JP2014178873A - アクセス管理装置、アクセス管理方法及びプログラム - Google Patents
アクセス管理装置、アクセス管理方法及びプログラム Download PDFInfo
- Publication number
- JP2014178873A JP2014178873A JP2013052251A JP2013052251A JP2014178873A JP 2014178873 A JP2014178873 A JP 2014178873A JP 2013052251 A JP2013052251 A JP 2013052251A JP 2013052251 A JP2013052251 A JP 2013052251A JP 2014178873 A JP2014178873 A JP 2014178873A
- Authority
- JP
- Japan
- Prior art keywords
- user
- access
- access authority
- terminal device
- mobile terminal
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Storage Device Security (AREA)
- Mobile Radio Communication Systems (AREA)
- Telephonic Communication Services (AREA)
Abstract
【解決手段】携帯端末装置から無線LAN経由で受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証部と、施設内のユーザの位置を示す位置情報を取得する位置情報取得部と、ユーザ認証が成立したユーザのアクセス権限を位置情報取得部により取得された位置情報に基づいて設定するアクセス権限設定部と、アクセス権限設定部により設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御部とを備えてアクセス管理装置を構成する。
【選択図】図4
Description
しかし、上記のように制限を強化すると、例えば業務に必要であるのにも関わらず携帯端末装置ではアクセスすることができず、結局、据え置き型の端末装置にまで移動してこれを使用しなければならないというように、かえって不便な状況が生じ得る。つまり、アクセス制限を強化するだけでは、手軽に持ち運んで使用できるという携帯端末装置の利点が損なわれることになり、業務の円滑な進行を妨げることにもつながれる。
[ネットワークシステムの構成例]
図1は、本実施形態のアクセス管理装置を含むネットワークシステムの構成例を示している。
この図における施設FCは、例えば建物の屋内であり、或る企業が使用している。この施設FC内においては、例えばこの企業で業務を行うユーザYがそれぞれ携帯端末装置100を携帯している。
携帯端末装置100は、例えば無線によるネットワークの1つである無線LAN(Local Area Network)に対応する無線通信機能を有している。携帯端末装置100は、この無線通信機能により施設FC内に備えられた無線LAN基地局310と無線による通信を実行する。これにより、施設FC内における無線LANを含んで構築されたクローズドのネットワーク上に接続されるデバイス(他の携帯端末装置100を含む)、サーバなどにアクセスすることができる。
位置発信器210は、その所有者であるユーザのユーザIDを記憶している。位置発信器210は、検出した自己の位置を示す位置情報とともに自己が記憶しているユーザIDを位置情報ユニット220に送信する。この位置情報は、位置発信器210を所有するユーザの位置を示す情報である。
また、位置発信器210は、位置検出の動作と、その検出結果である位置情報の送信を例えば予め定められた一定時間ごとに実行する。
また、この図では、社内の無線LANとは異なる通信網により位置情報ユニット220とアクセス管理装置500とが接続された態様を示しているが、例えば、位置情報ユニット220とアクセス管理装置500についても社内の無線LANにより接続してよい。
ユーザYが施設FCに入場するとき、このユーザYが所持するICカード150に書き込まれたユーザIDがICカードリーダ160によって読み込まれる。ICカードリーダ160は、例えば読み込んだユーザIDに現在時刻(入場時刻)などを付加した入場情報を生成してアクセス管理装置500に送信する。
また、ユーザYが施設FCを退出するとき、このユーザYが所持するICカード150に書き込まれたユーザIDがICカードリーダ160によって読み込まれる。ICカードリーダ160は、例えば読み込んだユーザIDに現在時刻(退出時刻)などを付加した退出情報を生成してアクセス管理装置500に送信する。
例えば、無線LAN制御装置320は、無線LAN無線LAN基地局310から転送されたデータを、再度、無線LAN基地局310を経由して送信先のデバイスにさらに転送する。また、無線LAN制御装置320は、例えばアクセス権限を有する携帯端末装置100がファイルサーバ400にアクセスする際には、この携帯端末装置100がファイルサーバ400と接続されるように経路制御を行う。
ファイルサーバ400は、例えば、施設FC内の携帯端末装置100などが使用するファイルなどの情報を提供するサーバである。
図2を参照して、本実施形態のアクセス管理装置500によるアクセス権限の設定例について説明する。
図2は、施設FCにおける或る1つのフロアを平面方向からみた図である。施設FCは、例えば図示するように、玄関ホール、廊下、事務室1、事務室2、会議室、重役室の6つの部屋と重役室における一部領域である極秘領域との、計7つの領域に区画される。
また、本実施形態においては、施設FCにおいて区画された領域ごとに、アクセス権限に関する階級(アクセスクラス)を設定する。
「public」のアクセスクラスは、例えば玄関ホールや廊下などのように、来客などによる部外者も存在する可能性のある公共性の高い領域に対応して設定される。
「office」のアクセスクラスは、例えば事務室1や事務室2などのように、通常の業務が行われるような領域に対応して設定される。このような領域は、業務に関する各種の情報が必要になるので、例えば玄関ホールや廊下などと比較してやりとりされる情報の秘匿性が高くなる。つまり、「office」のアクセスクラスは、「public」よりも秘匿性の高い領域に設定される。
「restricted」のアクセスクラスは、例えば会議室などのように、一般事務以外の特殊な情報もやりとりされる可能性があり、「office」のアクセスクラスが設定された事務室1や事務室2などと比較してさらに秘匿性が高くなる領域に対応して設定される。
「confidential」のアクセスクラスは、例えば重役室などのように、一般の社員には秘密とすべきような企業にとって重要な情報を必要とするような領域に設定される。つまり、「confidential」のアクセスクラスは、例えば「restricted」のアクセスクラスよりも秘匿性が高い領域に設定される。
「secret」のアクセスクラスは、例えば重役室において机が置かれている場所などのように、さらに企業にとって非常に重要な情報を必要とするような領域に設定される。したがって、「secret」のアクセスクラスは、5段階のアクセスクラスのうちで最も秘匿性が高い。
一例として、アクセス権限について、秘匿性の低い方から高い方にかけてレベル1、レベル2、レベル3、レベル4、レベル5の5段階に設定した場合を例に挙げる。
レベル1は、例えばファイルサーバ400に記憶されているファイルを例に挙げれば、部外者であっても閲覧が可能な会社案内などの秘匿性がほとんど無いようなファイルのみへのアクセスを許可するレベルのアクセス権限である。
レベル2は、一般の社員が業務などのために使用する秘匿性のあるファイルへのアクセスを許可するレベルのアクセス権限である。
レベル3は、例えば会議などで使用されるようなレベル2よりも秘匿性の高いファイルへのアクセスを許可するレベルのアクセス権限である。
レベル4は、例えば重役などが使用するようなレベル3よりも秘匿性の高いファイルへのアクセスを許可するレベルのアクセス権限である。
レベル5は、例えば社内で最も秘匿性の高いものとして扱われるファイルへのアクセスを許可するレベルのアクセス権限である。
例えばファイルサーバ400において提供されるファイルや、社内のネットワーク上のノードなどをはじめとする資源に対しては、その秘匿性の高さなどを考慮して、上記のレベル1〜5のうちのいずれかのレベルが設定されている。
つまり、アクセスクラスが「public」の領域ではレベル1のファイルのみへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「office」の領域ではレベル1とレベル2のファイルへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「restricted」の領域ではレベル1とレベル2とレベル3へのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「confidential」の領域では、レベル1とレベル2とレベル3とレベル4のファイルへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「secret」の領域では、全てのファイルのアクセス権限を設定する。つまり、アクセス管理装置500は、レベル1とレベル2とレベル3とレベル4とレベル5のファイルへのアクセスが可能なアクセス権限を設定する。そして、アクセス管理装置500は、上記のように設定されたアクセス権限にしたがって重役のユーザYの携帯端末装置100のアクセスの可否を制御する。
そして、重役であるユーザは、秘匿性の高い場所に移動することで、重役の携帯端末装置100は、その場所のアクセスクラスに応じたレベルのファイルにアクセスできる状態となる。例えば重役室に入室してしまえば、レベル4とレベル5のファイルにアクセスすることができる。
つまり、アクセスクラスが「public」の領域ではレベル1のファイルのみへのアクセスが可能なアクセス権限を設定する。
アクセスクラスが「office」の領域ではレベル1とレベル2のファイルへのアクセスが可能なアクセス権限を設定する。これにより、社員の携帯端末装置100は、社員が事務室1または2に居れば、通常業務に必要なファイルへのアクセスが可能である。
アクセスクラスが「restricted」の領域ではレベル1とレベル2とレベル3のファイルへのアクセスが可能なアクセス権限を設定する。これにより、社員の携帯端末装置100は、例えば会議室での会議中においては、レベル3のファイルにもアクセスできる。
アクセスクラスが「confidential」の領域では、レベル1とレベル2のファイルへのアクセスが可能なアクセス権限を設定する。つまり、一般の社員の携帯端末装置100は、重役室であっても、レベル4のファイルにはアクセスできない。また、社員が「confidential」のアクセスクラスの領域に居るということは、会議室には居ないということになるので、社員の携帯端末装置100は、レベル3のファイルについてもアクセスできない。
アクセスクラスが「secret」の領域においても、アクセスクラスが「confidential」の領域の場合と同様の理由により、レベル1とレベル2のファイルへのアクセスが可能なアクセス権限を設定する。
そのうえで、本実施形態においては、上記したように、例えばユーザYごとに、同じアクセスクラスであっても、それぞれに異なる内容のアクセス権限を設定することができる。これにより、例えば、同じ施設FCにおける複数のユーザYごとに、その地位や業務内容などに応じて、領域ごとに適切なアクセス権限を設定することが可能となり、セキュリティを維持した上での業務の円滑化をさらに推し進めることができる。
図3を参照して、携帯端末装置100の構成例について説明する。
この図に示す携帯端末装置100は、通信部101、制御部102、ユーザ認証情報記憶部103、操作部104及び表示部105を備える。
通信部101は、無線LAN経由で社内ネットワークに接続される他のデバイスやサーバなどと通信を実行する。
ユーザ認証情報記憶部103は、携帯端末装置100がユーザ認証を受けるためにアクセス管理装置500に送信するユーザ認証情報を記憶する。ユーザ認証情報は、例えば、携帯端末装置100のユーザのユーザ名とパスワードを含む。
表示部105は、その画面が携帯端末装置100に表出されるように設けられる。表示部105は、制御部102の制御に応じて画像を表示する。
次に、図4を参照してアクセス管理装置500の構成例について説明する。
図4に示すアクセス管理装置500は、位置情報サーバ510と認証サーバ520とを備える。
位置情報サーバ510は、位置情報ユニット220から送信される携帯端末装置100の位置情報を取得する。位置情報サーバ510は、位置情報取得部511、位置情報送信部512及び位置履歴記憶部513を備える。
位置情報送信部512は、位置情報取得部511から受け渡された位置情報を認証サーバ520に送信する。
位置履歴記憶部513は、例えばユーザIDごとに対応させて位置情報取得部511が取得した位置情報の履歴(位置履歴情報)を記憶する。
位置情報取得部511は、取得したユーザYの入場情報及び退出情報についても、そのユーザIDに対応付けられた位置履歴情報に含めるように位置履歴記憶部513に記憶させる。
位置情報送信部512は、アクセス管理装置500からの要求に応じて、適宜、位置履歴記憶部513に記憶されている位置履歴情報を認証サーバ520に送信する。
このために、認証サーバ520は、通信部521、ユーザ認証部522、ユーザ情報記憶部523、認証状況情報記憶部524、アクセス権限設定部525、アクセス権限情報記憶部526、アクセス権限設定情報記憶部527及びアクセス制御部528を備える。
携帯端末装置100が送信したユーザ認証要求は通信部521にて受信される。ユーザ認証部522は、このユーザ認証要求の受信に応答して、例えば以下のようにユーザ認証処理を実行する。
つまり、ユーザ認証部522は、ユーザ情報記憶部523に記憶されているユーザ情報のうちで、ユーザ認証要求に含まれるユーザ名及びパスワードの組み合わせと一致するユーザ情報が存在するか否かについて判定することにより認証を行う。なお、携帯端末装置100は、ユーザ認証情報を暗号化して送信することがセキュリティ上好ましい。このようにユーザ認証情報が暗号化されている場合、ユーザ認証部522は、受信したユーザ認証情報の暗号化を複合してからユーザ認証処理を実行する。
ユーザ個別情報テーブル記憶部531は、ユーザ個別情報テーブルを記憶する。
ユーザグループ情報テーブル記憶部532は、ユーザグループ情報テーブルを記憶する。
この図に示すように、ユーザ個別情報テーブルは、個人のユーザごとに対応して、ユーザIDと認証情報とを対応付けたユーザ個別情報を格納する。
ユーザIDは、ユーザYを一意に識別する識別子である。
認証情報は、ユーザごとに対応して予め登録されたユーザ名、パスワードなどを含む情報である。ユーザ認証部522は、このユーザ個別情報テーブルにおける認証情報のうちから、ユーザ認証要求とともに受信した認証情報と一致するものを検索する。ユーザ個別情報テーブルにおいて、一致する認証情報があれば認証が成立し、一致する認証情報が無ければ認証は不成立である。
ユーザグループ情報テーブルは、登録されたユーザグループごとに対応して、ユーザグループIDと所属ユーザとユーザグループ指定とを含むユーザグループ情報を格納する。
ユーザグループIDは、ユーザグループを一意に識別する識別子である。
所属ユーザは、対応のユーザグループに属するユーザのユーザIDを示す。
ユーザグループ指定は、現在においてそのユーザグループに対応するアクセス権限の設定が有効であるか否かを示す。ユーザグループ指定が無効を示している場合、そのユーザグループに属するユーザYにはユーザ個別のアクセス権限を設定する。ユーザグループ指定が有効を示している場合、そのユーザグループに属するユーザには、ユーザグループに対応するアクセス権限を設定する。
ユーザグループ指定は、例えば、ユーザグループの有効、無効についての設定権限を有するユーザYが携帯端末装置100の操作により、その有効、無効が設定されるようにすればよい。
ユーザ認証部522は、ユーザ認証が成立すると、その認証が成立したユーザについての認証成立ユーザ情報を生成する。この認証成立ユーザ情報は、ユーザ個別情報テーブルから読み出したユーザIDと、ユーザ認証要求の送信元の携帯端末装置100の端末IDと、認証が成立した時刻(ログイン時刻)とを有する。
そして、ユーザ認証部522は、このように生成した認証成立ユーザ情報を認証状況情報記憶部524に追加登録する。
アクセスクラステーブル記憶部541は、アクセスクラステーブルを記憶する。アクセセスクラステーブルは、図2に例示した施設FCにおいて区画された領域ごとに設定したアクセスクラスを示すテーブルである。アクセスクラスは、例えば秘匿性の高さに応じて設定したアクセス権限の階級(クラス)である。
この図に示すアクセスクラステーブルは、図2の施設FCにおいて区画された7つの領域ごとのアクセスクラスを示している。アクセスクラステーブルにおける1つのレコードが1つの区画についての設定内容を示しており、1つのレコードは、領域名と領域IDと領域範囲とアクセスクラスの属性を含む。
領域名の属性は、対応の領域の名称を示す。領域IDの属性は、対応の領域に付された領域IDを示す。領域範囲の属性は、対応の領域についての施設FCにおける物理的な範囲を示す。この領域範囲の示し方については多様に考えられる。一例として、各領域の平面方向における形状が四角形である場合に対応しては、図2に示すように施設FCのフロアの平面方向についてX軸とY軸を対応させる。そのうえで、各領域の平面形状である四角形の4つの頂点のX,Y座標により領域の物理的範囲を示すことができる。
アクセスクラスの属性は、対応の領域に設定されたアクセスクラスが何であるのかを示す。
つまり、玄関ホールの領域には領域ID=0が設定されるとともに、アクセスクラスとしては「public」が設定されている。廊下の領域には領域ID=1が設定されるとともに、アクセスクラスとして「public」が設定されている。事務室1の領域には領域ID=2が設定されるとともに、アクセスクラスとして「office」が設定されている。事務室2の領域には領域ID=3が設定されるとともに、アクセスクラスとして「office」が設定されている。会議室の領域には領域ID=4が設定されるとともに、アクセスクラスとして「restricted」が設定されている。重役室の領域には領域ID=5が設定されるとともに、アクセスクラスとして「confidential」が設定されている。極秘領域の領域には領域ID=6が設定されるとともに、アクセスクラスとして「secret」が設定されている。
図11において、ユーザIDが「0000」のユーザYは、図2にて説明した一般の社員に対応する設定内容を示している。
つまり、「public」のアクセスクラスに対応するアクセス権限は、レベル1のファイルにアクセス可能であることを示している。
「office」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2のファイルにアクセス可能であることを示している。
「restricted」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2とレベル3のファイルにアクセス可能であることを示している。
「confidential」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2のファイルにアクセス可能であることを示している。
「secret」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2のファイルにアクセス可能であることを示している。
つまり、「public」のアクセスクラスに対応するアクセス権限は、レベル1のファイルにアクセス可能であることを示している。
「office」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2のファイルにアクセス可能であることを示している。
「restricted」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2とレベル3のファイルにアクセス可能であることを示している。
「confidential」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2とレベル3とレベル4のファイルにアクセス可能であることを示している。
「secret」のアクセスクラスに対応するアクセス権限は、レベル1とレベル2とレベル3とレベル4とレベル5のファイルにアクセス可能であることを示している。
ユーザグループ対応アクセス権限情報の構造は、例えば図11に示したユーザ対応アクセス権限情報に準ずればよい。つまり、図11の構造において、ユーザIDに代えて、ユーザグループごとに設定されたユーザグループIDを格納する。そして、1つのユーザグループIDに対応させて、例えば「public」、「office」、「restricted」、「confidential」、「secret」の各アクセスクラスに対応するアクセス権限の内容を格納すればよい。
このように、ユーザグループ対応アクセス権限情報においても、ユーザごとにアクセスクラスに対して異なるアクセス権限の内容を設定することで、ユーザグループごとに応じて高い自由度で、領域ごとに応じたアクセス権限を設定することができる。
アクセス権限設定部525は、位置情報取得部511にてユーザYの位置情報が取得されるのに応じて、アクセスクラステーブル記憶部541に記憶されるアクセスクラステーブルを参照する。これにより、アクセス権限設定部525は、取得された位置情報が示す位置を含む施設FC内の領域を特定するともに、特定した領域に対応付けられたアクセスクラスを特定する。
次に、アクセス権限設定部525は、ユーザ対応アクセス権限情報記憶部542に記憶されるユーザ対応アクセス権限情報において、ユーザIDが「0000」に対応するアクセスクラスのうちで、上記のように特定したアクセスクラスに対応付けられているアクセス権限を選択する。アクセス権限設定部525は、このように選択したアクセス権限を設定結果とする。
つまり、アクセス権限設定部525は、アクセス権限設定対象のユーザのユーザIDが属するユーザグループがいずれであるのかを、図7のユーザグループ情報を参照して特定する。そして、アクセス権限設定部525は、ユーザグループ情報において特定したユーザグループに対応付けられているユーザグループ指定の属性を参照する。参照したユーザグループ指定が「無効」を示していればユーザ個別のアクセス権限を設定し、「有効」を示していればユーザグループ対応のアクセス権限を設定する。
アクセス権限設定情報記憶部527は、アクセス権限設定部525により設定されたユーザごとのアクセス権限の内容を記憶する。
例えば、或る携帯端末装置100が現在設定されているアクセス権限によってはアクセス不可のファイルにアクセスするためのアクセス要求を行ったとする。このアクセス要求は、例えば無線LAN基地局310から無線LAN制御装置320を経由してアクセス管理装置500に転送される。
このために、アクセス制御部528は、認証状況情報記憶部524に記憶される認証状況情報を参照することにより、今回のアクセス要求送信元の携帯端末装置100のユーザYのユーザIDを特定する。次に、アクセス制御部528は、アクセス権限設定情報記憶部527を参照して、特定したユーザIDについて設定されているアクセス権限の内容を認識する。そして、アクセス制御部528は、今回受信されたアクセス要求が、上記のように認識されたアクセス権限に該当するか否かについて判定する。
一方、アクセス可能であることがアクセス権限の内容に示されていなければ、アクセスを禁止すべきと判定する。
具体的に、アクセス権限設定部525によりレベル1、2、3のファイルのアクセスが可能であると設定されている状態において、アクセス要求されたファイルにはレベル3が設定されているとする。この場合のアクセス制御部528は、アクセスを許可すべきと判定する。
一方、同じくアクセス権限設定部525によりレベル1、2、3のファイルのアクセスが可能であると設定されている状態において、アクセス要求されたファイルにはレベル4が設定されているとする。この場合のアクセス制御部528は、アクセスを禁止すべきと判定する。
一方、アクセス制御部528は、アクセスを許可すべきと判定した場合には、今回受信したアクセス要求を無線LAN制御装置320からアクセス要求先に転送させる。これにより、アクセス要求に応答したデータが要求元の携帯端末装置100に送信され、アクセスが行われることとなる。
このようにアクセス制御部528は、例えばアクセス要求に応じてアクセスの可否を判定し、その判定結果に応じた制御を実行する。これにより、アクセス制御部528は、アクセス権限設定部525により設定されたアクセス権限にしたがった携帯端末装置100ごとのアクセス制限を実現することができる。
図12は、第1の実施形態におけるアクセス管理装置500が実行する処理手順例を示している。
まず、ユーザ認証部522は、携帯端末装置100から送信されたユーザ認証要求が受信されるのを待機している(ステップS101−NO)。
ユーザ認証要求が通信部521にて受信されるのに応じて(ステップS101−YES)、ユーザ認証部522は、今回のステップS101により受信したユーザ認証要求に含まれるユーザ名とパスワードを利用したユーザ認証処理を実行する(ステップS102)。
このユーザ認証処理においては、例えばユーザ情報記憶部523に記憶されるユーザ情報のうちで、ユーザ認証要求に含まれるユーザ名及びパスワードの組み合わせと一致するユーザ情報が有れば認証が成立する。一方、ユーザ認証要求に含まれるユーザ名及びパスワードの組み合わせと一致するユーザ情報がユーザ情報記憶部523に無ければ認証は不成立である。
認証が不成立である場合(ステップS103−NO)、今回のユーザ認証要求に応じた認証成立ユーザ情報は認証状況情報記憶部524に登録されない。アクセス権限設定部525は、認証状況情報記憶部524に認証成立ユーザ情報が記憶されていないユーザYについては、社内の無線LANへのアクセス権限が無いものとして設定する(ステップS109)。つまり、この場合には、ログアウトしたままの状態が維持される。ステップS109の処理を終了した後、アクセス権限設定部525は、ステップS101に処理を戻す。
これに伴い、アクセス権限設定部525は、認証状況情報記憶部524に認証成立ユーザ情報が記憶されることとなったユーザYをアクセス権限設定対象とする。
このために、アクセス権限設定部525は、位置履歴記憶部513に記憶される位置履歴情報のうち、アクセス権限設定対象のユーザに対応するユーザIDの位置履歴情報を位置情報送信部512から取得する。アクセス権限設定部525は、取得した位置履歴情報に入場記録が有れば入場中であると判定する。一方、取得した位置履歴情報に入場記録が無ければ入場中ではないと判定する。
このような場合、アクセス権限設定部525は、今回のユーザ認証要求を行ったユーザについては社内の無線LANへのアクセス権限が無いものとして設定する(ステップS109)。これにより、以降において、今回のユーザ認証要求の送信元の携帯端末装置100は、無線LANと接続することができなくなる。これは、例えば社内のネットワークからログアウトした状態に相当する。
位置情報が一定時間以内に受信されなかった場合(ステップS105−NO)、ユーザ認証を行ったユーザYが、位置発信器210を所持し忘れている可能性がある。あるいは、位置発信器210を所持することのできない部外者などの不正な者である可能性がある。
この場合のアクセス権限設定部525は、無線LANへのアクセス権限が無いものとして設定する(ステップS109)。
この判定にあたり、アクセス権限設定部525は、前述したように、図7のユーザグループ情報を参照して、アクセス権限対象のユーザYが属するユーザグループに対付けられたユーザグループ指定の属性が「有効」と「無効」のいずれを示しているかについて判定すればよい。
一方、ユーザグループ対応のアクセス権限の設定が有効である場合(ステップS106−YES)、アクセス権限設定部525は、ユーザグループ対応のアクセス権限を設定する(ステップS108)。つまり、アクセス権限設定部525は、アクセスクラステーブル記憶部541に記憶されるアクセスクラステーブルと、ユーザグループ対応アクセス権限情報記憶部543に記憶されるユーザグループ対応アクセス権限情報を参照してアクセス権限を設定する。
ステップS107またはS108の処理を終了した後、アクセス権限設定部525は、ステップS104に処理を戻す。
[概要]
続いて、第2の実施形態について説明する。
第1の実施形態においては、図7のユーザグループ情報テーブルにより予めユーザグループが登録されている。この環境のもとで、例えばグループメンバーからの要求に応じてユーザグループ対応のアクセス権限の設定が有効化されるのに応じて、アクセス権限設定部525が、そのユーザグループに属するユーザYについてユーザグループ対応のアクセス権限を設定していた。
そして、このように一時ユーザグループを設定することによっては、一時ユーザグループに属するユーザYの携帯端末装置100の間で送受信される情報が、一時ユーザグループに属さないユーザにより受信されないように社内のネットワーク上での経路制御が行われる。
例えば、施設FCにおける或る場所にて緊急にミーティングが開かれることになり、この場所におけるテーブルなどに数人のユーザYがミーティングメンバーとして集まっている。このミーティングでは、ミーティングメンバーの携帯端末装置100間で送受信したいデータがあるが、このデータはミーティングメンバー以外のユーザYの携帯端末装置100からはアクセスされたくない。しかし、今回のミーティングメンバーに対応するユーザグループについては、ユーザグループ情報に登録していない。
そこで、上記のような状況においてミーティングメンバーによる一時ユーザグループを設定する。一時ユーザグループを設定するにあたっては、例えば、ミーティングメンバーのうちの何れか1名のユーザYが、携帯端末装置100を操作して一時ユーザグループ設定要求をアクセス管理装置500に対して送信すればよい。
このために、アクセス管理装置500は、まず、一時ユーザグループ設定要求の送信元の携帯端末装置100のユーザY(基準ユーザ)の位置を認識し、この位置を基準位置とする。次に、アクセス管理装置500は、この基準位置から一定範囲(一時ユーザグループ有効範囲)に位置しているユーザY(基準ユーザを含む)を一時ユーザグループに属するユーザとして設定する。
このように、一時ユーザグループは、一時ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属する一時的なユーザグループとして設定される。
なお、一時ユーザグループ有効範囲の広さについては、上記のように予め固定的に定められていてもよいし、例えば一時ユーザグループ設定要求の送信時にユーザが設定できるようにしてもよい。
また、一時ユーザグループが設定されている状態のもとで、後から、別のユーザYがミーティングに加わるために一時ユーザグループ有効範囲内に移動してくると、このユーザYが新規に一時ユーザグループに属するものとして設定される。これに応じて、このユーザYの携帯端末装置100は、一時ユーザグループのユーザの携帯端末装置100間で送受信しているデータにアクセスすることができる。
このように、一時ユーザグループが設定されている状態では、その一時ユーザグループに対応する一時ユーザグループ有効範囲に位置しているユーザであれば、一時ユーザグループの携帯端末装置100間で送受信するデータにアクセスできるアクセス権限を有することができる。
この一時ユーザグループ解除要求に応じて、アクセス管理装置500は、これまで実行していた一時ユーザグループ対応の経路制御を停止する。これに伴って、一時ユーザグループの設定も解除される。
一例として、例えば、一時ユーザグループ設定要求に応じた最初の一時ユーザグループの設定が行われてから所定時間を経過するという条件を満たすのに応じて、自動的に一時ユーザグループを解除させることができる。
また、一時ユーザグループ有効範囲内に位置するユーザYの数が、例えば1名になるなど、一定以下になるという条件を満たすのに応じて、自動的に一時ユーザグループを解除させることもできる。
また、一時ユーザグループに属するユーザの携帯端末装置100間でのデータの送受信が行われなくなってから一定時間を経過するという条件を満たすのに応じて一時ユーザグループを自動的に解除させることもできる。
図13は、一時ユーザグループの設定に関連してアクセス管理装置500が実行する処理手順例を示している。
アクセス管理装置500において、アクセス権限設定部525は、携帯端末装置100から送信される一時ユーザグループ設定要求が受信されるのを待機している(ステップS201−NO)。
次に、アクセス権限設定部525は、ステップS202により設定された基準ユーザに基づいて、一時ユーザグループ有効範囲を設定する(ステップS203)。つまり、アクセス権限設定部525は、位置情報サーバ510の位置情報取得部511により取得された位置情報のうちから基準ユーザの位置情報が示す位置を基準とする一定範囲を一時ユーザグループ有効範囲として設定する。この一時ユーザグループ有効範囲は、ユーザYが一時ユーザグループに属することのできる施設FC内の領域である。
つまり、アクセス権限設定部525は、一時ユーザグループ有効範囲内に位置するユーザYを特定する(ステップS204)。例えば、アクセス権限設定部525は、位置情報取得部511にて取得された位置情報のうちから一時ユーザグループ有効範囲内の位置を示す位置情報を選別する。これらの選別した位置情報に付加されたユーザIDにより、アクセス権限設定部525は、一時ユーザグループ有効範囲内に位置するユーザYを特定できる。なお、このステップS204により一時ユーザグループ有効範囲内に位置するものとして特定されるユーザYには、ステップS202にて設定された基準ユーザも含まれる。
アクセス権限設定部525は、一時ユーザグループ有効範囲内に位置するものとして特定されたユーザYを、現在において一時ユーザグループに属するユーザであると認識する。
このステップS204は、一時ユーザグループ有効範囲内に位置するユーザYの特定に応じて一時ユーザグループを設定していることに相当する。そして、アクセス権限設定部525は、一時ユーザグループの設定に応じて、この一時ユーザグループに属するユーザYの間で共有すべき情報がユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定する。
具体的に、例えばアクセス制御部528は、一時ユーザグループに属するユーザYの携帯端末装置100間で送受信されるデータについては通常に行われるように経路制御を実行する。そのうえで、例えば、一時ユーザグループに属さないユーザYの携帯端末装置100から一時ユーザグループに属するユーザYの携帯端末装置100に対してアクセスが行われた場合、アクセス制御部528は、このアクセスのための通信のために送信されたパケットを無線LAN制御部320が破棄するように指示する。また、一時ユーザグループに属するユーザの携帯端末装置100が、一時ユーザグループに属さないユーザYの携帯端末装置100を宛先としてデータを送信した場合にも、アクセス制御528は、このデータのパケットを転送することなく破棄するように無線LAN制御部320に対して指示する。
一時ユーザグループ解除要求が受信されない場合(ステップS206−NO)、アクセス権限設定部525は、さらに、一時ユーザグループを解除するための一定条件が満たされたか否かについて判定する(ステップS207)。
そして、一時ユーザグループ解除要求を受信した場合(ステップS206−YES)、または一時ユーザグループ解除のための一定条件を満たした場合(ステップS207−YES)、アクセス権限設定部525は、これまでの一時ユーザグループ対応の経路制御を停止させる(ステップS208)。これに伴って、一時ユーザグループの設定は解除される。
つまり、施設FCにおいて区画する領域を部屋単位として部屋ごとにICカードリーダ160を備える。そして、ユーザYが部屋を入退出するごとにICカードリーダ160がICカード150と通信を行って部屋ごとに入場記録と退場記録の情報を入退出履歴として記憶しておくようにする。このような構成とすれば、入退出履歴に基づいてユーザYの位置を部屋単位で示す位置情報を取得することができる。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ROM、CD−ROM等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ(RAM)のように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
150 ICカード
160 ICカードリーダ
210 位置発信器
220 位置情報ユニット
310 無線LAN基地局
320 無線LAN制御装置
400 ファイルサーバ
500 アクセス管理装置
510 位置情報サーバ
511 位置情報取得部
512 位置情報送信部
513 位置履歴記憶部
520 認証サーバ
521 通信部
522 ユーザ認証部
523 ユーザ情報記憶部
524 認証状況情報記憶部
525 アクセス権限設定部
526 アクセス権限情報記憶部
527 アクセス権限設定情報記憶部
528 アクセス制御部
Claims (6)
- 携帯端末装置と無線によるネットワークを経由して通信を実行する通信部と、
携帯端末装置から受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証部と、
施設内のユーザの位置を示す位置情報を取得する位置情報取得部と、
ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得部により取得された位置情報に基づいて設定するアクセス権限設定部と、
前記アクセス権限設定部により設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御部と
を備えるアクセス管理装置。 - アクセス権限設定部は、
ユーザグループ設定要求の受信に応じて、前記ユーザグループ設定要求の送信元の携帯端末装置のユーザの位置情報が示す位置を含む一定範囲の領域に存在することが位置情報によって示されるユーザが属するユーザグループを設定し、前記ユーザグループに属するユーザの間で共有すべき情報が前記ユーザグループに属さないユーザによっては共有されないようにアクセス権限を設定し、
前記アクセス制御部は、
前記ユーザグループに属するユーザの携帯端末装置の間で送受信されるデータが前記ユーザグループに属さないユーザの携帯端末装置からはアクセスできないように制御する
請求項1に記載のアクセス管理装置。 - ユーザ識別子と施設内の位置との組み合わせごとに対応するアクセス権限を示すユーザ対応アクセス権限情報を記憶するユーザ対応アクセス権限情報記憶部をさらに備え、
前記アクセス権限設定部は、
ユーザ認証が成立したユーザのユーザ識別子と、前記位置情報取得部により取得された位置情報が示す位置との組み合わせに該当するアクセス権限を前記ユーザ対応アクセス権限情報から選択し、選択したアクセス権限を設定する
請求項1または2に記載のアクセス管理装置。 - ユーザグループに属する複数のユーザのユーザ識別子と施設内の位置との組み合わせごとに対応するアクセス権限を示すユーザグループ対応アクセス権限情報を記憶するユーザグループ対応アクセス権限情報記憶部をさらに備え、
前記アクセス権限設定部は、
ユーザ認証が成立したユーザのユーザ識別子と、前記位置情報取得部により取得された位置情報が示す位置との組み合わせに該当するアクセス権限を前記ユーザグループ対応アクセス権限情報から選択し、選択したアクセス権限を設定する
請求項1から3の何れか一項に記載のアクセス管理装置。 - 携帯端末装置から無線によるネットワークを経由して受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証ステップと、
施設内のユーザの位置を示す位置情報を取得する位置情報取得ステップと、
ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得ステップにより取得された位置情報に基づいて設定するアクセス権限設定ステップと、
前記アクセス権限設定ステップにより設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御ステップと
を備えるアクセス管理方法。 - コンピュータに、
携帯端末装置から無線によるネットワークを経由して受信したユーザ認証情報に基づいて携帯端末装置のユーザについてのユーザ認証処理を実行するユーザ認証ステップと、
施設内のユーザの位置を示す位置情報を取得する位置情報取得ステップと、
ユーザ認証が成立したユーザのアクセス権限を前記位置情報取得ステップにより取得された位置情報に基づいて設定するアクセス権限設定ステップと、
前記アクセス権限設定ステップにより設定されたアクセス権限にしたがって、ネットワーク上の資源への携帯端末装置のアクセスの可否を制御するアクセス制御ステップと
を実行させるためのプログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013052251A JP6108344B2 (ja) | 2013-03-14 | 2013-03-14 | アクセス管理装置、アクセス管理方法及びプログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013052251A JP6108344B2 (ja) | 2013-03-14 | 2013-03-14 | アクセス管理装置、アクセス管理方法及びプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2014178873A true JP2014178873A (ja) | 2014-09-25 |
JP6108344B2 JP6108344B2 (ja) | 2017-04-05 |
Family
ID=51698757
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013052251A Active JP6108344B2 (ja) | 2013-03-14 | 2013-03-14 | アクセス管理装置、アクセス管理方法及びプログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP6108344B2 (ja) |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017027392A (ja) * | 2015-07-23 | 2017-02-02 | 富士ゼロックス株式会社 | 接続管理プログラム及び情報処理装置 |
JP2017117461A (ja) * | 2015-12-22 | 2017-06-29 | Line株式会社 | ユーザーのコンテキストに基づくユーザー役割の自動変換の方法及びその情報システム |
JP2017176804A (ja) * | 2016-03-24 | 2017-10-05 | カシオ計算機株式会社 | 端末、サーバ、システム、管理方法及びプログラム |
JP2018005724A (ja) * | 2016-07-06 | 2018-01-11 | コニカミノルタ株式会社 | 情報処理システム、情報処理装置およびプログラム |
CN112804240A (zh) * | 2021-01-19 | 2021-05-14 | 深圳市天彦通信股份有限公司 | 功能控制方法、装置、服务器、存储介质及产品 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007094548A (ja) * | 2005-09-27 | 2007-04-12 | Softbank Telecom Corp | アクセス制御システム |
WO2009087801A1 (ja) * | 2008-01-10 | 2009-07-16 | Nec Corporation | ファイル共有システムおよびアクセス権管理方法および端末 |
JP2010239365A (ja) * | 2009-03-31 | 2010-10-21 | Ntt Docomo Inc | 通信装置および共有フォルダ接続方法 |
JP2012194846A (ja) * | 2011-03-17 | 2012-10-11 | Nec Corp | ネットワークシステム |
-
2013
- 2013-03-14 JP JP2013052251A patent/JP6108344B2/ja active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2007094548A (ja) * | 2005-09-27 | 2007-04-12 | Softbank Telecom Corp | アクセス制御システム |
WO2009087801A1 (ja) * | 2008-01-10 | 2009-07-16 | Nec Corporation | ファイル共有システムおよびアクセス権管理方法および端末 |
JP2010239365A (ja) * | 2009-03-31 | 2010-10-21 | Ntt Docomo Inc | 通信装置および共有フォルダ接続方法 |
JP2012194846A (ja) * | 2011-03-17 | 2012-10-11 | Nec Corp | ネットワークシステム |
Cited By (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2017027392A (ja) * | 2015-07-23 | 2017-02-02 | 富士ゼロックス株式会社 | 接続管理プログラム及び情報処理装置 |
JP2017117461A (ja) * | 2015-12-22 | 2017-06-29 | Line株式会社 | ユーザーのコンテキストに基づくユーザー役割の自動変換の方法及びその情報システム |
JP2017176804A (ja) * | 2016-03-24 | 2017-10-05 | カシオ計算機株式会社 | 端末、サーバ、システム、管理方法及びプログラム |
JP7024175B2 (ja) | 2016-03-24 | 2022-02-24 | カシオ計算機株式会社 | 端末、サーバ、システム、管理方法及びプログラム |
JP2018005724A (ja) * | 2016-07-06 | 2018-01-11 | コニカミノルタ株式会社 | 情報処理システム、情報処理装置およびプログラム |
CN112804240A (zh) * | 2021-01-19 | 2021-05-14 | 深圳市天彦通信股份有限公司 | 功能控制方法、装置、服务器、存储介质及产品 |
Also Published As
Publication number | Publication date |
---|---|
JP6108344B2 (ja) | 2017-04-05 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CA2997954C (en) | Device enabled identity authentication | |
CN109565640B (zh) | 安全的基于私有位置的服务 | |
US10185816B2 (en) | Controlling user access to electronic resources without password | |
JP4778970B2 (ja) | 携帯端末、アクセス制御管理装置及びアクセス制御管理方法 | |
CN107005442B (zh) | 用于远程接入的方法和装置 | |
US20200311277A1 (en) | Method, system and device for security configurations | |
US9443362B2 (en) | Communication and processing of credential data | |
JP6108344B2 (ja) | アクセス管理装置、アクセス管理方法及びプログラム | |
JP5311039B2 (ja) | 通信システム及びその通信方法とそれらに用いられる装置及びプログラム | |
US10028139B2 (en) | Leveraging mobile devices to enforce restricted area security | |
JP4511525B2 (ja) | アクセス制御システム、並びにそれに用いられるアクセス制御装置、及びリソース提供装置 | |
JP2008053808A (ja) | 無線端末を認証する認証システム及び認証方法 | |
US10298556B2 (en) | Systems and methods for secure storage and management of credentials and encryption keys | |
JP2001175601A (ja) | アクセス権限の唯一性保証システム | |
US9756173B2 (en) | Leveraging mobile devices to enforce restricted area security | |
CN106534102A (zh) | 设备访问的方法及装置、电子设备 | |
JP2005085154A (ja) | ネットワークシステムおよび端末装置 | |
JP2017010415A (ja) | 入室管理システム、及びプログラム | |
JP6221803B2 (ja) | 情報処理装置、接続制御方法、及びプログラム | |
Krokosz et al. | NEW APPROACH TO IOT AUTHORIZATION BASED ON SINGLE-POINT LOGIN AND LOCATION-SPECIFICRIGHTS. | |
JP5871348B1 (ja) | 端末管理装置、端末管理システム、端末管理方法及び端末管理プログラム | |
KR20190001147A (ko) | 클라우드 서비스에서 IoT 디바이스들이 포함된 네트워크의 보안 향상 방법 및 이를 이용하는 장치 | |
Brekka et al. | Role-based access control for wireless information systems | |
Burnett et al. | WiFi: Boon or Boondoggle? | |
KR20150049546A (ko) | 가상화 환경에서 사용자 인증을 수행하는 모바일 장치 및 모바일 장치에서의 사용자 인증 방법 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20151118 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20161028 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20161122 |
|
A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20170117 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20170207 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20170228 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6108344 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |