(57)【要約】  ＩＴシステムの構成情報に対するアクセス権の設定を効率的に行うことを課題とする。この課題を解決するために、ユーザごとに設定されるアクセス制御ルールとして、コアＣＩをユーザ情報と関連付けて記憶するとともに、ＣＩ種別とリレーション種別との組合せをユーザ情報と関連付けて記憶し、あるユーザ情報と関連付けられたコアＣＩの種別と、当該コアＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、当該ユーザ情報と関連付けて記憶されている場合、当該他のＣＩをアクセス可能と判定する。
2010106679.tif 000002
【特許請求の範囲】
【請求項１】
複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する情報管理装置へのアクセスを制御するアクセス制御装置であって、
ユーザごとに設定されるアクセス制御ルールとして、ユーザを識別するユーザ情報と関連付けて所定の構成要素を記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて記憶するルール記憶手段と、
ユーザ情報と関連付けて前記ルール記憶手段に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定手段と、
を備えたことを特徴とするアクセス制御装置。
【請求項２】
前記アクセス可否決定手段によりアクセス可能と判定された構成要素を、前記ユーザのユーザ情報と関連付けて記憶するアクセス可能要素記憶手段を備え、
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶されている構成要素を、当該構成要素と関連付けられたユーザ情報を有するユーザがアクセス可能な構成要素と判定する
ことを特徴とする請求項１に記載のアクセス制御装置。
【請求項３】
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ユーザのユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合には、当該他の構成要素をアクセス可能と判定することを特徴とする請求項２に記載のアクセス制御装置。
【請求項４】
前記ルール記憶手段は、構成要素の種別および関係要素の種別の組合せと、当該組合せをアクセス制御ルールとして適用可能な範囲を示す適用段数とを前記ユーザ情報と関連付けて記憶し、
前記アクセス可否決定手段は、前記ユーザからの構成情報の検索要求として、検索の起点となる構成要素を指定するとともに、当該構成要素を起点として複数の関係要素および構成要素をどの順序で辿るかを指定する検索式を取得した場合、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ルール記憶手段に前記ユーザのユーザ情報と関連付けて記憶されている場合であっても、前記起点となる構成要素から前記他の構成要素に至るまでに辿る関係要素の数が、前記適用段数よりも大きい場合は、当該他の構成要素をアクセス不可能と判定する
ことを特徴とする請求項３に記載のアクセス制御装置。
【請求項５】
複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する構成情報記憶手段と、
ユーザごとに設定されるアクセス制御ルールとして、ユーザを識別するユーザ情報と関連付けて所定の構成要素を記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて記憶するルール記憶手段と、
ユーザ情報と関連付けて前記ルール記憶手段に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定手段と、
を備えたことを特徴とする情報管理装置。
【請求項６】
前記アクセス可否決定手段によりアクセス可能と判定された構成要素を、前記ユーザのユーザ情報と関連付けて記憶するアクセス可能要素記憶手段を備え、
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶されている構成要素を、当該構成要素と関連付けられたユーザ情報を有するユーザがアクセス可能な構成要素と判定する
ことを特徴とする請求項５に記載の情報管理装置。
【請求項７】
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ユーザのユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合には、当該他の構成要素をアクセス可能と判定することを特徴とする請求項６に記載の情報管理装置。
【請求項８】
前記ルール記憶手段は、構成要素の種別および関係要素の種別の組合せと、当該組合せをアクセス制御ルールとして適用可能な範囲を示す適用段数とを前記ユーザ情報と関連付けて記憶し、
前記アクセス可否決定手段は、前記ユーザからの構成情報の検索要求として、検索の起点となる構成要素を指定するとともに、当該構成要素を起点として複数の関係要素および構成要素をどの順序で辿るかを指定する検索式を取得した場合、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ルール記憶手段に前記ユーザのユーザ情報と関連付けて記憶されている場合であっても、前記起点となる構成要素から前記他の構成要素に至るまでに辿る関係要素の数が、前記適用段数よりも大きい場合は、当該他の構成要素をアクセス不可能と判定する
ことを特徴とする請求項７に記載の情報管理装置。
【請求項９】
複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する情報管理装置へのアクセスを制御するアクセス制御方法であって、
ユーザごとに設定されるアクセス制御ルールとして、ユーザを識別するユーザ情報と関連付けてルール記憶部に所定の構成要素を記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて前記ルール記憶部に記憶するルール記憶ステップと、
ユーザ情報と関連付けて前記ルール記憶部に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶部に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定ステップと、
を含んだことを特徴とするアクセス制御方法。
【請求項１０】
前記アクセス可否決定ステップにおいてアクセス可能と判定された構成要素を、前記ユーザのユーザ情報と関連付けてアクセス可能要素記憶部に記憶するアクセス可能要素記憶ステップをさらに含み、
前記アクセス可否決定ステップは、前記アクセス可能要素記憶部に記憶されている構成要素を、当該構成要素と関連付けられたユーザ情報を有するユーザがアクセス可能な構成要素と判定する
ことを特徴とする請求項９に記載のアクセス制御方法。
【請求項１１】
前記アクセス可否決定ステップは、前記アクセス可能要素記憶部に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ユーザのユーザ情報と関連付けて前記ルール記憶部に記憶されている場合には、当該他の構成要素をアクセス可能と判定することを特徴とする請求項１０に記載のアクセス制御方法。
【請求項１２】
前記ルール記憶部は、構成要素の種別および関係要素の種別の組合せと、当該組合せをアクセス制御ルールとして適用可能な範囲を示す適用段数とを前記ユーザ情報と関連付けて記憶し、
前記アクセス可否決定ステップは、前記ユーザからの構成情報の検索要求として、検索の起点となる構成要素を指定するとともに、当該構成要素を起点として複数の関係要素および構成要素をどの順序で辿るかを指定する検索式を取得した場合、前記アクセス可能要素記憶部に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ルール記憶部に前記ユーザのユーザ情報と関連付けて記憶されている場合であっても、前記起点となる構成要素から前記他の構成要素に至るまでに辿る関係要素の数が、前記適用段数よりも大きい場合は、当該他の構成要素をアクセス不可能と判定する
ことを特徴とする請求項１１に記載のアクセス制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、アクセス制御装置、情報管理装置およびアクセス制御方法に関する。
【背景技術】
【０００２】
近年、複雑化するＩＴシステムを適切に管理するために、データベースを用いてＩＴシステムの構成情報を一元管理する手法が提案されている（特許文献１参照）。このような手法の１つとして、ＦＣＭＤＢ（Federated  Configuration  Management  Database）と呼ばれる情報管理装置を用いて構成情報を管理する手法が知られている。図１３に、ＦＣＭＤＢの概要を説明するための図を示す。【０００３】
図１３に示すように、ＦＣＭＤＢは、ＩＴシステムの構成情報をそれぞれ独自に収集、管理するＭＤＲ（Management  Data  Repository）と呼ばれる装置とネットワーク等を介して接続し、各ＭＤＲに散在する各種の構成情報を仮想的に統合して管理する。システム管理者等の作業者は、ＦＣＭＤＢを利用することにより、ＭＤＲによって分散管理されている構成情報を横断的に操作することができる。【０００４】
ＦＣＭＤＢは、図１４に示すように、構成アイテム（ＣＩ，Configuration  Item）とＣＩ間の関係情報（リレーション）とを記憶することによって、ＩＴシステムの構成情報を管理する。ＣＩは、サーバや、ネットワーク、サービス等のＩＴシステムを構成する要素単位に設けられ、具体的には、ノード名、ＩＰアドレス、アプリケーション名などの情報を含む。リレーションは、ＣＩとＣＩの間に設けられ、これらＣＩがどのような関係を有するかを、Connected  To（〜と接続される）、Operated  By（〜により操作される）、Belong  To（〜に属する）などの情報によって表す。【０００５】
ところで、ＦＣＭＤＢで管理される構成情報は、サービスマネージャやオペレータ、センタ管理者など様々な立場の作業者により参照されるため、各作業者の立場に応じたアクセス制御を行うことが望ましい。例えば、図１４に示すように、作業者がセンタ管理者である場合は構成情報の全てを参照可能とするが、オペレータである場合は業務に必要な範囲の構成情報のみを参照可能とするといったアクセス制御を行うことにより、構成情報の機密性の維持することができる。【０００６】
ＩＴシステムを構成する要素の数は膨大であるため、ＦＣＭＤＢに記憶されているＣＩやリレーションの数も膨大である。したがって、例えば、図１５、図１６に示すように、参照を許可するＣＩやリレーションを各作業者について設定しようとした場合、設定作業工数が膨大となるため、現実的ではない。また、作業者が増えるたびに、新たな作業者に対して全てのＣＩ、リレーションに対するアクセスの可否を設定しなければならず、非効率的である。【０００７】
ここで、ＷＥＢサーバのように膨大な情報量を有する情報管理装置に対し効率的にアクセス権を設定するための手法として、データの階層構造を利用してアクセス権を設定する「.htaccess」などの手法が知られている。具体的には、かかるアクセス権設定手法は、あるファイルに対してアクセス権が設定された場合、当該ファイル内に存在するファイル（サブファイルともいう）に対しても同様のアクセス権が設定されたものとみなす。このような手法を用いれば、複数の情報に対するアクセス権の設定を一度に行うことができるため、設定作業工数を大幅に削減することができる。【０００８】
【特許文献１】特開２００６−２２１３９９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
しかしながら、リレーションによって結ばれるＣＩ間の関係は、階層構造のように親データ及び子データというような関係を有しないため、ＦＣＭＤＢで管理される構成情報に対して上述したようなアクセス権設定手法を適用することは困難である。【００１０】
開示の技術は、上述した従来技術による問題点を解消するためになされたものであり、情報システムの構成情報に対するアクセス権の設定を効率的に行うことのできるアクセス制御装置、情報管理装置およびアクセス制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上述した課題を解決し、目的を達成するため、本件に開示するアクセス制御装置、情報管理装置およびアクセス制御方法は、一つの態様として、複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する情報管理装置へのアクセスを制御するアクセス制御装置であって、ユーザごとに設定されるアクセス制御ルールとして、前記構成要素をユーザを識別するユーザ情報と関連付けて記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて記憶するルール記憶手段と、ユーザ情報と関連付けて前記ルール記憶手段に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定手段と、を備える。
【発明の効果】
【００１２】
本件に開示するアクセス制御装置、情報管理装置およびアクセス制御方法の一つの態様によれば、情報システムの構成情報に対するアクセス権の設定を効率的に行うことができるという効果を奏する。
【図面の簡単な説明】
【００１３】
【図１】図１は、本実施例にかかるアクセス制御方法を説明するための図である。
【図２】図２は、本実施例にかかるＦＣＭＤＢの構成を示すブロック図である。
【図３】図３は、アクセス可能ＣＩ管理テーブルの一例を示す図である。
【図４】図４は、アクセス可能リレーション管理テーブルの一例を示す図である。
【図５】図５は、本実施例にかかるコアＣＩ管理テーブルの一例を示す図である。
【図６】図６は、本実施例にかかる種別組合せ管理テーブルの一例を示す図である。
【図７】図７は、アクセス可能ＣＩ管理テーブルの一例を示す図である。
【図８】図８は、アクセス可能リレーション管理テーブルの一例を示す図である。
【図９】図９は、適用段数によりアクセス可否が決定される様子を示す図である。
【図１０】図１０は、本実施例にかかるアクセス処理部の処理手順を示すフローチャートである。
【図１１】図１１は、ＣＩアクセス可否決定処理の処理手順を示すフローチャートである。
【図１２】図１２は、リレーションアクセス可否決定処理の処理手順を示すフローチャートである。
【図１３】図１３は、ＦＣＭＤＢの概要を説明するための図である。
【図１４】図１４は、ＦＣＭＤＢで管理される構成情報に対して、作業者の立場に応じたアクセス権が与えられる様子を示す図である。
【図１５】図１５は、各作業者に対して設定されるアクセス可能なＣＩの一例を示す図である。
【図１６】図１６は、各作業者に対して設定されるアクセス可能なリレーションの一例を示す図である。
【符号の説明】
【００１４】
１  ＦＣＭＤＢ
２  ユーザ端末
１０  アクセス制御部
１１  段階的検索式生成部
１２  検索処理部
１３  ルール記憶部
１４  アクセス可能要素記憶部
１５  アクセス可否決定部
１６  結果提示部
２０  構成情報記憶部
１３１  コアＣＩ管理テーブル
１３２  種別組合せ管理テーブル
２０１  ＣＩ管理テーブル
２０２  リレーション管理テーブル
【発明を実施するための最良の形態】
【００１５】
以下に添付図面を参照して、本件に開示するアクセス制御装置、情報管理装置およびアクセス制御方法の実施例を図面に基づいて詳細に説明する。なお、以下の実施例では、情報管理装置の一例として、ＩＴシステムの構成情報を管理するＦＣＭＤＢを用いて説明するが、本願に開示する技術は、オブジェクト指向データを管理するサーバ装置等に対しても適用可能である。
【実施例】
【００１６】
まず、本実施例にかかるアクセス制御方法について図面を用いて説明する。図１は、本実施例にかかるアクセス制御方法を説明するための図である。本実施例にかかるアクセス制御方法は、アクセス制御ルールに基づき、ＩＴシステムの構成情報を管理するＦＣＭＤＢに対するアクセスを制御する。【００１７】
ＦＣＭＤＢは、図１に示すように、構成アイテム（ＣＩ，Configuration  Item）とＣＩ間の関係情報（リレーション）とを記憶することによって、ＩＴシステムの構成情報を管理する。ＣＩは、サーバや、ネットワーク、サービス等のＩＴシステムを構成する構成要素単位に設けられる。リレーションは、ＣＩとＣＩの間に設けられ、これらＣＩがどのような関係を有するかを、Connected  To（〜と接続される）、Operated  By（〜により操作される）、Belong  To（〜に属する）などの情報によって表す。なお、各ＣＩおよびリレーションには、それぞれ固有のｉｄが割り当てられている。【００１８】
本実施例にかかるアクセス制御方法では、アクセス制御ルールとして、アクセス可能なＣＩ（以下、「コアＣＩ」という）のｉｄと、ＣＩ種別及びリレーション種別の組とが記憶される。例えば、図１に示す例では、コアＣＩのｉｄとして「r004」が記憶され、ＣＩ種別とリレーション種別の組合せとして「Network、Connected  TO」が設定されている。【００１９】
そして、本実施例にかかるアクセス制御方法では、コアＣＩのｉｄとして設定されたｉｄを有するＣＩの種別と、当該ＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、アクセス制御ルールとして記憶されている場合、当該他のＣＩをアクセス可能と判定する。【００２０】
すなわち、例えば図１に示すように、コアＣＩのｉｄ「r004」を有するＣＩ２００ａの種別は「Network」であり、ＣＩ２００ａとＣＩ２００ｂ〜２００ｄとは、「Connected  To」の種別を有するリレーションによって結ばれているとする。かかる場合、ＣＩ種別とリレーション種別との組合せ「Network、Connected  TO」は、アクセス制御ルールとして記憶されているため、ＣＩ２００ｂ〜２００ｄをアクセス可能と判定する。【００２１】
このように、本実施例にかかるアクセス制御方法では、アクセス制御ルールとして、コアＣＩのｉｄと、ＣＩ種別およびリレーション種別の組合せとを予め記憶しておき、当該アクセス制御ルールに該当するＣＩをアクセス可能と判定する。これにより、ＦＣＭＤＢにおいて管理されるＩＴシステムの構成情報に対するアクセス権の設定を効率的に行うことができる。【００２２】
次に、本実施例にかかるＦＣＭＤＢの構成について説明する。図２は本実施例にかかるＦＣＭＤＢの構成を示すブロック図、図３はアクセス可能ＣＩ管理テーブルの一例を示す図、図４はアクセス可能リレーション管理テーブルの一例を示す図である。【００２３】
図２に示すように、本実施例にかかるＦＣＭＤＢ１は、アクセス制御部１０と、構成情報記憶部２０とを含む。構成情報記憶部２０は、ＩＴシステムの構成情報を記憶する記憶部であり、構成要素であるＣＩを管理するＣＩ管理テーブル２０１と、構成要素間の関係を示す関係要素であるリレーションを管理するリレーション管理テーブル２０２とを有する。【００２４】
ＣＩ管理テーブル２０１は、ＣＩの詳細情報として、例えば図３に示すように、ＣＩ種別、レコード情報およびＯＳ情報をｉｄと関連付けて記憶する。レコード情報とは、ＣＩに含まれる情報が実態情報であるか設計情報であるかを示す情報である。実態情報とは、ＣＩが示す機器やソフトウェア等の実際の情報であり、「Real」で示される。設計情報とは、ＣＩが示す機器やソフトウェア等の設計上の情報であり、「Spec」で示される。ｉｄは、各ＣＩ固有の識別情報である。ＯＳ情報は、ＣＩが示す機器に搭載されたＯＳの情報である。【００２５】
例えば、ＣＩ管理テーブル２０１は、ｉｄ「r001」を割り当てられたＣＩの詳細情報として、ＣＩ種別「Server」、レコード情報「Real」、ＯＳ情報「aaaaa」を記憶する。すなわち、ｉｄ「r001」を割り当てられたＣＩは、ＯＳ「aaaaa」が搭載されたサーバ装置の実態情報である。なお、ＣＩ管理テーブル２０１は、ＣＩ種別やレコード情報、ＯＳ情報、ｉｄだけでなく、例えばサーバ装置のモデル名で示されるＣＩの名称等も記憶する。【００２６】
また、リレーション管理テーブル２０２は、リレーションの詳細情報として、図４に示すように、リレーション種別、ｓｒｃ（Source）およびｄｓｔ（Destination）を記憶する。ｓｒｃは、リレーションの起点となるＣＩのｉｄを示す情報であり、ｄｓｔは、リレーションの到着点を示す情報である。【００２７】
例えば、リレーション管理テーブル２０２は、ｉｄ「007」を割り当てられたリレーションの詳細情報として、リレーション種別「Connected  To」、ｓｒｃ「r001」、ｄｓｔ「r004」を記憶する。すなわち、ｉｄ「007」を割り当てられたリレーションは、ｉｄ「r001」のサーバ装置とｉｄ「r004」のネットワークとの接続関係を示す情報である（図１参照）。【００２８】
なお、ＦＣＭＤＢ１は、これら構成情報を、ＩＴシステムの構成情報をそれぞれ独自に収集・管理するＭＤＲ（図示せず）からネットワーク等を介して取得する。【００２９】
アクセス制御部１０は、アクセス制御装置に相当し、構成情報記憶部２０へのアクセス制御を行う。アクセス制御部１０は、段階的検索式生成部１１と、検索処理部１２と、ルール記憶部１３と、アクセス可能要素記憶部１４と、アクセス可否決定部１５と、結果提示部１６とを有する。【００３０】
段階的検索式生成部１１は、ユーザからの検索要求を取得すると、当該検索要求に含まれる検索式から、段階的検索式を生成する。ここで、ユーザからの検索要求について説明する。【００３１】
ユーザは、ＦＣＭＤＢ１とインターネット等の通信経路を介して接続されたユーザ端末２を用いて、構成情報の検索要求を行う。ユーザ端末２は、専用のコンピュータのほか、一般的なパーソナルコンピュータ等を適用することができる。【００３２】
検索要求には、ユーザ情報と検索式とが含まれる。ユーザ情報は、検索要求を行ったユーザを識別するための識別情報であり、例えば、ユーザごとに与えられるＩＤやパスワード等である。検索式は、情報を要求するＣＩの種別やリレーションの種別などを指定する。例えば、サーバ装置の情報、すなわちＣＩ種別「Server」を有するＣＩの情報を要求する場合、検索式は「/%Server」で表される。なお、名称の前に「%」を付すことにより、その名称がＣＩの名称であることが特定される。【００３３】
また、「/」を区切りとして、ＣＩ及びリレーションを交互に並べることで、ＣＩ間の関係を辿る検索が可能となる。例えば、サーバ装置の管理者の情報を要求する場合、検索式は、「/%Server/&Managed  By/%Person」で表される。なお、「&」は、その後に付された情報がリレーション種別であることを示す。【００３４】
また、「%」または「&」の後に「*」を付すことにより、全てのＣＩ種別またリレーション種別を指定した検索が可能となる。例えば、「/%Server/&*/%Person」で表される検索式は、ＣＩ種別「Server」と何らかの関係を持つ人の情報が要求されていることを示す。【００３５】
また、ＣＩ種別の後に、要求するＣＩを具体的に指定する情報を付すことにより、ＣＩについての詳細検索が可能となる。例えば、管理者Ａが管理するサーバ装置の情報を要求する検索式は、「/%Server[&Managed  By/%Person  A]」で表される。【００３６】
また、ＣＩまたはリレーションの何れかの情報を要求する場合、検索式は、「entity-id(****)」（「****」は、要求するＣＩまたはリレーションのｉｄ）により表される。このように、本実施例において、構成情報の検索式は、検索の起点となるＣＩを指定するとともに、当該ＣＩを起点としてリレーションやＣＩをどの順序で辿るかべきかを指定する。【００３７】
段階的検索式生成部１１は、ユーザ端末２から取得した検索式に基づき段階的検索式を生成する。段階的検索式とは、ユーザ端末２から取得した検索式に基づく検索処理の各段階を示す検索式であり、検索式を「/」単位で分割して生成される。例えば、ユーザ端末２から「%Network[id=r004]/&Connected  TO/%*」で指定される検索式を取得した場合、段階的検索式生成部１１は、段階的検索式として「%Network[id=r004]」、「%Network[id=r004]/&Connected  TO」および「%Network[id=r004]/&Connected  TO/%*」で示される検索式を生成する。【００３８】
検索処理部１２は、段階的検索式生成部１１により生成された段階的検索式に基づき、構成情報記憶部２０に対して、当該段階的検索式が要求する構成情報の検索を行う。例えば、検索処理部１２は、段階的検索式「%Network[id=r004]」（すなわち、id「r004」を有するネットワークの情報を要求する検索式）に基づき検索を行うことにより、検索結果として、図１に示すＣＩ２００ａの詳細情報を構成情報記憶部２０から取出す。【００３９】
同様に、検索処理部１２は、段階的検索式「%Network[id=r004]/&Connected  TO」（id「r004」を有するネットワークと他のＣＩとの接続関係を示すリレーションの情報を要求する検索式）に基づき検索を行った場合、検索結果として、ｉｄ「007」、「008」、「009」の３つのリレーションの詳細情報を構成情報記憶部２０から取出す。【００４０】
ルール記憶部１３は、構成情報記憶部２０へのアクセス制御を行う場合に用いるアクセス制御ルールを記憶する。具体的には、ルール記憶部１３は、コアＣＩ管理テーブル１３１と、種別組合せ管理テーブル１３２とを記憶する。ここで、コアＣＩ管理テーブル１３１及び種別組合せ管理テーブル１３２の構成について説明する。図５は本実施例にかかるコアＣＩ管理テーブルの一例を示す図、図６は本実施例にかかる種別組合せ管理テーブルの一例を示す図である。【００４１】
図５に示すように、コアＣＩ管理テーブル１３１は、コアＣＩのｉｄをユーザ情報と関連付けて記憶する。コアＣＩとは、アクセスが許可されるＣＩとしてコアＣＩ管理テーブル１３１に記憶されているＣＩを示す。例えば、コアＣＩ管理テーブル１３１は、ユーザ情報「engineer01」をコアＣＩのｉｄ「r004」と関連付けて記憶しており、ユーザ情報「engineer01」が割り当てられたユーザが、ｉｄ「r004」を有するＣＩに対してアクセス権があることを示している。【００４２】
また、図６に示すように、種別組合せ管理テーブル１３２は、ＣＩ種別、リレーション種別および適用段数をユーザ情報と関連付けて記憶する。例えば、種別組合せ管理テーブル１３２は、ユーザ情報「engineer01」をＣＩ種別「Server」、リレーション種別「Operated  By」および適用段数「−」と関連付けて記憶する。【００４３】
ここで、適用段数とは、ＣＩ種別およびリレーション種別の組合せをアクセス制御ルールとして適用可能な範囲を示す情報である。「段数」とは、検索の起点となるＣＩから検索結果のＣＩに至るまでに辿るリレーションの数を示す。適用段数の詳細については、後述する。【００４４】
このように、ルール記憶部１３は、ユーザごとに設定されるアクセス制御ルールとして、コアＣＩのｉｄをユーザ情報と関連付けて記憶するとともに、ＣＩ種別とリレーション種別との組合せをユーザ情報と関連付けて記憶するルール記憶手段に相当する。なお、これらアクセス制御ルールは、例えば、センタ管理者等によって予め記憶される。【００４５】
アクセス可能要素記憶部１４は、後述するアクセス可否決定部１５によりアクセス可能と判定されたＣＩまたはリレーションのｉｄを、当該ＣＩまたはリレーションについてアクセス可能と判定されたユーザのユーザ情報と関連付けて記憶する。以下、アクセス可能要素記憶部１４に記憶される情報について説明する。図７はアクセス可能ＣＩ管理テーブルの一例を示す図、図８はアクセス可能リレーション管理テーブルの一例を示す図である。【００４６】
図７に示すように、アクセス可能ＣＩ管理テーブル１４１は、アクセス可能と判定されたＣＩのｉｄをユーザ情報と関連付けて記憶する。例えば、アクセス可能ＣＩ管理テーブル１４１は、ユーザ情報「engineer01」と関連付けて、ＣＩのｉｄ「r001」、「r002」、「r003」を記憶する。すなわち、アクセス可能ＣＩ管理テーブル１４１は、ユーザ情報「engineer01」を割り当てられたユーザが、ｉｄ「r001」、「r002」、「r003」を有するＣＩに対してアクセス可能であることを示す。【００４７】
また、図８に示すように、アクセス可能リレーション管理テーブル１４２は、アクセス可能と判定されたリレーションのｉｄをユーザ情報と関連付けて記憶する。例えば、アクセス可能リレーション管理テーブル１４２は、ユーザ情報「engineer01」と関連付けて、リレーションのｉｄ「007」、「008」、「009」を記憶する。すなわち、アクセス可能要素記憶部１４は、ユーザ情報「engineer01」を割り当てられたユーザが、ｉｄ「007」、「008」、「009」を有するリレーションに対してアクセス可能であることを示す。【００４８】
アクセス可否決定部１５は、アクセス可否決定手段として機能し、ユーザ情報と関連付けてコアＣＩ管理テーブル１３１に記憶されているＣＩの種別と、当該ＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、種別組合せ管理テーブル１３２にユーザ情報と関連付けて記憶されている場合、当該他のＣＩをアクセス可能と判定する。【００４９】
例えば、図５に示すコアＣＩ管理テーブル１３１において、ユーザ情報「engineer01」と関連付けて記憶されているｉｄ「r004」を有するコアＣＩ（図１に示すＣＩ２００ａ）の種別が「Network」であるとする。かかる場合、アクセス可否決定部１５は、コアＣＩ２００ａの種別「Network」と、コアＣＩ２００ａとＣＩ２００ｃとの関係を示すリレーションの種別「Connected  To」との組合せが、種別組合せ管理テーブル１３２にユーザ情報「engineer01」と関連付けて記憶されている場合、ＣＩ２００ｃをアクセス可能と判定する。なお、コアＣＩの種別は、検索処理部１２による構成情報記憶部２０への検索処理によって特定される。【００５０】
また、アクセス可否決定部１５は、ユーザがアクセス可能と判定したＣＩまたはリレーションのｉｄを、当該ユーザのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶する。そして、アクセス可否決定部１５は、アクセス可能要素記憶部１４に記憶されているＣＩを、当該ＣＩと関連付けられたユーザ情報を割り当てられたユーザがアクセス可能なＣＩと判定する。すなわち、本実施例では、アクセス可否決定部１５によるアクセス制御を行うことにより、アクセス可能要素記憶部１４にアクセス権情報が自動的に蓄積される。【００５１】
また、アクセス可否決定部１５は、アクセス可能要素記憶部１４に記憶した情報に基づいて、アクセスの可否を決定する。具体的には、アクセス可否決定部１５は、アクセス可能要素記憶部１４に記憶されたＣＩの種別と、当該ＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、ユーザ情報と関連付けて種別組合せ管理テーブル１３２に記憶されている場合には、当該ユーザ情報を割り当てられたユーザが、当該他のＣＩに対してアクセス可能であると判定する。【００５２】
また、アクセス可否決定部１５は、ユーザからの構成情報の検索要求を取得した場合、後述するアクセス可能要素記憶部１４に記憶されたＣＩの種別と、当該ＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、種別組合せ管理テーブル１３２に当該ユーザのユーザ情報と関連付けて記憶されている場合であっても、起点となるＣＩから他のＣＩに至るまでに辿るリレーションの数が、適用段数よりも大きい場合は、当該他のＣＩをアクセス不可能と判定する。以下、かかる処理について図９を用いて説明する。図９は、適用段数によりアクセス可否が決定される様子を示す図である。【００５３】
例えば、種別組合せ管理テーブル１３２において、ユーザ情報「engineer01」、ＣＩ種別「Server」、リレーション種別「Connected  To」と関連付けて記憶されている適用段数が「１」であるとする（図６参照）。かかる場合において、検索処理部１２が、段階的検索式「%Network[id=r004]/&Connected  TO/%*」に基づく検索を行ったとする。かかる場合、図９に示すように、検索の起点となるＣＩ２００ａから、上記段階的検索式に基づく検索結果の１つであるＣＩ２００ｃに至るまでに辿るリレーションの数は「１」である。したがって、アクセス可否決定部１５は、種別組合せ管理テーブル１３２に記憶されたＣＩ種別とリレーション種別の組合せ「CI:Network、Rel:Connected  To」を適用して、ユーザ情報「engineer01」を割り当てられたユーザがＣＩ２００ｃに対してアクセス可能であると判定する。【００５４】
一方、検索処理部１２が、段階的検索式「%Network[id=r004]/&Connected  TO/%*/&Connected  TO/%*」に基づく検索を行ったとする。かかる場合、検索の起点となるＣＩ２００ａから、上記段階的検索式に基づく検索結果であるＣＩ２００ｅに至るまでに辿るリレーションの数は「２」である。したがって、アクセス可否決定部１５は、種別組合せ管理テーブル１３２に記憶されたＣＩ種別とリレーション種別の組合せ「CI:Network、Rel:Connected  To」を適用せず、ユーザ情報「engineer01」を割り当てられたユーザがＣＩ２００ｅに対してアクセス不可であると判定する。【００５５】
結果提示部１６は、段階的検索式生成部１１により生成された段階的検索式のうち、検索処理の最後の段階を示す段階的検索式に基づく検索結果に対して、アクセス可否決定部１５がアクセス可能と判定した場合、当該検索結果をユーザ端末２に送信する。これにより、ユーザは、検索要求に応じた構成情報を参照することができる。【００５６】
ここで、本実施例にかかるアクセス制御処理の具体例として、ユーザ情報「engineer01」を割り当てられたユーザＡが、検索式「%Network[id=r004]/&Connected  TO/%*」を含む検索要求を行った場合を例とし、当該検索式がアクセス制御部１０によってどのように処理されるかについて説明する。【００５７】
先ず、段階的検索式生成部１１は、検索式「%Network[id=r004]/&Connected  TO/%*」に基づき、段階的検索式「%Network[id=r004]」、「%Network[id=r004]/&Connected  TO」および「%Network[id=r004]/&Connected  TO/%*」を生成する。【００５８】
続いて、検索処理部１２は、生成された３つの段階的検索式の中から、検索条件を１つだけ含む段階的検索式「%Network[id=r004]」（「最初の段階の段階的検索式」とする）を取出す。そして、検索処理部１２は、取出した段階的検索式「%Network[id=r004]」に基づく検索処理を行い、検索結果として、ＣＩ２００ａに関する情報を得る（図１参照）。ＣＩ２００ａに関する情報には、ＣＩ２００ａの種別「Network」が含まれる。【００５９】
続いて、アクセス可否決定部１５は、検索結果として得られたＣＩ２００ａのｉｄ「r004」がユーザＡのユーザ情報「engineer01」と関連付けてコアＣＩ管理テーブル１３１に記憶されているか否かを判定する。そして、図５に示すように、ＣＩ２００ａのｉｄ「r004」がユーザ情報「engineer01」と関連付けて記憶されている場合、アクセス可否決定部１５は、段階的検索式「%Network[id=r004]」に関して、ユーザＡはアクセス可能であると判定する。【００６０】
続いて、検索処理部１２は、３つの段階的検索式の中から、検索条件を２つ含んだ段階的検索式「%Network[id=r004]/&Connected  TO」を取出し、検索処理を行う。そして、検索処理部１２は、検索結果として、ＣＩ２００ａにつながる、ｉｄ「007」、「008」、「009」を有する３つのリレーションに関する情報を得る（図1参照）。【００６１】
続いて、アクセス可否決定部１５は、ＣＩ２００ａの種別「Network」と、ｉｄ「007」、「008」、「009」を有する３つのリレーションの種別「Connected  To」との組合せが、ユーザＡのユーザ情報「engineer01」と関連付けて種別組合せ管理テーブル１３２に記憶されているか否かを判定する。そして、図６に示すように、ＣＩ種別とリレーション種別の組合せ「Network、Connected  TO」がユーザ情報「engineer01」と関連付けて種別組合せ管理テーブル１３２に記憶されている場合、アクセス可否決定部１５は、段階的検索式「%Network[id=r004]/&Connected  TO」に関して、ユーザＡはアクセス可能であると判定する。また、アクセス可否決定部１５は、アクセス可能であると判定した上記３つのリレーションによりＣＩ２００ａと結ばれるＣＩ２００ｂ〜２００ｄのｉｄをアクセス可能要素記憶部１４にユーザ情報「engineer01」と関連付けて記憶する。【００６２】
続いて、検索処理部１２は、段階的検索式生成部１１により生成された３つの段階的検索式の中から、検索条件を３つ含んだ段階的検索式「%Network[id=r004]/&Connected  TO/%*」（最後の段階の段階的検索式とする）を取出す。そして、検索処理部１２は、取出した段階的検索式に基づく検索処理を行い、検索結果として、ＣＩ２００ｂ〜２００ｄに関する情報を得る（図１参照）。【００６３】
続いて、アクセス可否決定部１５は、検索結果として得られたＣＩ２００ｂ〜２００ｄのｉｄ「r001」、「r002」、「r003」がユーザＡのユーザ情報「engineer01」と関連付けてアクセス可能要素記憶部１４に記憶されているか否かを判定する。そして、ＣＩ２００ｂ〜２００ｄのｉｄ「r001」、「r002」、「r003」がユーザ情報「engineer01」と関連付けてアクセス可能要素記憶部１４に記憶されている場合、アクセス可否決定部１５は、最後の段階の段階的検索式「%Network[id=r004]/&Connected  TO/%*」に関して、ユーザＡはアクセス可能であると判定する。【００６４】
そして、最後の段階の段階的検索式（すなわち、ユーザＡからの検索要求に含まれる検索式）に関してアクセス可能であると判定した場合、結果提示部１６は、検索結果として、ｉｄ「r001」、「r002」、「r003」を有するＣＩ２００ｂ〜２００ｄに関する情報がユーザＡに提示される。【００６５】
次に、本実施例にかかるＦＣＭＤＢの具体的動作について図面を参照して説明する。図１０は、本実施例にかかるアクセス処理部の処理手順を示すフローチャートである。なお、図１０においては、ＦＣＭＤＢ１が実行する処理手順のうち、アクセス制御に関する処理手順のみを示す。【００６６】
なお、以下では、上述した具体例と同様、ユーザ情報「engineer01」を割り当てられたユーザＡが、検索式「%Network[id=r004]/&Connected  TO/%*」を含む検索要求を行った場合を例として説明する。ここで、図１０に示す処理を実行する場合には、「ｎ」および「ｔ」の２つの情報が設定される。これら「ｎ」および「ｔ」は、後述するリレーションアクセス可否決定処理において用いられる情報であり、処理開始時においては、ｎ＝０、ｔ＝ｎｕｌｌに設定されている。【００６７】
ユーザＡの使用するユーザ端末２から構成情報の検索要求を受けると、図１０に示すように、段階的検索式生成部１１は、検索要求に含まれる検索式に基づき、段階的検索式を生成する（ステップＳ１０１）。すなわち、段階的検索式生成部１１は、検索式「%Network[id=r004]/&Connected  TO/%*」に基づき、「%Network[id=r004]」、「%Network[id=r004]/&Connected  TO」および「%Network[id=r004]/&Connected  TO/%*」で示される３つの段階的検索式を生成する。【００６８】
続いて、検索処理部１２は、ステップＳ１０１において生成した段階的検索式を段階順に１つ取出し（ステップＳ１０２）、取出した段階的検索式に基づき、構成情報記憶部２０に記憶された構成情報の検索を行う（ステップＳ１０３）。すなわち、検索処理部１２は、先ず、上記３つの段階的検索式のうち、最初の段階である段階的検索式「%Network[id=r004]」に基づき検索処理を行う。【００６９】
続いて、アクセス制御部１０は、検索結果が全てＣＩであるか否かを判定する（ステップＳ１０４）。この処理において、検索結果が全てＣＩであると判定すると（ステップＳ１０４肯定）、アクセス制御部１０は、ＣＩアクセス可否決定処理へ移行する（ステップＳ１０５）。例えば、段階的検索式「%Network[id=r004]」に基づき検索処理を行い、検索結果としてＣＩ２００ａに関する情報を得た場合、アクセス制御部１０は、検索結果が全てＣＩであると判定し、ＣＩアクセス可否決定処理を実行する。ＣＩアクセス可否決定処理は、ステップＳ１０３において検出されたＣＩのアクセス可否を決定する処理である。ＣＩアクセス可否決定処理は、図１１に示す処理であり、後述する。【００７０】
一方、ステップＳ１０４において、検索結果が全てＣＩであると判定しないとき（ステップＳ１０４否定）、アクセス制御部１０は、検索結果が全てリレーションであるか否かを判定する（ステップＳ１０６）。この処理において、検索結果が全てリレーションであると判定すると（ステップＳ１０６肯定）、アクセス制御部１０は、リレーションアクセス可否決定処理を行う（ステップＳ１０７）。【００７１】
例えば、段階的検索式「%Network[id=r004]/&Connected  TO」に基づき検索処理を行い、検索結果として、それぞれｉｄ「007」、「008」、「009」を有するリレーションに関する情報を得たとする。かかる場合、アクセス制御部１０は、検索結果が全てリレーションであると判定し、リレーションアクセス可否決定処理を実行する。リレーションアクセス可否決定処理は、ステップＳ１０３において検出されたリレーションのアクセス可否を決定する処理である。リレーションアクセス可否決定処理は、図１２に示す処理であり、後述する。【００７２】
ステップＳ１０５、Ｓ１０７の処理を終えたとき、アクセス制御部１０は、許可フラグがセットされているか否かを判定する（ステップＳ１０８）。許可フラグは、後述するＣＩアクセス可否決定処理またはリレーションアクセス可否決定処理においてセットされるフラグである。この処理において、許可フラグがセットされていない場合（ステップＳ１０８否定）、すなわち拒否フラグがセットされている場合、あるいは、ステップＳ１０６において検索結果が全てリレーションであると判定しないとき（ステップＳ１０６否定）、アクセス可否決定部１５は、ユーザＡが検索結果に対してアクセス不可能であると判定する（ステップＳ１０９）。そして、結果提示部１６は、エラー結果として、ユーザＡにアクセス権がない旨の通知をインターネット等のネットワークを介してユーザ端末２に送信する（ステップＳ１１０）。【００７３】
一方、ステップＳ１０８において許可フラグがセットされていると判定した場合（ステップＳ１０８肯定）、アクセス制御部１０は、ステップＳ１０１において生成した全ての段階的検索式について処理済みか否かを判定する（ステップＳ１１１）。この処理において全ての段階的検索式について処理済みでないとき（ステップＳ１１１否定）、アクセス制御部１０は、処理をステップＳ１０２へ移行する。【００７４】
一方、全ての段階的検索式について処理済みであると判定すると（ステップＳ１１１肯定）、アクセス可否決定部１５は、ユーザＡが、検索結果に対してアクセス可能である、すなわちアクセス権があると判定する（ステップＳ１１２）。そして、結果提示部１６は、検索処理部１２による検索結果をネットワークを介してユーザ端末２に送信する（ステップＳ１１３）。ステップＳ１１０、Ｓ１１３の処理を終えたとき、アクセス制御部１０は、アクセス制御に関する処理手順のみを示す。【００７５】
続いて、ステップＳ１０５に示すＣＩアクセス可否決定処理について、図１１を参照して説明する。図１１は、ＣＩアクセス可否決定処理の処理手順を示すフローチャートである。【００７６】
図１１に示すように、ＣＩアクセス可否決定処理を開始すると、アクセス可否決定部１５は、検索結果として得られたＣＩのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されているか否かを判定する（ステップＳ２０１）。この処理において、検索結果として得られたＣＩのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されていると判定すると（ステップＳ２０１肯定）、アクセス可否決定部１５は、許可フラグをセットする（ステップＳ２０２）。【００７７】
一方、検索結果として得られたＣＩのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されていないとき（ステップＳ２０１否定）、アクセス可否決定部１５は、当該ＣＩのｉｄがユーザＡのユーザ情報と関連付けてコアＣＩ管理テーブル１３１に記憶されているか否かを判定する（ステップＳ２０３）。この処理において、検索結果として得られたＣＩのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されていると判定すると（ステップＳ２０３肯定）、アクセス可否決定部１５は、許可フラグをセットする（ステップＳ２０４）。【００７８】
続いて、アクセス可否決定部１５は、検索結果として得られたＣＩのｉｄをアクセス可能要素記憶部１４に記憶する（ステップＳ２０５）。続いて、アクセス可否決定部１５は、検索結果として得られたＣＩの種別が複数存在するか否かを判定する（ステップＳ２０６）。すなわち、アクセス可否決定部１５は、検索結果として得られたＣＩが複数存在する場合に、それらＣＩの種別が異なるか否かを判定する。【００７９】
この処理において、検索結果として得られたＣＩの種別が複数存在しない場合（ステップＳ２０６否定）、または、ステップＳ２０２の処理を終えたとき、アクセス可否決定部１５は、後述するリレーションアクセス可否決定処理において用いるＣＩ種別の情報「ｔ」として、検索処理により得られたＣＩの種別を設定する（ステップＳ２０７）。例えば、検索結果としてＣＩ２００ａが得られた場合、アクセス可否決定部１５は、後述するリレーションアクセス可否決定処理において用いるＣＩ種別の情報「ｔ」として「Network」を設定する。【００８０】
一方、ステップＳ２０６において、検索結果として得られたＣＩの種別が複数存在すると判定した場合（ステップＳ２０６肯定）、アクセス可否決定部１５は、検索処理部１２による検索処理が最後の段階の段階的検索式に基づく検索処理であったか否かを判定する（ステップＳ２０８）。最後の段階の段階的検索式は、ユーザからの検索要求に含まれる検索式と同一であり、本例においては、「%Network[id=r004]/&Connected  TO/%*」で示される段階的検索式である。【００８１】
この処理において、検索処理部１２による検索処理が最後の段階の段階的検索式に基づく検索処理ではないとき（ステップＳ２０８否定）、あるいは、ステップＳ２０３において、検索結果として得られたＣＩのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されていないとき（ステップＳ２０３否定）、アクセス可否決定部１５は、拒否フラグをセットする（ステップＳ２０９）。【００８２】
ステップＳ２０７、Ｓ２０９の処理を終えたとき、あるいは、ステップＳ２０８において、検索処理部１２による検索処理が最後の段階の段階的検索式に基づく検索処理であったと判定した場合（ステップＳ２０８肯定）、アクセス可否決定部１５は、ＣＩアクセス可否決定処理を終了する。【００８３】
続いて、ステップＳ１０７におけるリレーションアクセス可否決定処理について図１２を参照して説明する。図１２は、リレーションアクセス可否決定処理の処理手順を示すフローチャートである。【００８４】
図１２に示すように、リレーションアクセス可否決定処理を開始すると、アクセス可否決定部１５は、ｎ＝ｎ＋１とする（ステップＳ３０１）。例えば、ｎが初期設定値「０」である場合、アクセス可否決定部１５は、ｎを「１」とする。【００８５】
続いて、アクセス可否決定部１５は、検索結果として得られたリレーションのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されているか否かを判定する（ステップＳ３０２）。この処理において、検索結果として得られたリレーションのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されていると判定すると（ステップＳ３０２肯定）、アクセス可否決定部１５は、許可フラグをセットする（ステップＳ３０３）。【００８６】
一方、検索結果として得られたリレーションのｉｄがユーザＡのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されていないとする（ステップＳ３０２否定）。かかる場合、アクセス可否決定部１５は、検索結果として得られたリレーションの種別と、ステップＳ２０７において設定した「ｔ」（例えば、段階的検索式「%Network[id=r004]」の検索結果として得られたＣＩの種別）との組合せが、ユーザＡのユーザ情報と関連付けて種別組合せ管理テーブル１３２に記憶されているか否かを判定する（ステップＳ３０４）。この処理において、検索結果として得られたリレーションの種別と「ｔ」との組合せが、種別組合せ管理テーブル１３２に記憶されている場合（ステップＳ３０４肯定）、アクセス可否決定部１５は、処理をステップＳ３０５へ移行する。【００８７】
ステップＳ３０５において、アクセス可否決定部１５は、種別組合せ管理テーブル１３２に記憶される、検索結果として得られたリレーションの種別と「ｔ」との組合せと同じ組合せに関連付けられた適用段数がｎ以下であるか否かを判定する。この処理において、適用段数がｎ以下ではないと（ステップＳ３０５否定）、あるいは、ステップＳ３０４において、検索結果として得られたリレーションの種別と「ｔ」との組合せが種別組合せ管理テーブル１３２に記憶されていない場合（ステップＳ３０４否定）、アクセス可否決定部１５は、拒否フラグをセットする（ステップＳ３０６）。【００８８】
一方、ステップＳ３０５において、適用段数がｎ以下であると判定すると（ステップＳ３０５肯定）、アクセス可否決定部１５は、許可フラグをセットし（ステップＳ３０７）、検索結果として得られたリレーションのｉｄをアクセス可能要素記憶部１４に記憶する（ステップＳ３０８）。【００８９】
そして、アクセス可否決定部１５は、今回の検索結果により得られたリレーションによって、前段階の段階的検索式に基づき得られた検索結果のＣＩと結ばれるＣＩのｉｄをアクセス可能要素記憶部１４に記憶する（ステップＳ３０９）。例えば、段階的検索式「%Network[id=r004]」に基づく検索結果としてＣＩ２００ａの情報が得られた場合、次の段階の段階的検索式「%Network[id=r004]/&Connected  TO/」に基づく検索結果としてｉｄ「007」、「008」、「009」を有するリレーションによりそれぞれＣＩ２００ａと結ばれるＣＩ２００ｂ〜２００ｄのｉｄをアクセス可能要素記憶部１４に記憶する。【００９０】
ステップＳ３０３、Ｓ３０６、Ｓ３０９の処理を終えたとき、アクセス可否決定部１５は、リレーションアクセス可否決定処理を終了する。【００９１】
上述してきたように、本実施例では、ユーザごとに設定されるアクセス制御ルールとして、コアＣＩをユーザ情報と関連付けて記憶するとともに、ＣＩ種別とリレーション種別との組合せをユーザ情報と関連付けて記憶し、あるユーザ情報と関連付けられたコアＣＩの種別と、当該コアＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、当該ユーザ情報と関連付けて記憶されている場合、当該他のＣＩをアクセス可能と判定する。【００９２】
これにより、システム管理者等の作業者は、アクセス権の設定作業として、アクセス制御ルールの設定作業を行うだけでよくなり、例えば、構成情報記憶部２０に記憶されているＣＩやリレーションの１つ１つに対してアクセス権を設定するといった作業を行う必要がなくなる。すなわち、本実施例によれば、ＩＴシステムの構成情報に対するアクセス権の設定を効率的に行うことができる。【００９３】
また、本実施例では、アクセス可否決定部１５によりアクセス可能と判定された構成情報をユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶し、アクセス可能要素記憶部１４に記憶された構成情報を、当該構成情報と関連付けられたユーザ情報を有するユーザがアクセス可能な構成情報であると判定する。【００９４】
これにより、アクセス可能要素記憶部１４に記憶されている構成情報については、コアＣＩ管理テーブル１３１や種別組合せ管理テーブル１３２を参照することなくアクセス可能と判定でき、アクセス制御処理の処理手順を簡略化することができる。【００９５】
また、本実施例において、アクセス可否決定部１５は、あるユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されたＣＩの種別と、当該ＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、当該ユーザ情報と関連付けて種別組合せ管理テーブル１３２に記憶されている場合には、当該他のＣＩをアクセス可能と判定する。【００９６】
このように、アクセス可否決定部１５によりアクセス可能と判定されたＣＩをコアＣＩとして用いることにより、アクセス権の設定をより効率的に行うことができる。【００９７】
また、本実施例において、アクセス可否決定部１５は、あるユーザから検索要求を受けた場合、当該ユーザのユーザ情報と関連付けてアクセス可能要素記憶部１４に記憶されたＣＩの種別と、当該ＣＩと他のＣＩとの関係を示すリレーションの種別との組合せが、当該ユーザのユーザ情報と関連付けて記憶されている場合であっても、検索の起点となるＣＩから当該他のＣＩに至るまでに辿るリレーションの数が、種別組合せ管理テーブル１３２に記憶された適用段数よりも大きい場合は、当該他のＣＩをアクセス不可能と判定する。【００９８】
これにより、種別組合せ管理テーブル１３２に記憶されたＣＩ種別とリレーション種別の組合せの適用を必要に応じて制限できるため、より詳細なアクセス権の設定が可能となる。【００９９】
以上、本発明の実施の形態のいくつかを図面に基づいて詳細に説明したが、これらは例示であり、発明の開示の欄に記載の態様を始めとして、当業者の知識に基づいて種々の変形、改良を施した他の形態で本発明を実施することが可能である。【０１００】
例えば、本実施例では、検索処理部１２の検索処理により得られたＣＩの種別が複数存在し、当該検索処理が最後の段階の段階的検索式に基づく処理はでない場合（図１１のステップＳ２０８否定）、「ｔ」が一意に決められないため、拒否フラグをセットすることとした。すなわち、かかる場合、ユーザには、検索結果が提示されないことになる。そこで、かかる場合であっても、ユーザに検索結果を提示できるようにしてもよい。【０１０１】
例えば、ユーザから検索式「%Network[id=r006]/&*/%*/&Connected  TO/%*」（ｉｄ「r006」を有するネットワークと何らかの関係を持つＣＩと接続するＣＩに関する情報を要求する検索式）を含んだ検索要求を受けたとする。また、かかる場合において、段階的検索式「%Network[id=r006]/&*/%*」に基づく検索結果として、ｉｄ「u001」を有するＣＩ（種別は「User」）、ｉｄ「v002」を有するＣＩ（種別は「Service」）、ｉｄ「r005」を有するＣＩ（種別は「Server」）を得たとする（図１参照）。【０１０２】
このような場合、先ず、アクセス可否決定部１５は、検索式「entity_id(u001)/&Connected  TO」、「entity_id(v002)/&Connected  TO」および「entity_id(r005)/&Connected  TO」に基づく検索処理をそれぞれ行う。そして、検索処理部１２は、上記各検索式の結果として得られたＣＩ（あるいはリレーション）のｉｄを用い、検索式「entity_id(得られた検索結果のｉｄ)/%*」に基づく検索を行う。【０１０３】
このように、検索処理部１２の検索結果として得られたＣＩの中に、異なるＣＩ種別を有するＣＩが含まれる場合、アクセス制御部１０は、ＣＩ種別ごとに、図１０〜１２に示す処理を実行する。そして、全てにおいて許可フラグがセットされた場合、結果提示部１６は、最終的な検索結果をユーザに提示する。これにより、検索結果に複数のＣＩ種別が含まれる場合であっても、ユーザに検索結果を提示することができる。
【図１】
2010106679.tif 000003
【図２】
2010106679.tif 000004
【図３】
2010106679.tif 000005
【図４】
2010106679.tif 000006
【図５】
2010106679.tif 000007
【図６】
2010106679.tif 000008
【図７】
2010106679.tif 000009
【図８】
2010106679.tif 000010
【図９】
2010106679.tif 000011
【図１０】
2010106679.tif 000012
【図１１】
2010106679.tif 000013
【図１２】
2010106679.tif 000014
【図１３】
2010106679.tif 000015
【図１４】
2010106679.tif 000016
【図１５】
2010106679.tif 000017
【図１６】
2010106679.tif 000018
【手続補正書】
【提出日】平成23年4月25日(2011.4.25)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する情報管理装置へのアクセスを制御するアクセス制御装置であって、
ユーザごとに設定されるアクセス制御ルールとして、ユーザを識別するユーザ情報と関連付けて所定の構成要素を記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて記憶するルール記憶手段と、
ユーザ情報と関連付けて前記ルール記憶手段に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定手段と、
を備えたことを特徴とするアクセス制御装置。
【請求項２】
前記アクセス可否決定手段によりアクセス可能と判定された構成要素を、前記ユーザのユーザ情報と関連付けて記憶するアクセス可能要素記憶手段を備え、
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶されている構成要素を、当該構成要素と関連付けられたユーザ情報を有するユーザがアクセス可能な構成要素と判定する
ことを特徴とする請求項１に記載のアクセス制御装置。
【請求項３】
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ユーザのユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合には、当該他の構成要素をアクセス可能と判定することを特徴とする請求項２に記載のアクセス制御装置。
【請求項４】
前記ルール記憶手段は、構成要素の種別および関係要素の種別の組合せと、当該組合せをアクセス制御ルールとして適用可能な範囲を示す適用段数とを前記ユーザ情報と関連付けて記憶し、
前記アクセス可否決定手段は、前記ユーザからの構成情報の検索要求として、検索の起点となる構成要素を指定するとともに、当該構成要素を起点として複数の関係要素および構成要素をどの順序で辿るかを指定する検索式を取得した場合、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ルール記憶手段に前記ユーザのユーザ情報と関連付けて記憶されている場合であっても、前記起点となる構成要素から前記他の構成要素に至るまでに辿る関係要素の数が、前記適用段数よりも大きい場合は、当該他の構成要素をアクセス不可能と判定する
ことを特徴とする請求項３に記載のアクセス制御装置。
【請求項５】
複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する構成情報記憶手段と、
ユーザごとに設定されるアクセス制御ルールとして、ユーザを識別するユーザ情報と関連付けて所定の構成要素を記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて記憶するルール記憶手段と、
ユーザ情報と関連付けて前記ルール記憶手段に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定手段と、
を備えたことを特徴とする情報管理装置。
【請求項６】
前記アクセス可否決定手段によりアクセス可能と判定された構成要素を、前記ユーザのユーザ情報と関連付けて記憶するアクセス可能要素記憶手段を備え、
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶されている構成要素を、当該構成要素と関連付けられたユーザ情報を有するユーザがアクセス可能な構成要素と判定する
ことを特徴とする請求項５に記載の情報管理装置。
【請求項７】
前記アクセス可否決定手段は、前記アクセス可能要素記憶手段に記憶された構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、前記ユーザのユーザ情報と関連付けて前記ルール記憶手段に記憶されている場合には、当該他の構成要素をアクセス可能と判定することを特徴とする請求項６に記載の情報管理装置。
【請求項８】
複数の構成要素と、構成要素間の関係を示す関係要素とを構成情報として記憶する情報管理装置へのアクセスを制御するアクセス制御方法であって、
ユーザごとに設定されるアクセス制御ルールとして、ユーザを識別するユーザ情報と関連付けてルール記憶部に所定の構成要素を記憶するとともに、構成要素の種別と関係要素の種別との組合せを前記ユーザ情報と関連付けて前記ルール記憶部に記憶するルール記憶ステップと、
ユーザ情報と関連付けて前記ルール記憶部に記憶されている構成要素の種別と、当該構成要素と他の構成要素との関係を示す関係要素の種別との組合せが、当該ユーザ情報と関連付けて前記ルール記憶部に記憶されている場合、当該他の構成要素をアクセス可能と判定するアクセス可否決定ステップと、
を含んだことを特徴とするアクセス制御方法。
【国際調査報告】
2010106679.tif 000019
2010106679.tif 000020
2010106679.tif 000021