(57)【要約】      （修正有）【課題】システムの仕様に関わらず、システムごとに設定されるユーザーの権限情報を共通の処理で生成し、付与することができる情報処理システム、情報処理方法及びプログラムを提供する。【解決手段】情報処理システムは、ユーザー情報取得部、権限ロール付与部及び権限設定部を備える。ユーザー情報取得部は、ユーザーのユーザー属性を含むユーザー情報を取得するＳ１１。権限ロール付与部は、ユーザーに対して、ユーザー属性に予め関連付けられた権限ロールを付与するＳ１２〜Ｓ１４。権限設定部は、付与された権限ロールに予め関連付けられたシステムごとのシステム権限情報を、権限ロールが付与されたユーザーのシステム権限情報として設定するＳ１５〜Ｓ１９。【選択図】図４
2020052759.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して接続された複数のシステムに対して、当該複数のシステムを利用するユーザーのシステム権限情報を前記システムごとに設定する情報処理システムであって、
前記ユーザーのユーザー属性を含むユーザー情報を取得するユーザー情報取得部と、
前記ユーザーに対して、前記ユーザー属性に予め関連付けられた権限ロールを付与する権限ロール付与部と、
付与された前記権限ロールに予め関連付けられた前記システムごとのシステム権限情報を、前記権限ロールが付与された前記ユーザーのシステム権限情報として設定する権限設定部と、
を備える、情報処理システム。
【請求項２】
前記ユーザー属性に基づいて定義された権限ルールに対して前記権限ロールが関連付けられた権限ルール部を備え、
前記権限ロール付与部は、前記権限ルール部を参照して、前記ユーザーに対して前記権限ロールを付与する、請求項１に記載の情報処理システム。
【請求項３】
前記権限ロールに対して権限セットが関連付けられた権限ロール部と、前記権限セットに対して前記システム権限情報が関連付けられた権限セット部と、を備え、
前記権限設定部は、前記権限ロール部及び前記権限セット部を参照して、前記システム権限情報を設定する、請求項１又は２に記載の情報処理システム。
【請求項４】
前記権限設定部は、前記ユーザーに対して複数の前記権限ロールが付与されることにより、前記システムにおいて同種のシステム権限情報が複数該当することになった場合、予め定められた優先順に従って、当該ユーザーのシステム権限情報を設定する、請求項１から３のいずれか一項に記載の情報処理システム。
【請求項５】
前記ユーザー属性は、複数の属性情報を含み、
前記権限ロールは、前記複数の属性情報の組合せによって定義されている、請求項１から４のいずれか一項に記載の情報処理システム。
【請求項６】
前記ユーザー情報取得部は、前記ネットワークに接続されている人事システムから前記ユーザー情報を取得する、請求項１から５のいずれか一項に記載の情報処理システム。
【請求項７】
ネットワークを介して接続された複数のシステムに対して、当該複数のシステムを利用するユーザーのシステム権限情報を前記システムごとに設定する情報処理方法であって、
前記ユーザーのユーザー属性を含むユーザー情報を取得する工程と、
前記ユーザーに対して、前記ユーザー属性に予め関連付けられた権限ロールを付与する工程と、
付与された前記権限ロールに予め関連付けられた前記システムごとのシステム権限情報を、前記権限ロールが付与された前記ユーザーのシステム権限情報として設定する工程と、
を備える、情報処理方法。
【請求項８】
ネットワークを介して接続された複数のシステムに対して、当該複数のシステムを利用するユーザーのシステム権限情報を前記システムごとに設定するコンピューターに、
前記ユーザーのユーザー属性を含むユーザー情報を取得する処理と、
前記ユーザーに対して、前記ユーザー属性に予め関連付けられた権限ロールを付与する処理と、
付与された前記権限ロールに予め関連付けられた前記システムごとのシステム権限情報を、前記権限ロールが付与された前記ユーザーのシステム権限情報として設定する処理と、
を実行させる、プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理システム、情報処理方法及びプログラムに関し、特に、複数のシステムに対してユーザーのシステム権限情報を付与する技術に関する。
【背景技術】
【０００２】
近年、多くの企業において社内ネットワークが構築され、個々のＰＣで複数の業務システムやサービス（以下、単に「システム」と称する）を利用できるようになっている。ネットワーク上のシステムの利用に際しては、情報セキュリティの観点から、ユーザーごとにシステム利用情報（ユーザーＩＤ及びパスワード等の認証情報を含む、アカウント情報とも呼ばれる）が設定されるとともに、適切なシステム権限情報（アクセス権限及び利用権限を含む）が設定される。最近では、システムごとに設定されるユーザーのシステム利用情報及びシステム権限情報を一括して管理する情報処理システム（以下、「ＩＤ管理システム」と称する）の導入が進められている。ＩＤ管理システムでは、例えば、ユーザーの属性（例えば、社員区分（正社員／派遣社員）や所属部署）に基づいてシステムごとに権限情報が設定され、ユーザーのシステム利用情報に対応付けられる（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特許第５５０９９４１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１等に開示されている従来のＩＤ管理システムでは、ユーザーが利用できるシステムのリストのみを内包したロールをユーザーごとに個別に割り当て、割り当てられたロールに内包されているシステムに対して当該ユーザーのシステム利用情報を付与する仕組みを備えているにすぎない。そのため、ユーザーの属性に応じて一般的な業務システムが備えている権限情報まで自動的に付与しようとすると、各システムと連携するための処理プログラム（例えば、権限情報の生成プログラム）を、それぞれのシステムの仕様に合わせて個別に開発しなければならず、開発時間及び工数が増大する虞があり、システム導入時の障壁となっている。
【０００５】
本発明の目的は、システムの仕様に関わらず、システムごとに設定されるユーザーごとのシステム権限情報をユーザーの属性に応じて自動的に払い出すことを共通の処理で生成し、付与することができる情報処理システム、情報処理方法及びプログラムを提供することである。
【課題を解決するための手段】
【０００６】
本発明に係る情報処理システムは、
ネットワークを介して接続された複数のシステムに対して、当該複数のシステムを利用するユーザーのシステム権限情報を前記システムごとに設定する情報処理システムであって、
前記ユーザーのユーザー属性を含むユーザー情報を取得するユーザー情報取得部と、
前記ユーザーに対して、前記ユーザー属性に予め関連付けられた権限ロールを付与する権限ロール付与部と、
付与された前記権限ロールに予め関連付けられた前記システムごとのシステム権限情報を、前記権限ロールが付与された前記ユーザーのシステム権限情報として設定する権限設定部と、を備える。
【０００７】
本発明に係る情報処理方法は、
ネットワークを介して接続された複数のシステムに対して、当該複数のシステムを利用するユーザーのシステム権限情報を前記システムごとに設定する情報処理方法であって、
前記ユーザーのユーザー属性を含むユーザー情報を取得する工程と、
前記ユーザーに対して、前記ユーザー属性に予め関連付けられた権限ロールを付与する工程と、
付与された前記権限ロールに予め関連付けられた前記システムごとのシステム権限情報を、前記権限ロールが付与された前記ユーザーのシステム権限情報として設定する工程と、を備える。
【０００８】
本発明に係るプログラムは、
ネットワークを介して接続された複数のシステムに対して、当該複数のシステムを利用するユーザーのシステム権限情報を前記システムごとに設定するコンピューターに、
前記ユーザーのユーザー属性を含むユーザー情報を取得する処理と、
前記ユーザーに対して、前記ユーザー属性に予め関連付けられた権限ロールを付与する処理と、
付与された前記権限ロールに予め関連付けられた前記システムごとのシステム権限情報を、前記権限ロールが付与された前記ユーザーのシステム権限情報として設定する処理と、を実行させる。
【発明の効果】
【０００９】
本発明によれば、システムの仕様に関わらず、システムごとに設定されるユーザーのシステム権限情報を共通の処理で生成し、付与することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施の形態に係るＩＤ管理システムを適用した社内ネットワークの概略構成を示す図である。
【図２】図２は、ＩＤ管理システムを利用してシステム権限情報を設定する際のデータの流れを示す図である。
【図３】図３は、ＩＤ管理システムのハードウェア構成を示す図である。
【図４】図４は、権限設定処理の一例を示すフローチャートである。
【図５】図５は、ユーザー情報のデータ構成を示す図である。
【図６】図６は、権限ロールとユーザー属性の対応関係の一例を示す図である。
【図７】図７は、権限ロールと権限セットの対応関係の一例を示す図である。
【図８】図８は、権限セットと権限情報の対応関係の一例を示す図である。
【図９】図９は、システムごとに設定されたユーザーの権限情報の一例を示す図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施の形態を、図面を参照して詳細に説明する。
【００１２】
図１は、本発明の一実施の形態に係るＩＤ管理システム１を適用した社内ネットワークシステムＳの概略構成を示す図である。
図１に示すように、社内ネットワークシステムＳは、ＩＤ管理システム１、業務システム２、及びクライアント端末３を備える。ＩＤ管理システム１、業務システム２、及びクライアント端末３は、例えば、汎用のＰＣで構成され、社内ＬＡＮ等の通信ネットワークを介して、相互に通信可能に接続される。また、社内ネットワークシステムＳは、人事システム４を備え、ＩＤ管理システム１は、人事システム４から社員のユーザー情報を含む源泉データ（例えば、ＣＳＶデータ）を入手することができる。
【００１３】
業務システム２は、クラインアント端末３からの利用要求に対して、各種のサービスを提供するシステムである。本実施の形態では、業務システム２として、例えば、交通費清算等のワークフローを提供するＡシステム２１、文書管理を行うＢシステム２２、在庫管理を行うＣシステム２３、会計処理を行うＤシステム２４、スケジューラーを提供するＮシステム２５等を備えている。
【００１４】
クライアント端末３は、通常の業務に使用されるＰＣであり、例えば、ノートＰＣ３１、スマートフォン等の携帯端末３２、及びデスクトップＰＣ３３等を含む。
【００１５】
クライアント端末３は、業務システム２のログイン画面において、認証情報（例えば、ユーザーＩＤ及びパスワード）を入力して利用要求を行うことにより、業務システム２のサービスを利用可能となる。業務システム２では、ユーザー属性に基づいて、ユーザーごとにシステム権限情報（アクセス権限及び利用権限を含む、以下、単に「権限情報」と称する）が設定されており、利用できるサービスが制限されている。ユーザー属性は、例えば、所属部署、役職、及び社員区分（正社員又は派遣社員）を含む。
【００１６】
ＩＤ管理システム１は、業務システム２にログインするための認証情報を一括して管理するとともに、システム２１〜２５ごとにユーザーの権限情報を設定する。具体的には、図２に示すように、ＩＤ管理システム１は、人事システム４から源泉データ（人事情報の一例）を入手し、源泉データに含まれるユーザー情報に基づいて、システム２１〜２５ごとの権限データＤａ〜Ｄｎを生成し、各システム２１〜２５に付与する。権限データＤａ〜Ｄｎは、各システム２１〜２５において、ユーザーのシステム利用情報（アカウント情報）に対応づけて管理される。
【００１７】
本実施の形態では、ＩＤ管理システム１が、システム２１〜２５ごとの権限データＤａ〜Ｄｎを、システム２１〜２５の仕様に関わらず、共通の処理により生成し、設定できる点が特徴的である。以下に、ＩＤ管理システム１によるシステム権限情報の設定について、詳細に説明する。
【００１８】
図３は、ＩＤ管理システム１のハードウェア構成を示す図である。
図３に示すように、ＩＤ管理システム１は、演算／制御装置としてのＣＰＵ（Central Processing Unit）１１、主記憶装置としてのＲＡＭ（Random Access Memory）１２及びＲＯＭ（Read Only Memory）１３、記憶部１４、表示部１５、操作入力部１６、ネットワークＩ／Ｆ１７、及び外部機器Ｉ／Ｆ１８等を有する。各ユニット１２〜１８は、システムバス１９を介してＣＰＵ１１に接続される。
【００１９】
ＲＯＭ１３には、例えば、ＢＩＯＳ（Basic Input/Output System）、ファームウェア等の基本プログラムや、基本的な設定データが記憶される。ＣＰＵ１１は、記憶部１４から処理内容に応じたプログラムを読み出してＲＡＭ１２に展開し、展開したプログラムを実行することにより、各種機能を実現する。本実施の形態では、ＣＰＵ１１は、記憶部１４に記憶されている権限設定プログラム１４４を実行することにより、ユーザー情報取得部、権限ロール付与部、及び権限設定部として機能する。これらの機能の詳細については、図４のフローチャートに従って後述する。
【００２０】
記憶部１４は、例えば、不揮発性の半導体メモリ（いわゆるフラッシュメモリ）やハードディスクドライブ等の補助記憶装置である。記憶部１４は、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disc）、ＢＤ（Blu-ray Disc、「Blu-ray」は登録商標）等の光ディスク、ＭＯ（Magneto-Optical disk）等の光磁気ディスクを駆動して情報を読み書きするディスクドライブであってもよい。
【００２１】
本実施の形態では、記憶部１４は、権限設定プログラム１４４とともに、権限設定処理において参照される権限ルール部１４１、権限ロール部１４２、及び権限セット部１４３のデータを記憶する。
権限ルール部１４１は、ユーザー属性に基づいて権限ロールを特定し、割り当てるためのデータであり、ユーザー属性に基づいて定義された権限ルールに対して権限ロールが関連付けられている。権限ロール部１４２は、権限ロールに対応する権限セットを特定し、割り当てるためのデータであり、権限ロールに対して権限セットが関連付けられている。権限セット部１４３は、権限セットに対応する権限情報を特定し、割り当てるためのデータであり、権限セットに対して権限情報が関連付けられている。
権限ルール部１４１、権限ロール部１４２及び権限セット部１４３のデータは、ユーザー（システム管理者等）によって、適宜追加、変更又は削除することができる。
【００２２】
表示部１５は、例えば、液晶ディスプレイ、有機ＥＬディスプレイ、ＣＲＴディスプレイ等で構成される。表示部１５は、ＣＰＵ１１の指示に従って、画面表示を行う。
【００２３】
操作入力部１６は、テンキー、スタートキー等の各種操作キー、及びマウス等のポインティングデバイスを備え、ユーザーによる各種入力操作を受け付けて、操作信号をＣＰＵ１１に出力する。ユーザーは、操作入力部１６を操作して、権限設定プログラム１４４の実行や、設定データ（権限ルール部１４１、権限ロール部１４２及び権限セット部１４３）の変更等を行うことができる。
なお、表示部１５及び操作入力部１６は、例えば、タッチパネル付きのフラットパネルディスプレイにより、一体的に設けられてもよい。
【００２４】
ネットワークＩ／Ｆ１７は、有線／無線ＬＡＮ（Local Area Network）等の通信ネットワークを介して外部機器と通信を行うためのインターフェースである。ＣＰＵ１１は、ネットワークＩ／Ｆ１７を介して、ネットワークに接続された外部機器（例えば、業務システム２）との間で、各種情報の送受信を行う。
【００２５】
外部機器Ｉ／Ｆ１８は、ＵＳＢ（Universal Serial Bus）等の通信バスを介して外部機器を接続するためのインターフェースである。ＣＰＵ１１は、外部機器Ｉ／Ｆに接続された外部機器との間で、各種情報の送受信を行う。
【００２６】
図４は、ＩＤ管理システム１で実行される権限設定処理の一例を示すフローチャートである。この処理は、例えば、定期的に、又はユーザー（システム管理者）の操作に基づいて、ＣＰＵ１１が記憶部１４に格納されている権限設定プログラム１４４を実行することにより実現される。
【００２７】
図４のステップＳ１１において、ＣＰＵ１１は、人事システム４から人事情報（例えば、源泉データ）を入手し、ユーザー情報を抽出して取得する（ユーザー情報取得部としての処理）。取得されるユーザー情報は、図５に示すように、社員ＩＤ、氏名、及びユーザー属性を含む。本実施の形態では、ユーザー属性として、所属部署、役職及び社員区分を利用している。人事システム４と連携して、人事情報からユーザー情報を取得することで、異動や退職などに伴うユーザー属性の変更を、を容易に反映させることができる。
【００２８】
ステップＳ１２において、ＣＰＵ１１は、権限ルール部１４１から権限ルール情報を取得する（権限ロール付与部としての処理）。権限ルール部１４１には、図６に示すように、ユーザー属性に基づいて定義された権限ルールに対して権限ロールが関連付けられている。具体的には、権限ルールは、「所属部署」、「役職」及び「社員区分」という複数の属性情報の組合せによって定義される。図６に示す権限ルールでは、ユーザー属性に基づいて権限を付与する条件（以下、「許可条件」と称する）が定義されている。なお、権限ルールでは、ユーザー属性に基づいて権限を付与しない条件（以下、「除外条件」と称する）が定義されてもよい。例えば、許可条件に「経理部」を指定し、除外条件に「課長」を指定した権限ルールに従うと、経理部に所属する課長以外のユーザーを、当該権限ルールに該当するユーザーとして抽出することができる。
【００２９】
ステップＳ１３において、ステップＳ１１で取得したユーザー情報に含まれるユーザー属性と、ステップＳ１２で取得した権限ルール情報に基づいて、それぞれの権限ルールに該当するユーザーを抽出し、当該ユーザーに権限ロールを付与する（権限ロール付与部としての処理）。ステップＳ１３の処理は、ステップＳ１２で取得した全ての権限ルールに対して行われる。
【００３０】
図５、図６に従うと、「正社員」という権限ルールに該当するユーザーとして、社員区分が「正社員」である、鈴木一郎（社員ＩＤ：Ａ００１）と、鈴木三郎（社員ＩＤ：Ａ００３）が抽出され、当該ユーザーに「正社員ロール」という権限ロールが付与される。また、「経理部（正社員）」という権限ルールに該当するユーザーとして、所属部署が「経理部」、社員区分が「正社員」である、鈴木三郎（社員ＩＤ：Ａ００３）が抽出され、当該ユーザーに「経理部（正社員）ロール」という権限ロールが付与される。また、「経理部（その他）」という権限ルールに該当するユーザーとして、所属部署が「経理部」、社員区分が「正社員以外」（すなわち、派遣社員）である、鈴木四郎（社員ＩＤ：Ａ００４）が抽出され、当該ユーザーに「経理部（その他）ロール」という権限ロールが付与される。また、「課長のみ」という権限ルールに該当するユーザーとして、役職が「課長」である鈴木三郎（社員ＩＤ：Ａ００３）が抽出され、当該ユーザーに「課長ロール」という権限ロールが付与される。鈴木三郎に対しては、「正社員ロール」、「経理部（正社員）ロール」、及び「課長ロール」の３つの権限ロールが付与されることになる。
【００３１】
ステップＳ１４において、ＣＰＵ１１は、ステップＳ１３で全ユーザーに対して付与された権限ロールを、ユーザーごとに取得する（権限ロール付与部としての処理）。１のユーザーに対して複数の権限ロールが付与された場合は、すべての権限ロールが取得される。
【００３２】
ステップＳ１５において、ＣＰＵ１１は、権限ロール部１４２を参照して、権限ロールに対応する権限セットを割り当てる（権限設定部としての処理）。権限ロール部１４２には、図７に示すように、権限ロールに対して権限セットが関連付けられている。
【００３３】
図７に従うと、「正社員ロール」という権限ロールには、「Ａシステム（正社員）」、「Ｂシステム（正社員）」、「Ｃシステム（正社員）」という権限セットが割り当てられる。「経理部（正社員）ロール」という権限ロールには、「Ｄシステム（経理部（正社員））」という権限セットが割り当てられる。「経理部（その他）ロール」という権限ロールには、「Ｄシステム（経理部（その他））」という権限セットが割り当てられる。「課長ロール」という権限ロールには、「Ａシステム（承認者）」という権限セットが割り当てられる。
【００３４】
ステップＳ１６において、ＣＰＵ１１は、権限セット部１４３を参照して、権限セットを展開する（権限設定部としての処理）。権限セット部１４３には、図８に示すように、権限セットに対して権限情報が関連付けられている。
【００３５】
具体的には、「Ａシステム（正社員）」という権限セットには、「申請権限」、「参照権限」という権限情報が関連付けられている。「Ｂシステム（正社員）」という権限セットには、「変更権限」という権限情報が関連付けられている。「Ｃシステム（正社員）」という権限セットには、「入力権限」、「自部門参照権限」という権限情報が関連付けられている。「Ｄシステム（経理部（正社員））」という権限セットには、「決済権限」という権限情報が関連付けられている。「Ｄシステム（経理部（その他））」という権限セットには、「入力権限」という権限情報が関連付けられている。「Ａシステム（承認者）」という権限セットには、「承認権限」という権限情報が関連付けられている。また、各権限情報には、権限カテゴリコードが関連付けられており、さらに権限カテゴリコードが同一の権限情報には、優先順位が登録されている。
【００３６】
本実施の形態では、ステップＳ１４において権限ルールごとに該当するユーザーが抽出され、抽出されたユーザーに対して当該権限ルールに関連付けられた権限ロールが付与される。そのため、鈴木三郎のように、複数の権限ロールが付与される場合もある。この場合、同一のシステムにおいて、同種の権限情報が重複して設定されうる場合がある。本実施の形態では、このように同種の権限情報が設定されうる場合、予め設定された優先順位に従って、上位の権限情報が設定されるようになっている。
【００３７】
ここで、「同種の権限」とは、上位権限に下位権限が包括されている場合の、上位権限と下位権限のことであり、同一システム内で権限カテゴリコード（図８参照）が同一である権限を指す。例えば、図８において、Ａシステムの権限情報である「承認権限」と「申請権限」は権限カテゴリコードが「Ａ−０１」で同じであり、Ｄシステムの権限情報である「決裁権限」と「入力権限」は権限カテゴリコードが「Ｄ−０１」で同じである。したがって、これらの権限は、上位権限と下位権限の関係にある同種の権限となる。また、同種の権限としては、「編集権限」と「閲覧権限」等も挙げられる。
【００３８】
すなわち、ステップＳ１７において、ＣＰＵ１１は、同一の権限カテゴリ内で重複する同種の権限情報があるか否かを判定する（権限設定部としての処理）。重複する同種の権限情報がある場合で、かつ、優先順位が登録されている場合（ステップＳ１７で“ＹＥＳ”）、ステップＳ１８の処理に移行する。重複する同種の権限情報がない場合、または、重複する同種の権限情報があっても、優先順位が登録されていない場合（ステップＳ１７で“ＮＯ”）、ステップＳ１９の処理に移行する。
例えば、鈴木三郎のＡシステム２１の権限情報については、「正社員ロール」と「課長ロール」という権限ロールが付与された結果、「正社員ロール」に関連付けられた「申請権限」と「課長ロール」に関連付けられた「承認権限」という同種の権限情報が重複することになる。
【００３９】
ステップＳ１８において、ＣＰＵ１１は、権限セット部１４３を参照して、ステップＳ１６で展開された同種の権限情報のうち優先順位の高い権限情報をシステム権限情報として設定する（権限設定部としての処理）。
【００４０】
また、ステップＳ１９において、ＣＰＵ１１は、ステップＳ１６で展開された権限情報をシステム権限情報として設定する（権限設定部としての処理）。なお、重複する同種の権限情報があっても優先順位が登録されていない場合は、展開された全ての権限情報がシステム権限情報として設定される。
【００４１】
ステップＳ２０において、ＣＰＵ１１は、すべてのユーザーに対して、ステップＳ１４〜Ｓ１９の処理が終了したか判定する。すべてのユーザーに対する処理が終了した場合（ステップＳ２０で“ＹＥＳ”）、ステップＳ２１の処理に移行する。すべてのユーザーに対する処理が終了していない場合（ステップＳ２０で“ＮＯ”）、ステップＳ１４の処理に移行する。
【００４２】
ステップＳ２１において、ＣＰＵ１１は、設定されたシステム権限情報を含む権限データＤａ〜Ｄｎを、各システム２１〜２５に対して送信する（図２参照）。権限データＤａ〜Ｄｎは、各システム２１〜２５において解析され、ユーザーのシステム利用情報に対応づけてシステム権限情報が管理される。
以上のようにして、ユーザーごとに各システム２１〜２５のシステム権限情報が設定される。
【００４３】
なお、ＩＤ管理システム１において、権限設定処理と並行して、各システム２１〜２５におけるユーザーごとのシステム利用情報を生成する処理が実施され、各システム２１〜２５に対して、システム権限情報とともにシステム利用情報が送信されるようにしてもよい。
【００４４】
上記の権限設定処理の結果、図９に示すように、ユーザーごとにシステム権限情報が設定される。
すなわち、鈴木一郎（社員ＩＤ：００１）は、総務部所属の正社員であり、権限ルール「正社員」に該当するので、「正社員ロール」が付与される（図６参照）。当該権限ロールには、「Ａシステム（正社員）」、「Ｂシステム（正社員）」、「Ｃシステム（正社員）」の３つの権限セットが関連付けられている（図７参照）。
図８の権限セット部１４３を参照すると、権限セット「Ａシステム（正社員）」には、Ａシステムの「申請権限」及び「参照権限」という権限情報が、権限セット「Ｂシステム（正社員）」には、Ｂシステムの「変更権限」という権限情報が、権限セット「Ｃシステム（正社員）」には、Ｃシステムの「入力権限」及び「自部門参照権限」という権限情報が関連付けられている。
したがって、鈴木一郎（社員ＩＤ：００１）のＡシステム２１の権限データＤａには「申請権限」及び「参照権限」が設定され、Ｂシステム２２の権限データＤｂには「変更権限」が設定され、Ｃシステム２３の権限データＤｃには「入力権限」及び「自部門参照権限」が設定される（図９参照）。
【００４５】
また、鈴木二郎（社員ＩＤ：００２）は、総務部所属の派遣社員であり、該当する権限ルールはないので、権限ロールは付与されない（図６参照）。したがって、鈴木二郎（社員ＩＤ：００２）については、いずれのシステム２１〜２５に対しても権限情報は設定されない。つまり、鈴木二郎は、業務システム２を利用することはできない。
【００４６】
また、鈴木三郎（社員ＩＤ：００３）は、経理部所属の正社員の課長であり、権限ルール「正社員」、「経理部（正社員）」、「課長のみ」に該当するので、「正社員ロール」、「経理部（正社員）ロール」、「課長ロール」の３つの権限ロールが付与される（図６参照）。「正社員ロール」には「Ａシステム（正社員）」、「Ｂシステム（正社員）」、「Ｃシステム（正社員）」の３つの権限セットが関連付けられている（図７参照）。「経理部（正社員）ロール」には「Ｄシステム（経理部（正社員））」という権限セットが関連付けられている（図７参照）。「課長ロール」には「Ａシステム（承認者）」という権限セットが関連付けられている（図７参照）。
図８の権限セット部１４３を参照すると、権限セット「Ａシステム（正社員）」には、Ａシステムの「申請権限」及び「参照権限」という権限情報が、権限セット「Ｂシステム（正社員）」には、Ｂシステムの「変更権限」という権限情報が、権限セット「Ｃシステム（正社員）」には、Ｃシステムの「入力権限」及び「自部門参照権限」という権限情報が関連付けられている。また、権限セット「Ｄシステム（経理部（正社員））」には、Ｄシステムの「決済権限」という権限情報が関連付けられている。また、権限セット「Ａシステム（承認者）」には、Ａシステムの「承認権限」という権限情報が関連付けられている。
ここで、Ａシステム２１について、「申請権限」と「承認権限」は、同一システム内で同一の権限カテゴリに属する同種の権限情報に相当するので、優先順位が上位の権限である「承認権限」が設定される。
したがって、鈴木三郎（社員ＩＤ：００３）のＡシステム２１の権限データＤａには「承認権限」及び「参照権限」が設定され、Ｂシステム２２の権限データＤｂには「変更権限」が設定され、Ｃシステム２３の権限データＤｃには「入力権限」及び「自部門参照権限」が設定され、Ｄシステム２４の権限データＤｄには「決済権限」が設定される（図９参照）。
【００４７】
また、鈴木四郎（社員ＩＤ：００４）は、経理部所属の派遣社員であり、権限ルール「経理部（その他）」に該当するので、「経理部（その他）ロール」が付与される（図６参照）。当該権限ロールには、「Ｄシステム（経理部（その他））」という権限セットが関連付けられている（図７参照）。
図８の権限セット部１４３を参照すると、権限セット「Ｄシステム（経理部（その他））」には、Ｄシステムの「入力権限」が関連付けられている。
したがって、鈴木四郎（社員ＩＤ：００４）のＤシステム２４の権限データＤｄには「入力権限」が設定される（図９参照）。
【００４８】
このように、本実施の形態に係るＩＤ管理システム１（情報処理システム）は、ネットワークを介して接続された業務システム２（複数のシステム）に対して、当該業務システム２を利用するユーザーのシステム権限情報を業務システム２ごとに設定する情報処理システムであって、ユーザーのユーザー属性を含むユーザー情報を取得するユーザー情報取得部（ＣＰＵ１１）と、ユーザーに対して、ユーザー属性に予め関連付けられた権限ロールを付与する権限ロール付与部（ＣＰＵ１１）と、付与された権限ロールに予め関連付けられた業務システム２ごとのシステム権限情報を、権限ロールが付与されたユーザーのシステム権限情報として設定する権限設定部（ＣＰＵ１１）と、を備える。
【００４９】
また、実施の形態に係る権限付与方法は、
ネットワークを介して接続された業務システム２（複数のシステム）に対して、当該業務システム２を利用するユーザーのシステム権限情報を業務システム２ごとに設定する情報処理方法であって、ユーザーのユーザー属性を含むユーザー情報を取得する工程（図４のステップＳ１１）と、ユーザーに対して、ユーザー属性に予め関連付けられた権限ロールを付与する工程（図４のステップＳ１２、Ｓ１３）と、付与された権限ロールに予め関連付けられた業務システム２ごとのシステム権限情報を、権限ロールが付与されたユーザーのシステム権限情報として設定する工程と、を備える。
【００５０】
また、実施の形態に係る権限情報設定プログラム１４４は、ネットワークを介して接続された業務システム２（複数のシステム）に対して、当該業務システム２を利用するユーザーのシステム権限情報を業務システム２ごとに設定するＣＰＵ１１（コンピューター）に、ユーザーのユーザー属性を含むユーザー情報を取得する処理（図４のステップＳ１１）と、ユーザーに対して、ユーザー属性に予め関連付けられた権限ロールを付与する処理（図４のステップＳ１２、Ｓ１３）と、付与された権限ロールに予め関連付けられたシステムごとのシステム権限情報を、権限ロールが付与されたユーザーのシステム権限情報として設定する処理（図４のステップＳ１４〜Ｓ１９）と、を実行させる。
この権限付与プログラム１４４は、例えば、当該プログラムが格納されたコンピューター読取可能な可搬型記憶媒体（光ディスク、光磁気ディスク、及びメモリカードを含む）を介して提供される。また例えば、このプログラムは、当該プログラムを保有するサーバーから、ネットワークを介してダウンロードにより提供することもできる。
【００５１】
実施の形態に係るＩＤ管理システム１、権限設定方法及び権限設定プログラム１４４によれば、ユーザー属性に基づいて定義された権限ルールに該当するユーザーに対して、当該権限ルールに関連付けられた権限ロールが付与され、その権限ロールに関連付けられた権限情報が設定されるので、業務システム２の仕様に関わらず、業務システム２ごとに設定されるユーザーのシステム権限情報を共通の処理で生成し、付与することができる。
これにより、異動や退職等によるユーザー又はユーザー属性の変更や、業務システム２の変更にも、例えば、権限ルール部１４１、権限ロール部１４２及び権限セット部１４３のデータ内容を変更するだけで柔軟に対応できるので、権限設定対象者の可視化やセキュリティ対策を強化することができるとともに、短納期かつ低コストで導入することができる。
【００５２】
具体的には、新たに業務システムを追加する場合には、権限セット部１４３、権限ロール部１４２、及び権限ルール部１４１に、当該システムに係る情報を登録するだけで、処理プログラムを開発することなくシステム追加に対応することができる。
【００５３】
また例えば、ユーザーに人事異動（入社、所属異動、出向、昇格・降格、退職等）が発生した場合には、権限ルール部１４１の情報に従い、旧ユーザー属性によるシステム権限情報の削除、及び新ユーザー属性によるシステム権限情報の付与が連動して行われることにより、特定の時点におけるユーザー属性に基づいた適正な権限が担保できる。
【００５４】
また例えば、定義された権限ルール部１４１、権限ロール部１４２、または権限セット部１４３を確認するだけで、誰にどのようなシステム権限情報が付与されるか可視化されるため、権限の一元管理が可能となり、適切な時期に、適切な人に、適切なシステム権限情報を付与することが可能となり、セキュリティの向上に資することができる。
【００５５】
以上、本発明者によってなされた発明を実施の形態に基づいて具体的に説明したが、本発明は上記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で変更可能である。
【００５６】
例えば、実施の形態では、ユーザーごとに付与された権限ロールに対して権限セットが関連付けられ（権限ロール部１４２）、権限セットに対してシステム権限情報が関連付けられている（権限セット部１４３）が、これは、権限ロールに対してシステム権限情報が関連付けられていることに他ならない。すなわち、権限ロール部１４２は、権限セット部１４３を包含するデータ構成を有し、権限ロールに対してシステム権限情報が直接的に関連付けられていてもよい。
【００５７】
今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
【符号の説明】
【００５８】
Ｓ  社内ネットワークシステム
１  ＩＤ管理システム（情報処理システム）
１１  ＣＰＵ（ユーザー情報取得部、権限ロール付与部、権限設定部）
１２  ＲＡＭ
１３  ＲＯＭ
１４  記憶部
１５  表示部
１６  操作入力部
１７  ネットワークＩ／Ｆ
１８  外部機器Ｉ／Ｆ
１４１  権限ルール部
１４２  権限ロール部
１４３  権限セット部
１４４  権限設定プログラム
２  業務システム
【図１】
2020052759.tif 000003
【図２】
2020052759.tif 000004
【図３】
2020052759.tif 000005
【図４】
2020052759.tif 000006
【図５】
2020052759.tif 000007
【図６】
2020052759.tif 000008
【図７】
2020052759.tif 000009
【図８】
2020052759.tif 000010
【図９】
2020052759.tif 000011