JP2014119962A5 - - Google Patents

Claims (12)

1. 情報を記憶するサーバ側記憶部を備える処理サーバ装置と、前記サーバ側記憶部にアクセスを要求するアクセス要求を前記処理サーバ装置に送信する端末装置とを備える情報通信システムにおいて、
   セキュリティに関する規則が記述されたセキュリティポリシを記憶装置に記憶するセキュリティポリシ記憶部と、
   前記端末装置の属性を示す属性情報を受信し、受信した前記属性情報に基づいて前記端末装置に施されているセキュリティの状態を判定し、前記端末装置に施されているセキュリティの状態の判定結果が前記セキュリティポリシ記憶部により前記記憶装置に記憶された前記セキュリティポリシと適合する度合いを示す適合性レベルを処理装置により算出するレベル算出部と、
   前記レベル算出部が算出した前記適合性レベルに基づいて前記端末装置の認証に用いる認証情報を変換した変換後認証情報を生成し、生成した前記変換後認証情報を前記処理サーバ装置に送信するレベル送信部と
   を備える認証装置を備え、
   前記処理サーバ装置は、
   複数の適合性レベルの各適合性レベルに基づいて生成された複数の変換後認証情報の各変換後認証情報に対し、前記サーバ側記憶部に対するアクセス権限の種別を設定したアクセス制御リストを記憶装置に記憶するリスト記憶部と、
   前記認証装置の前記レベル送信部から前記変換後認証情報を受信すると、受信した前記変換後認証情報に基づいて、前記リスト記憶部により記憶された前記アクセス制御リストを検索し、前記変換後認証情報に対応する前記サーバ側記憶部に対するアクセス権限の種別を取得し、取得した前記サーバ側記憶部に対するアクセス権限の種別にしたがって前記サーバ側記憶部にアクセスを実行するアクセス実行部と
   を備える情報通信システム。
2. 前記認証装置は、
   前記端末装置から前記属性情報と前記認証情報とを受信し、受信した前記認証情報を用いて前記端末装置の認証の許否を処理装置により判断し、前記端末装置の認証を許可と判断した場合は、前記属性情報を前記レベル算出部に送信し、前記端末装置の認証を不許可と判断した場合は、前記端末装置の認証の不許可を示す認証不可信号を前記端末装置に送信する認証部を備え、
   前記レベル算出部は、
   前記認証部から前記属性情報を受信する請求項１に記載の情報通信システム。
3. 前記レベル送信部は、
   前記レベル算出部が算出した前記適合性レベルを前記認証情報に付与して前記変換後認証情報とし、前記処理サーバ装置に送信し、
   前記アクセス実行部は、
   前記認証装置の前記レベル送信部から前記適合性レベルが付与された前記認証情報を前記変換後認証情報として受信する請求項２に記載の情報通信システム。
4. 前記認証装置は、
   前記情報通信システムの利用が許可されている複数の利用者を識別する複数のユーザ識別子の各ユーザ識別子に対し、前記複数の適合性レベルの各適合性レベルを対応付け、各ユーザ識別子に対応する各適合性レベルに対し、各ユーザ識別子に対応する各適合性レベルを識別するレベル付与ユーザ識別子を設定した変換テーブルを備え、 前記端末装置は、
   前記認証情報に自利用者を識別するユーザ識別子を含めて前記認証部に送信し、
   前記レベル送信部は、
   前記レベル算出部が算出した前記適合性レベルと前記認証情報に含まれる前記ユーザ識別子とに基づいて、前記変換テーブルからレベル付与ユーザ識別子を取得し、取得した前記レベル付与ユーザ識別子を前記適合性レベルが付与された前記認証情報として前記処理サーバ装置に送信する請求項３に記載の情報通信システム。
5. 前記リスト記憶部は、
   複数のレベル付与ユーザ識別子の各レベル付与ユーザ識別子を前記複数の変換後認証情報の各変換後認証情報として、前記複数のレベル付与ユーザ識別子の各レベル付与ユーザ識別子に対し、前記サーバ側記憶部に対するアクセス権限の種別を設定した前記アクセス制御リストを記憶し、
   前記アクセス実行部は、
   前記認証装置の前記レベル送信部から前記レベル付与ユーザ識別子を受信すると、受信した前記レベル付与ユーザ識別子に基づいて、前記リスト記憶部により記憶された前記アクセス制御リストを検索し、前記レベル付与ユーザ識別子に対応する前記サーバ側記憶部に対するアクセス権限の種別を取得し、取得した前記サーバ側記憶部に対するアクセス権限の種別にしたがって前記サーバ側記憶部にアクセスを実行する請求項４に記載の情報通信システム。
6. 前記端末装置の前記属性情報に基づいて前記サーバ側記憶部に対するアクセス権限の種別を規定した基本ルールを記憶する基本ルール記憶部と、
   前記端末装置の前記適合性レベルに基づいて前記サーバ側記憶部に対するアクセス権限についての重み付けを規定する拡張ルールを記憶する拡張ルール記憶部と、
   前記レベル付与ユーザ識別子の形式を規定する変換ルールを記憶する変換ルール記憶部と、
   前記基本ルール記憶部により記憶された前記基本ルールと、前記拡張ルール記憶部により記憶された前記拡張ルールと、前記変換ルール記憶部により記憶された前記変換ルールとに基づいて、前記変換テーブルと前記アクセス制御リストとを生成し、生成した前記変換テーブルを前記認証装置に送信するとともに、生成した前記アクセス制御リストを前記処理サーバ装置に送信するテーブル・リスト生成部と
   を備える請求項５に記載の情報通信システム。
7. 前記処理サーバ装置は、
   第１のアクセスと第２のアクセスとを要求する前記アクセス要求を受信し、前記第１のアクセスを実行する第１のアクセス実行部と、前記第１のアクセス実行部から前記アクセス要求を受信し、前記第２のアクセスを実行する第２のアクセス実行部とを前記アクセス実行部として備え、
   前記第１のアクセス実行部は、
   前記認証装置の前記レベル送信部から前記レベル付与ユーザ識別子を受信すると、受信した前記レベル付与ユーザ識別子に基づいて、前記リスト記憶部により記憶された前記アクセス制御リストを検索し、前記レベル付与ユーザ識別子に対応する前記サーバ側記憶部に対するアクセス権限の種別を取得し、取得した前記サーバ側記憶部に対するアクセス権限の種別にしたがって前記サーバ側記憶部に対して第１のアクセスを実行するとともに、前記第２のアクセス実行部に前記レベル付与ユーザ識別子を送信し、
   前記第２のアクセス実行部は、
   前記第１のアクセス実行部から前記レベル付与ユーザ識別子を受信すると、受信した前記レベル付与ユーザ識別子に基づいて、前記リスト記憶部により記憶された前記アクセス制御リストを検索し、前記レベル付与ユーザ識別子に対応する前記サーバ側記憶部に対するアクセス権限の種別を取得し、取得した前記サーバ側記憶部に対するアクセス権限の種別にしたがって前記サーバ側記憶部に対して第２のアクセスを実行する請求項６に記載の情報通信システム。
8. 前記レベル算出部は、
   前記端末装置の位置情報を含む前記属性情報を受信する請求項１から７のいずれか１項に記載の情報通信システム。
9. 処理サーバ装置と、前記処理サーバ装置に処理要求を送信する端末装置とを備える情報通信システムに備えられる認証装置において、
   セキュリティに関する規則が記述されたセキュリティポリシを記憶装置に記憶するセキュリティポリシ記憶部と、
   前記端末装置の属性を示す属性情報を受信し、受信した前記属性情報に基づいて前記端末装置に施されているセキュリティの状態を判定し、前記端末装置に施されているセキュリティの状態の判定結果が前記セキュリティポリシ記憶部により前記記憶装置に記憶された前記セキュリティポリシと適合する度合いを示す適合性レベルを処理装置により算出するレベル算出部と、
   前記レベル算出部が算出した前記適合性レベルに基づいて前記端末装置の認証に用いる認証情報を変換した変換後認証情報を生成し、生成した前記変換後認証情報と前記処理要求とを前記処理サーバ装置に送信するレベル送信部と
   を備える認証装置。
10. 前記認証装置は、さらに、
    前記端末装置から前記属性情報と前記認証情報とを受信し、受信した前記認証情報を用いて前記端末装置の認証の許否を処理装置により判断し、前記端末装置の認証を許可と判断した場合は、前記属性情報を前記レベル算出部に送信し、前記端末装置の認証を不許可と判断した場合は、前記端末装置の認証の不許可を示す認証不可信号を前記端末装置に送信する認証部を備え、
    前記レベル算出部は、
    前記認証部から前記属性情報を受信する請求項９に記載の認証装置。
11. 情報を記憶するサーバ側記憶部と複数の変換後認証情報の各変換後認証情報に対し、前記サーバ側記憶部に対するアクセス権限の種別を設定したアクセス制御リストを記憶装置に記憶するリスト記憶部とを備える処理サーバ装置と、前記サーバ側記憶部にアクセスを要求するアクセス要求を前記処理サーバ装置に送信する端末装置と、セキュリティに関する規則が記述されたセキュリティポリシを記憶装置に記憶するセキュリティポリシ記憶部を備える認証装置とを備える情報通信システムのアクセス制御方法において、
    前記認証装置のレベル算出部が、前記端末装置の属性を示す属性情報を受信し、受信した前記属性情報に基づいて前記端末装置に施されているセキュリティの状態を判定し、前記端末装置に施されているセキュリティの状態の判定結果が前記セキュリティポリシ記憶部により前記記憶装置に記憶された前記セキュリティポリシと適合する度合いを示す適合性レベルを処理装置により算出するレベル算出工程と、
    前記認証装置のレベル送信部が、前記レベル算出工程により算出された前記適合性レベルに基づいて前記端末装置の認証に用いる認証情報を変換した変換後認証情報を生成し、生成した前記変換後認証情報を前記処理サーバ装置に送信するレベル送信工程と、
    前記処理サーバ装置のアクセス実行部が、前記レベル送信工程により送信された前記変換後認証情報を受信すると、受信した前記変換後認証情報に基づいて、前記リスト記憶部により記憶された前記アクセス制御リストを検索し、前記変換後認証情報に対応する前記サーバ側記憶部に対するアクセス権限の種別を取得し、取得した前記サーバ側記憶部に対するアクセス権限の種別にしたがって前記サーバ側記憶部にアクセスを実行するアクセス実行工程とを備える情報通信システムのアクセス制御方法。
12. 情報を記憶するサーバ側記憶部と複数の変換後認証情報の各変換後認証情報に対し、前記サーバ側記憶部に対するアクセス権限の種別を設定したアクセス制御リストを記憶装置に記憶するリスト記憶部とを備えるコンピュータである処理サーバ装置と、前記サーバ側記憶部にアクセスを要求するアクセス要求を前記処理サーバ装置に送信するコンピュータである端末装置と、セキュリティに関する規則が記述されたセキュリティポリシを記憶装置に記憶するセキュリティポリシ記憶部を備えるコンピュータである認証装置と
    に実行させるアクセス制御プログラムにおいて、
    前記認証装置のレベル算出部が、前記端末装置の属性を示す属性情報を受信し、受信した前記属性情報に基づいて前記端末装置に施されているセキュリティの状態を判定し、前記端末装置に施されているセキュリティの状態の判定結果が前記セキュリティポリシ記憶部により前記記憶装置に記憶された前記セキュリティポリシと適合する度合いを示す適合性レベルを算出するレベル算出ステップと、
    前記認証装置のレベル送信部が、前記レベル算出ステップにより算出された前記変換後認証情報を前記処理サーバ装置に送信するレベル送信ステップと、
    前記処理サーバ装置のアクセス実行部が、前記レベル送信ステップにより送信された前記変換後認証情報を受信すると、受信した前記変換後認証情報に基づいて、前記リスト記憶部により記憶された前記アクセス制御リストを検索し、前記変換後認証情報に対応する前記サーバ側記憶部に対するアクセス権限の種別を取得し、取得した前記サーバ側記憶部に対するアクセス権限の種別にしたがって前記サーバ側記憶部にアクセスを実行するアクセス実行ステップと
    を備えるアクセス制御プログラム。