JP2010515158A - 時間を基準にした許可 - Google Patents

Abstract

ユーザーオブジェクトは、アドミニストレーターインターフェエースを通して作成される。このユーザーオブジェクトは、個人ユーザーのためのシステムリソースへのアクセスを指定している。ユーザーオブジェクトには、そのオブジェクトに関連するユーザーがコンピューティングデバイスを使用してシステムリソースにいつアクセスできるかを指定した許可時間期間が与えられている。リソースにアクセスするために、コンピューティングデバイスは、システムリソースへのアクセス要求を生成するか、又はアクセスの試みを行なう。その要求又はアクセスの試みに応答して、ユーザーオブジェクトが読み取られ、コンピューティングデバイスのユーザーがいつリソースにアクセスできるかが判断される。コンピューティングデバイスのユーザーには、その時間期間内では、リソースへのアクセスが許可され、その時間期間外では、リソースへのアクセスが拒否される。

Description

本発明は、時間を基準にした許可に関する。

システムアドミニストレーターは、ユーザーアカウント、システムポリシー、ネットワークアクセス可能シェア及びホストレベルサービスなどのシステムリソースを定期的に作成している。一般的に、システムアドミニストレーターは、リソースを管理したり、使用禁止にしたり、リソースがもはや必要でなくなったときそのリソースを除去したりすることを担当している。リソース管理の一部として、アドミニストレーターは、リソースへの定期的アクセスのためにリソースをユーザーに割り当てなければならない。リソース管理は、広範なレコード記録及び管理スクリプトも必要になることがあるので、管理オーバーヘッドが大きくなる。

リソースが割り当てられるときとは異なる時期にシステムリソースを使用可能にすることは、注目に値する問題になっている。この問題を実証するシナリオは、ウィークエンド期間中に、さもなければ、アドミニストレーターの平常の勤務時間外に使用可能にする必要のあるユーザーアカウントを作成することがアドミニストレーターに要求されるときに起こっている。この問題に対する１つのソリューションは、スクリプト又は特別なアプリケーションソフトウェアなどのシステム管理リソースの開発を要求するのではなく、要求されたタスクを完了するためにアドミニストレーターが週末に勤務することである。別の方法として、アドミニストレーターは、週末の期間に勤務しないで済ますためにその前に新しいアカウントを作成しておくことも可能である。どちらのオプションも、管理可能な、又はセキュアなソリューションは得られない。

ユーザーオブジェクトは、アドミニストレーターインターフェースを介して作成されている。ユーザーオブジェクトは、そのオブジェクトに関連するクライアントデバイスがシステムリソースにアクセスすることができる許可時間期間(permission time period)を指定している。リソースにアクセスするには、クライアントデバイスは、リソースにアクセスする要求を生成するか、又はリソースにアクセスすることを試みている。ユーザーオブジェクトは、コンピューティングデバイスによって読み取られ、クライアントデバイスがいつリソースにアクセスすることができるかを判断する。リソースには、許容時間期間(allowable time period)内ではクライアントデバイスによるリソースへのアクセスを許可し、許容時間期間外ではクライアントデバイスによるリソースへのアクセスを拒否する指示が与えられる。従って、システムは、システムリソースにアクセスするときのオーバーヘッドが軽減され、セキュアな方法でシステムリソースにアクセスしている。

以下では、詳細な説明が添付図面を参照して記載されている。図面において、参照符号の左端の桁は、その参照符号が最初に現れる図面を示している。類似の特徴及びコンポーネントを参照するために、図面全体を通して同じ符号が使用されている。
システムリソースにアクセスする許可を要求するためのシステムを示す簡略図である。 時間を基準にした許可を与えるサーバーを示す簡略ブロック図である。 時間を基準にした許可を与える方法を示すフロー図である。 ユーザーが時間を基準にした許可を開始することを可能にする例示インターフェースを示す図である。

以下では、時間を基準にした方法(time based manner)でシステムリソースにアクセスする許可を要求するためのシステムが説明されている。このシステムは、許可を１又は２以上のクライアントデバイス、又はそのクライアントデバイスのユーザーに与え、事前に定義した時間でシステムリソースにアクセスするための実施形態を含む。

時間を基準にした許可を与えるための記載されたシステム及び方法の態様は、いくつもの異なる環境及び／又は構成で実現することができるが、そのシステム及び方法は、以下に説明する例示のシステムアーキテクチャーのコンテキストの中で説明されている。

例示システム
図１は、システムリソース１０１にアクセスする許可を要求するためのシステム１００を示す図である。システム１００は、アドミニストレーターデバイス１０２、サーバー１０４、及びユーザーオブジェクト１０７（ａ−ｎ）を収めているデータベース１０６を含んでいる。サーバー１０４は、ユーザー／クライアントＡデバイス１０８及びユーザー／クライアントＢデバイス１１０に直接に結合されていることも、及び／又はネットワーク１１２を通してユーザー／クライアントＣデバイス１１４又はユーザー／クライアントＤデバイス１１６に結合されていることもある。クライアントデバイス１０８、１１０、１１４及び１１６は、例えば、汎用コンピューティングデバイス、サーバー、ラップトップ、セル電話、ポータブルデスクトップアシスタントなどを含む、どのような方法で実現することもできる。

アドミニストレーターデバイス１０２を使用して、システムリソース１０１（本明細書では、シェア／アカウントとも呼ばれる）のアクセス許可に関連するポリシーセットを集約的に収めている複数のユーザーオブジェクト１０７（ａ−ｎ）を作成することができる。ユーザーオブジェクト１０７（ａ−ｎ）は、アドミニストレーターユーザーインターフェース１１８を介してアドミニストレーターデバイス１０２から受信したデータに基づいてサーバー１０４によって作成することができる。サーバー１０４及びアドミニストレーターデバイス１０２は、例えば、汎用コンピューティングデバイス、サーバー、サーバーファーム、クラスター、メインフレームなどとすることができる。

ユーザーオブジェクト１０７（ａ−ｎ）は、データベース１０６に格納することができる。データベース１０６は、サーバー１０４内の持続性システムメモリに配置することができる。ユーザーオブジェクト１０７（ａ−ｎ）は、１又は２以上のユーザーがいつシステムリソース１０１にアクセスできるかに関するデータを含んでおり、その例として、１又は２以上のユーザーに対するシェア／アカウントがある。システムリソース１０１は、例えば、ユーザーアカウント、システムポリシー、ネットワークアクセス可能シェア、ホストレベルサービス、アプリケーションプログラム、ファイルシェアなどを含むこともできる。

サーバー１０４は、そのサーバー１０４に存在するシステムリソース１０１へのアクセス要求を受信することができる。この要求は、１又は２以上のユーザー／クライアント１０８−１１６から直接に受信することができ、ユーザー／クライアントの例としては、ユーザー／クライアントデバイスＡ１０８及びユーザー／クライアントデバイスＢ１１０がある。ユーザー／クライアントデバイスＡ１０８及びユーザー／クライアントデバイスＢ１１０は、システムリソース１０１にアクセスするために要求をサーバー１０４にサブミットすることができ、又はシステムリソース１０１へのアクセスを直接に試みることができる。

一実装形態において、サーバー１０４は、受信した要求に応答して、データベース１０６にクエリー（問い合わせ）して、ユーザーオブジェクト１０７（ａ−ｎ）がユーザー／クライアントデバイスＡ１０８に関連するものか、ユーザー／クライアントデバイスＢ１１０に関連するものかを識別することができる。別の実施形態において、サーバー１０４は、サーバー１０４側で実行されているアプリケーションプログラムを使用してデータベース１０６にクエリーする。ユーザーオブジェクト１０７（ａ−ｎ）は、サーバー１０４によって分析され、ユーザー／クライアントデバイスＡ１０８及びユーザー／クライアントデバイスＢ１１０が、特定の要求の時点でシステムリソース１０１へのアクセスが許可されているのかを判断することができる。サーバー１０４は、それぞれのユーザーオブジェクト１０７（ａ−ｎ）が分析されると、ユーザー／クライアントデバイスＡ１０８及びユーザー／クライアントデバイスＢ１１０に対し、アクセスを許可又は拒否することができる。

別の例示的な実装形態において、サーバー１０４側で実行されているアプリケーションプログラムは、ユーザーデバイスの各々についての許可時間期間、すなわち、システムリソース１０１へのアクセスするために、サーバー１０４に接続されたユーザーデバイスに対して許可されたアクセス時間期間を監視することができる。ユーザーデバイスの許可時間期間が特定されると、アプリケーションプログラムは、システムリソース１０１の有効又は無効を示すために、ユーザーオブジェクト１０７（ａ−ｎ）を更新し、信号をユーザーデバイス側で実行されているアプリケーションに送信して、デバイスのユーザーがリソースにアクセスすることを可能にする。

さらに別の実装形態において、アプリケーションプログラムは、ユーザーデバイスによって使用された他のアプリケーションが実行中のとき、サーバー１０４によって同時に実行することができる。例えば、デバイスの１又は２以上のユーザーは、サーバー１０４によって実行中の複数のアプリケーションへのアクセスを要求することができる。サーバー１０４は、アプリケーションプログラムを採用して、ユーザーに与えられたアクセスを監視し、ユーザーによってアクセスされたアプリケーションを同時に実行することができる。一実装形態において、サーバー１０４は、１又は２以上のユーザーオブジェクト１０７（ａ−ｎ）が無効化されているか、又は無効を示していると、アプリケーションプログラムの使用を禁止することができる。

一実施形態では、ユーザークライアントデバイスＡ１０８及びユーザークライアントデバイスＢ１１８に対するアクセス許可を、シングルユーザーオブジェクトの中に定義することができる。例示の実施形態では、ユーザークライアントデバイスＡ１０８及びユーザークライアントデバイスＢ１１０は、システムリソース１０１のアクセスを同じ時間期間に要求することができる。サーバー１０４は、その特定時間期間にどちらのユーザーにアクセス権があるのかを特定するために、データベース内のユーザーオブジェクトで確認する。このアクセスを、それぞれのユーザーオブジェクト１０７（ａ−ｎ）に対する事前設定ポリシーに基づいて、ユーザークライアントデバイスＡ１０８とユーザークライアントデバイスＢ１１０とのどちらかに許可することができる。

例えば、１又は２以上の学生が、ある施設において同じ時間期間にサーバー１０４を通してファイルへのアクセスを要求することができる。サーバー１０４は、学生に関連する１又は２以上のユーザーオブジェクト１０７（ａ−ｎ）を特定するためにデータベースをチェックすることができる。ユーザーオブジェクト１０７（ａ−ｎ）は、その特定時間期間にファイルにアクセスすることが許可されている学生を特定するために分析することができる。ユーザーオブジェクト１０７（ａ−ｎ）は、例えば、どの学生がその特定時間期間にファイルへのアクセスが許可され、他のどの学生が別の時間期間にファイルへのアクセスが許可されているかを定義することができる。各学生に対するアクセス許可がオブジェクト１０７（ａ−ｎ）から判断されると、サーバー１０４は、各学生に対しファイルへのアクセスを拒否又は許可することができる。

一実施形態では、ユーザーオブジェクト１０７（ａ−ｎ）は、ユーザーオブジェクト１０７（ａ−ｎ）がシステムリソース１０１にアクセスするための時間期間の直前に作成されるような形で定義することができる。さらに別の実施形態では、ユーザーオブジェクト１０７（ａ−ｎ）は、リソースにアクセスするための時間期間が経過したあと、ユーザーオブジェクト１０７（ａ−ｎ）が自動的に削除されることを可能にする特性を含むことができる。例えば、二人のユーザーがアプリケーションプログラムを使用してプロジェクトを準備したい場合がある。ユーザーは、アドミニストレーター１０２によってプログラムを用いたプロジェクトで作業するための異なる時間期間で割り当てられることができる。ユーザーオブジェクト１０７（ａ−ｎ）の組は、アドミストレーター１０２によって作成することができる。ユーザーオブジェクト１０７（ａ−ｎ）は、それぞれのユーザーデバイスによってプロジェクトにアクセスするための時間期間及びその他の特定の特性を含むことができる。特定の特性は、例えば、プライマリー（一次）ユーザーデバイスの時間期間が経過したあと、そのプライマリーユーザーデバイスに関連するユーザーオブジェクトを自動的に削除すること、及びセカンダリー（二次）ユーザーデバイスの使用のための時間期間の開始前にそのセカンダリーユーザーデバイスに関連するユーザーオブジェクトを自動的に作成することを含むことができる。

別の実施形態では、ユーザーオブジェクト１０７（ａ−ｎ）は、ユーザーデバイスのユーザーが１又は２以上のシステムリソース１０１に同時にアクセスすることを許可することができる。例えば、ユーザーオブジェクトを、アドミニストレーターデバイス１０１によって作成して、そのユーザーオブジェクトに関連するユーザーデバイスのユーザーが複数のユーザーアカウントに同時にアクセスする許可を与えることができる。別の実施形態では、サーバー１０４は、ユーザーから要求を受け取ったとき、システムリソース１０１を使用可能及び／又は使用禁止にするためにデータベースにクエリーするアプリケーションプログラムを採用している。例えば、ある従業員が特定の時間期間の間にプロジェクトで作業するために企業ネットワークにアクセスし、非活動時間期間の後、アクセスを要求する場合がある。このようなケースでは、アプリケーションプログラムを使用するアドミニストレーターデバイス１０２は、特定の時間期間が経過した後、その従業員に関連するユーザーオブジェクトを（使用禁止を示すようにユーザーオブジェクトを更新することによって）使用禁止にすることができる。アドミニストレーターデバイス１０２は、非活動時間期間の後にアクセス要求を行なったとき、その従業員が企業ネットワークにアクセスすることを許可することができる。このアクセス可能性は、ユーザーオブジェクトを使用可能にすることによって（使用可能を示すようにユーザーオブジェクトを更新することによって）許可される。さらに別の実施形態では、ユーザーオブジェクトは、ユーザーデバイスの許可時間期間の間に使用可能にすることができる。

一例示実施形態では、サーバー１０４は、ユーザー／クライアントＣ１１４及びユーザー／クライアントＤ１１６のような複数のユーザーデバイスにネットワーク１０４（例えば、インターネット又はイントラネット）を介して接続することができる。このようなネットワークの例としては、ＬＡＮ(Local Area Network)、ＷＡＮ(Wide Area Network)などがあるが、これらに限定されない。さらに、ネットワークは、ワイヤレス（無線）又はワイヤード（有線）ネットワーク、又はこれらの組み合わせとすることができる。例えば、複数の学生が特定の時間フレームにインターネットを通してチャットネットワークに参加したい場合がある。このような場合において、アドミニストレーターデバイス１０２は、これらの学生がインターネットにアクセスするための異なる時間期間を割り当てていることがある。従って、第１の学生及び第２の学生には、特定の時間フレームにインターネットへのアクセスが許可されることがある。これに対して、第３の学生には、アクセスのための異なる時間期間が割り当てられるので、アクセスが拒否されることがある。

図２は、一実施形態に従って時間許可を与えるためのサーバー１０４を示す図である。この例示サーバー１０４について、図１を参照して説明する。サーバー１０４は、プロセッサー２００、ネットワークインターフェース２０２及びシステムメモリ２０４を含む。プロセッサー２００は、マイクロプロセッサー、マイクロコンピューター、マイクロコントローラー、デジタル信号プロセッサーなどとすることができる。システムメモリ２０４は持続性とすることができ、その中には、例えば、揮発性ランダムアクセスメモリ（例えば、ＲＡＭ）及び不揮発性リードオンリーメモリ（例えば、ＲＯＭ、フラッシュメモリなど）が含まれている。一実施形態では、システムメモリ２０４は、サーバー１０４から離れた場所に置くことができる。システムメモリ２０４は、プログラムモジュール２０６とプログラムデータ２０８とを備える。プログラムモジュール２０６の例としては、オブジェクト作成モジュール２１０、入力モジュール２１２、読み取りモジュール２１４、使用可能モジュール２１６及びその他のプログラムモジュール２１８がある。プログラムモジュール２０６の例としては、ランタイム環境を提供するオペレーティングシステム（ＯＳ）がある。

オブジェクト作成モジュール２１０は、アドミニストレーターデバイス１０２から受信した入力に基づいて複数のユーザーオブジェクト１０７（ａ−ｎ）を作成する。ユーザーオブジェクト１０７（ａ−ｎ）は、その期間内にユーザーデバイスのユーザーがシェア／アカウントなどのシステムリソースにアクセスできる許可時間期間を指定している。ユーザーオブジェクト１０７（ａ−ｎ）は、データベース１０６（図１）に格納することができる。一実施形態では、ユーザーオブジェクト１０７（ａ−ｎ）は、プログラムデータ２０８と一緒に格納することができる。１又は２以上のユーザーデバイスは、システムリソース１０１へのアクセスが許可されるために要求をサーバー１０４に送信することができる。この要求は、入力モジュール２１２によって受信されることができる。例えば、ユーザー／クライアントＡ１０８及びユーザー／クライアントＢ１１０は、アプリケーションプログラムへのアクセスをサーバー１０４に要求することができる。一実施形態では、この要求は、ユーザーデバイス１０８−１１６の各々でユーザーインターフェース（図示せず）を使用して入力することができる。そのあと、この要求は、ネットワーク１１２上でサーバー１０４に接続された１又は２以上のユーザーデバイスからネットワークインターフェース２０２を介して受信することができる。

要求が受信されると、入力モジュール２１２は、ユーザーのアクセス選択(access choice)を特定するためにその要求を分析することができる。ユーザーのアクセス選択としては、例えば、複数のシステムリソース１０１からの１又は２以上のシステムリソース１０１のユーザーの選好(preference)がある。特定されたユーザーの選択は、読み取りモジュール２１４に与えられる。

読み取りモジュール２１４は、ユーザーの選択をレビューし、データベース１０６でチェックして、特定したユーザーの選択に関連するユーザーオブジェクトがどのユーザーデバイスに対するものかを特定する。特定したユーザーオブジェクトは、読み取りモジュール２１４によって調べられ、そのユーザーデバイスが要求の時点でシステムリソースにアクセスすることが許可されるかどうかを理解し、判定する。ユーザーデバイスがシステムリソース１０１にアクセスすることを許可するか、許可しないかの判定までに読み取りモジュール２１４が到達すると、読み取りモジュール２１４は使用可能モジュール２１６をトリガしてその判定を実行する。使用可能モジュール２１６は、例えば、システムリソースに対するコントローラーに信号を送信する、又はシステムリソースを管理するアプリケーションを使用可能／使用禁止にするプロセスによって、ユーザーオブジェクトに定義された許可時間期間に基づいてシステムリソースを使用可能又は使用禁止にすることができる。

１つの可能な実施形態では、ユーザーの選択を特定し、ユーザーの選択をレビューするプロセスは、オブジェクト作成モジュール２１０から命令を受信したときにコンビネーションモジュール(combination module)によって実行される。このコンビネーションモジュールは、入力モジュール２１２と読み取りモジュール２１４との機能を実行するように構成することができる。別の方法として、コンビネーションモジュールは、入力モジュール２１２と読み取りモジュール２１４とを組み合わせたものにすることもできる。コンビネーションモジュールは、他方のプログラムモジュール２１８に組み込まれていることもある。

例えば、シェア／アカウントなどのシステムリソース１０１にアクセスする要求は、コンビネーションモジュールによって受信することができる。この場合には、コンビネーションモジュールは、その要求を分析してユーザーデバイスの選択を特定することができる。そのあと、この選択はレビューされて、その選択に関連するユーザーオブジェクトが特定される。ユーザーオブジェクトはさらに分析され、ユーザーデバイスのユーザーがシェア／アカウントにアクセスすることを許可されるかどうかの判定に到達する。

例示の方法
ここでは、時間を基準にした許可を与えるための例示の方法について、図３を参照して説明する。これらの例示方法は、コンピューター実行可能命令の一般的コンテキストの中で説明することができる。一般的に、コンピューター実行可能命令として可能なものには、特定の機能を実行する、又は特定の抽象データ型を実現するルーチン、プログラム、オブジェクト、コンポーネント、データ構造、プロシージャー、モジュール、関数などがある。これらの方法は、通信ネットワークを通してリンクされたリモートの処理デバイスによって機能が実行されるような、分散コンピューティング環境で実施することができる。分散コンピューティング環境では、コンピューター実行可能命令は、ローカル及びリモートの両方のコンピューター記憶媒体に置くことができ、記憶媒体の中にはメモリストレージデバイスが含まれている。

図３は、時間を基準にした許可を与えるための例示方法３００を示し、以下では、図１と図２に示すようにシステムリソース１０１へのアクセス許可を要求するためのシステム１００と関連付けて説明されている。この方法が説明されている順序は、その順序に制約されるものではなく、説明している方法ブロックは、本方法又は代替的方法を実現するためにどのような順序でも、いくつでも組み合わせることができる。さらに、個々のブロックは、本明細書に説明している主題の精神と範囲から逸脱しない限り、本方法から削除されることもある。さらに、本方法は、それが適切であれば、どのようなハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせでも、実現することが可能である。

ブロック３０２において、ネットワークアクセス可能シェア、ユーザーアカウント又はホストサービスなどのシステムリソース１０１にアクセスするためのユーザーオブジェクトが作成される。例えば、サーバー１０４は、ユーザーオブジェクトを作成するための入力データを、オブジェクト作成モジュール２１０を使用してアドミニストレーターデバイス１０２から受け取ることができる。アドミニストレーターデバイス１０２は、アドミニストレーターインターフェース１１８を介してユーザーから入力データを受け取ることができる。入力データがオブジェクト作成モジュール２１０によって受け取られると、オブジェクト作成モジュール２１０はユーザーオブジェクトを作成し、それをデータベース１０６に格納する。ユーザーオブジェクトは、ユーザーによってシステムリソース１０１にアクセスするときの許可時間期間を定義している。一実施形態では、ユーザーオブジェクトは、システムリソースにアクセスするための時間期間の開始前に作成される。例えば、オブジェクト作成モジュール２１０は、企業ネットワークのような、ネットワークにユーザーがアクセスするときの許可時間期間の開始直前にユーザーオブジェクトを作成する。一例示実施形態では、ユーザーオブジェクトは、１又は２以上のネットワークに対するアクセスを提供することができる。

ブロック３０４において、ネットワークシェアなどの、システムリソースへのアクセス要求は、サーバー１０４の入力モジュール２１２によって受信されるように、サーバーによって受信されることができる。別の方法として、クライアントデバイスのユーザーがシステムリソースに直接にアクセスすることを試みることも可能である。入力モジュールはその要求／アクセスの試みを調べて、リソースを特定する。例えば、サーバー１０４は、システムリソースへのアクセス要求を、ユーザー／クライアントデバイスＡ１０８から受け取ることも、ユーザー／クライアントデバイスＢ１１０から受け取ることもできる。サーバー１０４の入力モジュール２１２はその要求を調べて、ユーザークライアントＡ１０８又はユーザークライアントＢ１１０によって要求されたシステムリソースの情報を特定することができる。この情報は、読み取りモジュール２１４に送られ、ユーザーオブジェクトがユーザークライアントデバイスＡ１０８（又はデバイスＡ１０８のユーザー）に関連するものか、ユーザークライアントデバイスＢ１１０（又はデバイスＢ１１０のユーザー）に関連するものかが判断される。

ブロック３０６において、ユーザーオブジェクトが読み取られて、システムリソース１０１にアクセスするために割り当てられた許可時間期間が特定される。例えば、読み取りモジュール２１４はユーザーオブジェクト１０７（ａ−ｎ）を調べ、ユーザーがシステムリソース１０１にアクセスするために割り当てられた許可時間期間を特定する。

ブロック３０８において、読み取られたユーザーオブジェクトによって指定された許可時間期間がユーザーデバイスの要求の時間と一致しているかどうかの判断が行なわれる。許可時間期間が要求の時間に一致していれば（すなわち、ブロック３０８からの“ｙｅｓ”経路）、ユーザーデバイスはシステムリソース１０１へのアクセスが許可される。つまり、アクセスが可能になる（ブロック３１０）。許可時間期間が要求の時間に一致していなければ（すなわち、ブロック３０８からの“ｎｏ”経路）、ユーザーデバイスはシステムリソース１０１へのアクセスが拒否される。すなわち、アクセスが禁止される（ブロック３１２）。

例えば、読み取りモジュール２１４は、ある従業員に関連するユーザーオブジェクトをチェックし、企業ネットワークなどのネットワークにアクセスするための許可時間期間がその従業員の要求の時間と一致しているかどうかを判断する。許可時間期間が要求の時間と一致していないと読み取りモジュール２１４が判断したときは、従業員（クライアントデバイスを介した）は、使用可能モジュール(enablement module)２１６によってネットワークへのアクセスが許可されない。これとは別に、許可時間期間が要求の時間と一致していれば、従業員は、使用可能モジュール２１６によってネットワークへのアクセスが許可される。

ブロック３１４において、システムリソース１０１にアクセスするための許可時間期間が経過したかどうかの判断が行なわれる。許可時間期間が経過していれば（すなわち、ブロック３１４からの“ｙｅｓ”経路）、本方法３００はブロック３１２に移り、ユーザーデバイスはシステムリソース１０１へのアクセスが拒否される。許可時間期間が経過していなければ（すなわち、ブロック３１４からの“ｎｏ”経路）、本方法３００はブロック３１６に継続し、ユーザーデバイスはシステムへのアクセスが許可される。このチェックプロセスは、許可時間期間が経過するまで継続する。

例えば、使用可能モジュール２１６は、ある従業員が企業ネットワークなどのネットワークにアクセスするための許可時間期間が経過したかどうかを継続的にチェックする。許可時間期間が経過していた場合には、その従業員は、これ以上に企業ネットワークにアクセスすることが許可されないので、その従業員のユーザーデバイスを、例えば、企業ネットワークから切り離すことができる。これとは別に、許可時間期間がまだ経過していなければ、その従業員は、ネットワークへの継続的アクセスを許可されることができる。使用可能モジュール２１６は、許可時間期間が経過するまで許可時間期間のチェックを続ける。

例示ユーザーインターフェース
図４は、ユーザーが時間を基準にした許可を開始することを可能にする例示ユーザーインターフェース（ＵＩ）１１８を示す図である。例示の説明と図例の目的のために、ＵＩ４００の特徴を図１−図２のコンポーネントと関連付けて説明する。

この例において、ＵＩ４００は、システムリソース管理アプリケーションを表している。ＵＩ４００は、例えば、アドミニストレーターが複数のユーザーによってリソースにアクセスするためのスケジュールをアドミニストレーターデバイス１０２に入力するためのシステムリソーススケジューリングエリアを含む。このスケジュールは、例えば、リソースにアクセスするための時間期間及びデータを含むことができる。ＵＩ４００は、ネットワークシェア、ユーザーアカウント、アドミニストレーターカウント、ローカルセキュリティポリシーなどのリソースをアドミニストレーターが追加するためのリソース追加エリア４０４も含む。例えば、アドミニストレーターデバイス１０２は、企業ネットワークなどのシステムリソースにシステムリソース１０１からアクセスすることに関連するユーザーオブジェクトをリソース追加エリア４００内に作成することができる。１又は２以上の従業員によって企業ネットワークにアクセスするための時間期間及びデータは、リソーススケジューリングエリア４０２においてアドミニストレーターデバイス１０２によってスケジューリングすることができる。このようなケースでは、従業員は、それぞれの時間期間に企業ネットワークにアクセスすることができる。一実施形態では、企業ネットワークにアクセスするための時間期間が開始すると、ユーザーオブジェクトを、自動的に作成することができる。

ＵＩ４００は、１又は２以上のユーザーデバイス（又はそのユーザーデバイスのユーザー）によってリソースにアクセスする許可時間期間をアドミニストレーターが定義することを容易にするリソース繰り返しスケジューリング(resource recurrence scheduling)部分４０６も含み、許可時間期間を繰り返すことができる。例えば、ある従業員は、一週間の好ましい数日に企業ネットワークにアクセスしている場合がある。アドミニストレーターデバイス１０２は、一週間の好ましい日々に企業ネットワークにアクセスするための許可時間期間を指定しているユーザーオブジェクトを作成し、そのユーザーオブジェクトがその月の後続する週に繰り返されることを定義することができる。一実施形態では、ユーザーオブジェクトは、許可時間期間が経過した後、自動的に除去することができる。

別の実施形態では、ユーザーオブジェクトは、初期許可時間期間が経過した後、自動的に使用禁止又は使用禁止にされること（例えば、アクセスが許可されないこと）を示すように定義することができる。ユーザーオブジェクトは、後続の時間期間の間に同じユーザーデバイス又は別のユーザーデバイス（又はそのユーザーデバイスのユーザー）がアクセスを要求したときに使用可能(enablement)を示すように定義することができる。例えば、休み時間と共に複数のスケジュールで作業する１又は２以上の従業員によってプロジェクトが準備されている場合がある。アドミニストレーターデバイス１０２は、企業ネットワークにアクセスするためのユーザーオブジェクトを作成することができ、ユーザーオブジェクトは、休み時間が開始した後は使用禁止を、休み時間が経過した後は使用可能を自動的に指示することができる。

さらに別の実施形態では、ユーザーオブジェクトは、第１の許可時間期間が経過した後に削除され、同じユーザーデバイス又は別のユーザーが第２の許可時間期間の開始直前にアクセスを要求したときに自動的に作成することができる。例えば、アドミニストレーターデバイス１０２は、ある従業員が企業ネットワークにアクセスする初期時間期間を完了した後にユーザーオブジェクトが自動的に削除されることを可能にする属性セットを指定したユーザーオブジェクトを作成することができる。アドミニストレーターデバイスは、その従業員のクライアントデバイスが後続時間期間の開始前にアクセスを再開する要求を送信した後、ユーザーオブジェクトが自動的に作成されることを可能にする属性セットを指定することができる。

結論
システムリソースへのアクセス許可を要求するためのシステムの実施形態を、構造上の特徴及び／又は方法に特有の表現で説明してきたが、当然に理解されるように請求項に記載の主題は、上述した特定の特徴又は方法に必ずしも限定されない。むしろ、これらの特定の特徴及び方法は、システムリソースへのアクセス許可を要求するためのシステムの例示実施形態として開示されたものである。

Claims (20)

1. オブジェクト（１０７）に関連するクライアントデバイス（１０８、１１０、１１２、１１４）がシステムリソース（１０１）にアクセス可能であるときの許可時間期間を指定する前記ユーザーオブジェクト（１０７）を作成するステップと、
   前記クライアントデバイス（１０８、１１０、１１２、１１４）による前記システムリソース（１０１）へのアクセス要求を受信するステップと、
   前記要求に応答して、前記クライアントデバイス（１０８、１１０、１１２、１１４）がいつアクセスできるかを判断するために前記ユーザーオブジェクト（１０７）を読み取るステップと、
   時間期間（４０６）内では、前記クライアントデバイス（１０８、１１０、１１２、１１４）による前記システムリソース（１０１）へのアクセスを許可し、前記時間期間（４０６）外では、前記クライアントデバイス（１０８、１１０、１１２、１１４）による前記システムリソース（１０１）へのアクセスを拒否するステップと
   を備えることを特徴とする方法。
2. 前記受信するステップ及び前記読み取るステップは、ネットワーク（１１２）に結合されたサーバーコンピューター（１０４）によって実行されることを特徴とする請求項１に記載の方法。
3. 前記ユーザーオブジェクト（１０１）は、コンピューティングデバイス（１０４）の持続性メモリに格納されたデータベース（１０６）に格納されていることを特徴とする請求項１に記載の方法。
4. 前記ユーザーオブジェクト（１０７）は、前記許可時間期間の開始直前に即時に作成されること、１又は２以上の前記システムリソース（１０１）へのアクセスを許可すること、１又は２以上の前記システムリソース（１０１）へのアクセスを拒否すること、又はアクセス後に自動的に削除されること、からなるグループから選択された少なくとも１つの特性を含むことを特徴とする請求項１に記載の方法。
5. 前記許可時間期間（４０６）内では、前記ユーザーオブジェクト（１０７）によるリソース使用可能を指示し、前記時間期間外では、前記ユーザーオブジェクト（１０７）によるリソース使用禁止を指示するステップをさらに含むことを特徴とする請求項１に記載の方法。
6. 前記ユーザーオブジェクトは、コンピューティングデバイス（１０４）に結合されたアドミニストレーターコンピューター（１０２）を使用してアドミニストレーターインターフェース（１１８）を通して作成されることを特徴とする請求項１に記載の方法。
7. アプリケーションプログラム（２０８）を使用して前記システムリソースを使用可能又は使用禁止にし、前記アプリケーションプログラム（２０８）を使用して前記ユーザーオブジェクトにアクセスして、前記システムリソース（１０１）を使用可能にするか、使用禁止にするかを判断するステップをさらに含むことを特徴とする請求項１に記載の方法。
8. アクセスを監視する前記アプリケーションプログラム（２０８）は、他のアプリケーションがコンピューティングデバイス（１０４）によって同時に実行されている間に前記コンピューティングデバイス（１０４）によって実行されることを特徴とする請求項７に記載の方法。
9. コンピューター実行可能命令を含む１又は２以上のコンピューター可読媒体であって、前記コンピューター実行可能命令は、プロセッサーによって実行されたとき、
   ユーザーオブジェクト（１０７）に関連するクライアントデバイス（１０８、１１０、１１２、１１４）のユーザーがシステムリソース（１０１）にアクセスできる許可時間期間を指定している前記ユーザーオブジェクト（１０７）を作成し、前記システムリソース（１０１）は、ユーザーアカウント、ネットワークアクセス可能シェア及びホストレベルサービスを含むシステムリソース（１０１）のグループから選択されることと、
   前記ユーザーオブジェクト（１０７）をメモリ（２０４）に格納することと、
   前記クライアントデバイス（１０８）による前記システムリソース（１０１）へのアクセス要求を受信することと、
   前記アクセス要求に応答して、前記ユーザーオブジェクト（１０７）を前記メモリ（２０４）から読み取り、前記クライアントデバイス（１０８、１１０、１１２、１１４）のユーザーがいつ前記システムリソース（１０１）にアクセスできるかを判断することと、
   前記クライアントデバイス（１０８、１１０、１１２、１１４）のユーザーが許可時間期間（４０６）内だけ前記システムリソース（１０１）にアクセスすることを許可する指示を生成することと
   を含むアクトを実行することを特徴とするコンピューター可読媒体。
10. 前記ユーザーオブジェクト（１０７）は、アドミニストレーターインターフェース（１１８）を通して作成され、前記アクセス要求は、ネットワーク（１１２）に結合されたコンピューティングデバイス（１０４）によって受信されることを特徴とする請求項９に記載のコンピューター可読媒体。
11. 前記ユーザーオブジェクト（１０７）は、持続性メモリ（２０４）内のデータベース（１０６）に格納され、前記メモリ（２０４）は、サーバー（１０４）内に置かれていることを特徴とする請求項９に記載のコンピューター可読媒体。
12. 前記ユーザーオブジェクト（１０７）は、許可時間期間（４０６）の開始直前に即時に作成されること、１又は２以上の前記システムリソース（１０１）へのアクセスを許可すること、１又は２以上の前記システムリソース（１０１）へのアクセスを拒否すること、又はアクセス後に自動的に削除されることからなるグループから選択された少なくとも１つの特性を含むことを特徴とする請求項９に記載のコンピューター可読媒体。
13. 許可時間期間（４０６）の間では、前記オブジェクト（１０７）を使用可能にし、許可時間期間（４０６）外では、前記オブジェクト（１０７）を使用禁止にすることを、さらに含むことを特徴とする請求項９に記載のコンピューター可読媒体。
14. 前記オブジェクト（１０７）が使用禁止にされたとき、アプリケーションプログラムの使用を禁止することを、さらに含むことを特徴とする請求項９に記載のコンピューター可読媒体。
15. 前記アプリケーションプログラム（２０８）を使用して前記システムリソース（１０１）を使用可能又は使用禁止にし、前記アプリケーションプログラム（２０８）を使用して前記ユーザーオブジェクトにアクセスして前記システムリソース（１０１）を使用可能にするか、使用禁止にするかを判断することをさらに含むことを特徴とする請求項１４に記載のコンピューター可読媒体。
16. アクセスを監視する前記アプリケーションプログラム（２０８）は、他のアプリケーションがコンピューティングデバイス（１０４）によって同時に実行されている間に前記コンピューティングデバイス（１０４）によって実行されることを特徴とする請求項１５に記載のコンピューター可読媒体。
17. ユーザーオブジェクト（１０７）に関連するクライアントコンピューター（１０８、１１０、１１２、１１４）がシステムリソース（１０１）にアクセス可能であるときの許可時間期間（４０８）を指定している前記ユーザーオブジェクト（１０７）をアドミニストレーターインターフェース（１１８）を通して作成するオブジェクト作成モジュール（２１０）と、
    前記ユーザーオブジェクト（１０７）を読み取り、前記クライアントコンピューター（１０８、１１０、１１２、１１４）がいつ前記システムリソース（１０１）にアクセス可能であるかを判断する読み取りモジュール（２１４）と、
    指定された許可時間期間内にだけ前記クライアントコンピューター（１０８、１１０、１１２、１１４）が前記システムリソース（１０１）にアクセスすることを許可する指示を与える使用可能モジュール（２１６）と
    を備えたことを特徴とする装置。
18. 前記システムリソース（１０１）は、ネットワークシェア、ホストレベルサービス又はユーザーアカウントを含むことを特徴とする請求項１７に記載の装置。
19. 前記システムリソース（１０１）はアプリケーションプログラムを含み、前記使用可能モジュール（２１６）は、前記許可時間期間（４０８）外では、前記アプリケーションプログラムの使用を拒否する指示を与えることを特徴とする請求項１８に記載の装置。
20. 前記ユーザーオブジェクト（１０７）にアクセスして、前記システムリソース（１０１）を使用可能にするか、使用禁止にするかを判断するアプリケーションモジュール（２１８）を、さらに備えたことを特徴とする請求項１７に記載の装置。

Images