(57)【要約】【課題】操作権限を容易に設定することができる権限管理装置、権限管理方法、及びプログラムを提供する。【解決手段】権限管理装置１は、ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理するユーザ管理部２と、指定された第１のユーザが入力した操作を記録する操作記録部３と、操作記録部３により記録された操作と、第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定するロール管理部４とを有する。また、ユーザ管理部２は、指定された第２のユーザを、第１のユーザが所属するグループに所属させるようユーザグループ情報を更新する。【選択図】図１
2019045943.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理するユーザ管理手段と、
指定された第１のユーザが入力した操作を記録する操作記録手段と、
前記操作記録手段により記録された操作と、前記第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定するロール管理手段と
を有し、
前記ユーザ管理手段は、指定された第２のユーザを、前記第１のユーザが所属するグループに所属させるよう前記ユーザグループ情報を更新する
権限管理装置。
【請求項２】
前記ロール管理手段は、入力された指示に従い、前記ロールに規定された操作権限を、修正する
請求項１に記載の権限管理装置。
【請求項３】
前記操作記録手段は、前記第１のユーザが入力した操作と、前記第１のユーザが所属するグループに所属する他のユーザが入力した操作を記録し、
前記ロール管理手段は、前記操作記録手段により記録された操作のうち、所定の条件を満たす操作を、実行可能な操作として、前記第１のユーザが所属するグループの前記ロールに設定する
請求項１又は２に記載の権限管理装置。
【請求項４】
前記ロール管理手段は、前記操作記録手段による記録対象のユーザのうち所定の割合以上のユーザが入力した操作を、実行可能な操作として、前記第１のユーザが所属するグループの前記ロールに設定する
請求項３に記載の権限管理装置。
【請求項５】
前記ロールにしたがって、ユーザが入力した操作の実行の可否を判定する判定部と、
入力された操作に応じた処理を実行する処理手段と
をさらに有し、
前記処理手段は、前記判定部に実行が許可された操作を実行する
請求項１乃至４のいずれか１項に記載の権限管理装置。
【請求項６】
前記操作記録手段は、前記第１のユーザが入力した複数の操作を記録する
請求項１乃至５のいずれか１項に記載の権限管理装置。
【請求項７】
前記操作は、アプリケーションサーバについての運用管理操作である
請求項１乃至６のいずれか１項に記載の権限管理装置。
【請求項８】
ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理し、
指定された第１のユーザが入力した操作を記録し、
記録された前記第１のユーザの操作と、前記第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定し、
指定された第２のユーザを、前記第１のユーザが所属するグループに所属させるよう前記ユーザグループ情報を更新する
権限管理方法。
【請求項９】
ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理するステップと、
指定された第１のユーザが入力した操作を記録するステップと、
記録された前記第１のユーザの操作と、前記第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定するステップと、
指定された第２のユーザを、前記第１のユーザが所属するグループに所属させるよう前記ユーザグループ情報を更新するステップと
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は権限管理装置、権限管理方法、及びプログラムに関する。
【背景技術】
【０００２】
予め設定された操作権限に基づいて、ユーザの操作を制限することによりセキュアなシステムを構築する技術が知られている。この技術に関連する技術として、特許文献１では、端末装置ごとの操作権限を容易に管理できる管理装置について開示している。この管理装置は、端末装置からログインして行われた操作の履歴を保持する保持部と、管理テーブルを記憶する記憶部と、前記保持部が保持する前記履歴に基づいて前記操作の種別を判別し、前記端末装置を識別する識別情報に対応付けて前記管理テーブルに登録する登録処理部と、前記操作の種別が前記管理テーブルに登録された前記端末装置からログインが行われたとき、前記管理テーブルから当該識別情報に応じた前記操作の種別を取得し、取得した種別とは異なる種別の操作を制限する制限処理部とを有する。
【０００３】
特許文献１に記載された技術では、端末装置に操作権限が対応づけられている。この場合、ユーザは特定の端末装置からしかログインできない。仮に、あるユーザが同じユーザＩＤで別の端末装置からログインした場合、本来適用されるべき制限とは異なる制限が適用されることとなり、ユーザに意図した操作権限を与えることができない。これに対し、ユーザが所属するグループに操作権限を対応づけた場合には、上述の問題は発生しない。例えば、アプリケーションサーバの運用管理操作を行うユーザは、特定のグループに所属することで、使用する操作端末に関わらず、当該グループに許可されている運用管理操作を実行することができる。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−１１５００８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、多数の運用管理操作のうち、グループに許可する運用管理操作を細かく設定する場合、設定作業が煩雑である。例えば、アプリケーションサーバのような運用管理操作の種類が多いソフトウェアでは、一つ一つの運用管理操作についての権限を設定するという作業は、管理者にとって大きな負担となる。
【０００６】
一方、仮に、グループに対し全ての運用管理操作を許可するように設定する場合、設定作業は容易であるが、当該グループに属するユーザは全ての運用管理操作を実行できてしまい、システムに重大な影響を与えうる処理を制限なく行えることとなってしまう。
【０００７】
本発明の目的は、上述した課題を鑑み、操作権限を容易に設定することができる権限管理装置、権限管理方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００８】
本発明の一態様にかかる権限管理装置は、ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理するユーザ管理手段と、指定された第１のユーザが入力した操作を記録する操作記録手段と、前記操作記録手段により記録された操作と、前記第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定するロール管理手段とを有し、前記ユーザ管理手段は、指定された第２のユーザを、前記第１のユーザが所属するグループに所属させるよう前記ユーザグループ情報を更新する。
【０００９】
本発明の一態様にかかる権限管理方法は、ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理し、指定された第１のユーザが入力した操作を記録し、記録された前記第１のユーザの操作と、前記第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定し、指定された第２のユーザを、前記第１のユーザが所属するグループに所属させるよう前記ユーザグループ情報を更新する方法である。
【００１０】
本発明の一態様にかかるプログラムは、ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理するステップと、指定された第１のユーザが入力した操作を記録するステップと、記録された前記第１のユーザの操作と、前記第１のユーザが所属するグループとを対応づけて、該グループの操作権限を規定するロールを設定するステップと、指定された第２のユーザを、前記第１のユーザが所属するグループに所属させるよう前記ユーザグループ情報を更新するステップとをコンピュータに実行させる。
【発明の効果】
【００１１】
本発明によれば、操作権限を容易に設定することができる権限管理装置、権限管理方法、及びプログラムを提供することができる。
【図面の簡単な説明】
【００１２】
【図１】実施の形態の概要にかかる権限管理装置の構成の一例を示すブロック図である。
【図２】実施の形態にかかるサーバ装置の機能構成の一例を示すブロック図である。
【図３】実施の形態にかかるサーバ装置のハードウェア構成の一例を示すブロック図である。
【図４】操作権限の設定が行われる際の実施の形態１にかかるサーバ装置の動作の一例を示すフローチャートである。
【図５】ロールの設定後に運用管理操作が実行される際の実施の形態にかかるサーバ装置の動作の一例を示すフローチャートである。
【図６】操作権限の設定が行われる際の実施の形態２にかかるサーバ装置の動作の一例を示すフローチャートである。
【図７】操作権限の設定が行われる際の実施の形態３にかかるサーバ装置の動作の一例を示すフローチャートである。
【発明を実施するための形態】
【００１３】
説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。なお、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。
【００１４】
＜実施の形態の概要＞
実施の形態の説明に先立って、本発明にかかる実施の形態の概要を説明する。図１は、実施の形態の概要にかかる権限管理装置１の構成の一例を示すブロック図である。図１に示すように、権限管理装置１は、ユーザ管理部２と、操作記録部３と、ロール管理部４とを有する。権限管理装置１は、これらの構成により、あるグループに属する特定のユーザによって行われた操作を、当該グループに許可される操作として、ロールを設定する。そして、権限管理装置１は、当該グループに、別のユーザを追加する。
【００１５】
ユーザ管理部２（ユーザ管理手段）は、ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理する。ユーザ管理部２は、例えば記憶装置に記憶されたユーザグループ情報を管理する。ユーザグループ情報としては、例えば、ユーザを識別するための識別子、ユーザが所属するグループを識別するための識別子、ユーザのグループへの所属関係を示す情報などを管理する。
【００１６】
操作記録部３（操作記録手段）は、指定された第１のユーザが入力した操作を記録する。例えば、操作記録部３は、ユーザ管理部２が管理するユーザのうちの指定された特定のユーザが、権限管理装置１に入力した操作情報を記憶装置に記憶させることにより記録を実施する。操作記録部３により記録される操作は、権限を有するユーザのみが実行可能になるように取り扱われるべき操作である。このような操作としては、例えば、システムに対する運用管理操作が該当するが、運用管理操作に限らず、自由な実行を制限すべき他の操作であってもよい。運用管理操作とは、アプリケーションサーバ等の運用または管理を行うための操作をいい、例えば、アプリケーションサーバの起動、停止、設定変更、アプリケーションの配備などを行う操作である。ユーザは、ＣＵＩ（Character User Interface）を介して、操作を入力してもよいし、ＧＵＩ（Graphical User Interface）を介して、操作を入力してもよい。なお、操作記録部３が記録する操作は、複数の操作であってもよい。
【００１７】
ロール管理部４（ロール管理手段）は、操作記録部３により記録された操作と、上述の第１のユーザが所属するグループとを対応づけて、このグループの操作権限を規定するロールを設定する。ロールは、当該ロールに対応付けられたグループの識別子と、当該グループに属するユーザに許可される操作とを含む情報であり、当該ロールを識別する識別子をさらに有してもよい。ロール管理部４は、例えば記憶装置にロールの情報を記憶して管理する。ロール管理部４は、例えば、操作記録部３により記録された操作情報を記憶装置から読み出すとともに、ユーザ管理部２により管理されるユーザグループ情報を記憶装置から読み出して、操作とグループとを対応づけて、ロールの内容を設定し、設定した内容を記憶装置に記憶する。
【００１８】
ロール管理部４による上述のロールの設定が行われた後、ユーザ管理部２は、指定された第２のユーザを、上記第１のユーザが所属するグループに所属させるようユーザグループ情報を更新する。
【００１９】
権限管理装置１では、第１のユーザが入力した操作を、第１のユーザのグループに許可してもよい操作としてみなして、ロールの設定が行われる。そして、当該グループに、他のユーザが追加される。このため、追加された他のユーザは、グループに設定されたロールにしたがった操作権限を有することとなる。このように、権限管理装置１によれば、第１のユーザの操作記録に基づいて、各ユーザに対し操作権限を容易に設定することができる。
【００２０】
＜実施の形態１＞
以下、本発明の実施の形態について説明する。図２は、実施の形態にかかるサーバ装置１０の機能構成の一例を示すブロック図である。図２に示すようにサーバ装置１０は、入力受付部１０１と、ユーザ管理部１０２と、ユーザグループ情報記憶部１０３と、操作記録部１０４と、操作情報記憶部１０５と、ロール管理部１０６と、ロール情報記憶部１０７と、判定部１０８と、処理部１０９とを有する。サーバ装置１０は、図１に示す権限管理装置１に相当する。なお、本実施の形態において、入力受付部１０１、ユーザ管理部１０２、操作記録部１０４、ロール管理部１０６、判定部１０８、及び処理部１０９は、アプリケーションサーバの機能として実現される。アプリケーションサーバは、様々なＷｅｂアプリケーションを制御及び管理するために利用されるミドルウェアである。図３は、サーバ装置１０のハードウェア構成の一例を示すブロック図である。サーバ装置１０は、ネットワークインタフェース１１、メモリ１２、及びプロセッサ１３を含む。
【００２１】
ネットワークインタフェース１１は、有線又は無線のネットワークを介して他の装置（例えば、クライアント端末）と通信するために使用される。ネットワークインタフェース１１は、例えば、ネットワークインタフェースカード（ＮＩＣ）を含んでもよい。
【００２２】
メモリ１２は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２は、プロセッサ１３から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１３は、図示されていない入出力インタフェースを介してメモリ１２にアクセスしてもよい。
【００２３】
メモリ１２は、プロセッサ１３により実行されるソフトウェア（コンピュータプログラム）などを格納するために使用される。
【００２４】
このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、Compact Disc Read Only Memory（CD-ROM）、CD-R、CD-R/W、半導体メモリ（例えば、マスクROM、Programmable ROM（PROM）、Erasable PROM（EPROM）、フラッシュROM、Random Access Memory（RAM））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【００２５】
プロセッサ１３は、メモリ１２からコンピュータプログラムを読み出して実行することで、入力受付部１０１、ユーザ管理部１０２、操作記録部１０４、ロール管理部１０６、判定部１０８、及び処理部１０９の処理及びその他の処理を行う。プロセッサ１３は、例えば、マイクロプロセッサ、ＭＰＵ、又はＣＰＵであってもよい。プロセッサ１３は、複数のプロセッサを含んでもよい。なお、図２に示す構成は、例えば、アプリケーションサーバの基盤フレームワークであるＪＭＸ（Java（登録商標） Management Extensions）におけるMBeanを利用することで実現されてもよい。
【００２６】
以下、図２に示した各構成要素について説明する。
入力受付部１０１は、サーバ装置１０に対するユーザからの入力を受け付ける。例えば、入力受付部１０１は、アプリケーションサーバについての運用管理操作（より具体的には、運用管理操作を指示する情報）、及びユーザグループ情報についての設定情報など、種々の情報の入力を受け付ける。
【００２７】
ユーザ管理部１０２は、図１のユーザ管理部２に相当する。ユーザ管理部１０２は、ユーザ及びユーザが所属するグループについての情報であるユーザグループ情報を管理する。ユーザ管理部１０２は、入力受付部１０１が受け付けた設定情報などにしたがって、ユーザグループ情報の作成、削除、及び更新などを行う。ユーザグループ情報は、ユーザグループ情報記憶部１０３に記憶されている。ユーザグループ情報記憶部１０３は、例えば上述のメモリ１２により実現される。本実施の形態では、ユーザグループ情報は、ユーザを識別するためのユーザ識別子、グループを識別するためのグループ識別子、及びユーザ識別子とグループ識別子との対応関係などを含む。
【００２８】
操作記録部１０４は、図１の操作記録部３に相当する。操作記録部１０４は、指定されたユーザが入力した操作を記録する。以下の説明では、この指定されたユーザのことを記録対象ユーザと称すことがある。記録対象ユーザは、例えば、ユーザ管理部１０２によりユーザ識別子が管理されるユーザのうち、入力受付部１０１が受け付けた入力により指定されるユーザである。操作記録部１０４は、入力受付部１０１により受け付けられた、記録対象ユーザによる運用管理操作を記録する。具体的には、操作記録部１０４は、操作情報を操作情報記憶部１０５に記憶させることにより記録を実施する。操作情報は、少なくとも記録対象ユーザが入力した運用管理操作の種別を特定する情報である。操作情報記憶部１０５は、例えば上述のメモリ１２により実現される。
【００２９】
操作記録部１０４は、ロール管理部１０６からの記録開始指示があった場合に、当該指示により指定されたユーザの運用管理操作の種別を記録する。具体的には、操作記録部１０４は、以下のような処理を行う。操作記録部１０４は、記録開始指示を受けると、入力受付部１０１が受け付けた運用管理操作のプロセス情報から、当該運用管理操作を入力したユーザのユーザ識別子を取得する。取得したユーザ識別子が記録対象ユーザの識別子である場合、操作記録部１０４は、ユーザ管理部１０２から記録対象ユーザの所属するグループ識別子を取得し、運用管理操作の種別、ユーザ識別子、及びグループ識別子を操作情報として記録する。また、操作記録部１０４は、ロール管理部１０６からの記録終了指示があった場合に、記録を終了する。
【００３０】
ロール管理部１０６は、図１のロール管理部４に相当する。ロール管理部１０６は、ロールについての情報（以下、ロール情報という）をロール情報記憶部１０７に記憶して管理する。ロール情報記憶部１０７は、例えば上述のメモリ１２により実現される。本実施の形態では、ロール情報は、ロールを識別するロール識別子と、当該ロールが適用されるグループのグループ識別子と、当該グループに属するユーザに許可される運用管理操作の種別とを含む情報である。
【００３１】
ロール管理部１０６は、新たなロールの作成及び削除を行う。また、ロール管理部１０６は、問い合わせに応じて、ロール情報の一覧を出力する。特に、ロール管理部１０６は、ロールの作成の際、操作記録部１０４により記録された操作と、記録対象ユーザが所属するグループとを対応づけて、このグループの操作権限を規定するロールを設定する。また、ロール管理部１０６は、操作記録部１０４に対し、記録開始指示及び記録終了指示を行う。ロール管理部１０６は、入力受付部１０１からの指示により記録対象ユーザが指定されると、記録対象ユーザの運用管理操作の記録を、操作記録部１０４に指示する。また、ロール管理部１０６は、入力受付部１０１から記録の終了が指示されると、操作記録部１０４に運用管理操作の記録の終了を指示する。ロール管理部１０６は、運用管理操作の記録が終了すると、上述のように、記録された内容をロールに設定する。
【００３２】
また、ユーザ管理部１０２は、ロール管理部１０６による運用管理操作の記録に基づくロール設定が行われると、入力受付部１０１が受け付けた入力により指定されたユーザを、記録対象ユーザが所属するグループに所属させるようユーザグループ情報を更新する。これにより、記録対象ユーザが入力した運用管理操作の記録に基づいて設定されたロールが適用されるグループに新たにユーザが追加される。つまり、追加されたユーザは当該ロールにしたがった操作権限が付与されることとなる。
【００３３】
判定部１０８（判定手段）は、ロールにしたがって、ユーザが入力した操作の実行の可否を判定する。具体的には、判定部１０８は、次のような処理を行う。まず、入力受付部１０１が運用管理操作を受け付けた場合、入力受付部１０１が受け付けた運用管理操作のプロセス情報から、当該運用管理操作を入力したユーザのユーザ識別子を取得する。次に、判定部１０８は、当該ユーザ識別子の所属するグループ識別子をユーザ管理部１０２から取得するとともに、ロール管理部１０６からロール情報を取得し、取得したこれらの情報に基づいて、運用管理操作を入力した当該ユーザに許可された運用管理操作の種別を特定する。そして、判定部１０８は、入力された運用管理操作が、当該ユーザに許可された運用管理操作であるか否かを判定する。入力された運用管理操作が当該ユーザに許可された運用管理操作である場合、当該運用管理操作の実行を許可する。
【００３４】
処理部１０９（処理手段）は、入力された操作に応じた処理を実行する。処理部１０９は、判定部１０８により実行が許可された場合、当該運用管理操作を実行する。
【００３５】
次に、サーバ装置１０の動作について説明する。図４は、操作権限の設定が行われる際のサーバ装置１０の動作の一例を示すフローチャートである。以下、図４に沿って、サーバ装置１０の動作を説明する。
【００３６】
ステップ１００（Ｓ１００）において、例えばシステムの管理者といった特定のユーザ（以下、操作権限管理ユーザと称す。）が、記録対象ユーザを、ロールの設定対象のグループ（以下、設定対象グループと称す。）に所属させるようサーバ装置１０に入力を行うと、ユーザ管理部１０２は、記録対象ユーザのユーザ識別子と所属先のグループのグループ識別子とを対応づける。すなわち、ユーザ管理部１０２は、記録対象ユーザを設定対象グループに所属させる。なお、操作権限管理ユーザは、記録対象ユーザと同じであってもよい。
【００３７】
次に、ステップ１０１（Ｓ１０１）において、操作権限管理ユーザによるサーバ装置１０への入力に応じて、ロール管理部１０６は、設定対象グループに割り当てるロールを作成する。つまり、ロールの適用対象のグループが設定対象グループであるようなロール情報が作成される。なお、この時点では、作成されるロールは、仮のロールであり、以下のステップの処理が行われることで、適切な操作権限を規定するロールが作成される。
【００３８】
次に、ステップ１０２（Ｓ１０２）において、操作記録部１０４が、入力された運用管理操作を記録する。具体的には、まず、操作権限管理ユーザは、記録対象ユーザによる運用管理操作についての記録の開始を指示する入力をサーバ装置１０に入力する。これに応じて、ロール管理部１０６は、操作記録部１０４に記録開始指示を通知する。
その後、記録対象ユーザは、運用管理操作をサーバ装置１０に入力する。これに応じて、操作記録部１０４は、記録対象ユーザが入力した運用管理操作の種別、ユーザ識別子、及びグループ識別子を記録する。なお、ステップ１０２において、処理部１０９は、入力された運用管理操作を操作権限にかかわらず実行してもよいし、判定部１０８の判定にしたがって実行するか否かを制御してもよい。
【００３９】
ステップ１０２において、記録対象ユーザは、１以上の運用管理操作を入力する。このため、操作記録部１０４は、記録対象ユーザが入力した複数の操作を記録してもよい。例えば、記録対象ユーザは、自身に割り当てられた業務に必要な運用管理操作を入力する。これにより、記録対象ユーザの業務に必要な運用管理操作のみを許可するようなロールの設定が可能となる。
運用管理操作の記録は、記録の終了が指示されるまで継続する（ステップ１０３（Ｓ１０３）でＮｏ）。
【００４０】
操作権限管理ユーザが、運用管理操作についての記録の終了を指示する入力をサーバ装置１０に入力すると、これに応じて、ロール管理部１０６は、操作記録部１０４に記録終了指示を通知する（ステップ１０３でＹｅｓ）。この場合、処理はステップ１０４に移行する。
【００４１】
ステップ１０４（Ｓ１０４）において、操作権限管理ユーザが、記録された内容に基づくロールの設定を指示する入力を行うと、これに応じて、ロール管理部１０６は、記録された操作情報に基づいてロールを設定する。すなわち、ロール管理部１０６は、記録された運用管理操作を、設定対象グループに属するユーザに許可する運用管理操作としてロール情報に登録する。
【００４２】
次に、ステップ１０５（Ｓ１０５）において、操作権限管理ユーザが、他のユーザを、設定対象グループに所属させるようサーバ装置１０に入力を行うと、ユーザ管理部１０２は、指定されたこの他のユーザを、設定対象グループに所属させるようユーザグループ情報を更新する。すなわち、ユーザ管理部１０２は、指定されたユーザのユーザ識別子と設定対象グループのグループ識別子とを対応づける。つまり、ユーザ管理部１０２は、指定されたユーザを設定対象グループに所属させる。なお、ステップ１０５において、複数のユーザが設定対象グループに追加されてもよい。
【００４３】
以上の処理により、設定対象グループに所属する全てのユーザに対し、ステップ１０２で記録された運用管理操作についての操作権限を付与することができる。なお、ステップ１００からステップ１０５を複数回繰り返すことにより、複数のグループについてロールを設定することができる。
【００４４】
次に、サーバ装置１０における操作権限の判定動作について説明する。図５は、ロールの設定後に運用管理操作が実行される際のサーバ装置１０の動作の一例を示すフローチャートである。以下、図５に沿って、サーバ装置１０の動作を説明する。
【００４５】
ステップ２００（Ｓ２００）において、入力受付部１０１が運用管理操作を受け付ける。
次に、ステップ２０１（Ｓ２０１）において、判定部１０８は、設定されたロールにしたがって、入力された運用管理操作についての操作権限を判定する。具体的には、判定部１０８は、運用管理操作を入力したユーザのユーザ識別子と、当該ユーザが属するグループのグループ識別子と、ロール情報とを取得し、これらの情報に基づいて、当該ユーザが当該運用管理操作についての操作権限を有するか否かを判定する。
【００４６】
判定部１０８により運用管理操作の実行が許可されなかった場合（ステップ２０２（Ｓ２０２）でＮｏ）、処理は終了する。これに対し、判定部１０８により運用管理操作の実行が許可された場合（ステップ２０２でＹｅｓ）、処理はステップ２０３に移行する。
ステップ２０３（Ｓ２０３）では、処理部１０９が、ステップ２００で受け付けられた運用管理操作に応じた処理を実行する。
【００４７】
以上、実施の形態１について説明した。実施の形態１にかかるサーバ装置１０では、記録対象ユーザが入力した運用管理操作を、記録対象ユーザが所属するグループに許可される運用管理操作として、ロールの設定が行われる。そして、当該グループに、他のユーザが追加される。このため、記録対象ユーザ及び追加された他のユーザは、記録対象ユーザが入力した運用管理操作について操作権限を有することとなる。このように、サーバ装置１０によれば、各ユーザに対し操作権限を容易に設定することができる。
【００４８】
一般的に、Webアプリケーションサーバなどについての運用管理操作の種類は、多数である。また、運用管理業務ごとに、必要とされる運用管理操作は異なる。例えば、システム構築時の設定操作、アプリケーションの配備、システムの起動停止などといった複数の運用管理業務がある。そして、これらを異なるユーザが担うことがある。このような状況下において、操作権限管理ユーザが、各運用管理業務に必要とされる運用管理操作を把握した上で、各ユーザに適切に操作権限を設定することは困難である。本実施の形態においては、記録対象ユーザが、自身が担う運用管理業務に必要な運用管理操作を入力し、これに基づいて当該運用管理業務を担うユーザのグループに操作権限を設定することができる。このため、操作権限管理ユーザが、各運用管理業務に必要とされる運用管理操作を把握した上で、各ユーザに適切に操作権限を設定しなければならないという問題を解消することができる。また、各ユーザに対し、従事する運用管理業務に必要な運用管理操作についてだけ操作権限を与えることが可能であり、不必要な情報にユーザがアクセスすることにより発生する情報漏洩を防ぐこともできる。
【００４９】
＜実施の形態２＞
次に、実施の形態２について説明する。実施の形態２は、入力受付部１０１に入力された指示に従って、ロールの設定を修正することができる点で、実施の形態１と異なる。実施の形態１に示したロールの設定では、記録対象ユーザの操作ミスなどにより誤った運用管理操作が入力された場合であっても、その運用管理操作についての操作情報が記録され、ロールの設定に反映されてしまう。
【００５０】
そこで、本実施の形態では、操作情報に基づいて設定されたロールの内容を変更できるよう、ロール管理部１０６は、サーバ装置１０に入力された指示に従い、ロールに規定された操作権限を、修正する。具体的には、ユーザが入力した修正指示を入力受付部１０１が受け付けた場合、ロール管理部１０６は、入力受付部１０１が受け付けた修正指示に従い、ロールの設定を変更する。例えば、ロール管理部１０６は、修正指示に従い、許可される操作として設定されていた運用管理操作をロール情報から削除する。また、ロール管理部１０６は、修正指示に従い、許可される運用管理操作をロール情報に追加してもよい。
【００５１】
図６は、操作権限の設定が行われる際の実施の形態２にかかるサーバ装置１０の動作の一例を示すフローチャートである。図６に示すフローチャートは、ステップ１０４とステップ１０５の間に、ステップ１１０が設けられている点で、図４に示したフローチャートと異なる。
【００５２】
ステップ１１０（Ｓ１１０）では、ロール管理部１０６は、サーバ装置１０に入力された指示に従い、ステップ１０４において設定されたロールに規定された操作権限を修正する。そして、ステップ１１０の後、ステップ１０５の処理が行われる。なお、図６に示したフローチャートでは、ステップ１１０が、ステップ１０４とステップ１０５の間に設けられているが、ステップ１１０の処理は、ステップ１０５の後に実施されてもよい。
【００５３】
実施の形態２にかかるサーバ装置１０によれば、所望の設定をより正確に実現することができる。
【００５４】
＜実施の形態３＞
次に、実施の形態３について説明する。実施の形態１では、記録された運用管理操作の全てが、許可される操作としてロールに設定されたが、本実施の形態では、記録された運用管理操作のうち、所定の条件を満たす操作が、実行可能な操作としてロールに設定される。以下、実施の形態１と異なる点について説明する。
【００５５】
本実施の形態では、操作記録部１０４は、第１のユーザが入力した操作と、この第１のユーザが所属するグループに所属する他のユーザが入力した操作を記録する。つまり、本実施の形態では、サーバ装置１０は、同一のグループに属する複数のユーザについて、運用管理操作を記録する。言い換えると、本実施の形態では、記録対象ユーザが複数である。なお、本実施の形態では、記録対象ユーザの人数は、２以上であればよい。
【００５６】
また、本実施の形態では、ロール管理部１０６は、操作記録部１０４により記録された操作のうち、所定の条件を満たす操作を、実行可能な操作として、上記第１のユーザが所属するグループのロールに設定する。上記所定の条件として、任意の条件を用いることが可能であるが、本実施の形態では、複数のユーザによる運用管理操作の使用傾向に応じて抽出された操作が、実行可能な操作としてロールに設定される。このため、具体的には、ロール管理部１０６は、操作記録部１０４による記録対象のユーザのうち所定の割合以上のユーザが入力した操作を、実行可能な操作として、ロールに設定する。このようにすることで、記録対象のユーザの属するグループの特徴を適切に反映した設定を行うことができる。例えば、操作記録部１０４は、アプリケーションサーバの同一の運用管理業務に従事するユーザが所属するグループのユーザの運用管理操作を記録し、ロール管理部１０６は、記録対象ユーザの過半数が入力したことのある操作を実行可能な操作としてロールに設定する。このようにすることで、同一の運用管理業務に従事するユーザのグループに適した操作権限を設定できる。
【００５７】
図７は、操作権限の設定が行われる際の実施の形態３にかかるサーバ装置１０の動作の一例を示すフローチャートである。図７に示すフローチャートは、ステップ１０４が、ステップ１２０及びステップ１２１に置き換えられた点で、図４に示したフローチャートと異なる。以下、図７を参照しつつ、実施の形態３にかかるサーバ装置１０の動作について説明する。
【００５８】
本実施の形態においても、実施の形態１と同様、ステップ１００からステップ１０３の処理が行われる。ただし、本実施の形態では、複数のユーザについて運用管理操作を記録するため、ステップ１００では、複数の記録対象ユーザがグループに所属される。また、ステップ１０２では、操作記録部１０４は、各記録対象ユーザが入力した運用管理操作を記録する。
【００５９】
ステップ１００からステップ１０３の処理後、処理はステップ１２０へ移行する。すなわち、操作の記録が終了すると、処理はステップ１２０へ移行する。
【００６０】
ステップ１２０（Ｓ１２０）では、ロール管理部１０６は、記録された操作情報のうち、所定の条件を満たす操作情報を抽出する。具体的には、例えば、ロール管理部１０６は、ステップ１０２において操作が記録されたユーザ数（すなわち、記録対象ユーザの数）のうち、予め定められた割合以上の人数のユーザにより入力された運用管理操作を抽出する。
【００６１】
次に、ステップ１２１（Ｓ１２１）において、ロール管理部１０６は、ステップ１２０で抽出された運用管理操作を設定対象グループに属するユーザに許可する運用管理操作とするようロールの設定を行う。つまり、ロール管理部１０６は、ステップ１２０で抽出されなかった運用管理操作、すなわち、ステップ１０２において操作が記録されたユーザ数のうち予め定められた割合未満のユーザにより入力された運用管理操作については、当該設定対象グループに操作権限を付与しない。
【００６２】
ステップ１２１の後、実施の形態１と同様、ステップ１０５の処理が行われる。なお、本実施の形態において、実施の形態２と同様に、サーバ装置１０は、ロールの設定の修正が可能なように構成されてもよい。
【００６３】
以上、実施の形態３について説明した。本実施の形態では、記録された運用管理操作のうち、所定の条件を満たす運用管理操作が抽出されて、ロールの設定に利用される。このため、所定の条件を満たす運用管理操作についてのみ実行可能となるようロールの設定を行うことができる。
【００６４】
なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上記実施の形態では、アプリケーションサーバについての運用管理操作の操作権限の設定を例に説明したが、他のソフトウェア又はサービスについての運用管理操作の操作権限の設定が行われてもよい。また、運用管理操作に関わらず、権限を有するユーザのみが実行可能になるように取り扱われるべき操作についての操作権限の設定が行われてもよい。
【符号の説明】
【００６５】
１    権限管理装置
２    ユーザ管理部
３    操作記録部
４    ロール管理部
１０    サーバ装置
１１    ネットワークインタフェース
１２    メモリ
１３    プロセッサ
１０１    入力受付部
１０２    ユーザ管理部
１０３    ユーザグループ情報記憶部
１０４    操作記録部
１０５    操作情報記憶部
１０６    ロール管理部
１０７    ロール情報記憶部
１０８    判定部
１０９    処理部
【図１】
2019045943.tif 000003
【図２】
2019045943.tif 000004
【図３】
2019045943.tif 000005
【図４】
2019045943.tif 000006
【図５】
2019045943.tif 000007
【図６】
2019045943.tif 000008
【図７】
2019045943.tif 000009