(57)【要約】【課題】サーバと通信できない状態でもアクセス制御ポリシーを定義でき、さらに複数のオフライン時のアクセス制御ポリシーを実現する。【解決手段】オフライン時のさまざまなパターンのアクセス制御ポリシーをインストール媒体に含め、インストール時にクライアント上に保持させ、オフライン時にはトークンデバイスの中に選択するアクセス制御ポリシーの情報を登録し、当該クライアントマシンに接続する事で、当該オフラインポリシーをクライアントマシンに反映させる。【選択図】図３
2010250714.tif 000002
【特許請求の範囲】
【請求項１】
クライアントマシンを認証し該当するオンライン時のアクセス制御ポリシーを該クライアントマシンへ送付するサーバと、該サーバからアクセス制御ポリシーを受信する複数の前記クライアントマシンからなるクライアントサーバシステムであって、
前記サーバは、
前記クライアントマシンを使用する各ユーザの認証情報に加えて、各ユーザのオンラインログイン時のアクセス制御ポリシーであるオンラインポリシーを保持し、さらにオフライン時のアクセス制御ポリシーであるオフラインポリシーを複数パターン保持するアクセス制御ポリシー記憶手段と、
該アクセス制御ポリシー記憶手段に保持された複数パターンのオフラインポリシーを含む前記サーバクライアントサーバシステムを前記クライアントマシンに導入するためのインストール媒体を作成するインストール媒体作成手段と
を有し、
前記クライアントマシンは、
オンラインログイン時にサーバとの間で認証処理を行ない、アクセス制御ポリシーとしてオンラインポリシーを受信し、該クライアントマシンにおいてそのオンラインポリシーを適用してオンラインログイン処理を実行するオンラインログイン処理実行手段と、
前記インストール媒体作成手段が作成したインストール媒体によって、前記クライアントマシンに前記サーバクライアントサーバシステムをインストールすることで前記クライアントマシン上に存在するオフラインポリシーにしたがって、オフライン処理を実行するオフライン処理実行手段と、
オフラインポリシーに関する情報を有し、前記クライアントマシンに接続されるハードウェア機器であるトークンデバイスと
を有し、
前記オフライン処理実行手段は、前記トークンデバイスが接続されているか否かを判断し、接続されていなければ全権限が制限された状態となりオフラインポリシーは適用されず、前記トークンデバイスが接続されていれば該トークンデバイス内の情報と一致するオフラインポリシーを適用してオフライン処理を実行することを特徴とするクライアントサーバシステム。
【請求項２】
請求項１に記載したクライアントサーバシステムであって、
複数のオフラインポリシーに関する情報を前記クライアントマシン上に保持させ、
前記トークンデバイスに登録した情報により、前記複数のオフラインポリシーのうちのいずれを適用するかを選択することを特徴とするクライアントサーバシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログイン時に認証サーバよりアクセス制御ポリシーを取得し、該ポリシーをクライアントマシンに反映させるクライアントサーバシステムに関するものである。
【背景技術】
【０００２】
従来からのクライアントマシンにおけるアクセス制御は、企業のような情報システムを想定すると、クライアントマシンがシステムログイン時に認証サーバよりアクセス制御ポリシーを取得し、ログイン後にはそのアクセス制御ポリシーが反映され、ログアウト後には再度、全権限が制限された状態に戻る。という形式のものが中心となっている。
【０００３】
それらのアクセス制御ポリシーによって保護されるリソースは、ドキュメント、印刷機能、外部媒体へのデータ書き出し機能、およびメール送信機能など多岐にわたる。
【０００４】
そのようなシステムの中に、サーバと通信できない状況での運用も考慮され、ログイン時にオフライン時のアクセス制御ポリシーも取得し、オフライン時に該ポリシーを反映させるというものも存在する。
【０００５】
このサーバと通信できない状況での運用が考慮されたシステムの方式として、例えば、特許文献１に記載の技術が提案されている。特許文献１では、ログイン時に１つのオフライン時のアクセスポリシーを取得し、有効期限内で反映可能という方式を提案している。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００８−３３８５５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１の技術は、１度はクライアントマシンとサーバが必ず通信できる事を前提としており、常にマシンを社外に持ち出して使用するような状況では、既存方式では何もできないという問題点があった。また、適用されるアクセス制御ポリシーは１つだけであり、クライアントマシンがサーバに接続できない状況であっても、ユーザ毎に異なった適度に制限されたアクセス制御ポリシーを実施する、というような柔軟な運用が従来技術では行なう事ができなかった。
【０００８】
本発明の目的は、サーバと通信できない状態でもアクセス制御ポリシーを定義でき、さらに複数のオフライン時のアクセス制御ポリシーを実現できるクライアントサーバシステムを提供することにある。
【課題を解決するための手段】
【０００９】
上記目的を達成するために、本発明のクライアントサーバシステムは、クライアントを認証し該当するオンライン時のアクセス制御ポリシーをクライアントへ送付するサーバと、このサーバからアクセス制御ポリシーを受信する複数のクライアントを備え、サーバには、各ユーザの認証情報に加えて、各ユーザのオンラインログイン時のアクセス制御ポリシーであるオンラインポリシーを保持するものとする。
【００１０】
またサーバは、オフライン時のアクセス制御ポリシーであるオフラインポリシーを複数パターン保持するものとする。クライアントは、通常時においては、オンラインログイン時にサーバとの間で認証処理を行ない、アクセス制御ポリシーとしてオンラインポリシーを受信し、クライアントマシンにおいてそのオンラインポリシーが適用されてオンラインログイン処理が実施される。
【００１１】
オフラインポリシーは、オンラインログイン処理ではクライアントに送付されず、サーバでクライアントにこのシステムを導入するためのインストール媒体を作成する際に、サーバ上に存在する複数のオフラインポリシーをインストール媒体に含ませ、クライアントにシステムをインストールした時からオフラインポリシーがクライアント上に存在する。
【００１２】
ただし、通常のオフライン時にはデフォルトの全権限が制限された状態となり、オフラインポリシーは適用されず、トークンデバイスが接続された時に、トークンデバイス内の情報と一致するオフラインポリシーが適用される。
【発明の効果】
【００１３】
本発明は、オフラインポリシーを複数クライアント上に存在させ、トークンで管理するため、必要な時にその都度管理サーバに接続する必要がなくなる。
【００１４】
また、複数の設定がクライアント上に存在し、トークンによって選択可能であるため、さまざまな状況に柔軟に対応する事が可能であり、管理サーバ上での各ユーザに対する設定作業が軽減される。
【図面の簡単な説明】
【００１５】
【図１】本発明における管理サーバとクライアントを含むシステム全体構成図である。
【図２】本発明で用いるユーザアクセス制御ポリシーデータベースのデータ構成図である。
【図３】本発明における管理サーバとクライアントを含むシステム全体構成図である。
【図４】本発明で用いるオフラインポリシーセットのデータ構成図である。
【図５】ユーザのオンラインログイン時の処理フローの概略図である。
【図６】オフライン時の処理フローの概略図である。
【図７】サーバのオンラインログイン時の処理フローの概略図である。
【図８】アクセス制御を行うミドルウェアの処理の概念図である。
【発明を実施するための形態】
【００１６】
以下、本発明を適用したクライアントサーバシステムの実施の一形態について説明する。
【００１７】
図１は、本発明の一実施形態であるシステムの構成とオンラインログイン時の処理の概要を示している。サーバ103は、アクセス制御ポリシーデータベース(DB)104を備え、ここに各ユーザ毎のオンラインポリシーが保存してある。各クライアントのユーザは、普段はサーバ103とオンラインログオンを行なって、各種の作業を行なう。その通信のたびに、サーバ103からオンラインポリシーを取得しクライアントマシンに保存する。例えば図１では、クライアントマシン101からUser1がオンラインログインすると、サーバ103のアクセス制御ポリシーDB104内のUser1に対するオンラインポリシー111がネットワーク102経由でクライアントマシン101にダウンロードされ、User1のオンラインポリシー121おして保存される。これにより、User1がオンラインログインしたときは、オンラインポリシーに応じてアクセス制御が実行される。
【００１８】
図２は、ユーザ毎のアクセス制御ポリシーDB（図１の104）に格納されている情報の例を示す。管理者は、各ユーザ毎にオンラインポリシーを設定（定義）することができ、設定の後に変更する事もできる。
【００１９】
図３は、本発明の一実施形態であるシステムの構成とオフライン時の処理の概要を示している。サーバ301は図１の103と同じものであるが、さまざまなオフラインポリシーのSet302を保持している。そしてクライアントへ本システムを導入するときに使用するインストール媒体303を作成し、クライアントマシン304にインストールすることで、サーバに保持されているさまざまなオフラインポリシーのSetをクライアントマシン上にも保持させる。オフライン時にどのオフラインポリシーを使用するかは、トークンデバイス305の中の情報により、選択される。トークンが接続していない場合には、全権限が制限される。トークンデバイスの情報は、サーバ301で設定する。
【００２０】
本発明で用いることのできるトークンデバイスとして代表的なものにＵＳＢトークンがある。また、トークンデバイスとして他のハードウェア機器、たとえばＩＣカード、ＰＣカード、携帯電話、ＰＤＡ、Bluetooth（登録商標）機器などが利用可能である。その場合には、その機器を読み取るためのリーダ又は通信手段をクライアントマシンが有していることが必要となる。ＵＳＢトークンの場合には、ＵＳＢインタフェースが汎用的な通信手段としてコンピュータに用いられているので有用性が高い。
【００２１】
図４は、本発明で用いるオフラインポリシーセット（図３の３０２）のデータ構成図である。図４に示すように、オフラインポリシーの組合せが複数準備され、それらの組合せの一つ一つにセット番号が付されている。
【００２２】
図５は、クライアントマシンにおけるオンラインログイン時の処理手順を示すフローチャートである。あるユーザがクライアントマシンからオンラインログインすると、まずステップ501で、サーバ103との間で認証処理を行なう。ステップ502認証に成功したか判別する。認証に失敗した場合は、ステップ503でエラー終了する。認証に成功した場合は、ステップ504で、サーバ103のアクセス制御ポリシーDB104から当該ユーザに対応するオンラインポリシーを取得する。そしてステップ505でオンラインログイン処理を行なう。
【００２３】
図６は、クライアントマシンにおけるオフライン時の処理手順を示すフローチャートである。オフライン環境であるため、サーバとの認証処理が無く、ステップ601で、オフラインポリシーの選択情報を持つトークンデバイスが接続されているかを確認する。トークンデバイスが接続されていない場合には、ステップ602でデフォルトの全権限を制限の設定にする。トークンデバイスが接続されていた場合には、ステップ603で、トークンより適用するオフラインポリシーの情報を取得し、ステップ604で該当するオフラインポリシーをクライアントマシンに適用する。ステップ605で、操作ログ取得レベルを上げて全ての操作を監視できるようにする。
【００２４】
図７は、オンラインログイン時のサーバ103側の処理手順を示すフローチャートである。サーバ103は、任意のクライアントからログイン要求を受け、ステップ701でそのユーザ名と認証情報を受信する。ステップ702でユーザの認証情報が正しいか判定し、正しくないときは、ステップ703でログイン失敗の処理を行なう。ユーザの認証情報が正しいときは、ステップ704で、アクセス制御ポリシーDB104を検索し、当該ユーザに対応するオンラインポリシーを取り出す。ステップ705でオンラインポリシーを当該ユーザへ送信し、通常のオンラインログイン処理に入る。
【００２５】
図８は、アクセス制御を行うミドルウェアの処理の概念図である。ミドルウェアは、アクセス制御を行う典型的なソフトウェアである。ミドルウェア８０２は、アプリケーション８０１とオペレーティングシステム８０３との間でアプリケーションからの要求をモニタリングし、どの要求を許可／禁止するかを決定する。また、アプリケーション８０１の挙動について、アプリケーション操作ログ８０４を出力する機能を通常持っている。このミドルウェアは、通常オペレーティングシステムの処理へのフック技術（ＯＳの各処理に独自の前処理を付加できる技術）を利用し、独自のアクセス制御ポリシーに基づいたアクセス制御を実現する。
【産業上の利用可能性】
【００２６】
オフライン時にアクセス制御を実現しようとするコンピュータシステムに利用可能である。
【符号の説明】
【００２７】
１０１，３０４  クライアントマシン
１０２  ネットワーク
１０３，３０１  サーバ
１０４  アクセス制御ポリシーＤＢ
３０２  オフラインポリシーセット
３０３  インストール媒体
３０６  トークンデバイス
８０１  アプリケーション
８０２  モニタリングミドルウェア
８０３  オペレーティングシステム
８０４  アプリケーション操作ログ
【図１】
2010250714.tif 000003
【図２】
2010250714.tif 000004
【図３】
2010250714.tif 000005
【図４】
2010250714.tif 000006
【図５】
2010250714.tif 000007
【図６】
2010250714.tif 000008
【図７】
2010250714.tif 000009
【図８】
2010250714.tif 000010