(57)【要約】【課題】本発明は、利用者がポリシー情報を記述する上での簡便性を損なうことなく、確実なアクセス制御を実行することができる。【解決手段】  変換テーブル記憶部１２は、リソース２００に対するアクセス制御を実行するための規則が記述された具体的ポリシー情報、及び具体的ポリシー情報よりも抽象的に規則が記述された抽象的ポリシー情報により構成された変換テーブル４０をアプリケーション５０毎に記憶する。ポリシー情報変換制御部１１は、アプリケーション５０を介して入力された抽象的ポリシー情報に基づいて、アプリケーション５０に対応する変換テーブル４０を参照することにより、抽象的ポリシー情報を具体的ポリシー情報に変換する。アクセス制御実行部２０は、ポリシー情報変換制御部１１により変換された具体的ポリシー情報に従って、リソース２００に対するアクセス制御を実行する。【選択図】図１
2007087248.tif 000002
【特許請求の範囲】
【請求項１】
リソースに対するアクセス制御を実行するための規則が記述された具体的ポリシー情報、及び前記具体的ポリシー情報よりも抽象的に前記規則が記述された抽象的ポリシー情報により構成された変換テーブルをアプリケーション毎に記憶する変換テーブル記憶部と、
前記アプリケーションを介して入力された前記抽象的ポリシー情報に基づいて、前記アプリケーションに対応する前記変換テーブルを参照することにより、前記抽象的ポリシー情報を前記具体的ポリシー情報に変換するポリシー情報変換部と、
前記ポリシー情報変換部により変換された前記具体的ポリシー情報に従って、前記リソースに対する前記アクセス制御を実行するアクセス制御実行部と  
を備えることを特徴とするアクセス制御装置。
【請求項２】
前記アクセス制御装置が動作する実行環境の種類に応じて、前記アプリケーションに対応する前記変換テーブルを構成する前記具体的ポリシー情報を変更する具体的ポリシー情報変更部を備えることを特徴とする請求項１に記載のアクセス制御装置。
【請求項３】
前記具体的ポリシー情報に対する修正情報が予め設定されており、
前記修正情報の内容に応じて前記具体的ポリシー情報を変更する具体的ポリシー情報修正部を備えることを特徴とする請求項１に記載のアクセス制御装置。
【請求項４】
一の前記リソースに対する前記アクセス制御が実行される際に、前記アクセス制御に複数の前記アプリケーションが同時に用いられる場合には、前記複数のアプリケーションに共通の前記具体的ポリシー情報に含まれる共通変数を記憶する共通変数記憶部を備え、
前記アクセス制御実行部は、前記複数の前記アプリケーションを同時に用いて前記一のリソースに対する前記アクセス制御を実行する場合には、前記共通変数を用いることを特徴とする請求項１に記載のアクセス制御装置。
【請求項５】
前記アクセス制御実行部による前記アクセス制御の結果に応じて前記共通変数を変更する共通変数変更部を備えることを特徴とする請求項４に記載のアクセス制御装置。
【請求項６】
リソースに対するアクセス制御を実行するための規則が記述された具体的ポリシー情報、及び前記具体的ポリシー情報よりも抽象的に前記規則が記述された抽象的ポリシー情報により構成された変換テーブルをアプリケーション毎に記憶するステップと、
前記アプリケーションを介して入力された前記抽象的ポリシー情報に基づいて、前記アプリケーションに対応する前記変換テーブルを参照することにより、前記抽象的ポリシー情報を前記具体的ポリシー情報に変換するステップと、
前記ポリシー情報変換部により変換された前記具体的ポリシー情報に従って、前記リソースに対する前記アクセス制御を実行するステップと
を備えることを特徴とするアクセス制御方法。
【請求項７】
コンピュータを、
リソースに対するアクセス制御を実行するための規則が記述された具体的ポリシー情報、及び前記具体的ポリシー情報よりも抽象的に前記規則が記述された抽象的ポリシー情報により構成された変換テーブルをアプリケーション毎に記憶する変換テーブル記憶部と、
前記アプリケーションを介して入力された前記抽象的ポリシー情報に基づいて、前記アプリケーションに対応する前記変換テーブルを参照することにより、前記抽象的ポリシー情報を前記具体的ポリシー情報に変換するポリシー情報変換部と、
前記ポリシー情報変換部により変換された前記具体的ポリシー情報に従って、前記リソースに対する前記アクセス制御を実行するアクセス制御実行部として機能させることを特徴とするアクセス制御プログラム。  
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リソースに対するアクセス制御を実行するアクセス制御装置、アクセス制御方法及びアクセス制御プログラムに関する。
【背景技術】
【０００２】
従来から、セキュリティの分野においてアクセス制御を実行するアクセス制御装置が多く存在している。例えば、アクセス制御装置は、リソース（ソフトウェアリソース、ハードウェアリソース）に対するアクセス制御を実行するための規則が記述されたポリシー情報を記憶し、そのポリシー情報に従ってリソースに対するアクセス制御を実行している。具体的な例として特許文献１及び特許文献２を参照しながら説明する。
【０００３】
特許文献１では、交換機等の装置を管理するエレメント管理層、各種装置群からなる網を管理する網管理層、及び網を利用するサービスを提供する際に用いられる各種情報を管理するサービス管理層からなる階層型の通信システムが開示されている。
【０００４】
この通信システムは、「利用者側」の視点により記述されたポリシー情報を、「サービス提供者側」の視点により記述される上記各層に対応するポリシー情報に変換することができる。このため、通信システムは、「利用者側」の視点を考慮した細かなアクセス制御を実行することができる。
【０００５】
特許文献２では、アプリケーション層に属するアプリケーションに対する利用権（ポリシー情報）、及びネットワーク層に属するネットワークアクセス権（ポリシー情報）の両者を管理し、当該利用権の設定内容が当該ネットワークアクセス権の設定内容と異なる場合には、当該ネットワークアクセス権の設定内容を当該利用権の設定内容に変換するアクセス制御装置が開示されている。
【０００６】
このアクセス制御装置は、アプリケーション層における利用権の内容が許可／不許可に設定されていることに連動して、ネットワーク層におけるネットワークアクセス権の内容も許可／不許可に設定するため、アプリケーション層でのアプリケーションの利用が不許可に設定されているにも関わらず、ネットワーク層経由でアプリケーションを起動させるという不正を無くすことができる。
【０００７】
上述のように上記特許文献１及び上記特許文献２では、ポリシー情報を他のポリシー情報に変換するという技術が開示されている。
【特許文献１】特開２００１−４３１６２号公報
【特許文献２】特開２００４−２５９１０２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
ところで、カーネルにシステムコールと呼ばれる要求が発行された後に、上記ポリシー情報に当該要求が反しない場合には、カーネルを通じてリソースに対するアクセス制御が実行される。その一方で、上記ポリシー情報に当該要求が反する場合には、リソースに対するアクセス制御が実行されない。
【０００９】
このようなアクセス制御が実行されるためには、アプリケーション開発者などの利用者は、上記システムコールの内容を記述した具体的なポリシー情報（以下、具体的ポリシー情報）を作成しなければならず、当該ポリシー情報の作成作業に対する煩雑感を抱いていた。
【００１０】
一方、上記特許文献１及び上記特許文献２のようにポリシー情報を他のポリシー情報に変換するという技術を用いることが考え得る。具体的には、初期段階では、上記具体的ポリシー情報の内容よりも抽象的な内容が記述された抽象的ポリシー情報を入力可能にし、アクセス制御の実行段階では、入力された抽象的ポリシー情報を具体的ポリシー情報に変換するというポリシー変換技術が考え得る。これによれば、上記利用者がポリシー情報を記述する上での簡便性を損なうことなく、確実なアクセス制御を実行することができる。
【００１１】
しかしながら、アプリケーションの数や、該アプリケーションが動作し得る実行環境の数が増えるにつれて、ある抽象的ポリシー情報が具体的ポリシー情報に変換される組合せの数が膨大となるため、ある抽象的ポリシー情報を具体的ポリシー情報に変換するための変換テーブルの数も膨大となる。
【００１２】
したがって、上記ポリシー変換技術では、アプリケーション及びその実行環境の全てに適応させる変換テーブルが設定されるとなると、上記変換テーブルの数が膨大となり、上記ポリシー変換技術の実現が困難となっていた。
【００１３】
そこで、本発明は以上の点に鑑みて成されたものであり、利用者がポリシー情報を記述する上での簡便性を損なうことなく、確実なアクセス制御を実行することができるアクセス制御装置、アクセス制御方法及びアクセス制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
上記課題を解決するために、本発明の第１の特徴は、リソースに対するアクセス制御を実行するための規則が記述された具体的ポリシー情報、及び具体的ポリシー情報よりも抽象的に規則が記述された抽象的ポリシー情報により構成された変換テーブルをアプリケーション毎に記憶する変換テーブル記憶部と、アプリケーションを介して入力された抽象的ポリシー情報に基づいて、アプリケーションに対応する変換テーブルを参照することにより、抽象的ポリシー情報を具体的ポリシー情報に変換するポリシー情報変換部と、ポリシー情報変換部により変換された具体的ポリシー情報に従って、リソースに対するアクセス制御を実行するアクセス制御実行部とを備えることを要旨とする。
【００１５】
かかる特徴によれば、アクセス制御装置は、アプリケーション毎に記憶された変換テーブルのそれぞれのうち、利用しているアプリケーションに対応する変換テーブル「のみ」を参照し、入力された抽象的ポリシー情報を具体的ポリシー情報に変換する。
【００１６】
すなわち、アクセス制御装置が、利用しているアプリケーションに対応する変換テーブル「のみ」を参照すればよく、それ以外の変換テーブルを参照する必要がないため、アクセス制御装置は、必要以上に変換テーブルを備える必要がなくなり、利用者がポリシー情報を記述する上での簡便性を損なうことなく、確実なアクセス制御を実現することができる。
【００１７】
本発明の第２の特徴は、アクセス制御装置が動作する実行環境の種類に応じて、アプリケーションに対応する変換テーブルを構成する具体的ポリシー情報を変更する具体的ポリシー情報変更部を備えることを要旨とする。
【００１８】
本発明の第３の特徴は、具体的ポリシー情報に対する修正情報が予め設定されており、当該修正情報の内容に応じて具体的ポリシー情報を変更する具体的ポリシー情報修正部を備えることを要旨とする。
【００１９】
本発明の第４の特徴は、一のリソースに対するアクセス制御が実行される際に、アクセス制御に複数のアプリケーションが同時に用いられる場合には、複数のアプリケーションに共通の具体的ポリシー情報に含まれる共通変数を記憶する共通変数記憶部を備え、アクセス制御実行部が、複数のアプリケーションを同時に用いて一のリソースに対するアクセス制御を実行する場合には、共通変数を用いることを要旨とする。
【００２０】
本発明の第５の特徴は、アクセス制御実行部によるアクセス制御の結果に応じて共通変数を変更する共通変数変更部を備えることを要旨とする。
【発明の効果】
【００２１】
本発明の特徴によれば、利用者がポリシー情報を記述する上での簡便性を損なうことなく、確実なアクセス制御を実行することができる。
【発明を実施するための最良の形態】
【００２２】
（アクセス制御装置の構成）
本実施形態におけるアクセス制御装置について図面を参照しながら説明する。図１は、本実施形態におけるアクセス制御装置１００の内部構成を示す図である。
【００２３】
図１に示すように、アクセス制御装置１００は、ポリシー情報変換部１０と、アクセス制御実行部２０とを備えている。
【００２４】
ポリシー情報変換部１０は、ポリシー情報変換制御部１１と、変換テーブル記憶部１２と、共通変数記憶部１３と、実行環境情報検出部１４とを備えている。
【００２５】
ポリシー情報変換制御部１１は、アプリケーション５０を介して入力された抽象的ポリシー情報に基づいて、当該アプリケーション５０に対応する変換テーブル４０を参照することにより、当該アプリケーション５０を介して入力された抽象的ポリシー情報を具体的ポリシー情報に変換するものである。
【００２６】
ここで、図２は、リソース２００に対するアクセス制御を実行するための規則が記述された具体的ポリシー情報、及び具体的ポリシー情報よりも抽象的に規則が記述された抽象的ポリシー情報の関係を示す図である。
【００２７】
図３は、抽象的ポリシー情報及び具体的ポリシー情報の内容の一例を示す図である。例えば、「通信量が１Ｍｂｐｓ以上である場合には、通信量を８００Ｍｂｐｓに抑制する」というポリシー情報がある場合には、当該ポリシー情報に対する抽象的ポリシー情報は、例えば図３に示す「１」の内容である。また、当該抽象的ポリシー情報よりも詳細な規則が記述された具体的ポリシー情報は、例えば図３に示す「２」の内容である。
【００２８】
図２及び図３に示すように、具体的ポリシー情報は、システムコールなどを用いたアクセス制御を実行する上での詳細な規則が記述されたポリシー情報であるため、アクセス制御装置１００の利用者は、当該具体的ポリシー情報のみしか扱えないとすると、当該ポリシー情報の作成作業に対する煩雑感を抱くことになる。本実施形態では、具体的ポリシー情報よりも抽象的な記述された抽象的ポリシー情報の入力が可能であるため、アクセス制御装置１００の利用者は、ポリシー情報を記述する上での煩雑さを解消することができる。
【００２９】
又、ポリシー情報変換制御部１１は、アクセス制御装置１００が動作する実行環境の種類に応じて、アプリケーション５０に対応する変換テーブル４０を構成する具体的ポリシー情報を変更するものである。ポリシー情報変換制御部１１は、具体的ポリシー情報変更部を構成する。
【００３０】
上記実行環境情報は、アクセス制御装置１００が動作する装置の情報、例えば、ＯＳのバージョン、システムコール列等のソフトウェア情報や、ＣＰＵの情報、リソースを動作させる設定条件（イーサネット（登録商標）の種類等）等の情報に関するハードウェア情報が挙げられる。
【００３１】
例えば、図３に示すように、実行環境の内容がイーサネット（登録商標）１（“eth1（イーサネット（登録商標）１）”）である場合には、ポリシー情報変換制御部１１は、アプリケーション５０に対応する変換テーブル４０を構成する具体的ポリシー情報のうち、実行環境の種類に関係する部分（図３に示す「Ａ」参照）に当該“eth1”を設定する。
【００３２】
又、ポリシー情報変換制御部１１は、アクセス制御実行部２０によるアクセス制御の結果に応じて、後述する共通変数等を変更するものである。ポリシー情報変換制御部１１は、共通変数変更部を構成する。
【００３３】
変換テーブル記憶部１２は、抽象的ポリシー情報及び具体的ポリシー情報により構成された変換テーブル４０をアプリケーション５０毎に記憶するものである（図４参照）。図４に示すように、変換テーブル４０のうちの「変換前」には抽象的ポリシー情報が含まれている。変換テーブル４０のうちの「変換後」には具体的ポリシー情報が含まれている。
【００３４】
共通変数記憶部１３は、一のリソース２００に対するアクセス制御が実行される際に、アクセス制御に複数のアプリケーション５０が同時に用いられる場合には、当該複数のアプリケーション５０に対応する具体的ポリシー情報に含まれる共通変数を記憶するものである。
【００３５】
実行環境情報検出部１４は、上記実行環境を示す実行環境情報３００を検出するものである。
【００３６】
アクセス制御実行部２０は、ＯＳ６０上で動作するものであり、ポリシー情報変換制御部１１により変換された具体的ポリシー情報に従って、リソース２００に対するアクセス制御（システムコール等を用いたアクセス制御、ニーモニックレベルでのアクセス制御）を実行するものである。
【００３７】
又、アクセス制御実行部２０は、複数のアプリケーション５０を同時に用いて一のリソース２００に対するアクセス制御を実行する場合には、共通変数記憶部１３に記憶された共通変数を用いて当該一のリソース２００に対するアクセス制御を実行する。
【００３８】
ポリシー情報修正部４００は、入力された具体的ポリシー情報に対する修正情報の内容に応じて、ポリシー情報変換部１０により変換された具体的ポリシー情報を変更するものである。修正情報は、アクセス制御装置１００を扱う者、アプリケーション開発者などの利用者が特定のアクセス制御を制限するためのポリシー情報を含んでいる。修正情報は、ポリシー情報修正部４００に予め設定されているものとする。なお、ポリシー情報修正部４００は、具体的ポリシー情報修正部を構成する。
【００３９】
（アクセス制御装置の動作）
次に、アクセス制御装置の動作について図面を参照しながら説明する。図５は、本実施形態におけるアクセス制御装置１００の動作を示す図である。
【００４０】
図５に示すように、Ｓ１０１において、アプリケーション５０は、入力された抽象的ポリシー情報をポリシー情報変換制御部１１に送信する。
【００４１】
Ｓ１０２において、ポリシー情報変換制御部１１は、アプリケーション５０から抽象的ポリシー情報を受信したことに基づいて、実行環境を示す実行環境情報３００を検出するように指示する検出指示情報を実行環境情報検出部１４に送信する。
【００４２】
Ｓ１０３において、実行環境情報検出部１４は、ポリシー情報変換制御部１１から受信した検出指示情報に基づいて実行環境情報３００を検出し、Ｓ１０４において、検出した実行環境情報３００をポリシー情報変換制御部１１に送信する。
【００４３】
Ｓ１０５において、ポリシー情報変換制御部１１は、抽象的ポリシー情報の送信元のアプリケーション５０に対応する変換テーブル４０を取得する。
【００４４】
例えば、変換テーブル４０がアプリケーション５０に含まれている場合には、ポリシー情報変換制御部１１は、抽象的ポリシー情報の送信元のアプリケーション５０に含まれる変換テーブル４０を取得する。
【００４５】
又は、ネットワークに接続されたサーバーに変換テーブル４０がアプリケーション５０毎に記憶されている場合には、ポリシー情報変換制御部１１は、抽象的ポリシー情報の送信元のアプリケーション５０に対応する変換テーブル４０を当該サーバーから取得する。
【００４６】
Ｓ１０６において、ポリシー情報変換制御部１１は、Ｓ１０４により受信した実行環境情報３００の内容（例えば、イーサネット（登録商標）の種類）に応じて、変換テーブル記憶部１２に記憶された変換テーブル４０の一部の内容を設定する。
【００４７】
例えば、図４に示すように、実行環境情報３００の内容がイーサネット（登録商標）１を示す情報である場合には、ポリシー情報変換制御部１１は、抽象的ポリシー情報の送信元のアプリケーション５０に対応する変換テーブル４０における「変換後」の内容のうち、当該実行環境情報３００に関係する部分（図４に示す「Ａ」参照）に、イーサネット（登録商標）１を示す情報として“eth1”を設定する。
【００４８】
そして、ポリシー情報変換制御部１１は、上記変換テーブル４０を変換テーブル記憶部１２に記憶させる。ポリシー情報変換制御部１１は、既に取得した変換テーブル４０と同一の変換テーブル４０を参照する場合には、変換テーブル記憶部１２に記憶された変換テーブル４０を直接参照するため、再びアプリケーション５０又はサーバー（図示せず）から変換テーブル４０を取得する必要がなくなり、変換テーブル４０を参照するまでの時間をより短縮することができる。
【００４９】
Ｓ１０７において、ポリシー情報変換制御部１１は、変換テーブル記憶部１２に記憶された変換テーブル４０を参照し、Ｓ１０１により受信された抽象的ポリシー情報を具体的ポリシー情報に変換する。
【００５０】
例えば、利用しているアプリケーション１に対応する抽象的ポリシー情報の内容が図３に示す「１」である場合には、先ず、ポリシー情報変換制御部１１は、図４に示すアプリケーション１に対応する変換テーブル４０−１を参照し、図３に示す「１」の一部分である「if(throughput>1Mbps)」を「tp=checkIF(“eth1”,TP);    IF(tp>1Mbps){F()}」に変換する。変換後の「tp=checkIF(“eth1”,TP);    IF(tp>1Mbps){F()}」は、具体的ポリシー情報の一部となる。
【００５１】
そして、ポリシー情報変換制御部１１は、図３に示す「１」の一部分である上記「if(throughput>1Mbps)」以外の部分についても、上記と同様の処理により具体的ポリシー情報の一部として順次変換することにより、全体の抽象的ポリシー情報（図３に示す「１」）を具体的ポリシー情報（図３に示す「２」）に変換する。      
Ｓ１０８において、ポリシー情報変換制御部１１は、一のリソース２００に対するアクセス制御が実行される際に、当該アクセス制御に複数のアプリケーション５０が同時に用いられる場合には、当該複数のアプリケーション５０に対応する具体的ポリシー情報（変換後の具体的ポリシー情報）に含まれる共通変数を共通変数記憶部１３に設定する。
【００５２】
例えば、「通信量が１Ｍｂｐｓ以上である場合には通信量を８００Ｍｂｐｓに抑制する」というポリシー情報が存在し、複数のアプリケーション５０が同時に用いられることにより当該ポリシー情報に関係する具体的ポリシー情報に従って一のリソース２００に対するアクセス制御が実行される場合には、ポリシー情報変換制御部１１は、当該複数のアプリケーション５０に対応する具体的ポリシー情報に含まれる共通変数を共通変数記憶部１３に設定する。
【００５３】
Ｓ１０９において、ポリシー情報変換制御部１１は、変換後の具体的ポリシー情報をアクセス制御実行部２０に送信する。
【００５４】
Ｓ１１０において、アクセス制御実行部２０は、ポリシー情報変換制御部１１から受信した具体的ポリシー情報に従ってリソース２００に対するアクセス制御を実行する。
【００５５】
Ｓ１１１において、アクセス制御実行部２０は、リソース２００に対するアクセス制御の実行履歴や、変更した共通変数等を含むアクセス制御実行結果情報をポリシー情報変換制御部１１に送信する。
【００５６】
かかる特徴によれば、アクセス制御装置１００は、アプリケーション５０毎に記憶された変換テーブル４０のそれぞれのうち、利用しているアプリケーション５０に対応する変換テーブル４０「のみ」を参照し、当該抽象的ポリシー情報を具体的ポリシー情報に変換する。
【００５７】
すなわち、アクセス制御装置１００が、利用しているアプリケーション５０に対応する変換テーブル４０「のみ」を参照すればよく、それ以外の変換テーブルを参照する必要がないため、アクセス制御装置１００は、必要以上に変換テーブル４０を備える必要がなくなり、利用者がポリシー情報を記述する上での簡便性を損なうことなく、確実なアクセス制御を実現することができる。
【００５８】
又、一のリソース２００に対するアクセス制御が実行される際に、アクセス制御に複数のアプリケーション５０が同時に用いられる場合には、アクセス制御装置１００は、当該複数のアプリケーション５０に具体的ポリシー情報に含まれる共通の変数を共通変数として設定する。
【００５９】
このため、アクセス制御装置１００は、同時に実行される複数のアプリケーション５０のそれぞれに対応する具体的ポリシー情報の抽象度が異なっても、当該共通変数を用いることにより当該複数のアプリケーション５０に基づく包括的なアクセス制御を一のリソース２００に対して実行することができる。
【００６０】
次に、上記Ｓ１１１においてアクセス制御実行部２０がアクセス制御実行結果情報をポリシー情報変換制御部１１に送信した後のアクセス制御装置１００の動作について図６を参照しながら説明する。
【００６１】
図６に示すように、Ｓ２０１において、アクセス制御実行部２０は、アクセス制御実行結果情報をポリシー情報変換制御部１１に送信する。この処理は、上述したＳ１１１の処理と同様である。
【００６２】
Ｓ２０２において、ポリシー情報変換制御部１１は、アクセス制御実行結果情報に共通変数の変更内容等が含まれていることに基づいて、共通変数記憶部１３に記憶されている共通変数の内容等を更新する。
【００６３】
Ｓ２０３において、ポリシー情報変換制御部１１は、更新した共通変数等に基づいて具体的ポリシー情報を更新する。例えば、ポリシー情報変換制御部１１は、複数のアプリケーション５０で用いられる共通変数を更新した場合には、更新した共通変数を用いて当該複数のアプリケーション５０のそれぞれに対応する具体的ポリシー情報を更新する。
【００６４】
Ｓ２０４において、ポリシー情報変換制御部１１は、更新した具体的ポリシー情報をアクセス制御実行部２０に送信する。
【００６５】
Ｓ２０５において、アクセス制御実行部２０は、ポリシー情報変換制御部１１から受信した具体的ポリシー情報に従ってリソース２００に対するアクセス制御を実行する。なお、アクセス制御実行部２０が上記アクセス制御実行結果情報をポリシー情報変換制御部１１に送信することにより、アクセス制御装置１００は、上記Ｓ２０２乃至上記Ｓ２０５と同様の処理を繰り返し実行する。
【００６６】
かかる特徴によれば、アクセス制御装置１００が、アクセス制御実行部２０によるアクセス制御の結果に応じて共通変数を順次変更することにより、同時に実行している複数のアプリケーション５０に対応する具体的ポリシー情報を適切に変更することができるため、アクセス制御装置１００は、変更した具体的ポリシー情報に従って、適切なアクセス制御を一のリソース２００に対して実行することができる。
【００６７】
次に、アクセス制御装置１００に接続されたデバイス等が切替えられたことに伴ない、実行環境が切替えられた場合のアクセス制御装置１００の動作について図７を参照しながら説明する。
【００６８】
図７に示すように、Ｓ３０１において、実行環境情報検出部１４は、実行環境が切替えられたことを検出する。
【００６９】
Ｓ３０２において、実行環境情報検出部１４は、切替えられた実行環境を示す実行環境情報３００をポリシー情報変換制御部１１に送信する。
【００７０】
Ｓ３０３において、ポリシー情報変換制御部１１は、実行環境情報検出部１４から受信した実行環境情報３００に基づいて、変換テーブル記憶部１２に記憶された変換テーブル４０における図４に示す「変換後」の内容のうち、当該実行環境情報３００に関係する部分（図４に示す「Ａ」）に上記実行環境情報３００を設定する。
【００７１】
Ｓ３０４乃至Ｓ３０９までの処理は上述したＳ１０６乃至Ｓ１１１までの処理と同様であるため、ここでの詳細な説明は省略する。
【００７２】
かかる特徴によれば、実行環境（例えば、イーサネット（登録商標）の種類）が切替えられ、アクセス制御を実行する対象のリソース２００（例えば、イーサネット（登録商標）に関係するリソース）が変更された場合には、アクセス制御装置１００は、現在の具体的ポリシー情報を、切替えられた実行環境の内容に応じた具体的ポリシー情報（例えば、イーサネット（登録商標）に関係するシステムコールの引数を変更した具体的ポリシー情報）に変更する。
【００７３】
このため、アクセス制御装置１００は、実行環境が切替えられたことにより対象となるリソース２００が変更されても、実行環境の内容に応じて具体的ポリシー情報を変更することにより、変更後のリソース２００に対するアクセス制御を適切に実行することができる。
【００７４】
次に、変換された具体的ポリシー情報がそのまま用いられずに適宜修正される場合のアクセス制御装置１００の動作について図８を参照しながら説明する。
【００７５】
図８に示すように、Ｓ４０１乃至Ｓ４０８までの処理は、上述した図５に示すＳ１０１乃至上記Ｓ１０８までの処理と同様であるため、ここでの詳細な説明は省略する。
【００７６】
Ｓ４０９において、ポリシー情報変換制御部１１は、変換後の具体的ポリシー情報をポリシー情報修正部４００に送信する。
【００７７】
Ｓ４１０において、ポリシー情報修正部４００は、ポリシー情報変換制御部１１から受信した具体的ポリシー情報に対応する修正情報が設定されている場合には、該修正情報の内容に応じて該具体的ポリシー情報を変更する。
【００７８】
Ｓ４１１において、ポリシー情報修正部４００は、変更した具体的ポリシー情報をポリシー情報変換制御部１１に送信する。
【００７９】
Ｓ４１２において、ポリシー情報変換制御部１１は、ポリシー情報修正部４００から受信した具体的ポリシー情報をアクセス制御実行部２０に送信する。
【００８０】
Ｓ４１３において、アクセス制御実行部２０は、ポリシー情報変換制御部１１から受信した具体的ポリシー情報に従ってリソース２００に対するアクセス制御を実行する。
【００８１】
Ｓ４１４において、アクセス制御実行部２０は、リソース２００に対するアクセス制御の実行履歴や、変更した共通変数等を含むアクセス制御実行結果情報をポリシー情報変換制御部１１に送信する。
【００８２】
かかる特徴によれば、アクセス制御装置１００が、アクセス制御装置１００を扱う通信事業者、サービスプロバイダ、アプリケーション開発者などの利用者により設定された修正情報の内容に応じて具体的ポリシー情報を変更するため、アクセス制御装置１００は、当該利用者が所望するアクセス制御を適切に実行することができる。
【００８３】
なお、本実施形態におけるポリシー情報変換部１０は、アクセス制御装置１００に備えられているが、これに限定されずに、ネットワークに接続されたサーバー（図示せず）に備えられてもよい。この場合には、ポリシー情報変換部１０がアクセス制御装置１００に備えられない分、ポリシー情報修正部４００がアクセス制御装置１００に備えられてもよい。
【００８４】
なお、本実施形態におけるアクセス制御装置１００は、ポリシー情報修正部４００を備えていないが、これに限定されずにポリシー情報修正部４００を備えてもよい。
【００８５】
（アクセス制御プログラム）
上記アクセス制御装置において動作するアクセス制御プログラムは、上記アクセス制御装置を構成する各部としてコンピュータを機能させるものである。アクセス制御プログラムは、記録媒体に記録されてもよい。この記録媒体は、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどが挙げられる。
【００８６】
以上、本発明の一例を説明したが、具体例を例示したに過ぎず、特に本発明を限定するものではなく、各部の具体的構成等は、適宜設計変更可能である。また、実施形態の作用及び効果は、本発明から生じる最も好適な作用及び効果を列挙したに過ぎず、本発明による作用及び効果は、実施形態に記載されたものに限定されるものではない。
【図面の簡単な説明】
【００８７】
【図１】実施形態におけるアクセス制御装置の内部構成を示す図である。
【図２】実施形態における抽象的ポリシー情報及び具体的ポリシー情報の関係を示す図である。
【図３】実施形態における抽象的ポリシー情報及び具体的ポリシー情報の内容を示す図である。
【図４】実施形態における変換テーブルの内容を示す図である。
【図５】実施形態におけるアクセス制御装置の動作を示す図である（その１）。
【図６】実施形態におけるアクセス制御装置の動作を示す図である（その２）。
【図７】実施形態におけるアクセス制御装置の動作を示す図である（その３）。
【図８】実施形態におけるアクセス制御装置の動作を示す図である（その４）。
【符号の説明】
【００８８】
１０…ポリシー情報変換部、１１…ポリシー情報変換制御部、１２…変換テーブル記憶部、１３…共通変数記憶部、１４…実行環境情報検出部、２０…アクセス制御実行部、４０…変換テーブル、５０…アプリケーション、１００…アクセス制御装置、２００…リソース、３００…実行環境情報、４００…ポリシー情報修正部
【図１】
2007087248.tif 000003
【図２】
2007087248.tif 000004
【図３】
2007087248.tif 000005
【図４】
2007087248.tif 000006
【図５】
2007087248.tif 000007
【図６】
2007087248.tif 000008
【図７】
2007087248.tif 000009
【図８】
2007087248.tif 000010