資産へのアクセスを動的に管理するための方法であって、該方法は、資産にアクセスするためのユーザーリクエストを受信することと、該ユーザーリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して該1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、該リンクされたデータソースに接続することと、該属性に対する該値を該データソースから検索することと、該検索された値を該アクセスコントロールの該1つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、こととによって行われる、ことと、該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、該ユーザーが該資産にアクセスするのを許可されるか否かを決定することであって、該論理ステートメントが真である場合、該ユーザーがアクセスを許可され、該論理ステートメントが真でない場合、該ユーザーがアクセスを拒絶される、こととを含む、方法。任意のアクセスコントロールに対して、前記リンクされたデータソースへの接続が作られ得ない場合、該アクセスコントロールに対する前記真または真でない結果を真でないことに設定することをさらに含む、請求項1に記載の方法。前記資産にアクセスするための前記ユーザーリクエストは、1つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、請求項1に記載の方法。前記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを受信することと、該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを前記記憶エリアから検索することと、アクセスが該アクセスコントロールポリシーによってコントロールされるべき1つ以上の資産を選択することと、該アクセスコントロールポリシーに含むように1つ以上のアクセスコントロールを選択することと、該1つ以上のアクセスコントロールの前記論理関係を明記する前記論理ステートメントを編集することと、該選択されたアクセスコントロールおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することとを含む、請求項1に記載の方法。前記1つ以上の資産は、1つ以上の許可に関連し、各許可は、該資産のうちの1つにまたは該1つを用いて行われ得る動作を明記し、前記方法は、前記アクセスコントロールポリシーの含まれるものに対する該資産に関連する該許可のうちの1つ以上を選択することをさらに含み、選択された許可を該資産に行使するためのユーザーリクエストは、該アクセスコントロールポリシーの前記検索をトリガーする、請求項4に記載の方法。前記1つ以上のアクセスコントロールのうちの1つを生成しまたは修正するためのリクエストを受信することと、該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを前記記憶エリアから検索することと、該アクセスコントロールにリンクされるべき1つ以上のデータソースを選択することであって、各データソースが、1つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、各データソースに対して、該アクセスコントロールに含むように属性を1つ以上の属性から選択し、該アクセスコントロール内に該選択された属性に対する1つ以上のオプションを明記することと、該アクセスコントロールを該記憶エリアに保存することとを含む、請求項1に記載の方法。各データソースに対して、前記データソースとそのリンクされたアクセスコントロールとの間の接続を、該データソースに対する位置情報を該リンクされたアクセスコントロールに入力することによって構成することをさらに含む、請求項6に記載の方法。前記データソースは、データベースであり、該データベースのうち少なくとも1つの属性は、テーブルである、請求項1に記載の方法。前記データソースは、ウェブサービスである、請求項1に記載の方法。前記資産は、電子ドキュメントである、請求項1に記載の方法。資産へのアクセスを動的に管理するためのシステムであって、該システムは、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、アクセス決定を受信することと、該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することとを行うようにユーザーによって動作可能なクライアントと、該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、該アクセスコントロールリクエストを該クライアントから受信することと、該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して該1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、該リンクされたデータソースに接続することと、該属性に対する該値を該データソースから検索することと、該検索された値を該アクセスコントロールの該1つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、こととによって行われる、ことと、該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、該アクセス決定を該クライアントに送信することとによって行われる、アクセスコントロールプロセスとを含む、システム。資産へのアクセスを動的に管理するためのプログラムを格納したコンピュータ読み取り可能な格納媒体であって、該プログラムは、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、アクセス決定を受信することと、該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することとを行うようにユーザーによって動作可能なクライアントと、該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、該アクセスコントロールリクエストを該クライアントから受信することと、該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して該1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、該リンクされたデータソースに接続することと、該属性に対する該値を該データソースから検索することと、該検索された値を該アクセスコントロールの該1つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、こととによって行われる、ことと、該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、該アクセス決定を該クライアントに送信することとによって行われる、アクセスコントロールプロセスととして該コンピュータを動作させる、媒体。前記アクセスコントロールプロセスは、前記アクセスコントロールリクエストを処理するための論理を用いて構成されるプロセッサーによってインプリメントされる、請求項11に記載のシステム。前記資産にアクセスするための前記ユーザーリクエストは、1つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、請求項11に記載のシステム。請求項11に記載のシステムであって、ユーザーによる使用可能な管理者クライアントをさらに含み、該クライアントが、前記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを前記アクセスコントロールプロセスに送信することと、ポリシーオプションのセットを該アクセスコントロールプロセスから受信することと、1つ以上のポリシーオプションを該受信されたポリシーオプションのセットから選択することと、前記論理ステートメントを編集することと、該選択されたポリシーオプションおよび該論理ステートメントを該アクセスコントロールプロセスに送信することとを行うためであり、該アクセスコントロールプロセスが、該アクセスコントロールポリシーを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、該アクセスコントロールポリシーを生成しまたは修正するための該リクエストを該クライアントから受信することと、該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを前記記憶エリアから検索することと、ポリシーオプションのセットを該クライアントに送信することであって、該ポリシーオプションが、アクセスがアクセスコントロールポリシーによってコントロールされ得る1つ以上の資産の資産リストと、該アクセスコントロールポリシーに含まれ得る1つ以上のアクセスコントロールのアクセスコントロールリストとを含む、ことと、該選択されたポリシーオプションおよび該編集された論理ステートメントを該クライアントから受信することであって、該選択されたポリシーオプションが、1つ以上の資産の該リストからの1つ以上の選択された資産と、該アクセスコントロールリストからの1つ以上の選択されたアクセスコントロールとを含む、ことと、該受信されたポリシーオプションおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することとによって行われる、システム。請求項11に記載のシステムであって、ユーザーによる使用可能な管理クライアントをさらに含み、該管理クライアントが、前記アクセスコントロールのうちの1つを生成しまたは修正するためのリクエストを前記アクセスコントロールプロセスに送信することと、コントロールオプションのセットを該アクセスコントロールプロセスから受信することと、1つ以上のコントロールオプションを該受信されたコントロールオプションのセットから選択することと、該選択されたコントロールオプションを該アクセスコントロールプロセスに送信することとを行うためであり、該アクセスコントロールプロセスが、該アクセスコントロールを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、該アクセスコントロールを生成しまたは修正するための該リクエストを該クライアントから受信することと、該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを前記記憶エリアから検索することと、コントロールオプションのセットを該クライアントに送信することであって、該コントロールオプションが、該アクセスコントロールにリンクされ得るデータソースのソースリストを含み、各データソースが1つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、該選択されたコントロールオプションを該クライアントから受信することであって、該選択されたコントロールオプションが、該ソースリストからの1つ以上の選択されたデータソースと、各選択されたデータソースに対する該データソースからの1つ以上の選択された属性と、各選択された属性に対する1つ以上のオプションとを含む、ことと、該受信されたコントロールオプションを含む該アクセスコントロールを該記憶エリアに保存することとによって行われる、システム。前記データソースは、データベースである、請求項11に記載のシステム。前記データソースは、ウェブサービスである、請求項11に記載のシステム。前記資産は、前記システムのハードウェア部品である、請求項11に記載のシステム。前記資産は、電子ドキュメントである、請求項11に記載のシステム。これらのアクセスコントロール設定は、ロールベースアクセスコントロールRBACによって管理され得、その場合、資産にアクセスしたいユーザーが、資産にアクセスすることを許可されるロールのメンバーでなければならない。ロールベースアクセスコントロールの使用は、大体において静的であり、すなわち、管理者がユーザーまたはユーザーのグループをロールに直接にマッピングすることによってロールを定義し、そしてユーザーをロールに加えまたは取り除くためにロールまたはグループの定義を編集しなければならない。所定のロールメンバーシップの静的性質に起因して、変化に速く適応する能力は、やや妨げられる。従って、本発明の実施形態は、動的アクセスコントロールを用いてポリシーを生成しかつ修正するためのシステムおよび方法を提供する。実施形態は、資産へのアクセスを動的に管理するための方法を提供し、方法が、資産にアクセスするためのユーザーリクエストを受信することと、ユーザーリクエストを受信するのに応答して、資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、属性に対する値を含むデータソースにリンクされる、ことと、論理ステートメントを構文解析し、論理ステートメントの各アクセスコントロールに対して、アクセスコントロールが真かまたは真でない結果を有するのを決定することと、論理関係に従って、論理ステートメントの各アクセスコントロールに対する真または真でない結果を処理することによって論理ステートメントの真または真でないことを評価することと、ユーザーが資産にアクセスするのを許可されるか否かを決定することであって、論理ステートメントが真である場合、ユーザーがアクセスを許可され、論理ステートメントが真でない場合、ユーザーがアクセスを拒絶される、こととを含む。方法は、リンクされたデータソースに接続することと、属性に対する値をデータソースから検索することと、検索された値をアクセスコントロールの1つ以上の明記されたオプションと比較することであって、もし検索された値が明記されたオプションのうちの1つ以上にマッチするなら、アクセスコントロールの結果が真であり、もし検索された値が明記されたオプションのうちの1つ以上にマッチしないなら、アクセスコントロールの結果が真でない、こととによって、アクセスコントロールが真かまたは真でない結果を有するのを決定する。もう1つの実施形態は、資産へのアクセスを動的に管理するためのシステムを提供し、システムが、クライアントとアクセスコントロールプロセスと含む。クライアントは、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信し、アクセス決定を受信し、受信されたアクセス決定に基づいて資産へのアクセスを認めまたは拒絶するためにユーザーによる使用可能である。アクセスコントロールプロセスは、アクセスコントロールリクエストをクライアントから受信することと、アクセスコントロールリクエストを受信するのに応答して、資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、属性に対する値を含むデータソースにリンクされる、ことと、論理ステートメントを構文解析し、論理ステートメントの各アクセスコントロールに対して、アクセスコントロールが真かまたは真でない結果を有するのを決定することと、論理関係に従って、論理ステートメントの各アクセスコントロールに対する真または真でない結果を処理することによって論理ステートメントの真または真でないことを評価することと、アクセス決定を生成することであって、論理ステートメントが真である場合、アクセス決定が、ユーザーがアクセスを認められることを明記し、論理ステートメントが真でない場合、アクセス決定が、ユーザーがアクセスを拒絶されること明記する、ことと、アクセス決定をクライアントに送信することとによって、アクセスコントロールリクエストを処理するように構成される。アクセスコントロールプロセスは、リンクされたデータソースに接続することと、属性に対する値をデータソースから検索することと、検索された値をアクセスコントロールの1つ以上の明記されたオプションと比較することであって、もし検索された値が明記されたオプションのうちの1つ以上にマッチするなら、アクセスコントロールの結果が真であり、もし検索された値が明記されたオプションのうちの1つ以上にマッチしないなら、アクセスコントロールの結果が真でない、こととによって、アクセスコントロールが真かまたは真でない結果を有するのを決定する。本発明の実施形態の上述およびなおさらなる特徴および利点は、以下のその詳細な記述に考慮して明白になり、特に添付の図面に関連して解釈されるとき、さまざまな図面の同様の参照数字が、同様の構成要素を明示するために利用される。本発明は、例えば、以下を提供する。項目1資産へのアクセスを動的に管理するための方法であって、該方法は、資産にアクセスするためのユーザーリクエストを受信することと、該ユーザーリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して該1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、該リンクされたデータソースに接続することと、該属性に対する該値を該データソースから検索することと、該検索された値を該アクセスコントロールの該1つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、こととによって行われる、ことと、該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、該ユーザーが該資産にアクセスするのを許可されるか否かを決定することであって、該論理ステートメントが真である場合、該ユーザーがアクセスを許可され、該論理ステートメントが真でない場合、該ユーザーがアクセスを拒絶される、こととを含む、方法。項目2上記項目に記載の方法であって、任意のアクセスコントロールに対して、上記リンクされたデータソースへの接続が作られ得ない場合、該アクセスコントロールに対する上記真または真でない結果を真でないことに設定することをさらに含む、方法。項目3上記資産にアクセスするための上記ユーザーリクエストは、1つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、上記項目のいずれかに記載の方法。項目4上記項目のいずれかに記載の方法であって、上記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを受信することと、該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを上記記憶エリアから検索することと、アクセスが該アクセスコントロールポリシーによってコントロールされるべき1つ以上の資産を選択することと、該アクセスコントロールポリシーに含むように1つ以上のアクセスコントロールを選択することと、該1つ以上のアクセスコントロールの上記論理関係を明記する上記論理ステートメントを編集することと、該選択されたアクセスコントロールおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することとを含む、方法。項目5上記1つ以上の資産は、1つ以上の許可に関連し、各許可は、該資産のうちの1つにまたは該1つを用いて行われ得る動作を明記し、上記方法は、上記アクセスコントロールポリシーの含まれるものに対する該資産に関連する該許可のうちの1つ以上を選択することをさらに含み、選択された許可を該資産に行使するためのユーザーリクエストは、該アクセスコントロールポリシーの上記検索をトリガーする、上記項目のいずれかに記載の方法。項目6上記項目のいずれかに記載の方法であって、上記1つ以上のアクセスコントロールのうちの1つを生成しまたは修正するためのリクエストを受信することと、該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを上記記憶エリアから検索することと、該アクセスコントロールにリンクされるべき1つ以上のデータソースを選択することであって、各データソースが、1つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、各データソースに対して、該アクセスコントロールに含むように属性を1つ以上の属性から選択し、該アクセスコントロール内に該選択された属性に対する1つ以上のオプションを明記することと、該アクセスコントロールを該記憶エリアに保存することとを含む、方法。項目7上記項目のいずれかに記載の方法であって、各データソースに対して、上記データソースとそのリンクされたアクセスコントロールとの間の接続を、該データソースに対する位置情報を該リンクされたアクセスコントロールに入力することによって構成することをさらに含む、方法。項目8上記データソースは、データベースであり、該データベースのうち少なくとも1つの属性は、テーブルである、上記項目のいずれかに記載の方法。項目9上記データソースは、ウェブサービスである、上記項目のいずれかに記載の方法。項目10上記資産は、電子ドキュメントである、上記項目のいずれかに記載の方法。項目11資産へのアクセスを動的に管理するためのシステムであって、該システムは、ユーザーによる使用可能なクライアントであって、該クライアントが、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、アクセス決定を受信することと、該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することとを行うためである、クライアントと、該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、該アクセスコントロールリクエストを該クライアントから受信することと、該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して該1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、該リンクされたデータソースに接続することと、該属性に対する該値を該データソースから検索することと、該検索された値を該アクセスコントロールの該1つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、こととによって行われる、ことと、該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、該アクセス決定を該クライアントに送信することとによって行われる、アクセスコントロールプロセスとを含む、システム。項目12資産へのアクセスを動的に管理するためのプログラムを格納したコンピュータ読み取り可能な格納媒体であって、該プログラムは、資産へのアクセスをリクエストするアクセスコントロールリクエストを送信することと、アクセス決定を受信することと、該受信されたアクセス決定に基づいて該資産へのアクセスを認めまたは拒絶することとを行うようにユーザーによって動作可能なクライアントと、該アクセスコントロールリクエストを処理するように構成されるアクセスコントロールプロセスであって、該処理することが、該アクセスコントロールリクエストを該クライアントから受信することと、該アクセスコントロールリクエストを受信するのに応答して、該資産に関連するアクセスコントロールポリシーを記憶エリアから検索することであって、該アクセスコントロールポリシーが、1つ以上のアクセスコントロールと、互いに対して該1つ以上のアクセスコントロールの論理関係を明記する論理ステートメントとを含み、各アクセスコントロールが、属性に対する1つ以上の明記されたオプションを含み、該属性に対する値を含むデータソースにリンクされる、ことと、該論理ステートメントを構文解析し、該論理ステートメントの各アクセスコントロールに対して、該アクセスコントロールが真かまたは真でない結果を有するのを決定することであって、該決定することが、該リンクされたデータソースに接続することと、該属性に対する該値を該データソースから検索することと、該検索された値を該アクセスコントロールの該1つ以上の明記されたオプションと比較することであって、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチするなら、該アクセスコントロールの結果が真であり、もし該検索された値が該明記されたオプションのうちの1つ以上にマッチしないなら、該アクセスコントロールの結果が真でない、こととによって行われる、ことと、該論理関係に従って、該論理ステートメントの各アクセスコントロールに対する該真または真でない結果を処理することによって該論理ステートメントの真または真でないことを評価することと、該アクセス決定を生成することであって、該論理ステートメントが真である場合、該アクセス決定が、該ユーザーがアクセスを認められることを明記し、該論理ステートメントが真でない場合、該アクセス決定が、該ユーザーがアクセスを拒絶されること明記する、ことと、該アクセス決定を該クライアントに送信することとによって行われる、アクセスコントロールプロセスととして該コンピュータを動作させる、媒体。項目12A上記システムは、有形記憶媒体上に格納されるコンピュータプログラム製品である、上記項目のいずれかに記載のシステム。項目13上記アクセスコントロールプロセスは、上記アクセスコントロールリクエストを処理するための論理を用いて構成されるプロセッサーによってインプリメントされる、上記項目のいずれかに記載のシステム。項目14上記資産にアクセスするための上記ユーザーリクエストは、1つ以上の許可を該資産に行使するためのリクエストを含み、各許可は、該資産にまたは該資産を用いて行われ得る動作を明記する、上記項目のいずれかに記載のシステム。項目15上記項目のいずれかに記載のシステムであって、ユーザーによる使用可能な管理者クライアントをさらに含み、該クライアントが、上記アクセスコントロールポリシーを生成しまたは修正するためのリクエストを上記アクセスコントロールプロセスに送信することと、ポリシーオプションのセットを該アクセスコントロールプロセスから受信することと、1つ以上のポリシーオプションを該受信されたポリシーオプションのセットから選択することと、上記論理ステートメントを編集することと、該選択されたポリシーオプションおよび該論理ステートメントを該アクセスコントロールプロセスに送信することとを行うためであり、該アクセスコントロールプロセスが、該アクセスコントロールポリシーを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、該アクセスコントロールポリシーを生成しまたは修正するための該リクエストを該クライアントから受信することと、該リクエストを受信するのに応答して、該アクセスコントロールポリシーがなお存在しない場合、それを生成し、または該アクセスコントロールポリシーが既に存在する場合、それを上記記憶エリアから検索することと、ポリシーオプションのセットを該クライアントに送信することであって、該ポリシーオプションが、アクセスがアクセスコントロールポリシーによってコントロールされ得る1つ以上の資産の資産リストと、該アクセスコントロールポリシーに含まれ得る1つ以上のアクセスコントロールのアクセスコントロールリストとを含む、ことと、該選択されたポリシーオプションおよび該編集された論理ステートメントを該クライアントから受信することであって、該選択されたポリシーオプションが、1つ以上の資産の該リストからの1つ以上の選択された資産と、該アクセスコントロールリストからの1つ以上の選択されたアクセスコントロールとを含む、ことと、該受信されたポリシーオプションおよび該編集された論理ステートメントを含む該アクセスコントロールポリシーを該記憶エリアに保存することとによって行われる、システム。項目16上記項目のいずれかに記載のシステムであって、ユーザーによる使用可能な管理クライアントをさらに含み、該管理クライアントが、上記アクセスコントロールのうちの1つを生成しまたは修正するためのリクエストを上記アクセスコントロールプロセスに送信することと、コントロールオプションのセットを該アクセスコントロールプロセスから受信することと、1つ以上のコントロールオプションを該受信されたコントロールオプションのセットから選択することと、該選択されたコントロールオプションを該アクセスコントロールプロセスに送信することとを行うためであり、該アクセスコントロールプロセスが、該アクセスコントロールを生成しまたは修正するようにさらに構成され、該生成しまたは修正することが、該アクセスコントロールを生成しまたは修正するための該リクエストを該クライアントから受信することと、該リクエストを受信するのに応答して、該アクセスコントロールがなお存在しない場合、それを生成し、または該アクセスコントロールが既に存在する場合、それを上記記憶エリアから検索することと、コントロールオプションのセットを該クライアントに送信することであって、該コントロールオプションが、該アクセスコントロールにリンクされ得るデータソースのソースリストを含み、各データソースが1つ以上の属性の各々に対する値を含み、各データソースの各属性が、同じまたは別のデータソースの各属性と異なるかもしれない、ことと、該選択されたコントロールオプションを該クライアントから受信することであって、該選択されたコントロールオプションが、該ソースリストからの1つ以上の選択されたデータソースと、各選択されたデータソースに対する該データソースからの1つ以上の選択された属性と、各選択された属性に対する1つ以上のオプションとを含む、ことと、該受信されたコントロールオプションを含む該アクセスコントロールを該記憶エリアに保存することとによって行われる、システム。項目17上記データソースは、データベースである、上記項目のいずれかに記載のシステム。項目18上記データソースは、ウェブサービスである、上記項目のいずれかに記載のシステム。項目19上記資産は、上記システムのハードウェア部品である、上記項目のいずれかに記載のシステム。項目20上記資産は、電子ドキュメントである、上記項目のいずれかに記載のシステム。摘要データベースまたはウェブサービスのようなデータソースにリンクされる1つ以上の動的アクセスコントロールを含むポリシーを用いて、電子ドキュメントまたはハードウェア部品のような資産へのアクセスを動的に管理するための方法およびシステム。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、リンクされたデータソースの現在の情報に対して評価されなければならない。好ましい実施形態の詳細な記述本発明は、電子ドキュメント、ハードウェア部品等のような資産に対するアクセスコントロールおよびポリシーを動的に管理するための方法およびシステムを対象とする。ポリシーは、データベース、ウェブサービス等のようなデータソースにリンクされる1つ以上の動的アクセスコントロールを含む。アクセスコントロールは、毎回、ポリシーが発動されるゆえに、動的であり、ポリシーおよびその構成要素アクセスコントロールは、データソース複数可の現在の情報に対して評価されなければならない。従って、従来の静的アクセスコントロールリストと違って、動的アクセスコントロールは、特定のイベントまたは外部刺激が生じるとき、ほとんどリアル時間で変化に動的かつ自動に適応するのを可能にし、従って、アクセスコントロールが、それらの自身でアクセスコントロールまたはポリシーを変えるためのニーズがなく、常に現在のニーズを関して最新であることを確保する。さらに、方法およびシステムは、企業の至るところに資産を保護するために使われている複数のアクセスコントロールによって作られる粒度のgranular精度の高いレベルでの中央コントロールを可能にする。アクセスコントロールが、データソースのデータ属性の値に基づくゆえに、アクセスコントロールは、ユーザーが誰であるのに基づくアクセスを認める静的ルールではなく、むしろ代わりに、ユーザーに関する情報の検証に基づくアクセスを認める動的ルールである。例えば、ポリシーは、秘密またはより高いセキュリティクリアランスで従業員へのアクセスを制限し、セキュリティクリアランスステータスを含む従業員データベースにリンクされる動的アクセスコントロールを含み得る。従業員が、例えば機密からトップ秘密へのセキュリティクリアランスの昇進を受け取り、または例えば秘密から機密へのセキュリティクリアランスの降格を受け取るとき、次に、動的アクセスコントロールは、従業員データベースからこの情報を自動に得、そしてポリシーは、適切であるようにその従業員へのファイルアクセスを許可しまたは拒絶するように更新される。従って、アクセスコントロールポリシーは、常に最新であり、アクセスコントロールデータの変化に自動に適応する。ここで、図面を参照すると、本発明の実施形態に従うアクセスコントロールの動的管理を使用する例示的システムは、図1で説明される。図1に示されるシステムは、特に、ネットワークまたはインターネットにわたるアクセスコントロールポリシーの動的管理に適され、しかし、本実施形態のシステムが、そのように制限されなく、非ネットワークまたは内蔵型のシステムに使われ得ることは理解されるべきである。描かれたシステム60は、アクセスコントロールプロセス10と、関連する共有または働くメモリー20と、ディレクトリ31、ウェブサービス32、およびユーザーデータベース33を含むデータソースと、ポリシーおよびアクセスコントロール情報を格納するためのデータ記憶エリア40と、1つ以上の資産51、52とを含み、それらが、オプションなネットワーク12、14、16にわたって互いおよびクライアント5に接続される。システム60は、追加のサーバー、クライアント、および示されていない他のデバイスを含み得、システムの個々の構成要素は、単独かまたは複数で存在し得、例えば、2つ以上のデータ記憶エリアがあり得る。概して、クライアント5は、ポリシー管理システム60によって提供される機能、例えば、システムからのポリシーを生成し、観察し、適用し、そしてエクスポートするためのメカニズム等のためのインターフェースを提供する。クライアント5は、目に見えるまたは目に見えないインターフェースをシステムに提供するように構成され得る。例えば、第1の実施形態において、クライアント5は、エンドユーザーにポリシー管理システムに対する目に見えないインターフェースを提供し、それにおいて、エンドユーザーは、エンドユーザーがシステムを知ることさえもなく、アクセスがシステムによって管理されるポリシーによってコントロールされる資産にアクセスしまたは操作することを可能にする。このような実施形態において、クライアント5はまた、システム管理者が、例えば、システムからのポリシーを生成し、観察し、適用し、そしてエクスポートすることを可能にするように、システム管理者にシステムに対する目に見えるインターフェースを提供する。例えば、エンドユーザーは、実験室の施設にアクセスするために、ポリシー管理システムを知らなくても、例えば、アクセスカードを通しまたはキーパッド入力を許可するための電子アクセスパネルのようなクライアントデバイスを使い得、その一方で、システム管理者は、自身でシステムにアクセスするためのコンピュータ端末のようなクライアントデバイスを使い得る。第2の実施形態において、クライアント5は、エンドユーザーおよび管理者にシステムに対する目に見えるインターフェースを提供し、しかし、管理者は、エンドユーザーに対して利用不可能である追加のオプション例えば、ポリシーを削除しまたはエクスポートすることを提供され得る。アクセスコントロールプロセス10は、システム60によって管理されるポリシーを生成し、修正し、圧縮保存し、削除しまたは取り除くために構成される適用プログラムを提供し得、ポリシー管理、アクセスコントロール、およびサーチを行うための機能のために使われるツールと、システム60によって管理されるポリシーに関連する他のオプションと含み得る。ユーザーが特定のアクセスコントロールポリシーにアクセスするとき、それは、データ記憶エリア40からメモリー20内にロードされ、それにより、ポリシーが、アクセスコントロールプロセス10に必要とされるように更新され得る。メモリー20は、任意の従来または他のメモリーまたは記憶デバイスによってインプリメントされ得、揮発性例えば、RAM、キャッシュ、フラッシュ等、または不揮発性例えば、ROM、ハードディスク、光学記憶装置等であり得、他の適切な記憶キャパシティーを含み得る。ネットワーク12、14、16は、任意量の任意の適切な通信メディア例えば、WAN、LAN、インターネット、イントラネット、有線、無線等によってインプリメントされ得る。本実施形態のコンピュータシステムは、任意の従来または他のプロトコールを介してネットワークにわたって通信するための任意の従来または他の通信デバイスを含み得、ネットワークへのアクセスのための任意タイプの接続例えば、有線、無線等を利用し得る。クライアント5、アクセスコントロールプロセス10、メモリー20、データソース31、32、33、データ記憶システム40および資産51、52のうちのどれが、システム60の1つ以上の構成要素に対してローカルであり得、1つ以上のネットワーク12、14、16を介してシステム60の1つ以上の他の構成要素から遠く離れ得、そしてそれらと通信し得ることは理解される。データソース31、32、33は、所望のやり方でシステムを動作させるのに必要とされるような任意の適切な数およびタイプのデータソースであり得る。データソースは、企業データソース例えば、DB2、Oracle、IBMEnterpriseContentManagementECMシステム、ERPシステム等、個人およびイントラ組織データソース例えば、spreadsheets例えば、MicrosoftExcelまたはデータベース例えば、MicrosoftAccess、MySQL、Sharepoint、Quickr、XML等、公開データベースのようなウェブベースデータソース例えば、税金記録、不動産記録、裁判所文書等、ウェブサービス等を含み得る。データ記憶システム40は、任意量の任意タイプの従来または他のデータベース例えば、ネットワーク、階層、関係、オブジェクト等または記憶構造例えば、ファイル、データ構造、ウェブベース記憶、ディスクまたは他の記憶等によってインプリメントされ得る。資産51、52は、セキュリティが望まれる任意タイプの資産であり得、物理的、電子的、または他の適切な形式であり得る。例示的物理資産は、建物のような施設、実験室またはファイルルームのようなワークスペース、自動車またはオートバイのような乗り物、コンピュータのようなオフィス設備、複写機のようなモデム、ルームのようなエリアまたは構造、ガレージのようなキャビネット、デバイス内の個々のハードウェア部品等を含み得る。例えば、システムおよび方法は、ハードウェアアイテムに対する使用およびアクセスをコントロールするために使われ得、例えば、コンピュータネットワークカードにアクセスするためのユーザー能力は、動的ポリシーによってコントロールされ得、施設内の施設またはエリアへのアクセスをコントロールするために使われ得、例えば、化学研究の環境において、認可された職員に対して危険な化学薬品を含む貯蔵エリアへのアクセスに制限することが望ましいかもしれない。例示的電子資産は、データベース、電子ドキュメント、サーバーアクセス、ソフト適用、ユーザープロフィール等を含み得る。電子ドキュメントは、HTMLおよびXMLウェブ内容、ドキュメントイメージ、電子記録、データベース記録、ワード処理ドキュメント、プレゼンテーションスライド、オフィスドキュメント、e-mailメッセージまたはアーカイブ、ゲーム、テキストデータ、電子書籍、グラフ、オーディオ、ビデオ、SMSまたはMMSメッセージ、情報の他のデジタル表示、および/またはそれらの組み合わせのような、しかし制限されない現在に公知また後に開発される任意タイプの電子ファイルまたはデータであり得る。例えば、システムおよび方法は、例えば、一定のユーザーのみが、明記された基準を満たした後にだけ、ビデオまたはオーディオファイルにアクセスするための権利を有するシステムにおいて、デジタル権利コントロールをファイルに提供するために使われ得る。コンピュータシステムまたはネットワークへのアクセスは、これらの実施形態によってコントロールされる資産でもあり得る。例えば、ポリシーは、コンピュータシステムまたはネットワークの正しい使用および/または誤用を定義するアクセスコントロールで定義され得、ユーザーがシステム内またはシステムの間に相互作用するようなリアル時間のアクセスを認めまたは拒絶するようにセットアップされ得る。システムおよび方法は、例えば、データソースのようなパスポートデータベース、拒絶されたパーティーリスト、または犯罪記録データベースを有することによって、識別チェックのために使われ得る。ここで、図2を参照すると、管理者は、前に記述されるシステム、特に図2のステップを行うためのアクセスコントロールプロセス10を使い得、参照数字100が、概して、動的アクセスコントロールを生成しまたは修正するためのプロセスを描くフローチャートを明示する。プロセスは、105で開始し、そしてステップ110において、アクセスコントロールが既に存在するか否かを決定し、存在する場合、アクセスコントロールをメモリー内にロードし、そしてステップ130へ進む。存在しない場合、新しいアクセスコントロールは、ステップ115において生成され、その名前およびタイプは、ステップ120において選択される。名前は、任意の適切な名前であり得、例えば、従業員のタイプに基づくアクセスコントロールが、EmployeeTypeで呼ばれ得、時間および日付に基づくアクセスコントロールが、AccessTimeで呼ばれ得る等。アクセスコントロールのタイプは、アクセスコントロールがどうやってアクセスポリシーで使われ得ることを指し、例えば、単一のオプションが選択され得、複数のオプションが選択され得、または論理ステートメントがアクセスコントロールに適用され得ることを表示するオプションであり得る。ステップ125において、名前は、それがシステムにおいて唯一であることを確保するためにチェックされ、そうではない場合、プロセスは、新しい名前を選択するためにステップ120に回帰する。いったん唯一の名前が決定されると、アクセスコントロールは、メモリー内にロードされ、そしてプロセスは、ステップ130へ進む。ステップ130において、管理者は、データソースを選択する。データソースは、アクセスコントロールによって使われる情報、例えば、従業員に関する情報、アクセスが認められ得、そして/または拒絶され得る状態に関する情報等を含みまたは得る任意のソースであり得る。データソースは、値を有する少なくとも1つの属性を含み、例えば、従業員データベースは、フルータイム、パートタイム、契約者またはインターンの可能な値を有する従業員ステータス属性と、NewYorkOffice、CaliforniaOffice等の可能な値を有するワーク位置属性と含み得る。望まれるアクセスコントロールのタイプに依存して、異なるソースが使われ得る。ステップ140において、管理者は、例えば、位置、認証情報、および属性名を用いてデータソースへの接続を構成する。例えば、データソースがウェブサービスである場合、接続を構成することは、サービス、ポート、ユーザー名とパスワードとのような認証情報、適用されるべき属性名例えば、時間、温度、従業員タイプ、セキュリティクリアランスレベル、部門、ワーク位置等にアクセスするための場合、IPアドレスまたは他の位置を入力するのに必要とし得る。ステップ150において、管理者は、アクセスコントロールのためのオプションを構成する。オプションは、アクセスコントロールタイプ、選択されるデータソース、データソースの属性に依存する。例えば、アクセスコントロールが、従業員情報に基づき、選択されたデータソースが、セキュリティクリアランス属性を含む従業員情報のアクティブディレクトリである場合、属性の可能な値は、例えば、なし、FOUO、機密、秘密、トップ秘密等を含む。利用可能なオプションは、可能な値、例えば、秘密クリアランスに直接にマッチし得、または複数の値、例えば、秘密、トップ秘密、およびより高いレベルのクリアランスにマッチする秘密またはより高いクリアランスにマッチし得る。例えば、アクセスコントロールが日付および時間ベースである場合、選択されたデータソースは、日付および時間の属性を提供するウェブサービスであり、管理者は、週の日例えば、営業日のみ、毎日、一日おき、週末のみ等のような日付属性のためのオプションを構成し得、午前、午後、夕方、営業時間等のような時間属性のためのオプションを構成し得る。ステップ160は、管理者は、アクセスコントロールの利用可能性、例えば、アクセスポリシーの使用のためにこのアクセスコントロールを選択し得るユーザーのリスト、またはこのアクセスコントロールが現れる位置のリストを構成する。ステップ170において、アクセスコントロールが保存され、そしてステップ175でこのプロセスが終了する。アクセスコントロールを生成するためのプロセス100の実施形態を説明する例示的GraphicUserInterfaceGUIは、例示的EmployeeTypeアクセスコントロールに関連して、図3に示される。参照ポイント1で、管理者は、アクセスコントロール名を入力し、このアクセスが、複数のオプションがこのアクセスコントロールのために選択され得ることを意味するMultipleSelectタイプを有することを指示する。参照ポイント2で、管理者は、この場合においてデータソースのようなアクティブディレクトリを選択し、そしてIPアドレス、ポート、ユーザー名、パスワード、および望まれた情報がデータソースに見つけられ得る場所を指示する属性名を入力することによって、このアクセスコントロールのためのデータソースを構成する。管理者は、入力される情報が有効であるか否かを決定するために、この時間での接続もテストし得る。参照ポイント3で、管理者は、この場合において選択され得るさまざまな選択肢、例えば、FullTime、PartTimeまたはContractorを加えることによって、アクセスコントロールのためのオプションを構成する。参照ポイント4で、管理者は、例えば、アクセスポリシーの使用のためにこのアクセスコントロールを選択し得るユーザーのリスト、またはこのアクセスコントロールが現れる位置のリスト等を明記することによって、アクセスコントロールの利用可能性を構成する。参照ポイント5で、管理者は、このアクセスコントロールを保存し得または適用し得る。ここで、図4を参照すると、管理者は、前に記述されるシステム、特に図4のステップを行うためのアクセスコントロールプロセス10を使い得、参照数字200が、概して、動的アクセスポリシーを生成しまたは修正するためのプロセスを描くフローチャートを明記する。プロセスは、205で始まり、そしてステップ210において、ポリシーが既に存在するか否かを決定し、存在する場合、ポリシーをメモリー内にロードし、そしてステップ220に進む。存在しない場合、プロセスは、ステップ215で新しいポリシーを生成する。ステップ220において、管理者は、ポリシーが適用される1つ以上の資産を選択する。ステップ230において、管理者は、ポリシーが適用される許可または複数許可を選択する。これらの許可は、ポリシーによって保護される資産の性質に依存して変わり得、例えば電子ドキュメントに対して、許可は、OpenまたはRead、Write、Execute、Print等のような標準ファイル許可であり得る。異なるタイプの資産に対して、例えば保護される資産が実験室への入室である場合、許可は、SelfAdmit、AdmitwithGuest、GrantAdmissiontoOthers等であり得る。ステップ240において、管理者は、ポリシーに加えられることが可能な1つ以上のアクセスコントロールを選択し、各アクセスコントロールのための利用可能なオプションから選択し得る。例えば、図3に描かれる例示的EmployeeTypeアクセスコントロールに対して、利用可能なオプションは、FullTime、PartTime、ContractorおよびInternを含む。例示的SecurityClearanceアクセスコントロールに対して、利用可能なオプションは、none、FOUO、confidential、secret、およびtopsecretを含み得る。例として、望ましいポリシーが、一定のドキュメントにアクセスするためのFOUOまたはより高いセキュリティクリアランスを有する一定タイプの従業員を許可するようである場合、管理者は、EmployeeTypeアクセスコントロールのためのFullTime、PartTimeおよびContractorオプションを選択し得、SecurityClearanceアクセスコントロールのためのFOUOForOfficialUseOnlyを選択し得る。ステップ250において、管理者は、AND、ORおよびNOTのような論理表現を用いて、1つ以上のアクセスコントロールとそれらの間の関係とを明記する論理ステートメントを生成しまたは編集し得る。例えば、一定のドキュメントにアクセスするためのFOUOまたはより高いセキュリティクリアランスを有する一定タイプの従業員を許可する例示的ポリシーに対して、管理者は、以下の論理ステートメント:EmployeeTypeANDSecurityClearanceを入力し得る。ステップ260において、管理者は、ポリシーを保存し得、オプション的にステップ270において、管理者は、アクセスコントロールを起こすために、ポリシーを資産に適用し得る。プロセスは、275で終了する。ポリシーが資産に適用されるとき、任意の個々に資産にアクセスしようとすることは、それらが資産にアクセスすることを許可される前に、望ましい許可のためのポリシーの全部のアクセスコントロールを満たさなければならない。ポリシーを生成するためのプロセス200の実施形態を説明する例示的GraphicUserInterfaceGUIは、例示的ポリシーに関連して、図5に示される。参照ポイント1で、管理者は、このポリシーが適用する許可、この例においてOpenとPrintを選択する。参照ポイント2で、管理者は、ポリシーに加えられることが可能な1つ以上のアクセスコントロール、例えば、EmployeeTypeアクセスコントロールを選択し、そのアクセスコントロールのための利用可能なオプションから、例えば、FullTime、PartTime、およびContractorを選択する。参照ポイント3で示されるように、GUIは、加えられる選択されたアクセスコントロールをディスプレイするパネルを含み得る。この場合において、ProjectName、SecurityClearanceおよびAccessTimeアクセスコントロールは、既に選択される。参照ポイント4で、GUIは、管理者が論理ステートメントを生成することを許可する。参照ポイント5で、管理者は、ポリシーを保存し得、ポリシーを適用し得、またはGUIを終了し得る。ここで、図6を参照すると、参照数字300は、概して、動的アクセスコントロールポリシーを確認するためのプロセスを描くフローチャートを明記し、フローチャートが、前に記述されるシステム、特にアクセスコントロールプロセス10によって行われ得る。プロセスは、305で始まり、資産にアクセスし、または資産に特定の許可を行使するために、ユーザーリクエストによってトリガーされ得る。ステップ310において、プロセスは、資産に適用するポリシーを検索し、そしてステップ315において、論理ステートメントを構文解析し、かつステートメント内に見つけられるアクセスコントロールの各々をロードする。各アクセスコントロールは、次に、ステップ320から345までを用いて個々に処理される。ステップ320で、アクセスコントロールが選択され、そしてステップ325で、そのアクセスコントロールに対するデータソースへの接続がロードされる。ステップ330で、プロセスは、接続が確立されたか否かを決定し、された場合、ステップ335へ進む。されていない場合、プロセスは、ステップ355へ進む。ステップ335で、システムは、リクエストするユーザーに関連する構成された属性値複数可をデータソースから検索し、そしてステップ340において、検索された値複数可をポリシーによって明記されるオプションと比較する。例えば、EmployeeTypeアクセスコントロールに対して、検索された値は、ポリシーの明記されたオプションに一致するFullTimeであり得る。ステップ345で、システムは、プロセスのための他のアクセスコントロールがあるか否かを決定し、ある場合、ステップ320に戻る。ない場合、システムは、ステップ350へ進む。ステップ350において、システムは、関連するアクセスコントロールの各々が真または真でない値を有するか否かに基づいて、最終結果が真または真でないか否かを決定するために論理ステートメントを評価する。ステップ355において、ユーザーがアクセスを許可されるか否かを決定し、例えば、全部の値が真であり、ユーザーがアクセスを認められ得るか、または真でない場合においてユーザーがアクセスを拒絶されるかを決定するために評価される。真の場合、ユーザーは、ステップ360においてアクセスを許可され、そしてプロセスは、ステップ365で終了する。真でない場合、ユーザーは、アクセスを拒絶され、そしてプロセスは、ステップ365で終了する。描かれる例は、動的アクセスコントロールを生成しまたは修正し、アクセスコントロールポリシーを生成しまたは修正するための2つ別々のプロセスを記述し、かつ説明するが、これらのプロセスは、単一のプロセス内に組み合わせられ得、または任意の適切な方式で2つまたはより多いプロセスに分けられ得る。前述およびフローチャートに説明されるソフトウェアおよび/またはアルゴリズムは、本明細書に記述される機能を達成する任意の方式で修正され得る。加えて、フローチャートまたは記述の機能は、所望の動作を達成する任意の命令で行われ得る。本発明の実施形態は、完全にハードウェア実施形態、完全にソフトウェア実施形態またはハードウェアおよびソフトウェア要素の両方を含む実施形態の形を取り得る。好ましい実施形態において、本発明は、ファームウェア、常駐ソフトウェア、マイクロコード等を含み、しかし制限されないソフトウェアでインプリメントされる。ソフトウェアは、記録可能な媒体例えば、磁気的、光学的、フロッピー登録商標、DVD、CD等で利用可能または通信媒体例えば、ネットワーク、LAN、WAN、イントラネット、インターネット等を介してソースからダウンロードするためのキャリア波または信号の形であり得る。ソフトウェアは、動作するシステムまたは特定の適用、部品、プログラム、モジュール、オブジェクト、または命令順序の一部分であり得る。ソフトウェアが、任意の所望のコンピュータ言語でインプリメントされ得、図面で説明される詳説およびフローチャートに含まれる機能の記述に基づいてコンピュータ技術の当業者によって開発され得ることは理解されるべきである。例のみとして、ソフトウェアは、C、C、Python、Java登録商標、XML、またはPHPプログラミング言語でインプリメントされ得、データ記憶は、MySQL、Oracle、SQLServer、IBMDB2、Informixまたはフラットデータベース等でインプリメントされ得る。さらに、さまざまな機能を行うソフトウェアに対する本明細書での任意の参照文献は、概して、ソフトウェアコントロールの下でそれらの機能を行うコンピュータシステムまたはプロセッサーに関連する。コンピュータシステムは、代替的に、任意タイプのハードウェアおよび/または他の処理回路でインプリメントされ得る。コンピュータシステムのさまざまな機能は、任意量のソフトウェアモジュールまたはユニット、処理またはコンピュータシステム、オブジェクト、データ構造および/または回路の間の任意の方式で分配され得、コンピュータまたは処理システムが、ローカルにまたは互いに遠く離れて配置され得、任意の適切な通信媒体例えば、LAN、WAN、イントラネット、インターネット、ハードワイヤ、モデム接続、無線等を介して通信し得る。さらに、本実施形態は、コンピュータまたは他の命令実行システムによりまたはそれらとの接続での使用のためのプログラムコードを提供するコンピュータ使用可能またはコンピュータ読み取り可能な媒体からアクセス可能なコンピュータプログラム製品の形を取り得る。この記述の目的に対して、コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、命令実行システム、装置、またはデバイスによりまたはそれらとの接続での使用のためのプログラムを含み得、格納し得、通信し得、伝播し得または輸送し得る任意の装置であり得る。媒体は、電子的、磁気的、光学的、電磁気的、赤外線、または半導体システムまたは装置またはデバイスまたは伝播媒体であり得る。コンピュータ読み取り可能な媒体の例は、半導体または固体状態のメモリー、磁気テープ、取り除き可能なコンピュータディスケット、ランダムアクセスメモリーRAM、読み取り専用のメモリーROM、硬直の磁気ディスクおよび光学ディスクを含む。光学ディスクの現在の例は、コンパクトディスク読み取り専用メモリーCD-ROM、コンパクトディスク読む/書くCD-R/WおよびDVDを含む。望ましい実施形態において、コンピュータ使用可能またはコンピュータ読み取り可能な媒体は、有形媒体である。プログラムコードを格納し、そして/または実行するのに適切な処理システムは、ディスプレイまたはモニター、例えば、プロセッサー、メモリーおよび/または内部または外部の通信デバイス例えば、モデム、ネットワークカード等およびオプション的な入力デバイス例えば、キーボード、マウスまたは他の入力デバイスを含むベースを好ましく装備される任意の従来または他のコンピュータまたは処理システムでインプリメントされ得る。システムは、システムバスを通して直接または間接にメモリー要素と結合される少なくとも1つのプロセッサーを含み得る。メモリーは、任意の従来または他のメモリーまたは記憶デバイス例えば、RAM、キャッシュ、フラッシュ等でインプリメントされ得、任意の適切な記憶キャパシティーを含み得る。メモリー要素は、プログラムコードの実際の実行の間に使用されるローカルメモリー、バルク記憶装置、および実行の間にバルク記憶装置から検索されるべき時間コードの数を減らすために、少なくともいくつかのプログラムコードの一時的な記憶域を提供するキャッシュメモリーを含み得る。キーボード、ディスプレイ、ポインティングデバイス等を含み、しかし制限しない入力/出力またはI/Oデバイスは、直接かまたは間にあるI/Oコントローラを通してシステムと結合され得る。ネットワークアダプターはまた、処理システムが間にあるプライベートまたは公共ネットワークを通して他の処理システムまたはリモートプリンターまたは記憶デバイスと結合されるようになることを可能にするために、システムと結合され得る。モデム、ケーブルモデムまたはイーサネット登録商標カードは、ただ少数の現在に利用可能なタイプのネットワークアダプターである。エンドユーザーシステムは、任意量の従来または他のコンピュータシステムまたはデバイス例えば、コンピュータ端末、個人コンピュータ例えば、IBM-compatible、AppleMacIntosh、タブレット、ラップトップ等等、セルラー電話、個人データアシスタント例えば、PalmPre、Droid、iPhone等等でインプリメントされ得、任意の市販で利用可能な動作するシステム例えば、AIX、Android、Linux、OSX、SunSolaris、Unix登録商標、Windows登録商標等および任意の市販で利用可能またはカスタムソフトウエア例えば、ブラウザソフトウェア、通信ソフトウェア、ワード処理ソフトウェア等を含み得る。これらのシステムは、情報を入力し、そして/またはビューするためのディスプレイおよび入力デバイス例えば、キーボート、マウス、音声認識等を含み得る。エンドユーザーシステムは、プロセスおよびデータ記憶エリアに対してローカルであり得、またはネットワークを介してサーバーおよびデータ記憶エリアから遠く離れ得、かつそれらと通信し得る。ネットワークは、任意量の任意の適切な通信メディア例えば、WAN、LAN、インターネット、イントラネット、有線、無線等でインプリメントされ得る。コンピュータシステムは、任意の従来または他のプロトコールを介してネットワークにわたって通信するための任意の従来または他の通信デバイスを含み得、ネットワークへのアクセスのための任意タイプの接続例えば、有線、無線等を利用され得る。本発明の好ましい実施形態の前の開示は、例示および記述の目的のために示される。それは、完全であり、または開示される正確な形式に対して本発明を制限するように意図されない。本明細書に記述される実施形態の多くのバリエーションおよび修正は、当業者にとって、上の本開示を考慮して明白である。本発明の範囲は、本明細書に添えられた特許請求範囲によりだけではなく、それらの同等物によっても規定されるべきである。さらに、本発明の代表的な実施形態を記述するのにおいて、詳説は、本発明の方法および/またはプロセスをステップの特定の順序として示し得る。しかし、方法またはプロセスが本明細の前のステップセットの特定の命令に頼らない範囲に対して、方法またはプロセスは、記述されるステップの特定の順序に制限されるべきではない。当業者が認識するように、ステップの他の順序が可能であり得る。そのゆえに、詳説において前のステップセットの特定の命令は、請求範囲上の制限として構成されるべきではない。加えて、本発明の方法および/またはプロセスに対象とする請求範囲は、書かれた命令のそれらのステップの性能に制限されるべきではなく、当業者は、順序が変えられ得、なお本発明の真意および範囲内に残り得ることを容易に認識し得る。