JP5366877B2

JP5366877B2 - アクセス権情報管理装置

Info

Publication number: JP5366877B2
Application number: JP2010105615A
Authority: JP
Inventors: 誠一郎田中; 健二郎苗村; 正隆山田; 振宏陸; 愛能代
Original assignee: Toshiba Corp; Toshiba Solutions Corp
Current assignee: Toshiba Corp; Toshiba Digital Solutions Corp
Priority date: 2010-04-30
Filing date: 2010-04-30
Publication date: 2013-12-11
Anticipated expiration: 2030-04-30
Also published as: JP2011233111A

Description

本発明は、複合サービスのアクセス権情報を容易に管理し得るアクセス権情報管理装置に関する。

近年、ＳＯＡ（Service Oriented Architecture）やマッシュアップに代表されるように複数のプリミティブサービスを組合せて新たな複合サービスを容易に構築することができる。更に、新たに作成された複合サービスを他のプリミティブサービスと組合せて、別の複合サービスを構築することもできる。

特開２００７−４５２０号公報特開２００３−２４２１２３号公報

しかしながら、複数のプリミティブサービスを組合せて新たな複合サービスを生成した場合、素材として使用したプリミティブサービスのアクセス権情報と矛盾しないように設定する必要がある。そのため、アクセス権情報の管理が煩雑となる。

また、素材となるプリミティブサービスのアクセス権情報が変更されると、当該プリミティブサービスを利用して作成した複合サービスのアクセス権情報を変更する必要がある。

また、企業内においてマッシュアップのようにプリミティブサービスを組合せて新たな複合サービスを構築する行為をエンドユーザに行わせる場合、アクセス権情報の設定までをエンドユーザに行わせることができないので、別途、情報システム部門がアクセス権情報を設定する必要がある。そのため、アクセス権情報の管理が煩雑となる。

本発明は上記実情に鑑みてなされたものであり、複合サービスのアクセス権を容易に管理し得るアクセス権情報管理装置を提供することを目的とする。

本発明は上記課題を解決するために、複数のプリミティブサービスに対するアクセス権情報を記憶するプリミティブサービスアクセス権情報記憶手段と、各プリミティブサービスの組合せが順序情報及び分岐条件情報に基づいて定義された複合サービス定義情報を記憶する複合サービス定義情報記憶手段と、複合サービスのアクセス権情報取得要求を受け付けると、順序情報及び分岐条件情報に基づいて複合サービス定義情報からプリミティブサービスの組合せを示す可達木を生成し、生成された可達木の枝毎にプリミティブサービスのアクセス権情報の論理積を演算し、該論理積が演算された全ての枝の演算結果の論理和を演算して、複合サービスのアクセス権情報を生成する複合サービスアクセス権情報生成手段と、複合サービスアクセス権情報生成手段により生成された複合サービスのアクセス権情報をアクセス権情報取得要求の要求元に送信する手段と、を備えたアクセス権情報管理装置を提供する。

＜作用＞
従って、本発明は以上のような手段を講じたことにより、複合サービスのアクセス権情報取得要求を受け付けると、順序情報及び分岐条件情報に基づいて複合サービス定義情報からプリミティブサービスの組合せを示す可達木を生成し、生成された可達木の枝毎にプリミティブサービスのアクセス権情報の論理積を演算し、論理積が演算された全ての枝の演算結果の論理和を演算して、複合サービスのアクセス権情報を生成するので、複合サービスのアクセス権情報を容易に管理し得るアクセス権情報管理装置を提供することができる。

本発明によれば、複合サービスのアクセス権情報を容易に管理することができる。

本発明の第１の実施形態に係るアクセス権管理装置１０の構成を示す模式図である。同実施形態に係るプリミティブサービスアクセス権情報記憶部１１の構成を示す模式図である。同実施形態に係るプリミティブサービスアクセス権情報記憶部１１の格納されるデータ構造の例を示す図である。同実施形態に係る複合サービス定義情報の概念を示す模式図である。同実施形態に係る複合サービス定義情報記憶部１３の格納されるデータ構造の例を示す図である。同実施形態に係る複合サービスアクセス権情報記憶部１７の構成を示す模式図である。同実施形態に係るアクセス権情報管理装置１０の動作を説明するためのフローチャートである。同実施形態に係る分岐条件毎に枝をもつ可達木の概念を示す模式図である。同実施形態に係るアクセス権情報管理装置１０の動作を説明するためのフローチャートである。同実施形態に係る分岐条件の無い可達木の概念を示す模式図である。同実施形態に係る複合サービス定義情報一例を示す模式図である。同実施形態に係るプリミティブサービスのアクセス権情報の一例を示す模式図である。同実施形態に係る複合サービスのアクセス権情報の一例を示す模式図である。同実施形態に係るアクセス権情報管理装置１０の動作を説明するための図である。同実施形態に係る複合サービスのアクセス権情報の一例を示す模式図である。同実施形態に係る複合サービスの分岐以降のアクセス権情報の生成動作を説明するための模式図である。同実施形態に係る複合サービス定義情報のデータ構造の一例を示す模式図である。同実施形態に係る複合サービス定義情報から作成された可達木のデータ構造の一例を示す模式図である。同実施形態に係る可達木の分岐以降のアクセス権情報の一例を示す模式図である。同実施形態に係る分岐以降のアクセス権情報が付加された複合サービス定義情報の概念を示す模式図である。同実施形態に係る分岐以降のアクセス権情報が付加された複合サービス定義情報のデータ構造の一例を示す模式図である。同実施形態に係る複合サービスの一例を示す模式図である。

以下、図面を参照して本発明の実施形態を説明する。

＜第１の実施形態＞
（アクセス権情報管理装置の構成）
図１は本発明の第１の実施形態に係るアクセス権情報管理装置１０の構成を示す模式図である。

アクセス権情報管理装置１０は、プリミティブサービスアクセス権情報記憶部１１・プリミティブサービスアクセス権情報管理部１２・複合サービス定義情報記憶部１３・複合サービス定義情報管理部１４・複合サービスアクセス権情報管理部１５・複合サービスアクセス権情報演算部１６・複合サービスアクセス権情報記憶部１７を備えている。なお、以下の説明において、「プリミティブサービス」とは、複合サービスの素材となる最小粒度のサービスのことである。

プリミティブサービスアクセス権情報記憶部１１は、複数のプリミティブサービスに対するアクセス権情報を記憶する記憶装置である。このプリミティブサービスアクセス権情報記憶部１１は、図２に示すようにサービス番号毎にサービス名と「プリミティブサービスのアクセス権情報」とを記憶する。なお、実際に記憶装置に格納する際のデータ構造は図３に示すとおりである。

プリミティブサービスアクセス権情報管理部１２は、プリミティブサービスアクセス権情報記憶部１１にアクセスし、素材となるプリミティブサービスのアクセス権情報を管理するものである。プリミティブサービスアクセス権情報管理部１２は、プリミティブサービスの追加や削除がされると、プリミティブサービスアクセス権情報記憶部１１に記憶されたプリミティブサービスのアクセス権情報の追加や削除をする。また、プリミティブサービスアクセス権情報管理部１２は、プリミティブサービスのアクセス権情報の変更も管理する。

複合サービス定義情報記憶部１３は、「複合サービス定義情報」を記憶する記憶装置である。複合サービス定義情報は、例えば図４に概念を示すように、複合サービスがどのようなプリミティブサービスから構成されているかを示す情報であり、各プリミティブサービスの組合せが「順序情報」及び「分岐条件情報」に基づいて対応付けられている。すなわち、複合サービスは、プリミティブサービスの使用関係が有向グラフの形式で定義されるものである。なお、複合サービスＸが一度定義されると、その複合サービスＸをプリミティブサービスと同じように扱い、他のプリミティブサービスと組合せて新たな複合サービスＹを定義することもできる。要するに、複合サービスは入れ子の状態で定義可能である。

図４の例では、複合サービスＡはプリミティブサービス１・複合サービス２・プリミティブサービス４・複合サービス５と、プリミティブサービス１・プリミティブサービス３・プリミティブサービス４・複合サービス５とからなり、複合サービスＢはプリミティブサービス６・複合サービス７・プリミティブサービス８・複合サービス９からなる。なお、上記複合サービスＡ及びＢが記憶装置に格納される際のデータ形式の一例としてはそれぞれ図５（Ａ）及び（Ｂ）のように表される。

複合サービス定義情報管理部１４は、複合サービス定義情報記憶部１３にアクセスし、複合サービス定義情報を管理するものである。

複合サービスアクセス権情報管理部１５は、管理端末２０等から「アクセス権情報取得要求」を受け取ると、複合サービスアクセス権情報演算部１６を制御して複合サービスのアクセス権情報を生成させ、生成させた複合サービスのアクセス権情報をアクセス権情報取得要求の要求元に送信する機能を有している。

複合サービスアクセス権情報演算部１６は、複合サービスのアクセス権情報を演算により生成するものであり、演算結果を複合サービスアクセス権情報管理部１５に送出する。

詳しくは、複合サービスアクセス権情報演算部１６は、複合サービスの「アクセス権情報取得要求」を受け付けると、順序情報及び分岐条件情報に基づいて複合サービス定義情報からプリミティブサービスの組合せを示す可達木を生成する。それから、複合サービスアクセス権情報演算部１６は、生成された可達木の枝毎にプリミティブサービスのアクセス権情報の論理積（ａｎｄ）を演算する。そうして、複合サービスアクセス権情報演算部１６は、論理積が演算された全ての枝の演算結果の論理和（ｏｒ）を演算して、複合サービスのアクセス権情報を生成する。なお、本実施形態において、「可達木」の用語には可達木のみならず被覆木も含まれるものとする。

また、複合サービスアクセス権情報演算部１６は、分岐条件対応機能１６Ｓを備えている。分岐条件対応機能１６Ｓは、複合サービス定義情報に分岐条件情報が含まれる場合、分岐条件情報に対応させた可達木の分岐毎に分岐以降のアクセス権情報を生成し、当該生成した全ての分岐以降のアクセス権情報を分岐条件情報に対応させて複合サービス定義情報に書き込む機能をもっている。但し、この分岐条件対応機能１６Ｓは、任意の付加的事項であるので、省略してもよい。

なお、複合サービスアクセス権情報演算部１６は、次の３つのタイミングで演算処理を開始する。すなわち、（１）複合サービスアクセス権情報管理部１５から演算要求があったとき、（２）複合サービス定義情報管理部１４にて複合サービスの追加、削除またはサービス間の使用関係に変更があったとき、（３）プリミティブサービスアクセス権情報管理部１２にて、プリミティブサービスのアクセス権情報に変更があったとき、である。

複合サービスアクセス権情報記憶部１７は、複合サービスのアクセス権情報を記憶する記憶装置であり、図６に示すように、複合サービスアクセス権情報管理部１５から送出された複合サービスのアクセス権情報をサービス番号及びサービス名に対応させて記憶する。

（アクセス権情報管理装置の動作）
次に本実施形態に係るアクセス権情報管理装置１０の動作を図７のフローチャートを用いて説明する。

アクセス権情報管理装置１０が管理端末２０等から「アクセス権情報取得要求」を受信すると（Ｓ１）、複合サービスアクセス権情報管理部１５により、複合サービスアクセス権情報演算部１６の制御が行なわれる。

複合サービスアクセス権情報演算部１６においては、複合サービス定義情報記憶部１３から複合サービス定義情報が取得される（Ｓ２）。

続いて、複合サービスアクセス権情報演算部１６により、図８に示すように、複合サービス定義情報内の順序情報及び分岐条件情報に基づいて、分岐条件毎に枝をもつ可達木が生成される（Ｓ３）。それから、複合サービスアクセス権情報演算部１６により、可達木の枝毎に、枝に含まれるサービスのアクセス権情報が取得されると共に（Ｓ４）、この取得したサービスのアクセス権情報の論理積（ａｎｄ）が求められる（Ｓ５）。なお、この論理積の演算結果を求めることは、枝毎のアクセス権情報を作成することに相当する。そして、全ての枝に対して上述の処理が行なわれると、全ての枝における論理積の演算結果に対して論理和（ｏｒ）が求められる(Ｓ６)。なお、この論理和の演算結果を求めることは、複合サービスのアクセス権情報を作成することに相当する。また、論理和の演算結果としては、当該演算結果内に重複したアクセス権情報がある場合には、当該重複したアクセス権情報を共通化して表すように整理してもよい。続いて、この論理和の演算結果が複合サービスのアクセス権情報として複合サービスアクセス権情報記憶部１７に書き込まれる（Ｓ７）。また、複合サービスアクセス権情報記憶部１７に記憶された複合サービスのアクセス権情報が、複合サービスアクセス権情報管理部１５により「アクセス権情報取得要求」の要求元である管理端末２０等に送信される（Ｓ８）。

また、分岐条件対応機能１６Ｓを備えた場合には、図９の右側に示すように、上記ステップＳ４〜Ｓ７に並行して、分岐条件対応機能１６Ｓは、複合サービス定義情報内の分岐条件情報に対応させた可達木の分岐毎に分岐以降の各サービスのアクセス権情報を取得し（Ｓ４’）、当該取得したアクセス権情報の論理積を演算（ａｎｄで結合）して分岐以降のアクセス権情報を作成し（Ｓ５’）、当該作成した全ての分岐以降のアクセス権情報を分岐条件情報に対応させて複合サービス定義情報に書き込む（Ｓ７’）。

なお、複合サービス定義情報に分岐条件情報が含まれていない場合には、複合サービスアクセス権情報演算部１６により、図１０に示すような１つの枝（幹）からなる可達木が生成され、プリミティブサービスのアクセス権情報の論理積（ａｎｄ）が求められる。そして、この論理積の情報が複合サービスのアクセス権情報として複合サービスアクセス権情報記憶部１７に書き込まれる。

次に、図７に示した動作の具体例として、図１１に示す複合サービスＸのアクセス権情報を生成する場合を説明する。この例では複合サービスＸは、1つの条件分岐により、２つの枝Ｋ１，Ｋ２をもつ可達木から構成されている。第１の枝Ｋ１は、（１）プリミティブサービス１・プリミティブサービス２・プリミティブサービス４・プリミティブサービス５からなり、第２の枝Ｋ２は、（２）プリミティブサービス１・複合サービスＣ・プリミティブサービス４・プリミティブサービス５からなる。また、各プリミティブサービスのアクセス権情報及び複合サービスのアクセス権情報の内容はそれぞれ図１２及び図１３に示すとおりである。

このような構成において、複合サービスアクセス権情報演算部１６により、第１の枝Ｋ１に含まれるプリミティブサービスのアクセス権情報は、図１４（Ａ）に示されるように、ａｎｄで連結される。これを整理すると図１４（Ｂ）のようになる。

同様に、複合サービスアクセス権情報演算部１６により、第２の枝Ｋ２に含まれるプリミティブサービスのアクセス権情報が、図１４（Ｃ）に示されるように、ａｎｄで連結される。これを整理すると図１４（Ｄ）のようになる。

続いて、複合サービスアクセス権情報演算部１６により、第１の枝Ｋ１における連結されたアクセス権情報と、第２の枝Ｋ２における連結されたアクセス権情報とが、図１４（Ｅ）に示されるように、ｏｒで接続される。この接続されたアクセス権情報を、共通部分を括弧でくくるように整理すると図１４（Ｆ）のようになる。そして、この整理した結果が図１５に示されるように、複合サービスＸのアクセス権情報として複合サービスアクセス権情報記憶部１７に新たに登録される。

次に、図９の右側に示した動作の具体例として、図１６に示す複合サービスＸの分岐以降のアクセス権情報を生成する場合を説明する。なお、ステップＳ１〜Ｓ３の動作は、前述した通りである。ステップＳ２では、図１７に示すデータ構造をもつ複合サービス定義情報が取得され、ステップＳ３では、図１８に示すデータ構造をもつ可達木が作成される。

続いて、分岐条件対応機能１６Ｓは、ステップＳ４〜Ｓ５に並行して、複合サービス定義情報内の分岐条件情報に対応させた可達木の分岐毎に分岐以降の各サービスのアクセス権情報を取得し（Ｓ４’）、図１９（Ａ）及び図１９（Ｂ）に示すように、当該取得したアクセス権情報の論理積を演算（ａｎｄで結合）して分岐以降のアクセス権情報を作成する（Ｓ５’）。なお、図１９（Ａ）及び図１９（Ｂ）に示す各アクセス権情報は、それぞれ整理しても変わらない。

また、分岐条件対応機能１６Ｓは、ステップＳ７に並行して、当該作成した全ての分岐以降のアクセス権情報を分岐条件情報に対応させて複合サービス定義情報に書き込む（Ｓ７’）。この結果、複合サービス定義情報は、図２０に概念を示すように、図２１に示すデータ構造をもつ情報となる。しかる後、分岐条件対応機能１６Ｓは、処理を終了する。

（アクセス権情報管理装置の効果）
以上説明したように本実施形態に係るアクセス権情報管理装置１０は、複合サービスのアクセス権情報取得要求を受け付けると、順序情報及び分岐条件情報に基づいて複合サービス定義情報からプリミティブサービスの組合せを示す可達木を生成し、生成された可達木の枝毎にプリミティブサービスのアクセス権情報の論理積を演算し、論理積が演算された全ての枝の演算結果の論理和を演算して、複合サービスのアクセス権情報を生成するので、複合サービスのアクセス権情報を容易に管理することができる。

要するに、アクセス権情報管理装置１０によれば、プリミティブサービスのアクセス権情報を変更したとしても、複合サービスのアクセス権情報が自動的に変更されるので、アクセス権情報の変更漏れなどを回避することができる。

また、アクセス権情報管理装置１０では、複合サービスのアクセス権情報が自動的に生成されるため、エンドユーザによる複合サービスの構築におけるアクセス権情報の設定が不要となる。

なお、近年、マッシュアップにより複数のプリミティブサービスや複合サービスをユーザが自分で組合せて、新たな複合サービスを構築していく状況が増加している。換言すると、アクセス権情報を多数生成しては廃棄されている状況が増加している。かかる状況においても、本実施形態に係るアクセス権情報管理装置１０によれば、アクセス権情報を多数生成して廃棄しても、アクセス権情報の変更漏れや誤りなどを回避することができる。

また、本実施形態に係るアクセス権情報管理装置１０は、複合サービス定義情報記憶部１３が、分岐条件情報に対応させてアクセス権情報を記憶している。換言すると、分岐している部分以降のアクセス権情報の論理積の演算結果を記憶している。

これにより、複合サービスの分岐処理を実行する際に、分岐条件情報に対応するアクセス権情報に基づいてアクセス許諾を行なうようにすることで、ユーザに認証結果を早く通知し、利便性を向上することができる。

例えば、複合サービスとして、図２２に概念を示すような、駅前表示処理・社員予定管理処理・経費処理・出張決裁処理のプリミティブサービスから構成される社員出張サービスが複合サービス定義情報記憶部１３に定義されているとする。また、社員予定管理処理の際に、本社に属する社員か否かが分岐条件１，２として定義されており、本社に属さない社員（分岐条件２）に対しては主任以上でなければ経費処理へのアクセスが許可されていないとする。言い換えると、複合サービス定義情報においては、分岐条件２に対応付けて、“ａｎｄ主任以上”を示すアクセス権情報が書き込まれているとする。

この場合に、本社に属さない主任未満の社員は、経費処理の段階まで処理を進めなくても、条件分岐の段階で社員出張サービスの利用ができないことを把握できることになる。それゆえ、結果としてユーザへの利便性を向上することができる。

＜その他＞
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に構成要素を適宜組み合わせてもよい。

なお、上記実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

１０・・・アクセス権情報管理装置、１１・・・プリミティブサービスアクセス権情報記憶部、１２・・・プリミティブサービスアクセス権情報管理部、１３・・・複合サービス定義情報記憶部、１４・・・複合サービス定義情報管理部、１５・・・複合サービスアクセス権情報管理部、１６・・・複合サービスアクセス権情報演算部、１７・・・複合サービスアクセス権情報記憶部。

Claims

複数のプリミティブサービスに対するアクセス権情報を記憶するプリミティブサービスアクセス権情報記憶手段と、
前記各プリミティブサービスの組合せが順序情報及び分岐条件情報に基づいて定義された複合サービス定義情報を記憶する複合サービス定義情報記憶手段と、
前記複合サービスのアクセス権情報取得要求を受け付けると、前記順序情報及び前記分岐条件情報に基づいて前記複合サービス定義情報からプリミティブサービスの組合せを示す可達木を生成し、生成された可達木の枝毎にプリミティブサービスのアクセス権情報の論理積を演算し、該論理積が演算された全ての枝の演算結果の論理和を演算して、前記複合サービスのアクセス権情報を生成する複合サービスアクセス権情報生成手段と、
前記複合サービスアクセス権情報生成手段により生成された複合サービスのアクセス権情報を前記アクセス権情報取得要求の要求元に送信する手段と、
を備えたことを特徴とするアクセス権情報管理装置。
請求項１に記載のアクセス権情報管理装置において、
前記複合サービス定義情報記憶手段が、前記分岐条件情報に対応させてアクセス権情報を記憶することを特徴とするアクセス権情報管理装置。