JP3929912B2 - アクセス統合制御方法及びアクセス統合制御装置と当該装置を用いたネットワーク利用統合制御システム - Google Patents
アクセス統合制御方法及びアクセス統合制御装置と当該装置を用いたネットワーク利用統合制御システム Download PDFInfo
- Publication number
- JP3929912B2 JP3929912B2 JP2003050636A JP2003050636A JP3929912B2 JP 3929912 B2 JP3929912 B2 JP 3929912B2 JP 2003050636 A JP2003050636 A JP 2003050636A JP 2003050636 A JP2003050636 A JP 2003050636A JP 3929912 B2 JP3929912 B2 JP 3929912B2
- Authority
- JP
- Japan
- Prior art keywords
- application
- information
- access control
- user
- network access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明はネットワーク上に存在する様々なアプリケーション資源の利用を制御し、その制御に対応してネットワーク資源の利用を制御するネットワーク利用統合制御システムに関し、特にアプリケーションを利用する為の設定と、ネットワークを利用する為の設定を統一的に管理するネットワーク利用統合制御システムに適用して有効な技術に関するものである。
【０００２】
【従来の技術】
プラグアンドプレイ技術やネットワーク資源管理のミドルウェア開発により、様々なコンピューティング資源から情報家電まで多くの資源がネットワークに接続される様になっている。これらの環境においてはネットワークに資源を接続するだけで、ユーザはそれらの資源を利用することが可能となっている（例えば、非特許文献１、２、３、４参照）。これらの技術を利用して、ユーザのネットワーク利用権や資源利用権等を管理制御する技術も確立されている（例えば、非特許文献６、７参照）。また、アプリケーション利用の為の利用権の制御を行うシステムも検討されている（例えば、特許文献１参照）。
【０００３】
更に、上記の様なネットワーク環境でアカウントを持っていない場合に一時的にネットワークを利用する為の技術として、認証ＶＬＡＮ（例えば、非特許文献５参照）、ゲストアカウント機構等があげられる。
【０００４】
そして、ネットワークセキュリティの為の技術として、あるネットワーク上の資源間を他者から盗み見されない様に安全に通信する為の技術として、ＶＰＮ(Virtual Private Network)（例えば、非特許文献８、９、１０参照）、ＶＬＡＮ(Virtual Local Area Network)（例えば、非特許文献１１参照）、ＳＳＬ(Secure Socket Layer)（例えば、非特許文献１２参照）等があげられる。
【０００５】
【特許文献１】
特開２０００−３０５７７６号公報
【非特許文献１】
「Universal Plug and Play Forum」、 Microsoft Corporation [online] [2002年12月16日検索]インターネット<URL: http://www.upnp.org/>
【非特許文献２】
「Jini.org」、Sun Microsystems [online] [2002年12月16日検索]インターネット<URL: http://www.jini.org/>
【非特許文献３】
「Home Audio Video Interoperability」、 The HAVi Organization [online] [2002年12月16日検索] インターネット<URL: http://www.havi.org/>
【非特許文献４】
「MIT Project Oxygen」、 MIT Laboratory for Computer Science. MIT Artificial Intelligence Laboratory [online] [2002年12月16日検 索] インターネット <URL: http://oxygen.lcs.mit.edu/>
【非特許文献５】
「認証VLANとは」 NEC Corporation. [online] [2002年12月16日検索] インターネット <URL: http://www.sw.nec.co.jp/middle/VLANaccess/summary.html>
【非特許文献６】
庭野栄一 外3名、「MUSA:モデルベースドユビキタスサービスアーキテクチャ」、信学技報Vol101、No.742、pp73-82、KBSE2001-74、2000-3
【非特許文献７】
神戸雅一 外3名、「コンピューティング資源の利用権管理方法についての検討」信学技報vol102、No.504、pp13-18、KBSE2002-23、Dec 2002
【非特許文献８】
「VPN Solutions」、Allied Telesis K.K. [online] [2002年12月16日検索] インターネット <URL: http://www.allied-telesis.co.jp/sol/vpn/>
【非特許文献９】
「Security related RFCs」、情報処理振興事業協会 セキュリティーセンター [online] [2002年12月16日検索]インターネット<URL: http://www.ipa.go.jp/security/rfc/RFC.html>
【非特許文献１０】
「Layer2 Tunneling Protocol」、Cisco Systems K.K. [online] [2002年12月16日検索] インターネット <URL: http://www.cisco.com/japanese/warp/public/3/jp/product/product/ios/prodlit/l2tunds.html>
【非特許文献１１】
「Virtual LANs. IEEE802.1Q」 Institute of Electrical and Electronics Engineers. [online] [2002年12月16日検索] インターネット <URL: http://www.ieee802.org/1/pages/802.1Q.html>
【非特許文献１２】
「SSL(セキュア・ソケット・レイヤ)暗号化通信」 VeriSign Japan K.K. [online] [2002年12月16日検索] インターネット <URL: http://www.verisign.co.jp/repository/faq/SSL/>
【０００６】
【発明が解決しようとする課題】
しかしながら、上述した従来のシステムでは、次の様な問題がある。
第１の問題点は、ユーザに対してアプリケーションの利用可否の制御を行う場合にはアプリケーションレイヤで利用権制御を行い、ネットワークのアクセス可否の制御を行う場合にはネットワークレイヤにおいてアクセス制御を行うという様に、それぞれが独立して制御を行っていた為、アプリケーションレイヤでアプリケーションの利用を不可能にしていても、ネットワークレイヤで使用可能な状態になっていれば、直接ネットワークレイヤを操作してアプリケーションを起動できてしまうことがあるという点である。
【０００７】
第２の問題点は、第１の問題点とは逆にアプリケーションレイヤで利用を可能としていた場合でもネットワークレイヤにおいて利用を不可能としていた場合には、ネットワークレイヤにおけるネットワークアクセスの設定を変更しなければ実行したいアプリケーションが利用できず、設定変更の管理負荷が非常に大きいという点である。
【０００８】
本発明の目的は上記問題を解決し、アプリケーション利用制御側で保有する利用権情報に応じて、ネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実施し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能な技術を提供することにある。
【０００９】
【課題を解決するための手段】
本発明は、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御するアクセス統合制御装置であって、個別に制御されていた、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権の両者の情報を統合してネットワークアクセスの管理及び制御を行うものである。
【００１０】
本発明によるアクセス統合制御装置を用いたネットワーク利用統合制御システムでは、従来、アプリケーションの利用制御をアプリケーションレイヤ内で、ネットワークでのアクセス制御をネットワークレイヤ内でそれぞれ実施していた制御装置に対して、アプリケーションレイヤにおいて管理されているアプリケーションの利用権情報を、仲介装置であるアクセス統合制御装置を通してネットワークレイヤにおけるアクセス制御情報へ変換し、該制御情報に基づいてネットワークの設定を動的に切り替えることにより、アプリケーションレイヤにおける安全性だけではなくネットワークレイヤにおける安全性も担保し、アプリケーションレイヤからネットワークレイヤまで統一的に制御することを主要な特徴としている。
【００１１】
本発明のネットワーク利用統合制御システムは、アプリケーションを利用する権利を制御する利用権制御機能と利用権情報を格納する利用権情報格納機能を有するアプリケーション利用制御装置、ネットワークのアクセス制御を行うアクセス制御機能とアクセス制御情報を格納するアクセス制御情報格納機能を有するネットワークアクセス制御装置、アプリケーション利用制御装置とネットワークアクセス制御装置の仲介を行うアクセス解釈仲介機能を有するアクセス統合制御装置及びアプリケーション利用制御装置から制御されるアプリケーション、ネットワークアクセス制御装置から制御されるネットワークより構成される。
【００１２】
本発明のネットワーク利用統合制御システムにおける処理は、前記各機能を利用した、
（１）アプリケーション利用制御装置におけるアプリケーションの利用制御、
（２）アクセス統合制御装置における、アプリケーション、ユーザ及びネットワークの状態解釈と、ネットワークアクセス制御装置への変更内容の伝達、
（３）ネットワークアクセス制御装置におけるネットワークのアクセス制御
の一連の動作によって行われる。
【００１３】
まず（１）のアプリケーション利用制御装置におけるアプリケーションの利用制御では、利用権情報格納機能により、利用の際に必要な職位、所属組織、年齢、機器、場所、サービス種別、その他属性等のアプリケーションに関する情報と、現在ユーザがいるアドレス等のユーザの情報を取得し、利用権制御機能へ渡す。
【００１４】
次に、利用権制御機能では、アプリケーションを利用するユーザの状態監視と、ユーザによって利用されるアプリケーションの状態監視により取得されたユーザ情報及びアプリケーション情報と、利用権情報格納機能により取得された情報を基に、アプリケーション利用可否判定の為のルールデータベースを参照し、ユーザのアプリケーションに対する利用可否判定を行う。そして、アクセス統合制御装置に対してユーザ情報やアプリケーション情報並びに利用可否判定結果等の情報を送信する。
【００１５】
（２）の処理でアクセス統合制御装置は、アプリケーション利用制御装置より送信された利用権に関する情報を受信し、受信した情報をアプリケーション利用制御装置解釈手段により解釈する。
【００１６】
そしてアプリケーション利用制御装置が要求しているネットワークアクセス状態を実行する為、アクセス解釈仲介手段とネットワークアクセス制御装置解釈手段を用いて、現在のネットワークアクセス制御装置に対応したアクセス制御情報を、アクセス解釈仲介手段自身が持つルールを基に生成し、ネットワークアクセス制御装置に対して送信する。これによりアプリケーション利用制御装置が制御している利用権に基づいたネットワークアクセス制御をネットワークアクセス制御装置で行うことが可能となる。
【００１７】
次に（３）の処理でネットワークアクセス制御装置は、アクセス統合制御装置によりアクセス制御機能へ送信されたアクセス制御情報（例えば、あるアドレスからあるアドレスへの通信を許可する、あるプロトコルでの通信は許可する、あるポートでの通信は不許可とする等の情報）を取得し、アクセス制御情報格納機能により格納することによりアクセス制御情報の更新を行う。これによりアクセス統合制御装置から送信されたアクセス制御情報をネットワークアクセス制御装置に反映することが出来る。
【００１８】
アクセス制御情報の更新後、通信の要求があった場合にネットワークアクセス制御装置は、アクセス制御機能を使用してアクセス制御を行う。すなわち、アクセス制御機能では、アクセス制御情報管理機能に対してその通信に対するアクセス制御情報（例えば、アドレスでの制御情報、ポートでの制御情報、プロトコルでの制御情報等）を要求し、アクセス制御情報格納機能は、前記の様にして更新されたアクセス制御情報の返答を行う。そして、この返答に従いアクセス制御機能は、通信のアクセス制御を行う。
【００１９】
以上の様に本発明のネットワーク利用統合制御システムによれば、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権の両者の情報を統合してネットワークアクセスの管理及び制御を行うので、アプリケーション利用制御側で保有する利用権情報に応じて、ネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実施し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能である。
【００２０】
【発明の実施の形態】
以下にアプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御する一実施形態のネットワーク利用統合制御システムについて説明する。
【００２１】
本実施形態によるネットワーク利用統合制御システムは、従来、アプリケーションの利用制御をアプリケーションレイヤ内で、ネットワークでのアクセス制御をネットワークレイヤ内でそれぞれ実施していた制御装置に対して、アプリケーションレイヤにおいて管理されているアプリケーションの利用権情報を、ネットワークレイヤにおけるアクセス制御情報へ仲介装置を通して変換し、該制御情報に基づいてネットワークの設定を動的に切り替えることにより、アプリケーションレイヤにおける安全性だけではなくネットワークレイヤにおける安全性も担保し、アプリケーションレイヤからネットワークレイヤまで統一的に制御することを主要な特徴としている。
【００２２】
本実施形態のネットワーク利用統合制御システムは、アプリケーションを利用する権利を制御する利用権制御機能とその制御に必要な利用権情報を格納する利用権情報格納機能を有するアプリケーション利用制御装置、ネットワークのアクセス制御を行うアクセス制御機能とその制御に必要なアクセス制御情報を格納するアクセス制御情報格納機能を有するネットワークアクセス制御装置、アプリケーション利用制御装置とネットワークアクセス制御装置の仲介を行うアクセス解釈仲介機能を有するアクセス統合制御装置及びアプリケーション利用制御装置から制御されるアプリケーション、ネットワークアクセス制御装置から制御されるネットワークより構成されている。
【００２３】
図１は本実施形態のネットワーク利用統合制御システムの構成例を示す図である。図１に示す様に本実施形態のネットワーク利用統合制御システム１００は、アプリケーション利用制御装置１０１と、ネットワークアクセス制御装置１０２と、アクセス統合制御装置１０３とを有している。
【００２４】
アプリケーション利用制御装置１０１は、アプリケーションレイヤに属するアプリケーションに対する利用権を判定し、ユーザによるアプリケーションの利用を制御する装置である。ネットワークアクセス制御装置１０２は、ネットワークレイヤに属するネットワークアクセス権を判定し、ユーザによるネットワークへのアクセスを制御する装置である。
【００２５】
アクセス統合制御装置１０３は、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合し、ユーザによって利用されているアプリケーションによるネットワークへのアクセスを制御する装置である。
【００２６】
図１では、本実施形態におけるネットワーク利用統合制御システム１００の構成の一例を表している（アプリケーション及びネットワークは不図示）。
図８は本実施形態の各装置の構成例を示す図である。図８の様に本実施形態の各装置は、それぞれの機能に対応した各種手段を備えており、以下、各装置についての詳細説明を行う。
【００２７】
図２は本実施形態のアプリケーション利用制御装置１０１の構成例を示す図である。図２に示す様に本実施形態のアプリケーション利用制御装置１０１は、ＣＰＵ２０１と、メモリ２０２と、磁気ディスク装置２０３と、入力装置２０４と、出力装置２０５と、ＣＤ−ＲＯＭ装置２０６と、通信装置２０７とを有している。
【００２８】
ＣＰＵ２０１は、アプリケーション利用制御装置１０１全体の動作を制御する装置である。メモリ２０２は、アプリケーション利用制御装置１０１全体の動作を制御する際にその為の各種処理プログラムやデータをロードする記憶装置である。
【００２９】
磁気ディスク装置２０３は、前記各種処理プログラムやデータを格納しておく記憶装置である。入力装置２０４は、アプリケーションに対する利用制御を行う為の各種入力を行う装置である。出力装置２０５は、アプリケーションに対する利用制御に伴う各種出力を行う装置である。
【００３０】
ＣＤ−ＲＯＭ装置２０６は、前記各種処理プログラムを記録したＣＤ−ＲＯＭの内容を読み出す装置である。通信装置２０７は、利用権制御機能の実行時に、ユーザからのアプリケーションに関する要求の送受信や、アプリケーション情報やユーザ情報に関する要求の他の装置との間の送受信を行い、利用権情報格納機能の実行時に、ユーザ名やユーザ属性等のユーザ情報、或いはアプリケーション名やアプリケーション属性等のアプリケーション情報の送受信を利用権制御機能の構成手段との間で行う通信手段である。
【００３１】
またアプリケーション利用制御装置１０１は、ユーザ状態監視手段２１１と、アプリケーション状態監視手段２１２と、アプリケーション利用可否判定手段２１３と、ユーザ情報格納手段２１４と、アプリケーション情報格納手段２１５とを有している。
【００３２】
ユーザ状態監視手段２１１は、要求を行っているユーザの場所等、アプリケーションの利用要求を行っているユーザの状態を監視する手段である。アプリケーション状態監視手段２１２は、アプリケーションの動作状態やアプリケーションの動作している場所等、ユーザによって利用されるアプリケーションの状態を監視する手段である。
【００３３】
アプリケーション利用可否判定手段２１３は、前記監視により取得されたユーザ情報及びアプリケーション情報、ユーザ情報格納手段２１４及びアプリケーション情報格納手段２１５から取得できるユーザとアプリケーションの名前や属性等の複数の情報を基に、そのアプリケーションに対する当該ユーザの利用可否を判定し、通信装置２０７を用いてアクセス統合制御装置１０３へ前記ユーザ情報及びアプリケーション情報並びに利用可否判定結果を送信する手段である。
【００３４】
ユーザ情報格納手段２１４は、ユーザ名、ユーザＩＤ、ユーザ職責、ユーザが現在いる場所等のユーザに関する情報を格納する手段である。アプリケーション情報格納手段２１５は、アプリケーション名、アプリケーションが提供する機能、アプリケーションが現在動作している場所、アプリケーションを利用可能なユーザ一覧等のアプリケーションに関する情報を格納する手段である。
【００３５】
アプリケーション利用制御装置１０１をユーザ状態監視手段２１１、アプリケーション状態監視手段２１２、アプリケーション利用可否判定手段２１３、ユーザ情報格納手段２１４及びアプリケーション情報格納手段２１５として機能させる為のプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録され磁気ディスク等に格納された後、メモリにロードされて実行されるものとする。なお前記プログラムを記録する記録媒体はＣＤ−ＲＯＭ以外の他の記録媒体でも良い。また前記プログラムを当該記録媒体から情報処理装置にインストールして使用しても良いし、ネットワークを通じて当該記録媒体にアクセスして前記プログラムを使用するものとしても良い。
【００３６】
図２のアプリケーション利用制御装置１０１は、アプリケーションレイヤにおけるアプリケーション利用可否判定を主に行う装置であり、利用権制御機能及び利用権情報格納機能を持っている。
【００３７】
図２の様にアプリケーション利用制御装置１０１の利用権制御機能は、ユーザ状態監視手段２１１、アプリケーション状態監視手段２１２、アプリケーション利用可否判定手段２１３より構成されている。また利用権情報格納機能は、アプリケーション利用制御装置１０１において利用可否判定やユーザとアプリケーションの監視の際に必要となる情報、例えばアプリケーション利用が可能なユーザの属性やアプリケーション利用が可能なユーザ一覧等の情報を格納する機能であり、ユーザ情報格納手段２１４及びアプリケーション情報格納手段２１５より構成されている。なお、前記機能における送受信処理は通信装置２０７を用いて行われるものとする。
【００３８】
また図２において、アプリケーション利用制御装置１０１は、１箇所で複数のアプリケーションの情報を管理しているが、この情報はアプリケーション毎に分散していることも可能である。
【００３９】
図３は本実施形態のネットワークアクセス制御装置１０２の構成例を示す図である。図３に示す様に本実施形態のネットワークアクセス制御装置１０２は、ＣＰＵ３０１と、メモリ３０２と、磁気ディスク装置３０３と、入力装置３０４と、出力装置３０５と、ＣＤ−ＲＯＭ装置３０６と、通信装置３０７とを有している。
【００４０】
ＣＰＵ３０１は、ネットワークアクセス制御装置１０２全体の動作を制御する装置である。メモリ３０２は、ネットワークアクセス制御装置１０２全体の動作を制御する際にその為の各種処理プログラムやデータをロードする記憶装置である。
【００４１】
磁気ディスク装置３０３は、前記各種処理プログラムやデータを格納しておく記憶装置である。入力装置３０４は、ネットワークに対するアクセス制御を行う為の各種入力を行う装置である。出力装置３０５は、ネットワークに対するアクセス制御に伴う各種出力を行う装置である。
【００４２】
ＣＤ−ＲＯＭ装置３０６は、前記各種処理プログラムを記録したＣＤ−ＲＯＭの内容を読み出す装置である。通信装置３０７は、ネットワークアクセス情報格納手段３１３に保持している情報の送受信を他の装置との間で行う通信手段である。
【００４３】
またネットワークアクセス制御装置１０２は、ネットワークアクセス可否判定手段３１１と、ネットワーク状態監視手段３１２と、ネットワークアクセス情報格納手段３１３とを有している。
【００４４】
ネットワークアクセス可否判定手段３１１は、アクセス統合制御装置１０３から受信した情報によって更新されているアクセス制御情報を参照し、通信によるアクセスを許すアドレス、ポートやプロトコル等の複数の条件によってネットワークへのアクセスの可否を判定する手段である。
【００４５】
ネットワーク状態監視手段３１２は、現在どのアドレスからどのアドレスへの通信を行っているか、どのポートで通信を行っているか等のネットワークにおける通信の状態を監視する手段である。ネットワークアクセス情報格納手段３１３は、どのアドレスからどのアドレスへのアクセスは可能であるか等のアクセス情報、どこのポートへのアクセスなら許可するか等のポートのアクセス情報、どのプロトコルでの通信なら許可するか等のプロトコルのアクセス情報といった、ネットワークアクセス制御に必要なアクセス制御情報を格納する手段であり、通信装置３０７を用いてアクセス統合制御装置１０３へアクセス制御情報を送信する処理や、通信装置３０７を用いてアクセス統合制御装置１０３から受信したアクセス制御情報をネットワークアクセス制御装置１０２内に格納してアクセス制御情報を更新する処理を行う手段である。
【００４６】
ネットワークアクセス制御装置１０２をネットワークアクセス可否判定手段３１１、ネットワーク状態監視手段３１２及びネットワークアクセス情報格納手段３１３として機能させる為のプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録され磁気ディスク等に格納された後、メモリにロードされて実行されるものとする。なお前記プログラムを記録する記録媒体はＣＤ−ＲＯＭ以外の他の記録媒体でも良い。また前記プログラムを当該記録媒体から情報処理装置にインストールして使用しても良いし、ネットワークを通じて当該記録媒体にアクセスして前記プログラムを使用するものとしても良い。
【００４７】
図３のネットワークアクセス制御装置１０２は、ネットワークレイヤにおける通信のアクセス制御を主に行う装置であり、アクセス制御機能及びアクセス制御情報格納機能を持っている。
【００４８】
図３の様にネットワークアクセス制御装置１０２のアクセス制御機能は、ネットワークアクセスの可否判定を行うネットワークアクセス可否判定手段３１１、ネットワークの状態を監視するネットワーク状態監視手段３１２より構成されている。またアクセス制御情報格納機能は、アクセス制御機能の制御の際に必要となる情報を格納する機能であり、ネットワークアクセス情報格納手段３１３により構成される。なお前記機能における送受信処理は通信装置３０７を用いて行われるものとする。
【００４９】
図４は本実施形態のアクセス統合制御装置１０３の構成例を示す図である。図４に示す様に本実施形態のアクセス統合制御装置１０３は、ＣＰＵ４０１と、メモリ４０２と、磁気ディスク装置４０３と、入力装置４０４と、出力装置４０５と、ＣＤ−ＲＯＭ装置４０６と、通信装置４０７とを有している。
【００５０】
ＣＰＵ４０１は、アクセス統合制御装置１０３全体の動作を制御する装置である。メモリ４０２は、アクセス統合制御装置１０３全体の動作を制御する際にその為の各種処理プログラムやデータをロードする記憶装置である。
【００５１】
磁気ディスク装置４０３は、前記各種処理プログラムやデータを格納しておく記憶装置である。入力装置４０４は、アプリケーションに対する利用権とネットワーク対するアクセス権を統合したアクセス制御を行う為の各種入力を行う装置である。
【００５２】
出力装置４０５は、前記アクセス制御に伴う各種出力を行う装置である。ＣＤ−ＲＯＭ装置４０６は、前記各種処理プログラムを記録したＣＤ−ＲＯＭの内容を読み出す装置である。通信装置４０７は、アプリケーション利用制御装置１０１やネットワークアクセス制御装置１０２との通信を行う通信手段である。
【００５３】
またアクセス統合制御装置１０３は、アプリケーション利用制御装置解釈手段４１１と、ネットワークアクセス制御装置解釈手段４１２と、アクセス解釈仲介手段４１３とを有している。
【００５４】
アプリケーション利用制御装置解釈手段４１１は、通信装置４０７を用いてアプリケーション利用制御装置１０１より受信したユーザ情報及びアプリケーション情報を基に、アプリケーション利用制御装置１０１でのアプリケーションに対する利用制御の内容を解釈する手段である。
【００５５】
ネットワークアクセス制御装置解釈手段４１２は、通信装置４０７を用いてネットワークアクセス制御装置１０２より受信したアクセス制御情報を基に、ネットワークアクセス制御装置１０２でのネットワークアクセス制御の内容を解釈する手段である。
【００５６】
アクセス解釈仲介手段４１３は、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とを基に、アプリケーション利用制御装置１０１で要求されているネットワークアクセス制御を行う為のアクセス制御情報を生成し、通信装置４０７を用いてネットワークアクセス制御装置１０２へ前記生成したアクセス制御情報を送信する手段である。
【００５７】
アクセス統合制御装置１０３をアプリケーション利用制御装置解釈手段４１１、ネットワークアクセス制御装置解釈手段４１２及びアクセス解釈仲介手段４１３として機能させる為のプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録され磁気ディスク等に格納された後、メモリにロードされて実行されるものとする。なお前記プログラムを記録する記録媒体はＣＤ−ＲＯＭ以外の他の記録媒体でも良い。また前記プログラムを当該記録媒体から情報処理装置にインストールして使用しても良いし、ネットワークを通じて当該記録媒体にアクセスして前記プログラムを使用するものとしても良い。
【００５８】
図４のアクセス統合制御装置１０３は、本発明により新たに備えられた装置であり、主にアプリケーション利用制御装置１０１の持つ利用権情報を基に、ネットワークアクセス制御装置１０２で保持するアクセス制御情報を更新する動作を行う。
【００５９】
アクセス統合制御装置１０３は、アクセス解釈仲介機能を持ち、そのアクセス解釈仲介機能は、アプリケーション利用制御装置解釈手段４１１、ネットワークアクセス制御装置解釈手段４１２、アクセス解釈仲介手段４１３より構成されている。なお前記機能における送受信処理は通信装置４０７を用いて行われるものとする。
【００６０】
アプリケーション利用制御装置解釈手段４１１は、通信装置４０７を用いてアプリケーション利用制御装置１０１よりユーザ情報（例えばユーザ名、ユーザ属性、ユーザが現在使用している情報処理装置のアドレス等）やアプリケーション情報（例えばアプリケーション名、アプリケーションの提供するサービス名、アプリケーションの動作している情報処理装置のアドレス等）を取得し、取得したユーザ情報とアプリケーション情報を基に、アプリケーションとユーザがアプリケーション利用制御装置１０１を通してどの様な状態でアクセス統合制御装置１０３に要求を行っているのかを解釈する。なお、この手段では、解釈を行う為に各アプリケーション利用制御装置１０１に関するアプリケーション利用情報フォーマット等のデータベースを保持しているものとする。
【００６１】
ネットワークアクセス制御装置解釈手段４１２は、通信装置４０７を用いてネットワークアクセス制御装置１０２よりネットワーク情報（例えば、通信を行っているアドレス情報、通信を行っているポート情報、通信を行っているプロトコル情報、通信を遮断しているアドレス情報等）を取得し、取得したネットワーク情報を基に、ネットワークがどの様な状態にあるのかを解釈する。なお、この手段では、解釈を行う為に各ネットワークアクセス制御装置１０２に関するアクセス制御情報フォーマット等のデータベースを保持しているものとする。
【００６２】
アクセス解釈仲介手段４１３は、アプリケーション利用制御装置解釈手段４１１が解釈したアプリケーションやユーザの状態と、ネットワークアクセス制御装置解釈手段４１２が解釈したネットワークの状態を基に、どの様な変更をネットワークアクセス制御装置１０２に行うか判断し、判断した変更をネットワークアクセス制御装置１０２のアクセス制御情報格納機能に対して実行する。なお、この手段では、どの様な変更を行うか判断する為のルールを保持しているものとする（このルールは例えば「特定の場所からの特定のユーザからの要求の場合ならば特定のアドレスへの通信を許して良い」等が記述されているものとする）。
【００６３】
この様に、アプリケーション及びユーザ並びにネットワークのそれぞれの状態を解釈し、アクセス解釈仲介手段４１３を用いてアクセス制御情報の変更内容を判断し、実際にネットワークアクセス制御装置１０２に伝えることにより、ネットワークアクセス制御装置１０２における動的なアクセス制御が可能となる。
【００６４】
本実施形態のネットワーク利用統合制御システム１００における処理は、前出の各機能を利用した、
（１）アプリケーション利用制御装置１０１におけるアプリケーションの利用制御
（２）アクセス統合制御装置１０３における、アプリケーション、ユーザ及びネットワークの状態解釈と、ネットワークアクセス制御装置１０２への変更内容の伝達
（３）ネットワークアクセス制御装置１０２におけるネットワークのアクセス制御
の一連の動作によって行われる。以下、これらの一連の動作について説明する。
【００６５】
（１）アプリケーション利用制御装置１０１におけるアプリケーションの利用制御
図５は本実施形態のアプリケーション利用制御装置１０１の制御シーケンス例を示す図である。図５では、アプリケーション利用制御装置１０１におけるアプリケーションの利用制御のシーケンスの一例を表している。なお、ユーザのアプリケーションに関する利用権情報は、利用権情報格納機能のアプリケーション情報格納手段２１５により予め格納されているものとする。
【００６６】
利用権制御機能からの情報要求に対して利用権情報格納機能は、アプリケーションに関する利用権情報（例えば、利用の際に必要な職位、所属組織、年齢、機器、場所、サービス種別、その他属性等）をアプリケーション情報格納手段２１５より取得し、ユーザの情報（例えば、現在ユーザがいるアドレス等）をユーザ情報格納手段２１４より取得して利用権制御機能へ返す。
【００６７】
次に、利用権制御機能のアプリケーション利用可否判定手段２１３を用いてユーザのアプリケーションに関する利用可否判定を行う。この際の可否判定の基準として、ユーザ状態監視手段２１１の情報（例えば、現在ユーザは何処のアドレスよりアプリケーションを利用しようとしているか、どのアプリケーションを利用しようとしているか等）、アプリケーション状態監視手段２１２の情報（例えば、アプリケーションは現在動作可能か、アプリケーションはどのアドレスで動作しているか等）、利用権情報格納機能より取得した情報（例えば、アプリケーションを利用するにはユーザがどの様な属性が必要か、アプリケーションの提供している機能は何か等）を使用する。
【００６８】
これらの情報とアプリケーション利用可否判定手段２１３が持つアプリケーション利用可否判定の為のルールデータベースを参照し、ユーザのアプリケーションに対する利用可否判定を行う。この後、アクセス統合制御装置１０３に対してユーザ情報やアプリケーション情報等の情報を送信する。
【００６９】
（２）アクセス統合制御装置１０３における、アプリケーション、ユーザ及びネットワークの状態解釈と、ネットワークアクセス制御装置１０２への変更内容の伝達
図７は本実施形態のアクセス統合制御装置１０３の制御シーケンスを示す図である。図７では、アプリケーション利用制御装置１０１の制御情報に基づき、ネットワークアクセス制御装置１０２の制御情報を更新し、両者間で制御情報の一貫性を保持させるアクセス統合制御装置１０３の制御シーケンスの一例を表している。
【００７０】
アプリケーション利用制御装置１０１は、利用権制御機能より利用権に関する情報（例えば、アプリケーション利用可否判定手段２１３の結果、アプリケーション状態監視手段２１２が監視しているアプリケーションの状態情報、ユーザ状態監視手段２１１が監視しているユーザの状態情報等）をアクセス統合制御装置１０３に対して通信装置２０７を用いて送信する。
【００７１】
アクセス統合制御装置１０３は、アプリケーション利用制御装置１０１より送信された利用権に関する情報を通信装置４０７により受信し、受信した情報をアプリケーション利用制御装置解釈手段４１１により解釈する。
【００７２】
そしてアプリケーション利用制御装置１０１が要求しているネットワークアクセス状態を実行する為、アクセス解釈仲介手段４１３とネットワークアクセス制御装置解釈手段４１２を用いて、現在のネットワークアクセス制御装置１０２に対応したアクセス制御情報を、アクセス解釈仲介手段４１３自身が持つルールを基に生成する。
【００７３】
アクセス統合制御装置１０３は、前記生成したアクセス制御情報を、通信装置４０７を用いてネットワークアクセス制御装置１０２に対して送信する。これによりアプリケーション利用制御装置１０１が制御している利用権情報に基づいたネットワークアクセス制御をネットワークアクセス制御装置１０２で行うことが可能となる。
【００７４】
（３）ネットワークアクセス制御装置１０２におけるネットワークのアクセス制御
図６は本実施形態のネットワークアクセス制御装置１０２の制御シーケンス例を示す図である。図６では、ネットワークアクセス制御装置１０２におけるネットワークアクセス制御のシーケンスの一例を表している。
【００７５】
ネットワークアクセス制御装置１０２は、アクセス制御機能を使用してアクセス制御を行う。ある通信の要求があった場合、アクセス制御機能は、アクセス制御情報管理機能に対してその通信に対するアクセス制御情報（例えば、アドレスでの制御情報、ポートでの制御情報、プロトコルでの制御情報等）を要求し、アクセス制御情報格納機能はアクセス制御情報の返答を行う。この返答に従いアクセス制御機能は通信のアクセス制御を行う。この基本動作は、上記（２）が行われた後も、行われる前と同様にして実行される。
【００７６】
（２）のアクセス統合制御装置１０３によりアクセス制御機能へ送信されたアクセス制御情報（例えば、あるアドレスからあるアドレスへの通信を許可する、あるプロトコルでの通信は許可する、あるポートでの通信は不許可とする等）を通信装置３０７により取得する。
【００７７】
アクセス制御機能は、前記取得した情報を、ネットワークアクセス可否判定手段３１１を用いてアクセス制御情報格納機能に対して送信する。アクセス制御情報格納機能は、送信された情報をネットワークアクセス情報格納手段３１３により格納し、アクセス制御情報の更新を行う。これによりアクセス統合制御装置１０３から送信されたアクセス制御情報をネットワークアクセス制御装置１０２に反映することが出来る。
【００７８】
次に、本実施形態のネットワーク利用統合制御システム１００において、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御する際の各装置の処理手順について説明する。
【００７９】
図９は本実施形態のアプリケーション利用制御装置１０１の処理手順を示すフローチャートである。ステップ９０１でアプリケーション利用制御装置１０１は、ユーザの使用している情報処理装置からのアプリケーションの利用要求を通信装置２０７で受信しているかどうかを調べ、アプリケーションの利用要求を受信している場合にはステップ９０２へ進む。
【００８０】
ステップ９０２でユーザ状態監視手段２１１は、前記受信したアプリケーション利用要求のヘッダに付加されている送信元アドレスを読み出して、その要求を行っているユーザの情報処理装置に割り当てられているネットワークアドレスを取得し、その取得したアドレスをユーザが現在いる場所を示す情報としてユーザ情報格納手段２１４により磁気ディスク装置２０３中のユーザ情報内に格納する。
【００８１】
ステップ９０３でアプリケーション状態監視手段２１２は、前記受信したアプリケーション利用要求によって利用要求の行われているアプリケーションについて、当該アプリケーションが動作している情報処理装置へアクセスして動作中であるかどうかを確認した後、前記アクセスした情報処理装置のアドレスをアプリケーションが現在動作している場所を示す情報としてアプリケーション情報格納手段２１５により磁気ディスク装置２０３中のアプリケーション情報内に格納する。なお、各アプリケーションがどの情報処理装置で動作するかは予め定められているものとする。
【００８２】
ステップ９０４でアプリケーション利用可否判定手段２１３は、ユーザ情報格納手段２１４により磁気ディスク装置２０３へアクセスし、前記アプリケーション利用要求を行ったユーザについて、ユーザの属性を示す情報やユーザが現在いる場所を示す情報等、そのユーザに関する情報を磁気ディスク装置２０３から読み出す。
【００８３】
ステップ９０５でアプリケーション利用可否判定手段２１３は、アプリケーション情報格納手段２１５により磁気ディスク装置２０３へアクセスし、前記アプリケーション利用要求によって利用要求の行われているアプリケーションについて、アプリケーションを利用するのに必要なユーザの属性やアプリケーションが現在動作している場所等、そのアプリケーションの利用条件を示すアプリケーション情報を磁気ディスク装置２０３から読み出す。
【００８４】
ステップ９０６でアプリケーション利用可否判定手段２１３は、前記読み出したユーザ情報とアプリケーション情報とを比較し、そのユーザの属性等の情報が当該アプリケーションの利用条件を満たすかどうかを調べることによって、そのアプリケーションに対する当該ユーザの利用可否を判定し、その判定結果をメモリ２０２に保持する。
【００８５】
ステップ９０７でアプリケーション利用可否判定手段２１３は、前記読み出した、ユーザが現在いる場所を示す情報を含むユーザ情報及びアプリケーションが現在動作している場所の情報を含むアプリケーション情報、並びに前記判定の結果を示す利用可否判定結果を通信装置２０７によりアクセス統合制御装置１０３へ送信し、アプリケーション利用制御装置１０１で行われた利用可否判定結果に応じてネットワークに対するアクセス制御を実行する様にアクセス統合制御装置１０３に依頼する。
【００８６】
図１０は本実施形態のアクセス統合制御装置１０３の処理手順を示すフローチャートである。ステップ１００１でアクセス統合制御装置１０３は、アプリケーションレイヤでの利用可否判定結果に応じたネットワークレイヤでのアクセス制御の実行依頼として、アプリケーション利用制御装置１０１で保持しているユーザ情報及びアプリケーション情報並びにアプリケーション利用制御装置１０１で行われた利用可否判定の結果を通信装置４０７により受信しているかどうかを調べ、前記依頼を受信している場合にはステップ１００２へ進む。
【００８７】
ステップ１００２でアプリケーション利用制御装置解釈手段４１１は、前記受信したユーザ情報及びアプリケーション情報並びに利用可否判定結果について、アプリケーション利用制御装置１０１で用いられている情報のフォーマットを示すアプリケーション利用情報フォーマットを参照して読み出し、アプリケーションに対するアプリケーション利用制御装置１０１での利用制御の内容を解釈する。
【００８８】
その際、アプリケーション利用制御装置１０１より受信したユーザ情報及びアプリケーション情報を解釈し、ユーザの使用している情報処理装置のアドレスとアプリケーションの動作している情報処理装置のアドレスとを読み出してメモリ４０２に保持する。
【００８９】
例えばアプリケーション利用制御装置１０１より受信したユーザ情報やアプリケーション情報中に「USER-running:192.168.0.1」や「AP1 running on 192.168.0.2」等の情報が含まれている場合、これら情報を解釈して、ユーザの使用している情報処理装置のＩＰ(Internet Protocol)アドレス「192.168.0.1」や、アプリケーションの動作している情報処理装置のＩＰアドレス「192.168.0.2」とを読み出してメモリ４０２に保持する。
【００９０】
ステップ１００３でネットワークアクセス制御装置解釈手段４１２は、通信装置４０７を用いてネットワークアクセス制御装置１０２に対してアクセス制御情報の送信を要求する。
【００９１】
図１１は本実施形態のネットワークアクセス制御装置１０２のアクセス制御情報送受信処理の処理手順を示すフローチャートである。ステップ１１０１でネットワークアクセス制御装置１０２は、アクセス制御情報の送信要求を、通信装置３０７経由でアクセス統合制御装置１０３から受信しているかどうかを調べ、前記送信要求を受信している場合にはステップ１１０２へ進む。
【００９２】
ステップ１１０２でネットワークアクセス制御装置１０２は、ネットワークアクセス情報格納手段３１３により、どのアドレスからどのアドレスへのアクセスは可能であるか等のアクセス情報、どこのポートへのアクセスなら許可するか等のポートのアクセス情報、どのプロトコルでの通信なら許可するか等のプロトコルのアクセス情報といった、ネットワークアクセス制御に必要なアクセス制御情報を読み出し、ステップ１１０３では、前記読み出したアクセス制御情報を、通信装置３０７を用いてアクセス統合制御装置１０３へ送信する。
【００９３】
図１０のステップ１００３でアクセス統合制御装置１０３のネットワークアクセス制御装置解釈手段４１２は、ネットワークアクセス制御装置１０２から送信されたアクセス制御情報を受信し、ネットワークアクセス制御装置１０２で用いられている情報のフォーマットを示すアクセス制御情報フォーマットを参照してアクセス制御情報を読み出し、ネットワークアクセス制御装置１０２でのネットワークアクセス制御の内容を解釈する。
【００９４】
その際、ステップ１００２でメモリ４０２に保持したユーザのアドレスからアプリケーションのアドレスへの通信がネットワークアクセス制御装置１０２で許可されているかどうかを判定する。
【００９５】
例えばネットワークアクセス制御装置１０２より受信したアクセス制御情報が「if (source: 192.168.0.1) then (Allow 192.168.0.4)」である場合、ネットワークアクセス制御装置１０２ではアドレス「192.168.0.1」からアドレス「192.168.0.4」への通信のみが許可されていると解釈した後、メモリ４０２に保持したユーザの使用している情報処理装置のＩＰアドレス「192.168.0.1」及びアプリケーションの動作している情報処理装置のＩＰアドレス「192.168.0.2」と比較し、ユーザのアドレス「192.168.0.1」からアプリケーションのアドレス「192.168.0.2」への通信はネットワークアクセス制御装置１０２で許可されていないものとして判定する。
【００９６】
ステップ１００４でアクセス解釈仲介手段４１３は、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とを比較して、アプリケーションに対する利用制御の内容とネットワークアクセス制御の内容との間に矛盾が生じているかどうかを判定し、矛盾がある場合にはステップ１００５へ進む。
【００９７】
すなわち、ステップ１００１で受信したアプリケーション利用制御装置１０１での利用可否判定結果が当該ユーザによるアプリケーションの利用を許可するものであると共に、そのユーザのアドレスからアプリケーションのアドレスへの通信がネットワークアクセス制御装置１０２で許可されていない場合か、アプリケーション利用制御装置１０１での利用可否判定結果が当該ユーザによるアプリケーションの利用を許可しないものであると共に、そのユーザのアドレスからアプリケーションのアドレスへの通信がネットワークアクセス制御装置１０２で許可されている場合のいずれかの際には、前記矛盾が生じているものと判定する。
【００９８】
ステップ１００６でアクセス解釈仲介手段４１３は、そのユーザのアドレスからアプリケーションのアドレスへの通信を許可する為のアクセス制御情報を、アクセス統合制御装置１０３で保持しているルール情報に従って生成する。
【００９９】
すなわち、アプリケーション利用制御装置解釈手段４１１によって解釈され、メモリ４０２に保持されている情報の中からユーザのアドレスとアプリケーションのアドレスとを抽出し、ネットワークアクセス制御装置１０２で用いられているフォーマットに合わせてそれらのアドレスを設定したアクセス制御情報を生成する。例えば、ユーザのアドレス「192.168.0.1」とアプリケーションのアドレス「192.168.0.2」を抽出して、「if (source: 192.168.0.1) then (Allow 192.168.0.2)」等のアクセス制御情報を生成する。
【０１００】
一方、ステップ１００７では、そのユーザのアドレスからアプリケーションのアドレスへの通信を遮断する為のアクセス制御情報を生成する。これは、そのユーザのアドレスからアプリケーションのアドレスへの通信を許可しているアクセス制御情報の削除を指示する制御情報であるものとするが、通信を遮断する為のアクセス制御情報を生成するものとしても良い。
【０１０１】
ステップ１００８でアクセス解釈仲介手段４１３は、通信装置４０７を用いてネットワークアクセス制御装置１０２へ前記生成したアクセス制御情報を送信し、アクセス制御情報の更新をネットワークアクセス制御装置１０２に指示する。
【０１０２】
図１１のステップ１１０４でネットワークアクセス制御装置１０２は、アクセス制御情報の更新指示を、通信装置３０７経由でアクセス統合制御装置１０３から受信しているかどうかを調べ、前記更新指示を受信している場合にはステップ１１０５へ進む。
【０１０３】
ステップ１１０５でネットワークアクセス制御装置１０２は、前記更新指示として受信したアクセス制御情報を、ネットワークアクセス情報格納手段３１３により磁気ディスク装置３０３へ格納し、アクセス制御情報の更新を行う。そしてステップ１１０６では、アクセス制御情報の更新が終了したことを示す応答を生成し、通信装置３０７を用いてアクセス統合制御装置１０３へ送信する。
【０１０４】
図１０のステップ１００９でアクセス統合制御装置１０３のアクセス解釈仲介手段４１３は、アクセス制御情報の更新指示に対する応答をネットワークアクセス制御装置１０２から受信しているかどうかを調べ、その応答を受信している場合にはステップ１０１０へ進む。
【０１０５】
ステップ１０１０でアクセス解釈仲介手段４１３は、アプリケーション利用制御装置１０１での利用可否判定結果に応じたネットワークアクセス制御が行われたことを示す応答を生成し、通信装置４０７によりアプリケーション利用制御装置１０１へ送信する。
【０１０６】
図９のステップ９０８でアプリケーション利用制御装置１０１のアプリケーション利用可否判定手段２１３は、利用可否判定結果に応じたネットワークアクセス制御依頼に対する応答をアクセス統合制御装置１０３から受信しているかどうかを調べ、その応答を受信している場合にはステップ９０９へ進む。
【０１０７】
ステップ９０９でアプリケーション利用可否判定手段２１３は、ステップ９０６でメモリ２０２に保持した利用可否判定結果を参照して、前記アプリケーションに対する当該ユーザの利用が許可されているかどうかを調べ、ユーザの利用が許可されている場合にはステップ９１０へ進み、そうでない場合にはステップ９１１へ進む。
【０１０８】
ステップ９１０でアプリケーション利用可否判定手段２１３は、要求されたアプリケーションの利用が許可されたことを示す応答を生成して、その利用要求を送信したユーザ側の情報処理装置へ送信し、一方、ステップ９１１では、要求されたアプリケーションの利用が許可されなかったことを示す応答を生成して、その利用要求を送信したユーザ側の情報処理装置へ送信する。
【０１０９】
利用要求を行ったアプリケーションの利用が許可された場合、ユーザ側の情報処理装置では、そのアプリケーションの動作している情報処理装置との通信をネットワークアクセス制御装置１０２経由で行う。
【０１１０】
図１２は本実施形態のネットワークアクセス制御装置１０２でのアクセス制御処理の処理手順を示すフローチャートである。ステップ１２０１でネットワークアクセス制御装置１０２のネットワーク状態監視手段３１２は、ネットワークの通信状態を監視してユーザ側の情報処理装置からアプリケーションの動作している情報処理装置への通信要求を受信しているかどうかを調べ、前記通信要求を受信している場合にはステップ１２０２へ進む。
【０１１１】
ステップ１２０２でネットワークアクセス可否判定手段３１１は、ネットワークアクセス情報格納手段３１３により、アクセス統合制御装置１０３から受信した情報によって更新されているアクセス制御情報を読み出す。
【０１１２】
ステップ１２０３では、ステップ１２０１で受信した通信要求のアドレスと、ステップ１２０２で読み出したアクセス制御情報中に示されている、通信によるアクセスを許すアドレス、ポートやプロトコル等の複数の条件とを比較して、そのユーザ側の情報処理装置によるネットワークへのアクセスの可否を判定し、そのユーザ側の情報処理装置による通信が許可されていると判定された場合にはステップ１２０４へ進み、通信が許可されていないと判定された場合にはステップ１２０５へ進む。
【０１１３】
ステップ１２０４でネットワークアクセス可否判定手段３１１は、ステップ１２０１で通信要求と共に受信しているデータを、そのヘッダに示された送信先のアドレスへ送出し、一方ステップ１２０５では、前記受信しているデータを破棄してその通信を遮断する。
【０１１４】
前記の様に本実施形態のネットワーク利用統合制御システム１００では、アプリケーション利用制御装置１０１のユーザ情報及びアプリケーション情報並びに利用可否判定結果から成る利用権情報と、ネットワークアクセス制御装置１０２のネットワークに対するアクセス制御情報から成るアクセス権情報の両者の情報を統合してネットワークアクセスの管理及び制御を行うので、アプリケーション利用制御側で保有する利用権情報に応じてネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実行し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能である。
【０１１５】
次に、本実施形態のネットワーク利用統合制御システム１００における、具体的な処理例について説明する。まずこの処理例を説明する為に必要な前提条件を以下に示す（＜＞内は条件の簡単な説明）。なお、以下の条件内にあるＡＰとはアプリケーションの略である。
アプリケーション利用制御装置１０１は、この処理例において以下の様なアプリケーション情報とユーザ情報を持っているものとする。
【０１１６】
■アプリケーション利用制御装置１０１
−利用権情報格納機能が持つ情報
−アプリケーション情報格納手段２１５
「if (USER-Attr:President or Chief) then (use AP1, AP2)」
＜ユーザがPresidentかChiefの属性を持つ場合AP1、AP2を利用できる＞
「if (USER-Attr:Staff) then (use AP3)」
＜ユーザがStaffの属性を持つ場合AP3を利用できる＞
「AP1 running on 192.168.0.2」
＜AP1はアドレス192.168.0.2上で動作している＞
「AP2 running on 192.168.0.3」
「AP3 running on 192.168.0.4」
−ユーザ情報格納手段２１４
「USER-NAME:USER-X」
「USER-ID:user0000000001」
「USER-Attr:Chief」
「USER-running:192.168.0.1」
【０１１７】
前記の様に、この処理例でアプリケーション利用制御装置１０１のアプリケーション情報格納手段２１５は、アプリケーションの利用条件を示す情報として「if (USER-Attr:President or Chief) then (use AP1, AP2)」と「if (USER-Attr:Staff) then (use AP3)」を格納しており、これらの情報は、ユーザがPresidentかChiefの属性を持つ場合にアプリケーションのAP1、AP2を利用することが可能であり、またユーザがStaffの属性を持つ場合にアプリケーションのAP3を利用できることを表している。
【０１１８】
また、アプリケーションの動作している場所を示す情報として「AP1 running on 192.168.0.2」等を格納しており、これはアプリケーションのAP1がアドレス192.168.0.2の情報処理装置上で動作していることを表している。
【０１１９】
さらにアプリケーション利用制御装置１０１のユーザ情報格納手段２１４は、ユーザ情報として「USER-NAME:USER-X」、「USER-ID:user0000000001」、「USER-Attr:Chief」、「USER-running:192.168.0.1」を格納しており、これらの情報は、ユーザＩＤが「user0000000001」であるユーザ「USER-X」のユーザ属性は「Chief」であり、アドレス「192.168.0.1」の情報処理装置からアクセス中であることを表している。
また、ネットワークアクセス制御装置１０２は、この処理例において以下の様なアクセス制御情報とユーザ情報を持っているものとする。
【０１２０】
■ネットワークアクセス制御装置１０２
−アクセス制御情報格納機能が持つ情報
−ネットワークアクセス情報格納手段３１３
−「if (source: 192.168.0.1) then (Allow 192.168.0.4)」
＜通信要求元アドレスが192.168.0.1なら192.168.0.4への通信は許可する＞
【０１２１】
前記の様に、この処理例でネットワークアクセス制御装置１０２のネットワークアクセス情報格納手段３１３は、ネットワークへのアクセスを制御する為のアクセス制御情報として「if (source: 192.168.0.1) then (Allow 192.168.0.4)」を格納しており、このアクセス制御情報は、ネットワークアクセス制御装置１０２に対して通信要求が行われた場合に、その通信要求元アドレスが「192.168.0.1」ならばアドレス「192.168.0.4」への通信を許可することを表している。
【０１２２】
そして、アクセス統合制御装置１０３は、この処理例において以下の様な、アプリケーション利用制御装置１０１からの要求を解釈する為の情報と、ネットワークアクセス制御装置１０２によるネットワークアクセス制御の状態を解釈する為の情報と、ネットワークに対するアクセス制御情報を変更する為のルール情報を持っているものとする。
【０１２３】
■アクセス統合制御装置１０３
−アクセス解釈仲介機能が持つ情報
−アプリケーション利用制御装置解釈手段４１１
「USER-running = 現在のユーザの場所」
「USER-Attr = ユーザの属性」
「USER-ID = ユーザのＩＤ」
「USER-NAME = ユーザの名前」
「running on X = アプリケーションが動作している場所」
「if (X) then (Y) = XならばYが利用できる」
−ネットワークアクセス制御装置解釈手段４１２
「if (source X) then (Allow Y) = 要求元がXならばYへのアクセスを許す」
−アクセス解釈仲介手段４１３
「rule 1. アプリケーション利用制御装置より取得したアプリケーション情報より［アプリケーションが動作している場所］と［現在のユーザの場所］を抽出」
「rule 2. 1により取得した［アプリケーションが動作している場所］をＡ、［現在のユーザの場所］をＢとし、ネットワークアクセス制御装置［要求元がXならばYへのアクセスを許す］に対してX=B、Y=Aとする」
【０１２４】
前記の様に、この処理例でアクセス統合制御装置１０３のアプリケーション利用制御装置解釈手段４１１は、アプリケーション利用制御装置１０１からの要求を解釈する為のフォーマット情報として「USER-running = 現在のユーザの場所」、「USER-Attr = ユーザの属性」、「USER-ID = ユーザのＩＤ」、「USER-NAME = ユーザの名前」、「running on X = アプリケーションが動作している場所」、「if (X) then (Y) = XならばYが利用できる」を格納しており、これらの情報は、アプリケーション利用制御装置１０１からのユーザ情報及びアプリケーション情報を受信した場合に、それらの情報中の「USER-running」に続く部分を、ユーザが現在使用している情報処理装置のアドレスを示す情報として解釈し、以下同様に「USER-Attr」に続く部分をユーザの属性、「USER-ID」に続く部分をユーザのＩＤ、「USER-NAME」に続く部分をユーザの名前、「running on X」に続く部分をアプリケーションが現在動作している情報処理装置のアドレス、「if (X) then (Y)」をアプリケーションの利用条件として解釈することを表している。
【０１２５】
またアクセス統合制御装置１０３のネットワークアクセス制御装置解釈手段４１２は、ネットワークアクセス制御装置１０２によるネットワークアクセス制御の状態を解釈する為のフォーマット情報として、「if (source X) then (Allow Y) = 要求元がXならばYへのアクセスを許す」を格納しており、この情報は、ネットワークアクセス制御装置１０２からアクセス制御情報を受信した場合に、その情報中の「if (source X) then (Allow Y)」の部分を、要求元のアドレスがXならばアドレスYへの通信を許可する制御をネットワークアクセス制御装置１０２で行っているものとして解釈することを表している。
【０１２６】
さらにアクセス統合制御装置１０３のアクセス解釈仲介手段４１３は、ユーザに対してアプリケーションの使用を許可する際にネットワークに対するアクセス制御情報を変更する為のルール情報として、「rule 1.」及び「rule 2.」を格納しており、この情報は、アプリケーション利用制御装置１０１から取得したアプリケーション情報よりアプリケーションが動作している情報処理装置のアドレスとユーザが使用している情報処理装置のアドレスを抽出し、ネットワークアクセス制御装置１０２のアクセス制御情報「if (source X) then (Allow Y)」のXにユーザのアドレスYへアプリケーションのアドレスを設定してアクセス制御情報を作成することを表している。
【０１２７】
以下に、本実施形態のネットワーク利用統合制御システム１００において、前記（１）〜（３）の処理を前記前提条件で行った場合の具体的な処理内容について説明する。
まず、前記前提条件で（１）のアプリケーション利用制御装置１０１におけるアプリケーションの利用制御と、（３）のネットワークアクセス制御装置１０２におけるネットワークのアクセス制御を行った場合の処理内容について説明する。
【０１２８】
（１）アプリケーション利用制御装置１０１におけるアプリケーションの利用制御の例
USER-Xというユーザ名を持つユーザがAP1を利用しようとした場合、上記ユーザ情報とアプリケーションに関する利用権情報を持つアプリケーション利用制御装置１０１は、AP1の利用の為にはアプリケーション情報格納手段２１５内の１行目の情報によりUSER-Attrという属性がPresidentかChiefが必要であると判断する。利用権制御機能は、この条件でユーザ情報格納手段２１４内の情報（USER-Attr:Chief）を比較する。これによりアプリケーション利用制御装置１０１は、USER-XがChiefのユーザ属性を持つことを確認できたのでUSER-Xに対してAP1の利用を許可する。
【０１２９】
そして通信装置２０７を用いてアクセス統合制御装置１０３に対し、利用可否判定の結果（本例では可）、アプリケーション状態監視手段２１２が監視しているアプリケーションの状態（本例ではAP1は192.168.0.2で動作しているという状態）、ユーザ状態監視手段２１１（本例ではUSER-Xは現在192.168.0.1にいるという状態）を送信する。
【０１３０】
（３）ネットワークアクセス制御装置１０２におけるネットワークのアクセス制御の例
USER-Xがアドレス192.168.0.1からアドレス192.168.0.2に対して通信を行おうとした場合、ネットワークアクセス制御装置１０２は、アクセス制御情報格納機能内のネットワークアクセス情報格納手段３１３の情報を確認する。
アクセス制御情報格納機能は、アドレス192.168.0.1からの通信が許されているアドレスは192.168.0.4のみであることを確認する。これによりネットワークアクセス制御装置１０２はアドレス192.168.0.1からの通信を遮断する。
【０１３１】
この様に、上記（１）（３）の制御が、それぞれ独立で行われている場合に（１）でAP1の利用を許可された場合、（３）においてAP1が動作している192.168.0.2に対する通信をネットワークアクセス制御装置１０２が遮断してしまう為、AP1の利用が不可能となってしまう。
【０１３２】
次に、前記前提条件で（１）のアプリケーション利用制御装置１０１におけるアプリケーションの利用制御の後、（２）のアクセス統合制御装置１０３における、アプリケーション利用制御装置１０１とネットワークアクセス制御装置１０２の状態解釈とアクセス制御情報の変更を行う場合の処理内容について説明する。
【０１３３】
（２）アクセス統合制御装置１０３における、アプリケーション利用制御装置１０１とネットワークアクセス制御装置１０２の状態解釈とアクセス制御情報の変更の例
上記の様に（１）（３）の制御がそれぞれ独立で行われている場合には（１）でAP1の利用を許可されても、（３）においてAP1が動作している192.168.0.2に対する通信をネットワークアクセス制御装置１０２が遮断してしまう為、AP1の利用が不可能であった。
【０１３４】
ここで、アクセス統合制御装置１０３は、アプリケーション利用制御装置１０１よりアプリケーション情報とユーザ情報を取得し、そこから［アプリケーションが動作している場所］（本例では192.168.0.2）と［現在のユーザの場所］（本例では192.168.0.1）を抽出する。
【０１３５】
抽出したアドレスの情報よりアクセス統合制御装置１０３は、ネットワークアクセス制御装置１０２のアクセス制御情報格納機能に「if (source: 192.168.0.1) then (Allow 192.168.0.2)」という情報を追加する。これによりUSER-XはAP1が動作しているアドレスに到達することが可能となる。よってUSER-Xは、（１）及び（３）の制御がそれぞれ独立して動作していたときには利用できなかったAP1の利用が可能となる。
【０１３６】
以上説明した様に本実施形態のネットワーク利用統合制御システムによれば、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権の両者の情報を統合してネットワークアクセスの管理及び制御を行うので、アプリケーション利用制御側で保有する利用権情報に応じて、ネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実施し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能である。
【０１３７】
以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【０１３８】
【発明の効果】
以上説明した様に、本発明においては、次の様な効果を奏する。
第１の効果は、アプリケーション利用制御装置とネットワークアクセス制御装置において利用権制御機能とアクセス制御機能とで設定が矛盾する場合、アクセス統合制御装置を用いて設定の変換を行うことにより矛盾を解消させることが出来ることである。これによりアプリケーションレイヤで利用を禁じていたにもかかわらず、ネットワークレイヤ経由でアプリケーションを起動してしまうという不正を無くすことができると共に、アプリケーションレイヤで利用権を獲得した場合、ネットワークレイヤでの利用が可能となる。
第２の効果は、アプリケーション利用制御装置においてアプリケーション利用に関する設定が変更された場合、変更された情報がアクセス統合制御装置を通じてネットワークアクセス制御装置に反映される為、利用権管理とアクセス管理を一貫して実施することが出来ることである。
【図面の簡単な説明】
【図１】本実施形態のネットワーク利用統合制御システムの構成例を示す図である。
【図２】本実施形態のアプリケーション利用制御装置１０１の構成例を示す図である。
【図３】本実施形態のネットワークアクセス制御装置１０２の構成例を示す図である。
【図４】本実施形態のアクセス統合制御装置１０３の構成例を示す図である。
【図５】本実施形態のアプリケーション利用制御装置１０１の制御シーケンス例を示す図である。
【図６】本実施形態のネットワークアクセス制御装置１０２の制御シーケンス例を示す図である。
【図７】本実施形態のアクセス統合制御装置１０３の制御シーケンスを示す図である。
【図８】本実施形態の各装置の構成例を示す図である。
【図９】本実施形態のアプリケーション利用制御装置１０１の処理手順を示すフローチャートである。
【図１０】本実施形態のアクセス統合制御装置１０３の処理手順を示すフローチャートである。
【図１１】本実施形態のネットワークアクセス制御装置１０２のアクセス制御情報送受信処理の処理手順を示すフローチャートである。
【図１２】本実施形態のネットワークアクセス制御装置１０２でのアクセス制御処理の処理手順を示すフローチャートである。
【符号の説明】
１００…ネットワーク利用統合制御システム、１０１…アプリケーション利用制御装置、１０２…ネットワークアクセス制御装置、１０３…アクセス統合制御装置、２０１…ＣＰＵ、２０２…メモリ、２０３…磁気ディスク装置、２０４…入力装置、２０５…出力装置、２０６…ＣＤ−ＲＯＭ装置、２０７…通信装置、２１１…ユーザ状態監視手段、２１２…アプリケーション状態監視手段、２１３…アプリケーション利用可否判定手段、２１４…ユーザ情報格納手段、２１５…アプリケーション情報格納手段、３０１…ＣＰＵ、３０２…メモリ、３０３…磁気ディスク装置、３０４…入力装置、３０５…出力装置、３０６…ＣＤ−ＲＯＭ装置、３０７…通信装置、３１１…ネットワークアクセス可否判定手段、３１２…ネットワーク状態監視手段、３１３…ネットワークアクセス情報格納手段、４０１…ＣＰＵ、４０２…メモリ、４０３…磁気ディスク装置、４０４…入力装置、４０５…出力装置、４０６…ＣＤ−ＲＯＭ装置、４０７…通信装置、４１１…アプリケーション利用制御装置解釈手段、４１２…ネットワークアクセス制御装置解釈手段、４１３…アクセス解釈仲介手段。
【発明の属する技術分野】
本発明はネットワーク上に存在する様々なアプリケーション資源の利用を制御し、その制御に対応してネットワーク資源の利用を制御するネットワーク利用統合制御システムに関し、特にアプリケーションを利用する為の設定と、ネットワークを利用する為の設定を統一的に管理するネットワーク利用統合制御システムに適用して有効な技術に関するものである。
【０００２】
【従来の技術】
プラグアンドプレイ技術やネットワーク資源管理のミドルウェア開発により、様々なコンピューティング資源から情報家電まで多くの資源がネットワークに接続される様になっている。これらの環境においてはネットワークに資源を接続するだけで、ユーザはそれらの資源を利用することが可能となっている（例えば、非特許文献１、２、３、４参照）。これらの技術を利用して、ユーザのネットワーク利用権や資源利用権等を管理制御する技術も確立されている（例えば、非特許文献６、７参照）。また、アプリケーション利用の為の利用権の制御を行うシステムも検討されている（例えば、特許文献１参照）。
【０００３】
更に、上記の様なネットワーク環境でアカウントを持っていない場合に一時的にネットワークを利用する為の技術として、認証ＶＬＡＮ（例えば、非特許文献５参照）、ゲストアカウント機構等があげられる。
【０００４】
そして、ネットワークセキュリティの為の技術として、あるネットワーク上の資源間を他者から盗み見されない様に安全に通信する為の技術として、ＶＰＮ(Virtual Private Network)（例えば、非特許文献８、９、１０参照）、ＶＬＡＮ(Virtual Local Area Network)（例えば、非特許文献１１参照）、ＳＳＬ(Secure Socket Layer)（例えば、非特許文献１２参照）等があげられる。
【０００５】
【特許文献１】
特開２０００−３０５７７６号公報
【非特許文献１】
「Universal Plug and Play Forum」、 Microsoft Corporation [online] [2002年12月16日検索]インターネット<URL: http://www.upnp.org/>
【非特許文献２】
「Jini.org」、Sun Microsystems [online] [2002年12月16日検索]インターネット<URL: http://www.jini.org/>
【非特許文献３】
「Home Audio Video Interoperability」、 The HAVi Organization [online] [2002年12月16日検索] インターネット<URL: http://www.havi.org/>
【非特許文献４】
「MIT Project Oxygen」、 MIT Laboratory for Computer Science. MIT Artificial Intelligence Laboratory [online] [2002年12月16日検 索] インターネット <URL: http://oxygen.lcs.mit.edu/>
【非特許文献５】
「認証VLANとは」 NEC Corporation. [online] [2002年12月16日検索] インターネット <URL: http://www.sw.nec.co.jp/middle/VLANaccess/summary.html>
【非特許文献６】
庭野栄一 外3名、「MUSA:モデルベースドユビキタスサービスアーキテクチャ」、信学技報Vol101、No.742、pp73-82、KBSE2001-74、2000-3
【非特許文献７】
神戸雅一 外3名、「コンピューティング資源の利用権管理方法についての検討」信学技報vol102、No.504、pp13-18、KBSE2002-23、Dec 2002
【非特許文献８】
「VPN Solutions」、Allied Telesis K.K. [online] [2002年12月16日検索] インターネット <URL: http://www.allied-telesis.co.jp/sol/vpn/>
【非特許文献９】
「Security related RFCs」、情報処理振興事業協会 セキュリティーセンター [online] [2002年12月16日検索]インターネット<URL: http://www.ipa.go.jp/security/rfc/RFC.html>
【非特許文献１０】
「Layer2 Tunneling Protocol」、Cisco Systems K.K. [online] [2002年12月16日検索] インターネット <URL: http://www.cisco.com/japanese/warp/public/3/jp/product/product/ios/prodlit/l2tunds.html>
【非特許文献１１】
「Virtual LANs. IEEE802.1Q」 Institute of Electrical and Electronics Engineers. [online] [2002年12月16日検索] インターネット <URL: http://www.ieee802.org/1/pages/802.1Q.html>
【非特許文献１２】
「SSL(セキュア・ソケット・レイヤ)暗号化通信」 VeriSign Japan K.K. [online] [2002年12月16日検索] インターネット <URL: http://www.verisign.co.jp/repository/faq/SSL/>
【０００６】
【発明が解決しようとする課題】
しかしながら、上述した従来のシステムでは、次の様な問題がある。
第１の問題点は、ユーザに対してアプリケーションの利用可否の制御を行う場合にはアプリケーションレイヤで利用権制御を行い、ネットワークのアクセス可否の制御を行う場合にはネットワークレイヤにおいてアクセス制御を行うという様に、それぞれが独立して制御を行っていた為、アプリケーションレイヤでアプリケーションの利用を不可能にしていても、ネットワークレイヤで使用可能な状態になっていれば、直接ネットワークレイヤを操作してアプリケーションを起動できてしまうことがあるという点である。
【０００７】
第２の問題点は、第１の問題点とは逆にアプリケーションレイヤで利用を可能としていた場合でもネットワークレイヤにおいて利用を不可能としていた場合には、ネットワークレイヤにおけるネットワークアクセスの設定を変更しなければ実行したいアプリケーションが利用できず、設定変更の管理負荷が非常に大きいという点である。
【０００８】
本発明の目的は上記問題を解決し、アプリケーション利用制御側で保有する利用権情報に応じて、ネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実施し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能な技術を提供することにある。
【０００９】
【課題を解決するための手段】
本発明は、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御するアクセス統合制御装置であって、個別に制御されていた、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権の両者の情報を統合してネットワークアクセスの管理及び制御を行うものである。
【００１０】
本発明によるアクセス統合制御装置を用いたネットワーク利用統合制御システムでは、従来、アプリケーションの利用制御をアプリケーションレイヤ内で、ネットワークでのアクセス制御をネットワークレイヤ内でそれぞれ実施していた制御装置に対して、アプリケーションレイヤにおいて管理されているアプリケーションの利用権情報を、仲介装置であるアクセス統合制御装置を通してネットワークレイヤにおけるアクセス制御情報へ変換し、該制御情報に基づいてネットワークの設定を動的に切り替えることにより、アプリケーションレイヤにおける安全性だけではなくネットワークレイヤにおける安全性も担保し、アプリケーションレイヤからネットワークレイヤまで統一的に制御することを主要な特徴としている。
【００１１】
本発明のネットワーク利用統合制御システムは、アプリケーションを利用する権利を制御する利用権制御機能と利用権情報を格納する利用権情報格納機能を有するアプリケーション利用制御装置、ネットワークのアクセス制御を行うアクセス制御機能とアクセス制御情報を格納するアクセス制御情報格納機能を有するネットワークアクセス制御装置、アプリケーション利用制御装置とネットワークアクセス制御装置の仲介を行うアクセス解釈仲介機能を有するアクセス統合制御装置及びアプリケーション利用制御装置から制御されるアプリケーション、ネットワークアクセス制御装置から制御されるネットワークより構成される。
【００１２】
本発明のネットワーク利用統合制御システムにおける処理は、前記各機能を利用した、
（１）アプリケーション利用制御装置におけるアプリケーションの利用制御、
（２）アクセス統合制御装置における、アプリケーション、ユーザ及びネットワークの状態解釈と、ネットワークアクセス制御装置への変更内容の伝達、
（３）ネットワークアクセス制御装置におけるネットワークのアクセス制御
の一連の動作によって行われる。
【００１３】
まず（１）のアプリケーション利用制御装置におけるアプリケーションの利用制御では、利用権情報格納機能により、利用の際に必要な職位、所属組織、年齢、機器、場所、サービス種別、その他属性等のアプリケーションに関する情報と、現在ユーザがいるアドレス等のユーザの情報を取得し、利用権制御機能へ渡す。
【００１４】
次に、利用権制御機能では、アプリケーションを利用するユーザの状態監視と、ユーザによって利用されるアプリケーションの状態監視により取得されたユーザ情報及びアプリケーション情報と、利用権情報格納機能により取得された情報を基に、アプリケーション利用可否判定の為のルールデータベースを参照し、ユーザのアプリケーションに対する利用可否判定を行う。そして、アクセス統合制御装置に対してユーザ情報やアプリケーション情報並びに利用可否判定結果等の情報を送信する。
【００１５】
（２）の処理でアクセス統合制御装置は、アプリケーション利用制御装置より送信された利用権に関する情報を受信し、受信した情報をアプリケーション利用制御装置解釈手段により解釈する。
【００１６】
そしてアプリケーション利用制御装置が要求しているネットワークアクセス状態を実行する為、アクセス解釈仲介手段とネットワークアクセス制御装置解釈手段を用いて、現在のネットワークアクセス制御装置に対応したアクセス制御情報を、アクセス解釈仲介手段自身が持つルールを基に生成し、ネットワークアクセス制御装置に対して送信する。これによりアプリケーション利用制御装置が制御している利用権に基づいたネットワークアクセス制御をネットワークアクセス制御装置で行うことが可能となる。
【００１７】
次に（３）の処理でネットワークアクセス制御装置は、アクセス統合制御装置によりアクセス制御機能へ送信されたアクセス制御情報（例えば、あるアドレスからあるアドレスへの通信を許可する、あるプロトコルでの通信は許可する、あるポートでの通信は不許可とする等の情報）を取得し、アクセス制御情報格納機能により格納することによりアクセス制御情報の更新を行う。これによりアクセス統合制御装置から送信されたアクセス制御情報をネットワークアクセス制御装置に反映することが出来る。
【００１８】
アクセス制御情報の更新後、通信の要求があった場合にネットワークアクセス制御装置は、アクセス制御機能を使用してアクセス制御を行う。すなわち、アクセス制御機能では、アクセス制御情報管理機能に対してその通信に対するアクセス制御情報（例えば、アドレスでの制御情報、ポートでの制御情報、プロトコルでの制御情報等）を要求し、アクセス制御情報格納機能は、前記の様にして更新されたアクセス制御情報の返答を行う。そして、この返答に従いアクセス制御機能は、通信のアクセス制御を行う。
【００１９】
以上の様に本発明のネットワーク利用統合制御システムによれば、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権の両者の情報を統合してネットワークアクセスの管理及び制御を行うので、アプリケーション利用制御側で保有する利用権情報に応じて、ネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実施し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能である。
【００２０】
【発明の実施の形態】
以下にアプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御する一実施形態のネットワーク利用統合制御システムについて説明する。
【００２１】
本実施形態によるネットワーク利用統合制御システムは、従来、アプリケーションの利用制御をアプリケーションレイヤ内で、ネットワークでのアクセス制御をネットワークレイヤ内でそれぞれ実施していた制御装置に対して、アプリケーションレイヤにおいて管理されているアプリケーションの利用権情報を、ネットワークレイヤにおけるアクセス制御情報へ仲介装置を通して変換し、該制御情報に基づいてネットワークの設定を動的に切り替えることにより、アプリケーションレイヤにおける安全性だけではなくネットワークレイヤにおける安全性も担保し、アプリケーションレイヤからネットワークレイヤまで統一的に制御することを主要な特徴としている。
【００２２】
本実施形態のネットワーク利用統合制御システムは、アプリケーションを利用する権利を制御する利用権制御機能とその制御に必要な利用権情報を格納する利用権情報格納機能を有するアプリケーション利用制御装置、ネットワークのアクセス制御を行うアクセス制御機能とその制御に必要なアクセス制御情報を格納するアクセス制御情報格納機能を有するネットワークアクセス制御装置、アプリケーション利用制御装置とネットワークアクセス制御装置の仲介を行うアクセス解釈仲介機能を有するアクセス統合制御装置及びアプリケーション利用制御装置から制御されるアプリケーション、ネットワークアクセス制御装置から制御されるネットワークより構成されている。
【００２３】
図１は本実施形態のネットワーク利用統合制御システムの構成例を示す図である。図１に示す様に本実施形態のネットワーク利用統合制御システム１００は、アプリケーション利用制御装置１０１と、ネットワークアクセス制御装置１０２と、アクセス統合制御装置１０３とを有している。
【００２４】
アプリケーション利用制御装置１０１は、アプリケーションレイヤに属するアプリケーションに対する利用権を判定し、ユーザによるアプリケーションの利用を制御する装置である。ネットワークアクセス制御装置１０２は、ネットワークレイヤに属するネットワークアクセス権を判定し、ユーザによるネットワークへのアクセスを制御する装置である。
【００２５】
アクセス統合制御装置１０３は、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合し、ユーザによって利用されているアプリケーションによるネットワークへのアクセスを制御する装置である。
【００２６】
図１では、本実施形態におけるネットワーク利用統合制御システム１００の構成の一例を表している（アプリケーション及びネットワークは不図示）。
図８は本実施形態の各装置の構成例を示す図である。図８の様に本実施形態の各装置は、それぞれの機能に対応した各種手段を備えており、以下、各装置についての詳細説明を行う。
【００２７】
図２は本実施形態のアプリケーション利用制御装置１０１の構成例を示す図である。図２に示す様に本実施形態のアプリケーション利用制御装置１０１は、ＣＰＵ２０１と、メモリ２０２と、磁気ディスク装置２０３と、入力装置２０４と、出力装置２０５と、ＣＤ−ＲＯＭ装置２０６と、通信装置２０７とを有している。
【００２８】
ＣＰＵ２０１は、アプリケーション利用制御装置１０１全体の動作を制御する装置である。メモリ２０２は、アプリケーション利用制御装置１０１全体の動作を制御する際にその為の各種処理プログラムやデータをロードする記憶装置である。
【００２９】
磁気ディスク装置２０３は、前記各種処理プログラムやデータを格納しておく記憶装置である。入力装置２０４は、アプリケーションに対する利用制御を行う為の各種入力を行う装置である。出力装置２０５は、アプリケーションに対する利用制御に伴う各種出力を行う装置である。
【００３０】
ＣＤ−ＲＯＭ装置２０６は、前記各種処理プログラムを記録したＣＤ−ＲＯＭの内容を読み出す装置である。通信装置２０７は、利用権制御機能の実行時に、ユーザからのアプリケーションに関する要求の送受信や、アプリケーション情報やユーザ情報に関する要求の他の装置との間の送受信を行い、利用権情報格納機能の実行時に、ユーザ名やユーザ属性等のユーザ情報、或いはアプリケーション名やアプリケーション属性等のアプリケーション情報の送受信を利用権制御機能の構成手段との間で行う通信手段である。
【００３１】
またアプリケーション利用制御装置１０１は、ユーザ状態監視手段２１１と、アプリケーション状態監視手段２１２と、アプリケーション利用可否判定手段２１３と、ユーザ情報格納手段２１４と、アプリケーション情報格納手段２１５とを有している。
【００３２】
ユーザ状態監視手段２１１は、要求を行っているユーザの場所等、アプリケーションの利用要求を行っているユーザの状態を監視する手段である。アプリケーション状態監視手段２１２は、アプリケーションの動作状態やアプリケーションの動作している場所等、ユーザによって利用されるアプリケーションの状態を監視する手段である。
【００３３】
アプリケーション利用可否判定手段２１３は、前記監視により取得されたユーザ情報及びアプリケーション情報、ユーザ情報格納手段２１４及びアプリケーション情報格納手段２１５から取得できるユーザとアプリケーションの名前や属性等の複数の情報を基に、そのアプリケーションに対する当該ユーザの利用可否を判定し、通信装置２０７を用いてアクセス統合制御装置１０３へ前記ユーザ情報及びアプリケーション情報並びに利用可否判定結果を送信する手段である。
【００３４】
ユーザ情報格納手段２１４は、ユーザ名、ユーザＩＤ、ユーザ職責、ユーザが現在いる場所等のユーザに関する情報を格納する手段である。アプリケーション情報格納手段２１５は、アプリケーション名、アプリケーションが提供する機能、アプリケーションが現在動作している場所、アプリケーションを利用可能なユーザ一覧等のアプリケーションに関する情報を格納する手段である。
【００３５】
アプリケーション利用制御装置１０１をユーザ状態監視手段２１１、アプリケーション状態監視手段２１２、アプリケーション利用可否判定手段２１３、ユーザ情報格納手段２１４及びアプリケーション情報格納手段２１５として機能させる為のプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録され磁気ディスク等に格納された後、メモリにロードされて実行されるものとする。なお前記プログラムを記録する記録媒体はＣＤ−ＲＯＭ以外の他の記録媒体でも良い。また前記プログラムを当該記録媒体から情報処理装置にインストールして使用しても良いし、ネットワークを通じて当該記録媒体にアクセスして前記プログラムを使用するものとしても良い。
【００３６】
図２のアプリケーション利用制御装置１０１は、アプリケーションレイヤにおけるアプリケーション利用可否判定を主に行う装置であり、利用権制御機能及び利用権情報格納機能を持っている。
【００３７】
図２の様にアプリケーション利用制御装置１０１の利用権制御機能は、ユーザ状態監視手段２１１、アプリケーション状態監視手段２１２、アプリケーション利用可否判定手段２１３より構成されている。また利用権情報格納機能は、アプリケーション利用制御装置１０１において利用可否判定やユーザとアプリケーションの監視の際に必要となる情報、例えばアプリケーション利用が可能なユーザの属性やアプリケーション利用が可能なユーザ一覧等の情報を格納する機能であり、ユーザ情報格納手段２１４及びアプリケーション情報格納手段２１５より構成されている。なお、前記機能における送受信処理は通信装置２０７を用いて行われるものとする。
【００３８】
また図２において、アプリケーション利用制御装置１０１は、１箇所で複数のアプリケーションの情報を管理しているが、この情報はアプリケーション毎に分散していることも可能である。
【００３９】
図３は本実施形態のネットワークアクセス制御装置１０２の構成例を示す図である。図３に示す様に本実施形態のネットワークアクセス制御装置１０２は、ＣＰＵ３０１と、メモリ３０２と、磁気ディスク装置３０３と、入力装置３０４と、出力装置３０５と、ＣＤ−ＲＯＭ装置３０６と、通信装置３０７とを有している。
【００４０】
ＣＰＵ３０１は、ネットワークアクセス制御装置１０２全体の動作を制御する装置である。メモリ３０２は、ネットワークアクセス制御装置１０２全体の動作を制御する際にその為の各種処理プログラムやデータをロードする記憶装置である。
【００４１】
磁気ディスク装置３０３は、前記各種処理プログラムやデータを格納しておく記憶装置である。入力装置３０４は、ネットワークに対するアクセス制御を行う為の各種入力を行う装置である。出力装置３０５は、ネットワークに対するアクセス制御に伴う各種出力を行う装置である。
【００４２】
ＣＤ−ＲＯＭ装置３０６は、前記各種処理プログラムを記録したＣＤ−ＲＯＭの内容を読み出す装置である。通信装置３０７は、ネットワークアクセス情報格納手段３１３に保持している情報の送受信を他の装置との間で行う通信手段である。
【００４３】
またネットワークアクセス制御装置１０２は、ネットワークアクセス可否判定手段３１１と、ネットワーク状態監視手段３１２と、ネットワークアクセス情報格納手段３１３とを有している。
【００４４】
ネットワークアクセス可否判定手段３１１は、アクセス統合制御装置１０３から受信した情報によって更新されているアクセス制御情報を参照し、通信によるアクセスを許すアドレス、ポートやプロトコル等の複数の条件によってネットワークへのアクセスの可否を判定する手段である。
【００４５】
ネットワーク状態監視手段３１２は、現在どのアドレスからどのアドレスへの通信を行っているか、どのポートで通信を行っているか等のネットワークにおける通信の状態を監視する手段である。ネットワークアクセス情報格納手段３１３は、どのアドレスからどのアドレスへのアクセスは可能であるか等のアクセス情報、どこのポートへのアクセスなら許可するか等のポートのアクセス情報、どのプロトコルでの通信なら許可するか等のプロトコルのアクセス情報といった、ネットワークアクセス制御に必要なアクセス制御情報を格納する手段であり、通信装置３０７を用いてアクセス統合制御装置１０３へアクセス制御情報を送信する処理や、通信装置３０７を用いてアクセス統合制御装置１０３から受信したアクセス制御情報をネットワークアクセス制御装置１０２内に格納してアクセス制御情報を更新する処理を行う手段である。
【００４６】
ネットワークアクセス制御装置１０２をネットワークアクセス可否判定手段３１１、ネットワーク状態監視手段３１２及びネットワークアクセス情報格納手段３１３として機能させる為のプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録され磁気ディスク等に格納された後、メモリにロードされて実行されるものとする。なお前記プログラムを記録する記録媒体はＣＤ−ＲＯＭ以外の他の記録媒体でも良い。また前記プログラムを当該記録媒体から情報処理装置にインストールして使用しても良いし、ネットワークを通じて当該記録媒体にアクセスして前記プログラムを使用するものとしても良い。
【００４７】
図３のネットワークアクセス制御装置１０２は、ネットワークレイヤにおける通信のアクセス制御を主に行う装置であり、アクセス制御機能及びアクセス制御情報格納機能を持っている。
【００４８】
図３の様にネットワークアクセス制御装置１０２のアクセス制御機能は、ネットワークアクセスの可否判定を行うネットワークアクセス可否判定手段３１１、ネットワークの状態を監視するネットワーク状態監視手段３１２より構成されている。またアクセス制御情報格納機能は、アクセス制御機能の制御の際に必要となる情報を格納する機能であり、ネットワークアクセス情報格納手段３１３により構成される。なお前記機能における送受信処理は通信装置３０７を用いて行われるものとする。
【００４９】
図４は本実施形態のアクセス統合制御装置１０３の構成例を示す図である。図４に示す様に本実施形態のアクセス統合制御装置１０３は、ＣＰＵ４０１と、メモリ４０２と、磁気ディスク装置４０３と、入力装置４０４と、出力装置４０５と、ＣＤ−ＲＯＭ装置４０６と、通信装置４０７とを有している。
【００５０】
ＣＰＵ４０１は、アクセス統合制御装置１０３全体の動作を制御する装置である。メモリ４０２は、アクセス統合制御装置１０３全体の動作を制御する際にその為の各種処理プログラムやデータをロードする記憶装置である。
【００５１】
磁気ディスク装置４０３は、前記各種処理プログラムやデータを格納しておく記憶装置である。入力装置４０４は、アプリケーションに対する利用権とネットワーク対するアクセス権を統合したアクセス制御を行う為の各種入力を行う装置である。
【００５２】
出力装置４０５は、前記アクセス制御に伴う各種出力を行う装置である。ＣＤ−ＲＯＭ装置４０６は、前記各種処理プログラムを記録したＣＤ−ＲＯＭの内容を読み出す装置である。通信装置４０７は、アプリケーション利用制御装置１０１やネットワークアクセス制御装置１０２との通信を行う通信手段である。
【００５３】
またアクセス統合制御装置１０３は、アプリケーション利用制御装置解釈手段４１１と、ネットワークアクセス制御装置解釈手段４１２と、アクセス解釈仲介手段４１３とを有している。
【００５４】
アプリケーション利用制御装置解釈手段４１１は、通信装置４０７を用いてアプリケーション利用制御装置１０１より受信したユーザ情報及びアプリケーション情報を基に、アプリケーション利用制御装置１０１でのアプリケーションに対する利用制御の内容を解釈する手段である。
【００５５】
ネットワークアクセス制御装置解釈手段４１２は、通信装置４０７を用いてネットワークアクセス制御装置１０２より受信したアクセス制御情報を基に、ネットワークアクセス制御装置１０２でのネットワークアクセス制御の内容を解釈する手段である。
【００５６】
アクセス解釈仲介手段４１３は、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とを基に、アプリケーション利用制御装置１０１で要求されているネットワークアクセス制御を行う為のアクセス制御情報を生成し、通信装置４０７を用いてネットワークアクセス制御装置１０２へ前記生成したアクセス制御情報を送信する手段である。
【００５７】
アクセス統合制御装置１０３をアプリケーション利用制御装置解釈手段４１１、ネットワークアクセス制御装置解釈手段４１２及びアクセス解釈仲介手段４１３として機能させる為のプログラムは、ＣＤ−ＲＯＭ等の記録媒体に記録され磁気ディスク等に格納された後、メモリにロードされて実行されるものとする。なお前記プログラムを記録する記録媒体はＣＤ−ＲＯＭ以外の他の記録媒体でも良い。また前記プログラムを当該記録媒体から情報処理装置にインストールして使用しても良いし、ネットワークを通じて当該記録媒体にアクセスして前記プログラムを使用するものとしても良い。
【００５８】
図４のアクセス統合制御装置１０３は、本発明により新たに備えられた装置であり、主にアプリケーション利用制御装置１０１の持つ利用権情報を基に、ネットワークアクセス制御装置１０２で保持するアクセス制御情報を更新する動作を行う。
【００５９】
アクセス統合制御装置１０３は、アクセス解釈仲介機能を持ち、そのアクセス解釈仲介機能は、アプリケーション利用制御装置解釈手段４１１、ネットワークアクセス制御装置解釈手段４１２、アクセス解釈仲介手段４１３より構成されている。なお前記機能における送受信処理は通信装置４０７を用いて行われるものとする。
【００６０】
アプリケーション利用制御装置解釈手段４１１は、通信装置４０７を用いてアプリケーション利用制御装置１０１よりユーザ情報（例えばユーザ名、ユーザ属性、ユーザが現在使用している情報処理装置のアドレス等）やアプリケーション情報（例えばアプリケーション名、アプリケーションの提供するサービス名、アプリケーションの動作している情報処理装置のアドレス等）を取得し、取得したユーザ情報とアプリケーション情報を基に、アプリケーションとユーザがアプリケーション利用制御装置１０１を通してどの様な状態でアクセス統合制御装置１０３に要求を行っているのかを解釈する。なお、この手段では、解釈を行う為に各アプリケーション利用制御装置１０１に関するアプリケーション利用情報フォーマット等のデータベースを保持しているものとする。
【００６１】
ネットワークアクセス制御装置解釈手段４１２は、通信装置４０７を用いてネットワークアクセス制御装置１０２よりネットワーク情報（例えば、通信を行っているアドレス情報、通信を行っているポート情報、通信を行っているプロトコル情報、通信を遮断しているアドレス情報等）を取得し、取得したネットワーク情報を基に、ネットワークがどの様な状態にあるのかを解釈する。なお、この手段では、解釈を行う為に各ネットワークアクセス制御装置１０２に関するアクセス制御情報フォーマット等のデータベースを保持しているものとする。
【００６２】
アクセス解釈仲介手段４１３は、アプリケーション利用制御装置解釈手段４１１が解釈したアプリケーションやユーザの状態と、ネットワークアクセス制御装置解釈手段４１２が解釈したネットワークの状態を基に、どの様な変更をネットワークアクセス制御装置１０２に行うか判断し、判断した変更をネットワークアクセス制御装置１０２のアクセス制御情報格納機能に対して実行する。なお、この手段では、どの様な変更を行うか判断する為のルールを保持しているものとする（このルールは例えば「特定の場所からの特定のユーザからの要求の場合ならば特定のアドレスへの通信を許して良い」等が記述されているものとする）。
【００６３】
この様に、アプリケーション及びユーザ並びにネットワークのそれぞれの状態を解釈し、アクセス解釈仲介手段４１３を用いてアクセス制御情報の変更内容を判断し、実際にネットワークアクセス制御装置１０２に伝えることにより、ネットワークアクセス制御装置１０２における動的なアクセス制御が可能となる。
【００６４】
本実施形態のネットワーク利用統合制御システム１００における処理は、前出の各機能を利用した、
（１）アプリケーション利用制御装置１０１におけるアプリケーションの利用制御
（２）アクセス統合制御装置１０３における、アプリケーション、ユーザ及びネットワークの状態解釈と、ネットワークアクセス制御装置１０２への変更内容の伝達
（３）ネットワークアクセス制御装置１０２におけるネットワークのアクセス制御
の一連の動作によって行われる。以下、これらの一連の動作について説明する。
【００６５】
（１）アプリケーション利用制御装置１０１におけるアプリケーションの利用制御
図５は本実施形態のアプリケーション利用制御装置１０１の制御シーケンス例を示す図である。図５では、アプリケーション利用制御装置１０１におけるアプリケーションの利用制御のシーケンスの一例を表している。なお、ユーザのアプリケーションに関する利用権情報は、利用権情報格納機能のアプリケーション情報格納手段２１５により予め格納されているものとする。
【００６６】
利用権制御機能からの情報要求に対して利用権情報格納機能は、アプリケーションに関する利用権情報（例えば、利用の際に必要な職位、所属組織、年齢、機器、場所、サービス種別、その他属性等）をアプリケーション情報格納手段２１５より取得し、ユーザの情報（例えば、現在ユーザがいるアドレス等）をユーザ情報格納手段２１４より取得して利用権制御機能へ返す。
【００６７】
次に、利用権制御機能のアプリケーション利用可否判定手段２１３を用いてユーザのアプリケーションに関する利用可否判定を行う。この際の可否判定の基準として、ユーザ状態監視手段２１１の情報（例えば、現在ユーザは何処のアドレスよりアプリケーションを利用しようとしているか、どのアプリケーションを利用しようとしているか等）、アプリケーション状態監視手段２１２の情報（例えば、アプリケーションは現在動作可能か、アプリケーションはどのアドレスで動作しているか等）、利用権情報格納機能より取得した情報（例えば、アプリケーションを利用するにはユーザがどの様な属性が必要か、アプリケーションの提供している機能は何か等）を使用する。
【００６８】
これらの情報とアプリケーション利用可否判定手段２１３が持つアプリケーション利用可否判定の為のルールデータベースを参照し、ユーザのアプリケーションに対する利用可否判定を行う。この後、アクセス統合制御装置１０３に対してユーザ情報やアプリケーション情報等の情報を送信する。
【００６９】
（２）アクセス統合制御装置１０３における、アプリケーション、ユーザ及びネットワークの状態解釈と、ネットワークアクセス制御装置１０２への変更内容の伝達
図７は本実施形態のアクセス統合制御装置１０３の制御シーケンスを示す図である。図７では、アプリケーション利用制御装置１０１の制御情報に基づき、ネットワークアクセス制御装置１０２の制御情報を更新し、両者間で制御情報の一貫性を保持させるアクセス統合制御装置１０３の制御シーケンスの一例を表している。
【００７０】
アプリケーション利用制御装置１０１は、利用権制御機能より利用権に関する情報（例えば、アプリケーション利用可否判定手段２１３の結果、アプリケーション状態監視手段２１２が監視しているアプリケーションの状態情報、ユーザ状態監視手段２１１が監視しているユーザの状態情報等）をアクセス統合制御装置１０３に対して通信装置２０７を用いて送信する。
【００７１】
アクセス統合制御装置１０３は、アプリケーション利用制御装置１０１より送信された利用権に関する情報を通信装置４０７により受信し、受信した情報をアプリケーション利用制御装置解釈手段４１１により解釈する。
【００７２】
そしてアプリケーション利用制御装置１０１が要求しているネットワークアクセス状態を実行する為、アクセス解釈仲介手段４１３とネットワークアクセス制御装置解釈手段４１２を用いて、現在のネットワークアクセス制御装置１０２に対応したアクセス制御情報を、アクセス解釈仲介手段４１３自身が持つルールを基に生成する。
【００７３】
アクセス統合制御装置１０３は、前記生成したアクセス制御情報を、通信装置４０７を用いてネットワークアクセス制御装置１０２に対して送信する。これによりアプリケーション利用制御装置１０１が制御している利用権情報に基づいたネットワークアクセス制御をネットワークアクセス制御装置１０２で行うことが可能となる。
【００７４】
（３）ネットワークアクセス制御装置１０２におけるネットワークのアクセス制御
図６は本実施形態のネットワークアクセス制御装置１０２の制御シーケンス例を示す図である。図６では、ネットワークアクセス制御装置１０２におけるネットワークアクセス制御のシーケンスの一例を表している。
【００７５】
ネットワークアクセス制御装置１０２は、アクセス制御機能を使用してアクセス制御を行う。ある通信の要求があった場合、アクセス制御機能は、アクセス制御情報管理機能に対してその通信に対するアクセス制御情報（例えば、アドレスでの制御情報、ポートでの制御情報、プロトコルでの制御情報等）を要求し、アクセス制御情報格納機能はアクセス制御情報の返答を行う。この返答に従いアクセス制御機能は通信のアクセス制御を行う。この基本動作は、上記（２）が行われた後も、行われる前と同様にして実行される。
【００７６】
（２）のアクセス統合制御装置１０３によりアクセス制御機能へ送信されたアクセス制御情報（例えば、あるアドレスからあるアドレスへの通信を許可する、あるプロトコルでの通信は許可する、あるポートでの通信は不許可とする等）を通信装置３０７により取得する。
【００７７】
アクセス制御機能は、前記取得した情報を、ネットワークアクセス可否判定手段３１１を用いてアクセス制御情報格納機能に対して送信する。アクセス制御情報格納機能は、送信された情報をネットワークアクセス情報格納手段３１３により格納し、アクセス制御情報の更新を行う。これによりアクセス統合制御装置１０３から送信されたアクセス制御情報をネットワークアクセス制御装置１０２に反映することが出来る。
【００７８】
次に、本実施形態のネットワーク利用統合制御システム１００において、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御する際の各装置の処理手順について説明する。
【００７９】
図９は本実施形態のアプリケーション利用制御装置１０１の処理手順を示すフローチャートである。ステップ９０１でアプリケーション利用制御装置１０１は、ユーザの使用している情報処理装置からのアプリケーションの利用要求を通信装置２０７で受信しているかどうかを調べ、アプリケーションの利用要求を受信している場合にはステップ９０２へ進む。
【００８０】
ステップ９０２でユーザ状態監視手段２１１は、前記受信したアプリケーション利用要求のヘッダに付加されている送信元アドレスを読み出して、その要求を行っているユーザの情報処理装置に割り当てられているネットワークアドレスを取得し、その取得したアドレスをユーザが現在いる場所を示す情報としてユーザ情報格納手段２１４により磁気ディスク装置２０３中のユーザ情報内に格納する。
【００８１】
ステップ９０３でアプリケーション状態監視手段２１２は、前記受信したアプリケーション利用要求によって利用要求の行われているアプリケーションについて、当該アプリケーションが動作している情報処理装置へアクセスして動作中であるかどうかを確認した後、前記アクセスした情報処理装置のアドレスをアプリケーションが現在動作している場所を示す情報としてアプリケーション情報格納手段２１５により磁気ディスク装置２０３中のアプリケーション情報内に格納する。なお、各アプリケーションがどの情報処理装置で動作するかは予め定められているものとする。
【００８２】
ステップ９０４でアプリケーション利用可否判定手段２１３は、ユーザ情報格納手段２１４により磁気ディスク装置２０３へアクセスし、前記アプリケーション利用要求を行ったユーザについて、ユーザの属性を示す情報やユーザが現在いる場所を示す情報等、そのユーザに関する情報を磁気ディスク装置２０３から読み出す。
【００８３】
ステップ９０５でアプリケーション利用可否判定手段２１３は、アプリケーション情報格納手段２１５により磁気ディスク装置２０３へアクセスし、前記アプリケーション利用要求によって利用要求の行われているアプリケーションについて、アプリケーションを利用するのに必要なユーザの属性やアプリケーションが現在動作している場所等、そのアプリケーションの利用条件を示すアプリケーション情報を磁気ディスク装置２０３から読み出す。
【００８４】
ステップ９０６でアプリケーション利用可否判定手段２１３は、前記読み出したユーザ情報とアプリケーション情報とを比較し、そのユーザの属性等の情報が当該アプリケーションの利用条件を満たすかどうかを調べることによって、そのアプリケーションに対する当該ユーザの利用可否を判定し、その判定結果をメモリ２０２に保持する。
【００８５】
ステップ９０７でアプリケーション利用可否判定手段２１３は、前記読み出した、ユーザが現在いる場所を示す情報を含むユーザ情報及びアプリケーションが現在動作している場所の情報を含むアプリケーション情報、並びに前記判定の結果を示す利用可否判定結果を通信装置２０７によりアクセス統合制御装置１０３へ送信し、アプリケーション利用制御装置１０１で行われた利用可否判定結果に応じてネットワークに対するアクセス制御を実行する様にアクセス統合制御装置１０３に依頼する。
【００８６】
図１０は本実施形態のアクセス統合制御装置１０３の処理手順を示すフローチャートである。ステップ１００１でアクセス統合制御装置１０３は、アプリケーションレイヤでの利用可否判定結果に応じたネットワークレイヤでのアクセス制御の実行依頼として、アプリケーション利用制御装置１０１で保持しているユーザ情報及びアプリケーション情報並びにアプリケーション利用制御装置１０１で行われた利用可否判定の結果を通信装置４０７により受信しているかどうかを調べ、前記依頼を受信している場合にはステップ１００２へ進む。
【００８７】
ステップ１００２でアプリケーション利用制御装置解釈手段４１１は、前記受信したユーザ情報及びアプリケーション情報並びに利用可否判定結果について、アプリケーション利用制御装置１０１で用いられている情報のフォーマットを示すアプリケーション利用情報フォーマットを参照して読み出し、アプリケーションに対するアプリケーション利用制御装置１０１での利用制御の内容を解釈する。
【００８８】
その際、アプリケーション利用制御装置１０１より受信したユーザ情報及びアプリケーション情報を解釈し、ユーザの使用している情報処理装置のアドレスとアプリケーションの動作している情報処理装置のアドレスとを読み出してメモリ４０２に保持する。
【００８９】
例えばアプリケーション利用制御装置１０１より受信したユーザ情報やアプリケーション情報中に「USER-running:192.168.0.1」や「AP1 running on 192.168.0.2」等の情報が含まれている場合、これら情報を解釈して、ユーザの使用している情報処理装置のＩＰ(Internet Protocol)アドレス「192.168.0.1」や、アプリケーションの動作している情報処理装置のＩＰアドレス「192.168.0.2」とを読み出してメモリ４０２に保持する。
【００９０】
ステップ１００３でネットワークアクセス制御装置解釈手段４１２は、通信装置４０７を用いてネットワークアクセス制御装置１０２に対してアクセス制御情報の送信を要求する。
【００９１】
図１１は本実施形態のネットワークアクセス制御装置１０２のアクセス制御情報送受信処理の処理手順を示すフローチャートである。ステップ１１０１でネットワークアクセス制御装置１０２は、アクセス制御情報の送信要求を、通信装置３０７経由でアクセス統合制御装置１０３から受信しているかどうかを調べ、前記送信要求を受信している場合にはステップ１１０２へ進む。
【００９２】
ステップ１１０２でネットワークアクセス制御装置１０２は、ネットワークアクセス情報格納手段３１３により、どのアドレスからどのアドレスへのアクセスは可能であるか等のアクセス情報、どこのポートへのアクセスなら許可するか等のポートのアクセス情報、どのプロトコルでの通信なら許可するか等のプロトコルのアクセス情報といった、ネットワークアクセス制御に必要なアクセス制御情報を読み出し、ステップ１１０３では、前記読み出したアクセス制御情報を、通信装置３０７を用いてアクセス統合制御装置１０３へ送信する。
【００９３】
図１０のステップ１００３でアクセス統合制御装置１０３のネットワークアクセス制御装置解釈手段４１２は、ネットワークアクセス制御装置１０２から送信されたアクセス制御情報を受信し、ネットワークアクセス制御装置１０２で用いられている情報のフォーマットを示すアクセス制御情報フォーマットを参照してアクセス制御情報を読み出し、ネットワークアクセス制御装置１０２でのネットワークアクセス制御の内容を解釈する。
【００９４】
その際、ステップ１００２でメモリ４０２に保持したユーザのアドレスからアプリケーションのアドレスへの通信がネットワークアクセス制御装置１０２で許可されているかどうかを判定する。
【００９５】
例えばネットワークアクセス制御装置１０２より受信したアクセス制御情報が「if (source: 192.168.0.1) then (Allow 192.168.0.4)」である場合、ネットワークアクセス制御装置１０２ではアドレス「192.168.0.1」からアドレス「192.168.0.4」への通信のみが許可されていると解釈した後、メモリ４０２に保持したユーザの使用している情報処理装置のＩＰアドレス「192.168.0.1」及びアプリケーションの動作している情報処理装置のＩＰアドレス「192.168.0.2」と比較し、ユーザのアドレス「192.168.0.1」からアプリケーションのアドレス「192.168.0.2」への通信はネットワークアクセス制御装置１０２で許可されていないものとして判定する。
【００９６】
ステップ１００４でアクセス解釈仲介手段４１３は、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とを比較して、アプリケーションに対する利用制御の内容とネットワークアクセス制御の内容との間に矛盾が生じているかどうかを判定し、矛盾がある場合にはステップ１００５へ進む。
【００９７】
すなわち、ステップ１００１で受信したアプリケーション利用制御装置１０１での利用可否判定結果が当該ユーザによるアプリケーションの利用を許可するものであると共に、そのユーザのアドレスからアプリケーションのアドレスへの通信がネットワークアクセス制御装置１０２で許可されていない場合か、アプリケーション利用制御装置１０１での利用可否判定結果が当該ユーザによるアプリケーションの利用を許可しないものであると共に、そのユーザのアドレスからアプリケーションのアドレスへの通信がネットワークアクセス制御装置１０２で許可されている場合のいずれかの際には、前記矛盾が生じているものと判定する。
【００９８】
ステップ１００６でアクセス解釈仲介手段４１３は、そのユーザのアドレスからアプリケーションのアドレスへの通信を許可する為のアクセス制御情報を、アクセス統合制御装置１０３で保持しているルール情報に従って生成する。
【００９９】
すなわち、アプリケーション利用制御装置解釈手段４１１によって解釈され、メモリ４０２に保持されている情報の中からユーザのアドレスとアプリケーションのアドレスとを抽出し、ネットワークアクセス制御装置１０２で用いられているフォーマットに合わせてそれらのアドレスを設定したアクセス制御情報を生成する。例えば、ユーザのアドレス「192.168.0.1」とアプリケーションのアドレス「192.168.0.2」を抽出して、「if (source: 192.168.0.1) then (Allow 192.168.0.2)」等のアクセス制御情報を生成する。
【０１００】
一方、ステップ１００７では、そのユーザのアドレスからアプリケーションのアドレスへの通信を遮断する為のアクセス制御情報を生成する。これは、そのユーザのアドレスからアプリケーションのアドレスへの通信を許可しているアクセス制御情報の削除を指示する制御情報であるものとするが、通信を遮断する為のアクセス制御情報を生成するものとしても良い。
【０１０１】
ステップ１００８でアクセス解釈仲介手段４１３は、通信装置４０７を用いてネットワークアクセス制御装置１０２へ前記生成したアクセス制御情報を送信し、アクセス制御情報の更新をネットワークアクセス制御装置１０２に指示する。
【０１０２】
図１１のステップ１１０４でネットワークアクセス制御装置１０２は、アクセス制御情報の更新指示を、通信装置３０７経由でアクセス統合制御装置１０３から受信しているかどうかを調べ、前記更新指示を受信している場合にはステップ１１０５へ進む。
【０１０３】
ステップ１１０５でネットワークアクセス制御装置１０２は、前記更新指示として受信したアクセス制御情報を、ネットワークアクセス情報格納手段３１３により磁気ディスク装置３０３へ格納し、アクセス制御情報の更新を行う。そしてステップ１１０６では、アクセス制御情報の更新が終了したことを示す応答を生成し、通信装置３０７を用いてアクセス統合制御装置１０３へ送信する。
【０１０４】
図１０のステップ１００９でアクセス統合制御装置１０３のアクセス解釈仲介手段４１３は、アクセス制御情報の更新指示に対する応答をネットワークアクセス制御装置１０２から受信しているかどうかを調べ、その応答を受信している場合にはステップ１０１０へ進む。
【０１０５】
ステップ１０１０でアクセス解釈仲介手段４１３は、アプリケーション利用制御装置１０１での利用可否判定結果に応じたネットワークアクセス制御が行われたことを示す応答を生成し、通信装置４０７によりアプリケーション利用制御装置１０１へ送信する。
【０１０６】
図９のステップ９０８でアプリケーション利用制御装置１０１のアプリケーション利用可否判定手段２１３は、利用可否判定結果に応じたネットワークアクセス制御依頼に対する応答をアクセス統合制御装置１０３から受信しているかどうかを調べ、その応答を受信している場合にはステップ９０９へ進む。
【０１０７】
ステップ９０９でアプリケーション利用可否判定手段２１３は、ステップ９０６でメモリ２０２に保持した利用可否判定結果を参照して、前記アプリケーションに対する当該ユーザの利用が許可されているかどうかを調べ、ユーザの利用が許可されている場合にはステップ９１０へ進み、そうでない場合にはステップ９１１へ進む。
【０１０８】
ステップ９１０でアプリケーション利用可否判定手段２１３は、要求されたアプリケーションの利用が許可されたことを示す応答を生成して、その利用要求を送信したユーザ側の情報処理装置へ送信し、一方、ステップ９１１では、要求されたアプリケーションの利用が許可されなかったことを示す応答を生成して、その利用要求を送信したユーザ側の情報処理装置へ送信する。
【０１０９】
利用要求を行ったアプリケーションの利用が許可された場合、ユーザ側の情報処理装置では、そのアプリケーションの動作している情報処理装置との通信をネットワークアクセス制御装置１０２経由で行う。
【０１１０】
図１２は本実施形態のネットワークアクセス制御装置１０２でのアクセス制御処理の処理手順を示すフローチャートである。ステップ１２０１でネットワークアクセス制御装置１０２のネットワーク状態監視手段３１２は、ネットワークの通信状態を監視してユーザ側の情報処理装置からアプリケーションの動作している情報処理装置への通信要求を受信しているかどうかを調べ、前記通信要求を受信している場合にはステップ１２０２へ進む。
【０１１１】
ステップ１２０２でネットワークアクセス可否判定手段３１１は、ネットワークアクセス情報格納手段３１３により、アクセス統合制御装置１０３から受信した情報によって更新されているアクセス制御情報を読み出す。
【０１１２】
ステップ１２０３では、ステップ１２０１で受信した通信要求のアドレスと、ステップ１２０２で読み出したアクセス制御情報中に示されている、通信によるアクセスを許すアドレス、ポートやプロトコル等の複数の条件とを比較して、そのユーザ側の情報処理装置によるネットワークへのアクセスの可否を判定し、そのユーザ側の情報処理装置による通信が許可されていると判定された場合にはステップ１２０４へ進み、通信が許可されていないと判定された場合にはステップ１２０５へ進む。
【０１１３】
ステップ１２０４でネットワークアクセス可否判定手段３１１は、ステップ１２０１で通信要求と共に受信しているデータを、そのヘッダに示された送信先のアドレスへ送出し、一方ステップ１２０５では、前記受信しているデータを破棄してその通信を遮断する。
【０１１４】
前記の様に本実施形態のネットワーク利用統合制御システム１００では、アプリケーション利用制御装置１０１のユーザ情報及びアプリケーション情報並びに利用可否判定結果から成る利用権情報と、ネットワークアクセス制御装置１０２のネットワークに対するアクセス制御情報から成るアクセス権情報の両者の情報を統合してネットワークアクセスの管理及び制御を行うので、アプリケーション利用制御側で保有する利用権情報に応じてネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実行し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能である。
【０１１５】
次に、本実施形態のネットワーク利用統合制御システム１００における、具体的な処理例について説明する。まずこの処理例を説明する為に必要な前提条件を以下に示す（＜＞内は条件の簡単な説明）。なお、以下の条件内にあるＡＰとはアプリケーションの略である。
アプリケーション利用制御装置１０１は、この処理例において以下の様なアプリケーション情報とユーザ情報を持っているものとする。
【０１１６】
■アプリケーション利用制御装置１０１
−利用権情報格納機能が持つ情報
−アプリケーション情報格納手段２１５
「if (USER-Attr:President or Chief) then (use AP1, AP2)」
＜ユーザがPresidentかChiefの属性を持つ場合AP1、AP2を利用できる＞
「if (USER-Attr:Staff) then (use AP3)」
＜ユーザがStaffの属性を持つ場合AP3を利用できる＞
「AP1 running on 192.168.0.2」
＜AP1はアドレス192.168.0.2上で動作している＞
「AP2 running on 192.168.0.3」
「AP3 running on 192.168.0.4」
−ユーザ情報格納手段２１４
「USER-NAME:USER-X」
「USER-ID:user0000000001」
「USER-Attr:Chief」
「USER-running:192.168.0.1」
【０１１７】
前記の様に、この処理例でアプリケーション利用制御装置１０１のアプリケーション情報格納手段２１５は、アプリケーションの利用条件を示す情報として「if (USER-Attr:President or Chief) then (use AP1, AP2)」と「if (USER-Attr:Staff) then (use AP3)」を格納しており、これらの情報は、ユーザがPresidentかChiefの属性を持つ場合にアプリケーションのAP1、AP2を利用することが可能であり、またユーザがStaffの属性を持つ場合にアプリケーションのAP3を利用できることを表している。
【０１１８】
また、アプリケーションの動作している場所を示す情報として「AP1 running on 192.168.0.2」等を格納しており、これはアプリケーションのAP1がアドレス192.168.0.2の情報処理装置上で動作していることを表している。
【０１１９】
さらにアプリケーション利用制御装置１０１のユーザ情報格納手段２１４は、ユーザ情報として「USER-NAME:USER-X」、「USER-ID:user0000000001」、「USER-Attr:Chief」、「USER-running:192.168.0.1」を格納しており、これらの情報は、ユーザＩＤが「user0000000001」であるユーザ「USER-X」のユーザ属性は「Chief」であり、アドレス「192.168.0.1」の情報処理装置からアクセス中であることを表している。
また、ネットワークアクセス制御装置１０２は、この処理例において以下の様なアクセス制御情報とユーザ情報を持っているものとする。
【０１２０】
■ネットワークアクセス制御装置１０２
−アクセス制御情報格納機能が持つ情報
−ネットワークアクセス情報格納手段３１３
−「if (source: 192.168.0.1) then (Allow 192.168.0.4)」
＜通信要求元アドレスが192.168.0.1なら192.168.0.4への通信は許可する＞
【０１２１】
前記の様に、この処理例でネットワークアクセス制御装置１０２のネットワークアクセス情報格納手段３１３は、ネットワークへのアクセスを制御する為のアクセス制御情報として「if (source: 192.168.0.1) then (Allow 192.168.0.4)」を格納しており、このアクセス制御情報は、ネットワークアクセス制御装置１０２に対して通信要求が行われた場合に、その通信要求元アドレスが「192.168.0.1」ならばアドレス「192.168.0.4」への通信を許可することを表している。
【０１２２】
そして、アクセス統合制御装置１０３は、この処理例において以下の様な、アプリケーション利用制御装置１０１からの要求を解釈する為の情報と、ネットワークアクセス制御装置１０２によるネットワークアクセス制御の状態を解釈する為の情報と、ネットワークに対するアクセス制御情報を変更する為のルール情報を持っているものとする。
【０１２３】
■アクセス統合制御装置１０３
−アクセス解釈仲介機能が持つ情報
−アプリケーション利用制御装置解釈手段４１１
「USER-running = 現在のユーザの場所」
「USER-Attr = ユーザの属性」
「USER-ID = ユーザのＩＤ」
「USER-NAME = ユーザの名前」
「running on X = アプリケーションが動作している場所」
「if (X) then (Y) = XならばYが利用できる」
−ネットワークアクセス制御装置解釈手段４１２
「if (source X) then (Allow Y) = 要求元がXならばYへのアクセスを許す」
−アクセス解釈仲介手段４１３
「rule 1. アプリケーション利用制御装置より取得したアプリケーション情報より［アプリケーションが動作している場所］と［現在のユーザの場所］を抽出」
「rule 2. 1により取得した［アプリケーションが動作している場所］をＡ、［現在のユーザの場所］をＢとし、ネットワークアクセス制御装置［要求元がXならばYへのアクセスを許す］に対してX=B、Y=Aとする」
【０１２４】
前記の様に、この処理例でアクセス統合制御装置１０３のアプリケーション利用制御装置解釈手段４１１は、アプリケーション利用制御装置１０１からの要求を解釈する為のフォーマット情報として「USER-running = 現在のユーザの場所」、「USER-Attr = ユーザの属性」、「USER-ID = ユーザのＩＤ」、「USER-NAME = ユーザの名前」、「running on X = アプリケーションが動作している場所」、「if (X) then (Y) = XならばYが利用できる」を格納しており、これらの情報は、アプリケーション利用制御装置１０１からのユーザ情報及びアプリケーション情報を受信した場合に、それらの情報中の「USER-running」に続く部分を、ユーザが現在使用している情報処理装置のアドレスを示す情報として解釈し、以下同様に「USER-Attr」に続く部分をユーザの属性、「USER-ID」に続く部分をユーザのＩＤ、「USER-NAME」に続く部分をユーザの名前、「running on X」に続く部分をアプリケーションが現在動作している情報処理装置のアドレス、「if (X) then (Y)」をアプリケーションの利用条件として解釈することを表している。
【０１２５】
またアクセス統合制御装置１０３のネットワークアクセス制御装置解釈手段４１２は、ネットワークアクセス制御装置１０２によるネットワークアクセス制御の状態を解釈する為のフォーマット情報として、「if (source X) then (Allow Y) = 要求元がXならばYへのアクセスを許す」を格納しており、この情報は、ネットワークアクセス制御装置１０２からアクセス制御情報を受信した場合に、その情報中の「if (source X) then (Allow Y)」の部分を、要求元のアドレスがXならばアドレスYへの通信を許可する制御をネットワークアクセス制御装置１０２で行っているものとして解釈することを表している。
【０１２６】
さらにアクセス統合制御装置１０３のアクセス解釈仲介手段４１３は、ユーザに対してアプリケーションの使用を許可する際にネットワークに対するアクセス制御情報を変更する為のルール情報として、「rule 1.」及び「rule 2.」を格納しており、この情報は、アプリケーション利用制御装置１０１から取得したアプリケーション情報よりアプリケーションが動作している情報処理装置のアドレスとユーザが使用している情報処理装置のアドレスを抽出し、ネットワークアクセス制御装置１０２のアクセス制御情報「if (source X) then (Allow Y)」のXにユーザのアドレスYへアプリケーションのアドレスを設定してアクセス制御情報を作成することを表している。
【０１２７】
以下に、本実施形態のネットワーク利用統合制御システム１００において、前記（１）〜（３）の処理を前記前提条件で行った場合の具体的な処理内容について説明する。
まず、前記前提条件で（１）のアプリケーション利用制御装置１０１におけるアプリケーションの利用制御と、（３）のネットワークアクセス制御装置１０２におけるネットワークのアクセス制御を行った場合の処理内容について説明する。
【０１２８】
（１）アプリケーション利用制御装置１０１におけるアプリケーションの利用制御の例
USER-Xというユーザ名を持つユーザがAP1を利用しようとした場合、上記ユーザ情報とアプリケーションに関する利用権情報を持つアプリケーション利用制御装置１０１は、AP1の利用の為にはアプリケーション情報格納手段２１５内の１行目の情報によりUSER-Attrという属性がPresidentかChiefが必要であると判断する。利用権制御機能は、この条件でユーザ情報格納手段２１４内の情報（USER-Attr:Chief）を比較する。これによりアプリケーション利用制御装置１０１は、USER-XがChiefのユーザ属性を持つことを確認できたのでUSER-Xに対してAP1の利用を許可する。
【０１２９】
そして通信装置２０７を用いてアクセス統合制御装置１０３に対し、利用可否判定の結果（本例では可）、アプリケーション状態監視手段２１２が監視しているアプリケーションの状態（本例ではAP1は192.168.0.2で動作しているという状態）、ユーザ状態監視手段２１１（本例ではUSER-Xは現在192.168.0.1にいるという状態）を送信する。
【０１３０】
（３）ネットワークアクセス制御装置１０２におけるネットワークのアクセス制御の例
USER-Xがアドレス192.168.0.1からアドレス192.168.0.2に対して通信を行おうとした場合、ネットワークアクセス制御装置１０２は、アクセス制御情報格納機能内のネットワークアクセス情報格納手段３１３の情報を確認する。
アクセス制御情報格納機能は、アドレス192.168.0.1からの通信が許されているアドレスは192.168.0.4のみであることを確認する。これによりネットワークアクセス制御装置１０２はアドレス192.168.0.1からの通信を遮断する。
【０１３１】
この様に、上記（１）（３）の制御が、それぞれ独立で行われている場合に（１）でAP1の利用を許可された場合、（３）においてAP1が動作している192.168.0.2に対する通信をネットワークアクセス制御装置１０２が遮断してしまう為、AP1の利用が不可能となってしまう。
【０１３２】
次に、前記前提条件で（１）のアプリケーション利用制御装置１０１におけるアプリケーションの利用制御の後、（２）のアクセス統合制御装置１０３における、アプリケーション利用制御装置１０１とネットワークアクセス制御装置１０２の状態解釈とアクセス制御情報の変更を行う場合の処理内容について説明する。
【０１３３】
（２）アクセス統合制御装置１０３における、アプリケーション利用制御装置１０１とネットワークアクセス制御装置１０２の状態解釈とアクセス制御情報の変更の例
上記の様に（１）（３）の制御がそれぞれ独立で行われている場合には（１）でAP1の利用を許可されても、（３）においてAP1が動作している192.168.0.2に対する通信をネットワークアクセス制御装置１０２が遮断してしまう為、AP1の利用が不可能であった。
【０１３４】
ここで、アクセス統合制御装置１０３は、アプリケーション利用制御装置１０１よりアプリケーション情報とユーザ情報を取得し、そこから［アプリケーションが動作している場所］（本例では192.168.0.2）と［現在のユーザの場所］（本例では192.168.0.1）を抽出する。
【０１３５】
抽出したアドレスの情報よりアクセス統合制御装置１０３は、ネットワークアクセス制御装置１０２のアクセス制御情報格納機能に「if (source: 192.168.0.1) then (Allow 192.168.0.2)」という情報を追加する。これによりUSER-XはAP1が動作しているアドレスに到達することが可能となる。よってUSER-Xは、（１）及び（３）の制御がそれぞれ独立して動作していたときには利用できなかったAP1の利用が可能となる。
【０１３６】
以上説明した様に本実施形態のネットワーク利用統合制御システムによれば、アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権の両者の情報を統合してネットワークアクセスの管理及び制御を行うので、アプリケーション利用制御側で保有する利用権情報に応じて、ネットワークアクセスの為のアクセス制御情報を更新することでネットワークに対するアクセス制御を実施し、アプリケーションレイヤとネットワークレイヤとを統一的に制御することでネットワークアクセスの安全性を保障することが可能である。
【０１３７】
以上、本発明者によってなされた発明を、前記実施形態に基づき具体的に説明したが、本発明は、前記実施形態に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。
【０１３８】
【発明の効果】
以上説明した様に、本発明においては、次の様な効果を奏する。
第１の効果は、アプリケーション利用制御装置とネットワークアクセス制御装置において利用権制御機能とアクセス制御機能とで設定が矛盾する場合、アクセス統合制御装置を用いて設定の変換を行うことにより矛盾を解消させることが出来ることである。これによりアプリケーションレイヤで利用を禁じていたにもかかわらず、ネットワークレイヤ経由でアプリケーションを起動してしまうという不正を無くすことができると共に、アプリケーションレイヤで利用権を獲得した場合、ネットワークレイヤでの利用が可能となる。
第２の効果は、アプリケーション利用制御装置においてアプリケーション利用に関する設定が変更された場合、変更された情報がアクセス統合制御装置を通じてネットワークアクセス制御装置に反映される為、利用権管理とアクセス管理を一貫して実施することが出来ることである。
【図面の簡単な説明】
【図１】本実施形態のネットワーク利用統合制御システムの構成例を示す図である。
【図２】本実施形態のアプリケーション利用制御装置１０１の構成例を示す図である。
【図３】本実施形態のネットワークアクセス制御装置１０２の構成例を示す図である。
【図４】本実施形態のアクセス統合制御装置１０３の構成例を示す図である。
【図５】本実施形態のアプリケーション利用制御装置１０１の制御シーケンス例を示す図である。
【図６】本実施形態のネットワークアクセス制御装置１０２の制御シーケンス例を示す図である。
【図７】本実施形態のアクセス統合制御装置１０３の制御シーケンスを示す図である。
【図８】本実施形態の各装置の構成例を示す図である。
【図９】本実施形態のアプリケーション利用制御装置１０１の処理手順を示すフローチャートである。
【図１０】本実施形態のアクセス統合制御装置１０３の処理手順を示すフローチャートである。
【図１１】本実施形態のネットワークアクセス制御装置１０２のアクセス制御情報送受信処理の処理手順を示すフローチャートである。
【図１２】本実施形態のネットワークアクセス制御装置１０２でのアクセス制御処理の処理手順を示すフローチャートである。
【符号の説明】
１００…ネットワーク利用統合制御システム、１０１…アプリケーション利用制御装置、１０２…ネットワークアクセス制御装置、１０３…アクセス統合制御装置、２０１…ＣＰＵ、２０２…メモリ、２０３…磁気ディスク装置、２０４…入力装置、２０５…出力装置、２０６…ＣＤ−ＲＯＭ装置、２０７…通信装置、２１１…ユーザ状態監視手段、２１２…アプリケーション状態監視手段、２１３…アプリケーション利用可否判定手段、２１４…ユーザ情報格納手段、２１５…アプリケーション情報格納手段、３０１…ＣＰＵ、３０２…メモリ、３０３…磁気ディスク装置、３０４…入力装置、３０５…出力装置、３０６…ＣＤ−ＲＯＭ装置、３０７…通信装置、３１１…ネットワークアクセス可否判定手段、３１２…ネットワーク状態監視手段、３１３…ネットワークアクセス情報格納手段、４０１…ＣＰＵ、４０２…メモリ、４０３…磁気ディスク装置、４０４…入力装置、４０５…出力装置、４０６…ＣＤ−ＲＯＭ装置、４０７…通信装置、４１１…アプリケーション利用制御装置解釈手段、４１２…ネットワークアクセス制御装置解釈手段、４１３…アクセス解釈仲介手段。
Claims (12)
- アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御するアクセス統合制御方法であって、
通信手段を用いてアプリケーション利用制御装置より受信したユーザ情報及びアプリケーション情報を基に、アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈するステップと、
通信手段を用いてネットワークアクセス制御装置より受信したアクセス制御情報を基に、ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈するステップと、
前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容との間の矛盾の有無を判定して、アプリケーション利用制御装置で要求されているネットワークアクセス制御を行う為のアクセス制御情報を生成し、通信手段を用いてネットワークアクセス制御装置へ送信してアクセス制御情報の更新をネットワークアクセス制御装置に指示するステップとを有することを特徴とするアクセス統合制御方法。 - アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御するアクセス統合制御方法であって、
アプリケーションを利用するユーザの状態を監視するステップと、ユーザによって利用されるアプリケーションの状態を監視するステップと、前記監視により取得された情報を含むユーザ情報及びアプリケーション情報を基に、そのアプリケーションに対する当該ユーザの利用可否を判定し、通信手段を用いてアプリケーション利用制御装置からアクセス統合制御装置へ前記ユーザ情報及びアプリケーション情報を送信するステップと、
前記送信されたユーザ情報及びアプリケーション情報を基に、アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈するステップと、
通信手段を用いてネットワークアクセス制御装置からアクセス統合制御装置へアクセス制御情報を送信するステップと、前記送信されたアクセス制御情報を基に、ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈するステップと、
前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容との間の矛盾の有無を判定して、アプリケーション利用制御装置で要求されているネットワークアクセス制御を行う為のアクセス制御情報を生成し、通信手段を用いてネットワークアクセス制御装置へ前記生成したアクセス制御情報を送信してアクセス制御情報の更新をネットワークアクセス制御装置に指示するステップと、
前記送信されたアクセス制御情報を格納してネットワークアクセス制御装置内のアクセス制御情報を更新するステップとを有することを特徴とするアクセス統合制御方法。 - 前記アプリケーションを利用するユーザの状態を監視する際に、そのユーザの情報処理装置に割り当てられているアドレスを、当該ユーザが現在いる場所を示す情報としてユーザ情報内に格納し、前記ユーザによって利用されるアプリケーションの状態を監視する際に、そのアプリケーションが動作している情報処理装置のアドレスを、当該アプリケーションが現在動作している場所を示す情報としてアプリケーション情報内に格納することを特徴とする請求項２に記載されたアクセス統合制御方法。
- 前記アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈する際に、そのアプリケーション利用制御装置より受信したユーザ情報及びアプリケーション情報から、ユーザの使用している情報処理装置のアドレスとアプリケーションの動作している情報処理装置のアドレスとを読み出し、前記ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈する際に、前記読み出したユーザのアドレスから前記アプリケーションのアドレスへの通信がそのネットワークアクセス制御装置で許可されているかどうかを判定することを特徴とする請求項１乃至請求項３のいずれか１項に記載されたアクセス統合制御方法。
- 前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とが矛盾している場合に、ユーザの使用している情報処理装置からアプリケーションの動作している情報処理装置への通信を許可または遮断する為のアクセス制御情報を生成してネットワークアクセス制御装置へ送信することを特徴とする請求項１乃至請求項４のいずれか１項に記載されたアクセス統合制御方法。
- アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御するアクセス統合制御装置であって、
通信手段を用いてアプリケーション利用制御装置より受信したユーザ情報及びアプリケーション情報を基に、アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈するアプリケーション利用制御装置解釈手段と、
通信手段を用いてネットワークアクセス制御装置より受信したアクセス制御情報を基に、ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈するネットワークアクセス制御装置解釈手段と、
前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容との間の矛盾の有無を判定して、アプリケーション利用制御装置で要求されているネットワークアクセス制御を行う為のアクセス制御情報を生成し、通信手段を用いてネットワークアクセス制御装置へ送信するアクセス解釈仲介手段とを備えることを特徴とするアクセス統合制御装置。 - 前記アプリケーション利用制御装置解釈手段は、前記アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈する際に、そのアプリケーション利用制御装置より受信したユーザ情報及びアプリケーション情報から、ユーザの使用している情報処理装置のアドレスとアプリケーションの動作している情報処理装置のアドレスとを読み出すものであり、
前記ネットワークアクセス制御装置解釈手段は、前記ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈する際に、前記アプリケーション利用制御装置解釈手段によって読み出されたユーザのアドレスからアプリケーションのアドレスへの通信がそのネットワークアクセス制御装置で許可されているかどうかを判定するものであることを特徴とする請求項６に記載されたアクセス統合制御装置。 - 前記アクセス解釈仲介手段は、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とが矛盾している場合に、ユーザの使用している情報処理装置からアプリケーションの動作している情報処理装置への通信を許可または遮断する為のアクセス制御情報を生成してネットワークアクセス制御装置へ送信するものであることを特徴とする請求項６または請求項７のいずれかに記載されたアクセス統合制御装置。
- アプリケーションレイヤに属するアプリケーションに対する利用権とネットワークレイヤに属するネットワークアクセス権を統合して制御するネットワーク利用統合制御システムであって、
アプリケーションを利用するユーザの状態を監視するユーザ状態監視手段と、ユーザによって利用されるアプリケーションの状態を監視するアプリケーション状態監視手段と、前記監視により取得された情報を含むユーザ情報及びアプリケーション情報を基に、そのアプリケーションに対する当該ユーザの利用可否を判定し、通信手段を用いてアクセス統合制御装置へ前記ユーザ情報及びアプリケーション情報を送信するアプリケーション利用可否判定手段とを備えるアプリケーション利用制御装置と、
通信手段を用いてアプリケーション利用制御装置より受信したユーザ情報及びアプリケーション情報を基に、アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈するアプリケーション利用制御装置解釈手段と、通信手段を用いてネットワークアクセス制御装置より受信したアクセス制御情報を基に、ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈するネットワークアクセス制御装置解釈手段と、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容との間の矛盾の有無を判定して、アプリケーション利用制御装置で要求されているネットワークアクセス制御を行う為のアクセス制御情報を生成し、通信手段を用いてネットワークアクセス制御装置へ前記生成したアクセス制御情報を送信するアクセス解釈仲介手段とを備えるアクセス統合制御装置と、
通信手段を用いてアクセス統合制御装置から受信したアクセス制御情報を格納してネットワークアクセス制御装置内のアクセス制御情報を更新するネットワークアクセス情報格納手段を備えるネットワークアクセス制御装置とを具備することを特徴とするネットワーク利用統合制御システム。 - 前記ユーザ状態監視手段は、アプリケーションを利用するユーザの状態を監視する際に、そのユーザの情報処理装置に割り当てられているアドレスを、当該ユーザが現在いる場所を示す情報としてユーザ情報内に格納するものであり、
前記アプリケーション状態監視手段は、ユーザによって利用されるアプリケーションの状態を監視する際に、そのアプリケーションが動作している情報処理装置のアドレスを、当該アプリケーションが現在動作している場所を示す情報としてアプリケーション情報内に格納するものであることを特徴とする請求項９に記載されたネットワーク利用統合制御システム。 - 前記アプリケーション利用制御装置解釈手段は、前記アプリケーション利用制御装置でのアプリケーションに対する利用制御の内容を解釈する際に、そのアプリケーション利用制御装置より受信したユーザ情報及びアプリケーション情報から、ユーザの使用している情報処理装置のアドレスとアプリケーションの動作している情報処理装置のアドレスとを読み出すものであり、
前記ネットワークアクセス制御装置解釈手段は、前記ネットワークアクセス制御装置でのネットワークアクセス制御の内容を解釈する際に、前記アプリケーション利用制御装置解釈手段によって読み出されたユーザのアドレスからアプリケーションのアドレスへの通信がそのネットワークアクセス制御装置で許可されているかどうかを判定するものであることを特徴とする請求項９または請求項１０のいずれかに記載されたネットワーク利用統合制御システム。 - 前記アクセス解釈仲介手段は、前記解釈したアプリケーションに対する利用制御の内容とネットワークアクセス制御の内容とが矛盾している場合に、ユーザの使用している情報処理装置からアプリケーションの動作している情報処理装置への通信を許可または遮断する為のアクセス制御情報を生成してネットワークアクセス制御装置へ送信するものであることを特徴とする請求項９乃至請求項１１のいずれか１項に記載されたネットワーク利用統合制御システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003050636A JP3929912B2 (ja) | 2003-02-27 | 2003-02-27 | アクセス統合制御方法及びアクセス統合制御装置と当該装置を用いたネットワーク利用統合制御システム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003050636A JP3929912B2 (ja) | 2003-02-27 | 2003-02-27 | アクセス統合制御方法及びアクセス統合制御装置と当該装置を用いたネットワーク利用統合制御システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004259102A JP2004259102A (ja) | 2004-09-16 |
| JP3929912B2 true JP3929912B2 (ja) | 2007-06-13 |
Family
ID=33115996
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003050636A Expired - Lifetime JP3929912B2 (ja) | 2003-02-27 | 2003-02-27 | アクセス統合制御方法及びアクセス統合制御装置と当該装置を用いたネットワーク利用統合制御システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3929912B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP6972838B2 (ja) | 2017-09-25 | 2021-11-24 | 株式会社リコー | 情報処理システム、情報処理装置及び情報処理方法 |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH0969083A (ja) * | 1995-08-31 | 1997-03-11 | Toshiba Corp | 分散運用管理方式及び障害管理方式 |
| JP3659052B2 (ja) * | 1999-02-23 | 2005-06-15 | 株式会社日立製作所 | ネットワーク管理システム |
| JP2000305776A (ja) * | 1999-04-21 | 2000-11-02 | Mitsubishi Electric Systemware Corp | ソフトウェア利用権チェックシステム及びプログラムを記憶したコンピュータにより読み取り可能な記憶媒体 |
-
2003
- 2003-02-27 JP JP2003050636A patent/JP3929912B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004259102A (ja) | 2004-09-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11153081B2 (en) | System for user-friendly access control setup using a protected setup | |
| US7631181B2 (en) | Communication apparatus and method, and program for applying security policy | |
| JP3915797B2 (ja) | プラグアンドプレイ機能を有するフレームワークおよびその再構成方法 | |
| US7668939B2 (en) | Routing of resource information in a network | |
| US8561147B2 (en) | Method and apparatus for controlling of remote access to a local network | |
| US7743250B2 (en) | Traffic manager for distributed computing environments | |
| JP4546720B2 (ja) | 共通のグループラベルを用いたピア・ツー・ピアネットワークにおけるノード間の通信のための方法 | |
| KR101631618B1 (ko) | 가상 개인화 그룹 생성 방법 및 가상 개인화 그룹을 이용하는 통신 기기와 허브를 포함하는 네트워크 | |
| US20060156388A1 (en) | Method and apparatus for a security framework that enables identity and access control services | |
| EP1427141A1 (en) | Method for creating a peer-to-peer home network using common group label | |
| US20070220563A1 (en) | Method and apparatus for media sharing | |
| JP5745656B2 (ja) | ホームネットワークにおける個人情報保護方法及び装置 | |
| KR20070117502A (ko) | 네트워크 내의 ｃｅ 장치로의 접근 제어에 관한 방법 및시스템 | |
| WO2009027909A2 (en) | Apparatus and method for managing access to one or more network resources | |
| Balfanz et al. | A security infrastructure for distributed Java applications | |
| JP4284060B2 (ja) | 分散システムおよびサービス授受環境形成方法 | |
| JP3929912B2 (ja) | アクセス統合制御方法及びアクセス統合制御装置と当該装置を用いたネットワーク利用統合制御システム | |
| Loeser et al. | Peer-to-peer networks for virtual home environments | |
| Greaves et al. | Access control for secure information sharing in smart content spaces | |
| US8671178B2 (en) | Information processing system and method providing a remote access | |
| Ouardi et al. | Technical and semantic interoperability in the cloud broker | |
| KR100665436B1 (ko) | 홈네트워크를 통한 파일 서버 관리 방법 | |
| Biermann et al. | FIT: Future internet toolbox | |
| JP2001127759A (ja) | 情報配布システム及び記憶媒体 | |
| JP2005086445A (ja) | ネットワーク構築方法、ネットワーク構築装置、およびネットワーク構築プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20040930 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20061212 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070208 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070306 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070307 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3929912 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110316 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110316 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120316 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130316 Year of fee payment: 6 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |