JP6634796B2 - 情報処理装置、プログラムおよびアクセス制御方法 - Google Patents

Description

本発明は、情報処理装置、プログラムおよびアクセス制御方法に関する。

複合機や共有端末などの共同で利用される情報処理装置では、典型的には、操作パネルおよびネットワークを介した管理設定が可能となっている。管理者は、その役割として、情報処理装置への特別なアクセス権限が与えられると同時に、管理者パスワードを適切に管理することが求められる。

しかしながら、情報処理装置のセキュリティ保護が高くなるにつれ、例えば、管理者がパスワードを忘れた場合や、十分な引継ぎができずに担当者が変わった場合に、管理機能へアクセスすることが難しくなる。そして、システム全体を初期化するなどの操作が必要になる可能性がある。

上記パスワード忘れに関連し、特許第３７１５７６１号公報（特許文献１）は、パスワードを忘れるようなことがあっても、そのコンピュータシステムを使用できるようにする目的とした技術を開示する。特許文献１の従来技術では、パスワードを設定する際に一つ以上のＩＤ番号も設定して両方ともメモリに記憶しておき、パスワードの入力要求をしてパスワード違いがあった場合に上記ＩＤ番号の入力を要求する。そして、これに応じて入力されたＩＤ番号と前記メモリに記憶してあるＩＤ番号とが一致すれば、メモリに記憶してあるパスワードが表示される。しかしながら、パスワード忘れには対応できたとしても、ＩＤ番号を覚えている必要があり、結局パスワードに準じたＩＤ番号などの情報が不明となった場合は、初期化を余儀なくされてしまうことに変わりはない。

本発明は、上記従来技術に鑑みてなされたものであり、本発明は、複数の入力インタフェースの一方について管理機能へのアクセスに制限をかけながら、他方について認証不要で管理機能へのアクセスを許可する選択肢を可能とし、管理機能へのアクセスに必要な情報が不明となった場合でも管理機能にアクセス可能な経路を残しておくことが可能な情報処理装置を提供することを目的とする。

本発明では、上記課題を解決するために、複数の入力インタフェースを含み、下記特徴を有する情報処理装置を提供する。本情報処理装置は、上記複数の入力インタフェース各々を介した当該情報処理装置が提供する管理機能へのアクセスに関し、上記管理機能へのアクセスに制限をかける選択肢と、認証不要で上記管理機能へのアクセスを許可する選択肢とを含む複数の選択肢の中からいずれかの選択肢の選択を受け付ける選択受付手段を含む。情報処理装置は、さらに、上記選択受付手段によって受け付けられた選択に基づいて、上記複数の入力インタフェース各々を介した管理機能へのアクセスを独立に制御する制御手段を含む。

上記構成により、複数の入力インタフェースの一方について管理機能へのアクセスに制限をかけながら、他方について認証不要で管理機能へのアクセスを許可する選択肢を可能とし、管理機能へのアクセスに必要な情報が不明となった場合でも管理機能にアクセス可能な経路を残しておくことが可能となる。

本実施形態による複合機の利用環境を説明する概略図。 本実施形態による複合機の機能構成を示す機能ブロック図。 本実施形態による複合機が提供する、複数の入力インタフェースで用いられるログイン画面を示す図。 本実施形態による複合機が提供する、管理者ログインインタフェース設定画面を示す図。 本実施形態による複合機が実行する管理者ログイン処理を示すフローチャート。 本実施形態による複合機が実行する管理者ログイン時の動作を示すフローチャート。 本実施形態による複合機が実行する管理者ログアウト時の動作を示すフローチャート。 例示的な実施形態における管理者の階層構造を示す図。 他の実施形態による複合機の利用環境を説明する概略図。 例示的な実施形態による複合機のハードウェア構成を示す図。

以下、本実施形態について説明するが、以下に説明する実施形態に限定されるものではない。なお、以下に説明する実施形態では、情報処理装置として、複合機１１０を一例として説明する。

図１は、本実施形態による複合機１１０の利用環境１００の概略を説明する。図１に示す利用環境１００では、ネットワーク１０２を介して接続される、複合機１１０と、クライアント端末１９０とが示されている。複合機１１０およびクライアント端末１９０は、ネットワーク１０２を介して互いに通信可能に構成されている。ネットワーク１０２は、有線、無線またはこれらの混合のローカル・エリア・ネットワーク、インターネットや移動体通信網などの公衆ネットワーク、またはこれらの両方を含み構成され得る。

複合機１１０は、利用者に対し、プリント、スキャン、コピー、ファクシミリ送受信などの各種の画像処理サービスを提供する装置である。クライアント端末１９０は、ネットワーク１０２を経由して複合機１１０に対しアクセスし、利用者として、プリント、スキャン、ファクシミリ送信などを要求することができる。

複合機１１０は、さらに、各種の画像処理サービスに関連する各種管理を行うための管理機能を提供する。複合機１１０は、操作パネルを備えており、正当な権限を付与された管理者は、操作パネルを介して、ログイン処理を経て、複合機１１０が提供する各種管理機能にアクセスできるよう構成されている（操作パネル・ログイン）。複合機１１０は、さらに、ネットワーク・インタフェースを備えており、管理者は、ネットワーク・インタフェースを介して、外部のクライアント端末１９０から、リモートで、ログイン処理を経て、複合機１１０が提供する各種管理機能にアクセスできるよう構成されている（ネットワーク・ログイン）。

図２は、本実施形態による複合機１１０の機能構成を示す機能ブロック図である。図２に示す複合機１１０は、操作パネル・インタフェース１１２と、ネットワーク・インタフェース１１４と、操作処理部１１６と、管理者ログインインタフェース設定受付部（以下、単に設定受付部と参照する。）１１８と、管理者ログイン処理部１２０と、管理機能部１２２と、画像機能部１２４と、設定値記憶部１２６と、管理者情報記憶部１２８とを含み構成される。

操作パネル・インタフェース１１２は、複合機１１０が備える物理的なインタフェースであり、ハードウェアキーおよびタッチパネルなどによるソフトウェアキーのいずれかまたは両方を含むことができる。操作パネル・インタフェース１１２は、ハードウェアキーやタッチパネルを用いたユーザ操作を受け付ける。受け付けられた操作は、操作処理部１１６に転送され、操作処理部１１６からの指令に従って操作パネル・インタフェース１１２からフィードバック表示が行われる。なお、操作パネル・インタフェース１１２は、操作者に複合機１１０の前に実際に立って操作することを求めることから、管理者に物理的なアクセスを求める入力インタフェースであると言える。

ネットワーク・インタフェース１１４は、ネットワーク１０２経由で複合機１１０にアクセスするためのインタフェースである。ネットワーク・インタフェース１１４は、典型的には、ＷＥＢサーバ機能を備えており、クライアント端末１９０上のＷＥＢブラウザを用いたユーザ操作を受け付けることができる。ネットワーク・インタフェース１１４は、ネットワーク１０２を経由したアクセスを受け付ける。受け付けられた操作は、操作処理部１１６に転送され、操作処理部１１６からの指令に従ってネットワーク・インタフェース１１４からフィードバック表示が行われる。なお、ネットワーク・インタフェース１１４は、操作パネル・インタフェース１１２とは異なり、リモートからのアクセスが可能であることから、管理者に物理的なアクセスを求めない入力インタフェースであると言える。

以降、これら操作パネル・インタフェース１１２およびネットワーク・インタフェース１１４を総称して、入力インタフェースと参照する場合がある。

操作処理部１１６は、入力インタフェース１１２，１１４と複合機１１０の各機能部１１８〜１２４との間に介在する。操作処理部１１６は、入力インタフェース１１２，１１４に対して行われたユーザ操作に応じて、設定受付部１１８、管理者ログイン処理部１２０、管理機能部１２２および画像機能部１２４を呼び出す。

管理機能部１２２は、ユーザ管理、文書管理、ネットワーク設定管理、機器管理といった各種画像処理サービスに関連する各種管理機能を提供する。管理機能部１２２は、管理者からの各種管理機能に対する操作を受け付けており、その管理者に適用される役割や権限により、要求された操作が許可される場合は、その操作を実行する。

管理者ログイン処理部１２０は、複合機１１０における管理者の識別および認証を担当しており、管理機能部１２２が提供する各種管理機能へのアクセスの許否を判定する。管理者情報記憶部１２８は、複合機１１０の管理権限を付与された管理者毎のアカウント情報を記憶する。なお、以下の説明では、適切な方法で管理者のユーザＩＤなどの識別情報およびパスワードなどの認証情報が複合機１１０に事前に登録されているものとする。管理者ログイン処理部１２０は、管理者情報記憶部１２８を参照し、ログインを要求してきた管理者の正当性を確認し、正当性が確認できた場合に管理機能部１２２が提供する各種管理機能へのアクセスを許可する。

図３は、本実施形態による複合機１１０が提供する、複数の入力インタフェースで用いられる典型的なログイン画面を示す。図３（Ａ）は、操作パネル・インタフェース１１２により提供される操作パネルのディスプレイ上に表示されるログイン画面２００を示し、図３（Ｂ）は、ネットワーク・インタフェース１１４により提供される、クライアント端末１９０のディスプレイ上に表示されるブラウザ画面２５０内のログイン画面２５２を示す。

いずれのログイン画面２００，２５２も、管理者のユーザＩＤなどの識別情報２０２，２５４およびパスワードなどの認証情報２０４，２５６を入力するＧＵＩ（グラフィカル・ユーザ・インタフェース）部品および認証要求の指示を受け付けるボタン２０８，２５８などのＧＵＩ部品を備える。図３（Ａ）に示す操作パネルの画面上に表示されるログイン画面２００には、さらに、ソフトウェアキーボード２０６が含まれている。

このように、管理機能部１２２が提供する各種管理機能へのアクセスには、通常、管理者のログインが求められる。このような場合に、管理者がパスワードを忘れてしまった場合や、充分な引継ぎができずに担当者が変わった場合など、管理者パスワードが不明となってしまった場合、上述したように、システム全体を初期化するなどの操作が必要になる可能性がある。また、反対に、そもそも管理者が不在であったりし、工場出荷時からデフォルトのパスワードを変更しないままだったりする場合もあるが、そのような場合は、デフォルトのパスワードが一般的に知られていたりすると、管理者以外の者でも容易にアクセスできる可能性がある。

一方、操作パネル・インタフェース１１２およびネットワーク・インタフェース１１４を経由したログインそれぞれにおけるセキュリティ上の脅威は、複合機１１０の設置環境などに依存する。例えば、インターネット上で複合機１１０が公開されるような環境では、ネットワーク・インタフェース１１４経由でのログインについては、不特定多数からの攻撃試行が想定されるので、セキュリティ脅威は高いと言える。一方、社内等の特定のローカル・エリア・ネットワークにのみ接続される環境では、アクセスできる利用者が限定されるため、操作パネル・インタフェース１１２もネットワーク・インタフェース１１４も比較的安全であると考えられる場合もある。公共スペースに設置されるような環境では、操作パネル・インタフェース１１２に対しては不特定多数がアクセスできるので、操作パネル・インタフェース１１２であっても安全とは言えない場合もある。

このように、複合機１１０の設置環境に応じて各入力インタフェース毎のセキュリティ脅威が変わる。上記にかかわらず、すべての入力インタフェース１１２，１１４を介した管理機能へのアクセスに対して一律のパスワード認証によるログインを要求すると、管理者パスワードが不明となった場合に、上述した不具合を生じさせる可能性が高くなる。

そこで、本実施形態による複合機１１０は、複数の入力インタフェース１１２，１１４各々を介した当該複合機１１０が提供する管理機能へのアクセスに関し、独立に、複数の選択肢の中から選択できるよう構成される。複数の選択肢は、管理機能へのアクセスに制限をかける選択肢と、認証不要で管理機能へのアクセスを許可する選択肢とを含む。好ましい実施形態では、管理機能へのアクセスに制限をかける選択肢は、さらに複数の選択肢に分かれており、管理者に対し認証処理を経由した管理機能へのアクセスを許可する選択肢と、認証処理にかかわらず対応する入力インタフェースを介した管理機能へのアクセスを拒否する選択肢とを含むことができる。そして、複合機１１０は、選択肢の中からの選択に基づいて、複数の入力インタフェース１１２各々を介した管理機能へのアクセスを独立に制御するよう構成される。

このように、複数の入力インタフェース各々に独立して、認証不要で管理機能へのアクセスを許可する選択肢を含む複数の選択肢の中からの選択に基づいて、アクセス制御することが可能となる。一方について管理機能へのアクセスに制限をかけながら、他方で認証不要で管理機能へのアクセスを許可する選択肢を提供することにより、管理機能へのアクセスに必要な情報が不明となった場合でも管理機能にアクセス可能な経路を残しておくことが可能となる。

再び図２を参照して、本実施形態による管理機能へのアクセスに関連する設定機能について説明する。図２に示す設定受付部１１８は、複数の入力インタフェース１１２，１１４各々を介した管理機能部１２２が提供する管理機能へのアクセスに関し、独立に、それぞれ管理機能へのアクセスの許否を規定する複数の選択肢の中から選択を受け付ける。特定の実施形態においては、設定受付部１１８は、工場出荷状態からの複合機１１０に対する初期設定として、管理者ログインインタフェースに関連する各種設定を受け付けることができる。設定受付部１１８は、本実施形態における選択受付手段を構成する。

提示される複数の選択肢としては、説明する実施形態では、管理者に対し認証処理を経由した管理機能へのアクセスのみを許可する選択肢（ログイン可）と、認証処理にかかわらず対応する入力インタフェースを介した管理機能へのアクセスを拒否する選択肢（ログイン不可）と、認証処理不要で管理機能へのアクセスを許可する選択肢（ログイン不要）とを含むことができる。

設定値記憶部１２６は、複合機１１０の動作を制御するための種々の設定項目の設定値を記憶する。説明する実施形態では、設定項目としては、上述した各入力インタフェースに対応する設定項目および選択した選択肢を示す設定値が含まれる。

図４は、設定受付部１１８が提供する管理者ログインインタフェース設定画面を示す。図４に示す管理者ログインインタフェース設定画面３００は、例えば、複合機１１０の初回起動時の初期設定ウィザード中に、複合機１１０が備える操作パネルのディスプレイ上に表示される。あるいは、初期設定後の任意のタイミングで呼び出されて、複合機１１０の操作パネルのディスプレイまたはネットワーク１０２を経由してクライアント端末１９０のディスプレイ上に表示される。

管理者ログインインタフェース設定画面３００は、対象の入力インタフェースを示すテキスト３０２，３０６と、対応する入力インタフェースに対して複数の選択肢の中から所定の選択肢を選択するためのラジオボタン３０４，３０８と、現在の設定内容で設定を反映するＯＫボタン３１０と、現在の設定内容を破棄して前の設定画面に戻るキャンセルボタン３１２とを含む。

管理者は、図４に示す管理者ログインインタフェース設定画面３００を介して、複数の入力インタフェース１１２，１１４各々を介した管理機能へのアクセスに関し、独立に、複数の選択肢の中から選択を行うことができる。管理者は、事前に実施する、運用環境でどのようなリスクがあるかのセキュリティ脅威分析に基づき、選択する選択肢を決定することができる。説明する実施形態では、２つの入力インタフェース１１２，１１４についてそれぞれ３つの選択肢が存在するので、９通りのモードないし組み合わせが想定される。なお、管理者パスワードは、特に限定されるものではないが、以下の説明では便宜上、操作パネル・インタフェース１１２およびネットワーク・インタフェース１１４を介したログインの両方で共通であり、すでに設定されているものとする。以下、９通りのモードについて説明する。

モード１：操作パネル・インタフェース１１２を介したログインが「可」であり、ネットワーク・インタフェース１１４を介したログインも「可」
このモード１では、操作パネルまたはネットワーク１０２を介したログインにおいて、設定された管理者パスワードが有効となり、そのパスワード以外ではログインはできないようになる。このモード１は、操作パネルおよびネットワーク１０２の両方からのログインが必要であり、両方である程度のセキュリティ脅威が想定される場合に適している。

モード２：操作パネル・インタフェース１１２を介したログインが「可」であり、ネットワーク・インタフェース１１４を介したログインが「不可」
このモード２では、操作パネルを介したログインにおいて、設定された管理者パスワードが有効となり、そのパスワード以外ではログインはできないようになる。一方、ネットワーク１０２を介しては、管理機能にアクセスできるインタフェースを提供しないか、あるいは、ログイン要求時に常にエラーが返されるようになる。このモード２は、操作パネルからのログインが必要であり、ある程度のセキュリティ脅威が想定される一方、ネットワーク１０２を介したログインの必要性がない、または、ネットワーク１０２からのセキュリティ脅威が比較的に高い場合に適している。

モード３：操作パネル・インタフェース１１２を介したログインが「可」であり、ネットワーク・インタフェース１１４を介したログインが「ログイン不要」
このモード３では、操作パネルを介したログインにおいて、設定された管理者パスワードが有効となり、そのパスワード以外ではログインはできない。一方、ネットワーク１０２からは、管理者パスワードが設定されていたとしても、ログイン処理なしで管理機能にアクセスできるようになる。このモード３は、操作パネルからのログインが必要であり、ある程度のセキュリティ脅威が想定される一方、ネットワーク１０２からの脅威が想定できない場合に適している。

モード４：操作パネル・インタフェース１１２を介したログインが「不可」であり、ネットワーク・インタフェース１１４を介したログインが「可」
このモード４では、操作パネルを介しては、管理機能にアクセスできるインタフェースを提供しないか、あるいは、ログイン要求時に常にエラーが返されるようになる。一方、ネットワーク１０２を介したログインにおいては、設定された管理者パスワードが有効となり、そのパスワード以外ではログインはできない。このモード４は、操作パネルを介したログインの必要性がない、または、操作パネルからのセキュリティ脅威が相対的に高く、一方で、ネットワーク１０２からのログインが必要であり、ある程度のセキュリティ脅威が想定される場合に適している。

モード５：操作パネル・インタフェース１１２を介したログインが「不可」であり、ネットワーク・インタフェース１１４を介したログインも「不可」
このモード５では、操作パネルおよびネットワーク１０２のいずれを介しても、管理機能にアクセスできるインタフェースを提供しないか、あるいは、ログイン要求時に常にエラーが返されるようになる。このモード５は、たとえば複合機１１０を破棄する前にアクセスされないようにする必要性が生じるような場合に適している。

モード６：操作パネル・インタフェース１１２を介したログインが「不可」であり、ネットワーク・インタフェース１１４を介したログインが「ログイン不要」
このモード６では、操作パネルを介しては、管理機能にアクセスできるインタフェースを提供しないか、あるいは、ログイン時に常にエラーが返されるようになる。一方、ネットワーク１０２からは、管理者パスワードが設定されていたとしても、ログイン処理なしで管理機能にアクセスできるようになる。このモード６は、ネットワーク１０２からのセキュリティ脅威が想定されず、一方、操作パネルからのログインの必要性がない、または、操作パネルからのセキュリティ脅威が比較的高い場合に適している。

モード７：操作パネル・インタフェース１１２を介したログインが「ログイン不要」であり、ネットワーク・インタフェース１１４を介したログインが「可」
このモード７では、操作パネルからは、管理者パスワードが設定されていたとしても、ログイン処理なしで管理機能にアクセスできるようになる。一方、ネットワーク１０２を介したログインにおいては、設定された管理者パスワードが有効となり、そのパスワード以外ではログインはできないようになる。このモード７は、操作パネルからのセキュリティ上の脅威が想定できず、一方で、ネットワーク１０２からのセキュリティ脅威がある程度想定される場合に適している。

モード８：操作パネル・インタフェース１１２を介したログインが「ログイン不要」であり、ネットワーク・インタフェース１１４を介したログインが「不可」
このモード８では、操作パネルからは、管理者パスワードが設定されていたとしても、ログイン処理なしで管理機能にアクセスできるようになる。一方、ネットワーク１０２を介しては、管理機能にアクセスできるインタフェースを提供しないか、あるいは、ログイン要求時に常にエラーが返されるようになる。このモード８は、操作パネルからのセキュリティ脅威が想定されないが、一方、ネットワーク１０２からのログインの必要性がない、または、ネットワーク１０２からのセキュリティ脅威が比較的高い場合に設定する。

モード９：操作パネル・インタフェース１１２を介したログインが「ログイン不要」であり、ネットワーク・インタフェース１１４を介したログインも「ログイン不要」
このモード９では、操作パネルおよびネットワーク１０２の両方で、管理者パスワードが設定されていたとしてもログイン処理なしで管理機能にアクセスできる。このモード９は、操作パネルおよびネットワーク１０２ともにセキュリティ脅威が想定されない場合に適している。例えば、閉じられた環境で個人のみ利用する場合などである。

以上９つのモードについて説明したが、すべてのモードが選択可能となっている必要はなく、いずれか複数のモードが選択可能となっていればよい。好適な実施形態では、モード３、モード６、モード７およびモード８のように、ログイン不要でアクセス可能な入力インタフェースが少なくとも１つ指定され、それ以外の入力インタフェースからはアクセス制限をかけるよう指定されたモードを選択可能に提供することができる。

再び図２を参照する。管理者ログイン処理部１２０は、複数の入力インタフェース１１２，１１４各々を介した管理機能へのアクセスを、設定値記憶部１２６に設定された設定値に基づいて独立に制御する。より具体的には、管理者ログイン処理部１２０は、ログイン要求にかかる入力インタフェースの設定値に、ログイン「可」の選択肢が設定されていた場合、管理者情報記憶部１２８に登録されている管理者情報に基づいて、ログインの許可または拒否を行う。管理者ログイン処理部１２０は、また、ログイン要求にかかる入力インタフェースの設定値に、「ログイン不要」の選択肢が設定されていた場合、無条件にログインの許可を行うことができる。管理者ログイン処理部１２０は、さらに、ログイン要求にかかる入力インタフェースの設定値に、ログイン「不可」の選択肢が設定されていた場合は、無条件にログインの拒否を行うことができる。

管理者ログイン処理部１２０は、また、ログインの許可を行う場合、その管理者に適用される役割または権限を特定することができる。管理者ログイン処理部１２０は、本実施形態における制御手段を構成する。

画像機能部１２４は、コピー、プリント、スキャン、ファクシミリ送信といった複合機１１０の有する各種画像機能を提供する。画像機能部１２４は、利用者からの各種画像機能に対する操作を受け付けており、その利用者に適用される役割や権限により、要求された操作が許可される場合は、その操作を実行する。

なお、説明する実施形態では、情報処理装置として、複合機１１０を一例として説明するが、情報処理装置としては、説明する複合機１１０に限定されるものではない。情報処理装置としては、その他、レーザプリンタなどの画像形成装置、スキャナなどの画像読取装置、ファクシミリなどの画像通信装置、プロジェクタなどの映像投影装置、映像表示装置、サーバ装置、電子会議端末、電子黒板、携帯情報端末、撮像装置、自動販売機、医療機器、電源装置、空調システム、ガスや水道や電気などの計量装置、冷蔵庫や洗濯機といったネットワーク家庭用電化製品など、管理機能を備え、管理機能にアクセスする際に所定の認証処理が要求され、複数の入力インタフェースを有する如何なる情報処理装置を挙げることができる。

以下、図５を参照しながら、本実施形態による複合機における管理者ログイン処理について、より詳細に説明する。図５は、本実施形態による複合機１１０が実行する管理者ログイン処理を示すフローチャートを示す。図５に示す処理は、操作者からの管理者ログイン画面へのアクセス要求が行われたことに応答して、ステップＳ１００から開始される。なお、図５に示す処理は、図２に示した管理者ログイン処理部１２０が担当する。

ステップＳ１０１では、複合機１１０は、管理者ログイン画面へのアクセス要求を受領する。管理者ログイン処理部１２０は、アクセス要求を受領したインタフェース１１２，１１４から、操作処理部１１６を介して、その使用されたインタフェースの種別を示す情報（操作パネル・インタフェースまたはネットワーク・インタフェースの別）の通知を受ける。ステップＳ１０２では、複合機１１０は、設定値記憶部１２６から、アクセス要求を受領した入力インタフェースに応じた設定値を取得する。ステップＳ１０３では、複合機１１０は、取得した設定値に応じて、処理を分岐させる。

ステップＳ１０３で、取得した設定値がログイン「可」であると判定された場合（可）、ステップＳ１０４へ処理が分岐される。ステップＳ１０４では、複合機１１０は、管理者のユーザＩＤおよびパスワード入力を求める管理者ログイン画面を表示させて、入力されたユーザＩＤおよびパスワードを取得する。ステップＳ１０５では、複合機１１０は、管理者情報記憶部１２８から、管理者ログイン画面を介して入力されたユーザＩＤに対応する管理者情報を取得し、入力されたパスワードが、取得した管理者情報のものと一致するか否かを判定する。ステップＳ１０５で、パスワードが一致するものと判定された場合（ＹＥＳ）は、ステップＳ１０６へ処理を分岐させる。ステップＳ１０６では、複合機１１０は、認証を「許可」する旨を判定し、ステップＳ１０７では、当該管理者のトップ画面を表示させて、ステップＳ１１１で本処理を終了させる。以降、ログインした管理者は、管理機能へのアクセスが可能となる。

一方、ステップＳ１０５で、パスワードが一致しないと判定された場合（ＮＯ）は、ステップＳ１０８へ処理が分岐される。ステップＳ１０８では、複合機１１０は、認証を「拒否」する旨を判定し、ステップＳ１０９では、認証エラー画面を表示させて、ステップＳ１１１で本処理を終了させる。

一方、ステップＳ１０３で、取得した設定値がログイン「不可」であると判定された場合（不可）、ステップＳ１０８へ処理が分岐される。この場合も同様に、ステップＳ１０８では、複合機１１０は、認証を「拒否」する旨を判定し、ステップＳ１０９で、認証エラー画面を表示させて、ステップＳ１１１で本処理を終了させる。なお、他の実施形態では、認証にエラーが発生したことを通知する画面を表示することに代えて、アクセス自体が許可されていない旨を通知する画面を表示させてもよい。

さらに、ステップＳ１０３で、取得した設定値が「ログイン不要」であると判定された場合（ログイン不要）、ステップＳ１１０へ処理が分岐される。ステップＳ１１０では、認証を「許可」する旨を判定し、ステップＳ１０７では、当該管理者のトップ画面を表示させて、ステップＳ１１１で本処理を終了させる。

このように、管理者ログイン処理部１２０は、複数の入力インタフェース１１２，１１４のいずれかを介した管理機能へのアクセス要求を受け付けて、アクセス要求にかかる入力インタフェースに対する選択肢の選択に基づいて、管理機能へのアクセスの許否を判定することができる。

以下、図６および図７を参照しながら、本実施形態における管理者ログイン時および管理者ログアウト時の動作について説明する。図６は、本実施形態による複合機１１０が実行する、管理者ログイン時の動作を示すフローチャートである。なお、図６に示す処理は、図２に示した管理者ログイン処理部１２０が担当する。

図６に示す処理は、ステップＳ２００から開始される。ステップＳ２０１では、複合機１１０は、管理者ログインの検出を待ち受け、管理者ログインを検出するまで（ＮＯの間）、ステップＳ２０１をループさせる。ステップＳ２０１で、管理者ログインが検出された場合（ＹＥＳ）は、ステップＳ２０２へ処理が進められる。ステップＳ２０２では、複合機１１０は、現在の処理対象とするインタフェース番号を初期化する。ここで、インタフェース番号とは、入力インタフェース１１２，１１４各々に割り当てられた番号であり、例えば、１から順番に整数値が割り当てられている。たとえば、説明する実施形態では、操作パネル・インタフェースに「１」が、ネットワーク・インタフェースに「２」が割り当てられているものとする。

ステップＳ２０３では、複合機１１０は、現在の処理対象のインタフェース番号が、管理者がログインにかかる入力インタフェースに対応するものであるか否かを判定する。ステップＳ２０３で、ログインにかかる入力インタフェースに対応していないと判定された場合（ＮＯ）は、ステップＳ２０４へ処理が分岐される。ステップＳ２０４では、複合機１１０は、現在の処理対象のインタフェース番号に対応する入力インタフェースを不活性化し、ステップＳ２０５へ処理を進める。一方、ステップＳ２０３で、ログインにかかるインタフェースに対応すると判定された場合（ＹＥＳ）は、ステップＳ２０５へ直接処理が分岐される。

ステップＳ２０５では、複合機１１０は、現在の処理対象のインタフェース番号をインクリメントし、ステップＳ２０６では、現在の処理対象のインタフェース番号が上限を超えたか否かを判定する。ステップＳ２０６で、上限を超えていないと判定された場合（ＮＯ）は、ステップＳ２０３へ処理をループし、次の入力インタフェースへと処理を進める。一方、ステップＳ２０６で、上限を超えたと判定された場合（ＹＥＳ）は、ステップＳ２０７へ処理を分岐させて、本処理を終了させる。

図７は、本実施形態による複合機１１０が実行する管理者ログアウト時の動作を示すフローチャートである。図７に示す処理は、ステップＳ３００から開始される。なお、図７に示す処理は、図２に示した管理者ログイン処理部１２０が担当する。

ステップＳ３０１では、複合機１１０は、管理者ログアウトの検出を待ち受け、管理者ログアウトを検出するまで（ＮＯの間）、ステップＳ３０１をループさせる。ステップＳ３０１で、管理者ログアウトが検出された場合（ＹＥＳ）、ステップＳ３０２へ処理が進められる。なお、図７に示す処理は、図２に示した管理者ログイン処理部１２０が担当する。

ステップＳ３０２では、複合機１１０は、現在の処理対象のインタフェース番号を初期化する。ステップＳ３０３では、複合機１１０は、現在の処理対象のインタフェース番号に対応する入力インタフェースの不活性化を解除する。ここで、不活性化の解除とは、元の設定値に戻すことを意味する。ステップＳ３０４では、複合機１１０は、現在の処理対象のインタフェース番号をインクリメントし、ステップＳ３０５では、現在の処理対象のインタフェース番号が上限を超えたか否かを判定する。ステップＳ３０５で、上限を超えていないと判定された場合（ＮＯ）は、ステップＳ３０３へ処理をループし、次の入力インタフェースへと処理を進める。一方、ステップＳ３０５で、上限を超えたと判定された場合（ＹＥＳ）は、ステップＳ３０６へ処理を分岐させて、本処理を終了させる。

このように、複数の入力インタフェースのいずれかを介した管理機能への管理者のログインを検出したことに応答して、ログインにかかる入力インタフェース以外の入力インタフェースが不活性化される。また、管理機能からの管理者のログアウトを検出したことに応答して、入力インタフェースの不活性化が解除される。このように構成することで、ログイン中の入力インタフェース以外の他の入力インタフェースからのアクセスを排除し、セキュリティを向上させることができる。

なお、上述までの実施形態は、管理者は、特にどのような管理者であるかについて説明しなかったが、特定の実施形態では、管理者は、複数種類存在する場合がある。図８は、例示的な実施形態における管理者の階層構造を示す。例えば、図８に示すように、それぞれ特定管理機能（例えばユーザ管理、機器管理、ネットワーク管理、文書管理など）に関する権限が付与される１以上の下位管理者と、１以上の下位管理者の登録および解除を行う権限が付与された上位管理者（スーパバイザ）とが設けられる場合がある。

上記の場合は、上記管理者ログインの制御の対象となる管理者としては、好適には、下位管理者の登録および解除を行う権限が付与された上位管理者（スーパバイザ）とすることができる。このようにすることで、通常の管理者のログインインタフェースの利用に対して制限をかけずに運用することができる。上位管理者（スーパバイザ）は、各管理者のパスワードを削除したり、新しく設定できたりできる権限を有する。このため、上位管理者のログインに対して、モード３、モード６、モード７およびモード８のようなモードを選択することにより、上位管理者のパスワードが不明となってしまった場合でも、いずれかの入力インタフェースからログイン認証なしに管理機能へアクセスすることが可能となる。ひいては、初期化などをせずとも、運用を継続することが可能となる。つまり、パスワード忘れを復活するため、あるいは攻撃され得るインタフェースを限定するためであれば、通常の管理者への運用を変更せずに、スーパーバイザーのみに適用すればよいということになる。

図９は、他の実施形態による複合機の利用環境を説明する。図１に示した利用環境では、入力インタフェースは、操作パネル・インタフェース１１２と、ネットワーク・インタフェース１１４との２つであった。これに対し、図９に示す実施形態では、ネットワーク・ログインがさらに細分化され、また、キーボード直接接続によるログイン経路がさらに追加されている。

より具体的には、図９には、図１で示した２つの入力インタフェースに加えて、ＵＳＢ接続でのキーボードを直結利用するログイン経路、ＰＣＩ（Peripheral Component Interconnect）インタフェースを利用したログイン経路、ＩＥＥＥ（The Institute of Electrical and Electronics Engineers, Inc.）１３９４インタフェースを利用したログイン経路が示されている。このような利用環境では、設定受付部１１８が提供する設定画面３００において、操作パネル・インタフェース１１２およびネットワーク・インタフェース１１４それぞれに対する３つの選択肢に加えて、キーボード、ＰＣＩ、ＩＥＥＥ１３９４それぞれに対する３つの選択肢が示されることになる。

以下、図１０を参照して、複合機１１０のハードウェア構成について説明する。図１０は、例示的な実施形態による複合機１１０のハードウェア構成を示す。複合機１１０は、コントローラ５２と、上述までの操作パネルに対応するオペレーションパネル８２と、ＦＣＵ（ファクシミリ・コントロール・ユニット）８４と、エンジン部８６とを含み構成される。コントローラ５２は、ＣＰＵ５４と、ＮＢ（ノースブリッジ）５８と、ＮＢ５８を介してＣＰＵ５４と接続するＡＳＩＣ６０と、システムメモリ５６とを含み構成される。ＡＳＩＣ６０は、各種画像処理を実行し、ＡＧＰ（Accelerated Graphic Port）８８を介してＮＢ５８と接続される。システムメモリ５６は、描画用メモリなどとして用いられる。

ＡＳＩＣ６０は、ローカルメモリ６２と、ハードディスクドライブ６４と、フラッシュメモリなどの不揮発性メモリ（以下、ＮＶ−ＲＡＭとして参照する。）６６と接続する。ローカルメモリ６２は、コピー用画像バッファや符号バッファとして用いられ、ＨＤＤ６４は、画像データ、文書データ、プログラム、フォントデータやフォームデータなどを蓄積するストレージである。ＮＶ−ＲＡＭ６６は、複合機１１０を制御するためのプログラムや各種システム情報や各種設定情報を格納する。

コントローラ５２は、さらにＳＢ（サウスブリッジ）６８と、ＮＩＣ（ネットワーク・インタフェース・カード）７０と、ＳＤ（Secure Digital）カード・スロット７２と、ＵＳＢインタフェース７４と、ＩＥＥＥ１３９４インタフェース７６と、セントロニクス・インタフェース７８とを含み構成され、これらはＰＣＩバス９０を介してＮＢ５８と接続される。ＳＢ６８は、図示しないＲＯＭやＰＣＩバス周辺デバイスなどとＮＢ５８とを接続するためのブリッジである。ＮＩＣ７０は、複合機１１０をインターネットやＬＡＮなどのネットワークに接続するインタフェース機器であり、ネットワークを介した指令を受付けている。ＮＩＣ７０は、図２に示したネットワーク・インタフェース１１４を構成する。ＳＤカード・スロット７２は、図示しないＳＤカードを着脱可能に装着する。ＵＳＢインタフェース７４、ＩＥＥＥ１３９４インタフェース７６およびセントロニクス・インタフェース７８は、それぞれの規格に準じたインタフェースであり、印刷ジョブなどを受付けている。

オペレーションパネル８２は、コントローラ５２のＡＳＩＣ６０と接続され、オペレータからの各種指示の入力を受付けや、画面表示を行なうためのユーザ・インタフェースを提供する。オペレーションパネル８２は、図２に示した操作パネル・インタフェース１１２を構成する。ＦＣＵ８４およびエンジン部８６は、ＰＣＩバス９２を介してＡＳＩＣ６０と接続する。ＦＣＵ８４は、Ｇ３またはＧ４といったファクシミリ通信規格に準じた通信方法を実行する。エンジン部８６は、アプリケーションが発行したプリント指令やスキャン指令を受け、画像形成処理や画像読取処理を実行する。エンジン部８６は、スキャナ部およびプリント部を構成する。

本実施形態による複合機１１０は、ハードディスクドライブ６４やＮＶ−ＲＡＭ６６から制御プログラムを読み出し、システムメモリ５６やローカルメモリ６２が提供する作業空間に展開することにより、ＣＰＵ５４の制御の下、上述した各機能部および各処理を実現する。なお、上述した実施形態では、すべての機能部が、複合機１１０の単一の装置上に実現されるものとした。しかしながら、これらの機能部は、複合機１１０と、他のコンピュータ装置とで分散実装され、情報処理システムとして構成すこともできる。

以上説明したように、上述した本実施形態によれば、複数の入力インタフェース各々に独立してアクセス制御をかけることを可能とし、一方について管理機能へのアクセスに制限をかけながら、他方で認証不要で管理機能へのアクセスを許可する選択肢を提供することにより、管理機能へのアクセスに必要な情報が不明となった場合でも管理機能にアクセス可能な経路を残しておくことが可能な情報処理装置、プログラムおよびアクセス制御方法を提供することができる。

上記構成により、利用環境でのセキュリティ脅威に応じて、管理者パスワードが不要な入力インタフェースや、不活性化する（ログイン不可とする）ログインインタフェースを指定して、アクセス制御を行うことが可能になる。初期設定の仕方により、セキュリティ脅威に対抗しながら管理者権限を持つことが可能となり、パスワードが不明となったとしても初期化をすることなく複合機の運用を再開することができる。また、ログインを不可とする選択肢も提供されるので、パスワード漏洩時にも一定程度の脅威に対して対抗することが可能となる。

なお、上記機能部は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して、あるいは電気通信回線を通じて頒布することができる。

これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１００…利用環境、１０２…ネットワーク、１１０…複合機、１１２…操作パネル・インタフェース、１１４…ネットワーク・インタフェース、１１６…操作処理部、１１８…管理者ログインインタフェース設定受付部、１２０…管理者ログイン処理部、１２２…管理機能部、１２４…画像機能部、１２６…設定値記憶部、１２８…管理者情報記憶部、１９０…クライアント端末、２００…ログイン画面、２０２…識別情報、２０４…認証情報、２０６…ソフトウェアキーボード、２０８…ＧＵＩ部品、２５０…ブラウザ画面、２５２…ログイン画面、２５４…識別情報、２５６…認証情報、２５８…ＧＵＩ部品、３００…管理者ログインインタフェース設定画面、３０２…テキスト、３０６…テキスト、３０４…ラジオボタン、３０８…ラジオボタン、３１０…ＯＫボタン、３１２…キャンセルボタン、５２…コントローラ、５４…ＣＰＵ、５６…システムメモリ、５８…ＮＢ、６０…ＡＳＩＣ、６２…ローカルメモリ、６４…ＨＤＤ、６８…ＳＢ、７０…ＮＩＣ、７２…ＳＤカード・スロット、７４…ＵＳＢインタフェース、７６…ＩＥＥＥ１３９４インタフェース、７８…セントロニクス・インタフェース、８２…オペレーションパネル、８４…ＦＣＵ、８６…エンジン部、８８…ＡＧＰ、９０…ＰＣＩバス、９２…ＰＣＩバス

特許第３７１５７６１号公報

Claims (9)

1. 複数の入力インタフェースを含む情報処理装置であって、
   前記複数の入力インタフェース各々を介した当該情報処理装置が提供する管理機能へのアクセスに関し、前記管理機能へのアクセスに制限をかける選択肢と、認証不要で前記管理機能へのアクセスを許可する選択肢とを含む複数の選択肢の中からいずれかの選択肢の選択を受け付ける選択受付手段と、
   前記選択受付手段によって受け付けられた選択に基づいて、前記複数の入力インタフェース各々を介した前記管理機能へのアクセスを独立に制御する制御手段と
   を含む、情報処理装置。
2. 前記管理機能へのアクセスに制限をかける選択肢は、管理者に対し認証処理を経由した前記管理機能へのアクセスを許可する選択肢と、認証処理にかかわらず対応する入力インタフェースを介した前記管理機能へのアクセスを拒否する選択肢とを含む、請求項１に記載の情報処理装置。
3. 前記複数の入力インタフェースは、当該情報処理装置が備える操作パネル・インタフェースと、ネットワークを経由したアクセスを受け付けるネットワーク・インタフェースとを含む、請求項１または２に記載の情報処理装置。
4. 前記制御手段は、
   前記複数の入力インタフェースのいずれかを介した前記管理機能へのログインを検出したことに応答して、前記ログインにかかる入力インタフェース以外の入力インタフェースを不活性化する手段と、
   前記管理機能からのログアウトを検出したことに応答して、前記入力インタフェースの不活性化を解除する手段と
   を含む、請求項１〜３のいずれか１項に記載の情報処理装置。
5. 前記制御手段は、
   前記複数の入力インタフェースのいずれかを介した前記管理機能へのアクセス要求を受け付ける手段と、
   前記選択受付手段によって前記アクセス要求にかかる入力インタフェースに対し受け付けられた選択に基づいて、前記アクセス要求にかかる入力インタフェースを介した前記管理機能へのアクセスの許否を判定する手段と
   を含む、請求項１〜４のいずれか１項に記載の情報処理装置。
6. 前記管理者は、それぞれ特定管理機能に関する権限を付与される１以上の下位管理者の登録を行う権限が付与された上位管理者であり、前記管理機能は、前記１以上の下位管理者の登録を行う機能である、請求項２に記載の情報処理装置。
7. 複数の入力インタフェースを含む情報処理装置を実現するためのプログラムであって、前記情報処理装置を構成するコンピュータを、
   前記複数の入力インタフェース各々を介した当該情報処理装置が提供する管理機能へのアクセスに関し、前記管理機能へのアクセスに制限をかける選択肢と、認証不要で前記管理機能へのアクセスを許可する選択肢とを含む複数の選択肢の中からいずれかの選択肢の選択を受け付ける選択受付手段、および、
   前記選択受付手段によって受け付けられた選択に基づいて、前記複数の入力インタフェース各々を介した前記管理機能へのアクセスを独立に制御する制御手段
   として機能させるためのプログラム。
8. 複数の入力インタフェースを含む情報処理装置が実行する、管理機能へのアクセス制御方法であって、前記情報処理装置が、
   前記複数の入力インタフェース各々を介した当該情報処理装置が提供する前記管理機能へのアクセスに関し、前記管理機能へのアクセスに制限をかける選択肢と、認証不要で前記管理機能へのアクセスを許可する選択肢とを含む複数の選択肢の中からいずれかの選択肢の選択を受け付けるステップと、
   前記複数の入力インタフェースのいずれかを介した前記管理機能へのアクセス要求を受け付けるステップと、
   前記選択を受け付けるステップでの前記アクセス要求にかかる入力インタフェースに対して行われた選択に基づいて、前記アクセス要求にかかる入力インタフェースを介した前記管理機能へのアクセスの許否を判定するステップと
   を含む、アクセス制御方法。
9. 前記管理機能へのアクセスに制限をかける選択肢は、管理者に対し認証処理を経由した前記管理機能へのアクセスを許可する選択肢と、認証処理にかかわらず対応する入力インタフェースを介した前記管理機能へのアクセスを拒否する選択肢とを含む、請求項８に記載のアクセス制御方法。