(57)【要約】【課題】  クラウドシステムでは管理する機器の多様性からポリシー施行点が多数存在するため、アクセス制御機構の多様な制限やシステムの接続形態に基づき、最小権限となるようにポリシー定義点で設計されたＲＢＡＣポリシーを各ポリシー施行点のポリシーへと変換する。【解決手段】  ポリシー定義点で定義されたＲＢＡＣポリシーを複数のポリシー施行点におけるポリシーへと変換する方法であって、前記ポリシー定義点と前記ポリシー施行点はネットワークに接続し、前記ポリシー定義点は、オブジェクトと各システムの機能のマトリクスを生成する処理と、前記ＲＢＡＣポリシーと前記ポリシー施行点におけるアクセス制御機構の制限とシステムの接続形態とを制約条件として制約プログラミングすることで前記ポリシー施行点のポリシーへ変換する処理とを実施する。【選択図】  図１
2015087944.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークと接続されるポリシー定義点と複数のポリシー施行点におけるロールベースのアクセス制御方法であって、
前記ポリシー定義点により、
システム構成情報を受信し、ポリシー施行点の機能情報とアクセス制御機構情報を受信し、ロールベースアクセス制御に基づいたロールを受信する処理と、
アクセス権をモデル化し、制約条件を設定し、制約プログラミングにより前記ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する処理と、
前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点に前記アクセス権設定値を送信する処理を実施する、
ことを特徴とするロールベースのアクセス制御方法。
【請求項２】
前記ポリシー定義点により、
前記システム構成情報と前記ポリシー施行点の前記アクセス制御機構情報を強い制約条件とする処理を実施する
ことを特徴とする請求項１に記載のロールベースのアクセス制御方法。
【請求項３】
前記ポリシー定義点により、
前記アクセス権設定値の総数と前記ロールとして不要な前記アクセス権設定値の数とを弱い制約条件とする処理を実施する
ことを特徴とする請求項２に記載のロールベースのアクセス制御方法。
【請求項４】
前記ポリシー定義点により、
前記システム構成情報をクラスタリングしてクラス構成情報を生成する処理と、
前記ロールをクラス属性ロールとインスタンス属性ロールに分類する処理と、
前記クラス構成情報を制約条件とし、制約プログラミングにより前記クラス属性ロールを満たす前記ポリシー施行点の暫定アクセス権設定値を探索する処理と、
前記制約条件を継承し、前記暫定アクセス権設定値を継承し、制約プログラミングにより前記インスタンス属性ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する処理を実施する、
ことを特徴とする請求項３に記載のロールベースのアクセス制御方法。
【請求項５】
前記ポリシー定義点により、
前記システム構成情報の更新情報を受信し、インスタンス増減の情報を取得する処理と、
前記アクセス権設定値を継承し、前記インスタンス増減より変更が発生し得る前記アクセス権設定値に限定した制約プログラミングにより部分問題として修正する処理を実施する、
ことを特徴とする請求項４に記載のロールベースのアクセス制御方法。
【請求項６】
前記ポリシー定義点により、
前記ポリシー施行点の機能情報を受信し、前記クラスを機能の主体とアクセス元とアクセス先とに分け、前記主体と前記アクセス元と前記アクセス先と前記機能の組み合わせによりクラス属性ロールのアクセスモデルを生成する
ことを特徴とする請求項１に記載のロールベースのアクセス制御方法。
【請求項７】
前記ポリシー定義点により、
前記クラス属性ロールの前記アクセスモデルを継承し、前記主体と前記アクセス元と前記アクセス先を前記クラスから前記インスタンスへ拡張することでインスタンス属性ロールのアクセス権モデルを生成する
ことを特徴とする請求項６に記載のロールベースのアクセス制御方法。
【請求項８】
前記ポリシー定義点により、
アクセス希望ロールを受信し、前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点にアクセス希望ロールに該当する前記アクセス権設定値を送信する処理と、
一定時間終了時後、あるいは操作終了信号を受信後、前記ポリシー施行点で設定したアクセス権を削除する処理を実施する、
ことを特徴とする請求項１に記載のロールベースのアクセス制御方法。
【請求項９】
ネットワークと接続されるポリシー定義点と複数のポリシー施行点を有するロールベースのアクセス制御システムであって、
前記ポリシー定義点は、
システム構成情報を受信し、ポリシー施行点の機能情報とアクセス制御機構情報を受信し、ロールベースアクセス制御に基づいたロールを受信する処理と、
アクセス権をモデル化し、制約条件を設定し、制約プログラミングにより前記ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する手段と、
前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点に前記アクセス権設定値を送信する処理を実施する手段と、を有する
ことを特徴とするロールベースのアクセス制御システム。
【請求項１０】
前記ポリシー定義点は、
前記システム構成情報と前記ポリシー施行点の前記アクセス制御機構情報を強い制約条件とする処理を実施する手段を有する
ことを特徴とする請求項９に記載のロールベースのアクセス制御システム。
【請求項１１】
前記ポリシー定義点は、
前記アクセス権設定値の総数と前記ロールとして不要な前記アクセス権設定値の数とを弱い制約条件とする処理を実施する手段を有する
ことを特徴とする請求項１０に記載のロールベースのアクセス制御システム。
【請求項１２】
前記ポリシー定義点は、
前記ポリシー施行点の機能情報を受信し、前記クラスを機能の主体とアクセス元とアクセス先とに分け、前記主体と前記アクセス元と前記アクセス先と前記機能の組み合わせによりクラス属性ロールのアクセスモデルを生成する手段を有する
ことを特徴とする請求項９に記載のロールベースのアクセス制御システム。
【請求項１３】
前記ポリシー定義点は、
前記クラス属性ロールの前記アクセスモデルを継承し、前記主体と前記アクセス元と前記アクセス先を前記クラスから前記インスタンスへ拡張することでインスタンス属性ロールのアクセス権モデルを生成する手段を有する
ことを特徴とする請求項１２に記載のロールベースのアクセス制御システム。
【請求項１４】
前記ポリシー定義点は、
アクセス希望ロールを受信し、前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点にアクセス希望ロールに該当する前記アクセス権設定値を送信する手段と、
一定時間終了時後、あるいは操作終了信号を受信後、前記ポリシー施行点で設定したアクセス権を削除する処理を実施する手段、を有する
ことを特徴とする請求項９に記載のロールベースのアクセス制御システム。
【請求項１５】
ネットワークと接続されるポリシー定義点と複数のポリシー施行点におけるロールベースのアクセス制御方法を実行するためのプログラムを格納にした、啓換気で読み取り可能な記憶媒体であって、
前記アクセス制御法方法は、
前記ポリシー定義点により、
システム構成情報を受信し、ポリシー施行点の機能情報とアクセス制御機構情報を受信し、ロールベースアクセス制御に基づいたロールを受信する処理と、
アクセス権をモデル化し、制約条件を設定し、制約プログラミングにより前記ロールを満たす前記ポリシー施行点のアクセス権設定値を探索する処理と、
前記ポリシー定義点が前記ネットワークを介して複数のポリシー施行点に前記アクセス権設定値を送信する処理を実施する、
ことを特徴とする記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はクラウドにおけるロールベースアクセス制御に関する。特に、システム構成が時間とともに変化する場合のアクセス制御に関する。
【背景技術】
【０００２】
一般的に、情報システムでは安全に情報資源を管理するため、アクセス制御が必要である。従来の情報システムでは、情報資源に対して“読込／書込／実行”権限を定義するＤＡＣ(Discretionary Access Control)が主流であったが、職務上の責務などのユーザステータスの変更に伴う権限の再定義が煩雑であり、ヒューマンエラーなどによるセキュリティ事故を発生する要因となっていた。
【０００３】
そのため、前記アクセス制御としては、職務上の役割毎に操作の権限を設定することでポリシー定義を容易にするＲＢＡＣ(Role Based Access Control)が望ましい。ＲＢＡＣでは、ユーザに対して権限を直接割り付けず、Ｒｏｌｅという単位で権限を設定して割り付けることでステータスの変更に伴う権限の再設定の煩雑さを解消している。ここで、「ポリシー」とはアクセス権の値（種別や内容）である。
【０００４】
しかし、クラウドシステムでは管理する機器の多様性からポリシー施行点（PEP：アクセス制御を実行するシステム）が多数存在し、ポリシー施行点毎にアクセス制御に必要なポリシーの形式は異なる。そこで、ポリシー定義点（PDP：ＲＢＡＣポリシーを定義するシステム）で定義されたＲＢＡＣポリシーを各ポリシー施行点のポリシーへと変換する技術が必要となる。
【０００５】
ポリシーを変換する技術としては特許文献１が存在する。特許文献１では、あらかじめ操作とＡＣＥ(Access Control Entry)をマッピングしておくことで、ＲＢＡＣポリシーをＡＤ(Active Directory)の資源ポリシーへと変換する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特表２００９−５３９１８３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
情報システムでは、利用者が果たすべき職務責務の範囲外で当該機器にアクセスすることを防ぐ必要がある（職務分離の原則）。そのため、アクセス制御において最小限となるアクセス権、即ち、一連の業務を行うのに必要なリソースとそのアクセス権を各機器に設定することが望ましい（最小権限の原則、「最小権限」とは、一連の処理を行うのに必要なリソースやアクセス権である。）。
【０００８】
しかし、特許文献１では、あらかじめＲＢＡＣポリシーの中で定義される操作と各ポリシー施行点で設定される権限が固定的にマッピングされているため、各ポリシー施行点におけるアクセス制御機構の多様な制限に基づき各機器に最小権限を設定することが困難である。また、各ポリシー施行点におけるＡＣＥに変換するため、システムの接続形態とＲＢＡＣポリシーに基づき、システム間の接続を最小限にするように権限を設定できない。即ち、システム間の接続が予め人手によって設定されていたされている。
【０００９】
本発明は、このような状況に鑑みてなされたものであり、各ポリシー施行点におけるアクセス制御機構の多様な制限やシステム全体の接続形態に基づき、各機器への操作権限の範囲が最小権限となるように、ポリシー定義点で定義されたＲＢＡＣポリシーを、各ポリシー施行点のポリシーへと変換することを目的とする。
【課題を解決するための手段】
【００１０】
本発明は、ポリシー定義点で定義されたＲＢＡＣポリシーを複数のポリシー施行点におけるポリシーへと変換する方法であって、前記ポリシー定義点と前記ポリシー施行点はネットワークに接続し、前記ポリシー定義点は、オブジェクト（クラスとインスタンスを含む）と各システムの機能のマトリクスを生成する処理と、前記ＲＢＡＣポリシーと前記ポリシー施行点におけるアクセス制御機構の制限とシステムの接続形態とを制約条件として制約プログラミングすることで前記ポリシー施行点のポリシーへ変換する処理とを実施する、ことを特徴とする。
【００１１】
即ち、本発明の動作の主体は「ポリシー定義点」である。クライアント装置１０１は、ユーザからの処理要求を受け付けると、処理要求に応じたアクセス権の要求の設定をポリシー定義点１０３に依頼する。ポリシー定義点１０３は、ロールに応じて各ポリシー施行点１０４に設定すべき権限を決める。即ち、あるアプリケーション（ＡＰ）実行の要求の受付はクライアント装置１０１が行い、そのＡＰの実行はポリシー施行点１０４で行われ、ポリシー定義点は、ロールに応じた権限が設定される。
【００１２】
ここで、「ロール」と、「クラス」や「インスタンス」との関係について説明する。ネットワークを構成する複数のリソース（処理装置や記憶装置など）にはそれぞれ固有のロール（役割）が与えられており、これら複数のロールは階層構造を有し、上位の構造は「クラス」と呼ばれ、各クラスには下位の構造としていくつかの「インスタンス」が含まれており、上位のクラスから下位のインスタンスに至る階層構造の関係が定められている。このような階層構造は、目的に応じて異なっており、固定した構造ではない。従って、同じインスタンス（リソース）でも、クラスとインスタンスからなる階層構造上の階層レベルが異なる場合がある。
【００１３】
更に、本発明では、上記の階層構造上のレベルに応じてインスタンス（リソース）にアクセス権限が設定され、その設定を制御するのがポリシー定義点（所謂サーバである）である。
【発明の効果】
【００１４】
本発明によれば、アクセス制御機構の多様な制限やシステム全体の接続形態に基づき、各機器への操作が最小権限となるようにポリシー定義点で定義されたＲＢＡＣポリシーを各ポリシー施行点のポリシーへと変換することが可能となる。
【図面の簡単な説明】
【００１５】
【図１】システム構成の例を示す図である。
【図２】クライアント装置の機能構成の例を示す図である。
【図３】ポリシー定義点の機能構成の例を示す図である。
【図４】ポリシー施行点の機能構成の例を示す図である。
【図５】装置のハードウェア構成の例を示す図である。
【図６】ポリシー定義処理のシーケンス図の例を示す図である。
【図７】システム構成設定要求メッセージの例を示す図である。
【図８】クラスタリング要求メッセージの例を示す図である。
【図９】クラスとインスタンスの例を示す図である。
【図１０】ポリシー施行点情報設定要求メッセージの例を示す図である。
【図１１】ロール設定要求メッセージの例を示す図である。
【図１２】ロール階層構造の例を示す図である。
【図１３】アクセス権モデル化６１４の例を示す図である。
【図１４】インスタンス拡張６１９の例を示す図である。
【図１５】操作認可処理のシーケンス図の例を示す図である。
【図１６】アクセス権要求メッセージの例を示す図である。
【発明を実施するための形態】
【００１６】
以下、図面を用いて本発明の実施の形態について説明する。なお、これにより本発明が限定されるものではない。
【００１７】
本実施例ではポリシー定義点でＲＢＡＣポリシーを定義し、ポリシー施行点でアクセス制御を行うシステムの例を説明する。
【００１８】
以下の説明において、「人手によって」とは、ユーザが端末に所定の入力操作を行うことを意味する。
【００１９】
（システム構成）
図１は本実施例におけるシステム構成の例である。
【００２０】
図１において、本実施例のシステムはクライアント装置１０１、ネットワーク１０２、ポリシー定義点１０３、ポリシー施行点１０４から構成されている。ユーザはクライアント装置１０１を介してシステムの機能を利用する。クライアント装置１０１は1個に限定されず、実施形態によって複数の場合もある。ネットワーク１０２は、公開ネットワークか非公開ネットワークかは限定せず、接続インタフェースも限定しない。ネットワーク１０２にはクライアント装置１０１、ポリシー定義点１０３（PDP：ＲＢＡＣポリシーを定義するシステム）、ポリシー施行点１０４（PEP：アクセス制御を実行するシステム）が接続されており、その接続プロトコルは限定しない。ネットワーク１０２は単一のネットワークである必要がなく、実施形態によって複数の場合もある。
【００２１】
ポリシー定義点１０３は、認証装置などが該当する。ポリシー定義点１０３は1個に限定されず、実施形態によって複数の場合もある。ポリシー施行点１０４は、ストレージ統合管理装置、ストレージ、ロジカルユニット、ハイパバイザ統合管理装置、ハイパバイザ、仮想マシン、計算装置、ネットワーク装置、などが該当する。ポリシー施行点１０４は複数存在する。
【００２２】
クライアント装置１０１は、一連の処理（役割）を実行する処理装置であるポリシー定義点１０３に対してアクセス権の設定を要求し、ポリシー定義点１０３は、要求を達成するためのアクセス権設定の処理の実行を、特定の処理を実行する処理装置であるポリシー施行点１０４に依頼する。
【００２３】
また、クライアント装置１０１からの要求によって、ポリシー定義点１０３の内容や、それに対応するポリシー施行点１０４の内容の組み合わせが異なる。
【００２４】
図２は、本実施例におけるクライアント装置１０１の機能構成の例である。
【００２５】
クライアント装置１０１は、制御部２０１、ユーザからの要求を受け付けたり、ユーザに情報を表示したりする入出力部２１０（即ち、端末）、及びネットワーク１０２に接続された送受信部２１１を有する。
【００２６】
図２において、制御部２０１は、システム構成設定要求部２０２、クラスタリング要求部２０３、ポリシー施行点情報設定要求部２０４、ロール設計要求部２０５、アクセス権モデル化要求部２０６、ポリシー定義要求部２０７、アクセス権要求部２０８、及び操作要求部２０８から構成されている。
【００２７】
入出力部２１０は、キーボード等のインタフェースを介してユーザからの入力を制御し、モニタ等のインタフェースを介してユーザへの出力を制御する処理部である。送受信部２１１は、ネットワーク１０２を介して情報の送受信を行う処理部である。
【００２８】
制御部２０１内の各要求部２０２〜２０８は、入出力部２１０からの各要求を受け付けて、送受信部２１１及びネットワーク１０２を介してポリシー定義点１０３との間でメッセージ等の授受を行う。しかし、同じ制御部２０１内の操作要求部２０９だけは、入出力部２１０から各要求を受け付けて、送受信部２１１及びネットワーク１０２を介してポリシー施行点１０４との間でメッセージ等の授受を行ない、他の要求部とは通信の相手が異なる。
【００２９】
（クライアント装置の各要求部）
システム構成設定要求部２０２は、入出力部２１０を介してユーザからシステム構成設定要求を受け付け、送受信部２１１を介してシステム構成設定要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からシステム構成設定応答メッセージを受信し、入出力部２１０を介してユーザにシステム構成設定結果を通知する処理部である。
【００３０】
クラスタリング要求部２０３は、入出力部２１０を介してユーザからクラスタリング要求を受け付け、送受信部２１１を介してクラスタリング要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からクラスタリング応答メッセージを受信し、入出力部２１０を介してユーザにクラスタリング結果を通知する処理部である。
【００３１】
ポリシー施行点情報設定要求部２０４は、入出力部２１０を介してユーザからポリシー施行点情報設定要求を受け付け、送受信部２１１を介してポリシー施行点情報設定要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からポリシー施行点情報設定応答メッセージを受信し、入出力部２１０を介してユーザにポリシー施行点情報設定結果を通知する処理部である。
【００３２】
ロール設計要求部２０５は、入出力部２１０を介してユーザからロール設計要求を受け付け、送受信部２１１を介してロール設計要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からロール設計応答メッセージを受信し、入出力部２１０を介してユーザにロール設計結果を通知する処理部である。
【００３３】
アクセス権モデル化要求部２０６は、入出力部２１０を介してユーザからアクセス権モデル化要求を受け付け、送受信部２１１を介してアクセス権モデル化要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からアクセス権モデル化応答メッセージを受信し、入出力部２１０を介してユーザにアクセス権モデル化結果を通知する処理部である。
【００３４】
ポリシー定義要求部２０７は、入出力部２１０を介してユーザからポリシー定義要求を受け付け、送受信部２１１を介してポリシー定義要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からポリシー定義応答メッセージを受信し、入出力部２１０を介してユーザにポリシー定義結果を通知する処理部である。
【００３５】
アクセス権要求部２０８は、入出力部２１０を介してユーザからアクセス権要求を受け付け、送受信部２１１を介してアクセス権要求メッセージをポリシー定義点１０３に送信し、送受信部２１１を介してポリシー定義点１０３からアクセス権応答メッセージを受信し、入出力部２１０を介してユーザにアクセス権結果を通知する処理部である。
【００３６】
操作要求部２０９は、入出力部２１０を介してユーザから操作要求を受け付け、送受信部２１１を介して操作要求メッセージをポリシー施行点１０４に送信し、送受信部２１１を介してポリシー施行点１０４から操作応答メッセージを受信し、入出力部２１０を介してユーザに操作結果を通知する処理部である。
【００３７】
図３は、本実施例におけるポリシー定義点１０３の機能構成の例である。
【００３８】
ポリシー定義点１０３は、制御部３０１、記憶部３１４、及びネットワーク１０２に接続された送受信部３２３を有する。
【００３９】
制御部３０１は、システム構成設定処理部３０２、クラスタリング処理部３０３、ポリシー施行点情報設定処理部３０４、ロール設計処理部３０５、アクセス権モデル化処理部３０６、ポリシー定義処理部３０７、制約条件設定部３０８、制約プログラミング処理部３０９、インスタンス拡張処理部３１０、アクセス権処理部３１１、アクセス権追加処理部３１２、及びアクセス権削除処理部３１３から構成されている。
【００４０】
制御部３０１内の各処理部３０２〜３０７、３１１は、送受信部３２３及びネットワーク１０２を介してクライアント装置１０１との間でメッセージ等の授受を行う。しかし、同じ制御部３０１内の処理部３０８〜３１０は、処理部３０７から呼び出され、処理部３１２、３１３は、処理部３１１から呼び出され、かつ、送受信部３２３及びネットワーク１０２を介してポリシー施行点１０４との間でメッセージ等の授受を行ない、他の処理部とは通信の相手が異なる。
【００４１】
（ポリシー定義点の各処理部）
システム構成設定処理部３０２は、送受信部３２３を介してクライアント装置１０１からシステム構成設定要求メッセージを受信し、システム構成記憶領域３１５にシステム構成情報を格納し、送受信部３２３を介してクライアント装置１０１にシステム構成設定応答メッセージを送信する処理部である。
【００４２】
クラスタリング処理部３０３は、送受信部３２３を介してクライアント装置１０１からクラスタリング要求メッセージを受信し、システム構成記憶領域３１５上のシステム構成情報からポリシー施行点１０４を人手によってクラスとインスタンスに分類し、クラス記憶領域３１６にクラス情報を格納し、インスタンス記憶領域３１７にインスタンス情報を格納し、送受信部３２３を介してクライアント装置１０１にクラスタリング応答メッセージを送信する処理部である。
【００４３】
ポリシー施行点情報設定処理部３０４は、送受信部３２３を介してクライアント装置１０１からポリシー施行点情報設定要求メッセージを受信し、ポリシー施行点情報記憶領域３１８にポリシー施行点情報を格納し、送受信部３２３を介してクライアント装置１０１にポリシー施行点情報設定応答メッセージを送信する処理部である。
【００４４】
ロール設計処理部３０５は、送受信部３２３を介してクライアント装置１０１からロール設計要求メッセージを受信し、ロール設計を行い、ロール・ポリシー記憶領域３１９にロール情報を格納し、送受信部３２３を介してクライアント装置１０１にロール設計応答メッセージを送信する処理部である。
【００４５】
アクセス権モデル化処理部３０６は、送受信部３２３を介してクライアント装置１０１からアクセス権モデル化要求メッセージを受信し、ポリシー施行点情報記憶領域３１８上のポリシー施行点情報とクラス記憶領域３１６上のクラス情報からアクセス権をモデル化（リソースとアクセス権との対応付けを行うこと）し、アクセス権モデル記憶領域３２０にアクセス権モデル化情報を格納し、送受信部３２３を介してクライアント装置１０１にアクセス権モデル化応答メッセージを送信する処理部である。
【００４６】
ポリシー定義処理部３０７は、送受信部３２３を介してクライアント装置１０１からポリシー定義要求メッセージを受信し、ポリシー施行点１０４のポリシー定義を行い（アクセス権を設定すること）、ロール・ポリシー記憶領域３１９にポリシー情報を格納し、送受信部３２３を介してクライアント装置１０１にポリシー定義応答メッセージを送信する処理部である。
【００４７】
制約条件設定部３０８は、ポリシー定義処理部３０７から呼び出され、ポリシー施行点情報記憶領域３１８上のポリシー施行点情報（人手で入力される構成情報）から制約条件を生成し、制約条件記憶領域３２１に制約条件を格納する処理部である。
【００４８】
制約プログラミング処理部３０９は、ポリシー定義処理部３０７から呼び出され、制約条件記憶領域３２１上の制約条件を用いた制約プログラミングにより各ポリシー施行点１０４のポリシー定義する処理部である。制約プログラミングは、変数間の関係を制約という形でプログラミングするものであり、その変数間の関係を表したのが制約条件である。
【００４９】
インスタンス拡張処理部３１０は、ポリシー定義処理部３０７から呼び出され、から呼び出され、インスタンス記憶領域３１７上のインスタンス情報からアクセス権モデル記憶領域３２０上のアクセス権モデル化情報を更新する処理部である。即ち、リソースとアクセス権との新たな対応付けを行う。
【００５０】
アクセス権処理部３１１は、送受信部３２３を介してクライアント装置１０１からアクセス権要求メッセージを受信し、ロール・ポリシー記憶領域３１９上のロール情報とポリシー情報に基づき、ポリシー施行点１０４のアクセス権を決定し、送受信部３２３を介してクライアント装置１０１にアクセス権応答メッセージを送信する処理部である。ここで決定したアクセス権の内容は、アクセス権付与状況記憶領域３２２に格納され、例えば、クライアント装置１０１からの要求に基づいて、アクセス権の付与状況が、クライアント装置１０１の入出力部２１０に表示される。
【００５１】
アクセス権追加処理部３１２は、アクセス権処理部３１１から呼び出され、送受信部３２３を介してポリシー施行点１０４にアクセス権追加要求メッセージを送信し、送受信部３２３を介してポリシー施行点１０４からアクセス権追加応答メッセージを受信する処理部である。
【００５２】
アクセス権削除処理部３１３は、アクセス権処理部３１１から呼び出され、送受信部３２３を介してポリシー施行点１０４にアクセス権削除要求メッセージを送信し、送受信部３２３を介してポリシー施行点１０４からアクセス権削除応答メッセージを受信する処理部である。アクセス権の追加や削除は人手の指示に基づいて行なわれる。
【００５３】
次に、符号３１４は記憶部であり、システム構成記憶領域３１５、クラス記憶領域３１６、インスタンス記憶領域３１７、ポリシー施行点情報記憶領域３１８、ロール・ポリシー記憶領域３１９、アクセス権モデル記憶領域３２０、制約条件記憶領域３２１、アクセス権付与状況記憶領域３２２から構成されている。
【００５４】
（ポリシー定義点の各記憶領域）
システム構成記憶領域３１５は、本実施例のシステム構成情報を記憶する領域である。
【００５５】
クラス記憶領域３１６は、ポリシー施行点１０４のクラス情報を記憶する領域である。
【００５６】
インスタンス記憶領域３１７は、ポリシー施行点１０４のインスタンス情報を記憶する領域である。
【００５７】
ポリシー施行点情報記憶領域３１８は、ポリシー施行点１０４の情報を記憶する領域である。
【００５８】
ロール・ポリシー記憶領域３１９は、ＲＢＡＣで定義されたロール情報とポリシー施行点１０４のポリシー情報を記憶する領域である。
【００５９】
アクセス権モデル記憶領域３２０は、アクセス権モデル化情報を記憶する領域である。
【００６０】
制約条件記憶領域３２１は、制約条件を記憶する領域である。アクセス権付与状況記憶領域３２２は、アクセス権付与状況を記憶する領域である。
【００６１】
次に、送受信部３２３は、ネットワーク１０２を介して情報の送受信を行う処理部である。
【００６２】
図４は、本実施例におけるポリシー施行点１０４の機能構成の例である。
【００６３】
ポリシー施行点１０４は、制御部４０１、及び、ネットワーク１０２に接続された送受信部４０５を有する。
【００６４】
制御部４０１は、アクセス権追加処理部４０２、アクセス権削除処理部４０３、操作処理部４０４から構成されている。
【００６５】
アクセス権追加処理部４０２は、送受信部４０５を介してポリシー定義点１０３からアクセス権追加要求メッセージを受信し、送受信部４０５を介してポリシー定義点１０３からアクセス権追加応答メッセージを送信する処理部である。
【００６６】
アクセス権削除処理部４０３は、送受信部４０５を介してポリシー定義点１０３からアクセス権削除要求メッセージを受信し、送受信部４０５を介してポリシー定義点１０３からアクセス権削除応答メッセージを送信する処理部である。
【００６７】
操作処理部４０４は、送受信部４０５を介してクライアント装置１０１から操作要求メッセージを受信し、送受信部４０５を介してクライアント装置１０１から操作応答メッセージを送信する処理部である。
【００６８】
送受信部４０５は、ネットワーク１０２を介して情報の送受信を行う処理部である。
【００６９】
図５は、本実施例における装置のハードウェア構成図の例である。図５に示したハードウェア構成は、図１に示したクライアント装置１０１、ポリシー定義点１０３、及びポリシー施行点１０４のそれぞれにおけるハードウェアの構成を示したものである。
【００７０】
図５において、コンピュータ５０１は、ＣＰＵ５０２、メモリ５０３、外部記憶装置５０４、送受信装置５０５、出力装置５０６、入力装置５０７から構成されている。各装置の処理部はプログラムとして外部記憶装置５０４に記憶され、メモリ５０３にロードされて、ＣＰＵ５０２により実行される。また、記憶部内の記憶領域としてはメモリ５０３、または外部記憶装置５０４が利用される。各装置の送受信部は送受信装置５０５により実現される。各装置の入出力部は出力装置５０６、及び入力装置５０７により実現される。
【００７１】
特に、ＣＰＵ５０２とメモリ５０３は、クライアント装置１０１、ポリシー定義点１０３、及びポリシー施行点１０４のそれぞれにおける制御部に対応し、図２、図３、及び図４に示した制御部内の各処理部は、プログラムとしてメモリ５０３に格納され、ＣＰＵ５０２によって実行される。図３の記憶部３１４は、図５に示した外部記憶装置５０４である。図５の送受信装置５０５は、図２、図３、及び図４の各送受信部であり、図１に示したネットワーク１０２に接続されている。また、図５の出力装置５０６及び入力装置５０７は、図２の入出力部２１０である。
【００７２】
（各種情報を用いた処理手順）
図６から図１４を用いて、本システムにおいて初期状態からポリシーを定義する際にクライアント装置１０１、ポリシー定義点１０３、ポリシー施行点１０４が実行する一連の処理の例について説明する。
【００７３】
図６は、本実施例におけるポリシー定義処理のシーケンス図の例である。
【００７４】
（（１）システム構成情報の設定）
本実施例では最初にポリシー定義点１０３にシステム構成情報を提供する。そのため、まずクライアント装置１０１はポリシー定義点１０３にシステム構成設定要求メッセージ６０１を送信する。システム構成設定要求メッセージ６０１の例は図７に示す。システム構成設定要求メッセージ６０１はポリシー施行点１０４、ネットワーク１０２、ネットワークのトポロジ（構成情報）７０１のパラメータから構成される。図７の例では、ポリシー施行点１０４がＬＵ［１］やハイパバイザ［１］など、ネットワーク１０２がＮＷ［１］など、トポロジ７０１がＬＵ［１］−ＬＵ［２］−ハイパバイザ［１］などになっている。
【００７５】
図６に戻って、次にポリシー定義点１０３のシステム構成設定処理部３０２はシステム構成設定６０２を行う。システム構成設定６０２は、システム構成設定要求メッセージ６０１からポリシー施行点１０４、ネットワーク１０２、トポロジ７０１の情報を取得し、該情報をシステム構成記憶領域３１５に格納する。そして、ポリシー定義点１０３はクライアント装置１０１にシステム構成設定応答メッセージ６０３を送信する。システム構成設定応答メッセージ６０３はシステム構成設定６０２の実行結果のパラメータから構成されており、実行結果は真理値により表現される。例えば、実行結果が成功であれば「１」を設定し、失敗であれば「０」を設定する。
【００７６】
このように本実施例では、ポリシー施行点１０４、ネットワーク１０２、トポロジ７０１などのシステム構成情報をユーザがポリシー定義点１０３に提供するが、ポリシー定義点１０３がポートスキャン（各ポートについて使用／未使用などの状態を調べること）などの方法でポリシー施行点１０４を特定し、自動的にシステム構成情報を構築してもよい。また、統合管理装置などからシステム構成情報を取得してもよい。
【００７７】
（（２）クラスタリング）
次に本実施例では、ポリシー定義点１０３のクラスタリング処理３０３が、システム構成情報を基にポリシー施行点１０４とネットワーク１０２をクラスタリングする。即ち、構成要素の種類又は接続関係によって構成要素をグループ分けする。
【００７８】
（（２−１）クラスタリング要求メッセージの解析）
そのため、まずクライアント装置１０１はポリシー定義点１０３のクラスタリング処理部３０３にクラスタリング要求メッセージ６０４を送信する。クラスタリング要求メッセージ６０４の例は図８に示す。クラスタリング要求メッセージ６０４はクラス８０１、インスタンス８０２のパラメータから構成されている。図８の例では、Ｃｌａｓｓ＿ＬＵ［１］、Ｃｌａｓｓ＿ハイパバイザ［１］、Ｃｌａｓｓ＿ＮＷ［１］などをクラス８０１としており、ポリシー施行点１０４がインスタンス８０２となり、いずれかのクラス８０１に重複なく包含されている。即ち、複数のポリシー施行点１０４のそれぞれは、人手によって、何れかのクラスに分類される。
【００７９】
（（２−２）クラスとインスタンスの分類）
図９には、本実施例におけるクラスとインスタンスの例を示す。本実施例ではポリシー施行点１０４の機能やアクセス機構が同一のものを同一のクラスとする。これらのクラス分けは、人手によって行なわれる。また、クラス８０１とクラス８０１を繋ぐネットワーク１０２のインスタンス８０２が複数存在する場合、そのインスタンス８０２群をクラス８０１にする。図９の例では、ＬＵ［１］、ＬＵ［２］、ＬＵ［ｘ］が同一の機能・アクセス機構を有しているため、クラス８０１＿１としており、クラス８０１＿１とクラス８０１＿ｋを繋ぐネットワーク１０２＿１とネットワーク１０２＿ｍをクラス８０１＿ｋ＋１としている。
【００８０】
（（２−３）クラス及びインスタンスの情報の格納）
図６に戻って、次にポリシー定義点１０３は以下のようにクラスタリング６０５を行う。
【００８１】
クラスタリング６０５はクラスタリング処理部３０３が行い、クラスタリング要求メッセージ６０４からクラス８０１、インスタンス８０２の情報を取得し、クラス８０１をクラス記憶領域３１６に格納し、インスタンス８０２をインスタンス記憶領域３１７に格納する。そしてポリシー定義点１０３はクライアント装置１０１にクラスタリング応答メッセージ６０６を送信する。クラスタリング応答メッセージ６０６はクラスタリング６０５の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【００８２】
このように本実施例では、ユーザがクラスタリングを実行し、クラスタリングした結果をポリシー定義点１０３に提供しているが、ポリシー施行点１０４の情報から機能・アクセス機構の同一性を判定し、クラスタリング手法によりクラスタリングしてもよい。
【００８３】
（（３）ポリシー施行点の詳細情報のポリシー定義点への設定）
（（３−１）ポリシー施行点情報設定の要求）
次に、本実施例では、ポリシー定義点１０３にポリシー施行点１０４の詳細な情報を提供する。そのため、まずクライアント装置１０１はポリシー定義点１０３にポリシー施行点情報設定要求メッセージ６０７を送信する。
【００８４】
ポリシー施行点情報設定要求メッセージ６０７の例を図１０に示す。ポリシー施行点情報設定要求メッセージ６０７はクラス８０１、機能１００１、関連クラス１００２、アクセス制御機構１００３のパラメータから構成される。アクセス制御機構１００３には、各ポリシー施行点にアクセスするための手段に関する情報が格納されている。
【００８５】
関連クラス１００２は機能１００１が実行されることで影響を受けるクラス８０１を意味する。図１０の例では、Ｃｌａｓｓ＿ハイパバイザ［１］の機能１００１が仮想マシン作成などになっており、Ｃｌａｓｓ＿ハイパバイザ［１］のアクセス制御機構１００３がＲＢＡＣ制限機構などになっている。図１０の例のようにクラスによっては、機能１００１、関連クラス１００２、アクセス制御機構１００３がない場合もある。
【００８６】
（（３−２）ポリシー施行点情報の格納）
図６に戻って、次にポリシー定義点１０３のポリシー施行点情報設定処理部３０４は、ポリシー施行点情報設定６０８を行う。ポリシー施行点情報設定６０８はポリシー施行点情報設定処理部３０４が行い、ポリシー施行点情報設定要求メッセージ６０７から機能１００１、アクセス制御機構１００３の情報を取得し、該情報をポリシー施行点情報記憶領域３１８に格納する。そして、ポリシー定義点１０３はクライアント装置１０１にポリシー施行点情報設定応答メッセージ６０９を送信する。ポリシー施行点情報設定応答メッセージ６０９はポリシー施行点情報設定６０８の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【００８７】
（（４）ポリシー定義点のロール設計）
次に本実施例では、ロールの設計を行う。
【００８８】
（（４−１）ロール設計の要求）
そのため、まずクライアント装置１０１はポリシー定義点１０３にロール設計要求メッセージ６１０を送信する。ロール設計要求メッセージ６１０の例を図１１に示す。このメッセージはロール階層構造に対して、クラス又はインスタンスを設定することを要求するメッセージである。
【００８９】
ロール設計要求メッセージ６１０はロール１１０１、上位ロール１１０２、許可機能１１０３、許可インスタンス１１０４、属性１１０５のパラメータから構成される。図１１の例では、（ロール１１０１，上位ロール１１０２，許可機能１１０３、許可インスタンス１１０４、属性１１０５）が（“Ａ社担当“、“サーバ担当“、なし、“ハイパバイザ［１］“・・・、“インスタンス“）などになっている。
【００９０】
図１２には、本実施例におけるロール階層構造の例を示す。図１２は、上位の階層（上位ロール）１１０５ａ及び下位の階層（下位ロール又はインスタンス）１１０５ｂからなる階層構造を示している。ロール１１０１はユーザによって任意に命名され、上位ロール１１０５ａに存在するロール１１０１が下位の階層１１０５ｂにある下位ロール又はインスタンスを指定することでロールの階層構造が構成される。ロール１１０１は“クラス”又は“インスタンス”の２種類の属性のいずれかを有し（ロールの階層構造のうち、上位のものがクラスであり、下位のものがインスタンスであり、全体が木構造をなす）、“クラス” 属性のロール１１０１には、ユーザが実行許可する機能、例えば仮想マシン作成１００１のような機能を許可機能１１０３として割り当て、上位ロール１１０５ａとして“インスタンス”属性のロール１１０１のような下位の階層をとる（割り当てる）ことはできない。“インスタンス” 属性のロール１１０１にはユーザが操作許可するインスタンス８０２を許可インスタンス１１０４として割り当て、上位ロール１１０５ａは必ず指定しなければならない。
【００９１】
（（４−２）ロール設計要求に含まれる情報の格納）
図６に戻って、次にポリシー定義点１０３はロール設計６１１を行う。ロール設計６１１はロール設計処理部３０５が行い、ロール設計要求メッセージ６１０からロール１１０１、上位ロール１１０２、許可機能１１０３、許可インスタンス１１０４、属性１１０５の情報を取得し、該情報をロール・ポリシー記憶領域３１９に格納する。そしてポリシー定義点１０３はクライアント装置１０１にロール設計応答メッセージ６１２を送信する。ロール設計応答メッセージ６１２はロール設計６１１の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【００９２】
このように本実施例では、ロールを階層構造で構築し、各ロールに、階層に応じた属性を付与してロール設計を行っているが、ロール設計は該実施形態に限定されるものではなく、ＮＩＳＴ（National Institute of Standards and Technology）が提案する標準的なロール設計などでもよい。
【００９３】
（（５）アクセス権のモデル化）
次に、本実施例では、ポリシー定義点１０３に与えられたクラス８０１や機能１００１からポリシー定義に必要な中間データ（後述するアクセス権マトリクス１３０２）を生成するため、アクセス権のモデル化を行う。
【００９４】
（（５−１）アクセス権マトリクスの生成）
そのため、まずクライアント装置１０１はポリシー定義点１０３のアクセス権モデル化処理部３０６にアクセス権モデル化要求メッセージ６１３を送信する。アクセス権モデル化要求メッセージ６１３はポリシー定義点１０３にアクセス権モデル化６１４を実行させるために送信されるメッセージであり、パラメータがないメッセージである。
【００９５】
次に、ポリシー定義点１０３は“クラス” 属性のロール１１０１それぞれに対しアクセス権モデル化６１４を行う。アクセス権モデル化６１４はアクセス権モデル化処理部３０６が行う。
【００９６】
本実施例におけるアクセス権モデル化６１４の例を図１３に示す。まずクラス記憶領域３１６上のクラス８０１情報とポリシー施行点情報記憶領域３１８上の機能１００１からアクセス権マトリクス１３０１を生成する。図１３のようにアクセス権マトリクス１３０１はアクセス元１３０２、アクセス先１３０４を列として持ち、主体１３０３、機能１００１を行として持つ。アクセス権マトリクス１３０１の要素は２値の値であり、アクセス権マトリクス１３０１生成時は全て“０”である。
【００９７】
（（５−２）アクセス権のプロット）
次に、ロール・ポリシー記憶領域３１９上のロール１１０１に対する許可機能１１０３とポリシー施行点情報記憶領域３１８上の機能１００１と関連クラス１００２からロール１１０１に必要なアクセス権をプロット（パラメータの設定）する。例えば、“サーバ担当”のロール１１０１に対してアクセス権モデル化６１４を実行する場合、“サーバ担当”のロール１１０１は“仮想マシン作成”の許可機能１１０３を有しており、“仮想マシン作成”の機能１００１は関連クラス１００２として“Ｃｌａｓｓ＿ＬＵ［１］”を有しているため、アクセス権マトリクス１３０１上では、アクセス元１３０２ “Ｃｌａｓｓ＿ハイパバイザ［１］”、主体１３０３ “Ｃｌａｓｓ＿ＬＵ［１］” 機能１００１“なし”の要素と主体１３０３ “Ｃｌａｓｓ＿ハイパバイザ［１］”、アクセス先１３０４ “Ｃｌａｓｓ＿ＬＵ［１］” 機能１００１“仮想マシン作成”の要素が１にインクリメントされる。即ち、所定の要素のフラグが、「権限なし」を示す「０」から、「権限あり」を示す「１」に設定される。
【００９８】
このような処理をサーバ担当”のロール１１０１が有する許可機能１１０３全てに対して行う。そして、アクセス権マトリクス１３０１をアクセス権モデル記憶領域３２０に格納する。上記のアクセス権モデル化処理を“クラス” 属性のロール１１０１の数だけ反復し、“クラス” 属性のロール１１０１の数だけアクセス権マトリクス１３０１を生成する。
【００９９】
そして、ポリシー定義点１０３はクライアント装置１０１にアクセス権モデル化要求メッセージ６１５を送信する。アクセス権モデル化要求メッセージ６１５はアクセス権モデル化６１４の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【０１００】
（（６）クラスのポリシー定義）
次に本実施例では、“クラス” 属性のロール１１０１それぞれに対しポリシー施行点１０４のポリシー定義を行う。
【０１０１】
そのため、まずクライアント装置１０１はポリシー定義点１０３にポリシー定義要求メッセージ６１６を送信する。ポリシー定義要求メッセージ６１６はポリシー定義点１０３に一連のポリシー定義処理を実行させるために送信されるメッセージであり、パラメータがないメッセージである。
【０１０２】
（（６−１）制約条件の設定）
次に、ポリシー定義点１０３はポリシー定義処理部３０７により一連のポリシー定義処理を実行する。まず、ポリシー定義処理部３０７は制約条件設定６１７を行う。制約条件設定６１７は制約条件設定部３０８が行い、クラス記憶領域３１６上のネットワークに関するクラス８０１からアクセス権マトリクス１３０１の各レコードにおいて、人手により、アクセス元１３０２、アクセス先１３０４と成り得るクラス８０１を制約とする操作を行う。
【０１０３】
また、ポリシー施行点情報記憶領域３１８上のアクセス制御機構１００３に基づいて、ポリシー施行点１０４におけるアクセス権設定がアクセス権マトリクス１３０１上でアクセス権担保領域を制約とする。なお、本実施例ではアクセス権設定のアクセス権担保領域については事前に設計できているものとしている。さらに、“ポリシー施行点１０４におけるアクセス権設定の数が少ない方がよい”など普遍的な性質を弱い制約条件とする。制約条件は制約条件記憶領域３２１に格納される。
【０１０４】
（（６−２）制約プログラミングの実行）
次に、ポリシー定義処理部３０７は、アクセス権マトリクス１３０１全体について以下のように制約プログラミング６１８を行う。
【０１０５】
制約プログラミング６１８は制約プログラミング処理部３０９が行い、アクセス権マトリクス１３０１上でインクリメントされた要素全てを包含するようなポリシー施行点１０４におけるアクセス権設定を探索する。そして、ロール１１０１毎に制約プログラミング６１８により求まったアクセス権設定と各アクセス権設定のアクセス権担保領域をロール・ポリシー記憶領域３１９に格納する。
【０１０６】
（（６−３）インスタンス拡張）
次に、ポリシー定義処理部３０７はインスタンス拡張６１９を行う。即ち、下位のインスタンスに対してもアクセス権を設定できるようにする。
【０１０７】
インスタンス拡張６１９はインスタンス拡張処理部３１０が行い、“クラス” 属性のロール１１０１毎に生成されたアクセス権マトリクス１３０１を下位の“インスタンス”属性のロール１１０１の数だけ複製し、“インスタンス”属性のロール１１０１毎にアクセス権マトリクス１３０１上でアクセス元１３０２、主体１３０３、アクセス先１３０４のクラス８０１をインスタンス８０２に拡張する。
【０１０８】
インスタンス拡張６１９の結果を図１４に示す。図１４の例では、クラス８０１ “Ｃｌａｓｓ＿ＬＵ［１］”をインスタンス８０２“ＬＵ［１］”、“ＬＵ［２］”に拡張している。アクセス権マトリクス１３０１の要素の値はインスタンス拡張６１９前の値を継承し、ロール・ポリシー記憶領域３１９上の許可インスタンス１１０４に含まれないインスタンス８０２をデクリメントする。そして、インスタンス拡張６１９を実行したアクセス権マトリクス１３０１をアクセス権モデル記憶領域３２０に格納する。
【０１０９】
（（７）アクセス権担保領域における制約プログラミングの実行）
次にポリシー定義処理部３０７は、ポリシー定義処理部３０７はアクセス権担保領域（インスタンス拡張領域）毎に、上記の制約プログラミング６１８余同様な制約プログラミング６２０を行う。制約プログラミング６２０は制約プログラミング処理部３０９が行い、インスタンス拡張６１９によりアクセス権担保領域が拡大したアクセス権担保領域が対象となる。アクセス権担保領域に対応するアクセス権設定を見直すため、アクセス権担保領域内において最適なアクセス権設定（制約条件の制約の項目を満たしているアクセス権の設定）を探索し、ロール・ポリシー記憶領域３１９に格納する。
【０１１０】
そして、ポリシー定義点１０３はクライアント装置１０１にポリシー定義応答メッセージ６２１を送信する。ポリシー定義応答メッセージ６２１はポリシー定義処理の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【０１１１】
このように本実施例では、システムのトポロジ、ポリシー施行点１０４のアクセス制御機構を制約条件として制約プログラミングによりロール設計に基づいたポリシー施行点１０４のアクセス権設定を探索する。なお、本実施例で挙げた制約条件は例であり、非限定的なものである。
【０１１２】
本実施例では、ポリシー定義処理以前にクラスタリングによってロールとシステム構成をクラスレベルに抽象化し、ポリシー定義処理においてクラスレベルの制約プログラミングによるアクセス権設定探索とインスタンスレベルの制約プログラミングによるアクセス権設定探索を実行している。クラスとインスタンスに分けてアクセス権設定探索することで、制約プログラミングの計算が発散するリスクを低減する効果がある。即ち、アクセス権の設定対象をクラスとインスタンスに分けることで、制約プログラミングの計算の対象を限定できる。
【０１１３】
また、クラスとインスタンスに分けることで、制約プログラミングにおいて、クラスやインスタンスに対応付けられた制約条件を、クラスやインスタンスの内容が若干変更された場合でもそのまま継承でき、インスタンスレベルの制約プログラミングを部分問題として探索することができる。
【０１１４】
近年、仮想化技術の進歩によりインスタンス生成・削除の機会は増大しており、インスタンスレベルの制約プログラミングを部分問題とすることで、再計算のコストを低減する効果がある。
【０１１５】
以上が本システムにおいて初期状態からポリシーを定義する際にクライアント装置１０１、ポリシー定義点１０３、ポリシー施行点１０４が実行する一連の処理の例である。
【０１１６】
（一連の処理の具体例）
図１５から図１６を用いて、本システムにおいてシステムの操作認可をする際にクライアント装置１０１、ポリシー定義点１０３、ポリシー施行点１０４が実行する一連の処理の例について説明する。
【０１１７】
（（１）アクセス権の要求）
図１５は本実施例における操作認可処理のシーケンス図の例である。本実施例では最初にポリシー定義点１０３がポリシー施行点１０４にアクセス権を設定する。そのため、まずクライアント装置１０１はポリシー定義点１０３にアクセス権要求メッセージ１５０１を送信する。アクセス権要求メッセージ１５０１はユーザがアクセスを希望するロール１１０１、アクセス時間のパラメータから構成されている。
【０１１８】
（（２）アクセス権の設定）
次に、ポリシー定義点１０３はアクセス権設定処理を行う。アクセス権設定処理はアクセス権追加処理部３１２で実行され、全てのポリシー施行点１０４に対してアクセス権追加メッセージ１５０２を送信する。
【０１１９】
アクセス権追加要求メッセージ１５０２の例を図１６に示す。アクセス権追加要求メッセージ１５０２はアクセス権設定１６０１のパラメータから構成されている。アクセス権設定１６０１はロール・ポリシー記憶領域３１９上からユーザがアクセスを希望するロール１１０１に該当するアクセス権設定値を取得する。
【０１２０】
次にポリシー施行点１０４はアクセス権追加１５０３を行う。アクセス権追加１５０３はアクセス権追加処理部４０２で実行され、ポリシー施行点１０４において、アクセス権設定１６０１に基づいてアクセス権を追加する。そして、ポリシー施行点１０４はポリシー定義点１０３にアクセス権追加応答メッセージ１５０４を送信する。アクセス権追加応答メッセージ１５０４はアクセス権追加１５０３の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【０１２１】
上記のようなアクセス権設定処理を全てのポリシー施行点１０４に対して反復処理する。ユーザがアクセスを希望するロール１１０１に該当するアクセス権設定１６０１が存在しないポリシー施行点１０４に関しては本処理を省略してもよい。
【０１２２】
（（３）アクセス権設定の完了）
次に、ポリシー定義点１０３はクライアント装置１０１にアクセス権応答メッセージ１５０５を送信する。アクセス権応答メッセージ１５０５はアクセス権設定処理の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【０１２３】
（（４）操作要求）
次に、本実施例では、ポリシー施行点１０４において操作を実行する。そのため、クライアント装置１０１はユーザが実行したい操作毎にポリシー施行点１０４に操作要求メッセージ１５０６を送信する。操作要求メッセージ１５０６はポリシー施行点１０４に操作を実行させるために送信されるメッセージであり、パラメータがないメッセージである。
【０１２４】
次に、ポリシー施行点１０４は、操作１５０７を実行する。操作１５０７は操作処理部４０４で実行され、ユーザの希望に従い、機能１００１のいずれかが実行される。そして、ポリシー施行点１０４はクライアント装置１０１に操作応答メッセージ１５０８を送信する。操作応答メッセージ１５０８はアクセス権設定処理の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【０１２５】
（（５）アクセス権の削除）
次に、本実施例では、アクセス権が設定されたポリシー施行点１０４（装置などのリソース）を使用後に開放するため、追加したアクセス権の削除を行う。そのため、ポリシー定義点１０３はアクセス権削除処理を実行する。アクセス権削除処理は、アクセス権追加処理後、アクセス権追加要求メッセージ１５０２中のアクセス時間が経過した際に、アクセス権削除処理部４０３において実行される。アクセス権削除処理では、アクセス権を設定した全てのポリシー施行点１０４に対して、アクセス権削除要求メッセージ１５０９を送信する。アクセス権削除要求メッセージ１５０９は、アクセス権設定１６０１を削除するパラメータから構成されている。一方、アクセス権設定１６０１は、ロール・ポリシー記憶領域３１９上からユーザがアクセスを希望する新たなロール１１０１に該当するアクセス権設定値を取得する。
【０１２６】
次に、パラメータでアクセス権削除の対処として指定されたポリシー施行点１０４は、アクセス権削除１５１０を実行する。アクセス権削除１５１０はアクセス権削除処理部４０３で実行され、アクセス権削除要求メッセージ１５０９上のアクセス権設定１６０１を削除するパラメータに基づいてアクセス権を削除する。そして、ポリシー施行点１０４はアクセス権削除応答メッセージ１５１１をポリシー定義点１０３に送信する。アクセス権削除応答メッセージ１５１１はアクセス権削除１５１０の実行結果のパラメータから構成されており、実行結果は真理値により表現される。
【０１２７】
アクセス権の追加と削除を繰り返す際に、各ポリシー施行点１０４における処理の継続に必要な情報が必要に応じて保持される。例えば、(1)最初、ロールＡでポリシー施行点αにアクセス権を追加し、その後削除し、(2)ロールＢでポリシー施行点αにアクセス権を追加し、その後削除し、再び、(3)ロールＡでポリシー施行点αにアクセス権を追加するような場合、(2)のロールＢの実行中であっても。(1)のロールＡで実行していた時の情報を保持しておかないと、(3)のロールＡを再開した時に情報の一貫性が保たれない。
【０１２８】
（他の実施例）
このように本実施例では、ユーザが操作要求する毎にポリシー施行点１０４のアクセス権を実行する。
【０１２９】
一般的に、ロール設計の段階で同時実行してはならない操作を１つのロールに対して与える事態を回避するが、１人に複数のロールが割り当てられた場合、同時実行してはならない操作の権限を両方有してしまう場合がある。そのため、全てのロールに対して事前にアクセス権を静的に与える方法だと、同時実行してはならない操作を同時に実行してしまうリスクが高くなり、好ましくない。そこで、本実施例のようにアクセス権を動的に付与することによって、該リスクを低減し、責任分離を容易にする効果がある。即ち、上記の（１）〜（５）の一連の処理（各ポリシー施行点に対するアクセス権の追加と削除）を動的に行うことにより、１つのポリシー施行点１０４（リソース）に対して一時的に操作の権限を与えることができる。
【０１３０】
また、本実施例では、ユーザが指定するアクセス時間を基にアクセス権削除のタイミングを決定しているが、ポリシー定義点１０３がブロードキャストによりポリシー施行点１０４に問い合わせ、操作終了を確認してアクセス権を削除するなどでもよい。
【０１３１】
なお、本発明は上記した実施例に限定されるものではなく、様々な変形例が含まれる。例えば、上記した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施例の構成の一部を他の実施例の構成に置き換えることが可能であり、また、ある実施例の構成に他の実施例の構成を加えることも可能である。また、各実施例の構成の一部について、他の構成の追加・削除・置換をすることが可能である。
【０１３２】
また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等によりハードウェアで実現してもよい。また、上記の各構成、機能等は、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリや、ハードディスク、ＳＳＤ(Solid State Drive)等の記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に置くことができる。
【０１３３】
また、制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には殆ど全ての構成が相互に接続されていると考えてもよい。
【符号の説明】
【０１３４】
１０１：クライアント装置、１０２：ネットワーク、１０３：ポリシー定義点、１０４＿１、１０４＿ｎ：ポリシー施行点、２０１、３０１、４０１：制御部、３１４：記憶部、２１１：入出力部、２１１、３２３、４０５：送受信部、５０１：コンピュータ、５０２：ＣＰＵ、５０３：メモリ、５０４：外部記憶装置、５０５：送受信装置、５０６：出力装置、５０７：入力装置
【図１】
2015087944.tif 000003
【図２】
2015087944.tif 000004
【図３】
2015087944.tif 000005
【図４】
2015087944.tif 000006
【図５】
2015087944.tif 000007
【図６】
2015087944.tif 000008
【図７】
2015087944.tif 000009
【図８】
2015087944.tif 000010
【図９】
2015087944.tif 000011
【図１０】
2015087944.tif 000012
【図１１】
2015087944.tif 000013
【図１２】
2015087944.tif 000014
【図１３】
2015087944.tif 000015
【図１４】
2015087944.tif 000016
【図１５】
2015087944.tif 000017
【図１６】
2015087944.tif 000018