(57)【特許請求の範囲】
【請求項１】
作業者端末と通信可能な所定サーバと、前記作業者端末および前記所定サーバと通信可能な管理サーバと、を含む特権管理システムであって、
前記管理サーバは、前記作業者端末から、特権を必要とする所定作業を前記所定サーバに対して行うための申請を受信した場合に、前記申請に応じた識別情報を前記作業者端末宛に送信し、かつ、前記識別情報を前記所定サーバ宛に送信する発行手段を含み、
前記所定サーバは、
第１記憶手段と、
第２記憶手段と、
前記管理サーバおよび前記作業者端末と通信する通信手段と、
前記通信手段が前記管理サーバから前記識別情報を受信すると、当該識別情報を前記第１記憶手段に記憶する処理手段と、
前記通信手段が前記作業者端末から、作業用情報を含む、前記特権を獲得する旨の要求を受信すると、前記作業者端末に前記特権を付与する付与手段と、
前記作業用情報が前記第１記憶手段内の識別情報と合致する場合には、当該作業用情報を監査識別用の第１情報に関連づけて前記第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記識別情報とは異なる所定情報と合致する場合には、当該作業用情報を前記第１情報とは異なる監査識別用の第２情報に関連づけて前記第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記所定情報とは異なる場合には、当該作業用情報を前記第１情報とも前記第２情報とも異なる監査識別用の第３情報に関連づけて前記第２記憶手段に記憶する制御手段と、を含む、特権管理システム。
【請求項２】
請求項１に記載の特権管理システムにおいて、
前記第２記憶手段内の作業用情報に関連づけられた情報が、前記第１情報か前記第２情報か前記第３情報かを確認し、当該確認の結果に応じた監査情報を出力する監査手段を含む監査端末をさらに含む、特権管理システム。
【請求項３】
請求項２に記載の特権管理システムにおいて、
前記管理サーバは、第３記憶手段を含み、
前記発行手段は、前記申請を受信した時点から前記識別情報を前記作業者端末宛に送信した時点までの期間に含まれる第１タイミングを前記第３記憶手段に記憶し、
前記制御手段は、前記付与手段が前記特権を付与した時点である第２タイミングを前記第２記憶手段に記憶し、
前記監査手段は、
前記第２記憶手段内の作業用情報が前記第１情報に関連づけられている場合には、前記監査情報として、監査済みを表す監査済み情報を出力し、
前記第２記憶手段内の作業用情報が前記第２情報に関連づけられている場合には、前記監査情報として、作業内容の確認を要する旨の確認必要情報を出力し、
前記第２記憶手段内の作業用情報が前記第３情報に関連づけられている場合には、前記第１タイミングが前記第２タイミングよりも前であるときは、前記監査情報として前記監査済み情報を出力し、前記第１タイミングが前記第２タイミングよりも前でないときは、前記監査情報として前記確認必要情報を出力する、特権管理システム。
【請求項４】
作業者端末と通信可能な所定サーバと、前記作業者端末および前記所定サーバと通信可能な管理サーバと、を含む特権管理システムでの特権管理方法であって、
前記管理サーバが、前記作業者端末から、特権を必要とする所定作業を前記所定サーバに対して行うための申請を受信した場合に、前記申請に応じた識別情報を前記作業者端末宛に送信し、かつ、前記識別情報を前記所定サーバ宛に送信する発行ステップと、
前記所定サーバが、前記管理サーバから前記識別情報を受信すると、当該識別情報を第１記憶手段に記憶する処理ステップと、
前記所定サーバが、前記作業者端末から、作業用情報を含む、前記特権を獲得する旨の要求を受信すると、前記作業者端末に前記特権を付与する付与ステップと、
前記所定サーバが、前記作業用情報が前記第１記憶手段内の識別情報と合致する場合には、当該作業用情報を監査識別用の第１情報に関連づけて第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記識別情報とは異なる所定情報と合致する場合には、当該作業用情報を前記第１情報とは異なる監査識別用の第２情報に関連づけて前記第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記所定情報とは異なる場合には、当該作業用情報を前記第１情報とも前記第２情報とも異なる監査識別用の第３情報に関連づけて前記第２記憶手段に記憶する制御ステップと、を含む、特権管理方法。
【請求項５】
請求項４に記載の特権管理方法において、
前記特権管理システムは、監査端末をさらに含むものであり、
前記監査端末が、前記第２記憶手段内の作業用情報に関連づけられた情報が、前記第１情報か前記第２情報か前記第３情報かを確認し、当該確認の結果に応じた監査情報を出力する監査ステップをさらに含む、特権管理方法。
【請求項６】
請求項５に記載の特権管理方法において、
前記発行ステップでは、前記申請を受信した時点から前記識別情報を前記作業者端末宛に送信した時点までの期間に含まれる第１タイミングを第３記憶手段に記憶し、
前記制御ステップでは、前記特権を付与した時点である第２タイミングを前記第２記憶手段に記憶し、
前記監査ステップでは、
前記第２記憶手段内の作業用情報が前記第１情報に関連づけられている場合には、前記監査情報として、監査済みを表す監査済み情報を出力し、
前記第２記憶手段内の作業用情報が前記第２情報に関連づけられている場合には、前記監査情報として、作業内容の確認を要する旨の確認必要情報を出力し、
前記第２記憶手段内の作業用情報が前記第３情報に関連づけられている場合には、前記第１タイミングが前記第２タイミングよりも前であるときは、前記監査情報として前記監査済み情報を出力し、前記第１タイミングが前記第２タイミングよりも前でないときは、前記監査情報として前記確認必要情報を出力する、特権管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、特権管理システムおよび特権管理方法に関する。
【背景技術】
【０００２】
特許文献１には、一般ユーザに対して特権を付与可能なコンピュータシステムが記載されている。特許文献１に記載のコンピュータシステムにて特権が付与されたユーザは、ユーザ端末を用いてサーバにログインして特定の作業を行うことができる。
【０００３】
ユーザがユーザ端末を用いてサーバにログインして作業を行う環境では、サーバに対して不正な操作が行われていないかを追跡監査することがある。
【０００４】
また、アカウントごとの権限付与が厳密に管理されている状況でも、特許文献１に記載のコンピュータシステムから特権を付与されたユーザが、サーバに対して作業を行う場合は、特権を用いて行われた作業について、後日、監査が必要になる場合が多い。
【０００５】
特権が取得されるタイミングで、その特権の取得目的の確認および特権付与の承認を行うための効率的な仕組みとして、LDAP（Lightweight Directory Access Protocol）などのディレクトリサービスによる集中管理方式が知られている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００６−２７７８６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、ユーザが特権を取得する際に、特許文献１に記載のコンピュータシステムの障害、ネットワークの障害、または、LDAP管理サーバの障害などが起こると、特権の取得ができなくなる可能性が生じる。よって、緊急に特権が必要な場合に、特権を取得できないという不具合が生じる可能性があるという問題があった。
【０００８】
本発明の目的は、特権を取得できないという問題を解消しつつ、監査を容易にすることが可能な特権管理システムおよび特権管理方法を提供することである。
【課題を解決するための手段】
【０００９】
本発明の特権管理システムは、作業者端末と通信可能な所定サーバと、前記作業者端末および前記所定サーバと通信可能な管理サーバと、を含む特権管理システムであって、前記管理サーバは、前記作業者端末から、特権を必要とする所定作業を前記所定サーバに対して行うための申請を受信した場合に、前記申請に応じた識別情報を前記作業者端末宛に送信し、かつ、前記識別情報を前記所定サーバ宛に送信する発行手段を含み、前記所定サーバは、第１記憶手段と、第２記憶手段と、前記管理サーバおよび前記作業者端末と通信する通信手段と、前記通信手段が前記管理サーバから前記識別情報を受信すると、当該識別情報を前記第１記憶手段に記憶する処理手段と、前記通信手段が前記作業者端末から、作業用情報を含む、前記特権を獲得する旨の要求を受信すると、前記作業者端末に前記特権を付与する付与手段と、前記作業用情報が前記第１記憶手段内の識別情報と合致する場合には、当該作業用情報を監査識別用の第１情報に関連づけて前記第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記識別情報とは異なる所定情報と合致する場合には、当該作業用情報を前記第１情報とは異なる監査識別用の第２情報に関連づけて前記第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記所定情報とは異なる場合には、当該作業用情報を前記第１情報とも前記第２情報とも異なる監査識別用の第３情報に関連づけて前記第２記憶手段に記憶する制御手段と、を含む。
【００１０】
本発明の特権管理方法は、作業者端末と通信可能な所定サーバと、前記作業者端末および前記所定サーバと通信可能な管理サーバと、を含む特権管理システムでの特権管理方法であって、前記管理サーバが、前記作業者端末から、特権を必要とする所定作業を前記所定サーバに対して行うための申請を受信した場合に、前記申請に応じた識別情報を前記作業者端末宛に送信し、かつ、前記識別情報を前記所定サーバ宛に送信する発行ステップと、前記所定サーバが、前記管理サーバから前記識別情報を受信すると、当該識別情報を第１記憶手段に記憶する処理ステップと、前記所定サーバが、前記作業者端末から、作業用情報を含む、前記特権を獲得する旨の要求を受信すると、前記作業者端末に前記特権を付与する付与ステップと、前記所定サーバが、前記作業用情報が前記第１記憶手段内の識別情報と合致する場合には、当該作業用情報を監査識別用の第１情報に関連づけて第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記識別情報とは異なる所定情報と合致する場合には、当該作業用情報を前記第１情報とは異なる監査識別用の第２情報に関連づけて前記第２記憶手段に記憶し、前記作業用情報と同一の情報が前記第１記憶手段内に存在せずかつ当該作業用情報が前記所定情報とは異なる場合には、当該作業用情報を前記第１情報とも前記第２情報とも異なる監査識別用の第３情報に関連づけて前記第２記憶手段に記憶する制御ステップと、を含む。
【発明の効果】
【００１１】
本発明によれば、特権を取得できないという問題を解消しつつ、監査を容易にすることが可能になる。
【図面の簡単な説明】
【００１２】
【図１】本発明の一実施形態の特権管理システム１を示したブロック図である。
【図２】作業ＩＤ登録情報を示した図である。
【図３】作業ＩＤ登録確認情報を示した図である。
【図４】作業ＩＤ情報を示した図である。
【図５】特権付与情報を示した図である。
【図６】特権管理システム１の動作を説明するためのシーケンス図である。
【図７】作業ＩＤ登録画面の一例を示した図である。
【図８】承認画面の一例を示した図である。
【図９】特権取得画面の一例を示した図である。
【発明を実施するための形態】
【００１３】
以下、本発明の一実施形態を図面を参照して説明する。
【００１４】
図１は、本発明の一実施形態の特権管理システム１を示したブロック図である。
【００１５】
図１において、特権管理システム１は、管理サーバ２と、承認者端末３と、作業対象サーバ４と、監査端末５と、を含む。なお、作業対象サーバ４は１台でもよいし複数台でもよい。
【００１６】
管理サーバ２と作業対象サーバ４とは、互いに通信可能である。また、管理サーバ２と作業対象サーバ４とは、作業者にて使用される作業者端末６と通信可能である。
【００１７】
管理サーバ２は、発行部２１と記憶部２２とを含む。
【００１８】
発行部２１は、一般的に発行手段と呼ぶことができる。
【００１９】
発行部２１は、日時を示す内部時計を有する。発行部２１は、作業者端末６から、特権を必要とする所定作業（例えば、機密情報を変更する作業）を作業対象サーバ４に対して行うための申請（以下「作業申請」と称する）を受信する。なお、特権を必要とする所定作業は、機密情報を変更する作業に限らず、適宜変更可能である。
【００２０】
発行部２１は、作業者端末６から作業申請として送信された、作業者のアカウントＩＤ（以下、単に「アカウントＩＤ」と称する）と作業者名と作業対象サーバ識別子とを含む作業ＩＤ登録情報を受信する。
【００２１】
図２は、作業ＩＤ登録情報を示した図である。
【００２２】
図２において、作業ＩＤ登録情報２０１は、アカウントＩＤ２０２と、作業者名２０３と、作業対象サーバ識別子２０４と、を含む。作業対象サーバ識別子２０４は、特権を必要とする所定作業が行われる作業対象サーバ４を識別するための識別子である。
【００２３】
発行部２１は、作業ＩＤ登録情報２０１を受信すると、作業ＩＤ登録情報２０１に応じた作業ＩＤ（識別情報）を作業者端末６宛に送信し、かつ、その作業ＩＤを作業対象サーバ識別子２０４にて特定される作業対象サーバ４に送信する。
【００２４】
本実施形態では、発行部２１は、作業ＩＤ登録情報２０１を受信すると、作業申請（作業ＩＤ登録情報２０１）に対する承認を行う承認者が使用する承認者端末３に、作業ＩＤ登録情報２０１を送信する。発行部２１は、承認者端末３から、作業ＩＤ登録情報２０１についての承認を示す承認情報を受信すると、作業ＩＤを発行し、その作業ＩＤを作業者端末６宛に送信する。
【００２５】
なお、発行部２１は、作業ＩＤ登録情報２０１を受信した場合に、承認者端末３に作業ＩＤ登録情報２０１を送信することなく作業ＩＤを発行し、その作業ＩＤを作業者端末６宛に送信してもよい。
【００２６】
また、発行部２１は、作業ＩＤ登録情報２０１に承認日時を示す承認日時情報と作業ＩＤとを付加して作業ＩＤ登録確認情報を作成する。承認日時は、発行部２１が作業ＩＤ登録情報２０１を受信した時点から発行部２１が作業ＩＤを作業者端末６宛に送信した時点までの期間（以下「発行期間」と称する）に含まれる第１タイミングの一例である。なお、第１タイミングは、承認日時に限らず、発行期間内のタイミングであれば監査の目的に応じて適宜変更可能である。
【００２７】
図３は、作業ＩＤ登録確認情報を示した図である。なお、図３において、図２に示したものと同一のものには同一符号を付してある。
【００２８】
図３において、作業ＩＤ登録確認情報３０１は、アカウントＩＤ２０２と、作業者名２０３と、作業対象サーバ識別子２０４と、作業ＩＤ３０２と、承認日時情報３０３と、を含む。
【００２９】
発行部２１は、作業ＩＤ登録確認情報３０１を記憶部２２に記憶する。
【００３０】
記憶部２２は、一般的に第３記憶手段と呼ぶことができる。記憶部２２は、作業ＩＤ登録確認情報３０１を記憶する。
【００３１】
また、発行部２１は、作業ＩＤ登録確認情報３０１を、作業ＩＤ登録確認情報３０１内の作業対象サーバ識別子２０４にて特定される作業対象サーバ４宛に送信する。
【００３２】
承認者端末３は、作業者端末６からの作業申請に対する承認を行う承認者にて使用される。
【００３３】
作業対象サーバ４は、一般的に所定サーバと呼ぶことができる。
【００３４】
作業対象サーバ４は、記憶部４１と、記憶部４２と、通信部４３と、処理部４４と、付与部４５と、制御部４６と、を含む。
【００３５】
記憶部４１は、一般的に第１記憶手段と呼ぶことができる。記憶部４２は、一般的に第２記憶手段と呼ぶことができる。
【００３６】
なお、記憶部４１と記憶部４２とは、１つの記憶部（例えば、１つのハードディスク）の中に設けられてもよいし、別々に設けられてもよい。
【００３７】
通信部４３は、一般的に通信手段と呼ぶことができる。
【００３８】
通信部４３は、管理サーバ２および作業者端末６と通信する。なお、通信部４３は、監査端末５と通信してもよい。
【００３９】
処理部４４は、一般的に処理手段と呼ぶことができる。
【００４０】
処理部４４は、通信部４３が管理サーバ２から作業ＩＤ３０２を受信すると、その作業ＩＤ３０２を記憶部４１に記憶する。
【００４１】
例えば、処理部４４は、通信部４３が管理サーバ２から作業ＩＤ登録確認情報３０１を受信すると、その作業ＩＤ登録確認情報３０１を記憶部４１に記憶する。
【００４２】
なお、作業対象サーバ４（具体的には、通信部４３）と管理サーバ２との間で通信の障害が発生した場合、作業対象サーバ４宛に送信された作業ＩＤ登録確認情報３０１は、通信部４３にて受信されない。この場合、処理部４４は、作業ＩＤ登録確認情報３０１を記憶部４１に記憶することができない。
【００４３】
付与部４５は、一般的に付与手段と呼ぶことができる。
【００４４】
付与部４５は、通信部４３が作業者端末６から所定作業を行うために必要な特権を獲得する旨の要求（以下「作業要求」と称する）を受信すると、作業者端末６、さらに言えば作業者端末６を使用している作業者に特権を付与する。例えば、付与部４５は、記憶部４１内の作業者のアカウントＩＤに対応付けされているフラグを、一部の命令や情報（ディレクトリやファイルなど）しか操作（読み出し、書き込み、実行など）できない一般権限に対応するフラグから、目的の命令や情報を操作できる特権に対応するフラグに変更することで、作業者端末６（作業者）に特権を付与する。なお、制御部４６は、アカウントＩＤにて特定される作業者（作業者端末６）からの命令や情報の操作に対して、アカウントＩＤに対応付けされているフラグにより許可または拒否をする。
【００４５】
なお、作業要求には、作業用情報が含まれる。作業用情報は、例えば、作業者端末６のユーザである作業者が作業者端末６に入力した作業ＩＤ３０２である。
【００４６】
作業者は、管理サーバ２から作業ＩＤ３０２を得ている状況では、作業者端末６内の入力部６１を操作して、作業用情報として作業ＩＤ３０２を作業者端末６に入力する。
【００４７】
一方、例えば、作業者端末６と管理サーバ２との間で通信の障害が発生した場合、管理サーバ２が、作業者端末６から送信された作業ＩＤ登録情報２０１を受信できない事態、または、作業者端末６が管理サーバ２から送信された作業ＩＤ３０２を受信できない事態が生じる。この場合、作業者は、作業ＩＤ３０２を得ることができない。
【００４８】
このような状況では、作業者は、管理サーバ２から予め与えられている特例ＩＤを、入力部６１を操作して、作業用情報として作業者端末６に入力する。なお、特例ＩＤは、作業ＩＤとは異なる情報を示す。
【００４９】
例えば、付与部４５は、作業者端末６から作業要求として送信された、アカウントＩＤ２０２と作業者名２０３と作業用情報４０２とを含む作業ＩＤ情報を受信する。
【００５０】
図４は、作業ＩＤ情報を示した図である。なお、図４において、図３に示したものと同一のものには同一符号を付してある。
【００５１】
図４において、作業ＩＤ情報４０１は、アカウントＩＤ２０２と、作業者名２０３と、作業用情報４０２と、を含む。
【００５２】
付与部４５は、作業ＩＤ情報４０１を受信すると、記憶部４１内のアカウントＩＤのうち、作業ＩＤ情報４０１に示されたアカウントＩＤ２０２と同一のアカウントＩＤに、特権に対応するフラグを付与することで、作業者端末６（作業者）に特権を付与する。なお、記憶部４１内に、作業ＩＤ情報４０１内のアカウントＩＤ２０２と同一のアカウントＩＤが無い場合、付与部４５は、記憶部４１内に、作業ＩＤ情報４０１内のアカウントＩＤ２０２を記憶し、そのアカウントＩＤ２０２に特権に対応するフラグを付与する。
【００５３】
制御部４６は、一般的に制御手段と呼ぶことができる。
【００５４】
制御部４６は、日時を示す内部時計を有する。制御部４６は、作業ＩＤ情報４０１内の作業用情報４０２が、記憶部４１内の作業ＩＤ３０２と合致する場合には、作業用情報４０２を、正常を表す状態情報に関連づけて記憶部４２に記憶する。なお、正常を表す状態情報は、一般的に、監査識別用の第１情報と呼ぶことができる。
【００５５】
また、制御部４６は、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が記憶部４１内に存在せず、かつ、作業用情報４０２が特例ＩＤと合致する場合には、つまり、作業用情報４０２が特例ＩＤを表す場合には、作業用情報４０２を、特例を表す状態情報に関連づけて記憶部４２に記憶する。なお、特例を表す状態情報は、一般的に、監査識別用の第２情報と呼ぶことができる。また、特例ＩＤは、一般的に所定情報と呼ぶことができる。
【００５６】
また、制御部４６は、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が記憶部４１内に存在せず、かつ、作業用情報４０２が特例ＩＤとは異なる場合には、例えば、作業用情報４０２は作業ＩＤ３０２を表しているが記憶部４１内に作業ＩＤ３０２が記憶されていない場合には、作業用情報４０２を、遅延を表す状態情報に関連づけて記憶部４２に記憶する。なお、遅延を表す状態情報は、一般的に、監査識別用の第３情報と呼ぶことができる。
【００５７】
例えば、制御部４６は、通信部４３が受信した作業ＩＤ情報４０１（図４参照）と記憶部４１内の作業ＩＤ登録確認情報３０１（図３参照）とについて、作業者名同士を比較し、さらに、作業ＩＤと作業用情報とを比較する。
【００５８】
作業ＩＤ情報４０１内の作業者名が作業ＩＤ登録確認情報３０１内の作業者名と合致し、かつ、作業ＩＤ情報４０１内の作業用情報４０２が作業ＩＤ登録確認情報３０１内の作業ＩＤと合致すると、制御部４６は、作業ＩＤ情報４０１内のアカウントＩＤ２０２、作業者名２０３および作業用情報４０２と、付与部４５が作業ＩＤ情報４０１に応じて特権を付与した日時を示す特権取得日時情報と、正常を表す状態情報と、を含む特権付与情報を作成する。
【００５９】
図５は、特権付与情報を示した図である。なお、図５において、図４に示したものと同一のものには同一符号を付してある。
【００６０】
図５において、特権付与情報５０１は、アカウントＩＤ２０２と、作業者名２０３と、作業用情報４０２と、特権取得日時情報５０２と、状態情報５０３と、を含む。なお、特権取得日時情報５０２が示す日時は、第２タイミングの一例である。
【００６１】
一方、作業ＩＤ情報４０１内の作業者名２０３が作業ＩＤ登録確認情報３０１内になく、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が作業ＩＤ登録確認情報３０１内になく、かつ、作業ＩＤ情報４０１内の作業用情報４０２が特例ＩＤである場合、制御部４６は、作業ＩＤ情報４０１内のアカウントＩＤ２０２、作業者名２０３および作業用情報４０２と、特権取得日時情報５０２と、特例を表す状態情報５０３と、を含む特権付与情報５０１を作成する。この状況は、例えば、管理サーバ２の故障が発生したときに生じる。
【００６２】
一方、作業ＩＤ情報４０１内の作業者名２０３が作業ＩＤ登録確認情報３０１内になく、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が作業ＩＤ登録確認情報３０１内になく、かつ、作業ＩＤ情報４０１内の作業用情報４０２が特例ＩＤでない場合、制御部４６は、作業ＩＤ情報４０１内のアカウントＩＤ２０２、作業者名２０３および作業用情報４０２と、特権取得日時情報５０２と、遅延を表す状態情報５０３と、を含む特権付与情報５０１を作成する。この状況は、例えば、管理サーバ２から作業対象サーバ４への作業ＩＤ登録確認情報３０１の送信が失敗したときに生じる。
【００６３】
監査端末５は、監査者にて使用される。監査端末５は、監査部５１と表示部５２とを含む。
【００６４】
監査部５１は、一般的に監査手段と呼ぶことができる。
【００６５】
監査部５１は、作業対象サーバ４内の記憶部４２に記憶された特権付与情報５０１内の作業用情報４０２に関連づけられた状態情報５０３が、正常を表す状態情報か、特例を表す状態情報か、遅延を表す状態情報かを確認する。監査部５１は、その確認結果に応じた監査情報を出力する。
【００６６】
例えば、監査部５１は、記憶部４２内の作業用情報４０２が正常を表す状態情報に関連づけられている場合には、監査情報として、監査済みを表す監査済み情報を出力する。
【００６７】
また、監査部５１は、記憶部４２に記憶された特権付与情報５０１内の作業用情報４０２が特例を表す状態情報に関連づけられている場合には、監査情報として、作業内容の確認を要する旨の確認必要情報を出力する。
【００６８】
また、監査部５１は、記憶部４２内に記憶された特権付与情報５０１内の作業用情報４０２が遅延を表す状態情報に関連づけられている場合には、管理サーバ２内の記憶部２２に記憶された承認日時情報３０３が示す日時と、作業対象サーバ４内の記憶部４２に記憶された特権取得日時情報５０２が示す日時と、を比較する。
【００６９】
承認日時情報３０３が示す日時が、特権取得日時情報５０２が示す日時よりも前であるときには、監査部５１は、監査情報として監査済み情報を出力する。
【００７０】
一方、承認日時情報３０３が示す日時が、特権取得日時情報５０２が示す日時よりも前でないときには、監査情報として確認必要情報を出力する。
【００７１】
表示部５２は、監査部５１からの監査情報を表示する。
【００７２】
作業者端末６は、入力部６１と、制御部６２と、通信部６３と、表示部６４と、を含む。
【００７３】
入力部６１は、作業者の入力を受け付ける。制御部６２は、作業者端末６の動作を制御する。通信部６３は、管理サーバ２および作業対象サーバ４と通信する。表示部６４は、種々の表示を行う。
【００７４】
次に、動作を説明する。
【００７５】
図６は、特権管理システム１の動作を説明するためのシーケンス図である。以下、図６を参照して、特権管理システム１の動作を説明する。
【００７６】
作業者端末６内の入力部６１が、管理サーバ２に接続する旨の指示を受け付けると、制御部６２は、通信部６３を用いて管理サーバ２に接続し、アカウントＩＤ２０２を管理サーバ２に送信する（ステップＳ６０１）。制御部６２は、アカウントＩＤ２０２を記憶しているとする。なお、入力部６１が、作業者からアカウントＩＤを受け付けてもよい。
【００７７】
管理サーバ２では、発行部２１は、アカウントＩＤ２０２を受信すると、そのアカウントＩＤ２０２を用いて認証処理を行う（ステップＳ６０２）。
【００７８】
発行部２１は、アカウントＩＤ２０２が予め登録されたものである場合、アカウントＩＤ２０２を認証し、作業ＩＤ登録画面を表すための作業ＩＤ登録画面情報を、作業者端末６に送信する（ステップＳ６０３）。なお、発行部２１は、アカウントＩＤ２０２が予め登録されたものでない場合、アカウントＩＤ２０２を認証せず、認証失敗を示す情報を作業者端末６に送信する。
【００７９】
作業者端末６では、通信部６３が作業ＩＤ登録画面情報を受信すると、制御部６２は、作業ＩＤ登録画面情報に応じた作業ＩＤ登録画面を、表示部６４に表示する（ステップＳ６０４）。
【００８０】
図７は、作業ＩＤ登録画面の一例を示した図である。
【００８１】
図７において、作業ＩＤ登録画面７０１には、アカウントＩＤ２０２が表示され、作業者名２０３を入力するための入力欄７０２と、作業対象サーバ識別子２０４とを入力するための入力欄７０３とが設けられている。
【００８２】
なお、アカウントＩＤ２０２は、作業ＩＤ登録画面７０１で入力されてもよい。
【００８３】
また、発行部２１が、アカウントＩＤと作業者名との対応関係を示したデータベースを有している場合、発行部２１は、そのデータベースからアカウントＩＤ２０２に対応する作業者名２０３を読み出し、その作業者名２０３を作業ＩＤ登録画面７０１に載せてもよい。この場合、入力欄７０２は不要となる。
【００８４】
作業者端末６では、入力部６１が作業者による入力欄７０２および７０３への入力、つまり、作業者名２０３と作業対象サーバ識別子２０４の入力を受け付けると（ステップＳ６０５）、制御部６２は、アカウントＩＤ２０２と作業者名２０３と作業対象サーバ識別子２０４とを含む作業ＩＤ登録情報２０１を作成し、通信部６３を用いて作業ＩＤ登録情報２０１を管理サーバ２宛に送信する（ステップＳ６０６）
管理サーバ２内の発行部２１は、作業ＩＤ登録情報２０１を受信すると、承認者端末３に、作業ＩＤ登録情報２０１が届いたことを通知し、その後、承認者端末３に、作業ＩＤ登録情報２０１と承認有無選択欄とを含む承認画面を表すための承認画面情報を送信する（ステップＳ６０７）。
【００８５】
なお、承認者端末３は、予め決められていてもよい。また、発行部２１が、アカウントＩＤと承認者端末との対応関係を示したデータベースを有している場合、発行部２１は、そのデータベースを参照して、アカウントＩＤ２０２に対応する承認者端末を特定してもよい。
【００８６】
承認者端末３は、承認画面情報を受信すると、承認画面情報に応じた承認画面を表示する。
【００８７】
図８は、承認画面の一例を示した図である。
【００８８】
図８において、承認画面８０１は、作業ＩＤ登録情報２０１（アカウントＩＤ２０２と作業者名２０３と作業対象サーバ識別子２０４）と、承認有無選択欄８０２と、を有する。
【００８９】
承認者は、承認者端末３の入力部（不図示）を操作して、承認有無選択欄８０２に承認の有無を入力する。承認者端末３は、承認者の入力に従って承認処理（承認有りまたは承認無しを特定する処理）を行う（ステップＳ６０８）。
【００９０】
承認者端末３は、承認処理を完了すると、承認処理の結果を管理サーバ２に送信する（ステップＳ６０９）。
【００９１】
管理サーバ２内の発行部２１は、承認者端末３から、承認有りを示す承認処理の結果（承認情報）を受信すると、作業ＩＤ３０２を発行し、作業ＩＤ３０２を作業者端末６に送信する（ステップＳ６１０）。
【００９２】
続いて、発行部２１は、作業ＩＤ登録情報２０１に承認日時情報３０３と作業ＩＤ３０２とを付加して作業ＩＤ登録確認情報３０１を作成する（ステップＳ６１１）。
【００９３】
発行部２１は、作業ＩＤ登録確認情報３０１を作成すると、作業ＩＤ登録確認情報３０１を記憶部２２に記憶する（ステップＳ６１２）。
【００９４】
発行部２１は、作業ＩＤ登録確認情報３０１を記憶部２２に記憶すると、作業ＩＤ登録確認情報３０１内の作業対象サーバ識別子２０４にて特定される作業対象サーバ４（以下、単に「作業対象サーバ４」と称する）に、作業ＩＤ登録確認情報３０１を送信する（ステップＳ６１３）。
【００９５】
作業対象サーバ４では、通信部４３が管理サーバ２から作業ＩＤ登録確認情報３０１を受信すると、処理部４４は、作業ＩＤ登録確認情報３０１を記憶部４１に記憶する（ステップＳ６１４）。
【００９６】
なお、作業対象サーバ４と管理サーバ２との間で通信の障害が発生した場合、作業対象サーバ４宛に送信された作業ＩＤ登録確認情報３０１は、作業対象サーバ４にて受信されない。この場合、処理部４４は、作業ＩＤ登録確認情報３０１を記憶部４１に記憶することができない。
【００９７】
また、そもそも作業者端末６と管理サーバ２との間で通信の障害が発生した場合には、管理サーバ２が、作業者端末６から送信された作業ＩＤ登録情報２０１を受信できない事態、または、作業者端末６が管理サーバ２から送信された作業ＩＤ３０２を受信できない事態が生じる。この場合、作業者は、作業ＩＤ３０２を得ることができない。また、この場合、管理サーバ２が、作業ＩＤ登録確認情報３０１を作成しないため、作業対象サーバ４内の処理部４４は、作業ＩＤ登録確認情報３０１を記憶部４１に記憶することができない。
【００９８】
作業者端末６では、通信部６３が作業ＩＤ３０２を受信した後、入力部６１が、作業対象サーバ４に接続する旨の指示を受け付けると、制御部６２は、通信部６３を用いて作業対象サーバ４に接続し、アカウントＩＤ２０２と認証用のカギ情報とを作業対象サーバ４に送信する。
【００９９】
作業対象サーバ４では、通信部４３がアカウントＩＤ２０２と認証用のカギ情報とを受信すると、付与部４５は、アカウントＩＤ２０２と認証用のカギ情報とを用いて認証処理を行う。
【０１００】
付与部４５が、アカウントＩＤ２０２と認証用のカギ情報とを用いた認証処理にて作業者端末６を認証すると、作業者端末６内の制御部６２は、一般権限（特権を有さない権限）で作業対象サーバ４にログインし、特権取得要求を作業対象サーバ４に送信する（ステップＳ６１５）。
【０１０１】
作業対象サーバ４では、通信部４３が特権取得要求を受信すると、付与部４５は、特権取得画面を表す特権取得画面情報を作業者端末６に送信する（ステップＳ６１６）。
【０１０２】
作業者端末６では、通信部６３が特権取得画面情報を受信すると、制御部６２は、特権取得画面情報に応じた特権取得画面を、表示部６４に表示する（ステップＳ６１７）。
【０１０３】
図９は、特権取得画面の一例を示した図である。
【０１０４】
図９において、特権取得画面９０１には、作業用情報（作業ＩＤ）の入力欄９０２と、作業者名の入力欄９０３とが設けられている。
【０１０５】
入力部６１が作業者による入力欄９０２および９０３への入力、つまり、作業用情報４０２と作業者名２０３の入力を受け付けると、制御部６２は、アカウントＩＤ２０２と作業者名２０３と作業用情報４０２とを含む作業ＩＤ情報４０１を作成し、通信部６３を用いて作業ＩＤ情報４０１を作業対象サーバ４宛に送信する（ステップＳ６１８）。
【０１０６】
なお、制御部６２は、制御部６２内に保持された認証用のパスワードを、作業ＩＤ情報４０１に追加してもよい。
【０１０７】
作業対象サーバ４の付与部４５は、通信部４３が作業ＩＤ情報４０１を受信すると、記憶部４１内のアカウントＩＤのうち、作業ＩＤ情報４０１内のアカウントＩＤ２０２と同一のアカウントＩＤ２０２に、特権に対応するフラグを付与することで、作業者端末６（作業者）に特権を付与する（ステップＳ６１９）。
【０１０８】
なお、作業ＩＤ情報４０１に認証用のパスワードが追加されている場合、付与部４５は、認証用のパスワードを用いて認証処理を行い、作業者端末６を認証すると、作業者端末６（作業者）に特権を付与する。
【０１０９】
続いて、作業対象サーバ４の制御部４６は、通信部４３が受信した作業ＩＤ情報４０１（図４参照）と記憶部４１内の作業ＩＤ登録確認情報３０１（図３参照）とについて、作業者名同士を比較し、さらに、作業ＩＤと作業用情報とを比較する（ステップＳ６２０）。
【０１１０】
続いて、制御部４６は、その比較の結果に基づいて、特権付与情報５０１を作成する（ステップＳ６２１）。
【０１１１】
本実施形態では、作業ＩＤ情報４０１内の作業者名２０３が作業ＩＤ登録確認情報３０１内の作業者名２０３と合致し、かつ、作業ＩＤ情報４０１内の作業用情報４０２が作業ＩＤ登録確認情報３０１内の作業ＩＤ３０２と合致すると、制御部４６は、作業ＩＤ情報４０１内のアカウントＩＤ２０２、作業者名２０３および作業用情報４０２と、付与部４５が作業ＩＤ情報４０１に応じて特権を付与した日時を示す特権取得日時情報５０２と、正常を表す状態情報５０３と、を含む特権付与情報５０１を作成する。
【０１１２】
一方、作業ＩＤ情報４０１内の作業者名２０３が作業ＩＤ登録確認情報３０１内になく、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が作業ＩＤ登録確認情報３０１内になく、かつ、作業ＩＤ情報４０１内の作業用情報４０２が特例ＩＤである場合、制御部４６は、作業ＩＤ情報４０１内のアカウントＩＤ２０２、作業者名２０３および作業用情報４０２と、特権取得日時情報５０２と、特例を表す状態情報５０３と、を含む特権付与情報５０１を作成する。この状況は、例えば、管理サーバ２で故障が発生したときに生じる。
【０１１３】
一方、作業ＩＤ情報４０１内の作業者名２０３が作業ＩＤ登録確認情報３０１内になく、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が作業ＩＤ登録確認情報３０１内になく、かつ、作業ＩＤ情報４０１内の作業用情報４０２が特例ＩＤでない場合、制御部４６は、作業ＩＤ情報４０１内のアカウントＩＤ２０２、作業者名２０３および作業用情報４０２と、特権取得日時情報５０２と、遅延を表す状態情報５０３と、を含む特権付与情報５０１を作成する。この状況は、例えば、管理サーバ２から作業対象サーバ４への作業ＩＤ登録確認情報３０１の送信が失敗したときに生じる。
【０１１４】
制御部４６は、特権付与情報５０１を作成すると、特権付与情報５０１を記憶部４２に記憶する（ステップＳ６２２）。
【０１１５】
作業者端末６では、入力部６１が作業者から特権を必要とする作業（以下「特権作業」と称する）の指示を受け付けると、制御部６２は、その指示に応じて、通信部６３を介して、作業対象サーバ４に対して特権作業を行う（ステップＳ６２３）。
【０１１６】
作業対象サーバ４では、特権が付与された作業者端末６（作業者）にて特権作業が行われると、制御部４６は、特権作業のログを、アカウントＩＤ２０２に関連づけて記憶部４２に記憶する（ステップＳ６２４）。
【０１１７】
一方、管理サーバ２内の発行部２１は、既定時間ごとに、各作業対象サーバ４に、特権付与情報５０１を要求する旨の特権付与情報要求を送信する（ステップＳ６２５）。
【０１１８】
各作業対象サーバ４では、通信部４３が特権付与情報要求を受信すると、制御部４６は、記憶部４２内の特権付与情報５０１に、自サーバを特定する作業対象サーバ識別子２０４を付加し、作業対象サーバ識別子２０４が付加された特権付与情報５０１を、管理サーバ２に送信する（ステップＳ６２６）。
【０１１９】
ここで、作業対象サーバ４内の制御部４６は、特権付与情報要求がなくても、既定時間ごとに、自サーバを特定する作業対象サーバ識別子２０４が付加された特権付与情報５０１を、管理サーバ２に送信してもよい。
【０１２０】
管理サーバ２内の発行部２１は、作業対象サーバ識別子２０４が付加された特権付与情報５０１を受信すると、作業対象サーバ識別子２０４が付加された特権付与情報５０１を記憶部２２に記憶する（ステップＳ６２７）。
【０１２１】
監査端末５内の監査部５１は、監査者から監査指示を受け付けると、管理サーバ２に接続し、記憶部２２内の、作業対象サーバ識別子２０４が付加された特権付与情報５０１を読み出す（ステップＳ６２８）。
【０１２２】
監査部５１は、作業対象サーバ識別子２０４が付加された特権付与情報５０１を読み出すと、その特権付与情報５０１に基づいて監査情報を出力する（ステップＳ６２９）。
【０１２３】
本実施形態では、監査部５１は、作業対象サーバ識別子２０４が付加された特権付与情報５０１内の状態情報５０３が正常を表す場合、監査済みを表す監査済み情報を表示部５２に出力する。表示部５２は、監査済み情報を受け付けると、監査済みを表す画像を表示する。
【０１２４】
一方、監査部５１は、作業対象サーバ識別子２０４が付加された特権付与情報５０１内の状態情報５０３が特例を表す場合、作業内容の確認を要する旨の確認必要情報として、その特権付与情報５０１内の作業者名２０３を表示部５２に表示する。
【０１２５】
続いて、監査部５１は、特権付与情報５０１に付加された作業対象サーバ識別子２０４にて特定される作業対象サーバ４に対して、特権付与情報５０１内のアカウントＩＤ２０２に関連づけられた特権作業のログを送信する旨の要求（以下「送信要求」と称する）を送信する。
【０１２６】
作業対象サーバ４は、送信要求を受信すると、送信要求にて要求された特権作業のログを記憶部４２から読み出し、その特権作業のログを監視端末５に送信する。
【０１２７】
監視端末５では、監査部５１は、特権作業のログを受信すると、特権作業のログを表示部５２に表示する。このため、特例ＩＤを用いて特権を取得した作業者が行った特権内容を容易に確認することが可能になる。
【０１２８】
また、監査部５１は、作業対象サーバ識別子２０４が付加された特権付与情報５０１内の状態情報５０３が遅延を表す場合、管理サーバ２内の記憶部２２内に、特権付与情報５０１内の作業者名２０３と、特権付与情報５０１内の特権取得日時情報５０２が示す日時よりも前の規定期間に含まれる日時を示す承認日時情報３０３と、を含む作業ＩＤ登録確認情報３０１（以下「該当作業ＩＤ登録確認情報」と称する）が存在するかを確認し、その確認結果を表示部５２に表示する。
【０１２９】
ここで、監査部５１は、該当作業ＩＤ登録確認情報が存在する場合、監査済み情報を表示部５２に出力する。表示部５２は、監査済み情報を受け付けると、監査済みを表す画像を表示する。
【０１３０】
一方、該当作業ＩＤ登録確認情報が存在しない場合、監査部５１は、作業内容の確認を要する旨の確認必要情報として、その特権付与情報５０１内の作業者名２０３を表示部５２に表示する。
【０１３１】
続いて、監査部５１は、特権付与情報５０１に付加された作業対象サーバ識別子２０４にて特定される作業対象サーバ４に送信要求を送信する。
【０１３２】
作業対象サーバ４は、送信要求を受信すると、送信要求にて要求された特権作業のログを監視端末５に送信する。
【０１３３】
監視端末５では、監査部５１は、特権作業のログを受信すると、特権作業のログを表示部５２に表示する。このため、特例ＩＤでなく記憶部４１にも記憶されていない作業用情報を用いて特権を取得した作業者が行った特権作業の内容を容易に確認することが可能になる。
【０１３４】
なお、上記実施形態において、アカウントＩＤが作業者名を兼務してもよいし、作業者名がアカウントＩＤを兼務してもよい。
【０１３５】
本実施形態によれば、発行部２１は、作業者端末６から作業ＩＤ登録情報２０１（作業申請）を受信すると、作業ＩＤ（識別情報）を作業者端末６宛に送信し、かつ、その作業ＩＤを含む作業ＩＤ登録確認情報３０１を作業対象サーバ４宛に送信する。
【０１３６】
処理部４４は、通信部４３が管理サーバ２から作業ＩＤ登録確認情報３０１を受信すると、作業ＩＤ登録確認情報３０１を記憶部４１に記憶する。
【０１３７】
付与部４５は、通信部４３が作業者端末６から作業ＩＤ情報４０１（作業要求）を受信すると、作業者端末６（作業者）に特権を付与する。
【０１３８】
このため、作業者端末６が管理サーバ２から作業ＩＤ３０２を取得できない状況でも、作業者端末６（作業者）に特権を付与することが可能になる。よって、特権を取得できないという問題を解消することが可能になる。
【０１３９】
そして、制御部４６は、作業ＩＤ情報４０１内の作業用情報４０２が、記憶部４１内の作業ＩＤ３０２と合致する場合には、つまり、作業用情報４０２が作業ＩＤ３０２を表す場合には、作業用情報４０２を、正常を表す状態情報に関連づけて記憶部４２に記憶する。
【０１４０】
また、制御部４６は、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が記憶部４１内に存在せず、かつ、作業用情報４０２が特例ＩＤと合致する場合には、つまり、作業用情報４０２が特例ＩＤを表す場合には、作業用情報４０２を、特例を表す状態情報に関連づけて記憶部４２に記憶する。
【０１４１】
また、制御部４６は、作業ＩＤ情報４０１内の作業用情報４０２と同一の情報が記憶部４１内に存在せず、かつ、作業用情報４０２が特例ＩＤとは異なる場合には、例えば、作業用情報４０２は作業ＩＤ３０２を表しているが記憶部４１内に作業ＩＤ３０２が未だ記憶されていない場合には、作業用情報４０２を、遅延を表す状態情報に関連づけて記憶部４２に記憶する。
【０１４２】
このため、作業用情報４０２に関連づけられた状態情報に基づいて、特権が取得されたときの状況を判別することが可能になる。よって、特権が取得されたときの状況に応じた監査が可能になり、監査を容易にすることが可能になる。
【０１４３】
したがって、本実施形態によれば、システムの故障の影響を最小限にとどめることが可能になり、作業対象サーバ４からの特権取得自体は可能となり、特権作業の監査を効率よく実施することが可能になる。
【０１４４】
本実施形態では、監査部５１は、作業対象サーバ４内の記憶部４２に記憶された作業用情報４０２に関連づけられた状態情報５０３が、正常を表す状態情報か、特例を表す状態情報か、遅延を表す状態情報かを確認する。監査部５１は、その確認結果に応じた監査情報を出力する。
【０１４５】
この場合、監査情報は、特権が取得されたときの状況を示す情報となり、監査情報を用いることによって監査を容易にすることが可能になる。
【０１４６】
本実施形態では、監査部５１は、記憶部４２内の作業用情報４０２が正常を表す状態情報に関連づけられている場合には、監査情報として、監査済みを表す監査済み情報を出力する。
【０１４７】
また、監査部５１は、記憶部４２内の作業用情報４０２が特例を表す状態情報に関連づけられている場合には、監査情報として、作業内容の確認を要する旨の確認必要情報を出力する。
【０１４８】
また、監査部５１は、記憶部４２内の作業用情報４０２が遅延を表す状態情報に関連づけられている場合には、管理サーバ２内の記憶部２２に記憶された承認日時情報２０３が示す日時と、作業対象サーバ４内の記憶部４２に記憶された特権取得日時情報５０２が示す日時と、を比較する。
【０１４９】
承認日時情報２０３が示す日時が、特権取得日時情報５０２が示す日時よりも前であるときには、監査部５１は、監査情報として監査済み情報を出力する。
【０１５０】
一方、承認日時情報２０３が示す日時が、特権取得日時情報５０２が示す日時よりも前でないときには、監査情報として確認必要情報を出力する。
【０１５１】
このため、監査部５１は、監査の必要がある作業を特定することができる。このため、監査を容易にすることが可能になる。
【０１５２】
以上説明した実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。
【０１５３】
例えば、監査端末５は、管理サーバ２内に含まれてもよい。また、監査端末５は、各作業対象サーバ４から、直接、特権付与情報５０１を取得してもよい。
【符号の説明】
【０１５４】
１      特権管理システム
２      管理サーバ
２１    発行部
２２    記憶部
３      承認者端末
４      作業対象サーバ
４１    記憶部
４２    記憶部
４３    通信部
４４    処理部
４５    付与部
４６    制御部
５      監査端末
５１    監査部
５２    表示部
【図１】
0005294347.tif 000002
【図２】
0005294347.tif 000003
【図３】
0005294347.tif 000004
【図４】
0005294347.tif 000005
【図５】
0005294347.tif 000006
【図６】
0005294347.tif 000007
【図７】
0005294347.tif 000008
【図８】
0005294347.tif 000009
【図９】
0005294347.tif 000010