(57)【要約】【課題】情報処理端末において、仮想マシン手法やシンクライアント手法を用いずに、該情報処理端末のセキュリティを確保することを課題とする。【解決手段】情報処理端末１ｃに、制限モードを有効とするか否かの指示を受け付ける受付部２３と、指示に従ってＨＤＤ１３ｃに制限モード有効か否かを示す情報を記録する制限モード設定部２４と、制限モード有効を示す情報が記録された場合に、次回起動時のユーザを、システムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定する権限設定部２５と、情報処理端末１ｃの起動後に、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃの一部領域を、情報処理端末１ｃの起動または終了に際して初期化される一時領域８２として確保する一時領域確保部２７と、制限モード有効時に、ＨＤＤ１３ｃへの書込データを一時領域８２に記録する一時領域記録部２９と、を備えた。【選択図】図２
2009230553.tif 000002
【特許請求の範囲】
【請求項１】
不揮発性記憶装置を有し、オペレーティングシステムへの変更またはソフトウェアの追加を行うための権限の有無をユーザごとに設定可能な情報処理端末であって、
該情報処理端末の機能の一部を制限する制限モードを有効とするか否かの指示を受け付ける受付手段と、
前記受付手段によって受け付けられた指示に従って、前記不揮発性記憶装置に、前記制限モードを有効とするか否かを示す情報を記録する制限モード設定手段と、
前記制限モード設定手段によって、前記制限モードを有効とすることを示す情報が記録された場合に、該情報処理端末の次回起動時のユーザを、前記オペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定する権限設定手段と、
該情報処理端末の起動後に、前記制限モード設定手段によって前記不揮発性記憶装置に記録された情報を参照することで、前記制限モードが有効であるか否かを判定する判定手段と、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
前記判定手段によって前記制限モードが有効であると判定された場合に、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録する一時領域記録手段と、
を備える、情報処理端末。
【請求項２】
前記情報処理端末は、揮発性記憶装置を更に有し、
前記一時領域記録手段は、前記オペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、前記一時領域への書き込みアクセスへ変換することで、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録し、
前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段を更に備える、
請求項１に記載の情報処理端末。
【請求項３】
前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が失われることで初期化される、
請求項２に記載の情報処理端末。
【請求項４】
不揮発性記憶装置を有し、オペレーティングシステムへの変更またはソフトウェアの追加を行うための権限の有無をユーザごとに設定可能な情報処理端末が、
該情報処理端末の機能の一部を制限する制限モードを有効とするか否かの指示を受け付ける受付ステップと、
前記受付ステップで受け付けられた指示に従って、前記不揮発性記憶装置に、前記制限モードを有効とするか否かを示す情報を記録する制限モード設定ステップと、
前記制限モード設定ステップで、前記制限モードを有効とすることを示す情報が記録された場合に、該情報処理端末の次回起動時のユーザを、前記オペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定する権限設定ステップと、
該情報処理端末の起動後に、前記制限モード設定ステップで前記不揮発性記憶装置に記録された情報を参照することで、前記制限モードが有効であるか否かを判定する判定ステップと、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保ステップと、
前記判定ステップで前記制限モードが有効であると判定された場合に、前記不揮発性記
憶装置に書き込まれようとしているデータを前記一時領域に記録する一時領域記録ステップと、
を実行する、情報処理方法。
【請求項５】
前記一時領域記録ステップでは、前記オペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスが横取りされ、前記一時領域への書き込みアクセスへ変換されることで、前記不揮発性記憶装置に書き込まれようとしているデータが前記一時領域に記録され、
前記情報処理端末は、揮発性記憶装置を更に有し、
前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積ステップを更に実行する、
請求項４に記載の情報処理方法。
【請求項６】
前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が失われることで初期化される、
請求項５に記載の情報処理方法。
【請求項７】
不揮発性記憶装置を有し、オペレーティングシステムへの変更またはソフトウェアの追加を行うための権限の有無をユーザごとに設定可能な情報処理端末を、
該情報処理端末の機能の一部を制限する制限モードを有効とするか否かの指示を受け付ける受付手段と、
前記受付手段によって受け付けられた指示に従って、前記不揮発性記憶装置に、前記制限モードを有効とするか否かを示す情報を記録する制限モード設定手段と、
前記制限モード設定手段によって、前記制限モードを有効とすることを示す情報が記録された場合に、該情報処理端末の次回起動時のユーザを、前記オペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定する権限設定手段と、
該情報処理端末の起動後に、前記制限モード設定手段によって前記不揮発性記憶装置に記録された情報を参照することで、前記制限モードが有効であるか否かを判定する判定手段と、
前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、
前記判定手段によって前記制限モードが有効であると判定された場合に、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録する一時領域記録手段と、
として機能させる、情報処理プログラム。
【請求項８】
前記情報処理端末は、揮発性記憶装置を更に有し、
前記一時領域記録手段は、前記オペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、前記一時領域への書き込みアクセスへ変換することで、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録し、
前記情報処理端末を、
前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段として更に機能させる、
請求項７に記載の情報処理プログラム。
【請求項９】
前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が失われることで初期化される、
請求項８に記載の情報処理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理端末にプログラムまたはデータが残ることを防止するための技術に関する。
【背景技術】
【０００２】
従来、ホストコンピュータ上に、仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上でゲストＯＳ（オペレーティングシステム）を稼動させる、仮想マシン技術がある（例えば、特許文献１を参照）。
【０００３】
また、ホストコンピュータに直接接続されたＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）等にはＯＳを記憶させずに、起動時にＯＳをＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｃ）やネットワークを介して接続された他のコンピュータから読み込んで起動する技術がある（例えば、特許文献２を参照）
【特許文献１】特開２００５−１１５６５３号公報
【特許文献２】特開２００６−１２７１６９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
従来、情報処理端末と通信ネットワークとの組み合わせによる情報通信システムにおいて、コンピュータウィルスによる被害や情報漏洩等の事象が発生しているが、これは、近年のコンピュータの構成である、プログラムやデータを書き換え可能な記憶装置に記録していることに起因した問題である。即ち、データをユーザの意図に拘らずネットワークへ送信してしまうソフトウェアが、一旦記憶装置に記録されてしまうと、このソフトウェアはシステムに常駐し、被害が継続する。また、データをコンピュータの記憶装置に保存しているため、コンピュータが紛失または盗難されることによって、情報が漏洩する。
【０００５】
このような事象に対応するために、従来、情報処理端末にプログラムおよびデータを残さない技術が提案されている。例えば、コンピュータ上に仮想マシンと呼ばれる擬似的なコンピュータハードウェアを構成し、この仮想マシン上にてゲストＯＳを起動し、ゲストＯＳ上で作業を行うという、仮想マシン手法がある。また、情報処理端末にはＯＳを記憶させずに、ネットワークの先にＯＳイメージを用意して、起動時にネットワーク越しにダウンロードして不揮発性記憶装置を有さない情報処理端末のＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）に展開するという、所謂シンクライアント手法がある。そして、これらの手法によれば、情報処理端末上にプログラムやデータを残さず、ウィルス等のマルウェアが常駐する問題や、上処理端末から情報が漏洩する問題に対処することが出来る。
【０００６】
しかし、仮想マシン手法では、ゲストＯＳ上におけるプログラムは、仮想マシンを経由してホストＯＳ上で実行されるため、処理のオーバーヘッドが大きい。また、単一の端末について複数のＯＳが必要となるため、ＯＳのライセンスコストやメンテナンスコストの問題も発生する。シンクライアント手法では、ネットワーク経由でＯＳイメージおよび必要となるアプリケーションプログラム等を取得するため、ＯＳイメージがローカルに記録されたシステムに比べて、起動に必要な時間が長い。また、管理者は、対象とする情報処理端末に対応したＯＳの設定等の管理を行う必要があり、管理が煩雑である。
【０００７】
本発明は、上記の問題に鑑み、情報処理端末において、仮想マシン手法やシンクライアント手法を用いずに、該情報処理端末のセキュリティを確保することを課題とする。
【課題を解決するための手段】
【０００８】
本発明は、上記の課題を解決するために、以下の手段を採用した。即ち、本発明は、不揮発性記憶装置を有し、オペレーティングシステムへの変更またはソフトウェアの追加を行うための権限の有無をユーザごとに設定可能な情報処理端末であって、該情報処理端末の機能の一部を制限する制限モードを有効とするか否かの指示を受け付ける受付手段と、前記受付手段によって受け付けられた指示に従って、前記不揮発性記憶装置に、前記制限モードを有効とするか否かを示す情報を記録する制限モード設定手段と、前記制限モード設定手段によって、前記制限モードを有効とすることを示す情報が記録された場合に、該情報処理端末の次回起動時のユーザを、前記オペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定する権限設定手段と、該情報処理端末の起動後に、前記制限モード設定手段によって前記不揮発性記憶装置に記録された情報を参照することで、前記制限モードが有効であるか否かを判定する判定手段と、前記不揮発性記憶装置における一部の領域を、該情報処理端末の起動または終了に際して初期化される一時領域として確保する一時領域確保手段と、前記判定手段によって前記制限モードが有効であると判定された場合に、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録する一時領域記録手段と、を備える、情報処理端末である。
【０００９】
不揮発性記憶装置とは、ＨＤＤやフラッシュＥＥＰＲＯＭ等の、電源の供給が行われなくても記録された情報が維持される記憶装置である。本発明では、この不揮発性記憶装置上に、情報処理端末の起動または終了に際して初期化される一時領域を確保し、且つユーザ権限をオペレーティングシステムへの変更またはソフトウェアの追加を行う権限を有さないユーザに設定することで、望ましくないソフトウェアやデータが該情報処理端末に保持されることを防止することを可能としている。そして、これらの機能が実行されるか否かは、制限モード設定手段によって、例えば制限モードが有効であるか否かを示すフラグ等を用いて設定される。
【００１０】
即ち、本発明によれば、制限モード設定手段によって制限モードが有効であるか否かが設定され、この設定内容を参照してシステムのユーザおよびデータ保存手法をコントロールすることで、仮想マシン手法やシンクライアント手法を用いずに、情報処理端末のセキュリティを確保することが可能となる。
【００１１】
また、前記情報処理端末は、揮発性記憶装置を更に有し、前記一時領域記録手段は、前記オペレーティングシステムによる前記不揮発性記憶装置への書き込みアクセスを横取りし、前記一時領域への書き込みアクセスへ変換することで、前記不揮発性記憶装置に書き込まれようとしているデータを前記一時領域に記録し、前記変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、前記揮発性記憶装置に蓄積する変換情報蓄積手段を更に備えてもよい。
【００１２】
本発明によれば、変換情報が揮発性記憶装置に蓄積されるため、再起動や電源断等で、揮発性記憶装置に記録された変換情報が失われ、変換情報を参照して一時領域にアクセスすることが出来なくなる。これによって、一時領域からの情報の読出しが困難となり、マルウェアの残留や情報漏洩を防止することが可能となる。また、前記一時領域は、該情報処理端末の起動または終了に際して前記揮発性記憶装置に蓄積された変換情報が揮発することで初期化されてもよい。
【００１３】
また、本発明は、上記情報処理端末を管理する管理サーバとしても把握することが可能である。このような管理サーバによって情報処理端末が管理されることで、管理者は、ユーザ端末のセキュリティを高い状態に保ちつつ、ユーザに対して柔軟に作業環境を提供することが出来る。
【００１４】
更に、本発明は、コンピュータが実行する方法、又はコンピュータに実行させるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。
【発明の効果】
【００１５】
本発明によって、情報処理端末において、仮想マシン手法やシンクライアント手法を用いずに、該情報処理端末のセキュリティを確保することが可能となる。
【発明を実施するための最良の形態】
【００１６】
本発明に係る情報処理端末および管理サーバを有するユーザ端末管理システムの実施の形態について、図面に基づいて説明する。
【００１７】
＜第一の実施形態＞
図１は、本実施形態に係るユーザ端末管理システム１のハードウェア構成の概略を示す図である。ユーザ端末管理システム１は、管理サーバ１ｓと、管理サーバ１ｓにネットワーク２を介して接続された１または複数のユーザ端末１ｃとを有する。管理サーバ１ｓは、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）１１ｓ、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）１２ｓ等の主記憶装置、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）１３ｓ等の補助記憶装置、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）１４ｓ、およびＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）１５ｓ等のネットワークインターフェース等を有するコンピュータである。管理サーバ１ｓは、ネットワーク２を介して接続された管理者端末１ａによって管理されるが、ディスプレイ、キーボード、マウス等を備えてもよい。
【００１８】
また、ユーザ端末１ｃは、ＣＰＵ１１ｃ、揮発性記憶装置であり端末の再起動や終了に伴って記録された情報が失われるＲＡＭ１２ｃ、不揮発性記憶装置であり端末が再起動または終了された場合にも記録された情報が維持されるＨＤＤ１３ｃ、ＲＯＭ１４ｃ、およびＮＩＣ１５ｃ等のネットワークインターフェース等を有するコンピュータである。なお、本実施形態では、ユーザ端末１ｃは更にディスプレイ１６ｃ等の出力装置、およびキーボード１７ｃ、マウス１８ｃ等の入力装置等を有する。また、ユーザ端末１ｃのＯＳは、システムへの変更またはソフトウェアの追加を行うための権限である管理者権限の有無をユーザごとに設定可能なＯＳである。
【００１９】
図２は、本実施形態に係るユーザ端末管理システム１の機能構成の概略を示す図である。図１に示したハードウェア構成を有する管理サーバ１ｓは、ＨＤＤ１３ｓ上にインストールされたプログラムをＣＰＵ１１ｓが読み出してＲＡＭ１２ｓに展開し、展開されたプログラムをＣＰＵ１１ｓが解釈および実行することで、ソフトウェア蓄積部４６と、ソフトウェアのリストを含む制限モード定義情報を蓄積する制限モード定義情報蓄積部４４と、ユーザまたはユーザ端末１ｃの識別情報をユーザ端末１ｃより受信する識別情報受信部４２と、受信された識別情報を用いてユーザ端末１ｃまたはユーザを認証する認証部４１と、情報処理端末またはユーザに応じた制限モード定義情報を送信する制限モード定義情報送信部４３と、ユーザ端末１ｃにおいて選択された制限モード定義情報に含まれるソフトウェアをユーザ端末１ｃに送信するソフトウェア送信部４５と、を備える管理サーバ１ｓとして機能する。
【００２０】
同様に、図１に示したハードウェア構成を有するユーザ端末１ｃは、ＲＡＭ１２ｃに展
開されたプログラムをＣＰＵ１１ｃが解釈および実行することで、ユーザまたはユーザ端末１ｃの識別情報を管理サーバ１ｓに送信する識別情報送信部２１と、管理サーバ１ｓから制限モード定義情報を受信する制限モード定義情報受信部２２と、ユーザによる制限モード定義情報の選択および制限モード有効化の指示を受け付ける受付部２３と、制限モード設定部２４と、次回起動時のログインユーザを管理者権限を有さないユーザに設定する権限設定部２５と、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃにおける一部の領域を一時領域８２として確保する一時領域確保部２７と、選択された制限モード定義情報に含まれるソフトウェアを管理サーバ１ｓから受信するソフトウェア受信部２８と、制限モード有効時にＨＤＤ１３ｃへの書き込みデータを一時領域８２に記録する一時領域記録部２９と、一時領域８２への記録の際の変換情報を蓄積する変換情報蓄積部３０と、ソフトウェアを一時領域８２から読み出して実行するソフトウェア実行部３１と、一時領域８２を含むＨＤＤ１３ｃに記録された情報を読み出す読出部３２と、を備えるユーザ端末１ｃとして機能する。
【００２１】
ここで、サービスとは、ユーザ端末１ｃまたはサービス提供サーバにおいて実行されるソフトウェアによって提供される機能である。サービスの提供の形態としては、ユーザ端末１ｃにダウンロードされたソフトウェアがユーザ端末１ｃによって実行されることでサービスが提供される形態や、サービス提供サーバにおいて主要な処理が行われ、ユーザ端末１ｃではサーバから受信した処理結果の表示を主に担うソフトウェアが実行される形態等が用いられてよい。
【００２２】
また、一時領域８２とは、ユーザ端末１ｃの起動または終了に際してＲＡＭ１２ｃに蓄積された変換情報が失われることで初期化されるＨＤＤ１３ｃにおける一部の領域である。一時領域記録部２９は、判定部２６によって制限モードが有効であると判定された場合に、オペレーティングシステムによるＨＤＤ１３ｃへの書き込みアクセスを横取り（フック）し、一時領域８２への書き込みアクセスへ変換することで、ＨＤＤ１３ｃに書き込まれようとしているデータを一時領域８２に記録する。そして、変換情報蓄積部３０は、変換された書き込みアクセスの変換前のアドレスと変換後のアドレスとの対応関係を示す変換情報を、ＲＡＭ１２ｃに蓄積する。
【００２３】
また、制限モードとは、ユーザ端末１ｃにおいてセキュリティを確保するための機能が有効となっている状態であり、セキュリティを確保しつつ様々な作業環境を提供するために、複数種類の制限モードが提供される。
【００２４】
管理サーバ１ｓの制限モード定義情報蓄積部４４は、識別情報に係る情報処理端末に所定の作業環境を構築するためのソフトウェアの組み合わせ、または識別情報に係るユーザに所定のサービスを提供するためのソフトウェアの組み合わせを含む、制限モード定義情報を蓄積する。
【００２５】
図３Ａおよび図３Ｂは、本実施形態におけるソフトウェア情報テーブル５０Ａ、５０Ｂの構成を示す図である。ソフトウェア情報テーブル５０Ａ、５０Ｂには、ソフトウェア蓄積部４６によって蓄積されたソフトウェアを識別するためのソフトウェア識別子５１と、ソフトウェア名称５２と、管理サーバ１ｓにおけるソフトウェア本体の保存位置を示すファイルパス５３と、を含むソフトウェア情報が蓄積される。なお、本実施形態において、ソフトウェア情報テーブル５０Ａには、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの情報が蓄積される。これに対して、ソフトウェア情報テーブル５０Ｂには、残留防止の対象とならないソフトウェア、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアの情報が蓄積される。
【００２６】
また、図４は、本実施形態における認証情報テーブル６０の構成を示す図である。認証情報テーブル６０には、認証を受けるユーザまたはユーザ端末１ｃを識別するための認証識別子６１と、認証識別子６１によって認証されるユーザまたは端末の名称６２と、認証に用いられるパスワード等が含まれる認証符号６３と、を含む認証情報が蓄積される。
【００２７】
図５は、本実施形態における制限モード定義情報テーブル７０の構成を示す図である。制限モード定義情報テーブル７０には、制限モード識別子７１と、制限モード名称７２と、この制限モードで使用が許可されるソフトウェアのソフトウェア識別子５１がリストされるソフトウェアリスト７３と、この制限モードの使用が許可されるユーザまたは端末の認証識別子６１がリストされる認証リスト７４と、この制限モードの使用が許可される期限を示す制限モード有効期限７５と、を含む制限モード定義情報が蓄積される。ユーザは、提示された複数種類の制限モード定義情報から、所望の制限モード定義情報を選択することで、この定義情報に応じた作業環境の提供を受けることが出来る。
【００２８】
図６は、本実施形態における記憶領域８０の構成を示す図である。ユーザ端末１ｃのＨＤＤ１３ｃ上に確保された記憶領域８０には、制限モードフラグ８１および一時領域８２が含まれ、制限モードフラグ８１には、制限モード設定部２４によって、制限モードが有効であることを示す値（例えば、「１」）、または制限モードが無効となっていることを示す値（例えば、「０」）が書き込まれる。また、一時領域８２は、制限モードが有効となっている間に、アドレス変換によってＨＤＤ１３ｃへの書き込みアクセスがリダイレクトされる領域である。即ち、制限モードが有効となっている間、原則としてデータは一時領域８２に記録される。
【００２９】
図７は、本実施形態におけるアドレス変換テーブル９０を示す図である。アドレス変換テーブル９０には、一時領域８２への書込み時の変換元アドレス９１と変換先アドレス９２との対応関係が蓄積される。アドレス変換テーブル９０に蓄積された情報は、一時領域８２からの情報の読み出し時に参照される。なお、本実施形態では、アドレス変換は、対応表を参照することで変換元アドレス９１に対応する変換先アドレス９２を取得することとしているが、これに代えて、変換元アドレス９１を所定の計算式を用いて変換することで、変換先アドレス９２を取得することとしてもよい。
【００３０】
図８は、本実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。本フローチャートに示された処理は、管理サーバ１ｓまたは管理サーバ１ｓにログインした管理者端末１ａにおいて、管理者によって制限モード定義情報の作成開始を指示する入力が行われたことを契機として開始される。
【００３１】
ステップＳ１０１からステップＳ１０３では、制限モード定義情報を作成するにあたってユーザに選択させるための各種情報が読み出され、これらの情報が、管理サーバ１ｓまたは管理者端末１ａのディスプレイに表示される。管理サーバ１ｓは、予め準備されたソフトウェア情報をソフトウェア情報テーブル５０Ａ、５０Ｂから読み出し、認証情報を認証情報テーブル６０から読み出す。そして、管理サーバ１ｓは、読み出されたソフトウェア情報および認証情報を、管理サーバ１ｓに接続されたディスプレイ、または管理サーバ１ｓに接続された管理者端末１ａのディスプレイに表示する。
【００３２】
図９は、本実施形態においてディスプレイに表示される制限モード定義情報作成インターフェース１００のイメージを示す図である。制限モード定義情報作成インターフェース１００は、作成される制限モード定義情報に係る制限モードの名称が入力される名称入力欄１０１と、ステップＳ１０１で読み出されたソフトウェア情報が選択される選択可能ソフトウェア表示欄１０２と、選択された１または複数のソフトウェアが表示される選択済
みソフトウェア表示欄１０３と、選択したいソフトウェアを選択済みソフトウェアに追加する追加ボタン１０４ａと、選択済みソフトウェアを削除する削除ボタン１０４ｄと、ステップＳ１０２で読み出された認証情報が選択される選択可能認証情報表示欄１０５と、選択された１または複数の認証情報が表示される選択済み認証情報表示欄１０６と、選択したい認証情報を選択済み認証情報に追加する追加ボタン１０７ａと、選択済み認証情報を削除する削除ボタン１０７ｄと、作成される制限モード定義情報の有効期限を入力する有効期限入力欄１０８と、入力または選択内容を確定して新規制限モード定義情報を作成する新規作成ボタン１０９と、を有する。
【００３３】
ステップＳ１０４では、制限モード定義情報を作成するにあたって必要な情報の入力および選択が受け付けられる。管理サーバ１ｓは、ディスプレイに表示された制限モード定義情報作成インターフェース１００を介して行われる入力操作および選択操作を受け付けることで、制限モードの名称、ソフトウェア、認証情報および有効期限の入力または選択を受け付ける。
【００３４】
即ち、管理者は、制限モード定義情報を作成するにあたって、ディスプレイに表示された制限モード定義情報作成インターフェース１００を見ながら、キーボード、マウス等の入力装置を用いて、制限モードの名称の入力、ソフトウェアの選択、認証情報の選択、および有効期限の入力を行う。ここで、ソフトウェアおよび認証情報は、複数選択されてもよい。本実施形態では、ドロップダウンメニューを用いて表示されたソフトウェアまたは認証情報が、追加ボタン１０４ａ、１０７ａの押下によって選択状態となる。選択状態にある選択済みソフトウェア／認証情報は、選択済みソフトウェア／認証情報表示欄１０３、１０６に表示され、新規作成ボタン１０９の押下によって確定される。その後、処理はステップＳ１０５へ進む。
【００３５】
ステップＳ１０５では、制限モード定義情報が作成される。管理サーバ１ｓは、ステップＳ１０４で入力または選択された情報を、制限モード名称７２、ソフトウェアリスト７３、認証リスト７４および制限モード有効期限７５として含む制限モード定義情報を作成し、制限モード定義情報テーブル７０に蓄積する。この際、管理サーバ１ｓは、制限モード定義情報を識別するための一意の識別子を生成し、制限モード識別子７１として制限モード定義情報に保持させる。識別子は、例えば、作成日時等を含む識別子とすることが出来る。その後、本フローチャートに示された処理は終了する。
【００３６】
即ち、本フローチャートに示された処理によれば、管理者は、ユーザに提供したい作業環境および適用したいセキュリティに応じた制限モードを、簡易に作成することが出来る。なお、ここで制限モード定義情報の生成が成功した場合に、制限モード定義情報が正常に作成された旨をユーザに伝えるためのメッセージが表示されることとしてもよい。また、管理者は、制限モード定義情報を複数作成することが出来る。異なるソフトウェア識別子５１と認証識別子６１との組み合わせによる制限モード定義情報を生成しておくことで、ソフトウェアの選択および該ソフトウェアを利用できるユーザの限定を、制限モードを選択させるのみで行うことが出来る。
【００３７】
例えば、ファイルサーバへアクセスするためのソフトウェアと、アクセスを許可したいユーザを制限モード定義情報に設定しておくことで、限定されたユーザ間でのデータ共有が可能となる。
【００３８】
図１０Ａおよび図１０Ｂは、本実施形態における制限モード制御処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。なお、本フローチャートに示された処理では、制限モードフラグ８１が操作され、制限モードフラグ８１の状態に基づいて処理の流れが決定される。はじめに、起動時にお
いて制限モードフラグ８１が有効でない（または、無効である）場合の処理の流れについて説明する。なお、本実施形態では、ＯＳ等のシステムプログラムはＨＤＤ１３ｃより読み出されることとしているが、システムプログラムの少なくとも一部をＲＯＭ、ＤＶＤ等の書換不可能な記憶装置に記録しておき、システム起動時に毎回展開させることで、プログラムの改変を抑止してもよい。
【００３９】
ステップＳ２０１およびステップＳ２０２では、システムの起動処理および制限モードフラグ８１の判定が行われる。判定部２６は、システムの起動後、ＨＤＤ１３ｃに保存された制限モードフラグ８１を参照し、制限モードフラグ８１が制限モード有効を示す値に設定されているか否かを判定する。制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合、処理はステップＳ２２１へ進み（図１０Ｂを参照）、以降、制限モードフラグ８１が無効に設定されるまで、システムは制限モードで動作する。制限モードフラグ８１が制限モード有効を示す値に設定されていない（または、無効を示す値に設定されている）と判定された場合、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００４０】
ステップＳ２０３およびステップＳ２０４では、認証情報に基づいた認証処理が行われる。ユーザ端末１ｃは、ユーザ端末１ｃのディスプレイ１６ｃに認証インターフェース（図示は省略する）を表示し、識別情報送信部２１は、このインターフェースを介してユーザによって入力された認証情報（例えば、ユーザ名称とパスワード等）を、管理サーバ１ｓへ送信する（ステップＳ２０３）。管理サーバ１ｓの識別情報受信部４２は、送信された認証情報をネットワーク２を介して受信し、認証部４１は、受信された認証情報と予め認証情報テーブル６０に保持されている認証情報とを比較することで、ユーザ端末１ｃまたはユーザ端末１ｃを使用しているユーザを認証する（ステップＳ２０４）。
【００４１】
より具体的には、管理サーバ１ｓの認証部４１が、受信された認証情報に含まれるユーザまたは端末の名称６２または認証識別子６１を検索キーとして認証情報テーブル６０を検索し、抽出された認証情報の認証符号６３と受信された認証情報に含まれるパスワード等を比較することで、認証が行われる。なお、本実施形態では、ユーザによって入力された認証情報を送信することとしているが、これに代えて、予め設定された認証情報が、ユーザ端末１ｃの起動時に自動的に送信されることとしてもよい。その後、処理はステップＳ２０５へ進む。なお、認証処理は、ワンタイムパスワードや、秘密鍵と公開鍵を用いた認証処理等、実施の形態に応じて採用された認証プロトコルを用いた認証処理であってよい。
【００４２】
ステップＳ２０５からステップＳ２０７では、制限モード定義情報の送受信が行われる。管理サーバ１ｓの制限モード定義情報送信部４３は、ステップＳ２０４で認証されたユーザまたはユーザ端末１ｃの認証識別子６１を検索キーとして制限モード定義情報テーブル７０を検索することで、認証に係る制限モード定義情報を抽出する（ステップＳ２０５）。ここで、制限モード定義情報送信部４３は、管理サーバ１ｓの内蔵時計（図示は省略する）に基づく日時情報と、制限モード定義情報に含まれる有効期限７５とを比較し、有効期限を超過している（期限切れの）制限モード定義情報は、抽出の結果に含ませない。そして、制限モード定義情報送信部４３は、抽出された制限モード定義情報をユーザ端末１ｃへ送信し（ステップＳ２０６）、ユーザ端末１ｃの制限モード定義情報受信部２２は、ネットワーク２を介して制限モード定義情報を受信する（ステップＳ２０７）。その後、処理はステップＳ２０８へ進む。
【００４３】
ステップＳ２０８では、ステップＳ２０７で受信された制限モード定義情報が複数あるか否かが判定される。複数の制限モード定義情報が受信されたと判定された場合、処理はステップＳ２０９へ進む。受信された制限モード定義情報が複数ではない（単一である）
と判定された場合、処理はステップＳ２１０へ進む。
【００４４】
ステップＳ２０９では、受信された制限モード定義情報が複数ある場合に、ユーザによる選択が受け付けられる。受付部２３は、受信された複数の制限モード定義情報に基づいて、複数の制限モード定義情報のうち、このユーザ端末１ｃに提供する制限モード定義情報をユーザに選択させるための制限モード定義情報選択インターフェース１１０をディスプレイ１６ｃに表示する。
【００４５】
図１１は、本実施形態においてディスプレイ１６ｃに表示される制限モード定義情報選択インターフェース１１０のイメージを示す図である。制限モード定義情報選択インターフェース１１０は、ユーザに対する制限モードについての説明を含むメッセージ表示欄１１１と、制限モード名称７２および有効期限７５が表示される制限モード選択ボタン１１２と、を有する。マウス１８ｃ等の入力装置を用いてユーザは制限モード選択ボタン１１２をクリックすることで、所望の制限モードを選択することが出来る。受付部２３は、制限モード定義情報インターフェースを介して、ユーザによる制限モード定義情報の選択を受け付ける。その後、処理はステップＳ２１０へ進む。
【００４６】
ステップＳ２１０では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象とならないソフトウェア、即ち、制限モードが有効であるか否かに拘らずユーザ端末１ｃのＨＤＤ１３ｃ上に残されるべきソフトウェアの識別子を送信する。ここで、残留防止とは、データを一時領域８２へ記録することで、端末へのデータの残留を防止することをいう。残留防止の対象とならないソフトウェアとは、例えば、オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等、セキュリティの観点上システムに残すことが好ましいソフトウェアである。これらの残留防止の対象とならないソフトウェアを識別する方法としては、本実施形態における、残留防止の対象とならないソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ｂを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２１１へ進む。
【００４７】
ステップＳ２１１およびステップＳ２１２では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。管理サーバ１ｓのソフトウェア送信部４５は、ユーザ端末１ｃより送信されたソフトウェア識別子５１を受信し（ステップＳ２１１）、受信されたソフトウェア識別子５１を検索キーとしてソフトウェア情報テーブル５０Ｂを検索することで、ユーザ端末１ｃより要求されたソフトウェアの本体が保存されている場所（ここでは、管理サーバ１ｓにおけるファイルパス５３）を取得する。そして、ソフトウェア蓄積部４６によって蓄積されているソフトウェア本体を読み出し、ユーザ端末１ｃへ送信する（ステップＳ２１２）。その後、処理はステップＳ２１３へ進む。
【００４８】
ステップＳ２１３では、ソフトウェア本体が受信される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェアを受信し、ＨＤＤ１３ｃに保存する。なお、ここで受信されたソフトウェアが保存されるＨＤＤ１３ｃ上の領域は、残留防止のために用いられる一時領域８２ではない。その後、処理はステップＳ２１４へ進む。
【００４９】
ステップＳ２１４およびステップＳ２１５では、制限モードフラグ８１が設定され、制限モード定義情報が保存される。制限モード設定部２４は、ＨＤＤ１３ｃ上の制限モード
フラグ８１に、制限モードが有効であることを示す値を設定し（ステップＳ２１４）、ＨＤＤ１３ｃに、ステップＳ２０９で選択された制限モード定義情報（ステップＳ２０７で受信された制限モード定義情報が１つであった場合には、その制限モード定義情報）を保存する（ステップＳ２１５）。即ち、これらのステップでは、ユーザ端末１ｃの再起動後に用いる情報が、不揮発性記憶装置であるＨＤＤ１３ｃに記録される。これによって、ユーザ端末１ｃの再起動後も制限モードが継続され、また、再起動後に参照される制限モード定義情報が維持される。その後、処理はステップＳ２１６へ進む。
【００５０】
ステップＳ２１６およびステップＳ２１７では、ユーザ端末１ｃのオペレーティングシステムにおけるユーザ権限が変更され、ユーザ端末１ｃが再起動される。権限設定部２５は、次回起動時のユーザが、ユーザ端末１ｃへのソフトウェアのインストールやシステムへの変更を行う権限を有さないユーザ（以降、「制限ユーザ」と称する）となるように、オペレーティングシステムの設定を強制的に変更する（ステップＳ２１６）。より具体的には、権限設定部２５は、ユーザ端末１ｃのオペレーティングシステム起動用設定ファイル（レジストリ等）内のオペレーティングシステム起動時ログインユーザを、管理者権限を持たない制限ユーザへ強制的に書き換える。その後、システムの再起動が開始され（ステップＳ２１７）、本フローチャートに示された処理は終了する。
【００５１】
システムが再起動すると、再びステップＳ２０１からの処理が実行される。再起動したシステムは、制限ユーザで動作する。また、制限モードフラグ８１はステップＳ２１４で制限モードに設定されているため、ステップＳ２０２における判定処理では、制限モードフラグ８１が制限モード有効を示す値に設定されていると判定される。
【００５２】
次に、図１０Ｂを参照して、ステップＳ２０２で制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合の以降の処理の流れ、即ちシステムが制限モードで動作する場合の処理の流れを説明する。
【００５３】
ステップＳ２２１では、残留防止機能が有効化される。ユーザ端末１ｃの一時領域確保部２７は、ステップＳ２０２で制限モードフラグ８１が有効であると判断されたことを受けて、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が有効であることを示す値を設定し、一時領域８２の確保および初期化を行うことで、残留防止機能を有効化する。残留防止機能フラグは、後述する残留防止処理において参照されることで、残留防止機能が有効であるか無効であるかを判定するための基準となる。また、一時領域８２は、一時領域８２のアドレスの書き込みアドレスを示すポインタを一時領域８２（図６を参照）の先頭アドレスとすることで初期化される。その後、処理はステップＳ２２２へ進む。
【００５４】
ステップＳ２２２では、ソフトウェア識別子５１が送信される。ユーザ端末１ｃのソフトウェア受信部２８は、ステップＳ２１５でＨＤＤ１３ｃに保存された制限モード定義情報のソフトウェアリスト７３に含まれるソフトウェアのうち、残留防止の対象となるソフトウェア、即ち、ユーザ端末１ｃの利用終了後に、ユーザ端末１ｃのＨＤＤ１３ｃ上に残されないソフトウェアの識別子を送信する。残留防止の対象となるソフトウェアを識別する方法としては、本実施形態における、残留防止の対象となるソフトウェアの情報が蓄積されるソフトウェア情報テーブル５０Ａを用いる方法の他に、予めユーザ端末１ｃにおいて設定しておく方法や、管理サーバ１ｓに保持されるソフトウェア情報や制限モード定義情報に残留防止の対象とするか否かを判別するためのフラグを含ませる方法等が採用されてよい。その後、処理はステップＳ２２３へ進む。
【００５５】
ステップＳ２２３およびステップＳ２２４では、管理サーバ１ｓによってソフトウェア識別子５１が受信され、ソフトウェア本体が送信される。処理の詳細はステップＳ２１１およびステップＳ２１２と概略同様であるため、説明を省略する。その後、処理はステッ
プＳ２２５へ進む。
【００５６】
ステップＳ２２５では、ソフトウェア本体が受信される。ユーザ端末１ｃのソフトウェア受信部２８は、管理サーバ１ｓから送信されたソフトウェア本体を受信し、ステップＳ２２１で初期化された一時領域８２に保存する。即ち、ここで受信されたソフトウェア本体は、ユーザ端末１ｃの使用終了時または再起動時に、ユーザ端末１ｃから失われる。その後、処理はステップＳ２２６へ進む。
【００５７】
ステップＳ２２６およびステップＳ２２７では、ソフトウェアが起動され、制限モード離脱インターフェース１２０が表示される。ユーザ端末１ｃのソフトウェア実行部３１は、ステップＳ２１３およびステップＳ２２５で受信しＨＤＤ１３ｃに記録したソフトウェア本体を、ＲＡＭ１２ｃに読み出し、ＣＰＵ１１ｃに実行させることでソフトウェアを起動する（ステップＳ２２６）。即ち、この時点で、ソフトウェアの機能が情報処理端末を使用するユーザに提供され、ユーザはユーザ端末１ｃにおいて動作する各種ソフトウェアを用いて作業を行うことが可能となる。そして、ユーザ端末１ｃは、ユーザが制限モードでの作業を終了する際の終了操作を受け付けるための制限モード離脱インターフェース１２０をディスプレイ１６ｃに表示する（ステップＳ２２７）。その後、本フローチャートに示された処理は終了する。なお、制限モード離脱インターフェース１２０を起動するためのソフトウェアは、ソフトウェア情報テーブル５０Ａに登録され、ステップＳ２２５で受信されるソフトウェアであってもよい（以下、制限モード離脱インターフェース１２０を表示させるためのソフトウェアを「離脱インターフェース提供ソフトウェア」と称する）。この場合、制限モード離脱インターフェース１２０は、ステップＳ２２６のソフトウェア起動処理において表示されるため、ステップＳ２２７の処理は不要となる。また、この場合、離脱インターフェース提供ソフトウェアは一時領域８２に記録され、ユーザ端末１ｃに残らない。このため、離脱インターフェース提供ソフトウェアを制限モード定義情報テーブル７０に登録するタイミングを調整することで、管理者は、制限モードから離脱可能な時期をコントロールすることが出来る。より具体的には、管理者は、ユーザ端末を常に制限モードで動作させたい時期には制限モード定義情報テーブル７０に離脱インターフェース提供ソフトウェアを登録しないことで、ユーザの故意または過失による不要な制限モード離脱や環境変更等を防止することが出来る。
【００５８】
図１２は、本実施形態においてディスプレイ１６ｃに表示される制限モード離脱インターフェース１２０のイメージを示す図である。制限モード離脱インターフェース１２０は、現在ユーザ端末１ｃのシステムが制限モードで動作していることを通知するメッセージ１２１と、非制限モードへ復帰する（制限モードを離脱する）ことを指示するための復帰ボタン１２２と、を有する。ユーザは、ユーザ端末１ｃに備えられたポインティングデバイス等の入力装置を操作して、復帰ボタン１２２をクリックすることで、制限モードでの作業を終了し、非制限モードへ移行することの指示を行う。
【００５９】
ステップＳ２２６におけるソフトウェアの起動以降、ユーザによる復帰ボタン１２２のクリックが検知されるまで、ユーザ端末１ｃは制限モード下で動作し、ユーザは、ユーザ端末１ｃにおいて起動された各種ソフトウェアを用いて作業を行うことが可能である。そして、本実施形態によれば、ユーザ端末１ｃのＯＳが制限ユーザで動作し、且つ残留防止機能が動作していることによって、ユーザによるソフトウェアのインストールやシステムへの変更が制限され、更に、作成または変更したデータが再起動後にＨＤＤ１３ｃに残留することが制限される。
【００６０】
図１３は、本実施形態における非制限モード移行処理の流れを示すフローチャートである。本フローチャートに示された処理は、ユーザによる非制限モードへの移行指示が検知されたことを契機として開始される。ユーザ端末１ｃは、上記制限モード離脱インターフ
ェース１２０を介したユーザ操作に基づく非制限モードへの移行指示を受け付け（ステップＳ３０１）、ＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが無効であることを示す値を設定する（ステップＳ３０２）。なお、制限モードフラグ８１への書き込みについては、残留防止機能によるアドレス変換が行われない。具体的には、後述する残留防止処理において、一時領域記録部２９は、書き込みアドレスが制限モードフラグ８１を示すアドレスである場合のみ、アドレス変換を行わずにＨＤＤ１３ｃへ書き込む。このようにすることで、残留防止機能が有効となっている状態でも、制限モードからの離脱を行うことを可能としている。
【００６１】
その後、ユーザ端末１ｃは再起動し（ステップＳ３０３）、上記ステップＳ２０１からの処理が実行される。このとき、ステップＳ２０２において制限モードフラグ８１が有効を示す値に設定されていないと判定されるため、処理はステップＳ２０３へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００６２】
なお、制限モードでは、ユーザが管理者権限を有さないユーザに変更されているが（ステップＳ２１６を参照）、ユーザ設定は、制限モード離脱後の再起動後に、ユーザ操作によって、または自動的に、変更前のユーザに戻されることとしてもよい。
【００６３】
図１４は、本実施形態における残留防止処理の流れを示すフローチャートである。本フローチャートに示された処理は、ＯＳによる、ＨＤＤ１３ｃからの読出アクセス、またはＨＤＤ１３ｃへの書込アクセスが発生したことを契機として開始される。
【００６４】
ステップＳ４０１およびステップＳ４０２では、ＯＳによるＨＤＤアクセスが横取りされ（フックされ）、残留防止機能フラグが有効に設定されているか否かが判定される。ユーザ端末１ｃの一時領域記録部２９は、ＯＳによるＨＤＤアクセスが発生すると、このアクセスを横取りし、ＲＡＭ１２ｃ上の残留防止機能フラグを参照する。ここで、残留防止機能フラグに残留防止機能が有効であることを示す値が設定されている場合、処理はステップＳ４０４へ進む。残留防止機能フラグに残留防止機能が有効であることを示す値が設定されていない場合、処理はステップＳ４０３へ進む。
【００６５】
ステップＳ４０３では、ＨＤＤ１３ｃへのアクセスが行われる。残留防止機能が有効でないため、一時領域記録部２９は、ＨＤＤ１３ｃへの通常の読出または書込アクセスを許可する。ここで読出または書込が行われるＨＤＤ１３ｃ上の領域は、一時領域８２以外の領域である。例えば、上述したステップＳ２１３において受信されたソフトウェア本体（オペレーティングシステムの更新ファイルや、セキュリティ対策ソフトウェアの更新ファイル、ウィルス定義ファイル等）のＨＤＤ１３ｃへの書込み処理は、残留防止機能が有効でない状態で行われるため、本ステップの処理に従って行われる。本ステップでＨＤＤ１３ｃに書込みされたデータは、制限モードの終了処理やユーザ端末１ｃの再起動によっても失われないため、システムの更新ファイル等、制限モードの有効無効に拘らず失われないことが好ましいデータは、残留防止機能フラグが有効となっていない状態でＨＤＤ１３ｃに書込みされることが好ましい。その後、本フローチャートに示された処理は終了する。
【００６６】
ステップＳ４０４では、アクセスの種類が判定される。一時領域記録部２９は、残留防止機能フラグが有効である場合、横取りされたアクセスの種類が書込みアクセスであるか否かを判定する。アクセスの種類が書込みアクセスである場合、処理はステップＳ４０５へ進む。アクセスの種類が書込みアクセスでない場合、処理はステップＳ４０７へ進む。
【００６７】
ステップＳ４０５およびステップＳ４０６では、一時領域８２への書込みが行われ、アドレス変換テーブル９０が更新される。一時領域記録部２９は、ＨＤＤ１３ｃ上に確保さ
れた一時領域８２のうち、書込アドレスポインタが示す書込みアドレスに、横取りされた書込アクセスに係るデータを記録する（ステップＳ４０５）。そして、変換情報蓄積部３０は、横取りされた書込みアクセスにおいてＯＳが示していた書込み先アドレス（変換元アドレス９１）と、実際にデータが書き込みされたアドレス（変換先アドレス９２）と、を関連付けてＲＡＭ１２ｃ上のアドレス変換テーブル９０に蓄積する（ステップＳ４０６）。ここで、変換先アドレス９２は、一時領域８２への書込み時に、書込アドレスポインタが示していたアドレスである。更に、一時領域記録部２９は、書き込みされたデータのサイズに従って、書込アドレスポインタを更新する。その後、本フローチャートに示された処理は終了する。
【００６８】
ステップＳ４０７からステップＳ４０９に示された処理は、残留防止機能が有効である場合の、ＨＤＤ１３ｃからの読出アクセス処理である。読出部３２は、オペレーティングシステムより横取りされた読出アクセスの読出アドレスに基づいてアドレス変換テーブル９０を検索することで、この読出しアドレスが、アドレス変換テーブル９０の変換元アドレス９１として登録されているか否か、即ち、オペレーティングシステムから要求されたデータが、一時領域８２に記録されているか否かを判定する（ステップＳ４０７）。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出された場合、処理はステップＳ４０８へ進む。ＯＳの示すアドレスがアドレス変換テーブル９０から抽出されない場合、処理はステップＳ４０９へ進む。
【００６９】
ステップＳ４０８では、データが一時領域８２から読み出される。読出部３２は、ＯＳより要求されたデータを、ステップＳ４０７で抽出された変換先アドレス９２にアクセスすることで読み出す。即ち、本フローチャートに示す処理によれば、データの書込みおよび読出しが一時領域８２に対して行われていることをＯＳに意識させることなく、一時領域８２に対するデータの書込みおよび読出しを行うことができる。その後、本フローチャートに示された処理は終了する。
【００７０】
ステップＳ４０９では、データがＨＤＤ１３ｃから読み出される。読出部３２は、ＯＳより要求されたデータを、ＯＳより指示された読出アドレスにアクセスすることで読み出す。本ステップに係る読出し処理が行われるのは、制限モード下で記録されたデータを除くデータの読出し要求が行われた際である。その後、本フローチャートに示された処理は終了する。
【００７１】
ＯＳのＨＤＤ書込アクセスにおける書込先を一時領域８２に変換するためのアドレス変換テーブル９０は、ＲＡＭ１２ｃ上に確保されているため、再起動によって失われる。即ち、制限モード中にＨＤＤ１３ｃに書き込まれた情報は、再起動後に、記録位置（アドレス）が失われることによって、アクセス困難となる。このため、制限モード下で万一ウィルスに感染する、不適切なソフトウェアがインストールされる等の事態が発生した場合であっても、再起動後にＯＳはこれらのソフトウェアにアクセスすることが出来ず、システムは安全な状態に保たれる。更に、一時領域８２の書き込みアドレスを示すポインタが一時領域８２の先頭に初期化されることで（ステップＳ２２１）、既に一時領域８２に書き込まれた情報は、以降の一時領域８２への書き込みで上書きされ、ＨＤＤ１３ｃから書き込まれた情報自体を消すことができる。
【００７２】
なお、ＯＳのファイル管理テーブルを参照せずにＨＤＤ１３ｃ上の情報を直接参照する等の方法で制限モード下において書き込まれた情報が取得されてしまうことを防止するために、制限モード下でＨＤＤ１３ｃに書き込まれる情報を暗号化する方法や、制限モード下でＨＤＤ１３ｃに書き込まれた情報をランダムな情報で上書きする方法等が採られてもよい。
【００７３】
より具体的には、一時領域８２へ書き込まれる情報を暗号化し、一時領域８２から読み出される情報を復号する暗号処理部（図示は省略する）を介することで、鍵情報が設定された暗号処理部を介さずにＨＤＤ１３ｃ上の情報を直接参照する方法では情報の内容を知ることが出来ないようにすることが可能である。このとき、暗号化に用いられる暗号鍵は、ユーザによって管理されてもよいし、制限モードに移行するごとに自動生成され、制限モード終了時に破棄されることとしてもよい。制限モード移行ごとに自動生成して制限モード終了時に破棄する方法によれば、ユーザは暗号鍵の管理を意識する必要が無く、制限モード離脱時には制限モード下で一時領域８２に書き込まれた情報の取得を非常に困難にすることが可能である。
【００７４】
本実施形態にかかる情報処理端末および管理サーバ１ｓによれば、ＯＳに対して機能制限を行い、プログラムおよびデータを囲い込む一時領域８２を用いることで、高いセキュリティを実現し、更に、仮想マシン手法やシンクライアント手法に比べて仮想化やＯＳのダウンロード等に伴うリソース消費を抑制することで、高いセキュリティと高速なオーバーヘッドとを両立させることが可能である。より具体的には、本実施形態によれば、管理者が用意すべきイメージは、管理サーバ１ｓに蓄積されるソフトウェアのイメージのみである。このため、本実施形態に係るシステムは、ソフトウェアのイメージに加えてＯＳのイメージを用意する必要がある仮想マシン手法やシンクライアント手法に比べて、記憶領域や帯域等のリソース面、ＯＳの設定に必要な負荷の面で有利である。また、仮想マシン処理を介さないため、仮想マシン手法に比べて処理も軽く、快適な作業環境を用意に構築することが可能である。特に、一時領域８２は断片化されていない連続的記憶領域であるため、本実施形態の制限モードは、断片化されたＨＤＤにアクセスする一般の環境に比べても、全体として高速に動作する。
【００７５】
＜第二の実施形態＞
なお、本発明に係る情報処理端末（ユーザ端末）１ｃは、管理サーバによって管理されない状態で実施されてもよい。この場合、本実施形態に係る情報処理端末１ｃは、ＣＰＵ１１ｃ、ＲＡＭ１２ｃ、ＨＤＤ１３ｃ、ＲＯＭ１４ｃ、ディスプレイ１６ｃ、キーボード１７ｃ、およびマウス１８ｃ等を有するコンピュータとして実施することが出来る（図１の「ユーザ端末」の構成と概略同様であるため、図示は省略する）。また、情報処理端末１ｃのＯＳは、管理者権限の有無をユーザごとに設定可能なＯＳである。
【００７６】
図１５は、本実施形態に係る情報処理端末１ｃの機能構成の概略を示す図である。上記ハードウェア構成を有する情報処理端末１ｃは、ＲＡＭ１２ｃに展開されたプログラムをＣＰＵ１１ｃが解釈および実行することで、ユーザによる制限モード有効化の指示を受け付ける受付部２３と、制限モード設定部２４と、次回起動時のログインユーザを管理者権限を有さないユーザに設定する権限設定部２５と、制限モードが有効であるか否かを判定する判定部２６と、ＨＤＤ１３ｃにおける一部の領域を一時領域８２として確保する一時領域確保部２７と、制限モード有効時にＨＤＤ１３ｃへの書き込みデータを一時領域８２に記録する一時領域記録部２９と、一時領域８２への記録の際の変換情報を蓄積する変換情報蓄積部３０と、一時領域８２を含むＨＤＤ１３ｃに記録された情報を読み出す読出部３２と、を備える情報処理端末１ｃとして機能する。また、情報処理端末１ｃのＨＤＤ１３ｃ上に記憶領域８０が確保されること（図６を参照）、および、一時領域８２への書込み時の変換元アドレス９１と変換先アドレス９２との対応関係がアドレス変換テーブル９０に蓄積されること（図７を参照）については、第一の実施形態と概略同様であるため、説明を省略する。
【００７７】
図１６は、本実施形態における制限モード制御処理の流れを示すフローチャートである。本フローチャートに示された処理は、システムの起動に伴って開始される。なお、システムプログラムの少なくとも一部をＲＯＭ、ＤＶＤ等の書換不可能な記憶装置に記録して
おき、システム起動時に毎回展開させることで、プログラムの改変を抑止してもよいことは、第一の実施形態と同様である。
【００７８】
ステップＳ５０１およびステップＳ５０２では、システムの起動処理および制限モードフラグ８１の判定が行われる。判定部２６は、制限モードフラグ８１を参照し、制限モード有効を示す値に設定されているか否かを判定する。制限モードフラグ８１が制限モード有効を示す値に設定されていると判定された場合、処理はステップＳ５２１へ進み、以降、制限モードフラグ８１が無効に設定されるまで、システムは制限モードで動作する。制限モードフラグ８１が制限モード有効を示す値に設定されていない（または、無効を示す値に設定されている）と判定された場合、処理はステップＳ５１４へ進み、以降、制限モードフラグ８１が有効に設定されるまで、システムは非制限モードで動作する。
【００７９】
ステップＳ５１４では、制限モードフラグ８１が設定される。制限モード設定部２４は、不揮発性記憶装置であるＨＤＤ１３ｃ上の制限モードフラグ８１に、制限モードが有効であることを示す値を設定する。その後、処理はステップＳ５１６へ進む。
【００８０】
ステップＳ５１６およびステップＳ５１７では、情報処理端末１ｃのオペレーティングシステムにおけるユーザ権限が変更され、情報処理端末１ｃが再起動される。権限設定部２５は、次回起動時のユーザが制限ユーザとなるように、オペレーティングシステムの設定を強制的に変更する（ステップＳ５１６）。より具体的な処理の内容は、ステップＳ２１６について説明したものと概略同様であるため、説明を省略する。その後、システムの再起動が開始され（ステップＳ５１７）、本フローチャートに示された処理は終了する。
【００８１】
システムが再起動すると、再びステップＳ５０１からの処理が実行される。再起動したシステムは、制限ユーザで動作する。また、ステップＳ５０２における判定処理では、制限モードフラグ８１が制限モード有効を示す値に設定されていると判定される。
【００８２】
ステップＳ５２１では、残留防止機能が有効化される。一時領域確保部２７は、ステップＳ５０２で制限モードフラグ８１が有効であると判断されたことを受けて、ＲＡＭ１２ｃ上の残留防止機能フラグに残留防止機能が有効であることを示す値を設定し、一時領域８２の確保および初期化を行うことで、残留防止機能を有効化する。一時領域８２は、一時領域８２のアドレスの書き込みアドレスを示すポインタを一時領域８２（図６を参照）の先頭アドレスとすることで初期化される。その後、処理はステップＳ５２７へ進む。
【００８３】
ステップＳ５２７では、制限モード離脱インターフェース１２０が表示される（図１２を参照）。この時点で、ユーザは情報処理端末１ｃにおいて作業を行うことが可能となる。なお、本実施形態では、離脱インターフェース提供ソフトウェアは、予め情報処理端末１ｃにインストールされている。
【００８４】
その後、ユーザによる復帰ボタン１２２のクリックが検知されるまで、情報処理端末１ｃは制限モード下で動作する。制限モード下における残留防止処理の流れ、および復帰ボタン１２２のクリックが検知された後に実行される非制限モード移行処理の流れは、第一の実施形態において説明したものと概略同様であるため、説明を省略する（図１３および図１４を参照）。
【図面の簡単な説明】
【００８５】
【図１】実施形態に係るユーザ端末管理システムのハードウェア構成の概略を示す図である。
【図２】実施形態に係るユーザ端末管理システムの機能構成の概略を示す図である。
【図３Ａ】実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図３Ｂ】実施形態におけるソフトウェア情報テーブルの構成を示す図である。
【図４】実施形態における認証情報テーブルの構成を示す図である。
【図５】実施形態における制限モード定義情報テーブルの構成を示す図である。
【図６】実施形態における記憶領域の構成を示す図である。
【図７】実施形態におけるアドレス変換テーブルを示す図である。
【図８】実施形態に係る制限モード定義情報を作成する処理の流れを示すフローチャートである。
【図９】実施形態においてディスプレイに表示される制限モード定義情報作成インターフェースのイメージを示す図である。
【図１０Ａ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１０Ｂ】実施形態における制限モード制御処理の流れを示すフローチャートである。
【図１１】実施形態においてディスプレイに表示される制限モード定義情報選択インターフェースのイメージを示す図である。
【図１２】実施形態においてディスプレイに表示される制限モード離脱インターフェースのイメージを示す図である。
【図１３】実施形態における非制限モード移行処理の流れを示すフローチャートである。
【図１４】実施形態における残留防止処理の流れを示すフローチャートである。
【図１５】実施形態に係る情報処理端末の機能構成の概略を示す図である。
【図１６】実施形態における制限モード制御処理の流れを示すフローチャートである。
【符号の説明】
【００８６】
１  ユーザ端末管理システム
１ｓ  管理サーバ
１ｃ  情報処理端末（ユーザ端末）
２１  識別情報送信部
２２  制限モード定義情報受信部
２４  制限モード設定部
２５  権限設定部
２６  判定部
２７  一時領域確保部
２８  ソフトウェア受信部
２９  一時領域記録部
３０  変換情報蓄積部
３１  ソフトウェア実行部
４１  認証部
４２  識別情報受信部
４３  制限モード定義情報送信部
４５  ソフトウェア送信部
【図１】
2009230553.tif 000003
【図２】
2009230553.tif 000004
【図３Ａ】
2009230553.tif 000005
【図３Ｂ】
2009230553.tif 000006
【図４】
2009230553.tif 000007
【図５】
2009230553.tif 000008
【図６】
2009230553.tif 000009
【図７】
2009230553.tif 000010
【図８】
2009230553.tif 000011
【図９】
2009230553.tif 000012
【図１０Ａ】
2009230553.tif 000013
【図１０Ｂ】
2009230553.tif 000014
【図１１】
2009230553.tif 000015
【図１２】
2009230553.tif 000016
【図１３】
2009230553.tif 000017
【図１４】
2009230553.tif 000018
【図１５】
2009230553.tif 000019
【図１６】
2009230553.tif 000020