(57)【要約】【課題】一実施形態は、或る組織に属するユーザが端末を別の組織が管理するネットワークに接続する際のセキュリティを向上させることができる。【解決手段】一実施形態に係る情報処理装置は、受信部と、通知部とを含む。受信部は、第１の組織に属する端末を第２の組織に属するネットワークへと接続する際のアクセスチケットの発行要求を受信する。通知部は、通知されたアクセスチケットに従って端末にデータを転送する制御を行う第２の組織のコントローラに、第１の組織の認可ポリシー及び第２の組織の認可ポリシーに基づくアクセスチケットを通知する。また、通知部は、通知されたアクセスチケットに従って端末をネットワークへ接続する制御を行う第２の組織のコントローラに、第１の組織の認可ポリシー及び第２の組織の認可ポリシーに基づくアクセスチケットを通知する。【選択図】図２
2015153096.tif 000002
【特許請求の範囲】
【請求項１】
第１の組織に属する端末を第２の組織に属するネットワークへ接続する許可を求める要求を受信する受信部と、
通知されたアクセスチケットに従って前記端末にデータを転送する制御を行う前記第１の組織のコントローラと、通知されたアクセスチケットに従って前記端末を前記ネットワークへ接続する制御を行う前記第２の組織のコントローラとに、前記第１の組織の認可ポリシー及び前記第２の組織の認可ポリシーに基づくアクセスチケットを通知する通知部と、
を含む、
ことを特徴とする情報処理装置。
【請求項２】
前記情報処理装置は、前記第２の組織に対する前記第１の組織の認可ポリシーのレベルと、前記第１の組織に対する前記第２の組織の認可ポリシーのレベルとを比較し、より厳しいレベルに調停する調停部を更に含み、
前記通知部は、調停されたレベルを含む前記アクセスチケットを通知する、
ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記第１の組織に属する端末は、前記アクセスチケットを受信し、前記アクセスチケットを、データの転送要求に付加して前記第１の組織のコントローラに送信し、
前記第１の組織のコントローラは、前記アクセスチケットが付加された前記データの転送要求を受信した場合に、前記アクセスチケットに含まれる前記調停されたレベルに基づいて、前記データの転送を許可するか否かを判定する、ことを特徴とする請求項２に記載の情報処理装置。
【請求項４】
前記認可ポリシーのレベルは、
自組織のデータを他組織の機器に表示、及び保存することを許可し、また、他組織の端末が自組織のネットワーク内の出力装置、及び記憶装置に接続することを許可する第１のレベル、
自組織のデータを他組織の機器に表示することを許可し、また、他組織の端末が自組織のネットワーク内の出力装置に接続することを許可する第２のレベル、及び
自組織のデータを他組織が利用することを禁止し、また、他組織の端末が自組織のネットワーク内の機器に接続することを禁止する第３のレベル、
のいずれかのレベルに設定されており、
前記第３のレベルは、前記第２のレベルよりも厳しいレベルであり、
前記第２のレベルは、前記第１のレベルよりも厳しいレベルである、
ことを特徴とする、請求項２又は３に記載の情報処理装置。
【請求項５】
前記第２の組織のコントローラは、前記情報処理装置から通知されたアクセスチケットに含まれる前記調停されたレベルが、前記第１のレベルである場合に、前記第１の組織に属する端末を、前記第２の組織のコントローラが管理するネットワークのうち、出力装置及び記憶装置が所属するネットワークに所属させ、且つ、前記出力装置及び記憶装置が所属するネットワークと、前記第２の組織のコントローラが管理するその他のネットワークとの間のルーティングを禁止する、ことを特徴とする請求項４に記載の情報処理装置。
【請求項６】
前記第２の組織のコントローラは、前記情報処理装置から通知されたアクセスチケットに含まれる前記調停されたレベルが、前記第２のレベルである場合に、前記第１の組織に属する端末を、前記第２の組織のコントローラが管理するネットワークのうち、出力装置が所属するネットワークに所属させ、且つ、前記出力装置が所属するネットワークと、前記第２の組織のコントローラが管理するその他のネットワークとの間のルーティングを禁止する、ことを特徴とする請求項４又は５に記載の情報処理装置。
【請求項７】
第１の組織に属する端末を第２の組織に属するネットワークへ接続する許可を求める要求を受信し、
通知されたアクセスチケットに従って前記端末にデータを転送する制御を行う前記第１の組織のコントローラと、通知されたアクセスチケットに従って前記端末を前記ネットワークへ接続する制御を行う前記第２の組織のコントローラとに、前記第１の組織の認可ポリシー及び前記第２の組織の認可ポリシーに基づくアクセスチケットを通知する、
処理をコンピュータに実行させるプログラム。
【請求項８】
第１の組織に属する端末を第２の組織に属するネットワークへ接続する許可を求める要求を受信する工程と、
通知されたアクセスチケットに従って前記端末にデータを転送する制御を行う前記第１の組織のコントローラと、通知されたアクセスチケットに従って前記端末を前記ネットワークへ接続する制御を行う前記第２の組織のコントローラとに、前記第１の組織の認可ポリシー及び前記第２の組織の認可ポリシーに基づくアクセスチケットを通知する工程と、
を含む、コンピュータが実行する接続制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、接続制御方法、及びプログラムに関する。
【背景技術】
【０００２】
近年、例えばパーソナルコンピュータ（ＰＣ）、ノートＰＣ、タブレット、スマートフォンなどの端末の小型化及び高機能化が進み、モビリティが向上している。また、様々な通信インタフェースを備える端末も普及しており、ユーザは多様な場面で端末を用いて情報の入手や発信が可能である。更には、端末には、カメラ、位置センサ、温度センサ、湿度センサ、加速度センサなどの各種センサを備えるものも普及しており、端末の利用場面は拡大している。
【０００３】
一方で、ネットワーク・インフラの整備が進み、例えば、キャリア網のカバーエリアは拡大しており、また、コンビニエンスストア、空港、ホテル、新幹線などにおいて公衆無線ＬＡＮ（Local Area Network）を利用できる環境も整ってきている。このような状況に応じて、端末を利用して、いつでもどこでも効率的に作業を遂行できることが期待されている。その一方で、端末の利用の際のセキュリティを向上させることも求められている。
【０００４】
これに関し、ユーザ属性およびシステム構成に適したレベルの認証方法を決定する技術が知られている。また、オープンな分散環境のシステムで、各々異機種を持つドメイン（ネットワークシステム）Ａ，Ｂ，Ｃ相互間でのセキュリティ管理を確実に実現する技術が知られている。（例えば、特許文献１及び特許文献２参照）
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−１７３８０５号公報
【特許文献２】特開平７−１４１２９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
１つの側面では、本発明は、或る組織に属するユーザが端末を別の組織が管理するネットワークに接続する際のセキュリティを向上させることのできる技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明の一つの態様の情報処理装置は、受信部と、通知部とを含む。受信部は、第１の組織に属する端末を第２の組織に属するネットワークへと接続する際のアクセスチケットの発行要求を受信する。通知部は、通知されたアクセスチケットに従って端末にデータを転送する制御を行う第２の組織のコントローラに、第１の組織の認可ポリシー及び第２の組織の認可ポリシーに基づくアクセスチケットを通知する。また、通知部は、通知されたアクセスチケットに従って端末をネットワークへ接続する制御を行う第２の組織のコントローラに、第１の組織の認可ポリシー及び第２の組織の認可ポリシーに基づくアクセスチケットを通知する。
【発明の効果】
【０００８】
一つの態様によれば、或る組織に属するユーザが端末を別の組織が管理するネットワークに接続する際のセキュリティを向上させることができる。
【図面の簡単な説明】
【０００９】
【図１】ユーザが出先で端末を他社のネットワークに接続したいと望む場合の一例である。
【図２】一実施形態に係る接続認可処理が実行されるシステムを例示する図である。
【図３】実施形態に係る調停サーバの機能ブロック構成を例示する図である。
【図４】実施形態に係るローカル側のコントローラの機能ブロック構成を例示する図である。
【図５】実施形態に係るリモート側のコントローラの機能ブロック構成を例示する図である。
【図６】実施形態に係るリモート側の端末の機能ブロック構成を例示する図である。
【図７】実施形態に係る認可レベルを例示する図である。
【図８】実施形態に係る認可ポリシー情報を例示する図である。
【図９】実施形態に係る被調停者管理情報を例示する図である。
【図１０】実施形態に係る調停要求を例示する図である。
【図１１】実施形態に係るアクセスチケットを例示する図である。
【図１２】実施形態に係るシステムにおいて実行される接続認可処理を例示する動作フロー図である。
【図１３】実施形態に係る接続認可処理において調停サーバが実行する調停処理を例示する動作フロー図である。
【図１４】実施形態に係る接続認可処理においてＢ社のコントローラが実行する処理を例示する動作フロー図である。
【図１５】実施形態に係る接続ネットワーク指定情報を例示する図である。
【図１６】実施形態に係るネットワーク設定を例示する図である。
【図１７】実施形態に係るネットワーク設定の変更について説明する図である。
【図１８】実施形態に係る接続認可処理においてＡ社の端末の制御部が実行する処理を例示する動作フロー図である。
【図１９】実施形態に係る接続認可処理においてＡ社のコントローラの制御部が実行する処理を例示する動作フロー図である。
【図２０】実施形態に係る調停サーバ、リモート側のコントローラ、ローカル側のコントローラ、及び端末を実現するためのコンピュータのハードウェア構成を例示する図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照しながら、本発明のいくつかの実施形態について詳細に説明する。なお、複数の図面において対応する要素には同一の符号を付した。また、以下の説明では、組織の一例として、会社を例に説明を行うが、実施形態は会社に限定されるものではなく、その他の社団、財団、又は組合に対しても適用することができる。
【００１１】
或る組織に属するユーザが端末を別の組織が管理するネットワークに接続する際のセキュリティを向上させることのできる技術が望まれている。例えば、会社Ａに所属するユーザが、取引先の会社Ｂに赴き、その会社Ｂのネットワークに自身の端末を接続したいと望む場合がある。図１は、会社Ａに所属するユーザが出先で端末をネットワークに接続したいと望む場合の一例である。
【００１２】
図１には、Ａ社の社内ネットワーク１０１、Ｂ社の社内ネットワーク１０２、Ｂ社を訪れたＡ社の端末１０３、及び、例えば、キャリア網などのＷＡＮ（Wide Area Network）１０５が示されている。ここで、例えば、営業などでＢ社を訪れたＡ社の端末１０３のユーザが、自社製品の売り込みなどのために、Ｂ社でプレゼンテーションを行いたいと希望する場合がある。この場合に、ユーザは例えば、ＷＡＮ１０５を介してＡ社ネットワークに要求して受信した資料を、Ｂ社の社内ネットワーク１０２に属する表示装置、及びプロジェクターなどの機器に表示したいと希望する。しかしながら、このような場合に、例えば、以下の問題が発生し得る。
【００１３】
例えば、Ｂ社の社内ネットワーク１０２の管理者は、セキュリティの観点から訪問してきたＡ社の端末１０３がアクセスできる社内ネットワークリソースを、訪問者の所属会社毎、及び業務毎に制限したいと望む状況が存在する。この場合、Ｂ社のネットワーク管理者には、例えば、セキュリティのために、その都度、接続させるネットワークの認可範囲を設定するか、又は、訪問者全ての認証情報（例えば、ＩＤ：identification及びパスワード）を管理したりする必要性が生じる。しかしながら、このような認可範囲の訪問者毎の設定、及び認証情報の管理は、手間がかかる作業であり、Ｂ社のネットワーク管理者の負担を増大させる原因となる。或いは、例えば、セキュリティの観点からＢ社の社内ネットワーク１０２へ接続するためのＩＤ及びパスワード等をＡ社に教えることが望ましくない状況も存在する。
【００１４】
一方で、Ａ社端末のユーザには、例えば、Ｂ社でプレゼンテーションをしようとした際に、Ｂ社の社内ネットワーク１０２内の表示装置などの機器へのアクセスが許可されない場合、事前に資料を印刷してくる等の対応が必要となり不便である。また、例えば、ＩＤやパスワードによる認証を行うことでＢ社の社内ネットワーク１０２を利用させてもらえる場合も、自身のＢ社の社内ネットワーク１０２へログインするためのＩＤやパスワードをＢ社に教えなければならないため好ましくない。また、例えば、Ｂ社が、外部の人が利用できるように、社内ネットワーク１０２とは別に、訪問者に公開している外部ネットワークを用意してくれる場合もある。しかしながら、そのような外部ネットワークに接続するだけでは、例えば、Ｂ社内の特定の部署のネットワーク機器を利用する等を行うことができず、結果として、Ａ社の端末１０３のユーザは、Ｂ社内でＡ社の端末１０３をつかって行いたいことができない可能性がある。
【００１５】
また、Ａ社の社内ネットワーク管理者は、例えば、Ａ社の端末１０３が外部のネットワークに接続したためにコンピュータウイルスに感染してしまったということは防ぎたい。そのため、Ａ社の端末１０３の接続先をＡ社のセキュリティに関するポリシーを満たす安全なネットワークのみに制限したいという要望がある。また、例えば、Ａ社の端末１０３がＩＤやパスワードによる認証を行うことでＢ社の社内ネットワーク１０２を利用させてもらえる場合も、Ａ社の端末１０３のユーザがその他のネットワークでも同じログインのＩＤやパスワードを使いまわしている危険性がある。そのような場合には、Ｂ社に他のネットワークでも利用しているＩＤやパスワードを教えてしまうことになるため、好ましくない。
【００１６】
また更に、例えば、図１に例示する状況などにおいて、Ａ社の端末１０３にダウンロードされた資料などのデータの取り扱いを、Ａ社のネットワーク管理者が制御したいという要望も存在する。例えば、一度、Ａ社の端末１０３にダウンロードされてしまったデータの取り扱いは、端末１０３のユーザの判断に委ねられてしまう。そのため、Ａ社の端末１０３のユーザが判断を誤り、他社に渡してはいけない資料であるにもかかわらずデータをＢ社に渡してしまう恐れがある。このような状況を未然に防ぐために、Ａ社のネットワーク管理者が社内のデータの他社のネットワークにおける取り扱いを制御できる仕組みが望まれる。例えば、以上のことから、Ｂ社のネットワーク管理者の作業負担を軽減しつつも、Ａ社の端末１０３にＢ社の社内ネットワーク１０２の機器等の利用を安全に許可する仕組みが望まれる。
【００１７】
以下で例示するいくつかの実施形態では複数の会社（例えば、上述のＡ社及びＢ社など）の他社に対するデータの取り扱い、及び機器の使用のポリシーを定める認可ポリシーを保持する情報処理装置である調停サーバを設置する。そして、調停サーバは、２つの会社から認可ポリシーの調停要求を受信した場合に認可ポリシーを比較し、より厳しい方の認可ポリシーに認可レベルを調停する。そして、調停要求を行った２つの会社は、調停された認可レベルに従って、例えば、社内ネットワークの設定及び端末へのデータの転送を制御する。なお、調停サーバは、例えば、信頼できる第３者によって運用されていてよい。
【００１８】
図２は、一実施形態に係る接続認可処理が実行されるシステム２００を例示する図である。図２のシステム２００は、調停サーバ２１０、調停サーバ２１０と連携して機能するＡ社のコントローラ２０１及びＢ社のコントローラ２０２、並びにＡ社の端末２０３を含み、これらの装置がＷＡＮ２０５を介して接続されている。また、Ａ社のコントローラ２０１は、Ａ社の社内ネットワーク１０１を管理しており、Ｂ社のコントローラ２０２はＢ社の社内ネットワーク１０２を管理している。ここで、例えば、Ａ社に所属するユーザがＢ社を訪れた際に、プレゼンテーションのためにユーザが所持するＡ社の端末２０３をＢ社の社内ネットワーク１０２に接続し、Ｂ社の機器を利用したいと希望する状況が存在する。この場合、例えば、ユーザは、Ａ社の端末２０３からＢ社のコントローラ２０２を介して、Ａ社の認可ポリシーとＢ社の認可ポリシーとの調停を要求する調停要求を調停サーバに送信する（図２の（１））。なお、調停要求には、例えば、Ａ社からの要求であることを証明するＡ社証明書と、Ｂ社からの要求であることを証明するＢ社証明書とが含まれていてよい。Ａ社証明書及びＢ社証明書は、例えば、認証局（ＣＡ：Certificate Authority）が発行する証明書であってよい。
【００１９】
調停サーバ２１０は、調停要求を受信すると、調停要求に含まれるＡ社証明書及びＢ社証明書を用いて認証を実行する（図２の（２））。認証に成功し、Ａ社及びＢ社からの調停要求であることを確認すると、調停サーバ２１０は、調停要求をしてきたＡ社の認可ポリシーと、Ｂ社認可ポリシーとを比較し、認可ポリシーの調停を行う（図２の（３））。なお、認可ポリシーとは、例えば、他社に対する自社のデータ及び自社の機器などの使用の許可のレベルを定める情報である。認可ポリシーの更なる詳細は後述するが、例えば、Ａ社のＢ社に対するデータの取り扱いの認可ポリシーは、Ｂ社に対してＡ社のデータの表示を許可する等であってよい。この場合、Ａ社は、データをＢ社の出力機器に表示してもよいが、データをＢ社の記憶装置に保存させることは許可していないことを示している。また、Ｂ社のＡ社に対する機器の取り扱いの認可ポリシーは、例えば、Ｂ社の社内ネットワーク１０２内の出力装置及び記憶装置へのアクセスを許可する等であってもよい。この場合、Ｂ社は、例えば、Ａ社の端末２０３のデータの表示のためにＢ社の社内ネットワーク１０２内の出力装置に接続してもらってもよく、データの保存のためにＢ社の社内ネットワーク１０２内の記憶装置に接続してもらってもよいことを示している。ここで、Ａ社の端末２０３がＢ社の社内ネットワーク１０２内の記憶装置にデータを保存してしまうと、Ｂ社の機器の認可ポリシーは満たされるが、Ａ社のデータの認可ポリシーを満たさなくなってしまう。
【００２０】
例えば、この様な場合、調停サーバは、より厳しい方の認可ポリシーに合わせるように認可ポリシーの認可レベルを調停する。即ち、この例では、より厳しいデータの表示のみを許可するＡ社の認可ポリシーの認可レベルに合わせて、Ｂ社の機器の認可ポリシーの認可レベルも記憶装置へのアクセスは許可せず、出力装置に対するアクセスを許可する認可レベルに調停する。そして、調停サーバ２１０は、調停された認可レベルを通知するアクセスチケットをＡ社のコントローラ２０１、Ｂ社のコントローラ２０２、及びＡ社の端末２０３のそれぞれに発行する（図２の（４））。
【００２１】
Ｂ社のコントローラ２０２は、アクセスチケットを受信すると、例えば、Ａ社の端末２０３が、ファイルサーバなどの記憶装置には接続できず、ディスプレーなどの出力装置にのみ接続可能となるように、ネットワークの設定を実行する（図２の（５ａ））。一実施形態においては、このネットワーク設定はＶＬＡＮ（Virtual Local Area Network）を用いて行われる。ＶＬＡＮとは、例えば、物理的なＬＡＮ構成とは独立に、ネットワークに接続した端末を仮想的（論理的）にグループ化したＬＡＮ（Local Area Network）のことで、１つのＶＬＡＮが１つのブロードキャストドメインになる。ＶＬＡＮは、ＩＥＥＥ８０２．１Ｑにより標準化されている。なお、ＩＥＥＥ８０２．１Ｑは、IEEE Standards for Local and Metropolitan Area Networks：Virtual Bridged Local Area Networksのことである。例えば、ＶＬＡＮを用いてネットワーク設定を行う場合、Ｂ社のコントローラ２０２は、Ｂ社の社内ネットワーク１０２内の出力装置のみが所属するネットワークのＶＬＡＮ‐ＩＤを、Ａ社の端末２０３に割り当てるようにＶＬＡＮの設定を行う。また、Ｂ社のコントローラ２０２は、Ａ社の端末２０３に割り当てたＶＬＡＮ‐ＩＤのネットワークと、例えば、他のＶＬＡＮ‐ＩＤを有するネットワークとの間のルーティングを行わないようにＶＬＡＮの設定を行う。例えば、このように設定することで、Ａ社の端末２０３からは、Ｂ社の出力装置以外の機器にアクセスすることができない。そのため、例えば、Ａ社の端末２０３内のデータを、誤ってＢ社の記憶装置に保存してしまうことが防止できる。従って、Ａ社及びＢ社の両方の認可ポリシーが満たされセキュリティを保つことができる。
【００２２】
また、一方で、アクセスチケットを受信したＡ社の端末２０３は、例えば、プレゼンテーションに使いたい資料などのデータの転送要求にアクセスチケットを付加して、Ａ社のコントローラ２０１に送信する（図２の（５ｂ））。Ａ社のコントローラ２０１は、Ａ社の端末２０３からデータの転送要求を受信すると、調停サーバから受信したアクセスチケットと、Ａ社の端末２０３からの転送要求に付されたアクセスチケットとの内容が一致しているか否かを確認する。そして、アクセスチケットの内容が一致している場合には、アクセスチケットに含まれる調停された認可レベルに従って、転送要求のあったデータ転送をしてもよいか否かを判定する。例えば、データの表示を許可する認可レベルであれば、データの内容はＢ社の人に見せてもよい内容である。そのため、Ａ社の社内ネットワーク１０１のコントローラ２０１は、例えば、Ａ社の社内ネットワーク１０１内のファイルサーバなどにＡ社の端末２０３へとデータを転送するように指示する（図２の（６））。指示を受けた例えば、ファイルサーバはデータをＡ社の端末２０３に転送する（図２の（７））。ここで、Ｂ社のコントローラ２０２が、受信したアクセスチケットに従ってＢ社の社内ネットワーク１０２の設定を完了していれば、Ａ社の端末２０３は、例えば、Ｂ社の社内ネットワーク１０２内の出力装置を含むＶＬＡＮ‐ＩＤのネットワークに所属している。そのため、同じネットワーク内の出力装置にアクセスし、Ａ社の端末２０３にダウンロードしたデータを、Ｂ社の出力装置に表示させてプレゼンテーションを行うことができる。
【００２３】
以下、図３から図１９を参照して、実施形態に係る接続認可処理を説明する。図３は、実施形態に係る調停サーバ２１０の機能ブロック構成を例示する図である。調停サーバ２１０は、例えば、制御部３００及び記憶部３１０を含んでいる。制御部３００は、例えば受信部３０１、認証部３０２、調停部３０３、及び通知部３０４などの機能部を含んでいる。調停サーバ２１０の記憶部３１０は、例えば、プログラム３２０、並びに後述する認可ポリシー情報８００、及び被調停者管理情報９００などの情報を記憶している。調停サーバ２１０の制御部３００は、プログラム３２０を読み出して実行することで例えば受信部３０１、認証部３０２、調停部３０３、及び通知部３０４などの機能部として機能する。これらの各機能部の詳細及び記憶部３１０に格納されている情報の詳細については後述する。
【００２４】
図４は、実施形態に係るローカル側のコントローラ２０２の機能ブロック構成を例示する図である。なお、ローカル側とは、例えば、他社の端末を自社のネットワークへと受け入れる側を表しており、図２の例ではＢ社側である。ローカル側のコントローラ２０２は、例えば、制御部４００及び記憶部４１０を含んでいる。制御部４００は、例えば調停要求転送部４０１、認証結果通知部４０２、アクセスチケット転送部４０３、及びネットワーク設定部４０４などの機能部を含んでいる。ローカル側のコントローラ２０２の記憶部４１０は、例えば、プログラム４２０、並びに自社を証明する証明書４５０、及び後述する接続ネットワーク指定情報１５００などの情報を記憶している。なお、証明書は、例えば、認証局が発行する証明書であってよい。ローカル側のコントローラ２０２の制御部４００は、プログラム４２０を読み出して実行することで例えば調停要求転送部４０１、認証結果通知部４０２、アクセスチケット転送部４０３、及びネットワーク設定部４０４などの機能部として機能する。これらの各機能部の詳細及び記憶部４１０に格納されている情報の詳細については後述する。
【００２５】
図５は、実施形態に係るリモート側のコントローラ２０１の機能ブロック構成を例示する図である。なお、リモート側とは、例えば、自社の端末を他社のネットワークへと受け入れてもらう側を表しており、図２の例ではＡ社側であってよい。リモート側のコントローラ２０１は、例えば、制御部５００及び記憶部５１０を含んでいる。制御部５００は、例えばアクセスチケット検証部５０１、及びデータ転送指示部５０２などの機能部を含んでいる。リモート側のコントローラ２０１の記憶部５１０は、例えば、プログラム５２０などの情報を記憶している。リモート側のコントローラ２０１の制御部５００は、プログラム５２０を読み出して実行することで例えばアクセスチケット検証部５０１、及びデータ転送指示部５０２などの機能部として機能する。これらの各機能部の詳細及び記憶部５１０に格納されている情報の詳細については後述する。
【００２６】
図６は、実施形態に係るリモート側の端末２０３の機能ブロック構成を例示する図である。また、リモート側の端末２０３は、例えば、図２ではＡ社の端末２０３を指す。リモート側の端末２０３は、例えば、制御部６００及び記憶部６１０を含んでいる。制御部６００は、例えば調停要求部６０１、応答受信部６０２、データ転送要求部６０３、及び外部機器表示部６０４などの機能部を含んでいる。リモート側の端末２０３の記憶部６１０は、例えば、プログラム６２０、並びに自社を証明する証明書６５０などの情報を記憶している。なお、証明書は、例えば、認証局が発行する証明書であってよい。リモート側の端末２０３の制御部６００は、プログラム６２０を読み出して実行することで例えば調停要求部６０１、応答受信部６０２、データ転送要求部６０３、及び外部機器表示部６０４などの機能部として機能する。これらの各機能部の詳細及び記憶部６１０に格納されている情報の詳細については後述する。
【００２７】
図７は、実施形態に係る認可レベルを例示する図である。一実施形態において、調停サーバ２１０は、調停処理を利用する複数の会社のそれぞれの他社に対する認可ポリシーを記憶している。認可ポリシーは、例えば、調停処理を利用する複数の会社間で共通化されている認可レベルを用いて設定される。図７（ａ）はデータの取り扱いに関する認可レベルを例示しており、また、図７（ｂ）は機器の取り扱いに関する認可レベルを例示している。
【００２８】
例えば、図７（ａ）では、認可レベルの値：１には、データの許可の範囲として表示と保存の許可が対応づけられている。即ち、例えば、Ａ社とＢ社があったとして、Ａ社のＢ社に対するデータの認可レベルが１に設定されているとする。この場合には、例えば、Ａ社のデータをＢ社の記憶装置等に保存してもよいし、Ｂ社の出力装置等に表示してもよいことを示している。
【００２９】
また、図７（ａ）では、認可レベルの値：２にはデータの許可の範囲として表示の許可が対応づけられている。これは例えば、Ａ社のＢ社に対するデータの認可レベルが２に設定されている場合に、Ａ社のデータをＢ社の出力装置等に表示してもよいことを示している。一方で、例えば、データをＢ社の記憶装置に保存することなどは許可されていないことを示している。
【００３０】
認可レベルの値：３にはデータの許可の範囲としてすべて不可が対応づけられている。これは例えば、Ａ社のＢ社に対するデータの認可レベルが３に設定されている場合には、Ａ社のデータをＢ社に漏らすことを禁止しており、データをＢ社の出力装置に表示したり、及びＢ社の記憶装置に保存したりしてはいけないことを示している。
【００３１】
また、図７（ｂ）の機器の取り扱いに関する認可レベルでは、認可レベルの値：１には機器の使用の許可の範囲として出力装置及び記憶装置の使用の許可が対応づけられている。即ち、例えば、Ａ社とＢ社があったとして、Ｂ社のＡ社に対する機器の使用の認可レベルが１に設定されているとする。この場合には、例えば、Ａ社の人がＢ社を訪れた際に、Ｂ社の記憶装置等に端末を接続してもよいし、Ｂ社の出力装置等に端末を接続してもよいことを示している。
【００３２】
また、認可レベルの値：２には機器の使用の許可の範囲として出力装置が対応づけられている。これは例えば、Ｂ社のＡ社に対する機器の利用の認可レベルが２に設定されている場合に、Ａ社の人がＢ社を訪れた際に、出力装置等に接続してもよいことを示している。一方で、例えば、Ｂ社の記憶装置に接続することは禁止されることを示している。
【００３３】
認可レベルの値：３には機器の使用の許可の範囲としてすべて不可が対応づけられている。これは例えば、Ｂ社のＡ社に対するデータの認可レベルが３に設定されている場合には、Ａ社の人がＢ社を訪れた際に、Ｂ社の機器を使用することが許可されていないことを示している。
【００３４】
なお、図７に示す例では、図７（ａ）のデータの取り扱いの認可レベルの値と、図７（ｂ）の機器の使用の認可レベルの値とは対応するように構成されている。即ち、例えば、データの取り扱いの認可レベルが１で表示と保存が許可される場合には、表示のために使用される機器である出力装置や、保存のために使用される記憶装置が機器の認可レベル：１において使用可能であるように設定されている。また、データの取り扱いの認可レベルが２で表示が許可される場合には、表示のために使用される機器である出力装置が機器の認可レベル：２において使用可能であり、一方、データの保存などに使用される記憶装置などの機器は使用できないように設定されている。データの取り扱いの認可レベルが３でデータの使用を他社に許可できない場合には、データの使用に用いられる機器が機器の認可レベル：３において使用できないように設定されている。なお、別の実施形態として、例えば、以上のようにデータの認可レベルと、機器の認可レベルとが対応している場合に、データの認可レベル及び機器の認可レベルの両方を合わせて１つの認可レベルとして設定してもよい。即ち、例えば、認可レベル：１であれば、データの場合には、表示、保存が可能であり、また、出力装置、記憶装置の機器の利用も可能である。また、認可レベル：２であれば、データの場合には、表示が可能であり、また、出力装置の機器の利用も可能であるというように、１つの認可レベルに対し、データの取り扱いのレベルと機器の利用のレベルの両方を対応づけてもよい。
【００３５】
また、図７に示す例では、認可レベルに１〜３の３つのレベルを設定しているが、実施形態はこれに限定されるものではない。例えば、別の実施形態では、データの認可レベル：０として、表示、保存、変更を許可するように構成してもよい。なお、変更の許可とは、例えばＢ社の人にデータの編集や修正が許可されることを意味している。また、図７に示す例では、認可レベルの値が大きいほど、厳しい認可範囲を設定しているが、実施形態はこれに限定されるものではない。例えば、別の実施形態では、認可レベルの値が小さいほど厳しい認可範囲を設定してもよい。なお、以下の説明では、認可レベルが図７に示すように設定されている場合を例にとり実施形態を説明する。
【００３６】
続いて、他社に対するデータの取り扱い、及び機器の使用の認可レベルを指定する情報である認可ポリシー情報８００を説明する。図８は、実施形態に係る認可ポリシー情報８００を例示する図である。認可ポリシー情報８００は、例えば、図７に例示した認可レベルを用いて設定される。図８（ａ）は、Ａ社の他社に対する認可ポリシー情報８００を例示している。
【００３７】
例えば、Ａ社の認可ポリシー情報８００では、Ａ社のＢ社に対するデータの認可ポリシーは認可レベル：２に設定されている。従って、例えば、Ａ社のデータはＢ社の表示装置等の出力装置に表示してもよいが、Ｂ社の記憶装置等に保存することは禁止される。また、Ａ社の認可ポリシー情報８００では、Ａ社のＣ社に対するデータの認可ポリシーは認可レベル：１に設定されている。従って、例えば、Ａ社のデータはＣ社の出力装置に表示してもよいし、Ｃ社の記憶装置に保存してもよいことを示している。
【００３８】
また、機器使用の認可ポリシーでは、Ａ社のＢ社に対する機器使用の認可ポリシーは認可レベル：２に設定されている。従って、例えば、Ｂ社の端末を、Ａ社の社内ネットワーク１０１内の出力装置に接続することは許可されるが、Ａ社の社内ネットワーク１０１内の記憶装置等に接続することは禁止される。また、Ａ社のＣ社に対する機器使用の認可ポリシーは認可レベル：１に設定されている。従って、例えば、Ｃ社の端末は、Ａ社の社内ネットワーク１０１内の出力装置に接続してもよいし、Ａ社の社内ネットワーク１０１内の記憶装置等に接続してもよい。
【００３９】
また、図８（ｂ）は、Ｂ社の他社に対する認可ポリシー情報８００を例示している。例えば、Ｂ社の認可ポリシー情報８００では、Ｂ社のＡ社に対するデータの認可ポリシーは認可レベル：１に設定されている。従って、例えば、Ｂ社のデータはＡ社の表示装置等の出力装置に表示してもよいし、Ａ社の記憶装置等に保存してもよい。また、Ｂ社のＣ社に対するデータの認可ポリシーは認可レベル：３に設定されている。従って、例えば、Ｂ社のデータをＣ社が取り扱うことは許可されず、Ｃ社の出力装置に表示することも、Ｃ社の記憶装置等に保存することも禁止される。
【００４０】
また、機器使用の認可ポリシーでは、Ｂ社のＡ社に対する機器使用の認可ポリシーは認可レベル：１に設定されている。従って、例えば、Ａ社の端末は、Ｂ社の表示装置等の出力装置に接続してもよいし、Ｂ社の記憶装置等に接続してもよい。また、Ｂ社のＣ社に対する機器使用の認可ポリシーは認可レベル：２に設定されている。従って、例えば、Ｃ社の端末はＢ社のネットワーク内の出力装置に接続してもよいが、記憶装置等に接続することは禁止される。
【００４１】
なお、図８（ｂ）のＢ社のＣ社に対する認可ポリシーに例示されるように、データの認可ポリシーの認可レベルと、機器使用の認可ポリシーの認可レベルは異なる値に設定されていてもよい。例えば、図８（ｂ）のＢ社のＣ社に対する認可ポリシーでは、Ｂ社は、Ｃ社に自社のデータの利用を許可せず禁止するが、Ｃ社の端末がＢ社を訪れた際にＢ社の出力装置に接続し利用することは許可している。
【００４２】
また、図８に丸枠で示すように、Ａ社のＢ社に対するデータの認可ポリシーは２に設定されており、一方、Ｂ社のＡ社に対する機器の使用の認可ポリシーは１に設定されている。この場合、例えば、Ａ社は、データをＢ社の表示装置等の出力装置に表示することは許可しているが、Ｂ社の記憶装置等に保存することは許可していない。一方で、Ｂ社は、例えばＡ社の端末がＢ社の社内ネットワーク内の出力装置及び記憶装置に接続し、使用することを許可している。一実施形態においては、例えばこの様な場合に、調停サーバ２１０はより厳しい認可ポリシーに認可レベルを合わせるように調停を行う。即ち、例えば、Ａ社のＢ社に対するデータの認可ポリシーの認可レベル：２と、Ｂ社のＡ社に対する機器の使用の認可ポリシーの認可レベル：１とが相違しているため、調停サーバ２１０はより厳しい認可レベル：２に合わせるように認可レベルの調停を行う。
【００４３】
また更に、図８の例では、認可ポリシー情報８００を会社単位で設定する例を示したが、実施形態はこれに限定されるものではない。例えば、データの認可ポリシーをデータの種別ごとに設定してもよい。即ち、例えば、Ａ社内でデータを重要度等に応じて分類し、重要度が高く分類されたデータの他社に対する認可ポリシーと、重要度が低く分類されたデータの他社に対する認可ポリシーとをそれぞれ別に設定するように構成してもよい。また、例えば、業種ごとに認可レベルを設定してもよい。即ち、例えば、Ａ社の中で秘匿性の高い仕事をしている部署のデータでは他社に対して認可レベルとして厳しい値を設定し、一般的な仕事をしている部署のデータでは認可レベルとして緩い値を設定するというように部署に応じて異なる認可レベルを設定してもよい。また、機器の認可レベルも、秘匿性の高い仕事をしている部署が使用するネットワーク内の機器は使用を制限し、一方、一般的な仕事をしている部署のネットワーク内の機器は他社に使用を許容するというように部署に応じて異なる認可レベルを設定してもよい。
【００４４】
以上で例示したＡ社及びＢ社の認可ポリシー情報８００などの認可ポリシー情報８００が、実施形態に係る調停処理を実行する複数の会社のそれぞれについて、例えば、調停サーバ２１０の記憶部３１０に記憶されていてよい。なお、以下の説明では、認可ポリシー情報８００が図８に示すように設定されている場合を例にとり実施形態を説明する。
【００４５】
図９は、実施形態に係る被調停者管理情報９００を例示する図である。被調停者管理情報９００には、調停サーバ２１０に認可ポリシーの調停を要求する会社についての情報である被調停者情報９０１が登録されている。被調停者情報９０１は、例えば、識別情報、認証情報、暗号鍵、及びアドレスを含んでいてよく、被調停者情報９０１に含まれるこれらの情報は対応づけられている。識別情報は、被調停者情報９０１に登録されている情報の対象の会社を識別するための情報であってよい。例えば、識別情報は被調停者情報９０１に登録されている情報の対象の会社の名称であってよい。認証情報は、例えば、被調停者情報９０１に登録されている情報の対象の会社の認証に用いる情報である。認証情報には、例えば、被調停者情報９０１に登録されている情報の対象の会社の証明書を認証するための情報が登録されている。暗号鍵には、例えば、被調停者情報９０１に登録されている情報の対象の会社と、調停サーバ２１０との間の通信の暗号化に用いる暗号鍵の情報が登録されている。アドレスは、例えば、被調停者情報９０１に登録されている情報の対象の会社へと、調停サーバ２１０が調停結果であるアクセスチケットを通知する際に用いる宛先のアドレスであってよい。例えば、アドレスには、被調停者情報９０１に登録されている情報の対象の会社の社内ネットワークを管理するコントローラ（例えば、コントローラ２０１及びコントローラ２０２）への宛先が登録されていていよい。
【００４６】
図１０は、実施形態に係る調停要求１０００を例示する図である。調停要求１０００は、例えば、接続要求元の端末の端末ＩＤ、被調停者の識別情報、及び被調停者の証明書を含んでいる。接続要求元の端末の端末ＩＤは、接続要求元の端末を識別するための情報であり、例えば、接続要求元の端末のＭＡＣアドレスなどであってよい。なお、ＭＡＣアドレスは、Media Access Control addressの略称である。被調停者の識別情報には、認可ポリシーの調停を受ける会社を識別するための情報が登録されていてよい。図１０の調停要求１０００では、被調停者の識別情報として、ローカル側の会社の名称と、リモート側の会社の名称とが登録されている。ここで、ローカル側とは、例えば、調停要求１０００の接続要求元に記載される端末２０３を自社ネットワーク内に受け入れる側を表している。また、リモート側とは、例えば、調停要求１０００の接続要求元に記載される端末２０３が所属する会社の側であり、自社の端末２０３を他社ネットワークへ受け入れてもらう側を表している。また、被調停者の証明書は、被調停者を証明する証明書である。証明書には、例えば、認証局が発行した証明書が用いられてよい。調停要求１０００は、例えば、調停サーバ２１０に、認可ポリシーの調停を求めるために用いられる。また、後述するように、調停サーバ２１０は、調停要求１０００に対する応答として、例えば、リモート側の端末のローカル側の組織のネットワークへの接続を制御するアクセスチケットを発行する。そのため、調停要求は、例えば、リモート側の組織に属する端末をローカル側の組織に属するネットワークへ接続する許可を求める要求でもあり得る。
【００４７】
図１１は、実施形態に係るアクセスチケットを例示する図である。図１１では、Ａ社とＢ社との間の調停要求に対し、調停サーバ２１０が発行したアクセスチケットを例示している。図１１（ａ）は、例えば、Ａ社の社内ネットワーク１０１を管理するＡ社のコントローラ２０１に対して発行されたアクセスチケットである。図１１（ｂ）は、例えば、Ａ社の端末２０３に対して発行されたアクセスチケットである。図１１（ｃ）は、例えば、Ｂ社の社内ネットワーク１０２を管理するＢ社のコントローラ２０２に対して発行されたアクセスチケットである。
【００４８】
アクセスチケットは、例えば、接続要求元、被調停者、調停された認可レベル、チケット識別情報、及び有効期限の情報を含んでいてよい。接続要求元は、例えば、他社のネットワークへの接続を要求する端末を識別する情報であってよい。図１１の例では、接続要求元は、例えば、他社のネットワークへの接続を要求する端末のＭＡＣアドレスである。また、被調停者には、例えば、認可ポリシーの調停を受ける２つの会社を識別する情報が登録されている。被調停者のローカル側は、例えば、他社の端末を自社のネットワーク内に受け入れて機器等の使用を認可する側の会社であってよい。また、リモート側は、例えば、自社の端末を他社のネットワークに受け入れてもらう側の会社であってよい。調停された認可レベルには、例えば、調停要求に対して調停サーバが調停を行った結果の認可レベルが登録される。チケット識別情報は、例えば、アクセスチケットを識別するための識別情報であり、調停サーバが、受信した調停要求に対して割り振った通し番号などであってよい。有効期限には、例えば、調停サーバが発行したアクセスチケットが有効である期限が登録される。
【００４９】
また、図１１（ｂ）のＡ社の端末２０３に対するアクセスチケット、及び図１１（ｃ）のＢ社のコントローラ２０２に対するアクセスチケットに例示されるように、アクセスチケットは暗号鍵の情報を含んでいてよい。図１１のＡ社の端末２０３に対するアクセスチケット及びＢ社のコントローラ２０２に対するアクセスチケットに含まれる暗号鍵は、例えば、Ａ社端末と、Ｂ社ネットワーク内の機器との間でのデータの送受信の際のデータの暗号化に使用する暗号鍵である。この暗号鍵は、例えば、Ａ社の端末と、Ｂ社の社内ネットワーク１０２内の機器との間でのデータの送受信のために調停サーバが生成した一時使用のための暗号鍵であってよい。
【００５０】
図１２は、実施形態に係るシステム２００において実行される接続認可処理を例示する動作フロー図である。例えば、図２を参照して述べたように、Ａ社の端末２０３が、Ｂ社を訪れた際に、プレゼンテーションのためにユーザが所持するＡ社の端末２０３をＢ社の社内の所定のネットワーク内の機器に接続し、使用したいと希望したとする。この場合に、Ａ社の端末２０３は、例えば、Ａ社の端末２０３を識別可能な識別情報（例えば、ＭＡＣアドレス）を接続要求元として、Ａ社の識別情報をリモート側の被調停者として、及びＡ社の証明書をリモート側の証明書として含めた調停要求を生成する。そして、Ａ社の端末２０３は、例えば、誰でも接続が可能に設定されているＢ社のアクセスポイントに接続し、生成した調停要求をＨＴＴＰリクエストとして送出する（ステップ１２０１。以降、ステップを“Ｓ”と省略し、例えば、Ｓ１２０１と表記する）。なお、ＨＴＴＰは、Hypertext Transfer Protocolの略称である。Ｂ社のコントローラ２０２は、Ａ社の端末２０３から送出された調停要求に、Ｂ社の識別情報をローカル側の被調停者として、また、Ｂ社の証明書をローカル側の証明書として含めた調停要求１０００を生成する。そして、Ｂ社のコントローラ２０２は、生成した調停要求１０００を調停サーバ２１０へとリダイレクトする（Ｓ１２０２）。なお、調停要求１０００に含まれるＡ社の証明書は、Ａ社と調停サーバ２１０を運営する第３者との間で定めた暗号鍵を用いて暗号化されていてよい。また、調停要求１０００に含まれるＢ社の証明書は、Ｂ社と調停サーバ２１０を運営する第３者との間で定めた暗号鍵を用いて暗号化されていてよい。また、この暗号鍵は、例えば、被調停者管理情報９００の暗号鍵に登録されていてよい。
【００５１】
調停サーバ２１０は、Ａ社の証明書及びＢ社の証明書を含む調停要求１０００を受信すると、Ａ社の証明書及びＢ社の証明書のそれぞれを、被調停者管理情報９００の認証情報に基づいて認証する（Ｓ１２０３）。Ａ社の証明書及びＢ社の証明書のいずれか一方でも認証に失敗した場合（Ｓ１２０４がＮＯ）、調停サーバ２１０は、Ｂ社のコントローラ２０２に認証に失敗したことを通知し、フローはＳ１２０７へと進む。調停サーバ２１０が、Ａ社の証明書及びＢ社の証明書のそれぞれの認証に成功した場合（Ｓ１２０４がＹＥＳ）、フローはＳ１２０５へと進む。
【００５２】
Ｓ１２０５において、調停サーバ２１０は、例えば、調停要求のあったＡ社と、Ｂ社との認可ポリシーを比較し、より厳しい方の認可ポリシーに合わせて認可レベルを調停する。例えば、調停サーバ２１０は、調停要求１０００のリモート側のＡ社の認可ポリシー情報８００を記憶部３１０から読み出し、その認可ポリシー情報８００からＡ社のＢ社に対するデータの認可レベルを特定する。また、調停サーバ２１０は、例えば、調停要求１０００のローカル側のＢ社の認可ポリシー情報８００を記憶部３１０から読み出し、その認可ポリシー情報８００からＢ社のＡ社に対する機器の認可レベルを特定する。そして、得られたＡ社のＢ社に対するデータの認可レベルと、Ｂ社のＡ社に対する機器の認可レベルとを比較する。例えば、Ａ社のＢ社に対するデータの認可ポリシーは、図８（ａ）の例では認可レベル２である。また、Ｂ社のＡ社に対する機器の認可ポリシーは、図８（ｂ）の例では認可レベル１である。この場合に、調停サーバ２１０は、認可レベルをより厳しい認可レベルであるＡ社の認可レベル２に調停する。
【００５３】
Ｓ１２０６において、調停サーバ２１０は、例えば、調停した認可レベルを含むアクセスチケットを、調停要求のあった２社のコントローラ（例えば、Ａ社のコントローラ２０１及びＢ社のコントローラ２０２）に送信し、アクセスチケットの発行を行う。また、調停サーバ２１０は、例えば、調停要求を発信した端末２０３に対して、Ｂ社のコントローラ２０２を介してアクセスチケットを送信し、アクセスチケットの発行を行う。
【００５４】
Ｓ１２０７において、Ｂ社のコントローラ２０２は、調停要求１０００に対する調停サーバ２１０からの応答として、アクセスチケットを受信するか、又は認証に失敗したことの通知を受信する。Ｓ１２０７において、Ｂ社のコントローラ２０２が、認証に失敗したことの通知を受信した場合（Ｓ１２０７がＮＯ）、Ｂ社のコントローラ２０２は、Ａ社の端末２０３に認証に失敗したことの通知を送信する。Ｓ１２０７において、Ｂ社のコントローラ２０２が、アクセスチケットを受信した場合（Ｓ１２０７がＹＥＳ）、フローはＳ１２０８へと進む。Ｓ１２０８において、Ｂ社のコントローラ２０２は、Ａ社の端末２０３に、調停サーバ２１０から受信したＡ社の端末２０３に対するアクセスチケットを転送する。
【００５５】
続いて、Ｓ１２０９において、Ｂ社のコントローラ２０２は、受信したアクセスチケットに示される認可レベルに従って、Ｂ社の社内ネットワーク１０２のネットワーク設定を実行する。例えば、Ｂ社のコントローラ２０２が図１１（ｃ）のアクセスチケットを受信した場合、認可レベルが２に設定されており、Ｂ社の社内ネットワーク１０２内の出力装置にＡ社の端末２０３を接続してもよい。そのため、Ｂ社のコントローラ２０２は、例えば、アクセスチケットの接続要求元のＡ社の端末２０３に、Ｂ社の社内ネットワーク１０２内の出力装置と同じＶＬＡＮ‐ＩＤを設定する。また、Ｂ社のコントローラ２０２は、Ａ社の端末２０３に設定したＶＬＡＮ‐ＩＤのネットワークと他のネットワークとの間のルーティングを禁止するようにＶＬＡＮを設定する。例えば、このように設定することで、Ａ社の端末２０３は、設定されたＶＬＡＮ‐ＩＤを有するＢ社内のネットワークに接続することができる。そして、Ａ社の端末２０３は、同じＶＬＡＮ‐ＩＤが設定されている例えば、表示装置、プロジェクターなどの出力装置に接続してデータを表示することができる。一方、設定されたＶＬＡＮ‐ＩＤのネットワーク内には、Ｂ社のその他の機器（例えば記憶装置など）が所属せず、また、Ｂ社内の他のネットワークとの接続も禁止する設定となっている。そのため、Ａ社の端末２０３が、例えば、Ｂ社内の記憶装置などに接続し、端末２０３内のデータをＢ社の記憶装置に保存してしまうことがない。即ち、アクセスチケットの認可レベル２で許可されるデータの利用及び機器の利用が可能であり、また、許可されていないデータの利用及び機器の利用は実行できない。
【００５６】
続いて、Ａ社の端末２０３は、Ｓ１２１０において、調停要求に対する応答として、アクセスチケットを受信するか、又は認証に失敗したことの通知を受信する。Ｓ１２１０において、Ａ社の端末２０３が、Ｂ社のコントローラ２０２から認証に失敗したことの通知を受信した場合（Ｓ１２１０がＮＯ）、Ａ社の端末２０３はＢ社の社内ネットワーク１０２へと接続する処理を終了する。Ｓ１２１０において、Ａ社の端末２０３が、アクセスチケットを受信した場合（Ｓ１２１０がＹＥＳ）、フローはＳ１２１１へと進む。Ｓ１２１１において、Ａ社の端末２０３は、アクセスチケットを付加してＡ社のコントローラ２０１にデータの転送を要求する。
【００５７】
Ｓ１２１２では、Ａ社のコントローラ２０１は、Ａ社の端末２０３から転送要求を受信し、受信した転送要求に付されたアクセスチケットのチケット識別情報と、Ｓ１２０６で調停サーバ２１０から受信したアクセスチケットのチケット識別情報とを比較する。そして、Ａ社のコントローラ２０１は、これらのチケット識別情報が一致するか否かを検証する（Ｓ１２１２）。アクセスチケットのチケット識別情報が一致しない場合（Ｓ１２１３がＮＯ）、Ａ社のコントローラ２０１はＡ社の端末２０３へのデータの転送を終了する。一方、チケット識別情報が一致する場合（Ｓ１２１３がＹＥＳ）、Ａ社のコントローラ２０１はＡ社の端末２０３へのデータの転送を、Ａ社のコントローラ２０１が管理するＡ社の社内ネットワーク１０１内のファイルサーバに指示する（Ｓ１２１４）。Ｓ１２１５において、Ａ社のコントローラ２０１から指示を受けたＡ社のファイルサーバは、Ａ社の端末２０３にデータを転送する。
【００５８】
Ａ社のコントローラ２０１へ送信したデータの転送要求に対する応答として、Ａ社のファイルサーバからデータを受信したＡ社の端末２０３は、Ｓ１２１６においてＢ社の表示装置に接続する。Ｓ１２０９で上述したように、Ａ社の端末２０３には、Ｂ社の所定のＶＬＡＮ‐ＩＤが設定されており、また、そのＶＬＡＮ‐ＩＤのネットワーク内には表示装置等の出力装置も所属している。そのため、Ａ社の端末２０３は、例えば、同じネットワーク内に所属する表示装置に接続することができる。続いて、Ｓ１２１７において、Ａ社の端末２０３は、Ａ社のファイルサーバから受信したデータの表示を、接続したＢ社の社内ネットワーク１０２にある表示装置に指示する。Ｓ１２１８において、Ｂ社の表示装置は、受信したデータを表示し、本動作フローは終了する。
【００５９】
以上のようにして、Ａ社の端末２０３は、出先のＢ社において、調停サーバ２１０により調停された認可レベルに従ってＢ社の社内ネットワーク１０２に接続し、機器を使用することができる。なお、上述のように、Ｓ１２０９ではアクセスチケットで通知された認可レベルに従って、ネットワーク設定がされる。以上で例示したように、認可レベルが２であれば、Ｂ社の出力装置が所属するネットワークのＶＬＡＮ‐ＩＤが端末２０３に設定される。そのため、Ａ社の端末２０３は、同じネットワーク内の表示装置などの出力装置に接続し、それらの機器を使用してデータを表示することができる。一方で、Ａ社の端末２０３に設定されたＶＬＡＮ‐ＩＤのネットワークには、Ｂ社の記憶装置等は所属していない。そのため、Ｂ社の記憶装置等に接続することができず、Ａ社の端末２０３のデータを誤って、Ｂ社の記憶装置等に保存してしまうことがない。
【００６０】
また、別な実施例として、例えば、アクセスチケットに含まれる認可レベルが図７の認可レベル：３である場合、すべてのデータの使用、及び機器の使用が禁止される。この場合には、Ｂ社のコントローラ２０２は、例えば、Ｓ１２０９のネットワーク設定でＡ社の端末２０３のＶＬＡＮ‐ＩＤを変更せず、Ｂ社の社内ネットワーク１０２に所属する機器に接続させない。そのため、Ａ社の端末２０３のユーザが、Ｂ社のネットワークに接続することが防止されるため、Ａ社の端末２０３のユーザの不注意等でＡ社のデータがＢ社に流出してしまうことを防止することができる。或いは、Ａ社の端末２０３を、セキュリティの管理が万全ではないＢ社のネットワークに不用意に接続してしまい、ウイルス等に感染してしまうといった状況を防止することができる。
【００６１】
また更に別の実施形態では、例えば、アクセスチケットの認可レベルが３である場合に、Ａ社のコントローラ２０１が、Ｓ１２１４のファイルサーバへのファイルの転送指示をせず、代わりにＡ社の端末２０３にデータを転送できない旨の通知を送信してもよい。例えば、このように構成することで、Ａ社の端末２０３へのデータの送信を、Ａ社のコントローラ２０１が認可レベルに応じて制御するため、Ａ社の端末２０３のユーザの不注意等でＡ社のデータが他社に流出してしまうことを防止することができる。
【００６２】
また更に、別な実施例として、例えば、アクセスチケットの認可レベルが図７の認可レベル：１である場合、Ａ社のデータはＢ社に表示しても保存してもよく、また、Ｂ社はＡ社の端末２０３がＢ社の出力装置及び記憶装置を使用することを許可している。この場合には、Ｂ社のコントローラ２０２は、Ｓ１２０９のネットワーク設定で、Ｂ社内の出力装置及び記憶装置が所属するネットワークと同じＶＬＡＮ‐ＩＤをＡ社の端末２０３に設定する。また、Ａ社の端末２０３に設定したＶＬＡＮ‐ＩＤのネットワークとその他のネットワークとの間のルーティングを禁止するようにＶＬＡＮを設定する。この様に設定することで、Ａ社の端末２０３は接続したネットワーク内に所属する出力装置及び記憶装置に接続し、出力装置を使ってデータを表示したり、及び記憶装置にデータを記憶したりすることができる。
【００６３】
図１２の動作フローにおいて、Ｓ１２０１の処理では、Ａ社の端末２０３の制御部６００は、例えば、調停要求部６０１として機能する。また、Ｓ１２０２の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、調停要求転送部４０１として機能する。Ｓ１２０３及びＳ１２０４の処理では、調停サーバ２１０の制御部３００は、例えば、受信部３０１及び認証部３０２として機能する。Ｓ１２０５の処理では、調停サーバ２１０の制御部３００は、例えば、調停部３０３として機能する。Ｓ１２０６の処理では、調停サーバ２１０の制御部３００は、例えば、通知部３０４として機能する。Ｓ１２０７の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、認証結果通知部４０２として機能する。Ｓ１２０８の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、アクセスチケット転送部４０３として機能する。Ｓ１２０９の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、ネットワーク設定部４０４として機能する。
【００６４】
Ｓ１２１０の処理では、Ａ社の端末２０３の制御部６００は、例えば、応答受信部６０２として機能する。Ｓ１２１１の処理では、Ａ社の端末２０３の制御部６００は、例えば、データ転送要求部６０３として機能する。Ｓ１２１２及びＳ１２１３の処理では、Ａ社のコントローラ２０１の制御部５００は、例えば、アクセスチケット検証部５０１として機能する。Ｓ１２１４の処理では、Ａ社のコントローラ２０１の制御部５００は、例えば、データ転送指示部５０２として機能する。Ｓ１２１６及びＳ１２１７の処理では、Ａ社の端末２０３の制御部６００は、例えば、外部機器表示部６０４として機能する。
【００６５】
以下、図１２で述べた接続認可処理において、調停サーバ２１０、Ａ社のコントローラ２０１、Ｂ社のコントローラ２０２、及びＡ社の端末２０３のそれぞれが実行する処理を個別に説明する。
【００６６】
図１３は、実施形態に係る接続認可処理において、調停サーバが実行する調停処理を例示する動作フローである。図１３の動作フローは、例えば、調停サーバ２１０の制御部３００が記憶部３１０に格納されているプログラム３２０を読み出して実行することで実施される。一実施形態においては、調停サーバ２１０が調停要求１０００を受信すると図１３の動作フローは開始する。
【００６７】
Ｓ１３０１において、調停サーバ２１０の制御部３００は、受信した調停要求１０００に基づいて、被調停者の認証を行う。例えば、調停サーバ２１０の制御部３００は、調停要求１０００から証明書を読み出し、被調停者管理情報９００に登録されている情報を用いて認証を行う。例えば、調停要求１０００の被調停者のローカル側：Ｂ社の認証を行う場合、調停サーバ２１０は、被調停者管理情報９００の識別情報を参照し、調停要求１０００のＢ社の識別情報を含む被調停者情報９０１をＢ社の被調停者情報９０１として特定する。そして、特定したＢ社の被調停者情報９０１に含まれるＢ社認証情報を用いて、調停要求１０００に付加されたＢ社の証明書を認証する。なお、例えば、セキュリティなどの観点から、調停要求１０００に含まれるＢ社の証明書が暗号化されて送信されてきた場合には、調停サーバ２１０は、Ｂ社の被調停者情報９０１の暗号鍵に含まれるＢ社暗号鍵を用いて復号を行ってよい。
【００６８】
また、調停要求１０００の被調停者のリモート側：Ａ社の認証を行う場合には、調停サーバ２１０は、被調停者管理情報９００の識別情報を参照し、調停要求１０００のＡ社の識別情報を含む被調停者情報９０１をＡ社の被調停者情報９０１として特定する。そして、特定したＡ社の被調停者情報９０１のＡ社認証情報を用いて、調停要求１０００に付加されたＡ社証明書を認証する。なお、例えば、セキュリティなどの観点から、調停要求１０００に含まれるＡ社の証明書が暗号化されて送信されてきた場合には、調停サーバ２１０は、Ａ社の被調停者情報９０１の暗号鍵に含まれるＡ社暗号鍵を用いて復号を行ってよい。なお、被調停者情報９０１に含まれる暗号鍵は、例えば、被調停者情報９０１に登録されている情報の対象の会社との間で、その会社と、調停サーバ２１０との通信で用いることを取り決めた暗号鍵であってよい。
【００６９】
続いて、Ｓ１３０２において、リモート側及びローカル側のいずれかの認証に失敗した場合（Ｓ１３０２がＮＯ）、フローはＳ１３０４へと進む。Ｓ１３０４において、調停サーバ２１０の制御部３００は、認証に失敗したことを表す通知を、調停要求１０００を送信してきた装置に返信する。例えば、図１２に示す例のように、調停要求１０００がＢ社のコントローラ２０２から調停サーバ２１０へと送信された場合には、調停サーバ２１０の制御部３００は認証に失敗したことを表す通知をＢ社のコントローラ２０２に返信する。なお、別の実施形態において、調停要求１０００をＡ社の端末２０３が直接調停サーバ２１０に送信した場合には、調停サーバ２１０の制御部３００は認証に失敗したことを表す通知を直接Ａ社の端末２０３に返信してもよい。Ｓ１３０４において、調停サーバ２１０の制御部３００が、認証に失敗したことを表す通知を送信すると、本動作フローは終了する。
【００７０】
一方、Ｓ１３０２において、調停要求１０００のリモート側及びローカル側の両方の認証に成功した場合（Ｓ１３０２がＹＥＳ）、フローはＳ１３０３へと進む。Ｓ１３０３において、調停サーバ２１０の制御部３００は、調停要求１０００の被調停者に示される２社の認可ポリシーの調停を実行する。調停サーバ２１０の制御部３００は、例えば、調停要求１０００に示されるリモート側：Ａ社の認可ポリシー情報８００を記憶部３１０から読み出す。そして、調停サーバ２１０の制御部３００は、読み出したＡ社の認可ポリシー情報８００から、調停要求１０００に記載されるローカル側：Ｂ社に対するデータの認可レベルを特定する。例えば、図８（ａ）の例では、Ａ社のＢ社に対するデータの認可レベル：２が特定される。
【００７１】
また更に、調停サーバ２１０の制御部３００は、例えば、調停要求１０００に示されるローカル側：Ｂ社の認可ポリシー情報８００を記憶部３１０から読み出す。そして、調停サーバ２１０の制御部３００は、読み出したＢ社の認可ポリシー情報８００から、調停要求１０００に記載されるリモート側：Ａ社に対する機器の認可レベルを特定する。例えば、図８（ｂ）の例では、Ｂ社のＡ社に対する機器の認可レベル：１が特定される。
【００７２】
そして、調停サーバ２１０の制御部３００は、特定したリモート側のデータの認可レベルと、ローカル側の機器の認可レベルとを比較し、より厳しい認可レベルに認可レベルを調停する。例えば、Ａ社とＢ社との間で認可レベルの調停を実行する場合、調停サーバ２１０の制御部３００は、Ａ社のＢ社に対するデータの認可レベル：２がＢ社のＡ社に対する機器の認可レベル：１よりも厳しいため、認可レベルを２に調停する。
【００７３】
Ｓ１３０５において、調停サーバ２１０の制御部３００は、調停した認可レベルを付したアクセスチケットを発行する。調停サーバ２１０の制御部３００は、例えば、調停した認可レベルを付したアクセスチケットを、調停要求１０００を送信してきた装置に送信する。例えば、図１２の例では、端末２０３が発信した調停要求１０００を、Ｂ社のコントローラ２０２が調停サーバへとリダイレクトしている。この場合には、調停サーバ２１０の制御部３００は、調停後の認可レベルを付したＢ社のコントローラ２０２に対するアクセスチケットと、調停後の認可レベルを付した端末２０３に対するアクセスチケットとをＢ社のコントローラ２０２に送信してよい。また更に、調停サーバ２１０の制御部３００は、例えば、調停要求１０００のリモート側：Ａ社のコントローラ２０１に対するアクセスチケットを、Ａ社のコントローラに送信してよい。なお、Ａ社のコントローラ２０１のアドレスは、例えば、被調停者管理情報９００のＡ社の被調停者情報９０１のアドレスから取得されてよい。Ｓ１３０５において、アクセスチケットを送信すると、本動作フローは終了する。
【００７４】
以上の図１３の動作フローでは、動作フローの開始の契機となる調停要求１０００の受信において、調停サーバ２１０の制御部３００は、例えば、受信部３０１として機能する。また、Ｓ１３０１、Ｓ１３０２、及びＳ１３０４の処理では、調停サーバ２１０の制御部３００は、例えば、認証部３０２として機能する。Ｓ１３０３の処理では、調停サーバ２１０の制御部３００は、例えば、調停部３０３として機能する。Ｓ１３０５の処理では、調停サーバ２１０の制御部３００は、例えば、通知部３０４として機能する。
【００７５】
図１４は、実施形態に係る接続認可処理において、Ｂ社のコントローラ２０２が実行する処理を例示する動作フローである。図１４の動作フローは、例えば、Ｂ社のコントローラ２０２の制御部４００が記憶部４１０に格納されているプログラム４２０を読み出して実行することで実施される。一実施形態においては、Ｂ社のコントローラ２０２がＡ社の端末２０３から調停要求を受信すると図１４の動作フローは開始する。
【００７６】
Ｓ１４０１において、Ｂ社のコントローラ２０２は、Ａ社の端末２０３から受信した調停要求に、Ｂ社の証明書を付加して調停要求１０００を生成し、生成した調停要求１０００を調停サーバ２１０に送信する。Ｓ１４０２において、Ｂ社のコントローラ２０２は、調停サーバ２１０から調停要求に対する応答を受信したか否かを判定する。応答を受信していない場合（Ｓ１４０２がＮＯ）、フローはＳ１４０２の処理を繰り返す。応答を受信した場合（Ｓ１４０２がＹＥＳ）、フローはＳ１４０３へと進む。Ｓ１４０３において、Ｂ社のコントローラ２０２は、調停サーバ２１０において認証に成功したか否かを判定する。調停サーバ２１０から認証に失敗したことを表す通知を受信した場合（Ｓ１４０３がＮＯ）、フローはＳ１４０６へと進む。Ｓ１４０６においてＢ社のコントローラ２０２は、認証に失敗したことを表す通知をＡ社の端末２０３へと送信し、本動作フローは終了する。
【００７７】
一方、Ｂ社のコントローラ２０２が、調停サーバ２１０から例えば、Ｂ社のコントローラ２０２に対するアクセスチケットと、端末２０３に対するアクセスチケットとを受信した場合には（Ｓ１４０３がＹＥＳ）、フローはＳ１４０４へと進む。Ｓ１４０４において、Ｂ社のコントローラ２０２は、調停サーバ２１０から受信した端末２０３に対するアクセスチケットを端末２０３へと転送する。Ｓ１４０５において、Ｂ社のコントローラ２０２は、調停サーバ２１０から受信したＢ社のコントローラ２０２に対するアクセスチケットに含まれる認可レベルに基づいて、ネットワーク設定を実行する。例えば、Ｂ社のコントローラ２０２は、Ｓ１４０５において、記憶部４１０に記憶されている認可レベルとＶＬＡＮ‐ＩＤとを対応づける接続ネットワーク指定情報１５００を参照し、認可レベルに応じたＶＬＡＮ‐ＩＤを、Ａ社の端末２０３に対して設定する。Ｓ１４０５において、Ｂ社のコントローラ２０２が、ネットワーク設定を完了すると、図１４の動作フローは終了する。
【００７８】
以上の図１４の動作フローにおいて、Ｓ１４０１の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、調停要求転送部４０１として機能する。また、Ｓ１４０２、Ｓ１４０３、及びＳ１４０６の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、認証結果通知部４０２として機能する。Ｓ１４０４の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、アクセスチケット転送部４０３として機能する。Ｓ１４０５の処理では、Ｂ社のコントローラ２０２の制御部４００は、例えば、ネットワーク設定部４０４として機能する。
【００７９】
図１５は、Ｓ１４０５においてＢ社のコントローラ２０２がネットワーク設定を実行するために用いる接続ネットワーク指定情報１５００を例示する図である。図１５の例では、認可レベル：１に対してＶＬＡＮ‐ＩＤ：２０が、認可レベル：２に対してＶＬＡＮ‐ＩＤ：１０が、及び認可レベル：３に対してＶＬＡＮ‐ＩＤ：１００が対応づけられている。Ｂ社のコントローラは、例えば、アクセスチケットに含まれる調停された認可レベルの値に対応づけられているＶＬＡＮ‐ＩＤを、接続ネットワーク指定情報１５００から取得し、そのＶＬＡＮ‐ＩＤを端末２０３に対して設定する。
【００８０】
図１６は、Ｂ社のコントローラ２０２によるネットワーク設定を例示する図である。図１６（ａ）は、端末２０３からの調停要求１０００を調停サーバ２１０にリダイレクトする時点でのＶＬＡＮの設定を例示している。また、図１６（ｂ）は、Ｂ社のコントローラ２０２が、Ｓ１４０５のネットワーク設定を実行した後のＶＬＡＮの設定を例示している。図示されるように、図１６（ａ）の端末２０３からの調停要求１０００を調停サーバ２１０にリダイレクトする時点でのＶＬＡＮの設定では、Ａ社の端末２０３はＶＬＡＮ‐ＩＤ：１００に設定されている。このＶＬＡＮ‐ＩＤ：１００は、例えば、誰でも接続が可能な外部用のネットワークとして設定されていてよい。また、ＶＬＡＮ‐ＩＤ：１００のネットワークは、例えば、調停サーバ２１０への調停要求１０００の転送のみが可能なネットワークとして設定されていてよい。
【００８１】
一方、図１６（ｂ）のＳ１４０５のネットワーク設定を実行後のＶＬＡＮの設定では、Ａ社の端末２０３のＶＬＡＮ‐ＩＤは、図１５の認可レベル：２に対応するＶＬＡＮ‐ＩＤ：１０に変更されている。ここで、ＶＬＡＮ‐ＩＤ：１０は、認可レベル：２で使用が許可されているプラズマディスプレーパネル１などの出力装置は含まれるが、その他のファイルサーバや、パーソナルコンピュータなどは含まれないように構成されたネットワークである。また、ＶＬＡＮ‐ＩＤ：１０のネットワークは、その他のネットワークとの間のルーティングを行わないように設定している。そのため、Ａ社の端末２０３は、プラズマディスプレーパネル１に接続し、データ等を表示することができる。一方で、Ａ社の端末２０３は、ファイルサーバなどには接続することはできず、Ａ社の端末２０３内のデータを、ファイルサーバなどに誤って保存してしまうことが防止される。
【００８２】
なお、アクセスチケットに含まれる調停された認可レベルの値が１である場合には、図１５に示されるように、Ａ社の端末２０３にはＶＬＡＮ‐ＩＤ：２０が設定される。ここで、ＶＬＡＮ‐ＩＤ：２０は、認可レベル：１で使用が許可されているプラズマディスプレーパネル１などの出力装置、及びファイルサーバなどの記憶装置などが含まれるように構成されたネットワークである。そのため、Ａ社の端末２０３は、ＶＬＡＮ‐ＩＤ：２０のネットワーク内に所属するプラズマディスプレーパネル２に接続してデータを表示したり、ファイルサーバにアクセスしてデータを保存したりすることができる。一方で、ＶＬＡＮ‐ＩＤ：２０のネットワークは、その他のネットワークとの間のルーティングを行わないように設定をしている。そのため、例えばＶＬＡＮ−ＩＤ：５０のネットワークに属するパーソナルコンピュータなどとＡ社の端末２０３が接続してしまうことが防止される。
【００８３】
また更に、アクセスチケットに含まれる調停された認可レベルの値が３である場合には、図１５に示されるように、Ａ社の端末２０３にはＶＬＡＮ‐ＩＤ：１００が設定される。ＶＬＡＮ‐ＩＤ：１００は、上述のように、例えば、調停サーバ２１０への調停要求１０００の転送のみが可能な外部用のネットワークとして設定されている。そのため、Ａ社の端末２０３はＢ社のコントローラ２０２を介して調停サーバ２１０への調停要求１０００を発信することはできるが、その他の出力装置及び記憶装置等に接続して機器を使用することはできない。例えば、以上のようにＶＬＡＮ設定を行うことで、アクセスチケットで通知された認可レベルに応じたネットワーク設定を実行することができる。
【００８４】
図１７は、図１６（ａ）及び図１６（ｂ）で例示したネットワーク設定の変更について説明する図である。図１７に示されるように、Ｂ社のコントローラ２０２が端末２０３からの調停要求１０００を調停サーバ２１０にリダイレクトする時点（図１６（ａ）の時点）では、Ａ社の端末２０３はＶＬＡＮ‐ＩＤ：１００に設定されている。ＶＬＡＮ‐ＩＤ：１００のネットワークでは、Ａ社の端末２０３は、例えば、調停サーバ２１０へと調停要求を発信する通信（図１７の点線矢印で示す通信）は許可されるがその他の通信は許可されていない。一方、Ｂ社のコントローラ２０２がＳ１４０５のネットワーク設定を実行した後（図１６（ｂ）の時点）では、Ａ社の端末２０３はＶＬＡＮ‐ＩＤ：１０に設定されている。この場合、例えば、Ｂ社のプラズマディスプレーパネルは同じくＶＬＡＮ‐ＩＤ：１０に設定されているため、Ａ社の端末２０３は、Ｂ社のプラズマディスプレーパネルに接続し、データを表示させることができる（図１７の実線矢印で示す通信）。一方、例えば、ファイルサーバは異なるＶＬＡＮ−ＩＤ：２０に設定されているため、Ａ社の端末２０３はファイルサーバに接続することはできない。Ｂ社のコントローラ２０２は、例えば、以上のようなネットワーク設定を、スイッチのＶＬＡＮを設定することで、実行してよい。
【００８５】
図１８は、実施形態に係る接続認可処理において、Ａ社の端末２０３の制御部６００が実行する処理を例示する動作フローである。図１８の動作フローは、例えば、Ａ社の端末２０３の制御部６００が記憶部６１０に格納されているプログラム６２０を読み出して実行することで実施される。一実施形態においては、Ａ社の端末２０３の制御部６００に、ユーザが調停要求の発信指示を入力すると図１８の動作フローは開始する。
【００８６】
Ｓ１８０１において、Ａ社の端末２０３の制御部６００は、Ａ社の証明書を付加した調停要求を発信する。Ａ社の端末２０３の制御部６００は、例えば、調停サーバ２１０へと調停要求を送信するために割り当てられているＳＳＩＤを用いて、Ｂ社のアクセスポイントに接続し、調停要求を発信する。Ｓ１８０２において、Ａ社の端末２０３の制御部６００は、調停要求に対する応答を、例えばＢ社のコントローラ２０２から受信したか否かを判定する。応答を受信していない場合（Ｓ１８０２がＮＯ）、Ａ社の端末２０３の制御部６００は、Ｓ１８０２の処理を繰り返す。応答を受信した場合（Ｓ１８０２がＹＥＳ）、フローはＳ１８０３へと進む。Ｓ１８０３において、Ａ社の端末２０３の制御部６００は、受信した応答に基づいて認証に成功したか否かを判定する。例えば、Ｂ社のコントローラ２０２から認証に失敗したことを表す通知を受信した場合（Ｓ１８０３がＮＯ）には、本動作フローは終了する。
【００８７】
一方、Ｂ社のコントローラ２０２からアクセスチケットを受信した場合（Ｓ１８０３がＹｅｓ）、フローはＳ１８０４へと進む。Ｓ１８０４においてＡ社の端末２０３の制御部６００は、データの転送要求に受信したアクセスチケットを付加して、Ａ社のコントローラ２０１に送信する。なお、転送を要求するデータは、例えば、Ｂ社に対するプレゼンテーションで使用する資料などのユーザがＡ社の端末２０３において選択したデータであってよい。Ｓ１８０５においてＡ社の端末２０３の制御部６００は、データの転送要求に対する応答としてＡ社のコントローラ２０１からデータを受信したか否かを判定する。データを受信しない場合（Ｓ１８０５がＮＯ）、フローはＳ１８０５の処理を繰り返す。なお、Ｓ１２１３で例示したように、Ｓ１２１２のアクセスチケットの検証に失敗した場合、Ａ社のコントローラ２０１は、データをＡ社の端末２０３には送信せずに、処理を終了する。そのため、Ｓ１８０５の処理は、所定の時間繰り返し実行した後、Ａ社のコントローラ２０１からデータを受信できない場合には、図１８の動作フローを終了するように構成してもよい。
【００８８】
Ｓ１８０５において、Ａ社のコントローラ２０１からデータを受信した場合（Ｓ１８０５がＹＥＳ）、フローはＳ１８０６へと進む。Ｓ１８０６においてＡ社の端末２０３の制御部６００は、Ａ社の端末２０３が属するネットワーク内に接続可能な機器があるか否かを判定する。なお、上述のように、Ｓ１４０５においてＢ社のコントローラ２０２が、Ａ社の端末２０３のＶＬＡＮ‐ＩＤを、アクセスチケットの認可レベルに応じて設定している。そのため、Ａ社の端末２０３に設定されたＶＬＡＮ‐ＩＤのネットワークには、アクセスチケットの認可レベルに応じた機器が所属していることになる。例えば、認可レベルが１であれば、同じネットワーク内には出力装置及び記憶装置が所属している。また、例えば、認可レベルが２であれば、同じネットワーク内に出力装置が所属している。例えば、認可レベルが３であれば同じネットワーク内にはＢ社の機器が所属していないことになる。Ｓ１８０６において同じネットワーク内に接続可能な機器が存在しない場合（Ｓ１８０６がＮＯ）、本動作フローは終了する。一方、Ｓ１８０６において同じネットワーク内に接続可能な機器が存在する場合（Ｓ１８０６がＹＥＳ）、フローはＳ１８０７へと進む。
【００８９】
Ｓ１８０７においてＡ社の端末２０３の制御部６００は、例えば、Ｂ社の同じネットワーク内に所属する機器のうちで、使用する機器の選択をユーザから受け付ける。Ｓ１８０８においてＡ社の端末２０３の制御部６００は、選択された機器に接続し、ユーザから入力される指示に従って接続した機器を使用する。例えば、選択された機器が表示装置であれば、Ａ社の端末２０３の制御部６００は、選択された表示装置にデータを送信し、データを表示させてよい。また、例えば、選択された機器が記憶装置であれば、Ａ社の端末２０３の制御部６００は、選択された記憶装置にデータを送信し、データを保存してよい。なお、Ａ社の端末２０３は、選択された機器との通信において、Ａ社の端末２０３に対するアクセスチケットに添付された暗号鍵を用いて暗号化を行ってもよい。また、暗号化が行われる場合に、データを受信する例えばファイルサーバなどのＢ社の機器は、Ｂ社のコントローラ２０２に送信されたアクセスチケットに含まれる暗号鍵を用いて、Ａ社の端末２０３から受信したデータを復号してよい。Ｓ１８０８において、Ａ社の端末２０３が接続した機器を使用すると、本動作フローは終了する。
【００９０】
以上の図１８の動作フローにおいて、Ｓ１８０１の処理では、Ａ社の端末２０３の制御部６００は、例えば、調停要求部６０１として機能する。また、Ｓ１８０２、及びＳ１８０３の処理では、Ａ社の端末２０３の制御部６００は、例えば、応答受信部６０２として機能する。Ｓ１８０４、及びＳ１８０５の処理では、Ａ社の端末２０３の制御部６００は、例えば、データ転送要求部６０３として機能する。Ｓ１８０６〜Ｓ１８０８の処理では、Ａ社の端末２０３の制御部６００は、例えば、外部機器表示部６０４として機能する。
【００９１】
図１９は、実施形態に係る接続認可処理において、Ａ社のコントローラ２０１の制御部５００が実行する処理を例示する動作フローである。図１９の動作フローは、例えば、Ａ社のコントローラ２０１の制御部５００が記憶部５１０に格納されているプログラム５２０を読み出して実行することで実施される。一実施形態においては、Ａ社のコントローラの制御部５００が調停サーバ２１０からアクセスチケットを受信すると図１９の動作フローは開始する。
【００９２】
Ｓ１９０１においてＡ社のコントローラ２０１の制御部５００は、Ａ社の端末２０３からアクセスチケットが付加されたデータの転送要求を受信したか否かを判定する。データの転送要求が受信されない場合（Ｓ１９０１がＮＯ）、Ａ社のコントローラ２０１の制御部５００はＳ１９０１の処理を繰り返す。一方、データの転送要求を受信した場合（Ｓ１９０１がＹＥＳ）、フローはＳ１９０２へと進む。Ｓ１９０２においてＡ社のコントローラ２０１の制御部５００は、Ａ社の端末２０３から受信したアクセスチケットのチケット識別情報と、調停サーバ２１０から受信したアクセスチケットのチケット識別情報とが一致するか否かを判定する。チケット識別情報が一致しない場合（Ｓ１９０２がＮＯ）、本動作フローは終了する。一方、チケット識別情報が一致する場合（Ｓ１９０２がＹＥＳ）、フローはＳ１９０３へと進む。
【００９３】
Ｓ１９０３においてＡ社のコントローラ２０１の制御部５００は、例えば、端末２０３又は調停サーバ２１０から受信したアクセスチケットの認可レベルに基づいて、データの転送を行うか否かを判定する。例えば、アクセスチケットの認可レベルが、図７の認可レベル１又は２に設定されている場合、少なくとも転送要求のあったデータをＢ社の人に表示して見せることが許可される。従って、表示のためにデータをＡ社の端末２０３に転送することも許可してよい。一方、例えば、アクセスチケットの認可レベルが、図７の認可レベル３に設定されている場合、転送要求のあったデータの取り扱いはＢ社の人に許可されていない。そのため、Ｓ１９０３ではＡ社のコントローラ２０１の制御部５００は、例えば、アクセスチケットの認可レベルが３であれば、転送を不可と判定してよい。一方、Ａ社のコントローラ２０１の制御部５００は、例えば、アクセスチケットの認可レベルが１又は２であれば、転送を許可と判定してよい。Ｓ１９０３において転送が許可されない場合（Ｓ１９０３がＮＯ）、本動作フローは終了する。一方、転送が許可される場合（Ｓ１９０３がＹＥＳ）、フローはＳ１９０４へと進む。Ｓ１９０４においてＡ社のコントローラ２０１の制御部５００は、Ａ社のコントローラ２０１が管理する社内ネットワーク１０１内のファイルサーバに、Ａ社の端末２０３へと転送要求のあったデータを送信するように指示し、本動作フローは終了する。データの転送指示を受信した、ファイルサーバは、要求されたデータをＡ社の端末２０３へと送信する。
【００９４】
以上の図１９の動作フローにおいて、Ｓ１９０１〜Ｓ１９０３の処理では、Ａ社のコントローラ２０１の制御部５００は、例えば、アクセスチケット検証部５０１として機能する。また、Ｓ１９０４の処理では、Ａ社のコントローラ２０１の制御部５００は、例えば、データ転送指示部５０２として機能する。
【００９５】
以上で例示したように、実施形態によれば、或る組織に属するユーザが端末を別の組織が管理するネットワークに接続する際のセキュリティを向上させることができる。例えば、Ａ社の端末２０３のユーザが、Ｂ社を訪れてプレゼンテーションをしようとした場合に、実施形態に係る接続認可処理では、Ａ社の認可ポリシーとＢ社の認可ポリシーとが調停サーバ２１０により調停される。そして、両社の認可ポリシーを満たす範囲で設定された認可レベルが調停サーバ２１０からＢ社のコントローラ２０２に通知される。Ｂ社のコントローラ２０２は、通知された認可レベルに従って、ネットワーク設定を実行し、認可レベルを満たす範囲でＡ社の端末２０３をＢ社の社内ネットワーク１０２に接続させる。そのため、例えば、Ａ社のネットワーク管理者が、Ｂ社のネットワークのセキュリティに不安を感じていれば、Ａ社のＢ社に対する認可ポリシーとして認可レベル：３を設定する。このようにすることで、自社の端末２０３をＢ社のネットワークに接続させないように制御することができる。或いは、例えば、Ａ社のデータをＢ社の記憶装置に保存させてはいけない場合には、Ａ社のＢ社に対する認可ポリシーとして認可レベル：２を設定しておく。このようにすることで、例えば、Ａ社の端末２０３が、Ｂ社の社内ネットワーク１０２に接続した際にも記憶装置等にはアクセスできず、ユーザの誤った判断などに起因してＡ社の端末２０３からデータが流出してしまうことがない。従って、例えば、自社の端末を他社ネットワークに接続させるリモート側（例えば、Ａ社）のネットワークの管理者は、自社の端末の接続先のネットワークを自社の認可レベルを満たす安全なネットワークに制限できる。また、接続後のデータの取り扱いについても、認可レベルによって管理できる。
【００９６】
また、実施形態によれば、例えば、調停要求を送信する時点では、自社内で誰でも接続が可能なように設定した外部用のネットワークに他社の端末を接続させる。そして、調停サーバ２１０から受信したアクセスチケットの認可レベルに応じてネットワーク設定を変更し、他社の端末を認可レベルに応じた社内のネットワークに接続させている。従って、例えば、自社の社内ネットワーク内に他社の端末を受け入れるローカル側（例えば、Ｂ社）のネットワークの管理者は、他社の端末２０３を自社のネットワークに接続するために認証などに用いるＩＤ及びパスワード等を管理しなくてもよい。そのため、例えば、自社のネットワークへの接続を希望するすべての訪問者の情報を入手し、管理する工数を削減することができる。
【００９７】
また更に、端末の他社のネットワークへの受け入れを希望するユーザにとっても、例えば、他社のネットワークへと接続する際のＩＤやパスワード等を覚える手間が削減でき、或いは、他社に自身のＩＤやパスワードの情報を渡さなくてもよいため、有益である。更には、端末を他社のネットワークへと接続できた場合には、その接続先は自社の認可ポリシーを満たす接続先となっているため、安心して作業を実行することができる。
【００９８】
なお、図１１の例では、アクセスチケットは有効期限を含んでいる。一実施形態においては、例えば、上述のＳ１２１２において、有効期限の過ぎたアクセスチケットが添付されたデータ転送要求をＡ社の端末２０３から受信した場合に、Ａ社のコントローラ２０１はＳ１２１３をＮＯと判定してもよい。また、Ｂ社のコントローラ２０２が、例えば、Ｓ１２０９で認可レベルに応じたネットワークを端末２０３に割り当てた場合に、その後、有効期限が過ぎた後でネットワーク設定を元に戻す処理を実行してもよい。この場合、有効期限が過ぎた後で、Ａ社の端末２０３がＢ社の表示装置に接続しようとしても、端末２０３のネットワーク設定がＳ１２０９の処理の前の状態に戻されているため、接続できない。
【００９９】
また、上記の実施形態では、Ａ社をリモート側として、また、Ｂ社をローカル側として説明を行った。しかしながら、実施形態はこれに限定されるものではなく、例えば、Ｂ社のコントローラ２０２はリモート側として、また、Ａ社のコントローラ２０１はローカル側として機能してもよい。即ち、例えば、Ａ社のコントローラ２０１及びＢ社のコントローラ２０２は、図４及び図５に例示する機能部、及び情報の両方を含んでいてもよい。
図２０は、実施形態に係る調停サーバ２１０、リモート側のコントローラ２０１、ローカル側のコントローラ２０２、及び端末２０３を実現するためのコンピュータ２０００のハードウェア構成を例示する図である。図２０のハードウェア構成は、例えば、プロセッサ２００１、メモリ２００２、記憶装置２００３、読取装置２００４、通信インタフェース２００６、及び入出力インタフェース２００７を備える。なお、プロセッサ２００１、メモリ２００２、記憶装置２００３、読取装置２００４、通信インタフェース２００６、入出力インタフェース２００７は、例えば、バス２００８を介して互いに接続されている。
【０１００】
プロセッサ２００１は、メモリ２００２を利用して例えば上述の動作フローの手順を記述したプログラムを実行することにより、上述した各機能部の一部または全部の機能を提供する。
【０１０１】
例えば、調停サーバ２１０の制御部３００は、プロセッサ２００１であり、また、記憶部３１０は、例えばメモリ２００２、記憶装置２００３、及び着脱可能記憶媒体２００５を含んでいる。調停サーバ２１０のプロセッサ２００１は、例えば、記憶装置２００３に格納されているプログラム３２０を読み出して実行することで、受信部３０１、認証部３０２、調停部３０３、及び通知部３０４として機能する。調停サーバ２１０の記憶装置２００３には、例えば、プログラム３２０、認可ポリシー情報８００、及び被調停者管理情報９００が格納されている。
【０１０２】
また、例えば、ローカル側のコントローラ２０２（例えば、Ｂ社）の制御部４００は、プロセッサ２００１であり、また、記憶部４１０は、例えばメモリ２００２、記憶装置２００３、及び着脱可能記憶媒体２００５を含んでいる。コントローラ２０２のプロセッサ２００１は、例えば、記憶装置２００３に格納されているプログラム４２０を読み出して実行することで、調停要求転送部４０１、認証結果通知部４０２、アクセスチケット転送部４０３、及びネットワーク設定部４０４として機能する。コントローラ２０２の記憶装置２００３には、例えば、プログラム４２０、自社を証明する証明書４５０、及び接続ネットワーク指定情報１５００が格納されている。
【０１０３】
例えば、リモート側のコントローラ２０１（例えば、Ａ社）の制御部５００は、プロセッサ２００１であり、また、記憶部５１０は、例えばメモリ２００２、記憶装置２００３、及び着脱可能記憶媒体２００５を含んでいる。コントローラ２０１のプロセッサ２００１は、例えば、記憶装置２００３に格納されているプログラム５２０を読み出して実行することで、アクセスチケット検証部５０１、及びデータ転送指示部５０２として機能する。コントローラ２０１の記憶装置２００３には、例えば、プログラム５２０が格納されている。
【０１０４】
例えば、リモート側の端末２０３の制御部６００は、プロセッサ２００１であり、また、記憶部６１０は、例えばメモリ２００２、記憶装置２００３、及び着脱可能記憶媒体２００５を含んでいる。端末２０３のプロセッサ２００１は、例えば、記憶装置２００３に格納されているプログラム６２０を読み出して実行することで、調停要求部６０１、応答受信部６０２、データ転送要求部６０３、及び外部機器表示部６０４として機能する。端末２０３の記憶装置２００３には、例えば、プログラム６２０、及び自社を証明する証明書６５０が格納されている。
【０１０５】
メモリ２００２は、例えば半導体メモリであり、ＲＡＭ領域及びＲＯＭ領域を含んで構成される。なお、ＲＡＭは、Random Access Memoryの略称である。また、ＲＯＭは、Read Only Memoryの略称である。記憶装置２００３は、例えばハードディスク、フラッシュメモリ等の半導体メモリ、又は外部記憶装置である。
【０１０６】
読取装置２００４は、プロセッサ２００１の指示に従って着脱可能記憶媒体２００５にアクセスする。着脱可能記憶媒体２００５は、例えば、半導体デバイス（ＵＳＢメモリ等）、磁気的作用により情報が入出力される媒体（磁気ディスク等）、光学的作用により情報が入出力される媒体（ＣＤ−ＲＯＭ、ＤＶＤ等）などにより実現される。なお、ＵＳＢは、Universal Serial Busの略称である。ＣＤは、Compact Discの略称である。ＤＶＤは、Digital Versatile Diskの略称である。
【０１０７】
通信インタフェース２００６は、プロセッサ２００１の指示に従ってネットワーク２０２０を介してデータを送受信する。入出力インタフェース２００７は、例えば、入力装置及び出力装置との間のインタフェースに相当する。入力装置は、例えばユーザからの指示を受け付けるキーボードやマウスなどのデバイスであってよい。また、出力装置は、例えばディスプレーなどの表示装置、及びスピーカなどの音声装置であってよい。
【０１０８】
実施形態に係る各プログラムは、例えば、下記の形態で調停サーバ２１０、コントローラ２０１、コントローラ２０２、及び端末２０３に提供されてよい。
（１）記憶装置２００３に予めインストールされている。
（２）着脱可能記憶媒体２００５により提供される。
（３）プログラムサーバなどのサーバ２０３０から提供される。 
【０１０９】
以上において、いくつかの実施形態について説明した。しかしながら、実施形態は上記の実施形態に限定されるものではなく、上述の実施形態の各種変形形態及び代替形態を包含するものとして理解されるべきである。例えば、各種実施形態は、その趣旨及び範囲を逸脱しない範囲で構成要素を変形して具体化できることが理解されよう。また、前述した実施形態に開示されている複数の構成要素を適宜組み合わせることにより、種々の実施形態を成すことができることが理解されよう。更には、実施形態に示される全構成要素からいくつかの構成要素を削除して又は置換して、或いは実施形態に示される構成要素にいくつかの構成要素を追加して種々の実施形態が実施され得ることが当業者には理解されよう。
【符号の説明】
【０１１０】
２００    システム
２０１    リモート側のコントローラ
２０２    ローカル側のコントローラ
２０３    端末
２０５    ＷＡＮ
２１０    調停サーバ
３００    制御部
３０１    受信部
３０２    認証部
３０３    調停部
３０４    通知部
３１０    記憶部
２０００  コンピュータ
２００１  プロセッサ
２００２  メモリ
２００３  記憶装置
２００４  読取装置
２００５  着脱可能記憶媒体
２００６  通信インタフェース
２００７  入出力インタフェース
２００８  バス
２０２０  ネットワーク
２０３０  サーバ
【図１】
2015153096.tif 000003
【図２】
2015153096.tif 000004
【図３】
2015153096.tif 000005
【図４】
2015153096.tif 000006
【図５】
2015153096.tif 000007
【図６】
2015153096.tif 000008
【図７】
2015153096.tif 000009
【図８】
2015153096.tif 000010
【図９】
2015153096.tif 000011
【図１０】
2015153096.tif 000012
【図１１】
2015153096.tif 000013
【図１２】
2015153096.tif 000014
【図１３】
2015153096.tif 000015
【図１４】
2015153096.tif 000016
【図１５】
2015153096.tif 000017
【図１６】
2015153096.tif 000018
【図１７】
2015153096.tif 000019
【図１８】
2015153096.tif 000020
【図１９】
2015153096.tif 000021
【図２０】
2015153096.tif 000022