(57)【特許請求の範囲】
【請求項１】
操作の対象となる各資源を分類する資源分類情報と、前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、一の主体の一の資源に対する操作について前記操作の種別ごとに許否判定を実行し、前記許否判定の結果に基づいて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手段を有し、
前記操作許否情報生成手段は更に、前記主体と前記資源との組み合わせに応じて前記定義情報では許可されていない少なくとも一部の前記操作の種別の許可を示す追加操作定義情報の中から前記一の主体と前記一の資源との組み合わせに対応した対応追加操作定義情報を特定し、該対応追加操作定義情報を前記操作許否情報に上書きすることを特徴とする情報処理装置。
【請求項２】
前記操作許否情報生成手段は、前記主体分類情報に基づいて前記一の主体の分類を特定し、前記資源分類情報に基づいて前記一の資源の分類を特定し、前記定義情報に定義された前記規則のうち前記一の主体の分類と前記一の資源の分類との組み合わせに対応した対応規則を適用して、前記対応規則の対象とする前記操作について前記許否判定を実行することを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記操作許否情報生成手段は、前記操作許否情報を表示させる表示装置からの前記操作許否情報の提供要求に応じ、該提供要求において指定された前記主体と該提供要求において指定された前記資源との組み合わせに対する前記操作許否情報を生成し、該操作許否情報を前記表示装置に提供することを特徴とする請求項１又は２記載の情報処理装置。
【請求項４】
前記定義情報には、前記規則に応じて当該規則の対象とする前記操作に課せられる責務を示す責務情報が定義されており、
前記操作許否情報生成手段は、前記対応規則に対応付けられている前記責務情報を前記操作許否情報に含めることを特徴とする請求項２又は３記載の情報処理装置。
【請求項５】
前記操作許否情報生成手段は、前記操作の種別に応じて所定のアプリケーションにおける前記操作の表現形式が定義された操作表現形式定義情報に基づいて、前記操作の表現形式を前記操作の種別ごとに前記操作許否情報に含めることを特徴とする請求項１乃至４いずれか一項記載の情報処理装置。
【請求項６】
前記操作許否情報生成手段は、前記責務に応じて所定のアプリケーションにおける前記責務の表現形式が定義された責務表現形式定義情報に基づいて、前記責務の表現形式を前記操作の種別ごとに前記操作許否情報に含めることを特徴とする請求項４記載の情報処理装置。
【請求項７】
前記定義情報には前記規則に応じて当該規則の定義内容を説明する説明文が定義されており、
前記定義情報より前記対応規則に対応付けられている前記説明文を抽出することにより、該説明文を前記操作の種別ごとに含む対応規則情報を生成する対応規則情報抽出手段を更に有することを特徴とする請求項２項記載の情報処理装置。
【請求項８】
前記対応規則情報抽出手段は、前記対応規則情報を前記操作許否情報と共に表示させる前記表示装置からの前記対応規則情報の提供要求に応じ、該提供要求において指定された前記主体と該提供要求において指定された前記資源との組み合わせに対応した前記対応規則に対応付けられている前記説明文を含む前記対応規則情報を生成し、該対応規則情報を前記表示装置に提供することを特徴とする請求項７記載の情報処理装置。
【請求項９】
前記定義情報には、前記規則に応じて当該規則の対象とする前記操作に課せられる責務を示す責務情報が定義されており、
前記対応規則情報抽出手段は、前記対応規則に対応付けられている前記責務情報を前記定義情報より抽出し、該責務情報を当該対応規則が対象とする前記操作の種別に対応させて前記対応規則情報に含めることを特徴とする請求項７又は８記載の情報処理装置。
【請求項１０】
前記対応規則情報抽出手段は、前記対応規則情報の提供要求に応じ、前記追加操作定義情報より、該提供要求において指定された前記主体と該提供要求において指定された前記資源との組み合わせに対応した対応追加操作定義情報を抽出し、該対応追加操作定義情報を前記表示装置に提供することを特徴とする請求項８記載の情報処理装置。
【請求項１１】
前記対応規則情報抽出手段は、前記対応規則情報の提供要求において前記操作の種別が特定されている場合は、前記対応規則のうち該操作の種別に対応した対応規則に対応付けられている前記説明文を含む前記対応規則情報を生成し、該対応規則情報を前記表示装置に提供することを特徴とする請求項８記載の情報処理装置。
【請求項１２】
前記対応規則情報抽出手段は、前記対応規則情報の提供要求において前記操作の種別が特定されている場合は、前記対応追加操作定義情報のうち該操作の種別に対応した前記対応追加操作定義情報を前記追加操作定義情報より抽出し、該対応追加操作定義情報を前記表示装置に提供することを特徴とする請求項１０記載の情報処理装置。
【請求項１３】
前記資源分類情報には、前記各資源について機密度が定義されていることを特徴とする請求項１乃至１２いずれか一項記載の情報処理装置。
【請求項１４】
前記資源分類情報には、前記各資源について当該資源を管理する組織との対応づけが定義されていることを特徴とする請求項１乃至１３いずれか一項記載の情報処理装置。
【請求項１５】
前記主体分類情報には、前記各主体について当該主体が所定の関係を有する組織との対応づけが定義されていることを特徴とする請求項１乃至１４いずれか一項記載の情報処理装置。
【請求項１６】
前記定義情報は、前記資源の機密度と、前記主体が前記資源の関係者であるか否かとの組み合わせに応じて前記規則が定義されていることを特徴とする請求項１５記載の情報処理装置。
【請求項１７】
前記操作許否情報生成手段は、前記資源を管理する組織と前記主体が前記所定の関係を有する組織とが同一の場合は、該主体は該資源の関係者であると判断することを特徴とする請求項１６記載の情報処理装置。
【請求項１８】
前記定義情報は、ＸＡＣＭＬに基づいて定義されていることを特徴とする請求項１乃至１７いずれか一項記載の情報処理装置。
【請求項１９】
コンピュータを用いて資源に対する操作の許否を示す操作許否情報を生成する操作許否情報生成方法であって、
前記資源を操作する各主体を分類する主体分類情報に基づいて一の主体の分類を特定する主体分類特定手順と、
前記操作の対象となる各資源を分類する資源分類情報に基づいて一の資源の分類を特定する資源分類特定手順と、
前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報のうち、前記一の主体の分類と前記一の資源の分類との組み合わせに対応した対応規則を適用して前記操作の種別ごとの許否判定を実行する許否判定手順と、
前記許否判定の結果に基づいて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手順と、
前記主体と前記資源との組み合わせに応じて前記定義情報では許可されていない少なくとも一部の前記操作の種別の許可を示す追加操作定義情報の中から前記一の主体と前記一の資源との組み合わせに対応した対応追加操作定義情報を特定する操作定義情報特定手順と、
前記対応追加操作定義情報を、前記操作許否情報生成手順において生成された操作許否情報に上書きする操作定義情報反映手順とを有することを特徴とする操作許否情報生成方法。
【請求項２０】
前記操作許否情報を表示させる表示装置より前記操作許否情報の提供要求を受信する許否情報要求受信手順と、
前記許否情報生成手順において生成された前記操作許否情報を前記表示装置に送信する許否情報送信手順とを更に有し、
前記主体分類特定手順は、前記許否情報の提供要求において指定された前記一の主体について分類を特定し、
前記資源分類手順は、前記許否情報の提供要求において指定された前記一の資源について分類を特定することを特徴とする請求項１９記載の操作許否情報生成方法。
【請求項２１】
前記定義情報には前記規則に応じて当該規則の定義内容を説明する説明文が対応付けて定義されており、
前記定義情報より前記対応規則に対応付けられている前記説明文を抽出することにより、該説明文を前記操作の種別ごとに含む対応規則情報を生成する対応規則情報抽出手順を更に有することを特徴とする請求項１９又は２０記載の操作許否情報生成方法。
【請求項２２】
前記対応規則情報を前記操作許否情報と共に表示させる前記表示装置より前記対応規則情報の提供要求を受信する対応規則情報要求受信手順と、
前記対応規則抽出手順において生成された前記対応規則情報を前記表示装置に送信する対応規則情報送信手順とを更に有し、
前記対応規則抽出手順は、前記対応規則情報の提供要求において指定された前記主体と、該提供要求において指定された前記資源との組み合わせに対する対応規則情報を抽出することを特徴とする請求項２１記載の操作許否情報生成方法。
【請求項２３】
前記対応規則情報の提供要求に応じ、前記追加操作定義情報より、該提供要求において指定された前記主体と該提供要求において指定された前記資源との組み合わせに対応した対応追加操作定義情報を抽出する追加操作定義情報抽出手順を更に有し、
前記対応規則情報送信手順は、更に、前記追加捜査定義情報抽出手順において抽出された前記対応追加操作定義情報を前記表示装置に送信することを特徴とする請求項２２記載の操作許否情報生成方法。
【請求項２４】
コンピュータに、
資源を操作する各主体を分類する主体分類情報に基づいて一の主体の分類を特定する主体分類特定手順と、
操作の対象となる各資源を分類する資源分類情報に基づいて一の資源の分類を特定する資源分類特定手順と、
前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報のうち、前記一の主体の分類と前記一の資源の分類との組み合わせに対応した対応規則を適用して前記操作の種別ごとの許否判定を実行する許否判定手順と、
前記許否判定の結果に基づいて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手順と、
前記主体と前記資源との組み合わせに応じて前記定義情報では許可されていない少なくとも一部の前記操作の種別の許可を示す追加操作定義情報の中から前記一の主体と前記一の資源との組み合わせに対応した対応追加操作定義情報を特定する操作定義情報特定手順と、
前記対応追加操作定義情報を、前記操作許否情報生成手順において生成された操作許否情報に上書きする操作定義情報反映手順とを実行させるための操作許否情報生成プログラム。
【請求項２５】
請求項２４記載の操作許否情報生成プログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体に関し、特に資源に対する操作権限に関する情報を提供するための情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体に関する。
【背景技術】
【０００２】
コンピュータシステムにおいては、資源の不正利用等を防止すべく各資源に対してアクセス権が定義されているのが一般である（例えば、特許文献１）。かかるアクセス権が定義されたデータは、一般にＡＣＬ（Access Control List）と呼ばれている。図１は、文書管理システムにおけるＡＣＬの概念図である。図１に示されるＡＣＬには、ユーザ又はグループごとに、ある文書に対する参照、閲覧、更新及び削除等の操作の可否が定義されている。文書管理システムにおいては、かかるＡＣＬを文書ごとに定義して文書の保護を図っている。
【０００３】
ＡＣＬによって各文書に対する操作権限情報が管理されている場合、任意の文書に対する操作権限情報の閲覧を要求するユーザに対しては、当該文書に対するＡＣＬの内容をそのまま表示させればユーザにとって容易に理解可能な形式で情報を提供することができた。
【０００４】
他方において、従来の各種システムごとに保持されていた操作権限情報を、各種のセキュリティ情報と合わせて特定のサーバ（以下、「セキュリティサーバ」という。）において一元管理することにより、複数のシステムにおける資源に対するアクセス制御について、共通のセキュリティルールを適用することが可能なシステム形態が採用され始めている。ここで、セキュリティサーバにおいて管理されている情報は、一般にセキュリティポリシーと呼ばれている。
【特許文献１】特開２０００−２３１５０９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、セキュリティポリシーは、複数のシステムに対して共通的に適用されるものであるため、その定義内容は、それだけでは具体的な処理内容を特定できるものではなく、抽象的な表現になるのが一般である。例えば、印刷操作を許可する際に課される責務として、セキュリティポリシーにおいては「複製抑止処理」といった表現により定義されているが、あるアプリケーションにおける具体的な意味は、「地紋印刷」であるといった具合である。また、セキュリティポリシーにおける操作権限情報は、ＡＣＬのように個々の資源（文書等）に対して設定されるものではなく、資源を操作する主体（ユーザ又はグループ等）の分類と、資源の分類との組み合わせに応じて定義されるのが一般である。
【０００６】
したがって、抽象的かつ、各種の組み合わせを有するセキュリティポリシーの定義内容をそのまま表示させたとしても、ユーザは、ある特定の文書に対する自己の操作権限を特定するのに非常に労を要するという問題がある。
【０００７】
本発明は、上記の点に鑑みてなされたものであって、資源に対する操作権限に関する情報を適切に提供することのできる情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体の提供を目的とする。
【課題を解決するための手段】
【０００８】
そこで上記課題を解決するため、本発明は、請求項１に記載されるように、操作の対象となる各資源を分類する資源分類情報と、前記資源を操作する各主体を分類する主体分類情報と、前記資源の分類と前記主体の分類との組み合わせに応じて前記操作の種別ごとに前記操作の許否判定に関する規則が定義された定義情報とに基づいて、一の主体の一の資源に対する操作について前記操作の種別ごとに許否判定を実行し、前記許否判定の結果に基づいて前記操作の種別ごとに許否を示す操作許否情報を生成する操作許否情報生成手段を有することを特徴とする。
【０００９】
このような情報処理装置では、資源分類情報、主体分類情報及び定義情報等により構成される複数のセキュリティ情報によって資源に対する操作権限が管理されている場合に、一のユーザの一の資源に対する各種操作権限の有無を示す情報を提供することができる。
【００１０】
また、上記課題を解決するため、本発明は、上記情報処理装置における操作許否情報生成方法、前記操作許否情報生成方法を前記情報処理装置に実行させるための操作許否情報生成プログラム、又は前記操作許否情報生成プログラムを記録した記録媒体としてもよい。
【発明の効果】
【００１１】
本発明によれば、資源に対する操作権限に関する情報を適切に提供することのできる情報処理装置、操作許否情報生成方法、操作許否情報生成プログラム及び記録媒体を提供することができる。
【発明を実施するための最良の形態】
【００１２】
以下、図面に基づいて本発明の実施の形態を説明する。図２は、本発明の実施の形態における文書管理システムの構成例を示す図である。図２に示されるように、本実施の形態における文書管理システム１は、セキュリティ管理サーバ１０、文書管理サーバ２０、認証サーバ３０、クライアント装置４０、印刷サーバ５１、変換サーバ５２及び配信サーバ５３等が、インターネットやＬＡＮ（Local Area Network）等のネットワーク６０を介して接続されることにより構成されている。
【００１３】
セキュリティ管理サーバ１０は、文書に対するセキュリティ上の各種情報（以下、「セキュリティ情報」という。）の管理を行うためのコンピュータである。文書管理システム１において文書を取り扱う各種サーバ（文書管理サーバ１０、印刷サーバ５１、変換サーバ５２、及び配信サーバ５３）は、セキュリティ管理サーバ１０に管理されているセキュリティ情報に基づいて、各ユーザの文書に対する操作権限の有無等を判断する。
【００１４】
文書管理サーバ２０は、文書の管理（文書の保存、保存されている文書に対する検索、更新及び削除等の手段の提供等）を行うための文書管理モジュール２１が実装されたコンピュータである。
【００１５】
認証サーバ３０は、文書管理システム１のユーザの認証を行うための認証モジュール３１が実装されたコンピュータである。認証モジュール３１は、認証要求に応じてユーザの認証を行い、ユーザが認証された場合は、当該ユーザが認証された旨を証明する電子的な証明書（以下、「チケット」という。）を発行する。
【００１６】
印刷サーバ５１、変換サーバ５２及び配信サーバ５３は、文書管理サーバ２０に管理されている文書を扱う各種サーバの例示である。印刷サーバ５１は、文書をプリンタに印刷させるための機能が実装されたコンピュータである。変換サーバ５２は、文書を所定のデータ形式に変換するための機能が実装されたコンピュータである。配信サーバ５３は、文書を所定の宛先に配信するための機能が実装されたコンピュータである。
【００１７】
クライアント装置４０は、上述した各種サーバの機能を利用するアプリケーションが実装されたコンピュータである。但し、クライアント装置４０は、ユーザが直接利用する端末であるとは限らない。例えば、クライアント装置４０は、Ｗｅｂサーバであってもよく、その場合、クライアント装置４０に実装されたアプリケーションは、Ｗｅｂアプリケーションに相当する。
【００１８】
次に、セキュリティ管理サーバ１０の詳細について説明する。図３は、本発明の実施の形態におけるセキュリティ管理サーバのハードウェア構成例を示す図である。図３のセキュリティ管理サーバ１０は、それぞれバスBで相互に接続されているドライブ装置１００と、補助記憶装置１０２と、メモリ装置１０３と、演算処理装置１０４と、インタフェース装置１０５とを有するように構成される。
【００１９】
セキュリティ管理サーバ１０での処理を実現するプログラムは、ＣＤ−ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。
【００２０】
補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。演算処理装置１０４は、メモリ装置１０３に格納されたプログラムに従ってセキュリティ管理サーバ１０に係る機能を実行する。インタフェース装置１０５は例えばモデム、ルータ等で構成され、図２のネットワーク６０に接続するために用いられる。
【００２１】
図４は、本発明の実施の形態の文書管理システムにおける操作権限情報表示機能に関する機能構成例を示す図である。図４に示されるように、セキュリティ管理サーバ１０には、セキュリティ管理モジュール１１、アクセスマスク生成モジュール１２及び適用ルール情報抽出モジュール１３等が実装されている。セキュリティ管理モジュール１１は、各種のセキュリティ情報の管理機能が実装されたモジュールである。セキュリティ管理モジュール１１においては、ユーザプロファイル１１１、文書プロファイル１１２、ポリシー１１３及び許可証管理テーブル１１４等がセキュリティ情報として管理されている。
【００２２】
図５は、ユーザプロファイルの例を示す図である。図５に示されるように、ユーザプロファイル１１１は、各ユーザをいずれの部署の関係者であるかによって分類する情報であり、ユーザごとに、各部署（部署Ａ、部署Ｂ、部署Ｃ）の関係者であるか否かが定義されている。例えば、プロファイル１１１において、ユーザＡは、部署Ａの関係者であるが、部署Ｂ及び部署Ｃの関係者ではないことが定義されている。ここで、「部署の関係者」とは、例えば、当該部署に所属している者や、当該部署におけるプロジェクトに参加している者等が該当する。
【００２３】
図６は、文書プロファイルの例を示す図である。図６に示されるように、文書プロファイル１１２は、各文書をその機密レベル等によって分類する情報であり、文書ごとに文書名、機密レベル、及び管理部署等が定義されている。文書名は、文書に付された名前である。機密レベルは、文書の機密度である。管理部署は、文書を管理している部署の部署名である。例えば、文書プロファイル１１２において、文書１は、部署Ａにおいて管理されている社外秘文書であるということが定義されている。
【００２４】
図７、図８、及び図９は、ポリシーの定義例を示す図である。図７等におけるポリシー１１３は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）の仕様を参考に定義されている。ここで、「参考に」と表現しているのは、原則としてＸＡＣＭＬの仕様に従いつつ、本実施の形態において独自の拡張を行っているからである。なお、図７、図８、及び図９は、一つのファイル内においてなされている定義を、便宜上分割して表示したものである。
【００２５】
ポリシー１１３においては、主体（ユーザ）、資源（文書）、及び操作の組み合わせに応じて、当該操作の許否を判断するための規則（セキュリティルール）が定義されており、一つのセキュリティルールに対応する定義は、＜Ｒｕｌｅ＞タグで囲まれたＲｕｌｅ定義が該当する。図中においては、Ｒｕｌｅ定義ｒ１（図７）、Ｒｕｌｅ定義ｒ２、Ｒｕｌｅ定義ｒ３（図８）、Ｒｕｌｅ定義ｒ４（図９）等がＲｕｌｅ定義として表示されている。各Ｒｕｌｅ定義は、＜Ｔａｒｇｅｔ＞タグで囲まれたＴａｒｇｅｔ定義を要素として含む。例えば、Ｒｕｌｅ定義ｒ１には、Ｔａｒｇｅｔ定義ｔ１が含まれている。
【００２６】
Ｔａｒｇｅｔ定義は、当該セキュリティルールを適用する対象（主体、資源、操作）を特定するための定義であり、＜Ｓｕｂｊｅｃｔ（ｓ）＞タグで囲まれたＳｕｂｊｅｃｔ定義、＜Ｒｅｓｏｕｒｃｅ（ｓ）＞タグで囲まれたＲｅｓｏｕｒｃｅ定義、＜Ａｃｔｉｏｎ（ｓ）＞タグで囲まれたＡｃｔｉｏｎ定義等を含む。Ｓｕｂｊｅｃｔ定義は、セキュリティルールを適用する主体の分類を特定するための定義である。Ｒｅｓｏｕｒｃｅ定義は、セキュリティルールを適用する資源の分類を特定するための定義である。Ａｃｔｉｏｎ定義は、セキュリティルールを適用する操作の種別を特定するための定義である。例えば、Ｔａｒｇｅｔ定義ｔ１より、Ｒｕｌｅ定義ｒ１は、関係者（主体）による秘文書（資源）の閲覧（操作）の許否を判定する際に適用されるセキュリティルールであることが特定される。
【００２７】
セキュリティルールを適用した場合の判定値は、当該Ｒｕｌｅ定義のＥｆｆｅｃｔ属性の値によって特定される。すなわち、Ｅｆｆｅｃｔ属性の値が「Ｐｅｒｍｉｔ」であれば、判定値は「許可」となり、「Ｄｅｎｙ」であれば判定値は「不許可」となる。例えば、Ｒｕｌｅ定義ｒ１のＥｆｆｅｃｔ属性ｅ１の値は、「Ｐｅｒｍｉｔ」であることから、Ｒｕｌｅ定義ｒ１が適用される場合の判定値は「許可」であることが分かる。以上より、Ｒｕｌｅ定義ｒ１には、「関係者による秘文書の閲覧は許可する。」旨が定義されていることとなる。
【００２８】
Ｒｕｌｅ定義には、また、Ｏｖｅｒｗｒｉｔａｂｌｅ属性が定義されている。Ｏｖｅｒｗｒｉｔａｂｅｌ定義は、当該Ｒｕｌｅ定義における定義内容に対して、後述する許可証による定義による上書きを許可するか否かを判定するための属性である。例えば、Ｒｕｌｅ定義ｒ１におけるＯｖｅｒｗｒｉｔａｂｌｅ属性ｗ１の値は「Ｐｅｒｍｉｔ」となっており、Ｒｕｌｅ定義ｒ１に関しては許可証による上書きが許可されている旨が示されている。
【００２９】
一つ以上のＲｕｌｅ定義は、＜Ｐｏｌｉｃｙ＞タグで囲まれたＰｏｌｉｃｙ定義によってまとめることができる。図中には、Ｐｏｌｉｃｙ定義ｐ１（図７）、Ｐｏｌｉｃｙ定義ｐ２、Ｐｏｌｉｃｙ定義ｐ３（図８）、及びＰｏｌｉｃｙ定義ｐ４（図９）等がＰｏｌｉｃｙ定義として表示されている。一つのＰｏｌｉｃｙ定義には、＜Ｏｂｌｉｇａｔｉｏｎ（ｓ）＞タグで囲まれたＯｂｌｉｇａｔｉｏｎ定義、及び＜Ｄｅｓｃｒｉｐｔｉｏｎ＞タグで囲まれたＤｅｓｃｒｉｐｔｉｏｎ定義等を含み得る。例えば、Ｐｏｌｉｃｙ定義ｐ１には、Ｏｂｌｉｇａｔｉｏｎ定義ｏ１とＤｅｓｃｒｉｐｔｉｏｎ定義ｄ１とが含まれている。
【００３０】
Ｏｂｌｉｇａｔｉｏｎ定義は、資源へのアクセスを許可する場合に強制する責務を規定するための定義であり、当該Ｏｂｌｉｇａｔｉｏｎ定義を含むＰｏｌｉｃｙ定義に属する全てのＲｕｌｅ定義に対して共通的に適用される。但し、本実施の形態においては、Ｐｏｌｉｃｙ定義とＲｕｌｅ定義とは一対一に対応している。これは、ＸＡＣＭＬの仕様上、Ｏｂｌｉｇａｔｉｏｎ定義はＰｏｌｉｃｙ定義ごとに定義されるものであるところ、本実施の形態においては、Ｒｕｌｅ定義ごとにＯｂｌｉｇａｔｉｏｎ定義を対応させたいからである。Ｏｂｌｉｇａｔｉｏｎ定義ｏ１には、監査情報の記録が責務として規定されている。したがって、Ｐｏｌｉｃｙ定義ｐ１には、「関係者による秘文書の閲覧は許可する。但し、閲覧の際には、監査情報を記録しなければならない。」旨が定義されていることとなる。
【００３１】
Ｄｅｓｃｒｉｐｔｉｏｎ定義は、当該Ｄｅｓｃｒｉｐｔｉｏｎ定義が属するＰｏｌｉｃｙ定義におけるＲｕｌｅ定義の定義内容を説明した説明文が定義されたものである。Ｄｅｓｃｒｉｐｔｉｏｎ定義における説明文（以下「定義内容説明文」という。）は、後述されるように、表示用の文字列として利用される。
【００３２】
Ｐｏｌｉｃｙ定義には、更に、ＰｏｌｉｃｙＩＤ属性が定義されている。ＰｏｌｉｃｙＩＤ属性は、各Ｐｏｌｉｃｙ定義を一意に識別するためのＩＤである。例えば、Ｐｏｌｉｃｙ定義ｐ１のＰｏｌｉｃｙＩＤ属性ｉ１の値は「Ｐｏｌｉｃｙ１」として定義されている。
【００３３】
図１０は、ポリシーの定義内容を概念的に示す図である。すなわち、図１０の表１１３ａは、図７等に示したポリシー１１３における記述から導出される定義内容を表形式にまとめて表示したものである。図１０に示されるように、ポリシー１１３における記述によって、主体の分類（文書の関係者又は関係者以外）と文書の分類（極秘、秘、社外秘）との組み合わせに応じて、操作の種別（閲覧、印刷）ごとについての許否（○又は×）、責務、定義内容説明文が定義されたこととなる。
【００３４】
図１１は、許可証管理テーブルの構成例を示す図である。許可証管理テーブル１１４は、許可証を管理するためのテーブルであり、許可証管理テーブル１１４における一レコード（行）が、一つの許可証に相当する。許可証とは、ポリシー１１３では定義しきれない、追加的な権限（以下、「追加権限」という。）が定義された情報であり、許可証ＩＤ，ユーザ名、文書名、追加権限、責務、許可理由、許可期間及び利用回数等の情報から構成される。許可証ＩＤは、各許可証を識別するためのＩＤである。ユーザ名は、許可証の適用対象となるユーザのユーザ名である。文書名は、許可証の適用対象となる文書の文書名である。追加権限は、許可証によって追加的に許可される操作権限である。責務は、追加権限を許可するにあたりユーザに対して強制する責務である。許可理由は、許可証が発行された理由をユーザが認識可能な形式で記述した文字列である。許可期間は、許可証の有効期間である。利用回数は、許可証の有効な利用回数である。したがって、図１１には、三つの許可証に関する情報が表示されており、許可証ＩＤが「１」の許可証によって、ユーザＡに対して、文書Ａの閲覧が許可されている。但し、ユーザＡが文書Ａを閲覧する際には、監査情報を記録しなければならず、また、２００４年３月３１日までに限って、当該操作が許可される旨が示されている。許可証によって、例えば、ポリシー１１３においては権限を有しないユーザが所定のプロジェクトへ参加した場合等、一時的に、当該ユーザに特定の権限を与えることができる。
【００３５】
図４に戻る。アクセスマスク生成モジュール１２は、上述した各種のセキュリティ情報に基づいて、任意の一のユーザの任意の一の文書に対する各種操作についての許否判定を実行することにより、その判定結果を示すデータ（以下、「アクセスマスク」という。）を生成する機能が実装されたモジュールである。アクセスマスク生成モジュール１２は、また、マッピングテーブル１２１を有しているが、マッピングテーブル１２１の詳細については後述する。
【００３６】
適用ルール情報抽出モジュール１３は、任意の一のユーザの任意の一の文書に対する各種操作について適用されるセキュリティルールに関する情報（適用ルール情報）をポリシー１１３より抽出すると共に、当該ユーザと当該文書との組み合わせに対して発行されている許可証を許可証管理テーブル１１４より抽出する機能が実装されたモジュールである。
【００３７】
クライアント装置４０におけるアプリケーション４１は、アクセスマスク生成モジュール１２によって生成されたアクセスマスクや適用ルール情報抽出モジュール１３によって抽出された適用ルール情報等をユーザに閲覧させるための画面（以下、「操作権限閲覧画面」という。）を表示させるアプリケーションである。
【００３８】
以下、図２の文書管理システムの処理手順について説明する。図１２及び図１３は、操作権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。図１２は、アクセスマスク生成モジュール１２がアプリケーション４１からの要求に応じてアクセスマスクを提供する処理に係り、図１３は、適用ルール情報抽出モジュール１３がアプリケーション４１からの要求に応じて適用ルール情報を提供する処理に係る。
【００３９】
ステップＳ１０１からステップＳ１０９までは、操作権限閲覧画面の表示に際し、前提となる処理（セッションの開設、文書の検索等）である。すなわち、ユーザによるログイン操作に基づいて、アプリケーション４１は、ユーザ名及びパスワードを引数として認証モジュール３１に対してユーザの認証を要求する（Ｓ１０１）。認証モジュール３１は、ユーザを認証し、ユーザが認証された場合はその旨を証明するチケットを生成する（Ｓ１０２）。チケットには、例えば、当該チケットを識別するチケットＩＤ、当該チケットが有効なサービスを示す有効範囲、当該チケットによってサービスを利用できる有効期限、ユーザＩＤ、及び改竄チェック用のコード等が記録される。チケットは、その内容を認証モジュール３１のみが参照可能なように暗号化され、アプリケーション４１に送信される（Ｓ１０３）。
【００４０】
アプリケーション４１は、チケットを引数としてセッションの開設要求を文書管理モジュール２１に送信する（Ｓ１０４）。文書管理モジュール２１は、受信したチケットの正当性の検証を認証モジュール３１に要求し（Ｓ１０５）、正当である旨の検証結果が返信されると（Ｓ１０６）、セッションＩＤをアプリケーション４１に対して返信する（Ｓ１０７）。なお、文書管理モジュール２１は、ユーザのチケットをセッションＩＤと関連付けて保存しておく。
【００４１】
セッションの開設後、ユーザが、文書の検索を要求すると、アプリケーション４１は、セッションＩＤ及び検索条件等を引数として文書の検索要求を文書管理モジュール２１に送信する（Ｓ１０８）。文書管理モジュール２１は、検索条件に基づいて文書を検索し、その検索結果をアプリケーション４１に送信する（Ｓ１０９）。
【００４２】
この時点で、ユーザには、検索された文書の一覧が表示された文書一覧画面が提供される。そこで、ユーザが任意の文書を選択し、操作権限閲覧画面の表示を指示すると、アプリケーション４１は、選択された文書（以下、「カレント文書」という。）の文書ＩＤとチケットとを引数としてアクセスマスクの生成要求をアクセスマスク生成モジュール１２に対して送信する（Ｓ１１０）。ここで、引数に指定された文書ＩＤ及びチケットは、それぞれアクセスマスクの対象とする文書又はユーザを特定するための情報としての意味を持つ。
【００４３】
ステップＳ１１０に続いてステップＳ１１１に進み、アクセスマスク生成モジュール１２が、チケットを引数としてカレントユーザのユーザＩＤを認証モジュール３１に問い合わせると、認証モジュール３１は、チケットに基づいてユーザＩＤを特定し、当該ユーザＩＤをアクセスマスク生成モジュール１２に送信する（Ｓ１１２）。
【００４４】
ステップＳ１１２に続いてステップＳ１１３に進み、アクセスマスク生成モジュール１２が、ユーザＩＤを引数として、ユーザプロファイル１１１にカレントユーザに係るユーザプロファイル、すなわち、ユーザプロファイル１１１（図５）におけるカレントユーザのレコード（以下、「カレントユーザプロファイル」という。）の提供をセキュリティ管理モジュール１１に対して要求すると、セキュリティ管理モジュール１１は、カレントユーザプロファイルをユーザプロファイル１１１より取得し、アクセスマスク生成モジュール１２に対して出力する（Ｓ１１４）。
【００４５】
ステップＳ１１４に続いてステップＳ１１５に進み、アクセスマスク生成モジュール１２が、カレント文書の文書プロファイル、すなわち、文書プロファイル１１２（図６）におけるカレント文書のレコード（以下、「カレント文書プロファイル」という。）の提供をセキュリティ管理モジュール１１に要求すると、セキュリティ管理モジュール１１は、カレント文書プロファイルを文書プロファイル１１２より取得し、アクセスマスク生成モジュール１２に対して出力する（Ｓ１１６）。
【００４６】
ステップＳ１１６に続いてステップＳ１１７に進み、アクセスマスク生成モジュール１２が、ポリシー１１３の提供をセキュリティ管理モジュール１１に要求すると、セキュリティ管理モジュール１１は、ポリシー１１３をアクセスマスク生成モジュール１２に対して出力する（Ｓ１１８）。
【００４７】
ステップＳ１１８に続いてステップＳ１１９に進み、アクセスマスク生成モジュール１２が、許可証管理テーブル１１４の提供をセキュリティ管理モジュール１１に要求すると、セキュリティ管理モジュール１１は、許可証管理テーブル１１４をアクセスマスク生成モジュール１２に対して出力する（Ｓ１２０）。
【００４８】
ステップＳ１２０に続いてステップＳ１２１に進み、アクセスマスク生成モジュール１２は、上記の処理おいて取得したカレントユーザプロファイル、カレント文書プロファイル、ポリシー１１３及び許可証管理テーブル１１４等に基づいて、カレントユーザのカレント文書に対する各種操作についての許否判定を行い、その判定結果に基づいてアクセスマスクを生成する。更に、アクセスマスク生成モジュール１２は、生成したアクセスマスクをアプリケーション４１に対して送信する（Ｓ１２２）。
【００４９】
図１４は、アクセスマスクの例を概念的に示す図である。図１４に示されるように、アクセスマスクには、一のユーザの一の文書に対する各種操作の権限の許否と責務とが示されている。図１４のアクセスマスク１２２は、ユーザＡによる文書２に対する各種操作の許否を示すものであるが、例えば、閲覧及び印刷は許可されており、編集及び削除は許可されていないことが分かる。なお、ステップＳ１２１におけるアクセスマスクの生成処理の詳細については後述する。
【００５０】
続いて、アプリケーション４１は、適用ルール情報を取得するための処理を実行する。すなわち、ステップＳ１２２に続いてステップＳ１２３（図１３）に進み、アプリケーション４１は、チケットとカレント文書の文書ＩＤとを引数として、取得したアクセスマスクに対する適用ルール情報の提供を適用ルール情報抽出モジュール１３に対して要求する。
【００５１】
アプリケーション４１からの要求を受信した適用ルール情報抽出モジュール１３は、アクセスマスク生成モジュール１２による、ステップＳ１１１からＳ１２２までの手順と同様の手順で適用ルール情報の抽出処理を実行する。すなわち、チケットに基づいてカレントユーザのユーザＩＤを認証モジュール３１より取得し（Ｓ１２４、Ｓ１２５）、当該ユーザＩＤに基づいてカレントユーザプロファイルをセキュリティ管理モジュール１１より取得する（Ｓ１２６、Ｓ１２７）。更に、適用ルール情報抽出モジュール１３は、カレント文書プロファイル、ポリシー１１３及び許可証管理テーブル１１４等をセキュリティ管理モジュール１１より取得し、カレントユーザプロファイル及びカレント文書プロファイルに基づいて、カレントユーザのカレント文書に対する各種操作についての適用ルール情報（ポリシーＩＤ、定義内容説明文及び責務等）をポリシー１１３より抽出すると共に、カレントユーザとカレント文書との組み合わせに対して発行されている許可証を許可証管理テーブル１１４より抽出する。（Ｓ１２８〜Ｓ１３４）。なお、ステップＳ１３４における適用ルール情報等の抽出処理の詳細については後述する。
【００５２】
ステップＳ１３４に続いてステップＳ１３５に進み、適用ルール情報抽出モジュール１３が、抽出された適用ルール情報をアプリケーション４１に対して送信すると、アプリケーション４１は、当該適用ルール情報と、ステップＳ１２２において取得したアクセスマスクとに基づいて操作権限閲覧画面を生成し、当該操作権限閲覧画面を表示させる（Ｓ１３６）。
【００５３】
図１５は、操作権限閲覧画面の表示例を示す図である。図１５に示されるように、操作権限閲覧画面４００は、操作権限表示領域４０１、責務表示領域４０２、適用ルール表示領域４０３、及び許可証表示領域４０４等から構成される。操作権限表示領域４０１は、操作の種別ごとに許可判定の結果が表示される領域である。チェックされている操作は、許可されていることを示す。責務表示領域４０２は、操作権限表示領域４０１において選択されている操作（カレント操作）に対して課せられている責務の内容が表示される領域である。但し、図１５は、初期状態を示しており、いずれの操作も選択されていないため、責務の内容については表示されていない。適用ルール表示領域４０３は、操作権限表示領域４０１における許否判定の結果を導き出すために適用されたセキュリティルールの内容（定義内容説明文）が表示される領域である。許可証表示領域４０４は、カレントユーザとカレント文書との組み合わせに対して発行されている許可証の内容が表示される領域である。
【００５４】
ユーザは、操作権限閲覧画面４００の操作権限表示領域４０１を確認することによって、ユーザプロファイル１１１、文書プロファイル１１２、ポリシー１１３及び許可証１１４等の各種のセキュリティ情報から導出される操作権限の有無について、一目で確認することができる。
【００５５】
なお、図１２及び図１３においては、アプリケーション４１が、直接アクセスマスク生成モジュール１２又は適用ルール情報抽出モジュール１３に対してアクセスマスクの生成要求（Ｓ１１０）や、適用ルール情報の要求（Ｓ１２３）を送信する例について説明したが、アプリケーション４１とアクセスマスク生成モジュール１２及び適用ルール情報抽出モジュール１３との間を文書管理モジュール２１に仲介させるようにしてもよい。この場合、アプリケーション４１からの要求に応じて文書管理モジュール２１がアクセスマスクの生成要求（Ｓ１１０）や適用ルール情報の要求（Ｓ１２３）をアクセスマスク生成モジュール１２又は適用ルール情報抽出モジュール１３に対して送信することとなる。このようにすることで、アプリケーション４１から見た場合に要求先は文書管理モジュール２１に一本化されるため、アプリケーション４１の実装の容易化を図ることができる。
【００５６】
次に、図１２のステップＳ１２１において実行される、アクセスマスク生成モジュール１２によるアクセスマスクの生成処理について更に詳しく説明する。図１６は、アクセスマスク生成モジュールによるアクセスマスクの生成処理の概要を説明するためのフローチャートである。図１６に示されるように、アクセスマスクの生成処理は、ポリシー１１３に基づいてアクセスマスクを生成する処理（Ｓ１２１ａ）と、ステップＳ１２１ａにおいて生成されたアクセスマスクに対して許可証の内容を反映させる処理（Ｓ１２１ｂ）とに大きく分けられる。以下、それぞれについて説明する。
【００５７】
図１７は、ポリシーに基づいてアクセスマスクを生成する処理を説明するためのフローチャートである。図１７においては、図７〜図９に示されたポリシー１１３の定義内容に沿って説明する。また、カレントユーザは、「ユーザＡ」、カレント文書は、「文書２」であるとする。
【００５８】
ステップＳ１２１ａ−１において、アクセスマスク生成モジュール１２は、セキュリティ管理モジュール１１より取得したカレントユーザプロファイル、カレント文書プロファイル及びポリシー１１３をメモリ上に読み込む。ステップＳ１２１ａ−１に続いてステップＳ１２１ａ−２に進み、アクセスマスク生成モジュール１２は、カレントユーザがカレント文書の関係者であるか否かを判定する。すなわち、カレントユーザプロファイルに基づいて、カレントユーザが関係者として扱われる部署を特定し、カレント文書プロファイルに基づいて、カレント文書の管理部署を特定し、両者が同一であれば、カレントユーザはカレント文書の関係者として判定され、両者が異なれば、カレントユーザはカレント文書の関係者以外として判定される。例えば、ユーザＡは、「部署Ａ」の関係者であり（図５参照）、文書２の管理部署は「部署Ａ」であることから（図６参照）、ユーザＡは、部署Ａの関係者であると判定される。なお、ここでの判定結果を、以下「判定結果１」という。ステップＳ１２１ａ−２に続いてステップＳ１２１ａ−３に進み、カレント文書プロファイルに基づいてカレント文書の機密レベルを特定する。例えば、文書２については、機密レベルは「秘」として特定される。
【００５９】
ステップＳ１２１ａ−３に続いて、以降は、ポリシー１１３内におけるＰｏｌｉｃｙ定義ごとのループ処理となる（Ｓ１２１ａ−４）。まず、アクセスマスク生成モジュール１２は、ポリシー１１３において定義されている順番に沿って一つのＰｏｌｉｃｙ定義を処理対象とする（Ｓ１２１ａ−５）。したがって、最初は、Ｐｏｌｉｃｙ定義ｐ１が処理対象のＰｏｌｉｃｙ定義（以下「カレントＰｏｌｉｃｙ定義」という。）となる。ステップＳ１２１ａ−５に続いてステップＳ１２１ａ−６に進み、アクセスマスク生成モジュール１２は、カレントＰｏｌｉｃｙ定義に属するＲｕｌｅ定義（カレントＲｕｌｅ定義）が、カレントユーザ及びカレント文書の組み合わせに対して適用されるべきＲｕｌｅ定義（適用Ｒｕｌｅ定義）であるか否かを判定する。すなわち、カレントＲｕｌｅ定義（例えば、Ｒｕｌｅ定義ｒ１）に属するＴａｒｇｅｔ定義（例えば、Ｔａｒｇｅｔ定義ｔ１。以下、「カレントＴａｒｇｅｔ定義」という。）内のＳｕｂｊｅｃｔ定義の値が判定結果１と一致し、Ｒｅｓｏｕｒｃｅ定義の値がカレント文書の機密レベルと一致する場合は、カレントＲｕｌｅ定義は適用Ｒｕｌｅ定義であると判定される。一方、少なくともいずれか一方が一致しない場合は、カレントＲｕｌｅ定義は適用Ｒｕｌｅ定義ではないと判定され、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１２１ａ−４に戻る。例えば、判定結果１が「関係者」であり、カレント文書の機密レベルが「秘」である場合は、Ｔａｒｇｅｔ定義ｔ１におけるＳｕｂｊｅｃｔ定義の値は「関係者」であり、Ｒｅｓｏｕｒｃｅ定義の値は「秘」であるところから、Ｒｕｌｅ定義ｒ１は、適用Ｒｕｌｅ定義であると判定される。
【００６０】
カレントＲｕｌｅ定義が適用Ｒｕｌｅ定義であると判定された場合はステップＳ１２１ａ−７に進み、アクセスマスク生成モジュール１２は、カレントＲｕｌｅ定義が対象としている操作の種別をカレントＴａｒｇｅｔ定義内のＡｃｔｉｏｎ定義に基づいて特定する。例えば、カレントＴａｒｇｅｔ定義がＴａｒｇｅｔ定義ｔ１の場合は、対象操作は、「閲覧」として特定される。ステップＳ１２１ａ−７に続いてステップＳ１２１ａ−８に進み、アクセスマスク生成モジュール１２は、対象操作については、既にアクセスマスクに反映済みであるか否かを判断する。この判断は、同じ対象（主体、資源、操作）に対して重複してＲｕｌｅ定義がなされている場合に対するものである。本実施の形態においては、ポリシー１１３の定義（図７）において、ＲｕｌｅＣｏｍｂｉｎｉｎｇＡｌｇＩＤ属性の値が「Ｆｉｒｓｔ−ａｐｐｌｉｃａｂｌｅ」であることから（記述１３１−１参照）、定義が重複した場合は、最初のものが優先的に適用される。したがって、対象操作について既にアクセスマスクに反映されている場合は、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１２１ａ−４に戻る。
【００６１】
対象操作についてまだアクセスマスクに反映されていない場合は、ステップＳ１２１ａ−９に進み、アクセスマスク生成モジュール１２は、カレントＲｕｌｅ定義のＥｆｆｅｃｔ属性の値に基づいて対象操作の許否判定を実行すると共に、Ｏｖｅｒｗｒｉｔａｂｌｅ属性の値に基づいて許可証による拡張の許否を判定し、更にカレントＰｏｌｉｃｙ定義内のＯｂｌｉｇａｔｉｏｎ定義に基づいて責務を特定して、対象操作の許否、許可証による拡張の許否、及び責務の内容をアクセスマスクに書き込む。例えば、カレントＲｕｌｅ定義がＲｕｌｅ定義ｒ１の場合は、Ｅｆｆｅｃｔ属性の値が「Ｐｅｒｍｉｔ」であることから、閲覧操作は許可されている旨が判定され、Ｏｖｅｒｗｒｉｔａｂｌｅ属性の値が「Ｐｅｒｍｉｔ」であることから、許可証による拡張は許可されている旨が判定され、更に、Ｏｂｌｉｇａｔｉｏｎ定義ｏ１より「監査情報の記録」が責務として特定され、それらがアクセスマスクに書き込まれる。但し、ポリシー１１３内における定義は、アプリケーション４１から見た場合、抽象的なものである場合がある。例えば、「監査情報の記録」とは具体的にどのような処理を意味するのか曖昧である。したがって、アクセスマスク生成モジュール１２は、マッピングテーブル１２１に基づいてかかる曖昧さを解消し、ポリシー１１３内における抽象的な表現をアプリケーション４１における具体的な表現に置換し、置換された具体的な表現によるものをアクセスマスクに書き込む。
【００６２】
図１８は、マッピングテーブルの構成例を示す図である。図１８に示されるように、マッピングテーブル１２１は、ポリシー１１３内のおける操作及び責務に対する表現形式と、アプリケーション４１における操作及び責務に対する表現形式との対応関係を規定したものである。例えば、マッピングテーブル１２１より、ポリシー１１３内における「監査情報の記録」という責務は、アプリケーション４１においては、「ログ記録」として解釈されることになる。なお、かかる解釈はアプリケーションごとに異なり得るため、マッピングテーブル１２１は、アプリケーションごとに定義してもよい。
【００６３】
したがって、ステップＳ１２１ａ−９が初めて実行された場合のアクセスマスクの状態は、図１９のようになる。図１９は、一つの操作に対する定義が反映されたアクセスマスクの例を示す図である。図１９に示されるアクセスマスク１２２ａは、Ｐｏｌｉｃｙ定義ｐ１の定義が反映された状態を示している。したがって、閲覧は許可されており、責務としては、「ログ記録」が課され、当該ルールについての許可証による拡張は許可されている旨の情報がアクセスマスクに反映されている。
【００６４】
ステップＳ１２１ａ−９に続いてステップＳ１２１ａ−１０に進み、アクセスマスク生成モジュール１２は、全ての操作（閲覧、印刷、編集、削除）について、アクセスマスクへの書き込みが完了したか否かを判断し、完了した場合は処理を終了させる。まだ、アクセスマスクへ反映されていない操作が有る場合は、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１２１ａ−４に戻る。
【００６５】
全てのＰｏｌｉｃｙ定義について処理が完了すると（Ｓ１２１ａ−４でＮＯ）、ステップＳ１２１ａ−１１に進み、アクセスマスク生成モジュール１２は、アクセスマスク内において未確定の部分、すなわち、ポリシー１１３内においては明確に定義されていない部分について規定値を書き込むことによりアクセスマスクを完成させる。例えば、編集操作や削除操作について未確定の場合は、それらについては権限は不許可、責務は無し、及び許可書による権利拡張は不許可の旨を書き込む。
【００６６】
図２０は、図１７の処理によって生成されるアクセスマスクの例を示す図である。図２０のアクセスマスク１２２ｂは、ユーザＡによる文書Ａに対する各種操作についてのアクセスマスクを示している。
【００６７】
続いて、生成されたアクセスマスク１２２ｂに対して許可証の内容を反映させる処理（図１６：Ｓ１２１ｂ）について説明する。図２１は、アクセスマスクに対して許可証の内容を反映させる処理を説明するためのフローチャートである。
【００６８】
ステップＳ１２１ｂ−１において、アクセスマスク生成モジュール１２は、セキュリティ管理モジュール１１より取得した許可証テーブル１１４（図１１）の内容をメモリ上に読み込む。以降は、許可証テーブル１１４に登録されている許可証ごとのループ処理である（Ｓ１２１ｂ−２）。ステップＳ１２１ｂ−３に進み、アクセスマスク生成モジュール１２は、許可証テーブル１１４の上から順に一つの許可証を処理対象（以下「カレント許可証」という。）とする。ステップＳ１２１ｂ−３に続いてステップＳ１２１ｂ−４に進み、アクセスマスク生成モジュール１２は、カレント許可証のユーザ名と文書名とに基づいて、カレント許可証がカレントユーザとカレント文書との組み合わせに対して適用されるもの（以下、「適用許可証」という。）であるか否かを判定する。カレント許可証が適用許可証でない場合は、次の許可証を処理対象とすべくステップＳ１２１ｂ−２に戻る。
【００６９】
カレント許可証が適用許可証である場合はステップＳ１２１ｂ−５に進み、アクセスマスク生成モジュール１２は、カレント許可証の追加権限に基づいて、許可証が対象とする操作の種別（対象操作）を特定する。ステップＳ１２１ｂ−５に続いてステップＳ１２１ｂ−６に進み、アクセスマスク生成モジュール１２は、図１７の処理において生成したアクセスマスク１２２ｂ（図２０）を参照して、対象操作の権限について許可証による拡張が許可されているか否かを判断する。対象操作の権限について許可証による拡張が許可されていない場合は、カレント許可証の内容をアクセスマスク１２２ｂに反映することはできないため、次の許可証を処理対象とすべくステップＳ１２１ｂ−２に戻る。
【００７０】
対象操作の権限について許可証による拡張が許可されている場合はステップＳ１２１ｂ−７に進み、アクセスマスク生成モジュール１２は、アクセスマスク１２２ｂにおける対象操作に対する情報を、カレント許可証の内容によって上書きする。ここで、アクセスマスク生成モジュール１２は、許可証における追加権限や責務について、やはりマッピングテーブル１２１（図１８）に基づいて、アプリケーション４１に対応した表現に変換し、変換された情報をアクセスマスク１２２ｂに反映させる。全ての許可証について処理が完了すると（ステップＳ１２１ｂ−７でＹｅｓ）、アクセスマスク生成モジュール１２は処理を終了させる。
【００７１】
図１１の許可証テーブル１１４において、カレントユーザ（ユーザＡ）とカレント文書（文書２）との組み合わせに対する許可証は、許可証ＩＤが「３」の許可証（以下「許可証３」という。）である。また、許可証３は、印刷操作に対する許可証である。更に、アクセスマスク１２２ｂにおいて印刷操作に対する許可証による拡張は許可されている。したがって、図２１の処理が実行されることにより、アクセスマスク１２２ｂにおける印刷操作に対する情報が、許可証３によって上書きされることになる。
【００７２】
図２２は、許可証の内容が反映されたアクセスマスクの例を示す図である。図２２に示される許可証３の反映後のアクセスマスク１２２ｃと、許可証３の反映前のアクセスマスク１２２ｂとを比較すると、アクセスマスク１２２ｃにおいては、責務について軽減されているのが分かる。これは、本実施の形態においては、ポリシー１１３において課せられている責務と、許可証において課せられている責務との論理積を最終的な責務としているからである。但し、論理積をとるのはあくまでも一例であり、運用によって論理和等、他の演算による結果を最終的な責務としてもよい。また、本実施の形態における例では、許可証３によって上書きされる印刷操作は、ポリシー１１３においてもともと許可されていたものであったが、ポリシー１１３に許可されていないもので許可証によって許可されている操作については、その最終的な権限の許否の判定値は許可とされ、その値がアクセスマスクに反映される。
【００７３】
以後、図１７及び図２１において説明した処理によって生成されたアクセスマスク１２２ｂｃは、アプリケーション４１にとって不要な情報である「許可証による拡張」の列に相当する情報が除去され、アクセスマスク１２２（図１４）の状態でアプリケーション４１に送信される。
【００７４】
次に、図１３のステップＳ１３４において実行される、適用ルール情報抽出モジュール１３による適用ルール情報等の抽出処理について更に詳しく説明する。図２３は、適用ルール情報抽出による適用ルール情報等の抽出処理の概要を説明するためのフローチャートである。図２３に示されるように、適用ルール情報等の抽出処理は、ポリシー１１３からの適用ルール情報の抽出処理（Ｓ１３４ａ）と、許可証テーブル１１４からカレントユーザとカレント文書との組み合わせに対する許可証（適用許可証）を抽出する処理（Ｓ１３４ｂ）とに大きく分けられる。以下、それぞれについて説明する。
【００７５】
図２４は、ポリシーからの適用ルール情報の抽出処理を説明するためのフローチャートである。図２４において、ステップＳ１３４ａ−１〜ステップＳ１３４ａ−８までは、図１７において、適用Ｒｕｌｅ定義を特定するための処理（Ｓ１２１ａ−１〜Ｓ１２１ａ−８）と同様である。すなわち、適用ルール情報抽出モジュール１３は、ポリシー１１３内において、カレントユーザとカレント文書との組み合わせに対するＲｕｌｅ定義（適用Ｒｕｌｅ定義）を特定する（Ｓ１３４ａ−１〜Ｓ１３４ａ−６）と共に、適用Ｒｕｌｅ定義が対象としている操作の種別（対象操作）を特定し（Ｓ１３４ａ−７）、対象操作についての適用ルール情報が抽出済みか否かを判断する（Ｓ１３４ａ−８）。
【００７６】
対象操作についての適用ルール情報がまだ抽出されていない場合はステップＳ１３４ａ−９に進み、適用ルール情報抽出モジュール１３は、適用Ｒｕｌｅ定義が属するＰｏｌｉｃｙ定義におけるポリシーＩＤと、定義内容説明文と、責務の内容とをそれぞれＰｏｌｉｃｙＩＤ属性の定義、Ｄｅｓｃｒｉｐｔｉｏｎ定義、Ｏｂｌｉｇａｔｉｏｎ定義より抽出し、更に、適用Ｒｕｌｅ定義のＯｖｅｒｗｒｉｔａｂｌｅ属性の値に基づいて、許可証による拡張の許否を判定する。なお、ここで抽出されたポリシーＩＤ，定義内容説明文、及び責務の内容と、許可証による拡張の許否の判定結果については、適用ルール情報として保持される。
【００７７】
ステップＳ１３４ａ−９に続いてステップＳ１３４ａ−１０に進み、適用ルール情報抽出モジュール１３は、全ての操作（閲覧、印刷、編集、削除）について、適用ルール情報の抽出が完了したか否かを判断し、完了した場合は処理を終了させる。まだ、適用ルール情報が抽出されていない操作が有る場合は、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１３４ａ−４に戻る。
【００７８】
全てのＰｏｌｉｃｙ定義について処理が完了すると（Ｓ１３４ａ−４でＮＯ）、ステップＳ１３４ａ−１１に進み、適用ルール情報抽出モジュール１３は、ポリシー１１３内においては明確に定義されていない操作に対する適用ルール情報について規定値を適用する。例えば、編集操作や削除操作について未確定の場合は、それらについては定義内容説明文は「適用ルール無し」とする。
【００７９】
以上の処理によって、図２５のような情報が抽出される。図２５は、抽出された適用ルール情報の構成例を示す図である。図２５に示されるように、適用ルール情報１２３ａには、操作の種別ごとにポリシーＩＤ、定義内容説明文、責務、許可証による拡張の許否が示されている。なお、適用ルール情報１２３ａは、ユーザＡと文書２との組み合わせに対するものである。
【００８０】
続いて、許可証テーブル１１４からの適用許可証の抽出処理処理（図２３：Ｓ１３４ｂ）について説明する。図２６は、適用許可証の抽出処理を説明するためのフローチャートである。図２６において、ステップＳ１３４ｂ−１〜ステップＳ１３４ｂ−４までは、図２１において、適用許可証を特定するための処理（Ｓ１２１ｂ−１〜Ｓ１２１ｂ−４）と同様である。すなわち、適用ルール情報抽出モジュール１３は、許可証テーブル１１４から、カレントユーザとカレント文書との組み合わせに対する許可証（適用許可証）を特定し（Ｓ１３４ｂ−１〜Ｓ１３４ｂ−４）、当該適用許可証を抽出する（Ｓ１３４ｂ−５）。
【００８１】
例えば、カレントユーザがユーザＡ、カレント文書が文書２である場合は、図２７に示される許可証が抽出される。図２７は、抽出された許可証の例を示す図である。図２７に示されるように、適用許可証についてその許可証ＩＤ，ユーザ名、文書名、追加権限、責務、許可理由、許可期間及び利用回数等の情報が抽出される。
【００８２】
以上図１６〜図２６において説明した処理によって生成された、アクセスマスク１２２ｃ（図２２）、適用ルール情報１２３ａ（図２５）、及び許可証１１４ａ（図２７）が、ステップＳ１２２（図１２）又はステップＳ１３５（図１３）においてアプリケーション４１に対して送信され、これらの情報に基づいてアプリケーション４１によって操作権限閲覧画面４００（図１５）が表示されるというわけである。
【００８３】
改めて図１５の操作権限閲覧画面４００を参照すると、操作権限表示領域４０１及び責務表示領域４０２は、アクセスマスク１２２ｃに、適用ルール表示領域４０３は適用ルール情報１２３ａに、許可証表示領域４０４は、許可証１１４ａにそれぞれ基づいて表示されているのが分かる。
【００８４】
次に、操作権限表示領域４０１において、いずれかの操作がユーザによって選択された場合の処理について説明する。この場合は各モジュール間のシーケンスについては、ユーザによるクリック等の操作に基づいて、図１３と同様の処理が実行される。すなわち、アプリケーション４１は、ユーザによる操作の選択に基づいて、選択された操作（以下、「カレント操作」という。）に対応した適用ルール情報と許可証とを、それぞれ適用ルール表示領域４０３、許可証表示領域４０４においてハイライト表示するための処理を実行しようとする。そこで、アプリケーション４１は、ステップＳ１２３において、適用ルール情報と適用許可証との提供を適用ルール情報抽出モジュール１３に対して要求する。但し、この場合は、全ての適用ルール情報等ではなく、カレント操作に係る適用ルール情報等のみが要求される。したがって、当該要求においては、チケット及び文書ＩＤに加えて、カレント操作を識別するための操作名が引数として指定される。
【００８５】
以降、ステップＳ１２４〜Ｓ１３３までは既に説明した処理と同様の処理が実行されるが、ステップＳ１３４においては、ポリシーからの適用ルール情報の抽出処理及び適用許可証の抽出処理が図２４及び図２６と多少異なる。したがって、以下それぞれについて説明する。
【００８６】
図２８は、カレント操作に対する適用ルール情報の抽出処理を説明するためのフローチャートである。図２８において、ステップＳ１３４ｃ−１〜ステップＳ１３４ｃ−５までは、図２４におけるステップＳ１３４ａ−１〜ステップＳ１３４ａ−５までと同様である。すなわち、カレントユーザプロファイル及びカレント文書プロファイル基づいてカレントユーザがカレント文書の関係者であるか否かを判定すると共にカレント文書プロファイルの機密レベルを特定し（Ｓ１３４ｃ−１〜Ｓ１３４ｃ−３）、ポリシー１１３内における一つのＰｏｌｉｃｙ定義を処理対象（カレントＰｏｌｉｃｙ定義）とする（Ｓ１３４ｃ−５）。
【００８７】
ステップＳ１３４ｃ−５に続いてステップＳ１３４ｃ−６に進み、適用ルール情報抽出モジュール１３は、カレントＰｏｌｉｃｙ定義に属するＲｕｌｅ定義（カレントＲｕｌｅ定義）が、カレントユーザとカレント文書と、更に、カレント操作との組み合わせに対して適用されるべきＲｕｌｅ定義（適用Ｒｕｌｅ定義）であるか否かを判定する。カレントＲｕｌｅ定義が適用Ｒｕｌｅ定義である判定された場合は、ステップＳ１３４ｃー７に進み、適用ルール情報抽出モジュール１３は、カレントＰｏｌｉｃｙ定義より、適用ルール情報を抽出し、処理を終了させる。一方、カレントＲｕｌｅ定義が適用Ｒｕｌｅ定義ではないと判定された場合は、次のＰｏｌｉｃｙ定義を処理対象とすべくステップＳ１３４ｃ−４に戻る。全てのＰｏｌｉｃｙ定義について処理が完了すると（Ｓ１３４ｃ−４でＮＯ）、ステップＳ１３４ｃ−８に進み、適用ルール情報抽出モジュール１３は、カレント操作に対する適用ルール情報に規定値を適用する。例えば、定義内容説明文は「適用ルール無し」とする。
【００８８】
図２９は、カレント操作に対する適用ルール情報の例を示す図である。図２９の適用ルール情報１２３ｂは、カレントユーザがユーザＡ、カレント文書が文書２の場合であって、印刷操作がカレント操作として指定された場合のものである。このように、図２８の処理においては、ユーザによって選択された操作に対する適用ルール情報のみが抽出される。
【００８９】
続いて、カレント操作に対する適用許可証の抽出処理について説明する。図３０は、カレント操作に対する適用許可証の抽出処理を説明するためのフローチャートである。図３０の処理は、ステップＳ１３４ｄ−４を除いて図２６の処理と同様である。すなわち、図３０においては、適用許可証か否かの判定において、カレント許可証がカレント操作に対するものであるか否かが判定される。なお、カレントユーザがユーザＡ，カレント文書が文書２、カレント操作が印刷操作の場合に抽出される許可証は、図２７の許可証１１４ａと同じである。
【００９０】
以後、図２８及び図３０の処理によって抽出された適用ルール情報１２３ｂ（図２９）及び適用許可証１１４ａ（図２７）がアプリケーション４１に送信され、アプリケーション４１は、適用ルール情報１２３ｂ及び適用許可証１１４ａ等に基づいて、カレント操作に対する情報をハイライト表示させる。
【００９１】
図３１は、印刷操作が選択された場合の操作権限閲覧画面の表示例を示す図である。図３１の操作権限閲覧画面４００において、責務表示領域４０２には、印刷操作に課される責務（ログ記録）が表示されている。印刷操作に課される責務がログ記録である旨は、ステップＳ１２２（図１２）において受信されたアクセスマスク１２２（図１４）に基づいて特定される。また、適用ルール表示領域４０３及び許可証表示領域４０４においては、印刷操作に対して適用されるセキュリティルールの定義内容と、適用許可証とがそれぞれハイライト表示されている。適用ルール表示領域４０３と許可証表示領域４０４においていずれをハイライト表示させるかは、操作の選択に基づいて受信されたカレント操作に対する適用ルール情報１２３ｂ及び適用許可証１１４ａに基づいて特定される。すなわち、あらかじめ表示されている適用ルール情報のポリシーＩＤと、新たに受信されたカレント操作に対する適用ルール情報のポリシーＩＤとを照合することにより、前者の中においてカレント操作に対するものを特定することができる。また、予め表示されている許可証の許可証ＩＤと、新たに受信されたカレント操作に対する許可証の許可証ＩＤとを照合することにより、前者の中においてカレント操作に対するものを特定することができる。なお、図中においては便宜上ハイライト表示を破線で囲んで表現しているが、実際は、色を変えて表示させたり、反転表示させたりしてもよい。
【００９２】
このように、操作権限閲覧画面４００においては、操作権限表示領域４０１において選択された操作に対する適用ルール情報や許可証がハイライト表示されるため、ユーザは、操作権限表示領域４０１における最終的な判定結果としての操作権限の有無だけでなく、かかる判定結果の根拠、すなわち、何故自分は当該文書に対して閲覧権限等があるのか、又は無いのか等を容易に確認することができる。また、操作権限表示領域４０１に表示される操作名や責務表示領域４０２に表示される責務の内容は、アプリケーション４１において意味するところの具体的な表現によるため、ユーザはポリシー１１３における抽象的な定義に対する解釈を自らおこなう必要がなく、直ちにアプリケーション４１上における自らの操作権限について理解することができる。
【００９３】
上述したように、本実施の形態における文書管理システム１によれば、複数のセキュリティ情報を組み合わせることにより導き出される操作許否についての判定結果を一目で分かるように提供することができると共に、抽象的なルールに基づくアクセス制御の判定結果を、特定のアプリケーションが提供する機能に対応した具体的な表現によって、また、その判定結果がどのルールに基づくものなのかを明示的に表示させることにより、ポリシー１１３に基づくアクセス制御の判定結果をユーザに分かりやすく提供することができる。
【００９４】
なお、操作権限閲覧画面のその他の表示例について、以下に示す。図３２は、ユーザＣの文書４に対する操作権限を表示する操作権限閲覧画面の表示例を示す図である。ユーザＣには許可証は発行されていないため、図３２の操作権限閲覧画面４１０には許可証表示領域４０４は配置されていない。
【００９５】
また、図３３は、ユーザＡの文書４に対する操作権限を表示する操作権限閲覧画面の表示例を示す図である。図３３の操作権限閲覧画面４２０において、適用ルール表示領域４２３には、「関係者以外の「秘」文書の「閲覧」は禁止」である旨が表示されているにもかかわらず、操作権限表示領域４２１において、閲覧操作は許可されている旨が表示されている。これは、許可証表示領域４０４に表示されている一行目の許可証が適用されていることによる。したがって、許可証によってその適用が打ち消された適用ルール情報はハイライト表示されず、許可証のみがハイライト表示されている。
【００９６】
以上、本発明の好ましい実施例について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【図面の簡単な説明】
【００９７】
【図１】文書管理システムにおけるＡＣＬの概念図である。
【図２】本発明の実施の形態における文書管理システムの構成例を示す図である。
【図３】本発明の実施の形態におけるセキュリティ管理サーバのハードウェア構成例を示す図である。
【図４】本発明の実施の形態の文書管理システムにおける操作権限情報表示機能に関する機能構成例を示す図である。
【図５】ユーザプロファイルの例を示す図である。
【図６】文書プロファイルの例を示す図である。
【図７】ポリシーの定義例を示す図である。
【図８】ポリシーの定義例を示す図である。
【図９】ポリシーの定義例を示す図である。
【図１０】ポリシーの定義内容を概念的に示す図である。
【図１１】許可証管理テーブルの構成例を示す図である。
【図１２】操作権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。
【図１３】操作権限閲覧画面を表示させる際の処理を説明するためのシーケンス図である。
【図１４】アクセスマスクの例を概念的に示す図である。
【図１５】操作権限閲覧画面の表示例を示す図である。
【図１６】アクセスマスク生成モジュールによるアクセスマスクの生成処理の概要を説明するためのフローチャートである。
【図１７】ポリシーに基づいてアクセスマスクを生成する処理を説明するためのフローチャートである。
【図１８】マッピングテーブルの構成例を示す図である。
【図１９】一つの操作に対する定義が反映されたアクセスマスクの例を示す図である。
【図２０】図１７の処理によって生成されるアクセスマスクの例を示す図である。
【図２１】アクセスマスクに対して許可証の内容を反映させる処理を説明するためのフローチャートである。
【図２２】許可証の内容が反映されたアクセスマスクの例を示す図である。
【図２３】適用ルール情報抽出モジュールによる適用ルール情報等の抽出処理の概要を説明するためのフローチャートである。
【図２４】ポリシーからの適用ルール情報の抽出処理を説明するためのフローチャートである。
【図２５】抽出された適用ルール情報の構成例を示す図である。
【図２６】適用許可証の抽出処理を説明するためのフローチャートである。
【図２７】抽出された許可証の例を示す図である。
【図２８】カレント操作に対する適用ルール情報の抽出処理を説明するためのフローチャートである。
【図２９】カレント操作に対する適用ルール情報の例を示す図である。
【図３０】カレント操作に対する適用許可証の抽出処理を説明するためのフローチャートである。
【図３１】印刷操作が選択された場合の操作権限閲覧画面の表示例を示す図である。
【図３２】ユーザＣの文書４に対する操作権限を表示する操作権限閲覧画面の表示例を示す図である。
【図３３】ユーザＡの文書４に対する操作権限を表示する操作権限閲覧画面の表示例を示す図である。
【符号の説明】
【００９８】
１            文書管理システム
１０          セキュリティ管理サーバ
１１          セキュリティ管理モジュール
１２          アクセスマスク生成モジュール
１３          適用ルール情報抽出モジュール
２０          文書管理サーバ
２１          文書管理モジュール
３０          認証サーバ
３１          認証モジュール
４０          クライアント装置
５１          印刷サーバ
５２          変換サーバ
５３          配信サーバ
１００        ドライブ装置
１０１        記録媒体
１０２        補助記憶装置
１０３        メモリ装置
１０４        演算処理装置
１０５        インタフェース装置
１１１        ユーザプロファイル
１１２        文書プロファイル
１１３        ポリシー
１１４        許可証
１２１        マッピングテーブル
Ｂ            バス
【図１】
0004606052.tif 000002
【図２】
0004606052.tif 000003
【図３】
0004606052.tif 000004
【図４】
0004606052.tif 000005
【図５】
0004606052.tif 000006
【図６】
0004606052.tif 000007
【図７】
0004606052.tif 000008
【図８】
0004606052.tif 000009
【図９】
0004606052.tif 000010
【図１０】
0004606052.tif 000011
【図１１】
0004606052.tif 000012
【図１２】
0004606052.tif 000013
【図１３】
0004606052.tif 000014
【図１４】
0004606052.tif 000015
【図１５】
0004606052.tif 000016
【図１６】
0004606052.tif 000017
【図１７】
0004606052.tif 000018
【図１８】
0004606052.tif 000019
【図１９】
0004606052.tif 000020
【図２０】
0004606052.tif 000021
【図２１】
0004606052.tif 000022
【図２２】
0004606052.tif 000023
【図２３】
0004606052.tif 000024
【図２４】
0004606052.tif 000025
【図２５】
0004606052.tif 000026
【図２６】
0004606052.tif 000027
【図２７】
0004606052.tif 000028
【図２８】
0004606052.tif 000029
【図２９】
0004606052.tif 000030
【図３０】
0004606052.tif 000031
【図３１】
0004606052.tif 000032
【図３２】
0004606052.tif 000033
【図３３】
0004606052.tif 000034