JP5623326B2

JP5623326B2 - クライアントサーバシステム

Info

Publication number: JP5623326B2
Application number: JP2011079654A
Authority: JP
Inventors: 拓人山口
Original assignee: Hitachi Solutions Ltd
Current assignee: Hitachi Solutions Ltd
Priority date: 2011-03-31
Filing date: 2011-03-31
Publication date: 2014-11-12
Anticipated expiration: 2031-03-31
Also published as: JP2012215985A

Description

本発明は、ログイン時に認証サーバよりアクセス制御ポリシーを取得し、当該ポリシーをクライアントマシンに反映させるクライアントサーバシステムに関するものである。

従来からのクライアントマシンにおけるアクセス制御は、企業のような情報システムを想定すると、クライアントマシンがシステムへのログイン時に認証サーバよりアクセス制御ポリシーを取得し、ログイン後にはそのアクセス制御ポリシーが反映され、ログアウト後には再度、全権限が制限された状態に戻る、という形式のものが中心となっている。
それらのアクセス制御ポリシーによって保護されるリソースは、ドキュメント、印刷機能、外部媒体へのデータ書き出し機能、およびメール送信機能など多岐にわたる。
そのようなシステムの中に、サーバと通信できない状況での運用も考慮され、オンラインログイン時にオフライン時のアクセス制御ポリシーも取得し、オフライン時に該ポリシーを反映させるというものも存在する。

このサーバと通信できない状況での運用が考慮されたシステムの方式として、例えば、特許文献１、および特許文献２に記載の技術がある。
特許文献１に開示された技術においては、ログイン時に１つのオフライン時のアクセス制御ポリシーを取得し、有効期限内で反映可能という方式を提案している。
また、特許文献２に開示された技術においては、オンラインログイン時に複数のアクセスポリシーを取得し、オフライン時にはトークンデバイスの中に選択するアクセス制御ポリシーの情報を登録し、当該クライアントマシンに接続することで、有効期限内で反映可能という方式を提案している。

特開２００８−３３８５５号公報特開２０１０−２５０７１４号公報

しかしながら、上記特許文献１の技術は、１度はクライアントマシンと認証サーバが必ず通信できることを前提としており、常にマシンを社外に持ち出して使用するような状況では、何もできないという問題点があった。また、適用されるアクセス制御ポリシーは１つだけであり、クライアントマシンがサーバに接続できない状況であっても、ユーザ毎に異なった適度に制限されたアクセス制御ポリシーを実施する、というような柔軟な運用が従来技術では行なう事ができなかった。
また、上記特許文献２の技術は、トークンデバイスといった専用デバイスを用意しなければならないという問題点があった。また、該デバイスを紛失することにより、再度デバイスを用意するまで業務を遂行できなくなるという問題点があった。
専用デバイスを使用することなく、ワンタイムパスワードを利用することによってオフラインポリシーを切り替える場合も、セキュリティ管理者は変更後のセキュリティポリシーを知ることができないため、適切なセキュリティポリシーの運用ができないという問題点があった。

本発明の目的は、サーバと通信できない状態でもアクセス制御ポリシーを定義でき、専用デバイスを用意することなくオフラインポリシーを変更できる仕組みを提供し、より柔軟なアクセス制御ポリシーを実現できるクライアントサーバシステムを提供することにある。

上記目的を達成するために、本発明のクライアントサーバシステムは、クライアントマシンを認証し、オンライン時のリソースへのアクセス制御ポリシーを当該クライアントマシンへ送付するサーバと、該サーバからアクセス制御ポリシーを受信する複数の前記クライアントマシンからなるクライアントサーバシステムであって、
前記サーバは、
前記クライアントマシンを使用する各ユーザの認証情報に加えて、各ユーザのオンラインログイン時のアクセス制御ポリシーであるオンラインポリシーを保持し、さらにオフライン時のアクセス制御ポリシーである複数のオフラインポリシーを保持するアクセス制御ポリシー記憶手段と、
該アクセス制御ポリシー記憶手段に保持された複数のオフラインポリシーを前記クライアントマシンに導入するためのインストール媒体を作成するインストール媒体作成手段とを有し、
前記クライアントマシンは、
前記サーバへのオンライン時に前記アクセス制御ポリシー記憶手段に保持されたオンラインポリシーを取得し、該オンラインポリシーに従って当該クライアントマシンのリソースへのアクセス制御を実行する第１の手段と、
前記インストール媒体作成手段が作成したインストール媒体によって、前記クライアントマシンに前記複数のオフラインポリシーのいずれかを適用し、該オフラインポリシーに従ってオフライン時のリソース資源へのアクセス制御を実行する第２の手段とを有し、
前記第２の手段は、前記複数のオフラインポリシーのいずれかを適用するに際し、いずれかのオフラインポリシーに対応するセキュリティポリシー情報とユーザ情報を組み合わせたチャレンジコードを表示し、電話またはメール等の通信手段によってユーザからセキュリティ管理者に送信された当該チャレンジコードを受信した前記サーバが当該チャレンジコードに基づいて発行するワンタイムパスワードを、電話またはメール等の通信手段によってセキュリティ管理者から受信したユーザの入力によって受付けた後に、当該ワンタイムパスワードと、表示した前記チャレンジコードに基づいて生成したワンタイムパスワードとを照合することにより当該ワンタイムパスワードが正しいか否かを判断し、正しくなければオフラインポリシーは適用せず、リソースへのアクセス権限が全て制限された状態とし、ワンタイムパスワードが正しい場合には、適用対象のセキュリティポリシー情報と一致するオフラインポリシーを適用してオフライン時のアクセス制御を実行することを特徴とするクライアントサーバシステム。
また、複数のオフラインポリシーに関する情報を前記クライアントマシン上に保持し、前記チャレンジコードにより、前記複数のオフラインポリシーのうちいずれを適用するかを選択することを特徴とする。

本発明のクライアントサーバシステムによれば、次のような効果がある。
認証サーバと通信できない状況で使用するクライアントマシンに対して、適度なアクセス制御ポリシーを適用することができる。また、認証サーバと通信できない状況にあるクライアントマシンに対して、専用デバイスを用意することなくアクセス制御ポリシーを変更することができるため、さまざまな状況に対応することが可能となる。

本発明における管理サーバとクライアントを含むシステム全体構成図である。アクセス制御ポリシーデータベースに格納されているデータの構成図である。本発明におけるセキュリティポリシーの適用の仕方を示す概略説明図である。本発明で用いるオフラインポリシーセットのデータ構成図である。オンラインログイン時の処理を示すフローチャートである。オフラインログイン時の処を示すフローチャートである。

以下、本発明を適用したクライアントサーバシステムの実施の一形態について説明する。
図１は、本発明の一実施の形態を示すシステム構成図である。
サーバ１０３は、アクセス制御ポリシーデータベース（ＤＢ）１０４を備え、ここに各ユーザ毎のオンラインポリシーが保存してある。
各クライアントマシン１０１のユーザは、通常はサーバ１０３とオンラインログインを行って、各種の作業を行う。その通信のたびに、サーバ１０３からオンラインポリシーを取得し、クライアントマシン１０１に保存する。
例えば図１では、クライアントマシン１０１からＵｓｅｒ１がオンラインログインすると、サーバ１０３のアクセス制御ポリシーＤＢ１０４内のＵｓｅｒ１に対応するオンラインポリシー１０６が、ネットワーク１０２経由でクライアントマシン１０１にダウンロードされ、Ｕｓｅｒ１のオンラインポリシー１０５として保存される。
これにより、Ｕｓｅｒ１がオンラインログインしたときは、オンラインポリシーに応じてアクセス制御が実行される。

図２は、ユーザ毎のアクセス制御ポリシーＤＢ（図１の１０４）に格納される情報の例を示す。管理者は、各ユーザ毎にオンラインポリシーを設定（定義）することができ、設定の後に変更することもできる。
この例のオンラインポリシーにおいては、Ｕｓｅｒ１はリソースへのアクセス権限として、印刷可、メール送信可、外部媒体持ち出し不可、ネットワークフォルダアクセス可に設定されている。
一方、Ｕｓｅｒ２は印刷可、メール送信可、外部媒体持ち出し可、ネットワークフォルダアクセス可に設定され、外部媒体によるデータの持ち出し権限がＵｓｅｒ１とでは異なるように定義されている。

図３は、本発明の一実施形態であるシステムの構成とオフラインログイン時の処理の概要を示している。
サーバ１０３は、さまざまなオフラインポリシーのＳｅｔ３０２を保持している。そしてクライアントマシン１０１へオフラインポリシーを導入するときに使用するインストール媒体３０３を作成し、クライアントマシン１０１にインストールすることで、サーバ１０３に保持されているさまざまなオフラインポリシーのＳｅｔ３０２をクライアントマシン１０１上にも保持させる。
オフライン時にどのオフラインポリシー３０２を使用するかは、ユーザ情報および適用対象のオフラインポリシーに対応するセキュリティポリシー情報を付加したチャレンジコードをセキュリティ管理者に送信し、セキュリティ管理者の承認の下に発行されたワンタイムパスワードをユーザが入力することにより、選択する。ワンタイムパスワードが発行されていない場合には、全権限が制限される。
図４は、本発明で用いるオフラインポリシーセット３０２のデータ構成例である。
図４に示すように、オフラインポリシーの組合せが複数準備され、それらの組合せの一つ一つにセット番号Ｓｅｔ１〜Ｓｅｔ３・・が付されている。

図５は、クライアントマシン１０１においてオンラインログイン時の処理手順を示すフローチャートである。
あるユーザがクライアントマシン１０１から認証サーバ１０３にオンラインログインすると、まずステップ５０１で、認証サーバ１０３との間で認証処理を行う（ステップ５０２）。認証に失敗した場合は、ステップ５０３でエラー終了する。認証に成功した場合は、ステップ５０４で、認証サーバ１０３のアクセス制御ポリシーＤＢ１０４から当該ユーザに対応するオンラインポリシーを取得する。その後、ステップ５０５でオンラインログイン処理を行なう。
オンラインログイン処理後のクライアントマシン１０１はステップ５０４で取得したオンラインポリシーに従ってリソースへのアクセス制御を行う。

図６は、クライアントマシン１０１において、オフライン時の処理手順を示すフローチャートである。
まずステップ６０１で、変更後のオフラインポリシーを選択する。
すなわち、クライアントマシン１０１はオンライン時に認証サーバ１０３から取得したオフラインポリシーのＳｅｔを複数組保持しているが、クライアントマシン１０１のユーザがオフライン時に利用するオフラインポリシーのＳｅｔを例えばＳｅｔ１からＳｅｔ２へ変更したい場合、ステップ６０２で、ステップ６０１で選択されたオフラインポリシーに対応するセキュリティ情報（Ｓｅｔ番号）とユーザ情報の組み合わせから、チャレンジコードを作成する。

クライアントマシン１０１はステップ６０３で、ステップ６０２で作成したチャレンジコードを表示画面（図示しない）等に表示し、ユーザは電話やメール等の通信手段を使用し、表示されたチャレンジコードをセキュリティ管理者に送信する。セキュリティ管理者はチャレンジコードを受信し、ステップ６０４でオフラインポリシーへの切り替えを承認するかを判別する。
セキュリティ管理者がオフラインポリシーの切り替えを承認する場合には、ステップ６０５で認証サーバ１０３はワンタイムパスワードを発行し、セキュリティ管理者は電話やメール等の通信手段を使用し、ワンタイムパスワードをユーザに送信する。セキュリティ管理者が承認しない場合には、クライアントマシン１０１はステップ６１０で全権限を制限する設定を適用する。

ステップ６０６で、ユーザはセキュリティ管理者から電話やメール等の通信手段によってワンタイムパスワードを受信し、ワンタイムパスワードをクライアントマシン１０１に入力する。
ステップ６０７で、クライアントマシン１０１はワンタイムパスワードが正しいか判別する。パスワードが不正な場合には、ステップ６１０で全権限を制限する設定を適用する。ワンタイムパスワードが正しい場合には、ステップ６０６でパスワードの有効期限が過ぎていないか判別する。ワンタイムパスワードの有効期限が過ぎている場合には、ステップ６１０で全権限を制限する設定を適用する。ワンタイムパスワードの有効期限が過ぎていない場合には、ステップ６０９でオフラインポリシーを適用する。

なお、クライアントマシン１０１と認証サーバ１０３とで、ワンタイムパスワードを生成するロジックは同一であり、同一のチャレンジコードからは、双方の装置で同一のワンタイムパスワードが生成されるものとする。

以上の処理によって、クライアントマシン１０１はオフライン状態にあっても、インストール媒体３０３から取得しておいた複数のオフラインポリシーの１つをユーザが選択し、そのポリシーを利用することをセキュリティ管理者から許されたときのみ利用し、リソースのアクセス制御を実行する。したがって、認証サーバ１０３と通信できない状況で使用するクライアントマシン１０１に対して、適度なアクセス制御ポリシーを適用することができる。
また、認証サーバ１０３と通信できない状況にあるクライアントマシン１０１に対して、専用デバイスを用意することなくアクセス制御ポリシーを複数のポリシーにいずれかに変更することができるため、さまざまな状況に対応することが可能となる。

１０１クライアントマシン
１０３認証サーバ
１０４アクセス制御ポリシーデータベース

Claims

クライアントマシンを認証し、オンライン時のリソースへのアクセス制御ポリシーを当該クライアントマシンへ送付するサーバと、該サーバからアクセス制御ポリシーを受信する複数の前記クライアントマシンからなるクライアントサーバシステムであって、
前記サーバは、
前記クライアントマシンを使用する各ユーザの認証情報に加えて、各ユーザのオンラインログイン時のアクセス制御ポリシーであるオンラインポリシーを保持し、さらにオフライン時のアクセス制御ポリシーである複数のオフラインポリシーを保持するアクセス制御ポリシー記憶手段と、
該アクセス制御ポリシー記憶手段に保持された複数のオフラインポリシーを前記クライアントマシンに導入するためのインストール媒体を作成するインストール媒体作成手段とを有し、
前記クライアントマシンは、
前記サーバへのオンライン時に前記アクセス制御ポリシー記憶手段に保持されたオンラインポリシーを取得し、該オンラインポリシーに従って当該クライアントマシンのリソースへのアクセス制御を実行する第１の手段と、
前記インストール媒体作成手段が作成したインストール媒体によって、前記クライアントマシンに前記複数のオフラインポリシーのいずれかを適用し、該オフラインポリシーに従ってオフライン時のリソース資源へのアクセス制御を実行する第２の手段とを有し、
前記第２の手段は、前記複数のオフラインポリシーのいずれかを適用するに際し、いずれかのオフラインポリシーに対応するセキュリティポリシー情報とユーザ情報を組み合わせたチャレンジコードを表示し、電話またはメール等の通信手段によってユーザからセキュリティ管理者に送信された当該チャレンジコードを受信した前記サーバが当該チャレンジコードに基づいて発行するワンタイムパスワードを、電話またはメール等の通信手段によってセキュリティ管理者から受信したユーザの入力によって受付けた後に、当該ワンタイムパスワードと、表示した前記チャレンジコードに基づいて生成したワンタイムパスワードとを照合することにより当該ワンタイムパスワードが正しいか否かを判断し、正しくなければオフラインポリシーは適用せず、リソースへのアクセス権限が全て制限された状態とし、ワンタイムパスワードが正しい場合には、適用対象のセキュリティポリシー情報と一致するオフラインポリシーを適用してオフライン時のアクセス制御を実行することを特徴とするクライアントサーバシステム。
複数のオフラインポリシーに関する情報を前記クライアントマシン上に保持し、前記チャレンジコードにより、前記複数のオフラインポリシーのうちいずれを適用するかを選択することを特徴とする請求項１に記載のクライアントサーバシステム。