説明

アクセス制御装置、アクセス制御方法、及びプログラム

【課題】 複数のアクセス権を使い分ける利用者が行うアクセスを効率的に制御するアクセス制御装置を提供する。
【解決手段】 アクセス制御装置4は、利用者が兼任する役割ごとにログインID及びパスワードを保持する認証情報記憶部40と、端末装置2から得たログインID及びパスワードを認証情報記憶部40の内容と照合することにより利用者を識別する利用者識別部20と、識別された利用者に係る全てのログインIDを認証情報記憶部40から参照する認証情報参照部30と、参照されたログインIDを所定の順序で並べる試行順序決定部50と、並べられた順にログインIDを使用しながら端末装置2からのアクセスリクエストをサーバ装置6へ転送し、リクエストに応じて得られた情報を端末装置2へ返送するアクセス試行部70とを備える。

【発明の詳細な説明】
【技術分野】
【0001】
本発明は、アクセス制御装置及びその方法に関し、特に複数のアクセス権を使い分ける利用者が行う情報資源へのアクセスを制御する技術に関する。
【背景技術】
【0002】
従来の情報処理システムでは、情報資源(データ)の機密性を保つと共に、誤操作による重要データの削除といった事故をできる限り回避するため、利用者ごとにアクセスを制御する技術が実現されている。
【0003】
図13は、そのような制御を行う情報処理システムの典型例を表す概念図である。情報処理システム100は、端末装置101及びサーバ装置102、103がネットワーク104で接続されてなる。サーバ装置102、103は、例えばコンテンツやウェブページ情報といった情報資源とアクセス権のある利用者を示すアクセス権情報とを対応付けて保持すると共に、端末装置101の利用者を識別することによって、正当なアクセス権を持つ利用者にのみ情報資源へのアクセスを提供する。
【0004】
利用者の識別は、利用者固有のログインID及びパスワードを用いる認証によって、従来広く行われている。
【0005】
また近年、例えば伝票データやフォームデータといった情報資源に対し、利用者が役割に応じた所定の処理(閲覧、更新、承認等)を行いながら全体処理を進行させるワークフローシステムが実用化されている。
【0006】
ワークフローシステムでは一人の利用者がしばしば複数の役割を兼任するので、利用者のアクセス権を役割ごとに使い分けることが情報資源の機密性及び安全性の面で好ましい。そのために例えば、兼任する役割の数のログインID及びパスワードを一人の利用者について定め、その中の一つが入力されることによってその利用者の認証と同時に当面の役割の識別をも行い、識別された役割に応じてアクセスを制御することが行われる。
【0007】
図14は、そのような制御に用いられる利用者情報の一具体例である。この利用者情報は利用者情報テーブル200に格納され、グループID欄201には利用者のIDが保持され、ID欄202、パスワード欄203、及び情報資源欄204には、その利用者が兼任する役割それぞれに対応するログインID、暗号化されたパスワード、及びその役割においてアクセス許可される情報資源のアドレスが保持される。
【0008】
この具体例によれば、利用者”G0001234”は、自らが兼任する役割に対応するログインID”0000001”、”0040024”、及び”0070523”のうちの当面の役割に対応する一つとパスワードとを入力することによって認証を受け、その役割に対応する情報資源へのアクセス権を得ることができる。
【0009】
なお、利用者にとって複数のログインIDとパスワードとを安全に管理して使い分けることは極めて煩雑である。そこで、利用者の認証には単一のログインIDとパスワードとを用いることとし、認証が成功した後その利用者に明示的に役割を選択させることによって、前述した煩雑さを軽減すると同時に、役割ごとにアクセスを制御しつつ適切なワークフロー処理を行う技術が開示されている(例えば特許文献1を参照)。
【特許文献1】特開平2003−256629号公報
【発明の開示】
【発明が解決しようとする課題】
【0010】
しかしながら、前述した従来の技術によれば、一人の利用者が一つのログインIDとパスワードとを管理すれば足りるという効果が得られるものの、利用者にとって役割を明示的に選択する煩雑さが依然残る。特に一人の利用者が次々と役割を切り替えながら作業を進めていく状況において、切り替えの都度役割を選択し直す手順は作業の迅速性を阻害し、その結果システム全体の作業効率が損なわれるという問題もある。
【0011】
本発明は、上記の問題点を解決するためになされたものであり、複数のアクセス権を使い分ける利用者(例えば、ワークフローシステムにおいて複数の役割を兼任する利用者)が行うアクセスを効率的に制御するアクセス制御装置を提供することを目的とする。
【課題を解決するための手段】
【0012】
本発明に係るアクセス制御装置は、複数のアクセス権を使い分ける利用者が行う情報資源へのアクセスを制御するアクセス制御装置であって、前記複数のアクセス権ごとに認証情報を記憶している認証情報記憶手段と、外部から取得される識別情報を用いて前記利用者を識別する利用者識別手段と、識別に成功すると前記記憶されている認証情報を次々に用いて前記情報資源へのアクセスを試みるアクセス試行手段とを備える。
【0013】
この構成によれば、ひとたび利用者が識別されるとその利用者の全てのアクセス権に対応する認証情報を用いて前記情報資源へのアクセスが試みられるので、利用者にとって、単一の識別情報(例えば、ログインID及びパスワード)を入力して識別を受けるだけで自らが使い得るアクセス権の何れか一つが得られるという、優れた利便性と迅速な操作性とが発揮される。
【0014】
また、前記識別情報は、前記認証情報のうちの何れか一つであり、前記利用者識別手段は、前記識別情報と前記記憶されている認証情報とを照合することによって、前記利用者を識別してもよい。
【0015】
この構成によれば、利用者は前記認証情報のうち何れか(例えば、最も覚えやすい又はたまたま思い出した)一つを用いて識別を受けることができるので、前記識別情報を前記認証情報と別途に設定する必要なしに、優れた利便性と迅速な操作性とを利用者に提供できる。
【0016】
また、前記アクセス制御装置は、さらに、アクセスに成功裏に用いられた認証情報を特定するチケット情報を前記利用者の端末装置へ送信するチケット送信手段を備え、前記端末装置は、前記アクセス制御装置から受信されるチケット情報を記録し、その後のアクセスを要求する際に前記チケット情報を前記アクセス制御装置へ送信し、前記利用者識別手段は、前記端末装置から受信されるチケット情報によって特定される認証情報と前記記憶されている認証情報とを照合することによって、前記利用者を識別してもよい。
【0017】
この構成によれば、利用者の識別が前記チケット情報を用いて行われるので、利用者は、チケット情報が得られた後は、単に所望の情報資源へのアクセスを試みるだけで自らが使い得るアクセス権の何れか一つを得られるという、非常に優れた利便性と迅速な操作性とが発揮される。
【0018】
また、前記アクセス制御装置は、さらに、アクセスに成功裏に用いられた認証情報を表す使用結果情報を前記利用者の端末装置へ送信する利用結果情報送信手段を備えてもよい。
【0019】
この構成によれば、アクセスに成功裏に用いられたログインIDを利用者の端末に表示することができるので、利用者は自らがどのアクセス権を得たかを、確実かつ容易に知ることができる。
【0020】
また、前記アクセス制御装置は、さらに、アクセスに成功裏に用いられた認証情報の頻度又は時系列順序を表す履歴情報を記憶している履歴情報記憶手段と、前記記憶されている認証情報を、前記履歴情報によって示される頻度の高い順又は新しく用いられた順に並べる試行順序決定手段とを備え、前記アクセス試行手段は前記記憶されている認証情報を前記試行順序決定手段による並び順に用いて前記情報資源へのアクセスを試みてもよい。
【0021】
この構成によれば、よく用いられる認証情報や新しく使われた認証情報から順に前記情報資源へのアクセスに用いられるので、利用者にとってより重要と考えられる認証情報ほど優先的に用いることができる。
【0022】
また、前記アクセス試行手段は、前記記憶されている認証情報の一つを用いて前記情報資源へのアクセスに成功すると、残りの認証情報を用いて試行されるアクセスを抑止してもよい。
【0023】
この構成によれば、前記情報資源が得られた時点以降のアクセスが抑止されるので、通信トラフィック量の削減と処理時間の短縮とが実現される。
【0024】
また、前記利用者は自らが兼任する複数の役割ごとにアクセス権を使い分け、前記認証情報は、前記利用者が前記情報資源を保持しているコンピュータシステムに前記複数の役割ごとのアクセス権を持ってログインするためのログインID及びパスワードの組であるとしてもよい。
【0025】
この構成は、例えば、前記コンピュータシステムがワークフローシステムとして機能している場合に、そのワークフローシステムにおける複数の役割を兼任する利用者が行うアクセスを制御するのに好適である。ワークフローシステムでは、しばしば一人の利用者が複数の役割を兼任することとなるからである。
【0026】
また、前記利用者はアクセスしようとする情報資源を保持している複数のコンピュータシステムごとにアクセス権を使い分け、前記認証情報は、前記複数のコンピュータシステムそれぞれに前記利用者がログインするためのログインID及びパスワードの組であるとしてもよい。
【0027】
この構成は、例えば、前記複数のコンピュータシステムが、それぞれネットワークバンキングシステム、航空券予約システム、ネットワーク通販システム等として機能している場合に、それぞれのシステムにアクセス権を持つ利用者が行うアクセスを制御するのに好適である。利用者は、それらのシステムごとのログインID及びパスワードの組のうち何れか一つ(例えば、最も覚えやすい一つ、又はたまたま思い出した一つ)を用いてひとたび識別を受けた後は、どのシステムにもログインできるという、極めて優れた利便性を享受できる。
【0028】
また、本発明は、このようなアクセス制御装置として実現できるだけでなく、このようなアクセス制御装置が備える特徴的な手段によって実行される処理をステップとするアクセス制御方法として実現することも、また、それらのステップをコンピュータに実行させるプログラムとして実現することもできる。そして、そのようなプログラムは、CD−ROM等の記録媒体やインターネット等の伝送媒体を介して配信できることはいうまでもない。
【発明の効果】
【0029】
本発明のアクセス制御装置は、一人の利用者が使い分けるアクセス権それぞれに対応して認証情報を記憶しており、ひとたび利用者が識別されるとその利用者の全てのアクセス権に対応する認証情報を用いて情報資源へのアクセスを試みるので、利用者にとって、単一の識別情報(例えば、ログインID及びパスワードの一組)を入力して識別を受けるだけで自らが使い得るアクセス権の何れか一つが得られるという、優れた利便性と迅速な操作性とが発揮される。
【発明を実施するための最良の形態】
【0030】
本発明の実施の形態に係るアクセス制御装置は、端末装置とサーバ装置とを接続して設けられ、一人の利用者が兼任する複数の役割それぞれに対応してサーバ装置上で利用者認証を受けるための認証情報であるログインID及びパスワードを記憶している。このアクセス制御装置は、端末装置から受け取るログインID及びパスワードを記憶しているログインID及びパスワードと照合することによって利用者を識別する。そして、識別された利用者の全てのログインID及びパスワードを順次使用しながら、端末装置から受け取るアクセスリクエストをサーバ装置へと転送する。
【0031】
以下、このアクセス制御装置について、図面を参照しながら詳細に説明する。
(全体構成)
図1は、このアクセス制御装置を含む情報処理システムの全体構成を示す機能ブロック図である。情報処理システム1は、端末装置2、第1通信網3、アクセス制御装置4、第2通信網5、及びサーバ装置6から構成される。
【0032】
アクセス制御装置4は、第1通信部10、利用者識別部20、認証情報参照部30、認証情報記憶部40、試行順序決定部50、履歴情報記憶部60、アクセス試行部70、履歴情報更新部80、及び第2通信部90から構成される。
【0033】
アクセス制御装置4は、例えば図示しないCPU(Central Processing Unit)、RAM(Random Access Memory)、ROM(Read Only Memory)、ハードディスク装置、及びネットワークアダプタ等を含むコンピュータシステムによって実現されるとしてもよい。その場合、第1通信部10及び第2通信部90の機能はネットワークアダプタによって実現され、認証情報記憶部40及び履歴情報記憶部60の機能はハードディスク装置によって実現され、利用者識別部20、認証情報参照部30、試行順序決定部50、アクセス試行部70、及び履歴情報更新部80の機能はCPUがROMに保持されているプログラムを、RAMを作業用のメモリに用いて実行することによって実現される。
【0034】
もちろん、アクセス制御装置4を、個々の構成要素の機能を統合する1チップIC(Integrated Circuit)として実現することもできる。
【0035】
(認証情報)
図2は、認証情報記憶部40に記憶されている認証情報の一具体例である。この認証情報は認証情報テーブル400に格納され、グループID欄401には利用者のIDが保持され、ID欄402及びパスワード欄403には、利用者が兼任する役割それぞれに対応するログインID及び暗号化されたパスワードが保持される。
【0036】
なお、役割を兼任しない(単一の役割のみを果たす)利用者を統一的に処理するため、利用者”G0002955”に示すような一つのID及びパスワードを持つ利用者が認証情報に含まれていても構わないものとする。
【0037】
(履歴情報)
図3は、履歴情報記憶部60に記憶されている履歴情報の一具体例である。この履歴情報は履歴情報テーブル600に格納され、グループID欄601には利用者のIDが保持され、ID欄602にはその利用者によるアクセスに使用されたログインIDが所定個数まで時系列順に保持される。
【0038】
(動作)
以下、アクセス制御装置4の動作を、端末装置2及びサーバ装置6との連携動作を含めて詳細に説明する。
【0039】
図4は、端末装置2、アクセス制御装置4、及びサーバ装置6の連携動作の一例を示すフローチャートである。この動作は、アクセス制御装置4が、サーバ装置6に格納されている情報資源をリクエストする情報(この例ではページAリクエスト情報)を端末装置2から受信すると開始される。ページAリクエスト情報は、例えば、端末装置2で動作しているウェブブラウザ上で、利用者がページAへのリンクをクリックする、又はページAのURL(Uniform Resource Locator)を入力するといった操作を行うことによって送信される。
【0040】
ページAリクエスト情報が受信されると、利用者識別部20は、ログインプロンプト情報を、第1通信部10を介して端末装置2へ送信する(S10)。このログインプロンプト情報は、利用者にログインID及びパスワードの入力を促す情報である。端末装置2は、ログインプロンプト情報を受信すると、例えば前述したウェブブラウザの画面上にログインID及びパスワードの入力フィールドを持ったログインプロンプトを表示する(S20)。フローチャートに見られるように、この例では、ページAへのリンクがクリックされた後ページAが表示される前に、ログインプロンプトの表示が行われるとした。
【0041】
図5(A)及び(B)は、端末装置2に表示されるログインプロンプトの一例である。ここでは、ログインプロンプトが、画面の下端及びポップアップに表示される例を示している。
【0042】
利用者は、このログインプロンプトに例えば、自らを識別する識別情報として認証情報記憶部40に記憶されているログインID及びパスワードの何れか一組を入力する。端末装置2は、利用者から受け付けたログインID及びパスワードをアクセス制御装置4へ送信する(S21)。
【0043】
利用者識別部20は、端末装置2から受信されるログインID及びパスワードを、認証情報記憶部40に記憶されているログインID及びパスワードのそれぞれと照合する。そして、合致するログインID及びパスワードがある場合に、端末装置2の利用者がそのログインIDに対応するグループIDによって示される利用者であると識別する。
【0044】
識別に成功すると、認証情報参照部30は、識別された利用者に対応する全てのログインIDを認証情報記憶部40から参照する(S30)。
【0045】
試行順序決定部50は、認証情報参照部30によって参照されたログインIDを、履歴情報記憶部60における記録順序に基づいて、より新しく使用された順に並べる(S40)。
【0046】
アクセス試行部70は、試行順序決定部50によって並べられた順にログインIDを一つ選択しては、そのログインID及び対応するパスワードと共に、ページAリクエスト情報をサーバ装置6へ送信する(S50)。
【0047】
サーバ装置6は、アクセス制御装置4から受信されるログインID及びパスワードで利用者を認証した上で、ページAリクエスト情報を次のように処理する。認証に成功した場合にはページAの内容を返答し、認証に失敗した場合にはアクセス拒否応答情報を返答する。
【0048】
アクセス試行部70は、サーバ装置6からの返答に応じて、使用したログインIDごとにページAの内容が得られたか否か、及びページAの内容が得られた場合にはその内容を、図示しないバッファメモリに記録する。
【0049】
参照履歴更新部80は、ページAの内容の取得に最初に成功したログインIDを、利用者を示すグループIDに対応付けて履歴情報記憶部60に新たに記録すると共に、その利用者に対応する所定数を超えるログインIDがあれば古いものから削除する(S70)。
【0050】
アクセス試行部70は、ページAの内容の取得に最初に成功したログインID(この例ではID2)を示すチケット2、ページA情報、及びID使用結果情報(この例では、ページAがID2を使用してアクセスされ、さらにID3を使用してもアクセス可能であることを示す情報)を端末装置2に返送する(S80)。ここでチケットは、例えば、ページの取得に最初に成功したログインIDの認証情報に含まれている位置を示す索引情報であるとしてもよく、具体的に周知のクッキー情報を用いて表してもよい。
【0051】
端末装置2は、アクセス制御装置4から受信されたチケットを記憶し(S90)、受信されたページの内容を表示し(S92)、受信されたID使用結果情報を表示する(S93)。チケットは、例えば端末装置2に設けられるクッキーデータファイル(不図示)に記憶される。
【0052】
図6(A)及び(B)は、この動作例において端末装置2に表示されるID使用結果の一例であり、ページAがID2を使用してアクセスされ、さらにID3を使用してもアクセス可能であることを表している。ここでは、ID使用結果が画面の下端及びポップアップに表示される例を示す。なお、後述する説明の便宜上、ページAはページBへのリンクを含むものする。
【0053】
ここまでに述べたように、アクセス制御装置4は、一人の利用者が兼任する複数の役割それぞれに対応してログインID及びパスワードを記憶しており、そのうちの任意のログインID及びパスワードが与えられることによってその利用者を識別する。そして、端末装置から受け取るアクセスリクエストを、識別された利用者の全ての役割に対応するログインID及びパスワードを順次使用しながらサーバ装置へと転送するので、利用者は一つのログインID及びパスワードを入力するだけで、自らが兼任する役割のうち何れか一つのアクセス権を得ることができる。
【0054】
しかも、アクセスに成功したログインIDが表示されるので、利用者は自らがどの役割のアクセス権を得たかを、確実かつ容易に知ることができる。
【0055】
次に、前述の動作に引き続いて、利用者がページBをリクエストする場合の動作について説明する。
【0056】
図7は、その場合の、端末装置2、アクセス制御装置4、及びサーバ装置6の連携動作の一例を示すフローチャートである。この動作は、図4の動作に引き続いて、アクセス制御装置4がページBリクエスト情報を端末装置2から受信すると開始される。ページBリクエスト情報は、例えば、ページAに含まれるページBへのリンク(図6(A)及び(B)を参照)を、利用者がクリックすることによって送信される。
【0057】
以下、図4の動作と同様の事項については説明を省略し、相違点を主に説明する。
端末装置2は、ページBリクエスト情報を送信後、記憶しているチケットを、ID及びパスワードに代えて、アクセス制御装置4へ送信する(S22)。
【0058】
利用者識別部20は、チケットを受信すると、例えばそのチケットで索引されるログインIDと認証情報記憶部40に記憶されているログインIDとを照合し、そのチケットで索引されるログインIDが認証情報記憶部40に含まれる場合に、端末装置2の利用者がそのログインIDに対応するグループIDによって示される利用者であると識別する。
【0059】
利用者が識別された後、図4と同様の動作が進行する。端末装置2は新たなチケットを受信すると、受信されたチケットで古いチケット情報を更新する(S91)。
【0060】
図8(A)及び(B)は、この動作例において端末装置2に表示されるID使用結果の一例であり、ページBがID3を使用してアクセスされ、さらにID1を使用してもアクセス可能であることを表している。ここでは、ID使用結果が画面の下端及びポップアップに表示される例を示す。なお、後述する説明の便宜上、ページBはページCへのリンクを含むものとする。
【0061】
ここまでに述べたように、アクセス制御装置4は、アクセスに使用したログインIDを示すチケットを端末装置2に記憶させ、次のアクセスのときに端末装置2から受信されるチケットによってログインIDを特定することによって利用者を識別するので、アクセスの都度利用者がログインID及びパスワードを入力する必要がなくなり処理の迅速性が向上する。
【0062】
しかも、前述したように、ひとたび利用者が識別されるとその利用者の全ての役割に対応するログインID及びパスワードを使用してアクセスリクエストが転送されるので、利用者にとって、単にページ(情報資源)をリクエストするだけで自らが兼任する役割のうち何れか一つのアクセス権が得られるという優れた利便性及び迅速性が発揮される。
【0063】
次に、前述の動作に引き続いて、利用者がページCをリクエストする場合の動作について説明する。
【0064】
図9は、その場合の、端末装置2、アクセス制御装置4、及びサーバ装置6の連携動作の一例を示すフローチャートである。この動作は、図7の動作に引き続いて、アクセス制御装置4がページCリクエスト情報を端末装置2から受信すると開始される。ページCリクエスト情報は、例えば、ページBに含まれるページCへのリンク(図8(A)及び(B)を参照)を、利用者がクリックすることによって送信される。
【0065】
図9の動作は、チケットを利用する点で、図7の動作と実質的に同様である。
図10(A)及び(B)は、この動作例において端末装置2に表示されるID使用結果の一例であり、ページCがID2を使用してアクセスされ、ページCのアクセスに使用できるIDがこのID2のみであることを表している。ここでは、ID使用結果が画面の下端及びポップアップに表示される例を示す。
(変形例)
なお、本発明を実施の形態に基づいて説明してきたが、本発明は、前述した実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
【0066】
実施の形態では、履歴情報記憶部60は利用者ごとにアクセスに使用されたログインIDを所定個数まで時系列順に保持し、試行順序決定部50は履歴情報記憶部60を参照して利用者のログインIDをより新しく使用された順に並べるとしたが、次のような変形を考えることもできる。
【0067】
例えば、履歴情報記憶部60は、履歴情報として、利用者ごとログインIDごとの使用回数(頻度)を保持し、試行順序決定部50は利用者のログインIDを使用回数順に並べてもよい。
【0068】
図11(A)は、そのような履歴情報の一具体例である。この履歴情報は履歴情報テーブル610に格納され、グループID欄611には利用者のIDが保持され、ID欄612にはその利用者が兼任する各役割に対応するログインIDが保持され、使用回数欄613にはその利用者がそのログインIDを使用した回数が保持される。
【0069】
この構成によれば、実施の形態に比べて履歴情報のデータ量を削減できる。そして、長期的に見て使用回数の多い順にログインIDが使用されることとなるので、ログインIDの使用傾向の時間変動が少ない状況においてメモリ量を削減したい場合に好適である。
【0070】
また、例えば、履歴情報記憶部60は、履歴情報として、利用者ごと情報資源ごとログインIDごとの使用回数を保持し、試行順序決定部50は利用者のログインIDを、リクエストする情報資源についての使用回数順に並べてもよい。
【0071】
図11(B)は、そのような履歴情報の一具体例である。この履歴情報は履歴情報テーブル620に格納され、グループID欄621には利用者のIDが保持され、情報資源欄622にはその利用者が少なくとも一つの役割でアクセス可能な情報資源のアドレスが保持され、ID欄623にはその情報資源をアクセスできるログインIDが保持され、使用回数欄624にはその利用者がその情報資源をそのログインIDを使用してアクセスした回数が保持される。
【0072】
この構成によれば、情報資源ごとに使用回数の多い順にログインIDが使用されることとなるので、ログインIDの使用傾向が情報資源ごとに大きく異なる状況において使用傾向をより忠実に反映したい場合に好適である。
【0073】
また、実施の形態では、アクセス試行部70は、試行順序決定部50によって並べられた順に全てのログインIDを使用してアクセスリクエストを転送する(図4のS50を参照)としたが、リクエストに応じた情報が得られた場合、それ以降のログインIDを用いる転送を抑止してもよい。
【0074】
図12は、そのような動作の一例を示すフローチャートである。アクセス試行部70は、並べられた順にログインIDを一つ選択し(S51)、そのログインIDを使用してアクセスリクエストを転送し(S52)、アクセス拒否された場合のみ(S53:YES)、次のログインIDを使用してさらにリクエストを転送する。
【0075】
この構成によれば、リクエストした情報が得られた時点以降のリクエストの転送が抑止されるので、通信トラフィック量の削減と処理時間の短縮とが実現される。
【0076】
また、実施の形態では、利用者は、自らを識別する識別情報として認証情報記憶部40に記憶されているログインID及びパスワードの何れか一組を入力するとしたが、この識別情報は、認証情報記憶部40に記憶されているログインID及びパスワードの組に限定されるものでない。例えば、認証情報記憶部40に記憶されているグループIDと図示しない一つのパスワードとの組が、利用者を識別する識別情報として利用できることは明らかである。さらには、高度に偽装困難な本人証明性を持つPKI(Public Key Infrastructure)情報を識別情報として用いることも考えられる。
【0077】
また、実施の形態では、兼任する役割ごとにアクセス権を使い分ける利用者の例を用いたが、本発明のアクセス制御装置が優れた効果を発揮する場面は、この例に限られるものではない。例えば、コンピュータシステムごとにアクセス権を使い分ける利用者が行うアクセスについても、本発明のアクセス制御装置によって効果的な制御が可能である。すなわち、それらのコンピュータシステムが、それぞれ具体的にネットワークバンキングシステム、航空券予約システム、ネットワーク通販システム等として機能している場合を考えれば、利用者は、それらのシステムごとのログインID及びパスワードの組のうち何れか一つ(例えば、最も覚えやすい一つ、又はたまたま思い出した一つ)を用いてひとたび識別を受けた後は、どのシステムにもログインできるという、極めて優れた利便性を享受できる。
【0078】
実施の形態、及びこの変形例で説明した機能は、プログラムと、CPU、RAM、ROM、不揮発性メモリ等のハードウェア資源との組み合わせにより、集積回路であるLSI(Large Scale Integration)として実現されてもよい。各機能は、個別に1チップ化されてもよいし、複数の機能の全部又は一部が1チップ化されてもよい。
【0079】
集積回路化の一例として、図1におけるアクセス制御装置4が集積回路であるとしてもよい。集積回路は、集積度の違いにより、IC(Integrated Circuit)、システムLSI、スーパーLSI、ウルトラLSIと呼称されることもある。
【0080】
集積回路、LSIに限るものではなく、専用回路又は汎用プロセサにより実現されてもよい。LSI製作後にプログラムを格納することが可能なFPGA(Field Programmable Gate Array)や、LSI内部の回路セルの接続や設定を再構成することが可能なリコンフィギュラブル・プロセサが利用されてもよい。
【0081】
更には、半導体技術の進歩又は派生する別技術によりLSIに置き換わる集積回路化の技術が登場すれば、当然その技術を用いて上記機能の集積回路化が行われてもよい。バイオ技術の適用等が可能性としてあり得る。
【産業上の利用可能性】
【0082】
本発明に係るアクセス制御装置は、複数のアクセス権を使い分ける利用者が行うアクセスを効率的に制御する装置、例えば、ワークフローシステムにおける利用者の識別とアクセス要求の転送とを行うゲートウェイサーバ等として利用できる。
【図面の簡単な説明】
【0083】
【図1】本発明の一実施の形態に係るアクセス制御装置を含む情報処理システムの全体構成を示す機能ブロック図である。
【図2】認証情報記憶部に記憶されている認証情報の一具体例を示す図である。
【図3】履歴情報記憶部に記憶されている履歴情報の一具体例を示す図である。
【図4】動作の一例を示すフローチャートである。
【図5】(A)及び(B)端末装置に表示されるログインプロンプトの一例を示す図である。
【図6】(A)及び(B)端末装置に表示されるID使用結果の一例を示す図である。
【図7】動作の一例を示すフローチャートである。
【図8】(A)及び(B)端末装置に表示されるID使用結果の一例を示す図である。
【図9】動作の一例を示すフローチャートである。
【図10】(A)及び(B)端末装置に表示されるID使用結果の一例を示す図である。
【図11】(A)及び(B)履歴情報の一変形例を示す図である。
【図12】動作の一変形例を示すフローチャートである。
【図13】利用者に応じたアクセス制御を行う従来の情報処理システムの典型例を示す図である。
【図14】利用者に応じたアクセス制御に用いられる従来の利用者情報の一具体例を示す図である。
【符号の説明】
【0084】
1 情報処理システム
2 端末装置
3 第1通信網
4 アクセス制御装置
5 第2通信網
6 サーバ装置
10 第1通信部
20 利用者識別部
30 認証情報参照部
40 認証情報記憶部
50 試行順序決定部
60 履歴情報記憶部
70 アクセス試行部
80 参照履歴更新部
80 履歴情報更新部
90 第2通信部
100 情報処理システム
101 端末装置
102 サーバ装置
104 ネットワーク
200 利用者情報テーブル
400 認証情報テーブル
600、620 履歴情報テーブル

【特許請求の範囲】
【請求項1】
複数のアクセス権を使い分ける利用者が行う情報資源へのアクセスを制御するアクセス制御装置であって、
前記複数のアクセス権ごとに認証情報を記憶している認証情報記憶手段と、
外部から取得される識別情報を用いて前記利用者を識別する利用者識別手段と、
識別に成功すると前記記憶されている認証情報を次々に用いて前記情報資源へのアクセスを試みるアクセス試行手段と
を備えることを特徴とするアクセス制御装置。
【請求項2】
前記識別情報は、前記認証情報のうちの何れか一つであり、
前記利用者識別手段は、前記識別情報と前記記憶されている認証情報とを照合することによって、前記利用者を識別する
ことを特徴とする請求項1に記載のアクセス制御装置。
【請求項3】
前記アクセス制御装置は、さらに、
アクセスに成功裏に用いられた認証情報を特定するチケット情報を前記利用者の端末装置へ送信するチケット送信手段を備え、
前記端末装置は、前記アクセス制御装置から受信されるチケット情報を記録し、その後のアクセスを要求する際に前記チケット情報を前記アクセス制御装置へ送信し、
前記利用者識別手段は、前記端末装置から受信されるチケット情報によって特定される認証情報と前記記憶されている認証情報とを照合することによって、前記利用者を識別する
ことを特徴とする請求項1に記載のアクセス制御装置。
【請求項4】
前記アクセス制御装置は、さらに、
アクセスに成功裏に用いられた認証情報を表す使用結果情報を前記利用者の端末装置へ送信する利用結果情報送信手段
を備えることを特徴とする請求項1に記載のアクセス制御装置。
【請求項5】
前記アクセス制御装置は、さらに、
アクセスに成功裏に用いられた認証情報の頻度又は時系列順序を表す履歴情報を記憶している履歴情報記憶手段と、
前記記憶されている認証情報を、前記履歴情報によって示される頻度の高い順又は新しく用いられた順に並べる試行順序決定手段と
を備え、
前記アクセス試行手段は前記記憶されている認証情報を前記試行順序決定手段による並び順に用いて前記情報資源へのアクセスを試みる
ことを特徴とする請求項1に記載のアクセス制御装置。
【請求項6】
前記アクセス試行手段は、前記記憶されている認証情報の一つを用いて前記情報資源へのアクセスに成功すると、残りの認証情報を用いて試行されるアクセスを抑止する
ことを特徴とする請求項1に記載のアクセス制御装置。
【請求項7】
前記利用者は自らが兼任する複数の役割ごとにアクセス権を使い分け、
前記認証情報は、前記利用者が前記情報資源を保持しているコンピュータシステムに前記役割に応じたアクセス権を持ってログインするためのログインID及びパスワードの組である
ことを特徴とする請求項1に記載のアクセス制御装置。
【請求項8】
前記利用者はアクセスしようとする情報資源を保持しているコンピュータシステムごとにアクセス権を使い分け、
前記認証情報は、前記コンピュータシステムそれぞれに前記利用者がログインするためのログインID及びパスワードの組である
ことを特徴とする請求項1に記載のアクセス制御装置。
【請求項9】
複数のアクセス権を使い分ける利用者が行う情報資源へのアクセスを制御するアクセス制御方法であって、
外部から取得される識別情報を用いて前記利用者を識別する利用者識別ステップと、
識別に成功すると記憶手段に記憶されている認証情報を次々に用いて前記情報資源へのアクセスを試みるアクセス試行ステップと
を備えることを特徴とするアクセス制御方法。
【請求項10】
複数のアクセス権を使い分ける利用者が行う情報資源へのアクセスを制御するアクセス制御装置を実現するためのプログラムであって、
請求項9に記載のアクセス制御方法に含まれるステップをコンピュータに実行させることを特徴とするプログラム。

【図1】
image rotate

【図2】
image rotate

【図3】
image rotate

【図4】
image rotate

【図5】
image rotate

【図6】
image rotate

【図7】
image rotate

【図8】
image rotate

【図9】
image rotate

【図10】
image rotate

【図11】
image rotate

【図12】
image rotate

【図13】
image rotate

【図14】
image rotate


【公開番号】特開2006−268571(P2006−268571A)
【公開日】平成18年10月5日(2006.10.5)
【国際特許分類】
【出願番号】特願2005−87121(P2005−87121)
【出願日】平成17年3月24日(2005.3.24)
【出願人】(000005821)松下電器産業株式会社 (73,050)
【Fターム(参考)】