(57)【特許請求の範囲】
【請求項１】
データ処理システムにおけるロールベースアクセス制御を構成する方法であって、前記データ処理システムのコンピュータに、
前記データ処理システムにおいて使用可能なサービスを使用して、前記データ処理システムで利用されうるソフトウェアパッケージのリストを取得し、前記取得したリストに基づいて、前記データ処理システムにおいて実行されうるコマンドと、前記コマンドを実行する権限(authorization)情報とが対応付けられた第１のリストを作成するステップと、
前記データ処理システムにおいて予め設定されたロール(role)と、前記ロールの記述(description)とが対応付けられた第２のリストを作成するステップと、
前記権限情報を、前記第１のリストから検索する検索用文字を示す権限鍵と、前記権限鍵を用いて検索する権限情報を有する前記ロールの記述を、前記第２のリストから検索する検索用文字を示すロール記述鍵とが予め対応付けられた鍵リストに基づいて、前記作成された第２のリストに含まれるロールと、前記作成された第１のリストに含まれる権限情報のうち、このロールが有する権限情報とが対応付けられた第３のリストを生成するステップと
を実行させる方法。
【請求項２】
前記データ処理システムにおいて使用可能なサービスに対して設定されるセキュリティポリシーに基づいて抽出されたロールと、このロールの記述とを、前記第２のリストに追加するステップ
をさらに実行させる請求項１に記載の方法。
【請求項３】
外部から取得したロールと、このロールの記述とを、前記第２のリストに追加するステップ
をさらに実行させる請求項１に記載の方法。
【請求項４】
前記データ処理システムにおいて予め設定されたユーザ管理情報に基づいて、ユーザ情報を取得するステップと、
前記取得したユーザ情報と、前記第２のリストに含まれるロールとを対応づける外部からの入力情報に基づいて、前記ユーザ情報と、前記ユーザが属するロールとが対応付けられた第４のリストを作成するステップと
をさらに実行させる請求項１に記載の方法。
【請求項５】
前記ロールは、他のロールと階層構造を有しうる
請求項１に記載の方法。
【請求項６】
非循環有向グラフで表現されるモデルに基づいて、前記階層構造の循環依存関係を検出するステップ
をさらに実行させる請求項５に記載の方法。
【請求項７】
ロールベースアクセス制御を構成するデータ処理システムであって、
このデータ処理システムにおいて使用可能なサービスを使用して、このデータ処理システムで利用されうるソフトウェアパッケージのリストを取得し、前記取得したリストに基づいて、前記データ処理システムにおいて実行されうるコマンドと、前記コマンドを実行する権限(authorization)情報とが対応付けられた第１のリストを作成する第１のリスト作成手段と、
このデータ処理システムにおいて予め設定されたロール(role)と、前記ロールの記述(description)とが対応付けられた第２のリストを作成する第２のリスト作成手段と、
前記権限情報を、前記第１のリストから検索する検索用文字を示す権限鍵と、前記権限鍵を用いて検索する権限情報を有する前記ロールの記述を、前記第２のリストから検索する検索用文字を示すロール記述鍵とが予め対応付けられた鍵リストに基づいて、前記作成された第２のリストに含まれるロールと、前記作成された第１のリストに含まれる権限情報のうち、このロールが有する権限情報とが対応付けられた第３のリストを生成する第３のリスト作成手段と
を備えるデータ処理システム。
【請求項８】
データ処理システムにおけるロールベースアクセス制御を構成するためのコンピュータプログラムであって、前記データ処理システムのコンピュータに、
前記データ処理システムにおいて使用可能なサービスを使用して、前記データ処理システムで利用されうるソフトウェアパッケージのリストを取得し、前記取得したリストに基づいて、前記データ処理システムにおいて実行されうるコマンドと、前記コマンドを実行する権限(authorization)情報とが対応付けられた第１のリストを作成するステップと、
前記データ処理システムにおいて予め設定されたロール(role)と、前記ロールの記述(description)とが対応付けられた第２のリストを作成するステップと、
前記権限情報を、前記第１のリストから検索する検索用文字を示す権限鍵と、前記権限鍵を用いて検索する権限情報を有する前記ロールの記述を、前記第２のリストから検索する検索用文字を示すロール記述鍵とが予め対応付けられた鍵リストに基づいて、前記作成された第２のリストに含まれるロールと、前記作成された第１のリストに含まれる権限情報のうち、このロールが有する権限情報とが対応付けられた第３のリストを生成するステップと
を実行させるコンピュータプログラム。
【請求項９】
前記データ処理システムにおいて使用可能なサービスに対して設定されるセキュリティポリシーに基づいて抽出されたロールと、このロールの記述とを、前記第２のリストに追加するステップ
をさらに実行させる請求項８に記載のコンピュータプログラム。
【請求項１０】
外部から取得したロールと、このロールの記述とを、前記第２のリストに追加するステップ
をさらに実行させる請求項８に記載のコンピュータプログラム。
【請求項１１】
前記データ処理システムにおいて予め設定されたユーザ管理情報に基づいて、ユーザ情報を取得するステップと、
前記取得したユーザ情報と、前記第２のリストに含まれるロールとを対応づける外部からの入力情報に基づいて、前記ユーザ情報と、前記ユーザが属するロールとが対応付けられた第４のリストを作成するステップと
をさらに実行させる請求項８に記載のコンピュータプログラム。
【請求項１２】
前記ロールは、他のロールと階層構造を有しうる
請求項８に記載のコンピュータプログラム。
【請求項１３】
非循環有向グラフで表現されるモデルに基づいて、前記階層構造の循環依存関係を検出するステップ
さらに実行させる請求項１２に記載のコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データ処理システムおよびデータ処理方法に関する。
【背景技術】
【０００２】
データ処理システム内では、ユーザに、たとえば一定のコマンドのみを実行することを許可するために、ロールベースアクセス制御（ＲＢＡＣ）が使用される場合がある。
組織は、その組織のデータ処理システム内でＲＢＡＣを使用して、一定の業界標準を満たす場合がある。
たとえば、米国内では、２００２年のサーベンス・オクスリー（ＳＯＸ）法または医療保険の携行性と責任に関する法律（ＨＩＰＡＡ）の法令遵守の一環としてＲＢＡＣを使用する場合がある。
米国標準技術局（ＮＩＳＴ）は、ＲＢＡＣ標準規格を提供している。
【０００３】
ＲＢＡＣを実施するために、組織は、既存のセキュリティ製品の使用を停止することが必要な場合がある。
さらに、管理する多くのユーザおよび／またはロールが存在する場合がある。
たとえば、或るヨーロッパの銀行に関するケーススタディでは、１３００を超えるロールが作成および管理に必要とされることが明らかにされ、かなりの人的資源が必要となる。
したがって、ＲＢＡＣを構成することは、多くの時間および費用を要するプロセスとなり得る。
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来技術の問題の１つまたは２つ以上を少なくとも緩和することが、本発明の実施の形態の目的である。
【課題を解決するための手段】
【０００５】
次に、単なる例として、添付図面に関して本発明の実施形態を説明する。
【発明を実施するための最良の形態】
【０００６】
本発明の実施形態は、既存のセキュリティ製品を利用して、１つ若しくは２つ以上のデータ処理システム上でＲＢＡＣを少なくとも部分的に構成するか、または、ＲＢＡＣの構成に寄与する。
たとえば、本発明の実施形態は、既存のセキュリティ製品を構成し、且つ／または、実施するセキュリティポリシーをそれら製品に提供するデータベースまたはデータ構造を利用する。
既存のセキュリティ製品には、たとえば、Sun Microsystemsが提供しているネットワーク情報サービス（ＮＩＳ／ＮＩＳ＋）、ライトウェイトディレクトリアクセス制御（ＬＤＡＰ）、または、たとえばＵｎｉｘ（登録商標）オペレーティングシステムおよびＵｎｉｘ（登録商標）ベースオペレーティングシステム等のオペレーティングシステムによって実施されるパスワードセキュリティが含まれる。
Ｕｎｉｘ（登録商標）ベースオペレーティングシステムは、たとえば、ＨＰ−ＵＸ等である。
【０００７】
図１は、この一例のオペレーティングシステムＨＰ−ＵＸ上でＲＢＡＣ１００を構成するのに使用される構成データ構造（データベース）の一例を示している。
これらのデータ構造は、ＲＢＡＣ環境で利用可能であり且つ１人または２人以上のユーザに割り当てることができるロールをリストしたロールデータベースを含む。
たとえば、ユーザがネットワーク管理者のロールを有するように、ロールがユーザに割り当てられる場合がある。
また、これらのデータ構造は、権限データベース１０４も含む。
この権限データベース１０４は、権限のリストを含む。
権限は、ロールに割り当てられて、その権限に関連付けられる一定の動作を行う権限がロールに付与されていることを示す。
【０００８】
これらのデータ構造は、ロール／権限データベース１０６も含む。
このロール／権限データベース１０６は、ロールおよびそれらロールに関連付けられる権限のリストを含む。
ロールは、１つまたは２つ以上の権限に関連付けることができる。
【０００９】
これらのデータ構造は、ロール／ユーザデータベース１０８も含む。
このロール／ユーザデータベースは、ユーザおよびそれらユーザに関連付けられるロールのリストを含む。
ユーザは、１つまたは２つ以上のロールに関連付けることができる。
【００１０】
これらのデータ構造は、ｃｍｄ＿ｐｒｉｖデータベース１１０も含む。
ｃｍｄ＿ｐｒｉｖデータベースは、権限およびそれら権限に関連付けられるコマンドのリストを含む。
【００１１】
したがって、コマンドは、権限に関連付けることができ、権限は、ロールに関連付けることができ、ロールは、ユーザに関連付けることができる。
このように、コマンドは、ユーザに関連付けることができ、ＲＢＡＣが実施されるデータ処理システムを使用するユーザは、関連付けられるコマンドのみを実行することができる。
ユーザは、他のコマンドを実行できない場合がある。
これらの制限は、たとえば、ＨＰ−ＵＸオペレーティングシステム若しくは他のオペレーティングシステムと共にまたはそれらオペレーティングシステム用に供給されたセキュリティソフトウェア等、ＲＢＡＣを実施するソフトウェアによってデータ処理システムに課される。
【００１２】
図２は、上記構成データ構造の作成の概観の一例２００を示している。
権限／コマンドデータベース（ｃｍｄ＿ｐｒｉｖ）２００は、次のように作成される。
データ処理システム上にインストールされているかまたはデータ処理システム上で利用可能なソフトウェアパッケージのリストが得られる。
これは、たとえば、システム管理者またはシステムコマンドが提供することができる。
ＨＰ−ＵＸオペレーティングシステムによって提供されたシステムコマンドの一例は、ｓｗｌｉｓｔである。
ただし、他のオペレーティングシステムは、同様の機能を有するコマンドを提供することができる。
このソフトウェアパッケージのリストは、製品に関連付けられるコマンドのリストを得るのに使用される（或いは、他のコマンドも使用することができる）。
たとえば、ｓｗｌｉｓｔは、この目的で使用することができる。
たとえば、ソフトウェアパッケージ「ＬＶＭ」が、データ処理システム上にインストールされているかまたはデータ処理システム上で利用可能である場合に、以下のコマンドを使用することができる。
swlist -l file LVM | grep "/usr/sbin" | awk '{print $0}'
これは、たとえば、以下の出力を生成することができる。
LVM.LVM_RUN:   /usr/sbin
LVM.LVM_RUN:   /usr/sbin/lvchange
LVM.LVM_RUN:   /usr/sbin/lvmchk
LVM.LVM_RUN:   /usr/sbin/lvmmigrate
LVM.LVM_RUN:   /usr/sbin/lvcreate
LVM.LVM_RUN:   /usr/sbin/lvdisplay
【００１３】
コマンドlvchange、lvmchk、lvmmigrate、lvcreate、およびlvdisplayは、「ＬＶＭ」ソフトウェアパッケージに関連付けられるコマンドである。
【００１４】
権限２０６も、ソフトウェアパッケージ用に作成される。
これらは、org.xxx.adminとして作成される。
ここで、XXXは、ソフトウェアパッケージの名称またはソフトウェアパッケージに関連付けられる識別子である。
たとえば、権限org.lvm.adminは、ＬＶＭソフトウェアパッケージ用に作成される。
他の形態の権限も可能な場合がある。
【００１５】
権限／コマンドデータベース２０２は、権限２０６およびそれら権限に関連付けられるコマンド２０４のリストを含むかまたは示すように作成される。
たとえば、ＬＶＭソフトウェアパッケージの場合、データベース２０２の一部は、以下に示すように作成することができる。
【００１６】
【表１】
0004740976.tif 000002
【００１７】
データベース２０２は、必要に応じて、「権限」および「コマンド」の列の見出しを伴って作成することもできるし、伴わないで作成することもできる。
これら列の見出しは、たとえば、データベースの人間の可読性を改善するためにコメントを補うことができる。
【００１８】
再び図２を参照して、権限／コマンドデータベース２０２からの権限のリストを含む権限データベース２１０も作成される。
【００１９】
ロール／記述データベース２１２も、ロールおよびそれらロールの記述のリストを含むように作成される。
ロール／記述データベース２１２は、デフォルトロール２１４を含むことができる。
たとえば、オペレーティングシステムは、デフォルトロールを提供することができるかまたは示すことができる。
たとえば、ＨＰ−ＵＸオペレーティングシステム上では、デフォルトロールは、記述「ネットワーク管理者」、「ファイルシステム管理者」、および「バックアップ管理者」をそれぞれ有するnetwork_admin、fs_admin、およびbackup_adminを含むことができる。
これらのロールおよび記述をロール／記述データベース２１２に追加することができる。
データベース２１２は、たとえば、システム管理者またはデータ処理システムセキュリティ管理者によって追加される手動追加ロール２１６も含むことができる。
【００２０】
ロール／記述データベースは、たとえば、既存のデータベース２１８から得られたロールも含むことができる。
たとえば、データ処理システムが、ＮＩＳ／ＮＩＳ＋、ＬＤＡＰ、またはパスワードセキュリティソフトウェアを使用して実装されたセキュリティポリシーを含む場合、このセキュリティポリシーは、それらセキュリティソフトウェアに関連付けられる１つまたは２つ以上のデータベースに示されるように実装することができる。
たとえば、パスワードがＨＰ−ＵＸオペレーティングシステム上で使用される場合、/etc/groupファイルは、データ処理システム上に存在するグループを求めるために処理することができる。
すなわち、各ユーザは、１つまたは２つ以上のグループのメンバーとすることができ、/etc/groupファイルは、それらグループのＩＤを提供する。
グループは、グループＩＤ（ＧＩＤ）によって識別することができる。
グループＩＤは、たとえば、整数値とすることができる。
この整数値は、本発明の実施形態ではロール名として使用することもできるし、代替的な形態（たとえば、テキスト）に変更することもできる。
【００２１】
ＬＤＡＰがデータ処理システム上で使用される場合、ＬＤＡＰデータベース（またはＬＤＡＰスキーマ）は、どのようなセキュリティポリシーが実施されるべきかをＬＤＡＰソフトウェアに示す。
たとえば、ＬＤＡＰデータベースは、複数のユーザおよびそれらユーザが属するグループを示すことができる。
グループのグループＩＤは、ＬＤＡＰデータベースから抽出することができ、たとえば、データベースのＣＮフィールドから抽出することができ、ロール／記述データベース２１２に追加することができる。
グループの記述は、たとえば、管理者によって追加されるか、または、ＬＤＡＰデータベースからも抽出される。
【００２２】
また、組織は、従業員データベースも所有することができる。
この従業員データベースは、ユーザが有することができるロールを示し、それらロールの記述も含むことができる。
この従業員データベースは、既存のデータベース２１８を含むことができる。
この既存のデータベース２１８は、そこからロールおよび／または記述を得ることができ、且つ、それらのロールおよび／または記述をロール／記述データベース２１２に追加することができる。
【００２３】
本発明の実施形態に従って作成されたロール／記述データベース２１２の一例を以下に提供する。
ここで、ロール「lvm_admin」は、記述「ＬＶＭ管理者」と共に手動で追加される。
【００２４】
【表２】
0004740976.tif 000003
【００２５】
図２を再び参照して、ロールデータベース２２０は、ロール／記述データベース２１２からのロールのリストを含めて作成される。
【００２６】
ロール／権限データベース２３０は権限／コマンドデータベース２０２およびロール／記述データベース２１２から作成され、それによって、ロールおよびそれらロールに関連付けられる権限を示す。
ロールと権限との間のこの関連付けは、データベース２０２および２１２から得ることができない場合がある。
したがって、鍵データベース２３２が、関連付けを導出できるように提供される。
たとえば、鍵データベースは、以下の情報を含むように提供することができる。
【００２７】
【表３】
0004740976.tif 000004
【００２８】
鍵データベース２３２は、権限／コマンドデータベース２０２（或いは、権限データベース２１０）の「権限」の列にテキストを含む権限を見つけるのに使用される。
次に、この権限と、記述の「ロール鍵」列にテキストを含むロール／記述データベース２１２のロールとの間に関連付けが行われる。
たとえば、権限／コマンドデータベース２０２の「org.lvm.admin」権限は、テキスト「lvm」を有する。
したがって、ロール／記述データベース２１２の記述の検索は、テキスト「LVM Admin」を含む記述について行われる。
記述「ＬＶＭ管理者」が見つけられる。
これは、ロール「lvm_admin」の記述である。
したがって、ロール「lvm_admin」と権限「org.lvm.admin」との間の関連付けが行われる。
【００２９】
鍵データベースは、事前に作成される。
すなわち、たとえばセキュリティ管理者である管理者によって取得または作成される。
鍵データベースは、権限とロールとの間の関連付けをマッピングするさらなる権限鍵および関連付けられるロール鍵を含むように更新することができる。
【００３０】
ロール／権限データベース２３０は、ロールおよびそれらロールに関連付けられる権限のリストを含むように更新される。
１つの権限が、１つまたは２つ以上のロールについて現れる場合があり、且つ／または、１つのロールが、１つまたは２つ以上の権限に関連付けられる場合がある。
たとえば、ロール／権限データベースは、以下の情報を含むことができる。
【００３１】
【表４】
0004740976.tif 000005
【００３２】
したがって、ロール「lvm_admin」を有するユーザは、「org.lvm.admin」権限に関連付けられるコマンドを実行することができる。
【００３３】
図２を再び参照して、ロール／ユーザデータベース２４０も、ロールおよびそれらロールに関連付けられるユーザのリストを含むように作成される。
ロール／ユーザデータベース２４０は、たとえば、１つまたは２つ以上の既存のデータベースから作成することができる。
たとえば、/etc/passwd、ＬＤＡＰデータベース、ＮＩＳ／ＮＩＳ＋データベース、従業員データベース、および／または、たとえば、このデータ処理システムを使用できるユーザを示すオペレーティングシステムによって保持されるデータベース等の他の任意の適したデータベースからユーザのリストを得ることができる。
【００３４】
たとえば、ＨＰ−ＵＸオペレーティングシステムを含むデータ処理システム上のたとえば/etc/passwordファイルは、以下の情報を含むことができる。
kiran:*:104:1::/home/vusr1:/sbin/sh
chandra:*:105:1::/home/vusr2:/sbin/sh
【００３５】
ユーザ「kiran」およびユーザ「chandra」は、この/etc/passwdファイルから求めることができる。
【００３６】
ＬＤＡＰデータベースが存在する場合、ユーザは、ＬＤＡＰデータベースから、たとえばＬＤＡＰデータベースのMemberUidフィールドおよび／またはMemberNameフィールド内から取り出し可能な場合がある。
【００３７】
ロールのリストは、ロール／記述データベース２１２（或いは、ロールデータベース２２０）から得ることができる。
ユーザには、既存のデータベース内のデータおよび／または管理者入力２４４に従ってロールを与えることができる（たとえば、管理者は、ロールをユーザに手動で割り当てることができる）。
１人のユーザを１つまたは２つ以上のロールに関連付けることができ、且つ／または、１つのロールを１人または２人以上のユーザに関連付けることができる。
ユーザに関連付けられるロールは、ロール／ユーザデータベース２４０に詳述される。たとえば、データベース２４０は、以下の情報を含むことができる。
【００３８】
【表５】
0004740976.tif 000006
【００３９】
したがって、ユーザ「kiran」およびユーザ「chandra」は、「lvm_admin」のロールを有し、ユーザが、関連付けられるコマンドを実行できることを意味する。
上記に示したデータベースによれば、これらのコマンドは、権限org.lvm.adminによって提供されるような/usr/sbin/lvchange、/usr/sbin/lvmchk、usr/sbin/lvmmigrate、/usr/sbin/lvcreate、および/usr/sbin/lvdisplayである。
【００４０】
ロールデータベース２２０に示されたロールは、階層的なロールとすることができる。
したがって、いくつかのロールは、他のロールおよびそれらロールに関連付けられる権限を組み入れることができる。
たとえば、ＬＤＡＰデータベースは、ツリー構造でユーザおよび／またはロールを含み、したがって、ロールの階層構造が、ＬＤＡＰデータベースから取得可能な場合がある。
循環依存関係の有無についてロールデータベース２２０をチェックすることができる。
ロールデータベース２２０は、同じロールから開始して同じロールで終了する依存関係の経路が存在する場合に循環依存関係を含む場合がある。
既知の方法に従い非循環有向グラフ（ＤＡＧ）としてデータベース２２０をモデル化することにより、循環依存関係を検出して解決することができる。
【００４１】
本発明の実施形態は、ＲＢＡＣ実施態様が準拠しなければならないセキュリティポリシールールを指定することをユーザ（たとえば、管理者または組織）に許可することができる。
たとえば、セキュリティポリシーは、２つの特定の権限またはロールにユーザを関連付けることができないことを要求する場合がある。
本発明の実施形態は、構成データベースが作成される時にルールが準拠されるようにチェックを行うことができる。
【００４２】
本発明のさらなる実施形態は、ロールをアクティブまたは非アクティブにするための能力も含むことができる。
たとえば、本発明の実施形態は、どのロールがアクティブであるのか、および／または、どのロールが非アクティブであるのかを示すアクティブロールデータベースを含むことができる。
或いは、データベースが、各ロールについて、そのロールがアクティブであるのか、それとも非アクティブであるのかを示すアクティブ／非アクティブフラグを含むように、データベース（たとえば、ロール／ユーザデータベース２４０等）を変更することもできる。
非アクティブロールは、その非アクティブロールに関連付けられるユーザに、関連付けられる権限を与えない。
ロールは、管理者の手動入力に従ってアクティブまたは非アクティブにすることができる。
これに加えてまたはこれに代えて、ロールは、セキュリティポリシーに従ってアクティブまたは非アクティブにすることもできる。
たとえば、一定の期間のみロールがアクティブになるように要求することができる。
たとえば、セキュリティ管理者が、毎月１回、セキュリティ報告を生成および／または収集する必要がある場合、セキュリティ管理者にそうすることを許可するロールは、毎月１回、必要とされる期間の間のみアクティブになり、それ以外の時間は非アクティブになる必要がある。
適切なロールが適宜アクティブおよび／または非アクティブにされるように、このようなセキュリティポリシーを本発明の実施形態内に含めることができる。
したがって、セキュリティポリシーが一旦機能すると、管理者による管理は必要とされない。
【００４３】
本発明の一定の実施形態では、ロールを他のロールに一時的または永続的に委任する（delegate）ことができる。
たとえば、第２のロールに関連付けられるユーザが、第１のロールに関連付けられるコマンドを一時的または永続的に実行できるように、第１のロールを第２のロールに委任することができる。
本発明の実施形態は、たとえば、どのロールが委任されているのかを示す委任データベースを含むことができる。
たとえば、一定のロールは委任することができない、一定のロールはそれらロールに委任される他のロールを有することができない、および／または、一定のロールを一定の他のロールに委任することができない等の一連のルールに従ってロールを委任することができる。
【００４４】
図３は、本発明の実施形態に適したデータ処理システム３００の一例を示している。
データ処理システム３００は、データプロセッサ３０２およびメインメモリ（ＲＡＭ等）３０４を含む。
また、データ処理システムは、ハードディスク等の永続ストレージデバイス３０６、並びに／または、ＬＡＮ、ＷＡＮ、および／若しくはインターネット等の外部有線ネットワークおよび／若しくは外部ワイヤレスネットワークと通信するための通信デバイス３０８も含むことができる。
データ処理システム３００は、ディスプレイデバイス３１０、並びに／または、キーボードおよび／若しくはマウス等の入力デバイス３１２も含むことができる。
【００４５】
本発明の実施形態は、ハードウェア、ソフトウェア、またはハードウェアおよびソフトウェアの組み合わせの形態で実現できることが十分理解されよう。
このようないかなるソフトウェアも、揮発性ストレージ若しくは不揮発性ストレージの形態で、または、メモリの形態で、または、光学的若しくは磁気的な可読媒体上に記憶することができる。
不揮発性ストレージは、消去可能であろうとなかろうと、再書き込み可能であろうとなかろうと、たとえばＲＯＭのようなストレージデバイス等である。
メモリは、たとえば、ＲＡＭ、メモリチップ、メモリデバイス、メモリ集積回路等である。
光学的または磁気的な可読媒体は、たとえば、ＣＤ、ＤＶＤ、磁気ディスク、磁気テープ等である。
ストレージデバイスおよびストレージ媒体は、実行されると本発明の実施形態を実施する１つまたは複数のプログラムを記憶するのに適したマシン可読ストレージの実施形態であることが十分理解されよう。
したがって、実施形態は、説明したようなシステムまたは方法を実施するためのコードを含むプログラム、および、このようなプログラムを記憶するマシン可読ストレージを提供する。
またさらに、本発明の実施形態は、有線接続またはワイヤレス接続上を搬送される通信信号等の任意の媒体を介して電子的に伝えることができ、実施形態は、これを適切に包含する。
【００４６】
この明細書（添付するあらゆる特許請求の範囲、要約書、および図面を含む）に開示される機能のすべて、および／または、そのように開示されたあらゆる方法若しくはプロセスのステップのすべては、このような機能および／またはステップの少なくともいくつかが相互に排他的である組み合わせを除いて、任意の組み合わせで組み合わせることができる。
【００４７】
この明細書（添付するあらゆる特許請求の範囲、要約書、および図面を含む）に開示される各機能は、明示的に別段の定めをした場合を除き、同じ目的、等価な目的、または類似の目的を果たす代替的な機能に置き換えることができる。
したがって、明示的に別段の定めをした場合を除き、開示された各機能は、一般的な一連の等価な機能または類似の機能の単なる一例にすぎない。
【００４８】
本発明は、上記のいかなる実施形態の詳細にも制限されるものではない。
本発明は、この明細書（添付するあらゆる特許請求の範囲、要約書、および図面を含む）に開示される機能の新規ないずれのものにも若しくは新規ないずれの組み合わせにもおよび、或いは、そのように開示されるあらゆる方法またはプロセスのステップの新規ないずれのものにも若しくは新規ないずれの組み合わせにも及ぶ。
特許請求の範囲は、上記実施形態のみをカバーするように解釈されるべきではなく、特許請求の範囲の範囲内に含まれるあらゆる実施形態も含むように解釈されるべきである。
【図面の簡単な説明】
【００４９】
【図１】ＲＢＡＣ構成データ構造の一例を示す図である。
【図２】本発明の実施形態による構成データ構造の作成の一例を示す図である。
【図３】本発明の実施形態と共に使用するのに適したデータ処理システムの一例を示す図である。
【符号の説明】
【００５０】
１０２・・・ロールデータベース，
１０４・・・権限データベース，
１０６・・・ロール／権限データベース，
１０８・・・ロール／ユーザデータベース，
２０２・・・権限／コマンドデータベース，
２０４・・・コマンドリスト，
２０６・・・権限，
２１０・・・権限データベース，
２１２・・・ロール／記述データベース，
２１４・・・デフォルトロール，
２１６・・・手動追加ロール，
２１８，２４２・・・既存のデータベース，
２２０・・・ロールデータベース，
２３０・・・ロール／権限データベース，
２３２・・・鍵データベース，
２４０・・・ロール／ユーザデータベース，
２４４・・・管理者入力，
【図１】
0004740976.tif 000007
【図２】
0004740976.tif 000008
【図３】
0004740976.tif 000009