(57)【要約】【課題】アプリケーションサービスを利用するユーザの管理の効率性を向上させる。【解決手段】サービス提供システム１０には、サービスを提供用のアプリケーション６０とは別に、管理モジュール４０を含むグループユーザ管理システム３０が設けられている。そして、管理モジュールには、ユーザ情報を管理するユーザ管理部４２、ユーザが所属するグループを管理するグループ管理部４４、アプリケーションにおけるアクセス権設定可能な機能を管理するアクセス権リスト処理部４６が設けられている。運用オペレータ１００は、ユーザを一つ以上のグループに所属させるとともに、各グループに対してアプリケーションに対するアクセス権を設定する。これにより、アプリケーションに対するユーザのアクセス権は、ユーザが所属するグループに基づいて管理される。【選択図】図１
2006202180.tif 000002
【特許請求の範囲】
【請求項１】
ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段とを備えたコンピュータシステムに、
アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定手段と、
ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与手段と、
を備えさせる、ことを特徴とするアクセス管理プログラム。
【請求項２】
請求項１に記載のアクセス管理プログラムであって、
アクセス権付与手段は、ユーザの認証に使用できる認証方式をユーザグループ毎に複数設定する認証方式設定手段と、
ユーザ選択に基づいて、設定された複数の認証方式から、実際に認証で使用する認証方式を選択する認証方式選択手段と、
を備える、ことを特徴とするアクセス管理プログラム。
【請求項３】
請求項２に記載のアクセス管理プログラムであって、
認証方式選択手段においては、ユーザが属するユーザグループに設定された複数の認証方式がユーザに提示され、前記ユーザ選択が促される、ことを特徴とするアクセス管理プログラム。
【請求項４】
請求項１に記載のアクセス管理プログラムであって、
少なくとも一つのアプリケーションサービスは複数のサービス機能を備え、
アクセス権設定手段においては、サービス機能毎にアクセス権を設定することができる、ことを特徴とするアクセス管理プログラム。
【請求項５】
請求項１に記載のアクセス管理プログラムであって、
サービス提供手段は、複数のアプリケーションサービスを提供し、
アクセス権設定手段及びアクセス権付与手段は、これらのアプリケーションサービスに対するアクセス権を一括して管理する、ことを特徴とするアクセス管理プログラム。
【請求項６】
請求項１に記載のアクセス管理プログラムであって、
登録手段は、ユーザを複数のユーザグループに登録し、
アクセス権付与手段は、ユーザが属する複数のユーザグループをユーザに提示し、ユーザ選択に基づいて、いずれかのユーザグループに属するものとしてユーザを認証し、対応するアクセス権を付与する、ことを特徴とするアクセス管理プログラム。
【請求項７】
ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、
ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段と、
アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定手段と、
ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与手段と、
を備える、ことを特徴とするコンピュータシステム。
【請求項８】
ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段とを備えたコンピュータシステムで用いられるコンピュータであって、
アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定手段と、
ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与手段と、
を備える、ことを特徴とするコンピュータ。
【請求項９】
ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段とを備えたコンピュータシステムが実行する方法であって、
アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定ステップと、
ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与ステップと、
を含む、ことを特徴とするアクセス管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アプリケーションサービスを利用するユーザを管理する技術、特にユーザのアクセス権限を管理する技術に関する。
【背景技術】
【０００２】
ネットワーク上で、ファイル共用サービス（文書等のファイルを他のユーザと共有するサービス）や画像処理サービス（画像データの加工や印刷などのサービス）などのアプリケーションサービスを提供する技術が知られている。アプリケーションサービスにおいては、通常、ユーザを認証する認証情報と、ユーザが利用できるサービスやその利用方式を制限するアクセス権限情報を用いて、ユーザ管理が行われる。アプリケーションサービスを利用したいユーザは、ＰＣ（パーソナルコンピュータ）、画像形成機能やスキャナ機能等を備えたＭＦＰ（複合機）、携帯端末などの端末装置から例えばＷｅｂブラウザを通じてアプリケーションサービスにアクセスする。この際には、認証情報が認証されて、このアプリケーションサービスに対するアクセス権が付与される。
【０００３】
認証方式としては、パスワード認証、デジタル証明書、バイオメトリクス認証（生体認証）、これらを組み合わせた認証などを例示することができる。採用する認証方式は、例えば、安全性の高さ、運用のしやすさ、導入コストなどを考慮して決定される。下記特許文献１，２には、利用者の利便性のために、複数の認証方式を選択可能とする技術が開示されている。
【０００４】
下記特許文献１は、認証の安全性を保証したうえで、生体情報によりユーザ認証を行ってアプリケーションサービスを提供する技術に関するものである。具体的には、サービス要求があったアプリケーションから安全性要求レベルについての情報を受け取るとともに、ユーザから提示可能な生体認証手段についての情報を受け取り、安全性要求レベルを満たす生体認証手段がある場合にのみユーザ認証を実施する。
【０００５】
また、下記特許文献２には、画像形成装置において、事前に利用者毎に認証方式を登録しておき、利用者は利用可能な方式で認証を受ける旨の記載がある。
【０００６】
なお、下記特許文献３には、ネットワーク資源へのアクセスを制御する分散システムについての技術が開示されている。ここでは、ディレクトリサービスと呼ばれるサービスにおいて、ユーザと所属グループの属性値を利用してアクセス権限を集中的に管理している。具体的には、ネットワーク資源としての管理オブジェクトへのアクセスを制御するため、グループオブジェクト及び複数の規則オブジェクトを含むアクセス制御オブジェクトが用意されている。グループオブジェクトは、ユーザとグループとの対応づけを行うものであり、規則オブジェクトは、グループオブジェクトのセット及び管理オブジェクトのセットを対応づけるものである。これにより、管理オブジェクトへのアクセス権が、アクセス制御オブジェクトで対応づけられたグループに属するユーザに与えられる。
【０００７】
【特許文献１】特開２００３−２５６３７６号公報
【特許文献２】特開２００４−５４０８号公報
【特許文献３】特開平１１−３３８８３９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
複数のユーザにアプリケーションサービスを提供するにあたっては、これらのユーザを効率的に管理することが望ましい。そのためのひとつの方策は、ユーザをグループ単位で管理することである。例えば、認証方式や認証の安全性レベルを利用グループの利用環境や安全方針によって決定することで、利用グループの特性に応じてユーザを管理することが可能となる。しかし、上記特許文献１，２においては、ユーザをグループ単位で管理する技術についての言及や示唆がなされていない。また、上記特許文献３においては、ユーザをグループ管理する技術が開示されているが、認証方式の設定との関連づけには一切触れられていない。
【０００９】
本発明の目的は、アプリケーションサービスを利用するユーザの管理の効率性を向上させることにある。
【００１０】
本発明の別の目的は、アプリケーションサービスを利用するユーザがユーザグループに登録されている環境下で、アプリケーションサービスに対するアクセス権の設定を、安全性と効率性の向上を両立させながら行うことにある。
【００１１】
なお、あるユーザに複数のアクセス権限を設定している場合に、一般に、一回の認証で全ての権限が付与される。しかし、この場合には、高度なアクセス権を必要としない作業においても高度なアクセス権を取得することになり、重要な管理用ファイルを削除してしまうなどユーザの誤操作によりシステムに深刻な被害をもたらす虞がある。これを回避するために、ユーザとアクセス権限グループとの対応を一対一に設定し、異なったアクセス権限を利用するためには異なったユーザとして認証を受けさせる方法がある。この場合、セキュリティ上の安全性を考えれば、アクセス権限とユーザとの対応を明示しないことが望ましいが、一般にユーザの記憶のみに頼ることは困難であり、ユーザが対応関係を紙にメモするなどのセキュリティ上の問題を誘発することとなる。
【００１２】
本発明のさらに別の目的は、ユーザに対し、複数のアクセス権限を付与する際の安全性を向上させることにある。
【課題を解決するための手段】
【００１３】
本発明のアクセス管理プログラムは、ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段とを備えたコンピュータシステムに、アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定手段と、ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与手段と、を備えさせる。
【００１４】
コンピュータシステムは、一つ又は複数のコンピュータを含むシステムであり、登録手段とサービス提供手段を備える。コンピュータシステムに対しては、ユーザは、通常、ネットワークを介してアクセスをすることができる。登録手段は、アプリケーションサービスあるいはこのコンピュータシステム一般を利用するユーザをユーザグループに登録するものである。ユーザグループは、複数のユーザをまとめて管理する単位であり、例えば、職場における所属部署、従事するプロジェクト、役職などユーザの実属性に対応づけて作成することができる。サービス提供手段は、ユーザに対してアプリケーションサービスを提供する。アプリケーションサービスの例としては、文書等のデータを保持・交換するサービスや、画像データを基に印刷・加工などを行う画像処理サービス等を挙げることができる。
【００１５】
アクセス管理プログラムは、このコンピュータシステムにインストールされて、コンピュータシステムに少なくともアクセス権設定手段とアクセス権付与手段とを実現させる。なお、アクセス管理プログラムは、登録手段あるいはサービス提供手段を実現するプログラムとともにパッケージ化されていてもよい。アクセス権設定手段は、ユーザグループを単位として、ユーザのアプリケーションサービスに対するアクセス権を設定する。設定は、ユーザ入力に基づいたり、他のコンピュータシステムから情報を取得したりして行われる。アクセス権付与手段は、ユーザ認証を行い、認証に成功した場合にアクセス権設定手段での設定に基づいて、対応するユーザグループに設定されたアクセス権を付与する。
【００１６】
この構成によれば、ユーザに付与するアクセス権を、ユーザグループ単位で設定することが可能となるため、セキュリティ上の安全性を維持したままユーザ管理を容易化することができる。ユーザが求めるアプリケーションサービスはユーザの実属性に依存して定まる可能性が高く、特に、ユーザの実属性に対応したユーザグループ設定を行った場合に、ユーザ管理の効率が一層向上する。
【００１７】
本発明のアクセス管理プログラムの一態様においては、アクセス権付与手段は、ユーザの認証に使用できる認証方式をユーザグループ毎に複数設定する認証方式設定手段と、ユーザ選択に基づいて、設定された複数の認証方式から、実際に認証で使用する認証方式を選択する認証方式選択手段と、を備える。認証方式設定手段において設定される認証方式としては、パスワード認証、ＰＫＩに基づく証明書を利用した認証、バイオメトリクス認証など様々なものを採用することができる。このような認証方式は、ユーザ指定により具体的に設定してもよいし、例えば、予め安全レベルと認証方式とを対応づけておくことで、安全レベルを指定して間接的に設定することも可能である。認証方式選択手段は、ユーザ選択に基づいて、複数の認証方式から実際に使用する認証方式を決定する。ユーザ選択に基づく認証方式の決定は、認証の時点で行われてもよいし、予め行われてもよい。
【００１８】
本発明のアクセス管理プログラムの一態様においては、認証方式選択手段においては、ユーザが属するユーザグループに設定された複数の認証方式がユーザに提示され、前記ユーザ選択が促される。提示は、ディスプレイ表示や、音声などを通じて行われる。また、ユーザ選択を促すとは、ユーザに認証方式の決定を委ねる提示を行うことを意味しており、例えば、ディスプレイ表示した候補をユーザに選択させる処理が行われる。
【００１９】
本発明のアクセス管理プログラムの一態様においては、少なくとも一つのアプリケーションサービスは複数のサービス機能を備え、アクセス権設定手段においては、サービス機能毎にアクセス権を設定することができる。複数のアプリケーションサービスに共通のサービス機能がある場合には、まとめて設定することも可能である。
【００２０】
本発明のアクセス管理プログラムの一態様においては、サービス提供手段は、複数のアプリケーションサービスを提供し、アクセス権設定手段及びアクセス権付与手段は、これらのアプリケーションサービスに対するアクセス権を一括して管理する。すなわち、複数のアプリケーションサービスを、ひとつのアクセス権設定手段及びアクセス権付与手段によって集中的に管理する。これにより、ユーザ管理が簡略化される他、アプリケーションを追加したり削除したりする場合にも円滑な運営を行うことが可能となる。
【００２１】
本発明のアクセス管理プログラムの一態様においては、登録手段は、ユーザを複数のユーザグループに登録し、アクセス権付与手段は、ユーザが属する複数のユーザグループをユーザに提示し、ユーザ選択に基づいて、いずれかのユーザグループに属するものとしてユーザを認証し、対応するアクセス権を付与する。ユーザグループ毎に異なるアクセス権を設定しておけば、ユーザは所望のアクセス権を備えたユーザグループに属するものとして認証を受けることで、そのアクセス権を取得することができる。ユーザグループの特徴に応じてアクセス権が設定されている場合、ユーザは、ユーザグループから対応するアクセス権を容易に思い出すことができる。したがって、アクセス権とユーザグループとの関係を明示的に示さなくても、ユーザは、的確にユーザグループを選択し、所望のアクセス権を取得することができる。このため、ユーザに複数のアクセス権を付与する際の安全性が向上する。
【００２２】
本発明のコンピュータシステムは、ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段と、アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定手段と、ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与手段と、を備える。
【００２３】
本発明のコンピュータは、ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段とを備えたコンピュータシステムで用いられるコンピュータであって、アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定手段と、ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与手段と、を備える。
【００２４】
本発明のアクセス管理方法は、ユーザを複数のユーザグループの少なくとも一つに登録する登録手段と、ユーザに対して少なくとも一つのアプリケーションサービスを提供するサービス提供手段とを備えたコンピュータシステムが実行する方法であって、アプリケーションサービスに対するアクセス権をユーザグループ単位で設定するアクセス権設定ステップと、ユーザを認証して、そのユーザが属する少なくとも一つのユーザグループに設定されたアクセス権を付与するアクセス権付与ステップと、を含む。
【発明を実施するための最良の形態】
【００２５】
図１は、本実施の形態に係るシステムの機能構成を説明する概略図である。このシステムは、サービス提供システム１０、このサービス提供システム１０と接続されているネットワーク７０、そしてネットワーク７０に接続された端末装置としてのＰＣ８０及びＭＦＰ（複写機能やＦＡＸ機能などを備えた複合機）７０を含んでいる。
【００２６】
サービス提供システム１０は、アプリケーションサービスを行うために設けられたシステムであり、コンピュータやファイルサーバなどのハードウエアと、ハードウエアの動作を制御するソフトウエアを利用して構成されている。具体的には、サービス提供システム１０は、データベース２０、グループユーザ管理システム３０、アプリケーション６０を含んでいる。
【００２７】
データベース２０は、ファイルサーバ等の記憶装置を利用して構築されており、必要なデータを適宜格納する。グループユーザ管理システム３０は、ＰＣ等の演算装置にソフトウエアをインストールすることで構成されており、内部モジュールとして、管理モジュール４０、管理操作ＵＩ（ユーザインタフェース）５０、アプリケーションインタフェース５２を含んでいる。管理モジュール４０は、管理の中心をなすモジュールであり、ユーザ管理部４２、グループ管理部４４，アクセス権リスト処理部４６の各構成を含んでいる。ユーザ管理部４２は、利用するユーザについてのユーザ情報を管理し、グループ管理部４４は、ユーザが属するグループのグループ情報を管理し、アクセス権リスト処理部４６は、アプリケーション６０に対するアクセス権を管理している。管理操作ＵＩ５０は、管理モジュール４０を操作するためのユーザインタフェースであり、運用オペレータ１００によって操作される。また、アプリケーションインタフェース５２は、アプリケーション６０が管理モジュール４０を利用するためのインタフェースである。
【００２８】
アプリケーション６０は、サービス提供システム１０が提供するサービス群であり、ここでは、文章送受信６２、ファイル共用６４、ＸＸアプリケーション６６の各サービスが含まれている。各サービスの機能は、それぞれ別のハードウエアによって実現されていてもよいし、同一のハードウエアによって実現されていてもよい。また、各サービスを実現するハードウエアは、グループユーザ管理システム３０と同じであっても別であってもよい。
【００２９】
ＰＣ８０には、ＷＥＢ＿Ｂｒｏｗｓｅｒ８２がインストールされている。このＷＥＢ＿Ｂｒｏｗｓｅｒ８２を通じてサービス提供システム１０にログインすることで、一般ユーザ１１０はアプリケーション６０の各サービスを利用することができる。同様にして、一般ユーザ１１０は、ＭＦＰ９０にインストールされているＷＥＢ＿Ｂｒｏｗｓｅｒ９２を通じてアプリケーション６０の各サービスを利用することができる。一般ユーザ１１０は、パスワード（ＰＷＤ）１１２、ＰＫＩ認証局により発行された証明書１１４、指紋などを利用した生体認証情報１１６などを保持しており、サービス提供システム１０へのログイン時に入力を行う。
【００３０】
ここで、図２〜図４を用いて、管理モジュール４０が管理する各情報について説明する。
【００３１】
図２は、ユーザ管理部４２が管理するユーザ情報リスト２００の例を示している。ユーザ情報リスト２００には、ユーザ情報２１０，２１２，．．．が含まれ、各ユーザについての付帯情報が格納されている。この様子をユーザ情報２１０を例に挙げて詳細に説明する。
【００３２】
ユーザ情報２１０には、付帯情報を格納する項目としてユーザＩＤ２２０、名前２２２、ユーザ属性２２４、信用情報２２６、所属グループＩＤリスト２２８が設けられている。ユーザＩＤ２２０は、各ユーザを識別するために生成時にシステムで割り当てられるユニークな記号であり、ここでは「Ｕ−０１２３」の値が格納されている。また、名前２２２には、このユーザの実名である「○×一郎」が登録されている。ユーザ属性２２４の項目には、このユーザの所属先等の情報として、所属２４０（本社総務部）、メールアドレス２４２（marubatu@xx.jp）、住所２４４（〒０１２東京・・・）、電話番号２４６（０１２０−９１−２３３）が記されている。また、信用情報２２６は、認証に用いられるデータである。各ユーザには複数の認証方式に対応した複数の信用情報を割り当てることが可能であり、ここでは、ＰＫＩに基づくデジタル証明書としてのクラス１証明書２５０、生体情報としての指紋認証情報２５２、及びパスワード２５４が登録されている。所属グループＩＤリスト２２８には、このユーザが属するグループを示す情報が格納されている。ユーザは複数のグループに所属することが可能であり、ここでは、ＧＰ０１２４，ＧＰ０１３１，ＧＰ０１３２のグループＩＤが登録されている。
【００３３】
図３は、グループ管理部４４が管理するグループ情報リスト３００の例を示している。グループ情報リスト３００には、グループ情報３１０，３１２，．．．が含まれ、各グループについての付帯情報が格納されている。この様子をグループ情報３１０を例に挙げて詳細に説明する。
【００３４】
グループ情報３１０には、付帯情報を格納する項目としてグループＩＤ３２０、グループ名称３２２、グループ属性３２４、アクセス権リスト３２６、認証方式３２８が設けられている。グループＩＤ３２０は、各グループを識別するため生成時にシステムにより割り当てられるユニークな記号であり、ここでは「ＧＰ０１２３」の値が格納されている。また、グループ名称３２２には、このグループに含まれるユーザを特徴づける名称である「総務部管理者」が登録されている。グループ属性３２４の項目には、このグループの連絡先等の情報として、会社名３４０（○×株式会社）、部署名３４２（本社総務部）、代表者３４４（総務一郎）、メールアドレス３４６（marubatu@xx.jp）、住所３４８（〒０１２東京・・・）、電話番号３５０（０１２０−９１−２３３）が記されている。
【００３５】
アクセス権リスト３２６には、このグループに属するユーザが使用可能なアプリケーション名であるファイル共用アプリケーション３６０、文書送受信アプリケーション３７０の二つの項目が設けられている。ファイル共用アプリケーション３６０は、ファイルを複数のユーザ間で共用するためのアプリケーションであり、文書送受信アプリケーション３７０は、文書を他のユーザに送信したり他のユーザから受信したりするためのアプリケーションである。アクセス権リスト３２６には、さらに、このアプリケーションで実際に使用できる機能が登録されている。すなわち、このグループに属するユーザは、ファイル共用アプリケーション３６０におけるグループ共有ファイルの更新３６２、グループ共有ファイルの参照３６４、フォルダの更新３６６の機能と、文書送受信アプリケーション３７０における送信設定の更新３７２、送信宛先表の更新３７４の機能に対するアクセス権を取得することができる。認証方式３２８の項目には、このグループに属するユーザの認証に利用できる認証方式名が登録されている。ここでは、クラス１証明書３８０と指紋認証３８２の方式が登録されている。つまり、ユーザがこのグループの一員としてアプリケーションを利用する場合には、クラス１証明書３８０または指紋認証３８２の方式による認証を受けなければならない。
【００３６】
設定した各グループに対しては、複数のユーザを登録することができる。このユーザ登録は、図２に示したユーザ情報リスト２００の対応するユーザ情報に、このグループＩＤを登録することで行われる。
【００３７】
図４は、アクセス権リスト処理部４６が管理するアクセス権リスト４００の例を示している。システム内では必要に応じてリストのコピーを使用することができるが、そうした場合にコピー元として信頼すべきリスト（マスター）がアクセス権リスト処理部４６に管理されるこのアクセス権リスト４００である。アクセス権リスト４００には、各アプリケーションについてのアクセス権が定義されており、ここでは、ファイル共用アプリケーション４１０、文書送受信アプリケーション４１２、機密文書管理アプリケーション４１４、．．．の項目が設けられている。これらには、それぞれアプリケーション機能リスト４２０，４２２，４２４，．．．が設けられている。アプリケーション機能リスト４２０，４２２，４２４，．．．には機能識別子が登録されている。機能識別子は、対応するアプリケーションに設けられている機能を定義するものであり、また、これらのアプリケーションに対するアクセス権の設定単位を定義するものでもある。
【００３８】
例えば、ファイル共用アプリケーション４１０のアプリケーション機能リスト４２０には、グループ共有ファイルの参照４３０、グループ共有ファイルの更新４３２、ユーザ個人ファイルの参照４３４、ユーザ個人ファイルの更新４３６、フォルダの一覧４３８、フォルダの更新４４０の各機能識別子が登録され、アクセス権を設定できるように構成されている。また、文書送受信アプリケーション４１２のアプリケーション機能リスト４２２には、受信フォルダの参照４５０、文書の送信４５２、文書の受信４５４、送信宛先表の参照４５６、送信宛先表の更新４５８、送信設定の更新４６０の機能識別子が登録されている。
【００３９】
図１に示した運用オペレータ（管理者）１００は、管理操作ＵＩ５０を介して以上に示したユーザ情報リスト２００、グループ情報リスト３００、アクセス権リスト４００を操作することができる。操作の例としては、ユーザの生成、削除及び属性変更、グループの生成、削除及び属性変更、グループへのユーザの登録及び登録解除、グループのアクセス権の設定及び変更、並びに、グループの認証方式の設定等を挙げることができる。
【００４０】
また、アプリケーションインタフェース５２は、ユーザ情報リスト２００、グループ情報リスト３００、アクセス権リスト４００をアプリケーション６０に利用させる役割を果たしている。すなわち、アプリケーション６０に属する各アプリケーションは、ユーザの所属グループの参照、グループで認められている認証方式の参照、信用情報に基づくユーザの認証などを行うことができる。
【００４１】
これにより、アプリケーション６０に属する各アプリケーションは、例えば、ユーザがいずれかのアプリケーションに対してアクセスを求めた場合に、ユーザ情報リスト２００、グループ情報リスト３００、アクセス権リスト４００を利用して処理を行うことができる。具体的には、利用可能なグループをユーザに提示して選択させる処理、選択されたグループで利用可能な認証方式をユーザに提示する処理、ユーザＩＤ及び指定された認証方式に基づく認証情報が入力された場合の認証処理、及び認証が成功した場合に対応するアクセス権を取得してユーザの操作を制限する処理などを行うことができる。
【００４２】
次に、サービス提供システム１０の設定手順を図５を用いて説明する。図５は、図１に示したサービス提供システム１０において、運用オペレータ１００の指示に基づく設定がなされる過程を示したフローチャートである。
【００４３】
アプリケーションが新たに追加されたり変更されたりした場合（Ｓ１０）、運用オペレータは、管理操作ＵＩを操作して、アクセス権リストを修正する。すなわち、アプリケーション識別子の登録、変更や、そのアプリケーション機能リストに対する機能識別子の登録や変更を行う（Ｓ１２）。例えば、ファイル共用アプリケーションを登録した場合には、識別子としてのそのアプリケーション名と、機能識別子としてのグループ共用ファイルの参照、グループ共有ファイルの更新、フォルダの一覧、フォルダの更新、ユーザ個人ファイルの参照、ユーザ個人ファイルの更新等の項目を登録する。
【００４４】
運用オペレータは、必要に応じてグループの作成を行う（Ｓ１４）。グループには、作成時にグループ名称がつけられるとともに、システムが識別するために自動採番されたグループＩＤが付与される。また、実社会の利用者の所属団体等がグループ属性として登録される。さらに、グループには、アクセス権リストが設けられ（Ｓ１６）、グループで利用できるアプリケーションとその機能識別子が設定され他、使用可能な認証方式の設定も行われる。
【００４５】
運用オペレータは、必要に応じてユーザの登録を行う。登録はユーザ情報リストに当該ユーザの項目を設けることで行われる。登録にあたっては、一意に識別可能なユーザＩＤが割り当てられる他、名前や所属先等の属性を入力して記憶させることができる。
【００４６】
ユーザに対しては、必要に応じてグループ登録が行われる（Ｓ１８）。登録は、ユーザ情報リストにおける当該ユーザの項目に、所属させたいグループのグループＩＤを登録することで行われる。既にあるグループに属しているユーザを別のグループに所属させることもできる。
【００４７】
なお、運用オペレータは、必要に応じて、グループの設定変更をすることができる。変更は、例えば、グループ名称、グループ属性、アクセス権リスト、認証方式等に関して行われる。また、運用オペレータは、グループの削除や、ユーザのグループ登録の解除なども行うことができる。
【００４８】
続いて、サービス提供システム１０の利用手順を図６を用いて説明する。図６は、図１に示したサービス提供システム１０に対し、ユーザがＷＥＢ＿Ｂｒｏｗｓｅｒを通じてアプリケーションを利用する過程を示すフローチャートである。
【００４９】
アプリケーションを利用しようとするユーザは、端末装置のＷＥＢ＿Ｂｒｏｗｓｅｒからそのアプリケーションにアクセスし、利用開始画面を表示させる（Ｓ５０）。アプリケーションは、利用開始要求を受けると、アプリケーションインタフェースを介してグループユーザ管理システムから自身のアプリケーションに対するアクセス権が設定されたグループ一覧を取得する（Ｓ５２）。そして、アプリケーションは、利用可能なグループの一覧を利用開始画面に表示する（Ｓ５４）。このとき、グループに割り当てられた認証方式も付帯情報として同時に表示する。
【００５０】
利用者は、自身が利用したいグループの認証方式を選択し、その認証情報等を入力する（Ｓ５６）。アプリケーションは、管理操作ＵＩを操作して、アクセス権リストを修正する。アプリケーションでは、ユーザＩＤ、グループＩＤ及び認証情報の入力が行われたか否かを判定する（Ｓ５８）。そして、入力が行われない場合には、入力待ちを続けたり、一定時間経過後にエラー表示を行うなどの処理を行う。一方、入力が行われた場合には、アプリケーションシステムを通じてグループユーザ管理システムに認証が依頼される。グループユーザ管理システムは入力されたユーザＩＤ、グループＩＤ及び認証情報を、管理しているユーザＩＤ、グループＩＤ及び信用情報と比較して認証を実施し（Ｓ６０）、その結果をアプリケーションに返す。アプリケーションでは、認証に成功したか否かが評価され（Ｓ６２）、失敗していた場合には利用者にアプリケーションが利用できないことを通知して処理を終了する。一方、認証に成功した場合には、ユーザのログインが認められる。アプリケーションは、認証に用いたグループに与えられているアクセス権についての情報を、アプリケーションインタフェースを通じてグループユーザ管理システムから取得する（Ｓ６４）。そして、アプリケーションは、取得したアクセス権の情報を端末装置に表示する（Ｓ６６）。ユーザは、この付与されたアクセス権に基づいて、アプリケーションを利用することができる（Ｓ６８）。
【００５１】
ここで、ユーザがＷＥＢ＿Ｂｒｏｗｓｅｒからアプリケーションにログインする様子を、図７と図８を用いて説明する。
【００５２】
図７は、ファイル共用アプリケーションを利用開始画面（ログイン画面）５００を表す図である。画面上には、ログインに使用するグループを設定するためのグループ設定欄５０２が設けられている。このグループ設定欄は、候補を表示させるためのタブ５０４と、タブ５０４をクリックした際に複数のグループ名称を表示する候補表示欄５０６、候補表示欄５０６で選択されたグループ名称が表示されるグループ決定欄５０８が設けられている。図示した例では、候補表示欄５０６には、「協力会社」、「一般社員」「文書管理Ｇ」「機密Ｇ」の各グループ名称が表示されている。そして、「文書管理Ｇ」が選択されていることに対応して、グループ決定欄５０８には「文書管理Ｇ」が表示されている。
【００５３】
画面上には、さらに、グループ決定欄５０８に表示されたグループが認める認証方式を表示する認証方式表示欄５１０が設けられている。図示した例では、「文書管理Ｇ」において認められている「社員証明書」と「共通アカウントパスワード」が表示されている。ユーザは、ここに表示された認証方式も参照しながらグループを決定し、認証実行ボタン５１２をクリックする。これにより、決定されたグループの下でのログインが行われることになる。
【００５４】
図８は、図７に示した利用開始画面５００における操作手順を示すフローチャートである。ユーザがＷＥＢ＿Ｂｒｏｗｓｅｒからファイル共用アプリケーションにログインすると、ファイル共用アプリケーションからは図７に示した利用開始画面の表示が行われる。そして、ユーザがタブ５０４をクリックすると、このファイル共用アプリケーションにおけるアクセス権限を有したグループが候補表示欄５０６にリスト表示される（Ｓ８０）。ユーザは、表示された候補をクリックすることで、ログインに使用するグループを選択する（Ｓ８２）。この際、選択したグループが認める認証方式が認証方式表示欄５１０に表示される（Ｓ８４）。ユーザは、この認証方式を確認し、適当であると判断した場合には、認証実行ボタン５１２をクリックする。これにより、認証情報を入力する認証段階へと画面表示が切り替わる（Ｓ８６）。
【００５５】
このように、同じアプリケーションを利用する場合でも、複数のグループの中からログインに用いるグループを選択する機構を設けた場合、従来にはない利点が得られる。
【００５６】
例えば、従来においては、認証方式がグループ毎に設定されることはなく、グループ毎に異なる認証方式を採用することはできなかった。したがって、ユーザが、あるグループの代わりに別のグループの下でログインしようとすると、通常、同一の認証方式で認証情報が異なる入力（例えば値が異なるパスワード入力）が求められていた。このため、複数のグループに属するユーザには、類似した複数の認証情報を記憶することが要求される。この場合にユーザの記憶を補助する仕組みを設けることは、認証情報を示唆せざるをえないため、秘密保持の観点からは好ましくない。
【００５７】
一方、上述の態様では、例えば、グループ毎に認証方式を変更する（例えば、パスワードと証明書）態様をとることができる。この場合には、ログイン時にユーザに対し使用可能な認証方式を明示することで、ユーザの記憶を補助することができ、しかも認証情報の安全性を損ねることはない。
【００５８】
また、ログイン時にユーザに対し使用可能な認証方式を明示することは、設定変更が頻繁になされるようなシステムにおいて、ユーザの混乱を防止することにもなり有効である。通常、グループに対するアクセス権の設定は、アプリケーションとは独立に管理者により設定される。このため、一般ユーザは、設定変更を把握することが困難になりがちである。しかし、上述のように、ログインにあたってアプリケーションがグループユーザー管理モジュールに対し最新の設定を問い合わせることで、ユーザに対し常に最新の情報を提供することが可能となる。
【００５９】
さらに、上述の態様を採用した場合には、アプリケーションの構成も簡略化することが可能となる。すなわち、グループユーザー管理システムが、グルーブに対応付けられた認証方式を管理しているため、個々のアプリケーションが個別に、グループとグループに必要な認証管理の対応を管理する必要がない。これは、ソフトウエア設計の観点からも、管理者による設定作業の観点からも好ましい態様である。
【図面の簡単な説明】
【００６０】
【図１】本実施の形態に係るシステム構成例を示す概略図である。
【図２】ユーザ情報リストの例を示す図である。
【図３】グループ情報リストの例を示す図である。
【図４】アクセス権リストの例を示す図である。
【図５】サービス提供システムの設定手順を示すフローチャートである。
【図６】サービス提供システムの利用手順を示すフローチャートである。
【図７】利用開始画面の例を示す模式図である。
【図８】利用開始画面に係る動作手順を示すフローチャートである。
【符号の説明】
【００６１】
１０  サービス提供システム、２０  データベース、３０  グループユーザ管理システム、４０  管理モジュール、４２  ユーザ管理部、４４  グループ管理部、４６  アクセス権リスト処理部、５０  管理操作ＵＩ、５２  アプリケーションインタフェース、６０  アプリケーション、６２  文章送受信、６４  ファイル共用、６６  ＸＸアプリケーション、７０  ネットワーク、１００  操作オペレータ、１１０  一般ユーザ、１１４  証明書、１１６  生体認証情報、２００  ユーザ情報リスト、３００  グループ情報リスト、４００  アクセス権リスト、５００  利用開始画面、５０２  グループ設定欄、５０４  タブ、５０６  候補表示欄、５０８  グループ決定欄、５１０  認証方式表示欄、５１２  認証実行ボタン。
【図１】
2006202180.tif 000003
【図２】
2006202180.tif 000004
【図３】
2006202180.tif 000005
【図４】
2006202180.tif 000006
【図５】
2006202180.tif 000007
【図６】
2006202180.tif 000008
【図７】
2006202180.tif 000009
【図８】
2006202180.tif 000010