JP4513271B2

JP4513271B2 - Access control apparatus and method

Info

Publication number: JP4513271B2
Application number: JP2003078318A
Authority: JP
Inventors: 健司千葉; 敏哉山田; 則之倉林
Original assignee: Fuji Xerox Co Ltd; Fujifilm Business Innovation Corp
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2003-03-20
Filing date: 2003-03-20
Publication date: 2010-07-28
Anticipated expiration: 2023-03-20
Also published as: JP2004287784A

Description

【０００１】
【発明の属する技術分野】
この発明は、コンピュータネットワーク上の資源に対する一時的なアクセス権を与える技術に関する。なお、資源（リソースともいう）とは、例えば、掲示板、ウェブサイトのようなネットワーク上のアプリケーションを想定するが、特にそれに限定されない。なお、以下では、アクセス権を利用権、アクセス制御を利用制御と呼ぶ場合もある。
【０００２】
【従来の技術】
従来、コンピュータネットワーク上のリソースへのアクセス制御方法として、パスワードによるユーザ認証が知られている。例えば、非特許文献１に示されるように、Ａｐａｃｈｅ（商標）ウェブサーバの、基本認証機能では、アクセス制限が必要なリソース（この場合ＵＲＬで示されるウェブページあるいはＣＧＩプログラム）ごとに、アクセス可能なアカウント名とパスワードの対を、あらかじめサーバ側で設定し、その内容をサーバマシン上のディスクファイルとして生成・保存する。ユーザがアクセス制限対象となっている当該ＵＲＬにアクセスした場合、Ａｐａｃｈｅサーバはユーザに対して、アカウント名とパスワードを要求する。ユーザが正しいアカウント名とパスワードの対を与えたときのみに、当該ＵＲＬへのアクセスが可能となる。
【０００３】
また、ネットワーク上に認証サーバを設けることも知られている（例えば特許文献１、２）。すなわち、認証サーバ・クライアントシステムでは、ネットワーク上に認証サーバが設けられ、当該認証サーバが、各クライアントの情報と、クライアントのアクセス情報を一元管理する構成になっている。クライアント間でのアクセス要求は、すべて当該認証サーバを経由し、各クライアント情報とアクセス情報とから、認証サーバがアクセス可否を決定する仕組みになっている。
【特許文献１】
特開２００１−２８２６６７
【特許文献２】
特開２０００−１０９３０
【非特許文献１】
ｈｔｔｐ：／／ｗｗｗ．ａｐａｃｈｅ．ｊｐ／ｄｏｃｓ／ｈｏｗｔｏ／ａｕｔｈ．ｈｔｍｌ
【０００４】
【発明が解決する課題】
ところで、従来のアクセス制御手法では、一時的にアクセスを許可したい場合に問題があった。すなわち、従来のような構成であると、一時的なアクセス権を与える場合でも、ユーザ登録から行う必要があり、円滑なコミュニケーションを妨げる可能性がる。また、その後、２度と使用しない可能性があるユーザアカウント情報を含めてサーバで管理する必要があり、サーバ資源を圧迫する。このことは、コミュニティが大きくなるにしたがって、その可能性が増大する。
【０００５】
例えば、当該リソースが掲示板やチャットのような参加型のコミュニケーションツールであって、パスワードを使ってアクセス制御をしている場合を考える。話題をある程度しぼって議論したい等の要請のため、登録者のみにアクセス制限している例はインターネット上よく見られる。ある話題について、コミュニケーションが盛り上がった状態で、現在のＮ人の参加者（Ｎ≧１）が、別のユーザをコミュニケーションに参加してもらいたいと思ったとする。このとき当該ユーザが登録をしていないと、当該ユーザの登録を最初に実行する必要がある。また、登録作業が完了するまで、当該ユーザはコミュニケーションに参加できず、また、現在のコミュニケーションもその時点で中断してしまい、話題の盛り上がりに対して負の影響を与えかねない。
【０００６】
この登録作業は、一般のインターネット上では、自動化によりかなり高速に行われるが、必ずしも許容範囲内で終了するとは保証されない。また、社内ネットワーク上での場合には、一般に、ユーザ登録作業は特定の管理者あるは管理部門によって統括され、事前申請等の煩雑な作業を伴うことが多く、迅速な対応は期待できない。また、登録に際して、参加を依頼されたユーザの側が登録に必要な個人情報の開示を拒否する場合も考えられる。
【０００７】
この発明は、以上の事情を考慮してなされたものであり、コンピュータネットワーク上の資源へのアクセスを一時的に許可する場合でも、円滑なコミュニケーションを損なったり、サーバ資源を圧迫する等の不都合を伴わないアクセス制御技術を提供することを目的としている。
【０００８】
【課題を解決するための手段】
この発明によれば、上述の目的を達成するために、特許請求の範囲に記載のとおりの構成を採用している。ここでは、発明を詳細に説明するのに先だって、特許請求の範囲の記載について補充的に説明を行なっておく。
【０００９】
この発明では、例えば、現在のアプリケーションへの参加者Ｎ人（Ｎ≧１）以上が合意すれば、任意のユーザ（アクセス権がない）に一時的なアクセス権を発行可能にする。個々の参加者が、それぞれの固有のデータから、対象者に対するアクセス許可データを生成・送付する。このアクセス許可データに基づいてアクセス権情報を任意のユーザに発行する。なお、アプリケーションは、例えば、掲示板サービス、ウェブサービス等であるが、これに限定されない。また、この発明は、アプリケーションの利用に限定されず、広くコンピュータネットワーク上の資源への利用制御に適用できる。
【００１０】
さらにこの発明を説明する。
【００１１】
この発明の一側面によれば、上述の目的を達成するために、コンピュータネットワーク上の資源への利用制御を行う利用制御装置に：上記資源の所定のユーザの要求に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段と；上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段と；上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証する手段とを設けるようにしている。
【００１２】
この構成においては、コンピュータネットワーク上の資源を現に利用している利用者等、所定の利用者の依頼に基づいて他の利用者にアクセス権情報を発行して当該他の利用者が当該資源にアクセスできるようにしているので、従前のようなユーザ登録が必要なく、この結果、迅速なコミュニケーションへの参加を実現でき、またユーザ管理に伴うサーバ資源の圧迫を招来することもない。
【００１３】
また、この構成においては、上記所定のユーザは上記資源を利用中のユーザのほかに、あらかじめ登録されているユーザであってもよいし、上記資源を利用したコミュニケーションの所定のスレッドに参加しているユーザであってもよい。登録されているユーザは通常のユーザとして登録されているユーザであってもよいし、特定の権限を有するものとして登録されているユーザであってもよい。利用中のユーザや登録されているユーザ等のすべてのアクセス権発行依頼情報があるときにアクセス権情報を発行してもよいし、当該ユーザの一部からの依頼があるときにアクセス権情報を発行してもよい。多数決等によりアクセス権情報を発行するようにしてもよい。
【００１４】
スレッドに参加しているユーザが依頼を行う場合、上記資源のアクセス権情報は、上記所定のスレッドに関してのみ上記資源の利用を許可するものでもよい。スレッドは、関連する一まとまりの、例えば話題を共通にするコミュニケーションである。例えばコミュニケーションの参照情報を用いてスレッドを判別できる。
【００１５】
また、上記資源のアクセス権情報が許可するアクセスの操作タイプのアクセス権限は、上記所定のユーザの操作タイプのアクセス権限のＡＮＤ論理により決定されたり、ＯＲ論理により決定されてもよい。
【００１６】
上記資源の利用情報が許可するアクセスの期間は上記所定のユーザがそれぞれ許可されているアクセスの期間のＡＮＤ論理により決定されたり、ＯＲ論理により決定されてもよい。
【００１７】
また、上記他のユーザをユーザ情報から決定し、この決定にしたがって、上記アクセス権発行依頼情報が生成さえるように上記所定のユーザに依頼を行うようにしてもよいし、上記他のユーザやその他の者が上記所定のユーザに対して上記アクセス権発行依頼情報を生成するように処理するように依頼してもよい。
【００１８】
上記資源の利用許可情報は、属性証明書により規定されてもよいが、これに限定されない。
【００１９】
また、この発明の他の側面によれば、上述の目的を達成するために、サービス提供装置に：ネットワークに接続されユーザに対してサービスを提供するサーバ装置と；上記ネットワークに接続されユーザが利用するクライアント装置と；上記サーバ装置の所定の資源へのアクセス制御を行うアクセス制御装置とを設け；上記クライアント装置は、当該クライアント装置の所定のユーザの所定の操作に基づいて他のユーザに対する上記資源のアクセス権発行依頼情報を生成する手段を有し；上記アクセス制御装置は、上記アクセス権発行依頼情報を受け取って、上記他のユーザへの上記資源のアクセス権情報を生成する手段と、上記他のユーザの上記資源へのアクセス要求の際に、上記資源のアクセス権情報の内容が正当であるかどうか検証する検証手段とを有し；上記サーバ装置は上記検証手段の検証結果に基づいて上記他のユーザに対する上記所定の資源へのアクセスを許容するようにしている。
【００２０】
この構成においても、コンピュータネットワーク上の資源を現に利用している利用者等、所定の利用者の依頼に基づいて他の利用者にアクセス権情報を発行して当該他の利用者が当該資源にアクセスできるようにしているので、従前のようなユーザ登録が必要なく、この結果、迅速なコミュニケーションへの参加を実現でき、またユーザ管理に伴うサーバ資源の圧迫を招来することもない。
【００２１】
なお、この発明は装置またはシステムとして実現できるのみでなく、方法としても実現可能である。また、そのような発明の一部をソフトウェアとして構成することができることはもちろんである。またそのようなソフトウェアをコンピュータに実行させるために用いるソフトウェア製品もこの発明の技術的な範囲に含まれることも当然である。
【００２２】
この発明の上述の側面および他の側面は特許請求の範囲に記載され以下実施例を用いて詳述される。
【００２３】
【発明の実施の形態】
以下、この発明の実施例について説明する。
【００２４】
この実施例のアクセス制御システムは、ＰＫＩ（公開鍵インフラストラクチャ）を前提とし、当該アクセス制御システムがカバーするドメイン対応に認証局（ＣＡ）が設置され、各ユーザは証明書を持つ。また属性証明書発行局（ＡＡ）が設置され、この属性証明書発行局が発行する属性証明書をアクセス許可情報として用いる。この例では、認証局が属性証明書発行局をかねる。もちろん、以上は一例であり、このような構成に限定されず、種々の変更が可能である。
【００２５】
図１は、この実施例のアクセス制御システムを模式的に示しており、この図において、１０１は、コミュニケーションスペースであり、１０２は、コミュニケーションスペース１０１を利用中のユーザであり、ここではＮ人参加しているとする。１０３は、アクセス権発行依頼情報であり、１０４は、アクセス権情報発行手段である。１０５は、アクセス権情報であり、１０６は、コミュニケーションスペース１０１のビジターユーザであり、１０７は、アクセス要求である。ここでは、「アクセス権」ないし「アクセス」という用語を用いたが、「利用権」ないし「利用」ということもある。
【００２６】
コミュニケーションスペース１０１は、コンピュータ上で実行されるプログラムによって実現されるもので、例えば、電子掲示板やチャットツールなどである。ここでのコミュニケーションスペース１０１は、任意のユーザが自由にアクセスできるものではなく、特定のユーザが例えば特定の話題についてのコミュニケーションを実施するために生成され、特定のユーザ以外のユーザのアクセスを制限しているものであることを前提とする。
【００２７】
ここで、当該コミュニケーションスペース１０１において、図中、１０２で示されるユーザ１からユーザＮのＮ人のユーザが、すでにコミュニケーションを行っている状態を初期状態とし、この状態で、このＮ人のユーザが、新たに別のユーザをビジターユーザ１０６としてコミュニケーションに参加してもらいたいという場合を考える。
【００２８】
最初のステップとして、前記ビジターユーザ１０６のアクセス権発行依頼情報１０３を所定のユーザインタフェース（例えば後述図５参照）を用いて生成する。アクセス権発行依頼情報１０３は、例えば、▲１▼コミュニケーションスペース識別子、▲２▼発行先識別子、▲３▼有効期限情報または有効アクセス回数、▲４▼アクセス許可者の人数を含む。
【００２９】
アクセス権発行依頼時にはアクセス権設定方法を指定することもできる。所定のアクセス権設定方法を無指定時の設定方法とすることもできる。もちろん所定の設定方法を固定的に用いてもよい。
【００３０】
アクセス権発行依頼時（実施例においては、例えば、属性証明書発行依頼時）、当該リソース（例えば掲示板など）の複数の参加者各々が、ビジターユーザに対して、許可するアクセス権の詳細を設定する。
【００３１】
この場合、各参加者が設定したアクセス権の詳細または各参加者のアクセス権自体から、以下のような手順のいずれかまたは組み合わせによって、実際に発行を依頼するアクセス権情報を決定する。
▲１▼発行を認めた参加者各々が設定したアクセス権のＡＮＤ論理
▲２▼発行を認めた参加者各々が設定したアクセス権のＯＲ論理
▲３▼特定の特権ユーザがいる場合は、当該ユーザの設定値を優先
▲４▼当該リソース（例えば、掲示板の特定のスレッド、特定のチャットルームなど）の生成時からの参加ユーザ（複数）を優先
【００３２】
各参加者は例えば図５に示すようなユーザインタフェースを用いてアクセス権の詳細を設定できる。この例では、利用期限を日単位で設定し、またボタンを用いて許可すべき操作を選択するようにしている。また、各参加者は他の参加者の設定状況を図６に示すように参照することができる。図６においてユーザ「ＥＥＥ」は、設定項目の値が「ｘ」となっている。これはユーザ「ＥＥＥ」が設定未了であることを示す場合もあるし、承認ユーザとして設定されていない場合もある。もちろん、種々の態様でユーザの種別、ユーザの既設定値を表示することができる。
【００３３】
次にユーザ１からユーザＮは、前記アクセス権発行依頼情報１０３に各々電子署名を施し、これをアクセス権発行手段１０４に送付する。この動作手順を図２に示す。図２の動作は図２の記載から明らかであるので詳細な説明は省略する。
【００３４】
アクセス権発行手段１０４は、コミュニケーションスペース１０１内に構成されても、別構成でネットワーク接続されていても良い。
【００３５】
アクセス権発行手段１０４は送付されてきた前記アクセス権発行依頼情報１０３について、ユーザ１からユーザＮの署名を検証し、検証がすべて成功した場合のみアクセス権情報１０５を生成する。アクセス許可情報は、例えば、ＰＫＩの属性証明書を用いることができる。
【００３６】
属性証明書は、つぎのような項目を含む。
▲１▼発行先情報
名前：
連絡先：例えば、住所／郵便番号／電話番号／ＦＡＸ番号／Ｅ−Ｍａｉｌ
▲２▼アクセス先リソース情報
ファイル名／サーバのＵＲＬ／アプリケーション名／ホスト（マシン）名など：
アクセス許可者の人数：
▲３▼アクセス許可情報
アクセス許可機能（閲覧／追記／変更／削除／転送など）：
アクセス許可期間／回数：
アクセス許可条件：例えば、アクセス時のアクセス先リソースの状態（アクセス許諾発行依頼者（複数）すべてまたは一定数以上がアクセス状態にある、あるいは、アクセス許諾発行依頼者がすべてアクセス先リソースに対する正当なアクセス権を持っている状態にある。（登録抹消になっていない））
【００３７】
アクセス権発行手段１０４は、前記アクセス権情報１０５に自分の署名を施し、さらに、前記アクセス権発行依頼情報１０３に含まれる発行先識別子により発行先である前記ビジターユーザ１０６の公開鍵証明書を取得し、この公開鍵によりアクセス権情報１０５を暗号化し、前記ビジターユーザ１０６に送付する。この動作手順を図３に示す。図３の動作も図３の記載から明らかであるので詳細な説明は省略する。
【００３８】
前記ビジターユーザ１０６は、アクセス権発行手段１０４から送付された前記暗号化されたアクセス権情報１０５を自分の秘密鍵で復号し、前記アクセス権情報１０５を取り出す。前記ビジターユーザ１０６は、コミュニケーションスペース１０１に対して、アクセス要求とともに、前記アクセス権情報を送付する。コミュニケーションスペース１０１は、前記ビジターユーザ１０６から送付されたアクセス権情報に施された、前記アクセス権発行手段１０４の署名を検証し、成功した場合のみ、有効期限あるいは有効回数内ならば、アクセス要求に対し相当の応答をする。この動作手順を図４に示す。図４の動作も図４の記載から明らかであるので詳細な説明は省略する。
【００３９】
上述のアクセス条件を適切に設定することによりコミュニケーションスペース等の状況、目的に応じた最適なアクセス権限をビジターユーザ１０６に付与できる。例えば、許可を行ったユーザが誰も、あるいは数人しか、ログインしていない場合には、当該許可を得たビジターユーザがアクセスできないように設定できる。あるいは、許可を行ったユーザのうち全員あるいは何人かが、コミュニケーションスペースあるいは該当するスレッドから抜けている場合には、当該許可を得たビジターユーザがアクセスできないように設定できる。
【００４０】
なお、アクセス権情報のユーザへの送付方法は種々採用できる。図１および図３の、ビジターユーザ１０６の公開鍵証明書の発行系列と、参加者１．．Ｎの証明書やアクセス権情報１０５などの証明書群との発行系列が関連をもつ（相互に認証可能等）必要はなく、単にアクセス権情報１０５が確実にビジターユーザ１０６に届くような施策が施されていれば問題ない。セキュア機能付のメールやインスタントメッセージングツールのようなものでも対応可能な場合もある。これは求められるセキュリティ強度に依存して決まる。
【００４１】
例えば、企業内システム等でなおかつＰＫＩインフラが導入済みの状態を想定すれば、既存のＰＫＩインフラのためのデータ、システムをそのまま流用することで、比較的高いセキュリティ強度が確保できる。
【００４２】
つぎに上述の実施例の具体的な実現例について説明する。
【００４３】
図７は具体例の構成を示しており、図７において、ネットワーク２００に、コミュニケーションスペース提供サーバ２０１、アクセス制御サーバ２０２、認証局２０３、クライアント端末２０４等が接続されている。クライアント端末２０４の一部のユーザは、すでにコミュニケーションスペース提供サーバ２０１のコミュニケーションスペースに参加している参加中ユーザ１０２であり、また他のクライアント端末２０４のユーザは、現時点においてアクセス権がないビジターユーザ１０６である。
【００４４】
コミュニケーションスペース提供サーバ２０１はアクセス制御サーバ２０２の機能を具備していてもよい。この場合、アクセス制御サーバ２０２は省略できる。
【００４５】
図８は、アクセス制御サーバ２０２、認証局２０３、クライアント端末２０４の詳細を、実施例のアクセス制御に関連する範囲で示すものである。図８において、クライアント端末２０４は、参加依頼生成部２０５、アクセス権発行依頼生成部２０６、参加依頼受信部２０７等を有している。アクセス制御サーバ２０２はユーザ情報データベース２０８、参加依頼生成部２０９、パスワード認証部２１０、アクセス権検証部２１１等を有している。認証局２０３は、アクセス権発行依頼受信部２１２、属性証明書生成部２１３等を有している。アクセス制御サーバ２０２、認証局２０３、クライアント端末２０４等で実現される機能のうちの少なくとも一部はコンピュータプログラムで実現され、かかるコンピュータプログラムは、例えば、図示しない記録媒体（後述の図９、図１０の記録媒体１００１〜１００５参照）や通信手段を用いてインストールされる。
【００４６】
図７および図８において、利用中ユーザのクライアント端末において、ビジターユーザ用にアクセス権発行依頼部２０６がアクセス権発行依頼情報を生成して認証局２０３に送出する。認証局２０３では、アクセス権発行依頼受信部２１２がアクセス権発行依頼情報を受信し、署名等を検証した後、属性証明書生成部２１３によりアクセス権に合致した属性証明書を生成してビジターユーザのクライアント端末に送出する。ビジターユーザはアクセス制御サーバ２０２のアクセス権検証部２１１に属性証明書を送出してアクセス権の検証を受ける。検証に成功したら、例えばセッションが開始され、そのセッションの元でコミュニケーションスペース提供サーバを利用可能になる。
【００４７】
アクセス制御サーバ２０２のパスワード認証部２１０は、ユーザ情報データベース２０８を用いてユーザ登録済みのユーザのパスワード認証等を行うものである。
【００４８】
また、この例では、ビジターユーザが、利用しているクライアント端末２０４の参加依頼生成部２０５を用いて参加依頼を行うことができる。この参加依頼の情報は、例えばアクセス制御サーバ２０２を介して、利用中ユーザのクライアント端末２０４に送られ、このクライアント端末２０４の参加依頼受信部２０７で受信される。参加依頼受信部２０７は、利用中ユーザに対してアクセス権発行依頼を発行するように催促する処理を行い、利用中ユーザはこれに基づいてアクセス権発行依頼を行ったり、または拒否を当該ビジターユーザのクライアント端末２０４に通知する。
【００４９】
また、アクセス制御サーバ２０２の参加依頼生成部２０９は、所定の状況、例えば、所定の話題に関するコミュニケーションがあったときに、その話題にふさわしいビジターユーザをユーザ情報データベース２０８の情報から判別し、当該ビジターユーザ用の参加依頼を生成して、利用中ユーザのクライアント端末２０４に参加依頼の情報を送出する。これにより、当該ビジターユーザに対して一時的な参加が許容される。
【００５０】
なお、この発明は上述の実施例に限定されるものではなくその趣旨を逸脱しない範囲で種々変更が可能である。例えば、上述の例では属性証明書を用いてアクセス権情報としたが、アクセス権を表象するものであればどのようなものでもよい。ビジターユーザのみが保持している情報と組み合わせて初めてアクセス権を証明する情報となる情報を、アクセス権情報としてビジターユーザに供給するようにしてもよい。
【００５１】
図９はアクセス制御サーバ２０２が認証局２０３の機能も兼ね備える例を示す。この図において図８と対応する箇所には対応する符号を付した。図９の各種機能（２０５、２１１〜２１３）はコンピュータプログラムにより実現され、かかるプログラムは、例えば記録媒体１００１、１００２や通信手段を用いてインストールされる。
【００５２】
図１０はコミュニケーションスペース提供サーバ２０１がアクセス制御サーバ２０２や認証局２０３の機能も兼ね備える例を示す。この図においても図８と対応する箇所には対応する符号を付した。図１０の各種機能（２０５、２１１〜２１３）もコンピュータプログラムにより実現され、かかるプログラムは、例えば記録媒体１００１、１００３や通信手段を用いてインストールされる。
【００５３】
図１１はコミュニケーションスペース提供サーバ２０１がアクセス制御サーバ２０２の機能も兼ね備える例を示す。この図においても図８と対応する箇所には対応する符号を付した。図１１の各種機能（２０５、２１１〜２１３）もコンピュータプログラムにより実現され、かかるプログラムは、例えば記録媒体１００１、１００４、１００５や通信手段を用いてインストールされる。
【００５４】
【発明の効果】
以上説明したように、この発明によれば、簡易かつ迅速に、また、サーバ資源を圧迫することなく、ビジターユーザに対してコンピュータネットワーク上の資源を一時的に利用させることができる。
【図面の簡単な説明】
【図１】この発明の実施例を全体として示す図である。
【図２】上述実施例におけるアクセス権依頼情報生成動作を説明するフローチャートである。
【図３】上述実施例におけるアクセス権発行依頼情報生成動作等を説明するフローチャートである。
【図４】上述実施例におけるアクセス権の検証動作等を説明するフローチャートである。
【図５】アクセス権の設定用ユーザインタフェースの例を説明する図である。
【図６】アクセス権の設定用ユーザインタフェースの例を説明する図である。
【図７】上述実施例の構成例を説明する図である。
【図８】図７の要部を詳細に説明する図である。
【図９】上述実施例の変形例を説明する図である。
【図１０】上述実施例の他の変形例を説明する図である。
【図１１】上述実施例のさらに他の変形例を説明する図である。
【符号の説明】
１０１コミュニケーションスペース
１０２参加中ユーザ
１０３アクセス権発行依頼情報
１０４アクセス権発行手段
１０５アクセス権情報
１０６ビジターユーザ
２００ネットワーク
２０１コミュニケーションスペース提供サーバ
２０２アクセス制御サーバ
２０３認証局
２０４クライアント端末
２０５参加依頼生成部
２０６アクセス権発行依頼生成部
２０６アクセス権発行依頼部
２０７参加依頼受信部
２０８ユーザ情報データベース
２０９参加依頼生成部
２１０パスワード認証部
２１１アクセス権検証部
２１２アクセス権発行依頼受信部
２１３属性証明書生成部
１００１〜１００５記録媒体[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a technique for providing temporary access to resources on a computer network. The resource (also referred to as a resource) is assumed to be a network application such as a bulletin board or a website, but is not particularly limited thereto. Hereinafter, the access right may be referred to as a usage right, and the access control may be referred to as usage control.
[0002]
[Prior art]
Conventionally, user authentication using a password is known as a method for controlling access to resources on a computer network. For example, as shown in Non-Patent Document 1, the Apache (trademark) web server can be accessed for each resource (in this case, a web page or CGI program indicated by a URL) that requires access restriction in the basic authentication function. Set the account name and password in advance on the server side, and create and save the contents as a disk file on the server machine. When the user accesses the URL subject to access restriction, the Apache server requests an account name and password from the user. The URL can be accessed only when the user gives the correct account name and password pair.
[0003]
It is also known to provide an authentication server on the network (for example, Patent Documents 1 and 2). That is, in the authentication server / client system, an authentication server is provided on the network, and the authentication server is configured to centrally manage information of each client and access information of the client. All access requests between clients pass through the authentication server, and the authentication server determines whether access is possible from each client information and access information.
[Patent Document 1]
JP 2001-282667 A
[Patent Document 2]
JP2000-10930
[Non-Patent Document 1]
http: // www. apache. jp / docs / howto / auth. html
[0004]
[Problems to be solved by the invention]
By the way, the conventional access control method has a problem when it is desired to permit access temporarily. In other words, with the conventional configuration, even when a temporary access right is given, it is necessary to perform user registration, and smooth communication may be hindered. In addition, after that, it is necessary to manage the server including user account information that may not be used again, and the server resources are compressed. This possibility increases as the community grows.
[0005]
For example, consider a case where the resource is a participation type communication tool such as a bulletin board or chat, and access control is performed using a password. An example of restricting access only to registrants due to requests such as squeezing topics to some extent is often seen on the Internet. Assume that the current N participants (N ≧ 1) wish to have another user participate in the communication for a certain topic in a state where the communication is exciting. At this time, if the user has not registered, the user needs to be registered first. Further, the user cannot participate in the communication until the registration work is completed, and the current communication is also interrupted at that time, which may negatively affect the excitement of the topic.
[0006]
This registration operation is performed at a considerably high speed by automation on the general Internet, but it is not always guaranteed that the registration operation is completed within an allowable range. In addition, in the case of an in-house network, user registration work is generally managed by a specific administrator or a management department, and often involves complicated work such as prior application, and prompt response cannot be expected. In addition, at the time of registration, there may be a case where the user requested to participate refuses disclosure of personal information necessary for registration.
[0007]
The present invention has been made in view of the above circumstances, and even if access to resources on a computer network is temporarily permitted, problems such as impaired smooth communication and pressure on server resources. The purpose is to provide access control technology that does not accompany.
[0008]
[Means for Solving the Problems]
According to this invention, in order to achieve the above-mentioned object, the configuration as described in the claims is adopted. Here, prior to describing the invention in detail, supplementary explanations of the claims will be given.
[0009]
In the present invention, for example, if N or more participants (N ≧ 1) in the current application agree, a temporary access right can be issued to any user (no access right). Each participant generates and sends access permission data for the target person from their own unique data. Based on this access permission data, access right information is issued to an arbitrary user. The application is, for example, a bulletin board service or a web service, but is not limited thereto. Further, the present invention is not limited to the use of applications, and can be widely applied to use control for resources on a computer network.
[0010]
The present invention will be further described.
[0011]
According to one aspect of the present invention, in order to achieve the above-mentioned object, a usage control apparatus for performing usage control on resources on a computer network: the above-mentioned for other users based on a request of a predetermined user of the resources Means for generating resource access right issuance request information; means for receiving the access right issuance request information and generating access right information for the resource to the other user; and A means for verifying whether the content of the access right information of the resource is valid when an access request is made is provided.
[0012]
In this configuration, access right information is issued to other users based on the request of a predetermined user, such as a user who is currently using a resource on a computer network, and the other user is assigned to the resource. Since access is made possible, user registration as before is not required, and as a result, prompt participation in communication can be realized, and server resources are not compressed due to user management.
[0013]
In this configuration, the predetermined user may be a user registered in advance in addition to the user who is using the resource, or may participate in a predetermined thread of communication using the resource. May be a user. The registered user may be a user registered as a normal user, or may be a user registered as having a specific authority. The access right information may be issued when there is all access right issue request information such as a user currently used or a registered user, or the access right information is provided when there is a request from a part of the user. May be issued. The access right information may be issued by majority vote or the like.
[0014]
When a user participating in a thread makes a request, the resource access right information may permit the use of the resource only for the predetermined thread. A thread is a group of related communications, for example, a common topic. For example, a thread can be identified using communication reference information.
[0015]
Further, the access authority of the access operation type permitted by the resource access right information may be determined by AND logic of the access authority of the predetermined user operation type, or may be determined by OR logic.
[0016]
The period of access permitted by the resource usage information may be determined by AND logic of the period of access permitted by each of the predetermined users, or may be determined by OR logic.
[0017]
Further, the other user may be determined from the user information, and according to this determination, the predetermined user may be requested to generate the access right issuance request information. The person may request the predetermined user to process the access right issue request information.
[0018]
The resource use permission information may be defined by an attribute certificate, but is not limited thereto.
[0019]
According to another aspect of the present invention, in order to achieve the above object, a service providing apparatus: a server apparatus connected to a network and providing a service to a user; connected to the network and used by a user An access control device for controlling access to a predetermined resource of the server device; the client device is configured to provide the resource for other users based on a predetermined operation of a predetermined user of the client device. Means for generating access right issuance request information for the access right; the access control apparatus receives the access right issuance request information and generates access right information for the resource to the other user; When the user requests access to the resource, it verifies whether the content of the access right information of the resource is valid. And a verification means; said server device is to be allowed access to the predetermined resources to the other users based on the verification result of the verification means.
[0020]
Even in this configuration, users who are currently using resources on a computer network, etc., issue access right information to other users based on the request of a predetermined user, and the other users can use the resources as resources. Since access is made possible, user registration as before is not required, and as a result, prompt participation in communication can be realized, and server resources are not compressed due to user management.
[0021]
The present invention can be realized not only as an apparatus or a system but also as a method. Of course, a part of the invention can be configured as software. Of course, software products used for causing a computer to execute such software are also included in the technical scope of the present invention.
[0022]
These and other aspects of the invention are set forth in the appended claims and will be described in detail below with reference to examples.
[0023]
DETAILED DESCRIPTION OF THE INVENTION
Examples of the present invention will be described below.
[0024]
The access control system of this embodiment is based on PKI (Public Key Infrastructure), and a certificate authority (CA) is installed for each domain covered by the access control system, and each user has a certificate. An attribute certificate issuing authority (AA) is installed, and an attribute certificate issued by the attribute certificate issuing authority is used as access permission information. In this example, the certificate authority also serves as the attribute certificate issuing authority. Of course, the above is an example, and the present invention is not limited to such a configuration, and various modifications can be made.
[0025]
FIG. 1 schematically shows an access control system according to this embodiment. In this figure, 101 is a communication space, 102 is a user who is using the communication space 101, and N people participate here. Suppose you are. Reference numeral 103 denotes access right issuance request information, and reference numeral 104 denotes access right information issuing means. Reference numeral 105 denotes access right information, reference numeral 106 denotes a visitor user of the communication space 101, and reference numeral 107 denotes an access request. Here, the term “access right” or “access” is used, but it may also be “use right” or “use”.
[0026]
The communication space 101 is realized by a program executed on a computer, and is, for example, an electronic bulletin board or a chat tool. The communication space 101 here is not freely accessible by any user, but is created for a specific user to carry out communication on a specific topic, for example, and restricts access by users other than the specific user. It is assumed that
[0027]
Here, in the communication space 101, a state in which N users N to N, who are indicated by reference numeral 102 in the figure, are already communicating is set as an initial state. Consider a case in which another user wants to participate in communication as a visitor user 106.
[0028]
As a first step, the access right issue request information 103 of the visitor user 106 is generated using a predetermined user interface (for example, see FIG. 5 described later). The access right issuance request information 103 includes, for example, (1) communication space identifier, (2) issue destination identifier, (3) expiration date information or effective access count, and (4) the number of access authorized persons.
[0029]
An access right setting method can also be specified when an access right issuance request is made. The predetermined access right setting method may be a setting method when no designation is made. Of course, a predetermined setting method may be used fixedly.
[0030]
When an access right issuance request is made (in the embodiment, for example, when an attribute certificate is issued), each of a plurality of participants of the resource (for example, a bulletin board) sets details of the access right permitted to the visitor user. To do.
[0031]
In this case, access right information to be actually issued is determined from the details of the access right set by each participant or the access right itself of each participant by any one or combination of the following procedures.
(1) AND logic of access right set by each participant authorized to issue (2) OR logic of access right set by each participant authorized to issue (3) When there is a specific privileged user Priority is given to the set value of ▲ 4 ▼ Priority is given to the participating users (multiple) from the time of creation of the relevant resource (for example, a specific thread of a bulletin board, a specific chat room, etc.)
Each participant can set the details of the access right using, for example, a user interface as shown in FIG. In this example, the expiration date is set in units of days, and an operation to be permitted is selected using a button. Further, each participant can refer to the setting status of other participants as shown in FIG. In FIG. 6, the user “EEE” has the setting item value “x”. This may indicate that the user “EEE” has not been set, or may not be set as an authorized user. Of course, the user type and the preset value of the user can be displayed in various ways.
[0033]
Next, the user 1 to the user N give an electronic signature to the access right issue request information 103 and send it to the access right issue means 104. This operation procedure is shown in FIG. Since the operation of FIG. 2 is clear from the description of FIG. 2, detailed description thereof is omitted.
[0034]
The access right issuing unit 104 may be configured in the communication space 101 or may be connected to the network by another configuration.
[0035]
The access right issuing means 104 verifies the signature of the user 1 to the user N with respect to the access right issue request information 103 that has been sent, and generates the access right information 105 only when all the verifications are successful. For example, a PKI attribute certificate can be used as the access permission information.
[0036]
The attribute certificate includes the following items.
(1) Issuer information name:
Contact: For example, address / postal code / phone number / FAX number / E-Mail
(2) Access destination resource information file name / server URL / application name / host (machine) name, etc .:
Number of authorized users:
(3) Access permission information Access permission function (view / add / change / delete / transfer, etc.):
Access permission period / number of times:
Access permission conditions: For example, the status of the access destination resources at the time of access (all access permission issuers (multiple) or a certain number or more are in the access state, or all access permission issuers are legitimate access to the access destination resources (You have not been unregistered)
[0037]
The access right issuing means 104 applies its own signature to the access right information 105, and further obtains the public key certificate of the visitor user 106 that is the issue destination by the issue destination identifier included in the access right issue request information 103 Then, the access right information 105 is encrypted with this public key and sent to the visitor user 106. This operation procedure is shown in FIG. Since the operation of FIG. 3 is also apparent from the description of FIG. 3, detailed description thereof is omitted.
[0038]
The visitor user 106 decrypts the encrypted access right information 105 sent from the access right issuing means 104 with his / her private key, and takes out the access right information 105. The visitor user 106 sends the access right information to the communication space 101 together with an access request. Communication Space 101 has been subjected to the sending access rights information from the visitor users 1 06, to verify the signature of the access right issuing unit 104, if successful only, if the expiration date or the effective number of the access Respond fairly to requests. This operation procedure is shown in FIG. The operation of FIG. 4 is also apparent from the description of FIG.
[0039]
By appropriately setting the above-described access conditions, it is possible to give the visitor user 106 the optimum access authority according to the situation and purpose of the communication space. For example, when no one or several users who have given permission are logged in, it can be set so that a visitor user who has obtained the permission cannot access. Alternatively, when all or some of the users who have given permission have left the communication space or the corresponding thread, it can be set so that the visitor user who has obtained the permission cannot access.
[0040]
Various methods for sending the access right information to the user can be adopted. 1 and FIG. 3, a public key certificate issuing sequence of the visitor user 106, and participants 1. . There is no need for the issue series with the certificate group such as the N certificate and the access right information 105 to be related (can be mutually authenticated, etc.), and there is a measure that simply allows the access right information 105 to reach the visitor user 106. If it is given, there is no problem. Even secure emails and instant messaging tools may be available. This depends on the required security strength.
[0041]
For example, assuming a state in which a PKI infrastructure has already been introduced in an in-house system or the like, a relatively high security strength can be secured by diverting the data and system for the existing PKI infrastructure as they are.
[0042]
Next, a specific implementation example of the above-described embodiment will be described.
[0043]
FIG. 7 shows a configuration of a specific example. In FIG. 7, a communication space providing server 201, an access control server 202, an authentication station 203, a client terminal 204, and the like are connected to the network 200. Some users of the client terminal 204 are participating users 102 who have already participated in the communication space of the communication space providing server 201, and other users of the client terminal 204 are visitor users 106 who have no access right at this time. It is.
[0044]
The communication space providing server 201 may have the function of the access control server 202. In this case, the access control server 202 can be omitted.
[0045]
FIG. 8 shows details of the access control server 202, the certificate authority 203, and the client terminal 204 in the range related to the access control of the embodiment. In FIG. 8, the client terminal 204 includes a participation request generation unit 205, an access right issue request generation unit 206, a participation request reception unit 207, and the like. The access control server 202 includes a user information database 208, a participation request generation unit 209, a password authentication unit 210, an access right verification unit 211, and the like. The certificate authority 203 includes an access right issue request reception unit 212, an attribute certificate generation unit 213, and the like. At least some of the functions realized by the access control server 202, the certificate authority 203, the client terminal 204, and the like are realized by a computer program. Such a computer program is, for example, a recording medium (not shown) (FIGS. 9 and 10 described later). The recording medium 1001 to 1005) and communication means.
[0046]
7 and 8, the access right issuance request unit 206 generates access right issuance request information for the visitor user and sends it to the certificate authority 203 at the client terminal of the user in use. In the certificate authority 203, the access right issuance request receiving unit 212 receives the access right issuance request information, verifies the signature, etc., and then generates an attribute certificate that matches the access right by the attribute certificate generation unit 213 to generate a visitor user. To the client terminal. The visitor user sends an attribute certificate to the access right verification unit 211 of the access control server 202 and receives access right verification. If the verification is successful, for example, a session is started, and the communication space providing server can be used under the session.
[0047]
The password authentication unit 210 of the access control server 202 uses the user information database 208 to perform password authentication for a user who has already been registered.
[0048]
In this example, the visitor user can make a participation request using the participation request generation unit 205 of the client terminal 204 that is being used. This participation request information is sent to the client terminal 204 of the user in use via the access control server 202, for example, and is received by the participation request receiving unit 207 of the client terminal 204. The participation request receiving unit 207 performs a process of prompting the user in use to issue an access right issuance request, and the user in use makes an access right issuance request based on this, or denies the visitor user. To the client terminal 204.
[0049]
Also, the participation request generation unit 209 of the access control server 202 discriminates a visitor user suitable for the topic from information in the user information database 208 when there is communication in a predetermined situation, for example, a predetermined topic, and the visitor A user participation request is generated, and participation request information is sent to the client terminal 204 of the user in use. Thereby, temporary participation is permitted for the visitor user.
[0050]
The present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the spirit of the invention. For example, in the above example, the access right information is used by using the attribute certificate, but any information representing the access right may be used. Information that proves access right only in combination with information held only by the visitor user may be supplied to the visitor user as access right information.
[0051]
FIG. 9 shows an example in which the access control server 202 also has the function of the certificate authority 203. In this figure, the parts corresponding to those in FIG. The various functions (205, 211 to 213) in FIG. 9 are realized by a computer program, and the program is installed using, for example, the recording media 1001 and 1002 and communication means.
[0052]
FIG. 10 shows an example in which the communication space providing server 201 also has the functions of the access control server 202 and the certificate authority 203. In this figure as well, portions corresponding to those in FIG. The various functions (205, 211 to 213) in FIG. 10 are also realized by a computer program, and the program is installed using, for example, the recording media 1001 and 1003 and communication means.
[0053]
FIG. 11 shows an example in which the communication space providing server 201 also has the function of the access control server 202. In this figure as well, portions corresponding to those in FIG. Various functions (205, 211 to 213) in FIG. 11 are also realized by a computer program, and the program is installed using, for example, the recording media 1001, 1004, and 1005 and communication means.
[0054]
【The invention's effect】
As described above, according to the present invention, it is possible to make a visitor user temporarily use resources on a computer network simply and quickly and without squeezing server resources.
[Brief description of the drawings]
FIG. 1 is a diagram showing an embodiment of the present invention as a whole.
FIG. 2 is a flowchart for explaining an access right request information generation operation in the embodiment.
FIG. 3 is a flowchart illustrating an access right issue request information generation operation and the like in the embodiment.
FIG. 4 is a flowchart illustrating an access right verification operation and the like in the embodiment.
FIG. 5 is a diagram illustrating an example of an access right setting user interface;
FIG. 6 is a diagram illustrating an example of a user interface for setting access rights.
FIG. 7 is a diagram illustrating a configuration example of the above-described embodiment.
FIG. 8 is a diagram for explaining in detail the main part of FIG. 7;
FIG. 9 is a diagram for explaining a modification of the embodiment.
FIG. 10 is a diagram for explaining another modification of the embodiment.
FIG. 11 is a diagram for explaining still another modification of the embodiment.
[Explanation of symbols]
101 Communication Space 102 Participating User 103 Access Right Issuing Request Information 104 Access Right Issuing Means 105 Access Right Information 106 Visitor User 200 Network 201 Communication Space Providing Server 202 Access Control Server 203 Certificate Authority 204 Client Terminal 205 Participation Request Generating Unit 206 Access Right Issue request generation unit 206 Access right issue request unit 207 Participation request reception unit 208 User information database 209 Participation request generation unit 210 Password authentication unit 211 Access right verification unit 212 Access right issue request reception unit 213 Attribute certificate generation units 1001 to 1005 Medium

Claims

In an access control device for controlling access to resources on a computer network,
User information storage means for storing authentication information including user identification information and access authority data to the resource;
Access control means for controlling access to the resource access request based on authentication information stored in the user information storage means;
Access right issuance request information generated based on requests of a plurality of users participating in communication using the resource, and the user information storage means does not include user identification information as part of the authentication information The access right issuance request information of the resource to the unregistered user is received, and the access right information of the resource to the unregistered user is as follows: Access permission information including an access permission condition that is a condition regarding an access state to the resource or an access permission condition that is a condition regarding a right access right to the resource by a plurality of users who have made the request; Identify registered user information and (3) the communications that are allowed to use the resources Generate an access destination resource information describing each attribute certificate signature of the certificate authority is attached, yet-registered encrypting the attribute certificate of the access right information thus generated by the public key of the yet-registered user Means for sending to the user ;
The decrypted by the private key of the unregistered user and sent to the attribute certificate as the access right information of the resource sent together with the access request when the unregistered user requested access to the resource Means for verifying whether the access right information of the resource is authentic by verifying the signature of the certificate authority ;
When the access information of the resource is verified as authentic by the means for verifying , based on the attribute certificate as the access right information of the resource, an expiration date of access described in the attribute certificate or The attribute certificate only when the access status or the legitimate access right to the resource by a plurality of users who have made the request within the valid number of times satisfies the access permission condition described in the attribute certificate. An access control apparatus that performs access control for temporarily permitting use of the resource for the unregistered user with respect to the communication described in 1) .

Based on a request of a user participating in a predetermined thread of communication using the resource, an access right issue request for the resource to the unregistered user is generated and supplied to means for generating access right information of the resource. The access control apparatus according to claim 1.

4. The access control apparatus according to claim 3, wherein the resource access right information permits use of the resource only for the predetermined thread.

The means for generating the access right information of the resource is an access of an operation type of access permitted by the access right information of the resource when receiving a plurality of access right issue request information of the resource for the same unregistered user. the authenticity of the authorization, the access control device according to any one of claims 1 to 3 determined by aND logic authenticity of access operation type of access described in the access right issuing request information.

The means for generating the access right information of the resource is an access of an operation type of access permitted by the access right information of the resource when receiving a plurality of access right issue request information of the resource for the same unregistered user. The access control apparatus according to any one of claims 1 to 3, wherein the authenticity of the authority is determined by a true OR logic of an access authority of an access operation type described in the access right issuance request information.

The means for generating the access right information of the resource, when receiving a plurality of access right issuance request information of the resource for the same registered user, sets the access period permitted by the access right information of the resource to the access access control device according to any one of claims 1 to 5, all periods of access described in each of the authority issuing request information is the period of overlap.

The means for generating the resource access right information, when receiving a plurality of resource access right issue request information for the same unregistered user, the access period permitted by the resource access right information is: access control device according to any one of claims 1 to 5, at least one appropriate period of time of access described in each of the access right issuing request information.

In an access control method for controlling access to resources on a computer network,
The access control means controls access to the resource access request based on the authentication information stored in the user information storage means for storing authentication information including user identification information and access authority data for the resource. Steps,
The access right information generation means is access right issue request information generated based on requests of a plurality of users participating in communication using the resource, and is stored in the user information storage means as part of the authentication information. The access right issuance request information of the resource for an unregistered user that does not include user identification information is received, and the access right information of the resource for the unregistered user is as follows: An access permission condition including an access permission condition that is a condition related to an access state to the resource by a plurality of users who have performed or an access permission condition that is a condition regarding a legitimate access right to the resource by a plurality of users who have performed the request Information, (2) information about the unregistered user, and (3) the above-mentioned resources that are allowed to be used. Generating an attribute certificate signed access destination resource information describing each certificate authority is attached to identify the Myunikeshon, the attribute certificate of the access right information thus generated and encrypted with the public key of the yet-registered user Sending to the unregistered user ;
The verification means decrypts the private key of the unregistered user and sends it to the attribute certificate as the access right information of the resource sent together with the access request when the unregistered user requests access to the resource. Verifying whether the access right information of the resource is authentic by verifying the attached certificate authority's signature ,
When the access information of the resource is verified as authentic by the means for verifying , based on the attribute certificate as the access right information of the resource, an expiration date of access described in the attribute certificate or The attribute certificate only when the access status or the legitimate access right to the resource by a plurality of users who have made the request within the valid number of times satisfies the access permission condition described in the attribute certificate. An access control method characterized by performing access control for temporarily permitting use of the resource for the unregistered user with respect to the communication described in 1) .

In an access control computer program for controlling access to resources on a computer network,
The above access control computer
User information storage means for storing authentication information including user identification information and access authority data to the resource;
Access control means for controlling access to the resource access request based on the authentication information stored in the user information storage means;
Access right issuance request information generated based on requests of a plurality of users participating in communication using the resource, and the user information storage means does not include user identification information as part of the authentication information The access right issuance request information of the resource to the unregistered user is received, and the access right information of the resource to the unregistered user is as follows: Access permission information including an access permission condition that is a condition regarding an access state to the resource or an access permission condition that is a condition regarding a right access right to the resource by a plurality of users who have made the request; Identify registered user information and (3) the communications that are allowed to use the resources Generate an access destination resource information describing each attribute certificate signature of the certificate authority is attached, yet-registered encrypting the attribute certificate of the access right information thus generated by the public key of the yet-registered user Means to send to users ,
The decrypted by the private key of the unregistered user and sent to the attribute certificate as the access right information of the resource sent together with the access request when the unregistered user requested access to the resource By verifying the certificate authority's signature, it functions as a means for verifying whether the access right information of the resource is authentic,
When the access information of the resource is verified as authentic by the means for verifying , based on the attribute certificate as the access right information of the resource, an expiration date of access described in the attribute certificate or The attribute certificate only when the access status or the legitimate access right to the resource by a plurality of users who have made the request within the valid number of times satisfies the access permission condition described in the attribute certificate. A computer program for access control, which performs access control for temporarily permitting the unregistered user to use the resource for the communication described in 1 .

A server device connected to a network and providing services to users;
A client device connected to the network and used by a user;
An access control device for controlling access to a predetermined resource of the server device,
The access control device
User information storage means for storing authentication information including user identification information and access authority data to the resource;
Access right issuance request information generated based on requests of a plurality of users participating in communication using the resource, and the user information storage means does not include user identification information as part of the authentication information The access right issuance request information of the resource to the unregistered user is received, and the access right information of the resource to the unregistered user is as follows: Access permission information including an access permission condition that is a condition regarding an access state to the resource or an access permission condition that is a condition regarding a right access right to the resource by a plurality of users who have made the request; Identify registered user information and (3) the communications that are allowed to use the resources Generate an access destination resource information describing each attribute certificate signature of the certificate authority is attached, yet-registered encrypting the attribute certificate of the access right information thus generated by the public key of the yet-registered user Means for sending to the user ;
The decrypted by the private key of the unregistered user and sent to the attribute certificate as the access right information of the resource sent together with the access request when the unregistered user requested access to the resource Verification means for verifying whether the access right information of the resource is authentic by verifying the signature of the certificate authority ;
When the access information of the resource is verified as authentic by the verifying unit under the access control of the access control device, the server device adds the attribute certificate as the access right information of the resource to the attribute certificate. Based on the validity period or number of times of access described in the attribute certificate, the access status or the legitimate access right to the resource by a plurality of users who made the request is described in the attribute certificate. The service provision control apparatus characterized by temporarily permitting the unregistered user to use the resource for the communication described in the attribute certificate only when the access permission condition is satisfied .

A server device connected to a network and providing a service to a user, a client device connected to the network and used by a user, and an access control device that controls access to a predetermined resource of the server device, In a service provision control method for controlling service provision by a server device based on access right information,
The access right information generation means of the access control device is access right issue request information generated based on requests of a plurality of users participating in communication using the resource, and includes user identification information and resource Receiving the access right issuance request information of the resource for an unregistered user that does not include user identification information as a part of the authentication information stored in the user information storage means for storing authentication information including access authority data, and As the access right information of the resource to the unregistered user , (1) an access permission condition or the request which is a condition regarding an access expiration date or the number of times of access and a state of access to the resource by a plurality of users who have made the request. Access that is a condition regarding the legitimate access rights to the resource by multiple users Access permission information including permission conditions, (2) information on the unregistered user, and (3) access destination resource information that identifies the communication permitted to use the resource are described and attached with a certificate authority's signature. Generating the attribute certificate , encrypting the attribute certificate as the generated access right information with the public key of the unregistered user, and sending the attribute certificate to the unregistered user ;
The verification means decrypts the private key of the unregistered user and sends it to the attribute certificate as the access right information of the resource sent together with the access request when the unregistered user requests access to the resource. Verifying whether the access right information of the resource is authentic by verifying the attached certificate authority's signature ;
When the server device verifies that the access information of the resource is authentic by the verifying means under the access control of the access control device, the server device includes the attribute certificate as the access right information of the resource. Based on the validity period or number of times of access described in the attribute certificate, the access status or the legitimate access right to the resource by a plurality of users who made the request is described in the attribute certificate. Only when the access permission condition is satisfied, the step of temporarily allowing the unregistered user to use the resource with respect to the communication described in the attribute certificate. Provision control method.