(57)【要約】【課題】特定のアプリケーションの特定の部位に記録された情報に対して、利用者ごとにアクセスを制御することのできるアクセス制御システム及びこれに使用するアドインモジュールの提供を目的とする。【解決手段】管理者によって、予め、権限付与サーバに特定のアプリケーションの特定部分への各個人のアクセス権限の内容が登録されている。そして、トークンや秘密鍵アクセス用のデバイスなどで、当該個人が当該ＰＣ端末へアクセス権限を有しているか否かの認証が行なわれる。このような状態から各個人のＰＣ端末にインストールされたアドインモジュールが、権限付与サーバに対して、当該個人が特定のアプリケーションに対してどのようなアクセス権限を有しているかの権限情報を要求し、取得する。当該個人は、権限付与サーバに登録された権限内容の範囲でしかアクセスが許可されていないので、その許可された権限の内容に応じたアクションが可能となる。【選択図】  図１
2008090701.tif 000002
【特許請求の範囲】
【請求項１】
個人が使用するＰＣ端末と、該個人のＰＣ端末を認証する認証サーバと、各個人のＰＣ端末に対する権限情報を管理する権限付与サーバと、前記個人のＰＣ端末にインストールされて権限付与サーバへ登録された権限情報の実行を管理するアドインモジュールと、前記認証サーバへ各個人の認証情報を登録すると共に前記権限付与サーバへ各個人の権限情報を登録し、前記アドインモジュールへ各個人の情報及びその他の情報を登録する管理者の管理端末とで構成したことを特徴とする認証アクセス制御システム。
【請求項２】
権限付与サーバに登録された権限情報を取得し、特定のアプリケーションの特定部分へのアクセスの可否を判断するアクセス判断部と、前記アクセス判断部の判断結果に応じて権限情報の内容を実行する権限実行部とを有していることを特徴とする前記請求項１の認証アクセス制御システムに使用するアドインモジュール。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特定のアプリケーションの特定の部分に対して各個人のＰＣ端末からのアクセスを個別に制御する技術に関するものである。
【背景技術】
【０００２】
従来の認証アクセス制御に関する技術としては、例えば、特許文献１及び特許文献２に記載された発明がある。特許文献１に記載された発明は、私設網内の複数のＰＣ端末から一度の認証手続きのみで仮想閉域網内のアプリケーションサーバへのアクセスを可能にするものであって、私設網の各個人のＰＣ端末と、特定のアプリケーションサーバである仮想閉域網との間の認証アクセス制御を行っている。認証アクセス制御部は、認証機能付きパケット通信装置と、リモートアクセスサーバと、ネットワークアクセスサーバと、アプリケーション認証アクセス制御サーバと、転送ノードとで構成されている。
【０００３】
私設網に新たにＰＣ端末が接続されると、認証機能付きパケット通信装置が、端末の利用者に対して認証を要求する。そして、認証に成功すると、そのＰＣ端末に対してアドレスを付与する。その後、アドレスを付与されたＰＣ端末が仮想閉域網宛ての通信を要求すると、認証機能付きパケット通信装置は、それを受けてネットワーク認証アクセス制御サーバに対して接続要求を行なう。ネットワーク認証アクセス制御サーバは、利用者ＰＣ端末から仮想閉域網へのアクセスに必要となる権限情報を取得して、仮想閉域網へのアクセスの可否判定を要求する。この許可が得られると、ネットワーク認証アクセス制御サーバは、利用者ＰＣ端末が仮想閉域網に接続されるように、転送ノードとリモートアクセスサーバとに対して接続パスの設定を行ない、アクセスを可能としている。前記認証情報は、ネットワーク認証アクセス制御サーバに登録される。従って、これ以降は、利用者がＰＣ端末からアプリケーシ
ョンサーバに対してアクセス要求をすると、改めて認証手続を求められることなく、アクセスが可能となる。
【０００４】
特許文献２に記載された発明は、ネットワーク上で提供されるサービスを、他人になりすまして利用することを防止するのが目的である。通常、ネットワーク接続のための認証及び認可と、サービス利用のための認証及び認可は、異なる運用主体が行っているので、各々の認証に用いる識別情報は異なっており、かつ、それらの異なる識別情報が同一人物のものであるか否かの検査は行われていない。そのため、インターネットへの接続は自身が正当に所持する識別情報とパスワードで行い、サービスを利用するための識別情報とパスワードは他人のものを盗用した場合でも、当該サービスの利用は可能になる。特許文献２では、このような他人のなりすまし利用を防止せんとするものである。
【０００５】
そこで、この特許文献２の発明では、ネットワーク上で提供されるサービスの利用者が、ネットワークへの接続を許可されるための第１の認証に使用する第１の識別情報と、サービスの利用を許可されるための第２の認証に使用する第２の識別情報との対応関係を保持する手段と、ネットワークへの接続を許可された利用者に付与される第３の識別情報と、当該利用者の第１の識別情報との対応関係を保持する手段と、第２の認証のためのパケットに含まれる第２の識別情報と第３の識別情報との対応関係を検査する手段とで構成し、異なる識別情報の対応関係を検査することで、ネットワーク接続を許可された利用者とサービスを受けようとする利用者が同一人物であるか否かを判定し、なりすましへの対策を強化するようにしている。
【特許文献１】特開２００４−２４０８１９号公報
【特許文献２】特開２００６−１１３６２４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
ところが、前記した通り、特許文献１及び特許文献２に示す技術は、特定のアプリケーションへのアクセス制御又はインターネットでのサービスを受ける際のアクセス制御を行うものである。最近では、個人情報の保護、秘密情報の漏洩防止などの観点から特定の人が特定のアプリケーションの中の特定の部分（例えば、個人情報や営業秘密が記載された部分）に対するアクセスを制御する必要性が増大している。例えば、参照、編集、印刷、コピー、認証、送信等の各アクションを社員の一人一人について、個別に制御する必要性が増大している。このような要求に対して、前記特許文献１及び２の技術では特定のアプリケーションへのアクセスを制御できるのみであって、そのアプリケーションの中に記録された個別の情報へのアクセス制御は、利用者ごとに行うことができないという欠点があった。
【０００７】
本発明は従来の前記課題に鑑みてこれを改良除去したものであって、特定のアプリケーションの特定の部位に記録された情報に対して、利用者ごとにアクセスを制御することのできるアクセス制御システム及びこれに使用するアドインモジュールを提供せんとするものである。
【課題を解決するための手段】
【０００８】
而して、前記課題を解決するために本発明が採用した請求項１の手段は、個人が使用するＰＣ端末と、該個人のＰＣ端末を認証する認証サーバと、各個人のＰＣ端末に対する権限情報を管理する権限付与サーバと、前記個人のＰＣ端末にインストールされて権限付与サーバへ登録された権限情報の実行を管理するアドインモジュールと、前記認証サーバへ各個人の認証情報を登録すると共に前記権限付与サーバへ各個人の権限情報を登録し、前記アドインモジュールへ各個人の情報及びその他の情報を登録する管理者の管理端末とで構成したことを特徴とする認証アクセス制御システムである。
【０００９】
本発明が採用した請求項２の手段は、権限付与サーバに登録された権限情報を取得し、特定のアプリケーションの特定部分へのアクセスの可否を判断するアクセス判断部と、前記アクセス判断部の判断結果に応じて権限情報の内容を実行する権限実行部とを有していることを特徴とする前記請求項１の認証アクセス制御システムに使用するアドインモジュールである。
【発明の効果】
【００１０】
請求項１の発明にあっては、管理者によって、予め、権限付与サーバに特定のアプリケーション（データファイルを含む、以下、同じ）の特定部分への各個人がアクセスできる内容（各個人の属性情報及び参照、編集、印刷、コピー、認証、送信等の各アクションに関する情報）が登録されている。このような状態から、先ず、例えば、トークンや秘密鍵アクセス用のデバイスを個人のＰＣ端末へ接続すると、当該個人が当該ＰＣ端末へアクセス権限を有しているか否かの認証が行われる。認証は、認証サーバとの間でトークンを使用した一般的なＰＫＩ、（生体）認証技術等を利用して行われる。
【００１１】
ＰＣ端末には、アドインモジュールがインストールされている。当該アドインモジュールは、前記権限付与サーバに登録された特定アプリケーションの特定部分へのアクセス権限の可否を判断するアクセス判断部を有している。ある個人の利用者が特定のアプリケーションサーバへの接続を要求すると、アドインモジュールが権限付与サーバに対して、当該個人が当該アプリケーションに対してどのような権限を有しているかの権限情報を要求し、取得する。そして、その権限情報の内容が判断される。当該個人は、権限付与サーバに登録された権限内容しかアクセスが許可されていないので、その許可された権限の内容に応じたアクションが可能となる。
つまり、特定アプリケーションの特定部分へのアクセスを各利用者ごとにしかも個別のアクションごとに制御することが可能である。
【００１２】
請求項２の発明は、前記アクセス制御システムに使用するアドインモジュールの発明である。アドインモジュールは、既に説明したように、権限付与サーバに登録された権限情報を取得し、特定のアプリケーションの特定部分へのアクセスの内容を判断するアクセス判断部と、前記アクセス判断部の判断結果に応じて権限情報の内容を実行する権限実行部とを有しており、請求項１の発明を実行するものである。
【発明を実施するための最良の形態】
【００１３】
以下に、本発明の構成を図面に示す発明の実施の形態に基づいて説明すると次の通りである。図１は本発明の一実施の形態に係る認証アクセス制御システムの全体を示すブロック構成図である。
同図に示すごとく、この実施の形態の認証アクセス制御システムは、管理者が管理するサーバ群１と管理者のＰＣ端末２とを有している。サーバ群１は、ＣＡサーバ、認証サーバ、権限付与サーバ、リポジトリサーバ等からなるＰＫＩサーバ群３と、外部からのアクセス認証を行うＲＡＳサーバ４と、データファイルＡなどの各種のデータが保存されているデータベース５とで構成されている。ＣＡサーバは、証明書の発行や証明書失効リスト（ＣＲＬ／ＡＲＬ／ＯＣＳＰ）の発行及び秘密鍵の生成などを行う。認証サーバは、トークンアクセス用ＰＩＮコードの保持及び利用者のユーザＩＤやパスワード等の本人性情報を保持し、利用者本人の認証を行う。権限付与サーバは、主体と資源と動作に関するアクセス制御のルールを作成し、保持するためのものであり、図４に示すように、権限要求登録部１３と属性情報提供部１４とを有している。リポジトリサーバは、公開鍵証明書の保持及び公開と、ＣＲＬ
／ＡＲＬ／ＯＣＳＰの保持及び公開とを行う。ＲＡＳサーバ４は、外部と社内ＬＡＮとの中継を行い、リモートアクセス機能を有している。データファイルＡは、この実施の形態の場合、Microsoft Office Word、Microsoft Office Excel、Microsoft Office PowerPoint、Microsoft OfficeInfoPath（いずれも登録商標）等の特定のアプリケーションにより作成したファイルである。
【００１４】
それぞれの利用者（この実施の形態では、社員甲、社員乙、社員丙の三人の場合を例示している）のＰＣ端末６〜８には、秘密鍵アクセス用のデバイス又はトークン９が接続される。また各ＰＣ端末６〜８には、アドインモジュール１０がインストールされている。アドインモジュール１０は、図４に示すように、前記権限付与サーバに登録された特定アプリケーションの特定部分へのアクセス権限の内容を判断するアクセス判断部１１を有している。またアドインモジュール１０は、アクセス判断部１１に対して権限付与要求分の作成を依頼する権限付与要求文作成部１２を有している。これは、登録済み権限情報以外の権限情報が該当するアプリケーション中にあった場合に、要求分を作成して権限付与サーバの権限要求登録部１３に確認するためのものである。
【００１５】
次に、このように構成された認証アクセス制御システムの具体的なアクセス制御態様について、図３のフローチャートを参照して説明する。先ず、事前準備作業として、図２のシーケンスフローチャートに示すように、管理者のＰＣ端末２から各社員甲〜丙の個人属性情報及び権限情報等を認証サーバ、権限付与サーバ、アドインモジュールに対して登録する。認証サーバに対しては、各社員個人のＩＤやパスワード等の属性情報を登録する。また権限付与サーバに対しては、図４に示す権限情報登録部１５に、各社員個人に与えられた特定のアプリケーション（データファイルを含む、以下、同じ）の特定部分への各個人がアクセスできる内容（各個人の属性情報及び参照、書き込み、編集、印刷、コピー、認証、送信等の各アクションに関する情報）を登録する。更に、各社員個人のＰＣ端末６〜８にインストールされるアドインモジュール１０に対しては、各社員のＩＤやパスワード以外のその他の個
人の属性情報（例えば、所属部署や担当など）を登録する。
【００１６】
図３のフローチャートに示す事前準備作業が完了した後は、特定のアプリケーションに対する特定の部分へのアクセスコントロールがなされる。先ず、社員甲が社外からアクセスしているのか社内からアクセスしているのかの判断がなされる。社外からアクセスしている場合は、ＲＡＳサーバ４がアクセス要求を受信し、社員甲がアクセス権を有しているかの判断がなされる。これはトークン又は一般的なＩＤやパスワードを用いた認証方法などでその判断が行われる。社員甲がアクセス権を有している場合は、アクセスを受け入れる。アクセス権を有していない場合は、アクセスを拒絶し、処理を終了する。社外からのアクセス権を有している場合及びアクセス要求が社内からのものである場合は、以下に示す手順の処理が行われる。
【００１７】
すなわち、社員甲のＰＣ端末６は、認証サーバに接続され、トークンなどに登録されている個人属性情報の内容と、認証サーバに登録されている個人属性情報の内容との照合が行われる。認証が不可であれば、以降のアクセスを拒否し、処理を終了する。認証可能であれば、図４に示すように、アドインモジュール１０のアクセス判断部１１は、権限付与サーバの属性情報提供部１４を通じて権限情報登録部１５から当該社員甲に与えられた権限情報を取得する。一方、アクセス判断部１１は、取得した権限情報以外の権限情報がアクセス要求している特定のアプリケーションのデータに登録されている場合は、権限付与作成部１２に対して権限付与要求文の作成を要求し、作成された権限付与要求文を権限付与サーバの権限要求登録部１３に送信する。これに対して権限付与要求登録部１３は、権限付与応答文を返信する。これにより、特定のアプリケーションのデータに登録されている前記取得した権限情
報以外の他の権限情報の内容を確認する。
【００１８】
これらの権限情報の取得及び権限情報以外の情報を確認した後は、アドインモジュール１０は、図５に示すように、前記属性情報提供部１４を通じて権限情報登録部１５から取得した当該社員甲の権限情報を実行する。すなわち、権限情報及びこれ以外の情報の種別を判別する。判別は、除法が署名情報であるか、暗号情報であるか、その他の情報であるかに区別される。署名情報である場合は、リポジトリサーバから公開鍵証明書を取得し、署名値の自動検証を行う。自動検証が成功であれば、署名情報の表示を行って処理を終了し、不成功であればエラー表示して処理を終了する。また暗号情報である場合は、社員甲自身の秘密鍵を使用して暗号値を自動復号し、自動復号が成功であれば、復号値の表示を行って処理を終了し、不成功であればエラー表示して処理を終了する。更に、その他の権限情報である場合は、その権限情報の内容に応じた処理が行われる。例えば、取得した権限情報が参照を可能と
する内容であれば、アクセス要求している特定のアプリケーションの特定の部分の情報をそのまま表示する。また取得した権限情報が印刷を可能とする内容であれば、アクセス要求している特定のアプリケーションの特定の部分の情報の印刷処理を行う。このようにして権限情報の実行が行われた後は全ての処理を終了する。
【００１９】
このように、本実施の形態におけるアドインモジュール１０は、ある個人の利用者が特定のアプリケーションサーバへの接続を要求すると、権限付与サーバに対して当該個人が当該アプリケーションに対してどのような権限を有しているかの権限情報を要求して取得し、その権限情報の内容を実行するようになっている。つまり、特定アプリケーションの特定部分へのアクセスを利用者ごとにしかも個別のアクションごとに制御することが可能である。
【図面の簡単な説明】
【００２０】
【図１】本発明の一実施の形態に係る認証アクセス制御システムの全体を示す概略図である。
【図２】本発明の一実施の形態に係るものであり、管理者端末のシーケンスフローチャートを示す図面である。
【図３】本発明の一実施の形態に係るものであり、全体のフローチャートを示す図面である。
【図４】本発明の一実施の形態に係るものであり、アドインモジュールの機能を説明するブロック図である。
【図５】本発明の一実施の形態に係るものであり、アドインモジュールの実行処理手順をフローチャート図である。
【符号の説明】
【００２１】
１…サーバ群、２…管理者のＰＣ端末、３…ＰＫＩサーバ群、４…ＲＡＳサーバ、５…データベース、６〜８…各社員の端末、９…トークン又は秘密鍵アクセス用デバイス、１０…アドインモジュール、１１…アクセス判断部、１２…権限付与要求文作成部、
１３…権限要求登録部、１４…属性情報提供部、１５…権限情報登録部、Ａ…データファイル
【図１】
2008090701.tif 000003
【図２】
2008090701.tif 000004
【図３】
2008090701.tif 000005
【図４】
2008090701.tif 000006
【図５】
2008090701.tif 000007