JP2007213208A - ポリシ設定装置 - Google Patents

Abstract

【課題】新たに追加される客体についてのポリシの設定を容易にする。
【解決手段】ポリシ集合により作られたマトリクスからEffectに偏りのある列（アクセス）を１つ抽出する（ステップ３〜５）、新たな客体に対して、その列のアクセスを許可するか否かの質問をユーザに提示する（ステップ７）、その列において回答に合致するEffectを含む行（ポリシ集合）を選択する（ステップ８）。複数のポリシ集合（行）が選択された場合、その複数のポリシ集合のマトリクスからEffectに偏りのある列（アクセス）を１つ抽出するように制御し（ステップＳ９：ｎｏ）、１つのポリシ集合が選択された場合（ステップＳ９：ｙｅｓ）、その１つのポリシ集合の各ポリシを新たな客体について設定する（ステップＳ１０）。
【選択図】図５

Description

本発明は、アクセスコントロールのルールを規定するポリシの集合の特徴点を抽出し、それを基にポリシを設定する技術に関する。

アクセスコントロールポリシ（以降、単にポリシと記す）は、アクセスコントロールを行なう上でのルールを規定するものであり、基本的には「何が（主体：Subject）」、「何に対して（客体：Resource）」「何をするのを（動作：Action）」「許可／禁止する（Effect）」という形で記述されている。このようなポリシの記述方式を定めたものには、ＸＡＣＭＬ（非特許文献１）などがあり、上記以外にも環境条件や、アクセスを許可するに当たって要求する義務などを記述することが可能である。ＸＡＣＭＬでは、１つのポリシの中に１つ以上のRuleが存在し、個々のRuleの中で上記のSubject、Resource、Action、Effectを指定する記述形式になっている。

本発明は、上記ポリシの設定を簡易化するものであるが、従来の方法としては、非特許文献２のRole-Based Access ControlのようにユーザをRoleと呼ばれる論理的な中間体でグループ化し、アクセスコントロールを行うための設定や制御を簡略化できる方式が存在している。

また、非特許文献３はマスターポリシーと呼ばれる、新たにポリシを設定するにあたって基となるポリシをあらかじめ設定しておくことで、ポリシを自動作成して設定を簡易化する方法を提案している。この方式は、ファイル、ユーザ、機器などのリソースへのアクセスコントロールを対象としており、新たにリソースが追加された場合、それに対応するマスターポリシーを指定し、その情報を基にして適したポリシを自動的に作成する。これにより、個々のリソースに対するポリシ設定の手間を省きつつ、妥当なポリシを自動設定することを実現している。
OASIS, eXtensive Access Control Markup Language Version 2.0 Committee draft 04, 6 Dec 2004 R.S. Sandhu, E.J. Coyne, H.L. Feinstein and C.E. Youman, Role-Based Access Control Models, IEEE Computer, 1996, 29(2), pp.38-47 菅野政孝，田中俊介，坂田祐司，小熊慶一郎，白鳥則郎，情報ネットワークシステムのポリシー制御"PolicyComputing"の適用と実装，情報処理学会論文誌，42(2)，126-137，2001

家庭内には、そこで生活するユーザの個人的な所有物やプライバシーに関わる情報などが存在している。上記家庭内で、ホームネットワークなどを利用したサービスを提供する場合、各ユーザの情報や機器などのリソースへのアクセスをコントロールし、プライバシーを保護する必要がある。

このためには、各ユーザのリソースに対するアクセスコントロールポリシを事前に詳細に設定しておく必要があるが、家庭などユーザの日常生活に関わるコミュニティは、ユーザやリソースなどの環境が多様であるため、コミュニティに属するユーザ自身がポリシを決定する必要がある。さらに、家庭などの環境ではリソースが一定しておらず、高頻度で追加されるため、新規リソースについて頻繁にポリシを設定する必要がある。

しかし、家庭などユーザの日常生活に関わるコミュニティでは、煩雑なポリシの設定の負担に耐えられるユーザは一般的に少ないと考えられ、ポリシの設定に手間をかけられることを期待できない。従って、高頻度で発生する新規リソースに対するポリシを少ない労力で設定できる方法が必要である。

このポリシ設定に関わる労力を下げるため、Role-Based Access Control（非特許文献２）などのように、ユーザやリソースなどをグループ化する方法が提案されている。この方法では、ユーザやリソースをRoleに割当ててグループを作成し、作成したグループに対してポリシを適用する。このため、新規リソースを追加する際には、当該リソースをどのグループに割当てるかを決定しなければならないが、一般的なユーザにとって適切なポリシを適用しているグループが分かりにくく、判断が難しいという問題がある。

また非特許文献３の方法では、上記のグループ化することでポリシの設定コストを下げるというアプローチに加えて、リソースに適したマスターポリシーを基にポリシを自動作成することで、さらに設定コストを下げている。この方式では、リソースのタイプごとにマスターポリシーを定義しているため、リソースをグループ化していることになる。しかし、この方法でも、新規リソースを追加した場合に、どのマスターポリシーを適用するのが適切かを判断することが難しいという問題がある。

本発明は、上記従来の課題に鑑みなされたものであり、一般的なユーザにも分かり易く情報を提示することで、新たに追加される客体についてのポリシの設定を容易にすることを目的とする。

本発明では、あらかじめ複数のポリシを設定しておき、この既存のポリシの内容を基に、新規リソースに対するポリシを設定することとする。

まず、上記既存のポリシをリソースごとに集めてポリシ集合を作り、各リソースのポリシのEffectを比較して、最も許可あるいは禁止の数の偏りの大きい部分を特徴点として抽出する。そして、上記特徴点のポリシをユーザに設定させることを繰り返すことで、新規リソースに対するポリシを設定する。

例えば具体的な実現方法としては、SubjectとActionを横軸にResourceを縦軸としたポリシのマトリックスを作成し、セルに該当するEffectを入力する。次に、マトリックス内の列ごとにポリシのEffectを比較し、各ポリシ集合間の差異の特徴点を抽出する。

次に、新規リソースが追加され、ポリシを設定する際には、上記で抽出した特徴点について、当該Effectが「許可」か「禁止」か、ユーザに質問を提示する。そして、ユーザの回答によって、当該Effectが既存のポリシ集合と合致したものに絞り込む。上記を繰り返して合致するポリシ集合を絞り込んでいき、合致するポリシ集合が１つに定まったら、新規リソースに上記合致したポリシ集合を適用する。

上記の方法により、ユーザに対して分かり易い内容でポリシ決定に必要な情報を提示すると共に、最小限の数の判断を行なうことで、妥当なポリシを設定することが可能となる。

本発明により、ユーザに分かり易い形で表現された質問を提示することが可能となり、さらに比較的少数の質問に２択で回答するだけで、複雑なポリシの設定が可能となる。これにより、一般的なユーザもポリシの設定を簡易的に行なうことができる。

以下、本発明に係るポリシ設定装置の実施例を説明する。

ここでは、ＸＡＣＭＬ（非特許文献１）に準拠してポリシを記述することとする。また、それぞれのポリシはリソースごとに割当てられており、リソースごとにポリシの集合であるポリシ集合を形成している。

図１に、本実施例の構成を示す。本実施例のポリシ設定装置は、ポリシを記憶するポリシ記憶部１と、ポリシ集合間の差異の特徴点を抽出する特徴抽出部２と、ユーザへの質問を作成して提示する質問提示部３と、新しいポリシを設定するポリシ設定部４からなる。リソースは、直接制御する対象である場合（図１中のターゲット：Target）と、類似した制御をするリソースのグループ（図１中のターゲットグループ：TargetGroup）のどちらでもよい。

図２にポリシの構成例を示す。ポリシは、１つ以上のRule（ルール）を持ち、Ruleはそれぞれ１つ以上のSubject（サブジェクト：主体）、Resource（リソース：客体）、Actiton（アクション：動作）という属性と、その組合せによって表現される操作を許可／禁止するEffect（エフェクト：許可設定値）という属性を持つ。これは、ＸＡＣＭＬに準拠した形式である。

本実施例を開始する前段階として、ある程度の数のリソースあるいはそのグループと、それに対するポリシが設定されているものとする。ある程度の数とは、ユーザにとって過度な負担にならない範囲で、リソースに適用したいポリシ集合のパターンが発生してくる程度の数であり、ユーザとリソースの種類によって適度な数は異なる。

例えば、図３に例示するようなグラフィカル・ユーザ・インタフェースとマウスやキーボードを用いて、各リソースあるいは各グループに対して読み出しを意味する「read」と書き出しを意味する「write」のそれぞれについて、ユーザＡ〜Ｅまでに、許可／禁止を指定することができる。図３のコンテンツ１について、ユーザごとにＸＡＣＭＬにより簡略化して表記すると、図４のようになる。図４のような意味を持つポリシを設定できる手法であれば、どのような手法でも良い。

本実施例では、リソースごとのポリシ集合のEffectを比較して、最も許可あるいは禁止の数に偏りがある部分を特徴点とする。そして、上記特徴点を抽出し、ユーザに当該特徴点のポリシのEffectを選択させることを繰り返すことで、最も少ない回数で適当なポリシを設定する。

図５に、本実施例のフローを示す。まず新規リソースが追加され、ポリシ設定部４が当該リソースをポリシ記憶部１に記録する（図５のステップ１）。

次に、特徴抽出部２が、図３などの手法で設定されたポリシを、リソースあるいはグループごとに集めて、図４に例示するようなポリシ集合を作成する（図５のステップ２）。そして、SubjectとActionを横軸にResourceを縦軸としたマトリックスを作成して、各セルに当該ポリシのEffectを入力する（図５のステップ３）。Subject、Action、Resourceの順番は任意に決めてよい。図３で設定したポリシを例として、図６に作成されたマトリックスを示す。この例の場合は、Subjectはユーザ名、Actionはリソースに対する操作名、Resourceはコンテンツ名となる。図６のグループ１は、同一のアクセスコントロールを行ないたい複数のコンテンツを含んだグループであり、図１のTargetGroupにあたる。

次に、特徴抽出部２は、マトリックス内のそれぞれの列について許可の数をカウントし、列内での出現頻度を算出する（図５のステップ４）。図６に、図３のポリシを例として、許可の出現頻度を算出した場合を例示する。そして、上記出現頻度から０．５を減算し、その絶対値を求める（図５のステップ５）。そして、０．５を除外し、最も絶対値の大きい列を選択する（図５のステップ６）。値が同じ列が複数ある場合は、より左側にある列を優先して、選択する。図６に、図３のポリシを例として、上記の操作の結果、選択された列を例示する。

次に、質問提示部３が、新規リソースと上記で選択した列のユーザおよびアクションについてのEffectを「許可」にするか「禁止」にするかの質問をユーザに提示する（図５のステップ７）。図６の結果を例とし、新規リソースを写真１とすると、選択されているのは最も左側のユーザＡのreadに関わる列であるため、ユーザに対して「写真１をユーザＡにreadさせることを許可するか？」という内容の質問を提示する。質問の表現の仕方は、より平易な文体にしても良く、また質問の提示と回答の入力方法については、既存の任意の方法を利用できる。例えば、図７に示すようなグラフィカル・ユーザ・インタフェースを使って提示し、マウスやキーボードを使ってなされるユーザの回答を取得しても良い。または、スピーカから音声で質問を提示し、赤外線リモコンなどで回答しても良い。または、携帯電話にメールで質問を送り、携帯電話の機能を利用してインターネットに接続して、回答しても良い。または、上記記載の方法を任意に組み合わせても良い。

そして、質問提示部３はユーザの回答を取得し、その結果を特徴抽出部２に通知する。特徴抽出部２は、マトリックスの当該列の中で、ユーザの回答に合致する行を選択する（図５のステップ８）。図６の例の場合に、質問を受けたユーザが「許可」と回答したとすると、コンテンツ１〜コンテンツ４までの４つの行が選択される。また、「禁止」と回答したとすると、グループ１の１行が選択される。

上記図６の例の前者のように、選択された行が複数ある場合（図５のステップ９：ｎｏ）は、図５のステップ３に戻り、それらの行に含まれるポリシ集合を用いて、再度処理を繰り返す。この場合、図５のステップ３で再度作成されるマトリックスは図８のようになる。そして、図５のステップ４〜ステップ６で再処理された結果は、図８のようになり、選択される列が決定される。そして、再度、図５のステップ７が行われ、ユーザに新しい質問が提示される。この例の場合は、「写真１をユーザＤにreadさせることを許可するか？」という内容の質問が提示される。

このように、上記図５のステップ３〜９のフローによって、複数のポリシ集合間の差異の特徴を最も識別しやすいものから順番に抽出し、ユーザがポリシの設定を行なうのに利用することが出来る。

上記図５のステップ３〜ステップ９を繰り返し、合致する行が１つになったら（図５のステップ９：ｙｅｓ）、ポリシ設定部４は、当該新規リソースに、その１つになった行のポリシ集合を適用する（図５のステップ１０）。図６の例の場合、最初の質問でユーザＡにreadを禁止した場合は、新規リソースにはグループ１と同じポリシ集合が適用される。この際、同じポリシ集合を適用するリソースを、１つのグループにまとめ、次回からは図６のグループ１のように、グループとして扱っても良い。

なお、既存のポリシ集合の内容と、ユーザの判断の仕方によっては、質問が複数回繰り返される場合がある。この場合には、質問を一定回数行なった段階で打ち切り、この時選択されているポリシ集合の中で最も安全と考えられる、すなわち禁止が多いポリシ集合を選択し、図５のステップ１０に進んでも良い。

上記のようにして、既存のポリシ集合の中で最もユーザの希望に近いものを、新規リソースに適用することが可能となる。もし新規リソースに既存のポリシ集合以外のパターンのポリシ集合を設定したい場合は、例えば図３に示すようなグラフィカル・ユーザ・インタフェースなどの既存の手法を利用し、適切なポリシを設定しても良い。あるいは、本実施例の処理を行なった後に、例えば図３のグラフィカル・ユーザ・インタフェースなどの既存の方法を用いて修正を行なっても良い。

以上説明したように、本実施例では、同一の客体（例えば、図３のコンテンツ１）に対するアクセス（例えば、ユーザＡによるread）を許可するか否かを示す許可設定値を設定してなるポリシをアクセスごとに（１：ユーザＡによるread、２：ユーザＡによるwrite、〜、１０：ユーザＥによるwriteのそれぞれについて）備えたポリシ集合（図６のマトリクスの行に相当）を客体ごとに（コンテンツ１〜４、グループ１のそれぞれについて）備えたポリシ集合群（図６のマトリクスに相当）を用いる。

そして、図５のステップ３〜６では、このポリシ集合群の許可設定値（Effect）に偏りのあるアクセスを１つ抽出したことになる。よって、かかるステップは、アクセス抽出手段を構成する。なお、本実施例では、最初に抽出されたアクセスは、ユーザＡによるreadであり、次に抽出されたアクセスは、ユーザＤによるreadである。

そして、図５のステップ７では、新たな客体（写真１として例示）に対して、抽出されたアクセス（ユーザＡによるreadなど）を許可するか否かの質問をユーザに提示したことになる。よって、かかるステップは、質問提示手段を構成する。

そして、図５のステップ８では、質問の回答を受け付け、抽出されたアクセスについて回答の内容（ｙｅｓ／ｎｏ）に応じた許可設定値を設定してなるポリシを含むポリシ集合（コンテンツ１〜４の合計４つのポリシ集合やグループ１のポリシ集合）をポリシ集合群（マトリクス）から選択したことになる。よって、かかるステップは、回答受け付け手段とポリシ集合選択手段を構成する。

そして、複数のポリシ集合（例えば、コンテンツ１〜４に対応するもの）が選択された場合（図５のステップ９：ｎｏ）、アクセス抽出手段（ステップ３〜６）が、この複数のポリシ集合の許可設定値に偏りのあるアクセスを１つ抽出するので、ステップ９は、そのような制御を行う制御手段を構成する。

そして、図５のステップ１０では、１つのポリシ集合（例えば、グループ１に対応するもの）が選択された場合（図５のステップ９：ｙｅｓ）、その１つのポリシ集合の各ポリシ（ユーザＡによるread、ユーザＡによるwrite、〜ユーザＥによるwriteについてのポリシ）を新たな客体（写真１）について設定したことになる。よって、かかるステップは、ポリシ設定手段を構成する。

したがって、本実施例のポリシ設定装置によれば、新たな客体へのポリシの設定を容易にすることができる。

また、ここでのアクセスは、例えばユーザＡによるreadというように、その主体（ユーザＡ）とアクセス方法（アクション：read）で特定されるので、例示したように、「写真１をユーザＡにreadさせることを許可するか？」という内容の質問が提示される。つまり、アクセスが主体とアクセス方法（主体に依存しない）が特定されるので、質問への回答が行い易くなるという効果が得られる。

また、アクセスの特定においては、許可を示す許可設定値の出現頻度（但し、０≦出現頻度≦１）を算出し（図５のステップ４）、その出現頻度から０．５を減じたものの絶対値を求め（図５のステップ５）、０．５の絶対値を除外し、残りの内の最大のものに対応するアクセスを１つ特定する（図５のステップ６）ので、かかる工程により、１つのアクセスを特定することができる。

なお、本実施例のポリシ設定装置としてコンピュータを機能させるコンピュータプログラムは、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどのコンピュータ読み取り可能な記録媒体に格納したり、インターネットなどの通信網を介して伝送させて、広く流通させることができる。

本実施例の構成図 ＸＡＣＭＬに準拠したポリシの構成例 ポリシ設定手法の例 図３に記載されたコンテンツ１のポリシをユーザごとにＸＡＣＭＬにより簡略化して表記した例 ポリシ集合間の差異の特徴を抽出しポリシ設定を行なうフロー 図３のポリシを基に作成されたマトリックスの例 質問を提示する方法の例 再度作成されたマトリックスの例

符号の説明

１ ポリシ記憶部
２ 特徴抽出部
３ 質問提示部
４ ポリシ設定部

Claims (3)

1. 同一の客体に対する１つのアクセスを許可するか否かを示す許可設定値を設定してなるポリシをアクセスごとに備えたポリシ集合を客体ごとに備えたポリシ集合群を用い、このポリシ集合群の許可設定値に偏りのあるアクセスを１つ抽出するアクセス抽出手段と、
   新たな客体に対して前記抽出されたアクセスを許可するか否かの質問をユーザに提示する質問提示手段と、
   前記質問の回答を受け付ける回答受け付け手段と、
   前記抽出されたアクセスについて前記回答の内容に応じた許可設定値を設定してなるポリシを含むポリシ集合を前記ポリシ集合群から選択するポリシ集合選択手段と、
   複数のポリシ集合が選択された場合、前記アクセス抽出手段が当該複数のポリシ集合の許可設定値に偏りのあるアクセスを１つ抽出するように制御する制御手段と、
   １つのポリシ集合が選択された場合、当該１つのポリシ集合の各ポリシを前記新たな客体について設定するポリシ設定手段と
   を備えることを特徴とするポリシ設定装置。
2. アクセスはその主体とアクセス方法で特定される
   ことを特徴とする請求項１記載のポリシ設定装置。
3. 前記アクセス特定手段は、
   許可を示す許可設定値の出現頻度（但し、０≦出現頻度≦１）を算出し、その出現頻度から０．５を減じたものの絶対値を求め、０．５の絶対値を除外し、残りの内の最大のものに対応するアクセスを１つ特定する
   ことを特徴とする請求項１または２記載のポリシ設定装置。
   
   

Images