(57)【要約】【課題】  多種多様なインターネットサービスのセキュリティ管理を容易に行うアクセス制御装置、ネットワークセキュリティシステム、アクセス制御方法およびそのプログラムを提供する。【解決手段】  顧客サーバシステム２００−１、・・・、２００−ｎと、インターネット１との間に、顧客サーバシステムのセキュリティ管理を行うデータセンタシステム１００を設けている。  データセンタシステム１００は、ファイアウォール装置３１、３２、プロキシサーバ群２０および認証用ＬＤＡＰサーバ１０などを有して構成される、ネットワーク上のアクセス制御を行うシステムである。認証用ＬＤＡＰサーバ１０は、インターネット１からの顧客サーバシステム宛のデータまたは顧客サーバシステムからインターネットへ送出されるデータと、自身がＬＤＡＰディレクトリで管理する認証用データとを比較し、その比較結果に基づいてファイルデータの転送を制御する。【選択図】  図１
2005064820.tif 000002
【特許請求の範囲】
【請求項１】
１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、インターネットとの間のデータ転送を中継するアクセス制御装置であって、
前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報を、前記サーバ・クライアントシステムごとに、ＬＤＡＰディレクトリにより管理して格納する制御情報格納手段と、
前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置への接続要求を受信する接続要求受信手段と、
前記受信された接続要求に含まれる情報を抽出する情報抽出手段と、
前記抽出された情報と前記アクセス制御情報とを比較して前記要求された接続の可否を判定する接続許可判定手段と、
前記判定された接続の可否に基づいて、前記ネットワークサービスへの接続を制御するアクセス制御手段と、
を有することを特徴とするアクセス制御装置。
【請求項２】
前記情報抽出手段は、
前記接続要求の情報から、接続要求元および接続要求先の装置のＩＰアドレスを抽出し、
前記接続許可判定手段は、
前記アクセス制御情報を参照して、前記抽出された接続要求元のＩＰアドレスから前記接続要求先のＩＰアドレスへの接続が許可されているか否かを判定することを特徴とする請求項１記載のアクセス制御装置。
【請求項３】
前記接続要求受信手段が、前記１以上のサーバ・クライアントシステムが有するメールサーバ、または前記インターネットに接続されるメールサーバへの接続要求を受信した場合、
前記情報抽出手段は、
前記接続要求の情報から、接続要求元および接続要求先のメールアドレスを抽出し、
前記接続許可判定手段は、
前記アクセス制御情報を参照して、前記抽出された接続要求元のメールアドレスから前記接続要求先のメールアドレスへのメールの転送が許可されているか否かを判定することを特徴とする請求項１または２記載のアクセス制御装置。
【請求項４】
前記接続要求受信手段が、前記１以上のサーバ・クライアントシステムが有するＷｅｂサーバ、または前記インターネットに接続されるＷｅｂサーバへの接続要求を受信した場合、
前記情報抽出手段は、
前記接続要求の情報から、接続要求元の識別情報および接続要求元により取得要求されたＷｅｂデータのＵＲＬを抽出し、
前記接続許可判定手段は、
前記アクセス制御情報を参照して、前記抽出された識別情報により特定される接続要求元に対して、前記ＵＲＬにより指定されたＷｅｂデータの配信が許可されているか否かを判定することを特徴とする請求項１または２記載のアクセス制御装置。
【請求項５】
前記ＬＤＡＰディレクトリにより管理されるアクセス制御情報の登録・更新・削除を行う制御情報変更手段を有することを特徴とする請求項１から４のいずれか１項に記載のアクセス制御装置。
【請求項６】
１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、該１以上のサーバ・クライアントシステムおよびインターネットに接続され、前記１以上のサーバ・クライアントシステムとインターネットとの間のデータ転送を中継するアクセス制御装置と、を有するネットワークセキュリティシステムであって、
前記アクセス制御装置は、
前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報を、前記サーバ・クライアントシステムごとに、ＬＤＡＰディレクトリにより管理して格納する制御情報格納手段と、
前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置への接続要求を受信する接続要求受信手段と、
前記受信された接続要求に含まれる情報を抽出する情報抽出手段と、
前記抽出された情報と前記アクセス制御情報とを比較して前記要求された接続の可否を判定する接続許可判定手段と、
前記判定された接続の可否に基づいて、前記ネットワークサービスへの接続を制御するアクセス制御手段と、
を有することを特徴とするネットワークセキュリティシステム。
【請求項７】
１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、該１以上のサーバ・クライアントシステムおよびインターネットに接続され、前記１以上のサーバ・クライアントシステムとインターネットとの間のデータ転送を中継するアクセス制御装置と、を用いたアクセス制御方法であって、
前記アクセス制御装置が、前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置への接続要求を受信する接続要求受信工程と、
前記アクセス制御装置が、前記受信した接続要求に含まれる情報を抽出する情報抽出工程と、
前記アクセス制御装置が、前記サーバ・クライアントシステムごとに、ＬＤＡＰディレクトリにより管理する情報であって、前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報と、前記抽出した情報と、を比較して前記要求された接続の可否を判定する接続許可判定工程と、
前記アクセス制御装置が、前記判定した接続の可否に基づいて、前記ネットワークサービスへの接続を制御するアクセス制御工程と、
を有することを特徴とするアクセス制御方法。
【請求項８】
前記情報抽出工程は、
前記接続要求の情報から、接続要求元および接続要求先の装置のＩＰアドレスを抽出し、
前記接続許可判定工程は、
前記アクセス制御情報を参照して、前記抽出された接続要求元のＩＰアドレスから前記接続要求先のＩＰアドレスへの接続が許可されているか否かを判定することを特徴とする請求項７記載のアクセス制御方法。
【請求項９】
前記アクセス制御装置が、前記接続要求受信工程により、前記１以上のサーバ・クライアントシステムが有するメールサーバ、または前記インターネットに接続されるメールサーバへの接続要求を受信した場合、
前記情報抽出工程は、
前記アクセス制御装置が、前記接続要求の情報から、接続要求元および接続要求先のメールアドレスを抽出し、
前記接続許可判定工程は、
前記アクセス制御装置が、前記アクセス制御情報を参照して、前記抽出した接続要求元のメールアドレスから前記接続要求先のメールアドレスへのメールの転送が許可されているか否かを判定することを特徴とする請求項７または８記載のアクセス制御方法。
【請求項１０】
前記アクセス制御装置が、前記接続要求受信工程により、前記１以上のサーバ・クライアントシステムが有するＷｅｂサーバ、または前記インターネットに接続されるＷｅｂサーバへの接続要求を受信した場合、
前記情報抽出工程は、
前記アクセス制御装置が、前記接続要求の情報から、接続要求元の識別情報および接続要求元により取得要求されたＷｅｂデータのＵＲＬを抽出し、
前記接続許可判定工程は、
前記アクセス制御装置が、前記アクセス制御情報を参照して、前記抽出した識別情報により特定される接続要求元に対して、前記ＵＲＬにより指定されたＷｅｂデータの配信が許可されているか否かを判定することを特徴とする請求項７または８記載のアクセス制御方法。
【請求項１１】
１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、インターネットとの間のデータ転送を中継するアクセス制御装置に処理を実行させるためのプログラムであって、
前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置への接続要求を入力する接続要求入力処理と、
前記受信された接続要求に含まれる情報を抽出する情報抽出処理と、
ＬＤＡＰディレクトリにより前記サーバ・クライアントシステムごとに管理されている情報であって、前記１以上のサーバ・クライアントシステムまたは前記インターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報と、前記抽出された情報と、を比較して前記要求された接続の可否を判定する接続許可判定処理と、
前記判定された接続の可否に基づいて、前記ネットワークサービスへの接続を制御するアクセス制御処理と、
をコンピュータに実行させるためのプログラム。
【請求項１２】
前記情報抽出処理は、
前記接続要求の情報から、接続要求元および接続要求先の装置のＩＰアドレスを抽出し、
前記接続許可判定処理は、
前記アクセス制御情報を参照して、前記抽出された接続要求元のＩＰアドレスから前記接続要求先のＩＰアドレスへの接続が許可されているか否かを判定することを特徴とする請求項１１記載のプログラム。
【請求項１３】
前記接続要求入力処理により、前記１以上のサーバ・クライアントシステムが有するメールサーバ、または前記インターネットに接続されるメールサーバへの接続要求が入力された場合、
前記情報抽出処理は、
前記接続要求の情報から、接続要求元および接続要求先のメールアドレスを抽出し、
前記接続許可判定処理は、
前記アクセス制御情報を参照して、前記抽出された接続要求元のメールアドレスから前記接続要求先のメールアドレスへのメールの転送が許可されているか否かを判定することを特徴とする請求項１１または１２記載のプログラム。
【請求項１４】
前記接続要求入力処理により、前記１以上のサーバ・クライアントシステムが有するＷｅｂサーバ、または前記インターネットに接続されるＷｅｂサーバへの接続要求が入力された場合、
前記情報抽出処理は、
前記接続要求の情報から、接続要求元の識別情報および接続要求元により取得要求されたＷｅｂデータのＵＲＬを抽出し、
前記接続許可判定処理は、
前記アクセス制御情報を参照して、前記抽出された識別情報により特定される接続要求元に対して、前記ＵＲＬにより指定されたＷｅｂデータの配信が許可されているか否かを判定することを特徴とする請求項１１または１２記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御装置、ネットワークセキュリティシステム、アクセス制御方法およびそのプログラムに関し、特に、ＬＤＡＰサーバによるネットワーク上のアクセス制御を行うアクセス制御装置、ネットワークセキュリティシステム、アクセス制御方法およびそのプログラムに関する。
【背景技術】
【０００２】
近年、パーソナルコンピュータの普及により、インターネットに接続される端末の台数が爆発的に増加している。その一方で、悪意のある第三者のコンピュータのインターネット接続により、Ｗｅｂデータなどの改ざんや破壊、コンピュータウイルスの氾濫といった問題も生じている。
【０００３】
このような悪意のある第三者によるインターネットへの不正アクセスの抑制を実現するための従来技術として、特許文献１が開示するところのコンピュータウイルスチェック方法及び装置があった。
特許文献１では、インターネットへ接続する複数の加入者端末を収容するネットワークに、コンピュータウイルスのチェックを行うゲートウェイを接続していた。ゲートウェイは、加入者端末宛のＩＰパケットをファイルデータに組み立てて、そのファイルデータがコンピュータウイルスに感染していると判断した場合、ユーザごとに予め登録されている設定内容に従って、そのファイルに対して強制破棄、一時保存、ウイルス除去のいずれかの処理を行っていた。
【０００４】
また、特許文献２が開示するところの電子メールのセキュリティを代行して保証する方法及びシステム並びに記録媒体では、インターネット接続プロバイダが、ユーザ端末からインターネットへ送信する電子メールの暗号化と署名の添付、及びユーザ端末からの署名付き暗号メールの改ざんの有無の検査と複合化を行っていた。
【特許文献１】特開２００１−２５６０４５号公報
【特許文献２】特開２００２−３３７６０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
近年、インターネットを利用して提供されるサービスは多岐にわたっており、各インターネットサービスプロバイダ（ＩＳＰ：Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）は、それぞれ異なった多様なインターネットサービス（メール、Ｗｅｂ配信など）を加入者の端末装置へ提供している。
このような提供するインターネットサービスが互いに異なる複数のＩＳＰに対してインターネットセキュリティサービスを提供する場合、インターネットセキュリティサービスの提供事業者は、その複数のＩＳＰで提供されるインターネットサービス全てのセキュリティを実現するための膨大な量のデータ（ＩＤ、パスワードなど）を管理しなければならなかった。
【０００６】
しかしながら、特許文献１、２記載の従来技術では、それぞれコンピュータウイルスチェック、電子メールのセキュリティ管理を行うものであって、多様なインターネットサービスに対するセキュリティを実現するものではなかった。
また、特許文献１、２では、１つの加入者端末が新たなインターネットサービスを利用しようとした場合、そのインターネットサービスのセキュリティを実現するためのデータベースを全ての加入者端末分、新たに構築しなければならず、管理すべきデータ量も膨大なものとなってしまう問題が生じる。
【０００７】
本発明は、上記問題に鑑みてなされたものであり、多種多様なインターネットサービスのセキュリティ管理を容易に行うアクセス制御装置、ネットワークセキュリティシステム、アクセス制御方法およびそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
かかる目的を達成するため、本発明は、１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、インターネットとの間のデータ転送を中継するアクセス制御装置であって、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報を、サーバ・クライアントシステムごとに、ＬＤＡＰディレクトリにより管理して格納する制御情報格納手段と、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置への接続要求を受信する接続要求受信手段と、受信された接続要求に含まれる情報を抽出する情報抽出手段と、抽出された情報とアクセス制御情報とを比較して要求された接続の可否を判定する接続許可判定手段と、判定された接続の可否に基づいて、ネットワークサービスへの接続を制御するアクセス制御手段と、を有することを特徴とする。
【０００９】
また、本発明によれば、情報抽出手段は、接続要求の情報から、接続要求元および接続要求先の装置のＩＰアドレスを抽出し、接続許可判定手段は、アクセス制御情報を参照して、抽出された接続要求元のＩＰアドレスから接続要求先のＩＰアドレスへの接続が許可されているか否かを判定することを特徴とする。
【００１０】
また、本発明によれば、接続要求受信手段が、１以上のサーバ・クライアントシステムが有するメールサーバ、またはインターネットに接続されるメールサーバへの接続要求を受信した場合、情報抽出手段は、接続要求の情報から、接続要求元および接続要求先のメールアドレスを抽出し、接続許可判定手段は、アクセス制御情報を参照して、抽出された接続要求元のメールアドレスから接続要求先のメールアドレスへのメールの転送が許可されているか否かを判定することを特徴とする。
【００１１】
また、本発明によれば、接続要求受信手段が、１以上のサーバ・クライアントシステムが有するＷｅｂサーバ、またはインターネットに接続されるＷｅｂサーバへの接続要求を受信した場合、情報抽出手段は、接続要求の情報から、接続要求元の識別情報および接続要求元により取得要求されたＷｅｂデータのＵＲＬを抽出し、接続許可判定手段は、アクセス制御情報を参照して、抽出された識別情報により特定される接続要求元に対して、ＵＲＬにより指定されたＷｅｂデータの配信が許可されているか否かを判定することを特徴とする。
【００１２】
また、本発明によれば、ＬＤＡＰディレクトリにより管理されるアクセス制御情報の登録・更新・削除を行う制御情報変更手段を有することを特徴とする。
【００１３】
また、本発明は、１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、１以上のサーバ・クライアントシステムおよびインターネットに接続され、１以上のサーバ・クライアントシステムとインターネットとの間のデータ転送を中継するアクセス制御装置と、を有するネットワークセキュリティシステムであって、アクセス制御装置は、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報を、サーバ・クライアントシステムごとに、ＬＤＡＰディレクトリにより管理して格納する制御情報格納手段と、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置への接続要求を受信する接続要求受信手段と、受信された接続要求に含まれる情報を抽出する情報抽出手段と、抽出された情報とアクセス制御情報とを比較して要求された接続の可否を判定する接続許可判定手段と、判定された接続の可否に基づいて、ネットワークサービスへの接続を制御するアクセス制御手段と、を有することを特徴とする。
【００１４】
また、本発明は、１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、１以上のサーバ・クライアントシステムおよびインターネットに接続され、１以上のサーバ・クライアントシステムとインターネットとの間のデータ転送を中継するアクセス制御装置と、を用いたアクセス制御方法であって、アクセス制御装置が、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置への接続要求を受信する接続要求受信工程と、アクセス制御装置が、受信した接続要求に含まれる情報を抽出する情報抽出工程と、アクセス制御装置が、サーバ・クライアントシステムごとに、ＬＤＡＰディレクトリにより管理する情報であって、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報と、抽出した情報と、を比較して要求された接続の可否を判定する接続許可判定工程と、アクセス制御装置が、判定した接続の可否に基づいて、ネットワークサービスへの接続を制御するアクセス制御工程と、を有することを特徴とする。
【００１５】
また、本発明によれば、情報抽出工程は、接続要求の情報から、接続要求元および接続要求先の装置のＩＰアドレスを抽出し、接続許可判定工程は、アクセス制御情報を参照して、抽出された接続要求元のＩＰアドレスから接続要求先のＩＰアドレスへの接続が許可されているか否かを判定することを特徴とする。
【００１６】
また、本発明によれば、アクセス制御装置が、接続要求受信工程により、１以上のサーバ・クライアントシステムが有するメールサーバ、またはインターネットに接続されるメールサーバへの接続要求を受信した場合、情報抽出工程は、アクセス制御装置が、接続要求の情報から、接続要求元および接続要求先のメールアドレスを抽出し、接続許可判定工程は、アクセス制御装置が、アクセス制御情報を参照して、抽出した接続要求元のメールアドレスから接続要求先のメールアドレスへのメールの転送が許可されているか否かを判定することを特徴とする。
【００１７】
また、本発明によれば、アクセス制御装置が、接続要求受信工程により、１以上のサーバ・クライアントシステムが有するＷｅｂサーバ、またはインターネットに接続されるＷｅｂサーバへの接続要求を受信した場合、情報抽出工程は、アクセス制御装置が、接続要求の情報から、接続要求元の識別情報および接続要求元により取得要求されたＷｅｂデータのＵＲＬを抽出し、接続許可判定工程は、アクセス制御装置が、アクセス制御情報を参照して、抽出した識別情報により特定される接続要求元に対して、ＵＲＬにより指定されたＷｅｂデータの配信が許可されているか否かを判定することを特徴とする。
【００１８】
また、本発明によれば、１以上のネットワークサービスを提供する１以上のサーバ・クライアントシステムと、インターネットとの間のデータ転送を中継するアクセス制御装置に処理を実行させるためのプログラムであって、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置への接続要求を入力する接続要求入力処理と、受信された接続要求に含まれる情報を抽出する情報抽出処理と、ＬＤＡＰディレクトリによりサーバ・クライアントシステムごとに管理されている情報であって、１以上のサーバ・クライアントシステムまたはインターネットに接続される装置により提供される各ネットワークサービスへの接続要求を制御するためのアクセス制御情報と、抽出された情報と、を比較して要求された接続の可否を判定する接続許可判定処理と、判定された接続の可否に基づいて、ネットワークサービスへの接続を制御するアクセス制御処理と、をコンピュータに実行させることを特徴とする。
【００１９】
また、本発明によれば、情報抽出処理は、接続要求の情報から、接続要求元および接続要求先の装置のＩＰアドレスを抽出し、接続許可判定処理は、アクセス制御情報を参照して、抽出された接続要求元のＩＰアドレスから接続要求先のＩＰアドレスへの接続が許可されているか否かを判定することを特徴とする。
【００２０】
また、本発明によれば、接続要求入力処理により、１以上のサーバ・クライアントシステムが有するメールサーバ、またはインターネットに接続されるメールサーバへの接続要求が入力された場合、情報抽出処理は、接続要求の情報から、接続要求元および接続要求先のメールアドレスを抽出し、接続許可判定処理は、アクセス制御情報を参照して、抽出された接続要求元のメールアドレスから接続要求先のメールアドレスへのメールの転送が許可されているか否かを判定することを特徴とする。
【００２１】
また、本発明によれば、接続要求入力処理により、１以上のサーバ・クライアントシステムが有するＷｅｂサーバ、またはインターネットに接続されるＷｅｂサーバへの接続要求が入力された場合、情報抽出処理は、接続要求の情報から、接続要求元の識別情報および接続要求元により取得要求されたＷｅｂデータのＵＲＬを抽出し、接続許可判定処理は、アクセス制御情報を参照して、抽出された識別情報により特定される接続要求元に対して、ＵＲＬにより指定されたＷｅｂデータの配信が許可されているか否かを判定することを特徴とする。
【発明の効果】
【００２２】
本発明によれば、多種多様なインターネットサービスのセキュリティ管理を容易に行うことが可能となる。
【発明を実施するための最良の形態】
【００２３】
本発明の実施形態では、１以上の加入者端末およびその加入者端末を収容するサーバなどを有して構成される１以上の顧客サーバシステムと、インターネットとの間に、上記の顧客サーバシステムのセキュリティ管理を行うデータセンタシステムを設けている。
データセンタシステムは、ファイアウォール装置、プロキシサーバ群および認証用サーバなどを有して構成される、ネットワーク上のアクセス制御を行うシステムである。認証用サーバは、インターネットからの顧客サーバシステム宛のファイルデータまたは顧客サーバシステムからインターネットへ送出されるファイルデータと、自身が管理する認証用データとを比較し、その比較結果に基づいてファイルデータの転送を制御する。
本実施形態では、この認証用サーバは、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ  Ｄｉｒｅｃｔｏｒｙ  Ａｃｃｅｓｓ  Ｐｒｏｔｏｃｏｌ）サーバとして機能する。このことにより、認証用サーバは、各顧客サーバシステムが提供するインターネットサービスのセキュリティ管理に使用される認証用データをＬＤＡＰのディレクトリで管理することができ、複数の顧客サーバシステムがそれぞれ提供する多種多様なサービスに対応する互いに異なる内容の認証用データ管理をリレーショナル型データベースと比べて少ない記憶領域で実現することが可能となる。また、顧客サーバシステムが新たな種類のサービスを提供することになっても、認証用サーバは、その新たな種類のサービスに対応する認証用データのエントリを追加するだけでよい。
【実施例】
【００２４】
（実施例の構成）
図１は、本発明の実施例１におけるネットワークセキュリティシステムの構成を示す図である。以下、図１を用いて、本実施例におけるネットワークセキュリティシステムの構成および動作について説明する。
【００２５】
図１に示されているように、ネットワークセキュリティシステムは、インターネット１と、データセンタシステム１００と、１以上の顧客サーバシステム２００−１、・・・、２００−ｎ（ｎは１以上の整数）とを有して構成される。
顧客サーバシステム２００−１、・・・、２００−ｎは、データセンタシステム１００を介してインターネット１に接続されている。
すなわち、顧客サーバシステム２００−１、・・・、２００−ｎからのデータ（電子メール、Ｗｅｂページの取得要求など）は、必ずデータセンタシステム１００を介してインターネット１上へ送出される。また、インターネット１からのデータ（電子メール、Ｗｅｂページなど）は、必ずデータセンタシステム１００を介して顧客サーバシステム２００−１、・・・、２００−ｎへ転送される。
【００２６】
顧客サーバシステム２００−１、・・・、２００−ｎは、企業やＩＳＰなどにより管理されるネットワークシステムである。
【００２７】
ここで、顧客サーバシステム２００−１の構成について説明する。なお、特記しない限り、顧客サーバシステム２００−１以外の他の顧客サーバシステム（ｎが２以上の場合）の構成および動作は、顧客サーバシステム２００−１と同様であるとする。
【００２８】
顧客サーバシステム２００−１は、ネットワーク２と、顧客サーバ群５０と、１以上の加入者端末６０−１、・・・、６０−ｍ（ｍは１以上の整数）と、ファイアウォール装置７０とを有して構成される。
加入者端末６０−１、・・・、６０−ｍは、ネットワーク２およびファイアウォール装置７０を介して顧客サーバ群５０と接続されている。また、ネットワーク２には、データセンタシステム１００が接続されている。
【００２９】
顧客サーバ群５０は、メールサーバ５１と、Ｗｅｂサーバ５２と、ユーザサービスサーバ５３とを有して構成される。
メールサーバ５１は、加入者端末６０−１、・・・、６０−ｍからの電子メール（メッセージ）および加入者端末６０−１、・・・、６０−ｍ宛の電子メール（メッセージ）の送受信機能、メールボックス機能、メッセージ管理機能などを備えた情報処理装置であって、例えば、メッセージの送信にＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）、受信にＰＯＰ（Ｐｏｓｔ  Ｏｆｆｉｃｅ  Ｐｒｏｔｏｃｏｌ）を使用するとしてもよい。
Ｗｅｂサーバ５２は、ＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒｓ）で示された位置で各Ｗｅｂデータを蓄積する情報処理装置であって、加入者端末などからＷｅｂデータの取得要求を受信すると、その取得要求に応じてＷｅｂデータを配信する。
ユーザサービスサーバ５３は、電子メールの管理およびＷｅｂ配信以外の他のサービス（基幹業務に係るデータ管理など）を加入者端末側に提供する情報処理装置である。
なお、本実施例において、顧客サーバ群５０にはメールサーバ５１、Ｗｅｂサーバ５２およびユーザサービスサーバ５３が含まれるとしたが、少なくともいずれか１つのサーバが含まれればよく、さらに他のサービスを提供するサーバが含まれるようにしてもよい。また、各顧客サーバシステムにおいて、顧客サーバ群に含まれるサーバの種類および数は互いに異なっていてもよい。
【００３０】
加入者端末６０−１、・・・、６０−ｍは、顧客サーバ群５０が提供する各サービスに加入する加入者により操作される情報端末装置であって、例えば、デスクトップ型、タワー型、ノートブック型の汎用ＰＣであるとしてもよいし、ネットワーク２接続可能な携帯電話機、ＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈａｎｄｙ−ｐｈｏｎｅ  Ｓｙｓｔｅｍ）またはＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄｉｇｉｔａｌ  Ａｓｓｉｓｔａｎｔ）などの移動通信端末であるとしてもよい。
【００３１】
ファイアウォール装置７０は、パケットのフィルタリング機能、ユーザ認証機能などのファイアウォール機能を備えた情報処理装置である。ファイアウォール装置７０は、加入者端末６０−１、・・・、６０−ｍを操作する加入者の認証などを行う。
【００３２】
データセンタシステム１００は、インターネット１から顧客サーバシステム２００−１、・・・、２００−ｎ間へ転送されるデータ、および顧客サーバシステム２００−１、・・・、２００−ｎからインターネット１へ送出されるデータの転送制御を行う情報処理装置であって、例えばＩＳＰなどの事業者により管理される。
図１に示されているように、認証用ＬＤＡＰサーバ１０と、プロキシサーバ群２０と、ファイアウォール装置３１、３２と、ユーザ管理装置４０とを有して構成される。
認証用ＬＤＡＰサーバ１０は、プロキシサーバ群２０、ファイアウォール装置３１、３２およびユーザ管理装置４０と接続されている。
ファイアウォール装置３１は、顧客サーバシステム２００−１、・・・、２００−ｎ（ネットワーク２）、認証用ＬＤＡＰサーバ１０およびプロキシサーバ群２０に接続されている。また、ファイアウォール装置３２は、インターネット１、認証用ＬＤＡＰサーバ１０およびプロキシサーバ群２０に接続されている。
なお、以下、プロキシサーバ群２０に含まれる各プロキシサーバおよびファイアウォール装置３１、３２をサービスコンポーネントと記述する。
【００３３】
ファイアウォール装置３１、３２は、例えば特定の端末からのアクセスのみを受け付けるといった顧客サーバシステム２００−１、・・・、２００−ｎ側、インターネット１側からのアクセスに対する制御を行う情報処理装置である。
ファイアウォール装置３１、３２は、送信メールまたはＷｅｂデータの取得を要求する旨のデータ（以下、Ｗｅｂ取得要求）などのアクセス情報を受信すると、その受信したアクセス情報から所定の情報を抽出して認証用ＬＤＡＰサーバ１０へ送信し、そのアクセスの可否を問い合わせる。ファイアウォール装置３１、３２は、認証用ＬＤＡＰサーバ１０からの問い合わせに対する応答に基づいてアクセス制御を行う。
【００３４】
プロキシサーバ群２０は、メールプロキシサーバ２１と、Ｗｅｂプロキシサーバ２２と、ユーザサービスプロキシサーバ２３とを有して構成される。
【００３５】
メールプロキシサーバ２１は、データセンタシステム１００が受信した電子メールの転送制御を行う情報処理装置である。
メールプロキシサーバ２１は、その受信された電子メールから所定の情報を抽出してその電子メールの転送の可否を認証用ＬＤＡＰサーバ１０にＬＤＡＰを利用して問い合わせる。メールプロキシサーバ２１は、認証用ＬＤＡＰサーバ１０からの問い合わせ結果に対する応答に基づいてメールの転送制御を行う。
【００３６】
Ｗｅｂプロキシサーバ２２は、顧客サーバシステム２００−１、・・・、２００−ｎ側により指定されたＷｅｂデータの取得要求をインターネット１へ送信し、そのＷｅｂデータの取得処理を代行する情報処理装置である。
Ｗｅｂプロキシサーバ２２は、顧客サーバシステム２００−１、・・・、２００−ｎからのＷｅｂ取得要求から所定の情報を抽出して、その取得要求に応じたＷｅｂデータ配信の可否を認証用ＬＤＡＰサーバ１０にＬＤＡＰを利用して問い合わせる。Ｗｅｂプロキシサーバ２２は、認証用ＬＤＡＰサーバ１０からの問い合わせ結果に対する応答に基づいて顧客サーバシステム２００−１、・・・、２００−ｎに対するＷｅｂデータの配信制御を行う。
Ｗｅｂプロキシサーバ２２は、認証用ＬＤＡＰサーバ１０からＷｅｂデータの配信許可を示す応答を受け取った場合、インターネット１側へそのＷｅｂ取得要求を送信してＷｅｂデータを取得し、例えば顧客サーバシステム２００−１へ配信する。
また、Ｗｅｂプロキシサーバ２２は、１度取得したＷｅｂデータをキャッシュとして保持する機能を有している。Ｗｅｂプロキシサーバ２２は、キャッシュとして自身で保持しているＷｅｂデータの配信許可の応答を認証用ＬＤＡＰサーバ１０から受け取ると、その自身で保持しているＷｅｂデータを例えば顧客サーバシステム２００−１へ配信する。
【００３７】
ユーザサービスプロキシサーバ２３は、データセンタシステム１００が顧客サーバシステム２００−１、・・・、２００−ｎから受信した所定のサービスの取得要求に対するサービス提供（例えば、情報の提供）の制御を行う情報処理装置である。
ユーザサービスプロキシサーバ２３は、その受信されたサービス取得要求から所定の情報を抽出してその要求に応じたサービスの提供の可否を認証用ＬＤＡＰサーバ１０にＬＤＡＰを利用して問い合わせる。ユーザサービスプロキシサーバ２３は、認証用ＬＤＡＰサーバ１０からの問い合わせ結果に対する応答に基づいてサービス提供の制御を行う。
【００３８】
認証用ＬＤＡＰサーバ１０は、ＬＤＡＰに従ってデータをツリー状の階層構造で管理する情報処理装置である。
認証用ＬＤＡＰサーバ１０は、プロキシサーバ群２０またはファイアウォール装置３１、３２から各種問い合わせを受信すると、その各問い合わせに含まれるデータと、自身がエントリにおいて管理する認証用データとを比較して、その問い合わせに応じた応答を決定し、問い合わせたサービスコンポーネントに返信する。
【００３９】
ユーザ管理装置４０は、認証用ＬＤＡＰサーバ１０により管理されるエントリ内のデータの登録・更新・削除を行う情報処理装置である。
データセンタシステム１００の管理者は、ユーザ管理装置４０に設けられている情報入力手段（キー・スイッチなど）を用いて、管理者ＩＤおよびパスワードなどを入力する。ユーザ管理装置４０は、この入力された管理者ＩＤおよびパスワードを認証用ＬＤＡＰサーバ１０に送信する。認証用ＬＤＡＰサーバ１０は、自身の情報格納手段内のＬＤＡＰディレクトリを参照して管理者の認証を行い、管理者ＩＤおよびパスワードが正当なものであると判定した場合、ＬＤＡＰディレクトリ内のデータの登録・更新・削除をユーザ管理装置４０に対して許可する。許可後、データセンタシステム１００の管理者は、ユーザ管理装置４０の情報入力手段を用いてデータの登録・更新・削除を行う。
【００４０】
なお、以上説明したネットワークセキュリティシステムにおける各サーバおよび装置は、ハードディスク、ＲＯＭ、ＲＡＭなどの情報格納手段、通信インタフェースなどの送受信手段、それら各手段を制御するＣＰＵなどの制御手段などを有しているものとし、制御手段はＲＯＭなどに格納されたコンピュータプログラムに従って各サーバまたは装置を制御するものとする。
【００４１】
図２は、本発明の実施例１における認証用ＬＤＡＰサーバ１０が管理するデータ構造の一例を示す図である。
図２に示されているように、認証用ＬＤＡＰサーバ１０は、自身が有する情報格納手段において、ＬＤＡＰのディレクトリで利用されるエントリを階層構造で管理する。各エントリは、ＤＮ（Ｄｉｓｔｉｎｇｕｉｓｈｅｄ  Ｎａｍｅ）という固有の識別名で識別される。また、図２の例では、「Ｒｏｏｔ」の下位に「顧客サーバシステム名」、さらに「顧客サーバシステム名」の下位に「アクセス制御情報」といった属性（Ａｔｔｒｉｂｕｔｅ）が設定されている。
【００４２】
認証用ＬＤＡＰサーバ１０が管理するデータ構造は図２のような構成となっており、各サービスコンポーネントの制御を顧客サーバシステム単位で行うことが可能な構造となっている。このデータ構造は、顧客サーバシステム単位にアクセス制御情報を登録することが可能となる。
例えば、「ファイアウォール装置のアクセス制御情報」のエントリには、どこの機器（加入者端末、サーバ）からアクセスが可能であるかのアクセスポリシーの設定が格納されている。ファイアウォール装置３１、３２は、このエントリに格納されているアクセスポリシー情報に基づいて、アクセス制御を行う。
他のサービスコンポーネントに関しても、各コンポーネント毎に必要なアクセス制御情報が格納されている。これにより、標準的なインターネットサービスであるメール、Ｗｅｂサービス以外にユーザ独自のユーザサービスに対しても柔軟にセキュリティサービスを提供することが可能となる。
また、各顧客サーバシステムで新たに他のネットワークサービスを提供することとなった場合、ユーザ管理装置４０は、その新たに追加されたネットワークサービスのアクセス制御情報が記述されたエントリを認証用ＬＤＡＰサーバ１０に追加するだけでよく、新たにデータベースを構築しなくてもよい。
【００４３】
（実施例の動作）
図３は、本発明の実施例１におけるネットワークセキュリティシステムによる処理の流れを示すフローチャートである。以下、図１を用い、図３に沿って、本実施例において、顧客サーバシステム２００−１に収容される加入者端末６０−１がデータセンタシステム１００経由でインターネット１側へアクセスする場合におけるネットワークセキュリティシステムによるアクセス制御処理について説明する。
【００４４】
まず、加入者端末６０−１は、データセンタシステム１００経由でインターネット１上の機器へアクセスを行う（ステップＳ１０１）。
このとき、加入者端末６０−１は、データセンタシステム１００経由でインターネット１上の機器へアクセス情報を送信する。
加入者端末６０−１がインターネット１上の機器へ電子メールを送信するためにアクセスする場合、上記のアクセス情報は送信される電子メールそのものであるとしてもよい。
また、加入者端末６０−１がインターネット１上のＷｅｂデータ取得のためにアクセスする場合、上記のアクセス情報は取得を希望するＷｅｂデータのＵＲＬ、加入者のユーザＩＤおよびパスワードを含むとしてよい。
また、いずれの場合においても、上記のアクセス情報には、アクセス情報の送信先（メールの宛先の機器、Ｗｅｂサーバなど）のＩＰアドレス、送信元（加入者端末６０−１）のＩＰアドレス、および利用するサービスコンポーネント（メールサーバ、Ｗｅｂサーバ、ユーザサービスサーバなど）を指定するためのポート番号が含まれるものとする。
【００４５】
ファイアウォール装置３１は、加入者端末６０−１からアクセス情報を受信すると、そのアクセス情報内の所定の情報を抽出して認証用ＬＤＡＰサーバ１０に渡し、そのアクセスの可否を認証用ＬＤＡＰサーバ１０に問い合わせる（ステップＳ１０２）。
【００４６】
認証用ＬＤＡＰサーバ１０は、ファイアウォール装置３１からアクセス情報内の所定の情報を受信してアクセス可否の問い合わせを受け取ると、自身の情報格納手段において管理しているＬＤＡＰディレクトリを参照して、ファイアウォール装置３１へのアクセスの可否を判定する（ステップＳ１０３）。
認証用ＬＤＡＰサーバ１０は、その判定結果を示す情報を、問い合わせに対する応答としてファイアウォール装置３１へ送信する（ステップＳ１０４）。
【００４７】
ファイアウォール装置３１は、認証用ＬＤＡＰサーバ１０から問い合わせに対する応答を受信すると、その応答内容がアクセスを許可するものであるか否かを判断する（ステップＳ１０５）。
その応答内容がアクセスを許可しない旨であると判断された場合（ステップＳ１０５／Ｎｏ）、ファイアウォール装置３１はアクセスを許可しない旨のメッセージを加入者端末６０−１へ返信する（ステップＳ１０６）。
その応答内容がアクセスを許可するものであると判断された場合（ステップＳ１０５／Ｙｅｓ）、ファイアウォール装置３１は、プロキシサーバ群２０のうち、アクセス情報内のポート番号にて指定されているサービス（プロキシサーバ）にアクセス情報を送信する（ステップＳ１０７）。
【００４８】
プロキシサーバ群２０のうちポート番号により指定されたプロキシサーバは、アクセス情報を受信すると、そのアクセス情報内の所定の情報を抽出して認証用ＬＤＡＰサーバ１０に渡し、そのアクセスの可否を認証用ＬＤＡＰサーバ１０に問い合わせる（ステップＳ１０８）。
【００４９】
認証用ＬＤＡＰサーバ１０は、プロキシサーバからアクセス情報内の所定の情報を受信してアクセス可否の問い合わせを受け取ると、自身の情報格納手段において管理しているＬＤＡＰディレクトリを参照して、プロキシサーバへのアクセスの可否を判定する（ステップＳ１０９）。
認証用ＬＤＡＰサーバ１０は、その判定結果を示す情報を、問い合わせに対する応答として該当するプロキシサーバへ送信する（ステップＳ１１０）。
【００５０】
プロキシサーバは、認証用ＬＤＡＰサーバ１０から問い合わせに対する応答を受信すると、その応答内容がアクセスを許可するものであるか否かを判断する（ステップＳ１１１）。
その応答内容がアクセスを許可しない旨であると判断された場合（ステップＳ１１１／Ｎｏ）、プロキシサーバはアクセスを許可しない旨のメッセージを加入者端末６０−１へ返信する（ステップＳ１１２）。
その応答内容がアクセスを許可するものであると判断された場合（ステップＳ１１１／Ｙｅｓ）、プロキシサーバは、そのアクセス内容に応じた処理（Ｗｅｂデータ配信など）を実行して（ステップＳ１１３）、処理を終了する。この各プロキシサーバによるアクセス内容に応じた処理については後述する。
【００５１】
図４は、本発明の実施例１におけるファイアウォール装置３１へのアクセス制御を示す図である。
以下、図４を用い、本実施例におけるネットワークセキュリティシステムによるファイアウォール装置３１へのアクセス制御処理（ステップＳ１０２〜１０４）についてより詳細に説明する。
【００５２】
ファイアウォール装置３１は、顧客サーバシステム２００−１からアクセス情報を受信すると、その受信したアクセス情報に含まれる送信先・送信元のＩＰアドレスおよびポート番号を抽出して認証用ＬＤＡＰサーバ１０に送信し、アクセスの可否をＬＤＡＰで問い合わせる（ステップＳ１０２）。
【００５３】
認証用ＬＤＡＰサーバ１０は、ファイアウォール装置３１から送信先・送信元のＩＰアドレスおよびポート番号を受信すると、ＬＤＡＰディレクトリの該当するエントリ（顧客サーバシステム２００−１によるファイアウォール装置３１へのアクセス制御情報）を参照し、ファイアウォール装置３１から受信した送信元のＩＰアドレスの機器が送信先のＩＰアドレスの機器におけるポート番号のアプリケーション（サービス）の利用を許可されているか否かを判定する（ステップＳ１０３）。
【００５４】
図５は、本発明の実施例１における顧客サーバシステム２００−１によるファイアウォール装置３１へのアクセス制御情報の一例を示す図である。
図５には、各送信元ＩＰアドレスの機器が、どの送信先ＩＰアドレスの機器における、どのポート番号により示されるサービスコンポーネントへのアクセスが許可されているかが示されている。
例えば、「送信元ＩＰアドレス：ｂｂｂ．ｂｂｂ．ｂｂｂ．１１１」の機器は、「送信先ＩＰアドレス：ａａａ．ａａａ．ａａａ．ａａａ」の「ポート番号：ＸＸ」のサービスコンポーネントへアクセスが許可されている。
認証用ＬＤＡＰサーバ１０は、ファイアウォール装置３１から受信した送信元ＩＰアドレスが送信先ＩＰアドレスのポート番号へアクセスすることが許可されている旨が図５に示されるようなアクセス制御情報に記述されているか否かを判定して、加入者端末６０−１によるアクセスの可否を判定する。
その後、認証用ＬＤＡＰサーバ１０は、判定結果を問い合わせに対する応答としてファイアウォール装置３１へＬＤＡＰで送信する（ステップＳ１０４）。
このようにして、ファイアウォール装置３１のアクセス制御の判定が行われる。
【００５５】
図６は、本発明の実施例１において、加入者端末によりメール転送が指定された場合におけるアクセス制御処理の流れを示すフローチャートである。なお、図６は、加入者端末６０−１によりメール転送サービス（メールサーバ）のポート番号が指定された場合におけるステップＳ１１３の処理をより詳細に示したものである。
また、図７は、本発明の実施例１におけるメールプロキシサーバ２１へのアクセス制御を示す図である。
以下、図７を用い、図６に沿って、本実施例におけるネットワークセキュリティシステムによるメール転送サービス利用のためのアクセス制御処理について詳細に説明する。
【００５６】
メールプロキシサーバ２１は、ファイアウォール装置３１からアクセス情報を受信すると、その受信したアクセス情報に含まれる送信先・送信元のメールアドレスを抽出して認証用ＬＤＡＰサーバ１０に送信し、アクセスの可否をＬＤＡＰで問い合わせる（ステップＳ２０１）。
【００５７】
認証用ＬＤＡＰサーバ１０は、メールプロキシサーバ２１から送信先・送信元のメールアドレスを受信すると、ＬＤＡＰディレクトリの該当するエントリ（顧客サーバシステム２００−１によるメールプロキシサーバ２１へのアクセス制御情報）を参照し、メールプロキシサーバ２１から受信した送信元メールアドレスから送信先メールアドレス宛に電子メールを転送することが許可されているか否かを判定する（ステップＳ２０２）。
【００５８】
図８は、本発明の実施例１における顧客サーバシステム２００−１によるメールプロキシサーバ２１へのアクセス制御情報の一例を示す図である。
図８には、どの送信元メールアドレスからどの送信先メールアドレスへ電子メールの転送が許可されているかが示されている。
例えば、「送信元メールアドレス：ｂｂ．１１．ｎｅ．ｊｐ」から「送信先メールアドレス：ａａ．ａａ．ｎｅ．ｊｐ」へのメール転送が許可されている。
認証用ＬＤＡＰサーバ１０は、メールプロキシサーバ２１から受信した送信元メールアドレスから送信先メールアドレスへのメール転送が許可されている旨が図８に示されるようなアクセス制御情報に記述されているか否かを判定して、加入者端末６０−１によるアクセスの可否を判定する。
【００５９】
次に、認証用ＬＤＡＰサーバ１０は、判定結果を問い合わせに対する応答としてメールプロキシサーバ２１へＬＤＡＰで送信する（ステップＳ２０３）。
【００６０】
メールプロキシサーバ２１は、認証用ＬＤＡＰサーバ１０から問い合わせに対する応答を受信すると、その応答内容がアクセスを許可するものであるか否かを判断する（ステップＳ２０４）。
その応答内容がアクセスを許可しない旨であると判断された場合（ステップＳ２０４／Ｎｏ）、メールプロキシサーバ２１はアクセスを許可しない旨のメッセージを加入者端末６０−１へ返信する（ステップＳ２０５）。
その応答内容がアクセスを許可するものであると判断された場合（ステップＳ２０４／Ｙｅｓ）、メールプロキシサーバ２１は、アクセス情報（送信メール）をファイアウォール装置３２へ出力する（ステップＳ２０６）。
【００６１】
ファイアウォール装置３２は、メールプロキシサーバ２１から送信メールを受信すると、その送信メール内の所定の情報を抽出して認証用ＬＤＡＰサーバ１０に渡し、そのアクセスの可否を認証用ＬＤＡＰサーバ１０に問い合わせる（ステップＳ２０７）。
【００６２】
認証用ＬＤＡＰサーバ１０は、ファイアウォール装置３２からアクセス情報内の所定の情報を受信してアクセス可否の問い合わせを受け取ると、自身の情報格納手段において管理しているＬＤＡＰディレクトリを参照して、ファイアウォール装置３２へのアクセスの可否を判定する（ステップＳ２０８）。
認証用ＬＤＡＰサーバ１０は、その判定結果を示す情報を、問い合わせに対する応答としてファイアウォール装置３２へ送信する（ステップＳ２０９）。
【００６３】
ファイアウォール装置３２は、認証用ＬＤＡＰサーバ１０から問い合わせに対する応答を受信すると、その応答内容がアクセスを許可するものであるか否かを判断する（ステップＳ２１０）。
その応答内容がアクセスを許可しない旨であると判断された場合（ステップＳ２１０／Ｎｏ）、ファイアウォール装置３２はアクセスを許可しない旨のメッセージを加入者端末６０−１へ返信する（ステップＳ２１１）。
その応答内容がアクセスを許可するものであると判断された場合（ステップＳ２１０／Ｙｅｓ）、ファイアウォール装置３２は、インターネット１を介して送信先の機器へ電子メールを転送して（ステップＳ２１２）、処理を終了する。
なお、ステップＳ２０７〜Ｓ２０９の処理の詳細は、ステップＳ１０２〜Ｓ１０４の処理と同様であるとする。ただし、ステップＳ２０８において、認証用ＬＤＡＰサーバ１０は、ファイアウォール装置３２へのアクセス制御情報を参照してアクセスの可否の判定を行うものとする。
【００６４】
図９は、本発明の実施例１において、加入者端末によりＷｅｂデータ配信が指定された場合におけるアクセス制御処理の流れを示すフローチャートである。なお、図９は、加入者端末６０−１によりＷｅｂデータ配信サービス（Ｗｅｂサーバ）のポート番号が指定された場合におけるステップＳ１１３の処理をより詳細に示したものである。
また、図１０は、本発明の実施例１におけるＷｅｂプロキシサーバ２２へのアクセス制御を示す図である。
以下、図１０を用い、図９に沿って、本実施例におけるネットワークセキュリティシステムによるＷｅｂデータ配信サービス利用のためのアクセス制御処理について詳細に説明する。
【００６５】
Ｗｅｂプロキシサーバ２２は、ファイアウォール装置３１からアクセス情報を受信すると、その受信したアクセス情報に含まれるＵＲＬ、ユーザＩＤおよびパスワードを抽出して認証用ＬＤＡＰサーバ１０に送信し、アクセスの可否をＬＤＡＰで問い合わせる（ステップＳ３０１）。
【００６６】
認証用ＬＤＡＰサーバ１０は、Ｗｅｂプロキシサーバ２２からＵＲＬ、ユーザＩＤおよびパスワードを受信すると、ＬＤＡＰディレクトリの該当するエントリ（顧客サーバシステム２００−１によるＷｅｂプロキシサーバ２２へのアクセス制御情報）を参照し、Ｗｅｂプロキシサーバ２２から受信したユーザＩＤとパスワードとの組に対して、指定されたＵＲＬのＷｅｂデータ配信が許可されているか否かを判定する（ステップＳ３０２）。
【００６７】
図１１は、本発明の実施例１における顧客サーバシステム２００−１によるＷｅｂプロキシサーバ２２へのアクセス制御情報の一例を示す図である。
図１１には、どのユーザＩＤとパスワードとの組み合わせに対して、どのＵＲＬのＷｅｂデータ配信が許可されているかが示されている。
例えば、「ユーザＩＤ：ａａａａａ」と「パスワード：ｘｘｘｘ１」との組み合わせがＷｅｂプロキシサーバ２２へ入力された場合、「ＵＲＬ：ｗｗｗ．ａａａ．ｂｂｂ．ｃｃ」および「ＵＲＬ：ｗｗｗ．ａａａ．ｂｂｂ．１１」のＷｅｂデータ配信が許可される。
【００６８】
次に、認証用ＬＤＡＰサーバ１０は、判定結果を問い合わせに対する応答としてＷｅｂプロキシサーバ２２へＬＤＡＰで送信する（ステップＳ３０３）。
【００６９】
Ｗｅｂプロキシサーバ２２は、認証用ＬＤＡＰサーバ１０から問い合わせに対する応答を受信すると、その応答内容がアクセスを許可するものであるか否かを判断する（ステップＳ３０４）。
その応答内容がアクセスを許可しない旨であると判断された場合（ステップＳ３０４／Ｎｏ）、Ｗｅｂプロキシサーバ２２はアクセスを許可しない旨のメッセージを加入者端末６０−１へ返信する（ステップＳ３０５）。
【００７０】
その応答内容がアクセスを許可するものであると判断された場合（ステップＳ３０４／Ｙｅｓ）、Ｗｅｂプロキシサーバ２２は、自身の情報格納手段に加入者端末６０−１によりＵＲＬで指定されたＷｅｂデータがキャッシュとして格納されているか否かを判断する（ステップＳ３０６）。
【００７１】
指定されたＷｅｂデータがキャッシュとして格納されていると判断された場合（ステップＳ３０６／Ｙｅｓ）、その格納されているＷｅｂデータを加入者端末６０−１に配信する（ステップＳ３０７）。
【００７２】
指定されたＷｅｂデータが格納されていないと判断された場合（ステップＳ３０６／Ｎｏ）、Ｗｅｂプロキシサーバ２２は、ＵＲＬで指定されたＷｅｂデータの取得要求をインターネット１上のＷｅｂサーバへ送信する（ステップＳ３０８）。
【００７３】
Ｗｅｂプロキシサーバ２２は、そのインターネット１上のＷｅｂサーバから取得要求したＷｅｂデータを受信すると、その受信したＷｅｂデータを加入者端末６０−１へ送信して（ステップＳ３０９）、処理を終了する。
【００７４】
以上、本実施例において、顧客サーバシステム側からインターネット１側へアクセスされる場合に実行されるアクセス制御処理について説明したが、インターネット１側から顧客サーバシステム側（顧客サーバ群５０）へアクセスされる場合も同様の処理が行われることとする。この場合、ファイアウォール装置３２、プロキシサーバ群２０（メール転送の場合、さらにファイアウォール装置３１）の順にアクセス制御処理が行われる。
また、データセンタシステム１００に接続される顧客サーバシステムの１つが、他の顧客サーバシステムにアクセスする場合も本実施例と同様の処理が実行される。
【００７５】
（実施例のまとめ）
以上説明したように、本実施例では、認証用ＬＤＡＰサーバ１０を用いて、顧客サーバシステム２００−１、・・・、２００−ｎがインターネット１に接続する部分のセキュリティを集中管理する。
認証用ＬＤＡＰサーバ１０は、ユーザ情報や関連サービスの情報を格納し、その情報をもとに各サービスコンポーネント（メール、Ｗｅｂ、ユーザサービス、ファイアウォールなど）を制御、コントロールする。
顧客サーバシステム２００−１、・・・、２００−ｎは、インターネット１へのアクセス経路をデータセンタシステム１００経由のみに設定するだけで、各利用サービス（メール、Ｗｅｂ、ユーザサービス、ファイアウォールなど）のセキュリティを得ることが可能となる。
また、本実施例におけるネットワークセキュリティシステムにおいては、各サービスコンポーネントを認証用ＬＤＡＰサーバ１０で一括管理することにより、複数の顧客サーバシステムに対して統一されたセキュリティポリシーを必要なときに迅速に利用することが可能となる。
【００７６】
また、本実施例によれば、ＬＤＡＰサーバは、インターネット標準のＬＤＡＰプロトコルでアクセスできるディレクトリデータベースである。本実施例では、データセンタシステム１００でのセキュリティ管理にＬＤＡＰサーバを利用することにより、ＬＤＡＰ連携できる各種サービスコンポーネントを容易に追加することが可能となる。
【００７７】
また、ネットワークセキュリティシステムが実行する各処理は、認証用ＬＤＡＰサーバ１０、プロキシサーバ群２０、ファイアウォール装置３１、３２、ユーザ管理装置４０、顧客サーバ群５０、または加入者端末６０−１、・・・、６０−ｍが有するコンピュータプログラムにより実行されるが、上記のプログラムは、光記録媒体、磁気記録媒体、光磁気記録媒体、または半導体等の記録媒体に記録され、上記の記録媒体からロードされるようにしてもよいし、所定のネットワークを介して接続されている外部機器からロードされるようにしてもよい。
【００７８】
なお、制御情報格納手段および接続許可判定手段は、認証用ＬＤＡＰサーバ１０により実現される。また、接続要求受信手段、情報抽出手段、およびアクセス制御手段は、ファイアウォール装置３１、３２およびプロキシサーバ群２０により実現される。また、制御情報変更手段は、ユーザ管理装置４０により実現される。
【００７９】
なお、上記の実施例は本発明の好適な実施の一例であり、本発明の実施例は、これに限定されるものではなく、本発明の要旨を逸脱しない範囲において種々変形して実施することが可能となる。
【図面の簡単な説明】
【００８０】
【図１】本発明の実施例１におけるネットワークセキュリティシステムの構成を示す図である。
【図２】本発明の実施例１における認証用ＬＤＡＰサーバが管理するデータ構造の一例を示す図である。
【図３】本発明の実施例１におけるネットワークセキュリティシステムによる処理の流れを示すフローチャートである。
【図４】本発明の実施例１におけるファイアウォール装置へのアクセス制御を示す図である。
【図５】本発明の実施例１における顧客サーバシステムによるファイアウォール装置へのアクセス制御情報の一例を示す図である。
【図６】本発明の実施例１において、加入者端末によりメール転送が指定された場合におけるアクセス制御処理の流れを示すフローチャートである。
【図７】本発明の実施例１におけるメールプロキシサーバへのアクセス制御を示す図である。
【図８】本発明の実施例１における顧客サーバシステムによるメールプロキシサーバへのアクセス制御情報の一例を示す図である。
【図９】本発明の実施例１において、加入者端末によりＷｅｂデータ配信が指定された場合におけるアクセス制御処理の流れを示すフローチャートである。
【図１０】本発明の実施例１におけるＷｅｂプロキシサーバへのアクセス制御を示す図である。
【図１１】本発明の実施例１における顧客サーバシステムによるＷｅｂプロキシサーバへのアクセス制御情報の一例を示す図である。
【符号の説明】
【００８１】
１    インターネット
２    ネットワーク
１０    認証用ＬＤＡＰサーバ
２０    プロキシサーバ群
２１    メールプロキシサーバ
２２    Ｗｅｂプロキシサーバ
２３    ユーザサービスプロキシサーバ
３１、３２、７０    ファイアウォール装置
４０    ユーザ管理装置
５０    顧客サーバ群
５１    メールサーバ
５２    Ｗｅｂサーバ
５３    ユーザサービスサーバ
６０−１、・・・、６０−ｍ    加入者端末
１００    データセンタシステム
２００−１、・・・、２００−ｎ    顧客サーバシステム
【図１】
2005064820.tif 000003
【図２】
2005064820.tif 000004
【図３】
2005064820.tif 000005
【図４】
2005064820.tif 000006
【図５】
2005064820.tif 000007
【図６】
2005064820.tif 000008
【図７】
2005064820.tif 000009
【図８】
2005064820.tif 000010
【図９】
2005064820.tif 000011
【図１０】
2005064820.tif 000012
【図１１】
2005064820.tif 000013