JP5300794B2

JP5300794B2 - Content server and access control system

Info

Publication number: JP5300794B2
Application number: JP2010135674A
Authority: JP
Inventors: 浩和浜田
Original assignee: Chugoku Electric Power Co Inc
Current assignee: Chugoku Electric Power Co Inc
Priority date: 2010-06-15
Filing date: 2010-06-15
Publication date: 2013-09-25
Anticipated expiration: 2030-06-15
Also published as: JP2012003361A

Description

本発明は、コンテンツサーバ及びアクセス制御システムに関する。 The present invention relates to a content server and an access control system.

従来、複数のクライアント端末からアクセスされるコンテンツサーバにおいて、セキュリティやプライバシーといった観点から、クライアント端末のアクセス制御が行われる場合がある。 Conventionally, in a content server accessed from a plurality of client terminals, access control of the client terminals may be performed from the viewpoint of security and privacy.

例えば、特許文献１に示されるコンテンツサーバは、記憶部を備えており、このコンテンツサーバに記憶されているコンテンツの情報の閲覧が許可されているクライアント端末のドメイン名又はＩＰアドレスを予め記憶部に記憶する。そして、コンテンツサーバにアクセスしたクライアント端末のドメイン名又はＩＰアドレスが、記憶部に記憶されているドメイン名又はＩＰアドレスと一致する場合に、特許文献１に示されるコンテンツサーバは、コンテンツの情報を提供する。 For example, the content server shown in Patent Document 1 includes a storage unit, and the domain name or IP address of a client terminal that is permitted to browse the information on the content stored in the content server is stored in the storage unit in advance. Remember. When the domain name or IP address of the client terminal that has accessed the content server matches the domain name or IP address stored in the storage unit, the content server disclosed in Patent Document 1 provides content information. To do.

また、複数のコンテンツサーバのアクセス制御を行う場合には、例えば、エージェント方式やリバースプロキシ方式といった方式が用いられる。 When performing access control of a plurality of content servers, for example, a method such as an agent method or a reverse proxy method is used.

エージェント方式によるアクセス制御は、以下のように行われる。まず、複数のコンテンツサーバにおけるアクセス制御情報を一元的に管理するエージェントサーバを設けておく。クライアント端末は、エージェントサーバにアクセスし、このアクセス制御情報を取得する。続いて、クライアント端末は、コンテンツサーバにアクセスする際に、このコンテンツサーバに、取得したアクセス制御情報を提供する。続いて、コンテンツサーバは、提供されたアクセス制御情報により、クライアント端末のアクセスの可否を判定し、アクセスを許可すると判定した場合、コンテンツサーバの情報をクライアント端末に提供する。 Access control by the agent method is performed as follows. First, an agent server that centrally manages access control information in a plurality of content servers is provided. The client terminal accesses the agent server and acquires this access control information. Subsequently, when the client terminal accesses the content server, the client terminal provides the acquired access control information to the content server. Subsequently, the content server determines whether or not the client terminal can be accessed based on the provided access control information. When it is determined that access is permitted, the content server provides the content server with the information on the content server.

一方、リバースプロキシ方式によるアクセス制御は、以下のように行われる。まず、複数のコンテンツサーバのアクセス制御情報を一元的に管理するリバースプロキシサーバを設けておく。クライアント端末は、コンテンツサーバに直接アクセスすることなく、リバースプロキシサーバにアクセスする。続いて、リバースプロキシサーバは、クライアント端末のコンテンツサーバへのアクセスの可否を判定する。続いて、リバースプロキシサーバは、アクセスが許可されたと判定した場合に、コンテンツサーバの情報を取得し、クライアント端末に提供する。 On the other hand, the access control by the reverse proxy method is performed as follows. First, a reverse proxy server that centrally manages access control information of a plurality of content servers is provided. The client terminal accesses the reverse proxy server without directly accessing the content server. Subsequently, the reverse proxy server determines whether or not the client terminal can access the content server. Subsequently, when it is determined that access is permitted, the reverse proxy server acquires content server information and provides the information to the client terminal.

特開２００１−２１６２６７号公報JP 2001-216267 A

ところで、近年、企業では、クライアント端末を使用するユーザの識別情報、及びこのユーザの属する部署や役職といったユーザの属性情報に基づいてアクセス制御を行うことが要請されている。
しかしながら、特許文献１に示されるコンテンツサーバでは、ドメイン名又はＩＰアドレスに基づいてアクセス制御を行うため、クライアント端末のユーザの識別情報や、ユーザの属性情報に基づいてアクセス制御を行う場合には、アクセスを許可するＩＰアドレスとユーザとの関連性について常に管理する必要があり、管理が煩雑となる場合がある。 Incidentally, in recent years, companies have been required to perform access control based on identification information of a user who uses a client terminal and user attribute information such as a department or a title to which the user belongs.
However, since the content server shown in Patent Document 1 performs access control based on the domain name or IP address, when performing access control based on user identification information of the client terminal or user attribute information, It is necessary to always manage the relevance between the IP address that permits access and the user, and the management may be complicated.

また、エージェント方式によるアクセス制御でも、ユーザの属性情報に基づいてアクセス制御を行う場合、複数のコンテンツサーバそれぞれについて、アクセスを許可するＩＰアドレスとユーザとの関連性について常に管理する必要があり、管理が煩雑となる。 In addition, even in the access control based on the agent method, when performing access control based on user attribute information, it is necessary to always manage the relevance between the IP address to which access is permitted and the user for each of the plurality of content servers. Becomes complicated.

また、リバースプロキシ方式によるアクセス制御は、一般にＳＳＯ（ＳｉｎｇｌｅＳｉｇｎ−Ｏｎ）を実現することを目的とするものであり、クライアント端末のユーザの属性情報に基づいて、アクセス制御を行うものではない。 The access control by the reverse proxy method is generally intended to realize SSO (Single Sign-On), and does not perform access control based on the attribute information of the user of the client terminal.

本発明は、クライアント端末のユーザの属性情報に基づいて、アクセス制御を実現することができるコンテンツサーバ及びアクセス制御システムを提供することを目的とする。 An object of the present invention is to provide a content server and an access control system capable of realizing access control based on attribute information of a user of a client terminal.

本発明に係るコンテンツサーバは、クライアント端末及び管理サーバに通信ネットワークを介して接続可能で、前記クライアント端末にコンテンツの情報を出力するコンテンツサーバであって、前記コンテンツの情報を記憶するコンテンツ記憶手段と、前記コンテンツへのアクセスが許可された前記クライアント端末のユーザの識別情報及び属性情報を記憶するアクセス制御情報記憶手段と、前記クライアント端末から、コンテンツへのアクセス要求を示し、前記クライアント端末のアドレスを含む要求情報を受信する要求情報受信手段と、前記要求情報受信手段により前記要求情報を受信したことに応じて、前記アドレスに基づいて、前記管理サーバから、前記クライアント端末のユーザの識別情報及び属性情報を受信する属性情報受信手段と、アクセス制御情報記憶手段に記憶されている前記識別情報及び前記属性情報と、前記属性情報受信手段により受信された前記識別情報及び前記属性情報に基づいて、前記クライアント端末の前記コンテンツへのアクセスを許可するか否かを判定する判定手段と、前記判定手段によりアクセスを許可すると判定された場合、前記クライアント端末にコンテンツの情報を出力する出力手段と、を備える。 The content server according to the present invention is a content server that is connectable to a client terminal and a management server via a communication network, and outputs content information to the client terminal, and a content storage means for storing the content information An access control information storage unit for storing identification information and attribute information of a user of the client terminal permitted to access the content; an access request to the content from the client terminal; and an address of the client terminal Identification information and attributes of the user of the client terminal from the management server based on the address in response to receiving the request information by the request information receiving means; Attribute information receiver who receives information Access to the content of the client terminal based on the identification information and the attribute information stored in the access control information storage unit, and the identification information and the attribute information received by the attribute information reception unit Determination means for determining whether or not to permit access, and output means for outputting content information to the client terminal when the determination means determines that access is permitted.

また、前記アクセス制御情報記憶手段は、前記コンテンツを記憶するディレクトリ単位に、前記コンテンツへのアクセスが許可された前記ユーザの識別情報及び属性情報を記憶可能であることが好ましい。 The access control information storage means is preferably capable of storing identification information and attribute information of the user permitted to access the content in a directory unit storing the content.

また、前記出力手段は、前記判定手段によりアクセスを許可しないと判定された場合、前記クライアント端末にコンテンツへのアクセスを拒否する旨を示す情報を送信することが好ましい。 The output unit preferably transmits information indicating that access to the content is denied to the client terminal when the determination unit determines that access is not permitted.

また、コンテンツサーバは、前記クライアント端末からの前記コンテンツへのアクセスログを記憶するログ記憶手段と、前記判定手段により判定されたことに応じて、前記コンテンツに係る情報、前記属性情報受信手段により受信された前記ユーザの識別情報及び属性情報、前記判定手段により判定された時間、並びに前記判定手段による判定結果をアクセスログとして前記ログ記憶手段に記憶させるログ記憶制御手段と、をさらに備えることが好ましい。 In addition, the content server receives a log storage unit that stores an access log to the content from the client terminal, and information related to the content and the attribute information receiving unit according to the determination by the determination unit It is preferable to further comprise log storage control means for storing the user identification information and attribute information, the time determined by the determination means, and the determination result by the determination means in the log storage means as an access log. .

また、コンテンツサーバは、前記ログ記憶手段を参照して、所定の条件に基づいて不正アクセスを検出する検出手段と、前記検出手段により不正アクセスが検出された場合、不正アクセスがあった旨を報知する報知手段と、をさらに備えることが好ましい。 In addition, the content server refers to the log storage unit, and detects the unauthorized access based on a predetermined condition, and if the unauthorized access is detected by the detecting unit, notifies the content server that the unauthorized access has occurred. It is preferable to further comprise notification means for performing.

本発明に係るアクセス制御システムは、クライアント端末と、通信ネットワークを介して前記クライアント端末に接続可能で、コンテンツを提供するコンテンツサーバと、前記通信ネットワークを介して前記コンテンツサーバに接続可能な管理サーバとから構成されるアクセス制御システムであって、前記コンテンツサーバは、前記コンテンツへのアクセスが許可された前記クライアント端末のユーザの識別情報及び属性情報を記憶するアクセス制御情報記憶手段と、前記クライアント端末から、コンテンツへのアクセス要求を示し、前記クライアント端末のアドレスを含む要求情報を受信する要求情報受信手段と、前記要求情報受信手段により前記要求情報を受信したことに応じて、前記管理サーバに前記アドレスを送信し、前記クライアント端末のユーザの識別情報及び属性情報の取得を要求する属性取得要求手段と、を備え、前記管理サーバは、前記クライアント端末のアドレスと、前記識別情報と、前記属性情報とを関連付けて記憶する関連情報記憶手段と、前記コンテンツサーバから前記アドレスを受信し、属性取得の要求を受け付ける属性取得受付手段と、前記属性取得受付手段により、前記属性取得の要求を受け付けたことに応じて、受信した前記アドレスに基づいて、前記関連情報記憶手段から、前記アドレスに関連付けられている前記識別情報と前記属性情報とを取得し、前記コンテンツサーバに送信する属性情報送信手段と、を備え、前記コンテンツサーバは、前記管理サーバから前記識別情報及び前記属性情報を受信する属性情報受信手段と、前記アクセス制御情報記憶手段に記憶されている前記識別情報及び前記属性情報と、前記属性情報受信手段により受信された前記識別情報及び前記属性情報に基づいて、前記クライアント端末の前記コンテンツへのアクセスを許可するか否かを判定する判定手段と、前記判定手段によりアクセスを許可すると判定された場合、前記クライアント端末にコンテンツの情報を出力する出力手段と、をさらに備える。 An access control system according to the present invention includes a client terminal, a content server that can be connected to the client terminal via a communication network and provides content, and a management server that can be connected to the content server via the communication network An access control information storage unit for storing identification information and attribute information of a user of the client terminal permitted to access the content; and A request information receiving means for receiving a request information including an address of the client terminal, and a request information receiving means for receiving the request information by the request information receiving means. Send the said client Attribute acquisition request means for requesting acquisition of user terminal identification information and attribute information, and the management server stores the address of the client terminal, the identification information, and the attribute information in association with each other. The related information storage unit, the attribute acquisition receiving unit that receives the address from the content server and receives an attribute acquisition request, and the attribute acquisition reception unit that has received the attribute acquisition request. Attribute information transmission means for acquiring the identification information and the attribute information associated with the address from the related information storage means based on the address, and transmitting the identification information and the attribute information to the content server; Attribute information receiving means for receiving the identification information and the attribute information from the management server, and the access Based on the identification information and the attribute information stored in the control information storage means and the identification information and the attribute information received by the attribute information receiving means, the client terminal is allowed to access the content. Determination means for determining whether or not to permit access, and output means for outputting content information to the client terminal when the determination means determines that access is permitted.

本発明によれば、クライアント端末のユーザの属性情報に基づいて、アクセス制御を実現することができる。 According to the present invention, access control can be realized based on attribute information of a user of a client terminal.

本実施形態に係るアクセス制御システムの全体概要を示す図である。It is a figure which shows the whole outline | summary of the access control system which concerns on this embodiment. 本実施形態に係る管理サーバの機能構成を示す図である。It is a figure which shows the function structure of the management server which concerns on this embodiment. 本実施形態に係るコンテンツサーバの機能構成を示す図である。It is a figure which shows the function structure of the content server which concerns on this embodiment. 本実施形態に係るユーザＤＢを示す図である。It is a figure which shows user DB which concerns on this embodiment. 本実施形態に係る許可フラグテーブルを示す図である。It is a figure which shows the permission flag table which concerns on this embodiment. 本実施形態に係る個別設定テーブルを示す図である。It is a figure which shows the separate setting table which concerns on this embodiment. 本実施形態に係る紐付ＤＢを示す図である。It is a figure which shows tied DB which concerns on this embodiment. 本実施形態に係るログＤＢを示す図である。It is a figure which shows log DB which concerns on this embodiment. 本実施形態に係る管理サーバにおける認証に係る処理の流れを示すフローチャートである。It is a flowchart which shows the flow of the process which concerns on the authentication in the management server which concerns on this embodiment. 本実施形態に係る管理サーバ及びコンテンツサーバにおけるアクセス制御の処理の流れを示すフローチャートである。It is a flowchart which shows the flow of the process of access control in the management server and content server which concern on this embodiment.

以下、本発明の実施形態について図面に基づいて説明する。 Hereinafter, embodiments of the present invention will be described with reference to the drawings.

図１は、本実施形態に係るアクセス制御システム１の全体概要を示す図である。 FIG. 1 is a diagram showing an overall outline of an access control system 1 according to the present embodiment.

アクセス制御システム１は、コンテンツサーバ２０に対するクライアント端末３０のアクセスを制御するためのシステムである。このアクセス制御システム１は、管理サーバ１０と、複数のコンテンツサーバ２０と、複数のクライアント端末３０とを備える。これら、管理サーバ１０、コンテンツサーバ２０、及びクライアント端末３０は、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）やインターネット等のコンピュータネットワークにより構成される通信ネットワークＮにより、通信可能に接続されている。 The access control system 1 is a system for controlling access of the client terminal 30 to the content server 20. The access control system 1 includes a management server 10, a plurality of content servers 20, and a plurality of client terminals 30. The management server 10, the content server 20, and the client terminal 30 are communicably connected by a communication network N configured by a computer network such as a LAN (Local Area Network) or the Internet.

図２は、本実施形態に係る管理サーバ１０の機能構成を示す図である。
管理サーバ１０は、コンテンツサーバ２０が記憶するコンテンツへのアクセス制御を一元的に管理するサーバである。この管理サーバ１０は、表示部１１と、入力部１２と、記憶部１３と、制御部１４とを備える。 FIG. 2 is a diagram illustrating a functional configuration of the management server 10 according to the present embodiment.
The management server 10 is a server that centrally manages access control to content stored in the content server 20. The management server 10 includes a display unit 11, an input unit 12, a storage unit 13, and a control unit 14.

表示部１１は、ブラウン管表示装置（ＣＲＴ：ＣａｔｈｏｄｅＲａｙＴｕｂｅ）や液晶表示装置（ＬＣＤ：ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙ）等のディスプレイ装置により構成され、管理サーバ１０の機能に係る表示を行う。 The display unit 11 includes a display device such as a cathode ray tube (CRT) or a liquid crystal display (LCD), and performs display related to the function of the management server 10.

入力部１２は、キーボード及びマウスを含んで構成されており、管理サーバ１０の操作者からの入力操作を受け付ける。 The input unit 12 includes a keyboard and a mouse, and receives an input operation from an operator of the management server 10.

記憶部１３は、管理サーバ１０として機能させるための各種プログラム（図示省略）と、記憶手段としてのユーザデータベース（以下、データベースをＤＢという）１３１と、アクセス制御ＤＢ１３２と、紐付ＤＢ１３３とを備える。 The storage unit 13 includes various programs (not shown) for causing the management server 10 to function, a user database (hereinafter referred to as a DB) 131 as a storage unit, an access control DB 132, and a tied DB 133.

図４は、本実施形態に係るユーザＤＢ１３１を示す図である。このユーザＤＢ１３１は、クライアント端末３０のユーザの識別情報を示すユーザＩＤと、このユーザの属性情報（以下、ユーザの属性情報を単に属性情報という）とを関連付けて記憶する。属性情報は、図４に示されるように、例えば、企業においてユーザが所属する組織情報及び役職、並びにコンテンツへのアクセスの許可を複数段階に設定する参照可能レベルである。参照可能レベルは、高い数値のものが、低い数値のものに比べて、閲覧権限が大きい。 FIG. 4 is a diagram showing the user DB 131 according to the present embodiment. The user DB 131 stores a user ID indicating the identification information of the user of the client terminal 30 in association with the user attribute information (hereinafter, the user attribute information is simply referred to as attribute information). As shown in FIG. 4, the attribute information is, for example, a referable level in which organization information and job titles to which a user belongs in a company and permission to access content are set in a plurality of stages. As for the referable level, a high numerical value has a higher browsing authority than a low numerical value.

図５及び図６は、本実施形態に係るアクセス制御ＤＢ１３２を示す図である。このアクセス制御ＤＢ１３２は、コンテンツサーバ２０が記憶するコンテンツに対するアクセス制御情報を記憶する。このアクセス制御ＤＢ１３２は、許可フラグテーブル１３２Ａと、個別設定テーブル１３２Ｂと、を備える。 5 and 6 are diagrams showing the access control DB 132 according to the present embodiment. The access control DB 132 stores access control information for content stored in the content server 20. The access control DB 132 includes a permission flag table 132A and an individual setting table 132B.

図５は、本実施形態に係る許可フラグテーブル１３２Ａを示す図である。この許可フラグテーブル１３２Ａは、コンテンツが記憶されているコンテンツサーバ２０の名称と、コンテンツの名称と、このコンテンツのパスと、コンテンツサーバ２０が提供する許可フラグとを記憶する。この許可フラグは、値が１の場合、属性情報に関係なくアクセスが可能であることを示し、値が０の場合、属性情報に基づいてアクセスが可能であることを示すものである。 FIG. 5 is a diagram showing a permission flag table 132A according to the present embodiment. The permission flag table 132A stores the name of the content server 20 in which the content is stored, the name of the content, the path of the content, and the permission flag provided by the content server 20. This permission flag indicates that access is possible regardless of the attribute information when the value is 1, and indicates that access is possible based on the attribute information when the value is 0.

また、許可フラグテーブル１３２Ａには、コンテンツの代わりにディレクトリを記憶させてもよく、この場合、ディレクトリに適用されている許可フラグの設定情報が、このディレクトリに記憶されているコンテンツ及びディレクトリに対して適用される。 Further, the permission flag table 132A may store a directory instead of the content. In this case, the setting information of the permission flag applied to the directory is stored for the content and the directory stored in the directory. Applied.

図６は、本実施形態に係る個別設定テーブル１３２Ｂを示す図である。この個別設定テーブル１３２Ｂは、コンテンツが記憶されているコンテンツサーバ２０の名称と、コンテンツの名称を示すコンテンツ名と、このコンテンツのパスと、ユーザ名と、属性情報とを関連付けて記憶する。この個別設定テーブル１３２Ｂにおける１つの行は、１つの許可設定情報に対応している。すなわち、１つの行において、コンテンツ名に関連付けられているユーザＩＤ及び属性情報を満たすユーザが、このコンテンツ名に対応するコンテンツへのアクセスが許可されているユーザとなる。なお、１つの行において、コンテンツ名に複数の属性情報が関連付けられている場合、複数の属性情報を満たすユーザが、アクセスが許可されているユーザとなる。 FIG. 6 is a diagram showing the individual setting table 132B according to the present embodiment. The individual setting table 132B stores the name of the content server 20 storing the content, the content name indicating the name of the content, the path of the content, the user name, and the attribute information in association with each other. One row in the individual setting table 132B corresponds to one permission setting information. That is, in one line, a user who satisfies the user ID and attribute information associated with the content name is a user who is permitted to access the content corresponding to the content name. When a plurality of pieces of attribute information are associated with a content name in one row, a user who satisfies the plurality of pieces of attribute information is a user who is permitted access.

例えば、図６の個別設定テーブル１３２Ｂに示されるように、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」、コンテンツ名が「ａ００１．ｈｔｍｌ」、パスが「／ｇｙｏｕｍｕ１／ｈｏｍｅ／」に対応するコンテンツの許可設定情報は４つある。つまり、このコンテンツへのアクセスが許可されているユーザは、ユーザＩＤが「Ｕ００１」のユーザ、組織情報が「○○部」のユーザ、組織情報が「△△部」かつ役職が「部長」のユーザ、及び参照可能レベルが「５」以上のユーザである。 For example, as shown in the individual setting table 132B of FIG. 6, the content permission setting information corresponding to the content server name “serverA”, the content name “a001.html”, and the path “/ gyoumu1 / home /” is There are four. In other words, the user who is permitted to access this content is the user whose user ID is “U001”, the user whose organization information is “XX”, the organization information is “△△” and the title is “department”. A user and a user whose referable level is “5” or more.

また、個別設定テーブル１３２Ｂには、コンテンツの代わりにディレクトリを記憶させてもよく、この場合、ディレクトリに適用されている許可設定情報が、このディレクトリに記憶されているコンテンツ及びディレクトリに対して適用される。 Further, the individual setting table 132B may store a directory instead of the content. In this case, the permission setting information applied to the directory is applied to the content and the directory stored in the directory. The

図７は、本実施形態に係る紐付ＤＢ１３３を示す図である。この紐付ＤＢ１３３は、クライアント端末３０のアドレスであるＩＰアドレスと、このアドレスに対応するユーザＩＤと、このユーザＩＤに対応する属性情報とを関連付けて記憶する。 FIG. 7 is a diagram showing the tied DB 133 according to the present embodiment. The association DB 133 stores an IP address that is the address of the client terminal 30, a user ID corresponding to the address, and attribute information corresponding to the user ID in association with each other.

図２に戻り、制御部１４は、管理サーバ１０に係る各機能を統括的に制御する部分であり、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）等により構成される。この制御部１４は、本発明に係る各機能として、設定受付部１４１と、制御ファイル送信部１４２と、認証部１４３と、属性取得受付部１４４と、属性情報送信部１４５とを備える。 Returning to FIG. 2, the control unit 14 is a part that comprehensively controls each function related to the management server 10, and includes a CPU (Central Processing Unit) and the like. The control unit 14 includes a setting reception unit 141, a control file transmission unit 142, an authentication unit 143, an attribute acquisition reception unit 144, and an attribute information transmission unit 145 as functions according to the present invention.

設定受付部１４１は、入力部１２を介して、許可フラグテーブル１３２Ａ及び個別設定テーブル１３２Ｂに記憶されている情報の変更を受け付ける。 The setting receiving unit 141 receives changes in information stored in the permission flag table 132A and the individual setting table 132B via the input unit 12.

制御ファイル送信部１４２は、アクセス制御ＤＢ１３２の情報をコンテンツサーバ２０に送信する。
具体的には、制御ファイル送信部１４２は、アクセス制御ＤＢ１３２の許可フラグテーブル１３２Ａに記憶されているコンテンツサーバ名に基づいて、複数のコンテンツサーバ２０それぞれのアクセス制御ファイルとして、第１制御ファイルを生成し、生成したファイルを、対応するコンテンツサーバ２０に送信する。 The control file transmission unit 142 transmits the information in the access control DB 132 to the content server 20.
Specifically, the control file transmission unit 142 generates a first control file as an access control file for each of the plurality of content servers 20 based on the content server name stored in the permission flag table 132A of the access control DB 132. Then, the generated file is transmitted to the corresponding content server 20.

例えば、図５に示される許可フラグテーブル１３２Ａの場合、制御ファイル送信部１４２は、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」に係る設定情報を、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」のコンテンツサーバ２０の第１制御ファイルとして、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」のコンテンツサーバ２０に送信する。また、制御ファイル送信部１４２は、コンテンツサーバ名が「ｓｅｒｖｅｒＢ」に係る設定情報を、コンテンツサーバ名が「ｓｅｒｖｅｒＢ」のコンテンツサーバ２０の第１制御ファイルとして、コンテンツサーバ名が「ｓｅｒｖｅｒＢ」のコンテンツサーバ２０に送信する。 For example, in the case of the permission flag table 132A illustrated in FIG. 5, the control file transmission unit 142 sets the setting information related to the content server name “serverA” and the first control file of the content server 20 whose content server name is “serverA”. Is transmitted to the content server 20 whose content server name is “serverA”. In addition, the control file transmission unit 142 uses the setting information related to the content server name “serverB” as the first control file of the content server 20 whose content server name is “serverB”, and the content server whose content server name is “serverB” 20 to send.

また、制御ファイル送信部１４２は、アクセス制御ＤＢ１３２の個別設定テーブル１３２Ｂに記憶されているコンテンツサーバ名に基づいて、複数のコンテンツサーバ２０それぞれのアクセス制御ファイルとして、第２制御ファイルを生成し、生成したファイルを、対応するコンテンツサーバ２０に送信する。 In addition, the control file transmission unit 142 generates a second control file as an access control file for each of the plurality of content servers 20 based on the content server name stored in the individual setting table 132B of the access control DB 132, and generates the second control file. The file is transmitted to the corresponding content server 20.

例えば、図６に示される個別設定テーブル１３２Ｂの場合、制御ファイル送信部１４２は、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」に係る設定情報を、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」のコンテンツサーバ２０の第２制御ファイルとして、コンテンツサーバ名が「ｓｅｒｖｅｒＡ」のコンテンツサーバ２０に送信する。また、制御ファイル送信部１４２は、コンテンツサーバ名が「ｓｅｒｖｅｒＢ」に係る設定情報を、コンテンツサーバ名が「ｓｅｒｖｅｒＢ」のコンテンツサーバ２０の第２制御ファイルとして、コンテンツサーバ名が「ｓｅｒｖｅｒＢ」のコンテンツサーバ２０に送信する。 For example, in the case of the individual setting table 132B shown in FIG. 6, the control file transmission unit 142 sets the setting information related to the content server name “serverA” and the second control file of the content server 20 whose content server name is “serverA”. Is transmitted to the content server 20 whose content server name is “serverA”. In addition, the control file transmission unit 142 uses the setting information related to the content server name “serverB” as the second control file of the content server 20 whose content server name is “serverB”, and the content server whose content server name is “serverB” 20 to send.

また、制御ファイル送信部１４２は、設定受付部１４１によりアクセス制御ＤＢ１３２の変更を受け付けたことに応じて、変更された内容に対応するアクセス制御ファイルを更新する。そして、制御ファイル送信部１４２は、更新されたアクセス制御ファイルを、対応するコンテンツサーバ２０に送信する。 Further, the control file transmission unit 142 updates the access control file corresponding to the changed content in response to the change of the access control DB 132 received by the setting reception unit 141. Then, the control file transmission unit 142 transmits the updated access control file to the corresponding content server 20.

認証部１４３は、クライアント端末３０から、認証情報としてユーザＩＤを受け付け、このユーザＩＤの認証を行う。具体的には、認証部１４３は、クライアント端末３０からユーザＩＤを受け付けると、受け付けたユーザＩＤがユーザＤＢ１３１に記憶されているか判定する。認証部１４３は、受け付けたユーザＩＤがユーザＤＢ１３１に記憶されている場合、認証が成功したとして、認証が成功したことを示す認証完了情報をクライアント端末３０に送信する。また、認証部１４３は、受け付けたユーザＩＤがユーザＤＢ１３１に記憶されていない場合、認証が失敗したとして、認証が失敗したことを示す認証不可情報をクライアント端末３０に送信するとともに、再度、ユーザＩＤを受け付ける。 The authentication unit 143 receives a user ID as authentication information from the client terminal 30 and authenticates the user ID. Specifically, when the authentication unit 143 receives a user ID from the client terminal 30, the authentication unit 143 determines whether the received user ID is stored in the user DB 131. When the received user ID is stored in the user DB 131, the authentication unit 143 transmits authentication completion information indicating that the authentication is successful to the client terminal 30, assuming that the authentication is successful. In addition, when the received user ID is not stored in the user DB 131, the authentication unit 143 transmits authentication impossible information indicating that the authentication has failed, to the client terminal 30, assuming that the authentication has failed. Accept.

また、認証部１４３は、クライアント端末３０から、認証情報とともに、このクライアント端末３０のＩＰアドレスを受信する。そして、認証部１４３は、認証が成功した場合、受け付けたユーザＩＤの属性情報をユーザＤＢ１３１から取得し、その後、受信したＩＰアドレスと、受け付けたユーザＩＤと、このユーザＩＤの属性情報とを紐付ＤＢ１３３に記憶させる。なお、紐付ＤＢ１３３に、受け付けたユーザＩＤに係る情報が記憶されている場合、認証部１４３は、このユーザＩＤに係る情報を消去した後、受信したＩＰアドレスと、受け付けたユーザＩＤと、このユーザＩＤの属性情報を紐付ＤＢ１３３に記憶させる。 The authentication unit 143 receives the IP address of the client terminal 30 from the client terminal 30 together with the authentication information. If the authentication is successful, the authentication unit 143 acquires the received user ID attribute information from the user DB 131, and then associates the received IP address, the received user ID, and the attribute information of the user ID. Store in the DB 133. In addition, when the information regarding the received user ID is stored in the association DB 133, the authentication unit 143 deletes the information regarding the user ID, and then receives the received IP address, the received user ID, and the user. ID attribute information is stored in the association DB 133.

属性取得受付部１４４は、コンテンツサーバ２０から、クライアント端末３０の属性情報の取得要求を受け付ける。具体的には、属性取得受付部１４４は、コンテンツサーバ２０から、属性情報の取得要求を示す属性取得要求情報を受信することで、属性情報の取得要求を受け付ける。属性取得要求情報には、クライアント端末３０のＩＰアドレスが含まれている。 The attribute acquisition receiving unit 144 receives a request for acquiring attribute information of the client terminal 30 from the content server 20. Specifically, the attribute acquisition receiving unit 144 receives an attribute information acquisition request by receiving attribute acquisition request information indicating an attribute information acquisition request from the content server 20. The attribute acquisition request information includes the IP address of the client terminal 30.

属性情報送信部１４５は、紐付ＤＢ１３３を参照し、属性取得要求情報に含まれるＩＰアドレスに対応するユーザＩＤ及び属性情報を取得し、取得したユーザＩＤ及び属性情報をコンテンツサーバ２０に送信する。なお、属性情報送信部１４５は、ＩＰアドレスに対応するユーザＩＤ及び属性情報を取得できなかった場合、エラー情報をコンテンツサーバ２０に送信する。 The attribute information transmission unit 145 refers to the association DB 133, acquires the user ID and attribute information corresponding to the IP address included in the attribute acquisition request information, and transmits the acquired user ID and attribute information to the content server 20. The attribute information transmission unit 145 transmits error information to the content server 20 when the user ID and attribute information corresponding to the IP address cannot be acquired.

図３は、本実施形態に係るコンテンツサーバ２０の機能構成を示す図である。
コンテンツサーバ２０は、クライアント端末３０等に対してコンテンツを提供するサーバである。このコンテンツサーバ２０は、表示部２１と、入力部２２と、記憶部２３と、制御部２４とを備える。 FIG. 3 is a diagram showing a functional configuration of the content server 20 according to the present embodiment.
The content server 20 is a server that provides content to the client terminal 30 and the like. The content server 20 includes a display unit 21, an input unit 22, a storage unit 23, and a control unit 24.

表示部２１は、ブラウン管表示装置や液晶表示装置等のディスプレイ装置により構成され、コンテンツサーバ２０の機能に係る表示を行う。 The display unit 21 includes a display device such as a cathode ray tube display device or a liquid crystal display device, and performs display related to the function of the content server 20.

入力部２２は、キーボード及びマウスを含んで構成されており、コンテンツサーバ２０の操作者からの入力操作を受け付ける。 The input unit 22 includes a keyboard and a mouse, and receives an input operation from an operator of the content server 20.

記憶部２３は、コンテンツサーバ２０として機能させるための各種プログラム（図示省略）を記憶する。また、記憶部２３は、コンテンツ記憶手段として機能してコンテンツサーバ２０が提供するコンテンツの情報を記憶するとともに、アクセス制御情報記憶手段として機能して管理サーバ１０から受信したアクセス制御ファイルを記憶する。また、記憶部２３は、ログ記憶手段としてのログＤＢ２３１を備える。なお、本実施形態のコンテンツとは、文字情報、音声、映像等により構成されるデータを含むファイルをいう。 The storage unit 23 stores various programs (not shown) for causing the content server 20 to function. The storage unit 23 functions as a content storage unit and stores information on content provided by the content server 20, and also functions as an access control information storage unit and stores an access control file received from the management server 10. The storage unit 23 includes a log DB 231 as log storage means. In addition, the content of this embodiment means the file containing the data comprised by character information, an audio | voice, a video, etc.

図８は、本実施形態に係るログＤＢ２３１を示す図である。このログＤＢ２３１は、コンテンツに係る情報（コンテンツサーバ名、コンテンツ名、パス）と、クライアント端末３０のユーザのユーザＩＤと、このユーザＩＤに係る属性情報と、後述の判定部２４５がアクセスの可否を判定した時間（アクセス時刻）と、後述の判定部２４５の判定結果とを関連付けた情報をアクセスログとして記憶する。 FIG. 8 is a diagram showing the log DB 231 according to the present embodiment. The log DB 231 includes information related to the content (content server name, content name, path), the user ID of the user of the client terminal 30, attribute information related to the user ID, and whether or not the determination unit 245 described below is accessible. Information associating the determined time (access time) with a determination result of the determination unit 245 described later is stored as an access log.

制御部２４は、コンテンツサーバ２０に係る各機能を統括的に制御する部分であり、ＣＰＵ等により構成される。この制御部２４は、本発明に係る各機能として、ファイル受信部２４１と、要求情報受信手段としての要求情報受信部２４２と、属性情報要求部２４３と、属性情報受信手段としての属性情報受信部２４４と、判定手段としての判定部２４５と、出力手段としての出力部２４６と、ログ記憶制御手段としてのログ記憶制御部２４７と、検出手段としての検出部２４８と、報知手段としての報知部２４９とを備える。 The control unit 24 is a part that comprehensively controls each function related to the content server 20, and is configured by a CPU or the like. The control unit 24 includes, as functions according to the present invention, a file receiving unit 241, a request information receiving unit 242 as a request information receiving unit, an attribute information requesting unit 243, and an attribute information receiving unit as an attribute information receiving unit. 244, a determination unit 245 as a determination unit, an output unit 246 as an output unit, a log storage control unit 247 as a log storage control unit, a detection unit 248 as a detection unit, and a notification unit 249 as a notification unit With.

ファイル受信部２４１は、コンテンツサーバ２０が起動された場合、又は管理サーバ１０においてアクセス制御ファイルの更新が行われた場合、管理サーバ１０からアクセス制御ファイル、すなわち、第１制御ファイル及び第２制御ファイルを受信する。このファイル受信部２４１は、管理サーバ１０から受信したアクセス制御ファイルを記憶部２３に記憶させる。 When the content server 20 is activated or when the access control file is updated in the management server 10, the file reception unit 241 receives an access control file from the management server 10, that is, the first control file and the second control file. Receive. The file receiving unit 241 stores the access control file received from the management server 10 in the storage unit 23.

要求情報受信部２４２は、クライアント端末３０から、コンテンツへのアクセス要求を示すアクセス要求情報を受信する。このアクセス要求情報には、コンテンツの名称、コンテンツのパス、及びＩＰアドレスが含まれている。 The request information receiving unit 242 receives access request information indicating an access request for content from the client terminal 30. The access request information includes a content name, a content path, and an IP address.

属性情報要求部２４３は、管理サーバ１０に、クライアント端末３０の属性情報の取得要求を行う。具体的には、属性情報要求部２４３は、管理サーバ１０に、属性情報の取得要求を示す属性取得要求情報を送信することで、属性情報の取得要求を行う。属性取得要求情報には、アクセス要求情報に含まれるＩＰアドレスが含まれている。 The attribute information request unit 243 makes an acquisition request for attribute information of the client terminal 30 to the management server 10. Specifically, the attribute information requesting unit 243 sends an attribute information acquisition request to the management server 10 by transmitting attribute acquisition request information indicating an attribute information acquisition request. The attribute acquisition request information includes the IP address included in the access request information.

属性情報受信部２４４は、管理サーバ１０から、属性取得要求情報に含まれるＩＰアドレスに対応するユーザＩＤ及び属性情報を受信する。また、属性情報受信部２４４は、管理サーバ１０においてＩＰアドレスに対応するユーザＩＤ及び属性情報が取得されなかった場合、エラー情報を受信する。 The attribute information receiving unit 244 receives a user ID and attribute information corresponding to the IP address included in the attribute acquisition request information from the management server 10. Also, the attribute information receiving unit 244 receives error information when the management server 10 does not acquire the user ID and attribute information corresponding to the IP address.

判定部２４５は、記憶部２３に記憶されているアクセス制御ファイルを参照し、クライアント端末３０のコンテンツへのアクセスの可否を判定する。 The determination unit 245 refers to the access control file stored in the storage unit 23 and determines whether or not the content of the client terminal 30 can be accessed.

具体的には、判定部２４５は、第１制御ファイルの許可フラグを参照し、アクセスの要求がされたコンテンツに対応する許可フラグの情報を取得する。この許可フラグが１の場合は、判定部２４５は、アクセスを許可すると判定する。また、この許可フラグの値が０の場合は、判定部２４５は、第２制御ファイルを参照し、アクセスの要求がされたコンテンツのアクセス制御情報を取得し、このアクセス制御情報と、属性情報との比較を行う。続いて、判定部２４５は、アクセス制御情報に属性情報が含まれている場合、アクセスを許可すると判定し、アクセス制御情報に属性情報が含まれていない場合、アクセスを許可しないと判定する。 Specifically, the determination unit 245 refers to the permission flag of the first control file, and acquires permission flag information corresponding to the content requested to be accessed. When the permission flag is 1, the determination unit 245 determines that access is permitted. When the value of the permission flag is 0, the determination unit 245 refers to the second control file, acquires the access control information of the content requested to be accessed, the access control information, the attribute information, Make a comparison. Subsequently, the determination unit 245 determines that access is permitted when the attribute information is included in the access control information, and determines that access is not permitted when the attribute information is not included in the access control information.

出力部２４６は、判定部２４５による判定結果に基づいてクライアント端末３０にコンテンツの情報を出力する。具体的には、出力部２４６は、判定部２４５によりコンテンツへのアクセスを許可すると判定された場合、要求情報を送信したクライアント端末３０に対して、コンテンツの情報を送信する。また、出力部２４６は、判定部２４５によりコンテンツへのアクセスを許可しないと判定された場合、要求情報を送信したクライアント端末３０に対して、アクセスを拒否する旨を示す情報を送信する。 The output unit 246 outputs content information to the client terminal 30 based on the determination result by the determination unit 245. Specifically, when the determination unit 245 determines that access to the content is permitted, the output unit 246 transmits content information to the client terminal 30 that transmitted the request information. When the determination unit 245 determines that access to the content is not permitted, the output unit 246 transmits information indicating that access is denied to the client terminal 30 that transmitted the request information.

ログ記憶制御部２４７は、判定部２４５が判定したことに応じて、コンテンツに係る情報と、属性情報受信部２４４により受信されたユーザＩＤと、このユーザＩＤに対応する属性情報と、判定部２４５がアクセスの可否を判定した時間と、判定部２４５の判定結果をアクセスログとしてログＤＢ２３１に記憶させる。なお、属性情報受信部２４４によりエラー情報が受信された場合、ログ記憶制御部２４７は、コンテンツに係る情報と、判定部２４５がアクセスの可否を判定した時間と、判定部２４５の判定結果をアクセスログとしてログＤＢ２３１に記憶させる。 In response to the determination by the determination unit 245, the log storage control unit 247 determines the information related to the content, the user ID received by the attribute information reception unit 244, the attribute information corresponding to the user ID, and the determination unit 245. Is stored in the log DB 231 as an access log. When error information is received by the attribute information reception unit 244, the log storage control unit 247 accesses the information related to the content, the time when the determination unit 245 determines whether access is possible, and the determination result of the determination unit 245. It is stored in the log DB 231 as a log.

検出部２４８は、ログＤＢ２３１を参照して、所定の条件に基づいて不正アクセスを検出する。具体的には、検出部２４８は、ログＤＢ２３１を参照して、コンテンツへのアクセスが許可されていないユーザＩＤから複数回連続してアクセスされた場合や、ログ記憶制御部２４７によりユーザ情報が記憶されなかった場合、これらのアクセスを不正アクセスとして検出する。 The detecting unit 248 refers to the log DB 231 and detects unauthorized access based on a predetermined condition. Specifically, the detection unit 248 refers to the log DB 231 to store user information when a user ID that is not permitted to access content is continuously accessed multiple times or when the log storage control unit 247 stores the user information. If not, these accesses are detected as unauthorized access.

報知部２４９は、検出部２４８により不正アクセスが検出された場合、不正アクセスがあった旨を報知する。また、報知部２４９は、検出部２４８により不正アクセスが検出された場合、不正アクセスがあった旨と、不正アクセスとして検出されたアクセスに係るアクセスログとを関連付けて、所定の連絡先に電子メールを送信する。所定の連絡先は、例えば、コンテンツサーバ２０の管理者及び管理サーバ１０の管理者のメールアドレスである。 When the detection unit 248 detects unauthorized access, the notification unit 249 notifies that there has been unauthorized access. In addition, when the detection unit 248 detects unauthorized access, the notification unit 249 associates the fact that unauthorized access has occurred with the access log related to access detected as unauthorized access, and sends an e-mail to a predetermined contact Send. The predetermined contact information is, for example, the email address of the administrator of the content server 20 and the administrator of the management server 10.

クライアント端末３０は、このクライアント端末３０のユーザにより、コンテンツサーバ２０にアクセスしコンテンツを受信する。クライアント端末３０は、このクライアント端末３０が起動されてから、初めてコンテンツサーバ２０のコンテンツを閲覧する場合、管理サーバ１０に対して、ユーザＩＤの認証を必要とする。つまり、クライアント端末３０のユーザは、管理サーバ１０においてユーザＩＤの認証が成功した後、コンテンツサーバ２０のコンテンツを受信可能となる。また、クライアント端末３０が管理サーバ１０に認証を行う場合には、このクライアント端末３０のＩＰアドレスと、このクライアント端末３０のユーザのユーザＩＤとを送信する。 The client terminal 30 accesses the content server 20 and receives content by the user of the client terminal 30. The client terminal 30 needs to authenticate the user ID to the management server 10 when browsing the content of the content server 20 for the first time after the client terminal 30 is activated. That is, the user of the client terminal 30 can receive the content of the content server 20 after the management server 10 successfully authenticates the user ID. When the client terminal 30 authenticates to the management server 10, the IP address of the client terminal 30 and the user ID of the user of the client terminal 30 are transmitted.

続いて、図９及び図１０を参照して、アクセス制御システム１における処理の流れを説明する。
図９は、本実施形態に係る管理サーバ１０における認証に係る処理の流れを示すフローチャートである。 Next, the flow of processing in the access control system 1 will be described with reference to FIGS. 9 and 10.
FIG. 9 is a flowchart showing a flow of processing related to authentication in the management server 10 according to the present embodiment.

ステップＳ１１では、制御部１４（認証部１４３）は、クライアント端末３０からユーザＩＤを受け付けることにより、認証を受け付ける。具体的には、制御部１４（認証部１４３）は、クライアント端末３０からユーザＩＤを受け付けると、受け付けたユーザＩＤがユーザＤＢ１３１に記憶されているか判定する。なお、制御部１４（認証部１４３）は、認証を受け付けるとともに、ＩＰアドレスを受信する。 In step S 11, the control unit 14 (authentication unit 143) accepts authentication by accepting a user ID from the client terminal 30. Specifically, when receiving a user ID from the client terminal 30, the control unit 14 (authentication unit 143) determines whether the received user ID is stored in the user DB 131. The control unit 14 (authentication unit 143) accepts authentication and receives an IP address.

ステップＳ１２では、制御部１４（認証部１４３）は、ステップＳ１１において受け付けた認証が成功したか否かを判定する。制御部１４（認証部１４３）は、この判定がＹＥＳの場合、処理をステップＳ１３に移し、この判定がＮＯの場合、処理をステップＳ１１に移す。 In step S12, the control unit 14 (authentication unit 143) determines whether or not the authentication accepted in step S11 is successful. Control part 14 (authentication part 143) moves processing to Step S13, when this judgment is YES, and when this judgment is NO, moves processing to Step S11.

ステップＳ１３では、制御部１４（認証部１４３）は、受け付けたユーザＩＤの属性情報をユーザＤＢ１３１から取得する。 In step S 13, the control unit 14 (authentication unit 143) acquires the attribute information of the received user ID from the user DB 131.

ステップＳ１４では、制御部１４（認証部１４３）は、受信したＩＰアドレスと、受け付けたユーザＩＤと、このユーザＩＤの属性情報を関連付けて紐付ＤＢ１３３に記憶させる。 In step S14, the control unit 14 (authentication unit 143) stores the received IP address, the received user ID, and attribute information of the user ID in the association DB 133 in association with each other.

図１０は、本実施形態に係る管理サーバ１０及びコンテンツサーバ２０におけるアクセス制御の処理の流れを示すフローチャートである。なお、コンテンツサーバ２０の記憶部２３には、アクセス制御ファイル（第１制御ファイル及び第２制御ファイル）が予め記憶されているものとする。 FIG. 10 is a flowchart showing the flow of access control processing in the management server 10 and the content server 20 according to this embodiment. It is assumed that access control files (first control file and second control file) are stored in the storage unit 23 of the content server 20 in advance.

ステップＳ２１では、制御部２４（要求情報受信部２４２）は、クライアント端末３０から、コンテンツへのアクセス要求を示すアクセス要求情報を受信する。このアクセス要求情報には、コンテンツの名称、コンテンツのパス、及びＩＰアドレスが含まれている。 In step S 21, the control unit 24 (request information receiving unit 242) receives access request information indicating an access request for content from the client terminal 30. The access request information includes a content name, a content path, and an IP address.

ステップＳ２２では、制御部２４（属性情報要求部２４３）は、ステップＳ２１にてアクセス要求情報を受信したことに応じて、属性取得要求情報を管理サーバ１０に送信し、管理サーバ１０に対して属性情報の取得要求を行う。この属性取得要求情報には、ステップＳ２１で受信したアクセス要求情報に含まれるＩＰアドレスを含む。 In step S 22, the control unit 24 (attribute information request unit 243) transmits attribute acquisition request information to the management server 10 in response to receiving the access request information in step S 21, and sends an attribute to the management server 10. Request information acquisition. This attribute acquisition request information includes the IP address included in the access request information received in step S21.

ステップＳ２３では、制御部１４（属性取得受付部１４４）は、コンテンツサーバ２０から、属性取得要求情報を受信することで、クライアント端末３０の属性情報の取得要求を受け付ける。
ステップＳ２４では、制御部１４（属性情報送信部１４５）は、ステップＳ２３にて、取得要求を受け付けたことに応じて、紐付ＤＢ１３３を参照し、属性取得要求情報に含まれるＩＰアドレスに対応するユーザＩＤ及び属性情報を取得する。
ステップＳ２５では、制御部１４（属性情報送信部１４５）は、ステップＳ２４にて取得されたユーザＩＤ及び属性情報を、ステップＳ２２で属性取得要求情報を送信したコンテンツサーバ２０に送信する。 In step S 23, the control unit 14 (attribute acquisition receiving unit 144) receives the attribute acquisition request information of the client terminal 30 by receiving the attribute acquisition request information from the content server 20.
In step S24, the control unit 14 (attribute information transmitting unit 145) refers to the association DB 133 in response to receiving the acquisition request in step S23, and the user corresponding to the IP address included in the attribute acquisition request information. Get ID and attribute information.
In step S25, the control unit 14 (attribute information transmission unit 145) transmits the user ID and attribute information acquired in step S24 to the content server 20 that transmitted the attribute acquisition request information in step S22.

ステップＳ２６では、制御部２４（属性情報受信部２４４）は、管理サーバ１０からユーザＩＤ及び属性情報を受信する。
ステップＳ２７では、制御部２４（判定部２４５）は、記憶部２３に記憶されている第１制御ファイルの許可フラグを参照し、コンテンツに対応する許可フラグの値が１であるか否か、すなわち、コンテンツに対するアクセスが許可されているか否かを判定する。制御部２４（判定部２４５）は、この判定がＹＥＳの場合、処理をステップＳ２９に移し、この判定がＮＯの場合、処理をステップＳ２８に移す。 In step S 26, the control unit 24 (attribute information receiving unit 244) receives the user ID and attribute information from the management server 10.
In step S27, the control unit 24 (determination unit 245) refers to the permission flag of the first control file stored in the storage unit 23 and determines whether or not the value of the permission flag corresponding to the content is 1, that is, It is determined whether or not access to the content is permitted. When this determination is YES, control unit 24 (determination unit 245) moves the process to step S29, and when this determination is NO, the process moves to step S28.

ステップＳ２８では、制御部２４（判定部２４５）は、記憶部２３に記憶されている第２制御ファイルに含まれる、アクセスの要求がされたコンテンツに対応するアクセス制御情報を取得し、ステップＳ２６で受信した属性情報が、コンテンツへのアクセスが許可されているか否かを判定する。制御部２４（判定部２４５）は、この判定がＹＥＳの場合、処理をステップＳ２９に移し、この判定がＮＯの場合、処理をステップＳ３０に移す。 In step S28, the control unit 24 (determination unit 245) acquires access control information corresponding to the content requested to be included, which is included in the second control file stored in the storage unit 23, and in step S26. The received attribute information determines whether access to the content is permitted. If this determination is YES, control unit 24 (determination unit 245) moves the process to step S29, and if this determination is NO, it moves the process to step S30.

ステップＳ２９では、制御部２４（出力部２４６）は、ステップＳ２７又はステップＳ２８にてコンテンツへのアクセスを許可すると判定された場合、要求情報を送信したクライアント端末３０に対して、コンテンツの情報を送信する。この処理が完了した後、制御部２４は、処理をステップＳ３１に移す。
ステップＳ３０では、制御部２４（出力部２４６）は、ステップＳ２８にてコンテンツへのアクセスを許可しないと判定された場合、要求情報を送信したクライアント端末３０に対して、アクセスを拒否する旨を示す情報を送信する。 In step S29, if it is determined in step S27 or step S28 that access to the content is permitted, the control unit 24 (output unit 246) transmits the content information to the client terminal 30 that transmitted the request information. To do. After this process is completed, the control unit 24 moves the process to step S31.
In step S30, when it is determined in step S28 that access to the content is not permitted, the control unit 24 (output unit 246) indicates that access is denied to the client terminal 30 that transmitted the request information. Send information.

ステップＳ３１では、制御部２４（ログ記憶制御部２４７）は、ステップＳ２６にて受信したユーザＩＤと、このユーザＩＤに対応する属性情報と、判定部２４５の判定結果をアクセスログとしてログＤＢ２３１に記憶させる。 In step S31, the control unit 24 (log storage control unit 247) stores the user ID received in step S26, the attribute information corresponding to the user ID, and the determination result of the determination unit 245 in the log DB 231 as an access log. Let

ステップＳ３２では、制御部２４（検出部２４８）は、ログＤＢ２３１を参照して、所定の条件に基づいて不正アクセスを検出し、不正アクセスが検出されたか否かを判定する。制御部２４（検出部２４８）は、この判定がＹＥＳの場合、処理をステップＳ３３に移し、この判定がＮＯの場合、処理を終了する。 In step S32, the control unit 24 (detection unit 248) refers to the log DB 231 to detect unauthorized access based on a predetermined condition, and determines whether unauthorized access has been detected. Control part 24 (detection part 248) moves processing to Step S33, when this judgment is YES, and ends processing, when this judgment is NO.

ステップＳ３３では、制御部２４（報知部２４９）は、ステップＳ３２にて不正アクセスとして検出されたアクセスに係るアクセスログとを関連付けて、所定の連絡先に電子メールを送信し、処理を終了する。 In step S33, the control unit 24 (notification unit 249) associates the access log related to the access detected as unauthorized access in step S32, transmits an e-mail to a predetermined contact, and ends the process.

以上のように、本実施形態によれば、コンテンツサーバ２０は、クライアント端末３０から、アクセス要求情報を受信したことに応じて、管理サーバ１０から、クライアント端末３０のＩＰアドレスに基づいて、ユーザＩＤ及び属性情報を受信する。そして、コンテンツサーバ２０は、アクセス制御ファイルに記憶されているユーザＩＤ及び属性情報と、受信したユーザＩＤ及び属性情報に基づいて、クライアント端末３０のコンテンツへのアクセスを許可するか否かを判定し、アクセスを許可すると判定した場合、クライアント端末３０にコンテンツの情報を出力する。
よって、コンテンツサーバ２０は、クライアント端末３０のユーザのユーザＩＤ及び属性情報に基づいて、クライアント端末３０のアクセス制御を行うことができる。 As described above, according to the present embodiment, the content server 20 receives the access request information from the client terminal 30 and then receives the user ID from the management server 10 based on the IP address of the client terminal 30. And receiving attribute information. Then, the content server 20 determines whether to permit access to the content of the client terminal 30 based on the user ID and attribute information stored in the access control file and the received user ID and attribute information. If it is determined that access is permitted, the content information is output to the client terminal 30.
Therefore, the content server 20 can perform access control of the client terminal 30 based on the user ID and attribute information of the user of the client terminal 30.

また、本実施形態によれば、コンテンツサーバ２０のアクセス制御ファイルは、コンテンツを記憶するディレクトリ単位に、コンテンツへのアクセスが許可されたユーザＩＤ及びこのユーザＩＤに対応する属性情報を記憶可能であるので、所定のディレクトリに含まれるコンテンツ全てに一律にアクセス制御を行う場合でも、簡易的にアクセス制御の設定を行うことができる。 Further, according to the present embodiment, the access control file of the content server 20 can store the user ID permitted to access the content and the attribute information corresponding to the user ID for each directory in which the content is stored. Therefore, even when access control is uniformly performed on all contents included in a predetermined directory, it is possible to easily set access control.

また、本実施形態によれば、コンテンツサーバ２０は、クライアント端末３０のコンテンツへのアクセスを許可しないと判定した場合、クライアント端末３０にコンテンツへのアクセスを拒否する旨を示す情報を送信するので、クライアント端末３０のユーザに対して、アクセスが許可されなかったことを通知することができる。 Further, according to the present embodiment, when the content server 20 determines that access to the content of the client terminal 30 is not permitted, the content server 20 transmits information indicating that access to the content is denied to the client terminal 30. The user of the client terminal 30 can be notified that access has not been permitted.

また、本実施形態によれば、コンテンツサーバ２０は、クライアント端末３０のコンテンツへのアクセスを許可するか否かを判定したことに応じて、コンテンツに係る情報、管理サーバ１０から受信したユーザＩＤ及び属性情報、判定された時間、並びに判定結果をアクセスログとして、ログＤＢ２３１に記憶させる。よって、コンテンツサーバ２０は、実際にアクセスされた後でも、アクセスログによりアクセス状況を監視することができる。 Further, according to the present embodiment, the content server 20 determines whether or not to permit access to the content of the client terminal 30, and information related to the content, the user ID received from the management server 10, and The attribute information, the determined time, and the determination result are stored in the log DB 231 as an access log. Therefore, the content server 20 can monitor the access status by the access log even after being actually accessed.

また、本実施形態によれば、コンテンツサーバ２０は、ログＤＢ２３１を参照して、所定の条件に基づいて不正アクセスを検出し、不正アクセスが検出された場合、不正アクセスがあった旨をコンテンツサーバ２０の管理者及び管理サーバ１０の管理者に電子メールにより報知する。よって、コンテンツサーバ２０の管理者及び管理サーバ１０の管理者は、この電子メールを受信することにより、不正アクセスがあったことを迅速に把握することができる。 Further, according to the present embodiment, the content server 20 refers to the log DB 231 to detect unauthorized access based on a predetermined condition, and when unauthorized access is detected, the content server 20 indicates that unauthorized access has occurred. 20 managers and managers of the management server 10 are notified by e-mail. Therefore, the administrator of the content server 20 and the administrator of the management server 10 can quickly grasp that there has been unauthorized access by receiving this e-mail.

以上、本発明の実施形態について説明したが、本発明は本実施形態に限定されるものではなく、本発明の目的を達成できる範囲での変形、改良等は本発明に含まれるものである。 The embodiment of the present invention has been described above, but the present invention is not limited to the present embodiment, and modifications, improvements, and the like within the scope that can achieve the object of the present invention are included in the present invention.

本実施形態では、入力部１２を介して許可フラグテーブル１３２Ａ及び個別設定テーブル１３２Ｂに記憶されている情報の変更を受け付けることとしたが、これに限らない。例えば、許可フラグテーブル１３２Ａ及び個別設定テーブル１３２Ｂへの変更を許可するユーザの認証を行う認証部を設けておき、設定受付部１４１は、この認証部により認証されたことに応じて、これらのテーブルの変更を受け付けてもよい。また、この場合、通信ネットワークＮを介して外部の装置からテーブルの変更を受け付けてもよい。 In the present embodiment, the change of information stored in the permission flag table 132A and the individual setting table 132B is accepted via the input unit 12, but the present invention is not limited to this. For example, an authentication unit that authenticates a user who is permitted to change to the permission flag table 132A and the individual setting table 132B is provided, and the setting reception unit 141 responds to the authentication by the authentication unit. Changes may be accepted. In this case, a table change may be received from an external device via the communication network N.

また、本実施形態では、管理サーバ１０の認証部１４３により認証を行うこととしたが、これに限らない。例えば、コンテンツサーバ２０において認証を行うこととしてもよいし、認証サーバを設けて、この認証サーバにより認証を行うこととしてもよい。 In the present embodiment, the authentication unit 143 of the management server 10 performs authentication, but the present invention is not limited to this. For example, authentication may be performed in the content server 20, or an authentication server may be provided and authentication may be performed by this authentication server.

１アクセス制御システム
１０管理サーバ
１１、２１表示部
１２、２２入力部
１３、２３記憶部
１４、２４制御部
２０コンテンツサーバ
３０クライアント端末
１３１ユーザＤＢ
１３２アクセス制御ＤＢ
１３３紐付ＤＢ
１４１設定受付部
１４２制御ファイル送信部
１４３認証部
１４４属性取得受付部
１４５属性情報送信部
２３１ログＤＢ
２４１ファイル受信部
２４２要求情報受信部
２４３属性情報要求部
２４４属性情報受信部
２４５判定部
２４６出力部
２４７ログ記憶制御部
２４８検出部
２４９報知部
Ｎ通信ネットワーク DESCRIPTION OF SYMBOLS 1 Access control system 10 Management server 11, 21 Display part 12, 22 Input part 13, 23 Storage part 14, 24 Control part 20 Content server 30 Client terminal 131 User DB
132 Access control DB
133 Linked DB
141 Setting reception unit 142 Control file transmission unit 143 Authentication unit 144 Attribute acquisition reception unit 145 Attribute information transmission unit 231 Log DB
241 File reception unit 242 Request information reception unit 243 Attribute information request unit 244 Attribute information reception unit 245 Determination unit 246 Output unit 247 Log storage control unit 248 Detection unit 249 Notification unit N Communication network

Claims

A content server that is connectable to a client terminal and a management server via a communication network, and outputs content information to the client terminal,
Content storage means for storing the content information;
Storing a first control file including a permission flag access to the content indicating whether allowed regardless attribute information of the user, the identification information and attribute information of the user access to the content are permitted An access control information storage means comprising a second control file ;
Request information receiving means for receiving an access request to content from the client terminal and receiving request information including a network address of the client terminal;
In response to receiving the request information including the network address of the client terminal by the request information receiving means , an attribute acquisition information request including the network address of the client terminal is made to the management server, and from the management server, Attribute information receiving means for receiving user identification information and attribute information associated with the network address of the client terminal;
Based on the permission flag relating to access to the content stored in the first control file provided in the access control information means , and the user identification information and the attribute information stored in the second control file, the client Determining means for determining whether or not to allow access to the content of the terminal;
A content server comprising: output means for outputting content information to the client terminal when it is determined that access is permitted by the determination means.

The content server according to claim 1, wherein the access control information storage unit is capable of storing identification information and attribute information of the user permitted to access the content for each directory in which the content is stored.

The content server according to claim 1 or 2, wherein the output unit transmits information indicating that access to the content is denied to the client terminal when the determination unit determines that access is not permitted.

Log storage means for storing an access log to the content from the client terminal;
In response to the determination by the determination unit, the information related to the content, the user identification information and attribute information received by the attribute information reception unit, the time determined by the determination unit, and the determination unit The content server according to claim 1, further comprising: a log storage control unit that stores a determination result as an access log in the log storage unit.

Detecting means for detecting unauthorized access based on a predetermined condition with reference to the log storage means;
The content server according to claim 4, further comprising notification means for notifying an administrator that unauthorized access has been made when unauthorized access is detected by the detection means.

An access control system comprising a client terminal, a content server that can be connected to the client terminal via a communication network and that provides content, and a management server that can be connected to the content server via the communication network. And
The content server
Content storage means for storing the content information;
Storing a first control file including a permission flag access to the content indicating whether allowed regardless attribute information of the user, the identification information and attribute information of the user access to the content are permitted the associated first control file including a permission flag on access control information storage unit access to the content with a second control file, the access to the content are permitted, and the identification information and attribute information of the user Two access control information storage means for storing two control files ;
Request information receiving means for receiving an access request to content from the client terminal and receiving request information including a network address of the client terminal;
In response to receiving request information including the network address of the client terminal by the request information receiving means, a user who transmits the network address of the client terminal to the management server and is associated with the network address of the client terminal Attribute acquisition request means for requesting acquisition of identification information and attribute information,
The management server
Related information storage means for storing the network address of the client terminal, the identification information of the user, and the attribute information in association with each other;
Attribute acquisition receiving means for receiving a network address of the client terminal from the content server and receiving an acquisition request for user identification information and attribute information associated with the network address of the client terminal ;
In response to receiving the attribute information acquisition request by the attribute acquisition reception unit, the attribute acquisition reception unit is associated with the network address of the client terminal from the related information storage unit based on the received network address of the client terminal. Obtaining identification information of the user and the attribute information, and transmitting attribute information to the content server,
The content server
Attribute information receiving means for receiving the identification information of the user and the attribute information associated with the network address of the client terminal from the management server;
Based on the permission flag relating to access to the content stored in the first control file provided in the access control information means , and the user identification information and the attribute information stored in the second control file, the client Determining means for determining whether or not to allow access to the content of the terminal;
An access control system further comprising: an output unit that outputs content information to the client terminal when it is determined by the determination unit that access is permitted.