JP2011227697A - アクセス制御方法、アクセス制御システムおよびアクセス権管理サーバ - Google Patents

Abstract

【課題】既存のＷｅｂシステムの改造を行うことなくアクセス権の判定処理を詳細化できるアクセス制御方法、アクセス制御システムおよびアクセス権管理サーバを提供する。
【解決手段】アクセス権管理システム１は、ユーザからのＷｅｂシステムＡへの転送サービスへのリクエストをユーザ端末２から受信し、リクエストを送信したユーザのアクセス権設定情報をアクセス権設定情報記憶部１２から取得して、リクエストを送信したユーザにアクセス権限があるかどうかを判定し、アクセス権がある場合のみサービス対応情報記憶部１５から転送先Ｗｅｂシステム、転送先サービス、パラメータ変換ルールを取得し、ルールに従ってパラメータ変換して転送リクエストを組み立て、ＷｅｂシステムＡにリクエストを転送し、ＷｅｂシステムＡから返却されたレスポンスを受信し、ユーザ端末２にレスポンスを返却する。
【選択図】図５

Description

本発明は、サービスを提供するＷｅｂシステムへのアクセスを制御するアクセス制御方法、アクセス制御システムおよびアクセス権管理サーバに関する。

従来のＷｅｂシステムでは、自身のＷｅｂシステムもしくは連携した認可システムでアクセス権の設定情報を保有管理しており、Ｗｅｂシステムにアクセスしてきたユーザがサービスを利用する権限があるかどうかの判定は、自身のＷｅｂシステムもしくは連携した認可システムが行っていた。

図６は、Ｗｅｂシステムへのアクセスを制御する従来のシステム構成の一例を示す図である。Ｗｅｂシステム３１は、掲示板Ａに対して内容の書き込みができる掲示版書き込みサービスと、掲示板Ａに対して既存の書き込み内容の削除ができる掲示板内容削除サービスと、掲示板Ａに対して既存の書き込み内容の参照ができる掲示板内容確認サービスを提供している。また、Ｗｅｂシステム３１は、ユーザ毎のアクセス権設定情報を保持するアクセス権設定情報記憶部３３を備えている。図７は、アクセス権設定情報記憶部３３に保持されるアクセス権設定情報の一例を示す図である。

図８は、図６に示すＷｅｂシステムの掲示板Ａへの追記書き込み時における動作を説明するフロー図である。ユーザＸがユーザ端末３２を使用してＷｅｂシステム３１へのログインを行うと（Ｓ２０１）、ユーザ端末３２は、Ｗｅｂシステム３１へのログインリクエストを行う（Ｓ２０２）。Ｗｅｂシステム３１は、ログインリクエストを受信すると、ユーザＸを認証し、セッションを保持し（Ｓ２０３）、Ｗｅｂシステム３１が提供する、例えば、掲示板書き込みサービス、掲示板内容削除サービス、掲示板内容確認サービスのサービスメニュー情報をユーザ端末３２に送信する（Ｓ２０４）。

ユーザＸにより、例えば、掲示板Ａへの書き込み処理リクエストが入力されると（Ｓ２０５）、ユーザ端末３２は、Ｗｅｂシステム３１の掲示板書き込みサービスへのリクエストを行う（Ｓ２０６）。インプットパラメータは、掲示板Ａへの書き込み内容である。Ｗｅｂシステム３１は、リクエストを受信すると、ユーザＸのアクセス権設定情報をアクセス権設定情報記憶部３３から取得し（Ｓ２０７）、リクエスト内容（掲示板Ａへの書き込み）と取得したユーザＸのアクセス権設定情報（掲示板書き込みサービス：可）からユーザＸが掲示板Ａへ書き込みができるかを判定する（Ｓ２０８）。この場合、アクセス権有りと判定する。

アクセス権有りの場合、リクエストに応じた処理を行う（Ｓ２０９）。この場合、掲示板Ａが既に存在していれば、リクエストで受信した書き込み内容を掲示板Ａに追記し、追記された掲示板Ａの画面情報を生成する。掲示板が存在しなければ書き込み内容の掲示板Ａを新規作成し、新規作成された掲示板Ａの画面情報を生成する。そして、Ｗｅｂシステム３１は、処理結果として、書き込み内容が追記された掲示板Ａの画面情報または新規作成された掲示板Ａの画面情報をユーザ端末３２に送信し（Ｓ２１０）、ユーザ端末３２は、掲示板Ａの画面情報を表示する（Ｓ２１１）。
アクセス権が無い場合、Ｗｅｂシステム３１は、処理結果として、アクセス権なしエラー画面をユーザ端末３２に送信し（Ｓ２１２）、ユーザ端末３２は、アクセス権なしエラー画面情報を表示する（Ｓ２１３）。

ＩＰＡ、情報セキュリティ、セキュア・プログラミング講座、Ｗｅｂアプリケーション編、"第２章アクセス制御対策 アクセス認可対策"、情報処理推進機構、［online］、［２０１０年３月１０日検索］インターネット＜ＵＲＬ：http://www.ipa.go.jp/security/awareness/vendor/programmingv2/contents/102.html＞

上述したＷｅｂシステムの掲示版書き込みサービスでは、掲示板に対する書き込み内容をインプットパラメータとして受信し、掲示板が既に存在すれば掲示板への追記を行い、掲示板が存在しなければ掲示板を新規作成しており、ユーザに書き込み権限があれば、新規作成と追記のどちらでも行うことが可能な制御をしている。
ここで、Ｗｅｂシステムの掲示板への書き込み権限の判定を、新規作成と追記に分けて管理する必要があるとする。既存技術では、Ｗｅｂシステムに掲示板新規書き込みサービスと掲示板追記書き込みサービスを作成し、既存のアクセス権設定情報を新規書き込みと追記書き込みに分け、アクセス権判定の処理内容を新規作成の書き込みと追記の書き込みに分ける必要があり、大きな改造が必要となる。

上述のように、書き込みというアクセス権判定をしているシステムにおいて、判定処理として新規書き込みと追記書き込みに分けて管理するよう処理を変更する場合のように、一度開発してしまったアクセス権判定の処理を詳細化して仕様変更する場合、Ｗｅｂシステムの大きな改造が必要となってしまい、仮にアクセス権の判定方法を変更する改造を実施しても、既に設定されている全てのアクセス権の設定情報を修正しないと変更内容を利用することができないため、ユーザや運用者の負担が大きくなってしまう。

本発明は、このような問題点に鑑みてなされたものであり、本発明の目的は、既存のＷｅｂシステムの改造を行うことなくアクセス権の判定処理を詳細化できるアクセス制御方法、アクセス制御システムおよびアクセス権管理サーバを提供することにある。

上記目的を達成するため、本発明は、ユーザ端末と、サービスを提供するＷｅｂシステムと、前記ユーザ端末と前記Ｗｅｂシステムとの間に設置されたアクセス権管理サーバとがネットワーク接続されるシステムのアクセス制御方法であって、前記アクセス権管理サーバの処理手順が、前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信するステップと、ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するステップと、取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するステップと、前記リクエスト送信者にアクセス権が有る場合、前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するステップと、前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するステップと、前記パラメータを、前記転送先Ｗｅｂシステムに転送するステップと、該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信するステップと、前記処理結果の情報を前記ユーザ端末に送信するステップとを含むことを特徴とする。

上述した本発明のアクセス制御方法において、前記アクセス権管理サーバの処理手順は、前記リクエスト送信者にアクセス権が無い場合、エラーメッセージの画面情報を生成して当該画面情報を前記ユーザ端末に送信するステップを更に含むことが好ましい。

また、本発明は、ユーザ端末と、サービスを提供するＷｅｂシステムと、前記ユーザ端末と前記Ｗｅｂシステムとの間に設置されたアクセス権管理サーバとがネットワーク接続されるアクセス制御システムであって、前記アクセス権管理サーバが、前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信する処理要求受信部と、ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部と、前記アクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するアクセス権設定情報取得部と、取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するアクセス権判定部と、前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部と、前記リクエスト送信者にアクセス権が有る場合、前記サービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するサービス対応情報取得部と、前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するパラメータ変換部と、前記パラメータを、前記転送先Ｗｅｂシステムに転送する処理要求転送部と、該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信する処理結果受信部と、前記処理結果受信部で受信した処理結果の情報を前記ユーザ端末に送信する処理結果送信部とを備えることを特徴とする。

上述した本発明のアクセス制御システムにおいて、前記アクセス権管理サーバは、エラーメッセージの画面情報を生成するエラー生成部を更に備え、前記リクエスト送信者にアクセス権が無い場合、前記エラー生成部がエラーメッセージの画面情報を生成し、前記処理結果送信部がエラーメッセージの画面情報を前記ユーザ端末に送信することが好ましい。

また、本発明は、ユーザ端末とサービスを提供するＷｅｂシステムとの間に設置されるアクセス権管理サーバであって、前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信する処理要求受信部と、ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部と、前記アクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するアクセス権設定情報取得部と、取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するアクセス権判定部と、前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部と、前記リクエスト送信者にアクセス権が有る場合、前記サービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するサービス対応情報取得部と、前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するパラメータ変換部と、前記パラメータを、前記転送先Ｗｅｂシステムに転送する処理要求転送部と、該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信する処理結果受信部と、前記処理結果受信部で受信した処理結果の情報を前記ユーザ端末に送信する処理結果送信部とを備えることを特徴とする。

上述した本発明のアクセス権管理サーバは、エラーメッセージの画面情報を生成するエラー生成部を更に備え、前記リクエスト送信者にアクセス権が無い場合、前記エラー生成部がエラーメッセージの画面情報を生成し、前記処理結果送信部がエラーメッセージの画面情報を前記ユーザ端末に送信することが好ましい。

また、本発明は、ユーザ端末とサービスを提供するＷｅｂシステムとの間に設置されるアクセス権管理サーバとして構成するコンピュータに、前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信するステップと、ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するステップと、取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するステップと、前記リクエスト送信者にアクセス権が有る場合、前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するステップと、前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するステップと、前記パラメータを、前記転送先Ｗｅｂシステムに転送するステップと、該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信するステップと、前記処理結果の情報を前記ユーザ端末に送信するステップとを実行させるためのプログラムとしての特徴を有する。

上述した本発明のプログラムは、前記リクエスト送信者にアクセス権が無い場合、エラーメッセージの画面情報を生成して当該画面情報を前記ユーザ端末に送信するステップを更に含むことが好ましい。

本発明は、アクセス権管理サーバがアクセス権の判定処理を行うことにより、既存のＷｅｂシステムの改造を行うことなくアクセス権の判定処理を詳細化できる。
また、本発明は、アクセス権管理サーバが、アクセス権のないユーザからのリクエストをＷｅｂシステムに転送しないので、Ｗｅｂシステムの処理負荷を少なくできる。

本発明のアクセス制御システムの構成を示す図である。 アクセス権管理サーバの構成を示す図である。 アクセス権設定情報の一例を示す図である。 サービス対応情報の一例を示す図である。 Ｗｅｂシステムの掲示板への追記書き込み時における動作を説明するフロー図である。 Ｗｅｂシステムへのアクセスを制御する従来のシステム構成の一例を示す図である。 アクセス権設定情報の一例を示す図である。 従来のＷｅｂシステムの掲示板への追記書き込み時における動作を説明するフロー図である。

本発明の実施の形態について図面を参照して説明する。図１は、本発明のアクセス制御システムの構成を示す図である。本発明のアクセス制御システムは、アクセス権管理サーバ１と、ユーザ端末２と、Ｗｅｂシステム３からなる。アクセス権管理サーバ１と、ユーザ端末２と、Ｗｅｂシステム３は、互いにネットワークを介して接続されている。また、アクセス権管理サーバ１には、少なくとの１つのＷｅｂシステム３が接続されており、その１つを、以下では、ＷｅｂシステムＡという。

アクセス権管理サーバ１は、ＷｅｂシステムＡが提供する掲示版書き込みサービスに、掲示板Ａに対しての内容の新規書き込みを転送する掲示板新規書き込み転送サービスと、ＷｅｂシステムＡが提供する掲示版書き込みサービスに、掲示板Ａに対しての内容の追記書き込みを転送する掲示板追記書き込み転送サービスと、ＷｅｂシステムＡが提供する掲示版内容削除サービスに、掲示板Ａに対しての既存の書き込み内容削除を転送する掲示板内容削除転送サービスと、ＷｅｂシステムＡが提供する掲示版内容確認サービスに、掲示板Ａに対しての既存の書き込み内容参照を転送する掲示板内容確認転送サービスを提供する。
また、アクセス権管理サーバ１は、ユーザ毎のアクセス権設定情報を保持するアクセス権設定情報記憶部１２と、サービス毎のサービス対応情報を保持するサービス対応情報記憶部１５を備えている。

ＷｅｂシステムＡは、掲示板Ａに対して内容の書き込みができる掲示版書き込みサービスと、掲示板Ａに対して既存の書き込み内容の削除ができる掲示板内容削除サービスと、掲示板Ａに対して既存の書き込み内容の参照ができる掲示板内容確認サービスを提供している。掲示版書き込みサービスでは、書き込みのリクエストがあったときに掲示板Ａが存在しない場合は新規に掲示板Ａが作成され、存在する場合は掲示板Ａに追記される。

図２は、アクセス権管理サーバの構成を示す図である。アクセス権管理サーバ１は、処理要求受信部は１１と、アクセス権設定情報記憶部１２と、アクセス権設定情報取得部１３と、アクセス権判定部１４と、サービス対応情報記憶部１５と、サービス対応情報取得部１６と、パラメータ変換部１７と、処理要求転送部１８と、処理結果受信部１９と、処理結果（エラー）生成部２０と、処理結果送信部２１とを備える。アクセス権管理サーバ１は、アクセス権管理サーバの各機能を実現する処理内容を記述したプログラムを、当該サーバの記憶部に格納しておき、当該サーバの中央演算処理装置（ＣＰＵ）によってこのプログラムを読み出して実行させることで実現することができる。

処理要求受信部１１は、ユーザ端末２からアクセス権管理サーバ１のサービスへの処理リクエスト（ＷｅｂシステムＡに転送する処理リクエスト）をネットワークを経由して受信する。インプットパラメータとして、ユーザ識別情報、サービスへのリクエスト内容を受信する。
アクセス権設定情報記憶部１２は、どの識別情報のユーザが、アクセス権管理サーバ１のどのサービスを、利用可／利用不可であるかというレコードを保持している。図３は、アクセス権設定情報記憶部１２に保持されるアクセス権設定情報の一例を示す図である。例えば、ユーザＸは、ＷｅｂシステムＡへの掲示板追記書き込み転送サービスを利用可としている。

アクセス権設定情報取得部１３は、アクセス権設定情報記憶部１２から、リクエスト送信者のユーザ識別情報をキーとして、送信者のアクセス権設定情報の一覧を取得する。
アクセス権判定部１４は、取得したアクセス権設定情報の一覧に、リクエストされたアクセス権管理サーバ１のサービスが存在するか否かを判定し、さらに、アクセス権が有るか否かを判定する。一覧にサービスが存在し、アクセス権が有る場合、サービス対応情報取得部１６に処理を引き継ぎ、一覧にサービスが存在しない、もしくはアクセス権が無い場合、処理結果（エラー）生成部２０に処理を引き継ぐ。

サービス対応情報記憶部１５は、アクセス権管理サーバ１のどのサービスが、どのＷｅｂシステムの、どのサービスに、どのようなルールでパラメータ変換して転送するか、という情報を保持している。図４は、サービス対応情報記憶部１５に保持されるサービス対応情報の一例を示す図である。例えば、ＷｅｂシステムＡへの掲示板追記書き込み転送サービスでは、ＷｅｂシステムＡの掲示板書き込みサービスに、インプットパラメータの書き込み内容（掲示板Ａへの追記書き込み内容）をＷｅｂシステムＡの掲示板書き込みサービスへのパラメータとして設定している。
サービス対応情報取得部１６は、サービス対応情報記憶部１５から、処理リクエストを転送する転送先Ｗｅｂシステム、転送先サービス、パラメータ変換ルールを取得する。
パラメータ変換部１７は、取得したサービス対応情報のパラメータ変換ルールと送信された処理リクエストから、転送するパラメータを組み立てる。

処理要求転送部１８は、パラメータ変換部１７で変換したパラメータを、サービス対応情報取得部１６で取得した転送先Ｗｅｂシステムの転送先サービスに転送する。
処理結果受信部１９は、転送先Ｗｅｂシステムから返却される処理結果の情報をネットワークを経由して受信する。
処理結果（エラー）生成部２０は、アクセス権がないというエラーメッセージの画面情報を生成する。
処理結果送信部２１は、処理結果受信部１９で受信した処理結果の情報、もしくは、処理結果（エラー）生成部２０で生成されたエラーメッセージの情報をユーザ端末２に送信する。

図５は、ＷｅｂシステムＡの掲示板Ａへの追記書き込み時における動作を説明するフロー図である。ユーザＸがユーザ端末２を使用してＷｅｂシステムＡへのログインを行うと（Ｓ１０１）、ユーザ端末２は、ＷｅｂシステムＡへのログインリクエストを行う（Ｓ１０２）。ＷｅｂシステムＡは、ログインリクエストを受信すると、ユーザＸのＩＤとパスワードによりユーザＸを認証し、セッションを保持し（Ｓ１０３）、アクセス権管理サーバ１がＷｅｂシステムＡへの転送用に提供するサービスメニューの情報、例えば、ＷｅｂシステムＡへの掲示板新規書き込み転送サービス、ＷｅｂシステムＡへの掲示板追記書き込み転送サービス、ＷｅｂシステムＡへの掲示板内容削除転送サービス、ＷｅｂシステムＡへの掲示板内容確認転送サービスのサービスメニュー情報をユーザ端末２に送信する（Ｓ１０４）。

ユーザＸが、ＷｅｂシステムＡの掲示板書き込みサービスにおいて掲示板Ａへの追記書き込みを行うために、ユーザ端末２の画面に表示されたサービスメニューから、ＷｅｂシステムＡに転送する処理リクエストを入力すると（Ｓ１０５）、ユーザ端末２は、アクセス権管理サーバ１のＷｅｂシステムＡへの掲示板追記書き込み転送サービスへリクエストを行う（Ｓ１０６）。インプットパラメータは、ユーザＸの識別情報と掲示板Ａへの追記書き込み内容である。アクセス権管理サーバ１の処理要求受信部１１が、リクエストを受信すると、アクセス権管理サーバ１のアクセス権設定情報取得部１３は、ユーザＸの識別情報をキーに、アクセス権設定情報記憶部１２からアクセス権設定情報一覧を取得する（Ｓ１０７）。ユーザＸは、ＷｅｂシステムＡへの掲示板追記書き込み転送と、ＷｅｂシステムＡへの掲示板内容確認転送が利用可能である。アクセス権判定部１４は、リクエストされたＷｅｂシステムＡへの掲示板追記書き込み転送サービスと、取得したユーザＸのアクセス権設定情報から、ユーザＸが、ＷｅｂシステムＡへの掲示板追記書き込み転送サービスを実行できるかを判定する（Ｓ１０８）。ユーザＸは、ＷｅｂシステムＡへの掲示板追記書き込み転送が利用可であるので、アクセス権有りと判定する。

アクセス権有りの場合、サービス対応情報取得部１６は、リクエストを受けたサービスをキーに、サービス対応情報記憶部１５から転送先Ｗｅｂシステム、転送先のサービス、転送先へのパラメータ変換ルールを取得する（Ｓ１０９）。この場合、リクエストを受けたサービスが、ＷｅｂシステムＡへの掲示板追記書き込み転送サービスなので、受信したパラメータ（掲示板Ａへの追記書き込み内容）をパラメータ（掲示板Ａへの書き込み内容）に設定してＷｅｂシステムＡの掲示板書き込みサービスに転送するという情報を取得する。

次に、パラメータ変換部１７は、取得したサービス対応情報から転送するパラメータを組み立てる（Ｓ１１０）。この場合、リクエストを受けたサービスが、ＷｅｂシステムＡへの掲示板追記書き込み転送サービスなので、受信した掲示板Ａへの追記書き込み内容を転送パラメータ（掲示板Ａへの書き込み内容）に設定する。次に、処理要求転送部１８は、ＷｅｂシステムＡの掲示板書き込みサービスへリクエストを行い（Ｓ１１１）、ＷｅｂシステムＡは、リクエストに応じた処理を行う（Ｓ１１２）。ＷｅｂシステムＡは、追記書き込み内容を掲示板Ａに追記し、追記された画面を生成する。そして、ＷｅｂシステムＡは、処理結果として、追記書き込み内容が追記された掲示板Ａの画面情報をアクセス権管理サーバ１の処理結果受信部１９に送信し（Ｓ１１３）、アクセス権管理サーバ１の処理結果送信部２１は、追記書き込み内容が追記された掲示板Ａの画面情報をユーザ端末２に送信し（Ｓ１１４）、ユーザ端末２は、追記された掲示板Ａの画面情報を表示する（Ｓ１１５）。

アクセス権判定（Ｓ１０８）においてアクセス権が無い場合、処理結果（エラー）生成部２０は、処理結果として、アクセス権なしのエラーメッセージの画面情報を生成し、理結果送信部２１は、エラーメッセージの画面情報をユーザ端末２に送信し（Ｓ１１６）、ユーザ端末２は、アクセス権なしエラー画面を表示する（Ｓ１１７）。

上述のように、本発明では、アクセス権管理サーバがアクセス権の判定処理を行うので、既存のＷｅｂシステムの改造を行うことなくアクセス権の判定処理を詳細化できる。
また、本発明は、アクセス権管理サーバが、アクセス権のないユーザからのリクエストをＷｅｂシステムに転送しないので、Ｗｅｂシステムの処理負荷を少なくできる。

１ アクセス権管理サーバ
２，３２ ユーザ端末
３，３１ Ｗｅｂシステム
１１ 処理要求受信部
１２，３３ アクセス権設定情報記憶部
１３ アクセス権設定情報取得部
１４ アクセス権判定部
１５ サービス対応情報記憶部
１６ サービス対応情報取得部
１７ パラメータ変換部
１８ 処理要求転送部
１９ 処理結果受信部
２０ 処理結果（エラー）生成部
２１ 処理結果送信部

Claims (8)

1. ユーザ端末と、サービスを提供するＷｅｂシステムと、前記ユーザ端末と前記Ｗｅｂシステムとの間に設置されたアクセス権管理サーバとがネットワーク接続されるシステムのアクセス制御方法であって、
   前記アクセス権管理サーバの処理手順は、
   前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信するステップと、
   ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するステップと、
   取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するステップと、
   前記リクエスト送信者にアクセス権が有る場合、前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するステップと、
   前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するステップと、
   前記パラメータを、前記転送先Ｗｅｂシステムに転送するステップと、
   該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信するステップと、
   前記処理結果の情報を前記ユーザ端末に送信するステップと、
   を含むことを特徴とするアクセス制御方法。
2. 前記アクセス権管理サーバの処理手順は、
   前記リクエスト送信者にアクセス権が無い場合、エラーメッセージの画面情報を生成して当該画面情報を前記ユーザ端末に送信するステップを更に含むことを特徴とする請求項１に記載のアクセス制御方法。
3. ユーザ端末と、サービスを提供するＷｅｂシステムと、前記ユーザ端末と前記Ｗｅｂシステムとの間に設置されたアクセス権管理サーバとがネットワーク接続されるアクセス制御システムであって、
   前記アクセス権管理サーバは、
   前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信する処理要求受信部と、
   ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部と、
   前記アクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するアクセス権設定情報取得部と、
   取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するアクセス権判定部と、
   前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部と、
   前記リクエスト送信者にアクセス権が有る場合、前記サービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するサービス対応情報取得部と、
   前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するパラメータ変換部と、
   前記パラメータを、前記転送先Ｗｅｂシステムに転送する処理要求転送部と、
   該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信する処理結果受信部と、
   前記処理結果受信部で受信した処理結果の情報を前記ユーザ端末に送信する処理結果送信部と、
   を備えることを特徴とするアクセス制御システム。
4. 前記アクセス権管理サーバは、
   エラーメッセージの画面情報を生成するエラー生成部を更に備え、
   前記リクエスト送信者にアクセス権が無い場合、前記エラー生成部がエラーメッセージの画面情報を生成し、前記処理結果送信部がエラーメッセージの画面情報を前記ユーザ端末に送信することを特徴とする請求項３に記載のアクセス制御システム。
5. ユーザ端末とサービスを提供するＷｅｂシステムとの間に設置されるアクセス権管理サーバであって、
   前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信する処理要求受信部と、
   ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部と、
   前記アクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するアクセス権設定情報取得部と、
   取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するアクセス権判定部と、
   前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部と、
   前記リクエスト送信者にアクセス権が有る場合、前記サービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するサービス対応情報取得部と、
   前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するパラメータ変換部と、
   前記パラメータを、前記転送先Ｗｅｂシステムに転送する処理要求転送部と、
   該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信する処理結果受信部と、
   前記処理結果受信部で受信した処理結果の情報を前記ユーザ端末に送信する処理結果送信部と、
   を備えることを特徴とするアクセス権管理サーバ。
6. エラーメッセージの画面情報を生成するエラー生成部を更に備え、
   前記リクエスト送信者にアクセス権が無い場合、前記エラー生成部がエラーメッセージの画面情報を生成し、前記処理結果送信部がエラーメッセージの画面情報を前記ユーザ端末に送信することを特徴とする請求項５に記載のアクセス権管理サーバ。
7. ユーザ端末とサービスを提供するＷｅｂシステムとの間に設置されるアクセス権管理サーバとして構成するコンピュータに、
   前記ユーザ端末から、ネットワークを経由して前記Ｗｅｂシステムが提供するサービスに対する処理リクエストを受信するステップと、
   ユーザの識別情報とアクセス権設定情報を保持するアクセス権設定情報記憶部から、前記処理リクエストのリクエスト送信者のユーザ識別情報をキーとして、前記リクエスト送信者のアクセス権設定情報を取得するステップと、
   取得した前記アクセス権設定情報を参照して前記リクエスト送信者にアクセス権が有るか否かを判定するステップと、
   前記リクエスト送信者にアクセス権が有る場合、前記処理リクエストの転送先となるＷｅｂシステムの情報、該Ｗｅｂシステムが提供するサービスの情報、およびパラメータ変換ルールを保持するサービス対応情報記憶部から、前記転送先Ｗｅｂシステムの情報、前記サービスの情報、および前記パラメータ変換ルールを取得するステップと、
   前記処理リクエストの内容を、前記パラメータ変換ルールに従って、前記Ｗｅｂシステムが提供する前記サービスに適合するパラメータに変換するステップと、
   前記パラメータを、前記転送先Ｗｅｂシステムに転送するステップと、
   該転送先Ｗｅｂシステムから前記処理リクエストに対応する処理結果の情報をネットワークを経由して受信するステップと、
   前記処理結果の情報を前記ユーザ端末に送信するステップと、
   を実行させるためのプログラム。
8. 前記リクエスト送信者にアクセス権が無い場合、エラーメッセージの画面情報を生成して当該画面情報を前記ユーザ端末に送信するステップを更に含むことを特徴とする請求項７に記載のプログラム。

Images