JP4676782B2 - 情報処理装置、操作許可データ生成方法、操作許可データ生成許否判定方法、操作許可データ生成プログラム、操作許否データ生成許否判定プログラム及び記録媒体 - Google Patents

Description

本発明は、情報処理装置、操作許可データ生成方法、操作許可データ生成許否判定方法、操作許可データ生成プログラム、操作許否データ生成許否判定プログラム及び記録媒体に関し、特に資源に対する操作の許否判定に用いられる操作許可データの生成に係る情情報処理装置、操作許可データ生成方法、操作許可データ生成許否判定方法、操作許可データ生成プログラム、操作許否データ生成許否判定プログラム及び記録媒体に関する。

文書管理システムにおける文書に対するアクセス制御を行なうための手段として、文書ごと、又は複数の文書の集合により構成されるグループごとにＡＣＬ（Access Control List）と呼ばれる操作可否リストを設定することによって、どのユーザにどのような操作を許可するかといったセキュリティルールを管理することが行われている。しかし、かかるＡＣＬは、各システムの内部において（例えば、文書管理データベースにおける管理情報として）管理されるものであるため、複数のシステムにまたがって統一された方針に基づくルールを適用するのが困難であった。

そこで、一つのシステム内だけでなく、より広範囲に渡って文書等の資源に対するアクセス制御の一貫性を保つため、複数のシステムにおけるアクセス制御に関する情報（以下、「アクセス制御情報」という。）を一つのセキュリティサーバに集約し、資源を利用する各アプリケーションはセキュリティサーバにおける統一的なアクセス制御方針（セキュリティポリシー）に基づいて各種操作の可否を判定するといった方式も検討されている（例えば特許文献１）。但し、制御の対象となる操作はアプリケーションによって異なるため、複数のシステムにおけるアクセス制御情報をただ単に集約するだけでは管理情報が煩雑になってしまう。したがって、セキュリティサーバにおいては、より抽象度の高いセキュリティポリシーを定義しておき、個々の具体的な判定の際には、抽象的な操作ごとに定義されたポリシー記述のうち、アプリケーションごとに最も適切なポリシー記述を適用してアクセス制御が行われている（例えば、「印刷出力」処理も「ローカルＰＣへのダウンロード」処理も「文書出力ルール」ポリシーに基づいて実行の可否を判断する等）。

図１は、セキュリティポリシーの定義内容を示す図である。図１の表５００に示されるように、セキュリティポリシーには、主体（ユーザ）の分類（関係者であるか否か）と資源（文書）の分類（機密レベル）との組み合わせに応じて、操作の種別（閲覧、印刷、編集、削除）ごとに操作の許否（○又は×）が定義されている。また、操作の許否が示された欄の直下の欄には当該操作を実行する際の責務の内容が示されている。したがって、例えば、表５００より、関係者は秘文書を閲覧することは許可されるが、その際には、ログを記録しなければならないことが分かる。このように、セキュリティポリシーには、主体の分類と資源の分類との組み合わせに応じて、各種の操作の許否について包括的な定義をすることができる。但し、セキュリティポリシーは、複数のシステムに対する共通のルールであるという性格上、その定義内容は固定的になりがちであり、日常業務において発生する例外的な事象（例えば、派遣社員に対して一時的に特定の文書に対する操作権限を与える必要がある場合等）に柔軟に対応するのが困難であるという問題がある。

一方、セキュリティポリシーのように予め包括的にアクセス制御情報を定義しておくのではなく、業務の進行に合わせてその都度操作権限を付与するといった形態に対応させて、承認等によって特定のユーザに対して特定の文書に対する特定の操作が許可されるたびに、当該操作が許可された旨を示すデータ（以下、「許可証」という。）を生成し、その許可証に基づいてアクセス制御を行う方式も検討されている。

図２は、許可証の例を示す図である。図２の表５１０において各一行が一つの許可証に相当する。図２に示されるように、許可証は、対象ユーザ、対象文書、対象操作、責務及び許可期限等の情報から構成される。対象ユーザ、対象文書、対象操作は、それぞれ許可証が対象とするユーザ、文書、操作である。責務は、許可証によって許可された操作を行い際に課される責務である。許可期限は、許可証によって当該操作が許可される期限である。したがって、一行目の許可証においては、関係者はあらゆる機密レベルの文書（ＡＮＹ）を２００４年１０月１０までは印刷することは許可されるが、その際にはログを記録しなければならない旨が定義されていることとなる。なお、図２においては、対象ユーザ及び対象文書については、図１におけるユーザの分類及び文書の分類によって特定されているが、例えばユーザＩＤや文書ＩＤ等によって対象ユーザや対象文書を特定することにより、任意の一のユーザや任意の一の文書を対象とさせてもよい。

許可証を用いた方式によれば、必要に応じて必要な権限を簡単に付与することができるといった柔軟性のあるアクセス制御が可能となる
特開２００３−１５０７５１号公報

しかしながら、それぞれの許可証はお互いに独立しており、統一されたルールに基づいて生成されるものではないため、複数の許可証が発行された結果、そのうちのいずれかの許可証の対象が相互に干渉し合う場合がある。例えば、図２の表５１０における１行目の許可証（以下、「許可証１」という。）と２行目の許可証（以下、「許可証２」という。）とを比較すると、両許可証はいずれも、対象ユーザは関係者であり、対象操作は印刷である。また、許可証１の対象文書はＡＮＹ（全ての分類）と定義されており、許可証２の対象文書を包含する。したがって、両許可証は、関係者の秘文書に対する印刷操作を対象とする点について重複していることとなる。かかる場合に、いずれかの定義を優先させるのか、あるいは両許可証の定義を合成するのかが問題となる。例えば、干渉部分については、いずれか一方のみの責務を適用するのか、あるいは両許可証の責務の論理和をとったものを適用するのか。

また、仮に、干渉する許可証間に優先順位を設けたとする。図３は、許可証が干渉している様子を示す図である。図３において、許可証５１０、５２０及び５３０の三つの許可証が相互に干渉している様子が示されている。すなわち、範囲Ａにおいては、許可証５１０及び許可証５３０が、範囲Ｂにおいては、三つの許可証が、範囲Ｃにおいては、許可証５１０及び許可証５２０が、範囲Ｄにおいては、許可証５２０及び許可証５３０が重複している。したがって、これらの重複範囲においては、いずれの許可証を優先させるかを決定する必要がある。

しかし、許可証５１０、５２０及び５３０をそれぞれ一単位として、その単位間で優先順位を決定してしまうと、それぞれの重複範囲において許可証間の優先順位は固定的なものとなってしまう。例えば、許可証５１０、５２０、５３０の順番で優先順位を決定したとすると、Ａ、Ｂ及びＣ範囲においてはいずれも許可証１２２１が優先されてしまう。

本発明は、上記の点に鑑みてなされたものであって、アクセス制御に関する情報が重複して定義された場合に適切に調整することのできる情報処理装置、操作許可データ生成方法、操作許可データ生成許否判定方法、操作許可データ生成プログラム、操作許否データ生成許否判定プログラム及び記録媒体の提供を目的とする。

そこで上記課題を解決するため、本発明は、請求項１に記載されるように、操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データを生成する情報処理装置であって、前記操作許可データを管理する操作許可データ管理手段と、前記操作許可データの生成要求に応じ、該生成要求において当該操作許可データの適用対象として指定された一以上の主体の分類と、一以上の資源の分類と、一以上の操作の種別との組み合わせごとに前記操作許可データを生成する操作許可データ生成手段と、前記組み合わせごとのそれぞれの前記操作許可データについて、前記操作許可データ管理手段に登録されている既存の操作許可データとの前記適用対象の重複を検出する重複検出手段とを有することを特徴とする。

このような情報処理装置では、生成が要求された操作許可データについて、操作の主体の分類と、資源の分類と、操作の種別との組み合わせごとに適用対象を分割し生成するため、より細かい単位で適用対象の重複の有無を検出することができる。

また、上記課題を解決するため、本発明は、上記情報処理装置における操作許可データ生成方法、前記操作許可データ生成方法を前記情報処理装置に実行させるための操作許可データ生成プログラム、又は前記操作許可データ生成プログラムを記録した記録媒体としてもよい。

また、上記課題を解決するため、本発明は、請求項１３に記載されるように、操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データの生成の許否を判定する情報処理装置であって、前記操作許可データを管理する操作許可データ管理手段と、生成に係る前記操作許可データの適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含むかを判定する判定手段と、前記判定手段によって前記適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含まないと判定された場合に、当該操作許可データと前記操作許可データ管理手段に登録されている既存の操作許可データとの前記適用対象の重複を検出する重複検出手段とを有し、前記判定手段によって前記適用対象として指定された主体の分類、資源の分類、及び操作の種別の少なくともいずれかが二以上の分類又は種別を含むと判定された場合、又は前記重複検出手段によって前記適用対象の重複が検出された場合は、前記操作許可データの生成を許可しないことを特徴とする。

このような情報処理装置では、他の許可証と適用対象が重複し得る操作許可データが生成されることを防止することができる。

また、上記課題を解決するため、本発明は、上記情報処理装置における操作許可データ生成許否判定方法、前記操作許可データ生成許否判定方法を前記情報処理装置に実行させるための操作許可データ生成許否判定プログラム、又は前記操作許可データ生成許否判定プログラムを記録した記録媒体としてもよい。

本発明によれば、アクセス制御に関する情報が重複して定義された場合に適切に調整することのできる情報処理装置、操作許可データ生成方法、操作許可データ生成許否判定方法、操作許可データ生成プログラム、操作許否データ生成許否判定プログラム及び記録媒体を提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。図４は、本発明の実施の形態における文書管理システムの構成例を示す図である。図４に示されるように、本実施の形態における文書管理システム１は、セキュリティ管理サーバ１０、文書管理サーバ２０、認証サーバ３０、クライアント装置４０、印刷サーバ５１、変換サーバ５２及び配信サーバ５３等が、インターネットやＬＡＮ（Local Area Network）等のネットワーク６０を介して接続されることにより構成されている。

セキュリティ管理サーバ１０は、文書に対するセキュリティ上の各種情報（以下、「セキュリティ情報」という。）の管理機能と共に、当該セキュリティ情報に基づいてユーザの文書に対する各種操作（閲覧、印刷、編集、削除等）についての許否判定を行うための操作許否判定機能等をＷｅｂサービスとして提供するセキュリティサービス１１が実装されたコンピュータである。文書管理システム１において文書を取り扱う各種サーバ（文書管理サーバ１０、印刷サーバ５１、変換サーバ５２、及び配信サーバ５３）は、セキュリティサービス１１に対して問い合わせを行うことにより、各ユーザの文書に対する操作権限の有無等を判断する。

文書管理サーバ２０は、文書の管理機能（文書の保存、保存されている文書に対する検索、更新及び削除等の手段の提供等）をＷｅｂサービスとして提供する文書管理サービス２１が実装されたコンピュータである。認証サーバ３０は、文書管理システム１のユーザの認証を行うための認証機能をＷｅｂサービスとして提供する認証サービス３１が実装されたコンピュータである。認証サービス３１は、認証要求に応じてユーザの認証を行い、ユーザが認証された場合は、当該ユーザが認証された旨を証明する電子的な証明書（以下、「チケット」という。）を発行する。

印刷サーバ５１、変換サーバ５２及び配信サーバ５３は、文書管理サーバ２０に管理されている文書を扱う各種サーバの例示である。印刷サーバ５１は、文書をプリンタに印刷させるための機能が実装されたコンピュータである。変換サーバ５２は、文書を所定のデータ形式に変換するための機能が実装されたコンピュータである。配信サーバ５３は、文書を所定の宛先に配信するための機能が実装されたコンピュータである。

クライアント装置４０は、上述した各種サーバの機能を利用するアプリケーションが実装されたコンピュータである。但し、クライアント装置４０は、ユーザが直接利用する端末であるとは限らない。例えば、クライアント装置４０は、Ｗｅｂサーバであってもよく、その場合、クライアント装置４０に実装されたアプリケーションは、Ｗｅｂアプリケーションに相当する。

次に、セキュリティ管理サーバ１０の詳細について説明する。図５は、本発明の実施の形態におけるセキュリティ管理サーバのハードウェア構成例を示す図である。図５のセキュリティ管理サーバ１０は、それぞれバスBで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。

セキュリティ管理サーバ１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたプログラムに従ってセキュリティ管理サーバ１０に係る機能を実行する。インタフェース装置１０５は、例えばモデム、ルータ等で構成され、図４のネットワーク６０に接続するために用いられる。

図６は、本発明の実施の形態におけるセキュリティ管理サーバの機能構成例を示す図である。図６に示されるように、セキュリティ管理サーバ１０におけるセキュリティサービス１１は、セキュリティサービス層１１１、操作許否判定部１１２、ポリシー管理部１１３、ポリシー１１４、許可証発行部１１５、許可証分割処理部１１６、許可証優先順位処理部１１７、許可証重複検出部１１８、許可証管理部１１９、及び許可証管理テーブル１２０等より構成される。

セキュリティサービス層１１１は、セキュリティサービス１１の機能をネットワーク上に公開するための層である。すなわち、セキュリティサービス層１１１は、クライアント装置４０におけるアプリケーション４１から送信されるＳＯＡＰメッセージを解析することにより、アプリケーション４１からの要求を判断し、その判断結果に基づいてアプリケーション４１から要求された機能を実行するために操作許否判定部１１２又は許可証発行部１１５を呼び出す。セキュリティサービス層１１１は、また、呼び出した操作許否判定部１１２又は許可証発行部１１５から返却される処理結果をＳＯＡＰメッセージとしてアプリケーション４１に対して返信する。

操作許否判定部１１２は、アプリケーション４１からの要求に応じて、ポリシー１１４や許可証管理テーブル１２０等に管理されているセキュリティ情報に基づいて、アプリケーション４１のユーザの任意の文書に対する各種操作についての許否判定を行うための機能が実装されたモジュールである。ポリシー管理部１１３は、ポリシー１１４にアクセスするためのインタフェースを上位モジュール（ここでは、操作許否判定部１１２及び許可証発行部１１５）に対して提供するためのモジュールである。

ポリシー１１４は、セキュリティ情報の一部を構成する情報として、文書を操作する主体（ユーザ）を所定の基準に基づいて分類し、また、操作対象となる資源（文書）を所定の基準に基づいて分類した場合において、主体の分類と資源の分類との組み合わせに応じて、各種操作に関しての許否判定を行うためのセキュリティルール（規則）が定義されたファイルである。

本実施の形態においては、ユーザについては、ロール及びユーザカテゴリ等の観点から分類し、文書については、文書カテゴリ、機密レベル及び状態等の観点より分類し、かかる分類に応じて、閲覧、印刷、削除及び編集等の各種操作についてのアクセス制御を行う場合を想定する。

ロールとは、企業等のユーザが属する組織におけるユーザの役割（一般社員、管理職、派遣社員等）によってユーザを分類するためのパラメータであり、ユーザカテゴリとは、ユーザが文書の関係者であるか否かによってユーザを分類するためのパラメータである。本実施の形態において、ユーザが属する部署と文書の管理部署とが同一の場合は、当該ユーザは当該文書の関係者であるとされ、異なる場合は、当該ユーザは当該文書の関係者以外であるとされる。

文書カテゴリとは、設計文書、特許文書、人事文書、議事録、通達、一般文書の別のように、文書の内容によって文書を分類するためのパラメータである。文書状態とは、文書のライフサイクルにおける状態によって文書を分類するためのパラメータであり、例えば、作成中、完成、廃棄等の状態がある。機密レベルとは、文書の機密度によって文書を分類するためのパラメータであり、例えば、極秘、秘、社外秘等の機密レベルがある。

ユーザ、文書についてこのような観点で分類が定義された場合、ポリシー１１４の定義内容は、例えば図７に示されるようなものとなる。図７は、ポリシーの定義内容を概念的に示す図である。図７の表１１４０においては、ユーザの分類と文書の分類との組み合わせごとに各種操作についての許否判定のためのセキュリティルールが示されている。

表１１４０においては、列１１４１、列１１４２、列１１４３、によってロール、ユーザカテゴリ、文書状態のそれぞれが特定される。更に、列１１４４、列１１４５、列１１４６には、それぞれ極秘、秘、社外秘の文書に対するセキュリティルールが割り当てられている。

図中において、破線で囲まれたそれぞれの領域が、上記のパラメータの組み合わせごとに形成される単位を示している。当該単位ごとに、各種操作についての許否がその操作名の横に○（許可）又は×（不許可）で定義されており、更に、操作名の下の行には、当該操作を行う際に課される責務の内容が定義されている。したがって、表１１４０より、例えば、文書１が秘文書であり、かつ、完成文書である場合において、ユーザＡが一般社員であり、文書１の関係者である場合は、ユーザＡは、文書１の閲覧は可能であるが、その際には、ログを記録しなければならない旨が分かる。

なお、ユーザや文書を分類するための基準は単なるパラメータであるため、組織の事情やシステムに応じて様々なものを用いることが可能であり、どのような基準によって分類するかは運用に合わせて適宜選択すればよい。

図６に戻る。許可証管理テーブル１２０は、許可証を管理するためのテーブルである。図８は、許可証管理テーブルの構成例を示す図である。ここで、許可証とは、ポリシー１１４のように予め包括的にアクセス制御情報が定義されるものではなく、業務の進行等に合わせてその都度操作権限を付与するためのデータをいう。例えば、承認等によって特定のユーザに対して特定の文書に対する特定の操作を許可する際に、その旨を許可証において定義することができる。

図８の許可証管理テーブル１２０ａにおける一レコード（行）が、一つの許可証に相当する。許可証は，対象ユーザ、対象文書、対象操作及び責務等の項目から構成される。対象ユーザは、許可証の適用対象となるユーザを特定するための項目であり、例えば、ユーザＩＤによって一ユーザを特定したり、あるいは、ロール若しくはユーザカテゴリ又はこれらの組み合わせによって各分類等に属する複数のユーザを対象として特定したりすることができる。

対象文書は、許可証の適用対象となる文書を特定するための項目であり、例えば、文書ＩＤによって一文書に特定したり、又は、文書カテゴリ、機密レベル若しくは文書情報等、若しくはこれらの組み合わせによって、各分類等に属する複数の文書を対象として特定したりすることができる。対象操作は、許可証によって許可される操作の種別を特定するための項目である。責務は、許可証によって許可される操作の際に課される責務の内容を特定するための項目である。したがって、例えば、許可証管理テーブル１２０ａにおける一行目の許可証は、極秘文書について、関係者に対して閲覧操作を許可するための許可証であるといえる。但し、当該許可証によれば、関係者は、閲覧の際にログを記録しなければならい。

図６に戻る。許可証発行部１１５は、アプリケーション４１からの許可証の発行要求に応じて、新たな許可証の生成処理の制御機能（メイン処理）が実装されたモジュールである。許可証発行部１１５は、許可証分割処理部１１６、許可証優先順位処理部１１７及び許可証重複検出部１１８等を用いて、許可証の生成を行う。なお、許可証の生成とは、新たな許可証を許可証管理テーブル１２０に登録することをいう。

許可証分割処理部１１６は、発行が要求された許可証が分割可能であるか否かの判定処理（分割可否判定処理）や、分割が可能な許可証の分割処理等を実行するための機能が実装されたモジュールである。許可証が分割可能であるとは、当該許可証の対象ユーザ、対象文書及び対象操作のうちの少なくとも一つが、二つ以上の分類又は種別にまたがっている状態をいう。

図９及び図１０は、許可証の分割を説明するための図である。図９等に示される座標は、許可証の適用対象を表現するためのものである。なお、図９等においては、機密レベル及びユーザカテゴリのみのパラメータによって適用対象を特定しているが、他のパラメータについて便宜上捨象したことによる。

例えば、図９の許可証１２０１は、関係者及び関係者以外を対象ユーザとしており、かつ、秘文書及び社外秘文書を対象文書としており、その適用対象は、対象ユーザ及び対象文書共に、二つの分類にまたがっている。したがって、許可証１２０１については、分割（四分割）が可能であると評価される。一方、図１０の許可証１２０２は、関係者以外を対象ユーザとし、社外秘文書を対象文書としており、いずれについても二つ以上の分類にまたがっていない。したがって、許可証１２０２は、分割不可能であると判定される。

図６に戻る。許可証優先順位処理部１１７は、発行が要求された許可証の適用対象の一部又は全部が、既存の許可証の適用対象と重複する場合に、いずれを優先させるかを決定するための機能が実装されているモジュールである。

許可証重複検出部１１８は、発行が要求された許可証と、既存の許可証との適用対象の重複を検出するための機能が実装されたモジュールである。

許可証管理部１１９は、許可証管理テーブル１２０にアクセスするためのインタフェースを上位モジュール（ここでは、操作許否判定部１１２及び許可証発行部１１５等）に対して提供するためのモジュールである。

以下、図６のセキュリティ管理サーバ１０の処理手順について説明する。まず、第一の実施の形態として、セキュリティサービス１１が、許可証を発行する際に、既存の許可証と適用対象の少なくとも一部が重複する許可証の発生を防止する例について説明する。

図１１は、第一の実施の形態におけるセキュリティ管理サーバによる許可証発行処理を説明するためのフローチャートである。図１１のフローチャートは、アプリケーション４１からの許可証発行要求を受け付けたセキュリティサービス層１１１によって、許可証発行部１１５に対して許可証の発行が指示されたところからの処理を示している。なお、許可証発行要求には、発行が要求されている許可証（以下、「要求許可証」という。）の対象ユーザ、対象文書及び対象操作等についての指定が、それぞれの分類に基づいてされている。

ステップＳ１１０において、許可証発行部１１５からの指示に応じ、許可証分割処理部１１６は、要求許可証に対する対象ユーザ、対象文書及び対象操作等の指定に基づいて、要求許可証が分割可能な許可証であるか否かを判定する。ステップＳ１１０に続いてステップＳ１２０に進み、許可証分割処理部１１６による判定結果が「分割不可」である場合は、許可証発行部１１５は、許可証重複検出部１１８を呼び出す。許可証発行部１１５による呼び出しに応じて、許可証重複検出部１１８は、要求許可証の適用対象と既に許可証管理テーブル１２０に登録されている許可証との適用対象の重複を検出するための処理を実行する（Ｓ１３０）。許可証重複検出部１１８によって要求許可証と既存の許可証との重複が検出されなかった場合は（Ｓ１４０でＹＥＳ）、許可証発行部１１５は、要求許可証の発行を許可し、要求許可証を許可証管理テーブル１２０ａに登録した後、処理を終了させる。

一方、許可証分割処理部１１６による判定結果が「分割可」であった場合（Ｓ１２０でＮＯ）、又は、許可証重複検出部１１８によって要求許可証が他の許可証と重複している旨が検出された場合（Ｓ１４０でＮＯ）は、許可証発行部１１５は、要求許可証の発行は許可せず、すなわち、要求許可証を生成せずに処理を終了させる。

図１１の処理によって生成される許可証は、その適用対象が全て分割不可能、すなわち最小単位の許可証であり、かつ、いずれの許可証とも適用対象が重複していないものである。したがって、第一の実施の形態におけるセキュリティ管理サーバ１０によれば、許可証間における適用対象の重複の発生を防止することができる。

続いて、ステップＳ１１０における許可証の分割可否判定処理の詳細について説明する。図１２は、許可証分割処理部による許可証の分割可否判定処理を説明するためのフローチャートである。

ステップＳ１１０ａにおいて、要求許可証の対象ユーザに基づいて、ユーザカテゴリの観点で分割可否判定を行う。当該処理の詳細は図１３に示されている。図１３は、パラメータごとの分割可否判定処理を説明するためのフローチャートである。

まず、要求許可証の対象ユーザについて、ユーザカテゴリの値に「ＡＮＹ」が指定されているか否かを判定する（Ｓ１１１）。ここで「ＡＮＹ」とは、全ての分類（「関係者」及び「関係者以外」）を含む値である。「ＡＮＹ」が指定されていない場合（ＡＮＹ指定）は、ユーザカテゴリの値として複数の分類が指定されているか否かを判定する（Ｓ１１２）。複数の分類が指定されていない場合は、ユーザカテゴリについては、二つ以上の分類にまたがっていないことになるため、分割不可として判定する。一方、ＡＮＹ指定がされている場合（Ｓ１１１でＹＥＳ）、又は複数の分類が指定されている場合（Ｓ１１２でＮＯ）は、分割可として判定する。

図１２に戻り、分割可と判定された場合（Ｓ１１０ｂでＹＥＳ）は、分割可を判定結果として処理を抜ける。一方、分割不可と判定された場合（Ｓ１１０ｂでＮＯ）は、ユーザのロール、文書カテゴリ、機密レベル、文書状態、操作種別の観点から、図１３と同様の処理を実行し、いずれか一つのパラメータにおいて、ＡＮＹ指定又は複数指定がされていた場合は、その時点で分割不可と判定し、それ以外の場合は、分割可と判定する（Ｓ１１０ｅ〜Ｓ１１０ｌ）。

続いて、ステップＳ１３０における許可証の重複検出処理の詳細について説明する。図１４は、許可証重複検出部による許可証の重複検出処理を説明するためのフローチャートである。

ステップＳ１３０ａにおいて、要求許可証に対する対象ユーザ、対象文書及び対象操作の指定を入力情報として受け付ける。ステップＳ１３０ａに続いてステップＳ１３０ｂ以降は、許可証管理テーブル１２０に既に登録されている許可証ごとのループ処理である（Ｓ１３０ｂ）。まず、許可証管理テーブル１２０より許可証を一つ取り出し（取り出された許可証を以下「カレント許可証」という。）（Ｓ１３０ｃ）、要求許可証に対して指定された対象ユーザ及び対象文書が、カレント許可証の対象ユーザ及び対象文書に一致するか否かを判定する（Ｓ１３０ｄ）。一致する場合は、更に、要求許可証に対して指定された対象操作が、カレント許可証の対象操作に一致するか否かを判定し（Ｓ１３０ｅ）、一致した場合は、要求許可証とカレント許可証との適用対象は重複するものとして、許可証の重複を検出した旨を処理結果として出力する。

一方、対象ユーザ、対象文書及び対象操作のうちの少なくともいずれかにおいて要求許可証に対して指定されたものとカレント許可証におけるものとが一致しない場合は（Ｓ１３０ｄでＮＯ、又はＳ１３０ｅでＮＯ）、次の許可証を処理対象とすべくステップＳ１３０ｂに戻る。許可証管理テーブル１２０におけるいずれの許可証についても重複が検出されなかった場合（ステップＳ１３０ｂでＹＥＳ）は、許可証の重複は検出されなかった旨を処理結果として出力する。

上述したように、第一の実施の形態におけるセキュリティ管理サーバ１０によれば、単一のユーザ分類、単一の文書分類、及び単一の操作種別を適用対象とした最小単位の許可証についてのみ発行が許可されるため、許可証間における適用対象の重複は発生せず、許可証を用いた許否判定の際に、いずれの許可証を優先させるか等の調整を図る必要はない。

なお、対象ユーザや対象文書をユーザ分類又は文書分類によって特定するのではなく、ユーザ名又はユーザＩＤや文書名又は文書ＩＤによって特定して許可証の発行が要求された場合、すなわち、特定の一のユーザ（例えば、「ユーザＡ」）及び特定の一の文書（例えば、「文書１」）を適用対象とした許可証の発行が要求された場合は、これらの許可証の発行は許可してもよい。この場合、当該許可証と、ユーザＡ及び文書１が属するユーザ分類及び文書分類を適用対象とする許可証との適用対象が重複する事態が発生しうるが、それぞれの許可証に優先順位を設定して調整を図ればよく、ユーザＡ及び文書１についての許可証の優先順位を上位に設定すればよい。すなわち、前者の許可証は、ユーザ及び文書を特定のものに限定している点において、当該ユーザ及び当該文書についての許否判定に関して後者の許可証よりも優位性が認められるからである。

ところで、第一の実施の形態においては、許可証相互間の重複を回避することはできるが、対象ユーザ、対象文書及び対象操作のいずれかにおいて二つ以上の分類にまたがった許可証を発行することができない。そこで、第二の実施の形態として、その適用対象（ユーザ、文書、操作）について、複数の分類にまたがった許可証の発行を許容しつつ、それに応じて発生する許可証相互間の重複を調整する例について説明する。

図１５は、第二の実施の形態における許可証発行処理の原理を説明するための図である。図１５において、許可証１２２１、１２２２及び１２２３の三つの許可証の適用対象が相互に重複している様子が示されている。すなわち、範囲Ａにおいては、許可証１２２１及び許可証１２２３が、範囲Ｂにおいては、三つの許可証が、範囲Ｃにおいては、許可証１２２１及び許可証１２２２が、範囲Ｄにおいては、許可証１２２２及び許可証１２２３が重複している。

二以上の分類にまたがった許可証の発行を許容することにより、このような状況は容易に発生し得る。そこで、第二の実施の形態においては、各許可証を、その対象ユーザの分類と対象文書の分類と操作の種別との組み合わせごとに、それぞれが一のユーザの分類と一の文書の分類と一の操作の種別を適用対象とする最小単位の許可証に分割して管理し、その最小単位の許可証間において優先順位を設定する。そうすることで、Ａ、Ｂ、Ｃ及びＤ範囲のそれぞれにおいて異なる優先順位の設定を可能とするわけである。

図１６は、第二の実施の形態におけるセキュリティ管理サーバによる許可証発行処理を説明するためのフローチャートである。図１６のフローチャートは、図１１と同様、アプリケーション４１からの許可証発行要求を受け付けたセキュリティサービス層１１１によって許可証発行部１１５に対して許可証の発行が指示されたところからの処理を示している。なお、許可証発行要求には、発行が要求されている許可証（以下、「要求許可証」という。）の対象ユーザ、対象文書及び対象操作等についての指定が、それぞれの分類に基づいてされている。

ステップＳ２１０において、許可証発行部１１５は、許可証発行要求に指定されている対象ユーザ、対象文書及び対象操作を適用対象とする要求許可証を許可証管理テーブル１２０に仮登録する。図１７は、第二の実施の形態における許可証管理テーブルの構成例を示す図である。図１７に示される許可証管理テーブル１２０ｂは、許可証ＩＤ、対象ユーザ、対象文書、対象操作、要求元ＩＤ、発行時刻、他の属性、グループＩＤ及び優先順位等の項目を有しており、一レコードが一つの許可証に相当する。

許可証ＩＤは、各許可証を一意に識別するためのＩＤである。対象ユーザ、対象文書及び対象操作については上述した通りである。要求元ＩＤは、例えば、本実施の形態におけるアプリケーション４１のような、許可証発行の要求元を識別するためのＩＤである。発行時刻は、許可証を許可証管理テーブル１２０ｂに登録した時刻である。他の属性とは、許可期限等の他の属性である。グループＩＤは、許可証が複数の許可証に分割された場合に、分割された各許可証を関連付けるためのＩＤである。優先順位は、許可証の適用対象が他の許可証と重複している場合に、いずれの許可証を優先させて適用すべきかを規定するものである。なお、表１２０ｂにおいて、許可証ＩＤがＢ０の許可証（以下「許可証Ｂ０」という）が、ステップＳ２１０において仮登録された要求許可証であるとする。

ステップＳ２１０に続いてステップＳ２２０に進み、許可証発行部１１５からの指示に応じて、許可証分割処理部１１６が、要求許可証を最小単位の許可証に分割する。ステップＳ２２０に続いてステップＳ２３０に進み、許可証発行部１１５からの指示に基づいて、許可証優先順位処理部１１７は、分割された各許可証（以下「分割許可証」という。）のうち、既存の許可証とその適用対象が重複するものについて、優先順位を決定する。

続いて、ステップＳ２２０における許可証の分割処理について更に詳しく説明する。図１８は、許可証分割処理部による許可証の分割処理を説明するためのフローチャートである。

まず、仮登録された要求許可証を許可証管理テーブル１２０ｂより取り出す（Ｓ２２１）。続いて、対象ユーザの指定に基づいて、ユーザカテゴリの分類ごとに要求許可証を分割しユーザカテゴリにおける分類ごとの分割許可証を生成する（Ｓ２２２）。続いて、それぞれの分割許可証を対象ユーザの指定に基づいて、ロールにおける分類ごとに分割し、更なる分割許可証を生成する（Ｓ２２３）。以降は、同様にして、文書カテゴリ、機密レベル、文書情報及び操作種別等の分類又は種別ごとに、それまでのステップにおいて生成された各分割許可証を分割し、更なる分割許可証を生成する（Ｓ２２４〜Ｓ２２７）。

ステップＳ２２７に続いてステップＳ２２８に進み、各分割許可証について当該分割許可証の適用対象に対して許可証の発行は許可されているか否かを確認する。例えば、ポリシー１１３において、ユーザ分類と文書分類との組み合わせに応じて各種操作ごとに許可証の発行の許否が定義されている場合は、ポリシー１１３の記載に基づいて、許可証の発行の許否を判定すればよい。許可証の発行が許可されていなければ当該分割許可証については許可証管理テーブル１２０ｂへの登録は行わない。一方、許可証の発行が許可されている場合は、各分割許可証を許可証管理テーブル１２０ｂに登録する（Ｓ２２９）。各分割許可証を登録する際は、各分割許可証に対して許可証ＩＤが採番されると共に、各分割許可証に対する共通のグループＩＤとして、分割元の要求許可証に対して割り当てられていたグループＩＤが割り当てられ、また、要求元ＩＤ及び発行時刻等が記録される。

続いて、ステップＳ２２２〜Ｓ２２７の各ステップで実行されるそれぞれのパラメータに基づく分割処理について説明する。図１９は、パラメータごとの許可証の分割処理を説明するためのフローチャートである。

まず、処理対象となる許可証（以下「カレント許可証」という。）を入力情報として受け付ける（Ｓ２２１ａ）。ここで、カレント許可証は、ステップＳ２２２においては分割前の要求許可証そのものであるし、それ以降のステップにおいては当該ステップ以前に生成された分割許可証のうちの一の分割許可証である。ステップＳ２２１ａに続いてステップＳ２２１ｂに進み、カレント許可証の分割の基準のパラメータ（ステップＳ２２２においては、ユーザカテゴリ。以下「カレントパラメータ」という。）について、ＡＮＹが対象（対象ユーザ、対象文書又は対象操作）となっているか否かを判断する。

カレントパラメータについてＡＮＹが対象となっていない場合は、ステップＳ２２１ｃに進み、カレントパラメータについて複数の分類が対象となっているか否かを判断する。複数の分類が対象となっていない場合は、カレントパラメータを基準としては許可証は分割できないため、許可証の分割は実行せずに処理を抜ける。一方、カレントパラメータについてＡＮＹが対象となっている場合（Ｓ２２２ｂでＹＥＳ）、又は複数の分類が対象となっている場合（Ｓ２２２ｃでＹＥＳ）は、ステップＳ２２２ｄにおいて、カレントパラメータにおける分類ごとにカレント許可証を分割し、分割された各分割許可証について図１８の処理を再帰的に実行する（Ｓ２２２ｅ）。

図１８及び図１９の処理によって、許可証管理テーブル１２０ｂの内容は以下のように変化する。図２０は、要求許可証が分割された後の許可証管理テーブルの例を示す図である。図２０の許可証管理テーブル１２０ｂにおいては、図１７の許可証管理テーブル１２０ｂにおける許可証Ｂ０が、符号Ｂで示される４つの許可証（許可証Ｂ１〜Ｂ４）に分割されている。すなわち、許可証Ｂ０の対象ユーザについては、ユーザカテゴリとしてＡＮＹが対象とされており、対象文書については、機密レベルとして秘と社外秘とが対象とされていいたため、ユーザカテゴリを基準として関係者と関係者以外とに分割され、更に、分割されたそれぞれについて機密レベルを基準として秘と社外秘とに分割されたというわけである。分割された各許可証は、同一のグループＩＤ「Ｂ」が割り当てられることにより関連付けがなされ、元々一つの許可証として発行が要求されたものであることが判別可能となっている。

続いて、ステップＳ２３０（図１６）における許可証の優先順位の決定処理の詳細について説明する。図２１は、許可証優先順位処理部による許可証の優先順位の決定処理について説明するためのフローチャートである。

ステップＳ２３１において、新規に登録された許可証が属するグループ（以下「対象グループ」という。）のグループＩＤ（例えば「Ｂ」）を入力情報として受け付ける。ステップＳ２３１に続いてステップＳ２３２以降は、許可証管理テーブル１２０ｂに既に登録されている許可証ごとのループ処理である（Ｓ２３２）。まず、許可証管理テーブル１２０ｂより許可証を一つ（一レコード）取り出し（取り出された許可証を以下「カレント許可証」という。）（Ｓ２３３）、カレント許可証のグループＩＤが対象グループのグループＩＤと同一であるか否かを判断する（Ｓ２３４）。両グループＩＤが同一でなかった場合は、カレント許可証は対象グループに属さないため、次の許可証を処理対象とすべくステップＳ２３２に戻る。一方、両グループＩＤが同一であった場合は、カレント許可証は対象グループに属する、すなわち、要求許可証に係る分割許可証であるため、ステップＳ２３５に進み、カレント許可証と適用対象が重複する許可証のリスト（以下「重複許可証リスト」という。）を許可証重複検出部１１８に生成させる。

許可証重複検出部１１８によって重複許可証リストが生成されると、重複許可証リストに基づいて重複の有無を判断する（Ｓ２３６）。重複許可証リストの中に許可証が一つも無かった場合（Ｓ２３６でＹＥＳ）は、許可証間の重複は発生していないため、カレント許可証の優先順位を最高とし、その優先順位を許可証管理テーブル１２０ｂ内のカレント許可証に登録する（Ｓ２３７）。一方、重複許可証リストに許可証が存在する場合は、重複許可証リスト内の許可証とカレント許可証との間における優先順位を決定し（Ｓ２３８）、各優先順位を許可証管理テーブル１２０ｂ内のそれぞれの許可証に登録する（Ｓ２３９）。なお、ステップＳ２３７又はＳ２３９において優先順位の登録が行われると、次の許可証を処理対象とすべくステップＳ２３２に戻る。許可証管理テーブル１２０ｂに登録されている全ての許可証について処理が完了すると処理を終了させる。

続いて、ステップＳ２３５（図２１）における重複許可証リストの生成処理の詳細について説明する。図２２は、許可証重複検出部による重複許可証リストの生成処理を説明するためのフローチャートである。

ステップＳ２３５ａにおいて、重複許可証リストの対象となる許可証（以下「対象許可証」という。）の対象ユーザ、対象文書及び対象操作等を入力情報として受け付ける。ステップＳ２３５ａに続いてステップＳ２３５ｂ以降は、許可証管理テーブル１２０ｂに登録されている許可証ごとのループ処理である（Ｓ２３５ｂ）。まず、許可証管理テーブル１２０ｂより許可証を一つ取り出し（取り出された許可証を以下「カレント許可証」という。）（Ｓ２３５ｃ）、カレント許可証が文書に対するものであるか否かを判断する（Ｓ２３５ｄ）。すなわち、カレント許可証の対象文書が、機密レベルや文書カテゴリ等のパラメータにおける分類ではなく、文書名や文書ＩＤ等の各文書を識別するための情報によって指定されている場合は、カレント許可証は特定の一又は二以上の文書（特定文書）に対するものであると判断し、カレント許可証の対象文書についての各種属性情報（機密レベル、文書カテゴリ、文書状態等）を例えば文書管理サービス２１より取得した後（Ｓ２３５ｅ）、ステップＳ２３５ｆに進む。対象文書についての各種属性情報を取得することにより、対象文書が属する分類が特定されるわけである。一方、カレント許可証が特定文書に対するものではない場合は、ステップＳ２３５ｅは実行せずにステップＳ２３５ｆに進む。

ステップＳ２３５ｆにおいて、カレント許可証が特定ユーザに対するものであるか否かを判断する。すなわち、カレント許可証の対象ユーザが、ユーザカテゴリやロール等のパラメータにおける分類ではなく、ユーザ名やユーザＩＤ等の各ユーザを識別するための情報によって指定されている場合は、カレント許可証は特定の一又は二以上のユーザ（特定ユーザ）に対するものであると判断し、カレント許可証の対象ユーザについての各種情報（所属部署、ロール等）を例えば認証サービス３１より取得した後（Ｓ２３５ｇ）、ステップＳ２３５ｈに進む。対象ユーザについての各種属性情報を取得することにより、対象ユーザが属する分類が特定されるわけである。一方、カレント許可証が特定ユーザに対するものではない場合は、ステップＳ２３５ｇは実行せずにステップＳ２３５ｈに進む。

ステップＳ２３５ｈにおいて、カレント許可証の対象ユーザ及び対象文書が、対象許可証に対して指定された対象ユーザ及び対象文書に該当するか否かを判定する。なお、カレント許可証の対象ユーザ又は対象文書が、特定ユーザ又は特定文書を対象としていた場合は、ステップＳ２３５ｅ又はステップＳ２３５ｇにおいて特定された分類によって、対象許可証に対する対象ユーザ又は対象文書との比較が行われる。なお、ここで特定ユーザが、特定の一のユーザではなく、特定の二以上のユーザを含む場合、又は特定文書が特定の一の文書ではなく、特定の二以上の文書を含む場合は、少なくとも、一のユーザが属する分類と一の文書の属する分類とがカレント許可証の対象ユーザ及び対象文書に一致する場合に、カレント許可証の対象ユーザ及び対象文書は、対象許可証の対象ユーザ及び対象文書に該当するものと評価される。

カレント許可証の対象ユーザ及び対象文書が、対象許可証に対して指定された対象ユーザ及び対象文書に該当する場合は、更に、対象許可証の対象操作が、カレント許可証の対象操作に該当するか否かを判定し（Ｓ２３５ｉ）、該当した場合は、対象許可証とカレント許可証との適用対象は重複するものとして、カレント許可証を重複許可証リストに追加する（Ｓ２３５ｊ）。

一方、対象ユーザ、対象文書及び対象操作のうちの少なくともいずれかにおいて対象許可証に対して指定されたものとカレント許可証におけるものとが一致しない場合は（Ｓ２３５ｈでＮｏ、又はＳ２３５ｉでＮＯ）、次の許可証を処理対象とすべくステップＳ２３５ｂに戻る。許可証管理テーブル１２０ｂにおける全ての許可証について処理が終わると、重複許可証リストの生成処理を終了させる。

続いて、ステップＳ２３８（図２１）における優先順位の決定処理について説明する。優先順位の決定処理については、様々な方式によって実現可能である。例えば、重複許可証リストに含まれている許可証と重複許可証リストの対象となっている許可証（対象許可証）について、それぞれの要求元ＩＤを比較することによって決定してもよい。すなわち、アプリケーション４１等、セキュリティサービス１１に対して許可証の発行要求を行うシステム間における優先順位をそのまま許可証の優先順位に適用するというわけである。

また、それぞれの許可証の発行時刻の順番に従って優先順位を決定してもよい。また、それぞれの許可証の責務に基づいて優先順位を決定してもよい。すなわち、各種責務の間にあらかじめ優先順位を設けておき、その優先順位をそのまま許可証の優先順位に適用するというわけである。いずれの場合であっても、特定ユーザ又は特定文書を対象ユーザ又は対象文書とする許可証の優先順位を最上位にするとよい。当該特定ユーザ又は特定文書に対する許否判定の際に、当該許可証が適用されるのが適切だからである。

更に、優先順位を設定するためのユーザインタフェースを提供することにより、ユーザに決定させるようにしても良い。図２３は、優先順位設定画面の表示例を示す図である。図２３の優先順位設定画面４１は、例えば、セキュリティサービス１１が、対象許可証の情報と重複許可証リストとをアプリケーション４１に送信し、アプリケーション４１が受信した情報に基づいて表示させるものである。

優先順位設定画面４１は、重複許可証リスト表示領域４１１及び対象許可証表示領域４１２等を有している。重複許可証リスト表示領域４１１は、重複許可証リストに含まれている許可証の情報を表示するための領域である。対象許可証表示領域４１２は、対象許可証の情報を表示するための領域である。重複許可証リスト表示領域４１１において、各許可証には、挿入位置決定ボタン４１３が割り当てられている。挿入位置決定ボタン４１３は、それが割り当てられた許可証の一つ上の順位に対象許可証の優先順位を設定するためのボタンである。

優先順位設定画面４１上において、いずれかの挿入位置決定ボタン４１３が選択され、ＯＫボタン４１４がクリックされることにより、挿入位置決定ボタン４１３が選択された許可証の許可証ＩＤがアプリケーション４１よりセキュリティサービス１１に対して送信される。セキュリティサービス１１１の許可証優先順位処理部１１７は、受信された許可証ＩＤに基づいて、対象許可証の優先順位を判定し、その判定結果に基づいて対象許可証の優先順位を許可証管理テーブル１２０ｂに登録する。

上述したように、第二の実施の形態におけるセキュリティ管理サーバ１０によれば、主体、資源又は操作について複数の分類又は種別にまたがった許可証の生成が要求された場合は、その提供対象を最小単位とする複数の許可証に分割して生成するため、より細かい単位での重複の検出が可能であると共に、当該単位ごとに優先順位の設定が可能である。したがって、許可証の適用対象が重複した場合に、柔軟に許可証間の調整を図ることができる。

ところで、近年においては、ある特定の機能に特化した組み込み機器においてもＣＰＵが搭載され、コンピュータと同様にソフトウェアによって機能を実現するものが提供されている。例えば、融合機、又は複合機と呼ばれる、プリンタ、コピー、又はファクシミリ等の複数のアプリケーションを有する画像形成装置もかかる機器に該当する。そして、このような機器にもセキュリティ機能が必要とされる場合がある。

したがって、このような機器に対して本発明を適用してもよい。図２４は、本実施の形態における各種サービスを実装した機器の構成例を示す図である。図２４中、図４と同一部分には同一符号を付し、その説明は省略する。

図２４において、機器５００は操作パネル５０１、スキャン部５０２及びプリンタ部５０３等を備え、また、セキュリティサービス１１、文書管理サービス２１、及び認証サービス３１等を有している。すなわち、機器５００は、図４の文書管理システム１において、セキュリティサーバ１０、文書管理サーバ２０、及び認証サーバ３０に分散されていた機能が一つの筐体内に実装されている装置に相当する。

機器５００は、スキャン部５０２で読み取られた文書を文書管理サービス２１において管理し、また、文書管理サービス２１において管理されている文書をプリンタ部５０３より印刷することができる。

機器５００がこのような構成を有することで、適用対象が重複する許可証の発行を制限したり、許可証の適用対象が重複した場合に、適用する許可証を適切に判定したりすることができる。後者の場合は、操作パネル５０１に優先順位設定画面４１０を表示させ、操作パネル５０１より許可証の優先順位の設定を可能としてもよい。

以上、本発明の実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

セキュリティポリシーの定義内容を示す図である。 許可証の例を示す図である。 許可証が干渉している様子を示す図である。 本発明の実施の形態における文書管理システムの構成例を示す図である。 本発明の実施の形態におけるセキュリティ管理サーバのハードウェア構成例を示す図である。 本発明の実施の形態におけるセキュリティ管理サーバの機能構成例を示す図である。 ポリシーの定義内容を概念的に示す図である。 許可証管理テーブルの構成例を示す図である。 許可証の分割を説明するための図である。 許可証の分割を説明するための図である。 第一の実施の形態におけるセキュリティ管理サーバによる許可証発行処理を説明するためのフローチャートである。 許可証分割処理部による許可証の分割可否判定処理を説明するためのフローチャートである。 パラメータごとの分割可否判定処理を説明するためのフローチャートである。 許可証重複検出部による許可証の重複検出処理を説明するためのフローチャートである。 第二の実施の形態における許可証発行処理の原理を説明するための図である。 第二の実施の形態におけるセキュリティ管理サーバによる許可証発行処理を説明するためのフローチャートである。 第二の実施の形態における許可証管理テーブルの構成例を示す図である。 許可証分割処理部による許可証の分割処理を説明するためのフローチャートである。 パラメータごとの許可証の分割処理を説明するためのフローチャートである。 要求許可証が分割された後の許可証管理テーブルの例を示す図である。 許可証優先順位処理部による許可証の優先順位の決定処理について説明するためのフローチャートである。 許可証重複検出部による重複許可証リストの生成処理を説明するためのフローチャートである。 優先順位設定画面の表示例を示す図である。 本実施の形態における各種サービスを実装した機器の構成例を示す図である。

符号の説明

１ 文書管理システム
１０ セキュリティ管理サーバ
１１ セキュリティサービス
２０ 文書管理サーバ
２１ 文書管理サービス
３０ 認証サーバ
３１ 認証サービス
４０ クライアント装置
４１ アプリケーション
５１ 印刷サーバ
５２ 変換サーバ
５３ 配信サーバ
６０ ネットワーク
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ 演算処理装置
１０５ インタフェース装置
１１１ セキュリティサービス層
１１２ 操作許否判定部
１１３ ポリシー管理部
１１４ ポリシー
１１５ 許可証発行部
１１６ 許可証分割処理部
１１７ 許可証優先順位処理部
１１８ 許可証重複検出部
１１９ 許可証管理部
１２０ 許可証管理テーブル
５００ 機器
５０１ 操作パネル
５０２ スキャン部
５０３ プリンタ部
Ｂ バス

Claims (25)

1. 操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データを生成する情報処理装置であって、
   前記操作許可データを管理する操作許可データ管理手段と、
   前記操作許可データの生成要求に応じ、該生成要求において指定された一以上の主体の分類と、一以上の資源の分類と、一以上の操作の種別とを適用対象とする一つの前記操作許可データを生成し、生成した前記操作許可データを該一以上の主体の分類と、該一以上の資源の分類と、該一以上の操作の種別との組み合わせごとに分割することにより、該組み合わせごとの前記操作許可データを生成する操作許可データ生成手段と、
   前記組み合わせごとのそれぞれの前記操作許可データについて、前記操作許可データ管理手段に登録されている既存の操作許可データとの前記適用対象の重複を検出する重複検出手段とを有することを特徴とする情報処理装置。
2. 前記操作許可データ生成手段は、前記組み合わせごとにそれぞれが一の主体の分類、一の資源の分類、一の操作の種別を適用対象とする前記操作許可データを生成することを特徴とする請求項１記載の情報処理装置。
3. 前記重複検出手段は、前記既存の操作許可データの適用対象を特定する前記主体、前記資源、前記操作のそれぞれが前記操作許可データ生成手段に生成された前記操作許可データの適用対象を特定する前記主体の分類、前記資源の分類、前記操作の種別のそれぞれと少なくとも一部の分類又は種別において一致する場合は、両操作許可データの適用対象は重複するものと判定することを特徴とする請求項１又は２記載の情報処理装置。
4. 前記操作許可データ生成手段に生成された前記操作許可データと、前記重複検出手段によって該操作許可データとの前記適用対象の重複が検出された前記既存の操作許可データとのそれぞれについて、前記許否判定の際における優先順位を設定する優先順位設定手段を更に有することを特徴とする請求項１乃至３いずれか一項記載の情報処理装置。
5. 前記優先順位設定手段は、前記操作許可データが生成された順番に基づいて前記優先順位を設定することを特徴とする請求項４記載の情報処理装置。
6. 前記優先順位設定手段は、前記操作許可データの生成要求の要求元の優先順位に基づいて、前記操作許可データ生成手段に生成された前記操作許可データと、前記重複検出手段によって該操作許可データとの前記適用対象の重複が検出された前記既存の操作許可データとのそれぞれについて、前記許否判定の際における優先順位を設定することを特徴とする請求項４記載の情報処理装置。
7. 前記操作許可データは、当該操作に際して実行すべき責務の内容を示す責務情報を有し、
   前記優先順位設定手段は、前記責務情報に基づいて前記優先順位を設定することを特徴とする請求項４記載の情報処理装置。
8. 前記優先順位設定手段は、特定の前記主体又は特定の前記資源を適用対象とする前記操作許可データの優先順位を他の前記操作許可データに対して上位に設定することを特徴とする請求項４乃至７いずれか一項記載の情報処理装置。
9. 前記優先順位設定手段は、特定の一の前記主体又は特定の一の前記資源を適用対象とする前記操作許可データの優先順位を他の前記操作許可データに対して上位に設定することを特徴とする請求項８記載の情報処理装置。
10. 前記操作許可データ生成手段に生成された前記操作許可データと、前記重複検出手段によって該操作許可データとの前記適用対象の重複が検出された前記既存の操作許可データとのそれぞれについて前記優先順位を設定させる優先順位設定画面を表示させ、
    前記優先順位設定手段は、前記優先順位設定画面に設定された内容に基づいて前記操作許可データに前記優先順位を設定することを特徴とする請求項４記載の情報処理装置。
11. 前記操作許可データ生成手段は、前記組み合わせごとに生成したそれぞれの前記操作許可データに対し同一の値による識別情報を付加することを特徴とする請求項１乃至１０いずれか一項記載の情報処理装置。
12. 操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データの生成の許否を判定する情報処理装置であって、
    前記操作許可データを管理する操作許可データ管理手段と、
    生成に係る前記操作許可データの適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含むかを判定する判定手段と、
    前記判定手段によって前記適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含まないと判定された場合に、当該操作許可データと前記操作許可データ管理手段に登録されている既存の操作許可データとの前記適用対象の重複を検出する重複検出手段とを有し、
    前記判定手段によって前記適用対象として指定された主体の分類、資源の分類、及び操作の種別の少なくともいずれかが二以上の分類又は種別を含むと判定された場合、又は前記重複検出手段によって前記適用対象の重複が検出された場合は、前記操作許可データの生成を許可せず、
    前記生成に係る操作許可データの適用対象として、特定の一の主体、特定の一の資源及び一の操作の種別が指定されている場合は、前記特定の一の主体が属する前記主体の分類、前記特定の一の資源が属する前記資源の分類、及び前記一の操作の種別を適用対象とする前記操作許可データが既に前記操作許可データ管理手段に登録されている場合であっても、当該操作許可データの生成を許可することを特徴とする情報処理装置。
13. 前記重複検出手段によって前記適用対象の重複が検出されなかった場合に前記操作許可データを生成する操作許可データ生成手段を更に有することを特徴とする請求項１２記載の情報処理装置。
14. 前記特定の一の主体及び前記特定の一の資源を適用対象とする前記操作許可データについて、前記許否判定の際における優先順位を他の前記操作許可データに対して上位に設定することを特徴とする請求項１２又は１３記載の情報処理装置。
15. 操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データを生成する情報処理装置が、
    前記操作許可データの生成要求に応じ、該生成要求において指定された一以上の主体の分類と、一以上の資源の分類と、一以上の操作の種別とを適用対象とする一つの前記操作許可データを生成し、生成した前記操作許可データを該一以上の主体の分類と、該一以上の資源の分類と、該一以上の操作の種別との組み合わせごとに分割することにより、該組み合わせごとの前記操作許可データを生成する操作許可データ生成手順と、
    前記組み合わせごとのそれぞれの前記操作許可データについて、既存の操作許可データとの前記適用対象の重複を検出する重複検出手順とを実行することを特徴とする操作許可データ生成方法。
16. 前記重複検出手順は、前記既存の操作許可データの適用対象を特定する前記主体、前記資源、前記操作のそれぞれが前記操作許可データ生成手順において生成された前記操作許可データの適用対象を特定する前記主体の分類、前記資源の分類、前記操作の種別のそれぞれに該当する場合は、両操作許可データの適用対象は重複するものと判定することを特徴とする請求項１５記載の操作許可データ生成方法。
17. 前記操作許可データ生成手順において生成された前記操作許可データと、前記重複検出手順において該操作許可データとの前記適用対象の重複が検出された前記既存の操作許可データとのそれぞれについて、前記許否判定の際における優先順位を設定する優先順位設定手順を更に有することを特徴とする請求項１５又は１６記載の操作許可データ生成方法。
18. 前記情報処理装置が、前記操作許可データ生成手順においてに生成された前記操作許可データと、前記重複検出手順において該操作許可データとの前記適用対象の重複が検出された前記既存の操作許可データとのそれぞれについて前記優先順位を設定させる優先順位設定画面を表示させる優先順位設定画面表示手順を更に実行し、
    前記優先順位設定手順は、前記優先順位設定画面に設定された内容に基づいて前記操作許可データに前記優先順位を設定することを特徴とする請求項１７記載の操作許可データ生成方法。
19. 操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データの生成の許否を判定する情報処理装置が、
    生成に係る前記操作許可データの適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含むかを判定する判定手順と、
    前記判定手順において、前記適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含まないと判定された場合に、当該操作許可データと既存の操作許可データとの前記適用対象の重複を検出する重複検出手順とを実行し、
    前記判定手順において前記適用対象として指定された主体の分類、資源の分類、及び操作の種別の少なくともいずれかが二以上の分類又は種別を含むと判定された場合、又は前記重複検出手順において、前記適用対象の重複が検出された場合は、前記操作許可データの生成を許可せず、
    前記生成に係る操作許可データの適用対象として、特定の一の主体、特定の一の資源及び一の操作の種別が指定されている場合は、前記特定の一の主体が属する前記主体の分類、前記特定の一の資源が属する前記資源の分類、及び前記一の操作の種別を適用対象とする前記操作許可データが既に存在する場合であっても、当該操作許可データの生成を許可することを特徴とする操作許可データ生成許否判定方法。
20. 前記重複検出手順において前記適用対象の重複が検出されなかった場合に前記操作許可データを生成する操作許可データ生成手順を更に有することを特徴とする請求項１９記載の操作許可データ生成許否判定方法。
21. 前記特定の一の主体及び前記特定の一の資源を適用対象とする前記操作許可データについて、前記許否判定の際における優先順位を他の前記操作許可データに対して上位に設定することを特徴とする請求項１９又は２０記載の操作許可データ生成許否判定方法。
22. 操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データを生成する情報処理装置に、
    前記操作許可データの生成要求に応じ、該生成要求において指定された一以上の主体の分類と、一以上の資源の分類と、一以上の操作の種別とを適用対象とする一つの前記操作許可データを生成し、生成した前記操作許可データを該一以上の主体の分類と、該一以上の資源の分類と、該一以上の操作の種別との組み合わせごとに分割することにより、該組み合わせごとの前記操作許可データを生成する操作許可データ生成手順と、
    前記組み合わせごとのそれぞれの前記操作許可データについて、既存の操作許可データとの前記適用対象の重複を検出する重複検出手順とを実行させるための操作許可データ生成プログラム。
23. 請求項２２記載の操作許可データ生成プログラムを記録したコンピュータ読み取り可能な記録媒体。
24. 操作の主体と前記操作の対象となる資源と前記操作の種別とによって前記操作の許否判定における適用対象を特定する操作許可データの生成の許否を判定する情報処理装置に、
    生成に係る前記操作許可データの適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含むかを判定する判定手順と、
    前記判定手順において、前記適用対象として指定された主体の分類、資源の分類、及び操作の種別が二以上の分類又は種別を含まないと判定された場合に、当該操作許可データと既存の操作許可データとの前記適用対象の重複を検出する重複検出手順とを実行させ、
    前記判定手順において前記適用対象として指定された主体の分類、資源の分類、及び操作の種別の少なくともいずれかが二以上の分類又は種別を含むと判定された場合、又は前記重複検出手順において、前記適用対象の重複が検出された場合は、前記操作許可データの生成を許可せず、
    前記生成に係る操作許可データの適用対象として、特定の一の主体、特定の一の資源及び一の操作の種別が指定されている場合は、前記特定の一の主体が属する前記主体の分類、前記特定の一の資源が属する前記資源の分類、及び前記一の操作の種別を適用対象とする前記操作許可データが既に存在する場合であっても、当該操作許可データの生成を許可することを特徴とする操作許可データ生成許否判定プログラム。
25. 請求項２４記載の操作許可データ生成許否判定プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images