JP4813768B2 - リソース管理装置、リソース管理プログラム、及び記録媒体 - Google Patents

Description

本発明は、リソース管理装置、リソース管理プログラム、及び記録媒体に関し、特にネットワークを介してリソースを提供するリソース管理装置、リソース管理プログラム及び記録媒体に関する。

コンピュータシステムにおいては、リソースの不正利用等を防止すべく各リソースに対してアクセス権が定義されているのが一般である。リソースに対するアクセス権が定義されたデータは、一般にＡＣＬ（Access Control List）と呼ばれている。例えば、文書管理システムにおいては、文書ごとにＡＣＬが定義され、それぞれの文書について各ユーザの閲覧権限、書き込み（編集）権限等が設定されている。ここで、閲覧権限には、文書ファイルをビューアソフト等によって表示させるための権限のほか、印刷や、文書ファイルのコピー（ダウンロード）等を行うための権限も含まれている場合が多い。

また、特許文献１には、文書毎に応じて、表示、印刷、送信、保存などの出力形態毎のセキュリティ情報を設け、ログインユーザが文書を出力する際にセキュリティ情報を参照して当該出力形態が容認されているかの判定を行うことにより出力の可否を決定する文書管理システムに関する発明が記載されている。

更に、特許文献２には、クラス分けした利用者に対し、文書及び文書フィールドごとにアクセスの不許可、あるいは許可の設定を可能とすることにより文書の機密保護を行う機密保護方式に関する発明が記載されている。
特開２００２−３２８８４３ 特開平７−１９１９７５

しかしながら、閲覧権限が許可されているだけで、文書ファイルのコピーを許可するのは、セキュリティ上問題がある。すなわち、ネットワーク技術の発達した今日において、ダウンロードされた文書ファイルのその後の流通について制限をかけるのは非常に困難であるところ、文書ファイルがネットワーク上を自由に流通することによって重要な機密情報が漏洩してしまう恐れがあるからである。

また、印刷や閲覧についても、結局のところ文書ファイルがクライアント側にダウンロードされ、一時的なファイルとして保持される。したがって、一時的なファイルにアクセスされてしまえば、文書ファイルのコピーが実行された場合と同様の弊害の発生が考えられる。

本発明は、上記の点に鑑みてなされたものであって、リソースの利用に関するセキュリティを向上させることのできるリソース管理装置、リソース管理プログラム、及び記録媒体の提供を目的とする。

そこで上記課題を解決するため、本発明は、ネットワークを介してリソースの提供を行うリソース管理装置であって、前記リソースへの閲覧が可能であることを表す第一の権限情報の有無を判断する第一の判断手段と、前記リソースの外部への出力は禁止されていることを表す第二の権限情報の有無を判断する第二の判断手段と、前記リソースの閲覧要求に応じ、前記第一の判断手段により前記第一の権限情報が有ると判断され、かつ、前記第二の判断手段により前記第二の権限情報が有ると判断された場合は、前記リソースを暗号化し、暗号化したデータを提供し、前記リソースの閲覧要求に応じ、前記第一の判断手段により前記第一の権限情報が有ると判断され、かつ、前記第二の判断手段により前記第二の権限情報が無いと判断された場合は、前記リソースのオリジナルデータを提供し、前記リソースの印刷要求に応じ、前記第二の判断手段により前記第二の権限情報が有ると判断された場合は、前記リソースを提供せずにエラーメッセージを表示させる制御手段とを備えたことを特徴とする。

このようなリソース管理装置では、リソース管理装置からのリソースの持ち出しが禁止されているユーザに対しては、暗号化されたデータを閲覧用データとして提供するため、当該ユーザによる、閲覧用データとしてダウンロードされたデータの不正利用を防止することができる。

また、上記課題を解決するため、本発明は、請求項２又は３記載のリソース管理装置より提供されるリソースを表示させる表示手段を有する情報処理装置であって、前記表示手段は、前記リソース管理装置より提供された前記復号情報に基づいて、前記リソースの前記暗号化データを復号することを特徴とする。

このような情報処理装置では、上記リソース管理装置よりダウンロードされた暗号化データを表示させることができる。

また、上記課題を解決するため、本発明は、上記リソース管理装置における機能をコンピュータに実行させるためのリソース管理プログラム、又は前記リソース管理プログラムを記録した記録媒体としてもよい。

また、上記課題を解決するため、本発明、上記情報処理装置における機能をコンピュータに実行させるためのリソース表示プログラム、又は前記リソース表示プログラムを記録した記録媒体としてもよい。

本発明によれば、リソースの利用に関するセキュリティを向上させることのできるリソース管理装置、リソース管理プログラム、及び記録媒体を提供することができる。

以下、図面に基づいて本発明の実施の形態を説明する。本実施の形態においては、文書管理システムにおいて管理されている文書をリソースの具体例として説明する。図１は、本発明の実施の形態における文書管理システムの構成例を示す図である。図１に示されるように、本実施の形態における文書管理システム１は、文書管理サーバ１０と、端末２０ａ、２０ｂ及び２０ｃ等の一台以上の端末（以下、総称する場合「端末２０」という。）とから構成されており、それぞれはＬＡＮ（Local Area Network）又はインターネット等のネットワーク３０を介して接続されている。

文書管理サーバ１０は、文書情報（文書ファイル及び文書の書誌情報）の管理機能が実装されているコンピュータである。例えば、文書管理サーバ１０は、端末２０からの要求に応じて文書情報の検索を実行し、検索された文書情報を端末２０に送信する。端末２０は、文書管理システム１のエンドユーザが利用するＰＣ（Personal Computer）、ＰＤＡ（Personal Digital(Data) Assistants）、又は携帯電話等の装置である。端末２０は、ユーザからの指示に応じた要求（例えば、文書の検索要求）を文書管理サーバ１０に送信し、当該要求に対する応答として返却された情報（例えば、検索結果）を表示する。

図２は、本発明の実施の形態における文書管理システムの機能構成例を示す図である。図２に示されるように、文書管理サーバ１０は、サーバ処理制御部１１、暗号処理部１２、及び文書管理ＤＢ１３等から構成されている。

サーバ処理制御部１１は、端末２０からの要求に応じた処理全体を制御する機能である。暗号処理部１２は、文書管理ＤＢ１３に管理されている文書ファイル（オリジナルファイル１３２）を暗号化するための機能である。すなわち、オリジナルファイル１３を端末２０に送信するに際し、当該オリジナルファイル１３を暗号化する必要がある場合に、暗号処理部１２が利用される。文書管理ＤＢ１３は、オリジナルファイル１３や、各文書に対する各ユーザのアクセス権限が設定されているＡＣＬ（Access Control List）１３１等を管理しているデータベースである。

なお、本実施の形態におけるＡＣＬ１３１には、文書毎かつユーザ毎に閲覧権限や編集権限等の設定が可能であると共に、持ち出し禁止権限の設定も可能となっている。ここで、「持ち出し」とは、文書のオリジナルファイル１３２を文書管理サーバ１０の外部に取り出す（ダウンロードする）ことをいう。したがって、ある文書についてあるユーザに「持ち出し禁止権限」が設定されている場合は、当該ユーザは、当該文書のダウンロードが禁止されていることを意味する。

一方、端末２０は、ＵＩ提供部２１、クライアント処理制御部２２、復号処理部２３、表示用アプリケーション２４及びテンポラリ領域２５等から構成されている。ＵＩ提供部２１は、ＧＵＩ（Graphical User Interface）によって、文書管理システム１の操作手段をユーザに提供するための機能である。クライアント処理制御部２２は、ＵＩ提供部２１によって表示されている画面に対するユーザの入力に応じた処理全体を制御するための機能である。復号処理部２３は、文書管理サーバ１０より暗号化されたオリジナルファイル１３２がダウンロードされた場合に、当該オリジナルファイル１３２を復号するための機能である。表示用アプリケーション２４は、文書の閲覧が指示された場合に、当該文書を表示させるためのアプリケーションである。テンポラリ領域２５は、表示等のためにダウンロードされた文書のオリジナルファイル１３２をファイルとして一時的に保持しておくための記憶領域である。

次に、文書管理サーバ１０の詳細について説明する。図３は、本発明の実施の形態における文書管理サーバ１０のハードウェア構成例を示す図である。図３の文書管理サーバ１０は、それぞれバスBで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。

文書管理サーバ１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたプログラムに従って文書管理サーバ１０に係る機能を実行する。インタフェース装置１０５は例えばモデム、ルータ等で構成され、図１のネットワーク３０に接続するために用いられる。

なお、端末２０についても、図３に示される文書管理サーバ１０と同様の構成によって実現することができる。但し、ユーザからの入力を受け付けるためのキーボード及びマウス等の入力装置や、ユーザに対して情報を提示するためのディスプレイ等の表示装置を備えている必要がある。

以下、図２の文書管理システム１の処理手順について説明する。図４は、文書に対して持ち出し禁止権限を設定する際の処理を説明するためのフローチャートである。

ステップＳ１０１において、文書管理システム１の管理者が、ＵＩ提供部２１によって表示されている管理者用画面上において、文書管理ＤＢ１３に管理されている任意の文書（文書Ｂとする）について、任意のユーザ（ユーザＡとする）に対して持ち出し禁止権限を設定する。ステップＳ１０１に続いてステップＳ１０２に進み、ＵＩ提供部２１は、クライアント処理制御部２２を介して、管理者による設定内容を文書管理サーバ１０に対して送信する。ステップＳ１０２に続いてステップＳ１０３に進み、文書管理サーバ１０のサーバ処理制御部１１は、端末２０より受信した設定内容に基づいて、文書ＢのＡＣＬ１３１に対して、ユーザＡの持ち出し禁止権限を設定する。

図５は、文書Ｂに対するＡＣＬの概念図である。図５に示されるように、ＡＣＬ１３１ｂには、文書Ｂについて、ユーザごとに各種のアクセス権限の有無が登録されている。例えば、ユーザＡは、閲覧権限と編集権限とが許可されていることが分かる。また、図４による処理によって、持ち出し禁止権限が設定されていることが分かる。

次に、文書Ｂに対して持ち出し禁止権限を設定されたユーザＡが、文書Ｂの印刷を試みた場合について説明する。図６は、文書に対して印刷が要求された際の処理を説明するためのフローチャートである。図６の初期状態においては、端末２０には、ＵＩ提供部２１によって表示されている画面（以下、「文書一覧画面」という。）上に、文書管理ＤＢ２１より検索された文書の一覧情報が表示されているものとする。

ユーザＡが、文書一覧画面において文書Ｂを選択し、印刷を指示すると（Ｓ２０１）、ＵＩ提供部２１を介して、クライアント処理制御部２２に対して印刷指示が通知される。印刷指示を受けたクライアント処理制御部２２は、文書管理サーバ１０のサーバ処理制御部１１に対して「ユーザＡが文書Ｂの印刷を指示」した旨を示すメッセージを送信する（Ｓ２０２）。サーバ処理制御部１１は、受信したメッセージに基づいて、印刷指示の主体（ユーザＡ）と対象（文書Ｂ）とを認識し、文書Ｂに対するＡＣＬ１３１ｂ（図５）より、ユーザＡのアクセス権限を取得する（Ｓ２０３）。

サーバ処理制御部１１は、ユーザＡのアクセス権限における持ち出し禁止権限を参照することにより、ユーザＡによる文書Ｂの持ち出しの可否を判断する（Ｓ２０４）。図５より、ユーザＡには、持ち出し禁止権限が設定されている、すなわち、ユーザＡは文書Ｂの持ち出しが禁止されているため、サーバ処理制御部１１は、クライアント処理制御部２２に対して印刷が不可能である旨を示すエラーメッセージを送信する。エラーメッセージを受信したクライアント処理制御部２２は、ＵＩ提供部２１を介して印刷が不可能である旨を示すエラーメッセージを表示させる（Ｓ２０５）。ここで、持ち出し禁止権限に基づいて印刷が不可能であると判断するのは、文書を印刷するためには、当該文書のオリジナルファイル１３２を文書管理サーバ１０の外に持ち出す（端末２０にダウンロードさせる）必要があるからである。

なお、持ち出しが可能である場合、すなわち、持ち出し禁止権限が設定されていない場合は、サーバ処理制御部１１が、文書管理ＤＢ１３より文書Ｂのオリジナルファイル１３２を取得し、オリジナルファイル１３２を端末２０に送信すると、端末２０において文書Ｂの印刷が実行される（Ｓ２０６）。

上述したように、本実施の形態における文書管理システム１によれば、持ち出し禁止権限により、文書のオリジナルファイル１３２を持ち出す必要のあるコピーや印刷等を禁止することができるため、文書の利用に関するセキュリティの向上を図ることができる。

次に、任意のユーザが、任意の文書の閲覧を試みた場合について説明する。図７は、文書に対して閲覧が要求された際の文書管理システムにおける処理概要を説明するためのフローチャートである。図７の初期状態においても、端末２０には、文書一覧画面が表示されているものとする。

カレントユーザが、文書一覧画面において任意の文書（以下、「カレント文書」という。）を選択し、閲覧を指示すると（Ｓ３０１）、当該閲覧指示に基づいて、カレント文書に対するアクセス権がＡＣＬ１３１より取得され（Ｓ３０２）、カレントユーザによるカレント文書の持ち出しの可否、すなわち、カレント文書についてカレントユーザに対する持ち出し禁止権限が設定されているか否かが判断される（Ｓ３０３）。カレントユーザに対して持ち出し禁止権限が設定されていない場合（Ｓ３０３でＹｅｓ）は、カレントユーザはカレント文書の持ち出しを許可されているため、カレント文書のオリジナルファイル１３２が文書管理サーバから端末２０に転送される（Ｓ３０４）。端末２０では、転送されたオリジナルファイル１３２が表示される（Ｓ３０５）。

一方、カレントユーザに対して持ち出し禁止権限が設定されている場合（Ｓ３０３でＮｏ）は、更に、カレントユーザがカレント文書の閲覧権限を有しているか否かがＡＣＬ１３１に基づいて判断される（Ｓ３０６）。カレントユーザが閲覧権限を有している場合（Ｓ３０６でＹｅｓ）、この場合は、すなわち、閲覧は許可されているが持ち出しは禁止されているといった場合である。したがって、カレント文書のオリジナルファイル１３２をそのまま文書管理サーバ１０から端末２０へ転送するわけにはいかない。そこで、まず、カレント文書のオリジナルファイル１３２が文書管理サーバ１０において暗号化され（Ｓ３０７）、暗号化されたオリジナルファイル１３２（以下、「暗号化ファイル」という。）と、暗号化ファイルを復号するために必要な情報（以下、「復号情報」という。）とが端末２０へ転送される（Ｓ３０８）。なお、復号情報は、悪意のあるユーザに悪用されないよう、ファイルとして端末２０のハードディスク上にではなく、メモリ上に転送される。暗号化ファイルと復号情報を受信した端末２０においては、復号情報等に基づいて暗号化ファイルが復号され（Ｓ３０９）、表示される（Ｓ３１０）。

なお、カレントユーザに閲覧権限が無い場合（Ｓ３０６でＮｏ）は、閲覧はできない旨のエラーメッセージが端末２０において表示される（Ｓ３１１）。

次に、図７において概要を説明した処理について、ユーザＡが文書Ｂの閲覧を試みた場合を例として、更に具体的かつ詳細に説明する。図８は、ユーザＡが文書Ｂの閲覧を試みた場合の処理を説明するためのシーケンス図である。なお、図８においては、文書のオリジナルファイル１３２がＰＤＦデータである場合を例としている。

カレントユーザが、文書一覧画面において文書Ｂを選択し、閲覧を指示すると、その旨を検知したＵＩ提供部２１は、クライアント処理制御部２２に対して閲覧指示を通知する（Ｓ４０１）。ステップＳ４０１に続いてステップＳ４０２に進み、クライアント処理制御部２２は、文書管理サーバ１０のサーバ処理制御部１１に対して「ユーザＡが文書Ｂの閲覧を指示」した旨を示すメッセージを送信する。サーバ処理制御部１１は、受信したメッセージに基づいて閲覧指示の主体（ユーザＡ）と対象（文書Ｂ）とを識別することにより、文書Ｂに対するＡＣＬ１３１ｂ（図５）よりユーザＡのアクセス権限を取得し、ユーザＡに対して持ち出し禁止権限が設定されているか否かを判断する（Ｓ４０３、Ｓ４０４）。図５より、ユーザＡには持ち出し禁止権限が設定されている。したがって、サーバ処理制御部１１は、ユーザＡによる文書Ｂの持ち出しは許可されていない旨を通知するメッセージをクライアント処理制御部２２に対して送信する（Ｓ４０５）。

ステップＳ４０５に続いてステップＳ４０６に進み、エラー通知を受けたクライアント処理制御部２２は、ユーザＡの文書Ｂに対する閲覧権限の有無を問い合わせるメッセージをサーバ処理制御部１１に対して送信する。サーバ処理制御部１１は、文書Ｂに対するＡＣＬ１３１ｂより、ユーザＡのアクセス権限を取得し、ユーザＡに対して閲覧権限は設定されているか否かを判断する（Ｓ４０７、Ｓ４０８）。図５より、ユーザＡは、文書Ｂに対して閲覧権限が許可されているため、サーバ処理制御部１１は、ユーザＡは文書Ｂに対する閲覧権限を有している旨のメッセージをクライアント処理制御部２２に対して送信する（Ｓ４０９）。

上記より、ユーザＡは、文書Ｂの持ち出しは許可されていないが、閲覧は許可されていることが明らかになった。そこで、クライアント処理制御部２２は、オリジナルファイル１３２をそのものではなく、暗号化してもの（暗号化ＰＤＦ）を文書管理サーバ１０よりダウンロードする必要がある旨を判断する。

ステップＳ４０９に続いてステップＳ４１０に進み、クライアント処理制御部２２は、公開情報Ｂを生成する。ここで公開情報とは、後述されるように、文書Ｂのオリジナルファイル１３２を暗号化するめの文書パスワードの生成に用いられる情報である。なお、公開情報Ｂは、予め生成され、保存されているものをロードしてもよい。

ステップＳ４１０に続いてステップＳ４１１に進み、クライアント処理制御部２２は、公開情報Ｂを伴って、暗号化ＰＤＦの提供を要求するメッセージをサーバ処理制御部１１に対して送信する。ステップＳ４１１に続いてステップＳ４１２に進み、サーバ処理制御部１１は、暗号処理部１２に対して文書Ｂのオリジナルファイル１３２の暗号化を要求する。

ステップＳ４１２に続いてステップＳ４１３に進み、暗号処理部１２は、公開情報Ａを生成する。なお、公開情報Ａについても、公開情報Ｂと同様、予め生成され、保存されているものをロードしてもよい。ステップＳ４１３に続いてステップＳ４１４に進み、暗号処理部１２は、公開情報Ａと公開情報Ｂとに基づいて共通鍵を生成し、更に、当該共通鍵に基づいて文書パスワードを生成する。ここで、文書パスワードとは、ＰＤＦデータを暗号化するための情報（パスワード）である。

ステップＳ４１５に続いてステップＳ４１６に進み、暗号処理部１２は、文書管理ＤＢ１３より、文書Ｂのオリジナルファイル１３２を取得する（Ｓ４１７）。ステップＳ４１７に続いてステップＳ４１８に進み、暗号処理部１２は、オリジナルファイル１３２を文書パスワードを用いて暗号化し、暗号化されたファイル（暗号化ＰＤＦ）をサーバ処理制御部１１に対して出力する。ステップＳ４１９に続いてステップＳ４２０に進み、サーバ処理制御部１１が、暗号化ＰＤＦと公開情報Ａとをクライアント処理制御部２２に送信すると、クライアント制御部２２は、暗号化ＰＤＦをテンポラリ領域２５に、公開情報Ａをメモリ領域に保存する。

ステップＳ４２０に続いてステップＳ４２１に進み、クライアント処理制御部２２は、暗号化ＰＤＦと公開情報Ａとを伴って、復号処理部２３に文書パスワードの生成を要求する。ステップＳ４２１に続いてステップ４２２に進み、復号処理部２３は、公開情報Ａ及びＢ基づいて、かつ、暗号化処理部１２と同一のロジックで共通鍵を生成し、更に当該共通鍵に基づいて文書パスワードを生成する。すなわち、ここで生成される文書パスワードは、オリジナルファイル１３２を暗号化する際に利用された文書パスワードと同一の情報（公開情報Ａ及び公開情報Ｂ）に基づいて同一のロジックで生成されたものである。したがって、両文書パスワードは同一のものとなる。

ステップＳ４２３に続いてステップＳ４２４に進み、復号処理部２３が、文書パスワードと暗号化ＰＤＦとを伴って表示用アプリケーション２４に暗号化ＰＤＦの表示を要求すると、表示用アプリケーションは、文書パスワードを用いて暗号化ＰＤＦをメモリ上に復号し、復号された情報に基づいて文書Ｂを表示させる。（Ｓ４２５）。ここで、表示アプリケーションは、文書に対する操作として表示以外の操作、例えば、印刷、ファイルとして保存、編集等の操作は行えないようにする。具体的には、これらの操作に対応するユーザインタフェース（メニュー等）を無効にすればよい。

上述したように、本実施の形態における文書管理システム１によれば、閲覧は許可されていても、持ち出しが禁止されているユーザによって閲覧が指示された場合は、オリジナルファイル１３２そのものではなく、暗号化されたものを端末２０に対して転送するため、当該ユーザが意図的に、テンポラリ領域２５にダウンロードされた暗号化ファイルを持ち出したとしても、当該暗号化ファイルを開くことはできない。また、暗号化ファイルを復号するための情報（公開情報Ａ）は、アクセスが容易なファイルとしてではなくメモリ領域に保持されるため、ユーザが意図的に入手することは困難である。したがって、閲覧を許可しつつ、実質的に持ち出しを禁止することが可能となり、より高いセキュリティを確保することができる。

また、本実施の形態においては、クライアント側において保持されている情報（公開情報Ｂ）とサーバ側において保持されている情報（公開情報Ａ）とを、お互いにやりとりすることによりそれぞれにおいて共通鍵を生成するため、共通鍵あるいは文書パスワード自体をサーバ・クライアント間で転送する必要はなく、仮に、ネットワーク上において、暗号化ファイルと公開情報Ａとが悪意を持ったユーザによって不正に入手されたとしても、当該ユーザは、公開情報Ａのみでは暗号化ファイルを開くことはできない。

なお、公開情報Ａや公開情報Ｂを動的に生成することにより、より高度なセキュリティを確保することもできる。すなわち、公開情報Ａ及びＢについては、ネットワーク上を流通するため（ステップＳ４１１やＳ４２０）、それぞれのタイミングで両者が不正に入手される可能性は完全には否定できない。したがって、公開情報Ａ及びＢを生成するロジックが静的なものである場合、あるいは、公開情報Ａ及びＢが予め生成され保存されているものである場合等、公開情報が固定的な値をとる場合は、二つの公開情報が盗まれることによって、暗号化ＰＤＦが解読される危険性が増える。そこで、例えば、文書管理サーバ１０において、暗号化ＳＥＥＤとしての公開情報Ａをランダムな値に基づいて生成するようにすれば（Ｓ４１３）、公開情報Ａの値をランダムなものとすることができ、より高いセキュリティを確保することができる。ランダムな値としては、例えば、文書の閲覧が指示された時間と乱数との組み合わせ等でもよい。

ところで、図８においては、端末２０によって暗号化ファイルをダウンロードすべきことが判断されている。すなわち、端末２０は、ステップＳ４０５においてユーザＡに持ち出し禁止権限が設定されていることを認識し、ステップＳ４０９において、ユーザＡは閲覧権限が有ることを認識し、その認識に基づいて、オリジナルファイル１３２そのものではなく、暗号化ファイルをダウンロードすべきことを判断し、文書管理サーバ１０に対して暗号化ファイルの提供を要求している（Ｓ４１１）。

しかしながら、オリジナルファイル１３２の転送の際の暗号化の要否については、文書管理サーバ１０で判断させるようにしてもよい。この場合の処理手順は、例えば、図９のようになり得る。図９は、暗号化の要否をサーバ側で判断する場合の処理を説明するためのシーケンス図である。図９においては、図８との共通部分が多いため、当該部分については簡略化して説明する。

カレントユーザが、文書一覧画面において文書Ｂを選択し、閲覧を指示すると、その旨を検知したＵＩ提供部２１は、クライアント処理制御部２２に対して閲覧指示を通知する（Ｓ５０１）。クライアント処理制御部２２は、公開情報Ｂを生成し（Ｓ５０２）、当該公開情報Ｂと共に「ユーザＡが文書Ｂの閲覧を指示」した旨を示すメッセージを文書管理サーバ１０のサーバ処理制御部１１に対して送信する（Ｓ５０３）。

サーバ処理制御部１１は、文書Ｂに対するＡＣＬ１３１ｂ（図５）よりユーザＡのアクセス権限を取得し、ユーザＡに対して持ち出し禁止権限が設定されているか否か、持ち出し権限が設定されている場合は、ユーザＡは閲覧権限を有しているか否かを判断する（Ｓ５０６）。図５より、ユーザＡには持ち出し禁止権限及び閲覧権限が設定されている。したがって、サーバ処理制御部１１は、オリジナルファイル１３２を暗号化する必要があることを判断し、暗号処理部１２に対して文書Ｂのオリジナルファイル１３２の暗号化を要求する（Ｓ５０７）。

以降は、図８のステップＳ４１３以降と同様である。すなわち、文書Ｂのオリジナルファイルが暗号化され（Ｓ５０８〜Ｓ５１３）、暗号化ＰＤＦ等が端末２０に送信される（Ｓ５１５）。端末２０においては、暗号化ＰＤＦが復号され、表示される（Ｓ５１６〜Ｓ５２０）。

このように、サーバ主導によっても、文書管理システム１全体として同様の機能を実現させることができる。

以上、本発明の好ましい実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

本発明の実施の形態における文書管理システムの構成例を示す図である。 本発明の実施の形態における文書管理システムの機能構成例を示す図である。 本発明の実施の形態における文書管理サーバのハードウェア構成例を示す図である。 文書に対して持ち出し禁止権限を設定する際の処理を説明するためのフローチャートである。 文書Ｂに対するＡＣＬの概念図である。 文書に対して印刷が要求された際の処理を説明するためのフローチャートである。 文書に対して閲覧が要求された際の文書管理システムにおける処理概要を説明するためのフローチャートである。 ユーザＡが文書Ｂの閲覧を試みた場合の処理を説明するためのシーケンス図である。 暗号化の要否をサーバ側で判断する場合の処理を説明するためのシーケンス図である。

符号の説明

１ 文書管理システム
１０ 文書管理サーバ
１１ サーバ処理制御部
１２ 暗号処理部
１３ 文書管理ＤＢ
２０、２０ａ、２０ｂ、２０ｃ 端末
２１ ＵＩ提供部
２２ クライアント処理制御部
２３ 復号処理部２３
２４ 表示用アプリケーション
２５ テンポラリ領域
１００ ドライブ装置
１０１ 記録媒体
１０２ 補助記憶装置
１０３ メモリ装置
１０４ 演算処理装置
１０５ インタフェース装置
１３１、１３１ｂ ＡＣＬ
１３２ オリジナルファイル
Ｂ バス

Claims (5)

1. ネットワークを介してリソースの提供を行うリソース管理装置であって、
   前記リソースごとに、各ユーザについて当該リソースの閲覧が可能であることを表す第一の権限の有無及び当該リソースの外部への出力は禁止されていることを表す第二の権限の有無を示すアクセス制御情報に基づいて、前記第一の権限の有無を判断する第一の判断手段と、
   前記アクセス制御情報に基づいて、前記第二の権限の有無を判断する第二の判断手段と、
   前記リソースの閲覧要求に応じ、当該閲覧要求に係る前記リソースに対して当該閲覧要求に係るユーザに、前記第一の判断手段により前記第一の権限が有ると判断され、かつ、前記第二の判断手段により前記第二の権限が有ると判断された場合は、前記リソースを暗号化し、暗号化したデータを提供し、前記リソースの閲覧要求に応じ、当該閲覧要求に係る前記リソースに対して当該閲覧要求に係るユーザに、前記第一の判断手段により前記第一の権限が有ると判断され、かつ、前記第二の判断手段により前記第二の権限が無いと判断された場合は、前記リソースのオリジナルデータを提供し、前記リソースの印刷要求に応じ、当該印刷要求に係る前記リソースに対して当該印刷要求に係るユーザに、前記第二の判断手段により前記第二の権限が有ると判断された場合は、前記リソースを提供せずにエラーメッセージを表示させる制御手段とを備えたことを特徴とするリソース管理装置。
2. 前記リソースの暗号化したデータの生成及び前記暗号化したデータを復号するための復号情報の生成を行う暗号化処理手段を有することを特徴とする請求項１記載のリソース管理装置。
3. 前記制御手段は、前記暗号化処理手段により生成された前記復号情報を前記閲覧要求元の装置のメモリに転送することを特徴とする請求項２記載のリソース管理装置。
4. ネットワークを介してリソースの提供を行うリソース管理装置に、
   前記リソースごとに、各ユーザについて当該リソースの閲覧が可能であることを表す第一の権限の有無及び当該リソースの外部への出力は禁止されていることを表す第二の権限の有無を示すアクセス制御情報に基づいて、前記第一の権限の有無を判断する第一の判断手順と、
   前記アクセス制御情報に基づいて、前記第二の権限の有無を判断する第二の判断手順と、
   前記リソースの閲覧要求に応じ、当該閲覧要求に係る前記リソースに対して当該閲覧要求に係るユーザに、前記第一の判断手順において前記第一の権限が有ると判断され、かつ、前記第二の判断手順において前記第二の権限が有ると判断された場合に、前記リソースを暗号化し、暗号化したデータを提供し、前記リソースの閲覧要求に応じ、当該閲覧要求に係る前記リソースに対して当該閲覧要求に係るユーザに、前記第一の判断手順において前記第一の権限が有ると判断され、かつ、前記第二の判断手順において前記第二の権限が無いと判断された場合は、前記リソースのオリジナルデータを提供し、前記リソースの印刷要求に応じ、当該印刷要求に係る前記リソースに対して当該印刷要求に係るユーザに、前記第二の判断手順において前記第二の権限が有ると判断された場合は、前記リソースを提供せずにエラーメッセージを表示させる制御手順とを実行させるためのリソース管理プログラム。
5. 請求項４記載のリソース管理プログラムを記録したコンピュータ読み取り可能な記録媒体。

Images