(57)【要約】【課題】端末装置と認証サーバとの間での通信が不可能な状況でも、オフラインポリシーを取得可能とし、また、変更することできるようにする。【解決手段】ユーザによるログイン時に、ユーザ毎のオンラインログイン時のアクセス制御ポリシーを記憶した認証サーバ103との間で通信を行うことができるか否かを判定する通信可否判定手段と、認証サーバとの間で通信を行うことができる場合に、前記認証サーバから前記オンラインログイン時のアクセス制御ポリシーを取得し、認証サーバとの間で通信を行うことができない場合に、接続されているオフラインログイン時のアクセス制御ポリシーを記録したトークンデバイス402からオフラインログイン時のアクセス制御ポリシーを取得するアクセス制御ポリシー取得手段208とを備える。トークンデバイス402内の制御ポリシーは、メールサーバ701からの受信情報により更新できる。【選択図】図１Ａ
2011076377.tif 000002
【特許請求の範囲】
【請求項１】
アクセス制御ポリシーに従った権限に基づく処理を行うことが可能とされた端末装置において、
ユーザによるログイン時に、ユーザ毎のオンラインログイン時のアクセス制御ポリシーを記憶した認証サーバとの間で通信を行うことができるか否かを判定する通信可否判定手段と、認証サーバとの間で通信を行うことができる場合に、前記認証サーバから前記オンラインログイン時のアクセス制御ポリシーを取得し、認証サーバとの間で通信を行うことができない場合に、接続されているオフラインログイン時のアクセス制御ポリシーを記録したトークンデバイスからオフラインログイン時のアクセス制御ポリシーを取得するアクセス制御ポリシー取得手段とを備えることを特徴とする端末装置。
【請求項２】
公衆回線網を通して通信可能なメールサーバから受信した電子メールに添付されたオフラインログイン時のアクセス制御ポリシーの情報を取得するアクセス制御ポリシー情報取得手段と、取得したオフラインログイン時のアクセス制御ポリシーの情報により、前記トークンデバイスに記録されたオフラインログイン時アクセス制御ポリシーを更新する更新手段とをさらに備えることを特徴とする請求項１記載の端末装置。
【請求項３】
アクセス制御ポリシーに従った権限に基づく処理を行うことが可能とされた端末装置におけるアクセス制御ポリシーの取得方法において、
前記端末装置は、認証サーバとの通信可否判定手段と、アクセス制御ポリシー取得手段とを備え、
前記認証サーバとの通信可否判定手段は、ユーザによるログイン時に、ユーザ毎のオンラインログイン時のアクセス制御ポリシーを記憶した認証サーバとの間で通信を行うことができるか否かを判定し、
前記アクセス制御ポリシー取得手段は、認証サーバとの間で通信を行うことができる場合に、前記認証サーバから前記オンラインログイン時のアクセス制御ポリシーを取得し、認証サーバとの間で通信を行うことができない場合に、接続されているオフラインログイン時のアクセス制御ポリシーを記録したトークンデバイスからオフラインログイン時のアクセス制御ポリシーを取得することを特徴とする端末装置におけるアクセス制御ポリシーの取得方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末装置及び端末装置におけるアクセス制御ポリシー取得方法に係り、特に、サーバ等からアクセス制御ポリシーを取得し、取得したアクセス制御ポリシーに従った処理を可能とした端末装置及び端末装置におけるアクセス制御ポリシー取得方法に関する。
【背景技術】
【０００２】
一般に、端末装置（以下、クライアントマシンという）におけるアクセス制御は、企業のような情報システムを想定すると、クライアントマシンがシステムへのログイン時に認証サーバからアクセス制御ポリシーを取得し、ログイン後には認証サーバから取得したアクセス制御ポリシーが反映され、ログアウト後には、全権限が制限された状態に戻るという形式のものが中心となっている。そして、アクセス制御ポリシーによって保護されるリソースは、ドキュメント、印刷機能、外部媒体へのデータ書き出し機能、メール送受信機能等多岐にわたる。
【０００３】
前述したようなシステムの中で、クライアントマシンが認証サーバと通信することができない状況での運用を考慮し、クライアントマシンがシステムへのログイン時に認証サーバからオンラインログイン時のアクセス制御ポリシーと共にオフラインログイン時のアクセス制御ポリシーも受信し、オフラインログイン時にはオフラインログイン時のアクセス制御ポリシーを反映させるという方法が、例えば、特許文献１等に記載されて知られている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−３３８５５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかし、前述した従来技術は、１度はクライアントマシンと認証サーバとが必ず通信を行うことができることを前提としており、常に、クライアントマシンを組織外に持ち出して使用するような状況の場合、アクセス制御ポリシーを取得することができず、何もできないという問題点を生じさせている。また、前述した従来技術は、オフラインログイン時のアクセス制御ポリシーであるオフラインポリシーが更新されるタイミングが、クライアントマシンが認証サーバで認証されたときのみであったため、ユーザの出張等によりクライアントマシンを組織外の遠隔地に持ち出し、クライアントマシンが組織内のネットワーク上に配置された認証サーバと通信することができないときに、例えば、一時的にデータを外部媒体へ書き出せるようにするというように、オフラインログイン時の制御ポリシーであるオフラインポリシーを変更したい状況には対応することができないという問題点を有している。
【０００６】
本発明の目的は、前述したような従来技術の問題点を解決し、クライアントマシンが認証サーバとの間で通信を行うことができない状況においても、オフラインポリシーを取得することを可能とすると共に、変更できるようにして、より柔軟にアクセス制御ポリシーをクライアントマシンが取得することができるようにしたクライアントマシン（端末装置）及びクライアントマシン（端末装置）におけるアクセス制御ポリシー取得方法を提供することにある。
【課題を解決するための手段】
【０００７】
本発明によれば前記目的は、アクセス制御ポリシーに従った権限に基づく処理を行うことが可能とされた端末装置において、ユーザによるログイン時に、ユーザ毎のオンラインログイン時のアクセス制御ポリシーを記憶した認証サーバとの間で通信を行うことができるか否かを判定する通信可否判定手段と、認証サーバとの間で通信を行うことができる場合に、前記認証サーバから前記オンラインログイン時のアクセス制御ポリシーを取得し、認証サーバとの間で通信を行うことができない場合に、接続されているオフラインログイン時のアクセス制御ポリシーを記録したトークンデバイスからオフラインログイン時のアクセス制御ポリシーを取得するアクセス制御ポリシー取得手段とを備えることにより達成される。
【０００８】
また、前記目的は、公衆回線網を通して通信可能なメールサーバから受信した電子メールに添付されたオフラインログイン時のアクセス制御ポリシーの情報を取得するアクセス制御ポリシー情報取得手段と、取得したオフラインログイン時のアクセス制御ポリシーの情報により、前記トークンデバイスに記録されたオフラインログイン時アクセス制御ポリシーを更新する更新手段とをさらに備えることにより達成される。
【発明の効果】
【０００９】
本発明によれば、認証サーバとの間で通信を行うことができない状況で使用されるクライアントマシンに対しても、最適なアクセス制御ポリシーを適用させることが可能となり、また、認証サーバとの間で通信を行うことができない状況にあるクライアントマシンに対するアクセス制御ポリシーを変更することができるため、様々な状況に対応することが可能となる。
【図面の簡単な説明】
【００１０】
【図１Ａ】本発明の一実施形態によるクライアントマシンを含んだクライアントサーバシステムの構成を示すブロックである。
【図１Ｂ】本発明の実施形態によるクライアントマシンのオンラインログイン時の処理の概要を説明する図である。
【図２】アクセス制御ポリシーＤＢに格納されるユーザ毎のオンラインポリシーの例を示す図である。
【図３】クライアントマシンにおけるオンラインログイン時の処理手順を説明するフローチャートである。
【図４】本発明の実施形態によるクライアントマシンのオフラインログイン時の処理の概要を説明する図である。
【図５】トークンデバイス内に格納されるオフラインポリシーの情報の例を示す図である。
【図６】クライアントマシンにおけるオフラインログイン時の処理手順を説明するフローチャートである。
【図７】本発明の実施形態によるクライアントマシンがオフラインポリシーを変更する際の処理の概要を説明する図である。
【図８】クライアントマシンにおけるオフラインポリシー情報を更新する際の処理手順を説明するフローチャートである。
【発明を実施するための形態】
【００１１】
以下、本発明によるクライアントマシン及びクライアントマシンにおけるアクセス制御ポリシー取得方法の実施形態を図面により詳細に説明する。
【００１２】
図１Ａは本発明の一実施形態によるクライアントマシンを含んたクライアントサーバシステムの構成を示すブロックである。なお、以下の説明において、クライアントマシンが認証サーバとの間で通信を行うことが可能な状態で、ユーザがクライアントマシンにログインすることをオンラインログインと言い、クライアントマシンが認証サーバとの間で通信を行うことができない状態で、ユーザがクライアントマシンにログインすることをオフラインログインと言う。
【００１３】
図１Ａに示すクライアントサーバシステムは、本発明の一実施形態によるクライアントマシン１０１と、ネットワーク１０２を介して通信可能な認証サーバ１０３と、公衆回線網７０２を通して通信可能なメールサーバ７０１とにより構成され、さらに、クライアントマシンを使用するユーザが所持し、クライアントマシンにユーザがオフラインログインしたときに使用するオフラインポリシーを格納したＵＳＢメモリ等によるトークンデバイス４０２が用意されている。
【００１４】
クライアントマシン１０１は、よく知られているＰＣ等の情報処理装置であり、ＣＰＵ２０１、ＭＭ２０２、ＨＤＤ２０３等の記憶装置、キーボード及びマウス等の入力装置２０４、ディスプレイ２０５、通信装置２０６を備えて構成されている。そして、ＭＭ２０２内には、プログラムにより構成されるＯＳ２０７、通信監視部７０６、ポリシー更新部７０７、ポリシー取得部２０８がＨＤＤ２０３からロードされ、ＯＳ２０７の制御の下に、通信監視部７０６、ポリシー更新部７０７、ポリシー取得部２０８が以下に説明する本発明の実施形態での処理を実行する。
【００１５】
また、認証サーバ１０３は、クライアントマシン１０１を使用するユーザの認証を行う機能を有する情報処理装置であり、公知の装置である。そして、認証サーバ１０３は、本発明の実施形態で利用するアクセス制御ポリシーデータベース（ＤＢ）１０４を備えている。また、メールサーバ７０１も、よく知られている電子メールの送受信の仲介を行う情報処理装置である。
【００１６】
図１Ｂは本発明の実施形態によるクライアントマシンのオンラインログイン時の処理の概要を説明する図である。
【００１７】
認証サーバ１０３は、前述したようにアクセス制御ＤＢ１０４を備え、このアクセス制御ＤＢ１０４には、複数のユーザのそれぞれのオンラインログイン時のアクセス制御ポリシーであるオンラインポリシーが保存されている。各クライアントマシン１０１のユーザは、通常、クライアントマシン１０１にログインして作業を行う場合には、認証サーバ１０３に対してオンラインログインを行って認証を受けた後に、認証サーバ１０３からオンラインポリシーを取得する。
【００１８】
すなわち、クライアントマシン１０１は、電源が立ち上げられた後、ユーザからユーザＩＤとパスワードとが入力されてログインが行われると、認証サーバ１０３にログインし、ユーザの認証を受けた後、ポリシー取得部２０８が認証サーバ１０３から当該クライアントマシンを使用しようとしているユーザのオンラインポリシーを取得してクライアントマシン１０１のＭＭ２０２内にオンラインポリシー１０５として保存する。例えば、図１に示す例の場合、クライアントマシン１０１からユーザ１が認証サーバ１０３にオンラインログインすると、認証サーバ１０３のアクセス制御ポリシーＤＢ１０４内のユーザ１に対応するオンラインポリシー１０６が、ネットワーク１０２経由でクライアントマシン１０１にダウンロードされ、ユーザ１のオンラインポリシー１０５として保存される。これにより、クライアントマシン１０１を使用するユーザは、自分のオンラインポリシーに応じたアクセス制御（制限）に従って作業を行うことが可能となる。
【００１９】
図２はアクセス制御ポリシーＤＢ１０４に格納されるユーザ毎のオンラインポリシーの例を示す図である。
【００２０】
システムの管理者は、ユーザ毎に各ユーザに適用するオンラインポリシーを設定（定義）することができ、設定の後に変更することもできる。ポリシーの内容としては、図２に示しているように、印刷の可否、メール送信の可否、外部媒体持出しの可否、ネットワークフォルダアクセスの可否等であるが、他に種々のポリシー、例えば、メール受信の可否等を設定することができる。そして、図２に示す例では、ユーザ１に対して、外部媒体持出しのみの処理を禁止するオンラインポリシーが、ユーザ２に対して全ての処理を禁止するオンラインポリシーが設定されている。
【００２１】
図３はクライアントマシンにおけるオンラインログイン時の処理手順を説明するフローチャートであり、次に、これについて説明する。
【００２２】
（１）いま、あるユーザが、クライアントマシン１０１を使用するためにクライアントマシン１０１に電源を投入し、ユーザＩＤとパスワードとを入力してログインすると、クライアントマシン１０１は、認証サーバ１０３との通信が可能か否かを判定し、認証サーバ１０３との接続がなく通信が不可能であると判定すると、図６に示すフローにより後述するオフラインログインの処理に移行する（ステップ３００）。
【００２３】
（２）ステップ３００の判定で、認証サーバ１０３との通信が可能であった場合、クライアントマシン１０１は、認証サーバ１０３との間で認証処理を行い、認証に成功したか否かを判定する（ステップ３０１、３０２）。
【００２４】
（３）クライアントマシン１０１は、ステップ３０２の判定で、認証に失敗した場合、エラー終了し、認証に成功した場合、認証サーバ１０３のアクセス制御ポリシーＤＢ１０４から、ポリシー取得部２０８が当該ユーザに対応するオンラインポリシーを取得し、オンラインログイン処理が成功したとして、ユーザにオンラインポリシーに従って作業処理の実行を許可する（ステップ３０３〜３０５）。
【００２５】
図４は本発明の実施形態によるクライアントマシンのオフラインログイン時の処理の概要を説明する図である。
【００２６】
クライアントマシン１０１は、組織内のネットワーク上に配置された認証サーバ１０３とは通信することができない場所に移動しているものとする。このような状況にあるクライアントマシン１０１を使用するユーザは、クライアントマシン１０１にＵＳＢメモリ等により構成されるトークンデバイス４０２を接続してクライアントマシン１０１にログイン（この場合のログインをオフラインログインという）を行う。トークンデバイス４０２には、予め、管理者等が認証サーバで設定したオフラインポリシーの情報４０４が格納されている。クライアントマシン１０１にトークンデバイス４０２が接続されたときに、クライアントマシン１０１は、ポリシー取得部２０８がトークンデバイス４０２に設定されているオフラインポリシーの情報４０４を取得し、ＭＭ２０２内にオフラインポリシー情報４０３として保存する。
【００２７】
図５はトークンデバイス４０２内に格納されるオフラインポリシーの情報４０４の例を示す図である。
【００２８】
管理者は、トークンデバイス４０２内に、前述で説明したオンラインポリシーと同様な内容を持つオフラインポリシーを設定すると共に、そのオフラインポリシーの有効期限を設定することができる。そして、クライアントマシン１０１にトークンデバイス４０２が接続されたときに、オフラインポリシーの有効期限が過ぎていた場合には、当該オフラインポリシーをクライアントマシンに保存せず、全権限が制限されることになる。また、トークンデバイス４０２には、組織ＩＤが格納される。これは、クライアントマシン１０１に対して他の組織のトークンデバイスが接続された場合に、当該トークンデバイスに格納されたオフラインポリシーをクライアントマシンに保存しないためである。このため、クライアントマシン１０１にも、そのマシンを管理している組織の組織ＩＤが格納されている。組織ＩＤは、システム導入時に管理者が設定することができ、あるいは、システム導入時に組織ＩＤを自動的に生成するようにしてもよい。
【００２９】
前述したようなトークンデバイス４０２は、クライアントマシン対応に用意されていてもよく、また、ユーザ対応に用意されていてもよい。ユーザ対応に用意される場合、トークンデバイス４０２には、さらに、ユーザＩＤが格納される。これにより、トークンデバイス４０２を所持しているユーザ以外が、クライアントマシン１０１を使用することを禁止することができる。
【００３０】
図６はクライアントマシンにおけるオフラインログイン時の処理手順を説明するフローチャートであり、次に、これについて説明する。
【００３１】
（１）図３により説明したフローのステップ３００の判定で、認証サーバ１０３との接続がなく通信が不可能であると判定されると、ここでの処理に移り、オフラインポリシーが格納されたトークンデバイス４０２が接続されているか否かを判定し、トークンデバイス４０２が接続されていない場合、クライアントマシン１０１は、オフラインポリシーの取得を行うことができず、全権限が制限される（ステップ６０１、６０２）。
【００３２】
（２）ステップ６０１の判定で、オフラインポリシーが格納されたトークンデバイス４０２が接続されていた場合、トークンデバイス４０２内の組織ＩＤとクライアントマシンの組織ＩＤとが一致するか否かを判定し、一致しなかった場合、クライアントマシン１０１は、オフラインポリシーの取得を行うことができず、全権限が制限される（ステップ６０３、６０２）。
【００３３】
（３）ステップ６０３の判定で、トークンデバイス４０２内の組織ＩＤとクライアントマシンの組織ＩＤとが一致していた場合、トークンデバイス４０２内のオフラインポリシーの有効期限が過ぎていないか否かを判定し、オフラインポリシーの有効期限が過ぎていた場合、クライアントマシン１０１は、オフラインポリシーの取得を行うことができず、全権限が制限される（ステップ６０４、６０２）。
【００３４】
（４）ステップ６０４の判定で、オフラインポリシーの有効期限が過ぎていなかった場合、クライアントマシン１０１は、トークンデバイス４０２内のオフラインポリシーを取得し、オフラインログイン処理が成功したとして、ユーザにオフラインポリシーに従った作業処理の実行を許可する（ステップ６０５、６０６）。
【００３５】
前述したステップ６０１の判定処理において、トークンデバイス４０２が接続されていなかった場合、直ちに、全権限を制限するのではなく、トークンデバイス４０２が接続されていないことをユーザに知らせて、トークンデバイス４０２の接続を促すようにすることができる。
【００３６】
図７は本発明の実施形態によるクライアントマシンがオフラインポリシーを変更する際の処理の概要を説明する図である。
【００３７】
クライアントマシン１０１は、組織内のネットワーク上に配置された認証サーバ１０３とは通信することができない場所に移動しているものとする。このような状況にあるクライアントマシン１０１を使用するユーザは、トークンデバイス４０２を接続したクライアントマシン１０１を、組織外から公衆回線網７０２を通して通信可能なメールサーバ７０１接続して、新たなオフラインポリシーの情報７０４が添付された電子メール７０３を受信することができる。この電子メールは、予め管理者等が認証サーバ１０３を使用して作成したオフラインポリシーの情報７０４を添付し、ユーザに対して送信したものである。なお、新たなオフラインポリシーの情報７０４の管理者等への要求は、移動先に居るユーザが、電話等を用いて行うこととする。
【００３８】
オフラインポリシーの情報７０４の内容は、図５に示して説明したと同様に、オフラインポリシー、その有効期限及び組織ＩＤを有するものである。クライアントマシン１０１が持つ通信監視部７０６は、電子メール７０３を受信した際に、当該電子メール７０３がオフラインポリシーの情報７０４を持つことを検知し、オフラインポリシーの情報７０４を取り出す。次に、ポリシー更新部７０７は、トークンデバイス４０２に格納されているオフラインポリシーの情報４０４を、電子メール７０３で受信したオフラインポリシーの情報７０４で置き換える。
【００３９】
図８はクライアントマシンにおけるオフラインポリシー情報を更新する際の処理手順を説明するフローチャートであり、次に、これについて説明する。
【００４０】
（１）クライアントマシン１０１は、公知の手順に従って、公衆回線網７０２を介してメールサーバ７０１にアクセスし、メールサーバ７０１から電子メール７０３を受信する（ステップ８０１）。
【００４１】
（２）ステップ８０１の処理で受信した電子メール７０３にオフラインポリシーの情報７０４が添付されているか否かを判定し、電子メール７０３にオフラインポリシーの情報７０４が添付されていなかった場合、何もせずにここでの処理を終了する（ステップ８０２）。
【００４２】
（３）ステップ８０２の判定で、受信した電子メール７０３にオフラインポリシーの情報７０４が添付されていた場合、その電子メールに添付されたオフラインポリシーの情報の組織ＩＤと、クライアントマシン１０１の組織ＩＤと、トークンデバイス４０２内に格納されている組織ＩＤとが全て一致するか否かを判定し、一致していなかった場合、何もせずにここでの処理を終了する（ステップ８０３）。
【００４３】
（４）ステップ８０３の判定で、組織ＩＤが全て一致していた場合、電子メール７０３に添付されていたオフラインポリシーの情報７０４を取得し、トークンデバイス４０２に格納されているオフラインポリシー情報を、取得したオフラインポリシーの情報７０４で置き換えて、トークンデバイス４０２内のオフラインポリシー情報４０４を更新して、ここでの処理を終了する（ステップ８０４、８０５）。
【符号の説明】
【００４４】
１０１  クライアントマシン（端末装置）
１０２  ネットワーク
１０３  認証サーバ
１０４  アクセス制御ポリシーＤＢ
１０５、１０６  ユーザ１のオンラインポリシー
２０１  ＣＰＵ
２０２  ＭＭ
２０３  ＨＤＤ
２０４  入力装置
２０５  ディスプレイ
２０６  通信部
２０７  ＯＳ
２０８  ポリシー取得部
４０２  トークンデバイス
４０４  オフラインポリシー
７０１  メールサーバ
７０２  公衆回線網
７０３  電子メール
７０６  通信監視部
７０７  ポリシー更新部
【図１Ａ】
2011076377.tif 000003
【図１Ｂ】
2011076377.tif 000004
【図２】
2011076377.tif 000005
【図３】
2011076377.tif 000006
【図４】
2011076377.tif 000007
【図５】
2011076377.tif 000008
【図６】
2011076377.tif 000009
【図７】
2011076377.tif 000010
【図８】
2011076377.tif 000011