JP2009230300A - 情報処理システム - Google Patents

Abstract

【課題】オブジェクトについてのアクセス制御の柔軟性を高める。
【解決手段】オブジェクト１５０に属性項目としてアクセス権参照オブジェクト情報１６４を設定可能とする。ユーザは、属性設定部１１２を用いて、当該オブジェクト１５０のアクセス制御の際に参照すべき他のオブジェクトを特定する情報（例えば当該他のオブジェクトのオブジェクトＩＤ）をアクセス権参照オブジェクト情報１６４に設定する。アクセス制御部１３０は、ユーザからオブジェクト１５０についての処理が要求された場合、そのオブジェクト１５０のアクセス制御情報１６６だけでなく、アクセス権参照オブジェクト情報１６４が指し示す参照先のオブジェクトのアクセス制御情報も考慮して、アクセスを許可するか否かを判定する。オブジェクトごとに個別にアクセス権参照オブジェクト情報１６４を設定できるので、柔軟性が高い。
【選択図】図１

Description

本発明は、複数のオブジェクトのアクセス権を管理するための技術に関する。

複数のオブジェクトのアクセス権を一括で管理する方法としては、例えば次のような従来技術が知られている。

１つの方法では、フォルダ構造等の木構造の中で、あるオブジェクトのアクセス権を評価する際に、木構造をルート（根）まで辿っていく際に行き当たる各オブジェクトのアクセス権をリストアップし、リストアップの結果を当該オブジェクト自身に設定されたアクセス権と組み合わせることで、当該オブジェクトのアクセス権内容を評価する。

例えば特許文献１には、階層構造にて管理されるフォルダの文書及び該フォルダに対して設定されたアクセス権に従い該文書への処理を制御する文書処理装置が示される。この装置は、ユーザによって指定された指定フォルダの直下で管理される文書及び該指定フォルダの下位階層に属する子孫フォルダのアクセス権の変更を該ユーザによって指定可能な画面を表示ユニットに表示させ、ユーザからアクセス権変更情報を取得し、前記階層構造に従って取得した該指定フォルダ、該子孫フォルダ、及び該文書の前記アクセス権の一部又は全部を一括して変更するアクセス権変更手段を有する。

また別の方法として、オブジェクトの状態に応じて、オブジェクトのアクセス権内容を制御する方法が知られている。

例えば特許文献２に示される方法では、状態／アクセス権設定部が、ファイルの属性の複数の属性値毎に、ファイルの状態を示す情報とアクセス権情報の対を状態／アクセス権定義領域に設定する。ファイル属性定義部が、入力部からの属性値に対応するアクセス権を状態／アクセス権定義領域から取得し、これをファイル属性定義領域に登録する。ユーザアクセス要求可否判断部が、入力部からのアクセス権要求の内容と、ファイル属性定義領域から取得したアクセス権の内容とを比較し、該比較結果に基づいてアクセス権を許可するか否かを判断する。この方法では、ファイル自身に設定されたアクセス権情報と、ファイルの状態属性値に対応するアクセス権情報とを組み合わせることで、そのファイルのアクセス権の内容を求める。

特開２００３−２２３３６３号公報 特開平７−２６２０７２号公報

本発明の目的は、オブジェクトの状態という他の制御で用いられる要因にアクセス権を連動させることなく、木構造上に散在するオブジェクト群のアクセス権を一括で管理する情報処理システム及びプログラムを提供することである。

請求項１に係る発明は、各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶する記憶手段と、ユーザから、前記記憶手段に記憶されたオブジェクトについてのアクセス権を判定するために参照する参照先オブジェクトの指定を受け付け、指定された参照先オブジェクトを特定する特定情報を当該オブジェクトに対応づけて前記記憶手段に記憶させる手段と、オブジェクトに対するサブジェクトのアクセス権の判定を実行する判定実行手段であって、当該オブジェクトについての第１のアクセス制御情報と、当該オブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、を前記記憶手段から取得し、前記第１のアクセス制御情報と前記第２のアクセス制御情報とに基づき前記判定を実行することを特徴とする判定実行手段と、を備える情報処理システムである。

ここで、「当該オブジェクトについてのアクセス制御情報」は、そのオブジェクト固有のアクセス制御情報に限らない。オブジェクトに対してあらかじめ定められた固定的な関係にある他のオブジェクトのアクセス制御情報もそれに該当するし、またそのオブジェクト固有のアクセス制御情報と当該他のオブジェクトのアクセス制御情報とに基づき求められるアクセス制御情報も「当該オブジェクトについてのアクセス制御情報」に該当する。

請求項２に係る発明は、請求項１に係る発明において、前記記憶手段は、前記オブジェクトに対応づけて前記オブジェクトの属性情報を更に記憶し、前記特定情報は、オブジェクトの属性情報についての条件を表す情報であり、前記判定実行手段は、前記記憶手段に記憶されたオブジェクトの中から、前記オブジェクトに対応づけられた前記特定情報が表す条件を満たす属性情報を有するオブジェクトを参照先オブジェクトとして特定する。

請求項３に係る発明は、請求項１に係る発明において、前記記憶手段は、オブジェクトについての第１のアクセス制御情報と、当該第１のオブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、の結合方式を前記オブジェクトに対応づけて記憶し、前記判定実行手段は、オブジェクトについての第１のアクセス制御情報と、当該第１のオブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報とを、前記オブジェクトに対応づけて前記記憶手段に記憶された結合方式に従って結合し、その結合結果のアクセス制御情報に基づき前記判定を実行する、ことを特徴とする。

請求項４に係る発明は、第１のシステムと第２のシステムとを備え、前記第１のシステムは、各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶すると共に、当該オブジェクトに対応する連動先オブジェクト識別情報を記憶可能な第１の記憶手段と、オブジェクトに対するサブジェクトのアクセス権の判定を前記アクセス制御情報に基づき実行する第１の判定実行手段と、前記第１の記憶手段に記憶されたオブジェクトを前記第２のシステムに登録する処理を実行する登録処理手段であって、（１）前記記憶手段に当該オブジェクトに対応する連動先オブジェクト識別情報が記憶されていなければ、そのオブジェクトを前記第２のシステムに登録すると共にそのオブジェクトに対して前記第２のシステムが付与したオブジェクト識別情報を要求し、要求に応じて前記第２のシステムから取得したオブジェクト識別情報を当該オブジェクトの連動先オブジェクト識別情報として前記記憶手段に記憶させ、（２）前記記憶手段に当該オブジェクトに対応する連動先オブジェクト識別情報が記憶されていれば、その連動先オブジェクト識別情報を、前記第２のシステムに登録した当該オブジェクトの参照先オブジェクト属性に設定する、ことを特徴とする登録処理手段と、を備え、前記第２のシステムは、各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶するとともに、前記第１のシステムから当該オブジェクトについての参照先オブジェクト属性が設定された場合はその参照先オブジェクト属性を記憶する記憶手段と、前記第１のシステムからオブジェクトを登録する旨の要求を受けた場合に、オブジェクト識別情報を付与し、そのオブジェクトをそのオブジェクト識別情報に対応づけて前記記憶手段に記憶させるとともに、前記第１のシステムからオブジェクト識別情報を要求された場合には、付与した前記オブジェクト識別情報を前記第１のシステムに送信する手段と、オブジェクトに対するサブジェクトのアクセス権の判定を実行する判定実行手段であって、当該オブジェクトについての第１のアクセス制御情報と、当該オブジェクトに対応づけられた参照先オブジェクト属性に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、を記憶手段から取得し、前記第１のアクセス制御情報と前記第２のアクセス制御情報とに基づき前記判定を行うことを特徴とする判定実行手段と、を備える、ことを特徴とする情報処理システムである。

請求項５に係る発明は、コンピュータを、各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶する記憶手段、ユーザから、前記記憶手段に記憶されたオブジェクトについてのアクセス権を判定するために参照する参照先オブジェクトの指定を受け付け、指定された参照先オブジェクトを特定する特定情報を当該オブジェクトに対応づけて前記記憶手段に記憶させる手段、オブジェクトに対するサブジェクトのアクセス権の判定を実行する判定実行手段であって、当該オブジェクトについての第１のアクセス制御情報と、当該オブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、を前記記憶手段から取得し、前記第１のアクセス制御情報と前記第２のアクセス制御情報とに基づき前記判定を実行することを特徴とする判定実行手段、として機能させるためのプログラムである。

図１を参照して、本実施形態のオブジェクト管理システム１００の一例を説明する。

オブジェクト管理システム１００は、１以上のオブジェクトを保存すると共に、サブジェクトからの処理の要求に応じてそれら保存したオブジェクトに対する処理を行う。ここで、オブジェクトとは、ファイル・フォルダ・リファレンス・分類ビュー・検索フォルダ等の情報を管理する情報管理システム（本実施形態ではオブジェクト管理システムと記載する）における操作の対象となるものの総称である。オブジェクトに対する処理には、例えばオブジェクト内容の閲覧や更新、オブジェクトの属性（例えばアクセス制御情報）の更新などがある。ただし、これに限定されるものではない。サブジェクトは、オブジェクトに対する処理を要求する主体であり、ユーザはその代表的な例である。なお、サブジェクトは、組織やプログラムなどのように人間以外のものであってもよい。以下では、煩雑さを避けるため、サブジェクトが「ユーザ」である場合を例にとって説明する。

また、オブジェクト管理システム１００は、オブジェクトに対するアクセス管理を行っている。

例えば、オブジェクト管理システム１００の具体例としては、例えば文書管理システムやファイルシステムなどがある。

オブジェクト管理システム１００は、要求受付部１１０，ユーザ認証部１２０，アクセス制御部１３０，及びオブジェクトＤＢ１４０を備える。オブジェクト管理システム１００は、例えば、ローカル・エリア・ネットワーク等のデータ通信ネットワークを介してユーザＰＣ（パーソナル・コンピュータ）２００と接続されており、ユーザＰＣ２００を操作するユーザから、オブジェクトＤＢ（データベース）１４０内のオブジェクトに対する処理の要求を受け付ける。また、オブジェクト管理システム１００は、当該システム１００をローカルで操作するユーザから、オブジェクトに対する処理の要求を受け付けてもよい。

要求受付部１１０は、ユーザからのオブジェクトについての処理の要求を受け付ける。要求受付部１１０は、ユーザ認証が済んでいないユーザから要求を受け取った場合、ユーザ認証部１２０にユーザ認証を依頼する。ユーザ認証部１２０は、例えばパスワード認証や生体認証、デジタル証明書を用いた認証などの従来公知のユーザ認証方式により、要求を発したユーザを認証する。ユーザ認証が成功すると、当該要求を発したユーザが誰であるかが特定されることになる。

アクセス制御部１３０は、要求受付部１１０が受け付けた要求についてのアクセス制御を行う。すなわち、アクセス制御部１３０は、その要求を発したユーザが、要求の対象であるオブジェクトに対して、要求に係る処理を実行する権限（アクセス権）を持つかどうかを判定し、その権限を持つと判定した場合にはその処理を実行し、その権限を持たないと判定した場合にはその処理は実行しない。

アクセス制御は、一般には、対象のオブジェクトに対応づけてあらかじめ設定されているアクセス制御情報を参照して行われる。これに対し、本実施形態では、個々のオブジェクトに対してアクセス権参照オブジェクトを指定可能とし、当該オブジェクトに対応するアクセス制御情報に加え、アクセス権参照オブジェクトに対応するアクセス制御情報も考慮して、アクセス権の判定を行う。詳細な例は後述する。

オブジェクトＤＢ１４０は、１以上のオブジェクト１５０を保存するデータベースである。この例では、個々のオブジェクト１５０は、オブジェクト属性情報１６０とオブジェクト実体情報１７０を含んでいる。オブジェクト実体情報１７０は、オブジェクトの内容（コンテンツ）の情報である。例えばオブジェクトが文書ファイルの場合オブジェクト実体情報１７０は文書内容である。オブジェクト属性情報１６０は、オブジェクトについての１以上の属性項目の情報を含む。図示例では、オブジェクト属性情報１６０は、オブジェクトＩＤ（識別情報）１６２，アクセス権参照オブジェクト情報１６４，アクセス制御情報１６６，名前属性１６８などの属性項目を含んでいる。

オブジェクトＩＤ１６２は、当該オブジェクトの識別情報である。

アクセス権参照オブジェクト情報１６４は、当該オブジェクト１５０についてのアクセス制御を行う際に参照する他のオブジェクト（アクセス権参照オブジェクトと呼ぶ）を特定する情報である。アクセス権参照オブジェクト情報１６４は、１つの例では、アクセス権参照オブジェクトのオブジェクトＩＤである。このアクセス権参照オブジェクト１６４は、従来にない新規な属性項目である。

アクセス制御情報１６６は、例えばアクセス制御リスト（ＡＣＬ）などのように、本システム１００に登録されたユーザ又はユーザグループ毎に当該ユーザ又はグループが当該オブジェクトに対して持つアクセス権を表した情報である。例えばアクセス権には、読取（Ｒｅａｄ）権、書込（Ｗｒｉｔｅ）権、実行（Ｅｘｅｃｕｔｅ）権などの種類がある。また、アクセス制御情報１６６自体の書き換え権などもアクセス権の一種である。図示例では、オブジェクト１５０についてのアクセス制御情報１６６を、当該オブジェクトの属性（オブジェクト属性情報１６０）の中の１項目として管理しているが、これはあくまで一例に過ぎない。例えばこの代わりに、ユーザ（又はグループ）とオブジェクトとの組合せごとのアクセス制御情報を１つのテーブルとして集中管理してもよい。本実施形態の制御は、アクセス制御情報の管理形態には依存しない。

オブジェクト属性情報１６０には、この他に、当該オブジェクトの名前を示す名前属性１６８，当該オブジェクトがシステム１００に登録された日時を示す登録日時属性、当該オブジェクトの作成者を示す作成者属性など、各種の属性項目が含まれ得る。

属性設定部１１２は、このような属性項目のうち値を変更可能なものについて、ユーザからの指示に従いその値を変更する。例えば、アクセス権参照オブジェクト情報１６４やアクセス制御情報１６６は、変更可能な属性項目の一例である。アクセス権参照オブジェクト情報１６４やアクセス制御情報１６６は、当該オブジェクト１５０が作成されたときに作成者により設定され、その後作成者自身により変更され得る。また、アクセス権参照オブジェクト情報１６４又はアクセス制御情報１６６の変更権を誰に与えるかをアクセス制御情報１６６に設定しておき、その設定に従って変更の可否を制御してもよい。

なお、図示例では、オブジェクト属性情報１６０とオブジェクト実体情報１７０とを同じオブジェクトＤＢ１４０で一括管理したが、これは一例に過ぎない。オブジェクト属性情報１６０とオブジェクト実体情報１７０とを、例えばオブジェクトＩＤを用いて互いに対応づけた上で、別々のデータベースで管理してもよい。

次に、図２及び図３を参照して、アクセス権参照オブジェクト情報１６４について更に説明する。図２に示す例では、あるオブジェクト１５０−１のアクセス権参照オブジェクト情報１６４−１には、当該オブジェクト１５０が参照するアクセス権参照オブジェクト１５０−２のオブジェクトＩＤ１６２−２の値が設定されている。この例では、オブジェクト１５０−１に対する処理要求があった場合、当該オブジェクト１５０自体のアクセス制御情報１６６−１と、アクセス権参照オブジェクト１５０−２のアクセス制御情報１６６−２とを結合した情報に基づき、アクセス制御を行う。

アクセス制御情報同士の結合の仕方の例を図３に示す。図３の例では、要求の対象である対象オブジェクト１５０−１のアクセス制御情報１６６−１と、アクセス権参照オブジェクト１５０−２のアクセス制御情報１６６−２とをＯＲ（論理和）条件で結合したアクセス制御情報１６６−３により、アクセス制御が行われる。例えば、グループＧＡに属するユーザが対象オブジェクト１５０−１に対する書込を要求した場合、対象オブジェクト１５０−１自身のアクセス制御情報１６６−１ではその要求は認められないが、この実施形態では、アクセス権参照オブジェクト１５０−２のアクセス制御情報１６６−２によりその要求が認められることとなる。

以上の例では、対象オブジェクトとアクセス権参照オブジェクトとのアクセス制御情報１６６の結合方式として、ＯＲ条件の結合を例示したが、これは一例に過ぎない。ＡＮＤ（論理積）条件等他の結合方式でも構わない。なお、用いる結合方式は、あらかじめアクセス制御部１３０に設定しておけばよい。

また、このように結合方式を一律に定める代わりに、オブジェクト１５０ごとに設定できるようにしてもよい。例えば図４の例では、オブジェクト１５０のオブジェクト属性情報１６０の一項目として結合方式１６５を設定している。結合方式１６５は、例えばオブジェクト１５０の作成者が設定すればよい。

以上の例では、アクセス権参照オブジェクト情報１６４として、アクセス権参照オブジェクトのオブジェクトＩＤを用いたが、これは一例に過ぎない。この代わりに、アクセス権参照オブジェクトの属性についての条件を用いてもよい。例えば、図５に例示する対象オブジェクト１５０−１のアクセス権参照オブジェクト情報１６４−１は、名前属性が当該対象オブジェクト１５０−１の事件名属性と同じ値を持つオブジェクトをアクセス権参照オブジェクトとするという条件を示している。図示のオブジェクト１５０−２はその条件を満たすので、アクセス権参照オブジェクトとして抽出されることになる。

また、以上の例では、アクセス権参照オブジェクトが１つである場合であったが、アクセス権参照オブジェクト情報１６４から複数のアクセス権参照オブジェクトが特定される場合もある。このような場合も、装置に設定された一律の結合方式、又は対象オブジェクトに指定された個別の結合方式１６５（図４参照）に従って、それら複数のアクセス権参照オブジェクトと対象オブジェクトのアクセス制御情報を結合すればよい。

次に、図６を参照してアクセス制御部１３０の処理手順の例を説明する。この手順は、ユーザから対象のオブジェクト１５０とこれに対する処理の内容を特定した要求が到来した場合に実行される。その要求を行ったユーザは、ユーザ認証部１２０により特定されているものとする。この場合、アクセス制御部１３０は、対象のオブジェクト１５０のオブジェクト属性情報１６０中のアクセス権参照オブジェクト情報１６４に値が設定されているかどうかを判定する（Ｓ１０）。アクセス権参照オブジェクトが設定されていない場合、アクセス権参照オブジェクト情報１６４は空（ＮＵＬＬ）であり、ステップＳ１０の判定結果は否定（Ｎｏ）となる。この場合は、対象のオブジェクト１５０自身のアクセス制御情報１６６のみを参照して、そのユーザのアクセス権、すなわちユーザの要求に係る処理をその対象オブジェクトに対して実行してよいかを判定する（Ｓ１８）。

一方、ステップＳ１２の判定でアクセス権参照オブジェクト情報１６４の値が空でない場合は、アクセス制御部１３０は、その情報１６４が示すアクセス権参照オブジェクトをオブジェクトＤＢ１４０から検索し（Ｓ１２）、検索したアクセス権参照オブジェクトの属性中のアクセス制御情報１６６を求める。そして、アクセス権参照オブジェクトのアクセス制御情報と対象オブジェクトのアクセス制御情報とを結合し（Ｓ１４）、結合結果のアクセス制御情報に基づき、ユーザの要求に係る処理をその対象オブジェクトに対して実行してよいかを判定する（Ｓ１６）。

以上、実施形態のオブジェクト管理システム１００について説明した。このオブジェクト管理システム１００では、個々のオブジェクトに対して、個別に、アクセス権参照オブジェクトを指定できる。従来、オブジェクトＡのアクセス制御を行う際に、ファイルシステム等の階層構造においてその対象オブジェクトの上位のオブジェクト（例えば対象オブジェクトを含むフォルダ）のアクセス制御情報を考慮する例があったが、この例では参照するオブジェクトは対象オブジェクトに対して固定的な関係にあるものに限られる。これに対し、この実施形態では、ユーザが自由にアクセス権参照オブジェクトを指定することができるので柔軟性が高い。

なお、以上では、「対象オブジェクトのアクセス制御情報とアクセス権参照オブジェクトのアクセス制御情報とを結合する」場合に、対象オブジェクトのアクセス制御情報として、当該対象オブジェクト自身の属性情報中のアクセス制御情報１６６を用いる例を示したが、これは一例に過ぎない。別の例として、従来技術にあるように、対象オブジェクト自身の属性情報に含まれるアクセス制御情報と、オブジェクトの階層構造上で対象オブジェクトに対して固定的な関係にある他のオブジェクト（例えば対象オブジェクトの上位のフォルダ）のアクセス制御情報とを結合した結合結果を、「対象オブジェクトのアクセス制御情報」として用いてもよい。また、その対象オブジェクトに対して階層構造上で固定的な関係にある他のオブジェクトのアクセス制御情報を、「対象オブジェクトのアクセス制御情報」として用いてもよい。「アクセス権参照オブジェクトのアクセス制御情報」についても同様である。また後述する変形例でも同様である。

また、別の従来技術と同様、「対象オブジェクトのアクセス制御情報」は、当該対象オブジェクトの「状態」に応じて変化するものであってもよい。「アクセス権参照オブジェクトのアクセス制御情報」についても同様である。また後述する変形例でも同様である。

次に、図７及び図８を参照して変形例を説明する。この変形例は、外部システムで管理されているオブジェクトを上記実施形態のオブジェクト管理システム１００に登録する場合における、アクセス制御情報の連携に関する。

図７は、この変形例における外部システム３００の構成の一例を示している。外部システム３００も、「オブジェクト管理システム」の一種であり、オブジェクトを保存し、それらオブジェクトについてのアクセス制御を行っている。外部システム３００は、オブジェクト管理システム１００とは独立したシステムであり、アクセス制御においてオブジェクト管理システム１００でのアクセス制御の影響は受けない。

外部システム３００内のオブジェクトを、（例えばネットワーク等を経由して）オブジェクト管理システム１００に登録することを考える。例えば、そのオブジェクトが、複数人の人により順に書込が加えられていく文書のように更新されるものである場合に、そのオブジェクトを更新の前と後にそれぞれ外部システム３００からオブジェクト管理システム１００に別オブジェクトとして登録することが考えられる。すなわち、外部システム３００内のオブジェクトの各時点でのスナップショットを、オブジェクト管理システム１００に個別に保存する運用である。このような運用では、更新前のオブジェクトを外部システム３００からオブジェクト管理システム１００に登録するときに、外部システム３００でのそのオブジェクトについてのアクセス制御情報が、オブジェクト管理システム１００にも引き継がれることが望ましい。また、更新後のオブジェクトをオブジェクト管理システム１００に登録したときには、その更新後のオブジェクトについても更新前のオブジェクトと同様のアクセス制御情報が対応づけられることが望ましい。この変形例は、このような要望を満たす仕組みを提供する。ただし、この変形例によりもたらされる効果は、そのような要望を満たすことに限られるものではなく、他の例はあとで説明する。

さて、この変形例では、外部システム３００のオブジェクト３５０のオブジェクト属性情報３６０に、連携先オブジェクトＩＤ３６４という属性項目を持たせる。連携先オブジェクトＩＤ３６４は、当該オブジェクト３５０をオブジェクト管理システム１００に登録したときに、オブジェクト管理システム１００がそのオブジェクトに対して付与したオブジェクトＩＤである。

他の属性項目、すなわちオブジェクトＩＤ３６２，アクセス制御情報３６６，名前属性３６８や、オブジェクト実体情報３７０は、オブジェクト管理システム１００におけるオブジェクトＩＤ１６２，アクセス制御情報１６６，名前属性１６８，オブジェクト実体情報１７０と同様でよい。

ただし、オブジェクトＩＤ３６２は外部システム３００での識別情報であり、オブジェクトＩＤ１６２はオブジェクト管理システム１００での識別情報であって、両者は独立したものである。外部システム３００内のあるオブジェクトをオブジェクト管理システム１００に登録した場合、オブジェクト管理システム１００に登録されたそのオブジェクトの対応オブジェクトのオブジェクトＩＤ１６２は、そのオブジェクトの外部システム３００でのオブジェクトＩＤ３６２とは無関係に付与してもよい。

また、外部システム３００におけるオブジェクト３５０のアクセス制御情報３６６は、オブジェクト管理システム１００におけるアクセス制御情報１６６と同形式であってもよいし、異なる形式であってもよい。アクセス制御情報の「形式が異なる」場合の１つの例は、一方の形式と他方の形式とでユーザに与えるアクセス権の種類が異なる場合である。例えば、一方では読取権と書込権とが別々に定義されているのに対し、他方では読取と書込の両方が認められる「利用権」が定義されているといった例が、そのような相違の一例である。異なる形式の場合、オブジェクト３５０をオブジェクト管理システム１００に登録する際に、アクセス制御情報３６６をオブジェクト管理システム１００での形式に変換する。その変換を行うのが変換部３１６である。

変換部３１６は、例えば、外部システム３００におけるアクセス制御情報３６６の形式を、オブジェクト管理システム１００におけるアクセス制御情報１６６の形式に自動変換する。自動変換のためには、変換部３１６は、例えば、両形式間の対応関係を表すマッピング情報を備え、そのマッピング情報を参照して形式変換を行えばよい。例えばマッピング情報には、外部システム３００で「利用権」が「有り」の場合にはオブジェクト管理システム１００では「読取権」と「書込権」の両方を「有り」にする、といった対応関係を記述しておけばよい。

また変換部３１６は、そのような自動変換を行うものに限らない。例えばこの代わりに、ユーザがオブジェクト制御情報３６６をオブジェクト管理システム１００での形式に変換するのを支援するツールであってもよい。この支援ツールは、例えば、オブジェクト３５０のアクセス制御情報３６６の内容と、オブジェクト管理システム１００でのアクセス制御情報の形式を示す情報（例えば設定可能なアクセス権の説明）とを表示し、ユーザにシステム１００でのアクセス制御情報を設定させるようなものでよい。

なお、外部システム３００とオブジェクト管理システム１００のアクセス制御情報の形式が統一されていれば、変換部３１６はなくてもよい。

連携オブジェクト登録部３１４は、オブジェクトＤＢ３１４内のオブジェクト３５０をオブジェクト管理システム１００に登録するための処理を実行する。アクセス制御連携部３１８は、オブジェクトＤＢ３１４内のオブジェクト３５０のアクセス制御情報３６６を、オブジェクト管理システム１００に登録されたそのオブジェクト３５０のコピーのアクセス制御情報１５０に反映させるための処理を行う。これら各機能モジュール３１４及び３１８の処理内容についてはあとでその例を詳しく説明する。

既存の外部システム３００を、この変形例の仕組みに組み込むには、例えば、連携オブジェクト登録部３１４、アクセス制御連携部３１８（及び、もしあれば、変換部３１６）のプログラムを外部システム３００に追加すればよい。また、オブジェクトＤＢ３４０におけるオブジェクト属性情報３６０中の、例えばユーザ定義可能な属性項目の１つを連携先オブジェクトＩＤ３６４の項目として定義すればよい。

なお、外部システム３００内の各機能モジュール３１０，３１２，３２０，３３０，３４０は、オブジェクト管理システム１００内における、参照符号の下２桁が同じ機能モジュール１１０，１１２，１２０，１３０及び１４０と同様の機能を備えるものでよい。

また、この変形例では、図８に示すように、オブジェクト管理システム１００がオブジェクト登録部１１４及びアクセス制御連携部１１６を備える。

オブジェクト登録部１１４は、オブジェクトＤＢ１４０にオブジェクト１５０を登録するための処理を行う。したがって、図１に示した実施形態のオブジェクト管理システム１００も、オブジェクト登録部１１４に相当する機能モジュールは備えているが、図示は省略していた。この変形例では、オブジェクト登録部１１４に対してオブジェクト登録を要求するためのインタフェースを公開しており、外部システム３００の連携オブジェクト登録部３１４は、そのインタフェースを介してオブジェクト登録を要求する。

アクセス制御連携部１１６は、オブジェクトＤＢ１４０内のオブジェクトのアクセス制御情報１６６を、外部システム３００からの要求に応じて設定したり変更したりするための処理を行う。

この変形例では、ユーザが、例えばユーザＰＣ２００から、外部システム３００に対してオブジェクトＤＢ３４０内のオブジェクト（対象オブジェクトと呼ぶ）を指定して、その対象オブジェクトをオブジェクト管理システム１００に登録する旨の指示を行うと、連携オブジェクト登録部３１４が図９に例示するような処理を実行する。

この処理では、連携オブジェクト登録部３１４は、まずオブジェクトＤＢ３４０中のその対象オブジェクトのオブジェクト属性情報３６０を参照し、連携先オブジェクトＩＤ３６４が設定されているか否かを判定する（Ｓ２０）。設定されていないと判定された場合は、対象オブジェクトは過去にオブジェクト管理システム１００に登録されたことが無く、今回初めて登録されることを意味する。この場合、連携オブジェクト登録部３１４は、その対象オブジェクトをオブジェクト管理システム１００のオブジェクト登録部１１４に送信し、オブジェクトＤＢ１４０への登録を要求する（Ｓ２２）。また、連携オブジェクト登録部３１４は、オブジェクト登録部１１４に対し、その対象オブジェクトに対してオブジェクト管理システム１００が付与したオブジェクトＩＤを要求する（Ｓ２４）。また、連携オブジェクト登録部３１４は、対象オブジェクトのアクセス制御情報３６６をオブジェクトＤＢ３４０から読み出し、オブジェクト管理システム１００のアクセス制御連携部１１６に送信する（Ｓ２６）。なお、外部システム３００とオブジェクト管理システム１００との間でアクセス制御情報の形式が異なる場合は、変換部３１６がそのアクセス制御情報３６６をオブジェクト管理システム１００の形式に変換し、変換後のアクセス制御情報を連携オブジェクト登録部３１４がシステム１００に送信する。そして、連携オブジェクト登録部３１４は、ステップＳ２４の要求に応じてオブジェクト管理システム１００からオブジェクトＩＤを受け取ると、そのオブジェクトＩＤをオブジェクトＤＢ３４０中の対象オブジェクトの連携先オブジェクトＩＤ３６４に設定する（Ｓ２８）。

一方、ステップＳ２０で対象オブジェクトに連携先オブジェクトＩＤが設定されていると判定された場合、連携オブジェクト登録部３１４は、対象オブジェクトに対して属性項目「アクセス権参照オブジェクト情報」を付加し、その項目に対して、対象オブジェクトの連携先オブジェクトＩＤ３６４の値を設定する（Ｓ３０）。そして、連携先オブジェクトＩＤ３６４自体は削除する。そして、このようにしてアクセス権参照オブジェクト情報が設定された対象オブジェクトをオブジェクト管理システム１００のオブジェクト登録部１１４に送信し、オブジェクトＤＢ１４０への登録を要求する（Ｓ３２）。

一方、オブジェクト管理システム１００のオブジェクト登録部１１４は、ステップＳ２２又はＳ３２にて外部システム３００からオブジェクトの登録を要求されると、図１０に例示するように、送られてきたオブジェクトに対してオブジェクトＩＤを付与し（Ｓ４０）、そのオブジェクトをそのオブジェクトＩＤに対応づけてオブジェクトＤＢ１４０に登録する（Ｓ４２）。そして、外部システム３００からオブジェクトＩＤを要求されたか否かを判定し（Ｓ４４）、要求されていれば、ステップＳ４０で付与したオブジェクトＩＤを外部システム３００に返す（Ｓ４６）。このオブジェクトＩＤが、外部システム３００において当該オブジェクトの連携先オブジェクトＩＤ３６４に設定される。

次に、図１１を参照して、外部システム３００のアクセス制御連携部３１８の処理の例を説明する。アクセス制御連携部３１８は、属性設定部３１２を監視し、オブジェクトＤＢ３４０に登録されているオブジェクト３５０のアクセス制御情報３６６に変更が加えられた場合にはそれを検知する（Ｓ５０）。あるオブジェクトのアクセス制御情報３６６が変更されたことを検知すると、アクセス制御連携部３１８は、オブジェクトＤＢ３４０内のそのオブジェクトのオブジェクト属性情報３６０を参照して、そのオブジェクトに連携先オブジェクトＩＤ３６４が設定されているか否かを判定する（Ｓ５２）。設定されていない場合は、そのまま処理を終了する。設定されている場合は、そのオブジェクトのアクセス制御情報３６６の変更内容（或いは変更後のアクセス制御情報３６６）を、その連携先オブジェクトＩＤ３６４の値に対応づけて、オブジェクト管理システム１００のアクセス制御連携部１１６へと送信する（Ｓ５４）。これを受信したアクセス制御連携部１１６は、その連携先オブジェクトＩＤ３６４の値をオブジェクトＩＤ１６２として持つオブジェクトをオブジェクトＤＢ１４０から求め、そのオブジェクトのアクセス制御情報１６６を、受信した変更内容の情報に応じて変更する。

この変形例によれば、まず、外部システム３００内のオブジェクト３５０を初めてオブジェクト管理システム１００に登録した場合に、オブジェクト管理システム１００に登録されたオブジェクトに対しそのオブジェクト３５０のアクセス制御情報３６６に対応する内容のアクセス制御情報を設定することができる。

また、外部システム３００内のオブジェクトＸをいったんオブジェクト管理システム１００に登録した後、そのオブジェクトＸの更新版Ｙをオブジェクト管理システム１００に登録すると、システム１００に登録された更新版Ｙには、アクセス権参照オブジェクト情報１６４として、元のオブジェクトＸのオブジェクトＩＤ１６２の値が設定される。オブジェクトＸを何度更新してオブジェクト管理システム１００に登録しても同様である。従って、この変形例では、オブジェクト管理システム１００に登録された更新版Ｙについてのアクセス制御の際に、元のオブジェクトＸのアクセス制御情報が参照されるので、更新版Ｙへのアクセスを元のオブジェクトＸ（ひいては外部システム３００内のオリジナルのオブジェクト）のアクセス制御情報に応じて制御することが可能となる。

また、この変形例では、外部システム３００内のオリジナルのオブジェクトのアクセス制御情報３６６に変更が加えられた場合、オブジェクト管理システム１００内の対応するオブジェクトＺのアクセス制御情報１６６をその変更に連動させることができる。また、これに応じ、そのオブジェクトＺをアクセス権参照オブジェクトとするオブジェクトＤＢ１４０内の他のオブジェクトのアクセス制御も、その変更内容に合わせることができる。

以上の例では、外部システム３００内のオブジェクト３５０をオブジェクト管理システム１００に登録する際、そのオブジェクト３５０の属性情報に含まれるアクセス制御情報３６６をオブジェクト管理システム１００に引き継いだが、これは一例に過ぎない。この代わりに、従来技術にあるように、そのオブジェクト自身の属性情報に含まれるアクセス制御情報と、オブジェクトの階層構造上でそのオブジェクトに対して固定的な関係にある他のオブジェクトのアクセス制御情報とを結合した結合結果を引き継いでもよい。また、別の例として、そのような結合は行わずに、そのオブジェクトに対して階層構造上で固定的な関係にある他のオブジェクトのアクセス制御情報をオブジェクト管理システム１００に引き継いでもよい。

また、以上の例では、外部システム３００のオブジェクト３５０がオブジェクト管理システム１００に登録される場合に、そのオブジェクト３５０自体の属性である連携先オブジェクトＩＤ３６４を参照したが、これは一例に過ぎない。この代わりに登録されるオブジェクト３５０に対してオブジェクトの階層構造上で上位のオブジェクトの連携先オブジェクトＩＤを参照するようにしてもよい。

例えば、電子掲示板等の「器」となるオブジェクトの中（見方を変えれば「下位」）に、個々の記事のような内容物のオブジェクトが存在する場合を考える。この場合、アクセス制御は、電子掲示板のような「器」のオブジェクトについて行われ、その中の個々の記事のような「内容物」単位では行われないことも少なくない。このような場合に、「器」のオブジェクトを外部システム３００からオブジェクト管理システム１００に登録しておき、そのあとで外部システム３００に個々の「内容物」のオブジェクトが追加されるごとにそのオブジェクトをオブジェクト管理システム１００に登録するとする。この場合、外部システム３００内の「内容物」のオブジェクトに連携先オブジェクトＩＤ３６４が設定されていなくても、そのオブジェクトの上位の「器」のオブジェクトに連携先オブジェクトＩＤ３６４が設定されていれば、このＩＤをその「内容物」のオブジェクトのアクセス権参照オブジェクト情報に設定して、オブジェクト管理システム１００に登録する。これにより、オブジェクト管理システム１００でも、「内容物」のオブジェクトについてのアクセス制御を、その上位の「器」のオブジェクトのアクセス制御情報に基づき実行することができる。

以上に説明したオブジェクト管理システム１００及び外部システム３００は、例えば、汎用のコンピュータに上述の各機能モジュールの処理を表すプログラムを実行させることにより実現される。ここで、コンピュータは、例えば、ハードウエアとして、図１２に例示するように、ＣＰＵ１０００等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）１００２およびリードオンリメモリ（ＲＯＭ）１００４等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）１００６を制御するＨＤＤコントローラ１００８、各種Ｉ／Ｏ（入出力）インタフェース１０１０、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース１０１２等が、たとえばバス１０１４を介して接続された回路構成を有する。また、そのバス１０１４に対し、例えばＩ／Ｏインタフェース１０１０経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ１０１６、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ１０１８、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭ１００２に読み出されＣＰＵ１０００等のマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。なお、それら機能モジュール群のうちの一部又は全部を、専用ＬＳＩ(Large Scale Integration)、ＡＳＩＣ（Application Specific Integrated Circuit、特定用途向け集積回路）又はＦＰＧＡ（Field Programmable Gate Array）等のハードウエア回路として構成してもよい。

実施形態のオブジェクト管理システムの構成の一例を示す図である。 アクセス権参照オブジェクト情報としてアクセス権参照オブジェクトのオブジェクトＩＤを用いた場合の参照関係の例を説明するための図である。 対象オブジェクトとアクセス権参照オブジェクトのアクセス制御情報の結合の仕方の一例を示す図である。 アクセス制御情報の結合方式をオブジェクトの属性項目として設定する例を示す図である。 アクセス権参照オブジェクト情報の別の例を示す図である。 実施形態のシステムの処理手順の例を示すフローチャートである。 変形例における外部システムの構成の一例を示す図である。 変形例におけるオブジェクト管理システムの構成の一例を示す図である。 変形例における外部システムの連携オブジェクト登録部の処理手順の一例を示すフローチャートである。 変形例におけるオブジェクト管理システムのオブジェクト登録部の処理手順の一例を示すフローチャートである。 変形例における外部システムのアクセス制御連携部の処理手順の一例を示すフローチャートである。 コンピュータのハードウエア構成の一例を示す図である。

符号の説明

１００ オブジェクト管理システム、１１０ 要求受付部、１１２ 属性設定部、１２０ ユーザ認証部、１３０ アクセス制御部、１４０ オブジェクトＤＢ、１５０ オブジェクト、１６０ オブジェクト属性情報、１６２ オブジェクトＩＤ、１６４ アクセス権参照オブジェクト情報、１６６ アクセス制御情報、１６８ 名前属性、１７０ オブジェクト実体情報、２００ ユーザＰＣ。

Claims (5)

1. 各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶する記憶手段と、
   ユーザから、前記記憶手段に記憶されたオブジェクトについてのアクセス権を判定するために参照する参照先オブジェクトの指定を受け付け、指定された参照先オブジェクトを特定する特定情報を当該オブジェクトに対応づけて前記記憶手段に記憶させる手段と、
   オブジェクトに対するサブジェクトのアクセス権の判定を実行する判定実行手段であって、当該オブジェクトについての第１のアクセス制御情報と、当該オブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、を前記記憶手段から取得し、前記第１のアクセス制御情報と前記第２のアクセス制御情報とに基づき前記判定を実行することを特徴とする判定実行手段と、
   を備える情報処理システム。
2. 前記記憶手段は、前記オブジェクトに対応づけて前記オブジェクトの属性情報を更に記憶し、
   前記特定情報は、オブジェクトの属性情報についての条件を表す情報であり、
   前記判定実行手段は、前記記憶手段に記憶されたオブジェクトの中から、前記オブジェクトに対応づけられた前記特定情報が表す条件を満たす属性情報を有するオブジェクトを参照先オブジェクトとして特定する、
   ことを特徴とする請求項１記載の情報処理システム。
3. 前記記憶手段は、オブジェクトについての第１のアクセス制御情報と、当該第１のオブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、の結合方式を前記オブジェクトに対応づけて記憶し、
   前記判定実行手段は、オブジェクトについての第１のアクセス制御情報と、当該第１のオブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報とを、前記オブジェクトに対応づけて前記記憶手段に記憶された結合方式に従って結合し、その結合結果のアクセス制御情報に基づき前記判定を実行する、
   ことを特徴とする請求項１記載の情報処理システム。
4. 第１のシステムと第２のシステムとを備え、
   前記第１のシステムは、
   各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶すると共に、当該オブジェクトに対応する連動先オブジェクト識別情報を記憶可能な第１の記憶手段と、
   オブジェクトに対するサブジェクトのアクセス権の判定を前記アクセス制御情報に基づき実行する第１の判定実行手段と、
   前記第１の記憶手段に記憶されたオブジェクトを前記第２のシステムに登録する処理を実行する登録処理手段であって、
   （１）前記記憶手段に当該オブジェクトに対応する連動先オブジェクト識別情報が記憶されていなければ、そのオブジェクトを前記第２のシステムに登録すると共にそのオブジェクトに対して前記第２のシステムが付与したオブジェクト識別情報を要求し、要求に応じて前記第２のシステムから取得したオブジェクト識別情報を当該オブジェクトの連動先オブジェクト識別情報として前記記憶手段に記憶させ、
   （２）前記記憶手段に当該オブジェクトに対応する連動先オブジェクト識別情報が記憶されていれば、その連動先オブジェクト識別情報を、前記第２のシステムに登録した当該オブジェクトの参照先オブジェクト属性に設定する、
   ことを特徴とする登録処理手段と、
   を備え、
   前記第２のシステムは、
   各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶するとともに、前記第１のシステムから当該オブジェクトについての参照先オブジェクト属性が設定された場合はその参照先オブジェクト属性を記憶する記憶手段と、
   前記第１のシステムからオブジェクトを登録する旨の要求を受けた場合に、オブジェクト識別情報を付与し、そのオブジェクトをそのオブジェクト識別情報に対応づけて前記記憶手段に記憶させるとともに、前記第１のシステムからオブジェクト識別情報を要求された場合には、付与した前記オブジェクト識別情報を前記第１のシステムに送信する手段と、
   オブジェクトに対するサブジェクトのアクセス権の判定を実行する判定実行手段であって、当該オブジェクトについての第１のアクセス制御情報と、当該オブジェクトに対応づけられた参照先オブジェクト属性に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、を記憶手段から取得し、前記第１のアクセス制御情報と前記第２のアクセス制御情報とに基づき前記判定を行うことを特徴とする判定実行手段と、
   を備える、
   ことを特徴とする情報処理システム。
5. コンピュータを、
   各オブジェクトに対応づけて、当該オブジェクトについてのアクセス制御情報を記憶する記憶手段、
   ユーザから、前記記憶手段に記憶されたオブジェクトについてのアクセス権を判定するために参照する参照先オブジェクトの指定を受け付け、指定された参照先オブジェクトを特定する特定情報を当該オブジェクトに対応づけて前記記憶手段に記憶させる手段、
   オブジェクトに対するサブジェクトのアクセス権の判定を実行する判定実行手段であって、当該オブジェクトについての第１のアクセス制御情報と、当該オブジェクトに対応づけられた前記特定情報に基づき特定される参照先オブジェクトについての第２のアクセス制御情報と、を前記記憶手段から取得し、前記第１のアクセス制御情報と前記第２のアクセス制御情報とに基づき前記判定を実行することを特徴とする判定実行手段、
   として機能させるためのプログラム。

Images