JP5427600B2 - Access control setting device, method and computer program - Google Patents
Access control setting device, method and computer program Download PDFInfo
- Publication number
- JP5427600B2 JP5427600B2 JP2009297532A JP2009297532A JP5427600B2 JP 5427600 B2 JP5427600 B2 JP 5427600B2 JP 2009297532 A JP2009297532 A JP 2009297532A JP 2009297532 A JP2009297532 A JP 2009297532A JP 5427600 B2 JP5427600 B2 JP 5427600B2
- Authority
- JP
- Japan
- Prior art keywords
- information
- access control
- group
- setting
- resources
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Storage Device Security (AREA)
Description
本発明は、例えば、セキュリティを強化するためにアクセス制御機能を具備したオペレーティングシステム(以下、「セキュアOS(Secure OS)」という)において、非パス表現形式、例えばラベル表現方式のアクセスポリシの内容を、例えば、ディレクトリツリー構造のようなパス表現形式のアクセスポリシに変換して視覚化するアクセス制御設定の仕組みに関する。 In the present invention, for example, in an operating system having an access control function for enhancing security (hereinafter referred to as “Secure OS”), the contents of an access policy in a non-path expression format, for example, a label expression method, are stored. For example, the present invention relates to an access control setting mechanism for visualizing by converting into an access policy in a path expression format such as a directory tree structure.
セキュアOSのアクセス制御方式の一つにラベルベースの制御方式がある(特許文献1参照)。ラベルベースの制御方式では、ラベルによって、ファイル、ディレクトリ等のリソースをグルーピングし、グループ単位でアクセス制御の設定を行う。
アクセス制御の設定は、具体的には、設定者が、多数存在するリソースの各々がどのグループにグルーピングされ、どのラベルが割り当てられるかを記述したファイルであるマッピングファイルと、どのプロセスがどのラベルにアクセスが可能なのかといったアクセス制御の設定内容が記述されたファイルであるアクセス制御ルールとを作成することにより行われる。
One of the secure OS access control methods is a label-based control method (see Patent Document 1). In the label-based control method, resources such as files and directories are grouped according to labels, and access control is set for each group.
Specifically, the access control settings are made by the configurator as a mapping file, which is a file that describes which group of each of the many existing resources is grouped and which label is assigned, and which process is assigned to which label. This is done by creating an access control rule, which is a file in which access control setting contents such as whether access is possible are described.
ラベルベースの制御方式は、リソースをグルーピングすることで、グループ単位でまとめてアクセス制御の設定を管理することができる点で有用である。しかし、設定者は、通常、ディレクトリツリー構造のような階層構造による表現に精通しているため、独自の概念であるラベルを用いたラベルベースの制御方式では、理解に時間がかかり、設定上の負担が大きい。 The label-based control method is useful in that resources can be grouped to collectively manage access control settings in units of groups. However, since the setter is usually familiar with the expression by the hierarchical structure such as the directory tree structure, the label-based control method using the label, which is a unique concept, takes time to understand, The burden is heavy.
また、設定者が、現在のセキュアOSにおいて設定されたアクセス制御の内容を確認したり、変更したりする場合に、馴染みの薄いラベルの概念に基づいたうえで、マッピングファイルとアクセス制御ルールとを逐次見比べながら、設定内容を理解しなければならず、多大な時間が必要となり、効率が悪い。 In addition, when the setter confirms or changes the contents of the access control set in the current secure OS, the mapping file and the access control rule are set based on the concept of the unfamiliar label. It is necessary to understand the setting contents while comparing sequentially, which requires a lot of time and is inefficient.
ラベルベースの制御方式のように、グループ単位でアクセス制御の設定が行われるアクセス制御方式において、複数のファイルに分散して記述されたアクセスポリシを、リソースの階層構造と合わせて視覚化することができれば、上記の問題は解消できる期待がある。
本発明の課題は、例えばラベル表現のような非パス表現形式で設定されたアクセス制御の設定内容をパス表現形式に変換した上で、これを視覚化して、設定内容の把握、設定、変更等を容易にする技術を提供することにある。
In an access control method in which access control is set on a group basis, such as a label-based control method, an access policy described in a distributed manner in multiple files can be visualized together with the hierarchical structure of resources. If possible, there is an expectation that the above problems can be solved.
An object of the present invention is to convert access control setting contents set in a non-path expression format such as a label expression into a path expression format and then visualize this to grasp, set and change the setting contents It is to provide a technology that facilitates the process.
本発明は、上記課題を解決するために、アクセス制御設定装置、方法及びコンピュータプログラムを提供する。
本発明のアクセス制御設定装置は、それぞれ、他のリソースと階層的に関連付けられ、且つ、所定のグループに分類可能な状態で存在し、分類されたときはグループ単位でアクセス制御の設定がなされる複数のリソースに対してアクセス可能な端末装置と接続する接続手段と、接続された前記端末装置から、他のリソースと階層的に関連付けられた前記複数のリソースにおける階層構造を表す情報と各々のリソースのIDとを含む第1情報、各々のリソースがどのグループに分類されているかをそのグループ名と共に表す第2情報、及び、各々のグループについて非パス表現形式で設定されたアクセス制御の内容を表す第3情報を取得する情報取得手段と、取得した第1〜第3情報を所定のメモリに保持するメモリ手段と、前記メモリに保持されている情報のうち、前記第1情報により特定される各階層のリソースのIDと、前記第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、前記第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の設定内容をパス表現形式のものに変換する変換手段と、変換された設定内容を所定の表示装置に表示させるとともに、前記設定内容が同一となる複数のリソースについては同一の態様で表示させる表示制御手段とを有する。
「非パス表現形式」とは、階層構造で表現されるパス表現形式以外の表現形式のものである。例えば、ラベルベースのアクセス制御を行う場合のラベル表現形式は、非パス表現形式の典型である。
このアクセス制御設定装置では、グループ単位でアクセス制御の設定を行う際に、例えば分散して記述されるアクセスポリシを、リソースの階層構造と合わせて視覚化することができ、アクセス制御の内容を容易に把握できるようになる。
The present invention provides an access control setting device, method, and computer program in order to solve the above problems.
The access control setting device of the present invention is hierarchically associated with other resources and exists in a state that can be classified into a predetermined group, and when classified, access control is set in units of groups. Connection means for connecting to a terminal device accessible to a plurality of resources, information representing a hierarchical structure of the plurality of resources hierarchically associated with other resources from the connected terminal device, and each resource The first information including the ID of the second information, the second information indicating the group in which each resource is classified together with the group name, and the content of the access control set in the non-path expression format for each group Information acquisition means for acquiring third information, memory means for storing the acquired first to third information in a predetermined memory, and holding in the memory Among the information, the resource ID of each layer specified by the first information is linked to the group name to which the resource specified by the second information belongs, and each group name, By linking the access control contents set for the group specified by the third information, the conversion means for converting the access control setting contents into a path expression format, and the converted setting contents are predetermined. And display control means for displaying a plurality of resources having the same setting contents in the same manner.
The “non-path expression format” is an expression format other than the path expression format expressed in a hierarchical structure. For example, the label expression format when performing label-based access control is a typical non-path expression format.
In this access control setting device, when setting access control in units of groups, for example, access policies described in a distributed manner can be visualized together with the hierarchical structure of resources, and the contents of access control are easy. You will be able to grasp.
ある実施の態様では、前記アクセス制御の内容の変更または新たな指定を受け付ける受付手段と、この受付手段で受け付けた変更または指定の内容に従って前記メモリに保持されている第2及び第3情報を更新する設定情報更新手段と、更新された第2及び第3情報を前記端末装置に出力するための制御を行う出力制御装置とをさらに有しており、前記表示制御手段は、前記第2及び第3情報を更新したときは更新内容に従って前記表示装置における表示態様を変化させる。これにより、実際に設定するアクセス制御の内容も、容易に視認することができるようになる。 In one embodiment, a receiving unit that accepts a change or new designation of the content of the access control, and updates the second and third information held in the memory according to the contents of the change or designation accepted by the accepting unit Setting information updating means for performing, and an output control device for performing control for outputting the updated second and third information to the terminal device, wherein the display control means includes the second and second information. When the 3 information is updated, the display mode on the display device is changed according to the updated content. As a result, the contents of the access control that is actually set can be easily recognized.
ある実施の態様では、前記設定情報更新手段は、前記第2及び第3情報を更新する際に更新前の第2及び第3情報を保持し、更新後の第2及び第3情報に代えて更新前の第2及び第3情報に復帰可能にする。これにより操作ドリブンによるアクセス制御の設定が容易となる。 In one embodiment, the setting information update unit holds the second and third information before update when updating the second and third information, and replaces the second and third information after the update. It is possible to return to the second and third information before the update. This facilitates the setting of access control by operation-driven.
前記変換手段は、前記表示装置に表示される範囲内で、リソース毎、階層毎またはグループ毎の前記第1情報〜第3情報を前記メモリより読み出し、読み出した情報に基づいて前記アクセス制御の内容をパス表現形式のものに変換する。つまり、表示されない部分については変換を行わない。これにより、1回の表示分の処理量が節約される。 The conversion means reads the first information to the third information for each resource, each hierarchy, or each group from the memory within a range displayed on the display device, and details of the access control based on the read information Is converted to the path expression format. That is, conversion is not performed for a portion that is not displayed. Thereby, the processing amount for one display is saved.
本発明の方法は、それぞれ、他のリソースと階層的に関連付けられ、且つ、所定のグループに分類可能な状態で存在し、分類されたときはグループ単位でアクセス制御の設定がなされる複数のリソースに対してアクセス可能な端末装置と接続されるアクセス制御設定装置が実行する方法であって、前記端末装置から、他のリソースと階層的に関連付けられた前記複数のリソースにおける階層構造を表す情報と各々のリソースのIDとを含む第1情報、各々のリソースがどのグループに分類されたかをそのグループ名と共に表す第2情報、及び、各々のグループについて非パス表現形式で設定されたアクセス制御の内容を表す第3情報を取得し、取得した第1〜第3情報を所定のメモリに保持する段階と、前記メモリに保持されている情報のうち、前記第1情報により特定される各階層のリソースのIDと、前記第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、前記第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の設定内容をパス表現形式のものに変換する段階と、変換された設定内容を所定の表示装置に表示させるとともに、前記設定内容が同一となる複数のリソースについては同一の態様で表示させるための表示制御を行う段階とを有する。 The method of the present invention is a plurality of resources that are hierarchically associated with other resources, exist in a state that can be classified into a predetermined group, and when classified, access control is set in units of groups. An access control setting device connected to a terminal device that can access the information, the information representing a hierarchical structure of the plurality of resources hierarchically associated with other resources from the terminal device; First information including the ID of each resource, second information indicating to which group each resource is classified together with its group name, and contents of access control set for each group in a non-path expression format And acquiring the first information to the third information in a predetermined memory and the information stored in the memory. The resource ID of each layer specified by the first information is linked to the group name to which the resource specified by the second information belongs, and is further specified by the group information and the third information. Linking the access control content set for that group to the path expression format, and displaying the converted setting content on a predetermined display device And performing a display control for displaying the plurality of resources having the same setting contents in the same manner.
本発明のコンピュータプログラムは、それぞれ、他のリソースと階層的に関連付けられ、且つ、所定のグループに分類可能な状態で存在し、分類されたときはグループ単位でアクセス制御の設定がなされる複数のリソースに対してアクセス可能な端末装置、及び、前記アクセス制御の設定を行う者が視認可能な表示装置と接続される、メモリを有するコンピュータを、前記端末装置から、他のリソースと階層的に関連付けられた前記複数のリソースにおける階層構造を表す情報と各々のリソースのIDとを含む第1情報、各々のリソースがどのグループに分類されたかをそのグループ名と共に表す第2情報、及び、各々のグループについて非パス表現形式で設定されたアクセス制御の内容を表す第3情報を取得する情報取得手段、取得した第1〜第3情報を前記メモリに保持するメモリ手段、前記メモリに保持されている情報のうち、前記第1情報により特定される各階層のリソースのIDと、前記第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、前記第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の設定内容をパス表現形式のものに変換する変換手段、変換された設定内容を前記表示装置に表示させるとともに、前記設定内容が同一となる複数のリソースについては同一の態様で表示させる表示制御手段、として機能させる、コンピュータプログラムである。 Each of the computer programs of the present invention is hierarchically associated with other resources and exists in a state that can be classified into a predetermined group, and when classified, a plurality of access control settings are made in units of groups. A terminal device that can access a resource and a computer having a memory that is connected to a display device that can be viewed by a person who sets the access control is hierarchically associated with the other resource from the terminal device. first information, whether the second information representing together with the group name is classified into which group each resource, and, each group including the ID information and each of the resource that represents a hierarchical structure in said plurality of resources that have been Information acquisition means for acquiring third information representing the content of access control set in a non-path expression format for Memory means for holding third information in the memory, among the information held in the memory, the ID of the resource of each layer specified by the first information, and the resource specified by the second information By linking the group name to which the group belongs, and by linking each group name with the access control content set for the group specified by the third information, the access control setting content is expressed as a path. A computer that functions as conversion means for converting into a format, display control means for displaying the converted setting contents on the display device, and for displaying a plurality of resources having the same setting contents in the same manner It is a program.
本発明によれば、各階層のリソースのIDと各リソースが属するグループ名とをリンクさせ、さらに、各グループ名と各々のグループに設定されたアクセス制御の内容とをリンクさせることにより、アクセス制御の設定内容(アクセスポリシ)をパス表現形式のものに変換し、変換された設定内容を表示装置に表示させるとともに、設定内容が同一となる複数のリソースについては同一の態様で表示させるようにしたので、パス表現形式に慣れ親しんだ設定者が、非パス表現形式で設定されたアクセス制御の設定内容を容易に把握でき、設定に要する時間が著しく短縮されるという特有の効果が得られる。 According to the present invention, the access control is performed by linking the resource ID of each layer and the group name to which each resource belongs, and further linking each group name and the content of access control set for each group. The setting contents (access policy) of the above are converted to a path expression format, and the converted setting contents are displayed on the display device, and a plurality of resources having the same setting contents are displayed in the same manner. Therefore, a setter familiar with the path expression format can easily grasp the setting contents of the access control set in the non-path expression format, and a specific effect that the time required for setting is remarkably shortened can be obtained.
以下、本発明の実施の形態例を説明する。情報処理分野におけるアクセス制御技術には、一般に、アクセスを許可したい行為を設定ファイルに記述し、記述されていない行為については拒否するホワイトリスト方式と、その逆で、アクセスを拒否したい行為を記述し、記述されていない行為は許可するブラックリスト方式とが存在するが、本実施形態では、ホワイトリスト方式によるアクセス制御を行う場合の例を説明する。但し、本発明は、ブラックリスト方式においても適用が可能なものである。
本実施形態は、また、セキュアOSを搭載した端末装置に対するアクセス制御内容の設定を外部より行うアクセス制御設定装置の例を挙げる。
Hereinafter, embodiments of the present invention will be described. In the access control technology in the information processing field, in general, an action to be permitted is described in a configuration file, and an act not to be described is denied, and vice versa, an action to be denied access is described. In this embodiment, an example of performing access control by the white list method will be described. However, the present invention can also be applied to the black list method.
This embodiment also gives an example of an access control setting device that performs setting of access control contents for a terminal device equipped with a secure OS from the outside.
[全体構成]
図1は、本実施形態のアクセス制御設定装置100と、このアクセス制御設定装置100によりリモート操作される端末装置200とを含む情報処理システムの全体構成図であり、特徴的な部分のみを示してある。端末装置200は、アクセスポリシ240に従ってアクセス制御内容が設定されるセキュアOS210を搭載している。このセキュアOS210は、非パス表現形式の一例となるラベルベースの制御方式によって、リソースに対するアクセス制御が設定されるものである。
[overall structure]
FIG. 1 is an overall configuration diagram of an information processing system including an access
アクセス制御設定装置100と端末装置200は、例えば、SSH(Secure SHell)などによって双方向の通信可能に接続されている。本例では、端末装置200によるアクセスが制限されるリソースは、セキュアOS210の内部あるいはHDD(Hard disk drive)などの外部デバイスにおいて、それぞれ、他のリソースと階層的に関連付けられ、且つ、所定のグループに分類可能な状態で存在するものとして説明する。これらのリソースは、例えばプログラム、ファイル、ディレクトリ等であり、グループに分類されたときはそのグループ単位でアクセス制御の設定がなされるものである。
The access
[アクセス制御設定装置]
まず、アクセス制御設定装置100の構成例を説明する。図2は、本実施形態におけるアクセス制御設定装置の機能ブロック図である。
アクセス制御設定装置100は、CPU(Central Processing Unit)、RAM(Random Access Memory)、ROM(Read Only Memory)、ネットワークカード、入出力インタフェース等を備えた処理装置110と、ディスプレイ等の表示装置120と、キーボード等の入力装置130と、端末装置200又は外部デバイスと接続するための接続インタフェース140とを備えている。
処理装置110は、コンピュータの一種であり、CPUが本発明のコンピュータプログラムを読み込んで実行することにより、端末装置200のアクセス制御設定に関する機能、具体的には、入力受付部111、情報取得部112、設定情報更新部113、表現形式変換部114、表示制御部115、及び、出力制御部116として動作する。
[Access control setting device]
First, a configuration example of the access
The access
The
入力受付部111は、入力装置130から、アクセス制御の設定に関わる情報、例えば現在の設定内容の確認指示情報、設定内容の変更情報または新たな指定情報の入力を受け付ける。
The
情報取得部112は、端末装置200から、セキュアOS210がアクセス可能なすべてのリソースがどのような状態で存在するかという情報と、各リソースに対する現在のアクセス制御の設定内容がどのようになっているかを表す情報とを取得する。具体的には、各リソースの階層構造及び各々のリソースのID(例えばリソースの種類及び名称)を含む第1情報、各々のリソースがどのグループに分類されているかをそのグループ名と共に表す第2情報、及び、各々のグループについてラベル表現形式で設定されたアクセス制御の内容を表す第3情報を取得する。
The
設定情報更新部113は、図示しないメモリ制御機構との協働により、情報取得部112で取得した第1〜第3情報をRAMの所定領域に保持する。また、入力装置130から変更又は設定の内容を受け付けたときは、受け付けた内容に従って、端末装置200より取得し、保持されている第2及び第3情報を更新する。第2及び第3情報を更新する際には、更新前の第2及び第3情報をRAMに保持し、更新後の第2及び第3情報に代えて更新前の第2及び第3情報に復帰可能にする。
The setting
表現形式変換部114は、保持されている第1〜第3情報のうち、第1情報により特定される各階層のリソースのIDと、第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該設定内容をパス表現形式のものに変換する。
Of the first to third information held, the expression
表示制御部115は、表示装置120への情報の表示制御を行う。表示される情報は、ラベル表現形式からパス表現形式に変換されたリソースの状態を表す画面、各リソースに対して設定されたアクセス制御の内容を表す画面、初期設定を含む各種設定画面等である。アクセス制御の設定内容が同一となる複数のリソースについては同一の態様、例えば同じ色合いで表示させる。さらに、第2及び第3情報が更新されたときは、更新内容に従って表示装置120における表示態様を変化させる。
The
出力制御部116は、RAMに保持されている第2及び第3情報が更新されたときは、更新された第2及び第3情報を端末装置200に出力するための制御を行う。
When the second and third information held in the RAM is updated, the
[端末装置]
次に、端末装置200の構成を詳しく説明する。端末装置200のセキュアOS210において、OSカーネル211の内部にはアクセス制御モジュール212が存在する。アクセス制御モジュール212は、OS起動時に、アクセスポリシ240からマッピングファイル220とアクセス制御ルール230を読み込み、アクセス制御を開始するものである。マッピングファイル220は、ファイル、ディレクトリ等のリソースが、それぞれ、どのラベルに割り当てられるべきかを記述したファイルであり、アクセス制御ルール230は、どのプロセスが、どのリソースに対して、どのようなアクセスが可能なのかを示すファイルである。
[Terminal device]
Next, the configuration of the
マッピングファイル220の内容例を図3に示す。リソースへのアクセス行為には「アクセス主体」と「アクセス客体」が関与するが、アクセス主体となりうるプログラムも、アクセス客体となるファイルやディレクトリも一つのマッピングファイルに記述される。なお、アクセス主体となりうるのはプログラム(プロセス)のみであり、アクセス客体にはプログラムがアクセスするファイルやディレクトリのほか、プログラムによって起動されるプログラムも含まれる。
An example of the contents of the
この例のマッピングファイルの1行目、2行目、4行目はアクセス客体に関するラベル定義の例であり、1行目の「/var(/.*)? system_u:object_r:var_t:s0」は、「ラベルvar_tが、/var以下全てのリソースに割り当てられる」ことを意味する。2行目の「/var/run/*.pid system_u:object_r:var_run_t:s0」は、「ラベルvar_run_tが、/var/run/*.pidの正規表現にマッチするリソースに割り当てられる」ことを意味する。4行目の「/usr(/.*)? system_u:object_r:var_t:s0」は、「ラベルvar_tが、/usr以下全てのリソースに割り当てられる」ことを意味する。1行目と4行目の定義の結果、/varと/usr以下の全てのリソースが1個のラベルvar_tで指定されたことになる。
この例の3行目はアクセス主体になりうるプログラムに関するラベル定義の例であり、「/usr/sbin/httpd system_u:object_r:httpd_exec_t:s0」は、「ラベルhttpd_exec_tが、/usr/sbin/httpdに割り当てられる」ことを意味する。
The first, second, fourth, and fourth lines of the mapping file in this example are examples of label definitions related to access objects. “/Var(/.*)? System_u: object_r: var_t: s0” on the first line is , “Label var_t is assigned to all resources under / var”. The second line "/var/run/*.pid system_u: object_r: var_run_t: s0" means "label var_run_t is assigned to a resource that matches the regular expression of /var/run/*.pid" To do. “/Usr(/.*)? System_u: object_r: var_t: s0” on the fourth line means that the label var_t is assigned to all resources below / usr. As a result of the definitions on the first and fourth lines, all resources under / var and / usr are specified with one label var_t.
The third line of this example is an example of a label definition related to a program that can be an access subject. “/ Usr / sbin / httpd system_u: object_r: httpd_exec_t: s0” indicates that the label httpd_exec_t is Means "assigned".
アクセス制御ルール230の内容例を図4(a),(b)に示す。
アクセス制御ルール230には、アクセス主体がアクセス客体にどのようなアクセスをしてよいかを記述する。また、アクセス主体が新たにプログラムを起動した場合や新たにファイルを作成した場合、起動されたプログラムや作成されたファイルに付与されるラベルを定義する。また、ユーザ用のプロセスはログインデーモン(プログラム)が生成するので、やはりアクセス制御ルールにおいてラベルを定義する。
An example of the contents of the
The
図4(a)のアクセス制御ルールの1行目の「allow httpd_t var_t:file read;」は、「アクセス主体httpd_tは、アクセス客体var_tのfileにreadしかできない」ことを意味する。なお、var_tにはファイルの他、ディレクトリやプログラムが属する場合もあり得るが、このうちfileのreadだけ許可したことを意味する。
2行目の「type_transition usr_t httpd_exec_t:process httpd_t;」は、「アクセス主体usr_tがアクセス客体httpd_exexc_tを実行した結果起動したプロセスは、ラベルhttpd_tに属する」ことを意味する。3行目の「type_transition httpd_t var_run_t:file httpd_var_run_t:」は、「アクセス主体httpd_tがアクセス客体 var_run_t に作ったファイルは、ラベルhttpd_var_run_tに属する」ことを意味する。
図4(b)はアクセス主体がユーザプロセスの場合のラベル定義の例であって、ここではユーザ root がログインした直後のプロセスにラベル「my_root_t」が付与された例を示す。
“Allow httpd_t var_t: file read;” on the first line of the access control rule in FIG. 4A means that “the access subject httpd_t can only read the file of the access object var_t”. In addition to files, var_t may include directories and programs, but this means that only read of file is permitted.
“Type_transition usr_t httpd_exec_t: process httpd_t;” on the second line means that “the process started as a result of the access subject usr_t executing the access object httpd_exexc_t belongs to the label httpd_t”. “Type_transition httpd_t var_run_t: file httpd_var_run_t:” on the third line means that “the file created by the access subject httpd_t for the access object var_run_t belongs to the label httpd_var_run_t”.
FIG. 4B shows an example of label definition when the access subject is a user process. Here, an example in which the label “my_root_t” is given to the process immediately after the user root logs in is shown.
従来のアクセス制御の設定は、マッピングファイル220とアクセス制御ルール230の双方を参照することによって可能となっていた。すなわち、図3のマッピングファイル220の1行目の「/var(/.*)? system_u:object_r:var_t:s0」(var_tとは、/var以下全てのことである)と、図4(a)のアクセス制御ルール230の1行目の「allow httpd_t var_t:file read;」(httpd_tは、var_tのfileにreadしかできない)とによって、「httpd_tは、/var以下全てのfileにreadしかできない」との設定がなされていた。
Conventional access control settings can be made by referring to both the
[アクセス制御設定装置の動作例]
次に、アクセス制御設定装置100の動作例を説明する。
図5は、全体的な動作手順説明図である。図5を参照すると、アクセス制御設定装置100が端末装置200に接続され、処理装置110が起動すると、処理装置110は、動作環境を整え、端末装置200から現在のリソースの情報及びアクセスポリシ240の内容を表す情報を取得し、RAMに保持するとともに、表示装置120に初期情報入力画面を表示させ、アクセス制御の対象プログラムを定める処理を行う(ステップS1)。
初期情報入力画面は、リソースへのアクセスを許可する主体を定めるための情報の入力を促す画面である。本例では、アクセス主体はどのプログラムか、及びどのユーザ又はどのプログラムがそれを起動したのか、という内容を指定できるようにしている。このような指定を設定者が入力装置130を通じて入力すると、処理装置110は、指定された内容を受け付け、以後の処理のためにRAMに保持する(ステップS2)。
[Operation example of access control setting device]
Next, an operation example of the access
FIG. 5 is an explanatory diagram of the overall operation procedure. Referring to FIG. 5, when the access
The initial information input screen is a screen that prompts input of information for determining a subject who is permitted to access a resource. In this example, it is possible to specify the contents of which program the access subject is and which user or which program started it. When the setting person inputs such designation through the
処理装置110は、RAMに保持された情報をもとに、アクセスポリシの表現形式の変換処理を行う(ステップS3)。本例では、ラベル表現形式のアクセスポリシをパス表現形式のものに変換する処理を行う。そして、変換された表現形式のアクセスポリシの内容を表示装置120に表示させる。
The
表示画面をみた設定者が、制御内容の新たな指定又は変更の情報を入力すると、処理装置110は、これらの情報を受け付け、設定情報の生成処理を行う(ステップS4)。具体的には、受け付けた指定又は変更の情報に従って、それ以前に端末装置200より取得してRAMに保持した情報を更新し、更新された情報を端末装置200に出力するための制御を行う。情報を更新するときは更新内容に従って表示装置120における表示態様を変化させる。なお、情報を更新する際には更新前の情報を保持しておき、更新後の情報に代えて何時でも更新前の情報に復帰可能にする。
When the setting person who sees the display screen inputs new designation or change information of the control content, the
その後、処理装置110は、ステップS1で取得したアクセス主体情報と、ステップS4で取得したアクセス制御設定情報(アクセス客体情報と、パーミッション情報)を、端末装置200のアクセスポリシ240に書き込む処理を行い、処理を終える(ステップS5)。
なお、アクセスポリシのパス表現形式への変換は、設定者が指定した範囲で、リソース毎、階層毎又はグループ毎に情報を読み出して行う。例えばあるディレクトリを指定することにより、そのディレクトリに属するファイルのみの情報を読み出す。これにより、全階層のすべての情報を読み込む必要がなくなり、処理量が節約されるので、設定に要する時間が短縮される。
Thereafter, the
The conversion of the access policy into the path expression format is performed by reading out information for each resource, each hierarchy, or each group within a range designated by the setter. For example, by designating a certain directory, information on only files belonging to that directory is read. As a result, it is not necessary to read all information of all layers, and the processing amount is saved, so that the time required for setting is shortened.
次に、図5の全体処理における各処理の手順を詳細に説明する。
[ステップS1の詳細手順]
対象プログラムを定める処理(ステップS1)の詳細手順を図6に示す。
まず、図11に例示される初期情報入力画面300を表示装置120に表示させる(ステップ210)。図11において、「AP」はアクセス制御の対象となるプロセスを表す。「APのパス」は、そのAPがどこに存在するどのプログラムであるかを指定するパス表現領域310である。「APを起動するユーザ(320)」か、「APを起動するプログラムのパス(330)」は、どちらか一方が必須入力となる。これらは、パス表現領域310の入力内容とあわせて、「以降設定するアクセス制御内容は、領域320で指定されたユーザか、領域330で指定されたプログラムが、領域310で指定したプログラムを実行したときに生成されるプロセスに対して有効である」という意味になる。
Next, the procedure of each process in the overall process of FIG. 5 will be described in detail.
[Detailed Procedure of Step S1]
A detailed procedure of the process for determining the target program (step S1) is shown in FIG.
First, the initial
ユーザ指定領域320への指定を検出した場合、処理装置110は、入力されたユーザのIDをキーとして、端末装置200が保持するアクセス制御ルール230を参照し、そのユーザに付与されるラベルを取得する(ステップS230)。例えば、ユーザ名「root」が入力されたとする。処理装置110は、例えば、図4(b)のアクセス制御ルール230の「root:root:s0-s0:c0.c1023」の記述を参照し、「root」の設定を検出する。検出された設定が「user root roles {my_root_r system_r} level s0 range s0-s0:c0.1023」であった場合、「my_root_r」をキーとして、例えば「my_root_r:my_root_t」の結果を検出し、ラベル「my_root_t」を得る。
When the designation to the
一方、プログラム指定領域330への指定を検出した場合、処理装置110は、アクセス制御ルール230及びマッピングファイル220から、そのプログラムが実行されたときに付与されるラベルを取得する(ステップS240)。
例えば、APを起動するプログラムのパスとして「/etc/init.d/httpd」が指定されたとする。処理装置110は、図3のマッピングファイル220における「/etc/init.d/http--system_u:object_r:initrc_exec_t:s0」を参照する。「/etc/init.d/httpd」にはラベル「initrc_exec_t」が付与されていることがわかるので、「initrc_exec_t」をキーとしてアクセス制御ルール230を検索し、例えば「type_transition XXX_t initrc_exec_t:process YYY_t;」のように「initrc_exec_t」を「:」の直前に含むルールを検出し、APを起動するプログラム「/etc/init.d/httpd」のラベル「YYY_t」を得る。
このように、各領域310〜330への指定により、「ユーザ○○/プログラム○○が実行したAPについてのアクセス制御の設定を行う」という内容の初期情報が設定者より入力され、ステップS2により保持されることになる。
On the other hand, when the designation to the
For example, it is assumed that “/etc/init.d/httpd” is specified as the path of the program that starts the AP. The
As described above, the initial information of the content “perform setting of access control for the AP executed by the user XX / program XX” is input by the setter by the designation in each of the
[ステップS3の詳細手順]
表現形式の変換処理(ステップS3)の詳細手順を図7乃至図9に示す。
以下では、主にルートディレクトリ"/"に属するリソースの場合を例にとって説明する。
[Detailed Procedure of Step S3]
Detailed procedures of the expression format conversion process (step S3) are shown in FIGS.
In the following, the case of resources belonging mainly to the root directory “/” will be described as an example.
処理装置110は、まず、マッピングファイルを取得して、マッピングオブジェクトを生成する(ステップS310)。個々のマッピングオブジェクトは、例えば図3におけるマッピングファイルの一行一行に対応し、ラベルオブジェクトと同様にラベル情報と属性情報を有する他、パス情報と正規表現情報を有する。
マッピングファイルは、通常、高々数千行なので、マッピングオブジェクトはマッピングファイル全体を一度に読み込んで生成してもよい。マッピングオブジェクトの属性情報はマッピングファイルの定義を書き写したものなので、マッピングオブジェクトではアクセス制御設定対象となるリソース個々の属性を特定できない。そこで、具体的なアクセス制御設定作業の対象となるリソースと直接関連付けて生成されるラベルオブジェクトを利用して、設定対象リソースの属性を特定する。
The
Since the mapping file is usually several thousand lines at most, the mapping object may be generated by reading the entire mapping file at one time. Since the attribute information of the mapping object is a copy of the definition of the mapping file, the mapping object cannot specify the attribute of each resource that is the target of access control setting. Therefore, the attribute of the setting target resource is specified by using a label object that is generated by directly associating with a resource that is a target of a specific access control setting work.
一方、名前と属性情報のみからなるラベルオブジェクトだけでは、そのラベルはパスに
直すとどこのことかを特定できないため、パス情報を参照するためのマッピングオブジェクトが必要となる。
マッピングオブジェクトは、例えば、図3のマッピングファイル220の「/var(/.*)? system_u:object_r:var_t:s0」の記述に基づくと、マッピングオブジェクトには、ラベル名は「var_t」、パスは「/var」、正規表現は「(/.*)?」、属性は「正規表現が表すリソースの属性」が記述されることとなる。また、設定者が新しいラベルを作成した場合には、マッピングオブジェクトが新たに作成される。マッピングオブジェクトは、処理の簡易化のため、処理装置110で定義したマッピング設定とデフォルトのマッピング設定と、ラベル名の付与ルールを区別する等して、分けて保持するものとしてもよい。
On the other hand, if only the label object consisting only of the name and attribute information is used, it is impossible to specify where the label is converted to a path, so a mapping object for referring to the path information is required.
For example, based on the description of “/var(/.*)? System_u: object_r: var_t: s0” in the
マッピングオブジェクトは、様々なパターンを有する。このことを、図12を参照して説明する。図12において、パターン1におけるマッピングオブジェクト710は、デフォルトのマッピング設定のオブジェクトである。正規表現がパス表現から分離できないため、マッピングオブジェクト710の正規表現の欄は空欄となっており、属性は「dir(ディレクトリ)」である。パターン2のマッピングオブジェクト720は、処理装置110でディレクトリに対して新しいラベルを割り当てた場合の例である。パスには新しいラベルを定義したリソースのパスが記述される。正規表現は「(/.*)?」となり、属性は「dir(ディレクトリ)」である。パターン3のマッピングオブジェクト730は、処理装置110でファイルに対して新しいラベルを割り当てた場合の例である。パスには新しいラベルを定義したリソースのパスが記述され、属性は「file(ファイル)」である。パターン4のマッピングオブジェクト740は、処理装置110で、あるディレクトリ中に動的に作成されるファイルに、親ディレクトリとは異なるラベルを割り当てた場合の例である。パスには親ディレクトリのフルパスが記述され、正規表現にはファイル名のパターンが記述されている。パターン5は、パターン4とほぼ同様の例で、正規表現を定義せず、「*(何でもよい)」とする例である。
Mapping objects have various patterns. This will be described with reference to FIG. In FIG. 12, a
次に、処理装置110は端末装置200から、リソースの階層構造(ディレクトリツリー:パス表現)に関する情報と、リソースのラベル情報に関する情報を取得する。
具体的には、端末装置200に対して、リモート操作によりコマンド“ls /”を実行することにより、例えば、“/”以下のファイル、ディレクトリ等のリソースの一覧を取得する(ステップS315)。
また、端末装置200に対し、コマンド“ls−Z /”を実行することにより、例えば“/”以下のファイル、ディレクトリ等のリソースに対するラベルの一覧を取得する(ステップS320)。その際、上述したように、処理量を減らすために、実際に表示装置120での表示に必要な範囲、例えば、“ /”の1段だけ下位の階層のリソースについてのみ、リソース一覧とラベル一覧を取得し、その他のリソースについては、その下位のリソースが展開される都度、リソース一覧とラベル一覧を取得するものとする。このようにすると、実際に展開され、表示装置120に表示され、設定者に視認される等の必要な範囲でのみ処理を行うため、処理量を分散することができ、一回あたり処理の負担を減らすことができる。
Next, the
Specifically, by executing the command “ls /” on the
Further, by executing the command “ls-Z /” on the
次に、処理装置110は、ステップS315とステップS320で取得した情報に基づき、パス表現用のオブジェクト(以下、「パスオブジェクト」)とラベル表現用のオブジェクト(以下、「ラベルオブジェクト」)を生成する。また、6種類のパーミッションオブジェクトを生成する(ステップS325)。
Next, the
ステップS325におけるオブジェクト生成の概念を図13に示す。図13の左側は、パスオブジェクト410〜414であり、それぞれ、ファイル、ディレクトリ等のリソースの「名前」、OSのディレクトリツリーの親子関係を示す「親参照」情報、ラベルオブジェクトとの対応付けを示す「旧参照」、「新参照」情報が記述される。
「旧参照」には既存のラベルとの対応関係を示すための情報が記述される。「新参照」は、「旧参照」と同様にラベルとの対応関係を示すためのものであるが、設定者が新しいラベルを割り当てた場合に、その新しいラベルを参照先として記述する。このように、「旧参照」とは別に「新参照」を記述するため、一旦新しいラベルを割り当てた後であっても、「新参照」を削除し、「旧参照」の記述に基づいて、元の状態に容易に戻すことができる。
The concept of object generation in step S325 is shown in FIG. On the left side of FIG. 13 are
In the “old reference”, information for indicating a correspondence relationship with an existing label is described. The “new reference” is used to indicate the correspondence with the label as in the “old reference”, but when the setter assigns a new label, the new label is described as a reference destination. In this way, since the “new reference” is described separately from the “old reference”, even after a new label is assigned, the “new reference” is deleted, and the “old reference” It can be easily restored to its original state.
パスオブジェクト410〜414は、それぞれ、ラベルオブジェクト510〜512と関連付けられる。ラベルオブジェクト510〜512は、ラベル表現用のオブジェクトであり、ラベルの「名前」と「属性」とを示している。ラベルオブジェクト510〜512は、それぞれ、パーミッションオブジェクト610〜612に関連付けられる。パーミッションオブジェクト610〜612は、アクセス制御の一例となる許可内容を示すオブジェクトである。例えば「R」は「読み取り(Read)許可」、「RW」は「読み取り(Read)及び書き込み(Write)許可」、「RWXC」は「読み取り(Read)、書き込み(Write)、実行(execute)、ファイル作成(fileCreate)許可」を意味する。
パーミッションオブジェクトには、この他に「パーミッションなし」、「RWC」、「RWX」のパターンがある。パスオブジェクトがラベルオブジェクトを介してパーミッションオブジェクトと関連づけられることにより、後述するように、図19や図20のようなツリー構造表示において、パスリソースはパーミッションタイプごとに(RWXC情報と共に)色分けして表示される。
The path objects 410 to 414 are associated with the label objects 510 to 512, respectively. Label objects 510 to 512 are objects for label expression, and indicate the “name” and “attribute” of the label. Label objects 510-512 are associated with permission objects 610-612, respectively. The permission objects 610 to 612 are objects indicating permission contents as an example of access control. For example, “R” is “read permission”, “RW” is “read and write permission”, and “RWXC” is “read”, “write”, “execute” It means "file creation permission".
In addition to this, there are patterns of “no permission”, “RWC”, and “RWX” in the permission object. By associating a path object with a permission object via a label object, as will be described later, in the tree structure display as shown in FIG. 19 and FIG. 20, the path resource is displayed in different colors for each permission type (with RWXC information). Is done.
図7に戻り、処理装置110は、各パスオブジェクトの「旧参照」が、そのパスリソースに割り当てられたラベルを参照するように、パスオブジェクトとラベルオブジェクトを関連付ける(ステップS330)。
次に、図8のステップS335に進み、処理装置110は、ステップS320で取得したラベル一覧の中に、アクセス制御設定装置100により設定されたラベル(以下、「ラベルA」という。また、ラベルAの定義したラベルオブジェクトを「ラベルオブジェクトA」という。)があるか否か判定する(ステップS335)。ラベルAがない場合(ステップS335:No)、図9のステップS340に進み、処理装置110はさらにマッピングオブジェクトを参照して、図12のパターン4または5に該当する、プログラムによって動的に生成・削除されるファイルとラベルの定義したマッピングオブジェクト(以下、「マッピングオブジェクトB」という。また、マッピングオブジェクトBを定義したラベルを「ラベルB」という。)がないか検索する。マッピングオブジェクトBがなければ(S340:No)、表現形式変換処理(ステップS3)を終了する。
Returning to FIG. 7, the
Next, the
端末装置200について、初めて、アクセス制御設定装置100を使用した場合、ラベルAもマッピングオブジェクトBも発見されることはない。本発明は、アクセスを許可したい行為を設定ファイルに記述し、記述されていない行為については拒否するホワイトリスト方式でアクセス制御設定するものであり、初期状態ではいずれのリソースにも、パーミッションは何ら与えられていないからである。この場合、表現形式変換処理(ステップS3)終了後、設定情報生成処理(ステップS4)のためにユーザに提示されるリソースのツリー構造表示は、何ら色づけのない初期状態としてユーザに提示される。
For the
ここで、いったんステップS3を離れ、先に設定情報の生成処理(ステップS4)について説明する。
[ステップS4の詳細手順]
処理装置110は、ステップS3の処理により、表現形式の変換処理を終えると、設定情報を生成するための処理を行う。設定情報の生成処理(ステップS4)の詳細手順を図10に示す。
ステップS3の処理を終えると、処理装置110はリソースをツリー構造で表現した、「アクセス制御設定画面」をユーザに提示する。各リソースについて種々のパーミッション情報が得られた場合、アクセス制御設定画面に表示されるリソースは、例えば図19や図20のように、パーミッション情報RWXCとともに色分けされて表示される。
アクセス制御設定画面を提示された設定者は、アクセス制御の内容を設定(あるいは変更)したいファイルやディレクトリを指定してクリックする(ステップS410)。
クリック内容を解読した処理装置110は、図14(a)に示すアクセス制御詳細設定画面900を表示装置120に表示させる(ステップS420)。
設定者が、設定画面900に従い、「このパスのアクセス許可」の設定領域901に提示されたパーミッションの中から一つを選び、OKボタン905を押し、パーミッションの設定を行う(ステップS430)。選んだ内容をキャンセルする場合は、キャンセルボタン906を押す。
「同じアクセス許可のパス」の表示領域902には、同じアクセス許可のリソースのパスが表示される。表示領域902にリストされたリソースとは異なるアクセス制御の内容を設定するために、新しいラベルを割り当てる場合には、チェックボックス903を選択する。指定したパスの下位のリソースに同様のアクセス許可を設定する場合には、チェックボックス904を選択する。
Here, the process of generating the setting information (step S4) will be described first after leaving step S3.
[Detailed Procedure of Step S4]
When the processing of the expression format is completed by the processing in step S3, the
When the processing of step S3 is completed, the
The setter presented with the access control setting screen designates and clicks a file or directory for which the content of access control is to be set (or changed) (step S410).
The
In accordance with the
In the
図10に戻り、設定者が設定操作を行うと、処理装置110は、設定者によって選択されたリソース名を読み取り、該当するパスオブジェクトを参照する(ステップS440)。さらに、そのパスオブジェクトからラベルオブジェクトを参照する(ステップS450)。
以下、図15乃至図18を参照し、パスオブジェクトとラベルオブジェクトのタイプごとに場合分けして、アクセス制御設定作業と各オブジェクトの関係を説明する。
パスオブジェクトの新参照がいずれのラベルオブジェクトも参照していない場合、処理装置110はパスオブジェクトの旧参照にしたがってデフォルトラベルのラベルオブジェクトを参照し、ステップS430で選ばれたパーミッションに基づき、パーミッションオブジェクトのリスト構造に該当するラベルオブジェクトを追加する(図15(a)参照)。この結果、ラベルオブジェクトとパーミッションオブジェクトが関連付けられる(ステップS460)。
Returning to FIG. 10, when the setter performs a setting operation, the
Hereinafter, the relationship between the access control setting work and each object will be described with reference to FIGS. 15 to 18 for each type of path object and label object.
If the new reference of the path object does not refer to any label object, the
設定者が新しいラベルの割り当てを選択していた場合、処理装置110は新しいラベルオブジェクトを生成し、パスオブジェクトの新参照が当該新ラベルオブジェクトを参照するようにする。そして、ステップS430で選ばれたパーミッションに基づき、パーミッションオブジェクトのリスト構造に新ラベルオブジェクトを追加することにより、ラベルオブジェクトとパーミッションオブジェクトを関連付ける(ステップS460)(図15(b)参照)。なお、新しいラベルは一定の命名規則に則って付与し、デフォルトマッピングファイルに記載されたラベルと区別できるようにする。
パスオブジェクトの新参照が参照する新ラベルのラベルオブジェクトがすでに存在する場合、処理装置110は当該ラベルオブジェクトとパーミッションオブジェクトの関連付けを、ステップ430で選ばれたパーミッションの内容に更新する(図15(c)参照)。
If the setter has selected to assign a new label, the
When the label object of the new label referred to by the new reference of the path object already exists, the
なお、「ディレクトリ○○に新しいラベル○○を割り当てる」とは、通常、「ディレクトリ○○以下の全てのリソースに対して新ラベル○○を割り当てる」という意味になる。しかし、ディレクトリ○○配下のリソースを示すパスオブジェクトの全てについて、いちいち新参照が新ラベル○○のラベルオブジェクトを参照するように設定する必要はない。子リソースのラベルは、親リソースに従うことを原則とすることで、親をたどっていけば任意の子リソースのラベルを把握することができるからである。 Note that “assigning a new label XX to the directory XX” usually means “assigning a new label XX to all resources under the directory XX”. However, it is not necessary to set all the path objects indicating resources under the directory XX so that the new reference refers to the label object of the new label XX. This is because the label of a child resource is based on the parent resource in principle, and the label of an arbitrary child resource can be grasped by following the parent.
設定者による設定作業の結果、図16に示されるように、パスオブジェクトには3つのタイプが生まれることになる。
タイプ1は、新ラベルが付与されず、旧参照だけがデフォルトラベルを参照するパスオブジェクトである(図16のタイプ1参照)。
タイプ2は、新ラベルが付与され、旧参照はデフォルトラベルを、新参照は新ラベルを参照するパスオブジェクトである(図16のタイプ2参照)。
タイプ3は、新ラベルが付与されたリソースの子リソースを表すパスオブジェクトであって、新参照が新ラベルオブジェクトを参照することはしないが、親リソースを介して実質的に新ラベルを参照するパスオブジェクトである(図16のタイプ3参照)。
As a result of the setting work by the setter, three types of path objects are created as shown in FIG.
Type 2 is given a new label, the old reference is a default label, and the new reference is a path object that refers to the new label (see type 2 in FIG. 16).
パスオブジェクト〜ラベルオブジェクト〜パーミッションオブジェクトについて必要な関連付けを終えると、アクセス制御設定装置100は、画面上に、ディレクトリツリー構造を再描画する(ステップS470)。
図19は、ステップS3の処理の結果、ルートディレクトリ"/"とその直下のディレクトリからなるツリー構造が、パーミッション情報なしの状態で設定者に提示され、設定者がディレクトリ802、804、806にパーミッション設定を施したものである。
図19において、ディレクトリはリソースの集合を表している。図示の例では、ディレクトリ800を最上位とする階層構造となっており、ディレクトリ804には、さらに下位層のディレクトリが存在することを示す「+」表示のボタン(画像)851が示されている。ディレクトリ813には下位層のディレクトリ814が関連付けられている。「−」表示のボタン(画像)852を押すことにより、ディレクトリ814が表示画面から消え、「−」表示が「+」表示に変わる。
ディレクトリ802は所定の色付けがなされ、且つ、「RX」が表示されている。前述したように、「R」は「読み取り許可(Read)」、「X」は「実行(execute)」であるから、ディレクトリ802には、読み取り許可と実行許可が設定されていることがわかる。また、ディレクトリ804には、別の色が付され、且つ、「RW」が設定されている。「W」は、「書き込み許可(Write)」であるから、ディレクトリ804には、読み取り及び書き込みの許可が設定されていることがわかる。同様に、ディレクトリ806には、読み取り許可のみが設定されていることがわかる。
When the necessary association is completed for the path object, the label object, and the permission object, the access
In FIG. 19, as a result of the process of step S3, a tree structure composed of the root directory “/” and the directory immediately below is presented to the setter without permission information, and the setter has permission to the
In FIG. 19, a directory represents a set of resources. In the illustrated example, the
The
図19の「+」表示のボタン(画像)851をクリックすると、表示装置120の表示画面は、図19から図20のようにディレクトリ804の下位層のディレクトリが表示され、ボタン(画像)851は「+」から「−」に変わる。図20の例では、ディレクトリ804に属する複数のディレクトリ815〜825のうち、「PTS」により識別されるディレクトリ824を除いて、他のすべてのディレクトリ815〜822、824、825が同じ色で表されることから、設定されている制御内容が同じであることが一目で理解でき、また、制御内容は「RW」とあるから読み取りと書き込みの許可が設定されていることがわかる。
When the “+” display button (image) 851 in FIG. 19 is clicked, the lower layer directory of the
ここで、設定者が、例えば図20において、ディレクトリ804に設定を行うと、同じラベルに関連付けられている下位層のディレクトリ815〜822、824〜825も、連動して色及び設定内容の表示が変更される。そのため、設定者は、その設定操作の過程で、どのディレクトリに対して同じラベルが関連づけられており、どのような設定内容となっているかを知ることができるため、マッピングファイル220及びアクセス制御ルール230を参照する必要がなく、設定作業が容易になる。
Here, for example, when the setter makes a setting in the
このように、本実施形態では、一度に、全てのリソースのツリー構造とマッピングファイル220及びアクセス制御ルール230の情報とを関連付けると膨大な処理量となり、時間がかかるため、下位層のディレクトリを展開し、表示装置120に表示するときにはじめて、必要な範囲で、マッピングファイル220及びアクセス制御ルール230の情報を収集し、ラベルの関連付けを行うようにしている。これにより、設定者の操作単位で、ラベルの関連付けを行う結果、一度に大量の処理を行う必要がなくなる。
また、一旦収集した情報を、内部のメモリに記録しておけば、情報収集のため再度同じ処理を行う必要がなくなる。
As described above, in this embodiment, if the tree structure of all resources and the information of the
Further, once the collected information is recorded in the internal memory, it is not necessary to perform the same process again for information collection.
このように色づけを行う中での例外は、例えば、図4(a)の3行目「type_transition httpd_t var_run_t:file httpd_var_run_t:」で示す表現である。あるプロセスが、あるラベルに割当てられたディレクトリ以下に、ファイルやディレクトリを作成した場合、別ラベルを割当てるというものである。つまり、事前に新ラベルを一つ作成しておき、決められたラベルが付与されるディレクトリ以下にファイルを作成する場合、通常親のラベルを踏襲するが、今回は作成した新ラベルを割当てるということである。この場合、図14の(b)で示す画面で設定を行う。907は901と同じ用途であるが、908については、作成するファイルやディレクトリの正規表現で表されたパスを入力する。図12の750で示されるように’*’(何でも良い)という表記も可能である。
図14の(b)においてOKボタンを押した直後は、新ラベルを生成し、指定されたパーミッションオブジェクトと関連付けるが、S410で指定したファイルやディレクトリに新ラベルを割当てればよいわけではなく、S410で指定したディレクトリ以下に存在するファイルやディレクトリに対して907で指定した正規表現がマッチングするか調べ、逐次新ラベルを割当てる必要がある(S480)。
An example of the exception in performing coloring in this way is an expression indicated by “type_transition httpd_t var_run_t: file httpd_var_run_t:” on the third line in FIG. When a process creates a file or directory under a directory assigned to a label, a different label is assigned. In other words, if you create a new label in advance and create a file under the directory to which the determined label is assigned, it will normally follow the parent label, but this time it will assign the new label you created. It is. In this case, the setting is performed on the screen shown in FIG. 907 has the same use as 901, but for 908, a path represented by a regular expression of a file or directory to be created is input. As indicated by
Immediately after pressing the OK button in FIG. 14B, a new label is generated and associated with the specified permission object. However, the new label need not be assigned to the file or directory specified in S410. It is necessary to check whether the regular expression specified in 907 matches the file or directory existing under the directory specified in
設定情報生成処理(ステップS4)を終了させると、処理装置110は設定情報をマッピングファイルとアクセス制御ルールに反映させて、全体処理を終了する(ステップS5)。
When the setting information generation process (step S4) is ended, the
[ステップS3の詳細手順]
ここで再び図7乃至図9に戻り、過去にアクセス制御設定装置100による設定がなされていた場合の、表現形式変換処理(ステップS3)について説明する。
本実施形態による設定作業のためには、パスオブジェクトが前述のとおり、図16に示される3つのタイプで表現されていなければならない。しかし、いったん設定作業を終えて設定内容をアクセスポリシに反映してしまうと、リソースと直接関連するラベル情報は新ラベルに置き換わり、“ls−Z”コマンドでラベル情報を読み込むだけでは、タイプ1(旧参照のみがデフォルトラベルオブジェクトを参照)は再現されるが、タイプ2(旧参照がデフォルトラベルオブジェクトを、新参照が新ラベルオブジェクトを参照するもの)とタイプ3(タイプ2の子ノード)のパスオブジェクトが再現されない。以下、タイプ2とタイプ3のパスオブジェクトを再現する手順を、図7、図17及び図18を用いて説明する。
[Detailed Procedure of Step S3]
Here, returning to FIG. 7 to FIG. 9 again, the expression format conversion processing (step S3) when the setting by the access
For the setting operation according to the present embodiment, the path object must be expressed by the three types shown in FIG. 16 as described above. However, once the setting operation is completed and the setting contents are reflected in the access policy, the label information directly related to the resource is replaced with the new label, and only by reading the label information with the “ls-Z” command, the type 1 ( The old reference only refers to the default label object) is reproduced, but type 2 (old reference refers to the default label object, new reference refers to the new label object) and type 3 (type 2 child nodes) The object is not reproduced. Hereinafter, the procedure for reproducing type 2 and
ステップS320で取得したラベルが、過去にアクセス制御設定装置100により設定されたラベル"myLabel_t"であった場合でも、処理装置110はまず旧参照に当該新ラベルのラベルオブジェクトを参照させる(ステップS330)。この結果、タイプ2およびタイプ3のパスオブジェクトはそれぞれ図17(a)及び(b)のようになる。
次に、図8に移り、処理装置110は、ステップ320で取得したラベルがアクセス制御設定装置100が付与したものか否かを判定する。アクセス制御設定装置100が生成したラベルAがあった場合(ステップS335:Yes)、処理装置110はさらにラベルオブジェクトAと関連付けられたパスオブジェクトが、過去に新ラベルを割り当てた親ノードなのか、その子ノードなのか判定する(ステップS345)。パスオブジェクトの名前がマッピングオブジェクトのパスと一致すれば親ノードであり、一致しなければ子ノードである。
まずタイプ2(図17(a))について見ると、"/boot"はマッピングオブジェクト(図17(c))のパス"/boot"と一致するので親ノードであり、この場合は当該パスオブジェクトの新参照にも同じ(新ラベルの)ラベルオブジェクトを参照させる(図17(d):ステップS350)。
Even when the label acquired in step S320 is the label “myLabel_t” set in the past by the access
Next, moving to FIG. 8, the
First, looking at type 2 (FIG. 17A), “/ boot” is the parent node because it matches the path “/ boot” of the mapping object (FIG. 17C). In this case, in this case, The same (new label) label object is also referred to for the new reference (FIG. 17D: step S350).
一方、タイプ3(図17(b))では、"/boot/xxx"はマッピングオブジェクト(図17(c))のパス"/boot"と一致しないので子ノードであり、この場合は新参照によるラベルオブジェクトの参照は行わせない(図17(b)のまま変わらない:ステップS350)。
ついで、処理装置110は、新ラベルを参照するパスオブジェクトの旧参照と、その親ノードのパスオブジェクトの旧参照とを一致させる(親に従わせる:ステップS355)。すなわち、図18(a)のように"/boot"の親ディレクトリ"/"のパスオブジェクトの旧参照がデフォルトラベルオブジェクト"boot_t"を参照している場合、タイプ2は図18(b)のようになり、タイプ2(図16のタイプ2)が再現される。
また、旧参照のみが新ラベルオブジェクトを参照していたタイプ3(図17(b))の場合は、親ノード("/boot")の旧参照がデフォルトラベルオブジェクト"boot_t"を参照することになったので、図18(c)のようになり、やはりタイプ3(図16のタイプ3)が再現される。
On the other hand, in type 3 (FIG. 17B), “/ boot / xxx” is a child node because it does not match the path “/ boot” of the mapping object (FIG. 17C). The label object is not referred to (FIG. 17B remains unchanged: step S350).
Next, the
In the case of type 3 (FIG. 17B) in which only the old reference refers to the new label object, the old reference of the parent node (“/ boot”) refers to the default label object “boot_t”. As shown in FIG. 18C, type 3 (
以上の処理を経て、処理装置110は、過去にアクセス制御設定装置100による設定がなされていた場合、表現形式変換処理に必要なパスオブジェクトの再現に成功する。
Through the above processing, the
設定作業が一度終了した後は、パーミッション情報はアクセス制御ルールに反映されている。したがって、続いて処理装置110は、アクセス制御設定装置100によって付与されたラベルAをキーにしてアクセス制御ルールを検索し、ラベルAに関するパーミッション情報を取得する(ステップS360)。処理装置110は得られたパーミッション情報に基づいてラベルオブジェクトとパーミッションオブジェクトを関連付ける(ステップS365)。
以上の結果、処理装置110は図13に示したような、パスオブジェクト、ラベルオブジェクト、パーミッションオブジェクトの再構成を完了し、ラベルオブジェクトを介して結合されたパーミッションオブジェクトの種類にしたがって、パスオブジェクトが指示するリソースに色づけを行う(ステップS370)。
After the setting work is completed once, the permission information is reflected in the access control rule. Accordingly, the
As a result, the
次に図9に移る。プログラムによって動的に生成・削除されるファイルやディレクトリについては、新たなラベルオブジェクトを生成してもパスオブジェクトからは旧参照にも新参照にも参照させない。実在パスについてパスオブジェクト、ラベルオブジェクト、パーミッションオブジェクトについて関連付ける処理を終えると、処理装置110はマッピングオブジェクトの中に動的に生成・消滅するファイルBとラベルBの定義がないか検索する(ステップS340)。
動的に生成・消滅するファイルBとラベルBの定義がある場合(ステップS340:Yes)、処理装置110はさらにパスオブジェクトを確認し、動的なファイルBがある場合は(ステップS375:Yes)、対応するラベルBをキーにアクセス制御ルールを検索し、ラベルBに関するパーミッション情報を取得する(ステップS380)。処理装置110は得られたパーミッション情報に基づいてラベルオブジェクトBとパーミッションオブジェクトを関連づけ(ステップS385)、パーミッションオブジェクトの種類にしたがって、動的リソースに色付けを行う(ステップS390)。
Next, the process moves to FIG. For files and directories that are dynamically created and deleted by a program, even if a new label object is created, neither the old reference nor the new reference is referenced from the path object. When the processing for associating the real path with the path object, the label object, and the permission object is finished, the
When there is a definition of the file B and the label B that are dynamically generated / erased (step S340: Yes), the
このようにして、本実施形態のアクセス制御設定装置100は、過去になした設定情報から3つのタイプのパスオブジェクトを再現して表現形式変換処理を行い、リソースをツリー構造で表現した「アクセス制御設定画面」をユーザに提示する。過去にアクセス制御設定がなされていた場合、アクセス制御設定画面に表示されるリソースは、例えば図19や図20のように、パーミッション情報RWXCとともに色分けされて表示される。
In this way, the access
リソースに新しいラベルを割り当てた場合には、編集中のアクセスポリシ以外のアクセスポリシには、反映されない。そのため、本実施形態のようなホワイトリスト方式のアクセス制御においては、編集中のアクセスポリシ以外のアクセスポリシが適用されるアクセス主体からは、新しいラベルが関連付けられたリソースには一切アクセスできない事態が生じることがある。このような事態が起こらないようにするため、新しいラベルを割り当てた場合には、例えば、図21に示すような相互確認用の設定画面1000を表示し、随時、他のアクセス主体のアクセスポリシについても、新しいラベルに対するパーミッションの設定を行うことができるようにする。
When a new label is assigned to a resource, it is not reflected in an access policy other than the access policy being edited. Therefore, in the white list access control as in the present embodiment, there is a situation in which an access subject to which an access policy other than the access policy being edited cannot be applied to any resource associated with a new label. Sometimes. In order to prevent such a situation from occurring, when a new label is assigned, for example, a
このように、本実施形態によるアクセス制御設定装置100は、端末装置200から、リソースの情報とラベル表現形式で設定されたアクセス制御の内容を表す情報を取得し、取得した情報のうち、各階層のリソースのIDとそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、そのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の内容をパス表現形式の代表例である階層構造のものに変換し、変換されたアクセス制御の内容を表示装置120に表示させるとともに、アクセス制御の設定内容が同一となる複数のリソースについては同一の態様で表示させるようにしたので、階層構造の表現形式には詳しいが、ラベル表現形式への理解が十分でない設定者が、容易に既存の設定内容を把握することができる。
これにより、過大なアクセス制限が設定されていたり、あるリソースに対しては必要以上に厳しいアクセス制限がなされているなど、ゆる過ぎたり厳しすぎたりする設定がなされている状況の把握が容易になり、端末装置200のセキュアOSを使用する際の初期学習効果を軽減することができる。また、ラベル表現形式でアクセス制御の設定を行った設定者がいなくなった場合でも、階層構造の表現形式に慣れた者が容易に既存の設定内容を把握できるという利点も生じる。
As described above, the access
This makes it easy to understand the situation where excessive access restrictions have been set or access restrictions that are more severe than necessary for certain resources have been set. The initial learning effect when using the secure OS of the
なお、以上は、ホワイトリスト方式の場合の実施の形態例であるが、ブラックリスト方式の場合は、これまでに説明したアクセス制御の内容を、アクセスの「許可」に代えてアクセスの「制限」にすることにより、上述した仕組みを同様に適用することができる。 The above is an example of the embodiment in the case of the white list method. However, in the case of the black list method, the contents of the access control described so far are changed to “restriction” of access instead of “permission” of access. By doing so, the above-described mechanism can be similarly applied.
100・・・アクセス制御設定装置、110・・・処理装置、111・・・入力受付部、112・・・情報取得部、113・・・設定情報更新部、114・・・表現形式変換部、115・・・表示制御部、116・・・出力制御部、120・・・表示装置、130・・・入力装置、140・・・接続インタフェース、200・・・端末装置、210・・・セキュアOS、211・・・OSカーネル、212・・・アクセス制御モジュール、220・・・マッピングファイル、230・・・アクセス制御ルール、240・・・アクセスポリシ、300・・・初期情報入力画面、410〜426・・・パスオブジェクト、510〜528・・・ラベルオブジェクト、610〜615・・・パーミッションオブジェクト、710〜760・・・マッピングオブジェクト、800〜825・・・ディレクトリ、851〜852・・・ボタン(画像)、900・・・詳細設定用画面、1000・・・相互確認用の設定画面。
DESCRIPTION OF
Claims (6)
接続された前記端末装置から、他のリソースと階層的に関連付けられた前記複数のリソースにおける階層構造を表す情報と各々のリソースのIDとを含む第1情報、各々のリソースがどのグループに分類されたかをそのグループ名と共に表す第2情報、及び、各々のグループについて非パス表現形式で設定されたアクセス制御の内容を表す第3情報を取得する情報取得手段と、
取得した第1〜第3情報を所定のメモリに保持するメモリ手段と、
前記メモリに保持されている情報のうち、前記第1情報により特定される各階層のリソースのIDと、前記第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、前記第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の設定内容をパス表現形式のものに変換する変換手段と、
変換された設定内容を所定の表示装置に表示させるとともに、前記設定内容が同一となる複数のリソースについては同一の態様で表示させる表示制御手段とを有する、
アクセス制御設定装置。 Each is hierarchically associated with other resources and exists in a state that can be classified into a predetermined group, and when classified, it can access a plurality of resources for which access control is set for each group. Connection means for connecting to the terminal device;
First information including information representing a hierarchical structure of the plurality of resources hierarchically associated with other resources and IDs of the respective resources from the connected terminal device, and in which group each resource is classified Information acquisition means for acquiring second information representing the information together with the group name, and third information representing the content of access control set in the non-path expression format for each group;
Memory means for holding the acquired first to third information in a predetermined memory;
Of the information held in the memory, the resource ID of each layer specified by the first information is linked to the group name to which the resource specified by the second information belongs, and each group Conversion means for linking the access control setting contents into a path expression format by linking the name and the access control contents set for the group specified by the third information;
Displaying the converted setting content on a predetermined display device, and having a display control means for displaying a plurality of resources having the same setting content in the same mode,
Access control setting device.
この受付手段で受け付けた変更または指定の内容に従って前記メモリに保持されている第2及び第3情報を更新する設定情報更新手段と、
更新された前記第2及び第3情報を前記端末装置に出力するための制御を行う出力制御装置とをさらに有しており、
前記表示制御手段は、前記第2及び第3情報を更新したときは更新内容に従って前記表示装置における表示態様を変化させる、
請求項1記載のアクセス制御設定装置。 Accepting means for accepting a change or designation of the setting contents of the access control;
Setting information updating means for updating the second and third information held in the memory according to the contents of the change or designation received by the receiving means;
An output control device that performs control for outputting the updated second and third information to the terminal device;
The display control means changes the display mode in the display device according to the update content when the second and third information are updated.
The access control setting device according to claim 1.
請求項2記載のアクセス制御設定装置。 The setting information update unit holds the second and third information before update when updating the second and third information, and replaces the second and third information before update with the second and third information before update. Make it possible to return to the third information,
The access control setting device according to claim 2.
請求項1,2または3記載のアクセス制御設定装置。 The conversion means reads the first to third information for each resource, each hierarchy, or each group from the memory within the range displayed on the display device, and determines the contents of the access control based on the read information. Convert to path representation format,
The access control setting device according to claim 1, 2 or 3.
前記端末装置から、他のリソースと階層的に関連付けられた前記複数のリソースにおける階層構造を表す情報と各々のリソースのIDとを含む第1情報、各々のリソースがどのグループに分類されたかをそのグループ名と共に表す第2情報、及び、各々のグループについて非パス表現形式で設定されたアクセス制御の内容を表す第3情報を取得し、取得した第1〜第3情報を所定のメモリに保持する段階と、
前記メモリに保持されている情報のうち、前記第1情報により特定される各階層のリソースのIDと、前記第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、前記第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の設定内容をパス表現形式のものに変換する段階と、
変換された設定内容を所定の表示装置に表示させるとともに、前記設定内容が同一となる複数のリソースについては同一の態様で表示させるための表示制御を行う段階とを有する、方法。 Each is hierarchically associated with other resources and exists in a state that can be classified into a predetermined group, and when classified, it can access a plurality of resources for which access control is set for each group. A method executed by an access control setting device connected to a terminal device,
First information including information representing a hierarchical structure of the plurality of resources hierarchically associated with other resources and the ID of each resource from the terminal device, and to which group each resource is classified The second information represented together with the group name and the third information representing the contents of access control set in the non-path expression format for each group are acquired, and the acquired first to third information are held in a predetermined memory. Stages,
Of the information held in the memory, the resource ID of each layer specified by the first information is linked to the group name to which the resource specified by the second information belongs, and each group Linking the access control setting content to a path expression format by linking the name and the access control content set for the group specified by the third information;
And displaying the converted setting contents on a predetermined display device, and performing display control for displaying the plurality of resources having the same setting contents in the same manner.
前記端末装置から、他のリソースと階層的に関連付けられた前記複数のリソースにおける階層構造を表す情報と各々のリソースのIDとを含む第1情報、各々のリソースがどのグループに分類されたかをそのグループ名と共に表す第2情報、及び、各々のグループについて非パス表現形式で設定されたアクセス制御の内容を表す第3情報を取得する情報取得手段、
取得した第1〜第3情報を前記メモリに保持するメモリ手段、
前記メモリに保持されている情報のうち、前記第1情報により特定される各階層のリソースのIDと、前記第2情報により特定されるそのリソースが属するグループ名とをリンクさせ、さらに、各グループ名と、前記第3情報により特定されるそのグループに設定されたアクセス制御の内容とをリンクさせることにより、当該アクセス制御の設定内容をパス表現形式のものに変換する変換手段、
変換された設定内容を前記表示装置に表示させるとともに、前記設定内容が同一となる複数のリソースについては同一の態様で表示させる表示制御手段、として機能させる、
コンピュータプログラム。 Each is hierarchically associated with other resources and exists in a state that can be classified into a predetermined group, and when classified, it can access a plurality of resources for which access control is set for each group. A computer having a memory connected to a terminal device and a display device visible to a person who performs the setting of the access control;
First information including information representing a hierarchical structure of the plurality of resources hierarchically associated with other resources and the ID of each resource from the terminal device, and to which group each resource is classified Information acquisition means for acquiring second information represented together with a group name, and third information representing the content of access control set in a non-path expression format for each group;
Memory means for holding the acquired first to third information in the memory;
Of the information held in the memory, the resource ID of each layer specified by the first information is linked to the group name to which the resource specified by the second information belongs, and each group Conversion means for converting the access control setting contents into a path expression format by linking the name and the access control contents set in the group specified by the third information;
The converted setting contents are displayed on the display device, and a plurality of resources having the same setting contents are caused to function as display control means for displaying in the same mode.
Computer program.
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2009297532A JP5427600B2 (en) | 2009-12-28 | 2009-12-28 | Access control setting device, method and computer program |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2009297532A JP5427600B2 (en) | 2009-12-28 | 2009-12-28 | Access control setting device, method and computer program |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2011138299A JP2011138299A (en) | 2011-07-14 |
JP5427600B2 true JP5427600B2 (en) | 2014-02-26 |
Family
ID=44349679
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2009297532A Expired - Fee Related JP5427600B2 (en) | 2009-12-28 | 2009-12-28 | Access control setting device, method and computer program |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP5427600B2 (en) |
Families Citing this family (2)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP6124627B2 (en) * | 2013-03-13 | 2017-05-10 | Kddi株式会社 | Terminal, access restriction method and program |
JP6328290B2 (en) * | 2017-04-04 | 2018-05-23 | Kddi株式会社 | Terminal, access restriction method and program |
Family Cites Families (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2002342143A (en) * | 2001-05-21 | 2002-11-29 | Nippon Telegr & Teleph Corp <Ntt> | Access control system, processing program thereof and recording medium |
JP2003162449A (en) * | 2001-11-27 | 2003-06-06 | Mitsubishi Electric Corp | Integrated access management system, integrated access management device and its method and program |
JP4342242B2 (en) * | 2003-08-15 | 2009-10-14 | 日本電信電話株式会社 | Secure file sharing method and apparatus |
JP2005209068A (en) * | 2004-01-26 | 2005-08-04 | Nippon Telegr & Teleph Corp <Ntt> | Security server |
JP4390263B2 (en) * | 2004-03-18 | 2009-12-24 | 日立ソフトウエアエンジニアリング株式会社 | Visualization display method of process access authority in secure OS |
-
2009
- 2009-12-28 JP JP2009297532A patent/JP5427600B2/en not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
JP2011138299A (en) | 2011-07-14 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP4816281B2 (en) | Document use management system, document management server and program thereof | |
US9026508B2 (en) | Document management apparatus and document management method using search folder comprising one or more parent folders | |
JP4837934B2 (en) | Easy-to-understand name generation in a flattened hierarchy | |
JP7231518B2 (en) | Packaging support system and packaging support method | |
JP2010176574A (en) | Method and apparatus for managing data | |
EP2674859A2 (en) | Computing system, method for controlling thereof, and computer-readable recording medium having computer program for controlling thereof | |
WO2017033441A1 (en) | System construction assistance system and method, and storage medium | |
JP5053550B2 (en) | Document processing apparatus and method and document processing system | |
JP4882498B2 (en) | Operation management apparatus, operation management method, and program | |
JP2010061334A (en) | File management system, file management method, and program | |
JP5427600B2 (en) | Access control setting device, method and computer program | |
JP2011154496A (en) | Program and device for setting access right and access right management system | |
WO2010064317A2 (en) | Operation management support program, recording medium on which said program is recorded, operation management support device, and operation management support method | |
CN108885444A (en) | Apparatus for management of information, approaches to IM and information management system | |
JP5427599B2 (en) | Access control setting device, method and computer program | |
JP7018356B2 (en) | Devices and methods to help you create programs using visual programming tools | |
JP2014225256A (en) | Program generation device, control method for the device, and program | |
JP6948492B2 (en) | Information management device and file management method | |
WO2016190444A1 (en) | Information management device, and file management method | |
JP2015162200A (en) | File management device | |
JP5625757B2 (en) | SEARCH CONDITION SETTING DEVICE AND ITS CONTROL METHOD, SEARCH CONDITION SETTING SYSTEM, PROGRAM, AND RECORDING MEDIUM CONTAINING THE PROGRAM | |
JP2009265902A (en) | Document management device, document management method, information processing program, and recording medium | |
JP4175280B2 (en) | Computer network management system, computer network management method and program | |
JP4851872B2 (en) | Layer editing system, server device, client device, and program | |
JP5156335B2 (en) | Image display apparatus, image display method, and program |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20120220 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20130306 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130319 |
|
RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20130515 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20130516 |
|
RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20130816 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20131105 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20131202 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 5427600 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
LAPS | Cancellation because of no payment of annual fees |