(57)【要約】【課題】ＥＲＰシステムにおけるユーザ情報の管理処理の効率化、ユーザ情報に対するセキュリティ機能の向上を可能とする。【解決手段】ＬＤＡＰサーバ１１４ａが管理するユーザマスタ１１４ｂからユーザ情報を取得し、ＥＲＰシステム１におけるユーザＩＤの自動登録および権限変更を行う。特に、ユーザがＥＲＰシステム１にログオンするたびに、ＬＤＡＰサーバ１１４ａからユーザ情報を取得して更新することで、本来ユーザに許可された権限のみを再配布するようにし、ユーザに付与された権限情報を悪意により変更された場合でも、悪意を持ったユーザによる権限を改竄してのログオンを阻止する。【選択図】図１Ａ
2008217740.tif 000002
【特許請求の範囲】
【請求項１】
プログラムされたコンピュータによりＥＲＰシステムのユーザ情報を登録・更新管理する方法であって、
ユーザ登録申請者が操作する通信端末からのユーザ登録申請要求を受信する第１のステップと、
ＬＤＡＰサーバにアクセスし、該ＬＤＡＰサーバが予め記憶管理しているユーザ情報を参照して、上記第１のステップで受信したユーザ登録申請要求に含まれるユーザ識別子に対応する所属部署と職位および権限を少なくとも含むユーザ情報を取得する第２のステップと、
該第２のステップで取得したユーザ情報を当該ユーザ識別子に対応付けてＥＲＰシステムのユーザマスタ情報として記憶装置に格納する第３のステップと
を有することを特徴とするＥＲＰユーザ情報管理方法。
【請求項２】
請求項１に記載のＥＲＰユーザ情報管理方法であって、
上記第３のステップの前に、
上記ユーザ登録申請要求を、当該ユーザ登録申請者の上長が操作する通信端末に通知して当該上長による上記ユーザ登録申請要求の妥当性の判定結果を受信する第４のステップを有し、
該第４のステップで、上長通信端末から妥当であるとの判定結果を受信した後に、上記第３のステップを実行することを特徴とするＥＲＰユーザ情報管理方法。
【請求項３】
請求項１もしくは請求項２のいずれかに記載のＥＲＰユーザ情報管理方法であって、
上記第３のステップの前に、
上記第１のステップで受信したユーザ登録申請要求に、上記第２のステップで上記ＬＤＡＰサーバから取得した権限以外の追加権限の要求があるか否かを判定する第５のステップと、
追加権限要求があれば、予め定められた主管元の担当者が操作する通信端末に、当該追加権限要求を通知して該通信端末から当該主管元担当者による上記追加権限要求の妥当性の判定結果を受信する第６のステップと、
主管元通信端末から上記追加権限要求が妥当であるとの判定結果を受信すれば、当該追加権限を、上記第２のステップで取得したユーザ情報に付加する第７のステップと
を有することを特徴とするＥＲＰユーザ情報管理方法。
【請求項４】
請求項１から請求項３のいずれかに記載のＥＲＰユーザ情報管理方法であって、
通信端末からのユーザログオン要求があれば、上記ＬＤＡＰサーバにアクセスし、該ＬＤＡＰサーバからログオン要求してきたユーザの識別子に対応するユーザ情報を取得して、上記第３のステップで格納した当該ユーザ識別子に対応付けられたユーザマスタ情報を更新する第８のステップ
を有することを特徴とするＥＲＰユーザ情報管理方法。
【請求項５】
コンピュータに、請求項１から請求項４のいずれかに記載のＥＲＰユーザ情報管理方法における各ステップでの処理を実行させるプログラム。
【請求項６】
プログラムされたコンピュータによりＥＲＰシステムのユーザ情報を登録・更新管理するシステムであって、
請求項１から請求項４のいずれかに記載のＥＲＰユーザ情報管理方法における各ステップでの処理を実行する手段を具備したことを特徴とするＥＲＰユーザ情報管理装置。
【請求項７】
請求項６に記載のＥＲＰユーザ情報管理装置を具備したことを特徴とするＥＲＰシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＳＡＰ（登録商標）社のＲ／３（登録商標）に代表される、ＥＲＰ（Ｅｎｔｅｒｐｒｉｓｅ  Ｒｅｓｏｕｒｃｅ  Ｐｌａｎｎｉｎｇ）パッケージをコンピュータにインストールして構築されたＥＲＰシステムにおけるユーザ情報の管理技術に係り、特に、ユーザ情報の管理を自動化すると共に、ユーザ情報の信頼性を効率的に確保するのに好適な技術に関するものである。
【背景技術】
【０００２】
ＥＲＰパッケージは統合業務パッケージと呼ばれ、企業の基幹業務に関わるシステム、例えば、財務・会計システムや生産システム、販売システム、調達システム、在庫システム、人事システムなどを統合したソフトウェアであり、業務処理コストの削減や、リアルタイムでの業務内容の把握によるデータの一元管理、意志決定のスピードアップ、連結決算や管理会計への対応、および、ＳＯＸ法（Ｓａｒｂａｎｅｓ−Ｏｘｌｅｙ  ａｃｔ、不正会計に対処するための米国の法律で、財務報告に関わる内部統制を規定）対策、などを目的に、大企業を中心に、中堅・中小企業において導入が進められている。
【０００３】
このような複数の業務システムにおけるユーザ情報を管理する技術として、例えば、特許文献１に記載のものがある。
【０００４】
この技術は、複数の業務システムにおいて個々にユーザ認証機能を開発する負担を軽減することを目的としたものであり、複数の業務システムが共通のセキュリティ機能すなわちユーザ認証機能を利用できるようにすることによって、個々の業務システムがユーザ認証機能を個別開発しなくて済むことを可能にする技術である。
【０００５】
具体的には、イントラネットに接続された複数の業務システムを管理するための管理サーバ・システムにおいて、複数の業務システムそれぞれに対応して設けられたオペレータ権限者に関連して設定された識別情報と、オペレータ権限者がアクセス可能な業務システムとの対応関係を示した検索テーブルを用意し、クライアント端末において、ブラウジングされた選択画面上で選択された業務システムと、入力欄に入力されたオペレータ権限者の識別情報とに基づき、上記検索テーブルを参照して、選択された業務システムへのアクセスをオペレータ権限者に対して許可するか否かを判定し、その判定結果に基づいて、選択された業務システムへのアクセスを許可するまたは不許可にする技術である。
【０００６】
しかし、この技術では、検索テーブルの内容の変更等は、検索テーブル自体で管理される高レベル権限者によって行われており、ユーザ管理が煩雑で工数が掛かってしまう。さらに、高レベル権限者による不正な検索テーブル内容の変更操作を防ぐことができず、昨今の「内部統制（ＳＯＸ法）」や「個人情報保護法」の対応が十分ではない。
【０００７】
【特許文献１】特開２００２−２７８９３７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
解決しようとする問題点は、従来の技術では、ＥＲＰシステムのユーザ管理を、システム管理者が人手により行っており、ユーザ管理操作が煩雑で工数が掛かってしまうと共に、「内部統制（ＳＯＸ法）」や「個人情報保護法」への対応が不十分な点である。
【０００９】
本発明の目的は、これら従来技術の課題を解決し、ＥＲＰシステムにおけるユーザ情報の管理処理の効率化、ユーザ情報に対するセキュリティ機能の向上を可能とすることである。
【課題を解決するための手段】
【００１０】
上記目的を達成するため、本発明においては、（１）ＬＤＡＰサーバから、当該ＬＤＡＰサーバが管理するユーザ情報を取得し、ＥＲＰシステムにおけるユーザＩＤの自動登録および権限変更を行うことで、システム管理者のユーザ管理に対する工数を削減する。（２）また、ユーザがシステムにログオン（「ログイン」ともいう）するたびに、ＬＤＡＰサーバからユーザ情報を取得して自システムにおけるユーザ情報を更新することで、本来ユーザに許可された権限のみを再配布するようにし、ユーザに付与された権限情報を悪意により変更された場合でも、悪意を持ったユーザによる権限を改竄してのログオンを阻止することができる。
【発明の効果】
【００１１】
本発明によれば、自動的にユーザマスタのメンテナンスを実施することができ、ユーザ管理に対するシステム管理者の工数を大幅に削減することが可能であり、かつ、悪意を持ったユーザに対するセキュリティ機能を向上させることが可能である。
【発明を実施するための最良の形態】
【００１２】
以下、図を用いて本発明を実施するための最良の形態例を説明する。図１Ａは、本発明に係るＥＲＰユーザ管理システムの構成例を示すブロック図であって、図１Ａにおいて、１はＥＲＰシステムとしてのＳＡＰ（登録商標）システム（以下「ＥＲＰシステム」と記載）、１０１はユーザ登録の申請者が通信等に用いる端末（図中「ユーザＩＤ申請者」と記載）、１０２は申請者の上長が通信等に用いる端末（図中「申請者の上長」と記載）、１０３は主管元が通信等に用いる端末（図中「主管元」と記載）、１０４はユーザが通信等に用いる端末（図中「ユーザ」と記載）、１１４はディレクトリサービスを実行するＬＤＡＰシステムであり、それぞれ、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）や主メモリ、表示装置、入力装置、外部記憶装置等を具備したコンピュータ構成からなり、光ディスク駆動装置等を介してＣＤ−ＲＯＭ等の記憶媒体に記録されたプログラムやデータを外部記憶装置内にインストールした後、この外部記憶装置から主メモリに読み込みＣＰＵで処理することにより、各処理手段（処理部）の機能を実行する。尚、ＥＲＰシステム１と各端末１０１〜１０４およびＬＤＡＰシステム１１４はネットワークで接続され、当該ネットワークを介してデータの送受信を行う。
【００１３】
ＬＤＡＰシステム１１４は、プログラムされたコンピュータで実現される機能としてＬＤＡＰサーバ１１４ａとユーザマスタ１１４ｂを有し、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）、すなわち、インターネットやイントラネットなどのＴＣＰ／ＩＰネットワークで、ディレクトリデータベースにアクセスするためのプロトコルを実行するものであり、ＬＤＡＰサーバ１１４ａにより、ユーザマスタ１１４ｂにおいて管理している組織全体の個人情報（各個人のＬＤＡＰ・ＩＤ、氏名、メールアドレス、所属部署、職制など）のアクセス（読み出し処理、書き込み処理）制御を行っている。
【００１４】
また、端末１０１〜１０４のそれぞれは、プログラムされたコンピュータで実現される機能としてのブラウザ１０１ａ，１０２ａ，１０３ａ，１０４ａをそれぞれ具備し、各ブラウザ１０１ａ，１０２ａ，１０３ａ，１０４ａを介してＥＲＰシステム１との情報のやり取りを行う。
【００１５】
このＥＲＰシステム１は、プログラムされたコンピュータによる処理で実現する手段として、申請・承認機能２、ＬＤＡＰ連携機能３、データ記憶部４、ＬＤＡＰサーバ検索機能１０９、メール送信機能１１０を有する。
【００１６】
申請・承認機能２３は、ユーザ申請受付機能１０５、上長承認機能１０６、主管元承認機能１０７、ユーザ認証機能１０８を具備し、ＬＤＡＰ連携機能３は、ユーザ登録機能１１１、権限追加機能１１２、ユーザ情報同期機能１１３を具備している。
【００１７】
また、データ管理部４は、ハードディスク装置等の記憶装置を用いて、申請一覧テーブル４ａ、追加申請一覧テーブル４ｂ、権限管理テーブル４ｃ、追加権限管理テーブル４ｄ、主管元管理テーブル４ｅ、ユーザマスタ４ｆにおけるデータの登録（生成・削除）管理を行っている。
【００１８】
以下、ＥＲＰシステム１が具備するこれらの各各機能について説明する。
【００１９】
申請・承認機能２において、ユーザ申請受付機能１０５は、図１Ｂに示すように、ＬＤＡＰ情報取得手段１０５ａ、権限情報取得手段１０５ｂ、ＬＤＡＰ情報格納手段１０５ｃ、権限追加処理手段１０５ｄ、通知処理手段１０５ｅを具備し、ユーザ登録申請者が用いる端末１０１からのユーザ登録申請（当該ユーザのＩＤおよび上長のＩＤを含む）の受付処理、当該上長が用いる端末１０２に対する申請内容の通知処理を実行する。
【００２０】
上長承認機能１０６は、図１Ｃに示すように、申請情報処理手段１０６ａ、ユーザ登録処理実行手段１０６ｂ、追加権限処理手段１０６ｃ、通知処理手段１０６ｄ、申請情報削除処理手段１０６ｅを具備し、ユーザ登録申請が上長用の端末１０２において却下された場合には、端末１０１に対するユーザ登録申請の差し戻し処理を行い、ユーザ登録申請が承認された場合には、ユーザ登録機能１１１を使用して、端末１０１から入力されたＩＤのユーザの所属部署と職制に該当する権限が付与されたユーザ情報（ユーザマスタ４ｆ）を作成し、さらにユーザ登録申請に追加権限が含まれている場合は、メール送信機能１１０を使用して、権限の主管元が用いる端末１０３に対して、追加権限申請を通知する。
【００２１】
主管元承認機能１０７は、図１Ｄに示すように、追加申請処理手段１０７ａ、権限追加処理手段１０７ｂ、通知処理手段１０７ｃ、情報削除処理手段１０７ｄを具備し、主管元用の端末１０３に対して追加権限申請を行い、追加権限申請が主管元用の端末１０３において承認された場合、権限追加機能１１２を使用して、追加権限を付与し、却下された場合には、端末１０１に対して追加権限依頼の差し戻し処理を実行する。
【００２２】
ユーザ認証機能１０８は、図１Ｅに示すように、ＬＤＡＰ情報処理手段１０８ａ、ログオン処理手段１０８ｂを具備し、ユーザ用の端末１０４を介してユーザがシステムにログオンする際に、ユーザ情報同期機能１１３を使用して、ユーザマスタ４ｆに登録している情報を、ＬＤＡＰシステム１１４におけるＬＤＡＰサーバ１１４ａが管理制御しているユーザマスタ１１４ｂに登録している情報に同期させて更新する。
【００２３】
これにより、ユーザ用の端末１０４からユーザがログオンする際には、常に、ユーザマスタ４ｆにおける情報（ユーザ情報）が最新の情報（所属部署、職制など）となり、かつ、故意に不正な権限を割り当てていても適正な権限にリフレッシュ（更新）されるので、セキュリティ対策を効率的に行うことができる。
【００２４】
ＬＤＡＰサーバ検索機能１０９は、ＬＤＡＰ・ＩＤをキーにＬＤＡＰシステム１１４から各種情報を取得し、メール送信機能１１０は、例えば、送付先のＬＤＡＰ・ＩＤに基づき、ＬＤＡＰサーバ検索機能１０９を使用して、送付先のメールアドレスを取得し、申請内容の通知、差し戻し通知等を行う。
【００２５】
ＬＤＡＰ連携機能３において、ユーザ登録機能１１１は、申請・承認機能２における上長承認機能１０６からの指示に応じてユーザ登録処理を実行する。この際、必要な情報は全てＬＤＡＰシステム１１４から取得するので、ＥＲＰシステム１上では、ユーザ情報の管理をする必要がなくなる。
【００２６】
また、権限追加機能１１２は、申請・承認機能２における主管元承認機能１０７からの指示に応じて、当該ユーザへの権限の追加を実行し、ユーザ情報同期機能１１３は、申請・承認機能２におけるユーザ認証機能１０８からの指示に応じて、ＬＤＡＰシステム１１４におけるユーザマスタ１１４ｂの情報を基にユーザマスタ４ｆを更新する。
【００２７】
ＬＤＡＰシステム１１４において、ＬＤＡＰサーバ１１４ａは、組織全体の個人情報（ＬＤＡＰ・ＩＤ、氏名、メールアドレス、所属部署、職制など）を、ユーザマスタ１１４ｂを用いて登録管理制御している。
【００２８】
次に、図２〜図８の各フローチャートと図９Ａ〜９Ｆの各テーブルを用いて、ＥＲＰシステム１の各処理手段（機能）の動作について詳細に説明する。尚、以下に説明する各処理手段（機能）の動作は、例えば取得したデータを主メモリ等の記憶装置を用いて一時記憶する処理や、記憶装置から処理対象のデータを読み出す処理等のデータ処理を含む。
【００２９】
図２は、図１におけるユーザ申請受付機能１０５の処理動作例を示すフローチャートであり、図３は、図１における上長承認機能１０６の処理動作例を示すフローチャート、図４は、図１における主管元承認機能１０７の処理動作例を示すフローチャート、図５は、図１におけるユーザ認証機能１０８の処理動作例を示すフローチャート、図６は、図１におけるユーザ登録機能１１１の処理動作例を示すフローチャート、図７は、図１における権限追加機能１１２の処理動作例を示すフローチャート、図８は、図１におけるユーザ情報同期機能１１３の処理動作例を示すフローチャートである。
【００３０】
また、図９Ａは、図１における権限管理テーブル４ｃの具体的な内容例を示す説明図であり、図９Ｂは、図１における主管元管理テーブル４ｅの具体的な内容例を示す説明図、図９Ｃは、図１における申請一覧テーブル４ａの具体的な内容例を示す説明図、図９Ｄは、図１における追加申請一覧テーブル４ｂの具体的な内容例を示す説明図、図９Ｅは、図１における追加権限管理テーブル４ｄの具体的な内容例を示す説明図、図９Ｆは、図１におけるユーザマスタ４ｆの具体的な内容例を示す説明図である。
【００３１】
図２に示すように、端末１０１のブラウザ１０１ａからユーザ登録の申請（当該ユーザのＩＤおよび申請者の上長のＩＤを含む）を受信したユーザ申請受付機能１０５は、まず、ＬＤＡＰ情報取得手段１０５ａにより、ステップＳ２０１における処理として、ＬＤＡＰサーバ検索機能１０９を使用して、ＬＤＡＰシステム１１４のＬＤＡＰサーバ１１４ａにアクセスし、当該ＬＤＡＰサーバ１１４ａが管理するユーザマスタ１１４ｂ（図９Ａに詳細を示すユーザマスタ４ｆの内容と同等）を参照して、端末１０１から入力されたユーザＩＤに対応する所属部署と職位および申請者の上長ＩＤに対応するメールアドレス等の情報を取得する。
【００３２】
次に、権限情報取得手段１０５ｂにより、ステップＳ２０２における処理として、ステップＳ２０１の処理で取得した所属部署と職位をキーにして、図９Ａに詳細を示す予めデータ登録された権限管理テーブル４ｃを検索し、当該申請ユーザに割り当てる権限Ｎｏ（権限番号）を選択する。
【００３３】
そして、ＬＤＡＰ情報格納手段１０５ｃにより、ステップＳ２０３における処理として、ステップＳ２０２の処理で選択した権限Ｎｏと、申請ユーザのユーザＩＤ（ＬＤＡＰ・ＩＤ）、および、申請ユーザの上長のＩＤ（ＬＤＡＰ・ＩＤ）を、図９Ｃに詳細を示す申請一覧テーブル４ａに格納する。
【００３４】
また、権限追加処理手段１０５ｄにより、ステップＳ２０４における処理とて、端末１０１から、申請ユーザ用として、ステップＳ２０２の処理で選択した権限以外の権限が必要であると要求されているか否かを判定する。
【００３５】
権限追加処理手段１０５ｄは、新たな権限要求がなされていれば、ステップＳ２０５における処理として、図９Ａに詳細を示す権限管理テーブル４ｃに登録されている全ての権限情報を一覧として、端末１０１の表示装置の画面上にブラウザ１０１ａを介して表示し、当該端末１０１における操作者（申請者）からの選択を受け付ける。
【００３６】
その後、権限追加処理手段１０５ｄは、ステップＳ２０６における処理として、ステップＳ２０５の処理で端末１０１が追加で選択した権限Ｎｏと、当該申請ユーザのＬＤＡＰ・ＩＤを、図９Ｄに詳細を示すように追加申請一覧テーブル４ｂに格納する。
【００３７】
そして、通知処理手段１０５ｅにより、ステップＳ２０７における処理として、ステップＳ２０４の判定処理で、権限の追加が不要（Ｎ）との結果の場合に、または、ステップＳ２０６での処理後に、メール送信機能１１０を使用して、上長用の端末１０２宛に、申請内容をメールで通知する。その後、ステップＳ２０８において図３に示す上長承認機能１０６の処理を起動する。
【００３８】
ユーザ申請受付機能１０５からの申請内容のメールを受信した端末１０２では、当該上長の操作に基づきブラウザ１０２ａを起動してＥＲＰシステム１にアクセスし、このアクセスに応じて、ＥＲＰシステム１は上長承認機能１０６により、以下のようにして図３に示す処理を実行する。
【００３９】
図３に示すように、上長承認機能１０６は、まず、申請情報処理手段１０６ａにより、ステップＳ３０１における処理として、申請者の上長のＬＤＡＰ・ＩＤをキーに、ユーザ申請受付機能１０５がデータ登録した図９Ｃに詳細を示す申請一覧テーブル４ａを検索し、当該上長ＩＤを特定し、特定した上長に、関連する申請一覧を抽出して当該上長用の端末１０２宛に送信し、ブラウザ１０２ａにより表示させ、申請内容が妥当か否かを、当該上長に問い合わせる。
【００４０】
ステップＳ３０２において、上長用の端末１０２のブラウザ１０２ａから「妥当（Ｙ）」との回答を受信すると、追加権限処理手段１０６ｃにより、ステップＳ３０３における処理として、ユーザ登録申請に追加権限が含まれているか否かをチェックする。
【００４１】
追加権限が含まれていれば（Ｙ）、追加権限処理手段１０６ｃは、ステップＳ３０４における処理として、追加権限の権限Ｎｏをキーに、図９Ａに詳細例を示す内容のデータを予め格納した権限管理テーブル４ｃと図９Ｂに詳細例を示す内容のデータを予め格納した主管元管理テーブル４ｅを検索して、主管元の担当者ＬＤＡＰ・ＩＤを取得する。
【００４２】
そして、通知処理手段１０６ｄにより、ステップＳ３０５における処理として、メール送信機能１１０を使用して、主管元が用いる端末１０３宛に申請内容を通知し、ステップＳ３０６において、図４に示す主管元承認機能１０７を起動する。
【００４３】
ステップＳ３０３での判定処理結果が追加権限が含まれていない（Ｎ）との結果であれば、または、ステップ３０５の処理後に、ユーザ登録処理実行手段１０６ｂにより、ステップＳ３０７における処理として、ユーザ登録機能１１１を起動し、図５に示す処理を実行させる。尚、この際、ユーザ登録処理実行手段１０６ｂは、ユーザ登録機能１１１に、端末１０１から入力されたユーザ登録申請者のＬＤＡＰ・ＩＤを引数として引き渡す。
【００４４】
また、ステップＳ３０２での判定処理結果が申請内容が妥当でない（Ｎ）との結果の場合には、通知処理手段１０６ｄにより、ステップＳ３０８における処理として、メール送信機能１１０を使用して、端末１０１宛に差し戻し情報を通知し、その後、ステップＳ３０９における処理として、申請情報削除処理手段１０６ｅにより、図９Ｃに詳細を示す申請一覧テーブル４ａと図９Ｄに詳細を示す追加申請一覧テーブル４ｂから、端末１０１から入力されたＬＤＡＰ・ＩＤに関連するエントリを全て削除する。
【００４５】
上長承認機能１０６からの申請内容のメールを受信した端末１０３では、主管元の操作に基づきブラウザ１０３ａを起動してＥＲＰシステム１にアクセスし、このアクセスに応じて、ＥＲＰシステム１は主管元承認機能１０７により、図４に示す処理を実行する。
【００４６】
図４に示すように、主管元承認機能１０７は、まず、追加申請処理手段１０７ａにより、ステップＳ４０１における処理として、主管元の担当者ＬＤＡＰ・ＩＤをキーに、図９Ａに示す権限管理テーブル４ｃと、図９Ｂに示す主管元管理テーブル４ｅ、および、図９Ｄに示す追加申請一覧テーブル４ｂを検索して、追加申請の一覧を生成し、主管元用の端末１０３に送出してブラウザ１０３ａにより、その表示装置の画面上に表示させ、ステップＳ４０２における処理として、申請内容が妥当か否かを、端末１０３の操作者（主管元）に問い合わせる。
【００４７】
端末１０３（主管元）からの回答が「妥当（Ｙ）」であれば、権限追加処理手段１０７ｂにより、ステップＳ４０３における処理として、ＬＤＡＰ連携機能３における権限追加機能１１２を起動する。この際、権限追加処理手段１２０７ｂは、権限追加機能１１２に対して、端末１０１から入力されたユーザ登録申請者のＬＤＡＰ・ＩＤと追加権限の権限Ｎｏを引数として引き渡す。
【００４８】
ステップＳ４０２の判定処理結果が「Ｎ」の場合には、通知処理手段１０７ｃにより、ステップＳ４０４における処置として、メール送信機能１１０を使用し、端末１０１宛に差し戻し情報を通知し、その後、情報削除処理手段１０７ｄにより、ステップＳ４０５における処理として、追加申請一覧テーブル４ｂから当該ユーザ登録申請者のＬＤＡＰ・ＩＤに関連するエントリを全て削除する。
【００４９】
図５においては、ユーザ認証機能１０８の処理動作を示しており、ユーザ認証機能１０８は、端末１０４からブラウザ１０４ａを介してユーザのログオン要求があれば、ＬＤＡＰ情報処理手段１０８ａにより、ステップＳ５０１における処理として、ユーザ情報同期機能１１３を起動し、最新のユーザ情報を取得する。この際、ＬＤＡＰ情報処理手段１０８ａは、ユーザ情報同期機能１１３に対して、端末１０４から入力された登録対象ユーザのＬＤＡＰ・ＩＤを引数として引き渡す。
【００５０】
そして、ステップＳ５０２における処理として、ログオン処理手段１０８ｂにより、ユーザ情報同期機能１１３により最新とされたユーザ情報とそれに伴う権限に基づき、端末１０４をＥＲＰシステム１へログオンさせる。
【００５１】
図６においては、ＬＤＡＰ連携機能３におけるユーザ登録機能１１１の処理動作を示しており、ユーザ登録機能１１１は、上長承認機能１０６からの指示に応じ、まず、ステップＳ６０１において、ＬＤＡＰサーバ検索機能１０９を使用してＬＤＡＰシステム１１４にアクセスし、ＬＤＡＰサーバ１１４ａと連携して、上長承認機能１０６から引き継いだ登録対象ユーザのＬＤＡＰ・ＩＤに対応した各種情報をユーザマスタ１１４ｂから取得する。
【００５２】
次に、ステップＳ６０２において、上記ステップＳ６０１の処理で取得した各種情報と、申請一覧テーブル４ａに格納された権限Ｎｏとを用いて、ユーザマスタ４ｆに、当該ユーザに関してのデータを登録する。
【００５３】
そして、ステップＳ６０３において、メール送信機能１１０を使用し、端末１０１宛に、ユーザＩＤ登録完了を示す情報を通知し、ステップＳ６０４において、申請一覧テーブル４ａから、当該ユーザのＬＤＡＰ・ＩＤに関するエントリを削除する。
【００５４】
図７においては、ＬＤＡＰ連携機能３における権限追加機能１１２の処理動作を示しており、権限追加機能１１２は、主管元承認機能１０７からの指示に応じ、まず、ステップＳ７０１において、主管元承認機能１０７から引き継いだ登録対象ユーザのＬＤＡＰ・ＩＤをキーにユーザマスタ４ｆを検索し、このユーザマスタ４ｆにおける当該ユーザのエントリに、主管元承認機能１０７から引き継いだ追加権限の権限Ｎｏを追加する。
【００５５】
次に、ステップＳ７０２において、主管元承認機能１０７から引き継いだ登録対象ユーザのＬＤＡＰ・ＩＤと追加した権限Ｎｏとを対応付けて、追加権限管理テーブル４ｄに格納する。
【００５６】
その後、ステップＳ７０３において、メール送信機能１１０を使用して端末１０１宛に権限追加完了を示す情報を通知し、ステップＳ７０４において、追加申請一覧テーブル４ｂから、主管元承認機能１０７から引き継いだ登録対象ユーザのＬＤＡＰ・ＩＤと追加した権限Ｎｏに関連するエントリを削除する。
【００５７】
図８においては、ＬＤＡＰ連携機能３におけるユーザ情報同期機能１１３の処理動作例を示しており、ユーザ情報同期機能１１３は、ユーザ認証機能１０８からの指示に応じて、まず、ステップＳ８０１において、ＬＤＡＰサーバ検索機能１０９を使用してＬＤＡＰシステム１１４にアクセスし、ＬＤＡＰサーバ１１４ａと連携して、ユーザ認証機能１０８から引き継いだ端末１０４のユーザのＬＤＡＰ・ＩＤに対応した各種情報をユーザマスタ１１４ｂから取得する。
【００５８】
次に、ステップＳ８０２において、上記ステップＳ８０１の処理で取得した各種情報とユーザマスタ４ｆにおける情報との間に差異があるか否かをチェックする。
【００５９】
差異があれば（「Ｙ」の場合）、ステップＳ８０３において、ステップＳ８０１の処理で取得した情報を用いてユーザマスタ４ｆにおける当該情報を更新する。
【００６０】
その後、あるいは、ステップＳ８０２の判定結果が「Ｎ」の場合（差異がない場合）、ステップＳ８０４において、ユーザ認証機能１０８から引き継いだ端末１０４のユーザのＬＤＡＰ・ＩＤと、ユーザマスタ４ｆの所属部署と職位をキーに権限管理テーブル４ｃを検索して、当該ユーザに付与された権限Ｎｏを取得する。
【００６１】
さらに、ステップＳ８０５において、端末１０４のユーザＬＤＡＰ・ＩＤをキーに追加権限管理テーブル４ｄを検索して、当該ユーザに付与された追加権限の権限Ｎｏを取得し、ステップＳ８０６において、ステップＳ８０４の処理で取得した権限ＮｏとステップＳ８０５の処理で取得した権限Ｎｏのそれぞれ（図中「丸１，２」と記載）と、ユーザマスタ４ｆにおいて当該ユーザに対して付与されている権限Ｎｏとを比較して、差異の有無を判定する。
【００６２】
そして、差異があれば（「Ｙ」の場合）、ステップＳ８０７において、ユーザマスタ４ｆから全ての権限Ｎｏを除外（削除）し、ステップＳ８０４，Ｓ８０５のそれぞれの処理で取得した権限Ｎｏを新たに付与して処理を終了する。
【００６３】
以上、図１〜図９Ｆを用いて説明したように、本例のＥＲＰユーザ情報管理技術では、ユーザ申請受付機能１０５において、ユーザ登録申請者が操作する通信端末１０１からのユーザ登録申請要求を受信すると、ＬＤＡＰ情報取得部１０５ａおよびＬＤＡＰサーバ検索機能１０９により、ＬＤＡＰシステム１１４におけるＬＤＡＰサーバ１１４ａにアクセスし、このＬＤＡＰサーバ１１４ａが予めユーザマスタ１１４ｂとして記憶管理しているユーザ情報を参照して、受信したユーザ登録申請要求に含まれるユーザ識別子（ユーザＩＤ）に対応する所属部署と職位および権限を少なくとも含むユーザ情報を取得し、ユーザ登録機能１１１により、取得したユーザ情報を当該ユーザＩＤに対応付けてＥＲＰシステムのユーザマスタ情報として生成して記憶装置（ユーザマスタ４ｆ）に格納することを特徴とする。
【００６４】
また、上長承認機能１０６においては、ユーザ登録機能１１１によるユーザマスタ４ｆの生成・格納を行う前に、通信端末１０１から受信したユーザ登録申請要求を、当該ユーザ登録申請者の上長が操作する通信端末１０２に通知し、この上長によるユーザ登録申請要求の妥当性の判定を依頼し、この上長通信端末１０２から妥当であるとの判定結果を受信した後に、ユーザ登録機能１１１によるユーザマスタ４ｆの生成・格納を行うことを特徴とする。
【００６５】
また、ユーザ申請受付機能１０５は、ユーザ登録機能１１１によるユーザマスタ４ｆの生成・格納を行う前に、通信端末１０１から受信したユーザ登録申請要求に、ＬＤＡＰサーバ１１４ａから取得した権限以外の追加権限の要求があるか否かを判定し、追加権限要求があれば、予め定められた主管元の担当者が操作する通信端末１０３に、当該追加権限要求を通知し、主管元担当者による妥当性の判定を依頼し、この主管元通信端末１０３から妥当であるとの判定結果を受信すれば、当該追加権限を、ユーザ情報に付加した後に、ユーザ登録機能１１１によるユーザマスタ４ｆの生成・格納を行うことを特徴とする。
【００６６】
また、ユーザが操作する通信端末１０４からのユーザログオン要求があれば、ユーザ認証機能１０８において、ＬＤＡＰサーバ検索機能１０９を介してＬＤＡＰサーバ１１４ａにアクセスし、このＬＤＡＰサーバ１１４ａのユーザマスタ１１４ｂから、ログオン要求してきたユーザの識別子に対応するユーザ情報を取得して、ユーザ登録機能１１１により格納した当該ユーザ識別子に対応付けられたユーザマスタ情報を更新することを特徴とする。
【００６７】
このようなＥＲＰユーザ情報管理技術を具備したＥＲＰシステム１（ＳＡＰ（登録商標）システム）は、ＬＤＡＰサーバ１１４ａから、当該ＬＤＡＰサーバ１１４ａがユーザマスタ１１４ｂで管理するユーザ情報を取得し、ユーザＩＤの自動登録および権限変更を行う。これにより、システム管理者のユーザ管理に対する工数を削減することができる。
【００６８】
特に、ユーザがＥＲＰシステム１にログオンするたびに、ＬＤＡＰサーバ１１４ａがユーザマスタ１１４ｂで管理するユーザ情報を取得することで、本来ユーザに許可された権限のみを再配布する。これにより、ユーザに付与された権限情報を悪意により変更された場合でも、このような悪意を持ったユーザの権限を越えてのログオンを防止することができる。
【００６９】
このように、本例によれば、自動的に、ＥＲＰシステム１におけるユーザマスタ４ｆのメンテナンスを実施することができ、ユーザ管理に対するシステム管理者の工数を大幅に削減し、かつ、悪意を持ったユーザに対するセキュリティ機能を向上させることが可能である。
【００７０】
尚、本発明は、図１〜図９Ｆを用いて説明した例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能である。例えば、本例では、ＥＲＰシステムとしてＳＡＰ（登録商標）システムを例に説明したが、他のＥＲＰシステムにも適用可能である。
【００７１】
また、本例では、端末１０１からのユーザ申請者によるユーザ登録申請要求に、登録対象のユーザ識別子（ユーザＩＤ）と共に上長のユーザ識別子（ユーザＩＤ）を含ませているが、ＬＤＡＰサーバ１１４ａが管理するユーザマスタ１１４ｂ（図９Ｆにおけるユーザマスタ４ｆ）において、ユーザＩＤに上長ユーザ識別子（ユーザＩＤ）を対応付けておくことにより、ユーザ登録申請要求時における上長のユーザ識別子（ユーザＩＤ）の通知を不要とすることでも良い。
【００７２】
また、このような図９Ｆにおけるユーザマスタ４ｆを含め、図９Ａ〜図９Ｆのそれぞれで示される各テーブルにおけるデータ例は、実施の状況に応じて適宜に設定されるものである。
【００７３】
また、本例のコンピュータ構成例においても、キーボードや光ディスクの駆動装置の無いコンピュータ構成としても良い。また、本例では、光ディスクを記録媒体として用いているが、ＦＤ等を記録媒体として用いることでも良い。また、プログラムのインストールに関しても、通信装置を介してネットワーク経由でプログラムをダウンロードしてインストールすることでも良い。
【図面の簡単な説明】
【００７４】
【図１Ａ】本発明に係るＥＲＰユーザ管理システムの構成例を示すブロック図である。
【図１Ｂ】図１におけるユーザ申請受付機能の詳細構成例を示すブロック図である。
【図１Ｃ】図１における上長承認機能の詳細構成例を示すブロック図である。
【図１Ｄ】図１における主管元承認機能の詳細構成例を示すブロック図である。
【図１Ｅ】図１におけるユーザ認証機能の詳細構成例を示すブロック図である。
【図２】図１におけるユーザ申請受付機能の処理動作例を示すフローチャートである。
【図３】図１における上長承認機能の処理動作例を示すフローチャートである。
【図４】図１における主管元承認機能の処理動作例を示すフローチャートである。
【図５】図１におけるユーザ認証機能の処理動作例を示すフローチャートである。
【図６】図１におけるユーザ登録機能の処理動作例を示すフローチャートである。
【図７】図１における権限追加機能の処理動作例を示すフローチャートである。
【図８】図１におけるユーザ情報同期機能の処理動作例を示すフローチャートである。
【図９Ａ】図１における権限管理テーブルの具体的な内容例を示す説明図である。
【図９Ｂ】図１における主管元管理テーブルの具体的な内容例を示す説明図である。
【図９Ｃ】図１における申請一覧テーブルの具体的な内容例を示す説明図である。
【図９Ｄ】図１における追加申請一覧テーブルの具体的な内容例を示す説明図である。
【図９Ｅ】図１における追加権限管理テーブルの具体的な内容例を示す説明図である。
【図９Ｆ】図１におけるユーザマスタの具体的な内容例を示す説明図である。
【符号の説明】
【００７５】
１：ＥＲＰシステム（ＳＡＰ（登録商標）システム）、２：申請・承認機能、３：ＬＤＡＰ連携機能、４：データ記憶部、４ａ：申請一覧テーブル、４ｂ：追加申請一覧テーブル、４ｃ：権限管理テーブル、４ｄ：追加権限管理テーブル、４ｅ：主管元管理テーブル、４ｆ：ユーザマスタ、１０１〜１０４：端末、１０１ａ〜１０４ａ：ブラウザ、１０５：ユーザ申請受付機能、１０５ａ：ＬＤＡＰ情報取得手段、１０５ｂ：権限情報取得手段、１０５ｃ：ＬＤＡＰ情報格納手段、１０５ｄ：権限追加処理手段、１０５ｅ：通知処理手段、１０６：上長承認機能、１０６ａ：申請情報処理手段、１０６ｂ：ユーザ登録処理実行手段、１０６ｃ：追加権限処理手段、１０６ｄ：通知処理手段、１０６ｅ：申請情報削除処理手段、１０７：主管元承認機能、１０７ａ：追加申請処理手段、１０７ｂ：権限追加処理手段、１０７ｃ：通知処理手段、１０７ｄ：情報削除処理手段、１０８：ユーザ認証機能、１０８ａ：ＬＤＡＰ情報処理手段、１０８ｂ：ログオン処理手段、１０９：ＬＤＡＰサーバ検索機能、１１０：メール送信機能、１１１：ユーザ登録機能、１１２：権限追加機能、１１３：ユーザ情報同期機能、１１４：ＬＤＡＰシステム、１１４ａ：ＬＤＡＰサーバ、１１４ｂ：ユーザマスタ。
【図１Ａ】
2008217740.tif 000003
【図１Ｂ】
2008217740.tif 000004
【図１Ｃ】
2008217740.tif 000005
【図１Ｄ】
2008217740.tif 000006
【図１Ｅ】
2008217740.tif 000007
【図２】
2008217740.tif 000008
【図３】
2008217740.tif 000009
【図４】
2008217740.tif 000010
【図５】
2008217740.tif 000011
【図６】
2008217740.tif 000012
【図７】
2008217740.tif 000013
【図８】
2008217740.tif 000014
【図９Ａ】
2008217740.tif 000015
【図９Ｂ】
2008217740.tif 000016
【図９Ｃ】
2008217740.tif 000017
【図９Ｄ】
2008217740.tif 000018
【図９Ｅ】
2008217740.tif 000019
【図９Ｆ】
2008217740.tif 000020