ⅩML文書のアクセス制御
岩井原 瑞穂ⅩML文書による情報共有では，課金処理や機密保護，個人情報保護など多様な目的に応じて，文書やその一部を許可きれた利用者にのみ読み書きを許すというアクセス制御が重要である．文書の細粒度単位制御を基本とする種々のアクセス制御モデルや標準案，実装技術ならびにアクセス制御を用いた応開について解説する．

キーワード：ⅩML，アクセス制御，データベース，情報セキュリティ，アルゴリズム……ll……l……lll…＝‖＝‖＝‖‖＝Wlll…llll……ll……ll……l………ll……l……………l……………lt…………ll……ll…………lll……………l………………＝‖＝＝＝＝‖＝‖‖‖＝‖‖＝‖‖＝＝‖‖‖＝‖‖‖＝‖‖＝＝‖‖＝＝‖‖‖‖‖＝‖‖‖＝‖‖‖帖l

御ルールでは，制御対象のノードあるいは部分木を指1．はじめに定するためにⅩPathを用いることが多い．アクセス

ⅩML文書はネットワークにおける情報交換のため制御ルールが多数存在する状況では，ルールの間で衝の共通言語としての地位を確立しつつあり，電子商取突が起きるため，権限判定の最終的な決定を行う方式

引や電子政府，企業内情報システムなど，個人のプラ（衝突解消方式）をあらかじめ与えておくことが必要

イバシを含む情報や企業秘密がⅩML文書に格納されである．

ることも多い．情報を保護するためには，アクセス権

本稿で用いるⅩMLに関する基本的な概念について限を付与された人のみによるアクセスを行うというアは，本特集号の文献［1］を，またⅩPathについては文

クセス制御が重要になる．XMLデータベースでは，献［16］を参照されたい．またXPathのパス式を単にⅩML文書の持つ構造の多様性や，情報交換のためのパス式と呼ぶことにする．

言語という特質を考慮したアクセス制御が必要になる．

本稿では，ⅩMLのアクセス制御ルールの基本モデまたⅩMLが持つネットワークとの親和性を生かして，ルおよび衝突解消方式について節2で述べる．また，分散環境でアクセス制御や認証などの制御情報を交換アクセス制御の標準としてOASISにより承認されてするための言語としても，ⅩMLは用いられている．

いるⅩACML［17］を節3で述べる．XML文書のアクXMLデータベースにおけるアクセス制御の特徴とセス制御を効率良く処理するためには，大量のルールして，ⅩMLの構造的な柔軟性への対応が挙げられる．の冗長性を除いたり，ⅩMLデータベースへの問い合XML文書を一つのテキストファイルとして抜う場合わせにおいて，アクセス不許可の部分を問い合わせ結には，OSのファイルシステムが提供するパーミッシ

果から効率良く除去する技術，さらにはルールを容易ョンなどの機能により単純なアクセス制御を行うことに定義できるビューなどの技術が必要であり，ⅩMLができる．しかし，例えば，顧客リストにおいて，年データベースの他の機能とアクセス制御機能を統合し収は顧客対応係員には見せないようにするといった，てゆくことも必要である．節4ではこのようなⅩML

ⅩML文書の細かい意味構造によるアクセス制御はフのアクセス制御に関連した研究動向を紹介する．

ァイル単位では行えない．このため，ⅩML文書の要素，属性，部分木といった細粒度のアクセス制御が必

2．基本的なXMLアクセス制御モデル要になる．関係データベースにおいては表の行や列，

本節では，これまでに提案されているⅩMLアクセ値単位でアクセス制御を行うことに相当する．XML

ス制御モデルについて，ほぼ共通している基本的構造

ではさらに文書構造の柔軟性に対応する必要がある．

を述べる［2，7，11，17］．

本稿では，ノードという用語でⅩML文書の要素と属2．1アクセス制御ルール性の両方を指すものとする．XML文書のアクセス制

ⅩML文書のアクセス制御の基本的モデルについて述べる．アクセス制御ルール（以降，ルール）とは，

いわいはら みずほ
京都大学大学院情報学研究科〒606−8501京都市左京区吉田本町
2005年6月号

次の組である．
（5〝擁，Cf，0∠痢cf，αCfわ乃，鹿cねわ〝，坤如那）© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（23）385

アクセス制御ルールをアクセス制御ポリシと呼ぶことられており，そのDTDに従うすべての文書インスタがあり，またアクセス制御ルールの集合をアクセス制ンスにそのルールが適用されるという，スキーマレベ

御ポリシと呼ぶ文献もあるが，本稿では後者に従うよ

ルのルールであることを意味する．schemaが指定さうにする．

れなければ，ルールがある文書インスタンスに対応付

s〟毎ecfとは，アクセスする主体のことであり，アけられており，ルールはそれに対してのみ適用される

クセス権限を与える対象である．subjectの指定方法という，インスタンスレベルのルールであることを意にはいくつかあり，（1）ユーザ名，（2）ユーザグループ名，味する．

（3）ロール名，（4）サービス名などを用いることが考えら

この他にも，必須処理（obligation）をルールに持れる．（3）のロール名とは，rOle−basedaccesscontrol

たせるモデルがある［11］．必須処理とは，アクセスを［15］に基づいており，ロール（役割）ごとに権限を与許可する際に実行しなければならない操作であり，例

え，ロールとユーザの対応関係を別に管理することにえば許可の際にログに記録したり，書き込みの際に暗より，ユーザに柔軟に権限を付与する仕組みである．

号化方式を指定するなどである．必須処理は節3で述

0娩c′は，アクセス制御対象を定める部分であり，URI（Uniform ResourceIdentiBer），パス式，またべるⅩACMLにも取り込まれている．

図1にⅩML文書の例，図2にこの文書に対するアは両者の組み合わせを指定できる．URIによりイン

クセス制御ルールの例を示す．例えば，ロール名cus−ターネットにおける文書の格納場所が指定される．パ

tomer deskでは，CuStOmerid，nameが読めること

ス式を用いると，パス式を満たすⅩML文書の部分木をルールrlおよび乃で設定し，同ロールでは／cus−がアクセス制御対象となり，細粒度のアクセス制御がtomer／addressの内容全体のread／writeが可能であ可能になる．アクセス要求に対する権限判定を効率的ることをcascadeオプションを持つYbとれで設定すに行なう観点から，ルールのパス式を効率的に処理でる一方，／customer／profi1eの内容を読むことを禁止すきるサブセットに限定することが多い．典型的なサブるのをcascadeオプションを持つr5で指定している．

セットは／Ⅹ，／＊，／／Ⅹ，／／＊，および述語のみからなるパス式である．

上記のフォーマットとは異なり，ⅩML文書の制御

くCu月tOmOr＞

対象の要素にその属性値としてアクセス制御ルールをくCⅥ層tOmOr＿id＞azXXXXXく／cⅦ8tOmOr＿id＞
くnamo＞Jobnく／namo＞

持たせるという（この場合0〜痢c′は省略される），埋くaddrQさ8＞くpo8tal＞
くヱip＞8A372Bく／zip＞

め込み式のルールもあり，医療情報のⅩML文書スキ

くz3treet＞000City St．＜／8treel：＞
くCity＞Tuc80nく／city＞

ーマHL7［9］で用いられている．また文書木のノー

く8tatO＞AriヱOnaく／8tatO＞

ドごとに適用されるルール集合をノードのラベルとし

く／poさtal＞

くⅤOrk＿pbono＞（712）585−ⅩⅩXXくルork＿pbono＞て表現する方法もある［7］．

くbomo＿pbono＞（712）585−YYTrく／bomo＿pbono＞
くmobilo＿pbono＞（903）7085−ZZZZ

αC′わ乃は，アクセス方法の種類であり，通常はく／mobi18＿pbono＞
く／addr088＞

readまたはwriteを指定する．decisionは，grantまくprofilo＞

くoccupation＿COd8＞GOVく／occupation＿COdo＞

たはdenyのいずれかであり，grantのときはアクセ

くannud＿incomo＞10Kく／amal＿incom8＞

スを許可するルール（許可ルールまたは正ルールという），denyのときはアクセスを拒否するルール（拒＜credit＿8tatuB＞Goodく／credit＿Btatu8＞
く／profilo＞
く／cu層tOmOr＞

否ルールまたは負ルールという）であることを示す．
砂如がは，ルールの適用範囲や適用方法についてのオプションであり，次のものからなる．

●cascade：obiectで指定されたノードについて，

図1ⅩML文書の例
rl：（ctlStOmer＿desk，／cl遁tOmer／custornerjd，read，grant，）
r2：（c11StOmer−desk，／cIJBtOmer／name，read，grant，）
γ3：（c闇tOmer＿deskノc憬tOmer／ddress，red，騨弧t，Ca5Cde）r4‥（cl退tOmer−deskJcllStOmer／address，Write，grant，CaSCade）

その子孫と自身全体にルールを適用させるとき，CaS−

r5：（cl遁tOmer−desk，／cu＄tOmer／profile，read，deny，CaSCade）

cadeを指定する．これをルールを伝播させるともい

r8：（sdes」喝entノmtomer，red，餅肌t，CaSCade）
rT：（sdeL喝ent，／cl退bmeT／ddre鐸，red，deny，CaSCde）

う．cascadeがないときは，伝播は行われずobiectで指定された対象にのみにルールが適用される．
●schema：これはルールがあるDTDに対応付け
386（24）r8：（sales＿agentJcIBtOmer／address／home−Phone，read，grant，）
図2 アクセス制御ルールの例© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ

2．2 衝突解消方式するものである．先行優先（first−applicable）では，ⅩML文書のあるノードに対しアクセス要求を行っルールの集合に番号を振ったり，リストに並べるなどた場合，そのノードに通用されるルールが複数存在す線形順序を与えておき，ルールの評佃をその順序に従ることが起こり得る．それらのルールを評価した結果って行う．そして最初に得られた判定結果が衝突解消が許可と拒否に分れた場合に，最終的な権限判定をどの結果となるものである．

うするかという衝突解消（connict resolution）を行

図2のアクセス制御ルールの例では，ロール名う必要がある．また，ノードに通用できるルールが存

Sales＿agentについて，CaSCadeオプションを持つル在しなかった場合のデフォルトの権限判定も考えておールれにより／customerとその子孫を読むこと許可く必要がある．様々な衝突解消方式が存在するが，ルしているが，その一方でルール竹では，同ロールが／ールを作成する者（例えばセキュリティ管理者）にとcustomer／addressを読むことを禁じ，さらにルールって結果が容易に把握できるものでなければならない．

拍では／customer／address／home＿phoneを読むこと

XMLでは階層構造に従った衝突解消方式が特徴的を許可している．ここでr6とr7は／customer／addressの部分について衝突しているし，77と拍でである．
デフォルトの権限判定は2種類考えられ，デフォルは／customer／address／home＿phoneの部分で衝突しト拒否（default−denial）は，適用できるルpルがなている．衝突解消方式として拒否優先を採用したならかったときに判定結果を拒否とするものであり，デフば，竹がr6およびr8より優先され，／customer／ォルト許可（default−grant）は逆に許可をデフォル

addressとその子孫のreadは禁止，それ以外の部分トの判定結果とするものである．

は許可となる．一方，許可優先を採用したならば，り衝突解消方式における詳細性優先（most specificは無視され托によりsales＿agentは／customerとそ

ruletakesprecedence）とは，ルールの適用される範の子孫全体を読むことができる．さらに，先行優先と囲が狭いものの権限判定が優先されるというものであして，ルール間の優先順位として拍，n，掩を指定しり，衝突解消方式の原則的な考え方として有用である．

た場合，Sales−agentは，／customer／addressの子孫

詳細性優先の考え方に基づいて，より具体的な衝突解のうちhome＿phoneのみを読むことができ，他の消方式が導ける．例えば，スキーマレベルのルールとaddressの子孫は読めず，一方address以外のcus−インスタンスレベルのルールがある文書に通用される

tomerの子供は読むことができる．詳細性優先を採用

とき，詳細性優先のもとではインスタンスレベルのルしていると，この先行優先と同じ結果が得られる．

ールが優先される．またある文書木において，二つの上記以外にも衝突解消方式がいくつか提案されていルールAとBが対立しており，ルールAはあるノーる．最近祖先優先（nearest ancestor takes prece−

ドとその子孫を対象とし，ルールBはその子孫のうdence）は，ノードに対し，最も近い祖先（あるいはちのノードの一つを対象としている場合は，詳細性優ノード自身）に定義されているルールを適用するもの

先のもとではルールBが優先される．しかレヾス式であり［6］，詳細性優先の考え方に基づいている．例を用いた指定方法では，二つのパス式の評価結果に包えば，パス式／a／bに伝播型の拒否，パス式／a／b／cに含関係はないが交差するような場合があり，このとき許可のルールが設定されているとき，ノードcへのアは詳細性優先では衝突解消は行えない．インスタンス

クセスは最近祖先優先では許可され，拒否優先では拒優先（instancetakesprecedence）は詳細性優先の考否される．

え方をスキーマレベルのルールとインスタンスレベル

また文献［7］では，hardおよぴsoftというオプシのルールの衝突に適用し，インスタンスレベルのルーョンを用意しており，hardは打ち消されることなく，ルを優先させるものである．

例外なく適用されるべきルールであることを示し，

詳細性優先とは異なり，権限判定値に基づいた衝突softは打ち消されることを許すルールであることを示解消方式もある．拒否優先（denial−takes−preCe−

す．例えば，インスタンス優先が設定している場合でdence）は，あるノードに適用されるルールのうちで，も，スキ，マレベルのルールAがhardと指定される一つでも拒否の判定を行うルールがあれば，衝突解消と，ルールAが優先されるようになり，またインスの結果も拒否とするものである．許可優先（grant

タンスレベルのルールBがsoftと指定されると，スtakesprecedence）は，逆に許可を行うルールを優先

キーマレベルのルールが優先されるようになる．

2005年6月号© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（25）38丁以上の衝突解消方式やデフォルト設定方式は，ルール／ポリシを設定する状況に応じて適切なものを選択すればよい．例えば，ほとんどすべてのノードへのアクセスが許可され，一部ノードが拒否される場合は，拒否を指定するルールを列挙し，デフォルト許可と拒否優先を採用した方が，デフォルト拒否と許可優先を採用するよりも，ポリシのルール数を小さくすることができる．

あるノードのアクセスが許可されるには，そのノードのすべての祖先ノードについて許可が必要であると
PEP：PolicyEnfbrcementPoint
PDP：PolicyDecisionPoint
PAP：PolicyAdmimistrationPoint
PIP：PolicyInfbrmationPoint

する方式と，そうではなく親が不許可でも子は許可するという方式が有る．前者はノードのアクセス権限には，子供へのリンクをたどる権限も含まれており，あ図3 XACMLのデータフロpるノードのアクセスには根からそのノードまでのリンクすべてのアクセス許可が必要であるという立場であじてⅩACMLを使用するためのプロファイルが用意る．これに対し後者では，ノードのアクセス権限とはされており，例えばⅩMLでない階層型のリソースをノードの値に対する権限であり，リンクのアクセス権ⅩMLで表現してアクセス制御を行うプロファイル，限とは別と考える立場である．

プライバシポリシのためのプロファイルなどが用意されている．

3．XACML
アクセス制御を記述するための標準言語として，
Extensible Access Control Markup Language

4．XMLアクセス制御に関する研究動向
本節では，ⅩMLのアクセス制御ポリシの処理技術（ⅩACML）が策定されており，2005年3月2日にについていくつか紹介する．XMLデータベースの検Version2．0がOASIS標準として承認されている索においては，アクセス制御ポリシを適用し，検索の［17］．xACMLはアクセス制御ポリシをXMLで記発行者に許可されている部分を検索結果に残し，不許述するための拡張性のあるフレームワークであり，組可の部分を除く処理が必要である．様々な方式が考え

織間や企業間でアクセス制御ポリシをやり取りする相られる．

互運用を意識しており，特定の動作環境に依存しない4．1ラベルの圧縮仕様となっている．XPathやⅩML Schemaなどの節2で述べたように，ⅩML文書のノードに対し適標準フレームワークを活用し，基本的なアクセス制御用されるルール集合をラベル付けしておいて，ノードルール／ポリシをⅩMLで記述することに加え，Obli−へのアクセス要求時に権限判定を行う方式について考gationも指定できる．また衝突解消方式として，節えてみる．アクセス主体であるユーザのIDやロール

2．2で述べたものの他に，利用者が独自の方式を指定の数が多い場合など，ルール数が非常に大きくなるのすることができる．他にも多様なアクセス制御モデルで，ラベルを圧縮することが考えられる．文献［18］でに対応できるように拡張性を備えている．

は，CompressedAccessibilityMap（CAM）という図3にⅩACMLのポ1）シに基づいたアクセス制御データ構造を提案しており，CaSCadeの有無と許可／方式のデータフローを示す．中心的なコンポーネント

拒否の組からなるラベル集合において，冗長なラベルはPDP（Policy Decision Point）であり，アクセスを除去することによりユーザIDごとに最小のCAM制御のRequestとしてSubject Action／Environ−を文書サイズの線形時間で構築するアルゴリズムを示

ment／の3種類の属性値をⅩMLでPDPに送り，結している．またCAMを用いた権限判定は，ノードの果はResponseとしてPermit／Deny／NotApplicable／探さ（根からの距離）とCAMサイズの対数の積に比IndeterminateのいずれかがⅩMLで返される．ポリ

例する時間で行うことができる．

シ評価においては，権限判定結果が常に明確に定まる

4．2 問い合わせの静的解析と書き換えように配慮されている．XACML2．0では，目的に応ⅩMLデータベースへの問い合わせにおいて，聞い

388（26）© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ

合わせの結果にアクセス不許可の情報が含まれないかスキーマレベルのポリシで等価性が保てるためのパスを，問い合わせの実行前に判定する手法として静的解式の条件がいくつか示されている［4，5］．

析［13］がある．アクセス制御ポリシと問い合わせを判

4．5 アクセス制御とバージョン管理の統合モデル定するオートマトンをそれぞれ構築し，オートマトン

ⅩML文書のバージョン管理とは，ⅩML文書に対の包含関係を検査する．問い合わせオートマトンがポしてテキストの変更やノードの削除，移垂加 コピー等リシオートマトンに包含されるならば，問い合わせはの更新操作を行ったときに，どのノードがどのノード常に許可できることが分かる．逆に問い合わせオートから派生したかや，同じ内容であるという関係をシス

マトンとポリシオートマトンが互いに素ならば問い合テムで維持し，派生関係による検索を可能にするもの

わせは常に拒否されるべきである．その中間の場合はである．時間とともに蓄積されるⅩML文書のアーカ

静的解析では不明という結果になり，ⅩMLデータベ

イブにおいて，文書の派生関係や変更履歴を調べるのースで問い合わせを実行することによI）最終的な権限にバージョン管理は有用である．会社組織内の情報や判定を行う．

ニュースサイト，ブログ等，日々更新追加が行われる

QFilter［6］は，XMLデータベースで問い合わせを

ⅩMLのアーカイブにおいては，派生関係に基づいた実行する前の段階で，問い合わせをポリシに適合したアクセス制御を定義することができる．インスタンスものに変換する方式を取る．／Ⅹ，／＊，／／x，／／＊，およびレベルのポリシでは煩雑になりすぎ，かつスキーマレ述語からなるパス式によるルールの集合を，線形時間

ベルのポリシでは制御の単位が大きすぎる場合でも，で非決定性オートマトン（NFA）に変換する．この派生関係で連結された部分グラフを単位としてアクセ

NFAと問い合わせのパス式のマッチングを行い，アス制御を行うことができる．これは例えば掲示根のスクセス不許可の部分はアクセスしないように問い合わ

レッドを単位として制御を行うことに相当する．文献

せを書き換える．QFilterは，XMLデータベースを［10］では，ⅩPathの軸にあらたにバージョンの派生変更せずにアクセス制御を導入できる特徴がある．

関係の軸を追加した経路問い合わせ言語を定義し，こNFAの構築と問い合わせの書き換えにおいて文献れを用いたポリシの定義方法を示している．

［13］の性能を改良している．

5．おわりに

4．3 セキュリティビュー

DTDをユーザに見せると，ユーザには許可されて本稿では，ⅩML文書におけるアクセス制御についいない要素名が見えてしまうし，DTDの情報を利用て，基本的手法と標準化動向，研究動向について概言見することにより本来ユーザに許可されている問い合わした．XMLによる情報流通が盛んになると同時に情せの結果の差分を取るなどにより情報が漏曳してしま

報保護は益々重要になると考えられ，個人情報保護やうことがある．ポリシのパス式と文書のDTDを分析

プライバシなど実社会からの要求に答えるかたちで，し，ロールごとに安全なDTDをセキュリティビュー今後もアクセス制御技術に関して新たな発展があるととして導出する［れ セキュ1jティビューに対して，思われる．

問い合わせをパス式で与えると，問い合わせはもとの参考文献DTDに従った問い合わせに変換され実行される．この枠組みでは上述のような漏曳を防ぐことができる．
ただし，その目的のためにポリシの細粒度性がある程［1］天笠俊之，吉川正俊， XMLデータベース技術概説，
オペレーションズ・リサーチ，VOl．50，nO，6，pp．365−372，2005．

度儀牲になっている．
4．4 文書流通におけるポリシの変換
ⅩML文書による情事即売通の特色として，多数の組織間で流通が行われるが，個々の組織間では異なるⅩML文書のスキーマを採用していることである．情［2］E．Bertin0，S．Castano，E．Ferrari，M．Mesit
SpecifyingandEnforcingAccessControIPoliciesfor
XMLDocument Sources，

WWWJournal，VOl．3，nO．

3，2000．

［3］E．Bertino，E．Ferrari， Secureandselectivedissemi・報流通ではスキーマの変換が行われるが，その前後でnation of XML documents，も等価なアクセス制御が行われる必要がある．そのた

Secur．5（3），pp．290−331，2002．

めにはポリシも変換されなければならない．インスタンスレベルのポリシでのこのような等価変換手法や，
2005年6月号

ACM Trans．Inf．Syst．

［4］S．Chatvichienchai，M．Iwaihara，andY．Kambaya−
shi， Translating Content−Based Authorizations of© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（27）3t柑

ⅩML Documents，Proc．4thInt．Conf．WebInforma−tion Systems Engineering（WISE2003），pp．103−112，

96，2000．

［12］B．Luo，D．Lee，W．−C．Lee，P．Liu， QFilter：Fine・Grained Run−Time XML Access ControI via

Dec．2003．

［5］S．Chatvichienchai，M．Iwaihara，andY．Kambaya− NFAbasedQueryRewriting，
Shi，

Authorization Translation for XML Document

Transformation，Proc．13thACMCIKM，pp．543−552，2004．

World Wide Web：Inernet and ［13］M．Murata，A．Tozawa，M．Kudo，S．Hada，

Access ControIUsing Static Analysis，
WebInformation Systems，Kluwer，VOl．7，No．1，pp．

ⅩML

Proc．ACM

Conf．ComputerandCommunicationsSecurity，pp．73−

111−138，Mar2004．

84，2003．
［6］S．Cho，S．Amer−Yahia，L．Ⅴ．S．Lakshmanan，andD．Srivastava，

Optimizing the Secure Evaluation of［14］OASIS Security Assertion Markup Language

TwigQueries，Proc．VLDB，pp．490−501，2002．

（SAML），http：／／www．oasis−Open．Org／committees／tc［7］E．Damiani，S．DeCapitanidiVimercati，S．Parabos−home．php？wg abbrev＝SeCurity
Chi，P．Samarati，

A Fine−Grained Access ControI

SystemforXMLDocuments，［15］R．Sandhu，E．Coyne，H．Feinstein，andC．Youman，

ACM TISSEC，VOl．5， Role−Based Access ControIModels， IEEE Com−
puter，29（2），pp．38−47，1996．

no．2，2002．

［8］W．Fan，C．−Y．Chan，M．N．Garofalakis，
XMLQueryingwithSecurityViews，

ACMSIGMOD

Conference，pp．587−598，June2004．

［16］田島敬史， ⅩML用木パターン言語ⅩPath解説， オSecureペレーションズ・

リサーチ，VOl．50，nO．6，pp．373−378，

2005．

［9］HL7 Standards，http：／／www．h17．org／library／［17］OASIS XACML TechnicalCommittee，eXtensi−ble Access ControIMarkup Language（XACML）

standards nonl．htm

Version 2．0， http：／／www．oasis−Open．Org／commit−［10］M．Iwaihara，S．Chatvichienchai，C．Anutariya，andVilasWuwongse，RelevancyBasedAccessControlof

Versioned XML Documents，

Proc．ACM Symp．

Access ControIModels and Technologies（SAC−MAT），June2005（toappear）．
［11］M．KudoandS．Hada，

tees／download．php／10578／ⅩACML−2．0−CD−NOR・
MATIVE．zip．

［18］T．Yu，D．Srivastava，L．V．S．Lakshmanan，H．
Jagadish， CompressedAccessibility Map：Ef一缶cient

ⅩMLDocumentSecurity

basedonProvisionalAuthorization，Proc．7thACM

AccessControlforXML，Proc．28thVLDB，pp．478−

489，2002．

Conf．ComputerandCommunicationsSecurity，pp．87−

390（28）© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ