JP2012059148A - アクセス制御装置およびアクセス制御プログラム - Google Patents

Abstract

【課題】制御対象の形式を限定せずにアクセス制御を可能とすることである。
【解決手段】実施形態のアクセス制御装置は階層構造とみなされるアクセスパスおよびアクセスパスに対するアクセス権限を格納するアクセス権限テーブルと、優先ルールおよびデフォルト権限を格納するアクセスポリシーテーブルとを記憶するアクセス制御情報記憶部と、アクセスパスとユーザ属性情報とを受信し、アクセスポリシーテーブルから優先ルールおよびデフォルト権限情報を抽出し、受信したアクセスパスとユーザ属性情報と抽出された優先ルールに基づいてアクセス権限テーブルからアクセス権限を検索し、適合するアクセスパスに対して設定されたアクセス権限を採用し、採用されたアクセス権限に基づいてアクセス制御対象へのアクセスを制御するアクセス制御部とを備える。
【選択図】 図１

Description

本発明の実施形態は、アクセス制御装置およびアクセス制御プログラムに関する。

近年、例えば企業等における業務処理を支援するための業務アプリケーションを当該企業に所属するユーザ（社員または職員等）に対して提供する業務システムがある。企業に所属するユーザは、業務を行う際に利用対象の業務アプリケーションを有する業務サーバにアクセスすることで業務アプリケーションを利用することができる。

業務サーバには企業情報や個人情報などの様々な機密情報が含まれており、全てのユーザが無制限に、業務サーバが有する業務アプリケーションまたは業務データにアクセスできることは好ましくない。このため、ユーザが所属する企業内における組織、役職、または個人等のロールに応じて、業務アプリケーションまたは業務データに対するアクセス権限を設定することで業務サーバが有する業務アプリケーションまたは業務データに対するユーザのアクセスを制御する技術がある。

アクセス権限設定の従来技術としては、例えば予め階層構造を有しているデータの各階層に対してアクセス権限を設定することでアクセス制御を行う技術がある。しかしながらこの技術では、アクセス制御対象のデータは階層構造である必要があるためデータの構造が制限される。

特開２００５−１８２３５５号公報

本発明が解決しようとする課題は制御対象の形式を限定せずにアクセス制御を可能とすることである。

実施形態のアクセス制御装置は、アクセス制御対象に辿り着くまでの経路を示す、階層構造とみなされるアクセスパス、および前記アクセスパスに対して設定されたアクセス権限を格納するアクセス権限テーブルと、アクセス制御対象ごと、アクセス制御対象の属するグループごと、もしくはユーザ属性情報ごとに設定される、優先ルールおよびデフォルト権限を格納するアクセスポリシーテーブルとを記憶するアクセス制御情報記憶部と、 前記アクセスパスと前記ユーザ属性情報とを受信し、受信した前記アクセスパス、または前記ユーザ属性情報に基づいて前記アクセスポリシーテーブルから前記優先ルールおよび前記デフォルト権限情報を抽出し、受信した前記アクセスパス、前記ユーザ属性情報、および抽出された前記優先ルールに基づいて前記アクセス権限テーブルからアクセス権限を検索し、検索した結果適合するアクセスパスがある場合、前記アクセス制御対象にアクセス要求するユーザのアクセス権限として該アクセスパスに対して設定された前記アクセス権限を採用し、検索した結果適合するアクセス権限情報が無い場合、前記ユーザのアクセス権限として抽出された前記デフォルト権限を採用するアクセス権限判定部と、採用された前記ユーザのアクセス権限に基づいて前記アクセス制御対象へのアクセスを制御するアクセス制御部と、を備えることが特徴である。

第１の実施形態に係るアクセス制御装置を備える業務システムの全体構成の一例を示す図。 第１の実施形態に係るアクセス制御装置のハードウェア構成の一例を示す図。 第１の実施形態に係るアクセス制御装置のアクセスポリシーテーブルの一例を示す図。 第１の実施形態に係るアクセス制御装置のアクセス権限テーブルの一例を示す図。 第１の実施形態に係る業務システムにおいてクライアント端末１から業務サーバ４にアクセスが行われる際の処理の一例を示すフローチャート。 第１の実施形態に係るアクセス制御装置のアクセス権限判定処理の一例を示すフローチャート。 第２の実施形態に係るアクセス制御装置を備える業務システムの全体構成の一例を示す図。 第２の実施形態に係るアクセス制御装置の業務データテーブルの一例を示す図。 第２の実施形態に係るアクセス制御装置のアクセスパス設定処理の一例を示すフローチャート。

（第１の実施形態）
以下、本実施形態について図面を参照して説明する。図１は本実施形態のアクセス制御装置３を用いた業務システムの一実施形態を示すブロック図である。図１に示されるように、本実施形態に係る業務システムはクライアント端末１と、認証装置２と、アクセス制御装置３と、業務サーバ４とから構成されており、ユーザがクライアント端末１から業務サーバ４にアクセスする際に実行されるプログラムや読み込み（参照）／書き込み（更新）されるデータや使用されるハードウェア資源（例えば、コンピュータ）へのアクセス可否やアクセス種類（読込可、書込不可など）などのアクセス権限をアクセス制御装置が判定する。

以下、アクセスとはプログラムの実行やデータの読み込み／書き込みやハードウェア資源の使用などを意味するものとする。

業務サーバ４はクライアント端末１とアクセス制御装置３とに接続され、業務に用いられるソフトウェアである業務アプリケーション４１と、後述するアクセス制御部３１から受信したデータに基づいて各業務アプリケーション４１を制御する業務アプリケーション制御部４２とを備える。

クライアント端末１は認証装置２とアクセス制御装置３と業務サーバ４とに接続され、アクセス制御装置３を介して業務サーバ４を利用する端末であり、入力を行う入力部１１と、業務サーバ４から送信されたデータを出力するための出力部１２有する。出力部１２とは例えば表示部であり、本実施形態のアクセス制御対象である業務アプリケーション４２を利用するための画面が表示される。なお、本実施形態ではクライアント端末１を１つとしているが複数で構成することも可能である。また、業務システムはネットワークを介して構成されても良い。

認証装置２はクライアント端末１とアクセス制御装置３とに接続され、認証部２１と認証データベース（ＤＢ）２２とを備える。認証ＤＢ２２にはユーザＩＤとそのユーザＩＤに対応したパスワードとが格納された認証情報テーブルが記憶されている。認証装置２は入力部１１から入力された情報（ユーザＩＤとパスワード）と認証ＤＢ２２に記憶された認証情報テーブルとに基づいて、この業務システムにユーザがログインできるか否かを決定する認証処理を行う。すなわち、ユーザが本人であるかどうかやユーザが業務システムにアクセスする権限を持つかを確認する。

この認証処理があらかじめ行われユーザが確認された状態で、アクセス制御装置３にクライアント端末１から後述するロールや組織名などのユーザ属性情報とアクセス制御対象のアクセスパスとを含むアクセス権限判定情報が入力され、入力されたアクセス権限判定情報に基づいてアクセス制御装置３によりアクセス権限判定処理が行われる。アクセスパスとはアクセス対象に対して設定されるパスであり、アクセス制御対象に辿り着くまでの経路を示す。本実施形態のアクセスパスは、スラッシュ（／）、バックスラッシュ（＼）、コンマ（，）、スペース（ ）などの区切り文字を含んで構成され、区切り文字で区切られた各文字列や項目は階層構造であるとみなされる。アクセスパスの一例としてはＵＲＬが挙げられる。なお、アクセス権限判定処理については後述する。

アクセス制御装置３は、アクセス権限判定部３０、アクセス制御部３１、およびアクセス制御情報記憶部３２を備えており、クライアント端末１と認証装置２と業務サーバ４とに接続される。アクセス制御装置３は、クライアント端末１から入力されるアクセス権限判定情報に基づいて業務サーバ４の業務アプリケーション４１へのアクセス制御を行う。

アクセス権限判定部３０は、入力されたアクセス権限判定情報に基づいてアクセス制御情報記憶部３２を参照し、アクセス制御対象の業務アプリケーション４１へのアクセス権限を判定するアクセス権限判定処理を行う。アクセス制御部３１は、アクセス権限判定部３０の判定結果に基づいて、クライアント端末１から業務サーバ４へのアクセスを制御する。アクセス制御情報記憶部３２は、アクセスポリシー情報を保存するためのアクセスポリシーテーブル３３と、アクセス権限情報を保存するためのアクセス権限テーブル３４とを有する。アクセスポリシー情報とアクセス権限情報については後述する。

ここで、図２を用いてアクセス制御装置３のハードウェア構成について説明する。図２に示すようにアクセス制御装置３は、ホストインタフェース（ＨＯＳＴ Ｉ／Ｆ）部３１１、ＣＰＵ３１２、プログラムメモリ３１３、メモリ３１４、ＲＯＭ３１５、ハードディスクドライブインタフェース（ＨＤＤ Ｉ／Ｆ）３１７、およびドライブデバイス（例えばＨＤＤ）３１８から構成される。

ＨＯＳＴ Ｉ／Ｆ部３１１はクライアント端末１と接続するためのインタフェースであり、ＨＤＤ Ｉ／Ｆ部３１７はドライブデバイス３１８と接続するためのインタフェースである。ＣＰＵ３１２は、ＲＯＭ３１５からメモリ３１４にコピー（ロード）されたプログラム３１６を実行することによってアクセス制御装置３内の他の要素の制御及び各種の処理を行う。

メモリ３１４は、アクセス制御装置３のローカルメモリとして用いられる。メモリ３１４は、ＲＯＭ３１５に格納されているプログラム３１６がＣＰＵ３１２による実行のためにコピーされる領域及びＣＰＵ３１２の各種処理でのワーク領域を提供する。

ＲＯＭ３１５は、プログラム３１６を予め格納する不揮発性メモリである。ＲＯＭ３１５に変えて、フラッシュＲＯＭのような書き換え可能な不揮発性メモリを用いても構わない。ドライブデバイス３１８は記憶媒体であり、アクセス制御情報記憶部３２として機能する。なお、ドライブデバイス３１８は複数でもよい。また、論理ディスクによって構成してもよい。

次に図３、および図４を参照して、アクセス制御情報記憶部３２が格納するアクセスポリシーテーブル３３と、アクセス権限テーブル３４とについて説明する。

図３に示すようにアクセスポリシーテーブル３３は、「アプリケーション名」３３０と、「優先ルール」３３１と、「デフォルト権限」３３２と、「組織」３３３と、「ロール」３３４の項目を格納するテーブルである。

組織３３３は、ユーザが所属する組織名を示し、例えばユーザの属する事業部「社内システム管理部」、「企画部」、「第１営業部」、「第２営業部」である。図３では一例として企画部を示している。ロール３３４は、業務サーバ４を利用するユーザの職務上の機能（役割）を示す情報であり、例えば役職や雇用形態に基づいて設定される。本実施形態ではロール３３４の一例として、組織の管理者を「管理者」、各システムにおける業務の担当者を「担当者」、その他のユーザを「一般」とし、図４では管理者を示している。

アプリケーション名３３０は、業務サーバ４が有する各業務アプリケーション４１の名前を示す。ここでは一例として「契約書閲覧アプリケーション」、「社内組織変更アプリケーション」、「給与管理アプリケーション」、「発注アプリケーション」を示している。

優先ルール３３１は、後述するアクセス権限判定処理において図４に示すアクセス権限テーブル３４のアクセスパス３４０を検索する際の検索順序を示す。例えば「上位優先／下位優先」と設定され、「上位優先」と設定すると入力されたアクセスパスの上位階層から、アクセス権限テーブル３４のアクセスパス３４０を検索し、最初に適合したアクセスパス３４０のアクセス権限を採用する。「下位優先」と設定すると下位の階層から検索し、最初に適合したアクセスパス３４０のアクセス権限３４１を採用する。

デフォルト権限３３２は、後述するアクセス権限テーブル３４に設定されていないアクセスパスに対するアクセス権限を示す。このデフォルト権限３３２を設定することにより、全ての業務アプリケーション４１に対するアクセスパスとそのアクセス可否（アクセス権限）とをあらかじめアクセス権限テーブル３４に登録する必要がなくなる。このため、例えばデフォルアクセス権限３３４を禁止にし、アクセス権限が許可と設定されるアクセスパスのみをアクセス権限テーブルに登録する、又はその逆で、デフォルトアクセス権限を許可にし、アクセス権限が禁止と設定されるアクセスパスのみをアクセス権限テーブルに登録するなど、アクセス権限テーブル３４に格納するデータ量を少なくすることが可能である。これにより、後述するアクセス権限判定処理を効率化することが可能となる。

本実施形態の優先ルール３３１とデフォルト権限３３２とは組織３３３とロール３３１ごとに作成される。なお、優先ルール３３１とデフォルト権限３３２とは各組織に属するユーザ単位で作成されてもよい。また、優先ルール３３１とデフォルト権限３３２とは異なる単位で設定することも可能である。

図４に示すようにアクセス権限テーブル３４は、アクセス制御対象のアクセスパス３４０と、アクセスパス３４０に対して設定されたアクセス権限（アクセス可否：許可／禁止）３４１とを格納するテーブルである。アクセス制御対象のアクセスパスとアクセス権限とをアクセス権限情報とする。なお、このアクセス権限テーブル３４はアプリケーション名３３０ごとに作成されている。

ここで、アクセスパスについて説明する。アクセスパスとは例えばＵＲＬであり、アクセス制御対象の各業務アプリケーション４１に対してあらかじめ設定され、業務アプリケーション４１を特定するために用いられる。

一例として「／appliA／subappliA／function／subfunction／screen」というアクセスパスを挙げる。このアクセスパスは区切り文字として「／」が用いられており、「／[アプリケーション名]／[サブアプリケーション名]／[機能名]／[サブ機能名]／[画面名]」というように区切り文字によって区切られた項目はそれぞれ特定の意味を持っている。また、区切られた項目はアクセス対象への経路を階層的に示している。なお、本実施形態のアクセスパスを構成する項目にはアクセス対象であるシステムの名称が含まれる。

本実施形態のアクセス権限はこのアクセスパスに対して設定され、設定されたアクセス権限は、アクセスパスと共にアクセス権限テーブル３４に格納されている。

図５を参照して、本実施形態のアクセス制御装置３のアクセス処理について説明する。図５は、本実施形態の業務システムにおいてクライアント端末１から業務サーバ４の業務アプリケーション４１にアクセスする際の動作の一例を示すフローチャートである。

まず、クライアント端末１の入力部１１から利用者のユーザＩＤ、パスワードを含む認証情報が入力され、認証装置２に送信される（ステップＳ１１）。送信されたユーザＩＤと、パスワードとに基づいて、認証装置２の認証部２１が認証処理を行う（ステップＳ１２）。すなわち、送信されたユーザＩＤに基づいて、認証データベース（ＤＢ）に記憶された認証データテーブルのユーザＩＤを検索して、一致するユーザＩＤのパスワードと送信されたパスワードとを照合し、ユーザの認証を行う。認証処理で認証されなかった場合（ステップＳ１２がＮｏ）、処理が終了する。この際にエラー画面をクライアント端末１の出力部１２に表示しても良い。

認証処理で認証された場合（ステップＳ１２がＹｅｓ）、クライアント端末１においてアクセス制御対象の「アクセスパス」、ユーザの「ロール」、およびユーザの属する「組織」を含むアクセス権限判定情報が入力可能となる。

続いて入力部１１によってアクセス権限判定情報が入力される（ステップＳ１３）。本実施形態で入力されるアクセスパスは「／appliA／subappliA／function」であり、ユーザ属性情報である組織名およびロールは「企画部・管理者」および「第１営業部・担当者」であるとする。入力されたアクセス権限判定情報はアクセス制御装置３のアクセス権限判定部３０に送信され、アクセス権限判定部３０によりアクセス権限判定処理が行われる（ステップＳ１４）。なお、ユーザ属性情報である組織名、およびロールは、認証処理で認証された場合に認証ＤＢ２２から抽出され、アクセス権限判定部３０に送信されるようにしてもよい。この場合、認証ＤＢ２２にあらかじめユーザＩＤと対応したユーザ属性情報を格納する必要がある。

ここで、図６を用いて図５のステップＳ１４におけるアクセス権限判定処理について説明する。

まず、アクセス権限判定部３０が上述したロール、組織名、およびアクセスパスを含むアクセス権限判定情報を受信する（ステップＳ２１）。次に、アクセス権限判定部３０は受信したアクセス権限判定情報に基づいてアクセスポリシーテーブル３３を検索する（ステップＳ２２）。具体的には、アクセス権限判定部３０は受信したアクセス権限判定情報の組織名、ロール、およびアクセスパスの階層構造の最上位の「アプリケーション名」に基づいてアクセスポリシーテーブル３３を検索する。検索した結果、一致するアクセスポリシー情報の優先ルールとデフォルト権限とを抽出する（ステップＳ２３）。すなわち、入力されたアクセスパスに含まれる「ａｐｐｌｉＡ（契約書閲覧アプリケーション）」というアプリケーション名に基づいて優先ルール３３１を抽出し、「企画部」という組織と「管理者」というロールとに基づいてデフォルト権限３３２を抽出する。

ここで、図３に示されるアクセスポリシーテーブル３３において抽出される優先ルール３３１は「下位優先」であり、デフォルト権限３３２は「許可」である。

続いて、アクセス権限判定部３０は受信したアクセスパスに含まれるアプリケーション名に基づいてアクセス制御情報記憶部３２のアクセス権限テーブル３４を検索し、アプリケーション名３３０が一致するアクセス権限テーブル３４を抽出する（ステップＳ２４）。具体的には本実施形態のアクセス制御対象の業務アプリケーション４１は「ａｐｐｌｉＡ（契約書閲覧アプリケーション）」であるため、図４に示す契約書閲覧アプリケーションにおけるアクセス権限テーブル３４が抽出される。

続いてアクセス権限判定部３０は、ステップＳ２１で入力されたアクセスパスと組織とロールとが一致するアクセス権限情報がステップＳ２４で抽出されたアクセスパス権限テーブル３４にあるか否かを優先ルール３３１に基づいて順次検索する（ステップＳ２５）。本実施形態では優先ルール３３１は「下位優先」であるため、抽出されたアクセス権限テーブル３４の下位から順次検索を行う。検索の結果、適合するアクセス権限情報が抽出された場合（ステップＳ２６がＹｅｓ）、抽出されたアクセス権限３４１をアクセス権限として採用する（ステップＳ２７）。本実施形態では、図４に示したアクセスパス３４０に「／appliA／subappliA／function」が格納されているため、適合するアクセス権限情報が抽出され、アクセス権限として「許可」が採用される。

適合するアクセスパス３４０が抽出されない場合（ステップＳ２６がＮｏ）、アクセス権限として、ステップＳ２３で抽出されたデフォルト権限３３４が採用される（ステップＳ２８）。ステップＳ２７もしくはステップＳ２８で採用されたアクセス権限と入力されたアクセスパスとがアクセス制御部３１に送信され（ステップＳ２９）、アクセス権限判定処理が終了する。すなわち、本実施形態ではステップＳ２９で「／appliA／subappliA／function」というアクセスパスと、「許可」というアクセス権限とがアクセス制御部３１に送信される。

続いて、図５のステップＳ１５に戻る。アクセス制御部３１はステップＳ２９において受信したアクセス権限とアクセスパスとを業務サーバ４の業務アプリケーション制御部４２に送信する（ステップＳ１５）。送信されたアクセス権限が「許可」である場合（ステップＳ１６がＹｅｓ）、業務アプリケーション制御部４２はアクセス制御対象の業務アプリケーション４１をクライアント端末１の出力部１２に出力し（ステップＳ１７）、処理が終了する。本実施形態では、アクセス制御部３１に送信されたアクセス権限が禁止である場合（ステップＳ１６がＮｏ）、業務アプリケーション制御部４２はアクセス禁止であることを示す画面クライアント端末１の出力部１２に出力し（ステップＳ１８）、処理が終了する。

以上のように本実施形態によれば、アクセス制御対象の業務アプリケーションに対するアクセスパスを区切り文字によって階層構造とみなし、これらのアクセスパスに対してアクセス権限を設定することにより、各業務アプリケーションに対するアクセス制御を実現できる。これにより、アクセス制御対象の形式を限定せずにアクセス制御を行うことが可能となる。

また、デフォルト権限を設定することにより全てのアクセスパスに対してアクセス権限を設定する必要が無いため、アクセス権限の設定を効率化することができる。また、優先ルールを設定することにより局所的なアクセス制御を可能とする。

なお、認証装置２によるユーザ認証は毎回行わず、最初の認証処理によって業務サーバ４に認証情報が保持されることも可能である。すなわち、アクセス権限判定情報として、ユーザＩＤを用いることも可能である。また、アクセス権限判定情報は組織とアクセスパスとしてもよいし、ユーザＩＤと組織とアクセスパスとしても良く、さまざまな組み合わせが考えられる。アクセス権限判定情報の設定により詳細なアクセス制御を行うことも可能である。

また、ユーザ属性情報はユーザＩＤを含めてもよい。すなわち、ロール、組織名をユーザＩＤごとに設定することも可能である。また、ユーザ属性情報はロール、組織、ユーザＩＤのうちの少なくとも一つが含まれる。また、例えば下位階層のアクセスパスが設定されたアクセス制御対象にアクセスが集中するような業務システムでは、優先ルール３３１を下位優先と設定するとアクセス処理を効率化できる。

また、アクセス権限テーブルにおいてアクセスパスに対するアクセス権限をユーザ属性情報ごとに設定することで、より詳細なアクセス制御を実現することも可能である。

この場合、兼務などによってユーザが複数のユーザ属性情報を有する場合には複数のアクセス権限が抽出される。すなわち、ユーザ属性情報に基づくアクセス権限の一つは「許可」であり、もう一つのユーザ属性情報に基づくアクセス権限は「禁止」であるといった矛盾が生じる場合がある。このとき、例えば優先ルールを「上位優先」と設定している場合、アクセス権限テーブルから順次抽出されたアクセス権限のうち、上位のアクセス権限が採用される。このように、優先ルールによって複数のアクセス権限が抽出された場合にも対応ができる。なお、この場合あらかじめアクセス権限テーブルの製作者やユーザなどによってユーザの属性情報について上位／下位が設定されている。

（第２の実施形態）
本発明の第２の実施形態の業務システムの機能構成について、図７乃至図９を用いて説明する。図７に示すように本実施形態の業務システムは、クライアント端末１と、認証装置２と、アクセス制御装置３と、業務サーバ４と、アクセスパス設定装置５とから構成される。なお、第１の実施形態と同一の構成には同一の符号を付し、説明は省略する。

本実施形態の業務サーバ４は、業務データテーブル４５が記憶される業務データ記憶部４４と業務データ制御部４３とを備える。

業務データ制御部４３は、アクセス制御部３１から送信されたデータに基づいて業務データ記憶部４４の業務データテーブル４５から対象の業務データを抽出してクライアント端末１に送信する機能を有する。

アクセスパス設定装置５は、業務サーバ４とクライアント端末１とに接続され、業務サーバ４の業務データ記憶部４４に記憶された業務データテーブル４５の編集を行う。業務データテーブル４５の編集は、例えば受信した業務データの登録、更新、この業務データに対応するアクセスパスの設定、登録、更新などである。

また、アクセスパス設定装置５はアクセスパス設定部５０と、アクセスパス設定ルール記憶部５１とを備える。アクセスパス設定ルール記憶部５１はアクセスパス設定のためのアクセスパス設定ルールを業務データの種類ごとに記憶している。

アクセスパス設定ルールとは例えば、「アクセスパス設定対象の業務データの項目ごとに区切り文字を挿入して文字列を作成する」といったアクセスパス設定対象に自動的にアクセスパスを作成するためのルールである。

アクセスパス設定部５０は上述したアクセスパス設定ルールを用いて、受信した業務データに対してアクセスパスを設定する。

図８に業務データテーブル４５の一例を示す。図８に示すように業務データテーブル４５は、業務データ４５０と業務データ４５０に対して設定されたアクセスパス４６０とが対応づいて格納される。

業務データ４５０は、顧客との契約を管理するための情報である契約管理情報であり、業務データ名４５１、契約管理番号４５２、契約名４５３、顧客名４５４、契約担当部署４５５、契約担当者４５６という項目から構成される。

アクセスパス４６０は各業務データ４５０に対応してアクセスパス設定装置５のアクセスパス設定部５０により設定される。アクセスパス設定部５０によるアクセスパス設定処理について図９を用いて説明する。

まず、アクセスパス設定装置５に業務データ４５０が入力される（ステップＳ３１）。なお、業務データ４５０はクライアント端末１の入力部１１から入力されてもよいし、外部の入力装置から入力されてもよい。

続いて、アクセスパス設定装置５は入力された業務データの種類を判別する（ステップＳ３２）。具体的には、業務データ４５０を構成する項目のうちの業務データ名４５１を抽出する。なお、業務データの種類とは各業務データが属するグループであり、業務データ名ごとでも良いし、各業務データが使用される業務アプリケーションごとでも良い。

抽出された業務データ名４５１に基づき、アクセスパス設定ルールをアクセスパス設定ルール記憶部５１から抽出する（ステップＳ３３）。本実施形態では、契約管理情報に対するアクセスパス設定ルールは、「／[契約担当部署]／[契約担当者]／[契約名]」であるとする。このように、本実施形態のアクセスパス設定ルール記憶部５１に記憶されたアクセスパス設定ルールは業務データの種類ごとに業務データを構成する各項目が区切り文字によって区切られている。第１の実施形態と同様に、アクセスパスの区切り文字によって区切られた項目は階層構造であるとみなされる。

アクセスパス設定ルール記憶部５１からアクセスパス設定ルールが抽出される場合（ステップＳ３３がＹｅｓ）、抽出されたアクセスパス設定ルールを用いて、対象の業務データにアクセスパスが設定される（ステップＳ３４）。すなわち、アクセスパス設定ルールの各項目に基づいて対象の業務データテーブルの項目を検索し、該当する項目を業務データテーブルから抽出して、アクセスパスを設定する。ステップＳ３４で設定されたアクセスパスと業務データとを業務データテーブル４５に登録して（ステップＳ３５）、アクセスパス設定処理を終了する。

アクセスパス設定ルール記憶部５１からアクセスパス設定ルールが抽出されない場合（ステップＳ３３がＮｏ）、新規にアクセスパス設定ルールを作成する画面をクライアント端末１に表示し、ユーザが入力したアクセスパス設定ルールをアクセスパス設定ルール記憶部５１に登録する（ステップＳ３６）。その後ステップＳ３４に戻り、処理を行う。

本実施形態のアクセスポリシーテーブル３３に、業務データの種類ごとに優先ルール、およびデフォル権限が格納されている。デフォルト権限はユーザ属性情報ごとに設定されており、本実施形態のユーザ属性情報は組織名、ロール、ユーザＩＤであるとする。

本実施形態のアクセス権限テーブル３４に、これらのようなアクセス制御対象の各業務データに対して設定されたアクセスパスに対するユーザ属性情報ごとのアクセス権限が、格納されている。

本実施形態の業務システムは、上述したアクセスパス設定処理によってアクセスパスが設定されたアクセス制御対象の業務データに対してアクセス処理を行う。

本実施形態の業務システムは、上述したアクセスパス設定処理によって業務サーバ４が有する各業務データに対してアクセスパスが設定される。このように、本実施形態のアクセス制御装置は各データ単位でのアクセスパスの設定を可能とする。

これにより、データ単位でのアクセス権限を設定することが可能となるため、より詳細なアクセス制御を可能とする。例えば同じ業務アプリケーションにアクセスする場合でも、ロールや組織や個人ごとにアプリケーション上で利用するデータが異なるように制御することが可能となる。

以上のように本発明のいくつかの実施形態を説明したが、これらの実施形態は例として提示したものであり発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これらの実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。

例えば、認証装置２を構成要素からはずすことや、外部の認証装置で認証されたクライアント端末１から入力が行われるとすることが可能である。また、アクセスポリシーテーブルの項目は上述の実施形態で例示したものだけでなく、さまざまな組み合わせが考えられる。

なお、アクセスパスの設定は業務データが業務データテーブルに記憶されるたびに行うようにしても良い。また、一定量の業務データが業務データ記憶部４４に記憶された場合に行うようにしても良いし、一定時間ごと、もしくはある特定のタイミングに業務データ記憶部４４に記憶されているアクセスパスが設定されていない業務データを抽出して行うようにしてもよい。

また、アクセスポリシーテーブルは、さまざまな組み合わせでの設定が可能であり、例えば組織とアプリ名ごとに設定することも可能である。また、ユーザＩＤごとに設定することも可能である。

また、アクセスパス設定部５０、およびアクセスパス設定ルール記憶部５１はアクセス制御装置３が備えるようにすることも可能である。

１…クライアント端末、２…認可装置、３…アクセス制御装置、４…業務サーバ、５…アクセスパス設定装置、３０…アクセス権限判定部、３１…アクセス制御部、３２…アクセス制御情報記憶部、５０…アクセスパス設定部、５１…アクセスパスルール記憶部

Claims (6)

1. アクセス制御対象に辿り着くまでの経路を示す、階層構造とみなされるアクセスパス、および前記アクセスパスに対して設定されたアクセス権限を格納するアクセス権限テーブルと、アクセス制御対象ごと、アクセス制御対象の属するグループごと、もしくはユーザ属性情報ごとに設定される、優先ルールおよびデフォルト権限を格納するアクセスポリシーテーブルとを記憶するアクセス制御情報記憶部と、
   前記アクセスパスと前記ユーザ属性情報とを受信し、
   受信した前記アクセスパス、または前記ユーザ属性情報に基づいて前記アクセスポリシーテーブルから前記優先ルールおよび前記デフォルト権限情報を抽出し、
   受信した前記アクセスパス、前記ユーザ属性情報、および抽出された前記優先ルールに基づいて前記アクセス権限テーブルからアクセス権限を検索し、
   検索した結果適合するアクセスパスがある場合、前記アクセス制御対象にアクセス要求するユーザのアクセス権限として該アクセスパスに対して設定された前記アクセス権限を採用し、
   検索した結果適合するアクセス権限情報が無い場合、前記ユーザのアクセス権限として抽出された前記デフォルト権限を採用するアクセス権限判定部と、
   採用された前記ユーザのアクセス権限に基づいて前記アクセス制御対象へのアクセスを制御するアクセス制御部と、を備えることを特徴とするアクセス制御装置。
2. 前記アクセス制御部は、判定された前記アクセス権限が「許可」である場合に前記アクセス制御対象に前記アクセスパスを送信することを特徴とする請求項１に記載のアクセス制御装置。
3. 前記ユーザ属性情報は前記アクセス制御対象にアクセス要求するユーザの、属する組織、役職、ユーザＩＤのうちの少なくとも一つを含むことを特徴とする請求項１乃至請求項２の何れか１項に記載のアクセス制御装置。
4. 前記優先ルールは「下位優先」であることを特徴とする請求項１乃至請求項３の何れか１項に記載のアクセス制御装置。
5. さらにアクセスパス設定部とアクセスパス設定ルール記憶部を備え、
   前記アクセスパス設定部は、前記アクセスパス設定ルール記憶部に記憶されたアクセスパス設定ルールを用いて、アクセス制御対象の業務データにアクセスパスを設定することを特徴とする請求項１乃至請求項４の何れか１項に記載のアクセス制御装置。
6. アクセス制御対象を有するサーバと、前記サーバにアクセスするクライアント端末とに接続され、アクセス制御対象に辿り着くまでの経路を示す階層構造とみなされるアクセスパス、および前記アクセスパスに対して設定されたアクセス権限を格納するアクセス権限テーブルと、アクセス制御対象ごと、アクセス制御対象の属するグループごと、もしくはユーザ属性情報ごとに設定される、優先ルールおよびデフォルト権限を格納するアクセスポリシーテーブルとを記憶するアクセス制御情報記憶部を備え、前記クライアント端末から入力される、前記アクセスパスを用いて前記サーバへのアクセスを制御するアクセス制御装置のアクセス制御プログラムであって、
   コンピュータに、
   前記アクセスパスと前記ユーザ属性情報とを受信する機能と、受信した前記アクセスパスまたは前記ユーザ属性情報に基づいて前記アクセスポリシーテーブルから前記優先ルールおよび前記デフォルト権限情報を抽出する機能と、受信した前記アクセスパス、前記ユーザ属性情報、および抽出された前記優先ルールに基づいて前記アクセス権限テーブルからアクセス権限を検索する機能と、検索した結果適合するアクセスパスがある場合、前記アクセス制御対象にアクセス要求するユーザのアクセス権限として該アクセスパスに対して設定された前記アクセス権限を採用する機能と、検索した結果適合するアクセス権限情報が無い場合、前記ユーザのアクセス権限として抽出された前記デフォルト権限を採用する機能と、採用された前記ユーザのアクセス権限に基づいて前記アクセス制御対象へのアクセスを制御する機能と、を実行させるためのアクセス制御プログラム。

Images