JP5274114B2

JP5274114B2 - ドキュメント管理装置およびドキュメント管理方法並びにドキュメント管理システム

Info

Publication number: JP5274114B2
Application number: JP2008149364A
Authority: JP
Inventors: 康二猪瀬
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2008-06-06
Filing date: 2008-06-06
Publication date: 2013-08-28
Anticipated expiration: 2028-06-06
Also published as: US20090307745A1; JP2009295009A

Description

本発明は帳票などを作成する際にテンプレートにデータを入力し、そのデータに応じてドキュメント生成を行う、ドキュメント管理装置およびドキュメント管理方法並びにドキュメント管理システムに関するものである。

近年、ドキュメントの情報漏洩を防止するために、ドキュメントに対してアクセス権（閲覧権、編集権、印刷権など）を設定するアクセス権管理サーバが開発されている。

このサーバでは、ドキュメントに対して有効期限も設定することができる。設定された有効期限を過ぎると、いかなるアクセス権が設定されていようとも、そのアクセス権が無効になる。

ドキュメントに対するアクセス権管理サーバの一つとして、Ａｄｏｂｅ社のポリシーサーバ（ＬｉｖｅＣｙｃｌｅＥＳＲｉｇｈｔｓＭａｎａｇｅｍｅｎｔ（登録商標））が知られている。

このポリシーサーバは、ドキュメントの一種であるＰＤＦ（ＰｏｒｔａｂｌｅＤｏｃｕｍｅｎｔＦｏｒｍａｔ）ファイルのためのポリシーを発行し、適用させることで、上記のアクセス権設定、有効期限の設定を可能としている。

ところで、企業内システムはサーバレス、分散処理型に移行しつつある。

こうした状況下、多機能デバイスやＰＣを代表とする操作端末が、基幹業務に必要なドキュメント管理の多くを担うよう設計されたシステムも少なくない。

基幹業務におけるドキュメント管理といえば、請求書や見積書、伝票など帳票の生成などはその代表である。

帳票生成に必要なテンプレートの一種として例えば、ユーザが直接データ入力可能なフィールドを有するＡｄｏｂｅ社のＰＤＦフォームがある。

操作端末上でそれを表示しフィールド入力、例えば見積書に顧客氏名や担当者名を入力し、専用サーバ等で帳票を生成することなく操作端末上でオンデマンドで帳票を作成し、ユーザへ送信する状況が容易に想定される。

生成される帳票は、一般にその内容が特定のユーザに向けたものであることが多く、したがって適切にアクセス制限する必要がある。

操作端末上に適切なポリシーが存在すればそれを適用すればよいのだが、操作端末上にあるポリシーはテンプレートが有するポリシーのみである。

一般的に、オンデマンドで記載内容が変更されるテンプレートの性質からテンプレートに付与されるポリシーは任意のユーザが編集できる制限の小さいポリシーまたは、ポリシー自体が付与されていない。

したがって、テンプレートに付与されたポリシーをそのまま帳票に適用することは適切でない。

この課題を解決することを目的とした技術として、例えば特許文献１に示されるように、ドキュメントを変更すると、変更箇所を暗号化することにより、閲覧可能なユーザと閲覧範囲を制御する技術がある。

また、例えば特許文献２に示されるように、テンプレート上の特定のフィールドにデータを入力すると、そのデータの内容に応じて、テンプレートを元に生成される帳票へアクセス可能な端末を制御する技術がある。
特開２００３−６０２８号公報特開２００４−１７８３３４号公報

たとえば特許文献１に記載の技術を用いても、操作端末に保存されたドキュメントが多数ある場合、この多数のドキュメントに対して逐一システム管理者がアクセス制限をかけ（ポリシーを付与し）なければならない。これは、システム管理者にとって手間である。

また、たとえば特許文献２に記載の技術を用いると、フィールドに入力したデータに応じて操作端末上のドキュメントのアクセス権を制御する（ポリシーを付与する）のでシステム管理者の手間はない。

しかし、制御の対象は生成したドキュメントを閲覧や印刷することが可能な端末であり、任意の端末で閲覧、印刷することが想定される帳票などのドキュメントの制御には適さない。

上述した課題を解決するために、本発明におけるドキュメント管理装置は、ドキュメント管理装置と、ドキュメントに対してアクセス権であるポリシーを発行するポリシーサーバからなるドキュメント管理システムにおけるドキュメント管理装置であり、
前記ドキュメントに入力されたデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合し、該照合の結果より、前記データが入力されたドキュメントに対するアクセス権記述を決定するアクセス権記述決定手段、
該アクセス権記述決定手段にて決定されたアクセス権記述を用いてポリシーの発行を前記ポリシーサーバに依頼する依頼手段、前記ポリシーサーバから発行されたポリシーを前記データが入力されたドキュメントに適用させる適用手段を有することを特徴とする。

また、本発明におけるポリシーサーバは、ドキュメント管理装置と、ドキュメントに対してアクセス権であるポリシーを発行するポリシーサーバからなるドキュメント管理システムにおけるポリシーサーバであり、前記ドキュメント管理装置から前記ドキュメントに入力されたデータ及び該データが入力されたドキュメントを構成するテンプレート識別子とフィールド識別子に関するデータを受信する受信手段、該受信手段によって受信したデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合し、該照合の結果より、前記データが入力されたドキュメントに対するアクセス権記述を決定するアクセス権記述決定手段、該アクセス権記述決定手段にて決定されたアクセス権記述を用いてポリシーを前記ドキュメント管理装置へ発行する発行手段を有することを特徴とする。

本発明により、任意の端末で閲覧や印刷をすることが想定されるテンプレートにデータが入力されることにより生成されるドキュメントに対して適切なポリシーを適用することが可能となる。そのため、ポリシーが発行されたドキュメントを速やかに得ることができ、セキュリティ上の問題を発生させない。

また、テンプレートのフィールドに入力されるデータがユーザにより異なるようなオンデマンドで生成されるドキュメントに対して動的に、適切なポリシーに手間を掛けずに適用することが可能となる。

この際、テンプレートのあるフィールドと、別のフィールドに入力されるデータの組合せが何パターンもあることが想定できるが、様々なパターンの組合せがドキュメントに入力された場合でも、適切なポリシーを発行することができる。

したがって、システム管理者が個々のドキュメント内容を確認し、ポリシーを適用するといった手間を回避できる。

（実施例１）
以下では、本実施例において使用する言葉の定義を行う。

（１）アクセスする
「ドキュメントにアクセスする」とは、
・ユーザからの表示指示に応じてクライアントコンピュータがドキュメントを表示する、
・ユーザからの編集指示に応じてクライアントコンピュータがドキュメントを編集する、
・ユーザからの印刷指示に応じてクライアントコンピュータがドキュメントの印刷命令を印刷機に送る
ことを含む。
この表示指示、編集指示、印刷指示のことをアクセス指示という。

（２）アクセス権
「ドキュメントに対するアクセス権」とは、アクセス指示に応じた処理（ドキュメントに対する処理）をクライアントコンピュータに実行させるための権限である。
特定のユーザ又は任意のユーザからのアクセス指示に応じた処理（ドキュメントに対する処理）の実行がクライアントコンピュータに許可されている状態を、そのユーザは、そのドキュメントに対してアクセス権がある、という。
また、特定のユーザ又は任意のユーザのアクセス指示に応じた処理（ドキュメントに対する処理）の実行がクライアントコンピュータに禁止されている状態を、そのユーザは、そのドキュメントに対してアクセス権がない、という。
このアクセス権には、閲覧権と編集権と印刷権とが含まれる。

（３）アクセス権を設定する
「アクセス権を設定する」とは、
概念的には、特定のユーザ又はその任意のユーザに対して、特定のドキュメントに対してアクセス権を与えることを示す。
処理的には、アクセス権とユーザ情報（ユーザ、または任意のユーザを指定する情報）とを関連付けるファイルを作成して保存すると共に、そのファイルを特定のドキュメントに対して適用することを言う。

（４）ポリシー
「ポリシー」とは、
上記関連付けを示すファイルのこと。
従って、「ポリシーを作成して保存する」ということと、「そのポリシーをドキュメントに対して適用する」ということを合わせて「ドキュメントに対してアクセス権を設定する」ということを示す。

（５）ポリシーサーバ
「ポリシーサーバ」とは、
ポリシーを作成して保存するサーバ装置。あるドキュメントに対するポリシーを作成して保存することを、（あるドキュメントのための）ポリシーを発行するともいう。

（構成）
図１は、本発明を説明するのに最も適当な構成図である。

ネットワーク１０１、クライアントコンピュータ１０２、ポリシーサーバ１０３、アクセス権決定サーバ１０４を示す。

これらによってドキュメント管理システムが構成される。

このネットワーク１０１は、上述の各装置間での情報のやり取りのための通信回線として働く。例えば、ＴＣＰ／ＩＰプロトコルなどをサポートする通信回線網であり、有線、無線と回線を問わない。

クライアントコンピュータ１０２は、アクセス権制御部１０２１、ポリシー制御部１０２２、入力制御部１０２３、表示制御部１０２４からなるドキュメント管理装置である。

アクセス権制御部１０２１は、アクセス権決定サーバ１０４に対して、ユーザが特定したデータなどから具体的なアクセス権記述、例えばどのユーザがどのような操作が可能か、などの情報を問い合わせる。

ポリシー制御部１０２２は、例えばＡｄｏｂｅ社のＡｃｒｏｂａｔ（登録商標）などであり、アクセス権制御部１０２１にて取得したアクセス権記述をポリシーサーバ１０３に送信し、ポリシーの識別子を受信、ドキュメントに適用する。

入力制御部１０２３はユーザによるデータ入力やダイアログ操作により指示された処理を行う。表示制御部１０２４はデータ入力用のインターフェース、メッセージ、ダイアログなどを表示する。

アクセス権決定サーバ１０４はアクセス権決定部１０４１を有し、クライアントコンピュータ１０２から送信される情報に基づき具体的なアクセス権記述を決定し、クライアントコンピュータ１０２に送信する。

なお、アクセス権決定部１０４１の配置はクライアントコンピュータ１０２上でもよい。

その場合、クライアントコンピュータ１０２内でアクセス権制御部１０２１と協調しアクセス権記述を決定する。

また、アクセス権決定部１０４１の配置はポリシーサーバ１０３上でもよい。その場合、ポリシーサーバ１０３内でアクセス権記述に基づきポリシーを生成、同識別子をクライアントコンピュータ１０２に送信する。

しかしながら、本発明をわかりやすく説明するために以降では、図１に示す構成を前提とする。

（アクセス権記述を決定する処理）
図６、図７、図８、図９、図１１、図１２を用いて、クライアントコンピュータ１０２がポリシーサーバ１０３に対してポリシーの発行を依頼する際に必要な、アクセス権記述を決定する処理を説明する。

図６は、ユーザがクライアントコンピュータ１０２上にて、テンプレート中のフィールドにデータ入力操作を行う前のデータ入力画面である。

図７は、ユーザがクライアントコンピュータ１０２上にて、テンプレート中のフィールドにデータ入力操作を行った後のデータ入力画面である。

このようにして、テンプレート中のフィールドにデータが入力されることによって生成されたものをドキュメントと呼ぶ。

図８は、アクセス権記述を決定するための情報が登録されているテーブルである。
このテーブルは、アクセス権決定部１０４１に存在する。

また、このテーブルはシステムの管理者によって管理されるものであり、予めアクセス権決定部１０４１に保存されている。

８０１はテンプレートの種類、８０２はフィールド名、８０３はフィールドに入力されるデータについて記載されている。
これらのデータによって定義されているのがアクセス権記述８０４である。

この記述によって、あるテンプレートのフィールドにあるデータが入力された際のアクセス権の種類が定義つけられる。

つまり、あるテンプレートのフィールドにあるデータが入力された際のユーザの権限内容が表記されている。

例えば、見積書のフィールドである顧客名欄にｎｍＸ１、担当者欄にｎｍＹ１が入力されるとする。

すると、この入力されたデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合する。

この照合結果より、
ｎｍＸ１に対応する人物は閲覧可、ｎｍＹ１に対応する人物は印刷可といった具体的なアクセス権の種類が定義付けがされていることがわかる。

図９は、フィールドにデータ入力が完了し最終的にポリシーが適用され、生成されたドキュメントである。

図１１は、アクセス権制御部１０２１が主体となってアクセス権決定サーバ１０４に、具体的なアクセス権記述の決定を依頼する処理について説明するフローチャートである。

図１２は、アクセス権決定部１０４１にてアクセス権記述決定を行う処理について説明するフローチャートである。

図１１を用いて、アクセス権記述の決定を依頼する処理を説明する。

まず、Ｓ１１０１で処理を開始する。

次に、Ｓ１１０２では、表示制御部１０２４が図６に示すような表示を行い、ユーザからのデータ入力を待機する。

図６の６０１はユーザがデータを入力する画面を、６０２は生成するドキュメントのテンプレートをそれぞれ示す。

６０３および６０４はユーザによるデータの入力が可能であるフィールドであり、データが未確定な状態を表す。

図７は具体的に入力したデータが確定した状態を示した入力画面であり、７０１は６０１と同等、７０２は６０２と同等である。

また、７０３、７０４はそれぞれ６０３、６０４に対して具体的なデータが確定した状態を表し、データが確定するとＳ１１０３に移行する。

Ｓ１１０３では、データ入力用のインターフェースからユーザが入力したデータを、入力制御部１０２３が記録する。

Ｓ１１０４にて、ユーザが入力したデータ、６０２のテンプレートを特定するテンプレート識別子、データを入力したフィールドを特定するフィールド識別子を入力制御部１０２３が受信する。そして、これらの情報をアクセス権決定サーバ１０４に送信する。

アクセス権決定サーバ１０４にてアクセス権の内容を具体的に記述する、「アクセス権記述」を決定する処理は、図１２にて後述する（Ｓ１２０１〜Ｓ１２０５）として、Ｓ１１０５にてアクセス権の具体的な記述を受信する。

Ｓ１１０６にて、アクセス権制御部１０２１が受信したアクセス権記述をポリシー制御部１０２２に引き渡し、処理を終了する。

図１２を用いて、アクセス権決定サーバ１０４にてアクセス権記述を決定する処理について説明する。

まず、Ｓ１２０１で処理を開始する。
次に、Ｓ１２０２でユーザからのデータ入力を待機する。
Ｓ１２０３にて、クライアントコンピュータ１０２から、ユーザが入力したデータ、ドキュメントのテンプレートを特定するテンプレート識別子、データを入力したフィールドを特定するフィールド識別子を受信する。
Ｓ１２０４では、アクセス権決定部１０４１が、Ｓ１２０３にて受信した情報と、保存しているテーブルである図８の８０１、８０２、８０３を照合する。
保存するテーブルに合致する全てのデータと関連付いた８０４のアクセス権限記述に記載された定義が存在する場合、Ｓ１２０５でその定義をクライアントコンピュータ１０２に送信する。

例えば、テンプレートを特定する識別子として７０２に例示した“見積書”を受信し８０１と照合する。

そして、データとして７０３に例示した“ｎｍＸ１”およびフィールド識別子として“顧客名”を受信し、８０２および８０３と照合する。

ならびにデータとして７０４に例示した“ｎｍＹ１”およびフィールド識別子として“担当者”を受信し、８０２および８０３と照合する。

すると、８０１、８０２、８０３全てと合致するデータと関連付いた、８０４に示すアクセス権記述が存在する。すなわち『“顧客名”としてフィールドに内に入力された名前のユーザ“ｎｍＸ１”は閲覧可能、“担当者”としてフィールド内に入力された名前のユーザ“ｎｍＹ１”は印刷可能』という定義が存在する。

これを基に『“顧客名”である“ｎｍＸ１”氏は閲覧可能、”担当者“である“ｎｍＹ１”氏は印刷可能』あるいはこれと同等の意味の情報をクライアントコンピュータ１０２に送信する。

受信したクライアントコンピュータ１０２のアクセス権制御部１０２１は前述した通り、受信した情報をポリシー制御部１０２２に引き渡す。

つまり、テンプレートである見積書のフィールド部分の顧客名欄に“ｎｍＸ１”担当者欄に“ｎｍＹ１”と入力されることによって生成されたドキュメントに対して、適切なアクセス権記述を定義することが可能である。

この場合、テンプレートのフィールド部分の種類と、フィールドに入力されるデータの組合せは何通りもある。

この何通りもある組合せが入力されるドキュメントに対して、それぞれ詳細にアクセス権限記述を定義することによって、どんな組合せの入力があっても、それに適切に対応したポリシーの発行依頼が可能になる。

なお、アクセス権決定部１０４１を構成する、図８に示すアクセス権記述を決定するための情報は、テンプレートが保持してもよい。

その場合、クライアントコンピュータ１０２がアクセス権記述を決定する。

また、アクセス権決定部１０４１が、ポリシーサーバ１０３中にある場合、クライアントコンピュータにて入力されたデータをポリシーサーバ中のアクセス権決定部へ送信する。

そして、アクセス権決定部で決定されたアクセス権記述の定義に基づいてポリシーサーバがポリシーを発行する。

（アクセス権記述に基づきポリシーを発行する処理）
以上のようにして決定されたアクセス権に基づきポリシーを発行する処理について、説明する。

図２は、ポリシーサーバ１０３がポリシーを発行する際のフローチャート、図３はクライアントコンピュータ１０２がドキュメント（例えば、ＰＤＦファイル）に対して、そのポリシーを適用する際のフローチャートである。

ユーザからのポリシー作成指示を受けると、クライアントコンピュータ１０２は、その旨をポリシーサーバ１０３に送信する。

なお、このポリシー作成指示には、「ポリシーを作成して下さい」という指示と、「その作成して欲しいポリシーとはどのようなポリシーです」というのを示す指示とが含まれる。

この「作成して欲しいポリシーは、どのようなポリシーです」を示す指示とは、言い換えると「各ユーザに対してどのようなアクセス権を設定すべきか」を示し、上述したアクセス権記述のことである。

このポリシー作成指示をポリシーサーバ１０３が受信すると、Ｓ２０１の処理が開始する。

Ｓ２０１では、ポリシーサーバ１０３は指定されたドキュメントのために、上記ポリシー作成指示に基づくポリシーを作成して保存する。

なお、このポリシーはどのユーザＩＤを持つユーザにどのようなアクセス権が設定されるかを示すファイルとなっている。

言い換えると、ユーザ情報とアクセス権との関連付けを示すファイルとなっている。

Ｓ２０２では、ポリシーサーバ１０３は、ポリシーサーバ識別情報（ポリシーサーバを一意に識別するための情報。例えばＩＰアドレス）と、ポリシー識別情報（ポリシーサーバに保存されるポリシーを識別するための情報。例えばＩＤ）とを含むドキュメントライセンスを作成する。

Ｓ２０３では、ポリシーサーバ１０３はドキュメントライセンスに電子署名を行い、データの整合性を確保する。

さらに、ポリシーサーバ１０３は、ドキュメントを暗号化するために後に使用するドキュメントキー（一種の暗号キー）を作成する。

このドキュメントキーは、ポリシーを適用するドキュメント毎に作成されるものであり、本実施例では、指定されたドキュメントのための唯一無二のドキュメントキーということになる。

Ｓ２０４では、ポリシーサーバ１０３は、Ｓ２０１で作成されたポリシーを暗号化する。

Ｓ２０５では、ポリシーサーバ１０３は、ドキュメントライセンス、ドキュメントキー、暗号化されたポリシーの夫々を関連付けてクライアントコンピュータ１０２に送信する。さらに、このＳ２０５では、クライアントコンピュータ１０２に送信した暗号化されたポリシーと、ポリシー識別情報と、ドキュメントキーとを、関連付けた上でポリシーサーバ１０３の内部に保存する。

Ｓ３０１では、クライアントコンピュータ１０２は、ポリシーサーバ１０３から、夫々関連付けられているドキュメントライセンス、ドキュメントキー、暗号化されたポリシーを受信する。すると、Ａｄｏｂｅ社のＡｃｒｏｂａｔ（登録商標）のインストールされているクライアントコンピュータ１０２内のポリシー制御部１０２２は、受信したポリシーを上記指定されたドキュメントに対して適用する。

この適用の処理をＳ３０２、Ｓ３０３、Ｓ３０４に示す。

まず、Ｓ３０２では、クライアントコンピュータ１０２内のポリシー制御部１０２２は、受信したドキュメントキーを使用してドキュメントを暗号化する。この暗号化が終了すると、Ｓ３０３に移行する。

Ｓ３０３では、クライアントコンピュータ１０２内のポリシー制御部１０２２は、暗号化の終了によりドキュメントキーが不要になったと判断し、ドキュメントキーを破棄する。

Ｓ３０４では、クライアントコンピュータ１０２内のポリシー制御部１０２２は、暗号化されたドキュメントに対してドキュメントライセンスと、暗号化されたポリシーとを埋め込む。これにより、ドキュメントに対するポリシーの適用の処理が終了する。

このようにして、テンプレートの種類と入力データによって定義されたアクセス権記述に基づいて発行されたポリシーが、テンプレートから生成されたドキュメントに対して適用される。

（オンライン環境で使用するドキュメントへのアクセス）
オンライン環境で使用するドキュメントへのアクセスは本発明に直接関係しないが、上述した「アクセス権記述を決定する処理」の裏づけとなるため、説明する。

図４はオンライン環境での使用を必要とするポリシーが適用されたドキュメントにアクセスする際のフローチャートである。

なお、本実施例では、ドキュメントにアクセスする装置（即ち、図４の処理の主体）が、ポリシーをドキュメントに適用した装置（即ち、図３の処理の主体）と、たまたま同じものであるとして説明を行う。即ち、図４の処理の主体が、クライアントコンピュータ１０２であるものとして説明を行う。ただし、図３の処理の主体と図４の処理の主体とが異なっていたとしても、図３で説明された処理も図４で説明する処理も、何ら変わることはない。

ユーザから、ポリシーが適用されているドキュメントを開くための指示がポリシー制御部１０２２に指示されると、以下の処理が行われる。

Ｓ４０１では、ポリシーが適用されているドキュメントにアクセスする為に、ポリシー制御部１０２２が、ネットワーク１０１を介してポリシーサーバに接続を行う。

なお、ポリシー制御部１０２２は、そのドキュメントに適用されているポリシーを保存するポリシーサーバとそのポリシーを、そのドキュメントに埋め込まれたドキュメントライセンスに従って見つけ出すものとする。ここで、ドキュメントライセンスとは、ポリシーサーバ識別情報、ポリシー情報情報を含む。

なお、今回の例では、そのポリシーサーバ識別情報によって識別されるポリシーサーバは、ポリシーサーバ１０３であるものとする。また、そのポリシー識別情報によって識別されるポリシーは、Ｓ２０５でポリシーサーバ１０３の内部にポリシー識別情報と関連付けて保存されたポリシーである。

さらに、この接続に際して、クライアントコンピュータ１０２内のポリシー制御部１０２２が、ユーザから受付けたユーザＩＤとパスワードとをポリシーサーバ１０３に送信するものとする。

Ｓ４０２では、ポリシーサーバ１０３は、クライアントコンピュータ１０２内のポリシー制御部１０２２から送られてきたユーザＩＤでの認証を行う。

この認証が成功すると、ポリシーサーバ１０３は上記ポリシー識別情報により識別（特定）されるポリシーの内容を確認して、図５にて後述する証明書ファイルをポリシー制御部１０２２に送信する。

このＳ４０２の処理の詳細を、Ｓ５０１、Ｓ５０２、Ｓ５０３、Ｓ５０４に示す。図５はポリシーサーバ１０３で行われるポリシーの認証処理を示したフローチャートである。

Ｓ５０１では、ポリシーサーバ１０３は、クライアントコンピュータ１０２から受信したユーザＩＤでの認証（正しいパスワードが入力されているかの確認）を行う。

この上で、そのユーザＩＤに対応付けられて（ポリシーサーバ１０３に）保存されているユーザ情報を取得する。

Ｓ５０２では、ポリシーサーバ１０３は、見つけ出されたポリシーと、Ｓ５０１で取得したユーザ情報を照合し、上記ユーザＩＤを有するユーザの上記ドキュメントに対するアクセス権（上記ユーザ情報のユーザのアクセス権）を確認する。また、ポリシーサーバ１０３は、Ｓ２０５で保存されたドキュメントキー（上記ポリシーと関連付けられているドキュメントキー）を保存場所から読み出す。

Ｓ５０３では、ポリシーサーバ１０３は、上記ドキュメントキーと上記ユーザ情報により特定されるユーザのアクセス権とを含む証明書ファイルを作成する。

Ｓ５０４では、ポリシーサーバ１０３は、クライアントコンピュータ１０２に、Ｓ５０３で作成した証明書ファイルを送信する。

Ｓ４０３では、クライアントコンピュータ１０２うちのポリシー制御部１０２２は、ポリシーサーバ１０３から送信された証明書ファイルを受信し、ドキュメントへのアクセスを開始する。

Ｓ４０４では、ポリシー制御部１０２２は、証明書ファイルに含まれるドキュメントキーを使用し、その証明書ファイルに対応する上記ドキュメントの複合化を行う。この複合化が終了すると、Ｓ４０５に移行する。

Ｓ４０５では、ポリシー制御部１０２２は、上記ドキュメントの複合化が終了したドキュメントキーを破棄する。

Ｓ４０６では、ポリシー制御部１０２２は、証明書ファイルに含まれるアクセス権に応じて、ドキュメントへのアクセスを制御する。
即ち、アクセス権で許可されている処理のみ、ポリシー制御部１０２２は実行することが出来る。

また、クライアントコンピュータ１０２は、ドキュメントへのアクセスが終了した時点で証明書ファイルを破棄する。

以上のようにして、オンライン環境で使用するドキュメントへのアクセスの制御が行われる。

（実施例２）
実施例１では、ポリシーが発行されていなかったテンプレートに対して、フィールドにデータが入力された際、そのデータに応じてアクセス権の内容を決定し、それに基づいてドキュメントにポリシーを発行することを可能にした。

本実施例２では、ドキュメントにて入力データが変更された場合について述べる。この場合、変更されたデータに適したアクセス権記述が、データ変更前のアクセス権限と異なることがあるため、ドキュメントに対して、データ変更後のアクセス権記述に従ったポリシーを付与することを可能にする。

図１３〜図１７を用いて、ドキュメントにポリシーを適用する前に、ユーザが入力するデータによって、アクセス権決定サーバ１０４から得られるアクセス権記述が異なる場合について述べる。

この場合、アクセス権の差異に応じてユーザインタフェースを変化させ、ユーザが実施可能な指示を制御し、ユーザの指示に応じた制御を行う。

この一連の処理について説明する。

図１３、図１４はユーザがデータ入力操作を行った後のドキュメントを示した入力画面である。

ただし、これらはポリシーを確定させる前のデータ入力画面である。

図１５は、入力したデータにより決まるポリシーをドキュメントに適用する処理まで進むか、それとも確認に留めるかの選択を表示するユーザインタフェースを示す。これにより、ユーザによる選択指示を受信することが可能である。

図１６はポリシーに差異が生じる旨を表示し、ユーザによる確認指示が可能なユーザインタフェースを示す。

図１７は一連の処理を説明するフローチャートを示す。
図１７を用いて、一連の処理を説明する。

先ず、Ｓ１７０１で処理を開始する。
次にＳ１７０２では、表示制御部１０２４が図１３に示すような表示をし、ユーザからのデータ入力を待機する。

図１３の１３０１はユーザがデータを入力する画面を、１３０２は生成するドキュメントのテンプレートをそれぞれ表す。

１３０３と１３０４はユーザによるデータの入力が可能であるフィールドであり、それぞれデータが確定した状態を表す。データが確定するとＳ１７０３に移行する。

Ｓ１７０３では、ユーザがデータ入力用のインターフェースから入力したデータを入力制御部１０２３が記録する。

Ｓ１７１１では、表示制御部１０２４が図１５の１５０１に示すメッセージを表示し、
Ｓ１７１２ではユーザからの指示を待機する。

ユーザが１５０２の受信予定のアクセス権記述でポリシーを適用するという指示、あるいは１５０３のポリシーの適用までは行わずアクセス権記述の確認のみという指示のいずれを行ってもＳ１７０４へ進む。

Ｓ１７０４では、実施例１にて述べたようにユーザが入力したデータ、１３０２を特定するテンプレート識別子、データを入力したフィールドの識別子をアクセス権決定サーバ１０４に送信する。

そして、アクセス権決定サーバ１０４から具体的なアクセス権記述を取得する。

Ｓ１７０５では、Ｓ１７１２でのユーザ指示がアクセス権記述の確認のみかアクセス権記述に基づきドキュメントにポリシーを適用するか、いずれかの判断を行う。

つまり、ユーザから１５０２の「ポリシーの適応」の指示を受信していた場合、新たなアクセス権記述に基づきドキュメントに対して新たにポリシーを発行する。

一方、ユーザから１５０３の「ポリシーの確認」の指示を受信していた場合、新たにポリシーは発行しないで、確認に留める。

アクセス権記述の確認のみと判断された場合、Ｓ１７０６で受信したアクセス権記述を記録する。

Ｓ１７０７では直前に記録したアクセス権記述の有無を確認する。

直前に記録したアクセス権記述があれば、Ｓ１７０８にてアクセス権記述の内容を比較する。

つまり、一度アクセス権記述が適用されていたものであれば、新たなアクセス権記述の内容と以前のアクセス権記述の内容を比較する。

上記２つのアクセス権記述に差異があればポリシーが変更されるので、Ｓ１７０９にて、差異に応じたユーザインタフェースを作成する。

図１６がその１例であり、１６０１が、アクセス権記述の差異に起因して、結果としてドキュメントに適用するによるポリシーに差異が生じる旨のメッセージである。

また、１６０２がユーザによる確認指示のためのボタンである。

Ｓ１７１０ではユーザの指示に応じた処理を行う。

つまり、Ｓ１７０５で「確認のみ」が選択されていればポリシーの変更は行わず、「適応」がされていればポリシーの変更が行われる。

なお、Ｓ１７０７、Ｓ１７０８にてアクセス権記述の内容を比較したが、これを行わず、フィールドに新たなデータが入力されデータが変更されるごとに、変更されたデータに対応したアクセス権限記述を受信してもよい。

図１３と図１４を用いて、Ｓ１７０７の処理をより詳細に説明する。

１４０１は１３０１と同等のテンプレート入力画面を示す。１４０２は１３０２と同等のテンプレートを示す。１４０３は１３０３と同等、１４０４は１４０４と同等のフィールドを示す。ただし、１３０３への入力データと１４０３への入力データは異なる。

図１３に示すデータ入力に基づきアクセス権決定サーバ１０４から取得するアクセス権の記述を前記“直前に記録したアクセス権記述”とし、図１４に示すデータ入力に基づきアクセス権決定サーバ１０４から得られるアクセス権記述と比較とする。（Ｓ１７０８）
この場合１３０３のデータと１４０３のデータが異なっているがゆえに、両アクセス権記述に際が生じる。この際にＳ１７０９に移行することになる。

以上のように、一度ポリシーを発行してもテンプレート中の入力データが変更されると、それに対応してアクセス権記述変更が行われる。

その新たなアクセス権記述に基づいて、クライアントコンピュータ１０２は、ポリシーサーバ１０３に新たなポリシーを再依頼することができる。この再依頼を受けたポリシーサーバは、入力データが変更されたドキュメントに対して新たなポリシーを再発行することができる。

したがって、オンデマンドで生成されるドキュメントに対して動的に適切なポリシーを適用することができる。

（実施例３）
実施例１及び２では、アクセス権記述を決定するために必要な情報が得られるため、そのアクセス権限に従ったポリシーをドキュメントに対して付与することができた。

本実施例では、このアクセス権記述を決定するために必要な情報が得られない場合の処理について述べる。

なお、この本実施例は、実施例１および２と同時に利用することができる。

図１８、図１９を用いて、アクセス権記述を決定するために必要な情報が得られない場合の処理について説明する。

図１８はアクセス権記述を決定できない旨を表示し、ユーザによる確認指示が可能なユーザインタフェースである。

図１９は本処理を説明するフローチャートを示す。

図１９を用いて、アクセス権記述を決定するために必要な情報が得られない場合の処理について述べる。

まず、Ｓ１９０１で処理を開始する。
次に、Ｓ１９０２では、表示制御部１０２４が図６に示すような表示を行い、ユーザからのデータ入力を待機する。

例えば図６の６０３、６０４に示すデータ入力画面にてユーザによってデータが入力され、そのデータが確定するとＳ１９０３に移行する。

Ｓ１９０３ではユーザによって入力されたデータを記録する。

ユーザ指示によりＳ１９０４では、入力したデータ、テンプレートを特定する識別子、およびデータを入力したフィールドの識別子をアクセス権決定サーバ１０４に送信する。

ここで、アクセス権決定サーバ１０４にて上述したアクセス権記述を決定する処理を実施し、アクセス権記述を決定できなかった場合、アクセス権記述は空であると判断する。

Ｓ１９０５ではアクセス権記述を受信し、
Ｓ１９０６ではアクセス権記述が空であるか否かを判定する。

空である場合はＳ１９０７で、１８０１に示すメッセージを表示し、１８０２に示す確認指示のボタンを有するユーザインタフェースを生成する。

Ｓ１９０９にて、ユーザが確認を指示すると再びデータ入力画面に戻る。

Ｓ１９０６にてアクセス権記述が空でないと判定された場合は、Ｓ１９０８にてアクセス権記述をポリシー制御部１０２２に引き渡し、処理を終了する。

なお、アクセス権決定サーバ１０４にてアクセス権記述が見つからなかった場合の、クライアントコンピュータへ送信する情報は必ずしも空でなく、同義のデータであればその形式を問わない。

以上の実施例によって、テンプレートのフィールド内にて適切なデータが入力されなかった場合に、ポリシーを発行させない、またはユーザに適切なデータを入力することを知らせることが可能になる。

（実施例４）
本実施例では、アクセス権記述を動的に決定する機能を有効にするための設定について説明する。

本実施例は、上述した実施例１〜３と同時に利用することが可能である。

図１０を用いてアクセス権決定サーバ１０４を利用する為の設定について説明する。

２００１は設定画面を示している。２００２はアクセス権決定サーバ１０４を利用するか否かを指定するスイッチである。

アクセス権決定サーバ１０４を有効にした場合、アクセス権決定サーバ１０４にアクセス権記述を問い合わせる。

一方、アクセス権決定サーバ１０４を無効にした場合、アクセス権記述の取得を行わず、テンプレートから生成されるドキュメントに対してポリシーを適用しないものとする。

２００３はテンプレートを選択するメニューである。２００４は２００３で選択したテンプレートが有するフィールドを表示し、ユーザによる選択指示を受付ける。

例えば、２００３で選択されたテンプレートの種類が、“見積書”であり、ユーザが図６に示すデータ入力画面にて６０３、６０４にデータ入力を行うとする。すると、選択されたテンプレートを特定する識別子、およびデータ入力したフィールドのうち２００４で選択指示されたフィールドの識別子が、Ｓ１１０４でアクセス権決定サーバ１０４に送信する情報となる。

本実施例によって、管理者がテンプレートから生成されるドキュメントに対して、アクセス権記述を動的に決定する機能を設定するか否かを決めることができる。

また、管理者がアクセス権記述を決定するために参照するフィールド識別子の種類を選択できるので、数種類入力されるデータの中で、何をもってアクセス権記述を決定するのかを決めることができる。

このようにアクセス権限記述を決定するために参照するフィールド選択を行えるので、管理者の意図を反映してよりドキュメントに対する適切なポリシーを発行することが可能になる。

（その他の実施例）
前述した実施形態の機能を実現するように前述した実施形態の構成を動作させるプログラムを記憶媒体に記憶させ、該記憶媒体に記憶されたプログラムをコードとして読み出し、コンピュータにおいて実行する処理方法も上述の実施形態の範疇に含まれる。また、前述のプログラムが記憶された記憶媒体はもちろんそのプログラム自体も上述の実施形態に含まれる。

かかる記憶媒体としてはたとえばフロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、ＣＤ―ＲＯＭ、磁気テープ、不揮発性メモリカード、ＲＯＭを用いることができる。

また前述の記憶媒体に記憶されたプログラム単体で処理を実行しているものに限らず、他のソフトウエア、拡張ボードの機能と共同して、ＯＳ上で動作し前述の実施形態の動作を実行するものも前述した実施形態の範疇に含まれる。

モジュール構成図ポリシーサーバの振る舞いを説明するフローチャートポリシーを適用する処理を説明するフローチャートドキュメントへのアクセスを説明するフローチャートドキュメントへのアクセスを説明するフローチャートデータ入力前のデータ入力用画面データ入力後のデータ入力用画面アクセス権記述を決定するためのテーブル帳票の一例アクセス権決定サーバの利用を設定するユーザインタフェースクライアントコンピュータでアクセス権記述をサーバに問い合わせるフローチャートサーバでアクセス権記述決定依頼を処理するフローチャートデータ入力後のデータ入力用画面データ入力後のデータ入力用画面アクセス権の確認のみかポリシー決定かを選択するユーザインタフェースポリシーが変更される旨を表示するユーザインタフェースアクセス権の確認のみかポリシー決定かを選択する処理を説明するフローチャートアクセス権を決定できない旨表示するユーザインタフェースアクセス権を決定できない処理を説明するフローチャート

Claims

ドキュメント管理装置と、ドキュメントに対してアクセス権であるポリシーを発行するポリシーサーバからなるドキュメント管理システムにおけるドキュメント管理装置であり、
前記ドキュメントに入力されたデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合し、該照合の結果より、前記データが入力されたドキュメントに対するアクセス権記述を決定するアクセス権記述決定手段、
該アクセス権記述決定手段にて決定されたアクセス権記述を用いてポリシーの発行を前記ポリシーサーバに依頼する依頼手段、
前記ポリシーサーバから発行されたポリシーを前記データが入力されたドキュメントに適用させる適用手段、
を有することを特徴とするドキュメント管理装置。
前記アクセス権記述とは、予め前記ドキュメント管理装置に入力されるデータ及び該データが入力されるドキュメントを構成するテンプレート識別子とフィールド識別子に関するデータに対応して定義され、前記ドキュメントに対する権限内容が表記されていることを特徴とする請求項１に記載のドキュメント管理装置。
ドキュメント管理装置と、ドキュメントに対してアクセス権であるポリシーを発行するポリシーサーバからなるドキュメント管理システムにおけるポリシーサーバであり、
前記ドキュメント管理装置から前記ドキュメントに入力されたデータ及び該データが入力されたドキュメントを構成するテンプレート識別子とフィールド識別子に関するデータを受信する受信手段、
該受信手段によって受信したデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合し、該照合の結果より、前記データが入力されたドキュメントに対するアクセス権記述を決定するアクセス権記述決定手段、
該アクセス権記述決定手段にて決定されたアクセス権記述を用いてポリシーを前記ドキュメント管理装置へ発行する発行手段を有することを特徴とするポリシーサーバ。
前記入力されたデータが変更された際、
前記変更されたデータ及び該データを入力されたドキュメントに関するデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権の内容を照合し、
該照合の結果より前記データが変更されたドキュメントに対するアクセス権記述を変更するアクセス権記述変更手段、
前記アクセス権記述変更手段にて変更されたアクセス権記述を用いたポリシーの再発行を前記ポリシーサーバに依頼する再依頼手段、
前記再依頼手段によって依頼して取得したポリシーを、前記入力されたデータが変更されたドキュメントに対して用いるか否かを決定する決定手段を有することを特徴とする請求項１に記載のドキュメント管理装置。
さらに、
前記変更される前のデータを用いたアクセス権限記述と、前記アクセス権記述変更手段により変更されたアクセス権限記述に差があるか判断をする判断手段を有し、
該判断手段により差があると判断された場合に、前記アクセス権記述変更手段にて変更されたアクセス権記述を用いたポリシーの再発行を前記ポリシーサーバに依頼することを特徴とする請求項４に記載のドキュメント管理装置。
前記入力されたデータを用いて、前記ポリシーサーバにポリシーの発行が依頼できない場合、ユーザに再び入力の指示をするための表示を行う、またはポリシーの発行依頼を終了することを特徴とする請求項１に記載のドキュメント管理装置。
前記アクセス権記述を決める際に参照するフィールドの種類を、選択するフィールド選択手段、を有することを特徴とする請求項１に記載のドキュメント管理装置。
アクセス権記述決定手段を用いるか否かをユーザに決定させるための表示を行うことを特徴とする請求項１に記載のドキュメント管理装置。
ドキュメント管理装置と、ドキュメントに対してアクセス権であるポリシーを発行するポリシーサーバからなるドキュメント管理システムにおけるドキュメント管理装置を制御する方法であり、
アクセス権記述決定手段が、前記ドキュメントに入力されたデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合し、該照合の結果より、前記データが入力されたドキュメントに対するアクセス権記述を決定するアクセス権記述決定ステップ、
依頼手段が、前記アクセス権記述決定ステップにて決定されたアクセス権記述を用いてポリシーの発行を前記ポリシーサーバに依頼する依頼ステップ、
適用手段が、前記ポリシーサーバから発行されたポリシーを前記データが入力されたドキュメントに適用させる適用ステップ、
を有することを特徴とするドキュメント管理装置を制御する方法。
前記アクセス権記述とは、予め前記ドキュメント管理装置に入力されるデータ及び該データが入力されるドキュメントを構成するテンプレート識別子とフィールド識別子に関するデータに対応して定義され、前記ドキュメントに対する権限内容が表記されていることを特徴とする請求項９に記載のドキュメント管理装置を制御する方法。
ドキュメント管理装置と、ドキュメントに対してアクセス権であるポリシーを発行するポリシーサーバからなるドキュメント管理システムにおけるポリシーサーバを制御する方法であり、
前記ドキュメント管理装置から前記ドキュメントに入力されるデータ及び該データが入力されるドキュメントを構成するテンプレート識別子とフィールド識別子に関するデータを受信する受信ステップ、
該受信ステップによって受信したデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権記述を照合し、該照合の結果より、前記データが入力されたドキュメントに対するアクセス権記述を決定するアクセス権記述決定ステップ、
該アクセス権記述決定ステップにて決定されたアクセス権記述を用いてポリシーを前記ドキュメント管理装置へ発行する発行ステップ
を有することを特徴とするポリシーサーバを制御する方法。
前記入力されたデータが変更された際、
アクセス権記述変更手段が、前記変更されたデータ及び該データを入力されたドキュメントに関するデータと、予めドキュメントに入力されるデータに対応して定義されているアクセス権の内容を照合し、該照合の結果より前記データが変更されたドキュメントに対するアクセス権記述を変更するアクセス権記述変更ステップ、
再依頼手段が、前記アクセス権記述変更ステップにて変更されたアクセス権記述に用いたポリシーの再発行を前記ポリシーサーバに依頼する再依頼ステップ、
決定手段が、前記再依頼ステップによって依頼して取得したポリシーを、前記入力されたデータが変更されたドキュメントに対して用いるか否かを決定する決定ステップを有することを特徴とする請求項９に記載のドキュメント管理装置を制御する方法。
さらに、判断手段が、前記変更される前のデータを用いたアクセス権限記述と、前記アクセス権記述変更ステップにより変更されたアクセス権限記述に差があるか判断をする判断ステップを有し、該判断ステップにより差があると判断された場合に、前記アクセス権記述変更ステップにて変更されたアクセス権記述を用いたポリシーの再発行を前記ポリシーサーバに依頼することを特徴とする請求項１２に記載のドキュメント管理装置を制御する方法。
前記入力されたデータを用いて、前記ポリシーサーバにポリシーの発行が依頼できない場合、ユーザに再び入力の指示をするための表示を行う、またはポリシーの発行依頼を終了することを特徴とする請求項９に記載のドキュメント管理装置を制御する方法。
フィールド選択手段が、前記アクセス権記述を決める際に参照するフィールドの種類を選択するフィールド選択ステップ、を有することを特徴とする請求項９に記載のドキュメント管理装置を制御する方法。
前記アクセス権記述決定ステップを実行する否かをユーザに決定させるための表示を行うことを特徴とする請求項９に記載のドキュメント管理装置を制御する方法。
コンピュータに請求項９に記載の方法を実行させるためのプログラム。
コンピュータに請求項１１に記載の方法を実行させるためのプログラム。