JP2018112828A - 作業環境統制方法、作業環境統制システム及びサーバ装置 - Google Patents

Abstract

【課題】サーバ装置とクライアント端末装置の通信を許可しながら、機密情報の漏えいを防止する。【解決手段】クライアント端末装置が、アプリケーションと外部通信制御部を稼働させる第１のステップと、クライアント端末装置が、ログインユーザ情報とクライアント証明書を前記サーバ装置へ送信する第２のステップと、サーバ装置が、ログインユーザ情報とクライアント証明書を受信して、第１の認証情報でログインユーザ情報を認証する第３のステップと、サーバ装置が、第２の認証情報でクライアント証明書を認証する第４のステップと、サーバ装置が、ログインユーザ情報及びクライアント証明書の双方について前記認証に成功した場合には前記アプリケーションからの通信を許可し、ログインユーザ情報とクライアント証明書のいずれか一方が前記認証に失敗した場合にはアプリケーションとの通信を禁止する第５のステップと、を含む。【選択図】図２

Description

本発明は、クライアント端末が分散した状況下において安全に共同作業を行う技術に関する。

従来、アプリケーションのアップデートやドライバのインストールを管理者がサーバで一元管理しエンドユーザが本来の作業に集中できるようにするため、また、エンドユーザにとって場所にとらわれずにクライアント端末での作業を実現できるようにするため、クライアント端末の作業環境を仮想化する技術が存在する。このような作業環境を実現する技術が、特許文献１に開示されている。

特表２０１６−５２１３８５号公報

しかし、上記従来例のようにクライアント端末の作業環境を提供する技術を用いて外部組織に作業依頼を行う場合、作業環境と外部との通信が必要となるが、作業環境と外部との通信を可能とすると、機密情報の漏えいの恐れがありセキュリティ上問題があった。また、作業環境のデータをすべて暗号化することも考えられるが、暗号化のみでは、外部のサーバを経由したデータの持ち出しの制御ができない、という問題があった。

本発明は、プロセッサとメモリを含むサーバ装置がクライアント端末装置からのアクセスを制御する作業環境統制方法であって、前記クライアント端末装置が、アプリケーションと外部通信制御部を稼働させる第１のステップと、前記クライアント端末装置が、ログインユーザ情報とクライアント証明書を前記サーバ装置へ送信する第２のステップと、前記サーバ装置が、前記ログインユーザ情報とクライアント証明書を受信して、予め設定した第１の認証情報で前記ログインユーザ情報を認証する第３のステップと、前記サーバ装置が、予め設定した第２の認証情報で前記クライアント証明書を認証する第４のステップと、前記サーバ装置が、前記ログインユーザ情報及び前記クライアント証明書の双方について前記認証に成功した場合には前記アプリケーションからの通信を許可し、前記ログインユーザ情報と前記クライアント証明書のいずれか一方が前記認証に失敗した場合には前記アプリケーションとの通信を禁止する第５のステップと、を含む。

本発明により、作業の依頼元と依頼先とのコミュニケーションのためにサーバ装置とクライアント端末装置の通信を許可した環境において、機密情報の漏えいを防止して安全に共同作業を行うことを可能とする。

本発明の実施例を示し、分散ＩＣＴ作業環境統制システムのブロック図である。 本発明の実施例を示し、クライアント端末装置の外部通信制御機能を示すブロック図である。 本発明の実施例を示し、ユーザ管理テーブルの一例を示す図である。 本発明の実施例を示し、コミュニティ情報管理テーブルの一例を示す図である。 本発明の実施例を示し、保護済み作業環境ポリシーテーブルの一例を示す図である。 本発明の実施例を示し、保護済み作業環境の登録処理に関するシーケンス図である。 本発明の実施例を示し、認証処理の一例を示すシーケンス図である。 本発明の実施例を示し、保護済み作業環境の利用可否判定処理の一例を示すフローチャートである。 本発明の実施例を示し、コミュニティへのアクセス可否の判定処理の一例を示すフローチャートである。 本発明の実施例を示し、コミュニケーションサーバ装置のハードウェアの一例を示すブロック図である。

以下、本発明を適用した分散ＩＣＴ（Information and Communication Technology）作業環境統制システムの実施の一形態について説明する。

＜システム構成＞
図１は、本発明の一実施例である分散ＩＣＴ作業環境統制システムのブロック図である。分散ＩＣＴ作業環境統制システムは、作業者が利用する作業環境及び、管理者や他の作業者間とのネットワーク経由でのコミュニケーション及びファイル送受信可能な環境を保護済み作業環境に設定する。そして、保護済み作業環境自体の利用期間や利用可否を作業指示者が制御することで、クライアント端末装置１０が組織内に閉じず分散した状況下においても安全に共同作業を行うことを可能とするシステムである。

分散ＩＣＴ作業環境統制システムは、クライアント端末装置１０と、コミュニケーションサーバ装置２０と、作業環境管理装置４０から構成されており、ネットワーク５０を介して接続されている。本実施例では、作業の依頼元が作業環境管理装置４０の管理者であり、作業の依頼先がクライアント端末装置１０を利用する作業者となる例を示す。

クライアント端末装置１０は、保護済み作業環境１１を有する。保護済み作業環境１１は、作業者が管理者から指示（または依頼）された作業を行う環境であり、クライアント端末装置１０が、コミュニケーションサーバ装置２０から、暗号化された保護済み作業環境２６をダウンロードすることでクライアント端末装置１０にインストールすることができる。

保護済み作業環境１１は、クライアント端末装置１０のＯＳ（図示省略）上で起動することができる。保護済み作業環境１１は、認証機能１２と、復号機能１３と、持ち出し制御機能１４と、外部通信制御機能（外部通信制御部）１５と、アプリケーション１７を有する。なお、外部通信制御機能１５には、クライアント証明書１６が含まれる。

認証機能１２により、保護済み作業環境１１を利用する際、クライアント端末装置１０からコミュニケーションサーバ装置２０へ認証を行うことで、作業環境管理装置４０で予め設定されたポリシーに準じた保護済み作業環境１１及びコミュニケーションサーバ装置２０の計算機資源が利用可能となる。また、認証機能１２は、暗号化された保護済み作業環境２６を復号する際に認証を実施する。

コミュニケーションサーバ装置２０での認証完了後は、保護済み作業環境１１の持ち出し制御機能１４により、保護済み作業環境１１からの持ち出し可能なデバイスが所定のポリシーに準じて制限される。

また、保護済み作業環境１１のアプリケーション１７と外部の通信は、外部通信制御機能１５によって、コミュニケーションサーバ装置２０に対してのみ外部通信を許可することで、機密データ３２の持ち出しを制御しながらコミュニケーションを一元管理する。復号機能１３は、暗号化された保護済み作業環境を認証後に利用できるように復号する機能を有する。

コミュニケーションサーバ装置２０は、管理者と作業者とのコミュニケーションやファイルの授受を一元管理する。また、コミュニケーションサーバ装置２０は、クライアント端末装置１０のアクセス権や保護済み作業環境１１のポリシーを設定するための装置である。

コミュニケーションサーバ装置２０は、コミュニケーション管理データベース２１と、保護済み作業環境格納領域２５と、作業用データ格納領域３１を有し、認証機能２７と、保護済み作業環境登録機能２８と、高速転送機能２９と、コミュニケーション管理機能３０とを有する。

コミュニケーション管理データベース２１は、管理者や作業者のログインユーザ情報（ユーザＩＤとパスワード）や、コミュニティ情報やアクセス権、および保護済み作業環境１１のポリシー定義を格納したデータベースである。コミュニケーション管理データベース２１は、ユーザ管理テーブル２２と、コミュニティ情報管理テーブル２３と、保護済み作業環境ポリシーテーブル２４から構成される。なお、コミュニティは、コミュニケーションサーバ装置２０を利用するユーザのグループである。

保護済み作業環境格納領域２５は、高速転送機能２９を使用して暗号化された保護済み作業環境２６を格納する領域である。認証機能（認証部）２７は、クライアント端末装置１０から送信されたユーザＩＤ、パスワード、クライアント証明書１６について照合を行うことで、ポリシーに準じた保護済み作業環境１１のみを利用可能とするための機能である。

保護済み作業環境登録機能２８は、作業環境管理装置４０で生成した保護済み作業環境をコミュニケーションサーバ装置２０に登録する機能を有する。高速転送機能２９は、コミュニケーションサーバ装置２０とクライアント端末装置１０間で、保護済み作業環境１１等をネットワーク５０を介して高速に転送する機能を有する。コミュニケーション管理機能３０は、管理者と作業者間（作業環境管理装置４０とクライアント端末装置１０のアプリケーション１７間）でネットワーク５０を経由したコミュニケーションやファイルの授受を一元管理する機能を有する。

作業用データ格納領域３１は、保護済み作業環境１１で利用する機密データ３２を格納する。なお、作業用データ格納領域３１は、認証が完了した保護済み作業環境１１に対してファイルサーバとして機能する。ただし、保護済み作業環境１１から外部への機密データ３２の書き込みは保護済み作業環境ポリシーテーブル２４の規則に従って制限される。

作業環境管理装置４０は、保護済み作業環境格納領域２５に格納する暗号化された保護済み作業環境２６を生成する装置である。作業環境管理装置４０は、保護済み作業環境ポリシー生成機能４１と、作業環境暗号機能４２と、機密データ４３を有する。

作業環境ポリシー生成機能４１は、保護済み作業環境を利用できるユーザや利用期間、利用可能なＩＰアドレスおよびコミュニティに対するアクセス権限の設定を定義する機能を有する。作業環境暗号機能４２はクライアント端末装置１０に送信する保護済み環境を暗号化する機能を有する。機密データ４３は、保護済み作業環境１１で使用する機密データ３２のマスターである。作業環境管理装置４０は、暗号化された保護済み作業環境２６で使用する機密データ４３を部分的に複製し、コミュニケーションサーバ装置２０の作業用データ格納領域３１に格納する。

なお、暗号化された保護済み作業環境２６は、クライアント証明書１６によって通信経路が保護される作業環境であり、ポリシーやアプリケーションや使用する機密データ３２の識別子やパスなどを含むファイルで構成することができる。

図１０は、コミュニケーションサーバ装置２０の構成の一例を示すブロック図である。コミュニケーションサーバ装置２０は、プロセッサ２０１と、メモリ２０２と、ストレージ２０３と、ネットワークインタフェース２０４と、入出力装置２０５とを含む計算機である。入出力装置２０５は、例えば、マウスやキーボードあるいはタッチパネル等の入力デバイスと、ディスプレイなどの出力デバイスを含む。

認証機能２７と、保護済み作業環境登録機能２８と、高速転送機能２９と、コミュニケーション管理機能３０の各機能部はプログラムとしてメモリ２０２にロードされる。

プロセッサ２０１は、各機能部のプログラムに従って処理することによって、所定の機能を提供する機能部として稼働する。例えば、プロセッサ２０１は、コミュニケーション管理プログラムに従って処理することでコミュニケーション管理部として機能する。他のプログラムについても同様である。さらに、プロセッサ２０１は、各プログラムが実行する複数の処理のそれぞれの機能を提供する機能部としても稼働する。計算機及び計算機システムは、これらの機能部を含む装置及びシステムである。

コミュニケーションサーバ装置２０の各機能を実現するプログラム、テーブル等の情報は、ストレージ２０３や不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記憶デバイス、または、ＩＣカード、ＳＤカード、ＤＶＤ等の計算機読み取り可能な非一時的データ記憶媒体に格納することができる。

なお、クライアント端末装置１０と作業環境管理装置４０も図２のコミュニケーションサーバ装置２０と同様の構成である。

図２は、クライアント端末装置１０の外部通信制御機能１５を示すブロック図である。外部通信制御機能１５は、保護済み作業環境１１の外部との通信をコミュニケーションサーバ装置２０のみに限定するための機能である。

外部通信制御機能１５は、クライアント端末装置１０の保護済み作業環境１１内に含まれる。外部通信制御機能１５は、通信中継部１８を有し、通信中継部１８は、クライアント証明書１６を保持する。通信中継部１８は、保護済み作業環境１１のアプリケーション１７とコミュニケーションサーバ装置２０以外との通信をブロックする機能を有する。

保護済み作業環境１１のアプリケーション１７は、外部通信制御機能１５の通信中継部１８のみと通信を許可される。すなわち、クライアント端末装置１０の保護済み作業環境１１内のアプリケーション１７は、外部通信制御機能１５内の通信中継部１８を介することでのみ外部との通信を許可され、コミュニケーションサーバ装置２０以外の外部との通信をすることはできない。

また、外部通信制御機能１５は、コミュニケーションサーバ装置２０との通信の際、ユーザから入力されたログインユーザ情報と、予めインストールされたクライアント証明書１６を付与して送信する機能を有する。

コミュニケーションサーバ装置２０の認証機能２７は、クライアント端末装置１０の保護済み作業環境１１の外部通信制御機能１５から取得したログインユーザ情報とクライアント証明書１６に基づき、コミュニケーション管理データベース２１を参照することにより、対象のポリシーを選択し、当該ポリシーに従ったコミュニティへのアクセス権限をアプリケーション１７に許可するか否かを判定する機能を有する。

また、認証機能２７はクライアント端末装置１０の保護済み作業環境１１以外からのアプリケーション１７Ａからの接続要求があった場合、対象コミュニティへのアクセスを禁止する機能を有する。なお、認証機能２７はクライアント証明書１６が付加されていないログインユーザ情報による接続要求を保護済み作業環境１１以外のアプリケーション１７Ａからの接続と判定する。

＜データ構成＞
図３は、コミュニケーション管理データベース２１を構成するユーザ管理テーブル２２のデータの一例を示す図である。ユーザ管理テーブル２２は、分散ＩＣＴ作業環境統制システムでクライアント端末装置１０を利用するユーザを識別するためのデータを有するテーブルである。

ユーザ管理テーブル２２は、データフィールドとして、ユーザＩＤ３０１と、ユーザ名３０２と、パスワード３０３を一つのエントリに有する。

図４は、コミュニティ情報管理テーブル２３のデータ構成図である。コミュニティ情報管理テーブル２３は、コミュニケーション管理機能３０にてコミュニティという特定のユーザのみアクセス可能な集合体の情報の管理を行うためのデータを有するテーブルである。

本実施例のコミュニティは、例えば、ひとつのプロジェクトを行うユーザの集合や、同一の機密データ３２を使用するユーザの集団や、一連の作業を分担して行うユーザの集団などを含むことができる。

コミュニティ情報管理テーブル２３は、データフィールドとして、コミュニティＩＤ２３１と、コミュニティ名２３２と、管理者ユーザＩＤ２３３と、参加者ユーザＩＤ２３４と、保護済み作業環境利用ユーザＩＤ２３５を一つのエントリに有する。

コミュニティ情報管理テーブル２３は、コミュニケーションサーバ装置２０等で予め生成された情報であり、参加者ユーザＩＤ２３４には作業環境管理装置４０側のユーザＩＤが格納され、保護済み作業環境利用ユーザＩＤ２３５にはクライアント端末装置１０の利用者のユーザＩＤが格納される。

図中、ＩＤが「ＵＳＥＲ＿ＣＣＣＣ」のユーザは、コミュニティＩＤ２３１＝「ＣＯＭＭＵＮＩＴＹ＿０１」では保護済み作業環境１１の利用者であるが、コミュニティＩＤ２３１＝「ＣＯＭＭＵＮＩＴＹ＿０２」では作業の依頼元である参加者ユーザＩＤ２３４となっている例を示す。

なお、コミュニティによっては機密データ３２の参照が不要な場合も存在するので、コミュニティ情報管理テーブル２３に機密データ３２へのアクセスの要否を設定するフィールドを付加してもよい。コミュニケーション管理機能３０は、機密データ３２へのアクセスが不要としてコミュニティ情報管理テーブル２３に設定されたコミュニティＩＤ２３１に含まれるユーザＩＤに対しては、機密データ３２へのアクセスを禁止する。これにより、機密データ３２の漏えいを抑制することができる。

図５は、保護済み作業環境ポリシーテーブル２４のデータ構成図である。保護済み作業環境ポリシーテーブル２４は、保護済み作業環境１１のポリシー管理を行うためのデータを有するテーブルである。

保護済み作業環境ポリシーテーブル２４は、データフィールドとして、ポリシーＩＤ２４１と、対象コミュニティＩＤ２４２と、クライアント証明書２４３と、利用可能ＩＰアドレス２４４と、利用可能期間２４５を一つのエントリに有する。

保護済み作業環境ポリシーテーブル２４は、コミュニケーションサーバ装置２０等で予め生成された情報であり、クライアント証明書２４３毎に対象コミュニティＩＤ２４２とポリシーＩＤ２４１を関連付ける。

なお、利用可能期間２４５は、保護済み作業環境１１のユーザが作業を実施する契約期間を格納するようにしてもよい。

＜処理の内容＞
図６は、保護済み作業環境１１の登録処理に関するシーケンス図である。本シーケンス図は、保護済み作業環境１１の生成から保護済み作業環境格納領域２５への格納までの処理を示すものである。

作業環境管理装置４０は、作業環境ポリシー生成機能４１によって保護済み作業環境１１を生成し、また、クライアント証明書１６を生成して保護済み作業環境１１に付加し、保護済み作業環境１１のポリシーを設定する（Ｓ６０１）。なお、ポリシーは、図５に示したポリシーＩＤ２４１と、対象コミュニティＩＤ２４２と、クライアント証明書２４３と、利用可能ＩＰアドレス２４４と、利用可能期間２４５が含まれる。

そして、作業環境管理装置４０は作業環境暗号機能４２で、保護済み作業環境１１を暗号化して暗号化された保護済み作業環境２６を生成する。作業環境管理装置４０は、コミュニケーションサーバ装置２０に対して、暗号化された保護済み作業環境２６の生成完了を通知する。なお、暗号化された保護済み作業環境２６には、クライアント証明書１６が含まれている。また、保護済み作業環境１１の復号機能１３と認証機能１２は暗号化せずに利用可能とする。

その後、コミュニケーションサーバ装置２０の保護済み作業環境登録機能２８は、高速転送機能２９を用いて、作業環境管理装置４０からコミュニケーションサーバ装置２０へ、暗号化された保護済み作業環境２６とポリシーを高速転送する（Ｓ６０２）。

高速転送機能２９は、暗号化された保護済み作業環境２６を保護済み作業環境格納領域２５に格納し（Ｓ６０３）、また、ポリシーをコミュニケーション管理データベース２１の保護済み作業環境ポリシーテーブル２４に格納する（Ｓ６０４）。

保護済み作業環境登録機能２８は、暗号化された保護済み作業環境２６の格納およびポリシーの設定が完了したら、作業環境管理装置４０に処理が完了したことを通知する（Ｓ６０５）。

上記処理によって、作業環境管理装置４０で生成された暗号化された保護済み作業環境２６とポリシーがコミュニケーションサーバ装置２０に格納される。この後、クライアント端末装置１０は、暗号化された保護済み作業環境２６をコミュニケーションサーバ装置２０からダウンロードして、認証機能１２で認証した後に復号機能１３によって暗号を復号してから保護済み作業環境１１をインストールする。クライアント端末装置１０はインストールの完了後に保護済み作業環境１１に含まれるアプリケーション１７と外部通信制御機能１５及び持ち出し制御機能１４を稼働させる。

図７は、クライアント端末装置１０の保護済み作業環境１１からコミュニケーションサーバ装置２０への認証依頼があった場合の認証処理の一例を示すフローチャートである。

ユーザが、クライアント端末装置１０の保護済み作業環境１１において、コミュニケーションサーバ装置２０にログインするためのログインユーザ情報（ユーザＩＤとパスワード）を入力する（Ｓ７０１）。外部通信制御機能１５の通信中継部１８が、ログインユーザ情報にクライアント証明書を付与する（Ｓ７０２）。

通信中継部１８は、付与したクライアント証明書１６とともにユーザＩＤおよびパスワードをコミュニケーションサーバ装置２０に送信する（Ｓ７０３）。コミュニケーションサーバ装置２０の認証機能２７は、取得したユーザＩＤ、パスワードおよびクライアント証明書１６をコミュニケーション管理データベース２１のユーザ管理テーブル２２と、コミュニティ情報管理テーブル２３と、保護済み作業環境ポリシーテーブル２４の各データと照合し、当該ユーザＩＤが保護済み作業環境１１を利用できるか否かを判定する（Ｓ７０４）。

認証機能２７は、上記判定の結果、当該ユーザＩＤが保護済み作業環境１１を利用する権限を有さないと判定した場合、ログイン失敗の通知をクライアント端末装置１０へ送信し、保護済み作業環境１１の利用は不可とする（Ｓ７０５）。

一方、認証機能２７は、保護済み作業環境１１を利用する権限を有すると判定した場合、ログインが成功した通知をクライアント端末装置１０へ送信する（Ｓ７０６）。保護済み作業環境１１は、コミュニケーションサーバ装置２０からログインが成功した旨の通知を受けた後、コミュニティへのアクセスのため、コミュニティＩＤを通信中継部１８を介してコミュニケーションサーバ装置２０に送信する（Ｓ７０７、Ｓ７０８）。

コミュニケーションサーバ装置２０は、取得したコミュニティＩＤに基づきコミュニケーション管理データベース２１のユーザ管理テーブル２２、コミュニティＩＤ２３、保護済み作業環境ポリシーテーブル２４を照合し、対象コミュニティで保護済み作業環境を利用する権限を有するか否かを判定する（Ｓ７０９）。

認証機能２７は、判定の結果、対象コミュニティを保護済み作業環境１１が利用する権限を有さないと判定した場合、当該クライアント端末装置１０において、対象コミュニティへのアクセスを不可とする（Ｓ７１０）。認証機能２７は、上記判定の結果、対象コミュニティを保護済み作業環境１１が利用する権限を有すると判定した場合、当該クライアント端末装置１０において対象コミュニティへのアクセスを可能とする（Ｓ７１１）。

上記処理により、保護済み作業環境１１内のファイルをコミュニケーション管理機能３０の特定コミュニティ以外に持ち出すことを禁止する制御が可能となる。

図８は、認証機能２７で行われる保護済み作業環境１１の利用可否の判定処理の一例を示すフローチャートである。この処理は図７のステップＳ７０４でクライアント端末装置１０からログインユーザ情報とクライアント証明書１６を受信したときに実行される。

コミュニケーションサーバ装置２０の認証機能２７は、ユーザ管理テーブル２２にユーザＩＤとパスワードのペアが登録されているか否かを判定する（Ｓ８０１）。認証機能２７は、登録されていないと判定した場合、クライアント端末装置１０に権限なしの通知を行う（Ｓ８０６）。一方、認証機能２７は、登録されていると判定した場合、保護済み作業環境ポリシーテーブル２４にクライアント証明書１６が登録されているか否かを判定する（Ｓ８０２）。

認証機能２７は、クライアント証明書１６が登録されていないと判定した場合、クライアント端末装置１０に権限なしの通知を行う（Ｓ８０６）。一方、認証機能２７は、クライアント証明書１６が登録されていると判定した場合、保護済み作業環境１１のＩＰアドレスがステップＳ８０２で選択したレコードの利用可能ＩＰアドレス２４４の範囲内であるか否かを判定する（Ｓ８０３）。

認証機能２７は、保護済み作業環境１１のＩＰアドレスが利用可能ＩＰアドレス２４４の範囲外であると判定した場合、クライアント端末装置１０に権限なしの通知を行う（Ｓ８０６）。一方、認証機能２７は、保護済み作業環境１１のＩＰアドレスが利用可能ＩＰアドレス２４４の範囲内であると判定した場合、現在日時がＳ８０２で選択したレコードの利用可能期間２４５の範囲内であるか否かを判定する（Ｓ８０４）。

認証機能２７は、現在の日時が利用可能期間２４５の範囲外であると判定した場合、クライアント端末装置１０に権限なしの通知を行う（Ｓ８０６）。

一方、認証機能２７は、現在の日時が利用可能期間２４５の範囲内であると判定した場合、クライアント端末装置１０に権限ありの通知を行う（Ｓ８０５）。

上記処理によって、ログインユーザ情報に加えて、クライアント証明書１６が登録されていなければ保護済み作業環境１１を利用することができず、クライアント端末装置１０からコミュニケーションサーバ装置２０との通信や機密データ３２へのアクセスが禁止される。

また、クライアント証明書１６が登録されていても、利用可能期間２４５以内でなければ保護済み作業環境１１を利用することができず、クライアント端末装置１０からコミュニケーションサーバ装置２０との通信や機密データ３２へのアクセスが禁止される。

本実施例では、クライアント証明書１６の有無と、有効または無効に基づいて、クライアント端末装置１０の保護済み作業環境１１からコミュニケーションサーバ装置２０へのアクセスが切り替えられる。

なお、クライアント証明書１６が無効の場合、クライアント端末装置１０は、ネットワーク５０を介して外部との通信を行う保護されていない計算機として利用することはできる。

図９は、認証機能２７で行われるコミュニティへのアクセス可否の判定処理の一例を示すフローチャートである。この処理は図７のステップＳ７０９で行われる。コミュニケーションサーバ装置２０の認証機能２７は、ユーザＩＤが、図８のステップＳ８０２でクライアント証明書１６に基づいて選択した保護済み作業環境ポリシーテーブル２４レコードの対象コミュニティＩＤ２４２で、コミュニティ情報管理テーブル２３のコミュニティＩＤ２３１と突き合わせたレコードの保護済み作業環境利用ユーザＩＤ２３５に含まれるか否かを判定する（Ｓ９０１）。すなわち、認証機能２７は、クライアント証明書１６に対応する保護済み作業環境利用ユーザＩＤ２３５に、当該ユーザＩＤが含まれるか否かを判定する。

認証機能２７は、保護済み作業環境利用ユーザＩＤ２３５に、当該ユーザＩＤが含まれないと判定した場合、クライアント端末装置１０に権限なしの通知を行う（Ｓ９０３）。

一方、認証機能２７は、保護済み作業環境利用ユーザＩＤ２３５に、当該ユーザＩＤが含まれると判定した場合、クライアント端末装置１０に権限ありの通知を行（Ｓ９０２）う。

以上の処理によって、ログインユーザ情報とクライアント証明書１６による認証で保護済み作業環境１１が利用可能となり、さらに、コミュニティＩＤとクライアント証明書１６によってコミュニティへのアクセスが可能となる。

本実施例により、クライアント端末装置１０が分散した環境において、作業の依頼元となる作業環境管理装置４０と、依頼先となるクライアント端末装置１０のコミュニケーションのために外部サーバとの通信を許可した環境において、コミュニケーションサーバ装置２０が機密データ３２の漏えいを防止して安全に共同作業を行うことが可能となる。

本実施例では、クライアント端末装置１０を物理計算機で構成した例を示したが、保護済み作業環境１１をクライアント端末装置１０上の仮想計算機として稼働させるようにしても良い。この場合、暗号化された保護済み作業環境２６は、ゲストＯＳを含むファイルとすれば良い。

以上、本実施例では、保護済み作業環境１１の使用開始時には、コミュニケーションサーバ装置２０でログインユーザ情報の認証と、クライアント証明書１６の認証の２つの認証を行う。コミュニケーションサーバ装置２０は、クライアント証明書１６の有無と、クライアント証明書１６の有効または無効に基づいて、保護済み作業環境１１からコミュニケーションサーバ装置２０へのアクセスを制御する。

これにより、コミュニケーションサーバ装置２０の計算機資源の利用を２つの認証結果に基づいて切り替えることができる。また、クライアント証明書１６の有効または無効を判定することで利用可能期間２４５内のクライアント証明書１６のみを許可することができる。したがって、ログインユーザ情報の認証が成功しても、クライアント証明書１６が利用可能期間２４５内でなければ保護済み作業環境１１はコミュニケーションサーバ装置２０へのアクセスが禁止される。

また、コミュニケーションサーバ装置２０は、コミュニティ情報管理テーブル２３によってコミュニティＩＤ２３１毎に機密データ３２へのアクセスを許可または禁止することができるので、機密データ３２に対するセキュリティを確保することができる。

また、保護済み作業環境１１の外部通信制御機能１５は、通信中継部１８はコミュニケーションサーバ装置２０以外の装置との通信を禁止するので、保護済み作業環境１１で機密データ３２を参照しても外部への漏えいを防ぐことができる。

なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に記載したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加、削除、又は置換のいずれもが、単独で、又は組み合わせても適用可能である。

また、上記の各構成、機能、処理部、及び処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、及び機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。

また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。

１０ クライアント端末装置
１１ 保護済み作業環境
１５ 外部通信制御機能
１６ クライアント証明書
１７ アプリケーション
２０ コミュニケーションサーバ装置
２１ コミュニケーション管理データベース
２２ ユーザ管理テーブル
２３ コミュニティ情報管理テーブル
２４ 保護済み作業環境ポリシーテーブル
２５ 保護済み作業環境格納領域
２６ 暗号化された保護済み作業環境
２７ 認証機能
３０ コミュニケーション管理機能
３２ 機密データ
４０ 作業環境管理装置
４１ 作業環境ポリシー生成機能
４２ 作業環境暗号化機能

Claims (13)

1. プロセッサとメモリを含むサーバ装置がクライアント端末装置からのアクセスを制御する作業環境統制方法であって、
   前記クライアント端末装置が、アプリケーションと外部通信制御部を稼働させる第１のステップと、
   前記クライアント端末装置が、ログインユーザ情報とクライアント証明書を前記サーバ装置へ送信する第２のステップと、
   前記サーバ装置が、前記ログインユーザ情報とクライアント証明書を受信して、予め設定した第１の認証情報で前記ログインユーザ情報を認証する第３のステップと、
   前記サーバ装置が、予め設定した第２の認証情報で前記クライアント証明書を認証する第４のステップと、
   前記サーバ装置が、前記ログインユーザ情報及び前記クライアント証明書の双方について前記認証に成功した場合には前記アプリケーションからの通信を許可し、前記ログインユーザ情報と前記クライアント証明書のいずれか一方が前記認証に失敗した場合には前記アプリケーションとの通信を禁止する第５のステップと、
   を含むことを特徴とする作業環境統制方法。
2. 請求項１に記載の作業環境統制方法であって、
   前記第５のステップは、
   前記クライアント証明書の認証結果に基づいて、当該サーバ装置に格納した機密データへのアクセスを前記アプリケーションに許可するか否かを判定するステップを含むことを特徴とする作業環境統制方法。
3. 請求項２に記載の作業環境統制方法であって、
   前記第２の認証情報は、
   前記クライアント端末装置のユーザのグループであるコミュニティ毎にクライアント証明書と前記機密データへのアクセスの可否が設定され、
   前記第５のステップは、
   前記クライアント証明書に対応する前記コミュニティに応じて前記機密データへのアクセスの可否を判定するステップを含むことを特徴とする作業環境統制方法。
4. 請求項１に記載の作業環境統制方法であって、
   前記第１のステップは、
   前記クライアント端末装置が、前記アプリケーションと外部通信制御部及び前記クライアント証明書を含む保護済み作業環境を前記サーバ装置から取得するステップをさらに含むことを特徴とする作業環境統制方法。
5. 請求項１に記載の作業環境統制方法であって、
   前記外部通信制御部が、前記アプリケーションの通信先を前記サーバ装置に制限する第６のステップをさらに含むことを特徴とする作業環境統制方法。
6. プロセッサとメモリを含むサーバ装置がクライアント端末装置からのアクセスを制御する作業環境統制システムであって、
   前記クライアント端末装置は、
   アプリケーションの通信を中継し、ログインユーザ情報とクライアント証明書を前記サーバ装置へ送信する外部通信制御部を有し、
   前記サーバ装置は、
   前記ログインユーザ情報とクライアント証明書を受信して、予め設定した第１の認証情報で前記ログインユーザ情報を認証し、予め設定した第２の認証情報で前記クライアント証明書を認証する認証部と、
   前記ログインユーザ情報及び前記クライアント証明書の双方が前記認証に成功した場合には前記アプリケーションからの通信を許可し、前記ログインユーザ情報と前記クライアント証明書のいずれか一方が前記認証に失敗した場合には前記アプリケーションとの通信を禁止するコミュニケーション管理部と、
   を有することを特徴とする作業環境統制システム。
7. 請求項６に記載の作業環境統制システムであって、
   前記コミュニケーション管理部は、
   前記クライアント証明書の認証結果に基づいて、当該サーバ装置に格納した機密データへのアクセスを前記アプリケーションに許可するか否かを判定することを特徴とする作業環境統制システム。
8. 請求項７に記載の作業環境統制システムであって、
   前記第２の認証情報は、
   前記クライアント端末装置のユーザのグループであるコミュニティ毎にクライアント証明書と前記機密データへのアクセスの可否が設定され、
   前記コミュニケーション管理部は、
   前記クライアント証明書に対応する前記コミュニティに応じて前記機密データへのアクセスの可否を判定することを特徴とする作業環境統制システム。
9. 請求項６に記載の作業環境統制システムであって、
   前記クライアント端末装置は、前記アプリケーションと外部通信制御部及び前記クライアント証明書を含む保護済み作業環境を前記サーバ装置から取得することを特徴とする作業環境統制システム。
10. 請求項６に記載の作業環境統制システムであって、
    前記外部通信制御部が、前記アプリケーションの通信先を前記サーバ装置に制限することを特徴とする作業環境統制システム。
11. プロセッサとメモリを含んでクライアント端末装置からのアクセスを制御するサーバ装置であって、
    ログインユーザ情報とクライアント証明書を受信して、予め設定した第１の認証情報で前記ログインユーザ情報を認証し、予め設定した第２の認証情報で前記クライアント証明書を認証する認証部と、
    前記ログインユーザ情報及び前記クライアント証明書の双方が前記認証に成功した場合には前記クライアント端末装置からの通信を許可し、前記ログインユーザ情報と前記クライアント証明書のいずれか一方が前記認証に失敗した場合には前記クライアント端末装置との通信を禁止するコミュニケーション管理部と、
    を有することを特徴とするサーバ装置。
12. 請求項１１に記載のサーバ装置であって、
    前記コミュニケーション管理部は、
    前記クライアント証明書の認証結果に基づいて、当該サーバ装置に格納した機密データへのアクセスを前記クライアント端末装置に許可するか否かを判定することを特徴とするサーバ装置。
13. 請求項１２に記載のサーバ装置であって、
    前記第２の認証情報は、
    前記クライアント端末装置のユーザのグループであるコミュニティ毎にクライアント証明書と前記機密データへのアクセスの可否が設定され、
    前記コミュニケーション管理部は、
    前記クライアント証明書に対応する前記コミュニティに応じて前記機密データへのアクセスの可否を判定することを特徴とするサーバ装置。

Images