JP4280110B2 - 属性承認装置 - Google Patents
属性承認装置 Download PDFInfo
- Publication number
- JP4280110B2 JP4280110B2 JP2003138707A JP2003138707A JP4280110B2 JP 4280110 B2 JP4280110 B2 JP 4280110B2 JP 2003138707 A JP2003138707 A JP 2003138707A JP 2003138707 A JP2003138707 A JP 2003138707A JP 4280110 B2 JP4280110 B2 JP 4280110B2
- Authority
- JP
- Japan
- Prior art keywords
- approval
- attribute
- resource
- condition
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
【０００１】
【発明の属する技術分野】
本発明は、インターネットのようなオープンなネットワークにおいて、リソースへのアクセスの承認判断に必要な属性情報の取得、検証のためのルール、および、取得した属性情報による承認ルールを定める承認ポリシ定義を管理し、それに基づいて承認判断を行なう属性承認装置に関する。
【０００２】
【従来の技術】
現在、リソースに対するアクセス制御は、あらかじめユーザに割り当てられたＩＤやロールを識別することによって実施されることが多い。ＩＤやロールは、リソース管理者が自ら発行して管理、あるいは、リソース管理者から管理を依頼されたあらかじめ非常に密接な連携関係にある割り当て機関が発行管理する。
【０００３】
そのため、リソースへのアクセスの際に、承認結果の判定材料となるＩＤやロールといった情報は、事前にリソース管理者（あるいはリソースサーバ）側に十分に知られていたり、また、それらの情報の入手は容易であり、取得した情報の信頼性を確認することが不要または容易であることが多い。
【０００４】
このことから、従来の技術は、イントラネットなどの変化の少ない、閉域なネットワークにおけるシステム、あるいは、あらかじめユーザ集合を厳密に管理することが容易なシステムに対しては有効であると考えられる。
【０００５】
【非特許文献１】
Recommendation X.509 "The Directory: Public-key and Attribute Certificate Frameworks", ITU-T, 2000年3月
【非特許文献２】
Request for Comments 3281 "An Internet Attribute Certificate Profile for Authorization", The Internet Society, 2002年4月
【０００６】
【発明が解決しようとする課題】
現在、インターネットは社会インフラとなりつつあり、今後、これまで以上に多様なサービスがインターネット上で実現されるようになり、その数も増大するものと予想される。
【０００７】
このような状況下で、サービスにおけるアクセス制御のために従来技術を用いる場合、各サービスが管理するユーザ情報の規模が著しく増大し、流動的なユーザ集合に対して登録や更新の負担が大きくなりスケーラビリティの確保が困難になる。また、ユーザは個々のサービスを、そのアクセス制御方法の違いを意識して柔軟に利用する必要があるため、サービスの多様性に比例して、利用者の負担も増加してしまう。
【０００８】
このことは、従来技術が、各サービス側で独自にユーザの識別情報やユーザの特徴情報を管理することを基本としていることが原因と考えられる。また、これは異種サービス間での連携サービス実現の妨げともなってしまう。
【０００９】
そこで、本発明の目的は、各ユーザが持つさまざまな特徴情報（以下、属性情報）をサービスに依らずに汎用的に利用可能なものとし、各サービスのアクセス承認のための判断材料として利用することによって、サービスやユーザの負担を低減する属性承認装置を提供することにある。
【００１０】
本発明の属性承認装置は、
リソースの利用を要求するリソースアクセス装置からアクセス承認要求対象であるリソースのリソース識別情報と該リソースアクセス装置を介して該リソースへのアクセス承認を要求するユーザに関する特徴を表わす属性情報とを含むリソースへのアクセスの承認結果判定要求を受け取り、該リソースへの承認判定を実施し、承認結果を該リソースアクセス装置に返却する装置であって、
前記リソース識別情報と、承認結果判定に必要な属性情報の条件を表わす承認条件属性定義情報リストと、属性情報を用いた承認結果の判定規則を表わす承認ルール情報とからなる承認ポリシ定義を複数蓄積、管理する承認ポリシ管理手段と、
前記リソース識別情報を含む、リソースへのアクセスの承認結果判定に必要な属性情報の条件の取得を要求することを表わす承認条件判定要求を該リソースアクセス装置から受け取り、該承認条件判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認条件属性定義情報リストを元に承認条件を決定して該リソースアクセス装置に返却する承認条件判定手段と、
アクセス承認要求対象であるリソースのリソース識別情報と該リソースへのアクセスの承認結果判定に必要な属性情報を含むリソースへのアクセスの承認結果判定要求を該リソースアクセス装置から受け取り、該承認結果判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認ルール情報によって、該承認結果判定要求に含まれる属性情報を対象とした承認判定処理を行ない、承認結果を該リソースアクセス装置に返却する承認結果判定手段と、
リソース識別情報と属性情報とを含む承認条件判定兼承認結果判定要求を受け取り、該承認条件判定兼承認結果判定要求に含まれるリソース識別情報を含む承認条件判定要求を承認条件判定手段に入力し、前記承認条件判定手段から返却された承認条件を元に、前記承認条件判定兼承認結果判定要求に含まれる属性情報の不足分を判定し、不足がある場合には承認条件を自身の前記リソースアクセス装置に返却し、不足がない場合は、前記承認条件判定兼承認結果判定要求に含まれるリソース識別情報と属性情報を含む承認結果判定要求を前記承認結果判定手段に入力し、前記承認結果判定手段から返却される承認結果を、自身の前記リソースアクセス装置に返却する制御手段とを有する。
【００１１】
リソースへのアクセスに関する承認判断に必要な属性情報の条件として承認条件属性定義情報リストと、収集した属性情報による承認判断の手順を表わす承認ルール情報と、を承認ポリシ定義としてあらかじめ作成して属性承認装置に登録しておくことによって、リソース管理装置は、属性承認装置を用いて、アクセス要求の対象となったリソースへの承認判断に必要な属性情報を判定すること、および、その結果を元にして収集した属性情報を元にして承認結果を判定することが可能になる。
【００１２】
これにより、リソース管理装置ごとにアクセス制御のための承認判断機構を実装する必要がなくなり、また、アクセス要求側が保持する属性情報を元にしたアクセス制御を行なうためリソース管理装置側での管理コストが低減される。
【００１３】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００１４】
［第１の実施形態］
図１を参照すると、本発明の一実施形態の属性認証装置１は承認条件判定部１１と承認結果判定部１２と承認ポリシ管理部１３とで構成される。
【００１５】
図２を参照すると、属性情報３０は属性種別情報３１と１つ以上の属性要素情報３２によって構成される。
【００１６】
図３を参照すると、承認ポリシ定義４０はリソース識別情報４１と承認条件属性定義情報リスト４２と承認ルール情報４３とによって構成され、承認条件属性定義情報リスト４２は０個以上の属性定義情報４２１によって構成される。
【００１７】
図４を参照すると、承認条件判定要求５０はリソース識別情報５１によって構成される。
【００１８】
図５を参照すると、承認結果判定要求６０はリソース識別情報６１と属性情報リスト６２によって構成され、属性情報リスト６２は０個以上の属性情報６２１によって構成される。
【００１９】
図６を参照すると、承認条件７０はリソース識別情報７１と承認条件属性定義情報リスト７２とによって構成され、承認条件属性定義情報リスト７２は０個以上の属性定義情報７２１によって構成される。
【００２０】
承認条件判定部１１は、承認条件判定要求５０を入力として、リソース識別情報５１と一致するリソース識別情報４１を含む承認ポリシ定義４０を承認ポリシ管理部１３から取得し、承認ポリシ定義４０の承認条件属性定義情報４２を元にして、承認条件７０を生成して呼出元に返却する。承認結果判定部１２は、承認結果判定要求６０を入力として、リソース識別情報６１と一致するリソース識別情報４１を含む承認ポリシ定義４０を承認ポリシ管理部１３から取得し、承認ルール情報４３と属性情報リスト６２を元にして承認結果を生成して呼出元に返却する。承認ポリシ管理部１３は、複数の承認ポリシ定義４０を蓄積管理し、承認条件判定部１１および承認結果判定部１２から、リソース識別情報を含む承認ポリシ定義の取得要求を受け取り、リソース識別情報４１が一致する承認ポリシ定義４０を返却する。
【００２１】
図７は、属性承認装置１が承認条件判定要求５０を受け付けたときの承認条件判定部１１の処理を示している。
【００２２】
ステップ１０１に、承認条件判定要求５０を入力として取得する。ステップ１０２に、承認条件判定要求５０からリソース識別情報５１を取得する。ステップ１０３に、リソース識別情報５１を入力として、承認ポリシ管理部１３を呼び出して承認ポリシ定義４０を取得する。ステップ１０４に、承認ポリシ定義４０から承認条件属性定義情報リスト４２を取得する。ステップ１０５に、承認条件属性定義情報リスト４２を元にして承認条件７０を生成する。ステップ１０６に、承認条件７０を呼出元に返却して終了する。
【００２３】
図８は承認結果判定要求６０を受け付けた場合の承認結果判定部１２の処理を示している。
【００２４】
ステップ２０１に、承認結果判定要求６０を入力として取得する。ステップ２０２に、承認結果判定要求６０からリソース識別情報６１を取得する。ステップ２０３に、リソース識別情報６１を入力として、承認ポリシ管理部１３を呼び出して承認ポリシ定義４０を取得する。ステップ２０４に、承認ポリシ定義４０から承認ルール情報４３を取得する。ステップ２０５に、承認ルール情報４３と属性情報リスト６２に含まれる属性情報６２１によって承認結果を判定する。ステップ２０６に、承認結果を呼出元に返却して終了する。
【００２５】
［第２の実施形態］
第１の実施形態では、属性承認装置１の呼出元自身が、承認条件を要求する場合と、承認条件に従って属性承認装置１の呼出元の側で収集した属性情報を元にして承認結果を判定を要求する場合とを区別して、２つの機能を切り替えて呼び出しを行なう。
【００２６】
本実施形態では、このような呼び出しの区別をせず、１種類の機能により上記の２つの機能を実現する。
【００２７】
図９を参照すると、本発明の第２の実施形態の属性承認装置２は承認条件判定部２１と承認結果判定部２２と承認ポリシ管理部２３と制御部２４で構成される。
【００２８】
図１０を参照すると、承認条件判定兼務承認結果判定要求８０はリソース識別情報８１と属性情報リスト８２とによって構成され、属性情報リスト８２は０個以上の属性情報８２１によって構成される。
【００２９】
承認ポリシ管理部２３は、複数の承認ポリシ定義４０を蓄積管理し、承認条件判定部２１および承認結果判定部２２から、リソース識別情報を含む承認ポリシ定義の取得要求を受け取り、リソース識別情報が一致する承認ポリシ定義４０を返却する。制御部２４は、承認条件判定兼承認結果判定要求８０を入力として、リソース識別情報８１を元に生成した承認条件判定要求５０を入力として承認条件判定部２１を呼び出して承認条件７０を取得し、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が属性情報リスト８２にすべて含まれている場合に、リソース識別情報８１と属性情報リスト８２を元に生成した承認結果判定要求６０を入力として承認結果判定部２２を呼び出して承認結果を取得し、制御部２４の呼出元に返却する。制御部２４は、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が十分に属性情報リスト８２に含まれていない場合には、承認条件７０を制御部２４の呼出元に返却する。
【００３０】
図１１は属性承認装置２が承認結果判定要求６０を受け付けた場合の制御部２４の処理を示している。
【００３１】
ステップ３０１に、承認条件判定兼結果判定要求８０を入力として取得する。ステップ３０２に、承認条件判定兼結果判定要求８０からリソース識別情報８１と属性情報リスト８２を取得する。ステップ３０３に、リソース識別情報８１を元に承認条件判定要求５０を生成する。ステップ３０４に、承認条件判定要求５０を入力として、承認条件判定部２１を呼び出して承認条件７０を取得する。ステップ３０５に、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が属性情報リスト８２にすべて含まれていることを検証する。ステップ３０６で、検証結果が失敗の場合はステップ３０７に進み、成功の場合はステップ３０８に進む。ステップ３０７に、承認条件を呼出元に返却して、終了する。ステップ３０８に、リソース識別情報８１と属性情報リスト８２を元にして、承認結果判定要求６０を生成する。ステップ３０９に、承認結果判定要求６０を入力として、承認結果判定部２２を呼び出して承認結果を取得する。ステップ３１０に、承認結果を呼出元に返却して、処理を終了する。
【００３２】
［第３の実施形態］
第１および第２の実施形態において、承認ポリシ定義４０の承認条件属性定義情報リスト４２を構成する属性定義情報４２１が、属性の種別を表わす種別識別情報３１を含むものとすると、属性の構成要素による細かな違いがある場合にも、同一種類の属性であれば、単一の承認ポリシ定義４０を設定するのみで良く、サービス側の管理コストを低減することができる。
【００３３】
［第４の実施形態］
第１〜３の実施形態において、承認ポリシ定義４０の承認条件属性定義情報リスト４２を構成する属性定義情報４２１が、属性の検証方法を定める属性検証条件を含むものとすると、属性情報の有効性に関して多様な条件を定めることが可能となり、承認結果判定部１２，２２において正当な属性情報のみを用いた承認結果判定処理を実施することが可能となる。
【００３４】
［第５の実施形態］
第４の実施形態において、属性検証条件を発行者制約とすることによって、属性情報の発行者（生成者）を検証することが可能となり、信頼可能な機関によって発行された属性情報のみによる承認結果判定処理を実施することが可能となる。例えば、発行者制約は属性の発行者を表わす識別情報（ＩＤ）とし、属性情報に発行者を表わす識別情報（ＩＤ）を含めるとした場合には、文字列の一致検証を実施すればよい。または、属性情報を署名付きデータとした場合には、属性検証情報として署名検証鍵を用いる方法が考えられる。
【００３５】
［第６の実施形態］
第１〜５の実施形態に示した属性承認装置１や属性承認装置２は、図１２、図１３に示すように、通信網（インターネット、ＬＡＮ、同一ホスト内のプロセス間通信、等）４を介して、リソース管理装置３と接続し、リソース管理装置３は通信網６を介して、リソース利用要求を発するリソースアクセス装置５と接続して構成される属性承認リソース管理システムとして用いることができる。 図１４は、属性承認リソース管理システムのリソース管理装置３が属性承認装置１と連携して動作する場合の処理を示している。
【００３６】
ステップ４０１に、リソースの利用要求を入力として取得する。ステップ４０２に、承認条件判定要求５０を生成する。ステップ４０３に、承認条件判定要求５０を入力として、属性承認装置１を呼び出して承認条件７０を取得する。ステップ４０４に、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報を、呼出元（リソースアクセス装置５）から収集し、属性情報リスト８２を生成する。ステップ４０５に、リソース識別情報６１と属性情報リスト６２を元にして、承認結果判定要求６０を生成する。ステップ４０６に、承認結果判定要求６０を入力として、属性承認装置１を呼び出して承認結果を取得する。ステップ４０７に、承認結果に基いてリソースを呼出元に提供して、処理を終了する。
【００３７】
なお、属性承認装置２を用いる場合は、リソース管理装置が承認条件判定要求５０と承認結果判定要求６０を使い分けるのではなく、承認条件判定兼承認結果判定要求８０のみを用いる点が異なるが、基本的な処理の流れは上記と同様である。
【００３８】
［第７の実施形態］
図１５は、属性承認装置１または属性承認装置２から監査統計情報を収集する属性承認装置監査統計サーバ７による属性承認装置監査統計システムの構成図を示している。
【００３９】
各属性承認装置１または各属性承認装置２は、通信網８を介して、属性承認装置監査統計サーバ７と接続されており、属性承認装置１または属性承認装置２は、承認条件や承認結果の判定処理を行なう際に、監査統計情報を蓄積管理する。属性承認装置監査統計サーバ７は、１つ以上の属性承認装置１または属性承認装置２から監査統計情報を取得集計する。
【００４０】
このシステムは、属性承認装置の異常や不正の摘発を検出することによってセキュリティレベルを維持することや、属性承認装置によるマーケティングデータの収集に有効である。
【００４１】
［第８の実施形態］
第１〜第８の実施形態において、図２に示される属性情報３０の電子的形式を、Ｘ．５０９、またはＲＦＣ３２８１の仕様に基づく属性証明書の形式とすることによって、公開鍵認証基盤に基づく安全性の高い属性受信制御装置、あるいは属性受信制御プログラムを実現することが可能である。また、それらの仕様に基づいて開発された実績のある信頼性の高い処理装置、あるいは処理プログラムを実装部品として利用することも可能となる。
【００４２】
なお、属性承認装置１と２の機能は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプルグラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００４３】
【発明の効果】
以上説明したように、本発明は下記の効果がある。
【００４４】
請求項１の発明は、リソースへのアクセスに関する承認判断に必要な属性情報の条件として承認条件属性定義情報リストと、収集した属性情報による承認判断の手順を表わす承認ルール情報とを承認ポリシ定義としてあらかじめ作成して属性承認装置に登録しておくことによって、リソース管理装置は、属性承認装置を用いて、アクセス要求の対象となったリソースへの承認判断に必要な属性情報を判定すること、および、その結果を元にして収集した属性情報を元にして承認結果を判定することが可能になる。
【００４５】
これにより、リソース管理装置ごとにアクセス制御のための承認判断機構を実装する必要がなくなり、また、アクセス要求側が保持する属性情報を元にしたアクセス制御を行なうためリソース管理装置側での管理コストが低減される。
【００４６】
請求項２の発明は、承認判断に用いる承認ポリシ定義において、承認条件属性情報定義情報リストを、属性情報の種別を表わす属性種別情報を元にして定義することによって、承認ポリシ定義の数を抑えることが可能となり、記述コストを低減することができる。
【００４７】
請求項３の発明は、承認ポリシ定義の承認条件属性定義情報リストに、属性情報の属性検証条件を含めるようにし、承認結果の判定を行なう際に、各属性情報の有効性を属性検証条件を元にして検証することによって、承認ポリシ定義ごとに属性の有効性の判断記述を制御することが可能になる。
【００４８】
請求項４の発明は、上記請求項３の発明の効果に加え、属性検証条件を発行者を限定する条件とすることによって、属性承認に用いる属性情報の発行元を限定することが可能になる。
【００４９】
請求項５の発明は、呼出元から受け付ける要求の種類を承認条件判定要求と承認結果判定要求の両方を兼ねる承認条件判定兼承認結果判定要求とすることによって、属性承認装置の呼出元の実装方法の多様性に対応可能になる。
【００５０】
請求項７と８の発明は、リソース管理装置が、承認に必要な属性情報の決定から収集した属性情報の検証と分析を属性承認装置を用いて実施するため、アクセス制御に必要な大部分の処理機構を独自に保有する必要がなく、また、承認に必要な属性はアクセス要求側等からその都度リソース管理装置が収集するため、承認に必要な属性情報は、属性承認装置から得られる承認条件を元にして、アクセス要求側等からリソース管理装置がその都度収集することが可能であるため、アクセス要求側の属性情報を異なるリソース管理装置間で共有利用することが可能となる。
【００５１】
請求項１０の発明は、属性承認装置から承認条件判定および承認結果判定の監査統計情報を属性承認装置監査統計サーバが収集することによって、各属性承認装置が適性に運用、動作していることを監視検証することが可能となり、また、属性情報の流通、リソースへのアクセス要求の履歴、傾向等を統計情報として得ることが可能になる。
【００５２】
請求項６、９の発明は属性情報をＸ．５０９仕様に基づく属性証明書とすることによって、公開鍵認証基盤を用いた安全性の高い属性承認装置ならびに属性承認リソース管理システムならびに属性承認装置監査統計システムを実現することが可能になる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態の属性承認装置の構成図である。
【図２】属性情報の構成を示す図である。
【図３】属性ポリシ定義の構成図である。
【図４】承認条件判定要求の構成図である。
【図５】承認結果判定要求の構成図である。
【図６】承認条件の構成図である。
【図７】承認条件判定部の処理を示すフローチャートである。
【図８】承認結果判定部の処理を示すフローチャートである。
【図９】本発明の第２の実施形態の属性承認装置の構成図である。
【図１０】承認条件判定兼承認結果判定要求の構成図である。
【図１１】制御部の処理を示すフローチャートである。
【図１２】本発明の第１の属性承認リソース管理システムの構成図である。
【図１３】本発明の第２の属性承認リソース管理システムの構成図である。
【図１４】リソース管理装置の処理を示すフローチャートである。
【図１５】本発明の属性承認装置監査統計システムの構成図である。
【符号の説明】
１，２ 属性承認装置
３ リソース管理装置
５ リソースアクセス装置
７ 属性承認装置監査統計サーバ
４，６，８ 通信網
１１，２１ 承認条件判定部
１２，２２ 承認結果判定部
１３，２３ 承認ポリシ管理部
２４ 制御部
３０ 属性情報
３１ 属性種別情報
３２ 属性要素情報
４０ 承認ポリシ定義
４１ リソース識別情報
４２ 承認条件属性定義情報リスト
４３ 承認ルール情報
４２１ 属性定義情報
５０ 承認条件判定要求
５１ リソース識別情報
６０ 承認結果判定要求
６１ リソース識別情報
６２ 属性情報リスト
６２１ 属性情報
７０ 承認条件
７１ リソース識別情報
７２ 承認条件属性定義情報リスト
７２１ 属性定義情報
８０ 承認条件判定兼承認結果判定要求
８１ リソース識別情報
８２ 属性情報リスト
８２１ 属性情報
１０１〜１０６，２０１〜２０６，３０１〜３１０，４０１〜４０７ ステップ
【発明の属する技術分野】
本発明は、インターネットのようなオープンなネットワークにおいて、リソースへのアクセスの承認判断に必要な属性情報の取得、検証のためのルール、および、取得した属性情報による承認ルールを定める承認ポリシ定義を管理し、それに基づいて承認判断を行なう属性承認装置に関する。
【０００２】
【従来の技術】
現在、リソースに対するアクセス制御は、あらかじめユーザに割り当てられたＩＤやロールを識別することによって実施されることが多い。ＩＤやロールは、リソース管理者が自ら発行して管理、あるいは、リソース管理者から管理を依頼されたあらかじめ非常に密接な連携関係にある割り当て機関が発行管理する。
【０００３】
そのため、リソースへのアクセスの際に、承認結果の判定材料となるＩＤやロールといった情報は、事前にリソース管理者（あるいはリソースサーバ）側に十分に知られていたり、また、それらの情報の入手は容易であり、取得した情報の信頼性を確認することが不要または容易であることが多い。
【０００４】
このことから、従来の技術は、イントラネットなどの変化の少ない、閉域なネットワークにおけるシステム、あるいは、あらかじめユーザ集合を厳密に管理することが容易なシステムに対しては有効であると考えられる。
【０００５】
【非特許文献１】
Recommendation X.509 "The Directory: Public-key and Attribute Certificate Frameworks", ITU-T, 2000年3月
【非特許文献２】
Request for Comments 3281 "An Internet Attribute Certificate Profile for Authorization", The Internet Society, 2002年4月
【０００６】
【発明が解決しようとする課題】
現在、インターネットは社会インフラとなりつつあり、今後、これまで以上に多様なサービスがインターネット上で実現されるようになり、その数も増大するものと予想される。
【０００７】
このような状況下で、サービスにおけるアクセス制御のために従来技術を用いる場合、各サービスが管理するユーザ情報の規模が著しく増大し、流動的なユーザ集合に対して登録や更新の負担が大きくなりスケーラビリティの確保が困難になる。また、ユーザは個々のサービスを、そのアクセス制御方法の違いを意識して柔軟に利用する必要があるため、サービスの多様性に比例して、利用者の負担も増加してしまう。
【０００８】
このことは、従来技術が、各サービス側で独自にユーザの識別情報やユーザの特徴情報を管理することを基本としていることが原因と考えられる。また、これは異種サービス間での連携サービス実現の妨げともなってしまう。
【０００９】
そこで、本発明の目的は、各ユーザが持つさまざまな特徴情報（以下、属性情報）をサービスに依らずに汎用的に利用可能なものとし、各サービスのアクセス承認のための判断材料として利用することによって、サービスやユーザの負担を低減する属性承認装置を提供することにある。
【００１０】
本発明の属性承認装置は、
リソースの利用を要求するリソースアクセス装置からアクセス承認要求対象であるリソースのリソース識別情報と該リソースアクセス装置を介して該リソースへのアクセス承認を要求するユーザに関する特徴を表わす属性情報とを含むリソースへのアクセスの承認結果判定要求を受け取り、該リソースへの承認判定を実施し、承認結果を該リソースアクセス装置に返却する装置であって、
前記リソース識別情報と、承認結果判定に必要な属性情報の条件を表わす承認条件属性定義情報リストと、属性情報を用いた承認結果の判定規則を表わす承認ルール情報とからなる承認ポリシ定義を複数蓄積、管理する承認ポリシ管理手段と、
前記リソース識別情報を含む、リソースへのアクセスの承認結果判定に必要な属性情報の条件の取得を要求することを表わす承認条件判定要求を該リソースアクセス装置から受け取り、該承認条件判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認条件属性定義情報リストを元に承認条件を決定して該リソースアクセス装置に返却する承認条件判定手段と、
アクセス承認要求対象であるリソースのリソース識別情報と該リソースへのアクセスの承認結果判定に必要な属性情報を含むリソースへのアクセスの承認結果判定要求を該リソースアクセス装置から受け取り、該承認結果判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認ルール情報によって、該承認結果判定要求に含まれる属性情報を対象とした承認判定処理を行ない、承認結果を該リソースアクセス装置に返却する承認結果判定手段と、
リソース識別情報と属性情報とを含む承認条件判定兼承認結果判定要求を受け取り、該承認条件判定兼承認結果判定要求に含まれるリソース識別情報を含む承認条件判定要求を承認条件判定手段に入力し、前記承認条件判定手段から返却された承認条件を元に、前記承認条件判定兼承認結果判定要求に含まれる属性情報の不足分を判定し、不足がある場合には承認条件を自身の前記リソースアクセス装置に返却し、不足がない場合は、前記承認条件判定兼承認結果判定要求に含まれるリソース識別情報と属性情報を含む承認結果判定要求を前記承認結果判定手段に入力し、前記承認結果判定手段から返却される承認結果を、自身の前記リソースアクセス装置に返却する制御手段とを有する。
【００１１】
リソースへのアクセスに関する承認判断に必要な属性情報の条件として承認条件属性定義情報リストと、収集した属性情報による承認判断の手順を表わす承認ルール情報と、を承認ポリシ定義としてあらかじめ作成して属性承認装置に登録しておくことによって、リソース管理装置は、属性承認装置を用いて、アクセス要求の対象となったリソースへの承認判断に必要な属性情報を判定すること、および、その結果を元にして収集した属性情報を元にして承認結果を判定することが可能になる。
【００１２】
これにより、リソース管理装置ごとにアクセス制御のための承認判断機構を実装する必要がなくなり、また、アクセス要求側が保持する属性情報を元にしたアクセス制御を行なうためリソース管理装置側での管理コストが低減される。
【００１３】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００１４】
［第１の実施形態］
図１を参照すると、本発明の一実施形態の属性認証装置１は承認条件判定部１１と承認結果判定部１２と承認ポリシ管理部１３とで構成される。
【００１５】
図２を参照すると、属性情報３０は属性種別情報３１と１つ以上の属性要素情報３２によって構成される。
【００１６】
図３を参照すると、承認ポリシ定義４０はリソース識別情報４１と承認条件属性定義情報リスト４２と承認ルール情報４３とによって構成され、承認条件属性定義情報リスト４２は０個以上の属性定義情報４２１によって構成される。
【００１７】
図４を参照すると、承認条件判定要求５０はリソース識別情報５１によって構成される。
【００１８】
図５を参照すると、承認結果判定要求６０はリソース識別情報６１と属性情報リスト６２によって構成され、属性情報リスト６２は０個以上の属性情報６２１によって構成される。
【００１９】
図６を参照すると、承認条件７０はリソース識別情報７１と承認条件属性定義情報リスト７２とによって構成され、承認条件属性定義情報リスト７２は０個以上の属性定義情報７２１によって構成される。
【００２０】
承認条件判定部１１は、承認条件判定要求５０を入力として、リソース識別情報５１と一致するリソース識別情報４１を含む承認ポリシ定義４０を承認ポリシ管理部１３から取得し、承認ポリシ定義４０の承認条件属性定義情報４２を元にして、承認条件７０を生成して呼出元に返却する。承認結果判定部１２は、承認結果判定要求６０を入力として、リソース識別情報６１と一致するリソース識別情報４１を含む承認ポリシ定義４０を承認ポリシ管理部１３から取得し、承認ルール情報４３と属性情報リスト６２を元にして承認結果を生成して呼出元に返却する。承認ポリシ管理部１３は、複数の承認ポリシ定義４０を蓄積管理し、承認条件判定部１１および承認結果判定部１２から、リソース識別情報を含む承認ポリシ定義の取得要求を受け取り、リソース識別情報４１が一致する承認ポリシ定義４０を返却する。
【００２１】
図７は、属性承認装置１が承認条件判定要求５０を受け付けたときの承認条件判定部１１の処理を示している。
【００２２】
ステップ１０１に、承認条件判定要求５０を入力として取得する。ステップ１０２に、承認条件判定要求５０からリソース識別情報５１を取得する。ステップ１０３に、リソース識別情報５１を入力として、承認ポリシ管理部１３を呼び出して承認ポリシ定義４０を取得する。ステップ１０４に、承認ポリシ定義４０から承認条件属性定義情報リスト４２を取得する。ステップ１０５に、承認条件属性定義情報リスト４２を元にして承認条件７０を生成する。ステップ１０６に、承認条件７０を呼出元に返却して終了する。
【００２３】
図８は承認結果判定要求６０を受け付けた場合の承認結果判定部１２の処理を示している。
【００２４】
ステップ２０１に、承認結果判定要求６０を入力として取得する。ステップ２０２に、承認結果判定要求６０からリソース識別情報６１を取得する。ステップ２０３に、リソース識別情報６１を入力として、承認ポリシ管理部１３を呼び出して承認ポリシ定義４０を取得する。ステップ２０４に、承認ポリシ定義４０から承認ルール情報４３を取得する。ステップ２０５に、承認ルール情報４３と属性情報リスト６２に含まれる属性情報６２１によって承認結果を判定する。ステップ２０６に、承認結果を呼出元に返却して終了する。
【００２５】
［第２の実施形態］
第１の実施形態では、属性承認装置１の呼出元自身が、承認条件を要求する場合と、承認条件に従って属性承認装置１の呼出元の側で収集した属性情報を元にして承認結果を判定を要求する場合とを区別して、２つの機能を切り替えて呼び出しを行なう。
【００２６】
本実施形態では、このような呼び出しの区別をせず、１種類の機能により上記の２つの機能を実現する。
【００２７】
図９を参照すると、本発明の第２の実施形態の属性承認装置２は承認条件判定部２１と承認結果判定部２２と承認ポリシ管理部２３と制御部２４で構成される。
【００２８】
図１０を参照すると、承認条件判定兼務承認結果判定要求８０はリソース識別情報８１と属性情報リスト８２とによって構成され、属性情報リスト８２は０個以上の属性情報８２１によって構成される。
【００２９】
承認ポリシ管理部２３は、複数の承認ポリシ定義４０を蓄積管理し、承認条件判定部２１および承認結果判定部２２から、リソース識別情報を含む承認ポリシ定義の取得要求を受け取り、リソース識別情報が一致する承認ポリシ定義４０を返却する。制御部２４は、承認条件判定兼承認結果判定要求８０を入力として、リソース識別情報８１を元に生成した承認条件判定要求５０を入力として承認条件判定部２１を呼び出して承認条件７０を取得し、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が属性情報リスト８２にすべて含まれている場合に、リソース識別情報８１と属性情報リスト８２を元に生成した承認結果判定要求６０を入力として承認結果判定部２２を呼び出して承認結果を取得し、制御部２４の呼出元に返却する。制御部２４は、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が十分に属性情報リスト８２に含まれていない場合には、承認条件７０を制御部２４の呼出元に返却する。
【００３０】
図１１は属性承認装置２が承認結果判定要求６０を受け付けた場合の制御部２４の処理を示している。
【００３１】
ステップ３０１に、承認条件判定兼結果判定要求８０を入力として取得する。ステップ３０２に、承認条件判定兼結果判定要求８０からリソース識別情報８１と属性情報リスト８２を取得する。ステップ３０３に、リソース識別情報８１を元に承認条件判定要求５０を生成する。ステップ３０４に、承認条件判定要求５０を入力として、承認条件判定部２１を呼び出して承認条件７０を取得する。ステップ３０５に、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報が属性情報リスト８２にすべて含まれていることを検証する。ステップ３０６で、検証結果が失敗の場合はステップ３０７に進み、成功の場合はステップ３０８に進む。ステップ３０７に、承認条件を呼出元に返却して、終了する。ステップ３０８に、リソース識別情報８１と属性情報リスト８２を元にして、承認結果判定要求６０を生成する。ステップ３０９に、承認結果判定要求６０を入力として、承認結果判定部２２を呼び出して承認結果を取得する。ステップ３１０に、承認結果を呼出元に返却して、処理を終了する。
【００３２】
［第３の実施形態］
第１および第２の実施形態において、承認ポリシ定義４０の承認条件属性定義情報リスト４２を構成する属性定義情報４２１が、属性の種別を表わす種別識別情報３１を含むものとすると、属性の構成要素による細かな違いがある場合にも、同一種類の属性であれば、単一の承認ポリシ定義４０を設定するのみで良く、サービス側の管理コストを低減することができる。
【００３３】
［第４の実施形態］
第１〜３の実施形態において、承認ポリシ定義４０の承認条件属性定義情報リスト４２を構成する属性定義情報４２１が、属性の検証方法を定める属性検証条件を含むものとすると、属性情報の有効性に関して多様な条件を定めることが可能となり、承認結果判定部１２，２２において正当な属性情報のみを用いた承認結果判定処理を実施することが可能となる。
【００３４】
［第５の実施形態］
第４の実施形態において、属性検証条件を発行者制約とすることによって、属性情報の発行者（生成者）を検証することが可能となり、信頼可能な機関によって発行された属性情報のみによる承認結果判定処理を実施することが可能となる。例えば、発行者制約は属性の発行者を表わす識別情報（ＩＤ）とし、属性情報に発行者を表わす識別情報（ＩＤ）を含めるとした場合には、文字列の一致検証を実施すればよい。または、属性情報を署名付きデータとした場合には、属性検証情報として署名検証鍵を用いる方法が考えられる。
【００３５】
［第６の実施形態］
第１〜５の実施形態に示した属性承認装置１や属性承認装置２は、図１２、図１３に示すように、通信網（インターネット、ＬＡＮ、同一ホスト内のプロセス間通信、等）４を介して、リソース管理装置３と接続し、リソース管理装置３は通信網６を介して、リソース利用要求を発するリソースアクセス装置５と接続して構成される属性承認リソース管理システムとして用いることができる。 図１４は、属性承認リソース管理システムのリソース管理装置３が属性承認装置１と連携して動作する場合の処理を示している。
【００３６】
ステップ４０１に、リソースの利用要求を入力として取得する。ステップ４０２に、承認条件判定要求５０を生成する。ステップ４０３に、承認条件判定要求５０を入力として、属性承認装置１を呼び出して承認条件７０を取得する。ステップ４０４に、承認条件７０の承認条件属性定義情報リスト７２が示す条件を満す属性情報を、呼出元（リソースアクセス装置５）から収集し、属性情報リスト８２を生成する。ステップ４０５に、リソース識別情報６１と属性情報リスト６２を元にして、承認結果判定要求６０を生成する。ステップ４０６に、承認結果判定要求６０を入力として、属性承認装置１を呼び出して承認結果を取得する。ステップ４０７に、承認結果に基いてリソースを呼出元に提供して、処理を終了する。
【００３７】
なお、属性承認装置２を用いる場合は、リソース管理装置が承認条件判定要求５０と承認結果判定要求６０を使い分けるのではなく、承認条件判定兼承認結果判定要求８０のみを用いる点が異なるが、基本的な処理の流れは上記と同様である。
【００３８】
［第７の実施形態］
図１５は、属性承認装置１または属性承認装置２から監査統計情報を収集する属性承認装置監査統計サーバ７による属性承認装置監査統計システムの構成図を示している。
【００３９】
各属性承認装置１または各属性承認装置２は、通信網８を介して、属性承認装置監査統計サーバ７と接続されており、属性承認装置１または属性承認装置２は、承認条件や承認結果の判定処理を行なう際に、監査統計情報を蓄積管理する。属性承認装置監査統計サーバ７は、１つ以上の属性承認装置１または属性承認装置２から監査統計情報を取得集計する。
【００４０】
このシステムは、属性承認装置の異常や不正の摘発を検出することによってセキュリティレベルを維持することや、属性承認装置によるマーケティングデータの収集に有効である。
【００４１】
［第８の実施形態］
第１〜第８の実施形態において、図２に示される属性情報３０の電子的形式を、Ｘ．５０９、またはＲＦＣ３２８１の仕様に基づく属性証明書の形式とすることによって、公開鍵認証基盤に基づく安全性の高い属性受信制御装置、あるいは属性受信制御プログラムを実現することが可能である。また、それらの仕様に基づいて開発された実績のある信頼性の高い処理装置、あるいは処理プログラムを実装部品として利用することも可能となる。
【００４２】
なお、属性承認装置１と２の機能は専用のハードウェアにより実現されるもの以外に、その機能を実現するためのプログラムを、コンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行するものであってもよい。コンピュータ読み取り可能な記録媒体とは、フロッピーディスク、光磁気ディスク、ＣＤ−ＲＯＭ等の記録媒体、コンピュータシステムに内蔵されるハードディスク装置等の記憶装置を指す。さらに、コンピュータ読み取り可能な記録媒体は、インターネットを介してプルグラムを送信する場合のように、短時間の間、動的にプログラムを保持するもの（伝送媒体もしくは伝送波）、その場合のサーバとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含む。
【００４３】
【発明の効果】
以上説明したように、本発明は下記の効果がある。
【００４４】
請求項１の発明は、リソースへのアクセスに関する承認判断に必要な属性情報の条件として承認条件属性定義情報リストと、収集した属性情報による承認判断の手順を表わす承認ルール情報とを承認ポリシ定義としてあらかじめ作成して属性承認装置に登録しておくことによって、リソース管理装置は、属性承認装置を用いて、アクセス要求の対象となったリソースへの承認判断に必要な属性情報を判定すること、および、その結果を元にして収集した属性情報を元にして承認結果を判定することが可能になる。
【００４５】
これにより、リソース管理装置ごとにアクセス制御のための承認判断機構を実装する必要がなくなり、また、アクセス要求側が保持する属性情報を元にしたアクセス制御を行なうためリソース管理装置側での管理コストが低減される。
【００４６】
請求項２の発明は、承認判断に用いる承認ポリシ定義において、承認条件属性情報定義情報リストを、属性情報の種別を表わす属性種別情報を元にして定義することによって、承認ポリシ定義の数を抑えることが可能となり、記述コストを低減することができる。
【００４７】
請求項３の発明は、承認ポリシ定義の承認条件属性定義情報リストに、属性情報の属性検証条件を含めるようにし、承認結果の判定を行なう際に、各属性情報の有効性を属性検証条件を元にして検証することによって、承認ポリシ定義ごとに属性の有効性の判断記述を制御することが可能になる。
【００４８】
請求項４の発明は、上記請求項３の発明の効果に加え、属性検証条件を発行者を限定する条件とすることによって、属性承認に用いる属性情報の発行元を限定することが可能になる。
【００４９】
請求項５の発明は、呼出元から受け付ける要求の種類を承認条件判定要求と承認結果判定要求の両方を兼ねる承認条件判定兼承認結果判定要求とすることによって、属性承認装置の呼出元の実装方法の多様性に対応可能になる。
【００５０】
請求項７と８の発明は、リソース管理装置が、承認に必要な属性情報の決定から収集した属性情報の検証と分析を属性承認装置を用いて実施するため、アクセス制御に必要な大部分の処理機構を独自に保有する必要がなく、また、承認に必要な属性はアクセス要求側等からその都度リソース管理装置が収集するため、承認に必要な属性情報は、属性承認装置から得られる承認条件を元にして、アクセス要求側等からリソース管理装置がその都度収集することが可能であるため、アクセス要求側の属性情報を異なるリソース管理装置間で共有利用することが可能となる。
【００５１】
請求項１０の発明は、属性承認装置から承認条件判定および承認結果判定の監査統計情報を属性承認装置監査統計サーバが収集することによって、各属性承認装置が適性に運用、動作していることを監視検証することが可能となり、また、属性情報の流通、リソースへのアクセス要求の履歴、傾向等を統計情報として得ることが可能になる。
【００５２】
請求項６、９の発明は属性情報をＸ．５０９仕様に基づく属性証明書とすることによって、公開鍵認証基盤を用いた安全性の高い属性承認装置ならびに属性承認リソース管理システムならびに属性承認装置監査統計システムを実現することが可能になる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態の属性承認装置の構成図である。
【図２】属性情報の構成を示す図である。
【図３】属性ポリシ定義の構成図である。
【図４】承認条件判定要求の構成図である。
【図５】承認結果判定要求の構成図である。
【図６】承認条件の構成図である。
【図７】承認条件判定部の処理を示すフローチャートである。
【図８】承認結果判定部の処理を示すフローチャートである。
【図９】本発明の第２の実施形態の属性承認装置の構成図である。
【図１０】承認条件判定兼承認結果判定要求の構成図である。
【図１１】制御部の処理を示すフローチャートである。
【図１２】本発明の第１の属性承認リソース管理システムの構成図である。
【図１３】本発明の第２の属性承認リソース管理システムの構成図である。
【図１４】リソース管理装置の処理を示すフローチャートである。
【図１５】本発明の属性承認装置監査統計システムの構成図である。
【符号の説明】
１，２ 属性承認装置
３ リソース管理装置
５ リソースアクセス装置
７ 属性承認装置監査統計サーバ
４，６，８ 通信網
１１，２１ 承認条件判定部
１２，２２ 承認結果判定部
１３，２３ 承認ポリシ管理部
２４ 制御部
３０ 属性情報
３１ 属性種別情報
３２ 属性要素情報
４０ 承認ポリシ定義
４１ リソース識別情報
４２ 承認条件属性定義情報リスト
４３ 承認ルール情報
４２１ 属性定義情報
５０ 承認条件判定要求
５１ リソース識別情報
６０ 承認結果判定要求
６１ リソース識別情報
６２ 属性情報リスト
６２１ 属性情報
７０ 承認条件
７１ リソース識別情報
７２ 承認条件属性定義情報リスト
７２１ 属性定義情報
８０ 承認条件判定兼承認結果判定要求
８１ リソース識別情報
８２ 属性情報リスト
８２１ 属性情報
１０１〜１０６，２０１〜２０６，３０１〜３１０，４０１〜４０７ ステップ
Claims (2)
- リソースの利用を要求するリソースアクセス装置からアクセス承認要求対象であるリソースのリソース識別情報と該リソースアクセス装置を介して該リソースへのアクセス承認を要求するユーザに関する特徴を表わす属性情報とを含むリソースへのアクセスの承認結果判定要求を受け取り、該リソースへの承認判定を実施し、承認結果を該リソースアクセス装置に返却する装置であって、
前記リソース識別情報と、承認結果判定に必要な属性情報の条件を表わす承認条件属性定義情報リストと、属性情報を用いた承認結果の判定規則を表わす承認ルール情報とからなる承認ポリシ定義を複数蓄積、管理する承認ポリシ管理手段と、
前記リソース識別情報を含む、リソースへのアクセスの承認結果判定に必要な属性情報の条件の取得を要求することを表わす承認条件判定要求を該リソースアクセス装置から受け取り、該承認条件判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認条件属性定義情報リストを元に承認条件を決定して該リソースアクセス装置に返却する承認条件判定手段と、
アクセス承認要求対象であるリソースのリソース識別情報と該リソースへのアクセスの承認結果判定に必要な属性情報を含むリソースへのアクセスの承認結果判定要求を該リソースアクセス装置から受け取り、該承認結果判定要求に含まれるリソース識別情報を元に、前記承認ポリシ管理手段から承認ポリシ定義を取得し、該承認ポリシ定義に含まれる承認ルール情報によって、該承認結果判定要求に含まれる属性情報を対象とした承認判定処理を行ない、承認結果を該リソースアクセス装置に返却する承認結果判定手段と、
リソース識別情報と属性情報とを含む承認条件判定兼承認結果判定要求を受け取り、該承認条件判定兼承認結果判定要求に含まれるリソース識別情報を含む承認条件判定要求を承認条件判定手段に入力し、前記承認条件判定手段から返却された承認条件を元に、前記承認条件判定兼承認結果判定要求に含まれる属性情報の不足分を判定し、不足がある場合には承認条件を自身の前記リソースアクセス装置に返却し、不足がない場合は、前記承認条件判定兼承認結果判定要求に含まれるリソース識別情報と属性情報を含む承認結果判定要求を前記承認結果判定手段に入力し、前記承認結果判定手段から返却される承認結果を、自身の前記リソースアクセス装置に返却する制御手段とを有する属性承認装置。 - 前記属性情報を、Ｘ．５０９仕様に基づく属性証明書を利用して実現する、請求項１に記載の属性承認装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003138707A JP4280110B2 (ja) | 2003-05-16 | 2003-05-16 | 属性承認装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003138707A JP4280110B2 (ja) | 2003-05-16 | 2003-05-16 | 属性承認装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004341896A JP2004341896A (ja) | 2004-12-02 |
| JP4280110B2 true JP4280110B2 (ja) | 2009-06-17 |
Family
ID=33528001
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003138707A Expired - Fee Related JP4280110B2 (ja) | 2003-05-16 | 2003-05-16 | 属性承認装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4280110B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7657746B2 (en) * | 2005-04-22 | 2010-02-02 | Microsoft Corporation | Supporting statements for credential based access control |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP0697662B1 (en) * | 1994-08-15 | 2001-05-30 | International Business Machines Corporation | Method and system for advanced role-based access control in distributed and centralized computer systems |
| JPH11313102A (ja) * | 1998-02-27 | 1999-11-09 | Fujitsu Ltd | アクセス制御リスト生成方法及びその装置 |
| JP2000215165A (ja) * | 1999-01-26 | 2000-08-04 | Nippon Telegr & Teleph Corp <Ntt> | 情報アクセス制御方法および装置と情報アクセス制御プログラムを記録した記録媒体 |
| JP3921865B2 (ja) * | 1999-03-11 | 2007-05-30 | カシオ計算機株式会社 | データ処理システムおよびそのプログラム記録媒体 |
| JP2001344106A (ja) * | 2000-05-31 | 2001-12-14 | Nec Corp | オブジェクトの動的アクセス権制御システム |
| JP2002014862A (ja) * | 2000-06-28 | 2002-01-18 | Fujitsu Ltd | 情報アクセス制御装置および情報アクセス制御方法 |
| JP3874159B2 (ja) * | 2000-07-24 | 2007-01-31 | 日本電信電話株式会社 | 権利内容取得装置および権利改札装置 |
| JP3852276B2 (ja) * | 2000-09-08 | 2006-11-29 | 富士ゼロックス株式会社 | ネットワーク接続制御方法および装置 |
| JP2002108709A (ja) * | 2000-09-29 | 2002-04-12 | Hitachi Ltd | アクセス制御方法及びその実施装置並びにその処理プログラムを記録した記録媒体 |
| JP3756397B2 (ja) * | 2000-11-06 | 2006-03-15 | 日本電信電話株式会社 | アクセス制御方法およびアクセス制御装置および記録媒体 |
| JP2002342167A (ja) * | 2001-05-14 | 2002-11-29 | Nippon Telegr & Teleph Corp <Ntt> | エンティティ情報管理装置 |
| JP2003006194A (ja) * | 2001-06-22 | 2003-01-10 | Mitsubishi Electric Corp | データベースアクセス制御システム |
-
2003
- 2003-05-16 JP JP2003138707A patent/JP4280110B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004341896A (ja) | 2004-12-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9081948B2 (en) | Configurable smartcard | |
| CN1610292B (zh) | 能共同操作的凭证收集以及访问的方法和装置 | |
| US8312521B2 (en) | Biometric authenticaton system and method with vulnerability verification | |
| US6510236B1 (en) | Authentication framework for managing authentication requests from multiple authentication devices | |
| JP5108155B2 (ja) | データ記憶アクセスの制御方法 | |
| CN106101110B (zh) | 元数据代理 | |
| RU2308755C2 (ru) | Система и способ предоставления доступа к защищенным услугам с однократным вводом пароля | |
| JP6574168B2 (ja) | 端末識別方法、ならびにマシン識別コードを登録する方法、システム及び装置 | |
| US8738741B2 (en) | Brokering network resources | |
| US20040078573A1 (en) | Remote access system, remote access method, and remote access program | |
| US8813185B2 (en) | Ad-hoc user account creation | |
| US20060041507A1 (en) | Pluggable authentication for transaction tool management services | |
| US20020144149A1 (en) | Trust ratings in group credentials | |
| CN111355743B (zh) | 一种基于api网关的管理方法及其系统 | |
| CN103795702A (zh) | 用于数据的发送控制 | |
| US9111079B2 (en) | Trustworthy device claims as a service | |
| CN108011873B (zh) | 一种基于集合覆盖的非法连接判断方法 | |
| JP4472273B2 (ja) | クライアント評価方法、クライアント評価装置、サービス提供方法、及び、サービス提供システム | |
| US11646875B2 (en) | Data stream identity | |
| US7072969B2 (en) | Information processing system | |
| JP2004021686A (ja) | 認証処理システム、認証処理装置、プログラム及び認証処理方法 | |
| JP4280110B2 (ja) | 属性承認装置 | |
| CN107196957A (zh) | 一种分布式身份认证方法及系统 | |
| JP2009259214A (ja) | 監査システム、外部監査装置、外部監査方法および外部監査プログラム | |
| CN110968632B (zh) | 一种数据统一交换的方法与系统 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20050621 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050725 |
|
| RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20050725 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20070201 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080730 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080912 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20081217 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090205 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090304 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090313 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120319 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4280110 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130319 Year of fee payment: 4 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| LAPS | Cancellation because of no payment of annual fees |