(57)【要約】【課題】階層構造内のアクセス管理を適切、且つ容易に行なうことを目的とする。【解決手段】判定区間指定データ保持手段に保持されている判定区間指定データから、判定対象指定データ保持手段に保持されている指定データが指すオブジェクトのアクセス権の判定に適用する階層構造の判定区間を決定する判定区間決定手段と、判定区間決定手段において決定された判定区間のオブジェクトに対して、判定対象指定データ保持手段に保持されているオブジェクトのアクセス権がアクセス可能か否かを判定するアクセス権判定手段と、を有することによって上記課題を解決する。【選択図】図４
2007140576.tif 000002
【特許請求の範囲】
【請求項１】
階層構造に配置したオブジェクトのアクセス管理を行なうアクセス管理装置であって、
前記階層構造の区間を指定する判定区間指定データを保持する判定区間指定データ保持手段と、
アクセス権の判定の対象となるオブジェクトを指定する指定データを保持する判定対象指定データ保持手段と、
前記判定区間指定データ保持手段に保持されている判定区間指定データから、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトのアクセス権の判定に適用する階層構造の判定区間を決定する判定区間決定手段と、
前記判定区間決定手段において決定された判定区間のオブジェクトに対して、前記判定対象指定データ保持手段に保持されているオブジェクトのアクセス権がアクセス可能か否かを判定するアクセス権判定手段と、
を有することを特徴とするアクセス権管理装置。
【請求項２】
前記アクセス権判定手段は、前記判定区間決定手段において決定された判定区間のオブジェクトに対して、各オブジェクトに対するユーザ又はユーザが所属するグループごとのアクセス権設定データが、アクセス権の判定の対象となるユーザ又はユーザが所属するグループを指定するユーザ・グループ指定データが指し示すユーザ又はユーザが所属するグループに対して、アクセス可能を示している場合に、前記判定対象指定データ保持手段に保持されているオブジェクトのアクセス権をアクセス可能と判定することを特徴とする請求項１に記載のアクセス権管理装置。
【請求項３】
前記アクセス権判定手段が判定した判定結果を保持する判定結果保持手段を更に有することを特徴とする請求項１又は２に記載のアクセス権管理装置。
【請求項４】
前記アクセス権設定データを保持するアクセス権設定データ保持手段を更に有することを特徴とする請求項１乃至３の何れか１項に記載のアクセス権管理装置。
【請求項５】
前記ユーザ・グループ指定データを保持するユーザ・グループ指定データ保持手段を更に有することを特徴とする請求項１乃至４の何れか１項に記載のアクセス権管理装置。
【請求項６】
前記判定区間指定データは、判定区間の端点となるオブジェクトを指示する端点オブジェクト指定データを含み、
前記判定区間決定手段は、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトを一つの端点とし、前記端点オブジェクト指定データが指すオブジェクトをもう一つの端点として、前記判定区間を決定することを特徴とする請求項１乃至５の何れか１項に記載のアクセス権管理装置。
【請求項７】
前記判定区間指定データは、判定区間の端点となるオブジェクトを指示する端点オブジェクト指定データを含み、
前記判定区間決定手段は、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトを一つの端点とし、前記オブジェクトから前記階層構造を上位に辿り、前記端点オブジェクト指定データが指すオブジェクトに到達する場合は、前記オブジェクトをもう一つの端点として、到達しない場合は、前記階層構造の最上位に位置するオブジェクトをもう一つの端点として、前記判定区間を決定することを特徴とする請求項１乃至５の何れか１項に記載のアクセス権管理装置。
【請求項８】
前記判定区間指定データは、判定区間の端点となるオブジェクトを指示する端点オブジェクト指定データを含み、
前記判定区間決定手段は、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトを一つの端点とし、前記オブジェクトから前記階層構造を上位に辿り、前記端点オブジェクト指定データが指すオブジェクトに到達する場合は、前記オブジェクトをもう一つの端点として、到達しない場合は、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトをもう一つの端点として、前記判定区間を決定することを特徴とする請求項１乃至５の何れか１項に記載のアクセス権管理装置。
【請求項９】
階層構造に配置したオブジェクトのアクセス管理を行なうアクセス管理装置におけるアクセス権管理方法であって、
前記アクセス権管理装置は、
前記階層構造の区間を指定する判定区間指定データを保持する判定区間指定データ保持手段と、
アクセス権の判定の対象となるオブジェクトを指定する指定データを保持する判定対象指定データ保持手段と、を有し、
前記判定区間指定データ保持手段に保持されている判定区間指定データから、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトのアクセス権の判定に適用する階層構造の判定区間を決定する判定区間決定ステップと、
前記判定区間決定手段において決定された判定区間のオブジェクトに対して、前記判定対象指定データ保持手段に保持されているオブジェクトのアクセス権がアクセス可能か否かを判定するアクセス権判定ステップと、
を有することを特徴とするアクセス権管理方法。
【請求項１０】
請求項９に記載のアクセス権管理方法をコンピュータに実行させることを特徴とするプログラム。
【請求項１１】
請求項１０に記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス権管理装置、及びアクセス権管理方法に関する。
【背景技術】
【０００２】
従来、文書管理システムやファイルシステム等では、フォルダや文書（あるいはファイル）等のオブジェクトを階層構造に配置して保持している。これらのオブジェクトに対して、ユーザごとにアクセス権を設定し、アクセスが認められるユーザのみがオブジェクトを利用できるアクセス管理の仕組みを持つことが多い。アクセス権の種類には、読出し権、作成権、削除権等様々な種類がある。本発明においては、これらのアクセス権の種別を問わないので、ここではアクセス権の有無だけを管理する例に限るが、これに限定されるものではない。
【０００３】
階層構造にオブジェクトが配置されている時に、従来のアクセス管理装置では、次の異なる２種のアクセス権モデルのいずれかを採用している。一つは、単独判定モデルである。単独判定モデルは、あるオブジェクトのアクセス権を判定する場合、当該オブジェクトのアクセス権の有無だけを用いて判定するモデルである。
【０００４】
図１は、単独判定モデルで各オブジェクトのアクセス権判定を行なった結果を示す図である。図１において、７０１等の楕円がオブジェクトを示す。線で結ばれたオブジェクトは階層関係にあり、図上で上方にあるオブジェクトが上位オブジェクトである。７９１は、オブジェクト７０１に設定されたアクセス権設定である。○はアクセス可能を示すアクセス権設定を表す。×はアクセス不可を示すアクセス権設定を表す。アクセス権はユーザやグループごとに設定するが、ここでは簡単化のため、あるユーザに限定したアクセス権を示している。他のオブジェクトについても同様にアクセス権設定を図示している。オブジェクトを示す楕円中に記された○×は、アクセス権判定結果を示す。○は、アクセス権判定結果がアクセス可能であることを表す。×は、アクセス権判定結果がアクセス不可であることを示す。
【０００５】
もう一つは、パス判定モデルである。パス判定モデルでは、階層構造における最上位オブジェクトから、アクセス権を判定するオブジェクトまでのパス上にある全てのオブジェクトにおいてアクセス権がある場合にのみ、判定対象オブジェクトのアクセス権をありと判定するモデルである。図２は、パス判定モデルで各オブジェクトのアクセス権判定を行なった結果を示す図である。記法は図１と同様である。オブジェクト８３２は、自身のアクセス権設定はアクセス可能であるが、上位オブジェクトにおいてアクセス不可となっているため、アクセス権判定結果はアクセス不可となる。
【０００６】
パス判定モデルの実現方法としては、２種の方法がある。一つは、各オブジェクトには自由にアクセス権を設定できるが、アクセス権判定時に、パス上の全てのアクセス権を反映して、判定対象オブジェクトのアクセス権を決定する方法である。もう一つは、各オブジェクトに設定できるアクセス権を、上位オブジェクトと同じか弱いアクセス権に限定する方法である。この種のアクセス管理装置が、特許文献１で開示されている。
【０００７】
【特許文献１】特開２００４−６２７８０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、上記のいずれかのアクセス権判定モデルを採用したアクセス管理装置には、それぞれ問題点がある。
【０００９】
まず、単独判定モデルでは、階層構造の一部に対して、まとめてアクセス権を設定できないという問題点がある。あるオブジェクトより下位にあるオブジェクト全てについて、アクセス可能なユーザを限定するといったアクセス権設定ができない。例えば、図１において、オブジェクト７２３より下位のオブジェクト全てについてアクセス不可としたい場合でも、下位オブジェクト７３２でアクセス可能と設定できてしまう。オブジェクトにアクセスする際に、最上位オブジェクトから辿らないとアクセスできないような文書管理装置であれば、この問題は生じない。しかし、検索やショートカット機能によって、オブジェクトに直接アクセスできる場合には問題となる。
【００１０】
一方、パス判定モデルでは、階層構造の一部しか利用しない場合でも、最上位のオブジェクトからアクセス権を必ず設定しなければならないという問題点がある。例えば、図３において、オブジェクト９１１の下だけを利用する場合を考える。例えば、オブジェクト９１１へのショートカットがあり、その下だけを利用するという場合である。この場合、図３のようにその上位でアクセス権がアクセス可能になっていないと、オブジェクト９１１の下を全て利用できない。利用できるようにするためには、上位のオブジェクト全てにアクセス可能を設定する必要がある。一部しか利用しないユーザのために、上位オブジェクトに全てのユーザのアクセス権を設定することは煩雑である。また、オブジェクト９１１以下を管理するユーザには、上位オブジェクトにアクセス権を設定する権限がない場合も多い。
【００１１】
本発明は上記の点に鑑みなされたもので、階層構造内のアクセス管理を適切、且つ容易に行なうことを目的とする。
【課題を解決するための手段】
【００１２】
そこで、上記問題を解決するため、本発明は、階層構造に配置したオブジェクトのアクセス管理を行なうアクセス管理装置であって、前記階層構造の区間を指定する判定区間指定データを保持する判定区間指定データ保持手段と、アクセス権の判定の対象となるオブジェクトを指定する指定データを保持する判定対象指定データ保持手段と、前記判定区間指定データ保持手段に保持されている判定区間指定データから、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトのアクセス権の判定に適用する階層構造の判定区間を決定する判定区間決定手段と、前記判定区間決定手段において決定された判定区間のオブジェクトに対して、前記判定対象指定データ保持手段に保持されているオブジェクトのアクセス権がアクセス可能か否かを判定するアクセス権判定手段と、を有することを特徴とする。
【００１３】
本発明によれば、階層構造に配置したオブジェクトのアクセス管理を行なうアクセス管理装置であって、前記階層構造の区間を指定する判定区間指定データを保持する判定区間指定データ保持手段と、アクセス権の判定の対象となるオブジェクトを指定する指定データを保持する判定対象指定データ保持手段と、前記判定区間指定データ保持手段に保持されている判定区間指定データから、前記判定対象指定データ保持手段に保持されている指定データが指すオブジェクトのアクセス権の判定に適用する階層構造の判定区間を決定する判定区間決定手段と、前記判定区間決定手段において決定された判定区間のオブジェクトに対して、前記判定対象指定データ保持手段に保持されているオブジェクトのアクセス権がアクセス可能か否かを判定するアクセス権判定手段と、を有することにより、例えば、利用する階層構造内で各オブジェクトにアクセス権を設定することなく、一方、階層構造の一部だけを利用する場合にも、それより上位にアクセス権を設定することなく、階層構造内のアクセス管理を適切、且つ容易に行なうことができる。
【００１４】
また、上記問題を解決するため、本発明は、アクセス権管理方法、プログラム、及び記録媒体としてもよい。
【発明の効果】
【００１５】
本発明によれば、階層構造内のアクセス管理を適切、且つ容易に行なうことができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明の実施形態について図面に基づいて説明する。
【００１７】
（実施形態１）
図４は、本実施形態のアクセス管理装置の機能ブロックを示す図である。
【００１８】
２０１は、各オブジェクトに対するユーザごとのアクセス権設定データを保持するアクセス権設定データ保持部である。アクセス権設定データ保持部２０１は、オブジェクトを一意に定める番号であるオブジェクトＩＤ、ユーザを一意に定めるユーザＩＤ、アクセス権の有無を示すｂｏｏｌｅａｎ型のアクセス許可データの組を保持する。
【００１９】
これらのデータは、オブジェクトＩＤが示すオブジェクトに対して、ユーザＩＤが示すユーザにアクセスを許可するかをｂｏｏｌｅａｎ型で示したデータである。アクセス許可データがｔｒｕｅの場合はアクセスを認めることを示し、ｆａｌｓｅの場合はアクセスを認めないことを示す。これらのデータは、オブジェクトＩＤと、ユーザＩＤとを指定されると検索することができる構造で、アクセス権設定データ保持部２０１において保持される。
【００２０】
２０２は、アクセス権判定に適用する階層構造上の区間を指定する判定区間指定データを保持する判定区間指定データ保持部である。判定区間指定データは、データタイプ識別子と、オブジェクトＩＤとの組である。本実施形態では、データタイプ識別子は、「ｓｔｏｐ」だけである。あるオブジェクトのアクセス権判定において、前記オブジェクトから、前記オブジェクトの上位オブジェクトで「ｓｔｏｐ」識別子が設定されている最も近いオブジェクトまでのパス上の全オブジェクトが判定区間として用いられる。
【００２１】
２０３は、アクセス権判定の対象となるオブジェクトを指定するデータを保持する判定対象指定データ保持部である。ここには、アクセス権判定処理を実行する際に、判定対象オブジェクトを指すオブジェクトＩＤが保持される。
【００２２】
２０４は、アクセス権判定の対象となるユーザを指定するデータを保持する判定ユーザ指定データ保持部である。ここには、アクセス権判定処理を実行する際に、判定対象となるユーザを示すユーザＩＤが保持される。
【００２３】
２０５は、判定区間指定データ保持部２０２に保持されている判定区間指定データから、判定対象指定データ保持部２０３に保持されている判定対象指定データが指すオブジェクトのアクセス権判定に用いる階層構造上の判定区間を決定する判定区間決定部である。判定区間決定部２０５の処理については後述する。
【００２４】
２０６は、判定区間決定部２０５により決定された判定区間上の全オブジェクトに対して、判定対象指定データ保持部２０３に保持されているオブジェクトのアクセス権がアクセス可能か否かを判定するアクセス権判定部である。アクセス権判定部２０６は、アクセス権設定データ保持部２０１に保持されているアクセス権設定データが、判定ユーザ指定データ保持部２０４に保持されている判定ユーザ指定データが指すユーザに対してアクセス可能を示している場合、アクセス可能と判定する。アクセス権判定部２０６の処理については後述する。
【００２５】
２０７は、アクセス権判定部２０６により判定された判定結果を保持する判定結果保持部である。判定結果は、ｂｏｏｌｅａｎ型のデータである。値がｔｒｕｅの場合は、アクセス可能であることを示し、ｆａｌｓｅである場合はアクセス不可であることを示す。
【００２６】
図５は、本実施形態におけるアクセス管理装置のハードウェア構成を示す図である。図５において３０１はＣＰＵであり上記各モジュールを実現するプログラムを実行する。３０２はメモリであり、上記各モジュールを実現するプログラムやプログラムの動作に必要な領域及び判定対象指定データ保持部２０３、判定ユーザ指定データ保持部２０４、判定結果保持部２０７を実現する。
【００２７】
３０３は、ＲＯＭであり、上記各モジュールを実現するプログラムを格納する。３０４は、ディスク装置であり、アクセス権設定データ保持部２０１、判定区間設定データ保持部２０２を実現する。３０５はバスであり、上記各ハードウェアモジュール間のデータ転送と制御信号伝達を行なう。
【００２８】
判定対象指定データ保持部２０３、判定ユーザ指定データ保持部２０４、判定結果保持部２０７、アクセス権設定データ保持部２０１、判定区間設定データ保持部２０２へのデータの入出力は、他の処理部が行なう。この場合、ディスプレイへの出力やキーボード、マウスからの入力を制御するモジュールがバス２０５に結合する構成をとることもある。或いはネットワークインタフェースがバス２０５に結合して、ネットワークを介して、各保持部とのデータ入出力を実現する構成をとることもある。
【００２９】
図６は、本実施形態のアクセス管理装置における判定区間決定処理の概要を示すフローチャートである。
【００３０】
本処理は、前述した何らかの入力方法により、判定対象指定データ保持部２０３と判定ユーザ指定データ保持部２０４とに、それぞれオブジェクトＩＤとユーザＩＤとが保持されることにより起動される。
【００３１】
ステップ４０１では、判定区間決定部２０５が、処理中のオブジェクトＩＤを保持する処理中ＩＤに、判定対象指定データ保持部２０３に保持されているオブジェクトＩＤを代入する。そしてステップ４０２に移る。
【００３２】
ステップ４０２では、判定区間決定部２０５が、判定区間に属するオブジェクトＩＤを保持するリストである判定区間リストに、処理中ＩＤを追加する。なお、判定区間リストは、本処理の起動時に空に初期化されている。そして、ステップ４０３に移る。
【００３３】
ステップ４０３では、判定区間決定部２０５が、判定区間指定データ保持部２０２から、オブジェクトＩＤが処理中ＩＤである判定区間データを検索する。このようなデータが検索され、且つ当該データのデータタイプ識別子が「ｓｔｏｐ」である場合は、処理を終了する。これ以外の場合は、ステップ４０４に移る。
【００３４】
ステップ４０４では、判定区間決定部２０５が、処理中ＩＤが示すオブジェクトが階層構造の最上位オブジェクトであるか否かを調べる。これは、オブジェクトを階層構造で管理するモジュールに対してリクエストを発行することで取得することができる。最上位オブジェクトである場合は、処理を終了する。最上位オブジェクトでない場合は、ステップ４０５に移る。
【００３５】
ステップ４０５では、判定区間決定部２０５が、処理中ＩＤが示すオブジェクトの上位オブジェクトのＩＤを取得する。これは、オブジェクトを階層構造で管理するモジュールに対してリクエストを発行することで取得することができる。取得した上位オブジェクトのＩＤを処理中ＩＤに代入する。そして、ステップ４０２に移る。
【００３６】
処理が終了した時点で、判定区間リストに入っているオブジェクトＩＤが示す各オブジェクトが、判定区間に属するオブジェクトとなる。
【００３７】
図７は、本実施形態のアクセス管理装置におけるアクセス権判定処理の概要を示すフローチャートである。
【００３８】
本処理は、前述の判定区間決定処理が終了すると起動される。
【００３９】
ステップ５０１では、アクセス権判定部２０６が、判定区間決定処理で求めた判定区間リストから要素を一つ取り、その値を処理中ＩＤとする。そしてステップ５０２に移る。
【００４０】
ステップ５０２では、アクセス権判定部２０６が、アクセス権設定データ保持部２０１から、オブジェクトＩＤの値が処理中ＩＤであり、ユーザＩＤの値が判定指定ユーザ保持部２０４に保持されているユーザＩＤであるアクセス権設定データを取得する。取得したアクセス権設定データのアクセス許可データがｔｒｕｅである場合は、ステップ５０３に移る。アクセス許可データがｆａｌｓｅである場合は、ステップ５０６に移る。
【００４１】
ステップ５０３では、アクセス権判定部２０６が、判定区間リストから、処理中ＩＤを削除する。そして、ステップ５０４に移る。
【００４２】
ステップ５０４では、アクセス権判定部２０６が、判定区間リストが空であるかを調べ、空である場合はステップ５０５に移る。空でない場合は、ステップ５０１に移る。
【００４３】
ステップ５０５では、アクセス権判定部２０６が、判定結果保持部２０７の値をｔｒｕｅとする。そして、処理を終了する。
【００４４】
ステップ５０６では、アクセス権判定部２０６が、判定結果保持部２０７の値をｆａｌｓｅとする。そして、処理を終了する。
【００４５】
上述したように、アクセス管理装置は、オブジェクトのアクセス権判定において、「ｓｔｏｐ」が設定されたオブジェクトより下位にあるオブジェクトの場合は、「ｓｔｏｐ」が設定されたオブジェクトから当該オブジェクトに至るパス上の全てのオブジェクトのアクセス権を判定する。アクセス管理装置は、「ｓｔｏｐ」が設定されたオブジェクトから当該オブジェクトに至るパス上の全てのオブジェクトのアクセスが許可されている場合にのみ、当該オブジェクトをアクセス可能と判定する。
【００４６】
図８は、本実施形態のアクセス管理装置におけるアクセス権判定結果を示す図である。図８において、１９１は、オブジェクト１１２に対するアクセス権設定を示す。１９２は、オブジェクト１１２に対して、「ｓｔｏｐ」識別子である判定区間指定データが設定されていることを示す。この例では、オブジェクト１０１のアクセス権設定がアクセス不可であっても、オブジェクト１１１やオブジェクト１１２より下のアクセス権判定には、このオブジェクト１０１のアクセス権設定が不可である影響はない。一方、オブジェクト１１１やオブジェクト１１２の下位オブジェクトについては、それらの上位オブジェクトのアクセス権設定が反映される。
【００４７】
即ち、階層構造の一部に対してパス判定モデルを適用することができるので、例えば、階層構造の一部にアクセスできるユーザが限定したい場合に、一つのオブジェクトにアクセス権を設定するだけで管理できるという効果がある。例えば、オブジェクト１１２以下だけを使用する場合には、図８のようにオブジェクト１１２に適切なアクセス権を設定するだけでよい。
【００４８】
一方、  「ｓｔｏｐ」を指定しないと、従来のパス判定モデルと同様のアクセス権モデルになる。また、全てのオブジェクトに「ｓｔｏｐ」を指定すると、従来の単独判定モデルになる。即ち、本実施形態のアクセス管理装置では、新たな効果を得ることも可能であるし、従来のアクセス権モデルに従って利用することも可能である。
【００４９】
（実施形態２）
上記実施形態においては、判定区間決定処理を行なってから、アクセス権判定処理を行なっていたが、これらを組み合わせて処理してもよい。本実施形態では、組み合わせて処理を行なう形態のアクセス管理装置である。
【００５０】
図９は、本実施形態のアクセス管理装置における判定区間決定処理とアクセス権判定処理とを組み合わせた処理の概要を示すフローチャートである。
【００５１】
本処理は、前述した何らかの入力方法により、判定対象指定データ保持部２０３と判定ユーザ指定データ保持部２０４とに、それぞれオブジェクトＩＤとユーザＩＤとが保持されることにより起動される。
【００５２】
ステップ６０１では、判定区間決定部２０５が、処理中のオブジェクトＩＤを保持する処理中ＩＤに、判定対象指定データ保持部２０３に保持されているオブジェクトＩＤを代入する。そしてステップ６０２に移る。
【００５３】
ステップ６０２では、アクセス権判定部２０６が、アクセス権設定データ保持部２０１から、オブジェクトＩＤの値が処理中ＩＤであり、ユーザＩＤの値が判定指定ユーザ保持部２０４に保持されているユーザＩＤであるアクセス権設定データを取得する。取得したアクセス権設定データのアクセス許可データがｔｒｕｅである場合は、ステップ６０３に移る。アクセス許可データがｆａｌｓｅである場合は、ステップ６０７に移る。
【００５４】
ステップ６０３では、判定区間決定部２０５が、判定区間指定データ保持部２０２から、オブジェクトＩＤが処理中ＩＤである判定区間データを検索する。このようなデータが検索され、且つ当該データのデータタイプ識別子が「ｓｔｏｐ」である場合は、ステップ６０６に移る。これ以外の場合は、ステップ６０４に移る。
【００５５】
ステップ６０４では、判定区間決定部２０５が、処理中ＩＤが示すオブジェクトが階層構造の最上位オブジェクトであるか否かを調べる。これは、オブジェクトを階層構造で管理するモジュールに対してリクエストを発行することで取得することができる。最上位オブジェクトである場合は、ステップ６０６に移る。最上位オブジェクトでない場合は、ステップ６０５に移る。
【００５６】
ステップ６０５では、判定区間決定部２０５が、処理中ＩＤが示すオブジェクトの上位オブジェクトのＩＤを取得する。これは、オブジェクトを階層構造で管理するモジュールに対してリクエストを発行することで取得することができる。取得した上位オブジェクトのＩＤを処理中ＩＤに代入する。そして、ステップ６０２に移る。
【００５７】
ステップ６０６では、アクセス権判定部２０６が、判定結果保持部２０７の値をｔｒｕｅとする。そして、処理を終了する。
【００５８】
ステップ６０７では、アクセス権判定部２０６が、判定結果保持部２０７の値をｆａｌｓｅとする。そして、処理を終了する。
【００５９】
以上の処理により、本実施形態のアクセス管理装置では、上記実施形態のアクセス管理装置と同等の効果が得られる。
【００６０】
（実施形態３）
上記実施形態においては、階層構造の任意のパス上に二つ以上の「ｓｔｏｐ」識別子を設定できた。あるオブジェクトから下位の全オブジェクトに対して、当該オブジェクトでアクセス権を制御する目的で「ｓｔｏｐ」識別子を設定しても、その下位オブジェクトで「ｓｔｏｐ」識別子を設定すると、上位の設定が無効になってしまう。そこで、本実施形態のアクセス管理装置では、「ｓｔｏｐ」識別子に加えて「ｆｏｒｃｅ」識別子を設ける。
【００６１】
あるオブジェクトに「ｆｏｒｃｅ」識別子が設定されると、それより下位のオブジェクトに設定された「ｓｔｏｐ」識別子は無効になる。これを実現する処理形態としては、識別子の設定時点で、「ｓｔｏｐ」識別子が無効であることをアクセス管理装置が保持する方法がある。アクセス管理装置は、「ｆｏｒｃｅ」識別子が設定されているオブジェクトより下位のオブジェクトに「ｓｔｏｐ」識別子を設定した時は、これが無効であることを示すデータを合わせて保持する。また、アクセス管理装置は、「ｆｏｒｃｅ」識別子を新たに設定した時は、設定されたオブジェクトより下位にあるオブジェクトに設定された「ｓｔｏｐ」識別子に、それが無効であることを示すデータを合わせて保持する。判定区間決定処理においては、無効であることを示すデータが付与されている「ｓｔｏｐ」識別子は無視する。
【００６２】
一方、判定区間決定処理において、「ｓｔｏｐ」識別子が無効かどうかを判断する方法もある。判定区間決定処理において、「ｓｔｏｐ」識別子に達しても判定区間を確定させずに、更に上位のオブジェクトを辿って「ｆｏｒｃｅ」識別子が設定されたオブジェクトがないことを確認して、判定区間を確定させる。
【００６３】
（実施形態４）
上記実施形態においては、判定区間指定データとして「ｓｔｏｐ」識別子を用いていたが、これに限らず、判定区間を指定できるデータであれば構わない。ここでは、別の判定区間指定データとして「ｆｏｌｌｏｗ」識別子を用いた実施形態を説明する。
【００６４】
データタイプ識別子が「ｆｏｌｌｏｗ」である判定区間指定データは、当該データのオブジェクトＩＤが示すオブジェクトの下位にあるオブジェクトのアクセス権判定においては、当該データが示すオブジェクトから、アクセス権判定を行なうオブジェクトに至るパス上の全てのオブジェクトを判定区間として用いることを意味している。なお、「ｆｏｌｌｏｗ」識別子の判定区間データは、最上位オブジェクトから任意のオブジェクトに至るパス上で一つしか指定できない。判定区間指定データを保持する処理において、新たに保持する判定区間データが与えられると、そのデータが示すオブジェクトから最上位オブジェクトまで順次オブジェクトを辿る。そして、そのいずれかに別の「ｆｏｌｌｏｗ」識別子を持つ判定区間データがあれば、エラーとすることで、この条件は保証される。
【００６５】
本実施形態の機能ブロックとハードウェア構成は、上記実施形態と同じである。判定区間決定処理の一部が異なる。本実施形態では、「ｆｏｌｌｏｗ」識別子が設定されたオブジェクトがなく最上位オブジェクトまで達した場合は、判定対象のオブジェクトだけを判定区間に含める点が上記実施形態とは異なる。
【００６６】
本実施形態では、判定区間の定義が分かりやすい一方で、重複して判定区間を定義できない。本実施形態では、最上位オブジェクトに「ｆｏｌｌｏｗ」を指定すると、従来のパス判定モデルと同様のアクセス権モデルになる。また、いずれのオブジェクトにも「ｆｏｌｌｏｗ」を指定しないと、従来の単独判定モデルになる。
【００６７】
（実施形態５）
本実施形態では、別の判定区間指定データとして「ｕｐ」識別子を用いた実施形態を説明する。「ｕｐ」識別子はオプションとして区間距離を取る。区間距離が指定されない時の距離は無限大となる。「ｕｐ」識別子が設定されたオブジェクトのアクセス権を判定する時は、その上位方向に向かって距離数分までの間にあるオブジェクトが判定区間に含まれる。
【００６８】
（実施形態６）
上記実施形態では、アクセス権判定時に判定区間を決定して、アクセス権を判定する処理を行なっていた。これに限らず、判定区間指定データやアクセス権設定データの設定時に、各オブジェクトの判定区間或いはアクセス権判定結果を算出して、それらの一方若しくは両方を保持しておいてもよい。アクセス権判定時は、保持した判定区間やアクセス権判定結果を参照すればよい。
【００６９】
（実施形態７）
上記実施形態では、各オブジェクトにアクセス権設定を保持していたが、一般的には上位オブジェクトの継承として設定できることが多い。本実施形態では、継承設定も併用する。アクセス権として継承が設定されていた場合は、継承元となるオブジェクトのアクセス権設定を用いるだけで、他は上記実施形態と変わりはない。
【００７０】
（実施形態８）
上記実施形態では、アクセス不可であることを示すアクセス権設定データも保持していたが、アクセス可能であることを示すアクセス権設定データだけを保持してもよい。この場合、あるオブジェクトにおいて、あるユーザのアクセス権設定データがない場合は、アクセス不可が設定されているとして処理を進める。
【００７１】
（実施形態９）
上記実施形態では、ユーザごとにアクセス権設定データを設定していた。これに限らず、複数のユーザをまとめたグループに対してアクセス権を設定してもよい。グループに対するアクセス権が設定されている場合、あるユーザのアクセス権設定データを取得する際に、ユーザが属するグループのアクセス権設定データも合わせて取得する。ユーザとグループのアクセス権設定データが複数ある場合に、どのアクセス権を採用するかは、様々な方法があるが、本実施形態では、その相違を問わない。各オブジェクトにおけるアクセス権設定から、オブジェクト単独でのアクセス権が一意に定まればよい。
【００７２】
（実施形態１０）
上記実施形態では、判定区間指定データは全ユーザに対して適用されるものであった。本実施形態では、判定区間指定データに、それを適用するユーザ若しくはグループを設定できるものとする。本実施形態の判定区間決定処理においては、アクセス権を判定するユーザ或いはユーザが属するグループに対して適用される判定区間指定データだけを用いる。
【００７３】
以上、本発明の好ましい実施形態について詳述したが、本発明は係る特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【図面の簡単な説明】
【００７４】
【図１】単独判定モデルで各オブジェクトのアクセス権判定を行なった結果を示す図である。
【図２】パス判定モデルで各オブジェクトのアクセス権判定を行なった結果を示す図である。
【図３】パス判定モデルの問題点を示すための図である。
【図４】本実施形態のアクセス管理装置の機能ブロックを示す図である。
【図５】本実施形態におけるアクセス管理装置のハードウェア構成を示す図である。
【図６】本実施形態のアクセス管理装置における判定区間決定処理の概要を示すフローチャートである。
【図７】本実施形態のアクセス管理装置におけるアクセス権判定処理の概要を示すフローチャートである。
【図８】本実施形態のアクセス管理装置におけるアクセス権判定結果を示す図である。
【図９】本実施形態のアクセス管理装置における判定区間決定処理とアクセス権判定処理とを組み合わせた処理の概要を示すフローチャートである。
【符号の説明】
【００７５】
２０１    アクセス権設定データ保持部
２０２    判定区間指定データ保持部
２０３    判定対象指定データ保持部
２０４    判定ユーザ指定データ保持部
２０５    判定区間決定部
２０６    アクセス権判定部
２０７    判定結果保持部
３０１    ＣＰＵ
３０２    メモリ
３０３    ＲＯＭ
３０４    ディスク装置
３０５    バス
【図１】
2007140576.tif 000003
【図２】
2007140576.tif 000004
【図３】
2007140576.tif 000005
【図４】
2007140576.tif 000006
【図５】
2007140576.tif 000007
【図６】
2007140576.tif 000008
【図７】
2007140576.tif 000009
【図８】
2007140576.tif 000010
【図９】
2007140576.tif 000011