JP4865507B2 - 管理権限設定システム - Google Patents

Description

本発明は、管理権限設定システムに関し、特に、ユーザやネットワーク資源の管理を一括化するディレクトリサービスを利用した管理権限設定システムに関する。

コンピュータシステムの発達に伴い、多種多様なシステムやファイルを共有するファイルサーバ等が数多く構築され、複数のユーザが、システムやファイルにアクセスすることが簡単にできるようになっている。従来、これらの資源を利用するユーザ情報に関しては、システム毎に個別に管理されてきたが、ユーザ情報が分散されることにより管理が煩雑になるという問題があった。

そこで、この問題を解決する手段として、ユーザやネットワーク資源の管理を一括化するディレクトリサービスが普及しつつある。ディレクトリサービスを利用して、ユーザのネットワーク資産に対するアクセス権限を一括して管理することにより、ユーザはネットワーク内のいずれのシステムに対しても、一貫した権限の元でアクセスを行うことができる。

図１は、上記のようなディレクトリサービスでのユーザ管理例を示す図である。ディレクトリサービス１０１には、例えば、グループＡ１０２とグループＢ１０３とが登録されている。グループＡ１０２には、ユーザＣ１０４、ユーザＤ１０５が登録されており、グループＢ１０３には、ユーザＥ１０６、ユーザＦ１０７が登録されている。

ここで、フォルダ１０８にＡグループに対する「読込み」権限を設定することにより、フォルダ１０８に対するユーザＣ１０４、ユーザＤ１０５の読込みを許可し（丸印で示される）、ユーザＥ１０６、ユーザＦ１０７からの読込みを抑止することができる（×印で示される）。

尚、アクセス権限に関連する技術文献としては、下記の特許文献が挙げられる。
特開２００５−３３８９３５号公報 特開平８−５０５５９号公報 特開２００２−３４２３５２号公報

企業内のユーザ管理を、ディレクトリサービスを用いて管理するケースを考える。図２は、企業の組織階層をディレクトリサービスにより表現した例を示す図である。図２では、部２０２には部長Ａ２０５が所属しており、課２０３に課長Ｂ２０６が所属しており、ユニット２０４には社員Ｃ２０７と社員Ｄ２０８とが所属している。また、ディレクトリサービス２０１には、ディレクトリサービス２０１のユーザ情報を管理するための管理権限（アドミン権限）を有する管理者２０９が存在する。

ここで、社員の異動などにより、ディレクトリサービス上のユーザ情報への変更が発生した場合を考える。図３は、ディレクトリサービス３０１上において、ユニット３０４に社員Ｃ、社員Ｄに加えて、社員Ｅ３１０が追加された場合のユーザ情報の追加可否を示した図である。

組織上、ユニット３０４は、部３０２及び課３０３の配下にあるため、部長Ａ３０５又は課長Ｂ３０６により、社員Ｅ３１０のユニット３０４への追加作業を実行できることが望ましい。しかしながら、部長Ａ３０５、課長Ｂ３０６も、ディレクトリサービス３０１上では一般ユーザとして扱われるため、ユニット３０４への変更作業の権限を有していない。ユニット３０４に対する変更処理を行うには、管理者３０９と同様の管理権限を取得する必要があるが、管理権限を持つと、ユニット３０４だけでなく、課３０３及び部３０２を含む広範囲のグループに対する変更権限を持たせてしまうことになるため、特定の管理者であるアドミニストレータ３０９以外には極力権限も設定するべきではない。従って、例えば、社員の所属変更メールアドレスの変更など、ディレクトリサービスで管理している情報の変更作業にあたっては、大小関わらず、全て管理権限を有する管理者３０９が実行する必要があり、管理者３０９は、各部署において発生する各種ユーザ情報の変更要求に対応しなければならず、作業負荷が増大し、また、各部署でもユーザ管理に対する柔軟な対応がとりにくくなることに起因する、セキュリティレベル向上に対する制約又はセキュリティレベルの低下を招く恐れがある。

一方、ネットワーク資源に対するＡＣＬ（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ ｌｉｓｔ）の設定に関しては、社員の所属変更が発生した場合にも、ネットワーク資源に設定されたＡＣＬの再設定を必要としない組織階層定義システムが提案されている。図４は、その一例を示す図である。企業の組織階層４０１には、一般的には、部４０３、課４０４、ユニット４０５、という組織がある。各組織をディレクトリサービス４０２に示すような組織階層とは逆向きのグループ階層、ユニット４０６、課４０７、部４０８のツリーとし、ディレクトリサービス４０２に示されたグループをネットワーク資源に対するＡＣＬに設定することにより、グループ内の所属変更によるＡＣＬの再設定の必要を無くし、かつ、下位グループがアクセス権限を持つ資源に対しては、上位グループに所属するユーザもアクセス権限を持つことを可能としている。しかしながら、この方式においても、実際の作業として、ディレクトリサービス上のユーザ／グループの変更作業が必要となり、管理権限を持つ管理者が作業を実施する必要があるという点は同じである。

ところで、ユーザ／グループの管理権限を委譲するための手法として、組織単位（ＯＵ）がある。ＯＵに対しては、管理者以外のユーザ／グループに対して、そのＯＵ下のユーザ／グループの管理権限を委譲することができる。

しかしながら、ＯＵは、ＡＣＬに設定することができないため、組織階層のグループを単にＯＵに変更した場合には、ネットワーク資源に対するアクセス権をユーザ個別に指定することとなり、部署毎に階層管理を行う意義がなくなってしまう。また、ＯＵの管理者として、上位組織に所属しているユーザを意識して個別に設定しなければならない。また、組織階層を遡る上位階層のユーザそれぞれにも管理権限を設定したい場合に、組織階層を意識した管理権限の委譲が必要となり、所属変更の際にはＯＵの管理権限の設定も変更する必要が生じる。

本発明の目的は、ディレクトリサービスを利用して組織構造を考慮したユーザ管理を行う場合に、所属変更が発生した際にもネットワーク資源に対するＡＣＬを変更することなく、また、ＯＵに対する管理者権限の変更も必要としないユーザ管理システムを提供することにある。また、下位組織ユーザ／グループの管理権限を、上位組織のユーザに委譲することを可能とすることを目的とする。

本発明の一観点によれば、ディレクトリサービスデータベースを備えたディレクトリサーバと、該ディレクトリサーバと通信する管理サーバと、を有する管理権限設定システムであって、前記管理サーバは、組織階層を定義する際に、前記ディレクトリサービスデータベースに、前記組織階層に対応した組織単位（ＯＵ）であって管理権限を設定可能な階層の組織単位と該ＯＵに所属するグループとの組みが、ユーザ操作又は自動的に生成されることを特徴とする管理権限設定システムが提供される。尚、ディレクトリサーバと管理サーバとの間の通信プロトコルとしては、一般的にＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）が利用される。

上記システムにおいては、ユーザ情報を管理するための管理権限（アドミン権限）を例えば階層単位で付与できるようにするために、組織単位ＯＵとグループとを対応付けした。

ＯＵに対しては、管理者以外のユーザ／グループに対して、そのＯＵ下のユーザ／グループの管理権限を委譲することができる。前記組み単位で、権限を付与するかどうかを決めるので、任意のＯＵに対して権限を付与できる。

さらに、前記組織階層と逆向きのグループ階層を前記ディレクトリサービスデータベースに登録する手段を有することが好ましい。

本発明の他の観点によれば、ディレクトリサービスデータベースを備えたディレクトリサーバと、該ディレクトリサーバとＬＤＡＰ等の通信プロトコルによって通信する管理サーバと、を有する管理権限設定システムにおける管理権限設定方法であって、組織階層を定義するステップであって、グループ／ユーザ情報をディレクトリサービスに登録するステップと、組織階層を表示するツリービューを表示画面に表示させるステップと、ツリービューに表示されている組織のいずれかを選択するステップと、選択した組織に所属する下位組織を定義する際に、定義された組織毎に、組織階層に対応した組織単位（ＯＵ）の階層とＯＵに所属するグループとを、組みで作成するステップと、前記組織単位で権限を設定するステップと、を有することを特徴とする管理権限設定方法が提供される。

前記ツリービュー表示を行った際に、該ツリービュー表示のうちの１つの組織を選択し、リストビューに選択した組織に属するユニットが表示された状態で、ユニットの追加を行うと、ユニットのＯＵとユニットのグループとの組が新たに作成され、選択した組織のＯＵの下にその上位の組織のグループを作成するステップと、該上位のグループに、下位のＯＵのＡＣＬを与えるステップと、下位のグループのメンバに上位のグループを追加するステップと、を有することが好ましい。

以上の処理により、部のグループは課のグループのメンバとして登録されるため、部から課に対して管理権限を設定できるようになる。

本発明によれば、以下のような効果を得ることができる。
（１）組織のユーザ／グループの管理を、管理権限を持つ管理者だけでなく、組織階層を遡る上位階層のユーザも実施することができる。
（２）上位階層のユーザに所属変更が発生した場合も、ＯＵに対する管理者権限の変更が必要なく、ディレクトリサービス上での変更作業終了後速やかに下位組織に対するユーザ／グループの管理作業を開始することができる。

以下、本発明の一実施の形態による管理権限付与システムについて、図面を参照しながら説明を行う。

図５は、本発明の一実施の形態による管理権限設定システムの一構成例を示す図である。図５に示す組織階層定義システムは、ディレクトリサービスデータベース５０５と、ディレクトリサービス部５０４を備えたディレクトリサーバ５０２と、このディレクトリサーバ５０２に対してＬＤＡＰ等の通信プロトコルによって通信する管理サーバ５０１と、を有して構成される。また、管理サーバ５０１は、組織階層をＧＵＩで定義する組織階層定義部５０３を備えている。

図６は、図５に示す組織階層定義部５０３における組織階層の具体的な定義例としての表示例を示す図である。図６に示す組織階層定義画面６０１において、ＧＵＩにより組織階層を定義することにより、組織階層に対応したグループ／ユーザ情報をディレクトリサービスに登録することができる。図６に示す組織階層定義画面６０１は、組織階層を表示するツリービュー部６０２と、ツリービュー部６０２で選択した組織に所属するユーザ、グループを表示するリストビュー部６０３とにより構成されている。図６に示す表示例においては、ツリービュー部６０２において課６０４を選択た状態を示しており、これに応じて、リストビュー部６０３に、選択された課６０４に所属する課長６０５と第１ユニット６０６とが表示されている。図示はしていないが、この状態では、例えば、ユーザの操作に基づいて、課長６０５に加えて対応する組織単位（ＯＵ）が課長というグループと対応関係を持って登録されるように構成されている。

例えば、組織変更に応じて、設計者がＧＵＩにより新たなユニット（第２ユニット６０７）をリストビュー部６０３に追加したとする。すると、第２ユニット６０７とそれと対応付けされているＯＵとが、自動的に、或いは、ユーザの任意の選択操作により作成される。ＯＵが付されているということは、管理権限を付与することができることを意味するため、部、課、ユニットなどのグループ毎に、任意にＯＵを付加して組とすることで、任意のグループに対して管理権限を付与できる状態とすることができる。

図７は、図６に示した組織階層例に対する、ディレクトリサービスの設定例を示す図である。図７に示す設定例７０１では、組織毎にディレクトリサービスにはＯＵ７０２・７０３・７０４・７０８とグループ７０５・７０６・７０７・７０９とが設定された組７１１・７１２・７１３・７１４が設定されている。図７においては、ＯＵ７０２・７０３・７０４・７０８のＡＣＬとして、上位組織グループに、すなわち、第１ユニットＯＵ７０４、第２ユニットＯＵ７０８に対して、１階層上位の課グループ７０６が管理権限を持たせており（破線の矢印参照）、課ＯＵ７０３に対して、１階層上位の部グループ７０５が管理権限を持っている破線の矢印参照）。このような構成により、部グループ７０５に所属するユーザは、課ＯＵ７０３に所属するユーザ／グループの管理を実施することが出来る。また、課グループ７０６に所属するユーザは、ユニットＯＵ７０４に所属するユーザ／グループの管理を実施することができるという利点がある。

但し、図７に示す例では、部グループ７０５はユニットＯＵ７０４に対する管理権限を持たないため、ユニットＯＵ７０４に所属するユーザ／グループの管理は実施できない。

そこで、各ＯＵに対するグループを、組織階層とは逆向きのグループ階層化する。図８は、図７のグループの階層を示した図である。図８においては、部グループ８０７は、課グループ８０６のメンバとして登録されている。これにより、部グループ８０７は、課グループ８０６が持つユニットＯＵ８０２のユーザ／グループの管理権限を継承することができる。また、図８のように、これらのＯＵに所属したグループに対してユーザを登録しておくことにより、グループ内のユーザ変更による速やかな下位組織に対するユーザ／グループの管理作業開始が実現できるという利点がある。

図９は、組織階層定義部の処理の概略を示すフローチャート図である。図１０は、上述のようなユニットの追加に伴う処理の流れを示すフローチャート図である。

図９に示すように、処理が開始され、ステップＳ９０１において、組織階層を表示するツリービューを表示画面に表示させる。ステップＳ９０２において、ツリービューに表示されている組織のいずれかを選択する。ステップＳ９０３において、選択した組織に新規組織を登録する。ステップＳ９０４において、ツリービューで選択した組織に所属するユーザ（例えば課長）とユニットとがツリービューに表示される。

図１０に示すように、ステップＳ９０３による新規組織の登録を行う際、例えば、ステップＳ１００１において、ツリービュー表示のうちの課を選択した状態で、リストビューにユニットを追加する。ステップＳ１００２において、ユニット追加に伴い、ユニットのＯＵが作成される。ステップＳ１００３において、ユニットのグループを作成し、ユニットのＯＵに所属させる。ステップＳ１００４において、ユニットのＯＵのＡＣＬとして、課のグループに管理権限を設定する。ステップＳ１００５において、ユニットのグループのメンバに、課のグループを追加する。ユニット追加以前の課追加の際にも同様の処理を実施しておくことにより、部のグループは課のグループのメンバとして登録されているため、部のグループにはユニットの管理権限を持つ課のグループの権限が継承され、ユニットから課及び部に対して管理権限を委譲できるようになる。

以上に説明したように、本実施の形態による管理権限設定システムにおいては、（１）上位階層のユーザに所属変更が発生した場合も、ＯＵに対する管理者権限の変更が必要なく、ディレクトリサービス上での変更作業終了後に速やかに下位組織に対するユーザ／グループの管理作業を開始することができる。（２）組織のユーザ／グループの管理を、管理権限を持つ管理者だけでなく、組織階層を遡る上位階層のユーザも実施させることができるという利点がある。従って、多くの組織であって頻繁に組織変更がなされる場合であっても、１人の管理者のみに負担をかけなくて良く、管理権限の付与に関する設定を詳細かつ容易に行うことができる。

尚、本発明は、本実施の形態による各ステップをコンピュータにより実行可能なプログラムの形態であっても良い。

本発明は、組織における管理権限付与システムとして利用可能である。

一般的なディレクトリサービスでのユーザ管理例を示した図である。 企業の組織階層をディレクトリサービスにより表現した一例を示す図である。 ユーザ情報の追加による問題を表す図である。 所属変更によってもＡＣＬの再設定を必要としない組織階層定義システムの一例を示す図である。 本発明の一実施の形態による管理権限設定システムの一構成例を示す図である。 組織階層定義部の表示例を示す図である。 組織階層を本実施の形態による管理権限設定システムにより定義した場合にディレクトリサービスの設定例を示した図である。 ユーザ／グループ管理権限を上位組織に遡らせるためのディレクトリサービスの設定例を示した図である。 組織階層定義部における処理の概略を示すフローチャート図である。 上述のようなユニットの追加に伴う処理の流れを示すフローチャート図である。

Claims (4)

1. ディレクトリサービスデータベースを備えたディレクトリサーバと、該ディレクトリサーバと通信する管理サーバと、を有し、ディレクトリサービスのユーザ情報を管理するための管理権限を設定する管理権限設定システムであって、
   前記管理サーバは、組織階層を定義する際に、前記ディレクトリサービスデータベースに、前記組織階層に対応した組織単位（ＯＵ）であって、前記管理権限を設定可能な階層の組織単位と該ＯＵに所属するグループとの組みが、ユーザ操作により又は自動的に生成されることを特徴とする管理権限設定システム。
2. さらに、前記組織階層と逆向きのグループ階層を前記ディレクトリサービスデータベースに登録する手段を有することを特徴とする請求項１に記載の管理権限設定システム。
3. ディレクトリサービスデータベースを備えたディレクトリサーバと、該ディレクトリサーバと通信する管理サーバと、を有し、ディレクトリサービスのユーザ情報を管理するための管理権限を設定する管理権限設定システムにおける管理権限設定方法であって、
   前記管理サーバが、
   組織階層を定義するステップであって、グループ／ユーザ情報をディレクトリサービスに登録するステップと、組織階層を表示するツリービューを表示画面に表示させるステップと、ツリービューに表示されている組織のいずれかを選択するステップと、
   選択した組織に所属する下位組織を定義する際に、定義された組織毎に、組織階層に対応した組織単位（ＯＵ）の階層とＯＵに所属するグループとを組みで作成するステップと、
   前記組織単位で前記管理権限を設定するステップと、
   を有する管理権限設定方法をコンピュータに実行させるためのプログラム。
4. さらに、
   前記管理サーバが、
   前記ツリービュー表示をさせた際に、該ツリービュー表示のうちの１つの組織を選択し、リストビューに選択した組織に属するユニットが表示された状態で、ユニットの追加を行うと、ユニットのＯＵとユニットのグループとの組が新たに作成され、選択した組織のＯＵの下にその上位の組織のグループを作成するステップと、
   該上位のグループに、下位のＯＵのＡＣＬを与えるステップと、下位のグループのメンバに上位のグループを追加するステップと、を有する管理権限設定方法をコンピュータに実行させるための請求項３に記載のプログラム。

Images