JP5029619B2 - アクセス権管理方法、アクセス権管理システムおよびアクセス権管理用プログラム - Google Patents

Description

本発明は、アクセス権管理方法、アクセス権管理システムおよびアクセス権管理用プログラムに関し、特に、アクセス権の矛盾を検証できる、アクセス権管理方法、アクセス権管理システムおよびアクセス権管理用プログラムに関する。

アクセス権（サブジェクト（ｓ）、オブジェクト（ｏ）、アクション（ａ）の組）を付与する条件文であるポリシー（ｓ，ｏ，ａそのものやグループを用いた条件文）から個々のアクセス権を導出するアクセス制御システムでは、ポリシーからでは発見できないようなアクセス権の矛盾を生じる場合がある。そのような矛盾を検出・抽出するための方法として、人手または何らかのシミュレーションツールを用いて、ポリシーに基づくすべてのアクセス権の組み合わせを列挙することで、矛盾するアクセス権を検出・抽出する方法が考えられる。

しかし、上記の方法では、すべてのアクセス権の組み合わせを検査するため、処理に多大な時間が必要であり、現実的ではない。また、一部でもポリシーの変更が起る度に、すべてのアクセス権の組み合わせを再び最初から検査しなおす必要があり、非効率的である。そこで、それらの問題点を改善するためのアクセス権管理システムが考案されている（特許文献１参照）。

特許文献１に記載されているアクセス権管理システムは、客体階級データベースと、主体階級データベースと、アクセス権制御規則データベースと、伝播規則データベースと、リクエスト受付部と、アクセス許可判断部と、階級情報変換手段と、矛盾ルール検出手段と、矛盾部分抽出手段とから構成されている。特許文献１に記載されているアクセス権管理システムは、ロール（サブジェクトやオブジェクトのグループ）の伝播規則を前提とすることによって、ロールを用いて記述されたポリシーから導出されるアクセス権の矛盾を検出・抽出する。

また、特許文献１に記載されているアクセス権管理システムの伝播規則では、サブジェクト（主体）やオブジェクト（客体）を組織などの構成に合わせて単一のツリーで表現した際、ノードの深さをそれぞれのロールとしている。したがって、上位（ルート側）のロールへのアクセス拒否は下位（リーフ側）のロールに伝播し、下位のロールへのアクセス許可は上位のロールに伝播する。このロールを用いて記述されたポリシーから導出されるアクセス権が、伝播の結果、あるサブジェクトやオブジェクトにおいて相反する場合、矛盾として検出・抽出される。すなわち、単一のツリーで表現できるサブジェクトやオブジェクトのアクセス権について、あるロールの伝播規則が及ぶ範囲のみを検査することによって、検出・抽出にかかる処理時間を短縮できる。

さらに、特許文献１に記載されているアクセス権管理システムでは、ポリシーの変更が起った際に矛盾の発生するサブジェクトやオブジェクトの範囲を、変化のあったポリシーが用いているロールの影響下に限定することができる。そのため、変化が起る度にすべてのアクセス権を検査し直すよりも、効率的な検出・抽出を実行できる。
特開２００５−１８２４７８号公報（段落００３５、図１）

しかし、特許文献１に記載されているアクセス権管理システムでは、ＳｏＤ（Separation of Duty）制約のような、より複雑な関係について矛盾を検出・抽出できないという問題がある。その理由は、特許文献１に記載されているアクセス権管理システムでは、サブジェクトとオブジェクトの各組み合わせについて、それぞれ独立して矛盾の有無を判断しているからである。特許文献１に記載されているアクセス権管理システムでは、ある１つのサブジェクトとオブジェクトの組み合わせの中で相反する複数のアクセス権が導出されない限り矛盾とみなされない。すなわち、ＳｏＤ制約のように、他のサブジェクトやオブジェクトのアクセス権の導出状況など、複数のサブジェクトやオブジェクトの関係によって矛盾の有無を判断できない。

さらに、特許文献１に記載されているアクセス権管理システムでは、単一組織のロール伝播規則以外について、矛盾の検出・抽出を高速かつ効率的に処理できないという問題もある。その理由は、特許文献１に記載されているアクセス権管理システムでは、サブジェクトやオブジェクトの関係について、深さが１つずつ深くなる単一のツリーで表現できることを想定しているからである。したがって、より一般的な関係にあるサブジェクトやオブジェクトのグループ、例えば複数組織に基づく複数のツリーや複数のロールに跨る兼務のような、単一のツリー上の単一の深さで表現できないアクセス権の組み合わせを扱うことができない。その結果、人手やシミュレーションツールによって、すべてのアクセス権を列挙し、人が見て確認することで矛盾を検出・抽出しなければならない。

そこで、本発明は、複数のサブジェクトやオブジェクトの関係に基づき、ＳｏＤ制約のような、より複雑な関係についても矛盾を検出・抽出できるアクセス権管理方法、アクセス権管理システムおよびアクセス権管理用プログラムを提供することを目的とする。また、本発明は、単一組織のロール伝播規則に限らず、矛盾の検出・抽出を高速かつ効率的に処理できるアクセス権管理方法、アクセス権管理システムおよびアクセス権管理用プログラムを提供することを目的とする。

本発明によるアクセス権管理方法は、矛盾検証の基準となる制約が対象とするアクセス権の範囲にもとづいて、アクセス権定義を含むポリシーから導出されるアクセス権に対して制約を特定する属性（例えば、制約ＩＤ）を付与してルール記憶手段に格納し、ルール記憶手段に格納されているアクセス権同士を対象として、アクセス権を構成する値を用いた点（例えば、ルールに対応する座標値）の座標空間上の位置関係を比較することによってアクセス権の矛盾を検証する、ことを特徴とする。

本発明によるアクセス権管理方法は、例えば、座標空間上で、制約を特定する属性が付与された点のみを比較対象にするように構成されている。

本発明によるアクセス権管理方法は、生成したルールにおける制約から導出されたアクセス権と一致する他のルールがある場合に、導出されたアクセス権が単一であるときには、アクセス権の矛盾が生じていると判定するように構成されていてもよい。

本発明によるアクセス権管理方法は、例えば、複数のサブジェクトやオブジェクトの関係に基づくＳｏＤ制約におけるアクセス権の矛盾を検証する。

本発明によるアクセス権管理システムは、アクセス権定義を含むポリシーから導出されるアクセス権に対して制約を特定する属性を付与してルール記憶手段に格納し、ルール記憶手段に格納されているアクセス権同士を対象として、アクセス権を構成する値を用いた3点の座標空間上の位置関係を比較することによってアクセス権の矛盾を検証するルール比較手段を備えたことを特徴とする。

ルール比較手段は、例えば、座標空間上で、制約を特定する属性が付与された点のみを比較する。

ルール比較手段は、生成したルールにおける制約から導出されたアクセス権と一致する他のルールがある場合に、導出されたアクセス権が単一であるときには、アクセス権の矛盾が生じていると判定するように構成されていてもよい。

ルール比較手段は、例えば、複数のサブジェクトやオブジェクトの関係に基づくＳｏＤ制約におけるアクセス権の矛盾を検証する。

本発明によるアクセス権管理用プログラムは、アクセス権の矛盾を検証するアクセス権管理システムにおけるコンピュータに、矛盾検証の基準となる制約が対象とするアクセス権の範囲にもとづいて、アクセス権定義を含むポリシーから導出されるアクセス権に対して制約を特定する属性を付与してルール記憶手段に格納する処理と、ルール記憶手段に格納されているアクセス権同士を対象として、アクセス権を構成する値を用いた点の座標空間上の位置関係を比較することによってアクセス権の矛盾を検証する処理とを実行させることを特徴とする。

本発明によれば、ＳｏＤ制約のような、より複雑な関係についても矛盾を検出・抽出できる。また、本発明によれば、単一組織のロール伝播規則に限らず、矛盾の検出・抽出を高速かつ効率的に処理できる。さらに、本発明によれば、ポリシーに変更があった際にも、すべてのアクセス権を列挙して再検査することなく、効率的に矛盾を検出・抽出できる。

本発明によるアクセス権管理システムの一構成例を示したシステム構成図である。 アクセス権管理システムの動作を示すフローチャートである。 ポリシー編集手段における動作を示すフローチャートである。 制約編集手段における動作を示すフローチャートである。 ルール比較手段における動作を示すフローチャートである。 矛盾結果参照手段における動作を示すフローチャートである。

符号の説明

１００ 矛盾検証装置
２００ ポリシー管理装置
３００ 制約管理装置
１０１ ルール比較手段
１０２ ルール格納手段
１０３ 矛盾結果参照手段
１０４ 矛盾結果格納手段
２０１ ポリシー編集手段
２０２ ポリシー格納手段
３０１ 制約編集手段
３０２ 制約格納手段

以下、本発明の実施の形態を図面を参照して説明する。まず、本実施の形態で用いる用語について説明する。

本実施の形態における「アクセス権」は、特定のサブジェクト（ｓ）、オブジェクト（ｏ）およびアクション（ａ）の組を意味する。「アクセス権定義」は、アクセス権そのもの、または、ｓ，ｏ，ａの列挙・グループ・範囲指定などにより１つ以上のアクセス権を表現する正規表現や条件文である。

「ポリシー」は、アクセス権を付与する条件文である。「ポリシー」には、ポリシー群中での固有の「ポリシーＩＤ」と、アクセス権定義とが含まれる。

「ルール」は、アクセス権と、当該ルールの導出元となったポリシーのポリシーＩＤとを含む。あるポリシーを解釈・展開することによって、１つ以上のルールが導出される。したがって、ルールに含まれるポリシーＩＤから、そのルールの導出元のポリシーを特定することができる。

「制約」は、アクセス権の矛盾を検証する基準を指定するものである。「制約」には、制約群中での固有の「制約ＩＤ」と、制約の処理の種類を示す文字列である「制約名」と、１つ以上の「制約ドメイン」それぞれを定義する１つ以上のアクセス権定義とが含まれる。なお、「制約ドメイン」は、制約の対象として単位となるアクセス権集合（矛盾検証の基準となる制約が対象とするアクセス権の範囲）である。ある制約に対して、１つ以上の制約ドメインが存在する。例えば、２つのアクセス権集合の両立を禁止するようなＳｏＤ制約であれば、２つの制約ドメインが存在する。

「制約付ルール」は、制約を特定する属性が付与されたルールである。「制約付ルール」には、ルールと、そのルールが対象となる制約の制約ＩＤとが含まれる。したがって、制約付ルールに含まれるポリシーＩＤから、その制約付ルールの導出元のポリシーを特定することができる。また、制約付ルールに含まれる制約ＩＤから、その制約付ルールの対象となる制約を特定することができる。

なお、本実施の形態では、制約付ルールは、座標軸として少なくともｓ，ｏ，ａを持つ多次元空間上に、制約付ルールに含まれるｓ，ｏ，ａの値それぞれを座標値に用いてプロットした、点として表現される。制約付ルールを多次元空間上の点として表現する場合、その点の座標は、多次元行列で表現される１つの要素である。したがって、複数の制約付ルールを、座標上の位置または行列演算を用いて比較することができる。

「矛盾結果」は、ルールと制約との比較の結果、制約に違反していると判定した際に出力される情報である。矛盾結果には、違反した制約の制約ＩＤと、違反しているルールの導出元のポリシーにおけるポリシーＩＤと、違反しているアクセス権とが含まれる。したがって、矛盾結果に含まれる制約ＩＤから、その矛盾結果の判断基準になった制約を特定することができる。また、矛盾結果に含まれるポリシーＩＤから、その矛盾結果で制約違反とされたポリシーを特定することができる。

次に、本発明によるアクセス権管理システムを図面を参照して説明する。図１は、本発明によるアクセス権管理システムの一構成例を示したシステム構成図である。図１に示されているように、アクセス権管理システムは、矛盾検証装置１００と、ポリシー管理装置２００と、制約管理装置３００とを備える。アクセス権管理システムは、例えばコンピュータシステムで実現される。なお、矛盾検証装置１００と、ポリシー管理装置２００と、制約管理装置３００とは、それぞれ別個のコンピュータシステムで構築されていてもよいし、一部または全部が同一のコンピュータシステムで実現されていてもよい。

矛盾検証装置１００は、ルール比較手段１０１と、ルール格納手段１０２と、矛盾結果参照手段１０３と、矛盾結果格納手段１０４とを含む。また、ポリシー管理装置２００は、ポリシー編集手段２０１と、ポリシー格納手段２０２とを含む。そして、制約管理装置３００は、制約編集手段３０１と、制約格納手段３０２とを含む。

なお、ルール比較手段１０１および矛盾結果参照手段１０３は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、ポリシー管理装置２００および制約管理装置３００と通信を行なうための通信インタフェースとによって実現される。また、ポリシー編集手段２０１および制約編集手段３０１は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体とによって実現される。さらに、ルール格納手段１０２、矛盾結果格納手段１０４、ポリシー格納手段２０２、および制約格納手段３０２は、具体的には、ＲＡＭやハードディスク等の記憶媒体によって実現される。

ルール比較手段１０１は、制約格納手段３０２から制約を、ポリシー格納手段２０２からポリシーを読込み、ポリシーを展開したルールと制約とを比較する。また、ルール比較手段１０１は、ルール同士の比較が必要な制約については制約付ルールを生成してルール格納手段１０２に格納し、制約に違反しているルールがあれば矛盾結果格納手段１０４に矛盾結果を格納する。ルール比較手段１０１は、違反可否判定手段、属性付与手段、アクセス権矛盾判定手段、および制約識別手段を実現している。

ルール格納手段１０２は、ルール比較手段１０１が生成した制約付ルールを格納する。

矛盾結果参照手段１０３は、矛盾結果格納手段１０４から矛盾結果を読み込み、その矛盾結果に記載された制約ＩＤを用いて制約格納手段３０２から該当する制約を検索・取得する。また、矛盾結果参照手段１０３は、矛盾結果格納手段１０４から読み出した矛盾結果に記載されたポリシーＩＤを用いて、該当するポリシーを検索・取得する機能を有している。そして、矛盾結果参照手段１０３は、矛盾結果に記載されたアクセス権と、取得した制約と、取得したポリシーとに基づいて、矛盾結果表示用のユーザ・インターフェイス（以下、ＵＩと略記する）を生成・表示する。

矛盾結果格納手段１０４は、ルール比較手段１０１が生成した矛盾結果を格納する。

ポリシー編集手段２０１は、ポリシー編集用のＵＩを生成・表示することにより、ポリシーの編集方法をユーザに提供する機能を有している。具体的には、ポリシー編集手段２０１は、編集方法として、Ｗｅｂインターフェイスなどを用いてポリシーの入力フォームを提供したり、ポリシーというデータを直接編集するテキストやバイナリのエディタ等を提供する。なお、ポリシー編集手段２０１は、ユーザの作業を代替・自動化するような別のシステムや装置等にポリシーの編集方法を提供してもよい。ポリシー編集手段２０１は、編集内容を取得してポリシーを生成し、ポリシー格納手段２０２に格納する。

ポリシー格納手段２０２は、ポリシー編集手段２０１が生成したポリシーを格納する。

制約編集手段３０１は、制約編集用のＵＩを生成・表示することにより、制約の編集方法をユーザに提供する機能を有している。制約編集手段３０１は、編集内容を取得して制約を生成し、制約格納手段３０２に格納する。

なお、ルール比較手段１０１、矛盾結果参照手段１０３、ポリシー編集手段２０１、および制約編集手段３０１を実現するＣＰＵは、共通のＣＰＵであってもよい。

次に、本実施の形態におけるアクセス権管理システムの動作を説明する。図２は、本発明によるアクセス権管理システム全体の動作を示すフローチャートである。図２に示されているように、まず、ポリシー編集手段２０１は、ユーザが所望するアクセス権設定に応じて、ポリシーを生成する（ステップＳ１００）。具体的には、ポリシー編集手段２０１は、ポリシー編集用のＵＩを生成・表示することにより、ポリシーの編集方法をユーザに提供する。そして、編集内容を取得することによって、ポリシーを生成する。

次に、制約編集手段３０１は、矛盾がないかを検証したい制約の内容に応じて、制約を生成する（ステップＳ２００）。具体的には、制約編集手段３０１は、制約編集用のＵＩを生成・表示することにより、制約の編集方法をユーザに提供する。そして、編集内容を取得することによって、制約を生成する。

なお、制約の内容と制約との対応はあらかじめ決められている。後述する「ルール同士の比較が必要なルール」は、特定の制約名を持つルールに相当する。

ルール比較手段１０１は、ポリシーに矛盾がないかを制約に基づいて検証し、矛盾があれば矛盾結果として出力する（ステップＳ３００）。具体的には、ルール比較手段１０１は、ポリシー管理装置２０から取得したポリシーと制約管理装置３０から取得した制約とを、それぞれアクセス権に分解して比較することによって、制約の対象となるアクセス権を決定する。さらに、制約に基づくアクセス権の矛盾の有無を判別して矛盾結果を出力する。出力された矛盾結果は、矛盾結果格納手段１０４に格納される。

矛盾結果参照手段１０３は、矛盾結果に記載された、制約に違反しているアクセス権について、そのアクセス権の導出元であるポリシーと、該当する制約とを特定し、矛盾結果表示用のＵＩを生成・表示する（ステップＳ４００）。具体的には、矛盾結果参照手段１０３は、矛盾結果格納手段１０４から取得した矛盾結果に記載されているポリシーＩＤを用いて、ポリシー管理装置２０から該当するポリシーを検索・取得する。矛盾結果参照手段１０３は、矛盾結果に記載されている制約ＩＤを用いて、制約管理装置３０から該当する制約を検索・取得する。矛盾結果参照手段１０３は、取得した矛盾結果と、ポリシーと、制約とに基づいて矛盾結果表示用のＵＩを生成・表示する。

次に、図２の各ステップにおける処理をさらに詳細に説明する。まず、ポリシー編集手段２０１が行うポリシー編集処理（ステップＳ１００における処理）を説明する。図３は、ポリシー編集処理における動作を示すフローチャートである。

図３に示されているように、ポリシー編集手段２０１は、まず、ポリシーの編集を行うためのＵＩを生成してユーザに対して編集方法を表示することによってユーザに提供する（ステップＳ１０１）。例えば、ポリシー編集手段２０１は、Ｗｅｂインターフェース等を用いて、ポリシーの入力フォームをユーザに提供する。

次に、ポリシー編集手段２０１は、生成したＵＩを利用してユーザが行った編集内容を取得する（ステップＳ１０２）。例えば、ポリシー編集手段２０１は、ユーザが入力フォームに入力・選択した値を、あらかじめ定められた文法に沿って並べ、ポリシーを生成する。ポリシー編集手段２０１は、取得した編集内容を用いてポリシーを生成し、ポリシー格納手段２０２に格納する（ステップＳ１０３）。

次に、制約編集手段３０１が行う制約編集処理（ステップＳ２００における処理）について説明する。図４は、制約編集処理における動作を示すフローチャートである。図４に示されているように、制約編集手段３０１は、まず、制約の編集を行うためのＵＩを生成してユーザに対して編集方法を表示することによってユーザに提供する（ステップＳ２０１）。また、制約編集手段３０１は、生成したＵＩを利用してユーザが行った編集内容を取得する（ステップＳ２０２）。制約編集手段３０１は、取得した編集内容を用いて制約を生成し、制約格納手段３０２に格納する（ステップＳ２０３）。

次に、ルール比較手段１０１が行うルール比較処理（ステップＳ３００における処理）について説明する。図５は、ルール比較処理における動作を示すフローチャートである。図５に示されているように、ルール比較手段１０１は、まず、制約格納手段３０２から制約を取得する（ステップＳ３０１）。例えば、ルール比較手段１０１は、制約格納手段３０２に格納されているすべての制約を読み出す。なお、制約格納手段３０２に格納されている制約が多量の場合、ルール比較手段１０１は、制約１つを読み込んでポリシーと比較するという処理を、制約の数だけ繰り返すように構成されていてもよい。

制約格納手段３０２から制約を取得すると、ルール比較手段１０１は、ポリシー格納手段２０２に未検査のポリシーが存在するかどうかの問い合わせを行う（ステップＳ３０２）。ポリシー格納手段２０２に未検査のポリシーが無ければ、ルール比較手段１０１は処理を終了する（ステップＳ３０２：Ｎ）。

ポリシー格納手段２０２に未検証のポリシーがあれば（ステップＳ３０２：Ｙ）、ルール比較手段１０１は、そのポリシーを読み込んでアクセス権に分解し、さらに、そのポリシーのポリシーＩＤを付与してルールを生成する（ステップＳ３０３）。

ルール比較手段１０１は、生成したルールに記載されているアクセス権を、制約に記載されたアクセス権定義から導出されるアクセス権と比較する（ステップＳ３０４）。そして、ルール比較手段１０１は、制約から導出されたアクセス権と一致するアクセス権を持つ他のルールの有無を判定し、アクセス権が一致するルールを抽出する（ステップＳ３０５）。アクセス権が一致するルールが無ければ、ルール比較手段１０１はステップＳ３０２における処理に戻る（ステップＳ３０５：Ｎ）。

アクセス権が一致するルールがある場合（ステップＳ３０５：Ｙ）、ルール比較手段１０１は、制約の種類を確認し、制約から導出されたアクセス権と一致するアクセス権を持つルール（ステップＳ３０５の処理で抽出されたルール）のうち、制約違反の判定においてルール同士の比較が必要なルールであるかどうかを判定する（ステップＳ３０６）。具体的には、ルール比較手段１０１は、ルール同士の比較が必要なルールを抽出する。ルール同士を比較する必要がない、単一のアクセス権に対して独立して判定される（すなわち、制約と一致する時点で制約違反といえる）制約に違反したルールであれば（ステップＳ３０６：Ｎ）、ルール比較手段１０１は、ステップＳ３１１における処理に移行して矛盾結果を生成する。

ルール同士の比較が必要なルールであると判定した場合（ステップＳ３０６：Ｙ）、ルール比較手段１０１は、制約に記載された制約ＩＤと、その制約の対象となるルールとから、制約付ルールを新規に生成し、ルール格納手段１０２に格納する（ステップＳ３０７）。

ルール比較手段１０１は、以前に格納された既存の制約付ルールに記載されている制約ＩＤをルール格納手段１０２から取得し、新規に生成された制約付ルールに記載されている制約ＩＤと比較する（ステップＳ３０８）。ルール比較手段１０１は、新規に生成された制約付ルールに記載された制約ＩＤについて、一致する制約ＩＤが記載された既存の制約付ルールが存在するかどうかを判別し（ステップＳ３０９）、制約ＩＤが一致する既存の制約付ルールが無ければ、ルール比較手段１０１は、新規に生成された制約付ルールの導出元のルールは制約違反ではないと判断し、ステップＳ３０２における処理に戻る（ステップＳ３０９：Ｎ）。

制約ＩＤが一致する既存の制約付ルールが存在する場合、ルール比較手段１０１は、新規に生成された制約付ルールと、制約ＩＤが一致する既存の制約付ルールとについて、ルール格納手段１０２からアクセス権を取得し、一致する制約ＩＤを持つ制約の内容に対する違反の有無を判別する（ステップＳ３１０）。違反していなければ（ステップＳ３１０：Ｎ）、ルール比較手段１０１は、新規に生成された制約付ルールおよび既存の制約付ルールのルール群は制約違反ではないと判断し、ステップＳ３０２における処理に戻る。

なお、制約の内容に対する違反とは、例えば、ＳｏＤ制約のような複数（２つとする）のアクセス権定義を含む制約があって、同じ１つのサブジェクトｓがそのアクセス権定義の両方に該当することである。

ルール群が制約に違反していた場合（ステップＳ３１０：Ｙ）、ルール比較手段１０１は、その制約の制約ＩＤと、ルールに記載されたアクセス権と、ポリシーＩＤとを用いて、矛盾結果を生成する。ルール比較手段１０１は、生成した矛盾結果を矛盾結果格納手段１０４に格納して、ステップＳ３０２における処理に戻る（ステップＳ３１１）。

なお、アクセス権の矛盾を検証する際、ルール比較手段１０１は、ポリシーから導出されるルールを、アクセス権（ｓ，ｏ，ａの組）を多次元座標空間上の点として扱う。例えばステップＳ３１０における処理を実行する際、ルール比較手段１０１は、制約の影響下にある点（ルール）に制約を示す属性（制約ＩＤ）を付与し、その属性付きの点（制約付ルール）におけるサブジェクト（例えばｓ）が一致するかどうかを判定する。そのような方法によれば、アクセス権の関係を座標空間上の位置関係として比較できるので、ＳｏＤ制約のような複数のサブジェクトやオブジェクトの関係に基づく複雑な関係についても、容易に矛盾の検出・抽出を行うことができる。なお、ルール比較手段１０１は、座標空間上の点を比較する際に、その点の座標値に対する行列演算を用いて比較してもよい。

次に、矛盾結果参照手段１０３が行う矛盾結果参照処理（ステップＳ４００における処理）について説明する。図６は、矛盾結果参照処理における動作を示すフローチャートである。

図６に示されているように、矛盾結果参照手段１０３は、まず、矛盾結果格納手段１０４から、矛盾結果を取得する（ステップＳ４０１）。矛盾結果参照手段１０３は、取得した矛盾結果に記載されている制約ＩＤを用いて、制約格納手段３０２から、その制約ＩＤに該当する制約を検索し、取得する（ステップＳ４０２）。

制約格納手段３０２から制約を取得すると、矛盾結果参照手段１０３は、取得した矛盾結果に記載されているポリシーＩＤを用いて、ポリシー格納手段２０２から、そのポリシーＩＤに該当するポリシーを検索し、取得する（ステップＳ４０３）。矛盾結果参照手段１０３は、取得した矛盾結果に対して、取得した制約と取得したポリシーとに詳細な情報を付与し、矛盾結果表示用のＵＩを生成してユーザに対して表示する（ステップＳ４０４）。例えば、矛盾結果参照手段１０３は、取得した制約とポリシーの内容から、必要な部分を取り出してテーブルとして表示したり、単純に併記して表示したりする。

以上のように、本実施の形態におけるアクセス権管理システムは、制約の対象となるアクセス権のうち、単一のアクセス権では矛盾の有無を判定できないものについて、制約付ルールとしてルール格納手段１０２に格納する。そして、ルール比較手段１０１が複数の制約付ルールに含まれるアクセス権同士を比較するように構成されているため、例えばＳｏＤ制約のような複数のサブジェクトやオブジェクトの関係に基づく複雑な関係についても、矛盾の検出・抽出を行うことができる。

具体的には、本実施の形態におけるアクセス権管理システムのように、ポリシーから導出されるルールをアクセス権（ｓ，ｏ，ａの組）を用いた点として座標空間上にプロットし、制約の影響下にある点には制約を示す属性を付与すれば、ＳｏＤ制約のような、より複雑な関係についても矛盾を検出・抽出できる。すなわち、アクセス権の関係を座標空間上の位置関係として比較することで、ＳｏＤ制約のような複数のサブジェクトやオブジェクトの関係に基づく複雑な関係についても、容易に矛盾の検出・抽出を行うことができる。

また、本実施の形態におけるルール比較手段１０１は、さらに、矛盾の検出・抽出に必要なアクセス権の比較処理を、ルール格納手段１０２に格納された同じ制約ＩＤを持つルールのみに限定しているので、ポリシーの変更があった際も、そのポリシーが制約の影響下にあるときのみ比較すればよく、比較対象となるアクセス権も該当する制約に関わるもののみを検査すればよいことになる。すなわち、本発明によるアクセス権管理システムは、単一組織のロール伝播規則に限らず、すべてのアクセス権を列挙して再検査することなく、効率的に矛盾を検出・抽出することできる。

換言すれば、矛盾の検出・抽出に必要なアクセス権の比較処理を、座標空間上で行い、制約を示す属性の付与された点のみに限定するため、単一組織のロール伝播規則に限らず、矛盾の検出・抽出を高速かつ効率的に処理できる。そうすることで、比較処理は単に座標同士の比較でよくなり、制約と無関係な点については比較処理を省くことができる。

本発明は、アクセス権の矛盾の検証に適用できる。特に、本発明は、ＳｏＤ制約のような、複数のサブジェクトやオブジェクトの関係に基づく制約を対象としてアクセス権の矛盾検証を行うアクセス権管理システムに好適に適用できる。

Claims (3)

1. コンピュータにより実行されるアクセス権管理方法であって、前記コンピュータが、
   ポリシーから生成されるルールのアクセス権と制約のアクセス権とを比較し、
   ルール同士の比較が必要な制約の対象となるルールがあった場合、制約を特定する属性である制約ＩＤを当該ルールに付与して新規制約付ルールとして格納し、
   既に制約付ルールとして格納されたものの中に、当該新規制約付ルールと制約ＩＤが一致するルールがあるかどうかを判断し、
   一致するルールがあれば、当該一致するルールと、当該新規制約付ルールとが、当該制約ＩＤに対応する制約に違反するかどうかを判断する
   アクセス権管理方法。
2. ポリシーから生成されるルールのアクセス権と制約のアクセス権とを比較するルール比較手段と、
   ルール同士の比較が必要な制約の対象となるルールがあった場合、制約を特定する属性である制約ＩＤを当該ルールに付与して新規制約付ルールとして格納するルール格納手段とを備え、
   前記ルール比較手段は、
   既に制約付ルールとして格納されたものの中に、当該新規制約付ルールと制約ＩＤが一致するルールがあるかどうかを判断し、
   一致するルールがあれば、当該一致するルールと、当該新規制約付ルールとが、当該制約ＩＤに対応する制約に違反するかどうかを判断するアクセス権管理システム。
3. ポリシーから生成されるルールのアクセス権と制約のアクセス権とを比較し、
   ルール同士の比較が必要な制約の対象となるルールがあった場合、制約を特定する属性である制約ＩＤを当該ルールに付与して新規制約付ルールとして格納し、
   既に制約付ルールとして格納されたものの中に、当該新規制約付ルールと制約ＩＤが一致するルールがあるかどうかを判断し、
   一致するルールがあれば、当該一致するルールと、当該新規制約付ルールとが、当該制約ＩＤに対応する制約に違反するかどうかを判断する処理をコンピュータに実行させるためのプログラム。

Images