(57)【特許請求の範囲】
【請求項１】
処理を実行する処理実行手段と、
ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段と、
前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段と、
を有し、
前記制御手段は、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報である場合、前記処理に関するセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、
情報処理装置。
【請求項２】
前記制御手段は、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報である場合、前記処理の対象となっているデータのセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、
ことを特徴とする請求項１に記載の情報処理装置。
【請求項３】
処理を実行する処理実行手段と、
ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段と、
前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段と、
を有し、
前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報であり、かつ、実行中の前記処理が介入事象の発生によって停止した場合、前記制御手段は、前記介入事象にて実施される内容のセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、
情報処理装置。
【請求項４】
前記ログインセッション情報によってユーザの操作を制御する場合において、前記ログインセッション情報が無効になっている場合、前記制御手段は、前記処理の実行を中止する、
ことを特徴とする請求項１から請求項３のいずれか一項に記載の情報処理装置。
【請求項５】
前記制御手段は、実行中の前記処理が停止した場合において、停止した前記処理のセキュリティレベルが閾値以上であり、かつ、前記ログインセッション情報が無効のときは、前記処理の実行を中止し、停止した前記処理のセキュリティレベルが前記閾値未満のときは、前記処理の実行を継続する、
ことを特徴とする請求項４に記載の情報処理装置。
【請求項６】
処理を実行する処理実行手段と、
ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段と、
前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段と、
を有し、
前記ログインセッション情報によってユーザの操作を制御する場合において、前記ログインセッション情報が無効になっている場合、前記制御手段は、前記処理の実行を中止し、
前記制御手段は、実行中の前記処理が停止した場合において、停止した前記処理のセキュリティレベルが閾値以上であり、かつ、前記ログインセッション情報が無効のときは、前記処理の実行を中止し、停止した前記処理のセキュリティレベルが前記閾値未満のときは、前記処理の実行を継続する、
情報処理装置。
【請求項７】
コンピュータを、
処理を実行する処理実行手段、
ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段、
前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段、
として機能させ、
前記制御手段は、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報である場合、前記処理に関するセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、
プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置及びプログラムに関する。
【背景技術】
【０００２】
画像形成装置のように複数のユーザによって利用されることが想定される装置では、セキュリティを確保するために、ユーザに固有の固有アカウント情報を用いてユーザが識別される場合がある。固有アカウント情報を用いることにより、個々のユーザが区別されて識別される。一方で、固有アカウント情報を用いた運用では煩雑な面もあるため、複数のユーザに共通する共有アカウント情報を用いてユーザが識別される場合がある。
【０００３】
特許文献１に記載のシステムにおいては、複数のユーザに共通する汎用ユーザ識別情報を用いてユーザがログインした場合、汎用ユーザ識別情報に対応付けられ、かつ、ユーザ端末の識別情報とは異なる識別情報に対応付けられたデータが、メモリに保管されているか否かが判断される。
【０００４】
特許文献２に記載のシステムにおいては、１回目のログイン時にセッション鍵が生成され、２回目のログイン時にはそのセッション鍵を用いてログインが行われる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００５−１３５３２７号公報
【特許文献２】特開２００８−１７６６５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、共有アカウント情報を用いてユーザを識別する場合、個々のユーザは区別されずに識別されるため、扱われる情報等に対するセキュリティが低下することがある。
【０００７】
本発明の目的は、固有ユーザ識別情報が用いられない場合において、常に共有ユーザ識別情報を用いてユーザの操作を制御する場合と比較して、セキュリティの低下を防止又は抑制することにある。
【課題を解決するための手段】
【０００８】
請求項１に係る発明は、処理を実行する処理実行手段と、ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段と、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段と、を有し、前記制御手段は、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報である場合、前記処理に関するセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、情報処理装置である。
【００１０】
請求項２に係る発明は、前記制御手段は、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報である場合、前記処理の対象となっているデータのセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、ことを特徴とする請求項１に記載の情報処理装置である。
【００１１】
請求項３に係る発明は、処理を実行する処理実行手段と、ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段と、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段と、を有し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報であり、かつ、実行中の前記処理が介入事象の発生によって停止した場合、前記制御手段は、前記介入事象にて実施される内容のセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、情報処理装置である。
【００１２】
請求項４に係る発明は、前記ログインセッション情報によってユーザの操作を制御する場合において、前記ログインセッション情報が無効になっている場合、前記制御手段は、前記処理の実行を中止する、ことを特徴とする請求項１から請求項３のいずれか一項に記載の情報処理装置である。
【００１３】
請求項５に係る発明は、前記制御手段は、実行中の前記処理が停止した場合において、停止した前記処理のセキュリティレベルが閾値以上であり、かつ、前記ログインセッション情報が無効のときは、前記処理の実行を中止し、停止した前記処理のセキュリティレベルが前記閾値未満のときは、前記処理の実行を継続する、ことを特徴とする請求項４に記載の情報処理装置である。
請求項６に係る発明は、処理を実行する処理実行手段と、ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段と、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段と、を有し、前記ログインセッション情報によってユーザの操作を制御する場合において、前記ログインセッション情報が無効になっている場合、前記制御手段は、前記処理の実行を中止し、前記制御手段は、実行中の前記処理が停止した場合において、停止した前記処理のセキュリティレベルが閾値以上であり、かつ、前記ログインセッション情報が無効のときは、前記処理の実行を中止し、停止した前記処理のセキュリティレベルが前記閾値未満のときは、前記処理の実行を継続する、情報処理装置である。
【００１４】
請求項７に係る発明は、コンピュータを、処理を実行する処理実行手段、ユーザからのログイン要求に応じて、ユーザがログアウトした場合に無効になるログインセッション情報を生成する生成手段、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、ユーザに固有の固有ユーザ識別情報である場合、前記固有ユーザ識別情報によって前記処理に対するユーザの操作を制御し、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が、複数のユーザに共通する共有ユーザ識別情報である場合、前記ログインセッション情報によって前記処理に対するユーザの操作を制御する制御手段、として機能させ、前記制御手段は、前記処理の実行を指示したユーザに割り当てられたユーザ識別情報が前記共有ユーザ識別情報である場合、前記処理に関するセキュリティレベルに応じて、前記共有ユーザ識別情報又は前記ログインセッション情報のいずれかによって前記処理に対するユーザの操作を制御する、プログラムである。
【発明の効果】
【００１５】
請求項１，２，３，７に係る発明によると、固有ユーザ識別情報が用いられない場合において、常に共有ユーザ識別情報を用いてユーザの操作を制御する場合と比較して、セキュリティの低下が防止又は抑制される。また、不要なアクセス制限が防止される。
【００１７】
請求項４，５，６に係る発明によると、処理に対するセキュリティが確保される。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施形態に係る画像形成システムを示すブロック図である。
【図２】本実施形態に係る画像形成装置を示すブロック図である。
【図３】端末装置を示すブロック図である。
【図４】アカウントの一例を示す図である。
【図５】ジョブ実行時の処理の一例を示すフローチャートである。
【図６】ユーザ識別時の処理の一例を示すフローチャートである。
【図７】ログインセッションの有効性判定処理の一例を示すフローチャートである。
【図８】ログインセッション情報の書き換え処理の一例を示すフローチャートである。
【図９】ログインセッション無効時の処理の一例を示すフローチャートである。
【図１０】具体例１を説明するためのテーブルである。
【図１１】具体例２に係る処理を示すフローチャートである。
【図１２】具体例３に係る処理を示すフローチャートである。
【図１３】具体例４に係る処理を示すフローチャートである。
【発明を実施するための形態】
【００１９】
図１には、本発明の実施形態に係る情報処理システムとしての画像形成システムの一例が示されている。画像形成システムは、例えば、情報処理装置としての画像形成装置１０と端末装置１２とを含む。画像形成装置１０と端末装置１２は、ネットワーク等の通信経路Ｎに接続されている。複数の画像形成装置１０や複数の端末装置１２が、画像形成システムに含まれていてもよい。
【００２０】
画像形成装置１０は、例えば、スキャン機能、プリント機能、コピー機能及びファクシミリ機能の中の少なくとも１つの機能を備えた装置である。また、画像形成装置１０は、他の装置との間でデータを送受信する機能を備えている。以下、画像形成装置１０によって実行される処理を「ジョブ」と称することとする。
【００２１】
端末装置１２は、ＰＣ（パーソナルコンピュータ）、タブレットＰＣ、スマートフォン、携帯電話等の装置であり、他の装置との間でデータを送受信する機能を備えている。端末装置１２は、例えば、ジョブの実行時にユーザによって利用される装置である。
【００２２】
以下、図２を参照して、画像形成装置１０の構成について詳しく説明する。図２には、画像形成装置１０の構成が示されている。
【００２３】
通信部１４は通信インターフェースであり、他の装置にデータを送信する機能、及び、他の装置からデータを受信する機能を備えている。例えば、通信部１４によって、ジョブに関する情報やユーザの認証情報等が受信される。
【００２４】
ジョブ実行部１６は、ジョブを実行する機能を備えている。ジョブは、例えば、画像処理、スキャン処理、プリント処理、コピー処理、ファクシミリ処理、等である。画像処理は、例えば、画像の差分を抽出する処理や文字認識処理等である。スキャン処理は、原稿の画像を読み取ることにより文書データを生成する処理である。プリント処理は、文書を印刷する処理である。コピー処理は文書を複製する処理である。ファクシミリ処理は、文書をファクシミリ送信又はファクシミリ受信する処理である。例えば、スキャン処理が実行されることにより文書データが生成され、その文書データが外部装置に送信されてもよい。別の例として、プリント処理が実行されることにより、画像形成装置１０に格納されている文書データが印刷されてもよい。
【００２５】
記憶部１８はハードディスク等の記憶装置である。記憶部１８には、ジョブを実行するためのジョブ情報が記憶される。ジョブ情報には、設定情報として、ジョブのパラメータ、ジョブの実行によって生成された成果物データの格納先を示す情報、画像処理が適用されるデータを特定するための情報、ジョブの実行を指示したユーザを識別するためのユーザ識別情報（例えばユーザＩＤやユーザ名）、等が含まれる。また、記憶部１８には、ジョブの実行により生成された成果物データが記憶される。
【００２６】
ＵＩ部２０はユーザインターフェースであり、表示部と操作部とを含む。表示部は、例えば液晶ディスプレイ等の表示装置である。操作部は、例えばタッチパネルやキーボード等の入力装置である。
【００２７】
制御部２２は、画像形成装置１０の各部の動作を制御する機能を備えている。また、制御部２２は、ジョブ管理部２４、ログインセッション管理部２６、アカウント種別判定部２８、セキュリティ判定部３０、及び、ユーザ識別部３２を含む。
【００２８】
ジョブ管理部２４は、ジョブを管理する機能を備えている。ジョブ管理部２４は、例えば、ジョブ情報に、後述するアカウント情報やセキュリティ情報等を追加する。
【００２９】
ログインセッション管理部２６は、ユーザが画像形成装置１０にログインしたときに、ログインセッションを識別するためのログインセッション情報（例えばログインセッションＩＤ）を生成する。ログインセッション（ログインセッション情報）は、ログイン時には有効であるが、ユーザがログアウトすると無効になる。つまり、ログインが発生すると、ユーザ又は端末装置１２と画像形成装置１０との間にログインセッションが確立され、ログアウトが発生するとそのログインセッションが破棄される。ログインセッション管理部２６は、ログイン毎に異なるログインセッション情報を生成し、ログインした各ユーザにログインセッション情報を対応付ける。これにより、ログインセッション情報によって、個々のログインによって確立されたログインセッションが区別され、個々のログイン状態（ログインセッション）つまり個々のユーザが識別される。本実施形態では、固有ユーザ識別情報としての固有アカウント情報、又は、共有ユーザ識別情報としての共有アカウント情報、のいずれかを用いることにより、画像形成装置１０へのログインが実現される。固有アカウント情報は、個々のユーザを識別するためのユーザ識別情報（例えば固有アカウントＩＤやパスワード）である。固有アカウント情報は、ユーザに固有のユーザ識別情報であり、個々のユーザ毎に予め作成されて各ユーザに与えられる。固有アカウント情報を用いることにより、個々のユーザが区別されて識別される。共有アカウント情報は、複数のユーザに共通するユーザ識別情報（例えば共有アカウントＩＤやパスワード）である。共有アカウント情報は、予め作成されてユーザに与えられる。共有アカウント情報を用いることにより、個々のユーザは区別されずに一律に識別される。ログインに用いられたアカウント情報が、固有アカウント情報又は共有アカウント情報のいずれの場合であっても、ログインセッション管理部２６はログインセッション情報を生成する。
【００３０】
アカウント種別判定部２８は、ユーザに割り当てられたアカウントの種別を判定する機能を備えている。アカウント種別判定部２８は、例えば、画像形成装置１０へのログイン時やジョブの実行時に、アカウントの種別を判定する。ログインには固有アカウント情報又は共有アカウント情報のいずれかが用いられ、アカウント種別判定部２８は、そのアカウント情報の種別を判定する。
【００３１】
セキュリティ判定部３０は、実行されるジョブ（アプリケーション）のセキュリティレベルを判定する機能を備えている。例えば、ジョブの内容とセキュリティレベルとの対応関係を示す情報が予め作成されて、記憶部１８に記憶されている。セキュリティ判定部３０は、その情報を参照することにより、実行されるジョブのセキュリティレベルを判定する。また、セキュリティ判定部３０は、ジョブの対象となるデータのセキュリティレベルを判定してもよい。データのセキュリティレベルは、例えばユーザによって決定される。データのセキュリティレベルを示す情報は、例えば、データに予め対応付けられており、セキュリティ判定部３０は、その情報を参照することにより、データのセキュリティを判定する。ジョブやデータのセキュリティレベルを示すセキュリティ情報は、ジョブ情報に追加される。
【００３２】
また、セキュリティ判定部３０は、ジョブの実行中に発生した介入事象のセキュリティレベルを判定してもよい。介入事象は、例えば、ユーザによる一時停止要求、処理の途中で行われるプレビュー確認、保存データ名の確認、データ保存先の確認、認証処理、ジョブに対する操作、成果物データに対するアクセス権の設定、用紙切れ、トナー切れ、等である。ジョブの実行中に介入事象が発生すると、ジョブは停止する。介入操作が実行されることにより、介入事象が解消される。介入操作は、例えば、一時停止の解除、プレビューの確認操作、保存データ名の変更操作、データ保存先の変更操作、認証情報の入力、成果物データに対するアクセス権の設定操作、用紙の補充、トナーの補充、等である。例えば、介入事象とセキュリティレベルとの対応関係を示す情報が予め作成されて、記憶部１８に記憶されている。セキュリティ判定部３０は、その情報を参照することにより、発生した介入事象のセキュリティレベルを判定する。
【００３３】
ユーザ識別部３２は、ユーザの識別が必要な場合に、固有アカウント情報、共有アカウント情報、又は、ログインセッション情報のいずれかを用いて、ユーザを識別する機能を備えている。例えば、介入事象が発生した場合に、ユーザの識別が必要となる。ユーザ識別部３２は、例えば、ジョブの実行を指示したユーザに割り当てられたアカウント情報が固有アカウント情報である場合、固有アカウント情報によってユーザを識別し、ユーザに割り当てられたアカウント情報が共有アカウント情報である場合、ジョブ（アプリケーション）、データ又は介入事象の内容のセキュリティレベルに応じて、共有アカウント情報又はログインセッション情報のいずれかによってユーザを識別する。
【００３４】
制御部２２は、ユーザ識別部３２の識別結果に応じて、例えば、ジョブや成果物データに対するユーザの操作を禁止又は許可する。
【００３５】
また、ユーザ識別部３２は、画像形成装置１０へのログイン時にユーザを識別する。ログイン時には、ユーザ識別部３２は、アカウント情報としての固有アカウント情報又は共有アカウント情報のいずれかを受け付け、そのアカウント情報を用いてユーザを識別する。アカウント情報は例えば記憶部１８に記憶されている。もちろん、アカウント情報は外部装置に記憶されていてもよい。ユーザ識別部３２は、ログイン時にアカウント情報を受け付けると、記憶部１８又は外部装置に記憶されているアカウント情報と受け付けられたアカウント情報とを用いて認証処理を行う。ユーザ識別部３２によって受け付けられたアカウント情報に対応するアカウント情報（例えば同一のアカウント情報）が、記憶部１８又は外部装置に記憶されている場合、認証は成功し、ログインが許可される。ユーザ識別部３２によって受け付けられたアカウント情報に対応するアカウント情報が、記憶部１８又は外部装置に記憶されていない場合、認証は失敗し、ログインが禁止される。
【００３６】
ログイン操作は、ＵＩ部２０を利用することにより行われてもよいし、端末装置１２を利用することにより行われてもよい。ＵＩ部２０を利用してログイン操作が行われる場合、ＵＩ部２０を利用してユーザによってアカウント情報が入力される。端末装置１２を利用してログイン操作が行われる場合、端末装置１２を利用してユーザによってアカウント情報が入力され、そのアカウント情報は、端末装置１２から画像形成装置１０に送信される。
【００３７】
以下、図３を参照して、端末装置１２の構成について詳しく説明する。図３には、端末装置１２の構成が示されている。通信部３４は通信インターフェースであり、他の装置にデータを送信する機能、及び、他の装置からデータを受信する機能を備えている。記憶部３６はハードディスク等の記憶装置である。ＵＩ部３８はユーザインターフェースであり、表示部と操作部とを含む。表示部は、例えば液晶ディスプレイ等の表示装置である。操作部は、例えばタッチパネルやキーボード等の入力装置である。制御部４０は、端末装置１２の各部の動作を制御する。
【００３８】
以下、図４を参照してアカウントについて説明する。図４には、アカウントの一例が示されている。
【００３９】
ユーザＡには固有アカウント情報が割り当てられている。その固有アカウントのＩＤは「ＵｓｅｒＡ」である。ユーザＡによるログイン時には、固有アカウント情報（例えば固有アカウントＩＤやパスワード）が用いられる。例えば、ユーザＡがＵＩ部２０を利用して画像形成装置１０にログインした場合、ログインセッションＩＤ「１」が生成される。また、ユーザＡが端末装置１２を利用して画像形成装置１０にログインした場合、ログインセッションＩＤ「２」が生成される。ユーザＡは固有アカウント情報「ＵｓｅｒＡ」によって識別される。
【００４０】
ユーザＢ，Ｃには共有アカウント情報が割り当てられている。その共有アカウントのＩＤは「Ｇｕｅｓｔ」である。ユーザＢ，Ｃのログイン時には、共有アカウント情報（例えば共有アカウントＩＤやパスワード）が用いられる。例えば、ユーザＢがＵＩ部２０又は端末装置１２を利用して画像形成装置１０にログインした場合、ログインセッションＩＤ「３」が生成され、ユーザＣがＵＩ部２０又は端末装置１２を利用して画像形成装置１０にログインした場合、ログインセッションＩＤ「４」が生成される。ユーザＢは、共有アカウント情報又はログインセッションＩＤ「３」によって識別され、ユーザＣは、共有アカウント情報又はログインセッションＩＤ「４」によって識別される。例えば、ユーザＢ，Ｃは、ジョブ（アプリケーション）、データ又は介入事象の内容のセキュリティレベルに応じて、共有アカウント情報「Ｇｕｅｓｔ」又はログインセッションＩＤのいずれかによって識別される。
【００４１】
各ユーザのログインセッションＩＤ（ログインセッション）は、当該ユーザが画像形成装置１０にログイン中であれば有効であるが、当該ユーザが画像形成装置１０からログアウトした場合、無効となる。例えば、ユーザＡがＵＩ部２０を利用して画像形成装置１０からログアウトした場合、ログインセッションＩＤ「１」は無効になり、そのログインセッションＩＤ「１」に対応付けられているログインセッションは無効になる。また、ユーザＡが端末装置１２を利用して画像形成装置１０からログアウトした場合、ログインセッションＩＤ「２」は無効になり、そのログインセッションＩＤ「２」に対応付けられているログインセッションは無効になる。ユーザＢ，ＣのログインセッションＩＤ（ログインセッション）も同様である。このように、ログインセッションＩＤ（ログインセッション）とユーザとは一意に対応付けられており、ユーザが再ログインした場合には、新たなログインセッションが確立され、その新たなログインセッションを識別するための新たなログインセッションＩＤが生成される。
【００４２】
以下、図５を参照して、ジョブ実行時の処理について詳しく説明する。図５には、その処理を示すフローチャートが示されている。一例として、画像形成装置１０のＵＩ部２０を利用してジョブの実行が指示されたものとする。
【００４３】
まず、ユーザはＵＩ部２０を利用してアカウント情報を入力し、画像形成装置１０にログインする（Ｓ０１）。このとき、ユーザに割り当てられているアカウント情報に応じて、固有アカウント情報又は共有アカウント情報がユーザによって入力される。ユーザ識別部３２は、入力されたアカウント情報を用いて認証処理を行う。認証が成功した場合、ログインが許可され、認証が失敗した場合、ログインが禁止される。
【００４４】
ログインが成功した場合、ログインセッション管理部２６は、そのログインセッションを識別するためのログインセッションＩＤを生成する（Ｓ０２）。
【００４５】
次に、ユーザによってアプリケーション等が選択され、ジョブの実行が指示される。ジョブ管理部２４は、そのアプリケーションを実行するためのジョブ情報を生成する（Ｓ０３）。例えば、ＵＩ部２０にアプリケーション選択画面が表示され、その画面上において、ユーザによってアプリケーションが選択される。また、アプリケーションのパラメータ等を含む設定情報がユーザによって入力される。アプリケーションの種類によっては、処理対象のデータがユーザによって選択される。ジョブ管理部２４は、その設定情報等を含むジョブ情報を生成する。なお、端末装置１２が利用される場合、端末装置１２において、ユーザによってアプリケーション等が選択され、端末装置１２にてジョブ情報が生成される。そのジョブ情報は、端末装置１２から画像形成装置１０に送信される。
【００４６】
ジョブ管理部２４は、ジョブの実行を指示したユーザのアカウント情報をジョブ情報に書き込む（Ｓ０４）。アカウント情報が固有アカウント情報である場合、ジョブ情報に固有アカウント情報が書き込まれ、アカウント情報が共有アカウント情報である場合、ジョブ情報に共有アカウント情報が書き込まれる。
【００４７】
次に、アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザに割り当てられているアカウントの種別を判定する（Ｓ０５）。そのアカウントが固有アカウントである場合（Ｓ０５，Ｎｏ）、ジョブ実行部１６は、ジョブ情報に従ってジョブを実行する（Ｓ０６）。
【００４８】
ユーザのアカウントが共有アカウントである場合（Ｓ０５，Ｙｅｓ）、ジョブ管理部２４は、ログインセッションＩＤをジョブ情報に書き込む（Ｓ０７）。
【００４９】
次に、セキュリティ判定部３０は、セキュリティレベルを判定する（Ｓ０８）。セキュリティ判定部３０は、例えば、実行されるジョブ（アプリケーション）のセキュリティレベルを判定する。例えば、アプリケーションとセキュリティレベルとの対応関係を示す情報を参照することにより、セキュリティレベルが判定される。アプリケーションのセキュリティレベルが閾値以上の場合、そのアプリケーションはセキュアに扱われるアプリケーションであると判定され、セキュリティレベルが閾値未満の場合、そのアプリケーションはセキュアに扱われないアプリケーションであると判定される。閾値は例えば予め設定された値である。閾値やユーザや管理者等によって変更されてもよい。例えば、コピー処理は、セキュアに扱う必要のないアプリケーションである。
【００５０】
アプリケーションがセキュアに扱われるアプリケーションである場合（Ｓ０８，Ｙｅｓ）、ジョブ管理部２４は、セキュリティレベルが高いことを示すセキュリティ情報を、ジョブ情報に書き込む（Ｓ０９）。アプリケーションがセキュアに扱われない場合（Ｓ０８，Ｎｏ）、ジョブ管理部２４は、セキュリティレベルが低いことを示すセキュリティ情報を、ジョブ情報に書き込む（Ｓ１０）。次に、ジョブ実行部１６は、ジョブ情報に従ってジョブを実行する（Ｓ０６）。
【００５１】
別の例として、セキュリティ判定部３０は、ユーザによって指定されたセキュリティレベルを判定してもよい。例えば、アプリケーションの対象となるデータのセキュリティレベルがユーザによって予め設定されている場合、セキュリティ判定部３０は、そのデータのセキュリティレベルを判定してもよい。データのセキュリティレベルを示す情報は、例えばデータに対応付けられており、その情報を参照することにより、セキュリティレベルが判定される。データのセキュリティレベルが閾値以上の場合、そのデータはセキュアに扱われるデータであると判定され、セキュリティレベルが閾値未満の場合、そのデータはセキュアに扱われないデータであると判定される。
【００５２】
データがセキュアに扱われる場合（Ｓ０８，Ｙｅｓ）、ジョブ管理部２４は、セキュリティレベルが高いことを示すセキュリティ情報を、ジョブ情報に書き込む（Ｓ０９）。データがセキュアに扱われない場合（Ｓ０８，Ｎｏ）、ジョブ管理部２４は、セキュリティレベルが低いことを示すセキュリティ情報を、ジョブ情報に書き込む（Ｓ１０）。次に、ジョブ実行部１６は、ジョブ情報に従ってジョブを実行する。
【００５３】
また、セキュリティ判定部３０は、アプリケーションのセキュリティレベルが閾値以上であり、かつ、データのセキュリティレベルが閾値以上である場合に、処理がセキュアに扱われると判定し、それ以外の場合に、処理がセキュアに扱われないと判定してもよい。処理がセキュアに扱われると判定された場合、セキュリティレベルが高いことを示すセキュリティ情報が、ジョブ情報に書き込まれる。処理がセキュアに扱われないと判定された場合、セキュリティレベルが低いことを示すセキュリティ情報が、ジョブ情報に書き込まれる。
【００５４】
別の例として、セキュリティ判定部３０は、アプリケーション又はデータのいずれか一方のセキュリティレベルが閾値以上である場合に、処理がセキュアに扱われると判定し、それ以外の場合に、処理がセキュアに扱われないと判定してもよい。
【００５５】
更に別の例として、ユーザの指示を優先させてもよい。この場合、セキュリティ判定部３０は、アプリケーションのセキュリティレベルに関わらず、データのセキュリティレベルに応じて、処理がセキュアに扱われるか否かを判定する。または、アプリケーションの設定を優先させてもよい。この場合、セキュリティ判定部３０は、ユーザの指示に関わらず、アプリケーションのセキュリティに応じて、処理がセキュアに扱われるか否かを判定する。
【００５６】
以下、図６を参照して、ユーザの識別が必要な事象が発生したときの処理について詳しく説明する。図６には、その処理を示すフローチャートが示されている。
【００５７】
ユーザの識別が必要な事象（例えば介入事象等）が発生した場合（Ｓ１１）、アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザに割り当てられているアカウントの種別を判定する（Ｓ１２）。そのアカウントが共有アカウントではなく固有アカウントである場合（Ｓ１２，Ｎｏ）、ユーザ識別部３２は、固有アカウント情報によってユーザを識別する（Ｓ１３）。ユーザ識別部３２は、例えば、ジョブ情報に含まれる固有アカウント情報（ジョブの実行を指示したユーザの固有アカウント情報）と、介入操作を行うユーザのアカウント情報と、を比較する。制御部２２は、両アカウント情報が一致する場合、介入操作を許可し、両アカウント情報が一致しない場合、介入操作を禁止する。
【００５８】
例えば、ジョブの実行を指示したユーザが画像形成装置１０に継続してログインしている場合において、そのログイン状態（つまり、そのログインによって確立されたログインセッション）において介入操作が行われるとき、ジョブ情報に含まれる固有アカウント情報と、介入操作を行うユーザのアカウント情報（固有アカウント情報）と、が一致すると判定され、その介入操作が許可される。また、ジョブの実行を指示したユーザが画像形成装置１０からログアウトした場合であっても、そのユーザが同一の固有アカウント情報を用いて画像形成装置１０にログインして介入操作を行う場合、ジョブ情報に含まれる固有アカウント情報と、介入操作を行うユーザのアカウント情報（固有アカウント情報）と、が一致し、その介入操作が許可される。一方、別のユーザが共有アカウント情報を用いて画像形成装置１０にログインして介入操作を行う場合、ジョブ情報に含まれる固有アカウント情報と、介入操作を行うユーザのアカウント情報（共有アカウント情報）と、が一致せず、その介入操作は禁止される。また、ジョブ情報に含まれる固有アカウント情報とは異なる固有アカウント情報を用いてユーザが画像形成装置１０にログインして介入操作を行う場合、ジョブ情報に含まれる固有アカウント情報と、介入操作を行うユーザのアカウント情報（固有アカウント情報）と、が一致せず、その介入操作は禁止される。
【００５９】
ジョブの実行を指示したユーザに割り当てられているアカウントが共有アカウントである場合（Ｓ１２，Ｙｅｓ）、セキュリティ判定部３０は、介入事象にて実施される内容のセキュリティレベルを判定する（Ｓ１４）。例えば、介入事象とセキュリティレベルとの対応関係を示す情報を参照することにより、セキュリティレベルが判定される。介入事象のセキュリティレベルが閾値以上の場合、その介入事象にて実施される内容はセキュアに扱われる内容であると判定され、セキュリティレベルが閾値未満の場合、その介入事象にて実施される内容はセキュアに扱われない内容であると判定される。
【００６０】
例えば、介入事象の内容、介入事象の発生原因、介入事象の影響の範囲、介入事象に対する操作権限を有する人物、等によって、介入事象にて実施される内容のセキュリティレベルが変わる。
【００６１】
例えば、介入事象の内容や原因に応じてセキュリティレベルが変わる事象として、以下の事象がある。
・セキュアに扱う必要のある成果物データを出力する。
・セキュアに扱う必要のない成果物データを出力する。
・電子メール送信や外部サーバへの成果物データの送信等のように、外部装置に対して成果物データを出力する。
・介入事象の解消方法によって結果や出力先が変わる事象。
【００６２】
また、介入事象の影響の範囲に応じてセキュリティレベルが変わる事象として、以下の事象がある。
・当該ジョブのみに影響を与える介入事象。
・後続の共有アカウントユーザのジョブに影響を与える介入事象。
・後続の全てのジョブに影響を与える介入事象。
【００６３】
また、介入事象に対する操作権限を有する人物として、以下の人物がある。
・ジョブの実行を指示したユーザ。
・共有アカウントユーザ。
・全てのユーザ。
・管理者。
【００６４】
介入事象がセキュアに扱われない場合（Ｓ１４，Ｎｏ）、ユーザ識別部３２は、ジョブ情報に含まれるセキュリティ情報を参照することにより、セキュリティレベルを判定する（Ｓ１５）。セキュリティレベルが低い場合（Ｓ１５，Ｎｏ）、ユーザ識別部３２は、共有アカウント情報によってユーザを識別する（Ｓ１３）。ユーザ識別部３２は、例えば、ジョブ情報に含まれる共有アカウント情報と、介入操作を行うユーザのアカウント情報と、を比較する。制御部２２は、両アカウント情報が一致する場合、介入操作は許可し、両アカウント情報が一致しない場合、介入操作を禁止する。
【００６５】
例えば、ユーザが共有アカウント情報を用いて画像形成装置１０にログインして介入操作を行う場合、ジョブ情報に含まれる共有アカウント情報と、介入操作を行うユーザのアカウント情報（共有アカウント情報）と、が一致し、そのユーザによる介入操作が許可される。
【００６６】
介入事象がセキュアに扱われる場合（Ｓ１４，Ｙｅｓ）、又は、ジョブ情報に含まれるセキュリティ情報が示すセキュリティレベルが高い場合（Ｓ１５，Ｙｅｓ）、ジョブ情報に含まれるログインセッションＩＤの有効性、つまり、そのログインセッションＩＤに対応付けられているログインセッションの有効性が判定される（Ｓ１６）。そのジョブを実行したユーザが画像形成装置１０にログイン中であれば、そのログインセッションＩＤ（ログインセッション）は有効であり、そのユーザが画像形成装置１０からログアウトした場合、そのログインセッションＩＤ（ログインセッション）は無効となる。
【００６７】
ジョブ情報に含まれるログインセッションＩＤ（ログインセッション）が有効の場合（Ｓ１６，Ｙｅｓ）、ユーザ識別部３２は、ログインセッションＩＤによってユーザを識別する（Ｓ１７）。ジョブ情報に含まれるログインセッションＩＤが有効であるということは、ジョブの実行を指示したユーザが画像形成装置１０にログイン中であるということである。ユーザ識別部３２は、例えば、ジョブ情報に含まれるログインセッションＩＤ（ジョブの実行を指示したユーザに対応付けられているログインセッションＩＤ）と、介入操作を行うユーザに対応付けられているログインセッションＩＤと、を比較する。制御部２２は、両ログインセッションＩＤが一致する場合、介入操作を許可し、両ログインセッションＩＤが一致しない場合、介入操作を禁止する。
【００６８】
例えば、ジョブ情報に含まれるログインセッションＩＤに対応付けられているログイン状態が継続している場合において、そのログイン状態（つまり、そのログインによって確立されたログインセッション）において介入操作が行われるとき、ジョブ情報に含まれるログインセッションＩＤと、介入操作を行うユーザのログインセッションＩＤと、が一致すると判定され、その介入操作が許可される。具体例を挙げて説明すると、ジョブ情報に含まれるログインセッションＩＤが「２」であり、ログインセッションＩＤとして「２」が対応付けられているログイン状態（ログインセッション）において介入操作が行われた場合、ジョブ情報に含まれるログインセッションＩＤと、介入操作を行うユーザのログインセッションＩＤと、が一致すると判定され、その介入操作は許可される。
【００６９】
一方、ジョブ情報に含まれるログインセッションＩＤとは異なるログインセッションＩＤに対応付けられているログイン状態（ログインセッション）において介入操作が行われるとき、ジョブ情報に含まれるログインセッションＩＤと、介入操作を行うユーザのログインセッションＩＤと、が一致しないと判定され、その介入操作は禁止される。具体例を挙げて説明すると、ジョブ情報に含まれるログインセッションＩＤが「２」であり、ログインセッションＩＤとして「３」が対応付けられているログイン状態（ログインセッション）において介入操作が行われた場合、ジョブ情報に含まれるログインセッションＩＤと、介入操作を行うユーザのログインセッションＩＤと、が一致しないと判定され、その介入操作は禁止される。例えば、ジョブの実行を指示したユーザが画像形成装置１０からログアウトし、その後、画像形成装置１０に再ログインした場合、ジョブ情報に含まれるログインセッションＩＤは無効となり、そのログインセッションＩＤとは異なる新たなログインセッションＩＤが生成され、ユーザ（ログイン状態）に対応付けられる。この場合、新たなログインセッションＩＤに対応付けられているログイン状態（ログインセッション）において介入操作が行われるとき、ジョブ情報に含まれるログインセッションＩＤと、介入操作を行うユーザのログインセッションＩＤと、が一致しないと判定され、その介入操作は禁止される。このように、ユーザがログアウトしてセッションが破棄された場合には、介入操作を行うユーザとジョブの実行を指示したユーザとが同一ユーザであっても、介入操作は禁止される。
【００７０】
ジョブ情報に含まれるログインセッションＩＤが有効ではない場合（Ｓ１６，Ｎｏ）、制御部２２はジョブを中止する（Ｓ１８）。ジョブを中止する場合、例えば、ジョブ情報が記憶部１８から削除される。
【００７１】
以下、図７を参照して、ログインセッションの有効性判定処理について説明する。図７には、その処理を示すフローチャートが示されている。
【００７２】
例えば、ログインセッション管理部２６が、ログインセッションの有効性を管理する。ログインセッション管理部２６は、ユーザが画像形成装置１０にログイン中の場合、そのログインによって確立されたログインセッションが有効であるとしてログインセッション（ログインセッションＩＤ）を管理し、ユーザが画像形成装置１０からログアウトした場合、ログインセッション（ログインセッションＩＤ）を破棄する。
【００７３】
ログインセッションの有効性判定処理においては、ユーザ識別部３２が、ジョブ情報からログインセッションＩＤを取得し（Ｓ２０）、そのログインセッションＩＤに対応付けられているログインセッションの有効性をログインセッション管理部２６に問い合わせる（Ｓ２１）。ログインセッション管理部２６は、そのログインセッションＩＤに対応付けられているログインセッションの有効性を判定する。そのログインセッションが有効である場合（Ｓ２２，Ｙｅｓ）、ユーザ識別部３２は、ログインセッションＩＤによってユーザを識別する（Ｓ２３）。そのログインセッションが有効ではない場合（Ｓ２２，Ｎｏ）、制御部２２はジョブを中止する（Ｓ２４）。
【００７４】
別の方法によって、ログインセッションの有効性が判定されてもよい。例えば、ログインセッションが無効になった場合、ジョブ情報に含まれるログインセッション情報を書き換え、その書き換えの結果に基づいて有効性を判定してもよい。
【００７５】
以下、図８を参照して、ログインセッション情報の書き換え処理について説明する。図８には、その処理を示すフローチャートが示されている。
【００７６】
ユーザが画像形成装置１０からログアウトした場合（Ｓ３０）、アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザのアカウントの種別を判定する（Ｓ３１）。そのアカウントが固有アカウントの場合（Ｓ３１，Ｙｅｓ）、ジョブ実行部１６はジョブを継続する（Ｓ３２）。そのアカウントが固有アカウントではない場合（Ｓ３１，Ｎｏ）、つまり、アカウントが共有アカウントの場合、制御部２２は、ログアウトが発生したログインセッションに対応するログインセッションＩＤをジョブ情報から削除する（Ｓ３３）。その後、ジョブ実行部１６はジョブを継続する（Ｓ３２）。
【００７７】
ログインセッションの有効性判定時に、ユーザ識別部３２は、ジョブ情報を参照し、ジョブ情報にログインセッションＩＤが含まれているか否かによって、ログインセッションＩＤ（ログインセッション）の有効性を判定する。ジョブ情報にログインセッションＩＤが含まれている場合、そのログインセッションＩＤ（ログインセッション）は有効であると判定され、ジョブ情報にログインセッションＩＤが含まれていない場合、そのログインセッションＩＤ（ログインセッション）は無効であると判定される。
【００７８】
なお、別の方法として、ジョブ情報に、ログインセッションの有効性を示す有効性情報を追加してもよい。制御部２２は、ログインセッションが有効の場合、その有効性情報が示す内容を「ｔｒｕｅ」に設定し、ログインセッションが無効の場合、その有効性情報が示す内容を「ｔｒｕｅ」から「ｆａｌｓｅ」に書き換える。有効性情報が「ｔｒｕｅ」を示している場合、ログインセッションが有効であると判定され、有効性情報が「ｆａｌｓｅ」を示している場合、ログインセッションは無効であると判定される。
【００７９】
以下、図９を参照して、ログインセッションが無効になった場合の処理について説明する。図９には、その処理を示すフローチャートが示されている。
【００８０】
ユーザが画像形成装置１０からログアウトした場合（Ｓ４０）、ログインセッション（ログインセッションＩＤ）は破棄されて無効になる（Ｓ４１）。アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザに割り当てられているアカウントの種別を判定する（Ｓ４２）。そのアカウントが固有アカウントの場合（Ｓ４２，Ｙｅｓ）、ジョブ実行部１６はジョブを継続する（Ｓ４３）。そのアカウントが固有アカウントではない場合（Ｓ４２，Ｎｏ）、つまり、アカウントが共有アカウントの場合、処理はステップＳ４４に移行する。ログインセッションＩＤでユーザを識別すべき介入事象が発生し、画像形成装置１０がユーザによる介入操作を待っている場合（Ｓ４４，Ｙｅｓ）、制御部２２はジョブを中止する（Ｓ４５）。画像形成装置１０がユーザによる介入操作を待っていない場合（Ｓ４４，Ｎｏ）、ジョブ実行部１６はジョブを継続する（Ｓ４３）。
【００８１】
セキュアに扱うべき介入事象が発生した場合、共有アカウント情報ではなくログインセッションＩＤによってユーザが識別される。介入操作がされておらず、画像形成装置１０が介入操作を待っている場合、そのログインセッションＩＤ（ログインセッション）が無効になってしまうと、ジョブの操作権限を有する者がいなくなってしまう。これに対処するために、ログインセッションが無効になり、かつ、介入操作待ちの場合に、ジョブを中止する。これにより、上記の問題が解消される。
【００８２】
以上のように、本実施形態によると、共有アカウント情報が用いられる場合であっても、ログインセッションＩＤによってユーザを識別することにより、個々のユーザが区別されて識別され、個々のユーザ毎に、ジョブや成果物データに対する操作の制御（アクセス制御）が実現される。これにより、固有アカウント情報が用いられない場合において、常に共有アカウント情報を用いてユーザの操作を制御する場合と比較して、セキュリティの低下が防止又は抑制される。
【００８３】
また、本実施形態では、共有アカウント情報が用いられる場合、アプリケーション（ジョブ）のセキュリティレベルに応じて、共有アカウント情報又はログインセッションＩＤのいずれかによってユーザが識別される。アプリケーションのセキュリティレベルが相対的に高い場合、ログインセッションＩＤによってユーザが識別される。これにより、共有アカウント情報が用いられる場合であっても、個々のユーザが区別されて識別されるので、共有アカウント情報によってユーザを識別する場合と比較して、アプリケーションやその成果物に対するセキュリティの低下が防止又は抑制される。一方、アプリケーションのセキュリティレベルが相対的に低い場合、個々のユーザを区別して識別する必要性が低いため、共有アカウント情報によってユーザが識別される。これにより、アプリケーションのセキュリティレベルが相対的に低い場合において、常にログインセッションＩＤによってユーザを識別する場合と比較して、アプリケーションやその成果物に対する操作の利便性が向上する。
【００８４】
また、本実施形態では、共有アカウント情報が用いられる場合、ジョブの対象となるデータのセキュリティレベルに応じて、共有アカウント情報又はログインセッションＩＤのいずれかによってユーザが識別される。例えば、そのデータに対するセキュリティレベルはユーザによって決定される。データのセキュリティレベルが相対的に高い場合、ログインセッションＩＤによってユーザが識別される。これにより、共有アカウント情報が用いられる場合であっても、個々のユーザが区別されて識別されるので、共有アカウント情報によってユーザを識別する場合と比較して、データに対するセキュリティの低下が防止又は抑制される。一方、データのセキュリティレベルが相対的に低い場合、個々のユーザを区別して識別する必要性は低いため、共有アカウント情報によってユーザが識別される。これにより、データのセキュリティレベルが相対的に低い場合において、常にログインセッションＩＤを用いてユーザを識別する場合と比較して、データに対する操作の利便性が向上する。
【００８５】
また、本実施形態では、共有アカウント情報が用いられる場合、介入操作のセキュリティレベルに応じて、共有アカウント情報又はログインセッションＩＤのいずれかによってユーザが識別される。介入操作のセキュリティレベルが相対的に高い場合、ログインセッションＩＤによってユーザが識別される。これにより、共有アカウント情報が用いられる場合であっても、個々のユーザが区別されて識別されるので、共有アカウント情報によってユーザを識別する場合と比較して、介入操作に対するセキュリティの低下が防止又は抑制される。一方、介入操作のセキュリティレベルが相対的に低い場合、個々のユーザを区別して識別する必要性は低いため、共有アカウント情報によってユーザが識別される。これにより、介入操作のセキュリティレベルが相対的に低い場合において、常にログインセッションＩＤによってユーザを識別する場合と比較して、介入操作の利便性が向上する。
【００８６】
以下、本実施形態の具体例について説明する。
【００８７】
（具体例１）
以下、図１０を参照して具体例１について説明する。図１０には、アカウント種別等の情報がテーブルにまとめられている。
【００８８】
具体例１においては、ユーザＡ，Ｂ，Ｃのそれぞれによってジョブ（アプリケーション）の実行が指示されたものとする。ユーザＡのアカウント種別は固有アカウントであり、その固有アカウントのＩＤ（固有アカウント情報）は「ＵｓｅｒＡ」である。ユーザＢ，Ｃのアカウント種別は共有アカウントであり、その共有アカウントのＩＤ（共有アカウント情報）は「Ｇｕｅｓｔ」である。
【００８９】
図１０中のアプリ（アプリケーション）は、実行されるアプリケーションである。
【００９０】
アプリケーションＡ（アプリＡ）は、ユーザの指示によってセキュアに扱われるべきか否かが決定されるアプリケーションである。アプリケーションＡがユーザに選択されると、ＵＩ部２０又は端末装置１２には、セキュアに扱うべきか否かをユーザに問い合わせるための画面が表示される。その画面上にてユーザがセキュリティレベルを指定すると、そのセキュリティレベルを示すセキュリティ情報がジョブ情報に書き込まれる。
【００９１】
アプリケーションＢ（アプリＢ）は、セキュアに扱われるアプリケーションである。
【００９２】
図１０中のジョブＩＤは、ジョブを管理するための情報である。
【００９３】
ジョブＩＤが「１」のジョブ（ジョブ１）は、固有アカウントを有するユーザＡによって実行が指示されたジョブであり、アプリケーションＡを実行するためのジョブである。固有アカウント情報が用いられるため、ログインセッションＩＤとセキュリティ情報は、ジョブ情報に書き込まれない。
【００９４】
ジョブＩＤが「２」のジョブ（ジョブ２）は、共有アカウントを有するユーザＢによって実行が指示されたジョブであり、アプリケーションＡを実行するためのジョブである。ユーザＢが画像形成装置１０にログインすることにより、ログインセッションが確立され、ログインセッションＩＤが生成される。そのログインセッションＩＤは「１」である。このログインセッションＩＤ「１」がジョブ情報に書き込まれる。また、アプリケーションＡのセキュリティレベルが、ユーザＢによって「高」に設定されている。そのセキュリティレベル「高」を示すセキュリティ情報が、ジョブ情報に書き込まれる。
【００９５】
ジョブＩＤが「３」のジョブ（ジョブ３）は、共有アカウントを有するユーザＢによって実行が指示されたジョブであり、アプリケーションＡを実行するためのジョブである。ログインセッションＩＤは「１」である。ユーザＢが画像形成装置１０にログインすることにより、ログインセッションＩＤ「１」が生成され、ユーザＢによって、ジョブ２，３の実行が指示されている。ログインセッションＩＤ「１」がジョブ情報に書き込まれる。また、アプリケーションＡのセキュリティレベルが、ユーザＢによって「低」に設定されている。そのセキュリティレベル「低」を示すセキュリティ情報が、ジョブ情報に書き込まれる。
【００９６】
ジョブＩＤが「４」のジョブ（ジョブ４）は、共有アカウントを有するユーザＣによって実行が指示されたジョブであり、アプリケーションＢを実行するためのジョブである。ユーザＣが画像形成装置１０にログインすることにより、ログインセッションが確立され、ログインセッションＩＤが生成される。そのログインセッションＩＤは「２」である。このログインセッションＩＤ「２」がジョブ情報に書き込まれる。また、アプリケーションＢはセキュアに扱われるアプリケーションである。
【００９７】
ジョブ１の実行は、固有アカウントを有するユーザＡによって指示されているため、固有アカウント情報「ＵｓｅｒＡ」によってユーザＡが識別される。これにより、ジョブ１に対する操作はユーザＡのみが許可され、ジョブ１に対するセキュリティが確保される。
【００９８】
ジョブ２の実行は、共有アカウントを有するユーザＢによって指示されており、セキュリティレベルが「高」に設定されているため、ログインセッションＩＤ「１」によってユーザＢが識別される。これにより、ジョブ２に対する操作はユーザＢのみが許可され、ジョブ２に対するセキュリティが確保される。
【００９９】
ジョブ３の実行は、共有アカウントを有するユーザＢによって指示されており、セキュリティレベルが「低」に設定されているため、共有アカウント情報「Ｇｕｅｓｔ」によってユーザＢが識別される。共有アカウント情報によってユーザが識別されるので、共有アカウントを有するユーザであれば、ジョブ３に対する操作が許可される。それ故、ユーザＢのみならずユーザＣも、ジョブ３に対する操作が許可される。これにより、ジョブ３に対する操作の利便性が確保される。
【０１００】
ジョブ４の実行は、共有アカウントを有するユーザＣによって指示されており、セキュアに扱われるアプリケーションＢが実行される。そのため、ログインセッションＩＤ「２」によってユーザＣが識別される。これにより、ジョブ４に対する操作はユーザＣのみが許可され、ジョブ４に対するセキュリティが確保される。
【０１０１】
（具体例２）
以下、図１１を参照して、具体例２について説明する。図１１には、具体例２に係る処理を示すフローチャートが示されている。
【０１０２】
具体例２に係るジョブは、アプリケーションの実行により成果物データを生成し、指定された格納場所に成果物データを転送して格納するためのジョブである。格納場所は、例えば、画像形成装置１０以外の外部装置（例えば外部サーバ）である。もちろん、成果物データは、画像形成装置１０内に格納されてもよい。以下、具体例２について詳しく説明する。
【０１０３】
成果物データの転送先（格納場所）に、その成果物データのデータ名と同一のデータ名を有するデータが既に格納されている場合（Ｓ５０）、アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザのアカウントの種別を判定する（Ｓ５１）。
【０１０４】
ユーザのアカウントが固有アカウントの場合（Ｓ５１，Ｙｅｓ）、制御部２２は、その固有アカウントを有するユーザに操作権限を与える（Ｓ５２）。これにより、ジョブに対する介入操作が許可される。
【０１０５】
同一名のデータが既に格納されているという事象を解決する介入操作として、例えば、以下の操作がある。
・データを上書きする。
・データ名を変えて成果物データを保存する。
・成果物データの格納を中止する。
・別の格納場所（例えば別のサーバ）に成果物データを格納する。
【０１０６】
例えば、上記の介入操作を実行するための介入操作画面がＵＩ部２０や端末装置１２に表示され、固有アカウントを有するユーザは、その介入操作画面上にて介入操作を行う。制御部２２は、その介入操作に従って処理を行う。
【０１０７】
ユーザのアカウントが固有アカウントではない場合（Ｓ５１，Ｎｏ）、つまり、アカウントが共有アカウントの場合、転送先（例えば外部サーバ）にて認証が必要か否かが判定される（Ｓ５３）。
【０１０８】
転送先にて認証が必要な場合（Ｓ５３，Ｙｅｓ）、ジョブ情報に含まれるログインセッションＩＤの有効性、つまり、そのログインセッションＩＤに対応付けられているログインセッションの有効性が、判定される（Ｓ５４）。そのログインセッションＩＤに対応付けられているログインセッションが継続中であれば、そのログインセッションＩＤ（ログインセッション）は有効であり、ユーザが画像形成装置１０からログアウトした場合、そのログインセッションＩＤ（ログインセッション）は無効となる。なお、認証が必要な転送先は、例えば、ユーザ毎に割り当てられた格納場所である。
【０１０９】
ジョブ情報に含まれるログインセッションＩＤ（ログインセッション）が有効の場合（Ｓ５４，Ｙｅｓ）、制御部２２は、そのログインセッションＩＤが対応付けられているユーザに操作権限を与える（Ｓ５５）。これにより、ジョブに対する操作が許可される。例えば、ジョブ情報に含まれるログインセッションＩＤに対応付けられているログイン状態（ログインセッション）が継続している場合において、そのログイン状態において介入操作が行われた場合、その介入操作が許可される。
【０１１０】
ジョブ情報に含まれるログインセッションＩＤ（ログインセッション）が無効の場合（Ｓ５４，Ｎｏ）、制御部２２はジョブを中止する（Ｓ５６）。
【０１１１】
転送先に認証が不要の場合（Ｓ５３，Ｎｏ）、ユーザ識別部３２は、ジョブ情報に含まれるセキュリティ情報を参照することにより、格納される成果物データがセキュアに扱われるべきか否かを判定する（Ｓ５７）。成果物データのセキュリティレベルが低い場合（Ｓ５７，Ｎｏ）、制御部２２は、共有アカウントを有するユーザに操作権限を与える（Ｓ５８）。これにより、ジョブに対する介入操作が許可される。成果物データのセキュリティレベルが高い場合（Ｓ５７，Ｙｅｓ）、処理はステップＳ５４に移行する。
【０１１２】
共有アカウントが利用されている場合において、常に共有アカウントによってユーザを識別して介入操作を許可すると、成果物データに対するセキュリティが低下する場合がある。例えば、ユーザ毎に割り当てられた格納場所が転送先として選択された場合、成果物データや格納場所に対するセキュリティを確保するために、ジョブの実行を指示したユーザ以外のユーザが介入操作を行うべきではない。具体例２においては、転送先にて認証が必要な場合には、ログインセッションＩＤによってユーザが識別される。これにより、常に共有アカウント情報によってユーザを識別する場合と比較して、成果物データや格納場所に対するセキュリティの低下が防止又は抑制される。
【０１１３】
例えば、常に共有アカウント情報によってユーザを識別する場合、ジョブの実行を指示したユーザ以外のユーザにも操作権限が与えられるので、誤操作や不正操作等が行われることがある。ログインセッションＩＤによってユーザを識別することにより、その誤操作や不正操作等が防止される。
【０１１４】
一方、共有アカウント毎に割り当てられる格納場所は、共有アカウントを有するユーザによる利用が許可された格納場所である。この場合に、ログインセッションＩＤによってユーザを識別すると、そのログインセッションＩＤに対応付けられていないユーザの利用が禁止されてしまう。これに対処するために、転送先にて認証が不要な場合には、共有アカウント情報によってユーザを識別する。これにより、常にログインセッションＩＤによってユーザを識別する場合と比較して、成果物データや格納場所に対するユーザの利便性が向上する。
【０１１５】
また、データがセキュアに扱われる場合には、ログインセッションＩＤによってユーザが識別される。これにより、常に共有アカウント情報によってユーザを識別する場合と比較して、データに対するセキュリティの低下が防止又は抑制される。
【０１１６】
（具体例３）
以下、図１２を参照して具体例３について説明する。図１２には、具体例３に係る処理を示すフローチャートが示されている。
【０１１７】
具体例３に係るジョブは、アプリケーションの実行により成果物データを生成し、指定された格納場所に成果物データを転送して格納するためのジョブである。格納場所は、例えば、画像形成装置１０以外の外部装置（例えば外部サーバ）である。もちろん、成果物データは、画像形成装置１０内に格納されてもよい。以下、具体例３について詳しく説明する。
【０１１８】
一例として、外部サーバに成果物データを転送する場合について説明する。その外部サーバを利用するためには認証処理が必要であり、その認証処理にはパスワードが用いられるものとする。登録されているパスワードが入力されると認証が成功し、外部サーバへの成果物データの転送が許可される。
【０１１９】
成果物データを外部サーバに転送するときに、その外部サーバに対するパスワードが間違っていた場合（Ｓ６０）、アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザのアカウントの種別を判定する（Ｓ６１）。
【０１２０】
ユーザのアカウントが固有アカウントの場合（Ｓ６１，Ｙｅｓ）、制御部２２は、その固有アカウントを有するユーザに操作権限を与える（Ｓ６２）。これにより、ジョブに対する介入操作が許可される。
【０１２１】
パスワードが間違っているという事象を解決する介入操作として、例えば、以下の操作がある。
・パスワードを再入力する。
・別の格納場所を指定する。
【０１２２】
例えば、上記の介入操作を実行するための介入操作画面がＵＩ部２０や端末装置１２に表示され、固有アカウントを有するユーザは、その介入操作画面にて介入操作を行う。制御部２２は、その介入操作に従って処理を行う。
【０１２３】
ユーザのアカウントが固有アカウントではない場合（Ｓ６１，Ｎｏ）、つまり、アカウントが共有アカウントの場合、ジョブ情報に含まれるログインセッションＩＤの有効性、つまり、ログインセッションの有効性が、判定される（Ｓ６３）。そのログインセッションが継続中であれば、そのログインセッションＩＤ（ログインセッション）は有効であり、ユーザが画像形成装置１０からログアウトした場合、そのログインセッションＩＤ（ログインセッション）は無効となる。
【０１２４】
ジョブ情報に含まれるログインセッションＩＤ（ログインセッション）が有効の場合（Ｓ６３，Ｙｅｓ）、制御部２２は、そのログインセッションＩＤが対応付けられているユーザに操作権限を与える（Ｓ６４）。これにより、ジョブに対する操作が許可される。例えば、ジョブ情報に含まれるログインセッションＩＤに対応付けられているログイン状態（ログインセッション）が継続している場合において、そのログイン状態において介入操作が行われた場合、その介入操作が許可される。
【０１２５】
ジョブ情報に含まれるログインセッションＩＤ（ログインセッション）が無効の場合（Ｓ６３，Ｎｏ）、ユーザ識別部３２は、ジョブ情報に含まれるセキュリティ情報を参照することにより、格納される成果物データがセキュアに扱われるべきか否かを判定する（Ｓ６５）。成果物データのセキュリティレベルが高い場合（Ｓ６５，Ｙｅｓ）、制御部２２はジョブを中止する（Ｓ６６）。成果物データのセキュリティレベルが低い場合（Ｓ６５，Ｎｏ）、制御部２２は、共有アカウントを有するユーザに操作権限を与える（Ｓ６７）。これにより、ジョブに対する介入操作が許可される。別の例として、成果物データが、共有ストレージに自動的に格納されてもよい。
【０１２６】
パスワードが必要な外部サーバは、個々のユーザ毎に割り当てられた格納場所であるため、成果物データや格納場所に対するセキュリティを確保するために、ジョブの実行を指示したユーザ以外のユーザが介入操作を行うべきではない。共有アカウントが利用されている場合において、常に共有アカウントによってユーザを識別して介入操作を許可すると、成果物データや格納場所に対するセキュリティが低下する場合がある。具体例３においては、ログインセッションＩＤによってユーザが識別される。これにより、常に共有アカウント情報によってユーザを識別する場合と比較して、成果物データや格納場所に対するセキュリティの低下が防止又は抑制される。
【０１２７】
また、具体例３においては、ログインセッションが無効であり、かつ、データがセキュアに扱う必要のない場合に、共有アカウントのユーザに操作権限が与えられる。これにより、常にログインセッションＩＤによってユーザを識別する場合と比較して、成果物データや格納場所に対するユーザの利便性が向上する。
【０１２８】
具体例３において、ステップＳ６３の処理とステップＳ６５の処理の順番を変えてもよい。つまり、ステップＳ６５の処理が実行された後に、ステップＳ６３の処理が実行されてもよい。データをセキュアに扱う必要のない場合、共有アカウントを有するユーザに操作権限が与えられる。データをセキュアに扱う必要がある場合において、ログインセッションが有効の場合、そのログインセッションに対して操作権限が与えられ、ログインセッションが無効の場合、ジョブが中止される。
【０１２９】
（具体例４）
以下、図１３を参照して具体例４について説明する。図１３には、具体例４に係る処理を示すフローチャートが示されている。
【０１３０】
具体例４では、上記の具体例３に係る事象（パスワード間違え）が発生している場合に、ジョブの実行を指示したユーザが画像形成装置１０からログアウトする。これにより、ログインセッションが無効となる。
【０１３１】
ユーザが画像形成装置１０からログアウトすると、ログインセッション（ログインセッションＩＤ）が破棄されて無効になる（Ｓ７０）。この場合、アカウント種別判定部２８は、ジョブ情報に含まれるアカウント情報を参照することにより、ジョブの実行を指示したユーザのアカウントの種別を判定する（Ｓ７１）。
【０１３２】
ユーザのアカウントが固有アカウントの場合（Ｓ７１，Ｙｅｓ）、ジョブは待機状態となる（Ｓ７２）。
【０１３３】
ユーザのアカウントが固有アカウントではない場合（Ｓ７１，Ｎｏ）、つまり、そのアカウントが共有アカウントの場合、ユーザ識別部３２は、ジョブ情報に含まれるセキュリティ情報を参照することにより、格納される成果物データがセキュアに扱われるべきか否かを判定する（Ｓ７３）。成果物データのセキュリティレベルが高い場合（Ｓ７３，Ｙｅｓ）、制御部２２はジョブを中止する（Ｓ７４）。成果物データのセキュリティレベルが低い場合（Ｓ７３，Ｎｏ）、制御部２２は、共有アカウントを有するユーザに操作権限を与える（Ｓ７５）。これにより、ジョブに対する介入操作が許可される。
【０１３４】
なお、介入操作が発生した後にログインセッションが無効になる場合と、ログインセッションが無効になった後に介入操作が発生する場合とで、処理を変えてもよい。介入操作が発生した後にユーザがログアウトした場合、そのユーザは、パスワードの再入力等の介入操作を行う意思を有していないことがある。これに対処するために、介入操作が発生した後にログインセッションが無効になった場合、ジョブを中止してもよい。
【０１３５】
以下、変形例について説明する。
【０１３６】
（変形例１）
変形例１について説明する。変形例１では、ジョブの実行時に介入事象の発生が予見され、その予見結果に基づいてジョブが制御される。例えば、ジョブが実行されることにより、様々な処理が実行され、その後にプリント処理が実行されるものとする。共有アカウントのユーザによってそのジョブの実行が指示された場合において、介入事象が発生し、そのユーザのログインセッションが無効の場合に、そのジョブが中止されるものとする。そのジョブに設定されているプリントの枚数が、画像形成装置１０に搭載される用紙の枚数の上限値よりも多い場合、プリント処理の途中で介入事象が発生する。制御部２２は、ジョブ情報を参照することにより、そのジョブでプリントされる枚数を特定する。その枚数が上限値よりも多い場合、介入事象の発生が予見される。プリント処理自体は、セキュアに扱う必要のない処理である。それ故、共有アカウントのユーザによってジョブの実行が指示され、予見された介入事象が発生した場合、制御部２２は、ログインセッションが無効であってもジョブを中止せずに、ユーザによる介入操作後にジョブが継続されるように、ジョブを待機させる。例えば、用紙が補充された後、ジョブが続行される。このように、セキュアに扱う必要のない処理の途中で介入事象が発生することが予見される場合、ジョブを中止しないで継続させてもよい。
【０１３７】
（変形例２）
変形例２について説明する。介入事象が発生したときにログインセッションが無効であっても、ジョブが続行されてもよい。例えば、共有アカウントのユーザによってジョブの実行が指示された場合、制御部２２はパスワードを発行する。そのジョブにはそのパスワードが対応付けられる。パスワードは、例えばＵＩ部２０や端末装置１２に表示される。ジョブの実行中に介入事象が発生した場合においてログインセッションが無効の場合、制御部２２は、共有アカウントのユーザに操作権限を与える。この場合、ＵＩ部２０や端末装置１２に介入操作画面が表示される。その介入操作画面にはパスワード入力欄が含まれ、ユーザはパスワードを入力した上で介入操作を行う。なお、ジョブがユーザによって中止されてもよい。ログインセッションが有効の場合、そのログインセッションに対して操作権限が与えられる。
【０１３８】
変形例２によると、共有アカウントが利用されてジョブの実行が指示された場合であっても、パスワードが発行されるので、ジョブの実行を指示したユーザのみに介入操作の権限が与えられる。例えば、セキュアに扱うべきジョブの実行中にログインセッションが無効となり、その後に介入操作が発生した場合であっても、ジョブのセキュリティを確保した上でジョブが継続される。
【０１３９】
なお、パスワードによる処理以外の処理によってジョブが継続されてもよい。例えば、端末装置１２からジョブの実行が指示されている場合に、端末装置１２とジョブとを対応付けておき、その端末装置１２からの介入操作を許可してもよい。別の例として、端末装置１２からジョブの実行が指示された場合に、cookieとジョブとを対応付けておき、その端末装置１２からの介入操作を許可してもよい。更に別の例として、外部サーバに成果物データを格納するためのジョブが実行されている場合、その外部サーバの認証情報とジョブとを対応付けておいてもよい。その認証情報を用いた認証が成功した場合、介入操作が許可されてもよい。
【０１４０】
上記の画像形成装置１０は、一例としてハードウェア資源とソフトウェアとの協働により実現される。具体的には、画像形成装置１０は、図示しないＣＰＵ等のプロセッサを備えている。当該プロセッサが、図示しない記憶装置に記憶されたプログラムを読み出して実行することにより、画像形成装置１０の各部の機能が実現される。上記プログラムは、ＣＤやＤＶＤ等の記録媒体を経由して、又は、ネットワーク等の通信経路を経由して、記憶装置に記憶される。または、画像形成装置１０の各部は、例えばプロセッサや電子回路等のハードウェア資源により実現されてもよい。その実現においてメモリ等のデバイスが利用されてもよい。別の例として、画像形成装置１０の各部は、ＤＳＰ（Digital Signal Processor）やＦＰＧＡ（Field Programmable Gate Array）等によって実現されてもよい。なお、本願発明の情報処理装置は画像形成装置１０に限定されるものではなく、ユーザからの指示に基づいてジョブを実行可能な一般的な構成のコンピュータであってもよい。
【符号の説明】
【０１４１】
１０  画像形成装置、１２  端末装置、１６  ジョブ実行部、２２  制御部、２４  ジョブ管理部、２６  ログインセッション管理部、２８  アカウント種別判定部、３０  セキュリティ判定部、３２  ユーザ識別部。
【図１】
0006578849.tif 000002
【図２】
0006578849.tif 000003
【図３】
0006578849.tif 000004
【図４】
0006578849.tif 000005
【図５】
0006578849.tif 000006
【図６】
0006578849.tif 000007
【図７】
0006578849.tif 000008
【図８】
0006578849.tif 000009
【図９】
0006578849.tif 000010
【図１０】
0006578849.tif 000011
【図１１】
0006578849.tif 000012
【図１２】
0006578849.tif 000013
【図１３】
0006578849.tif 000014