JP5799765B2

JP5799765B2 - System, information processing apparatus, information processing method, and program

Info

Publication number: JP5799765B2
Application number: JP2011250658A
Authority: JP
Inventors: 裕岩渕
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2011-11-16
Filing date: 2011-11-16
Publication date: 2015-10-28
Anticipated expiration: 2031-11-16
Also published as: JP2013105423A

Description

本発明は、システム、情報処理装置、情報処理方法およびプログラムに関する。 The present invention relates to a system, an information processing apparatus, an information processing method, and a program.

従来、管理者権限を有するユーザーが、情報資源に対する他のユーザーのアクセス権限を設定する技術が知られている。例えば特許文献１では、管理者権限を有するユーザー（Ｕ１）が、第１サーバ装置（図５の５０２）に格納された情報資源（ここでは「対象オブジェクト」）に対する他のユーザー（Ｕ２）のアクセス権限を設定する場合は、ユーザー（Ｕ１）が、第１サーバ装置との間に信頼関係が結ばれた第１クライアント装置（図５の５０６）に対して、他のユーザー（Ｕ２）に関する識別子と、対象オブジェクトに対するアクセス権限とを入力したことを契機として、第１サーバ装置は、他のユーザー（Ｕ２）が使用する第２クライアント装置との間に信頼関係が結ばれた第２サーバ装置（図５の５０４）から、他のユーザー（Ｕ２）に関する固有のＰＵＩＤ（ペアワイズ固有ＩＤ）を取得する。そして、第１サーバ装置は、そのＰＵＩＤをセキュリティ識別子（ＳＩＤ）に変換し、そのＳＩＤで識別されるユーザー（Ｕ２）の対象オブジェクトに対するアクセス権限を定義したアクセス制御エントリ（ＡＣＥ）を作成する。これにより、ユーザー（Ｕ２）は、対象オブジェクトにアクセスすることが可能になる。 2. Description of the Related Art Conventionally, a technique in which a user having administrator authority sets access authority of another user to an information resource is known. For example, in Patent Document 1, a user (U1) having administrator authority accesses another user (U2) to an information resource (here, “target object”) stored in the first server device (502 in FIG. 5). When the authority is set, the user (U1) makes an identifier related to the other user (U2) to the first client device (506 in FIG. 5) in which the trust relationship is established with the first server device. The first server device is connected to the second client device used by the other user (U2) with the input of the access authority for the target object as a trigger (FIG. 2). 5 504), a unique PUID (pairwise unique ID) related to the other user (U2) is acquired. Then, the first server device converts the PUID into a security identifier (SID), and creates an access control entry (ACE) that defines the access authority for the target object of the user (U2) identified by the SID. As a result, the user (U2) can access the target object.

しかしながら、特許文献１に開示された技術では、上述の第１クライアント装置にログインして他のユーザー（Ｕ２）に関する識別子と、対象オブジェクトに対するアクセス権限とを入力することができるのは、管理者権限を有するユーザー（Ｕ１）に限られる。すなわち、特定のユーザーに強大な管理者権限を与える必要があるうえ、管理者権限を与えられたユーザーの作業負担が増大するという問題がある。 However, in the technique disclosed in Patent Document 1, an administrator authority can log in to the first client device and input an identifier related to another user (U2) and an access authority for the target object. It is limited to the user (U1) who has That is, there is a problem that it is necessary to give a strong administrator authority to a specific user, and the work load of the user who is given the administrator authority increases.

本発明は、上記に鑑みてなされたものであって、ユーザーに強大な管理者権限を与えることなく、簡易に、情報資源に対するアクセス権限を設定可能なシステム、情報処理装置、情報処理方法およびプログラムを提供することを目的とする。 The present invention has been made in view of the above, and a system, an information processing apparatus, an information processing method, and a program capable of easily setting an access authority to an information resource without giving a powerful administrator authority to a user The purpose is to provide.

上述した課題を解決し、目的を達成するために、本発明のシステムは、情報を共有する単位を示す第１フォレストを管理する第１サーバ装置と、前記第１フォレストとは異なる単位を示す第２フォレストを管理する第２サーバ装置とを備えたシステムであって、前記第１サーバ装置は、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を外部装置から受信する第１受信部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を取得する第１取得部と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する第１作成部と、前記第１識別情報を前記第２サーバ装置へ送信する送信部と、を備え、前記第２サーバ装置は、前記承認情報を前記外部装置から受信する第２受信部と、前記第１識別情報を前記第１サーバ装置から受信する第３受信部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２取得部と、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する第２作成部と、を備える。 In order to solve the above-described problems and achieve the object, the system of the present invention includes a first server device that manages a first forest indicating a unit for sharing information, and a first unit that indicates a unit different from the first forest. A second server device that manages two forests, wherein the first server device can use specific information for identifying information resources stored in the first forest and use the information resources A first receiving unit that receives approval information including user information indicating a user from an external device, and first identification information that identifies the user indicated by the user information included in the approval information in the first forest A first acquisition unit that associates the first identification information, the access right for the information resource specified by the specific information included in the approval information, A first creation unit that creates access control information and a transmission unit that transmits the first identification information to the second server device, wherein the second server device receives the approval information from the external device. A second receiving unit, a third receiving unit for receiving the first identification information from the first server device, and a second for identifying the user indicated by the user information included in the approval information in the second forest. A second acquisition unit that acquires identification information, the second identification information, the first identification information, and an access right for the information resource specified by the specific information included in the approval information are associated with each other. A second creation unit for creating second access control information.

また、本発明の情報処理装置は、外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置であって、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第４受信部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する取得部と、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第５受信部と、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御情報を作成する作成部と、を備える。 The information processing apparatus of the present invention is connected to each of an external device and a server device that manages a first forest indicating a unit for sharing information, and includes a second forest indicating a unit different from the first forest. An information processing apparatus to be managed, which receives from the external device approval information including identification information for identifying an information resource stored in the first forest and user information indicating a user who can use the information resource A receiving unit for acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest, and the user information included in the approval information. A fifth receiving unit for receiving first identification information for identifying the user in the first forest from the server device, the second identification information, and the first Comprising a separate information, and a creation section to create an access control information and the access rights associated to said information resource specified by the specific information contained in the authorization information.

また、本発明の情報処理方法は、外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置が実行する情報処理方法であって、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第１ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第３ステップと、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御リストを作成する第４ステップと、を備える。 The information processing method of the present invention is connected to each of an external device and a server device that manages a first forest indicating a unit for sharing information, and includes a second forest indicating a unit different from the first forest. An information processing method executed by an information processing apparatus to be managed, including approval information including identification information for specifying an information resource stored in the first forest and user information indicating a user who can use the information resource From the external device, a second step of acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest, and the approval information A third step of receiving, from the server device, first identification information for identifying the user indicated by the included user information in the first forest; A fourth step of creating an access control list in which the second identification information, the first identification information, and the access authority for the information resource specified by the specific information included in the approval information are associated with each other; .

さらに、本発明のプログラムは、外部装置、および、情報を共有する単位を示す第１フォレストを管理するサーバ装置の各々と接続され、前記第１フォレストとは異なる単位を示す第２フォレストを管理する情報処理装置に実行させるためのプログラムであって、前記第１フォレスト内に格納される情報資源を特定する特定情報と、当該情報資源を利用可能なユーザーを示すユーザー情報とを含む承認情報を前記外部装置から受信する第１ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第２フォレスト内で識別する第２識別情報を取得する第２ステップと、前記承認情報に含まれる前記ユーザー情報が示す前記ユーザーを前記第１フォレスト内で識別する第１識別情報を前記サーバ装置から受信する第３ステップと、前記第２識別情報と、前記第１識別情報と、前記承認情報に含まれる前記特定情報で特定される前記情報資源に対するアクセス権限とが対応付けられたアクセス制御リストを作成する第４ステップと、を備える。 Furthermore, the program of the present invention is connected to each of an external device and a server device that manages a first forest indicating a unit that shares information, and manages a second forest that indicates a unit different from the first forest. A program for causing an information processing apparatus to execute the authorization information including specific information for identifying an information resource stored in the first forest and user information indicating a user who can use the information resource. A first step of receiving from an external device; a second step of acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest; and included in the approval information A third process for receiving, from the server device, first identification information for identifying the user indicated by the user information in the first forest. A first access control list in which the access authority for the information resource specified by the specific information included in the approval information is associated with the first identification information, the first identification information, and the first identification information. 4 steps.

本発明によれば、ユーザーに強大な管理者権限を与えることなく、簡易に、情報資源に対するアクセス権限を設定可能なシステム、情報処理装置、情報処理方法およびプログラムを提供することができるという有利な効果を奏する。 Advantageous Effects of Invention According to the present invention, it is possible to provide a system, an information processing apparatus, an information processing method, and a program capable of easily setting access authority to an information resource without giving a powerful administrator authority to a user. There is an effect.

図１は、実施形態のシステムの概略構成例を示す図である。FIG. 1 is a diagram illustrating a schematic configuration example of a system according to the embodiment. 図２は、第１サーバ装置の機能構成例を示す図である。FIG. 2 is a diagram illustrating a functional configuration example of the first server device. 図３は、第１アクセス制御情報の一例を示す図である。FIG. 3 is a diagram illustrating an example of the first access control information. 図４は、第２サーバ装置の機能構成例を示す図である。FIG. 4 is a diagram illustrating a functional configuration example of the second server device. 図５は、第２アクセス制御情報の一例を示す図である。FIG. 5 is a diagram illustrating an example of the second access control information. 図６は、外部システムの動作例を示すフローチャートである。FIG. 6 is a flowchart illustrating an operation example of the external system. 図７は、第１サーバ装置の動作例を示すフローチャートである。FIG. 7 is a flowchart illustrating an operation example of the first server device. 図８は、第２サーバ装置の動作例を示すフローチャートである。FIG. 8 is a flowchart illustrating an operation example of the second server device.

以下、添付図面を参照しながら、本発明に係るシステム、情報処理装置、情報処理方法およびプログラムの実施の形態を詳細に説明する。 Hereinafter, embodiments of a system, an information processing apparatus, an information processing method, and a program according to the present invention will be described in detail with reference to the accompanying drawings.

図１は、本実施形態のシステム１００の概略構成例を示す図である。図１に示すように、システム１００は、フォレストＢ（第１フォレスト）を管理する第１サーバ装置１０と、フォレストＢとは別のフォレストＡ（第２フォレスト）を管理する第２サーバ装置２０とを含んで構成される。「フォレスト」とは、情報を共有する単位（例えば組織の単位）を示す。本実施形態では、「フォレストＢはフォレストＡを信頼する」という信頼関係が設定されている。「信頼関係」とは、２つのフォレストの間で確立されるネットワークセキュリティ上の関係を示すものである。また、第１サーバ装置１０および第２サーバ装置２０の各々は、ドメインコントローラとして機能する。なお、以下では、フォレストが２つの場合を例に挙げて説明するが、これに限らず、フォレストの数は２以上であればよく、その数は任意に変更可能である。 FIG. 1 is a diagram illustrating a schematic configuration example of a system 100 according to the present embodiment. As shown in FIG. 1, a system 100 includes a first server device 10 that manages a forest B (first forest), and a second server device 20 that manages a forest A (second forest) different from the forest B. It is comprised including. “Forest” indicates a unit for sharing information (for example, an organizational unit). In this embodiment, a trust relationship “Forest B trusts Forest A” is set. A “trust relationship” indicates a network security relationship established between two forests. Each of the first server device 10 and the second server device 20 functions as a domain controller. In the following, a case where there are two forests will be described as an example. However, the present invention is not limited to this, and the number of forests may be two or more, and the number can be arbitrarily changed.

第１サーバ装置１０および第２サーバ装置２０の各々は、外部システム２００に含まれる第３サーバ装置３０と接続される。図１に示すように、外部システム２００は、第３サーバ装置３０と、第３サーバ装置３０と接続される複数の端末装置４０とを含んで構成される。各端末装置４０は、電子メール・掲示板・データベース・スケジュール管理などの機能を実現可能な専用のクライアントソフト（この例ではＬｏｔｕｓＮｏｔｅｓ）を利用して第３サーバ装置３０に対してアクセスする。 Each of first server device 10 and second server device 20 is connected to third server device 30 included in external system 200. As shown in FIG. 1, the external system 200 includes a third server device 30 and a plurality of terminal devices 40 connected to the third server device 30. Each terminal device 40 accesses the third server device 30 by using dedicated client software (in this example, Lotus Notes) that can implement functions such as e-mail, bulletin board, database, and schedule management.

例えば端末装置４０を使用するユーザーが、フォレストＢに格納されるべき情報資源（リソース）を新たに作成した場合（既存のリソースを修正した場合でもよい）、当該ユーザーは、新たに作成したリソースを利用可能なユーザー（あるいはグループ）を決定し、その決定したユーザーの当該リソースに対するアクセス権限を定義したアクセス制御情報（例えばアクセス制御エントリあるいはアクセス制御リスト）を設定する。そして、当該ユーザーは、ＬｏｔｕｓＮｏｔｅｓを利用して、作成または設定を行った各種情報の承認申請を行う。当該承認申請が承認された場合は、第３サーバ装置３０は、承認内容を示す承認情報を第１サーバ装置１０および第２サーバ装置２０の各々へ送信する。ここでは、新たにフォレストＢに格納されるリソースを特定する特定情報と、当該リソースを利用可能なユーザーを示すユーザー情報（例えばログインＩＤ）とが少なくとも承認情報に含まれる。 For example, when a user who uses the terminal device 40 newly creates an information resource (resource) to be stored in the forest B (may be a case where an existing resource is modified), the user uses the newly created resource. An available user (or group) is determined, and access control information (for example, an access control entry or an access control list) that defines the access authority for the resource of the determined user is set. Then, the user makes an application for approval of various information created or set using Lotus Notes. When the approval application is approved, the third server device 30 transmits approval information indicating the approval content to each of the first server device 10 and the second server device 20. Here, specific information for specifying a resource newly stored in the forest B and user information (for example, a login ID) indicating a user who can use the resource are included in at least the approval information.

図２は、第１サーバ装置１０の機能構成例を示すブロック図である。図２に示すように、第１サーバ装置１０は、第１受信部１１と、第１取得部１２と、第１作成部１３と、送信部１４とを備える。第１受信部１１は、上述の承認情報を第３サーバ装置３０から受信する。第１取得部１２は、承認情報に含まれるユーザー情報が示すユーザー（あるいはグループ）をフォレストＢ内で識別する第１セキュリティ識別子（第１識別情報）を取得する。ユーザー情報と、第１セキュリティ識別子との対応関係は予めフォレストＢ内で定められている。この例では、ユーザー情報と、第１セキュリティ識別子とが対応付けられたテーブルがフォレストＢ内のデータベース（不図示）に格納されており、第１取得部１２は、第１受信部１１で受信された承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を当該データベースから取得する。 FIG. 2 is a block diagram illustrating a functional configuration example of the first server device 10. As shown in FIG. 2, the first server device 10 includes a first reception unit 11, a first acquisition unit 12, a first creation unit 13, and a transmission unit 14. The first receiving unit 11 receives the above-described approval information from the third server device 30. The first acquisition unit 12 acquires a first security identifier (first identification information) for identifying the user (or group) indicated by the user information included in the approval information within the forest B. The correspondence between the user information and the first security identifier is predetermined in the forest B. In this example, a table in which user information and a first security identifier are associated with each other is stored in a database (not shown) in the forest B, and the first acquisition unit 12 is received by the first reception unit 11. The first security identifier corresponding to the user information included in the approved information is acquired from the database.

第１作成部１３は、第１セキュリティ識別子と、承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する。第１アクセス制御情報とは、第１セキュリティ識別子で識別されるユーザーの、対象リソース（特定情報で特定されるリソース）に対するアクセス権限を定義する情報であると捉えることができる。図３は、第１アクセス制御情報の一例を示す図である。図３の例では、第１アクセス制御情報は、ユーザー情報（この例ではユーザーのログインＩＤ）と、第１セキュリティ識別子と、特定情報と、アクセス権限とが対応付けられている。 The first creation unit 13 creates first access control information in which a first security identifier is associated with an access authority for a resource specified by the specific information included in the approval information. The first access control information can be regarded as information that defines the access authority of the user identified by the first security identifier to the target resource (resource identified by the specific information). FIG. 3 is a diagram illustrating an example of the first access control information. In the example of FIG. 3, in the first access control information, user information (in this example, a user's login ID), first security identifier, specific information, and access authority are associated with each other.

再び図２に戻って説明を続ける。送信部１４は、第１取得部１２で取得された第１セキュリティ識別子を第２サーバ装置２０へ送信する。本実施形態では、送信部１４は、第１取得部１２で取得された第１セキュリティ識別子と、当該第１セキュリティ識別子に対応するユーザー情報とを含むｓＩＤＨｉｓｔｏｒｙ情報を第２サーバ装置２０へ送信する。
なお、第１サーバ装置１０は、承認情報に含まれる特定情報で特定されるリソースをフォレストＢ内のデータベース（不図示）に登録する機能も有する。本実施形態では、第１サーバ装置１０は、新たにフォレストＢに格納されるリソースを特定する特定情報を第１受信部１１で受信した場合、第３サーバ装置３０に対して、当該リソースを要求する。そして、その要求の応答として受信したリソース（端末装置４０で作成されたリソース）をフォレストＢ内のデータベースに登録する。なお、これに限らず、例えば第１サーバ装置１０は、承認情報に含まれる特定情報で特定されるリソースを作成する機能を有していてもよい。 Returning to FIG. 2 again, the description will be continued. The transmission unit 14 transmits the first security identifier acquired by the first acquisition unit 12 to the second server device 20. In the present embodiment, the transmission unit 14 transmits sID History information including the first security identifier acquired by the first acquisition unit 12 and user information corresponding to the first security identifier to the second server device 20.
The first server device 10 also has a function of registering a resource specified by the specific information included in the approval information in a database (not shown) in the forest B. In the present embodiment, the first server device 10 requests the third server device 30 for the resource when the first receiving unit 11 receives the specific information for specifying the resource newly stored in the forest B. To do. Then, the resource (the resource created by the terminal device 40) received as a response to the request is registered in the database in the forest B. For example, the first server device 10 may have a function of creating a resource specified by the specific information included in the approval information.

図４は、第２サーバ装置２０の機能構成例を示すブロック図である。図４に示すように、第２サーバ装置２０は、第２受信部２１と、第３受信部２２と、第２取得部２３と、第２作成部２４と、第３取得部２５とを備える。第２受信部１１は、上述の承認情報を第３サーバ装置３０から受信する。第３受信部２２は、第１セキュリティ識別子を第１サーバ装置１０から受信する。本実施形態では、第３受信部２２は、前述のｓＩＤＨｉｓｔｏｒｙ情報を第１サーバ装置１０から受信する。 FIG. 4 is a block diagram illustrating a functional configuration example of the second server device 20. As illustrated in FIG. 4, the second server device 20 includes a second reception unit 21, a third reception unit 22, a second acquisition unit 23, a second creation unit 24, and a third acquisition unit 25. . The second receiving unit 11 receives the above-described approval information from the third server device 30. The third receiving unit 22 receives the first security identifier from the first server device 10. In the present embodiment, the third receiving unit 22 receives the sID History information from the first server device 10.

第２取得部２３は、承認情報に含まれるユーザー情報が示すユーザー（あるいはグループ）をフォレストＡ内で識別する第２セキュリティ識別子（第２識別情報）を取得する。ユーザー情報と、第２セキュリティ識別子との対応関係は予めフォレストＡ内で定められている。この例では、ユーザー情報と、第２セキュリティ識別子とが対応付けられたテーブルがフォレストＡ内のデータベース（不図示）に格納されており、第２取得部２３は、第２受信部２１で受信された承認情報に含まれるユーザー情報に対応する第２セキュリティ識別子を当該データベースから取得する。 The second acquisition unit 23 acquires a second security identifier (second identification information) for identifying the user (or group) indicated by the user information included in the approval information within the forest A. The correspondence between the user information and the second security identifier is predetermined in the forest A. In this example, a table in which user information and a second security identifier are associated with each other is stored in a database (not shown) in the forest A, and the second acquisition unit 23 is received by the second reception unit 21. The second security identifier corresponding to the user information included in the approval information is acquired from the database.

第２作成部２４は、第２セキュリティ識別子と、第１セキュリティ識別子と、承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する。第２アクセス制御情報とは、第１セキュリティ識別子または第２セキュリティ識別子で識別されるユーザーの、対象リソース（特定情報で特定されるリソース）に対するアクセス権限を定義する情報であると捉えることができる。図５は、第２アクセス制御情報の一例を示す図である。図５の例では、第２アクセス制御情報は、ユーザー情報と、第２セキュリティ識別子と、第１セキュリティ識別子と、特定情報と、アクセス権限とが対応付けられている。 The second creation unit 24 creates second access control information in which the second security identifier, the first security identifier, and the access authority for the resource specified by the specific information included in the approval information are associated with each other. The second access control information can be regarded as information that defines the access authority for the target resource (resource specified by the specific information) of the user identified by the first security identifier or the second security identifier. FIG. 5 is a diagram illustrating an example of the second access control information. In the example of FIG. 5, in the second access control information, user information, a second security identifier, a first security identifier, specific information, and an access authority are associated with each other.

再び図４に戻って説明を続ける。第３取得部２５は、管理者権限を有するシステムアカウント（システムＩＤ）を取得する。本実施形態では、上述の第２アクセス制御情報の作成が実行される条件は、第３取得部２５がシステムアカウントを取得することである。また、本実施形態では、第３取得部２５は、第２受信部２１で受信された承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子が第３受信部２２で受信されたことを契機として、システムアカウントを取得する。 Returning to FIG. 4 again, the description will be continued. The third acquisition unit 25 acquires a system account (system ID) having administrator authority. In the present embodiment, the condition for creating the second access control information described above is that the third acquisition unit 25 acquires a system account. In the present embodiment, the third acquisition unit 25 is triggered by the reception of the first security identifier corresponding to the user information included in the approval information received by the second reception unit 21 by the third reception unit 22. As a system account.

いま、端末装置４０を使用するユーザーが、フォレストＢに格納されるべきリソースを新たに作成した場合を想定する。図６は、この場合における外部システム２００の動作例を示すフローチャートである。図７は、この場合における第１サーバ装置１０の動作例を示すフローチャートである。図８は、この場合における第２サーバ装置２０の動作例を示すフローチャートである。 Assume that a user who uses the terminal device 40 newly creates a resource to be stored in the forest B. FIG. 6 is a flowchart showing an operation example of the external system 200 in this case. FIG. 7 is a flowchart showing an operation example of the first server device 10 in this case. FIG. 8 is a flowchart showing an operation example of the second server device 20 in this case.

まず、図６を参照しながら、外部システム２００の動作例を具体的に説明する。図６に示すように、まず、端末装置４０は、ユーザーの操作に応じて、フォレストＢに格納されるべきリソースを作成する（ステップＳ１）。次に、端末装置４０は、ユーザーの操作に応じて、ステップＳ１で作成したリソースを利用可能なユーザーを示すユーザー情報を作成する（ステップＳ２）。次に、端末装置４０は、ユーザーの操作に応じて、ステップＳ２で作成されたユーザー情報が示すユーザーの、ステップＳ１で作成されたリソースに対するアクセス権限を定義するアクセス制御情報を作成する（ステップＳ３）。次に、端末装置４０は、ユーザーの操作に応じて、ステップＳ１〜ステップＳ３で作成した各種情報の承認を申請する承認申請処理を実行する（ステップＳ４）。そして、承認が得られた場合（ステップＳ５の結果：ＹＥＳ）は、第３サーバ装置３０は、第１サーバ装置１０および第２サーバ装置２０の各々に対して承認情報を送信する（ステップＳ６）。 First, an operation example of the external system 200 will be specifically described with reference to FIG. As illustrated in FIG. 6, first, the terminal device 40 creates a resource to be stored in the forest B in accordance with a user operation (step S1). Next, the terminal device 40 creates user information indicating a user who can use the resource created in Step S1 in accordance with a user operation (Step S2). Next, the terminal device 40 creates access control information that defines the access authority for the resource created in step S1 of the user indicated by the user information created in step S2 in accordance with the user's operation (step S3). ). Next, the terminal device 40 executes an approval application process for applying for approval of various types of information created in steps S1 to S3 in accordance with a user operation (step S4). If approval is obtained (result of step S5: YES), the third server device 30 transmits approval information to each of the first server device 10 and the second server device 20 (step S6). .

次に、図７を参照しながら、第１サーバ装置１０の動作例を具体的に説明する。まず第１受信部１１で承認情報を受信した場合（ステップＳ１０の結果：ＹＥＳ）、第１サーバ装置１０は、その受信した承認情報に含まれる特定情報で特定されるリソースを、フォレストＢ内のデータベース（不図示）に登録する（ステップＳ１１）。次に、第１サーバ装置１０は、ステップＳ１０で受信した承認情報に含まれるユーザー情報を参照して、ステップＳ１１で登録したリソースを利用可能なユーザーを決定する（ステップＳ１２）。次に、第１サーバ装置１０（第１取得部１２）は、ステップＳ１２で決定したユーザー（承認情報に含まれるユーザー情報が示すユーザー）をフォレストＢ内で識別する第１セキュリティ識別子を取得する（ステップＳ１３）。次に、第１サーバ装置１０（第１作成部１３）は、ステップＳ１３で取得した第１セキュリティ識別子と、ステップＳ１０で受信した承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第１アクセス制御情報を作成する（ステップＳ１４）。次に、第１サーバ装置１０（送信部１４）は、ステップＳ１３で取得した第１セキュリティ識別子と、対応するユーザー情報（ステップＳ１０で受信した承認情報に含まれるユーザー情報）とを含むｓＩＤＨｉｓｔｏｒｙ情報を第２サーバ装置２０へ送信する（ステップＳ１５）。 Next, an example of the operation of the first server device 10 will be specifically described with reference to FIG. First, when the first receiving unit 11 receives the approval information (the result of step S10: YES), the first server device 10 determines the resource specified by the specific information included in the received approval information in the forest B. Register in a database (not shown) (step S11). Next, the first server device 10 refers to the user information included in the approval information received in step S10, and determines a user who can use the resource registered in step S11 (step S12). Next, the first server device 10 (first acquisition unit 12) acquires a first security identifier for identifying the user (the user indicated by the user information included in the approval information) determined in step S12 in the forest B ( Step S13). Next, the first server device 10 (first creation unit 13) has the first security identifier acquired in step S13 and the access authority for the resource specified by the specific information included in the approval information received in step S10. The associated first access control information is created (step S14). Next, the first server device 10 (transmission unit 14) obtains sID History information including the first security identifier acquired in Step S13 and the corresponding user information (user information included in the approval information received in Step S10). It transmits to the second server device 20 (step S15).

次に、図８を参照しながら、第２サーバ装置２０の動作例を具体的に説明する。まず第２受信部２１で承認情報を受信した場合（ステップＳ２１の結果：ＹＥＳ）、第２サーバ装置２０は、その承認情報に含まれるユーザー情報を参照して、その承認情報に含まれる特定情報で特定されるリソースを利用可能なユーザーを決定する（ステップＳ２２）。次に、第２サーバ装置１０（第２取得部２３）は、ステップＳ２２で決定したユーザー（承認情報に含まれるユーザー情報が示すユーザー）をフォレストＡ内で識別する第２セキュリティ識別子を取得する（ステップＳ２３）。 Next, an example of the operation of the second server device 20 will be specifically described with reference to FIG. First, when the approval information is received by the second receiving unit 21 (result of step S21: YES), the second server device 20 refers to the user information included in the approval information, and the specific information included in the approval information. A user who can use the resource specified in step S22 is determined (step S22). Next, the second server device 10 (second acquisition unit 23) acquires a second security identifier for identifying the user (the user indicated by the user information included in the approval information) determined in step S22 in the forest A ( Step S23).

次に、第２サーバ装置２０は、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を第１サーバ装置１０から受信したか否かを判断する（ステップＳ２４）。本実施形態では、第１サーバ装置１０からのｓＩＤＨｉｓｔｏｒｙ情報を第３受信部２２で受信した場合、第２サーバ装置２０は、その受信したｓＩＤＨｉｓｔｏｒｙ情報に含まれるユーザー情報と、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報とが一致しているか否かを判断する。そして、両者が一致している場合は、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を受信したと判断する。 Next, the second server device 20 determines whether or not the first security identifier corresponding to the user information included in the approval information received in step S21 is received from the first server device 10 (step S24). . In the present embodiment, when the third receiving unit 22 receives the sID History information from the first server device 10, the second server device 20 receives the user information included in the received sID History information and the above-described step S21. It is determined whether the user information included in the approved information matches. If they match, it is determined that the first security identifier corresponding to the user information included in the approval information received in step S21 is received.

上述のステップＳ２４において、上述のステップＳ２１で受信した承認情報に含まれるユーザー情報に対応する第１セキュリティ識別子を受信したと判断した場合（ステップＳ２４の結果：ＹＥＳ）、第２サーバ装置２０（第３取得部２５）は、管理者権限を有するシステムアカウントを取得する（ステップＳ２５）。次に、第２作成部２４は、ステップ２３で取得した第２セキュリティ識別子と、ステップＳ２４で受信した第１セキュリティ識別子と、ステップＳ２１で受信した承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第２アクセス制御情報を作成する（ステップＳ２６）。これにより、新たに作成されたリソースの利用が許可されるユーザーがフォレストＡにログインした場合、当該ユーザーのログインＩＤ（ユーザー情報）には、第２セキュリティ識別子と第１セキュリティ識別子とが関連付けられるので、当該ユーザーは、第１セキュリティ識別子でアクセスが許可されるフォレストＢ内のリソースにアクセスすることもできる。 If it is determined in step S24 that the first security identifier corresponding to the user information included in the approval information received in step S21 is received (YES in step S24), the second server device 20 (second 3 acquisition unit 25) acquires a system account having administrator authority (step S25). Next, the second creation unit 24 selects the resource specified by the second security identifier acquired in step 23, the first security identifier received in step S24, and the specific information included in the approval information received in step S21. Second access control information associated with the access authority is created (step S26). Thus, when a user who is permitted to use a newly created resource logs in to Forest A, the login ID (user information) of the user is associated with the second security identifier and the first security identifier. The user can also access resources in Forest B that are allowed access with the first security identifier.

以上に説明したように、本実施形態では、信頼されるフォレストＡにおいて、外部システム２００（第３サーバ装置３０）から送信される承認情報をトリガーとして、第２セキュリティ識別子と、第１セキュリティ識別子と、当該承認情報に含まれる特定情報で特定されるリソースに対するアクセス権限とが対応付けられた第２アクセス制御情報が自動的に作成される。すなわち、本実施形態によれば、ユーザーは、Ｎｏｔｅｓデータベース（第３サーバ装置３０）へアクセスする権限さえ持っていればよく、ユーザーに強大な管理者権限（例えばドメインコントローラである第２サーバ装置２０の管理権限等）を与える必要は無い。また、本実施形態によれば、第１セキュリティ識別子と第２セキュリティ識別子との関連付け（第２アクセス制御情報の作成）は自動的に行われるので、ユーザーの負担も軽減されるうえ、待ち時間が殆どなくなるという利点もある。 As described above, in the present embodiment, in the trusted forest A, with the approval information transmitted from the external system 200 (third server device 30) as a trigger, the second security identifier, the first security identifier, The second access control information in which the access authority for the resource specified by the specific information included in the approval information is associated is automatically created. That is, according to the present embodiment, the user only needs to have the authority to access the Notes database (third server device 30), and the administrator authority (for example, the second server device 20 which is a domain controller) is strong to the user. Management authority, etc.) is not necessary. In addition, according to the present embodiment, since the association between the first security identifier and the second security identifier (creation of the second access control information) is automatically performed, the burden on the user is reduced and the waiting time is reduced. There is also an advantage of almost disappearing.

なお、上述した実施形態の第１サーバ装置１０または第２サーバ装置２０で実行される各種プログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、フレキシブルディスク（ＦＤ）、ＣＤ−Ｒ、ＤＶＤ（ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋ）、ＵＳＢ（ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓ）等のコンピュータで読み取り可能な記録媒体に記録して提供するように構成してもよいし、インターネット等のネットワーク経由で提供または配布するように構成してもよい。また、各種プログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。 The various programs executed by the first server device 10 or the second server device 20 of the above-described embodiment are files in an installable format or an executable format, such as a CD-ROM, a flexible disk (FD), a CD- R, DVD (Digital Versatile Disk), USB (Universal Serial Bus), etc. may be configured to be recorded on a computer-readable recording medium and provided or distributed via a network such as the Internet. You may comprise. Various programs may be provided by being incorporated in advance in a ROM or the like.

本実施形態の第２サーバ装置２０（情報処理装置）で実行されるプログラムは、上述した各部（第２受信部２１、第３受信部２２、第２取得部２３、第２作成部２４、第３取得部２５）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、第２受信部２１、第３受信部２２、第２取得部２３、第２作成部２４、第３取得部２５が主記憶装置上に生成されるようになっている。なお、上述の各部のうちの少なくとも１つをハードウェアで実現することも可能である。 The program executed by the second server device 20 (information processing device) of the present embodiment includes the above-described units (second receiving unit 21, third receiving unit 22, second acquiring unit 23, second creating unit 24, second generating unit 24, 3 acquisition unit 25), and the actual hardware is a CPU (processor) that reads out and executes the program from the storage medium, so that each unit is loaded onto the main storage device, and the second The receiving unit 21, the third receiving unit 22, the second acquiring unit 23, the second creating unit 24, and the third acquiring unit 25 are generated on the main storage device. Note that at least one of the above-described units can be realized by hardware.

また、本実施形態の第１サーバ装置１０で実行されるプログラムは、上述した各部（第１受信部１１、第１取得部１２、第１作成部１３、送信部１４）を含むモジュール構成となっており、実際のハードウェアとしてはＣＰＵ（プロセッサ）が上記記憶媒体からプログラムを読み出して実行することにより上記各部が主記憶装置上にロードされ、第１受信部１１、第１取得部１２、第１作成部１３、送信部１４が主記憶装置上に生成されるようになっている。なお、上述の各部のうちの少なくとも１つをハードウェアで実現することも可能である。 In addition, the program executed by the first server device 10 of the present embodiment has a module configuration including the above-described units (the first receiving unit 11, the first acquiring unit 12, the first creating unit 13, and the transmitting unit 14). As actual hardware, a CPU (processor) reads out the program from the storage medium and executes the program, so that each unit is loaded on the main storage device, and the first receiving unit 11, the first obtaining unit 12, 1 creation unit 13 and transmission unit 14 are generated on the main storage device. Note that at least one of the above-described units can be realized by hardware.

以上、本発明に係る実施形態について説明したが、本発明は上述の実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲内で種々の変形が可能である。なお、上述の第２サーバ装置２０は、請求項４に係る「情報処理装置」の一例であり、第２受信部２１は請求項４の「第４受信部」に対応し、第３受信部２２は請求項４の「第５受信部」に対応し、第２取得部２３は請求項４の「取得部」に対応し、第２作成部２４は請求項４の「作成部」に対応する。また、上述の第２アクセス制御情報は、請求項４の「アクセス制御情報」に対応する。 As mentioned above, although embodiment which concerns on this invention was described, this invention is not limited to the above-mentioned embodiment, A various deformation | transformation is possible within the range which does not deviate from the summary of this invention. The second server device 20 described above is an example of an “information processing device” according to claim 4, and the second receiver 21 corresponds to the “fourth receiver” of claim 4, and the third receiver 22 corresponds to the “fifth receiving unit” in claim 4, the second acquiring unit 23 corresponds to the “acquiring unit” in claim 4, and the second generating unit 24 corresponds to the “creating unit” in claim 4. To do. The second access control information described above corresponds to “access control information” in claim 4.

１０サーバ装置
１１第１受信部
１２第１取得部
１３第１作成部
１４送信部
２０サーバ装置
２１第２受信部
２２第３受信部
２３第２取得部
２４第２作成部
２５第３取得部
３０サーバ装置
４０端末装置
１００システム
２００外部システム DESCRIPTION OF SYMBOLS 10 Server apparatus 11 1st receiving part 12 1st acquisition part 13 1st preparation part 14 Transmission part 20 Server apparatus 21 2nd reception part 22 3rd reception part 23 2nd acquisition part 24 2nd preparation part 25 3rd acquisition part 30 Server device 40 Terminal device 100 System 200 External system

特開２００４−５６４７号公報JP 2004-5647 A

Claims

A system comprising: a first server device that manages a first forest that indicates a unit that shares information; and a second server device that manages a second forest that indicates a unit different from the first forest,
The first server device
A first receiving unit for receiving approval information including identification information for specifying an information resource stored in the first forest and user information indicating a user who can use the information resource from an external device;
A first acquisition unit for acquiring first identification information for identifying the user indicated by the user information included in the approval information in the first forest;
A first creation unit that creates first access control information in which the first identification information is associated with an access right to the information resource specified by the specific information included in the approval information;
A transmission unit for transmitting the first identification information to the second server device,
The second server device is
A second receiving unit for receiving the approval information from the external device;
A third receiver for receiving the first identification information from the first server device;
A second acquisition unit for acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest;
Second creation for creating second access control information in which the second identification information, the first identification information, and the access authority for the information resource specified by the specific information included in the approval information are associated with each other And comprising
system.

The second server device is
A third acquisition unit for acquiring a system account having administrator authority;
The condition under which the creation of the second access control information is executed is that the third acquisition unit acquires the system account.
The system of claim 1.

An information processing apparatus that is connected to each of an external apparatus and a server apparatus that manages a first forest indicating a unit that shares information, and that manages a second forest indicating a unit different from the first forest,
A fourth receiving unit for receiving approval information including identification information for identifying information resources stored in the first forest and user information indicating a user who can use the information resources from the external device;
An acquisition unit for acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest;
A fifth receiving unit for receiving, from the server device, first identification information for identifying the user indicated by the user information included in the approval information in the first forest;
A creation unit that creates access control information in which the second identification information, the first identification information, and an access right for the information resource specified by the specific information included in the approval information are associated with each other; Prepare
Information processing device.

Information processing executed by an information processing apparatus connected to an external apparatus and a server apparatus that manages a first forest indicating a unit that shares information, and that manages a second forest indicating a unit different from the first forest A method,
A first step of receiving, from the external device, approval information including identification information for specifying an information resource stored in the first forest and user information indicating a user who can use the information resource;
A second step of acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest;
A third step of receiving, from the server device, first identification information for identifying the user indicated by the user information included in the approval information in the first forest;
A fourth step of creating an access control list in which the second identification information, the first identification information, and an access right for the information resource specified by the specific information included in the approval information are associated with each other; Comprising
Information processing method.

An information processing apparatus that is connected to an external device and a server device that manages a first forest indicating a unit that shares information and that manages a second forest that indicates a unit different from the first forest. A program,
A first step of receiving, from the external device, approval information including identification information for specifying an information resource stored in the first forest and user information indicating a user who can use the information resource;
A second step of acquiring second identification information for identifying the user indicated by the user information included in the approval information in the second forest;
A third step of receiving, from the server device, first identification information for identifying the user indicated by the user information included in the approval information in the first forest;
A fourth step of creating an access control list in which the second identification information, the first identification information, and an access right for the information resource specified by the specific information included in the approval information are associated with each other; Comprising
program.