JP2023035086A - 情報処理システム、情報処理方法、及び、情報処理プログラム - Google Patents

Abstract

【課題】情報処理システムのユーザ管理において管理者及びユーザの作業負荷を軽減する情報処理システム及び方法を提供する。【解決手段】情報処理システム１００は、承認者端末１０１、ユーザ端末１０２及び管理サーバ１０３を有する。承認者端末は、権限付与の手続情報をユーザ端末へ通知する通知部及び管理サーバによる認証結果が成功の場合、権限付与のリクエストを承認するか否かの操作を要求する承認要求を受け付けて、承認要求を承認する承認結果を管理サーバへ送る承認部を備える。ユーザ端末は、手続情報を受取る受信部及び手続情報に基づき、リクエストを管理サーバへ送るリクエスト部を備える。管理サーバは、リクエストを受取ると認証結果を生成する認証部、認証結果が成功の場合、承認要求を承認者端末へ送る承認要求部、承認結果が得られたらトークンを保存する保存部及びトークンに基づき複数のリソースへの権限を付与する権限付与部とを備える。【選択図】図５

Description

本発明は、情報処理システム、情報処理方法、及び、情報処理プログラムに関する。

情報処理システムにおいて、情報処理システム等のリソースに対するユーザの権限を管理する技術が知られている。特に、ユーザが複数の情報処理システムを利用する場合において、複数の情報処理システムに対し、共通したユーザの権限を管理する技術が知られている。

具体的には、情報処理システムが、ネットワークを介して接続された複数のシステムに対し、ユーザのシステム権限情報をシステムごとに設定する。そのため、情報処理システムは、まず、ユーザ情報を取得する。次に、情報処理システムは、ユーザ属性に対し、関連付けられた権限ロールを付与する。続いて、情報処理システムは、システムごとのシステム権限情報を権限ロールが付与されたユーザのシステム権限情報として設定する。このようにして、システムの仕様に関わらず、システムごとに設定されるユーザのシステム権限情報を共通した処理で生成し、かつ、付与できる技術が知られている（例えば、特許文献１を参照）。

従来の技術は、システムの仕様に関わらず、システムごとに設定されるユーザの権限情報を共通した処理で生成、及び、付与する。そのため、従業員の入れ替わり等が多くなると、管理者は、ユーザ情報を会社、又は、業務ごとに生成、及び、管理する。このような管理では、管理する情報が多くなる等の作業負荷が増えやすい。また、ユーザは、リソースごとに申請等を行う。ゆえに、管理者、及び、ユーザの作業負荷が大きくなる課題がある。

本発明は、情報処理システムのユーザ管理において、管理者、及び、ユーザの作業負荷を軽減すること目的とする。

上記の課題を解決するため、本発明の一態様である、ユーザが用いるユーザ端末、前記ユーザ端末と接続する情報処理装置、及び、前記ユーザに付与する権限を承認する承認者が用いる承認者端末を有する情報処理システムにおいて、
前記承認者端末は、
前記権限を付与する手続に用いる手続情報を前記ユーザ端末に通知する通知部と、
前記情報処理装置による認証結果が成功であると、前記権限の付与を要求するリクエストを承認するか否かの操作を要求する承認要求を受け付けて、前記承認要求に対して承認する承認結果を前記情報処理装置に送る承認部とを備え、
前記ユーザ端末は、
前記手続情報を受け取る受信部と、
前記手続情報に基づき、前記リクエストを前記情報処理装置に送るリクエスト部とを備え、
前記情報処理装置は、
前記リクエストを受け取ると、前記認証結果を生成する認証部と、
前記認証結果が成功であると、前記承認要求を前記承認者端末に送る承認要求部と、
前記承認結果が得られると、トークンを保存する保存部と、
前記トークンに基づき、複数のリソースに対する前記権限を付与する権限付与部と
を備えることを特徴とする。

本発明によれば、情報処理システムのユーザ管理において、管理者、及び、ユーザの作業負荷を軽減できる。

情報処理システムの全体構成例を示す図である。 情報処理装置の例を示す図である。 全体処理例を示す図である。 トークンの保存例を示す図である。 機能構成例を示す図である。

以下、添付する図面を参照し、具体例を説明する。なお、実施形態は、以下に説明する具体例に限られない。

［全体構成例］
図１は、情報処理システムの全体構成例を示す図である。例えば、情報処理システム１００は、承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３等を有する。図１に示すように、情報処理システム１００は、管理サーバ１０３に対して、通信ネットワークを介して、承認者端末１０１とユーザ端末１０２が接続されて構成される。

承認者端末１０１は、例えば、ユーザ２０２の上司２０１等が用いる。なお、承認者は、ユーザ２０２に対して、権限を付与できる立場であればよい。したがって、承認者は、ユーザ２０２が使用を希望するシステム、プロジェクトのリーダ、又は、サービスの管理者等でもよい。

ここで、管理サーバ１０３を含む情報処理システム１００が利用される状況の一例を説明する。以下の記載における「ユーザ２０２」と「上司２０１」は、それぞれが利用可能に構成されている上記の端末（ユーザ端末１０２、及び、承認者端末１０１である。）を操作する操作者に相当する。

また、ユーザ２０２と上司２０１は、情報処理システム１００を利用する組織内に所属する人物であって、上司２０１は、ユーザ２０２に対して、業務の指揮監督をすべき立場の者を想定する。

なお、ユーザ２０２と上司２０１が、同一の組織に所属しない場合も想定されるが、いずれの状況においても、上司２０１は、ユーザ２０２に対して情報処理システム１００の利用権限の付与に関し、許諾又は不許諾の権限を有する者を想定している。

ユーザ端末１０２は、ユーザ２０２が用いる。すなわち、ユーザ２０２は、ユーザ端末１０２が表示する画面に対し、入力の操作を行う。

管理サーバ１０３は、社内の情報等を管理する。例えば、管理サーバ１０３は、データベース等の形式で情報を管理する。

なお、承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３等は、１台の情報処理装置でなくともよい。すなわち、情報処理システム１００において、各装置は、複数の装置で実現されてもよい。

［情報処理装置のハードウェア構成例］
図２は、情報処理装置の例を示す図である。図１にて示した承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３のハードウェア構成について説明する。

承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３のいずれも、周知の情報処理装置と同様のハードウェア構成である。本実施形態における承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３は、いずれも図２に例示したハードウェア構成とする例で以下説明する。

本実施形態に係る承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３は、例えば、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ（以下「ＣＰＵ５０１」という。）、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ（以下「ＲＯＭ５０２」という。）、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ（以下「ＲＡＭ５０３」という。）、Ｈａｒｄ Ｄｉｓｋ（以下「ＨＤ５０４」という。）、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅコントローラ（以下「ＨＤＤコントローラ５０５」という。）、ディスプレイ５０６、外部機器接続Ｉｎｔｅｒｆａｃｅ（以下「外部機器接続Ｉ／Ｆ５０８」という。）、ネットワークＩ／Ｆ５０９、バスライン５１０、キーボード５１１、ポインティングデバイス５１２、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ Ｒｅｗｒｉｔａｂｌｅドライブ（以下「ＤＶＤ－ＲＷドライブ５１４」という。）、及び、メディアＩ／Ｆ５１６を備える。

ＣＰＵ５０１は、情報処理装置としての承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３のそれぞれにおける動作を制御する。

ＲＯＭ５０２は、ＩＰＬ等のＣＰＵ５０１の駆動に用いられるプログラムを記憶する。

ＲＡＭ５０３は、ＣＰＵ５０１のワークエリアとして使用される。

ＨＤ５０４は、承認者端末１０１、ユーザ端末１０２、及び、管理サーバ１０３において実行可能なコンピュータプログラムや、当該プログラムを実行するときに利用される設定情報などの各種データを記憶する。

ＨＤＤコントローラ５０５は、ＣＰＵ５０１の制御にしたがってＨＤ５０４に対する各種データの読み出し又は書き込みを制御する。

ディスプレイ５０６は、カーソル、メニュー、ウィンドウ、文字、又は、画像等の各種情報を表示する。

外部機器接続Ｉ／Ｆ５０８は、各種の外部機器を接続するためのインターフェースである。例えば、外部機器は、ＵＳＢ(Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ)メモリ、又は、プリンタ等である。

ネットワークＩ／Ｆ５０９は、通信ネットワークを利用してデータ通信をするためのインターフェースである。

バスライン５１０は、ＣＰＵ５０１等の各構成要素を電気的に接続するためのアドレスバス、及び、データバス等である。

また、キーボード５１１は、文字、数値、各種指示などの入力のための複数のキーを備えた入力手段の一種である。

ポインティングデバイス５１２は、各種指示の選択実行、処理対象の選択、カーソルの移動等を行う入力装置の一種である。

ＤＶＤ－ＲＷドライブ５１４は、着脱可能な記録媒体の例であるＤＶＤ－ＲＷ５１３に対する各種データの読み出し、又は、書き込みを制御する。なお、記録媒体は、ＤＶＤ－ＲＷに限らず、ＤＶＤ－Ｒ等であってもよい。

メディアＩ／Ｆ５１６は、フラッシュメモリ等の記録メディア５１５に対するデータの読み出し又は書き込み（記憶）を制御する。

なお、情報処理装置は、図示する以外の装置を内部、又は、外部に備えてもよい。

［全体処理例］
図３は、情報処理システム１００において実行される全体処理の例を示す図である。以下、管理サーバ１０３が管理するデータベース等の社内リソース（社内のネットワークからの接続によって利用できるリソースである。）に対するアクセス権限を、ユーザ２０２が上司２０１に付与してもらうために、ユーザ２０２が上司２０１に対して行う権限付与依頼の処理の流れを例に説明する。

以下に説明する全体処理により、ユーザ２０２に対し、社内リソースへのアクセス権限が付与される。なお、アクセス権限は、社内リソースに対してアクセスする権限に限られず、上司２０１の承認の下で付与可能な処理手続を行う権限であってもよい。すなわち、本実施形態におけるアクセス権限とは、秘密に管理されている情報（例えば、これらの情報を示すデータベース、又は、ファイル等である。）に対する読み込み（ｒ）、書き込み（ｗ）、実行（ｘ）、及び、これらの組み合わせ等である。

なお、権限は、情報へのアクセス権限の他、上司２０１の承認によりユーザ２０２に対して付与する権限であれば、上司２０１が承認する処理手続（処理内容）の実行権限等も含まれてよい。

ステップＳ０３０１では、承認者端末１０１は、権限を付与する手続に用いる情報（以下「手続情報」という。）をユーザ端末１０２に通知する。

手続情報は、権限の付与する手続にユーザ２０２が操作を行うサイト、及び、手続において入力が要求される情報等を示す。具体的には、手続情報は、管理サーバ１０３へのアクセス情報（例えば、Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）形式等である。）、承認者に関する情報、及び、ユーザ端末１０２からの管理サーバ１０３に対するアクセスの許可等を含む。

なお、アクセス情報は、２次元バーコード等の形式で表示されるのが望ましい。このように、２次元バーコードが用いられると、スマートフォン等で管理サーバ１０３にアクセスするのが容易にできる。

ただし、手続情報は、上記の内容、及び、形式に限られない。すなわち、手続情報は、ユーザ２０２が権限を付与してもらう手続に使う情報等であれば、他の情報が含まれてもよい。

ステップＳ０３０２では、ユーザ端末１０２は、手続情報を受け取る。例えば、手続情報は、承認者端末１０１が発信元となり、ユーザ端末１０２が発信先となるメール等で通知される。

また、手続情報の通知は、最終的にユーザ端末１０２が発信先となれば経路は問わない。すなわち、手続情報の通知は、近距離通信等で承認者端末１０１からユーザ端末１０２に送られてもよいし、他の装置、又は、ネットワーク等を介して送られてもよい。

なお、承認者端末１０１は、手続情報を通知する前に、ユーザ端末１０２を認証してもよい。このように認証を行うと、ユーザ２０２に「なりすまし」をして権限を不正に取得されるのを防ぐことができる。

ステップＳ０３０３では、ユーザ端末１０２は、手続情報に基づき、権限の付与を要求するリクエスト（以下、単に「リクエスト」という。）を管理サーバ１０３に送る。

リクエストは、手続情報に基づいて、権限の付与を要求するのに送られる情報である。例えば、リクエストは、手続情報が示すサイトにユーザ端末１０２がアクセスすると送られる。

ステップＳ０３０４では、管理サーバ１０３は、認証を開始する。具体的には、管理サーバ１０３は、ユーザ２０２を認証するため、ユーザ端末１０２に情報等を入力させる入力画面を表示する。

ステップＳ０３０５では、ユーザ端末１０２は、認証に用いる情報を入力画面等で受け付けて、受け付けた情報を管理サーバ１０３へ送る。すなわち、ユーザ２０２は、情報等を入力画面等へ入力する操作を行う。このような操作で入力された情報に基づき、管理サーバ１０３は、ユーザ２０２の認証を開始する。

例えば、ユーザ２０２は、ｉｄｅｎｔｉｆｉｃａｔｉｏｎ（ＩＤ）及びパスワード等を入力する。

ステップＳ０３０６では、管理サーバ１０３は、認証して認証結果を生成する。例えば、ＩＤ及びパスワードを用いる認証は、事前に管理サーバ１０３等に登録され、ＩＤ及びパスワードが完全一致すると、認証結果は「成功」となる。一方で、ＩＤ及びパスワードのうち、どちらか一方でも、完全に一致しない場合には、認証結果は「失敗」となる。このように、認証結果は、「成功」又は「失敗」を示すように生成される。

なお、認証は、ＩＤ及びパスワードを用いる以外で行ってもよい。例えば、認証は、生体情報等を用いてもよい。ゆえに、認証方法により、管理サーバ１０３は、認証方法に合わせて様々な種類の情報を利用してもよい。

また、認証は、Ｏｐｅｎ ＩＤ Ｐｒｏｖｉｄｅｒを用いるのが望ましい。したがって、認証は、管理サーバ１０３を介して認証に用いる情報がＯｐｅｎ ＩＤ Ｐｒｏｖｉｄｅｒ等に送られ、その後、管理サーバ１０３がＯｐｅｎ ＩＤ Ｐｒｏｖｉｄｅｒから認証結果を受け取ってもよい。

ステップＳ０３０７では、管理サーバ１０３は、認証結果が成功であると（図において［認証が成功］の場合である。）、承認要求を承認者端末１０１に送る。

一方で、認証結果が失敗であると（図において［認証が失敗］の場合である。）、管理サーバ１０３は、全体処理を終了する。なお、管理サーバ１０３は、認証が失敗した通知をユーザ端末１０２に送る等をしてもよい。

承認要求は、リクエスト、すなわち、ユーザ２０２に権限を付与する処理を承認するか否かの操作を要求する情報である。なお、承認要求は、事前に設定する承認者に対して送られる。

ステップＳ０３０８では、承認者端末１０１は、承認要求に対し、リクエストを承認する承認結果を管理サーバ１０３に送る。なお、リクエストを承認しない操作がされると、承認結果が送られず、全体処理は終了する。

ステップＳ０３０９では、管理サーバ１０３は、承認結果が得られると、トークンを保存する。まず、トークンは、アクセストークン、又は、ＩＤトークン等である。次に、トークンは、以下のように保存される。

図４は、トークンの保存例を示す図である。例えば、トークンは、データベース３００のような形式で保存される。このように、トークンは、Ｓｔｒｕｃｔｕｒｅｄ Ｑｕｅｒｙ Ｌａｎｇｕａｇｅ（ＳＱＬ）データベース等で管理される。なお、トークンは、図示する以外の形式で保存されてもよい。

ステップＳ０３０７による承認が成功すると、管理サーバ１０３は、データベース３００等のように、トークンを保存する。

「トークン名」は、保存中のトークンを示す名称である。

「第１リソース」、及び、「第２リソース」は、承認されたリソースの名称である。リソースは、例えば、所定の場所への入退場権限、サービス、又は、サーバ等である。このように、リソースは、設備、ソフトウェア、情報、サービス、又は、これらの組み合わせ等である。

データベース３００に例示するように、リソースは、例えば、Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ（ＵＲＬ）形式で、リソースを使用する際のアクセス先を示して特定される。

データベース３００は、「管理者」等の情報を含んでもよい。「管理者」は、各々のリソースを管理する権限を有するアカウント等を示す。

また、トークンは、所属するグループごとの単位で保存、及び、管理されてもよい。例えば、図示するように、第１グループ３０１、第２グループ３０２、及び、第３グループ３０３という３つのグループが事前に設定されているとする。

図示する例は、３つのグループのうち、第１グループ３０１に、データベース３００が示すトークンを紐づけた例である。また、リソースは、グループごとに設定されてもよい。具体的には、図示する例では、第１グループ３０１に紐づけされると、「第１リソース」、「第２リソース」、及び、「第３リソース」の利用が可能となる。一方で、第２グループ３０２、及び、第３グループ３０３に紐づけされると、「第１リソース」、「第２リソース」、及び、「第３リソース」以外のリソースが利用可能等となる。

ステップＳ０３１０では、管理サーバ１０３は、権限を付与する。以降、ユーザ２０２は、社内リソースのうち、権限に基づいて認められたアクセス権等の範囲内で社内リソースを利用できる。

ステップＳ０３１１では、ユーザ端末１０２は、トークンを使ってリソースにアクセスする。すなわち、ユーザ端末１０２は、様々なシステム、又は、サービスが利用できる。

なお、ステップＳ０３１１は、トークンが保存された後であれば、他のタイミングで実行されてもよい。

［機能構成例］
図５は、機能構成例を示す図である。例えば、承認者端末１０１は、通知部４１１、及び、承認部４１２を備える。ユーザ端末１０２は、受信部４２１、及び、リクエスト部４２２を備える。管理サーバ１０３は、認証部４３１、承認要求部４３２、保存部４３３、及び、権限付与部４３４を備える。

通知部４１１は、手続情報をユーザ端末１０２に通知する通知手順を行う。例えば、通知部４１１は、ネットワークＩ／Ｆ５０９等で実現する。

承認部４１２は、認証部４３１による認証結果が成功であると、承認要求部４３２が送る承認要求を受け付けて、承認要求に対して承認する承認結果を管理サーバ１０３に送る承認手順を行う。例えば、承認部４１２は、ネットワークＩ／Ｆ５０９等で実現する。

受信部４２１は、手続情報を受け取る受信手順を行う。例えば、受信部４２１は、ネットワークＩ／Ｆ５０９等で実現する。

リクエスト部４２２は、手続情報に基づき、リクエストを管理サーバ１０３に送るリクエスト手順を行う。例えば、リクエスト部４２２は、ネットワークＩ／Ｆ５０９等で実現する。

認証部４３１は、リクエストを受け取ると、認証結果を生成する認証手順を行う。例えば、認証部４３１は、ＣＰＵ５０１等で実現する。

承認要求部４３２は、認証部４３１による認証結果が成功であると、承認要求を承認者端末１０１に送る承認要求手順を行う。例えば、承認要求部４３２は、ネットワークＩ／Ｆ５０９等で実現する。

保存部４３３は、承認結果が得られると、トークンを保存する保存手順を行う。例えば、保存部４３３は、ＨＤ５０４等で実現する。

権限付与部４３４は、トークンに基づき、複数のリソースに対する権限を付与する権限付与手順を行う。例えば、権限付与部４３４は、ＣＰＵ５０１等で実現する。

上記のような構成であると、トークンが保存された後であれば、トークンに基づいて、権限が付与される。ゆえに、ユーザ２０２は、複数のリソースに対し、個別に権限を付与しなくとも複数のリソースを利用できる。

一方で、リソースごとに権限を付与する構成であると、従業員の入れ替わり等が多くなると、管理者は、ユーザ情報を会社、又は、業務ごとに生成、及び、管理するため、作業負荷が増えやすい。ゆえに、管理者の作業負荷が大きくなる。また、ユーザは、権限ごとに申請をする作業を行う。したがって、ユーザも作業負荷が大きくなる。

これに対し、上記のような構成であると、管理者、及び、ユーザの作業負荷を軽減できる。

［第１変形例］
権限は、リソースごとに異なる粒度で設定されてもよい。すなわち、複数のリソースがあり、ユーザ２０２に対して、各々のリソースに常に同一の粒度で権限を一律に付与しない場合等がある。このような場合に対し、管理者、又は、承認者は、ユーザ２０２に対して、リソースごとに粒度を設定して、設定に基づき、承認又は権限の付与がされるのが望ましい。このように、粒度が設定できると、情報処理システム１００は、柔軟な運用ができる。

なお、粒度は、権限の種類、権限の強さ、又は、利用可能なサービスの種類等を設定できれば名称は問わない。

［第２変形例］
手続情報は、メールで通知されるのが望ましい。メールであると、汎用的なツールであるため、ユーザ端末１０２が専用のソフトウェアをインストールする等を行わなくとも扱える場合が多い。

したがって、手続情報は、メールで伝えられる情報に限るのが望ましい。ゆえに、手続情報は、管理サーバ１０３へのアクセス情報、承認者に関する情報、及び、ユーザ端末１０２からの管理サーバ１０３に対するアクセスの許可等を含むのが望ましい。

このように、手続情報がメールで通知されると、ユーザ２０２の作業負荷が軽減できる。

［第３変形例］
情報処理システム１００は、承認者端末１０１とは異なる情報処理装置を更に有してもよい。すなわち、ステップＳ０３０８に示す承認の操作、及び、承認結果の送信を承認者端末１０１に代理して行う情報処理装置（以下「代理端末」という。）等があってもよい。

代理端末は、承認者端末１０１に代わって、承認部４１２を備える。具体的には、代理端末は、承認者端末１０１に代わって承認要求部４３２が送る承認要求を受け付けて、承認要求に対して承認する承認結果を管理サーバ１０３に送る。

このように、代理端末等があると、上司２０１以外の人物でも承認の作業ができ、承認等の権限を上司２０１から別の人物に権限委譲ができる。

なお、承認部４１２は、承認者端末１０１、及び、代理端末の両方が備えてもよい。すなわち、情報処理システム１００は、複数の承認者のうち、いずれかの承認者で承認される、又は、複数の承認者の全員に承認されると、ユーザ２０２に権限が付与される等の構成でもよい。

［第４変形例］
認証部４３１は、複数の要素で認証するのが望ましい。例えば、認証部４３１は、ＩＤ、及び、パスワードを要素とする認証とは異なる要素で認証し、複数の要素ですべて認証できた場合に、認証結果を成功とするのが望ましい。

このように複数の要素で認証すると、１つの要素だけで認証する場合と比較して、セキュリティを高くすることができる。

［第５変形例］
承認要求部４３２は、トークンを取得してから所定期限が経過すると、リクエストの再送信をユーザ端末１０２に要求するのが望ましい。なお、所定期限は、事前に設定される。すなわち、トークンは、所定期限を経過すると無効とする。このように、トークンは、一定の期限内でのみ有効であるのが望ましい。

ゆえに、所定期限が経過した後では、情報処理システム１００は、リクエストの再送信、すなわち、リクエストからの操作を再度行うようにユーザ端末１０２に要求する。

トークンに基づいて長期間権限付与ができると、不正にトークンを利用して権限を不正に付与される可能性がある。一方で、一定の期限内に限定すると、不正にトークンが利用される可能性を低くできる。このように、トークンを有効とする期限があると、セキュリティを高くすることができる。

［その他の実施形態］
装置は、複数の装置であってもよい。すなわち、各装置は、複数の装置で分散、冗長、又は、並列に処理を行う構成等でもよい。一方で、各装置は、一体であってもよい。すなわち、上記に説明した複数の装置が１台の装置で実現されてもよい。

上記のような情報処理方法は、情報処理プログラムによって実現されてもよい。すなわち、情報処理プログラムは、コンピュータが備える演算装置、制御装置、及び、記憶装置等の装置を協働して動作させて、情報処理方法を実現する。また、情報処理プログラムは、コンピュータが読取可能な記録媒体、又は、電気通信回線等を介して配布されてもよい。

上記の実施形態は、好適な例を示したものであるが、当業者であれば、開示した内容から様々な変形例を実現することが可能である。そのような変形例も、特許請求の範囲に記載された技術的範囲に含まれる。

１００ ：情報処理システム
１０１ ：承認者端末
１０２ ：ユーザ端末
１０３ ：管理サーバ
２０１ ：上司
２０２ ：ユーザ
４１１ ：通知部
４１２ ：承認部
４２１ ：受信部
４２２ ：リクエスト部
４３１ ：認証部
４３２ ：承認要求部
４３３ ：保存部
４３４ ：権限付与部

特開２０２０‐０５２７５９号公報

Claims (10)

1. ユーザが用いるユーザ端末、前記ユーザ端末と接続する情報処理装置、及び、前記ユーザに付与する権限を承認する承認者が用いる承認者端末を有する情報処理システムであって、
   前記承認者端末は、
   前記権限を付与する手続に用いる手続情報を前記ユーザ端末に通知する通知部と、
   前記情報処理装置による認証結果が成功であると、前記権限の付与を要求するリクエストを承認するか否かの操作を要求する承認要求を受け付けて、前記承認要求に対して承認する承認結果を前記情報処理装置に送る承認部とを備え、
   前記ユーザ端末は、
   前記手続情報を受け取る受信部と、
   前記手続情報に基づき、前記リクエストを前記情報処理装置に送るリクエスト部とを備え、
   前記情報処理装置は、
   前記リクエストを受け取ると、前記認証結果を生成する認証部と、
   前記認証結果が成功であると、前記承認要求を前記承認者端末に送る承認要求部と、
   前記承認結果が得られると、トークンを保存する保存部と、
   前記トークンに基づき、複数のリソースに対する前記権限を付与する権限付与部と
   を備える情報処理システム。
2. 前記権限は、
   前記リソースごとに異なる粒度で設定される
   請求項１に記載の情報処理システム。
3. 前記手続情報は、
   前記承認者端末から前記ユーザ端末にメールで通知され、
   前記情報処理装置へのアクセス情報、前記承認者に関する情報、及び、前記ユーザ端末からの前記情報処理装置に対するアクセスの許可を含む
   請求項１又は２に記載の情報処理システム。
4. 前記アクセス情報は、
   ２次元バーコードで示す
   請求項３に記載の情報処理システム。
5. 前記承認者端末とは異なる情報処理装置が前記承認部を備える
   請求項１乃至４のいずれか１項に記載の情報処理システム。
6. 前記認証部は、
   複数の要素で認証する
   請求項１乃至５のいずれか１項に記載の情報処理システム。
7. 前記承認要求部は、
   前記トークンを保存してから所定期限が経過すると、前記リクエストを前記情報処理装置に送る再送信を前記ユーザ端末に要求する
   請求項１乃至６のいずれか１項に記載の情報処理システム。
8. 前記承認部は、
   前記認証部による前記認証結果が成功であり、かつ、前記承認者が前記リクエストを承認する操作を行った場合に、前記承認結果を前記情報処理装置に送り、
   前記リソースは、
   設備、ソフトウェア、情報、サービス、又は、これらの組み合わせであり、
   前記認証部は、
   前記ユーザが入力するＩＤ及びパスワードが完全一致すると、成功とする前記認証結果を生成する
   請求項１乃至７のいずれか１項に記載の情報処理システム。
9. ユーザが用いるユーザ端末、前記ユーザ端末と接続する情報処理装置、及び、前記ユーザに付与する権限を承認する承認者が用いる承認者端末を有する情報処理システムが行う情報処理方法であって、
   前記承認者端末が、前記権限を付与する手続に用いる手続情報を前記ユーザ端末に通知する通知手順と、
   前記承認者端末が、前記情報処理装置による認証結果が成功であると、前記権限の付与を要求するリクエストを承認するか否かの操作を要求する承認要求を受け付けて、前記承認要求に対して承認する承認結果を前記情報処理装置に送る承認手順と、
   前記ユーザ端末が、前記手続情報を受け取る受信手順と、
   前記ユーザ端末が、前記手続情報に基づき、前記リクエストを前記情報処理装置に送るリクエスト手順と、
   前記情報処理装置が、前記リクエストを受け取ると、前記認証結果を生成する認証手順と、
   前記情報処理装置が、前記認証結果が成功であると、前記承認要求を前記承認者端末に送る承認要求手順と、
   前記情報処理装置が、前記承認結果が得られると、トークンを保存する保存手順と、
   前記情報処理装置が、前記トークンに基づき、複数のリソースに対する前記権限を付与する権限付与手順と
   を含む情報処理方法。
10. 請求項９に記載の情報処理方法を実行させるための情報処理プログラム。

Images