(57)【特許請求の範囲】
【請求項１】
アクセス元であるサブジェクトからアクセス先であるオブジェクトへのアクセスを制御する複数のアクセス制御実施手段と、
オブジェクトグループと前記オブジェクトとの関係、前記オブジェクトとアクションとの関係、前記オブジェクトと前記複数のアクセス制御実施手段の各々との関係、前記各アクセス制御実施手段と前記各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報を格納し、要求された関係に関する情報を検索し、検索結果を出力するシステム構成管理手段と、
前記システム構成管理手段を参照し、前記サブジェクトと前記オブジェクトグループと前記アクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、前記複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なる、前記サブジェクトと前記オブジェクトと前記アクションとの組に関する情報を記載したアクセス制御リストを生成するポリシーエンジンと
を具備する
アクセス制御システム。
【請求項２】
請求項１に記載のアクセス制御システムであって、
前記ポリシーエンジンは、
前記アクセス制御手段の設定ファイルの書式テンプレートと、
前記各アクセス制御実施手段と前記書式テンプレートとの関係を示す書式テンプレート対応テーブルと
を含み、
前記ポリシーエンジンは、前記書式テンプレート対応テーブルを参照し、前記各アクセス制御実施手段の種類に依存しない書式で記載されたアクセス制御リストから、アクセス制御実施手段毎に異なる書式の設定ファイルを生成する
アクセス制御システム。
【請求項３】
請求項２に記載のアクセス制御システムであって、
前記ポリシーエンジンは、前記書式テンプレート対応テーブルを参照し、設定対象のアクセス制御実施手段に基づき、前記複数のアクセス制御実施手段に対して、前記生成された設定ファイルをアクセス制御実施手段毎に異なる配付先に受け渡す
アクセス制御システム。
【請求項４】
請求項３に記載のアクセス制御システムであって、
前記システム構成管理手段は、
前記オブジェクトグループと、前記オブジェクトグループに対応するオブジェクトとの関係を示すオブジェクトグループ対応テーブルと、
前記オブジェクトと、前記オブジェクトへのアクセスを制御するアクセス制御実施手段との関係を示すアクセス制御対応テーブルと、
前記オブジェクトと、前記オブジェクトが利用可能なアクションとの関係を示すアクション対応テーブルと
を含み、
前記ポリシーエンジンは、利用者がアクセス制御ポリシーの記載内容を入力する際に、前記システム構成管理手段を参照し、前記利用者に対して、記載可能なオブジェクトグループと、前記記載可能なオブジェクトグループに結びついたオブジェクトに対応する記載可能なアクションに関する情報を提示する
アクセス制御システム。
【請求項５】
請求項４に記載のアクセス制御システムであって、
前記ポリシーエンジンは、
前記システム構成管理手段から、前記オブジェクトグループ、及び前記オブジェクトグループに対応するアクションを検索して取得し、前記利用者がアクセス制御ポリシーを編集するためのＵＩ（Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）を提供するポリシー編集手段と、
前記ポリシー編集手段からアクセス制御ポリシーを取得し、前記システム構成管理手段から、前記オブジェクトグループに対応するオブジェクトと、前記オブジェクトに対応するアクセス制御実施手段を検索して取得し、前記複数のアクセス制御実施手段に対して、アクセス制御実施手段毎に異なるアクセス制御リストを生成する
ポリシー解釈手段と、
アクセス制御実施手段毎の書式テンプレートを格納し、要求されたアクセス制御実施手段に対応する書式テンプレートを出力する書式管理手段と、
前記ポリシー解釈手段からアクセス制御実施手段毎に異なるアクセス制御リストを取得し、前記書式管理手段から前記各アクセス制御実施手段に対応する書式テンプレートを検索して取得し、アクセス制御実施手段毎の設定ファイルを生成し、前記システム構成管理手段からアクセス制御実施手段毎の設定ファイルの出力先に関する情報を検索して取得し、前記出力先に対してアクセス制御実施手段毎の設定ファイルを出力する書式変換手段と
を更に含む
アクセス制御システム。
【請求項６】
複数のアクセス制御実施手段によりアクセス元であるサブジェクトからアクセス先であるオブジェクトへのアクセスを制御することと、
オブジェクトグループと前記オブジェクトとの関係、前記オブジェクトとアクションとの関係、前記オブジェクトと前記複数のアクセス制御実施手段の各々との関係、前記各アクセス制御実施手段と前記各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報をシステム構成管理手段に格納し、要求された関係に関する情報を検索し、検索結果を出力することと、
前記システム構成管理手段を参照し、前記サブジェクトと前記オブジェクトグループと前記アクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、前記複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なる、前記サブジェクトと前記オブジェクトと前記アクションとの組に関する情報を記載したアクセス制御リストを生成することと
を含む
アクセス制御方法。
【請求項７】
請求項６に記載のアクセス制御方法であって、
前記アクセス制御手段の設定ファイルの書式テンプレートと、前記各アクセス制御実施手段との関係を示す書式テンプレート対応テーブルを保持することと、
前記書式テンプレート対応テーブルを参照し、前記各アクセス制御実施手段の種類に依存しない書式で記載されたアクセス制御リストから、アクセス制御実施手段毎に異なる書式の設定ファイルを生成することと
を更に含む
アクセス制御方法。
【請求項８】
請求項７に記載のアクセス制御方法であって、
前記書式テンプレート対応テーブルを参照し、設定対象のアクセス制御実施手段に基づき、前記複数のアクセス制御実施手段に対して、前記生成された設定ファイルをアクセス制御実施手段毎に異なる配付先に受け渡すこと
を更に含む
アクセス制御方法。
【請求項９】
請求項８に記載のアクセス制御方法であって、
前記オブジェクトグループと、前記オブジェクトグループに対応するオブジェクトとの関係を示すオブジェクトグループ対応テーブルを保持することと、
前記オブジェクトと、前記オブジェクトへのアクセスを制御するアクセス制御実施手段との関係を示すアクセス制御対応テーブルを保持することと、
前記オブジェクトと、前記オブジェクトが利用可能なアクションとの関係を示すアクション対応テーブルを保持することと、
利用者がアクセス制御ポリシーの記載内容を入力する際に、前記システム構成管理手段を参照し、前記利用者に対して、記載可能なオブジェクトグループと、前記記載可能なオブジェクトグループに結びついたオブジェクトに対応する記載可能なアクションに関する情報を提示することと
を更に含む
アクセス制御方法。
【請求項１０】
請求項９に記載のアクセス制御方法であって、
前記システム構成管理手段から、前記オブジェクトグループ、及び前記オブジェクトグループに対応するアクションを検索して取得し、前記利用者がアクセス制御ポリシーを編集するためのＵＩ（Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）を提供することと、
前記編集されたアクセス制御ポリシーを取得し、前記システム構成管理手段から、前記オブジェクトグループに対応するオブジェクトと、前記オブジェクトに対応するアクセス制御実施手段を検索して取得し、前記複数のアクセス制御実施手段に対して、アクセス制御実施手段毎に異なるアクセス制御リストを生成することと、
アクセス制御実施手段毎の書式テンプレートを保持することと、
前記生成されたアクセス制御実施手段毎に異なるアクセス制御リストを取得し、前記各アクセス制御実施手段に対応する書式テンプレートを検索して取得し、アクセス制御実施手段毎の設定ファイルを生成し、前記システム構成管理手段からアクセス制御実施手段毎の設定ファイルの出力先に関する情報を検索して取得し、前記出力先に対してアクセス制御実施手段毎の設定ファイルを出力することと
を更に含む
アクセス制御方法。
【請求項１１】
複数のアクセス制御実施手段によりアクセス元であるサブジェクトからアクセス先であるオブジェクトへのアクセスを制御するステップと、
オブジェクトグループと前記オブジェクトとの関係、前記オブジェクトとアクションとの関係、前記オブジェクトと前記複数のアクセス制御実施手段の各々との関係、前記各アクセス制御実施手段と前記各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報をシステム構成管理手段に格納し、要求された関係に関する情報を検索し、検索結果を出力するステップと、
前記システム構成管理手段を参照し、前記サブジェクトと前記オブジェクトグループと前記アクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、前記複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なる、前記サブジェクトと前記オブジェクトと前記アクションとの組に関する情報を記載したアクセス制御リストを生成するステップと
をコンピュータに実行させるためのアクセス制御プログラムを格納した
記憶媒体。
【請求項１２】
請求項１１に記載の記憶媒体であって、
前記アクセス制御手段の設定ファイルの書式テンプレートと、前記各アクセス制御実施手段との関係を示す書式テンプレート対応テーブルを保持するステップと、
前記書式テンプレート対応テーブルを参照し、前記各アクセス制御実施手段の種類に依存しない書式で記載されたアクセス制御リストから、アクセス制御実施手段毎に異なる書式の設定ファイルを生成するステップと
を更にコンピュータに実行させるためのアクセス制御プログラムを格納した
記憶媒体。
【請求項１３】
請求項１２に記載の記憶媒体であって、
前記書式テンプレート対応テーブルを参照し、設定対象のアクセス制御実施手段に基づき、前記複数のアクセス制御実施手段に対して、前記生成された設定ファイルをアクセス制御実施手段毎に異なる配付先に受け渡すステップ
を更にコンピュータに実行させるためのアクセス制御プログラムを格納した
記憶媒体。
【請求項１４】
請求項１３に記載の記憶媒体であって、
前記オブジェクトグループと、前記オブジェクトグループに対応するオブジェクトとの関係を示すオブジェクトグループ対応テーブルを保持するステップと、
前記オブジェクトと、前記オブジェクトへのアクセスを制御するアクセス制御実施手段との関係を示すアクセス制御対応テーブルを保持するステップと、
前記オブジェクトと、前記オブジェクトが利用可能なアクションとの関係を示すアクション対応テーブルを保持するステップと、
利用者がアクセス制御ポリシーの記載内容を入力する際に、前記システム構成管理手段を参照し、前記利用者に対して、記載可能なオブジェクトグループと、前記記載可能なオブジェクトグループに結びついたオブジェクトに対応する記載可能なアクションに関する情報を提示するステップと
を更にコンピュータに実行させるためのアクセス制御プログラムを格納した
記憶媒体。
【請求項１５】
請求項１４に記載の記憶媒体であって、
前記システム構成管理手段から、前記オブジェクトグループ、及び前記オブジェクトグループに対応するアクションを検索して取得し、前記利用者がアクセス制御ポリシーを編集するためのＵＩ（Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）を提供するステップと、
前記編集されたアクセス制御ポリシーを取得し、前記システム構成管理手段から、前記オブジェクトグループに対応するオブジェクトと、前記オブジェクトに対応するアクセス制御実施手段を検索して取得し、前記複数のアクセス制御実施手段に対して、アクセス制御実施手段毎に異なるアクセス制御リストを生成するステップと、
アクセス制御実施手段毎の書式テンプレートを保持するステップと、
前記生成されたアクセス制御実施手段毎に異なるアクセス制御リストを取得し、前記各アクセス制御実施手段に対応する書式テンプレートを検索して取得し、アクセス制御実施手段毎の設定ファイルを生成し、前記システム構成管理手段からアクセス制御実施手段毎の設定ファイルの出力先に関する情報を検索して取得し、前記出力先に対してアクセス制御実施手段毎の設定ファイルを出力するステップと
を更にコンピュータに実行させるためのアクセス制御プログラムを格納した
記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システムに関し、特に利用可能なアクションが異なるオブジェクトが混在するアクセス制御システムに関する。
【背景技術】
【０００２】
アクセス制御方法の一例が、日本出願番号平１１−３１３１０２に記載されている。日本出願番号平１１−３１３１０２に記載されているアクセス制御方法は、アクセス主体種別と、アクセス対象種別と、組織構造に基づく制約条件によって記述されたアクセス制御ポリシーから、アクセス主体と、アクセス対象によって記述されたアクセス制御リストを生成する方法である。そして、日本出願番号平１１−３１３１０２に記載されているアクセス制御方法は、主体（アクセス主体）と主体種別とを直接に対応付ける主体種別グループ情報と、対象（アクセス対象）と対象種別とを直接に対応付ける対象種別グループ情報と、主体及び対象と組織との対応付けを単一の木構造で表現した組織構造情報とを持ち、これを使用して制約条件を満足するアクセス制御リストのみを生成可能としている。【０００３】
しかし、日本出願番号平１１−３１３１０２に記載されているアクセス制御方法では、利用可能なアクションが異なるオブジェクトが混在し、オブジェクトによってアクセス制御リストの配付先のアクセス制御実施手段（アクセス制御装置）が異なる場合、それらオブジェクトに対するアクセス制御リストの生成と配付を、アクセス制御ポリシーの記述内容に基づいて一括して処理することができないという問題がある。その理由は、日本出願番号平１１−３１３１０２に記載されているアクセス制御方法では、オブジェクトに対して利用可能なアクションや、アクセス制御リストを配付すべきアクセス制御実施手段を特定する方法が無いからである。【０００４】
また、関連する技術として、日本出願番号２００２−２０２８８８にルールベースシステム及びこの情報提示方法が開示されている。この関連技術では、情報収集装置は、新規のデータをデータベース及び情報処理装置に入力する。ルール検出部は、新規のデータを条件の一つとして有するルールを条件ツリーから検出し、検出したルールの条件情報を条件格納部から、アクション情報をアクション格納部から読み出す。情報検出部は、ルール検出部が検出したルールの条件情報の各々に適合するデータをデータベースから検出する。ルール表示装置は、情報検出部がルールの条件を全て満たした場合には、そのルールが有するアクション情報を表示し、満たされていない条件情報がある場合には、その満たされていない条件情報と、ルールが有するアクション情報とを表示する。【０００５】
また、日本出願番号２００６−０１２１１７にアクセス制御システム、アクセス制御方法及びアクセス制御用プログラムが開示されている。この関連技術では、ポリシ格納手段は、アドホックグループにリソース（アクセス先）を共有させるための設定情報の集合であるアクセス制御ポリシを格納する。アクセス制御ポリシの一部が編集されると、ポリシ解析手段は、編集されたアクセス制御ポリシから生成されるルールを更新する。このとき、ユーザが複数のユーザグループに属することを表現可能なデータ構造を有するオブジェクト知識を用いてルールを更新する。アクセス制御リスト設定手段は、更新されたルールに基づいて、アクセス制御リストの一部を更新する。
【発明の開示】
【０００６】
本発明の目的は、利用可能なアクションが異なるオブジェクトが混在し、オブジェクトによってアクセス制御リストの配付先のアクセス制御実施手段（アクセス制御装置）が異なる場合、それらオブジェクトに対するアクセス制御リストの生成と配付を、アクセス制御ポリシーの記述内容に基づいて一括して処理することができるアクセス制御システム、アクセス制御方法、アクセス制御プログラム、及び記憶媒体を提供することである。
【０００７】
本発明のアクセス制御システムは、オブジェクトへのアクセスを制御する複数のアクセス制御実施手段と、オブジェクトグループとオブジェクトとの関係、オブジェクトとアクションとの関係、オブジェクトと複数のアクセス制御実施手段の各々との関係、各アクセス制御実施手段と各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報を格納し、要求された関係に関する情報を検索し、検索結果を出力するシステム構成管理手段と、システム構成管理手段を参照し、オブジェクトグループとアクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なるアクセス制御リストを生成するポリシーエンジンとを具備する。
【０００８】
本発明のアクセス制御方法は、複数のアクセス制御実施手段によりオブジェクトへのアクセスを制御するステップと、オブジェクトグループとオブジェクトとの関係、オブジェクトとアクションとの関係、オブジェクトと複数のアクセス制御実施手段の各々との関係、各アクセス制御実施手段と各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報をシステム構成管理手段に格納し、要求された関係に関する情報を検索し、検索結果を出力するステップと、システム構成管理手段を参照し、オブジェクトグループとアクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なるアクセス制御リストを生成するステップとを含む。
【０００９】
本発明のアクセス制御プログラムは、複数のアクセス制御実施手段によりオブジェクトへのアクセスを制御するステップと、オブジェクトグループとオブジェクトとの関係、オブジェクトとアクションとの関係、オブジェクトと複数のアクセス制御実施手段の各々との関係、各アクセス制御実施手段と各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報をシステム構成管理手段に格納し、要求された関係に関する情報を検索し、検索結果を出力するステップと、システム構成管理手段を参照し、オブジェクトグループとアクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なるアクセス制御リストを生成するステップとをコンピュータに実行させるためのプログラムである。
【００１０】
本発明に係る記憶媒体は、複数のアクセス制御実施手段によりオブジェクトへのアクセスを制御するステップと、オブジェクトグループとオブジェクトとの関係、オブジェクトとアクションとの関係、オブジェクトと複数のアクセス制御実施手段の各々との関係、各アクセス制御実施手段と各アクセス制御実施手段の設定ファイルの設置場所との関係に関する情報をシステム構成管理手段に格納し、要求された関係に関する情報を検索し、検索結果を出力するステップと、システム構成管理手段を参照し、オブジェクトグループとアクションとの組に関する情報を記載したアクセス制御ポリシーを生成し、複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なるアクセス制御リストを生成するステップとをコンピュータに実行させるためのアクセス制御プログラムを格納した記憶媒体である。
【００１１】
ファイルシステムが異なるＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）等、アクションとの組み合わせの異なるオブジェクトが混在し、同時に多種類のアクセス制御実施手段が接続されていても、アクセス制御ポリシーを記載する際にそれを意識せず、これまでと同じ方法やシステムでアクセス制御ポリシーを記述し、アクセス制御を一括して実施できる。
【図面の簡単な説明】
【００１２】
【図１】本発明によるアクセス制御システムの一構成例を示したシステム構成図である。
【図２】アクセス制御システムの動作を示すフローチャートである。
【図３】ポリシー編集手段における動作を示すフローチャートである。
【図４】ポリシー編集手段が生成するサブジェクトの入力およびアクションの選択を行うＵＩ（Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）の例を示す図である。
【図５】システム構成管理手段が格納するオブジェクトグループとオブジェクトの関係、オブジェクトとオブジェクトタイプの関係の例を示す図である。
【図６】ポリシー編集手段が生成するオブジェクトグループの選択を行うＵＩの例を示す図である。
【図７】システム構成管理手段が格納するオブジェクトタイプとアクションの関係の例を示す図である。
【図８】ポリシー編集手段が生成するアクセス制御ポリシーの例を示す図である。
【図９】ポリシー解釈手段における動作を示すフローチャートである。
【図１０】システム構成管理手段が格納するオブジェクトとアクセス制御実施手段の関係の例を示す図である。
【図１１】ポリシー解釈手段が生成するＡＣＬの例を示す図である。
【図１２】ポリシー解釈手段が生成するＡＣＬの例を示す図である。
【図１３】ポリシー解釈手段が生成するＡＣＬの例を示す図である。
【図１４】書式変換手段における動作を示すフローチャートである。
【図１５】システム構成管理手段が格納するアクセス制御実施手段とテンプレートの関係の例を示す図である。
【図１６】書式管理手段が格納するテンプレートの例を示す図である。
【図１７】書式管理手段が格納するテンプレートの例を示す図である。
【図１８】書式変換手段が生成する設定ファイルの例を示す図である。
【図１９】書式変換手段が生成する設定ファイルの例を示す図である。
【図２０】書式変換手段が生成する設定ファイルの例を示す図である。
【図２１】システム構成管理手段が格納するアクセス制御実施手段とアクセス制御実施手段の設定ファイルの出力先の関係の例を示す図である。
【発明を実施するための最良の形態】
【００１３】
以下に、本発明の実施形態について添付図面を参照して説明する。
図１に示すように、本発明のアクセス制御システムは、ポリシーエンジン１００と、システム構成管理手段２００と、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ：ｎは任意）とを備える。【００１４】
アクセス制御システムは、例えばコンピュータシステムで実現される。なお、ポリシーエンジン１００、システム構成管理手段２００、及びアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）は、それぞれ別個のコンピュータシステムでも良い。或いは、ポリシーエンジン１００、システム構成管理手段２００、及びアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）は、一部又は全部が同一のコンピュータシステムでも良い。例えば、ポリシーエンジン１００、システム構成管理手段２００、及びアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）は、同一のコンピュータシステム上の別個の仮想マシン（ＶＭ：Ｖｉｒｔｕａｌ  Ｍａｃｈｉｎｅ）環境でも良い。但し、実際には、これらの例に限定されない。【００１５】
ポリシーエンジン１００は、ポリシー編集手段１０１と、ポリシー解釈手段１０２と、書式変換手段１０３と、書式管理手段１０４とを含む。【００１６】
なお、ポリシー編集手段１０１及びポリシー解釈手段１０２は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等の記憶媒体と、システム構成管理手段２００と通信を行なうための通信インタフェース（Ｉ／Ｆ：Ｉｎｔｅｒｆａｃｅ）とによって実現される。【００１７】
また、書式変換手段１０３は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭ等の記憶媒体と、書式管理手段１０４、システム構成管理手段２００、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）と通信を行なうための通信インタフェースとによって実現される。【００１８】
更に、書式管理手段１０４、システム構成管理手段２００、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）は、具体的には、プログラムに従って動作する情報処理装置のＣＰＵと、ＲＡＭやハードディスク等の記憶媒体とによって実現される。【００１９】
但し、実際には、これらの例に限定されない。【００２０】
ポリシー編集手段１０１は、システム構成管理手段２００から、オブジェクトグループのリストや、オブジェクトグループに対応するアクションを検索して取得しながら、ポリシーを編集するＵＩ（Ｕｓｅｒ  Ｉｎｔｅｒｆａｃｅ）を提供する。【００２１】
ポリシー解釈手段１０２は、ポリシー編集手段１０１から入力されたポリシーを取得し、システム構成管理手段２００から、オブジェクトグループに対応するオブジェクトと、オブジェクトに対応するアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）を検索して取得し、取得されたアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎のＡＣＬ（Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  Ｌｉｓｔ：アクセス制御リスト）を生成する。ここでは、ポリシー解釈手段１０２は、少なくともオブジェクトグループとアクションの組を記載したアクセス制御ポリシーからアクセス制御リストを生成する。【００２２】
書式変換手段１０３は、ポリシー解釈手段１０２から入力されたアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎のＡＣＬを取得し、書式管理手段１０４からアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応するテンプレートを検索して取得し、取得されたテンプレートに基づいて、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎の設定ファイルを生成し、システム構成管理手段２００からアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）の設定ファイルの出力先に関する情報を検索して取得し、当該出力先に対して設定ファイルを出力する。【００２３】
書式管理手段１０４は、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎のテンプレートを格納し、要求されたアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）のテンプレートを出力する。ここでは、書式管理手段１０４は、書式テンプレートと、書式テンプレート対応テーブルとを格納する。書式テンプレート対応テーブルは、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）と、当該アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）の設定ファイルの書式テンプレートとの関係を示す。【００２４】
システム構成管理手段２００は、オブジェクトグループとオブジェクトの関係、オブジェクトとオブジェクトタイプの関係、オブジェクトタイプとアクションの関係、オブジェクトとアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）の関係、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）と設定ファイルの設置場所の関係に関する情報を格納し、要求された関係に関する情報を検索し、検索結果を出力する。ここでは、システム構成管理手段２００は、少なくとも、オブジェクトグループ対応テーブルと、アクセス制御対応テーブルと、アクション対応テーブルとを格納する。オブジェクトグループ対応テーブルは、オブジェクトグループと当該オブジェクトグループと対応する１つ以上のオブジェクトとの関係を示す。アクセス制御対応テーブルは、オブジェクトと当該オブジェクトへのアクセスを制御するアクセス制御実施手段との関係を示す。アクション対応テーブルは、オブジェクトと、当該オブジェクトが利用可能なアクションとの関係を示す。【００２５】
アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）は、書式変換手段１０３から入力された設定ファイルを取得し、設定ファイルに記述されたＡＣＬの内容に基づいて、アクセス制御を実施する。【００２６】
ここで、本実施形態で用いる用語について説明する。
本実施形態における「アクセス権」は、特定のサブジェクト（ｓ）、オブジェクト（ｏ）及びアクション（ａ）の組を意味する。【００２７】
「アクセス制御ルール」及び「ルール」は、アクセス権の１つを記述したものである。【００２８】
「アクセス制御リスト」及び「ＡＣＬ」は、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）の種類に依存しないアクセス制御ルールのリストである。【００２９】
「オブジェクトタイプ」は、オブジェクトの種類を示す識別子であり、オブジェクトに対して利用可能なアクションは、オブジェクトタイプに依存して決定される。なお、オブジェクトとアクションとの関係は、オブジェクトとオブジェクトタイプとの関係と、オブジェクトタイプとアクションとの関係とを突き合わせることにより、自動的に決定される。【００３０】
「オブジェクトグループ」は、オブジェクトの集合に名称を付けたものであり、同一のオブジェクトグループに含まれるオブジェクトのオブジェクトタイプは同一である。なお、オブジェクトグループとアクションとの関係は、オブジェクトグループとオブジェクトとの関係と、オブジェクトとオブジェクトタイプとの関係と、オブジェクトタイプとアクションとの関係とを突き合わせることにより、自動的に決定される。【００３１】
オブジェクトグループの記載内容の例としては、「システムＡ開発ソースファイル」等が考えられる。また、このようなオブジェクトグループに対するオブジェクトの記載内容の例としては、「ｈｏｓｔ１．ｄｏｍａｉｎ．ｊｐ／ｓｒｃ／ｓｙｓｔｅｍ−ａ．ｓｒｃ」、「ｈｏｓｔ２．ｄｏｍａｉｎ．ｊｐ／ｖａｒ／ｓｒｃ／ｓｙｓｔｅｍＡ．ｓｒｃ」等が考えられる。【００３２】
「アクセス制御ポリシー」及び「ポリシー」は、ＡＣＬを構成するサブジェクト、オブジェクト、アクションを導出する規則や式や関数を記述したアクセス制御情報の抽象表現であり、サブジェクトとオブジェクトグループとアクションの組のリストを記述する。【００３３】
アクセス制御ポリシーの記載内容の例としては、サブジェクト「システムＡ開発担当者」、オブジェクトグループ「システムＡ開発ソースファイル」、アクション「読込み許可」「書込み許可」「実行許可」等が考えられる。【００３４】
「設定ファイル」は、ＡＣＬの内容を含む、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）の設定情報であり、その書式はアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）の種類に依存する。【００３５】
「テンプレート」は、ＡＣＬを設定ファイルに変換するための書式変換のための規則や定数や定型文等を記載したものであり、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎に対応付けられる。【００３６】
図２を参照して、本実施形態における処理について説明する。【００３７】
（１）ステップＡ１
まず、ポリシー編集手段１０１は、ポリシー編集処理を行う。【００３８】
（２）ステップＡ２
次に、ポリシー解釈手段１０２は、ポリシー解釈処理を行う。【００３９】
（３）ステップＡ３
次に、書式変換手段１０３は、書式変換処理を行う。【００４０】
図３を参照して、ポリシー編集処理における動作について詳細に説明する。【００４１】
（１）ステップＡ１０１
まず、ポリシー編集手段１０１は、サブジェクトの入力を行うためのＵＩを生成し、入力方法をユーザに対して表示することによって提供する。例えば、ポリシー編集手段１０１は、図４に示すようなＵＩを用いて、サブジェクトの入力フォームをユーザに提供する。【００４２】
（２）ステップＡ１０２
次に、ポリシー編集手段１０１は、生成されたＵＩを利用してユーザが行った入力内容を取得する。例えば、ポリシー編集手段１０１は、図４に示すようなＵＩへの入力内容「ｋ−ｓａｔｏｕ」を取得する。【００４３】
（３）ステップＡ１０３
次に、ポリシー編集手段１０１は、システム構成管理手段２００に対し、オブジェクトグループのリストを要求し、システム構成管理手段２００からオブジェクトグループのリストを取得する。例えば、システム構成管理手段２００は、図５に示すようなオブジェクトグループの情報を参照し、オブジェクトグループ「基幹システムファイル」、「勤務管理システムファイル」、「在庫管理システムファイル」、「部門共有ファイル」、「総務部ファイル」、「経理部ファイル」、「基幹システムＶＭ」、「勤務管理システムＶＭ」、「在庫管理システムＶＭ」、「部門ＶＭ」、「総務部ＶＭ」、「経理部ＶＭ」を返す。また、図５に示すようにオブジェクトグループが他のオブジェクトグループを子グループとして持っていても良い。子グループを持つ場合は、オブジェクトグループのリストを返す際に、まず、親のオブジェクトグループのみのリスト「基幹システムファイル」、「部門共有ファイル」、「基幹システムＶＭ」、「部門ＶＭ」を返し、配下の子グループのリストを取得する追加の要求があれば、子グループのオブジェクトグループのリストを返すよう手順を分けても良い。【００４４】
（４）ステップＡ１０４
次に、ポリシー編集手段１０１は、オブジェクトグループの選択を行うためのＵＩを生成し、選択方法をユーザに対して表示することによって提供する。例えば、ポリシー編集手段１０１は、図６に示すようなＵＩを用いて、オブジェクトグループの選択を行うための入力フォームをユーザに提供する。【００４５】
（５）ステップＡ１０５
次に、ポリシー編集手段１０１は、生成されたＵＩを利用してユーザが行った選択内容を取得する。例えば、図６に示すようなＵＩへのオブジェクトグループの選択内容「総務部ＶＭ」を取得する。【００４６】
（６）ステップＡ１０６
次に、ポリシー編集手段１０１は、システム構成管理手段２００に対し、ユーザが選択したオブジェクトグループに対応するアクションのリストを要求し、システム構成管理手段２００からアクションのリストを取得する。例えば、システム構成管理手段２００は、図５に示すようなオブジェクトグループとオブジェクトの関係、オブジェクトとオブジェクトタイプの関係、図７に示すようなオブジェクトタイプとアクションの関係を参照し、ユーザが選択したオブジェクトグループに対応するアクションを返す。例えば、システム構成管理手段２００は、オブジェクトグループ「総務部ＶＭ」に対応するアクション「起動」、「停止」、「再起動」、「一時停止」、「ダンプ」、「保存」を返す。【００４７】
（７）ステップＡ１０７
次に、ポリシー編集手段１０１は、アクションの選択を行うためのＵＩを生成し、選択方法をユーザに対して表示することによって提供する。例えば、ポリシー編集手段１０１は、図４に示すようなＵＩを用いて、アクションの選択を行うための入力フォームをユーザに提供する。【００４８】
（８）ステップＡ１０８
次に、ポリシー編集手段１０１は、生成されたＵＩを利用してユーザが行った選択内容を取得する。例えば、ポリシー編集手段１０１は、図４に示すようなＵＩにおけるオブジェクトグループ「総務部ＶＭ」に対応するアクションの選択内容「起動許可」、「停止許可」、「再起動許可」、「一時停止許可」、「ダンプ拒否」、「保存拒否」を取得する。ここでは、ポリシー編集手段１０１は、図４に示すようなＵＩにおいて、アクション「起動」、「停止」、「再起動」、「一時停止」、「ダンプ」、「保存」の各々に対応するチェックボックス（ｃｈｅｃｋ  ｂｏｘ）にチェックが入っているものを「許可」、チェックが入っていないものを「拒否」と判断している。但し、実際には、これらの例に限定されない。【００４９】
（９）ステップＡ１０９
次に、ポリシー編集手段１０１は、ユーザが入力し選択した、サブジェクト、オブジェクトグループ、アクションの値の組を用いてポリシーを生成し、ポリシー解釈手段１０２に出力する。例えば、ポリシー編集手段１０１は、ユーザが入力フォームにおいて入力し選択した値を、予め定められた文法に沿って並べ、図８に示すようなポリシーを生成する。【００５０】
図９を参照して、ポリシー解釈処理における動作について詳細に説明する。【００５１】
（１）ステップＡ２０１
まず、ポリシー解釈手段１０２は、ポリシー編集手段１０１から入力されたポリシーを取得する。例えば、ポリシー解釈手段１０２は、図８に示すようなポリシーを取得する。【００５２】
（２）ステップＡ２０２
次に、ポリシー解釈手段１０２は、ポリシーからオブジェクトグループを取り出す。例えば、ポリシー解釈手段１０２は、図８に示すようなポリシーに記載されているオブジェクトグループ「総務部ファイル」、「総務部ＶＭ」を取り出す。【００５３】
（３）ステップＡ２０３
次に、ポリシー解釈手段１０２は、システム構成管理手段２００に対し、オブジェクトグループに対応するオブジェクトのリストを要求し、システム構成管理手段２００からオブジェクトのリストを取得する。例えば、システム構成管理手段は、図５に示すようなオブジェクトグループとオブジェクトの関係を参照し、オブジェクトグループに対応するオブジェクトのリストを返す。例えば、オブジェクトグループ「総務部ＶＭ」に対応するオブジェクト「ｖｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｓｏｕｍｕ０１．ｄｏｍａｉｎ．ｊｐ」、「ｖｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｓｏｕｍｕ０２．ｄｏｍａｉｎ．ｊｐ」を返す。なお、「＊」は、「任意の文字」を意味する特殊文字（ワイルドカード）であり、「／」を除く任意の文字列にマッチする。【００５４】
（４）ステップＡ２０４
次に、ポリシー解釈手段１０２は、システム構成管理手段２００に対し、オブジェクトに対応するアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に関する情報を要求し、システム構成管理手段２００からアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に関する情報を取得する。例えば、システム構成管理手段２００は、図１０に示すようなオブジェクトとアクセス制御実施手段の関係を参照し、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に関する情報を返す。例えば、オブジェクト「ｖｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｓｏｕｍｕ０１．ｄｏｍａｉｎ．ｊｐ」、「ｖｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｓｏｕｍｕ０２．ｄｏｍａｉｎ．ｊｐ」に対応するアクセス制御実施手段として、「ｖｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／＊＊」に対応するアクセス制御手段「ｒｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｖｍ−ｒｍ」を返す。【００５５】
（５）ステップＡ２０５
次に、ポリシー解釈手段１０２は、対応するアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎にＡＣＬを生成し、生成されたＡＣＬを書式変換手段１０３に出力する。例えば、ポリシー解釈手段１０２は、ポリシーのサブジェクトをＡＣＬのサブジェクトとし、ポリシーのオブジェクトグループにおいて同じアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応するオブジェクトをＡＣＬのオブジェクトとし、ポリシーのアクションをＡＣＬのアクションとして、ＡＣＬを生成する。これにより、オブジェクトが対応するアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎にＡＣＬを生成する。例えば、ポリシー解釈手段１０２は、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎に、図１１〜図１３に示すようなＡＣＬを生成する。例えば、アクセス制御実施手段「ｒｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｖｍ−ｒｍ」に対応するＡＣＬは、図１３に示すようなＡＣＬとなる。【００５６】
図１４を参照して、書式変換処理における動作について詳細に説明する。【００５７】
（１）ステップＡ３０１
まず、書式変換手段１０３は、ポリシー解釈手段１０２から入力されたアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎のＡＣＬを取得する。例えば、書式変換手段１０３は、図１３に示すようなＡＣＬを取得する。【００５８】
（２）ステップＡ３０２
次に、書式変換手段１０３は、書式管理手段１０４に対し、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応するテンプレートを要求し、書式管理手段１０４からテンプレートを取得する。例えば、書式管理手段１０４は、図１５に示すようなアクセス制御実施手段とテンプレートの関係を参照し、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応する図１６〜図１７に示すようなテンプレートを返す。例えば、アクセス制御実施手段「ｒｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｖｍ−ｒｍ」に対応するテンプレートとして、図１７に示すようなテンプレートを返す。【００５９】
（３）ステップＡ３０３
次に、書式変換手段１０３は、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎のＡＣＬと、当該アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応するテンプレートを用いて、アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎の設定ファイルを生成する。例えば、書式変換手段１０３は、図１１に示すようなＡＣＬと、図１６に示すようなテンプレートを用いて、図１８に示すようなアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎の設定ファイルを生成する。また、書式変換手段１０３は、図１２に示すようなＡＣＬと、図１６に示すようなテンプレートを用いて、図１９に示すようなアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎の設定ファイルを生成する。また、書式変換手段１０３は、図１３に示すようなＡＣＬと、図１７に示すようなテンプレートを用いて、図２０に示すようなアクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）毎の設定ファイルを生成する。【００６０】
（４）ステップＡ３０４
次に、書式変換手段１０３は、システム構成管理手段２００に対し、当該アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応する設定ファイルの出力先に関する情報を要求し、システム構成管理手段２００から設定ファイルの出力先に関する情報を取得し、当該出力先に対して、当該設定ファイルを入力する。例えば、システム構成管理手段２００は、図２１に示すようなアクセス制御実施手段とアクセス制御実施手段の設定ファイルの出力先の関係を参照し、当該アクセス制御実施手段３００（３００−ｉ、ｉ＝１〜ｎ）に対応する設定ファイルの出力先に関する情報を返す。例えば、システム構成管理手段２００は、アクセス制御手段「ｒｍ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｖｍ−ｒｍ」に対応する設定ファイルの出力先「ｈｔｔｐｓ：／／ｖｍｍ０５．ｄｏｍａｉｎ．ｊｐ／ｓｅｔｔｅｉ／ｖｍ−ｒｍ」を返す。【００６１】
以下に、本発明の特徴について説明する。
本発明では、少なくともオブジェクトグループとアクションの組を記載したアクセス制御ポリシーからアクセス制御リストを生成する。【００６２】
本発明では、オブジェクトグループと、当該オブジェクトグループと対応する１つ以上のオブジェクトとの関係を示すテーブルと、オブジェクトと、当該オブジェクトへのアクセスを制御するアクセス制御実施手段との関係を示すテーブルとをシステム構成管理手段に格納する。【００６３】
また、本発明では、アクセス制御実施手段と、当該アクセス制御手段の設定ファイルの書式テンプレートとの関係を示すテーブルと、当該テンプレートとを書式管理手段に格納する。【００６４】
また、本発明では、アクセス制御ポリシーからアクセス制御リストを生成する際に、前記システム構成管理手段を参照することにより、複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なるアクセス制御リストを生成できる。【００６５】
更に、本発明では、アクセス制御リストからアクセス制御実施手段の設定ファイルを生成する際に、前記書式管理手段を参照することにより、アクセス制御実施手段の種類に依存しない書式で記載されたアクセス制御リストから、アクセス制御実施手段毎に異なる書式の設定ファイルを生成できる。【００６６】
本発明では、オブジェクトと、当該オブジェクトが利用可能なアクションとの関係を示すテーブルをシステム構成管理手段に格納し、アクセス制御ポリシーを記載する際に、前記システム構成管理手段を参照することにより、記載可能なオブジェクトグループと、当該オブジェクトグループに結びついたオブジェクトに対応する、記載可能なアクションを提示できる。【００６７】
本発明では、あるアクセス制御実施手段から、当該アクセス制御実施手段の設定ファイルの配付先を特定するテーブルをシステム構成管理手段に格納し、設定対象のアクセス制御実施手段に基づき、前記テーブルを参照することで、設定ファイルをアクセス制御実施手段毎に異なる配付先に受け渡す。【００６８】
以上のように、本発明のアクセス制御システム、アクセス制御方法、及びアクセス制御用プログラムでは、利用可能なアクションが異なるオブジェクトが混在し、オブジェクトによって異なる多種類のアクセス制御実施手段が同時に接続されている際、各アクセス制御実施手段に適用するアクセス制御リストを、各アクセス制御実施手段に対応した書式で生成し、各アクセス制御実施手段に受け渡す処理を、アクセス制御ポリシーに基づいて一括して処理できる。【００６９】
本発明によるアクセス制御方法では、オブジェクトグループとオブジェクト、オブジェクトとオブジェクトタイプ、オブジェクトタイプとアクションの関係に基づき、アクセス制御ポリシーを記載する際に、記載可能なオブジェクトグループと、オブジェクトグループに対応するアクションに関する情報を提示する。オブジェクトとアクセス制御実施手段の関係に基づき、複数のアクセス制御実施手段に対して、同じアクセス制御ポリシーから、アクセス制御実施手段毎に異なるアクセス制御リストを生成する。アクセス制御実施手段とアクセス制御リストの内容を記載する設定ファイルの書式テンプレートの関係に基づき、アクセス制御実施手段の種類に依存しない書式で記載されたアクセス制御リストから、アクセス制御実施手段毎に異なる書式の設定ファイルを生成する。アクセス制御実施手段と設定ファイルの配付先の関係に基づき、設定ファイルを受け渡す。【００７０】
ポリシー編集手段は、ユーザに対し、アクセス制御ポリシーの編集手段を提供するが、その際、選択したオブジェクトにおいて利用可能なアクションを提示できる。【００７１】
ポリシー解釈手段は、与えられたアクセス制御ポリシーから、複数のオブジェクトに対するアクセス制御リストを生成するが、その際、設定先のアクセス制御実施手段毎に、別々のアクセス制御リストを生成できる。【００７２】
書式変換手段は、与えられたアクセス制御リストから、アクセス制御実施手段用の設定ファイルを生成するが、その際、アクセス制御実施手段の種類毎に異なる設定ファイルの書式が異なる。そこで、書式管理手段において書式のテンプレートを管理し、書式変換手段に対して提供することで、アクセス制御手段毎に、別々の書式の設定ファイルを生成できる。【００７３】
本発明によれば、アクセス制御ポリシーから、アクセス制御リストを生成し設定する用途に適用できる。特に、本発明は、同じポリシーから、異なるアクションに対応する複数種類のオブジェクトについて、同時に多種のアクセス制御実施手段に対して、別々の適切な内容のアクセス制御リストを記載した、適切な書式の設定ファイルを生成し、適用できる。【００７４】
以上、本発明の実施形態を詳述してきたが、実際には、上記の実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の変更があっても本発明に含まれる。【００７５】
なお、本出願は、日本出願番号２００８−０６０２３１及び日本出願番号２００８−２３８６６３に基づく優先権を主張するものであり、日本出願番号２００８−０６０２３１及び日本出願番号２００８−２３８６６３における開示内容は引用により本出願に組み込まれる。
【図１】
0005424062.tif 000002
【図２】
0005424062.tif 000003
【図３】
0005424062.tif 000004
【図４】
0005424062.tif 000005
【図５】
0005424062.tif 000006
【図６】
0005424062.tif 000007
【図７】
0005424062.tif 000008
【図８】
0005424062.tif 000009
【図９】
0005424062.tif 000010
【図１０】
0005424062.tif 000011
【図１１】
0005424062.tif 000012
【図１２】
0005424062.tif 000013
【図１３】
0005424062.tif 000014
【図１４】
0005424062.tif 000015
【図１５】
0005424062.tif 000016
【図１６】
0005424062.tif 000017
【図１７】
0005424062.tif 000018
【図１８】
0005424062.tif 000019
【図１９】
0005424062.tif 000020
【図２０】
0005424062.tif 000021
【図２１】
0005424062.tif 000022