(57)【要約】【課題】  クライアントＰＣにインストールされたセキュリティ目的のアドオンソフトが利用者によって不正に削除されると、クライアントＰＣ上のセキュリティ機能が不正に無効化されてしまう。【解決手段】  クライアントＰＣに対して追加インストールされた追加ソフトウェアの状態情報と、クライアントＰＣの利用者のアクセス権限を取得し、これらに基づいてチケットを生成する。このとき、セキュリティ強化用の追加ソフトウェアが非動作状態であれば、利用者のアクセス権限を不許可とするなど、アクセス権限を制限したチケットが生成される。一方、追加ソフトウェアが動作状態であれば、利用者本来のアクセス権限に応じたチケットが生成される。【選択図】  図５
2008141626.tif 000002
【特許請求の範囲】
【請求項１】
画像処理装置と、該画像処理装置にジョブを投入するクライアントコンピュータと、該クライアントコンピュータから前記画像処理装置へのアクセスを制御するサーバ装置と、がネットワークを介して接続された画像処理システムであって、前記サーバ装置は、
前記クライアントコンピュータの利用者についての前記画像処理装置に対するアクセス権限を管理する利用者管理手段と、
前記クライアントコンピュータに対して追加インストールされたソフトウェアの状態情報を管理するソフト構成管理手段と、
前記クライアントコンピュータの利用者による前記画像処理装置に対するアクセスを制御するためのチケットの要求があった場合に、前記ソフトウェアの状態情報に基づいてチケットを生成するチケット生成手段と、を有し、
前記チケット生成手段は、前記ソフト構成管理手段で管理されている追加ソフトウェアの状態情報が非動作状態を示す場合に、前記利用者のアクセス権限が狭まるように制限したチケットを生成することを特徴とする画像処理システム。
【請求項２】
前記チケット生成手段は、前記ソフト構成管理手段で管理されている追加ソフトウェアが非動作状態である場合に、該利用者のアクセス権限をアクセス不許可としたチケットを生成することを特徴とする請求項１記載の画像処理システム。
【請求項３】
前記ソフト構成管理手段は、前記クライアントコンピュータへ前記追加ソフトウェアがインストールされたことに応じて、該追加ソフトウェアの状態情報を作成することを特徴とする請求項１または２に記載の画像処理システム。
【請求項４】
前記ソフト構成管理手段は、前記クライアントコンピュータにおいて前記追加ソフトウェアがアンインストールされたことに応じて、該追加ソフトウェアの状態情報を削除することを特徴とする請求項１乃至３のいずれか１項に記載の画像処理システム。
【請求項５】
前記ソフト構成管理手段は、前記クライアントコンピュータ上で利用者によって前記追加ソフトウェアが利用されたことに応じて、該追加ソフトウェアの状態情報を更新することを特徴とする請求項１乃至４のいずれか１項に記載の画像処理システム。
【請求項６】
前記追加ソフトウェアは、前記クライアントコンピュータにおけるアドオンソフトウェアであることを特徴とする請求項１乃至５のいずれか１項に記載の画像処理システム。
【請求項７】
前記追加ソフトウェアは、監査ログ生成用の処理を実行するものであることを特徴とする請求項１乃至６のいずれか１項に記載の画像処理システム。
【請求項８】
画像処理装置と、該画像処理装置にジョブを投入するクライアントコンピュータと、該クライアントコンピュータから前記画像処理装置へのアクセスを制御するサーバ装置と、がネットワークを介して接続された画像処理システムであって、前記サーバ装置において、
利用者管理手段が、前記クライアントコンピュータの利用者についての前記画像処理装置に対するアクセス権限を管理する利用者管理ステップと、
ソフト構成管理手段が、前記クライアントコンピュータに対して追加インストールされたソフトウェアの状態情報を管理するソフト構成管理ステップと、
チケット生成手段が、前記クライアントコンピュータの利用者による前記画像処理装置に対するアクセスを制御するためのチケットの要求があった場合に、前記ソフトウェアの状態情報に基づいてチケットを生成するチケット生成ステップと、を有し、
前記チケット生成ステップにおいては、前記ソフト構成管理ステップにおいて管理されている追加ソフトウェアの状態情報が非動作状態を示す場合に、前記利用者のアクセス権限が狭まるように制限したチケットを生成することを特徴とする画像処理システムの制御方法。
【請求項９】
前記チケット生成ステップにおいては、前記ソフト構成管理ステップにおいて管理されている追加ソフトウェアが非動作状態である場合に、該利用者のアクセス権限をアクセス不許可としたチケットを生成することを特徴とする請求項８記載の画像処理システムの制御方法。
【請求項１０】
前記ソフト構成管理ステップにおいては、前記クライアントコンピュータへ前記追加ソフトウェアがインストールされたことに応じて、該追加ソフトウェアの状態情報を作成することを特徴とする請求項８または９に記載の画像処理システムの制御方法。
【請求項１１】
前記ソフト構成管理ステップにおいては、前記クライアントコンピュータにおいて前記追加ソフトウェアがアンインストールされたことに応じて、該追加ソフトウェアの状態情報を削除することを特徴とする請求項８乃至１０のいずれか１項に記載の画像処理システムの制御方法。
【請求項１２】
前記ソフト構成管理ステップにおいては、前記クライアントコンピュータ上で利用者によって前記追加ソフトウェアが利用されたことに応じて、該追加ソフトウェアの状態情報を更新することを特徴とする請求項８乃至１１のいずれか１項に記載の画像処理システムの制御方法。
【請求項１３】
前記追加ソフトウェアは、前記クライアントコンピュータにおけるアドオンソフトウェアであることを特徴とする請求項８乃至１２のいずれか１項に記載の画像処理システムの制御方法。
【請求項１４】
前記追加ソフトウェアは、監査ログ生成用の処理を実行するものであることを特徴とする請求項８乃至１３のいずれか１項に記載の画像処理システムの制御方法。
【請求項１５】
コンピュータ上で実行されることによって、該コンピュータに請求項８乃至１４のいずれか１項に記載の画像処理システムの制御方法を実行させることを特徴とするコンピュータプログラム。
【請求項１６】
請求項１５に記載のコンピュータプログラムを記録したことを特徴とするコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は画像処理システムおよびその制御方法に関し、特に、追加ソフトウェアをインストール可能なクライアントコンピュータと画像処理装置を接続した画像処理システムおよびその制御方法に関する。
【背景技術】
【０００２】
画像処理装置における周辺装置に対するドライバソフトウェアとしては、プリンタを制御する印刷ドライバやスキャナを制御するスキャナドライバ等がある。これらドライバソフトウェアに対し、アドオンソフトウェアを追加することによって、該装置における付加価値機能を後から追加（アドオン）することができる。これらドライバソフトウェア（以下、ドライバ）やアドオンソフトウェア（以下、アドオンソフト）は一般に、対応する周辺装置が接続されたクライアントＰＣ上にインストールされて動作する。
【０００３】
例えば、プリンタに対する印刷ドライバは、いわゆる画像処理装置固有の印刷言語（ＰＤＬ：Ｐｒｉｎｔｅｒ  Ｄｅｓｃｒｉｐｔｉｏｎ  Ｌａｎｇｕａｇｅ）データを生成する。
【０００４】
また、アドオンソフトとしては例えば次のような種類がある。まず、画像処理装置に対する利用者のアクセスを制御するためのチケットを取得してＰＤＬデータと共に画像処理装置へ送付するものがある。また、印刷データに地紋や透かしを入れるものがある。また、印刷データの監査用記録として印刷画像を取得（生成）し、データサーバへ送付するものがある。
【０００５】
アドオンソフトは互いに独立したソフトウェアコンポーネントであり、印刷ドライバのインストールされたクライアントＰＣにインストールされることによって利用され、印刷ドライバのプロセス内で動作する。
【０００６】
上述した印刷ドライバやアドオンソフトは、通常のアプリケーションソフトウェアのインストールと同様に、クライアントＰＣの管理者権限（アドミニストレータ権限、以下、アドミ権限と称する）によってインストールされる。したがって、クライアントＰＣの利用者が当該クライアントＰＣに対するアドミ権限を有する場合には、該利用者が、該クライアントＰＣにおける印刷ドライバやアドオンソフトウェアのインストールと削除を任意に行うことができる。
【０００７】
また、例えばオフィス内においてＭＦＰ（Multi-Function Perifheral）をはじめとする画像処理装置全般のセキュリティを強化するために、アドオンソフトが利用されることもある。例えば、システム管理者がＭＦＰのセキュリティ機能強化用のアドオンソフトを、該ＭＦＰに接続されたクライアントＰＣにインストールする場合がある。これは、クライアントＰＣの利用者が業務上知りえた機密情報を不正に印刷して外部へ持ち出してしまう等の機密漏洩を防止、或いは抑止するためである。上述した監査用記録として印刷画像を取得するアドオンソフトは、この機密漏洩防止を目的として利用される。特に、ＭＦＰやプリンタ等の画像処理装置自体にセキュリティ機能を実装できない装置においては、クライアントＰＣへ上述したアドオンソフトウェアを導入してセキュリティの管理を行うことが重要である。
【０００８】
一般にシステム管理者は、オフィス内に設置されたネットワーク、クライアントＰＣ、並びに画像処理装置などを包括的に管理しており、クライアントＰＣの利用者とは異なる場合が多い。システム管理者は通常、当該システムにおけるセキュリティを維持するために、クライアントＰＣにおける利用者のアドミ権限を制限して、クライアントＰＣにセキュリティ保持目的でインストールされたアドオンソフトの利用者による削除を禁止している。このように、悪意を持った利用者によるアドオンソフトウェアの不正な削除を防止することは、システム管理者にとってセキュリティホールを排除するための最重要課題である。
【０００９】
しかしながら、クライアントＰＣのオフィスへの導入を利用者自身が行う場合など、システム管理者がクライアントＰＣの利用者に対するアドミ権限を制限できない場合がある。このような場合、クライアントＰＣの利用者はクライアントＰＣのアドミ権限を持つこととなり、セキュリティ保持用のアドオンソフトの削除が可能となってしまい、システム運用上の問題が生じる。つまり、システム管理者の意図に反して、クライアントＰＣの利用者がセキュリティ機能を無効化してしまうことが可能となってしまうという問題が生じる。
【００１０】
このような問題を解決するために、従来より以下のような技術が提案されている。
【００１１】
例えば、機器上でオプション機器などの着脱状態を監視し、着脱状態の変化を検出した場合に管理者へこれを報知する技術が開示されている（例えば、特許文献１参照）。
【００１２】
また、セットアップされたドライバに対応する周辺機器が存在するか否かを判定し、存在しない場合に外部情報処理装置上のドライバを削除する技術が開示されている（例えば、特許文献２参照）。当該技術によれば、周辺機器の不存在により不要となったドライバを自動的に削除することで管理コストが低減される。
【００１３】
また、機器のバージョンに対応したソフトウェアのインストールを自動で行うことによって、機器の拡張を自動化する技術が開示されている（例えば、特許文献３参照）。当該技術によれば、周辺装置の機能拡張に応じてソフトウェアを自動拡張して利用者の利便性が向上する。
【００１４】
以上のような技術を用いることによって、機器におけるセキュリティを保つことが可能となる。
【特許文献１】特開２００５−２４２９３５号公報
【特許文献２】特開２００５−０９２８９５号公報
【特許文献３】特開平１１−２０３２３１号公報
【発明の開示】
【発明が解決しようとする課題】
【００１５】
しかしながら、システム管理者がクライアントＰＣにおける一般利用者のアドミ権限を制限できない場合には、上述したような技術を利用したとしても依然として以下のような問題があった。
【００１６】
例えば、機器上におけるオプション機器の着脱状態の変化を管理者へ報知する技術は、接続されたオプション機器の盗難を利用者へ報知することが元来の目的である。したがって、悪意を持った利用者自身が不正にオプション機器の取り外しを行うといった行為を防ぐことはできない。また、機器状態の検出のみに着目しているため、本体機器に対する操作や処理の禁止はできず、従って、オプション機器を本体から取り外して本体を使用し続けることも可能であった。
【００１７】
また、周辺機器の不存在により不要となったドライバを自動削除する技術によっても、利用者による不正なドライバの使用を防止することはできない。これは、周辺機器が存在する限りはドライバは削除されず、逆に周辺機器を動作させる他の不正なドライバを追加し、周辺機器の処理を実行させてしまうことも可能であるためである。
【００１８】
また、機器のバージョンに対応したソフトウェアを自動インストールする技術によっても、悪意の利用者による不正な拡張機能の取り外しを防止することはできない。
【００１９】
以上のように従来の技術によっても、セキュリティ目的のアドオンソフトが悪意の社員等によって不正に削除（アンインストール）されることは回避できず、システム管理者の意図に反してクライアントＰＣ上のセキュリティ機能が不正に無効化されてしまう。
【００２０】
本発明は上述した問題を解決するためになされたものであり、クライアントＰＣの利用者によって追加ソフトウェアが不正に削除された場合にもセキュリティを保つ画像処理システムおよびその制御方法を提供することを目的とする。
【課題を解決するための手段】
【００２１】
上記目的を達成するための一手段として、本発明の画像処理システムは以下の構成を備える。
【００２２】
すなわち、画像処理装置と、該画像処理装置にジョブを投入するクライアントコンピュータと、該クライアントコンピュータから前記画像処理装置へのアクセスを制御するサーバ装置と、がネットワークを介して接続された画像処理システムであって、前記サーバ装置は、前記クライアントコンピュータの利用者についての前記画像処理装置に対するアクセス権限を管理する利用者管理手段と、前記クライアントコンピュータに対して追加インストールされたソフトウェアの状態情報を管理するソフト構成管理手段と、前記クライアントコンピュータの利用者による前記画像処理装置に対するアクセスを制御するためのチケットの要求があった場合に、前記ソフトウェアの状態情報に基づいてチケットを生成するチケット生成手段と、を有し、前記チケット生成手段は、前記ソフト構成管理手段で管理されている追加ソフトウェアの状態情報が非動作状態を示す場合に、前記利用者のアクセス権限が狭まるように制限したチケットを生成することを特徴とする。
【発明の効果】
【００２３】
以上の構成により本発明によれば、クライアントＰＣの利用者によって追加ソフトウェアが不正に削除された場合にもセキュリティを保つことができる。
【発明を実施するための最良の形態】
【００２４】
以下、添付の図面を参照して、本発明をその好適な実施形態に基づいて詳細に説明する。なお、以下の実施形態において示す構成は一例に過ぎず、本発明は図示された構成に限定されるものではない。
【００２５】
＜第１実施形態＞
図１は、本実施形態に係る画像処理システムの構成を示す図である。
【００２６】
同図においてクライアントＰＣ１００は、ネットワークに接続され、一般の利用者が使用するＰＣである。クライアントＰＣ１００において利用者は、印刷などのジョブ実行を伴う作業を行う。
【００２７】
画像処理装置１０４は、スキャナ、プリンタ、ＦＡＸ、及びドキュメントデータを保存するＢＯＸ等の各機能を複合的に備えたＭＦＰであり、ネットワークに接続されている。画像処理装置１０４は、自身でスキャンした画像データを電子メールに添付して送付する機能も備えており、これらの複合的な機能を利用して、コピー、ＦＡＸ、ドキュメントスキャン、ネットワークプリント等のジョブを実行することが可能である。画像処理装置１０４はまた、セキュリティ保持を目的としてユーザ認証機能を備えており、機密情報の含まれたデータが外部に漏洩しないよう配慮している。画像処理装置１０４の利用者には、システム管理者によって当該画像処理装置１０４に対するアクセス権限を設定することが可能であり、当該アクセス権限に応じてジョブの実行レベル制御や、ＢＯＸへのアクセス制限が行われる。ここでジョブの実行レベル制御とはジョブの実行にあたって、どのような画像処理装置１０４の機能の利用を特定のユーザに対して許可させるかの制御である。。
【００２８】
認証サーバ１０６は、ＬＤＡＰ（Lightweight Directory Access Protocol）サーバによって構成されており、利用者の認証情報やアクセス権限情報が保持されている。なお、アクセス制限情報のことをアクセス制御情報と呼ぶこともある。認証サーバ１０６は、画像処理装置１０４特有のアクセス権情報を格納しておくためのスキーマ拡張を行っている。なお、認証サーバ１０６としては一般の商用製品を利用することも可能である。
【００２９】
画像処理装置１０４に対する利用者のアクセス権限は、いわゆるジョブに対するチケットを用いて制御される。チケットには所定のフォーマットに基づくアクセス権限情報が埋め込まれており、画像処理装置１０４は、当該チケットに埋め込まれた利用者のアクセス権限情報を読み取って、その内容に応じて利用者が発行したジョブの処理の可否を判断する。より具体的にはジョブで指定されている画像処理装置における利用する機能が、チケットに記述で許可されているか、又は禁止されているかを判断する。
【００３０】
ジョブに対するチケットは、チケット生成サーバ１０７で生成される。チケット生成サーバ１０７には、チケット生成部１０８及び状態・構成管理部１０９が内包されている。
【００３１】
チケット生成部１０８は、利用者がジョブを実行した際に認証サーバ１０６から当該利用者固有のアクセス権限情報を取得し、該アクセス権限情報に基づいて所定のフォーマットでチケットを生成する。なお、チケットの改ざんを防ぐために、チケットには暗号技術を応用した電子データの署名が行われている。
【００３２】
状態・構成管理部１０９は、本実施形態における特徴的な構成の一つであり、クライアントＰＣ１００に追加インストールすることが可能なソフトウェアの構成情報と動作状態を、クライアントＰＣ情報と関連付ける情報格納テーブルを有している。ここで追加インストール可能なソフトウェアとしては、後述する印刷ドライバやアドオンソフト等が該当する。なおアドオンソフトとは既にインストールされたソフトウェアに対して追加機能を組み込む為のソフトウェアを指す。
【００３３】
チケット生成部１０８ではチケットを生成する際に、認証サーバ１０６から取得する利用者のアクセス権限情報と、状態・構成管理部１０９に格納されている印刷ドライバもしくはアドオンソフトの状態情報を参照する。
【００３４】
なお図１に示したシステム図では、デバイス管理サーバ１０５、チケット生成サーバ１０７、認証サーバ１０６を別々に示したが、実際にはこの形態に限定されない。例えばデバイス管理サーバ１０５及びチケット生成サーバ１０７、認証サーバ１０６の一部又は全ての機能を、クライアントＰＣ又は画像処理装置１０４の中に組み込むようにしても良い。
【００３５】
図２は、図１に示した本実施形態における各機器の主なハードウェアモジュールを示す図であり、以下、同図を用いて各機器におけるハードウェアモジュールの機能を説明する。
【００３６】
同図において、１９０１はネットワークラインである。ネットワークライン１９０１は、各機器間のネットワークを構成する物理的なラインであり、通常はツイストペアケーブル、同軸ケーブルや光ファイバなどが使用される。
【００３７】
図１に示したチケット生成サーバ１０７、デバイス管理サーバ１０５、認証サーバ１０６は、図２に示すサーバ１０００において実現されるため、以下、サーバ１０００と称する。サーバ１０００を構成するハードウェアモジュールとしては、ネットワークボード１９０２、ＣＰＵボード１９０３、ビデオインタフェイス１９０４、Ｉ／Ｏインタフェイス１９０５、ディスクインタフェイス１９０６がある。そしてさらに、上記各モジュールに接続されたＣＲＴ１９０７、キーボード１９０８、マウス１９０９、ハードディスクドライブ（ＨＤ）１９１０がある。ＨＤ１９１０においては、複数のハードディスクユニットが並列に接続されており、データ転送の高速化と高信頼性を確保している。なお、これらハードディスクユニットには、サーバ上で動作するソフトウエアの性格等により、データベースを構築していても良い。
【００３８】
図１に示したクライアントＰＣ１００は、図２に示すクライアントＰＣ２０００に相当する。クライアントＰＣ２０００を構成するハードウェアモジュールとしてはサーバ１０００と同様に、ネットワークボード１９０２、ＣＰＵボード１９０３、ビデオインタフェイス１９０４、Ｉ／Ｏインタフェイス１９０５、ディスクインタフェイス１９１１がある。そして、それらに接続されたＣＲＴ１９０７、キーボード１９０８、マウス１９０９、ＨＤ１９１０である。クライアントＰＣ２０００におけるプリンタドライバソフトは、ディスクインタフェイス１９１１に接続されたＨＤ１９１０に格納されており、アプリケーションソフトウエアから印刷要求が行なわれる際にＯＳを経由して呼び出される。
【００３９】
また、図１中の画像処理装置１０４は図２中の印刷装置３０００に相当する。印刷装置３０００を構成するハードウェアモジュールとしては、周辺機器に対応したネットワークボード１９１２、機能複合型複写機コントローラ１９１５、記録手段（印刷手段）としてのプリントエンジン１９１４がある。さらに、操作パネルコントローラ１９１６、操作パネル１９１７、スキャナコントローラ１９１８、スキャナユニット１９１９、モデム１９２０、ハードディスクＩＦ１９２１、ハードディスク１９２２を備える。本実施形態のシステムにおいては印刷装置３０００以外にも複数台の印刷装置を備えることが可能である。
【００４０】
ここで図３に、状態・構成管理部１０９に保持される情報格納テーブルの構成例を示す。ここでいうソフトウェアには、上に説明したアドオン形式のソフトウェアも含まれるものとする。この情報格納テーブルには、クライアントＰＣ１００にインストールされている複数のソフトウェアをユニークに識別するためのＩＤと、それらソフトウェアの現在の動作情報を記録するフィールドが用意されている。ここでソフトウェア識別ＩＤは、例えばクライアントＰＣ１００におけるＭＡＣアドレス等に基づいて生成される。
【００４１】
また動作情報とは、クライアントＰＣ１００にインストールされたソフトウェアが動作中であるか否かを示す情報である。これらの動作中であるか否かを示す情報は、各クライアントＰＣ１００からの自発的な通知、又はチケット生成サーバ１０７による各クライアントＰＣ１００に対する情報要求に基づき、チケット生成サーバ１０７により収集される。また、ソフトウェアが正規の手順でシステム管理者によってアンインストールされると、ソフトウェア識別ＩＤを含めて、該ソフトウェアに関する項目が情報格納テーブルから削除される。
【００４２】
図３においては、「ソフトウェア識別ＩＤ」として「ＰＣ−Ａ−０００」、「ＰＣ−Ａ−００１」、「ＰＣ−Ｂ−０００」、「ＰＣ−Ｃ−０００」を例示している。これらＩＤにおいて、「ＰＣ」はクライアントソフトウェアである旨を示し、「Ａ」、「Ｂ」、「Ｃ」はソフトウェアの種類を示す。また、末尾の３桁の数字は、同一ソフトウェアである場合にそれらを識別するためのシリアル番号である。すなわち、「ＰＣ−Ａ−０００」と「ＰＣ−Ａ−００１」は、同じＰＣ上にインストールされた同じ種類のソフトウェアである。なお、本実施形態における「ＰＣ−Ａ−０００」と「ＰＣ−Ａ−００１」は、後述するアドオンソフトＡ１０２、及びアドオンソフトウェアＢ１０３にそれぞれ該当する。
【００４３】
また、図３に示す「動作情報」としては、「Ａｃｔｉｖｅ」と「Ｉｎａｃｔｉｖｅ」の２通りの状態を記録することができる。従って、図３に示す情報格納テーブル内容によれば、アドオンソフトＡ１０２、アドオンソフトＢ１０３共に動作中（Ａｃｔｉｖｅ）である旨が示されている。
【００４４】
図１の説明に戻り、クライアントＰＣ１００には、印刷データを生成する印刷ドライバ１０１、並びに印刷ドライバ１０１に対する機能追加を実現するアドオンソフトＡ１０２及びアドオンソフトＢ１０３がインストールされている。
【００４５】
アドオンソフトＡ１０２は、ジョブ実行に対するチケットの取得と送信を行うモジュールである。すなわち、クライアントＰＣ１００の利用者が印刷を実行する際に、まずクライアントＰＣは画像処理装置１０４に対するアクセスを制御するためのチケットの要求をチケット生成サーバ１０７に行う。するとチケット生成サーバ１０７は該利用者のアクセス権限に応じたチケットをチケット生成サーバ１０７から取得し、印刷ドライバ１０１で生成したＰＤＬデータと共に該チケットを画像処理装置１０４へ送付する。これにより、画像処理装置１０４における利用者の権限に応じたアクセス制御が実現する。
【００４６】
一方、アドオンソフトＢ１０３は、クライアントＰＣ１００上から画像処理装置１０４に送信する印刷ジョブの印刷画像データやテキストデータを取得（生成）し、監査用ログ蓄積サーバ（不図示）への送付を行うモジュールである。アドオンソフトＢ１０３はすなわち、利用者がどのようなデータを印刷しているかを監査するための機能を有しており、システム管理者や情報管理者のためのセキュリティ強化ソフトウェアであることが分かる。これによりシステム管理者は、監査用ログ蓄積サーバ（不図示）に保持された画像データやジョブログを検索し、いつ、誰が、どの画像処理装置で、どんなプリントを行ったか、或いはコピーをしたかを監査することが可能となる。
【００４７】
監査用に取得した印刷画像データやテキストデータは、集中管理された監査用ログ蓄積サーバ（不図示）へ格納され、これを後から検索して参照することが可能である。システム管理者は、印刷ジョブの対象データが監査可能である旨を利用者へ周知徹底することによって、機密情報を含むデータが利用者による印刷等によって漏洩してしまうことの抑止効果が期待できる。
【００４８】
利用者がクライアントＰＣ１００で印刷を実行する場合、アドオンソフトＢ１０３は、チケット生成サーバ１０７のチケット生成部１０８へアクセスし、状態・構成管理部１０９が保持している情報格納テーブルを更新する。すなわち、情報格納テーブルにおけるアドオンソフトＢ１０３に該当する項目を検索して、その動作情報がＡｃｔｉｖａｔｅとなるように更新する。なお、アドオンソフトＢ１０３は、アドオンソフトＡ１０２に先立って上述した処理を実行するが、この処理動作の順番は印刷ドライバ１０１によって制御される。また任意のタイミングでクライアントＰＣ１００からチケット生成サーバ１０７にネットワークを介してアクセスを行い、ソフトウェアの動作状況を通知しても良い。
【００４９】
デバイス管理サーバ１０５は、クライアントＰＣ１００における印刷ドライバ１０１、およびアドオンソフト１０２，１０３を管理する機能を有している。システム管理者はデバイス管理サーバ１０５を利用して、複数のクライアントＰＣ１００へ一斉に印刷ドライバなどを配布し、リモートでのインストールを行うことができる。デバイス管理サーバ１０５は、クライアントＰＣ１００へソフトウェアをインストールすると、チケット生成サーバ１０７内の状態・構成管理部１０９へアクセスして情報格納テーブルに新たな項目（ソフトウェア識別ＩＤ）を追加する。
【００５０】
また、システム管理者がクライアントＰＣ１００内のソフトウェアをアンインストールすると、デバイス管理サーバ１０５はチケット生成サーバ１０７内の状態・構成管理部１０９へアクセスして、該当するソフトウェア識別ＩＤの項目を削除する。
【００５１】
本実施形態において、利用者がクライアントＰＣ１００に対するアドミ権限を有している場合、該利用者がアドオンソフト１０２，１０３をアンインストールしてセキュリティ機能を無効にしてしまうことが可能である。しかしながら本実施形態によれば、図１に示した各コンポーネントが互いに連携することによって、このようなセキュリティホールを塞ぐことが可能である。以下に、本実施形態の特徴である、不正なセキュリティ機能の無効化を防止する際のシーケンスについて詳細に説明する。
【００５２】
図５は、本実施形態におけるクライアントＰＣ１００の利用者による印刷処理が指示されたことに応じて実行される処理の概要を示すフローチャートである。。なお、この印刷処理が開始されるに先立って、クライアントＰＣ１００にはアドオンソフトＡ１０２およびアドオンソフトＢ１０３が予めインストールされているはずである。本実施形態では、特にセキュリティ強化用のアドオンソフトＢ１０３の不正削除に対する対策を講じる例について説明する。
【００５３】
まず、クライアントＰＣ１００の利用者によって、画像処理装置１０４に対するネットワーク印刷処理が指示される（Ｓ４０１）。
【００５４】
このとき、アドオンソフトＢ１０３が動作可能であるか否かを、実際に起動させてみることによって判定する（Ｓ４０２）。アドオンソフトＢ１０３が動作可能である、すなわち問題なく起動されれば、状態・構成管理部１０９内の情報格納テーブルにおける該当項目の動作情報が「Ａｃｔｉｖａｔｅ」なる。なお、また、この動作情報の初期値は「Ｉｎａｃｔｉｖａｔｅ」であるため、何らかの理由によりアドオンソフトＢ１０３が起動されない場合には、この動作情報はＩｎａｃｔｉｖａｔｅのままである。
【００５５】
次に、ジョブ実行に必要なチケットが、アドオンソフトＡ１０２の制御によって、チケット生成サーバ１０７内のチケット生成部１０８において生成される（Ｓ４０４）。ここで生成されたチケットは印刷要求を行ったクライアントＰＣ１００に応答される。
【００５６】
ここで図６に、ステップＳ４０４におけるチケット生成処理の詳細を示し、説明する。
【００５７】
チケット生成部１０８はまず、状態・構成管理部１０９から該当するソフトウェア（この場合、セキュリティ強化用にインストールされているアドオンソフトＢ１０３）の動作情報を取得する（Ｓ５０１）。このＳ５０１のクライアントＰＣ１００からの動作情報の取得処理は任意にタイミングで行われても良い。そして次に、認証サーバ１０６から利用者固有のアクセス制御情報（アクセス制限情報）を取得する（Ｓ５０２）。チケット生成部１０８では、このようにクライアントコンピュータの利用者による画像処理装置に対するアクセスを制御するためのチケットの要求があった場合に、ソフトウェアの動作情報に基づいてチケットを生成する。より詳細には、取得した２つの情報に基づいて、利用者固有のチケットを生成する。なお、アドオンソフトＢ１０３の動作情報取得（Ｓ５０１）と、利用者固有のアクセス制御情報の取得（Ｓ５０２）は、どちらが先に処理されても良い。
【００５８】
次に、状態・構成管理部１０９から取得されるアドオンソフトＢ１０３の動作情報を検証し（Ｓ５０３）、この動作情報が「Ａｃｔｉｖｅ（動作中）」であれば、利用者固有のアクセス制御情報に基づいた通常のチケットを生成する（Ｓ５０４）。一方、アドオンソフトＢ１０３の動作状態がＡｃｔｉｖｅでない（Ｉｎａｃｔｉｖａｔｅである）場合は、利用者固有のアクセス制御情報の如何にかかわらず、アクセス権限（ジョブ実行権限）を不許可に指定したチケットを生成する（Ｓ５０５）。。なおステップＳ５０５においては、チケットにおけるアクセス権限を不許可にすることに限らず、アクセス権限が縮小されるように制限したチケットを生成しても良い。
【００５９】
本実施形態ではこのようにチケットが生成されることによって、セキュリティ強化用のアドオンソフトＢ１０３が動作している場合にのみ、ジョブが実行できるようになる。
【００６０】
図５に戻り、以上のようにチケットが生成されると、該生成されたチケットは要求元のクライアントＰＣ１００に送信される。次にクライアントＰＣ１００は印刷データ（ＰＤＬデータ）を生成し（Ｓ４０５）、このＰＤＬデータおよびチケットを所定の記憶領域にスプールし、画像処理装置１０４へ送信する（Ｓ４０６）。このＰＤＬデータを受信した画像処理装置１０４では、チケットに基づいてＰＤＬデータの処理が実行される。より詳細にはチケットで許可された画像処理装置の機能が印刷ジョブ（ＰＤＬデータ）で指定された設定と矛盾が無いか否かを判定し、矛盾がなければ、そのまま印刷ジョブを実行し、あれば、印刷ジョブをキャンセルする。
【００６１】
ＰＤＬデータのスプール（Ｓ４０６）が終了すると、アドオンソフトＢ１０３により監査用ログの生成，登録処理が実行される（Ｓ４０７）。ここで監査用ログとは、印刷ジョブの各種ジョブログ属性（例えば、文書名、クライアントＰＣ名称、日時、利用者名、部数など）、及び印刷した画像データ、あるいは印刷データに含まれているテキストデータ等が該当する。
【００６２】
以上説明した本実施形態の印刷処理によれば、セキュリティ強化用のアドオンソフトＢ１０３が動作しない場合には、利用者の処理権限を制限したチケットが生成されるため、セキュリティホールを塞ぐことができる。
【００６３】
以下、上述した本実施形態における印刷処理について、図４を用いてさらに詳細に説明する。図４は、本実施形態におけるクライアントＰＣ１００へのソフトウェアのインストール処理と、利用者による印刷処理の各工程を詳細に示す図であり、その制御方向が矢印によって記載されている。
【００６４】
まず、クライアントＰＣ１００へのソフトウェアのインストール処理について説明する。このインストール処理は、デバイス管理サーバ１０５によって制御される。デバイス管理サーバ１０５は、アドオンソフトＢ１０３のインストールについて予め権限を有しており、まず、アドオンソフトＢ１０３をクライアントＰＣ１００へインストールする（Ｓ３０１）。このインストールが成功すると、デバイス管理サーバ１０５は、どのＰＣにどのようなソフトウェアをインストールしたかが分かるように、状態・構成管理部１０９内の情報格納テーブルに項目を追加する（Ｓ３０２）。そして、アドオンソフトＡ１０２のインストールについても、上述したアドオンソフトＢ１０３と同様の処理が行われる（Ｓ３０３，Ｓ３０４）。
【００６５】
次に、クライアントＰＣ１００の利用者による、画像処理装置１０４に対するネットワーク印刷処理について説明する。この印刷処理は、クライアントＰＣ１００にインストールされている印刷ドライバ１０１が動作することによって実行される（Ｓ３０５）。印刷ドライバ１０１は、クライアントＰＣ１００に既にインストールされているアドオンソフトを識別し、それらの起動を所定順に制御する。なお、アドオンソフトの起動は、印刷ドライバ１０１のプロセス内において行われる。
【００６６】
以上のように、クライアントＰＣ１００にインストールされているアドオンソフトが順次起動されるが、本実施形態ではまずアドオンソフトＢ１０３が起動され（Ｓ３０６）、次にアドオンソフトＡ１０２が起動される（Ｓ３０８）。なお、印刷ドライバ１０１によるアドオンソフトＢ１０３の起動（Ｓ３０６）は、監査用ログの準備指示として実行される。
【００６７】
アドオンソフトＢ１０３は起動されると、ネットワーク経由で状態・構成管理部１０９へアクセスして、情報格納テーブルを更新する（Ｓ３０７）。すなわち、情報格納テーブルにおけるアドオンソフトＢ１０３に対応するソフトウェア識別ＩＤの項目について、その動作情報をＡｃｔｉｖｅ（動作フラグｏｎ）に更新する。
【００６８】
このように、利用者による印刷指示に応じてアドオンソフトＢ１０３を起動させ、このタイミングでアドオンソフトＢ１０３の動作フラグをｏｎとすることによって、印刷指示発生時点における、アドオンソフトＢ１０３の存在を正確に反映することができる。。
【００６９】
アドオンソフトウェアＢ１０３による情報格納テーブルの更新が成功すると、印刷ドライバ１０１は次に、ジョブ実行に必要なチケットを取得するために、アドオンソフトＡ１０２を起動する（Ｓ３０８）。するとアドオンソフトＡ１０２は、ネットワーク経由でチケット生成部１０８へアクセスし、上述したようにチケットを生成する（Ｓ３０９）。すなわち、チケット生成部１０８は状態・構成管理部１０９からアドオンソフトＢ１０３の動作情報を取得し（Ｓ３１０）、さらに認証サーバ１０６から利用者固有のアクセス制御情報を取得する（Ｓ３１１）。
【００７０】
チケット生成部１０８では、このように取得した２つの情報に基づいて、アドオンソフトＢ１０３の動作状態が動作している場合にのみ、ジョブの実行を許可するようにアクセス権限を設定したチケットを生成する。
【００７１】
印刷ドライバ１０１は、以上のように生成されたチケットを取得すると、次に印刷データ（ＰＤＬデータ）の生成を行う（Ｓ３１２）。
【００７２】
そして、生成したＰＤＬデータを画像処理装置１０４へ送信するに先立って、印刷ドライバ１０１は、監査用ログの準備完了指示としてアドオンソフトＢ１０３を起動する。するとアドオンソフトＢ１０３は、状態・構成管理部１０９へアクセスし、情報格納テーブルにおける自身の動作情報をＩｎａｃｔｉｖａｔｅ（動作フラグｏｆｆ）にする（Ｓ３１４）。ここでアドオンソフトＢ１０３の動作情報をクリアするのは、該動作情報に基づいたチケット生成処理の終了に伴い、該動作情報を初期化しておくためである。
【００７３】
次に印刷ドライバ１０１は、先に作成したＰＤＬデータ並びにチケットをスプールし、ポートモニタ（不図示）がこれを所定のネットワークポートから画像処理装置１０４へ送信する（Ｓ３１５）。ＰＤＬデータを受信した画像処理装置１０４は、ＰＤＬデータの処理を実行する前に、チケットの正当性やジョブ発行者の権限を判別する（Ｓ３１７）。ここでチケットの正当性とは、チケットやＰＤＬデータが改ざんされおらず、正当な利用者、サーバによって発行・生成されたことを意味する。また、ジョブ発行者の権限とは、ＰＤＬデータの処理に対する利用者の権限である。例えば、利用者に印刷の権限が無い場合は、ＰＤＬデータの処理は実行されずに終了する。利用者が正当な権限を有すると判断した場合は、ＰＤＬデータに基づいてジョブ処理を行う（Ｓ３１８）。
【００７４】
ＰＤＬデータのスプール（Ｓ３１５）が終了すると、印刷ドライバ１０１は直ちに、監査用ログの生成処理を実行する（Ｓ３１６）。ここで監査用ログとは上述したように、印刷ジョブの各種ジョブログ属性（例えば、文書名、クライアントＰＣ名称、日時、利用者名、部数など）、及び印刷した画像データ、あるいは印刷データに含まれているテキストデータ等が該当する。印刷ドライバ１０１の処理開始指示によりアドオンソフトＢ１０３は、上述した監査用ログを監査ログ蓄積サーバ（不図示）へ転送することによって、ログが登録される（Ｓ３１９）。
【００７５】
なお、監査用ログにはＰＤＬデータの生成前に判別できる属性値も含まれている。従って、監査用ログの転送を２回に分割することも可能である。この場合、先ずＰＤＬデータ作成前に取得できるジョブログ属性（例えば、文書名、クライアントＰＣ名称、日時、利用者名など）を生成し、監査ログ蓄積サーバ（不図示）へ転送するシーケンス（Ｓ３２０）が可能となる。。この場合でも、ジョブスプール後のログ生成（Ｓ３１６）及びログ登録（Ｓ３１９）の各工程は実行される。これは、画像ログデータの作成はＰＤＬデータの生成後にしか実行できないためである。
【００７６】
また、本実施形態においては、チケットの正当性判別処理（Ｓ３１７）を画像処理装置１０４において実施する例について説明した。しかしながら、ＰＤＬデータが画像処理装置１０４へ転送された後にチケットが不正であると判別されると、この転送処理が無駄となってしまう。したがって、チケットの正当性判別処理をジョブスプール実行（Ｓ３１５）に先立って、印刷ドライバ１０１で実行するように構成することも可能である。すなわち印刷ドライバ１０１において、ログ準備完了処理（Ｓ３１３）の後にチケットの内容を判断し、画像処理装置１０４における処理が可能であるか否かを判断する。そして、画像処理装置１０４での処理が不可能であれば、ＰＤＬデータのスプールを中止すれば良い。この場合、画像処理装置１０４ではチケット判別結果のＵＩ表示は行わないが、利用者は印刷処理に対する制限情報をクライアントＰＣ１００上で知ることができ、かつ画像処理装置１０４における制限もあわせて実現される。
【００７７】
以上説明したように本実施形態によれば、クライアントＰＣ１００上の追加ソフトウェア（ドライバやアドオンソフト）が不正に削除されてセキュリティ機能が動作しない場合には、利用者の処理権限を縮小もしくは処理不許可として、チケットが生成される。したがって、画像処理装置においては当該チケットを検証し、ソフトウェアの不正削除があった場合には利用者のジョブ処理要求は縮小或いはキャンセルされる。
【００７８】
例えば、アドミ権限を有する社員がクライアントＰＣ１００上のセキュリティ機能を不正に無効化すると、ジョブ処理そのものが実行できなくなる。逆に、ジョブを実行するためには必ずシステム管理者の導入した処理ドライバ並びにアドオンソフトを利用しなければならない。したがって本実施形態によれば、システム管理者は意図したセキュリティ機能を確実に実施することが可能となり、システムにおける完全性・可用性を維持してセキュリティの維持・強化を十分に図ることができる。
【００７９】
また本実施形態は、クライアントＰＣ１００に処理ドライバ並びにアドオンソフトを導入することによって、セキュリティ機能を実現することができる。したがって本実施形態は特に、廉価版の複合機やプリンタ、並びに既に市場導入済みの旧モデルなど、セキュリティ機能を直接内蔵できないモデルにおいて有効である。
【００８０】
＜他の実施形態＞
以上、実施形態例を詳述したが、本発明は例えば、システム、装置、方法、プログラム若しくは記憶媒体(記録媒体)等としての実施態様をとることが可能である。具体的には、複数の機器（例えば、ホストコンピュータ、インタフェース機器、印刷装置、webアプリケーション等）から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
【００８１】
尚本発明は、前述した実施形態の機能を実現するソフトウェアのプログラムを、システムあるいは装置に直接あるいは遠隔から供給し、そのシステムあるいは装置のコンピュータが該供給されたプログラムコードを読み出して実行することによっても達成される。なお、この場合のプログラムとは、実施形態において図に示したフローチャートに対応したプログラムである。
【００８２】
従って、本発明の機能処理をコンピュータで実現するために、該コンピュータにインストールされるプログラムコード自体も本発明を実現するものである。つまり、本発明は、本発明の機能処理を実現するためのコンピュータプログラム自体も含まれる。
【００８３】
その場合、プログラムの機能を有していれば、オブジェクトコード、インタプリタにより実行されるプログラム、OSに供給するスクリプトデータ等の形態であっても良い。
【００８４】
プログラムを供給するための記録媒体としては、以下に示す媒体がある。例えば、フロッピー（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスク、MO、CD-ROM、CD-R、CD-RW、磁気テープ、不揮発性のメモリカード、ROM、DVD(DVD-ROM，DVD-R)などである。
【００８５】
プログラムの供給方法としては、以下に示す方法も可能である。すなわち、クライアントコンピュータのブラウザからインターネットのホームページに接続し、そこから本発明のコンピュータプログラムそのもの(又は圧縮され自動インストール機能を含むファイル)をハードディスク等の記録媒体にダウンロードする。また、本発明のプログラムを構成するプログラムコードを複数のファイルに分割し、それぞれのファイルを異なるホームページからダウンロードすることによっても実現可能である。つまり、本発明の機能処理をコンピュータで実現するためのプログラムファイルを複数のユーザに対してダウンロードさせるWWWサーバも、本発明に含まれるものである。
【００８６】
また、本発明のプログラムを暗号化してCD-ROM等の記憶媒体に格納してユーザに配布し、所定の条件をクリアしたユーザに対し、インターネットを介してホームページから暗号化を解く鍵情報をダウンロードさせることも可能である。すなわち該ユーザは、その鍵情報を使用することによって暗号化されたプログラムを実行し、コンピュータにインストールさせることができる。
【００８７】
また、コンピュータが、読み出したプログラムを実行することによって、前述した実施形態の機能が実現される。さらに、そのプログラムの指示に基づき、コンピュータ上で稼動しているOSなどが、実際の処理の一部または全部を行い、その処理によっても前述した実施形態の機能が実現され得る。
【００８８】
さらに、記録媒体から読み出されたプログラムが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書き込まれた後、実行されることによっても、前述した実施形態の機能が実現される。すなわち、該プログラムの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるCPUなどが実際の処理の一部または全部を行うことが可能である。
【図面の簡単な説明】
【００８９】
【図１】本実施形態にかかる画像処理システムの全体構成を示すブロック図である。
【図２】本実施形態における各装置のハードウェアブロック構成例を示す図である。
【図３】本実施形態の状態・構成管理部によって管理される情報格納テーブルの構成例を示す図である。
【図４】本実施形態における追加ソフトウェアのインストール処理および印刷処理の各工程を示す図である。
【図５】本実施形態における印刷処理を示すフローチャートである。
【図６】本実施形態におけるチケット生成処理を示すフローチャートである。
【図１】
2008141626.tif 000003
【図２】
2008141626.tif 000004
【図３】
2008141626.tif 000005
【図４】
2008141626.tif 000006
【図５】
2008141626.tif 000007
【図６】
2008141626.tif 000008