JP5100356B2 - ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム - Google Patents
ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム Download PDFInfo
- Publication number
- JP5100356B2 JP5100356B2 JP2007326202A JP2007326202A JP5100356B2 JP 5100356 B2 JP5100356 B2 JP 5100356B2 JP 2007326202 A JP2007326202 A JP 2007326202A JP 2007326202 A JP2007326202 A JP 2007326202A JP 5100356 B2 JP5100356 B2 JP 5100356B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- policy
- authentication
- authentication server
- server device
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Description
Tim Moses、"OASIS eXtensible Access Control Markup Language (XACML) Version 2.0 "、OASIS Standard, 1 February 2005, [online]、 [2007年5月17日検索]、インターネット<URL:http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-core-spec-os.pdf
第1の課題は、アクセス制御ポリシを暗号化等の処理により保護すると、複数のシステム間でアクセス制御ポリシを共有する状況下では、システム数が多くなった場合に、鍵管理の煩雑さによる管理負担が増大することである。また、鍵が漏洩した場合には、アクセス制御ポリシに記述されたセンシティブな権限情報が漏えいしてしまう。
第2の課題は、ユーザを隠蔽したグループやロールなどの権限情報は、管理コストを低減する観点から、各アクセス主体が持つ権限範囲の共通項が大きいときに適しており、各アクセス主体が持つ権限を同値化できないとき又は同値化できる数が少ないときには適さないと考えられることである。このため、アクセス制御ポリシの適用状況によっては、個別のアクセス主体の単位でアクセスを制御したい場合、アクセス制御ポリシにセンシティブな情報を記載せざるを得ず、情報漏えいのリスクを潜在的に抱え込むことになる。
第3の課題は、アクセス制御ポリシ生成者が、アクセス主体に関する情報(ID情報)を管理する必要があることである。これは単一の管理ドメインの場合には問題ない。一方、複数の管理ドメイン(例えば、異なる企業組織間)の場合には、相手管理ドメインのアクセス主体の情報を管理する必要があるので、アクセス主体の情報に関する保護管理と情報の整合性維持に対するコストが大きくなると考えられる。
第1乃至第3の発明によれば、アクセス制御ポリシ内のアクセス主体情報が身元情報を含まないので、アクセス制御ポリシ内のアクセス主体の記述を暗号化せずにアクセス主体の情報を保護できる。
図1は本発明の一実施形態に係る認証サーバ装置、ポリシ生成装置及びポリシ評価装置を適用したアクセス制御システムの構成を示す模式図である。このアクセス制御システムは、認証サーバ装置100、ポリシ生成装置200及びポリシ評価装置300がネットワークNwを介して接続された構成である。これら各装置200,200,300は、装置毎に、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は記憶媒体から対応する装置のコンピュータにインストールされ、対応する装置の機能を実現させるためのプログラムが用いられる。
[ステップST1] ポリシ生成装置200では、ポリシ設定者の操作により、ユーザインタフェース部207が身元情報一覧取得要求を身元情報取得部203に入力する。
以下の説明では、ステップST9で格納した連携情報が維持されており、また任意の手段によってポリシ評価の動作が開始することを前提としている。例えば、ポリシ評価装置300では、利用者がポリシ評価を伴うアクセス要求を入力するようにユーザインタフェース部308を操作することにより、次のステップST21の動作が開始される。
Claims (6)
- アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置であって、
前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段と、
前記認証サーバ装置から受信した身元情報を一覧表示する手段と、
前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段と、
前記選択された身元情報を含まない識別情報を算出する手段と、
前記算出した識別情報を含み、前記選択された身元情報を含まない新たなID情報を作成し、当該新たなID情報を記憶手段に書き込む手段と、
前記選択された身元情報と前記新たなID情報との連携要求を前記認証サーバ装置に送信する手段と、
前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段と、
前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなID情報を更新する手段と、
前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段と、
前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段と、
を備えたことを特徴とするポリシ生成装置。 - アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置であって、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段と、
前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を記憶手段に書き込む手段と、
前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段と、
前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、認証要素情報を前記認証サーバ装置に送信する手段と、
前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段と、
前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段と、
前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段と、
を備えたことを特徴とするポリシ評価装置。 - ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置であって、
アクセス主体者の身元情報及び認証要素情報を含むID情報を記憶する記憶手段と、
前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段と、
前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなID情報との連携要求を前記ポリシ生成装置から受信する手段と、
前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段と、
前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のID情報を更新する手段と、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段と、
前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段と、
前記ポリシ評価装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段と、
前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段と、
前記検索の結果、該当するID情報があるとき、このID情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段と、
を備えたことを特徴とする認証サーバ装置。 - アクセス主体者の身元情報を管理する認証サーバ装置に通信可能であり、いずれかの前記身元情報に対応するアクセス主体情報を含むアクセス制御ポリシを生成するためのポリシ生成装置のプログラムであって、
前記ポリシ生成装置を、
前記身元情報の一覧取得要求を前記認証サーバ装置に送信する手段、
前記認証サーバ装置から受信した身元情報を一覧表示する手段、
前記一覧表示された身元情報のうち、いずれかの身元情報を選択する手段、
前記選択された身元情報を含まない識別情報を算出する手段、
前記算出した識別情報を含み、前記選択された身元情報を含まない新たなID情報を作成し、当該新たなID情報を前記ポリシ生成装置の記憶手段に書き込む手段、
前記選択された身元情報と前記新たなID情報との連携要求を前記認証サーバ装置に送信する手段、
前記連携要求の送信に応じて、乱数情報からなる仮名情報を前記認証サーバ装置から受信する手段、
前記仮名情報と、前記認証サーバ装置の識別情報とを含む連携情報を含むように前記記憶手段内の新たなID情報を更新する手段、
前記連携情報内の仮名情報と、前記認証サーバ装置の識別情報とを含み、前記選択された身元情報を含まないアクセス主体情報を作成する手段、
前記作成したアクセス主体情報を含むアクセス制御ポリシを生成する手段、
として機能させるためのプログラム。 - アクセス主体者の身元情報及び認証要素情報と、乱数情報からなる仮名情報と、ポリシ生成装置の識別情報とを管理する認証サーバ装置に通信可能なポリシ評価装置のプログラムであって、
前記ポリシ評価装置を、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを取得する手段、
前記取得したアクセス制御ポリシのうち、前記仮名情報、前記認証サーバ装置の識別情報、及び前記ポリシ生成装置の識別情報を前記ポリシ評価装置の記憶手段に書き込む手段、
前記記憶手段内のポリシ生成装置の識別情報を含む認証要求を認証サーバ装置に送信する手段、
前記認証要求の送信後、前記認証サーバ装置から提示要求を受信すると、認証要素情報を前記認証サーバ装置に送信する手段、
前記認証要素情報の送信後、当該認証要素情報と前記ポリシ生成装置の識別情報とに対応する仮名情報を前記認証サーバ装置から受信する手段、
前記受信した仮名情報と、前記記憶手段内の仮名情報とを比較する手段、
前記比較の結果、両者が一致したとき、前記取得したアクセス制御ポリシを正当と評価する手段、
として機能させるためのプログラム。 - ポリシ生成装置及びポリシ評価装置に通信可能な認証サーバ装置のプログラムであって、
前記認証サーバ装置を、
アクセス主体者の身元情報及び認証要素情報を含むID情報を前記認証サーバ装置の記憶手段に書き込む手段、
前記身元情報の一覧取得要求を前記ポリシ生成装置から受信すると、前記記憶手段内の身元情報を前記ポリシ生成装置に送信する手段、
前記送信した身元情報のうち、前記ポリシ生成装置に選択された身元情報と、前記ポリシ生成装置内の当該身元情報を含まない新たなID情報との連携要求を前記ポリシ生成装置から受信する手段、
前記連携要求に応じて乱数情報からなる仮名情報を生成し、この仮名情報を前記ポリシ生成装置に送信する手段、
前記仮名情報と、前記ポリシ生成装置の識別情報とを含む連携情報を含むように、前記連携要求の身元情報に対応する前記記憶手段内のID情報を更新する手段、
前記身元情報及び認証要素情報を含まず、且つ前記仮名情報と前記認証サーバ装置の識別情報とを含むアクセス主体情報と、ポリシ生成装置の識別情報とを含むように前記ポリシ生成装置に生成されたアクセス制御ポリシを前記ポリシ評価装置が取得した場合、当該アクセス制御ポリシ内のポリシ生成装置の識別情報を含む認証要求を前記ポリシ評価装置から受信する手段、
前記認証要求に応じて、認証要素情報の提示要求を前記ポリシ評価装置に送信する手段、
前記ポリシ評価装置から受信した認証要素情報と、前記記憶手段内の認証要素情報とを比較し、両者が一致したとき、認証処理を成功と判定する認証手段、
前記認証処理を成功と判定した認証要素情報と、前記認証要求内のポリシ生成装置の識別情報とに基づいて、前記記憶手段を検索する手段、
前記検索の結果、該当するID情報があるとき、このID情報に含まれる連携情報内の仮名情報を前記ポリシ評価装置に送信する手段、
として機能させるためのプログラム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2007326202A JP5100356B2 (ja) | 2007-12-18 | 2007-12-18 | ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2007326202A JP5100356B2 (ja) | 2007-12-18 | 2007-12-18 | ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2009151361A JP2009151361A (ja) | 2009-07-09 |
JP5100356B2 true JP5100356B2 (ja) | 2012-12-19 |
Family
ID=40920486
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2007326202A Active JP5100356B2 (ja) | 2007-12-18 | 2007-12-18 | ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5100356B2 (ja) |
Family Cites Families (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP4679934B2 (ja) * | 2005-03-07 | 2011-05-11 | 株式会社Kddi研究所 | 識別情報生成管理装置およびシステムならびにプログラム |
JP2007148903A (ja) * | 2005-11-29 | 2007-06-14 | Toshiba Corp | 属性証明書処理システム、属性証明要求装置、属性証明書発行装置、属性検証装置、属性証明要求方法、属性証明書発行方法、属性検証方法及びプログラム |
-
2007
- 2007-12-18 JP JP2007326202A patent/JP5100356B2/ja active Active
Also Published As
Publication number | Publication date |
---|---|
JP2009151361A (ja) | 2009-07-09 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US7729995B1 (en) | Managing secured files in designated locations | |
JP4892093B1 (ja) | 認証連携システム及びidプロバイダ装置 | |
JP6166596B2 (ja) | 認可サーバーシステムおよびその制御方法、並びにプログラム | |
US9129120B2 (en) | Methods and systems for providing access control to secured data | |
US8635679B2 (en) | Networked identity framework | |
JP4951092B2 (ja) | アクセス制御プログラム及び装置 | |
JP2018537022A (ja) | デジタルアイデンティティを管理するためのシステム及び方法 | |
US20040103202A1 (en) | System and method for providing distributed access control to secured items | |
US8375424B2 (en) | Replicating selected secrets to local domain controllers | |
JP2004164600A (ja) | オンライン識別の同意ポリシーを適用する方法およびシステム | |
KR20170091138A (ko) | 정보 처리 장치, 정보 처리 장치의 제어 방법, 정보 처리 시스템, 및 저장 매체 | |
KR101143108B1 (ko) | 보안 정보를 디스플레이하고 관리하는 시스템 및 방법 | |
JP2009071435A (ja) | アカウント管理システム、基底アカウント管理装置、派生アカウント管理装置及びプログラム | |
WO2014049709A1 (ja) | ポリシ管理システム、idプロバイダシステム及びポリシ評価装置 | |
JP2008257492A (ja) | 認証処理プログラム、情報処理プログラム、認証処理装置、認証処理システムおよび情報処理システム | |
JP2010152734A (ja) | ライセンス管理装置及びライセンス管理プログラム | |
JP2008059063A (ja) | 情報管理プログラム | |
JP4879364B2 (ja) | 情報処理装置、情報処理方法、及びコンピュータプログラム | |
JP5362125B1 (ja) | ポリシ更新システム及びポリシ更新装置 | |
JP2004110335A (ja) | アクセス制御システム | |
JP4723930B2 (ja) | 複合的アクセス認可方法及び装置 | |
JP2003186747A (ja) | アクセス権管理システム、その管理方法及びそのプログラム | |
JP5100356B2 (ja) | ポリシ生成装置、ポリシ評価装置、認証サーバ装置及びプログラム | |
JP7332027B2 (ja) | ユーザ情報管理システム、ユーザ情報管理方法、ユーザエージェントおよびプログラム | |
JP2011138229A (ja) | 情報処理装置、情報処理方法、及びコンピュータプログラム |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20100319 |
|
RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20120529 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20120619 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20120620 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20120808 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20120828 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20120925 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20151005 Year of fee payment: 3 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 5100356 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |