JP2011013982A - 認証システム、認証情報提供装置、利用権限制御装置、認証方法、及びプログラム - Google Patents

Abstract

【課題】組織やグループの統合や分割が発生した場合のシステム管理者の作業負担を軽減する。
【解決手段】利用者の認証情報に基づいて、利用者の情報資産の利用権限を判定するファイル管理装置２０と、ファイル管理装置２０に、利用者の認証情報を提供する認証情報提供装置１０とを備え、認証情報提供装置１０は、ファイル管理装置２０に、利用者が現在所属する組織の情報と、組織の統合及び分割の少なくとも一方の履歴情報を提供し、ファイル管理装置２０は、提供された情報に基づいて、利用者の利用権限の有無を判定する。
【選択図】図１

Description

本発明は、利用者の認証を行う認証システム、認証情報提供装置、利用権限制御装置、認証方法、及びプログラムに関する。

ユーザＩＤやパスワード等のユーザ情報と、ユーザが所属する組織やグループの情報を一元管理して、社内ネットワークなどへのアクセス権限の制御に利用する認証システムが知られている（例えば、特許文献１）。このような認証システムでは、一般的に組織やグループ単位でアクセス権限の付与を行っている。組織やグループ単位でアクセス権限を付与することにより、人事異動によりユーザが他のグループに異動した場合、そのユーザの所属グループの情報のみを変更すれば、アクセス権限の変更も反映されるため、管理が容易である。

特開２００５−１４１６１２号公報

しかし、人事異動によって組織やグループの統合や分割が発生し、その結果、元々存在していた組織やグループが存在しなくなった場合、元々存在した組織やグループに対して付与されていたアクセス権限は無効となってしまう。このため、システム管理者が該当するシステムやファイルに対するアクセス権限を、統合・分割後の組織やグループに対して付与するよう変更する必要があった。このため、人事異動によって組織やグループの統合や分割が発生した場合のシステム管理者の作業負担が大きくなっていた。

そこで本発明の目的は、組織やグループの統合や分割が発生した場合のシステム管理者の作業負担を軽減することである。

本発明に係る認証システムは、利用者の認証情報に基づいて、利用者の情報資産の利用権限を判定する利用権限制御装置と、利用権限制御装置に、利用者の認証情報を提供する認証情報提供装置と、を備えた認証システムであって、認証情報提供装置は、利用権限制御装置に、利用者が現在所属する組織の情報と、組織の統合及び分割の少なくとも一方の履歴情報を提供し、利用権限制御装置は、提供された情報に基づいて、利用者の利用権限の有無を判定するものである。

本発明によれば、組織やグループの統合や分割が発生した場合にも、アクセス権限を、統合・分割後の組織やグループに対して付与するよう変更する必要が無いので、システム管理者の作業負担を軽減することができる。

本発明による認証システムの構成を示すブロック図である。 本実施形態による認証情報提供装置の機能構成を示すブロック図である。 本実施形態によるファイル管理装置の機能構成を示すブロック図である。 本実施形態によるユーザ情報テーブルの例である。 本実施形態による人事異動履歴情報テーブルの例である。 本実施形態によるファイル管理装置におけるアクセス権限判定処理のフローチャートである。

次に、本発明を実施するための最良の形態について、図面を参照して詳細に説明する。
図１は、本発明による認証システムの構成を示すブロック図である。図に示すように、認証システムは、認証情報提供装置１０、ファイル管理装置（利用権限制御装置）２０、クライアント端末３０を備えている。認証情報提供装置１０とファイル管理装置２０は、通信回線を介して接続されている。また、クライアント端末３０は、通信回線を介してファイル管理装置２０と接続されている。

図２は、認証情報提供装置１０の機能構成を示すブロック図である。図に示すように、認証情報提供装置１０は、記憶部（第１の記憶部、第２の記憶部）１０１、認証要求受信部１０２、認証情報提供部１０３を備えている。認証情報提供装置１０は、例えば汎用的なパーソナルコンピュータに所定のプログラムを実行させたものである。認証要求受信部１０２、認証情報提供部１０３は、プログラムに従ってコンピュータのプロセッサが行う動作のモジュールを表しており、これらは一体として認証情報提供装置１０のプロセッサを構成する。記憶部１０１は、ハードディスク等の記憶装置である。

記憶部１０１には、図４Ａに示すような、ユーザ情報テーブルと、図４Ｂに示すような人事異動履歴情報テーブルが記憶されている。ユーザ情報テーブルには、ユーザＩＤ、ユーザ名及びパスワードの他、ユーザが現在所属する組織やグループのＩＤ、名称等の情報が含まれている。人事異動履歴情報テーブルには、各々の組織やグループの統合や分割の履歴情報が含まれている。

図３は、ファイル管理装置２０の機能構成を示すブロック図である。図に示すように、ファイル管理装置２０は、記憶部（第３の記憶部）２０１、アクセス権限制御部（利用権限判定部）２０２、データ管理部２０３、認証制御部２０４、データ入出力制御部２０５を備えている。ファイル管理装置２０は、例えば汎用的なパーソナルコンピュータに所定のプログラムを実行させたものである。アクセス権限制御部２０２、データ管理部２０３、認証制御部２０４、データ入出力制御部２０５は、プログラムに従ってコンピュータのプロセッサが行う動作のモジュールを表しており、これらは一体としてファイル管理装置２０のプロセッサを構成する。記憶部２０１は、ハードディスク等の記憶装置である。

記憶部２０１には、ファイル管理装置２０で管理する文書ファイル等の情報資産の他、個々の情報資産に対するアクセス権限の情報が記憶されている。アクセス権限は、組織やグループ単位で付与されている。例えば、ファイルＡへのアクセス権限が、組織ＯＦＣ０１に対して与えられていれば、組織ＯＦＣ０１に所属する全てのユーザがファイルＡにアクセスすることができる。

クライアント端末３０は、例えば汎用的なパーソナルコンピュータであり、通信回線を介してファイル管理装置２０へ各種の操作要求を送信し、ファイル管理装置２０から操作要求に対する結果情報を受信することが可能に構成されている。

次に、本実施形態による認証システムの動作について説明する。
まず、ユーザは、クライアント端末３０から通信回線を介してファイル管理装置２０にユーザＩＤとパスワードを送信し、ログイン操作を行う。ファイル管理装置２０は、クライアント端末３０からユーザＩＤとパスワードを受信すると、認証制御部２０４から認証情報提供装置１０に、入力されたユーザＩＤとパスワードを送信する。認証情報提供装置１０では認証チェックが行われる。認証に成功した場合には、ユーザ情報テーブルに記憶された、当該ユーザの現在の所属組織及びグループの情報と、人事異動履歴情報テーブルに記憶された、当該組織及びグループについての統合及び分割の履歴情報をファイル管理装置２０に送信する。ファイル管理装置２０は、送信された情報に基づいて、ユーザの操作対象ファイルに対するアクセス権限の有無を判定する。

図５は、ファイル管理装置２０におけるアクセス権限判定処理のフローチャートである。
まず、ステップＳ５０１で、認証制御部２０４において、ログインしたユーザが管理者であるか否かを判定する。ユーザが管理者の場合（ＹＥＳ）、ステップＳ５０５へ移行する。ステップＳ５０５では、データ管理部２０３に対し、アクセス権限有りの結果を通知する。ユーザが管理者でない場合（ＮＯ）、ステップＳ５０２へ移行する。

ステップＳ５０２では、アクセス権限制御部２０２が認証情報提供装置１０から受信したユーザの現在の所属組織及びグループの情報に基づいて、ユーザにアクセス権限があるか否かを判定する。すなわち、ユーザの所属する組織またはグループが、操作対象ファイルへのアクセス権限が付与された組織またはグループと一致する場合には、アクセス権限有りと判定し、一致しない場合にはアクセス権限無しと判定する。アクセス権限有りの場合（ＹＥＳ）、ステップＳ５０５へ移行し、データ管理部２０３に対し、アクセス権限有りの結果を通知する。アクセス権限無しの場合（ＮＯ）ステップＳ５０３へ移行する。

ステップＳ５０３では、アクセス権限制御部２０２が認証情報提供装置１０から受信したユーザの現在の所属組織及びグループについての統合及び分割の履歴情報に基づいて、ユーザにアクセス権限があるか否かを判定する。すなわち、履歴情報から、ユーザの所属する組織またはグループの、分割・統合以前の元の組織（グループ）のＩＤを取得し、元の組織またはグループが、操作対象ファイルへのアクセス権限が付与された組織またはグループと一致する場合には、アクセス権限有りと判定し、一致しない場合にはアクセス権限無しと判定する。アクセス権限有りの場合（ＹＥＳ）、ステップＳ５０４へ移行する。アクセス権限無しの場合（ＮＯ）ステップＳ５０６へ移行する。ステップＳ５０６では、データ管理部２０３に対し、アクセス権限無しの結果を通知する。

ステップＳ５０４では、操作対象ファイルに対するアクセス権限に、人事異動の発生後から一定期間の有効期限が設定されている場合、有効期限内か否かを判定する。有効期限内の場合（ＹＥＳ）、ステップＳ５０５へ移行し、データ管理部２０３に対し、アクセス権限有りの結果を通知する。有効期限内でない場合（ＮＯ）は、ステップＳ５０６へ移行し、データ管理部２０３に対し、アクセス権限無しの結果を通知する。

データ管理部２０３は、アクセス権限制御部２０２からアクセス権限有りと通知された場合には、データ入出力制御部２０５を介して、ユーザが操作対象ファイルへアクセスできるようにする。一方、アクセス権限無しと通知された場合には、データ入出力制御部２０５を介して、ユーザが操作対象ファイルを操作できないようにする。さらに、必要に応じてユーザのアクセス権限の範囲を限定するようにしてもよい。例えば、図５のステップＳ５０２において権限有りと判断された場合には、ファイルの読み取り及び書き込み操作に対する権限を与え、ステップＳ５０４において権限有りと判定された場合には、ファイルの読み取りのみを許可するようにしてもよい。

以上のように、本実施形態では、ユーザの現在の所属組織の情報に基づいてアクセス権限の判定を行うだけでなく、現在の所属組織についての統合や分割の履歴情報から、現在は存在しない元の組織の情報も利用してアクセス権限の判定を行う。このため、操作対象ファイルへのアクセス権限が、元の組織に対して付与されたままであっても、その組織に所属していたユーザは従来通りファイルへアクセスすることができる。

さらに、必要に応じて、人事異動に伴う統合／分割の対象となった組織、グループに所属していた利用者に対するアクセス権限の有効期間を人事異動の発生後から一定期間内に限定したり、権限の範囲を限定したりすることにより、システムの安全性をより向上させることができる。

例えば、ユーザＸは組織Ａに所属しており、組織Ａが組織Ｂと統合され組織Ｃとなった場合について説明する。組織Ａに対してアクセス権限が付与されているファイルＹにユーザＸがアクセスしようとした場合、認証情報提供装置１０からファイル管理装置２０に通知される情報が、現在の所属組織情報、すなわち組織Ｃのみの場合、ファイル管理装置２０のアクセス権限制御部２０２では、アクセス権限無しと判定されてしまう。

しかし、本実施形態では、現在の所属組織Ｃと併せて、組織Ｃの統合前の組織である組織Ａも通知される。この情報に基づいてアクセス権限判定が行われることにより、ユーザは、既に存在しない組織Ａに対するアクセス権限が付与された操作対象ファイルにアクセスすることが可能となる。

なお、本実施形態では、認証情報を利用して利用権限を制御する装置としてファイル管理装置２０を用いているが、情報資産の利用権限を制御する機能を有するものであれば、ファイル管理装置以外も適用することができる。

本発明による認証システムは、例えば、ワークフローシステムに適用することができる。ワークフローシステムにおいて、組織Ａに所属しているユーザが、起票の際、承認ルート上の最終承認者に現在の所属組織Ａの課長以上を設定して承認回覧を開始したとする。承認回覧中に人事異動が発生し、組織Ａが分割されて別組織（組織Ｂと組織Ｃ）となった場合、人事異動後の所属組織の情報のみで認証を行うと、起票したユーザは一旦承認回覧を中止し、起票しなおした上で承認ルートを再設定して、再度承認回覧を行う必要がある。しかし、本発明のように人事異動前の組織の情報も認証に用いるようにすれば、システム側で人事異動の履歴情報を元に自動的に所属組織Ｂと所属組織Ｃの課長以上も最終承認者となることができると判断するので、承認ルートの再設定を行う必要がない。

１０ 認証情報提供装置、２０ ファイル管理装置、３０ クライアント端末、１０１ 記憶部、１０２ 認証要求受信部、１０３ 認証情報提供部、２０１ 記憶部、２０２ アクセス権限制御部、２０３ データ管理部、２０４ 認証制御部、２０５ データ入出力制御部

Claims (8)

1. 利用者の認証情報に基づいて、前記利用者の情報資産の利用権限を判定する利用権限制御装置と、
   前記利用権限制御装置に、前記利用者の認証情報を提供する認証情報提供装置と、を備えた認証システムであって、
   前記認証情報提供装置は、前記利用権限制御装置に、前記利用者が現在所属する組織の情報と、前記組織の統合及び分割の少なくとも一方の履歴情報と、を前記認証情報として提供する、認証システム。
2. 請求項１に記載の認証システムにおいて、
   前記利用権限制御装置は、前記利用者が現在所属する組織の情報に基づいて前記利用者に前記情報資産の利用権限が有ると判定された場合、または、前記履歴情報から得られる前記組織の過去の情報に基づいて前記利用者に利用権限が有ると判定された場合には、前記利用者に前記情報資産の利用権限が有ると判定する、認証システム。
3. 請求項２に記載の認証システムにおいて、
   前記利用権限制御装置は、前記履歴情報から得られる前記組織の過去の情報に基づいて前記利用者の利用権限の有無を判定する場合には、利用権限を有りとする期間及び権限の範囲の少なくとも一方を限定することが可能な認証システム。
4. 利用者が現在所属する組織の情報を記憶する第１の記憶部と、
   前記組織の統合や分割の少なくとも一方の履歴情報を記憶する第２の記憶部と、
   前記利用者の認証情報要求を受信する認証要求受信部と、
   前記認証情報要求に対し、前記利用者が現在所属する組織の情報と、前記組織の統合及び分割の少なくとも一方の履歴情報を提供する認証情報提供部と、を備えた認証情報提供装置。
5. 情報資産に対する利用者毎の利用権限を記憶する第３の記憶部と、
   前記利用者が現在所属する組織の情報と、前記組織の統合及び分割の少なくとも一方の履歴情報とに基づいて、前記情報資産に対する前記利用者の利用権限を判定する利用権限判定部と、を備えた利用権限制御装置。
6. 利用権限制御装置から認証情報提供装置に、利用者の認証情報要求を送信する工程と、
   前記認証情報要求に対し、前記認証情報提供装置から前記利用権限制御装置に、前記利用者が現在所属する組織の情報と、前記組織の統合及び分割の少なくとも一方を送信する工程と、
   前記利用権限制御装置が、前記認証情報提供装置から送信された情報に基づいて、前記利用者の情報資産の利用権限の有無を判定する工程と、を備えた認証方法。
7. コンピュータを、
   利用者の認証情報要求を受信する認証要求受信部と、
   前記認証情報要求に対し、前記利用者が現在所属する組織の情報と、前記組織の統合及び分割の少なくとも一方の履歴情報を提供する認証情報提供部、として機能させるプログラム。
8. コンピュータを、
   利用者が現在所属する組織の情報と、前記組織の統合及び分割の少なくとも一方の履歴情報に基づいて、情報資産に対する前記利用者の利用権限を判定する利用権限判定部、として機能させるプログラム。

Images