(57)【要約】【課題】詳細なアクセス権の設定を可能とするとともに、アクセス権の管理を容易とするアクセス権管理システムを提供する。【解決手段】アクセス権管理システム１００を構成するアクセスセット生成部１０１は、人事情報データベース１０４から取得した属性情報に基づきアクセスセットの生成・更新を行い、アクセスセット格納部１０５に格納する。アクセス権グループ設定部１０２は、アクセスセット格納部１０５に格納されたアクセスセットに基づき、アクセス権グループ設定画面１０２ａを表示し、システム管理者により任意に選択されたアクセスセットの組合せに基づきアクセス権グループの生成・更新を行い、アクセス権グループ格納部１０６に格納する。アクセス権判定部１０３は、前記アクセス権グループ及びアクセスセットに基づき利用者端末１２０のアクセスの許可・不許可を応答する。【選択図】　　　図１
2004054779.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介してアクセス可能なコンピュータ資源に対する利用者のアクセス権を管理するアクセス権管理システムであって、
前記コンピュータ資源の利用者の識別情報及びアクセス権の設定に関係する属性情報を格納した利用者情報データベースから各利用者の識別情報及び属性情報を取得し、前記属性情報に基づき利用者をグループ化した利用者グループを生成する利用者グループ生成手段と、
前記利用者グループ生成手段により生成された各利用者グループ毎に前記識別情報を格納する利用者グループ格納手段と、
管理者の指示に応じて、各コンピュータ資源に対してアクセス権を有する利用者グループ及び当該利用者グループのアクセス権種別を設定するアクセス権グループ設定手段と、
前記アクセス権グループ設定手段により設定された利用者グループ及びアクセス権種別を各コンピュータ資源毎に格納するアクセス権グループ格納手段とを備えるアクセス権管理システム。
【請求項２】
前記利用者グループ生成手段は、複数の属性情報の要素の組合せ毎に利用者グループを生成することを特徴とする請求項１に記載のアクセス権管理システム。
【請求項３】
前記アクセス権グループ設定手段は、前記利用者グループをシステム管理者の選択に応じて任意に組合せたアクセス権グループを生成する手段を備え、前記アクセス権グループ毎にアクセス権種別を設定することを特徴とする請求項１又は２に記載のアクセス権管理システム。
【請求項４】
前記利用者グループ生成手段は、前記利用者情報データベースの更新に応じて、各利用者グループの生成を行うことを特徴とする請求項１〜３のいずれかに記載のアクセス権管理システム。
【請求項５】
利用者のアクセスしたコンピュータ資源からのアクセス権確認要求に応じて、当該コンピュータ資源についてアクセスを許可された利用者グループを前記アクセス権グループ格納手段から取得し、取得した利用者グループに含まれる利用者の識別情報を利用者グループ格納手段から取得し、取得した利用者の識別情報と利用者により入力された識別情報とを比較し、両者が一致した場合に前記コンピュータ資源に対し前記利用者グループに設定されているアクセス権種別を応答するアクセス権判定手段をさらに備えることを特徴とする請求項１〜４のいずれかに記載のアクセス権管理システム。
【請求項６】
前記アクセス権判定手段は、アクセス権確認要求を行った前記コンピュータ資源にアクセス権種別を応答した場合に、利用者に対しアクセス権種別に従ったアクセスを許可させることを特徴とする請求項１〜５のいずれかに記載のアクセス権管理システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上のデータベース、ファイル、アプリケーションプログラムなどのコンピュータ資源へのアクセスを管理するシステムに関する。
【０００２】
【従来の技術】
近年、ネットワークシステムの発展及びパーソナルコンピュータの普及によりネットワーク上の様々なコンピュータ資源に対し、複数の利用者のパーソナルコンピュータから簡単にアクセスできるようになっている。
このようなネットワークを介したコンピュータ資源へのアクセスに対し、セキュリティ上の関係から、各利用者毎に各コンピュータ資源へのアクセス権を設定して、当該設定に基づきコンピュータ資源へのアクセスを管理するシステムが用いられている。
例えば、特開平１０−２５４７５１号公報は、各データベース中のデータへのアクセスについて、利用者の操作目的に応じたアクセス権を設定して、当該設定に基づきデータベース管理を行うシステムが記載されている。当該システムでは、各利用者毎に、操作対象となるデータベース内のテーブルの各データ項目に対して参照，追加，削除，更新等のアクセス権種別を設定する。例えば、ある利用者に住所変更に関する操作をさせる場合には、社員名簿テーブルの「住所」「連絡先」について追加，削除，更新を設定するとともに、「社員番号」「氏名」等については参照のみを設定し、前記利用者からのアクセスに対し、設定されたデータベース操作のみを許可する。このように、前記公報に記載のシステムでは、各利用者毎に各データ項目について参照，追加，削除，更新等の詳細なアクセス権の設定・管理を行うことができる。
【０００３】
【発明が解決しようとする課題】
しかし、会社等の組織において利用者の所属・職位などの属性に基づきアクセス権が設定されている場合には、人事異動などによる利用者の属性の変更に応じて個別にアクセス権の設定を確認して変更等を行うことが必要であり、管理のための手間やコストが多大なものとなっていた。
一方、管理の容易化のために社員全体に各コンピュータ資源に対してアクセスの許可又は不許可を設定する方法や、データ項目毎の参照，更新等の詳細なアクセス権の設定を行わずに、各利用者毎に各コンピュータ資源に対してアクセスの許可又は不許可のみを設定する方法も考えられるが、本来の業務とは無関係なファイル操作等も許可することとなる。例えば、社員の住所変更を行う利用者に対し、単純に社員名簿テーブルの全てのデータ項目についてアクセスの許可を設定すると、生年月日など住所変更とは無関係なデータ項目の参照，更新，削除等が可能となる。従って、アクセス権の管理が容易になる反面、情報の漏洩やデータの破損等の危険があり、セキュリティレベルが低くなるという問題があった。
【０００４】
本発明は前記課題を解決するためのものであり、詳細なアクセス権の設定を行うことによりセキュリティレベルを高く保ちつつ、アクセス権管理を容易に行うことのできるアクセス権管理システムを提供することを目的とする。
【０００５】
【課題を解決するための手段】
前記課題を解決するため、本発明は、ネットワークを介してアクセス可能なコンピュータ資源に対する利用者のアクセス権を管理するアクセス権管理システムであって、前記コンピュータ資源の利用者の識別情報及びアクセス権の設定に関係する属性情報を格納した利用者情報データベースから各利用者の識別情報及び属性情報を取得し、前記属性情報に基づき利用者をグループ化した利用者グループを生成する利用者グループ生成手段と、前記利用者グループ生成手段により生成された各利用者グループ毎に前記識別情報を格納する利用者グループ格納手段と、管理者の指示に応じて、各コンピュータ資源に対してアクセス権を有する利用者グループ及び当該利用者グループのアクセス権種別を設定するアクセス権グループ設定手段と、前記アクセス権グループ設定手段により設定された利用者グループ及びアクセス権種別を各コンピュータ資源毎に格納するアクセス権グループ格納手段とを備える。
また、前記利用者グループ生成手段は、複数の属性情報の要素の組合せ毎に利用者グループ生成することを特徴とする。
また、前記アクセス権グループ設定手段は、前記利用者グループをシステム管理者の選択に応じて任意に組合せたアクセス権グループを生成する手段を備え、前記アクセス権グループ毎にアクセス権種別を設定することを特徴とする。
また、前記利用者グループ生成手段は、前記利用者情報データベースの更新に応じて、各利用者グループの生成を行うことを特徴とする。
また、利用者のアクセスしたコンピュータ資源からのアクセス権確認要求に応じて、当該コンピュータ資源についてアクセスを許可された利用者グループを前記アクセス権グループ格納手段から取得し、取得した利用者グループに含まれる利用者の識別情報を利用者グループ格納手段から取得し、取得した利用者の識別情報と利用者により入力された識別情報とを比較し、両者が一致した場合に前記コンピュータ資源に対し前記利用者グループに設定されているアクセス権種別を応答するアクセス権判定手段をさらに備えることを特徴とする。
また、前記アクセス権判定手段は、アクセス権確認要求を行った前記コンピュータ資源にアクセス権種別を応答した場合に、利用者に対しアクセス権種別に従ったアクセスを許可させることを特徴とする。
【０００６】
【発明の実施の形態】
以下、本発明の実施の形態について図面に基づき説明する。
図１は、本実施の形態に係るアクセス権管理システムの概略構成を示すブロック図である。
本実施の形態に係るアクセス権管理システム１００は、アクセスセット生成部１０１と、アクセス権グループ設定部１０２と、アクセス権判定部１０３とを有している。また、アクセスセットを生成するための各利用者の識別情報及び属性情報を格納した利用者情報データベースとしての人事情報データベース１０４と、生成されたアクセスセットを格納するアクセスセット格納部１０５と、生成されたアクセス権グループを格納するアクセス権グループ格納部１０６とを有している。ここで、アクセスセットとは、利用者情報データベースに含まれる属性情報に基づきグループ化された利用者の集合を示す。本例では、属性情報として職位及び所属の組合せに基づきグループ化された利用者の集合を用いている。
【０００７】
アクセスセット生成部１０１は、人事情報データベース１０４から取得した属性情報に基づきアクセスセットの生成・更新を行い、アクセスセット格納部１０５に格納する。
アクセス権グループ設定部１０２は、アクセスセット格納部１０５に格納されたアクセスセットに基づき、アクセス権グループ設定画面１０２ａを表示し、システム管理者により任意に選択されたアクセスセットの組合せに基づきアクセス権グループの生成・更新を行い、アクセス権グループ格納部１０６に格納する。
アクセス権判定部１０３は、コンピュータ資源としてのプログラムＡ又はファイルＢ等のオブジェクト１１０からのアクセス権確認要求を受付け、アクセス権グループ格納部１０６に格納されたアクセス権グループ及びアクセスセットに基づき利用者端末１２０のアクセスの許可・不許可を応答する。
【０００８】
図２は、人事データベース１０４のデータ構造の一例を示す図である。
人事データベース１０４は、図２に示すように各利用者について氏名２０１と、利用者識別情報としてのＩＤ２０２と、属性情報としての職位２０３，所属２０４が格納されている。
なお、人事データベース１０４は、コンピュータ資源管理とは別に管理されているものであり、人事異動等により更新される。人事データベース１０４には、前述の他、各利用者の住所，連絡先等の情報も格納されている。
【０００９】
図３は、アクセスセット格納部１０５のデータ構造の一例を示す図である。
アクセスセット格納部２０５は、人事データベース１０４に格納された複数の属性情報における各要素の組合せ毎に利用者の識別ＩＤの集合を示すアクセスセット３１０を格納している。本例では、人事データベース１０４の職位２０３の要素として担当３０１，係長３０２等が示され、所属２０４の要素として人事３０３，営業３０４等が示されている。例えば、担当３０１・人事３０３の組合せ対するアクセスセット３１０では、ＩＤが「３４５」，「５６７」の利用者が含まれることを示している。
アクセスセット格納部２０５に格納される各アクセスセットは、アクセスセット生成部１０１が人事情報データベース１０４に格納された情報に基づき生成・更新する。例えば、人事異動等による人事情報データベース１０４の更新に応じてアクセスセットの更新処理を行うこととしてもよく、また、定期的に更新処理を行うこととしてもよい。
【００１０】
図４は、アクセス権グループ格納部１０６のデータ構造を示す図である。
アクセス権グループ格納部１０６は、図４（ａ），（ｂ）に示すように、アクセス権グループ・アクセスセット対応表４１０と、コンピュータ資源・アクセス権グループ対応表４２０とから構成されている。
アクセス権グループ・アクセスセット対応表４１０は、グループ名４１１とグループ構成４１２の各データ項目を有する。グループ名４１１は、各アクセス権グループに対してシステム管理者が任意に定めるものである。グループ構成４１２は、各アクセス権グループに含まれるアクセスセットについて、複数の属性情報の要素の組合せで示している。例えば、係長グループに含まれるアクセスセットとしては、人事・係長の組合せと、営業・係長の組合せとが示されている。
オブジェクト・アクセス権グループ対応表４２０は、各オブジェクトに対するアクセス権種別を示すフルアクセス４２１，実行４２２，読出４２３，書込４２４等の各データ項目を有する。各オブジェクト毎の各データ項目には、アクセス権を設定するアクセス権グループが表示されている。例えば、プログラムＡについて実行４２１のアクセス権を設定するアクセス権グループとして係長グループ４２５が格納されている。
アクセス権グループ格納部１０６に格納される各情報は、アクセス権グループ設定部１０２が管理者の指示に応じて生成・更新する。
【００１１】
次に、本システムにおいてアクセス権グループを生成する方法について説明する。
図５は、アクセス権グループの生成処理手順を示すフローチャートである。
まず、アクセスセット生成部１０１は、人事情報データベース１０４から各利用者の識別情報及びシステムの管理者により予め選択された属性情報を取得し、各アクセスセットを生成する（ステップ５０１）。
具体的には、図２の人事情報データベース１０４からＩＤ２０２，職位２０３，所属２０４の各データ項目の情報を取得し、職位２０３及び所属２０４のそれぞれの要素の組合せ表を生成する。組合せ表における各組合せ毎に、該当する利用者のＩＤ２０２の集合を示すアクセスセットを生成して、アクセスセット格納部１０５に格納する。
アクセス権グループ設定部１０２は、アクセスセット格納部１０５からアクセスセットを取得して、当該アクセスセットに基づきアクセス権グループ設定画面１０２ａを表示し、管理者の選択に応じてアクセス権グループを生成する（ステップ５０２）。次に、生成したアクセス権グループに基づき、管理者の選択に応じて各オブジェクト毎にアクセスを許可するアクセス権グループ及びアクセス権の種別を設定する（ステップ５０３）。
具体的には、アクセス権グループ設定画面１０２ａとして、図６（ａ）に示すアクセス権グループ設定画面６１０を表示し、さらに、図６（ｂ）に示すアクセス権設定画面６２０を表示する。
アクセス権グループ設定画面６１０は、アクセス権グループ名入力欄６１１と、アクセスセット表示部６１２とを有しており、アクセスセット表示欄６１２には、各アクセスセットに対応してチェックボックス６１３を備えている。また、アクセス権設定画面６２０は、アクセス権を設定するオブジェクト名表示部６２１と、アクセス権グループ表示部６２２と、アクセス権設定部６２３とを有している。アクセス権グループ表示部６２２は、オブジェクト名表示部６２１に表示された名称のオブジェクトについてアクセスを許可するアクセス権グループを表示する。なお、追加ボタン６２４，削除ボタン６２５を有し、管理者の操作に応じてアクセス権グループ表示部６２２に表示するアクセス権グループの追加，削除を行う。
アクセス権設定部６２３は、アクセス権グループ表示部６２２において利用者により選択されたアクセス権グループ６２２ａについてアクセス権の種別毎に許可又は不許可を設定するチェックボックス６２３ａを備えている。
アクセス権グループ設定部１０２は、アクセス権グループ設定画面６１０を表示し、システムの管理者によるアクセス権グループ名入力欄６１１の入力及びチェックボックス６１３のチェックに基づき、選択されたアクセスセットをアクセス権グループとしてアクセス権グループ格納部１０６のアクセス権グループ・アクセスセット対応表４１０に格納する。
次に、管理者の指定したオブジェクトについてアクセス権設定画面６２０を表示し、管理者による追加ボタン６２４又は削除ボタン６２５の操作に応じてアクセス権グループの追加又は削除を行う。アクセス権グループの追加の場合には、追加ボタン６２４の操作に応じてアクセス権グループ・アクセスセット対応表４１０に格納されたアクセス権グループ４１１の一覧を表示し、管理者により選択されたアクセス権グループを追加する。
アクセス権グループ表示部６２２において管理者によるアクセス権グループの選択がされると、選択されたアクセス権グループ６２２ａについてアクセス権設定部６２３が表示される。管理者による各アクセス権種別毎の許可又は不許可のチェックボックス６２３ａのチェックに基づきアクセス権の設定をオブジェクト・アクセス権グループ対応表４２０に格納する。管理者により選択された全てのアクセス権グループについてのアクセス権の設定を受付けた後、ＯＫボタン６２６が操作されることにより、アクセス権の設定処理を終了する。
【００１２】
アクセスセットの更新処理については、人事情報データベース１０４の更新処理がされた際、又は、毎日の業務の終了時に定期的にアクセスセット生成部１０１が行う。
アクセス権グループ及び各コンピュータ資源毎のアクセス権の設定の更新処理については、アクセス権グループ設定部１０２が管理者の任意の要求に応じてアクセス権グループ設定画面１０２ａを表示して行う。
【００１３】
次に、アクセスセット格納部１０５及びアクセス権グループ格納部１０６に格納された情報に基づいて、アクセス権判定部１０３が行うアクセス権判定処理について図７のフローチャートに基づき説明する。
アクセス権判定部１０３は、利用者端末１２０により起動又はアクセスされたオブジェクト１１０より利用者のＩＤを含むアクセス権確認要求を受付けると、アクセス権グループ格納部１０６からアクセス権グループを取得する（ステップ７０１）。具体的には、オブジェクト・アクセス権グループ対応表４２０からオブジェクト１１０について設定されたアクセス権の種別とアクセス権グループとの組合せを取得し、取得した組合せに含まれるアクセス権グループに基づきアクセス権グループ・アクセスセット対応表４１０から対応するアクセスセットを取得する。
アクセス権判定部１０３は、取得したアクセスセットに含まれる利用者のＩＤをアクセスセット格納部１０５からを取得する（ステップ７０２）。アクセスセット格納部１０５から取得したＩＤと、オブジェクト１１０から受付けたＩＤとの一致又は不一致を判定する（ステップ７０３）。
判定の結果、ＩＤが一致した場合には、ステップ７０１で取得したアクセス権種別に基づき、オブジェクト１１０に対しアクセス許可及びアクセス権種別を応答する（ステップ７０４）。
一方、前記判定の結果、ＩＤが不一致の場合には、全てのアクセス権種別についてアクセス権グループを取得したか否かを判定する（ステップ７０５）。判定の結果、アクセス権グループを取得していないアクセス権種別がある場合には、当該アクセス権種別についてステップ７０１からステップ７０３の処理を繰り返す。一方、全てのアクセス権種別について処理を終了している場合には、オブジェクト１１０に対しアクセス不許可を応答する（ステップ７０６）。
オブジェクト１１０は、アクセス権判定部１０３からの許可の応答があった場合に、アクセス権種別に基づき利用者端末１２０からのアクセスを許可する。
【００１４】
一例として、プログラムＡが利用者ａの使用する利用者端末１２０からのアクセスを受付けた場合について説明する。
プログラムＡは利用者端末１２０からアクセスを受け付けると、アクセス権判定部１０３に利用者ａのＩＤを含むアクセス権確認要求を送る。アクセス権判定部１０３は、プログラムＡについてオブジェクト・アクセス権グループ対応表４２０を参照し、「プログラムＡ」の「実行」のアクセス権が設定されているアクセス権グループのグループ名として係長グループ４２５を取得する。取得した係長グループ４２４についてアクセス権グループ・アクセスセット対応表４１０を参照し、人事・係長と営業・係長とのグループ構成４１３を取得する。取得したグループ構成４１３に含まれるアクセスセットについてアクセスセット格納部１０５を参照し、各アクセスセットに含まれる利用者のＩＤを取得する。この場合、営業・係長の組合せを示すアクセスセット３１１に含まれるＩＤ「１２３」と利用者ａのＩＤ「１２３」とが一致するため、プログラムＡに対しアクセス許可として「実行」のアクセス権種別を応答する。プログラムＡはアクセス権判定部１０３から応答された「実行」のアクセス権種別に基づき、利用者端末１２０からのアクセスを許可する。
【００１５】
以上のように、本実施の形態では、プログラムやファイル等のオブジェクトについてのアクセス権管理システムにおいて、属性情報の組合せに基づいて生成された利用者グループについて許可するアクセス権種別を設定することとしたので、柔軟なアクセス権の設定が可能になる共に、グループ単位でのアクセス権の管理を行うことが可能となるため、管理に掛かるコスト及び手間を低減することができる。特に、会社等の組織にあるオブジェクトのアクセス権は、利用者の職位，所属等の属性情報に基づき行われることがあるため、属性情報に基づき利用者をグループ化することによりアクセス権の管理を容易にすることができる。
また、属性情報を管理する利用者情報データベースとして、別途管理された人事情報データベースを用い、人事情報データベースの情報に基づき利用者のグループを生成・更新することとしたので、人事異動等により各利用者の属性情報が変更された場合であっても人事情報データベースの更新に応じてアクセス権管理システムが各グループに含まれる利用者の変更を行うため、管理者は各利用者の属性情報の変更を意識することなくアクセス権管理を行うことができる。
また、利用者グループとして、属性情報に基づき生成したアクセスセット（利用者の集合）を管理者の選択に応じて任意に組合せたアクセス権グループを用いることとしたので、管理者が管理し易いように利用者グループを構成することができ、各オブジェクトに対するアクセス権の設定・管理を容易にすることができる。
【００１６】
なお、前記実施の形態ではプログラム又はファイル等のオブジェクトをアクセス権管理の対象とする場合について説明しているが、ハードウエア等の他のコンピュータ資源をアクセス権管理の対象とする場合にも本発明を適用することができる。
また、属性情報として各利用者の職位と所属とを用いているが、これに限られるものではなく、各組織に応じて一又は複数の属性情報を用いればよい。また、アクセスセットについては、職位と所属との２つの項目の組合せ毎に生成することとしているが、さらに他の項目を加えて３つ以上の項目の組合せ毎に生成することとしてもよい。
また、アクセス権グループの生成及びコンピュータ資源毎のアクセス権の設定をアクセス権グループ設定部により行うこととしているが、各処理を別々の装置により行うこととしてもよい。この場合、コンピュータ資源毎のアクセス権の設定・管理については、各コンピュータ資源の機能を利用することとしてもよい。例えば、アクセスが許可されたアクセス権グループを各コンピュータ資源が格納し、利用者端末からアクセスされたコンピュータ資源が、格納しているアクセス権グループをアクセス権判定部に送ることによりアクセス権確認要求を行うこととしてもよい。
また、必ずしもアクセス権グループを生成しなければならないものではなく、アクセスセット毎にアクセス権を管理することとしてもよい。
また、アクセス権の判定処理に用いられる利用者のＩＤとしては、コンピュータ資源へのアクセス毎又はアクセス権の判定処理毎に利用者が入力したものを用いればよい。また、利用者端末のドメイン管理に用いられるＩＤを利用してもよい。
本発明のアクセス権管理システムは、一つの端末により構成することとしてもよく、また、各機能毎に複数の端末により構成することとしてもよい。
【００１７】
【発明の効果】
以上のように、本発明によれば、ネットワーク上のコンピュータ資源に対するアクセス権を管理するアクセス権管理システムにおいて、柔軟なアクセス権の設定を可能とするとともに、アクセス権の管理に要するコスト，手間を低減することができる。
【図面の簡単な説明】
【図１】本発明の一実施の形態に係るアクセス権管理システムの概略構成を示すブロック図である。
【図２】人事情報データベースのデータ構造の一例を示す図である。
【図３】アクセスセット格納部のデータ構造の一例を示す図である。
【図４】アクセス権グループ格納部のデータ構造の一例を示す図である。
【図５】アクセス権グループの生成処理手順を示すフローチャートである。
【図６】アクセス権グループ設定画面の一例を示す図である。
【図７】アクセス権の判定処理手順を示すフローチャートである。
【符号の説明】
１００　アクセス権管理システム、１０１　アクセスセット生成部、１０２　アクセス権グループ設定部、１０３　アクセス権判定部、１０４　人事情報データベース、１０５　アクセスセット格納部、１０６　アクセス権グループ格納部、１１０コンピュータ資源、１２０　利用者端末。
【図１】
2004054779.tif 000003
【図２】
2004054779.tif 000004
【図３】
2004054779.tif 000005
【図４】
2004054779.tif 000006
【図５】
2004054779.tif 000007
【図６】
2004054779.tif 000008
【図７】
2004054779.tif 000009