電子データファイルを表す複数のデータアーティファクトと、クラウドコンピューティングモデルに応じて動作するように構成された複数のクラウドサービスプロバイダと、前記複数のデータアーティファクトの保管およびアクセスを管理するように構成されたデータストレージと、前記データストレージによって管理される前記複数のデータアーティファクトに対する任意アクセス制御を提供するように構成されたアクセスマネージャであって、前記任意アクセス制御が前記データストレージによって実行されるアクセス制御操作に加えて実行され、前記アクセスマネージャの前記任意アクセス制御が前記データストレージによって行われたアクセス許可およびアクセス拒否を撤回することができる、アクセスマネージャとを含む、システム。前記データストレージが、前記複数のデータアーティファクトのアクセスに関する制限を定義する複数のデータ処理規則であって、前記データストレージが前記複数のデータ処理規則を使用して、データアーティファクトへのアクセスを要求するデータコンシューマに関するアクセス許可およびアクセス拒否のうちの少なくとも一方を決定する、複数のデータ処理規則をさらに含む、請求項1記載のシステム。前記アクセスマネージャが、データアーティファクトへのアクセスを制限する少なくとも1つのパラメータ値を定義する複数の所有者指定のアクセス規則と、前記データアーティファクトへのアクセスを許可する条件を定義する複数の所有者指定のアクセス例外であって、前記アクセスが前記データストレージおよび少なくとも1つの所有者指定のアクセス規則のうちの少なくとも一方によって拒否される、複数の所有者指定のアクセス例外とをさらに含む、請求項1又は2に記載のシステム。所有者指定のアクセス例外に関連する認証情報を妥当性検査するように構成された認証部であって、前記アクセスマネージャによって有効な認証データを受信することを条件に、前記データアーティファクトへのアクセスが可能になる、認証部をさらに含む、請求項1乃至3のいずれかに記載のシステム。前記認証部が、前記認証情報を自動的に生成するようにさらに構成される、請求項4記載のシステム。前記認証部が、厳密認証プロセスを使用するように構成される、請求項4又は5に記載のシステム。前記複数の所有者指定のアクセス規則および前記複数の所有者指定のアクセス例外の定義を可能にするように構成されたアクセスマネージャサービスユーザインターフェースをさらに含む、請求項1乃至6のいずれかに記載のシステム。アクセスマネージャによりデータ要求および前記データ要求に関する応答メッセージを入手することであって、前記応答メッセージが前記データ要求に応答してデータストレージによって生成され、前記応答メッセージが前記データストレージによって保管されたデータアーティファクトへのアクセスの許可および拒否のうちの少なくとも一方を示すことと、前記データ要求に対して適用可能な少なくとも1つの所有者指定のアクセス規則および少なくとも1つの所有者指定のアクセス例外のうちの少なくとも一方の存在を識別することと、前記識別された少なくとも1つの所有者指定のアクセス規則および少なくとも1つの所有者指定のアクセス例外に基づいて前記データ要求に対するアクセス応答を決定することであって、前記アクセス応答が前記データ要求で要求された前記データアーティファクトへのアクセスの前記許可および前記拒否のうちの少なくとも一方を示し、所有者指定のアクセス規則が前記データアーティファクトへのアクセスを制限する少なくとも1つのパラメータ値を定義し、所有者指定のアクセス例外が前記データアーティファクトへのアクセスを許可する条件を定義し、前記データストレージおよび少なくとも1つの所有者指定のアクセス規則のうちの少なくとも一方によって前記アクセスが拒否されることと、前記決定されたアクセス応答を前記応答メッセージと比較することと、前記決定されたアクセス応答が前記応答メッセージと一致しない場合に、前記決定されたアクセス応答を表すために前記応答メッセージをオーバライドすることと、前記決定されたアクセス応答が前記応答メッセージと一致する場合に、前記データ要求の発信エンティティに前記応答メッセージを伝達することを含む、の方法。前記データ要求および応答メッセージを入手することが、前記データストレージによる前記データ要求の受信を検出することと、前記データストレージから前記データ要求のコピーを要求することをさらに含む、請求項8記載の方法。前記データ要求および応答メッセージを入手することが、前記データストレージによる前記応答メッセージの送信を検出することと、前記応答メッセージの前記送信をインターセプトすることをさらに含む、請求項8記載の方法。前記識別の結果、所有者指定のアクセス例外の前記存在が判明した場合、前記方法が、前記データ要求の前記発信エンティティから認証データを要求することと、前記認証データの受信次第、前記認証データを妥当性検査することと、前記認証データが有効と判断された場合に、前記所有者指定のアクセス例外を表すために前記応答メッセージを直ちにオーバライドすることをさらに含む、請求項8乃至10のいずれかに記載の方法。前記所有者指定のアクセス例外が、前記アクセスマネージャサービスによる使用のためにアクティブのままであるべきかどうかを査定することと、前記所有者指定のアクセス例外がアクティブのままであるべきではないと査定された場合に、前記所有者指定のアクセス例外を自動的に非活動化することであって、前記所有者指定のアクセス例外が前記アクセスマネージャサービスによる使用のために使用不能であることをさらに含む、請求項8乃至11のいずれかに記載の方法。前記認証データが無効と判断された場合に、前記データ要求の前記発信エンティティに前記無効認証データを通知することと、前記発信エンティティからの認証データの前記要求および妥当性検査を繰り返すことであって、有効認証データの受信、前記データ要求に関連する前記データストレージサービスによって作成されたセッションの終了、および定義済み時間制限の満了のうちの少なくとも1つまで前記データアーティファクトへのアクセスが拒否されることをさらに含む、請求項11に記載の方法。前記アクセス応答を決定することが、前記少なくとも1つの識別された所有者指定のアクセス規則を集約することと、所有者指定のアクセス規則の前記集約内の矛盾の存在を識別することであって、少なくとも2つの所有者指定のアクセス規則のパラメータ値が相互に排他的である場合に前記少なくとも2つの所有者指定のアクセス規則が矛盾していると見なされることと、前記矛盾が存在する場合に、矛盾しているものとして識別されたそれぞれの所有者指定のアクセス規則に関連する優先順位の値を使用して前記矛盾を解決することであって、最も高い優先順位の値を有する所有者指定のアクセス規則がより低い優先順位の値を有する所有者指定のアクセス規則より優先的に使用され、前記より低い優先順位の値を有する前記所有者指定のアクセス規則が所有者指定のアクセス規則の前記集約から除去されることと、所有者指定のアクセス規則の前記集約によって表されたパラメータ値に対応する前記データ要求からのデータ値を比較することと、前記データ値が前記パラメータ値を満足することを前記比較が示す場合に、前記データアーティファクトへのアクセスの前記拒否として前記アクセス応答を設定することと、前記パラメータが前記データ値によって満足されないことを前記比較が示す場合に、前記データアーティファクトへのアクセスの前記許可として前記アクセス応答を設定することをさらに含む、請求項8乃至13のいずれかに記載の方法。前記応答メッセージの前記オーバライドが、前記データ要求について前記データストレージによって作成されたセッションの少なくとも1つのパラメータに対する変更を遂行することであって、前記少なくとも1つのパラメータが前記セッションに許可されたアクセスを制御することと、前記決定されたアクセス応答を反映するように前記応答メッセージを変更することと、前記データ要求の前記発信エンティティに前記応答メッセージを伝達することをさらに含む、請求項8乃至14のいずれかに記載の方法。コンピュータプログラムであり、コンピュータにより実行されることにより、前記コンピュータに、データ要求および前記データ要求に関する応答メッセージを入手するように構成され、前記応答メッセージが前記データ要求に応答してデータストレージによって生成され、前記応答メッセージが前記データストレージによって保管されたデータアーティファクトへのアクセスの許可および拒否のうちの少なくとも一方を示すことと、前記データ要求に対して適用可能な少なくとも1つの所有者指定のアクセス規則および少なくとも1つの所有者指定のアクセス例外のうちの少なくとも一方の存在を識別することと、前記識別された少なくとも1つの所有者指定のアクセス規則および少なくとも1つの所有者指定のアクセス例外に基づいて前記データ要求に対するアクセス応答を決定するように構成され、前記アクセス応答が前記データ要求で要求された前記データアーティファクトへのアクセスの前記許可および前記拒否のうちの少なくとも一方を示し、所有者指定のアクセス規則が前記データアーティファクトへのアクセスを制限する少なくとも1つのパラメータ値を定義し、所有者指定のアクセス例外が前記データアーティファクトへのアクセスを許可する条件を定義し、前記データストレージおよび少なくとも1つの所有者指定のアクセス規則のうちの少なくとも一方によって前記アクセスが拒否されることと、前記決定されたアクセス応答を前記応答メッセージと比較することと、前記決定されたアクセス応答が前記応答メッセージと一致しない場合に、前記決定されたアクセス応答を表すために前記応答メッセージをオーバライドすることと、前記決定されたアクセス応答が前記応答メッセージと一致する場合に、前記データ要求の発信エンティティに前記応答メッセージを伝達することとを行わせる、コンピュータプログラム。前記識別の結果、所有者指定のアクセス例外の前記存在が判明した場合、前記方法が、前記データ要求の前記発信エンティティから認証データを要求することと、前記認証データの受信次第、前記認証データを妥当性検査することと、前記認証データが有効と判断された場合に、前記所有者指定のアクセス例外を表すために前記応答メッセージを直ちにオーバライドすることとをさらに実行させる、請求項16記載のコンピュータプログラム。前記認証データが無効と判断された場合に、前記データ要求の前記発信エンティティに前記無効認証データを通知することと、前記発信エンティティからの認証データの前記要求および妥当性検査を繰り返すように構成され、有効認証データの受信、前記データ要求に関連する前記データストレージサービスによって作成されたセッションの終了、および定義済み時間制限の満了のうちの少なくとも1つまで前記データアーティファクトへのアクセスが拒否されることとをさらに実行させる、請求項17記載のコンピュータプログラム。前記アクセス応答を決定することが、前記少なくとも1つの識別された所有者指定のアクセス規則を集約することと、所有者指定のアクセス規則の前記集約内の矛盾の存在を識別するように構成され、少なくとも2つの所有者指定のアクセス規則のパラメータが相互に排他的である場合に前記少なくとも2つの所有者指定のアクセス規則が矛盾していると見なされることと、前記矛盾が存在する場合に、矛盾しているものとして識別されたそれぞれの所有者指定のアクセス規則に関連する優先順位の値を使用して前記矛盾を解決するように構成され、最も高い優先順位の値を有する所有者指定のアクセス規則がより低い優先順位の値を有する所有者指定のアクセス規則より優先的に使用され、前記より低い優先順位の値を有する前記所有者指定のアクセス規則が所有者指定のアクセス規則の前記集約から除去されること、所有者指定のアクセス規則の前記集約によって表されたパラメータ値に対応する前記データ要求からのデータ値を比較することと、前記データ値が前記パラメータ値を満足することを前記比較が示す場合に、前記データアーティファクトへのアクセスの前記拒否として前記アクセス応答を設定することと、前記パラメータが前記データ値によって満足されないことを前記比較が示す場合に、前記データアーティファクトへのアクセスの前記許可として前記アクセス応答を設定することとをさらに含む、請求項16乃至18のいずれかに記載のコンピュータプログラム。データストレージによりデータ要求を受信することであって、前記データ要求が前記クラウドストレージによって保管されたデータアーティファクトへのアクセスを要求することと、前記データストレージにより前記データ要求に対する応答を決定することであって、前記決定が前記データアーティファクトへのアクセスを許可することおよびアクセスを拒否することのうちの少なくとも一方を示すことと、アクセスマネージャにより前記データストレージによる前記データ要求の受信を検出することと、前記アクセスマネージャにより、前記決定された応答の実行前に前記データストレージによる前記データ要求の処理に割り込むことと、前記アクセスマネージャにより、前記データ要求のコピーおよび前記データストレージの応答を入手することと、前記データアーティファクトについて定義された任意アクセス制御に関して、前記アクセスマネージャにより前記データ要求の前記コピーの内容を評価することであって、前記任意アクセス制御が前記データアーティファクトに関連するエンティティによって構成されることと、前記アクセスマネージャにより前記データ要求コピーの前記評価からの応答を決定することであって、前記決定が前記データアーティファクトへのアクセスを許可することおよびアクセスを拒否することのうちの少なくとも一方を示すことと、前記データストレージによって決定された前記応答を前記アクセスマネージャによって内部で決定された前記応答と比較することと、前記比較が前記データストレージと前記アクセスマネージャの前記応答間の不一致を示す場合に、前記アクセスマネージャにより前記データストレージの応答をオーバライドすることであって、前記アクセスマネージャによって決定された前記応答が前記データストレージによって決定された前記応答より優先されることと、前記比較が前記データストレージと前記アクセスマネージャの前記応答間の一致を示す場合に、前記アクセスマネージャにより前記データストレージによる前記データ要求の処理に対する前記割り込みをリリースすることであって、前記データストレージが前記データ要求の履行を完了できるようになることを含む、方法。前記データストレージによる前記データ要求の処理に対する割り込みが、前記アクセスマネージャにより、前記データストレージから前記データ要求の発信エンティティへの前記応答の送信を検出することと、前記アクセスマネージャにより前記送信をインターセプトすることをさらに含む、請求項20記載の方法。前記データ要求コピーの前記内容を評価することが、前記アクセスマネージャにより前記データ要求に対して適用可能な少なくとも1つの所有者指定のアクセス例外の存在を識別することであって、所有者指定のアクセス例外が前記任意アクセス制御によって使用され、前記所有者指定のアクセス例外が、そうでなければ前記データストレージおよび前記任意アクセス制御のうちの少なくとも一方によって拒否される前記データアーティファクトへのアクセスを許可する条件を定義することと、前記少なくとも1つの適用可能な所有者指定のアクセス例外が存在する場合に、前記アクセスマネージャにより前記データ要求コピーの前記発信エンティティから認証データを要求することと、前記認証データの受信次第、前記アクセスマネージャにより前記認証データを妥当性検査することと、前記認証データが有効と判断された場合に、前記アクセスマネージャにより前記データストレージの応答を直ちにオーバライドすることであって、前記アクセスマネージャによって決定された前記応答が前記データストレージによって決定された前記応答より優先されることをさらに含む、請求項20又は21に記載の方法。前記少なくとも1つの所有者指定のアクセス例外が存在しない場合に、前記方法が、前記アクセスマネージャにより前記データ要求コピーに対して適用可能な少なくとも1つの所有者指定のアクセス規則の存在を識別することであって、所有者指定のアクセス規則が前記任意アクセス制御によって使用され、前記所有者指定のアクセス規則が前記データアーティファクトへのアクセスを制限する少なくとも1つのパラメータ値を定義することと、前記少なくとも1つの適用可能な所有者指定のアクセス規則が存在する場合に、前記アクセスマネージャにより前記少なくとも1つの適用可能な所有者指定のアクセス規則を集約することと、前記アクセスマネージャにより適用可能な所有者指定のアクセス規則の前記集約内の矛盾の存在を識別することであって、少なくとも2つの適用可能な所有者指定のアクセス規則のパラメータ値が相互に排他的である場合に前記少なくとも2つの所有者指定のアクセス規則が矛盾していると見なされることと、前記矛盾が存在する場合に、前記アクセスマネージャにより矛盾しているものとして識別されたそれぞれの所有者指定のアクセス規則に関連する優先順位の値を使用して前記矛盾を解決することであって、最も高い優先順位の値を有する前記所有者指定のアクセス規則がより低い優先順位の値を有する所有者指定のアクセス規則より優先的に使用され、前記より低い優先順位の値を有する前記所有者指定のアクセス規則が適用可能な所有者指定のアクセス規則の前記集約から除去されることと、前記アクセスマネージャにより適用可能な所有者指定のアクセス規則の前記集約によって表されたパラメータ値に対応する前記データ要求からのデータ値を比較することであって、前記データ値が前記パラメータ値を満足することが前記データアーティファクトへのアクセスの拒否を示すことをさらに含む、請求項22記載の方法。前記データストレージの応答をオーバライドすることが、前記アクセスマネージャにより、前記データ要求について前記データストレージサービスによって作成されたセッションの少なくとも1つのパラメータに対する変更を遂行することであって、前記少なくとも1つのパラメータが前記セッションに許可されたアクセスを制御することと、前記アクセスマネージャにより、前記データストレージによる前記データ要求の処理を再開することであって、前記データストレージによる前記データ要求の処理が前記セッションの前記少なくとも1つのパラメータに対する前記変更を反映することをさらに含む、請求項20乃至23のいずれかに記載の方法。コンピュータプログラムであり、コンピュータにより実行されることにより、前記コンピュータに、クラウドストレージシステムのデータストレージによりデータ要求を受信するように構成され、前記データ要求が前記クラウドストレージシステムによって保管されたデータアーティファクトへのアクセスを要求することと、前記データストレージにより前記データ要求に対する応答を決定するように構成され、前記決定が前記データアーティファクトへのアクセスを許可することおよびアクセスを拒否することのうちの少なくとも一方を示すことと、アクセスマネージャにより前記データストレージによる前記データ要求の受信を検出することと、前記アクセスマネージャにより、前記決定された応答の実行前に前記データストレージによる前記データ要求の処理に割り込むことと、前記アクセスマネージャにより、前記データ要求のコピーおよび前記データストレージの応答を入手することと、前記データアーティファクトについて定義された任意アクセス制御に関して、前記アクセスマネージャにより前記データ要求の前記コピーの内容を評価するように構成され、前記任意アクセス制御が前記データアーティファクトに関連するエンティティによって構成されることと、前記アクセスマネージャにより前記データ要求コピーの前記評価からの応答を決定するように構成され、前記決定が前記データアーティファクトへのアクセスを許可することおよびアクセスを拒否することのうちの少なくとも一方を示すことと、前記データストレージによって決定された前記応答を前記アクセスマネージャによって内部で決定された前記応答と比較することと、前記比較が前記データストレージと前記アクセスマネージャの前記応答間の不一致を示す場合に、前記アクセスマネージャにより前記データストレージの応答をオーバライドするように構成され、前記アクセスマネージャによって決定された前記応答が前記データストレージによって決定された前記応答より優先されることと、前記比較が前記データストレージと前記アクセスマネージャの前記応答間の一致を示す場合に、前記アクセスマネージャにより前記データストレージによる前記データ要求の処理に対する前記割り込みをリリースするように構成され、前記データストレージが前記データ要求の履行を完了できることを行わせる、コンピュータプログラム。クラウドコンピューティング環境における任意データアクセス制御の有効化を提供する。本発明の一態様は、クラウドコンピューティング環境において任意データアクセス制御discretionarydataaccesscontrolを有効化するための方法を含むことができる。このような方法は、クラウドコンピューティング環境で動作するアクセスマネージャサービスによりデータ要求およびデータ要求に関する応答メッセージを入手することから始めることができる。応答メッセージは、データ要求に応答してクラウドコンピューティング環境のデータストレージサービスによって生成することができる。応答メッセージは、データストレージサービスによって保管されたデータアーティファクトdataartifactへのアクセスの許可または拒否を示すことができる。データ要求に対して適用可能な所有者指定のアクセス規則あるいは所有者指定のアクセス例外またはその両方を識別することができる。データ要求に対するアクセス応答は、適用可能な所有者指定のアクセス規則あるいは所有者指定のアクセス例外またはその両方に基づいて決定することができる。アクセス応答は、要求されたデータアーティファクトへのアクセスの許可または拒否を示すことができる。所有者指定のアクセス規則は、データアーティファクトへのアクセスを制限するパラメータ値を定義することができる。所有者指定のアクセス例外は、そうでなければ拒否されるはずのデータアーティファクトへのアクセスを許可する条件を定義することができる。次に、決定されたアクセス応答は応答メッセージと比較することができる。決定されたアクセス応答が応答メッセージと一致しない場合、応答メッセージは、決定されたアクセス応答を表すためにオーバライドすることができる。決定されたアクセス応答が応答メッセージと一致する場合、応答メッセージはデータ要求の発信エンティティに伝達することができる。本発明の他の態様は、クラウドストレージサービスに関する任意データアクセス制御を有効化するシステムを含むことができる。このようなシステムは、電子データファイルを表すデータアーティファクト、クラウドコンピューティング環境、データストレージクラウドサービス、およびアクセスマネージャクラウドサービスを含むことができる。クラウドコンピューティング環境は、クラウドコンピューティングモデルに応じて動作するように構成されたクラウドサービスプロバイダを含むことができる。データストレージクラウドサービスは、クラウドコンピューティング環境内のデータアーティファクトの保管およびアクセスを管理するように構成することができる。アクセスマネージャクラウドサービスは、データストレージクラウドサービスによって管理されるデータアーティファクトに関する任意アクセス制御を提供するように構成することができる。任意アクセス制御は、データストレージクラウドサービスによって実行されるアクセス制御操作に加えて実行することができる。任意アクセス制御は、データストレージクラウドサービスによって行われたアクセス許可およびアクセス拒否を撤回することができる。本発明のさらに他の態様は、埋め込まれたコンピュータ使用可能プログラムコードを有するコンピュータプログラムcomputerprogramproduct及びそれを記憶するコンピュータ可読媒体を含むことができる。このコンピュータ使用可能プログラムコードは、データ要求およびデータ要求に関する応答メッセージを入手するように構成することができる。応答メッセージは、データ要求に応答してクラウドコンピューティング環境で動作するデータストレージサービスによって生成することができる。応答メッセージは、データストレージサービスによって保管されたデータアーティファクトへのアクセスの許可または拒否を示すことができる。コンピュータ使用可能プログラムコードは、データ要求に対して適用可能な所有者指定のアクセス規則あるいは所有者指定のアクセス例外またはその両方を識別するように構成することができる。次に、コンピュータ使用可能プログラムコードは、識別された所有者指定のアクセス規則あるいは所有者指定のアクセス例外またはその両方に基づいてデータ要求に対するアクセス応答を決定するように構成することができる。アクセス応答は、要求されたデータアーティファクトへのアクセスの許可または拒否を示すことができる。所有者指定のアクセス規則は、データアーティファクトへのアクセスを制限するパラメータ値を定義することができる。所有者指定のアクセス例外は、そうでなければ拒否されるはずのデータアーティファクトへのアクセスを許可する条件を定義することができる。コンピュータ使用可能プログラムコードは、決定されたアクセス応答を応答メッセージと比較するように構成することができる。決定されたアクセス応答が応答メッセージと一致しない場合、コンピュータ使用可能プログラムコードは、決定されたアクセス応答を表すために応答メッセージをオーバライドするように構成することができる。コンピュータ使用可能プログラムコードは、決定されたアクセス応答が応答メッセージと一致する場合、データ要求の発信エンティティに応答メッセージを伝達するように構成することができる。本発明のさらに他の態様は、クラウドストレージシステムにおいて任意データアクセス制御を有効化するための方法を含むことができる。このような方法は、クラウドストレージシステムのデータストレージクラウドサービスがクラウドコンピューティング環境内のクラウドストレージシステムによって保管されたデータアーティファクトへのアクセスに関するデータ要求を受信したときに始めることができる。データ要求に対する応答はデータストレージクラウドサービスによって決定することができ、データアーティファクトへのアクセスの許可または拒否を示す。アクセスマネージャクラウドサービスは、データストレージクラウドサービスによるデータ要求の受信を検出することができる。次にアクセスマネージャクラウドサービスは、決定された応答の実行前にデータストレージクラウドサービスによるデータ要求の処理に割り込むことができる。データ要求のコピーおよびデータストレージクラウドサービスの応答はアクセスマネージャクラウドサービスによって入手することができる。アクセスマネージャクラウドサービスは、データアーティファクトについて定義された任意アクセス制御に関して、データ要求コピーの内容を評価することができる。任意アクセス制御は、データアーティファクトに関連するエンティティによって構成することができる。データ要求コピーの内容の前記評価からの応答はアクセスマネージャクラウドサービスによって決定することができ、データアーティファクトへのアクセスの許可または拒否を示す。次にアクセスマネージャクラウドサービスは、データストレージクラウドサービスによって決定された応答を内部で決定された応答と比較することができる。この比較がデータストレージクラウドサービスとアクセスマネージャクラウドサービスの応答間の不一致を示す場合、アクセスマネージャクラウドサービスはデータストレージクラウドサービスの応答をオーバライドすることができる。この比較がデータストレージクラウドサービスとアクセスマネージャクラウドサービスの応答間の一致を示す場合、アクセスマネージャクラウドサービスは、データストレージクラウドサービスによるデータ要求の処理に対する割り込みをリリースして、データストレージクラウドサービスがデータ要求の履行を完了できるようにすることができる。データセキュリティは常にデータの保管およびデータ伝送に関する関心事であるが、他のユーザあるいは組織またはその両方による保管データへのアクセスまたは保管データの可視性の制御はデータ所有者すなわち、オーサリングユーザauthoringuser、組織に限られている場合が多い。クラウドサービスは典型的に広範囲のユーザタイプおよび必要性に対応するように設計されているので、クラウドサービスの特徴あるいは機能またはその両方は本質的に基本的または一般的なものである場合が多い。このため、クラウドストレージサービスで使用可能なアクセス制御のタイプすなわち、アクセス制御リスト、ユーザグループ、役割ベースのアクセスなどは、多くの組織が慣れているエンタープライズレベルのデータ管理システムに比べて、比較的簡単すぎるものである。クラウドストレージサービスを使用するすべての組織は同じアクセス制御に限定される。役割ベースのアクセス制御手法は大きい組織には役に立つ可能性があるが、小さい組織には過剰に複雑になる可能性がある。同様に、中小組織に適しているユーザグループベースの手法は大企業には役に立たない可能性がある。さらに、クラウドストレージサービスによって保管された組織のデータはサービスプロバイダの可視性あるいはアクセスまたはその両方の規則の対象になる。クラウドストレージサービスプロバイダがその可視性/アクセス規則を変更した場合、組織のデータへのアクセスが損なわれる可能性がある。本発明は、クラウドコンピューティング環境内のデータストレージクラウドサービスによって処理されたデータアーティファクトに関する任意データアクセス制御を有効化するための解決策を開示するものである。データストレージクラウドサービスは、データアーティファクトの保管およびアクセスを管理することができる。アクセスマネージャクラウドサービスは、データストレージクラウドサービスによって決定されたデータアーティファクトへのアクセスの許可または拒否を動的に調整するために1組の任意アクセス制御を適用することができる。任意アクセス制御は、所有者指定のアクセス規則および所有者指定のアクセス例外によって表すことができる。所有者指定のアクセス規則は、データアーティファクトへのアクセスを制限するパラメータ値を定義することができる。所有者指定のアクセス例外は、そうでなければ拒否されるはずのデータアーティファクトへのアクセスを許可する条件を定義することができる。当業者であれば認識するように、本発明の諸態様は、システム、方法、またはコンピュータプログラムとして実施することができる。したがって、本発明の諸態様は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態ファームウェア、常駐ソフトウェア、マイクロコードなどを含む、またはソフトウェア態様とハードウェア態様を結合した一実施形態を採ることができ、このような実施形態は一般に本明細書ではいずれも回路、モジュール、またはシステムと呼ぶことがある。さらに、本発明の諸態様は、コンピュータ可読プログラムコードがそこに実現されているコンピュータプログラム又はそれが記憶されるコンピュータ可読媒体の態様を採ることもできる。1つまたは複数のコンピュータ可読媒体の任意の組み合わせを使用することができる。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体にすることができる。コンピュータ可読記憶媒体は、たとえば、電子、磁気、光、電磁、赤外線、または半導体システム、装置、あるいはデバイス、もしくはこれらの任意の適切な組み合わせにすることができるが、これらに限定されないものである。コンピュータ可読記憶媒体のより具体的な例非網羅的リストとしては、1つまたは複数のワイヤを有する電気接続、ポータブルコンピュータディスケット、ハードディスク、ランダムアクセスメモリRAM、読み取り専用メモリROM、消去可能プログラム可能読み取り専用メモリEPROMまたはフラッシュメモリ、光ファイバ、ポータブルコンパクトディスク読み取り専用メモリCD-ROM、光記憶装置、磁気記憶装置、またはこれらの任意の適切な組み合わせを含むであろう。本書に関連して、コンピュータ可読記憶媒体は、命令実行システム、装置、またはデバイスによりあるいはそれに関連して使用するためのプログラムを収容または保管可能な任意の有形媒体にすることができる。コンピュータ可読信号媒体は、たとえば、ベースバンド内にまたは搬送波の一部として、コンピュータ可読プログラムコードがそこに実施されている伝搬データ信号を含むことができる。このような伝搬信号は、電磁、光、またはこれらの任意の適切な組み合わせを含むがこれらに限定されない様々な形のいずれかを取ることができる。コンピュータ可読信号媒体は、コンピュータ可読記憶媒体ではなく、命令実行システム、装置、またはデバイスによりあるいはそれに関連して使用するためのプログラムを伝達、伝搬、または移送可能な任意のコンピュータ可読媒体にすることができる。コンピュータ可読媒体上に実施されたプログラムコードは、無線、有線、光ファイバケーブル、RFなど、またはこれらの任意の適切な組み合わせを含むがこれらに限定されない任意の適切な媒体を使用して伝送することができる。本発明の諸態様に関する動作を実行するためのコンピュータプログラムコードは、JavaR、SmalltalkR、Cなどのオブジェクト指向プログラミング言語ならびにCプログラミング言語または同様のプログラミング言語などの従来の手続き型プログラミング言語を含む、1つまたは複数のプログラミング言語の任意の組み合わせで作成することができる。このプログラムコードは、スタンドアロンソフトウェアパッケージとして、完全にユーザのコンピュータ上で、一部分はユーザのコンピュータ上で、一部分はユーザのコンピュータ上でしかも一部分はリモートコンピュータ上で、あるいは完全にリモートコンピュータまたはサーバ上で実行することができる。後者のシナリオでは、リモートコンピュータは、ローカルエリアネットワークLANまたは広域ネットワークWANを含む任意のタイプのネットワークを介してユーザのコンピュータに接続される場合もあれば、たとえば、インターネットサービスプロバイダを使用してインターネットを介して外部コンピュータに対して接続が行われる場合もある。本発明の諸実施形態による方法、装置システム、およびコンピュータプログラムの流れ図あるいはブロック図またはその両方に関連して、本発明の諸態様について以下に説明する。流れ図あるいはブロック図またはその両方の各ブロックならびに流れ図あるいはブロック図またはその両方の複数ブロックの組み合わせは、コンピュータプログラム命令によって実装可能であることが理解されるであろう。これらのコンピュータプログラム命令は、マシンを生産するために汎用コンピュータ、特殊目的コンピュータ、またはその他のプログラマブルデータ処理装置のプロセッサに提供することができ、それにより、コンピュータまたはその他のプログラマブルデータ処理装置のプロセッサを介して実行される命令は流れ図あるいはブロック図またはその両方の1つまたは複数のブロックに指定された機能/動作を実装するための手段を作成することになる。また、これらのコンピュータプログラム命令は、コンピュータ、その他のプログラマブルデータ処理装置、またはその他のデバイスに対して特定の方法で機能するよう指示することができるコンピュータ可読媒体に保管することもでき、それにより、コンピュータ可読媒体に保管された命令は流れ図あるいはブロック図またはその両方の1つまたは複数のブロックに指定された機能/動作を実装する命令を含む装置articleofmanufactureを生産することになる。また、これらのコンピュータプログラム命令は、コンピュータ、その他のプログラマブルデータ処理装置、またはその他のデバイス上にロードして、コンピュータによって実装されるプロセスを生成するためにコンピュータ、その他のプログラマブル装置、またはその他のデバイス上で一連の動作ステップを実行させることができ、それにより、コンピュータまたはその他のプログラマブル装置上で実行される命令は流れ図あるいはブロック図またはその両方の1つまたは複数のブロックに指定された機能/動作を実装するためのプロセスを提供することになる。図1は、本明細書に開示されている本発明の配置の諸実施形態によりクラウドコンピューティング環境110内のデータストレージサービス115を使用するためにそれに対するアクセスが提供されるデータアーティファクト145に関するきめ細かい任意アクセス制御130の有効化を描写する概念プロセスフロー100である。プロセスフロー100では、データコンシューマ105は、クラウドコンピューティング環境110内で動作しているデータストレージサービス115に対してデータアーティファクト145に関するデータ要求107を送信することができる。データコンシューマ105は、指定のデータアーティファクト145へのアクセスを要求するヒューマンユーザあるいはコンピューティングエンティティまたはその両方に相当する可能性がある。データアーティファクト145は、電子フォーマットすなわち、テキストファイル、イメージファイル、オーディオファイル、マルチメディアファイルなどで保管された様々なデータを表すことができる。データ要求107は、要求側データコンシューマ105およびアクセスすべきデータアーティファクト145を識別する電子メッセージにすることができる。また、データ要求107は、メッセージフォーマットあるいはデータストレージサービス115またはその両方に応じて、要求側データコンシューマ105のインターネットプロトコルIPアドレス、データコンシューマ105によって実行されるアクション、データ要求107のタイムスタンプなどの様々なその他のメッセージング情報も含むことができる。クラウドコンピューティング環境110は、クラウドコンピューティングモデルにより構成されたハードウェア/ソフトウェアコンピューティング環境を表すことができる。クラウドコンピューティング環境110は、リポジトリ125のような構成可能なコンピューティングリソースの共用プールへのオンデマンドアクセスを有効化することができる。クラウドコンピューティング環境110は、プライベートクラウドprivatecloudすなわち、唯一の組織によって所有される、コミュニティクラウドcommunitycloudすなわち、複数の共感組織によって共用される、パブリッククラウドpubliccloudすなわち、公衆または大きいグループにとって使用可能である、またはハイブリッドクラウドhybridcloudすなわち、複数のクラウドタイプからなる構成として実現することができる。データストレージサービス115は、その関連クラウドリポジトリ125内のデータアーティファクト145の保管およびアクセスを管理するために特に構成されたクラウドサービスを表すことができる。データストレージサービス115およびリポジトリ125は、一般にクラウドストレージシステムまたはクラウドストレージサービスと呼ばれるものを表すことができる。データアーティファクト145の単純な保管に加えて、データストレージサービス115は、ファイル共用、バージョン管理、およびオンラインコラボレーションのような様々なデータ管理機能も含むことができる。データストレージサービス115は、データ要求107を許可するかまたは拒否するかを決定することができる。しかし、典型的なデータストレージサービス115の実装例とは異なり、アクセスマネージャサービス120は、データストレージサービス115によるデータアーティファクト145の提供に割り込み、本明細書で任意アクセス制御130と呼ぶきめ細かい任意アクセス制御130に基づいてデータアーティファクト145の提供が許可されているかどうかをチェックすることができる。アクセスマネージャサービス120は、データストレージサービス115によって提供されたデータアーティファクト145に対する任意アクセス制御130の実行を有効化する独立メカニズムとして動作するように構成されたクラウドサービスを表すことができる。すなわち、アクセスマネージャサービス120は、任意アクセス制御130に定義されたパラメータに基づいて、データストレージサービス115によるデータコンシューマ105へのデータアーティファクト145の提供を調整することができる。たとえば、任意アクセス制御130は、データストレージサービス115が一般には任意のユーザ群105にデータアーティファクト145を提供する場合でも、特定のデータアーティファクト145へのアクセスを3人のユーザ105のみに制限するために使用することができる。任意アクセス制御130は、データアーティファクト145のデータ所有者150の裁量でデータアーティファクト145へのアクセスを許可するかあるいは拒否するかまたはその両方を行うように設定することができる構成可能パラメータを表すことができる。データ所有者150は、データアーティファクト145のオーサリングユーザまたは組織あるいはオーサリングユーザ/組織に代わって動作するための許可を有するユーザを表すことができる。たとえば、オーサリング組織のデータ管理者は、データアーティファクト145のオーサリングユーザではないにもかかわらず、すべてのデータアーティファクト145に関する任意アクセス制御130を管理するための仕事が与えられる可能性がある。任意アクセス制御130は所有者指定のアクセス規則135と所有者指定のアクセス例外140とを含むことができる。本明細書でアクセス規則135と呼ばれる所有者指定のアクセス規則135は、データアーティファクト145へのアクセスを制限する条件を表すことができる。本明細書でアクセス例外140と呼ばれる所有者指定のアクセス例外140は、アクセス規則135に対する許可例外を表すことができる。アクセス規則135は標準ポリシーとしての意味を持つ可能性があるが、アクセス例外140は標準ポリシーとは反対に臨時あるいは一時的またはその両方の許可を表すことができる。アクセス規則135およびアクセス例外140の両方に関するパラメータは、データ要求107内に含まれるデータフィールド、データアーティファクト145について定義されたメタデータ、あるいはデータストレージサービス115によって使用されるデータ要素たとえば、ユーザ名、ユーザ役割、アクセスレベルなど、またはこれらの組み合わせを使用することができる。データ要求107を許可/拒否しなければならないかどうかをアクセスマネージャサービス120が確認すると、アクセスマネージャサービス120は、データストレージサービス115によるデータアーティファクト145の提供をオーバライドまたは続行しなければならないかどうかを判断することができる。この判断に応じて、アクセスマネージャサービス120は、適切なアクセス応答147すなわち、アクセス許可/拒否をデータコンシューマ105に送信することができる。従来の手法と任意アクセス制御130によって提供されるものとの違いを例示するために、典型的に内部ユーザ105に制限されているデータアーティファクト145を表示するためのワンタイムアクセスを要求する外部エンティティ105の例を使用する。従来のクラウドデータストレージサービス115を使用すると、データストレージサービス115の使用可能なアクセス制御メカニズムを使用して、データアーティファクト145に関する適切なアクセスレベルを外部エンティティ105に割り当てるすなわち、適切な役割を外部エンティティ105に割り当てることができる。しかし、このようにすると、そのアクセスレベルにとって使用可能なすべてのデータアーティファクト145への無制限のアクセス権を外部エンティティ105に提供することになり、その他の機密の内部データアーティファクト145がそのアクセスレベルを共用する場合には望ましくない状況になる。その代わりに、特定のデータアーティファクト145のみにアクセスできるデータストレージサービス115のアクセス制御メカニズムを使用する新しい役割/グループを定義しようと試みることができるであろう。より良いオプションであるが、最も可能性のあるアクセス制御メカニズムは、幅広い観点から定義され、外部エンティティ105がデータアーティファクト145に対して実行できるアクションのタイプに対する制限をサポートしない。したがって、この手法は、外部エンティティ105によるアクセスを特定のデータアーティファクト145に限定するが、外部エンティティ105がそのデータアーティファクト145を表示できるだけになることを保証することはできない。これらのオプションのいずれでも、データ所有者150は、アクセスセッションが完全であると判断されると、データストレージサービス115のアクセス制御メカニズムによる外部エンティティ105に関するアクセスを除去または非活動化することを忘れないようにしなければならない。このタイプの状況を処理するためのもう1つの一般的な手段は、データアーティファクト145のコピーを外部エンティティ150に電子的に提供することすなわち、電子メール、ファイル転送にすることができる。この事例では、データ所有者150はデータアーティファクト145に対する制御を放棄し、外部エンティティ105は制限なしにデータアーティファクト145を配布するかあるいは変更するかまたはその両方を行うことができる。外部エンティティ105がデータアーティファクト145の取り扱いを誤る場合には、このオプションは組織にとって有害なものになる可能性がある。代わって、UNIXTheOpenGroupの商標またはUNIX系のオペレーティングシステムの固有のファイルセキュリティの特徴をデータストレージサービス115に使用することができる。UNIXまたはUNIX系のオペレーティングシステムは、ファイル所有者、その所有者が属すグループ、およびその他のすべてのユーザに関する読み取り/書き込み/実行許可を定義する保護ビットを保管されたデータアーティファクト145に関連付けることができる。この特徴は外部エンティティ105がデータアーティファクト145に関して実行できるアクションを可能にすると思われるが、このオプションはその他のアクセス関連問題を引き起こす可能性がある。第一に、ほとんどの組織はINTELベースのオペレーティングシステムを使用し、これにより、異なるオペレーティングシステムでデータアーティファクト145を保管しようと試みる場合に相互運用性の問題を引き起こす可能性がある。第二に、保護ビットを変更して許可を変更することは、実際の作成者データアーティファクト145を作成したユーザまたはシステム管理者しか実行することができない。これがクラウドベースのデータストレージサービス115である場合、データ所有者150には、オペレーティングシステムベースのコマンドを実行する能力がまったく与えられない可能性がある。これらの問題が克服された場合でも、この手法は他にもパフォーマンス関連の短所がある可能性がある。保護ビットは、データコンシューマ105あるいはデータ所有者150またはその両方が複数のグループのメンバになり得るアクセス制御メカニズムをサポートするために使用することができない。さらに、データコンシューマ105が属すグループは、グループ許可が割り当てられるはずのデータ所有者150のグループとは異なることはできない。許可変更を行うためにシステム管理者以外のプロキシを使用することはできない。最後に、保護ビットが変更されると、その変更は、分け隔てなくそのグループのすべてのメンバのアクセスに影響する可能性がある。アクセスマネージャサービス120を使用すると、このデータアーティファクト145あるいはその他のデータアーティファクト145またはその両方に関する標準アクセスポリシーであるので、内部ユーザに対するデータアーティファクト145の制限はアクセス規則135として表すことができる。外部エンティティ105によりデータアーティファクト145にアクセスする必要性は、アクセス例外140として定義することができる。アクセス例外140は、外部エンティティ105のIDに固有のものになるように作成し、許容アクションを表示のみに限定し、単一アクセスセッションのみを許可することができる。さらに、この手法では、データアーティファクト145はリポジトリ125内に安全に保管されたままになる可能性があり、外部エンティティ105はローカルコピーを保管することができない。アクセス規則135によって表されたデータアーティファクト145に関する標準アクセスポリシーはそのまま残る可能性がある。アクセスマネージャサービス120がアクセス例外140を実行すると、外部エンティティ105によるデータアーティファクト145の追加アクセスを防止するためにアクセス例外140を非活動化することができる。この手法では、クラウドコンピューティング環境110内に以下の機能を提供することができる。リポジトリ125がどの国に常駐するかにかかわらず、組織の操業国のデータアクセス規制/制限に基づく組織固有の拒否パーティリストDeniedPartyListsデータストレージサービス115が損なわれた状態になるかまたはその内部アクセス/可視性規則を変更する場合にデータ漏洩の最小化クラウドデータストレージサービス115が組織のイントラネットを処理する能力クラウドコンピューティング環境110は、搬送波内でエンコードされたデータを伝達するために必要な任意のハードウェア/ソフトウェア/ファームウェアを含むことができる。データは、アナログまたはデジタル信号内に含め、データまたは音声チャネルを介して伝達することができる。クラウドコンピューティング環境110は、コンピューティングデバイスのコンポーネント間ならびに統合デバイスのコンポーネントと周辺装置との間で交換すべき通信に必要なローカルコンポーネントおよびデータパスを含むことができる。また、クラウドコンピューティング環境110は、まとめてインターネットなどのデータネットワークを形成する、ルータ、データ回線、ハブ、および中間サーバなどのネットワーク装置も含むことができる。クラウドコンピューティング環境110は、電話交換機、モデム、セルラー通信タワーなど、回線ベースの通信コンポーネントおよび移動通信コンポーネントも含むことができる。クラウドコンピューティング環境110は、回線ベースあるいはワイヤレスまたはその両方の通信パスを含むことができる。本明細書で使用するように、提示されたリポジトリ125は、デジタル情報を保管するように構成された物理または仮想記憶空間にすることができる。リポジトリ125は、磁気ディスク、光ディスク、半導体メモリ、デジタルでエンコードされたプラスチックメモリ、ホログラムメモリ、または任意のその他の記録媒体を含むがこれらに限定されない任意のタイプのハードウェア内に物理的に実装することができる。リポジトリ125は、独立型ストレージユニットならびに複数の物理装置から形成されたストレージユニットにすることができる。さらに、情報はリポジトリ125内に様々な方法で保管することができる。たとえば、情報は、データベース構造内に保管するかあるいはファイルストレージシステムの1つまたは複数のファイル内に保管することができ、その場合、各ファイルには情報検索のためにインデックスが付けられる場合もあれば、付けられない場合もある。さらに、リポジトリ125は、保管情報を無許可アクセスから保護するために1つまたは複数の暗号化メカニズムを使用することができる。図2は、本明細書に開示されている本発明の配置の諸実施形態によりクラウドコンピューティング環境205内で動作するデータストレージサービス225のためにきめ細かい任意アクセス制御を提供するシステム200を示す概略図である。システム200は、プロセスフロー100のコンテキスト内で使用することができる。システム200では、データアーティファクト215は、クラウドコンピューティング環境205のリポジトリ210内にデータストレージサービス225によって保管することができる。データアーティファクト215のデータ所有者280は、アクセスマネージャサービス245の、本明細書でアクセス規則255と呼ばれる所有者指定のアクセス規則255あるいは本明細書でアクセス例外260と呼ばれる所有者指定のアクセス例外260またはその両方を使用して、データアーティファクト215へのアクセスを得ようとしているデータコンシューマ265に関する任意アクセス制御を定義することができる。データ所有者280は、データアーティファクト215のオーサリングユーザまたは発信組織あるいはオーサリングユーザ/組織に代わって動作するための許可を有するユーザを表すことができる。データコンシューマ265は、指定のデータアーティファクト215へのアクセスを要求するヒューマンユーザあるいはコンピューティングエンティティすなわち、他のクラウドサービスまたはその両方に相当する可能性がある。データアーティファクト215は、電子フォーマットすなわち、テキストファイル、イメージファイル、オーディオファイル、マルチメディアファイルなどで保管された様々なデータを表すことができる。クラウドコンピューティング環境205は、クラウドコンピューティングモデルを実装するハードウェア/ソフトウェアコンポーネントの構成を表すことができる。一般に、クラウドコンピューティング環境205は、サーバ、データストア、およびソフトウェアアプリケーションなど、インターネットによるクラウドサービスの提供をサポートするハードウェア/ソフトウェアコンポーネントを含むことができる。この例では、クラウドコンピューティング環境205は、データアーティファクト215の保管用のリポジトリ210と、データストレージサービス225用のサービスプロバイダ220と、アクセスマネージャサービス245用のサービスプロバイダ240とを含むことができる。本発明のこの実施形態の精神を逸脱せずに、追加のリポジトリ210あるいはサービスプロバイダ220/240またはその両方ならびにサービスプロバイダ220/240によって提供されるその他のクラウドサービスをクラウドコンピューティング環境205内に含めることができることに留意されたい。また、クラウドコンピューティング環境205はインターネットベースであるので、システム200の様々なコンポーネント間の通信に必要な任意のコンピュータネットワークたとえば、公衆網、私設網、WAN、LANなどはクラウドコンピューティング環境205の一部として含めることができ、個別のエンティティとして例示されていないことに留意することも重要である。サービスプロバイダ220および240は、それぞれのサービス225および245の動作をサポートするために必要なハードウェアあるいはソフトウェアまたはその両方のコンポーネントを表すことができる。他の企図された実施形態では、データストレージサービス225およびアクセスマネージャサービス245は同じサービスプロバイダ220または240によって提供することができる。システム200では、各サービスプロバイダ220および240は、それぞれ、個別のデータストア230および250を有するものとして示すことができる。データストア230および250の使用は、各クラウドサービス225および255に固有のデータ要素の論理的分離を例示するためのものであって、必要な実装例の表現として意図されているわけではないことに留意されたい。システム200の実装例では、データストア230あるいは250またはその両方の内容をリポジトリ210あるいは対応するサービスプロバイダ220または240によってアクセス可能な他のこのようなリポジトリ210またはその両方に保管することができる。すなわち、データストア230および250の内容は、クラウドコンピューティング環境205内に含まれるリポジトリ210のうち、サービスプロバイダ220または240によってアクセス可能なものに保管することができる。データストレージサービス225は、クラウドリポジトリ210内のデータアーティファクト215の保管およびアクセスを管理するように構成されたクラウドサービスを表すことができる。データアーティファクト215の保管に加えて、データストレージサービス225は、ファイル共用、バージョン管理、およびオンラインコラボレーションのような様々なデータ管理機能も含むことができる。データストレージサービス225は、データストレージサービス225に固有の1組のデータ処理規則235に基づいて、データアーティファクト215へのアクセスを許可するかまたは拒否するかを決定することができる。データ処理規則235は、サービスプロバイダ220、リポジトリ210、データ所有者280、あるいはデータコンシューマ265、またはこれらの組み合わせの位置に適用可能な行政機関または組織によって課せられたデータアクセス要件あるいは規制またはその両方を表すことができる。たとえば、米国内をベースとする医療データ用のデータストレージサービス225は、データストレージサービス225によって処理されるデータアーティファクト215が医療保険の相互運用性と説明責任に関する法律HIPAA:HealthInsurancePortabilityandAccountabilityActを遵守していることを保証するデータ処理規則235を有する可能性がある。アクセスマネージャサービス245は、データ所有者280の裁量でデータストレージサービス225によって提供されたデータアーティファクト215に対して、さらにアクセス規則255によりアクセスを制御するかまたはアクセス例外260により分配を許可することができる独立メカニズムとして動作するように構成されたクラウドサービスを表すことができる。したがって、アクセスマネージャサービス245は、アクセス規則255あるいはアクセス例外260またはその両方の対象になるデータアーティファクト215へのアクセスを可能にするときにデータストレージサービス225の決定をオーバライドすることができる。前述の通り、アクセス規則255は標準ポリシーの表現としての意味を持つ可能性があるが、アクセス例外260はデータストレージサービス225のデータ処理規則235あるいはアクセスマネージャサービス245のアクセス規則255またはその両方によって実施されるポリシーに対する臨時あるいは一時的またはその両方の免除を表すことができる。アクセス規則255およびアクセス例外260の管理および実行はデータストレージサービス225の動作とは無関係に行われることを強調しておかなければならない。すなわち、データストレージサービス225がその動作を完了した後で、アクセスマネージャサービス255がその動作を実行することができる。データストレージサービス225は、アクセスマネージャサービス255のアクションを意識せずに動作することができる。したがって、クラウドコンピューティング環境205内のアーキテクチャあるいはシステムまたはその両方の変更を必要とせずに、アクセスマネージャサービス255の機能を現行のデータストレージサービス225に適用することができる。他の実施形態では、アクセスマネージャサービス255は、要求されたデータアーティファクト215へのアクセスを可能にする前に、アクセス制御の最終段階としてデータストレージサービス225によって呼び出すことができる。アクセス規則255およびアクセス例外260を表すために使用されるパラメータは、データコンシューマ265からデータストレージサービス225が受信したデータ要求内に含まれるデータフィールド、データアーティファクト215について定義されたメタデータ、あるいはデータストレージサービス225によって使用されるデータ要素、またはこれらの組み合わせを使用することができる。これらのパラメータの例としては、ユーザ名、電子メールアドレス、電子メールドメイン、IPアドレス、データアーティファクト215のタイプ、ユーザ役割、実行されるアクションのタイプ、データアーティファクト215の機密性レベル、要求が受信された時刻、要求ルーティングなどを含むことができるが、これらに限定されない。データ所有者280は、クライアントデバイス270上で実行されるアクセスマネージャユーザインターフェース275を使用してアクセス規則255あるいはアクセス例外260またはその両方を定義することができる。クライアントデバイス270は、アクセスマネージャユーザインターフェース275を実行し、クラウドコンピューティング環境205と通信することができる様々なコンピューティングデバイスを表すことができる。アクセスマネージャユーザインターフェース275は、アクセス規則255あるいはアクセス例外260またはその両方を定義するための構成可能なメカニズムをデータ所有者280に提示することができるグラフィカルユーザインターフェースGUIを表すことができる。アクセスマネージャユーザインターフェース275は、データ項目あるいは特徴またはその両方へのアクセスまたはそれらの使用を制限するためのセキュリティ手段を使用するようにさらに構成することができる。たとえば、アクセス例外260の作成を、管理者の役割を有するデータ所有者280に限定するために、役割ベースの手法を使用することができる。さらに、データ所有者280が作成するかあるいは変更するかまたはその両方を行うことができるアクセス規則255のタイプを制限するために、種々の役割を使用することができる。アクセスマネージャユーザインターフェース275はデータストレージサービス225と対話するために使用されないことに留意されたい。データストレージサービス225との対話では、データストレージサービス225に関連するユーザインターフェース図示せずを使用することになるであろう。クラウドコンピューティング環境205は、搬送波内でエンコードされたデータを伝達するために必要な任意のハードウェア/ソフトウェア/ファームウェアを含むことができる。データは、アナログまたはデジタル信号内に含め、データまたは音声チャネルを介して伝達することができる。クラウドコンピューティング環境205は、コンピューティングデバイスのコンポーネント間ならびに統合デバイスのコンポーネントと周辺装置との間で交換すべき通信に必要なローカルコンポーネントおよびデータパスを含むことができる。また、クラウドコンピューティング環境205は、まとめてインターネットなどのデータネットワークを形成する、ルータ、データ回線、ハブ、および中間サーバなどのネットワーク装置も含むことができる。クラウドコンピューティング環境205は、電話交換機、モデム、セルラー通信タワーなど、回線ベースの通信コンポーネントおよび移動通信コンポーネントも含むことができる。クラウドコンピューティング環境205は、回線ベースあるいはワイヤレスまたはその両方の通信パスを含むことができる。本明細書で使用するように、提示されたリポジトリ210ならびにデータストア230および250は、デジタル情報を保管するように構成された物理または仮想記憶空間にすることができる。リポジトリ210ならびにデータストア230および250は、磁気ディスク、光ディスク、半導体メモリ、デジタルでエンコードされたプラスチックメモリ、ホログラムメモリ、または任意のその他の記録媒体を含むがこれらに限定されない任意のタイプのハードウェア内に物理的に実装することができる。リポジトリ210ならびにデータストア230および250は、独立型ストレージユニットならびに複数の物理装置から形成されたストレージユニットにすることができる。さらに、情報はリポジトリ210ならびにデータストア230および250内に様々な方法で保管することができる。たとえば、情報は、データベース構造内に保管するかあるいはファイルストレージシステムの1つまたは複数のファイル内に保管することができ、その場合、各ファイルには情報検索のためにインデックスが付けられる場合もあれば、付けられない場合もある。さらに、リポジトリ210あるいはデータストア230/250またはこれらの組み合わせは、保管情報を無許可アクセスから保護するために1つまたは複数の暗号化メカニズムを使用することができる。図3は、本明細書に開示されている本発明の配置の諸実施形態により任意アクセス制御を有効化するためのデータストレージサービスに関するアクセスマネージャサービスの機能を全般的に詳述する方法300の流れ図である。方法300は、プロセスフロー100あるいはシステム200またはその両方のコンテキスト内で実行することができる。方法300は、データストレージサービスによって実行される一連のステップ305~325と、データストレージサービスによって実行されるステップ305および325に応答してトリガされるようにアクセスマネージャサービスによって実行される第2の1組のステップ350~395を例示することができる。簡単にするため、方法300のうち、データストレージサービスに関連する部分について最初に述べ、続いてアクセスマネージャサービスの諸ステップについて述べることにする。方法300のステップ305~325は、データストレージサービスによるデータ要求の典型的な処理を表すことができる。ステップ305では、データストレージサービスはデータコンシューマからデータ要求を受信することができる。必要であれば、ステップ310でデータストレージサービスによってデータコンシューマに関するユーザセッションを開始することができる。ステップ315では、データストレージサービスは、その内部処理規則に基づいて、データ要求に対するプロバイダ応答すなわち、許可、拒否を決定することができる。プロバイダ応答という用語は、データストレージサービスによって決定される応答と、アクセス応答という用語で呼ばれるアクセスマネージャサービスによって決定される応答とを区別するために使用されることに留意されたい。次にデータストレージサービスはステップ320でデータ要求に関する応答メッセージを作成することができる。ステップ325では、データストレージサービスによって要求側データコンシューマに応答メッセージを送信することができる。データストレージサービスによるステップ305の実行は、点線307によって示されるように、アクセスマネージャサービスによるステップ350の実行をトリガすることができる。ステップ350では、アクセスマネージャサービスは、リスナコンポーネントlistenercomponentの使用によるかまたはデータストレージサービスのメッセージ待ち行列に照会することなどにより、データストレージサービスがデータ要求を受信したことを検出することができる。ステップ355では、アクセスマネージャサービスによってデータ要求のコピーを入手することができる。ステップ360では、データ要求に適用可能なものとして所有者指定のアクセス規則あるいはアクセス例外またはその両方をアクセスマネージャサービスによって識別することができる。次に、ステップ365では、識別されたアクセス規則あるいはアクセス例外またはその両方に基づいて、データ要求に関するアクセス応答をアクセスマネージャサービスによって決定することができる。データストレージサービスによるステップ325の実行に応答して、アクセスマネージャサービスによってステップ370を実行することができる。ステップ370では、アクセスマネージャサービスは、データストレージサービスによって送信された応答メッセージをインターセプトすることができる。アクセスマネージャサービスはステップ375で、それが決定したアクセス応答がインターセプトされた応答メッセージのプロバイダ応答と一致するかどうかを判断することができる。応答が一致するすなわち、要求側がアクセスできる必要があるかまたはないかについて両方のサービスが合意する場合、ステップ380を実行することができ、そのステップでアクセスマネージャサービスは要求側に応答メッセージを送信するすなわち、インターセプトされた応答メッセージをリリースする。応答が一致しない場合、アクセスマネージャサービスはステップ385で、データストレージサービスの応答メッセージをオーバライドすることができる。ステップ385が実行される時点では、起こりうる2通りの状況が存在する可能性があり、すなわち、アクセスマネージャサービスは、データストレージサービスによって許可されているアクセスを拒否することまたはデータストレージサービスによって拒否されているアクセスを許可することを希望している。いずれの状況でも、ステップ390を実行することができ、そのステップでアクセスマネージャサービスは要求側のセッション許可に関する必要なオーバライド変更をデータストレージサービスに提供することができる。次に、アクセスマネージャサービスはステップ395で、応答メッセージの応答を変更し、応答メッセージを要求側に送信することができる。図4は、本明細書に開示されている本発明の配置の諸実施形態によりアクセスマネージャサービスの動作を記述する方法400の流れ図である。方法400は、プロセスフロー100、システム200のコンテキスト内で、あるいは方法300に併せて、またはその両方で実行することができる。方法400はステップ405から始めることができ、そのステップでアクセスマネージャサービスはデータストレージサービスによって決定されたデータ要求および応答メッセージを入手することができる。ステップ410では、データ要求について所有者指定のアクセス規則あるいはアクセス例外またはその両方を識別することができる。ステップ415では、データ要求についてアクセス例外が存在するかどうかを判断することができる。アクセス例外が存在しない場合、識別されたアクセス規則はステップ420で集約することができる。アクセス規則は個別のユーザが作成するか、可変レベルの細分性で存在するか、あるいは種々のパラメータに適用されるか、またはこれらの組み合わせが行われる可能性があるので、アクセス規則が相互に矛盾する潜在性が存在する可能性がある。アクセスマネージャサービスは、優先順位の値を使用して、どのアクセス規則を優先しなければならないかを確立することができる。ステップ425では、必要であれば、この優先順位の値を使用して、識別されたアクセス規則間の矛盾を解決することができる。ステップ430では、識別されたアクセス規則に基づいて、アクセス応答を決定することができる。ステップ435では、決定されたアクセス応答がデータストレージサービスからの応答メッセージのものと一致するかどうかを判断することができる。決定されたアクセス応答が応答メッセージと一致する場合、ステップ440を実行することができ、そのステップで応答メッセージが要求側データコンシューマに伝達される。決定されたアクセス応答が応答メッセージと一致しない場合、ステップ465では決定されたアクセス応答によりアクセスを許可または拒否するように要求側のセッションを変更することができる。ステップ470では、決定されたアクセス応答を反映する応答メッセージを要求側に送信することができる。ステップ415でアクセス例外が存在すると判断された場合、方法400のフローはステップ445に移行することができ、そのステップでアクセスマネージャサービスは要求側から認証を要求することができる。アクセス例外に関する認証は追加のセキュリティ段階にすることができ、機密または占有データアーティファクトについて推奨することができる。認証は、ユーザ確認の質問/応答フォーマット、使い捨てパスワード、デジタルトークン、スマートカード上に保管された認証パラメータ、管理者によるセッションの手動許可、生体情報の読み取り、認証形式の組み合わせなどを含むがこれらに限定されない様々な形を取ることができる。ステップ450では認証の妥当性を判断することができる。要求側が有効な認証を供給する場合、ステップ455を実行することができ、そのステップでアクセスマネージャサービスはアクセス例外に応じて要求側のセッションを変更することができる。要求側によって無効な認証が供給される場合、要求側はステップ460で無効な認証の通知を受けることができる。ステップ460からフローはステップ445に戻ることができ、そのステップでもう一度認証が要求される。図5は、本明細書に開示されている本発明の配置の諸実施形態によりデータ所有者によるアクセスマネージャサービスの使用を詳述する方法500および520に関する流れ図の集合である。方法500あるいは方法520またはその両方は、プロセスフロー100、システム200のコンテキスト内で、あるいは方法300あるいは方法400またはその両方に併せて、またはその両方で実行することができる。方法500では、ユーザはステップ505でアクセスマネージャユーザインターフェースを使用して新しいアクセス規則を定義することができる。次に、ステップ510では、入力されたアクセス規則に優先順位の値を割り当てることができる。代わって、自動的にステップ510を実行し、アクセス規則を作成するユーザに基づいて優先順位の値を割り当てるようにアクセスマネージャサービスを構成することができる。たとえば、管理者レベルのユーザによって作成されたアクセス規則には、チームレベルのユーザなどによって作成されたアクセス規則より高い優先順位の値を自動的に割り当てることができる。ステップ515では、アクセスマネージャサービスで使用するために新しいアクセス規則を保管することができる。方法520はアクセス例外の作成を記述することができる。方法520はステップ525から始めることができ、そのステップで管理者はアクセスマネージャユーザインターフェース内のアクセス例外を定義することができる。ステップ530では、自動化認証すなわち、アクセスマネージャサービスによって自動的に生成された認証情報を有効化するかどうかを判断することができる。アクセスマネージャサービスによって使用される自動化認証のタイプは、2つまたはそれ以上の識別手段を必要とする認証手法である厳密認証strongauthenticationを包含するように拡張することができる。たとえば、アクセスマネージャサービスは一時パスワードとユーザ確認の質問/応答のセットを生成することができる。要求側は、アクセスするためにパスワードと応答の両方を正確に入力しなければならない。自動化認証を有効化すると、アクセスマネージャサービスはステップ535で管理者に認証情報を提供することができる。ステップ540では、管理者は、それに関するアクセスが許可される指定のユーザに認証情報を提供することができる。方法400のステップ445および450のように、ステップ540からアクセスマネージャサービスは指定のユーザを電子的に認証するステップに進むことができる。自動化認証を有効化しない場合、ステップ545を実行することができ、そのステップで管理者は指定のユーザのアウトオブバンド認証を待つことができる。たとえば、指定のユーザは、管理者に連絡し、識別情報すなわち、アドレス、出生データ、社会保障番号を口頭で提供することができる。ステップ550では、有効な認証の受信を判断することができる。受信した認証が有効である場合、管理者はステップ555でアクセスマネージャサービスに関するアクセス例外を手動で活動化することができる。受信した認証が無効である場合、方法520のフローはステップ545に戻ることができ、そのステップで管理者は有効な認証を待ち続けることができる。上記の図面内の流れ図およびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータプログラムについて可能な実装例のアーキテクチャ、機能、および動作を例示している。この点に関しては、流れ図またはブロック図内の各ブロックは、指定の論理機能複数も可を実装するための1つまたは複数の実行可能命令を含む、コードのモジュール、セグメント、または一部分を表すことができる。また、いくつかの代替実装例では、ブロック内に示された機能は図面内に示された順序から外れて行われる可能性があることにも留意されたい。たとえば、連続して示されている2つのブロックは、関係する機能に応じて、実際にはほぼ同時に実行される場合もあれば、ときには逆の順序で実行される場合もある。また、ブロック図あるいは流れ図またはその両方の各ブロックならびにブロック図あるいは流れ図またはその両方の複数ブロックの組み合わせは、指定の機能または動作を実行する特殊目的ハードウェアベースのシステムによって、または特殊目的ハードウェアとコンピュータ命令の組み合わせによって、実装可能であることも留意されるであろう。