JP2009522694A - オブジェクトへのユーザアクセスの管理 - Google Patents

オブジェクトへのユーザアクセスの管理 Download PDF

Info

Publication number
JP2009522694A
JP2009522694A JP2008549568A JP2008549568A JP2009522694A JP 2009522694 A JP2009522694 A JP 2009522694A JP 2008549568 A JP2008549568 A JP 2008549568A JP 2008549568 A JP2008549568 A JP 2008549568A JP 2009522694 A JP2009522694 A JP 2009522694A
Authority
JP
Japan
Prior art keywords
access
user
server
computer
policy
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2008549568A
Other languages
English (en)
Inventor
リチャード シュトゥルムス ジェームズ
ラカミモヴ デニス
ワン ツィイー
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Corp
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of JP2009522694A publication Critical patent/JP2009522694A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F17/00Digital computing or data processing equipment or methods, specially adapted for specific functions
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • HELECTRICITY
    • H04ELECTRIC COMMUNICATION TECHNIQUE
    • H04LTRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00Network architectures or network communication protocols for network security
    • H04L63/10Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101Access control lists [ACL]
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Software Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Data Mining & Analysis (AREA)
  • Mathematical Physics (AREA)
  • Storage Device Security (AREA)

Abstract

オブジェクトにアクセスするためのユーザからの要求を管理する方法、システム、および装置を含む各種技術の実施。一実施形態では、ユーザが、ポリシーに基づいてオブジェクトへのアクセスを拒否されるまたは認められるかどうかの決定がなされる(ステップa)。ポリシーによって、ユーザがオブジェクトへのアクセスを拒否されることも認められることもない場合、オブジェクトに対するACL(access control list)によって、ユーザはオブジェクトへのアクセスが認められるかどうかに関しての決定がなされる(ステップb)。ステップ(a)および(b)によって決定されたように、ユーザがオブジェクトへのアクセスを有するかどうか結論が下される。

Description

本発明は、オブジェクトへのユーザアクセスの管理に関する。
情報を取り扱う場合、ある承認されたユーザのみが情報の特定部分にアクセスできるように、特定の部分へのアクセスを制限するのが望ましいことが多い。情報が物理的な文書(例えば印刷本または帳票)に含まれる場合、それらの文書を、錠および文書管理者等の物理的なアクセス制御を用いて保護することができる。しかしながら、今日では、膨大な情報量は、デジタルデータ形式で格納される。デジタルデータは、容易に作成、変更、複製、転送、および削除され、無数の場所に存在する膨大なデジタルデータ量の拡散を導く。物理的な文書と同様、デジタルデータの特定部分へのアクセスを制限するのが望ましいことが多い。しかしながら、莫大な量のデジタルデータ、ならびにそれらを容易に作成、複製、転送、変更、および削除できるため、デジタルデータの保護が課題となる。
デジタルデータを、一般的にファイル構造の中に格納することができる。ファイル構造を、デジタルデータを含むオブジェクトをフォルダの中に格納できるデータ記憶の階層システムとすることができる。オブジェクトを、プログラム、プロセス、ファイル、またはイベントにすることができる。オブジェクトは、セキュリティ記述子も有することができる。フォルダをさらに、他のフォルダの中に格納することができる。オブジェクトの中のデジタルデータに、項目ごとの様式を用いてアクセスすることができる。
所与のファイル構造に対して、ACL(access control list)をオブジェクトごとに割り当てることができる。ACLは、コンピュータの各ユーザが所与のオブジェクトに対して有する許可またはアクセス権を、コンピュータのオペレーティングシステムに示すデータ構造である。ACLにより、特定のユーザまたはユーザのグループが、読み出し、書き込み、または実行の許可等のいくつかの許可を有することを指定することができる。従って、オブジェクトへのアクセスの要求に応じて、それらオブジェクトに対するACLにアクセスして、それらのオブジェクトに割り当てられた許可を決定することができる。
システム管理者は、特定のオブジェクトに対するアクセス要求に基づいてACLにおいて定義された初期設定のセキュリティ許可を変更かることができる。無数のオブジェクトがあることを考慮して、各オブジェクトに対するACLを見直すプロセスは、高額な費用、および単調なものになり得る。
さらにグループのネスト化により、正当なユーザのみが許可を有することをシステム管理者が保証することは困難である。例えば、ACLがユーザのグループに対してエントリを含む場合、これらグループの全てのユーザは、グループ内のグループを含み、許可が認められる。従って、システム管理者が、特定のユーザまたはユーザのグループがオブジェクトに対して許可を有しないように保証することは困難となり得る。
ユーザがオブジェクトにアクセスするリクエストを管理するための各種技術の実施をここに説明する。一実施形態では、ポリシーに基づいて、ユーザがオブジェクトへのアクセスを拒否されるまたは認められるかどうかに関しての決定がなされる(ステップa)。そのポリシーによってユーザが、オブジェクトへのアクセスを拒否されることも認められることもない場合、そのオブジェクトに対するACL(access control list)によって、ユーザがそのオブジェクトへのアクセスを認められるかどうかに関しての決定がなされる(ステップb)。次にステップ(a)および(b)によって決定されたように、ユーザがそのオブジェクトへのアクセスを有するかどうかに関しての結論が下される。
もう一つの実施形態では、ユーザがそのオブジェクトを含むサーバへのアクセスを拒否されるまたは認められるかどうかに関しての決定がなされる。
さらにもう一つの実施形態では、そのサーバは、仮想サーバである。
また別の実施形態では、そのポリシーによってユーザがそのサーバへのアクセスを拒否された場合、たとえACLによってユーザがそのオブジェクトへのアクセスを認められたとしても、ユーザは、そのオブジェクトへのアクセスを拒否される。
さらにまたべつの実施形態では、そのポリシーによってユーザがそのサーバへのアクセスを認められた場合、たとえACLによってユーザがそのオブジェクトへのアクセスを認められなかったとしても、ユーザは、そのオブジェクトへのアクセスを認められる。
各種技術の実施では、コンピュータ実行可能命令が格納されているコンピュータ読み取り可能媒体も対象とされ、コンピュータによって実行されるとき、そのコンピュータに、(a)オブジェクトを含むサーバに対するポリシーは、そのサーバへのユーザアクセスを拒否するまたは認めるかどうか決定する、(b)そのポリシーがそのサーバへのユーザアクセスを拒否することも認めることもない場合、そのオブジェクトに対するACLは、ユーザがそのオブジェクトにアクセスするのを認めるかどうか決定する、(c)ステップ(a)および(b)に基づいてそのオブジェクトへのユーザアクセスを認めるまたは拒否する、ことを実行させる。
各種技術の実施では、プロセッサで実行されているアプリケーションプログラムによって、アクセス用データを格納するメモリも対象とされる。そのメモリは、メモリの中に格納されたデータ構造を有する。それらのデータ構造は、サーバに対するアクセスマスクを有する。アクセスマスクは、サーバへのアクセスを認めるまたは拒否する1または複数の許可を指定する。
請求された発明の対象は、記載された欠点のいくつかまたはすべてを解決する実施に限定されない。さらに本発明の開示の項は、以下の詳細な説明の項でさらに説明されるものを簡略化した形式で、概念の選択を紹介するために提供される。本発明の開示は、請求された発明の対象の主要な機能または本質的な機能を明らかにするものでなければ、それらを使用して請求された発明の対象の範囲を制限するものでもない。
図1に、本明細に説明された技術を組み込み、および実施できるネットワーク環境100の説明図を示す。ネットワーク環境100は、CPU(central processing unit)10、システムメモリ20、およびシステムメモリ20をCPU10に結合するシステムバス30を含む従来型デスクトップまたはサーバコンピュータ5を含むことができる。システムメモリ20は、RAM(random access memory)25およびROM(read-only memory)28を含むことができる。起動時等の、コンピュータ内のコンポーネント間の情報転送に役立つ基本ルーティンを含む基本入出力システムは、ROM28の中に格納することができる。コンピューティングシステム5は、さらに、オペレーティングシステム45、アプリケーションプログラム、および他のプログラムモジュールを格納する大容量記憶装置40を含むことができ、以下により詳細に説明する。
本明細書に説明された各種技術の実施は、HTTP(hypertext transfer protocol)サーバ、携帯端末、マルチプロセッサシステム、マイクプロセッサ内蔵型またはプログラム可能な家庭用電化製品、ネットワークPC、ミニコンピュータ、メインフレームコンピュータ等を含む他のコンピュータのシステム構成で行うことできることを当業者は認識するだろう。本明細書に説明された各種技術の実施を、例えば有線リンク、無線リンク、またはそれらの組み合わせ等を用いた通信ネットワークを介してリンクされるローカルおよびリモート処理装置によってタスクが行われる分散型コンピューティング環境でも行うことができる。分散型コンピューティング環境では、プログラムモジュールを、ローカルおよびリモートメモリ記憶装置の両方に配置できる。
大容量記憶装置40を、システムバス30および大容量記憶コントローラ(図示せず)を介してCPU10に接続することができる。大容量記憶装置40およびそれに関連するコンピュータ読み取り可能媒体は、コンピューティングシステム5のための不揮発性記憶装置を提供するために組み込まれる。本明細書に含まれるコンピュータ読み取り可能媒体の説明では、ハードディスクまたはCD−ROMドライブ等の大容量記憶装置について言及しているが、コンピュータ読み取り可能媒体は、コンピューティングシステム5によってアクセスできる任意の利用可能な媒体になり得ることを当業者によって認識されたい。例えば、コンピュータ読み取り可能媒体は、コンピュータ記憶媒体および通信媒体を含むことができる。コンピュータ記憶媒体は、コンピュータ読み取り可能命令、データ構造、プログラムモジュール、または他のデータ等の情報の記憶に対する任意の方法または技術を用いて実施される揮発性および不揮発性、ならびに取り外し可能および不可能な媒体を含む。コンピュータ記憶媒体はさらに、RAM、ROM、EPROM(erasable programmable read-only memory)、EEPROM(electrically erasable programmable read-only memory)、フラッシュメモリ、または他の固体メモリ技術、CD−ROM、DVD(digital versatile disk)、または、他の光学式記憶装置、磁気カセット、磁気テープ、磁気ディスク記憶装置、もしくは他の磁気記憶装置、または、所望の情報を記憶するために使用できる、およびコンピューティングシステム5によってアクセスできるその他の媒体を含むが、これらに限定されない。
簡単に上述したように、大容量記憶装置40は、ネットワーク化されたパーソナルコンピュータまたはサーバコンピュータの動作を制御するのに適したオペレーティングシステム45を含むことができる。オペレーティングシステム45は、Windows(登録商標)XP、MacOS(登録商標)X、Linux(登録商標)およびBSD(登録商標)のようなUnix(登録商標)の変形版等になり得る。大容量記憶装置40はまた、1または複数のACL(access control list)42を含むことができ、ACLを使用して大容量記憶装置40の中のオブジェクトに対してユーザが有することができる権利を決定する。図1には1つのACLのみ示されているが、ACL42は、いくつかのACLを表すことができ、各ACLは、そのACLに関連するオブジェクトに対して1または複数のユーザの権利を認めることができる。オブジェクトを一般的に、項目またはリソースとして言及することができる。オブジェクトを、プログラム、プロセス、ファイル、イベント、またはセキュリティ記述子を有するものにすることもできる。各ACLは、データ構造、通常は表を含むことができ、所与のオブジェクトに対するユーザまたはグループの権利を指定するACE(access control entry)を含む。各ACEは、ユーザまたはグループ、ならびにそれらのユーザまたはグループによってどの動作が認められるまたは拒否されるか指定するアクセスマスクに対するセキュリティ識別子を含む。アクセスマスクは、ACLのACEにおいて認められるまたは拒否される許可を指定する値を含むことができる。
簡単に上述したように、大容量記憶装置40は、プログラムモジュールを含むことができる。プログラムモジュールは、一般的に、ルーティン、プログラム、コンポーネント、データ構造、および特定のタスクを行うまたは特定の抽象データ型を実施する他の種類の構造を含む。典型的にはプログラムモジュールの機能性を、各種実施で所望されるように組み合わすまたは分配することができる。
一実施形態では、大容量記憶装置40は、認証モジュール44および承認モジュール46を含む。認証モジュール44は、ユーザの同一性を確認するために組み込まれる。例えば、ユーザを、多数のSID(security identifier)によって識別することができる。各SIDは、ユーザまたはそのユーザが一員である各種グループを識別する可変長のデータ構造になっている。そのように認証モジュール44は、どのSIDが比較されるかに対する情報を有する認証情報のデータベースにアクセスできる。認証情報のデータベース(図示せず)を、大容量記憶装置40の中に格納できる。本明細書に説明された各種技術の実施は、例えばユーザの同一性をパスワード、認可証、生体認証等の他の種類の識別子を用いて識別できるようなSIDの使用によって限定されない。認証プロセスは、ユーザのコンピュータシステムであるケルベロス(Kerberos)のクライアントが、ユーザ名およびパスワードを管理者ドメインのケルベロスのサーバに提供するケルベロス認証技術等の標準の認証技術を含む任意の認証技術になり得る。ケルベロスのサーバは、ユーザ名およびパスワードを認証し、ユーザが、要求されたコンピュータシステムに対して認証が許可されたアクセス権を有することを保証する。そうであれば、そのユーザに「チケット」を提供する。そのチケットは、そのユーザが認証されたコンピュータシステムのオブジェクトにアクセスしようとする度に使用される。チケットが認証された場合、オブジェクトへのアクセスを、そのオブジェクトのACL、およびそのオブジェクトを含むシステムのポリシーに従って決定および承認することができる。チケットが認証されない場合、アクセスは拒否される。これらの決定および承認プロセスを、以下の段落により詳細に説明する。一実施形態では、ユーザの同一性がいったん承認されると、オブジェクトにアクセスするユーザの権利を、承認モジュール46によって決定することができ、そのことも以下の段落により詳細に説明する。
認証モジュール44か承認モジュール46のどちらか、またはそれらの両方は、一般的に、オンデマンドでロードできる、およびランタイムにリンクできる実行可能コードモジュールとして定義されるDLL(dynamic link library)等の任意の種類のプログラム可能コードとすることが可能であり、それらのコードがもはや必要でなく、動的共有オブジェクト等のときにアンロードされる。
図1に示すように、コンピューティングシステム5を、インターネット、イントラネット、またはエクストラネット等のネットワーク50を介してリモートコンピュータへの論理結合を用いてネットワーク環境100において動作することができる。コンピューティングシステム5を、システムバス30に接続されたネットワークインタフェースユニット60を介してネットワーク50に接続することができる。ネットワークインタフェースユニット60を用いて、他の種類のネットワークおよびリモートコンピュータシステムにも接続できることを認識されたい。コンピューティングシステム5は、キーボード、マウス、または電子ペン(図示せず)を含む多数の他の装置からの受信および入力処理のための入出力コントローラ70も含むことができる。入出力コントローラ70は、ディスプレイスクリーン、プリンタ、または他の種類の出力装置に出力を供給することができる。
一実施形態では、コンピューティングシステム5は、ポリシー(Policy)90を含む中央構成記憶装置80に接続される。ポリシー90は、コンピュータシステム5を通じて適用できる一連のセキュリティ保護を含む。このようにポリシー90は、一連のACEを含むことができる。各ACEは、ユーザまたはグループ、ならびにそれらのユーザまたはグループによるどの動作が認められるまたは拒否されるか指定するアクセスマスクに対するセキュリティ識別子を含むことができる。一実施形態では、それらのポリシーは、コンピュータシステム5にアクセスし得るあらかじめ決められた一連のユーザおよび/またはグループに対する一連の許可アクセスマスクおよび拒否アクセスマスクを含むことができる。そのポリシーにおいて権利が認められることにより、ユーザまたはグループは、そのオブジェクトに対するACLによって定義された許可にかかわらず、システム5のすべての保護されたオブジェクトに関しての権利を与えられる。同様に、そのポリシーにおいて権利が拒否されることにより、システム5のすべての保護されたオブジェクトに関してのユーザまたはグループの権利は遮断される。マスクの使用を参照して各種技術の実施を説明してきたが、マスクと同様の他の技術を、論理的なユーザの役割を用いた技術等の他の実施において使用できることが認識されるだろう。
一実施形態では、そのポリシーを、例えばHTTP(hypertext transfer protocol)サーバ等のサーバに存在する仮想コンピュータとして定義できる仮想サーバを通じて適用できるが、ユーザに対しては別個のサーバとして現われる。いくつかの仮想サーバは、一つのコンピュータに存在でき、各々それ自体のプログラムの実行が可能であり、ならびに入力装置および周辺装置への個別のアクセスを有する。各仮想サーバは、それ自体のドメイン名およびIPアドレスを有することができる。各種実施を、コンピュータシステム5、または仮想サーバを参照して本明細書に説明したが、他の実施形態では、サイト収集、特定のサイト、サイトまたは特定の項目もしくは文書内のライブラリに適用できる。承認モジュール46の機能性を含む本明細書に説明された各種技術の実施は、コンピュータシステム5の任意のレベルの粒度で適用することができる。
ACL42をサイト管理者によって管理できる一方、ポリシー90を中央管理者によって管理できる。一実施形態では、サイト管理者はポリシー90にアクセスすることが禁止されている一方、中央管理者はACL42にアクセスすることが禁止される場合がある。従って、本明細書に説明された各種技術の実施は、コンピュータシステム5を通じて中央管理者に、セキュリティポリシーの統一を強化させる方法を提供する。本明細書に説明された各種技術の実施はまた、中央管理者に、システム5へのアクセスの有無を制御する能力を保持しながら、日々のセキュリティ管理をサイト管理者に委任する方法を提供する。
図2に、本明細書に説明された各種技術の実施に従った1または複数のオブジェクトへのアクセスを管理する方法200のフロー図を示す。ステップ210では、認証モジュール44は、オブジェクトにアクセスするためにユーザからの要求を受信する。それらの要求を受信すると、そのユーザの同一性が認証される(ステップ220)。そのユーザの同一性は、パスワード、認可証、生体認証等の使用を含む任意の種類の認証プロセスによって認証できる。一実施形態では、認証モジュール44は、ユーザに関連したすべてのSIDの見直しおよび認証を行う(ステップ220)。いったんユーザのSIDが認証されると、オブジェクトにアクセスするユーザの権利を、承認モジュール46によって決定することができる。そのユーザの権利は、読み取り、挿入、更新、削除等とは異なる。
ステップ230では、任意のユーザのSIDが、要求されたオブジェクトを含むコンピュータシステム5に対するポリシーにおいて指定されるかどうかに関しての決定がなされる。一実施形態では、そのポリシーが、ユーザにコンピュータシステム5にアクセスする権利を提供するかどうかに関しての決定がなされる。他の実施形態では、オブジェクトを含む仮想サーバに対してそれらの決定がなされる。ポリシーが存在しない場合、そのオブジェクトに対するACLが任意のユーザのSIDに権利を認めるかどうかに関しての決定がなされるステップ280へ処理を継続する。
ポリシーが存在する場合、そのポリシーがコンピュータシステム5にアクセスする任意のユーザのSIDの権利を拒否するかどうかに関しての決定がなされるステップ240へ処理を継続する。そのポリシーがコンピュータシステム5にアクセスする任意のユーザのSDIの権利を拒否する場合、そのユーザは、要求されたオブジェクトへのアクセスを拒否される(ステップ250)。そのポリシーがコンピュータシステム5にアクセスする任意のユーザのSDIの権利を拒否しない場合、そのポリシーがコンピュータシステム5にアクセスする任意のユーザのSIDの権利を認めるかどうかに関しての決定がなされるステップ260へ処理を継続する。そのポリシーがコンピュータシステム5にアクセスする任意のユーザのSIDの権利を認める場合、そのユーザは、要求されたオブジェクトへのアクセスが認められる(ステップ270)。
一方、ポリシーがそのオブジェクトにアクセスする任意のユーザのSDIの権利を拒否することも認めることもない場合、そのオブジェクトに対するACLが、そのオブジェクトにアクセスする任意のユーザのSDIの権利を認めるかどうかに関しての決定がなされるステップ280へ処理を継続する。ACLがそのオブジェクトにアクセスする任意のユーザのSDIの権利を認める場合、そのユーザは、要求されたオブジェクトへのアクセスが認められる。しかしながら、ACEが、任意のユーザのSDIに対するACLに存在しない場合、そのユーザは、要求されたオブジェクトへのアクセスを拒否される(ステップ290)。
これらの方法では、そのポリシーがユーザのコンピュータシステム5にアクセスする権利を拒否する場合、ACLがユーザにオブジェクトにアクセスする権利を認めるか認めないかにかかわらず、ユーザは、コンピュータシステム5に含まれたオブジェクトにアクセスする権利を拒否される。同様に、そのポリシーがユーザにコンピュータシステム5にアクセスする権利を認める場合、ACLがユーザにオブジェクトにアクセスする権利を認めるか認めないかにかかわらず、ユーザは、そのオブジェクトにアクセスする権利を認められる。コンピュータシステム5の代用として、本明細書に説明された各種技術の実施はまた、それらのオブジェクトを含む仮想サーバに適用できる。
一実施形態では、ポリシーによって定義されたアクセスマスクはランタイムに、ACLによって定義されたアクセスマスクと合体して、ユーザに対する効率的な一連の許可をもたらすことができる。図3において、本明細書に説明された技術の各種実施は、オブジェクトを含むシステムに対するポリシーアクセスマスクが、そのオブジェクトに対するユーザアクセスマスク320およびグループアクセスマスク330と合体することによって、どのように効率的な一連の許可をもたらすことができるかをフロー図300に示す。フロー図300の以下の説明は、図2の方法200を参照して行われる。しかしながら、フロー図300に示された動作は、方法200によって行われるものに必ずしも限定されないことを理解されたい。さらに、操作上のフロー図300は、動作の実行の特定の順番を示す一方、それらの動作は、他の実施において異なる順番で実行され得ることを理解されたい。
ポリシーアクセスマスク310は、特定のユーザまたはグループが、オブジェクトに対するある権利を有するかどうか指定する。それらの権利は、READ、INSERT、UPDATE、DELETE、およびETCの権利を含む。ETCの権利は、VIEW ITEM、OPEN ITEM、APPROVE ITEM、DESIGN LISTS、CREATE SUBWEBS、VIEW VERSION HISTORY、DELETE VERSIONS、MANAGE PERMISSIONS等のような他の権利を表すことができる。一実施形態では、ポリシーアクセスマスク310は、列Gの下のチェックマークによって示された一連の認められている権利、および列Dの下のチェックマークによって示された一連の拒否されている権利を指定する。図3に示すように、READの権利は認められたものとして示され、DELETEの権利は拒否されたものとして示され、およびETCの権利は認められたものとして示される。ポリシーアクセスマスク310は、INSERTおよびUPDATEの権利に関して何も示さない。
ユーザアクセスマスク320は、認められている権利のみ指定する。これらの特定の例では、列Gのチェックマークによって示されたように、READの権利およびINSERTの権利のみ認められている。ユーザアクセスマスク320のように、グループアクセスマスク330は、認められているそれらの権利のみ指定する。これらの特定の例では、列Gの下のチェックマークによって示されたように、READの権利、UPDATEの権利、およびDELETEの権利のみ認められている。
ポリシーアクセスマスク310はランタイムに、ユーザアクセスマスク320およびグループアクセスマスク330と合体して、ユーザに対する効率的な一連の許可340をもたらす。合体動作の後、効率的な一連の許可340は、ポリシーアクセスマスク310およびユーザアクセスマスク320によって指定されたように、READの権利が認められていることを示す。ユーザアクセスマスク320によって指定されたように、INSERTの権利も認められている。グループアクセスマスク330によって指定されたように、UPDATEの権利も認められている。しかしDELETEの権利は、たとえグループアクセスマスク330によって認められているとしても、ポリシーアクセスマスク310によって指定されたように拒否されている。同様にETCの権利は、たとえユーザアクセスマスク320にもグループアクセスマスク330にもETCの権利へのアクセスが認められないとしても、ポリシーアクセスマスク310によって指定されたように認められている。
発明の対象を、構造的機能および/または方法論的作用に特有な言語を用いて説明してきたが、添付の請求において定義された発明の対象は、上述の特有な機能または作用に必ずしも限定されないことを理解されたい。むしろ上述のそれらの特有な機能または作用は、本請求の実施形式の例として開示される。
本明細書に説明された技術を組み込み、および実施可能なネットワーク環境を示す説明図である。 本明細書に説明された技術にかかる1または複数のオブジェトへのアクセスを管理する方法を示すフロー図である。 本明細書に説明された技術の各種実施が、ポリシーアクセスマスクとACLアクセスマスクを合体させることによって、どのように効率的な一連の許可を作成できるかを示すフロー図である。

Claims (20)

  1. オブジェクトにアクセスするためのユーザからの要求を管理する方法であって、
    (a)前記ユーザが、ポリシーに基づいて前記オブヘクトへのアクセスを拒否されるまたは認められるかどうか決定すること、
    (b)前記ユーザが、前記ポリシーによって前記オブジェクトへのアクセスを拒否されることも認められることもない場合、前記オブジェクトに対するACL(access control list)によって、前記ユーザに前記オブジェクトへのアクセスが認められるかどうか決定すること、および
    (c)ステップ(a)および(b)によって決定されたように、前記ユーザが前記オブジェクトへのアクセスを有するかどうか結論を下すこと
    を備えたことを特徴とする方法。
  2. ステップ(a)は、前記ユーザが前記オブジェクトを含むサーバへのアクセスを拒否されるまたは認められるかどうかの決定を備えたことを特徴とする請求項1に記載の方法。
  3. 前記サーバは、仮想サーバであることを特徴とする請求項2に記載の方法。
  4. 前記サーバは、HTTP(hypertext transfer protocol)サーバであることを特徴とする請求項2に記載の方法。
  5. 前記ユーザが、前記ポリシーによって前記サーバへのアクセスを拒否された場合、前記ユーザが前記オブジェクトにアクセスするのを拒否されることをさらに備えたことを特徴とする請求項2に記載の方法。
  6. たとえ前記ユーザが、前記ACLによって前記オブジェクトへのアクセスが認められたとしても、前記ユーザは、前記オブジェクトへのアクセスを拒否されることを特徴とする請求項5に記載の方法。
  7. 前記ユーザが、前記ポリシーによって前記サーバへのアクセスが認められた場合、前記ユーザが前記オブジェクトにアクセスするのを認めることをさらに備えたことを特徴とする請求項2に記載の方法。
  8. たとえ前記ユーザが、前記ACLによって前記オブジェクトへのアクセスが認められなかったとしても、前記ユーザは、前記オブジェクトへのアクセスを認められることを特徴とする請求項7に記載の方法。
  9. コンピュータ実行可能命令が格納されているコンピュータ読み取り可能媒体であって、コンピュータによって実行されると、前記コンピュータに、
    (a)オブジェクトを含むサーバに対するポリシーが、前記サーバへのユーザアクセスを拒否するまたは認めるかどうか決定すること、
    (b)前記ポリシーが前記サーバへのユーザアクセスを拒否することも認めることもない場合、前記オブジェクトに対するACLは、前記ユーザが前記オブジェクトにアクセスするのを認めるかどうか決定すること、および
    (c)ステップ(a)および(b)に基づいて前記オブジェクトへの前記ユーザアクセスを認めるまたは拒否すること
    を実行させるコンピュータ読み取り可能媒体。
  10. コンピュータによって実行されると、前記ポリシーが前記サーバへの前記ユーザアクセスを拒否する場合、前記コンピュータに前記ユーザが前記オブジェクトにアクセスするのを拒否させるコンピュータ実行可能命令をさらに備えたことを特徴とする請求項9に記載のコンピュータ読み取り可能媒体。
  11. コンピュータによって実行されると、前記ポリシーが前記サーバへの前記ユーザアクセスを認める場合、前記コンピュータに前記オブジェクトへの前記ユーザアクセスを認めることを行わせるコンピュータ実行可能命令をさらに備えたことを特徴とする請求項9に記載のコンピュータ読み取り可能媒体。
  12. 前記サーバは、仮想サーバであることを特徴とする請求項9に記載のコンピュータ読み取り可能媒体。
  13. 前記サーバは、HTTP(hypertext transfer protocol)サーバであることを特徴とする請求項9に記載のコンピュータ読み取り可能媒体。
  14. プロセッサで実行されているアプリケーションプログラムによってアクセスするデータを格納するメモリであって、
    前記メモリの中に格納されたデータ構造であって、
    前記データ構造は、サーバに対するアクセスマスクを備え、
    前記アクセスマスクは、少なくとも1つの前記サーバへアクセスを許可するまたは拒否するための1または複数の許可を指定するデータ構造を
    備えたことを特徴とするメモリ。
  15. 前記サーバは、HTTP(hypertext transfer protocol)サーバに存在する仮想サーバであることを特徴とする請求項14に記載のメモリ。
  16. 前記サーバは、HTTP(hypertext transfer protocol)サーバであることを特徴とする請求項14に記載のメモリ。
  17. 前記アクセスマスクは、前記サーバへのアクセスが認められているあらかじめ決められた一連のユーザを指定する一連の許可アクセスマスクを備えたことを特徴とする請求項14に記載のメモリ。
  18. 前記アクセスマスクは、前記サーバへのアクセスが拒否されているあらかじめ決められた一連のユーザを指定する一連の拒否アクセスマスクを備えたことを特徴とする請求項14に記載のメモリ。
  19. 前記データ構造は、前記サーバ内に含まれたオブジェクトに対するACLをさらに備えたことを特徴とする請求項14に記載のメモリ。
  20. 前記ACLは、前記オブジェクトへのアクセスが認められているあらかじめ決められた一連のユーザを指定する一連の許可アクセスマスクを備えたことを特徴とする請求項19に記載のメモリ。
JP2008549568A 2006-01-05 2007-01-04 オブジェクトへのユーザアクセスの管理 Pending JP2009522694A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/325,930 US20070156691A1 (en) 2006-01-05 2006-01-05 Management of user access to objects
PCT/US2007/000247 WO2007081785A1 (en) 2006-01-05 2007-01-04 Management of user access to objects

Publications (1)

Publication Number Publication Date
JP2009522694A true JP2009522694A (ja) 2009-06-11

Family

ID=38225843

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2008549568A Pending JP2009522694A (ja) 2006-01-05 2007-01-04 オブジェクトへのユーザアクセスの管理

Country Status (7)

Country Link
US (1) US20070156691A1 (ja)
EP (1) EP1974311A4 (ja)
JP (1) JP2009522694A (ja)
KR (1) KR20080083131A (ja)
CN (1) CN101366040B (ja)
RU (1) RU2430413C2 (ja)
WO (1) WO2007081785A1 (ja)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
NO326590B1 (no) * 2007-04-16 2009-01-19 Kubekit As Fremgangsmate og anordning for verifikasjon av informasjonstilgang i IKT-system med flere sikkerhetsdimensjoner og sikkerhetsniva.
US20090157686A1 (en) * 2007-12-13 2009-06-18 Oracle International Corporation Method and apparatus for efficiently caching a system-wide access control list
US9172707B2 (en) * 2007-12-19 2015-10-27 Microsoft Technology Licensing, Llc Reducing cross-site scripting attacks by segregating HTTP resources by subdomain
US9047485B2 (en) * 2008-03-12 2015-06-02 International Business Machines Corporation Integrated masking for viewing of data
US8533775B2 (en) * 2008-06-13 2013-09-10 Hewlett-Packard Development Company, L.P. Hierarchical policy management
US8990896B2 (en) * 2008-06-24 2015-03-24 Microsoft Technology Licensing, Llc Extensible mechanism for securing objects using claims
FR2934392B1 (fr) * 2008-07-22 2010-08-13 Jean Patrice Glafkides Procede pour gerer des objets accessibles a des utilisateurs et dispositif informatique implique par la mise en oeuvre du procede
US8689289B2 (en) * 2008-10-02 2014-04-01 Microsoft Corporation Global object access auditing
US8108406B2 (en) * 2008-12-30 2012-01-31 Expanse Networks, Inc. Pangenetic web user behavior prediction system
US8654659B2 (en) * 2009-12-23 2014-02-18 Citrix Systems, Inc. Systems and methods for listening policies for virtual servers of appliance
US8689004B2 (en) 2010-11-05 2014-04-01 Microsoft Corporation Pluggable claim providers
EP2466853B1 (en) * 2010-12-17 2014-10-08 Alcatel Lucent Control of connection between devices for controlling the initiation, routing and security of connections between devices
US8429191B2 (en) * 2011-01-14 2013-04-23 International Business Machines Corporation Domain based isolation of objects
US8983985B2 (en) 2011-01-28 2015-03-17 International Business Machines Corporation Masking sensitive data of table columns retrieved from a database
US8930410B2 (en) 2011-10-03 2015-01-06 International Business Machines Corporation Query transformation for masking data within database objects
US8898593B2 (en) * 2011-10-05 2014-11-25 Microsoft Corporation Identification of sharing level
US9329784B2 (en) 2011-10-13 2016-05-03 Microsoft Technology Licensing, Llc Managing policies using a staging policy and a derived production policy
US9189643B2 (en) 2012-11-26 2015-11-17 International Business Machines Corporation Client based resource isolation with domains
US9838424B2 (en) 2014-03-20 2017-12-05 Microsoft Technology Licensing, Llc Techniques to provide network security through just-in-time provisioned accounts
US9836596B2 (en) * 2015-07-08 2017-12-05 Google Inc. Methods and systems for controlling permission requests for applications on a computing device
RU2659743C1 (ru) * 2017-02-08 2018-07-03 Акционерное общество "Лаборатория Касперского" Система и способ контроля доступа на основе ACL
CN108628879B (zh) * 2017-03-19 2023-04-07 上海格尔安全科技有限公司 一种带优先级策略的访问控制构造的检索方法
US10757128B2 (en) * 2017-06-29 2020-08-25 Amazon Technologies, Inc. Security policy analyzer service and satisfiability engine
US10630695B2 (en) 2017-06-29 2020-04-21 Amazon Technologies, Inc. Security policy monitoring service
US10922423B1 (en) * 2018-06-21 2021-02-16 Amazon Technologies, Inc. Request context generator for security policy validation service
US11483317B1 (en) 2018-11-30 2022-10-25 Amazon Technologies, Inc. Techniques for analyzing security in computing environments with privilege escalation
US11627126B2 (en) * 2020-08-20 2023-04-11 Bank Of America Corporation Expedited authorization and access management

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE69031191T2 (de) * 1989-05-15 1998-02-12 Ibm System zur Steuerung von Zugriffsprivilegien
JPH0771094B2 (ja) * 1989-05-19 1995-07-31 オムロン株式会社 通信ネットワークシステム
US5187790A (en) * 1989-06-29 1993-02-16 Digital Equipment Corporation Server impersonation of client processes in an object based computer operating system
US5787427A (en) * 1996-01-03 1998-07-28 International Business Machines Corporation Information handling system, method, and article of manufacture for efficient object security processing by grouping objects sharing common control access policies
FR2745967B1 (fr) * 1996-03-07 1998-04-17 Bull Cp8 Procede de securisation des acces d'une station a au moins un serveur et dispositif mettant en oeuvre le procede
US5991879A (en) * 1997-10-23 1999-11-23 Bull Hn Information Systems Inc. Method for gradual deployment of user-access security within a data processing system
US6119153A (en) * 1998-04-27 2000-09-12 Microsoft Corporation Accessing content via installable data sources
US6832120B1 (en) * 1998-05-15 2004-12-14 Tridium, Inc. System and methods for object-oriented control of diverse electromechanical systems using a computer network
US6182142B1 (en) * 1998-07-10 2001-01-30 Encommerce, Inc. Distributed access management of information resources
WO2000004483A2 (en) * 1998-07-15 2000-01-27 Imation Corp. Hierarchical data storage management
US6785810B1 (en) * 1999-08-31 2004-08-31 Espoc, Inc. System and method for providing secure transmission, search, and storage of data
US6606659B1 (en) * 2000-01-28 2003-08-12 Websense, Inc. System and method for controlling access to internet sites
US7096502B1 (en) * 2000-02-08 2006-08-22 Harris Corporation System and method for assessing the security posture of a network
US6883101B1 (en) * 2000-02-08 2005-04-19 Harris Corporation System and method for assessing the security posture of a network using goal oriented fuzzy logic decision rules
US7260718B2 (en) * 2001-04-26 2007-08-21 International Business Machines Corporation Method for adding external security to file system resources through symbolic link references
US20020184516A1 (en) * 2001-05-29 2002-12-05 Hale Douglas Lavell Virtual object access control mediator
US7401235B2 (en) * 2002-05-10 2008-07-15 Microsoft Corporation Persistent authorization context based on external authentication
CN100437550C (zh) * 2002-09-24 2008-11-26 武汉邮电科学研究院 一种以太网认证接入的方法
US7243105B2 (en) * 2002-12-31 2007-07-10 British Telecommunications Public Limited Company Method and apparatus for automatic updating of user profiles
JP4368184B2 (ja) * 2003-11-19 2009-11-18 株式会社日立製作所 ブラックリストによる緊急アクセス遮断装置

Also Published As

Publication number Publication date
EP1974311A1 (en) 2008-10-01
RU2008127360A (ru) 2010-01-10
US20070156691A1 (en) 2007-07-05
CN101366040A (zh) 2009-02-11
CN101366040B (zh) 2010-12-01
RU2430413C2 (ru) 2011-09-27
KR20080083131A (ko) 2008-09-16
WO2007081785A1 (en) 2007-07-19
EP1974311A4 (en) 2010-04-07

Similar Documents

Publication Publication Date Title
JP2009522694A (ja) オブジェクトへのユーザアクセスの管理
US7290279B2 (en) Access control method using token having security attributes in computer system
CN105917309B (zh) 确定第一租户关于第二租户的许可
JP4414092B2 (ja) 制限付きトークンを介した最小権限
US9112864B2 (en) Controlling access within a protected data environment
US8646044B2 (en) Mandatory integrity control
RU2501082C2 (ru) Управление доступом к документам с использованием блокировок файла
US8984291B2 (en) Access to a computing environment by computing devices
Mon et al. The privacy-aware access control system using attribute-and role-based access control in private cloud
US8087065B2 (en) Method and system for implementing mandatory file access control in native discretionary access control environments
US20060193467A1 (en) Access control in a computer system
KR20080014824A (ko) 낮은 권한으로 실행하는 인터넷 애플리케이션에 대한컴퓨터 구현 방법
JPH09319659A (ja) コンピュータ・システム用のセキュリティ制御方法
US8819766B2 (en) Domain-based isolation and access control on dynamic objects
US9516031B2 (en) Assignment of security contexts to define access permissions for file system objects
Pramanik et al. Security policies to mitigate insider threat in the document control domain
JP2006107505A (ja) アクセス認可のapi
KR100343069B1 (ko) 다중 등급 보안 방식에 의한 강제적 객체접근 제어 방법및 이를 프로그램화하여 수록한 컴퓨터로 읽을 수 있는기록매체
Bassil Windows and Linux operating systems from a security perspective
JP2007004610A (ja) 複合的アクセス認可方法及び装置
JP2019036168A (ja) データ保護システム、データ保護方法及びプログラム
RU2524566C1 (ru) Система контроля доступа к файлам на основе их автоматической разметки
Koot Introduction to Access Control (v4)
US20080301781A1 (en) Method, system and computer program for managing multiple role userid
Mirajkar et al. A provenance-based access control model for securely storing data in cloud

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20091130

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110715

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20111014

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20111104