(57)【要約】【課題】  セキュリティ上の問題を回避し、かつ、動的な通信プロファイルの更新を実現する。【解決手段】  システム管理者が管理装置（ＰＳＰＭ３）に対し、パーソナルファイアウォールソフトウェアやＩＰｓｅｃソフトウェアを利用するために必要な通信プロファイルを事前に登録し、管理装置が、端末装置１から、当該端末装置１が電源を投入した時点で送信される端末識別情報に基づき端末認証を行い、その結果に応じた通信プロファイルを配布し設定を促す。【選択図】  図１
2006261937.tif 000002
【特許請求の範囲】
【請求項１】
端末装置と、管理装置と、前記管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成る、通信プロファイル自動配布設定システムであって、
前記管理装置は、システム管理者により事前登録された前記通信プロファイルを管理し、前記端末装置からの接続要求を受信して端末識別を行い、前記端末装置に対し前記識別結果に応じた揮発性の通信プロファイルを暗号化して配布し、
前記端末装置は、前記管理サーバと通信を行い、前記管理サーバから配布された揮発性の通信プロファイルに従い前記サーバとの間で通信を行うことを特徴とする通信プロファイル自動配布設定システム。
【請求項２】
前記管理装置は、
前記端末装置との間で一定間隔にて通信を行い、前記端末装置の前記サーバへのアクセス許可内容が変化している場合には、更新された前記通信プロファイルを暗号化して配布することを特徴とする請求項１に記載の通信プロファイル自動配布設定システム。
【請求項３】
前記通信プロファイルは、
前記端末装置の初期起動状態で通信が許可されたネットワークへの宛先情報が記述されたデフォルト通信プロファイルと、前記端末識別後に通信可能なネットワークへの宛先情報が記述されたダイナミック通信プロファイルとから成り、
前記管理装置は、
前記端末装置から前記初期起動状態における接続要求を受信して前記デフォルト通信プロファイルを配信し、通常使用状態における接続要求を受信して前記ダイナミック通信プロファイルを配信することを特徴とする請求項１または２に記載の通信プロファイル自動配布設定システム。
【請求項４】
端末装置と、管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成り、前記端末装置の初期起動状態で通信が許可されたネットワークへの宛先情報が記述されたデフォルト通信プロファイルと、前記端末装置の識別後に通信可能なネットワークへの宛先情報が記述されたダイナミック通信プロファイルとを管理する前記管理装置であって、
前記端末装置から端末識別情報を取得し、デフォルト通信プロファイルを前記端末識別情報で暗号化して保管する記憶手段と、
前記端末装置の初期起動状態において前記デフォルト通信プロファイルの取得要求を受信し、前記端末識別情報で暗号化したデフォルト通信プロファイルを送信するデフォルト通信プロファイル送信手段と、
前記デフォルト通信プロファイルの設定確認を行った前記端末装置から前記端末識別情報を暗号化した値をパラメータとして持つ認証要求を受信し、前記パラメータを前記端末識別情報で復号して認証を行い、当該認証が成功した時に該当のダイナミック通信プロファイルを送信するダイナミック通信プロファイル送信手段と、
を備えたことを特徴とする管理装置。
【請求項５】
端末装置と、管理装置と、前記管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成るコンピュータネットワークシステムにおける通信プロファイルの自動配布設定方法であって、
前記管理装置が、システム管理者により事前登録された前記通信プロファイルを管理し、前記端末装置からの接続要求を受信して端末識別を行うステップと、
前記管理装置が、前記端末装置に対し前記識別結果に応じた揮発性の通信プロファイルを暗号化して配布するステップと
前記端末装置が、前記管理サーバと通信を行い前記管理サーバから配布された揮発性の通信プロファイルに従い前記サーバとの間で通信を行うステップと、
を有することを特徴とする通信プロファイルの自動配布設定方法。
【請求項６】
端末装置と、管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成り、前記端末装置の初期起動状態で通信が許可されたネットワークへの宛先情報が記述されたデフォルト通信プロファイルと、前記端末装置の識別後に通信可能なネットワークへの宛先情報が記述されたダイナミック通信プロファイルとを管理する前記管理装置に用いられるプログラムであって、
前記端末装置から端末識別情報を取得し、デフォルト通信プロファイルを前記端末識別情報で暗号化して保管する処理と、
前記端末装置の初期起動状態において前記デフォルト通信プロファイルの取得要求を受信し、前記端末識別情報で暗号化したデフォルト通信プロファイルを送信する処理と、
前記デフォルト通信プロファイルの設定確認を行った前記端末装置から前記端末識別情報を暗号化した値をパラメータとして持つ認証要求を受信し、前記パラメータを前記端末識別情報で復号して認証を行い、当該認証が成功した時に該当のダイナミック通信プロファイルを送信する処理と、
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、パーソナルファイアーウォールソフトウェアやＩＰＳｅｃソフトウェアを利用する際に用いて好適な、通信プロファイル自動配布設定システムおよび方法ならびに管理装置、プログラムに関する。
【背景技術】
【０００２】
クライアントサーバシステムにおいて、クライアントＰＣ（Personal Computer）に設定される通信設定情報（以下、通信プロファイルという）は、ユーザがクライアントＰＣ毎に設定項目を手入力するか、もしくは、管理サーバによって電子ファイル化された通信プロファイルを、電子媒体などを利用して設定するクライアントＰＣに持込み、手作業でそのファイル化された通信プロファイルを展開することで、その通信設定に従う通信を可能にしている。
【０００３】
例えば、ＩＰｓｅｃ（Security Architecture for Internet Protocol）ソフトウェアの通信プロファイルの設定管理方法については、非特許文献１に、パーソナルファイアウォールの通信プロファイルの設定管理方法については、非特許文献２に開示されている。
【非特許文献１】「ＩＰｓｅｃ」、２００５年３月５日閲覧＜インターネットＵＲＬ＞http://www.atmarkit.co.jp/fsecurity/hybooks/win_server_sec3/wss01-01.html
【非特許文献２】「パーソナルfirewall」、２００５年３月５日閲覧＜インターネットＵＲＬ＞http://pcweb.mycom.co.jp/special/2002/ipsec/007.html
【発明の開示】
【発明が解決しようとする課題】
【０００４】
上記した従来における通信プロファイルの設定管理方法によれば、手入力する通信プロファイルの内容もしくは電子ファイル化された通信プロファイルは、他のクライアントＰＣに設定され、もしくは展開されることも考えられる。従って、システム管理者によって許可されていないクライアントＰＣであっても、ネットワークもしくはホストにアクセスが可能になり、この場合、情報漏洩、不正利用等、セキュリティ上の問題が生じる。
また、設定されたクライアントＰＣの通信プロファイルを変更する際にも、上記の作業を行わない限りシステム管理者の意思通りに設定変更されず、即応性に欠ける問題があった。
【０００５】
本発明は上記事情に基づいてなされたものであり、システム管理者が、パーソナルファイアウォールソフトウェアやＩＰｓｅｃソフトウェア等を利用するために必要な通信プロファイルを事前に管理装置に対して登録し、管理装置が、端末装置から、当該端末装置が電源を投入した時点で送られる端末識別情報に基づき端末認証を行い、その結果に応じた通信プロファイルを配付しその設定を促すことで、セキュリティ上の問題を回避し、かつ、動的な通信プロファイルの更新を実現した、通信プロファイル自動配布設定システムおよび方法ならびに管理装置、プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記した課題を解決するために本発明は、端末装置と、管理装置と、前記管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成る、通信プロファイル自動配布設定システムであって、前記管理装置は、システム管理者により事前登録された前記通信プロファイルを管理し、前記端末装置からの接続要求を受信して端末識別を行い、前記端末装置に対し前記識別結果に応じた揮発性の通信プロファイルを暗号化して配布し、前記端末装置は、前記管理サーバと通信を行い、前記管理サーバから配布された揮発性の通信プロファイルに従い前記サーバとの間で通信を行うことを特徴とする。
【０００７】
また、本発明において、前記管理装置は、前記端末装置との間で一定間隔にて通信を行い、前記端末装置の前記サーバへのアクセス許可内容が変化している場合には、更新された前記通信プロファイルを暗号化して配布することを特徴とする。
【０００８】
また、本発明において、前記通信プロファイルは、前記端末装置の初期起動状態で通信が許可されたネットワークへの宛先情報が記述されたデフォルト通信プロファイルと、前記端末識別後に通信可能なネットワークへの宛先情報が記述されたダイナミック通信プロファイルとから成り、前記管理装置は、前記端末装置から前記初期起動状態における接続要求を受信して前記デフォルト通信プロファイルを配信し、通常使用状態における接続要求を受信して前記ダイナミック通信プロファイルを配信することを特徴とする。
【０００９】
また、本発明は、端末装置と、管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成り、前記端末装置の初期起動状態で通信が許可されたネットワークへの宛先情報が記述されたデフォルト通信プロファイルと、前記端末装置の識別後に通信可能なネットワークへの宛先情報が記述されたダイナミック通信プロファイルとを管理する前記管理装置であって、前記端末装置から端末識別情報を取得し、デフォルト通信プロファイルを前記端末識別情報で暗号化して保管する記憶手段と、前記端末装置の初期起動状態において前記デフォルト通信プロファイルの取得要求を受信し、前記端末識別情報で暗号化したデフォルト通信プロファイルを送信するデフォルト通信プロファイル送信手段と、前記デフォルト通信プロファイルの設定確認を行った前記端末装置から前記端末識別情報を暗号化した値をパラメータとして持つ認証要求を受信し、前記パラメータを前記端末識別情報で復号して認証を行い、当該認証が成功した時に該当のダイナミック通信プロファイルを送信するダイナミック通信プロファイル送信手段と、を備えたことを特徴とする。
【００１０】
また、本発明は、端末装置と、管理装置と、前記管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成るコンピュータネットワークシステムにおける通信プロファイルの自動配布設定方法であって、前記管理装置が、システム管理者により事前登録された前記通信プロファイルを管理し、前記端末装置からの接続要求を受信して端末識別を行うステップと、前記管理装置が、前記端末装置に対し前記識別結果に応じた揮発性の通信プロファイルを暗号化して配布するステップと前記端末装置が、前記管理サーバと通信を行い前記管理サーバから配布された揮発性の通信プロファイルに従い前記サーバとの間で通信を行うステップと、を有することを特徴とする。
【００１１】
また、本発明は、端末装置と、管理装置による端末認証の結果アクセスが許可されるサーバとがネットワークを介して接続されて成り、前記端末装置の初期起動状態で通信が許可されたネットワークへの宛先情報が記述されたデフォルト通信プロファイルと、前記端末装置の識別後に通信可能なネットワークへの宛先情報が記述されたダイナミック通信プロファイルとを管理する前記管理装置に用いられるプログラムであって、前記端末装置から端末識別情報を取得し、デフォルト通信プロファイルを前記端末識別情報で暗号化して保管する処理と、前記端末装置の初期起動状態において前記デフォルト通信プロファイルの取得要求を受信し、前記端末識別情報で暗号化したデフォルト通信プロファイルを送信する処理と、前記デフォルト通信プロファイルの設定確認を行った前記端末装置から前記端末識別情報を暗号化した値をパラメータとして持つ認証要求を受信し、前記パラメータを前記端末識別情報で復号して認証を行い、当該認証が成功した時に該当のダイナミック通信プロファイルを送信する処理と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１２】
本発明によれば、管理装置が、端末装置を判別してその端末装置に適した通信プロファイルを配付し、端末装置がその通信プロファイルを設定することで所望の相手と通信を行うことができる。このとき管理装置によって配付される通信プロファイルは暗号化され、該当の端末装置のみでしか復号化されないため、第３者は利用、閲覧、改変のいずれも不可能である。また、管理装置によって配布され端末装置によって設定される通信プロファイルは、端末装置が内蔵する揮発性メモリに展開され、電源断によりその通信プロファイルは消滅するため、セキュリティ対策が万全なものとなる。
また、本発明によれば、ユーザまたはシステム管理者は、手作業で通信プロファイルの設定を行う必要が無くなるため、煩雑な設定作業から開放され負担が軽減される。更に、システム管理者の判断により、端末装置に設定された通信プロファイルの内容も即時に変更が可能であり、柔軟性の高いシステム構築が可能となる。
【発明を実施するための最良の形態】
【００１３】
図１は、本発明実施形態にかかわる通信プロファイル自動配布設定システムのシステム構成例を示す図である。
本発明実施形態にかかわる通信プロファイル自動配布設定システムは、端末装置１と、社内サーバセグメント２と、ポリシー管理サーバ３（ＰＳＰＭ）と、ＩＰｓｅｃ終端装置４と、ハブ５で構成される。
【００１４】
端末装置１は、ＰＳＰＭ３との間で通信を行い、ＰＳＰＭ３から配布された揮発性の通信プロファイルに従い社内サーバセグメント２との間で通信を行う。ここで、「揮発性の通信プロファイル」とは、揮発性のメモリ上のみに展開されるファイルのことをいう。また、揮発性のメモリ上のみへの展開は端末装置にインストールされる専用のプログラムにより行われる。
端末装置１上には通信制御エージェント（以下、ＰＳクライアントという）がインストールされ、このＰＳクライアントは、ＩＰｓｅｃによるＶＰＮ（Virtual Private Network）、およびパーソナルファイアウォールのルールを動的に切り替えることにより、端末装置１のアクセス制御を行うエージェントソフトウェアである。詳細は後述する。
【００１５】
一方、ＰＳＰＭ３は、請求項に示す管理装置として機能し、ここでは、システム管理者により事前に登録された通信プロファイルを管理し、端末装置１からの接続要求を受信して端末識別を行い、端末装置１に対しその識別結果に応じた揮発性の通信プロファイルを暗号化して配布する。
なお、ここで、通信プロファイルとは、ＰＳクライアントが通信制御に用いる、ＩＰｓｅｃによるＶＰＮの通信プロファイル、およびパーソナルファイアウォールのフィルタリングルールをいう。
【００１６】
通信プロファイルは、ＰＳＰＭ３上で管理され、端末装置１上で動作するＰＳクライアントからの要求に基づき、端末装置１へ暗号化された形式で配布される。
また、この通信プロファイルは、デフォルト通信プロファイルとダイナミック通信プロファイルの２種類存在し、前者は、端末装置１の初期起動状態で通信が許可されたネットワークへの宛先情報が記述され、後者は、端末識別後に通信可能なネットワークへの宛先情報が記述されている。ＰＳＰＭ３は、端末装置１から初期起動状態における接続要求を受信してデフォルト通信プロファイルを配信し、通常使用状態における接続要求を受信してダイナミック通信プロファイルを配信する。
【００１７】
なお、ＩＰｓｅｃ終端装置４は、上記した通信プロファイルに基づき、端末装置１からのＩＰｓｅｃ通信を終端するゲートウェイであり、また、第三者からのアクセスにより防御したいネットワークの入り口に設置する。ＰＳＰＭ３により許可を受けた端末装置１のみアクセスが可能である。
【００１８】
上記した本発明実施形態の構成において、端末装置１上で動作するＰＳクライアントは、その端末装置１の起動時、もしくはネットワークに接続された時点でダイナミック通信プロファイルを用いＰＳＰＭ３に対して認証要求を行い、ＰＳＰＭ３の認証結果に適したＩＰｓｅｃおよびパーソナルファイアウォールのダイナミック通信プロファイルをＰＳＰＭ３から取得する。そして、端末装置１に内蔵された揮発性メモリに展開して、社内サーバセグメント２に対するアクセス制御を行う。
【００１９】
ダイナミック通信プロファイルを展開した以降は、ＰＳＰＭ３によって定期的に発行されるポーリングに対する応答により、自身の接続状態をＰＳＰＳＭ３に通知する。なお、ダイナミック通信プロファイルの展開は、ＰＳＰＭ３との認証結果に対するダイナミック通信プロファイル以外にも、通信プロファイルの変更があれば、システム管理者がＰＳＰＭ３にダイナミック通信プロファイルの変更登録処理を実施した時点で即座に端末装置１に変更されたダイナミック通信プロファイルを展開させることができる。詳細は後述する。
【００２０】
図２は、本発明実施形態にかかわる管理装置の内部構成のうち、本発明と関係する部分を機能展開して示したブロック図である。
本発明実施形態にかかわる管理装置（ＰＳＰＭ３）は、端末識別情報受信部３１と、デフォルト通信プロファイル要求受信部３２と、デフォルト通信プロファイル送信部３３と、ダイナミック通信プロファイル要求受信部３４と、ダイナミック通信プロファイル送信部３５と、デフォルト通信プロファイル３６と、ダイナミック通信プロファイル３７で構成される。なお、デフォルト通信プロファイル３６と、ダイナミック通信プロファイル３７は、ＤＢ（Data Base）形式で記憶装置（図示せず）に格納される。
【００２１】
端末識別情報受信部３１は、端末装置１から端末識別情報（以下、端末識別ＩＤという）を取得し、システム管理者により定義されるデフォルト通信プロファイル、およびダイナミック通信プロファイルを、それぞれ受信した端末識別ＩＤで暗号化してデフォルト通信プロファイル３６、ダイナミック通信プロファイル３７に保管する機能を持つ。
また、デフォルト通信プロファイル要求受信部３２は、端末装置１の初期起動状態においてデフォルト通信プロファイルの取得要求を受信する機能を持ち、デフォルト通信プロファイル送信部３３は、端末識別情報で暗号化したデフォルト通信プロファイルを送信する機能を持つ。更に、ダイナミック通信プロファイル要求受信部３４は、デフォルト通信プロファイルの設定確認を行った端末装置１から端末識別ＩＤを端末識別ＩＤで暗号化した値をパラメータとして持つ認証要求を受信する機能を持ち、ダイナミック通信プロファイル更新部３５は、そのパラメータを端末識別ＩＤで復号して認証を行い、当該認証が成功した時に該当のダイナミック通信プロファイルを送信する機能を持つ。
【００２２】
図３〜図５は、本発明実施形態にかかわる通信プロファイル自動配布設定システムの動作を説明するために引用したフローチャートであり、事前準備動作（図３）、デフォルト通信プロファイル取得に至る動作（図４）、ダイナミック通信プロファイル取得に至る動作（図５）、のそれぞれの流れを示す。
以下、図３〜図５を参照しながら、図１、図２に示す本発明実施形態の動作について詳細に説明する。
【００２３】
本発明における通信プロファイル自動配布設定システムを利用する際の事前準備における動作は、図３のフローチャートに示されるように、まず、端末装置１が自身の端末識別ＩＤを取得することにより開始される（Ｓ３１）。そして、その端末識別ＩＤをメール等によりＰＳＰＭ３に送信する。
なお、端末識別ＩＤは、あらかじめ端末装置１にインストール済みの端末識別ＩＤ生成ツール（図示せず）により生成される。ここで、端末識別ＩＤ生成ツールとは、ＰＳＰＭ３が端末装置１の端末認証を行う際に用いる、端末個々にユニークな端末識別ＩＤを生成するソフトウェアである。端末識別ＩＤ生成ツールは、ユーザが手動で起動可能な実行形式のファイルで提供される。
また、端末識別ＩＤとして、端末装置１に内蔵されるハードディスクの装置番号やそのハッシュ値を利用してもよい。この番号を利用するのは、端末装置１内で交換される可能性の低い装置の１つだからである。
【００２４】
一方、ＰＳＰＭ３は、デフォルト通信プロファイル（ここでは認証ＶＰＮ情報）を、先に端末識別情報受信部３２を介して受信した端末識別ＩＤで暗号化し、Ｗｅｂ（World Wide Web）サーバ上に保存しておくものとする（Ｓ３２）。この際に、端末識別ＩＤから得られるハッシュ値、端末識別ＩＤ、通信プロファイルが関連付けられてデータベースに記憶される。なお、上記したＰＳクライアントも端末装置１にインストールされ、再起動することによって上記の準備作業が終了する（Ｓ３４、Ｓ３５）。
上記のように、暗号化されたデフォルト通信プロファイルは、ＰＳＰＭ３内にあるＷｅｂ機能にリンクされ、利用する端末装置１からのブラウザ接続によりデフォルト通信プロファイルのダウンロード配信が可能である。その際、設定により通常のＨＴＴＰ（Hyper Text Transfer Protocol）通信で配布することもできるが、ＨＴＴＰＳ（Hyper Text Transfer Protocol Security）通信での配布も可能である。
【００２５】
次に、図４を参照しながら、デフォルトＶＰＮ情報取得に至る本発明実施形態にかかわる通信プロファイル自動配布設定システムの動作の流れについて説明する。ここでは、端末装置１においてＰＳＰＭ３に対するアクセスは、デフォルト通信プロファイルを用いることで可能になる。
デフォルト通信プロファイルは、端末装置１にＰＳエージェントをインストールした後、ＰＳＰＭ３にブラウザを用いＷｅｂアクセスすることで入手できる。具体的に、端末装置１から発行されるデフォルトＶＰＮ情報要求は、この端末装置１の端末識別ＩＤのハッシュ値とともに（Ｓ４１）、ＰＳＰＭ３のデファルト通信プロファイル要求受信部３１で受信され、デフォルト通信プロファイル送信部３２がこれに応答して、端末識別ＩＤのハッシュ値として、デフォルト通信プロファイル３６を参照し、相当するデフォルトＶＰＮ情報を送信する。ここでは、先に受信した端末識別ＩＤで暗号化したデフォルトＶＰＮ情報を送信する。
【００２６】
一方、端末装置１は、受信したデフォルトＶＰＮ情報をＰＳクライアントに初期設定を行うことで通常時の通信が可能になる。なお、デフォルトＶＰＮ情報が複数存在する場合は通信先に応じた情報を選択することとする。
【００２７】
ＰＳＰＭ３から配布されるデフォルト通信プロファルおよび後述するダイナミックプロファイルは、端末識別ＩＤにより暗号化されており、端末装置は、内蔵の揮発性メモリに展開する際に端末識別ＩＤを取得し、復号化された場合のみデフォルト通信定義情報あるいはダイナミック通信プロファイルを展開する。
このため、端末装置１にインストールされるＰＳクライアントを含むプログラムには、（１）デフォルト通信プロファイルおよびダイナミック通信プロファイルに基づきＩＰｓｅｃ、パーソナルファイアウォールを実行するための機能、（２）端末識別ＩＤを生成するための機能、（３）ＰＳＰＭ３と認証およびポーリンによる通信を行う機能、（４）ＰＳＰＭ３からのダイナミック通信プロファイルを内蔵する揮発性メモリに展開する機能、（５）暗号化されたデフォルト通信プロファィルおよびダイナミック通信プロファイルを端末識別ＩＤに基づき復号化する機能、（６）複数のデフォルト通信プロファイルが存在する場合、その通信手段に応じて1つのデフォルト通信プロファイルを選択する機能、（７）ネットワークの接続状態を監視する機能、（８）これら各機能のログ収集機能が必要とされる。
【００２８】
次に、図５に示すフローチャートを参照しながら、端末認証からダイナミック通信プロファイル取得に至る、本発明実施形態にかかわる通信プロファイル自動配布設定システムの動作について説明する。
端末装置１は、まず電源投入と共にＰＳクライアントを起動する（Ｓ５１、Ｓ５２）。そして、ネットワークの接続確認を行い（Ｓ５３）、更に、先に取得済みのデフォルト通信プロファイルの設定確認を行う（Ｓ５４）。未だ設定がなされていなかった場合には初期設定指示を行い（Ｓ５５）、初期設定を促す。
【００２９】
デフォルト通信プロファイル設定確認後、端末装置１は、暗号化されたデフォルト通信プロファイルを自身の端末識別ＩＤで復号化し、当該復号化されたデフォルト通信プロファイルを内蔵の揮発性メモリに展開する。そして、ＰＳＰＭ３に対し、端末識別ＩＤのハッシュ値、端末識別ＩＤを端末識別ＩＤで暗号化した値をパラメータとして添付した認証要求（ダイナミック通信プロファイル要求）を発行する（Ｓ５６）。なお、上記したいずれかの処理が失敗した場合は、否認用のデフォルト通信プロファイルを設定する（Ｓ５７）。
認証要求をダイナミック通信プロファイル要求受信部３４で受信したＰＳＰＭ３は、ダイナミック通信プロファイル送信部３５において認証処理を実行し（Ｓ６１）、具体的に、端末識別ＩＤのハッシュ値を検索し、それに関連付けられたおよび端末識別ＩＤを抽出し、端末識別ＩＤを端末識別ＩＤで暗号化した値を抽出した端末識別ＩＤを用いて復号化し、その結果が抽出された端末識別ＩＤと合致したときに、相当のＤｙｎ（ダイナミック）通信プロファイルを抽出して送信する（Ｓ６２）。ここで、認証が成立しなかった場合は、否認用のＤｙｎ（ダイナミック）通信プロファイルを送信する（Ｓ６３）。
【００３０】
ダイナミック通信プロファイル、もしくは否認用のＤｙｎ（ダイナミック）通信プロファイルを受信した端末装置１は、それらを端末識別ＩＤで復号化して揮発性のメモリに展開して設定を行う（Ｓ５８）。そして、正常終了したことを図示せぬ表示装置に表示する（Ｓ５９）。
【００３１】
ここで上記した認証処理について補足説明を行う。ＰＳＰＭ３は、端末装置１から、端末識別ＩＤをハッシュした値と、端末識別ＩＤを端末識別ＩＤで暗号化した値を受領し、当該受信した端末識別ＩＤをハッシュした値で、ＰＳエージェントが持つエージェント情報データベース（図示せず）を検索して該当の端末識別ＩＤを抽出する。そして、抽出された端末識別ＩＤで送られた「端末識別ＩＤを端末識別ＩＤで暗号化した値」を復号化し、その結果が抽出された端末識別ＩＤと合致すれば認証が成立したことになる。上記で、結果が抽出された端末識別ＩＤと不一致であれば認証が不成立になる。
【００３２】
認証が成立すれば、上記したエージェント情報より該当の暗号化されたダイナミック通信定義情報をダイナミック通信プロファイルに含めて端末装置１に対して送信する。この時、ＰＳＰＭ３は、その該当のダイナミック通信プロファイルに、利用時間帯、特定の曜日および期限の指定等、スケジュール情報が付加されていれば、スケジュールチェックを行い、その結果が不一致であれば利用期限外用のダイナミック通信定義情報をダイナミック通信プロファイルとして端末装置１に対して送信することも可能である。また、認証が不成立の場合は、エージェント情報から該当のダイナミック通信プロファイルを要求のあった端末装置１に対して送信する。この時に送信するダイナミック通信プロファイルは、平文のまま送信される。
【００３３】
一方、ダイナミック通信プロファイルの設定変更は以下のようにして実施される。端末装置１とＰＳＰＭ３は一定間隔で常時ポーリングによる通信を行っていることは上記したとおりである。
ＰＳＰＭ３はこのポーリングにより、端末装置１のネットワークの接続状態を知ることができ、それに伴い、動的な通信プロファイルの設定変更を行うことができる。ポーリングによりダイナミック通信プロファイルの設定変更が必要になったことを検出したＰＳＰＭ３は、相当のダイナミック通信プロファイルを選択して暗号化処理を施し、上記同様、端末装置１へ送信して復号化および設定を促す。
なお、現行のダイナミック通信プロファイルを変更する場合はシステム管理者が情報設定画面で設定を変更する必要がある。その際、ポーリングを受信している端末装置１に対し、即座に変更されたダイナミック通信プロファイルを送付することができる。
【００３４】
以上説明のように本発明によれば、ユーザもしくは第３者が通信プロファイルを知り得ることが無く、このため、情報漏洩、不正利用は無くなり、セキュリティ対応が可能になる。また、ユーザまたはシステム管理者は、手作業で通信プロファイルの設定を行う必要が無くなるため、煩雑な設定作業から開放され負担が軽減される。また、端末装置のそれそれが環境に適した通信設定が可能であり、通信プロファイルはシステム管理者が承認した端末装置にのみ配付することができるため、承認されていない端末装置からの不正アクセスやウィルス感染を防止できる。
【００３５】
更に、通信プロファイルの設定は、システム管理者が承認した端末装置の認証だけでなく、利用するユーザのＩＤやパスワードのような知的認証や、ＩＣカード、ＵＳＢ（Universal Serial Bus）トークンなどのデバイス認証を組合せることにより、本人性の認証も行うことが可能である。
更に、システム管理者がネットワーク環境に即応した各端末装置もしくは個人毎の通信プロファイルの変更も即座に行うことができる。また、配布を行う通信プロファイルは、利用できる時間帯や特定の曜日、期間などの内容も設定することが可能であるため、きめ細やかなネットワーク運用管理が可能である。このことにより、端末装置が接続可能なサーバやホストのアクセス制限を一元管理することが可能となり、運用のための作業軽減が実現できる。
本システムの応用として、社内システムにて、ネットワークにウィルスが蔓延しており緊急にアクセス制限をかけたい場合などに、通信制御サーバより現在適用している通信制御エージェントのダイナミック通信定義情報を強制的に変更することも可能である。
【００３６】
なお、図２に示す端末識別情報受信部３１、デフォルト通信プロファイル要求受信部３２、デフォルト通信プロファイル送信部３３、ダイナミック通信プロファイル要求受信部３４、ダイナミック通信プロファイル送信部３５、デフォルト通信プロファイル３６、ダイナミック通信プロファイル３７のそれぞれで実行される手順をコンピュータ読取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって本発明の管理装置が実現されるものとする。ここでいうコンピュータシステムとは、ＯＳ（Operating System）や周辺機器等のハードウェアを含むものである。
【００３７】
また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【００３８】
以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【図面の簡単な説明】
【００３９】
【図１】本発明実施形態にかかわる通信プロファイル自動配布設定システムのシステム構成例を示す図である。
【図２】本発明実施形態にかかわる管理装置の内部構成のうち、本発明と関係する部分を機能展開して示したブロック図である。
【図３】本発明実施形態にかかわる通信プロファイル自動配布設定システムの動作を説明するために引用したフローチャートである。
【図４】本発明実施形態にかかわる通信プロファイル自動配布設定システムの動作を説明するために引用したフローチャートである。
【図５】本発明実施形態にかかわる通信プロファイル自動配布設定システムの動作を説明するために引用したフローチャートである。
【符号の説明】
【００４０】
１…端末装置、２…社内サーバセグメント、３…ポリシー管理サーバＰＳＰＭ（管理装置）、４…ＩＰｓｅｃ終端装置、５…ハブ、３１…端末識別情報受信部、３２…デフォルト通信プロファイル要求受信部、３３…デフォルト通信プロファイル送信部、３４…ダイナミック通信プロファイル要求受信部、３５…ダイナミック通信プロファイル送信部、３６…デフォルト通信プロファイル、３７…ダイナミック通信プロファイル
【図１】
2006261937.tif 000003
【図２】
2006261937.tif 000004
【図３】
2006261937.tif 000005
【図４】
2006261937.tif 000006
【図５】
2006261937.tif 000007