(57)【要約】【課題】ユーザに対して、同じ資源についての利用権限の重複付与を防止する。【解決手段】情報処理システムは、ネットワーク上の資源を利用する権限に基づき資源へのアクセスを制御する第１の制御手段と、第１の制御手段を介して資源へアクセス可能なユーザを登録して管理する第１の管理手段と、第１の制御手段とは別に、ネットワーク上の資源を利用する権限に基づき資源へのアクセスを制御する第２の制御手段と、第２の制御手段を介して資源へアクセス可能なユーザを登録して管理する第２の管理手段と、ユーザに対して第２の管理手段が管理する一の資源の利用権限の設定が行われる場合に、第１の管理手段が管理するユーザの一の資源の利用権限を特定する特定手段と、を備える。【選択図】図４
2020052540.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク上の資源を利用する権限に基づき当該資源へのアクセスを制御する第１の制御手段と、
前記第１の制御手段を介して前記資源へアクセス可能なユーザを登録して管理する第１の管理手段と、
前記第１の制御手段とは別に、ネットワーク上の資源を利用する権限に基づき当該資源へのアクセスを制御する第２の制御手段と、
前記第２の制御手段を介して前記資源へアクセス可能なユーザを登録して管理する第２の管理手段と、
前記ユーザに対して前記第２の管理手段が管理する一の資源の利用権限の設定が行われる場合に、前記第１の管理手段が管理する当該ユーザの当該一の資源の利用権限を特定する特定手段と、
を備える情報処理システム。
【請求項２】
前記特定手段は、特定した前記第１の管理手段における前記ユーザの前記一の資源の利用権限に基づいて、当該第１の管理手段または前記第２の管理手段における当該ユーザの当該一の資源の利用権限の設定に関する処理を行う
請求項１に記載の情報処理システム。
【請求項３】
前記特定手段は、前記ユーザの前記一の資源の利用権限が前記第１の管理手段にて既に設定されていることを特定した場合に、前記第２の管理手段における当該ユーザの当該一の資源の利用権限の付与を行わないようにする
請求項２に記載の情報処理システム。
【請求項４】
前記一の資源は、複数の機能単位を含み、
前記特定手段は、前記第１の管理手段にて既に設定されている前記ユーザの前記一の資源の利用権限が、前記第２の管理手段にて設定が行われる当該ユーザの当該一の資源の機能の利用権限を包含している場合に、当該一の資源の利用権限の付与を行わないようにする
請求項３に記載の情報処理システム。
【請求項５】
前記特定手段は、前記ユーザの前記一の資源の利用権限が前記第２の管理手段にて既に設定されていることを特定した場合に、前記第１の管理手段における当該ユーザの当該一の資源の利用権限を解除する
請求項２に記載の情報処理システム。
【請求項６】
前記一の資源は、複数の機能単位を含み、
前記特定手段は、前記第２の管理手段にて設定が行われる前記ユーザの前記一の資源の利用権限が、前記第１の管理手段にて既に設定されている当該ユーザの当該一の資源の機能の利用権限を包含している場合に、当該ユーザの当該一の資源の利用権限を解除する
請求項５に記載の情報処理システム。
【請求項７】
前記特定手段は、前記第２の管理手段にて前記ユーザの前記一の資源の利用権限を解除する設定が行われる場合であって、前記第１の管理手段にて当該ユーザの当該一の資源の利用権限が付与されていない場合に、当該第１の管理手段にて当該ユーザに対して当該一の資源の利用権限を付与する
請求項２に記載の情報処理システム。
【請求項８】
前記第１の管理手段または前記第２の管理手段にて前記ユーザの前記一の資源の利用権限の設定が行われた場合に、当該ユーザの当該一の資源の利用権限の設定を行う管理者の操作画面にて、当該一の資源の利用権限の設定に関する通知を行う通知手段を備える
請求項２に記載の情報処理システム。
【請求項９】
前記第１の管理手段にて前記一の資源の利用権限の設定が行われた場合に、当該一の資源の利用権限の設定に関する通知を、当該第１の管理手段にて管理される前記ユーザまたは当該第１の管理手段を管理する管理者に対して行う通知手段を備える
請求項２に記載の情報処理システム。
【請求項１０】
ネットワーク上の資源を利用する権限に基づきアクセスを制御する制御手段によってアクセスの制御が行われる資源に対するユーザの利用権限の設定を受け付ける受付手段と、
一の制御手段がアクセスを制御する一の資源に対する前記ユーザの利用権限の設定が行われる場合に、当該一の制御手段とは異なる他の制御手段がアクセスを制御する当該ユーザの当該一の資源の利用権限に関する権限情報を画面に表示する表示手段と、
を備える情報処理装置。
【請求項１１】
コンピュータに、
ネットワーク上の資源を利用する権限に基づきアクセスを制御する制御手段によってアクセスの制御が行われる資源に対するユーザの利用権限の設定を受け付ける機能と、
一の制御手段がアクセスを制御する一の資源に対する前記ユーザの利用権限の設定が行われる場合に、当該一の制御手段とは異なる他の制御手段が制御する当該ユーザの当該一の資源の利用権限を特定する機能と、
を実現させるプログラム。
【請求項１２】
コンピュータに、
ネットワーク上の資源を利用する権限に基づきアクセスを制御する制御手段によってアクセスの制御が行われる資源に対するユーザの利用権限の設定を受け付ける機能と、
一の制御手段がアクセスを制御する一の資源に対する前記ユーザの利用権限の設定が行われる場合に、当該一の制御手段とは異なる他の制御手段が制御する当該ユーザの当該一の資源の利用権限に関する権限情報を画面に表示する機能と、
を実現させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、情報処理装置およびプログラムに関する。
【背景技術】
【０００２】
例えば特許文献１には、１台以上の情報処理装置を有し、電子機器にサービスの機能を提供する情報処理システムであって、サービスのライセンス認証に使用する識別情報と対応付けて、ライセンス認証後に提供するサービスの機能を管理する識別情報管理手段と、ライセンス認証後のサービスの機能を組織ごとに管理する組織情報管理手段と、組織情報管理手段により組織ごとに管理されているライセンス認証後のサービスの機能に基づき、組織に提供するサービスの機能を管理するサービス管理手段と、を有する情報処理システムが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１７−１０２８１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ネットワーク上の資源を利用する権限に基づき資源へのアクセスを制御する制御機能、および、制御機能を用いて資源へアクセス可能なユーザを管理する管理機能を有するシステムにおいて、従来は、ユーザに対し、同じ資源についての利用権限を重複して付与してしまう可能性があった。
本発明は、ユーザに対して、同じ資源についての利用権限の重複付与を防止することを目的とする。
【課題を解決するための手段】
【０００５】
請求項１に記載の発明は、ネットワーク上の資源を利用する権限に基づき当該資源へのアクセスを制御する第１の制御手段と、前記第１の制御手段を介して前記資源へアクセス可能なユーザを登録して管理する第１の管理手段と、前記第１の制御手段とは別に、ネットワーク上の資源を利用する権限に基づき当該資源へのアクセスを制御する第２の制御手段と、前記第２の制御手段を介して前記資源へアクセス可能なユーザを登録して管理する第２の管理手段と、前記ユーザに対して前記第２の管理手段が管理する一の資源の利用権限の設定が行われる場合に、前記第１の管理手段が管理する当該ユーザの当該一の資源の利用権限を特定する特定手段と、を備える情報処理システムである。
請求項２に記載の発明は、前記特定手段は、特定した前記第１の管理手段における前記ユーザの前記一の資源の利用権限に基づいて、当該第１の管理手段または前記第２の管理手段における当該ユーザの当該一の資源の利用権限の設定に関する処理を行う請求項１に記載の情報処理システムである。
請求項３に記載の発明は、前記特定手段は、前記ユーザの前記一の資源の利用権限が前記第１の管理手段にて既に設定されていることを特定した場合に、前記第２の管理手段における当該ユーザの当該一の資源の利用権限の付与を行わないようにする請求項２に記載の情報処理システムである。
請求項４に記載の発明は、前記一の資源は、複数の機能単位を含み、前記特定手段は、前記第１の管理手段にて既に設定されている前記ユーザの前記一の資源の利用権限が、前記第２の管理手段にて設定が行われる当該ユーザの当該一の資源の機能の利用権限を包含している場合に、当該一の資源の利用権限の付与を行わないようにする請求項３に記載の情報処理システムである。
請求項５に記載の発明は、前記特定手段は、前記ユーザの前記一の資源の利用権限が前記第２の管理手段にて既に設定されていることを特定した場合に、前記第１の管理手段における当該ユーザの当該一の資源の利用権限を解除する請求項２に記載の情報処理システムである。
請求項６に記載の発明は、前記一の資源は、複数の機能単位を含み、前記特定手段は、前記第２の管理手段にて設定が行われる前記ユーザの前記一の資源の利用権限が、前記第１の管理手段にて既に設定されている当該ユーザの当該一の資源の機能の利用権限を包含している場合に、当該ユーザの当該一の資源の利用権限を解除する請求項５に記載の情報処理システムである。
請求項７に記載の発明は、前記特定手段は、前記第２の管理手段にて前記ユーザの前記一の資源の利用権限を解除する設定が行われる場合であって、前記第１の管理手段にて当該ユーザの当該一の資源の利用権限が付与されていない場合に、当該第１の管理手段にて当該ユーザに対して当該一の資源の利用権限を付与する請求項２に記載の情報処理システムである。
請求項８に記載の発明は、前記第１の管理手段または前記第２の管理手段にて前記ユーザの前記一の資源の利用権限の設定が行われた場合に、当該ユーザの当該一の資源の利用権限の設定を行う管理者の操作画面にて、当該一の資源の利用権限の設定に関する通知を行う通知手段を備える請求項２に記載の情報処理システムである。
請求項９に記載の発明は、前記第１の管理手段にて前記一の資源の利用権限の設定が行われた場合に、当該一の資源の利用権限の設定に関する通知を、当該第１の管理手段にて管理される前記ユーザまたは当該第１の管理手段を管理する管理者に対して行う通知手段を備える請求項２に記載の情報処理システムである。
請求項１０に記載の発明は、ネットワーク上の資源を利用する権限に基づきアクセスを制御する制御手段によってアクセスの制御が行われる資源に対するユーザの利用権限の設定を受け付ける受付手段と、一の制御手段がアクセスを制御する一の資源に対する前記ユーザの利用権限の設定が行われる場合に、当該一の制御手段とは異なる他の制御手段がアクセスを制御する当該ユーザの当該一の資源の利用権限に関する権限情報を画面に表示する表示手段と、を備える情報処理装置である。
請求項１１に記載の発明は、コンピュータに、ネットワーク上の資源を利用する権限に基づきアクセスを制御する制御手段によってアクセスの制御が行われる資源に対するユーザの利用権限の設定を受け付ける機能と、一の制御手段がアクセスを制御する一の資源に対する前記ユーザの利用権限の設定が行われる場合に、当該一の制御手段とは異なる他の制御手段が制御する当該ユーザの当該一の資源の利用権限を特定する機能と、を実現させるプログラムである。
請求項１２に記載の発明は、コンピュータに、ネットワーク上の資源を利用する権限に基づきアクセスを制御する制御手段によってアクセスの制御が行われる資源に対するユーザの利用権限の設定を受け付ける機能と、一の制御手段がアクセスを制御する一の資源に対する前記ユーザの利用権限の設定が行われる場合に、当該一の制御手段とは異なる他の制御手段が制御する当該ユーザの当該一の資源の利用権限に関する権限情報を画面に表示する機能と、を実現させるプログラムである。
【発明の効果】
【０００６】
請求項１、１０、１１および１２の発明によれば、ユーザに対して、同じ資源についての利用権限の重複付与を防止することができる。
請求項２の発明によれば、第１の管理手段または第２の管理手段が管理するユーザの利用権限の調整を行うことで、ユーザに対して、同じ資源についての利用権限の重複付与を防止することが可能になる。
請求項３の発明によれば、第２の管理手段において新規に利用権限の設定を行おうとする場合に、同じ資源についての利用権限の重複付与を防止することができる。
請求項４の発明によれば、資源についての複数の機能単位に基づいて、ユーザに対する資源の利用権限の設定を行うことができる。
請求項５の発明によれば、第２の管理手段において新規に利用権限の設定を行おうとする場合に、同じ資源についての利用権限の重複付与を防止することができる。
請求項６の発明によれば、資源についての複数の機能単位に基づいて、ユーザに対する資源の利用権限の設定を行うことができる。
請求項７の発明によれば、第２の管理手段において利用権限の解除の設定を行おうとする場合に、同じ資源についての利用権限の重複付与を防止しつつ、ユーザの資源についての利用権限の維持を行うことができる。
請求項８の発明によれば、第１の管理手段または第２の管理手段を管理する管理者が管理の操作を行う際に、利用権限の設定の変更を把握することができる。
請求項９の発明によれば、第２の管理手段における利用権限の設定に伴って第１の管理手段における利用権限の設定に変更が生じた場合に、直接的に設定の操作を行っていなかった第１の管理手段の管理者や第１の管理手段に管理されるユーザが設定の変更を把握することができる。
【図面の簡単な説明】
【０００７】
【図１】本実施形態の情報処理システムの全体構成を示す図である。
【図２】本実施形態の情報処理システムによるマルチテナント型の管理方式を説明する図である。
【図３】テナント管理サーバ、資源提供サーバ、クライアント端末等を実現するコンピュータのハードウェア構成例を示す図である。
【図４】テナント管理サーバの機能構成を示す図である。
【図５】（Ａ）および（Ｂ）は、ユーザ情報管理テーブルおよびロール管理テーブルの一例としての図である。
【図６】（Ａ）および（Ｂ）は、テナント管理テーブルおよびテナントユーザ管理テーブルの一例としての図である。
【図７】本実施形態の資源提供サーバの機能構成を示す図である。
【図８】本実施形態のクライアント端末の機能構成を示す図である。
【図９】ユーザに対するロール付与処理が行われた場合におけるロールの設定に関する動作を示すフローチャートである。
【図１０】（Ａ）および（Ｂ）は、ロール付与処理が行われた場合であって、ユーザに対するロールを付与しない場合の説明図である。
【図１１】（Ａ）および（Ｂ）は、ロール付与処理が行われた場合であって、ユーザに対するロールを付与しない場合の説明図である。
【図１２】（Ａ）および（Ｂ）は、ロール付与処理が行われた場合であって、ユーザに対するロールを解除する場合の説明図である。
【図１３】（Ａ）および（Ｂ）は、ロール付与処理が行われた場合であって、ユーザに対するロールを解除する場合の説明図である。
【図１４】ユーザに対するロール解除処理が行われた場合におけるロールの設定に関する動作を示すフローチャートである。
【図１５】（Ａ）および（Ｂ）は、ロール解除処理が行われた場合の説明図である。
【図１６】ロール解除処理が行われた場合の説明図である。
【図１７】本実施形態のクライアント端末の表示部に表示される管理者用操作画面の一例である。
【発明を実施するための形態】
【０００８】
以下、添付図面を参照して、本実施形態について詳細に説明する。
＜情報処理システム１の全体構成＞
図１は、本実施形態の情報処理システム１の全体構成を示す図である。
図１に示すように、本実施形態の情報処理システム１は、テナント管理サーバ１０と、資源提供サーバ２０と、クライアント端末３０と、情報機器４０とを備える。各装置は、ネットワーク５０を介して接続されている。
【０００９】
ここで、図１において破線で示すように、テナント管理サーバ１０および資源提供サーバ２０は、ネットワーク５０上の資源を提供するサービス環境を構成し、クライアント端末３０は、ネットワーク５０上の資源を利用するクライアント環境を構成する。
また、情報機器４０は、情報機器４０の機能をネットワーク５０上で利用可能な資源と捉え、クライアント端末３０から情報機器４０の機能を利用するという観点ではサービス環境に含まれる。一方、情報機器４０は、クライアント端末３０と同様に、情報機器４０自体のユーザ・インターフェイスを介してユーザが直接操作する操作対象装置となり得る。よって、この観点ではクライアント環境に含まれる。
【００１０】
なお、後述するように、例えば資源提供サーバ２０によってサービス機能が提供され、情報機器４０によって機能が提供される。ここで、本実施形態の説明において、資源提供サーバ２０が提供するサービス機能と、情報機器４０が提供する機能とを特に区別しない場合には、これらを総称して「機能」と呼ぶ場合がある。
【００１１】
テナント管理サーバ１０は、ユーザがネットワーク５０上の資源を利用するための権限を管理するサーバであり、管理手段の一例である。また、テナント管理サーバ１０は、このネットワーク５０上の資源を利用するための権限に基づき、ユーザによる資源へのアクセスを制御するサーバであり、制御手段の一例である。
【００１２】
ここで、ネットワーク５０上の資源とは、ユーザがネットワークを介して利用し得るハードウェア、ソフトウェア、データ等をいう。ここで、ネットワークで提供されるサービス機能（Ｗｅｂサービスやクラウド・サービス）を利用する際には、そのサービス機能を提供するために用いられたハードウェアやソフトウェアが使用される。したがって、本実施形態において、ネットワーク５０上の資源には、ネットワークで提供されるサービス機能を含むものとする。また、ネットワーク５０を介して情報機器４０を操作する場合、情報機器４０の機能は、ネットワーク５０上でクライアント端末３０から利用可能な資源に含まれる。
【００１３】
資源提供サーバ２０は、ネットワークを介して具体的な資源を提供するサーバである。資源提供サーバ２０には、いわゆるサービス・プロバイダが含まれる。サービス・プロバイダとは、ネットワークを介してサービス（Ｗｅｂサービスやクラウド・サービス）を提供するサーバである。資源提供サーバ２０により提供される資源としてのサービス機能は、例えば、ネットワーク５０を介して利用されるアプリケーション・プログラム（Ｗｅｂアプリケーション）や、さらにバックエンドに置かれたアプリケーション・プログラムを用いた処理により実現される。また、資源提供サーバ２０により提供されるサービス機能には、ストレージやプロセッサ等のハードウェア資源の提供やソフトウェア自体（ソフトウェア・パッケージ）の提供等も含む。
【００１４】
本実施形態の資源提供サーバ２０は、一例として、日本語を他の言語に翻訳するサービス機能である翻訳サービスを提供する。また、サービス機能としての翻訳サービスは、さらに、複数の機能単位により構成されている。本実施形態の翻訳サービスは、日本語を英語に翻訳する機能単位、日本語をドイツ語に翻訳する機能単位、日本語をフランス語に翻訳する機能単位などの複数の機能単位を含んで構成されている。なお、翻訳サービスにおいて予め準備された全ての翻訳言語、すなわち全ての機能単位のことを「全機能」と呼ぶ。また、翻訳サービスについて、一部の言語の機能単位のことを「一部機能」と呼ぶ。
【００１５】
クライアント端末３０は、テナント管理サーバ１０を介して、資源提供サーバ２０により提供されるサービスを利用する端末装置である。クライアント端末３０は、例えば、パーソナル・コンピュータ、タブレット端末やスマートフォン等の携帯型情報端末、その他、ネットワーク５０を介してテナント管理サーバ１０に接続し、ネットワーク５０上の資源を利用し得る情報端末である。上述したように、ネットワーク５０上の資源の利用には、資源提供サーバ２０により提供されるサービス、ハードウェア資源、ソフトウェア・パッケージを利用することの他、ネットワーク５０を介して情報機器４０の機能を利用することも含まれる。
【００１６】
情報機器４０は、ユーザが使用するネットワーク５０に接続可能な情報処理装置であって、クライアント端末３０以外のものであり、テナント管理サーバ１０により管理されている装置である。情報機器４０は、それ自体がユーザ・インターフェイスを有し、クライアント端末３０と同様に、ユーザが直接操作する操作対象装置となり得る。
【００１７】
情報機器４０は、例えば、ネットワーク５０に接続するための通信機能を備えたオフィス機器等で実現される。具体的には、コピーを行う複写機、画像をスキャンするスキャナ、ファクシミリ送受信を行うファックス送受信機、紙媒体に画像を印刷するプリンタ、これらの機能を複合的に備えた複合機等が挙げられる。また、オフィス内で共有される（個別にユーザに対応付けられていない）パーソナル・コンピュータやタブレット端末等の情報端末を情報機器４０としても良い。また、情報機器４０の機能は、テナント管理サーバ１０により管理、提供されるネットワーク５０上の資源として、クライアント端末３０から利用されるようにしても良い。情報機器４０は、ネットワーク５０とは別のＬＡＮを介してクライアント端末３０に接続する構成としても良い。
【００１８】
そして、本実施形態の情報機器４０は、上述のとおり、コピーの機能単位、スキャンの機能単位、ファクシミリの機能単位、コピーの機能単位など複数の機能単位を含んで構成されている。なお、情報機器４０が提供する機能において、全ての機能単位のことを「全機能」と呼ぶ。また、情報機器４０が提供する複数の機能単位について、一部の機能単位のことを「一部機能」と呼ぶ。
【００１９】
ネットワーク５０は、情報処理システム１を構成する装置間のデータ通信に用いられる通信ネットワークである。ネットワーク５０は、データの送受信が可能であれば、その種類は特に限定されず、例えばインターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等として良い。データ通信に用いられる通信回線は、有線であっても無線であっても良い。また、複数のネットワークや通信回線を介して各装置を接続するように構成しても良い。上述したように、情報処理システム１のうち、ユーザ環境を構成するクライアント端末３０と情報機器４０とは、ネットワーク５０とは別のＬＡＮを介して接続しても良い。この場合、例えば、クライアント端末３０および情報機器４０が接続されたＬＡＮ（ＬＡＮのルータ）をネットワーク５０に接続することにより、クライアント環境とサービス環境とを接続するネットワークを構築しても良い。
【００２０】
＜情報処理システムの管理機能＞
図２は、本実施形態の情報処理システム１によるマルチテナント型の管理方式を説明する図である。
本実施形態では、テナント管理サーバ１０が、マルチテナント型の管理方式により、ネットワーク５０上の資源を利用するための権限を管理する。テナントとは、ネットワーク５０上の資源の利用に関する管理を行う単位である。マルチテナント型の管理方式では、テナントが複数設定され、テナントごとに権限の管理が行われる。したがって、テナント管理サーバ１０は、テナント管理手段の一例である。
【００２１】
各テナントには、資源提供サーバ２０によるサービス（Ｗｅｂサービスやクラウド・サービス）を利用するためのライセンス、資源提供サーバ２０を介して利用可能なソフトウェア・パッケージを利用するためのライセンス、情報機器４０の機能を利用するライセンス等が設定される。ライセンスとは、テナントに付与されたサービスやソフトウェア・パッケージの利用権限である。ライセンスは、クラウド・サービスのプロバイダや、ソフトウェア・パッケージのベンダーから、テナントに対して付与される。ライセンスの条項により、ユーザ上限数などが設けられている。
【００２２】
また、各テナントには、１または複数のユーザが所属する。実際の運用において、テナントは、利用契約等により、企業や企業内の部署、その他の団体等の種々の組織に対応付けて設定することができる。このようにすれば、テナントに対応する組織ごとに、上記の各種のライセンスを管理し、ネットワーク５０上の資源の利用を制御し得る。すなわち、テナントに所属するユーザ（以下、所属ユーザ）およびテナントに設定されたライセンスは、テナントにより管理される管理対象である。テナントが設定された組織は、各々のテナントにおいて、別個のシステム上で提供されている専用の資源を利用しているのと同様にネットワーク５０上の資源を利用し得る。
【００２３】
また、各テナントには、テナント管理者が設定され、このテナント管理者により、テナントに所属するユーザに対してロールの割り当てが行われる。ロールとは、ユーザに対して割り当てられる（付与される）ライセンスの利用権限である。
【００２４】
また、テナント管理者とは、テナントに対するユーザの所属を許可し、テナントの所属ユーザに対してロールを設定し、所属ユーザおよび各所属ユーザに割り当てられたロールを管理する者である。また、テナント管理者は、テナントにおけるライセンスの設定を行う者である。また、テナントに所属するユーザとは、テナントに関連付けて登録され、割り当てられたロールにしたがって、テナントに設定されたライセンスを利用することが認められたユーザである。各ユーザのロールは、テナントに設定されたライセンスの範囲内で定められる。
【００２５】
例えば、あるソフトウェア・パッケージの利用に関し、テナントに設定されたライセンス数が１０である場合、１０人までの所属ユーザにソフトウェア・パッケージを利用するためのロールを割り当てることができる。言い換えると、このテナントに所属するユーザが１０人よりも多い場合であっても、１０人を超える所属ユーザにロールを割り当てることはできない。
【００２６】
また、上述のとおり、本実施形態において、情報機器４０や資源提供サーバ２０における機能は、複数の機能単位を含んでいる。そして、本実施形態では、機能単位ごとに所属ユーザに対してロールを割り当てることができる。
なお、本実施形態においては、例えば一のライセンスにおける一の機能単位について一の所属ユーザにロールを割り当てた場合には、１つのライセンスをユーザに割り当てたものとしてカウントする。
【００２７】
さらに、本実施形態においては、ユーザが複数のテナントに所属している場合、いずれか１つのテナントにてロールが割り当てられていれば、そのロールに基づく資源へのアクセスが可能になっている。
【００２８】
＜各装置のハードウェア構成＞
図３は、テナント管理サーバ１０、資源提供サーバ２０、クライアント端末３０等を実現するコンピュータのハードウェア構成例を示す図である。
図３に示すコンピュータ２００は、演算手段であるＣＰＵ（Central Processing Unit）２０１と、記憶手段である主記憶装置（メイン・メモリ）２０２および外部記憶装置２０３を備える。ＣＰＵ２０１は、外部記憶装置２０３に格納されたプログラムを主記憶装置２０２に読み込んで実行する。主記憶装置２０２としては、例えばＲＡＭ（Random Access Memory）が用いられる。外部記憶装置２０３としては、例えば磁気ディスク装置やＳＳＤ（Solid State Drive）等が用いられる。また、コンピュータ２００は、表示装置（ディスプレイ）２１０に表示出力を行うための表示機構２０４と、コンピュータ２００の操作者による入力操作が行われる入力デバイス２０５とを備える。入力デバイス２０５としては、例えばキーボードやマウス等が用いられる。また、コンピュータ２００は、ネットワーク５０に接続するためのネットワーク・インターフェイス２０６を備える。
【００２９】
なお、本実施形態の情報処理システム１における一連の動作を、テナント管理サーバ１０、資源提供サーバ２０、クライアント端末３０にてそれぞれ実現させるプログラムは、例えば通信手段により提供することはもちろん、各種の記録媒体に格納して提供しても良い。
【００３０】
また、図３に示すコンピュータ２００の構成は一例に過ぎず、図３の構成例に限定されるものではない。例えば、記憶装置としてフラッシュ・メモリ等の不揮発性メモリやＲＯＭ（Read Only Memory）を備える構成としても良い。また、テナント管理サーバ１０、資源提供サーバ２０、クライアント端末３０等の適用対象に応じて、具体的な構成は異なる場合がある。例えば、クライアント端末３０がタブレット端末等で実現される場合、入力デバイス２０５としてタッチセンサと液晶ディスプレイとを組み合わせたタッチパネルが用いられる。また、テナント管理サーバ１０および資源提供サーバ２０は、図３に示すようなコンピュータ２００の単体で構成しても良いし、複数のコンピュータ２００による分散処理にて実現するように構成しても良い。
【００３１】
＜テナント管理サーバの機能構成＞
図４は、テナント管理サーバ１０の機能構成を示す図である。
図４に示すように、テナント管理サーバ１０は、テナントの所属ユーザを登録するユーザ登録部１１と、テナントに対して設定されたライセンスをテナントに対応付けて管理するライセンス管理部１２と、を有する。また、テナント管理サーバ１０は、テナントの所属ユーザに対し、テナントに設定されたライセンスを行使するためのロールを設定するロール設定部１３と、ロールに関する情報を管理するロール管理部１４と、を有する。さらに、テナント管理サーバ１０は、ロールの設定に関する通知を行う通知部１５と、テナントを管理するために用いられる情報を格納する情報格納部１６と、テナント内における所属ユーザの操作を受け付けるための操作画面を生成する操作画面生成部１７と、を有する。
そして、テナント管理サーバ１０は、資源提供サーバ２０、クライアント端末３０および情報機器４０と通信を行う送受信制御部１８を備える。
ここで、情報格納部１６には、所属ユーザ、テナント、ライセンス、ロール等の情報が様々に対応付けられて格納されている。各情報の詳細については後述する。
【００３２】
なお、ユーザ登録部１１、ライセンス管理部１２、ロール設定部１３、ロール管理部１４、通知部１５、操作画面生成部１７および送受信制御部１８の機能は、例えば、図３に示したコンピュータ２００において、ＣＰＵ２０１がプログラムを実行することにより実現される。情報格納部１６は、例えば、図３に示したコンピュータ２００において、主記憶装置２０２や外部記憶装置２０３により実現される。
【００３３】
（ユーザ登録部１１）
ユーザ登録部１１は、テナントごとに所属ユーザを登録する。ユーザ登録部１１は、例えば、ネットワーク５０に接続された認証サーバ（図示せず）により認証されたことを条件として登録しても良い。認証サーバとしては、一般的なＩｄＰ（Identity Provider）を用いて良い。ＩｄＰとは、ユーザの個人認証を行うサーバである。登録された所属ユーザの情報はユーザ情報１６６として、所属するテナントとユーザとの対応情報は所属情報１６１として、それぞれ情報格納部１６に格納される。
【００３４】
（ライセンス管理部１２）
ライセンス管理部１２は、テナントごとに個別にライセンスを設定する。また、ライセンス管理部１２は、各テナントの所属ユーザが各テナントにおけるライセンスを行使するためのロールを定義する。ライセンスの情報はライセンス情報１６３として、ロールの情報はロール情報１６５として、情報格納部１６に格納される。ライセンス管理部１２により管理されるライセンスは、例えば、資源提供サーバ２０によるサービス（Ｗｅｂサービスやクラウド・サービス）を利用するためのライセンス、資源提供サーバ２０により提供されるソフトウェア・パッケージを利用するためのライセンス、情報機器４０の機能を利用するライセンス等である。
【００３５】
（ロール設定部１３）
ロール設定部１３（特定手段の一例、受付手段の一例）は、ライセンス管理部１２により管理されているライセンスの範囲内でロールを設定する。テナントに設定されたライセンスの範囲を超えてロールを設定する必要が生じた場合、ライセンス管理部１２によるライセンスの設定変更を行って対応することが必要となる。テナントに設定されたライセンスの範囲を超えてロールを設定する必要が生じる場合としては、例えば、所属ユーザの増加等により設定されているライセンス数よりも多いライセンスが必要となった場合や、設定されているライセンスの内容とは異なる内容のライセンスが必要な場合等がある。
【００３６】
また、本実施形態のロールは、上述のとおり、サービス機能の単位でユーザに設定される。従って、本実施形態のロール設定部１３は、サービス機能の単位に基づいて、テナントにおけるユーザのロールの設定を行う。
【００３７】
そして、本実施形態のロール設定部１３は、一のテナントに属する一のユーザに対するロールの付与設定や解除設定が行われる際に、他のテナントにおける一のユーザのロール情報を特定する。ロール設定部１３は、テナントユーザ管理テーブル６０４（後述の図６参照）における所属情報１６１、ライセンス所有情報１６４およびロール付与情報１６７、ロール管理テーブル６０２（後述の図５参照）におけるライセンス情報１６３およびロール情報１６５を参照することで、他のテナントにおける一のユーザのロール情報を特定する。
【００３８】
そして、ロール設定部１３は、複数のテナントに所属する一のユーザに対してライセンスが重複して付与されないようにしている。なお、本実施形態の説明において、付与設定および解除設定をまとめて「設定」と呼ぶ場合がある。
【００３９】
例えば、本実施形態において、一のテナントの所属ユーザが、他のテナントにも新規に所属し、他のテナントにて所属ユーザに対してロールが新規に設定される場合がある。なお、本実施形態の説明において、所属ユーザに対してロールが新規に付与される場合のことを「ロール付与処理」と呼ぶ。
【００４０】
このロール付与処理の場合に、ロール設定部１３は、所属ユーザが所属している一のテナントにて所属ユーザに対して既に設定されているロールを特定する。そして、本実施形態のロール設定部１３は、一のテナントにおける所属ユーザのロール情報に基づいて、他のテナントにおける同じ所属ユーザに対するロールの設定や、一のテナントにおける同じ所属ユーザに対するロールの設定を行う。
【００４１】
特に、本実施形態では、ロール設定部１３は、所属ユーザに付与されているロールの機能に基づいて、機能単位でのロールの付与の判定を行う。すなわち、ロール設定部１３は、他のテナントにて所属ユーザに新たに付与しようとするロールの機能と、一のテナントにて同じ所属ユーザに既に付与されているロールの機能とを比較することで、それぞれの包含関係を特定する。そして、ロール設定部１３は、機能の包含関係に応じて、他方を包含する機能についてのロールが所属ユーザに付与されるようにし、他方に包含される機能についてのロールが同じ所属ユーザに付与されないようにする。
【００４２】
また、例えば、一のテナントと他のテナントとにそれぞれ所属する所属ユーザに対して、一のテナントにて設定された所属ユーザについてのロールが解除される場合がある。なお、本実施形態の説明において、「ロール解除処理」と呼ぶ。
このロール解除処理の場合に、ロール設定部１３は、他のテナントにて所属ユーザに設定されているロールを特定する。そして、本実施形態のロール設定部１３は、一のテナントにおける所属ユーザのロール情報と他のテナントにおける所属ユーザのロール情報とに基づいて、他のテナントにおける所属ユーザのロールの設定を行う。
【００４３】
上述のとおり、本実施形態では、ロール設定部１３は、所属ユーザに付与されているロールの機能に基づいて、機能単位でのロールの付与の判定を行う。そして、ロール解除処理の場合においても、ロール設定部１３は、一のテナントにて所属ユーザについて解除するロールの機能を機能単位で特定し、他のテナントにおける同じ所属ユーザに対して特定した機能単位でのロールの付与を行う。
【００４４】
（ロール管理部１４）
ロール管理部１４は、ロールに関する情報として、例えば、新規ロールの設定（所属ユーザへのロールの付与）、ロールの解除、ロールが行使されたテナントを特定する情報（テナントＩＤ）、ロールを行使した所属ユーザを特定する情報（ユーザＩＤ）、ロールが行使された際に行われた操作、ロールが行使された日時などの情報を管理する。
【００４５】
以上のように、テナント管理サーバ１０は、ライセンス管理部１２の機能により、テナントごとに設定されたネットワーク上の資源を利用する権限に基づき、テナントの所属ユーザによる資源へのアクセスを制御する。また、テナント管理サーバ１０は、ユーザ登録部１１、ライセンス管理部１２、ロール設定部１３およびロール管理部１４の機能により、ネットワーク５０上の資源へアクセス可能なユーザを登録して管理する。
【００４６】
（通知部１５）
通知部１５（通知手段の一例）は、テナントにおけるユーザに対するロールの付与設定や解除設定が行われた場合に、設定が行われたユーザに対して、ロールの設定に関する通知を行う。具体的には、通知部１５は、ロール設定部１３からロールの設定に関する情報を取得する。そして、通知部１５は、ロールの設定の情報に基づいてユーザに対して通知を行う。
【００４７】
また、通知部１５は、一のテナントのテナント管理者の操作に伴って、他のテナントにおけるユーザのロールの付与設定や解除設定が行われた場合に、他のテナントのテナント管理者に対して、ロールの設定に関する通知を行う。具体的には、通知部１５は、ロール設定部１３からロールの設定に関する情報を取得する。そして、通知部１５は、ロールの設定の情報に基づいてテナント管理者に対して通知を行う。
【００４８】
本実施形態の通知部１５は、一のテナントのユーザに対してロールを付与する際に、他のテナントにおいて同じユーザについてロールが重複して設定される場合に、他のテナントにおいてロールが付与されている旨をテナント管理者に対して通知する。
【００４９】
なお、本実施形態において、通知部１５は、メールによって通知を行ったり、テナント管理者が利用するクライアント端末３０の画面に通知内容を表示したりすることで、テナント管理者に対する通知を行う。
【００５０】
（情報格納部１６）
情報格納部１６には、所属情報１６１、テナント情報１６２、ライセンス情報１６３、ライセンス所有情報１６４、ロール情報１６５、ユーザ情報１６６、およびロール付与情報１６７が格納される。
【００５１】
所属情報１６１は、ユーザＩＤと、ユーザＩＤで特定されるユーザが所属するテナントのテナントＩＤとを対応付けた情報である。
テナント情報１６２は、テナントＩＤと、テナントＩＤで特定されるテナントの属性情報（テナント属性）とを対応付けた情報である。
ライセンス情報１６３は、ライセンスＩＤと、ライセンスＩＤで特定されるライセンスの属性情報（ライセンス属性）とを対応付けた情報である。
【００５２】
ライセンス所有情報１６４は、テナントＩＤと、テナントＩＤで特定されるテナントが所有する（設定された）ライセンスのライセンスＩＤとを対応付けた情報である。
ロール情報１６５は、ライセンスＩＤと、ライセンスＩＤで特定されるライセンスに対して定義されたロールのロールＩＤとを対応付けた情報である。
ユーザ情報１６６は、ユーザＩＤと、ユーザＩＤで特定されるユーザの属性情報（ユーザ属性）とを対応付けた情報である。
【００５３】
ロール付与情報１６７は、ユーザＩＤと、ユーザＩＤで特定されるユーザに割り当てられたロールのロールＩＤとを対応付けた情報である。
【００５４】
ユーザＩＤは、ユーザを特定する識別情報である。
ユーザ属性は、テナントに関わるユーザの属性を示す情報であり、テナントが設定された組織におけるユーザの情報等を含んでも良い。具体的な属性の内容は、例えば、テナントやテナント管理サーバ１０の仕様や運用状況、サービス等に応じて定められる。
テナントＩＤは、テナントを特定する識別情報である。
テナント属性は、テナントの属性を示す情報であり、テナントが設定された組織の情報等を含んでも良い。具体的な属性の内容は、例えば、テナント管理サーバ１０の仕様や運用状況、サービス等に応じて定められる。
ライセンスＩＤは、ライセンスを特定する識別情報である。
ライセンス属性は、テナントに設定されたライセンスの属性を示す情報であり、ライセンス数、ライセンスに基づく権限や制限の内容等を含んでも良い。具体的な属性の内容は、例えば、ライセンスにより利用可能となる資源やサービスの種類、内容等に応じて定められる。
ロールＩＤは、ロールを特定する識別情報である。
ロールに対する操作の種別は、ロールの設定、ロールの削除、ロールの行使のいずれが行われたかを示す情報である。また、これらの操作が行われた日時の情報も含まれる。
【００５５】
続いて、情報格納部１６に格納される情報について具体的に説明する。
図５は、ユーザ情報管理テーブル６０１およびロール管理テーブル６０２の一例としての図である。
図６は、テナント管理テーブル６０３およびテナントユーザ管理テーブル６０４の一例としての図である。
【００５６】
図５（Ａ）に示すように、本実施形態の情報格納部１６は、ユーザ情報管理テーブル６０１によってユーザ情報１６６の管理を行う。ユーザ情報管理テーブル６０１では、ユーザＩＤ、具体的なユーザ名、およびメールアドレスの情報がそれぞれ紐付けられている。
【００５７】
また、図５（Ｂ）に示すように、本実施形態の情報格納部１６は、ロール管理テーブル６０２によってライセンス情報１６３およびロール情報１６５の管理を行う。ロール管理テーブル６０２では、ロールＩＤ、ロールの具体的な名称であるロール名、ロールに対応する機能を示すコードである機能コード、および、利用可能な機能単位を示す機能単位コードがそれぞれ紐付けられている。
【００５８】
そして、図６（Ａ）に示すように、本実施形態の情報格納部１６は、テナント管理テーブル６０３によってテナント情報１６２の管理を行う。テナント管理テーブル６０３では、テナントＩＤ、テナントの具体的な名称であるテナント名、テナントが利用可能な機能のコードである機能コードがそれぞれ紐付けられている。
【００５９】
さらに、図６（Ｂ）に示すように、本実施形態の情報格納部１６は、テナントユーザ管理テーブル６０４によって所属情報１６１、ライセンス所有情報１６４およびロール付与情報１６７の管理を行う。テナントユーザ管理テーブル６０４では、テナントＩＤ、ユーザＩＤ、ユーザに付与されているロールのロールＩＤ、テナント管理者を特定するテナント管理者フラグがそれぞれ紐付けられている。
【００６０】
（操作画面生成部１７）
図４に示すように、操作画面生成部１７（表示手段の一例）は、例えば、Ｗｅｂページとして操作画面を生成する。また、操作画面は、テナント管理者が使用するための管理者用操作画面と、所属ユーザが使用するためのユーザ用操作画面とに分けても良い。
管理者用操作画面では、例えば、ユーザ登録部１１、ライセンス管理部１２、ロール設定部１３およびロール管理部１４に対する操作を受け付ける。管理者用操作画面は、テナント管理者が、自身が管理するテナントに管理者権限でログインした場合に生成され、テナント管理者のクライアント端末３０に送られる。
また、ユーザ用操作画面は、テナントの所属ユーザが、自身が所属するテナントに所属ユーザとしてログインした場合に生成され、その所属ユーザのクライアント端末３０に送られる。
【００６１】
各クライアント端末３０に送られた操作画面は、クライアント端末３０の表示手段により表示される。テナント管理者や所属ユーザが、クライアント端末３０の表示手段に表示された操作画面に対して入力操作等を行うと、操作内容の情報がクライアント端末３０からテナント管理サーバ１０へ送信される。
なお、ログインとは、テナント管理サーバ１０による管理下でネットワーク５０上の資源を利用するために、予め設定されたアカウント情報を用いて、テナントの所属ユーザを認証するための操作である。
【００６２】
（送受信制御部１８）
送受信制御部１８は、例えば、図３に示したネットワーク・インターフェイス２０６を制御し、ネットワーク５０を介して資源提供サーバ２０、クライアント端末３０および情報機器４０との間でコマンドやデータを送受信する。
【００６３】
＜資源提供サーバの機能構成＞
図７は、本実施形態の資源提供サーバ２０の機能構成を示す図である。
図７に示すように、資源提供サーバ２０は、アプリケーション実行部２１と、送受信制御部２２とを備える。アプリケーション実行部２１および送受信制御部２２の機能は、例えば、図３に示したコンピュータ２００において、ＣＰＵ２０１がプログラムを実行することにより実現される。
【００６４】
アプリケーション実行部２１は、資源提供サーバ２０による資源の提供に係る処理を実現するアプリケーション・プログラムを実行する実行手段である。例えば、資源提供サーバ２０がサービス・プロバイダである場合、アプリケーション実行部２１は、サービス（Ｗｅｂサービスやクラウド・サービス）に係る処理を実行する。また、資源提供サーバ２０がソフトウェア・パッケージを提供するサーバである場合、アプリケーション実行部２１は、ソフトウェア・パッケージを利用するためのライセンスを管理するＬＭＳ（License Management System）サーバとしての機能を実現する。ＬＭＳサーバとは、ソフトウェア・パッケージのライセンスの有効性を確認し、利用の許諾を与えるサーバである。
【００６５】
送受信制御部２２は、テナント管理サーバ１０、クライアント端末３０および情報機器４０と通信を行うための通信手段である。送受信制御部２２は、例えば、図３に示したネットワーク・インターフェイス２０６を制御し、ネットワーク５０を介してテナント管理サーバ１０、クライアント端末３０および情報機器４０との間でコマンドやデータを送受信する。
【００６６】
本実施形態では、資源提供サーバ２０により提供される資源を利用するユーザの認証は、図示しない認証サーバ（ＩｄＰ等）により行われる。したがって、図７に示すように、資源提供サーバ２０はユーザ認証のための手段を有していない。ただし、資源提供サーバ２０に認証手段を設け、認証サーバを用いず、個々の資源提供サーバ２０においてユーザ認証を行うように構成しても良い。
【００６７】
＜クライアント端末の機能構成＞
図８は、本実施形態のクライアント端末３０の機能構成を示す図である。
図８に示すように、クライアント端末３０は、操作画面表示部３１と、操作受け付け部３２と、送受信制御部３３とを備える。操作画面表示部３１、操作受け付け部３２および送受信制御部３３の機能は、例えば、図３に示したコンピュータ２００において、ＣＰＵ２０１がプログラムを実行することにより実現される。
【００６８】
操作画面表示部３１は、資源提供サーバ２０により提供されるサービスやソフトウェア・パッケージ、情報機器４０の機能等を使用するための操作画面を生成し表示させる手段である。操作画面表示部３１は、例えば、図３に示した表示機構２０４を制御し、表示装置２１０に操作画面を表示させる。また、操作受け付け部３２は、操作画面上で行われた操作を、サービス、ソフトウェア・パッケージ、情報機器４０の機能等を使用するための操作として受け付ける手段である。操作受け付け部３２は、例えば、図３に示した入力デバイス２０５を用いて行われた操作を受け付ける。一例として、サービス、ソフトウェア・パッケージ、情報機器４０の機能等を、ＷＷＷ（World Wide Web）を用いて提供する場合、操作画面表示部３１および操作受け付け部３２の機能は、Ｗｅｂブラウザにより実現される。
【００６９】
送受信制御部３３は、テナント管理サーバ１０および資源提供サーバ２０と通信を行うための通信手段である。送受信制御部３３は、例えば、図３に示したネットワーク・インターフェイス２０６を制御し、ネットワーク５０を介してテナント管理サーバ１０および資源提供サーバ２０との間でコマンドやデータを送受信する。
【００７０】
次に、本実施形態の情報処理システム１において、ユーザに対するロール付与処理が行われた場合における処理について説明する。
図９は、ユーザに対するロール付与処理が行われた場合におけるロールの設定に関する動作を示すフローチャートである。
【００７１】
図９に示す例は、他のテナントに所属している所属ユーザを、新規に別のテナントに所属させる場合である。そして、新規な別のテナントにおいて、ユーザに対してロールの付与設定を行う場面である。なお、以下の処理は、テナント管理サーバ１０の各構成部によって実行される。
【００７２】
テナント管理サーバ１０では、ロールの付与対象となるユーザについて、他のテナントにて既に付与されているロール情報を取得する（ステップ１０１）。そして、ロールの付与対象となるユーザに対して他のテナントで付与されているロールが存在するか否かを判断する（ステップ１０２）。ロールの付与対象となるユーザに対して他のテナントで付与されているロールが存在しない場合（ステップ１０２にてＮＯ）には、付与対象のロールをユーザに対して付与し（ステップ１０３）、処理を終了する。
【００７３】
一方、ロールの付与対象となるユーザに対して他のテナントで付与されているロールが存在する場合（ステップ１０２にてＹＥＳ）には、付与しようとするロールの機能と、他のテナントにて付与対象のユーザに付与されているロールの機能とを特定する（ステップ１０４）。その後、付与するロールの機能が、他のテナントにて付与されているロールの機能に全て含まれるか否かを判断する（ステップ１０５）。そして、付与するロールの機能が他のテナントにて付与されているロールの機能に全て含まれる場合（ステップ１０５にてＹＥＳ）には、付与対象のユーザに対するロールの付与は行わない（ステップ１０６）。
【００７４】
一方、付与するロールの機能が、他のテナントにて付与されているロールの機能に全て含まれない場合（ステップ１０５にてＮＯ）には、他のテナントにて付与されているロールの機能が、付与するロールの機能に全て含まれているか否かを判断する（ステップ１０７）。そして、他のテナントにて付与されているロールの機能が、付与するロールの機能に全て含まれない場合（ステップ１０７にてＮｏ）、ステップ１０３に進み、ユーザに対してロールを付与し、処理を終了する。
【００７５】
一方で、他のテナントにて付与されているロールの機能が、付与するロールの機能に全て含まれる場合（ステップ１０７にてＹＥＳ）、他のテナントのロールを解除する（ステップ１０８）。さらに、他のテナントのロールが解除されたことを他のテナントの管理者に対して通知する（ステップ１０９）。そして、ステップ１０３に進み、ユーザに対してロールを付与し、処理を終了する。
【００７６】
続いて、上述したユーザに対するロール付与処理が行われた場合におけるロールの設定において、ステップ１０６のユーザに対するロールを付与しない場合について具体的に説明する。
図１０および図１１は、ロール付与処理が行われた場合であって、ユーザに対するロールを付与しない場合の説明図である。
【００７７】
図１０（Ａ）に示すように、テナントＡは、利用可能な機能として、情報機器と翻訳サービスとが設定されている。また、テナントＡには、管理者であるユーザａと、ユーザｂとがそれぞれ所属している。そして、テナントＡにおいて、ユーザａには、情報機器の全機能および翻訳サービスの全機能のロールが付与されている。また、テナントＡにおいて、ユーザｂには、情報機器の一部機能および翻訳サービスの一部機能のロールが付与されている。
一方、テナントＢは、利用可能な機能として、情報機器が設定されている。また、テナントＢには、管理者であるユーザｃと、ユーザｄとがそれぞれ所属している。そして、テナントＢにおいて、ユーザｃには、情報機器の全機能のロールが付与されている。また、テナントＢにおいて、ユーザｄには、情報機器の一部機能のロールが付与されている。
【００７８】
そして、図１０（Ｂ）に示すように、テナントＢに対して、テナントＡに所属しているユーザａを新規に追加する。さらに、図１１（Ａ）に示すように、テナントＢにおいて、ユーザａに対する情報機器の一部機能のロールの付与を行おうとする。この操作は、テナントＢの管理者であるユーザｃによって行われる。
【００７９】
そして、図１１（Ｂ）に示すように、テナントＡにおいてユーザａに対して付与されている情報機器に関するロールを特定する。この例では、テナントＢにおいてユーザａに付与しようとするロールは情報機器の一部機能であり、テナントＡにおいてユーザａに付与されているロールは情報機器の全機能である。すなわち、テナントＢにおいてユーザａに付与しようとするロールの機能は、テナントＡにおいてユーザａに付与されているロールの機能に包含されている。従って、図１１（Ｂ）に示すように、この例においては、テナントＢにおいてユーザａに対するロールの付与は行われない。
【００８０】
続いて、上述したユーザに対するロール付与処理が行われた場合におけるロールの設定において、ステップ１０８の他のテナントのロールを解除する場合について具体的に説明する。
図１２および図１３は、ロール付与処理が行われた場合であって、ユーザに対するロールを解除する場合の説明図である。
図１２において、各テナントの構成や、ロール付与処理が行われる前の各ユーザに対するロールの付与については、図１０（Ａ）と同様である。
【００８１】
そして、図１２（Ａ）に示すように、テナントＢに対して、テナントＡに所属しているユーザｂを新規に追加する。さらに、図１２（Ｂ）に示すように、テナントＢにおいて、ユーザｂに対して情報機器の全機能のロールの付与を行おうとする。この操作は、テナントＢの管理者であるユーザｃによって行われる。
【００８２】
そして、図１３（Ａ）に示すように、テナントＡにおいてユーザｂに対して付与されている情報機器に関するロールを特定する。この例では、テナントＢにおいてユーザｂに付与しようとするロールは情報機器の全機能であり、テナントＡにおいてユーザｂに付与されているロールは情報機器の一部機能である。すなわち、テナントＢにおいてユーザｂに付与しようとするロールの機能は、テナントＡにおいてユーザｂに付与されているロールの機能を包含する。従って、図１３（Ａ）に示すように、この例においては、テナントＡにおけるユーザｂに付与されていた情報機器の一部機能のロールを解除したうえで、テナントＢにおいてユーザｂに対して情報機器の全機能のロールを付与する。
【００８３】
さらに、この例では、図１３（Ｂ）に示すように、テナントＡの管理者であるユーザａに対して、ユーザｂの情報機器の一部機能のロールが解除された旨が通知される。また、テナントＡに所属するユーザｂに対して、テナントＡにおける情報機器の一部機能のロールが解除された旨が通知される。
【００８４】
次に、本実施形態の情報処理システム１において、ユーザに対するロール解除処理が行われた場合の処理について説明する。
図１４は、ユーザに対するロール解除処理が行われた場合におけるロールの設定に関する動作を示すフローチャートである。
【００８５】
図１４に示す例は、一のテナントと他のテナントとの両方に所属している所属ユーザに関して、一のテナントにおけるロールの解除を行う場面である。なお、以下の処理は、テナント管理サーバ１０の各構成部によって実行される。
【００８６】
テナント管理サーバ１０では、ロールの解除対象となるユーザについて、他のテナントで付与可能なロール情報を取得する（ステップ２０１）。そして、他のテナントで付与可能なロールが存在するか否かを判断する（ステップ２０２）。他のテナントで付与可能なロールが存在しない場合（ステップ２０２にてＮＯ）には、一のテナントにおいてユーザのロールの解除を行い（ステップ２０３）、処理を終了する。
【００８７】
一方、他のテナントで付与可能なロールが存在する場合（ステップ２０２にてＹＥＳ）には、解除しようとするロールの機能と、他のテナントで付与可能なロールの機能とを特定する（ステップ２０４）。その後、解除するロールの機能が、他のテナントにて付与されているロールの機能に全て含まれるか否かを判断する（ステップ２０５）。そして、解除するロールの機能が、他のテナントにて付与可能なロールの機能に全て含まれない場合（ステップ２０５にてＮＯ）には、一のテナントにおいてユーザのロールを解除し（Ｓ２０３）、処理を終了する。
【００８８】
また、解除するロールの機能が、他のテナントにて付与可能なロールの機能に全て含まれる場合（ステップ２０５にてＹＥＳ）には、他のテナントにおいてユーザに対するロールの付与を行う（ステップ２０６）。さらに、他のテナントにおいてユーザに対してロールの付与が行われた旨を、他のテナントの管理者に通知する（ステップ２０７）。その後、一のテナントにおけるユーザのロールを解除し（ステップ２０３）、処理を終了する。
【００８９】
続いて、上述したユーザに対するロール解除処理が行われた場合におけるロールの設定について、具体的に説明する。
図１５および図１６は、ロール解除処理が行われた場合の説明図である。
図１５において、各テナントの構成や、ロール解除処理が行われる前の各ユーザに対するロールの付与については、図１０（Ａ）と同様である。
そして、図１５（Ａ）に示すように、テナントＡにおいて、テナントＡに所属しているユーザｂの情報機器の機能のロールの解除を行おうとする。この操作は、テナントＡの管理者であるユーザａによって行われる。
【００９０】
そして、図１５（Ｂ）に示すように、テナントＡにおいてユーザｂに対して付与されている情報機器に関するロールと、テナントＢにおいてユーザｂに対して付与可能な情報機器に関するロールとを特定する。この例では、テナントＡにおいて削除しようとするロールは情報機器の一部機能であり、テナントＢにおいてユーザｂに付与可能なロールは情報機器の全機能または一部機能である。すなわち、テナントＡにおいて削除しようとするロールの機能は、テナントＢにおいてユーザｂに付与可能なロールの機能に包含されている。従って、図１５（Ｂ）に示すように、この例においては、テナントＡにおけるユーザｂに付与されていた情報機器の一部機能のロールを解除したうえで、テナントＢにおいてユーザｂに対して情報機器の一部機能のロールを付与する。
【００９１】
さらに、この例では、図１６に示すように、テナントＢの管理者であるユーザｃに対して、ユーザｂの情報機器の一部機能のロールが付与された旨が通知される。また、テナントＢに所属するユーザｂに対して、テナントＢにて情報機器の一部機能のロールが付与された旨が通知される。
【００９２】
続いて、管理者用操作画面の具体例を説明する。
図１７は、本実施形態のクライアント端末３０の表示部に表示される管理者用操作画面の一例である。
【００９３】
図１７に示すように、管理者用操作画面は、テナント管理者が他のテナントに所属する所属ユーザを、新規に別のテナントに所属させる場合であって、そのユーザに対して新規にロールを付与する場合に表示される画面である。この例では、テナントＢのテナント管理者が、テナントＡに所属するユーザを、テナントＢに登録する場合を示している。
【００９４】
そして、管理者用操作画面には、テナントＢにユーザを登録するとともに、ユーザに対してロールを付与するための登録欄３０１が表示される。
さらに、この例においては、テナントＢのユーザに対してロールを付与する際に、テナントＡとの関係で同じユーザに対してロールが重複して設定される可能性がある場合に、テナントＡにおいてロールが付与されていることを示すメッセージ表示３０２を行う。この例では、メッセージ表示３０２は、テナントＢの管理者に対して、他のテナントであるテナントＡにてユーザに付与されているロールの情報を表示する。
【００９５】
以上、本発明の実施形態について説明したが、本発明の技術的範囲は上記実施の形態には限定されない。本発明の技術思想の範囲から逸脱しない様々な変更や構成の代替は、本発明に含まれる。
【符号の説明】
【００９６】
１…情報処理システム、１０…テナント管理サーバ、１１…ユーザ登録部、１２…ライセンス管理部、１３…ロール設定部、１４…ロール管理部、１５…通知部、１６…情報格納部、１７…操作画面生成部、１８…送受信制御部
【図１】
2020052540.tif 000003
【図２】
2020052540.tif 000004
【図３】
2020052540.tif 000005
【図４】
2020052540.tif 000006
【図５】
2020052540.tif 000007
【図６】
2020052540.tif 000008
【図７】
2020052540.tif 000009
【図８】
2020052540.tif 000010
【図９】
2020052540.tif 000011
【図１０】
2020052540.tif 000012
【図１１】
2020052540.tif 000013
【図１２】
2020052540.tif 000014
【図１３】
2020052540.tif 000015
【図１４】
2020052540.tif 000016
【図１５】
2020052540.tif 000017
【図１６】
2020052540.tif 000018
【図１７】
2020052540.tif 000019