JP6805809B2 - アクセス権整理補助装置、アクセス権整理補助方法およびアクセス権整理補助プログラム - Google Patents

Description

本発明は、グループ単位でアクセス権を整理するアクセス権整理補助装置、アクセス権整理補助方法およびアクセス権整理補助プログラムに関する。

近年、内部犯行による情報漏えいが増加しており、ファイルサーバ内の各フォルダの適切なアクセス権設定が重要になってきている。

各企業のファイルサーバ内のフォルダには、個別にユーザにアクセス権付与してしまうことが多々ある。しかし、ユーザに対して個別でアクセス権を付与するよりも、ユーザをまとめたグループ単位でアクセス権を付与しておき、グループへのメンバの追加および削除を行う方法で管理する方が好ましい。

図１７は、ファイルサーバ向けの管理ソフトウェアの画面を示す説明図である。図１７に示すような管理用ソフトウェアは、ユーザ単位でアクセス権が付与されているフォルダを一覧で検出する機能を有する。

グループ単位でアクセス権を管理することで、人事変更などがあった場合でもグループの所属メンバを変更するだけで対応が可能であり、また、大量に存在するフォルダのアクセス権を１つ１つ確認して、アクセス権を変更する必要がなくなる。そのため、アクセス権の設定ミスを防止でき、かつ、アクセス権設定の作業負荷を低減させることができる。

多くの企業では、アクセス権の設定のミスを防止し、アクセス権の管理工数を削減するために、これまでユーザ単位で設定していたアクセス権を、グループ単位のアクセス権の運用に切り替えるニーズも増えてきている。しかし、ファイルサーバの大容量化に伴い、ファイルサーバ内のすべてのフォルダを確認し、グループ単位のアクセス権への切り替えを手動で行うには、多大な工数がかかっているのが現状である。

特許文献１には、適切なアクセス権の設定を補助するアクセス権管理プログラムが記載されている。特許文献１に記載されたプログラムは、オブジェクトに対して行う使用者の操作の履歴を用いて使用者の操作回数を集計し、集計された操作回数と使用者とを関連付けて表示して、アクセス権の編集を実行する。

特許文献２には、適切な範囲のユーザグループに所定のフォルダへのアクセス権を設定できる情報装置が記載されている。特許文献２に記載された情報装置は、フォルダへアクセスしたユーザのアクセスログおよびユーザがそれぞれ属するユーザグループ情報に基づいて、フォルダへのアクセス権を設定する範囲としての適性を示す評価値を算出する。

特許文献３には、適切なアクセス制限がかけられたフォルダを情報処理装置が記載されている。特許文献３に記載された情報処理装置は、ユーザ端末が位置する場所を認識し、そのユーザ端末が現在位置する場所に対応付けて、ユーザ端末にアクセス権限を与えたフォルダを作成する。

また、特許文献４には、無くなったグループに割り当てられていたアクセス権を変更後のグループに割り当て直す作業を支援するアクセス権管理方法が記載されている。特許文献４に記載された方法では、組織変更前の不整合グループのメンバの割合が高いグループを置き換え先の候補として選ぶことで、それまでにアクセス権が与えられていたユーザに対し効率よくアクセス権を付与する。

特開２００８−５２６５１号公報 特開２０１６−５３８８６号公報 特開２０１４−８１９１２号公報 特開２００７−１７２２８０号公報

ユーザ単位に付与されているアクセス権をグループ単位のアクセス権に変更する際、ディレクトリサービス内のグループの所属メンバ構成があまり整理されていない場合、安易の既存のグループをアクセス権付与してしまうと、必要以上にアクセス権の範囲が広がってしまう可能性がある。このため、最低限のアクセス権を付与するには、最適なグループの所属メンバ構成に変更する必要がある。

しかし、現在設定されている各フォルダのアクセス権限の範囲の大きく崩さずに、グループの所属メンバ構成を考える場合、以下に示す理由により多大な工数がかかっている。

まず、管理対象のフォルダ全ての現在のアクセス権の設定状態を確認する必要がある。これは、多くのフォルダの権限を確認しないと、所属メンバが重複するグループが多くできてしまうなどの問題が発生するからである。

また、同フォルダに付与されているアクセス許可（フルコントロール、書き込み、など）ごとにグループを分ける必要がある。また、継承状態も考慮してグループの所属メンバの構成を考える必要がある。

一般に、図１７に示すような管理用ソフトウェアは、アクセス権が付与されたフォルダを検出しても、その後に、適切なアクセス権の設定を推薦するような機能を有していない。

特許文献１に記載されたプログラムは、編集操作の履歴により操作履歴と使用者を関連づけて表示し、アクセス権の編集を補助する。すなわち、特許文献１に記載されたプログラムは、アクセス権の編集の補助をする際に操作履歴の情報が必要になるため、操作履歴を保持しておかなければならないという問題がある。

特許文献２に記載された情報装置は、アクセスログを利用して、フォルダへの不要なアクセス権を削除するように推薦する。しかし、特許文献２に記載された発明もアクセスログを利用しているが、このようなアクセスログを利用することなくアクセス権を整理できることが好ましい。また、特許文献２に記載された情報装置は、不要なアクセス権の削除を目的としているが、グループ単位へのアクセス権への変更や、グループに所属するメンバの構成も推薦できることが好ましい。

特許文献３に記載された情報処理装置は、一定範囲（場所）内にいるユーザ端末（例えば、ノート型パーソナルコンピュータなど）のみがアクセスできるようなアクセス権をフォルダに自動設定する。しかし、特許文献３に記載された発明のように、アクセス権を自動設定するのではなく、ユーザ単位のアクセス権をグループ単位のアクセス権に変更することや、グループの所属メンバの構成も推薦できることが好ましい。

また、特許文献４に記載された管理方法では、もともとグループに所属していたユーザのアクセス権限を変更することを想定している。しかし、グループに所属していたユーザだけでなく、個別に権限が付与されたユーザに対しても適切にアクセス権を推薦できることが好ましい。

そこで、本発明は、現在付与されている権限状態を大きく変更せずに、ユーザ単位のアクセス権限をグループ単位のアクセス権限に変更できるよう、グループの構成および各フォルダのアクセス権を推薦できるアクセス権整理補助装置、アクセス権整理補助方法およびアクセス権整理補助プログラムを提供することを目的とする。

本発明によるアクセス権整理補助装置は、各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定する分類部と、対象フォルダ以外で、その対象フォルダに存在する分類タイプを含むフォルダ数を特定し、対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、分類タイプごとに、属性値が一致する数である属性値数が多いほど、かつ、フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出するグループ所属推薦度算出部と、対象フォルダ内でグループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定し、特定されたユーザグループに含まれるユーザがユーザ群のみの場合、ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、特定されたユーザグループに含まれるユーザがユーザ群以外も含む場合、そのユーザグループに含まれるメンバの属性値とユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、そのユーザ分離推薦度およびグループ所属推薦度が高いほど、ユーザ群をユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する第一判定部とを備えたことを特徴とする。

本発明によるアクセス権整理補助方法は、コンピュータが、各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定し、コンピュータが、対象フォルダ以外で、その対象フォルダに存在する分類タイプを含むフォルダ数を特定し、コンピュータが、対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、コンピュータが、分類タイプごとに、属性値が一致する数である属性値数が多いほど、かつ、フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出し、コンピュータが、対象フォルダ内でグループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定し、コンピュータが、特定されたユーザグループに含まれるユーザがユーザ群のみの場合、ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、コンピュータが、特定されたユーザグループに含まれるユーザがユーザ群以外も含む場合、そのユーザグループに含まれるメンバの属性値とユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、そのユーザ分離推薦度およびグループ所属推薦度が高いほど、ユーザ群をユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定することを特徴とする。

本発明によるアクセス権整理補助プログラムは、コンピュータに、各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定する分類処理、対象フォルダ以外で、その対象フォルダに存在する分類タイプを含むフォルダ数を特定し、対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、分類タイプごとに、属性値が一致する数である属性値数が多いほど、かつ、フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出するグループ所属推薦度算出処理、および、対象フォルダ内でグループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定し、特定されたユーザグループに含まれるユーザがユーザ群のみの場合、ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、特定されたユーザグループに含まれるユーザがユーザ群以外も含む場合、そのユーザグループに含まれるメンバの属性値とユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、そのユーザ分離推薦度およびグループ所属推薦度が高いほど、ユーザ群をユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する第一判定処理を実行させることを特徴とする。

本発明によれば、現在付与されている権限状態を大きく変更せずに、ユーザ単位のアクセス権限をグループ単位のアクセス権限に変更できるよう、グループの構成および各フォルダのアクセス権を推薦できる。

本発明によるアクセス権整理補助装置の一実施形態を示すブロック図である。 グループの構成および各フォルダのアクセス権を推薦する処理の例を示す説明図である。 アクセス権整理補助装置の処理およびデータの流れを含む動作例を示す説明図である。 オブジェクト情報格納部１０１が記憶する情報の例を示す説明図である。 グループ所属ユーザ格納部１０３が記憶する情報の例を示す説明図である。 アクセス権分類タイプの例を示す説明図である。 フォルダ毎のアクセス権の例を示す説明図である。 グループ所属推薦度の例を示す説明図である。 推薦グループおよび構成メンバの判定結果例を示す説明図である。 推薦するアクセス権の設定例を示す説明図である。 グループ所属推薦度を算出する処理の例を示すフローチャートである。 推薦するグループの所属メンバ構成を決定する処理の例を示すフローチャートである。 ユーザを分離する処理の例を示す説明図である。 ユーザを追加する処理の例を示す説明図である。 整理対象フォルダの適切なアクセス権を推薦する処理の例を示すフローチャートである。 本発明によるアクセス権整理補助装置の概要を示すブロック図である。 ファイルサーバ向けの管理ソフトウェアの画面を示す説明図である。

本発明では、ファイルサーバの管理者が、ファイルサーバ内の各フォルダのアクセス権限を管理しやすい構成に設定し直していく状況（整理や棚卸しなど）を想定する。

本実施形態では、ファイルサーバ内の各フォルダにアクセス権が付与されているユーザ単位のアクセス権限を、現在の権限と継承状態とを維持しながら、グループ単位のアクセス権限へ変更する旨の推薦を行う。また、本実施形態では、グループ単位のアクセス権の設定が行えるような、ディレクトリサービス内のグループに所属するメンバ構成の変更する旨の推薦を行う。

ここで、ディレクトリサービスとは、ネットワーク上に存在するユーザ及びグループ、サーバ、プリンタなどの資源を一元的に管理する機能のことである。

また、本発明では、以下の性質を利用する。
第一に、通常、ファイルサーバの共有フォルダ内の各フォルダは、事業部など部署や、プロジェクト、製品チーム、作業チームなどの単位で利用できるようなアクセス権が設定されることが多い。

しかし、同じフォルダに権限が設定されているユーザでも、一般利用者と共有フォルダを管理する管理者や役職が高いユーザとでは、設定されている権限が異なることがほとんどである。例えば、一般利用者ユーザには、“書き込み・読み取り”権限のみが設定される一方、フォルダ管理者ユーザには、“フルコントロール”権限が設定されている場合が多い。

このため、同じフォルダに同じアクセス権が付与されているユーザ同士は、同じ製品チームなどに所属している可能性があり、同じグループに所属させた方が良い、または、関連性が大きいと判断できる。

また、フォルダのアクセス権には、アクセス権を管理しやすくするために、親フォルダと同じアクセス権を設定する“継承”という仕組みがある。継承元の親フォルダのアクセス権が変更されると、継承先のアクセス権も変更されるという仕組みである。

継承されたアクセス権のユーザは、上位フォルダにもアクセス権があるなど、アクセスできる範囲が広い。一方、継承されていないアクセス権のユーザは、そのフォルダのみアクセスできるなど、アクセスできる範囲が狭い。このように、継承の有無により、アクセスできる範囲は、異なる可能性が高い。

例えば、フォルダ管理者ユーザは、上位フォルダ配下のすべてのフォルダに対して、継承によりアクセス権が設定されることが多い。また、フォルダ末端のプロジェクトチームのフォルダには、継承されたフォルダ管理者ユーザのアクセス権とは異なり、プロジェクト作業者ユーザのアクセス権が非継承で付与される。

同じフォルダに付与されている継承状態が異なるユーザ同士は、アクセス可能なフォルダ範囲が異なる可能性が大きく、アクセス可能なレベルが異なることため、同じグループとしない方が良い、または、関連性が小さいと判断できる。

第二に、ディレクトリサービス内のユーザにはプロパティ情報（属性情報）が設定でき、特定の属性には、所属や役職などの利用者の情報を登録しておくことが一般的である。このため、例えば、“所属”属性の値が同じユーザ同士は、同じ事業部に所属している可能性が高いため、同じグループに所属させた方が良い可能性が高い、または、関連性が大きいと判断できる。一方、属性値が異なるユーザ同士は、別のグループに所属させた方が良い可能性が高い、または、関連性が小さいと判断できる。

また、同じフォルダに同じアクセス権限または継承状態で付与されている各ユーザの属性値情報も参照することで、同じグループに所属させた方が良いか否かを判断する際の信頼度を、より上げることができる。さらに、同じグループに所属する各ユーザの属性値情報を参照することで、グループの所属メンバの構成を推薦する際の信頼度を上げることもできる。

第三に、対象フォルダへのアクセス権が付与されているユーザが、他のフォルダにも個別ユーザとしてアクセス権が付与されている場合、他のフォルダのアクセス権も参照して、グループ構成とアクセス権を推薦することが好ましい。他のフォルダも考慮することで、ユーザ同士の関連の大きさを、より推薦に反映できる。一方で、他のフォルダを考慮しないと、所属メンバが重複するグループが複数できてしまう可能性もある。

上記特徴を利用して、本発明では、多数のフォルダへのアクセス許可および継承状態を考慮した各グループの所属メンバ構成の推薦を可能とする。また、本発明では、上記特徴を利用して、現在の権限からアクセス権の範囲が広がらないようなアクセス権の推薦およびグループの所属メンバ構成の推薦を可能とする。

本発明のアクセス権整理補助装置は、概略、以下の処理を行う。
まず、アクセス権整理補助装置は、対象フォルダに個別にアクセス権が設定されているユーザを、アクセス種別（許可・拒否）ごと、アクセス許可（読み取り権限、書き込み権限など）ごと、継承状態（継承されている、継承されていない）ごとに、各タイプに分類する（ステップＳ１）。

アクセス権整理補助装置は、各フォルダで、ステップＳ１で分類した同じタイプのユーザの組み合わせと、同じタイプのユーザの属性値とから、同じグループに所属させた方が良い可能性の高さを表す数値（以下、“グループ所属推薦度”と記す。）を算出する（ステップＳ２）。

アクセス権整理補助装置は、グループ所属推薦度が高いユーザの組み合わせが、所属メンバとして、すべて（または、９割以上など、一定数以上）含まれるグループを検出する（ステップＳ３）。

アクセス権整理補助装置は、ステップＳ３で検出したグループに対して、所属メンバであるユーザの属性値などから、所属メンバの一部を新規グループへ分離させた方が良い度合いを示す推薦度（以下、“ユーザ分離推薦度”と記す。）を算出する。また、アクセス権整理補助装置は、既存グループの所属メンバにユーザを追加した方が良い度合いを示す推薦度（以下、“ユーザ追加推薦度”と記す。）を算出する（ステップＳ４）。

アクセス権整理補助装置は、ステップＳ４で算出した推薦度に基づいて、新規グループへのユーザの分離や、既存グループへのユーザの追加など、グループの所属メンバの構成変更を推薦する。さらに、アクセス権整理補助装置は、分離した新規グループに対象フォルダのアクセス権を付与したり、既存グループにアクセス権を付与したりする推薦を行う（ステップＳ５）。

以下、本発明の実施形態を図面を参照して詳細に説明する。

実施形態１．
図１は、本発明によるアクセス権整理補助装置の一実施形態を示すブロック図である。本実施形態のアクセス権整理補助装置１０は、ユーザ属性取得部１０２と、グループ所属ユーザ取得部１０４と、フォルダ毎アクセス権取得分類部１０６と、グループ所属推薦度算出部１０８と、グループ所属メンバ分離・追加推薦部１１０と、アクセス権推薦部１１１と、アクセス権・所属メンバ構成反映部１１４とを備えている。

さらに、本実施形態のアクセス権整理補助装置１０は、オブジェクト情報格納部１０１と、グループ所属ユーザ格納部１０３と、アクセス権分類タイプ格納部１０５と、フォルダ毎アクセス権格納部１０７と、グループ所属推薦度格納部１０９と、推薦グループ所属メンバ構成格納部１１２と、推薦アクセス権格納部１１３とを備えている。

オブジェクト情報格納部１０１と、グループ所属ユーザ格納部１０３と、アクセス権分類タイプ格納部１０５と、フォルダ毎アクセス権格納部１０７と、グループ所属推薦度格納部１０９と、推薦グループ所属メンバ構成格納部１１２と、推薦アクセス権格納部１１３とは、例えば、磁気ディスク装置により実現される。なお、本実施形態では、保持する情報ごとに格納部が存在するが、１つの格納部が複数の情報を記憶するようにしてもよい。

また、本実施形態のアクセス権整理補助装置１０は、アクセス権およびグループ構成を推薦する装置であることから、アクセス権整理補助装置のことをアクセス権・グループ構成推薦装置ということができる。

図２は、グループの構成および各フォルダのアクセス権を推薦する処理の例を示す説明図である。図２（ａ）は、ある共有フォルダ内のフォルダ構成において、各ユーザのアクセス権をグループ単位のアクセス権に変更する推薦処理を例示している。

図２（ａ）に示す例では、Ａプロジェクトフォルダの権限として、ユーザ「開発太郎」および「開発次郎」には「書き込み・許可・非継承」が、ユーザ「開発部長」には、「フルコントロール・許可・継承」が、それぞれ設定されているとする。このとき、アクセス権整理補助装置１０は、Ａプロジェクトフォルダについて「書き込み・許可・非継承」のアクセス権が設定されたグループ（開発担当）および「フルコントロール・許可・継承」のアクセス権が設定されたグループ（開発管理職）へのアクセス権の変更を推薦する。

図２（ｂ）は、あるディレクトリサービスのグループに所属する所属メンバ構成の変更推薦処理を例示している。図２（ｂ）に示す例では、グループ「開発部」配下のグループ構成があまり管理されていない状況である。そこで、アクセス権整理補助装置１０は、開発部のグループ内を３つのグループへ変更する推薦処理、および、各グループの所属メンバの構成を変更する推薦処理を行う。

図３は、本実施形態のアクセス権整理補助装置１０の処理およびデータの流れを含む動作例を示す説明図である。図３において、実線の矢印は処理の流れを示し、破線の矢印はデータの流れを示す。

アクセス権整理補助装置１０は、ファイルサーバ２０、ディレクトリサービスサーバ３０およびクライアント端末４０と接続される。

ファイルサーバ２０は、フォルダ・ファイル構成２０１と、フォルダ・ファイルアクセス権２０２とを保持する。

ディレクトリサービスサーバ３０は、ユーザ・グループ構成３０１と、グループ所属メンバ情報３０２と、ユーザ・グループ属性情報３０３を保持する。

クライアント端末４０は、推薦されるアクセス権やグループ所属メンバ構成を表示する表示部４０１を含む。

ユーザ属性取得部１０２は、ディレクトリサービスサーバ３０が保持するユーザ・グループ構成３０１とグループ所属メンバ情報３０２から、ユーザとグループの情報（プロパティ情報）を取得する。ユーザ属性取得部１０２は、取得した各ユーザのプロパティ情報の中から、特定の属性の値を抽出し、まとめた情報をオブジェクト情報格納部１０１に記憶させる。

図４は、オブジェクト情報格納部１０１が記憶する情報の例を示す説明図である。図４に示す例では、オブジェクト情報格納部１０１が、各ユーザまたは各グループをそれぞれ１つのオブジェクトとして、そのオブジェクトの属性を表形式で記憶していることを示す。

例えば、図４に示す例では、オブジェクトＩＤ＝１で特定される「開発太郎」はユーザであり、属性値“役職”、“部署”および“説明”が、それぞれ、“担当”、“開発部”および“Ａ製品担当”であることを示す。

グループ所属ユーザ取得部１０４は、グループ所属メンバ情報３０２から、各グループの所属メンバ情報を取得する。ここで、所属メンバにグループが含まれる場合、グループ所属ユーザ取得部１０４は、さらにそのグループの所属メンバを取得する。本実施形態では、所属メンバにはユーザおよびグループが含まれる。グループ所属ユーザ取得部１０４は、所属するすべてのユーザを取得すると、まとめた情報をグループ所属ユーザ格納部１０３に記憶させる。

図５は、グループ所属ユーザ格納部１０３が記憶する情報の例を示す説明図である。図５に示す例では、グループ所属ユーザ格納部１０３が、各グループに所属するユーザ（所属メンバ）を表形式で記憶していることを示す。

例えば、図５に示す例では、グループのオブジェクトＩＤ＝３で特定されるグループには、ユーザのオブジェクトＩＤ＝１，２，６で特定されるユーザが所属しており、そのうち、ユーザのオブジェクトＩＤ＝１で特定されるユーザのみが直下に属するユーザであることを示す。

フォルダ毎アクセス権取得分類部１０６は、ファイルサーバ２０から、共有フォルダ内の各フォルダパスと、各フォルダパスに付与されているアクセス権の設定情報を取得する。また、フォルダ毎アクセス権取得分類部１０６は、オブジェクト情報格納部１０１の表から、フォルダパスで特定される各フォルダにアクセス権が付与されているユーザおよびグループの情報（具体的には、オブジェクトＩＤ、オブジェクト名、ユーザまたはグループ、などの情報）を取得する。

そして、フォルダ毎アクセス権取得分類部１０６は、アクセス権の分類タイプに当てはまる識別子（以下、分類タイプＩＤと記す。）を取得し、フォルダ毎にアクセス権を特定して、フォルダ毎アクセス権格納部１０７に格納する。アクセス権の分類タイプは、予め作成され、例えば、アクセス権分類タイプ格納部１０５に表形式で保持される。

図６は、アクセス権分類タイプの例を示す説明図である。図６に示す例では、分類タイプＩＤで識別されるアクセス権の分類タイプは、アクセスを許可するか拒否するかを示す種別（アクセス権種別）、アクセスが許可される内容（アクセス許可）、および継承の状態を示す内容（継承状態）で特定される。

また、図７は、フォルダ毎のアクセス権の例を示す説明図である。図７に示す例では、フォルダパスごとに、アクセス権が付与されているオブジェクトのオブジェクトＩＤ、アクセス権の分類タイプＩＤおよび（継承元が存在する場合には）継承元のフォルダ名が対応付けられていることを示す。

すなわち、フォルダ毎アクセス権取得分類部１０６は、各フォルダ内に存在するユーザまたはグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプ（アクセス権種別・アクセス許可・継承状態）を特定する。

グループ所属推薦度算出部１０８は、フォルダ毎アクセス権格納部１０７に格納された情報とオブジェクト情報格納部１０１に格納された情報から、各フォルダに付与されているアクセス権と、整理対象フォルダにアクセス権が設定されているユーザの属性値を取得する。

また、グループ所属推薦度算出部１０８は、整理対象フォルダに存在する同じ分類タイプＩＤのユーザの組み合わせ毎に、各属性値が一致する数（以下、属性値数と記す。）を算出する。さらに、グループ所属推薦度算出部１０８は、整理対象フォルダ以外で、同じ分類タイプＩＤのユーザの組み合わせが存在するフォルダ数を特定する。そして、グループ所属推薦度算出部１０８は、特定したフォルダ数と属性値数とから、グループ所属推薦度を算出する。

ここで、同じ分類タイプＩＤのユーザの組み合わせが存在する整理対象フォルダ以外のフォルダ数には、継承状態になっているユーザの組み合わせが存在するフォルダを含まない。継承されている場合、配下フォルダすべての継承されるアクセス権が付与されるため、継承されているユーザの組み合わせも数に含めてしまうと、継承されているユーザの組み合わせの傾向が意図せず強くなってしまうからである。

グループ所属推薦度算出部１０８は、算出したグループ所属推薦度をグループ所属推薦度格納部１０９に格納する。図８は、グループ所属推薦度の例を示す説明図である。図８に示す例では、グループ所属推薦度格納部１０９が、ユーザの組み合わせごとに算出されたグループ所属推薦度を表形式で格納していることを示す。

すなわち、グループ所属推薦度算出部１０８は、対象フォルダに存在する分類タイプを含むフォルダ数を対象フォルダ以外で特定し、対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、属性値が一致する属性値数が多いほど、かつ、フォルダ数が多いほど大きくなるようにグループ所属推薦度を算出する。

グループ所属メンバ分離・追加推薦部１１０は、グループ所属推薦度格納部１０９から、グループ所属推薦度を取得し、最もグループ所属推薦度が高いユーザの組み合わせを取得する。また、グループ所属メンバ分離・追加推薦部１１０は、グループ所属ユーザ格納部１０３から、各グループの所属メンバ（ユーザ）を取得し、オブジェクト情報格納部１０１から、各グループの所属メンバになるユーザの属性値を取得する。

そして、グループ所属メンバ分離・追加推薦部１１０は、取得したこれらの情報から、既存のグループの所属メンバ構成に変更が必要ないか、既存のグループの所属メンバにユーザを追加したら良いか、または、既存グループの所属メンバの一部を新規に作成したグループの所属メンバに移行する方が良いかを判定する。

グループ所属メンバ分離・追加推薦部１１０は、判定した結果として、推薦するグループの所属メンバの構成を、推薦グループ所属メンバ構成格納部１１２に格納する。なお、グループ所属メンバ分離・追加推薦部１１０が判定する方法は、後述される。

図９は、推薦グループおよび構成メンバの判定結果例を示す説明図である。図９に示す例では、変更を推薦するグループごとに所属メンバ（または含まれるグループ）を対応付けていることを示す。

アクセス権推薦部１１１は、推薦グループ所属メンバ構成格納部１１２から推薦するグループ所属メンバ構成を取得し、取得した情報をもとに、整理対象フォルダについて推薦するアクセス権の設定を作成する。アクセス権推薦部１１１は、作成した設定を推薦アクセス権格納部１１３に格納する。また、アクセス権推薦部１１１は、クライアント端末４０に、推薦するアクセス権の設定を送信する。

図１０は、推薦するアクセス権の設定例を示す説明図である。図１０に示す例では、整理対象のフォルダ（フォルダパス）ごとに、推薦するアクセス権を付与するオブジェクト名（グループ名）および、その権限の内容（アクセス権種別、アクセス許可および継承状態）を対応付けていることを示す。

アクセス権・所属メンバ構成反映部１１４は、後述するクライアント端末４０から変更を了承する旨の通知を受けると、ディレクトリサービスサーバ３０内のグループ所属メンバ情報３０２に対して、推薦するグループ所属メンバへの変更指示を行う。合わせて、アクセス権・所属メンバ構成反映部１１４は、ファイルサーバ２０内のフォルダ・ファイルアクセス権２０２に対して、推薦するアクセス権への変更指示を行う。

なお、クライアント端末４０の表示部４０１は、推薦するアクセス権の設定を受信する。具体的には、表示部４０１は、アクセス権推薦部１１１から推薦グループ所属メンバ構成格納部１１２および推薦アクセス権格納部１１３に格納された整理対象フォルダについて推薦するアクセス権およびディレクトリサービス内の各グループの所属メンバ構成を受信し、ユーザに表示する。表示部４０１は、表示した画面上でユーザが推薦されたアクセス権変更と所属メンバ構成変更を了承する旨の指示（例えば、了承ボタン押下）を検知すると、アクセス権整理補助装置１０に了承する旨を通知する。

ユーザ属性取得部１０２と、グループ所属ユーザ取得部１０４と、フォルダ毎アクセス権取得分類部１０６と、グループ所属推薦度算出部１０８と、グループ所属メンバ分離・追加推薦部１１０と、アクセス権推薦部１１１と、アクセス権・所属メンバ構成反映部１１４とは、プログラム（アクセス権整理補助プログラム）に従って動作するコンピュータのＣＰＵによって実現される。

例えば、プログラムは、アクセス権整理補助装置１０の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、ユーザ属性取得部１０２、グループ所属ユーザ取得部１０４、フォルダ毎アクセス権取得分類部１０６、グループ所属推薦度算出部１０８、グループ所属メンバ分離・追加推薦部１１０、アクセス権推薦部１１１およびアクセス権・所属メンバ構成反映部１１４として動作してもよい。

また、ユーザ属性取得部１０２と、グループ所属ユーザ取得部１０４と、フォルダ毎アクセス権取得分類部１０６と、グループ所属推薦度算出部１０８と、グループ所属メンバ分離・追加推薦部１１０と、アクセス権推薦部１１１と、アクセス権・所属メンバ構成反映部１１４とは、それぞれが専用のハードウェアで実現されていてもよい。

次に、本実施形態のアクセス権整理補助装置１０の動作を説明する。図１１は、グループ所属推薦度算出部１０８がグループ所属推薦度を算出する処理の例を示すフローチャートである。

まず、グループ所属推薦度算出部１０８は、フォルダ毎アクセス権格納部１０７から、整理対象フォルダにアクセス権が付与されているユーザのオブジェクト名および分類タイプＩＤを取得する（ステップＡ１）。

次に、グループ所属推薦度算出部１０８は、ステップＡ１で取得した同じ分類タイプＩＤで特定されるユーザの組み合わせが存在する整理対象フォルダ以外のフォルダパスを取得する（ステップＡ２）。また、グループ所属推薦度算出部１０８は、オブジェクト情報格納部１０１から、ステップＡ１で取得した同じ分類タイプＩＤのユーザの特定を表す属性値も取得する（ステップＡ３）。

グループ所属推薦度算出部１０８は、ステップＡ２で取得したフォルダパス数と、ステップＡ３で取得した属性値で一致する属性値数から、ステップＡ１で取得した同じ分類タイプＩＤのユーザの組み合わせのそれぞれについて、グループ所属推薦度を算出する（ステップＡ４）。

ここで、グループ所属推薦度算出部１０８は、同権限および同継承状態のユーザの組み合わせ（すなわち、同じ分類タイプのユーザの組み合わせ）が存在するフォルダが多く、また、同権限および同継承状態のユーザの組み合わせで、一致する属性値数が多いほど同じグループに所属させた方が良いと判断し、グループ所属推薦度が大きくなるようにする。

グループ所属推薦度算出部１０８は、例えば、以下の式１に示す計算式に基づいて、グループ所属推薦度Ａを算出してもよい。

Ａ＝ｘ_１・ｄ/ｅ＋ｘ_２・ｆ （式１）

式１において、ｄは、管理対象パス内で、同権限および同継承状態の権限が設定された同一のユーザの組み合わせが存在するフォルダ数であり、ｅは、管理対象パス内の全フォルダ数である。また、ｆは、同権限および同継承状態のユーザの組み合わせで一致する属性値数であり、ｘ_１およびｘ_２は、それぞれ重み値である。

図１２は、グループ所属メンバ分離・追加推薦部１１０が推薦するグループの所属メンバ構成を決定する処理の例を示すフローチャートである。

グループ所属メンバ分離・追加推薦部１１０は、グループ所属推薦度格納部１０９から、対象フォルダで最も推薦度の高い組み合わせのユーザ群（以下、”組み合わせユーザ”と呼ぶ）を取得する（ステップＢ１）。

グループ所属メンバ分離・追加推薦部１１０は、グループ所属ユーザ格納部１０３から、各グループの所属メンバ情報を取得する。このとき、グループの所属メンバにグループが含まれる場合、グループ所属メンバ分離・追加推薦部１１０は、そのグループの所属メンバも取得するなど、含まれるすべての所属メンバのユーザを取得する（ステップＢ２）。

次に、グループ所属メンバ分離・追加推薦部１１０は、ステップＢ２で取得した各グループの所属メンバに、ステップＢ１で取得した組み合わせユーザがすべて含まれるかを確認する（ステップＢ３）。組み合わせユーザがすべて含まれるグループが存在する場合（ステップＢ３におけるＹｅｓ）、グループ所属メンバ分離・追加推薦部１１０は、そのグループの所属メンバが、組み合わせユーザのみであるかを確認する（ステップＢ４）。

グループの所属メンバが組み合わせユーザのみの場合（ステップＢ４におけるＹｅｓ）、グループ所属メンバ分離・追加推薦部１１０は、グループの所属メンバ構成の変更は推薦しないと判断し（ステップＢ５）、この処理が終了する（ステップＢ６）。

一方、グループの所属メンバが組み合わせユーザのみではなかった場合、すなわち、所属メンバに組み合わせユーザ以外のユーザも存在する場合（ステップＢ４におけるＮｏ）、グループ所属メンバ分離・追加推薦部１１０は、グループの所属メンバの属性値からユーザ分離推薦度を算出する（ステップＢ１８）。

ユーザ分離推薦度は、上述するように、所属メンバの一部を新規グループへ分離させた方が良いかを表す推薦度である。グループ所属メンバ分離・追加推薦部１１０は、既存グループの所属メンバの中で、グループ所属推薦度の大きい組み合わせユーザとそれ以外のユーザとで一致する属性値が少ないほど、ユーザを分離した方が良い可能性が高いと判断し、ユーザ分離推薦度を大きくするよう計算にする。また、グループ所属メンバ分離・追加推薦部１１０は、グループ所属推薦度が大きい場合も、ユーザ同士の関連性が高いと判断し、ユーザ分離推薦度を大きくするように計算する。

グループ所属メンバ分離・追加推薦部１１０は、例えば、以下の式２に示す計算式に基づいて、ユーザ分離推薦度Ｂを算出してもよい。

Ｂ＝ｘ_３・Ａ＋ｘ_４・ｇ/ｈ （式２）

式２において、Ａは、上述するグループ所属推薦度であり、ｇは、グループの所属メンバに含まれるユーザ数である。また、ｈは、グループの所属メンバに含まれる各ユーザの属性で一致する属性値数であり、ｘ_３およびｘ_４は、それぞれ重み値である。

また、グループ所属メンバ分離・追加推薦部１１０は、所属メンバ内に存在する組み合わせユーザが、直下ユーザが配下ユーザかをグループ所属ユーザ格納部１０３より取得する。そして、グループ所属メンバ分離・追加推薦部１１０は、ユーザ分離推薦度が一定値以上、かつ、所属メンバ内に存在する組み合わせユーザがすべて直下ユーザであるかを確認する（ステップＢ１３）。

ユーザ分離推薦度が一定値以上、かつ、所属メンバ内に存在する組み合わせユーザがすべて直下ユーザである場合（ステップＢ１３におけるＹｅｓ）、グループ所属メンバ分離・追加推薦部１１０は、既存グループの所属メンバに含まれる組み合わせユーザを、新規作成したグループの所属メンバとして移動させることを推薦し（ステップＢ１４）、この処理が終了する（ステップＢ１５）。

一方、ユーザ分離推薦度が一定値未満、または、所属メンバ内に存在する組み合わせユーザがすべて直下ユーザでない場合（ステップＢ１３におけるＮｏ）、グループ所属メンバ分離・追加推薦部１１０は、既存グループの所属メンバの変更を推薦しない。そして、グループ所属メンバ分離・追加推薦部１１０は、新規作成したグループの所属メンバに組み合わせユーザを登録することを推薦し（ステップＢ１６）、この処理が終了する（ステップＢ１７）。

図１３は、ユーザを分離する処理の例を示す説明図である。図１３に例示するように、開発部グループ内に、ユーザとして、開発太郎、開発次郎、開発部長および開発副部長が含まれ、開発太郎および開発次郎の役職属性値が“担当”であり、開発部長および開発副部長の役職属性値が“管理職”であるとする。

ここで、グループ所属推薦度の高い組み合わせユーザが「開発太郎および開発次郎」であるとする。この場合、開発太郎および開発次郎の属性値と、開発部長および開発副部長の属性値とは異なる。そのため、グループ所属メンバ分離・追加推薦部１１０は、これらのユーザを分離した方がよい可能性が高いと判断する。

一方、ステップＢ３において、組み合わせユーザがすべて含まれるグループが存在しなかった場合（ステップＢ３におけるＮｏ）、グループ所属メンバ分離・追加推薦部１１０は、各グループの所属メンバに、組み合わせユーザが所定の割合以上含まれるグループが存在するかを確認する（ステップＢ７）。所定の割合は、例えば９割であるが、９割という割合には限定されない。

組み合わせユーザが所定の割合含まれるグループが存在する場合（ステップＢ７におけるＹｅｓ）、グループ所属メンバ分離・追加推薦部１１０は、ステップＢ７で存在するとされたグループの所属メンバの属性値と、組み合わせユーザの属性値とからユーザ追加推薦度を算出する。

ユーザ追加推薦度は、上述するように、既存グループの所属メンバにユーザを追加した方が良いかを表す推薦度である。グループ所属メンバ分離・追加推薦部１１０は、既存グループの所属メンバと、追加を検討するユーザとで一致する属性値が多いほど、ユーザを追加した方が良い可能性が高いと判断し、ユーザ追加推薦度を大きくするように算出する。また、グループ所属メンバ分離・追加推薦部１１０は、グループ所属推薦度が大きい場合も、ユーザ同士の関連性が高いと判断し、ユーザ追加推薦度を大きくするように算出する。

グループ所属メンバ分離・追加推薦部１１０は、例えば、以下の式３に示す計算式に基づいて、ユーザ追加推薦度Ｃを算出してもよい。

Ｃ＝ｘ_５・Ａ＋ｘ_６・ｊ/ｉ （式３）

式３において、Ａは、上述するグループ所属推薦度であり、ｉは、グループの所属メンバに含まれるユーザ数と追加を検討するユーザ数との合計である。また、ｊは、グループの所属メンバに含まれるユーザと追加を検討する各ユーザの属性で一致する属性値数であり、ｘ_５およびｘ_６は、それぞれ重み値である。

グループ所属メンバ分離・追加推薦部１１０は、ユーザ追加推薦度が一定値以上かを確認する（ステップＢ８）。推薦度が一定値以上だった場合（ステップＢ８におけるＹｅｓ）、グループ所属メンバ分離・追加推薦部１１０は、組み合わせユーザのうち、既存グループの所属メンバに含まれていないユーザを、既存グループの所属メンバへ追加することを推薦し（ステップＢ９）、この処理が終了する（ステップＢ１０）。

一方、ユーザ追加推薦度が一定値未満だった場合（ステップＢ８におけるＮｏ）、グループ所属メンバ分離・追加推薦部１１０は、既存グループの所属メンバの変更を推薦しない。そして、グループ所属メンバ分離・追加推薦部１１０は、新規作成したグループの所属メンバに組み合わせユーザを登録することを推薦し（ステップＢ１１）、この処理が終了する（ステップＢ１２）。

また、ステップＢ７において、組み合わせユーザが所定の割合含まれるグループが存在しない場合（ステップＢ７におけるＮｏ）にも、グループ所属メンバ分離・追加推薦部１１０は、ステップＢ１１と同様の処理を行う。すなわち、グループ所属メンバ分離・追加推薦部１１０は、既存グループの所属メンバの変更を推薦せず、新規作成したグループの所属メンバに組み合わせユーザを登録することを推薦する。

図１４は、ユーザを追加する処理の例を示す説明図である。図１４に例示するように、開発担当グループ内に、ユーザとして、開発太郎および開発次郎が含まれ、開発太郎および開発次郎の役職属性値が“担当”であるとする。

ここで、グループ所属推薦度の高い組み合わせユーザが「開発太郎、開発次郎および開発三郎」であるとする。この場合、開発太郎および開発次郎の属性値と、開発三郎の属性値とは一致する。そのため、グループ所属メンバ分離・追加推薦部１１０は、開発担当グループに追加を検討するユーザである開発三郎を追加した方がよい可能性が高いと判断する。

図１５は、アクセス権推薦部１１１が整理対象フォルダの適切なアクセス権を推薦する処理の例を示すフローチャートである。

図１２に例示する処理において、グループ所属メンバ分離・追加推薦部１１０がグループの所属メンバ構成の変更は推薦しないと決定したとする（すなわち、ステップＢ６で処理が終了したとする）（ステップＣ１におけるＹｅｓ）。このとき、アクセス権推薦部１１１は、組み合わせユーザのみが存在するグループのアクセス権の付与を推薦する。

この場合、アクセス権推薦部１１１は、アクセス権のアクセス権種別（許可または拒否）、アクセス許可（フルコントロールなど）、継承状態（継承する、継承しない）および継承元パスに、組み合わせユーザに現在付与されている状態を推薦する（ステップＣ５）。

具体的には、アクセス権推薦部１１１は、フォルダ毎アクセス権格納部１０７の表から組み合わせユーザの分類タイプＩＤを取得し、アクセス権分類タイプ格納部１０５の表から対応する分類タイプＩＤの行の情報を取得することで、現在付与されているアクセス権種別、アクセス許可および継承状態を取得する。なお、継承状態が”継承”の場合、アクセス権推薦部１１１は、フォルダ毎アクセス権格納部１０７の表から継承元パスを取得する。

一方、図１２に例示する処理において、グループ所属メンバ分離・追加推薦部１１０が新規作成したグループの所属メンバとして移動させることを推薦すると決定したとする（すなわち、ステップＢ１５で処理が終了したとする）（ステップＣ２におけるＹｅｓ）。このとき、アクセス権推薦部１１１は、ステップＢ１４で新規作成されたグループのアクセス権を推薦する。

この場合、アクセス権推薦部１１１は、アクセス権のアクセス権種別、アクセス許可、継承状態および継承元パスに、ステップＣ５の場合と同様、組み合わせユーザに現在付与されている状態を推薦する（ステップＣ６）。

また、図１２に例示する処理において、既存グループの所属メンバへの追加することを推薦すると決定したとする（すなわち、ステップＢ１０で処理が終了したとする）（ステップＣ３におけるＹｅｓ）。このとき、アクセス権推薦部１１１は、ステップＢ９で所属メンバを追加したグループのアクセス権の付与を推薦する。

この場合、アクセス権推薦部１１１は、アクセス権のアクセス権種別、アクセス許可、継承状態および継承元パスに、ステップＣ５の場合と同様、組み合わせユーザに現在付与されている状態を推薦する（ステップＣ７）。

また、図１２に例示する処理において、既存グループの所属メンバへの追加することを推薦すると決定したとする（すなわち、ステップＢ１２またはＢ１７で処理が終了したとする）（ステップＣ４におけるＹｅｓ）。このとき、アクセス権推薦部１１１は、新規に作成したグループのアクセス権の付与を推薦する。

この場合、アクセス権推薦部１１１は、アクセス権のアクセス権種別、アクセス許可、継承状態および継承元パスに、ステップＣ５の場合と同様、組み合わせユーザに現在付与されている状態を推薦する（ステップＣ８）。

以上のように、本実施形態では、フォルダ毎アクセス権取得分類部１０６が、各フォルダ内に存在するオブジェクト（ユーザまたはユーザグループ）に設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定する。グループ所属推薦度算出部１０８が、対象フォルダ以外で、その対象フォルダに存在する分類タイプを含むフォルダ数を特定し、対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得する。また、グループ所属推薦度算出部１０８が、分類タイプごとに、属性値が一致する数である属性値数が多いほど、かつ、フォルダ数が多いほどグループ所属推薦度を大きくするように算出する。

そして、グループ所属メンバ分離・追加推薦部１１０が、対象フォルダ内でグループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定する。特定されたユーザグループに含まれるユーザがユーザ群のみの場合、グループ所属メンバ分離・追加推薦部１１０は、ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定する。一方、特定されたユーザグループに含まれるユーザがユーザ群以外も含む場合、グループ所属メンバ分離・追加推薦部１１０は、そのユーザグループに含まれるメンバの属性値とユーザ群の属性値との一致度合いに基づいてユーザ分離推薦度を算出し、そのユーザ分離推薦度およびグループ所属推薦度が高いほど、ユーザ群をユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する。

そのような構成により、現在付与されている権限状態を大きく変更せずに、ユーザ単位のアクセス権限をグループ単位のアクセス権限に変更できるよう、グループの構成および各フォルダのアクセス権を推薦できる。

例えば、上述する特許文献には、ユーザ単位のアクセス権をグループ単位のアクセス権に変更する旨の内容は記載されていない。また、例えば、上述する特許文献には、同一フォルダに同アクセス権で付与されているユーザの組み合わせ情報、ユーザの属性情報、グループの所属メンバの特徴を利用して、管理しやすいアクセス権とグループの所属メンバ構成を推薦するといったことも記載されていない。

一方、本実施形態では、上述する構成により、現在のアクセス権限からアクセス権の範囲を大きく変更せず、現在のアクセス権と継承状態を維持したまま、グループ単位の適切なアクセス権の設定とディレクトリサービス内のグループの所属メンバ構成の推薦を実施することができる。

具体的には、本実施形態では、付与された適切なアクセス権の付け方をグループ単位で推薦できるため、管理者がアクセス権限の整理および棚卸を実施する工数を削減できる。また、本実施形態では、現在の継承状態、アクセス権限を維持しながら、ユーザ単位のアクセス権をグループ単位のアクセス権へ変更することを推薦できる。さらに、本実施形態では、現在のアクセス権の範囲を広げずに、最小限のアクセス権の付与を推薦できる。また、本実施形態では、現在のアクセス権の範囲を広げずに、グループ単位のアクセス権を付与できるようなディレクトリサービス内のグループの所属メンバ構成も推薦できる。

なお、本実施形態では、ファイルサーバ上の共有フォルダ内のアクセス権の整理について説明した。ただし、アクセス権の整理の対象は、ファイルサーバ上の共有ファイルに限定されず、ローカルのパーソナルコンピュータ内の各フォルダのアクセス権の整理にも本実施形態のアクセス権整理補助装置を利用可能である。

また、本実施形態では、ディレクトリサービス内のグループの所属メンバの整理について説明した。ただし、所属メンバの対象は、ディレクトリサービス内のグループの所属メンバに限定されず、ローカルのグループの所属メンバの整理にも本実施形態のアクセス権整理補助装置を利用可能である。

次に、本発明の概要を説明する。図１６は、本発明によるアクセス権整理補助装置の概要を示すブロック図である。本発明によるアクセス権整理補助装置８０（例えば、アクセス権整理補助装置１０）は、各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定する分類部８１（例えば、フォルダ毎アクセス権取得分類部１０６）と、対象フォルダ以外で、その対象フォルダに存在する分類タイプを含むフォルダ数を特定し、対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、分類タイプごとに、属性値が一致する数である属性値数が多いほど、かつ、フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出するグループ所属推薦度算出部８２（例えば、グループ所属推薦度算出部１０８）と、対象フォルダ内でグループ所属推薦度が最も高い分類タイプのユーザ群（例えば、組み合わせユーザ）が含まれるユーザグループを特定し、特定されたユーザグループに含まれるユーザがユーザ群のみの場合、ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、特定されたユーザグループに含まれるユーザがユーザ群以外も含む場合、そのユーザグループに含まれるメンバの属性値とユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、そのユーザ分離推薦度およびグループ所属推薦度が高いほど、ユーザ群をユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する第一判定部８３（例えば、グループ所属メンバ分離・追加推薦部１１０）とを備えている。

そのような構成により、現在付与されている権限状態を大きく変更せずに、ユーザ単位のアクセス権限をグループ単位のアクセス権限に変更できるよう、グループの構成および各フォルダのアクセス権を推薦できる。

また、第一判定部８３は、ユーザグループのメンバのうち、ユーザ群の属性値とそのユーザ群を除いたユーザの属性値との一致が少ないほど、ユーザ分離推薦度を高く算出してもよい。

また、グループ所属推薦度算出部８２は、対象フォルダ以外で、その対象フォルダに存在する分類タイプを含むフォルダ数のうち、継承状態にあるフォルダ数を除いてもよい。

また、本発明によるアクセス権整理補助装置８０は、ユーザ群の一部を含む既存ユーザグループを特定し、特定された既存ユーザグループに含まれるメンバの属性値に基づいて、既存ユーザグループのメンバにユーザを追加した方が良い度合いを示すユーザ追加推薦度を算出し、そのユーザ追加推薦度およびグループ所属推薦度が高いほど、既存ユーザグループに含まれていないユーザ群のユーザである追加検討ユーザを、その既存ユーザグループに追加することを推薦すると判定する第二判定部（例えば、グループ所属メンバ分離・追加推薦部１１０）を備えていてもよい。

また、第二判定部は、既存ユーザグループの所属メンバの属性値と、追加検討ユーザの属性値との一致が多いほど、ユーザ追加推薦度を高く算出してもよい。

また、本発明によるアクセス権整理補助装置８０は、判定結果（例えば、第一判定部８３または第二判定部の判定結果）に基づいてアクセス権を推薦するアクセス権推薦部（例えば、アクセス権推薦部１１１）を備えていてもよい。

１０ アクセス権整理補助装置
２０ ファイルサーバ
３０ ディレクトリサービスサーバ
４０ クライアント端末
１０１ オブジェクト情報格納部
１０２ ユーザ属性取得部
１０３ グループ所属ユーザ格納部
１０４ グループ所属ユーザ取得部
１０５ アクセス権分類タイプ格納部
１０６ フォルダ毎アクセス権取得分類部
１０７ フォルダ毎アクセス権格納部
１０８ グループ所属推薦度算出部
１０９ グループ所属推薦度格納部
１１０ グループ所属メンバ分離・追加推薦部
１１１ アクセス権推薦部
１１２ 推薦グループ所属メンバ構成格納部
１１３ 推薦アクセス権格納部
１１４ アクセス権・所属メンバ構成反映部
２０１ フォルダ・ファイル構成
２０２ フォルダ・ファイルアクセス権
３０１ ユーザ・グループ構成
３０２ グループ所属メンバ情報
３０３ ユーザ・グループ属性情報

Claims (10)

1. 各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定する分類部と、
   対象フォルダ以外で、当該対象フォルダに存在する分類タイプを含むフォルダ数を特定し、前記対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、前記分類タイプごとに、前記属性値が一致する数である属性値数が多いほど、かつ、前記フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出するグループ所属推薦度算出部と、
   前記対象フォルダ内で前記グループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定し、特定されたユーザグループに含まれるユーザが前記ユーザ群のみの場合、前記ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、特定されたユーザグループに含まれるユーザが前記ユーザ群以外も含む場合、当該ユーザグループに含まれるメンバの属性値と前記ユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、当該ユーザ分離推薦度および前記グループ所属推薦度が高いほど、前記ユーザ群を前記ユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する第一判定部とを備えた
   ことを特徴とするアクセス権整理補助装置。
2. 第一判定部は、ユーザグループのメンバのうち、ユーザ群の属性値と当該ユーザ群を除いたユーザの属性値との一致が少ないほど、ユーザ分離推薦度を高く算出する
   請求項１記載のアクセス権整理補助装置。
3. グループ所属推薦度算出部は、対象フォルダ以外で、当該対象フォルダに存在する分類タイプを含むフォルダ数のうち、継承状態にあるフォルダ数を除く
   請求項１または請求項２記載のアクセス権整理補助装置。
4. ユーザ群の一部を含む既存ユーザグループを特定し、特定された既存ユーザグループに含まれるメンバの属性値に基づいて、前記既存ユーザグループのメンバにユーザを追加した方が良い度合いを示すユーザ追加推薦度を算出し、当該ユーザ追加推薦度およびグループ所属推薦度が高いほど、前記既存ユーザグループに含まれていないユーザ群のユーザである追加検討ユーザを、当該既存ユーザグループに追加することを推薦すると判定する第二判定部を備えた
   請求項１から請求項３のうちのいずれか１項に記載のアクセス権整理補助装置。
5. 第二判定部は、既存ユーザグループの所属メンバの属性値と、追加検討ユーザの属性値との一致が多いほど、ユーザ追加推薦度を高く算出する
   請求項４記載のアクセス権整理補助装置。
6. 判定結果に基づいてアクセス権を推薦するアクセス権推薦部を備えた
   請求項１から請求項５のうちのいずれか１項に記載のアクセス権整理補助装置。
7. コンピュータが、各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定し、
   前記コンピュータが、対象フォルダ以外で、当該対象フォルダに存在する分類タイプを含むフォルダ数を特定し、
   前記コンピュータが、前記対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、
   前記コンピュータが、前記分類タイプごとに、前記属性値が一致する数である属性値数が多いほど、かつ、前記フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出し、
   前記コンピュータが、前記対象フォルダ内で前記グループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定し、
   前記コンピュータが、特定されたユーザグループに含まれるユーザが前記ユーザ群のみの場合、前記ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、
   前記コンピュータが、特定されたユーザグループに含まれるユーザが前記ユーザ群以外も含む場合、当該ユーザグループに含まれるメンバの属性値と前記ユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、当該ユーザ分離推薦度および前記グループ所属推薦度が高いほど、前記ユーザ群を前記ユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する
   ことを特徴とするアクセス権整理補助方法。
8. コンピュータが、ユーザグループのメンバのうち、ユーザ群の属性値と当該ユーザ群を除いたユーザの属性値との一致が少ないほど、ユーザ分離推薦度を高く算出する
   請求項７記載のアクセス権整理補助方法。
9. コンピュータに、
   各フォルダ内に存在するユーザまたはユーザグループを示すオブジェクトに設定されているアクセス権に基づいて、フォルダごとに各オブジェクトのアクセス権の分類タイプを特定する分類処理、
   対象フォルダ以外で、当該対象フォルダに存在する分類タイプを含むフォルダ数を特定し、前記対象フォルダの分類タイプごとにアクセス権が設定されているユーザの属性値を取得し、前記分類タイプごとに、前記属性値が一致する数である属性値数が多いほど、かつ、前記フォルダ数が多いほど、同じグループに所属させた方が良い可能性の高さを表す数値であるグループ所属推薦度を大きくするように算出するグループ所属推薦度算出処理、および、
   前記対象フォルダ内で前記グループ所属推薦度が最も高い分類タイプのユーザ群が含まれるユーザグループを特定し、特定されたユーザグループに含まれるユーザが前記ユーザ群のみの場合、前記ユーザグループに含まれるメンバの構成は変更しないことを推薦すると判定し、特定されたユーザグループに含まれるユーザが前記ユーザ群以外も含む場合、当該ユーザグループに含まれるメンバの属性値と前記ユーザ群の属性値との一致度合いに基づいて、メンバの一部を新規ユーザグループへ分離させた方が良い度合いを示すユーザ分離推薦度を算出し、当該ユーザ分離推薦度および前記グループ所属推薦度が高いほど、前記ユーザ群を前記ユーザグループから新規ユーザグループのメンバとして移動することを推薦すると判定する第一判定処理
   を実行させるためのアクセス権整理補助プログラム。
10. コンピュータに、
    第一判定処理で、ユーザグループのメンバのうち、ユーザ群の属性値と当該ユーザ群を除いたユーザの属性値との一致が少ないほど、ユーザ分離推薦度を高く算出させる
    請求項９記載のアクセス権整理補助プログラム。

Images