(57)【要約】【課題】より低コストにユーザに付与された権限を確認する権限管理装置、権限管理方法、及び権限管理システムを提供する。【解決手段】権限管理装置は、ユーザと付与条件に基づきユーザに付与される権限とを記憶する記憶手段と、ユーザ軸と権限軸とを少なくとも有する表の内ユーザと権限とに基づいて特定される区画に、前記ユーザに対して所定期間内で前記権限の付与がされたことを示す付与情報を表示する指示を表示装置に与える表示手段と、を含む。【選択図】      図１
2015187808.tif 000002
【特許請求の範囲】
【請求項１】
ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶する記憶手段と、
ユーザと権限との対応関係を示す区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が所定期間付与されたことを示す付与情報を表示する指示を外部装置に与える表示手段と、
を含む権限管理装置。
【請求項２】
前記表示手段は、ユーザと権限とが行列をなす表に前記付与情報を表示する
請求項１記載の権限管理装置。
【請求項３】
前記記憶手段は、ユーザに個別に付与される個別権限をさらに記憶し、
前記表示手段は、前記区画に、前記付与情報とは異なる表示形式で個別権限の付与を示す付与情報を表示する指示をさらに与える、
請求項２記載の権限管理装置。
【請求項４】
前記表示手段は、指定された期間内において権限がユーザに付与され、またはユーザから剥奪される場合に、前記付与情報の表示形式を権限の付与または剥奪をも示す形式とする、
請求項１ないし３のいずれか１項記載の権限管理装置。
【請求項５】
前記表示手段は、前記付与情報への所定の操作に応じて、権限の付与または剥奪に関する情報をさらに表示する、
請求項１ないし３のいずれか１項記載の権限管理装置。
【請求項６】
ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶し、
ユーザと権限との対応関係を示す区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が所定期間内付与されたことを示す付与情報を表示する指示を表示装置に与える、
権限管理方法。
【請求項７】
前記付与情報を表示する際、ユーザと権限とが行列をなす表に前記付与情報を表示する
請求項６記載の権限管理方法。
【請求項８】
ユーザに個別に付与される個別権限をさらに記憶し、
前記区画に、前記付与情報とは異なる表示形式で個別権限の付与を示す付与情報を表示する指示をさらに与える、
請求項７記載の権限管理方法。
【請求項９】
指定された期間内において権限がユーザに付与され、またはユーザから剥奪される場合に、前記付与情報の表示形式を権限の付与または剥奪をも示す形式とする、
請求項６ないし８のいずれか１項記載の権限管理方法。
【請求項１０】
前記付与情報への所定の操作に応じて、権限の付与または剥奪に関する情報をさらに表示する、
請求項６ないし８のいずれか１項記載の権限管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、権限管理装置、権限管理方法、及び権限管理システムに関する。
【背景技術】
【０００２】
従来、業務システム側の権限は業務システムごとに個別で管理されてきたが、システムや利用者の多様化、ずさんな管理による情報漏えい、日本版ＳＯＸ法（サーベンス・オクスリー法）の施行などの背景が有り、権限情報を統合的に管理するニーズが高まってきた。最も基本的な手段である紙や帳票を用いた方法だけでなく、ＩＴ（Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ）システムを使った製品も存在するが、それらは権限を登録する機能に重きを置いており、付与状況の確認・棚卸を効率よく行う手段が求められている。
【０００３】
システムの利用者について、利用者の名前や所属等の属性を管理するシステムにおいて、さらに利用者に業務システムを利用するために付与された権限を利用者の属性とともに統合的に管理するシステムが存在する。例えば、「Ａシステムに対するファイルの読み書き可否」や「Ｂシステムに対する管理者メニューの実行可否」などの情報を管理している。
【０００４】
特許文献１記載のアクセス権限管理装置においては、ユーザに付与される権限を管理する場合、人事発令があった日を基準として予め設定しておいた期日に、前任者のユーザＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）及びパスワードが無効にされる。
【０００５】
ところで、このようなシステムについて、設定ミスなどで不要な権限を付与してしまうと、越権行為や情報漏えいなどのセキュリティインシデントを引き起こしてしまう。逆に、必要な権限を誤って付与しなかった場合や、必要な権限を誤って剥奪してしまった場合、その人の業務が止まってしまい、ビジネスの機会を損失してしまう恐れがある。そのため、権限情報の定期的な棚卸を行い、不正な権限を早期に発見する必要がある。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１３−７３５３５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
上述の特許文献１に記載されたアクセス権限管理装置のように、権限属性の設定をあらかじめ定めた期日に行う場合、意図した通りの権限が設定されたかどうかが不明であるという問題があった。
【０００８】
本発明の目的は、上述の課題を解決し、より低コストにユーザに付与された権限を確認する権限管理装置、権限管理方法、及び権限管理システムを提供することである。
【課題を解決するための手段】
【０００９】
本発明の権限管理装置は、ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶する記憶手段と、ユーザと権限との対応関係を示す区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が所定期間付与されたことを示す付与情報を表示する指示を外部装置に与える表示手段と、を含む。
【００１０】
本発明の権限管理方法は、ユーザと付与条件に基づき当該ユーザに付与される権限とを記憶し、ユーザと権限との対応関係を示す区画に、前記記憶手段に記憶されたユーザと権限との関係に基づき前記ユーザに対して前記権限が所定期間内付与されたことを示す付与情報を表示する指示を表示装置に与える。
【発明の効果】
【００１１】
本発明の効果は、ユーザに付与された権限をより低コストに確認できることである。
【図面の簡単な説明】
【００１２】
【図１】本発明の第一の実施の形態の特徴的な構成を示すブロック図である。
【図２】図２は、本発明の第一の実施の形態における権限管理装置を適用した権限管理システムの構成を示すブロック図である。
【図３】本発明の第一の実施の形態における表示部１０２の表示例を示す図である。
【図４】本発明の第一の実施の形態における表示部１０２の日時指定を伴う表示例を示す図である。
【図５】本発明の第一の実施の形態における表示部１０２の期間指定を伴う表示例を示す図である。
【図６】本発明の第一の実施の形態における権限テーブル１２１の例を示す図である。
【図７】本発明の第一の実施の形態におけるユーザテーブル１２２の例を示す図である。
【図８】本発明の第一の実施の形態におけるビジネスロールテーブル１２４の例を示す図である。
【図９】本発明の第一の実施の形態における権限付与対象テーブル１２３の例を示す図である。
【図１０】本発明の第一の実施の形態における権限構造体配列１３１の例を示す図である。
【図１１】本発明の第一の実施の形態におけるユーザ構造体配列１３２の例を示す図である。
【図１２】本発明の第一の実施の形態におけるフラグ構造体配列１３３の例を示す図である。
【図１３】本発明の第一の実施の形態における権限構造体配列１３１に値を格納した具体例である。
【図１４】本発明の第一の実施の形態におけるユーザ構造体配列１３２に値を格納した具体例である。
【図１５】本発明の第一の実施の形態における権限付与対象テーブルの検索結果の一例である。
【図１６】本発明の第一の実施の形態におけるフラグ構造体配列への値の格納の具体例である。
【図１７】本発明の第一の実施の形態におけるビジネスロールテーブルの検索結果の一例である。
【図１８】本発明の第一の実施の形態におけるフラグ構造体配列への値の格納の具体例である。
【図１９】本発明の第一の実施の形態における権限管理装置１００の全体的な処理を示すフローチャートである。
【発明を実施するための形態】
【００１３】
（第一の実施の形態）
次に、本発明の第一の実施の形態について説明する。
【００１４】
はじめに、本発明の第一の実施の形態の構成について説明する。図２は、本発明の第一の実施の形態における権限管理装置を適用した権限管理システムの構成を示すブロック図である。
【００１５】
図２を参照すると、本発明の第一の実施の形態における権限管理システムは、権限管理装置１００、クライアント２００、及び、サーバ３００を含む。
【００１６】
ここで、権限管理装置１００は、ユーザに関する情報および権限に関する情報をもとに、サーバ３００に対してアクセスコントロール機能を提供するとともに、権限に関する表示データを生成して表示部２０１に表示させる。
【００１７】
クライアント２００は、管理者等が、権限管理装置に対して、権限の表示を指示するための端末である。
【００１８】
サーバ３００は、業務サービスの利用者に業務サービスを提供し、提供の際に必要に応じて利用者に対するアクセスコントロールを権限管理装置１００の応答に応じて行う。
【００１９】
権限管理装置１００は、記憶部１０１、表示部１０２、及びアクセスコントロール部１０３を含む。
【００２０】
記憶部１０１について説明する。記憶部１０１は、権限テーブル１２１、ユーザテーブル１２２、権限付与対象テーブル１２３、及びビジネスロールテーブル１２４をそれぞれ記憶する。
【００２１】
図６は、本発明の第一の実施の形態における権限テーブル１２１の例を示す図である。権限テーブル１２１の各行がそれぞれ権限を表す。それぞれの権限には権限ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ），権限名、有効期間開始日、および有効期間終了日が必要に応じ設定される。
【００２２】
図７は、本発明の第一の実施の形態におけるユーザテーブル１２２の例を示す図である。ユーザテーブル１２２の各行がそれぞれユーザを表す。それぞれのユーザにはユーザに関する属性が設定される。ユーザの属性には例えばユーザＩＤ，ユーザ名、所属部、役職、社員区分、及び所属地区が必要に応じ設定される。ユーザの属性は例示に過ぎず、本発明が実施できる限り、一部のみを有するとしてもよいし、例示以外の属性を有していてもよい。
【００２３】
図８は、本発明の第一の実施の形態におけるビジネスロールテーブル１２４の例を示す図である。ビジネスロールテーブル１２４の各行がそれぞれビジネスロールを表す。それぞれのビジネスロールにはビジネスロールＩＤ、ビジネスロール名、条件式が必要に応じ設定される。条件式は、ユーザテーブル１２２等に設定された項目の値を用いて当該ビジネスロールが有効となる対象を特定するための論理式である。管理者等は論理式を設定することにより、論理式が成り立つユーザに対して、当該ビジネスロールを付与することができる。なお、ビジネスロールにより付与される権限は、権限付与対象テーブル１２３を用いて定義する。
【００２４】
図９は、本発明の第一の実施の形態における権限付与対象テーブル１２３の例を示す図である。権限付与対象テーブル１２３の各行がそれぞれ、権限と付与対象のリンクを表している。付与対象ＩＤには、ビジネスロールＩＤまたはユーザＩＤを設定する。付与対象オブジェクトには、設定された付与対象の種類がユーザであれば「Ｕ」を、設定された付与対象の種類がビジネスロールであれば「Ｒ」を、それぞれ設定する。さらに、有効期間開始日、有効期間終了日が必要に応じて設定される。
【００２５】
図９で示したように、本発明の第一の実施の形態において、管理者等は、権限をユーザに直接付与することもできるし、権限をビジネスロールに対して付与することによりビジネスロールが付与されたユーザに権限を付与することもできる。なお、前者を直接付与、後者を間接付与、と呼ぶことにする。
【００２６】
表示部１０２について説明する。表示部１０２は、記憶部１０１が有するデータに基づいて、クライアント２００の表示部２０１に表示させるための画面出力データ１３０を生成する。
【００２７】
画面出力データ１３０は、権限構造体配列１３１、ユーザ構造体配列１３２、及び、フラグ構造体配列１３３を含む。
【００２８】
図１０は、本発明の第一の実施の形態における権限構造体配列１３１の例を示す図である。権限構造体配列１３１は、権限テーブル１２１の各列に対応する項目の内少なくとも一部を有するデータである。図１０ではＣ言語の構造体のような書式で権限構造体配列１３１を表現しているが、実際の定義方法はプログラミング言語次第である。
【００２９】
図１１は、本発明の第一の実施の形態におけるユーザ構造体配列１３２の例を示す図である。ユーザ構造体配列１３２は、ユーザテーブル１２２の各列に対応する項目の内少なくとも一部を有するデータである。なお、実際の定義方法はプログラミング言語次第である。
【００３０】
図１２は、本発明の第一の実施の形態におけるフラグ構造体配列１３３の例を示す図である。フラグ構造体配列１３３は、対象オブジェクトフラグ、条件名、有効期間開始日、及び、有効期間終了日を含む。
【００３１】
図３は、本発明の第一の実施の形態における表示部１０２の表示例を示す図である。
【００３２】
まず図３のように縦軸に権限を、横軸にユーザを取った表を用意する。なお軸の縦横は例示であり、図３の例と逆であってもよい。当該表にて、ユーザ個人に直接付与された権限と、ビジネスロールで間接的に付与された権限を、文字や色、アイコンなどで区別して表示し、一目で分かるようにする。
【００３３】
丸で囲った大文字の「Ｕ」はユーザが直接付与された権限を持っていることを表し、四角で囲った大文字の「Ｒ」はユーザがビジネスロールにより間接的に付与された権限を持っていることを表す。このように、文字や色、アイコン形状などによる異なる表示形式により、直接付与された権限と間接付与された権限とが区別できる。
【００３４】
さらに、「Ｒ」アイコンなどに所定の操作を行うことにより、ビジネスロースの条件を表示することもできる。例えばオンマウスすることで、操作対象である、オンマウスされたアイコンに対応するビジネスロールに設定されている条件式をポップアップウインドウ等で表示するようにしてもよい。また、具体的な権限（「参照」は可能だが、「更新」は不可、など）も表示してもよい。
【００３５】
図４は、本発明の第一の実施の形態における表示部１０２の日時指定を伴う表示例を示す図である。
【００３６】
図４のように日付を指定できるようにすることで、図３に示した例に加えてさらに、その日付時点の権限付与状況を一目で確認できるようにする。図４の例では、管理者等は、日時を指定することが可能である。また、有効期間が設定されている権限がすぐに分かるように、例えば時計のアイコンを、権限を示すアイコンに加えて表示する。時計アイコンが付与されている権限アイコンは、有効期間が設定されている権限であることを示している。
【００３７】
図５は、本発明の第一の実施の形態における表示部１０２の期間指定を伴う表示例を示す図である。
【００３８】
図５のように期間も指定できるようにすることで、図３または図４に示した例に加えてさらに、その期間内に権限の付与状況がどのように変化するかを確認することができる。図５の例では、管理者等は、期間を二つの日時により指定することが可能である。指定された期間内において新規に付与される権限、指定された期間内において有効期間が満了するなどして剥奪される権限、有効期間によらず付与されている権限や、有効期間により付与される期間が限定されているが指定期間においてはいつも付与されている権限、などの権限の種類に応じて、それぞれ異なる表示方法（色や輝度を変える、線のスタイルを変える、背景パターンを変える、等）により表示することにしてもよい。例えば、指定された期間内において新規に付与される権限には時計アイコンが付与され、なおかつ権限アイコンは白地に黒文字である。指定された期間内において有効期間が満了するなどして剥奪される権限は、時計アイコンが付与され、なおかつ権限アイコンは黒字に白文字である。このように、直接付与の権限および間接付与の権限における指定期間内における付与や剥奪に対応して、それぞれ異なる表示形式のアイコンが表示されることで、管理者等はそれぞれを区別して認識可能となる。
【００３９】
また、表示部１０２は上記説明以外にも、表示部２０１に表示させるためのアイコンデータである画面表示用アイコン１４１を有する。
【００４０】
アクセスコントロール部１０３について説明する。アクセスコントロール部１０３は、サーバ３００からのリクエストに応じて、権限情報を返却し、リクエスト元がアクセスコントロールするための情報を提供する。外部プログラムはサーバ３００で稼働するサービスである。外部プログラムは利用者からの操作を受け付けた際、アクセスコントロール部１０３から当該ユーザに付与されている権限の情報を得て、その権限に応じて所定の操作のみを許諾する。アクセスコントロール部１０３は、ユーザ名を含むリクエストを受けると、そのユーザ名に対応する、直接付与および間接付与の権限に関する情報を返却する。外部プログラムとアクセスコントロール部１０３との間のプロトコルは任意である。
【００４１】
なお、権限管理装置１００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）とプログラムを記憶した記憶媒体を含み、プログラムに基づく制御によって動作するコンピュータであってもよい。また、記憶部１０１、表示部１０２、及びアクセスコントロール部１０３は、それぞれ個別の記憶媒体でも、１つの記憶媒体によって構成されてもよい。
【００４２】
次に、本発明の第一の実施の形態における権限管理装置１００の動作について説明する。
【００４３】
図１９は、本発明の第一の実施の形態における権限管理装置１００の全体的な処理を示すフローチャートである。
【００４４】
まず、画面出力データ初期化処理を実行する（ステップＳ１０１）。ユーザがクライアント２００から権限の確認や棚卸を開始すると、まずは画面出力データ初期化処理として、表示部１０２は、記憶部１０１が記憶する権限テーブル１２１から必要なデータを取得する。次に、表示部１０２は、画面出力データ１３０の権限構造体配列１３１に順番に格納する。
【００４５】
図１３は、本発明の第一の実施の形態における権限構造体配列１３１に値を格納した具体例である。
【００４６】
図１３中の［］内の数字を「添字」と呼称する。
【００４７】
次に表示部１０２は、記憶部１０１の記憶するユーザテーブル１２２から必要なデータの「ユーザＩＤ」と「ユーザ名」を取得し、画面出力データ１３０のユーザ構造体配列１３２に順番に格納する。
【００４８】
図１４は、本発明の第一の実施の形態におけるユーザ構造体配列１３２に値を格納した具体例である。
【００４９】
その後、表示部は、権限構造体配列１３１から先頭の「権限構造体配列［０］．権限ＩＤ」の値である「ＩＴＲ００１」を取得し、権限付与対象テーブルから権限ＩＤ「ＩＴＲ００１」に該当するデータの「権限ＩＤ」、「付与対象ＩＤ」、「付与対象オブジェクト」、「有効期間開始日」、「有効期間終了日」を取得する。
【００５０】
図１５は、本発明の第一の実施の形態における権限付与対象テーブルの検索結果の一例である。
【００５１】
次に、取得した権限付与対象データの「付与対象オブジェクト」を確認する（ステップＳ１０２）。
【００５２】
ステップＳ１０２において確認した権限付与対象データの「付与対象オブジェクト」が「Ｕ」の場合は、そのデータの「付与対象ＩＤ」をユーザ構造体配列１３２から探す（ステップＳ１０３）。例えば図１５の２行目の場合は、”Ｕ００３”に該当する「ユーザ構造体配列［２］」が抽出される。この時の権限構造体配列１３１の添字「０」と、ユーザ構造体配列１３２の添字「２」の二つを添字として特定される、フラグ構造体配列１３３中の位置にデータを登録する。具体的には、フラグ構造体配列１３３は３次元の配列なので、１つめの添字には権限構造体配列１３１の添字「０」が、２つめの添字にはユーザ構造体配列１３２の添字「２」が、最後の３つめの添字には初期値「０」が代入されてデータが登録される。３つめの添え字は、１つめと２つめの添字が同じ値のフラグ構造体配列に対してデータ登録されるたびに、０，１，２、・・・と連番が振られる。すなわち、上記例の場合は「フラグ構造体配列［０］［２］［０］」にデータが登録される。
【００５３】
図１６は、本発明の第一の実施の形態におけるフラグ構造体配列への値の格納の具体例である。登録されるデータは、図１５の２行目の情報を基に、図１６のようなデータが登録される。条件名については、「付与対象オブジェクト」が「Ｕ」の場合は「ｎｕｌｌ」になる。
【００５４】
ステップＳ１０２において確認した権限付与対象データの「付与対象オブジェクト」が「Ｒ」の場合は、そのデータの「付与対象ＩＤ」をビジネスロールテーブル１２４から検索する（ステップＳ１０４）。例えば図１５の１行目の場合は、「ＢＲ００１」に該当するデータを取得する。
【００５５】
図１７は、本発明の第一の実施の形態におけるビジネスロールテーブルの検索結果の一例である。図１７の条件式に基づいて、ユーザＩＤ「Ｕ００１」をユーザテーブル１２２から取得する。その後、取得したユーザＩＤに基づいてユーザ構造体配列１３２から取得できるデータを、前述のステップＳ１０３と同様の手順により「フラグ構造体配列［０］［０］［０］」にデータ登録を行う。
【００５６】
図１８は、本発明の第一の実施の形態におけるフラグ構造体配列への値の格納の具体例である。ステップＳ１０４では、図１５の１行目および図１７の情報を基に、図１８のようなデータが登録される。
【００５７】
次に、ステップＳ１０１からＳ１０４を権限構造体配列１３１の全データに対して順番に実行し、画面出力データ１３０のフラグ構造体配列１３３を生成する（ステップＳ１０５）。
【００５８】
次に、表示部１０２は、画面表示処理を実行する（ステップＳ１０６）。表示部１０２は、画面表示処理として、権限構造体配列１３１の「権限名」を縦軸に、ユーザ構造体配列１３２の「ユーザ名」を横軸に取った表を作成し、クライアント２００の表示部２０１に表示させる。次に、表の、ユーザ名および権限名により特定される各セルの中に「Ｕ」「Ｒ」のアイコンを表示するため、まずはフラグ構造体配列１３３に対して、表示部２０１に表示した表の１行１列目を基準とした「行数−１」の数字を添字の１つめに、「列数−１」の数字を添字の２つめに代入し、３つめの添字は０，１，２・・・と順に値を代入して、フラグ構造体配列データを取得する。
【００５９】
次に、取得したデータの「対象オブジェクトフラグ」が「Ｕ」または「Ｒ」の場合は、対応する画面表示用アイコン１４１を表示部２０１の表のセルに表示する。「Ｕ」でも「Ｒ」でもない場合は、次の行または列に移動して同様の処理を繰り返す。これを表示部２０１の表の全セルに対して行い、図３のような画面を表示部２０１に表示する。さらに、「Ｒ」のアイコンにオンマウスした場合は、対応するフラグ構造体配列データの「条件名」を表示する。
【００６０】
次に、表示部２０１にて日時指定または期間指定がされている場合は、日時指定または期間指定に基づいてアイコンの表示形式を設定する（ステップＳ１０７）。
【００６１】
Ｓ１０７のうち、日時指定がされている場合の具体的な処理について説明する。「日時指定」が選択されている場合は、権限構造体配列１３１の有効期間開始日または有効期間終了日が「ｎｕｌｌ」ではない場合、およびフラグ構造体配列１３３の有効期間開始日または有効期間終了日が「ｎｕｌｌ」ではない場合は、図４に示すように表示部２０１の表セルに時計型のアイコンを表示する。
【００６２】
さらに、表示部２０１にて「日付指定」が選択された場合は、指定された日付と有効期間開始日、有効期間終了日の大小比較を行い、「有効期間開始日＜＝指定された日付＜＝有効期間終了日」という条件を満たす場合のみ、ステップＳ１０６にて「Ｕ」または「Ｒ」のアイコンを表セルに表示する。大小比較は、権限構造体配列１３１の有効期間、フラグ構造体配列１３３の有効期間の両方に対して行い、どちらも前記条件を満たす場合のみ、アイコンを表示する。
【００６３】
一方、Ｓ１０７のうち、表示部２０１にて期間指定がされている場合の具体的な処理について説明する。有効期間開始日と有効期間終了日に基づいて以下のような処理を行う。
（１）『有効期間開始日＜＝指定期間の開始日』かつ『指定期間の終了日＜＝有効期間終了日』の場合、「Ｕ」または「Ｒ」のアイコンを背景色なしで表示する。
（２）『有効期間開始日  ＜＝  指定期間の開始日』かつ『有効期間終了日  ＜  指定期間の終了日』の場合、「Ｕ」または「Ｒ」のアイコンをグレーアウト表示する。
（３）『指定期間の開始日  ＜  有効期間開始日』かつ『指定期間の終了日  ＜＝  有効期間終了日』の場合、「Ｕ」または「Ｒ」のアイコンをハイライト表示する。
（４）『指定期間の開始日  ＜  有効期間開始日』かつ『有効期間終了日  ＜  指定期間の終了日』の場合、「Ｕ」または「Ｒ」のアイコンを破線表示する。
これらの処理により図５のような表を表示部２０１に表示する。
【００６４】
本発明の第一の実施の形態によると、従来手法においてユーザに付与された権限の棚卸を行う場合、『ユーザデータの確認→権限データの確認→権限付与対象データの確認→ビジネスロールデータの確認』という４ステップが必要な作業が、本発明の第一の実施の形態では１画面（１ステップ）で確認できるため、単純計算で効率が４倍になる。さらに、ビジネスロールの条件式にＡＮＤやＯＲ条件も加わると、従来手法では不可能に近いが、本発明の第一の実施の形態ではそのような条件に対しても妥当性の確認・棚卸を行うことが可能である。
【００６５】
また、本発明の第一の実施の形態によると、従来手法において任意の日付の権限を確認するためには、ユーザデータや権限データに加えて、権限の有効期間と付与条件の有効期間も掛け合わせた突合せが必要となり、さらに作業のステップが増えてしまうが、本発明の第一の実施の形態では同じ１画面（１ステップ）で確認することができるため、効率を落とすことなく日付を含めた棚卸が可能である。さらに、従来手法では事実上不可能だった、ある期間における権限付与状況の変化についても、本発明の第一の実施の形態では確認することが可能である。
【００６６】
以上により、本発明の第一の実施の形態の動作が完了する。
【００６７】
次に、本発明の第一の実施の形態の特徴的な構成を説明する。図１は、本発明の第一の実施の形態の特徴的な構成を示すブロック図である。
【００６８】
図１を参照すると、権限管理装置１００は、記憶部１０１、及び、表示部１０２を含む。
【００６９】
ここで記憶部１０１は、ユーザリスト、権限リスト、ビジネスロールリスト、及び、ユーザと権限とビジネスロールとを関連付ける関連付けリストを記憶する。
【００７０】
表示部１０２は、記憶部１０１が記憶する情報に基づいて、ユーザ軸および権限軸からなる表のうち、ユーザと権限から特定される領域であるセルの中に、当該ユーザに直接付与および間接付与により割り当てられた権限に応じて、それぞれ区別して認識可能な表示形式で権限の付与状況を表示するデータを生成する。そして生成したデータを外部の表示装置に表示するように指示する。
【００７１】
本発明の第一の実施の形態によれば、ユーザに付与された権限をより低コストに確認できる。
【００７２】
その理由は、ユーザ軸と権限軸を含む表に、ユーザ個人に直接付与された権限と、ビジネスロールで間接的に付与された権限を、文字や色、アイコンなどで区別して一元的に管理者等に提示することができるからである。
【００７３】
また、本発明の第一の実施の形態によれば、過去および未来の権限の有効性をより低コストに確認できる。
【００７４】
その理由は、ユーザ軸と権限軸を含む表に、管理者等が指定した日時において、その権限の有効期間から指定日時における権限の有効性を、文字や色、アイコンなどで区別して一元的に管理者等に提示することができるからである。
【００７５】
また、本発明の第一の実施の形態によれば、所定期間内での付与剥奪の状況をより低コストに確認できる。
【００７６】
その理由は、ユーザ軸と権限軸を含む表に、管理者等が指定した日時において、その権限の有効期間から指定期間における権限の付与および剥奪の有無を、文字や色、アイコンなどで区別して一元的に管理者等に提示することができるからである。
【００７７】
以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【００７８】
例えば、本発明の実施の形態においては、権限管理を行うシステムに対して実施する以外に、ビジネスロール自体を管理するシステムに対しても適用可能である。また、同様の有効期間の概念がある特権ＩＤ管理やデバイス管理、資産管理などのシステムにも適用可能である。
【００７９】
同様に、ビジネスロールのメンバは人事異動や組織改正などのイベントによって動的に変わるため、イベント情報を入力することで、権限の付与状況の変化を確認することができる、といった応用も可能である。
【００８０】
さらに、権限としては別々でも、「同じ業務システムに対する権限」や「同じビジネスロールで付与された権限」などの関連性が分かるような情報を表示するといった応用も可能である。最後に、確認画面を見ても直ぐには不正な権限（越権や重複など）が分からないため、事前に登録しておいた条件に従って、不正な権限の候補を表示する機能をさらに備えていてもよい。
【産業上の利用可能性】
【００８１】
本発明は、管理者等がユーザの権限を管理するアクセス権限管理装置に適用できる。
【符号の説明】
【００８２】
１００            権限管理装置
１０１            記憶部
１０２            表示部
１０３            アクセスコントロール部
１２１            権限テーブル
１２２            ユーザテーブル
１２３            権限付与対象テーブル
１２４            ビジネスロールテーブル
１３０            画面出力データ
１３１            権限構造体配列
１３２            ユーザ構造体配列
１３３            フラグ構造体配列
１４１            画面表示用アイコン
２００            クライアント
２０１            表示部
３００            サーバ
【図１】
2015187808.tif 000003
【図２】
2015187808.tif 000004
【図３】
2015187808.tif 000005
【図４】
2015187808.tif 000006
【図５】
2015187808.tif 000007
【図６】
2015187808.tif 000008
【図７】
2015187808.tif 000009
【図８】
2015187808.tif 000010
【図９】
2015187808.tif 000011
【図１０】
2015187808.tif 000012
【図１１】
2015187808.tif 000013
【図１２】
2015187808.tif 000014
【図１３】
2015187808.tif 000015
【図１４】
2015187808.tif 000016
【図１５】
2015187808.tif 000017
【図１６】
2015187808.tif 000018
【図１７】
2015187808.tif 000019
【図１８】
2015187808.tif 000020
【図１９】
2015187808.tif 000021