JP6990748B2

JP6990748B2 - Access control method

Info

Publication number: JP6990748B2
Application number: JP2020103435A
Authority: JP
Inventors: 淳橋本
Original assignee: Nomura Research Institute Ltd
Current assignee: Nomura Research Institute Ltd
Priority date: 2020-06-16
Filing date: 2020-06-16
Publication date: 2022-01-12
Anticipated expiration: 2031-08-24
Also published as: JP2020149728A

Description

本発明はデータ処理技術に関し、特に、情報処理装置に対するユーザのアクセスを管理する技術に関する。 The present invention relates to a data processing technique, and more particularly to a technique for managing user access to an information processing apparatus.

ネットワーク技術の発展に伴って、ネットワークを介したコンピュータシステムへのアクセスが広く行われている。そして、ユーザがコンピュータシステムにログインする際の認証手段としてはパスワード認証が広く用いられている。パスワード認証の安全性を高めるための対策として、一定期間が経過するとパスワードを強制的に変更させたり、所定回数連続してパスワード入力に失敗すると、それ以降のログインを拒否したりすることが行われている。 With the development of network technology, access to computer systems via networks has become widespread. Password authentication is widely used as an authentication means when a user logs in to a computer system. As a measure to enhance the security of password authentication, the password is forcibly changed after a certain period of time, and if the password input fails a predetermined number of times in a row, the subsequent login is refused. ing.

本出願人は、以下の特許文献１において、正規ユーザの使い勝手を低下させず、不正アクセスを容易に発見する技術を提案している。 In the following Patent Document 1, the applicant proposes a technique for easily detecting unauthorized access without deteriorating the usability of a legitimate user.

特開２００６－００４３３３号公報Japanese Unexamined Patent Publication No. 2006-004333

これまでのパスワード認証では、ユーザが作業を行うべき情報処理装置（以下、「作業対象装置」とも呼ぶ。）のパスワードをユーザへ開示する必要があった。そのため、作業対象装置にはセキュリティ上のリスクが発生することがあった。例えば、正規のユーザから悪意のある第三者へ作業対象装置のパスワードが漏洩する可能性もあった。 In conventional password authentication, it has been necessary to disclose to the user the password of the information processing device (hereinafter, also referred to as "work target device") on which the user should perform work. Therefore, there may be a security risk in the work target device. For example, there is a possibility that the password of the work target device is leaked from a legitimate user to a malicious third party.

本発明はこうした課題に鑑みてなされたものであり、その主な目的は、情報処理装置のセキュリティ上のリスクを低減するための技術を提供することにある。 The present invention has been made in view of these problems, and a main object thereof is to provide a technique for reducing a security risk of an information processing apparatus.

上記課題を解決するために、本発明のある態様のアクセス管理方法は、アクセス管理装置が、作業対象装置へログインするためのログインＩＤであり、かつ、ユーザにより申請されたログインＩＤを含む作業対象装置に対する作業の条件であって、ユーザの申請に基づいて管理者が許可した作業条件を第１の記憶領域に記憶させるステップと、ログイン先の作業対象装置を指定する情報を含むログイン要求をユーザから受け付けるログイン要求受付ステップと、第１の記憶領域に予め記憶された作業条件を充足するログイン要求を受け付けた場合に、第２の記憶領域に予め記憶されたログイン先の作業対象装置へログインするためのログインＩＤとパスワードであって、ログイン要求が充足した作業条件で指定されたログインＩＤに対応するログインＩＤとパスワードを使用してログイン先の作業対象装置へログインすることにより、ログイン先の作業対象装置に対するユーザの作業を可能にするログインステップと、を実行する。 In order to solve the above problem, the access management method of an aspect of the present invention is a work target including a login ID for the access control device to log in to the work target device and a login ID applied by the user. The user receives a login request including a step of storing the work conditions permitted by the administrator based on the user's application in the first storage area and information specifying the work target device of the login destination, which are the work conditions for the device. When the login request acceptance step received from is received and the login request satisfying the work conditions stored in advance in the first storage area is received, the login destination device stored in advance in the second storage area is logged in. By logging in to the login destination device using the login ID and password corresponding to the login ID specified in the work conditions for which the login request is satisfied, the login ID and password for the login destination work. Perform a login step, which allows the user to work on the target device.

本発明の別の態様は、アクセス管理装置である。この装置は、ユーザが作業を行うべき作業対象装置について、その作業対象装置へログインするためのログインＩＤとパスワードを対応づけて保持するアカウント保持部と、作業対象装置へログインするためのログインＩＤであり、かつ、ユーザにより申請されたログインＩＤを含む作業対象装置に対する作業の条件であって、ユーザの申請に基づいて管理者が許可した作業条件を保持する条件保持部と、ログイン先の作業対象装置を指定する情報を含むログイン要求をユーザから受け付けるログイン要求受付部と、条件保持部に保持された作業条件を充足するログイン要求が受け付けられた場合に、アカウント保持部に保持されたログインＩＤとパスワードであって、ログイン要求が充足した作業条件で指定されたログインＩＤに対応するログインＩＤとパスワードを使用してログイン先の作業対象装置へログインすることにより、ログイン先の作業対象装置に対するユーザの作業を可能にするログイン処理部と、を備える。 Another aspect of the present invention is an access control device. This device has an account holding unit that holds a login ID and a password for logging in to the work target device in association with each other for the work target device on which the user should perform work, and a login ID for logging in to the work target device. A condition holding unit that holds work conditions that are present and include work conditions that include the login ID applied by the user and that are permitted by the administrator based on the user's application, and the work target of the login destination. A login request receiving unit that accepts a login request including information that specifies a device from a user, and a login ID held in the account holding unit when a login request that satisfies the working conditions held in the condition holding unit is received. By logging in to the work target device at the login destination using the login ID and password that are passwords and correspond to the login ID specified in the work conditions for which the login request is satisfied, the user for the work target device at the login destination It is equipped with a login processing unit that enables work.

なお、以上の構成要素の任意の組合せ、本発明の表現を、システム、プログラム、プログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。 It should be noted that any combination of the above components and the conversion of the expression of the present invention between a system, a program, a recording medium in which the program is stored, and the like are also effective as aspects of the present invention.

本発明によれば、情報処理装置のセキュリティ上のリスクを低減することができる。 According to the present invention, it is possible to reduce the security risk of the information processing apparatus.

実施の形態の情報処理システムの構成を示す図である。It is a figure which shows the structure of the information processing system of embodiment. 図１のアクセス管理装置の機能構成を示すブロック図である。It is a block diagram which shows the functional structure of the access control apparatus of FIG. アクセス管理装置の動作を示すフローチャートである。It is a flowchart which shows the operation of an access control apparatus. アクセス管理装置の動作を示すフローチャートである。It is a flowchart which shows the operation of an access control apparatus.

図１は、実施の形態の情報処理システムの構成を示す。情報処理システム１００はある企業内のシステムであり、運用者端末１０と、管理者端末１２と、作業対象装置１４で総称される作業対象装置１４ａ、作業対象装置１４ｂ、作業対象装置１４ｃと、アクセス管理装置１６を含む。 FIG. 1 shows the configuration of the information processing system of the embodiment. The information processing system 100 is a system in a certain company, and has access to an operator terminal 10, an administrator terminal 12, a work target device 14a, a work target device 14b, and a work target device 14c collectively referred to as a work target device 14. The management device 16 is included.

運用者端末１０は、作業対象装置１４に対する作業を行うべき情報処理システム１００の運用者や開発者（以下、運用者で統一する）により操作されるＰＣである。管理者ＰＣ１２は、情報処理システム１００の管理者により操作されるＰＣである。 The operator terminal 10 is a PC operated by the operator or developer of the information processing system 100 (hereinafter, unified by the operator) who should perform the work on the work target device 14. The administrator PC 12 is a PC operated by the administrator of the information processing system 100.

作業対象装置１４は、情報処理システム１００の運用者による作業（例えば、ファイルの更新や各種設定値の調整等）の対象となるサーバである。例えば、ウェブサーバ・アプリケーションサーバ・データベースサーバ等であってもよい。また、作業対象装置１４のソフトウェア構成に制限はなく、作業対象装置１４ａ～作業対象装置１４ｃ間で異なる構成であってもよい。例えば、作業対象装置１４ａのＯＳはＵＮＩＸ（登録商標）、作業対象装置１４ｂのＯＳはＬｉｎｕｘ（登録商標）、作業対象装置１４ｃのＯＳはＷｉｎｄｏｗｓ（登録商標）であってもよい。また、運用者ＰＣ１０から作業対象装置１４へコマンドを通知するための通信プロトコルにも制限はなく、Ｔｅｌｎｅｔ・ＳＳＨ・ＦＴＰ・ＲＤＰ等であってもよい。 The work target device 14 is a server that is the target of work (for example, file update, adjustment of various setting values, etc.) by the operator of the information processing system 100. For example, it may be a web server, an application server, a database server, or the like. Further, the software configuration of the work target device 14 is not limited, and the configuration may be different between the work target device 14a and the work target device 14c. For example, the OS of the work target device 14a may be UNIX (registered trademark), the OS of the work target device 14b may be Linux (registered trademark), and the OS of the work target device 14c may be Windows (registered trademark). Further, the communication protocol for notifying the command from the operator PC 10 to the work target device 14 is not limited, and may be Telnet, SSH, FTP, RDP, or the like.

アクセス管理装置１６は、複数の作業対象装置１４（図１では作業対象装置１４ａ～作業対象装置１４ｃ）に対する運用者のログイン要求を、作業対象装置１４の種別にかかわらず一括して受け付け、運用者のログインが管理者により承認済か否かを判定する。承認済であれば、アクセス管理装置１６は、運用者に代わって作業対象装置１４へログインし、運用者ＰＣ１０から送信されたコマンドを作業対象装置１４へ中継する。すなわちアクセス管理装置１６は、運用者ＰＣ１０から作業対象装置１４へのアクセスを仲介することにより、作業対象装置１４のセキュリティ強度を高めつつ、作業対象装置１４に対する運用者の作業を可能にする。 The access control device 16 collectively accepts the login request of the operator for the plurality of work target devices 14 (work target device 14a to work target device 14c in FIG. 1) regardless of the type of the work target device 14, and the operator. Determine if the login has been approved by the administrator. If approved, the access control device 16 logs in to the work target device 14 on behalf of the operator, and relays the command transmitted from the operator PC 10 to the work target device 14. That is, the access management device 16 mediates the access from the operator PC 10 to the work target device 14, thereby increasing the security strength of the work target device 14 and enabling the operator to work on the work target device 14.

図２は、図１のアクセス管理装置１６の機能構成を示すブロック図である。アクセス管理装置１６は、内部アカウント保持部２０と、外部アカウント保持部２２と、アカウント更新部２４と、作業条件保持部２６と、申請情報受付部２８と、申請情報通知部３０と、承認情報受付部３２と、接続要求受付部３４と、認証処理部３６と、ログイン要求受付部３８と、判定部４０と、ログイン処理部４２と、コマンド受付部４４と、コマンド転送部４６を備える。 FIG. 2 is a block diagram showing a functional configuration of the access control device 16 of FIG. The access management device 16 includes an internal account holding unit 20, an external account holding unit 22, an account updating unit 24, a working condition holding unit 26, an application information receiving unit 28, an application information notification unit 30, and an approval information receiving unit. A unit 32, a connection request reception unit 34, an authentication processing unit 36, a login request reception unit 38, a determination unit 40, a login processing unit 42, a command reception unit 44, and a command transfer unit 46 are provided.

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。例えば、図２の各機能ブロックは、アクセス管理プログラムとして記録媒体に格納され、アクセス管理装置１６のストレージへインストールされてもよい。そして、アクセス管理プログラムの起動時に、各機能ブロックに対応するプログラムがメインメモリに読み出されてＣＰＵにより実行されてもよい。 Each block shown in the block diagram of the present specification can be realized by an element such as a computer CPU or a mechanical device in terms of hardware, and can be realized by a computer program or the like in terms of software. It depicts a functional block realized by their cooperation. Therefore, it is understood by those skilled in the art that these functional blocks can be realized in various forms by combining hardware and software. For example, each functional block of FIG. 2 may be stored in a recording medium as an access control program and installed in the storage of the access control device 16. Then, when the access control program is started, the program corresponding to each functional block may be read into the main memory and executed by the CPU.

内部アカウント保持部２０は、運用者ＰＣ１０からアクセス管理装置１６への接続を運用者に許可するためのアカウント（以下、「内部アカウント」とも呼ぶ。）として、予め定められた運用者のＩＤおよびパスワードを対応付けて保持する記憶領域である。 The internal account holding unit 20 has a predetermined operator ID and password as an account (hereinafter, also referred to as “internal account”) for permitting the operator to connect to the access control device 16 from the operator PC 10. It is a storage area that holds in association with.

外部アカウント保持部２２は、作業対象装置１４への接続を許可するためのアカウント（以下、「外部アカウント」とも呼ぶ。）として、作業対象装置１４において予め定められたアカウント（具体的にはログインＩＤとパスワードの組み合わせ）を保持する記憶領域である。例えば、作業対象装置１４ａ～作業対象装置１４ｃのそれぞれにおいて定められた外部アカウントを一括して保持する。また外部アカウント保持部２２は、作業対象装置１４の特権ユーザのアカウントも外部アカウントとして保持し、例えばｒｏｏｔのパスワードや、Ａｄｍｉｎｉｓｔｒａｔｏｒのパスワードを保持する。 The external account holding unit 22 is an account (specifically, a login ID) predetermined in the work target device 14 as an account for permitting connection to the work target device 14 (hereinafter, also referred to as an “external account”). A storage area that holds a combination of and password). For example, the external accounts defined in each of the work target device 14a to the work target device 14c are collectively held. Further, the external account holding unit 22 also holds the account of the privileged user of the work target device 14 as an external account, and holds, for example, a password for root and a password for Administrator.

アカウント更新部２４は、作業対象装置１４においてログインアカウントが変更された場合、その事実を検出して、変更後のアカウントを外部アカウント保持部２２へ格納する。例えば、作業対象装置１４は自装置においてログインアカウントを定期的に変更し、変更後のアカウントを示す情報をアクセス管理装置１６へ通知し、作業対象装置１４はその通知にもとづいて作業対象装置１４におけるアカウントの変更を検出してもよい。変形例として、アカウント更新部２４は、定期的に作業対象装置１４へアクセスしてログインアカウントを変更し、変更後のアカウントを外部アカウント保持部２２へ格納してもよい。 When the login account is changed in the work target device 14, the account update unit 24 detects the fact and stores the changed account in the external account holding unit 22. For example, the work target device 14 periodically changes the login account in its own device, notifies the access control device 16 of information indicating the changed account, and the work target device 14 in the work target device 14 based on the notification. Account changes may be detected. As a modification, the account update unit 24 may periodically access the work target device 14 to change the login account, and store the changed account in the external account holding unit 22.

作業条件保持部２６は、作業対象装置１４へのログインを運用者に許可するための条件（以下、「作業条件」とも呼ぶ。）を保持する記憶領域であり、例えば作業対象装置１４ａ～作業対象装置１４ｃのそれぞれに対する作業条件を一括して保持する。本実施の形態の作業条件には、運用者のＩＤ・作業対象装置１４に対する作業開始日時および作業終了日時・作業対象装置１４のホスト名・利用する通信プロトコル・作業対象装置１４へのログインに用いるログインＩＤ（例えばｒｏｏｔ等）が含まれる。 The work condition holding unit 26 is a storage area for holding a condition for permitting the operator to log in to the work target device 14 (hereinafter, also referred to as “work condition”), and is, for example, the work target device 14a to the work target. The working conditions for each of the devices 14c are collectively held. The work conditions of this embodiment include the operator's ID, the work start date and time and work end date and time for the work target device 14, the host name of the work target device 14, the communication protocol to be used, and the login to the work target device 14. A login ID (eg, root, etc.) is included.

申請情報受付部２８は、運用者ＰＣ１０から、作業対象装置１４へのログインを管理者へ申請するための情報（以下、「申請情報」とも呼ぶ。）を受け付ける。この申請情報には既述の作業条件と同様の内容が含まれる。すなわち、運用者のＩＤ・作業開始日時および作業終了日時・作業対象装置１４のホスト名・利用する通信プロトコル・作業対象装置１４へのログインに用いるログインＩＤが含まれる。 The application information receiving unit 28 receives information (hereinafter, also referred to as “application information”) for applying to the administrator for login to the work target device 14 from the operator PC 10. This application information includes the same contents as the above-mentioned working conditions. That is, the operator's ID, the work start date and time, the work end date and time, the host name of the work target device 14, the communication protocol to be used, and the login ID used for logging in to the work target device 14 are included.

申請情報通知部３０は、運用者ＰＣ１０から受け付けた申請情報を管理者ＰＣ１２へ送信して、運用者の申請内容を承認するか、もしくは拒否するかを管理者に決定させる。承認情報受付部３２は、管理者ＰＣ１２から、管理者が申請内容を承認したか否かを示す情報を受け付ける。管理者が申請内容を承認した場合、承認情報受付部３２は、運用者の申請内容を作業条件として作業条件保持部２６へ格納する。 The application information notification unit 30 sends the application information received from the operator PC 10 to the administrator PC 12 and causes the administrator to decide whether to approve or reject the application contents of the operator. The approval information receiving unit 32 receives information from the administrator PC 12 indicating whether or not the administrator has approved the application contents. When the administrator approves the application content, the approval information receiving unit 32 stores the application content of the operator in the working condition holding unit 26 as a working condition.

接続要求受付部３４は、アクセス管理装置１６への接続要求を運用者ＰＣ１０から受け付ける。この接続要求では、アクセス管理装置１６において定められた運用者のアカウント（すなわち内部アカウント）が指定される。なお、運用者ＰＣ１０～アクセス管理装置１６間の通信プロトコルは、運用者により適宜選択されてよく、例えばＴｅｌｎｅｔ・ＳＳＨ・ＦＴＰ・ＲＤＰ等であってもよい。 The connection request receiving unit 34 receives a connection request to the access management device 16 from the operator PC 10. In this connection request, an operator account (that is, an internal account) defined in the access control device 16 is specified. The communication protocol between the operator PC 10 and the access management device 16 may be appropriately selected by the operator, and may be, for example, Telnet, SSH, FTP, RDP, or the like.

認証処理部３６は運用者を認証する。具体的には、接続要求で指定された運用者のアカウントが、内部アカウント保持部２０に保持された運用者のアカウントと一致するか否かを判定する。一致した場合、運用者の認証に成功した旨を接続要求受付部３４へ通知する。接続要求受付部３４は、運用者の認証が成功した場合、運用者ＰＣ１０との通信セッションを確立させて、認証成功の旨を運用者ＰＣ１０へ通知する。運用者ＰＣ１０は、認証成功の旨が通知されると、ログイン先とする作業対象装置１４（言い換えれば運用者が作業を実施する作業対象装置１４）の指定画面をディスプレイに表示させる。変形例として、接続要求受付部３４は、運用者の認証に成功した場合、ログイン先の指定画面のデータを運用者ＰＣ１０へ送信して運用者ＰＣ１０にて表示させてもよい。 The authentication processing unit 36 authenticates the operator. Specifically, it is determined whether or not the account of the operator specified in the connection request matches the account of the operator held in the internal account holding unit 20. If they match, the connection request receiving unit 34 is notified that the authentication of the operator has been successful. When the authentication of the operator is successful, the connection request receiving unit 34 establishes a communication session with the operator PC 10 and notifies the operator PC 10 of the success of the authentication. When the operator PC 10 is notified that the authentication is successful, the operator PC 10 displays a designated screen of the work target device 14 (in other words, the work target device 14 in which the operator performs the work) as the login destination on the display. As a modification, when the connection request receiving unit 34 succeeds in authenticating the operator, the connection request reception unit 34 may transmit the data of the login destination designation screen to the operator PC 10 and display it on the operator PC 10.

ログイン要求受付部３８は、接続要求受付部３４が確立した運用者ＰＣ１０～アクセス管理装置１６間の通信セッションを介して、運用者ＰＣ１０から、特定の作業対象装置１４へのログインを要求する情報（以下、「ログイン要求」とも呼ぶ。）を受け付ける。このログイン要求には、運用者ＰＣ１０で表示されたログイン先の指定画面において運用者が指定したログイン先とする作業対象装置１４（以下、「指定装置」とも呼ぶ。）を示す情報が含まれる。その一方、指定装置のアカウント（例えばパスワード）はログイン要求に含まれない。 The login request receiving unit 38 requests information from the operator PC 10 to log in to a specific work target device 14 via a communication session between the operator PC 10 and the access management device 16 established by the connection request receiving unit 34 (information ( Hereinafter, it is also referred to as a "login request"). This login request includes information indicating the work target device 14 (hereinafter, also referred to as “designated device”) as the login destination designated by the operator on the login destination designation screen displayed on the operator PC 10. On the other hand, the account of the designated device (for example, password) is not included in the login request.

判定部４０は、ログイン要求が作業条件保持部２６に格納された作業条件を充足するか否かを判定する。具体的には、ログイン要求の送信元である運用者のＩＤが作業条件の運用者のＩＤと一致し、かつ、ログイン要求の受付日時が作業条件の作業開始時刻から作業終了日時の範囲にあり、かつ、ログイン要求での指定装置が作業条件の接続先装置と一致する場合、ログイン要求が作業条件を充足すると判定する。 The determination unit 40 determines whether or not the login request satisfies the work conditions stored in the work condition holding unit 26. Specifically, the ID of the operator who is the sender of the login request matches the ID of the operator of the work condition, and the reception date and time of the login request is in the range from the work start time of the work condition to the work end date and time. If the device specified in the login request matches the device to which the work condition is connected, it is determined that the login request satisfies the work condition.

ログイン処理部４２は、ログイン要求が作業条件を充足すると判定された場合、指定装置のアカウントがログイン要求に含まれていなくても、外部アカウント保持部２２に保持された指定装置のアカウントを用いて指定装置へログインし、アクセス管理装置１６と指定装置間の通信セッションを確立させる。具体的には、指定装置において予め定められたアカウントであり、作業条件で指定されたログインＩＤに対応するアカウント（ログインＩＤとパスワードであり、例えばｒｏｏｔとｒｏｏｔのパスワード）を外部アカウント保持部２２から取得する。そして、作業条件で指定された通信プロトコルを使用して、外部アカウント保持部２２から取得したアカウントを指定したログイン要求を指定装置へ送信する。 When it is determined that the login request satisfies the working conditions, the login processing unit 42 uses the account of the designated device held in the external account holding unit 22 even if the account of the designated device is not included in the login request. Log in to the designated device and establish a communication session between the access control device 16 and the designated device. Specifically, an account (login ID and password, for example, root and root password) that is a predetermined account in the designated device and corresponds to the login ID specified in the working conditions is obtained from the external account holding unit 22. get. Then, using the communication protocol specified in the working conditions, a login request specifying the account acquired from the external account holding unit 22 is transmitted to the designated device.

コマンド受付部４４は、接続要求受付部３４が確立した運用者ＰＣ１０～アクセス管理装置１６間の通信セッションを介して、運用者ＰＣ１０から、指定装置に対するコマンドを受け付ける。コマンド転送部４６は、コマンド受付部４４において受け付けられたコマンドを、ログイン処理部４２が確立したアクセス管理装置１６～指定装置間の通信セッションを介して指定装置へ転送する。 The command receiving unit 44 receives a command for the designated device from the operator PC 10 via a communication session between the operator PC 10 and the access management device 16 established by the connection request receiving unit 34. The command transfer unit 46 transfers the command received by the command reception unit 44 to the designated device via the communication session between the access control device 16 and the designated device established by the login processing unit 42.

以上の構成による動作を以下説明する。
図３は、アクセス管理装置１６の動作を示すフローチャートである。運用者ＰＣ１０から送信された申請情報を申請情報受付部２８が受け付けると（Ｓ１０のＹ）、申請情報通知部３０はその申請情報を管理者ＰＣ１２へ送信する（Ｓ１２）。承認情報受付部３２は、申請内容を承認した旨の情報を管理者ＰＣ１２から受け付けると（Ｓ１４のＹ）、申請内容を作業条件として作業条件保持部２６へ格納する（Ｓ１６）。申請内容を承認した旨の情報を受け付けなければ（Ｓ１４のＮ）、Ｓ１６はスキップされる。運用者ＰＣ１０からの申請情報を受け付けなければ（Ｓ１０のＮ）、Ｓ１２～Ｓ１６はスキップされる。アカウント更新部２４は、作業対象装置１４においてアカウントが変更されたことを検出すると（Ｓ１８のＹ）、変更後のアカウントを作業対象装置１４から取得して外部アカウント保持部２２へ格納する（Ｓ２０）。作業対象装置１４におけるアカウント変更が未検出であれば（Ｓ１８のＮ）、Ｓ２０はスキップされる。 The operation with the above configuration will be described below.
FIG. 3 is a flowchart showing the operation of the access control device 16. When the application information receiving unit 28 receives the application information transmitted from the operator PC 10 (Y in S10), the application information notification unit 30 transmits the application information to the administrator PC 12 (S12). When the approval information receiving unit 32 receives the information indicating that the application content has been approved from the administrator PC 12 (Y in S14), the approval information receiving unit 32 stores the application content in the working condition holding unit 26 as a working condition (S16). If the information to the effect that the application content is approved is not received (N in S14), S16 is skipped. If the application information from the operator PC 10 is not accepted (N of S10), S12 to S16 are skipped. When the account update unit 24 detects that the account has been changed in the work target device 14 (Y in S18), the account update unit 24 acquires the changed account from the work target device 14 and stores it in the external account holding unit 22 (S20). .. If the account change in the work target device 14 is not detected (N in S18), S20 is skipped.

図４もアクセス管理装置１６の動作を示すフローチャートである。同図は図３の動作の続きを示している。運用者ＰＣ１０から送信された接続要求を接続要求受付部３４が受け付けると（Ｓ３０のＹ）、認証処理部３６はその接続要求にもとづいて運用者を認証する。運用者の認証に成功した場合（Ｓ３２のＹ）、接続要求受付部３４はその旨を運用者ＰＣ１０へ通知してログイン先の指定画面を運用者ＰＣ１０に表示させる（Ｓ３４）。運用者の認証に失敗した場合（Ｓ３２のＮ）、Ｓ３４をスキップし、運用者ＰＣ１０からの接続要求を受け付けない場合（Ｓ３０のＮ）、Ｓ３２およびＳ３４をスキップする。 FIG. 4 is also a flowchart showing the operation of the access control device 16. The figure shows the continuation of the operation of FIG. When the connection request receiving unit 34 receives the connection request transmitted from the operator PC 10 (Y in S30), the authentication processing unit 36 authenticates the operator based on the connection request. When the operator authentication is successful (Y in S32), the connection request receiving unit 34 notifies the operator PC 10 to that effect and displays the login destination designation screen on the operator PC 10 (S34). If the operator authentication fails (N in S32), S34 is skipped, and if the connection request from the operator PC 10 is not accepted (N in S30), S32 and S34 are skipped.

運用者ＰＣ１０から送信されたログイン要求をログイン要求受付部３８が受け付けると（Ｓ３６のＹ）、判定部４０はそのログイン要求が作業条件を充足するか否かを判定する。ログイン要求が作業条件を充足する場合（Ｓ３８のＹ）、ログイン処理部４２は外部アカウント保持部２２からログイン要求における指定装置のアカウントを取得し（Ｓ４０）、そのアカウントを用いて指定装置へログインする（Ｓ４２）。 When the login request receiving unit 38 receives the login request transmitted from the operator PC 10 (Y in S36), the determination unit 40 determines whether or not the login request satisfies the work condition. When the login request satisfies the work condition (Y in S38), the login processing unit 42 acquires an account of the designated device in the login request from the external account holding unit 22 (S40), and logs in to the designated device using that account. (S42).

コマンド受付部４４は、運用者ＰＣ１０からコマンドを受け付けるまで待機する（Ｓ４４のＮ）。運用者ＰＣ１０から送信されたコマンドをコマンド受付部４４が受け付けると（Ｓ４４のＹ）、コマンド転送部４６はそのコマンドを作業対象装置１４へ送信する（Ｓ４６）。運用者ＰＣ１０から受け付けたコマンドが終了コマンド（例えば「ｅｘｉｔ」コマンド）であれば（Ｓ４８のＹ）、コマンド受付部４４は運用者ＰＣ１０との通信セッションを切断して本図のフローを終了する。運用者ＰＣ１０から受け付けたコマンドが終了コマンドでなければ（Ｓ４８のＮ）、Ｓ４４のコマンド待ちの状態へ戻る。ログイン要求が作業条件を充足しない場合（Ｓ３８のＮ）、もしくは、ログイン要求を受け付けない場合（Ｓ３６のＮ）、以降の処理をスキップして本図のフローを終了する。 The command receiving unit 44 waits until a command is received from the operator PC 10 (N in S44). When the command receiving unit 44 receives the command transmitted from the operator PC 10 (Y in S44), the command transfer unit 46 transmits the command to the work target device 14 (S46). If the command received from the operator PC 10 is an end command (for example, an "exit" command) (Y in S48), the command reception unit 44 disconnects the communication session with the operator PC 10 and ends the flow in this figure. If the command received from the operator PC 10 is not an end command (N in S48), the process returns to the command waiting state in S44. If the login request does not satisfy the work conditions (N in S38), or if the login request is not accepted (N in S36), the subsequent processing is skipped and the flow in this figure ends.

本実施の形態の情報処理システム１００によれば、作業対象装置１４へのログインを運用者や開発者に代わってアクセス管理装置１６が行う。したがって、作業対象装置１４のアカウント（特にパスワード）を運用者や開発者から秘匿でき、作業対象装置１４のセキュリティ上のリスクを低減することができる。例えば、運用者や開発者から悪意のある第三者へアカウントが漏洩してしまうことや、管理者が承認した範囲を超えて運用者や開発者が作業対象装置１４へアクセスすることを防止できる。情報処理システム１００によれば、作業対象装置１４のアクセスログにより不正アクセスがあったか否かを事後的に発見できるだけでなく、そもそも不正アクセスの発生を予防できる。 According to the information processing system 100 of the present embodiment, the access management device 16 logs in to the work target device 14 on behalf of the operator or the developer. Therefore, the account (particularly the password) of the work target device 14 can be kept secret from the operator and the developer, and the security risk of the work target device 14 can be reduced. For example, it is possible to prevent the account from being leaked from the operator or developer to a malicious third party, or to prevent the operator or developer from accessing the work target device 14 beyond the range approved by the administrator. .. According to the information processing system 100, it is possible not only to detect after the fact whether or not there was an unauthorized access from the access log of the work target device 14, but also to prevent the occurrence of the unauthorized access in the first place.

また作業対象装置１４へのログインアカウントは定期的に変更されて、アクセス管理装置１６の外部アカウント保持部２２に格納される。これにより、作業対象装置１４のセキュリティ上のリスクを一層低減できる。それに加えて、作業対象装置１４におけるログインアカウント変更の影響はアクセス管理装置１６が吸収し、運用者および開発者はその影響を受けないため、運用者および開発者の利便性を高めることができる。 Further, the login account for the work target device 14 is periodically changed and stored in the external account holding unit 22 of the access control device 16. As a result, the security risk of the work target device 14 can be further reduced. In addition, the access control device 16 absorbs the influence of the login account change on the work target device 14, and the operator and the developer are not affected by the influence, so that the convenience of the operator and the developer can be enhanced.

また作業対象装置１４へのアクセス制御をアクセス管理装置１６が一括して行うため、作業対象装置１４は複数の運用者や開発者それぞれに対する個別のアカウントを予め定める必要がない。また、それら個別のアカウントに対して各種のアクセス権を設定する必要もない。したがって、作業対象装置１４には手を加えることなく、作業対象装置１４のセキュリティ上のリスクを低減することができる。 Further, since the access control device 16 collectively controls access to the work target device 14, the work target device 14 does not need to predetermine individual accounts for each of a plurality of operators and developers. Also, it is not necessary to set various access rights for those individual accounts. Therefore, the security risk of the work target device 14 can be reduced without modifying the work target device 14.

以上、本発明を実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。以下変形例を示す。 The present invention has been described above based on the embodiments. It is understood by those skilled in the art that this embodiment is an example, and that various modifications are possible for each of these components and combinations of each processing process, and that such modifications are also within the scope of the present invention. be. A modified example is shown below.

第１の変形例を説明する。上記実施の形態では言及していないが、コマンド受付部４４は、現在日時が作業条件で規定された作業終了日時を途過したか否かを監視し、途過した場合には運用者ＰＣ１０とアクセス管理装置１６との通信セッションを切断してもよい。同様にコマンド転送部４６は、現在日時が作業条件の作業終了日時を途過したか否かを監視し、途過した場合にはアクセス管理装置１６と作業対象装置１４との通信セッションを切断してもよい。この態様によると、作業終了日時を途過した後は、運用者からのコマンドは作業対象装置１４へ転送されなくなるため、管理者により承認された範囲内で運用者による作業を許容することができる。 The first modification will be described. Although not mentioned in the above embodiment, the command reception unit 44 monitors whether or not the current date and time has passed the work end date and time specified in the work conditions, and if so, the operator PC 10 and the command reception unit 44. The communication session with the access control device 16 may be disconnected. Similarly, the command transfer unit 46 monitors whether or not the current date and time has passed the work end date and time of the work condition, and if so, disconnects the communication session between the access control device 16 and the work target device 14. You may. According to this aspect, after the work end date and time has passed, the command from the operator is not transferred to the work target device 14, so that the work by the operator can be allowed within the range approved by the administrator. ..

別の変形例として、コマンド受付部４４は、現在日時が作業条件の作業終了日時を途過した場合でも、運用者ＰＣ１０とアクセス管理装置１６との通信セッションを維持してもよい。同様にコマンド転送部４６は、現在日時が作業条件の作業終了日時を途過した場合でも、アクセス管理装置１６と作業対象装置１４との通信セッションを維持してもよい。さらにまた、現在日時が作業条件の作業終了日時を途過した場合に通信セッションを切断するか、もしくは維持するかを運用者が選択可能としてもよく、運用者による選択結果が申請情報（すなわち作業条件）に含まれてもよい。この場合、コマンド受付部４４およびコマンド転送部４６は、現在日時が作業条件の作業終了日時を途過した場合に通信セッションを切断するかもしくは維持するかを、作業条件にしたがって決定してもよい。 As another modification, the command receiving unit 44 may maintain a communication session between the operator PC 10 and the access control device 16 even when the current date and time exceeds the work end date and time of the work condition. Similarly, the command transfer unit 46 may maintain a communication session between the access management device 16 and the work target device 14 even when the current date and time exceeds the work end date and time of the work condition. Furthermore, the operator may be able to select whether to disconnect or maintain the communication session when the current date and time exceeds the work end date and time of the work condition, and the selection result by the operator is the application information (that is, the work). Conditions) may be included. In this case, the command reception unit 44 and the command transfer unit 46 may determine whether to disconnect or maintain the communication session when the current date and time exceeds the work end date and time of the work condition according to the work condition. ..

第２の変形例を説明する。アクセス管理装置１６は、ログ保持部とログ出力部とログ検索部をさらに備えてもよい。ログ保持部は、運用者の内部アカウント、ログイン先の作業対象装置１４のホスト名、作業対象装置１４へのログインアカウント（外部アカウント）、作業対象装置１４へ発行したコマンド、コマンド発行日時を対応づけたログを保持する。ログ出力部は、ログイン要求に応じて作業対象装置１４へのログインがなされた場合、運用者の内部アカウント、ログイン先の作業対象装置１４のホスト名、作業対象装置１４へのログインアカウントをログイン情報として保持しておく。そして、コマンド受付部４４において運用者ＰＣ１０からコマンドが受け付けられた際、そのコマンド、ログイン情報、現在日時（すなわちコマンド発行日時）を対応づけてログ保持部へ格納する。 The second modification will be described. The access management device 16 may further include a log holding unit, a log output unit, and a log search unit. The log holding unit associates the operator's internal account, the host name of the work target device 14 at the login destination, the login account (external account) for the work target device 14, the command issued to the work target device 14, and the command issuance date and time. Keep the log. When the log output unit logs in to the work target device 14 in response to the login request, the login information includes the operator's internal account, the host name of the work target device 14 to be logged in, and the login account to the work target device 14. Keep as. Then, when a command is received from the operator PC 10 in the command receiving unit 44, the command, login information, and the current date and time (that is, the command issuing date and time) are associated and stored in the log holding unit.

ログ検索部は、検索キーワードが指定された検索要求を管理者ＰＣ１２から受け付ける。そして、検索キーワードにもとづいてログ保持部に格納されたログを検索し、検索にヒットしたログの情報を管理者ＰＣ１２へ送信する。第２の変形例によれば、複数の作業対象装置１４に亘るアクセスログをアクセス管理装置１６が一括して管理するため、複数の作業対象装置１４に亘るアクセスログを管理者が容易に取得することができる。例えば、特定の運用者のＩＤ（特定の内部アカウント）を検索キーワードとしてアクセス管理装置１６に対して検索要求を行うことで、各作業対象装置１４に問い合わせることなく、特定の運用者が複数の作業対象装置１４に対してアクセスした履歴を効率的に取得できる。 The log search unit receives a search request for which a search keyword is specified from the administrator PC 12. Then, the log stored in the log holding unit is searched based on the search keyword, and the information of the log that hits the search is transmitted to the administrator PC 12. According to the second modification, since the access management device 16 collectively manages the access logs over the plurality of work target devices 14, the administrator can easily acquire the access logs over the plurality of work target devices 14. be able to. For example, by making a search request to the access control device 16 using the ID (specific internal account) of a specific operator as a search keyword, a specific operator can perform a plurality of tasks without inquiring to each work target device 14. The history of access to the target device 14 can be efficiently acquired.

第３の変形例を説明する。アクセス管理装置１６は、禁止コマンド保持部とコマンド判定部をさらに備えてもよい。禁止コマンド保持部は、作業対象装置１４への発行を禁止すべきコマンドとして予め定められた禁止コマンドを示す情報を保持する。禁止コマンドには、例えば、ユーザのパスワードを変更するコマンド（ｐａｓｓｗｄコマンド等）や、ユーザのアカウントを切り替えるコマンド（ｓｕコマンド等）が含まれてもよい。コマンド判定部は、運用者ＰＣ１０から受け付けられたコマンドが禁止コマンド保持部に保持された禁止コマンドに一致するか否かを判定する。不一致の場合、コマンド判定部は運用者ＰＣ１０から受け付けられたコマンドをコマンド転送部４６へ渡す。一致した場合、コマンド判定部は運用者ＰＣ１０から受け付けられたコマンドをコマンド転送部４６に渡すことを抑止して破棄する。この場合、コマンド判定部は禁止コマンドであるため作業対象装置１４への転送を拒否した旨を運用者ＰＣ１０へ通知してもよい。 A third modification will be described. The access control device 16 may further include a prohibited command holding unit and a command determining unit. The prohibited command holding unit holds information indicating a prohibited command predetermined as a command for which issuance to the work target device 14 should be prohibited. The prohibited command may include, for example, a command for changing the user's password (passwd command or the like) or a command for switching the user's account (su command or the like). The command determination unit determines whether or not the command received from the operator PC 10 matches the prohibited command held in the prohibited command holding unit. If there is a discrepancy, the command determination unit passes the command received from the operator PC 10 to the command transfer unit 46. If they match, the command determination unit suppresses the passing of the command received from the operator PC 10 to the command transfer unit 46 and discards it. In this case, since the command determination unit is a prohibited command, the operator PC 10 may be notified that the transfer to the work target device 14 is refused.

なお第２の変形例および第３の変形例において、運用者ＰＣ１０～アクセス管理装置１６間およびアクセス管理装置１６～作業対象装置１４間が暗号化通信である場合（例えばＳＳＨ通信である場合）について付言する。この場合、アクセス管理装置１６は、運用者ＰＣ１０から受け付けた暗号化コマンドを一旦復号し、復号後の平文のコマンドを再度暗号化して作業対象装置１４へ送信する。したがって、第２の変形例のログ出力部は、平文のコマンドを示すログをログ保持部へ格納し、第３の変形例のコマンド判定部は平文のコマンドと禁止コマンドとを比較する。このように通信経路上は暗号化通信によりセキュリティ強度を維持しつつ、コマンドの保存や禁止コマンドとの比較は平文のコマンドを用いて実現できる。 In the second modification and the third modification, when the operator PC 10 to the access management device 16 and the access management device 16 to the work target device 14 are encrypted communication (for example, SSH communication). I will add. In this case, the access control device 16 once decrypts the encryption command received from the operator PC 10, re-encrypts the decrypted plaintext command, and sends it to the work target device 14. Therefore, the log output unit of the second modification stores the log indicating the plaintext command in the log holding unit, and the command determination unit of the third modification compares the plaintext command with the prohibited command. In this way, while maintaining security strength by encrypted communication on the communication path, it is possible to save commands and compare them with prohibited commands by using plaintext commands.

第４の変形例を説明する。上記実施の形態ではアクセス管理装置１６が外部アカウント保持部２２およびアカウント更新部２４を備えることとした。変形例として、アクセス管理装置１６とは別の情報処理装置（ここでは「アカウント管理装置」とも呼ぶ。）が、アクセス管理装置１６に代わって外部アカウント保持部２２およびアカウント更新部２４を備え、さらに外部アカウント提供部を備えてもよい。この場合、アクセス管理装置１６のログイン処理部４２は、ログイン先の作業対象装置１４のホスト名と、ログインで使用する作業対象装置１４のログインＩＤとを指定したパスワード要求をアカウント管理装置へ送信する。アカウント管理装置の外部アカウント提供部は、パスワード要求で指定されたログインＩＤに対応づけられたパスワードをアクセス管理装置１６へ提供する。 The fourth modification will be described. In the above embodiment, the access management device 16 includes an external account holding unit 22 and an account updating unit 24. As a modification, an information processing device different from the access management device 16 (also referred to as an “account management device” here) includes an external account holding unit 22 and an account updating unit 24 in place of the access management device 16, and further. It may have an external account provider. In this case, the login processing unit 42 of the access control device 16 sends a password request specifying the host name of the work target device 14 to be logged in and the login ID of the work target device 14 used for login to the account management device. .. The external account providing unit of the account management device provides the password associated with the login ID specified in the password request to the access management device 16.

上述した実施の形態、変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施の形態、変形例それぞれの効果をあわせもつ。 Any combination of the above-described embodiments and modifications is also useful as an embodiment of the present invention. The new embodiment generated by the combination has the effects of the combined embodiment and the modified example.

請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連係によって実現されることも当業者には理解されるところである。 It is also understood by those skilled in the art that the functions to be fulfilled by each of the constituent elements described in the claims are realized by a single component or a combination thereof shown in the embodiments and modifications.

１０運用者ＰＣ、１２管理者ＰＣ、１４，１６アクセス管理装置、２０内部アカウント保持部、２２外部アカウント保持部、２４アカウント更新部、２６作業条件保持部、３４接続要求受付部、３６認証処理部、３８ログイン要求受付部、４０判定部、４２ログイン処理部、４４コマンド受付部、４６コマンド転送部、１００情報処理システム。 10 Operator PC, 12 Administrator PC, 14, 16 Access control device, 20 Internal account holder, 22 External account holder, 24 Account update department, 26 Work condition holder, 34 Connection request reception department, 36 Authentication processing department , 38 Login request reception unit, 40 Judgment unit, 42 Login processing unit, 44 Command reception unit, 46 Command transfer unit, 100 Information processing system.

Claims

The access control device
It is a login ID for logging in to the work target device, and is a work condition for the work target device including the login ID applied by the user, and the work condition permitted by the administrator is associated with the user. The step of storing in the storage area of 1 and
When the user's account specified in the connection request to the device received from the user's terminal and the user's account stored in advance in the account storage area match, the authentication step for determining that the user's authentication was successful ,
A step of providing a login destination specification screen to the terminal of a user who has succeeded in authentication in the authentication step, and
A login request acceptance step that accepts a login request including information on the work target device of the login destination specified on the designation screen from the user's terminal, and
When the login request is received, the login ID and password for logging in to the work target device of the login destination stored in advance in the second storage area, and the work stored in the first storage area. A login step that enables the user to work on the work target device at the login destination by logging in to the work target device at the login destination using the login ID and password corresponding to the login ID specified in the condition.
An access management method characterized by running.

After logging in to the work target device, the encrypted command for the work target device received from the user's terminal is decrypted, the command for the work target device in plain text is acquired, and the work target in plain text is obtained. The step of re-encrypting the command for the device and sending it to the work target device,
A step of storing the command for the work target device in the plain text in the storage unit, and
The access management method according to claim 1, wherein the access management device further executes the above.