JP2011197903A - アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法 - Google Patents

アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法 Download PDF

Info

Publication number
JP2011197903A
JP2011197903A JP2010062697A JP2010062697A JP2011197903A JP 2011197903 A JP2011197903 A JP 2011197903A JP 2010062697 A JP2010062697 A JP 2010062697A JP 2010062697 A JP2010062697 A JP 2010062697A JP 2011197903 A JP2011197903 A JP 2011197903A
Authority
JP
Japan
Prior art keywords
access control
distribution
control information
policy
distribution destination
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2010062697A
Other languages
English (en)
Inventor
Tatsuji Shimoe
達二 下江
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2010062697A priority Critical patent/JP2011197903A/ja
Priority to US13/045,653 priority patent/US20110231900A1/en
Publication of JP2011197903A publication Critical patent/JP2011197903A/ja
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Automation & Control Theory (AREA)
  • Storage Device Security (AREA)

Abstract

【課題】複雑な条件を用いたオブジェクトへのアクセス制御を実現すると共に、アクセス制御にかかる負荷を削減する。
【解決手段】情報処理装置上のオブジェクトと、該オブジェクトにアクセス可能な条件とが記述されたアクセス制御ポリシーにおいて記述された条件、及び、オブジェクトの属性のいずれか１つ以上に基づいて、アクセス制御ポリシーの配布先となる装置を決定する配布先決定部６１３と、配布先決定部６１３によって決定された配布先の装置にアクセス制御ポリシーを配布するポリシー配布部６１４と、を備える。
【選択図】図３

Description

本件は、アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法に関する。
あるサーバにユーザがログインした場合、サーバ上のオブジェクト（ファイル、プログラム、ソフトウェア及びシステム等のリソースや、Ｗｅｂサービス等）に対してユーザが実行できる処理を制御する（アクセス制御）様々な方法が提案されている。例えば、ＲＢＡＣ（Role Based Access Control）といわれる、職位、資格、組織に応じたロールとアクセス可能なオブジェクトとを対応付ける方式や、ＡＣＬ（Access Control List）といわれる、ユーザまたはグループ毎にアクセスできるオブジェクトを対応付ける方法がある。ＲＢＡＣは、Ｗｅｂ ＳＳＯ（Single Sign On：シングルサインオン）システム等の上位ミドルウェアで採用されており、ＡＣＬは、ＯＳ（Operating System）等で採用されている。
例えば、ＲＢＡＣでは、Ｘシステムにおいて、ロールＸが割り当てられたユーザは全ての操作（例えば、追加、削除、閲覧）を実行でき、ロールＹが割り当てられたユーザは閲覧のみが可能であるというように、オブジェクトに対して実行できる処理とロールとを対応付けたアクセス制御が可能である。一方、ＡＣＬでは、Ｘシステムにおいて実行可能な処理を、ユーザ毎に設定する。
しかしながら、上述のアクセス制御方法では、オブジェクトとなるデータの属性や、認証方式の指定、運用ルールといった複数の条件による複雑なアクセス可否の判定が困難であった。ここで、データの属性とは、例えば、そのデータが機密情報であるのか、内部利用情報であるのか、外部に提供可能な情報であるのかといったデータに関する情報である。また、認証方式の指定とは、オブジェクトにアクセスする際に、ユーザＩＤとパスワードの入力だけで良いのか、生体認証を必要とするのかといったアクセス可否に利用する認証方式の情報を意味する。また、運用ルールとは、オブジェクトにアクセス可能な時間帯等、運用に関する条件を意味する。
そこで、近年、アクセス制御ポリシーを用いたアクセス制御方法が提案されている。アクセス制御ポリシーは、ＸＡＭＬ（eXtensible Application Markup Language）等を用いて、オブジェクトにアクセス可能な条件を、抽象化した記述で定義することができる。例えば、「社外秘情報は、生体認証とスマートカードによる認証を受けたユーザが、平日の９時〜１７時にアクセス可能」というように、データの属性、認証方式の指定、及び運用ルールを含めた条件を定義できる。
アクセス制御ポリシーに関しては、あるアクセス制御装置に適した複数のアクセス制御ポリシーで構成されるアクセス制御ポリシーセットを、他のアクセス制御装置に適したアクセス制御ポリシーセットに自動的に変換する方法が提案されている（例えば特許文献１）。
特開２００５−３３２０４９号公報
しかしながら、特許文献１に記載の技術では、アクセス制御ポリシーを用いたアクセス制御の処理速度や、アクセス制御にかかる負荷について、考慮されていないおそれがある。
本件は、上記の事情に鑑みて成されたものであり、複雑な条件を用いたオブジェクトへのアクセス制御を実現すると共に、アクセス制御にかかる負荷を削減することを目的とする。
上記課題を解決するために、明細書開示のアクセス制御情報配布装置は、情報処理装置上のオブジェクトと、該オブジェクトにアクセス可能な条件とが記述されたアクセス制御情報において記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定部と、前記配布先決定部によって決定された配布先の装置に前記アクセス制御情報を配布する配布部と、を備える。
上記課題を解決するために、明細書開示のアクセス制御情報配布プログラムは、情報処理装置上のオブジェクトと該オブジェクトにアクセス可能な条件とを記述するアクセス制御情報において記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定ステップと、前記配布先ステップで決定された配布先の装置に前記アクセス制御情報を配布する配布ステップと、をコンピュータに実行させる。
上記課題を解決するために、明細書開示のアクセス制御システムは、情報処理装置上のオブジェクトと該オブジェクトにアクセス可能な条件とが記述されたアクセス制御情報に基づいて、前記オブジェクトに対するアクセス可否の判定を、順番に実行する複数の装置と、前記アクセス制御情報を、前記複数の装置のうち１つ以上に配布するアクセス制御情報配布装置と、を備え、前記アクセス制御情報配布装置は、前記アクセス制御情報に記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定部と、 前記配布先決定部によって決定された配布先の装置に前記アクセス制御情報を配布する配布部と、を備える。
上記課題を解決するために、明細書開示のアクセス制御情報配布方法は、情報処理装置上のオブジェクトと該オブジェクトにアクセス可能な条件とを記述するアクセス制御情報において記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定ステップと、前記配布先ステップで決定された配布先の装置に前記アクセス制御情報を配布する配布ステップと、を有する。
明細書開示のアクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法によれば複雑な条件を用いたオブジェクトへのアクセス制御を実現されると共に、アクセス制御にかかる負荷が削減される。
本件のポリシー配布装置を含むアクセス制御システムの一例を示す図である。 ポリシー配布装置のハードウェア構成の一例を示す図である。 ポリシー配布装置の備える機能を実現する手段の一例を示す機能ブロック図である。 ポリシー配布装置が実行する処理の一例を示すフローチャートである。 セキュリティポリシーとアクセス制御ポリシーとの関係を示す概念図である。 セキュリティポリシーの一例を示す図である。 アクセス制御ポリシー管理テーブルの一例を示す図である。 配布先管理情報テーブル及び配布ポリシー管理テーブルについて説明する。 図９（Ａ）は、配布先管理テーブルの構造の一例を示す図であり、アクセス制御ポリシー毎の配布先を格納した配布先管理テーブルの一例である。 認可サーバで集中してアクセス可否の判定を実行するアクセス制御システムの構成の一例である。 アクセス制御ポリシーの配布先となる装置の種別を決定する処理の一例を示すフローチャートである。 アクセス制御ポリシーの配布先となる装置の種別を決定する処理の一例を示すフローチャートである。 アクセス制御ポリシーの配布先となる装置の種別を決定する処理の一例を示すフローチャートである。
以下、本件の実施形態について、添付図面を参照しつつ説明する。
図１を参照し、本件のポリシー配布装置（アクセス制御情報配布装置）を含むアクセス制御システムの構成について説明する。図１は、本件のポリシー配布装置を含むアクセス制御システムの構成の一例を示す図である。なお、図１において、セキュリティポリシー（アクセス制御方針）の管理（生成、検証、配布など）を行う装置にはＰＡＰ（Policy Administration Point）、アクセス制御ポリシー（アクセス制御情報）に基づくアクセス可否判定のみを行う装置にはＰＤＰ（Policy Decision Point）、実際のアクセス可否を制御する装置にはＰＥＰ（Policy Enforcement Point）と括弧書きを付した。また、ＰＤＰにおけるアクセス可否判定で必要となるユーザやオブジェクトのＩＤ及び属性情報等を提供する装置にはＰＩＰ（Policy Information Point）と括弧書きを付した。
アクセス制御システム１００は、クライアント端末１０、プロキシサーバ２０、業務サーバ３０、認可サーバ４０、属性情報リポジトリ５０、ポリシー配布装置６０、及びシステム管理端末７０を備える。
クライアント端末１０は、例えばパーソナルコンピュータであり、ユーザは、クライアント端末１０から業務サーバ３０上のオブジェクトにアクセスする。なお、ここでアクセスとは、単にオブジェクトに接続できるだけでなく、オブジェクトに対して特定の処理（閲覧、書き込み、読み込み、削除等）を実行することをも含む概念である。しかし、本実施例では、説明を簡単にするために、アクセスとは、オブジェクトを利用することをいうものとする。ユーザが業務サーバ３０上のオブジェクトへのアクセスを要求すると、クライアント端末１０は、信用情報発行装置（例えば、シングルサインオン管理システム）にクレデンシャルとよばれる信用情報の発行を要求し、取得する。クライアント端末１０は、業務サーバ３０へのアクセス要求と、取得したクレデンシャルをプロキシサーバ２０へ送信する。なお、図１では、ユーザがアクセスを要求する業務サーバ３０上のオブジェクトを、ターゲットオブジェクト(Target Object)２００と記載している。
プロキシサーバ２０は、クライアント端末１０から送信されたアクセス要求及びクレデンシャルを受信する。プロキシサーバ２０は、アクセス要求を受信すると、ターゲットオブジェクト２００に対するアクセス制御ポリシーが存在するか否か判定する。アクセス制御ポリシーは、プロキシサーバ２０が備えるメモリ等に記憶されている。アクセス制御ポリシーが存在する場合、プロキシサーバ２０は、アクセス制御ポリシーに基づいて、クライアント端末１０のユーザが、ターゲットオブジェクト２００にアクセス可能か否かを判定する。
プロキシサーバ２０は、クライアント端末１０のユーザがアクセス制御ポリシーに定義された条件を満たさない場合、ユーザのターゲットオブジェクト２００へのアクセスを拒否する。ユーザがアクセス制御ポリシーに定義されている条件を満たす場合には、アクセス要求及びクレデンシャルを、業務サーバ３０に送信する。また、プロキシサーバ２０は、ターゲットオブジェクト２００に対するアクセス制御ポリシーが存在しない場合にも、業務サーバ３０にアクセス要求及びクレデンシャルを送信する。
業務サーバ３０は、例えばサーバコンピュータであり、アクセス制御ポリシーに基づいてユーザのターゲットオブジェクト２００へのアクセス可否を判定するエージェントモジュール（図中は、エージェントと記載）を含む。
業務サーバ３０は、プロキシサーバ２０から、アクセス要求及びクレデンシャルを受信する。業務サーバ３０は、ターゲットオブジェクト２００に対するアクセス制御ポリシーが存在するか否か判定する。アクセス制御ポリシーが存在する場合、業務サーバ３０は、アクセス制御ポリシーに基づいて、エージェントモジュールによりユーザがターゲットオブジェクト２００にアクセス可能か否かを判定する。業務サーバ３０は、ユーザがアクセス制御ポリシーに定義された条件を満たさない場合、ユーザのターゲットオブジェクト２００へのアクセスを拒否する。
一方、ユーザがアクセス制御ポリシーに定義された条件を満たす場合、業務サーバ３０は、アクセス要求及びクレデンシャルを認可サーバ４０に送信する。また、アクセス制御ポリシーが存在しない場合にも、業務サーバ３０は、アクセス要求及びクレデンシャルを認可サーバ４０に送信する。業務サーバ３０は、認可サーバ４０が実行したユーザのアクセス可否判定の結果を取得する。業務サーバ３０は、認可サーバ４０から取得したアクセス可否判定の結果に基づいて、クライアント端末１０のターゲットオブジェクト２００へのアクセスを制御する。
認可サーバ４０は、業務サーバ３０から、アクセス要求及びクレデンシャルを受信する。認可サーバ４０は、ターゲットオブジェクト２００に関するアクセス制御ポリシーが存在するか否か判定する。アクセス制御ポリシーが存在している場合、認可サーバ４０は、アクセス制御ポリシーに基づいて、ユーザがターゲットオブジェクト２００にアクセス可能か否か判定する。その際、必要に応じて、クレデンシャルに含まれる情報を使用して、属性情報リポジトリ５０から、ユーザの属性情報（例えば、年齢、所属部署等）を取得し、アクセス可否の判定に使用する。認可サーバ４０は、アクセス可否の判定結果を業務サーバ３０へ送信する。認可サーバ４０は、アクセス制御ポリシーが存在しない場合、アクセスを許可する信号を業務サーバ３０へ出力する。
このように、図１のアクセス制御システム１００では、プロキシサーバ２０、業務サーバ３０、及び認可サーバ４０が、順次、アクセス可否の判定を行う。
属性情報リポジトリ５０は、ユーザ及び業務サーバ３０上のオブジェクトのＩＤ及び属性情報等を格納する。
ポリシー配布装置６０は、システム管理端末７０から、アクセス制御ポリシーを生成する元となるセキュリティポリシー（詳細は後述する）等の入力を受付ける。ポリシー配布装置６０は、セキュリティポリシーからアクセス制御ポリシーを生成する。ポリシー配布装置６０は、プロキシサーバ２０、業務サーバ３０、及び認可サーバ４０のそれぞれに、適切なアクセス制御ポリシーを配布する。
システム管理端末７０は、セキュリティ管理者（例えば、ＣＳＯ(Chief Security Officer)、部門長、データオーナー）から、セキュリティポリシーの入力を受付ける。システム管理端末７０は、受付けたセキュリティポリシーを、ポリシー配布装置６０に出力する。
次に、ポリシー配布装置６０のハードウェア構成の一例について説明する。図２は、ポリシー配布装置６０のハードウェア構成の一例を示す図である。
ポリシー配布装置６０は、入出力部６０１、ＲＯＭ(Read Only Memory)６０２、中央処理装置（ＣＰＵ:Central Processing Unit）６０３、ＲＡＭ(Random Access Memory)６０４、及びハードディスクドライブ（ＨＤＤ：Hard Disk Drive）６０５を備える。
入出力部６０１は、プロキシサーバ２０、業務サーバ３０、及び認可サーバ４０にアクセス制御ポリシーを出力する。また、入出力部６０１は、システム管理端末７０からセキュリティポリシーの入力を受付ける。ＲＯＭ６０２は、後述するポリシー配布先の決定処理等を実行するためのプログラム等を格納する。ＣＰＵ６０３は、ＲＯＭ６０２に格納されたプログラムを読み込んで実行する。ＲＡＭ６０４は、プログラムを実行する際に使用される一時的なデータを保存する。また、ＲＯＭ６０２に格納されたプログラムのＣＰＵ６０３による演算によって、図３に示すポリシー作成部６１２、配布先決定部６１３、及びポリシーポリシー配布部６１４が有する機能が実行される。
ＨＤＤ６０５は、後述するアクセス制御ポリシー管理テーブル、配布先情報管理テーブル、配布ポリシー管理テーブル、及び配布先管理テーブルを格納する。
次に、ポリシー配布装置６０が有する機能を実現するための手段の一例について、図３の機能ブロック図及び図４のフローチャートを用いて説明する。図３は、ポリシー配布装置６０が有する機能を実現するための手段の一例を示す機能ブロック図であり、図４は、ポリシー配布装置６０が実行する処理の一例を表すフローチャートである。なお、以下では、図３の機能ブロック図において、各ブロックが実行する処理の概要を、図４のフローチャートにおける処理と対応させながら説明する。
図３に示すように、ポリシー配布装置６０は、格納部６１１、ポリシー作成部（作成部）６１２、配布先決定部６１３、及びポリシー配布部（配布部）６１４を備える。
格納部６１１は、システム管理端末７０から入力されるセキュリティポリシー、配布ポリシー管理テーブル、配布先情報管理テーブル、及びアクセス制御ポリシー管理テーブルを格納する。
ポリシー作成部６１２は、格納部６１１からセキュリティポリシーを取得し、アクセス制御ポリシーを作成する（図４：ステップＳ１１０）。ポリシー作成部６１２は、作成したアクセス制御ポリシーを、格納部６１１に格納されたアクセス制御ポリシー管理テーブルへ保存する。
ここで、上述の、セキュリティポリシー、アクセス制御ポリシー管理テーブル、配布先情報管理テーブル及び、配布ポリシー管理テーブルについて説明する。
まず、図５及び図６を参照して、セキュリティポリシー及びアクセス制御ポリシー管理テーブルについて説明する。図５は、セキュリティポリシーとアクセス制御ポリシーとの関係を示す概念図である。また、図６は、セキュリティポリシーの一例を示す図である。
図５において、ＣＳＯ（Chief Security Officer）であるユーザＵ１は、システム管理端末７０を介して、ポリシー配布装置６０に、全社レベルで適用されるセキュリティポリシーＡを入力する。例えば、図６（Ａ）に示すように、ユーザＵ１は、「社外秘密情報であるＸファイルは、レベル５のクレデンシャルのみアクセス可能」というセキュリティポリシーＡを設定する。
なお、認証レベルは、図６（Ｃ）に示すように定義できる。図６（Ｃ）は、認証レベルと、その認証レベルが必要とするクレデンシャルの一例を示す図である。図６（Ｃ）では、レベル１〜レベル５までの認証レベルが定義されており、レベル５は、生体認証、ＰＫＩ（Public Key Infrastructure）及びスマートカードによる三要素の認証を必要とする。
図５において、ある部門の業務管理者であるユーザＵ２は、システム管理端末７０を介して、ポリシー配布装置６０に、部門レベルで適用されるセキュリティポリシーＢを入力する。例えば、図６（Ａ）に示すように、ユーザＵ２は、「社外秘密情報は、９時〜１７時の運用時間中にのみアクセス可能」というセキュリティポリシーＢを設定する。
また、図５において、データオーナーであるユーザＵ３は、システム管理端末７０を介して、ポリシー配布装置６０に、セキュリティポリシーＣを入力する。例えば、ユーザＵ３がＸファイルのデータオーナーである場合、図６（Ａ）に示すように、「財務ファイルには、ロールＸ及びロールＹが割り当てられたユーザのみアクセス可能」というセキュリティポリシーＣを入力する。
ポリシー作成部６１２は、共通するオブジェクトに対するセキュリティポリシーを統合して、アクセス制御ポリシーを作成する。例えば、上述したセキュリティポリシーＡ〜Ｃは、共通のオブジェクト（Ｘファイル）を対象としている。セキュリティポリシーＢは、社外秘密情報に関するものであるが、ＸファイルはセキュリティポリシーＡに記述されているように社外秘密情報であるため、同一のオブジェクトとみなすことができる。
ポリシー作成部６１２は、セキュリティポリシーＡ〜Ｃに基づいて、「Ｘファイルには、ロールＸ及びロールＹが割り当てられたユーザが、９時〜１７時の間で、レベル５のクレデンシャルを使用する場合のみアクセス可能」というアクセス制御ポリシーを作成する。ポリシー作成部６１２は、作成したアクセス制御ポリシーを、アクセス制御ポリシー管理テーブルに保存する。
なお、上記の説明では、ＣＳＯ、部門の業務管理者、及びデータオーナーという管理階層別にセキュリティポリシーを定義した。しかし、セキュリティポリシーを、図６（Ｂ）に示すように、データの種別毎に定義しても良い。例えば、データ種別が、最高機密情報、社外秘密情報、及び社内公開情報の３種類である場合、各データ種別に対して図６（Ｂ）に示すようなセキュリティポリシーＤ〜Ｆをそれぞれ定義できる。
ここで、図６（Ａ）及び図６（Ｂ）に示すセキュリティポリシーＡ〜Ｆに基づいて、ポリシー作成部６１２がアクセス制御ポリシーを作成する場合について説明する。この場合、セキュリティポリシーＡ〜Ｆのうち、セキュリティポリシーＡ、Ｂ、Ｃ及びＥにおいて、Ｘファイルがオブジェクトとして共通する。しかしながら、セキュリティポリシーＡでは、「社外秘密情報であるＸファイルにアクセスするには、レベル５のクレデンシャルが必要」とされているのに対し、セキュリティポリシーＥでは、「社外秘密情報はレベル２のクレデンシャルであればアクセス可能」であると定義されている。このように矛盾するセキュリティポリシーＡ及びセキュリティポリシーＥが存在する場合、ポリシー作成部６１２は、システム管理者が予め定めた規則に従って、アクセス制御ポリシーを作成する。例えば、「認証レベルにおいて矛盾が生じている場合には、認証レベルが高い方をアクセス制御ポリシーに採用する」という規則が定められている場合、ポリシー作成部６１２は、この規則に従って、アクセス制御ポリシーを作成する。その結果、セキュリティポリシーＡ〜Ｆに基づいて作成されるＸファイルに対するアクセス制御ポリシーは、「Ｘファイルには、ロールＸ及びロールＹが割り当てられたユーザが、９時〜１７時の間で、レベル５のクレデンシャルを使用する場合のみアクセス可能」となる。
次に、アクセス制御ポリシー管理テーブルについて説明する。図７は、アクセス制御ポリシー管理テーブルの一例を示す図である。アクセス制御ポリシー管理テーブルは、アクセス制御ポリシー識別子、データ名、データの分類・公開範囲、データオーナーのユーザＩＤ（ＵＩＤ）、アクセス可能な時間帯、アクセス可能なアドレスの範囲、アクセス可能な認証レベル、アクセス可能なユーザ年齢、アクセス可能な組織の範囲、アクセス可能なロール、及びアクセス可能なユーザの役職を項目として有する。
アクセス制御ポリシー識別子は、複数のアクセス制御ポリシーからある１つのアクセス制御ポリシーを識別するための識別子であり、例えば４バイトの英数字で定義できる。図７では、識別子として「００１Ａ」〜「００３Ａ」までの識別子が入力されている。
データ名、データの分類・公開範囲、及びデータオーナーのＵＩＤは、オブジェクトに関する情報である。データ名は、アクセス対象となるオブジェクトの名前であり、システム名、ファイル名、及びＵＲＬ／ＵＲＩ等が設定される。図７では、「Ｘファイル」、「Ａシステム」、及び「酒類販売サイト」がデータ名として定義されている。データの分類・公開範囲は、上述のデータ名に設定したオブジェクトが、最高機密情報なのか、あるいは、一般に公開される一般公開情報なのか等の種別を定義する。図７の例では、Ｘファイルは最高機密情報であり、Ａシステムは特に公開範囲が設定されておらず、酒類販売サイトは一般公開情報となっている。データオーナーのＵＩＤは、上述のオブジェクトを管理しているユーザのＩＤを表す。
「アクセス可能な時間帯」、及び「アクセス可能なアドレスの範囲」は、アクセス可否の判定に用いる条件のうち、運用ルールに関するものである。アクセス可能な時間帯は、データ名に設定されたオブジェクトにアクセス可能な時間帯が定義される。図７の例では、Ｘファイルは、９時〜１５時までの間でアクセス可能であり、Ａシステムは９時〜１７時３０分の間でアクセス可能であり、酒類販売サイトには特にアクセス可能な時間帯に関する制限は設けられていない。アクセス可能なアドレスの範囲は、データ名に設定されたオブジェクトにアクセス可能なＩＰアドレスの範囲や、社外からのアクセスを認めるか否か等が定義される。
「アクセス可能な認証レベル」は、アクセス可否の判定に用いる条件のうち、認証レベルに関するものである。アクセス可能な認証レベルは、データ名に設定されたオブジェクトにアクセスする際に必要なクレデンシャルのレベルが設定される。例えば、図７では、Ｘファイルにアクセスするためには、レベル５のクレデンシャルが必要であり、酒類販売サイトにアクセスするためには、レベル１（ユーザＩＤとパスワードの入力のみの入力）以上のクレデンシャルであれば良いと設定されている。
「アクセス可能なユーザ年齢」は、アクセス可否の判定に用いる条件のうち、動的属性に関するものである。動的属性に関する条件は、時間の経過に伴って変化するユーザの属性情報や、オブジェクトの属性情報に関するものである。図７の例では、ユーザの年齢は、時間の経過に伴って変化するユーザの属性情報であるので、動的属性に関する条件に分類されている。図７では、酒類販売サイトにアクセス可能なユーザ年齢を、２０歳以上としている。
「アクセス可能な組織の範囲」、「アクセス可能なロール」、及び「アクセス可能なユーザの役職」は、アクセス可否の判定に用いる条件のうち、静的属性に関するものである。静的属性に関する条件は、比較的変更が少ない情報を利用する条件である。例えば、ユーザが所属する組織や、ユーザに割り当てられるロール、及びユーザの役職等は、比較的変更が少ないため、静的属性に関する条件に分類されている。図７の例では、Ｘファイルにアクセス可能なユーザは、ロールＸ及びＹが割り当てられ、かつ、執行役員、あるいは、経理部幹部社員であること必要であると定義されている。
次に、図８を参照して、配布先情報管理テーブル及び配布ポリシー管理テーブルについて説明する。
図８（Ａ）は、配布先情報管理テーブルの一例を示す図である。配布先情報管理テーブルは、装置ＩＤ、ＰＥＰの属する組織又はドメイン、ＰＥＰの存在するＩＰアドレス、ＰＥＰの種別、ＰＥＰが保護しているデータのレベル、ＰＤＰの属する組織又はドメイン、ＰＤＰの存在するＩＰアドレス、Ｐｏｒｔ番号、及びＰＤＰのレベルを項目として有する。
「装置ＩＤ」は、アクセス制御ポリシーを配布する対象である複数の装置から、ある１つの装置を識別するための識別子である。図８（Ａ）の例では、「装置ＩＤ」が１００、１１０、及び２００の装置が登録されている。
「装置ＩＤ」以降の項目は、装置に関する情報を表す。ここで、装置がＰＥＰである場合には、「ＰＥＰの属する組織又はドメイン」〜「ＰＥＰが保護するデータのレベル」までの項目に値が設定される。また、装置がＰＤＰである場合には、「ＰＤＰの属する組織又はドメイン」〜「ＰＤＰのレベルまでの項目」に値が設定される。
「ＰＥＰの属する組織又はドメイン」は、装置ＩＤが表す装置がＰＥＰである場合、その装置が属する組織又はドメインを表す値が設定される。「ＰＥＰの存在するＩＰアドレス」は、装置のＩＰアドレスを表す。「ＰＥＰの種別」は、その装置の種別、例えば、エージェントモジュールを含む業務サーバなのか、プロキシサーバなのか等を表す。また、「ＰＥＰが保護しているデータのレベル」は、装置が保護しているデータの重要性を示す。データのレベルは、例えば、前述したように、最高機密情報、社外秘密情報、及び一般公開情報等と定義することができる。
図８（Ａ）の例では、ＰＥＰとして、Ｘ部門に属するプロキシサーバであり、そのＩＰアドレスが「１００．１００．Ｙ．ＹＹＹ」である装置ＩＤ１００の装置が登録されている。また、Ｘ部門に属する業務サーバであり、そのＩＰアドレスが「１００．１００．Ａ．ＡＡＡ」であり、また、社外秘密情報を保護している装置ＩＤ１１０の装置が登録されている。
「ＰＤＰの属する組織又はドメイン」は、装置ＩＤが表す装置がＰＤＰである場合に、その装置が属する組織又はドメインを表す値が設定される。「ＰＤＰの存在するＩＰアドレス」は、その装置のＩＰアドレスを表す。「Ｐｏｒｔ番号」は、その装置のポート番号を表す。「ＰＤＰのレベル」は、装置を利用可能なレベル、例えば、その装置を全社レベルで利用できるのか、それとも、部門レベルで利用できるのかを表す。
図８（Ａ）では、ＰＤＰとして、全社に属し、全社レベルで利用可能なＰＤＰであり、そのＩＰアドレスが「１００．１００．Ｘ．ＸＸＸ」で、かつ、Ｐｏｒｔ番号が「１００」である装置ＩＤ２００の装置が登録されている。
図８（Ｂ）は、配布ポリシー管理テーブルの一例を示す図である。配布ポリシー管理テーブルは、アクセス制御ポリシーの配布先となる装置の種別を定義するテーブルである。配布ポリシー管理テーブルは、アクセス可否の判定に利用する判定条件に関する情報と、ターゲットオブジェクに関する情報とによって、配布先となる装置の種別を定義する。判定条件に関する情報では、アクセス制御ポリシーにおいて、アクセス可否の判定条件に運用ルールを利用する場合の配布先、認証レベルを利用する場合の配布先、動的属性を利用する場合の配布先、静的属性を利用する場合の配布先が定義される。
図８（Ｂ）の例では、アクセス可否の判定に運用ルールを利用する場合には、装置の種別がプロキシサーバである装置にのみアクセス制御ポリシーを配布すると定義されている。また、アクセス可否の判定に認証レベルを利用する場合、装置の種別が業務サーバである装置と認可サーバである装置とにアクセス制御ポリシーを配布すると定義されている。アクセス可否の判定に動的属性を利用する場合、装置の種別がプロキシサーバである装置と認可サーバである装置とにアクセス制御ポリシーを配布すると定義されている。アクセス可否の判定に静的属性を利用する場合、装置の種別がプロキシサーバである装置と、認可サーバである装置とにアクセス制御ポリシーを配布すると定義されている。なお、アクセス可否の判定に、複数の条件が含まれる場合、各条件に対して定義された配布先が全て含まれるようにアクセス制御ポリシーの配布先を決定することができる。例えば、運用ルールと認証レベルとを利用してアクセス可否を判定する場合には、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである装置にアクセス制御ポリシーが配布される。
オブジェクトに関する情報では、オブジェクトの公開範囲が限定されている場合のアクセス制御ポリシーの配布先、及びオブジェクトが最高機密情報である場合のアクセス制御ポリシーの配布先が定義される。
図８（Ｂ）の例では、オブジェクトの公開範囲が限定されている場合には、アクセス制御ポリシーは、装置の種別がプロキシサーバである装置と、認可サーバである装置とに配布されると定義されている。また、オブジェクトが最高機密情報である場合には、アクセス制御ポリシーは、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである全ての装置に配布されると定義されている。
再び、図３に戻り、ポリシー配布装置６０の有する機能について説明する。
配布先決定部６１３は、格納部６１１からアクセス制御ポリシー管理テーブル、配布ポリシー管理テーブル、及び配布先情報管理テーブルを取得する。配布先決定部６１３は、アクセス制御ポリシー管理テーブルと、配布ポリシー管理テーブルとを用いて、アクセス制御ポリシー毎に配布先となる装置の種別を決定する（図４：ステップＳ１２０）。配布先決定部６１３は、決定した装置の種別に合致する装置を、配布先情報管理テーブルから抽出し（図４：ステップＳ１３０）、アクセス制御ポリシーと配布先となる装置とを関連付けた配布管理テーブルを作成する（図４：ステップＳ１４０）。配布先決定部６１３は、作成した配布先管理テーブルを、ポリシー配布部６１４に出力する。
ここで、アクセス制御ポリシー管理テーブル、配布ポリシー管理テーブル、及び配布先情報管理テーブルから、配布先管理テーブルを作成する処理について説明する。配布先決定部６１３は、格納部６１１から、アクセス制御ポリシー管理テーブル、配布先情報管理テーブル、及び配布ポリシー管理テーブルを取得する。
配布先決定部６１３は、アクセス制御ポリシー管理テーブルに格納されているアクセス制御ポリシー毎に、アクセス可否の判定に利用される条件をチェックする。また、配布先決定部６１３は、オブジェクトの公開範囲についてチェックする。次に、配布先決定部６１３は、チェックした条件及び公開範囲に合致する配布ポリシーを、配布ポリシー管理テーブルから取得する。
例えば、配布先決定部６１３は、図７に示すアクセス制御ポリシー管理テーブルにおいて、アクセス制御ポリシー識別子「００１Ａ」のオブジェクト「Ｘファイル」のアクセス可否の判定に利用される条件及び公開範囲についてチェックする。アクセス制御ポリシー識別子「００１Ａ」のオブジェクト「Ｘファイル」は、アクセス可否の判定に、運用ルール、認証レベル、及び静的属性に関する情報を利用する。また、Ｘファイルは、最高機密情報である。そこで配布先決定部６１３は、図８（Ｂ）の配布ポリシー管理テーブルから、各条件及び公開範囲に対して定義された配布先となる装置の種別を取得する。配布先決定部６１３は、取得した配布先となる装置の種別を全て含むように、配布先を決定する。すなわち、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである装置を配布先として決定する。
また、図７の識別子「００２Ａ」のアクセス制御ポリシーは、運用ルールのみをアクセス可否の判定に用い、公開範囲は限定されていない。従って、配布先決定部６１３は、図８（Ｂ）の配布ポリシー管理テーブルの情報に基づいて、装置の種別がプロキシサーバである装置を配布先として決定する。また、図７の識別子「００３Ａ」のアクセス制御ポリシーは、認証レベルと動的属性をアクセス可否の判定に用い、公開範囲は一般公開である。従って、配布先決定部６１３は、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである装置を配布先として決定する。
次に、配布先決定部６１３は、決定した配布先の条件と適合する装置を、配布先情報管理テーブルから抽出する。具体的には、配布先がプロキシサーバ及び業務サーバの場合には、図８（Ａ）に示す配布先情報管理テーブルにおいて、「ＰＥＰの種別」の項目に‘プロキシサーバ’又は‘業務サーバ’が設定されている装置を抽出する。また、配布先が認可サーバの場合には、ＰＤＰに関する情報が入力されている装置を配布先として抽出する。
例えば、上述した例では、Ｘファイルに対するアクセス制御ポリシーの配布先として、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである装置が決定されている。そこで、配布先決定部６１３は、図８（Ａ）に示した配布先情報管理テーブルから、プロキシサーバ、業務サーバ、及び認可サーバに該当する装置を抽出する。すなわち、装置ＩＤ１００、１１０、及び２００の装置を抽出する。また、Ａシステムに対するアクセス制御ポリシーの配布先は、装置の種別がプロキシサーバである装置となっている。そこで、配布先決定部６１３は、「ＰＥＰの種別」がプロキシサーバである装置ＩＤ１００の装置を抽出する。また、酒類販売サイトに関するアクセス制御ポリシーの配布先として、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである装置が決定されている。そこで、配布先決定部６１３は、図８（Ａ）に示した配布先情報管理テーブルから、装置の種別がプロキシサーバ、業務サーバ、及び認可サーバである装置を抽出する。すなわち、配布先決定部６１３は、装置ＩＤ１００、１１０、及び２００の装置を抽出する。
配布先決定部６１３は、上記のようにして決定した配布先を、配布先管理テーブルに登録する。図９（Ａ）は、配布先管理テーブルの構造の一例を示す図である。配布管理テーブルは、アクセス制御ポリシー識別子及び配布先情報の項目を有する。
アクセス制御ポリシー識別子の項目には、図７のアクセス制御ポリシー管理テーブルに登録されているアクセス制御ポリシー識別子のいずれかが設定される。
配布先情報Ｎｏ．１〜Ｎｏ．ｎは、アクセス制御ポリシー識別子で識別されるアクセス制御ポリシーの配布先に関する情報を格納する。配布先情報は、例えば、配布先のホスト名又はＩＰアドレス、ポート番号等の情報といった、配布先を特定するための情報や、どのような方式（ＳＭＰＬ、ｆｔｐ、ｔｅｌｎｅｔ、ＳＳＨ等）でアクセス制御ポリシーを配布するかといった配布に関する情報を格納している。また、配布先情報は、配布先の装置の属性情報を含んでいても良い。
図９（Ｂ）は、図７で定義されたアクセス制御ポリシー毎の配布先を格納した配布先管理テーブルの一例である。上述したように、アクセス制御ポリシー識別子「００１Ａ」及び「００３Ａ」で識別されるアクセス制御ポリシーの配布先は、装置ＩＤ１００、１１０、及び２００である。従って、アクセス制御ポリシー識別子「００１Ａ」及び「００３Ａ」に対して、配布先情報Ｎｏ．１〜Ｎｏ．３が登録され、配布先情報には、それぞれ、配布先となるプロキシサーバ、認可サーバ、及び業務サーバに関する情報が格納されている。また、アクセス制御ポリシー識別子「００２Ａ」で識別されるアクセス制御ポリシーの配布先はプロキシサーバである装置ＩＤ１００の装置であった。従って、図９（Ｂ）では、アクセス制御ポリシー識別子「００２Ａ」に対して、配布先情報が一つ登録され、そこに、プロキシサーバに関する情報が格納される。以上のようにして作成された配布先管理テーブルを、配布先決定部６１３は、ポリシー配布部６１４に出力する。
再び図３に戻り、ポリシー配布装置６０について説明を続ける。ポリシー配布部６１４は、配布先管理テーブルを配布先決定部６１３から受付ける。ポリシー配布部６１４は、配布先管理テーブルに従って、アクセス制御ポリシーを各装置に配布する（図４：ステップＳ１５０）。また、ポリシー配布部６１４は、アクセス制御ポリシーを配布すると、どの装置に、どのアクセス制御ポリシーを配布したか、また、エラーなく配布できたか否かといった情報を含む配布情報をログとして保存する（図４：ステップＳ１６０）。
アクセス制御ポリシーの配布を受けたプロキシサーバ２０、業務サーバ３０、及び認可サーバ４０は、アクセス制御ポリシーに基づいて、アクセス可否の判定を行う。これにより、オブジェクトに対するユーザのアクセス制御が可能となる。
以上の説明から明らかなように、本実施例によれば、アクセス可否の判定に利用する条件によって、アクセス制御ポリシーの配布先を変えることができる。また、プロキシサーバ２０、業務サーバ３０、及び認可サーバ４０のそれぞれで分散してアクセス可否の判定を実行できる。これにより、認可サーバ４０にかかるアクセス制御の負荷を低減できると共に、アクセス制御の処理速度も向上できる。
例えば、ターゲットオブジェクトへのアクセス可否を判定する条件が、運用ルールのみであったとする。図１０に示すように、認可サーバ４０´で集中してアクセス可否の判定を実行するアクセス制御システムでは、運用ルールといった簡単な条件でさえも、認可サーバ４０´でアクセス可否の判定を実行する必要がある。その結果、認可サーバ４０´の負荷が上昇し、アクセス制御の処理速度も低下してしまう。
一方、図１に示すアクセス制御システム１００では、アクセス可否を判定する条件が運用ルールのみである場合、プロキシサーバ２０にのみ、アクセス制御ポリシーが配布される。そして、プロキシサーバ２０のみでアクセス可否の判定を実行できるため、業務サーバ３０や、認可サーバ４０は、アクセス可否の判定を実行する必要が無い。その結果、業務サーバ３０及び認可サーバ４０の負荷は低減され、アクセス制御の処理速度を向上できる。
また、本実施例によれば、プロキシサーバ２０でのアクセス制御を実行後、業務サーバ３０でのアクセス制御を実行し、業務サーバ３０でのアクセス制御の実行後、認可サーバ４０においてアクセス可否判定を行うというように複数の階層（多層）でアクセス制御を行うことができる。従って、下の階層においてオブジェクトに対するユーザのアクセスが拒否されれば、上の階層でアクセス制御処理を実行する必要がなくなるため、上の階層に位置する装置のＣＰＵ資源を節約できる。
例えば、図１０に示すアクセス制御システムでは、認可サーバ４０´が集中してアクセス制御を実行するため、アクセス要求が集中した場合には認可サーバ４０´の負荷が上昇し、アクセス制御の処理速度も低下してしまう。一方、図１に示すアクセス制御システム１００では、アクセス要求が集中した場合にも、プロキシサーバ２０でユーザのアクセスが拒否されれば、上の階層に位置する業務サーバ３０及び認可サーバ４０ではアクセス制御処理を実行する必要がなくなる。従って、業務サーバ３０及び認可サーバ４０のＣＰＵ資源を節約できる。
また、本実施例によれば、ポリシー作成部６１２が、共通のオブジェクトに対してアクセス可否の判定条件が設定されたセキュリティポリシーを統合してアクセス制御ポリシーを作成する。これにより、管理階層別、あるいはデータ種別毎に設定されたセキュリティポリシーを矛盾のないアクセス制御ポリシーとして統合し、各装置に配布できる。また、管理階層ごと、及びデータ種別ごとに設定された条件を網羅したアクセス制御ポリシーが自動で生成されるため、アクセス制御ポリシーを手動で作成する場合と比較して、条件の記載漏れ等が発生する可能性を低減できる。
また、システム管理者は、アクセス制御ポリシーではなく、それぞれのセキュリティポリシーを管理する。セキュリティポリシーを用いず、複数のシステム管理者のそれぞれが同一のアクセス制御ポリシーをメンテナンスする場合、アクセス制御ポリシーに基づいて実行したアクセス制御の結果に対する責任が、誰に帰属するのか不明確になる場合がある。しかしながら、本実施例では、管理階層別またはデータ種別ごとにセキュリティポリシーを管理するため、そのセキュリティポリシーが帰属するユーザ、又は組織が明確となり、セキュリティに関する責任の所在が明確になる。
また、本実施例によれば、ポリシー配布部６１４は、配布情報をログとして保存する。これにより、配布情報を監査証跡ログとして残し、監査に有用な情報を蓄積することができる。
以上、本件の実施例について詳述したが、本件は係る特定の実施例に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
例えば、上述の実施例では、配布先決定部６１３は、アクセス制御ポリシーの配布先となる装置の種別をポリシー配布管理テーブルを用いて決定したが、図１１〜図１３に示すようにフローチャートを用いて決定することもできる。
図１１は、アクセス制御ポリシーの配布先となる装置の種別を決定する処理の一例を示すフローチャートである。配布先決定部６１３は、アクセス制御ポリシーにおいて、運用ルールがアクセス可否の判定条件に利用されているか否か判定する（ステップＳ１０）。配布先決定部６１３は、判定条件に運用ルールが利用されていない場合（ステップＳ１０／ＮＯ）、認証レベルが判定条件に利用されているか否か判定する（ステップＳ１１）。
判定条件に運用ルールが利用されている場合（ステップＳ１０／ＹＥＳ）、及び、判定条件に認証レベルを利用する場合（ステップＳ１１／ＹＥＳ）、配布先決定部６１３は、プロキシサーバのみをアクセス制御ポリシーの配布先となる装置の種別として決定する（ステップＳ１２）。
判定条件に認証レベルが利用されていない場合（ステップＳ１１／ＮＯ）、配布先決定部６１３は、動的属性が判定条件に利用されているか否か判定する（ステップＳ１３）。動的属性が判定条件に利用されている場合（ステップＳ１３／ＹＥＳ）、配布先決定部６１３は、認可サーバと業務サーバをアクセス制御ポリシーの配布先となる装置の種別として決定する（ステップＳ１４）。判定条件に動的属性が利用されていない場合（ステップＳ１３／ＮＯ）、配布先決定部６１３は、業務サーバのみをアクセス制御ポリシーの配布先となる装置の種別として決定する（ステップＳ１５）。
また、配布先決定部６１３は、図１２に示すフローチャートのように、配布先となる装置の種別を決定しても良い。図１２において、図１１と同じ処理には、同じステップ番号を付し、説明を省略し、図１１と異なる処理についてのみ説明する。
判定条件に動的属性が利用されていない場合（ステップＳ１３／ＮＯ）、配布先決定部６１３は、判定条件に静的属性のみが利用されているか否か判定する（ステップＳ１６）。判定条件に静的属性のみが利用されている場合（ステップＳ１６／ＹＥＳ）、配布先決定部６１３は業務サーバのみを配布先となる装置の種別として決定する（ステップＳ１７）。
上述の図１１及び図１２では、アクセス可否の判定条件に基づいて配布先となる装置の種別を決定したが、配布先決定部６１３は、図１３に示すようにオブジェクトの属性に基づいて配布先となる装置の種別を決定することもできる。
図１３のフローチャートにおいて、配布先決定部６１３は、まず、アクセス制御ポリシー管理テーブルにおいて、オブジェクトが最高機密情報か否かを判定する（ステップＳ３１）。オブジェクトが最高機密情報である場合（ステップＳ３１／ＹＥＳ）、配布先決定部６１３は、全てのＰＥＰ（本実施例では、プロキシサーバ及び業務サーバ）を配布先となる装置の種別として決定する(ステップＳ３３)。
オブジェクトが最高機密情報でない場合（ステップＳ３１／ＮＯ）、配布先決定部６１３は、オブジェクトは特定の部門のみに公開が限定されているか否かを判定する（ステップＳ３２）。オブジェクトが特定の部門のみに公開が限定されている場合（ステップＳ３２／ＹＥＳ）、配布先決定部６１３は、特定の部門に属する業務サーバとプロキシサーバのみを、配布先となる装置の種別として決定する（ステップＳ３４）。これにより、配布先決定部６１３は、配布先管理テーブルの作成時に、装置の種別だけでなく、装置の属する組織を指定して、配布先となる装置を抽出することが可能となる。
オブジェクトが、特定の部門のみに公開が限定されている場合（ステップＳ３２／ＮＯ）、配布先決定部６１３は、オブジェクトが社内公開情報か否か判定する（ステップＳ３５）。オブジェクトが社内公開情報の場合（ステップＳ３５／ＹＥＳ）、配布先決定部６１３は、全社レベルの業務サーバのみを配布先となる装置の種別として決定する（ステップＳ３６）。
オブジェクトが社内公開情報でない場合（ステップＳ３６／ＮＯ）、部門レベルのプロキシサーバのみを、配布先となる装置の種別として決定する（ステップＳ３７）。以上の説明から明らかなように、配布先となる装置の種別の決定は、配布ポリシー管理テーブルによらなくても良い。また、装置の種別としては、装置が属する組織や、ドメイン、あるいはＩＰアドレス等を指定しても良い。
また上述の実施例では、プロキシサーバ、業務サーバ、及び認可サーバをアクセス制御ポリシーの配布先としたが、アクセス制御ポリシーの配布先はこれに限られるものではない。例えば、ハブ、ルータ、及びゲートウェイ装置等のネットワーク機器に対してアクセス制御ポリシーを配布しても良い。また、プロキシサーバ、業務サーバ、及び認可サーバ等は、システム内に複数存在していても良い。
また、上述の実施例では、ポリシー配布装置６０が格納部６１１を備えていたが、格納部６１１は、ポリシー配布装置６０の外部に存在しても良い。この場合、ポリシー配布装置６０は、ネットワーク等を介して、格納部６１１からアクセス制御ポリシー管理テーブル等を取得できる。
なお、上記のポリシー配布装置６０が有する機能は、コンピュータによって実現することができる。その場合、ポリシー配布装置６０が有すべき機能の処理内容を記述したプログラムが提供される。そのプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。
プログラムを流通させる場合には、例えば、そのプログラムが記録されたＤＶＤ（Digital Versatile Disc）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）などの可搬型記録媒体の形態で販売される。また、プログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することもできる。
プログラムを実行するコンピュータは、例えば、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、自己の記憶装置に格納する。そして、コンピュータは、自己の記憶装置からプログラムを読み取り、プログラムに従った処理を実行する。なお、コンピュータは、可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することもできる。また、コンピュータは、サーバコンピュータからプログラムが転送されるごとに、逐次、受け取ったプログラムに従った処理を実行することもできる。
また、例えば、インターネット等の通信網に接続されたサーバコンピュータを本件のポリシー配布装置とし、これに接続されたパーソナルコンピュータ等の情報処理に、配布先決定等の処理を実行するサービスをサーバコンピュータから提供するようにしても良い（ＡＳＰ(Application Service Provider)）。
１０…クライアント端末
２０…プロキシサーバ
３０…業務サーバ
４０、４０´…認可サーバ
５０…属性情報リポジトリ
６０…ポリシー配布装置
７０…システム管理端末
１００…アクセス制御システム
６１２…ポリシー作成部
６１３…配布先決定部
６１４…ポリシー配布部

Claims (6)

  1. 情報処理装置上のオブジェクトと、該オブジェクトにアクセス可能な条件とが記述されたアクセス制御情報において記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定部と、
    前記配布先決定部によって決定された配布先の装置に前記アクセス制御情報を配布する配布部と、
    を備えるアクセス制御情報配布装置。
  2. 前記オブジェクトと前記オブジェクにアクセス可能な条件を個別に定義したアクセス制御方針の中から、共通するオブジェクトを対象としたアクセス制御方針を選択し、選択したアクセス制御方針を統合して、前記アクセス制御情報を作成する作成部、を備える請求項１に記載のアクセス制御情報配布装置。
  3. 前記配布部は、前記アクセス制御情報を配布すると、配布したアクセス制御情報及び配布先の情報を含むログを保存することを特徴とする請求項１又は２に記載のアクセス制御情報配布装置。
  4. 情報処理装置上のオブジェクトと該オブジェクトにアクセス可能な条件とを記述するアクセス制御情報において記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定ステップと、
    前記配布先ステップで決定された配布先の装置に前記アクセス制御情報を配布する配布ステップと、
    をコンピュータに実行させるアクセス制御情報配布プログラム。
  5. 情報処理装置上のオブジェクトと該オブジェクトにアクセス可能な条件とが記述されたアクセス制御情報に基づいて、前記オブジェクトに対するアクセス可否の判定を、順番に実行する複数の装置と、
    前記アクセス制御情報を、前記複数の装置のうち１つ以上に配布するアクセス制御情報配布装置と、を備え、
    前記アクセス制御情報配布装置は、
    前記アクセス制御情報に記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定部と、
    前記配布先決定部によって決定された配布先の装置に前記アクセス制御情報を配布する配布部と、
    を備えることを特徴とするアクセス制御システム。
  6. 情報処理装置上のオブジェクトと該オブジェクトにアクセス可能な条件とを記述するアクセス制御情報において記述された前記条件、及び、前記オブジェクトの属性のいずれか１つ以上に基づいて、前記アクセス制御情報の配布先となる装置を決定する配布先決定ステップと、
    前記配布先ステップで決定された配布先の装置に前記アクセス制御情報を配布する配布ステップと、
    を有するアクセス制御情報配布方法。
JP2010062697A 2010-03-18 2010-03-18 アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法 Withdrawn JP2011197903A (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2010062697A JP2011197903A (ja) 2010-03-18 2010-03-18 アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法
US13/045,653 US20110231900A1 (en) 2010-03-18 2011-03-11 Apparatus, method, and computer-readable medium for distributing access control information

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2010062697A JP2011197903A (ja) 2010-03-18 2010-03-18 アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法

Publications (1)

Publication Number Publication Date
JP2011197903A true JP2011197903A (ja) 2011-10-06

Family

ID=44648283

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2010062697A Withdrawn JP2011197903A (ja) 2010-03-18 2010-03-18 アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法

Country Status (2)

Country Link
US (1) US20110231900A1 (ja)
JP (1) JP2011197903A (ja)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8561152B2 (en) * 2011-05-17 2013-10-15 Microsoft Corporation Target-based access check independent of access request
US10165007B2 (en) * 2011-09-15 2018-12-25 Microsoft Technology Licensing, Llc Securing data usage in computing devices
US9635029B2 (en) * 2012-01-27 2017-04-25 Honeywell International Inc. Role-based access control permissions
CN104717176B (zh) * 2013-12-11 2018-05-18 华为技术有限公司 一种权限控制方法、系统及服务器
CN104598533B (zh) * 2014-12-29 2018-08-14 曙光云计算集团有限公司 一种文件扩展属性的存储方法
US9432354B2 (en) * 2015-01-01 2016-08-30 Bank Of America Corporation Role-based access tool
CN107306398A (zh) * 2016-04-18 2017-10-31 电信科学技术研究院 分布式授权管理方法及装置
RU2638005C1 (ru) * 2016-07-04 2017-12-08 федеральное государственное автономное образовательное учреждение высшего образования "Санкт-Петербургский политехнический университет Петра Великого" (ФГАОУ ВО "СПбПУ") Способ прогнозирования безопасности в достижимых состояниях грид-систем
US10868836B1 (en) * 2017-06-07 2020-12-15 Amazon Technologies, Inc. Dynamic security policy management
US10574676B2 (en) 2017-10-06 2020-02-25 Fyde, Inc. Network traffic inspection
US11134058B1 (en) 2017-10-06 2021-09-28 Barracuda Networks, Inc. Network traffic inspection
US11012416B2 (en) * 2018-01-15 2021-05-18 Akamai Technologies, Inc. Symbolic execution for web application firewall performance
US11095652B2 (en) 2018-02-20 2021-08-17 International Business Machines Corporation Implementing a separation of duties for container security
US11475147B2 (en) * 2018-02-20 2022-10-18 International Business Machines Corporation Implementing policy-based container-level encryption
US10911493B2 (en) * 2018-03-14 2021-02-02 ShieldX Networks, Inc. Identifying communication paths between servers for securing network communications
WO2020139267A1 (en) * 2018-12-25 2020-07-02 Yaşar Üni̇versi̇tesi̇ Operation based, context aware access control method
US10958662B1 (en) * 2019-01-24 2021-03-23 Fyde, Inc. Access proxy platform
US11457040B1 (en) 2019-02-12 2022-09-27 Barracuda Networks, Inc. Reverse TCP/IP stack
US11599683B2 (en) 2019-11-18 2023-03-07 Microstrategy Incorporated Enforcing authorization policies for computing devices

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4755181B2 (ja) * 2005-04-21 2011-08-24 三菱電機株式会社 コンピュータ及びコンピュータリソースへのアクセス制御方法及びアクセス制御プログラム
US9455990B2 (en) * 2006-07-21 2016-09-27 International Business Machines Corporation System and method for role based access control in a content management system

Also Published As

Publication number Publication date
US20110231900A1 (en) 2011-09-22

Similar Documents

Publication Publication Date Title
JP2011197903A (ja) アクセス制御情報配布装置、アクセス制御情報配布プログラム、アクセス制御システム、及びアクセス制御情報配布方法
AU2019206006B2 (en) System and method for biometric protocol standards
KR102520361B1 (ko) 서비스로서의 아이덴티티 인프라 스트럭처
JP4892179B2 (ja) データ項目のためのゾーンベースのセキュリティ管理
US7685206B1 (en) Authorization and access control service for distributed network resources
US7630974B2 (en) Multi-language support for enterprise identity and access management
JP4772256B2 (ja) 認証方法に基づいてリソースへのアクセスを制御するための方法および装置
US20070011749A1 (en) Secure clipboard function
US20070016771A1 (en) Maintaining security for file copy operations
US20070011469A1 (en) Secure local storage of files
US20140196115A1 (en) Monitoring of Authorization-Exceeding Activity in Distributed Networks
US20030200459A1 (en) Method and system for protecting documents while maintaining their editability
US20050273600A1 (en) Method and system for file data access within a secure environment
JP4746053B2 (ja) 個人データの制御装置及び方法
WO2010037201A1 (en) System and method for secure management of mobile user access to enterprise network resources
US20110161370A1 (en) Apparatus, program, and method for file management
US20100031317A1 (en) Secure access
JP2006048340A (ja) アクセス制御リスト添付システム、オリジナルコンテンツ作成者端末、ポリシーサーバ、オリジナルコンテンツデータ管理サーバ、プログラム及び記録媒体
JP4558402B2 (ja) サービスの中断なしにセキュリティ境界を横断するプリンシパルの移動
CN115422526B (zh) 角色权限管理方法、设备及存储介质
Varun et al. Decentralized authorization in web services using public blockchain
JP4723930B2 (ja) 複合的アクセス認可方法及び装置
Lad Application and Data Security Patterns
Riti et al. Identity and Access Management with Google Cloud Platform
Alam et al. Mauth: A fine-grained and user-centric permission delegation framework for multi-mashup web services

Legal Events

Date Code Title Description
A300 Application deemed to be withdrawn because no request for examination was validly filed

Free format text: JAPANESE INTERMEDIATE CODE: A300

Effective date: 20130604