(57)【要約】【課題】  資源に対するアクセス制御をより柔軟に行うことのできるアクセス制御装置、アクセス制御方法、アクセス制御プログラム及び記録媒体、並びにアクセス制御データ及び関係記述データの提供を目的とする。【解決手段】  所定の資源に対するアクセス制御を行うアクセス制御装置であって、前記所定の資源にアクセスする主体間の所定の関係が定義された主体関係定義情報と、前記所定の関係に応じて前記所定の資源に対するアクセス権限が定義された間接アクセス制御情報と、アクセス権限の評価対象とされた主体と前記所定の関係を有する関係主体を、前記主体関係定義情報に基づいて検索し、検索された前記関係主体との前記所定の関係と前記間接アクセス制御情報とに基づいて、前記評価対象とされた主体のアクセス権限を判定する間接アクセス権限判定手段とを有することにより上記課題を解決する。【選択図】  図５
2006323535.tif 000002
【特許請求の範囲】
【請求項１】
所定の資源に対するアクセス制御を行うアクセス制御装置であって、
前記所定の資源にアクセスする主体間の所定の関係が定義された主体関係定義情報と、
前記所定の関係に応じて前記所定の資源に対するアクセス権限が定義された間接アクセス制御情報と、
アクセス権限の評価対象とされた主体と前記所定の関係を有する関係主体を、前記主体関係定義情報に基づいて検索し、検索された前記関係主体との前記所定の関係と前記間接アクセス制御情報とに基づいて、前記評価対象とされた主体のアクセス権限を判定する間接アクセス権限判定手段とを有することを特徴とするアクセス制御装置。
【請求項２】
前記主体ごと又は前記主体の分類に応じて前記所定の資源に対するアクセス権限が定義された直接アクセス制御情報を有し、
前記間接アクセス権限判定手段は、前記関係主体に対して前記直接アクセス制御情報によって判定されるアクセス権限に基づいて、前記評価対象とされた主体のアクセス権限を判定することを特徴とする請求項１記載のアクセス制御装置。
【請求項３】
前記間接アクセス権限判定手段は、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を前記評価対象とされた主体に対して許可することを特徴とする請求項２記載のアクセス制御装置。
【請求項４】
前記間接アクセス権限判定手段は、前記間接アクセス制御情報において、前記関係主体との前記所定の関係に対するアクセス権限として、当該関係主体と同一のアクセス権限を認めることが定義されている場合に、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を前記評価対象とされた主体に対して許可することを特徴とする請求項３記載のアクセス制御装置。
【請求項５】
前記評価対象とされた主体のアクセス権限を前記直接アクセス制御情報に基づいて判定する直接アクセス権限判定手段を有し、
前記間接アクセス権限判定手段は、前記直接アクセス権限判定手段による判定結果が否定的な場合に、前記評価対象とされた主体のアクセス権限を判定することを特徴とする請求項２乃至４いずれか一項記載のアクセス制御装置。
【請求項６】
前記間接アクセス権限判定手段は、前記関係主体に対するアクセス権限を前記直接アクセス権限判定手段に問い合わせることにより、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を認識することを特徴とする請求項５記載のアクセス制御装置。
【請求項７】
前記主体関係定義情報には、前記主体が属する組織構成に基づく前記主体間の関係が定義されていることを特徴とする請求項１乃至６いずれか一項記載のアクセス制御装置。
【請求項８】
前記組織構成に基づく前記主体間の関係は、上司と部下との関係、秘書とその対象者との関係、又は権限代行者とその対象者との関係の少なくともいずれか一つの関係を含むことを特徴とする請求項７記載のアクセス制御装置。
【請求項９】
前記主体関係定義情報には、前記主体の座席位置に基づく前記主体間の関係が定義されていることを特徴とする請求項１乃至８いずれか一項記載のアクセス制御装置。
【請求項１０】
前記座席位置に基づく前記主体間の関係は、座席が同一の区域内に属しているか否かに関する関係であることを特徴とする請求項９記載のアクセス制御装置。
【請求項１１】
暗号化された電子データの識別情報と該電子データの復号鍵との保存要求に応じて、前記電子データの識別情報と前記復号鍵とを管理する電子データ属性管理手段を有し、
前記電子データの識別情報と、前記主体の識別情報と、アクセス種別とを含む当該電子データに対するアクセス要求に応じ、前記間接アクセス権限判定手段によって前記アクセス種別によって識別されるアクセスの権限の有無を判定し、当該アクセス権限が認められる場合は、当該電子データの復号鍵を返信することを特徴とする請求項１乃至１０いずれか一項記載のアクセス制御装置。
【請求項１２】
所定の資源に対するアクセス制御を行うアクセス制御装置におけるアクセス制御方法であって、
アクセス権限の評価対象とされた主体と前記所定の関係を有する関係主体を、前記所定の資源にアクセスする主体間の所定の関係が定義された主体関係定義情報に基づいて検索する関係主体検索手順と、
前記関係主体検索手順において検索された前記関係主体との前記所定の関係と、前記所定の関係に応じて前記所定の資源に対するアクセス権限が定義された間接アクセス制御情報とに基づいて、前記評価対象とされた主体のアクセス権限を判定する間接アクセス権限判定手順とを有することを特徴とするアクセス制御方法。
【請求項１３】
前記間接アクセス権限判定手順は、前記主体ごと又は前記主体の分類に応じて前記所定の資源に対するアクセス権限が定義された直接アクセス制御情報によって前記関係主体に対して判定されるアクセス権限に基づいて、前記評価対象とされた主体のアクセス権限を判定することを特徴とする請求項１２記載のアクセス制御方法。
【請求項１４】
前記間接アクセス権限判定手順は、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を前記評価対象とされた主体に対して許可することを特徴とする請求項１３記載のアクセス制御方法。
【請求項１５】
前記間接アクセス権限判定手順は、前記間接アクセス制御情報において、前記関係主体との前記所定の関係に対するアクセス権限として、当該関係主体と同一のアクセス権限を認めることが定義されている場合に、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を前記評価対象とされた主体に対して許可することを特徴とする請求項１４記載のアクセス制御方法。
【請求項１６】
前記評価対象とされた主体のアクセス権限を前記直接アクセス制御情報に基づいて判定する直接アクセス権限判定手順を有し、
前記間接アクセス権限判定手順は、前記直接アクセス権限判定手順における判定結果が否定的な場合に、前記評価対象とされた主体のアクセス権限を判定することを特徴とする請求項１３乃至１５いずれか一項記載のアクセス制御方法。
【請求項１７】
前記間接アクセス権限判定手順は、前記関係主体に対するアクセス権限を前記直接アクセス権限判定手順に問い合わせることにより、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を認識することを特徴とする請求項１６記載のアクセス制御方法。
【請求項１８】
前記主体関係定義情報には、前記主体が属する組織構成に基づく前記主体間の関係が定義されていることを特徴とする請求項１２乃至１７いずれか一項記載のアクセス制御方法。
【請求項１９】
前記組織構成に基づく前記主体間の関係は、上司と部下との関係、秘書とその対象者との関係、又は権限代行者とその対象者との関係の少なくともいずれか一つの関係を含むことを特徴とする請求項１８記載のアクセス制御方法。
【請求項２０】
前記主体関係定義情報には、前記主体の座席位置に基づく前記主体間の関係が定義されていることを特徴とする請求項１２乃至１９いずれか一項記載のアクセス制御方法。
【請求項２１】
前記座席位置に基づく前記主体間の関係は、座席が同一の区域内に属しているか否かに関する関係であることを特徴とする請求項２０記載のアクセス制御方法。
【請求項２２】
暗号化された電子データの識別情報と該電子データの復号鍵との保存要求に応じて、前記電子データの識別情報と前記復号鍵とを管理する電子データ属性管理手順を有し、
前記電子データの識別情報と、前記主体の識別情報と、アクセス種別とを含む当該電子データに対するアクセス要求に応じ、前記間接アクセス権限判定手順において前記アクセス種別によって識別されるアクセスの権限の有無を判定し、当該アクセス権限が認められる場合は、当該電子データの復号鍵を返信することを特徴とする請求項１２乃至２１いずれか一項記載のアクセス制御方法。
【請求項２３】
コンピュータに所定の資源に対するアクセス制御を実行させるアクセス制御プログラムであって、
アクセス権限の評価対象とされた主体と前記所定の関係を有する関係主体を、前記所定の資源にアクセスする主体間の所定の関係が定義された主体関係定義情報に基づいて検索する関係主体検索手順と、
前記関係主体検索手順において検索された前記関係主体との前記所定の関係と、前記所定の関係に応じて前記所定の資源に対するアクセス権限が定義された間接アクセス制御情報とに基づいて、前記評価対象とされた主体のアクセス権限を判定する間接アクセス権限判定手順とを有することを特徴とするアクセス制御プログラム。
【請求項２４】
前記間接アクセス権限判定手順は、前記主体ごと又は前記主体の分類に応じて前記所定の資源に対するアクセス権限が定義された直接アクセス制御情報によって前記関係主体に対して判定されるアクセス権限に基づいて、前記評価対象とされた主体のアクセス権限を判定することを特徴とする請求項２３記載のアクセス制御プログラム。
【請求項２５】
前記間接アクセス権限判定手順は、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を前記評価対象とされた主体に対して許可することを特徴とする請求項２４記載のアクセス制御プログラム。
【請求項２６】
前記間接アクセス権限判定手順は、前記間接アクセス制御情報において、前記関係主体との前記所定の関係に対するアクセス権限として、当該関係主体と同一のアクセス権限を認めることが定義されている場合に、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を前記評価対象とされた主体に対して許可することを特徴とする請求項２５記載のアクセス制御プログラム。
【請求項２７】
前記評価対象とされた主体のアクセス権限を前記直接アクセス制御情報に基づいて判定する直接アクセス権限判定手順を有し、
前記間接アクセス権限判定手順は、前記直接アクセス権限判定手順における判定結果が否定的な場合に、前記評価対象とされた主体のアクセス権限を判定することを特徴とする請求項２４至２６いずれか一項記載のアクセス制御プログラム。
【請求項２８】
前記間接アクセス権限判定手順は、前記関係主体に対するアクセス権限を前記直接アクセス権限判定手順に問い合わせることにより、前記関係主体に対して前記直接アクセス制御情報によって許可されるアクセス権限を認識することを特徴とする請求項２７記載のアクセス制御プログラム。
【請求項２９】
暗号化された電子データの識別情報と該電子データの復号鍵との保存要求に応じて、前記電子データの識別情報と前記復号鍵とを管理する電子データ属性管理手順を有し、
前記電子データの識別情報と、前記主体の識別情報と、アクセス種別とを含む当該電子データに対するアクセス要求に応じ、前記間接アクセス権限判定手順において前記アクセス種別によって識別されるアクセスの権限の有無を判定し、当該アクセス権限が認められる場合は、当該電子データの復号鍵を返信することを特徴とする請求項２３乃至２８いずれか一項記載のアクセス制御プログラム。
【請求項３０】
アクセスの対象とされる資源と前記資源に対してアクセスを行う主体との組み合わせに応じてアクセス権の許否が定義されたアクセス制御データであって、
前記アクセスを行う主体を特定するための情報として他の主体との関係を識別する関係識別情報が用いられていることを特徴とするアクセス制御データ。
【請求項３１】
前記アクセス権の許否として、前記他の主体に対して認められるアクセス権を認める旨が記述されていることを特徴とする請求項３０記載のアクセス制御データ。
【請求項３２】
所定の資源に対してアクセスする主体間の関係が定義された関係記述データであって、
前記主体ごとに、前記主体が他の主体との間に有する関係を識別するための関係識別項目と、
前記関係識別項目に係る関係の相手側となる主体を識別するための関係対象識別項目とを有することを特徴とする関係記述データ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御装置、アクセス制御方法、アクセス制御プログラム及び記録媒体、並びにアクセス制御データ及び関係記述データ関し、特に所定の資源に対するアクセス制御を行うアクセス制御装置、アクセス制御方法、アクセス制御プログラム及び記録媒体、並びにアクセス制御データ及び関係記述データに関する。
【背景技術】
【０００２】
コンピュータ技術の発達により、各種の情報を電子的な文書として保存及び管理することが一般的となっている。しかしながら、電子文書は、紙文書に比較してコピーが容易である等、セキュリティに対する脆弱性を有している。そこで、従来、電子文書のセキュリティを確保するための技術が各種提案されている。
【０００３】
例えば、アクセス制御ポリシーを記述するフォーマットとしては，ＯＡＳＩＳ（Organization for the Advancement of Structured Information Standards）が業界標準規格としてまとめているＸＡＣＭＬ（eXtensible Access Control Markup Language）２．０が挙げられる（例えば、非特許文献１）。ＸＡＣＭＬを使用すると，どのようなドキュメントにはどのようなアクセスを許可するのか、更に許可をする際に責務（Ｏｂｌｉｇａｔｉｏｎ）を課すようなアクセス制御ポリシーを記述することができる。但し、ＸＡＣＭＬは、アクセス制御ポリシーの記述フォーマットを定めたものであり、それを具体的にどのように利用してセキュリティを確保するのかについては定められていない。
【０００４】
機密文書ファイルを配布する際等に電子文書の複製を制限する技術としてＤＲＭ（Digital Rights Management）技術がある。具体的な実施形態は様々であるが、例えば、配布文書を暗号化しておき、正当なユーザのみが復号鍵を入手することができるようにすることで、機密文書の配布による情報の漏洩を防止しているものもある。
【０００５】
その他にも各種のセキュリティ技術が提案されており（例えば、特許文献１）、電子文書のセキュリティに対する関心の高さを窺わせる。
【特許文献１】特許第３５４６７８７号公報
【非特許文献１】http://www.oasis-open.org/committees/tc_home.php?wg_abbrev=xacml
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、企業等の組織の中での実際の運用を考えると、文書とユーザ又はグループとの組み合わせごとに定義されたアクセス制御情報、すなわち、「誰に、どの文書の閲覧を許可する」といったような定義内容に基づいて文書に対するアクセスの許否判定を行うようなシステムでは運用しにくいケースがある。
【０００７】
例えば、ある部門Ａから部門Ｂの担当者ｂ１に機密文書を配布したときに、担当者ｂ１はその機密文書の内容を自分の上司ｂ２や同僚ｂ３に見せて相談したり報告したりする必要があるであろう。しかし、部門Ａから配布されてきた機密文書に、担当者ｂ１の閲覧権限が付与されていない場合、担当者ｂ１は配布元の部門Ａに対して、上司ｂ２や同僚ｂ３の閲覧権限も付与してもらうように依頼する必要が生じる。そうすると部門Ａ側は、改めて機密文書に上司ｂ２や同僚ｂ３の閲覧権限をつけて配布し直さなければならない。
【０００８】
このような手続きは部門Ａにとっても担当者ｂ１にとっても非常に煩雑であり、セキュリティ確保のための作業コストとしても許容し難いものがある。だからといって、担当者ｂ１が勝手に関係のない人に閲覧権限を与えることができてしまうと文書の横流しが可能になってしまうという問題がある。
【０００９】
部門Ａ側から見れば、担当者ｂ１に機密文書の横流しをされると困るが、その担当者ｂ１の上司が誰なのかを予め把握するのは困難である。同様に、普段担当者ｂ１が同僚の誰と相談して仕事を進めるのか把握するのは困難であるため、誰に権限を与えておくべきか決めることができないという問題がある。
【００１０】
本発明は、上記の点に鑑みてなされたものであって、資源に対するアクセス制御をより柔軟に行うことのできるアクセス制御装置、アクセス制御方法、アクセス制御プログラム及び記録媒体、並びにアクセス制御データ及び関係記述データの提供を目的とする。
【課題を解決するための手段】
【００１１】
そこで上記課題を解決するため、本発明は、所定の資源に対するアクセス制御を行うアクセス制御装置であって、前記所定の資源にアクセスする主体間の所定の関係が定義された主体関係定義情報と、前記所定の関係に応じて前記所定の資源に対するアクセス権限が定義された間接アクセス制御情報と、アクセス権限の評価対象とされた主体と前記所定の関係を有する関係主体を、前記主体関係定義情報に基づいて検索し、検索された前記関係主体との前記所定の関係と前記間接アクセス制御情報とに基づいて、前記評価対象とされた主体のアクセス権限を判定する間接アクセス権限判定手段とを有することを特徴とする。
【００１２】
また、上記課題を解決するため、本発明は、上記アクセス制御装置におけるアクセス制御方法、前記アクセス制御方法をコンピュータに実行させるためのアクセス制御プログラム、又は前記アクセス制御プログラムを記録した記録媒体としてもよい。
【発明の効果】
【００１３】
本発明によれば、資源に対するアクセス制御をより柔軟に行うことのできるアクセス制御装置、アクセス制御方法、アクセス制御プログラム及び記録媒体を提供することができる。
【発明を実施するための最良の形態】
【００１４】
以下、図面に基づいて本発明の実施の形態を説明する。本発明の実施の形態では、所定の資源として電子的な文書を、所定の資源にアクセスする主体としてユーザを具体例として説明する。但し、所定の資源は、電子的な文書に限られず、例えば、ネットワークに接続された各種資源（記憶装置、コンピュータ、又はプリンタ等のネットワーク機器）であってもよい。また、所定の資源にアクセスする主体は、ユーザ（アカウント名）によって識別するのではなく、ＰＣ（Personal Computer）等のホスト名等によって識別してもよい。
【００１５】
図１は、本発明の実施の形態における文書アクセス制御システムの概略構成例を示す図である。図１において、文書アクセス制御システム１は、ＬＡＮ（Local Area Network）又はインターネット等のネットワーク（有線又は無線の別は問わない）によって相互に接続されたポリシーサーバ１０と、文書保護装置２０と、文書アクセス装置３０とより構成されている。
【００１６】
文書保護装置２０は、配布元ユーザ５１が他のユーザ（例えば、配布先ユーザ５２）に配布するための文書を保護するための処理（以下「文書保護処理」という。）を実行するプログラム（文書保護プログラム）が実装されているＰＣ（Personal Computer）等のコンピュータである。文書保護プログラムによって文書保護処理が施された文書を以下「保護済み文書」という。
【００１７】
文書アクセス装置３０は、配布元ユーザ５１より配布された保護済み文書に対して編集、表示、及び印刷等のアクセスを行うプログラム（文書アクセスプログラム）が実装されているＰＣ（Personal Computer）等のコンピュータである。
【００１８】
ポリシーサーバ１０は、保護済み文書に対するアクセス制御を行うＰＣ（Personal Computer）等のコンピュータである。
【００１９】
図１の文書保護装置２０において、配布元ユーザ５１が、オリジナル文書６０と、オリジナル文書６０に付与するセキュリティ属性とを文書保護プログラムに入力すると（Ｓ１１）、文書保護プログラムは、オリジナル文書に対して文書保護処理を施す。ここで、セキュリティ属性とは，例えば，オリジナル文書６０が所属するドメイン、文書のカテゴリ、機密レベル、そしてその文書の関係者等、文書に関する属性のうちポリシーサーバ１０がアクセス制御を行う際に参照される情報である．
図２は、文書保護処理を説明するための図である。図２に示されるように、文書保護プログラムは、暗号化／復号化キーを生成し，その暗号化キーを使ってオリジナル文書６０を暗号化し、暗号化文書６０ａを生成する。更に、オリジナル文書６０を特定するための一意な識別情報として文書ＩＤを生成し、その文書ＩＤを暗号化文書６０ａに付加することにより保護済み文書６１を生成する。
【００２０】
図１に戻る。文書保護プログラムは、文書保護処理の後、文書ＩＤ、復号化キー及びセキュリティ属性の登録をポリシーサーバ１０に要求し（Ｓ１２）、生成された保護済み文書６１をユーザに渡す（Ｓ１３）。ここで、「ユーザに渡す」とは、例えば、生成された保護済み文書６１をユーザに認識可能な記憶領域に配置することをいう。
【００２１】
なお、ポリシーサーバ１０においては、登録要求されたセキュリティ属性は、セキュリティ属性ＤＢ１１に登録され、保持される。
【００２２】
図３は、セキュリティ属性ＤＢを構成するセキュリティ属性テーブルの例を示す図である。図３においては、セキュリティ属性テーブル１１１に、文書ＩＤ、復号化キー、ドメイン、文書カテゴリ、機密レベル、及び関係者／対象者が登録された例が示されている。ここで、関係者／対象者とは、例えば、オリジナル文書６１の作成者や配布者元ユーザ５１（両者が同一の場合もある）等が該当する。
【００２３】
以上で、保護済み文書を生成するまでのプロセスが完了する。これによって、配布元ユーザ５１は、保護済み文書６１を他のユーザに配布することができる。
【００２４】
続いて、保護済み文書６１の配布を受けた配布先ユーザ５２が、保護済み文書６１にアクセスしようとした際に実行させる処理について説明する。
【００２５】
配布先ユーザ５２は、文書アクセス装置３０において、文書アクセスプログラムにユーザを認証するための認証情報（例えばユーザ名及びパスワード）と、保護済み文書６１ファイルとを入力して保護済み文書６１の表示や印刷を指示する（Ｓ２１）。
【００２６】
文書アクセスプログラムは，入力された保護済み文書６１に付加されている文書ＩＤを取得し、取得された文書ＩＤと、入力されたユーザ認証情報と、要求されたアクセスの種別（表示や印刷）とをポリシーサーバ１０に送信する（Ｓ２２）。ポリシーサーバ１０は、アクセス種別によって指定されたアクセスについての許否判定を行い、その判定結果と、責務と、更に、アクセスが許可される場合は復号化キーとを文書アクセスプログラムに送信する。なお、責務とは、例えば、ログの採取等、セキュリティ確保の観点より文書にアクセスする際に実行が課される事項をいう。また、ポリシーサーバ１０におけるアクセスの許否判定の詳細については後述する。
【００２７】
文書アクセスプログラムは、判定結果が不許可だった場合、配布先ユーザ５２には要求されたアクセスは許可されないことを通知して処理を終了する。一方、アクセスが許可された場合、文書アクセスプログラムは受信した復号化キーを用いて保護済み文書６１の中の暗号化文書６０ａを復号してオリジナル文書６０とする。更に、文書アクセスプログラムは、復号されたオリジナル文書６０をレンダリングする等して要求されたアクセス処理（例えば、表示や印刷）を行う。また、責務が課されている場合は、文書アクセスプログラムは、アクセス処理の実行に伴って、その責務を実行する。
【００２８】
以下、図１において説明した、保護済み文書５１にアクセスする際の処理に実行される処理について更に詳しく説明する。
【００２９】
まず、文書アクセス装置３０の詳細について説明する。図４は、文書アクセス装置の機能構成例を示す図である。図４において、文書アクセス装置３０には、文書アクセスプログラム３１が実装されている。文書アクセスプログラム３１は、アクセス執行部３１１、文書ＩＤ取得部３１２、アクセス制御判断要求部３１３、データ復号部３１４、レンダリング部３１５、表示指示部３１６、印刷指示部３１７、及び責務執行部３１８等より構成される。
【００３０】
アクセス執行部３１１は、配布先ユーザ５２から認証情報（ユーザ名、パスワード等）と保護済み文書６１、アクセス種別（文書を開く場合には「open」、印刷する場合には「print」等、要求するアクセス（操作）を識別するための文字列）とを含むアクセス要求を受け付ける。アクセス執行部３１１は、文書ＩＤ取得部３１２に保護済み文書６１より文書ＩＤを取得させ、アクセス制御判断要求部３１３に文書ＩＤ、認証情報、及びアクセス種別を含むアクセス制御の判断要求を出力する。アクセス制御判断要求部３１３はその判断要求をポリシーサーバ１０に送信し、アクセスの許否判定の結果、復号化キー、及び責務等を含む判断結果の返信を受ける。アクセス制御判断要求部３１３は、返信された情報をアクセス執行部３１１に出力する。
【００３１】
アクセス執行部３１１は、判断結果が「不許可」であれば、配布先ユーザ５２に権限が無いことを通知して処理を終了する。判断結果が「許可」だった場合、アクセス執行部３１１は、判断結果に含まれる責務を責務執行部３１８に執行させ、執行結果を受け取る。この際、責務の執行結果が失敗であった場合には責務を果たせなかったとしてアクセス執行部３１１はユーザにエラーを提示して処理を終了する。
【００３２】
責務が執行できた場合、アクセス執行部３１１は、ポリシーサーバ１０からの判断結果に含まれている復号化キーと保護済み文書６１をとデータ復号部３１４に出力して復号データ（すなわち、オリジナル文書６０）を受け取る。アクセス執行部３１１は、その復号データをレンダリング部３１５に出力してレンダリングデータを受け取り、そのレンダリングデータをアクセス種別に応じて表示指示部３１６又は印刷指示部３１７に出力する。表示指示部３１６は、レンダリングデータを表示イメージに変換し、その表示イメージをディスプレイ等の表示装置に表示させる。印刷指示部３１７は、レンダリングデータをＰＤＬ等による印刷データに変換し、その印刷データをプリンタに印刷させる。
【００３３】
このようにして文書アクセスプログラム３１は、ポリシーサーバ１０によるアクセス制御判断結果に基づいて保護済み文書６１に対するアクセス制御を行う。
【００３４】
続いて、ポリシーサーバ１０の詳細について説明する。図５は、第一の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【００３５】
図５において、ポリシーサーバ１０は、上述したセキュリティ属性ＤＢ１１の他、ポリシーサーバプログラム１２、ユーザ管理ＤＢ１３、ポリシーデータ１４、間接ポリシーデータ１５、ユーザ関係記述データＡ１６、及びユーザ関係記述データＢ１７等を有する。
【００３６】
ポリシーサーバプログラム１２は、文書に対するアクセス制御判断処理をポリシーサーバ１０に実行させるプログラムであり、ポリシーサーバ主制御部１２１、ユーザ認証部１２２、セキュリティ属性管理部１２３、ポリシー評価部１２４、及び間接ポリシー評価部１２５等より構成される。
【００３７】
ポリシーサーバ主制御部１２１は、文書アクセスプログラム３１からアクセス制御要求（認証情報、文書ＩＤ、アクセス種別）を受信する。ポリシーサーバ主制御部１２１は、受信した認証情報をユーザ認証部１２２に出力してユーザ（配布先ユーザ５２）の認証を行わせ、認証結果として認証の成否と、認証に成功した場合にはユーザ情報とを受け取る。認証に失敗した場合、ポリシーサーバ主制御部１２１は、文書アクセスプログラム３１にエラーを返信して処理を終了させる。
【００３８】
認証に成功した場合、ポリシーサーバ主制御部１２１は文書ＩＤをセキュリティ属性管理部１２３に出力してその文書ＩＤに対応するセキュリティ属性情報（文書カテゴリ、機密レベル、関係者リスト、ドメイン等）をセキュリティ属性ＤＢ１１より取得させる。ポリシーサーバ主制御部１２１は、ユーザ情報、セキュリティ属性情報、アクセス種別を含むアクセス権限の評価要求をポリシー評価部１２４に出力することにより、アクセス種別によって識別されるアクセスの許否判定を行わる。
【００３９】
ポリシー評価部１２４は、ユーザ情報、セキュリティ属性情報、アクセス種別をポリシーデータ１４に当てはめることにより、アクセスの許否判定を行い、許否判定の結果として、アクセスの許否及び責務を含む評価結果を出力する。ここで、ポリシーデータ１５は、ユーザ又はユーザの分類に応じて文書に対するアクセス制御情報が定義されているデータである。
【００４０】
図６、図７及び図８は、第一の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。便宜上一つのポリシーデータ１４におけるポリシー記述が三つの図面に分割されて表示されている。なお、図６等のポリシー記述１４１は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）を参考にＸＭＬ（eXtensible Markup Language）によって記述した例である。但し、必ずしも、ＸＡＣＭＬやＸＭＬの記述形式に従うことは必要とされない。
【００４１】
図６等に示されるように、一つのポリシー記述１４１は、一つのＰｏｌｉｃｙ要素（＜Ｐｏｌｉｃｙ＞タグで囲まれた要素）をルート要素として有する。Ｐｏｌｉｃｙ要素は、一つのドメインに対するアクセス制御情報を規定する要素であり、一つ以上のＲｕｌｅ要素を子要素として含む。図６等においては、Ｐｏｌｉｃｙ要素は、Ｒｕｌｅ要素ｒ１、ｒ２及びｒ３の三つのＲｕｌｅ要素を含んでいる。
【００４２】
各Ｒｕｌｅ要素は、ＤｏｃＣａｔｅｇｏｒｙ要素、Ｓｅｎｓｉｔｉｖｉｔｙ要素、及び一つ以上のＡｃｃｅｓｓＣｏｎｔｒｏｌ要素を子要素として含み、文書の分類及び文書の操作主体（すなわち、ユーザ）の分類との組み合わせに応じて許可されるアクセス種別（操作）及び責務を規定する。例えば、Ｒｕｌｅ要素ｒ１は、ＤｏｃＣａｔｅｇｏｒｙ要素ｄ１と、Ｓｅｎｓｉｔｉｖｉｔｙ要素ｓ１と、ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ１１及びａ１２とを含んでいる。
【００４３】
ＤｏｃＣａｔｅｇｏｒｙ要素は、その値（＜ＤｏｃＣａｔｅｇｏｒｙ＞タグで囲まれた内容）によって、当該ＤｏｃＣａｔｅｇｏｒｙ要素が属するＲｕｌｅ要素が対象とする文書カテゴリを示す。例えば、ＤｏｃＣａｔｅｇｏｒｙ要素ｄ１の値は「ＡＮＹ」であるが、これは、あらゆる文書カテゴリの文書が対象となることを意味する。一方、ＤｏｃＣａｔｅｇｏｒｙ要素ｄ２（図７）の値は「ＨＵＭＡＮ＿ＲＥＳＯＵＲＣＥ」であるが、これは、文書カテゴリの値が「ＨＵＭＡＮ＿ＲＥＳＯＵＲＣＥ」（人事部の文書）である文書が対象となることを意味する。
【００４４】
Ｓｅｎｓｉｔｉｖｉｔｙ要素は、その値によって、当該Ｓｅｎｓｉｔｉｖｉｔｙ要素が属するＲｕｌｅ要素が対象とする機密レベルを示す。例えば、Ｓｅｎｓｉｔｉｖｉｔｙ要素ｓ１の値は「ＴＯＰ＿ＳＥＣＲＥＴ」であるが、これは、機密レベルの値が「ＴＯＰ＿ＳＥＣＲＥＴ」（極秘）である文書が対象となることを意味する。
【００４５】
ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素は、Ｒｏｌｅ要素及びＯｐｅｒｅｔｉｏｎｓ要素を子要素として含み、当該ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が属するＲｕｌｅ要素が対象とする文書に対してアクセスが許可されるユーザの分類（ロール）、及び許可されるアクセス種別を規定する。
【００４６】
Ｒｏｌｅ要素は、その値によって当該ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が対象とするユーザのロールを示す。例えば、Ｒｏｌｅ要素ｒ１１の値は「ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ」であるが、これは、ロールの値が「ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ」（関係者）であるユーザが対象となることを意味する。また、Ｒｏｌｅ要素ｒ２１（図７）の値は「ＰＲＩＮＣＩＰＡＬ」であるが、これは、ロールの値が「ＰＲＩＮＣＩＰＡＬ」（対象者）であるユーザが対象となることを意味する。
【００４７】
Ｏｐｅｒａｔｉｏｎｓ要素は、一つ以上のＯｐｅｒａｔｉｏｎ要素を子要素として含む。Ｏｐｅｒａｔｉｏｎ要素は、Ｎａｍｅ要素及びＯｂｌｉｇａｔｉｏｎ要素を子要素として含み、許可されるアクセス種別とそのアクセスの実行に際して課される責務とを規定する。Ｎａｍｅ要素は、その値によって許可されるアクセス種別を示す。例えば、Ｎａｍｅ要素ｎ１１の値は「ＲＥＡＤ」であるが、これは、「閲覧」を意味する。また、「ＰＲＩＮＴ」は印刷を意味する。
【００４８】
Ｏｂｌｉｇａｔｉｏｎ要素は、Ｎａｍｅ要素及びＳｕｐｐｌｅｍｅｎｔ要素を子要素として含み、責務を規定する。Ｎａｍｅ要素は、当該責務の識別子を示し、Ｓｕｐｐｌｅｍｅｎｔ要素は、責務に関する補足事項を示す。例えば、Ｏｂｌｉｇａｔｉｏｎ要素ｏｂ１１は、Ｎａｍｅ要素の値が「ＳＨＯＷ＿ＤＩＡＬＯＧ」であり、Ｓｕｐｐｌｅｍｅｎｔ要素の値が「極秘文書につき取扱注意」であるが、これは、「極秘文書につき取扱注意」というメッセージを表示するダイアログの表示が責務とされることを意味する。
【００４９】
上記より、Ｒｕｌｅ要素ｒ１には、「機密文書については、いずれの文書カテゴリに属しているかを問わず、関係者に対して表示を許可する。但し、表示の際には、”極秘文書につき取扱注意”というメッセージを表示するダイアログを表示させなければならない。」という規則が規定されていることが分かる。Ｒｕｌｅ要素ｒ２及びｒ３についても同様に解釈することができる。
【００５０】
アクセスが許可される場合、ポリシーサーバ主制御部１２１は、評価結果とセキュリティ属性情報に含まれる復号化キーとをアクセス制御判断結果として文書アクセスプログラム３１に返信する。
【００５１】
一方、アクセスが許可されない場合、ポリシーサーバ主制御部１２１は、更にユーザ情報、セキュリティ属性情報、アクセス種別を含む評価要求を間接ポリシー評価部１２５に出力して、間接的なアクセス権限が認められるか否かを判定させる。ここで、間接的なアクセス権限とは、他のユーザとの所定の関係に基づいて認められるアクセス権限である。より詳しくは、アクセス権限の評価対象とされているユーザが、他の特定ユーザと所定の関係を有していることによって認められるアクセス権限をいう。
【００５２】
間接ポリシー評価部１２５は、ユーザ情報、セキュリティ属性情報、アクセス種別を、ユーザ関係記述データＡ１６、ユーザ関係記述データＢ１７及び間接ポリシーデータ１５等に当てはめることにより、間接的なアクセス権限の有無を判定する。また、間接ポリシー評価部１２５は、評価対象とされたユーザが所定の関係を有するユーザのアクセス権限についてポリシー評価部１２４に対して問い合わせ（評価要求）を行い、ポリシー評価部１２４による評価結果に基づいて間接的なアクセス権限を判定する。
【００５３】
ユーザ関係記述データＡ１６及びユーザ関係記述データＢ１７は、ユーザ間の関係が定義されているデータである。ユーザ関係記述データＡ１６とユーザ関係記述データＢ１７とには、それぞれ異なる観点からのユーザ間の関係が定義されている。本実施の形態では、ユーザ関係記述データＡ１６には、図９に示される組織構成に基づくユーザ間の関係が定義されている場合を例とする。
【００５４】
図９は、本発明の実施の形態における組織構成の例を示す図である。図９では以下の旨が表現されている。
【００５５】
製品設計部には、第一設計課と第二設計課とが属している。製品設計部の部長、次長（部長代理）、部長秘書の名前は、それぞれｂｕｃｈｏ、ｊｉｃｈｏ、ｈｉｓｈｏである。第一設計課には、課長であるｋａｃｈｏ１の他にｋａｉｎ１１、ｋａｉｎ１２及びｋａｉｎ１３が所属している。第二設計課には、課長であるｋａｃｈｏ２の他にｋａｉｎ２１、ｋａｉｎ２２、ｋａｉｎ２３が所属している。
【００５６】
なお、図９において、ｂｕｃｈｏ、ｊｉｃｈｏ、ｈｉｓｈｏ、ｋａｃｈｏ１、ｋａｉｎ１１、ｋａｉｎ１２、ｋａｉｎ１３、ｋａｃｈｏ２、ｋａｉｎ２１、ｋａｉｎ２２、及びｋａｉｎ２３は、それぞれ特定の個人の名前（ユーザ名）を示す。
【００５７】
また、ユーザ関係記述データＢ１７には、空間的なユーザ間の関係、より具体的には、座席のレイアウトに基づくユーザ間の関係が定義されている。本実施の形態では、ユーザ関係記述データＢ１７には、図１０に示される座席レイアウトにおけるユーザ間の関係が定義されている場合を例とする。
【００５８】
図１０は、本発明の実施の形態における座席レイアウトの例を示す図である。図１０は、Ａ事業所の７Ｆの座席レイアウトを示している。図１０に示されるように、Ａ事業所の７Ｆは、コールセンターとコンピュータルームとの二つのパーティションより構成されている。コールセンターには、山田さん、田中さん、中井さん、井上さん、今井さん、井原、原田さん、及び田村さんの座席がある。コンピュータルームには、佐藤さん、藤田さん、野村さん、及び村井さんの座席がある。
【００５９】
図９に示した組織構成に基づくユーザ関係記述データＡ１６の記述（ユーザ関係記述）、及び図１０に示した座席レイアウトに基づくユーザ関係記述データＢ１７のユーザ関係記述の例を以下に示す。
【００６０】
図１１は、第一の実施の形態における組織構成に基づくユーザ関係記述の例を示す図である。また、図１２は、第一の実施の形態における座席レイアウトに基づくユーザ関係記述の例を示す図である。
【００６１】
図１１及び図１２に示されるように、一つのユーザ関係記述は、ＲｅｌａｔｉｏｎＤｅｓｃｒｉｐｔｉｏｎ要素をルート要素として持つ。ＲｅｌａｔｉｏｎＤｅｓｃｒｉｐｔｉｏｎ要素は、ｎｕｍ属性を有し、そのｎｕｍ属性の値によって各ユーザ関係記述が識別される。
【００６２】
ＲｅｌａｔｉｏｎＤｅｓｃｒｉｐｔｉｏｎ要素は、Ｇｒｏｕｐ要素及びＥｌｅｍｅｎｔ要素を子要素として含み得る。
【００６３】
Ｇｒｏｕｐ要素は、複数のユーザ又はグループより構成されるグループを表現し、当該グループの名前を示すＮａｍｅ要素と、当該グループに属するユーザ又はグループに対応するＥｌｅｍｅｎｔ要素又はＧｒｏｕｐ要素を子要素として含み得る。
【００６４】
Ｅｌｅｍｅｎｔ要素は、一人のユーザを表現し、当該ユーザのユーザ名を示すＮａｍｅ要素と、一つ以上のＲｏｌｅ要素を子要素として含み得る。Ｒｏｌｅ要素は、当該Ｒｏｌｅ要素が属するＥｌｅｍｅｎｔ要素のユーザが有する他のユーザとの関係を表現するための要素であり、Ｔｙｐｅ要素及びＴａｒｇｅｔ要素を子要素として有する。
【００６５】
Ｔｙｐｅ要素は、他のユーザ又はグループとの関係の種別を示し、その値として関係を識別する文字列をとる。Ｔａｒｇｅｔ要素は当該他のユーザ又はグループを識別するための要素であり、その値として当該他のユーザ又はグループのユーザ名又はグループ名をとる。なお、Ｔａｒｇｅｔ要素の値がグループ名である場合、そのグループに属する全てのユーザとＴｙｐｅ要素によって識別される関係が有ることを意味する。
【００６６】
例えば、図１１のユーザ関係記述１６１において、Ｇｒｏｕｐ要素ｇ１は、そのＮａｍｅ要素ｎ１より、製品設計部を表現する要素であることが分かる。また、Ｇｒｏｕｐ要素ｇ１の子要素としてＥｌｅｍｅｎｔ要素ｅ１１、ｅ１２、及びｅ１３と、Ｇｒｏｕｐ要素ｇ１１及びｇ１２が含まれていることにより、製品設計部には、ｂｕｃｈｏ、ｊｉｃｈｏ、ｈｉｓｏｈ、第一設計部、第二設計部が属していることが分かる。
【００６７】
Ｅｌｅｍｅｎｔ要素ｅ１１のＲｏｌｅ要素ｒ１１において、Ｔｙｐｅ要素の値は、「ＭＡＮＡＧＥＲ」であり、Ｔａｒｇｅｔ要素の値は「製品設計部」である。これは、Ｅｌｅｍｅｎｔ要素ｅ１１に対応するユーザ（ｂｕｃｈｏ）は、製品設計部に属する全てのユーザに対してＭＡＮＡＧＥＲ（部長）という関係（ロール）を持つことを示す。
【００６８】
また、Ｅｌｅｍｅｎｔ要素ｅ１３のＲｏｌｅ要素ｒ１３において、Ｔｙｐｅ要素の値は「ＳＥＣＲＥＴＡＲＹ」であり、Ｔａｒｇｅｔ要素の値は「ｂｕｃｈｏ」である。これは、Ｅｌｅｍｅｎｔ要素ｅ１３に対応するユーザ（ｈｉｓｈｏ）は、ｂｕｃｈｏに対してＳＥＣＲＥＴＡＲＹ（秘書）という関係（ロール）を持つことを示す。
【００６９】
図１２のユーザ関係記述１７１についても同様に解釈することができる。図１２のユーザ関係記述１７１において、Ｇｒｏｕｐ要素ｇ１は、そのＮａｍｅ要素ｎ１より、Ａ事業所を表現する要素であることが分かる。Ｇｒｏｕｐ要素ｇ１には各フロアに対応する複数のＧｒｏｕｐ要素が子要素として定義されている。
【００７０】
例えば、Ｇｒｏｕｐ要素ｇ１１は、そのＮａｍｅ要素ｎ１１より１Ｆを表現する要素であることが分かる。また、Ｇｒｏｕｐ要素ｇ１２は、そのＮａｍｅ要素ｎ１２より７Ｆを表現する要素であることが分かる。なお、他のフロアに対するＧｒｏｕｐ要素については便宜上省略されている。
【００７１】
７ＦのＧｒｏｕｐ要素ｇ１２には、更に、Ｇｒｏｕｐ要素ｇ１２１及びＧｒｏｕｐ要素ｇ１２２が子要素として定義されている。Ｇｒｏｕｐ要素ｇ１２１は、そのＮａｍｅ要素ｎ１２１よりコールセンターを表現する要素である。Ｇｒｏｕｐ要素ｇ１２２は、そのＮａｍｅ要素ｎ１２２よりコンピュータルームを表現する要素である。
【００７２】
Ｇｒｏｕｐ要素ｇ１２１には、コールセンターに座席を有する各ユーザに対応するＥｌｅｍｅｎｔ要素が子要素として定義されている。例えば、Ｅｌｅｍｅｎｔ要素ｅ１２１１は、山田さんに対応する要素であるが、三つのＲｏｌｅ要素を含んでいることから、山田さんは三つの関係（ロール）を有していることが示されている。
【００７３】
すなわち、Ｒｏｌｅ要素ｒ１２１１１では、コールセンターに属する全ユーザに対して「ＳＡＭＥ＿ＰＡＲＴＩＴＩＯＮ」というロールを有することが定義されている。また、Ｒｏｌｅ要素ｒ１２１１２では、７Ｆに属する全ユーザに対して「ＳＡＭＥ＿ＦＬＯＯＲ」というロールを有することが定義されている。また、Ｒｏｌｅ要素ｒ１２１１３では、Ａ事業所に属する全ユーザに対して「ＳＡＭＥ＿ＢＵＩＬＤＩＮＧ」というロールを有することが定義されている。
【００７４】
図１１及び図１２より明らかなように、本実施の形態におけるユーザ関係記述の記述形式は汎用的に設計されているため、異なる関係を同一の記述形式（タグ等）によって表現することができる。したがって、本実施の形態おける記述形式は、組織構成や座席レイアウトだけでなく、他の関係を表現する場合にも容易に適用することができる。
【００７５】
図５に戻る。間接ポリシーデータ１５は、間接的なアクセス権限を判定するための制御情報、すなわち図１１及び図１２のユーザ関係記述に定義されたユーザ間の関係に基づくアクセス制御情報が定義されているデータである。
【００７６】
図１３は、第一の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。間接ポリシー記述１５１の記述形式は、基本的に図６等において説明したポリシー記述１４１と同様である。すなわち、ルート要素としてＰｏｌｉｃｙ要素が存在し、その子要素として一つ以上のＲｕｌｅ要素が定義されている。各Ｒｕｌｅ要素は、ＤｏｃＣａｔｅｇｏｒｙ要素、Ｓｅｎｓｉｔｉｖｉｔｙ要素、及びＡｃｃｅｓｓＣｏｎｔｒｏｌ要素より構成され、文書カテゴリ及び機密レベルと、ロールとの組み合わせに応じて、許可されるアクセス種別を規定する。
【００７７】
但し、間接ポリシー記述におけるＲｏｌｅ要素の意味は、ポリシー記述におけるＲｏｌｅ要素と異なる。すなわち、ポリシー記述１４１におけるＲｏｌｅ要素の値が取り得るＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ（関係者）又はＰＲＩＮＣＩＰＡＬ（対象者）は、文書との関係において与えられるロールを意味する。一方、間接ポリシー記述１５１におけるＲｏｌｅ要素の値が取り得る、ＭＡＮＡＧＥＲ、ＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲ、ＳＥＣＲＥＴＡＲＹは、他のユーザとの関係において与えられるロールを意味する。すなわち、間接ポリシーデータ１５は、ユーザ間の関係に応じて文書に対するアクセス権限が定義されたデータということができる。
【００７８】
また、間接ポリシー記述のＡｃｃｅｓｓＣｏｎｔｒｏｌ要素は、子要素としてＲｏｌｅ要素及びＯｐｅｒａｔｉｏｎｓ要素の他に、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素を含み得る。ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素については、具体例に基づいて説明する。
【００７９】
例えば、図１３における間接ポリシー記述１５１は、Ｐｏｌｉｃｙ要素の子要素としてＲｕｌｅ要素ｒ１、ｒ２及びｒ３等が定義されている。Ｒｕｌｅ要素ｒ１は、ＤｏｃＣａｔｅｇｏｒｙ要素ｄ１及びＳｅｎｓｉｔｉｖｉｔｙ要素ｓ１より、文書カテゴリが「ＨＵＭＡＮ＿ＲＥＳＯＵＣＥ」であり、機密レベルが「ＳＥＣＲＥＴ」（マル秘）の文書を対象とすることが示されている。また、ｒｏｌｅ要素ｒ１より、ロールが「Ｍａｎａｇｅｒ」であるユーザを対象とすることが示されている。ここで、ポリシー記述１４１であればＯｐｅｒａｔｉｏｎｓ要素が定義される位置に、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素ｔ１が定義されている。ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素は、Ｒｏｌｅ要素での「ロール対象ユーザ」と同一のアクセス権限を与えることを意味する。ここで、「ロール対象ユーザ」とは、当該ロールを有するユーザにとって、当該ロールによって識別される役割、立場、又は関係が成立する相手側のユーザをいう。例えば、当該ロールがＭＡＮＡＧＥＲである場合、当該ロールを有するユーザが部長又は課長であるという役割、立場、又は関係が成立する相手側のユーザ、すなわち、その部、又は課に所属するユーザが「ロール対象ユーザ」に該当する。
【００８０】
より客観的には、「ロール対象ユーザ」は、ユーザ関係記述（図１１及び図１２）において、Ｒｏｌｅ要素のＴａｒｇｅｔ要素の値によって特定されるユーザをいう。
【００８１】
例えば、図１１を参照すると、ｂｕｃｈｏは、ＭＡＮＡＧＥＲというロールを製品設計部に対して有する旨がＥｌｅｍｅｎｔ要素ｅ１１に定義されている。ここで、製品設計部に属する全ユーザが、ｂｕｃｈｏのＭＡＮＡＧＥＲとしてのロール対象ユーザとなる。同様に、Ｅｌｅｍｅｎｔ要素ｅ１１１におけるｋａｃｈｏ１のＭＡＮＡＧＥＲとしてのロール対象ユーザは、第一設計課に属する全ユーザとなる。
【００８２】
すなわち、ロール対象ユーザは、ロールの識別名（ＭＡＮＡＧＥＲ、ＳＥＣＲＥＴＡＲＹ等）だけでなく、当該ロールを有するユーザが誰であるか（ｂｕｃｈｏやｋａｃｈｏ１）によって異なる。
【００８３】
なお、間接ポリシー記述１５１において、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素ではなくＯｐｅｒａｔｉｏｎｓ要素を定義することによって、ロール対象ユーザと異なるアクセス権限を許可してもよい。例えば、図１３において、ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ３２には、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素ではなく、Ｏｐｅｒａｔｉｏｎｓ要素によってアクセス権限が定義されている。この場合、Ｏｐｅｒａｔｉｏｎｓ要素に含まれているＯｐｅｒａｔｉｏｎ要素に基づいてアクセス権限の評価が行われる。
【００８４】
図５に戻る。ポリシーサーバ主制御部１２１は、間接ポリシー評価部１２５による評価結果においてアクセスが許可される場合は、ポリシー評価部１２４によって許可された場合と同様に、セキュリティ属性情報に含まれている復号化キーと評価結果とを合わせてアクセス制御判断結果として文書アクセスプログラム３１に返信する。
【００８５】
一方、間接ポリシー評価部１２５によってもアクセスが許可されない場合、ポリシーサーバ主制御部１２１は、アクセス制御判断結果としてアクセスを許可しない旨を文書アクセスプログラム３１に返信する。
【００８６】
このように、ポリシーサーバプログラム１２においては、ポリシー評価部１２４によって直接的なアクセス権限が認められない場合であっても、間接ポリシー評価部１２５によって間接的なアクセス権限が認められる場合はアクセスが許可される。
【００８７】
なお、ポリシーデータ１４、間接ポリシーデータ１５、ユーザ関係記述データＡ１６，及びユーザ関係記述データＢ１７等は、予めポリシーサーバプログラム１２に設定しておくものであるが、セキュリティポリシーは部門ごとに異なる可能性があるため、ポリシーサーバプログラム１２には複数のポリシーデータ１４及び間接ポリシーデータ１５を設定できるようにするとよい。複数のポリシーデータ１４及び間接ポリシーデータ１５を設定する場合には、どの部門のセキュリティポリシーであるかを示すドメイン名と関連付けてポリシーデータ１４及び間接ポリシーデータ１５を管理するようにするとよい。
【００８８】
図１４は、本発明の実施の形態におけるポリシーサーバのハードウェア構成例を示す図である。図１４のポリシーサーバ１０は、それぞれバスＢで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。
【００８９】
ポリシーサーバ１０での処理を実現するポリシーサーバプログラム１２は、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。ポリシーサーバプログラム１２が記録された記録媒体１０１がドライブ装置１００にセットされると、ポリシーサーバプログラム１２が記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。
【００９０】
補助記憶装置１０２は、インストールされたポリシーサーバプログラム１２を格納すると共に、必要なファイルやデータ等を格納する。メモリ装置１０３は、ポリシーサーバプログラム１２の起動指示があった場合に、補助記憶装置１０２からポリシーサーバプログラム１２を読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたポリシーサーバプログラム１２に従ってポリシーサーバ１０に係る機能を実行する。インタフェース装置１０５はネットワークに接続するためのインタフェースとして用いられる。
【００９１】
以下、図５においてその概要を説明したポリシーサーバプログラム１２における各部の処理についてより具体的に説明する。
【００９２】
図１５は、ユーザ認証部によるユーザ認証処理を説明するためのフローチャートである。ポリシーサーバ主制御部１２１からのユーザの認証要求に応じて、ユーザ認証部１２２は、以下の処理を実行する。
【００９３】
ポリシーサーバ主制御部１２１より認証情報を受け取ると（Ｓ１０１）、認証情報よりユーザ名及びパスワードを取り出す（Ｓ１０２）。続いて、取り出されたユーザ名及びパスワードを、ユーザ管理ＤＢ１３に登録されているユーザ管理情報（ユーザ名及びパスワードとの組）と照合することによりユーザの認証を行う（Ｓ１０３）。
【００９４】
ユーザが認証された場合（Ｓ１０４でＹｅｓ）、ユーザ情報（例えば、ユーザ名やグループ名等を含む情報）をポリシーサーバ主制御部１２１に返却する（Ｓ１０５）。ユーザが認証されなかった場合（Ｓ１０４でＮｏ）、ユーザの認証に失敗した旨、すなわちエラーをポリシーサーバ主制御部１２１に返却する（Ｓ１０６）。
【００９５】
次に、ユーザが認証された場合に実行される、セキュリティ属性管理部１２３による処理を説明する。図１６は、セキュリティ属性管理部によるセキュリティ属性情報の検索処理を説明するためのフローチャートである。
【００９６】
ポリシーサーバ主制御部１２１より文書ＩＤを受け取ると（Ｓ２０１）、文書ＩＤに基づいてセキュリティ属性ＤＢ１１より当該文書ＩＤに対応するセキュリティ属性情報を検索する（Ｓ２０２）。
【００９７】
該当するレコードが有った場合（Ｓ２０３でＹｅｓ）、検索されたセキュリティ属性情報（ドメイン、文書カテゴリ、機密レベル、関係者、復号キー等）をポリシーサーバ主制御部１２１に返却する（Ｓ２０４）。該当レコードが無かった場合（Ｓ２０３でＮｏ）、検索に失敗した旨、すなわちエラーをポリシーサーバ主制御部１２１に返却する（Ｓ２０５）。
【００９８】
次に、セキュリティ属性情報の検索に成功した場合に実行される、ポリシー評価部１２４による処理を説明する。図１７は、第一の実施の形態におけるポリシー評価部によるアクセス権限の評価処理を説明するためのフローチャートである。
【００９９】
ポリシーサーバ主制御部１２１よりユーザ情報、セキュリティ属性情報及びアクセス種別を含む評価要求を受け付けると（Ｓ３０１）、セキュリティ属性に含まれているドメインに対応するポリシーデータ１４を取得し、当該ポリシーデータ１４に記述されているポリシー記述１４１（図６、図７及び図８参照）を読み込む（Ｓ３０２）。
【０１００】
ポリシー記述１４１の読み込みに続いて、アクセス主体のユーザ（以下「カレントユーザ」という。）は、アクセス対象の文書（以下「カレント文書」という。）の関係者又は対象者であるかを判定する（Ｓ３０３）。ユーザ情報に含まれているユーザ名が、セキュリティ属性情報における関係者／対象者に含まれている場合は、関係者／対象者と判定される。
【０１０１】
カレントユーザは、関係者／対象者であると判定された場合、カレントユーザのロールに「ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ」と「ＰＲＩＮＣＩＰＡＬ」とを含める。
【０１０２】
続いて、ステップＳ３０５以降は、ポリシー記述１４１におけるＲｕｌｅ要素ごとのループ処理となる。各ループ処理において処理対象とされるＲｕｌｅ要素を以下「カレントＲｕｌｅ要素」という。
【０１０３】
まず、カレントＲｕｌｅ要素がカレント文書へ適用される規則であるか否かを判定する（Ｓ３０６）。カレントＲｕｌｅ要素のＤｏｃＣａｔｅｇｏｒｙ要素の値とＳｅｎｓｉｔｉｖｉｔｙ要素の値とのそれぞれが、セキュリティ属性情報に含まれている文書カテゴリ、機密レベルを含む場合、カレントＲｕｌｅ要素は、カレント文書への適用規則であると判定される。それ以外（Ｓ３０６でＮｏ）は、適用対象外と判定され、次のＲｕｌｅ要素が処理対象（カレントＲｕｌｅ要素）とされる。
【０１０４】
カレントＲｕｌｅ要素がカレント文書への適用規則であった場合（Ｓ３０６でＹｅｓ）、カレントＲｕｌｅ要素に属するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素の中から、カレントユーザに適用されるものを検索する（Ｓ３０７、Ｓ３０８）。すなわち、カレントＲｕｌｅ要素に属するいずれかのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素のＲｏｌｅ要素の値が、カレントユーザのロールを含んでいる場合、当該ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素はカレントユーザへの適用対象とされる。いずれのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素も適用対象でなかった場合（Ｓ３０７でＮｏ）、次のＲｕｌｅ要素が処理対象とされる。
【０１０５】
カレントユーザに適用されるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が検索された場合（Ｓ３０８でＹｅｓ）、当該ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素に属するＯｐｅｒａｔｉｏｎ要素の中から、要求されているアクセス種別を対象とするＯｐｅｒａｔｉｏｎ要素を検索する（Ｓ３０９）。
【０１０６】
Ｏｐｅｒａｔｉｏｎ要素が検索された場合（Ｓ３０９でＹｅｓ）、評価結果に「許可」を含め（Ｓ３１０）、更に当該Ｏｐｅｒａｔｉｏｎ要素に属するＯｂｌｉｇａｔｉｏｎ要素に規定されている責務の内容を評価結果に含める（Ｓ３１１）。続いて、評価結果をポリシーサーバ主制御部１２１に返却し（Ｓ３１２）、処理を終了させる。
【０１０７】
一方、Ｏｐｅｒａｔｉｏｎ要素が検索されなかった場合（Ｓ３０９でＮｏ）、評価結果に「不許可」を含め（Ｓ３１３）、その評価結果をポリシーサーバ主制御部１２１に返却する（Ｓ３１２）。
【０１０８】
次に、ポリシー評価部１２４による評価結果が「不許可」だった場合に実行される、間接ポリシー評価部１２５による処理を説明する。図１８は、第一の実施の形態における間接ポリシー評価部による間接アクセス権限の評価処理を説明するためのフローチャートである。
【０１０９】
ポリシーサーバ主制御部１２１よりユーザ情報、セキュリティ属性情報及びアクセス種別を含む間接評価要求を受け付けると（Ｓ４０１）、セキュリティ属性に含まれているドメインに対応する間接ポリシーデータ１５を取得し、当該間接ポリシーデータ１５に記述されている間接ポリシー記述１５１（図１３参照）を読み込む（Ｓ４０２）。
【０１１０】
続いて、各ユーザ関係記述データについてステップＳ４０４からＳ４０６までの処理を実行する（Ｓ４０３）。すなわち、ユーザ関係記述データＡ１６及びユーザ関係記述データＢ１７のそれぞれより、ユーザ関係記述１６１又はユーザ関係記述１７１を読み込み（Ｓ４０４）、アクセス主体のユーザ（以下「カレントユーザ」という。）が有しているロールを列挙する（Ｓ４０５）。具体的には、カレントユーザに対応するＥｌｅｍｅｎｔ要素に属する全てのＲｏｌｅ要素におけるＴｙｐｅ要素の値を列挙する。なお、カレントユーザは、ユーザ情報に含まれているユーザ名によって識別される。
【０１１１】
続いて、列挙された各ロール対象ユーザのユーザ名、すなわち、各Ｒｏｌｅ要素におけるＴａｒｇｅｔ要素の値を列挙する（Ｓ４０６）。ここで列挙されたユーザ名のリストを以下「ロール対象ユーザリスト」という。なお、Ｔａｒｇｅｔ要素の値がグループ名である場合は、そのグループに属するユーザ名が再帰的に検索され、ロール対象ユーザリストに追加される。
【０１１２】
全てのユーザ関係記述データに基づくロール対象ユーザリストの生成が完了すると（Ｓ４０３でＮｏ）、間接ポリシー記述１５１におけるＲｕｌｅ要素ごとのループ処理を実行する（Ｓ４０７）。各ループ処理において処理対象とされるＲｕｌｅ要素を以下「カレントＲｕｌｅ要素」という。
【０１１３】
まず、カレントＲｕｌｅ要素がアクセス対象の文書（以下「カレント文書」という。）へ適用される規則であるか否かを判定する（Ｓ４０８）。カレントＲｕｌｅ要素のＤｏｃＣａｔｅｇｏｒｙ要素の値とＳｅｎｓｉｔｉｖｉｔｙ要素の値とのそれぞれが、セキュリティ属性情報に含まれている文書カテゴリ、機密レベルを含む場合、カレントＲｕｌｅ要素は、カレント文書への適用規則であると判定される。それ以外（Ｓ４０８でＮｏ）は、適用対象外と判定され、次のＲｕｌｅ要素が処理対象（カレントＲｕｌｅ要素）とされる。
【０１１４】
カレントＲｕｌｅ要素がカレント文書への適用規則であった場合（Ｓ４０８でＹｅｓ）、カレントＲｕｌｅ要素に属するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素の中から、カレントユーザ
に適用されるものを検索する（Ｓ４０９、Ｓ４１０）。すなわち、カレントＲｕｌｅ要素に属するいずれかのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素のＲｏｌｅ要素の値が、カレントユーザの有するロール（Ｓ４０５で列挙されたロール）を含んでいる場合、当該ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素はカレントユーザへの適用対象とされる。いずれのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素も適用対象でなかった場合（Ｓ４０９でＮｏ）、次のＲｕｌｅ要素が処理対象とされる。
【０１１５】
カレントユーザに適用されるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が検索された場合（Ｓ４１０でＹｅｓ）、検索されたＡｃｃｅｓｓＣｏｎｔｒｏｌ要素（以下「カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素」という。）におけるＲｏｌｅ要素のロール（以下「カレントロール」という。）に対応するロール対象ユーザリストに含まれている各ロール対象ユーザについてユーザ情報を生成し（Ｓ４１２）、ポリシー評価部１２４に対してアクセス制御の評価を要求する（Ｓ４１３）。
【０１１６】
なお、ステップＳ４１３では、セキュリティ属性情報と、アクセス種別と、ロール対象ユーザのユーザ情報とがポリシー評価部１２４に出力される。ロール対象ユーザに関する評価を要求されたポリシー評価部１２４は、ロール対象ユーザをアクセス主体のユーザとして、図１７において説明した処理、すなわち、ポリシーデータ１４に基づくアクセス権限の評価処理を実行し、その評価結果を間接ポリシー評価部１２５に出力する。
【０１１７】
ポリシー評価部１２４によってカレントロールの全てのロール対象ユーザに対してアクセスが許可されない場合（Ｓ４１１Ｎｏ）、カレントＲｕｌｅ要素における次のＡｃｃｅｓｓＣｏｎｔｒｏｌ要素を処理対象としてステップＳ４０９以降を実行する。
【０１１８】
ポリシー評価部１２４によっていずれかのロール対象ユーザに対してアクセスが許可された場合（Ｓ４１４でＹｅｓ）、カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素にＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素が存在するか否かを判定する（Ｓ４１５）。ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素が存在する場合（Ｓ４１５でＹｅｓ）、ポリシー評価部１２４による評価結果を間接ポリシー評価部１２５による評価結果としてポリシーサーバ主制御部１２１に返却する（Ｓ４１６）。すなわち、この場合、カレントユーザのロール対象ユーザの権限に基づいて、カレントユーザが直接的には有していないアクセス権限が許可されることになる。
【０１１９】
一方、カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素にＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔが存在しない場合（Ｓ４１５でＮｏ）、カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素に属するＯｐｅｒａｔｉｏｎ要素の中から、要求されているアクセス種別を対象とするＯｐｅｒａｔｉｏｎ要素を検索する（Ｓ４１７）。
【０１２０】
要求されているアクセス種別を対象とするＯｐｅｒａｔｉｏｎ要素素が検索された場合（Ｓ４１７でＹｅｓ）、評価結果に「許可」を含め（Ｓ４１８）、更に当該Ｏｐｅｒａｔｉｏｎ要素に属するＯｂｌｉｇａｔｉｏｎ要素に規定されている責務の内容を評価結果に含める（Ｓ４１９）。続いて、その評価結果をポリシーサーバ主制御部１２１に返却し（Ｓ４２０）、処理を終了させる。
【０１２１】
一方、Ｏｐｅｒａｔｉｏｎ要素が検索されなかった場合（Ｓ４１７でＮｏ）、評価結果に「不許可」を含め（Ｓ４２１）、その評価結果をポリシーサーバ主制御部１２１に返却する（Ｓ４２０）。
【０１２２】
なお、図１８の処理では、ロール対象ユーザにアクセス権限が認められなければ、カレントユーザにアクセス権限が認められることはない。すなわち、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素が存在しない場合（Ｏｐｅｒａｔｉｏｎ要素によってアクセス権限が定義されている場合）、ロール対象ユーザに対して「許可」がされているかどうかを調べた上で、許可されている場合に、Ｏｐｅｒａｉｔｏｎ要素を評価に利用するといった仕組みである。
【０１２３】
但し、本発明はかかる仕組みに限定されない。例えば、Ｏｐｅｒａｔｉｏｎ要素によってアクセス権限が設定されている場合、ロール対象ユーザに対してアクセス権限が認められているか否かをチェックしないといった方針を採用してもよい。この場合、セキュリティ属性情報に含まれる関係者／対象者にロール対象ユーザが含まれていれば、そのＯｐｅｒａｔｉｏｎ要素に基づいてアクセス権限を評価すればよい。
【０１２４】
図１７及び図１８の処理に具体的な値を当てはめてみる。ユーザとしてｋａｉｎ１２が図３のセキュリティ属性を有する文書、すなわち、文書ＩＤがＳＥＣ０００１２３の文書を閲覧しようとしている場合を考える。図３より、ｋａｉｎ１２はＳＥＣ０００１２３のレコードに関係者／対象者として含まれている。したがって、ｋａｉｎ１２のロールはＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ又はＰＲＩＮＣＩＰＡＬとなる（図１７、Ｓ３０４）。ＳＥＣ０００１２３は経理部（ＦＩＮＡＮＣＥ）のマル秘（ＳＥＣＲＥＴ）の文書であるため、ポリシーデータ１４のポリシー記述１４１においてＤｏｃＣａｔｅｇｏｒｙがＡＮＹで、ＳｅｎｓｉｔｉｖｉｔｙがＳＥＣＲＥＴのＲｕｌｅ要素ｒ３（図８）が適用される。
【０１２５】
更に、Ｒｕｌｅ要素ｒ３において、Ｒｏｌｅ要素の値がＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳであるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ３が適用対象となる。ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ３には、ＲＥＡＤに対応するＯｐｅｒａｔｉｏｎ要素ｏｐ３が含まれているため、閲覧は許可される。但し、責務としてログの記録（ＲＥＣＯＲＤ＿ＡＵＤＩＴ＿ＤＡＴＡ）が要求される。
【０１２６】
同じ文書（ＳＥＣ０００１２３）をｋａｃｈｏ１が閲覧しようとした場合を考える。図３より、ｋａｃｈｏ１はＳＥＣ０００１２３の関係者／対象者には含まれていない。したがって、ポリシー評価部１２４による評価結果は不許可となる。
【０１２７】
そこで、ｋａｃｈｏ１の評価は、間接ポリシー評価部１２５に要求される（Ｓ４０１）。ユーザ関係記述データＡ１６のユーザ関係記述１６１（図１１）によれば、ｋａｃｈｏ１に対応するＥｌｅｍｅｎｔ要素ｅ１１１には、Ｔｙｐｅ要素の値が「ＭＡＮＡＧＥＲ」であり、Ｔａｒｇｅｔ要素の値が「第一設計部」のＲｏｌｅ要素が含まれている。したがって、ｋａｃｈｏ１は、ロール対象ユーザが第一設計部に所属するユーザ（ｋａｉｎ１１、ｋａｉｎ１２、ｋａｉｎ１３）であるロールとしてＭＡＮＡＧＥＲを有することになる。
【０１２８】
ＳＥＣ０００１２３は経理部（ＦＩＮＡＮＣＥ）のマル秘（ＳＥＣＲＥＴ）の文書であるため、間接ポリシーデータ１５の間接ポリシー記述１５１（図１３）においてＤｏｃＣａｔｅｇｏｒｙがＡＮＹで、ＳｅｎｓｉｔｉｖｉｔｙがＳＥＣＲＥＴのＲｕｌｅ要素ｒ３（図８）が適用される。
【０１２９】
更に、Ｒｕｌｅ要素ｒ３において、Ｒｏｌｅ要素の値がＭＡＮＡＧＥＲであるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ３１が適用対象となる。ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ３１には、ＳａｍｅＡｓＴｈｅＲｏｌｅｔａｒｇｅｔ要素が含まれているため、ロール対象ユーザであるｋａｉｎ１２のアクセス権限についてポリシー評価部１２４に対する問い合わせが行われる。
【０１３０】
ｋａｉｎ１２の評価については、上述した通りであり、閲覧は許可されるが責務としてログの記録（ＲＥＣＯＲＤ＿ＡＵＤＩＴ＿ＤＡＴＡ）が要求される。この評価が間接ポリシー評価部１２５によるｋａｃｈｏ１に対する評価として採用される。
【０１３１】
上述したように、第一の実施の形態におけるポリシーサーバ１０によれば、ユーザ間の関係に基づいて文書に対するアクセス制御を行うことができる。したがって、例えば、上司と部下、秘書とその対象者、権限代行者とその対象者の関係のような、企業等の組織上の人間関係や、空間的に同じ区域に属しているかどうかといった人間関係の有無に基づく柔軟性のあるアクセス制御を簡便に実現することができる。よって、文書を配布する側にとっても、配布先のユーザがどのような関係者に対して文書を提示する必要があるか等を考慮する必要がない。
【０１３２】
また、第一の実施の形態における間接ポリシー記述１５１では、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素によって、ロール対象ユーザと同一の権限を付与する旨を容易に定義することができる。すなわち、間接ポリシー記述１５１における記述形式は、セキュリティを維持しながら実用的なポリシー記述が可能となり、非常に利便性が高い。
【０１３３】
また、第一の実施の形態における文書アクセス制御システム１によれば、上記の効果を有するポリシーサーバ１０を用いて、暗号化された保護済み文書に対するアクセス制御を行う。すなわち、文書アクセス制御システム１は、保護済み文書へのアクセスに関して、アクセス権を規定したポリシーに基づいたアクセス権限の有無の判定と、ユーザ間の関係を規定したユーザ関係記述に基づいたアクセス権の有無の判定とを同時に行う。また、そのようなアクセス権の有無の判定結果に基づいて保護済み文書の復号鍵の提供を制御する。したがって、保護済み文書に直接アクセス権を与えるようにポリシーで規定されていなくともユーザ関係記述に基づいて保護済み文書に対するアクセス制御ができ、機密文書の流通において柔軟なアクセス制御の実現が可能となる。
【０１３４】
更に、第一の実施の形態におけるユーザ関係記述の記述形式は、汎用的に設計されている。したがって、第一の実施の形態において例示した組織構成に基づくユーザ関係や、座席レイアウトに基づくユーザ関係だけでなく、例えば、ネットワークセグメントの異同によるユーザ関係等、様々なユーザ関係を表現することができる。よって、様々なユーザ関係に基づくアクセス制御を容易に実現することができる。
【０１３５】
ところで、従来技術として、複数のユーザの集合によるグループという概念を用いたアクセス制御技術が存在する。グループに対して閲覧権限を与えると、そのグループに所属しているメンバ全員に閲覧権限が与えられるという仕組みである。例えば、この仕組みを用いて第一の実施の形態におけるアクセス制御と同様の機能を実現しようとした場合を考える。ここでは、第一設計課のメンバであるkain11に閲覧権限を与えると、そのkain11の上司に同様の権限が与えられるようにしたいとする。この場合、kain11の上司を示すグループとしてkain11_bossというグループを作成し、そのkain11_bossグループに権限を与えるようなことをしなければならない。すなわち、かかるグループを、kain11との関係に基づいてアクセス権を付与したい全てのユーザのそれぞれについて作成しなければならならない。このような方式は、直感的でないばかりでなく、非常に非効率であるといえる。
【０１３６】
また、ロールを用いたアクセス制御の従来技術として、ＲＢＡＣ（Role Based Access Control ）が知られている。ＲＢＡＣでは、ユーザにはロールを複数割り当てることができ、ある文書に対して、あるロールの閲覧権限を与えると、当該ロールを持つユーザによる当該文書の閲覧が許可される、という仕組みである。例えば、b_joushi_1にmanagerというロールを持たせ、配布文書にはmanagerによる閲覧を許可するように設定しておけば、b_joushi_1はb_tantou_1に配布された文書を閲覧することができるようになる。但し、ここでいうロールには、”誰の”上司であるのかという情報までは含まれていない。すなわち、managerというロールを持つユーザであれば、配布文書の宛先であったb_tantou_1の上司でなくても、その配布文書を閲覧できてしまうということになる。しかし、第一の実施の形態におけるポリシーサーバ１０によれば、権限を与えたb_tantou_1の上司b_joushi_1に対してだけ権限を与えるということできる。このような機能は、単なるＲＢＡＣのメカニズムでは直ちに実現するのは困難である。なおＲＢＡＣについては、http://csrc.nist.gov/rbac/rbacSTD-ACM.pdfに詳しく記述されている。
【０１３７】
次に、第二の実施の形態について説明する。図１９は、第二の実施の形態におけるポリシーサーバの機能構成例を示す図である。図１９中、図５と同一部分には同一符号を付し、その説明は省略する。
【０１３８】
図１９において、ポリシーデータ１４ａは、図５におけるポリシーデータ１４及びポリシーデータ１５を含む情報に相当する。したがって、ポリシー評価部１２４及び間接ポリシー評価部１２５の双方より参照される。また、ポリシー評価部１２４と間接ポリシー評価部１２５が同一のポリシーデータ１４ａを参照することにより、間接ポリシー評価部１２５からポリシー評価部１２４に対する問い合わせは行われない。
【０１３９】
なお、第二の実施の形態において、文書アクセス制御システム１の他の構成要素については第一の実施の形態と同様でよい。
【０１４０】
第二の実施の形態以降においては、説明が冗長となるのを避けるため、組織構成に基づくユーザ関係についてのみ言及する。したがって、図１９におけるユーザ関係記述データ１６ａには、組織構成に基づくユーザ関係記述が定義されている。
【０１４１】
図２０は、第二の実施の形態における組織構成に基づくユーザ関係記述の例を示す図である。
【０１４２】
図２０のユーザ関係記述１６１ａは、図１１のユーザ関係記述１６１と同様、図９に示される組織構成を表現したユーザ関係記述である。但し、第一の実施の形態におけるユーザ関係記述１６１は、組織構成のみならず他のユーザ関係の表現にも対応可能な汎用的な記述形式に基づくのに対し、第二の実施の形態におけるユーザ関係記述１６１ａは、組織構成に特化した記述形式が採用されている。したがって、ユーザ関係記述１６１ａにおけるタグには「Ｏｒｇａｎｉｚａｔｉｏｎ」等、組織構成特有のタグ名が用いられている。ユーザ関係が所定のものに限られており、システムの拡張性が必要とされない場合、図２０のような、所定のユーザ関係に特化した記述形式によるユーザ関係記述を定義してもよい。
【０１４３】
図２０において、ユーザ関係記述１６１ａは、Ｏｒｇａｎｉｚａｔｉｏｎ要素をルート要素として持つ。Ｏｒｇａｎｉｚａｔｉｏｎ要素は一つの組織を表現し、Ｎａｍｅ要素及びＭｅｍｂｅｒｓ要素と含むことができ、更に当該Ｏｒｇａｎｉｚａｔｉｏｎ要素によって表現される組織に属する組織に対応するＯｒｇａｎｉｚａｔｉｏｎ要素を子要素として再帰的に含み得る。
【０１４４】
Ｎａｍｅ要素は、組織名を表現する要素である。Ｍｅｍｂｅｒｓ要素は、組織に属するメンバ群を表現する要素であり、一つ以上のＰｅｒｓｏｎ要素を子要素として含む。Ｐｅｒｓｏｎ要素は一構成員（ユーザ）を表現する要素でありＮａｍｅ要素とＲｏｌｅ要素とを子要素として有する。Ｎａｍｅ要素は当該構成員の名前を示す要素である。Ｒｏｌｅ要素は、当該Ｒｏｌｅ要素が属するＰｅｒｓｏｎ要素のユーザが有する他のユーザとの関係を表現するための要素であり、Ｔｙｐｅ要素及びＴａｒｇｅｔ要素を子要素として有する。なお、Ｒｏｌｅ要素については、第一の実施の形態におけるユーザ関係記述と基本的に同様である。但し、Ｔｙｐｅ要素の値が「ＭＡＮＡＧＥＲ」の場合、その対象はその構成員が所属する部門であることが自明であるため、Ｔａｒｇｅｔ要素は省略されている。
【０１４５】
例えば、図２０のユーザ関係記述１６１ａにおいて、Ｏｒｇａｎｉｚａｔｉｏｎ要素ｏｒ１は、そのＮａｍｅ要素ｎ１より、製品設計部を表現する要素であることが分かる。また、Ｏｒｇａｎｉｚａｔｉｏｎ要素ｏｒ１の子要素として定義されているＭｅｍｂｅｒｓ要素ｍ１１、Ｏｒｇａｎｉｚａｔｉｏｎ要素ｏｒ１１及びＯｒｇａｎｉｚａｔｉｏｎ要素ｏｒ１２より、製品設計部には、ｂｕｃｈｏ、ｊｉｃｈｏ、ｈｉｓｏｈ、第一設計部、第二設計部が属していることが分かる。
【０１４６】
Ｐｅｒｓｏｎ要素ｐ１１のＲｏｌｅ要素ｒ１１において、Ｔｙｐｅ要素の値は、「ＭＡＮＡＧＥＲ」である。したがって、Ｒｏｌｅ要素ｒ１１は、ユーザｂｕｃｈｏは、製品設計部に属する全てのユーザに対してＭＡＮＡＧＥＲ（部長）という関係（ロール）を持つことを示す。
【０１４７】
また、Ｐｅｒｓｏｎ要素ｐ１２のＲｏｌｅ要素ｒ１２において、Ｔｙｐｅ要素の値は「ＳＥＣＲＥＴＡＲＹ」であり、Ｔａｒｇｅｔ要素の値は「ｂｕｃｈｏ」である。これは、Ｐｅｒｓｏｎ要素ｐ１２に対応するユーザ（ｈｉｓｈｏ）は、ｂｕｃｈｏに対してＳＥＣＲＥＴＡＲＹ（秘書）という関係（ロール）を持つことを示す。
【０１４８】
図２１及び図２２は、第二の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【０１４９】
第二の実施の形態におけるポリシー記述１４１ａの記述形式は、その大半において第一の実施の形態と同様であるため、その記述内容は適宜省略されている。ここでは、第一の実施の形態との相違点について説明する。
【０１５０】
まず、第一の相違点として、図２１及び図２２のポリシー記述１４１ａには、第一の実施の形態のポリシーデータ１４と間接ポリシーデータ１５とをマージした内容が記述されている。すなわち、第一の実施の形態においては、関係者及び対象者についてはポリシーデータ１４に記述されており、それ以外（ＭＡＮＡＧＥＲ、ＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲ、ＳＥＣＲＥＴＡＲＹ等）については、間接ポリシーデータ１５に記述されていた。しかし、第二の実施の形態においては、関係者及び対象者とそれ以外とに対する定義が一つのポリシーデータ１４ａ内に混在している。
【０１５１】
例えば、図２１のＲｕｌｅ要素ｒ２において、ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ２１は、ＰＲＩＮＣＩＰＡＬ（対象者）に対する定義である。一方、ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ１２は、ＭＡＮＡＧＥＲに対する定義である。
【０１５２】
次に第二の相違点として、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素の代わりにＳａｍｅＡｓ要素が用いられている。但し、ＳａｍｅＡｓ要素の機能は、ＳａｍｅＡｓＴｈｅＲｏｌｅＴａｒｇｅｔ要素と同様である。すなわち、ＳａｍｅＡｓ要素は、その値に示されたロールに対応するユーザと同一のアクセス権限を認めることを定義するための要素である。例えば、図２１において、ＳａｍｅＡｓ要素ｓ２２の値はＰＲＩＮＣＩＰＡＬであるが、これは、対象者と同一のアクセス権限が認められることを示す。
【０１５３】
以下、第二の実施の形態における間接ポリシー評価部１２５の処理手順について説明する。なお、ポリシー評価部１２４の処理手順は第一の実施の形態と同様であるため、その説明は省略する。
【０１５４】
図２３は、第二の実施の形態における間接ポリシー評価部による間接アクセス権限の評価処理を説明するためのフローチャートである。
【０１５５】
ポリシーサーバ主制御部１２１よりユーザ情報、セキュリティ属性情報及びアクセス種別を含む間接評価要求を受け付けると（Ｓ５０１）、セキュリティ属性に含まれているドメインに対応する間接ポリシーデータ１４ａを取得し、当該間接ポリシーデータ１４ａに記述されているポリシー記述１４１ａを読み込む（Ｓ５０２）。続いて、ユーザ関係記述データ１６ａを取得し、ユーザ関係記述１６１ａを読み込む（Ｓ５０３）。
【０１５６】
続いて、ユーザ関係記述１６１ａにおいて、アクセス主体のユーザ（以下「カレントユーザ」という。）が「ＭＡＮＡＧＥＲ」のロールを有している場合、カレントユーザの部下の中にアクセス対象の文書（以下「カレント文書」という。）の関係者又は対象者が含まれているかを判定する（Ｓ５０４）。具体的には、カレントユーザがＭＡＮＡＧＥＲとしてのロールを持つ組織（Ｏｒｇａｎｉｚａｔｉｏｎ要素）に子要素として含まれるＭｅｍｂｅｒｓ要素又はＯｒｇａｎｉｚａｔｉｏｎ要素に含まれるＰｅｒｓｏｎ要素に係るユーザ名を再帰的に列挙することにより、部下リストを作成する。その部下リストに含まれているユーザ名の中に、セキュリティ属性情報に含まれている関係者／対象者に含まれているものが有る場合、カレントユーザの部下の中にカレント文書の関係者又は対象者は含まれていると判定される。
【０１５７】
ステップＳ５０４における判定が肯定的な場合（Ｓ５０４でＹｅｓ）、カレントユーザのロールにＭＡＮＡＧＥＲを与える（Ｓ５０５）。
【０１５８】
続いて、ユーザ関係記述１６１ａにおいて、カレントユーザが「ＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲ」のロールを有している場合、カレントユーザが代行できるユーザ（以下「代行対象ユーザ」という。）の中にカレント文書の関係者又は対象者が含まれているかを判定する（Ｓ５０６）。具体的には、カレントユーザに対応するＰｅｒｓｏｎ要素のＲｏｌｅ要素におけるＴａｒｇｅｔ要素に示されているユーザ名を列挙し、代行対象リストを作成する。その代行対象リスト含まれているユーザ名の中に、セキュリティ属性情報に含まれている関係者／対象者に含まれているものが有る場合、カレントユーザの代行対象者の中にカレント文書の関係者又は対象者は含まれていると判定される。
【０１５９】
ステップＳ５０６における判定が肯定的な場合（Ｓ５０６でＹｅｓ）、カレントユーザのロールにＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲを与える（Ｓ５０７）。
【０１６０】
続いて、ユーザ関係記述１６１ａにおいて、カレントユーザが「ＳＥＣＲＥＴＡＲＹ」のロールを有している場合、カレントユーザが秘書をしているユーザ（以下「秘書対象ユーザ」という。）の中にカレント文書の関係者又は対象者が含まれているかを判定する（Ｓ５０６）。具体的には、カレントユーザに対応するＰｅｒｓｏｎ要素のＲｏｌｅ要素におけるＴａｒｇｅｔ要素に示されているユーザ名を列挙し、秘書対象リストを作成する。その秘書対象リスト含まれているユーザ名の中に、セキュリティ属性情報に含まれている関係者／対象者に含まれているものが有る場合、カレントユーザの秘書対象者の中にカレント文書の関係者又は対象者は含まれていると判定される。
【０１６１】
ステップＳ５０８における判定が肯定的な場合（Ｓ５０８でＹｅｓ）、カレントユーザのロールにＳＥＣＲＥＴＡＲＹを与える（Ｓ５０９）。
【０１６２】
続いて、ポリシー記述１４１ａにおけるＲｕｌｅ要素ごとのループ処理を実行する（Ｓ５１０）。各ループ処理において処理対象とされるＲｕｌｅ要素を以下「カレントＲｕｌｅ要素」という。
【０１６３】
まず、カレントＲｕｌｅ要素がカレント文書に適用される規則であるか否かを判定する（Ｓ５１１）。この判定方法は、第一の実施の形態と同様である。適用対象外の場合（Ｓ５１１でＮｏ）、次のＲｕｌｅ要素が処理対象（カレントＲｕｌｅ要素）とされる。
【０１６４】
カレントＲｕｌｅ要素がカレント文書への適用規則であった場合（Ｓ５１１でＹｅｓ）、カレントＲｕｌｅ要素に属するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素の中から、カレントユーザに適用されるものを検索する（Ｓ５１２、Ｓ５１３）。すなわち、カレントＲｕｌｅ要素に属するいずれかのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素のＲｏｌｅ要素の値が、Ｓ５０４からＳ５０９においてカレントユーザに与えられたロールを含んでいる場合、当該ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素はカレントユーザへの適用対象とされる。いずれのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素も適用対象でなかった場合（Ｓ５１２でＮｏ）、次のＲｕｌｅ要素が処理対象とされる。
【０１６５】
カレントユーザに適用されるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が検索された場合（Ｓ５１３でＹｅｓ）、カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素に属するＯｐｅｒａｔｉｏｎ要素の中から、要求されているアクセス種別を対象とするものを検索する（Ｓ５１４）。
【０１６６】
Ｏｐｅｒａｔｉｏｎ要素が検索された場合（Ｓ５１４でＹｅｓ）、評価結果に「許可」を含め（Ｓ５１５）、更に当該Ｏｐｅｒａｔｉｏｎ要素に属するＯｂｌｉｇａｔｉｏｎ要素に規定されている責務の内容を評価結果に含める（Ｓ５１６）。続いて、その評価結果をポリシーサーバ主制御部１２１に返却し（Ｓ５１７）、処理を終了させる。
【０１６７】
一方、Ｏｐｅｒａｔｉｏｎ要素が検索されなかった場合（Ｓ５１４でＮｏ）、カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素に属するＯｐｅｒａｔｉｏｎ要素の中から、ＳａｍｅＡｓ要素を子要素として有するものを検索する（Ｓ５１８）。ＳａｍｅＡｓ要素を有するＯｐｅｒａｔｉｏｎ要素が検索された場合（Ｓ５１８でＹｅｓ）、当該ＳａｍｅＡｓ要素の値に示されているロールに対応するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素に基づいて、カンレトユーザに対するアクセス権限を評価し（Ｓ５１９）、その評価結果をポリシーサーバ主制御部１２１に返却する（Ｓ５１７）。
【０１６８】
一方、ＳａｍｅＡｓ要素を有するＯｐｅｒａｔｉｏｎ要素が検索されなかった場合（Ｓ５１８でＮｏ）、評価結果に「不許可」を含め（Ｓ５２０）、その評価結果をポリシーサーバ主制御部１２１に返却する（Ｓ５１７）。
【０１６９】
例えば、機密レベルが「ＳＥＣＲＥＴ」で、文書カテゴリが「ＨＵＭＡＮ＿ＲＥＳＯＵＲＣＥ」であり、関係者／対象者は、ｋａｉｎ１２の文書を、ｋａｃｈｏ１が閲覧しようとした場合を考える。ｋａｃｈｏ１は当該文書の関係者／対象者には含まれていない。したがって、ポリシー評価部１２４による評価結果は不許可となる。
【０１７０】
そこで、ｋａｃｈｏ１の評価は、間接ポリシー評価部１２５に要求される。ユーザ関係記述データ１６ａのユーザ関係記述１６１ａ（図２０）によれば、ｋａｃｈｏ１に対応するＰｅｒｓｏｎ要素ｐ１３には、Ｔｙｐｅ要素の値が「ＭＡＮＡＧＥＲ」であるＲｏｌｅ要素が含まれている。また、ｋａｃｈｏ１は、第一設計課の所属である。したがって、ｋａｃｈｏ１の部下リストには、第一設計課の所属であるｋａｉｎ１１、ｋａｉｎ１２、ｋａｉｎ１３が含められる。ここで、ｋａｉｎ１２はＳＥＣ０００１２３の関係者／対象者であるため、ｋａｃｈｏ１にはＭＡＮＡＧＥＲのロールが与えられる。
【０１７１】
当該文書の文書カテゴリ（ＨＵＭＡＮ＿ＲＥＳＯＵＣＥＳ）と機密レベル（ＳＥＣＲＥＴ）とにより、ポリシーデータ１４ａのポリシー記述１４１ａにおいてＤｏｃＣａｔｅｇｏｒｙがＨＵＭＡＮ＿ＲＥＳＯＵＣＥＳで、ＳｅｎｓｉｔｉｖｉｔｙがＳＥＣＲＥＴのＲｕｌｅ要素ｒ２（図２１）が適用される。
【０１７２】
更に、Ｒｕｌｅ要素ｒ２において、Ｒｏｌｅ要素の値がＭＡＮＡＧＥＲであるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ２２が適用対象となる。ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ２２には、ＳａｍｅＡｓ要素ｓ２２を子要素として持つＯｐｅｒａｔｉｏｎ要素が含まれている。したがって、ＳａｍｅＡｓ要素ｓ２２の値であるＰＲＩＮＣＩＰＡＬに対するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ２１に基づいてアクセス権限の評価が行われる。
【０１７３】
次に、第三の実施の形態について説明する。第二の実施の形態ではポリシー評価部１２４と間接ポリシー評価部１２５とが同じポリシーデータ１４ａを参照する例について説明した。但し、第一の実施の形態にも示されているように、ポリシー評価部１２４と間接ポリシー評価部１２５とは、必ずしも同一のポリシーデータ１４ａを参照する必要はない。そこで、第三の実施の形態では、ポリシーデータ１４ａをポリシー評価部１２４で使用するポリシーデータと、間接ポリシー評価部１２５で使用する間接ポリシーデータとに分割した例について説明する。
【０１７４】
図２４は、第三の実施の形態におけるポリシーサーバの機能構成例を示す図である。図２４中、図１９又は図５と同一部分には同一符号を付し、その説明は省略する。
【０１７５】
図２４において、ポリシー評価部１２４と間接ポリシー評価部１２５とが、それぞれ別個のポリシーデータを参照する点が第二の実施の形態と異なる。すなわち、ポリシー評価部１２４は、ポリシーデータ１４ｂを参照し、間接ポリシー評価部１２５は、ポリシーデータ１５ｂを参照する。
この場合、ポリシーデータ１４ｂには、関係者及び対象者に関する記述だけを含めればよい。図２５は、第三の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【０１７６】
図２５のポリシー記述１４１ｂには、三つのＲｕｌｅ要素（ｒ１、ｒ２、及びｒ３）が定義されているが、それぞれのＲｏｌｅ要素ｒ１１、ｒ２１、及びｒ３１より明らかなように、いずれのＲｕｌｅ要素もＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ（関係者）又はＰＲＩＮＣＩＰＡＬ（対象者）に対する定義である。すなわち、ポリシー記述１４１ｂは、第二の実施の形態におけるポリシーデータ１４ａより、関係者又は対象者に関するＲｕｌｅ要素を抽出したものに相当する。したがって、ポリシー記述１４１ｂの記述形式については前述の実施の形態におけるものと同様であるため、詳細な説明は省略する。
【０１７７】
図２６及び図２７は、第三の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。図２６及び図２７のポリシー記述１５１ｂは、第二の実施の形態におけるポリシーデータ１４ａより、関係者及び対象者以外の評価に必要なＲＲｕｌｅ要素が抽出されたものである。
【０１７８】
ところで、ポリシー記述１５１ｂのＲｕｌｅ要素ｒ１において、ＭＡＮＡＧＥＲを対象とするＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ１２の他に、ＰＲＩＮＣＩＰＡＬ（対象者）を対象とするＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ１１が定義されている。これは、ＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ａ１２におけるＳａｍｅＡｓ要素ｓ１２においてＰＲＩＮＣＩＰＡＬに対する定義を参照する必要があるからである。
【０１７９】
なお、第三の実施の形態において、ポリシー評価部１２４及び間接ポリシー評価部１２５の処理は、それぞれがポリシーデータ１４ｂ又は間接ポリシーデータ１５ｂを読み込むことを除き第二の実施の形態と同様である。したがって、ここでの説明は省略する。
【０１８０】
次に、第四の実施の形態について説明する。上記のように、第三の実施の形態における間接ポリシーデータ１５ｂには、ＳａｍｅＡｓ要素によって参照される対象者又は関係者に対するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が定義されている。この部分の定義についてはポリシーデータ１４ｂと間接ポリシーデータ１５ｂとで重複することになる。そこで、第四の実施の形態では、第三の実施の形態における間接ポリシーデータ１５ｂの定義内容をより簡略化した例について説明する。
【０１８１】
図２８は、第四の実施の形態におけるポリシーサーバの機能構成例を示す図である。図２８中、図２４又は図５と同一部分には同一符号を付し、その説明は省略する。図２８において、間接ポリシーデータ１５ｃは、第二の実施の形態における間接ポリシーデータ１５ｂに比較してその記述内容が簡略化されている。
【０１８２】
図２９は、第四の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。図２９における間接ポリシー記述１５１ｃには、Ｒｕｌｅ要素ｒ１、ｒ２及びｒ３において、４つのＳａｍｅＡｓ要素（ｓ１１、ｓ２１、ｓ２２、ｓ２３）が定義されているが、各ＳａｍｅＡｓ要素の参照先であるＰＲＩＮＣＩＰＡＬに対するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素は定義されていない。これは、ＰＲＩＮＣＩＰＡＬに対する評価についてはポリシーデータ１５ｂに基づいて行われるためのである。すなわち、間接ポリシー記述１５１ｃは、第三の実施の形態における間接ポリシー記述１５１ｂより対象者及び関係者に対する定義を削除したものに相当する。そのため、間接ポリシー評価部１２５は、ＳａｍｅＡｓ要素の参照先のアクセス権限の評価についてポリシー評価部１２４に対して問い合わせる必要が生じる。図２８における間接ポリシー評価部１２５とポリシー評価部１２４との間の矢印は、その問い合わせと問い合わせに対する応答とを表現している。
【０１８３】
なお、間接ポリシー記述１５１ｃは、全てのロールに対するＯｐｅｒａｔｉｏｎｓ要素に対してＳａｍｅＡｓ要素が定義されている。すなわち、間接ポリシー記述１５１ｃには、関係者又は対象者と所定の関係を有するユーザに関係者又は対象者と同じ権限を与えることが定義されている。
【０１８４】
第四の実施の形態における間接ポリシー評価部１２５の処理手順は、ＳａｍｅＡｓ要素に対する評価がポリシー評価部１２４に委譲される点において第二及び第三の実施の形態と異なる。なお、ポリシー評価部１２４による処理は、第二及び第三の実施の形態と同様である。
【０１８５】
図３０は、第四の実施の形態における間接ポリシー評価部による間接アクセス権限の評価処理を説明するためのフローチャートである。
【０１８６】
ポリシーサーバ主制御部１２１よりユーザ情報、セキュリティ属性情報及びアクセス種別を含む間接評価要求を受け付けると（Ｓ６０１）、セキュリティ属性に含まれているドメインに対応する間接ポリシーデータ１５ｃを取得し、当該間接ポリシーデータ１５ｃに記述されている間接ポリシー記述１５１ｃ（図２９参照）を読み込む（Ｓ６０２）。続いて、ユーザ関係記述データ１６ａを取得し、ユーザ関係記述１６１ａ（図２０）を読み込む（Ｓ６０３）。
【０１８７】
続いて、ユーザ関係記述１６１ａにおいて、アクセス主体のユーザ（以下「カレントユーザ」という。）が「ＭＡＮＡＧＥＲ」のロールを有している場合、カレントユーザがＭＡＮＡＧＥＲとしてのロールを持つ組織（Ｏｒｇａｎｉｚａｔｉｏｎ要素）に子要素として含まれるＭｅｍｂｅｒｓ要素又はＯｒｇａｎｉｚａｔｉｏｎ要素に含まれるＰｅｒｓｏｎ要素に係るユーザ名を再帰的に列挙することにより、部下リストを作成する（Ｓ６０４）。
【０１８８】
続いて、ユーザ関係記述１６１ａにおいて、カレントユーザが「ＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲ」のロールを有している場合、カレントユーザに対応するＰｅｒｓｏｎ要素のＲｏｌｅ要素におけるＴａｒｇｅｔ要素に示されているユーザ名を列挙し、代行対象リストを作成する（Ｓ６０５）。
【０１８９】
続いて、ユーザ関係記述１６１ａにおいて、カレントユーザが「ＳＥＣＲＥＴＡＲＹ」のロールを有している場合、カレントユーザに対応するＰｅｒｓｏｎ要素のＲｏｌｅ要素におけるＴａｒｇｅｔ要素に示されているユーザ名を列挙し、秘書対象リストを作成する（Ｓ６０６）。
【０１９０】
続いて、間接ポリシー記述１５１ｃにおけるＲｕｌｅ要素ごとのループ処理を実行する（Ｓ６０７）。ループ処理において処理対象とされるＲｕｌｅ要素を以下「カレントＲｕｌｅ要素」という。
【０１９１】
まず、カレントＲｕｌｅ要素がカレント文書に適用される規則であるか否かを判定する（Ｓ６０８）。この判定方法は、第一の実施の形態と同様である。適用対象外の場合（Ｓ６０８でＮｏ）、次のＲｕｌｅ要素が処理対象（カレントＲｕｌｅ要素）とされる。
【０１９２】
カレントＲｕｌｅ要素がカレント文書への適用規則であった場合（Ｓ６０８でＹｅｓ）、カレントＲｕｌｅ要素に属するＡｃｃｅｓｓＣｏｎｔｒｏｌ要素ごとにループ処理が実行される（Ｓ６０９）。ループ処理において処理対象とされるＡｃｃｅｓｓＣｏｎｔｒｏｌ要素を以下「カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素」という。
【０１９３】
まず、カレントＡｃｃｅｓｓＣｏｎｔｒｏｌ要素におけるＲｏｌｅ要素（以下「カレントＲｏｌｅ要素」という。）の値を判定する（Ｓ６１０、Ｓ６１６、Ｓ６２２）。
【０１９４】
続いて、カレントＲｏｌｅ要素の値（ＭＡＮＡＧＥＲ、ＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲ、又はＳＥＣＲＥＴＡＲＹ）に応じて、部下リスト、代行対象リスト、又は秘書対象リストに含まれている各ユーザ（以下「ロール対象ユーザ」と総称する）について（Ｓ６１１、Ｓ６１７、又はＳ６２３）ユーザ情報を生成する（Ｓ６１２、Ｓ６１８、又はＳ６２４）。更に、生成したユーザ情報、セキュリティ情報及びアクセス種別をポリシー評価部１２４に出力することにより、ロール対象ユーザに対するアクセス権限の評価をポリシー評価部１２４に要求する（Ｓ６１３、Ｓ６１９、又はＳ６２５）。
【０１９５】
ポリシー評価部１２４によっていずれかのロール対象ユーザに対してアクセスが許可された場合（Ｓ６１４、Ｓ６２０、又はＳ６２６でＹｅｓ）、当該ロール対象ユーザに対するポリシー評価部１２４による評価結果を間接ポリシー評価部１２５による評価結果としてポリシーサーバ主制御部１２１に返却する（Ｓ６１５、Ｓ６２１又はＳ６２７）。ポリシー評価部１２４によっていずれのロール対象ユーザに対してもアクセスが許可されなかった場合（Ｓ６１１、Ｓ６１７又はＳ６２３でＮｏ）、カレントＲｕｌｅ要素における次のＡｃｃｅｓｓＣｏｎｔｒｏｌ要素が処理対象とされる。
【０１９６】
また、カレントＲｕｌｅ要素におけるいずれのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素も適用対象でなかった場合（Ｓ６０９でＮｏ）、次のＲｕｌｅ要素が処理対象とされる。更に、いずれのＲｕｌｅ要素についても適用対象でなかった場合（Ｓ６０７でＮｏ）、評価結果に「不許可」を含め（Ｓ６２８）、その評価結果をポリシーサーバ主制御部１２１に返却する（Ｓ６２９）。
【０１９７】
次に、第五の実施の形態について説明する。上記第一から第四の実施の形態においては、ポリシー評価部１２４と間接ポリシー評価部１２５とが、それぞれ独立した機能モジュール（例えば、ライブラリ又は関数等）として図示されていた。しかし、両者は必ずしも独立している必要はなく、双方の機能を備えた一つの機能モジュールとして統合されていてもよい。そこで、第五の実施の形態として、ポリシー評価部１２４と間接ポリシー評価部１２５とが統合された例について説明する。
【０１９８】
図３１は、第五の実施の形態におけるポリシーサーバの機能構成例を示す図である。図３１中、図１９と同一部分には同一符号を付し、その説明は省略する。
【０１９９】
図３１においてポリシー評価部１２４ａは、上記におけるポリシー評価部１２４及び間接ポリシー評価部１２５双方の機能を実行する。すなわちポリシー評価部１２４ａは、対象者又は関係者に対するアクセス権限のみならず、間接的なアクセス権限についても評価を行う。
【０２００】
図３２は、第五の実施の形態におけるポリシー評価部によるアクセス権限の評価処理を説明するためのフローチャートである。
【０２０１】
図３２のフローチャートは、第二の実施の形態における間接ポリシー評価部１２５による処理手順（図２３）とよく似ている。したがって、図２３との相違点に基づいて、図３２の内容を説明する。
【０２０２】
図２３の処理は、カレントユーザのロール対象ユーザがカレント文書の関係者又は対象者であるかによって、カレントユーザに対してロール（ＭＡＮＡＧＥＲ、ＡＣＴＩＮＧ＿ＭＡＮＡＧＥＲ、又はＳＥＣＲＥＴＡＲＹ）を与え、カレントユーザに与えられたロールに対するＡｃｅｓｓＣｏｎｔｒｏｌ要素に基づいて評価を行うというものであった。
【０２０３】
図３２では、図２３の処理に加え、カレントユーザ自身が関係者又は対象者であるかを判定し（Ｓ７０３）、その判定が肯定的な場合はカレントユーザに対してＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳとＰＲＩＮＣＩＰＡＬとを与えている（Ｓ７０４）。これによって、ステップＳ７１５の判定において、Ｒｏｌｅ要素の値が、ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ又はＰＲＩＮＣＩＰＡＬのＡｃｃｅｓｓＣｏｎｔｒｏｌ要素もカレントユーザの適用対象とされる。したがって、図２３における間接的な権限の評価のみならず、対象者及び関係者に対する直接的なアクセス権限の評価も行われる。
【０２０４】
ところで、上記第二から第五の実施の形態においては、組織構成に基づくユーザ関係についてのみ言及したが、他のユーザ関係についても同様の原理で間接的なアクセス権限の評価が可能である。
【０２０５】
例えば、座席レイアウトに基づくユーザ関係を第二から第五の実施の形態に適用する場合、そのユーザ関係記述データは、例えば、以下のように定義してもよい。
【０２０６】
図３３は、第二の実施の形態以降における座席レイアウトに基づくユーザ関係記述の例を示す図である。
【０２０７】
図３３のユーザ関係記述１７１ａは、図１２のユーザ関係記述１７１と同様、図１０に示される組織構成を表現したユーザ関係記述である。但し、第一の実施の形態におけるユーザ関係記述１７１は、組織構成のみならず他のユーザ関係の表現にも対応可能な汎用的な記述形式に基づくのに対し、ユーザ関係記述１７１ａは、組織構成に特化した記述形式が採用されている。したがって、ユーザ関係記述１７１ａにおけるタグには「Ｐａｒｔｉｔｉｏｎ」等、組織構成特有のタグ名が用いられている。
【０２０８】
図３３において、ユーザ関係記述１７１ａは、Ｐａｒｔｉｔｉｏｎ要素をルート要素として持つ。Ｐａｒｔｉｔｉｏｎ要素は一つの空間的な区切り（区域）を表現する。本実施の形態において空間的な区切りとは、事業所（一つのビル）、ビルの各フロア、及びフロアにおける各パーティションを意味する。以下においては、この空間的な区切りを「パーティション」として総称する。
【０２０９】
Ｐａｒｔｉｔｉｏｎ要素は、Ｎａｍｅ要素及びＤｅｓｋＦｏｒ要素を子要素として含むことができ、更に当該Ｐａｒｔｉｔｉｏｎ要素によって表現されるパーティションに含まれるパーティションに対応するＰａｒｔｉｔｉｏｎ要素を子要素として再帰的に含み得る。
【０２１０】
Ｎａｍｅ要素は、当該パーティションを識別する名前（パーティション名）を表現する要素である。ＤｅｓｋＦｏｒ要素は各ユーザの座席を表現する要素であり、その値は当該座席が割り当てられているユーザのユーザ名を示す。
【０２１１】
例えば、図３３のユーザ関係記述１７１ａにおいて、Ｐａｒｔｉｔｉｏｎ要素ｐａ１は、そのＮａｍｅ要素ｎ１より、Ａ事業所を表現する要素であることが分かる。また、Ｐａｒｔｉｔｉｏｎ要素ｐａ１の子要素として定義されているＰａｒｔｉｔｉｏｎ要素ｐａ１１及びｐａ１２は、Ａ事業所における各フロアを表現する要素である。７Ｆに対応するＰａｒｔｉｔｉｏｎ要素ｐａ１２には、更にＰａｒｔｉｔｉｏｎ要素ｐａ１２１及びｐａ１２２が含まれている。
【０２１２】
Ｐａｒｔｉｓｉｏｎ要素ｐａ１２１は、コールセンターを表現する要素であり、それに含まれているＤｅｓｋＦｏｒ要素によって、コールセンターに座席を有する各ユーザが定義されている。
【０２１３】
Ｐａｒｔｉｓｉｏｎ要素ｐａ１２２は、コンピュータルームを表現する要素であり、それに含まれているＤｅｓｋＦｏｒ要素によって、コンピュータルームに座席を有する各ユーザが定義されている。
【０２１４】
なお、ユーザ関係記述１７１ａには、Ｒｏｌｅ要素が定義されていない。これは、Ｒｏｌｅ要素を定義しなくても、各ユーザのロールを明確に解釈することが可能だからである。すなわち、同一事業所に属する各ユーザは、他の全ての同一事業所のユーザに対してＳＡＭＥ＿ＢＵＩＬＤＩＮＧロールを有していると解釈することができる。同様に、同一フロアに属する各ユーザは、他の全ての同一フロアのユーザに対してＳＡＭＥ＿ＦＬＯＯＲロールを有し、同一パーティション（ここでは、フロアを区切るパーティションを意味する）に属する各ユーザは、他の全ての同一パーティションのユーザに対してＳＡＭＥ＿ＰＡＲＴＩＴＩＯＮロールを有すると解釈することができる。
【０２１５】
図３４及び図３５は、座席レイアウトに対応するポリシーデータのポリシー記述の例を示す図である。すなわち、図３４及び図３５におけるポリシー記述１４１ｃは、図２１及び図２２におけるポリシー記述１４１ａが組織構成に基づくユーザ関係に対するポリシー記述であるのに対し、図３３に示した座席レイアウトに基づくユーザ関係に対応するポリシー記述の例である。なお、ポリシー記述１４１ｃの記述形式は、ポリシー記述１４１ａと同様であるため、ポリシー記述１４１ｃの内容に関する説明は省略する。
【０２１６】
更に、図３３におけるユーザ関係記述１７１ａと、図３４及び図３５におけるポリシー記述１４１ｃとを第五の実施の形態におけるポリシーサーバ１０（図３１）に適用した場合のポリシー評価部の処理手順を図３６に示す
図３６は、第五の実施の形態におけるポリシー評価部による座席レイアウトに基づくアクセス権限の評価処理を説明するためのフローチャートである。
【０２１７】
図３６の処理は、評価の対象となるロールが、座席レイアウトに対応したもの（ＳＡＭＥ＿ＢＵＩＬＤＩＮＧ、ＳＡＭＥ＿ＦＬＯＯＲ、又はＳＡＭＥ＿ＰＡＲＴＩＴＩＯＮ）である点を除き、図３２と同様であるため、その詳細な説明については省略する。
【０２１８】
座席レイアウトに基づくユーザ関係に対してアクセス制御を行うことにより、例えば情報システムのネットワーク管理担当である佐藤さんや藤田さんに、ネットワーク構成情報が記載された情報システム関連のマル秘文書が保護済み文書として配布された場合に、彼らはコンピュータルームにいる周囲の人に当該文書の内容を見てもらって相談するといった柔軟な対応が可能となる。その一方でその上でそれ以上の横流しができないような機密管理を実現できる。
【０２１９】
次に、第六の実施の形態について説明する。図３７は、第六の実施の形態におけるポリシーサーバの機能構成例を示す図である。図３７中、図２８又は図３１等と同一部分には同一符号を付し、その説明は省略する。
【０２２０】
図３７において、ユーザ関係記述データＡ１６ｄ及びユーザ関係記述データＢ１７ｄは、それぞれ異なるユーザ関係が定義されたユーザ関係記述データである。例えば、ユーザ関係記述データＡ１６ｄには組織構成に基づくユーザ関係が定義されており、ユーザ関係記述データＢ１７ｄには座席レイアウトに基づくユーザ関係が定義されている。なお、各ユーザ関係記述データの記述形式は、第一〜第五の実施の形態におけるいずれのものであっても構わない。または、上記実施の形態において示した以外のものであっても構わない。
【０２２１】
また、間接ポリシー評価部１２５ａ及び間接ポリシー評価部１２５ｂは、上記の実施の形態における間接ポリシー評価部１２５に相当し、ユーザ関係に基づく間接的なアクセス権限を評価する。但し、間接ポリシー評価部１２５ａは、ユーザ関係記述データＡ１６ｄに基づく評価を行う。また、間接ポリシー評価部１２５ｂは、ユーザ関係記述データＢ１７ｄに基づく評価を行う。
【０２２２】
すなわち、第六の実施の形態におけるポリシーサーバ１０は、ユーザ関係記述データごとに間接ポリシー評価部を有するというモデルを採用している。ポリシーサーバ主制御部１２１は、ポリシー評価部１２４による評価結果が否定的な場合、あらかじめ登録されている複数の間接ポリシー評価部を順番に又は並列的に利用して、いずれかの間接ポリシー評価部によって肯定的な評価結果が得られた場合にアクセスを許可する旨を文書アクセスプログラム３１に返信する。一方、いずれの間接ポリシー評価部によってもアクセスが許可されない場合、ポリシーサーバ主制御部１２１は、アクセスを許可しない旨を文書アクセスプログラム３１に返信する。
【０２２３】
なお、図３７におけるポリシー評価部１２４、間接ポリシー評価部１２５ａ及び間接ポリシー評価部１２５ｂによるアクセス権限の評価処理については、上記の実施の形態における説明より自明であるため、ここでの説明は省略する。
【０２２４】
なお、上記実施の形態においては、ＸＭＬ（eXtensible Markup Language）を用いてユーザ関係記述データを定義する例を示したが、ユーザ間の関係は、ＸＭＬ以外によって定義してもよい。例えば、ディレクトリサーバ等で組織構成を管理しているような場合には、ディレクトリツリーの情報をＬＤＩＦ（LDAP Data Interchange Format）形式で出力するようなツールを用いて作成したデータを用いてもよい。
【０２２５】
また、描画した組織図をDataDiagrammingMLというXML形式で出力することができるアプリケーションも市販されている。そのようにして出力されたデータを用いてユーザ関係記述データを実現してもよい。
【０２２６】
以上、本発明の実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【図面の簡単な説明】
【０２２７】
【図１】本発明の実施の形態における文書アクセス制御システムの概略構成例を示す図である。
【図２】文書保護処理を説明するための図である。
【図３】セキュリティ属性ＤＢを構成するセキュリティ属性テーブルの例を示す図である。
【図４】文書アクセス装置の機能構成例を示す図である。
【図５】第一の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【図６】第一の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【図７】第一の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【図８】第一の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【図９】本発明の実施の形態における組織構成の例を示す図である。
【図１０】本発明の実施の形態における座席レイアウトの例を示す図である。
【図１１】第一の実施の形態における組織構成に基づくユーザ関係記述の例を示す図である。
【図１２】第一の実施の形態における座席レイアウトに基づくユーザ関係記述の例を示す図である。
【図１３】第一の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。
【図１４】本発明の実施の形態におけるポリシーサーバのハードウェア構成例を示す図である。
【図１５】ユーザ認証部によるユーザ認証処理を説明するためのフローチャートである。
【図１６】セキュリティ属性管理部によるセキュリティ属性情報の検索処理を説明するためのフローチャートである。
【図１７】第一の実施の形態におけるポリシー評価部によるアクセス権限の評価処理を説明するためのフローチャートである。
【図１８】第一の実施の形態における間接ポリシー評価部による間接アクセス権限の評価処理を説明するためのフローチャートである。
【図１９】第二の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【図２０】第二の実施の形態における組織構成に基づくユーザ関係記述の例を示す図である。
【図２１】第二の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【図２２】第二の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【図２３】第二の実施の形態における間接ポリシー評価部による間接アクセス権限の評価処理を説明するためのフローチャートである。
【図２４】第三の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【図２５】第三の実施の形態におけるポリシーデータのポリシー記述の例を示す図である。
【図２６】第三の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。
【図２７】第三の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。
【図２８】第四の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【図２９】第四の実施の形態における間接ポリシーデータの間接ポリシー記述の例を示す図である。
【図３０】第四の実施の形態における間接ポリシー評価部による間接アクセス権限の評価処理を説明するためのフローチャートである。
【図３１】第五の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【図３２】第五の実施の形態におけるポリシー評価部によるアクセス権限の評価処理を説明するためのフローチャートである。
【図３３】第二の実施の形態以降における座席レイアウトに基づくユーザ関係記述の例を示す図である。
【図３４】座席レイアウトに対応するポリシーデータのポリシー記述の例を示す図である。
【図３５】座席レイアウトに対応するポリシーデータのポリシー記述の例を示す図である。
【図３６】第五の実施の形態におけるポリシー評価部による座席レイアウトに基づくアクセス権限の評価処理を説明するためのフローチャートである。
【図３７】第六の実施の形態におけるポリシーサーバの機能構成例を示す図である。
【符号の説明】
【０２２８】
１              文書アクセス制御システム
１０            ポリシーサーバ
１１            セキュリティ属性ＤＢ
１２            ポリシーサーバプログラム
１３            ユーザ管理ＤＢ
１４、１４ａ、１４ｂ    ポリシーデータ
１５、１５ｂ、１５ｃ    間接ポリシーデータ
１６、１６ａ、１６ｄ    ユーザ関係記述データＡ
１７、１７ｄ            ユーザ関係記述データＢ
２０            文書保護装置
３０            文書アクセス装置
３１            文書アクセスプログラム
４０            プリンタ
６０            オリジナル文書
６０ａ          暗号化文書
６１            保護済み文書
１００          ドライブ装置
１０１          記録媒体
１０２          補助記憶装置
１０３          メモリ装置
１０４          演算処理装置
１０５          インタフェース装置
１２１          ポリシーサーバ主制御部
１２２          ユーザ認証部
１２３          セキュリティ属性管理部
１２４          ポリシー評価部
１２５、１２５ａ、１２５ｂ          間接ポリシー評価部
３１１          アクセス執行部
３１２          文書ＩＤ取得部
３１３          アクセス制御判断要求部
３１４          データ復号部
３１５          レンダリング部
３１６          表示指示部
３１７          印刷指示部
Ｂ              バス
【図１】
2006323535.tif 000003
【図２】
2006323535.tif 000004
【図３】
2006323535.tif 000005
【図４】
2006323535.tif 000006
【図５】
2006323535.tif 000007
【図６】
2006323535.tif 000008
【図７】
2006323535.tif 000009
【図８】
2006323535.tif 000010
【図９】
2006323535.tif 000011
【図１０】
2006323535.tif 000012
【図１１】
2006323535.tif 000013
【図１２】
2006323535.tif 000014
【図１３】
2006323535.tif 000015
【図１４】
2006323535.tif 000016
【図１５】
2006323535.tif 000017
【図１６】
2006323535.tif 000018
【図１７】
2006323535.tif 000019
【図１８】
2006323535.tif 000020
【図１９】
2006323535.tif 000021
【図２０】
2006323535.tif 000022
【図２１】
2006323535.tif 000023
【図２２】
2006323535.tif 000024
【図２３】
2006323535.tif 000025
【図２４】
2006323535.tif 000026
【図２５】
2006323535.tif 000027
【図２６】
2006323535.tif 000028
【図２７】
2006323535.tif 000029
【図２８】
2006323535.tif 000030
【図２９】
2006323535.tif 000031
【図３０】
2006323535.tif 000032
【図３１】
2006323535.tif 000033
【図３２】
2006323535.tif 000034
【図３３】
2006323535.tif 000035
【図３４】
2006323535.tif 000036
【図３５】
2006323535.tif 000037
【図３６】
2006323535.tif 000038
【図３７】
2006323535.tif 000039