(57)【要約】【課題】  各リソースの持つアクセスコントロール情報を簡素化し、かつユーザ情報の一元管理を実現する。【解決手段】  ユーザからのアクセス要求のあった、データあるいはフォルダ、サービス管理手段からの該ユーザの座標情報の要求に基づき、ディレクトリサーバにユーザの属性を問い合わせ、入手した該ユーザの属性情報に基づき、マトリクステンプレートから、該ユーザのアクセスコントロールマトリクスをダイナミックに生成し、そのマトリクスから、該ユーザがもつ座標情報を求め、データあるいはフォルダ、サービス管理がもつ座標情報と比較する事により、ユーザのアクセス権限を判断し、コントロールする事を可能することによりユーザのアクセスコントロールを可能としたシステム。【選択図】  図１
2007086893.tif 000002
【特許請求の範囲】
【請求項１】
アクセスコントロールマトリクスを用い、各データあるいはフォルダ、サービス毎に、ユーザがマトリクス上のどの座標に位置するかによって、該ユーザに付与する権限を決定するアクセスコントロール方式であって、
アクティブコントロールマトリクス手段は、ユーザからのアクセス要求のあった、データあるいはフォルダ、サービス管理手段からの該ユーザの座標情報の要求に基づき、ディレクトリサーバに該ユーザの属性を問い合わせる手段を有し、
前記アクティブコントロールマトリクス手段は、ディレクトリサーバから入手した該ユーザの属性情報に基づき、マトリクステンプレートから、該ユーザのアクセスコントロールマトリクスをダイナミックに生成する手段を有し、
前記アクティブコントロールマトリクス手段は、データあるいはフォルダ、サービス管理手順に生成した該ユーザのアクティブコントロールマトリクスへ、該ユーザがもつ座標情報を送信する手段を有し、
データあるいはフォルダ、サービス管理手段は、データあるいはフォルダ、サービス毎に、どの座標情報を持ったユーザにどのような権限を許可するかを管理する手段を有し、
前記アクティブコントロールマトリクス手段から送られて来た座標情報を元に、データあるいはフォルダ、サービス毎に持つ座標情報と、ユーザのアクセス権限を判断し、コントロールする事を可能としたアクセスコントロール方式。
【請求項２】
アクセスコントロールマトリクスを用い、各データあるいはフォルダ、サービス毎に、ユーザがマトリクス上のどの座標に位置するかによって、該ユーザに付与する権限を決定するアクセスコントロールシステムの制御方式であって、
アクティブコントロールマトリクス手段は、ユーザからのアクセス要求のあった、データあるいはフォルダ、サービス管理手段からの該ユーザの座標情報の要求に基づき、ディレクトリサーバに該ユーザの属性を問い合わせる手段を有し、
前記アクティブコントロールマトリクス手段は、ディレクトリサーバから入手した該ユーザの属性情報に基づき、マトリクステンプレートから、該ユーザのアクセスコントロールマトリクスをダイナミックに生成する手段を有し、
前記アクティブコントロールマトリクス手段は、データあるいはフォルダ、サービス管理手順に生成した該ユーザのアクティブコントロールマトリクスへ、該ユーザがもつ座標情報を送信する手段を有し、
データあるいはフォルダ、サービス管理手段は、データあるいはフォルダ、サービス毎に、どの座標情報を持ったユーザにどのような権限を許可するかを管理する手段を有し、
前記アクティブコントロールマトリクス手段から送られて来た座標情報を元に、データあるいはフォルダ、サービス毎に持つ座標情報と、ユーザのアクセス権限を判断し、コントロールする事を可能としたアクセスコントロールシステムの制御方法。
【請求項３】
アクセスコントロールマトリクスを用い、各データあるいはフォルダ、サービス毎に、ユーザがマトリクス上のどの座標に位置するかによって、該ユーザに付与する権限を決定するアクセスコントロールシステムの制御方式であって、
アクティブコントロールマトリクス手段は、ユーザからのアクセス要求のあった、データあるいはフォルダ、サービス管理手段からの該ユーザの座標情報の要求に基づき、ディレクトリサーバに該ユーザの属性を問い合わせる手段を有し、
前記アクティブコントロールマトリクス手段は、ディレクトリサーバから入手した該ユーザの属性情報に基づき、マトリクステンプレートから、該ユーザのアクセスコントロールマトリクスをダイナミックに生成する手段を有し、
前記アクティブコントロールマトリクス手段は、データあるいはフォルダ、サービス管理手順に生成した該ユーザのアクティブコントロールマトリクスへ、該ユーザがもつ座標情報を送信する手段を有し、
データあるいはフォルダ、サービス管理手段は、データあるいはフォルダ、サービス毎に、どの座標情報を持ったユーザにどのような権限を許可するかを管理する手段を有し、
前記アクティブコントロールマトリクス手段から送られて来た座標情報を元に、データあるいはフォルダ、サービス毎に持つ座標情報と、ユーザのアクセス権限を判断し、コントロールする事を可能としたアクセスコントロールシステムの制御方法を含む読み出し可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ディレクトリサーバに一元管理されているユーザ情報を元に、アクセスコントロールを行うシステムに関する発明である。
【背景技術】
【０００２】
従来、データやフォルダ、サービスといったリソースにユーザがアクセスするときにそのユーザの権限を決定するアクセスコントロールを行う際に、データやフォルダ、サービスといったリソース毎に、ユーザのアクセス権限に関するアクセスコントロール情報を保持しているのが一般的であった。
【０００３】
しかし、この方式では、これらデータやフォルダ、サービスといった各リソースを利用するユーザの規模が大きくなった場合には、各リソースが保持しなければならないアクセスコントロール情報は膨大なものになる。
【０００４】
また、複数のリソースで個々にアクセスコントロール情報を持っていることによって、よりアクセスコントロール情報は膨大かつ、ユーザの属性変更によるアクセスコントロール権限の変更等が発生した場合、この修正作業が非常に煩雑になり、管理コストが増大しているという問題点があった。
【０００５】
従来例としては、例えば特許文献１をあげることが出来る。
【特許文献１】特開２００３−２８０９９０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
前項で述べたように、従来の方式では、これらデータやフォルダ、サービスといった各リソースを利用するユーザの規模が大きくなった場合には、各リソースが保持しなければならないアクセスコントロール情報は膨大なものになる。
【０００７】
また、複数のリソースで個々にアクセスコントロール情報を持っていることによって、よりアクセスコントロール情報は膨大かつ、ユーザの属性変更によるアクセスコントロール権限の変更等が発生した場合、この修正作業が非常に煩雑になり、管理コストが増大しているという問題点があった。
【０００８】
本発明では、上記問題を解決し、各リソースの持つアクセスコントロール情報を簡素化し、かつユーザ情報の一元管理を実現するものである。
【課題を解決するための手段】
【０００９】
ユーザからのアクセス要求のあった、データあるいはフォルダ、サービス管理手段からの該ユーザの座標情報の要求に基づき、ディレクトリサーバにユーザの属性を問い合わせ、入手した該ユーザの属性情報に基づき、マトリクステンプレートから、該ユーザのアクセスコントロールマトリクスをダイナミックに生成し、そのマトリクスから、該ユーザがもつ座標情報を求め、データあるいはフォルダ、サービス管理がもつ座標情報と比較する事により、ユーザのアクセス権限を判断し、コントロールする事を可能することによりユーザのアクセスコントロールを可能としたシステムを実現したものである。
【発明の効果】
【００１０】
以上説明したように、本発明によれば、ユーザからのアクセス要求のあった、データあるいはフォルダ、サービス管理手段からの該ユーザの座標情報の要求に基づき、ディレクトリサーバにユーザの属性を問い合わせ、入手した該ユーザの属性情報に基づき、マトリクステンプレートから、該ユーザのアクセスコントロールマトリクスをダイナミックに生成し、そのマトリクスから、該ユーザがもつ座標情報を求め、データあるいはフォルダ、サービス管理がもつ座標情報と比較する事によりユーザのアクセス権限を判断し、コントロールする事を可能することによりユーザのアクセスコントロールを行うことが可能となる。
【発明を実施するための最良の形態】
【００１１】
以下、図面を用いて本発明の実施例について説明する。
【００１２】
図１と図２は、本発明の一実施例のネットワーク構成について記した図である。
【００１３】
図１において101はディレクトリサーバである。このサーバは、ユーザに関する属性情報の地減管理を行っている。
【００１４】
このディレクトリサーバ101は、マトリクスマネージャ103から指定されたユーザに関する属性情報を元にして、保持しているマトリクステンプレートに基づいて、指定されたユーザのユーザ情報をテンプレートに当てはめた該ユーザのアクセスコントロールマトリクスをダイナミックに生成し、ユーザ情報の論理積がコントロールマトリクス上のどの座標に位置するかを算出する。
【００１５】
リソース管理システム105は、管理している各リソースに対して、コントロールマトリクス上のどの座標に位置するユーザに対して、どんなアクセス権を許すか、を管理し、マトリクスマネージャ103から送られてきた、ユーザの座標データと各リソースに対して、特定の権限を持つとあらかじめ指定された座標データと照合し、該ユーザのアクセス権を決定する。
【００１６】
図１に於いては、リソース管理システム105は、ドキュメントデータおよびそれを格納するフォルダを管理するシステムであり、リソース管理システム105で管理されている個々のフォルダやデータに関して、特権あるいは閲覧を許可するユーザが持つべき座標をこれらのリソース毎に管理している。
【００１７】
クライアントコンピュータ106は、当アクセスコントロールシステムによって管理されたリソース管理システムのリソースを使用する際にユーザが使用する端末である。
【００１８】
図２は、リソース管理システムが管理するリソースは、図１のように特定のフォルダやデータにとどまらず、ユーザに提供するサービスにも適用できる事を図示したものである。
【００１９】
ここで提供されるサービスの一つとして、図１で解説したようなドキュメント管理システムを実装する事も可能である。
【００２０】
図１、図２ともに、ディレクトリサーバ101、マトリクスマネージャ103、リソース管理システム105は、別々のノードとして図示されているが、ある１つのノードが、２つもしくは３つの機能を兼ね備える事も可能である。
【００２１】
図１、図２について、アクセスコントロールの流れを説明する。
【００２２】
クライアントコンピュータ106から、リソース管理システム105あるいは205で管理している特定リソースへのアクセス要求があった場合、リソース管理システム105あるいは205は、クライアントコンピュータから送られてきたユーザ情報、もしくはリソース管理システム105あるいは205にログインする、というステップがある場合には、ログイン時に得られたユーザ情報を元に、マトリクスマネージャ103に対して、当該ユーザの座標情報の取得依頼を行う。
【００２３】
このステップは、リソースにアクセスする前のステップとして、前述したログインステップが存在する場合には、当該ユーザのログイン時に、あらかじめマトリクスマネージャ103から当該ユーザの座標情報を取得して、メモリ内に保持して各リソースへのアクセス時のオーバヘッドを軽減するような実装も可能である。
【００２４】
ユーザの座標情報の取得依頼を受けたマトリクスマネージャ103は、ディレクトリサーバ101から、当該ユーザの属性情報を取得して、各リソース毎に定義された、あるいは共通のマトリクステンプレート（図５）上に、当該ユーザの属性情報をマッピングする事により、ダイナミックにアクセスコントロールマトリクス（図６、図７）を生成する。
【００２５】
マトリクスマネージャ103上で作成されたアクセスコントロールマトリクス（図６、図７）から、当該ユーザの座標情報（当該ユーザのもつ属性がマトリクス上で交わる座標）の一覧をリソース管理システム105あるいは205に返す。
【００２６】
マトリクスマネージャ103から当該ユーザの座標情報の一覧を取得したリソース管理システム105または205は、管理するリソースの持つ座標データ管理テーブルに基づき、当該ユーザのアクセス権限を決定する。
【００２７】
図３は、本実施例におけるマトリクスマネージャ103の機能ブロック図である。
【００２８】
図３に於いて、マトリクスマネージャ103は、通信制御部301を通じて、ネットワークに接続されている。
【００２９】
302は運用管理部で、このマトリクスマネージャ103の動作に関するログの管理や、当該マトリクスマネージャ103にログインし設定変更等行う管理者ユーザの管理とその記録を行う。
【００３０】
また、運用管理部302は、情報提供部303を通じて、マトリクスマネージャ103の動作に対する設定や、マトリクステンプレートの設定などを行う。
【００３１】
ユーザ属性情報取得部304は、クライアントコンピュータ106からアクセス要求のあったユーザについての属性情報を、ディレクトリサーバ101に対して、通信制御部301、データ送信部305を介して行う。
【００３２】
ユーザ属性情報取得部304で取得したユーザ属性情報と、マトリクスDB管理装置351で管理されているマトリクステンプレートを元にして、ダイナミックマトリクス生成部306は、コントロールマトリクスを生成する。
【００３３】
ダイナミックマトリクス生成部306で生成したマトリクスに基づき、情報提供部302は、該ユーザの座標情報を作成し、データ送信部305と通信制御部301を通じて、リソース管理システムに、該ユーザの座標情報を送る。
【００３４】
図４は、本実施例に於けるリソース管理システム105および205の機能ブロック図である。
【００３５】
図４に於いて、通信制御部401は、リソース管理システム105または205と他のノードとの通信を司る。
【００３６】
運用管理部402は、リソース管理システム105または205の動作の動作に関するログの管理や、当該ノードにログインし設定変更等行う管理者ユーザの管理とその記録を行う。
【００３７】
403は、情報提供部で、リソース管理システム105および205が、リソース管理装置452を用いて管理しているリソース、例えばドキュメントデータ、およびそれを格納するフォルダ、もしくはサービスをクライアントに対して提供する。
【００３８】
404は、座標データ比較部で、マトリクスマネージャ103から受け取ったユーザの座標データと、リソース管理システム105および205が管理している各リソースに関する座標データ管理装置451が管理している、アクセス権限者として定義されている座標データとの比較を行い、該ユーザのアクセス権限の確認を行う。
【００３９】
情報提供部403は、この座標データの比較結果に基づいて、リソース管理装置452で管理されているリソース（ドキュメントおよびこれを格納するフォルダ、、またはサービス）を該ユーザに提供する。
【００４０】
図５は、本実施例に於ける、マトリクステンプレートの一例である。
【００４１】
本実施例では、マトリクステンプレートは２次元のものを提示しているが、当該システムの利用形態によっては、３次元マトリクスを用いる事も可能である。
【００４２】
図５では、横軸に所属組織、縦軸に役職としてテンプレートを定義している。ここでは表形式で記述されているが、これは管理者ユーザからみたときのGUI的なわかりやすさのためであり、実際は、必ずしも、表形式でデータ管理されている訳ではない。
【００４３】
図６は、図５のマトリクステンプレートにユーザの属性情報を反映させ生成したマトリクスの一例で、マトリクスDB管理装置351によって管理されている。
【００４４】
該ユーザ（以下ユーザA）は、組織Aの部長であり、組織Bの課長を兼任し、プロジェクトAのプロジェクトチーフを務め、タスクフォースAに参加し、ワークグループBではグループリーダをつとめている。
【００４５】
これを座標で表すと、ユーザAは、(1,1)、(2,2)、(3,3)、(4,5)、(5,4)の座標情報をもつユーザという事になる。
【００４６】
次に、図７は、同じく図５のマトリクステンプレートにユーザの属性情報を反映させ生成したマトリクスの一例である。
【００４７】
該ユーザ（以下ユーザB）は、組織Aの一般社員であり、プロジェクトAのグループリーダであり、タスクフォースAとワークグループBに参加している。
【００４８】
これを座標で表すと、ユーザBは、(1,5)、(3,4)、(4,5)、(5,5)の座標情報を持つユーザと言う事になる。
【００４９】
図８は、座標データ管理テーブルの一例である。
【００５０】
この例では、フォルダAに対する、アクセスコントロール情報を表現している。座標の指定には一般的な正規表現を使用する事ができる。
【００５１】
フォルダAに対して、それ自身を削除する権限があるのは、(1,1)の座標をもつユーザである。これを図５のマトリクステンプレートの一例に当てはめると、(1,1)の座標を持つのは、組織Aの部長であり、これを生成したマトリクスの例である図６、図７に当てはめると、ユーザAがこれに該当することになる。
【００５２】
また、読み出しが可能なのは、(1-2,*)であり、これは、図５によれば、組織Aまたは組織Bに所属するユーザにその権限があるので、図６と図７の例のユーザA、ユーザBともにこれに該当する。
【００５３】
また、この座標の表記自体の論理積または論理和を用いて、アクセス権を定義する事も可能である。例えば、(1-2,1-2)&&(3,*)という座標データは、図５によれば、組織Aまたは組織Bの課長、部長であり、同時にプロジェクトAに在籍しているユーザを示す。
【００５４】
図９も、同じく座標管理テーブルの一例である。
【００５５】
この例ではサービスBに対するアクセスコントロール情報を表現している。アプリケーションサービスBに対して実行権があるのは、(1-2,*)の座標を持つユーザであり、図５のマトリクステンプレートの例をとると、組織Aまたは組織Bに所属するユーザということになる。
【００５６】
このサービスの実行結果に対して何らかの承認を行う権限があるのは、(1-2,1-2)で、組織Aまたは組織Bの部長あるいは課長である。
【図面の簡単な説明】
【００５７】
【図１】アクセスコントロールシステム構成の一例１。
【図２】アクセスコントロールシステム構成の一例２。
【図３】本実施例におけるマトリクスマネージャ103の機能ブロック図。
【図４】本実施例に於けるリソース管理システム105および205の機能ブロック図。
【図５】マトリクステンプレートの一例。
【図６】生成したマトリクスの例１。
【図７】生成したマトリクスの例２。
【図８】座標データ管理テーブルの一例１。
【図９】座標データ管理テーブルの一例２。
【図１】
2007086893.tif 000003
【図２】
2007086893.tif 000004
【図３】
2007086893.tif 000005
【図４】
2007086893.tif 000006
【図５】
2007086893.tif 000007
【図６】
2007086893.tif 000008
【図７】
2007086893.tif 000009
【図８】
2007086893.tif 000010
【図９】
2007086893.tif 000011