(57)【要約】      （修正有）【課題】複数のサービス網に接続するサイト内ユーザが、サービス網ごとの通信ポリシを満たして接続する際の手続きを簡易化する。【解決手段】ＬＡＮＳ１０の管理を行うポリシ制御装置Ｓ１５において、サイト内ユーザのユーザ属性を登録するようにし、複数のサービス網Ａ，Ｂ，Ｃからそれぞれの登録ユーザに対する接続ポリシを取得し、外部接続の管理を簡略化する。また、各サービス網Ａ，Ｂ，ＣのポリシとＬＡＮＳ１０のポリシを合成し、許可される属性をユーザに提示する。これにより、各サービス網では、当該網としてポリシを管理し、ユーザの属性ごとに適用可能なポリシを動的に生成することが可能となり、ユーザが各サービス網に対して、他のサービス網との接続条件を規定する必要がなくなり、サービス網ではユーザ属性ごとに関係する全てのサービス網との接続条件を管理する必要がなくなる。【選択図】    図１
2004260470.tif 000002
【特許請求の範囲】
【請求項１】
サイト内ユーザが利用するユーザ端末を収容するサイト内通信網に設けられ、当該サイト内通信網を複数のサイト外通信網に接続するための接続装置に対し、前記サイト内通信網と前記複数のサイト外通信網との間のデータ転送の制御内容を設定して前記サイト内通信網の運用を管理するポリシ制御装置において、
前記サイト内通信網に対して前記複数のサイト外通信網と前記ユーザ端末と間の接続を許可する条件、及び前記サイト内通信網が前記ユーザ端末と前記複数のサイト外通信網との間のデータ転送を中継する条件の設定を受け付け管理するサイトポリシ管理手段と、
前記複数のサイト外通信網それぞれに登録されているユーザ属性情報を前記サイト内ユーザから取得し管理するユーザ属性管理手段と、
前記複数のサイト外通信網それぞれから、それぞれの登録ユーザのユーザ属性情報と、前記サイト内通信網及び各ユーザ端末が当該サイト外通信網とは異なるサイト外通信網に接続する場合の接続条件を定めた接続ポリシ情報とを取得し管理するサイト外通信網情報管理手段と、
前記サイトポリシ管理手段、前記ユーザ属性管理手段及び前記サイト外通信網情報管理手段からそれぞれ取得された情報から、各サイト内ユーザのユーザ属性について複数のサイト外通信網との接続可能条件を導出する接続ポリシ生成手段と、
前記ユーザ端末から出されるサイト外通信網への接続要求を取得し、要求元のユーザ属性情報が前記接続ポリシ生成手段で導出された接続可能条件を満たすか判断し、満たす場合のみ、接続装置に対して当該ユーザ端末と要求先サイト外通信網との接続の設定を行う接続設定手段と
を具備することを特徴とするポリシ制御装置。
【請求項２】
前記サイト外通信網が当該サイト外通信網のユーザ属性情報及び接続ポリシ情報を当該サイト外通信網に設置されたサーバによって管理される場合に、
さらに、前記サイト内通信網と前記サイト外通信網との間のデータ転送によって前記サーバとの間で認証を行い、前記サーバによって認証許可を受けた場合のみ前記サーバとの間に暗号化された論理コネクションを設定し、当該論理コネクションを用いてユーザ属性情報及び接続ポリシ情報を取得する論理接続手段を備えることを特徴とする請求項１記載のポリシ制御装置。
【請求項３】
接続ポリシ生成手段は、前記サイト外通信網情報管理手段によって前記サイト外通信網から取得したユーザ属性情報及び接続ポリシ情報から、前記サイト内ユーザごとに接続可能なサイト外通信網との接続条件を抽出し、前記サイトポリシ管理手段によって設定された、サイト内通信網がユーザ端末とサイト外通信網との間のデータ転送を中継する条件を加えて、前記サイト内ユーザごとに記述した接続条件テーブルを作成し、前記サイト内ユーザからのポリシ提示要求を受け付けてユーザ属性ごとの接続条件を送信することを特徴とする請求項１または２に記載のポリシ制御装置。
【請求項４】
さらに、前記サイト内通信網に接続するサイト内ユーザを認証し、認証許可された場合のみ、前記接続設定手段における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、サイト内ユーザが使用するユーザ端末とサイト外通信網との接続とを管理する接続ユーザ管理手段を備え、
前記サイトポリシ管理手段は、前記サイト外通信網ごとに接続可能なサイト内ユーザ数を管理し、
前記接続設定手段は、サイト内ユーザの接続要求に対して、前記接続ユーザ管理手段における当該サイト外通信網に対するサイト内ユーザ数が、前記サイトポリシ管理手段における当該サイト外通信網の接続可能なサイト内ユーザ数を越えない場合のみ前記接続装置に対して当該接続の設定を行うことを特徴とする請求項１乃至３のいずれかに記載のポリシ制御装置。
【請求項５】
さらに、前記サイト内通信網に接続するサイト内ユーザを認証し、認証許可された場合のみ、前記接続設定手段における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、当該接続に適用したポリシとを管理する接続ユーザ管理手段と、
前記サイト外通信網ごとに、使用した属性、適用ポリシ、接続時間、データ転送量の少なくともいずれかを記録し、前記サイト外通信網に対する課金情報として管理する課金情報管理手段と
を備えることを特徴とする請求項１乃至３のいずれかに記載のポリシ制御装置。
【請求項６】
さらに、前記サイト内通信網に接続するサイト内ユーザを認証し、認証許可された場合のみ、前記接続設定手段における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、サイト内ユーザが使用するユーザ端末とサイト外通信網との接続と、当該接続に使用した属性とを管理する接続ユーザ管理手段と、
前記サイト内ユーザごとに、接続したサイト外通信網、使用した属性、接続時間、データ転送量の少なくともいずれかを記録し、前記サイト内ユーザに対する課金情報として管理する課金情報管理手段と
を備えることを特徴とする請求項１乃至３のいずれかに記載のポリシ制御装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、サイト内通信網をサイト外の広域通信網に接続するための接続装置に対する制御内容の設定を行って、サイト内通信網の運用を管理するポリシ制御装置に関する。
【０００２】
【従来の技術】
ＩＰ−ＶＰＮ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  −  Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ：インターネットプロトコルを利用した仮想私設網）を構築したＬＡＮ（Ｌｏｃａｌ  Ａｒｉａ  Ｎｅｔｗｏｒｋ：構内ネットワークシステム）にあっては、ネットワークサイトとして、外部のサービス通信網（例えば商用の広域通信網）に接続する機能を持たせることが可能である。この場合、複数の広域通信網との通信を行うために、ＬＡＮ上にサービス通信網と接続するための接続装置を設置し、この接続装置に対してサービス通信網側の接続管理装置が当該サービス通信網との通信の制限を一元的に管理するようにしている。
【０００３】
ところで、通信技術の発達によって複数のサービス通信網が提供されるようになり、上記のようなＬＡＮにおいては、ユーザが要求する任意のサービス通信網との接続を行っている。従来、複数のサービス通信網との間で通信を行うためには、各サービス通信網と接続するための接続装置を設置し、各接続管理装置において外部のサービス通信網との通信の制限を一元的に管理していた。
【０００４】
しかしながら、上記のような従来の手法では、以下のような問題点がある。
第１に、ユーザは各々のサービス通信網において外部の網との通信の制限をポリシとして規定するため、煩雑な手続きを必要としていた。またサービス網においては、ユーザごとに接続可能な外部網の情報を管理するため、ユーザ数と接続先のサービス網の数の増大に伴って、接続条件の管理負荷が増大していた。その理由は、それぞれのサービス網において外部の網との通信ポリシが別々に一元管理されるため、複数のサービス網へ同時に接続するなどのポリシの規定について関係する全てのサービス網に対して行うからである。
【０００５】
第２に、ユーザは通信ポリシを問い合わせて選択する場合において、サービス網に属性情報を送信する必要があり、ユーザが使用する複数の属性をサービス網に対して隠蔽して接続を行うことができなかった。その理由は、それぞれのサービス網において各々のユーザの属性に対してポリシを規定していたからである。
【０００６】
尚、本発明に関係する技術として、特許文献１には、ＩＰ−ＶＰＮの利用規程管理方法及びその装置において、広域ＩＰ網及びＶＰＮ管理者の負担を軽減し、ＶＰＮの利用規程に基づいてエレメント制御機能を運用できるようにした技術が記載され、特許文献２には、ＶＰＮ間通信における接続管理方法及びその装置において、通信事業者が運営する通信網上に構築されるＶＰＮ間の通信の開設、設定変更をＶＰＮ側の管理者が制御できるようにした技術が記載されている。但し、これらの文献には、ＩＰ−ＶＰＮを複数のサービス通信網と接続した場合のポリシ制御に関する記載はない。
【０００７】
【特許文献１】
特開２００１−２５１３０７号公報
【特許文献２】
特開２００２−０９４５０８号公報
【０００８】
【発明が解決しようとする課題】
本発明の目的は、複数のサイト外通信網に接続するサイト内ユーザが、サイト外通信網ごとの通信ポリシを満たして接続する際の手続きを簡易化することができ、しかもサイト外通信網において管理する各々の通信ポリシを簡略化して管理負荷を低減することができ、さらにサイト内ユーザが使用する属性をサイト外通信網に対して隠蔽しつつ複数のサイト外通信網を選択することができ、これらを商用サービスとしてサイト内ユーザ及びサイト外通信網に対して提供することができるポリシ制御装置を提供することにある。
【０００９】
【課題を解決するための手段】
上記の課題を解決するために、本発明に係るポリシ制御装置は、以下のような構成を有する。
【００１０】
第１の構成は、サイト内ユーザが利用するユーザ端末を収容するサイト内通信網に設けられ、当該サイト内通信網を複数のサイト外通信網に接続するための接続装置に対し、前記サイト内通信網と前記複数のサイト外通信網との間のデータ転送の制御内容を設定して前記サイト内通信網の運用を管理するポリシ制御装置において、前記サイト内通信網に対して前記複数のサイト外通信網と前記ユーザ端末と間の接続を許可する条件、及び前記サイト内通信網が前記ユーザ端末と前記複数のサイト外通信網との間のデータ転送を中継する条件の設定を受け付け管理するサイトポリシ管理手段と、前記複数のサイト外通信網それぞれに登録されているユーザ属性情報を前記サイト内ユーザから取得し管理するユーザ属性管理手段と、前記複数のサイト外通信網それぞれから、それぞれの登録ユーザのユーザ属性情報と、前記サイト内通信網及び各ユーザ端末が当該サイト外通信網とは異なるサイト外通信網に接続する場合の接続条件を定めた接続ポリシ情報とを取得し管理するサイト外通信網情報管理手段と、前記サイトポリシ管理手段、前記ユーザ属性管理手段及び前記サイト外通信網情報管理手段からそれぞれ取得された情報から、各サイト内ユーザのユーザ属性について複数のサイト外通信網との接続可能条件を導出する接続ポリシ生成手段と、前記ユーザ端末から出されるサイト外通信網への接続要求を取得し、要求元のユーザ属性情報が前記接続ポリシ生成手段で導出された接続可能条件を満たすか判断し、満たす場合のみ、接続装置に対して当該ユーザ端末と要求先サイト外通信網との接続の設定を行う接続設定手段とを具備することを特徴とする。
【００１１】
上記第１の構成によるポリシ制御装置を用いることにより、各サイト外通信網では、当該通信網としてポリシを管理し、ユーザの属性ごとに適用可能なポリシを動的に生成することが可能となり、ユーザが各サイト外通信網に対して、他のサービス網との接続条件を規定する必要がなくなり、サイト外通信網ではユーザ属性ごとに関係する全てのサイト外通信網との接続条件を管理する必要がなくなる。
【００１２】
第２の構成は、第１の構成において、前記サイト外通信網が当該サイト外通信網のユーザ属性情報及び接続ポリシ情報を当該サイト外通信網に設置されたサーバによって管理される場合に、さらに、前記サイト内通信網と前記サイト外通信網との間のデータ転送によって前記サーバとの間で認証を行い、前記サーバによって認証許可を受けた場合のみ前記サーバとの間に暗号化された論理コネクションを設定し、当該論理コネクションを用いてユーザ属性情報及び接続ポリシ情報を取得する論理接続手段を備えることを特徴とする。
【００１３】
上記第２の構成によるポリシ制御装置を用いることにより、サイト外通信網が保持するポリシ情報を取得する際のセキュリティを確保し、通信網に対する信頼性を向上させることができる。
【００１４】
第３の構成は、第１または第２の構成において、接続ポリシ生成手段は、前記サイト外通信網情報管理手段によって前記サイト外通信網から取得したユーザ属性情報及び接続ポリシ情報から、前記サイト内ユーザごとに接続可能なサイト外通信網との接続条件を抽出し、前記サイトポリシ管理手段によって設定された、サイト内通信網がユーザ端末とサイト外通信網との間のデータ転送を中継する条件を加えて、前記サイト内ユーザごとに記述した接続条件テーブルを作成し、前記サイト内ユーザからのポリシ提示要求を受け付けてユーザ属性ごとの接続条件を送信することを特徴とする。
【００１５】
上記第３の構成によるポリシ制御装置を用いることにより、複数のサイト外通信網からポリシを収集し、ユーザ属性ごとに可能な接続条件を提示できるようになり、サイト内ユーザは各サイト外通信網に対してユーザ属性を隠蔽した接続を選択できるようになる。
【００１６】
第４の構成は、第１乃至第３のいずれかの構成において、前記サイト内通信網に接続するサイト内ユーザを認証し、認証許可された場合のみ、前記接続設定手段における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、サイト内ユーザが使用するユーザ端末とサイト外通信網との接続とを管理する接続ユーザ管理手段を備え、前記サイトポリシ管理手段は、前記サイト外通信網ごとに接続可能なサイト内ユーザ数を管理し、前記接続設定手段は、サイト内ユーザの接続要求に対して、前記接続ユーザ管理手段における当該サイト外通信網に対するサイト内ユーザ数が、前記サイトポリシ管理手段における当該サイト外通信網の接続可能なサイト内ユーザ数を越えない場合のみ接続装置に対して当該接続の設定を行うことを特徴とする。
【００１７】
上記第４の構成によるポリシ制御装置を用いることにより、サイト外通信網との契約によるサイト内通信網のポリシとして、当該サイト外通信網に接続するユーザ数を制限することが可能となる。
【００１８】
第５の構成は、第１乃至第３のいずれかの構成において、さらに、前記サイト内通信網に接続するサイト内ユーザを認証し、認証許可された場合のみ、前記接続設定手段における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、当該接続に適用したポリシとを管理する接続ユーザ管理手段と、前記サイト外通信網ごとに、使用した属性、適用ポリシ、接続時間、データ転送量の少なくともいずれかを記録し、前記サイト外通信網に対する課金情報として管理する課金情報管理手段とを備えることを特徴とする。
【００１９】
上記第５の構成によるポリシ制御装置を用いることにより、サイト外通信網から取得したポリシを使用してユーザを接続させた場合の、サイト外通信網に対する課金を行うことが可能となる。
【００２０】
第６の構成は、第１乃至第３のいずれかの構成において、さらに、前記サイト内通信網に接続するサイト内ユーザを認証し、認証許可された場合のみ、前記接続設定手段における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、サイト内ユーザが使用するユーザ端末とサイト外通信網との接続と、当該接続に使用した属性とを管理する接続ユーザ管理手段と、前記サイト内ユーザごとに、接続したサイト外通信網、使用した属性、接続時間、データ転送量の少なくともいずれかを記録し、前記サイト内ユーザに対する課金情報として管理する課金情報管理手段とを備えることを特徴とする。
【００２１】
上記第６の構成によるポリシ制御装置を用いることにより、サイト内ユーザの属性を管理し、属性を利用したユーザに対して課金を行うことが可能となる。
【００２２】
【発明の実施の形態】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００２３】
図１は、本発明のポリシ制御装置を適用するネットワーク構成の一例を示すシステム概念図である。
【００２４】
図１において、サイトＳのＬＡＮＳ１０には、接続装置Ｓ１１、ユーザ端末Ｓ１２，Ｓ１３，Ｓ１４、ポリシ制御装置Ｓ１５が設置されている。一方、広域通信網であるサービス通信網（以下、サービス網）Ａ，Ｂ，Ｃには、それぞれプロバイダサーバＡ１１，Ｂ１１，Ｃ１１及び収容装置Ａ１２，Ｂ１２，Ｃ１２が設置されている。各収容装置Ａ１２，Ｂ１２，Ｃ１２には、アクセス回線Ａ１３，Ｂ１３，Ｃ１３によりサイトＳの接続装置Ｓ１１が接続されている。このシステムの各装置、端末のデータ送受信は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）通信方式によって行うものとする。
【００２５】
図２は上記ポリシ制御装置Ｓ１５の構成を示すブロック図である。このポリシ制御装置Ｓ１５は、ＬＡＮＳ１０と接続するためのインターフェース（以下、ＬＡＮ−ＩＦ）１５０と共に、論理接続部１５１、サービス網情報管理部１５２、接続設定部１５３、接続ポリシ生成部１５４、サイトポリシ管理部１５５、ユーザ属性管理部１５６、接続ユーザ管理部１５７、課金情報管理部１５８を備える。
【００２６】
上記論理接続部１５１は、ＬＡＮＳ１０とサービス網Ａ，Ｂ，ＣのプロバイダサーバＡ１１，Ｂ１１，Ｃ１１との間でデータ転送によって認証を行い、認証許可を受けた場合のみ各サーバＡ１１，Ｂ１１，Ｃ１１との間に暗号化された論理コネクションを設定し、当該論理コネクションを用いてユーザ属性情報及び接続ポリシ情報を取得する。
【００２７】
上記サービス網情報管理部１５２は、各サービス網Ａ，Ｂ，ＣのプロバイダサーバＡ１１，Ｂ１１，Ｃ１１からそれぞれの登録ユーザのユーザ属性情報と、ＬＡＮＳ１０及び各ユーザ端末Ｓ１２〜Ｓ１４が当該サービス網とは異なるサービス網に接続する場合の接続条件を定めた接続ポリシ情報とを取得し管理する。
【００２８】
上記接続設定部１５３は、各ユーザ端末Ｓ１２，Ｓ１３，Ｓ１４をサービス網Ａ，Ｂ，Ｃと接続可能とする条件を導出する。また、ユーザの接続要求に対して、接続ユーザ管理部１５７における当該サービス網に対するユーザ数が、サイトポリシ管理部１５５における当該サービス網の接続可能なユーザ数を越えない場合のみ接続装置Ｓ１１に対して当該接続の設定を行う。
【００２９】
上記接続ポリシ生成部１５４は、サイトポリシ管理部１５５、ユーザ属性管理部１５６及びサービス網情報管理部１５２、接続ユーザ管理部１５７からそれぞれ取得された情報から、各サイト内ユーザのユーザ属性について各サービス網Ａ，Ｂ，Ｃとの接続可能条件を導出する。
【００３０】
上記サイトポリシ管理部１５５は、ＬＡＮＳ１０に対してサービス網Ａ，Ｂ，Ｃとユーザ端末Ｓ１２〜Ｓ１４と間の接続を許可する条件、及びＬＡＮＳ１０がユーザ端末Ｓ１２〜Ｓ１４とサービス通信網Ａ，Ｂ，Ｃとの間のデータ転送を中継する条件の設定を受け付け管理する。また、サービス網Ａ，Ｂ，Ｃごとに接続可能なユーザ数を管理する。
【００３１】
上記ユーザ属性管理部１５６は、サービス網Ａ，Ｂ，Ｃそれぞれに登録されているユーザ属性情報をサイト内ユーザから取得し管理する。
【００３２】
上記接続ユーザ管理部１５７は、ＬＡＮＳ１０に接続するサイト内ユーザを認証し、認証許可された場合のみ、接続設定部１５３における当該サイト内ユーザに対する接続設定を許可し、認証許可したサイト内ユーザと、サイト内ユーザが使用するユーザ端末とサービス網との接続と、当該接続に適用したポリシと、当該接続に使用した属性とを管理する。
【００３３】
課金情報管理部１５８は、サービス網ごとに、使用した属性、適用ポリシ、接続時間、データ転送量の少なくともいずれかを記録し、サービス網に対する課金情報として管理する。また、ユーザごとに、接続したサービス網、使用した属性、接続時間、データ転送量の少なくともいずれかを記録し、ユーザに対する課金情報として管理する。
【００３４】
以上の構成において、本発明のポリシ制御装置は次のように動作する。
【００３５】
まず、ポリシ制御装置Ｓ１５とサービス網Ａ，Ｂ，Ｃ上のサーバＡ１１、Ｂ１１、Ｃ１１はポリシ情報及び属性情報を送受信するための論理コネクションａ，ｂ，ｃを設定する。論理コネクションは、ＰＫＩなどを用いた認証によるＩＰｓｅｃなどのコネクションを用いることができる。
【００３６】
図３に論理コネクションの一例を示す。このように論理コネクションを用いることで、ポリシ制御装置Ｓ１５とサービス網Ａ，Ｂ，Ｃ上のサーバＡ１１、Ｂ１１、Ｃ１１が相互に制御にかかわるデータの送受信、すなわち、本発明によるサービスの特徴である、ポリシ制御装置Ｓ１５による複数サービス網上のサーバＡ１１、Ｂ１１、Ｃ１１からのポリシの取得に関する通信のセキュリティを確保することが可能となる。
【００３７】
次に、サイトポリシ管理部１５５は、ＬＡＮＳ１０の管理者によって入力される、ＬＡＮを使用可能なユーザとパスワードなどの条件を、ユーザＰ，Ｑ，Ｒごとにパスワードファイルとして管理する。また、同様に、サービス網ごとに接続可能なユーザ数を、サイト−サービス網接続ポリシとして管理する。図４にパスワードファイルの例を、図５にサイト−サービス網接続ポリシを示す。
【００３８】
また、ユーザ属性管理部１５６は、各サービス網を利用可能であるユーザＰ，Ｑ，Ｒの属性情報をユーザ属性テーブルとして、複数のサービス網Ａ，Ｂ，Ｃに接続する場合の接続条件を接続ポリシとして、論理コネクションａ，ｂ，ｃを介して取得し管理する。図６、図７、図８にそれぞれサービス網Ａ，Ｂ，Ｃのユーザ属性テーブルを、図９、図１０、図１１にそれぞれサービス網Ａ，Ｂ，Ｃから取得する接続ポリシの例を示す。
【００３９】
さらに、接続ポリシ生成部１５４は、ユーザ属性テーブル（図６、図７、図８）の情報とサービス網ポリシ（図９、図１０、図１１）の情報から、ユーザＰ，Ｑ，Ｒごとに記述した接続可能条件を導出し、利用可能ポリシとして管理する。図１２に利用可能ポリシを示す。
【００４０】
以上の動作により、ユーザＰ，Ｑ，Ｒごとに接続可能な全てのサービス網の組み合わせについて、利用可能なポリシとそのための属性を抽出することができる。
【００４１】
次に、接続ユーザ管理部１５７は、ユーザＰ，Ｑ，Ｒがユーザ端末Ｓ１２〜Ｓ１４を用いて送信するユーザ認証情報を受け付け、サイトポリシ情報のパスワードファイル（図４）と照合し、ユーザ端末Ｓ１２〜Ｓ１４がＬＡＮＳ１０に接続することの可否を判断する。例えば、ユーザ端末Ｓ１２が送信した、ユーザＰ、パスワードｘｘｘを受信した場合、ユーザ端末Ｓ１２をユーザＰが使用していることを管理し、サービス網Ａ，Ｂに接続可能であると判断する。
【００４２】
以上の動作により、ユーザＰ，Ｑ，Ｒは、サービス網に直接認証情報を送信しなくとも、サイトの認証をうけることで、登録した属性の全てを有効にすることが可能になる。
【００４３】
以下では、他のユーザＱ、Ｒについても同様の、サイトにおける認証処理によってＬＡＮＳ１０への接続を許可され、接続ユーザ管理部１５７で管理されているものとする。この場合、図１２に示すテーブルに基づいて、ユーザからの接続要求に対して、接続ポリシ生成部Ｓ１５４において、ユーザＰには利用可能ポリシ７１〜７３が、ユーザＱには利用可能ポリシ７４〜７７が、ユーザＲには７８、７９が送信される。
【００４４】
以上の動作により、ユーザＰ，Ｑ，Ｒはサービス網Ａ，Ｂ，Ｃに直接自らの属性を提示しなくとも、利用可能なポリシとそのための属性を知ることができ、ユーザの属性をサービス網Ａ，Ｂ，Ｃに対して隠蔽することが可能になる。
【００４５】
また、ユーザＰ，Ｑ，Ｒはポリシから一つ選択し、その属性を指定して、接続設定部１５３に対して接続要求を送信すれば、複数のサービス網のポリシが適用された所望のユーザ属性でサービス網と接続することが可能となる。ここで、ユーザＰが、ポリシＭを選択し、ユーザＱ、Ｒが未選択の場合において、サイトポリシ管理手段に、サイト−サービス網接続ポリシ（図５）が設定されている場合、ユーザＱに提示される利用可能なポリシは、ＬＡＮＳ１０のポリシによってサービス網Ａに対しては１ユーザだけが接続可能であるため、利用可能ポリシ７４、７５がなくなる。
【００４６】
以上の動作により、サービスを提供するＬＡＮＳ１０のポリシを反映することが可能となる。
【００４７】
次に、ユーザＱが利用可能ポリシ７６を、ユーザＲが利用可能ポリシ７９を選択した場合において、ユーザと接続先サービス網及び適用ポリシを接続ユーザ管理部１５７が管理しており、その情報を、課金情報管理部１５８が、サービス網ごとにサービス網課金情報として、ユーザごとにユーザ課金情報として管理する。図１３にサービス網課金情報を、図１４にユーザ課金情報を示す。
【００４８】
以上の動作により、サービス網に対して、ポリシ管理と接続制御を、ユーザに対して属性管理と接続制御を、サービスとして提供し、料金を請求することが可能となる。
【００４９】
したがって、上記構成によるポリシ制御装置を用いることにより、サイト内ユーザが煩雑な手続きを必要とせず、各々のサービス網との通信でき、また、サービス網においては、接続条件の管理負荷を減少させることができる。その理由は、ユーザは属性を接続するＬＡＮに登録すればよく、サービス網はＬＡＮが各サービス網からポリシを取得するため、外部接続の管理を簡略化できるからである。
【００５０】
また、ユーザは通信ポリシを問い合わせて選択する場合において、ユーザが使用する複数の属性をサービス網に対して隠蔽して接続できる。その理由は、ＬＡＮで各サービス網のポリシとＬＡＮのポリシを合成し、許可される属性をユーザに提示するようにしたからである。
【００５１】
【発明の効果】
以上のように、本発明によれば、複数のサイト外通信網に接続するサイト内ユーザが、サイト外通信網ごとの通信ポリシを満たして接続する際の手続きを簡易化することができ、しかもサイト外通信網において管理する各々の通信ポリシを簡略化して管理負荷を低減することができ、さらにサイト内ユーザが使用する属性をサイト外通信網に対して隠蔽しつつ複数のサイト外通信網を選択することができ、これらを商用サービスとしてサイト内ユーザ及びサイト外通信網に対して提供することができるポリシ制御装置を提供することができる。
【図面の簡単な説明】
【図１】本発明に係るポリシ制御装置を用いたネットワークシステムの実施形態の構成を示すブロック図。
【図２】上記実施形態のポリシ制御装置の構成を示すブロック図。
【図３】上記実施形態の論理コネクションの設定例を示すブロック図。
【図４】上記実施形態のパスワードファイルの一例を示す図。
【図５】上記実施形態のサイト−サービス網接続ポリシの一例を示す図。
【図６】上記実施形態のユーザ属性テーブルの一例を示す図。
【図７】上記実施形態のユーザ属性テーブルの一例を示す図。
【図８】上記実施形態のユーザ属性テーブルの一例を示す図。
【図９】上記実施形態の接続ポリシの一例を示す図。
【図１０】上記実施形態の接続ポリシの一例を示す図。
【図１１】上記実施形態の接続ポリシの一例を示す図。
【図１２】上記実施形態の利用可能ポリシの一例を示す図。
【図１３】上記実施形態のサービス網課金情報の一例を示す図。
【図１４】本発明の実施の形態のユーザ網課金情報の一例を示す図。
【符号の説明】
Ｓ…サイト、Ｓ１０…ＬＡＮ、Ｓ１１…接続装置、Ｓ１２〜Ｓ１４…ユーザ端末、Ｓ１５…ポリシ制御装置、Ａ，Ｂ，Ｃ…サービス網、Ａ１１、Ｂ１１、Ｃ１１…サービス網サーバ、Ａ１２、Ｂ１２、Ｃ１２…収容装置、Ａ１３、Ｂ１３、Ｃ１３…アクセス回線、１５０…ＬＡＮ−ＩＦ、１５１…論理接続部、１５２…サービス網接続管理部、１５３…接続設定部、１５４…接続ポリシ生成部、１５５…サイトポリシ管理部、１５６…ユーザ属性管理部、１５７…接続ユーザ管理部、１５８…課金情報管理部、ａ，ｂ，ｃ…論理コネクション。
【図１】
2004260470.tif 000003
【図２】
2004260470.tif 000004
【図３】
2004260470.tif 000005
【図４】
2004260470.tif 000006
【図５】
2004260470.tif 000007
【図６】
2004260470.tif 000008
【図７】
2004260470.tif 000009
【図８】
2004260470.tif 000010
【図９】
2004260470.tif 000011
【図１０】
2004260470.tif 000012
【図１１】
2004260470.tif 000013
【図１２】
2004260470.tif 000014
【図１３】
2004260470.tif 000015
【図１４】
2004260470.tif 000016