JPS61226848A - アクセス権判定方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 発明の目的 産業上の利用分野 本発明は、電子計算機システムのファイルに対する利用
者のアクセス権を判定する方式に関するものである。

従来の技術 一般に、電子計算機システムのファイルに格納される各
種の情報は、機密保護上不特定の利用者による参照を禁
止したり、業務の便宜上特定の利用者だけに更新が許容
されたりする。

一般に、利用者のファイル・アクセス権を制限するには
、利用者コードとその利用者に対する許容アクセス範囲
との対応情報を予め登録しておき、利用者からの利用者
コードの入力を伴うアクセス要求時にその対応情報を参
照してアクセスの許否を判定する方式が採用されている
。

従来、許容アクセス範囲を定める利用者コードとしては
、利用者の一人一人にユニークな利用者コードを付与し
たり、全アクセス範囲を許容アクセス範囲が異なる複数
群に群分けし、そのうちのいずれか一つの群に利用者を
所属させ、その所属群コードを利用者コードとして付与
したりしている。

発明が解決しようとする問題点 上述のように、利用者の一人一人にユニークな利用者コ
ードを付与する方式では、アクセス権に関する登録情報
量が過大になるという問題がある。

各利用者を許容アクセス範囲が異なる複数群の一つに属
させ、その所属群コードを利用者コードとして付与する
方式でも、アクセス対象のファイルの種類と利用者数が
増加するにつれて同様の問題が生じる。

発明の構成 上記従来技術の問題点を解決する本発明のアクセス権判
定方式は、許容アクセス範囲を複数の群に分け、これら
の群のうち１又は複数のものに属することを指定する所
属情報を含む利用者コードを各利用者に付与し、各利用
者からの利用者コードの入力を伴うアクセス要求時にお
いて、この要求に係わるアクセスが、入力された利用者
コード中の所属情報で指定されるいずれかの群の許容ア
クセス範囲に含まれるか否かを判定し、含まれる場合に
のみ要求に係わるアクセスを許容することにより、アク
セス権に関する登録情報量を過大にすることなく、アク
セス権の判定を可能とするように構成されている。

実施例 第１図は、本発明の一実施例のアクセス権判定方式が適
用される電子計算機システムの構成の一部を示すブロッ
ク図である。

この電子計算機システムは、図示しない処理装置によっ
て作成された各種のファイルが格納されている記憶媒体
ｌ、アクセス権判定部２．アクセス権登録ファイル３．
入出力インタフェース部４及び入出力装置５を備えてい
る。

記憶媒体１内の各種のファイルに対する全アクセス範囲
が群分けされ、アクセス権登録ファイル３に登録される
。すなわち、第２図に例示するように、全アクセス範囲
がＡ群、Ｂ群・・・Ｍ群に群分けされ、各群で許容され
ている許容アクセス範囲（許容アクセス対象ファイル名
及び参照／更新等の許容アクセスの種類）が、対応の群
コードＡ、Ｂ・・・Ｍをキーとしてアクセス権登録ファ
イル３に格納されている。

一方、この電子計算機システムの利用者には、第３図に
例示するように、先頭に配置された１又は複数のアルフ
ァベット（Ａ、ＡＢ、ＡＢＣ）とこれらに続く社員番号
とで構成される利用者コードが付与される。

先頭に群コードＡが付された利用者コードは、この利用
者がＡ群に所属していること、すなわちこの利用者にＡ
群の許容アクセス範囲が付与されていることを意味する
。また、先頭に群コードＡとＢが付された利用者コード
は、この利用者がＡ群とＢ群に所属していること、すな
わちこの利用者にＡ群の許容アクセス範囲とＢ群の許容
アクセス範囲が付与されていることを意味する。

同様に、先頭に群コードＡ、Ｂ及びＣが付された利用者
コードは、この利用者がＡ群、Ｂ群及び０群に所属し、
Ａ乃至０群の許容アクセス範囲が付与されていることを
意味する。

各利用者は、入出力装置５を介して記憶媒体１内のファ
イルをアクセスする際、アクセスしようとするファイル
の識別符号、参照や更新等のアクセスの種類及び自己に
付与されている利用者コードを入出力インタフェース部
４に入力する。これを受けた入出力インタフェース部４
は、利用者から受けた情報をアクセス権判定部２に渡し
てこれを起動する。

起動されたアクセス権判定部２は、第４図のフローチャ
ートに例示するように、最初のステップ１１において、
入力された利用者コードに群コードＡが含まれているか
否かにより利用者がＡ群に所属するか否かを判定する。

Ａ群への所属が判定されると、次のステップ１２におい
て、要求に係わるアクセス内容（アクセス対象ファイル
の識別符号及びアクセスの種類）がアクセス権登録ファ
イル３内のＡ群の許容アクセス範囲内にあるか否かを判
定する。この判定結果が否定的であれば、アクセス権判
定部２の処理は次のステップ１３に進められる。ステッ
プ１１の判定結果が否定的である場合にも同様である。

アクセス権判定部２は、ステップ１３において、利用者
がＢ群に所属するか否かを判定する。Ｂ群への所−が判
定されると、次のステップ１４において、要求に係わる
アクセス内容がアクセス権登録ファイル３内のＢ群の許
容アクセス範囲内にあるか否かが判定される。この判定
結果が否定的であれば、アクセス権判定部２の処理は次
のステップに進められる。ステップ１３の判定結果が否
定的である場合にも同様である。

以下、ステップ２１と２２まで同様の判定が繰り返され
る。最後の判定ステップ２２の判定結果も否定的である
場合には、アクセス権判定部２は、ステップ２３におい
て、入出力インタフェース部４を介して入出力装置５に
アクセス不許可通知を行ってアクセス権判定処理を終了
する。

一方、アクセス権判定部２は、各判定ステップ１２．１
４・・・２２のいずれかにおいて利用者の要求に係わる
アクセス内容が許容アクセス範囲内にあることを判定す
ると、ステップ２４において入出力インタフェース部４
にアクセス許可指令を発し、アクセス権判定処理を終了
する。

入出力インタフェース部４は、アクセス権判定部２から
上記アクセス許可指令を受けると、要求に係わるアクセ
ス内容を利用者に許容する。

以上、１又は複数の群コードを所属情報として直接利用
者コードの先頭に付加する場合を例示したが、各群コー
ドを利用者コードの末尾に付加したり、利用者コード中
の所定位置に離散的に配置してもよい。

また、上記Ａ、ＡＢ、ＡＢＣ等の代わりにそれぞれａ、
ｂ　（＝ＡＢ）、ｃ　（＝ＡＢＣ）等の所属情報を付加
する構成としてもよい。

また、利用者コードを別途登録しておき、上述のアクセ
ス権判定処理に先立って、利用者コードの登録の有無を
確認し、登録されていない場合にはアクセス不許可通知
を行う構成としてもよい。

また、上記利用者コードの登録の有無を確認しない場合
には、これを所属情報のみで構成してもよい。

また、アクセス権判定をソフトウェアで行う構成を例示
したが、これをハードウェアやファームウェアで行って
もよいことは勿論である。

発明の効果 以上詳細に説明したように、本発明のアクセス権判定方
式は、小数の基本的な群についてその許容アクセス範囲
を登録しておき、これら基本的な群への多重所属に関す
る多数の組合せにより利用者の許容アクセス範囲を必要
なだけ細分する構成であるから、アクセス権に関する登
録情報量を過大にすることなくその判定を行うことがで
きる。

【図面の簡単な説明】

第１図は本発明の一実施例のアクセス権判定方式が適用
される電子計算機システムのうちこの実施例に関連する
部分の構成を示すブロック図、第２図は第１図のアクセ
ス権登録ファイル３の内容の一例を示す概念図、第３図
は各利用者に付与される利用者コードを例示する概念図
、第４図は第１図のアクセス権判定２の判定処理の一例
を説明するためのフローチャートである。 １・・ファイルが格納される記憶媒体、２・・アクセス
権判定部、３・・アクセス権登録ファイル、４・・入出
力インタフェース、５・・入出力装置。

Claims (1)

1. 【特許請求の範囲】 電子計算機システムのファイルに対する利用者のアクセ
   ス権を判定する方式において、 許容アクセス範囲を複数の群に分け、 これら群のうち１又は複数のものに属することを指定す
   る所属情報を含む利用者コードを各利用者に付与し、 各利用者からの利用者コードの入力を伴うアクセス要求
   時において、この要求に係わるアクセスが入力された利
   用者コード中の所属情報で指定されるいずれかの群の許
   容アクセス範囲に含まれるか否かを判定し、含まれる場
   合にのみ要求に係わるアクセスを許容することを特徴と
   するアクセス権判定方式。