JP2009020743A - 操作制御システム、情報処理装置、操作制御方法、及び操作制御プログラム - Google Patents

Abstract

【課題】新たな形態のアクセス制御の方式を提供することを目的とする。
【解決手段】情報処理装置は、操作の対象とされる資源と、操作の主体と、操作との組み合わせに応じて主体による資源に対する操作の権限の有無を識別可能な情報が記録された記憶手段と、携帯型情報処理装置からの要求に基づいて送信される、操作を識別する操作識別情報と主体を識別する主体識別情報と資源の資源識別情報との受信に応じ、記憶手段に基づいて操作識別情報、主体識別情報、及び資源識別情報の組み合わせ関する操作の権限の有無を判定し、判定結果を識別可能な情報を返信する判定手段を有し、携帯型情報処理装置は、判定手段より返信される情報に応じ、操作識別情報、主体識別情報、及び資源識別情報の組み合わせを記録し、記録された情報に基づいて、当該携帯型情報処理装置の外部の装置における操作の許否を判定することにより上記課題を解決する。
【選択図】図４

Description

本発明は、操作制御システム、情報処理装置、操作制御方法、及び操作制御プログラムに関する。

コンピュータシステムにおいては、資源の不正利用等を防止するために、各資源に対してアクセス権が定義されているのが一般的である。このようなアクセス権が定義されたデータは、一般にＡＣＬ（Access Control List）と呼ばれている。

他方において、従来の各種システムごとに保持されていたアクセス制御情報を、各種のセキュリティ情報と合わせて特定のサーバ（以下、「セキュリティサーバ」という。）において管理することにより、複数のシステムにおける資源に対するアクセス制御について、共通のセキュリティルールを適用することが可能なシステム形態が採用され始めている。ここで、セキュリティサーバにおいて管理されている情報は、一般にセキュリティポリシーと呼ばれている（例えば、特許文献１）。

文書を資源の例とすると、セキュリティポリシーでは、文書の特徴を表す主要な文書属性（管理部署、文書種別、機密レベルなど）による文書分類と、利用者の特徴を表す主要なユーザ属性（所属部署、役職など）によるユーザ分類との組み合わせに応じて、操作の種別毎に適切なアクセスルールが定義される。

従来、セキュリティポリシーを利用したアクセス制御システムとして、大きく分けて二つの形態が採用されていた。

図１は、セキュリティポリシーに基づく従来のアクセス制御システムの第一の例を示す図である。図１において、セキュリティサーバ５１０は、セキュリティポリシーに基づいて、各種資源に対するアクセス制御を実行するコンピュータである。図１の形態は、セキュリティポリシーはセキュリティサーバ５１０によって一元管理されており、各システム又は装置等で資源に対するアクセスが発生した際に、当該システム等がセキュリティサーバ５１０に対してアクセスの許否の問い合わせ（ポリシー確認）を行うといったものである。例えば、文書管理システム５２０は、管理されている文書に対するアクセスが発生した際に、セキュリティサーバ５１０に対してポリシー確認を行う。複合機５３０は、コピーや印刷等の実行が指示された際に、セキュリティサーバ５１０に対してポリシー確認を行う。ＰＣ５４０は、ＰＣ５４０に保存されているファイル等に対するアクセスが発生した際にセキュリティサーバ５１０に対してポリシー確認を行う。なお、図１に示されるシステム形態を、以下「ポリシー確認型」という。

図２は、セキュリティポリシーに基づく従来のアクセス制御システムの第二の例を示す図である。図２中、図１と同一部分には同一符号を付している。図２の形態は、セキュリティサーバ５１０において管理されているセキュリティポリシーが、所定のタイミング（例えば、セキュリティポリシーが更新されたとき等）で各システム等に配布されるといったものである。この場合、各システム等は、資源に対するアクセスが発生した際に、当該システム等に保存されているセキュリティポリシーに基づいて、アクセスの許否判定を行う。なお、図２に示されるシステム形態を、以下「ポリシー配布型」という。
特開２００５−３８３７２号公報

しかしながら、ポリシー確認型の場合、各システム又は装置は、ネットワークを介してセキュリティサーバに接続されている必要がある。したがって、ネットワークに障害が発生した場合、それぞれのシステム等の機能自体が正常に動作していたとしても、アクセス制御が行えないため、当該システム等を利用できなくなってしまうという問題がある。

また、ポリシー配布型の場合、各システム等におけるセキュリティポリシーの整合性を保つ必要がある。したがって、セキュリティポリシーに変更が生じる度に各システム等に対するセキュリティポリシーの配布を同時に、かつ、確実に行う必要があり、保守作業にかかる負担が大きいという問題がある。

本発明は、上記の点に鑑みてなされたものであって、新たな形態のアクセス制御の方式を提供することのできる操作制御システム、情報処理装置、操作制御方法、及び操作制御プログラムの提供を目的とする。

そこで上記課題を解決するため、本発明は、携帯型情報処理装置と情報処理装置とを有する操作制御システムであって、前記情報処理装置は、操作の対象とされる資源と、前記操作の主体と、前記操作との組み合わせに応じて前記主体による前記資源に対する前記操作の権限の有無を識別可能な情報が記録された記憶手段と、前記携帯型情報処理装置からの要求に基づいて送信される、前記操作を識別する操作識別情報と前記主体を識別する主体識別情報と前記資源の資源識別情報との受信に応じ、前記記憶手段に基づいて前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせ関する前記操作の権限の有無を判定し、判定結果を識別可能な情報を返信する判定手段を有し、前記携帯型情報処理装置は、前記判定手段より返信される情報に応じ、前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせを記録し、記録された情報に基づいて、当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする。

このような操作制御システムでは、新たな形態のアクセス制御の方式を提供することができる。

本発明によれば、新たな形態のアクセス制御の方式を提供することのできる操作制御システム、情報処理装置、操作制御方法、及び操作制御プログラムを提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。図３は、本発明の実施の形態の概要を説明するための図である。図３（Ａ）に示されるように、本実施の形態では、予め許可証発行サーバ２０によってアクセス許可証５０が生成及び発行され、携帯型情報処理装置１０にダウンロードされる。

アクセス許可証５０は、或る主体（ユーザ又はプログラム等）による或る資源（ソフトウエア又はハードウエア等）に対する或る操作の許否を示すアクセス制御情報（例えば、ＡＣＬ（Access Control List）やポリシー等に相当する情報）が記録されたデータである。本実施の形態では、許可される操作、主体、及び資源の組み合わせについてアクセス許可証５０が発行される。

携帯型情報処理装置１０は、携帯可能な情報処理装置であって、例えば、ＩＣカード、携帯電話、ＰＤＡ（Personal Digital Assistance）、又はノート型ＰＣ（Personal Computer）等が相当する。したがって、携帯型情報処理装置１０にアクセス許可証５０が記録されることにより、アクセス制御情報の携帯が可能となる。

なお、携帯型情報処理装置１０が各人ごとに割り当てられる（配布される）場合、当該携帯型情報処理装置１０が割り当てられたユーザ（所有者）に関するアクセス制御情報のみが記録されたアクセス許可証５０が当該携帯型情報処理装置１０にダウンロードされればよい。一方、携帯型情報処理装置１０が複数のユーザによって共有される場合は、共有する複数のユーザに関するアクセス制御情報が記録されたアクセス許可証５０が当該携帯型情報処理装置１０にダウンロードされればよい。なお、本実施の形態では、携帯型情報処理装置１０は、各人ごとに割り当てられる場合を例とする。

続いて、図３（Ｂ）に示されるように、画像形成装置（例えば、複写機又は複合機）等の機器３０によって提供されるサービスを利用する際には、機器３０に対して携帯型情報処理装置１０を提示する（機器３０と携帯型情報処理装置１０とが通信可能な状態とする。）。ユーザが、機器３０に対して操作要求を入力すると、機器３０は、当該ユーザによる当該操作の許否を携帯型情報処理装置１０に問い合わせる。携帯型情報処理装置１０は、記録されているアクセス許可証５０に基づいて当該操作の許否を判定し、その判定結果を機器３０に通知する。機器３０は、操作が許可された場合に要求された操作を実行する。なお、本実施の形態では、機器３０がサービスの提供主体とされているが、コンピュータシステム上のソフトウェアをサービスの提供主体として考えても良い。

図３に示されるような形態によれば、図１において説明したポリシー確認型のように機器３０は、必ずしもネットワークに接続されている必要はない。携帯型情報端末１０との通信さえ可能であれば、アクセス許可証５０に基づいて操作の許否を判定することができるからである。また、図２において説明したポリシー配布型のように操作の対象とされるシステムや装置に対して予めアクセス制御情報を配布する必要はないため、各システム又は装置間におけるアクセス制御情報の整合性を意識する必要はない。したがって、保守作業を軽減することができる。

以下、更に具体的に説明する。なお、以下の説明において、図３（Ａ）に示される段階を「アクセス許可証発行段階」といい、図３（Ｂ）に示される段階を「アクセス許可証利用段階」という。

図４は、本発明の実施の形態におけるシステムの機能構成例を示す図である。図４中、図３と同一部分については同一符号を付している。

許可証発行サーバ２０は、許可証発行部２１及び許可証リポジトリ２２等を有する。許可証発行部２１は、アクセス許可証５０の発行処理を制御する。許可証リポジトリ２２は、管理者等によって予め登録されるアクセス許可証５０を管理する。

携帯型情報処理装置１０は、許可証ダウンロード部１１及び操作許否判定部１２等を有する。許可証ダウンロード部１１は、許可証発行サーバ２０からのアクセス許可証５０のダウンロード処理を制御する。ダウンロードされたアクセス許可証５０は、携帯型情報処理装置１０の記憶装置に保存（記録）される。操作許否判定部１２は、ユーザによって操作要求が入力された機器３０からの問い合わせに応じ、携帯型情報処理装置１０の記憶装置に保存されているアクセス許可証５０に基づいて、当該操作要求に応じた操作に対する権限の有無を判定し、判定結果を機器３０に通知する。

機器３０は、サービス部３１及びアクセス制御部３２等を有する。サービス部３１は、ユーザによって入力される操作要求に応じたサービス（操作）を実現するための処理を制御する。アクセス制御部３２は、ユーザによって入力される操作要求に応じた操作に対する権限の有無を携帯型情報処理装置１０の操作許否判定部１２に問い合わせ、当該問い合わせに対する応答として返信される権限の有無の判定結果に応じて、サービス部３１によるサービスの提供を制限する。

なお、図４における各部（各機能）は、各装置におけるＣＰＵによってプログラムが処理されることにより実現されるソフトウェアである。

図５は、本発明の実施の形態における携帯型情報処理装置のハードウェア構成例を示す図である。図５において携帯型情報処理装置１０は、それぞれバスBで相互に接続されている、ＲＯＭ１０１、ＲＡＭ１０２、記憶装置１０３、ＣＰＵ１０４、及び通信インタフェース１０５等を備える。

携帯型情報処理装置１０での処理を実現するプログラムは、ＲＯＭ１０１又は記憶装置１０３に記録される。プログラムの起動指示が入力されると、プログラムは、ＲＯＭ１０１又は記憶装置１０３より読み出されてＲＡＭ１０２に格納される。ＣＰＵ１０４は、ＲＡＭ１０２に格納されたプログラムに従って携帯型情報処理装置１０に係る機能を実行する。記憶装置１０３は、不揮発性ＲＡＭ又はＨＤＤ等、不揮発性の記憶装置であり、例えば、アクセス許可証５０を保存するために用いられる。通信インタフェース１０５は、許可証発行サーバ２０や機器３０と通信するためのインタフェースである。

なお、許可証発行サーバ２０及び機器３０も図５に示される各種ハードウェアを備える。

以下、本実施の形態におけるシステムの処理手順について説明する。図６は、アクセス許可証発行段階における処理手順を説明するためのシーケンス図である。

まず、携帯型情報処理装置１０の許可証ダウンロード部１１は、許可証発行サーバ２０の許可証発行部２１に要求情報を送信することにより、アクセス許可証の発行を要求する（Ｓ１０１）。要求情報は、以下のような情報によって構成される。

図７は、アクセス許可証発行の要求情報の例を示す図である。図７において、要求情報２１０は、主体情報２１１、資源情報２１２、及び操作情報２１３より構成される。主体情報２１１は、アクセス許可証５０が発行された場合に当該アクセス許可証５０によって操作が許可される主体の識別情報である。資源情報２１２は、アクセス許可証５０が発行された場合に当該アクセス許可証５０によって操作が許可される資源の識別情報である。操作情報２１３は、アクセス許可証が発行された場合に当該アクセス許可証５０によって許可される操作の識別情報である。なお、一回の発行要求において複数の要求情報が指定されてもよい。

要求情報２１０を受信すると、許可証発行部２１は、要求情報２１０に基づいてアクセス許可証セットを生成する（Ｓ１０２）。ここで、アクセス許可証セットとは、一つ以上のアクセス許可証を格納可能な構造を有するデータをいう。

図８は、アクセス許可証セットの構造例を示す図である。図８において、アクセス許可証セット６０は、ヘッダ情報としての許可証数６１とアクセス許可証５０の配列とより構成される。

許可証数６１は、アクセス許可証セット６０に含まれているアクセス許可証５０の配列の要素数を示す。図中において、許可証５０−１〜５０−ｎは、アクセス許可証５０の配列に相当する。各アクセス許可証５０は、各要求情報に対応する。すなわち、要求情報が一つの場合、アクセス許可証セット６０には一つのアクセス許可証５０が格納される。

各アクセス許可証５０は、主体情報、資源情報、操作情報、及び責務情報より構成される。主体情報は、当該アクセス許可証５０によって許可される操作の主体の識別情報である。資源情報は、当該アクセス許可証５０によって操作が許可される資源の識別情報である。操作情報は、当該アクセス許可証５０によって許可される操作の識別情報である。責務情報は、許可される操作を実行する際に課される責務（許可される操作を実行する際に実行が要求される処理であって、例えば、ログの取得等が代表例として挙げられる。）の識別情報である。責務情報は、一つの操作に対して複数設定され得る。

続いて、許可証発行部２１は、生成されたアクセス許可証セット６０（アクセス許可証５０）を発行する（Ｓ１０３）。続いて、許可証ダウンロード部１１は、アクセス許可証セット６０を受信すると、受信したアクセス許可証セット６０を記憶装置１０３に保存する（Ｓ１０４）。

次に、ステップＳ１０２における処理について詳細に説明する。図９は、許可証発行部によるアクセス許可証セットの生成処理を説明するためのフローチャートである。

ステップＳ２０１において、許可証リポジトリ２２に登録されているアクセス許可証５０を一つ取り出す。

図１０は、許可証リポジトリの構成例を示す図である。図１０に示されるように、許可証リポジトリ２２は、主体情報、資源情報、操作情報、及び責務情報より構成されるアクセス許可証５０ごとに、許可証番号を割り当てて管理するテーブルである。許可証番号は、許可証ごとに一意の番号である。なお、許可証リポジトリ２２に管理されているアクセス許可証５０は、許可される主体、資源、及び操作の組み合わせについて、予め管理者等によって登録されたものである。

アクセス許可証５０の取り出しに成功した場合（Ｓ２０２でＹｅｓ）、要求情報２１０における主体情報２１１、資源情報２１２、及び操作情報２１３と、取り出されたアクセス許可証５０における主体情報、資源情報、及び操作情報とを比較（照合）する（Ｓ２０３）。全ての項目が一致する場合（Ｓ２０３で「一致」）、アクセス許可証セット６０に当該アクセス許可証５０を追加する（Ｓ２０４）。

一方、少なくともいずれか一つの項目が一致しない場合（Ｓ２０３で「不一致」）、当該アクセス許可証５０のアクセス許可証セット６０への追加は実行しない。

上記の処理が、許可証リポジトリ２２に登録されている全てのアクセス許可証５０について完了すると（Ｓ２０２でＮｏ）、アクセス許可証セット６０に追加されたアクセス許可証５０の数を、アクセス許可証セット６０の許可証数の値として設定する（Ｓ２０５）。

要求情報が複数指定された場合、各要求情報について図９の処理が繰り替えされる。

なお、図９の処理は、要求情報に対応するアクセス許可証５０の発行の可否（すなわち、主体情報２１１に係る主体による資源情報２１２に係る資源に対する操作情報２１３に係る操作を許可するか否か）を判定する処理に相当する。すなわち、要求情報と一致するアクセス許可証５０が存在しない場合は、当該要求情報に対応するアクセス許可証５０はアクセス許可証セット６０に追加されない。このことは、アクセス許可証５０の発行、すなわち、要求情報において要求された操作の許可が拒否されたことを意味する。

次に、アクセス許可証利用段階について説明する。図１１は、アクセス許可証利用段階における処理手順を説明するためのシーケンス図である。

機器３０の操作者（ユーザ）によって機器３０に対して操作要求が入力されると（Ｓ３０１）、機器３０のアクセス制御部３２は、判定要求情報を携帯型情報処理装置１０の操作許否判定部１２に送信することにより、当該操作要求に対応する操作の許否判定を要求する（Ｓ３０２）。

図１２は、判定要求情報の例を示す図である。図１２において判定要求情報３１０は、資源情報３１１及び操作情報３１２より構成される。資源情報３１１は、操作要求において操作の対象とされている資源の識別情報である。操作情報３１２は、操作要求に応じた操作の識別情報である。

なお、図中では、操作者（操作の主体）の識別情報は含まれていない。これは、本実施の形態では携帯型情報処理装置１０が各人に割り当てられていることを前提としているためである。すなわち、各携帯型情報処理装置１０には、割り当てられた操作者の識別情報が格納されていることを前提とする。したがって、当該前提が成り立たない場合は、判定要求情報３１０に操作要求の主体の識別情報（主体情報）を含めるようにすればよい。この場合、機器３０において、主体情報を特定する必要があるが、例えば、操作者の認証処理を経ることによって主体情報を取得するようにすればよい。

判定要求情報３１０の受信に応じ、操作許否判定部１２は、記憶装置１０３に保存されているアクセス許可証５０をＲＡＭ１０２上に読み出し（Ｓ３０３）、当該アクセス許可証５０に基づいて、判定要求情報３１０に係る操作の許否判定を行う（Ｓ３０４）。続いて、操作許否判定部１２は、許否判定の判定結果を示す情報（判定結果情報）をアクセス制御部３２に通知する（Ｓ３０５）。

図１３は、判定結果情報の例を示す図である。図１３において判定結果情報１１０は、許否情報１１１及び責務情報１１２等より構成される。許否情報１１１は、操作が許可されるか否かを示す情報である。責務情報１１２は、操作が許可される場合であって、アクセス許可証５０において当該操作に対して責務が設定されている場合における、当該責務の識別情報である。

許否情報１１１において当該操作が許可されることが示されている場合、アクセス制御部３２は、サービス部３１に操作要求に係る操作を実行させる（Ｓ３０６）。また、判定結果情報１１０に責務情報１１２が含まれている場合、アクセス制御部３２は、当該責務情報１１２に係る責務をサービス部３１に実行させる（Ｓ３０７）。一方、許否情報１１１において当該操作が許可されないことが示されている場合、アクセス制御部３２は、当該操作をサービス部３１に実行させない。

次に、ステップＳ３０４における処理の詳細について説明する。図１４は、操作許否判定部による操作許否判定処理を説明するためのフローチャートである。

ステップＳ４０１において、判定要求情報３１０に含まれている資源情報３１１、操作情報３１２と一致する資源情報及び操作情報を有するアクセス許可証５０をアクセス許可証セット６０より検索する。判定要求情報３１０に主体情報も含まれている場合は、主体情報についても一致又は不一致が判定される。

判定要求情報３１０に一致するアクセス許可証５０が検索された（存在した）場合（Ｓ４０２でＹｅｓ）、判定要求情報３１０に係る操作は許可されるものと判定する（Ｓ４０４）。続いて、検索されたアクセス許可証５０に含まれている責務情報に係る責務を、許可される操作に対する責務とする（Ｓ４０４）。一方、判定要求情報３１０に一致するアクセス許可証５０が検索されない場合（Ｓ４０２でＮｏ）、判定要求情報３１０に係る操作は許可されないものと判定する（Ｓ４０５）。

ステップＳ４０４又はＳ４０５に続いて、判定結果情報１１０を生成する。すなわち、ステップＳ４０３又はＳ４０５の判定結果示す情報を許否情報１１１とし、許可判定の場合は、ステップＳ４０４において判定された責務を示す情報を責務情報１１２とする。

次に、上記において説明した内容を、更に具体的な場面に当てはめて説明する。図１５は、アクセス許可証発行段階の具体例における処理手順を説明するためのシーケンス図である。また、図１６は、アクセス許可証発行段階の具体例における表示画面例を示す図である。図１５において、ＩＣカード１０ａは、携帯型情報処理装置１０の具体例である。すなわち、図１５では、ＩＣカード１０ａにアクセス許可証５０をダウンロードする例を説明する。また、ユーザＩ／Ｆ制御部４１は、ＩＣカードリーダが接続されたＰＣ（Personal Computer）４０においてプログラムが処理されることにより実現するソフトウェアである。

ステップＳ５０１において、ユーザＩ／Ｆ制御部４１は、ＩＣカードリーダライタへのＩＣカード１０ａの挿入を要求する画面（図１６の画面４１１）をＰＣ４０の表示装置に表示させる。ユーザＡによってＩＣカードリーダライタへＩＣカード１０ａが挿入されると（Ｓ５０２）、ユーザＩ／Ｆ制御部４１は、ＩＣカード１０ａの挿入を検知し、パスワードの入力を要求する画面（図１６の画面４１２）をＰＣ４０の表示装置に表示させる（Ｓ５０３）。ユーザＡによってパスワードが入力されると、ユーザＩ／Ｆ制御部４１は、ＩＣカード１０ａの許可証ダウンロード部１１にパスワードを送信することにより、ユーザＡの認証を要求する（Ｓ５０５）。

許可証ダウンロード部１１は、受信したパスワードを、記憶装置１０３に記録されているユーザＡのパスワードと照合することによりユーザＡの認証を行い、認証結果をユーザＩ／Ｆ制御部４１に返信する（Ｓ５０６）。なお、ユーザＡに配布されたＩＣカード１０ａの記憶装置１０３には、ユーザＡのユーザ名とパスワードとがユーザ情報として予め記録されている。

ユーザＡが認証されると、ユーザＩ／Ｆ制御部４１は、アクセス許可証５０によって許可を要求する操作を識別する情報と、当該操作の対象となる資源を識別する情報を入力させるための画面（図１６の画面４１３）をＰＣ４０の表示装置に表示させる（Ｓ５０７）。画面４１３において、ユーザによって操作を識別する情報と資源が入力されると（Ｓ５０８）、ユーザＩ／Ｆ制御部４１は、入力された情報を許可証ダウンロード部１１に通知する（Ｓ５０９）。なお、図１６の画面４１３には、利用機器ＩＤ及び利用操作の入力欄が有る。利用機器ＩＤとしては、「複写機Ｂ」が入力されているが、これが資源を識別する情報に相当する。また、利用操作としては、「コピー」が入力されているが、これが操作を識別する情報に相当する。すなわち、画面４１３では、ユーザＡが、複写機Ｂに対するコピーの操作権限を得るためのアクセス許可証５０の発行を要求している例が示されている。

続いて、許可証ダウンロード部１１は、ＩＣカード１０ａの記憶装置に保存されているユーザＡの識別情報（ユーザ）と、画面４１３を介してユーザＡによって入力された情報とに基づいて図７に示されるような要求情報２１０を生成し、当該要求情報２１０を許可証発行サーバ２０の許可証発行部２１に送信することにより、アクセス許可証５０の発行を要求する（Ｓ５１０）。なお、要求情報２１０において、主体情報２１１には、ユーザＡの識別情報が指定される。資源情報２１２は、複写機Ｂの識別情報が指定される。操作情報２１３は、コピー操作の識別情報が指定される。当該要求情報２１０では、ユーザＡによる複写機Ｂに対するコピー操作の権限を得るためのアクセス許可証５０の発行が要求される。

要求情報２１０を受信すると、許可証発行部２１は、要求情報２１０に基づいてアクセス許可証セット６０を生成する（Ｓ５１１）。この処理の詳細については、図９において説明した通りである。続いて、許可証発行部２１は、生成されたアクセス許可証セット６０（アクセス許可証５０）を許可証ダウンロード部１１に送信する（Ｓ５１２）。許可証ダウンロード部１１は、アクセス許可証セット６０を受信すると、受信したアクセス許可証セット６０を記憶装置１０３に保存する（Ｓ５１３）。

以上によって、ユーザＡによる複写機Ｂに対するコピー操作を許可するアクセス許可証５０が、ユーザＡのＩＣカード１０ａに記録されたことになる。

なお、図１５では、許可証ダウンロード部１１（ＩＣカード１０ａ）と許可証発行部２１（許可証発行サーバ２０）との間で、無線通信が可能であることを前提としている。すなわち、当該無線通信によって、ステップＳ５１０やＳ５１２が実現される。但し、許可証発行サーバ２０への要求情報２１０の送信や、許可証発行サーバ２０からのアクセス許可証セット６０の受信をＰＣ４０のユーザＩ／Ｆ制御部４１に実行させるようにしてもよい。ユーザＩ／Ｆ制御部４１は、受信したアクセス許可証セット６０を許可証ダウンロード部１１に送信する。これによって、ＩＣカード１０ａ内にアクセス許可証５０が保存される。この場合、ＰＣ４０と許可証発行サーバ２０との間でネットワーク通信（有線又は無線の別は問わない。）が可能であればよい。

次に、ＩＣカード１０ａに記録されたアクセス許可証５０を利用して、ユーザＡが複写機Ｂのコピーを実行する際の処理手順について説明する。図１７は、アクセス許可証利用段階の具体例における処理手順を説明するためのシーケンス図である。また、図１８は、アクセス許可証利用段階の具体例における表示画面例を示す図である。

ステップＳ６０１において、複写機Ｂ３０ａのアクセス制御部３２は、ＩＣカードリーダへのＩＣカード１０ａの挿入を要求する画面（図１８の画面４２１）を複写機Ｂ３０ａの操作パネルに表示させる。なお、複写機Ｂ３０ａは、図４における機器３０の具体例である。

ユーザＡによってＩＣカードリーダへＩＣカード１０ａが挿入されると（Ｓ６０２）、アクセス制御部３２は、ＩＣカード１０ａの挿入を検知し、パスワードの入力を要求する画面（図１８の画面４２２）を複写機Ｂ３０ａの操作パネルに表示させる（Ｓ６０３）。ユーザＡによってパスワードが入力されると、アクセス制御部３２は、ＩＣカード１０ａの操作許否判定部１２にパスワードを送信することにより、ユーザＡの認証を要求する（Ｓ６０５）。

操作許否判定部１２は、受信したパスワードを、記憶装置１０３に記録されているユーザＡのパスワードと照合することによりユーザＡの認証を行い、認証結果をアクセス制御部３２に返信する（Ｓ６０６）。

ユーザＡが認証されると、複写機Ｂ３０ａのサービス部３１は、複写機Ｂ３０ａにおいて利用可能な機能（操作）を選択させるための画面を操作パネルに表示させる（Ｓ６０７）。表示中の画面において、コピー操作の実行が指示されると（Ｓ６０８）、アクセス制御部３２は、図１２に示されるような判定要求情報３１０を操作許否判定部１２に送信することにより、複写機Ｂ３０ａにおけるコピー操作の許否判定を要求する（Ｓ６０９）。すなわち、ここで、判定要求情報３１０の資源情報３１１には複写機Ｂ３０ａの識別情報が指定され、操作情報３１２には、コピー操作の識別情報が指定される。

判定要求情報３１０の受信に応じ、操作許否判定部１２は、記憶装置１０３に保存されているアクセス許可証５０をＲＡＭ１０２上に読み出し（Ｓ６１０、Ｓ６１１）、当該アクセス許可証５０に基づいて、判定要求情報３１０に係る操作の許否判定を行う（Ｓ６１２）。続いて、操作許否判定部１２は、許否判定の判定結果を示す情報（図１３の判定結果情報１１０）をアクセス制御部３２に通知する（Ｓ６１３）。この処理の詳細は、図１４において説明した通りである。

判定結果情報１１０の許否情報１１１においてコピー操作が許可されることが示されている場合（Ｓ６１４でＹｅｓ）、アクセス制御部３２は、サービス部３１にコピー操作を実行させる（Ｓ６１５）。また、判定結果情報１１０に責務情報１１２が含まれている場合、アクセス制御部３２は、当該責務情報１１２に係る責務（例えば、ログの記録）をサービス部３１に実行させる（Ｓ６１６）。コピー操作又は責務の実行が完了すると、アクセス制御部３２は、コピー操作、責務が完了したことを通知する画面（図１８の画面４２４）を操作パネルに表示させる（Ｓ６１７）。

一方、許否情報１１１においてコピー操作が許可されないことが示されている場合（Ｓ６１４でＮｏ）、アクセス制御部３２は、コピー操作が利用できないことを通知する画面（図１８の画面４２３）を操作パネルに表示させる（Ｓ６１８）。

上述したように、本実施の形態におけるコンピュータシステムによれば、携帯可能な携帯型情報処理装置１０にアクセス許可証５０が記録され、そのアクセス許可証５０に基づいて操作許否の判定が実行されるため、機器３０がネットワークに接続されていない状態でも、適切にアクセス制御を行うことができる。また、各システムにアクセス制御情報を配布する必要もない。

以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

セキュリティポリシーに基づく従来のアクセス制御システムの第一の例を示す図である。 セキュリティポリシーに基づく従来のアクセス制御システムの第二の例を示す図である。 本発明の実施の形態の概要を説明するための図である。 本発明の実施の形態におけるシステムの機能構成例を示す図である。 本発明の実施の形態における携帯型情報処理装置のハードウェア構成例を示す図である。 アクセス許可証発行段階における処理手順を説明するためのシーケンス図である。 アクセス許可証発行の要求情報の例を示す図である。 アクセス許可証セットの構造例を示す図である。 アクセス許可証セットの生成処理を説明するためのフローチャートである。 許可証リポジトリの構成例を示す図である。 アクセス許可証利用段階における処理手順を説明するためのシーケンス図である。 判定要求情報の例を示す図である。 判定結果情報の例を示す図である。 操作許否判定部による操作許否判定処理を説明するためのフローチャートである。 アクセス許可証発行段階の具体例における処理手順を説明するためのシーケンス図である。 アクセス許可証発行段階の具体例における表示画面例を示す図である。 アクセス許可証利用段階の具体例における処理手順を説明するためのシーケンス図である。 アクセス許可証利用段階の具体例における表示画面例を示す図である。

符号の説明

１０ 携帯型情報処理装置
１１ 許可証ダウンロード部
１２ 操作許否判定部
２０ 許可証発行サーバ
２１ 許可証発行部
２２ 許可証リポジトリ
３０ 機器
３１ サービス部
３２ アクセス制御部
１０１ ＲＯＭ
１０２ ＲＡＭ
１０３ 記憶装置
１０４ ＣＰＵ
１０５ 通信インタフェース
５１０ セキュリティサーバ
５２０ 文書管理システム
５３０ 複合機
５４０ ＰＣ
Ｂ バス

Claims (10)

1. 携帯型情報処理装置と情報処理装置とを有する操作制御システムであって、
   前記情報処理装置は、
   操作の対象とされる資源と、前記操作の主体と、前記操作との組み合わせに応じて前記主体による前記資源に対する前記操作の権限の有無を識別可能な情報が記録された記憶手段と、
   前記携帯型情報処理装置からの要求に基づいて送信される、前記操作を識別する操作識別情報と前記主体を識別する主体識別情報と前記資源の資源識別情報との受信に応じ、前記記憶手段に基づいて前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせ関する前記操作の権限の有無を判定し、判定結果を識別可能な情報を返信する判定手段を有し、
   前記携帯型情報処理装置は、
   前記判定手段より返信される情報に応じ、前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせを記録し、
   記録された情報に基づいて、当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする操作制御システム。
2. 前記判定手段は、権限が有ると判定された前記操作識別情報、前記主体識別情報、及び前記資源識別情報との組み合わせを含むデータを返信し、
   前記携帯型情報処理装置は、前記データを記録し、前記データに基づいて当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする請求項１記載の操作制御システム。
3. 前記記憶手段には、前記データの一覧が記録されており、
   前記判定手段は、前記携帯型情報処理装置からの要求に基づいて送信される、前記操作識別情報と前記主体識別情報と前記資源識別情報との組み合わせに一致するデータを前記一覧の中から検索し、検索されたデータを返信することを特徴とする請求項２記載の操作制御システム。
4. 請求項１乃至３いずれか一項記載の情報処理装置。
5. 携帯型情報処理装置と情報処理装置とが実行する操作制御方法であって、
   前記情報処理装置は、
   操作の対象とされる資源と、前記操作の主体と、前記操作との組み合わせに応じて前記主体による前記資源に対する前記操作の権限の有無を識別可能な情報が記憶手段に記録され、
   前記携帯型情報処理装置からの要求に基づいて送信される、前記操作を識別する操作識別情報と前記主体を識別する主体識別情報と前記資源の資源識別情報とを受信する受信手順と、
   前記受信手順に応じ、前記記憶手段に基づいて前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせ関する前記操作の権限の有無を判定し、判定結果を識別可能な情報を返信する判定手順とを有し、
   前記携帯型情報処理装置は、
   前記判定手段より返信される情報に応じ、前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせを記録し、
   記録された情報に基づいて、当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする操作制御方法。
6. 前記判定手順は、権限が有ると判定された前記操作識別情報、前記主体識別情報、及び前記資源識別情報との組み合わせを含むデータを返信し、
   前記携帯型情報処理装置は、前記データを記録し、前記データに基づいて当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする請求項５記載の操作制御方法。
7. 前記記憶手段には、前記データの一覧が記録されており、
   前記判定手順は、前記携帯型情報処理装置からの要求に基づいて送信される、前記操作識別情報と前記主体識別情報と前記資源識別情報との組み合わせに一致するデータを前記一覧の中から検索し、検索されたデータを返信することを特徴とする請求項６記載の操作制御方法。
8. 前記情報処理装置を、
   操作の対象とされる資源と、前記操作の主体と、前記操作との組み合わせに応じて前記主体による前記資源に対する前記操作の権限の有無を識別可能な情報が記録された記憶手段と、
   携帯型情報処理装置からの要求に基づいて送信される、前記操作を識別する操作識別情報と前記主体を識別する主体識別情報と前記資源の資源識別情報との受信に応じ、前記記憶手段に基づいて前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせ関する前記操作の権限の有無を判定し、判定結果を識別可能な情報を返信する判定手段として機能させ、
   前記携帯型情報処理装置は、
   前記判定手段より返信される情報に応じ、前記操作識別情報、前記主体識別情報、及び前記資源識別情報の組み合わせを記録し、
   記録された情報に基づいて、当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする操作制御プログラム。
9. 前記判定手段は、権限が有ると判定された前記操作識別情報、前記主体識別情報、及び前記資源識別情報との組み合わせを含むデータを返信し、
   前記携帯型情報処理装置は、前記データを記録し、前記データに基づいて当該携帯型情報処理装置の外部の装置における操作の許否を判定することを特徴とする請求項８記載の操作制御プログラム。
10. 前記記憶手段には、前記データの一覧が記録されており、
    前記判定手段は、前記携帯型情報処理装置からの要求に基づいて送信される、前記操作識別情報と前記主体識別情報と前記資源識別情報との組み合わせに一致するデータを前記一覧の中から検索し、検索されたデータを返信することを特徴とする請求項９記載の操作制御プログラム。

Images