JPH04302344A - 計算機システムの権限管理装置および方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は計算機ネットワークシス
テムにおけるリソースを現実世界の組織内で利用しやす
いように管理する計算機ネットワークシステムの権限管
理装置に関する。

【０００２】

【従来の技術】計算機ネットワークシステムにおける膨
大なリソースは適確に分類して管理する必要があり、こ
のため種々の管理方法が提案されている。例えば、リソ
ースとしての情報を管理する場合、ワークステーション
あるいはユーザ毎にそれぞれの情報を保有し、ワークス
テーションあるいはユーザ単位で情報を管理するように
していた。また、ワークステーションあるいはユーザは
所望に応じて他のワークステーションが保有する情報、
他のユーザが保有する情報に対するアクセス権が与えら
れ、このアクセス権を利用することによりシステム内の
情報を収集することが可能であった。

【０００３】

【発明が解決しようとする課題】しかしながら、従来の
計算機ネットワークシステムではワークステーションあ
るいはユーザ単位で情報を管理することが可能であった
ものの、その管理は現実世界の組織構造を明確に反映し
ておらず、このためシステムを現実世界の組織構造にお
いて利用する場合には不都合を生じることがあった。例
えば組織構造において位置付けされた一人のユーザが自
己の情報を保有している場合、この情報に対する権利、
つまり該情報をアクセスしうるという権利が組織構造に
おける上位のユーザに必ず与えられるかというと、これ
を保証するまでには至らず、このため上位のユーザは下
位のユーザが保有する情報を把握しているとは言えなか
った。すなわち、ワークステーションあるいはユーザ単
位で情報が管理されていても、現実世界の組織構造を明
確に反映した管理がなされていなければ、組織の運営に
おいては好ましいことではない。

【０００４】そこで、本発明は計算機ネットワークシス
テムのリソースを現実世界の組織構造に従って分類管理
し、もって組織の運営に好ましい計算機ネットワークシ
ステムの権限管理装置を提供することを目的とする。

【０００５】

【課題を解決するための手段】本発明では情報および該
情報へのアクセス権によってそれぞれ定められる複数の
権限を示す組織データであって、かつ上位の権限が下位
の権限を含むことにより形成される階層構造を示す前記
組織データを組織データベースに記憶するようにしてお
り、編集手段は前記組織データの作成および更新等の編
集を行い、階層構造維持手段は前記編集手段による前記
組織データの編集に際し、該組織データの階層構造にお
ける上位の権限が下位の権限を含むという関係を維持す
るようにしている。

【０００６】

【作用】本発明によれば、組織データベース内の組織デ
ータは情報および該情報へのアクセス権によってそれぞ
れ定められる複数の権限を示すとともに、上位の権限が
下位の権限を含むことにより形成される階層構造を示し
ている。したがって、前記組織データは前記階層構造に
おいて位置付けされた１つの権限に対してアクセス可能
な範囲を明確に定義付けている。すなわち、この１つの
権限は該権限によって示される情報へのアクセスを可能
にするばかりでなく、該権限よりも下位の他の権限によ
って示される情報へのアクセスをも可能にする。また、
この１つの権限によって示される情報は該権限よりも上
位の別の権限によってアクセスされうることとなる。

【０００７】

【実施例】以下、本発明の実施例を添付図面を参照して
詳細に説明する。

【０００８】第１図は本発明に係わる権限管理装置の一
実施例を適用した計算機ネットワークシステムを示すブ
ロック図である。同図において、ワークステーション１
は中央処理装置、記憶装置、キーボードおよび表示装置
等を備えて構成されるものである。なお、ここには１つ
のワークステーションのみを示しているが、このような
システムでは複数のワークステーションを設けるのがよ
り一般的といえる。

【０００９】プリントサービス部２はワークステーショ
ン１からの要求に応答して情報を記録紙に記録するもの
であり、例えばワークステーションにて編集された文書
を受け取って記録紙に記録する。

【００１０】通信サービス部３は当該システムと図示さ
れない他の計算機ネットワークシステムとの間で図示さ
れない通信網を介してデータ通信を行うためのものであ
る。ディレクトリサービス部４は情報をそれぞれ格納し
た多数のファイルの名称、および該各ファイルのアドレ
ス等を目録として記憶し管理している。これらのアドレ
スは当該システムの記憶装置に格納されているファイル
を指示していたり、また図示されない他のシステムの記
憶装置内のファイルを指示している。このため、ディレ
クトリサービス部４は所定のファイルをアドレスに基づ
いてアクセスし、このファイル内の情報を読出すことが
できる。

【００１１】権限管理サービス部５は前記多数のファイ
ルを現実世界の組織内で利用しやすいように分類管理す
るものであり、組織データ記憶手段５１と、組織構造編
集手段５２と、階層関係維持手段５３とを備えている。

【００１２】権限管理サービス部５における組織データ
記憶手段５１は、現実世界の組織構造に対応する組織デ
ータを記憶する。この組織データは例えば第２図に示す
ようなものであり、現実世界の組織構造に対応する各権
限ノード２１，２２，２３，２４，２５からなる階層構
造を示している。また、この組織データは各権限ノード
毎に、権限ノードに属する権限（ファイルの名称および
該ファイルへのアクセス権の種類）を示している。ここ
では現実世界の部長に対応して権限ノード２１が配置さ
れ、現実世界の課長に対応して権限ノード２３が権限ノ
ード２１の直下に配置され、現実世界の課員に対応して
各権限ノード２４，２５が権限ノード２３の直下に配置
されるという階層構造が形成されている。また、権限ノ
ード２４に属する権限はファイルの名称Ｄおよび該ファ
イルへのアクセス権ａであり、権限ノード２５に属する
権限はファイルの名称Ａおよび該ファイルへのアクセス
権ａであり、権限ノード２３に属する権限はファイルの
名称Ｂおよび該ファイルへのアクセス権ｂと、直下の各
権限ノード２４，２５に属する権限とを含むものであり
、権限ノード２１に属する権限はファイルの名称Ｃおよ
び該ファイルへのアクセス権ａと、直下の権限ノード２
３に属する権限とを含むものである。したがって、１つ
の権限ノードは直下の権限ノードに属する権限を含むこ
ととなり、上位である程より多くの権限を有することと
なる。なお、ファイルへのアクセス権として、アクセス
権ａおよびアクセス権ｂという２種類のものを示したが
、例えばアクセス権ａはファイル内の情報を読出すこと
のみを許可するものであり、アクセス権ｂはファイル内
の情報を読出すだけでなく書き替えることをも許可する
ものである。

【００１３】権限管理サービス部５における組織構造編
集手段５２と階層関係維持手段５３は、組織データを作
成して、この組織データを組織データ記憶手段５１に記
憶したり、組織データ記憶手段５１内に既に格納されて
いる組織データを更新したりするためのものである。こ
のような組織データの作成、更新等の編集処理は第３図
に示すフローチャートに従って進行する。

【００１４】まず、ワークステーション１を起動してロ
グインし、権限管理サービス部５を呼び出して組織デー
タの更新を要求すると、これに応答して組織構造編集手
段５２は組織データ記憶手段５１から組織データを読出
す（ステップ１０１）。ここで、この組織データは第２
図に示したようなものであるとする。

【００１５】次に、例えば権限ノード２３の直下に位置
する権限ノード２５を削除するという要求をワークステ
ーション１から出すと、これに応答して組織構造編集手
段５２は先に読出した組織データにおける権限ノード２
５を削除し、これにより組織データを第４図に示すよう
に更新する（ステップ１０２）。このとき、階層関係維
持手段５３は更新された組織データにおいて各権限ノー
ドに属するそれぞれの権限をチェックして修正する（ス
テップ１０３）。ここでは最も下位の権限ノード２５が
削除されたので、上位の権限ノード２３の権限、および
更に上位の権限ノード２１の権限は修正されることがな
い。

【００１６】こうして権限ノード２５を削除した後、引
き続いて例えば権限ノード２３の直下に所定の権限ノー
ドを新たに配置することにする。この場合、権限ノード
２３の直下に所定の権限ノードを加えるとともに、該権
限ノードの権限としてファイルの名称Ｅとアクセス権ａ
を加えるという要求をワークステーション１から出すと
、組織構造編集手段５２は該要求が出されたことから編
集を終了しないと判断し（ステップ１０４，Ｎｏ）、前
記ステップ１０２に戻って第５図に示すように権限ノー
ド２３の直下に所定の権限ノード２６を加えるとともに
、権限ノード２６の権限としてファイルの名称Ｅおよび
アクセス権ａを加える。このとき、階層関係維持手段５
３は権限ノード２６の権限としてのファイルの名称Ｅお
よびアクセス権ａを上位の権限ノード２３の権限に加え
るとともに、権限ノード２６の同権限を更に上位の権限
ノード２１の権限に加える（ステップ１０３）。なお、
このように新たな権限ノードを加える場合は、この権限
ノードの権限を特に指定しなくても構わない。

【００１７】こうして第５図に示した組織データが形成
された後、引き続いて例えば権限ノード２３に新たな権
限を加えることにする。この場合、新たな権限としての
ファイルの名称Ｆとアクセス権ｂを権限ノード２３に加
えるという要求をワークステーション１から出すと、組
織構造編集手段５２は該要求が出されたことから編集を
終了していないと判断し（ステップ１０４，Ｎｏ）、前
記ステップ１０２に戻って第６図に示すように新たな権
限としてのファイルの名称Ｆとアクセス権ｂを権限ノー
ド２３に加える。このとき、階層関係維持手段５３は権
限ノード２３の権限としてのファイルの名称Ｆとアクセ
ス権ｂを上位の権限ノード２１の権限に加える（ステッ
プ１０３）。

【００１８】以上で組織データの更新を終了したとする
と、更新終了の要求をワークステーション１から出す。 これに応答し、組織構造編集手段５２は更新を終了した
と判断し（ステップ１０４，Ｙｅｓ　）、第６図に示し
た組織データを組織データ記憶手段５１に記憶する（ス
テップ１０５）。この結果、組織データ記憶手段５１に
記憶されていた第２図に示した組織データは、編集処理
により、第６図に示した組織データに更新されたことと
なる。

【００１９】このように組織データの更新としては、権
限ノードの削除、追加による階層構造の変更と、権限ノ
ードに属する権限の変更とがあり、いずれの変更が行わ
れた場合でも、上位の権限ノードが下位の権限ノードに
属する権限を含むという階層構造は常に保たれる。

【００２０】なお、前記ステップ１０３で階層構造維持
手段５３による階層構造を維持するための処理を行うに
際しては、その処理内容を権限管理サービス部５からワ
ークステーション１へと通知して、この処理内容をワー
クステーション１の表示画面に表示し、オペレータの了
承を得た後に、階層構造維持手段５３による処理を実行
するようにしてもよい。この場合、オペレータは組織構
造の更新に際し、階層構造の変更箇所を逐次確認するこ
とができる。

【００２１】また、ここでは組織データ記憶手段５１内
に記憶されている既存の組織データを更新するときの処
理手順を述べたが、新たな組織データの作成も同様の処
理手順で進行する。この場合、まず前記ステップ１０１
でワークステーション１から権限管理サービス部５を呼
び出す。そして、前記ステップ１０２で権限ノードの権
限、階層構造における該権限ノードの位置をワークステ
ーション１から組織構造編集手段５２へ指示して、組織
構造編集手段５２により該当する権限ノードを形成し、
前記ステップ１０３で階層構造維持手段５３により階層
構造を維持する。これらのステップ１０２，１０３を繰
り返すことにより、新たな組織データを徐々に作成し、
組織データの作成を終了したところで（ステップ１０４
，Ｙｅｓ　）、この新たな組織データを組織データ記憶
手段５１に記憶する（ステップ１０５）。

【００２２】次に、ワークステーション１にて新たなフ
ァイルを作成する場合の処理を第７図に示すフローチャ
ートに従って述べる。

【００２３】まず、ワークステーション１にログインす
るに際しては、このワークステーションを操作するユー
ザの地位（権限ノード）を示すパスワードを入力しなけ
ればならない（ステップ２０１）。このパスワードが入
力されると（ステップ２０１，Ｙｅｓ　）、このユーザ
に対してワークステーション１での操作手続きが許可さ
れ、また該パスワードが入力されなければ（ステップ２
０１，Ｎｏ）、このユーザに対しては操作手続きが許可
されない。

【００２４】このユーザに対して操作手続きが許可され
ると、このユーザは種々の操作手続きを行うことができ
るが、その際に新たなファイルを作成して、この新たな
ファイルを例えばワークステーション１における記憶装
置に記憶すると（ステップ２０２）、このユーザに対し
てアクセス権の種類の選択が表示画面上で促される（ス
テップ２０３）。ここで、所望の種類のアクセス権が選
択されたとすると、ワークステーション１は新たなファ
イルの名称および該ファイルのアドレスを登録する要求
をディレクトリサービス部４に通知し、また新たなファ
イルの名称および選択された種類のアクセス権を登録す
る要求をユーザに割り当てられた権限ノードと共に権限
管理サービス部５に通知する。ディレクトリサービス部
４は新たなファイルの名称および該ファイルのアドレス
を登録する（ステップ２０４）。また、権限管理サービ
ス部５はユーザに割り当てられた権限ノード、新たなフ
ァイルの名称および選択されたアクセス権に基づいて組
織データを更新する（２０５）。すなわち、組織構造編
集手段５２は組織データ記憶手段５１から組織データを
読出し、ユーザの権限ノードを検索して、この権限ノー
ドの権限として新たなファイルの名称および選択された
アクセス権を加える。このとき、階層関係維持手段５３
はその権限が該権限ノードの上位の権限ノードにも含ま
れるようにし、もって階層構造を維持する。こうして更
新された組織データは組織データ記憶手段５１に再び記
憶される。この結果、第８図（ａ）に示すようにユーザ
の権限ノードが８３であり、新たなファイルの名称がＩ
４　であり、選択されたアクセス権がａであるとすると
、階層構造が維持されることにより、第８図（ｂ）に示
すように上位の各権限ノード８１，８２にも権限として
のファイルの名称Ｉ４　およびアクセス権ａがそれぞれ
与えられることとなる。

【００２５】次に、ワークステーション１にて所望のフ
ァイルを削除する場合の処理を第９図に示すフローチャ
ートに従って述べる。

【００２６】まず、ワークステーション１にてログイン
するために、このワークステーションを操作するユーザ
の地位（権限ノード）を示すパスワードを入力すると（
ステップ３０１，Ｙｅｓ　）、これにより該ユーザに対
して操作手続きが許可される。

【００２７】そして、このユーザによる種々の操作手続
きに際し、例えばワークステーション１における記憶装
置に既に記憶されている該ユーザ所有のファイルを削除
する要求を出すと（ステップ３０２）、ワークステーシ
ョン１は該ファイルの名称を削除する要求をディレクト
リサービス部４に通知し、また該ファイルの名称を削除
する要求をユーザに割り当てられた権限ノードと共に権
限管理サービス部５に通知する。これに応答し、権限管
理サービス部５における組織構造編集手段５２は組織デ
ータ記憶手段５１から組織データを読出し、ユーザの権
限ノードを検索して、この権限ノードの権限に該ファイ
ルの名称およびアクセス権が含まれているか否かを判定
する（ステップ３０３）。ここで、この権限に該ファイ
ルの名称およびアクセス権が含まれていなければ（ステ
ップ３０３，Ｎｏ）、処理の終了となる。また、この権
限に該ファイルの名称およびアクセス権が含まれてれば
（ステップ３０３，Ｙｅｓ　）、組織構造編集手段５２
はこの権限から該ファイルの名称およびアクセス権を削
除し、組織データを更新する（ステップ３０４）。この
とき、階層関係維持手段５３はその権限が該権限ノード
の下位の権限ノードから削除されるようにし、もって階
層構造を維持する。この結果、第１０図（ａ）に示すよ
うにユーザの権限ノードが８１であり、削除されるべき
ファイルの名称がｌ１　であり、このファイルの名称ｌ
１　に伴う削除されるべきアクセス権がａであるとする
と、階層構造が維持されることにより、第１０図（ｂ）
に示すように下位の各権限８２，８３の権限からもファ
イルの名称ｌ１　およびアクセス権ａがそれぞれ削除さ
れる。

【００２８】この後、権限管理サービス部５はファイル
の削除を許可することをワークステーション１およびデ
ィレクトリサービス部４にそれぞれ通知する。これに応
答し、ワークステーション１は記憶装置から該ファイル
を削除し（ステップ３０５）、またディレクトリサービ
ス部４は該ファイルの名称および対応するアドレスを削
除する（３０６）。

【００２９】次に、ワークステーション１にて所望のフ
ァイル内の情報を読出したり書き替える場合の処理を第
１１図に示すフローチャートに従って述べる。

【００３０】まず、ワークステーション１にてログイン
するために、このワークステーションを操作するユーザ
の地位（権限ノード）を示すパスワードを入力すると（
ステップ４０１，Ｙｅｓ　）、これにより該ユーザに対
して操作手続きが許可される。

【００３１】そして、このユーザによる種々の操作手続
きに際し、例えばシステム内の所望のファイルをアクセ
スする要求を出すと（ステップ４０２）、ワークステー
ション１は該ファイルの名称をアクセス要求と共にディ
レクトリサービス部４に通知し、また該ファイルの名称
をアクセス要求およびユーザに割り当てられた権限ノー
ドと共に権限管理サービス部５に通知する。これに応答
し、権限管理サービス部５は組織データ記憶手段５１か
ら組織データを読出し、ユーザの権限ノードを検索して
、この権限ノードの権限に該ファイルの名称が含まれて
いるか否かを判定する（ステップ４０３）。ここで、こ
の権限ノードの権限に該ファイルの名称が含まれていな
ければ（ステップ４０３，Ｎｏ）、権限管理サービス部
５は該ファイルへのアクセス権がユーザに与えられてい
ないことをワークステーション１に通知する（ステップ
４０４）。これに応答し、ワークステーション１は該フ
ァイルへのアクセスが不可能である旨を表示画面上に表
示することとなる。

【００３２】また、ユーザの権限ノードの権限に該ファ
イルの名称が含まれていれば（ステップ４０３，Ｙｅｓ
　）、権限管理サービス部５はこの権限に含まれている
該ファイルへのアクセス権の種類を求め、この種類のア
クセス権に応じたアクセスを該ファイルに対して許可す
る（ステップ４０５）。この場合、ディレクトリサービ
ス部４は該ファイルのアドレスを当該システム内から検
索して、このファイル内の情報を読出してワークステー
ション１に与える。ここで、アクセス権の種類がアクセ
ス権ａであって、情報の読出しのみが許可されているの
であれば、ワークステーション１にて該情報を更新して
も、ディレクトリサービス部４は更新された情報を元の
ファイルに格納することがない。また、アクセス権の種
類がアクセス権ｂであって、情報の読出し並びに書き替
えが許可されているのであれば、ワークステーション１
にて該情報を更新すると、ディレクトリサービス部４は
更新された情報を元のファイルに格納する。

【００３３】したがって、ユーザは割り当てられた権限
ノードの権限に含まれる名称のファイルのみをアクセス
することが可能であり、かつ該ファイルの名称と共に定
められている種類のアクセス権に応じて該ファイル内の
情報を読出すことのみが可能であったり、その情報の読
出しおよび書き替えが可能であったりする。

【００３４】このように本実施例では現実世界の組織構
造を反映した組織データを記憶しておき、システム内の
情報を該組織データに応じて管理することにより、組織
構造における上位のユーザが下位のユーザの情報を必ず
把握できるようにしている。なお、上記実施例ではディ
レクトリサービス部４と、権限管理サービス部５とを分
離しているが、第１２図に示すようにディレクトリサー
ビス部４の内部に権限管理サービス部５を設けても構わ
ない。また、ここではシステム内での各種処理を述べた
が、通信サービス部３を利用すれば、システムから他の
システムにアクセスして、他のシステム内で組織データ
を編集したり、ファイルを作成削除したり、ファイル内
の情報を読出し書き替えすることが可能である。

【００３５】

【発明の効果】以上説明したように本発明によれば、情
報および該情報へのアクセス権によってそれぞれ定めら
れる複数の権限を示すとともに、上位の権限が下位の権
限を含むことにより形成される階層構造を示す組織デー
タを作成し、この組織データに基づいて計算機ネットワ
ークシステムのリソースを現実世界の組織構造に従って
分類管理し、もって組織の運営に好ましい権限管理を可
能にしている。

【図面の簡単な説明】

【図１】　　本発明に係わる権限管理装置の一実施例を
適用した計算機ネットワークシステムを示すブロック図
。

【図２】　　本実施例における組織データを例示する図
。

【図３】　　本実施例における組織データの作成、更新
等の編集処理を示すフローチャート。

【図４】　　本実施例における組織データを例示する図
。

【図５】　　本実施例における組織データを例示する図
。

【図６】　　本実施例における組織データを例示する図
。

【図７】　　本実施例におけるファイルの作成処理を示
すフローチャート。

【図８】　　第７図に示したファイルの作成処理に応じ
て更新される組織データを示す図。

【図９】　　本実施例におけるファイルの削除処理を示
すフローチャート。

【図１０】　　第９図に示したファイルの削除処理に応
じて更新される組織データを示す図。

【図１１】　　本実施例におけるファイル内の情報を読
出したり書き替えるための処理を示すフローチャート。

【図１２】　　本発明に係わる権限管理装置の他の例を
示すブロック図。

【符号の説明】

１…ワークステーション、２…プリントサービス部、３
…通信サービス部、４…ディレクトリサービス部、５…
権限管理サービス部、５１…組織データ記憶手段、５２
…組織構造編集手段、５３…階層関係維持手段。

Claims (1)

【特許請求の範囲】
1. 【請求項１】計算機ネットワークシステムにおけるリソ
   ースを管理する計算機ネットワークシステムの権限管理
   装置において、情報および該情報へのアクセス権によっ
   てそれぞれ定められる複数の権限を示す組織データであ
   って、かつ上位の権限が下位の権限を含むことにより形
   成される階層構造を示す前記組織データを記憶する組織
   データベースと、前記組織データを編集する編集手段と
   、前記編集手段による前記組織データの編集に際し、該
   組織データの階層構造における上位の権限が下位の権限
   を含むという関係を維持する階層構造維持手段とを備え
   たことを特徴とする計算機ネットワークシステムの権限
   管理装置。