JP2014052692A - サービス提供制御装置、サービス提供制御システム、サービス提供制御方法、及び、サービス提供制御プログラム - Google Patents

Abstract

【課題】サービスへのアクセスポリシーを柔軟かつ容易に設定し、サービスへのアクセス制御を行うことができるようにするサービス提供制御装置を提供する。
【解決手段】本願発明のサービス提供制御装置は、クライアント端末からのアクセスに対して適用するアクセスポリシーを識別するポリシー識別情報を包含した、Ｗｅｂブラウザのプラグイン拡張モジュールを記憶したプラグイン拡張モジュール記憶手段と、ポリシー識別情報と、ポリシー識別情報を包含するＷｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを記憶したアクセスポリシー記憶手段と、アクセスポリシー記憶手段を参照して、サービスの識別情報が、Ｗｅｂブラウザのプラグイン拡張モジュールが保持するポリシー識別情報に関するレコードに登録されている場合に、サービスをＷｅｂブラウザに提供するサービス提供手段と、を備える。
【選択図】 図１

Description

本願発明は、サービスへのアクセスポリシーを設定して、サービスの提供を行うためのサービス提供制御装置、サービス提供制御システム、サービス提供制御方法、及び、サービス提供制御プログラムに関する。

近年のクラウドコンピューティング環境の進展により、多くの企業がＳａａＳ（Ｓｏｆｔｗａｒｅ ａｓ ａ Ｓｅｒｖｉｃｅ）を導入し始めている。企業がＳａａＳを導入するメリットは、必要な時に必要なだけサービスを利用できる点、導入型と比較してＴＣＯ（Ｔｏｔａｌ Ｃｏｓｔ ｏｆ Ｏｗｎｅｒｓｈｉｐ）を削減できる点、ネットワーク環境とブラウザさえあれば場所を問わずどこでもサービスを利用できる点、自身でソフトウェアのバージョンアップを行わずとも常に最新機能をサービスとして利用できる点などが挙げられる。

このようにＳａａＳ導入には様々なメリットがある一方で、ＳａａＳ導入を躊躇する企業も数多く存在する。企業がＳａａＳ導入を見送る理由として、セキュリティ面での不安要素が挙げられるケースが非常に多く、例えば、高いセキュリティレベルが要求されるアプリケーションやデータをクラウド上で運用することへの懸念や、情報漏えいのリスク等がある。したがって、セキュリティの面で、安心してＳａａＳを利用することが可能となるような技術が求められている。

上述に関連する技術として、特許文献１には、ＳａａＳ等のマルチテナント型のアプリケーションにおいて、情報資源に対する操作権限の情報を定義したアクセス権限定義情報と、テナント毎のロールの分類とロールに付与する権限を定義したテナントロール定義情報と、ロールのユーザへの割り当てを定義したユーザロール定義情報を結びつけて、情報資源に対するアクセス権限の制御を行うシステムが公開されている。

また、特許文献２には、ユーザＩＤと属性を対応付けてユーザ情報を管理部し、属性に対応付けてセキュリティポリシーを管理し、ユーザＩＤに対応付けられた属性に基づいてセキュリティポリシーを取得することで、セキュリティポリシーに基づいたＷｅｂサービスの提供を行うシステムが公開されている。

特開2011-128994号公報 特開2012-69087号公報

前述の特許文献１や特許文献２のシステムでは、ユーザ毎にアクセスポリシーを設定するため、アクセスポリシーの管理者は、ユーザからユーザＩＤ等のユーザ情報を収集した上で、ユーザ毎にアクセスポリシーを定義したファイルを作成する必要がある。このように、アクセスポリシーの管理に手間がかかるため、アクセスポリシーの定義ファイルの更新漏れなどにより、一部ユーザがサービスを利用できなくなるような障害が発生する可能性がある問題がある。

本願発明の目的は、上述の問題点を解決したサービス提供制御装置、サービス提供制御システム、サービス提供制御方法、及び、サービス提供制御プログラムを提供することである。

本願発明の一実施形態のサービス提供制御装置は、クライアント端末上で動作するＷｅｂブラウザに組み込まれるプラグイン拡張モジュールであって、当該Ｗｅｂブラウザに適用されるアクセスポリシーを識別するポリシー識別情報を包含したものを記憶したプラグイン拡張モジュール記憶手段と、前記ポリシー識別情報と、前記Ｗｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを記憶したアクセスポリシー記憶手段と、前記プラグイン拡張モジュールが組み込まれた前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記アクセスポリシー記憶手段を参照して、当該リクエストで指定された当該サービスの識別情報が、当該リクエストに付与された当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該サービスを当該Ｗｅｂブラウザに提供するサービス提供手段と、を備える。

本願発明の一実施形態のサービス提供制御方法は、クライアント端末上で動作するＷｅｂブラウザに組み込まれるプラグイン拡張モジュールであって、当該Ｗｅｂブラウザに適用されるアクセスポリシーを識別するポリシー識別情報を包含したものを第一の記憶域に記憶し、前記ポリシー識別情報と、前記Ｗｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを第二の記憶域に記憶し、前記プラグイン拡張モジュールが組み込まれた前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記第二の記憶域を参照して、当該リクエストで指定された当該サービスの識別情報が、当該リクエストに付与された当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該サービスを当該Ｗｅｂブラウザに提供する。

本願発明の一実施形態のサービス提供制御プログラムは、クライアント端末上で動作するＷｅｂブラウザに組み込まれるプラグイン拡張モジュールであって、当該Ｗｅｂブラウザに適用されるアクセスポリシーを識別するポリシー識別情報を包含したものを記憶域に記憶したプラグイン拡張モジュール記憶処理と、前記ポリシー識別情報と、前記Ｗｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを記憶域に記憶したアクセスポリシー記憶処理と、前記プラグイン拡張モジュールが組み込まれた前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記アクセスポリシー記憶処理の記憶域を参照して、当該リクエストで指定された当該サービスの識別情報が、当該リクエストに付与された当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該サービスを当該Ｗｅｂブラウザに提供するサービス提供処理と、をコンピュータに実行させる。

本願発明は、サービスへのアクセスポリシーを容易にユーザごとに設定し、サービスへのアクセス制御を行うことができるようにする。

本願発明の第１の実施形態のサービス提供制御システムの構成を示すブロック図である。 本願発明の第１の実施形態におけるＷｅｂブラウザへのプラグイン拡張モジュールの組み込み動作を示すフローチャートである。 本願発明の第１の実施形態におけるサービス提供開始動作を示すフローチャートである。 本願発明の第１の実施形態におけるファイルアクセス動作を示すフローチャートである。 本願発明の第１の実施形態におけるアクセスポリシー記憶部が格納する情報の構成例である。 本願発明の第１の実施形態における位置ポリシー記憶部が格納する情報の構成例である。 本願発明の第２の実施形態のサービス提供制御装置の構成を示すブロック図である。

本願発明の第一の実施の形態について図面を参照して詳細に説明する。

図１は本実施形態のサービス提供制御システムの構成を示すブロック図である。

本実施形態のサービス提供制御システム１は、サーバ装置１０と、ネットワーク２と、クライアント端末装置２０を包含している。尚、図示してはいないが、サービス提供制御システム１は、クライアント端末装置２０と構成が同様の複数のクライアント端末装置を包含している。クライアント端末装置２０は、具体的には、デスクトップＰＣ、ノートＰＣ、タブレット端末、スマートフォン等の端末装置である。

クライアント端末装置２０は、ネットワーク２を介してサーバ装置１０と接続されており、サーバ装置１０からＳａａＳの提供を受ける。クライアント端末装置２０は、Ｗｅｂブラウザ２１と、ＧＰＳ２２とを包含している。ＧＰＳ２２は、クライアント端末装置２０の位置情報を取得する。

Ｗｅｂブラウザ２１は、クライアント端末装置２０上で動作するブラウザソフトウェアであり、サーバ装置１０から提供されるＳａａＳのユーザインタフェースを制御する。Ｗｅｂブラウザ２１は、機能を拡張するソフトウェアであるプラグイン拡張モジュール２１０を包含している。

プラグイン拡張モジュール２１０は、ポリシー識別情報２１１を包含している。ポリシー識別情報２１１は、Ｗｅｂブラウザ２１からのアクセスに対して、サーバ装置１０が適用するアクセスポリシーを識別するための情報である。

プラグイン拡張モジュール２１０は、サーバ装置１０から、Ｗｅｂブラウザ２１にインストール可能な形態で提供され、サーバ装置１０からクライアント端末装置２０へダウンロードされて、Ｗｅｂブラウザ２１にインストールされる。プラグイン拡張モジュール２１０は、Ｗｅｂブラウザ２１がサーバ装置１０へＳａａＳ提供のリクエストを出した後、サーバ装置１０からポリシー識別情報２１１の送信要求を受け取ると、サーバ装置１０にポリシー識別情報２１１を送信する。

プラグイン拡張モジュール２１０は、また、ＧＰＳ２２との連携機能を持ち、サーバ装置１０から、クライアント端末装置２０の位置情報の送信要求を受け取ると、ＧＰＳ２２から位置情報を取得して、サーバ装置１０へ位置情報を送信する。

サーバ装置１０は、サービスプロバイダがサービス利用者にＳａａＳを提供するためのサーバ装置であり、サービス提供制御装置１００と、ＳａａＳ１１乃至１３とを包含している。ＳａａＳ１１乃至１３は、サーバ装置１０が提供するサービスのプログラム及びデータであり、それぞれ異なる業務を処理するためのサービスである。ＳａａＳ１１乃至１３は、それぞれＳａａＳ００１乃至ＳａａＳ００３のＩＤが付与されている。

サービス提供制御装置１０は、サービス提供部１０１と、アクセスポリシー記憶部１０２と、位置ポリシー記憶部１０３と、管理者向けポータル１０４と、ユーザ向けポータル１０５と、プラグイン拡張モジュール記憶部１０６とを包含している。

サービス提供部１０１は、Ｗｅｂブラウザ２１０から、ユーザ向けポータル１０５を介してＳａａＳ提供のリクエストを受け取ると、アクセスポリシー記憶部１０２、及び、位置ポリシー記憶部１０３に格納されたポリシーに従い、ＳａａＳの提供を制御する。

サービス提供部１０１は、ＳａａＳ１１乃至１３のいずれかのサービス提供のリクエストを受信すると、Ｗｅｂブラウザ２１に、ポリシー識別情報２１１と、クライアント端末２０の位置情報の送信を要求する。サービス提供部１０１は、Ｗｅｂブラウザ２１からサービス提供の要求を受けたＳａａＳのＩＤと、ポリシー識別情報２１１と、クライアント端末２０の位置情報を、アクセスポリシー記憶部１０２、及び、位置ポリシー記憶部１０３に格納されたポリシーに照らし合わせて、ＳａａＳのサービス提供をするか否かの、サービス提供の制御を行う。

アクセスポリシー記憶部１０２は、Ｗｅｂブラウザ２１がサーバ装置１０へアクセスしてＳａａＳ１１乃至１３のサービス提供を受けるときのアクセス制御ポリシーを示したアクセスポリシーテーブル１０２０を格納している。アクセスポリシーテーブル１０２０の構成例を図５に示す。

図５の例の場合、ポリシー識別情報２１１が“ａａａａ”の場合、Ｗｅｂブラウザ２１が利用可能なサービスは、ＩＤがＳａａＳ００１とＳａａＳ００２である、ＳａａＳ１１とＳａａＳ１２となる。すなわち、この場合、ＩＤがＳａａＳ００３であるＳａａＳ１３は、Ｗｅｂブラウザ２１では利用できないことを示している。同様に、ポリシー識別情報２１１が“ｂｂｂｂ”の場合、Ｗｅｂブラウザ２１が利用可能なサービスは、ＳａａＳ００２とＳａａＳ００３のみであり、ブラウザ識別情報２１１が“ｃｃｃｃ”の場合、Ｗｅｂブラウザ２１が利用可能なサービスは、ＳａａＳ００１とＳａａＳ００３のみとなる。

アクセスポリシーテーブル１０２０におけるアクセス可能ファイルの項目は、Ｗｅｂブラウザ２１が、ＳａａＳ００１乃至００３のいずれかのＳａａＳを利用するときに、アクセス可能なファイルのファイル名を示している。例えば、ポリシー識別情報２１１が“ａａａａ”のＷｅｂブラウザ２１が、ＩＤがＳａａＳ００１のＳａａＳを利用する場合、ｆｉｌｅＡ、ｆｉｌｅＢ、ｆｉｌｅＣへのアクセスが可能であることを示している。同様に、ポリシー識別情報２１１が“ｃｃｃｃ”のＷｅｂブラウザ２１が、ＩＤがＳａａＳ００１のＳａａＳを利用する場合、ｆｉｌｅＡ、ｆｉｌｅＢへのアクセスが可能であることを示している。すなわち、Ｗｅｂブラウザ２１がＳａａＳ００１を利用する場合、ポリシー識別情報２１１が“ａａａａ”の場合にはアクセス可能であったｆｉｌｅＣは、ポリシー識別情報２１１が“ｃｃｃｃ”の場合にはアクセスできないことを示している。

アクセスポリシーテーブル１０２０における更新許可の項目は、上述のアクセス可能なファイルに対して、ファイルの更新処理が可能か否かを示している。例えば、ポリシー識別情報２１１が“ａａａａ”のＷｅｂブラウザ２１が、ＳａａＳ００１を利用する場合、ｆｉｌｅＢの更新処理は可能である。同様に、ポリシー識別情報２１１が“ｃｃｃｃ”のＷｅｂブラウザ２１が、ＳａａＳ００１を利用する場合、ｆｉｌｅＢの更新処理は不可であるため、この場合、Ｗｅｂブラウザ２１は、ｆｉｌｅＢについては参照することしかできない。

位置ポリシー記憶部１０３は、Ｗｅｂブラウザ２１がサーバ装置１０へアクセスしてＳａａＳ１１乃至１３のサービス提供を受けるときの位置ポリシーを示した位置ポリシーテーブル１０３０を格納している。位置ポリシーテーブル１０３０の構成例を図６に示す。

図６の例の場合、ＳａａＳ００１に関しては、クライアント端末装置２０の位置情報によるサービスの利用制限が設定されており、クライアント端末装置２０がＡ社本社ビル（緯度，経度）から半径１ｋｍ以内にある場合のみ、Ｗｅｂブラウザ２１はサービスの利用が可能である。尚、ＳａａＳ００２、及び、ＳａａＳ００３に関しては、クライアント端末装置２０の位置情報によるサービスの利用制限が設定されていないため、Ｗｅｂブラウザ２１は、クライアント端末装置２０の存在場所にかかわらず、サービスの利用が可能である。

アクセスポリシーテーブル１０２０、及び、位置ポリシーテーブル１０３０の内容を更新する場合は、サービスの利用者側の運用管理者が、管理者向けポータル１０４上で、更新作業を行う。

次に図２乃至図４のフローチャートを参照して、本実施形態の動作について詳細を説明する。

図２は、Ｗｅｂブラウザ２１へのプラグイン拡張モジュール２１０の組み込み動作のフローチャートである。

クライアント端末装置２０におけるＷｅｂブラウザ２１は、サーバ装置１０におけるプラグイン拡張モジュール記憶部１０６が記憶している複数のプラグイン拡張モジュールの中から、ユーザが指定したプラグイン拡張モジュールを、クライアント端末２０へダウンロードする（Ｓ００１）。

Ｗｅｂブラウザ２１は、クライアント端末装置２０の上でプラグイン拡張モジュール組みこみコマンドを実行して、Ｗｅｂブラウザ２１内に、ダウンロードしたプラグイン拡張モジュールを組み込み（Ｓ００２）、全体の処理は終了する。

図３は、本実施形態のサービス提供開始動作のフローチャートである。

クライアント端末装置２０におけるＷｅｂブラウザ２１は、ユーザが入力したＩＤ、パスワードを、ネットワーク２を介して、サーバ装置１０へ送信する（Ｓ１０１）。サーバ装置１０におけるサービス提供部１０１は、ユーザのＩＤ、パスワードを受信し、ユーザ認証処理を実施する（Ｓ１０２）。ユーザ認証成功の場合（Ｓ１０３でＹｅｓ）、サービス提供部１０１は、ユーザ向けポータル１０５の画面を、Ｗｅｂブラウザ２１に表示する（Ｓ１０４）。ユーザ認証失敗の場合（Ｓ１０３でＮｏ）、処理はＳ１０１へ戻る。

Ｗｅｂブラウザ２１は、ユーザがリクエストしたＳａａＳのＩＤ情報をサービス提供部１０１に送信し、当該ＩＤ情報のＳａａＳのサービス提供を要求する（Ｓ１０５）。サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ポリシー識別情報２１１と、クライアント端末装置２０の位置情報の送信を要求する（Ｓ１０６）。Ｗｅｂブラウザ２１は、プラグイン拡張モジュール２１０に指示して、ポリシー識別情報２１１と、ＧＰＳ２２から入手したクライアント端末装置２０の位置情報を、サービス提供部１０１に送信する（Ｓ１０７）。

サービス提供部１０１は、アクセスポリシー記憶部１０２を参照し、ポリシー識別情報２１１ とポリシー識別情報が一致するレコードにおける利用可能サービスの項目に、受信したＳａａＳのＩＤ情報が登録されているかどうかを確認する（Ｓ１０８）。ＳａａＳのＩＤ情報が登録されている場合（Ｓ１０９でＹｅｓ）、処理はＳ１１０へ進む。ＳａａＳのＩＤ情報が登録されてない場合（Ｓ１０９でＮｏ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ＳａａＳのサービス提供不可のメッセージを画面出力し、ユーザーリクエストをキャンセルして（Ｓ１１２）、全体の処理は終了する。

サービス提供部１０１は、位置ポリシー記憶部１０３を参照し、受信したクライアント端末装置２０の位置情報が、受信したＳａａＳのＩＤ情報とＩＤ情報が一致するレコードに記載されたサービス利用可能エリア内であるかどうかを確認する（Ｓ１１０）。サービス利用可能エリア内である場合（Ｓ１１１でＹｅｓ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、リクエストされたＳａａＳのサービス提供を開始して（Ｓ１１３）、全体の処理は終了する。サービス利用可能エリア外である場合（Ｓ１１１でＮｏ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ＳａａＳのサービス提供不可のメッセージを画面出力し、ユーザーリクエストをキャンセルして（Ｓ１１２）、全体の処理は終了する。

図４は、本実施形態のファイルアクセス動作のフローチャートである。

サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、要求されたＳａａＳのサービスを提供する（Ｓ２０１）。ファイルへのアクセスリクエストが発生しない場合（Ｓ２０２でＮｏ）、処理はＳ２０１へ戻る。ファイルへのアクセスリクエストが発生した場合（Ｓ２０２でＹｅｓ）、サービス提供部１０１は、アクセスポリシー記憶部１０２を参照し、ポリシー識別情報とＳａａＳのＩＤ情報の組み合わせが一致するレコードにおけるアクセス可能ファイルの項目に、アクセスリクエストの対象ファイルが登録されているかどうかを確認する（Ｓ２０３）。

対象ファイルが登録されている場合（Ｓ２０４でＹｅｓ）、処理はＳ２０５へ進む。対象ファイルが登録されていない場合（Ｓ２０４でＮｏ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ファイルヘのアクセス不可のメッセージを画面出力し、アクセスリクエストをキャンセルし（Ｓ２０９）、処理はＳ２０１へ戻る。

ファイルへのアクセスリクエストがファイルの更新を要求している場合（Ｓ２０５でＹｅｓ）、サービス提供部１０１は、アクセスポリシー記憶部１０２を参照し、ポリシー識別情報とＳａａＳのＩＤ情報とアクセスファイルの組み合わせが一致するレコードにおける更新許可の項目が「可」であるかどうかを確認する（Ｓ２０６）。更新許可の項目が「可」である場合（Ｓ２０７でＹｅｓ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ファイルヘのアクセスを許可し、ファイルアクセスが実行され（Ｓ２０８）、処理はＳ２０１へ戻る。更新許可の項目が「可」でない場合（Ｓ２０７でＮｏ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ファイルヘのアクセス不可のメッセージを画面出力し、アクセスリクエストをキャンセルし（Ｓ２０９）、処理はＳ２０１へ戻る。ファイルへのアクセスリクエストがファイルの更新を要求していない場合（Ｓ２０５でＮｏ）、サービス提供部１０１は、Ｗｅｂブラウザ２１に対して、ファイルヘのアクセスを許可し、ファイルアクセスが実行され（Ｓ２０８）、処理はＳ２０１へ戻る。

本実施形態には、サービスへのアクセスポリシーを容易かつ柔軟に設定し、サービスへのアクセス制御を行う効果がある。その理由は、サービス提供部１０１が、Ｗｅｂブラウザ２１から受信したポリシー識別情報２１１を、アクセスポリシー記憶部１０２に格納されたアクセスポリシーテーブル１０２０に照らし合わせて、Ｗｅｂブラウザ２１に対するＳａａＳ１１乃至ＳａａＳ１３のサービス提供を制御するからである。

従来から、サービス提供を制御する方式として、クライアント証明書（電子証明書）がインストールされたクライアント端末に対してのみサービス提供を認める方式があるが、この方式では、クライアント証明書の有無により、全てのサービスについて利用可能か否が決定するのみであり、サービス提供を制御する方式としては柔軟性に欠けている。

また、より柔軟にサービス提供を制御するため、ユーザＩＤ、あるいはＩＰアドレス等の端末を識別する情報を基にアクセスポリシーを設定する場合、アクセスポリシーの管理者は、各ユーザから、ユーザＩＤや端末のＩＰアドレス等の情報を収集した上でポリシーテーブルを作成する必要が生じる。そして、ユーザの追加や削除等により、ユーザ情報に変更が生じた場合は、アクセスポリシーの管理者は、ポシリーテーブルを更新する必要もある。

本実施形態では、サービス提供側から提供されるＷｅｂブラウザのプラグイン拡張モジュールが包含するポリシー識別情報を基にアクセスポリシーを設定する。したがって、アクセスポリシーの管理者が、上述のようなアクセスポリシー設定に必要な情報を、ユーザから収集する必要がなく、ポリシーテーブルがユーザ情報の変更に影響を受けないため、アクセスポリシーの設定、管理が容易になる。

さらに、本実施形態では、クライアント端末の位置情報を用いたアクセスポリシーを設定したり、各サービスがアクセスするファイル単位でアクセスポリシーを設定したりすることで、より柔軟なサービス提供の制御を行うことが可能となる。
＜第二の実施形態＞
次に、本願発明の第二の実施形態について図面を参照して詳細に説明する。

図７は本願発明の第二の実施形態のサービス提供制御装置の構成を示すブロック図である。

サービス提供制御装置１００は、サービス提供部１０１と、アクセスポリシー記憶部１０２と、プラグイン拡張モジュール記憶部１０６とを包含している。

プラグイン拡張モジュール記憶部１０６は、クライアント端末２０上で動作するＷｅｂブラウザ２１からのアクセスに対して適用するアクセスポリシーを識別するポリシー識別情報２１１を包含した、Ｗｅｂブラウザ２１の複数のプラグイン拡張モジュールを記憶している。

アクセスポリシー記憶部１０２は、ポリシー識別情報２１１と、ポリシー識別情報２１１を包含するプラグイン拡張モジュール２１０が組み込まれたＷｅｂブラウザ２１からのアクセスに対して、提供を許可するＳａａＳ１１乃至ＳａａＳ１３を識別するサービス識別情報との対応関係を示すレコードを、ポリシーテーブルとして記憶している。

サービス提供部１０１は、Ｗｅｂブラウザ２１からＳａａＳ１１乃至ＳａａＳ１３の提供のリクエストを受けた場合、アクセスポリシー記憶部１０２を参照して、ＳａａＳ１１乃至ＳａａＳ１３のサービス識別情報が、リクエストに付与されたＷｅｂブラウザ２１のプラグイン拡張モジュール２１０が保持するポリシー識別情報２１１に関する上述のレコードに登録されている場合に、リクエストされたサービスをＷｅｂブラウザ２１に提供する。

本実施形態には、第一の実施形態と同様に、サービスへのアクセスポリシーを容易かつ柔軟に設定し、サービスへのアクセス制御を行う効果がある。その理由は、サービス提供部１０１が、Ｗｅｂブラウザ２１から受信したポリシー識別情報２１１を、アクセスポリシー記憶部１０２に格納されたポリシーテーブルに照らし合わせて、Ｗｅｂブラウザ２１に対するＳａａＳ１１乃至ＳａａＳ１３のサービス提供を制御するからである。

本実施形態は、ポリシーテーブルを使用することで、サービス提供制御の柔軟性を向上させることが可能となる。また、本実施形態は、アクセスポリシーの設定を、サービス提供側から提供されるＷｅｂブラウザが包含するポリシー識別情報をベースとすることで、ユーザからの情報収集作業やユーザ情報の変更に伴うポリシーテーブル更新作業を無くし、アクセスポリシーの設定管理作業を容易にすることが可能となる。

以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されたものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

１ サービス提供制御システム
２ ネットワーク
１０ サーバ装置
１１乃至１３ ＳａａＳ
１００ サービス提供制御装置
１０１ サービス提供部
１０２ アクセスポリシー記憶部
１０３ 位置ポリシー記憶部
１０４ 管理者向けポータル
１０５ ユーザ向けポータル
１０６ プラグイン拡張モジュール記憶部
２０ クライアント端末装置
２１ Ｗｅｂブラウザ
２１０ プラグイン拡張モジュール
２１１ ポリシー識別情報
２２ ＧＰＳ
１０２０ アクセスポリシーテーブル
１０３０ 位置ポリシーテーブル

Claims (9)

1. クライアント端末上で動作するＷｅｂブラウザに組み込まれるプラグイン拡張モジュールであって、当該Ｗｅｂブラウザに適用されるアクセスポリシーを識別するポリシー識別情報を包含したものを記憶したプラグイン拡張モジュール記憶手段と、
   前記ポリシー識別情報と、前記Ｗｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを記憶したアクセスポリシー記憶手段と、
   前記プラグイン拡張モジュールが組み込まれた前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記アクセスポリシー記憶手段を参照して、当該リクエストで指定された当該サービスの識別情報が、当該リクエストに付与された当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該サービスを当該Ｗｅｂブラウザに提供するサービス提供手段と、
   を備えるサービス提供制御装置。
2. 前記サービスの識別情報と、前記Ｗｅｂブラウザからのアクセスを許可するときの、前記クライアント端末装置が存在する位置領域の情報との対応関係を示すレコードを記憶した位置ポリシー記憶手段をさらに備え、
   前記サービス提供手段は、前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記位置ポリシー記憶手段を参照して、前記リクエストに付与された前記クライアント端末装置が装備したＧＰＳ装置から提供された前記クライアント端末装置の位置情報が、当該サービスに関する前記レコードに登録された前記位置領域の範囲内に収まっている場合に、当該サービスを当該Ｗｅｂブラウザに提供する
   請求項１のサービス提供制御装置。
3. 前記アクセスポリシー記憶手段が記憶する前記レコードは、前記Ｗｅｂブラウザからのアクセスに対して、提供を許可する前記サービスが使用するデータファイルの識別情報をさらに包含し、
   前記サービス提供手段は、前記Ｗｅｂブラウザから前記データファイルへのアクセスリクエストを受けた場合、前記アクセスポリシー記憶手段を参照して、当該データファイルの識別情報が、当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該Ｗｅｂブラウザからの当該データファイルへのアクセスを許可する
   請求項１乃至２のサービス提供制御装置。
4. 前記アクセスポリシー記憶手段が記憶する前記レコードは、前記Ｗｅｂブラウザからのアクセスに対して、アクセスを許可する前記データファイルの更新許可を示す更新許可情報をさらに包含し、
   前記サービス提供手段は、前記Ｗｅｂブラウザから前記データファイルへの更新リクエストを受けた場合、前記アクセスポリシー記憶手段を参照して、当該データファイルに関する前記更新許可情報が、当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードにおいて更新許可を示している場合に、当該当該Ｗｅｂブラウザからの当該データファイルの更新を許可する
   請求項３のサービス提供制御装置。
5. 請求項１乃至４のサービス提供制御装置と、
   前記クライアント端末装置と、
   前記サービスが包含するプログラムと前記データファイルを格納するサーバ装置と、
   を包含するサービス提供制御システム。
6. クライアント端末上で動作するＷｅｂブラウザに組み込まれるプラグイン拡張モジュールであって、当該Ｗｅｂブラウザに適用されるアクセスポリシーを識別するポリシー識別情報を包含したものを第一の記憶域に記憶し、
   前記ポリシー識別情報と、前記Ｗｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを第二の記憶域に記憶し、
   前記プラグイン拡張モジュールが組み込まれた前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記第二の記憶域を参照して、当該リクエストで指定された当該サービスの識別情報が、当該リクエストに付与された当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該サービスを当該Ｗｅｂブラウザに提供する
   サービス提供制御方法。
7. 前記サービスの識別情報と、前記Ｗｅｂブラウザからのアクセスを許可するときの、前記クライアント端末装置が存在する位置領域の情報との対応関係を示すレコードを第三の記憶域に記憶し、
   前記サービス提供手段は、前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記第三の記憶域を参照して、前記リクエストに付与された前記クライアント端末装置が装備したＧＰＳ装置から提供された前記クライアント端末装置の位置情報が、当該サービスに関する前記レコードに登録された前記位置領域の範囲内に収まっている場合に、当該サービスを当該Ｗｅｂブラウザに提供する
   請求項６のサービス提供制御方法。
8. クライアント端末上で動作するＷｅｂブラウザに組み込まれるプラグイン拡張モジュールであって、当該Ｗｅｂブラウザに適用されるアクセスポリシーを識別するポリシー識別情報を包含したものを記憶域に記憶したプラグイン拡張モジュール記憶処理と、
   前記ポリシー識別情報と、前記Ｗｅｂブラウザからのアクセスに対して提供を許可するサービスの識別情報との対応関係を示すレコードを記憶域に記憶したアクセスポリシー記憶処理と、
   前記プラグイン拡張モジュールが組み込まれた前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記アクセスポリシー記憶処理の記憶域を参照して、当該リクエストで指定された当該サービスの識別情報が、当該リクエストに付与された当該Ｗｅｂブラウザの前記プラグイン拡張モジュールが保持する前記ポリシー識別情報に関する前記レコードに登録されている場合に、当該サービスを当該Ｗｅｂブラウザに提供するサービス提供処理と、
   をコンピュータに実行させるサービス提供制御プログラム。
9. 前記サービスの識別情報と、前記Ｗｅｂブラウザからのアクセスを許可するときの、前記クライアント端末装置が存在する位置領域の情報との対応関係を示すレコードを記憶域に記憶した位置ポリシー記憶処理をコンピュータに実行させ、
   前記サービス提供処理は、前記Ｗｅｂブラウザから前記サービスの提供のリクエストを受けた場合、前記位置ポリシー記憶処理の記憶域を参照して、前記リクエストに付与された前記クライアント端末装置が装備したＧＰＳ装置から提供された前記クライアント端末装置の位置情報が、当該サービスに関する前記レコードに登録された前記位置領域の範囲内に収まっている場合に、当該サービスを当該Ｗｅｂブラウザに提供する
   請求項８のサービス提供制御プログラム。

Images