JP2007249617A - ファイルサーバシステム - Google Patents

Abstract

【課題】 セキュリティポリシーの設定とアクセス操作が共に容易で、かつユーザのレベルに合った情報流の制御を可能とするファイルサーバシステムを提供する。
【解決手段】ファイルやディレクトリ等のオブジェクトで構成されるファイルシステム４と、ファイル管理モジュール２を備えたシステムにおいて、ポリシーデータ記憶部３と、要求制御モジュール２とを備え、ポリシーデータ記憶部３が、役割管理テーブル３１と、スキーム管理テーブル３２と、アクセス制御テーブル３３とを備え、アクセス制御テーブル３３により前記オブジェクトのユーザ役割を検索し、スキーム管理テーブル３２によりスキーム種別を検索し、役割管理テーブル３１により要求ユーザの役割を検索し、前記オブジェクトへのアクセス可否を決定し、前記スキーム種別に従った情報流制御を行う。
【選択図】図１

Description

本発明は、ファイルサーバシステムに関し、特に組織内セキュリティポリシーを強制的に適用して不正な情報流を防止するファイルサーバシステムに関する。

従来のファイルサーバシステムでは、システム内のディレクトリやファイルにへのアクセスにおいて、組織内のセキュリティポリシーに従うように、管理者がそれぞれ定義する必要があった。このようなシステムでは、管理者が正しく定義し、さらに管理者から権限を与えられたユーザがそのセキュリティポリシーに従ってアクセスする必要があった。そのため、アクセス権限付与が煩雑であることから、操作の誤りによって組織内のセキュリティポリシーの違反が発生する可能性があった。
これに対して、第１従来例では、ファイルとユーザにセキュリティレベルを定義し、ファイルに対するアクセス許可を制御するようにしている。（例えば、特許文献１参照）
また、第２従来例では、ファイルもしくはディレクトリの作成時に、自動的にセキュリティポリシーを作成する方式をとっている。（例えば、特許文献２参照）
特開２０００−２５９４７６号公報（第５−７頁、図１） 特開２００５−６３２２３号公報（第５−７頁、図１）

第1、２実施例ともに、セキュリティポリシーの設定とアクセス操作が容易になっているが、次のような問題があった。第１従来例では、ファイルへのアクセスが許可された場合に、ファイルに対する読み込みや書き出し等のすべての操作が許可される。また、第２従来例では、セキュリティポリシー作成においてユーザ間の情報流制御が考慮されてなかった。このように、両実施例ともに情報流の制御が考慮されていないので、不正な情報流が発生する可能性があると言う問題があった。

本発明はこのような問題点を鑑みてなされたものであり、セキュリティポリシーの設定とアクセス操作が共に容易で、かつユーザのレベルに合った情報流の制御を可能とするファイルサーバシステムを提供することを目的とする。

上記問題を解決するため、本発明では次のように構成したのである。
請求項１記載の発明によれば、ファイルやディレクトリ等のオブジェクトで構成されるファイルシステムと、前記ファイルシステムを管理するファイル管理モジュールと、を備えたファイルサーバシステムにおいて、前記ファイルシステムへのアクセス時に適用するセキュリティポリシーデータを記憶するポリシーデータ記憶部と、前記セキュリティポリシーデータに従って前記ファイルシステムへのアクセスを制御する要求制御モジュールとを備え、前記ポリシーデータ記憶部が、ユーザと前記ユーザの役割を記憶する役割管理テーブルと、前記オブジェクトにアクセスできるユーザ役割を記憶するアクセス制御テーブルとを備え、ユーザからアクセス要求があると、前記アクセス制御テーブルを検索して前記アクセス要求対象のオブジェクトにアクセスできるユーザ役割を求め、前記役割管理テーブルを検索して前記アクセス要求したユーザの役割を求め、前記オブジェクトへのアクセス可否を決定するようにするものである。
請求項２記載の発明によれば、複数の役割と、前記役割毎に包含される下位の役割を定義し、前記役割毎にユーザを割り当てるようにするものである。
請求項３記載の発明によれば、前記アクセス制御テーブルが、前記オブジェクトに関する情報として、オブジェクト名と、最終変更ユーザの役割と、最終変更ユーザ名とを備え、
前記ユーザからのアクセスで前記オブジェクトが変更された場合は、前記オブジェクトに最後にアクセスしたユーザ役割とユーザ名を、前記最終変更ユーザの役割と最終変更ユーザ名とするようにするものである。
請求項４記載の発明によれば、前記ポリシーデータ記憶部が、さらに、情報流れを定義するスキーム種別と前記ユーザの関係を記憶するスキーム管理テーブルを備え、前記アクセス制御テーブルが、さらにスキーム名を備え、前記アクセス制御テーブルにより前記オブジェクトのスキーム名を検索し、前記スキーム管理テーブルにより前記スキーム名に関するユーザ役割とスキーム種別を検索し、前記スキーム種別に従って情報流れを制御するようにするものである。
請求項５記載の発明によれば、前記スキーム種別は、上位階層から下位階層へ情報が流れないことを条件とする守秘性スキームと、下位階層から上位階層へ情報が流れないことを条件とする完全性スキームとが、選択できるようにするものである。
請求項６記載の発明によれば、前記ファイル管理モジュールが、前記オブジェクトと前記アクセス制御テーブルの変更履歴を記憶し、アクセス可能なユーザが、前記変更履歴に基づき以前の状態に戻す機能を有するようにするものである。
請求項７記載の発明によれば、前記要求制御モジュールが、上位層ユーザの作成したディレクトリに、下位層ユーザがファイル一覧表示要求をした場合、前記ディレクトリが守秘性スキームの場合には、下位層ユーザが作成したファイルのみを一覧表示するようにするものである。
請求項８記載の発明によれば、前記アクセス制御テーブルが、ユーザ名が異なるが、同じ名称を有する複数オブジェクトを許容し、重複したファイルへのアクセスは、ファイル名とユーザ名によって一意に特定できるようにするものである。
請求項９記載の発明によれば、請求項１乃至８記載のファイルサーバシステムを適用したファイルサーバ装置とするものである。

請求項１ないし３に記載の発明によると、役割管理テーブルでユーザ役割の階層を定義し、アクセス制御テーブルでオブジェクトに関するユーザ役割を定義するようにしているので、セキュリティポリシーに従ったアクセス権限付与と自動的にでき、管理者、利用者の操作の煩雑さが軽減される。
請求項４ないし５に記載の発明によると、さらにスキーム管理テーブルでユーザ役割に対する情報流を定義し、アクセス制御テーブルでオブジェクトに関するスキームを定義することで、スキームに従った情報流の制御ができるので、不正な情報流を抑止できる。
請求項６記載の発明によると、ファイル更新履歴が保存され、この履歴に従って以前の状態に戻すことができるので、過去のファイルも利用可能になる。
請求項７記載の発明によると、セキュリティポリシーで制限されていないファイルのみ一覧表示できるので、制限されたファイルについてはファイル名も漏れないようにできる。
請求項８記載の発明によると、アクセス制御テーブルで同一オブジェクト名でも異なるオブジェクトを定義できるので、同じファイル名でも識別してアクセスできる。

以下、本発明の実施の形態について、図を参照して説明する。

本発明に関わるファイルサーバシステムは、１以上の端末とサーバから構成されるコンピュータシステム上で動作するソフトウエアである。
図１は、本発明の実施例を示すファイルサーバシステムの構成図である。
図において、1は要求制御モジュール、２はファイル管理モジュール、３はポリシーデータ記憶部、４はファイルシステムである。ポリシーデータ記憶部３において、３１は役割管理テーブル、３２はスキーム管理テーブル、３３はアクセス制御テーブルである。
以下に、各部の機能について説明する。
要求制御モジュール１は、ユーザから受信したアクセスデータとポリシーデータ記憶部３内の３つのテーブルと比較してアクセス可否を判断する。その結果に従ってファイル管理モジュール２へ要求を送信し、ファイル管理モジュール２からのデータをユーザに返信する。
ファイル管理モジュール２は、要求制御モジュール１からの要求に従って、ファイルシステム４に対してファイル操作要求を実施し、ファイルシステム４からのデータを要求制御モジュール１に送信する。
ファイルシステム４は、ルートディレクトリの下に階層構造にディレクトリが作られ、そのディレクトリに複数のファイルが収納される。このディレクトリまたはファイルは、ユーザのアクセス対象であるので、これをオブジェクトと呼称する。ファイルシステム４では、ここでは、ファイル管理モジュール２からのファイル操作要求に従い、オブジェクトへ作成・書き込み・読み出しの操作を行う。ここで、読み出し操作の場合は、読み出したデータをファイル管理モジュール２に送信する。
上記の各モジュールを使用して、ユーザからアクセスがある毎に、要求制御モジュール１が、ポリシーデータ記憶部３内の３つのテーブルと比較してアクセス可否を判断し、アクセスが許可される場合はファイルシステム４へアクセスを行い、アクセスが許可されない場合にはユーザにアクセス不許可を返信するのである。
なお、ポリシーデータ記憶部３内の３つのテーブルを、総称してポリシーデータと呼称する。ここで、役割管理テーブル３１ではユーザの役割が定義され、スキーム管理テーブル３２では上下階層間のアクセス条件が定義され、アクセス制御テーブル３３ではファイルシステム４内のオブジェクトに関する情報が定義される。
以下に、３つのテーブルの機能について説明する。

まず、役割管理テーブル３１について説明する。
役割管理テーブル３１は、以下の引数からなる複数のレコードで構成される。
以降の説明では、このレコードを、＜ｒ，ｉ，ｕ＞と表す。
ｒ：役割
ｉ：役割rに包含される役割
ｕ：役割rに割り当てられたユーザ
ｒはこのレコードを認識するための役割名であり、ｉは役割ｒに包含される役割である。ｕは、役割ｒに割り当てられたユーザである。
例えば、経営者役割がマネージメント役割と意志決定役割を包含し、取締役ｕ１が経営者役割に割り当てられ、取締役ｕ２と取締役ｕ３がマネージメント役割に割り当てられている場合、以下のような役割管理テーブルを構成する。
＜経営者，マネージメント：意志決定，ｕ１＞
＜マネージメント，ｎｕｌ，ｕ２：ｕ３＞
ここで、ｎｕｌは定義なしを意味する。

次に、スキーム管理テーブル３２について説明する。
スキーム管理テーブル３２は、以下の引数からなる複数のレコードで構成される。
以降の説明では、このレコードを、＜ｓ，ｒ，ｔ＞と表す。
ｓ：スキーム名
ｒ：役割
ｔ：スキーム種別
ｓは、このレコードを認識するためのスキーム名である。
ｒは役割管理テーブル１に定義されている役割であり、このレコードでは役割ｒに対するしてスキーム種別ｔを定義する。
ｔはスキーム種別であり、「守秘性スキームｃ」と「完全性スキームｉ」の２種があり、いずれかを選択する。
以下に、「守秘性スキームｃ」と「完全性スキームｉ」について説明する。
守秘性スキームｃは、上位階層の役割に割り当てられたユーザが、下位階層の役割に割り当てられたユーザの作成したディレクトリやファイルにアクセスするときに、もしくは、下位階層の役割に割り当てられたユーザが、上位階層の役割に割り当てられたユーザのディレクトリやファイルにアクセスするときに、上位階層から下位階層へ情報を流れないことを条件とするアクセス制御を実現する。
たとえば、役割ｒ１に役割ｒ２が包含され、役割ｒ１が守秘性スキームｃとして定義された場合、役割ｒ１に割り当てられたユーザの情報が役割ｒ２のユーザに流れるような操作演算は拒否される。

一方、完全性スキームｉは、上位階層の役割に割り当てられたユーザが、下位階層の役割に割り当てられたユーザの作成したディレクトリやファイルにアクセスするときに、もしくは、下位階層の役割に割り当てられたユーザが、上位階層の役割に割り当てられたユーザの作成したディレクトリやファイルにアクセスするときに、下位階層から上位階層へ情報が流れないことを条件とするアクセス制御を実現する。
たとえば、役割ｒ１に役割ｒ２が包含され、役割ｒ１が完全性スキームｉとして定義された場合、役割ｒ２に割り当てられたユーザは、ｒ１に割り当てられたユーザの情報が役割ｒ２のユーザに流れるような操作演算のみ許可される。
管理者は、特別なユーザとして扱われ、ファイルの読み出し、書き込み操作は禁止される。すなわち、すべてのユーザから管理者に対して情報が流れないものとする。

次に、アクセス制御テーブル３３について説明する。
アクセス制御テーブルは、以下の引数からなる複数のレコードで構成される。
以降の説明では、このレコードを、＜ｏ，ｓ，ｌ，ｏｗ＞と表す。ｏ：オブジェクト名（ファイル名、もしくは、ディレクトリ名）
ｓ：スキーム名
ｌ：最終変更ユーザの役割
ｏｗ：最終変更ユーザ名
ｏは、オブジェクト名であり、ファイルの場合はファイル名、ディレクトリの場合はディレクトリ名が定義される。
ｓは、このオブジェクトに割り当てられているスキーム種別を示す。
ｌは、このオブジェクトを最後に変更したユーザの役割を示す。つまり、ある役割に割り当てられたユーザの操作演算の実行によって、そのユーザから情報が流れた場合に変更される。
ｏｗは、オブジェクトを最後に変更したユーザを示す。これは、このオブジェクトの所有者の位置付けになる。これも上記と同様にして変更される。

ユーザから送信されるアクセスデータは、以下の引数の組み合わせで表される。
以降の説明では、このアクセスデータを＜ｕ，ｒ，ｏ，ｖ＞と表す。
ｕ：ユーザ名
ｒ：アクセスするユーザの役割
ｏ：ユーザがアクセスしたいオブジェクト名（ファイル名、もしくは、ディレクトリ名）
ｖ：操作演算
操作演算ｖには、以下のものがある。
ディレクトリに対する演算として：作成“ｄｃ”
削除“ｄｄ”
ファイル一覧“ｄｒ”
ファイルに対する演算として： 作成“ｆｃ”
読み出し“ｆｒ”
書き込み“ｆｗ”
変更“ｆｍ”
削除 “ｆｄ”
ある役割に割り当てられたユーザが、別の役割に割り当てられたユーザが作成したディレクトリもしくはファイルに、アクセスする場合の操作演算は、以下のように定義される。これは、情報流に関する視点でみたものである。
役割ｒ１に割り当てられたユーザｕ１の情報が、役割ｒ２に割り当てられたユーザｕ２の作成したオブジェクトに流れる、ユーザｕ１の操作演算
１．ｕ１が、ｕ２の作成したディレクトリにファイルを作成 “ｆｃ”
２．ｕ１が、ｕ２の作成したディレクトリにディレクトリを作成 “ｄｃ”
３．ｕ１が、ｕ２の作成したファイルを削除 “ｆｄ”
４．ｕ１が、ｕ２の作成したディレクトリを削除 “ｄｄ”
５．ｕ１が、ｕ２の作成したファイルに情報を書き込み “ｆｗ”
６．ｕ１が、ｕ２の作成したファイルを変更する “ｆｍ”
役割ｒ１に割り当てられたユーザｕ１の作成したオブジェクトの情報が、役割ｒ２に割り当てられたユーザｕ２に流れる、ユーザｕ２の操作演算
１．ｕ２が、ｕ１の作成したファイルの情報を読み出し “ｆｒ”
２．ｕ２が、ｕ１の作成したディレクトリのファイル一覧 読み出し“ｄｒ”
３．ｕ２が、ｕ１の作成したファイルを変更する “ｆｍ”

図２は、本発明の実施例を示すファイルサーバシステムにおけるポリシーデータの設定例である。
図を用いて、各テーブルの使用法を具体的に説明する。
まず、役割管理テーブル３１について説明する。
管理者が、役割とユーザ定義し、この役割にユーザを割り当てる。一つの役割に複数ユーザが割り当てられることもある。ここでは、役割ｒ１，ｒ２，ｒ３を定義し、役割ｒ１がｒ３を、役割ｒ２がｒ３をするよう定義した。役割ｒ３に包含される役割はないのでnｕl（なし）と記載している。また、役割ｒ１にユーザｕ１とｒ２を、役割ｒ２にユーザｕ３を、役割ｒ３にユーザｕ４を割り当てている。
次に、スキーム管理テーブル３２について説明する。
スキームｓ１では役割ｒ１に守秘スキームｃを、スキームｓ２では役割ｒ２に完全スキームｉをそれぞれ定義している。

次に、ファイルシステムにおけるディレクトリ作成について説明する。
管理者のみが、ルートディレクトリにディレクトリを作成できる。また、すべてのユーザは、管理者が作成したディレクトリに対して、ディレクトリおよびファイルの作成は許されている。なお、ルートディレクトリに新規にディレクトリに作成する場合、そのディレクトリにスキーム管理テーブル３２で定義したスキームを指定する。
図においては、管理者がルートディレクトリにパス／cとパス／ｉのディレクトリを作成し、パス／cのディレクトリにはスキームｓ１を、／ｉのディレクトリにはスキームｓ２を割り当てている。
ここで、最終変更ユーザの役割ｌは、作成したユーザに割り当てられている役割が設定される。／cは管理者が作成したため、最終変更ユーザの役割ｌは管理者ａｄｍに設定される。その結果、アクセス制御テーブルには、レコード＜／ｃ，ｓ１，ａｄｍ，ａｄｍ＞が作成される。

続いて、ｒ１に割り当てられたユーザｕ１が、ディレクトリ／cにファイルｆ１を作成することを考える。作成されたファイルのスキームｓは、ディレクトリ／cのスキームｓ1が自動的に割り当てられるため、ファイルｆ１のスキームはｓ１に設定される。その結果、アクセス制御テーブルには、レコード＜／ｃ／ｆ１，ｓ１，ｒ１，ｕ１＞が作成される。
同様に、役割ｒ３に割り当てられたユーザｕ３が、ディレクトリ／ｉにファイルｆ２を作成することを考える。ファイルｆ２にはスキームｓ２に設定され、アクセス制御テーブルには、レコード＜／ｉ／ｆ２，ｓ２，ｒ３，ｕ３＞が作成される。
このように、オブジェクト毎にユーザが定義されるので、ユーザが異なれば同一ファイル名でも良い。つまり、ファイルへのアクセスは、ファイル名とユーザ名によって一意に特定できる。

次に、役割ｒ３に割り当てられたユーザｕ４が、役割ｒ１に割り当てられたユーザｕ１が作成したファイルｆ１へのアクセスを考える。
ｕ４によるファイルｆ１への読み出し操作演算”ｆｒ”のアクセスデータは、＜ｕ４，ｒ３，／ｃ／ｆ１，”ｆｒ”＞となる。ファイルｆ１へのアクセスに関するスキームは、アクセス制御テーブル３３とスキーム管理テーブル３２から「守秘性スキームｃ」であることが検索でき、さらに役割管理テーブル３１から、ｒ３はｒ１に包含されていることが検索できる。すなわち、このアクセスは、ｒ１の情報が下位役割ｒ３に割り当てられたユーザｕ４へ流れると定義されているために、アクセスデータ＜ｕ４，ｒ３，／ｃ／ｆ１，” ｆｒ”＞は、拒否される。一方、ｕ４によるファイルｆ１への書き込み操作演算”ｆｗ”のアクセスデータ＜ｕ４，ｒ３，／ｃ／ｆ１，”ｆｗ”＞は、ｒ１への情報の流れとして定義されているため許可される。

図３は、本発明の実施例を示すファイルサーバシステムの動作を示すフローチャートである。
図３において使用される各記号が図２の記号と別の場合は、大文字の英文字を使用する。
各ステップの説明文の前にステップ番号を示す。
（Ｓ１０）まず、ある役割に割り当てられたユーザが、システム内のディレクトリまたはファイルへアクセスする時に、アクセスデータ＜Ｕ１、Ｒ１、Ｏ１、Ｖ１＞を送信し、要求制御モジュール１がこれを受信する。
（Ｓ１１）アクセス制御テーブル３３で、アクセスデータのオブジェクト名Ｏ１をキーに、スキームＳ２、最終変更ユーザの役割Ｒ２、最終変更ユーザＵ２を検索する。
（Ｓ１２）オブジェクト名Ｏ１のレコードが存在するか否かを確認し、該当するレコードが存在する場合Ｓ１４に進み、該当するレコードが存在しない場合はＳ１３に進む。
（Ｓ１３）アクセスデータの操作演算Ｖ１が、ｄｃもしくはｆｃの場合はＳ１４に進み、そうでない場合はＳ１７に進む。
（Ｓ１４）スキーム管理テーブル３２で、スキームＳ２をキーに、役割ｒとスキーム種別ｔを検索する。続いて、役割管理テーブル３１で、アクセスデータの役割Ｒ１、Ｓ１１で検索したオブジェクトの役割Ｒ２、スキーム管理テーブルで検索した役割ｒの関係をチェックする。
（Ｓ１５）Ｒ１とＲ２共にｒに含まれるか同じ場合Ｓ１６に進み、そうでない場合はＳ１７に進む。
（Ｓ１６）Ｓ１４で検索したスキーム種別ｔをチェックし、守秘性スキームｃの場合は守秘性スキームの処理へ進み、完全性スキームｉの場合は完全性スキームの処理に進む。
（Ｓ１７）当該オブジェクトへのアクセスが許可されず、アクセス不可の情報をユーザに送信し、処理を終了する。
（Ｓ１８）当該オブジェクトへのアクセスが許可され、ファイル管理モジュール２を介して当該オブジェクトに操作演算を実行し、処理を終了する。

図４は、本発明の実施例を示すファイルサーバシステムの動作を示すフローチャートにおける守秘性スキームの処理フローである。
図３のＳ１６でスキーム種別ｔが守秘スキームの場合に、以下の処理を行う。
（Ｓ２１）まず、Ｒ１がＲ２に含まれているかをチェックする。Ｒ１がＲ２に含まれている場合Ｓ２２に進み、Ｒ１がＲ２に含まれていない場合Ｓ２６に進む。
（Ｓ２２）アクセスデータの操作演算Ｖ１が、ｄｃ、ｆｃ、ｆｗ、ｄｄ、ｆｄのいずれかであるかをチェックする。Ｖ１が、ｄｃ、ｆｃ、ｆｗ、ｄｄ、ｆｄのいずれかである場合Ｓ１８に進み、いずれでもない場合Ｓ２３に進む。
（Ｓ２３）Ｏ１が、ディレクトリかつＶ１がｄｒであるかをチェックする。Ｏ１が、ディレクトリかつＶ１がｄｒである場合はＳ２４に進み、そうでない場合はＳ１８に進む。
（Ｓ２４）ディレクトリＯ１に含まれるファイルのうち、最終変更ユーザＵ１のファイルのみについて一覧表示が許可され、当該ディレクトリ内のＵ１のファイルを表示し、処理を終了する
（Ｓ２６）Ｒ２がＲ１に含まれているかをチェックし、Ｒ２がＲ１に含まれている場合Ｓ２７に進み、そうでない場合はＳ２８に進む。
（Ｓ２７）Ｓ２６でＲ２がＲ１に含まれているとなった場合、ｖ１がｆｒまたはｄｒであるかを判断し、Ｖ１がｆｒまたはｄｒの場合はＳ１８に進み、そうでない場合はＳ１７に進む。
（Ｓ２８）Ｓ２６においてＲ２がＲ１に含まれていない場合は、Ｒ１＝Ｒ２であることを意味する。ここでは、Ｏ1がディレクトリで、かつＶ１がｄｒであるかをチェックする。Ｏ1がディレクトリで、かつＶ１がｄｒである場合はＳ２９に進み、そうでない場合はＳ１８に進む。
（Ｓ２９）Ｓ２８でＯ1がディレクトリでＶ１がｄｒの場合、最終変更ユーザがＵ１のファイルのみについて一覧表示が許可され、当該ディレクトリ内のＵ１のファイルを表示し、処理を終了する。

図５は、本発明の実施例を示すファイルサーバシステムの動作を示すフローチャートにおける完全性スキームの処理フローである。
図３のＳ１６でスキーム種別ｔが完全スキームｉの場合に、以下の処理を行う。
（Ｓ３１）アクセスデータのＲ１がオブジェクトのＲ２に含まれているかをチェックする。Ｒ１がＲ２に含まれている場合Ｓ３２に進み、そうでない場合はＳ３４に進む。
（Ｓ３２）Ｓ３１でＲ１がＲ２に含まれている場合、Ｖ１がｆｒもしくはｄｒかをチェックする。Ｖ１がｆｒもしくはｄｒの場合Ｓ１８に進み、そうでない場合はＳ１７に進む。
（Ｓ３４）Ｒ２がＲ１に含まれているかをチェックし、Ｒ２がＲ１に含まれている場合Ｓ３５に進み、そうでない場合はＳ１８に進む。
（Ｓ３５）Ｖ１がｄｃ、ｆｃ、ｆｗ、ｄｄ、ｆｄのいずれかであるかをチェックする。Ｖ１がｄｃ、ｆｃ、ｆｗ、ｄｄ、ｆｄのいずれかである場合Ｓ３６に進み、いずれでもない場合Ｓ１７に進む。
（Ｓ３６）当該オブジェクトの操作演算を行った後、最終変更ユーザの役割をＲ１に、最終変更ユーザをＵ１に変更し、処理を終了する。

このようにして、役割管理テーブル３１で役割の階層関係を定義し、スキーム管理テーブル３２で役割とスキーム種別の関係を定義し、アクセス制御テーブル３３で対象オブジェクトのスキーム、最終ユーザとその役割を定義して、ユーザからのアクセス要求時にこれらのテーブルを参照して、ユーザの対象オブジェクトへのアクセス可否を確認するようにしている。
これにより、ユーザの階層に従ったアクセス権限が自動的に付与でき、さらにスキーム種別で情報流をも制御できるのである。このシステムにより、管理者が定義した組織内セキュリティポリシーに自動的に従わせることができる。
また、ディレクトリ内のファイルで、要求ユーザに読み込みを許可していないファイルの存在を通知しないで、要求ユーザが読み込み可能なファイルのみの一覧表示することができるようにしている。これにより、不要な情報流出がより確実になる。
また、ファイル管理モジュール２が、ファイルシステム４内のオブジェクトとアクセス制御テーブル３３に関する変更履歴を記憶し、前記変更履歴に基づき変更前の状態に戻す機能を有する。アクセス制御テーブル３３で最終変更ユーザの役割を記憶しているので、アクセス可能なユーザが、当該オブジェクトに必要な操作演算を実行できるのである。

本発明は、組織内のセキュリティポリシーに従う必要のあるコンピュータ単体またはネットワークシステムに適用できる。

本発明の実施例を示すファイルサーバシステムの構成図 本発明の実施例を示すファイルサーバシステムのポリシーデータの設定例 本発明の実施例を示すファイルサーバシステムの動作を示すフローチャート 本発明の実施例を示すファイルサーバシステムの動作を示すフローチャートにおける守秘性スキームの処理フロー 本発明の実施例を示すファイルサーバシステムの動作を示すフローチャートにおける完全性スキームの処理フロー

符号の説明

１ 要求制御モジュール
２ ファイル管理モジュール
３ ポリシーデータ記憶部
４ ファイルシステム
３１ 役割管理テーブル
３２ スキーム管理テーブル
３３ アクセス制御テーブル

Claims (9)

1. ファイルやディレクトリ等のオブジェクトで構成されるファイルシステムと、
   前記ファイルシステムを管理するファイル管理モジュールと、
   を備えたファイルサーバシステムにおいて、
   前記ファイルシステムへのアクセス時に適用するセキュリティポリシーデータを記憶するポリシーデータ記憶部と、
   前記セキュリティポリシーデータに従って前記ファイルシステム(４)へのアクセスを制御する要求制御モジュールとを備え、
   前記ポリシーデータ記憶部が、
   ユーザと前記ユーザの役割を記憶する役割管理テーブルと、
   前記オブジェクトにアクセスできるユーザ役割を記憶するアクセス制御テーブルとを備え、
   ユーザからアクセス要求があると、前記アクセス制御テーブルを検索して前記アクセス要求対象のオブジェクトにアクセスできるユーザ役割を求め、前記役割管理テーブルを検索して前記アクセス要求したユーザの役割を求め、前記オブジェクトへのアクセス可否を決定することを特徴とするファイルサーバシステム。
2. 前記役割管理テーブルが、複数の役割と、前記役割毎に包含される下位の役割を定義し、前記役割毎にユーザを割り当てることを特徴とする請求項１記載のファイルサーバシステム。
3. 前記アクセス制御テーブルが、前記オブジェクトに関する情報として、オブジェクト名と、最終変更ユーザの役割と、最終変更ユーザ名とを備え、
   前記ユーザからのアクセスで前記オブジェクトが変更された場合は、前記オブジェクトに最後にアクセスしたユーザ役割とユーザ名を、前記最終変更ユーザの役割と最終変更ユーザ名とすることを特徴とする請求項１記載のファイルサーバシステム。
4. 前記ポリシーデータ記憶部が、さらに、情報流れを定義するスキーム種別と前記ユーザ役割の関係を記憶するスキーム管理テーブルを備え、
   前記アクセス制御テーブルが、さらにスキーム名を備え、
   前記アクセス制御テーブルにより前記オブジェクトのスキーム名を検索し、前記スキーム管理テーブルにより前記スキーム名に関するユーザ役割とスキーム種別を検索し、前記スキーム種別に従って情報流れを制御することを特徴とする請求項３記載のファイルサーバシステム。
5. 前記スキーム種別は、
   上位階層から下位階層へ情報が流れないことを条件とする守秘性スキームと、
   下位階層から上位階層へ情報が流れないことを条件とする完全性スキームとが、
   選択できることを特徴とする請求項４記載のファイルサーバシステム。
6. 前記ファイル管理モジュールが、
   前記オブジェクトと前記アクセス制御テーブルの変更履歴を記憶し、アクセス可能なユーザが、前記変更履歴に基づき以前の状態に戻す機能を有することを特徴とする請求項１記載のファイルサーバシステム。
7. 前記要求制御モジュールが、
   上位層ユーザの作成したディレクトリに、下位層ユーザがファイル一覧表示要求をした場合、前記ディレクトリが守秘性スキームの場合には、下位層ユーザが作成したファイルのみを一覧表示することを特徴とする請求項１記載のファイルサーバシステム。
8. 前記アクセス制御テーブルが、
   ユーザ名が異なるが、同じ名称を有する複数オブジェクトを許容し、重複したファイルへのアクセスは、ファイル名とユーザ名によって一意に特定できることを特徴とする請求項１記載のファイルサーバシステム。
9. 請求項１乃至８記載のファイルサーバシステムを適用したファイルサーバ装置。

Images