JP5454307B2 - 中継装置 - Google Patents

Description

本発明は、中継装置に対して処理を指示するユーザの権限を設定する技術に関する。

ルータは、ＯＳＩ（Open Systems Interconnection）参照モデルの第１層である物理層から第３層であるネットワーク層までの階層において複数のネットワークを論理的に接続してデータの中継を行う中継装置である。このルータに対しては、ルータ自身が行う処理の内容を決めるコンフィグレーション情報が利用者によって設定される。例えば、ルータのＩＰアドレスや、データをフィルタリングするのに用いるフィルタの内容、さらには、ユーザからの要求に応じてルータが出力する内容などが、このコンフィグレーション情報に含まれる。ユーザは、ルータに接続されたコンピュータからそのルータにログインしてコンフィグレーション情報にアクセスし、各種のコマンドを入力することで、コンフィグレーション情報を書き換えたりコンフィグレーション情報を表示させたりなどの、各種の処理をルータに指示する。

ルータにアクセスしてログインし得るユーザには、無名ユーザ、一般ユーザ、管理ユーザがある。無名ユーザは、ログイン名は無しで、予めルータに設定されたパスワードでルータにログインし、全コマンド群のうちの一部のコマンドを用いてルータに処理を指示することができる。一般ユーザは、予めルータに設定されたログイン名及びパスワードを用いてログインし、無名ユーザと同様に、一部のコマンドを用いてルータに処理を指示することができる。一般に、これらの無名ユーザおよび一般ユーザには、コンフィグレーション情報の表示などのように、ルータの中継処理そのものに影響がないような処理について、ルータに指示する権限が与えられている。管理ユーザは、例えば、無名ユーザもしくは一般ユーザとしてログインしたあとに、さらに管理ユーザ用として予めルータに設定されたログイン名とパスワードによってログインして、すべてのコマンドを用いてルータに処理を指示することが可能である。この管理ユーザは、無名ユーザや一般ユーザ（以下単に一般ユーザという）の権限やパスワード設定なども行うことができる。このようなルータにアクセスし得るユーザを管理する技術として、例えば特許文献１には、管理ユーザのみが変更可能な管理テーブルに、一般ユーザとコマンドとの組を記述しておき、一般ユーザに対して管理ユーザの権限を与えることが記載されている。

特開平１１−２５９４２６号公報

一般ユーザの権限については、例えば管理ユーザのみが書き換え可能な管理テーブルに記述する例が考えられる。図７は、管理ユーザが或る一般ユーザＸの権限を設定した場合の管理テーブルの内容の一例である。図７において、１行目の「ip lan1 address 192.168.100.1/24」は、或るローカルネットワーク（以下、ＬＡＮ１という）のルータのＩＰアドレスとして「192.168.100.1/24」を設定する権限が一般ユーザＸに与えられていることを意味している。２行目の「ip lan1 secure filter in 1」は、外部ネットワークからＬＡＮ１に入ってくるデータに対してフィルタ処理を行うことを設定する権限が一般ユーザＸに与えられていることを意味している。３行目の「ip lan1 secure filter out 1」はＬＡＮ１から外部ネットワークへ出ていくデータに対してフィルタ処理を行うことを設定する権限が一般ユーザＸに与えられていることを意味している。一般ユーザは、自身に与えられている権限内の処理であれば、コマンドを用いてその処理をルータに指示することができる。

ところで、管理ユーザは例えばＩＰアドレスの設定の権限を一般ユーザに与えるときには、図７に示した如く、そのＩＰアドレスである「192.168.100.1/24」そのものを引数として管理テーブルに記述するようになっている。このため、一般ユーザがそれ以外のＩＰアドレスには一切変更することができないが、これでは、一般ユーザにとって自身の権限内で指示できる処理の範囲が非常に限られているため、一般ユーザに対して包括的な権限の与え方を実現することができれば便利である。一方、管理ユーザは、例えば或るＬＡＮに対するインタフェースとしてのルータの設定処理をすべて一般ユーザに行わせたいと考えた場合には、その設定処理の全てについて１つ１つ権限を与えて管理テーブルに逐一記述すればよいわけだが、この作業に相当の手間を要するという問題がある。

そこで、本発明の目的は、中継装置に対する処理をユーザに許可したり禁止したりする際に、その許可または禁止を意味する権限情報を各々の単一の処理について個別に設定して多数の権限情報を書き込まなくても済むような仕組みを提供することにある。

上述の課題を解決するため、本発明は、データの中継を行う中継手段と、各々のユーザに割り当てられたユーザ識別情報と、当該ユーザに対して許可または禁止された処理とを対応付けた権限情報を記憶する権限情報記憶手段と、ユーザによって入力され自装置に対して処理を指示するコマンドと、当該ユーザに割り当てられた前記ユーザ識別情報とを取得する取得手段と、取得された前記コマンドによって指示される処理が、前記権限情報において取得された前記ユーザ識別情報と対応付けられた前記処理に含まれる場合に、当該コマンドによって指示された処理を行う処理手段と、前記権限情報記憶手段に対し、各々のユーザに対して禁止された範囲に含まれる複数の処理と前記ユーザ識別情報とを対応付けた１つの前記権限情報を書き込み、且つ、当該禁止された範囲において当該ユーザに対して許可された処理と当該ユーザ識別情報を対応付けた１または複数の前記権限情報を書き込み、または、前記権限情報記憶手段に対し、各々のユーザに対して許可された範囲に含まれる複数の処理と前記ユーザ識別情報とを対応付けた１つの前記権限情報を書き込み、且つ、当該許可された範囲において当該ユーザに対して禁止された処理と当該ユーザ識別情報とを対応付けた１または複数の前記権限情報を書き込む書込手段とを備えることを特徴とする中継装置を提供する。

上記の各発明において好ましい態様では、前記書込手段は、前記権限情報記憶手段に対し、前記範囲に含まれる複数の処理を書き込むときには、当該複数の処理を指示するコマンド群に共通に含まれる共通文字列と、当該共通文字列の前後に続く文字列が任意の文字列であることを意味する任意文字列とを組み合わせて書き込むようにしてもよい。

さらに、別の好ましい態様においては、前記書込手段は、各々の前記権限情報に対応付けて、高低の差がある優先度を書き込み、前記処理手段は、高い優先度に対応付けられている権限情報に含まれる許可または禁止の内容が、低い優先度に対応付けられている権限情報に含まれる許可または禁止の内容と異なる場合には、高い優先度に対応付けられている権限情報に含まれる許可または禁止の内容に従って、取得された前記コマンドによって指示される処理を行うか否かを判断し、当該処理を行うと判断した場合に当該処理を行うようにしてもよい。

本発明によれば、中継装置に対する処理をユーザに許可したり禁止したりする際に、その許可または禁止を意味する権限情報を各々の単一の処理について個別に設定して多数の権限情報を書き込む必要がない。

本発明の実施形態に係る通信システムの構成を示す図である。 同実施形態において中継装置の構成を示すブロック図である。 同実施形態においてクライアント装置の構成を示すブロック図である。 同実施形態において中継装置が記憶している管理テーブルを例示する図である。 変形例においてＵＳＢメモリに記憶されているテキストファイルの内容を例示する図である。 同変形例において中継装置が記憶している管理テーブルを例示する図である。 従来例においてルータが記憶している管理テーブルを例示する図である。

以下、本発明の一実施形態について説明する。
＜実施形態＞
図１は、本発明の一実施形態に係る通信システムの構成を示す図である。通信システムは、例えば１つの企業に属する各事業所のような複数の拠点Ａ、Ｂ・・・と、これらの各拠点を統括するセンタＣとに跨って設けられている。この通信システムは、拠点Ａ、Ｂ・・・のそれぞれに設けられた中継装置１０Ａ、１０Ｂ・・・と、各中継装置１０Ａ，１０Ｂ・・・に下位装置として接続されるクライアント装置２０Ａ，２０Ｂ，２０Ｃ，２０Ｄ・・・と、各中継装置１０Ａ，１０Ｂ・・・に上位装置として接続されるサーバ装置３０とを備えている。中継装置１０Ａとクライアント装置２０Ａ，２０Ｂ・・・とによってＬＡＮ（Local Area Network）１Ａが構成され、中継装置１０Ｂとクライアント装置２０Ｃ，２０Ｄ・・・とによってＬＡＮ１Ｂが構成されている。また、サーバ装置３０と中継装置１０Ａ、１０Ｂ・・・とによってＬＡＮ２が構成されている。

サーバ装置３０と、クライアント装置２０Ａ，２０Ｂ，２０Ｃ，２０Ｄ・・・は、いずれもコンピュータである。各中継装置１０Ａ、１０Ｂ・・・は、例えばルータと呼ばれる中継装置であり、ＯＳＩ参照モデルの第１層である物理層から第３層であるネットワーク層までの階層において複数のネットワークを論理的に接続してデータの中継を行う。この通信システムにおいて、各中継装置１０Ａ、１０Ｂ・・・は、上位装置であるサーバ装置３０と、下位装置であるクライアント装置２０Ａ，２０Ｂ，２０Ｃ，２０Ｄ・・・との間で遣り取りされるデータの中継を行う。なお、以下の説明において、中継装置１０Ａ、１０Ｂ・・・のそれぞれを区別しない場合には、中継装置１０といい、クライアント装置２０Ａ，２０Ｂ，２０Ｃ，２０Ｄ・・・のそれぞれを区別しない場合には、クライアント装置２０という。

図２は、中継装置１０Ａの構成を示すブロック図である。中継装置１０Ａは、制御部１１、揮発性記憶部１２、不揮発性記憶部１３、ｎ（ｎは２以上の整数）個のポート１４−１，１４−２・・・１４−ｎ（以下、ポート１４という）及び入出力部１５を備えている。制御部１１は、ＣＰＵ（Central Processing Unit）やＡＳＩＣ（Application Specific Integrated Circuit）によって構成されており、この中継装置１０Ａの動作を制御する。揮発性記憶部１２は、制御部１１がデータの中継処理を行うときのワークエリアとして機能する。不揮発性記憶部１３は、例えばフラッシュメモリであり、制御部１１のＣＰＵが実行するプログラムとか、データの中継処理に用いるＩＰアドレスやルーティングテーブルのほか、管理テーブルを記憶している。この管理テーブルには、中継装置１０Ａにアクセスしてログインし得る各ユーザがこの中継装置に対して指示する処理の権限を表した権限情報が記述されている。つまり、不揮発性記憶部１３は、権限情報を記憶する権限情報記憶手段として機能する。ポート１４はＬＡＮ１ＡとＬＡＮ２に接続されており、これらのＬＡＮ１ＡまたはＬＡＮ２を介してサーバ装置３０やクライアント装置２０Ａ，２０Ｂ・・・との間で通信を行うインタフェースである。入出力部は、ＵＳＢ（Universal Serial Bus）メモリなどの記憶媒体に対してデータの書き込み及び読み出しを行うことで、この中継装置１０に対するデータの入出力を行う。

中継装置１０Ａは、データを中継する中継処理を行う。具体的には、制御部１１は、ＬＡＮ２を介して、ＩＰ（Internet Protocol）に従って送信されてくるデータのパケットをポート１４が受信すると、これを揮発性記憶部１２に記憶し、さらに、これが、自身に接続されているＬＡＮ１Ａにおける各クライアント装置２０Ａ，２０Ｂ・・・宛てのパケットである場合に、その宛先のクライアント装置にそのパケットをポート１４から転送する。一方、制御部１１は、各クライアント装置２０Ａ，２０Ｂ・・からＬＡＮ１Ａを介して送信されてくるサーバ装置３０宛のパケットをポート１４が受信すると、これを揮発性記憶部１２に記憶してから、ポート１４からサーバ装置３０に転送する。つまり、制御部１１、揮発性記憶部１２及びポート１４は、データの中継処理を行う中継手段として機能する。
中継装置１０Ｂの構成は、ＩＰアドレス、ルーティングテーブル及び管理テーブルなど、不揮発性記憶部１３に記憶されている内容を除いて、中継装置１０Ａの構成と同じである。

図３は、クライアント装置２０Ａの構成を示すブロック図である。クライアント装置２０Ａは、制御部２１、記憶部２２、通信部２３、表示部２４及び操作部２５を備えている。制御部２１は、ＣＰＵ、ＲＯＭ（Read Only Memory）及びＲＡＭ（Random Access Memory）によって構成されており、このクライアント装置２０Ａの動作を制御する。記憶部２２は、例えばハードディスクなどの大容量の不揮発性の記憶装置であり、制御部２１のＣＰＵが実行するプログラムなどを記憶している。通信部２３は、ＬＡＮ１Ａに接続され、このＬＡＮ１ＡとＬＡＮ２を介してサーバ装置３０との間で通信を行うインタフェースである。表示部２４は、例えば液晶ディスプレイ及び液晶駆動回路を有しており、制御部２１による指示に応じて画像を表示する。操作部２５は、例えばキーボードやマウスを備えており、ユーザの操作を受け付けてその操作に応じた操作信号を制御部２１に供給する、制御部２１は、その操作信号に応じた処理を実行する。
クライアント装置２０Ｂ，２０Ｃ，２０Ｄ・・の構成は、クライアント装置２０Ａの構成と同じである。

ユーザは、クライアント装置２０を操作して中継装置１０にアクセスし、各種のコマンドを入力することで、例えば中継装置１０のコンフィグレーション情報を書き換えたりコンフィグレーション情報を表示させたりなどの、様々な処理を中継装置１０に指示する。中継装置１０にアクセスしてログインし得るユーザには、無名ユーザ、一般ユーザ、管理ユーザがある。無名ユーザは、ログイン名は無しで、予め中継装置１０に設定されたパスワードで中継装置１０にログインし、全コマンド群のうちの一部のコマンドを用いて中継装置１０に処理を指示することができる。一般ユーザは、予め中継装置１０に設定されたログイン名及びパスワードを用いてログインし、無名ユーザと同様に、一部のコマンドを用いて中継装置１０に処理を指示することができる。一般に、これらの無名ユーザおよび一般ユーザ（以下、単に一般ユーザという）には、コンフィグレーション情報の表示などのように、中継装置１０の中継処理そのものに影響がないような処理については、中継装置１０に指示する権限がデフォルトで与えられている。管理ユーザは、例えば、一般ユーザとしてログインしたあとに、さらに管理ユーザ用として予め中継装置１０に設定されたログイン名とパスワードによってログインして、すべてのコマンドを用いて中継装置１０に処理を指示することが可能である。この管理ユーザは、例えばクライアント装置２０Ａを操作して上記のようなユーザ認証処理を経ることで中継装置１０にアクセスし、その中継装置１０の管理テーブルに各々の一般ユーザの権限情報を記述することができる。この場合、中継装置１０の制御部１１は、管理ユーザによって入力された内容、つまり権限情報を不揮発性記憶部１３の管理テーブルに書き込む書込手段として機能する。

ここで、図４は、管理ユーザによって一般ユーザの権限が記述された管理テーブルの内容の一例である。図において、左側の文字列は、管理テーブルに記述された内容そのものである。一方、右側の説明は、その管理テーブルに記述された文字列の意味であり、実際に管理テーブルに記述されるものではない。上から１行目の「login user user1 pass1」は、中継装置１０の一般ユーザとして、ユーザ名「user1」のユーザを登録することを意味している。同様に、図４の２行目及び３行目は、中継装置１０の一般ユーザとして、ユーザ名「user2」のユーザ及びユーザ名「user3」のユーザを登録することを意味している。

４行目以降の「command」で始まる文字列は、１〜３行目で登録された一般ユーザの具体的な権限の内容を意味する権限情報であり、次のような書式に従う。
権限情報の書式：「command ユーザ名 管理番号 許可または禁止の旨 対象コマンド」
この書式において、「ユーザ名」とは、処理の権限が与えられるユーザのユーザ名であり、各ユーザに割り当てられたユーザ識別情報に相当する。「管理番号」とは、各々の権限情報を識別する識別情報であるとともに、高低の差がある優先度としても機能する情報である。この管理番号の値が大きいほど優先度が高く、値が小さいほど優先度が低い。「許可または禁止の旨」は、中継装置１０に処理を指示するコマンドの使用をユーザに許可（Permit）するか禁止（deny）するかを意味している。そして、「対象コマンド」とは、そのような許可又は禁止の対象となるコマンドである。ここで、「対象コマンド」として「＊」という文字列が指定されたとき、この「＊」はどのような内容をも含む、いわゆるワイルドカードに相当する。例えば、「ip lan1 *」という権限情報の場合、「ip lan1」に続けて入力するコマンドはどのようなものであっても、中継装置１０はそのコマンドに応じた処理を行う。また、例えば「ip lan1 address *」という権限情報の場合、「ip lan1 address」に続けて入力されるＩＰアドレスはどのようなものであっても、中継装置１０はそのＩＰアドレスを自身に設定する。このように、各権限情報においては、各々のユーザに割り当てられたユーザ識別情報と、当該ユーザに対して許可または禁止された処理とが対応付けられている。

例えば４行目にある管理番号１の権限情報「command user1 1 permit ip lan1 *」は、ユーザ名「user1」のユーザはＬＡＮ１のインターフェースとしての中継装置１０の設定内容をすべて変更し得るという意味である。次に、５行目にある管理番号２の権限情報「command user1 2 deny ip lan1 address *」は、ユーザ名「user1」のユーザはＬＡＮ１のインターフェースとしての中継装置１０のＩＰアドレスを変更することはできないということを意味している。次に、６行目にある管理番号３の権限情報「command user1 3 deny ip lan1 secure filter *」は、ユーザ名「user1」のユーザはＬＡＮ１のインターフェースとしての中継装置１０のフィルタを変更することはできないことを意味している。

このように、ユーザ名「user1」のユーザに対して、管理番号１の権限情報は、ＬＡＮ１のインターフェースとしての中継装置１０の設定内容をすべて変更し得ることを意味しているのに対し、管理番号２の権限情報は、その中継装置１０のＩＰアドレスを変更することを禁止し、また、管理番号３の権限情報は、その中継装置１０のフィルタを変更することを禁止している。つまり、管理番号１の権限情報の意味する内容と、管理番号２，３の権限情報の意味する内容とが異なっており、両者がそれぞれ意味する権限の範囲に矛盾が生じているが、このような場合には、優先度としての管理番号の値が大きい方の権限情報の内容が優先される。つまり、制御部１１は、高い優先度に対応付けられている権限情報に含まれる許可または禁止の内容が、低い優先度に対応付けられている権限情報に含まれる許可または禁止の内容と異なる場合には、高い優先度に対応付けられている権限情報に含まれる許可または禁止の内容に従って、コマンドによって指示される処理を行うか否かを判断して、その処理を行うと判断した場合にその処理を行う。ここでは、管理番号２，３の権限情報が優先され、ＬＡＮ１のインターフェースとしての中継装置１０の設定内容のうち、ＩＰアドレスの変更とフィルタの変更のみが禁止され、それ以外の設定内容が許可されていることになる。

このように、４〜６行目の権限情報は、一般ユーザに対して許可された範囲に含まれる複数の処理を指示するコマンド群が包括的に記述された１つの権限情報（管理番号１の権限情報）と、その範囲においてその一般ユーザに対して禁止された処理を指示するコマンドがそれぞれ記述された２つの権限情報（管理番号２，３の権限情報）からなる。このような権限情報の記述方法によれば、管理ユーザにとっては、一般ユーザに対して許可する処理が膨大な数であっても、その１つ１つについて権限情報を管理テーブルに書き込む手間がかからないので、便利である。

一般ユーザが中継装置１０の処理を指示したときの中継装置１０の動作は次のとおりである。例えばユーザ名「user1」のユーザが、クライアント装置２０を操作して中継装置１０にアクセスし、各種のコマンドを入力してその中継装置１０に処理を指示すると、中継装置１０の制御部１１は、まず、このコマンドとユーザ名である「user1」とをクライアント装置２０から取得する。そして、制御部１１は、これらコマンド及びユーザ名と、管理テーブルの内容とを参照して、そのユーザ名「user1」のユーザに対して許可された処理については実行し、そのユーザに対して禁止された処理については実行しない。つまり、制御部１１は、中継装置１０に対して処理を指示するコマンドとユーザ名とを取得する取得手段として機能するとともに、そのコマンドによって指示される処理が、管理テーブル上の権限情報においてユーザ名と対応付けられた処理に含まれる場合には、そのコマンドによって指示された処理を行う処理手段として機能する。図４の例では、制御部１１は、ＬＡＮ１のインターフェースとしての中継装置１０の設定内容のうち、ＩＰアドレスの変更とフィルタの変更については実行せず、それ以外の設定内容が指示されたときにはこれを実行する。

次に、図４において、７行目にある管理番号４の権限情報「command user2 4 permit ip lan2 *」は、ユーザ名「user2」のユーザはＬＡＮ２のインターフェースとしての中継装置１０の設定内容をすべて変更し得るという意味である。よって、ユーザ名「user2」のユーザが、クライアント装置２０を操作して中継装置１０にアクセスし、各種のコマンドを入力してその中継装置１０に処理を指示すると、中継装置１０は、ＬＡＮ２のインターフェースとしての設定内容のうち、どのような内容が指示されても全て実行する。

そして、８行目にある管理番号５の権限情報「command user2 5 deny show *」は、ユーザ名「user2」のユーザは中継装置１０に対し表示関連のすべてのコマンドの使用が禁止されているという意味である。次に、９行目にある管理番号６の権限情報「command user2 6 permit show log」は、ユーザ名「user2」のユーザはログの表示を中継装置１０に指示することが許可されているという意味である。次に、１０行目にある管理番号７の権限情報「command user2 7 permit show sshd public key」は、ユーザ名「user2」のユーザはＳＳＨ（Secure Shell）の鍵の表示を中継装置１０に指示することが許可されているという意味である。ここでも、管理番号８よりも値が大きい管理番号９，１０の権限情報の内容が優先されるから、ユーザ名「user2」のユーザは、ログとＳＳＨの鍵の表示のみ可能であり、その他の表示関連のコマンドを用いた指示は禁止されることになる。

このように、８〜１０行目の権限情報は、一般ユーザに対して禁止された範囲に含まれる複数の処理を指示するコマンド群が包括的に記述された１つの権限情報（管理番号５の権限情報）と、その範囲においてその一般ユーザに対して許可された処理を指示するコマンドがそれぞれ記述された２つの権限情報（管理番号６，７の権限情報）からなる。このような権限情報の記述方法によれば、管理ユーザにとっては、一般ユーザに対して禁止する処理が膨大な数であっても、その１つ１つについて権限情報を管理テーブルに書き込む手間がかからないので、便利である。

そして、１１行目にある管理番号８の権限情報「command user3 8 deny *」は、ユーザ名「user3」のユーザはＬＡＮ２のインターフェースとしての中継装置１０に対してどのような処理も指示することができないという意味である。

以上に説明したように、上記実施形態によれば、管理ユーザが任意に指定した権限を一般ユーザに与えることで、例えば、各拠点に居る一般ユーザに当該拠点のＬＡＮの設定変更に関する権限を全て与えて、各拠点ごとのネットワーク構成に合わせた設定を各々の一般ユーザ自身が行うことが可能となる。

また、管理ユーザは、一般ユーザに対して許可した権限の範囲を包括的に１つの権限情報として管理テーブルに記述し、かつ、その範囲においてその一般ユーザに対して禁止する権限については１つ１つ管理テーブルに記述する。これにより、管理ユーザは、多数の権限を一般ユーザに与えたい場合であっても、これらの権限について１つ１つ管理テーブルに書き込まなくて済み、きめ細やかな権限の指定を簡易な作業で実現できる。また、これとは逆に、管理ユーザは、一般ユーザに対して禁止した権限の範囲を包括的に１つの権限情報として管理テーブルに記述し、かつ、その範囲においてその一般ユーザに対して許可する権限については１つ１つ管理テーブルに記述する。これにより、管理ユーザは、多数の権限について一般ユーザに禁止したい場合であっても、これらの権限について１つ１つ管理テーブルに書き込まなくて済み、きめ細やかな権限の指定を簡易な作業で実現できる。このとき、管理ユーザは、ワイルドカードとしての文字列「＊」を使うことで、簡単に、自由度の高い権限設定を行うことができる。

＜変形例＞
以上の実施形態は次のように変形可能である。また、次の各変形例を互いに組み合わせることもできる。
＜変形例１＞
一般ユーザには、コンフィグレーション情報の表示などのように、ルータなどの中継装置による中継処理そのものに影響がないような処理について、ルータに指示する処理の権限がデフォルトで与えられていることがある。図４の例では、管理ユーザ自身が一般ユーザに対して包括的に処理の権限を与えてそのうちの一部の権限を制限したりしていたが、さらに、このような権限情報の与え方を、一般ユーザにデフォルトで与えられている処理の権限に対しても行ってもよい。つまり、管理テーブルには、一般ユーザに対してデフォルトで与えられた処理の権限が予め記述されており、管理ユーザは、その権限に対して、禁止したい一部の処理についての権限情報を１つ１つ記述する。
従来においては、管理ユーザ側から一般ユーザに処理の権限を与えるのみであり、一般ユーザに対してデフォルトで設定されていた処理の権限を奪ったり変更することはできないようになっていた。ただし、一般ユーザに対して、コンフィグレーション情報の表示やログの表示などについての処理の権限がデフォルトで与えられているとしても、例えばセキュリティ上の都合で、コンフィグレーション情報の表示に関する権限は与えたくはないけれど、通信障害などが発生した場合を考慮して、ログの表示に関する権限は与えておきたいという場合がある。このような場合、一般ユーザごとに与えたい権限の範囲が異なるため、例えば、全ての一般ユーザに対してデフォルトで与えられた権限のうち、一部はそのまま許可し一部は制限するというように、共通のルールで一斉に権限情報を設定することもできない。そこで、上記のように、管理テーブルに予め記述されたデフォルトの権限に対して、管理ユーザが、禁止したい一部の権限についての権限情報を１つ１つ記述するようにすれば、上記のような場合に対しても簡易な作業で対応することができる。

＜変形例２＞
上記実施形態では、管理テーブルに、一般ユーザに対して許可された処理の範囲が包括的に１つの権限情報として記述され、かつ、その範囲においてその一般ユーザに対して禁止される処理については１つ１つの権限情報として記述されていた。ここで、許可された範囲においてその一般ユーザに対して禁止される処理についても、その禁止の処理の範囲を包括的に１つの権限情報として記述するようにしてもよい。また、これとは逆に、一般ユーザに対して禁止された処理の範囲が包括的に１つの権限情報として記述され、かつ、その範囲においてその一般ユーザに対して許可される処理については１つ１つの権限情報として記述されていた実施形態の内容に対し、禁止された範囲においてその一般ユーザに対して許可される処理については、その許可の処理の範囲を包括的に１つの権限情報として記述するようにしてもよい。

＜変形例３＞
実施形態では、管理ユーザがクライアント装置２０を操作して中継装置１０の管理テーブルに権限情報を書き込んでいた。権限情報の記述方法はこれに限らず、権限情報をＵＳＢメモリに書き込んでおき、このＵＳＢメモリの記憶内容を中継装置１０の入出力部１５から中継装置１０に入力して管理テーブルに書き込むようにしてもよい。
図５は、ＵＳＢメモリにテキストファイル形式で記憶された権限情報の内容を表す図である。この内容は、図４の４行目から１１行目までの内容と同一である。そして、このテキストファイルのファイル名は例えば「command.txt」である。
次に図６は、管理ユーザが中継装置１０の管理テーブルに記述した内容を表す図である。図６において、１行目から３行目は、図４の１行目から３行目までの内容と同一である。そして、図６の４行目の「user command list usb1:command.txt」は、ＵＳＢメモリ内の「command.txt」というファイル名のテキストファイルの内容を権限情報として管理テーブルに記述する、という指示を意味している。制御部１１は、入出力部１５にＵＳＢメモリが挿入されたときには、この「user command list usb1:command.txt」の指示に従い、ＵＳＢメモリ内に、「command.txt」というファイル名のテキストファイルがあるか否かを調べ、これがあれば、そのテキストファイルの内容を権限情報として管理テーブルに記述する。このようにすれば、管理ユーザは、複数の中継装置１０に共通の権限情報を設定したい場合に、クライアント装置２０から各々の中継装置に都度アクセスして、管理テーブルに逐一情報を書き込む、というような手間を減らすことができる。

＜変形例４＞
実施形態では、ワイルドカードとしての文字列「＊」を使っていたが、ワイルドカードとしての文字列はこれに限らず、要するに、複数の処理を指示するコマンド群に共通に含まれる共通文字列（図４の４行目の例では「command user1 1 permit ip lan1」）の後に続く文字列が任意の文字列であることを意味するような文字列（任意文字列という、実施形態では「*」）であればよい。また、共通文字列の後ろではなく、共通文字列の前に続く文字列が任意の文字列であることを意味するような任意文字列であってもよい。さらに、共通文字列の途中にある文字列が任意の文字列であることを意味するような任意文字列であってもよい。

＜変形例５＞
上述した実施形態におけるプログラムは、磁気記録媒体（磁気テープ、磁気ディスクなど）、光記録媒体（光ディスクなど）、光磁気記録媒体、半導体メモリなどのコンピュータ読み取り可能な記録媒体に記憶した状態で中継装置１０に提供し得る。この場合には、記録媒体を読み取るインターフェースを中継装置１０に設ければよい。また、ネットワーク経由でダウンロードさせることも可能である。

１Ａ，１Ｂ，２・・・ＬＡＮ、１０Ａ，１０Ｂ…中継装置、１１…制御部、１２…揮発性記憶部、１３・・・不揮発性記憶部、１４−１，１４−２・・・１４−ｎ・・・ポート、１５・・・入出力部、２０Ａ，２０Ｂ，２０Ｃ，２０Ｄ・・・クライアント装置。

Claims (3)

1. データの中継を行う中継手段と、
   各々のユーザに割り当てられたユーザ識別情報と、当該ユーザに対して許可または禁止された処理とを対応付けた権限情報を記憶する権限情報記憶手段と、
   ユーザによって入力され自装置に対して処理を指示するコマンドと、当該ユーザに割り当てられた前記ユーザ識別情報とを取得する取得手段と、
   取得された前記コマンドによって指示される処理が、前記権限情報において取得された前記ユーザ識別情報と対応付けられた前記処理に含まれる場合に、当該コマンドによって指示された処理を行う処理手段と、
   前記権限情報記憶手段に対し、各々のユーザに対して禁止された範囲に含まれる複数の処理と前記ユーザ識別情報とを対応付けた１つの前記権限情報を書き込み、且つ、当該禁止された範囲において当該ユーザに対して許可された処理と当該ユーザ識別情報を対応付けた１または複数の前記権限情報を書き込み、または、前記権限情報記憶手段に対し、各々のユーザに対して許可された範囲に含まれる複数の処理と前記ユーザ識別情報とを対応付けた１つの前記権限情報を書き込み、且つ、当該許可された範囲において当該ユーザに対して禁止された処理と当該ユーザ識別情報とを対応付けた１または複数の前記権限情報を書き込む書込手段と
   を備えることを特徴とする中継装置。
2. 前記書込手段は、前記権限情報記憶手段に対し、前記範囲に含まれる複数の処理を書き込むときには、当該複数の処理を指示するコマンド群に共通に含まれる共通文字列と、当該共通文字列の前後に続く文字列が任意の文字列であることを意味する任意文字列とを組み合わせて書き込む
   ことを特徴とする請求項１に記載の中継装置。
3. 前記書込手段は、各々の前記権限情報に対応付けて、高低の差がある優先度を書き込み、
   前記処理手段は、高い優先度に対応付けられている権限情報に含まれる許可または禁止の内容が、低い優先度に対応付けられている権限情報に含まれる許可または禁止の内容と異なる場合には、高い優先度に対応付けられている権限情報に含まれる許可または禁止の内容に従って、取得された前記コマンドによって指示される処理を行うか否かを判断し、当該処理を行うと判断した場合に当該処理を行う
   ことを特徴とする請求項１または２に記載の中継装置。

Images