JP2008299376A - 情報処理装置及びプログラム - Google Patents

Abstract

【課題】ユーザグループに対する削除や変更等の影響を把握し易くできる情報処理装置を提供する。
【解決手段】少なくとも一部がそれぞれユーザグループに関連づけられた複数のユーザによるアクセス対象となる複数のオブジェクトを記憶するオブジェクト記憶装置に接続され、各ユーザによるオブジェクトに対するアクセスの可否を関連づけられたユーザグループごとに設定されたアクセス権限情報に応じて定め、複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示すアクセス履歴情報を取得し、取得したアクセス履歴情報に基づいて、調査対象として指定された対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定されたアクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成する情報処理装置である。
【選択図】図１

Description

本発明は、情報処理装置及びプログラムに関する。

従来、コンピュータ上で管理されるファイルやディレクトリなどのオブジェクトに対して、アクセス権限情報を設定する管理が行われている。この場合のアクセス権限情報は、特定のユーザに対して特定のオブジェクトに対する参照や更新等のアクセスを許可したり、逆に禁止したりするためのものである。また、このようなアクセス権限情報は、複数のユーザが関連づけられたユーザグループごとに設定されることもある。これにより、複数のユーザに対して一括してアクセスを許可したり禁止したりすることができる。

このような場合において、あるオブジェクトについて、あるユーザグループのアクセス権限情報を削除する場合に、同じオブジェクトに対する当該ユーザグループに関連づけられたユーザのアクセス権限情報についても、併せて削除する技術がある（特許文献１参照）。これにより、ユーザグループのアクセス権限情報とは別にユーザのアクセス権限情報が設定されていた場合であっても、当該ユーザグループに関連づけられたユーザがオブジェクトにアクセスできなくすることを保証できる。
特開２００２‐２７８８２２号公報

上記従来例の技術においては、例えばユーザは複数のユーザグループに関連づけられる場合があり、また各オブジェクトに対して様々なユーザグループやユーザごとにアクセス権限情報が設定される。そのため、例えばユーザグループを削除したり、ユーザグループのメンバ（ユーザグループに関連づけられたユーザ）を変更したりすると、あるユーザがこれまでアクセスできていたオブジェクトに対してアクセスできなくなるなど、思わぬ影響が生じる場合がある。このように、ユーザグループに対する削除や変更等の操作を行うことによる影響は容易に把握しにくいため、ユーザグループのメンテナンスに手間がかかるという問題がある。

本発明の目的は、各オブジェクトに対するアクセス権限がユーザグループごとに管理される場合に、ユーザグループの削除や変更等の影響を把握し易くできる情報処理装置及びプログラムを提供することにある。

上記課題を解決するための本発明に係る情報処理装置は、複数のユーザによるアクセス対象となる複数のオブジェクトを記憶するオブジェクト記憶装置に接続され、前記複数のユーザの少なくとも一部は、それぞれ少なくとも一つのユーザグループに関連づけられており、前記ユーザのそれぞれによる前記オブジェクトに対するアクセスの可否を前記関連づけられたユーザグループごとに設定されたアクセス権限情報に応じて定める情報処理装置であって、前記複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示すアクセス履歴情報を取得するアクセス履歴情報取得手段と、前記取得したアクセス履歴情報に基づいて、調査対象として指定された対象ユーザグループについて、当該対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成するリスト生成手段と、を含むことを特徴とする。

また、本発明に係るプログラムは、複数のユーザによるアクセス対象となる複数のオブジェクトを記憶するオブジェクト記憶装置に接続され、前記複数のユーザの少なくとも一部は、それぞれ少なくとも一つのユーザグループに関連づけられており、前記ユーザのそれぞれによる前記オブジェクトに対するアクセスの可否を前記関連づけられたユーザグループごとに設定されたアクセス権限情報に応じて定める情報処理装置を制御するためのプログラムであって、前記複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示すアクセス履歴情報を取得するアクセス履歴情報取得手段、及び前記取得したアクセス履歴情報に基づいて、調査対象として指定された対象ユーザグループについて、当該対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成するリスト生成手段、としてコンピュータを機能させるためのプログラムである。このプログラムは、コンピュータ読み取り可能な各種の情報記憶媒体に記憶されてもよい。

また、上記プログラムにおいて、前記アクセス権限情報は、複数種類のアクセスのそれぞれについて定められており、前記アクセス履歴情報は、前記複数のユーザのそれぞれが過去にアクセスしたオブジェクトについて、当該オブジェクトに対するアクセスの種類を示す情報を含み、前記リスト生成手段は、前記アクセス履歴情報に含まれる前記アクセスの種類を示す情報に基づいて、前記対象ユーザグループ及び当該アクセスの種類について設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成することとしてもよい。

また、上記プログラムにおいて、前記リスト生成手段は、前記対象ユーザグループに関連づけられたユーザのうち、調査対象として指定された対象ユーザが、前記対象ユーザグループについて設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成することとしてもよい。

以下、本発明の実施の形態について、図面を参照しながら説明する。本発明の一実施形態に係る情報処理システムは、図１に示すように、通信ネットワークを介して相互にデータ通信可能に接続された情報処理装置１及びクライアント端末２を含んで構成される。なお、クライアント端末２は複数あってもよい。

情報処理装置１は、例えばサーバコンピュータ等であって、制御部１１と、記憶部１２と、通信部１３と、を含んで構成される。また、情報処理装置１は、オブジェクト記憶装置３と接続されている。

制御部１１は、ＣＰＵ等であって、記憶部１２に格納されたプログラムに従って動作する。本実施形態において制御部１１が実行する処理の例については、後述する。

記憶部１２は、例えばＲＡＭやＲＯＭ等のメモリ素子を含んで構成される、コンピュータ読み取り可能な情報記憶媒体である。記憶部１２には、制御部１１で実行されるプログラムが格納される。また、記憶部１２は、制御部１１のワークメモリとしても動作する。

通信部１３は、モデムやＬＡＮカード等のネットワークインタフェースであって、制御部１１からの指示に従って通信ネットワークに対して情報を送信する。また、通信ネットワークを介して到来した情報を受け入れて、制御部１１に対して出力する。

クライアント端末２は、例えばパーソナルコンピュータ等であって、ユーザの指示等に基づいて各種の処理を実行する。本実施形態においてクライアント端末２は、当該クライアント端末２を使用するユーザの指示に従って、情報処理装置１に対してオブジェクトに対するアクセス要求を送信する。また、当該アクセス要求に応じて情報処理装置１が送信するオブジェクトの情報を受信する。

オブジェクト記憶装置３は、例えばハードディスク等のコンピュータ読み取り可能な情報記憶媒体を含んで構成され、複数のユーザによるアクセス対象となる複数のオブジェクトを記憶する。ここでオブジェクトは、例えば文書ファイル等のファイルや、当該ファイルが複数関連づけられたディレクトリなどである。なお、オブジェクト記憶装置３は、情報処理装置１と一体に構成されてもよいし、通信ネットワーク等を介して情報処理装置１と相互にデータ通信可能に接続された装置であってもよい。

以下では具体例として、オブジェクト記憶装置３が記憶するオブジェクトは、図２（ａ）に示すような階層構造のディレクトリ及びファイルからなるものとする。この場合、オブジェクト記憶装置３はオブジェクト管理テーブルを保持している。オブジェクト管理テーブルは、ファイル又はディレクトリをそれぞれ識別するオブジェクト識別情報と、当該各ファイル又は各ディレクトリが属する親ディレクトリを識別する親オブジェクト識別情報と、を関連づけるテーブルである。図２（ｂ）は、このようなオブジェクト管理テーブルの一例を示している。ここで、親オブジェクト識別情報が「Null」となっているオブジェクト識別情報は、当該オブジェクト識別情報によって識別されるオブジェクトがルートディレクトリであることを示している。

また、クライアント端末２を使用して各オブジェクトに対してアクセスする複数のユーザの少なくとも一部は、情報処理装置１においてそれぞれ少なくとも一つのユーザグループに関連づけて管理されている。以下では具体例として、各ユーザは、図３（ａ）に示すような階層構造のユーザグループに関連づけられているものとする。情報処理装置１は、図３（ａ）に示すようなユーザグループの管理を実現するために、例えば図３（ｂ）に示すようなユーザ管理テーブルを保持している。このユーザ管理テーブルは、各ユーザを識別するユーザ識別情報又は各ユーザグループを識別するユーザグループ識別情報と、当該ユーザ又はユーザグループが属する親ユーザグループを識別する親ユーザグループ識別情報と、を関連づけるテーブルである。ここで親ユーザグループ識別情報が「Null」となっているユーザ識別情報又はユーザグループ識別情報は、いずれのユーザグループにも属していないユーザ又はユーザグループであることを示している。図３（ｂ）の例においては、グループＧ１が親ユーザグループを持たないユーザグループであり、またユーザＵ７がいずれのユーザグループにも属していないユーザであることを示している。

なお、ユーザ及びユーザグループは、それぞれ複数の親ユーザグループに属することとしてもよい。また、各ユーザが１つの親ユーザグループにしか属していない場合であっても、当該親ユーザグループがさらに他のユーザグループに属していれば、当該ユーザは複数のユーザグループに属することとなる。例えば図３（ａ）の例においては、一部のユーザグループはより上位のユーザグループに関連づけられている。これにより、例えばユーザＵ５及びユーザＵ６は、それぞれグループＧ１，Ｇ２及びＧ４の３つのユーザグループに属することとなる。

さらに情報処理装置１は、オブジェクト記憶装置３が記憶する各オブジェクトに対する各ユーザからのアクセス要求に応じてアクセスの可否を決定するために、各オブジェクトに対して設定されたアクセス権限情報を参照可能に構成されている。この場合において、アクセス権限情報は、情報処理装置１が管理するユーザ又はユーザグループごとに設定されているものとする。なお、アクセス権限情報は情報処理装置１に保持されてもよいし、オブジェクト記憶装置３に保持されてもよい。

また、アクセス権限情報は、複数種類のアクセスのそれぞれについて、アクセスの可否を定める情報であってよい。ここでアクセスの種類は、アクセスの対象となるオブジェクトに対する操作の内容を示している。例えばオブジェクトがディレクトリであれば、当該ディレクトリに関連づけられたファイルやディレクトリの参照や、当該ディレクトリの削除、また当該ディレクトリに対するファイルのアップロードやディレクトリの作成などである。また、オブジェクトがファイルであれば、ファイルの閲覧やダウンロード、更新、削除等である。

以下では具体例として、図２（ａ）に示すディレクトリＤ２、ディレクトリＤ４、ファイルＦ１及びファイルＦ２について、それぞれ図４（ａ）、図４（ｂ）、図４（ｃ）及び図４（ｄ）に示すようなアクセス権限情報が設定されているものとする。例えば図４（ａ）は、ディレクトリＤ２に対するアクセス権限情報として、グループＧ２に属するユーザ及びユーザＵ３については読み取り権限及び書き込み権限が、グループＧ３に属するユーザについては読み取り権限のみが、それぞれ設定されていることを示している。この例において、ディレクトリに対する読み取り権限は、ディレクトリに関連づけられたファイルやディレクトリを参照するアクセスを許可することを示している。また、書き込み権限は、当該ディレクトリを削除したり、当該ディレクトリに対してファイルのアップロードや新たなディレクトリの追加をしたりするアクセスを許可することを示している。さらに、ファイルに対する読み取り権限は、当該ファイルを閲覧したりダウンロードしたりするアクセスを許可することを示しており、ファイルに対する書き込み権限は、当該ファイルを更新したり削除したりするアクセスを許可することを示している。なお、この例においては各ユーザ又はユーザグループに対して読み取り権限と書き込み権限の２種類のアクセス権限が設定されることとしているが、例えば複数種類のアクセスのそれぞれに対応するより細かなアクセス権限情報が設定されてもよい。

次に、本実施形態に係る情報処理装置１が、クライアント端末２からのアクセス要求に応じて実行する処理について、説明する。

クライアント端末２から送信されるアクセス要求には、当該アクセス要求を行ったユーザを識別するユーザ識別情報、当該アクセス要求の対象となるオブジェクトを識別するオブジェクト識別情報、及び要求するアクセスの種類を示す情報が含まれている。

このようなアクセス要求を受信した情報処理装置１は、アクセス要求の対象となったオブジェクトについて設定されたアクセス権限情報に応じて、要求されたアクセスの種類に対するアクセス権限が、アクセス要求を行ったユーザにあるか否かを判定する。この場合において、情報処理装置１は、アクセス要求を行ったユーザ又は当該ユーザに関連づけられたユーザグループのいずれかについてアクセスを許可する旨のアクセス権限情報が設定されていれば、当該ユーザのアクセスを許可することとする。

情報処理装置１は、この判定の結果に応じて、アクセス要求がなされたオブジェクトの情報をクライアント端末２に対して送信したり、オブジェクト記憶装置３に記憶されたオブジェクトの内容を更新したり、あるいはアクセスが許可されないことを通知する情報を送信したりする。

また、情報処理装置１は、少なくともユーザの要求したアクセスを許可した場合、ユーザのアクセスがあったことを示すアクセス履歴情報を記録することとする。アクセス履歴情報は、オブジェクト記憶装置３に記憶された複数のオブジェクトのうち、情報処理装置１によって管理される複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示す情報である。また、アクセス履歴情報は、当該アクセスの種類を示す情報を含んでもよい。具体例として、情報処理装置１は、アクセス要求を許可するごとに、当該アクセス要求に対応するアクセス履歴として、アクセス要求を行ったユーザを識別するユーザ識別情報、当該アクセス要求の対象となったオブジェクトを識別するオブジェクト識別情報、アクセスの種類を示す情報、及びアクセス日時の情報を関連づけてアクセス履歴情報として記憶する。

図５は、このようなアクセス履歴情報の一例を示す説明図である。図５の例においては、アクセス履歴情報に含まれる各アクセス履歴には、ユーザ識別情報、オブジェクト識別情報、アクセス日時の情報、及びアクセスの種類を示す情報に加えて、さらにアクセス対象となったオブジェクトが属する親オブジェクトを識別する親オブジェクト識別情報も含まれている。図５の例においては、アクセスの種類に応じて、オブジェクト識別情報又は親オブジェクト識別情報のいずれかによって識別されるオブジェクトが、アクセス対象のオブジェクトとなる。例えばアクセスの種類が新たなディレクトリの作成の場合、作成されたディレクトリではなく、親オブジェクト識別情報によって識別されるディレクトリ（作成されたディレクトリの親ディレクトリ）が、アクセス対象のオブジェクトになる。

以上説明した情報処理システムにおいて、例えばシステム管理者があるユーザグループの情報を削除しようとする場合などにおいて、情報処理装置１が実現する機能について説明する。情報処理装置１は、機能的に、例えば図６に示すように、アクセス履歴情報取得部２１と、リスト生成部２２と、リスト出力部２３と、を含んで構成される。これらの機能は、例えば制御部１１が記憶部１２に格納されたプログラムを実行することによって実現できる。このプログラムは、例えばＣＤ−ＲＯＭやＤＶＤ−ＲＯＭ等のコンピュータ読み取り可能な各種の情報記憶媒体に格納されて提供されてもよいし、例えばインターネット等の通信ネットワークを介して提供されてもよい。

アクセス履歴情報取得部２１は、複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示すアクセス履歴情報を取得する。前述したように、本実施形態においては情報処理装置１がアクセス履歴情報を記憶しているので、アクセス履歴情報取得部２１はこの記憶されているアクセス履歴情報を読み出す。この場合において、アクセス履歴情報取得部２１は、現在日時の情報を取得して、現在日時に対して過去所定の期間におけるアクセス履歴情報だけを取得することしてもよい。

リスト生成部２２は、アクセス履歴情報取得部２１が取得したアクセス履歴情報に基づいて、調査対象として指定された対象ユーザグループについて、当該対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定されたアクセス権限情報に応じてアクセスを許可されたオブジェクトのリスト（以下、調査結果リストＬという）を生成する。この場合において、リスト生成部２２は、アクセス履歴情報に含まれるアクセスの種類を示す情報に基づいて、対象ユーザグループ及び当該アクセスの種類について設定されたアクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを調査結果リストＬとして生成してもよい。

以下、リスト生成部２２が実行する処理の例について説明する。まずリスト生成部２２は、システム管理者等による指定に基づいて、調査対象となる対象ユーザグループを決定する。そして、ユーザ管理テーブルを参照して、対象ユーザグループのメンバ（対象ユーザグループに関連づけられたユーザ）を特定する。

さらにリスト生成部２２は、アクセス履歴情報取得部２１が取得したアクセス履歴情報の中から、特定された対象ユーザグループのメンバによるアクセスに関するアクセス履歴を抽出する。さらに、抽出されたアクセス履歴のそれぞれについて、対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたものであるか否かを判定する。そして、判定の結果、対象ユーザグループのアクセス権限情報によってアクセスを許可されたものと判定されたオブジェクトのリストを、調査結果リストＬとして生成する。

具体例として、対象ユーザグループがグループＧ２である場合、リスト生成部２２は、図３（ｂ）に示すユーザ管理テーブルから、ユーザＵ２，Ｕ３，Ｕ４，Ｕ５，及びＵ６をグループＧ２のメンバとして特定する。さらに、アクセス履歴情報取得部２１が図５に示すアクセス履歴情報を取得している場合、リスト生成部２２は、アクセス履歴情報に含まれるアクセス履歴番号３及び９のアクセス履歴を除いたアクセス履歴を、対象ユーザグループのメンバによるアクセスを示すものとして抽出する。

さらにリスト生成部２２は、このように抽出されたアクセス履歴のそれぞれについて、グループＧ２について設定されたアクセス権限情報に応じて許可されたものであるか否かを判定する。例えばアクセス履歴番号２のアクセス履歴は、ユーザＵ２がディレクトリＤ２に対して新たなディレクトリＤ４を作成するアクセスを示しており、当該アクセスには親ディレクトリ（ディレクトリＤ２）に対する書き込み権限が必要である。そこでディレクトリＤ２に対するアクセス権限情報を参照すると、図４（ａ）に示すように、ユーザＵ３及びグループＧ２について書き込み権限が設定されている。書き込み権限が設定されたこれらのユーザ及びユーザグループのうち、実際にアクセスを行ったユーザＵ２が該当するのは、対象ユーザグループであるグループＧ２だけである。そのため、リスト生成部２２は、アクセス履歴番号２によって示されるアクセスは、対象ユーザグループ（グループＧ２）について設定されたアクセス権限情報に応じて許可されたものであると判定する。

一方、アクセス履歴番号５のアクセス履歴は、ユーザＵ２によるファイルＦ２をアップロードするアクセスを示しており、当該アクセスには親ディレクトリ（ディレクトリＤ４）に対する書き込み権限が必要である。そこでディレクトリＤ４に対するアクセス権限情報を参照すると、図４（ｂ）に示すように、対象ユーザグループ（グループＧ２）について書き込み権限は設定されておらず、ユーザＵ２のアクセスはユーザＵ２自身に設定された書き込み権限により許可されていると推定される。すのため、リスト生成部２２は、アクセス履歴番号５のアクセスは対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたものではないと判定する。

また、アクセス履歴番号１０のアクセス履歴は、ユーザＵ２によるファイルＦ２をダウンロードするアクセスを示しており、当該アクセスにはファイルＦ２に対する読み取り権限が必要である。図４（ｄ）に示すように、ファイルＦ２に対しては、グループＧ１及びグループＧ２のそれぞれについて読み取り権限が設定されている。この場合において、ユーザＵ２は対象ユーザグループであるグループＧ２のメンバであるが、同時にグループＧ１のメンバでもある。したがって、仮にグループＧ２についての読み取り権限がなかったとしても、グループＧ１について設定されたアクセス権限情報により、ユーザＵ２はアクセス履歴番号１０によって示されるアクセスは可能であったはずである。そこで、リスト生成部２２は、アクセス履歴番号１０によって示されるアクセスは、対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたものではないと判定する。

このような判定の結果、リスト生成部２２は、対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたと判定されるアクセス履歴に応じて、調査結果リストＬを生成する。調査結果リストＬは、アクセス履歴情報から上記判定結果に応じて抽出されたアクセス履歴そのものを含んだリストであってよい。この場合の調査結果リストＬは、例えば図７に示すものになる。

リスト出力部２３は、リスト生成部２２が生成した調査結果リストＬを、例えばモニタ上に表示するなどの方法で出力する。この調査結果リストＬを確認することで、例えばシステム管理者は、対象ユーザグループのメンバによる過去のアクセスのうち、対象ユーザグループの情報を削除することによって今後は許可されなくなってしまうアクセスを確認することができる。これによって、システム管理者は、ユーザグループ削除の影響を容易に把握することができる。

なお、リスト生成部２２は、対象ユーザグループのメンバのうち、調査対象として指定された対象ユーザが、過去に対象ユーザグループのアクセス権限情報に応じてアクセスを許可されたオブジェクトを示す調査結果リストＬを生成してもよい。具体例として、リスト生成部２２は、システム管理者の指定に基づいて、対象ユーザを決定するとともに、当該対象ユーザが関連づけられたユーザグループのうちの一つを対象ユーザグループとして決定する。そして、アクセス履歴情報の中から、対象ユーザによるアクセスに関するアクセス履歴を抽出し、抽出されたアクセス履歴のそれぞれについて、対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたものであるか否かを判定する。これにより、システム管理者は、例えば対象ユーザを対象ユーザグループのメンバから外そうとする場合に、このような変更による影響を容易に把握することができる。

また、システム管理者が対象ユーザグループを削除する場合、リスト出力部２３は、対象ユーザグループのメンバである各対象ユーザのそれぞれについて生成された調査結果リストＬを、それぞれの対象ユーザに通知することとしてもよい。例えばリスト出力部２３は、対象ユーザごとに生成された調査結果リストＬを、予め登録された当該各対象ユーザの電子メールアドレスに対してそれぞれ送信する。これにより、対象ユーザグループのメンバだった各ユーザは、対象ユーザグループの情報が削除されることによって、自分がこれまでアクセスできていたが今後はアクセスできなくなってしまうオブジェクトを把握することができる。

また、システム管理者が特定のオブジェクトに対して設定された対象ユーザグループのアクセス権限情報を削除しようとする場合などにおいては、当該特定のオブジェクトに関してのみアクセスの影響を調査すればよい。そこで、リスト生成部２２は、調査対象として指定された対象オブジェクトに対して、対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたアクセスがあったか否かをアクセス履歴情報に基づいて判定し、判定結果を出力することとしてもよい。

次に、情報処理装置１の制御部１１が、記憶部１２に格納されたプログラムに従って実行する処理の流れの一例について、図８のフロー図に基づいて説明する。

まず、制御部１１は、システム管理者等の指定に基づいて、調査対象となる対象ユーザグループを決定する（Ｓ１）。そして、過去所定期間分のアクセス履歴情報を取得する（Ｓ２）。

次に制御部１１は、ユーザ管理テーブルを参照して、対象ユーザグループに関連づけられたユーザを特定する（Ｓ３）。以下の処理は、このＳ３で特定したユーザのそれぞれについて、繰り返し実行される。

続いて制御部１１は、処理の対象となったユーザについて、当該ユーザによるアクセス履歴をＳ２で取得したアクセス履歴情報の中から抽出する（Ｓ４）。そして、抽出されたアクセス履歴のそれぞれについて、Ｓ１で決定した対象ユーザグループについて設定されたアクセス権限情報に応じて許可されたアクセスであるか否かを判定する（Ｓ５）。Ｓ５の判定の結果、判定の対象となったアクセス履歴が対象ユーザグループのアクセス権限情報に応じたアクセスによるものではないと判定した場合には、そのままＳ７の処理に進む。一方、対象ユーザグループのアクセス権限情報に応じたアクセスによるものであると判定した場合、制御部１１は、当該アクセス履歴の内容を調査結果リストＬに追記する（Ｓ６）。

次に制御部１１は、上述したＳ５及びＳ６の処理を、Ｓ４で抽出された全てのアクセス履歴について実行したか否かを判定する（Ｓ７）。まだ未処理のアクセス履歴がある場合には、制御部１１はＳ５の処理に戻って次のアクセス履歴に対して同様の処理を繰り返し実行する。

一方、Ｓ７の判定においてＳ４で抽出された全てのアクセス履歴に対する処理を終えたと判定した場合、続いて制御部１１は、Ｓ４からＳ７までの処理をＳ３で特定された全てのユーザについて実行したか否かを判定する（Ｓ８）。まだ未処理のユーザがあれば、制御部１１はＳ４の処理に戻って次のユーザに対して同様の処理を繰り返し実行する。

以上説明した処理によって、対象ユーザグループに関連づけられた全てのユーザによる、対象ユーザグループのアクセス権限情報に応じて許可されたアクセスのアクセス履歴が、調査結果リストＬに追記される。最後に制御部１１は、Ｓ６の追記処理によって生成された調査結果リストＬを、所定の出力先に出力する（Ｓ９）。

以上説明した本実施の形態によれば、情報処理装置１は、対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定されたアクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを調査結果リストＬとして生成する。これにより、例えばシステム管理者などは、この調査結果リストＬを用いて対象ユーザグループの削除や変更等による影響を容易に把握することができる。

なお、本発明の実施の形態は、以上説明したものに限られない。例えば特定のユーザが特定のオブジェクトに対して特定の種類のアクセスを過去に何度も行っている場合、前述した例においては、このようなアクセスを示す複数のアクセス履歴をそれぞれ含んだ調査結果リストＬが生成される。このような調査結果リストＬには、ユーザ、オブジクト、及びアクセスの種類が共通する複数のアクセス履歴が、重複して含まれることとなる。そこで、情報処理装置１は、このようなユーザ、オブジェクト及びアクセスの種類が共通する複数のアクセス履歴の情報をひとつにまとめた調査結果リストＬを生成してもよい。

また、この場合において、情報処理装置１は、ひとつにまとめられたユーザ、オブジェクト、及びアクセスの種類の組み合わせのそれぞれについて、当該組み合わせによって示されるアクセスの過去所定期間における回数を示す情報を調査結果リストＬに含めてもよい。こうすれば、調査結果リストＬ内においてユーザ、オブジェクト及びアクセスの種類が共通するアクセス履歴がひとつにまとめられている場合であっても、システム管理者は、このようなアクセスが過去どの程度の頻度で実行されたかを調査結果リストＬによって知ることができる。

また、情報処理装置１は、対象ユーザグループについて設定されたアクセス権限情報に応じてアクセスを許可されたオブジェクトのうち、当該オブジェクトに対する対象ユーザ又は対象ユーザグループの全メンバによるアクセスの回数が所定数以上のオブジェクトを示す調査結果リストＬを生成してもよい。これにより、例えばシステム管理者は、対象ユーザグループの削除等を行った場合に対象ユーザグループのメンバがアクセスできなくなってしまうオブジェクトのうち、特にこれまで頻繁に利用されていたオブジェクトを容易に把握することができる。

また、情報処理装置１は、対象ユーザグループの変更や削除等が実際に実行された場合に、以上説明した調査結果リストＬを用いて、アクセス権限情報の追加又は更新を行ってもよい。例えば前述した例のように、調査結果リストＬにユーザＵ２のファイルＦ１をダウンロードするアクセスが含まれる場合において、対象ユーザグループ（グループＧ２）が削除された場合、情報処理装置１は、ファイルＦ１に対して、ユーザＵ２に読み取り権限を付与するアクセス権限情報を新たに設定する。こうすれば、情報処理装置１は、調査結果リストＬを利用して、過去の所定期間にわたってユーザが実際にアクセスを許可されたオブジェクトについては、対象ユーザグループに対する変更や削除等が行われた後も当該ユーザがアクセスできるように、アクセス権限情報を更新することができる。

本発明の実施の形態に係る情報処理装置を含む情報処理システムの概略の構成の一例を表すブロック図である。 オブジェクト記憶装置が記憶するオブジェクトの一例を示す説明図である。 情報処理装置によって管理されるユーザ及びユーザグループの一例を示す説明図である。 アクセス権限情報の一例を示す説明図である。 アクセス履歴情報の一例を示す説明図である。 本発明の実施の形態に係る情報処理装置の機能例を示す機能ブロック図である。 調査結果リストの一例を示す説明図である。 情報処理装置によって実行される処理の一例を示すフロー図である。

符号の説明

１ 情報処理装置、２ クライアント端末、３ オブジェクト記憶装置、１１ 制御部、１２ 記憶部、１３ 通信部。

Claims (4)

1. 複数のユーザによるアクセス対象となる複数のオブジェクトを記憶するオブジェクト記憶装置に接続され、
   前記複数のユーザの少なくとも一部は、それぞれ少なくとも一つのユーザグループに関連づけられており、
   前記ユーザのそれぞれによる前記オブジェクトに対するアクセスの可否を前記関連づけられたユーザグループごとに設定されたアクセス権限情報に応じて定める情報処理装置であって、
   前記複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示すアクセス履歴情報を取得するアクセス履歴情報取得手段と、
   前記取得したアクセス履歴情報に基づいて、調査対象として指定された対象ユーザグループについて、当該対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成するリスト生成手段と、
   を含むことを特徴とする情報処理装置。
2. 複数のユーザによるアクセス対象となる複数のオブジェクトを記憶するオブジェクト記憶装置に接続され、
   前記複数のユーザの少なくとも一部は、それぞれ少なくとも一つのユーザグループに関連づけられており、
   前記ユーザのそれぞれによる前記オブジェクトに対するアクセスの可否を前記関連づけられたユーザグループごとに設定されたアクセス権限情報に応じて定める情報処理装置を制御するためのプログラムであって、
   前記複数のユーザのそれぞれが過去にアクセスしたオブジェクトを示すアクセス履歴情報を取得するアクセス履歴情報取得手段、及び
   前記取得したアクセス履歴情報に基づいて、調査対象として指定された対象ユーザグループについて、当該対象ユーザグループに関連づけられたユーザが過去にアクセスしたオブジェクトのうち、当該対象ユーザグループについて設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成するリスト生成手段、
   としてコンピュータを機能させるためのプログラム。
3. 請求項２に記載のプログラムにおいて、
   前記アクセス権限情報は、複数種類のアクセスのそれぞれについて定められており、
   前記アクセス履歴情報は、前記複数のユーザのそれぞれが過去にアクセスしたオブジェクトについて、当該オブジェクトに対するアクセスの種類を示す情報を含み、
   前記リスト生成手段は、前記アクセス履歴情報に含まれる前記アクセスの種類を示す情報に基づいて、前記対象ユーザグループ及び当該アクセスの種類について設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成する
   ことを特徴とするプログラム。
4. 請求項２又は３に記載のプログラムにおいて、
   前記リスト生成手段は、前記対象ユーザグループに関連づけられたユーザのうち、調査対象として指定された対象ユーザが、前記対象ユーザグループについて設定された前記アクセス権限情報に応じてアクセスを許可されたオブジェクトのリストを生成する
   ことを特徴とするプログラム。

Images