(57)【特許請求の範囲】
【請求項１】
物理的施設に対するアクセスを行う物理的施設機器と、ネットワークリソースに対するアクセスを行うネットワークリソース機器とを含み、アクセス要求の証明書を受信する複数の機器と、
許可され、証明書によって規定され、ある特定の基準又はポリシに基づいて上記物理的施設及び上記ネットワークリソースにアクセスすることを許可されたエンティティを含むリストに対するアクセスを有し、上記証明書を含む上記アクセス要求を受信し、上記物理的施設機器及び上記ネットワークリソース機器の両方によって提示された証明書を検証し、該物理的施設機器及び該ネットワークリソース機器を用いる該ポリシを配信及び実行する命令を発行するサーバとを備え、
上記物理的施設機器は、上記物理的施設にアクセスするための上記証明書とともに最初のアクセス要求を受信し、上記ネットワークリソース機器は、上記ネットワークリソースにアクセスするための上記証明書とともにアクセス要求を受信し、該物理的施設機器及び該ネットワークリソース機器は、該証明書の検証を保留にし、該証明書を含むアクセス要求を送信し、
上記サーバは、上記物理的施設機器及び上記ネットワークリソース機器の両方から受信された上記アクセス要求で受信される証明書を最初に検証し、
上記物理的施設機器は、上記アクセス要求で送信されてきた証明書の証明書検証に関する命令を、該物理的施設機器でアクセスを実行させる該証明書を最初に検証する上記サーバから受信して、該証明書検証に関する命令に基づいてアクセスを実行し、
上記ネットワークリソース機器は、上記アクセス要求で送信されてきた証明書の証明書検証に関する命令を、該ネットワークリソース機器でアクセスを実行させる該証明書を最初に検証する上記サーバから受信して、該証明書検証に関する命令に基づいてアクセスを実行することを特徴とするアクセス制御システム。
【請求項２】
上記リストは、リストの同期されたセットであることを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
上記リストは、リストの配信された共通セットであることを特徴とする請求項１記載のアクセス制御システム。
【請求項４】
上記複数の機器は、物理的アクセス制御、ネットワーク接続、又は物理的アクセス制御とネットワーク接続の両方を含み、上記リストは、物理的リソースパラメータ及びネットワークアクセスパラメータを変更する命令を発行するポリシを更に含むことを特徴とする請求項１記載のアクセス制御システム。
【請求項５】
上記物理的リソースパラメータは、照明、暖房及び冷房を含むことを特徴とする請求項４記載のアクセス制御システム。
【請求項６】
上記サーバは、イベント又はイベントの組合せに応じて、ポリシベースの命令を生成し、上記ネットワーク接続機器が対応する所定の動作を実行するように、該ポリシベースの命令を該ネットワーク接続機器に伝送することを特徴とする請求項４記載のアクセス制御システム。
【請求項７】
上記サーバは、上記物理的施設及びネットワークリソースにアクセスするアクセス制御ポリシを取り込み、維持し、配信する機能を有することを特徴とする請求項１記載のアクセス制御システム。
【請求項８】
フレームベースのネットワークを更に備える請求項１記載のアクセス制御システム。
【請求項９】
パケットベースのネットワークを更に備える請求項１記載のアクセス制御システム。
【請求項１０】
上記物理的施設及びネットワークリソースに対するアクセスの試みを記録する統合サーバ及び管理ステーションを更に備える請求項１記載のアクセス制御システム。
【請求項１１】
各アクセスの試みに応じて、ポリシベースの命令を記録する記録手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１２】
ネットワークリソース及びアクセス制御イベントを監視する監視手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１３】
複数の施設及び複数のネットワークに対するユーザアクセスを規制するアクセスポリシを実行する規制手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１４】
上記リスト及びポリシは、ネットワークインフラストラクチャ機器に組み込まれていることを特徴とする請求項１記載のアクセス制御システム。
【請求項１５】
サーバにおいて、物理的施設及びネットワークリソースに対するアクセス制御ポリシを実行するアクセス制御方法において、
上記サーバにおいて、エンティティ又はエンティティのグループの複数のポリシを定義するステップと、
上記サーバにおいて、第１の証明書を含み、物理的リソースアクセス要求のための第１の証明書検証要求を物理的リソース機器から受信するステップと、
上記サーバにおいて、第２の証明書を含み、ネットワークベースのリソースアクセス要求のための第２の証明書検証要求をネットワークベースのリソース機器から受信するステップと、
上記サーバにおいて、上記第１の証明書検証要求を、上記複数のポリシのうちの１つのポリシに基づいて検証するステップと、
上記サーバにおいて、上記第２の証明書検証要求を、上記複数のポリシのうちの１つのポリシに基づいて検証するステップと、
上記サーバにおいて、上記第１の証明書検証要求の検証に基づいた、該第１の証明書検証要求に対する第１の応答を、上記物理的リソース機器に送信するステップと、
上記サーバにおいて、上記第２の証明書検証要求の検証に基づいた、該第２の証明書検証要求に対する第２の応答を、上記ネットワークベースのリソース機器に送信するステップとを有し、
上記物理的施設機器は、上記第１の証明書検証要求では、上記第１の証明書の有効性の検証を、上記サーバに対して保留にし、
上記ネットワークベースのリソース機器は、上記第２の証明書検証要求では、上記第２の証明書の有効性の検証を、上記サーバに対して保留にし、
上記サーバによる検証は、上記第１の証明書の最初の検証であり、
上記サーバによる検証は、上記第２の証明書の最初の検証であり、
上記第１の応答によって、上記物理的リソース機器は、該第１の応答に基づくアクセスを実行することができ、
上記第２の応答によって、上記ネットワークベースのリソース機器は、該第２の応答に基づくアクセスを実行することができることを特徴とするアクセス制御方法。
【請求項１６】
上記ポリシは、物理的領域内のイベントを、ネットワークリソースのイベント又はアクセスに関連付け、特定することによって、定義されることを特徴とする請求項１５記載のアクセス制御方法。
【請求項１７】
物理的リソースアクセス要求又はイベントを、所定のエンティティ又はエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントに結び付けるステップを更に有する請求項１５記載のアクセス制御方法。
【請求項１８】
上記ネットワークリソースに対するアクセスを、上記物理的領域のイベントに関連付け、特定するステップを更に有する請求項１７記載のアクセス制御方法。
【請求項１９】
サーバにおいて、物理的資産及びネットワークベースの資産に対するアクセスを管理するアクセス管理方法において、
上記サーバにおいて、物理的施設及びネットワークリソースに対するアクセス権を定義するユーザ証明書を有するとともに、ネットワークリソース及び物理的施設に対するアクセス権を定義するユーザ情報を含む統合リストを準備するステップと、
上記サーバにおいて、共通プラットホームからの物理的資産及びネットワークベースの資産に対するアクセスを管理するステップと、
上記サーバにおいて、上記物理的施設及び上記ネットワークリソースがアクセスを実行することができるように、上記サーバ検証に基づく検証応答を、該物理的施設及びネットワークリソースに送信するステップとを有し、
上記共通プラットホームは、上記物理的施設及びネットワークリソースに対するアクセスのためのユーザ証明書を検証し、上記サーバは、該物理的施設及びネットワークリソースから受信されるアクセス要求内のユーザ証明書の最初の検査機構であり、
上記物理的施設及びネットワークリソースは、上記ユーザ証明書の検証を上記サーバに対して保留にすることを特徴とするアクセス管理方法。
【請求項２０】
物理的施設及びネットワークリソースに対するアクセス制御ポリシを実行するアクセス制御ポリシ実行装置において、
１つ以上のプロセッサと、
上記プロセッサによって実行されるロジックが書き込まれた１つ以上の記録媒体とを備え、
上記プロセッサは、上記ロジックを実行したときに、
エンティティ又はエンティティのグループの複数のポリシを定義し、
第１の証明書を含み、物理的リソースアクセス要求のための第１の証明書検証要求を物理的リソース機器から受信し、
第２の証明書を含み、ネットワークベースのリソースアクセス要求のための第２の証明書検証要求をネットワークベースのリソース機器から受信し、
当該アクセス制御ポリシ実行装置による上記第１の証明書の最初の検証として、上記複数のポリシのうちの１つのポリシに基づく上記第１の証明書検証要求を検証し、
当該アクセス制御ポリシ実行装置による上記第２の証明書の最初の検証として、上記複数のポリシのうちの１つのポリシに基づく上記第２の証明書検証要求を検証し、
上記第１の証明書検証要求の検証に基づいた、該第１の証明書検証要求に対する第１の応答を、上記物理的リソース機器に送信し、
上記第２の証明書検証要求の検証に基づいた、該第２の証明書検証要求に対する第２の応答を、上記ネットワークベースのリソース機器に送信し、
上記第１の証明書検証要求は、上記物理的施設機器による上記第１の証明書の有効性の検証を、当該アクセス制御ポリシ実行装置に対して保留にされ、
上記第２の証明書検証要求は、上記ネットワークベースのリソース機器による上記第２の証明書の有効性の検証を、当該アクセス制御ポリシ実行装置に対して保留にされ、
上記第１の応答によって、上記物理的リソース機器は、該第１の応答に基づくアクセスを実行することができ、
上記第２の応答によって、上記ネットワークベースのリソース機器は、該第２の応答に基づくアクセスを実行することができることを特徴とするアクセス制御ポリシ実行装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般的には、物理的セキュリティとネットワークベースのセキュリティの両方のアクセス制御に関する。詳しくは、本発明は、リソース、例えばビル、住宅、物理的なインフラストラクチャ又は情報及びネットワークシステムに対する物理的アクセス制御及び／又はネットワークアクセス制御を提供する統合アクセス制御システム及びアクセス管理方法に関する。アクセス制御システムには、従来の物理的保安装置及び／又はネットワーク対応機器も含まれる。
【背景技術】
【０００２】
人々、物的資産（例えば物理的財産、知的財産及び施設）及び情報資産を保護するセキュリティに関する取り組みが行われている。この目的を達成するために、警備計画／セキュリティグループは、通常、資産に対するアクセス（電子的／コンピュータによるアクセスだけではなく、物理的アクセス）を制御し、イベント及びアラームを監視し、一連の必須条件（例えばポリシ）に基づいて、指定場所をリアルタイムで監視する。多くの企業、組織又は公共の場において、これらのセキュリティプログラムは、２つの部分に分割されている。１つのセキュリティグループ及び関連システムは、物理的施設又はリソースに対するアクセスを制御し、許可及び無許可の訪問者を保護することを目的とする。他のセキュリティグループ及び関連システムは、情報システム及びネットワークに対するアクセスを制御して、電子的情報資産及び他のネットワーク接続機器を保護することを目的とする。これらのセキュリティグループと関連システムの両方は、特定の基準のセット、例えば時刻に基づいて特定される個人によるアクセスを制御することによって、危険人物を管理する。
【０００３】
物理的アクセス制御システムのコンポーネント間に用いられる種類、位置及び通信プロトコルには、若干の相違はあるが、一般的には、所定の物理的アクセス制御イベントの処理及びシステム機能は、結局のところは同じである。代表的な物理的セキュリティ（アクセス制御）環境では、物理的セキュリティシステムは、入口ロック機構と、入口開／閉センサ又は他のセンサ（例えばビデオ監視カメラ）と、証明書（機器又は個人の何らかの電子的又は物理的識別子）と、証明書識別子入力装置（例えばバッジリーダ、個人識別番号キーパッド、生体認証）と、通信及び接続機器（例えばドア制御盤）と、証明及びポリシ生成ステーション（例えば物理的セキュリティサーバ）と、証明書検証及びポリシベースのアクセス制御機器（例えばアクセス制御盤）と、証明書及びポリシ生成ステーション（例えば、物理的セキュリティサーバ）と、物理的セキュリティ管理ステーション（例えば監視、イベント記録及びアラーム報告プラットホーム）と、施設ユーザリスト／データベース（すなわち人材の人事部データベース）とを含む。
【０００４】
物理的アクセス制御は、様々なアクセス制御機器（access control device：ＡＣＤ）、例えばバッジリーダ、電子ロック及び他の様々なドア要素を用いて、施設の特定の部分、すなわち部屋だけではなく、施設の入口及び時には出口で実施される。これらのＡＣＤは、全てのユーザが、適切且つ有効な証明書を提示することなく、自由に入り、出る、あるいは所定のリソースにアクセスすることを能動的又は受動的に検証する。
【０００５】
物理的アクセス制御システムの証明書は、識別情報が書き込まれたプラスチックカードであってもよく、キーパッドで入力された暗号又はパスワードであってもよく、あるいは他の生体認証情報、例えば指紋又は網膜スキャン画像であってもよい。多くの組織は、組織ＩＤ形式の証明書、あるいは固有の情報が電子識別子又は個人識別番号の形で書き込まれた電子キーカードを、全職員に与えている。一旦、証明書が提示され又はバッジリーダ、キーパッド等によって読み出されると、証明書は、有効な証明書保有者のリスト及びその関連ポリシに対して照合される。これらのポリシは、時刻、他の個人の存在等に基づいて、リソースにアクセスする他の固有の要求事項を提示することができ、あるいは、単に、アクセスを許可又は拒否する命令を出すことができる。
【０００６】
ＡＣＤ（バッジリーダ、バイオメトリックリーダ、電気機械式ロック、所定の入口用のドア開／閉センサ又は他の接点開閉センサ）は、通常、シリアルウィーガント接続（serial Wiegand connection）、シリアルＲＳ４８５接続又は単なる銅ケーブルによって、ドア制御盤（door control panel：ＤＣＰ）に接続及び集められている。ＤＣＰは、通常、所定の入口又はアクセス制御中のリソースの近くに設けられている。これらの機器は、通常、単純な信号プロトコルによって通信する。信号プロトコルは、単一のベンダのアクセス制御製品に固有のものであることが多い。
【０００７】
ＤＣＰは、通常、複数の様々なＡＣＤに接続する。ＤＣＰを使用することによって、それ自体の証明書検証及び実行リスト、又は検証及び実行機器に対するそれ自体の専用接続をアクセス制御機器毎に有する必要性がなくなる。幾つかのＤＣＰは、完全な又は部分的な証明書リストを有することができるが、このような実装は、幾つかの欠点を有する。大部分の施設は、複数の入口／出口点を有し、又は施設内の特定の部屋又はリソースのアクセス制御を必要とし、全てのＤＣＰが最新の情報を有することを保証にするために、余分な作業が必要である。アクセス制御機器は、安全な施設の内部ではなく、外部に設置する必要がある場合もある。したがって、証明書リストを有するＤＣＰは、改竄される虞があり、又は壊される可能性があり、機密保護違反に至る（すなわち、リストがアクセスされた可能性があり、それによって、パスワード及び証明書が漏洩する）場合もある。したがって、多くのアクセス制御システムは、アクセス制御リスト及び関連ポリシの集中化を更に行う。このように、幾つかのＤＣＰは、単にＡＣＤ接続を集め、証明書情報を、証明書検証及びポリシ実行をアクセス制御盤（Access Control Panel：ＡＣＰ）に向けて集中化する他の機器に渡す。
【０００８】
ＡＣＰは、ＤＣＰに接続されたリーダから供給される証明書情報を用いて、所持人に入る又は出る権利を与えるか否かを判定し、又はアクセス要求を拒否するか否かを判定する。ＡＣＰは、物理的セキュリティサーバ及び管理ステーションに依存して、証明書の所定セットに関連する実際のリスト及びポリシを生成する。
【０００９】
ＡＣＰと物理的セキュリティサーバ間の接続及び通信は、様々であるが、通常は、シリアル、すなわちモデム接続に基づいて行われる。幾つかの設備では、ＡＣＰは、物理的セキュリティサーバに対して、イーサネット（商標、フレームベースの）接続を用いるが、これらの物理的アクセス制御システムは、接続のためだけにイーサネットネットワークを用いている。物理的アクセス制御システムのコンポーネント間の実際の通信は、通常、１つのベンダに対して固有であり、例えば、信号は、イーサネット接続及び通信を通される。したがって、他のネットワークリソース（他の従来のネットワークサーバ）は、通常、ＡＣＰとは通信せず、ＡＣＰを制御することはできない。更に、情報システムのセキュリティ（例えば、インフォセック社（InfoSec、商標）のウェブページhttp://www.cordis.lu/infosec/home.html参照）は、無許可アクセスに対処するものであり、殆ど全てのネットワークベースのＡＣＰプロバイダは、ネットワークベースのＡＣＰの侵入攻撃には無防備である。
【００１０】
物理的セキュリティサーバは、全てのＡＣＰが正しい証明書及びポリシ情報を有することを保証する。物理的セキュリティサーバは、新たな証明書を登録し、期限の切れた証明書をシステムから除去する（将来の物理的アクセスを防止し、施設における証明書毎の物理的アクセス制御ポリシを定義する）セキュリティアプリケーションを実行する。物理的セキュリティサーバは、証明書（例えばユーザ名、ユーザバッジ番号及び利用可能な他のユーザ固有の属性、例えば指紋、網膜スキャン画像、声紋又は他の生体認証情報）のマスタテーブル及びその管理中の全てのＡＣＰの全ての物理的アクセス制御ポリシを保持する。換言すれば、物理的セキュリティサーバは、また、各ユーザに関して、組織内の特定の入口に対するアクセスがいつ許可されたかを判定する、各ユーザに関連した規則を維持する。物理的セキュリティサーバは、各ＡＣＰを更新して、正しい証明書リスト及びポリシが適切であることを保証する。したがって、組織の駐車場、正面玄関、研究室のドア、エレベータ、物品棚、コンピュータネットワーク又は組織がアクセスを管理及び監視することを望む他の領域にユーザが入ることを許可する規則を施行することができる。また、これらの規則は、時刻、曜日又は所定の期間に対して特有なものとすることができる。また、物理的セキュリティサーバは、管理ステーションに接続されている。
【００１１】
物理的セキュリティサーバは、フレーム（例えばイーサネット）／パケット（例えばインターネットプロトコル）ベースのネットワークを介して、他のネットワーク接続サーバ、例えば人材データベースサーバに接続及び通信することができるが、物理的セキュリティサーバは、ネットワークアクセス制御又は他のネットワークセキュリティ機能を管理するサポート機能を有しておらず、更に、ネットワークアクセスイベントを認識しない。
【００１２】
管理ステーションは、アラーム監視及び一般的な物理的アクセス制御管理を、物理的警備員によって行う。更に、管理ステーションは、多くの場合、証明書を印刷及び作成する一連の申込みを補佐する。管理ステーションは、遠隔地にあってもよく、幾つかの異なる施設に分散されていてもよい。
【００１３】
有効な証明書及び関連ポリシが付与されたユーザのリストは、多くのソースから受け取ることができる。大きな組織、すなわち企業では、この潜在的リストは、定期的に更新される従業員／人材データベースから得ることができ、このようなデータベースは、会社、例えばＳＡＰ社（商標）、ピープルソフト社（PeopleSoft、商標）及びオラクル社（Oracle、商標）からのソフトウェアアプリケーションプログラムによって、サポートすることができる。物理的セキュリティ管理者は、カード、カード証明書及び関連アクセス権を特定のユーザに与える。
【００１４】
図１は、典型的な従来の施設におけるアクセス制御システム１００を示している。各施設又は施設内の各フロアは、同じ位置に配置されたコンポーネント１０１を有し、コンポーネント１０１は、幾つかのアクセス制御機器（ＡＣＤ）１１０、例えば各ドア又は他の入口に配置された電気機械式ドアロック１１１と、リーダ１１２と、ドア接点１１３と、キーパッド１１４と、ドアアラーム１１５と、動きセンサ１１６とを含んでいる。更に他の種類のアクセス制御機器としては、指紋センサ、カメラ、又は他の機器、コンポーネント又はソフトウェアによる識別装置が含まれる。
【００１５】
施設への各ドアでは、１つ以上のＡＣＤ１１０が専用のＤＣＰ１１７に接続されている。ＤＣＰ（例えばＤＣＰ１１８、１１９）は、ＡＣＰ１２０にスター構成で直接接続することができ、次に、ＡＣＰ１２０に接続されたＤＣＰには、例えばＤＣＰ１１７、１１８のように、他のＤＣＰを接続することができる。ＤＣＰ１１７〜１１９は、通常、ＲＳ４８５シリアル配線によってＡＣＰ１２０にリンクされている。ＤＣＰ１１７〜１１９は、ＡＣＰ１２０によって供給される制御情報に応じて、ＡＣＤ１１０の動作を制御する。
【００１６】
各ＡＣＰ１２０は、幾つかのＤＣＰ１１７〜１１９を制御する。例えば、ＡＣＰ１２０は、施設の、複数のフロアを有するビルの特定のフロアの、又は施設の特定の領域の全てのドア制御盤を制御することができる。殆どのセキュリティシステムでは、ＡＣＰ１２０は、シリアル又はイーサネットリンクによって、物理的セキュリティサーバ１２１に接続されている。物理的セキュリティ管理ステーション１２２だけではなく、物理的セキュリティサーバ１２１は、ＡＣＰ１２０から遠隔に設置されて、ビル内に集中化され、又は別のビルに設置される。
【００１７】
物理的アクセス制御要求イベントが生じたとき、例えば、人がドアに近づいたとき、ＡＣＤ１１１〜１１６の１つ以上は、アクセス制御システム１００に対する入力信号を発生する。例えば、リーダ１１２は、書き込まれたユーザＩＤを検出し、証明書をＤＣＰ１１７に送信することができ、ＤＣＰ１１７は、局所的なメッセージのバッファリング及びドアのＡＣＤ接続集約処理（ACD connectivity aggregation）を行う。ＤＣＰ１１７は、ＡＣＤ１１０が発生した情報をアクセス要求メッセージの形でＡＣＰ１２０に中継する。ＡＣＰ１２０は、検出証明書を有効な（許可された）証明書リスト及び関連ポリシと比較することによって、証明書を検証し、証明書が有効であるか、及び物理的アクセスポリシがこの入口／出口点に関連しているかを判定する。有効な証明書リスト及び関連アクセスポリシは、物理的セキュリティサーバ１２１によって供給されて、アクセス制御イベントの前に、ＡＣＰ１２０に伝送されている。
【００１８】
ポリシがドアを開けるべきであることを示している場合、その特定のドアの電気機械式ドアロック１１１を起動する（開く）ことをＤＣＰ１１７に指示するアクセス制御応答メッセージが、ＡＣＰ１２０からＤＣＰ１１７に伝送される。証明書が無効であるので、ポリシがアクセスを拒否する場合、アラームを、例えば起動することができ、又は物理的セキュリティ管理ステーション１２２に送信され、ドアは、ロックされたままである。
【００１９】
異なる及び独立したアクセス制御システムは、殆どの組織又は他の機関によって運営されている情報システム及び専用ネットワークに対するアクセスを制御する。このアクセス制御システムは、ネットワークベースの情報資産を保護し、他のネットワーク接続機器に対するアクセスを制御するように努める。ネットワークアクセス制御システムは、これらに限定されるものではないが、幾つかのネットワーク端接続機器（例えばコンピュータ、サーバ、ＩＰ電話機等）と、電子証明書（例えばユーザ名又は機器名、ネットワークアドレス、パスワード等）と、フレーム／パケットベースのネットワークインフラストラクチャ機器（例えばルータ、スイッチ、負荷分散装置、ファイアウォール）と、電子証明書検証及びポリシベースのアクセス制御機器（例えばネットワークアクセス制御サーバ）と、証明書及びポリシ生成ステーション及び機器（例えばネットワークセキュリティサーバ）と、ネットワークユーザリスト／データベース（すなわち人材の人事部データベース）と、ネットワーク管理ワークステーションとを含む。
【００２０】
全てのネットワーク機器は、一般的に、有線／光ファイバ又は無線媒体によって接続され、フレーム／パケットベースのネットワークプロトコル、例えばイーサネット及びＩＰを用いて、通信する。ネットワーク機器の互いに通信する能力は、必ずしも、１つのネットワーク機器が他のネットワーク機器を制御できることを意味するわけではない。機器を制御する能力は、（例えばＯＳＩの７レイヤネットワーク通信モデルによって規定されている）より高いレベルのアプリケーション及びプロトコルの機能である。
【００２１】
ネットワーク接続機器、例えばパーソナルコンピュータ、サーバ、携帯情報端末、ＩＰ電話機、ＩＰビデオ監視カメラ等は、有線／光ファイバ又は無線通信機能を有し、一般的なネットワーク端接続機器である。これらの機器の多くは、電子証明書の基礎を形成するネットワークアドレス情報を提供及び要求することができる組込型回路に加えて、証明書情報を入力及び提出するのに用いることができるキーボード又は他の入力装置を備える。
【００２２】
ネットワークアクセス証明書は、ネットワークアクセス及びネットワークに接続された様々なリソースに対するアクセスを許可／拒否するために使用される。ネットワークアクセス証明書情報は、通常、ネットワーク端機器から中間機器、例えばネットワークインフラストラクチャ機器（ルータ及びスイッチ等）を介してネットワークアクセス制御サーバに渡される。ネットワークアクセス制御に用いられる証明書は、ユーザ名及びパスワードの組合せである最も簡単な形式の１つによって、変えることができる。パスワードは、複数のログオン（ネットワークアクセス要求）セッションに用いることができ、又は単一のログオンアクセスイベントに対して生成することができる。また、証明書は、ネットワークに接続することを試みるネットワーク機器の所定のネットワークアドレス（例えばイーサネットＭＡＣアドレス又はＩＰアドレス）であってもよい。
【００２３】
ネットワークインフラストラクチャ機器（network infrastructure device：ＮＩＤ）、例えばルータ及びスイッチは、ネットワーク端接続機器から他のネットワーク接続リソースまでの接続を行う。ルータ及びスイッチは、一般的に、他の様々なネットワーク接続機器に通信する情報をカプセル化するフレーム及び／又はパケットベースのネットワークプロトコルをサポートし、これらのプロトコルによって通信する。ＮＩＤは、物理的セキュリティアクセス制御システムのコンポーネント間の通信を目的として、ネットワークに接続可能な物理的セキュリティアクセス制御システムのコンポーネントに対するネットワーク接続を行うことができるが、従来のＮＩＤは、所定のリソースの物理的アクセスの目的で、物理的セキュリティアクセス制御システムのこれらのコンポーネントを制御することができない。
【００２４】
ネットワークアクセスを許可ユーザ及び機器に制限するように設計されたログイン装置によって、ネットワークアクセスを制御することは非常に一般的である。これらのログイン装置は、ＡＡＡサーバ（Authentication, Authorization and Accounting server：認証、認可及び課金サーバ）と呼ばれる。ＡＡＡサーバは、ネットワーク及びネットワーク機器に対するアクセスを要求するユーザの身元を検証し、アクセスを許可し、ユーザの動作を追跡するサービスの認証、認可及び課金を実行するモジュール方式の方法を提供する。
【００２５】
認証により、ネットワークにアクセスしようとしているユーザを識別する（すなわち、特定のユーザが、自らが誰であると言っているかを判定することができる）方法が得られる。これは、一般的には、従来のユーザ名／パスワードを用いて実行され、最近では、最新の安全な方法、例えばチャレンジ／レスポンス（ＣＨＡＰのような）、ワンタイムパスワード（ＯＴＰ及びＰＫＩ証明書）によって実行される。許可により、許可ユーザがどのサービス又は機器にアクセスするかを制御する（すなわち、特定のユーザが一旦ログオンしたときに、アクセスできる範囲を決定する）方法が得られる。課金により、ネットワークにおけるユーザの振る舞いを追跡し、特定の個人が一旦ログオンしたときに、何をしているかを判定することができる方法が得られる。収集された情報は、課金、監査及び報告の目的に用いることができる。また、ネットワークユーザアクセス制御の概念は、ネットワーク機器に対する管理アクセス、並びに構成及び監視するネットワーク管理解決策に拡張することができる。
【００２６】
そのようなログイン装置としては、ポリシベースのネットワークアクセス制御サーバであるシスコシステムズ社のセキュアＡＣＳ（Cisco Secure ACS、商標）がある。ネットワークアクセス制御サーバは、有効な電子証明書のネットワークアクセス中心テーブル又はリストと、ある条件（例えば、ポリシ）に基づいて特定の証明書保有者／ユーザがアクセスすることができるネットワークリソースの関連リストとを維持する。それは、ネットワークアクセスを試みるユーザ又はコンピュータの認可されたネットワークアクセスレベルを判定するために用いられる。このネットワークアクセス制御サーバのテーブルは、ネットワークにアクセスすることを要求する各ユーザ又は機器に関連するユーザ名、ユーザＩＤ、ネットワークパスワード及び規則を保持することができる。これらの規則は、ネットワークアクセス制御ポリシ（有効な電子証明書のリストと、ある条件に基づいて特定の証明書保有者／ユーザがアクセスすることができるネットワークリソースの関連リスト）と呼ぶことができる。ネットワークアクセス制御サーバは、ネットワークにログオンするユーザインタフェースを提供するとともに、ネットワークアクセス制御システムを構成及び準備するために用いられる。ＡＣＳサーバは、イベントの共通ログを維持し、そして、警備員は、施設アクセスを有する企業ネットワーク上でのユーザ行動を監視、対比及び検証することができる。
【００２７】
ＡＣＳサーバ及びその機能は、一箇所に配置してもよく、２つ以上のネットワークアクセス制御サーバに分散させてもよい。ＡＣＳサーバは、ポリシ、規則及び許可ユーザの全て又は一部を、集中又は分散形式で保持することができる。ＡＣＳサーバは、警備員が、施設又はネットワークセキュリティをくぐり抜けようとする実行者を識別することができるように、無許可ユーザに関する情報を保持することができる。
【００２８】
ネットワークアクセスのための有効な証明書及び関連ポリシが付与されたユーザのリストは、多くのソースから受け取ることができる。大きな組織、すなわち企業では、この潜在的リストは、定期的に更新される従業員／人材データベース（すなわちＳＡＰ、ピープルソフト、オラクル）から得ることができる。ネットワークアクセス制御サーバは、時々、その正規ユーザのリストを人材又は他の組織データベースに同期させるが、全てのポリシは、ネットワークアクセス制御サーバ上で直接的に生成、維持及び更新される。
【００２９】
ネットワークアクセス制御サーバ、例えばシスコシステムズ社のＡＣＳサーバは、通常、多くのベンダの従来のフレーム／パケットベースのネットワーク装置と相互運用される。ネットワークアクセス制御サーバは、通常、ＳＮＭＰポーリング出力を周期的に各ＩＰ対応機器に送信して、各機器の正常性及びネットワーク接続を検証する。ＳＮＭＰポーリングは、ネットワーク技術において周知である。しかしながら、従来のネットワークアクセス制御サーバは、物理的アクセス制御機器をサポートする能力を有しておらず、物理的セキュリティサーバ、物理的セキュリティ管理ステーション、ドア制御盤と相互運用できず、ＡＣＰ機能を有しない。更に、従来のネットワークアクセス制御サーバは、物理的／施設アクセスイベントを認識しない。
【００３０】
ネットワークセキュリティサーバは、通常、システム構成及び管理に関連する様々な機能を有する。これらのネットワークセキュリティサーバは、多くの場合、バックエンド課金及び課金、イベント記録及びユーザインタフェース通信を有する。ネットワークセキュリティサーバは、多くの場合、リアルタイムネットワークアクセス制御サービスを有するネットワークアクセス制御サーバと通信する。従来のネットワークセキュリティサーバは、物理的セキュリティアクセス制御機能をサポートしておらず、更に、物理的アクセスセキュリティイベントを認識しない。
【００３１】
なお、他のネットワークセキュリティ機能は、ネットワークインフラストラクチャの一部であってもよい。これらの機能及びサービスには、ファイアウォールサービスと、ＶＰＮ暗号化／復号と、ネットワーク侵入検出サービスとが含まれるが、これらは、通常、ネットワークアクセスの認証及び認可のために最初にログオンするネットワークアクセス制御サーバに依存する。場合によっては、これらのサービスは、ネットワークインフラストラクチャ機器に組み込んでもよい。更に、ＮＩＤは、プロキシとしての機能を果たすことができ、あるいはＡＡＡ機能を有する。
【００３２】
ネットワーク管理ワークステーションは、ネットワーク管理及び操作要員によるアラーム監視及び一般的ネットワークの運用管理を行う。ネットワーク管理ワークステーションは、遠隔地にあってもよく、あるいは幾つかの異なる施設に分散されていてもよい。
【００３３】
図２は、典型的な従来のネットワークアクセス制御システムの構成を示している。ネットワークは、物理的な位置によっては拘束されない。ネットワークは、幾つかのネットワーク端機器（network-edge device：ＮＥＤ）１５０、例えば、コンピュータ１５１と、ネットワーク電話機（例えばＩＰ電話機）１５２と、ネットワークカメラ１５３と、ネットワーク接続Ｉ／Ｏ機器（例えばＰＯＳ（point of sale）端末装置、製造プロセス制御センサ及び機械等）１５４とを含み、これらは、実質的に、ネットワーク接続が利用可能なあらゆる場所に配置される。
【００３４】
ＮＥＤ１５０は、一般的に、ネットワークインフラストラクチャ機器（network infrastructure device：ＮＩＤ）１５５に直接接続される。ＮＩＤ１５５は、一般的に、ルータ、スイッチ及び／又は無線アクセスポイントである。ＮＩＤ１５５は、最終的に他のＮＥＤの集合である様々な他のネットワークリソース１５６、又はアプリケーションサーバコンピュータ、又は他のネットワーク接続通信機器（すなわちＩＰ電話機、ビデオカメラ等）に対するアクセスを、ＮＥＤ１５０に提供し、インターネットアクセスを含むことができる。様々なＮＥＤ１５０又は他のネットワークリソース１５６間に位置する幾つかの相互接続ＮＩＤがあってもよい。ＮＩＤ１５５は、ネットワークアクセス制御サーバ（ＮＡＣＳ）１５７、ネットワーク管理ワークステーション１５８又はネットワークセキュリティサーバ１５９に直接又は他のＮＩＤを介して間接的に接続される。ネットワーク機器１５７〜１５９は、ＮＥＤ１５０から遠隔に位置してもよく、集中位置、例えばネットワークオペレーションセンタ又はデータセンタに配置してもよい。
【００３５】
ネットワークアクセス制御要求イベントが発生したとき、例えば、個人がそのコンピュータを図２のネットワークに接続することを望んだとき、コンピュータは、ネットワークアクセス（ログオン）要求を生成しなければならない。例えば、コンピュータ１５１は、ユーザが、コンピュータのキーボードによって、ユーザ名及び予め割り当てられたパスワードを入力することを要求する小さな画面を立ち上げるボックスを表示する。これらの電子証明書（ユーザ名及びパスワード）は、ネットワークインフラストラクチャ機器１５５に送信され、ネットワークインフラストラクチャ機器１５５は、電子証明書の情報をネットワークアクセス制御サーバ１５７に渡す。
【００３６】
ネットワークアクセス制御サーバ１５７は、電子証明書を有効なネットワーク証明書リストと比較することによって、ユーザ証明書を検証する。また、ネットワークアクセス制御サーバ１５７は、関連するネットワークアクセスポリシをチェックして、証明書保有者が、要求されたネットワークリソース１５６又は他のネットワークリソースにアクセスするユーザに対する全ての適切なポリシを満たしているか否かを判定する。ネットワークアクセス制御リスト及び関連ポリシは、ネットワークアクセス制御イベントの前に、ネットワークアクセス制御サーバ１５７に保存されている。
【００３７】
有効なユーザ名は、人材データベースによって供給されて、同様に、ネットワークアクセス制御イベントの前に、ネットワークアクセス制御サーバ１５７のリストに保存されている。特定のユーザ名に対するパスワードは、ＡＣＳユーザ構成インタフェース又はある他のネットワーク管理サーバからの入力によって、予めリストに入力されている。特定のユーザに対するネットワークリソースアクセスポリシは、組織のポリシに基づき、ネットワーク管理者によって割り当てられる。
【００３８】
ユーザ名及びパスワードがネットワークアクセスリスト／テーブルのエントリに一致する場合、ネットワークアクセス権がユーザに許可される。この許可は、他のネットワークリソース１５６に対するアクセス（例えば、様々なアプリケーションを有するサーバ、インターネット等に対するアクセス）を行う様々なネットワークインフラストラクチャ機器１５５に送信される。これにより、ユーザは、要求したリソースにアクセスすることができる。ユーザ名及びパスワードがネットワークアクセスリストのエントリに一致しない場合、ユーザに情報を入力する他の機会を与えてもよく、あるいは、他のネットワークアクセス要求を行うことができる前のある期間、ネットワーク端機器１５０への接続を切断するようにＮＩＤ１５５に指示してもよい。ネットワークアクセス制御サーバ１５７は、ネットワークアクセス要求の有効性に拘わらず、要求及び結果を記録する。このログは、ネットワーク管理要員が直接アクセスしてもよく、ネットワーク管理ワークステーション１５８に送信してもよい。また、有効なネットワークアクセス要求は、ネットワークアクセス制御サーバ１５７からネットワークセキュリティサーバ１５９に送信してもよい。
【００３９】
上述したように、幾つかの物理的セキュリティシステム及び幾つかの物理的セキュリティシステムのコンポーネントは、ある物理的セキュリティシステムのコンポーネントから他の物理的セキュリティシステムのコンポーネントに情報を伝えるために、イーサネット／ＩＰベースのネットワークに接続するように設計されている。しかしながら、これらのイーサネット／ＩＰ接続の物理的セキュリティシステムのコンポーネント、例えばＡＡＡサーバ又はネットワークアクセス制御サーバ１５７は、フレーム／パケットベースのネットワークのリソースの全てを使用するというわけではなく、更に、ネットワークアクセスイベントを認識しない。
【００４０】
例えば図３のブロック１２５に示す従来の物理的保安装置アクセス制御ゲートウェイは、様々なアクセス制御システム機器ベンダの信号フォーマット及びプロトコルを他のアクセス制御システム機器ベンダのコンポーネントフォーマットに変換することができる。これらのゲートウェイ１２５は、異なる物理的保安装置ベンダのシステムコンポーネント間の相互運用性をより良くし、物理的セキュリティ情報を、フレーム／パケットベースのネットワーク上で伝送することができ、しかしながら、これらのゲートウェイ１２５は、ネットワークアクセス制御サーバ１５７が物理的／施設アクセス制御機器を制御するようにすることはできない。前に図１を用いて説明したように、ここでも、ＡＣＰ１２０は、証明書を検証する必要がある。
【００４１】
また、幾つかの従来のＤＣＰ（図４に示すブロック１２９）及び幾つかのアクセス制御機器（例えば、図４にブロック１１０として示すバッジリーダ）は、フレーム／パケットベースのネットワーク接続、例えばイーサネットをサポートすることができる。ＤＣＰ１２９は、その関連するＡＣＤ１１０から情報が渡されたとき、データを集め、データを、パケット又はイーサネットフレームのペイロード部分に挿入した後、データを、ローカルのイーサネットネットワーク又は他の有線又は無線パケットベースのネットワーク上の端部のルータに伝送する。
【００４２】
物理的保安装置アクセス制御ゲートウェイ１２５と同様に、これらのネットワーク接続可能なＤＣＰ１２９及びＡＣＤ１１０は、物理的セキュリティ情報をフレーム／パケットベースのネットワーク全体に伝送することができるが、物理的アクセス制御システムの指示の下に動作を続け、証明書を検証し、これらの証明書に基づくポリシベースの動作を強制することができる。このために、ＤＣＰ１２９及びＡＣＤ１１０は、物理的セキュリティサーバ１２１又は物理的アクセス制御盤１２０からアクセス制御リスト及びポリシ更新を受信する。これらのネットワーク接続可能なＤＣＰ１２９及びＡＣＤ１１０は、ネットワークアクセス制御／ＡＡＡサーバ１５７からは更新を受信せず、更に、ＤＣＰ１２９及び／又はＡＣＤ１１０は、ネットワークアクセスイベントを認識しない。
【００４３】
これらの従来のネットワーク接続アクセス制御ゲートウェイ１２５、ＤＣＰ１２９及びＡＣＤ１１０は、最初に配置されたとき、一般的に、１つのサブネット上で通信（物理的アクセスイベントを報知）し、したがって、１つの物理的アクセス制御システムによって管理される機器の数は、幾分制限される。しかしながら、幾つかのネットワーク接続物理的アクセス制御ゲートウェイ、ＤＣＰ及びＡＣＤは、ＡＣＰ又は物理的ネットワークアクセス制御サーバのネットワークアドレス、あるいはルーティングされたインタフェースを介して相互接続することを許可するデフォルトネットワークアクセスゲートウェイのアドレスによって構成することができる。なお、デフォルトネットワークアクセスゲートウェイは、多くの場合、当該技術分野では、ドメインネームサーバ（domain name server：ＤＮＳ）と呼ばれる。このゲートウェイによって、非常に多い物理的アクセス制御コンポーネントを、１つのＡＣＰ／物理的アクセスポリシサーバによる管理下に置くことが容易になる。
【００４４】
なお、施設とネットワークリソースの両方のアクセス制御プログラムを連帯的に管理し、統合することができないと、全体的な企業のセキュリティの効率が低下すると考えられる。例えば、単に、スマートカード技術を用いて、物理的セキュリティアクセス制御証明書とネットワークアクセス制御証明書を統合することは、物理的アクセス制御システムとネットワークアクセス制御システムを殆ど統合せず、あるいはネットワークアクセス制御ポリシを物理的セキュリティアクセス制御ポリシに及びその逆に殆ど結び付けない。したがって、施設アクセスシステムとネットワークアクセスシステムの両方を一所懸命監視及び管理したとしても、物理的セキュリティポリシとネットワークセキュリティポリシが互いに結合していないので、組織は、不正使用又は不注意に対する脆弱性が残ったままである。
【００４５】
ネットワークセキュリティの観点からは、物理的アクセスとネットワークアクセスを互いに結び付けることができないと、脆弱性が生じ、ネットワークシステムのオーナは、重要な秘密又は専用情報が公開され、又はネットワーク自体にダメージを受ける。この脆弱性の一例として、例えば、ある従業員が、一日の終わりに施設を去るときに、コンピュータのログアウトを忘れた場合を考える。従業員が帰宅した後、コンピュータは、ネットワークに接続されたままであり、施設にいる人は誰でも、ネットワークにアクセスすることが許可されていなくても、コンピュータを使用することができる。明らかに、許可ユーザが施設を去った後、無人の端末装置をネットワークに接続したままにすることは望ましくない。ネットワークアクセス制御サーバが「社員証による退出（badging-out）」又は顔認識ビデオ監視によるユーザの施設退出ログにアクセスできれば、無人のコンピュータのネットワークアクセスを終了させることができ、したがって、脆弱性を低減することができる。
【００４６】
施設の全ての許可ユーザにネットワークアクセスを行わせるというポリシを単に確立するだけでは、上述の脆弱性を解決しない。外注管理サービス要員を含む管理スタッフが、清掃及び保守のために、ビルに出入りすることは許可されるが、これらの同じ施設関係者がネットワークリソース及び知的財産にアクセスすることは許されないと考えられる。
【００４７】
物理的安全性及びセキュリティの観点からの他の脆弱性を説明するために、１つ以上の施設及びネットワークの許可ユーザについて考えると、許可ユーザが施設に入るときに、「相乗り（tailgating）」によって、この許可ユーザとともに、グループとしてドアを通過して施設に入る他の者がいる（例えば、テールゲータは、確認のために、自分の証明書を提示しない）。相乗りが行われたとき、施設の警備員は、現在、施設内に誰がいるかを正確に判断することができない。したがって、正式に施設に入っていない者が施設内のコンピュータにログインした場合、企業の警備部門は、何が起こったかを判断しなければならない。更に、非常事態、例えば、火事又は爆発の場合には、施設内に残っている者を敏速かつ安全に避難させるために、企業の警備員及び救急隊員は、施設内のどこに誰がいるかを把握する必要がある。物理的セキュリティアクセス制御とネットワークセキュリティアクセス制御が統合されていない場合、物理的保安及び警備員は、ビル内にいる可能性がある人物をより総合的に判断するために、物理的セキュリティログとネットワークアクセスログの両方を調べなければならない。
【００４８】
ネットワーク機密保護違反及び知的財産の盗用の多くは、遠隔地から行われる。ネットワークオペレータは、特定のネットワーク接続からのアクセスを特定のネットワークリソースに制限する資格があるにも拘わらず、所謂コンピュータ「ハッカー」は、ハッカー又はユーザが「許可された」ネットワーク接続に接続されているかのようにネットワークアクセス制御サーバ及びＮＩＤを騙すことができるので、多くのネットワーク機密保護違反が起こる。ネットワークアクセスポリシを物理的アクセス制御サーバ管理ログに結び付けることができれば、認可された施設又は部屋内のユーザの物理的な位置を、最近に提示された有効な物理的アクセス証明書によってクロス確認（cross-validation）される。したがって、盗まれた、すなわち「ハック」されたパスワードだけでは、ネットワークリソースにアクセスできなくなる。
【発明の開示】
【課題を解決するための手段】
【００４９】
本発明は、物理的セキュリティ（アクセス制御）とネットワークアクセスシステムを統合して、新たなセキュリティポリシを容易にし、物理的セキュリティとネットワークセキュリティの両方を向上させることができるアクセス制御システム及びアクセス管理方法を提供する。従来の物理的セキュリティシステム及びネットワークセキュリティシステムの課題を解決するために、本発明は、統合アクセス制御システム及びアクセス制御方法を提供する。本発明の特徴及び効果は、以下の詳細な説明及び添付の図面から明らかとなる。
【発明を実施するための最良の形態】
【００５０】
本明細書では、本発明の実施の形態の理解を容易にするために、例えば、コンポーネント及び／又は処理の具体例として、多数の具体的な詳細事項を開示する。しかしながら、本発明の実施の形態は、上述した具体的な詳細事項の１つ以上を欠いても、他の装置、システム、アセンブリ、処理、コンポーネント、材料、部品等を用いても実現できることは当業者にとって明らかである。更に、本発明の実施の形態の特徴を不明瞭にしないために、よく知られている構造、材料又は動作については、特別に示さず、詳細に説明していない。
【００５１】
図６は、本発明の一実施の形態として、ネットワークアクセス及び物理的施設アクセス用の統合アクセス制御サーバ（以下、単にサーバとも言う。）２００を示している。サーバ２００は、従来の物理的セキュリティシステム２０２と、統合物理的アクセス及び／又はネットワークアクセスを制御するフレーム／パケットベースのネットワーク２０４との両方にインタフェースする。この物理的セキュリティシステム２０２は、情報及びネットワークシステムだけではなく、ビル、家屋、物理的なインフラストラクチャに対するアクセスを監視及び制御するのに適している。サーバ２００は、証明書検証及び関連ポリシと、物理的施設及びネットワーク対応機器用のポリシ実行とを統合する。この統合によって、物理的セキュリティとネットワークセキュリティの両方を強化する新たなセキュリティポリシの実行を容易にする。これらのポリシは、物理的アクセス制御システムとネットワークアクセス制御システムの両方のセキュリティホールをなくし、施設アクセスシステムとネットワークアクセスシステムの両方が十分に監視及び管理されることを保証する。したがって、組織のセキュリティは、不正使用又は不注意に対する脆弱性を最小にすることによって、向上する。
【００５２】
統合アクセス制御サーバ２００は、アクセス制御盤及びネットワークアクセス制御サーバを不要にし、これらの機器によってサポートされていた有効な証明書リスト及びアクセスポリシをテーブル内に維持する。また、サーバ２００は、全てのアクセスポリシを実行する。更に、統合アクセス制御サーバ２００によって、物理的アクセスイベント及びネットワークアクセスイベントを監視し、関連付け、結合して、物理的アクセス制御ポリシとネットワークアクセス制御ポリシの両方を強化することができる。
【００５３】
図７Ａは、本発明の一実施の形態を示している。本発明に基づくアクセス制御システムは、施設及びその物理的リソース及びネットワークリソースを制御及び／又は監視するために使用されている。本発明では、１つ以上のアクセス制御機器（access control device：ＡＣＤ）１１０と、コンピュータ１５１又は他のネットワーク端機器は、それぞれ、施設及びそのネットワークの一部であると仮定する。一般的なアクセス制御機器としては、カードリーダ、バイオメトリックセンサ、カメラ、アラーム、動きセンサ及び電気機械式ドアロックが含まれる。各ＡＣＤ１１０は、ドア制御盤（door control panel：ＤＣＰ）１１９に接続され、次に、ＤＣＰ１１９は、パケット／フレーム対応のアクセス制御ゲートウェイ１２５に接続されている。アクセス制御ゲートウェイ１２５によって、以前に施設の内外に設置された従来のＡＣＤ及びＤＣＰを、物理的アクセス制御システムに更なる変更を加えることなく、本発明で使用することができる。アクセス制御ゲートウェイ１２５は、フレーム又はパケットベースのネットワーク２２８上で、従来のＤＣＰ通信を行うことを単に可能にしている。ＤＣＰアクセス要求メッセージは、統合アクセス制御サーバ２００によって受信され、応答される。
【００５４】
一般的に、統合アクセス制御サーバ２００は、位置、リソースの種類、時刻、期間又は他のイベントに基づいて、証明書を検証して、アクセスポリシを実行し、ネットワーク上及び物理的施設内にある所定のリソースにアクセスする全ての成功した試み及び失敗した試みを記録する。コンピュータ１５１及び／又は他のネットワークインフラストラクチャ機器及び／又はＤＣＰ１１９は、統合アクセス制御サーバ２００が返した命令を実行する役割を果たす（例えば、施設において、警報を鳴らす又はドアを開く）。
【００５５】
また、統合アクセス制御サーバ２００は、アクセス制御監視機能及びアクセス制御イベントをサポートする。警備員は、リアルタイム情報を用いて、物理的リソース及びネットワークリソースに対するアクセスを同時に監視及び管理することができ、施設内で働く人及び情報資産をより統合的に保護することができる。
【００５６】
なお、統合アクセス制御サーバ２００は、また、フレーム／パケットベースのネットワーク２２８、例えばイーサネットネットワーク又はインターネット上で、ネットワークセキュリティサーバ１５９と物理的セキュリティサーバ１２１の両方と通信する。ネットワークセキュリティサーバ１５９は、新たな機器がネットワークに追加されたときに、これらの機器の登録を制御し、新たな及び期限切れのユーザ証明書を管理する。ネットワークアクセスポリシの改訂が行われたとき、改訂ポリシは、ネットワークセキュリティサーバ１５９から、統合アクセス制御サーバ２００と、ミラーサーバがある場合にはミラーサーバとに転送される。同様に、ユーザ証明書が更新されたとき、この情報は、統合アクセス制御サーバ２００に伝達される。物理的セキュリティアクセス制御システムの観点からは、物理的セキュリティサーバ１２１は、新たな及び期限切れのユーザ証明書の管理を続けるだけではなく、新たな物理システムユーザが追加されたときに、新たな物理システムユーザの登録を制御する。物理的アクセス制御ポリシの改訂が行われたとき、改訂ポリシは、物理的セキュリティサーバ１２１から統合アクセス制御サーバ２００に転送される。したがって、統合アクセス制御サーバ２００は、以前はアクセス制御盤によって行っていた物理的アクセス制御証明書の検証、及び有効な関連物理的アクセス制御ポリシの実行だけではなく、以前はネットワークアクセス制御サーバに関連していた全ての機能を有する。
【００５７】
アクセス制御イベントは、ユーザ又はコンピュータによるネットワークアクセス要求であってもよく、ユーザによる施設のドア又は部屋、例えばオフィス、物置又は実験室に対するアクセス要求であってもよい。一例として、統合アクセス制御サーバ２００が、コンピュータ１５１又はアクセス制御ゲートウェイ１２５に接続されたＤＣＰ１１９からアクセス要求メッセージを、フレーム／パケットベースのネットワーク２２８を介して受信したとき、統合アクセス制御サーバ２００は、証明書の有効性、要求機器又は要求者の位置を検証し、供給された情報に基づいて、特定のポリシを実行することによって、アクセス要求メッセージに応答する。このアクセス制御ポリシの実行の結果、対応するアクセス制御応答メッセージが、フレーム／パケットベースのネットワーク２２８を介して、コンピュータ１５１又はアクセス制御ゲートウェイ１２５に接続されたＤＣＰ１１９に返される。
【００５８】
更に、本発明は、物理的アクセスイベントをネットワークアクセスイベントに結び付ける新たなポリシを生成及び実行することができることによって、新たな機能を使用可能にする。例えば、ネットワークログインイベントの前に、所定のユーザがネットワークリソースにアクセスするために、統合アクセス制御サーバは、ユーザがまた過去１時間以内に、特定の部屋又はビル内で適切な物理的アクセス確認を受けていなければならないポリシを実行することができる。更に、従業員がオフィス又は施設を退出するときに、バッジリーダ、又はビデオ監視カメラ及び関連顔認識機能によって生成された物理的施設退出要求イベントに基づいて、ネットワークアクセスを終了させることができる。これにより、許可ユーザが施設から退出した後に、開かれたネットワーク接続を無人のまま放置されないことを保証する。したがって、物理的アクセスイベントとネットワークアクセスイベントを互いに結び付けることによって、ネットワークアクセスセキュリティが強化される。また、このようなポリシによって、無許可の人が、遠隔地又は別の場所からネットワークにアクセスする可能性を低減する。更に、物理的アクセスの処理を可能にし、物理的アクセスの確認を行うネットワークアクセスの必要条件によって、施設に入る「相乗り」をやらせない強い動機を有効な証明書保有者に与える新たなポリシを実現することができる。
【００５９】
物理的アクセスログとネットワークアクセスログの両方に対するアクセスを統合することによって、物理的セキュリティとネットワークセキュリティの両方を強化することができる。例えば、ユーザが所定のビル内で物理的アクセスイベントを生成してから、長い時間が経過している場合、統合アクセス制御サーバのネットワークアクセス／活動ログ部分を調べることによって、ユーザの存在をある程度検証することができる。これは、緊急事態において、所定のユーザの場所を見つける際にも役立つ。補足的な特徴として、本発明により、ネットワークアクセスが確立されたときに、物理的アクセスイベントが以前に登録されていなくても、特定の場所から物理的アクセスログを更新することができる。
【００６０】
統合アクセス制御サーバ（例えば、関連するテーブル又はリストを用いる証明書検証及びポリシ実行エンジン）によって得られる更なる効果及び利点として、施設に入ることは許可されているが、ネットワークにアクセスすることは許可されていない請負業者、パートナー、コンサルタント及び臨時従業員によるネットワークアクセスを拒否することができる。雇い主は、多くの場合、部外者が限定的ではあっても、重要なシステムに対するアクセスを悪用する能力を過小評価する。ポリシ実行エンジン及び関連するテーブル又はリストを有する統合アクセス制御サーバの更なる効果として、現在は組織で働いていない元従業員又は他の実行者が、ネットワークベースの情報リソースに、バックドアを介して直接的に又は元同僚を介して間接的にまだアクセスできるといった問題を解決することができる。これらの実行者は、雇い主との対立又は解雇を予想して、代わりのパスワードを作成することによって、あるいは後で接続して使用するために、ネットワークインフラストラクチャ上の情報を単にため込むことによって、ネットワークに対するバックドアアクセスを準備することがある。統合アクセス制御サーバによって、ネットワークアクセスは、施設内の許可された現実の所在に関連付けることができる。
【００６１】
動作的な観点からは、ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１は、それぞれ、証明書及び全てのアクセス制御要求者の身元に関する情報だけではなく、ネットワーク及び物理的セキュリティ管理者によって定義されたアクセス制御ポリシを維持し続ける。なお、証明書検証及びポリシの実行の観点から、統合アクセス制御サーバ２００では、従来のアクセス制御盤と従来のネットワークアクセス制御サーバを保守する合計の所要時間よりも、保守時間を短くすることができる。統合アクセス制御サーバ２００は、１つの場合、ＡＣＰとネットワークアクセス制御サーバの両方として機能し、両方のシステムの順位を隠して、物理的アクセス制御システム及びネットワークアクセス制御システムを設置し、保守するコストを最小にすることができる。
【００６２】
本発明によって、ユーザ／人員データと、リソースアクセスのより一貫した広範囲に亘る規則のセットと、施設に対する物理的アクセスとネットワークアクセスの両方の強化されたセキュリティとを効率的に保守する。
【００６３】
更に、場合によっては、統合アクセス制御サーバ２００によって、物理的アクセスセキュリティサーバとネットワークアクセスセキュリティサーバとをなくすこともできる。この削除により、統合アクセス制御サーバ２００は、更なるセキュリティサーバ機能を実装する必要があり、結果として、統合アクセス制御サーバ２００に関連する動作上の効率が高められる。図７Ａに示すように、本発明の実施の形態の最小の構成では、物理的セキュリティサーバ１２１及びネットワークセキュリティサーバ１５９のそれぞれ及び統合アクセス制御サーバ２００は、１つのプラットホームに統合してもよく、同時に動作する複数のプラットホームに分散させてもよい。
【００６４】
図７Ｂのブロック図に示す他の実施の形態においては、コンピュータ１５１及び複数のＡＣＤ１１０は、ネットワーク接続ＤＣＰ２２９に接続されている。ネットワーク接続ＤＣＰ２２９は、ＡＣＤ１１０からのデータを収集し、データをパケット化して、パケットを、フレーム／パケットベースのネットワーク２８上で統合アクセス制御サーバ２００に転送する。統合アクセス制御サーバ２００は、関連するアクセス制御ポリシによって指示されるように、制御情報を返す。図７Ａに関連して上で説明した具体例と同様に、本発明は、統合アクセス制御サーバ２００に関連する上述した更なる効果及び利点を奏するだけではなく、物理的アクセス制御盤とネットワークアクセス制御サーバの両方を置換することによって、図７Ｂの実施の形態における同様の機能をサポートする。
【００６５】
図７Ｃは、本発明の更に他の実施の形態を示している。この場合、各ＡＣＤ２３１は、ネットワークに接続され、フレーム又はパケットベースのネットワーク２２８からなるインフラストラクチャネットワーク上で統合アクセス制御サーバ２００と通信する。図７Ａに関連して説明した具体例と同様に、本発明は、統合アクセス制御サーバ２００に関連する上述した更なる効果及び利点を奏するだけではなく、図７Ｃの実施の形態に関して同じ機能をサポートすることができる。なお、ＡＣＤ１１０、ＤＣＰ１１９、アクセス制御ゲートウェイ１２５、ネットワーク接続ＤＣＰ２２９及びネットワーク接続ＡＣＤ２３１の様々な組合せを１つの統合システム内に共存させることができる。更に、統合システムは、１つのビル内に設置してもよく、複数の施設に亘って設置してもよく、この場合、施設のそれぞれは、ネットワーク接続ＡＣＤと、従来の機器とを備え、あるいはネットワーク接続ＡＣＤと従来の機器の組合せを備えていてもよい。
【００６６】
図７Ａ〜図７Ｃに示す実施の形態では、コンピュータ機器、例えばコンピュータ１５１は、また、フレーム又はパケットベースのネットワーク２２８からなるインフラストラクチャネットワークに接続されている。代表的な用途では、数百個又は何千個ものコンピュータ機器、例えばパーソナルコンピュータ、ＩＰ対応電話機又は他のネットワークコンピュータは、フレーム又はパケットベースのネットワーク２２８からなるインフラストラクチャネットワークに接続されており、１つの施設内又は世界中の複数の施設内に配置されていてもよい。統合アクセス制御サーバ２００は、施設に入ることと、ネットワーク接続機器を使用することの両方を許可されたユーザによるネットワークリソースに対するアクセスを制御するように、機能する。統合アクセス制御サーバ２００は、ネットワークリソースと物理的リソースの両方の統合されたアクセスポリシを実行する。
【００６７】
統合アクセス制御サーバ２００にネットワーク機器を登録する処理は、従来のネットワークアクセス制御サーバがサポートする処理の方法とは、僅かに異なる。ネットワーク接続物理的アクセス制御ゲートウェイ又はネットワーク接続ＤＣＰ又はＡＣＤは、統合アクセス制御サーバ２００と共に使用されることが必要条件であり、これらのゲートウェイ、ＤＣＰ及びＡＣＤは、周知の何らかの方法によって、統合アクセス制御サーバ２００に登録される。統合アクセス制御サーバ２００は、ゲートウェイ、ＤＣＰ及び関連するＡＣＤが導入され、周知のネットワークプロトコル、例えばＡＲＰ要求等によってネットワークに接続されるときに、これらの機器のＩＰ及び／又はＭＡＣアドレスを登録する。ネットワーク接続ＡＣＤ、ＤＣＰ及びゲートウェイは、ネットワーク接続ＡＣＰ／物理的セキュリティサーバと通信するときと同じ方法で、統合アクセス制御サーバ２００のアドレスによって手動又は自動で設定され、あるいはデフォルトネットワークアドレスゲートウェイ（例えばＤＮＳサーバ）を用いる。
【００６８】
更に、統合アクセス制御サーバ２００は、個別の物理的アクセス制御システム及びネットワークアクセス制御システム内に配置することができる。統合アクセス制御サーバ２００は、単に、従来のアクセス制御盤の機能又は従来のネットワークアクセス制御サーバの機能をそれぞれサポートしてもよい。統合アクセス制御サーバ２００を従来の物理的アクセス制御システム内に設置する場合、統合アクセス制御サーバ２００が様々な物理的アクセス制御機器と通信するために、図７Ａ〜図７Ｃに示すようなネットワーク接続物理的アクセス制御コンポーネントが必要になる。
【００６９】
他の実施の形態では、一般的なフレーム／パケットベースのネットワークインフラストラクチャを使用する施設内に存在する他のポリシベースのビル管理機器は、従業員が施設内のどこにいるかの情報を利用して、施設内の領域又は部署における環境調節（例えば冷暖房ポリシ、照明ポリシ等）を起動させる。同様に、従業員が領域を出たとき、環境調節を停止させることができる。また、これらの機器は、更なるセキュリティ機器及び安全装置、一例として、施設の各所に配置されている、例えば火災及び煙センサ又はアラームと、専用の安心電話機（dedicated security phones）又は非常ボタンとが含まれる。統合アクセス制御サーバ２００は、適切なポリシを検証及び実行することができ、これらの他のビル管理機器に応答する。
【００７０】
コンピュータネットワークに対するユーザのアクセス権を維持する統合アクセス制御サーバ（証明書検証及びポリシ実行エンジン、及び関連するテーブル又はリスト）２００は、施設及び他の施設機能（例えば、ＨＶＡＣ及び照明）に対するアクセス権を判定するのに用いられるテーブルと同じテーブルを用いることができる。この統合アクセス制御サーバ２００は、多くの効果の１つとして、保守の必要性及び運用上の諸経費を最小にすることができる。統合アクセス制御サーバ２００は、物理的領域内のイベントをネットワークリソースのイベント又はアクセスに結び付け、及びこの逆を行うポリシサーバとして機能する。ポリシベースの機器の統合によって、物理的セキュリティの他の側面も統合される。
【００７１】
統合アクセス制御サーバ２００は、図７Ａ〜７Ｃでは、単一の機器として示しているが、１つ以上のサーバが同時に動作する分散型又はミラー型のサーバによって実現することができる。統合アクセス制御サーバの機能及び関連するテーブル及び／又はリストは、信頼性、存続性又は応答時間を向上させるために、様々なサイトにミラー化してもよい。更に、テーブル及び／又はリストは、アクセス制御情報を従来の機器に保存するのと同様の方法で、各施設において、フラッシュメモリ又は他の更新可能な不揮発性メモリに保存することができる。幾つかの実施の形態では、ミラー化されたテーブルは、プライバシ及び他のセキュリティの重要性に対応するために、マスタテーブルに保存されている情報の一部としてもよい。
【００７２】
また、統合アクセス制御サーバ２００は、１つの統合アクセス制御サーバが複数のネットワークアクセス制御サーバ又は物理的セキュリティアクセス制御盤のように動作できる「仮想化」機能を有することができる。この仮想化機能は、住宅及び企業のセキュリティ監視サービスでは一般的であるが、外注の物理的及びネットワークセキュリティ監視及び管理業者にとっても有用である。物理的セキュリティバッジは、ユーザにバッジを発行したエンティティ、すなわちユーザ及びバッジに関連した組織に関する付加情報を含むことが一般的である。したがって、仮想化統合アクセス制御サーバは、この付加情報を用いて、アクセス制御中の特定の組織及びリソースに関連するアクセス制御テーブル及びポリシの一部を直ちに分離することができ、例えば、実際には、関連するリスト及びポリシは、多くの異なる組織のエントリを含む完全な統合アクセス制御サーバのテーブルの一部であるが、テーブル及びサーバは、１つの組織に対して「仮想的に」専用である。
【００７３】
統合アクセス制御サーバ２００は、複数の施設に対するユーザアクセスを規制するアクセスポリシを実行する。一旦、ユーザが所定の施設内に入ることを許可した場合、また、統合アクセス制御サーバ２００は、施設のネットワークリソースに対するアクセスを規制する。換言すれば、統合アクセス制御サーバ２００は、複数の施設において、共通のアクセスポリシを実行することができ、あるいは各施設において、異なるアクセスポリシを実行することもできる。
【００７４】
統合アクセス制御サーバ２００に関連するテーブルは、物理的セキュリティアクセス制御システムとネットワークアクセス制御システムの両方をサポートするための情報を含んでいる。このテーブルは、これらに限定されるものではないが、所定の施設又はリソースに対する物理的アクセス及び／又はネットワークリソースアクセスが許可されたユーザの完全な又は部分的なリストと、ユーザ識別番号と、時刻と、曜日と、ネットワークアドレスと、生体認証情報と、物理的アクセス制御ポリシ情報だけではなく認証コード及び同様の情報と、ネットワークアクセス制御ポリシとを含む。更に、テーブルは、物理的アクセスイベントとネットワークアクセスイベントの両方が連帯して監視／統合されるときにだけ、実行することができる新たなポリシを含むことができる。
【００７５】
図８に示す他の実施の形態においては、統合アクセス制御サーバの機能は、ブロック３００によって示すように、１又は複数のネットワークインフラストラクチャ機器（すなわち、ルータ、スイッチ、無線アクセスポイント）に組み込まれ、統合されている。具体的には、物理的アクセス及びネットワークアクセス制御用の統合アクセス制御ポリシ及び関連するテーブル／リストは、１つ以上の様々なネットワークインフラストラクチャ機器によって統合及びサポートされる。アクセス制御テーブル／リストと、証明書検証及びポリシ実行エンジンを、ネットワークによって分散されているこれらの機器に組み込むことによって、更なるアクセス制御サーバを追加することなく、アクセス制御システムに更なるレベルの冗長性を追加することができる。この組込によって、更に、ネットワークアクセス制御及び物理的アクセス制御システムに必要とされる機器の数を少なくすることができる。また、これは、更に、設置及び継続的な保守を含む運用面でも有効である。
【００７６】
統合アクセス制御サーバのテーブルと、証明書検証及びポリシ実行エンジンは、幾つかの方法によって機能的に実行することができる。一実施の形態においては、物理的アクセス制御テーブルとネットワークアクセス制御テーブルとは、証明書検証及びポリシ実行エンジンがアクセスする１つのテーブルに統合される。統合アクセス制御サーバの他の実施の形態では、物理的アクセス制御テーブルと、ネットワークアクセス制御テーブルとを別々にしておき、２つ以上のアクセス制御証明書及びポリシテーブルの並列検索又は逐次検索を実行するために、証明書検証エンジンとポリシ実行エンジンとを必要とする。両方又は全てのテーブルの検索結果によって、これらのエンジンは、調停ロジックを用いて、適切な物理的又はネットワークアクセス応答を検証し、決定することができる。
【００７７】
また、この調停ロジックを用いて、「グローバル」アクセス制御ポリシと「ローカル」アクセス制御ポリシ間の競合を解決することもできる。例えば、グローバルポリシは、政府の指示に従って確立することができ、例えば、政府の秘密取扱許可（security clearance）を有する許可ユーザのみがあるネットワークリソースにアクセスすることができる。一方、「ローカル」ポリシは、ある施設内に物理的にいる全てのユーザが、ユーザに拘わらず、これらの同じネットワークリソースにアクセスすることができるように、確立されている。このローカルポリシは、例えば、施設内にいる全てのユーザは、適切な秘密取扱許可を有するという前提に基づいている。したがって、適切な政府の秘密取扱許可を有しないユーザが、他の場所からの、「ローカル」アクセスポリシが有効なローカル施設を訪れて、このユーザが制限されたリソースにアクセスすることを試みた場合に、グローバルアクセスポリシとローカルアクセスポリシとの間に矛盾が生じる。このような場合、統合アクセス制御サーバの調停ロジックは、グローバルポリシを優先させて、アクセス要求を適切に拒否する。
【００７８】
統合アクセス制御サーバ又はエンジンは、ある規格、例えばライトウェイトディレクトリアクセスプロトコル（Lightweight Directory Access Protocol：ＬＤＣＰ）及び開放型データベース接続機能（Open Database Connectivity：ＯＤＢＣ）と、ユーザ認証サポートと、拡張認証プロトコルトランスポートレイヤセキュリティ（Extensible Authentication Protocol Transport Layer Security：ＥＡＰ−ＴＬＳ）、保護されたＥＡＰ（Protected EAP：ＰＥＡＰ）、シスコシステムズ社のＬＥＡＰ、安全なトンネル経由のＥＡＰ−柔軟な認証（EAP-Flexible Authentication via Secure Tunneling：ＥＡＰ−ＦＡＳＴ）及びＥＡＰ−メッセージダイジェストアルゴリズム５（EAP-Message Digest Algorithm 5：ＥＡＰ−ＭＤ５）を含む８０２．１Ｘ認証とを実行することができ、あるいはこれらの規格に互換性を有する。また、統合アクセス制御サーバ又はエンジンは、あらゆるネットワークアクセス機器用のアクセス制御リストをダウンロードする役割を果たす。
【００７９】
図９は、図６に示す例示的な構成要素を用いて、組織の全体的な物理的及びネットワークのセキュリティ体制を強化するために、統合物理的アクセス及びネットワークアクセス制御システムが行う一連のイベント及び動作を示している。以下の例示的なポリシでは、物理的アクセス制御イベントがネットワークアクセスイベントよりも優先することを前提としている（すなわち、ユーザは、所定の施設又は場所に社員証により入り、そして、作業場に進み、企業のネットワークにログインする）。
【００８０】
ユーザは、証明書をリーダ又は他のＡＣＤに提示する。検出された要求及び関連する証明書情報は、１つ以上のパケットによって、アクセス要求メッセージとして統合アクセス制御サーバ２００に伝送される。ステップ３８１において、統合アクセス制御サーバ２００は、例示的なテーブル内で証明書の電子バージョンを検索し、認証する（証明書が有効であるかを判定する）。ステップ３８２において、統合アクセス制御サーバ２００は、アクセス制御機器のネットワークアドレスを読み出して、記録し、進行中の物理的アクセス要求イベントだけではなく、将来のネットワークアクセス要求イベントにおいて、この情報を使用できるようにする。ステップ３８３において、統合アクセス制御サーバ２００は、証明書と、ステップ３８２において記録されたＡＣＤのネットワークアドレスによって識別される物理的な位置との特定の組合せに対して、アクセスポリシを判定する。そして、判定の結果として生じる許可応答又は拒否応答がネットワークアクセス制御機器に伝送され、証明書が有効であり、ポリシが、対応するリソースＡＣＤ機器を介するアクセスを承認する場合、ユーザは、施設に入り又はアクセスすることができる。
【００８１】
そして、ユーザは、コンピュータ１５１、又は他のネットワーク接続通信、又はコンピュータに着く。この具体例では、コンピュータ１５１は、ステップ３８１〜ステップ３８３において使用されたＡＣＤの近くにあり、又はＡＣＤの物理的アクセス制御下にある。そして、ユーザは、ネットワークにログオンすることを望む。このログオン要求は、ネットワークインフラストラクチャ機器１５５及び統合アクセス制御サーバ２００によって受信される（ステップ３８４）。
【００８２】
ユーザが、ネットワークに対するアクセスを、所定のネットワークポート（特定のネットワークインフラストラクチャ機器、例えば、ステップ３８１〜３８４において使用された物理的なＡＣＤと同じ一般的な物理領域に配置されたスイッチ上の特定のポート接続）で要求したときに、ステップ３８５が実行される。この最初のログイン要求は、統合アクセス制御サーバ２００に送信される。統合アクセス制御サーバ２００は、証明書検証に基づき、コンピュータ１５１の関連するアクセス制御ポリシを実行する。詳しくは、統合アクセス制御サーバ２００は、ユーザが、現在の位置からネットワークにアクセスすることを許可されていることを検証する。ユーザが施設に入ることを許可されていない、又は特定の施設内のあるコンピュータリソースにアクセスすることを許可されていない場合、アクセスを拒否でき、アラーム又は警報を警備員に対して発することができる。ポリシがアクセスを許可する場合、ユーザは、ネットワークコンピュータリソースに対するアクセスを許可される。そして、ステップ３８６において、統合アクセス制御サーバ２００は、ネットワークインフラストラクチャ機器（スイッチ等）に、このコンピュータのネットワークポリシをダウンロードすることを要求することできる。したがって、本発明は、物理的領域におけるイベントを、企業のネットワークリソース上で起こるイベントに、及びその逆に相関させることができる。
【００８３】
場合によっては、ユーザプロファイルを、他の施設のネットワークアクセス及び物理的アクセスをサポート及び制御する異なる統合アクセス制御サーバに転送することが必要である。例えば、ユーザが異なる施設を訪問した場合、ユーザプロファイルは転送される可能性がある。本発明は、ユーザ／人員属性の共通データベースを動作させる統合ポリシベースのネットワーク及び物理的施設アクセス制御サーバを実現する。ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１は、ユーザの個人的な好みが、施設内の場所毎のユーザに追従するように、単に、ユーザのプロファイルを更新する。この特徴によって、例えば、ユーザの位置及びその位置でユーザが使用する電話内線番号に基づいて、ＶｏＩＰ通信システムのデータベースの構成を更新する。
【００８４】
図１０は、様々な個々の、物理的施設アクセスポリシ４０２と、ネットワークリソースアクセスポリシ４０６と、物理的施設アクセスリスト４０４と、ネットワークリソースアクセスリスト４０８とを制御する統合アクセス制御サーバ４００の使用例を示している。統合アクセス制御サーバ４００の一部である統合ポリシエンジン４１０は、物理的アクセスポリシ及びイベントと、ネットワークポリシ及びイベントとを結び付けるリスト及びポリシの統合点として機能する。また、統合ポリシエンジン４１０及び統合アクセス制御サーバ４００は、物理的アクセスリスト又はポリシがネットワークアクセス制御リスト及びポリシに論理的に一致しないとき、所定のデフォルトポリシを供給することができる。統合ポリシエンジン４１０は、施設アクセス又はネットワーク接続機器に対するイベント又はイベントの組合せに応じて、アクセス制御及びネットワーク接続機器に特定の動作を実行させるポリシベースの命令を生成して、フレーム／パケットベースのネットワーク２０４だけではなく、物理的セキュリティシステム２０２に伝送する。統合ポリシエンジン４１０は、物理的施設又はネットワークリソースにアクセスしようとする全ての試みを記録し、それぞれ又は任意のアクセスの試みに応じて、ポリシベースの命令を実行する。システムが複数の施設及び複数のネットワークにまたがっている場合であっても、統合ポリシエンジン４１０は、システム全体に亘るネットワークリソース及びアクセス制御イベントを監視する別々の管理ステーションと通信することができる。
【００８５】
なお、幾つかの実施の形態では、証明書及びポリシのリストは、厳密には限定されないが、多目的のサーバだけではなく、ネットワークインフラストラクチャ機器、例えばルータ、スイッチ、アクセスポイントに存在し、又は組み込むことができる。
【００８６】
統合ポリシエンジン４１０は、物理的リソースアクセス要求又はイベントを、所定のエンティティ、又は実行され、調停されるエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントと結び付けるポリシを、統合物理的アクセス及びネットワークアクセス制御サーバ又は同様のプラットホーム上で実行することができ、応答命令を生成することができる。これらのポリシは、ネットワークリソースのイベント又はアクセスに結び付けることができる物理的領域のイベントを互いに関係させ、指定する。物理的リソースアクセス要求又はイベントを所定のエンティティ又はエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントと結び付けるポリシは、統合物理的アクセス及びネットワークアクセス制御サーバ又は同様のプラットホーム上で実行され、調停されることができ、応答命令が生成されることができる。
【００８７】
なお、本発明によって、共通のリスト及び／又はテーブル、あるいは許可エンティティを含み、証明書によって規定され（パスワード、指紋、バッジ等による身元の確立）、特定の条件（ポリシ）のセットに基づいて物理的又はネットワーク施設／リソースにアクセスすることが許可されたリスト／テーブルの同期されたセットを可能にする。許可エンティティを含み、証明書によって規定され（パスワード、指紋、バッジ等による身元の確立）、特定の条件（ポリシ）のセットに基づいて物理的又はネットワーク施設／リソースにアクセスすることが許可されたリスト及び／又はテーブルの同期されたセットは、許可の命令と同様に、他の特定の物理的リソースパラメータ、例えば照明、暖房及び冷房等を変更する。あるいは、許可エンティティを含み、証明書によって規定され（パスワード、指紋、バッジ等による身元の確立）、特定の条件（ポリシ）のセットに基づいて物理的又はネットワーク施設／リソースにアクセスすることが許可されたリスト及び／又はテーブルの配信された共通セットは、許可の命令と同様に、他の特定の物理的リソースパラメータ、例えば照明、暖房、冷房等を変更する。
【００８８】
統合ポリシエンジン４１０を備える統合アクセス制御サーバ４００は、更に、物理的アクセス及び／又はネットワーク施設／リソースに、フレーム及び／又はパケットベースのネットワーク上の接続及び通信によってアクセスするアクセス制御ポリシ（例えばリスト）を、取り込み、維持し、配信する機能を有する。また、統合アクセス制御サーバ４００は、物理的及びネットワークベースのリソースの一方又は両方からの証明書検証及びポリシ決定を要求するアクセス要求又はイベント要求を受信及び／又は検出する機能を有する。更に、統合ポリシエンジン４１０を備える統合アクセス制御サーバ４００は、物理的及び／又はネットワークアクセス制御ポリシを実装し、強制し及び実行する機能（ポリシエンフォーサ）を有し、所定のイベントに基づくポリシベースの応答を生成して、対応する所定の動作の他の機器に伝送する。関係者は、証明書及びポリシを生成し、安全管理ステーションにおいてアクセス制御システムの機器を設定して、これらの機器の機能は、適切なコンピュータソフトウェアコード、テーブル及びリストでプログラミングし、統合アクセス制御サーバ４００で実行することができる。
【００８９】
特定の実施の形態を用いて本発明を説明したが、これらの実施の形態は、単に例示的なものであり、本発明を限定するものではない。本明細書では、本発明の実施の形態の理解を容易にするために、例えば、コンポーネント及び／又は処理の具体例として、多数の具体的な詳細事項を開示している。しかしながら、本発明の実施の形態は、上述した具体的な詳細事項の１つ以上を欠いても、他の装置、システム、アセンブリ、処理、コンポーネント、材料、部品等を用いても実現できることは当業者にとって明らかである。更に、本発明の実施の形態の特徴を不明瞭にしないために、よく知られている構造、材料又は動作については、特別に示さず、詳細に説明していない。
【００９０】
また、本明細書における「一実施の形態」、「実施の形態」又は「特定の実施の形態」は、実施の形態に関連して開示した特定の機能、構造又は特徴が本発明の少なくとも１つの実施の形態に含まれ、必ず全ての実施の形態に含まれるわけではないことを意味する。また、本明細書内の「一実施の形態では」、「ある実施の形態では」又は「特定の実施の形態では」といった各語句は、必ずしも同じ実施の形態について言及しているわけではない。更に、本発明の如何なる特定の実施の形態の特定の機能、構造又は特徴も適切な任意の手法で、１つ以上の他の実施の形態に組み合わせることができる。なお、本明細書の開示に基づき、本明細書に記載し、説明した本発明の実施の形態のこの他の変形及び変更は明らかであり、これらは本発明の精神及び範囲に包含される。
【００９１】
一般的に言えば、本発明の機能は、周知の如何なる技術を用いて実現してもよい。統合アクセス制御サーバは、スタンドアロンのサーバであってもよく、他のコンピュータであってもよく、共有プラットホーム、例えばサーバ又はネットワークインフラストラクチャ機器に常駐するエンジンであってもよい。また、図面／図に示している１つ以上の要素は、特定の実施の形態において有効であれば、更に細かく区切ってもよく、統合してもよく、省略してもよく、幾つかの状況で動作しないようにしてもよい。
【００９２】
更に、図面／図に示す信号線は、例示的なものであり、特別に言及していない限り、限定的には解釈されない。更に、本明細書に用いられる「又は」という用語は、特別な指摘がない限り「及び／又は」を意味する。また、要素又はステップを分離するか結合するかを明確に表現していない場合、要素又はステップを組み合わせてもよい。
【００９３】
本明細書及び添付の特許請求の範囲において、不定冠詞「a、an」及び定冠詞「the」が付された単数形の名詞は、文脈に矛盾しない限り、複数も含意する。また、本明細書及び添付の特許請求の範囲において、「〜内に（in）」という表現は、文脈に矛盾しない限り、「〜内に（in）」及び「〜上に（オン）」の両方の意味を含むものとする。
【００９４】
要約書に開示されている内容を含む本発明の例示的な実施の形態の説明は、本発明をここに開示した形式に限定又は制約するものではない。本発明の特定の実施の形態及び具体例を例示的に説明したが、本発明の精神及び範囲から逸脱することなく、等価の様々な変更が可能であることは、当業者にとって明らかである。上述のように、上述の説明に基づいて、本発明について例示した実施の形態の変形例を想到することができ、これらは、本発明の精神及び範囲に包含される。
【００９５】
以上、特定の実施の形態に基づいて本発明を説明したが、以上の開示に関するある範囲の変更、様々な変形及び置換は明らかであり、本発明の実施の形態の幾つかの特徴は、詳細に説明した本発明の範囲及び精神から逸脱することなく、他の対応する特徴を用いることなく使用することもできる。したがって、特定の状況又は材料を本発明の本質的な範囲及び精神に適応化するために、様々な変形例を想到できる。また、本発明は、特許請求の範囲及び／又は本発明を実施するために想定される最良の形態として開示した特定の実施の形態において用いた特定の用語に限定されず、本発明は、添付の特許請求の範囲に包含されるあらゆる実施の形態及び等価物を含む。
【図面の簡単な説明】
【００９６】
【図１】典型的な従来の施設アクセス制御システムを示す図である。
【図２】フレーム／パケットベースのネットワークのための典型的な従来のネットワークアクセス制御システムを示す図である。
【図３】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティアクセス制御ゲートウェイの使用例を示す図である。
【図４】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティドア制御盤の使用例を示す図である。
【図５】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティアクセス制御装置の使用例を示す。
【図６】本発明の一実施の形態に基づく統合された施設アクセス制御及びネットワークアクセス制御システムを示す図である。
【図７】図７Ａ〜Ｃは、本発明の様々な実施の形態を示すブロック図である。
【図８】本発明の実施の形態に基づくネットワークインフラストラクチャ機器の統合された部分としての統合されたアクセス制御機能のアプリケーションを示す図である。
【図９】本発明に基づく統合されたネットワーク及び物理的施設アクセス制御サーバの動作の実施の形態を示す図である。
【図１０】本発明に基づく統合アクセス制御システムの他の実施の形態を示す図である。
【図１】
0005129148.tif 000002
【図２】
0005129148.tif 000003
【図３】
0005129148.tif 000004
【図４】
0005129148.tif 000005
【図５】
0005129148.tif 000006
【図６】
0005129148.tif 000007
【図７】
0005129148.tif 000008
【図８】
0005129148.tif 000009
【図９】
0005129148.tif 000010
【図１０】
0005129148.tif 000011