JP5494653B2 - アクセス制御ポリシテンプレート生成装置、システム、方法およびプログラム - Google Patents

Description

本発明は、アクセス制御ポリシのテンプレートを生成するアクセス制御ポリシテンプレート生成装置、アクセス制御ポリシ管理システム、アクセス制御ポリシテンプレート生成方法およびアクセス制御ポリシテンプレート生成用プログラムに関する。

アクセス権などを規定するアクセス制御ポリシの設定を、予め作成されているアクセス制御ポリシのテンプレート（以下、ポリシテンプレートという。）を基に適用するといったテンプレートベースの方法で行うことは、アクセス権管理システムの管理者が同じ設定を何度も入力する必要性を無くし、ポリシ設定コストの低減につながる。

アクセス制御ポリシの設定をテンプレートベースで行うシステムの一例が、例えば、特許文献１に記載されている。

また、２つのポリシ集合の類似度を求め、類似度が閾値以上である場合に、各ポリシ集合内のポリシ組を基に２つのポリシ集合の置き換えに用いることができるポリシ集合を生成する方法が特許文献２に記載されている。

特開２００４−１３３８１６号公報 特開２００７−０７２５８１号公報

しかし、特許文献１に記載されているシステムでは、ポリシテンプレートの作成自体が困難であるという問題がある。ポリシテンプレートの作成には、現在運用されているポリシに関する知識が必要であるが、サーバやフォルダといったアクセス制御ポリシを設定する対象（以下、リソースを記す。）が多数存在するとポリシの総量が膨大になるとともに、管理者の交代などにより知識が継承されないと、どのようなサービスが存在するかを把握することが難しくなるからである。

アクセス制御ポリシは、例えば、部門内Ｗｅｂコンテンツや関連会社向け情報サービスなどというようにサービス別に設定されることが多い。また、リソースを追加しようとした場合に、追加するリソースで提供しようとするサービスが予め決まっていることが多く、予めサービス別にポリシテンプレートが作成されていれば、管理者が追加するリソースに用いるポリシテンプレートを選択しやすくなる。

例えば、部門１向けＷｅｂサービスに対応、部門１向けフォルダに対応といったように、テンプレートがサービス別に作成されていると、新規サーバを追加する際にどのような用途でどのユーザ向けに（例えば、Ｗｅｂサーバとして部門１向けに）サーバを追加するのかが決まっていれば、そのサービスに対応したテンプレートを選択して用いることで、容易に追加するサーバにポリシを適用することができる。

このことから、ポリシテンプレートは、既存のポリシから把握されるサービスの分類に対応して作成されることが望ましいといえる。

なお、特許文献２に記載されている方法を用いれば、２つのポリシ集合間で同一のポリシをテンプレートとして作成することは可能である。しかし、特許文献２に記載されている方法では、あくまで２つのポリシ集合の置き換えに用いることができるポリシ集合を生成することが目的であり、数多くのポリシ集合を参考に各ポリシ集合の設定内容に基づいてサービスの分類を読み取ろうということまでは考慮されていない。従って、特許文献２に記載されている方法では、単純に２つのポリシ集合間での比較を行うだけであるので、サービス分類に応じたテンプレートを作成することはできない。

そこで、本発明は、既存のポリシから把握されるサービスの分類に対応したポリシテンプレートを作成することが可能なアクセス制御ポリシテンプレート生成装置、アクセス制御ポリシ管理システム、アクセス制御ポリシテンプレート生成方法およびアクセス制御ポリシテンプレート生成用プログラムを提供することを目的とする。

本発明によるアクセス制御ポリシテンプレート生成装置は、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化手段と、リソースグループ化手段によって分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成手段とを備え、リソースグループ化手段は、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行うことを特徴とする。
また、本発明によるアクセス制御ポリシテンプレート生成装置は、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化手段と、前記リソースグループ化手段によって分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成手段と、生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定するテンプレート命名手段とを備えたことを特徴とする。

また、本発明によるアクセス制御ポリシ管理システムは、上記いずれかのアクセス制御ポリシ生成装置を備えたアクセス制御ポリシ管理システムであって、新規のリソースを登録するリソース登録手段と、アクセス制御ポリシ生成装置が生成したアクセス制御ポリシテンプレートの中から、ユーザ操作に応じて、リソース登録手段によって登録された新規リソースに適用するアクセス制御ポリシテンプレートを選択するテンプレート選択手段と、テンプレート選択手段によって選択されたアクセス制御ポリシテンプレートに対してユーザ操作に応じた編集作業を行い、リソース登録手段によって登録された新規リソースに適用するアクセス制御ポリシを生成するアクセス制御ポリシ生成手段を備えたことを特徴とする。

また、本発明によるアクセス制御ポリシテンプレート生成方法は、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類し、分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成し、リソースを１つ以上のグループに分類するときに、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行うことを特徴とする。
また、本発明によるアクセス制御ポリシテンプレート生成方法は、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類し、分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成し、生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定することを特徴とする。

また、本発明によるアクセス制御ポリシテンプレート生成用プログラムは、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシを記憶する記憶手段を備えたコンピュータに、複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化処理と、分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成処理とを実行させ、リソースグループ化処理として少なくとも、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築する処理と、構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う処理とを実行させることを特徴とする。
また、本発明によるアクセス制御ポリシテンプレート生成用プログラムは、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシを記憶する記憶手段を備えたコンピュータに、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化処理と、分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成処理、生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定するテンプレート命名処理とを実行させることを特徴とする。

本発明によれば、既存のポリシから把握されるサービスの分類に対応したポリシテンプレートを作成することが可能である。

本発明の第１の実施形態のポリシテンプレート生成装置の構成例を示すブロック図である。 第１の実施形態の動作（全体の動作）の一例を示すフローチャートである。 第１の実施形態の動作（リソースグループ生成処理）の一例を示すフローチャートである。 第１の実施形態の動作（リソース間距離計算処理）の一例を示すフローチャートである。 第１の実施形態の動作（リソース分類木からのリソースグループ生成処理）の一例を示すフローチャートである。 第１の実施形態の動作（リソース分類木からの上位ノード集合抽出処理）の一例を示すフローチャートである。 第１の実施形態の動作（テンプレート生成処理）の一例を示すフローチャートである。 第１の実施例のアクセス権管理システムの構成例を示すブロック図である。 ポリシ格納手段に格納されるポリシ集合の例を示す説明図である。 図９に示すポリシ集合から生成されるリソース分類木の例を示す説明図である。 図９に示すポリシ集合から生成されるリソースグループを示す情報の例を示す説明図である。 図９に示すポリシ集合から生成されるポリシテンプレートの例を示す説明図である。 生成されたポリシテンプレートを利用したポリシ設定動作の一例を示すフローチャートである。 テンプレート選択手段によって提供されるテンプレート選択画面の例を示す説明図である。 リソース追加によってルータに設定されるポリシの例を示す説明図である 第２の実施例であるアクセス権管理システムの他の構成例を示すブロック図である。 テンプレート命名手段によって提供されるテンプレート命名画面の例を示す説明図である。 本発明の概要を示すブロック図である。 本発明のアクセス制御ポリシ生成装置の他の構成例を示すブロック図である。 本発明のアクセス制御ポリシ管理システムの構成例を示すブロック図である。

以下、本発明の実施形態を図面を参照して説明する。図１は、本発明の第１の実施形態のポリシテンプレート生成装置の構成例を示すブロック図である。図１に示すように、本ポリシテンプレート生成装置１００は、ポリシ格納手段１１０と、リソース分類手段１２０と、集合間距離計算手段１３０と、グループ格納手段１４０と、テンプレート生成手段１５０と、テンプレート格納手段１６０とを備える。

ポリシ格納手段１１０は、現在設定されているアクセス制御ポリシの情報を格納する。

リソース分類手段１２０は、ポリシ格納手段１１０に格納されているアクセス制御ポリシを参照し、運用中のアクセス制御ポリシに記述されているリソースごとのアクセス元とアクションの組（以下、パーミッションと記す。）の集合に対して、集合間距離計算手段１３０によって計算されるリソース間距離を基準にして、グループ化する（リソースグループを生成する）。

グループ格納手段１４０は、リソース分類手段１２０によって生成されたリソースグループの情報を格納する。

集合間距離計算手段１３０は、リソース分類手段１２０からリソース毎のパーミッション集合を受け取り、２つのパーミッション集合間の距離を計算し、リソース間距離としてリソース分類手段１２０に返す。なお、本実施形態では、このリソース間距離を、類似度の逆数として用いている。すなわち、リソース間距離は、異なる２つのリソース間で、それぞれのリソースに対するアクセス権ポリシにおいて共通しない設定内容（本例では、アクセス元および許可するアクセスの方法）が増加するに従って増加する性質をもつものとして算出される。すなわち、リソース間距離が大きくなればなるほど、類似度（類似している度合い）は小さくなることを意味する。

テンプレート生成手段１５０は、リソース分類手段１２０により生成されたリソースグループについて、該リソースグループ内すべてのリソースに共通するパーミッションを抽出することにより、テンプレートを生成する。また、生成したテンプレートの情報をテンプレート格納手段１６０に格納する。

テンプレート格納手段１６０は、テンプレート生成手段１５０によって生成されたテンプレートの情報を格納する。

なお、本実施形態において、リソース分類手段１２０、集合間距離計算手段１３０およびテンプレート生成手段１５０は、例えば、プログラムに従って動作するＣＰＵ等によって実現される。また、ポリシ格納手段１１０、グループ格納手段１４０およびテンプレート格納手段１６０は、例えば、メモリ等の記憶装置によって実現される。

次に、本実施形態の動作について説明する。図２は、本実施形態の動作の一例を示すフローチャートである。図２では、本実施形態の全体の動作例を示している。図２に示すように、まずリソース分類手段１２０は、ポリシ格納手段１１０からアクセス制御ポリシを取得する（ステップＡ１）。なお、ポリシ格納手段１１０に格納されているアクセス制御ポリシは、テンプレートの適用対象となるシステムまたは装置に現在設定されているアクセス制御ポリシである。

次に、取得したポリシを用いてリソースグループを生成する（ステップＡ２）。また、リソース分類手段１２０は、生成したリソースグループの情報を、グループ格納手段１４０に格納する（ステップＡ３）。

リソースグループが生成されると、テンプレート生成手段１５０は、グループ格納手段１４０に格納されたリソースグループの情報を基に、リソースグループ内のリソース全てに共通して設定されているパーミッションを抽出して、テンプレートを生成する（ステップＡ４）。最後に、生成したテンプレートをテンプレート格納手段１６０に格納して処理を終了する（ステップＡ５）。

次に、リソース分類手段１２０がリソースグループを生成する処理について、図３に示すフローチャートを参照して説明する。図３は、リソースグループ生成処理の処理フローの一例を示すフローチャートである。図３に示すように、まずリソース分類手段１２０は、すべてのリソースとパーミッション集合の対を分類木の葉ノードとし、ノード集合Ｎを生成する（ステップＢ１）。

次に、集合間距離計算手段１３０を用いて全てのリソース間距離を計算し、対応する葉ノード間の距離として設定する（ステップＢ２）。ここで、２つのノード間距離は、そのノード以下の部分木に含まれる葉ノードに対応するリソース集合から任意のリソースを１つずつ取り出し、その２つのリソース間距離をすべて測ったときの最大リソース間距離（最遠距離）とし、葉ノード間の距離は対応するリソース間の距離に等しい。

さらに、ノード集合内の要素が１となるまで、ステップＢ３からステップＢ６までの処理を繰り返す（ステップＢ７のＮｏ）。

ステップＢ３では、まず、ノード集合Ｎからノード間距離の最も近い２つのノード（ここでは、ノードＡ，Ｂという。）を選択する。次に、新しいノードＰを生成し、ノードＡ，Ｂの親モードとする（ステップＢ４）。そして、ノード集合ＮからノードＡ，Ｂを除きノードＰを追加してノード集合を更新する（ステップＢ５）。

さらに、ノードＰとノード集合内の各ノード間の距離を計算し、ノード間距離を更新する（ステップＢ６）。

そして、ノード集合内要素が１つとなった場合（ステップＢ７のＹｅｓ）、その時点で構築されているリソース分類木を出力する（ステップＢ８）。ここで出力されるリソース分類木は、その要素がリソース分類木の根ノードとなり、すべての葉ノードが１つの分類木に含まれるようになっている。

リソース分類手段１２０は、集合間距離計算手段１３０から出力されたリソース分類木から部分木内の全ノード間の距離が所定の閾値以下になるように部分木を分離し、その中に含まれる葉ノードに対応するリソースの集合を、１つのリソースグループとして生成する（ステップＢ９）。

次に、集合間距離計算手段１３０による葉ノード間距離（すなわち、リソース間距離）の計算方法について説明する。集合間距離計算手段１３０は、２つのリソースのパーミッション集合間の非共通要素数の割合の増加にしたがって大きくなるような性質を持つ距離を計算する。このような距離は、例えば図４のフローチャートに示した方法により計算してもよい。

図４は、リソース間距離の計算処理の処理フローの一例を示すフローチャートである。図４に示すように、集合間距離計算手段１３０は、まず２つのリソースに設定された共通して存在するパーミッションの数ａを計算する（ステップＣ１）。次に、同２つのリソースにそれぞれ設定されているパーミッションの数ｂ，ｃを計算する（ステップＣ２）。

最後に、算出した数ａ，ｂ，ｃを用いて以下の式（１）を計算し、２つのリソース間距離として出力して処理を終了する（ステップＣ３）。

（ｂ＋ｃ−２ａ）／（ｂ＋ｃ） ・・・・式（１）

なお、本例では、パーミッション（すなわちアクセス元とアクションの組）を比較対象にして、集合間距離を計算する例を示しているが、例えばアクセス元のみを比較対象に集合間距離を計算することも可能である。

次に、リソース分類手段１２０がリソース分類木からリソースグループを生成する処理（図３のステップＢ９）についてさらに説明する。図５は、リソース分類木からリソースグループを生成する処理の一例を示すフローチャートである。

図５に示すように、リソース分類手段１２０は、まず、ノード間距離を基にリソース分類木を部分木に分離するために、各部分木の根ノードとなるノード（以下、上位ノードという。）の集合を抽出する（ステップＤ１）。ステップＤ１では、例えば、リソース分類木の根ノードを引数に、後述する上位ノード生成処理関数を呼び出せばよい。次に、上位ノード集合から各上位ノードを根ノードとして部分木に属する葉ノードの集合を生成する（ステップＤ２）。

そして、各葉ノードに対応するリソースを葉ノード集合ごとにまとめることで、リソースグループを生成する（ステップＤ３）。

次に、上記ステップＤ１における上位ノード集合の抽出処理について説明する。本例では、図６に示す上位ノード生成処理を呼び出すことによって行う。図６は、リソース分類木からの上位ノード生成処理（すなわち、上位ノード集合の抽出処理）の処理フローの一例を示すフローチャートである。まず、現在上位ノードとするかの判定を行っているノード（カレントノード）が葉ノードであるか否かを判定する（ステップＥ１）。カレントノードが葉ノードと判定された場合（ステップＥ１のＹｅｓ）、当該カレントノードを上位ノード集合に追加する（ステップＥ６）。

一方、葉ノードではなく中間ノードであると判定された場合には（ステップＥ１のＮｏ）、当該カレントノードの子ノード（以下、子ノードＡ，Ｂという。）を取得する（ステップＥ２）。そして、２つの子ノードＡ，Ｂ間の距離を参照し、当該距離が所定の閾値以下である場合には（ステップＥ３のＹｅｓ）は、上記ステップＥ６の動作を行う。すなわち、当該カレントノードを上位ノード集合に追加する。

また、２つの子ノードＡ，Ｂ間の距離が所定の閾値より大きい場合には（ステップＥ２のＮｏ）、当該子ノードＡ，Ｂをカレントノードとして上位ノード生成関数（当該関数）を再帰呼び出しする（ステップＥ４，Ｅ５）。全ての再帰処理が終わったら上位ノード集合の抽出処理を終了する。

次に、テンプレート生成手段１５０が、リソースグループからテンプレートを生成する処理について説明する。本処理は、図２のステップＡ４において実行される処理である。
図７は、本テンプレート生成処理の処理フローの一例を示すフローチャートである。

図７に示すように、まず、リソースグループ内でパーミッション数の最も少ないリソース（ここでは、リソースＲという。）を選択する（ステップＦ１）。次に、リソースＲに含まれるパーミッションを１つ指し示すためのポインタｉおよび生成結果として出力するテンプレートＴを初期化し（ステップＦ２）、以下の処理を行う。すなわち、リソースＲの全てのパーミッションＰｉについて、パーミッションＰｉがその他のすべてのリソースのパーミッション集合に含まれるかどうかを判定し、含まれる場合にはテンプレートＴにそのパーミッションを追加する（ステップＦ３〜Ｆ７）。

リソースＲに含まれる全てのパーミッションに対する上記処理が完了すると、テンプレートＴを出力して本テンプレート生成処理を終了する（ステップＦ８）。

以上のように、本実施形態によれば、リソース分類手段１２０がパーミッション集合で特徴づけられるリソースグループを生成し、そのリソースグループに含まれるポリシ内容に基づいてポリシテンプレートを作成するため、サービス別のポリシテンプレートを自動で生成することができる。このパーミッション集合で特徴づけられたリソースグループは、例えば、部門内Ｗｅｂサービスのような運用中のサービスを「部門１の人が閲覧できるリソースのグループ」のように近似する性質をもつため、このリソースグループ別にテンプレートを作成することで、サービス別テンプレートを生成することができる。

また、新規に追加するリソースで提供しようとするサービスは予め決まっていることが多く、サービス別にポリシテンプレートを生成することで、利用者が、新規リソース追加の際のポリシテンプレートの選択を容易にすることが可能になる。

また、テンプレートを作成する時点で１つのサービスに含まれるリソース数がわかるため、テンプレートの適用頻度を予測することができるなどの解析支援効果も有する。

また、リソース分類に二分木を利用することで、２つのノードの組み合わせに対してのみ距離を計算するだけでよいため、より少ない計算量でリソースを分類できる。

また、上記で説明したリソースグループを生成する方法は、すべてのグループ内のリソース間の距離が閾値以下になるグループの組み合わせの中で、リソースグループ数が最小に近い組み合わせを生成できるという性質をもつため、リソースグループごとに生成されるテンプレート数も最小化することができる。これにより、管理者によるテンプレートの選択がさらに容易になる。

以下、具体的な実施例を用いて本実施形態の動作を説明する。図８は、第１の実施例として、本発明によるポリシテンプレート生成装置を備えたアクセス権管理システムの構成例を示すブロック図である。図８に示すアクセス権管理システムは、図１に示したポリシテンプレート生成装置１００と、ポリシ収集手段２１０と、リソース登録手段２２０と、テンプレート選択手段２３０と、ポリシ編集手段２４０と、ポリシ適用手段２５０と、ルータ３２０−１〜３２０−ｎと、ルータに接続されている各リソース３２１（図では、３２１−１，３２１−２，・・・）と、ＤＮＳサーバ３１０とを備えている。

本例は、ルータ設定を収集してポリシテンプレートを作成し、作成されたポリシテンプレートを用いて新規リソースに対してポリシ設定を行う場合のシステム例である。

ポリシ収集手段２１０は、各ルータ３２０から現在設定されているアクセス制御ポリシを収集する。ポリシ収集手段２１０は、例えば、ポリシが設定されている対象装置から情報を収集するためのプロトコルを実装し、そのプロトコルに応じてメッセージを送受信することによって、現在設定されているアクセス制御ポリシを収集してもよい。ポリシ収集手段２１０は、例えば、情報を送受信するための通信制御装置とプログラムに従って動作するＣＰＵ等によって実現される。

リソース登録手段２２０は、新規リソースを登録する。リソース登録手段２２０は、例えば、新規リソースの情報を入力するための画面を出力し、キーボードによる情報入力やその画面上におけるマウス操作に従って情報を受け付けるといったユーザインタフェース機能を提供することによって、新規リソースを登録してもよい。リソース登録手段２２０は、例えば、各種情報入出力装置とプログラムに従って動作するＣＰＵ等によって実現される。

テンプレート選択手段２３０は、新規リソースに適用させるリソースを選択する。テンプレート選択手段２３０は、例えば、当該システムで保持している、新規リソースに適用可能なテンプレートの情報を選択可能に提示する画面を出力し、キーボードによる情報入力やその画面上におけるマウス操作に従って選択結果を受け取るといったユーザインタフェース機能を提供することによって、新規リソースに適用させるリソースを選択してもよい。テンプレート選択手段２３０は、例えば、各種情報入出力装置とプログラムに従って動作するＣＰＵ等によって実現される。なお、テンプレート選択手段２３０は、本実施例では、アクセス制御ポリシ生成装置１００からアクセス制御ポリシテンプレートを取得（入力）するテンプレート入力手段を兼ねている。

ポリシ編集手段２４０は、テンプレート選択手段２３０によって選択されたテンプレートを基に、ユーザ操作に応じて編集作業を行うことによって、実際に設定するポリシを作成する。ポリシ編集手段２４０は、例えば、選択されたテンプレートを表示しつつ、変更のためのインタフェース機能を提供することによってポリシを作成してもよい。ポリシ編集手段２４０は、例えば、各種情報入出力装置とプログラムに従って動作するＣＰＵ等によって実現される。

ポリシ適用手段２５０は、ポリシ編集手段２４０によってテンプレートを基に作成された実際に設定されるポリシ（すなわち、適用ポリシ）を、当該ポリシの設定対象である対象装置に適用させる。ポリシ適用手段２５０は、例えば、適用ポリシを対象装置に反映させるためのプロトコルを実装し、そのプロトコルに応じてメッセージを送受信することによって、アクセス制御ポリシを設定してもよい。ポリシ適用手段２５０は、例えば、情報を送受信するための通信制御装置とプログラムに従って動作するＣＰＵ等によって実現される。なお、本実施例では、適用ポリシをＡＣＬ（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）の形式にして、ポリシの設定対象であるルータに設定する。ポリシ適用手段２５０は、例えば、追加されるポリシを反映させたＡＣＬを作成し、その上で、予め定めておいたプロトコルに従って、ＡＣＬの設定要求を各ルータに送信することにより、追加ポリシを適用させてもよい。

次に、本実施例の動作について説明する。本例では、ルータ３２０−１〜３２０−ｎそれぞれに、当該ルータに接続されているリソース３２０に対するネットワークアクセス制御のためのＡＣＬが設定されているものとする。ポリシ収集手段２１０は、各ルータ３２０−１〜３２０−ｎに設定されているＡＣＬを何らかの方法で収集し、ポリシテンプレート生成装置１００のポリシ格納手段１１０に、現在設定されているポリシ集合として格納する。ポリシ収集手段２１０は、例えば、予め定めておいたプロトコルに従って、ＡＣＬの収集要求を各ルータに送信し、その応答として受信することによって収集してもよい。

図９は、ポリシ格納手段１１０に格納されるポリシ集合の例を示す説明図である。図９に示す例では、ポリシ集合として、どのＩＰアドレス（アクセス元）からどのＩＰアドレス（リソース）へどのプロトコルを通すか（アクション）を、リソースをキーにアクセス元とアクセス先とを対応づけて記憶されている。なお、図９に示す例では、リソースを識別するために各リソースに対してリソースＩＤを割り当てているが、リソースＩＤは必ずしも必要ではなく、リソースとアクセス元とアクションとが対応づけて記憶されていればよい。本例では、アクセス元とアクションとを組み合わせたものを１つのパーミッションという。

例えば、図９では、リソース１（ＩＰアドレス＝”１９２．１６８．１０．１０ ｐｏｒｔ８０”）には、｛”アクセス元ＩＰアドレス”，”アクション”｝＝｛”１９２．１６８．１０．１００”，”Ｔｃｐ許可”｝，｛”１９２．１６８．１０．１０１”，”Ｔｃｐ許可”｝，｛”１９２．１６８．１０．１０２”，”Ｔｃｐ許可”｝の３つのパーミッションの集合からなるアクセス制御ポリシが設定されていることが示されている。

また、図１０は、図９に示すポリシ集合から生成されるリソース分類木の例を示す説明図である。図１０に示す例では、リソース１をノードＡ，リソース２をノードＢ，リソース３をノードＣ，リソース４をノードＤ，リソース５をノードＥに割り当ててリソース分類木を生成している。

例えば、リソース分類手段１２０は、上記ステップＢ１において、ポリシ格納手段１１０からリソース毎のパーミッション集合を取得し、それぞれ葉ノード（図１０におけるノードＡ〜Ｅ）として、ノード集合Ｎ＝｛Ａ，Ｂ，Ｃ，Ｄ，Ｅ｝を初期化する。

そして、集合間距離計算手段１３０を用いてリソース間距離の計算を行い、各リソースに対応するノード間距離とする（ステップＢ２）。例えば、図４に示した方法によるリソース１とリソース２の距離（すなわち、ノードＡ，Ｂ間の距離）は、一致するパーミッション数ａ＝３，リソース１のパーミッション数ｂ＝３，リソース２のパーミッション数ｃ＝４となり、式（１）による計算の結果１／７となる。同様の計算により、リソース１とリソース３の距離（ノードＡ，Ｃ間の距離）＝１／７、リソース１とリソース４の距離（ノードＡ，Ｄ間の距離）＝１、リソース１とリソース５の距離（ノードＡ，Ｅ間の距離）＝１、リソース２とリソース３の距離（ノードＢ，Ｃ間の距離）＝１／４、リソース２とリソース４の距離（ノードＢ，Ｄ間の距離）＝１、リソース２とリソース５の距離（ノードＢ，Ｅ間の距離）＝３／４、リソース３とリソース４の距離（ノードＣ，Ｄ間の距離）＝５／７、リソース４とリソース５の距離（ノードＤ，Ｅ間の距離）＝１／７と求まる。

次にリソース分類手段１２０は、最も近いノード組を選択する（ステップＢ３）。ここでは、最も距離の近いノード組として、ノード間距離が１／７である（ノードＡ，ノードＢ）、（ノードＡ，ノードＣ）、（ノードＤ，ノードＥ）があるが、同値の場合はいずれか１つを選択すればよい。同値の場合の選択基準は特に定めないが、ここではノード番号の若い（ノードＡ，ノードＢ）の組を選択する。

そして、新しいノード（図１０におけるノードＦ）を生成し、ノードＡおよびノードＢの親ノードとする（ステップＢ４）。次に、ノード集合Ｎから当該子ノードＡ，Ｂを除き、生成した親ノード（ノードＦ）を追加する。これにより、ノード集合Ｎ＝｛Ｃ，Ｄ，Ｅ，Ｆ｝となる（ステップＢ５）。

次に、新しいノードＦに対する距離の更新を行う。最遠隣距離を用いるので、ノードＦ，Ｃ間の距離はノードＢ，Ｃ間の距離であり、１／４となる。同様に、ノードＦ，Ｄ間の距離はノードＢ，Ｄ間の距離＝１，ノードＦ，Ｅ間の距離はノードＢ，Ｅ間の距離＝１となる（ステップＢ６）。このとき、ノード集合の要素数は４であるため、ステップＢ３に戻り、最も近いノードの組の選択を再度行う。

ステップＢ３〜ステップＢ６の動作を繰り返すことにより、ノードＤ，Ｅの親ノードとしてノードＧを、ノードＦ，Ｃの親ノードとしてノードＨを追加し、さらにノードＨ，Ｇの親ノードとしてノードＩを追加する。この時点で、ノード集合の要素数が１となり、図１０に示すリソース分類木が構築される（ステップＢ８）。

次に、リソース分類手段１２０は、構築されたリソース分類木からリソースグループを作成する処理を行う。図１１は、当該処理の結果作成されるリソースグループを示す情報の例を示す説明図である。図１１に示す情報は、例えば、グループ格納手段１４０に格納される。図１１に示す例では、リソースグループを識別するための識別子（リソースグループＩＤ）に対応づけて、当該リソースグループに属するリソースを示す情報を保持している。

また、以下では、部分木を分離するために用いる距離の閾値を０．２５とした場合を例に、上位ノード集合の抽出処理について説明する。これによりリソースグループ内のどのリソース対に対しても必ず７５％以上のパーミッションを共有することとなる。

リソース分類手段１２０は、まず上位ノード集合を抽出処理として、根ノードＩから上位ノード集合に加えるか否かの判定処理を始める（図６のステップＤ１）。ここでは、ノードＩは葉ノードではなく（図７ステップＥ１のＮｏ）、またノードＩの子ノードであるノードＨ，Ｇ間の距離は１であるため閾値０．２５より大きいため（ステップＥ３のＮｏ）、該ノードＩを上位ノードには含めないと決定する。

従って、リソース分類手段１２０は、ノードＩの子ノードであるノードＨおよびノードＧを対象にしてさらに上位ノード集合に加えるか否かの判定処理を行う（ステップＥ４，ステップＥ５）。ここでは、カレントノードをノードＨまたはノードＧにして、ステップＥ１からの判定処理を繰り返す。

ノードＨをカレントノードとして再度判定処理を行うと、ノードＨは葉ノードではなく（ステップＥのＮｏ）、子ノードであるノードＦ，Ｃ間の距離が０．２５であるので（ステップＥ３のＹｅｓ）、該ノードＨを上位ノード集合に含めると決定する（ステップＥ６）。また、ノードＧをカレントノードとして判定処理を行うと、ノードＧは葉ノードではなく（ステップＥのＮｏ）、子ノードであるノードＤ，Ｅ間の距離が０．１４（１／７）であるので（ステップＥ３のＹｅｓ）、該ノードＧを上位ノード集合に含めると決定する（ステップＥ６）。このような処理により、上位ノード集合として｛ノードＨ，ノードＧ｝を出力する（ステップＥ７）。

次に、上位ノード集合の各要素を根ノードとする部分木からリソースグループを生成する。本例では、まずノードＨを根ノードとする部分木に含まれる葉ノード集合｛ノードＡ，ノードＢ，ノードＣ｝を生成する（ステップＤ３）。そして、生成した葉ノード集合に対応するリソース集合｛リソース１，リソース２，リソース３｝をリソースグループ１として生成する（ステップＤ４）。

次いで、今度はノードＧを根ノードとする部分木に含まれる葉ノード集合｛ノードＤ，ノードＥ｝を生成し（ステップＤ３）、生成した葉ノード集合に対応するリソースグループ｛リソース４，リソース５｝をリソースグループ２として生成する（ステップＤ４）。

最終的に生成されたリソースグループ１，２を示す情報を図１１に示すように、グループ格納手段１４０に格納する（ステップＡ３）。

次に、テンプレート生成手段１５０によるリソースグループからポリシテンプレートを生成する処理について具体例を説明する。

テンプレート生成手段１５０は、まずリソースグループ１に対応したテンプレート生成を行う。リソースグループ１に対応したテンプレートの生成処理として、まず、リソースグループ１のリソースの中で最もパーミッション数の少ないリソースであるリソース１を選択する（ステップＦ１）。次いで、選択したリソース１に含まれる各パーミッションについて、同リソースグループ１の他のリソース全てに含まれているか否かを判定する（ステップＦ３）。

ここでは、まずリソース１のパーミッション｛”１９２．１６８．１０．１００”，”Ｔｃｐ許可”｝（以下、パーミッション１−１という。）が、リソース２およびリソース３のパーミッション集合に含まれているか否かを判定する（ステップＦ４）。本例では、ステップＦ４で該パーミッション１−１はリソース２およびリソース３のパーミッション集合に含まれていると判定されるため、当該パーミッション１−１をテンプレートに追加する（ステップＦ５）。

同様の処理で、リソース１の他の２つのパーミッション｛”１９２．１６８．１０．１００”，”Ｔｃｐ許可”｝（以下、パーミッション１−２という。），｛”１９２．１６８．１０．１００”，”Ｔｃｐ許可”｝（以下、パーミッション１−３という。）についても判定を行う。本例では、いずれもリソース２およびリソース３のパーミッション集合に含まれているため、当該パーミッション１−２，１−３をテンプレートに追加する。

リソース１の全てのパーミッションについて上記判定処理が完了すると、その時点でリソースグループ１に対応するテンプレートとして、パーミッション集合が｛パーミッション１−１，パーミッション１−２，パーミッション１−３｝であるテンプレートが生成され、これを出力する（ステップＦ８）。

同様の処理で、リソースグループ２に対応するテンプレートを生成する。本例では、リソースグループ２に対応するテンプレートの生成処理として、まず、リソースグループ２のリソースの中で最もパーミッション数の少ないリソースであるリソース４を選択し、選択したリソース４に含まれる各パーミッション｛”１９２．１６８．１０．１０５”，”Ｔｃｐ許可”｝（以下、パーミッション２−１という。），｛”１９２．１６８．１０．１１０”，”Ｔｃｐ許可”｝（以下、パーミッション２−２という。），｛”１９２．１６８．１０．１１１”，”Ｔｃｐ許可”｝（以下、パーミッション２−３という。）について、同リソースグループ２の他のリソース全て（本例では、リソース５）に含まれているか否かを判定する（ステップＦ３）。

結果、いずれのパーミッションもリソース５のパーミッション集合に含まれているため、パーミッション２−１，２−２，２−３をテンプレートに追加する。リソース４の全てのパーミッションについて判定処理が完了すると、その時点でリソースグループ２に対応するテンプレートとして、パーミッション集合が｛パーミッション２−１，パーミッション２−２，パーミッション２−３｝であるテンプレートが生成されているので、これを出力する（ステップＦ８）。

図１２は、本処理により生成されるポリシテンプレートの例を示す説明図である。図１２では、図１１に示したリソースグループに対応して生成されるポリシテンプレートの例が示されている。図１２に示すように、例えば、ポリシテンプレートを示す情報として、テンプレートを識別するＩＤ（テンプレートＩＤ）と、対応づけたリソースグループを識別するためのリソースグループＩＤと、当該テンプレートに含まれるパーミッション集合を示す情報とを対応づけて、テンプレート格納手段１６０に記憶させてもよい。なお、リソースグループＩＤは、当該リソースグループに含まれるリソースの情報を参照するために用いる情報であり、グループ格納手段１４０へのインデックス情報として利用される情報である。なお、リソースグループＩＤの代わりに、直接当該リソースグループに含まれるリソースの情報を含ませてもよい。

図１３は、このように生成されたポリシテンプレートを利用して、新規リソースに対してポリシを設定するポリシ設定動作の例を示すフローチャートである。図１３に示す例では、まずリソース登録手段２２０が、管理者からの操作に応じて、新規リソースを登録する（ステップＧ１）。ステップＧ１では、リソース登録手段２２０を介して、管理者に、新規リソースのＩＰアドレスおよび必要であればポート番号の情報を入力させる。例えば、新しい部門１向けＷｅｂサーバである、”１９２．１６８．１０．３０ ｐｏｒｔ８０”を新規リソースとして追加する。

次に、テンプレート選択手段２３０は、管理者に、新規リソースに適用するポリシテンプレートを選択させる（ステップＧ２）。テンプレート選択手段２３０が提供するユーザインタフェース（より具体的には、テンプレート選択画面）の例を図１４に示す。図１４に示すように、テンプレート選択画面では、利用するテンプレートを選択すると、対応するリソースグループとパーミッションの情報が表示されることが望ましい。

また、テンプレート選択画面には、テンプレートを選択しやすくするためのテンプレート名が表示されていることが望ましく、テンプレート名は対応するリソースグループとパーミッション集合の特徴により命名されていることが望ましい。テンプレート名は、例えば、リソースグループに共通するポート番号やＤＮＳサーバ３１０を用いて取得できるアクセス元のドメインなどを利用してもよい。

図１１におけるテンプレート１は、リソースがｐｏｒｔ８０で共通し、かつアクセス元のドメインをＤＮＳサーバ３１０を用いて問い合わせると、”ｂｕｍｏｎ１．ｘｘｘ．ｃｏｍ”ドメインで共通していたとする。このような場合には、テンプレート名は、”ｂｕｍｏｎ１．ｘｘｘ．ｃｏｍ向けｐｏｒｔ８０用テンプレート”などと付けることによって、管理者が、選択時に部門１向けＷｅｂサーバ用のテンプレートであることを読み取ることができる。

適用するテンプレートが選択されると、テンプレート編集手段２４０が、選択されたテンプレートを基に編集作業を行うことによって、実際に新規リソースに対して設定するポリシを作成する（ステップＧ３）。なお、テンプレートをそのまま適用させる場合には、当該編集作業としては特に何もせず処理を終了すればよい。

実際に設定するポリシが作成されると、ポリシ適用手段２５０が、ルータに作成されたポリシを設定する（ステップＧ４）。ルータにポリシを設定することで、新規リソースへのネットワークアクセス制御設定を完了する。

例えば、部門１向けＷｅｂサーバとして用いるリソース”１９２．１６８．１０．３０ ｐｏｒｔ８０”に対してテンプレート１を選択し、編集なくポリシを作成した場合、ルータに設定されるポリシは図１５のようになる。図１５は、図１２に示すテンプレート１を利用してリソースを追加した場合にルータに設定されるポリシの例を示す説明図である。図１５に示す例では、図９に示したポリシ集合に、さらにリソースＩＤ＝６として、リソース”１９２．１６８．１０．３０ ｐｏｒｔ８０”に対するパーミッション集合｛｛”１９２．１６８．１０．１００”，”Ｔｃｐ許可”｝，｛”１９２．１６８．１０．１０１”，”Ｔｃｐ許可”｝，｛”１９２．１６８．１０．１０２”，”Ｔｃｐ許可”｝｝が追加されている。

本実施例で示すように、既存のポリシを収集してポリシテンプレートを自動で生成する構成であれば、事前準備の必要なく、新規リソースへのポリシ設定を容易に行うことが可能である。

また、図１６は、第２の実施例として、本発明によるポリシテンプレート生成装置を備えたアクセス権管理システムの他の構成例を示すブロック図である。図１６に示すように、本実施例の構成にさらにテンプレート命名手段１７０を追加してもよい。

テンプレート命名手段１７０は、ユーザ操作に応じて、作成されたテンプレートに名前を割り当てる。テンプレート命名手段１７０は、例えば、作成されたテンプレートの情報を提示するとともに、該テンプレートに付する名前を入力するための画面を出力し、キーボードによる情報入力やその画面上におけるマウス操作に従って情報を受け付けるといったユーザインタフェース機能を提供することによって、テンプレート名を入力させて、その名をテンプレートに割り当ててもよい。テンプレート命名手段１７０は、例えば、各種情報入出力装置とプログラムに従って動作するＣＰＵ等によって実現される。

図１７は、テンプレート命名手段１７０が提供するユーザインタフェース（より具体的には、テンプレート命名画面）の例を示す説明図である。図１７に示すように、テンプレート命名画面では、作成されたテンプレートに対して、テンプレートの情報だけでなく、リソースの特徴（ｐｏｒｔ番号等）と、パーミッションの特徴（アクセス元ドメイン等）を命名支援情報として表示することが望ましい。

管理者は、テンプレート命名手段１７０によって提示される、命名支援情報を基に、テンプレート選択を行いやすいテンプレート名を決定し、その名を入力すればよい。例えば、アクセス元ドメインが”ｂｕｍｏｎ１．ｘｘｘ．ｃｏｍ”で共通し、リソースが”ｐｏｒｔ８０”で共通しているようなテンプレートの場合、”部門１向けＷｅｂサーバ用テンプレート”と命名してもよい。

なお、図１７に示す例では、ポリシテンプレート生成装置１００がテンプレート命名手段１７０を備える例を示したが、テンプレート命名手段１７０はポリシテンプレート生成装置１００とは別の装置として実装されてもかまわない。実際に実装する装置の単位は特に限定されない。

また、テンプレート命名手段１７０は、ユーザ操作に応じてテンプレート名を割り当てる機能だけでなく、第１の実施例のテンプレート選択画面に表示させるテンプレート名において説明したような、リソースグループとパーミッション集合の特徴に基づくテンプレート名を自動で決定する機能を有していてもよい。このような場合には、テンプレート命名手段１７０は、リソースグループに含まれるリソースの特徴とパーミッション集合の特徴を抽出し、その特徴を表した表現の組み合わせをテンプレート名として決定してもよい。

このように、テンプレート命名手段１７０を用いてテンプレートに名前を付けることによって、管理者はテンプレート選択をより容易に行うことが可能になる。

次に、本発明の概要について説明する。図１８は、本発明の概要を示すブロック図である。本発明のアクセス制御ポリシテンプレート生成装置５００は、リソースグループ化手段５０１と、テンプレート生成手段５０２とを備える。

リソースグループ化手段５０１（例えば、リソース分類手段１２０（集合間距離計算手段１３０を含む。））は、リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類する。

テンプレート生成手段５０２（例えば、テンプレート生成手段１５０）は、リソースグループ化手段５０１によって分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成する。

テンプレート生成手段５０２は、例えば、リソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシにおいて共通するアクセス制御内容を含むアクセス制御テンプレートを生成してもよい。

また、リソースグループ化手段５０１は、例えば、リソースを示す情報と、該リソースへアクセスするアクセス元および許可するアクセス方法によって規定されるアクセス制御内容を示す情報とを含むアクセス制御ポリシが与えられた場合に、リソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容のうちアクセス元の情報を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類してもよい。

また、リソースグループ化手段５０１は、リソース別アクセス制御ポリシ集合間の類似度として、リソース別アクセス制御ポリシ集合間で、アクセス制御内容が共通しないアクセス制御ポリシが増加するに従って大きくなる性質をもつ指数を用いてもよい。

また、リソースグループ化手段５０１は、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行ってもよい。

また、図１９は、本発明のアクセス制御ポリシテンプレート生成装置の他の構成例を示すブロック図である。図１９に示すように、アクセス制御ポリシテンプレート生成装置１００は、さらに、テンプレート命名手段５０３を備えていてもよい。

テンプレート命名手段５０３は、生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定する。

また、図２０は、本発明のアクセス制御ポリシテンプレート生成装置５００の利用例であるアクセス制御ポリシ管理システム６００の構成例を示すブロック図である。

アクセス制御ポリシ管理システム６００は、上述したアクセス制御ポリシテンプレート生成装置５００と、さらに、リソース登録手段６０１と、テンプレート選択手段６０２と、アクセス制御ポリシ生成手段６０３とを備えている。

リソース登録手段６０１（例えば、リソース登録手段２２０）は、新規のリソースを登録する。テンプレート選択手段６０（例えば、テンプレート選択手段２３０）は、アクセス制御ポリシ生成装置５００が生成したアクセス制御ポリシテンプレートの中から、ユーザ操作に応じて、リソース登録手段６０１によって登録された新規リソースに適用するアクセス制御ポリシテンプレートを選択する。

アクセス制御ポリシ生成手段６０２（例えば、ポリシ編集手段２４０）は、テンプレート選択手段６０２によって選択されたアクセス制御ポリシテンプレートに対してユーザ操作に応じた編集作業を行い、リソース登録手段５０１によって登録された新規リソースに適用するアクセス制御ポリシを生成する。

以上、実施形態および実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２００９年４月１０日に出願された日本特許出願２００９−９６１２６を基礎とする優先権を主張し、その開示の全てをここに取り込む。

本発明は、アクセス権管理システムのためのポリシ管理支援といった用途に好適に適用可能である。

１００ ポリシテンプレート生成装置
１１０ ポリシ格納手段
１２０ リソース分類手段
１３０ 集合間距離計算手段
１４０ グループ格納手段
１５０ テンプレート生成手段
１６０ テンプレート格納手段
１７０ テンプレート命名手段
２１０ ポリシ収集手段
２２０ リソース登録手段
２３０ テンプレート選択手段
２４０ ポリシ編集手段
２５０ ポリシ適用手段

Claims (19)

1. リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化手段と、
   前記リソースグループ化手段によって分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成手段とを備え、
   前記リソースグループ化手段は、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う
   ことを特徴とするアクセス制御ポリシ生成装置。
2. リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化手段と、
   前記リソースグループ化手段によって分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成手段と、
   生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定するテンプレート命名手段とを備えた
   ことを特徴とするアクセス制御ポリシ生成装置。
3. リソースグループ化手段は、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う
   請求項２に記載のアクセス制御ポリシ生成装置。
4. テンプレート生成手段は、リソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシにおいて共通するアクセス制御内容を含むアクセス制御テンプレートを生成する
   請求項１から請求項３のうちのいずれか１項に記載のアクセス制御ポリシ生成装置。
5. リソースグループ化手段は、リソースを示す情報と、該リソースへアクセスするアクセス元および許可するアクセス方法によって規定されるアクセス制御内容を示す情報とを含むアクセス制御ポリシが与えられた場合に、リソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容のうちアクセス元の情報を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類する
   請求項１から請求項４のうちのいずれか１項に記載のアクセス制御ポリシ生成装置。
6. リソースグループ化手段は、リソース別アクセス制御ポリシ集合間の類似度として、リソース別アクセス制御ポリシ集合間で、アクセス制御内容が共通しないアクセス制御ポリシが増加するに従って大きくなる性質をもつ指数を用いる
   請求項１から請求項５のうちのいずれか１項に記載のアクセス制御ポリシ生成装置。
7. 請求項１から請求項６のうちのいずれか１項に記載のアクセス制御ポリシ生成装置を備えたアクセス制御ポリシ管理システムであって、
   新規のリソースを登録するリソース登録手段と、
   前記アクセス制御ポリシ生成装置が生成したアクセス制御ポリシテンプレートの中から、ユーザ操作に応じて、前記リソース登録手段によって登録された新規リソースに適用するアクセス制御ポリシテンプレートを選択するテンプレート選択手段と、
   前記テンプレート選択手段によって選択されたアクセス制御ポリシテンプレートに対してユーザ操作に応じた編集作業を行い、前記リソース登録手段によって登録された新規リソースに適用するアクセス制御ポリシを生成するアクセス制御ポリシ生成手段を備えた
   ことを特徴とするアクセス制御ポリシ管理システム。
8. リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類し、
   分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成し、
   リソースを１つ以上のグループに分類するときに、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、
   構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う
   ことを特徴とするアクセス制御ポリシ生成方法。
9. リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシが与えられた場合に、前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類し、
   分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成し、
   生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定する
   ことを特徴とするアクセス制御ポリシ生成方法。
10. リソースを１つ以上のグループに分類するときに、与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築し、
    構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う
    請求項９に記載のアクセス制御ポリシ生成方法。
11. リソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシにおいて共通するアクセス制御内容を含むアクセス制御テンプレートを生成する
    請求項８から請求項１０のうちのいずれか１項に記載のアクセス制御ポリシ生成方法。
12. リソースを示す情報と、該リソースへアクセスするアクセス元および許可するアクセス方法によって規定されるアクセス制御内容を示す情報とを含むアクセス制御ポリシが与えられた場合に、リソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容のうちアクセス元の情報を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類する
    請求項８から請求項１１のうちのいずれか１項に記載のアクセス制御ポリシ生成方法。
13. リソース別アクセス制御ポリシ集合間の類似度として、リソース別アクセス制御ポリシ集合間で、アクセス制御内容が共通しないアクセス制御ポリシが増加するに従って大きくなる性質をもつ指数を用いる
    請求項８から請求項１２のうちのいずれか１項に記載のアクセス制御ポリシ生成方法。
14. リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシを記憶する記憶手段を備えたコンピュータに、
    前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化処理と、
    分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成処理とを実行させ、
    前記リソースグループ化処理として少なくとも、
    与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築する処理と、
    構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う処理とを実行させる
    ためのアクセス制御ポリシ生成用プログラム。
15. リソースに対するアクセス制御内容を規定した複数のアクセス制御ポリシを記憶する記憶手段を備えたコンピュータに、
    前記複数のアクセス制御ポリシのうちリソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類するリソースグループ化処理と、
    分類されたリソースのグループであるリソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシの規定内容に基づくアクセス制御ポリシテンプレートを生成するテンプレート生成処理、
    生成されたアクセス制御ポリシテンプレートに付与する名前を、当該アクセス制御ポリシテンプレートを生成する際に対応づけられていたリソースのグループの特徴と、当該アクセス制御ポリシテンプレートが含むアクセス制御内容の特徴とに基づいて決定するテンプレート命名処理とを実行させる
    ためのアクセス制御ポリシ生成用プログラム。
16. コンピュータに、
    リソースグループ化処理として少なくとも、
    与えられた複数のアクセス制御ポリシによって示されるリソースと１対１に対応づけた葉ノードを持つ二分木であって、リソース別アクセス制御ポリシ集合間の類似度が大きいリソース同士ほどノード間のパス長が短く配置される性質をもつ二分木を構築する処理と、
    構築した二分木において葉ノード間の距離が一定以下になるようにリソースの分類を行う処理とを実行させる
    請求項１５に記載のアクセス制御ポリシ生成用プログラム。
17. コンピュータに、
    テンプレート生成処理で、リソースグループ別に、当該リソースグループに含まれるリソースについて規定したアクセス制御ポリシにおいて共通するアクセス制御内容を含むアクセス制御テンプレートを生成させる
    請求項１４から請求項１６のうちのいずれか１項に記載のアクセス制御ポリシ生成用プログラム。
18. リソースを示す情報と、該リソースへアクセスするアクセス元および許可するアクセス方法によって規定されるアクセス制御内容を示す情報とを含むアクセス制御ポリシを記憶する記憶手段を備えたコンピュータに、
    リソースグループ化処理で、リソースが同じアクセス制御ポリシからなるリソース別アクセス制御ポリシ集合に含まれるアクセス制御ポリシのアクセス制御内容のうちアクセス元の情報を比較対象として算出されるリソース別アクセス制御ポリシ集合間の類似度に基づいて、各リソースを１つ以上のグループに分類させる
    請求項１４から請求項１７のうちのいずれか１項に記載のアクセス制御ポリシ生成用プログラム。
19. リソース別アクセス制御ポリシ集合間の類似度として、リソース別アクセス制御ポリシ集合間で、アクセス制御内容が共通しないアクセス制御ポリシが増加するに従って大きくなる性質をもつ指数を用いる
    請求項１４から請求項１８のうちのいずれか１項に記載のアクセス制御ポリシ生成用プログラム。

Images