチャートを参照して、ポリシ集合の生成に用いられるロールを検出するときの動作を説明する。

ポリシ集合監視部１２は、例えば、ロールが生成されたり、ロールへのポリシの割り当てが変更されたり、ロールがアクセスコントロール装置２によってアクセス可否判定に利用された場合、そのロールを取得し（Ｓ１）、その評価値としきい値とを比較し（Ｓ３）、例えば、アクセス可否判定が行われた回数が評価値である状況において、あるいは、そのロールに含まれるポリシ数が評価値でありかつポリシ数が時間経過とともに増加する状況においては、評価値がしきい値以上であることをもって、そのロール名を記録し（Ｓ５）、処理を終える。

Ｓ５では、ロールを記録してもよい。つまり、しきい値以上の評価値をもつロールとそのロール名の一方または両方を記録する。なお、ポリシ集合監視部１２は、ポリシ集合生成部１４からの要求により、これら処理を行い、ロールとそのロール名の一方または両方ロール名を記録しないで、直接にポリシ集合生成部１４へ通知してもよい。

ここで、評価値がしきい値以上のロールのロール名などを記録などしたのは、このロールからポリシ集合を生成するためである。よって、上記例のように、アクセス可否判定が行われた回数などが評価値であるロール、つまり、評価値が時間経過とともに増加するロールについては、遅い段階でそのロールからポリシ集合の生成が行える。

逆に評価値が時間経過とともに減少するロールについては、評価値がしきい値未満のロールのロール名などを記録などすればよく、これにより、遅い段階でそのロールからポリシ集合の生成が行える。

次に、図５のフローチャートを参照して、ポリシ集合を生成するときの動作を説明する。

ポリシ集合生成部１４は、例えば、一定時間ごと、ロールが変更されたとき、あるいはユーザによる明示的な操作などにより、以下の処理を行う。

まず、ポリシ集合生成部１４は、ポリシ集合監視部１２により記録されたあるいは通知されたロール名を取得し（Ｓ１０１）、そのロールを取得する（Ｓ１０３）。なお、ロール名を取得しないで、ロールを直接取得してもよい。

なお、ここで取得されるロールつまりポリシ集合の生成に用いてよい状態にあるロールに対してその状態を示す情報を、しきい値との比較判定の段階で付与し、あるいは、ポリシ集合の生成に用いてはいけない状態にあるロールについても同様にし、ここでは、その状態を示す情報を参照することで、ポリシ集合の生成に用いてよい状態を示す情報を対応づけられたロールを取得してもよい。

ここでロールが複数取得されると、その内の２ロールからなるロール組の全てについて処理（総当たりで処理）するのだが、まず、未処理のロール組の有無を判定する（Ｓ１０５）。

ない場合、処理を終える。ある場合、類似度計算部１３が、該当のロール組の一方のロールのポリシ集合と他方のロールのポリシ集合との間の類似度を算出し、その類似度がしきい値以上か否かを判定する（Ｓ１０７）。類似度は、例えば、文字列の類似度を測定するレーベンシュタイン距離や、塩基配列やアミノ酸配列の類似度を測定するアライメントなどを利用すればよい。

しきい値未満の場合、Ｓ１０５へ戻る。しきい値以上の場合、ポリシ集合生成部１４あるいは類似度計算部１３が、当該ロール組内に互いに矛盾する２ポリシからなるポリシ組が存在するか否かを判定する（Ｓ１０９）。

つまり、当該一方のロールのポリシ集合内の１ポリシと他方のロールのポリシ集合内の１ポリシとからなるポリシ組であり、かつ、当該ポリシ組内で主体名同士が同一、かつ、当該ポリシ組内でアクセス方法名同士が同一、かつ、当該ポリシ組内で相違する許可設定値を含む、ポリシ組が存在するか否かを判定する（Ｓ１０９）。なお、判定結果は、ポリシ集合記憶部１１や、Ｓ１０７で計算された類似度に対応づけて記録してもよい。

さて、当該ロール組内に互いに矛盾するポリシ組が存在する場合は、Ｓ１０５へ戻る。当該ロール組内に互いに矛盾するポリシ組が存在しない場合は、当該一方のロールのポリシ集合内の１ポリシと他方のロールのポリシ集合内の１ポリシとからなるポリシ組であり、かつ、当該ポリシ組内で主体名同士が同一、かつ、当該ポリシ組内でアクセス方法名同士が同一、かつ、当該ポリシ組内で相違する許可設定値を含まない、ポリシ組（矛盾しないポリシ組）につき、許可設定値同士が同一である場合（Ｓ１１１：同一）は、ポリシ集合生成部１４が、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むというポリシを生成することを可能な限り行う（Ｓ１１３）。

一方、同一でない場合（Ｓ１１１：同一でない）は、矛盾しないポリシ組内に未設定の許可設定値が含まれるので、ポリシ集合生成部１４は、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該未設定の許可設定値を設定済の許可設定値で置き換えてなる許可設定値と、を含むポリシを生成することを可能な限り行う（Ｓ１１４）。

ステップＳ１１３またはＳ１１４に続き、ポリシ集合生成部１４は、生成されたポリシあるいはこのポリシ生成に用いられていないポリシ（例えば、主体名だけが異なることにより、「矛盾するポリシ組」にも「矛盾しないポリシ組」にも含まれない、いわゆる単独のポリシ）、でありかつ客体名が同一であるポリシからなるポリシ集合からなるロールを生成しポリシ集合記憶部１１に記憶させる（Ｓ１１５）。

次に、ポリシ集合生成部１４は、生成されたロールの基になったロール組に含まれるロールを消去する（Ｓ１１７）。

次に、上記したロール生成を、父、母、長男、長女からなる家庭を例に説明する。

図６は、ステップＳ１０７で、しきい値以上と判定されたロール組の一方（ロールＡという）をなすポリシ集合（ポリシ集合Ａという）を例示した図である。図７は、ステップＳ１０７で、しきい値以上と判定されたロール組の他方（ロールＢという）をなすポリシ集合（ポリシ集合Ｂという）を例示した図である。図８は、ポリシ集合ＡとＢとから生成されるポリシ集合Ｃを示す図である。

図６に示すように、ポリシ集合Ａでは、各客体名が、家庭に導入されたホームネットワーク上のサーバにある、父の「スケジュールデータ」を示すものとなっている。

具体的には、ポリシ集合Ａは、ポリシ１〜４からなり、これらは、「スケジュールデータ」の所有者である父により生成されたものである。

ポリシ１は、父のログイン名で起動されたコンピュータによる「スケジュールデータ」の読み出しと書き替えを許可するものである。ポリシ２は、母のログイン名で起動されたコンピュータによる「スケジュールデータ」の読み出しと書き替えを許可するものである。ポリシ３は、長男のログイン名で起動されたコンピュータによる「スケジュールデータ」の読み出しを許可するものであり、一方、書き替えについては未設定である。ポリシ４は、長女のログイン名で起動されたコンピュータによる「スケジュールデータ」の読み出しと書き替えを禁止するものである。

ポリシ３が、書き替えについて未設定となっているのは、例えば、長男の意見を聞く時間が無かったためである。また、ポリシ４が、読み出しと書き替えを禁止するものとなっているのは、例えば、これらを許可できる年齢に長女が達していないと、父が考えたからである。

また、この家族は新たに、録画したファイルをリスト化した「録画リスト」を作成できるＤＶＤレコーダを購入してホームネットワークに接続し、これにより、図７に示すように、ポリシ集合Ｂでは、各客体名が、ＤＶＤレコーダに記憶されている「録画リスト」を示すものとなっている。

具体的には、ポリシ集合Ｂは、ポリシ５〜８からなる。

ポリシ５は、父のログイン名で起動されたコンピュータによる「録画リスト」の読み出しと書き替えを許可するものである。ポリシ６は、母のログイン名で起動されたコンピュータによる「録画リスト」の読み出しを許可するものであり、一方、書き替えについては未設定である。ポリシ７は、長男のログイン名で起動されたコンピュータによる「録画リスト」の読み出しを許可する一方、書き替えを禁止するものである。ポリシ８は、長女のログイン名で起動されたコンピュータによる「録画リスト」の読み出しと書き替えを禁止するものである。

ポリシ５が、読み出しおよび書き替えについて許可するものとなっているのは、このＤＶＤレコーダを接続したのが父であることなどによる。ポリシ６が、書き替えについて未設定となっているのは、例えば、母の意見を聞く時間が無かったためである。また、ポリシ８が、読み出しと書き替えを禁止するものとなっているのは、例えば、これらを許可できる年齢に長女が達していないと、父が考えたからである。

ポリシ集合生成部１４あるいは類似度計算部１３が、ポリシ集合ＡとＢについて、ここでは、矛盾するポリシ組が存在しないと判定する（Ｓ１０９）。

例えば、ポリシ３とポリシ７からなるポリシ組は、当該ポリシ組内で主体名同士が同一、かつ、当該ポリシ組内でアクセス方法名同士が同一、かつ、当該ポリシ組内には、「長男のログイン名で起動されたコンピュータによる「録画リスト」の書き替えを禁止する許可設定値」を含むものの、「当該コンピュータによる「スケジュールデータ」の書き替えについて許可設定値」については未設定でありつまり許可設定値がなく、かつ、「長男のログイン名で起動されたコンピュータによる「録画リスト」の読み出しを許可する許可設定値」と、「当該コンピュータによる「スケジュールデータ」の読み出しを禁止する許可設定値」というような、相違する許可設定値が含まれず、他のポリシ組でも同様なので、ここでは、矛盾するポリシ組が存在しないと判定するのである。

次に、ポリシ集合生成部１４が、図８に示すポリシ９および１２を生成する（Ｓ１１３）。

ポリシ９は、父のログイン名で起動されたコンピュータによる「スケジュールデータ」と「録画リスト」の読み出しと書き替えを許可するものである。ポリシ１２は、長女のログイン名で起動されたコンピュータによる「スケジュールデータ」と「録画リスト」の読み出しと書き替えを禁止するものである。

また、ポリシ集合生成部１４が、図８に示すポリシ１０および１１を生成する（Ｓ１１５）。

ポリシ１０は、母のログイン名で起動されたコンピュータによる「スケジュールデータ」と「録画リスト」の読み出しと書き替えを許可するものである。ポリシ１０は、「録画リスト」の書き替えについての未設定の許可設定値が、「スケジュールデータ」の書き替えについての設定済の許可設定値で置き換えられてなるものである。

ポリシ１１は、長男のログイン名で起動されたコンピュータによる「スケジュールデータ」と「録画リスト」の読み出しを許可する一方書き替えを禁止するものである。ポリシ１１は、「スケジュールデータ」の書き替えについての未設定の許可設定値が、「録画リスト」の書き替えについての設定済の許可設定値で置き換えられてなるものである。

そして、ポリシ集合生成部１４が、図８に示すような、ポリシ９〜１２からなるポリシ集合ＣからなるロールＣをポリシ集合記憶部１１に記憶させる（Ｓ１１５）。なお、このロールＣの生成の基になったポリシ集合ＡとＢつまりロールＡとＢをポリシ集合記憶部１１から消去する。

図９は、その後のポリシ集合Ｃを示す図である。

例えば、「スケジュールデータ」と「録画リスト」の読み出しを許可できる年齢に長女が達したと、父が考えた場合は、長女のログイン名で起動されたコンピュータによる読み出しを許可する内容の操作をロールＣについて行えばよい。これにより、ポリシ集合Ｃは、ポリシ９〜１２’からなるものに更新される。

ポリシ１２’は、長女のログイン名で起動されたコンピュータによる「スケジュールデータ」と「録画リスト」の読み出しを許可する一方書き替えを禁止するものである。これにより、長女のログイン名で起動されたコンピュータによる「スケジュールデータ」と「録画リスト」の読み出しが可能となる。

以上説明したように、本実施の形態によれば、２つのポリシ集合の置き換えに用いることのできるポリシ集合を生成することができる。また、生成されたポリシ集合で２つのポリシ集合を置き換えることにより、ポリシの管理が容易となり、記憶容量の削減が可能となる。

よって、非特許文献１の方法で未設定の箇所を設定する際に発生しやすい誤設定と同様な誤設定を、本実施の形態では、少なくすることができ、煩雑な設定の手間を低減することができる。

また、主たるポリシ（マスタポリシ）を予め設定し、新しいポリシを生成する際にどのマスタポリシを用いるかを指定する、というような手間を省くことができる。

また、マスタポリシを用いないではポリシを生成できないというような制約がない。

また、場合によってはプライバシーに関わるポリシの内容が、管理者による未設定箇所の設定により漏えいするような不都合を未然に防ぐことができる。

なお、本実施の形態の装置（本装置）を、コンピュータプログラムで動作する１または複数のコンピュータ（演算装置を用いたもの）で構成（実現）し、このコンピュータが本実施の形態の方法（本方法）を実行するようにしてもよい。つまり、コンピュータが、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどの記録媒体に記録されたコンピュータプログラムを読み取り、あるいは、通信回線（場合によってはインターネットに使用されるもの）を介して送信されたコンピュータプログラムを受信し、こうして取得したコンピュータプログラムを、このコンピュータが主記憶装置に記憶させ演算装置が実行することで、このコンピュータが本装置の機能を具備し、本方法が（場合によっては操作により）実行されるようにしてもよい。また、このコンピュータプログラムが記録された記録媒体を配送および陳列などして流通させてもよい。

本実施の形態に係るポリシ集合生成装置の構成を示す図である。ポリシを例示した図である。ロールとそれに対応づけられた評価値を例示した図である。ポリシ集合の生成に用いられるロールを検出するときのフローチャートでる。ポリシ集合を生成するときのフローチャートである。ポリシ集合を生成するために用いられるポリシ集合Ａを例示した図である。ポリシ集合を生成するために用いられるポリシ集合Ｂを例示した図である。ポリシ集合ＡとＢから生成されたポリシ集合Ｃを示す図である。その後のポリシ集合Ｃを示す図である。

符号の説明

１…ポリシ集合生成装置
２…アクセスコントロール装置
１１…ポリシ集合記憶部
１２…ポリシ集合監視部
１３…類似度計算部
１４…ポリシ集合生成部

Claims

コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置であって、
当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段と、
しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段と
を備えることを特徴とするポリシ集合生成装置。
コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合に当該ポリシ集合の状態を示す値が対応づけられているときにポリシ集合を生成するポリシ集合生成装置であって、
ポリシ集合の生成に用いられるポリシ集合を当該ポリシ集合に対応づけられた値に基づいて検出するポリシ集合監視手段と、
ポリシ集合の生成に用いられる２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段と、
しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段と
を備えることを特徴とするポリシ集合生成装置。
コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置であって、
当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定する類似度計算手段と、
しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシと、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での未設定の許可設定値を設定済の許可設定値で置き換えてなる許可設定値と、を含むポリシとを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成するポリシ集合生成手段と
を備えることを特徴とするポリシ集合生成装置。
コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置の制御方法であって、
ポリシ集合生成装置の類似度計算手段が、当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定し、
ポリシ集合生成装置のポリシ集合生成手段が、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成する
ことを特徴とするポリシ集合生成装置の制御方法。
コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合に当該ポリシ集合の状態を示す値が対応づけられているときにポリシ集合を生成するポリシ集合生成装置の制御方法であって、
ポリシ集合生成装置のポリシ集合監視手段が、ポリシ集合の生成に用いられるポリシ集合を当該ポリシ集合に対応づけられた値に基づいて検出し、
ポリシ集合生成装置の類似度計算手段が、ポリシ集合の生成に用いられる２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定し、
ポリシ集合生成装置のポリシ集合生成手段が、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成する
ことを特徴とするポリシ集合生成装置の制御方法。
コンピュータで扱われる資源へのアクセスを行う主体の主体名、当該資源である客体の客体名、当該アクセスの方法を示すアクセス方法名、ならびに、当該主体から当該客体への当該アクセス方法によるアクセスを許可するか否かを示す許可設定値からなるルールを１以上含むポリシを１以上含むポリシ集合が２つある場合の当該２ポリシ集合から１ポリシ集合を生成するポリシ集合生成装置の制御方法であって、
ポリシ集合生成装置の類似度計算手段が、当該２ポリシ集合間の類似度を算出し、その類似度がしきい値以上か否かを判定し、
ポリシ集合生成装置のポリシ集合生成手段が、しきい値以上の場合、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での同一の許可設定値と、を含むポリシと、当該一方のポリシ集合内のポリシと他方のポリシ集合内のポリシとからなるポリシ組を基に、当該ポリシ組内での同一の主体名と、当該ポリシ組をなす２ポリシのそれぞれに含まれる客体名からなる客体名と、当該ポリシ組内での同一のアクセス方法名と、当該ポリシ組内での未設定の許可設定値を設定済の許可設定値で置き換えてなる許可設定値と、を含むポリシとを適宜生成し、生成されたポリシでありかつ客体名が同一であるポリシからなるポリシ集合を生成する
ことを特徴とするポリシ集合生成装置の制御方法。