(57)【要約】【課題】ユーザがクライアントマシンを利用する場所によってアクセス制御ポリシーを変更し、より柔軟なアクセス制御ポリシーを実現する。【解決手段】クライアントマシン１０１は、移動端末１０２を経由して認証サーバ１０５と通信する。移動端末１０２は、クライアントマシン１０１から送信されるユーザの認証情報とＧＰＳ衛星１０３より取得した位置情報とを認証サーバ１０５に送信する。認証サーバ１０５のアクセス制御ポリシーＤＢ１０６は、ユーザ及び場所毎のアクセス制御ポリシーを保存している。認証サーバ１０５は、認証情報によって特定されるユーザと位置情報によって特定される場所に対応するアクセス制御ポリシーをアクセス制御ポリシーＤＢ１０６から取得し、移動端末１０２に返信する。クライアントマシン１０１は、移動端末１０２よりアクセス制御ポリシーを入手し、そのアクセス制御ポリシーを適用してリソースに対するアクセス制御を行う。【選択図】図１
2013205915.tif 000002
【特許請求の範囲】
【請求項１】
認証サーバと、クライアントマシンと、移動端末とを有するクライアントサーバシステムであって、
前記認証サーバが、
ユーザおよび場所毎に、当該ユーザおよび場所に対応する前記クライアントマシンのアクセス制御ポリシーを保持するアクセス制御ポリシー記憶手段と、
前記クライアントマシンから前記移動端末を経由して送信される認証情報で特定されるユーザと、前記移動端末から送信される位置情報で特定される場所とに対応する前記アクセス制御ポリシーを、前記アクセス制御ポリシー記憶手段から取得し、前記移動端末に送信するアクセス制御ポリシー取得送信手段と、
有し、
前記移動端末が、
前記クライアントマシンから送信された認証情報を受信し、当該認証情報を前記認証サーバに送信する認証情報送信手段と
位置情報を取得する位置情報手段と、
前記位置情報手段によって取得された位置情報を前記認証サーバに送信する送信手段と、
前記認証サーバのアクセス制御ポリシー取得送信手段によって送信されたアクセス制御ポリシーを受信し、当該アクセス制御ポリシーを前記クライアントマシンに送信するアクセス制御ポリシー送信手段と、
を有し、
前記クライアントマシンが、
ユーザによって入力された認証情報を前記移動端末に送信する認証情報送信手段と、
前記移動端末から送信されたアクセス制御ポリシーを受信するアクセス制御ポリシー受信手段と、
前記アクセス制御ポリシー受信手段によって受信されたアクセス制御ポリシーを適用してリソースに対するアクセス制御を行うアクセス制御手段と、
を有する、
ことを特徴とするクライアントサーバシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ログイン時に認証サーバよりアクセス制御ポリシーを取得し、そのアクセス制御ポリシーをクライアントマシンに反映させるクライアントサーバシステムに関する。
【背景技術】
【０００２】
従来からのクライアントマシンにおけるアクセス制御は、企業のような情報システムを想定すると、クライアントマシンがシステムへのログイン時に認証サーバよりアクセス制御ポリシーを取得し、ログイン後にはそのアクセス制御ポリシーが反映され、ログアウト後には再度、全権限が制限された状態に戻る。という形式のものが中心となっている。
それらのアクセス制御ポリシーによって保護されるリソースは、ドキュメント、印刷機能、外部媒体へのデータ書き出し機能、およびメール送信機能など多岐にわたる。
【０００３】
そのようなシステムの中に、認証サーバと通信できない顧客先等の環境での運用も考慮され、ログイン時にオフライン時のアクセス制御ポリシーも取得し、オフライン時にオンライン時と異なるアクセス制御ポリシーを反映させるというものも存在する。
この認証サーバと通信できない環境での運用が考慮されたシステムに関して、例えば、特許文献１に記載の技術が提案されている。特許文献１は、クライアントマシンが認証サーバにログインしたときに複数のアクセス制御ポリシーを取得し、トークンデバイスの中にアクセス制御ポリシーを選択するための情報を登録し、オフライン時にはそのトークンデバイスをクライアントマシンに接続することで、選択されたアクセス制御ポリシーをクライアントマシンに反映させる技術を開示する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−２５０７１４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１に記載の技術では、アクセス制御ポリシー毎に専用のトークンデバイスを用意しなければならない。また、そのトークンデバイスを紛失することにより、再度トークンデバイスを用意するまで業務を遂行できなくなる。
また、専用のトークンデバイス毎に１つのアクセス制御ポリシーが適用されるため、環境毎に異なるアクセス制御ポリシーを適用したい場合は、複数のトークンデバイスを用意する必要がある。
更に、ユーザに複数本のトークンデバイスを渡した場合、どのトークンデバイスを使用するかというのは、ユーザの意思に委ねられ、適切に運用されない可能性があるというセキュリティ上の問題点もある。
【０００６】
本発明の目的は、ユーザがクライアントマシンを利用する場所によってアクセス制御ポリシーを変更することができ、より柔軟なアクセス制御ポリシーを実現することができるクライアントサーバシステムを提供することである。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明のクライアントサーバシステムは、
認証サーバと、クライアントマシンと、移動端末とを有するクライアントサーバシステムであって、
前記認証サーバが、
ユーザおよび場所毎に、当該ユーザおよび場所に対応する前記クライアントマシンのアクセス制御ポリシーを保持するアクセス制御ポリシー記憶手段と、
前記クライアントマシンから前記移動端末を経由して送信される認証情報で特定されるユーザと、前記移動端末から送信される位置情報で特定される場所とに対応する前記アクセス制御ポリシーを、前記アクセス制御ポリシー記憶手段から取得し、前記移動端末に送信するアクセス制御ポリシー取得送信手段と、
有し、
前記移動端末が、
前記クライアントマシンから送信された認証情報を受信し、当該認証情報を前記認証サーバに送信する認証情報送信手段と
位置情報を取得する位置情報手段と、
前記位置情報手段によって取得された位置情報を前記認証サーバに送信する送信手段と、
前記認証サーバのアクセス制御ポリシー取得送信手段によって送信されたアクセス制御ポリシーを受信し、当該アクセス制御ポリシーを前記クライアントマシンに送信するアクセス制御ポリシー送信手段と、
を有し、
前記クライアントマシンが、
ユーザによって入力された認証情報を前記移動端末に送信する認証情報送信手段と、
前記移動端末から送信されたアクセス制御ポリシーを受信するアクセス制御ポリシー受信手段と、
前記アクセス制御ポリシー受信手段によって受信されたアクセス制御ポリシーを適用してリソースに対するアクセス制御を行うアクセス制御手段と、
を有する、
ことを特徴とする。
【発明の効果】
【０００８】
本発明によれば、ユーザがクライアントマシンを利用する場所によってアクセス制御ポリシーを変更することができ、より柔軟なアクセス制御ポリシーを実現することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施形態に係るクライアントサーバシステムの構成とログイン時の処理の一例を示す図である。
【図２】アクセス制御ポリシーＤＢに格納されるアクセス制御ポリシーの一例を示す図である。
【図３】認証サーバにオンラインログインするときのクライアントマシンの処理の流れの一例を示す図である。
【図４】認証サーバにオンラインログインするときの移動端末の処理の流れの一例を示す図である。
【図５】クライアントマシンが認証サーバにオンラインログインするときの認証サーバの処理の流れの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下、本発明の実施形態に係るクライアントサーバシステムについて図面を参照しながら説明する。
【００１１】
図１は、本発明の実施形態に係るクライアントサーバシステムの構成とログイン時の処理の一例を示す。
本発明の実施形態に係るクライアントサーバシステムは、クライアントマシン１０１と、移動端末１０２と、認証サーバ１０５とで構成される。移動端末１０２と認証サーバ１０５とはネットワーク１０４に接続されており、相互に通信可能である。クライアントマシン１０１は、ネットワーク１０４に接続されている必要はないが、接続されていてもかまわない。
認証サーバ１０５は、コンピュータであって、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等で構成されるメモリと、ハードディスク装置等で構成される記憶装置とを有する。認証サーバ１０５の記憶装置には、アクセス制御ポリシーデータベース（ＤＢ）１０６が格納されており、アクセス制御ポリシーＤＢ１０６に各ユーザ、位置情報毎のアクセス制御ポリシー１０７が保存されている。
移動端末１０２は、例えばＧＰＳ（Ｇｌｏｂａｌ  Ｐｏｓｉｔｉｏｎｉｎｇ  Ｓｙｓｔｅｍ）受信器を有する携帯電話やスマートフォンである。
クライアントマシン１０１は、コンピュータであって、ＣＰＵと、ＲＡＭ等で構成されるメモリと、ハードディスク装置等で構成される記憶装置と、キーボードやマウス等で構成される入力装置と、ディスプレイ等で構成される出力装置とを有する。
移動端末１０２は、クライアントマシン１０１に有線または無線で接続可能であり、移動端末１０２とクライアントマシン１０１とが接続されている間は相互に通信可能である。
【００１２】
ユーザは、クライアントマシン１０１を用い、移動端末１０２を経由して、認証サーバ１０５に認証ＩＤ（Ｉｄｅｎｔｉｆｉｅｒ）とパスワードを含む認証情報を送信し、認証サーバ１０５にオンラインログインする。
移動端末１０２は、ＧＰＳ衛星１０３から位置情報を取得し、認証サーバ１０５に位置情報を送信する。認証サーバ１０５は、認証情報によって認証されたユーザのユーザ情報と位置情報に基づいて求めた場所とに対応するアクセス制御ポリシー１０７をアクセス制御ポリシーＤＢ１０６から読出し、そのアクセス制御ポリシー１０７を移動端末１０２に送信する。移動端末１０２はクライアントマシン１０１にアクセス制御ポリシー１０７を送信する。クライアントマシン１０１は移動端末１０２からアクセス制御ポリシー１０７を取得、保存する。そして、クライアントマシン１０１は、取得したアクセス制御ポリシー１０７に基づいてそのリソースに対するアクセス制御を実行する。
例えば図１では、事業所Ａにおいて、Ｕｓｅｒ１がクライアントマシン１０１を用いて認証サーバ１０５にログインすると、クライアントマシン１０１では、Ｕｓｅｒ１が事業所Ａでクライアントマシン１０１を使用する場合のアクセス制御が実行される。
【００１３】
図２は、アクセス制御ポリシーＤＢ１０６に格納されるアクセス制御ポリシーの一例を示す。
図２の例では、例えば、Ｕｓｅｒ１の「事業所Ａ」と「顧客先Ｂ」におけるアクセス制御ポリシーは「印刷可、メール送信可、外部媒体持出し可、ネットワークフォルダアクセス可」であるが、Ｕｓｅｒ１の「その他の場所」におけるアクセス制御ポリシーは「印刷不可、メール送信可、外部媒体持出し不可、ネットワークフォルダアクセス不可」である。
このように、管理者は、ユーザ毎および位置情報で示される場所毎にアクセス制御ポリシーを設定（定義）することができ、設定の後に変更することもできる。
【００１４】
図３は、認証サーバ１０５にオンラインログインするときのクライアントマシン１０１の処理の流れの一例を示す。
あるユーザがクライアントマシン１０１を用いてオンラインログインするとき、クライアントマシン１０１は、移動端末１０２を経由して、認証サーバ１０５との間で認証処理を行う。具体的には、クライアントマシン１０１は、移動端末１０２に対して、ユーザによって入力された認証情報（例えば、認証ＩＤとパスワード）を送信する（Ｓ３０１）。移動端末１０２は、受信した認証情報を認証サーバ１０５に送信する。認証サーバ１０５は、クライアントマシン１０１に移動端末１０２を経由して認証に成功したか否かを示す情報を返信する。
クライアントマシン１０１は、認証サーバ１０５から移動端末１０２を経由して認証失敗を示す情報が返信された場合（Ｓ３０２：Ｎｏ）、エラー終了する（Ｓ３０３）。
クライアントマシン１０１は、認証サーバ１０５から移動端末１０２を経由して認証成功を示す情報が返信された場合（Ｓ３０２：Ｙｅｓ）、移動端末１０２を経由して、認証サーバ１０５によって送信されるアクセス制御ポリシーを受信する（Ｓ３０４）。そして、クライアントマシン１０１は、オンラインログイン処理を行い、アクセス制御ポリシーを適用してリソースに対するアクセス制御を行なう（Ｓ３０５）。
【００１５】
図４は、認証サーバ１０５にオンラインログインするときの移動端末１０２の処理の流れの一例を示す。
移動端末１０２は、クライアントマシン１０１から認証情報を受信すると、その認証情報を認証サーバ１０５に送信する（Ｓ４０１）。認証サーバ１０５は、移動端末１０２に認証に成功したか否か示す情報を返信する。移動端末１０２は、認証サーバ１０５から認証失敗を示す情報が返信された場合（Ｓ４０２：Ｎｏ）、クライアントマシン１０１にエラーを示すエラー情報を送信する（Ｓ４０３）。
移動端末１０２は、認証サーバ１０５から認証成功を示す情報が返信された場合（Ｓ４０２：Ｙｅｓ）、ＧＰＳ受信器を用いてＧＰＳ衛星１０３より位置情報を取得する（Ｓ４０４）。そして、移動端末１０２は、取得した位置情報を認証サーバ１０５に送信する（Ｓ４０５）。認証サーバ１０５は、認証情報により特定されるユーザと位置情報により特定される場所に対応するアクセス制御ポリシーを移動端末１０２に送信する。移動端末１０２は、アクセス制御ポリシーを受信する（Ｓ４０６）と、そのアクセス制御ポリシーをクライアントマシン１０１に送信する（Ｓ４０７）。
【００１６】
図５は、クライアントマシン１０１が認証サーバ１０５にオンラインログインするときの認証サーバ１０５の処理の流れの一例を示す。
認証サーバ１０５は、移動端末１０２より受信したユーザの認証情報をもとに、認証処理を行なう（Ｓ５０１）。認証サーバ１０５は、ユーザの認証に失敗した場合（Ｓ５０２：Ｎｏ）、移動端末１０２にエラーを示すエラー情報を送信する（Ｓ５０３）。
認証サーバ１０５は、ユーザの認証に成功した場合（Ｓ５０２：Ｙｅｓ）、移動端末１０２に認証成功を示す情報を送信し、移動端末１０２から位置情報を受信する（Ｓ５０４）。次に、認証サーバ１０５は、アクセス制御ポリシーＤＢ１０６に、認証情報により特定されるユーザと位置情報により特定される場所に対応するアクセス制御ポリシーが存在するか否か確認する（Ｓ５０５）。アクセス制御ポリシーが存在しない場合（Ｓ５０５：Ｎｏ）、認証サーバ１０５は移動端末１０２にエラーを示すエラー情報を送信する（Ｓ５０６）。一方、アクセス制御ポリシーが存在する場合（Ｓ５０５：Ｙｅｓ）、認証サーバ１０５は移動端末１０２にアクセス制御ポリシーを送信する（Ｓ５０７）。
【００１７】
なお、上述した実施形態では、ＧＰＳ受信器により位置情報を取得する例をしたが、位置情報を取得する方法はこれに限らず、例えば、移動端末１０２は、ＰＨＳ（Ｐｅｒｓｏｎａｌ  Ｈｎａｄｙ−ｐｈｏｎｅ  Ｓｙｓｔｒｅｍ）であり、ＰＨＳの基地局から送信される電波により位置情報を取得することとしてもよい。
【００１８】
以上説明したように、本発明によれば、位置情報を取得する機能を有しており、ネットワークに接続可能な移動端末を用いることで、たとえクライアントマシンがネットワークに接続されておらず、オフラインであっても、クライアントマシンを使用する環境によってアクセス制御ポリシーを変更することができるため、さまざまな状況に対応することが可能となる。なお、クライアントマシンがオンラインであっても本発明を適用できることはもちろんである。
【符号の説明】
【００１９】
１０１…クライアントマシン、１０２…移動端末、１０５…認証サーバ、１０６…アクセス制御ポリシーＤＢ
【図１】
2013205915.tif 000003
【図２】
2013205915.tif 000004
【図３】
2013205915.tif 000005
【図４】
2013205915.tif 000006
【図５】
2013205915.tif 000007