JP5673543B2

JP5673543B2 - ロール設定装置、ロール設定方法及びロール設定プログラム

Info

Publication number: JP5673543B2
Application number: JP2011530837A
Authority: JP
Inventors: 諒古川
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2009-09-10
Filing date: 2010-09-07
Publication date: 2015-02-18
Anticipated expiration: 2030-09-07
Also published as: WO2011030755A1; US20120174194A1; JPWO2011030755A1

Description

本発明は、ロールベースアクセス制御に関し、特にロール設定装置、ロール設定方法及びロール設定プログラムに関する。

企業や団体などの組織は、内部統制を徹底するために、組織に所属するユーザが情報やシステムへ適切にアクセス可能となるようアクセス制御を行う必要がある。アクセス制御は、通常、アクセスの主体となるユーザと、アクセスの対象となるリソースと、ユーザのリソースに対する操作の許可又は非許可を規定するアクションとの組（以下、アクセスルールと呼ぶ）を設定することによってなされる。

アクセス制御を行う方法の一つとして、ロールベースアクセス制御（ＲＢＡＣ）モデルが非特許文献１（Ｒ．Ｓ．Ｓａｎｄｈｕ、Ｅ．Ｊ．Ｃｏｙｎｅ、Ｈ．Ｌ．Ｆｅｉｎｓｔｅｉｎ、Ｃ．Ｅ．Ｙｏｕｍａｎ、「Ｒｏｌｅ−ＢａｓｅｄＡｃｃｅｓｓＣｏｎｔｒｏｌＭｏｄｅｌｓ」、ＩＥＥＥＣｏｍｐｕｔｅｒ、ＩＥＥＥＰｒｅｓｓ、１９９６年２月、第２９巻、第２号、ｐ．３８−４７）に記載されている。ＲＢＡＣモデルは、組織階層や職位などに基づいたロール（役割）を定義することでアクセス制御を行う方法である。１つのロールには、複数のパーミッション（リソースとアクションとの組）と、複数のユーザとを割り当てることができる。そして、ＲＢＡＣモデルは、１つのロールに割り当てられた全てのユーザが、対応付けされた全てのパーミッションを持つように、アクセス制御を行うことができる。ＲＢＡＣモデルは、ユーザの役割に基づいてアクセス制御できるため、内部統制の徹底に適したアクセス制御を行いやすい。従って、ＲＢＡＣモデルは、企業内におけるアクセス制御方法として近年注目を集めている。

ＲＢＡＣモデルを用いてアクセス制御を行うためには、ロールをユーザとパーミッションとに割り当てる設定をする必要がある。ロールの設定方法は、通常、組織全体のアクセス設定を管理する管理者（以下、セキュリティ管理者と呼ぶ）が、役割定義書を参照しながら各役割定義名にユーザとパーミッションとを割り当てることで行われる。以下、この方法をトップダウンなロール設定方法と呼ぶ。

もう一つのロール設定方法として、ロールマイニング方法が非特許文献２（ＡｌｉｎａＥｎｅ、外５名、「ＦａｓｔＥｘａｃｔａｎｄＨｅｕｒｉｓｔｉｃＭｅｔｈｏｄｓｆｏｒＲｏｌｅＭｉｎｉｍｉｚａｔｉｏｎＰｒｏｂｌｅｍｓ」、ＳＡＣＭＡＴ’０８、ＡＣＭＰｒｅｓｓ、２００８年６月、ｐ．１−１０）に記載されている。このロールマイニング方法は、以下のステップを含む。まず、稼働中のサーバにすでに設定されている、アクセスルールが複数記述されたアクセス制御リスト（ＡｃｃｅｓｓＣｏｎｔｒｏｌＬｉｓｔ：ＡＣＬ）を受け取る。次に、ＡＣＬに含まれているすべてのアクセスルールを、ユーザの集合とパーミッションの集合との直積集合で表したアクセスルールの集合に分類する。尚、このとき、アクセスルールの集合は、集合数が少なくなるように分類される。そして、分類されたアクセスルールの集合から、ユーザの集合とパーミッションの集合との組として表したアクセスルールカテゴリを生成し、アクセスルールカテゴリをロールとして扱うように動作する。以下、この方法をボトムアップなロール設定方法と呼ぶ。

Ｒ．Ｓ．Ｓａｎｄｈｕ、Ｅ．Ｊ．Ｃｏｙｎｅ、Ｈ．Ｌ．Ｆｅｉｎｓｔｅｉｎ、Ｃ．Ｅ．Ｙｏｕｍａｎ、「Ｒｏｌｅ−ＢａｓｅｄＡｃｃｅｓｓＣｏｎｔｒｏｌＭｏｄｅｌｓ」、ＩＥＥＥＣｏｍｐｕｔｅｒ、ＩＥＥＥＰｒｅｓｓ、１９９６年２月、第２９巻、第２号、ｐ．３８−４７ＡｌｉｎａＥｎｅ、外５名、「ＦａｓｔＥｘａｃｔａｎｄＨｅｕｒｉｓｔｉｃＭｅｔｈｏｄｓｆｏｒＲｏｌｅＭｉｎｉｍｉｚａｔｉｏｎＰｒｏｂｌｅｍｓ」、ＳＡＣＭＡＴ’０８、ＡＣＭＰｒｅｓｓ、２００８年６月、ｐ．１−１０

トップダウンなロール設定方法は、組織全体が過不足なく情報にアクセスできる環境を構築することを考慮している。そのため、セキュリティ管理者は、組織全体にわたって個人単位の業務内容を把握し、その情報からロールを設定することが必要である。しかし、これはセキュリティ管理者にとって大きな負担となる。そこで、実際のロール設定方法では、セキュリティ管理者は分かる範囲でロールを設定することになる。そして、ＲＢＡＣモデルで設定できないアクセスルールは、例外的に、個人単位でアクセスルールを設定するように運用されている。トップダウンなロール設定方法は、役割定義書に基づいたロールを設定するため、セキュリティ管理者にとって分かりやすいロールを設定することができるが、現場の実情と乖離したロールが設定されてしまう問題がある。

一方、ボトムアップなロール設定方法は、ＡＣＬを基にアクセスルールカテゴリを生成し、ロールとするため、コストをかけずに現場の実情をそのままロール化することができる。しかし、現在のボトムアップなロール設定方法は、ＡＣＬに記述されたパーミッションが同じユーザ同士を、単純に一つのアクセスルールカテゴリのユーザの集合としてしまう。そのため、設定された複数のアクセスルールカテゴリの各々が、どの役割定義に対応するかが自明でなく、対応付けが困難である。従って、ボトムアップなロール設定方法は、ロールの管理が困難になり、内部統制上問題がある。

このように、トップダウンなロール設定方法とボトムアップなロール設定方法には、それぞれ一長一短があり、両方の長所を生かした方法が求められている。本発明は、トップダウンなロール設定方法とボトムアップなロール設定方法との利点を持つように、セキュリティ管理者にとって分かり易いロールと、現場の実情を反映したアクセスルールカテゴリとを容易に対応付けすることができるロール設定装置を提供することにある。

本発明のロール設定装置は、アクセス対象であるリソースを識別するリソースＩＤとリソースに対する操作の許可又は非許可を規定するアクションとの組である少なくとも１つのパーミッションと、アクセス主体である複数のユーザを識別する複数のユーザＩＤとを関連付けたアクセスルールカテゴリを出力するＡＣＬ分類部と、複数のユーザＩＤと、複数の属性要素とを対応付けて格納するＩＤ属性格納部と、複数の属性要素と、複数の役割定義名とを対応付けて格納する役割定義格納部と、アクセスルールカテゴリの複数のユーザＩＤに基づいて、ＩＤ属性格納部が格納する複数の属性要素から、複数のユーザＩＤに共通する共通属性を取得し、共通属性に基づいて、役割定義格納部が格納する複数の役割定義名から第１役割定義名を取得し、アクセスルールカテゴリと第１役割定義名とを対応づけるロールマッピング部とを具備する。

本発明のロール設定方法は、アクセス対象であるリソースを識別するリソースＩＤとリソースに対する操作の許可又は非許可を規定するアクションとの組である少なくとも１つのパーミッションと、アクセス主体である複数のユーザを識別する複数のユーザＩＤとを関連付けたアクセスルールカテゴリを出力するステップと、複数のユーザＩＤと複数の属性要素とを対応付けて格納するＩＤ属性格納部から、アクセスルールカテゴリの複数のユーザＩＤに基づいて、複数のユーザＩＤに共通する共通属性を取得するステップと、複数の属性要素と複数の役割定義名とを対応付けて格納する役割定義格納部から、共通属性に基づいて、第１役割定義名を取得するステップと、アクセスルールカテゴリと第１役割定義名とを対応づけるステップとを具備する。

本発明のロール設定プログラムは、アクセス対象であるリソースを識別するリソースＩＤとリソースに対する操作の許可又は非許可を規定するアクションとの組である少なくとも１つのパーミッションと、アクセス主体である複数のユーザを識別する複数のユーザＩＤとを関連付けたアクセスルールカテゴリを出力するステップと、複数のユーザＩＤと複数の属性要素とを対応付けて格納するＩＤ属性格納部から、アクセスルールカテゴリの複数のユーザＩＤに基づいて、複数のユーザＩＤに共通する共通属性を取得するステップと、複数の属性要素と複数の役割定義名とを対応付けて格納する役割定義格納部から、共通属性に基づいて、第１役割定義名を取得するステップと、アクセスルールカテゴリと第１役割定義名とを対応づけるステップとをコンピュータに実行させる。

本発明のロール設定装置は、セキュリティ管理者にとって分かり易いロールと、現場の実情を反映したアクセスルールカテゴリとを容易に対応付けすることができる。

上記発明の目的、効果、特徴は、添付される図面と連携して実施の形態から、より明らかになる。
図１は、本発明のロール設定装置１００の構成例を示したブロック図である。図２は、ＡＣＬ格納部１１０が格納するＡＣＬの一例である。図３は、ＡＣＬに基づいて生成されたアクセスルールカテゴリの集合の一例を示した図である。図４は、ＩＤ属性格納部１３０が格納する、ユーザＩＤとＩＤ属性との一例を示した図である。図５は、役割定義格納部１４０が格納する、役割定義名と役割定義属性との一例を示した図である。図６は、ロール情報格納部１６０が格納する、アクセスルールカテゴリと役割定義名とが対応付けされたアクセスルールの一例を示した図である。図７は、本発明のロール設定装置１００の実施の形態における、ハードウエア構成例を示すブロック図である。図８は、本発明のロール設定装置１００の実施の形態による処理動作を示したフローチャートである。図９は、ロールマッピング部１５０が、アクセスルールカテゴリと対応付けする役割定義名を決定する処理動作を示したフローチャートである。図１０は、本発明の実施例におけるロール設定装置１００の構成例を示すブロック図である。図１１は、ＡＣＬ分類部１２０がアクセスルールカテゴリの集合を生成する処理動作を示したフローチャートである。図１２は、ＡＣＬ分類部１２０が図２のＡＣＬに基づいて、ユーザＩＤとパーミッション集合とを関連づけた図である。

以下、添付図面を参照して本発明の実施の形態によるロール設定装置、ロール設定方法、ロール設定プログラムを説明する。

図１は、本発明のロール設定装置１００の構成例を示したブロック図である。図１を参照すると、ロール設定装置１００は、ＡＣＬ（ＡｃｃｅｓｓＣｏｎｔｒｏｌＬｉｓｔ）格納部１１０と、ＡＣＬ分類部１２０と、ＩＤ属性格納部１３０と、役割定義格納部１４０と、ロールマッピング部１５０と、ロール情報格納部１６０とを具備する。

ＡＣＬ格納部１１０は、複数のアクセスルールが記述されたＡＣＬを格納する。アクセスルールは、ユーザの氏名や番号などユーザを識別するユーザＩＤと、リソース名称や番号などリソースを識別するリソースＩＤと、当該リソースに対する当該ユーザの操作の許可又は非許可を規定するアクションとの組で記述される。図２は、ＡＣＬ格納部１１０が格納するＡＣＬの一例である。図２を参照すると、ＡＣＬは、ユーザＩＤと、リソースＩＤと、アクションとの項目を有する。１つのアクセスルールは、例えば、ユーザ１と、サーバ１と、アクション可との組で表される。

ＡＣＬ分類部１２０は、ＡＣＬ格納部１１０からＡＣＬを取得する。ＡＣＬ分類部１２０は、取得したＡＣＬに記述されているアクセスルールの集合（複数のアクセスルール）を、ユーザＩＤの集合（複数のユーザＩＤ）と、パーミッションの集合（少なくとも１つのパーミッション）との直積集合に分類し、アクセスルールカテゴリの集合（複数のアクセスルールカテゴリ）を生成する。ＡＣＬ分類部１２０は、アクセスルールカテゴリの集合を生成するとき、アクセスルールカテゴリの数が少なくなるように、アクセスルールの集合を分類する。ＡＣＬ分類部１２０は、生成したアクセスルールカテゴリの集合をロールマッピング部１５０に出力する。図３は、ＡＣＬに基づいて生成されたアクセスルールカテゴリの集合の一例を示した図である。図３を参照すると、１つのアクセスルールカテゴリに、ユーザＩＤの集合（複数のユーザＩＤ）と、パーミッション集合（少なくとも１つのパーミッション）とが対応付けられている。つまり、ＡＣＬ分類部１２０は、アクセス対象であるリソースを識別するリソースＩＤとリソースに対する操作の許可又は非許可を規定するアクションとの組である少なくとも１つのパーミッションと、アクセス主体である複数のユーザを識別する複数のユーザＩＤとを関連付けたアクセスルールカテゴリを出力する。尚、ＡＣＬ分類部１２０が、アクセスルールの集合に基づいて、アクセスルールカテゴリの集合を生成する詳細は後述する。

ＩＤ属性格納部１３０は、全てのユーザＩＤと、ＩＤ属性とを対応付けて格納する。ＩＤ属性は複数の属性タイプを含み、各属性タイプは１つ以上の属性集合から選択される１つ以上の属性要素で表される。図４は、ＩＤ属性格納部１３０が格納する、ユーザＩＤとＩＤ属性との一例を示した図である。図４を参照すると、ＩＤ属性は、２つの属性タイプ“組織”と“職位”とを有する。属性タイプ“組織”は、２つの属性集合“部”と“課”とから選択される１つ以上の属性要素で表される。このように、ＩＤ属性格納部１３０は、複数のユーザＩＤと、ＩＤ属性すなわち複数の属性要素とを対応付けて格納する。

役割定義格納部１４０は、トップダウンに定められた複数の役割定義名と、複数の役割定義名の各々を特徴づける役割定義属性とを対応付けて格納する。役割定義属性は複数の属性タイプを含み、各属性タイプは１つ以上の属性集合から選択される１つ以上の属性要素で表される。図５は、役割定義格納部１４０が格納する、役割定義名と役割定義属性との一例を示した図である。図５を参照すると、役割定義属性は、２つの属性タイプ“組織”と“職位”とを有する。属性タイプの“組織”は、２つの属性集合の“部”と“課”とから選択される１つ以上の属性要素で表される。このように、役割定義格納部１４０は、複数の役割定義名と、役割定義属性すなわち複数の属性要素とを対応付けて格納する。尚、役割定義格納部１４０が格納する役割定義属性と、ＩＤ属性格納部１３０が格納するＩＤ属性とは、属性タイプがすべて共通する。更に、ＩＤ属性と役割定義属性との共通する属性タイプに設定される各属性要素は、同じ属性集合の中から選択される。

ロールマッピング部１５０は、ＡＣＬ分類部１２０からアクセスルールカテゴリの集合を受け取る。ロールマッピング部１５０は、ＩＤ属性格納部１３０と役割定義格納部１４０とを用いて、アクセスルールカテゴリと対応付けする役割定義名を決定する。詳細には、ロールマッピング部１５０は、１つのアクセスルールカテゴリに含まれる、全てのユーザＩＤを取得する。ロールマッピング部１５０は、ＩＤ属性格納部１３０が格納するＩＤ属性（複数の属性要素）から、取得した複数のユーザＩＤに共通する共通ＩＤ属性を算出する。そして、ロールマッピング部１５０は、共通ＩＤ属性に基づいて、役割定義格納部１４０が格納する複数の役割定義名から役割定義名を取得し、アクセスルールカテゴリと対応づける。ロールマッピング部１５０は、アクセスルールカテゴリと役割定義名とをマッピングし、ロール情報格納部１６０へ出力する。

ロール情報格納部１６０はロールマッピング部１５０から受け取る、アクセスルールカテゴリと役割定義名とが対応付けされたアクセスルールを格納する。図６は、ロール情報格納部１６０が格納する、アクセスルールカテゴリと役割定義名とが対応付けされたアクセスルールの一例を示した図である。

本発明の実施の形態によるロール設定装置１００は、コンピュータを用いて実現可能である。図７は、本発明のロール設定装置１００の実施の形態における、ハードウエア構成例を示すブロック図である。図７を参照すると、本発明のロール設定装置１００は、ＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１０と、記憶装置２０と、入力装置３０と、出力装置４０と、各装置を接続するバス５０とを備えるコンピュータシステムで構成される。

ＣＰＵ１０は、記憶装置２０に格納されている本発明のロール設定装置１００に係る演算処理及び制御処理を行う。記憶装置２０は、ハードディスクやメモリなど、情報の記録を行う装置である。記憶装置２０は、ＣＤ−ＲＯＭやＤＶＤ等のコンピュータ読み取り可能な記憶媒体から読み取られたプログラム、入力装置３０から入力された信号やプログラム、及びＣＰＵ１０の処理結果を格納する。入力装置２０は、マウス、キーボード、マイクロフォンなど、セキュリティ管理者がコマンド及び信号を入力することが出来る装置である。出力装置４０は、ディスプレイ、スピーカなど、セキュリティ管理者に出力結果を認識させる装置である。尚、本発明はハードウエア構成例と示したものに限定されず、各部はハードウエアとソフトウエアとを単独又は組み合わせて実現することが出来る。

図８は、本発明のロール設定装置１００の実施の形態による処理動作を示したフローチャートである。図８を参照して、本発明の実施の形態による処理動作を説明する。

ＡＣＬ分類部１２０は、ＡＣＬ格納部１１０からＡＣＬを取得する（ステップＡ０１）。

ＡＣＬ分類部１２０は、取得したＡＣＬを用いてアクセスルールカテゴリ集合Ｒを生成する（ステップＡ０２）。詳細には、ＡＣＬ分類部１２０は、取得したＡＣＬに記述されているアクセスルールの集合を、ユーザＩＤの集合と、パーミッションの集合との直積集合に分類し、アクセスルールカテゴリ集合Ｒを生成する。このとき、ＡＣＬ分類部１２０は、アクセスルールカテゴリ集合Ｒに含まれる、アクセスルールカテゴリの数が少なくなるように分類する。尚、ＡＣＬ分類部１２０は、アクセスルールの集合を、アクセスルールカテゴリの集合として出力するのであれば、どのような方法を用いてもよい。例えば、非特許文献２に記載のロールマイニング方法をＡＣＬ分類部１２０に利用することができる。

ロールマッピング部１５０は、役割定義名とマッピングされていないアクセスルールカテゴリを、ＡＣＬ分類部１２０から受け取ったアクセスルールカテゴリ集合Ｒの中から１つ選択する（ステップＡ０３）。

ロールマッピング部１５０は、ＩＤ属性格納部１３０と役割定義格納部１４０とを用いて、アクセスルールカテゴリと対応付けする役割定義名を決定する（ステップＡ０４）。

ロールマッピング部１５０は、アクセスルールカテゴリと役割定義名とをマッピングし、アクセスルールカテゴリと役割定義名との組を、ロール情報格納部１６０へ出力する（ステップＡ０５）。

ロールマッピング部１５０は、取得したアクセスルールカテゴリ集合Ｒに含まれる全てのアクセスルールカテゴリが、役割定義名とマッピングされたか否かを判定する（ステップＡ０６）。

ステップＡ０６においてマッピングが完了していなければ、ロールマッピング部１５０は、選択されていないアクセスルールカテゴリを選択するステップＡ０３へ戻る。ステップＡ０６においてマッピングが完了していれば、ロールマッピング部１５０は処理を終了する。

図９は、ロールマッピング部１５０が、アクセスルールカテゴリと対応付けする役割定義名を決定する処理動作を示したフローチャートである。図９を参照して、図８のステップＡ０４における、ロールマッピング部１５０の処理動作について説明する。

ロールマッピング部１５０は、選択した１つのアクセスルールカテゴリに含まれているユーザＩＤの集合Ｕを取得する（ステップＢ０１）。

ロールマッピング部１５０は、ユーザＩＤの集合Ｕに含まれる全てのユーザｕ∈Ｕに対して、ユーザｕ毎にＩＤ属性（複数の属性要素）Ｉ（ｕ）をＩＤ属性格納部１３０から取得する（ステップＢ０２）。

ロールマッピング部１５０は、取得したユーザＩＤ毎のＩＤ属性Ｉ（ｕ）の中から（ユーザＩＤの集合Ｕに含まれる全ユーザｕのＩＤ属性Ｉ（ｕ）の中から）、全てのユーザＩＤに対して共通するＩＤ属性である共通ＩＤ属性Ｉｃを算出する（ステップＢ０３）。共通ＩＤ属性の算出方法は、全ての属性タイプ毎に、全ユーザに共通する複数の属性要素を導出し、共通する複数の属性要素（共通属性集合）と属性タイプとの組を得る方法が挙げられる。

ロールマッピング部１５０は、役割定義格納部１４０から、共通ＩＤ属性Ｉｃと完全一致する役割定義属性を持つ役割定義名Ｒ（Ｉｃ）を検索し、取得する（ステップＢ０４）。検索処理では、ロールマッピング部１５０は、全ての属性タイプ毎に、共通ＩＤ属性Ｉｃの共通属性集合と役割定義属性の複数の属性要素とが完全一致する役割定義名Ｒ（Ｉｃ）を検索する。該当する役割定義名Ｒ（Ｉｃ）がない場合は、該当役割定義名Ｒ（Ｉｃ）無しとして出力する。

以上説明したように、本発明のロール設定装置１００は、ＡＣＬ分類部１２０が現場の実情と乖離しないように、ＡＣＬから自動的にロールとするべきアクセスルールの集合をアクセスルールカテゴリの集合として出力する。そして、ロールマッピング部１５０が、ボトムアップに生成された現場の実情を反映しているアクセスルールカテゴリと、トップダウンに定められた組織名や職位などセキュリティ管理者に理解可能な役割定義名とをマッピングすることができる。これによって、本発明のロール設定装置１００は、トップダウンなロール設定方法とボトムアップなロール設定方法との両方の利点を効果として奏することができる。即ち、本発明のロール設定装置１００は、現場の実情を反映させ、且つ、セキュリティ管理者が理解しやすいロール設定を自動的に行うことができる。更に、本発明のロール設定装置１００は、ロール設定のコストも低減できる効果を奏する。

本発明のロール設定装置１００の処理動作を、具体的な実施例を用いて詳細に説明する。本実施例では、ロール設定装置１００が、企業内におけるサーバへのアクセス制御を行う場合を説明する。処理の概要は以下のようになる。ロール設定装置１００は、ユーザの所属部門をユーザのＩＤ属性として格納し、組織名を役割定義名として格納する。ロール設定装置１００は、企業内におけるサーバへのアクセス制御を行うＡＣＬを収集して、アクセスルールカテゴリを設定する。そして、ロール設定装置１００はアクセスルールカテゴリを、組織名で表される役割定義名にマッピングさせる。

図１０は、本発明の実施例におけるロール設定装置１００の構成例を示すブロック図である。図１０を参照すると、ロール設定装置１００は、ＡＣＬ格納部１１０と、ＡＣＬ分類部１２０と、ＩＤ属性格納部１３０と、役割定義格納部１４０、ロールマッピング部１５０と、ロール情報格納部１６０と、ＩＤ属性入力部１７０と、役割定義入力部１８０とを具備する。

ＩＤ属性入力部１７０は、ロール設定装置１００を操作するセキュリティ管理者の入力に基づいて、ユーザＩＤ及びＩＤ属性をＩＤ属性格納部１３０に出力する。役割定義入力部１８０は、セキュリティ管理者の入力に基づいて、役割定義名及び役割定義属性を役割定義格納部１４０に出力する。

ＡＣＬ収集部２００は、ＡＣＬが設定されている複数のサーバ（サーバ２１１、２１２、・・・、２１Ｎ）から、ＡＣＬを取得する。ＡＣＬ格納部１１０は、ＡＣＬ収集部２００に接続され、複数のサーバのＡＣＬを取得する。

図１０に示したロール設定装置１００の処理動作、即ち、自動的にアクセスルールカテゴリを設定し、役割定義名にマッピングする動作について詳細に説明する。尚、図８に記載のフローチャートに基づいて説明する。

ＩＤ属性入力部１７０は、セキュリティ管理者入力に基づいて、ユーザＩＤ及びＩＤ属性をＩＤ属性格納部１３０へ出力する。ＩＤ属性格納部１３０は、ユーザＩＤとＩＤ属性とを対応付けて格納する。図４を参照してＩＤ属性部１３０が格納する、ユーザＩＤとＩＤ属性とを説明する。図４を参照すると、本実施例では、属性タイプとして“組織”と“職位”とを有している。属性タイプ“組織”に対応する属性集合は、ユーザの所属する“部”と“課”である。属性タイプ“組織”には、属性集合“部”と“課”の中から選択された複数の属性要素（研究部、営業部、研究課、知財課、営業一課、営業二課）が設定されている。属性タイプ“職位”に対する属性集合は、職位として定められた集合であり、その集合の中から選択された属性要素（遂行職、管理職）が設定されている。図４において、ユーザ３は、“研究課”と“知財課”を兼務していることを示している。尚、セキュリティ管理者は、人事情報からユーザＩＤとＩＤ属性との対応関係を容易に入力することができる。

役割定義入力部１８０は、セキュリティ管理者入力に基づいて、役割定義名及び役割定義属性を役割定義格納部１４０へ出力する。図５を参照して役割定義格納部１４０が格納する、役割定義名と役割定義属性とを説明する。役割定義名は、組織を表している。役割定義属性は、ＩＤ属性格納部１３０のＩＤ属性と同じ、“組織”と“職位”とを有している。前述したＩＤ属性と同様に、属性タイプ“組織”に対応する属性集合は、ユーザの所属する“部”と“課”である。属性タイプ“組織”には、属性集合“部”と“課”の中から選択された複数の属性要素（研究部、営業部、研究課、知財課）が設定されている。また、属性タイプ“職位”に対する属性集合は、職位として定められた集合であり、その集合の中から選択された属性要素（遂行職、管理職）が設定されている。尚、セキュリティ管理者は、組織情報から役割定義名と役割定義属性との対応関係を容易に入力することができる。

次に、ＡＣＬ収集部２００は、複数のサーバ（サーバ２７１、２７２、・・・、２７Ｎ）に設定されたＡＣＬを収集する。ＡＣＬ収集部２００は、ＡＣＬをＡＣＬ格納部１１０に提供する。図２を参照して、本実施例においてＡＣＬ格納部１１０が格納するＡＣＬを説明する。図２を参照すると、本実施例のＡＣＬは、ユーザＩＤとして社員名と、リソースＩＤとしてサーバ名と、アクションとしてアクセスの許可、拒否を含む。

ＡＣＬ分類部１２０は、ＡＣＬ格納部１１０からＡＣＬを取得する（図８のステップＡ０１）。

ＡＣＬ分類部１２０は、ＡＣＬからアクセスルールカテゴリ集合を生成する（図８のステップＡ０２）。本実施例では非特許文献２の方法に従ってＡＣＬ分類部１２０がアクセスルールカテゴリの集合を生成するものとする。図１１は、ＡＣＬ分類部１２０がアクセスルールカテゴリの集合を生成する処理動作を示したフローチャートである。図１１を参照して、ＡＣＬ分類部１２０の処理動作を説明する。

ＡＣＬ分類部１２０は、ＡＣＬ格納部１１０に格納されている全てのＡＣＬを取得する（ステップＣ０１）。

ＡＣＬ分類部１２０は、ＡＣＬに含まれるアクセスルール（ユーザＩＤと、リソースＩＤと、アクションとの組）の集合から、任意のユーザＩＤを抽出し、ユーザＩＤとパーミッション（リソースＩＤとアクションとの組）の集合の対を生成する。ＡＣＬ分類部１２０は、全てのユーザＩＤに対して、ユーザＩＤとパーミッション集合の対を生成する（ステップＣ０２）。図１２は、ＡＣＬ分類部１２０が図２のＡＣＬに基づいて、ユーザＩＤとパーミッション集合とを関連づけた図である。図１２を参照すると、例えば、ユーザ１のパーミッション集合は、｛（サーバ１、可）、（サーバ２、可）｝とすることができる。

ＡＣＬ分類部１２０は、アクセスルールカテゴリ集合Ｒを空集合Ｒ＝Φとして初期化する（ステップＣ０３）。

ＡＣＬ分類部１２０は、パーミッション集合Ｐ（ｕ）が｜Ｐ（ｕ）｜＞０を満たすユーザｕを任意に選択する（ステップＣ０４）。例えば、図１２のユーザ１はパーミッション集合として｛（サーバ１、可）、（サーバ２、可）｝を持っているので選択することができる。

ＡＣＬ分類部１２０は、ユーザｕのパーミッション集合Ｐ（ｕ）を包含するパーミッション集合を持つユーザＩＤを列挙し、それを集合Ｕとする（ステップＣ０５）。例えば、ユーザｕとしてユーザ１が持つパーミッション集合｛（サーバ１、可）、（サーバ２、可）｝を包含するパーミッション集合を持っているユーザＩＤには、ユーザ１と、ユーザ２と、ユーザ３が列挙される。つまり、ユーザ２は、パーミッション集合｛（サーバ１、可）、（サーバ２、可）｝を持ち、ユーザ３は、パーミッション集合｛（サーバ１、可）、（サーバ２、可）、（サーバ３、可）｝を持つ。ユーザＩＤの集合Ｕは、集合Ｕ＝｛ユーザ１、ユーザ２、ユーザ３｝となる。

ＡＣＬ分類部１２０は、列挙したユーザＩＤの集合Ｕとパーミッション集合Ｐ（ｕ）との組を、新規アクセスルールカテゴリとしてアクセスルールカテゴリ集合Ｒに登録する（ステップＣ０６）。ここでは、列挙したユーザＩＤの集合Ｕ＝｛ユーザ１、ユーザ２、ユーザ３｝と、ユーザ１のパーミッション集合Ｐ（ｕ）＝｛（サーバ１、可）、（サーバ２、可）｝との組を、アクセスルールカテゴリ１としてアクセスルールカテゴリ集合Ｒに登録する。アクセスルールカテゴリ集合Ｒは、Ｒ＝｛アクセスルールカテゴリ１｝となる。

ＡＣＬ分類部１２０は、パーミッション集合Ｐ（ｕ）を、ユーザｕ’∈Ｕのパーミッション集合から取り除く。ここでは、アクセスルールカテゴリ１に割り当てられたパーミッション（サーバ１、可）、（サーバ２、可）を、ユーザ１、ユーザ２、ユーザ３のそれぞれのパーミッション集合から取り除く（ステップＣ０７）。この結果、ユーザ１、ユーザ２のパーミッション集合はなくなり、ユーザ３のパーミッション集合は｛（サーバ３、可）｝が残り、ユーザ５〜８はパーミッション集合に変化なしということになる。

ステップＣ０８において全ユーザのパーミッション集合が空集合になっていない場合、ＡＣＬ分類部１２０は、ユーザｕを任意に選択するステップＣ０４の処理を行う。ステップＣ０８において全ユーザのパーミッション集合が空集合になった場合、ＡＣＬ分類部１２０は処理を終了する。ここでは、ユーザ３、ユーザ４、ユーザ５、ユーザ６、ユーザ７、ユーザ８のパーミッション集合が空集合でないのでステップＣ０４に戻る。最後に、ＡＣＬ分類部１２０は、アクセスルールカテゴリ集合Ｒを出力し、処理を終了する。本実施例では、ＡＣＬ分類部１２０は、図３のように４つのアクセスルールカテゴリが登録されたアクセスルールカテゴリ集合Ｒを出力し、ＡＣＬ分類部の処理を終了する。

次に、ロールマッピング部１５０は、アクセスルールカテゴリ集合Ｒに含まれる各アクセスルールカテゴリに対して、マッピングすべき役割定義名を決定する。ロールマッピング部１５０は、役割定義名がまだマッピングされていないアクセスルールカテゴリとしてアクセスルールカテゴリ１を選択する（図８のステップＡ０３）。

ロールマッピング部１５０は、アクセスルールカテゴリ１に含まれるユーザＩＤの集合Ｕ＝｛ユーザ１、ユーザ２、ユーザ３｝を取得する（図８のステップＡ０４、図９のステップＢ０１）。

ロールマッピング部１５０は、ユーザＩＤの集合Ｕに含まれる全てのユーザｕ∈Ｕに対して、ユーザｕ毎にＩＤ属性Ｉ（ｕ）をＩＤ属性格納部１３０から取得する（図９のステップＢ０２）。ＩＤ属性を｛“属性タイプ”→（属性集合）｝の形で表すと、ユーザ１のＩＤ属性は、Ｉ（ユーザ１）＝｛“組織”→（研究部、研究課）、“職位”→（遂行職）｝となる。ユーザ２のＩＤ属性は、Ｉ（ユーザ２）＝｛“組織”→（研究部、研究課）、“職位”→（遂行職）｝となる。ユーザ３のＩＤ属性は、Ｉ（ユーザ３）＝｛“組織”→（研究部、研究課、知財課）、“職位”→（遂行職）｝となる。

ロールマッピング部１５０は、ユーザＩＤ毎のＩＤ属性の中から、全てのユーザに共通するＩＤ属性を共通ＩＤ属性としてＩｃ＝｛“組織”→（研究部、研究課）、“職位”→（遂行職）｝を取り出す（図９のステップＢ０３）。

ロールマッピング部１５０は、役割定義格納部１４０から、共通ＩＤ属性Ｉｃ＝｛“組織”→（研究部、研究課）、“職位”→（遂行職）｝と完全一致する役割定義属性を持つ役割定義名を検索する。ここでは、ロールマッピング部１５０は、役割定義名Ｒ（Ｉｃ）＝“研究遂行職”を取得する（図９のステップＢ０４）。

ロールマッピング部１５０は、アクセスルールカテゴリ１と、役割定義名Ｒ（Ｉｃ）＝“研究遂行職”とをマッピングし、アクセスルールカテゴリ１と役割定義名Ｒ（Ｉｃ）＝“研究遂行職”との組を、ロール情報格納部１６０へ出力する（ステップＡ０５）。ロール情報格納部１６０は、アクセスルールカテゴリ１と役割定義名Ｒ（Ｉｃ）＝“研究遂行職”との組を格納する。

ロールマッピング部１５０は、全てのアクセスルールカテゴリに役割定義名がマッピングされるまでステップＡ０３〜ステップＡ０５を繰り返す。これにより、アクセスルールカテゴリ２、アクセスルールカテゴリ３にもマッピングが同様に行われ、アクセスルールカテゴリ２には役割定義名“知財遂行職”が、アクセスルールカテゴリ３には役割定義名“営業遂行職”が、アクセスルールカテゴリ４には“営業管理職”がマッピングされ、ロール情報格納部１６０に格納される。最終的に、全てのアクセスルールカテゴリに対してマッピング処理を終えると、ロール情報格納部の内容は図６のようになる。

本実施例では、ＡＣＬからアクセスルールカテゴリを自動的に分類し、それを組織と職位より定められた役割定義名にマッピングすることにより、アクセスルールカテゴリに理解しやすい名前付けを行うことができ、自動生成されたアクセスルールカテゴリがどの組織のどの職位のユーザのものかを簡単に理解することができる。このため、コストをかけず、現場の実情から乖離せず、セキュリティ管理者が分かりやすいロールを設定することができる。

以上、実施形態（及び実施例）を参照して本発明を説明したが、本発明は上記実施形態（及び実施例）に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

この出願は、２００９年９月１０日に出願された日本出願特願２００９−２０９８４６を基礎とする優先権を主張し、その開示の全てをここに取り込む。

Claims

アクセス対象であるリソースを識別するリソースＩＤと前記リソースに対する操作の許可又は非許可を規定するアクションとの組である少なくとも１つのパーミッションと、アクセス主体である複数のユーザを識別する複数のユーザＩＤとを関連付けたアクセスルールカテゴリを出力するＡＣＬ分類部と、
前記複数のユーザＩＤと、複数の属性要素とを対応付けて格納するＩＤ属性格納部と、
前記複数の属性要素と、複数の役割定義名とを対応付けて格納する役割定義格納部と、
前記アクセスルールカテゴリの前記複数のユーザＩＤに基づいて、前記ＩＤ属性格納部が格納する前記複数の属性要素から、前記複数のユーザＩＤに共通する共通属性を取得し、前記共通属性に基づいて、前記役割定義格納部が格納する前記複数の役割定義名から第１役割定義名を取得し、前記アクセスルールカテゴリと前記第１役割定義名とを対応づけるロールマッピング部と
を具備する
ロール設定装置。
請求項１に記載のロール設定装置であって、
前記パーミッションと、前記複数のユーザＩＤとの組であるアクセスルールを複数格納するＡＣＬ格納部
を更に具備し、
前記ＡＣＬ分類部は、複数の前記アクセスルールを取得し、複数の前記アクセスルールに含まれる前記パーミッションに対応付けられた前記複数のユーザＩＤをユーザＩＤ集合とし、前記ユーザＩＤ集合と前記パーミッションとの組を前記アクセスルールカテゴリとする
ロール設定装置。
請求項２に記載のロール設定装置であって、
前記ＡＣＬ格納部は、複数のサーバが有する複数の前記アクセスルールを取得する
ロール設定装置。
ＡＣＬ分類部とロールマッピング部とを具備するロール設定装置を用いたロール設定方法であって、
前記ＡＣＬ分類部が、アクセス対象であるリソースを識別するリソースＩＤと前記リソースに対する操作の許可又は非許可を規定するアクションとの組である少なくとも１つのパーミッションと、アクセス主体である複数のユーザを識別する複数のユーザＩＤとを関連付けたアクセスルールカテゴリを出力するステップと、
前記ロールマッピング部が、前記複数のユーザＩＤと複数の属性要素とを対応付けて格納するＩＤ属性格納部から、前記アクセスルールカテゴリの前記複数のユーザＩＤに基づいて、前記複数のユーザＩＤに共通する共通属性を取得するステップと、
前記ロールマッピング部が、前記複数の属性要素と複数の役割定義名とを対応付けて格納する役割定義格納部から、前記共通属性に基づいて、第１役割定義名を取得するステップと、
前記ロールマッピング部が、前記アクセスルールカテゴリと前記第１役割定義名とを対応づけるステップと
を具備する
ロール設定方法。
請求項４に記載のロール設定方法であって、
前記ＡＣＬ分類部が、前記アクセスルールカテゴリを出力するステップは、
前記パーミッションと、前記複数のユーザＩＤとの組であるアクセスルールを複数格納するＡＣＬ格納部から、複数の前記アクセスルールを取得するステップと、
複数の前記アクセスルールに含まれる前記パーミッションに対応付けられた前記複数のユーザＩＤをユーザＩＤ集合とし、前記ユーザＩＤ集合と前記パーミッションとの組を前記アクセスルールカテゴリとして出力するステップと
を含む
ロール設定方法。
請求項４又は５に記載の方法をコンピュータに実行させる
ロール設定プログラム。