(57)【要約】  システム１００は、役割識別情報と資源グループ識別情報とアクション情報とを対応付けたポリシー情報を記憶し（１０１）、ユーザ識別情報と役割識別情報とを対応付けて記憶し（１０２）、クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を受信し（１０３）、ポリシー情報に基づいてアクセス制御情報を生成し、生成されたアクセス制御情報をアクセス対象装置へ送信し（１０４）、アクセス要求の送信元のアドレス情報を取得し（１０５）、取得されたアドレス情報が表すアドレスに係る通信を許可する旨を表す通信フィルタ情報を生成し、生成された通信フィルタ情報を、ポリシー情報に基づいて特定された通信フィルタ装置へ送信する（１０６）。
2012042734.tif 000002
【特許請求の範囲】
【請求項１】
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶手段と、
ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶するユーザ情報記憶手段と、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信するアクセス要求受信手段と、
前記記憶されているポリシー情報に含まれる役割識別情報と対応付けて記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信するアクセス制御情報送信手段と、
前記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得するアドレス情報取得手段と、
前記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶されているポリシー情報のうちの、前記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を備えるアクセス制御情報生成システム。
【請求項２】
請求項１に記載のアクセス制御情報生成システムであって、
前記資源グループ識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置を識別するためのアクセス対象装置識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置を識別するための通信フィルタ装置識別情報と、を対応付けて記憶する資源装置対応情報記憶手段を備え、
前記アクセス制御情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置として、当該資源グループ識別情報と対応付けて記憶されている前記アクセス対象装置識別情報により識別される前記アクセス対象装置を用いるように構成され、
前記通信フィルタ情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置として、当該資源グループ識別情報と対応付けて記憶されている前記通信フィルタ装置識別情報により識別される前記通信フィルタ装置を用いるように構成されたアクセス制御情報生成システム。
【請求項３】
請求項１又は請求項２に記載のアクセス制御情報生成システムであって、
前記アクセス要求は、前記ユーザ識別情報と、前記クライアント装置のユーザにより入力されたパスワード情報と、を含み、
前記アクセス制御情報生成システムは、
前記受信されたアクセス要求に含まれる、前記ユーザ識別情報及び前記パスワード情報に基づいて、当該ユーザ識別情報により識別されるユーザが真のユーザであるか否かを判定する認証処理を実行する認証処理手段を備え、
前記通信フィルタ情報送信手段は、前記認証処理にて前記ユーザが真のユーザであると判定された場合に前記通信フィルタ情報を生成するように構成されたアクセス制御情報生成システム。
【請求項４】
請求項３に記載のアクセス制御情報生成システムであって、
前記認証処理手段は、前記認証処理にて前記ユーザが真のユーザであると判定された場合に、その旨を表す認証成功通知を前記アクセス要求を送信してきた前記クライアント装置へ送信するように構成されたアクセス制御情報生成システム。
【請求項５】
請求項１乃至請求項４のいずれか一項に記載のアクセス制御情報生成システムであって、
前記アクセス制御情報に基づく、前記アクセス対象資源へのアクセスの制御の設定が完了した旨を表すアクセス制御設定完了通知を前記アクセス対象装置から受信した場合、当該アクセス制御設定完了通知を前記アクセス要求を送信してきた前記クライアント装置へ送信するアクセス制御設定完了通知送信手段を備えるアクセス制御情報生成システム。
【請求項６】
請求項１乃至請求項５のいずれか一項に記載のアクセス制御情報生成システムであって、
前記通信フィルタ情報に基づく、前記アクセス対象装置と前記クライアント装置との間の通信の制御の設定が完了した旨を表す通信フィルタ設定完了通知を前記通信フィルタ装置から受信した場合、当該通信フィルタ設定完了通知を前記アクセス要求を送信してきた前記クライアント装置へ送信する通信フィルタ設定完了通知送信手段を備えるアクセス制御情報生成システム。
【請求項７】
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するとともに、ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けて当該記憶装置に記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信し、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信し、
前記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得し、
前記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶装置に記憶されているポリシー情報のうちの、前記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて当該記憶装置に記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する、アクセス制御情報生成方法。
【請求項８】
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶手段と、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信するユーザ情報受信手段と、
前記記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信するアクセス制御情報送信手段と、
前記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶されているポリシー情報のうちの、前記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を備えるアクセス制御情報生成装置。
【請求項９】
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信し、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信し、
前記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶装置に記憶されているポリシー情報のうちの、前記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する、アクセス制御情報生成方法。
【請求項１０】
情報処理装置に、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信するアクセス制御情報送信手段と、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信するユーザ情報受信手段と、
前記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶装置に記憶されているポリシー情報のうちの、前記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント装置からの資源へのアクセスを制御するための情報を生成するアクセス制御情報生成システムに関する。
【背景技術】
【０００２】
アクセスの対象となる資源（リソース）であるアクセス対象資源へのクライアント装置からのアクセスを制御するアクセス制御システムが知られている。例えば、アクセス対象資源は、ファイル、仮想マシン、データベース、及び／又は、アプリケーション・プログラム等である。【０００３】
ところで、アクセス対象資源を有するアクセス対象装置は、アクセス対象資源を特定するための情報、及び、アクセスの種別を表す情報等を含むアクセス制御情報に基づいて、クライアント装置からのアクセス対象資源へのアクセスを制御する（即ち、アクセス制御を実行する）。一般に、アクセス制御情報は、アクセス対象資源毎に異なる形式を有する情報である。【０００４】
従って、複数のアクセス対象資源に対してアクセス制御を実行する場合、ユーザ（例えば、アクセス制御システムの管理者）は、アクセス対象資源毎にアクセス制御情報を適切に設定する必要があった。即ち、アクセス制御情報を設定する作業が煩雑であった。【０００５】
これに対処するため、非特許文献１に記載のアクセス制御情報生成システムは、ポリシー情報に基づいて、複数のアクセス対象資源のそれぞれに対するアクセス制御情報を生成する。そして、アクセス制御情報生成システムは、生成したアクセス制御情報を、当該アクセス制御情報に対応付けられたアクセス対象装置へ送信する。アクセス対象装置は、アクセス制御情報を受信し、受信したアクセス制御情報に基づいてアクセス制御を実行する。【０００６】
これにより、ユーザは、ポリシー情報を設定するだけで、互いに異なる複数のアクセス対象資源のそれぞれに対して、適切にアクセス制御情報を設定することができる。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】小川  隆一、外２名、「仮想サーバ統合環境の権限管理基盤」、ＮＥＣ技報、日本電気株式会社、２０１０年４月、第６３巻、第２号、ｐ．１２９−１３３
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ところで、クライアント装置からアクセス対象装置までの通信経路において、アクセス対象装置とクライアント装置との間の通信を中継する通信フィルタ装置が設けられることが多い。この場合、クライアント装置を通信網にて特定するためのアドレス（例えば、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレス）による通信を通信フィルタ装置が許可していないと、クライアント装置は、アクセス対象資源へアクセスできない。【０００９】
また、クライアント装置に対して動的にＩＰアドレスが割り当てられることが多い。例えば、クライアント装置が通信網に接続される毎に異なるＩＰアドレスが割り当てられることが多い。【００１０】
このため、アクセス制御情報生成システムは、クライアント装置がアクセス対象資源へアクセスする時点まで、クライアント装置に割り当てられたＩＰアドレスを取得できない。従って、クライアント装置がアクセス対象資源へアクセスする時点よりも前の時点にて、通信フィルタ装置に、当該クライアント装置による通信を許可するための通信フィルタ情報を設定することができない。【００１１】
このため、上記アクセス制御情報生成システムが適用されたアクセス制御システムにおいては、アクセス対象装置がクライアント装置によるアクセスを許可している場合であっても、通信フィルタ装置によってクライアント装置とアクセス対象装置との間の通信が遮断（禁止）されることにより、クライアント装置がアクセス対象資源にアクセスできない虞があった。【００１２】
即ち、上記アクセス制御情報生成システムが適用されたアクセス制御システムにおいては、クライアント装置がアクセス対象装置によって許可されているアクセスを円滑に行うことができない虞があった。【００１３】
このため、本発明の目的は、上述した課題である「クライアント装置がアクセス対象装置によって許可されているアクセスを円滑に行うことができない場合が生じること」を解決することが可能なアクセス制御情報生成システムを提供することにある。
【課題を解決するための手段】
【００１４】
かかる目的を達成するため本発明の一形態であるアクセス制御情報生成システムは、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶手段と、
ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶するユーザ情報記憶手段と、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信するアクセス要求受信手段と、
上記記憶されているポリシー情報に含まれる役割識別情報と対応付けて記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置へ送信するアクセス制御情報送信手段と、
上記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得するアドレス情報取得手段と、
上記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、上記記憶されているポリシー情報のうちの、上記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置と上記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を備える。【００１５】
また、本発明の他の形態であるアクセス制御情報生成方法は、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するとともに、ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けて当該記憶装置に記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置へ送信し、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信し、
上記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得し、
上記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、上記記憶装置に記憶されているポリシー情報のうちの、上記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて当該記憶装置に記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置と上記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する方法である。【００１６】
また、本発明の他の形態であるアクセス制御情報生成装置は、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶手段と、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信するユーザ情報受信手段と、
上記記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置へ送信するアクセス制御情報送信手段と、
上記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、上記記憶されているポリシー情報のうちの、上記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置と上記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を備える。【００１７】
また、本発明の他の形態であるアクセス制御情報生成方法は、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置へ送信し、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信し、
上記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、上記記憶装置に記憶されているポリシー情報のうちの、上記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置と上記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する方法である。【００１８】
また、本発明の他の形態であるプログラムは、
情報処理装置に、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置へ送信するアクセス制御情報送信手段と、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信するユーザ情報受信手段と、
上記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、上記記憶装置に記憶されているポリシー情報のうちの、上記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置と上記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を実現させるためのプログラムである。
【発明の効果】
【００１９】
本発明は、以上のように構成されることにより、アクセス対象装置によって許可されているアクセスをクライアント装置に円滑に行わせることができる。
【図面の簡単な説明】
【００２０】
【図１】本発明の第１実施形態に係るアクセス制御システムの概略構成を表す図である。
【図２】本発明の第１実施形態に係るアクセス制御システムの機能の概略を表すブロック図である。
【図３】本発明の第１実施形態に係るユーザ情報管理サーバが記憶する、ユーザ識別情報、役割識別情報、及び、パスワード情報、を示したテーブルである。
【図４】本発明の第１実施形態に係るアクセス制御情報生成サーバが記憶する、役割識別情報、資源グループ識別情報、及び、アクション情報を示したテーブルである。
【図５】本発明の第１実施形態に係るアクセス制御情報生成サーバが記憶する、資源グループ識別情報、アクセス対象装置識別情報、及び、通信フィルタ装置識別情報を示したテーブルである。
【図６】本発明の第１実施形態に係るアクセス制御システムの作動の概略を表すシーケンス図である。
【図７】本発明の第１実施形態に係るアクセス制御システムの作動の概略を表すシーケンス図である。
【図８】本発明の第２実施形態に係るアクセス制御システムの作動の概略を表すシーケンス図である。
【図９】本発明の第３実施形態に係るアクセス制御システムの機能の概略を表すブロック図である。
【図１０】本発明の第３実施形態に係るアクセス制御システムの作動の概略を表すシーケンス図である。
【図１１】本発明の第３実施形態に係るアクセス制御システムの作動の概略を表すシーケンス図である。
【図１２】本発明の第４実施形態に係るアクセス制御情報生成システムの機能の概略を表すブロック図である。
【発明を実施するための形態】
【００２１】
以下、本発明に係る、アクセス制御情報生成システム、アクセス制御情報生成方法、アクセス制御情報生成装置、及び、プログラム、の各実施形態について図１〜図１２を参照しながら説明する。
【００２２】
＜第１実施形態＞
（構成）
図１に示したように、第１実施形態に係るアクセス制御システム１は、クライアント装置１０と、認証サーバ２０と、ユーザ情報管理サーバ３０と、アクセス制御情報生成サーバ（アクセス制御情報生成装置）４０と、複数の通信フィルタ装置５０ａ，５０ｂ，…と、複数のアクセス対象装置６０ａ，６０ｂ，…と、を含む。
【００２３】
認証サーバ２０、ユーザ情報管理サーバ３０、及び、アクセス制御情報生成サーバ４０は、アクセス制御情報生成システムを構成している。なお、アクセス制御情報生成サーバ４０は、複数のサーバにより構成されていてもよい。また、認証サーバ２０、及び、アクセス制御情報生成サーバ４０は、１つのサーバにより構成されていてもよい。また、認証サーバ２０、ユーザ情報管理サーバ３０、及び、アクセス制御情報生成サーバ４０は、１つのサーバにより構成されていてもよい。
【００２４】
クライアント装置１０、認証サーバ２０、ユーザ情報管理サーバ３０、アクセス制御情報生成サーバ４０、及び、複数の通信フィルタ装置５０ａ，５０ｂ，…は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）網を構成する通信回線ＮＷを介して、互いに通信可能に接続されている。アクセス対象装置６０ａは、通信フィルタ装置５０ａを介して（経由して）通信回線ＮＷに接続されている。同様に、各アクセス対象装置６０ｂ，…は、通信フィルタ装置５０ｂ，…を介して通信回線ＮＷに接続されている。
【００２５】
クライアント装置１０は、情報処理装置である。なお、クライアント装置１０は、パーソナル・コンピュータ、携帯電話端末、ＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈａｎｄｙｐｈｏｎｅ  Ｓｙｓｔｅｍ）、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄａｔａ  Ａｓｓｉｓｔａｎｃｅ、Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）、カーナビゲーション端末、又は、ゲーム端末等であってもよい。
【００２６】
クライアント装置１０は、図示しない中央処理装置（ＣＰＵ；Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、記憶装置（メモリ及びハードディスク駆動装置（ＨＤＤ；Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ））、入力装置（例えば、キーボード及びマウス等）及び出力装置（例えば、ディスプレイ等）を備える。
【００２７】
クライアント装置１０は、記憶装置に記憶されているプログラムをＣＰＵが実行することにより、後述する機能を実現するように構成されている。
【００２８】
認証サーバ２０、ユーザ情報管理サーバ３０、及び、アクセス制御情報生成サーバ４０のそれぞれ（各サーバ２０〜４０）は、情報処理装置である。各サーバ２０〜４０は、クライアント装置１０と同様に、図示しないＣＰＵ及び記憶装置を備える。各サーバ２０〜４０は、クライアント装置１０と同様に、記憶装置に記憶されているプログラムをＣＰＵが実行することにより、後述する機能を実現するように構成されている。
【００２９】
各通信フィルタ装置５０ａ，５０ｂ，…は、ファイアウォールとして機能する情報処理装置である。各通信フィルタ装置５０ａ，５０ｂ，…は、クライアント装置１０と同様に、図示しないＣＰＵ及び記憶装置を備える。各通信フィルタ装置５０ａ，５０ｂ，…は、クライアント装置１０と同様に、記憶装置に記憶されているプログラムをＣＰＵが実行することにより、後述する機能を実現するように構成されている。
【００３０】
各アクセス対象装置６０ａ，６０ｂ，…は、ストレージ装置、又は、情報処理装置等である。各アクセス対象装置６０ａ，６０ｂ，…は、クライアント装置１０と同様に、図示しないＣＰＵ及び記憶装置を備える。各アクセス対象装置６０ａ，６０ｂ，…は、クライアント装置１０と同様に、記憶装置に記憶されているプログラムをＣＰＵが実行することにより、後述する機能を実現するように構成されている。
【００３１】
（機能）
図２は、上記のように構成されたアクセス制御システム１の機能を表すブロック図である。
【００３２】
クライアント装置１０は、ユーザにより入力された、ユーザ識別情報及びパスワード情報を受け付ける。ユーザ識別情報は、ユーザを識別するための情報（本例では、文字列を表す情報）である。パスワード情報は、ユーザが真のユーザであることを示すための情報（本例では、文字列を表す情報）である。
【００３３】
クライアント装置１０は、受け付けられたユーザ識別情報及びパスワード情報を含むアクセス要求を認証サーバ２０へ送信する。アクセス要求は、アクセスの対象となる資源であるアクセス対象資源へのアクセスを要求する旨を表す情報である。
例えば、アクセス対象資源は、ファイル、仮想マシン、データベース、及び／又は、アプリケーション・プログラム等である。
【００３４】
アクセス対象資源がファイルである場合、アクセスは、当該ファイルからデータを読み出すこと、当該ファイルにデータを書き込むこと、又は、当該ファイルを実行すること、等に対応している。また、アクセス対象資源が仮想マシンである場合、アクセスは、当該仮想マシンを起動すること、当該仮想マシンを停止させること、又は、当該仮想マシンを再起動すること、等に対応している。
【００３５】
また、アクセス対象資源がデータベースである場合、アクセスは、当該データベースに含まれる特定のテーブルにレコードを挿入すること、当該データベースに含まれる特定のテーブルからレコードを削除すること、又は、当該データベースに含まれる特定のテーブルからレコードを更新すること、等に対応している。また、アクセス対象資源がアプリケーション・プログラムである場合、アクセスは、当該アプリケーション・プログラムを実行すること、又は、当該アプリケーション・プログラムを終了すること、等に対応している。
【００３６】
また、クライアント装置１０は、ユーザにより入力されたアクセス指示を受け付ける。アクセス指示は、クライアント装置１０のユーザを識別するためのユーザ識別情報と、アクセス対象資源を識別するための資源識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を含む。クライアント装置１０は、受け付けられたアクセス指示をアクセス対象装置６０ａ，６０ｂ，…へ送信する。
【００３７】
ユーザ情報管理サーバ３０の機能は、ユーザ情報記憶部（ユーザ情報記憶手段）３１を含む。
ユーザ情報記憶部３１は、図３に示したように、ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、パスワード情報と、を対応付けて記憶する。なお、ユーザ情報記憶部３１は、１つのユーザ識別情報と、複数の役割識別情報と、を対応付けて記憶していてもよい。
【００３８】
ユーザ情報管理サーバ３０は、認証サーバ２０又はアクセス制御情報生成サーバ４０から送信要求を受信した場合、記憶されているユーザ識別情報、役割識別情報、及び、パスワード情報を、送信要求を送信してきたサーバ（即ち、認証サーバ２０又はアクセス制御情報生成サーバ４０）へ送信する。
【００３９】
認証サーバ２０の機能は、アクセス要求受信部（アクセス要求受信手段）２１と、アドレス情報取得部（アドレス情報取得手段）２２と、認証処理部（認証処理手段）２３と、ユーザ情報送信部２４と、を含む。
【００４０】
アクセス要求受信部２１は、クライアント装置１０により送信されたアクセス要求を受信する。
アドレス情報取得部２２は、アクセス要求受信部２１により受信されたアクセス要求の送信元を通信網（本例では、ＩＰ網）にて特定するためのアドレス（本例では、ＩＰアドレス）を表すアドレス情報を取得する。具体的には、アドレス情報取得部２２は、アクセス要求としてのデータ（本例では、パケット）に含まれる情報に基づいてアドレス情報を取得する。
【００４１】
認証処理部２３は、アクセス要求受信部２１により受信されたアクセス要求に含まれる、ユーザ識別情報及びパスワード情報を受け付ける。そして、認証処理部２３は、受け付けられたユーザ識別情報及びパスワード情報に基づいて、当該ユーザ識別情報により識別されるユーザが真のユーザであるか否かを判定する認証処理を実行する。
【００４２】
具体的には、認証処理部２３は、送信要求をユーザ情報管理サーバ３０へ送信することにより、ユーザ情報管理サーバ３０からユーザ識別情報及びパスワード情報を受信する。これにより、認証処理部２３は、受け付けられたユーザ識別情報及びパスワード情報と同一のユーザ識別情報及びパスワード情報が対応付けられてユーザ情報記憶部３１に記憶されているか否かを判定する。
【００４３】
なお、認証処理部２３は、予めユーザ情報管理サーバ３０へ送信要求を送信することにより、ユーザ識別情報及びバスワード情報の組をユーザ情報管理サーバ３０から受信し、ユーザ識別情報及びバスワード情報の組を予め記憶するように構成されていてもよい。
【００４４】
認証処理部２３は、受け付けられたユーザ識別情報及びパスワード情報と同一のユーザ識別情報及びパスワード情報が対応付けられてユーザ情報記憶部３１に記憶されている場合、当該ユーザ識別情報により識別されるユーザが真のユーザである（認証処理が成功した）と判定する。一方、認証処理部２３は、受け付けられたユーザ識別情報及びパスワード情報と同一のユーザ識別情報及びパスワード情報が対応付けられてユーザ情報記憶部３１に記憶されていない場合、当該ユーザ識別情報により識別されるユーザが真のユーザでない（認証処理が失敗した）と判定する。
【００４５】
ユーザ情報送信部２４は、認証処理部２３により認証処理が成功したと判定された場合、アクセス要求受信部２１により受信されたアクセス要求に含まれるユーザ識別情報と、アドレス情報取得部２２により取得されたアドレス情報と、をアクセス制御情報生成サーバ４０へ送信する。
【００４６】
アクセス制御情報生成サーバ４０の機能は、ポリシー情報記憶部（ポリシー情報記憶手段）４１と、資源装置対応情報記憶部（資源装置対応情報記憶手段）４２と、アクセス制御情報送信部（アクセス制御情報送信手段）４３と、ユーザ情報受信部４４と、通信フィルタ情報送信部（通信フィルタ情報送信手段）４５と、を含む。
【００４７】
ポリシー情報記憶部４１は、ポリシー情報を記憶する。ポリシー情報は、図４に示したように、役割識別情報と、資源グループ識別情報と、アクション情報と、を対応付けた情報である。役割識別情報は、ユーザに割り当てられた役割を識別するための情報である。資源グループ識別情報は、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための情報である。アクション情報は、アクセス対象資源へのアクセスの種別を表す情報である。
【００４８】
資源装置対応情報記憶部４２は、図５に示したように、資源グループ識別情報と、通信フィルタ装置識別情報と、アクセス対象装置識別情報と、を対応付けて記憶する。アクセス対象装置識別情報は、当該アクセス対象装置識別情報と対応付けられた資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有するアクセス対象装置６０ａ，６０ｂ，…を識別するための情報である。
【００４９】
通信フィルタ装置識別情報は、当該通信フィルタ装置識別情報と対応付けられた資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有するアクセス対象装置６０ａ，６０ｂ，…とクライアント装置１０との間の通信を中継する通信フィルタ装置５０ａ，５０ｂ，…を識別するための情報である。
【００５０】
即ち、本例では、あるアクセス対象装置識別情報と対応付けて記憶されている通信フィルタ装置識別情報は、クライアント装置１０から見て、当該アクセス対象装置識別情報により識別されるアクセス対象装置６０ａ，６０ｂ，…の直前に配置された通信フィルタ装置５０ａ，５０ｂ，…を識別するための情報である。換言すると、通信フィルタ装置識別情報と、アクセス対象装置識別情報と、の対応付けは、物理的な接続関係を反映している。
【００５１】
アクセス制御情報送信部４３は、ユーザ情報記憶部３１に記憶されているユーザ識別情報及び役割識別情報の組のすべてを取得する。具体的には、アクセス制御情報送信部４３は、送信要求をユーザ情報管理サーバ３０へ送信することにより、ユーザ情報管理サーバ３０から、ユーザ識別情報及び役割識別情報の組を受信（即ち、取得）する。
【００５２】
更に、アクセス制御情報送信部４３は、ポリシー情報記憶部４１に記憶されているポリシー情報のそれぞれに対して、アクセス制御情報送信処理を実行する。アクセス制御情報送信処理は、当該アクセス制御情報送信処理の対象となるポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報を取得する処理を含む。
【００５３】
更に、アクセス制御情報送信処理は、上記取得されたユーザ識別情報により識別されるユーザによる、当該アクセス制御情報送信処理の対象となるポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成する処理を含む。
【００５４】
加えて、アクセス制御情報送信処理は、生成されたアクセス制御情報を、当該アクセス制御情報送信処理の対象となるポリシー情報に含まれる資源グループ識別情報と対応付けて資源装置対応情報記憶部４２に記憶されているアクセス対象装置識別情報により識別されるアクセス対象装置６０ａ，６０ｂ，…へ送信する処理を含む。
【００５５】
即ち、アクセス制御情報送信部４３は、生成されたアクセス制御情報を、当該アクセス制御情報送信処理の対象となるポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有するアクセス対象装置６０ａ，６０ｂ，…へ送信するように構成されている、と言うことができる。
【００５６】
ユーザ情報受信部４４は、認証サーバ２０により送信された、ユーザ識別情報及びアドレス情報を受信する。
【００５７】
通信フィルタ情報送信部４５は、ユーザ情報受信部４４により受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成する。
【００５８】
本例では、通信フィルタ情報送信部４５は、ユーザ情報受信部４４により受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の両方を許可する旨を表す通信フィルタ情報を生成する。なお、通信フィルタ情報送信部４５は、ユーザ情報受信部４４により受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信のいずれか一方のみを許可する旨を表す通信フィルタ情報を生成するように構成されていてもよい。
【００５９】
更に、通信フィルタ情報送信部４５は、ポリシー情報記憶部４１に記憶されているポリシー情報のうちの、ユーザ情報受信部４４により受信されたユーザ識別情報と対応付けてユーザ情報記憶部３１に記憶されている役割識別情報を含むポリシー情報を特定する。
【００６０】
加えて、通信フィルタ情報送信部４５は、特定されたポリシー情報に含まれる資源グループ識別情報と対応付けて資源装置対応情報記憶部４２に記憶されている通信フィルタ装置識別情報により識別される通信フィルタ装置５０ａ，５０ｂ，…へ、上記生成された通信フィルタ情報を送信する。
【００６１】
即ち、通信フィルタ情報送信部４５は、生成された通信フィルタ情報を、特定されたポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有するアクセス対象装置６０ａ，６０ｂ，…とクライアント装置１０との間の通信を中継する通信フィルタ装置５０ａ，５０ｂ，…へ送信するように構成されている、と言うことができる。
【００６２】
このように、通信フィルタ情報送信部４５は、ユーザ情報受信部４４によりユーザ識別情報及びアドレス情報が受信された場合に通信フィルタ情報を生成するように構成されている。即ち、通信フィルタ情報送信部４５は、認証サーバ２０による認証処理にて、クライアント装置１０のユーザが真のユーザであると判定された場合に通信フィルタ情報を生成するように構成されている、と言うことができる。
【００６３】
アクセス対象装置６０ａは、アクセス制御情報生成サーバ４０からアクセス制御情報を受信する。アクセス対象装置６０ａは、受信されたアクセス制御情報を記憶装置に記憶させる。
【００６４】
また、アクセス対象装置６０ａは、クライアント装置１０により送信されたアクセス指示を受信する。アクセス指示は、クライアント装置１０のユーザを識別するためのユーザ識別情報と、アクセス対象資源を識別するための資源識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を含む。
【００６５】
アクセス対象装置６０ａは、アクセス指示が受信された場合、当該アクセス指示に基づくアクセス対象資源へのアクセス（即ち、アクセス指示に含まれるユーザ識別情報により識別されるユーザによる、当該アクセス指示に含まれる資源識別情報により識別されるアクセス対象資源への、当該アクセス指示に含まれるアクション情報が表す種別のアクセス）が許可されるか否かを判定する。
【００６６】
具体的には、アクセス対象装置６０ａは、記憶されているアクセス制御情報に基づいて、アクセス指示に基づくアクセス対象資源へのアクセスが許可されるか否かを判定する。
そして、アクセス対象装置６０ａは、アクセス指示に基づくアクセス対象資源へのアクセスが許可されると判定した場合、当該アクセス対象資源へのアクセスを実現するための処理を実行する。
【００６７】
例えば、アクセス対象資源へのアクセスが、ファイルにデータを書き込むことに対応している場合、アクセス対象装置６０ａは、クライアント装置１０からデータを受信し、当該受信したデータを、アクセス対象資源としてのファイルに書き込む。同様に、アクセス対象資源へのアクセスが、ファイルからデータを読み出すことに対応している場合、アクセス対象装置６０ａは、アクセス対象資源としてのファイルからデータを読み出し、当該読み出したデータをクライアント装置１０へ送信する。
【００６８】
なお、アクセス対象装置６０ｂ，…のそれぞれも、アクセス対象装置６０ａと同様の機能を有する。
【００６９】
通信フィルタ装置５０ａは、アクセス制御情報生成サーバ４０から通信フィルタ情報を受信する。通信フィルタ装置５０ａは、受信された通信フィルタ情報を記憶装置に記憶させる。
【００７０】
また、通信フィルタ装置５０ａは、アクセス対象装置６０ａとクライアント装置１０との間の通信を中継する。このとき、通信フィルタ装置５０ａは、アクセス対象装置６０ａ又はクライアント装置１０からデータを受信した場合、受信したデータの送信（転送）を許可するか否かを、記憶されている通信フィルタ情報に基づいて判定する。
【００７１】
通信フィルタ装置５０ａは、受信したデータの転送を許可すると判定した場合、受信したデータを転送することにより、通信を中継する。一方、通信フィルタ装置５０ａは、受信したデータの転送を許可しないと判定した場合、受信したデータを転送しない（転送を禁止する）。
【００７２】
例えば、通信フィルタ装置５０ａは、送信元のアドレスとしてクライアント装置１０のアドレス（クライアント装置１０に割り当てられたアドレス）が設定され、且つ、送信先のアドレスとしてアクセス対象装置６０ａのアドレスが設定されたデータをクライアント装置１０から受信した場合において、クライアント装置１０のアドレスを送信元とする通信を許可する旨を表す通信フィルタ情報が記憶装置に記憶されているとき、当該受信したデータをアクセス対象装置６０ａへ送信する。
【００７３】
同様に、通信フィルタ装置５０ａは、送信元のアドレスとしてアクセス対象装置６０ａのアドレスが設定され、且つ、送信先のアドレスとしてクライアント装置１０のアドレスが設定されたデータをアクセス対象装置６０ａから受信した場合において、クライアント装置１０のアドレスを送信先とする通信を許可する旨を表す通信フィルタ情報が記憶装置に記憶されているとき、当該受信したデータをクライアント装置１０へ送信する。
【００７４】
なお、通信フィルタ装置５０ａは、通信フィルタ情報を記憶装置に記憶させた時点から、予め設定された有効期間が経過した後に、当該通信フィルタ情報を消去するように構成されていてもよい。
【００７５】
また、通信フィルタ装置５０ｂ，…のそれぞれも、通信フィルタ装置５０ａと同様の機能を有する。
【００７６】
（作動）
次に、上述したアクセス制御システム１の作動について、図６及び図７に示したシーケンス図を参照しながら説明する。本例では、アクセス対象装置６０ａが有するアクセス対象資源へのアクセスに関するアクセス制御システム１の処理及び作動を主として説明する。なお、アクセス対象装置６０ｂ，…が有するアクセス対象資源へのアクセスに関するアクセス制御システム１の処理及び作動についても同様に説明される。
【００７７】
先ず、アクセス制御情報生成サーバ４０は、アクセス制御情報を生成する（図６のステップＳ１０１）。具体的には、アクセス制御情報生成サーバ４０は、ユーザ情報記憶部３１に記憶されているユーザ識別情報及び役割識別情報と、ポリシー情報記憶部４１に記憶されているポリシー情報と、に基づいてアクセス制御情報を生成する。
【００７８】
なお、アクセス制御情報生成サーバ４０は、ユーザ情報記憶部３１に記憶されているユーザ識別情報及び役割識別情報と、ポリシー情報記憶部４１に記憶されているポリシー情報と、資源装置対応情報記憶部４２に記憶されている資源グループ識別情報及びアクセス対象装置識別情報と、に
基づいてアクセス制御情報を生成するように構成されていてもよい。
【００７９】
次いで、アクセス制御情報生成サーバ４０は、生成されたアクセス制御情報をアクセス対象装置６０ａへ送信する（図６のステップＳ１０２）。具体的には、アクセス制御情報生成サーバ４０は、生成されたアクセス制御情報の送信先を、資源装置対応情報記憶部４２に記憶されているアクセス対象装置識別情報及び資源グループ識別情報と、アクセス制御情報を生成する基となったポリシー情報と、に基づいて特定する。そして、アクセス制御情報生成サーバ４０は、生成されたアクセス制御情報を、特定された送信先としてのアクセス対象装置（本例では、アクセス対象装置６０ａ）へ送信する。
【００８０】
これにより、アクセス対象装置６０ａは、アクセス制御情報生成サーバ４０からアクセス制御情報を受信する。そして、アクセス対象装置６０ａは、受信されたアクセス制御情報に基づいてアクセス制御設定処理を実行する（図６のステップＳ１０３）。具体的には、アクセス対象装置６０ａは、受信されたアクセス制御情報を記憶装置に記憶させる（即ち、アクセス対象資源へのアクセスの制御の設定を行う）。
【００８１】
その後、クライアント装置１０は、ユーザにより入力された、ユーザ識別情報及びパスワード情報を受け付ける。そして、クライアント装置１０は、受け付けられたユーザ識別情報及びパスワード情報を含むアクセス要求を認証サーバ２０へ送信する（図７のステップＳ２０１）。
【００８２】
これにより、認証サーバ２０は、クライアント装置１０からアクセス要求を受信する。そして、認証サーバ２０は、受信されたアクセス要求に含まれる、ユーザ識別情報及びパスワード情報と、ユーザ情報記憶部３１に記憶されているユーザ識別情報及びパスワード情報と、に基づいて、当該ユーザ識別情報により識別されるユーザが真のユーザであるか否かを判定する認証処理を実行する（図７のステップＳ２０２）。
【００８３】
いま、認証サーバ２０が、ユーザ識別情報により識別されるユーザが真のユーザである（認証処理が成功した）と判定した場合を想定して説明を続ける。なお、認証サーバ２０が、ユーザ識別情報により識別されるユーザが真のユーザでない（認証処理が失敗した）と判定した場合、アクセス制御システム１は、後述する図７のステップＳ２０３〜ステップＳ２０７の処理を実行しない。
【００８４】
次に、認証サーバ２０は、受信されたアクセス要求の送信元としてのＩＰアドレスを表すアドレス情報を取得する（図７のステップＳ２０３）。そして、認証サーバ２０は、取得されたアドレス情報と、受信されたアクセス要求に含まれるユーザ識別情報と、をアクセス制御情報生成サーバ４０へ送信する（図７のステップＳ２０４）。
【００８５】
これにより、アクセス制御情報生成サーバ４０は、認証サーバ２０から、ユーザ識別情報及びアドレス情報を受信する。次いで、アクセス制御情報生成サーバ４０は、通信フィルタ情報を生成する（図７のステップＳ２０５）。具体的には、アクセス制御情報生成サーバ４０は、受信されたアドレス情報に基づいて通信フィルタ情報を生成する。
【００８６】
次いで、アクセス制御情報生成サーバ４０は、生成された通信フィルタ情報を通信フィルタ装置５０ａへ送信する（図７のステップＳ２０６）。
【００８７】
具体的には、アクセス制御情報生成サーバ４０は、生成された通信フィルタ情報の送信先を、資源装置対応情報記憶部４２に記憶されている通信フィルタ装置識別情報及び資源グループ識別情報と、ポリシー情報記憶部４１に記憶されているポリシー情報と、ユーザ情報記憶部３１に記憶されているユーザ識別情報及び役割識別情報と、に基づいて特定する。即ち、アクセス制御システム１は、アクセス要求に含まれるユーザ識別情報に対応付けられた役割識別情報を含むポリシー情報を特定し、更に、そのポリシー情報に含まれる資源グループ識別情報と対応付けられている通信フィルタ装置識別情報を特定する。そして、アクセス制御情報生成サーバ４０は、生成された通信フィルタ情報を、特定された送信先としての通信フィルタ装置（本例では、通信フィルタ装置５０ａ）へ送信する。
【００８８】
これにより、通信フィルタ装置５０ａは、アクセス制御情報生成サーバ４０から通信フィルタ情報を受信する。そして、通信フィルタ装置５０ａは、受信された通信フィルタ情報に基づいて通信フィルタ設定処理を実行する（図７のステップＳ２０７）。具体的には、通信フィルタ装置５０ａは、受信された通信フィルタ情報を記憶装置に記憶させる（即ち、アクセス対象装置６０ａとクライアント装置１０との間の通信の制御の設定を行う）。
【００８９】
その後、クライアント装置１０は、ユーザにより入力されたアクセス指示を受け付ける。アクセス指示は、クライアント装置１０のユーザを識別するためのユーザ識別情報と、アクセス対象資源を識別するための資源識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を含む。
【００９０】
クライアント装置１０は、受け付けられたアクセス指示を通信フィルタ装置５０ａを介して（経由して）アクセス対象装置６０ａへ送信する。この時点では、通信フィルタ装置５０ａは、クライアント装置１０のアドレスを送信元とする通信、及び、クライアント装置１０のアドレスを送信先とする通信の両方を許可する旨を表す通信フィルタ情報を記憶装置に記憶している。従って、通信フィルタ装置５０ａは、クライアント装置１０とアクセス対象装置６０ａとの間の通信を中継する。
【００９１】
これにより、アクセス対象装置６０ａは、クライアント装置１０からアクセス指示を受信する。いま、アクセス対象装置６０ａが、アクセス指示に含まれるユーザ識別情報により識別されるユーザによる、アクセス指示に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を、記憶装置に記憶している場合を想定する。この場合、アクセス対象装置６０ａは、アクセス指示に含まれる資源識別情報により識別されるアクセス対象資源へのアクセスを実現するための処理を実行する（図７のステップＳ２０８）。
【００９２】
このようにして、クライアント装置１０は、アクセス対象装置６０ａが有するアクセス対象資源へアクセスすることができる。
【００９３】
以上、説明したように、本発明の第１実施形態に係るアクセス制御システム１において、アクセス制御情報生成サーバ４０は、ポリシー情報に基づいてアクセス制御情報を生成し、生成されたアクセス制御情報をアクセス対象装置６０ａ，６０ｂ，…へ送信する。これにより、アクセス対象装置６０ａ，６０ｂ，…は、受信したアクセス制御情報に基づいて、ユーザによるアクセス対象資源へのアクセスを許可する。
【００９４】
更に、アクセス制御情報生成サーバ４０は、アクセス要求を送信してきたクライアント装置１０のアドレスを送信元又は送信先とする通信を許可する旨を表す通信フィルタ情報を生成する。更に、アクセス制御情報生成サーバ４０は、アクセス要求を送信してきたユーザに割り当てられた役割とポリシー情報にて対応付けられたアクセス対象資源を有するアクセス対象装置６０ａ，６０ｂ，…とクライアント装置１０との間の通信を中継する通信フィルタ装置５０ａ，５０ｂ，…へ通信フィルタ情報を送信する。これにより、通信フィルタ装置５０ａ，５０ｂ，…は、クライアント装置１０による通信を許可する。
【００９５】
この結果、アクセス対象装置６０ａ，６０ｂ，…によって許可されているアクセスをクライアント装置１０に円滑に行わせることができる。
【００９６】
更に、第１実施形態に係るアクセス制御システム１において、アクセス制御情報生成サーバ４０は、認証サーバ２０による認証処理にてユーザが真のユーザであると判定された場合に通信フィルタ情報を生成する。
【００９７】
これによれば、クライアント装置１０のユーザが真のユーザであると判定された場合にのみ、当該クライアント装置１０に、アクセス対象資源へアクセスさせることができる。換言すると、クライアント装置１０のユーザが真のユーザでないと判定された場合には、当該クライアント装置１０によるアクセス対象資源へのアクセスを禁止することができる。
【００９８】
なお、第１実施形態の変形例に係るアクセス制御システム１において、アクセス要求は、クライアント装置１０に固有の情報である装置固有情報（例えば、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレス等）を含んでいてもよい。更に、この場合、認証サーバ２０は、装置固有情報にも基づいて認証処理を実行する。
【００９９】
また、第１実施形態の他の変形例に係るアクセス制御システム１は、クライアント装置１０が、認証サーバ２０及び通信フィルタ装置５０ａ，５０ｂ，…を順に経由させて、アクセス指示をアクセス対象装置６０ａ，６０ｂ，…へ送信するように構成されていてもよい。
【０１００】
＜第２実施形態＞
次に、本発明の第２実施形態に係るアクセス制御システムについて説明する。第２実施形態に係るアクセス制御システムは、上記第１実施形態に係るアクセス制御システムに対して、認証処理が成功した場合に、当該認証処理に係るユーザによるアクセスを許可する旨を表すアクセス制御情報を生成するように構成される点において相違している。従って、以下、かかる相違点を中心として説明する。
【０１０１】
第２実施形態に係るアクセス制御情報送信部４３は、ポリシー情報記憶部４１に記憶されているポリシー情報のうちの、ユーザ情報受信部４４により受信されたユーザ識別情報と対応付けてユーザ情報記憶部３１に記憶されている役割識別情報を含むポリシー情報のそれぞれに対して、アクセス制御情報送信処理を実行する。
【０１０２】
アクセス制御情報送信処理は、ユーザ情報受信部４４により受信されたユーザ識別情報により識別されるユーザによる、当該アクセス制御情報送信処理の対象となるポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成する処理を含む。
【０１０３】
加えて、アクセス制御情報送信処理は、生成されたアクセス制御情報を、当該アクセス制御情報送信処理の対象となるポリシー情報に含まれる資源グループ識別情報と対応付けて資源装置対応情報記憶部４２に記憶されているアクセス対象装置識別情報により識別されるアクセス対象装置６０ａ，６０ｂ，…へ送信する処理を含む。
【０１０４】
次に、第２実施形態に係るアクセス制御システム１の作動について説明する。
第２実施形態に係るアクセス制御システム１は、図６及び図７に示した処理に代えて、図７のステップＳ２０４とステップＳ２０５との間に、図８に示したステップＳ３０１〜ステップＳ３０３の処理を追加した処理を実行する。
【０１０５】
具体的には、アクセス制御情報生成サーバ４０は、認証サーバ２０から、ユーザ識別情報及びアドレス情報を受信すると、アクセス制御情報を生成する（図８のステップＳ３０１）。具体的には、アクセス制御情報生成サーバ４０は、受信されたユーザ識別情報と、ユーザ情報記憶部３１に記憶されているユーザ識別情報及び役割識別情報と、ポリシー情報記憶部４１に記憶されているポリシー情報と、に基づいてアクセス制御情報を生成する。
【０１０６】
次いで、アクセス制御情報生成サーバ４０は、生成されたアクセス制御情報をアクセス対象装置６０ａへ送信する（図８のステップＳ３０２）。
【０１０７】
これにより、アクセス対象装置６０ａは、アクセス制御情報生成サーバ４０からアクセス制御情報を受信する。そして、アクセス対象装置６０ａは、受信されたアクセス制御情報に基づいてアクセス制御設定処理を実行する（図８のステップＳ３０３）。
【０１０８】
このように、第２実施形態に係るアクセス制御システム１は、認証サーバ２０による認証処理にてユーザが真のユーザであると判定された場合に当該ユーザによるアクセスを許可する旨を表すアクセス制御情報を、アクセス対象装置６０ａ，６０ｂ，…に設定する。
【０１０９】
これによれば、クライアント装置１０のユーザが真のユーザであると判定された場合にのみ、当該クライアント装置１０に、アクセス対象資源へアクセスさせることができる。換言すると、クライアント装置１０のユーザが真のユーザでないと判定された場合には、当該クライアント装置１０によるアクセス対象資源へのアクセスを禁止することができる。
【０１１０】
更に、第２実施形態に係るアクセス制御システム１は、第１実施形態に係るアクセス制御システム１と同様の作用及び効果も奏することができる。
【０１１１】
＜第３実施形態＞
次に、本発明の第３実施形態に係るアクセス制御システムについて説明する。第３実施形態に係るアクセス制御システムは、上記第１実施形態に係るアクセス制御システムに対して、通信フィルタ設定処理の実行が完了した場合にその旨を表す通知をクライアント装置１０へ送信するように構成される点において相違している。従って、以下、かかる相違点を中心として説明する。
【０１１２】
第３実施形態に係るアクセス対象装置６０ａの機能は、アクセス制御設定処理の実行が完了した場合に、アクセス制御設定完了通知をアクセス制御情報生成サーバ４０へ送信する機能を含む。アクセス制御設定完了通知は、アクセス制御情報に基づく、アクセス対象資源へのアクセスの制御の設定が完了した旨を表す情報である。なお、アクセス対象装置６０ｂ，…のそれぞれも、アクセス対象装置６０ａと同様の機能を有する。
【０１１３】
第３実施形態に係る通信フィルタ装置５０ａの機能は、通信フィルタ設定処理の実行が完了した場合に、通信フィルタ設定完了通知をアクセス制御情報生成サーバ４０へ送信する機能を含む。通信フィルタ設定完了通知は、通信フィルタ情報に基づく、アクセス対象装置６０ａとクライアント装置１０との間の通信の制御の設定が完了した旨を表す情報である。なお、通信フィルタ装置５０ｂ，…のそれぞれも、通信フィルタ装置５０ａと同様の機能を有する。
【０１１４】
第３実施形態に係るアクセス制御情報生成サーバ４０の機能は、図９に示したように、第１実施形態に係るアクセス制御情報生成サーバ４０の機能に加えて、アクセス許可通知送信部（アクセス制御設定完了通知送信手段、及び、通信フィルタ設定完了通知送信手段）４６を含む。
【０１１５】
アクセス許可通知送信部４６は、アクセス制御設定完了通知をアクセス対象装置６０ａ，６０ｂ，…から受信し、且つ、通信フィルタ設定完了通知を通信フィルタ装置５０ａ，５０ｂ，…から受信した場合、認証サーバ２０へアクセス許可通知を送信する。アクセス許可通知は、アクセス対象資源へのアクセスが許可された（アクセス対象資源へのアクセスが可能な状態である）旨を表す情報である。なお、本例では、アクセス許可通知は、アクセス制御設定完了通知、及び、通信フィルタ設定完了通知を構成している。
【０１１６】
第３実施形態に係る認証サーバ２０の機能は、図９に示したように、第１実施形態に係る認証サーバ２０の機能に加えて、アクセス許可通知転送部２５を含む。
アクセス許可通知転送部２５は、アクセス制御情報生成サーバ４０からアクセス許可通知を受信する。アクセス許可通知転送部２５は、アクセス要求を送信してきたクライアント装置１０へ、受信されたアクセス許可通知を送信（転送）する。
【０１１７】
また、第３実施形態に係るクライアント装置１０は、アクセス許可通知を受信した場合に、アクセス指示を送信するように構成される。
【０１１８】
次に、第３実施形態に係るアクセス制御システム１の作動について説明する。
第３実施形態に係るアクセス制御システム１は、図６に示した処理に代えて、図６のステップＳ１０３の後に、図１０に示したステップＳ４０１の処理を追加した処理を実行する。
【０１１９】
具体的には、アクセス対象装置６０ａは、アクセス制御設定処理の実行が完了した場合に、その旨を表すアクセス制御設定完了通知をアクセス制御情報生成サーバ４０へ送信する（図１０のステップＳ４０１）。これにより、アクセス制御情報生成サーバ４０は、アクセス対象装置６０ａからアクセス制御設定完了通知を受信する。
【０１２０】
また、第３実施形態に係るアクセス制御システム１は、図７に示した処理に代えて、図７のステップＳ２０７とステップＳ０８との間に、図１１に示したステップＳ５０１及びステップＳ５０２の処理を追加した処理を実行する。
【０１２１】
具体的には、通信フィルタ装置５０ａは、通信フィルタ設定処理の実行が完了した場合に、その旨を表す通信フィルタ設定完了通知をアクセス制御情報生成サーバ４０へ送信する（図１１のステップＳ５０１）。これにより、アクセス制御情報生成サーバ４０は、通信フィルタ装置５０ａから通信フィルタ設定完了通知を受信する。
【０１２２】
そして、アクセス制御情報生成サーバ４０は、アクセス制御設定完了通知、及び、通信フィルタ設定完了通知の両方を受信したので、アクセス許可通知を認証サーバ２０へ送信する（図１１のステップＳ５０２）。これにより、認証サーバ２０は、アクセス制御情報生成サーバ４０からアクセス許可通知を受信し、受信したアクセス許可通知をクライアント装置１０へ送信する。
【０１２３】
これにより、クライアント装置１０は、認証サーバ２０からアクセス許可通知を受信する。そして、クライアント装置１０は、アクセス指示を、通信フィルタ装置５０ａを介してアクセス対象装置６０ａへ送信する（図１１のステップＳ２０８）。
【０１２４】
このように、第３実施形態に係るアクセス制御システム１によれば、アクセス対象資源へのアクセスの制御の設定が完了したことを、クライアント装置１０に通知することができる。更に、アクセス対象装置６０ａ，６０ｂ，…とクライアント装置１０との間の通信の制御の設定が完了したことを、クライアント装置１０に通知することができる。これにより、クライアント装置１０は、より一層円滑にアクセス対象資源へアクセスすることができる。
【０１２５】
更に、第３実施形態に係るアクセス制御システム１は、第１実施形態に係るアクセス制御システム１と同様の作用及び効果も奏することができる。
【０１２６】
なお、第３実施形態の変形例に係る認証サーバ２０は、認証処理にてユーザが真のユーザであると判定された場合に、その旨を表す認証成功通知を、アクセス要求を送信してきたクライアント装置１０へ送信するように構成されていてもよい。
【０１２７】
また、第３実施形態の他の変形例に係るアクセス制御システム１は、アクセス制御情報生成サーバ４０が、認証サーバ２０を経由することなく、アクセス許可通知をクライアント装置１０へ送信するように構成されていてもよい。
【０１２８】
また、第３実施形態の他の変形例に係るアクセス制御システム１は、アクセス制御設定完了通知、及び、通信フィルタ設定完了通知のいずれか一方のみをクライアント装置１０へ送信するように構成されていてもよい。
【０１２９】
＜第４実施形態＞
次に、本発明の第４実施形態に係るアクセス制御情報生成システムについて図１２を参照しながら説明する。
第４実施形態に係るアクセス制御情報生成システム１００は、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶部（ポリシー情報記憶手段）１０１と、
ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶するユーザ情報記憶部（ユーザ情報記憶手段）１０２と、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信するアクセス要求受信部（アクセス要求受信手段）１０３と、
上記記憶されているポリシー情報に含まれる役割識別情報と対応付けて記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置へ送信するアクセス制御情報送信部（アクセス制御情報送信手段）１０４と、
上記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得するアドレス情報取得部（アドレス情報取得手段）１０５と、
上記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、上記記憶されているポリシー情報のうちの、上記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する上記アクセス対象装置と上記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信部（通信フィルタ情報送信手段）１０６と、
を備える。
【０１３０】
これによれば、アクセス制御情報生成システム１００は、ポリシー情報に基づいてアクセス制御情報を生成し、生成されたアクセス制御情報をアクセス対象装置へ送信する。これにより、アクセス対象装置は、受信したアクセス制御情報に基づいて、ユーザによるアクセス対象資源へのアクセスを許可する。
【０１３１】
更に、アクセス制御情報生成システム１００は、アクセス要求を送信してきたクライアント装置のアドレスによる通信を許可する旨を表す通信フィルタ情報を生成する。更に、アクセス制御情報生成システム１００は、アクセス要求を送信してきたユーザに割り当てられた役割とポリシー情報にて対応付けられたアクセス対象資源を有するアクセス対象装置とクライアント装置との間の通信を中継する通信フィルタ装置へ通信フィルタ情報を送信する。これにより、通信フィルタ装置は、クライアント装置による通信を許可する。
【０１３２】
この結果、アクセス対象装置によって許可されているアクセスをクライアント装置に円滑に行わせることができる。
【０１３３】
以上、上記実施形態を参照して本願発明を説明したが、本願発明は、上述した実施形態に限定されるものではない。本願発明の構成及び詳細に、本願発明の範囲内において当業者が理解し得る様々な変更をすることができる。
【０１３４】
なお、上記各実施形態においてアクセス制御システム１の各機能は、ＣＰＵがプログラム（ソフトウェア）を実行することにより実現されていたが、回路等のハードウェアにより実現されていてもよい。
【０１３５】
また、上記各実施形態においてプログラムは、記憶装置に記憶されていたが、コンピュータが読み取り可能な記録媒体に記憶されていてもよい。例えば、記録媒体は、フレキシブルディスク、光ディスク、光磁気ディスク、及び、半導体メモリ等の可搬性を有する媒体である。
【０１３６】
また、上記実施形態の他の変形例として、上述した実施形態及び変形例の任意の組み合わせが採用されてもよい。
【０１３７】
＜付記＞
上記実施形態の一部又は全部は、以下の付記のように記載され得るが、以下には限られない。
【０１３８】
（付記１）
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶手段と、
ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶するユーザ情報記憶手段と、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信するアクセス要求受信手段と、
前記記憶されているポリシー情報に含まれる役割識別情報と対応付けて記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信するアクセス制御情報送信手段と、
前記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得するアドレス情報取得手段と、
前記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶されているポリシー情報のうちの、前記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を備えるアクセス制御情報生成システム。
【０１３９】
これによれば、アクセス制御情報生成システムは、ポリシー情報に基づいてアクセス制御情報を生成し、生成されたアクセス制御情報をアクセス対象装置へ送信する。これにより、アクセス対象装置は、受信したアクセス制御情報に基づいて、ユーザによるアクセス対象資源へのアクセスを許可する。
【０１４０】
更に、アクセス制御情報生成システムは、アクセス要求を送信してきたクライアント装置のアドレスによる通信を許可する旨を表す通信フィルタ情報を生成する。更に、アクセス制御情報生成システムは、アクセス要求を送信してきたユーザに割り当てられた役割とポリシー情報にて対応付けられたアクセス対象資源を有するアクセス対象装置とクライアント装置との間の通信を中継する通信フィルタ装置へ通信フィルタ情報を送信する。これにより、通信フィルタ装置は、クライアント装置による通信を許可する。
【０１４１】
この結果、アクセス対象装置によって許可されているアクセスをクライアント装置に円滑に行わせることができる。
【０１４２】
（付記２）
付記１に記載のアクセス制御情報生成システムであって、
前記資源グループ識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置を識別するためのアクセス対象装置識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置を識別するための通信フィルタ装置識別情報と、を対応付けて記憶する資源装置対応情報記憶手段を備え、
前記アクセス制御情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置として、当該資源グループ識別情報と対応付けて記憶されている前記アクセス対象装置識別情報により識別される前記アクセス対象装置を用いるように構成され、
前記通信フィルタ情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置として、当該資源グループ識別情報と対応付けて記憶されている前記通信フィルタ装置識別情報により識別される前記通信フィルタ装置を用いるように構成されたアクセス制御情報生成システム。
【０１４３】
（付記３）
付記１又は付記２に記載のアクセス制御情報生成システムであって、
前記アクセス要求は、前記ユーザ識別情報と、前記クライアント装置のユーザにより入力されたパスワード情報と、を含み、
前記アクセス制御情報生成システムは、
前記受信されたアクセス要求に含まれる、前記ユーザ識別情報及び前記パスワード情報に基づいて、当該ユーザ識別情報により識別されるユーザが真のユーザであるか否かを判定する認証処理を実行する認証処理手段を備え、
前記通信フィルタ情報送信手段は、前記認証処理にて前記ユーザが真のユーザであると判定された場合に前記通信フィルタ情報を生成するように構成されたアクセス制御情報生成システム。
【０１４４】
これによれば、クライアント装置のユーザが真のユーザであると判定された場合にのみ、当該クライアント装置に、アクセス対象資源へアクセスさせることができる。換言すると、クライアント装置のユーザが真のユーザでないと判定された場合には、当該クライアント装置によるアクセス対象資源へのアクセスを禁止することができる。
【０１４５】
（付記４）
付記３に記載のアクセス制御情報生成システムであって、
前記認証処理手段は、前記認証処理にて前記ユーザが真のユーザであると判定された場合に、その旨を表す認証成功通知を前記アクセス要求を送信してきた前記クライアント装置へ送信するように構成されたアクセス制御情報生成システム。
【０１４６】
（付記５）
付記１乃至付記４のいずれか一項に記載のアクセス制御情報生成システムであって、
前記アクセス制御情報に基づく、前記アクセス対象資源へのアクセスの制御の設定が完了した旨を表すアクセス制御設定完了通知を前記アクセス対象装置から受信した場合、当該アクセス制御設定完了通知を前記アクセス要求を送信してきた前記クライアント装置へ送信するアクセス制御設定完了通知送信手段を備えるアクセス制御情報生成システム。
【０１４７】
これによれば、アクセス対象資源へのアクセスの制御の設定が完了したことを、クライアント装置に通知することができる。これにより、クライアント装置は、より一層円滑にアクセス対象資源へアクセスすることができる。
【０１４８】
（付記６）
付記１乃至付記５のいずれか一項に記載のアクセス制御情報生成システムであって、
前記通信フィルタ情報に基づく、前記アクセス対象装置と前記クライアント装置との間の通信の制御の設定が完了した旨を表す通信フィルタ設定完了通知を前記通信フィルタ装置から受信した場合、当該通信フィルタ設定完了通知を前記アクセス要求を送信してきた前記クライアント装置へ送信する通信フィルタ設定完了通知送信手段を備えるアクセス制御情報生成システム。
【０１４９】
これによれば、アクセス対象装置とクライアント装置との間の通信の制御の設定が完了したことを、クライアント装置に通知することができる。これにより、クライアント装置は、より一層円滑にアクセス対象資源へアクセスすることができる。
【０１５０】
（付記７）
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するとともに、ユーザを識別するためのユーザ識別情報と、当該ユーザに割り当てられた役割を識別するための役割識別情報と、を対応付けて記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けて当該記憶装置に記憶されているユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信し、
クライアント装置のユーザを識別するためのユーザ識別情報を含むアクセス要求を当該クライアント装置から受信し、
前記受信されたアクセス要求の送信元を通信網にて特定するためのアドレスを表すアドレス情報を取得し、
前記取得されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶装置に記憶されているポリシー情報のうちの、前記受信されたアクセス要求に含まれるユーザ識別情報と対応付けて当該記憶装置に記憶されている役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する、アクセス制御情報生成方法。
【０１５１】
（付記８）
付記７に記載のアクセス制御情報生成方法であって、
前記記憶装置が、前記資源グループ識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置を識別するためのアクセス対象装置識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置を識別するための通信フィルタ装置識別情報と、を対応付けて記憶し、
前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置として、当該資源グループ識別情報と対応付けて前記記憶装置に記憶されている前記アクセス対象装置識別情報により識別される前記アクセス対象装置を用い、
前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置として、当該資源グループ識別情報と対応付けて前記記憶装置に記憶されている前記通信フィルタ装置識別情報により識別される前記通信フィルタ装置を用いる、アクセス制御情報生成方法。
【０１５２】
（付記９）
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶するポリシー情報記憶手段と、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信するユーザ情報受信手段と、
前記記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信するアクセス制御情報送信手段と、
前記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶されているポリシー情報のうちの、前記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を備えるアクセス制御情報生成装置。
【０１５３】
（付記１０）
付記９に記載のアクセス制御情報生成装置であって、
前記資源グループ識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置を識別するためのアクセス対象装置識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置を識別するための通信フィルタ装置識別情報と、を対応付けて記憶する資源装置対応情報記憶手段を備え、
前記アクセス制御情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置として、当該資源グループ識別情報と対応付けて記憶されている前記アクセス対象装置識別情報により識別される前記アクセス対象装置を用いるように構成され、
前記通信フィルタ情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置として、当該資源グループ識別情報と対応付けて記憶されている前記通信フィルタ装置識別情報により識別される前記通信フィルタ装置を用いるように構成されたアクセス制御情報生成装置。
【０１５４】
（付記１１）
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信し、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信し、
前記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶装置に記憶されているポリシー情報のうちの、前記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する、アクセス制御情報生成方法。
【０１５５】
（付記１２）
付記１１に記載のアクセス制御情報生成方法であって、
前記記憶装置が、前記資源グループ識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置を識別するためのアクセス対象装置識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置を識別するための通信フィルタ装置識別情報と、を対応付けて記憶し、
前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置として、当該資源グループ識別情報と対応付けて前記記憶装置に記憶されている前記アクセス対象装置識別情報により識別される前記アクセス対象装置を用い、
前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置として、当該資源グループ識別情報と対応付けて前記記憶装置に記憶されている前記通信フィルタ装置識別情報により識別される前記通信フィルタ装置を用いる、アクセス制御情報生成方法。
【０１５６】
（付記１３）
情報処理装置に、
ユーザに割り当てられた役割を識別するための役割識別情報と、アクセス対象装置が有する、アクセスの対象となる資源であるアクセス対象資源を少なくとも１つ含む資源グループを識別するための資源グループ識別情報と、当該アクセス対象資源へのアクセスの種別を表すアクション情報と、を対応付けたポリシー情報を記憶する記憶装置に記憶されているポリシー情報に含まれる役割識別情報と対応付けられたユーザ識別情報により識別されるユーザによる、当該ポリシー情報に含まれるアクション情報が表す種別のアクセスを許可する旨を表すアクセス制御情報を生成し、当該生成されたアクセス制御情報を当該ポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置へ送信するアクセス制御情報送信手段と、
クライアント装置のユーザを識別するためのユーザ識別情報と、当該クライアント装置を通信網にて特定するためのアドレスを表すアドレス情報と、を受信するユーザ情報受信手段と、
前記受信されたアドレス情報が表すアドレスを送信元とする通信、及び、当該アドレスを送信先とする通信の少なくとも一方を許可する旨を表す通信フィルタ情報を生成し、当該生成された通信フィルタ情報を、前記記憶装置に記憶されているポリシー情報のうちの、前記受信されたユーザ識別情報と対応付けられた役割識別情報を含むポリシー情報に含まれる資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する通信フィルタ装置へ送信する通信フィルタ情報送信手段と、
を実現させるためのプログラム。
【０１５７】
（付記１４）
付記１３に記載のプログラムであって、
前記記憶装置が、前記資源グループ識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置を識別するためのアクセス対象装置識別情報と、当該資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置を識別するための通信フィルタ装置識別情報と、を対応付けて記憶し、
前記アクセス制御情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置として、当該資源グループ識別情報と対応付けて前記記憶装置に記憶されている前記アクセス対象装置識別情報により識別される前記アクセス対象装置を用いるように構成され、
前記通信フィルタ情報送信手段は、前記資源グループ識別情報により識別される資源グループに含まれるアクセス対象資源を有する前記アクセス対象装置と前記クライアント装置との間の通信を中継する前記通信フィルタ装置として、当該資源グループ識別情報と対応付けて前記記憶装置に記憶されている前記通信フィルタ装置識別情報により識別される前記通信フィルタ装置を用いるように構成されたプログラム。
【０１５８】
なお、本発明は、日本国にて２０１０年９月２７日に出願された特願２０１０−２１４７４８の特許出願に基づく優先権主張の利益を享受するものであり、当該特許出願にて開示された内容のすべてが本明細書に含まれるものとする。
【産業上の利用可能性】
【０１５９】
本発明は、クライアント装置からの資源へのアクセスを制御するための情報を生成するアクセス制御情報生成システム等に適用可能である。
【符号の説明】
【０１６０】
１      アクセス制御システム
１０    クライアント装置
２０    認証サーバ
２１    アクセス要求受信部
２２    アドレス情報取得部
２３    認証処理部
２４    ユーザ情報送信部
２５    アクセス許可通知転送部
３０    ユーザ情報管理サーバ
３１    ユーザ情報記憶部
４０    アクセス制御情報生成サーバ
４１    ポリシー情報記憶部
４２    資源装置対応情報記憶部
４３    アクセス制御情報送信部
４４    ユーザ情報受信部
４５    通信フィルタ情報送信部
４６    アクセス許可通知送信部
５０ａ，５０ｂ，…  通信フィルタ装置
６０ａ，６０ｂ，…  アクセス対象装置
１００  アクセス制御情報生成システム
１０１  ポリシー情報記憶部
１０２  ユーザ情報記憶部
１０３  アクセス要求受信部
１０４  アクセス制御情報送信部
１０５  アドレス情報取得部
１０６  通信フィルタ情報送信部
ＮＷ    通信回線
【図１】
2012042734.tif 000003
【図２】
2012042734.tif 000004
【図３】
2012042734.tif 000005
【図４】
2012042734.tif 000006
【図５】
2012042734.tif 000007
【図６】
2012042734.tif 000008
【図７】
2012042734.tif 000009
【図８】
2012042734.tif 000010
【図９】
2012042734.tif 000011
【図１０】
2012042734.tif 000012
【図１１】
2012042734.tif 000013
【図１２】
2012042734.tif 000014
【国際調査報告】
2012042734.tif 000015
2012042734.tif 000016
2012042734.tif 000017
2012042734.tif 000018