JP3415456B2 - ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体 - Google Patents
ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体Info
- Publication number
- JP3415456B2 JP3415456B2 JP31544398A JP31544398A JP3415456B2 JP 3415456 B2 JP3415456 B2 JP 3415456B2 JP 31544398 A JP31544398 A JP 31544398A JP 31544398 A JP31544398 A JP 31544398A JP 3415456 B2 JP3415456 B2 JP 3415456B2
- Authority
- JP
- Japan
- Prior art keywords
- subsystem
- command
- authentication
- business
- group
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/104—Grouping of entities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
Description
【０００１】
【発明の属する技術分野】本発明は、分散型データ管理
システムのように複数のコンピュータシステムを通信回
線で接続して構成されるネットワークシステムにおい
て、端末間におけるコマンド使用権限の制御に特徴を有
するネットワークシステム及び端末間のコマンド使用権
限制御方法ならびにコマンド使用権限制御プログラムを
格納した記憶媒体に関する。
システムのように複数のコンピュータシステムを通信回
線で接続して構成されるネットワークシステムにおい
て、端末間におけるコマンド使用権限の制御に特徴を有
するネットワークシステム及び端末間のコマンド使用権
限制御方法ならびにコマンド使用権限制御プログラムを
格納した記憶媒体に関する。
【０００２】
【従来の技術】広域ネットワーク上に構築された分散型
データ管理システムのように、複数の組織（グループ）
に設置された複数のコンピュータシステムを通信回線で
接続して構成されたネットワークシステムにおいて、個
々の組織のコンピュータシステムに登録された情報を他
の組織のコンピュータシステムにおける端末装置から参
照・更新する業務を行う場合、当該参照・更新を行なう
権限を業務コマンドごとに付与する必要がある。
データ管理システムのように、複数の組織（グループ）
に設置された複数のコンピュータシステムを通信回線で
接続して構成されたネットワークシステムにおいて、個
々の組織のコンピュータシステムに登録された情報を他
の組織のコンピュータシステムにおける端末装置から参
照・更新する業務を行う場合、当該参照・更新を行なう
権限を業務コマンドごとに付与する必要がある。
【０００３】全く任意にデータへのアクセスを認めるこ
とによって、ネットワーク上に蓄積されたデータの一意
性が損なわれることを避けるため、データの参照・更新
を適宜制限するためである。
とによって、ネットワーク上に蓄積されたデータの一意
性が損なわれることを避けるため、データの参照・更新
を適宜制限するためである。
【０００４】この場合、所定の組織のコンピュータシス
テムにおいて、他の全ての組織に対してオペレータ単位
で参照・更新の権限を管理しようとすると、オペレータ
単位の認証データを各組織のコンピュータシステムにお
いて共有する必要があり、当該認証データに追加や変更
があった場合は、認証データの同期をとる必要が生じ
る。
テムにおいて、他の全ての組織に対してオペレータ単位
で参照・更新の権限を管理しようとすると、オペレータ
単位の認証データを各組織のコンピュータシステムにお
いて共有する必要があり、当該認証データに追加や変更
があった場合は、認証データの同期をとる必要が生じ
る。
【０００５】従来のネットワークシステムでは、このよ
うな場合、認証データの同期を取るための通信を行うこ
とにより、システムリソースを消費するため、システム
全体の性能低下をもたらす原因となっていた。
うな場合、認証データの同期を取るための通信を行うこ
とにより、システムリソースを消費するため、システム
全体の性能低下をもたらす原因となっていた。
【０００６】従来のこの種のネットワークシステムにお
けるプログラム実行権限（コマンド使用権限）の設定方
法の例として、特開平７−２１９８９９号公報には、複
数の計算機システムにおいてグループごとに業務ジョブ
の実行を制御する方法が開示されている。しかし、同公
報に開示された技術は、業務ジョブの実行権を有するグ
ループを実行権ライブラリに登録する場合に各計算機の
ＩＤ別に登録する必要がある。また、プログラム・デー
タごとに実行を許可する相手計算機情報、権限種別等を
設定する必要がある。このため、運用が煩雑となってい
た。
けるプログラム実行権限（コマンド使用権限）の設定方
法の例として、特開平７−２１９８９９号公報には、複
数の計算機システムにおいてグループごとに業務ジョブ
の実行を制御する方法が開示されている。しかし、同公
報に開示された技術は、業務ジョブの実行権を有するグ
ループを実行権ライブラリに登録する場合に各計算機の
ＩＤ別に登録する必要がある。また、プログラム・デー
タごとに実行を許可する相手計算機情報、権限種別等を
設定する必要がある。このため、運用が煩雑となってい
た。
【０００７】
【発明が解決しようとする課題】上述したように、従来
のネットワークシステム及びそのコマンド使用権限の制
御方法は、一般には、認証データの同期を取るための通
信を行うことにより、システムリソースを消費するた
め、システム全体の性能低下をもたらすという欠点があ
った。
のネットワークシステム及びそのコマンド使用権限の制
御方法は、一般には、認証データの同期を取るための通
信を行うことにより、システムリソースを消費するた
め、システム全体の性能低下をもたらすという欠点があ
った。
【０００８】また、特開平７−２１９８９９号公報に開
示されたコマンド使用権限の制御方法であっても、上述
したように運用が繁雑であり、さらにグループの実行権
ライブラリを計算機ごとに管理するため、グループ内に
複数の計算機が所属する場合に管理単位が細かくなっ
て、運用が一層繁雑になるという欠点があった。
示されたコマンド使用権限の制御方法であっても、上述
したように運用が繁雑であり、さらにグループの実行権
ライブラリを計算機ごとに管理するため、グループ内に
複数の計算機が所属する場合に管理単位が細かくなっ
て、運用が一層繁雑になるという欠点があった。
【０００９】本発明は、上記従来の欠点を解決し、認証
データの同期をとるための通信を省略することにより、
システムリソースの不必要な消費を削減し、システムの
性能低下を回避できるネットワークシステム及び端末間
のコマンド使用権限制御方法ならびに制御プログラムを
格納した記憶媒体を提供することを目的とする。
データの同期をとるための通信を省略することにより、
システムリソースの不必要な消費を削減し、システムの
性能低下を回避できるネットワークシステム及び端末間
のコマンド使用権限制御方法ならびに制御プログラムを
格納した記憶媒体を提供することを目的とする。
【００１０】
【課題を解決するための手段】上記の目的を達成するた
め、本発明は、相互に接続された複数のコンピュータシ
ステムを備えたサブシステムどうしを通信回線で接続し
て構成され、所定のコンピュータシステムから発行され
た業務コマンドを該コンピュータシステムが所属するサ
ブシステム以外の他のサブシステムに所属するコンピュ
ータシステムにて実行することを許容するネットワーク
システムにおいて、前記サブシステムが、コンピュータ
システムとして、業務コマンドを入力するための業務端
末と、各種処理の実行制御を行うと共に、他のサブシス
テムとの通信を行う実行サーバと、所定のオペレータに
よって前記業務端末から入力された前記業務コマンドに
対する認証チェックを行う認証サーバとを備え、業務コ
マンドの発行元となる前記サブシステムの前記認証サー
バ（以下、「第１の認証サーバ」）は、自サブシステム
に対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
所属するオペレータの識別情報とを含む第１の認証デー
タを有し、前記業務コマンドを入力したオペレータが自
サブシステムに対するログイン権限及び前記業務コマン
ドに対する実行権限を有しているかどうかを前記第１の
認証データをもとに認証チェックし、業務コマンドの発
行元となる前記サブシステムの前記実行サーバ（以下、
「第１の実行サーバ」）は、前記第１の認証サーバが前
記オペレータのログイン権限及び前記業務コマンドに対
する実行権限を認証した場合に、入力された前記業務コ
マンドを、前記第１の認証データに含まれる前記オペレ
ータが所属するグループの識別情報を付加して前記業務
コマンドの実行先となるサブシステムに送信し、業務コ
マンドの実行先となる前記サブシステムの前記認証サー
バ（以下、「第２の認証サーバ」）は、自サブシステム
に対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
前記業務コマンドの発行元となるサブシステムに対応す
るグループとの依存関係とを含む第２の認証データを有
し、受信した業務コマンドに付加されたグループの識別
情報を抽出し、該抽出した識別情報により示されるグル
ープと依存関係にある自サブシステムに対応するグルー
プを前記第２の認証データをもとに特定し、該特定した
グループが前記業務コマンドの使用権限を有しているか
どうかを前記第２の 認証データをもとに認証チェック
し、業務コマンドの実行先となる前記サブシステムの前
記実行サーバ（以下、「第２の実行サーバ」）は、前記
第２の認証サーバが前記特定したグループによる前記業
務コマンドの使用権限を認証した場合に、前記業務コマ
ンドを実行して結果を前記業務コマンドの発行元サブシ
ステムに返送することを特徴とする。
め、本発明は、相互に接続された複数のコンピュータシ
ステムを備えたサブシステムどうしを通信回線で接続し
て構成され、所定のコンピュータシステムから発行され
た業務コマンドを該コンピュータシステムが所属するサ
ブシステム以外の他のサブシステムに所属するコンピュ
ータシステムにて実行することを許容するネットワーク
システムにおいて、前記サブシステムが、コンピュータ
システムとして、業務コマンドを入力するための業務端
末と、各種処理の実行制御を行うと共に、他のサブシス
テムとの通信を行う実行サーバと、所定のオペレータに
よって前記業務端末から入力された前記業務コマンドに
対する認証チェックを行う認証サーバとを備え、業務コ
マンドの発行元となる前記サブシステムの前記認証サー
バ（以下、「第１の認証サーバ」）は、自サブシステム
に対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
所属するオペレータの識別情報とを含む第１の認証デー
タを有し、前記業務コマンドを入力したオペレータが自
サブシステムに対するログイン権限及び前記業務コマン
ドに対する実行権限を有しているかどうかを前記第１の
認証データをもとに認証チェックし、業務コマンドの発
行元となる前記サブシステムの前記実行サーバ（以下、
「第１の実行サーバ」）は、前記第１の認証サーバが前
記オペレータのログイン権限及び前記業務コマンドに対
する実行権限を認証した場合に、入力された前記業務コ
マンドを、前記第１の認証データに含まれる前記オペレ
ータが所属するグループの識別情報を付加して前記業務
コマンドの実行先となるサブシステムに送信し、業務コ
マンドの実行先となる前記サブシステムの前記認証サー
バ（以下、「第２の認証サーバ」）は、自サブシステム
に対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
前記業務コマンドの発行元となるサブシステムに対応す
るグループとの依存関係とを含む第２の認証データを有
し、受信した業務コマンドに付加されたグループの識別
情報を抽出し、該抽出した識別情報により示されるグル
ープと依存関係にある自サブシステムに対応するグルー
プを前記第２の認証データをもとに特定し、該特定した
グループが前記業務コマンドの使用権限を有しているか
どうかを前記第２の 認証データをもとに認証チェック
し、業務コマンドの実行先となる前記サブシステムの前
記実行サーバ（以下、「第２の実行サーバ」）は、前記
第２の認証サーバが前記特定したグループによる前記業
務コマンドの使用権限を認証した場合に、前記業務コマ
ンドを実行して結果を前記業務コマンドの発行元サブシ
ステムに返送することを特徴とする。
【００１１】
【００１２】
【００１３】請求項２の本発明のネットワークシステム
は、前記サブシステムが、前記認証サーバを複数備え、
所定の認証サーバに障害が発生した場合に、他の認証サ
ーバが認証チェックを実行することを特徴とする。
は、前記サブシステムが、前記認証サーバを複数備え、
所定の認証サーバに障害が発生した場合に、他の認証サ
ーバが認証チェックを実行することを特徴とする。
【００１４】請求項３の本発明のネットワークシステム
は、前記業務コマンドの実行先サブシステムの前記認証
サーバが、業務コマンドの使用を制限するオペレータを
個別に登録した不許可オペレータ情報を格納し、前記オ
ペレータによる前記業務コマンドの使用権限の認証チェ
ックを行う場合に、前記不許可オペレータ情報を参照し
て、オペレータのログイン権限の認証チェックも行うこ
とを特徴とする。
は、前記業務コマンドの実行先サブシステムの前記認証
サーバが、業務コマンドの使用を制限するオペレータを
個別に登録した不許可オペレータ情報を格納し、前記オ
ペレータによる前記業務コマンドの使用権限の認証チェ
ックを行う場合に、前記不許可オペレータ情報を参照し
て、オペレータのログイン権限の認証チェックも行うこ
とを特徴とする。
【００１５】上記の目的を達成する他の本発明は、相互
に接続された複数のコンピュータシステムを備えたサブ
システムどうしを通信回線で接続して構成され、所定の
コンピュータシステムから発行された業務コマンドを該
コンピュータシステムが所属するサブシステム以外の他
のサブシステムに所属するコンピュータシステムにて実
行することを許容するネットワークシステムのコマンド
使用権限制御方法において、業務コマンドの発行元とな
る前記サブシステムにおいて、前記サブシステムの所定
のオペレータによって入力された前記業務コマンドに対
する認証チェックを行う認証サーバにて、自サブシステ
ムに対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
所属するオペレータの識別情報とを含む第１の認証デー
タをもとに、前記業務コマンドを入力したオペレータが
自サブシステムに対するログイン権限及び前記業務コマ
ンドに対する実行権限を有しているかどうかを認証チェ
ックする工程と、前記認証チェックの結果、前記オペレ
ータのログイン権限及び前記業務コマンドに対する実行
権限を認証した場合に、前記サブシステムの各種処理の
実行制御を行うと共に、他のサブシステムとの通信を行
う実行サーバにて、入力された前記業務コマンドを、前
記第１の認証データに含まれる前記オペレータが所属す
るグループの識別情報を付加して前記業務コマンドの実
行先となるサブシステムに送信する工程とを含み、業務
コマンドの実行先となる前記サブシステムにおいて、前
記サブシステムの前記認証サーバにて、自サブシステム
に対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
前記業務コマンドの発行元となるサブシステムに対応す
るグループとの依存関係とを含む第２の認証データをも
とに、受信した業務コマンドに付加されたグループの識
別情報を抽出し、該抽出した識別情報により示されるグ
ループと依存関係にある自サブシステムに対応するグル
ープを特定し、該特定したグループが前記業務コマンド
の使用権限を有しているかどうかを認証チェックする工
程と、前記認証チェックの結果、前記特定したグループ
による前記業務コマンドの使用権限を認証した場合に、
前記サブシステムの前記実行サーバにて、前記業務コマ
ンドを実行して結果を前記業務コマンドの発行元サブシ
ステムに返送する工程とを含むことを特徴とする。
に接続された複数のコンピュータシステムを備えたサブ
システムどうしを通信回線で接続して構成され、所定の
コンピュータシステムから発行された業務コマンドを該
コンピュータシステムが所属するサブシステム以外の他
のサブシステムに所属するコンピュータシステムにて実
行することを許容するネットワークシステムのコマンド
使用権限制御方法において、業務コマンドの発行元とな
る前記サブシステムにおいて、前記サブシステムの所定
のオペレータによって入力された前記業務コマンドに対
する認証チェックを行う認証サーバにて、自サブシステ
ムに対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
所属するオペレータの識別情報とを含む第１の認証デー
タをもとに、前記業務コマンドを入力したオペレータが
自サブシステムに対するログイン権限及び前記業務コマ
ンドに対する実行権限を有しているかどうかを認証チェ
ックする工程と、前記認証チェックの結果、前記オペレ
ータのログイン権限及び前記業務コマンドに対する実行
権限を認証した場合に、前記サブシステムの各種処理の
実行制御を行うと共に、他のサブシステムとの通信を行
う実行サーバにて、入力された前記業務コマンドを、前
記第１の認証データに含まれる前記オペレータが所属す
るグループの識別情報を付加して前記業務コマンドの実
行先となるサブシステムに送信する工程とを含み、業務
コマンドの実行先となる前記サブシステムにおいて、前
記サブシステムの前記認証サーバにて、自サブシステム
に対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
前記業務コマンドの発行元となるサブシステムに対応す
るグループとの依存関係とを含む第２の認証データをも
とに、受信した業務コマンドに付加されたグループの識
別情報を抽出し、該抽出した識別情報により示されるグ
ループと依存関係にある自サブシステムに対応するグル
ープを特定し、該特定したグループが前記業務コマンド
の使用権限を有しているかどうかを認証チェックする工
程と、前記認証チェックの結果、前記特定したグループ
による前記業務コマンドの使用権限を認証した場合に、
前記サブシステムの前記実行サーバにて、前記業務コマ
ンドを実行して結果を前記業務コマンドの発行元サブシ
ステムに返送する工程とを含むことを特徴とする。
【００１６】
【００１７】請求項５の本発明のコマンド使用権限制御
方法は、前記業務コマンドの実行先サブシステムにおけ
る前記認証サーバによる認証チェック工程が、前記識別
情報抽出工程と前記使用権限判断工程との間に、予め用
意された、業務コマンドの使用を制限するオペレータを
個別に指定した情報を参照して、オペレータのログイン
権限の認証チェックを行う工程をさらに含むことを特徴
とする。
方法は、前記業務コマンドの実行先サブシステムにおけ
る前記認証サーバによる認証チェック工程が、前記識別
情報抽出工程と前記使用権限判断工程との間に、予め用
意された、業務コマンドの使用を制限するオペレータを
個別に指定した情報を参照して、オペレータのログイン
権限の認証チェックを行う工程をさらに含むことを特徴
とする。
【００１８】
【発明の実施の形態】以下、本発明の実施例について図
面を参照して詳細に説明する。
面を参照して詳細に説明する。
【００１９】図１は、本発明の一実施形態によるネット
ワークシステムの構成を示すブロック図である。図１を
参照すると、本実施形態のネットワークシステムは、通
信回線２００で接続された複数のサブシステム１００、
３００で構成される。図１には２つのサブシステム１０
０、３００が記載されているが、サブシステムの数が図
示の数に限らないことは言うまでもない。また、本実施
形態では、サブシステム１００を業務コマンドの発行元
サブシステムとし、サブシステム３００を当該業務コマ
ンドの実行先サブシステムとして以下の説明を行うが、
業務コマンドの発行元と実行先の関係は相対的に決定さ
れるものである。したがって、実際の運用上は、ネット
ワークシステムを構成する各サブシステムがそれぞれ発
行元サブシステムにも実行先サブシステムにもなる。
ワークシステムの構成を示すブロック図である。図１を
参照すると、本実施形態のネットワークシステムは、通
信回線２００で接続された複数のサブシステム１００、
３００で構成される。図１には２つのサブシステム１０
０、３００が記載されているが、サブシステムの数が図
示の数に限らないことは言うまでもない。また、本実施
形態では、サブシステム１００を業務コマンドの発行元
サブシステムとし、サブシステム３００を当該業務コマ
ンドの実行先サブシステムとして以下の説明を行うが、
業務コマンドの発行元と実行先の関係は相対的に決定さ
れるものである。したがって、実際の運用上は、ネット
ワークシステムを構成する各サブシステムがそれぞれ発
行元サブシステムにも実行先サブシステムにもなる。
【００２０】サブシステム１００とサブシステム３００
とは、同様の構成を備える。図示のように、サブシステ
ム１００は、認証データを入力する認証データ端末１１
０と、実行制御を行う実行サーバ１２０と、前記認証デ
ータ端末１１０により入力された認証データを登録し認
証チェックを行う認証サーバ１３０とを備えると共に、
業務コマンドを入力するための業務端末１４０を備え
る。同様に、サブシステム３００は、認証データ端末３
１０、実行サーバ３２０、認証サーバ３３０及び業務端
末３４０を備える。なお、図１には本実施形態における
特徴的な構成のみを記載し、他の一般的な構成について
は記載を省略してある。
とは、同様の構成を備える。図示のように、サブシステ
ム１００は、認証データを入力する認証データ端末１１
０と、実行制御を行う実行サーバ１２０と、前記認証デ
ータ端末１１０により入力された認証データを登録し認
証チェックを行う認証サーバ１３０とを備えると共に、
業務コマンドを入力するための業務端末１４０を備え
る。同様に、サブシステム３００は、認証データ端末３
１０、実行サーバ３２０、認証サーバ３３０及び業務端
末３４０を備える。なお、図１には本実施形態における
特徴的な構成のみを記載し、他の一般的な構成について
は記載を省略してある。
【００２１】認証データ端末１１０は、データの送受信
を行う通信部１１１と、認証データを入力する入力部１
１２と、データの表示を行う表示部１１３を備える。通
信部１１１は、実行サーバ１２０との通信に適合したイ
ンタフェースで実現され、入力部１１２は、例えばキー
ボードやマウスで実現され、表示部１１３は、例えばデ
ィスプレイ装置で実現される。同様に、サブシステム３
００の認証データ端末３１０は、通信部３１１、入力部
３１２及び表示部３１３を備える。
を行う通信部１１１と、認証データを入力する入力部１
１２と、データの表示を行う表示部１１３を備える。通
信部１１１は、実行サーバ１２０との通信に適合したイ
ンタフェースで実現され、入力部１１２は、例えばキー
ボードやマウスで実現され、表示部１１３は、例えばデ
ィスプレイ装置で実現される。同様に、サブシステム３
００の認証データ端末３１０は、通信部３１１、入力部
３１２及び表示部３１３を備える。
【００２２】実行サーバ１２０は、コマンドの実行制御
を行う判断部１２１と、コマンドによって実際の処理を
行う実行部１２２と、通信部１２３を備える。判断部１
２１及び実行部１２２は、例えばプログラム制御された
ＣＰＵとＲＡＭその他の内部メモリとで実現され、通信
部１２３は、認証データ端末１１０や認証サーバ１３
０、業務端末１４０との通信に適合したインタフェース
で実現される。同様に、サブシステム３００の実行サー
バ３２０は、判断部３２１、実行部３２２及び通信部３
２３を備える。
を行う判断部１２１と、コマンドによって実際の処理を
行う実行部１２２と、通信部１２３を備える。判断部１
２１及び実行部１２２は、例えばプログラム制御された
ＣＰＵとＲＡＭその他の内部メモリとで実現され、通信
部１２３は、認証データ端末１１０や認証サーバ１３
０、業務端末１４０との通信に適合したインタフェース
で実現される。同様に、サブシステム３００の実行サー
バ３２０は、判断部３２１、実行部３２２及び通信部３
２３を備える。
【００２３】認証サーバ１３０は、認証データの保管を
行うデータ格納部１３１と、通信部１３２を備える。デ
ータ格納部１３１は、例えば磁気ディスク装置や光磁気
ディスク装置、その他の外部記憶装置で実現され、通信
部１３２は、実行サーバ１２０との通信に適合したイン
タフェースで実現される。同様に、サブシステム３００
の認証サーバ３３０は、データ格納部３３１及び通信部
３３２を備える。
行うデータ格納部１３１と、通信部１３２を備える。デ
ータ格納部１３１は、例えば磁気ディスク装置や光磁気
ディスク装置、その他の外部記憶装置で実現され、通信
部１３２は、実行サーバ１２０との通信に適合したイン
タフェースで実現される。同様に、サブシステム３００
の認証サーバ３３０は、データ格納部３３１及び通信部
３３２を備える。
【００２４】業務端末１４０は、通信部１４１と、コマ
ンドの投入を行う入力部１４２と、コマンドの実行結果
等の表示を行う表示部１４３を備える。通信部１４１
は、実行サーバ１２０との通信に適合したインタフェー
スで実現され、入力部１４２は、例えばキーボードやマ
ウスで実現され、表示部１４３は、例えばディスプレイ
装置で実現される。同様に、サブシステム３００の業務
端末３４０は、通信部３４１、入力部３４２及び表示部
３４３を備える。
ンドの投入を行う入力部１４２と、コマンドの実行結果
等の表示を行う表示部１４３を備える。通信部１４１
は、実行サーバ１２０との通信に適合したインタフェー
スで実現され、入力部１４２は、例えばキーボードやマ
ウスで実現され、表示部１４３は、例えばディスプレイ
装置で実現される。同様に、サブシステム３００の業務
端末３４０は、通信部３４１、入力部３４２及び表示部
３４３を備える。
【００２５】上記構成において、複数のサブシステム１
００、３００は、互いに地理的に離れた位置に存在する
複数のグループ（組織）に対応して設けられる。各サブ
システム１００、３００において、認証データ端末１１
０、３１０や業務端末１４０、３４０は複数存在しても
かまわない。すなわち、本実施形態では、所定の業務を
行う業務端末１４０、３４０が一つのグループ（サブシ
ステム１００、３００）内に複数存在する場合であって
も、一台の認証サーバ１３０、３３０でオペレータの認
証データを管理することができる。
００、３００は、互いに地理的に離れた位置に存在する
複数のグループ（組織）に対応して設けられる。各サブ
システム１００、３００において、認証データ端末１１
０、３１０や業務端末１４０、３４０は複数存在しても
かまわない。すなわち、本実施形態では、所定の業務を
行う業務端末１４０、３４０が一つのグループ（サブシ
ステム１００、３００）内に複数存在する場合であって
も、一台の認証サーバ１３０、３３０でオペレータの認
証データを管理することができる。
【００２６】また、上記各サブシステムのサーバ及び端
末は、パーソナルコンピュータやワークステーションそ
の他のコンピュータシステムにて実現される。各サーバ
及び端末の機能は、コンピュータプログラムがコンピュ
ータシステムのデータ処理装置を制御することにより実
現される。当該コンピュータプログラムは、磁気ディス
クや光ディスク、半導体メモリその他の一般的な記憶媒
体に格納して提供される。なお、認証データ端末１１
０、３１０と業務端末１４０、３４０とは、物理的には
同一のコンピュータシステムで構成されていても良い。
末は、パーソナルコンピュータやワークステーションそ
の他のコンピュータシステムにて実現される。各サーバ
及び端末の機能は、コンピュータプログラムがコンピュ
ータシステムのデータ処理装置を制御することにより実
現される。当該コンピュータプログラムは、磁気ディス
クや光ディスク、半導体メモリその他の一般的な記憶媒
体に格納して提供される。なお、認証データ端末１１
０、３１０と業務端末１４０、３４０とは、物理的には
同一のコンピュータシステムで構成されていても良い。
【００２７】次に、図２ないし図５のフローチャートを
参照して本実施形態の動作について説明する。本実施形
態の動作は、認証データを登録する動作と、所定のグル
ープのオペレータが入力した他のグループにおける業務
コマンドの認証を行う動作とからなる。
参照して本実施形態の動作について説明する。本実施形
態の動作は、認証データを登録する動作と、所定のグル
ープのオペレータが入力した他のグループにおける業務
コマンドの認証を行う動作とからなる。
【００２８】まず、認証データを登録する動作について
図２及び図３を参照して説明する。なお、サブシステム
１００が業務コマンドの発行元サブシステムであり、サ
ブシステム３００が当該業務コマンドの実行先サブコマ
ンドであるため、サブシステムの役割に応じた認証デー
タの登録が行われる。
図２及び図３を参照して説明する。なお、サブシステム
１００が業務コマンドの発行元サブシステムであり、サ
ブシステム３００が当該業務コマンドの実行先サブコマ
ンドであるため、サブシステムの役割に応じた認証デー
タの登録が行われる。
【００２９】サブシステム１００が設置されたグループ
において、システム管理者が認証データ端末１１０の入
力部１１２と表示部１１３を使用して認証データを登録
すると（ステップ２０１）、認証データ端末１１０は、
通信部１１１を使用して認証データを認証サーバ１３０
に送信する（ステップ２０２）。ここで、サブシステム
１００において登録される認証データは、サブシステム
１００にログインできるオペレータに関して、オペレー
タ名と、パスワードと、オペレータが所属するグループ
のグループ名と、当該オペレータによる実行権限を得よ
うとする業務コマンドのコマンド名と、当該業務コマン
ドが従属するグループのグループ名とを情報として含
む。
において、システム管理者が認証データ端末１１０の入
力部１１２と表示部１１３を使用して認証データを登録
すると（ステップ２０１）、認証データ端末１１０は、
通信部１１１を使用して認証データを認証サーバ１３０
に送信する（ステップ２０２）。ここで、サブシステム
１００において登録される認証データは、サブシステム
１００にログインできるオペレータに関して、オペレー
タ名と、パスワードと、オペレータが所属するグループ
のグループ名と、当該オペレータによる実行権限を得よ
うとする業務コマンドのコマンド名と、当該業務コマン
ドが従属するグループのグループ名とを情報として含
む。
【００３０】認証サーバ１３０は、通信部１３２によっ
て認証データ端末１１０から送信された認証データを受
け取ると、当該認証データをデータ格納部１３１に登録
する（ステップ２０３）。
て認証データ端末１１０から送信された認証データを受
け取ると、当該認証データをデータ格納部１３１に登録
する（ステップ２０３）。
【００３１】また、サブシステム３００が設置されたグ
ループにおいて、システム管理者が認証データ端末３１
０の入力部３１２と表示部３１３を使用して認証データ
を登録すると（ステップ３０１）、認証データ端末３１
０は、通信部３１１を使用して認証データを認証サーバ
３３０に送信する（ステップ３０２）。ここでサブシス
テム３００において登録される認証データは、サブシス
テム１００で登録された業務コマンドが所属するグルー
プのグループ名に対してサブシステム３００において実
行を許可する業務コマンドのコマンド名を情報として含
む。また、当該業務コマンドが所定のデータにアクセス
する場合は、当該データに対するアクセス権限をもつグ
ループのグループ名を含む。
ループにおいて、システム管理者が認証データ端末３１
０の入力部３１２と表示部３１３を使用して認証データ
を登録すると（ステップ３０１）、認証データ端末３１
０は、通信部３１１を使用して認証データを認証サーバ
３３０に送信する（ステップ３０２）。ここでサブシス
テム３００において登録される認証データは、サブシス
テム１００で登録された業務コマンドが所属するグルー
プのグループ名に対してサブシステム３００において実
行を許可する業務コマンドのコマンド名を情報として含
む。また、当該業務コマンドが所定のデータにアクセス
する場合は、当該データに対するアクセス権限をもつグ
ループのグループ名を含む。
【００３２】認証サーバ３３０は、通信部３３２によっ
て認証データ端末３１０から送信された認証データを受
け取ると、当該認証データをデータ格納部３３１に登録
する（ステップ３０３）。
て認証データ端末３１０から送信された認証データを受
け取ると、当該認証データをデータ格納部３３１に登録
する（ステップ３０３）。
【００３３】以上で認証データの登録が終了する。次
に、サブシステム１００の設置されたグループのオペレ
ータが、業務端末１４０から、サブシステム３００にお
ける所定の業務コマンドの実行指示を入力した場合の認
証動作について図４及び図５を参照して説明する。
に、サブシステム１００の設置されたグループのオペレ
ータが、業務端末１４０から、サブシステム３００にお
ける所定の業務コマンドの実行指示を入力した場合の認
証動作について図４及び図５を参照して説明する。
【００３４】オペレータが入力した業務コマンドの実行
指示は、業務端末１４０から通信部１４１を介して実行
サーバ１２０に送信される（ステップ４０１、４０
２）。実行サーバ１２０は、業務コマンドの実行指示を
受け付けると、当該オペレータがサブシステム１００へ
のログインの権限を有しているかどうかをチェックする
ため、認証サーバ１３０に問い合わせる（ステップ４０
３）。
指示は、業務端末１４０から通信部１４１を介して実行
サーバ１２０に送信される（ステップ４０１、４０
２）。実行サーバ１２０は、業務コマンドの実行指示を
受け付けると、当該オペレータがサブシステム１００へ
のログインの権限を有しているかどうかをチェックする
ため、認証サーバ１３０に問い合わせる（ステップ４０
３）。
【００３５】認証サーバ１３０において、当該オペレー
タがサブシステム１００へのログイン権限を有している
と判断した場合、実行サーバ１２０から、通信回線２０
０を介してサブシステム３００の実行サーバ３２０へ当
該業務コマンドを送付する（ステップ４０４、４０
５）。この際、当該業務コマンドに当該オペレータの所
属グループのグループ名である発行オペレータグループ
名を付加する。なお、認証サーバ１３０において、当該
オペレータが当該業務コマンドの実行権限を有していな
いと判断した場合は、認証データ端末１１０においてエ
ラーメッセージを表示するなどのエラー処理を行い、終
了する（ステップ４０４、４０６）。
タがサブシステム１００へのログイン権限を有している
と判断した場合、実行サーバ１２０から、通信回線２０
０を介してサブシステム３００の実行サーバ３２０へ当
該業務コマンドを送付する（ステップ４０４、４０
５）。この際、当該業務コマンドに当該オペレータの所
属グループのグループ名である発行オペレータグループ
名を付加する。なお、認証サーバ１３０において、当該
オペレータが当該業務コマンドの実行権限を有していな
いと判断した場合は、認証データ端末１１０においてエ
ラーメッセージを表示するなどのエラー処理を行い、終
了する（ステップ４０４、４０６）。
【００３６】サブシステム３００の実行サーバ３２０
は、サブシステム１００から送られた業務コマンドが持
つ発行オペレータグループ名が当該業務コマンドの使用
権限を有するかどうかを認証サーバ３３０に問い合わ
せ、確認する（ステップ５０１、５０２）。認証サーバ
３３０が、認証の結果、当該オペレータの所属するグル
ープに対して当該業務コマンドの使用を認めた場合、実
行サ−バ３２０は、当該業務コマンドを実行する（ステ
ップ５０３、５０４）。そして、実行結果をサブシステ
ム１００に返送する（ステップ５０５）。当該業務コマ
ンドの使用を許可しない場合は、当該業務コマンドを実
行せず、その旨を実行結果としてサブシステム１００に
通知する（ステップ５０５）。そして、認証データ端末
１１０においてエラーメッセージを表示するなどのエラ
ー処理を行い、終了する。
は、サブシステム１００から送られた業務コマンドが持
つ発行オペレータグループ名が当該業務コマンドの使用
権限を有するかどうかを認証サーバ３３０に問い合わ
せ、確認する（ステップ５０１、５０２）。認証サーバ
３３０が、認証の結果、当該オペレータの所属するグル
ープに対して当該業務コマンドの使用を認めた場合、実
行サ−バ３２０は、当該業務コマンドを実行する（ステ
ップ５０３、５０４）。そして、実行結果をサブシステ
ム１００に返送する（ステップ５０５）。当該業務コマ
ンドの使用を許可しない場合は、当該業務コマンドを実
行せず、その旨を実行結果としてサブシステム１００に
通知する（ステップ５０５）。そして、認証データ端末
１１０においてエラーメッセージを表示するなどのエラ
ー処理を行い、終了する。
【００３７】以上のように、本実施形態は、業務コマン
ドを使用するオペレータに対するオペレータ認証は、業
務コマンド発行元サブシステムで行う。そして、当該業
務コマンドが他サブシステムで実行するコマンドであれ
ばオペレータ名をオペレータグループ名に置換して送信
する。実行先サブシステムは、業務コマンドの発行オペ
レータグループ名に基づいて業務コマンドの使用権限を
実行先サブシステムにおいてチェックすることができ
る。
ドを使用するオペレータに対するオペレータ認証は、業
務コマンド発行元サブシステムで行う。そして、当該業
務コマンドが他サブシステムで実行するコマンドであれ
ばオペレータ名をオペレータグループ名に置換して送信
する。実行先サブシステムは、業務コマンドの発行オペ
レータグループ名に基づいて業務コマンドの使用権限を
実行先サブシステムにおいてチェックすることができ
る。
【００３８】したがって、実行先サブシステムでオペレ
ータを追加する場合などに、認証データをサブシステム
間で同期させる動作が不要である。また、そのような場
合でも、業務コマンドの実行権限の有無を判断すること
ができる。
ータを追加する場合などに、認証データをサブシステム
間で同期させる動作が不要である。また、そのような場
合でも、業務コマンドの実行権限の有無を判断すること
ができる。
【００３９】なお、本実施形態では、業務コマンドを他
のサブシステムに送信する際に、オペレータの所属する
グループのオペレータグループ名を付加することとした
が、オペレータ名または端末名にサブシステムの名称
（以下、サブシステム名と称す）を必ず付加しておき、
サブシステム１００からサブシステム３００へ業務コマ
ンドを送る際に、オペレータグループ名の代わりにオペ
レータ名または端末名を付加するようにしても良い。
のサブシステムに送信する際に、オペレータの所属する
グループのオペレータグループ名を付加することとした
が、オペレータ名または端末名にサブシステムの名称
（以下、サブシステム名と称す）を必ず付加しておき、
サブシステム１００からサブシステム３００へ業務コマ
ンドを送る際に、オペレータグループ名の代わりにオペ
レータ名または端末名を付加するようにしても良い。
【００４０】この場合、サブシステム３００では、サブ
システム名をグループ名とし、そのグループ名を持つグ
ループ（サブシステム）に実行権限を認めるように、認
証サーバ３３０に認証データを登録しておく。
システム名をグループ名とし、そのグループ名を持つグ
ループ（サブシステム）に実行権限を認めるように、認
証サーバ３３０に認証データを登録しておく。
【００４１】この状態で、サブシステム１００において
業務コマンドが投入された場合、サブシステム１００か
らサブシステム３００へ送信する際に、当該業務コマン
ドを投入したオペレータのオペレータ名または端末名を
付加する。当該業務コマンドを受信したサブシステム３
００の実行サーバ３２０は、受け取った業務コマンドに
付加された当該業務コマンドの投入オペレータ名または
端末名からサブシステム１００のサブシステム名を抽出
し、抽出したサブシステム名で、認証サーバ３３０に実
行権限を問い合わせる。認証サーバ３３０は、実行権限
をチェックし、その結果を実行サーバ３２０へ返す。
業務コマンドが投入された場合、サブシステム１００か
らサブシステム３００へ送信する際に、当該業務コマン
ドを投入したオペレータのオペレータ名または端末名を
付加する。当該業務コマンドを受信したサブシステム３
００の実行サーバ３２０は、受け取った業務コマンドに
付加された当該業務コマンドの投入オペレータ名または
端末名からサブシステム１００のサブシステム名を抽出
し、抽出したサブシステム名で、認証サーバ３３０に実
行権限を問い合わせる。認証サーバ３３０は、実行権限
をチェックし、その結果を実行サーバ３２０へ返す。
【００４２】以上のようにしても複数のサブシステムが
接続されているネットワークシステムにおいて、各サブ
システムに対する業務コマンドごとの実行権限制御を行
うことができる。
接続されているネットワークシステムにおいて、各サブ
システムに対する業務コマンドごとの実行権限制御を行
うことができる。
【００４３】図７は、本発明の他の実施例によるネット
ワークシステムの構成を示すブロック図である。
ワークシステムの構成を示すブロック図である。
【００４４】図７を参照すると、本実施形態のネットワ
ークシステムは、通信回線２００で接続された複数のサ
ブシステム１００、３００で構成される。図７には２つ
のサブシステム１００、３００が記載されているが、サ
ブシステムの数が図示の数に限らないことは言うまでも
ない。
ークシステムは、通信回線２００で接続された複数のサ
ブシステム１００、３００で構成される。図７には２つ
のサブシステム１００、３００が記載されているが、サ
ブシステムの数が図示の数に限らないことは言うまでも
ない。
【００４５】サブシステム１００とサブシステム３００
とは、同様の構成を備える。図示のように、サブシステ
ム１００は、認証データを登録する認証データ端末１１
０と、実行制御を行う実行サーバ１２０と、認証チェッ
クを行う認証サーバ１３０とを備えると共に、業務コマ
ンドを入力するための業務端末１４０を備える。同様
に、サブシステム３００は、認証データ端末３１０、実
行サーバ３２０、認証サーバ３３０及び業務端末３４０
を備える。なお、図１には本実施形態における特徴的な
構成のみを記載し、他の一般的な構成については記載を
省略してある。
とは、同様の構成を備える。図示のように、サブシステ
ム１００は、認証データを登録する認証データ端末１１
０と、実行制御を行う実行サーバ１２０と、認証チェッ
クを行う認証サーバ１３０とを備えると共に、業務コマ
ンドを入力するための業務端末１４０を備える。同様
に、サブシステム３００は、認証データ端末３１０、実
行サーバ３２０、認証サーバ３３０及び業務端末３４０
を備える。なお、図１には本実施形態における特徴的な
構成のみを記載し、他の一般的な構成については記載を
省略してある。
【００４６】本実施形態では、各サブシステム１００、
３００において、認証サーバ１３０、３３０の複製を設
けてある。複製である認証サーバ１３０−Ａ、３３０−
Ａの登録内容は、正規の認証サーバ１３０、３３０の登
録内容と常に同一にしておく。すなわち、認証サーバ１
３０、３３０に新たな認証データを登録したなら、直ち
に認証サーバ１３０−Ａ、３３０−Ａにも同一の認証デ
ータを登録する。
３００において、認証サーバ１３０、３３０の複製を設
けてある。複製である認証サーバ１３０−Ａ、３３０−
Ａの登録内容は、正規の認証サーバ１３０、３３０の登
録内容と常に同一にしておく。すなわち、認証サーバ１
３０、３３０に新たな認証データを登録したなら、直ち
に認証サーバ１３０−Ａ、３３０−Ａにも同一の認証デ
ータを登録する。
【００４７】実行サーバ１２０、３２０の判断部１２
１、３２１が認証データの問い合わせを行う場合、条件
に応じて、複製である認証サーバ１３０−Ａ、３３０−
Ａにより認証を行う。例えば、認証サーバ１３０または
認証サーバ３３０が正常動作していない場合、正常に動
作している複製の認証サーバ１３０−Ａまたは３３０−
Ａが処理を代行する。
１、３２１が認証データの問い合わせを行う場合、条件
に応じて、複製である認証サーバ１３０−Ａ、３３０−
Ａにより認証を行う。例えば、認証サーバ１３０または
認証サーバ３３０が正常動作していない場合、正常に動
作している複製の認証サーバ１３０−Ａまたは３３０−
Ａが処理を代行する。
【００４８】その他の構成及び動作に関しては、上述し
た第１の実施形態の構成及び動作と同様であるため説明
を省略する。
た第１の実施形態の構成及び動作と同様であるため説明
を省略する。
【００４９】図８は、本発明のさらに他の実施例による
ネットワークシステムの構成を示すブロック図である。
ネットワークシステムの構成を示すブロック図である。
【００５０】図８を参照すると、本実施形態のネットワ
ークシステムは、通信回線２００で接続された複数のサ
ブシステム１００、３００で構成される。図８には２つ
のサブシステム１００、３００が記載されているが、サ
ブシステムの数が図示の数に限らないことは言うまでも
ない。
ークシステムは、通信回線２００で接続された複数のサ
ブシステム１００、３００で構成される。図８には２つ
のサブシステム１００、３００が記載されているが、サ
ブシステムの数が図示の数に限らないことは言うまでも
ない。
【００５１】サブシステム１００とサブシステム３００
とは、同様の構成を備える。図示のように、サブシステ
ム１００は、認証データを登録する認証データ端末１１
０と、実行制御を行う実行サーバ１２０と、認証チェッ
クを行う認証サーバ１３０とを備えると共に、業務コマ
ンドを入力するための業務端末１４０を備える。同様
に、サブシステム３００は、認証データ端末３１０、実
行サーバ３２０、認証サーバ３３０及び業務端末３４０
を備える。なお、図８には本実施形態における特徴的な
構成のみを記載し、他の一般的な構成については記載を
省略してある。
とは、同様の構成を備える。図示のように、サブシステ
ム１００は、認証データを登録する認証データ端末１１
０と、実行制御を行う実行サーバ１２０と、認証チェッ
クを行う認証サーバ１３０とを備えると共に、業務コマ
ンドを入力するための業務端末１４０を備える。同様
に、サブシステム３００は、認証データ端末３１０、実
行サーバ３２０、認証サーバ３３０及び業務端末３４０
を備える。なお、図８には本実施形態における特徴的な
構成のみを記載し、他の一般的な構成については記載を
省略してある。
【００５２】本実施形態では、図８に示すように、サブ
システム３００の認証サーバ３３０のデータ格納部３３
１に、サブシステム３００における処理を要求するコマ
ンドの実行が許可されないオペレータのオペレータ名を
登録した不許可オペレータリスト３３３を格納してあ
る。図９を参照して本実施形態の動作を説明する。
システム３００の認証サーバ３３０のデータ格納部３３
１に、サブシステム３００における処理を要求するコマ
ンドの実行が許可されないオペレータのオペレータ名を
登録した不許可オペレータリスト３３３を格納してあ
る。図９を参照して本実施形態の動作を説明する。
【００５３】本実施形態において、予めサブシステム３
００の認証データ端末３１０から、サブシステム３００
におけるコマンド実行を許可しないオペレータのオペレ
ータ名を入力し（ステップ９０１）、当該オペレータ名
を認証サーバ３３０のデータ格納部３３１に格納された
不許可オペレータリスト３３３に登録しておく（ステッ
プ９０２、９０３）。
００の認証データ端末３１０から、サブシステム３００
におけるコマンド実行を許可しないオペレータのオペレ
ータ名を入力し（ステップ９０１）、当該オペレータ名
を認証サーバ３３０のデータ格納部３３１に格納された
不許可オペレータリスト３３３に登録しておく（ステッ
プ９０２、９０３）。
【００５４】認証サーバ３３０は、業務コマンドを受信
した実行サーバ３２０の判断部３２１からコマンドの実
行権限の問い合わせを受けると（ステップ１００１、１
００２）、まず不許可オペレータリスト３３３を参照
し、不許可オペレータ名としてオペレータαがあれば、
業務コマンドの実行を許可しないという認証結果を判断
部３２１に返送する（ステップ１００３）。この後の動
作（ステップ１００４〜ステップ１００６）について
は、図５に示した第１実施形態におけるサブシステム３
００の認証動作（ステップ５０３〜ステップ５０５）と
同様であるため、説明を省略する。
した実行サーバ３２０の判断部３２１からコマンドの実
行権限の問い合わせを受けると（ステップ１００１、１
００２）、まず不許可オペレータリスト３３３を参照
し、不許可オペレータ名としてオペレータαがあれば、
業務コマンドの実行を許可しないという認証結果を判断
部３２１に返送する（ステップ１００３）。この後の動
作（ステップ１００４〜ステップ１００６）について
は、図５に示した第１実施形態におけるサブシステム３
００の認証動作（ステップ５０３〜ステップ５０５）と
同様であるため、説明を省略する。
【００５５】以上のように、業務コマンドの実行要求を
許可しないオペレータを個別に指定する不許可オペレー
タリストを導入することにより、サブシステム１００に
おいて誤って実行可能としてしまったグループに存在す
るオペレータαを、サブシステム３００において不許可
とすることができ、よりきめの細かいコマンド使用制限
制御が可能となる。
許可しないオペレータを個別に指定する不許可オペレー
タリストを導入することにより、サブシステム１００に
おいて誤って実行可能としてしまったグループに存在す
るオペレータαを、サブシステム３００において不許可
とすることができ、よりきめの細かいコマンド使用制限
制御が可能となる。
【００５６】
【実施例】次に、上記実施の形態による具体的な動作例
を挙げて、本発明の実施例について説明する。
を挙げて、本発明の実施例について説明する。
【００５７】まず、サブシステム１００における認証デ
ータの登録について説明する。サブシステム１００のシ
ステム管理者が、認証データ端末１１０において、入力
部１１２を使用してログインを許可するオペレータに関
する情報、使用できるコマンドの種別、アクセスできる
データの範囲、その他の認証データを入力し（図２、ス
テップ２０１）、入力情報を表示部１１３で確認した
後、通信部１１１により、認証サーバ１３０に送信する
（図２、ステップ２０２）。
ータの登録について説明する。サブシステム１００のシ
ステム管理者が、認証データ端末１１０において、入力
部１１２を使用してログインを許可するオペレータに関
する情報、使用できるコマンドの種別、アクセスできる
データの範囲、その他の認証データを入力し（図２、ス
テップ２０１）、入力情報を表示部１１３で確認した
後、通信部１１１により、認証サーバ１３０に送信する
（図２、ステップ２０２）。
【００５８】認証サーバ１３０は、認証データ端末１１
０から送られてきた認証データをチェックした後、デー
タ格納部１３１にオペレータごと、グループごとに登録
する（図２、ステップ２０３）。ここで、サブシステム
１００の認証サーバ１３０における登録認証データは以
下のような内容であるものとする。
０から送られてきた認証データをチェックした後、デー
タ格納部１３１にオペレータごと、グループごとに登録
する（図２、ステップ２０３）。ここで、サブシステム
１００の認証サーバ１３０における登録認証データは以
下のような内容であるものとする。
【００５９】
登録認証データ
・オペレータ情報
オペレータα グループα−１＠１００
オペレータβ グループβ−１＠１００
・コマンド権限
グループα−１＠１００ コマンドａ＠１００，
コマンドｂ＠３００
グループβ−１＠１００ コマンドｃ＠１００
上記登録認証データにおいて、オペレータ情報は、オペ
レータαがサブシステム１００に対応するグループα−
１＠１００に所属し、オペレータβがサブシステム１０
０に対応するグループβ−１＠１００に所属することを
示す。また、コマンド権限は、グループα−１＠１００
がサブシステム１００に格納されているデータにアクセ
スするコマンドａ＠１００とサブシステム３００に格納
されているデータにアクセスするコマンドｂ＠３００と
を実行する権限を有し、グループβ−１＠１００がサブ
システム１００に格納されているデータにアクセスする
コマンドｃ＠１００を実行する権限を有することを示
す。
レータαがサブシステム１００に対応するグループα−
１＠１００に所属し、オペレータβがサブシステム１０
０に対応するグループβ−１＠１００に所属することを
示す。また、コマンド権限は、グループα−１＠１００
がサブシステム１００に格納されているデータにアクセ
スするコマンドａ＠１００とサブシステム３００に格納
されているデータにアクセスするコマンドｂ＠３００と
を実行する権限を有し、グループβ−１＠１００がサブ
システム１００に格納されているデータにアクセスする
コマンドｃ＠１００を実行する権限を有することを示
す。
【００６０】次に、サブシステム３００における認証デ
ータの登録について説明する。サブシステム３００のシ
ステム管理者が、認証データ端末３１０において、入力
部３１２を使用してサブシステム１００のオペレータグ
ループが使用できるコマンドの種別、アクセスできるデ
ータの範囲、その他の認証データを入力し（図３、ステ
ップ３０１）、入力情報を表示部３１３で確認した後、
通信部３１１により、認証サーバ３３０に送信する（図
３、ステップ３０２）。
ータの登録について説明する。サブシステム３００のシ
ステム管理者が、認証データ端末３１０において、入力
部３１２を使用してサブシステム１００のオペレータグ
ループが使用できるコマンドの種別、アクセスできるデ
ータの範囲、その他の認証データを入力し（図３、ステ
ップ３０１）、入力情報を表示部３１３で確認した後、
通信部３１１により、認証サーバ３３０に送信する（図
３、ステップ３０２）。
【００６１】認証サーバ３３０は、認証データ端末３１
０から送られてきた認証データをチェックした後、デー
タ格納部３３１にオペレータごと、グループごとに登録
する（図３、ステップ３０３）。ここで、サブシステム
３００の認証サーバ３３０における登録認証データは以
下のような内容であるものとする。
０から送られてきた認証データをチェックした後、デー
タ格納部３３１にオペレータごと、グループごとに登録
する（図３、ステップ３０３）。ここで、サブシステム
３００の認証サーバ３３０における登録認証データは以
下のような内容であるものとする。
【００６２】
登録認証データ
・コマンド権限
グループα−２＠３００ コマンドａ＠３００，
コマンドｂ＠３００
・データアクセス権限
グループｂ−２＠３００ データｄ−３００
グループ依存関係
グループα−１＠１００ グループα−２＠３００，
グループｂ−２＠３００
上記登録認証データのコマンド権限は、グループα−２
＠３００がサブシステム３００に格納されているデータ
にアクセスするコマンドａ＠３００とコマンドｂ＠３０
０とを実行する権限を有することを示す。また、グルー
プ依存関係は、サブシステム１００に対応するグループ
α−１＠１００が、サブシステム３００においては、グ
ループα−２＠３００とグループｂ−２＠３００に許さ
れている権限を有することをを示す。
＠３００がサブシステム３００に格納されているデータ
にアクセスするコマンドａ＠３００とコマンドｂ＠３０
０とを実行する権限を有することを示す。また、グルー
プ依存関係は、サブシステム１００に対応するグループ
α−１＠１００が、サブシステム３００においては、グ
ループα−２＠３００とグループｂ−２＠３００に許さ
れている権限を有することをを示す。
【００６３】次に、図６のフローチャートを参照して、
サブシステム１００に対応するグループα−１＠１００
に所属するオペレータαがサブシステム３００に格納さ
れたデータにアクセスする場合の認証動作について説明
する。
サブシステム１００に対応するグループα−１＠１００
に所属するオペレータαがサブシステム３００に格納さ
れたデータにアクセスする場合の認証動作について説明
する。
【００６４】オペレータαが、サブシステム１００にロ
グインするため、実行端末１４０の入力部１４２と表示
部１４３とを使用してオペレータ名やパスワ−ド等のロ
グイン情報を入力すると（ステップ６０１）、業務端末
１４０は、通信部１４１を使用して実行サーバ１２０に
ログイン情報を送信する（ステップ６０２）。
グインするため、実行端末１４０の入力部１４２と表示
部１４３とを使用してオペレータ名やパスワ−ド等のロ
グイン情報を入力すると（ステップ６０１）、業務端末
１４０は、通信部１４１を使用して実行サーバ１２０に
ログイン情報を送信する（ステップ６０２）。
【００６５】実行サーバ１２０の判断部は、通信部１２
３において業務端末１４０からログイン情報を受け取る
と、該当オペレータのログインが認められているかどう
かを認証サーバ１３０に問い合わせる（ステップ６０
３）。
３において業務端末１４０からログイン情報を受け取る
と、該当オペレータのログインが認められているかどう
かを認証サーバ１３０に問い合わせる（ステップ６０
３）。
【００６６】認証サーバ１３０は、実行サーバ１２０か
ら通信部１３２によりログイン情報を受け取ると、当該
ログイン情報をデータ格納部１３１に登録されている認
証情報と比較し、オペレータαのログインが認められて
いるかどうかを判断する（ステップ６０４）。判断結果
は、通信部１３２を使用して実行サーバ１２０に送信さ
れる（ステップ６０５）。
ら通信部１３２によりログイン情報を受け取ると、当該
ログイン情報をデータ格納部１３１に登録されている認
証情報と比較し、オペレータαのログインが認められて
いるかどうかを判断する（ステップ６０４）。判断結果
は、通信部１３２を使用して実行サーバ１２０に送信さ
れる（ステップ６０５）。
【００６７】実行サーバ１２０は、認証サーバ１３０か
ら受け取った認証結果を業務端末１４０に送信し（ステ
ップ６０６）、業務端末１４０は、表示装置１４３に認
証結果を表示する（ステップ６０７）。オペレータαは
表示装置１４３の表示結果を視認することにより、ログ
イン認証の結果を受け取る。ここでは、認証サーバ１３
０の登録認証データのオペレータ情報にオペレータαが
登録されているので、ログインが認められているという
認証結果を得る。
ら受け取った認証結果を業務端末１４０に送信し（ステ
ップ６０６）、業務端末１４０は、表示装置１４３に認
証結果を表示する（ステップ６０７）。オペレータαは
表示装置１４３の表示結果を視認することにより、ログ
イン認証の結果を受け取る。ここでは、認証サーバ１３
０の登録認証データのオペレータ情報にオペレータαが
登録されているので、ログインが認められているという
認証結果を得る。
【００６８】次に、オペレータαが、業務端末１４０か
ら、サブシステム３００のデータｄ−３００にアクセス
するコマンドｂ＠３００を入力部１４２から投入したも
のとする（ステップ６０８）。業務端末１４０は、通信
部１４１を使用して、実行サーバ１２０に送信する（ス
テップ６０９）。
ら、サブシステム３００のデータｄ−３００にアクセス
するコマンドｂ＠３００を入力部１４２から投入したも
のとする（ステップ６０８）。業務端末１４０は、通信
部１４１を使用して、実行サーバ１２０に送信する（ス
テップ６０９）。
【００６９】実行サーバ１２０は、業務端末１４０から
送られたコマンドｂ＠３００を受け取ると、判断部１２
１が認証サーバ１３０に対して、当該オペレータαがコ
マンドｂ＠３００の実行権限を保有しているかどうかを
問い合わせる（ステップ６１０）。
送られたコマンドｂ＠３００を受け取ると、判断部１２
１が認証サーバ１３０に対して、当該オペレータαがコ
マンドｂ＠３００の実行権限を保有しているかどうかを
問い合わせる（ステップ６１０）。
【００７０】認証サーバ１３０は、データ格納部１３１
を参照して、オペレータαがグループα−１＠１００に
所属していること、及びグループα−１＠１００がコマ
ンドａ＠１００とコマンドｂ＠３００の実行権限を保有
していることを検出し、オペレータαがコマンドｂ＠３
００の実行権限があると判断する（ステップ６１１）そ
して、得られた認証結果を実行サーバ１２０に返送する
（ステップ６１２）。
を参照して、オペレータαがグループα−１＠１００に
所属していること、及びグループα−１＠１００がコマ
ンドａ＠１００とコマンドｂ＠３００の実行権限を保有
していることを検出し、オペレータαがコマンドｂ＠３
００の実行権限があると判断する（ステップ６１１）そ
して、得られた認証結果を実行サーバ１２０に返送する
（ステップ６１２）。
【００７１】実行サーバ１２０において、判断部１２１
は、通信部１２３を介して認証サーバ１３０の認証結果
を受け取ると、コマンドｂ＠３００の実行を許可し、通
信回線２００を介してサブシステム３００に、コマンド
ｂ＠３００の実行許可依頼を送信する（ステップ６１
３）。この際、当該コマンド実行許可依頼には、オペレ
ータαの所属グループα−１＠１００を付加する。
は、通信部１２３を介して認証サーバ１３０の認証結果
を受け取ると、コマンドｂ＠３００の実行を許可し、通
信回線２００を介してサブシステム３００に、コマンド
ｂ＠３００の実行許可依頼を送信する（ステップ６１
３）。この際、当該コマンド実行許可依頼には、オペレ
ータαの所属グループα−１＠１００を付加する。
【００７２】サブシステム３００において、実行サーバ
３２０の判断部３２１が通信回線２００からコマンドｂ
＠３００とグループα−１＠１００の情報とを受信する
と（図５、ステップ５０１）、当該コマンドとグループ
の組み合わせによる実行権限の有無を認証サーバ３３０
に問い合わせる（図５、ステップ５０２）。ここでは、
グループα−１＠１００が、コマンドｂ＠３００の使用
権限を保有するグループα−２＠３００に属しているこ
とから、実行を許可する認証結果が認証サーバ３３０か
ら実行サーバ３２０に返送される（図５、ステップ５０
３）。
３２０の判断部３２１が通信回線２００からコマンドｂ
＠３００とグループα−１＠１００の情報とを受信する
と（図５、ステップ５０１）、当該コマンドとグループ
の組み合わせによる実行権限の有無を認証サーバ３３０
に問い合わせる（図５、ステップ５０２）。ここでは、
グループα−１＠１００が、コマンドｂ＠３００の使用
権限を保有するグループα−２＠３００に属しているこ
とから、実行を許可する認証結果が認証サーバ３３０か
ら実行サーバ３２０に返送される（図５、ステップ５０
３）。
【００７３】さらに、グループα−１＠１００が、コマ
ンドｂ＠３００の使用権限を保有するグループｂ−２＠
３００に属することから、データｄ−３００へのアクセ
ス権限を有するため、判断部３２１は、当該コマンドｂ
＠３００の実行を許可して、処理を実行部３２２に渡
し、データｄ−３００にアクセスするコマンドｂ＠３０
０を実行する（図５、ステップ５０４）。コマンドｂ＠
３００を実行した結果は、通信回線２００を使用して、
サブシステム１００の実行サーバ１２０に送信される
（図５、ステップ５０５）。
ンドｂ＠３００の使用権限を保有するグループｂ−２＠
３００に属することから、データｄ−３００へのアクセ
ス権限を有するため、判断部３２１は、当該コマンドｂ
＠３００の実行を許可して、処理を実行部３２２に渡
し、データｄ−３００にアクセスするコマンドｂ＠３０
０を実行する（図５、ステップ５０４）。コマンドｂ＠
３００を実行した結果は、通信回線２００を使用して、
サブシステム１００の実行サーバ１２０に送信される
（図５、ステップ５０５）。
【００７４】再び図６を参照すると、サブシステム１０
０の実行サーバ１２０は、ネットワーク２００を介して
送られたコマンドｂ＠３００の実行結果を受信し（ステ
ップ６１４）、当該実行結果を業務端末１４０に送る
（ステップ６１５）。業務端末１４０は、コマンドｂ＠
３００の実行結果を受取ると、表示部１４３により当該
実行結果を表示する（ステップ６１６）。これにより、
オペレータαは、コマンドｂ＠３００を投入した結果を
確認することができる。
０の実行サーバ１２０は、ネットワーク２００を介して
送られたコマンドｂ＠３００の実行結果を受信し（ステ
ップ６１４）、当該実行結果を業務端末１４０に送る
（ステップ６１５）。業務端末１４０は、コマンドｂ＠
３００の実行結果を受取ると、表示部１４３により当該
実行結果を表示する（ステップ６１６）。これにより、
オペレータαは、コマンドｂ＠３００を投入した結果を
確認することができる。
【００７５】以上好ましい実施例をあげて本発明を説明
したが、本発明は必ずしも上記実施例に限定されるもの
ではない。
したが、本発明は必ずしも上記実施例に限定されるもの
ではない。
【００７６】
【発明の効果】以上説明したように、本発明のネットワ
ークシステム及び端末間のコマンド使用権限制御方法な
らびに制御プログラムを格納した記憶媒体によれば、業
務コマンドを発行したオペレータの認証管理を、当該業
務コマンドの発行元であるサブシステムの実行サーバが
認証サーバを使用して行うため、オペレータの認証管理
を当該業務コマンドの実行先であるサブシステムで行う
必要がない。このため、認証データの同期を取るための
通信を行う必要がなく、システムリソースの不必要な消
費を削減し、システムの性能低下を回避できるという効
果がある。
ークシステム及び端末間のコマンド使用権限制御方法な
らびに制御プログラムを格納した記憶媒体によれば、業
務コマンドを発行したオペレータの認証管理を、当該業
務コマンドの発行元であるサブシステムの実行サーバが
認証サーバを使用して行うため、オペレータの認証管理
を当該業務コマンドの実行先であるサブシステムで行う
必要がない。このため、認証データの同期を取るための
通信を行う必要がなく、システムリソースの不必要な消
費を削減し、システムの性能低下を回避できるという効
果がある。
【００７７】また、本発明は、グループごとに設置され
たサブシステム単位で認証サーバを備えるため、グルー
プ内に複数の業務端末が存在する場合であっても、オペ
レータ認証を一括して行うことができ、運用が簡略にな
るという効果がある。
たサブシステム単位で認証サーバを備えるため、グルー
プ内に複数の業務端末が存在する場合であっても、オペ
レータ認証を一括して行うことができ、運用が簡略にな
るという効果がある。
【００７８】さらにまた、本発明は、業務コマンドの実
行先であるサブシステムにおいて、オペレータが所属す
るオペレータグループ名ごとに業務コマンドの権限付与
を行うことにより、オペレータグループの追加や変更が
ない限り、業務コマンドの発行元であるサブシステムの
追加や変更、または業務コマンドを発行するオペレータ
の追加や変更があっても認証データを共有するためにサ
ブシステム間で同期を取る必要がないため、運用がさら
に簡略になるという効果がある。
行先であるサブシステムにおいて、オペレータが所属す
るオペレータグループ名ごとに業務コマンドの権限付与
を行うことにより、オペレータグループの追加や変更が
ない限り、業務コマンドの発行元であるサブシステムの
追加や変更、または業務コマンドを発行するオペレータ
の追加や変更があっても認証データを共有するためにサ
ブシステム間で同期を取る必要がないため、運用がさら
に簡略になるという効果がある。
【図１】 本発明の一実施形態によるネットワークシス
テムの構成を示すブロック図である。
テムの構成を示すブロック図である。
【図２】 本実施形態の業務コマンド発行元サブシステ
ムにおける認証データの登録動作を示すフローチャート
である。
ムにおける認証データの登録動作を示すフローチャート
である。
【図３】 本実施形態の業務コマンド実行先サブシステ
ムにおける認証データの登録動作を示すフローチャート
である。
ムにおける認証データの登録動作を示すフローチャート
である。
【図４】 本実施形態の業務コマンド発行元サブシステ
ムにおける認証動作を示すフローチャートである。
ムにおける認証動作を示すフローチャートである。
【図５】 本実施形態の業務コマンド実行先サブシステ
ムにおける認証動作を示すフローチャートである。
ムにおける認証動作を示すフローチャートである。
【図６】 本実施形態の業務コマンド発行元サブシステ
ムにおけるさらに詳細な認証動作を示すフローチャート
である。
ムにおけるさらに詳細な認証動作を示すフローチャート
である。
【図７】 本発明の他の実施形態によるネットワークシ
ステムの構成を示すブロック図である。
ステムの構成を示すブロック図である。
【図８】 本発明のさらに他の実施形態によるネットワ
ークシステムの構成を示すブロック図である。
ークシステムの構成を示すブロック図である。
【図９】 本実施形態の業務コマンド実行先サブシステ
ムの動作を示すフローチャートである。
ムの動作を示すフローチャートである。
１００、３００ サブシステム
１１０、３１０ 認証データ端末
１２０、３２０ 実行サーバ
１３０、３３０ 認証サーバ
１３１、３３１ データ格納部
１４０、３４０ 業務端末
フロントページの続き
(56)参考文献 特開 平10−154118（ＪＰ，Ａ)
特開 平７−219899（ＪＰ，Ａ)
”すべてを把握する−ネットワークの
台帳になるディレクトリ”，日経コミュ
ニケーション，日本，日経ＢＰ社，1995
年 ５月 １日，第197号，ｐ．51−55
五十嵐著，”連載 ＷｉｎｄｏｗｓＮ
Ｔ（４） セキュリティ”，ＵＮＩＸ
ＭＡＧＡＺＩＮＥ，日本，（株）アスキ
ー，1994年 ５月 １日，第９巻、第５
号，ｐ．75−59
醍醐著，７つのコア・サービスをもつ
ＮｅｔＷａｒｅ４．１Ｊと効果的な活用
法を実現するＧｒｏｕｐＷｉｓｅ”，コ
ンピュータ＆ネットワークＬＡＮ，日
本，（株）オーム社，1995年 ９月 １
日，第13巻、第９号，ｐ．40−50
(58)調査した分野(Int.Cl.7，ＤＢ名)
G06F 15/00
G06F 12/00
G06F 1/00
Claims (7)
- 【請求項１】 相互に接続された複数のコンピュータシ
ステムを備えたサブシステムどうしを通信回線で接続し
て構成され、所定のコンピュータシステムから発行され
た業務コマンドを該コンピュータシステムが所属するサ
ブシステム以外の他のサブシステムに所属するコンピュ
ータシステムにて実行することを許容するネットワーク
システムにおいて、 前記サブシステムが、コンピュータシステムとして、 業務コマンドを入力するための業務端末と、 各種処理の実行制御を行うと共に、他のサブシステムと
の通信を行う実行サーバと、 所定のオペレータによって前記業務端末から入力された
前記業務コマンドに対する認証チェックを行う認証サー
バとを備え、 業務コマンドの発行元となる前記サブシステムの前記認
証サーバ（以下、「第１の認証サーバ」）は、自サブシ
ステムに対応する各グループについて、グループの識別
情報と、実行する権限を有する業務コマンドの識別情報
と、所属するオペレータの識別情報とを含む第１の認証
データを有し、前記業務コマンドを入力したオペレータ
が自サブシステムに対するログイン権限及び前記業務コ
マンドに対する実行権限を有しているかどうかを前記第
１の認証データをもとに認証チェックし、業務コマンドの発行元となる前記サブシステムの 前記実
行サーバ（以下、「第１の実行サーバ」）は、前記第１
の認証サーバが前記オペレータのログイン権限及び前記
業務コマンドに対する実行権限を認証した場合に、入力
された前記業務コマンドを、前記第１の認証データに含
まれる前記オペレータが所属するグループの識別情報を
付加して前記業務コマンドの実行先となるサブシステム
に送信し、 業務コマンドの実行先となる前記サブシステムの前記認
証サーバ（以下、「第２の認証サーバ」）は、自サブシ
ステムに対応する各グループについて、グループの識別
情報と、実行する権限を有する業務コマンドの識別情報
と、前記業務コマンドの発行元となるサブシステムに対
応するグループとの依存関係とを含む第 ２の認証データ
を有し、受信した業務コマンドに付加されたグループの
識別情報を抽出し、該抽出した識別情報により示される
グループと依存関係にある自サブシステムに対応するグ
ループを前記第２の認証データをもとに特定し、該特定
したグループが前記業務コマンドの使用権限を有してい
るかどうかを前記第２の認証データをもとに認証チェッ
クし、業務コマンドの実行先となる前記サブシステムの 前記実
行サーバ（以下、「第２の実行サーバ」）は、前記第２
の認証サーバが前記特定したグループによる前記業務コ
マンドの使用権限を認証した場合に、前記業務コマンド
を実行して結果を前記業務コマンドの発行元サブシステ
ムに返送することを特徴とするネットワークシステム。 - 【請求項２】 前記サブシステムが、前記認証サーバを
複数備え、所定の認証サーバに障害が発生した場合に、
他の認証サーバが認証チェックを実行することを特徴と
する請求項１に記載のネットワークシステム。 - 【請求項３】 前記業務コマンドの実行先サブシステム
の前記認証サーバが、業務コマンドの使用を制限するオ
ペレータを個別に登録した不許可オペレータ情報を格納
し、前記オペレータによる前記業務コマンドの使用権限
の認証チェックを行う場合に、前記不許可オペレータ情
報を参照して、オペレータのログイン権限の認証チェッ
クも行うことを特徴とする請求項１に記載のネットワー
クシステム。 - 【請求項４】 相互に接続された複数のコンピュータシ
ステムを備えたサブシステムどうしを通信回線で接続し
て構成され、所定のコンピュータシステムから発行され
た業務コマンドを該コンピュータシステムが所属するサ
ブシステム以外の他のサブシステムに所属するコンピュ
ータシステムにて実行することを許容するネットワーク
システムのコマンド使用権限制御方法において、 業務コマンドの発行元となる前記サブシステムにおい
て、 前記サブシステムの所定のオペレータによって入力され
た前記業務コマンドに対する認証チェックを行う認証サ
ーバにて、自サブシステムに対応する各グループについ
て、グループの識別情報と、実行する権限を有する業務
コマンドの識別情報と、所属するオペレータの識別情報
とを含む第１の認証データをもとに、前記業務コマンド
を入力したオペレータが自サブシステムに対するログイ
ン権限及び前記業務コマンドに対する実行権限を有して
いるかどうかを認証チェックする工程と、 前記認証チェックの結果、前記オペレータのログイン権
限及び前記業務コマンドに対する実行権限を認証した場
合に、前記サブシステムの各種処理の実行制御を行うと
共に、他のサブシステムとの通信を行う実行サーバに
て、入力された前記業務コマンドを、前記第１の認証デ
ータに含まれる前記オペレータが所属するグループの識
別情報を付加して前記業務コマンドの実行先となるサブ
システムに送信する工程とを含み、 業務コマンドの実行先となる前記サブシステムにおい
て、 前記サブシステムの前記認証サーバにて、自サブシステ
ムに対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
前記業務コマンドの発行元となるサブシステムに対応す
るグループとの依存関係とを含む第２の認証データをも
とに、受信した業務コマンドに付加されたグループの識
別情報を抽出し、該抽出した識別情報により示されるグ
ループと依存関係にある自サブシステムに対応するグル
ープを特定し、該特定したグループが前記業務コマンド
の使用権限を有しているかどうかを認証チェックする工
程と、 前記認証チェックの結果、前記特定したグループによる
前記業務コマンドの使用権限を認証した場合に、前記サ
ブシステムの前記実行サーバにて、前記業務コマンドを
実行して結果を前記業務コマンドの発行元サブシステム
に返送する工程とを含むことを特徴とするコマンド使用
権限制御方法。 - 【請求項５】 前記業務コマンドの実行先サブシステム
における前記認証サーバによる認証チェック工程が、 前記識別情報抽出工程と前記使用権限判断工程との間
に、 予め用意された、業務コマンドの使用を制限するオペレ
ータを個別に指定した情報を参照して、オペレータのロ
グイン権限の認証チェックを行う工程をさらに含むこと
を特徴とする請求項４に記載のコマンド使用権限制御方
法。 - 【請求項６】 相互に接続された複数のコンピュータシ
ステムを備えたサブシステムどうしを通信回線で接続し
て構成され、所定のコンピュータシステムから発行され
た業務コマンドを該コンピュータシステムが所属するサ
ブシステム以外の他のサブシステムに所属するコンピュ
ータシステムにて実行することを許容するネットワーク
システムを制御して、コマンド使用権限の認証チェック
を行う制御プログラムを格納した記憶媒体であって、 業務コマンドの発行元となる前記サブシステムにおい
て、 前記サブシステムの所定のオペレータによって入力され
た前記業務コマンドに対する認証チェックを行う認証サ
ーバにて、自サブシステムに対応する各グループについ
て、グループの識別情報と、実行する権限を有する業務
コマンドの識別情報と、所属するオペレータの識別情報
とを含む第１の認証データをもとに、前記業務コマンド
を入力したオペレータが自サブシステムに対するログイ
ン権限及び前記業務コマンドに対する実行権限を有して
いるかどうかを認証チェックする処理を実行させ、 前記認証チェックの結果、前記オペレータのログイン権
限及び前記業務コマンドに対する実行権限を認証した場
合に、前記サブシステムの各種処理の実行制御を行うと
共に、他のサブシステムとの通信を行う実行サーバに
て、入力された前記業務コマンドを、前記第１の認証デ
ータに含まれる前記オペレータが所属するグループの識
別情報を付加して前記業務コマンドの実行先となるサブ
システムに送信する処理を実行させ、 業務コマンドの実行先となる前記サブシステムにおい
て、 前記サブシステムの前記認証サーバにて、自サブシステ
ムに対応する各グループについて、グループの識別情報
と、実行する権限を有する業務コマンドの識別情報と、
前記業務コマンドの発行元となるサブシステムに対応す
るグループとの依存関係とを含む第２の認証データをも
とに、受信した業務コマンドに付加されたグループの識
別情報を抽出し、該抽出した識別情報により示されるグ
ループと依存関係にある自サブシステムに対応するグル
ープを特定し、該特定したグループが前記業務コマンド
の使用権限を有しているかどうかを認証チェックする処
理を実行させ、 前記認証チェックの結果、前記特定したグループによる
前記業務コマンドの使用権限を認証した場合に、前記サ
ブシステムの前記実行サーバにて、前記業務コマンドを
実行して結果を前記業務コマンドの発行元サブシステム
に返送する処理を実行させることを特徴とする制御プロ
グラムを格納した記憶媒体。 - 【請求項７】 前記業務コマンドの実行先サブシステム
における前記認証サーバによる認証チェック処理におい
て、 前記識別情報抽出処理と前記使用権限判断処理との間
に、 予め用意された、業務コマンドの使用を制限するオペレ
ータを個別に指定した情報を参照して、オペレータのロ
グイン権限の認証チェックを行う処理をさらに含むこと
を特徴とする請求項６に記載の制御プログラムを格納し
た記憶媒体。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP31544398A JP3415456B2 (ja) | 1998-10-19 | 1998-10-19 | ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体 |
| US09/420,550 US6574656B1 (en) | 1998-10-19 | 1999-10-19 | Network system and method for limiting the execution of commands |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP31544398A JP3415456B2 (ja) | 1998-10-19 | 1998-10-19 | ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000122974A JP2000122974A (ja) | 2000-04-28 |
| JP3415456B2 true JP3415456B2 (ja) | 2003-06-09 |
Family
ID=18065440
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP31544398A Expired - Fee Related JP3415456B2 (ja) | 1998-10-19 | 1998-10-19 | ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US6574656B1 (ja) |
| JP (1) | JP3415456B2 (ja) |
Families Citing this family (33)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7343441B1 (en) * | 1999-12-08 | 2008-03-11 | Microsoft Corporation | Method and apparatus of remote computer management |
| ES2343166T3 (es) | 2000-04-24 | 2010-07-26 | Kowa Company, Ltd. | Activadores para el receptor activado por proliferador de peroxisoma. |
| US6934737B1 (en) * | 2000-05-23 | 2005-08-23 | Sun Microsystems, Inc. | Method and apparatus for providing multi-level access control in a shared computer window |
| US6985947B1 (en) * | 2000-09-14 | 2006-01-10 | Microsoft Corporation | Server access control methods and arrangements |
| US6934948B2 (en) * | 2001-01-22 | 2005-08-23 | International Business Machines Corporation | System and method for grouping diverse operations |
| GB2383147B (en) * | 2001-12-13 | 2005-04-06 | Inventec Corp | Method for integrating multiple web servers based on individual client authorisation |
| AU2003257550A1 (en) | 2002-08-20 | 2004-03-11 | Nikken Chemicals Co., Ltd. | Soft capsule preparation |
| JP2004264905A (ja) * | 2003-02-17 | 2004-09-24 | Matsushita Electric Ind Co Ltd | 分散計算機システムの管理方法および分散計算機管理システム |
| US7702717B2 (en) * | 2003-03-27 | 2010-04-20 | Oracle America, Inc. | Method and apparatus for controlling management agents in a computer system on a packet-switched input/output network |
| JP2005278143A (ja) * | 2003-12-11 | 2005-10-06 | Ricoh Co Ltd | 情報処理装置、情報処理方法、情報処理プログラム、記録媒体、画像処理装置、画像処理方法、プリンタドライバ、及び記憶媒体 |
| JP2007226429A (ja) * | 2006-02-22 | 2007-09-06 | Oki Data Corp | 情報処理装置及び印刷装置 |
| US20070233844A1 (en) | 2006-03-29 | 2007-10-04 | Murata Kikai Kabushiki Kaisha | Relay device and communication system |
| JP4222397B2 (ja) * | 2006-09-12 | 2009-02-12 | 村田機械株式会社 | 中継サーバ |
| EP1912404B1 (en) * | 2006-10-11 | 2011-06-01 | Murata Machinery, Ltd. | File transfer server |
| EP2112805B1 (en) * | 2006-10-11 | 2011-02-09 | Murata Machinery, Ltd. | Relay server |
| US8606941B2 (en) * | 2007-05-02 | 2013-12-10 | Murata Machinery, Ltd. | Relay server and relay communication system |
| EP1990975B1 (en) * | 2007-05-09 | 2013-02-20 | Murata Machinery, Ltd. | Relay server and relay communication system |
| JP4591875B2 (ja) * | 2007-12-25 | 2010-12-01 | 村田機械株式会社 | 中継サーバ及び中継通信システム |
| JP4645915B2 (ja) * | 2007-12-27 | 2011-03-09 | 村田機械株式会社 | 中継サーバ及び中継通信システム |
| JP5271628B2 (ja) * | 2008-07-31 | 2013-08-21 | グローリー株式会社 | 生体認証システム及び生体認証装置 |
| TWI455547B (zh) * | 2008-09-01 | 2014-10-01 | Murata Machinery Ltd | Relay server and relay communication system |
| EP2323320B1 (en) * | 2008-09-05 | 2013-04-17 | Murata Machinery, Ltd. | Relay server, relay communication system and communication apparatus |
| US8738788B2 (en) | 2009-03-13 | 2014-05-27 | Murata Machinery, Ltd. | First relay server and second relay server |
| CN102422601B (zh) | 2009-05-15 | 2014-07-09 | 村田机械株式会社 | 中继通信系统及第一中继服务器 |
| US9130783B2 (en) | 2009-08-20 | 2015-09-08 | Murata Machinery, Ltd. | Relay communication system and access management apparatus |
| JP5387300B2 (ja) | 2009-09-30 | 2014-01-15 | 村田機械株式会社 | 中継サーバおよび中継通信システム |
| US20110307831A1 (en) * | 2010-06-10 | 2011-12-15 | Microsoft Corporation | User-Controlled Application Access to Resources |
| CN103503384B (zh) * | 2011-04-21 | 2016-06-08 | 村田机械株式会社 | 中继服务器及中继通信系统 |
| JP5633748B2 (ja) * | 2011-04-21 | 2014-12-03 | 村田機械株式会社 | 中継サーバ及び中継通信システム |
| JP5633749B2 (ja) * | 2011-04-28 | 2014-12-03 | 村田機械株式会社 | 中継サーバ及び中継通信システム |
| US9489250B2 (en) * | 2011-09-05 | 2016-11-08 | Infosys Limited | System and method for managing a network infrastructure using a mobile device |
| JP6209673B2 (ja) * | 2014-03-11 | 2017-10-04 | 富士機械製造株式会社 | 部品実装関連アプリケーションのアカウント権限管理装置及びアカウント権限管理方法 |
| EP3739490A1 (en) * | 2019-05-17 | 2020-11-18 | Samsung Electronics Co., Ltd. | Server and control method thereof |
Family Cites Families (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH04117747A (ja) | 1990-09-07 | 1992-04-17 | Oki Electric Ind Co Ltd | ネットワークシステムの被管理ノード計算機 |
| EP0520709A3 (en) | 1991-06-28 | 1994-08-24 | Digital Equipment Corp | A method for providing a security facility for remote systems management |
| JPH0779243A (ja) | 1993-07-13 | 1995-03-20 | Hitachi Ltd | ネットワーク接続装置およびネットワーク接続方法 |
| JPH07160637A (ja) | 1993-12-07 | 1995-06-23 | Hitachi Ltd | オンラインシステムの運用コマンド発行方法 |
| JPH07219899A (ja) * | 1994-02-08 | 1995-08-18 | Hitachi Ltd | プログラム実行権限設定方法 |
| US5941947A (en) * | 1995-08-18 | 1999-08-24 | Microsoft Corporation | System and method for controlling access to data entities in a computer network |
| JP3253542B2 (ja) * | 1996-11-22 | 2002-02-04 | 株式会社日立製作所 | ネットワーク通信システム |
| US6125384A (en) * | 1996-12-23 | 2000-09-26 | International Business Machines Corporation | Computer apparatus and method for communicating between software applications and computers on the world-wide web |
| US6012090A (en) * | 1997-03-14 | 2000-01-04 | At&T Corp. | Client-side parallel requests for network services using group name association |
| US5940590A (en) * | 1997-05-31 | 1999-08-17 | International Business Machines Corporation | System and method for securing computer-executable program code using task gates |
| US6085084A (en) * | 1997-09-24 | 2000-07-04 | Christmas; Christian | Automated creation of a list of disallowed network points for use in connection blocking |
| US6014666A (en) * | 1997-10-28 | 2000-01-11 | Microsoft Corporation | Declarative and programmatic access control of component-based server applications using roles |
| US6101607A (en) * | 1998-04-24 | 2000-08-08 | International Business Machines Corporation | Limit access to program function |
| US6182142B1 (en) * | 1998-07-10 | 2001-01-30 | Encommerce, Inc. | Distributed access management of information resources |
| US6389543B1 (en) * | 1998-08-31 | 2002-05-14 | International Business Machines Corporation | System and method for command routing and execution in a multiprocessing system |
-
1998
- 1998-10-19 JP JP31544398A patent/JP3415456B2/ja not_active Expired - Fee Related
-
1999
- 1999-10-19 US US09/420,550 patent/US6574656B1/en not_active Expired - Fee Related
Non-Patent Citations (3)
| Title |
|---|
| "すべてを把握する−ネットワークの台帳になるディレクトリ"，日経コミュニケーション，日本，日経ＢＰ社，１９９５年 ５月 １日，第１９７号，ｐ．５１−５５ |
| 五十嵐著，"連載 ＷｉｎｄｏｗｓＮＴ（４） セキュリティ"，ＵＮＩＸ ＭＡＧＡＺＩＮＥ，日本，（株）アスキー，１９９４年 ５月 １日，第９巻、第５号，ｐ．７５−５９ |
| 醍醐著，７つのコア・サービスをもつＮｅｔＷａｒｅ４．１Ｊと効果的な活用法を実現するＧｒｏｕｐＷｉｓｅ"，コンピュータ＆ネットワークＬＡＮ，日本，（株）オーム社，１９９５年 ９月 １日，第１３巻、第９号，ｐ．４０−５０ |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2000122974A (ja) | 2000-04-28 |
| US6574656B1 (en) | 2003-06-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3415456B2 (ja) | ネットワークシステム及びコマンド使用権限制御方法ならびに制御プログラムを格納した記憶媒体 | |
| KR100389160B1 (ko) | 외부 시스템 로그인을 위한 자동 서버 결정을 허용하는방법 및 장치 | |
| CN102947797B (zh) | 使用横向扩展目录特征的在线服务访问控制 | |
| US5682478A (en) | Method and apparatus for supporting multiple, simultaneous services over multiple, simultaneous connections between a client and network server | |
| US7827598B2 (en) | Grouped access control list actions | |
| US6327658B1 (en) | Distributed object system and service supply method therein | |
| US8935398B2 (en) | Access control in client-server systems | |
| EP2039111B1 (en) | System and method for tracking the security enforcement in a grid system | |
| CN110324338B (zh) | 数据交互方法、装置、堡垒机与计算机可读存储介质 | |
| US20120011577A1 (en) | Access authentication method and information processing apparatus | |
| US8108907B2 (en) | Authentication of user database access | |
| US7779248B2 (en) | Moving principals across security boundaries without service interruption | |
| US20090077250A1 (en) | Computer and Access Control Method in a Computer | |
| US20070199044A1 (en) | Systems and methods for distributed security policy management | |
| US20050108257A1 (en) | Emergency access interception according to black list | |
| JPH10177552A (ja) | 認証応答方法およびその方法を用いた認証応答装置 | |
| JP2728033B2 (ja) | コンピュータネットワークにおけるセキュリティ方式 | |
| US7072969B2 (en) | Information processing system | |
| KR102118380B1 (ko) | 사용자별 서버 작업 통제 기능을 탑재한 접근통제 시스템 | |
| JP4018450B2 (ja) | 文書管理システム、文書管理装置、認証方法、コンピュータ読み取り可能なプログラム、及び記憶媒体 | |
| JPH0779243A (ja) | ネットワーク接続装置およびネットワーク接続方法 | |
| US20110093582A1 (en) | Transparent resource administration using a read-only domain controller | |
| JP2002109172A (ja) | 代行権限付与決定プログラムを記録した記録媒体および代行権限付与決定方法および装置 | |
| CN115022021B (zh) | 一种访问k8s方法、系统、设备及计算机可读存储介质 | |
| US20110214159A1 (en) | Computer system |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313532 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080404 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090404 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100404 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110404 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120404 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120404 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130404 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130404 Year of fee payment: 10 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140404 Year of fee payment: 11 |
|
| LAPS | Cancellation because of no payment of annual fees |