JP2008027007A - コンテンツ管理システム及びその制御方法 - Google Patents

Abstract

【課題】 例えばイントラネット環境であるか、インターネット環境であるか等に応じて、その振る舞いを変更するといったように、各種条件に応じたアクセス制御を実行することができなかった。
【解決手段】 暗号化キーに基づいてコンテンツファイルを暗号化し（４００２）、その暗号化されたコンテンツファイルの復号キーと、コンテンツの使用制限をポリシーとして定義したポリシーとを含むキーファイル（４００９，４０１０）を生成する。こうして暗号化されたコンテンツファイルと、キーファイル、及び当該キーファイルの適用条件を記述したコントロールファイル（４０１１）とを含むバインダファイル（４０１２）を作成する。
【選択図】 図４

Description

本発明は、システムに保存されたコンテンツファイルを複数のユーザで共有する技術に関するものである。

文書データを読み取り可能なデバイスと、文書データを管理するサーバ、それらを利用するためのＰＣ等のクライアントが同一ネットワークに接続された文書管理システムが知られている。このような文書管理システムで、複数のユーザが文書データを共有する場合、各文書データやフォルダにアクセス権を設定して、特定のユーザにのみ、その文書データの編集権を与えるといった方法もある。また配信された文書データに対して、ポリシーに基づいた管理を行うポリシー管理サーバといった、その文書データの利用権限を定義し管理しているサーバで発行されたポリシーを文書に付与している。これにより、その文書データがシステムから配信された後でも、その文書データに対するアクセス権を制御するポリシー管理システムを提供できる。

また、受信したコンテンツを表示する表示装置を備える広告表示用の移動体と、その移動体にデジタルコンテンツを提供するサーバとを含むシステムが提案されている。これによれば、移動体は現在位置の情報をサーバに送信し、その位置情報を受信したサーバでは、その情報を判断して適切なコンテンツを選択して配信する（特許文献１参照）。

また、サーバからコンテンツを配信する際、そのコンテンツの索引データであるインデックスファイルに、そのコンテンツの利用条件を含めた情報を添付して配信する。これを受信した端末では、インデックスデータを参照する際に、その添付された利用条件を示す情報をチェックする。これにより、その利用条件に基づいたコンテンツの利用を可能にしたシステムも存在する（特許文献２参照）。
特開２００３−０９９６７０号公報 特開２００３−３４５６６０号公報

上述したポリシー管理サーバで発行されたポリシーを文書データに付与して文書データを配信するシステムでは、通常、一つのファイルに一つしか、有効なポリシーを設定することができない。従って、例えばイントラネット環境とインターネット環境においてポリシーを切り替える等といったように、条件に応じて、適用されるポリシーを切り替えることができなかった。

また、コンテンツを配信する際、そのコンテンツの索引データであるインデックスファイルに、そのコンテンツの利用条件を含めて配信するシステムにおいても、そのコンテンツに対して単一の利用条件しか設定できない。従って、例えばイントラネット環境であるか、インターネット環境であるか等に応じて、その振る舞いを変更するといったように、各種条件に応じたアクセス制御を実行することができなかった。

本発明の目的は、上記従来の問題点を解決することにある。

また本願発明の特徴は、配信されたコンテンツファイルのアクセス制御を、それぞれの条件で異なるポリシーを適用して制御できる技術を提供することにある。

上記目的を達成するために本発明の一態様に係るコンテンツ管理システムは以下のような構成を備える。即ち、
コンテンツファイルを管理するコンテンツ管理システムであって、
コンテンツの操作権限を特定するための情報であるポリシーを定義するポリシー定義手段と、
コンテンツファイルを暗号化する暗号化手段と、
前記暗号化手段により暗号化されたコンテンツファイルを復号するための復号キーと、前記ポリシー定義手段で定義されたポリシーとを含むキーファイルを生成するキーファイル生成手段と、
前記暗号化手段により暗号化されたコンテンツファイルと、前記キーファイル生成手段により生成されたキーファイル、及びキーファイルの適用条件を記述したコントロールファイルとを含むバインダファイルを作成する手段と、
を有することを特徴とする。

上記目的を達成するために本発明の一態様に係るコンテンツ管理システムは以下のような構成を備える。即ち、
ネットワークを介してコンテンツファイルを格納するコンテンツサーバと、コンテンツの操作権限を特定するための情報であるポリシーを発行し管理するポリシー管理サーバとに接続したコンテンツ管理装置であって、
前記コンテンツサーバに格納されたコンテンツファイルと、前記ポリシー管理サーバから発行される当該コンテンツファイルに付与するポリシーとを取得する取得手段と、
前記コンテンツサーバから暗号化キーを取得して、前記コンテンツファイルを暗号化する暗号化手段と、
前記暗号化手段により暗号化されたコンテンツファイルを復号するための復号キーと、前記取得手段が取得したポリシーとを含むキーファイルを作成するキーファイル作成手段と、
前記暗号化手段により暗号化されたコンテンツファイルと、前記キーファイル生成手段により作成されたキーファイル、及びキーファイルの適用条件を記述したコントロールファイルとを含むバインダファイルを作成する手段と、
を有することを特徴とする。

上記目的を達成するために本発明の一態様に係るコンテンツ管理システムの制御方法は以下のような工程を備える。即ち、
コンテンツファイルを管理するコンテンツ管理システムの制御方法であって、
コンテンツの操作権限を特定するための情報であるポリシーを定義するポリシー定義工程と、
コンテンツファイルを暗号化する暗号化工程と、
前記暗号化工程で暗号化されたコンテンツファイルを復号するための復号キーと、前記ポリシー定義工程で定義されたポリシーとを含むキーファイルを生成するキーファイル生成工程と、
前記暗号化工程で暗号化されたコンテンツファイルと、前記キーファイル生成工程で作成されたキーファイル、及びキーファイルの適用条件を記述したコントロールファイルとを含むバインダファイルを作成する工程と、
を有することを特徴とする。

尚、この課題を解決するための手段は、本願発明の特徴の全てを列挙しているものではなく、特許請求の範囲に記載された他の請求項及びそれら特徴群の組み合わせも発明になり得る。

本発明によれば、配信されたコンテンツファイルのアクセス制御を、それぞれの条件で異なるポリシーを適用して制御することができる。

以下、添付図面を参照して本発明の好適な実施の形態を詳しく説明する。尚、以下の実施の形態は特許請求の範囲に係る本発明を限定するものでなく、また本実施の形態で説明されている特徴の組み合わせの全てが本発明の解決手段に必須のものとは限らない。

［実施の形態１］
図１は、本発明の実施の形態１に係る文書管理システムのソフトウェア構成を示すブロック図である。

この文書管理システムは、パーソナルコンピュータ（ＰＣ）のＯＳ上で動作するクライアントソフトウェア１０００と、スキャナ等のデバイスやＯＳ上のファイルからコンテンツファイルである文書データを取り込み、文書データを複数のユーザで管理するコンテンツサーバである文書サーバソフトウェア１１００とを有している。また、この文書サーバソフトウェア１１００とは別に、配信されたファイルに対するアクセスを制御する「ポリシー」という制御データを管理及び発行できるポリシー管理サーバソフトウェア１２００を含んでいる。尚、以下の説明では、１０００，１１００，１２００のそれぞれは、クライアント、文書サーバ、ポリシー管理サーバとして説明する。また、各ソフトウェアを実装しているサーバやクライアントは図７を参照して後述する。

まず、文書データの入出力や操作を行う処理部について説明する。

クライアント１０００のユーザは、ユーザインターフェース部１００１を介して文書サーバ１１００に対して文書データの登録や、文書サーバ１１００から文書データの獲得、或は文書データの検索といった操作を行う。また本実施の形態に係る固定キーワードに対するアクセス権の設定、アクセス権が設定された文書データの獲得や表示といった操作もここで行われる。このユーザインターフェース部１００１で操作された情報はコマンド制御部１００２で解析され、それに応じた処理が行われる。また必要であれば文書サーバ１１００と通信するためのコマンドがここで作成される。スキャナ等のデバイスはデバイス制御部１００３によって制御される。デバイス制御部１００３は、デバイスから文書データを吸い上げたり、デバイスから送信されるデータを受け取ったりする。ファイルサーバ等のＯＳ上に保存された文書ファイルは、文書データをインポートする形態で、ファイル制御部１００４で入力される。また、文書サーバ１１００で管理するファイルをＯＳ上にエクスポートする処理もここで行われる。

外部モジュール通信部１００５は、外部アプリケーションと通信を行い、文書サーバ１１００の文書データを外部アプリケーションに渡したり、或は外部アプリケーションから文書データを受け取る処理を行う。例えば、ＭＡＰＩ（Messaging Application Program Interface）に対応したメーラに文書サーバ１１００で管理している文書データを渡したりする処理はここで行われる。

次に、クライアント１０００に配置される各種処理部について説明する。

文書管理制御部１００６は、このクライアント１０００の心臓部である。ここでは、前述の制御部１００２〜１００４より渡されたファイルやコマンドに応じて処理を行う。テンポラリデータベース１００７は、テンポラリデータを保存するためのデータベースである。ここでは、画像処理を行う過程で作成されるデータや、サーバ１１００，１２００との通信の過程で作成されるデータ等が一時的に保存される。ポリシーデータ処理部１００８は、あるいは文書データに関連付けられたポリシーデータに従ってフォルダや文書データへのアクセスを制御する。ポリシーデータ処理部１００８は、文書データに付与されているポリシーデータをポリシー管理サーバ１２００に対して送信して、当該文書データに対する操作権限を確認する処理を行う。ポリシーデータの詳細な説明については後述する。またポリシー管理サーバ１２００から受け取った当該ファイルの操作権限を示す情報である権限リスト等を処理し、文書管理制御部１００８へポリシーの確認結果等を返す。通信制御部１００９は、文書サーバ１１００やポリシー管理サーバ１２００と通信するための制御を行う。本実施の形態の通信制御部１００９は、文書サーバ１１００やポリシー管理サーバ１２００の処理に特化した制御のみを行っており、ＴＣＰ／ＩＰ等の通信そのものの制御はＯＳに用意されたものを使用している。

暗号処理部１０１０は、コンテンツファイルや後述するキーファイルの暗号化、復号処理を行う。外部条件確認部１０１１は、後述するポリシーの適用条件を示すコントロールファイルに記載されている条件に従って文書データにアクセスするＰＣの外部条件をチェックし、適用するべきキーファイルを特定する。

次に、文書サーバ１１００に配置される各種処理部について説明する。

通信制御部１１０１は、クライアント１０００の通信制御部１００９との間の通信制御を行う。但し、この通信制御部１００９は、多数のクライアントの通信制御部と並行して通信を行うことが可能になっている。文書管理処理部１１０２は、クライアント１０００からの指示に応じた文書サーバ１１００での処理を制御している。テンポラリデータベース１１０３は、テンポラリデータを保存するためのデータベースで、クライアント１０００との通信の過程で作成されるデータや、文書変換ルールに従って変換された文書データ等を一時的に保存する。検索制御部１１０４は、クライアント１０００から依頼された文書データの検索処理を行ったり、登録された文書データの検索用インデックスを作成するための処理を行ったりしている。

データベース制御部１１０５は、後述するデータベース１１０６〜１１０８に保存するデータを作成し、それぞれ対応するボリュームデータベース１１０６、属性データベース１１０７、全文検索用データベース１１０８に、対応する文書データを保存する。また、クライアント１０００からの要求に応じて、それぞれのデータベースからデータを取り出してクライアント１０００に渡す文書データを作成する処理を行う。ボリュームデータベース１１０６は、文書データの実態を保存するデータベースである。このボリュームデータベース１１０６は概念的なものであって、実態はＯＳのファイルシステムであっても問題はない。属性データベース１１０７は、文書データの名前や作成日付、コメント等の属性に関する情報を保存する。また属性データベース１１０７は、本実施の形態に係る文書管理システムを使用するユーザの情報等の管理情報データや、キーワードに対するアクセスコントロールテーブル、アクセス権に応じた文書変換ルールも保存している。全文検索用データベース１１０８は、登録された文書データからテキストデータを抽出し、そのインデックス情報を登録する。クライアント１０００で全文検索が行われると、この全文検索用データベース１１０８が検索される。暗号キー発行部１１０９は、コンテンツデータを暗号化したり復号するためのキーを発行する。

次に、ポリシー管理サーバ１２００の各種処理部について説明する。

通信制御部１２０１は、クライアント１０００の通信制御部１００９との間の通信制御を行う。但し、ポリシー管理サーバ１２００の通信制御部１２０１は、多数のクライアントの通信制御部と同時に通信を行うことができる。ポリシー管理制御部１２０２は、クライアント１０００からの要求に応じたポリシー管理サーバ１２００の処理を制御している。ポリシー発行部１２０３は、ポリシー管理制御部１２０２で受け付けたクライアント１０００からの要求に従って、ポリシーデータを生成すると共に、ポリシー管理用データベース１２０５へポリシーを登録するようにデータベース制御部１２０４へ依頼する。データベース制御部１２０４は、ポリシー発行部１２０３で発行されたポリシーを、ポリシー管理用データベース１２０５に格納する。また、クライアント１０００からの要求に応じて、ポリシー管理用データベース１２０５からポリシーデータあるいは後述する権限情報を取り出し、クライアント１０００に渡す。ポリシー管理用データベース１２０５は、ポリシー管理に必要なデータを格納しているデータベースである。尚、ポリシー管理に必要なデータとは、ポリシーの識別データや属性データ、更に、ポリシーに関連付けられて制御される対象の文書データを識別するためのデータや、ポリシーに対しての動作が規定されるユーザの識別データや認証データをいう。

図２（Ａ）〜（Ｃ）は、ポリシー管理用データベース１２０５に登録されているポリシーに関する情報のデータ構造の一例を示す図である。

図２（Ａ）は、ポリシーＩＤ（PID）と、ポリシー名（PolicyName）とを関連付けるテーブルを示す。図２（Ｂ）は、ポリシーが付与されているドキュメントのＩＤ（DocumentID）と、それに付与されているポリシー（PID）、ポリシーの付与時に暗号化された文書コンテンツの復号キー（Key）の関連を管理するためのテーブルを示している。図２（Ｃ）は、ポリシー管理サーバ１２００で管理されているユーザＩＤ（UID）と、ユーザ名前（UserName）と、パスワード（Password）とを関連付けて記憶するユーザ情報テーブルを示す。図２（Ｄ）は、各ポリシーの定義を管理するテーブルであり、各ポリシーＩＤ（PID）に対応して、ユーザＩＤ（UID）とそのユーザに許可されている権限（Rights）を示す情報（権限情報）記憶している管理テーブルを示す。本実施形態において、設定可能権限は１種類とするが、この他に印刷権限等の他の権限を設定可能としてもよい。

ここで図２から分かるように、１以上の特定のユーザに対する権限の１まとまりに対してポリシーＩＤ（ＰＩＤ）を付与することで特定のポリシーが特定可能になる。そして、ドキュメントＩＤ（ＤＩＤ）とＰＩＤとを関連付けることによって、ある特定の文書に対する特定のユーザに対する権限を定義することが可能になる。

尚、ポリシーが付与された文書データには、ＤＩＤが関連付けられ、当該ＤＩＤに対応する復号鍵（（Ｂ）のKey）に対応する暗号鍵で暗号化されている。従って、ポリシーが付与された文書データ自体は暗号化され、更に属性情報としてＤＩＤとポリシー管理サーバ１２００を特定する情報（ＩＰアドレスなど）が付加された構成になっている。

図３は、本実施の形態に係る、ポリシーが付与されたファイルのデータ構造を示す概念図である。図４のキーファイルＸ４００９、キーファイルＹ４０１０も同様の構造を有している。

３００１は、ファイルの種類やファイル自身のメタデータを格納するヘッダである。３００２は、ポリシー付与時に暗号化されたファイルのメインのコンテンツ部分にあたるファイルデータ部を示す。３００３は、ポリシー管理サーバ１２００に対してポリシーの確認を行うために必要なポリシーデータ部を示す。このポリシーデータ部３００３は、ポリシー識別データ（PID）と、ポリシー管理サーバ１２００でドキュメントを識別するためのドキュメントＩＤ（DocumentID）と、ポリシー管理サーバ１２００を特定するポリシー管理サーバ１２００を特定するデータ（ＩＰアドレスなど）とを含む。なお、図２（Ａ）〜（Ｄ）の説明から分かるように、ポリシー管理サーバ１２００では、ＤＩＤさえ分かればＰＩＤを特定することが可能である。従ってポリシーデータ部３００３は必ずしもＤＩＤとＰＩＤの両者を有している必要は無く、いずれか一方のみを有していてもよい。

図４は、本実施の形態に係る文書サーバ１１００から配信されるバインダファイルの生成工程を説明する概念図である。

４０００はコンテンツファイルを示し、本実施の形態では、複数のコンテンツファイルでも単一ファイルとして配信できる形態としている。４００１はコンテンツファイル４０００を暗号化、復号するための暗号化キーを示し、文書サーバ１１００の暗号キー発行部１１０９によって発行される。４００２は、暗号化キー４００１によって暗号化されたコンテンツファイルを示している。４００３，４００４は、コンテンツを復号するキーを保存したファイル（或はデータ）を示している。４００５，４００６は、ポリシーを発行するポリシー管理サーバ（図１のポリシー管理サーバ１２００と同様の構成）を示している。４００７，４００８は、ポリシー管理サーバ４００５，４００６から発行されたポリシーを示し、このポリシーは復号キーを保存したファイル（或はデータ）４００３，４００４に付与される。キーファイル４００９，４０１０は、復号キーを保存したファイル４００３，４００４に対してポリシーを付与したファイルを示している。４０１１はコントロールファイルを示し、外部条件とその外部条件によって適用すべきキーファイルを指定している。バインダファイル４０１２は、本実施の形態では、コンテンツファイル４００２、キーファイル４００９，４０１０、コントロールファイル４０１１を一つのファイルとしてアーカイブしたものである。

図５は、本実施の形態に係る文書管理システムにおいて、文書データを配信するために文書データをバインダ化してポリシーを設定する処理の流れを示すフローチャートである。本実施の形態では、この処理はクライアントで動作するクライアントソフトウェア１０００が主に実行しているものとする。ここでは、具体例として図４を参照しながら説明する。

まずステップＳ１で、バインダファイル（図４のバインダファイル４０１２）として出力したい文書データを、ユーザが指定する。これは本実施の形態においては、クライアント１０００のユーザインターフェース１００１を通して行われる。この操作は例えば、文書データ（例えば図４のコンテンツ４０００）を１つ以上選択し、ユーザインターフェース１００１のポリシー配信ボタンを押す等の操作となる。次にステップＳ２で、この時に配信されるバインダファイルに設定する操作権限と、その操作権限を適用する条件を指定する。ここでは例えば、選択できる操作権限と、その権限や特徴を表す情報の一覧を表示し、その一覧の中からユーザが設定したい操作権限にチェックすることにより、その操作権限が適用される条件を指定する。更に指定した操作権限を管理するポリシーサーバを指定する。指定された操作権限は指定されたポリシー管理サーバへ通知される。そしてポリシー管理サーバでは通知された操作権限を自身のポリシー管理用データベース１２０５に登録する。そして、この操作権限に付与されたポリシーIDとこのポリシーIDに関連付けて生成したドキュメントIDとを（あるいは少なくともどちらか一方）をクライアント１０００へ返送する。クライアント１０００は、ポリシーサーバから返送された情報をポリシーデータ（４００７、４００８）としてその権限が適用される条件に関連付けて保持する。ここで、操作権限と操作権限が適用される条件との組み合わせは複数指定することが出来る。

図４の例では、ポリシーデータＡ、Ｂのように、バインダファイルに適用する操作権限と、その操作権限を適用する条件の組み合わせを２種類有している。それぞれのポリシーデータが特定する権限情報の内容は互いに異なったものであってよい。また、それぞれのポリシーデータの問合せ先となるポリシー管理サーバは同じでもよいし異なるサーバでもよい。次にステップＳ３で、ステップＳ１で選択した文書データをまず暗号化する。本実施の形態においては、文書サーバ１１００の暗号キー発行部１１０９で暗号キー（４００１）が発行される。この暗号キーは、通信部１１０１と１１０９とを経由して、文書サーバ１１００からクライアント１０００に送付され、暗号処理部１０１０でファイルの暗号化が行われる。次にステップＳ４に進み、復号キーをファイル（４００３，４００４）に保存する。本実施の形態では、暗号キーと共に、文書サーバ１１００の暗号キー発行部１１０９で生成された復号キーをファイル（４００３，４００４）に保存する。暗号キー発行部１１０９が発行する鍵が共通鍵暗号化方式に基づく鍵であるならば暗号鍵と復号鍵は同一のものであるので、１つのキーをファイルとすればよい。次にステップＳ５に進み、復号キーを保存したファイル（４００３，４００４）を、設定されたポリシー適用条件の数に従って複製する。ステップＳ６では、復号キーを保存したファイルに、ステップＳ２で得たポリシーデータ（４００７，４００８）を付与する。例えば図４に示すように、ステップＳ５で２つに複製され、ステップＳ２で、ポリシーＡとＢが指定されているとする。この場合はステップＳ６で、ポリシーＡ（４００７）を一つ目のファイル（４００３）に、ポリシーＢ（４００８）を二つ目のファイル（４００４）に付与して２つのキーファイル（４００９，４０１０）を作成する。

次にステップＳ７で、コントロールファイル（４０１１）に、指定された条件と各条件で適用されるべきキーファイルを指定して保存する。例えば、ポリシーＡが適用される条件は、イントラネット内でアクセスするという条件である。またイントラネット外（＝インターネット環境）のアクセスには、ポリシーＢが適用されるものとする。ある特定にドメインをコントロールファイル４０１１内に記述しておき、ファイルをアクセスしている端末が当該ドメイン内のノードであればイントラネット内と判断し、そうでなければイントラネット外と判断する。あるいは、コントロールファイル４０１１内にＩＰアドレスの範囲を記述しておき、ファイルをアクセスしている端末が当該ＩＰアドレスの範囲内のノードであればイントラネット内と判断し、そうでなければイントラネット外のノードと判断する。文書サーバ１１００、あるいはポリシー管理サーバ１２００が接続されるネットワークと同一のドメインをイントラネット内、それ以外のネットワークをイントラネット外としてもよい。そして最後にステップＳ８で、暗号化コンテンツファイル（４００２）、キーファイル（４００９，４０１０）、コントロールファイル（４０１１）をアーカイブしてバインダファイル（４０１２）を作成する。

図６は、本実施の形態に係る文書管理システムにおいて、バインダファイルに対してアクセスする場合に行われるアクセス権のチェック処理を説明するフローチャートである。本実施の形態において、この処理はクライアントで動作するクライアントソフトウェア１０００が主に処理を行っているものとする。本実施形態において、クライアントソフトウェア１０００をインストールしたＰＣは、必ずしも文書サーバ１１００と接続可能でなくてもよい。そして、当該ＰＣはイントラネット内のＰＣでもよいし、イントラネット外のＰＣでもよい。そして当該ＰＣポリシーサーバ（図４の４００５、あるいは４００６）の少なくともいずれかには接続可能であるものとする。ここでも図４を参照しながら説明する。

クライアントソフトウェアをインストールしたＰＣを操作するユーザがバインダファイルにアクセスする操作を行ったことを契機に図６のフローチャートを実行開始する。ステップＳ１１では、バインダファイル（４０１２）からコントロールファイル（４０１１）を取り出す。ここでは、まずクライアント１０００のファイル制御部１００４によってバインダファイル（４０１２）を解析してコントロールファイル（４０１１）を取り出す処理が行われる。次にステップＳ１２で、そのコントロールファイル（４０１１）に記述された外部条件を判別する。ここではステップＳ１１で取り出たコントロールファイル（４０１１）に記述されている外部条件をチェックする。このチェックに従い、適用するキーファイルが特定される。外部条件の例としては、バインダファイルにアクセスしたＰＣがイントラネット内部のノードであるか、あるいはイントラネット外部のノードであるか、等がある。

本実施の形態では２つの選択肢があり、それぞれ外部条件によって、適用されるキーファイル分かれるものとする。ここではキーファイルＡが適用される場合はステップＳ１３〜Ｓ１６が実行され、キーファイルＢが適用される場合はステップＳ１７〜Ｓ２０が実行される。上述の外部条件の例に当てはめると、例えば、バインダファイルにアクセスしたＰＣがイントラネット内部のノードであればキーファイルＡを適用し、イントラネット外部のノードであればキーファイルＢを適用する。ステップＳ１３とステップＳ１７では、各指定されたキーファイル（４００９，４０１０）を取り出す。次にステップＳ１４とステップＳ１８では、その取り出したキーファイル（４００９，４０１０）に対して、各ポリシーに対応するポリシー管理サーバ（４００５，４００６）１２００に対する認証処理を行う。次にステップＳ１５とステップＳ１９で、そのポリシー管理サーバの認証に成功すると、そのポリシー管理サーバで管理されているポリシーに従って、ユーザが可能とされている操作権限の情報と、暗号化されたキーファイルを復号するためのキーをそれぞれ取得する。次にステップＳ１６とステップＳ２０で、ステップＳ１５とステップＳ１９で取得したキーで、それぞれのキーファイル（４００９，４０１０）を復号する。

こうしてステップＳ１６或はステップＳ２０を実行するとステップＳ２１に進み、その復号したキーファイルから、コンテンツの復号キー（４００１）を取り出す。次にステップＳ２２に進み、バインダファイル（４０１２）からコンテンツファイル（４００２）を取り出し、そのコンテンツファイル（４００２）を、ステップＳ２１で取り出した復号キー（４００１）を用いて復号する。次にステップＳ２３に進み、ステップＳ１５或はステップＳ１９で取得した操作権限情報に従って、そのバインダファイル（４０１２）のコンテンツに対するアクセス権を制御する。また、その結果をユーザインターフェース１００１に反映する。

このように、コントロールファイルに記述された外部条件によって、ポリシーサーバから取得する権限情報を可変にすることが出来るので、バインダファイルに対する操作の権限を好適に変更することが可能になる。

図７は、本発明の実施の形態１に係る文書管理システム（図１）の具体例を説明する図である。

文書サーバ７００１は、図１に示す文書サーバソフトウェア１１００がインストールされているサーバで、本実施の形態１では、イントラネット内からのアクセスを受け付ける。ローカルポリシー管理サーバ７００２は、図１に示すポリシー管理サーバソフトウェア１２００がインストールされているサーバである。本実施の形態１では、イントラネットローカルからのアクセスを受け付け、認証処理やポリシーの確認を行う。Ｗｅｂポリシー管理サーバ７００３は、ローカルポリシー管理サーバ７００２と同様に、ポリシーに基づいた認証処理やポリシーの確認処理を行う。ここではイントラネット外へも公開できるよう、インターネットＷｅｂサーバとして設けられている。クライアント７００４は、このイントラネット内で使用されるクライアントマシンであり、図１のクライアントソフトウェア１０００がインストールされている。モバイルクライアント７００５は、クライアント７００４と同様に図１のクライアントソフトウェア１０００がインストールされている。このクライアント７００５は、イントラネットとは直接接続されない代わりに、インターネット経由でポリシー管理サーバ７００３にアクセスできる。

本実施の形態１によれば、コントロールファイルを記述することにより、例えば、以下のように権限を変更することが可能である。例えば、クライアント７００４のように、ローカルポリシー管理サーバ７００２にアクセス及び認証可能な環境であれば、ポリシーＡに従ってバインダ文書に対するアクセスを制御できる。一方、モバイルクライアント７００５のようにローカルポリシー管理サーバ７００２にアクセスできないが、Ｗｅｂポリシー管理サーバ７００３にアクセス及び認証可能な環境の場合には、ポリシーＢに従ってバインダ文書に対するアクセスを制御できる。例えば、ポリシーＡでは、編集や高解像度印刷を可能にし、ポリシーＢでは参照と低解像度での印刷のみを可能にできる。これにより配信されたファイルに対して、イントラネット環境では、編集や高解像度印刷を可能にできる。更に、そのファイルがモバイルＰＣ等やメール等でイントラネット外へ持ち出された場合には、制限された動作（例えば、参照及び低解像度印刷）のみしか許可しないといった制御を実現できる。

以上説明したように本実施の形態１によれば、配信されたファイルのアクセス権の制御を、外部条件に応じて、それぞれ異なるポリシーを適用して実行できる。

［実施の形態２］
前述の実施の形態１では、クライアント・サーバのモデルを想定した形態で説明した。しかし本実施の形態１に係るクライアント７００１の処理機構をＷｅｂサーバ８００１（図８）に組み込んで、ブラウザ経由でアクセスできる構成にしても良い。

図８は、本発明の実施の形態２に係る文書管理システムの構成を説明する図で、前述の図７と共通する部分は同じ記号で示している。

Ｗｅｂサーバ８００１は、クライアントソフトウェア１０００の機能を組み込んだサーバである。この場合、ユーザインターフェース１００１（図１）は、Ｗｅｂサーバ８００１とのインターフェースとなる。そしてＷｅｂサーバ８００１がイントラネット、インターネット経由で受け付けるリクエストを下位のコンポーネントに対するコマンドに変換する役割を担う。本実施の形態２において、クライアント７００４及びモバイルクライアント７００５は、Ｗｅｂブラウザを使用してＷｅｂサーバ８００１にアクセスする。

このように本実施の形態２によれば、各クライアントに独自のクライアントソフトウェアをインストールすることなく、配信されたファイルのアクセス権の制御を、外部条件別に、それぞれの条件で異なるポリシーを適用して実行できる。

［実施の形態３］
前述の実施の形態では、クライアント１０００は、コントロールファイル（４０１１）に付与されているポリシーデータをポリシー管理サーバ１２００に送信して確認する。そしてポリシーデータ処理部１００８は、ポリシー管理サーバ１２００から受け取った利用可能な権限リスト等を処理し、文書管理制御部１００６へポリシーの確認結果等を返している。このポリシーデータ処理部１００８は、図１のようにクライアント１０００に、或は図８で説明したようにＷｅｂサーバ８００１に存在している。しかし図９に示すように、ネットワークで接続されたポリシーデータ処理サーバ９０００として別サーバに分離しても良い。

図９は、本発明の実施の形態３に係る文書管理システムの構成を説明する図で、前述の図１と共通する部分は同じ記号で示し、それらの説明を省略する。

ポリシーデータ処理サーバ９０００は、ポリシーデータ処理部９００１、テンポラリデータベース９００２及び通信制御部９００３を有している。ポリシーデータ処理部９００１は、図１のポリシーデータ処理部１００８と同様に、コントロールファイル（４０１１）に付与されているポリシーデータをポリシー管理サーバ１２００に送信し、ポリシーを確認するための処理を行う。また、そのポリシー管理サーバ１２００から受け取った利用可能な権限リスト等を処理し、クライアント１０００やＷｅｂサーバ（８００１）へ通信制御部９００３を介してポリシーの確認結果等を返送する。

テンポラリデータベース９００２は、テンポラリのデータを一時的に格納する。通信制御部９００３は、クライアント１０００の通信制御部１００９と通信する制御を行う。但し、ポリシー管理サーバ１２００の通信制御部１２０１は、多数のクライアントの通信制御部と並行して通信を行うことができる。

本実施の形態３によれば、図１のポリシーデータ処理部１００８を外部のポリシー管理サーバに設けることにより、ポリシー管理サーバ１２００とポリシーデータ処理サーバ９０００を別のメーカや別の種類のサーバに差し替えることが可能となる。

またポリシーデータ処理部９００１を担うモジュールプログラムは、通常、ポリシー管理サーバ１２００の開発元が提供するので自由に変更できない場合も多い。このモジュールプログラムを別体のポリシー管理サーバに設けることにより、クライアントやＷｅｂサーバとして使用するマシンのＯＳを、ポリシーデータ処理部９００１の動作環境に制限されることなく選択できる。また別サーバとしてポリシーデータ処理サーバを用意することで、クライアントマシンやＷｅｂサーバの負荷を軽減することが可能となる。

［実施の形態４］
前述の実施の形態では、ポリシー管理サーバ７００２，７００３を複数用意し、それぞれのポリシー管理サーバからのポリシーを一つのファイル内に格納していた。しかし、単一のポリシー管理サーバが管理する複数のポリシーを一つのファイルに対して設定しても良い。

本実施の形態４によれば、複数のポリシー管理サーバを設けなくても、配信されたファイルのアクセス権の制御を、外部条件別に、それぞれの条件で異なるポリシーの適用して実施できる。

［実施の形態５］
前述の実施の形態では、コントロールファイル（４０１１）に記述されている条件として、イントラネット内か、イントラネット外もしくはインターネット環境かという、場所的な側面から外部条件を検知して、扱うポリシーを切り替えていた。これ以外にも、例えば、春夏秋冬や年月日等の季節や時期、時間、期間等の時間軸的な外部条件を検知してポリシーを切り替えてもよい。

本実施の形態５によれば、時間軸的な側面による外部条件から、配信されたファイルのアクセス権の制御を、条件別に、それぞれの条件で異なるポリシーを適用して実施できる。

［実施の形態６］
前述の実施の形態では、コントロールファイル（４０１１）に記述されている条件として、場所的な側面、もしくは時間軸的な側面から外部条件を検知して扱うポリシーを切り替えていた。ＰＣやモバイル端末、携帯電話、ＭＦＰ、プリンタ、ファックス、等のファイルが利用されるデバイスの種類といった外部条件を検知することでポリシーを切り替えてもよい。

本実施の形態６によれば、ファイルが利用されるデバイスの種類という側面による外部条件から、配信されたファイルのアクセス権の制御を、条件別に、それぞれの条件で異なるポリシーを適用して実施できる。

［実施の形態７］
前述の実施の形態では、コントロールファイル（４０１１）に記述されている条件として、場所的な側面、或は時間軸的な側面、及びファイルが利用されるデバイスの種類という側面から外部条件の検知を行い、扱うポリシーを切り替えていた。しかし、これ以外にも、使用するデバイスが、起動中、通常の運用状態、待機状態、実行状態、休止状態、障害発生状態等のデバイスの状態といった外部条件の検知を行う事でポリシーを切り替えてもよい。

本実施の形態７によれば、ファイルが利用されるデバイスの状態的な側面による外部条件から、配信されたファイルのアクセス権の制御を、条件別に、それぞれの条件で異なるポリシーを適用して実施できる。

［実施の形態８］
前述の実施の形態では、コントロールファイル（４０１１）に記述されている条件として、場所的な側面、或は時間軸的な側面、ファイルが利用されるデバイスの種類及び状態、或はそれらの混合された条件から外部条件を検知していた。しかし、コントロールファイル、キーファイル、もしくは、ポリシー管理サーバに使用された回数を記録しておき、ファイルが開かれた回数、表示された回数、印刷された回数等のような、特定の操作が行われる回数に応じて適用するポリシーを切り替えてもよい。例えば、コントロールファイルの単位で利用回数を記録しておくことにより、バインダファイル単位でのアクセス回数によってポリシーを切り替えることができる。

また、キーファイル毎に利用回数を記録することにより、各ポリシーが適用された回数に応じてポリシーを切り替えることができる。例えば、あるポリシーがある回数以上アクセスされた場合、それ以後は、そのポリシーを適用してファイルをオープンできなくする等の制御が行える。

またポリシー管理サーバに、使用された回数を記録しておくことにより、同じファイルが複数コピーされた場合でも、同じファイルであれば、そのコピーされたファイルも含めて全てのオープン回数、全印刷回数等を統一して管理できる。こうして、その回数に応じた制御を行うことが可能となる。

更に本実施の形態８によれば、ファイルが利用される回数といった外部条件から、配信されたファイルのアクセス権の制御を、条件別に、それぞれの条件で異なるポリシーを適用して実施できる。

（他の実施形態）
以上、本発明の実施形態について詳述したが、本発明は、複数の機器から構成されるシステムに適用しても良いし、また一つの機器からなる装置に適用しても良い。

なお、本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムを、システム或いは装置に直接或いは遠隔から供給し、そのシステム或いは装置のコンピュータが該供給されたプログラムを読み出して実行することによっても達成され得る。その場合、プログラムの機能を有していれば、形態は、プログラムである必要はない。

従って、本発明の機能処理をコンピュータで実現するために、該コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、本発明のクレームでは、本発明の機能処理を実現するためのコンピュータプログラム自体も含まれる。その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、ＯＳに供給するスクリプトデータ等、プログラムの形態を問わない。

プログラムを供給するための記録媒体としては、様々なものが使用できる。例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、不揮発性のメモリカード、ＲＯＭ、ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−Ｒ）などである。

その他、プログラムの供給方法としては、クライアントコンピュータのブラウザを用いてインターネットのホームページに接続し、該ホームページからハードディスク等の記録媒体にダウンロードすることによっても供給できる。その場合、ダウンロードされるのは、本発明のコンピュータプログラムそのもの、もしくは圧縮され自動インストール機能を含むファイルであってもよい。また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるＷＷＷサーバも、本発明のクレームに含まれるものである。

また、本発明のプログラムを暗号化してＣＤ−ＲＯＭ等の記憶媒体に格納してユーザに配布する形態としても良い。その場合、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせ、その鍵情報を使用することにより暗号化されたプログラムが実行可能な形式でコンピュータにインストールされるようにする。

また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される形態以外の形態でも実現可能である。例えば、そのプログラムの指示に基づき、コンピュータ上で稼動しているＯＳなどが、実際の処理の一部または全部を行ない、その処理によっても前述した実施形態の機能が実現され得る。

更に、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれるようにしてもよい。この場合、その後で、そのプログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行ない、その処理によって前述した実施形態の機能が実現される。

本発明の実施の形態１に係る文書管理システムのソフトウェア構成を示すブロック図である。 本実施の形態に係るポリシー管理用データベースに登録されているポリシーに関する情報のデータ構造の一例を示す図である。 本実施の形態に係る、フォルダの制御データであるコントロールファイルのデータ構造を示す概念図である。 本実施の形態に係る文書サーバから配信されるバインダファイルのデータ構造を示す概念図である。 本実施の形態に係る文書管理システムにおいて、文書データを配信するために文書データをバインダ化してポリシーを設定する処理の流れを示すフローチャートである。 本実施の形態に係る文書管理システムにおいて、バインダに対してアクセスを行う場合に行われるアクセス権チェック処理を説明するフローチャートである。 本発明の実施の形態１に係る文書管理システムの具体例を説明する図である。 本実施の形態２に係る文書管理システムの構成を説明する図である。 本発明の実施の形態３に係る文書管理システムの構成を説明するブロック図である。

Claims (8)

1. コンテンツファイルを管理するコンテンツ管理システムであって、
   コンテンツの操作権限を特定するための情報であるポリシーを定義するポリシー定義手段と、
   コンテンツファイルを暗号化する暗号化手段と、
   前記暗号化手段により暗号化されたコンテンツファイルを復号するための復号キーと、前記ポリシー定義手段で定義されたポリシーとを含むキーファイルを生成するキーファイル生成手段と、
   前記暗号化手段により暗号化されたコンテンツファイルと、前記キーファイル生成手段により生成されたキーファイル、及びキーファイルの適用条件を記述したコントロールファイルとを含むバインダファイルを作成する手段と、
   を有することを特徴とするコンテンツ管理システム。
2. 前記キーファイル生成手段は複数のキーファイルを生成し、
   前記バインダファイルは、前記キーファイル生成手段により生成された複数のキーファイルを含み、
   前記バインダファイルに含まれるコントロールファイルは、前記複数のキーファイルのうち、特定のキーファイルを適用する適用条件の記述を含み、
   前記バインダファイルに含まれるコントロールファイルに記述された適用条件を判別して、前記複数のキーファイルのうち、特定の１つを選択する選択手段と、
   前記選択手段が選択したキーファイルに含まれるポリシーに基づいて前記コンテンツの操作権限を特定する特定手段と、
   前記選択手段が選択したキーファイルに含まれる前記復号キーに基づいて、前記暗号化手段により暗号化されたコンテンツファイルを復号する復号手段と、
   前記復号手段により復号した前記コンテンツファイルを、前記特定手段により特定された操作権限に基づいて制御するクライアントと、
   を更に有することを特徴とする請求項１に記載のコンテンツ管理システム。
3. 前記コントロールファイルに記述されているキーファイルの適用条件は、前記バインダファイルにアクセスする端末が特定のネットワークドメイン内の端末であるか否かであり、
   前記選択手段は前記端末が前記特定のネットワークドメイン内の端末か否かに基づいて前記複数のキーファイルのうちの１つを選択することを特徴とする請求項２に記載のコンテンツ管理システム。
4. ネットワークを介してコンテンツファイルを格納するコンテンツサーバと、コンテンツの操作権限を特定するための情報であるポリシーを発行し管理するポリシー管理サーバとに接続したコンテンツ管理装置であって、
   前記コンテンツサーバに格納されたコンテンツファイルと、前記ポリシー管理サーバから発行される当該コンテンツファイルに付与するポリシーとを取得する取得手段と、
   前記コンテンツサーバから暗号化キーを取得して、前記コンテンツファイルを暗号化する暗号化手段と、
   前記暗号化手段により暗号化されたコンテンツファイルを復号するための復号キーと、前記取得手段が取得したポリシーとを含むキーファイルを作成するキーファイル作成手段と、
   前記暗号化手段により暗号化されたコンテンツファイルと、前記キーファイル生成手段により作成されたキーファイル、及びキーファイルの適用条件を記述したコントロールファイルとを含むバインダファイルを作成する手段と、
   を有することを特徴とするコンテンツ管理装置。
5. 前記キーファイル作成手段は、複数のキーファイルを作成し、
   前記バインダファイルは、前記キーファイル生成手段により作成された複数のキーファイルを含み、
   前記バインダファイルに含まれるコントロールファイルは、前記複数のキーファイルのうち、特定のキーファイルを適用する適用条件の記述を含み、
   更に、
   前記バインダファイルに含まれるコントロールファイルに記述された適用条件を判別して、前記複数のキーファイルのうち、特定の１つを選択する選択手段と、
   前記キーファイルに含まれるポリシーを前記ポリシー管理サーバへ通知する通知手段と、
   前記通知手段が通知した前記ポリシーに応答して前記ポリシー管理サーバから送信される操作権限情報を受信する受信手段と、
   前記キーファイルに含まれる復号キーに基づいて、前記暗号化手段により暗号化されたコンテンツファイルを復号する復号手段と、
   前記復号手段により復号した前記コンテンツファイルを、前記受信手段が受信した操作権限情報に基づいて制御する制御手段と、
   を有することを特徴とする請求項４に記載のコンテンツ管理装置。
6. 前記キーファイルに含まれる前記コンテンツファイルを復号するための復号キーは、前記取得手段が取得するポリシーに含まれる暗号キーで暗号化されており、
   前記受信手段は更に、前記前記ポリシー管理サーバから前記暗号化された復号キーを復号するための第２復号キーを受信し、
   前記受信手段が受信した第２復号キーで前記暗号化された復号キーを復号する復号キー復号手段を更に備えることを特徴とする請求項５に記載のコンテンツ管理装置。
7. コンテンツファイルを管理するコンテンツ管理システムの制御方法であって、
   コンテンツの操作権限を特定するための情報であるポリシーを定義するポリシー定義工程と、
   コンテンツファイルを暗号化する暗号化工程と、
   前記暗号化工程で暗号化されたコンテンツファイルを復号するための復号キーと、前記ポリシー定義工程で定義されたポリシーとを含むキーファイルを生成するキーファイル生成工程と、
   前記暗号化工程で暗号化されたコンテンツファイルと、前記キーファイル生成工程で作成されたキーファイル、及びキーファイルの適用条件を記述したコントロールファイルとを含むバインダファイルを作成する工程と、
   を有することを特徴とするコンテンツ管理システムの制御方法。
8. 前記キーファイル生成工程は複数のキーファイルを生成し、
   前記バインダファイルは、前記キーファイル生成工程で生成した複数のキーファイルを含み、
   前記バインダファイルに含まれるコントロールファイルは、前記複数のキーファイルのうち、特定のキーファイルを適用する適用条件の記述を含み、
   前記バインダファイルに含まれるコントロールファイルに記述された適用条件を判別して、前記複数のキーファイルのうち、特定の１つを選択する選択工程と、
   前記選択工程で選択したキーファイルに含まれるポリシーに基づいて前記コンテンツの操作権限を特定する特定工程と、
   前記選択工程で選択したキーファイルに含まれる前記復号キーに基づいて、前記暗号化工程で暗号化されたコンテンツファイルを復号する復号工程と、
   前記復号工程で復号した前記コンテンツファイルを、前記特定工程で特定した操作権限に基づいて制御する工程を更に有することを特徴とする請求項７に記載のコンテンツ管理システムの制御方法。

Images