(57)【要約】      （修正有）【課題】プロジェクト終了後も他拠点のユーザにアクセス権が付与された状態が続くという事態を回避するアクセス権管理装置、方法及びプログラムを提供する。【解決手段】アカウント情報記憶部１０２は、プロジェクトに参加するプロジェクト参加ユーザにプロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶する。受信部１０４は、プロジェクトの終了を通知するワークフロー情報であるプロジェクト終了通知ワークフロー情報を受信する。アクセス権管理部１０１は、受信部１０４によりプロジェクト終了通知ワークフロー情報が受信された場合に、アカウント情報記憶部１０２に記憶されている、プロジェクト参加ユーザのプロジェクト用アクセス権を無効化する。【選択図】図２
2017097733.tif 000002
【特許請求の範囲】
【請求項１】
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するアクセス権記憶部と、
プロジェクトの終了を通知するワークフロー情報であるプロジェクト終了通知ワークフロー情報を受信する受信部と、
前記受信部により前記プロジェクト終了通知ワークフロー情報が受信された場合に、前記アクセス権記憶部に記憶されている、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理部とを有するアクセス権管理装置。
【請求項２】
前記アクセス権管理装置は、更に、
前記プロジェクト参加ユーザが参加しているプロジェクトが示されるプロジェクト情報を記憶するプロジェクト情報記憶部を有し、
前記アクセス権管理部は、
前記受信部により前記プロジェクト終了通知ワークフロー情報が受信された場合に、前記プロジェクト情報を参照して、前記プロジェクト終了通知ワークフロー情報で通知された終了プロジェクトが前記プロジェクト参加ユーザが参加しているプロジェクトであるか否かを判定し、前記終了プロジェクトが前記プロジェクト参加ユーザが参加しているプロジェクトである場合に、前記アクセス権記憶部に記憶されている、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化する請求項１に記載のアクセス権管理装置。
【請求項３】
前記アクセス権記憶部は、
第１の組織に所属する前記プロジェクト参加ユーザに前記第１の組織とは異なる第２の組織のリソースへのアクセス権を前記プロジェクト用アクセス権として記憶している請求項１に記載のアクセス権管理装置。
【請求項４】
前記アクセス権記憶部は、
前記プロジェクト参加ユーザが参加しているプロジェクトの個数に相当する、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権の割当て数を記憶しており、
前記アクセス権管理部は、
前記受信部により前記プロジェクト終了通知ワークフロー情報が受信された場合に、前記アクセス権記憶部に記憶されている、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権の割当て数をデクリメントする請求項３に記載のアクセス権管理装置。
【請求項５】
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するアクセス権記憶部と、
プロジェクトの終了時に実行される終了ソフトウェアの実行を検知する終了ソフトウェア実行検知部と、
前記終了ソフトウェア実行検知部により前記終了ソフトウェアの実行が検知された場合に、前記アクセス権記憶部に記憶されている、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理部とを有するアクセス権管理装置。
【請求項６】
前記アクセス権管理装置は、更に、
前記プロジェクト参加ユーザが参加しているプロジェクトが示されるプロジェクト情報を記憶するプロジェクト情報記憶部と、
終了するプロジェクトを通知するプロジェクト終了通知情報を受信する受信部とを有し、
前記アクセス権管理部は、
前記終了ソフトウェア実行検知部により前記終了ソフトウェアの実行が検知された場合に、前記プロジェクト情報を参照して、前記プロジェクト終了通知情報で通知された終了プロジェクトが前記プロジェクト参加ユーザが参加しているプロジェクトであるか否かを判定し、前記終了プロジェクトが前記プロジェクト参加ユーザが参加しているプロジェクトである場合に、前記アクセス権記憶部に記憶されている、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化する請求項５に記載のアクセス権管理装置。
【請求項７】
前記アクセス権記憶部は、
第１の組織に所属する前記プロジェクト参加ユーザに前記第１の組織とは異なる第２の組織のリソースへのアクセス権を前記プロジェクト用アクセス権として記憶している請求項６に記載のアクセス権管理装置。
【請求項８】
前記アクセス権記憶部は、
前記プロジェクト参加ユーザが参加しているプロジェクトの個数に相当する、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権の割当て数を記憶しており、
前記アクセス権管理部は、
前記終了ソフトウェア実行検知部により前記終了ソフトウェアの実行が検知された場合に、前記プロジェクト情報を参照して、前記プロジェクト終了通知情報で通知された終了プロジェクトが前記プロジェクト参加ユーザが参加しているプロジェクトであるか否かを判定し、前記終了プロジェクトが前記プロジェクト参加ユーザが参加しているプロジェクトである場合に、前記アクセス権記憶部を制御して、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権の割当て数をデクリメントする請求項７に記載のアクセス権管理装置。
【請求項９】
前記アクセス権管理部は、
開始されるプロジェクトである開始プロジェクトと、前記開始プロジェクトに参加するユーザとを通知するワークフロー情報であるプロジェクト開始通知ワークフロー情報が受信された場合に、前記開始プロジェクトに参加するプロジェクト参加ユーザに前記開始プロジェクト用のアクセス権であるプロジェクト用アクセス権を割り当て、
前記アクセス権記憶部は、
前記アクセス権管理部により割り当てられた前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を記憶する請求項１又は５に記載のアクセス権管理装置。
【請求項１０】
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するコンピュータが、
プロジェクトの終了を通知するワークフロー情報であるプロジェクト終了通知ワークフロー情報を受信する受信ステップと、
前記受信ステップにより前記プロジェクト終了通知ワークフロー情報が受信された場合に、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理ステップとを有するアクセス権管理方法。
【請求項１１】
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するコンピュータが、
プロジェクトの終了時に実行される終了ソフトウェアの実行を検知する終了ソフトウェア実行検知ステップと、
前記終了ソフトウェア実行検知ステップにより前記終了ソフトウェアの実行が検知された場合に、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理ステップとを有するアクセス権管理方法。
【請求項１２】
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するコンピュータに、
プロジェクトの終了を通知するワークフロー情報であるプロジェクト終了通知ワークフロー情報を受信する受信ステップと、
前記受信ステップにより前記プロジェクト終了通知ワークフロー情報が受信された場合に、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理ステップとを実行させるアクセス権管理プログラム。
【請求項１３】
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するコンピュータに、
プロジェクトの終了時に実行される終了ソフトウェアの実行を検知する終了ソフトウェア実行検知ステップと、
前記終了ソフトウェア実行検知ステップにより前記終了ソフトウェアの実行が検知された場合に、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理ステップとを実行させるアクセス権管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス権を管理する技術に関する。
【背景技術】
【０００２】
データやソフトウェア（以下、ＳＷとも表記する）などのデータセンタのリソースを複数の拠点から利用する場合、一般的に拠点ごとのアクセス制限を行い、ある拠点で利用可能なリソースはその他の拠点のユーザからはアクセスできないようにする。
そして、拠点をまたいだプロジェクトでこのようなシステムを利用する場合には、プロジェクトを管轄する拠点のリソースが利用できるように、プロジェクトに参加する他拠点のユーザにアクセス権を与えて対応している。
なお、アクセス権を管理するシステムとして、特許文献１に記載の技術がある。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１３−２１４２１９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
複数の拠点をまたいだプロジェクトなどでデータセンタのリソースを利用する際には、プロジェクトを管轄する拠点のリソースにアクセスできるように、その他の拠点のユーザを当該リソースにアクセス可能なグループメンバに登録して利用する。あるいは、プロジェクトを管轄する拠点のメンバとして新たなアカウントを登録して利用する、というような運用が行われる。
しかし、このような運用では、プロジェクト終了後も他拠点のユーザのグループ設定やアカウントが消されずに残ってしまうことで情報セキュリティ上望ましくないという課題がある。
つまり、プロジェクト終了後も、他拠点のユーザにアクセス権が付与された状態が続くため、本来ではアクセスできないはずのリソースに他拠点のユーザがアクセスできる状態が続き、情報セキュリティ上望ましくない。
【０００５】
本発明は、このような課題を解決することを主な目的としており、プロジェクト終了後も他拠点のユーザにアクセス権が付与された状態が続くという事態を回避することを主な目的とする。
【課題を解決するための手段】
【０００６】
本発明に係るアクセス権管理装置は、
プロジェクトに参加するプロジェクト参加ユーザに前記プロジェクト用に割り当てられているアクセス権であるプロジェクト用アクセス権を記憶するアクセス権記憶部と、
プロジェクトの終了を通知するワークフロー情報であるプロジェクト終了通知ワークフロー情報を受信する受信部と、
前記受信部により前記プロジェクト終了通知ワークフロー情報が受信された場合に、前記アクセス権記憶部に記憶されている、前記プロジェクト参加ユーザの前記プロジェクト用アクセス権を無効化するアクセス権管理部とを有する。
【発明の効果】
【０００７】
本発明によれば、プロジェクト終了通知ワークフロー情報が受信された場合に、プロジェクト参加ユーザのプロジェクト用アクセス権が無効化されるため、プロジェクト終了後も他拠点のユーザにアクセス権が付与された状態が続くという事態を回避することができる。
【図面の簡単な説明】
【０００８】
【図１】実施の形態１に係るシステム構成例を示す図。
【図２】実施の形態１に係るアクセス権管理装置の構成例を示す図。
【図３】実施の形態１に係る処理フローの例を示す図。
【図４】実施の形態１に係るプロジェクト開始通知ワークフロー情報の例を示す図。
【図５】実施の形態１に係るプロジェクト終了通知ワークフロー情報の例を示す図。
【図６】実施の形態１に係るアカウント情報の例を示す図。
【図７】実施の形態１に係るアクセス権管理装置の動作例を示すフローチャート図。
【図８】実施の形態１に係るアクセス権管理装置の動作例を示すフローチャート図。
【図９】実施の形態２に係る処理フローの例を示す図。
【図１０】実施の形態３に係る処理フローを示す図。
【図１１】実施の形態４に係るアクセス権管理装置の構成例を示す図。
【図１２】実施の形態４に係るアクセス権管理装置の動作例を示すフローチャート図。
【発明を実施するための形態】
【０００９】
実施の形態１．
本実施の形態及び以降の実施の形態では、拠点ごとにアクセス制限されたデータセンタのリソースを利用する際に、他拠点のユーザがリソースにアクセスできるようにするためのアクセス権の設定と、その解除を最適なタイミングで行う構成を示す。
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係るシステム構成例を示す。
本実施の形態では、拠点ａ２（第２の組織の例）のユーザＡと拠点ｂ６（第１の組織の例）のユーザＢがプロジェクトに参加する。
プロジェクトに参加する拠点ａ２のユーザＡと拠点ｂ６のユーザＢはプロジェクト参加ユーザともいう。
プロジェクトで用いられるデータセンタ４のリソース５は拠点ａで管理されるものとする。
アクセス権管理装置１は、アクセス権の管理、リソース５に対するアクセスの制御を行う。
また、アクセス権管理装置１は、各拠点のユーザからの指示に基づき、プロジェクトで必要なＳＷを実行する。
【００１０】
図２は、本実施の形態に係るアクセス権管理装置１の構成例を示す。
本実施の形態に係るアクセス権管理装置１は、コンピュータである。
アクセス権管理装置１は、ハードウェアとして、プロセッサ９０１、記憶装置９０２及び通信装置９０３を備える。
また、アクセス権管理装置１は、機能構成として、アクセス権管理部１０１、アカウント情報記憶部１０２、人事情報記憶部１０３及び受信部１０４を備える。
記憶装置９０２は、アカウント情報記憶部１０２及び人事情報記憶部１０３として機能する。
また、記憶装置９０２には、アクセス権管理部１０１の機能を実現するプログラムが記憶されている。
そして、プロセッサ９０１がこのプログラムを実行して、後述するアクセス権管理部１０１の動作を行う。
図２では、プロセッサ９０１がアクセス権管理部１０１の機能を実現するプログラムを実行している状態を模式的に表している。
通信装置９０３は、受信部１０４として機能する。
なお、図２では、アクセス権の管理に必要な機能構成のみを示しており、リソース５に対するアクセスの制御のための機能構成、プロジェクトに必要なＳＷの実行のための機能構成は図示を省略している。
また、以下では、主にアクセス権管理装置１によるアクセス権の管理について説明を行い、リソース５に対するアクセスの制御、ＳＷの実行についてはアクセス権の管理の説明に必要な範囲で説明を行う。
【００１１】
＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る動作を説明する。
先ずは、図３を参照してアクセス権管理装置１の動作の概要を説明し、後に、フローチャート等を参照して、アクセス権管理装置１の動作の詳細を説明する。
【００１２】
プロジェクト開始時には一般にワークフローシステムなどでプロジェクト参加メンバを規定することが行われる。
データセンタ４のアクセス権管理装置１がこの情報を読み取りにいき、他拠点ユーザのリソース５に対するアクセス権を設定する。
アクセス権の設定の対象となるリソース５はワークフローを開始した拠点のリソースである。
アクセス権管理装置１は、ワークフローの情報に含まれるプロジェクトメンバの情報に他拠点に所属するユーザがある場合は、そのユーザに対してリソース５へのアクセスを許可する。
プロジェクト終了時には、ワークフローの終了手続きが実行される。
データセンタ４のアクセス権管理装置１がこの終了手続きを読み取り、他拠点から参加していたメンバのリソース５に対するアクセス許可設定をプロジェクト開始以前の状態に戻す。
【００１３】
アクセス権管理装置１は、拠点ａで実行されるプロジェクト管理のワークフローシステムのワークフロー情報３にアクセスすることで、プロジェクトの開始及びプロジェクトの終了を認識することができる。
ワークフロー情報３は、前述のように少なくともプロジェクトの開始時とプロジェクトの終了時に送信される。
プロジェクトの開始時に送信されるワークフロー情報３をプロジェクト開始通知ワークフロー情報３１という。
プロジェクトの終了時に送信されるワークフロー情報３をプロジェクト終了通知ワークフロー情報３２という。
【００１４】
プロジェクト開始通知ワークフロー情報３１では、開始されるプロジェクトである開始プロジェクトと、開始プロジェクトに参加するユーザとが通知される。
図１の例では、プロジェクト開始通知ワークフロー情報３１において、拠点ａ２のユーザＡと拠点ｂ６のユーザＢが開始プロジェクトに参加することが通知される。
アクセス権管理装置１はプロジェクト開始通知ワークフロー情報３１を受信することで、拠点ａ２のユーザＡと拠点ｂ６のユーザＢが開始プロジェクトに参加することを認識することができる。
そして、アクセス権管理装置１は、他拠点である拠点ｂ６のユーザＢが拠点ａ２のリソース５にアクセスできるように、拠点ｂ６のユーザＢにアクセス権を割り当てる。
拠点ｂ６のユーザＢのような、他拠点に所属するプロジェクト参加ユーザに当該プロジェクト用に割り当てられる、拠点ａ２のリソース５へのアクセス権をプロジェクト用アクセス権という。
プロジェクト終了通知ワークフロー情報３２では、終了する終了プロジェクトが通知される。
図１の例では、プロジェクト終了通知ワークフロー情報３２において、拠点ａ２のユーザＡと拠点ｂ６のユーザＢが参加していたプロジェクトの終了が通知される。
アクセス権管理装置１はプロジェクト終了通知ワークフロー情報３２を受信することで、拠点ａ２のユーザＡと拠点ｂ６のユーザＢが参加していたプロジェクトの終了を認識することができる。
そして、アクセス権管理装置１は、拠点ｂ６のユーザＢに割り当てたプロジェクト用アクセス権を無効化する。
つまり、アクセス権管理装置１は、拠点ａ２のリソース５にアクセスできるように拠点ｂ６のユーザＢに割り当てたアクセス権を無効化する。
【００１５】
なお、ある拠点の複数のプロジェクトに他の拠点ユーザが参加する場合もあるため、アクセス権管理装置１は、同一拠点でいくつのプロジェクトに参加しているかを示す「プロジェクト情報／アクセス権の割当情報」の情報をアカウント情報８内に持つ。
「プロジェクト情報／アクセス権の割当情報」にはアクセス権の割当て数が記述される。
アクセス権管理装置１は、同一拠点のアクセス許可のたびに「プロジェクト情報／アクセス権の割当情報」のアクセス権の割当て数をインクリメントする。
そして、アクセス権管理装置１は、プロジェクト終了通知ワークフロー情報３２を受信する度に、アカウント情報８内の「プロジェクト情報／アクセス権の割当情報」のアクセス権の割当て数をデクリメントする。
そして、アクセス権管理装置１は、アクセス権の割当て数が０となった時点で、他拠点ユーザのリソース５へのアクセスを禁止する。
つまり、図１の例において、ユーザＢは拠点ａの複数のプロジェクトに参加している可能性があるため、アクセス権管理装置１は、ユーザＢが拠点ａ２のプロジェクトに参加していることを通知するプロジェクト開始通知ワークフロー情報３１を受信する度に、ユーザＢの拠点ａ２についての「プロジェクト情報／アクセス権の割当情報」のアクセス権の割当て数をインクリメントする。
そして、アクセス権管理装置１は、ユーザＢが参加する拠点ａ２のプロジェクトの終了を通知するプロジェクト終了通知ワークフロー情報３２を受信する度に、ユーザＢの拠点ａ２についての「プロジェクト情報／アクセス権の割当情報」のアクセス権の割当て数をデクリメントする。
そして、ユーザＢの拠点ａ２についての「プロジェクト情報／アクセス権の割当情報」のアクセス権の割当て数が０となった時点でユーザＢの拠点ａ２のリソースへのアクセスを禁止する。
本実施の形態に係るアクセス権管理装置１では、このようにしてユーザＢの拠点ａ２のリソースに対するアクセス許可と禁止の設定を最適に行うことができる。
なお、前述の「アクセス権の無効化」には、後述の図８のステップＳ７０８に示す、「プロジェクト情報／アクセス権の割当情報」のアクセス権の割当て数をデクリメントすることと、図８のステップＳ７１０に示す、アクセス権を削除することが含まれる。
【００１６】
次に、図２を参照して、アクセス権管理装置１の動作例を説明する。
【００１７】
受信部１０４は、プロジェクト開始通知ワークフロー情報３１を受信する。
受信部１０４で行われる処理は、受信ステップの例に相当する。
図４は、プロジェクト開始通知ワークフロー情報３１の例を示す。
図４に示すように、プロジェクト開始通知ワークフロー情報３１は、開始されるプロジェクトである開始プロジェクトと、開始プロジェクトに参加するユーザとを通知するワークフロー情報である。
図４（ａ）のプロジェクト開始通知ワークフロー情報３１ａ、図４（ｂ）のプロジェクト開始通知ワークフロー情報３１ｂ、図４（ｃ）のプロジェクト開始通知ワークフロー情報３１ｃのいずれにおいても、開始プロジェクトとして「プロジェクトＩＤ＝ａ−１」が通知されている。
「プロジェクトＩＤ」に「ａ」が記述されている場合は、拠点ａ２のプロジェクトである。
従って、「プロジェクトＩＤ＝ａ−１」のプロジェクト（以下、「プロジェクトａ−１」という）は拠点ａ２のプロジェクトである。
また、後述する「プロジェクトＩＤ＝ａ−２」のプロジェクト（以下、「プロジェクトａ−２」という）も拠点ａ２のプロジェクトである。
図４（ａ）のプロジェクト開始通知ワークフロー情報３１ａでは、プロジェクトに参加するユーザがアクセス権管理装置１で管理しているアカウント情報８に含まれるアカウント名で指定されている。
図４（ｂ）のプロジェクト開始通知ワークフロー情報３１ｂでは、プロジェクトに参加するユーザが所属と氏名で指定されている。
図４（ｃ）のプロジェクト開始通知ワークフロー情報３１ｃでは、プロジェクトに参加するユーザが社員番号で指定されている。
このように、プロジェクトに参加するユーザは、任意の形式で指定することができる。
また、受信部１０４は、プロジェクト終了通知ワークフロー情報３２を受信する。
図５は、プロジェクト終了通知ワークフロー情報３２の例を示す。
図５に示すように、プロジェクト終了通知ワークフロー情報３２は、プロジェクトの終了を通知するワークフロー情報である。
【００１８】
アカウント情報記憶部１０２は、アカウント情報８を記憶する。
アカウント情報記憶部１０２は、アクセス権記憶部及びプロジェクト情報記憶部の例に相当する。
図６は、アカウント情報８の例を示す。
図６では、一例として、拠点ｂ６に所属するユーザＢのアカウント情報８を示している。
アカウント情報８では、ユーザＢの所属先、ユーザＢのユーザ名に加えて、ユーザＢのプロジェクト情報／アクセス権の割当情報８１、アクセス権情報８２が含まれる。
プロジェクト情報／アクセス権の割当情報８１には、プロジェクト参加ユーザが参加しているプロジェクトの個数が示される。プロジェクト参加ユーザが参加しているプロジェクトの個数は、プロジェクト参加ユーザのプロジェクト用アクセス権の割当て数である。
プロジェクト情報／アクセス権の割当情報８１に示されるプロジェクト数を、アクセス権の割当て数ともいう。
図６の例では、ユーザＢが拠点ａ２の３つのプロジェクトに参加しており、このため、ユーザＢに拠点ａ２のリソース５に対するアクセス権が３つ割り当てられていることが示されている。
アクセス権情報８２には、当該ユーザに認められるアクセス権の内容が示される。
図６の例では、ユーザＢは拠点ａ２のリソース５へのリード権限とライト権限を有することが示される。
【００１９】
人事情報記憶部１０３は、人事情報を記憶する。
人事情報では、ユーザごとに、社員番号、所属先、アカウント情報８の識別子が管理される。
図４（ｂ）のプロジェクト開始通知ワークフロー情報３１（ｂ）又は図４（ｃ）のプロジェクト開始通知ワークフロー情報３１（ｃ）が受信部１０４により受信された場合に、アクセス権管理部１０１は人事情報記憶部１０３の人事情報を参照することで、プロジェクト参加メンバのアカウント情報８を特定することができる。
【００２０】
アクセス権管理部１０１は、受信部１０４によりプロジェクト開始通知ワークフロー情報３１が受信された場合に、プロジェクト開始通知ワークフロー情報３１の内容に基づき、開始プロジェクトに参加する他拠点のプロジェクト参加ユーザに開始プロジェクト用のアクセス権であるプロジェクト用アクセス権を割り当てる。
より具体的には、アクセス権管理部１０１は、アカウント情報８のプロジェクト情報／アクセス権の割当情報８１のアクセス権の割当て数をインクリメントする。
また、アクセス権管理部１０１は、受信部１０４によりプロジェクト終了通知ワークフロー情報３２が受信された場合に、アカウント情報記憶部１０２に記憶されている、プロジェクト参加ユーザのプロジェクト用アクセス権を無効化する。
より具体対的には、アカウント情報８のプロジェクト情報／アクセス権の割当情報８１のアクセス権の割当て数をデクリメントする。
アクセス権管理部１０１で行われる処理は、アクセス権管理ステップに相当する。
【００２１】
次に、図７を参照して、本実施の形態に係るアクセス権管理装置１の動作の詳細を説明する。
なお、図７に示す動作手順は、アクセス権管理方法及びアクセス権管理プログラムの例に相当する。
【００２２】
アクセス権管理部１０１は、受信部１０４がワークフロー情報３の監視によりワークフロー情報３を受信した場合に、ステップＳ７０１において、受信部１０４が受信したワークフロー情報３がプロジェクト開始ワークフロー情報３１であるか否かを判定する。
つまり、アクセス権管理部１０１は、受信部１０４が受信したワークフロー情報３が図４（ａ）〜（ｃ）のいずれかのプロジェクト開始通知ワークフロー情報３１であるかどうかを判定する。
受信部１０４が受信したワークフロー情報３がプロジェクト開始通知ワークフロー情報３１である場合（ステップＳ７０１でＹＥＳ）は、ステップＳ７０２に進む。
一方、受信部１０４が受信したワークフロー情報３がプロジェクト開始通知ワークフロー情報３１でない場合（ステップＳ７０１でＮＯ）は、ステップＳ７０６に進む。
【００２３】
ステップＳ７０２では、アクセス権管理部１０１は、プロジェクト開始通知ワークフロー情報３１からプロジェクトＩＤとプロジェクトメンバ一覧を読み取る。
【００２４】
次に、アクセス権管理部１０１は、ステップＳ７０３において、プロジェクトメンバ一覧に示されるプロジェクト参加ユーザのアカウント情報をアカウント情報記憶部１０２から読み出す。
受信部１０４が受信したプロジェクト開始通知ワークフロー情報３１が図４（ａ）のプロジェクト開始通知ワークフロー情報３１ａであれば、アクセス権管理部１０１は、ユーザＡのアカウント情報であるＡＣＯＵＮＴ−ＡとユーザＢのアカウント情報であるＡＣＯＵＮＴ−Ｂを読み出す。
また、受信部１０４が受信したプロジェクト開始通知ワークフロー情報３１が図４（ｂ）のプロジェクト開始通知ワークフロー情報３１ｂ又は図４（ｃ）のプロジェクト開始通知ワークフロー情報３１ｃであれば、アクセス権管理部１０１は人事情報記憶部１０３から人事情報を読み出す。また、アクセス権管理部１０１は人事情報を参照して、プロジェクト開始通知ワークフロー情報３１ｂ又はプロジェクト開始通知ワークフロー情報３１ｃに記載のユーザのアカウント情報を特定し、特定したアカウント情報をアカウント情報記憶部１０２から読み出す。
【００２５】
次に、アクセス権管理部１０１は、ステップＳ７０４において、プロジェクト参加ユーザが他拠点に所属しているか否かを判定する。
例えば、受信部１０４が図４（ａ）のプロジェクト開始通知ワークフロー情報３１ａを受信した場合は、図６によれば、ユーザＢは拠点ｂに属している。つまり、ユーザＢの所属はプロジェクトａ−１の拠点である拠点ａとは異なっており、アクセス権管理部１０１はユーザＢは他拠点に所属していると判定する。
プロジェクト参加ユーザが他拠点に所属している場合（ステップＳ７０４でＹＥＳ）は、ステップＳ７０５に進む。
一方、プロジェクト参加ユーザが他拠点に所属していない場合（ステップＳ７０４でＮＯ）は、ステップＳ７０１に戻る。
【００２６】
ステップＳ７０５では、アクセス権管理部１０１は、他拠点に所属しているプロジェクト参加ユーザのアカウント情報８のプロジェクト情報／アクセス権の割当情報８１のアクセス権の割当て数を＋１する。
他拠点に所属しているプロジェクト参加ユーザのアカウント情報８にプロジェクト情報／アクセス権の割当情報８１が含まれていない場合は、アクセス権管理部１０１は、アカウント情報８にプロジェクト情報／アクセス権の割当情報８１及びアクセス権情報８２を追加する。
例えば、プロジェクト開始通知ワークフロー情報３１にアクセス権の指定がなければ、アクセス権管理部１０１は、アクセス権情報８２に図６に示すように、リード権限とライト権限を記述する。
また、プロジェクト開始通知ワークフロー情報３１にアクセス権の指定があれば、アクセス権管理部１０１は、プロジェクト開始通知ワークフロー情報３１で指定されているアクセス権をアクセス権情報８２に記述する。
【００２７】
ステップＳ７０６では、アクセス権管理部１０１は、受信部１０４が受信したワークフロー情報３がプロジェクト終了通知ワークフロー情報３２であるか否かを判定する。
受信部１０４が受信したワークフロー情報３がプロジェクト終了通知ワークフロー情報３２である場合（ステップＳ７０６でＹＥＳ）は、ステップＳ７０７に進む。
一方、受信部１０４が受信したワークフロー情報３がプロジェクト終了通知ワークフロー情報３２でない場合（ステップＳ７０６でＮＯ）は、ステップＳ７０１に戻る。
【００２８】
ステップＳ７０７では、アクセス権管理部１０１は、プロジェクト終了通知ワークフロー情報３２で通知された終了プロジェクトに参加している他拠点のユーザのアカウント情報をアカウント情報記憶部１０２から読み出す。
受信部１０４が図５に示すプロジェクト終了通知ワークフロー情報３２を受信した場合は、プロジェクト情報／アクセス権の割当情報８１に「拠点ａ」が記述されている他拠点のユーザのアカウント情報８を読み出す。
【００２９】
ステップＳ７０８では、アクセス権管理部１０１は、ステップ７０７で読み出したアカウント情報８のプロジェクト情報／アクセス権の割当情報８１のアクセス権の割当て数を−１する。
図６のアカウント情報では、ユーザＢは拠点ａのプロジェクトにのみ参加していることになっているが、ユーザＢが拠点ｃのプロジェクトにも参加している場合に、図５に示すプロジェクト終了通知ワークフロー情報３２を受信した場合は、アクセス権管理部１０１は、拠点ａのプロジェクトのアクセス権の割当て数のみデクリメントし、拠点ｃのプロジェクトのアクセス権の割当て数はデクリメントしない。
【００３０】
ステップＳ７０９では、アクセス権管理部１０１はアクセス権の割当て数が０であるか否かを判定する。
アクセス権の割当て数が０である場合は、ステップＳ７１０に進む。
アクセス権の割当て数が０でない場合は、ステップＳ７０１に戻る。
【００３１】
ステップＳ７１０では、アクセス権管理部１０１はアクセス権を削除する。
すなわち、アクセス権管理部１０１は、アカウント情報８のプロジェクト情報／アクセス権の割当情報８１及びアクセス権情報８２を削除する。
【００３２】
＊＊＊実施の形態の効果の説明＊＊＊
このように、本実施の形態によれば、プロジェクト終了通知ワークフロー情報が受信された場合に、プロジェクト参加ユーザのプロジェクト用アクセス権が無効化されるため、プロジェクト終了後も他拠点のユーザにアクセス権が付与された状態が続くという事態を回避することができる。
つまり、複数の拠点をまたいだプロジェクトでの、他拠点ユーザのリソースアクセス権の設定を適切に行うことができ、特に他拠点ユーザのアクセス権の削除もれを防ぐことができる。
【００３３】
また、本実施の形態では、アクセス許可を追加する際に、すでにその拠点でのアクセス許可を受けていたアカウントの場合は、その拠点に対するアクセス権の割当て数をインクリメントして保存することで、同一拠点の全てのプロジェクトが閉じられるまでリソースの利用を可能とすることができる。
【００３４】
実施の形態２．
実施の形態１では、アクセス権管理装置１がワークフローシステムにおけるワークフロー情報３を監視することで、プロジェクト開始通知ワークフロー情報３１及びプロジェクト終了通知ワークフロー情報３２を受信する。
これに代えて、本実施の形態では、図９のように、ワークフローシステムからのワークフロー情報３の更新の通知をトリガーにして、アクセス権管理装置１がプロジェクト開始通知ワークフロー情報３１及びプロジェクト終了通知ワークフロー情報３２を受信する。
これにより、アクセス権管理装置１はワークフロー情報３を常時監視する必要がなく、ワークフローシステムからワークフロー情報３の更新を通知された場合のみ動作するので、アクセス権管理装置１の省電力化を図ることができる。
なお、本実施の形態では、上述した手順以外は、実施の形態１と同様である。
【００３５】
実施の形態３．
実施の形態１及び実施の形態２では、同じ拠点のプロジェクトであれば、プロジェクト開始通知ワークフロー情報３１の受信の度に、アクセス権の割当て数をインクリメントし、プロジェクト終了通知ワークフロー情報３２の受信の度に、アクセス権の割当て数をデクリメントすることとした。
つまり、実施の形態１及び実施の形態２では、アクセス権管理部１０１は、ユーザＢが参加する拠点ａのプロジェクトの個数分のアクセス権をユーザＢに割り当てている。
これに代えて、本実施の形態では、アクセス権管理部１０１は、プロジェクト別にアクセス権の割当て及び無効化を行う。
アクセス権管理部１０１は、図１０に示すように、ユーザＢのアカウント情報には、ユーザＢが参加するプロジェクトであるプロジェクトａ−１、プロジェクトａ−２が示される。
つまり、アクセス権管理部１０１は、プロジェクトａ−１用のアクセス権をユーザＢに設定し、プロジェクトａ−２用のアクセス権をユーザＢに設定する。
プロジェクトａ−１が終了したら、アクセス権管理部１０１は、ユーザＢのアカウント情報８からプロジェクトａ−１を削除し、ユーザＢのプロジェクトａ−１用のアクセス権を削除する。
同様に、プロジェクトａ−２が終了したら、アクセス権管理部１０１は、ユーザＢのアカウント情報８からプロジェクトａ−２を削除し、ユーザＢのプロジェクトａ−２用のアクセス権を削除する。
なお、本実施の形態では、上述した手順以外は、実施の形態１と同様である。
【００３６】
実施の形態４．
本実施の形態では、アクセス権管理装置１は特定のＳＷが実行された場合に、プロジェクトの終了を認識し、他拠点のユーザのアクセス権の無効化を行う。
プロジェクトの終了を判定するための特定のＳＷは例えば、設計データを製造データに変換するためのＳＷや、データ更新を禁止してバックアップを作成するＳＷなどが考えられる。
本実施の形態では、アクセス権管理装置１におけるＳＷの実行状況を監視し、特定のＳＷが実行された場合にプロジェクトが終了したと判定する。そして、アクセス権管理装置１は、そのプロジェクトに参加していた他拠点ユーザのアクセス権の割当て数をデクリメントする。
なお、以下では、主に実施の形態１との差異を説明する。以下で説明していない事項は実施の形態１と同じである。
【００３７】
＊＊＊構成の説明＊＊＊
図１１は、本実施の形態に係るアクセス権管理装置１の構成例を示す。
図１１では、図２の構成と比較して、終了ソフトウェア実行検知部１０５が追加されている。
終了ソフトウェア実行検知部１０５は、プロジェクトの終了時に実行される終了ソフトウェアの実行を検知する。
終了ソフトウェア実行検知部１０５により行われる処理は、終了ソフトウェア実行検知ステップの例に相当する。
本実施の形態では、受信部１０４は、プログラム終了通知情報を受信する。
プログラム終了通知情報は、終了プロジェクトを通知する情報であり、ワークフロー情報３でなくてもよい。
プログラム終了通知情報は、例えば電子メールでもよいし、ＨＴＴＰメッセージでもよい。
プログラム終了通知情報は、終了プロジェクトに関わりのある、いずれかのユーザの端末装置からアクセス権管理装置１に送信される。
また、本実施の形態では、アクセス権管理部１０１は、終了ソフトウェア実行検知部１０５により終了ソフトウェアの実行が検知され、また、受信部１０４によりプログラム終了通知情報が受信された場合に、他拠点ユーザのプロジェクト用アクセス権を無効化する。
アクセス権管理装置１の他の要素は実施の形態１で説明したものと同様であるため、説明を省略する。
【００３８】
＊＊＊動作の説明＊＊＊
図１２は、本実施の形態に係るアクセス権管理装置１の動作例を示すフローチャートである。
なお、図１２に示す動作手順は、アクセス権管理方法及びアクセス権管理プログラムの例に相当する。
【００３９】
ステップＳ７０１〜Ｓ７０５は、図７に示したものと同様であるため、説明を省略する。
【００４０】
ステップＳ１２０１で終了ソフトウェア実行検知部１０５が終了ソフトウェアの実行を検知しており、ステップＳ１２０２で受信部１０４がプロジェクト終了通知情報を受信している場合は、図８の処理が実行される。
図８の処理は、実施の形態１で説明した通りなので、ここでは説明を省略する。
【００４１】
なお、以上では、アクセス権管理部１０１は、プロジェクト終了通知情報により終了プロジェクトを認識する例を説明したが、アクセス権管理部１０１は、終了ソフトウェア実行時のフォルダ情報（パス名、アクセス権、保存ファイルの所有者）を読み取ることにより終了プロジェクトを認識するようにしてもよい。
＊＊＊実施の形態の効果の説明＊＊＊
本実施の形態では、アクセス権管理装置は、プロジェクトの終了時に実行される特定のソフトウェアの実行を検知することでプロジェクトの終了を認識し、他拠点のユーザのアクセス権を無効化する。
このため、プロジェクトの終了時にタイムラグなく、他拠点ユーザのアクセス権を削除することができる。
【００４２】
＊＊＊ハードウェア構成の説明＊＊＊
最後に、アクセス権管理装置１のハードウェア構成の補足説明を行う。
図２及び図１１に示すプロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）である。
プロセッサ９０１は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｏｒ）等である。
記憶装置９０２は、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）等である。
通信装置９０３は、データを受信するレシーバー及びデータを送信するトランスミッターを含む。
通信装置９０３は、例えば、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）である。
【００４３】
また、記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がプロセッサ９０１により実行される。
プロセッサ９０１はＯＳの少なくとも一部を実行しながら、アクセス権管理部１０１及び終了ソフトウェア実行検知部１０５（以下、これらをまとめて「部」という）の機能を実現するプログラムを実行する。
図２及び図１１では、１つのプロセッサが図示されているが、アクセス権管理装置１が複数のプロセッサを備えていてもよい。
また、「部」の処理の結果を示す情報やデータや信号値や変数値が、記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリに記憶される。
また、「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の可搬記憶媒体に記憶されてもよい。
【００４４】
また、「部」を、「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。
また、アクセス権管理装置１は、ロジックＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＧＡ（Ｇａｔｅ  Ａｒｒａｙ）、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）といった電子回路により実現されてもよい。
この場合は、「部」は、それぞれ電子回路の一部として実現される。
なお、プロセッサ及び上記の電子回路を総称してプロセッシングサーキットリーともいう。
【００４５】
＊＊＊付記＊＊＊
以上、本発明の実施の形態について説明したが、これらの実施の形態のうち、２つ以上を組み合わせて実施しても構わない。
あるいは、これらの実施の形態のうち、１つを部分的に実施しても構わない。
あるいは、これらの実施の形態のうち、２つ以上を部分的に組み合わせて実施しても構わない。
なお、本発明は、これらの実施の形態に限定されるものではなく、必要に応じて種々の変更が可能である。
【符号の説明】
【００４６】
１  アクセス権管理装置、２  拠点ａ、３  ワークフロー情報、５  リソース、６  拠点ｂ、８  アカウント情報、３１  プロジェクト開始通知ワークフロー情報、３２  プロジェクト終了通知ワークフロー情報、８１  プロジェクト情報／アクセス権の割当情報、８２  アクセス権情報、１０１  アクセス権管理部、１０２  アカウント情報記憶部、１０３  人事情報記憶部、１０４  受信部、１０５  終了ソフトウェア実行検知部。
【図１】
2017097733.tif 000003
【図２】
2017097733.tif 000004
【図３】
2017097733.tif 000005
【図４】
2017097733.tif 000006
【図５】
2017097733.tif 000007
【図６】
2017097733.tif 000008
【図７】
2017097733.tif 000009
【図８】
2017097733.tif 000010
【図９】
2017097733.tif 000011
【図１０】
2017097733.tif 000012
【図１１】
2017097733.tif 000013
【図１２】
2017097733.tif 000014