アクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置
【課題】ポリシ作成処理の負荷を低減する。
【解決手段】アクセス制御システム１は、サービス提供装置１００と、サービス提供装置１００からリソース１０へのアクセス要求の認可判定を行う認可装置２００と、を備え、認可装置２００は、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける要求受付部２０２と、アクセス要求に呼応して、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う認可判定部２０８と、判定結果に基づき予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がないポリシを検証済みポリシとして登録するポリシ格納部２１０と、ポリシ設定違反がないポリシを用いた認可判定部２０８の判定結果をサービス提供装置１００に返信する応答部２１２と、を備える。
【解決手段】アクセス制御システム１は、サービス提供装置１００と、サービス提供装置１００からリソース１０へのアクセス要求の認可判定を行う認可装置２００と、を備え、認可装置２００は、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける要求受付部２０２と、アクセス要求に呼応して、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う認可判定部２０８と、判定結果に基づき予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がないポリシを検証済みポリシとして登録するポリシ格納部２１０と、ポリシ設定違反がないポリシを用いた認可判定部２０８の判定結果をサービス提供装置１００に返信する応答部２１２と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置に関し、特に、分散環境におけるポリシを用いたアクセス制御を行うアクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置に関する。
【背景技術】
【０００２】
クラウドコンピューティングなどの分散システムにおける認証技術の一例が非特許文献１に記載されている。図２１に示すように、アクセス制御システム９０では、サービスをユーザ６０に提供するサービス提供装置７０（Service Provider：ＳＰ）と、ユーザの個人情報９８を保有し、サービス提供装置７０に提供する認可装置８０（Identity Provider：ＩｄＰ）との間で情報を交換している。
【０００３】
ユーザ６０が、サービス提供装置７０にアクセスし（ステップＳ１）、サービスの提供を要求する。認可装置８０はユーザ情報を集中管理しており、サービス提供装置７０は認可装置８０に認証や認可処理を委託している。すなわち、ユーザ６０からのアクセス要求などがなされ、サービス提供装置７０がユーザ認証や認可判定を必要となった場合、認可装置８０に認証および認可処理を依頼し（ステップＳ２）、認可装置８０とユーザ６０の間でユーザ認証が行われる（ステップＳ３）。そして、認可装置８０が、認証されたユーザのアクセス可否判定を行う。その判定結果を認可装置８０からサービス提供装置７０に返信する（ステップＳ４）。そして、判定結果に従って、サービス提供装置７０からユーザ６０にサービスが提供される（ステップＳ５）。
【０００４】
この認証情報を認可装置８０とサービス提供装置７０の間で交換するために、ＯｐｅｎＩＤなど様々な方式が提案されている。ＯｐｅｎＩＤを利用することで、軽量な処理によるシングルサインオンが実現される。
【０００５】
また、分散環境での認可処理を実現するために、ＸＡＣＭＬ（eXtensible Access Control Markup Language）という仕様が提案されている（非特許文献２）。図２２に示すように、非特許文献２記載のシステム５０は、認可判定を行うために、認可判定結果に基づきリソース５２へのアクセスを許可するＰＥＰ（Policy Enforce Point）７２と、アクセス可否判定を行うＰＤＰ（Policy Decision Point）８２と、アクセスポリシを管理するＰＡＰ（Policy Administration Point）８４と、アクセス制御に必要な情報を管理するＰＩＰ（Policy Information Point）８６とを含むシステムが規定されている。
【０００６】
このような構成を有する非特許文献２記載のシステム５０は次のように動作する。
すなわち、アクセスリクエスタ６２がＰＥＰ７２の情報にアクセスすると、ＰＥＰ７２はＰＤＰ８２に認可判定を要求する。すると、ＰＤＰ８２はＰＡＰ８４からポリシを取得し、ＰＩＰ８６から情報を取得し、ＰＥＰ７２へのアクセスを許可するか拒否するか判定する。その後、ＰＤＰ８２は判定結果をＰＥＰ７２に通知する。ＰＥＰ７２が通知を取得すると、前記通知に従いリソース５２へのアクセスを許可するか否か決定し、アクセスリクエスタ６２のアクセスに応答する。
【０００７】
また、特許文献１にはアクセスポリシ設定装置が記載されている。この装置を利用すると、すでに設定されているポリシをもとにして、新たなポリシを類推して設定することができるようになる。そのため、アクセス制御を行う前に、アクセスポリシを容易に設定できるようになる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２１３２０８号公報
【非特許文献】
【０００９】
【非特許文献１】富士榮 尚寛、“第２回クラウド・コンピューティング時代の認証技術」”、［online］、２０１０年８月２５日、アットマーク・アイティ、［平成２３年２月２１日検索］、インターネット、＜ＵＲＬ：http://www.atmarkit.co.jp/fwin2k/operation/adfs2sso02/adfs2sso02_01.html＞
【非特許文献２】オアシス スタンダード（ＯＡＳＩＳ Standards）、“エクステンシブル アクセス コントロール マークアップ ランゲージ バージョン２．０（eXtensible Access Control Markup Language (XACML) Version 2.0）”、［online］、２００５年２月１日、オアシス（ＯＡＳＩＳ）、［平成２２年１２月２１日検索］、インターネット、＜ＵＲＬ：http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-core-spec-os.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上述した文献に記載されたシステムにおいては、事前の取り決めなど複雑な処理が必要となるため、ポリシ作成の負荷が高いという問題点があった。
その理由は、上記文献に記載された分散システムにおけるアクセス制御システムにおいて、事前に情報交換する全てのＩｄＰとＳＰを決定することは難しいためである。たとえば、情報交換するＩｄＰやＳＰが変更される可能性があり、事前に決定できない。そのため、ＩｄＰとＳＰが事前にポリシを設定しておくことは、非常に処理負荷が高く、事前に全てのポリシをあらかじめ規定しておくことは現実的ではない。また、事前に情報を交換するＩｄＰとＳＰが決まっていれば、事前に適切なポリシを交換することは可能であるが、現実ではＩｄＰやＳＰは固定的ではなく流動的である。
【００１１】
本発明の目的は、上述した課題である事前にポリシを作成することの処理負荷が高いという問題を解決するアクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置を提供することにある。
【課題を解決するための手段】
【００１２】
本発明のアクセス制御システムは、
ユーザにサービスを提供するサービス提供装置と、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求の認可判定を行う認可装置と、を備え、
前記認可装置は、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える。
【００１３】
本発明の認可装置は、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える。
【００１４】
本発明のサービス提供装置は、
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する部分ポリシ作成手段を備える。
【００１５】
本発明のアクセス制御方法は、
リソースへのアクセスの認可判定を行う認可装置が、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付け、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行い、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、
前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録し、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信するアクセス制御方法である。
【００１６】
本発明のコンピュータプログラムは、
ユーザからのリソースへのアクセス要求の認可判定を行う認可装置を実現するためのコンピュータに、
前記ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける手順、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う手順、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信する手順、を実行させるためのプログラムである。
【００１７】
なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。
【００１８】
また、本発明の各種の構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が一個の部材として形成されていること、一つの構成要素が複数の部材で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でもよい。
【００１９】
また、本発明の方法およびコンピュータプログラムには複数の手順を順番に記載してあるが、その記載の順番は複数の手順を実行する順番を限定するものではない。このため、本発明の方法およびコンピュータプログラムを実施するときには、その複数の手順の順番は内容的に支障しない範囲で変更することができる。
【００２０】
さらに、本発明の方法およびコンピュータプログラムの複数の手順は個々に相違するタイミングで実行されることに限定されない。このため、ある手順の実行中に他の手順が発生すること、ある手順の実行タイミングと他の手順の実行タイミングとの一部ないし全部が重複していること、等でもよい。
【発明の効果】
【００２１】
本発明によれば、事前のポリシ作成処理の負荷を低減するアクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置が提供される。
【図面の簡単な説明】
【００２２】
【図１】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図２】本発明の実施の形態に係るアクセス制御システムの各装置を実現するコンピュータの構成を示すブロック図である。
【図３】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図４】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図５】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図６】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図７】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図８】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図９】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１０】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１１】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１２】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１３】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１４】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１５】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１６】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１７】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１８】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１９】本発明の実施の形態に係るアクセス制御システムのポリシ作成処理の手順の一例を示すフローチャートである。
【図２０】本発明の実施の形態に係るアクセス制御システムの認可判定処理の手順の一例を示すフローチャートである。
【図２１】非特許文献記載のシステムの構成を示すブロック図である。
【図２２】非特許文献記載のシステムの構成を示すブロック図である。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。
【００２４】
（第１の実施の形態）
図１は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、ユーザ３にサービスを提供するサービス提供装置１００と、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求の認可判定を行う認可装置２００と、を備える。
【００２５】
サービス提供装置１００は、所謂サービスプロバイダ（Service Provider：ＳＰ）であり、ユーザ３に各種サービスを提供する。認可装置２００は、所謂アイデンティティプロバイダ（Identity Provider：ＩｄＰ）であり、ユーザ３の情報を集中管理し、サービス提供装置１００に替わって、ユーザ３の認証や認可判定といった処理を行う。サービス提供装置１００は、認可装置２００にユーザ３の認証または認可判定の処理を認可装置２００に委託している。
【００２６】
認可装置２００は、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける要求受付部２０２と、アクセス要求に呼応して、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う認可判定部２０８と、認可判定部２０８の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録部（ポリシ格納部２１０、認可判定部２０８）と、ポリシ設定違反がなかったポリシを用いた認可判定部２０８の判定結果をサービス提供装置１００に返信する応答部２１２と、を備える。
【００２７】
より詳細には、認可装置２００は、要求受付部２０２と、ユーザ情報記憶部（図中「ユーザ情報」と示す）２０４と、リソース情報記憶部（図中「リソース情報」と示す）２０６と、認可判定部２０８と、ポリシ格納部２１０と、応答部２１２と、を備える。
【００２８】
サービス提供装置１００または認可装置２００は、たとえば、図２に示すように、ＣＰＵ１２０やメモリ１２２、ハードディスク１２４、および通信装置（ネットワーク５に接続し、通信するネットワーク通信部１２６）を備え、キーボードやマウス等の入力装置１５０やディスプレイ等の表示装置１５２やプリンタ等の出力装置（不図示）と接続されるサーバコンピュータやパーソナルコンピュータ、またはそれらに相当する装置を用いて実現することができる。
【００２９】
サービス提供装置１００または認可装置２００は、入力装置１５０の入力を受け付ける操作受付部１２８と、表示装置１５２の表示制御を行う表示制御部１３０と、をさらに備える。サービス提供装置１００または認可装置２００のこれらの各要素は、バス１３４を介して互いに接続される。そして、ＣＰＵ１２０が各要素とともにサービス提供装置１００または認可装置２００全体を制御する。そして、ＣＰＵ１２０が、ハードディスク１２４に記憶されるプログラムをメモリ１２２に読み出して実行することで、本発明の各図のサービス提供装置または認可装置の各ユニットの各機能を実現することができる。なお、各図において、本発明の本質に関わらない部分の構成については省略してあり、図示されていない。
【００３０】
本実施形態のコンピュータプログラムは、認可装置２００を実現させるためのコンピュータに、ユーザ３にサービスを提供するサービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける手順、アクセス要求に呼応して、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う手順、認可判定の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、ポリシ設定違反がなかったポリシを用いた認可判定の判定結果をサービス提供装置１００に返信する手順、を実行させるように記述されている。
【００３１】
本実施形態のコンピュータプログラムは、コンピュータで読み取り可能な記録媒体に記録されてもよい。記録媒体は特に限定されず、様々な形態のものが考えられる。また、プログラムは、記録媒体からコンピュータのメモリにロードされてもよいし、ネットワークを通じてコンピュータにダウンロードされ、メモリにロードされてもよい。
【００３２】
また、本発明のコンピュータプログラムは、以下の各実施形態においても、同様に各図のサービス提供装置および認可装置の各ユニットの各機能を実現するためのコンピュータに、各図のフローチャートの手順を実行させるように記述される。
【００３３】
なお、本実施形態では、ユーザ３、サービス提供装置１００、および認可装置２００は、それぞれ１台ずつ図示されているが、これに限定されない。本実施形態では、複数のユーザ３に対し、複数のサービス提供装置１００が分散処理を行い、サービスを提供する。また、複数の認可装置２００が、分散処理を行い、複数のサービス提供装置１００からの要求に応じる。すなわち、サービス提供装置１００または認可装置２００は、それぞれ仮想サーバなどで実現することもできる。また、サービス提供装置１００と認可装置２００は、互いにネットワーク５（図２）を介して接続される。
【００３４】
図１の認可装置２００において、要求受付部２０２は、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける。ユーザ情報記憶部２０４は、ユーザ３の属性情報を記憶する。ユーザ３とは、サービス提供装置１００がサービスを提供するエンドユーザである。ユーザ情報記憶部２０４に記憶される情報は、たとえば、ユーザ３のユーザＩＤ、住所、電話番号などの不変の情報や、ユーザ３の位置情報、ユーザ３がアクセスしている時刻、ユーザ３のサービス利用料支払い状況など変わりうる情報などを含む。サービス提供装置１００は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）のＰＥＰ（Policy Enforce Point）に対応する。
【００３５】
リソース情報記憶部２０６は、リソース１０の属性情報を記憶する。リソース情報記憶部２０６に記憶される情報は、たとえば、リソース１０の識別情報、データの種類、作成または登録日時、タイトル、作成元、保存場所などの属性情報と、リソース１０へのアクセスを許可または禁止するユーザの属性情報、アクセスを許可または禁止するレベル（参照のみ、変更可等）、アクセスを許可または禁止する時間帯など、リソース１０へのアクセス条件などの情報などを含む。ユーザ情報記憶部２０４およびリソース情報記憶部２０６は、ＸＡＣＭＬのＰＩＰ（Policy Information Point）に対応する。
【００３６】
認可判定部２０８は、サービス提供装置１００からのアクセス要求に呼応して、ポリシ格納部２１０に予め仮登録されたポリシを用いて、ユーザ情報記憶部２０４に記憶されたユーザ３の属性情報およびリソース情報記憶部２０６に記憶されたリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う。ＸＡＣＭＬのＰＤＰ（Policy Decision Point）に対応する。
【００３７】
ポリシとは、たとえば、リソース１０に対するアクセス権を規定するものであり、認可装置２００がアクセス制御の際に、アクセスを許可するか拒絶するか、判定する基準が記載されている。ポリシは、リソース１０に対して、誰がどのような権限でどこにアクセスできるのかといった情報を含む。
ポリシには、たとえば、「アクセス元エンティティ」、「アクセス先リソース」、「リソースに対する処理（Ｒｅａｄ／Ｗｒｉｔｅなど）」、「実行条件（有効期間など）」などが記載される。
【００３８】
ポリシ格納部２１０は、予め仮登録されたポリシを記憶する。さらに、認可判定部２０８が、判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がなかったポリシを、検証済みポリシとしてポリシ格納部２１０に登録する。ポリシ格納部２１０は、ＸＡＣＭＬにおけるＰＡＰ（Policy Administration Point）に対応する。
【００３９】
ポリシ格納部２１０に記憶された予め仮登録されたポリシは、仮に登録されたものであり、認可装置２００が認可判定を行うのに適したものかどうかの検証が未だなされていないものも含むことができる。予め仮登録されたポリシは、たとえば、認可装置２００またはサービス提供装置１００のいずれかが保有する情報に基づいて、設定されたポリシを含むことができる。すなわち、仮登録されたポリシは、認可判定に必要な項目が設定されていないもの、認可装置２００が保有していないユーザ情報を判定のために参照するように設定されているもの、または、複数の矛盾するポリシが存在している（たとえば、ホワイトリストとブラックリストの両方が存在している）もの、などのポリシ設定違反となるポリシを含むことができる。
【００４０】
ユーザ情報記憶部２０４、リソース情報記憶部２０６、およびポリシ格納部２１０は、図２のハードディスク１２４を用いることができる。あるいは、ユーザ情報記憶部２０４、リソース情報記憶部２０６、およびポリシ格納部２１０は、認可装置２００に接続された他の記憶装置（不図示）またはネットワーク５（図２）を介して認可装置２００がアクセス可能な記憶装置（不図示）を用いて構成してもよい。
【００４１】
応答部２１２は、ポリシ設定違反がなかったポリシを用いた認可判定部２０８の判定結果をサービス提供装置１００に返信する。
【００４２】
上述のような構成において、本実施の形態のアクセス制御システム１におけるアクセス制御方法を以下に説明する。図３は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１および図３を用いて説明する。
【００４３】
本発明の実施の形態に係るアクセス制御方法は、リソース１０（図１）へのアクセスの認可判定を行う認可装置２００の要求受付部２０２（図１）が、ユーザ３（図１）にサービスを提供するサービス提供装置１００（図１）から、ユーザ３からのリソース１０へのアクセス要求（認可要求）を受け付ける（図３のステップＳ１０１）。アクセス要求（認可要求）に呼応して、認可装置２００の認可判定部２０８（図１）が、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う（図３のステップＳ１０３）。認可装置２００の認可判定部２０８（図１）が、認可判定の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し（図３のステップＳ１０５）、ポリシ設定違反がなかったポリシを（図３のステップＳ１０５のＮＯ）、検証済みポリシとして登録し（図３のステップＳ１０７）、ポリシ設定違反がなかったポリシを用いた認可判定の判定結果をサービス提供装置１００に返信する（図３のステップＳ１０９）。そして、本処理を終了する。
【００４４】
また、ポリシ設定違反が確認された場合（図３のステップＳ１０５のＹＥＳ）、認可判定に使用したポリシは検証済みポリシとして登録せずに処理を終了する。
また、ポリシ設定違反が確認されたポリシは、ポリシ格納部２１０から削除してもよい。あるいは、ポリシ格納部２１０に、ポリシ設定違反ポリシとして記録してもよい。
【００４５】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、ポリシを認可装置２００が事前に検証しないので、ポリシ作成の負荷が軽減される。また、未検証の仮登録されたポリシを利用して認可判定処理を行うことで、ポリシが正しく設定されているか否か確認することができる。また、認可装置２００とサービス提供装置１００が事前に認可処理の委託に関する情報を交換していない状況でも、認可装置２００とサービス提供装置１００が動的にポリシを交換することで認可判定の委託を実現することができる。
【００４６】
（第２の実施の形態）
図４は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、上記実施の形態とは、サービス提供装置３００および認可装置２２０がそれぞれ作成した部分ポリシを結合して作成した結合ポリシを認可判定に用いる点で相違する。
【００４７】
分散システムにおけるアクセス制御システムにおいて、サービス提供装置３００はユーザ情報の管理を認可装置２２０に委託しているため、サービス提供装置３００はユーザ情報を保有していない。そのため、サービス提供装置３００は、どのようなユーザ情報が存在するか把握することが困難なため、ポリシに記述する内容を把握することは困難であり、どのような情報をポリシに設定してよいか分からない。
【００４８】
そこで、本実施形態では、サービス提供装置３００と認可装置２２０の間で事前に情報を交換せずに、それぞれが作成した部分ポリシを用いて、結合ポリシを作成し、認可判定に用いることで、ポリシ作成の負荷を低減しながら、より適切なポリシの設定を可能とする。
【００４９】
本実施形態において、認可装置２２０は、サービス提供装置３００から、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する第１ポリシ作成部２２２をさらに備える。
【００５０】
サービス提供装置３００は、リソース１０へのアクセスの認可判定を行う認可装置２２０が作成した第１部分ポリシと結合して、認可装置２２０が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、リソース１０へのアクセス制御のポリシの設定を受け付けて、作成する第２ポリシ作成部３０２を備える。
【００５１】
そして、認可判定部２０８は、サービス提供装置３００の第２ポリシ作成部３０２が作成したリソース１０へのアクセス制御の第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを、仮登録されたポリシとして用いて認可判定を行う。
【００５２】
より詳細には、認可装置２２０は、図１の上記実施形態の認可装置２００と同様なユーザ情報記憶部２０４、リソース情報記憶部２０６、認可判定部２０８、およびポリシ格納部２１０を備えるとともに、さらに、第１ポリシ作成部２２２と、結合ポリシ取得部２２４と、を備える。なお、本実施形態のサービス提供装置３００および認可装置２２０は、図１の上記実施形態のサービス提供装置１００および認可装置２００と同様な構成も含むことができ、図３のフローチャートと同様な動作も行うことができるが、ここでは省略してある。
【００５３】
認可装置２２０において、第１ポリシ作成部２２２は、たとえば、認可装置２２０の管理者からリソース１０へのアクセス制御のポリシの設定を受け付け、受け付けた設定に基づき、第２部分ポリシを作成する。
認可装置２２０において、ＩｄＰ自身が規定したアクセス制御ポリシを策定し、そのポリシの設定を第１ポリシ作成部２２２が受け付ける。第１ポリシ作成部２２２が作成するポリシは、認可装置２２０がアクセス制御を実行するために必要となるポリシ要素を全て規定する必要はない。ポリシの要素の一部は規定されていなくてもよい。たとえば、ポリシ内の「アクセス先リソース情報」を規定しなくてもよい。このＩｄＰが最初に策定したポリシを第１部分ポリシと呼ぶ。
【００５４】
サービス提供装置３００の第２ポリシ作成部３０２は、たとえば、サービス提供装置３００の管理者からリソース１０へのアクセス制御のポリシの設定を受け付け、受け付けた設定に基づき、第２部分ポリシを作成する。この第２部分ポリシは、ＳＰが保有している情報に基づき、ＳＰ自身が規定したポリシである。
【００５５】
サービス提供装置３００の第２ポリシ作成部３０２および認可装置２２０の第１ポリシ作成部２２２におけるポリシの設定は、たとえば、各装置の表示装置１５２（図２）にポリシ設定用画面（不図示）を表示する。ポリシ設定用画面は、各装置がそれぞれ所持している範囲のリソース１０およびユーザ３の属性情報、さらに、各プロバイダ（ＳＰまたはＩｄＰ）が保有する各種情報を提示することができる。管理者は、ポリシ設定用画面に提示された情報を参照しながら、入力装置１５０（図２）を用いてポリシの設定操作を行う。第１ポリシ作成部２２２および第２ポリシ作成部３０２は、管理者の設定操作を操作受付部１２８（図２）を介して受け付ける。ポリシ設定内容や操作方法については、様々なユーザインタフェースが考えられるが、本発明の本質に関わらないので、詳細な説明は省略する。
【００５６】
結合ポリシ取得部２２４は、サービス提供装置３００の第２ポリシ作成部３０２が作成したリソース１０へのアクセス制御の第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを取得する。具体的なポリシの結合方法および取得方法は、様々考えられ、後述する実施形態で詳細に説明する。結合ポリシ取得部２２４は、取得した結合ポリシをポリシ格納部２１０に格納し、認可判定部２０８が認可判定に使用することとなる。この結合ポリシは、事前に検証は行わず、認可装置２２０のポリシ格納部２１０に保管され、上記実施形態で述べたように、認可判定時に使用される。
【００５７】
たとえば、結合ポリシは、第１部分ポリシに、ＩｄＰが規定していないポリシ要素を追加して記述したり、ＩｄＰが規定した第１部分ポリシを上書きしたりすることで、第２部分ポリシと結合し、結合ポリシが作成される。
【００５８】
本実施形態のコンピュータプログラムは、上述したサービス提供装置および認可装置の各ユニットの各機能を実現するためのコンピュータに、以下の手順を実行させるように記述される。
【００５９】
本実施形態のコンピュータプログラムは、サービス提供装置３００を実現させるためのコンピュータに、リソース１０へのアクセスの認可判定を行う認可装置２２０が作成した第１部分ポリシと結合して、認可装置２２０が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、リソース１０へのアクセス制御のポリシの設定を受け付けて、作成する手順を実行させるように記述されている。
【００６０】
また、本実施形態のコンピュータプログラムは、認可装置２２０を実現させるためのコンピュータに、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する手順、サービス提供装置３００が作成したリソース１０へのアクセス制御の第２部分ポリシと、第１部分ポリシと、を結合した結合ポリシを、仮登録されたポリシとして用いて認可判定を行う手順を実行させるように記述されている。
【００６１】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。図５は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図４および図５を用いて説明する。
【００６２】
本発明の実施の形態に係るアクセス制御方法は、サービス提供装置３００の第２ポリシ作成部３０２（図４）が、リソース１０（図４）へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し（図５のステップＳ３０１）、認可装置２２０の第１ポリシ作成部２２２（図４）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し（図５のステップＳ２２１）、認可装置２２０の認可判定部２０８（図４）が、サービス提供装置３００の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２２０の第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを、仮登録されたポリシとして用いて認可判定を行う（不図示）。
【００６３】
より詳細には、本実施形態のアクセス制御システム１において、サービス提供装置３００の第２ポリシ作成部３０２が、サービス提供装置３００の管理者からポリシの設定を受け付け、受け付けた設定に従い、第２部分ポリシを作成する（図５のステップＳ３０１）。
【００６４】
また、認可装置２２０の第１ポリシ作成部２２２が、認可装置２２０の管理者からポリシの設定を受け付け、受け付けた設定に従い、第１部分ポリシを作成する（図５のステップＳ２２１）。
【００６５】
そして、認可装置２２０の結合ポリシ取得部２２４が、サービス提供装置３００の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２２０の第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを取得する（図５のステップＳ２２３）。
【００６６】
そして、認可装置２２０の結合ポリシ取得部２２４が、取得した結合ポリシを、認可装置２２０のポリシ格納部２１０（図４）に登録する（図５のステップＳ２２５）。
認可装置２００の認可判定部２０８（図４）は、図５のステップＳ２２５で仮登録されたポリシを用いて認可判定を行う（不図示）。
【００６７】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、認可装置２２０とサービス提供装置３００が、それぞれ作成した部分ポリシを元に結合ポリシを作成するので、認可装置２２０が保有しているユーザ情報記憶部２０４やリソース情報記憶部２０６の情報をサービス提供装置３００が事前に取得して管理しておく必要がなくなる。そのため、サービス提供装置３００は、サービス提供装置３００が保持している情報のみに基づいて、ポリシを簡単に設定することができるので、ポリシ作成処理の負荷を軽減できる。
【００６８】
さらに、本実施形態によれば、サービス提供装置３００が作成した第２部分ポリシは、認可装置２２０がユーザ３やリソース１０の属性情報に基づいて作成した第１部分ポリシと結合して結合ポリシとして認可判定に用いられる。したがって、サービス提供装置３００が保持する情報だけでなく、認可装置２２０が保有する情報に基づいて結合ポリシを動的に作成できるので、より適切なポリシの設定が可能となる。
【００６９】
（第３の実施の形態）
図６は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、図４の上記実施の形態とは、サービス提供装置３１０および認可装置２３０がそれぞれ作成した部分ポリシを結合して作成された、認可判定に用いる結合ポリシを、認可装置２３０が作成する点で相違する。なお、本実施形態では、結合ポリシを認可装置が作成するが、後述する他の実施形態で説明するように、サービス提供装置が結合ポリシを作成してもよい。
【００７０】
本実施形態のアクセス制御システム１において、サービス提供装置３１０は、図４の上記実施形態のサービス提供装置３００と同様な第２ポリシ作成部３０２を備えるとともに、さらに部分ポリシ送信部３１２を備える。
認可装置２３０は、図４の上記実施形態の認可装置２２０と同様なユーザ情報記憶部２０４、リソース情報記憶部２０６、認可判定部２０８、ポリシ格納部２１０、および第１ポリシ作成部２２２を備えるとともに、さらに、部分ポリシ受信部２３２と、結合ポリシ作成部２３４と、を備える。
なお、本実施形態の認可装置２３０は、図６には図示されていないが、図１の認可装置２００と同様な要求受付部２０２と、応答部２１２と、を備えることができる。
【００７１】
本実施形態において、サービス提供装置３１０は、リソース１０へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成する第２ポリシ作成部３０２を備える。さらに、サービス提供装置３１０は、第２ポリシ作成部３０２が作成した第２部分ポリシを認可装置２３０に送信する部分ポリシ送信部３１２を備える。
【００７２】
認可装置２３０は、サービス提供装置３１０から、リソース１０へのアクセス制御の第２部分ポリシを受信する部分ポリシ受信部２３２と、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成するポリシ作成部（第１ポリシ作成部２２２）と、部分ポリシ受信部２３２が受信した第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成部２３４と、をさらに備える。
また、認可判定部２０８は、結合ポリシ作成部２３４が作成した結合ポリシを仮登録されたポリシとして用いて認可判定を行う。
【００７３】
結合ポリシ作成部２３４は、たとえば、サービス提供装置３１０から部分ポリシ受信部２３２が受信した第２部分ポリシを、第１ポリシ作成部２２２が作成した第１部分ポリシに、追記または上書きして、結合ポリシを完成することができる。
【００７４】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。図７は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図６および図７を用いて説明する。
【００７５】
本発明の実施の形態に係るアクセス制御方法は、サービス提供装置３１０の第２ポリシ作成部３０２（図６）が、リソース１０（図６）へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し（図７のステップＳ３０１）、認可装置２３０の第１ポリシ作成部２２２（図６）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し（図７のステップＳ２２１）、認可装置２３０の結合ポリシ作成部２３４（図６）が、サービス提供装置３１０の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２３０の第１ポリシ作成部２２２が作成した第１部分ポリシとを結合し、結合ポリシを作成し（図７のステップＳ２３３）、認可装置２３０の認可判定部２０８（図６）が、認可装置２３０の結合ポリシ作成部２３４が作成した結合ポリシを仮登録されたポリシとして用いて認可判定を行う。
【００７６】
より詳細には、図７に示すように、本実施形態のアクセス制御システム１において、サービス提供装置３１０の第２ポリシ作成部３０２（図６）が、第２部分ポリシを作成する（図７のステップＳ３０１）。そして、サービス提供装置３１０の部分ポリシ送信部３１２（図６）が、第２ポリシ作成部３０２が作成した第２部分ポリシを認可装置２３０（図６）に送信する（図７のステップＳ３１１）。
【００７７】
また、認可装置２３０の第１ポリシ作成部２２２（図６）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する（図７のステップＳ２２１）。そして、認可装置２３０の部分ポリシ受信部２３２（図６）が、サービス提供装置３１０から第２部分ポリシを受信する（図７のステップＳ２３１）。そして、認可装置２３０の結合ポリシ作成部２３４（図６）が、受信した第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシを結合し、結合ポリシを作成する（図７のステップＳ２３３）。そして、認可装置２３０の結合ポリシ作成部２３４（図６）が、認可装置２３０のポリシ格納部２１０（図６）に作成した結合ポリシを登録する（図７のステップＳ２３５）。
そして、認可装置２３０の認可判定部２０８（図６）が、認可装置２３０のポリシ格納部２１０に登録された結合ポリシを仮登録されたポリシとして用いて認可判定を行う（不図示）。
【００７８】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、認可装置２３０とサービス提供装置３１０が、それぞれ作成した部分ポリシを元に結合ポリシを作成するので、認可装置２３０が保有しているユーザ情報記憶部２０４やリソース情報記憶部２０６の情報をサービス提供装置３１０が事前に取得して管理しておく必要がなくなる。そのため、サービス提供装置３１０が保持している情報のみに基づいて、サービス提供装置３１０がポリシを設定することができるので、ポリシ作成処理の負荷を軽減できる。
【００７９】
さらに、本実施形態によれば、サービス提供装置３１０が作成した第２部分ポリシは、認可装置２３０がユーザ３やリソース１０の属性情報に基づいて作成した第１部分ポリシと結合して結合ポリシとして認可判定に用いられる。したがって、サービス提供装置３１０が保持する情報だけでなく、認可装置２３０が保有する情報に基づいて結合ポリシを動的に作成できるので、より適切なポリシの設定が可能となる。
【００８０】
（第４の実施の形態）
図８は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、図６の上記実施の形態とは、サービス提供装置３２０が結合ポリシを生成する点で相違する。
【００８１】
本実施形態のアクセス制御システム１において、サービス提供装置３２０は、図６の上記実施形態のサービス提供装置３１０と同様な第２ポリシ作成部３０２を備えるとともに、さらに、第１ポリシ受信部３２２と、結合ポリシ作成部３２４と、結合ポリシ送信部３２６と、を備える。
【００８２】
また、認可装置２４０は、図６の上記実施形態の認可装置２３０と同じ、第１ポリシ作成部２２２と、ユーザ情報記憶部２０４と、リソース情報記憶部２０６と、認可判定部２０８と、ポリシ格納部２１０と、を備えるとともに、さらに、結合ポリシ作成指示部２４２と、結合ポリシ受信部２４４と、を備える。
【００８３】
サービス提供装置３２０において、認可装置２４０から、認可装置２４０が作成した第１ポリシを受信する第１ポリシ受信部３２２と、第２ポリシ作成部３０２が作成した第２部分ポリシと、第１ポリシ受信部３２２が受信した第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成部３２４と、結合ポリシ作成部３２４が作成した結合ポリシを認可装置２４０に送信する結合ポリシ送信部３２６と、を備える。
【００８４】
結合ポリシ作成部３２４は、認可装置２４０から第１ポリシ受信部３２２が受信した第１部分ポリシを、第２ポリシ作成部３０２が作成した第２部分ポリシに、追記または上書きして、結合ポリシを完成することができる。
【００８５】
認可装置２４０は、サービス提供装置３２０に、第１ポリシ作成部２２２が作成した第１部分ポリシを送信し、サービス提供装置３２０が作成した第２部分ポリシと、送信した第１部分ポリシを結合して結合ポリシを作成する指示を、サービス提供装置３２０に行う結合ポリシ作成指示部２４２と、サービス提供装置３２０から結合ポリシを受信する結合ポリシ受信部２４４と、をさらに備える。
また、認可判定部２０８は、結合ポリシ受信部２４４が受信した結合ポリシを仮登録されたポリシとして用いて認可判定を行う。
【００８６】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。図９は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図８および図９を用いて説明する。
【００８７】
まず、サービス提供装置３２０の第２ポリシ作成部３０２（図８）が、リソース１０（図８）へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し（図９のステップＳ３０１）、認可装置２４０の第１ポリシ作成部２２２（図８）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する（図９のステップＳ２２１）。
【００８８】
そして、認可装置２４０の結合ポリシ作成指示部２４２（図８）が、サービス提供装置３２０に、認可装置２４０の第１ポリシ作成部２２２が作成した第１部分ポリシを送信する。そして、サービス提供装置３２０が作成した第２部分ポリシと、受信した第１部分ポリシを結合して結合ポリシを作成する指示を、認可装置２４０の結合ポリシ作成指示部２４２が、サービス提供装置３２０に行う（図９のステップＳ２４１）。
【００８９】
サービス提供装置３２０の第１ポリシ受信部３２２（図８）が、認可装置２４０から、認可装置２４０が作成した第１ポリシを受信する（図９のステップＳ３２１）。そして、サービス提供装置３２０の結合ポリシ作成部３２４（図８）が、サービス提供装置３２０の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２４０の第１ポリシ受信部３２２が受信した第１部分ポリシとを結合し、結合ポリシを作成する（図９のステップＳ３２３）。そして、サービス提供装置３２０の結合ポリシ送信部３２６（図８）が、サービス提供装置３２０の結合ポリシ作成部３２４が作成した結合ポリシを認可装置２４０に送信する（図９ステップＳ３２５）。
【００９０】
そして、認可装置２４０の結合ポリシ受信部２４４（図８）が、サービス提供装置３２０から結合ポリシを受信する（図９のステップＳ２４３）。そして、認可装置２４０の結合ポリシ受信部２４４（図８）が、認可装置２４０のポリシ格納部２１０（図８）に作成した結合ポリシを登録する（図９のステップＳ２４５）。
認可装置２４０の認可判定部２０８（図８）が、認可装置２４０のポリシ格納部２１０に登録された結合ポリシを仮登録されたポリシとして用いて認可判定を行う（不図示）。
【００９１】
以上、説明したように、本発明の実施の形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、認可装置２４０とサービス提供装置３２０が、それぞれ作成した部分ポリシを元に結合ポリシを作成するので、認可装置２４０が保有しているユーザ情報記憶部２０４やリソース情報記憶部２０６の情報をサービス提供装置３２０が事前に取得して管理しておく必要がなくなる。そのため、サービス提供装置３２０が保持している情報のみに基づいて、サービス提供装置３２０がポリシを設定することができるので、ポリシ作成処理の負荷を軽減できる。
【００９２】
さらに、本実施形態によれば、サービス提供装置３２０が作成した第２部分ポリシは、認可装置２４０がユーザ３やリソース１０の属性情報に基づいて作成した第１部分ポリシと結合して結合ポリシとして認可判定に用いられる。したがって、サービス提供装置３２０が保持する情報だけでなく、認可装置２４０が保有する情報に基づいて結合ポリシを動的に作成できるので、より適切なポリシの設定が可能となる。
【００９３】
（第５の実施の形態）
本実施形態のアクセス制御システム１は、上記実施の形態とは、認可判定に検証済みのポリシを用いる点で相違する。
本実施形態のアクセス制御システム１において、サービス提供装置および認可装置は、図１、図４、図６、図８の上記実施形態のいずれかと同様な構成とすることができる。
以下の説明では、図１の実施形態の構成を有するものとして説明する。
【００９４】
本実施形態において、認可装置２００は、リソース１０へのアクセスを許可するか否かの認可判定に利用するポリシを記憶するポリシ記憶装置（ポリシ格納部２１０）を備える。
また、認可装置２００の認可判定部２０８は、検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて認可判定を行う。
【００９５】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。
図１０は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１および図１０を用いて説明する。
【００９６】
本実施形態のアクセス制御方法において、認可装置２００（図１）は、検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて認可判定を行う（図１０のステップＳ１１３）。
【００９７】
より詳細には、本実施形態のアクセス制御方法は、図３の上記実施形態のフローチャートと同様なステップＳ１０１、およびステップＳ１０５乃至ステップＳ１０９を有するとともに、さらに、図１０のステップＳ１１１乃至ステップＳ１１５をさらに有する。図１０では、ステップＳ１０５〜ステップＳ１０９は省略する。
【００９８】
図１０に示すように、まず、リソース１０（図１）へのアクセスの認可判定を行う認可装置２００（図１）が、ユーザ３（図１）にサービスを提供するサービス提供装置１００（図１）から、ユーザ３からのリソースへのアクセス要求（認可要求）を受け付ける（図１０のステップＳ１０１）。
【００９９】
アクセス要求（認可要求）に呼応して、認可装置２００の認可判定部２０８（図１）が、ポリシ格納部２１０（図１）を参照し、検証済みポリシとして登録されたポリシが有るか否かを判定する（図１０のステップＳ１１１）。検証済みポリシがある場合（図１０のステップＳ１１１のＹＥＳ）、認可装置２００の認可判定部２０８は、当該検証済みポリシを用いて認可判定を行う（図１０のステップＳ１１３）。そして、図１０のステップＳ１１３の後、図３のステップＳ１０９に進み、認可判定の判定結果をサービス提供装置１００に返信することとなる。
【０１００】
また、検証済みポリシがない場合（図１０のステップＳ１１１のＮＯ）、認可装置２００の認可判定部２０８は、ポリシ格納部２１０に仮登録されたポリシを用いて認可判定を行う（図１０のステップＳ１１５）。そして、図１０のステップＳ１１５の後、図３のステップＳ１０５に進み、認可判定の結果、ポリシ設定違反があるか否かの判定処理を行うこととなる。
【０１０１】
なお、ポリシ格納部２１０に格納されているポリシが必ず検証済みポリシであることが分かっている場合には、図１０のステップＳ１１１の判定処理およびステップＳ１１５は不要となる。そして、図３のステップＳ１０５およびステップＳ１０７の処理も不要となる。
【０１０２】
以上、説明したように、本発明の実施の形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、検証済みポリシを用いて認可判定を行うことができるので、ポリシ設定違反がなくなるため、ポリシ設定違反判定手順が不要となり、適切なポリシで認可判定処理をより簡略化でき、認可判定処理の負荷を低減できる。
【０１０３】
（第６の実施の形態）
図１１は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、上記実施の形態とは、サービス提供装置３４０が、ユーザ３からのリソース１０へのアクセス要求に対するサービス提供を行う機能を実現するための構成を有する点で相違する。
【０１０４】
本実施形態のサービス提供装置３４０は、図１の上記実施形態のアクセス制御システム１のサービス提供装置１００の構成要素に加え、さらに、認可要求部３４２と、結果受信部３４６と、サービス提供部３４８と、を備える。図１１では、図１の構成は省略してある。なお、本実施形態のアクセス制御システム１は、図１の上記実施形態の認可装置２００を備えているが、図４、図６、または図８の上記実施形態の認可装置を備えてもよい。
【０１０５】
本実施形態のサービス提供装置３４０は、認可装置２００に、ユーザ３からのリソース１０へのアクセス要求に呼応して、リソース１０へのアクセスの認可判定を要求する認可要求部３４２と、認可装置２００からリソース１０へのアクセスの認可判定の結果を受信する認可判定結果受信部（結果受信部３４６）と、結果受信部３４６が受信した認可判定の結果に応じて、ユーザ３からのアクセス要求に対応するリソース１０へのアクセスを実行するアクセス実行部（サービス提供部３４８）と、を備える。
【０１０６】
より詳細には、サービス提供装置３４０において、認可要求部３４２は、ユーザ３からのリソース１０へのアクセス要求に呼応して、認可装置２００にリソース１０へのアクセスの認可判定を要求する。
結果受信部３４６は、認可装置２００からリソース１０へのアクセスの認可判定の結果を受信する。
サービス提供部３４８は、結果受信部３４６が受信した認可判定の結果に応じて、ユーザ３からのアクセス要求に対応するリソース１０へのアクセスを実行する。
【０１０７】
このように構成された本実施形態のアクセス制御システム１の動作について、以下に説明する。
図１２は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１１および図１２を用いて説明する。
【０１０８】
まず、ユーザ３（図１１）がサービス提供装置３４０（図１１）に対し、サービスアクセス要求を行う（図１２のステップＳ４０１）。たとえば、ウェブサイト（不図示）にアクセスし、あるコンテンツをダウンロードする操作をユーザ３の端末（不図示）で行うことで、ユーザ３からアクセス要求を行う。
【０１０９】
サービス提供装置３４０の認可要求部３４２（図１１）が、ユーザ３からのアクセス要求に呼応して（図１２のステップＳ５０１のＹＥＳ）、認可装置２００（図１１）に対し、認可判定を要求する（図１２のステップＳ５０３）。
【０１１０】
そして、認可装置２００において、上記実施形態の図３または図１０で説明したような認可判定を行い、その結果がサービス提供装置３４０に返信される。サービス提供装置３４０の結果受信部３４６（図１１）が、認可装置２００から判定結果を受信する（図１２のステップＳ５０５）。
【０１１１】
そして、受信した判定結果を参照し、リソース１０へのアクセスが許可された場合（図１２のステップＳ５０７のＹＥＳ）、サービス提供装置３４０のサービス提供部３４８（図１１）が、リソース１０にアクセスし、ユーザ３にサービスを提供する（図１２のステップＳ５０９）。
【０１１２】
一方、受信した判定結果を参照し、リソース１０へのアクセスが禁止された場合（図１２のステップＳ５０７のＮＯ）、サービス提供装置３４０のサービス提供部３４８が、ユーザ３にアクセス不可を通知する（図１２のステップＳ５１１）。たとえば、サービス提供部３４８は、ユーザ３の端末のディスプレイ（不図示）の画面上にリソース１０へのアクセス権を有していないことなどの通知メッセージを表示する。
【０１１３】
ユーザ３の端末は、サービス提供装置３４０から提供されたサービスや、アクセス不可の通知を受信する（図１２のステップＳ４０３）。たとえば、リソース１０へのアクセスが可能な場合、ユーザ３の端末は、リソース１０にアクセスし、ダウンロードすることができる。
【０１１４】
以上、説明したように、本実施形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、ユーザ３からのリソース１０へのアクセス要求に対し、適切なポリシで認可判定を行い、ユーザ３に迅速にサービスを提供できることとなる。
（第７の実施の形態）
図１３は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、上記実施の形態とは、認可判定の結果、ポリシにポリシ設定違反があった場合、ポリシを再設定する点で相違する。
図１３に示すように、本実施形態のアクセス制御システム１は、認可装置２６０と、サービス提供装置３５０と、を備える。
【０１１５】
上述したように、本実施形態のアクセス制御システム１では、認可装置２６０のみが認可判定に利用できる情報を保有しているため、サービス提供装置３５０は、認可装置２６０がどの情報を認可判定に利用しているか把握していない。そのため、サービス提供装置３５０が設定したポリシを、認可装置２６０は適切に解釈できるか、サービス提供装置３５０は検証できない。
【０１１６】
また、認可装置２６０が保有していない情報をサービス提供装置３５０がポリシとして設定しても、認可装置２６０は認可判定を行えない。たとえば、サービス提供装置３５０は認可装置２６０が判定できないポリシを作成する可能性がある。しかし、サービス提供装置３５０は認可装置２６０の保有情報を把握していないため、認可装置２６０がポリシを判定できるか、検証できない。その結果、アクセス制御が正しく行われない、という問題が生じる。
【０１１７】
そこで、本実施形態では、サービス提供装置３５０が設定したポリシを、認可装置２６０が認可判定したとき、ポリシ設定違反があった場合、ポリシの再設定をサービス提供装置３５０に要求し、ポリシを再設定させる。
【０１１８】
ここで、ポリシ設定違反とは、たとえば、結合ポリシの中に認可判定のために必須となる項目が設定されていない、認可装置２６０が保有していないユーザ情報をポリシが参照しようとしている、複数の矛盾するポリシが存在している、たとえば、ホワイトリストとブラックリストの両方が存在している、などである。
【０１１９】
本実施形態のアクセス制御システム１において、認可判定部２０８が認可判定に用いたポリシにポリシ設定違反があると判定された場合、ポリシの再設定を行うポリシ再設定部（結合ポリシ再設定部３５２）をさらに備える。認可判定部２０８は、結合ポリシ再設定部３５２が再設定したポリシを仮登録されたポリシとして用いて認可判定に用い、認可判定に用いたポリシにポリシ設定違反がないことを確認するまで、結合ポリシ再設定部３５２は、ポリシの再設定を繰り返し、認可判定部２０８は、結合ポリシ再設定部３５２が再設定したポリシを仮登録されたポリシとして用いて前記認可判定を繰り返す。
【０１２０】
具体的には、本実施形態の認可装置は、図６または図８の認可装置と同様な構成を有する。また、本実施形態のサービス提供装置は、図６または図８のサービス提供装置と同様な構成を有するとともに、さらに、図１１のサービス提供装置３４０とも同様な構成をする。そして、図１３に示すように、本実施形態のアクセス制御システム１は、上記構成に加え、さらに、結合ポリシ再設定部３５２を備える。
本実施形態において、結合ポリシ再設定部は、サービス提供装置または認可装置のいずれか、結合ポリシ作成部３５２を有する装置が有するものとする。すなわち、図６の場合、認可装置２３０が、図８の場合、サービス提供装置３２０が、結合ポリシ再設定部３５２を備えることができる。
【０１２１】
より詳細には、図１３では、サービス提供装置３５０が結合ポリシ再設定部３５２を備えている。同図において、サービス提供装置３５０は、図８の上記実施形態のサービス提供装置３２０と同様な第２ポリシ作成部３０２と、第１ポリシ受信部３２２と、結合ポリシ作成部３２４と、結合ポリシ送信部３２６と、さらに、図１１のサービス提供装置３４０と同様な認可要求部３４２と、結果受信部３４６と、サービス提供部３４８と、を備えるとともに、さらに、結合ポリシ再設定部３５２を備える。
【０１２２】
サービス提供装置３５０において、結合ポリシ再設定部３５２は、認可装置２６０の認可判定部２０８が認可判定に用いたポリシにポリシ設定違反があると判定した場合に認可装置２６０からのポリシの再設定指示に従い、結合ポリシの再設定を行う。
【０１２３】
結合ポリシの再設定処理は、たとえば、上述した表示装置１５２（図２）に表示されたポリシ設定用画面などに、現在のポリシの設定情報を管理者に提示するとともに、ポリシの変更や追加を行う管理者の操作を、操作受付部１２８（図２）を介して受け付けて、ポリシを再設定することができる。
【０１２４】
また、認可装置２６０は、再設定指示に、ポリシ設定違反となった項目を含めてサービス提供装置３５０に送信することで、通知してもよい。サービス提供装置３５０は、通知されたポリシ設定違反となった項目を、表示装置１５２の設定画面上に提示して、管理者に通知することができる。管理者は、ポリシ設定違反となった項目を確認しながら、ポリシを再設定できる。
【０１２５】
また、本実施形態の認可装置２６０は、図１の上記実施形態の認可装置２００と同様な要求受付部２０２と、ユーザ情報記憶部２０４と、リソース情報記憶部２０６と、認可判定部２０８と、ポリシ格納部２１０と、応答部２１２と、図８の上記実施形態の認可装置２４０と同様な第１ポリシ作成部２２２と、結合ポリシ作成指示部２４２と、結合ポリシ受信部２４４と、を備えるとともに、さらに、結合ポリシ再設定指示部２６２を備える。
【０１２６】
認可装置２６０において、結合ポリシ再設定指示部２６２は、認可判定部２０８が認可判定に用いたポリシにポリシ設定違反があると判定した場合、ポリシの再設定を行うようサービス提供装置３５０に指示する。サービス提供装置３５０が再設定したポリシは、上記実施形態と同様に、結合ポリシ受信部２４４が受信し、認可判定部２０８が認可判定に使用することとなる。
【０１２７】
このように構成された本実施形態のアクセス制御システム１の動作について、以下に説明する。図１４は、本発明の実施の形態に係るアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１３および１図１４を用いて説明する。
図１４において、認可装置２６０は、事前に図９の上記実施形態の認可装置２４０の動作を示すフローチャートと同様なステップＳ２２１、ステップＳ２４１〜ステップＳ２４５を行った後、図３の上記実施形態の認可装置２００の動作を示すフローチャートと同様なステップＳ１０１〜ステップＳ１０９を行うとともに、さらに、ステップＳ２６１とステップＳ２６３を有する。サービス提供装置３５０は、事前に図９の上記実施形態のサービス提供装置３２０の動作を示すフローチャートと同様なステップＳ３０１、ステップＳ３２１〜ステップＳ３２５を行った後、図１４の本実施形態のサービス提供装置３５０の動作を示すフローチャートのステップＳ３５１〜ステップＳ３５９を行う。
【０１２８】
具体的には、まず、サービス提供装置３５０の認可要求部３４２（図１３）が、ユーザ３（図１３）からのリソース１０（図１３）へのアクセス要求に呼応して、認可装置２６０（図１３）に認可要求を行う（図１４のステップＳ３５１）。認可装置２６０の要求受付部２０２（図１３）が、サービス提供装置３５０からの認可要求を受け付け（図１４のステップＳ１０１）、認可装置２６０の認可判定部２０８（図１３）が、認可判定を行う（図１４のステップＳ１０３）。
【０１２９】
認可判定の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反があった場合（図１４のステップＳ１０５のＹＥＳ）、認可装置２６０の結合ポリシ再設定指示部２６２（図１３）が、サービス提供装置３５０にポリシの再設定を指示する（図１４のステップＳ２６１）。そして、サービス提供装置３５０の結合ポリシ再設定部３５２（図１３）が、認可装置２６０からの指示を受信すると（図１４のステップＳ３５３）、サービス提供装置３５０の結合ポリシ再設定部３５２が、ポリシの再設定を行う（図１４のステップＳ３５５）。そして、結合ポリシ再設定部３５２が再設定した結合ポリシを結合ポリシ送信部３２６（図１３）が、認可装置２６０に送信する（図１４のステップＳ３５７）。
【０１３０】
なお、図１４のステップＳ３５３においてポリシ再設定指示を受信しなかった場合、ステップＳ３５９で判定結果を受信することとなる。図１４では、サービス提供装置３５０がステップＳ３５３とステップＳ３５９でそれぞれ認可装置２６０からポリシ再設定指示と判定結果を受信するように記載されているが、これに限定されない。サービス提供装置３５０が、認可装置２６０から受信した情報が、ポリシ再設定指示か判定結果かを判別し、ポリシ再設定指示の場合、ステップＳ３５５に進み、判定結果の場合、本処理を終了して、アクセス可否判断に進むなど手順を分岐してもよい。
【０１３１】
そして、認可装置２６０の結合ポリシ受信部２４４（図１３）が、サービス提供装置３５０から送信された、再設定された結合ポリシを受信する（図１４のステップＳ２６３）。そして、ステップＳ１０３に戻り、受信した結合ポリシを用いて、認可判定部２０８が、認可判定を行う。
【０１３２】
結合ポリシの設定違反がなくなるまで図１４のステップＳ１０３、ステップＳ１０５、ステップＳ２６１、ステップＳ３５３〜ステップＳ３５７、およびステップＳ２６３を繰り返す。
【０１３３】
認可装置２６０において、予め仮登録されたポリシにポリシ設定違反がなった場合（図１４のステップＳ１０５のＮＯ）、認可装置２６０の認可判定部２０８が、ポリシ設定違反がなかったポリシを検証済みポリシとして認可装置２００のポリシ格納部２１０（図１３）に登録する（図１４のステップＳ１０７）。そして、認可装置２６０の応答部２１２（図１３）が、ポリシ設定違反がなかったポリシを用いた認可判定の判定結果をサービス提供装置３５０に返信する（図１４のステップＳ１０９）。そして、サービス提供装置３５０の結果受信部３４６（図１３）が、認可装置２６０から判定結果を受信する（図１４のステップＳ３５９）。
【０１３４】
このようにして得られた認可判定の結果を受けて、サービス提供装置３５０のサービス提供部３４８は、ユーザ３のリソース１０へのアクセス可否を判断し、サービス提供処理を行う（不図示）。
サービス提供装置３５０の認可要求部３４２が判定結果を受信した後の処理は、図１２の上記実施形態のサービス提供装置３４０のステップＳ５０５以降と同様の処理とすることができる。
【０１３５】
以上、説明したように、本発明の実施の形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、検証済みポリシを効率よく設定できる。その理由は、未検証のポリシの認可判定の結果から、ポリシ設定違反が見つかった場合に、ポリシを再設定し、ポリシ設定違反がなくなるまで、ポリシの設定を繰り返し、最終的に検証済みポリシを登録することができるからである。
【０１３６】
（第８の実施の形態）
図１５は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
図１５に示すように、本実施形態のアクセス制御システム１は、認可装置２７０と、サービス提供装置３６０と、を備える。
本実施形態のアクセス制御システム１は、図１３の上記実施形態と、認可判定時にポリシ設定違反と判別された場合のポリシ再設定処理が異なる。すなわち、本実施形態では、ポリシ設定違反の場合、認可装置２７０が認可判定に必要と考えるポリシに基づいて結合ポリシを作成し、サービス提供装置３６０がその結合ポリシを検証し、ユーザ３にリソース１０へのアクセスを許可するか禁止するかを判断し、その結果をポリシに反映して、認可装置２７０に送信し、認可装置２７０が認可判定処理を行う。
【０１３７】
本実施形態のサービス提供装置３６０は、図１３の上記実施形態のサービス提供装置３５０と同様な構成を有するとともに、さらに、結合ポリシ受信部３６２と、結合ポリシ検証部３６４を備える。
また、本実施形態の認可装置２７０は、図１３の上記実施形態の認可装置２６０と同様な構成を有するとともに、さらに、結合ポリシ作成部２７２と、結合ポリシ送信部２７４を備える。
なお、図１３のサービス提供装置３５０および認可装置２６０の構成要素のうち一部の構成のみを図１５に記載してある。
【０１３８】
本実施形態の認可装置２７０において、結合ポリシ作成部２７２は、ポリシ格納部２１０に仮登録されたポリシを用いて認可判定部２０８の認可判定を行った際に、ポリシ設定違反と判定された場合、結合ポリシを作成する。
【０１３９】
ここで、結合ポリシ作成部２７２が作成する結合ポリシには、現在、認可装置２７０が判定しようとしているアクセスの状況の情報、たとえば、アクセス元エンティティ、アクセス先リソース、リソースに対する処理（Ｒｅａｄ／Ｗｒｉｔｅなど）、実行条件（有効期間など）などが含まれる。
【０１４０】
結合ポリシ送信部２７４は、結合ポリシ作成部２７２が作成した結合ポリシをサービス提供装置３６０に送信する。
サービス提供装置３６０の結合ポリシ受信部３６２は、認可装置２７０から送信された結合ポリシを受信する。結合ポリシ検証部３６４は、結合ポリシ受信部３６２が受信した結合ポリシから状況の情報を検証し、ユーザ３にリソース１０へのアクセスを認めるか否かを判断する。そして、結合ポリシ検証部３６４は、その結果を新たな結合ポリシとして規定し、結合ポリシ送信部３２６に受け渡し、認可装置２７０に送信させる。
【０１４１】
ここで、結合ポリシ検証部３６４は、受信した結合ポリシから取得した状況の情報に基づいて、予め決められた基準に基づいて、アクセスを認めるか否かを判断してもよい。あるいは、結合ポリシ検証部３６４は、受信した結合ポリシから取得した状況の情報を表示装置１５２（図２）の設定画面上に提示し、管理者は状況を確認し、アクセスを認めるか否かを判断して、入力装置１５０（図２）を用いてアクセスを認めるか否かを選択操作し、操作受付部１２８（図２）を介して受け付けてもよい。
【０１４２】
このように構成された本実施形態のアクセス制御システム１のポリシ再設定処理の手順について、以下に説明する。図１６は、本発明の実施の形態に係るアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１５および図１６を用いて説明する。
【０１４３】
認可装置２７０の処理手順は、図１４の上記実施形態のフローチャートと同様なステップＳ１０１〜ステップＳ１０９を有するとともに、さらに、ステップＳ２７１〜ステップＳ２７５を有する。また、サービス提供装置３６０の処理手順は、図１４の上記実施形態のフローチャートと同様なステップＳ３５１およびステップＳ３５９を有するとともに、さらに、ステップＳ３６３〜ステップＳ３６７を有する。
【０１４４】
ここでは、上記実施形態と異なる処理、すなわち、認可装置２７０の認可判定部２０８（図１５）が、ポリシ設定違反と判定した場合（ステップＳ１０５のＹＥＳ）の処理以降について説明する。
【０１４５】
認可装置２７０の認可判定部２０８（図１５）が、ポリシ設定違反と判定した場合（ステップＳ１０５のＹＥＳ）、認可装置２７０の結合ポリシ作成部２７２（図１５）が、自身が判定しようとしているアクセスの状況を含む結合ポリシを作成する（図１６のステップＳ２７１）。
【０１４６】
そして、結合ポリシ作成部２７２が作成した結合ポリシを、認可装置２７０の結合ポリシ送信部２７４（図１５）サービス提供装置３６０に送信する（図１６のステップＳ２７３）。そして、サービス提供装置３６０の結合ポリシ受信部３６２（図１５）が、認可装置２７０から結合ポリシを受信する（図１６のステップＳ３６３）。
【０１４７】
サービス提供装置３６０の結合ポリシ検証部３６４（図１５）が、結合ポリシ受信部３６２が受信した結合ポリシからアクセスの状況を検証し、ユーザ３にアクセスを認めるか否かを判断する。そして、判断した結果を含めて、新たにポリシを規定する（図１６のステップＳ３６５）。
【０１４８】
そして、サービス提供装置３６０の結合ポリシ送信部３２６（図１５）が、新たに規定された結合ポリシを認可装置２７０に送信する（図１６のステップＳ３６７）。そして、認可装置２７０の結合ポリシ受信部２４４（図１５）が、サービス提供装置３６０から新たに規定された結合ポリシを受信する（図１６のステップＳ２７５）。そして、図１６のステップＳ１０３に戻り、認可装置２７０の認可判定部２０８が、結合ポリシ受信部２４４が受信した結合ポリシを用いて認可判定を行う。
【０１４９】
なお、図１６のステップＳ３６３において結合ポリシを受信しなかった場合、ステップＳ３５９で判定結果を受信することとなる。図１６では、サービス提供装置３６０がステップＳ３６３とステップＳ３５９でそれぞれ認可装置２７０から結合ポリシと判定結果を受信するように記載されているが、これに限定されない。図１４の上記実施形態と同様で、サービス提供装置３６０が、認可装置２７０から受信した情報が、結合ポリシか判定結果かを判別し、結合ポリシの場合、ステップＳ３６５に進み、判定結果の場合、本処理を終了して、アクセス可否判断に進むなど手順を分岐してもよい。
【０１５０】
このように、認可装置２７０がサービス提供装置３６０に対してポリシ再設定指示を行う替わりに、認可装置２７０からサービス提供装置３６０に結合ポリシを送信し、サービス提供装置３６０は、ポリシを再設定する替わりに、認可装置２７０が作成した結合ポリシを検証し、その結果をポリシに反映することで、ポリシ設定違反を解消できるようになっている。
【０１５１】
以上、説明したように、本実施形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、さらに、ポリシ設定違反時に、確実に照合可能なポリシの作成が可能となる。その理由は、認可装置２７０が判定しようとしている状況を含む結合ポリシをサービス提供装置３６０に通知し、サービス提供装置３６０がその結合ポリシを検証し、ユーザ３にアクセスを認めるか否かを判断した上で、新たな結合ポリシを規定してサービス提供装置３６０に通知するからである。結果として、認可装置２７０が判定できないポリシを含むことなく、かつ、サービス提供装置３６０が意図するアクセス可否判断結果が反映されたポリシを作成することができる。このようにして、確実に照合可能なポリシが作成されることとなる。
【０１５２】
（第９の実施の形態）
図１７は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、認可装置２８０と、図１１の上記実施形態と同様なサービス提供装置３４０と、を備える。
本実施形態のアクセス制御システム１は、上記実施の形態とは、認可判定時に情報が不足した場合、情報を収集する点で相違する。
【０１５３】
上述したように、認可装置２８０のみが認可判定に利用できる情報を保有しているため、サービス提供装置３４０はどの情報を認可判定に利用しているか把握していない。したがって、サービス提供装置３４０は認可装置２８０が判定できないポリシを作成する可能性がある。
そこで、本実施形態では、サービス提供装置３４０が設定したポリシを用いて認可判定を行う時、必要な情報が不足した場合に、情報を収集する。
【０１５４】
本実施形態のアクセス制御システム１のサービス提供装置３４０は、図１１の上記実施形態のサービス提供装置３４０と同様な構成を備える。また、本実施形態の認可装置２８０は、図１１の上記実施形態の認可装置２００と同様な要求受付部２０２と、ユーザ情報記憶部２０４と、リソース情報記憶部２０６と、ポリシ格納部２１０と、の応答部２１２と、を有するとともに、さらに、認可判定部２８２と、情報収集部２８４と、を備える。
なお、本実施形態のアクセス制御システム１は、他の上記実施形態のアクセス制御システム１の構成も含むことができる。
【０１５５】
本実施形態の認可装置２８０において、認可判定部２８２が認可判定を行うとき、ユーザ３の属性情報が不足した場合、不足したユーザ３の属性情報を収集する収集部（情報収集部２８４）をさらに備える。
【０１５６】
認可判定部２８２は、ユーザ３の属性情報が不足した場合、情報収集部２８４にユーザ３の属性情報の収集を指示し、情報収集部２８４が収集したユーザ３の属性情報に基づいて、再度、認可判定を行う。認可判定部２８２は、認可判定を行う際、ユーザ情報記憶部２０４に記憶されたユーザ３の属性情報を用いて判定を行うが、ユーザ情報記憶部２０４から認可判定に必要な属性情報が得られなかった場合に、情報収集部２８４が情報を収集する。
情報収集部２８４において、属性情報は、たとえば、他の装置（他の認可装置やサービス提供装置）などから取得することができる。
【０１５７】
このように構成された本実施形態のアクセス制御システム１の動作について、以下に説明する。図１８は、本発明の実施の形態に係るアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１７および図１８を用いて説明する。
本実施形態において、認可装置２８０は、図３の上記実施形態の認可装置２００の動作を示すフローチャートと同様なステップＳ１０１の後、図３のステップＳ１０３に替えて、ステップＳ１４１〜ステップＳ１４５をさらに備える。本実施形態の図１８のステップＳ１４５の後は、図３のステップＳ１０５以降と同様な処理を行う。
【０１５８】
具体的には、まず、認可装置２８０の要求受付部２０２（図１７）が、ユーザ３（図１７）にサービスを提供するサービス提供装置３４０（図１７）から、ユーザ３からのリソース１０へのアクセス要求（認可要求）を受け付ける（図１８のステップＳ１０１）。
【０１５９】
受け付けた認可要求に呼応して、認可装置２８０の認可判定部２８２（図１７）が認可判定を行うに際し、ユーザ３の属性情報が不足した場合（図１８のステップＳ１４１のＹＥＳ）、認可装置２８０の情報収集部２８４（図１７）が、不足しているユーザ３の属性情報を収集する（図１８のステップＳ１４３）。ユーザ３の属性情報が不足していない場合（図１８のステップＳ１４１のＮＯ）、図１８のステップＳ１４５に進む。
【０１６０】
そして、認可装置２８０の認可判定部２８２（図１７）が、ポリシ格納部２１０（図１７）に予め仮登録されたポリシを用いて、ユーザ情報記憶部２０４（図１７）およびリソース情報記憶部２０６（図１７）に記憶されたユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う（図１８のステップＳ１４５）。
そして、図３のステップＳ１０５に進む。
【０１６１】
なお、本実施形態では、ユーザ情報の不足の判定を図１８のステップＳ１４５の認可判定処理の前に行う構成としたが、これに限定されない。認可判定部２８２が認可判定を行うことで、ユーザ情報の不足を判定結果として出力し、その結果に従い、情報収集部２８４がユーザ情報を収集し、再度、認可判定部２８２が認可判定を行う構成とすることもできる。
【０１６２】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、検証済みでないポリシを用いた認可判定において、判定に必要な情報が不足した場合に、情報を収集して認可判定を行うことができるので、ポリシ設定違反となる可能性が低減する。
【０１６３】
上記実施形態のアクセス制御システム１において、各実施形態で説明した各処理を一連の処理として行うことができる。たとえば、認可装置２８０がサービス提供装置３４０から認可判定要求を受信したときに（各図のステップＳ１０１）、まず認可装置２８０は図５、図７、または図９の手順で作成した結合ポリシを利用して認可判定を行う（各図のステップＳ１０３または図１８のステップＳ１４５）。このとき、認可判定部２８２が出力する判定結果は「アクセスＯＫ」、「アクセスＮＧ」、「ポリシ設定違反」、または「ユーザ情報不足」を含む。
【０１６４】
「アクセスＯＫ」または「アクセスＮＧ」という判定が出た場合（各図のステップＳ１０５のＮＯ）、ポリシの照合ができたので「認可装置２８０が保有する結合ポリシはポリシ設定違反が無かった」とみなすことができる。そこで、このポリシを検証済みポリシとして認可装置２８０のポリシ格納部２１０内で保管し（各図のステップＳ１０７）、アクセス判定の結果をサービス提供装置３４０に返す（各図のステップＳ１０９）。
【０１６５】
「ユーザ情報不足」という判定が出た場合、たとえば、認可装置２８０保有情報を認可判定部２８２が取得していない場合（図１８のステップＳ１４１のＹＥＳ）、認可装置２８０の情報収集部２８４がユーザ情報を取得して、再度認可判定を行う（図１８のステップＳ１４５）。
【０１６６】
「ポリシ設定違反」という判定が出た場合（図１４のステップＳ１０５のＹＥＳ）、ポリシの照合ができなかったため、サービス提供装置３４０にポリシ再設定要求を出す（図１４のステップＳ２６１）。その後、再度結合ポリシを取得した場合（図１４のステップＳ２６３）、認可判定を再度行う（図１４のステップＳ１０３）。
【０１６７】
上記の処理によれば、結合ポリシを認可装置２８０が検証しない場合でも、ポリシを利用して認可判定処理を行うことができるので、ポリシが正しく設定されているか否か確認することができる。また、認可装置２８０とサービス提供装置３４０が事前に認可処理の委託に関する情報を交換していない状況でも、認可装置２８０とサービス提供装置３４０が動的に部分ポリシや結合ポリシを交換することで認可判定の委託を実現することができる。
【０１６８】
以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。
たとえば、図８〜図１０の上記実施形態のアクセス制御システム１において、サービス提供装置３２０が結合ポリシを事前に作成し、認可装置２４０に送信する構成としていたが、他のタイミングで作成することもできる。
【０１６９】
図１９および図２０は、他の実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。
図１９および図２０に示す他の実施形態において、認可判定のトランザクション時に結合ポリシを作成することができる。図８〜図１０の上記実施形態では、サービス提供装置３２０が認可装置２４０から部分ポリシを受信すると、直ぐにサービス提供装置３２０が結合ポリシを作成し、認可装置２４０に返信し、登録していた。すなわち、ポリシの登録処理と認可判定処理を分離して行っていたが、図１９および図２０の実施形態では、認可判定処理とポリシ登録処理を同時に行う。
【０１７０】
本実施形態のアクセス制御システム１は、図８のサービス提供装置３２０および図１１のサービス提供装置３４０と同様な構成を有するサービス提供装置３７０と、図８の認可装置２４０と同様な構成を有する認可装置２９０と、を備える。なお、サービス提供装置３７０は、作成した第２部分ポリシと認可装置２９０から送信された第１部分ポリシを一時的に記憶するポリシ記憶部（不図示）をさらに備える。
【０１７１】
本実施形態のアクセス制御システム１の動作について説明する。以下、図８、図１１、図１９、および図２０を用いて、説明する。
まず、サービス提供装置３７０の第２ポリシ作成部３０２（図８）が、第２部分ポリシを作成する（図１９のステップＳ３０１）。第２ポリシ作成部３０２が作成した第２部分ポリシをポリシ記憶部（不図示）に一時的に記憶する（図１９のステップＳ３７１）。
【０１７２】
一方、認可装置２９０の第１ポリシ作成部２２２（図８）が、第１部分ポリシを作成する（図１９のステップＳ２２１）。そして、認可装置２９０の結合ポリシ作成指示部２４２（図８）が、第１ポリシ作成部２２２が作成した第１部分ポリシをサービス提供装置３７０に送信する（ステップＳ２９１）。
【０１７３】
そして、サービス提供装置３７０の第１ポリシ受信部３２２（図８）が、認可装置２９０から第１部分ポリシを受信する（図１９のステップＳ３７３）。そして、第１ポリシ受信部３２２が受信した第１部分ポリシをポリシ記憶部に記憶する（図１９のステップＳ３７５）。
【０１７４】
そして、サービス提供装置３７０の認可要求部３４２（図１１）が、ユーザ３からのアクセス要求に呼応して（図２０のステップＳ５０１のＹＥＳ）、サービス提供装置３７０の結合ポリシ作成部３２４（図８）が、第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２９０から受信した第１部分ポリシをポリシ記憶部から読み出し、結合ポリシを作成する（図２０のステップＳ５３１）。
【０１７５】
そして、サービス提供装置３７０の結合ポリシ送信部３２６（図８）が、認可装置２９０（図８）に対し、認可判定を要求するとともに、結合ポリシ作成部３２４が作成した結合ポリシを送信する（図２０のステップＳ５３３）。サービス提供装置３７０は、図１２のステップＳ５０５に進み、認可装置２９０からの認可判定結果を待つ。以降の処理は上記実施形態と同様である。
【０１７６】
そして、認可装置２９０の結合ポリシ受信部２４４（図８）が、サービス提供装置３７０から認可判定要求とともに、結合ポリシを受信する（図２０のステップＳ２９３）。
【０１７７】
そして、認可装置２９０の認可判定部２０８（図８）が、受信した結合ポリシを用いて認可判定を行う（図２０のステップＳ２９５）。そして、図３、図１４、または図１６などのステップＳ１０５に進み、認可判定の結果に従い処理を行う。以降の処理は上記実施形態と同様である。
【０１７８】
上述した構成によれば、状況実施形態と同様な効果を奏するとともに、さらに、事前にサービス提供装置３７０がアクセス要求を受けたときに、結合ポリシを作成して、認可判定要求を行うので、認可装置２９０が事前に結合ポリシをポリシ格納部２１０に仮登録する必要がなくなる。認可装置２９０とサービス提供装置３７０間で事前に６５ポリシを送受信する必要がなくなるので、認可装置２９０とサービス提供装置３７０の間の通信量を削減できる。また、たとえば、ポリシが短期間で変更になったような場合に、変更前のポリシを無駄に認可装置２９０に仮登録しなくてもよいことも考えられる。ポリシ格納部２１０メモリ容量の削減や、登録処理手順を省略できるので、処理の負荷を低減できる。
【０１７９】
なお、本発明のアクセス制御システム１は、ユーザにコンテンツを提供する事業者（ＳＰ）とユーザの情報を管理しアクセス制御を集中的に行うモバイルキャリアが存在する環境において、サービスを提供する事業者がアクセス制御判定をモバイルキャリアに委託する、といった用途に適用できる。
【０１８０】
また、業務システムを外部事業者（ＳＰ）にアウトソースしている企業（ＩｄＰ）が存在する状況において、社員がアウトソースしている外部事業者のサービスを利用するときに、認可判定を企業内で行うといった用途にも適用可能である。
【０１８１】
また、電子商取引の場を提供するショッピングプラットフォーム事業者（ＩｄＰ）と複数のショッピングサイト（ＳＰ）が存在する環境において、各ショッピングサイトでは認可判定を行わず、ショッピングプラットフォーム事業者が、各ショッピングサイトが規定してポリシにもとづき集中して認可判定を行う、といった用途にも適用できる。
【０１８２】
また、複数のテナント（ＳＰ）が入居するビル管理システム（ＩｄＰ）の入退場管理システムにおいて、各テナントが入退場ポリシ（結合ポリシ）を規定し、前記規定したポリシにしたがってビル管理システムが入場者の入場可否（認可判定）を決定する（例えば、ポリシに従って入場ゲートの開閉を行う）システムにも適用できる。
【０１８３】
以上、実施形態および実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
なお、本発明において利用者に関する情報を取得、利用する場合は、これを適法に行うものとする。
【０１８４】
本発明は以下の態様も含むことができる。
（付記１）
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える認可装置。
【０１８５】
（付記２）
（付記１）に記載の認可装置において、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する部分ポリシ作成手段をさらに備え、
前記認可判定手段は、前記サービス提供装置が作成した前記リソースへのアクセス制御の第２部分ポリシと、前記第１部分ポリシと、を結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【０１８６】
（付記３）
（付記２）に記載の認可装置において、
前記サービス提供装置から、前記第２部分ポリシを受信する部分ポリシ受信手段と、
前記部分ポリシ受信手段が受信した前記第２部分ポリシと、前記部分ポリシ作成手段が作成した前記第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成手段と、をさらに備え、
前記認可判定手段は、前記結合ポリシ作成手段が作成した前記結合ポリシを前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【０１８７】
（付記４）
（付記２）に記載の認可装置において、
前記サービス提供装置に、前記部分ポリシ作成手段が作成した前記第１部分ポリシを送信し、前記サービス提供装置が作成した前記第２部分ポリシと、送信した前記第１部分ポリシを結合して結合ポリシを作成する指示を、前記サービス提供装置に行う結合ポリシ作成指示手段と、
前記サービス提供装置から前記結合ポリシを受信する結合ポリシ受信手段と、をさらに備え、
前記認可判定手段は、前記結合ポリシ受信手段が受信した前記結合ポリシを前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【０１８８】
（付記５）
（付記１）乃至（付記４）いずれかに記載の認可装置において、
前記リソースへのアクセスを許可するか否かの認可判定に利用するポリシを記憶するポリシ記憶装置をさらに備え、
前記登録手段は、前記検証済みポリシを前記ポリシ記憶装置に登録し、
前記認可判定手段は、前記登録手段が前記ポリシ記憶装置に登録した前記検証済みポリシを用いて認可判定を行う認可装置。
【０１８９】
（付記６）
（付記１）乃至（付記５）いずれかに記載の認可装置において、
前記認可判定手段が前記認可判定を行うとき、前記ユーザの属性情報が不足した場合、不足した前記ユーザの前記属性情報を収集する収集手段をさらに備え、
前記認可判定手段は、前記ユーザの属性情報が不足した場合、前記収集手段に前記ユーザの前記属性情報の収集を指示し、前記収集手段が収集した前記ユーザの前記属性情報に基づいて、再度、認可判定を行う認可装置。
【０１９０】
（付記７）
（付記１）乃至（付記６）いずれかに記載の認可装置に、ユーザからのリソースへのアクセス要求に呼応して、前記リソースへのアクセスの認可判定を要求する認可要求手段と、
前記認可装置から前記リソースへの前記アクセスの前記認可判定の結果を受信する認可判定結果受信手段と、
前記認可判定結果受信手段が受信した前記認可判定の結果に応じて、前記ユーザからの前記アクセス要求に対応する前記リソースへのアクセスを実行するアクセス実行手段と、を備えるサービス提供装置。
【０１９１】
（付記８）
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する部分ポリシ作成手段を備えるサービス提供装置。
【０１９２】
（付記９）
（付記８）に記載のサービス提供装置において、
ユーザからの前記リソースへのアクセス要求に呼応して、前記リソースへのアクセスの認可判定を認可装置に要求する認可要求手段と、
前記認可装置から前記ポリシに基づいて行われた、前記リソースへの前記アクセスの前記認可判定の結果を受信する認可判定結果受信手段と、
前記認可判定結果受信手段が受信した前記認可判定の結果に応じて、前記ユーザからの前記アクセス要求に対応する前記リソースへのアクセスを実行するアクセス実行手段と、を備えるサービス提供装置。
【０１９３】
（付記１０）
（付記８）または（付記９）に記載のサービス提供装置において、
前記認可装置から、前記認可装置が作成した前記第１部分ポリシを受信する部分ポリシ受信手段と、
前記部分ポリシ作成手段が作成した前記第２部分ポリシと、前記部分ポリシ受信手段が受信した前記第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成手段と、
前記結合ポリシ作成手段が作成した前記結合ポリシを前記認可装置に送信するポリシ送信手段と、を備えるサービス提供装置。
【０１９４】
（付記１１）
（付記１０）に記載のサービス提供装置において、
前記部分ポリシ作成手段が作成した前記第２部分ポリシを前記認可装置に送信するポリシ送信手段をさらに備えるサービス提供装置。
【０１９５】
（付記１２）
リソースへのアクセスの認可判定を行う認可装置が、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付け、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行い、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、
前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録し、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信するアクセス制御方法。
【０１９６】
（付記１３）
（付記１２）に記載のアクセス制御方法において、
前記サービス提供装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し、
前記認可装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し、
前記認可装置が、作成された前記第１部分ポリシと、作成された前記第２部分ポリシとを結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行うアクセス制御方法。
【０１９７】
（付記１４）
（付記１２）または（付記１３）に記載のアクセス制御方法において、
前記認可装置は、前記検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて前記認可判定を行うアクセス制御方法。
【０１９８】
（付記１５）
ユーザからのリソースへのアクセス要求の認可判定を行う認可装置を実現するためのコンピュータに、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける手順、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う手順、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信する手順、を実行させるためのプログラム。
【０１９９】
（付記１６）
（付記１５）に記載のプログラムにおいて、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する手順、
前記サービス提供装置が作成した前記リソースへのアクセス制御の第２部分ポリシと、前記第１部分ポリシと、を結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行う手順をさらにコンピュータに実行させるプログラム。
【０２００】
（付記１７）
ユーザにサービスを提供するサービス提供装置を実現するコンピュータに、
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する手順を実行させるためのプログラム。
【符号の説明】
【０２０１】
１ アクセス制御システム
３ ユーザ
５ ネットワーク
１０ リソース
１００ サービス提供装置
１２０ ＣＰＵ
１２２ メモリ
１２４ ハードディスク
１２６ ネットワーク通信部
１２８ 操作受付部
１３０ 表示制御部
１３４ バス
１５０ 入力装置
１５２ 表示装置
２００ 認可装置
２０２ 要求受付部
２０４ ユーザ情報記憶部
２０６ リソース情報記憶部
２０８ 認可判定部
２１０ ポリシ格納部
２１２ 応答部
２２０ 認可装置
２２２ 第１ポリシ作成部
２２４ 結合ポリシ取得部
２３０ 認可装置
２３２ 部分ポリシ受信部
２３４ 結合ポリシ作成部
２４０ 認可装置
２４２ 結合ポリシ作成指示部
２４４ 結合ポリシ受信部
２６０ 認可装置
２６２ 結合ポリシ再設定指示部
２７０ 認可装置
２７２ 結合ポリシ作成部
２７４ 結合ポリシ送信部
２８０ 認可装置
２８２ 認可判定部
２８４ 情報収集部
２９０ 認可装置
３００ サービス提供装置
３０２ 第２ポリシ作成部
３１０ サービス提供装置
３１２ 部分ポリシ送信部
３２０ サービス提供装置
３２２ 第１ポリシ受信部
３２４ 結合ポリシ作成部
３２６ 結合ポリシ送信部
３４０ サービス提供装置
３４２ 認可要求部
３４６ 結果受信部
３４８ サービス提供部
３５０ サービス提供装置
３５２ 結合ポリシ再設定部
３６０ サービス提供装置
３６２ 結合ポリシ受信部
３６４ 結合ポリシ検証部
３７０ サービス提供装置
【技術分野】
【０００１】
本発明は、アクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置に関し、特に、分散環境におけるポリシを用いたアクセス制御を行うアクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置に関する。
【背景技術】
【０００２】
クラウドコンピューティングなどの分散システムにおける認証技術の一例が非特許文献１に記載されている。図２１に示すように、アクセス制御システム９０では、サービスをユーザ６０に提供するサービス提供装置７０（Service Provider：ＳＰ）と、ユーザの個人情報９８を保有し、サービス提供装置７０に提供する認可装置８０（Identity Provider：ＩｄＰ）との間で情報を交換している。
【０００３】
ユーザ６０が、サービス提供装置７０にアクセスし（ステップＳ１）、サービスの提供を要求する。認可装置８０はユーザ情報を集中管理しており、サービス提供装置７０は認可装置８０に認証や認可処理を委託している。すなわち、ユーザ６０からのアクセス要求などがなされ、サービス提供装置７０がユーザ認証や認可判定を必要となった場合、認可装置８０に認証および認可処理を依頼し（ステップＳ２）、認可装置８０とユーザ６０の間でユーザ認証が行われる（ステップＳ３）。そして、認可装置８０が、認証されたユーザのアクセス可否判定を行う。その判定結果を認可装置８０からサービス提供装置７０に返信する（ステップＳ４）。そして、判定結果に従って、サービス提供装置７０からユーザ６０にサービスが提供される（ステップＳ５）。
【０００４】
この認証情報を認可装置８０とサービス提供装置７０の間で交換するために、ＯｐｅｎＩＤなど様々な方式が提案されている。ＯｐｅｎＩＤを利用することで、軽量な処理によるシングルサインオンが実現される。
【０００５】
また、分散環境での認可処理を実現するために、ＸＡＣＭＬ（eXtensible Access Control Markup Language）という仕様が提案されている（非特許文献２）。図２２に示すように、非特許文献２記載のシステム５０は、認可判定を行うために、認可判定結果に基づきリソース５２へのアクセスを許可するＰＥＰ（Policy Enforce Point）７２と、アクセス可否判定を行うＰＤＰ（Policy Decision Point）８２と、アクセスポリシを管理するＰＡＰ（Policy Administration Point）８４と、アクセス制御に必要な情報を管理するＰＩＰ（Policy Information Point）８６とを含むシステムが規定されている。
【０００６】
このような構成を有する非特許文献２記載のシステム５０は次のように動作する。
すなわち、アクセスリクエスタ６２がＰＥＰ７２の情報にアクセスすると、ＰＥＰ７２はＰＤＰ８２に認可判定を要求する。すると、ＰＤＰ８２はＰＡＰ８４からポリシを取得し、ＰＩＰ８６から情報を取得し、ＰＥＰ７２へのアクセスを許可するか拒否するか判定する。その後、ＰＤＰ８２は判定結果をＰＥＰ７２に通知する。ＰＥＰ７２が通知を取得すると、前記通知に従いリソース５２へのアクセスを許可するか否か決定し、アクセスリクエスタ６２のアクセスに応答する。
【０００７】
また、特許文献１にはアクセスポリシ設定装置が記載されている。この装置を利用すると、すでに設定されているポリシをもとにして、新たなポリシを類推して設定することができるようになる。そのため、アクセス制御を行う前に、アクセスポリシを容易に設定できるようになる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２１３２０８号公報
【非特許文献】
【０００９】
【非特許文献１】富士榮 尚寛、“第２回クラウド・コンピューティング時代の認証技術」”、［online］、２０１０年８月２５日、アットマーク・アイティ、［平成２３年２月２１日検索］、インターネット、＜ＵＲＬ：http://www.atmarkit.co.jp/fwin2k/operation/adfs2sso02/adfs2sso02_01.html＞
【非特許文献２】オアシス スタンダード（ＯＡＳＩＳ Standards）、“エクステンシブル アクセス コントロール マークアップ ランゲージ バージョン２．０（eXtensible Access Control Markup Language (XACML) Version 2.0）”、［online］、２００５年２月１日、オアシス（ＯＡＳＩＳ）、［平成２２年１２月２１日検索］、インターネット、＜ＵＲＬ：http://docs.oasis-open.org/xacml/2.0/access_control-xacml-2.0-core-spec-os.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【００１０】
上述した文献に記載されたシステムにおいては、事前の取り決めなど複雑な処理が必要となるため、ポリシ作成の負荷が高いという問題点があった。
その理由は、上記文献に記載された分散システムにおけるアクセス制御システムにおいて、事前に情報交換する全てのＩｄＰとＳＰを決定することは難しいためである。たとえば、情報交換するＩｄＰやＳＰが変更される可能性があり、事前に決定できない。そのため、ＩｄＰとＳＰが事前にポリシを設定しておくことは、非常に処理負荷が高く、事前に全てのポリシをあらかじめ規定しておくことは現実的ではない。また、事前に情報を交換するＩｄＰとＳＰが決まっていれば、事前に適切なポリシを交換することは可能であるが、現実ではＩｄＰやＳＰは固定的ではなく流動的である。
【００１１】
本発明の目的は、上述した課題である事前にポリシを作成することの処理負荷が高いという問題を解決するアクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置を提供することにある。
【課題を解決するための手段】
【００１２】
本発明のアクセス制御システムは、
ユーザにサービスを提供するサービス提供装置と、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求の認可判定を行う認可装置と、を備え、
前記認可装置は、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える。
【００１３】
本発明の認可装置は、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える。
【００１４】
本発明のサービス提供装置は、
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する部分ポリシ作成手段を備える。
【００１５】
本発明のアクセス制御方法は、
リソースへのアクセスの認可判定を行う認可装置が、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付け、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行い、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、
前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録し、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信するアクセス制御方法である。
【００１６】
本発明のコンピュータプログラムは、
ユーザからのリソースへのアクセス要求の認可判定を行う認可装置を実現するためのコンピュータに、
前記ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける手順、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う手順、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信する手順、を実行させるためのプログラムである。
【００１７】
なお、以上の構成要素の任意の組合せ、本発明の表現を方法、装置、システム、記録媒体、コンピュータプログラムなどの間で変換したものもまた、本発明の態様として有効である。
【００１８】
また、本発明の各種の構成要素は、必ずしも個々に独立した存在である必要はなく、複数の構成要素が一個の部材として形成されていること、一つの構成要素が複数の部材で形成されていること、ある構成要素が他の構成要素の一部であること、ある構成要素の一部と他の構成要素の一部とが重複していること、等でもよい。
【００１９】
また、本発明の方法およびコンピュータプログラムには複数の手順を順番に記載してあるが、その記載の順番は複数の手順を実行する順番を限定するものではない。このため、本発明の方法およびコンピュータプログラムを実施するときには、その複数の手順の順番は内容的に支障しない範囲で変更することができる。
【００２０】
さらに、本発明の方法およびコンピュータプログラムの複数の手順は個々に相違するタイミングで実行されることに限定されない。このため、ある手順の実行中に他の手順が発生すること、ある手順の実行タイミングと他の手順の実行タイミングとの一部ないし全部が重複していること、等でもよい。
【発明の効果】
【００２１】
本発明によれば、事前のポリシ作成処理の負荷を低減するアクセス制御システム、アクセス制御方法、認可装置およびそのプログラム、ならびに、サービス提供装置が提供される。
【図面の簡単な説明】
【００２２】
【図１】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図２】本発明の実施の形態に係るアクセス制御システムの各装置を実現するコンピュータの構成を示すブロック図である。
【図３】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図４】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図５】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図６】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図７】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図８】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図９】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１０】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１１】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１２】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１３】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１４】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１５】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１６】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１７】本発明の実施の形態に係るアクセス制御システムの構成を示す機能ブロック図である。
【図１８】本発明の実施の形態に係るアクセス制御システムの動作の一例を示すフローチャートである。
【図１９】本発明の実施の形態に係るアクセス制御システムのポリシ作成処理の手順の一例を示すフローチャートである。
【図２０】本発明の実施の形態に係るアクセス制御システムの認可判定処理の手順の一例を示すフローチャートである。
【図２１】非特許文献記載のシステムの構成を示すブロック図である。
【図２２】非特許文献記載のシステムの構成を示すブロック図である。
【発明を実施するための形態】
【００２３】
以下、本発明の実施の形態について、図面を用いて説明する。尚、すべての図面において、同様な構成要素には同様の符号を付し、適宜説明を省略する。
【００２４】
（第１の実施の形態）
図１は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、ユーザ３にサービスを提供するサービス提供装置１００と、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求の認可判定を行う認可装置２００と、を備える。
【００２５】
サービス提供装置１００は、所謂サービスプロバイダ（Service Provider：ＳＰ）であり、ユーザ３に各種サービスを提供する。認可装置２００は、所謂アイデンティティプロバイダ（Identity Provider：ＩｄＰ）であり、ユーザ３の情報を集中管理し、サービス提供装置１００に替わって、ユーザ３の認証や認可判定といった処理を行う。サービス提供装置１００は、認可装置２００にユーザ３の認証または認可判定の処理を認可装置２００に委託している。
【００２６】
認可装置２００は、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける要求受付部２０２と、アクセス要求に呼応して、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う認可判定部２０８と、認可判定部２０８の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録部（ポリシ格納部２１０、認可判定部２０８）と、ポリシ設定違反がなかったポリシを用いた認可判定部２０８の判定結果をサービス提供装置１００に返信する応答部２１２と、を備える。
【００２７】
より詳細には、認可装置２００は、要求受付部２０２と、ユーザ情報記憶部（図中「ユーザ情報」と示す）２０４と、リソース情報記憶部（図中「リソース情報」と示す）２０６と、認可判定部２０８と、ポリシ格納部２１０と、応答部２１２と、を備える。
【００２８】
サービス提供装置１００または認可装置２００は、たとえば、図２に示すように、ＣＰＵ１２０やメモリ１２２、ハードディスク１２４、および通信装置（ネットワーク５に接続し、通信するネットワーク通信部１２６）を備え、キーボードやマウス等の入力装置１５０やディスプレイ等の表示装置１５２やプリンタ等の出力装置（不図示）と接続されるサーバコンピュータやパーソナルコンピュータ、またはそれらに相当する装置を用いて実現することができる。
【００２９】
サービス提供装置１００または認可装置２００は、入力装置１５０の入力を受け付ける操作受付部１２８と、表示装置１５２の表示制御を行う表示制御部１３０と、をさらに備える。サービス提供装置１００または認可装置２００のこれらの各要素は、バス１３４を介して互いに接続される。そして、ＣＰＵ１２０が各要素とともにサービス提供装置１００または認可装置２００全体を制御する。そして、ＣＰＵ１２０が、ハードディスク１２４に記憶されるプログラムをメモリ１２２に読み出して実行することで、本発明の各図のサービス提供装置または認可装置の各ユニットの各機能を実現することができる。なお、各図において、本発明の本質に関わらない部分の構成については省略してあり、図示されていない。
【００３０】
本実施形態のコンピュータプログラムは、認可装置２００を実現させるためのコンピュータに、ユーザ３にサービスを提供するサービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける手順、アクセス要求に呼応して、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う手順、認可判定の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、ポリシ設定違反がなかったポリシを用いた認可判定の判定結果をサービス提供装置１００に返信する手順、を実行させるように記述されている。
【００３１】
本実施形態のコンピュータプログラムは、コンピュータで読み取り可能な記録媒体に記録されてもよい。記録媒体は特に限定されず、様々な形態のものが考えられる。また、プログラムは、記録媒体からコンピュータのメモリにロードされてもよいし、ネットワークを通じてコンピュータにダウンロードされ、メモリにロードされてもよい。
【００３２】
また、本発明のコンピュータプログラムは、以下の各実施形態においても、同様に各図のサービス提供装置および認可装置の各ユニットの各機能を実現するためのコンピュータに、各図のフローチャートの手順を実行させるように記述される。
【００３３】
なお、本実施形態では、ユーザ３、サービス提供装置１００、および認可装置２００は、それぞれ１台ずつ図示されているが、これに限定されない。本実施形態では、複数のユーザ３に対し、複数のサービス提供装置１００が分散処理を行い、サービスを提供する。また、複数の認可装置２００が、分散処理を行い、複数のサービス提供装置１００からの要求に応じる。すなわち、サービス提供装置１００または認可装置２００は、それぞれ仮想サーバなどで実現することもできる。また、サービス提供装置１００と認可装置２００は、互いにネットワーク５（図２）を介して接続される。
【００３４】
図１の認可装置２００において、要求受付部２０２は、サービス提供装置１００から、ユーザ３からのリソース１０へのアクセス要求を受け付ける。ユーザ情報記憶部２０４は、ユーザ３の属性情報を記憶する。ユーザ３とは、サービス提供装置１００がサービスを提供するエンドユーザである。ユーザ情報記憶部２０４に記憶される情報は、たとえば、ユーザ３のユーザＩＤ、住所、電話番号などの不変の情報や、ユーザ３の位置情報、ユーザ３がアクセスしている時刻、ユーザ３のサービス利用料支払い状況など変わりうる情報などを含む。サービス提供装置１００は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）のＰＥＰ（Policy Enforce Point）に対応する。
【００３５】
リソース情報記憶部２０６は、リソース１０の属性情報を記憶する。リソース情報記憶部２０６に記憶される情報は、たとえば、リソース１０の識別情報、データの種類、作成または登録日時、タイトル、作成元、保存場所などの属性情報と、リソース１０へのアクセスを許可または禁止するユーザの属性情報、アクセスを許可または禁止するレベル（参照のみ、変更可等）、アクセスを許可または禁止する時間帯など、リソース１０へのアクセス条件などの情報などを含む。ユーザ情報記憶部２０４およびリソース情報記憶部２０６は、ＸＡＣＭＬのＰＩＰ（Policy Information Point）に対応する。
【００３６】
認可判定部２０８は、サービス提供装置１００からのアクセス要求に呼応して、ポリシ格納部２１０に予め仮登録されたポリシを用いて、ユーザ情報記憶部２０４に記憶されたユーザ３の属性情報およびリソース情報記憶部２０６に記憶されたリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う。ＸＡＣＭＬのＰＤＰ（Policy Decision Point）に対応する。
【００３７】
ポリシとは、たとえば、リソース１０に対するアクセス権を規定するものであり、認可装置２００がアクセス制御の際に、アクセスを許可するか拒絶するか、判定する基準が記載されている。ポリシは、リソース１０に対して、誰がどのような権限でどこにアクセスできるのかといった情報を含む。
ポリシには、たとえば、「アクセス元エンティティ」、「アクセス先リソース」、「リソースに対する処理（Ｒｅａｄ／Ｗｒｉｔｅなど）」、「実行条件（有効期間など）」などが記載される。
【００３８】
ポリシ格納部２１０は、予め仮登録されたポリシを記憶する。さらに、認可判定部２０８が、判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し、ポリシ設定違反がなかったポリシを、検証済みポリシとしてポリシ格納部２１０に登録する。ポリシ格納部２１０は、ＸＡＣＭＬにおけるＰＡＰ（Policy Administration Point）に対応する。
【００３９】
ポリシ格納部２１０に記憶された予め仮登録されたポリシは、仮に登録されたものであり、認可装置２００が認可判定を行うのに適したものかどうかの検証が未だなされていないものも含むことができる。予め仮登録されたポリシは、たとえば、認可装置２００またはサービス提供装置１００のいずれかが保有する情報に基づいて、設定されたポリシを含むことができる。すなわち、仮登録されたポリシは、認可判定に必要な項目が設定されていないもの、認可装置２００が保有していないユーザ情報を判定のために参照するように設定されているもの、または、複数の矛盾するポリシが存在している（たとえば、ホワイトリストとブラックリストの両方が存在している）もの、などのポリシ設定違反となるポリシを含むことができる。
【００４０】
ユーザ情報記憶部２０４、リソース情報記憶部２０６、およびポリシ格納部２１０は、図２のハードディスク１２４を用いることができる。あるいは、ユーザ情報記憶部２０４、リソース情報記憶部２０６、およびポリシ格納部２１０は、認可装置２００に接続された他の記憶装置（不図示）またはネットワーク５（図２）を介して認可装置２００がアクセス可能な記憶装置（不図示）を用いて構成してもよい。
【００４１】
応答部２１２は、ポリシ設定違反がなかったポリシを用いた認可判定部２０８の判定結果をサービス提供装置１００に返信する。
【００４２】
上述のような構成において、本実施の形態のアクセス制御システム１におけるアクセス制御方法を以下に説明する。図３は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１および図３を用いて説明する。
【００４３】
本発明の実施の形態に係るアクセス制御方法は、リソース１０（図１）へのアクセスの認可判定を行う認可装置２００の要求受付部２０２（図１）が、ユーザ３（図１）にサービスを提供するサービス提供装置１００（図１）から、ユーザ３からのリソース１０へのアクセス要求（認可要求）を受け付ける（図３のステップＳ１０１）。アクセス要求（認可要求）に呼応して、認可装置２００の認可判定部２０８（図１）が、予め仮登録されたポリシを用いて、ユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う（図３のステップＳ１０３）。認可装置２００の認可判定部２０８（図１）が、認可判定の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反がないことを確認し（図３のステップＳ１０５）、ポリシ設定違反がなかったポリシを（図３のステップＳ１０５のＮＯ）、検証済みポリシとして登録し（図３のステップＳ１０７）、ポリシ設定違反がなかったポリシを用いた認可判定の判定結果をサービス提供装置１００に返信する（図３のステップＳ１０９）。そして、本処理を終了する。
【００４４】
また、ポリシ設定違反が確認された場合（図３のステップＳ１０５のＹＥＳ）、認可判定に使用したポリシは検証済みポリシとして登録せずに処理を終了する。
また、ポリシ設定違反が確認されたポリシは、ポリシ格納部２１０から削除してもよい。あるいは、ポリシ格納部２１０に、ポリシ設定違反ポリシとして記録してもよい。
【００４５】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、ポリシを認可装置２００が事前に検証しないので、ポリシ作成の負荷が軽減される。また、未検証の仮登録されたポリシを利用して認可判定処理を行うことで、ポリシが正しく設定されているか否か確認することができる。また、認可装置２００とサービス提供装置１００が事前に認可処理の委託に関する情報を交換していない状況でも、認可装置２００とサービス提供装置１００が動的にポリシを交換することで認可判定の委託を実現することができる。
【００４６】
（第２の実施の形態）
図４は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、上記実施の形態とは、サービス提供装置３００および認可装置２２０がそれぞれ作成した部分ポリシを結合して作成した結合ポリシを認可判定に用いる点で相違する。
【００４７】
分散システムにおけるアクセス制御システムにおいて、サービス提供装置３００はユーザ情報の管理を認可装置２２０に委託しているため、サービス提供装置３００はユーザ情報を保有していない。そのため、サービス提供装置３００は、どのようなユーザ情報が存在するか把握することが困難なため、ポリシに記述する内容を把握することは困難であり、どのような情報をポリシに設定してよいか分からない。
【００４８】
そこで、本実施形態では、サービス提供装置３００と認可装置２２０の間で事前に情報を交換せずに、それぞれが作成した部分ポリシを用いて、結合ポリシを作成し、認可判定に用いることで、ポリシ作成の負荷を低減しながら、より適切なポリシの設定を可能とする。
【００４９】
本実施形態において、認可装置２２０は、サービス提供装置３００から、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する第１ポリシ作成部２２２をさらに備える。
【００５０】
サービス提供装置３００は、リソース１０へのアクセスの認可判定を行う認可装置２２０が作成した第１部分ポリシと結合して、認可装置２２０が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、リソース１０へのアクセス制御のポリシの設定を受け付けて、作成する第２ポリシ作成部３０２を備える。
【００５１】
そして、認可判定部２０８は、サービス提供装置３００の第２ポリシ作成部３０２が作成したリソース１０へのアクセス制御の第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを、仮登録されたポリシとして用いて認可判定を行う。
【００５２】
より詳細には、認可装置２２０は、図１の上記実施形態の認可装置２００と同様なユーザ情報記憶部２０４、リソース情報記憶部２０６、認可判定部２０８、およびポリシ格納部２１０を備えるとともに、さらに、第１ポリシ作成部２２２と、結合ポリシ取得部２２４と、を備える。なお、本実施形態のサービス提供装置３００および認可装置２２０は、図１の上記実施形態のサービス提供装置１００および認可装置２００と同様な構成も含むことができ、図３のフローチャートと同様な動作も行うことができるが、ここでは省略してある。
【００５３】
認可装置２２０において、第１ポリシ作成部２２２は、たとえば、認可装置２２０の管理者からリソース１０へのアクセス制御のポリシの設定を受け付け、受け付けた設定に基づき、第２部分ポリシを作成する。
認可装置２２０において、ＩｄＰ自身が規定したアクセス制御ポリシを策定し、そのポリシの設定を第１ポリシ作成部２２２が受け付ける。第１ポリシ作成部２２２が作成するポリシは、認可装置２２０がアクセス制御を実行するために必要となるポリシ要素を全て規定する必要はない。ポリシの要素の一部は規定されていなくてもよい。たとえば、ポリシ内の「アクセス先リソース情報」を規定しなくてもよい。このＩｄＰが最初に策定したポリシを第１部分ポリシと呼ぶ。
【００５４】
サービス提供装置３００の第２ポリシ作成部３０２は、たとえば、サービス提供装置３００の管理者からリソース１０へのアクセス制御のポリシの設定を受け付け、受け付けた設定に基づき、第２部分ポリシを作成する。この第２部分ポリシは、ＳＰが保有している情報に基づき、ＳＰ自身が規定したポリシである。
【００５５】
サービス提供装置３００の第２ポリシ作成部３０２および認可装置２２０の第１ポリシ作成部２２２におけるポリシの設定は、たとえば、各装置の表示装置１５２（図２）にポリシ設定用画面（不図示）を表示する。ポリシ設定用画面は、各装置がそれぞれ所持している範囲のリソース１０およびユーザ３の属性情報、さらに、各プロバイダ（ＳＰまたはＩｄＰ）が保有する各種情報を提示することができる。管理者は、ポリシ設定用画面に提示された情報を参照しながら、入力装置１５０（図２）を用いてポリシの設定操作を行う。第１ポリシ作成部２２２および第２ポリシ作成部３０２は、管理者の設定操作を操作受付部１２８（図２）を介して受け付ける。ポリシ設定内容や操作方法については、様々なユーザインタフェースが考えられるが、本発明の本質に関わらないので、詳細な説明は省略する。
【００５６】
結合ポリシ取得部２２４は、サービス提供装置３００の第２ポリシ作成部３０２が作成したリソース１０へのアクセス制御の第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを取得する。具体的なポリシの結合方法および取得方法は、様々考えられ、後述する実施形態で詳細に説明する。結合ポリシ取得部２２４は、取得した結合ポリシをポリシ格納部２１０に格納し、認可判定部２０８が認可判定に使用することとなる。この結合ポリシは、事前に検証は行わず、認可装置２２０のポリシ格納部２１０に保管され、上記実施形態で述べたように、認可判定時に使用される。
【００５７】
たとえば、結合ポリシは、第１部分ポリシに、ＩｄＰが規定していないポリシ要素を追加して記述したり、ＩｄＰが規定した第１部分ポリシを上書きしたりすることで、第２部分ポリシと結合し、結合ポリシが作成される。
【００５８】
本実施形態のコンピュータプログラムは、上述したサービス提供装置および認可装置の各ユニットの各機能を実現するためのコンピュータに、以下の手順を実行させるように記述される。
【００５９】
本実施形態のコンピュータプログラムは、サービス提供装置３００を実現させるためのコンピュータに、リソース１０へのアクセスの認可判定を行う認可装置２２０が作成した第１部分ポリシと結合して、認可装置２２０が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、リソース１０へのアクセス制御のポリシの設定を受け付けて、作成する手順を実行させるように記述されている。
【００６０】
また、本実施形態のコンピュータプログラムは、認可装置２２０を実現させるためのコンピュータに、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する手順、サービス提供装置３００が作成したリソース１０へのアクセス制御の第２部分ポリシと、第１部分ポリシと、を結合した結合ポリシを、仮登録されたポリシとして用いて認可判定を行う手順を実行させるように記述されている。
【００６１】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。図５は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図４および図５を用いて説明する。
【００６２】
本発明の実施の形態に係るアクセス制御方法は、サービス提供装置３００の第２ポリシ作成部３０２（図４）が、リソース１０（図４）へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し（図５のステップＳ３０１）、認可装置２２０の第１ポリシ作成部２２２（図４）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し（図５のステップＳ２２１）、認可装置２２０の認可判定部２０８（図４）が、サービス提供装置３００の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２２０の第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを、仮登録されたポリシとして用いて認可判定を行う（不図示）。
【００６３】
より詳細には、本実施形態のアクセス制御システム１において、サービス提供装置３００の第２ポリシ作成部３０２が、サービス提供装置３００の管理者からポリシの設定を受け付け、受け付けた設定に従い、第２部分ポリシを作成する（図５のステップＳ３０１）。
【００６４】
また、認可装置２２０の第１ポリシ作成部２２２が、認可装置２２０の管理者からポリシの設定を受け付け、受け付けた設定に従い、第１部分ポリシを作成する（図５のステップＳ２２１）。
【００６５】
そして、認可装置２２０の結合ポリシ取得部２２４が、サービス提供装置３００の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２２０の第１ポリシ作成部２２２が作成した第１部分ポリシと、を結合した結合ポリシを取得する（図５のステップＳ２２３）。
【００６６】
そして、認可装置２２０の結合ポリシ取得部２２４が、取得した結合ポリシを、認可装置２２０のポリシ格納部２１０（図４）に登録する（図５のステップＳ２２５）。
認可装置２００の認可判定部２０８（図４）は、図５のステップＳ２２５で仮登録されたポリシを用いて認可判定を行う（不図示）。
【００６７】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、認可装置２２０とサービス提供装置３００が、それぞれ作成した部分ポリシを元に結合ポリシを作成するので、認可装置２２０が保有しているユーザ情報記憶部２０４やリソース情報記憶部２０６の情報をサービス提供装置３００が事前に取得して管理しておく必要がなくなる。そのため、サービス提供装置３００は、サービス提供装置３００が保持している情報のみに基づいて、ポリシを簡単に設定することができるので、ポリシ作成処理の負荷を軽減できる。
【００６８】
さらに、本実施形態によれば、サービス提供装置３００が作成した第２部分ポリシは、認可装置２２０がユーザ３やリソース１０の属性情報に基づいて作成した第１部分ポリシと結合して結合ポリシとして認可判定に用いられる。したがって、サービス提供装置３００が保持する情報だけでなく、認可装置２２０が保有する情報に基づいて結合ポリシを動的に作成できるので、より適切なポリシの設定が可能となる。
【００６９】
（第３の実施の形態）
図６は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、図４の上記実施の形態とは、サービス提供装置３１０および認可装置２３０がそれぞれ作成した部分ポリシを結合して作成された、認可判定に用いる結合ポリシを、認可装置２３０が作成する点で相違する。なお、本実施形態では、結合ポリシを認可装置が作成するが、後述する他の実施形態で説明するように、サービス提供装置が結合ポリシを作成してもよい。
【００７０】
本実施形態のアクセス制御システム１において、サービス提供装置３１０は、図４の上記実施形態のサービス提供装置３００と同様な第２ポリシ作成部３０２を備えるとともに、さらに部分ポリシ送信部３１２を備える。
認可装置２３０は、図４の上記実施形態の認可装置２２０と同様なユーザ情報記憶部２０４、リソース情報記憶部２０６、認可判定部２０８、ポリシ格納部２１０、および第１ポリシ作成部２２２を備えるとともに、さらに、部分ポリシ受信部２３２と、結合ポリシ作成部２３４と、を備える。
なお、本実施形態の認可装置２３０は、図６には図示されていないが、図１の認可装置２００と同様な要求受付部２０２と、応答部２１２と、を備えることができる。
【００７１】
本実施形態において、サービス提供装置３１０は、リソース１０へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成する第２ポリシ作成部３０２を備える。さらに、サービス提供装置３１０は、第２ポリシ作成部３０２が作成した第２部分ポリシを認可装置２３０に送信する部分ポリシ送信部３１２を備える。
【００７２】
認可装置２３０は、サービス提供装置３１０から、リソース１０へのアクセス制御の第２部分ポリシを受信する部分ポリシ受信部２３２と、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成するポリシ作成部（第１ポリシ作成部２２２）と、部分ポリシ受信部２３２が受信した第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成部２３４と、をさらに備える。
また、認可判定部２０８は、結合ポリシ作成部２３４が作成した結合ポリシを仮登録されたポリシとして用いて認可判定を行う。
【００７３】
結合ポリシ作成部２３４は、たとえば、サービス提供装置３１０から部分ポリシ受信部２３２が受信した第２部分ポリシを、第１ポリシ作成部２２２が作成した第１部分ポリシに、追記または上書きして、結合ポリシを完成することができる。
【００７４】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。図７は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図６および図７を用いて説明する。
【００７５】
本発明の実施の形態に係るアクセス制御方法は、サービス提供装置３１０の第２ポリシ作成部３０２（図６）が、リソース１０（図６）へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し（図７のステップＳ３０１）、認可装置２３０の第１ポリシ作成部２２２（図６）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し（図７のステップＳ２２１）、認可装置２３０の結合ポリシ作成部２３４（図６）が、サービス提供装置３１０の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２３０の第１ポリシ作成部２２２が作成した第１部分ポリシとを結合し、結合ポリシを作成し（図７のステップＳ２３３）、認可装置２３０の認可判定部２０８（図６）が、認可装置２３０の結合ポリシ作成部２３４が作成した結合ポリシを仮登録されたポリシとして用いて認可判定を行う。
【００７６】
より詳細には、図７に示すように、本実施形態のアクセス制御システム１において、サービス提供装置３１０の第２ポリシ作成部３０２（図６）が、第２部分ポリシを作成する（図７のステップＳ３０１）。そして、サービス提供装置３１０の部分ポリシ送信部３１２（図６）が、第２ポリシ作成部３０２が作成した第２部分ポリシを認可装置２３０（図６）に送信する（図７のステップＳ３１１）。
【００７７】
また、認可装置２３０の第１ポリシ作成部２２２（図６）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する（図７のステップＳ２２１）。そして、認可装置２３０の部分ポリシ受信部２３２（図６）が、サービス提供装置３１０から第２部分ポリシを受信する（図７のステップＳ２３１）。そして、認可装置２３０の結合ポリシ作成部２３４（図６）が、受信した第２部分ポリシと、第１ポリシ作成部２２２が作成した第１部分ポリシを結合し、結合ポリシを作成する（図７のステップＳ２３３）。そして、認可装置２３０の結合ポリシ作成部２３４（図６）が、認可装置２３０のポリシ格納部２１０（図６）に作成した結合ポリシを登録する（図７のステップＳ２３５）。
そして、認可装置２３０の認可判定部２０８（図６）が、認可装置２３０のポリシ格納部２１０に登録された結合ポリシを仮登録されたポリシとして用いて認可判定を行う（不図示）。
【００７８】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、認可装置２３０とサービス提供装置３１０が、それぞれ作成した部分ポリシを元に結合ポリシを作成するので、認可装置２３０が保有しているユーザ情報記憶部２０４やリソース情報記憶部２０６の情報をサービス提供装置３１０が事前に取得して管理しておく必要がなくなる。そのため、サービス提供装置３１０が保持している情報のみに基づいて、サービス提供装置３１０がポリシを設定することができるので、ポリシ作成処理の負荷を軽減できる。
【００７９】
さらに、本実施形態によれば、サービス提供装置３１０が作成した第２部分ポリシは、認可装置２３０がユーザ３やリソース１０の属性情報に基づいて作成した第１部分ポリシと結合して結合ポリシとして認可判定に用いられる。したがって、サービス提供装置３１０が保持する情報だけでなく、認可装置２３０が保有する情報に基づいて結合ポリシを動的に作成できるので、より適切なポリシの設定が可能となる。
【００８０】
（第４の実施の形態）
図８は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、図６の上記実施の形態とは、サービス提供装置３２０が結合ポリシを生成する点で相違する。
【００８１】
本実施形態のアクセス制御システム１において、サービス提供装置３２０は、図６の上記実施形態のサービス提供装置３１０と同様な第２ポリシ作成部３０２を備えるとともに、さらに、第１ポリシ受信部３２２と、結合ポリシ作成部３２４と、結合ポリシ送信部３２６と、を備える。
【００８２】
また、認可装置２４０は、図６の上記実施形態の認可装置２３０と同じ、第１ポリシ作成部２２２と、ユーザ情報記憶部２０４と、リソース情報記憶部２０６と、認可判定部２０８と、ポリシ格納部２１０と、を備えるとともに、さらに、結合ポリシ作成指示部２４２と、結合ポリシ受信部２４４と、を備える。
【００８３】
サービス提供装置３２０において、認可装置２４０から、認可装置２４０が作成した第１ポリシを受信する第１ポリシ受信部３２２と、第２ポリシ作成部３０２が作成した第２部分ポリシと、第１ポリシ受信部３２２が受信した第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成部３２４と、結合ポリシ作成部３２４が作成した結合ポリシを認可装置２４０に送信する結合ポリシ送信部３２６と、を備える。
【００８４】
結合ポリシ作成部３２４は、認可装置２４０から第１ポリシ受信部３２２が受信した第１部分ポリシを、第２ポリシ作成部３０２が作成した第２部分ポリシに、追記または上書きして、結合ポリシを完成することができる。
【００８５】
認可装置２４０は、サービス提供装置３２０に、第１ポリシ作成部２２２が作成した第１部分ポリシを送信し、サービス提供装置３２０が作成した第２部分ポリシと、送信した第１部分ポリシを結合して結合ポリシを作成する指示を、サービス提供装置３２０に行う結合ポリシ作成指示部２４２と、サービス提供装置３２０から結合ポリシを受信する結合ポリシ受信部２４４と、をさらに備える。
また、認可判定部２０８は、結合ポリシ受信部２４４が受信した結合ポリシを仮登録されたポリシとして用いて認可判定を行う。
【００８６】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。図９は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図８および図９を用いて説明する。
【００８７】
まず、サービス提供装置３２０の第２ポリシ作成部３０２（図８）が、リソース１０（図８）へのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し（図９のステップＳ３０１）、認可装置２４０の第１ポリシ作成部２２２（図８）が、リソース１０へのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する（図９のステップＳ２２１）。
【００８８】
そして、認可装置２４０の結合ポリシ作成指示部２４２（図８）が、サービス提供装置３２０に、認可装置２４０の第１ポリシ作成部２２２が作成した第１部分ポリシを送信する。そして、サービス提供装置３２０が作成した第２部分ポリシと、受信した第１部分ポリシを結合して結合ポリシを作成する指示を、認可装置２４０の結合ポリシ作成指示部２４２が、サービス提供装置３２０に行う（図９のステップＳ２４１）。
【００８９】
サービス提供装置３２０の第１ポリシ受信部３２２（図８）が、認可装置２４０から、認可装置２４０が作成した第１ポリシを受信する（図９のステップＳ３２１）。そして、サービス提供装置３２０の結合ポリシ作成部３２４（図８）が、サービス提供装置３２０の第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２４０の第１ポリシ受信部３２２が受信した第１部分ポリシとを結合し、結合ポリシを作成する（図９のステップＳ３２３）。そして、サービス提供装置３２０の結合ポリシ送信部３２６（図８）が、サービス提供装置３２０の結合ポリシ作成部３２４が作成した結合ポリシを認可装置２４０に送信する（図９ステップＳ３２５）。
【００９０】
そして、認可装置２４０の結合ポリシ受信部２４４（図８）が、サービス提供装置３２０から結合ポリシを受信する（図９のステップＳ２４３）。そして、認可装置２４０の結合ポリシ受信部２４４（図８）が、認可装置２４０のポリシ格納部２１０（図８）に作成した結合ポリシを登録する（図９のステップＳ２４５）。
認可装置２４０の認可判定部２０８（図８）が、認可装置２４０のポリシ格納部２１０に登録された結合ポリシを仮登録されたポリシとして用いて認可判定を行う（不図示）。
【００９１】
以上、説明したように、本発明の実施の形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、認可装置２４０とサービス提供装置３２０が、それぞれ作成した部分ポリシを元に結合ポリシを作成するので、認可装置２４０が保有しているユーザ情報記憶部２０４やリソース情報記憶部２０６の情報をサービス提供装置３２０が事前に取得して管理しておく必要がなくなる。そのため、サービス提供装置３２０が保持している情報のみに基づいて、サービス提供装置３２０がポリシを設定することができるので、ポリシ作成処理の負荷を軽減できる。
【００９２】
さらに、本実施形態によれば、サービス提供装置３２０が作成した第２部分ポリシは、認可装置２４０がユーザ３やリソース１０の属性情報に基づいて作成した第１部分ポリシと結合して結合ポリシとして認可判定に用いられる。したがって、サービス提供装置３２０が保持する情報だけでなく、認可装置２４０が保有する情報に基づいて結合ポリシを動的に作成できるので、より適切なポリシの設定が可能となる。
【００９３】
（第５の実施の形態）
本実施形態のアクセス制御システム１は、上記実施の形態とは、認可判定に検証済みのポリシを用いる点で相違する。
本実施形態のアクセス制御システム１において、サービス提供装置および認可装置は、図１、図４、図６、図８の上記実施形態のいずれかと同様な構成とすることができる。
以下の説明では、図１の実施形態の構成を有するものとして説明する。
【００９４】
本実施形態において、認可装置２００は、リソース１０へのアクセスを許可するか否かの認可判定に利用するポリシを記憶するポリシ記憶装置（ポリシ格納部２１０）を備える。
また、認可装置２００の認可判定部２０８は、検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて認可判定を行う。
【００９５】
このように構成された本実施形態のアクセス制御システム１におけるアクセス制御方法について、以下に説明する。
図１０は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１および図１０を用いて説明する。
【００９６】
本実施形態のアクセス制御方法において、認可装置２００（図１）は、検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて認可判定を行う（図１０のステップＳ１１３）。
【００９７】
より詳細には、本実施形態のアクセス制御方法は、図３の上記実施形態のフローチャートと同様なステップＳ１０１、およびステップＳ１０５乃至ステップＳ１０９を有するとともに、さらに、図１０のステップＳ１１１乃至ステップＳ１１５をさらに有する。図１０では、ステップＳ１０５〜ステップＳ１０９は省略する。
【００９８】
図１０に示すように、まず、リソース１０（図１）へのアクセスの認可判定を行う認可装置２００（図１）が、ユーザ３（図１）にサービスを提供するサービス提供装置１００（図１）から、ユーザ３からのリソースへのアクセス要求（認可要求）を受け付ける（図１０のステップＳ１０１）。
【００９９】
アクセス要求（認可要求）に呼応して、認可装置２００の認可判定部２０８（図１）が、ポリシ格納部２１０（図１）を参照し、検証済みポリシとして登録されたポリシが有るか否かを判定する（図１０のステップＳ１１１）。検証済みポリシがある場合（図１０のステップＳ１１１のＹＥＳ）、認可装置２００の認可判定部２０８は、当該検証済みポリシを用いて認可判定を行う（図１０のステップＳ１１３）。そして、図１０のステップＳ１１３の後、図３のステップＳ１０９に進み、認可判定の判定結果をサービス提供装置１００に返信することとなる。
【０１００】
また、検証済みポリシがない場合（図１０のステップＳ１１１のＮＯ）、認可装置２００の認可判定部２０８は、ポリシ格納部２１０に仮登録されたポリシを用いて認可判定を行う（図１０のステップＳ１１５）。そして、図１０のステップＳ１１５の後、図３のステップＳ１０５に進み、認可判定の結果、ポリシ設定違反があるか否かの判定処理を行うこととなる。
【０１０１】
なお、ポリシ格納部２１０に格納されているポリシが必ず検証済みポリシであることが分かっている場合には、図１０のステップＳ１１１の判定処理およびステップＳ１１５は不要となる。そして、図３のステップＳ１０５およびステップＳ１０７の処理も不要となる。
【０１０２】
以上、説明したように、本発明の実施の形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、検証済みポリシを用いて認可判定を行うことができるので、ポリシ設定違反がなくなるため、ポリシ設定違反判定手順が不要となり、適切なポリシで認可判定処理をより簡略化でき、認可判定処理の負荷を低減できる。
【０１０３】
（第６の実施の形態）
図１１は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、上記実施の形態とは、サービス提供装置３４０が、ユーザ３からのリソース１０へのアクセス要求に対するサービス提供を行う機能を実現するための構成を有する点で相違する。
【０１０４】
本実施形態のサービス提供装置３４０は、図１の上記実施形態のアクセス制御システム１のサービス提供装置１００の構成要素に加え、さらに、認可要求部３４２と、結果受信部３４６と、サービス提供部３４８と、を備える。図１１では、図１の構成は省略してある。なお、本実施形態のアクセス制御システム１は、図１の上記実施形態の認可装置２００を備えているが、図４、図６、または図８の上記実施形態の認可装置を備えてもよい。
【０１０５】
本実施形態のサービス提供装置３４０は、認可装置２００に、ユーザ３からのリソース１０へのアクセス要求に呼応して、リソース１０へのアクセスの認可判定を要求する認可要求部３４２と、認可装置２００からリソース１０へのアクセスの認可判定の結果を受信する認可判定結果受信部（結果受信部３４６）と、結果受信部３４６が受信した認可判定の結果に応じて、ユーザ３からのアクセス要求に対応するリソース１０へのアクセスを実行するアクセス実行部（サービス提供部３４８）と、を備える。
【０１０６】
より詳細には、サービス提供装置３４０において、認可要求部３４２は、ユーザ３からのリソース１０へのアクセス要求に呼応して、認可装置２００にリソース１０へのアクセスの認可判定を要求する。
結果受信部３４６は、認可装置２００からリソース１０へのアクセスの認可判定の結果を受信する。
サービス提供部３４８は、結果受信部３４６が受信した認可判定の結果に応じて、ユーザ３からのアクセス要求に対応するリソース１０へのアクセスを実行する。
【０１０７】
このように構成された本実施形態のアクセス制御システム１の動作について、以下に説明する。
図１２は、本実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１１および図１２を用いて説明する。
【０１０８】
まず、ユーザ３（図１１）がサービス提供装置３４０（図１１）に対し、サービスアクセス要求を行う（図１２のステップＳ４０１）。たとえば、ウェブサイト（不図示）にアクセスし、あるコンテンツをダウンロードする操作をユーザ３の端末（不図示）で行うことで、ユーザ３からアクセス要求を行う。
【０１０９】
サービス提供装置３４０の認可要求部３４２（図１１）が、ユーザ３からのアクセス要求に呼応して（図１２のステップＳ５０１のＹＥＳ）、認可装置２００（図１１）に対し、認可判定を要求する（図１２のステップＳ５０３）。
【０１１０】
そして、認可装置２００において、上記実施形態の図３または図１０で説明したような認可判定を行い、その結果がサービス提供装置３４０に返信される。サービス提供装置３４０の結果受信部３４６（図１１）が、認可装置２００から判定結果を受信する（図１２のステップＳ５０５）。
【０１１１】
そして、受信した判定結果を参照し、リソース１０へのアクセスが許可された場合（図１２のステップＳ５０７のＹＥＳ）、サービス提供装置３４０のサービス提供部３４８（図１１）が、リソース１０にアクセスし、ユーザ３にサービスを提供する（図１２のステップＳ５０９）。
【０１１２】
一方、受信した判定結果を参照し、リソース１０へのアクセスが禁止された場合（図１２のステップＳ５０７のＮＯ）、サービス提供装置３４０のサービス提供部３４８が、ユーザ３にアクセス不可を通知する（図１２のステップＳ５１１）。たとえば、サービス提供部３４８は、ユーザ３の端末のディスプレイ（不図示）の画面上にリソース１０へのアクセス権を有していないことなどの通知メッセージを表示する。
【０１１３】
ユーザ３の端末は、サービス提供装置３４０から提供されたサービスや、アクセス不可の通知を受信する（図１２のステップＳ４０３）。たとえば、リソース１０へのアクセスが可能な場合、ユーザ３の端末は、リソース１０にアクセスし、ダウンロードすることができる。
【０１１４】
以上、説明したように、本実施形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、ユーザ３からのリソース１０へのアクセス要求に対し、適切なポリシで認可判定を行い、ユーザ３に迅速にサービスを提供できることとなる。
（第７の実施の形態）
図１３は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、上記実施の形態とは、認可判定の結果、ポリシにポリシ設定違反があった場合、ポリシを再設定する点で相違する。
図１３に示すように、本実施形態のアクセス制御システム１は、認可装置２６０と、サービス提供装置３５０と、を備える。
【０１１５】
上述したように、本実施形態のアクセス制御システム１では、認可装置２６０のみが認可判定に利用できる情報を保有しているため、サービス提供装置３５０は、認可装置２６０がどの情報を認可判定に利用しているか把握していない。そのため、サービス提供装置３５０が設定したポリシを、認可装置２６０は適切に解釈できるか、サービス提供装置３５０は検証できない。
【０１１６】
また、認可装置２６０が保有していない情報をサービス提供装置３５０がポリシとして設定しても、認可装置２６０は認可判定を行えない。たとえば、サービス提供装置３５０は認可装置２６０が判定できないポリシを作成する可能性がある。しかし、サービス提供装置３５０は認可装置２６０の保有情報を把握していないため、認可装置２６０がポリシを判定できるか、検証できない。その結果、アクセス制御が正しく行われない、という問題が生じる。
【０１１７】
そこで、本実施形態では、サービス提供装置３５０が設定したポリシを、認可装置２６０が認可判定したとき、ポリシ設定違反があった場合、ポリシの再設定をサービス提供装置３５０に要求し、ポリシを再設定させる。
【０１１８】
ここで、ポリシ設定違反とは、たとえば、結合ポリシの中に認可判定のために必須となる項目が設定されていない、認可装置２６０が保有していないユーザ情報をポリシが参照しようとしている、複数の矛盾するポリシが存在している、たとえば、ホワイトリストとブラックリストの両方が存在している、などである。
【０１１９】
本実施形態のアクセス制御システム１において、認可判定部２０８が認可判定に用いたポリシにポリシ設定違反があると判定された場合、ポリシの再設定を行うポリシ再設定部（結合ポリシ再設定部３５２）をさらに備える。認可判定部２０８は、結合ポリシ再設定部３５２が再設定したポリシを仮登録されたポリシとして用いて認可判定に用い、認可判定に用いたポリシにポリシ設定違反がないことを確認するまで、結合ポリシ再設定部３５２は、ポリシの再設定を繰り返し、認可判定部２０８は、結合ポリシ再設定部３５２が再設定したポリシを仮登録されたポリシとして用いて前記認可判定を繰り返す。
【０１２０】
具体的には、本実施形態の認可装置は、図６または図８の認可装置と同様な構成を有する。また、本実施形態のサービス提供装置は、図６または図８のサービス提供装置と同様な構成を有するとともに、さらに、図１１のサービス提供装置３４０とも同様な構成をする。そして、図１３に示すように、本実施形態のアクセス制御システム１は、上記構成に加え、さらに、結合ポリシ再設定部３５２を備える。
本実施形態において、結合ポリシ再設定部は、サービス提供装置または認可装置のいずれか、結合ポリシ作成部３５２を有する装置が有するものとする。すなわち、図６の場合、認可装置２３０が、図８の場合、サービス提供装置３２０が、結合ポリシ再設定部３５２を備えることができる。
【０１２１】
より詳細には、図１３では、サービス提供装置３５０が結合ポリシ再設定部３５２を備えている。同図において、サービス提供装置３５０は、図８の上記実施形態のサービス提供装置３２０と同様な第２ポリシ作成部３０２と、第１ポリシ受信部３２２と、結合ポリシ作成部３２４と、結合ポリシ送信部３２６と、さらに、図１１のサービス提供装置３４０と同様な認可要求部３４２と、結果受信部３４６と、サービス提供部３４８と、を備えるとともに、さらに、結合ポリシ再設定部３５２を備える。
【０１２２】
サービス提供装置３５０において、結合ポリシ再設定部３５２は、認可装置２６０の認可判定部２０８が認可判定に用いたポリシにポリシ設定違反があると判定した場合に認可装置２６０からのポリシの再設定指示に従い、結合ポリシの再設定を行う。
【０１２３】
結合ポリシの再設定処理は、たとえば、上述した表示装置１５２（図２）に表示されたポリシ設定用画面などに、現在のポリシの設定情報を管理者に提示するとともに、ポリシの変更や追加を行う管理者の操作を、操作受付部１２８（図２）を介して受け付けて、ポリシを再設定することができる。
【０１２４】
また、認可装置２６０は、再設定指示に、ポリシ設定違反となった項目を含めてサービス提供装置３５０に送信することで、通知してもよい。サービス提供装置３５０は、通知されたポリシ設定違反となった項目を、表示装置１５２の設定画面上に提示して、管理者に通知することができる。管理者は、ポリシ設定違反となった項目を確認しながら、ポリシを再設定できる。
【０１２５】
また、本実施形態の認可装置２６０は、図１の上記実施形態の認可装置２００と同様な要求受付部２０２と、ユーザ情報記憶部２０４と、リソース情報記憶部２０６と、認可判定部２０８と、ポリシ格納部２１０と、応答部２１２と、図８の上記実施形態の認可装置２４０と同様な第１ポリシ作成部２２２と、結合ポリシ作成指示部２４２と、結合ポリシ受信部２４４と、を備えるとともに、さらに、結合ポリシ再設定指示部２６２を備える。
【０１２６】
認可装置２６０において、結合ポリシ再設定指示部２６２は、認可判定部２０８が認可判定に用いたポリシにポリシ設定違反があると判定した場合、ポリシの再設定を行うようサービス提供装置３５０に指示する。サービス提供装置３５０が再設定したポリシは、上記実施形態と同様に、結合ポリシ受信部２４４が受信し、認可判定部２０８が認可判定に使用することとなる。
【０１２７】
このように構成された本実施形態のアクセス制御システム１の動作について、以下に説明する。図１４は、本発明の実施の形態に係るアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１３および１図１４を用いて説明する。
図１４において、認可装置２６０は、事前に図９の上記実施形態の認可装置２４０の動作を示すフローチャートと同様なステップＳ２２１、ステップＳ２４１〜ステップＳ２４５を行った後、図３の上記実施形態の認可装置２００の動作を示すフローチャートと同様なステップＳ１０１〜ステップＳ１０９を行うとともに、さらに、ステップＳ２６１とステップＳ２６３を有する。サービス提供装置３５０は、事前に図９の上記実施形態のサービス提供装置３２０の動作を示すフローチャートと同様なステップＳ３０１、ステップＳ３２１〜ステップＳ３２５を行った後、図１４の本実施形態のサービス提供装置３５０の動作を示すフローチャートのステップＳ３５１〜ステップＳ３５９を行う。
【０１２８】
具体的には、まず、サービス提供装置３５０の認可要求部３４２（図１３）が、ユーザ３（図１３）からのリソース１０（図１３）へのアクセス要求に呼応して、認可装置２６０（図１３）に認可要求を行う（図１４のステップＳ３５１）。認可装置２６０の要求受付部２０２（図１３）が、サービス提供装置３５０からの認可要求を受け付け（図１４のステップＳ１０１）、認可装置２６０の認可判定部２０８（図１３）が、認可判定を行う（図１４のステップＳ１０３）。
【０１２９】
認可判定の判定結果に基づいて、予め仮登録されたポリシにポリシ設定違反があった場合（図１４のステップＳ１０５のＹＥＳ）、認可装置２６０の結合ポリシ再設定指示部２６２（図１３）が、サービス提供装置３５０にポリシの再設定を指示する（図１４のステップＳ２６１）。そして、サービス提供装置３５０の結合ポリシ再設定部３５２（図１３）が、認可装置２６０からの指示を受信すると（図１４のステップＳ３５３）、サービス提供装置３５０の結合ポリシ再設定部３５２が、ポリシの再設定を行う（図１４のステップＳ３５５）。そして、結合ポリシ再設定部３５２が再設定した結合ポリシを結合ポリシ送信部３２６（図１３）が、認可装置２６０に送信する（図１４のステップＳ３５７）。
【０１３０】
なお、図１４のステップＳ３５３においてポリシ再設定指示を受信しなかった場合、ステップＳ３５９で判定結果を受信することとなる。図１４では、サービス提供装置３５０がステップＳ３５３とステップＳ３５９でそれぞれ認可装置２６０からポリシ再設定指示と判定結果を受信するように記載されているが、これに限定されない。サービス提供装置３５０が、認可装置２６０から受信した情報が、ポリシ再設定指示か判定結果かを判別し、ポリシ再設定指示の場合、ステップＳ３５５に進み、判定結果の場合、本処理を終了して、アクセス可否判断に進むなど手順を分岐してもよい。
【０１３１】
そして、認可装置２６０の結合ポリシ受信部２４４（図１３）が、サービス提供装置３５０から送信された、再設定された結合ポリシを受信する（図１４のステップＳ２６３）。そして、ステップＳ１０３に戻り、受信した結合ポリシを用いて、認可判定部２０８が、認可判定を行う。
【０１３２】
結合ポリシの設定違反がなくなるまで図１４のステップＳ１０３、ステップＳ１０５、ステップＳ２６１、ステップＳ３５３〜ステップＳ３５７、およびステップＳ２６３を繰り返す。
【０１３３】
認可装置２６０において、予め仮登録されたポリシにポリシ設定違反がなった場合（図１４のステップＳ１０５のＮＯ）、認可装置２６０の認可判定部２０８が、ポリシ設定違反がなかったポリシを検証済みポリシとして認可装置２００のポリシ格納部２１０（図１３）に登録する（図１４のステップＳ１０７）。そして、認可装置２６０の応答部２１２（図１３）が、ポリシ設定違反がなかったポリシを用いた認可判定の判定結果をサービス提供装置３５０に返信する（図１４のステップＳ１０９）。そして、サービス提供装置３５０の結果受信部３４６（図１３）が、認可装置２６０から判定結果を受信する（図１４のステップＳ３５９）。
【０１３４】
このようにして得られた認可判定の結果を受けて、サービス提供装置３５０のサービス提供部３４８は、ユーザ３のリソース１０へのアクセス可否を判断し、サービス提供処理を行う（不図示）。
サービス提供装置３５０の認可要求部３４２が判定結果を受信した後の処理は、図１２の上記実施形態のサービス提供装置３４０のステップＳ５０５以降と同様の処理とすることができる。
【０１３５】
以上、説明したように、本発明の実施の形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、検証済みポリシを効率よく設定できる。その理由は、未検証のポリシの認可判定の結果から、ポリシ設定違反が見つかった場合に、ポリシを再設定し、ポリシ設定違反がなくなるまで、ポリシの設定を繰り返し、最終的に検証済みポリシを登録することができるからである。
【０１３６】
（第８の実施の形態）
図１５は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
図１５に示すように、本実施形態のアクセス制御システム１は、認可装置２７０と、サービス提供装置３６０と、を備える。
本実施形態のアクセス制御システム１は、図１３の上記実施形態と、認可判定時にポリシ設定違反と判別された場合のポリシ再設定処理が異なる。すなわち、本実施形態では、ポリシ設定違反の場合、認可装置２７０が認可判定に必要と考えるポリシに基づいて結合ポリシを作成し、サービス提供装置３６０がその結合ポリシを検証し、ユーザ３にリソース１０へのアクセスを許可するか禁止するかを判断し、その結果をポリシに反映して、認可装置２７０に送信し、認可装置２７０が認可判定処理を行う。
【０１３７】
本実施形態のサービス提供装置３６０は、図１３の上記実施形態のサービス提供装置３５０と同様な構成を有するとともに、さらに、結合ポリシ受信部３６２と、結合ポリシ検証部３６４を備える。
また、本実施形態の認可装置２７０は、図１３の上記実施形態の認可装置２６０と同様な構成を有するとともに、さらに、結合ポリシ作成部２７２と、結合ポリシ送信部２７４を備える。
なお、図１３のサービス提供装置３５０および認可装置２６０の構成要素のうち一部の構成のみを図１５に記載してある。
【０１３８】
本実施形態の認可装置２７０において、結合ポリシ作成部２７２は、ポリシ格納部２１０に仮登録されたポリシを用いて認可判定部２０８の認可判定を行った際に、ポリシ設定違反と判定された場合、結合ポリシを作成する。
【０１３９】
ここで、結合ポリシ作成部２７２が作成する結合ポリシには、現在、認可装置２７０が判定しようとしているアクセスの状況の情報、たとえば、アクセス元エンティティ、アクセス先リソース、リソースに対する処理（Ｒｅａｄ／Ｗｒｉｔｅなど）、実行条件（有効期間など）などが含まれる。
【０１４０】
結合ポリシ送信部２７４は、結合ポリシ作成部２７２が作成した結合ポリシをサービス提供装置３６０に送信する。
サービス提供装置３６０の結合ポリシ受信部３６２は、認可装置２７０から送信された結合ポリシを受信する。結合ポリシ検証部３６４は、結合ポリシ受信部３６２が受信した結合ポリシから状況の情報を検証し、ユーザ３にリソース１０へのアクセスを認めるか否かを判断する。そして、結合ポリシ検証部３６４は、その結果を新たな結合ポリシとして規定し、結合ポリシ送信部３２６に受け渡し、認可装置２７０に送信させる。
【０１４１】
ここで、結合ポリシ検証部３６４は、受信した結合ポリシから取得した状況の情報に基づいて、予め決められた基準に基づいて、アクセスを認めるか否かを判断してもよい。あるいは、結合ポリシ検証部３６４は、受信した結合ポリシから取得した状況の情報を表示装置１５２（図２）の設定画面上に提示し、管理者は状況を確認し、アクセスを認めるか否かを判断して、入力装置１５０（図２）を用いてアクセスを認めるか否かを選択操作し、操作受付部１２８（図２）を介して受け付けてもよい。
【０１４２】
このように構成された本実施形態のアクセス制御システム１のポリシ再設定処理の手順について、以下に説明する。図１６は、本発明の実施の形態に係るアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１５および図１６を用いて説明する。
【０１４３】
認可装置２７０の処理手順は、図１４の上記実施形態のフローチャートと同様なステップＳ１０１〜ステップＳ１０９を有するとともに、さらに、ステップＳ２７１〜ステップＳ２７５を有する。また、サービス提供装置３６０の処理手順は、図１４の上記実施形態のフローチャートと同様なステップＳ３５１およびステップＳ３５９を有するとともに、さらに、ステップＳ３６３〜ステップＳ３６７を有する。
【０１４４】
ここでは、上記実施形態と異なる処理、すなわち、認可装置２７０の認可判定部２０８（図１５）が、ポリシ設定違反と判定した場合（ステップＳ１０５のＹＥＳ）の処理以降について説明する。
【０１４５】
認可装置２７０の認可判定部２０８（図１５）が、ポリシ設定違反と判定した場合（ステップＳ１０５のＹＥＳ）、認可装置２７０の結合ポリシ作成部２７２（図１５）が、自身が判定しようとしているアクセスの状況を含む結合ポリシを作成する（図１６のステップＳ２７１）。
【０１４６】
そして、結合ポリシ作成部２７２が作成した結合ポリシを、認可装置２７０の結合ポリシ送信部２７４（図１５）サービス提供装置３６０に送信する（図１６のステップＳ２７３）。そして、サービス提供装置３６０の結合ポリシ受信部３６２（図１５）が、認可装置２７０から結合ポリシを受信する（図１６のステップＳ３６３）。
【０１４７】
サービス提供装置３６０の結合ポリシ検証部３６４（図１５）が、結合ポリシ受信部３６２が受信した結合ポリシからアクセスの状況を検証し、ユーザ３にアクセスを認めるか否かを判断する。そして、判断した結果を含めて、新たにポリシを規定する（図１６のステップＳ３６５）。
【０１４８】
そして、サービス提供装置３６０の結合ポリシ送信部３２６（図１５）が、新たに規定された結合ポリシを認可装置２７０に送信する（図１６のステップＳ３６７）。そして、認可装置２７０の結合ポリシ受信部２４４（図１５）が、サービス提供装置３６０から新たに規定された結合ポリシを受信する（図１６のステップＳ２７５）。そして、図１６のステップＳ１０３に戻り、認可装置２７０の認可判定部２０８が、結合ポリシ受信部２４４が受信した結合ポリシを用いて認可判定を行う。
【０１４９】
なお、図１６のステップＳ３６３において結合ポリシを受信しなかった場合、ステップＳ３５９で判定結果を受信することとなる。図１６では、サービス提供装置３６０がステップＳ３６３とステップＳ３５９でそれぞれ認可装置２７０から結合ポリシと判定結果を受信するように記載されているが、これに限定されない。図１４の上記実施形態と同様で、サービス提供装置３６０が、認可装置２７０から受信した情報が、結合ポリシか判定結果かを判別し、結合ポリシの場合、ステップＳ３６５に進み、判定結果の場合、本処理を終了して、アクセス可否判断に進むなど手順を分岐してもよい。
【０１５０】
このように、認可装置２７０がサービス提供装置３６０に対してポリシ再設定指示を行う替わりに、認可装置２７０からサービス提供装置３６０に結合ポリシを送信し、サービス提供装置３６０は、ポリシを再設定する替わりに、認可装置２７０が作成した結合ポリシを検証し、その結果をポリシに反映することで、ポリシ設定違反を解消できるようになっている。
【０１５１】
以上、説明したように、本実施形態のアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、さらに、ポリシ設定違反時に、確実に照合可能なポリシの作成が可能となる。その理由は、認可装置２７０が判定しようとしている状況を含む結合ポリシをサービス提供装置３６０に通知し、サービス提供装置３６０がその結合ポリシを検証し、ユーザ３にアクセスを認めるか否かを判断した上で、新たな結合ポリシを規定してサービス提供装置３６０に通知するからである。結果として、認可装置２７０が判定できないポリシを含むことなく、かつ、サービス提供装置３６０が意図するアクセス可否判断結果が反映されたポリシを作成することができる。このようにして、確実に照合可能なポリシが作成されることとなる。
【０１５２】
（第９の実施の形態）
図１７は、本発明の実施の形態に係るアクセス制御システム１の構成を示す機能ブロック図である。
本実施形態のアクセス制御システム１は、認可装置２８０と、図１１の上記実施形態と同様なサービス提供装置３４０と、を備える。
本実施形態のアクセス制御システム１は、上記実施の形態とは、認可判定時に情報が不足した場合、情報を収集する点で相違する。
【０１５３】
上述したように、認可装置２８０のみが認可判定に利用できる情報を保有しているため、サービス提供装置３４０はどの情報を認可判定に利用しているか把握していない。したがって、サービス提供装置３４０は認可装置２８０が判定できないポリシを作成する可能性がある。
そこで、本実施形態では、サービス提供装置３４０が設定したポリシを用いて認可判定を行う時、必要な情報が不足した場合に、情報を収集する。
【０１５４】
本実施形態のアクセス制御システム１のサービス提供装置３４０は、図１１の上記実施形態のサービス提供装置３４０と同様な構成を備える。また、本実施形態の認可装置２８０は、図１１の上記実施形態の認可装置２００と同様な要求受付部２０２と、ユーザ情報記憶部２０４と、リソース情報記憶部２０６と、ポリシ格納部２１０と、の応答部２１２と、を有するとともに、さらに、認可判定部２８２と、情報収集部２８４と、を備える。
なお、本実施形態のアクセス制御システム１は、他の上記実施形態のアクセス制御システム１の構成も含むことができる。
【０１５５】
本実施形態の認可装置２８０において、認可判定部２８２が認可判定を行うとき、ユーザ３の属性情報が不足した場合、不足したユーザ３の属性情報を収集する収集部（情報収集部２８４）をさらに備える。
【０１５６】
認可判定部２８２は、ユーザ３の属性情報が不足した場合、情報収集部２８４にユーザ３の属性情報の収集を指示し、情報収集部２８４が収集したユーザ３の属性情報に基づいて、再度、認可判定を行う。認可判定部２８２は、認可判定を行う際、ユーザ情報記憶部２０４に記憶されたユーザ３の属性情報を用いて判定を行うが、ユーザ情報記憶部２０４から認可判定に必要な属性情報が得られなかった場合に、情報収集部２８４が情報を収集する。
情報収集部２８４において、属性情報は、たとえば、他の装置（他の認可装置やサービス提供装置）などから取得することができる。
【０１５７】
このように構成された本実施形態のアクセス制御システム１の動作について、以下に説明する。図１８は、本発明の実施の形態に係るアクセス制御システム１の動作の一例を示すフローチャートである。以下、図１７および図１８を用いて説明する。
本実施形態において、認可装置２８０は、図３の上記実施形態の認可装置２００の動作を示すフローチャートと同様なステップＳ１０１の後、図３のステップＳ１０３に替えて、ステップＳ１４１〜ステップＳ１４５をさらに備える。本実施形態の図１８のステップＳ１４５の後は、図３のステップＳ１０５以降と同様な処理を行う。
【０１５８】
具体的には、まず、認可装置２８０の要求受付部２０２（図１７）が、ユーザ３（図１７）にサービスを提供するサービス提供装置３４０（図１７）から、ユーザ３からのリソース１０へのアクセス要求（認可要求）を受け付ける（図１８のステップＳ１０１）。
【０１５９】
受け付けた認可要求に呼応して、認可装置２８０の認可判定部２８２（図１７）が認可判定を行うに際し、ユーザ３の属性情報が不足した場合（図１８のステップＳ１４１のＹＥＳ）、認可装置２８０の情報収集部２８４（図１７）が、不足しているユーザ３の属性情報を収集する（図１８のステップＳ１４３）。ユーザ３の属性情報が不足していない場合（図１８のステップＳ１４１のＮＯ）、図１８のステップＳ１４５に進む。
【０１６０】
そして、認可装置２８０の認可判定部２８２（図１７）が、ポリシ格納部２１０（図１７）に予め仮登録されたポリシを用いて、ユーザ情報記憶部２０４（図１７）およびリソース情報記憶部２０６（図１７）に記憶されたユーザ３およびリソース１０の属性情報に基づき、リソース１０へのアクセスを許可するか否かの認可判定を行う（図１８のステップＳ１４５）。
そして、図３のステップＳ１０５に進む。
【０１６１】
なお、本実施形態では、ユーザ情報の不足の判定を図１８のステップＳ１４５の認可判定処理の前に行う構成としたが、これに限定されない。認可判定部２８２が認可判定を行うことで、ユーザ情報の不足を判定結果として出力し、その結果に従い、情報収集部２８４がユーザ情報を収集し、再度、認可判定部２８２が認可判定を行う構成とすることもできる。
【０１６２】
以上、説明したように、本発明の実施の形態に係るアクセス制御システム１によれば、上記実施形態と同様な効果を奏するとともに、検証済みでないポリシを用いた認可判定において、判定に必要な情報が不足した場合に、情報を収集して認可判定を行うことができるので、ポリシ設定違反となる可能性が低減する。
【０１６３】
上記実施形態のアクセス制御システム１において、各実施形態で説明した各処理を一連の処理として行うことができる。たとえば、認可装置２８０がサービス提供装置３４０から認可判定要求を受信したときに（各図のステップＳ１０１）、まず認可装置２８０は図５、図７、または図９の手順で作成した結合ポリシを利用して認可判定を行う（各図のステップＳ１０３または図１８のステップＳ１４５）。このとき、認可判定部２８２が出力する判定結果は「アクセスＯＫ」、「アクセスＮＧ」、「ポリシ設定違反」、または「ユーザ情報不足」を含む。
【０１６４】
「アクセスＯＫ」または「アクセスＮＧ」という判定が出た場合（各図のステップＳ１０５のＮＯ）、ポリシの照合ができたので「認可装置２８０が保有する結合ポリシはポリシ設定違反が無かった」とみなすことができる。そこで、このポリシを検証済みポリシとして認可装置２８０のポリシ格納部２１０内で保管し（各図のステップＳ１０７）、アクセス判定の結果をサービス提供装置３４０に返す（各図のステップＳ１０９）。
【０１６５】
「ユーザ情報不足」という判定が出た場合、たとえば、認可装置２８０保有情報を認可判定部２８２が取得していない場合（図１８のステップＳ１４１のＹＥＳ）、認可装置２８０の情報収集部２８４がユーザ情報を取得して、再度認可判定を行う（図１８のステップＳ１４５）。
【０１６６】
「ポリシ設定違反」という判定が出た場合（図１４のステップＳ１０５のＹＥＳ）、ポリシの照合ができなかったため、サービス提供装置３４０にポリシ再設定要求を出す（図１４のステップＳ２６１）。その後、再度結合ポリシを取得した場合（図１４のステップＳ２６３）、認可判定を再度行う（図１４のステップＳ１０３）。
【０１６７】
上記の処理によれば、結合ポリシを認可装置２８０が検証しない場合でも、ポリシを利用して認可判定処理を行うことができるので、ポリシが正しく設定されているか否か確認することができる。また、認可装置２８０とサービス提供装置３４０が事前に認可処理の委託に関する情報を交換していない状況でも、認可装置２８０とサービス提供装置３４０が動的に部分ポリシや結合ポリシを交換することで認可判定の委託を実現することができる。
【０１６８】
以上、図面を参照して本発明の実施形態について述べたが、これらは本発明の例示であり、上記以外の様々な構成を採用することもできる。
たとえば、図８〜図１０の上記実施形態のアクセス制御システム１において、サービス提供装置３２０が結合ポリシを事前に作成し、認可装置２４０に送信する構成としていたが、他のタイミングで作成することもできる。
【０１６９】
図１９および図２０は、他の実施形態のアクセス制御システム１の動作の一例を示すフローチャートである。
図１９および図２０に示す他の実施形態において、認可判定のトランザクション時に結合ポリシを作成することができる。図８〜図１０の上記実施形態では、サービス提供装置３２０が認可装置２４０から部分ポリシを受信すると、直ぐにサービス提供装置３２０が結合ポリシを作成し、認可装置２４０に返信し、登録していた。すなわち、ポリシの登録処理と認可判定処理を分離して行っていたが、図１９および図２０の実施形態では、認可判定処理とポリシ登録処理を同時に行う。
【０１７０】
本実施形態のアクセス制御システム１は、図８のサービス提供装置３２０および図１１のサービス提供装置３４０と同様な構成を有するサービス提供装置３７０と、図８の認可装置２４０と同様な構成を有する認可装置２９０と、を備える。なお、サービス提供装置３７０は、作成した第２部分ポリシと認可装置２９０から送信された第１部分ポリシを一時的に記憶するポリシ記憶部（不図示）をさらに備える。
【０１７１】
本実施形態のアクセス制御システム１の動作について説明する。以下、図８、図１１、図１９、および図２０を用いて、説明する。
まず、サービス提供装置３７０の第２ポリシ作成部３０２（図８）が、第２部分ポリシを作成する（図１９のステップＳ３０１）。第２ポリシ作成部３０２が作成した第２部分ポリシをポリシ記憶部（不図示）に一時的に記憶する（図１９のステップＳ３７１）。
【０１７２】
一方、認可装置２９０の第１ポリシ作成部２２２（図８）が、第１部分ポリシを作成する（図１９のステップＳ２２１）。そして、認可装置２９０の結合ポリシ作成指示部２４２（図８）が、第１ポリシ作成部２２２が作成した第１部分ポリシをサービス提供装置３７０に送信する（ステップＳ２９１）。
【０１７３】
そして、サービス提供装置３７０の第１ポリシ受信部３２２（図８）が、認可装置２９０から第１部分ポリシを受信する（図１９のステップＳ３７３）。そして、第１ポリシ受信部３２２が受信した第１部分ポリシをポリシ記憶部に記憶する（図１９のステップＳ３７５）。
【０１７４】
そして、サービス提供装置３７０の認可要求部３４２（図１１）が、ユーザ３からのアクセス要求に呼応して（図２０のステップＳ５０１のＹＥＳ）、サービス提供装置３７０の結合ポリシ作成部３２４（図８）が、第２ポリシ作成部３０２が作成した第２部分ポリシと、認可装置２９０から受信した第１部分ポリシをポリシ記憶部から読み出し、結合ポリシを作成する（図２０のステップＳ５３１）。
【０１７５】
そして、サービス提供装置３７０の結合ポリシ送信部３２６（図８）が、認可装置２９０（図８）に対し、認可判定を要求するとともに、結合ポリシ作成部３２４が作成した結合ポリシを送信する（図２０のステップＳ５３３）。サービス提供装置３７０は、図１２のステップＳ５０５に進み、認可装置２９０からの認可判定結果を待つ。以降の処理は上記実施形態と同様である。
【０１７６】
そして、認可装置２９０の結合ポリシ受信部２４４（図８）が、サービス提供装置３７０から認可判定要求とともに、結合ポリシを受信する（図２０のステップＳ２９３）。
【０１７７】
そして、認可装置２９０の認可判定部２０８（図８）が、受信した結合ポリシを用いて認可判定を行う（図２０のステップＳ２９５）。そして、図３、図１４、または図１６などのステップＳ１０５に進み、認可判定の結果に従い処理を行う。以降の処理は上記実施形態と同様である。
【０１７８】
上述した構成によれば、状況実施形態と同様な効果を奏するとともに、さらに、事前にサービス提供装置３７０がアクセス要求を受けたときに、結合ポリシを作成して、認可判定要求を行うので、認可装置２９０が事前に結合ポリシをポリシ格納部２１０に仮登録する必要がなくなる。認可装置２９０とサービス提供装置３７０間で事前に６５ポリシを送受信する必要がなくなるので、認可装置２９０とサービス提供装置３７０の間の通信量を削減できる。また、たとえば、ポリシが短期間で変更になったような場合に、変更前のポリシを無駄に認可装置２９０に仮登録しなくてもよいことも考えられる。ポリシ格納部２１０メモリ容量の削減や、登録処理手順を省略できるので、処理の負荷を低減できる。
【０１７９】
なお、本発明のアクセス制御システム１は、ユーザにコンテンツを提供する事業者（ＳＰ）とユーザの情報を管理しアクセス制御を集中的に行うモバイルキャリアが存在する環境において、サービスを提供する事業者がアクセス制御判定をモバイルキャリアに委託する、といった用途に適用できる。
【０１８０】
また、業務システムを外部事業者（ＳＰ）にアウトソースしている企業（ＩｄＰ）が存在する状況において、社員がアウトソースしている外部事業者のサービスを利用するときに、認可判定を企業内で行うといった用途にも適用可能である。
【０１８１】
また、電子商取引の場を提供するショッピングプラットフォーム事業者（ＩｄＰ）と複数のショッピングサイト（ＳＰ）が存在する環境において、各ショッピングサイトでは認可判定を行わず、ショッピングプラットフォーム事業者が、各ショッピングサイトが規定してポリシにもとづき集中して認可判定を行う、といった用途にも適用できる。
【０１８２】
また、複数のテナント（ＳＰ）が入居するビル管理システム（ＩｄＰ）の入退場管理システムにおいて、各テナントが入退場ポリシ（結合ポリシ）を規定し、前記規定したポリシにしたがってビル管理システムが入場者の入場可否（認可判定）を決定する（例えば、ポリシに従って入場ゲートの開閉を行う）システムにも適用できる。
【０１８３】
以上、実施形態および実施例を参照して本願発明を説明したが、本願発明は上記実施形態および実施例に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
なお、本発明において利用者に関する情報を取得、利用する場合は、これを適法に行うものとする。
【０１８４】
本発明は以下の態様も含むことができる。
（付記１）
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える認可装置。
【０１８５】
（付記２）
（付記１）に記載の認可装置において、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する部分ポリシ作成手段をさらに備え、
前記認可判定手段は、前記サービス提供装置が作成した前記リソースへのアクセス制御の第２部分ポリシと、前記第１部分ポリシと、を結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【０１８６】
（付記３）
（付記２）に記載の認可装置において、
前記サービス提供装置から、前記第２部分ポリシを受信する部分ポリシ受信手段と、
前記部分ポリシ受信手段が受信した前記第２部分ポリシと、前記部分ポリシ作成手段が作成した前記第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成手段と、をさらに備え、
前記認可判定手段は、前記結合ポリシ作成手段が作成した前記結合ポリシを前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【０１８７】
（付記４）
（付記２）に記載の認可装置において、
前記サービス提供装置に、前記部分ポリシ作成手段が作成した前記第１部分ポリシを送信し、前記サービス提供装置が作成した前記第２部分ポリシと、送信した前記第１部分ポリシを結合して結合ポリシを作成する指示を、前記サービス提供装置に行う結合ポリシ作成指示手段と、
前記サービス提供装置から前記結合ポリシを受信する結合ポリシ受信手段と、をさらに備え、
前記認可判定手段は、前記結合ポリシ受信手段が受信した前記結合ポリシを前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【０１８８】
（付記５）
（付記１）乃至（付記４）いずれかに記載の認可装置において、
前記リソースへのアクセスを許可するか否かの認可判定に利用するポリシを記憶するポリシ記憶装置をさらに備え、
前記登録手段は、前記検証済みポリシを前記ポリシ記憶装置に登録し、
前記認可判定手段は、前記登録手段が前記ポリシ記憶装置に登録した前記検証済みポリシを用いて認可判定を行う認可装置。
【０１８９】
（付記６）
（付記１）乃至（付記５）いずれかに記載の認可装置において、
前記認可判定手段が前記認可判定を行うとき、前記ユーザの属性情報が不足した場合、不足した前記ユーザの前記属性情報を収集する収集手段をさらに備え、
前記認可判定手段は、前記ユーザの属性情報が不足した場合、前記収集手段に前記ユーザの前記属性情報の収集を指示し、前記収集手段が収集した前記ユーザの前記属性情報に基づいて、再度、認可判定を行う認可装置。
【０１９０】
（付記７）
（付記１）乃至（付記６）いずれかに記載の認可装置に、ユーザからのリソースへのアクセス要求に呼応して、前記リソースへのアクセスの認可判定を要求する認可要求手段と、
前記認可装置から前記リソースへの前記アクセスの前記認可判定の結果を受信する認可判定結果受信手段と、
前記認可判定結果受信手段が受信した前記認可判定の結果に応じて、前記ユーザからの前記アクセス要求に対応する前記リソースへのアクセスを実行するアクセス実行手段と、を備えるサービス提供装置。
【０１９１】
（付記８）
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する部分ポリシ作成手段を備えるサービス提供装置。
【０１９２】
（付記９）
（付記８）に記載のサービス提供装置において、
ユーザからの前記リソースへのアクセス要求に呼応して、前記リソースへのアクセスの認可判定を認可装置に要求する認可要求手段と、
前記認可装置から前記ポリシに基づいて行われた、前記リソースへの前記アクセスの前記認可判定の結果を受信する認可判定結果受信手段と、
前記認可判定結果受信手段が受信した前記認可判定の結果に応じて、前記ユーザからの前記アクセス要求に対応する前記リソースへのアクセスを実行するアクセス実行手段と、を備えるサービス提供装置。
【０１９３】
（付記１０）
（付記８）または（付記９）に記載のサービス提供装置において、
前記認可装置から、前記認可装置が作成した前記第１部分ポリシを受信する部分ポリシ受信手段と、
前記部分ポリシ作成手段が作成した前記第２部分ポリシと、前記部分ポリシ受信手段が受信した前記第１部分ポリシとを結合し、結合ポリシを作成する結合ポリシ作成手段と、
前記結合ポリシ作成手段が作成した前記結合ポリシを前記認可装置に送信するポリシ送信手段と、を備えるサービス提供装置。
【０１９４】
（付記１１）
（付記１０）に記載のサービス提供装置において、
前記部分ポリシ作成手段が作成した前記第２部分ポリシを前記認可装置に送信するポリシ送信手段をさらに備えるサービス提供装置。
【０１９５】
（付記１２）
リソースへのアクセスの認可判定を行う認可装置が、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付け、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行い、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、
前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録し、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信するアクセス制御方法。
【０１９６】
（付記１３）
（付記１２）に記載のアクセス制御方法において、
前記サービス提供装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し、
前記認可装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し、
前記認可装置が、作成された前記第１部分ポリシと、作成された前記第２部分ポリシとを結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行うアクセス制御方法。
【０１９７】
（付記１４）
（付記１２）または（付記１３）に記載のアクセス制御方法において、
前記認可装置は、前記検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて前記認可判定を行うアクセス制御方法。
【０１９８】
（付記１５）
ユーザからのリソースへのアクセス要求の認可判定を行う認可装置を実現するためのコンピュータに、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける手順、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う手順、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信する手順、を実行させるためのプログラム。
【０１９９】
（付記１６）
（付記１５）に記載のプログラムにおいて、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する手順、
前記サービス提供装置が作成した前記リソースへのアクセス制御の第２部分ポリシと、前記第１部分ポリシと、を結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行う手順をさらにコンピュータに実行させるプログラム。
【０２００】
（付記１７）
ユーザにサービスを提供するサービス提供装置を実現するコンピュータに、
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する手順を実行させるためのプログラム。
【符号の説明】
【０２０１】
１ アクセス制御システム
３ ユーザ
５ ネットワーク
１０ リソース
１００ サービス提供装置
１２０ ＣＰＵ
１２２ メモリ
１２４ ハードディスク
１２６ ネットワーク通信部
１２８ 操作受付部
１３０ 表示制御部
１３４ バス
１５０ 入力装置
１５２ 表示装置
２００ 認可装置
２０２ 要求受付部
２０４ ユーザ情報記憶部
２０６ リソース情報記憶部
２０８ 認可判定部
２１０ ポリシ格納部
２１２ 応答部
２２０ 認可装置
２２２ 第１ポリシ作成部
２２４ 結合ポリシ取得部
２３０ 認可装置
２３２ 部分ポリシ受信部
２３４ 結合ポリシ作成部
２４０ 認可装置
２４２ 結合ポリシ作成指示部
２４４ 結合ポリシ受信部
２６０ 認可装置
２６２ 結合ポリシ再設定指示部
２７０ 認可装置
２７２ 結合ポリシ作成部
２７４ 結合ポリシ送信部
２８０ 認可装置
２８２ 認可判定部
２８４ 情報収集部
２９０ 認可装置
３００ サービス提供装置
３０２ 第２ポリシ作成部
３１０ サービス提供装置
３１２ 部分ポリシ送信部
３２０ サービス提供装置
３２２ 第１ポリシ受信部
３２４ 結合ポリシ作成部
３２６ 結合ポリシ送信部
３４０ サービス提供装置
３４２ 認可要求部
３４６ 結果受信部
３４８ サービス提供部
３５０ サービス提供装置
３５２ 結合ポリシ再設定部
３６０ サービス提供装置
３６２ 結合ポリシ受信部
３６４ 結合ポリシ検証部
３７０ サービス提供装置
【特許請求の範囲】
【請求項１】
ユーザにサービスを提供するサービス提供装置と、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求の認可判定を行う認可装置と、を備え、
前記認可装置は、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備えるアクセス制御システム。
【請求項２】
請求項１に記載のアクセス制御システムにおいて、
前記認可装置は、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する第１ポリシ作成手段を備え、
前記サービス提供装置は、
前記リソースへのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成する第２ポリシ作成手段をさらに備え、
前記認可装置の前記認可判定手段は、前記第１ポリシ作成手段が作成した前記第１部分ポリシと、前記第２ポリシ作成手段が作成した前記第２部分ポリシとを結合し、結合ポリシを前記仮登録されたポリシとして用いて前記認可判定を行うアクセス制御システム。
【請求項３】
請求項１または２に記載のアクセス制御システムにおいて、
前記認可判定手段は、前記検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて前記認可判定を行うアクセス制御システム。
【請求項４】
請求項１乃至３いずれかに記載のアクセス制御システムにおいて、
前記認可判定手段が前記認可判定に用いたポリシにポリシ設定違反があると判定された場合、前記ポリシの再設定を行うポリシ再設定手段をさらに備え、
前記認可判定手段は、前記ポリシ再設定手段が再設定したポリシを前記仮登録されたポリシとして用いて前記認可判定に用い、前記認可判定に用いた前記ポリシにポリシ設定違反がないことを確認するまで、
前記ポリシ再設定手段は、前記ポリシの再設定を繰り返し、
前記認可判定手段は、前記ポリシ再設定手段が再設定したポリシを前記仮登録されたポリシとして用いて前記認可判定を繰り返すアクセス制御システム。
【請求項５】
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える認可装置。
【請求項６】
請求項５に記載の認可装置において、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する部分ポリシ作成手段をさらに備え、
前記認可判定手段は、前記サービス提供装置が作成した前記リソースへのアクセス制御の第２部分ポリシと、前記第１部分ポリシと、を結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【請求項７】
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する部分ポリシ作成手段を備えるサービス提供装置。
【請求項８】
リソースへのアクセスの認可判定を行う認可装置が、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付け、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行い、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、
前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録し、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信するアクセス制御方法。
【請求項９】
請求項８に記載のアクセス制御方法において、
前記サービス提供装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し、
前記認可装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し、
前記認可装置が、作成された前記第１部分ポリシと、作成された前記第２部分ポリシとを結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行うアクセス制御方法。
【請求項１０】
ユーザからのリソースへのアクセス要求の認可判定を行う認可装置を実現するためのコンピュータに、
前記ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける手順、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う手順、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信する手順、を実行させるためのプログラム。
【請求項１】
ユーザにサービスを提供するサービス提供装置と、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求の認可判定を行う認可装置と、を備え、
前記認可装置は、
前記サービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備えるアクセス制御システム。
【請求項２】
請求項１に記載のアクセス制御システムにおいて、
前記認可装置は、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する第１ポリシ作成手段を備え、
前記サービス提供装置は、
前記リソースへのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成する第２ポリシ作成手段をさらに備え、
前記認可装置の前記認可判定手段は、前記第１ポリシ作成手段が作成した前記第１部分ポリシと、前記第２ポリシ作成手段が作成した前記第２部分ポリシとを結合し、結合ポリシを前記仮登録されたポリシとして用いて前記認可判定を行うアクセス制御システム。
【請求項３】
請求項１または２に記載のアクセス制御システムにおいて、
前記認可判定手段は、前記検証済みポリシとして登録されたポリシがある場合、当該検証済みポリシを用いて前記認可判定を行うアクセス制御システム。
【請求項４】
請求項１乃至３いずれかに記載のアクセス制御システムにおいて、
前記認可判定手段が前記認可判定に用いたポリシにポリシ設定違反があると判定された場合、前記ポリシの再設定を行うポリシ再設定手段をさらに備え、
前記認可判定手段は、前記ポリシ再設定手段が再設定したポリシを前記仮登録されたポリシとして用いて前記認可判定に用い、前記認可判定に用いた前記ポリシにポリシ設定違反がないことを確認するまで、
前記ポリシ再設定手段は、前記ポリシの再設定を繰り返し、
前記認可判定手段は、前記ポリシ再設定手段が再設定したポリシを前記仮登録されたポリシとして用いて前記認可判定を繰り返すアクセス制御システム。
【請求項５】
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける要求受付手段と、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う認可判定手段と、
前記認可判定手段の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する登録手段と、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定手段の前記判定結果を前記サービス提供装置に返信する応答手段と、を備える認可装置。
【請求項６】
請求項５に記載の認可装置において、
前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成する部分ポリシ作成手段をさらに備え、
前記認可判定手段は、前記サービス提供装置が作成した前記リソースへのアクセス制御の第２部分ポリシと、前記第１部分ポリシと、を結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行う認可装置。
【請求項７】
リソースへのアクセスの認可判定を行う認可装置が作成した第１部分ポリシと結合して、前記認可装置が認可判定に使用する結合ポリシを作成するための第２部分ポリシを、前記リソースへのアクセス制御のポリシの設定を受け付けて、作成する部分ポリシ作成手段を備えるサービス提供装置。
【請求項８】
リソースへのアクセスの認可判定を行う認可装置が、
ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付け、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行い、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、
前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録し、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信するアクセス制御方法。
【請求項９】
請求項８に記載のアクセス制御方法において、
前記サービス提供装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第１部分ポリシを作成し、
前記認可装置が、前記リソースへのアクセス制御のポリシの設定を受け付け、第２部分ポリシを作成し、
前記認可装置が、作成された前記第１部分ポリシと、作成された前記第２部分ポリシとを結合した結合ポリシを、前記仮登録されたポリシとして用いて前記認可判定を行うアクセス制御方法。
【請求項１０】
ユーザからのリソースへのアクセス要求の認可判定を行う認可装置を実現するためのコンピュータに、
前記ユーザにサービスを提供するサービス提供装置から、前記ユーザからのリソースへのアクセス要求を受け付ける手順、
前記アクセス要求に呼応して、予め仮登録されたポリシを用いて、前記ユーザおよび前記リソースの属性情報に基づき、前記リソースへのアクセスを許可するか否かの認可判定を行う手順、
前記認可判定の判定結果に基づいて、前記予め仮登録されたポリシにポリシ設定違反がないことを確認し、前記ポリシ設定違反がなかったポリシを、検証済みポリシとして登録する手順、
前記ポリシ設定違反がなかったポリシを用いた前記認可判定の前記判定結果を前記サービス提供装置に返信する手順、を実行させるためのプログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【公開番号】特開２０１２−２０８５５４（Ｐ２０１２−２０８５５４Ａ）
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願番号】特願２０１１−７１５５５（Ｐ２０１１−７１５５５）
【出願日】平成２３年３月２９日（２０１１．３．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願日】平成２３年３月２９日（２０１１．３．２９）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]