JP4068125B2

JP4068125B2 - データアクセス方法および計算機システム

Info

Publication number: JP4068125B2
Application number: JP2007023011A
Authority: JP
Inventors: 昌義大木; 幸治西本; 信行浜
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2007-02-01
Filing date: 2007-02-01
Publication date: 2008-03-26
Anticipated expiration: 2015-11-29
Also published as: JP2007157172A

Description

本発明は、機密保護方法に係り、特に複数のシステムに亘って他のユーザのユーザデータを参照するときの機密保護方法に関する。

データファイルの機密保護方法として、ユーザＩＤやパスワードによる機密保護方法が知られている。この方法によれば、システムにユーザＩＤやパスワードを登録しておき、ユーザが入力したユーザＩＤやパスワードが登録されたものと一致するときのみ、データファイルへのアクセスを許可する。さらにユーザ又はユーザグループとデータファイルとに応じてアクセス不可、参照のみ可、更新可のようなアクセスレベルを設け、データファイルの機密保護を行うシステムが知られている。複数のシステムをネットワークによって接続し他システムに登録されているデータファイルにアクセスするときには、他システムにゲスト用のユーザＩＤをゲストＩＤとして登録しておき、ゲストＩＤのチェックを通過したとき限定されたデータファイルの参照のみを許可するという方法がとられる。すなわちゲストＩＤを使って他のシステムにログインしたユーザは、特定のファイルを参照することのみ許され、その他のファイルを参照することは不可能である。

なおこの種の技術として関連するものには、例えば特許文献１に記載された技術がある。

特開平６−２１９７６号公報

スケジュール管理システムにおいては、各ユーザのユーザデータはそのユーザが所有するスケジュールである。そして会議等を開催する立場のユーザは、他人のスケジュールの空き状態を参照する必要が生じる。しかし他ユーザが他のシステムの管理範囲にある場合には、充分な機密保護なしでユーザデータの参照を許可するか、あるいはこのようなユーザデータの参照を許可しないかのいずれかであり、適切な保護の下でユーザデータの参照を許可するという方法は知られていない。さらに参照されるユーザのデータが参照するユーザと同一システムに属するか他システムに属するかにかかわらず、個人のスケジュールにはビジーである日付や時間帯のようにすべてのユーザに公開できる部分と、出張先、取引先のように営業秘密に属しすべてのユーザには公開できない非公開部分とがある。従来のシステムでは、被参照ユーザ及び参照ユーザのランクに応じて非公開部分の参照権をきめ細かく設定することはできなかった。

本発明の目的は、上記問題点を解決するものであり、適切な機密保護の下に他システムに属するユーザデータの参照を許可する機密保護方法を提供することにある。

本発明の他の目的は、被参照ユーザと参照ユーザのセキュリティランクに応じてユーザデータの参照許可を制御する機密保護方法を提供することにある。

以下システムというとき、ユーザ対応のユーザデータを蓄積し、このユーザデータの参照を許可するユーザのＩＤをユーザＩＤとして登録する機能をもち、その管理範囲は登録されたユーザＩＤの範囲とするような系を言う。本発明は、第１のシステムの管理範囲に属する第１のユーザＩＤを第２のシステムの管理範囲に属する第２のユーザＩＤ（ゲストＩＤ）に変換し、第２のユーザＩＤとユーザデータの所有者に対応する第３のユーザＩＤとが第２のシステムの管理範囲に属するとき、このユーザデータの参照を許可する機密保護方法を特徴とする。

また本発明は、各ユーザについて複数レベルのセキュリティランクのうちの１つを設定し、ユーザデータの参照を要求するユーザのセキュリティランクとユーザデータが参照されるユーザのセキュリティランクとからユーザデータを参照可とするか否かを決定するテーブルを設定し、ユーザデータの参照要求があったときこのテーブルを参照することによってユーザデータの参照可否を決定する機密保護方法を特徴とする。

第１のユーザＩＤをもつユーザは、第１のシステムにログインするとき又は参照要求を発行するとき第１のユーザＩＤがチェックされ、第２のシステムのユーザデータの参照要求をするとき第１のユーザＩＤがＩＤ変換テーブルに登録されていることがチェックされ、参照要求が第２のシステムに渡ったとき第２のユーザＩＤが第２のシステムに登録されていることがチェックされる。このように他システムに属するユーザのユーザデータの参照が許可されるまでに３回のチェックが行われるが、これらのチェックを通過した後は第２のシステムが管理するすべてのユーザデータが参照可能となる。さらに上記のセキュリティランクを採用すると、参照要求するユーザのセキュリティランクとユーザデータが参照されるユーザのセキュリティランクとからユーザデータの少なくとも一部について参照可とするか否かの制御を行うことができる。

以上説明したように本発明によれば、ユーザＩＤのチェック及びゲストＩＤのチェックを通過したユーザについて、他システムに属するすべてのユーザデータを参照することができる。また披参照ユーザ及び参照ユーザのランクに応じてユーザデータの非公開部分の参照権をきめ細かく制御することができる。

以下、本発明の一実施形態について図面を用いて説明する。

図１は、２つのスケジュール管理システムをネットワーク１６によって接続するシステムの構成図である。１はユーザのスケジュールを管理するサーバ、２はローカルエリアネットワーク（以下ＬＡＮと略す）１５を介してサーバ１にアクセスするパーソナルコンピュータ（以下ＰＣと略す）である。図ではＬＡＮ１５に接続される複数のＰＣ２のうち１台のみを図示する。１３は各ユーザのスケジュールを登録するユーザデータであり、スケジュールは公開部分と非公開部分とから成る。１１はユーザデータ１３へのアクセスを許可するユーザＩＤを登録するユーザＩＤテーブルである。１２はユーザのセキュリティランクに応じて他ユーザのスケジュールの非公開部分をアクセスできるか否かを設定するセキュリティテーブルである。１４はユーザＩＤとゲストＩＤ（他のスケジュール管理システムにおけるユーザＩＤ）との対応関係を登録するＩＤ変換テーブルである。８はＬＡＮ１５を介してサーバ１とＰＣ２の間で行う通信を制御するＬＡＮ制御部である。１６は２つのスケジュール管理システムを接続する公衆回線、専用回線、基幹ＬＡＮなどのネットワークである。７はネットワーク１６を介して２つのスケジュール管理システムの間で行う通信を制御するゲートウェイである。３はユーザＩＤテーブル１１を参照してＰＣ２から送られたユーザＩＤ又は他のスケジュール管理システムから送られるゲストＩＤをチェックするとともにユーザＩＤからＰＣ２のアドレスを求めるユーザＩＤ管理部である。４はセキュリティテーブル１２を参照して他ユーザのスケジュールの非公開部分の参照を許可するか否かを判定するセキュリティチェック部である。５はユーザデータ１３から要求されたユーザのスケジュール情報を読み込み、セキュリティチェック部４の判定に応じて許可されるデータをユーザＩＤ管理部３又はゲートウェイ７を介してそれぞれＰＣ２又は他システムへ送るユーザデータ管理部である。６はＩＤ変換テーブル１４を参照してユーザＩＤをゲストＩＤに変換するＩＤ変換部である。図１はネットワーク１６が左側のスケジュール管理システムと右側のスケジュール管理システムとを接続しており、両システムの論理的な機能構成は同じである。同じ構成要素について属するシステムを区別するためにＸ−１、Ｘ−２のように表現する。例えばサーバ１についてサーバ１−１は左側のシステムに属し、サーバ１−２は右側のシステムに属する。サーバ１は、ＰＣ、ワークステーションなどを含む情報処理装置であり、ユーザＩＤ管理部３、セキュリティチェック部４、ユーザデータ管理部５、ＩＤ変換部６等はこの情報処理装置の記憶装置に格納されるプログラムを実行することによって実現される。ユーザＩＤテーブル１１、セキュリティテーブル１２、ユーザデータ１３及びＩＤ変換テーブル１４はこの情報処理装置の記憶装置に格納されるファイル又はテーブルである。

ＰＣ２から送られるユーザのスケジュールへのアクセス要求は、ＬＡＮ１５及びＬＡＮ制御部８を介してサーバ１のユーザＩＤ管理部３によって受信される。ユーザＩＤ管理部３は、ユーザＩＤテーブル１１を参照してユーザＩＤをチェックし、登録されているユーザであれば、そのユーザＩＤとセキュリティランクをセキュリティチェック部４へ渡す。セキュリティチェック部４は、セキュリティテーブル１２を参照して要求されたスケジュールの非公開部分の参照を許可するか否かを判定し、その結果をユーザデータ管理部５へ渡す。ユーザデータ管理部５は、ユーザデータ１３にアクセスし要求されたユーザのスケジュールを読み出し、許可された部分についてユーザＩＤ管理部３、ＬＡＮ制御部８及びＬＡＮ１５を介してＰＣ２へ送信する。一方他のスケジュール管理システムに属するユーザのスケジュールへのアクセス要求は、ユーザＩＤ管理部３を経由してＩＤ変換部６へ渡される。ＩＤ変換部６は、ＩＤ変換テーブル１４を参照してユーザＩＤをゲストＩＤに変換し、ゲートウェイ７及びネットワーク１６を介してスケジュールのアクセス要求を他のシステムへ転送する。他のスケジュール管理システムのサーバ１は、ゲートウェイ７を介してこのアクセス要求を受け取り、ユーザＩＤ管理部３へ渡す。ユーザＩＤ管理部３は、ユーザＩＤテーブル１１を参照してゲストＩＤがユーザＩＤとして登録されているか否かをチェックし、登録されているユーザであればそのユーザＩＤとセキュリティランクをセキュリティチェック部４へ渡す。以下セキュリティチェック部４及びユーザデータ管理部５の処理を行い、ユーザデータ管理部５は要求されたスケジュールの許可された部分をゲートウェイ７及びネットワーク１６を介して元のスケジュール管理システムへ転送する。元のスケジュール管理システムのユーザＩＤ管理部３は、ゲートウェイ７を介してこのデータを受け取り、元のユーザＩＤからＰＣ２のアドレスを求めて、ＬＡＮ制御部８及びＬＡＮ１５を介して要求のあったＰＣ２ヘスケジュール情報を転送する。

図２は、ＩＤ変換テーブル１４のデータ形式の例を示す図である。このテーブルはユーザＩＤとゲストＩＤとの対応関係を設定する。ユーザＩＤは当システムのユーザＩＤテーブル１１に登録されているユーザの識別子、ゲストＩＤは他のシステムのユーザＩＤテーブル１１にユーザＩＤとして登録されているユーザの識別子である。ゲストＩＤは、重複して使用することが可能であり、複数のユーザが１つのゲストＩＤを共用してもよい。

図３は、ユーザＩＤテーブル１１のデータ形式の例を示す図である。このテーブルは、ユーザデータ１３へのアクセスを許可するユーザを登録するものであり、当該スケジュール管理システムの管理範囲に属するユーザの識別子を登録する。各エントリはユーザＩＤ１１１、セキュリティランク１１２及びその他ユーザの属性情報から構成される。セキュリティランク１１２は、セキュリティ上のランク又はレベルを示す区分である。ユーザＩＤ１１１が”Ｂ００１”及び”Ｂ００２”であるエントリは、ゲストＩＤがユーザＩＤとして登録されていることを示す。

図４は、セキュリティテーブル１２のデータ形式の例を示す図である。テーブルは各セキュリティランク１１２ごとにスケジュールの非公開部分の参照権を示している。横軸のアルファベットは披参照者のセキュリティランクを示し、縦軸のアルファベットは参照者のセキュリティランクを示している。参照権の”１”は参照可を示し、”０”は参照不可を示している。この例でＡを最高のランクとし、Ｚの方向に１つずつランクが下がるものとすると、この例は単純なセキュリティ管理の例であり、参照者のランク≧披参照者のランクであれば常に参照可であり、それ以外は常に参照不可であることを示しており、この例ならばセキュリティランクの比較演算によって参照権を求められるのでテーブル不要である。しかし参照者のランクと披参照者のランクから求まる参照権が複雑である場合、セキュリティテーブル１２は有効である。

図５は、ユーザデータ１３のデータ形式の例を示す図である。ユーザデータ１３は複数のユーザのユーザデータとして各ユーザのスケジュールを格納する。ユーザＩＤ１１１はそのユーザデータの所有者であり、披参照者である。各ユーザのスケジュール情報のうち公開部１３１は、参照権に関係なくすべてのユーザから参照可能な部分であり、スケジュールの中の日付及び時間帯の部分である。公開部１３１は、すべてのユーザに披参照者のスケジュールの空き状況だけを公開するものである。非公開部１３２は、参照権が可であるユーザにのみ公開する部分であり、スケジュールの中の行き先、要件などプライベートな情報又は営業秘密に属する情報を含む。

図６は、ＰＣ２−１が他ユーザのスケジュール参照要求を発行してから要求したスケジュール情報を取得するまでの処理の流れを示す図である。ＰＣ２−１は、要求するユーザＩＤ、他システムのユーザのユーザＩＤを伴ってサーバ１−１へスケジュール参照要求を発行する（ステップ３１）。ユーザＩＤ管理部３−１は、ＬＡＮ１５−１及びＬＡＮ制御部８−１を介してこの要求を受信し（ステップ３２）、要求するユーザＩＤとＰＣ２−１の物理アドレスとの対応を記憶する。次にユーザＩＤ管理部３−１は、ユーザＩＤテーブル１１−１を参照して要求ユーザのユーザＩＤをチェックし（ステップ３３）、披参照ユーザが他システムに属することを知って制御をＩＤ変換部６−１へ渡す。ＩＤ変換部６−１は、ＩＤ変換テーブル１４−１を参照してユーザＩＤをゲストＩＤに変換し（ステップ３４）、ゲートウェイ７−１及びネットワーク１６を介して参照要求をサーバ１−２へ転送する（ステップ３５）。ユーザＩＤがＩＤ変換テーブル１４−１に登録されていないとき、ＩＤ変換部６−１はこの参照要求を拒否する。この参照要求は、ゲストＩＤ、ユーザＩＤ及び披参照ユーザのユーザＩＤを含んでいる。サーバ１−２のユーザＩＤ管理部３−２はこの参照要求を受信し（ステップ３６）、ユーザＩＤテーブル１１−２を参照してゲストＩＤ及び披参照ユーザのユーザＩＤ１１１が登録されているかどうかをチェックする（ステップ３７）。両方のＩＤが登録されていなければ参照要求を拒否する。またユーザＩＤ管理部３−２はゲートウェイ７−２を経由しないゲストＩＤを含む参照要求を拒否する。両方のＩＤが登録されていれば、要求ユーザのユーザＩＤ、そのセキュリティランク１１２、披参照ユーザのユーザＩＤ及びそのセキュリティランク１１２をセキュリティチェック部４−２に渡す。セキュリティチェック部４−２は、セキュリティテーブル１２−２を参照して要求ユーザの参照権を求め（ステップ３８）、要求ユーザのユーザＩＤ、披参照ユーザのユーザＩＤ及び参照権をユーザデータ管理部５−２へ渡す。ユーザデータ管理部５−２は、ユーザデータ１３−２を検索して披参照ユーザのユーザＩＤ１１１の下に登録されているユーザデータを読み込み（ステップ３９）、参照権が可であればスケジュール情報の全体を、また参照権が不可であれば公開部１３１のみをゲートウェイ７−２及びネットワーク１６を介してサーバ１−１へ転送する（ステップ４０，４１）。このスケジュール情報は、要求ユーザのユーザＩＤ及び披参照ユーザのユーザＩＤを伴っている。ユーザＩＤ管理部３−１は、このスケジュール情報を受信し（ステップ４２）、要求ユーザのユーザＩＤからＰＣ２−１の物理アドレスを求め、ＬＡＮ制御部８−１及びＬＡＮ１５−１を介して要求のあったＰＣ２−１へスケジュール情報を送信する（ステップ４３）。ＰＣ２−１はこのスケジュール情報を受信し（ステップ４４）、表示装置に表示する。

なお上記実施形態では、ゲートウェイ７をサーバ１内に設けたが、ゲートウェイ７をサーバ１から独立した装置として設けてもよい。またネットワーク１６の種類に応じてゲートウェイ７の代わりにルータなど他のネットワーク間接続装置でもよく、また単なるネットワーク１６の通信制御機構でもよい。また上記実施形態では、サーバ１−１からサーバ１−２へ要求ユーザのユーザＩＤを転送し、再びサーバ１−１へ戻したが、これはＰＣ２−１との対応をとるためのＩＤであるので、ユーザＩＤの代わりにユーザＩＤ管理部３−１が採番するトランザクションＩＤのようなＩＤに代えてもよい。またユーザデータ１３の内容はスケジュール情報としたが、特にスケジュール情報に限られるものではなく、任意のユーザデータでよい。またユーザデータ１３を公開部１３１と非公開部１３２に分けたが、ユーザデータのすべてが公開部１３１であってもよく、その場合にはセキュリティランク１１２、セキュリティテーブル１２及びセキュリティチェック部４は不要である。逆にユーザデータのすべてが非公開部１３２であってもよい。

なお上記実施形態では、１つのスケジュール管理システムを１台のサーバ１−１又はサーバ１−２によって構成したが、マルチサーバ方式として１つのスケジュール管理システムを２台以上のサーバによって構成してもよい。このような構成のスケジュール管理システムは、１つのＬＡＮ１５を介して２台以上のサーバ１が接続され、そのうちの１台はゲートウェイ７を有し、他のサーバ１はゲートウェイ７を有しない。ユーザＩＤテーブル１１の内容はシステム内のすべてのサーバ１で同じであるが、サーバによって異なるユーザのグループの処理を担当する。このようなマルチサーバ方式のスケジュール管理システムの処理の流れは次のようになる。図６の処理の流れで、ステップ３１からステップ３６までは図６の処理の流れと同じである。ステップ３７でユーザＩＤテーブル１１−２を参照してゲストＩＤ及び披参照ユーザのユーザＩＤ１１１が登録されているかどうかをチェックするが、両方のＩＤが登録されていればさらに披参照ユーザのユーザＩＤによってサーバ１−２で処理すべきユーザグループに属するか否かを判断する。サーバ１−２で処理すべきスケジュール参照要求であれば、以下ステップ３８からステップ４４までの処理は図６の処理の流れの通りとなる。披参照ユーザのユーザＩＤが同一システムのさらに他のサーバによって処理すべきユーザグループに属しているなら、ＬＡＮ制御部８−２及びＬＡＮ１５−２を介して他のサーバへユーザＩＤ及びそのセキュリティランクを送り、他のサーバでステップ３８からステップ４０までの処理を行ってスケジュール情報をサーバ１−２へ送信する。サーバ１−２はそのスケジュール情報の中継だけを行い、ゲートウェイ７−２を介してサーバ１−１へ送信する。以下ステップ４２からステップ４４までの処理は図６の処理の流れの通りである。このようにマルチサーバ方式を採用すれば、ユーザデータ１３を分散できるとともにサーバにかかる処理負荷を分散することができる。

実施形態の２つのシステムをネットワーク１６によって接続するシステムの構成図である。実施形態のＩＤ変換テーブル１４のデータ形式の例を示す図である。実施形態のユーザＩＤテーブル１１のデータ形式の例を示す図である。実施形態のセキュリティテーブル１２のデータ形式の例を示す図である。実施形態のユーザデータ１３のデータ形式の例を示す図である。実施形態のシステム間に亘る処理の流れを示す図である。

符号の説明

４・・・セキュリティチェック部、６・・・ＩＤ変換部、１２・・・セキュリティテーブル、１４・・・ＩＤ変換テーブル、１１１・・・ユーザＩＤ、１１２・・・セキュリティランク、１３１・・・公開部、１３２・・・非公開部。

Claims

第１のデータを格納する第１の記憶装置を有する第１の計算機と、第２のデータを格納する第２の記憶装置を有する第２の計算機とを備え、前記第１の計算機と前記第２の計算機との間でデータのアクセスが可能な計算機システムにおけるデータアクセス方法において、
前記第１の計算機は、前記第１のデータのアクセス管理に利用するための第１の識別情報と該第１の識別情報について前記第１のデータのアクセスを許可するか否かを示すアクセス情報とを対応付けて格納する第１のテーブルと、前記第１の識別情報と前記第２のデータをアクセスするための第２の識別情報とを対応付けて格納する第２のテーブルとを予め各々の記憶手段に記憶し、
前記第２の計算機は、前記第２のデータのアクセス管理に利用するための第３の識別情報と該第３の識別情報について前記第２のデータのアクセスを許可するか否かを示すアクセス情報とを対応付けて格納する第３のテーブルと、前記第３の識別情報と前記第１のデータをアクセスするための第４の識別情報とを対応付け格納する第４のテーブルとを予め各々の記憶手段に記憶し、
ここで前記第３の識別情報は前記第２の識別情報と同じである場合を含み、前記第１の識別情報は前記第４の識別情報と同じである場合を含み、
前記第１の計算機は、前記第２のデータをアクセスするための前記第１の識別情報が格納された第１の要求を受け付けると、該格納された第１の識別情報と対応する前記第２の識別情報を前記第２のテーブルから得て、該得た第２の識別情報を含む第２のデータをアクセスするための第２の要求を生成して前記第２の計算機に送り、
前記第２の計算機は、前記送られた第２の要求を受け付けると、前記第２のデータをアクセスするために該第２の要求に含まれる前記第２の識別情報を前記第３の識別情報として前記第３のテーブルを参照し、前記第２のデータへのアクセスが許可されている場合は、前記送られた第２の要求に従って当該第２のデータへアクセスし、
前記第２の計算機は、前記第１のデータをアクセスするための前記第３の識別情報が格納された第３の要求を受け付けると、該格納された第３の識別情報と対応する前記第４の識別情報を前記第４のテーブルから得て、該得た第４の識別情報を含む第１のデータをアクセスするための第４の要求を生成して前記第１の計算機に送り、
前記第１の計算機は、前記送られた第４の要求を受け付けると、前記第１のデータをアクセスするために該第４の要求に含まれる前記第４の識別情報を前記第１の識別情報として前記第１のテーブルを参照し、前記第１のデータへのアクセスが許可されている場合は、前記送られた第４の要求に従って当該第１のデータへアクセスすることを特徴とするデータアクセス方法。
第１のデータを格納する第１の記憶装置を有する第１の計算機と、第２のデータを格納する第２の記憶装置を有する第２の計算機とを備え、前記第１の計算機と前記第２の計算機との間でデータのアクセスが可能な計算機システムにおいて、
前記第１の計算機は、前記第１のデータのアクセス管理に利用するための第１の識別情報と該第１の識別情報について前記第１のデータのアクセスを許可するか否かを示すアクセス情報とを対応付けて格納する第１のテーブルと、前記第１の識別情報と前記第２のデータをアクセスするための第２の識別情報とを対応付けて格納する第２のテーブルとを各々予め記憶する記憶手段を有し、
前記第２の計算機は、前記第２のデータのアクセス管理に利用するための第３の識別情報と該第３の識別情報について前記第２のデータのアクセスを許可するか否かを示すアクセス情報とを対応付けて格納する第３のテーブルと、前記第３の識別情報と前記第１のデータをアクセスするための第４の識別情報とを対応付け格納する第４のテーブルとを各々予め記憶する記憶手段を有し、
ここで前記第３の識別情報は前記第２の識別情報と同じである場合を含み、前記第１の識別情報は前記第４の識別情報と同じである場合を含み、
前記第１の計算機は、前記第２のデータをアクセスするための前記第１の識別情報が格納された第１の要求を受け付けると、該格納された第１の識別情報と対応する前記第２の識別情報を前記第２のテーブルから得て、該得た第２の識別情報を含む第２のデータをアクセスするための第２の要求を生成して前記第２の計算機に送る処理手段を有し、
前記第２の計算機は、前記送られた第２の要求を受け付けると、前記第２のデータをアクセスするために該第２の要求に含まれる前記第２の識別情報を前記第３の識別情報として前記第３のテーブルを参照し、前記第２のデータへのアクセスが許可されている場合は、前記送られた第２の要求に従って当該第２のデータへアクセスする処理手段を有し、
前記第２の計算機は、前記第１のデータをアクセスするための前記第３の識別情報が格納された第３の要求を受け付けると、該格納された第３の識別情報と対応する前記第４の識別情報を前記第４のテーブルから得て、該得た第４の識別情報を含む第１のデータをアクセスするための第４の要求を生成して前記第１の計算機に送る処理手段を有し、
前記第１の計算機は、前記送られた第４の要求を受け付けると、前記第１のデータをアクセスするために該第４の要求に含まれる前記第４の識別情報を前記第１の識別情報として前記第１のテーブルを参照し、前記第１のデータへのアクセスが許可されている場合は、前記送られた第４の要求に従って当該第１のデータへアクセスする処理手段を有することを特徴とする計算機システム。