アクセス制御システム、ポリシー生成方法、およびアクセス権限管理サーバ装置
【課題】認証情報及びアクセス権限の情報を一元管理しつつ、グローバルポリシーに基づく統合アクセス制御を効率よく行うこと。
【解決手段】アクセス制御システムは、認証サーバ装置２０を一意に識別する認証識別情報と、認証サーバ装置２０によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報を管理する利用者情報管理サーバ装置３０を設ける。アクセス権限管理サーバ装置４０は、利用者情報管理サーバ装置３０で管理された対応付情報に基づいて、サーバ装置１０ａ〜１０ｃのアクセス権限に共通する共通ポリシーを各サーバ装置１０ａ〜１０ｃに依存したアクセス権限に係る固有ポリシーを生成する。
【解決手段】アクセス制御システムは、認証サーバ装置２０を一意に識別する認証識別情報と、認証サーバ装置２０によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報を管理する利用者情報管理サーバ装置３０を設ける。アクセス権限管理サーバ装置４０は、利用者情報管理サーバ装置３０で管理された対応付情報に基づいて、サーバ装置１０ａ〜１０ｃのアクセス権限に共通する共通ポリシーを各サーバ装置１０ａ〜１０ｃに依存したアクセス権限に係る固有ポリシーを生成する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御システム、ポリシー生成方法およびアクセス権限管理サーバ装置に関する。
【背景技術】
【０００２】
従来、総務業務や人事業務等のような業務毎に複数の業務サーバが設けられ、各業務サーバが業務毎に複数の利用者端末に対して業務サービスを提供する業務システムが知られている。この業務システムでは、各業務サーバ内にＩＤ（Identification）とパスワードとを対応付けた認証情報を記憶しておき、利用者が利用者端末を用いてアクセス要求を行った場合に、各業務サーバが装置内部に記憶した認証情報を用いて利用者認証を行う。また、各業務サーバは、装置内部のファイル等へのアクセス権限情報を記憶し、利用者からファイル等へのアクセス要求がなされた場合に、アクセス権限情報を基にしてアクセス制御を行う。
【０００３】
このように、業務サーバ毎に認証情報やアクセス権限情報が管理される場合には、複数の業務サーバに関連する人事異動等が生じると、管理者は、業務サーバ毎に認証情報やアクセス権限情報を更新しなければならない。例えば、ある企業で大規模な人事異動が発生した場合には、管理者は、人事業務サーバ、総務業務サーバ、各部門の部門業務サーバの認証情報やアクセス権限情報をそれぞれ更新する必要が生じ、更新作業に多大な人的労力を要する。
【０００４】
このため、複数の業務サーバの認証情報を一元管理する認証情報管理技術が知られている。具体的には、複数の業務サーバとは別個に新たに認証サーバを設け、この認証サーバに各業務サーバの認証処理を依頼することになる。この認証情報管理技術を用いると、認証サーバ上で認証情報を一元管理することができる。なお、複数の認証サーバが設けられた場合には、管理者が各業務サーバに対してＩＰ（Internet Protocol）アドレスを設定することで、各業務サーバは、設定された認証サーバに利用者認証を依頼することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−２８６０２５号公報
【特許文献２】特開２００５−２３５０５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記認証情報管理技術は、単に認証サーバを用いて認証情報を一元管理するものにすぎず、各業務サーバに記憶する各種ファイルへのアクセス権限を統一的に管理するものではない。本来、各業務サーバに対するアクセス制御は、複数の業務サーバを管理する企業の統一的な考え方を受けて策定すべきものであるので、業務サーバ毎に個別にアクセス制御を行った場合には不適切なアクセスを許容するおそれがある。
【０００７】
このため、管理者は、各業務サーバに依存しない共通のポリシーを策定する統合アクセス制御を行う事が望まれる。以下、各業務サーバに依存しない共通のポリシーをグローバルポリシーと表記する。統合アクセス制御では、管理者が、グローバルポリシーに基づいて個々の業務サーバに固有のポリシーを構築することになる。以下、業務サーバに固有のポリシーをローカルポリシーと表記する。
【０００８】
例えば、管理者が、アクセス権限管理サーバ上で「利用者○○は×××にアクセスできる」と言うグローバルポリシーに基づいて業務サーバＡのローカルポリシーを構築する場合を説明する。このアクセス権限管理サーバとは、グローバルポリシーからローカルポリシーを生成するサーバ装置である。この場合には、アクセス権限管理サーバは、少なくとも「サーバＡの代わりに認証処理を行う認証サーバで管理されたアカウント」の情報を取得する必要がある。ここで、アカウントとは、例えば、利用者を一意に識別するＩＤ等の利用者識別情報に対応する。
【０００９】
ところが、アクセス権限管理サーバは、「サーバＡの代わりに認証処理を行う認証サーバで管理されたアカウント」の情報は記憶しておらず、この情報は認証サーバにしか存在しない。このため、アクセス権限管理サーバは、ローカルポリシーを生成する際に認証サーバから情報を取得する必要がある。しかし、アクセス権限管理サーバが、この種の情報を認証サーバに要求すると、認証サーバが本来行うべき認証処理以外の処理負荷をかけることになる。その結果、認証サーバの処理効率が低下し、結果的に利用者が業務サーバにアクセスする際に待ち時間が発生する可能性がある。認証サーバは、通常、複数の業務サーバに頻繁に加入及び離脱する利用者の認証処理を行っており、アクセス権限管理サーバの情報要求に対応する余裕がないのが実情だからである。加えて、認証サーバの管理者による不正を防止するために、認証サーバ内の情報が暗号化されている場合には、アカウントの要求に応答して暗号化されたアカウントを復号化する処理が必要となり、ますます処理負荷が増加する。
【００１０】
したがって、現実問題としては、グローバルポリシーからローカルポリシーを生成する場合に、業務サーバ、認証サーバ及びアクセス権限管理サーバの各管理者が集まって互いに情報交換を行い、管理者が人手でローカルポリシーを策定しているのが実情である。
【００１１】
以上のことから、認証情報及びアクセス権限情報を一元管理しつつ、グローバルポリシーに基づく統合アクセス制御をいかに効率よく実現するかが重要な課題となっている。かかる課題は、業務システムだけの課題ではなく、複数のサーバの認証処理を独立した認証サーバに行わせつつ各サーバのアクセス制御を統一的に行う場合にも同様に生じる課題である。
【００１２】
開示の技術は、上記に鑑みてなされたものであって、認証情報及びアクセス権限情報を一元管理しつつ、グローバルポリシーに基づく統合アクセス制御を効率良く行うことができるアクセス制御システム、ポリシー生成方法およびアクセス権限管理サーバ装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
本願の開示するアクセス制御システムは、認証サーバ装置を一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報を管理する利用者情報管理サーバ装置を備える。統合アクセス制御システムは、利用者情報管理サーバ装置で管理された対応付情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーから各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するアクセス権限管理サーバ装置を備える。
【発明の効果】
【００１４】
本願の開示するアクセス制御システムの一つの態様によれば、認証情報及びアクセス権限の情報を一元管理しつつ、グローバルポリシーからローカルポリシーを生成して各サーバ装置に配付することにより統合アクセス制御を効率よく行うことができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本実施例１にかかるアクセス制御システムの構成を示す図である。
【図２】図２は、本実施例２にかかるアクセス制御システムの構成を示す図である。
【図３】図３は、アクセス権限管理サーバが認証サーバで認証を受ける際に使用する業務サーバ毎の利用者の利用者識別情報を収集する手順を説明する図である。
【図４】図４は、業務サーバの構成を示す図である。
【図５】図５は、定義情報のデータ構造を示す図である。
【図６】図６は、アクセス制御情報のデータ構造を示す図である。
【図７】図７は、認証サーバの構成を示す図である。
【図８】図８は、認証情報のデータ構造を示す図である。
【図９】図９は、利用者情報管理サーバの構成を示す図である。
【図１０】図１０は、グローバルアカウント情報のデータ構造を示す図である。
【図１１】図１１は、ロール情報のデータ構造を示す図である。
【図１２】図１２は、認証配布先情報のデータ構造を示す図である。
【図１３】図１３は、対応付情報のデータ構造を示す図である。
【図１４】図１４は、アカウント情報通知部の処理を説明するための図である。
【図１５】図１５は、アクセス権限管理サーバの構成を示す図である。
【図１６】図１６は、グローバルポリシー情報のデータ構造を示す図である。
【図１７】図１７は、構成情報のデータ構造を示す図である。
【図１８】図１８は、ローカルポリシー情報のデータ構造を示す図である。
【図１９】図１９は、配布先情報のデータ構造を示す図である。
【図２０】図２０は、グローバルポリシー情報からローカルポリシー情報を生成する処理を説明するための図である。
【図２１】図２１は、本実施例２にかかるアクセス制御システムの処理手順を示すフローチャート（１）である。
【図２２】図２２は、本実施例２にかかるアクセス制御システムの処理手順を示すフローチャート（２）である。
【発明を実施するための形態】
【００１６】
以下に、本願の開示するアクセス制御システム、ポリシー生成方法およびアクセス権限管理サーバ装置の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１７】
本実施例１にかかるアクセス制御システムの構成の一例について説明する。図１は、本実施例１にかかるアクセス制御システムの構成を示す図である。図１に示すように、このアクセス制御システムは、サーバ装置１０ａ〜１０ｃ、認証サーバ装置２０、利用者情報管理サーバ装置３０、アクセス権限管理サーバ装置４０を有する。
【００１８】
サーバ装置１０ａ〜１０ｃは、利用者からのアクセスを受付ける装置である。認証サーバ装置２０は、サーバ装置１０ａ〜１０ｃへアクセスする利用者の利用者認証処理を行う装置である。
【００１９】
利用者情報管理サーバ装置３０は、認証サーバ装置２０を一意に識別する認証識別情報と、認証サーバ装置２０によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報を管理する装置である。また、利用者情報管理サーバ装置３０は、利用者識別情報に対応する利用者の属性を示す属性情報を管理する。
【００２０】
アクセス権限管理サーバ装置４０は、利用者情報管理サーバ装置３０で管理された対応付情報、属性情報に基づいて、各サーバ装置１０のアクセス権限に共通する共通ポリシーから各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成する装置である。
【００２１】
本実施例１にかかるアクセス制御システムは、認証識別情報と利用者識別情報とを対応付けた対応付情報、属性情報を管理する利用者情報管理サーバ装置３０を設けている。このため、アクセス権限管理サーバ装置４０は、認証サーバ装置２０に利用者識別情報を問い合わせるのではなく、利用者情報管理サーバ装置３０が管理する対応付情報を問い合わせる。そして、アクセス権限管理サーバ装置４０は、対応付情報に基づいて、サーバ装置１０ａ〜１０ｃが認証を依頼する認証サーバ装置が認証サーバ装置２０であり、認証サーバ装置２０が認証する利用者の利用者識別情報、属性情報を得ることができる。認証サーバ装置２０が認証する利用者の利用者識別情報、属性情報を得られれば、アクセス権限管理サーバ装置４０は、共通ポリシーから固有ポリシーを生成することができる。例えば、認証サーバ装置２０が認証を行う利用者の利用者識別情報が「利用者０１」の場合には、共通ポリシー「利用者○○は×××にアクセスできる」は、固有ポリシー「利用者０１はサーバ装置１０ａ〜１０ｃにアクセスできる」となる。したがって、本実施例１にかかるアクセス制御システムによれば、認証情報およびアクセス権限の情報を一元管理しつつ、共通ポリシーに基づく統合アクセス制御を効率よく実現することができる。
【実施例２】
【００２２】
次に、本実施例２にかかるアクセス制御システムの構成について説明する。図２は、本実施例２にかかるアクセス制御システムの構成を示す図である。図２に示すように、このアクセス制御システムは、複数の業務サーバ１００ａ〜１００ｃ、複数の認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００を有する。業務サーバ１００ａ〜１００ｃをまとめて、業務システムとする。
【００２３】
また、複数の業務サーバ１００ａ〜１００ｃ、複数の認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００はネットワークに接続する。このネットワークは、例えば、ＬＡＮ（Local Area Network）に対応する。業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００は、例えば、ＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）プロトコルに基づいて相互にデータ通信を行う。
【００２４】
ここでは一例として、業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００は社内に設置されているものとする。そして、アクセス権限管理サーバ４００が、利用者情報管理サーバ３００に記憶された情報を利用して、各業務サーバ１００ａ〜１００ｃにアクセス権限を設定する。なお、アクセス制御システムは、業務サーバ１００ａ〜１００ｃ以外のサーバを有してもよい。また、アクセス制御システムは、認証サーバ２００ａ〜２００ｃ以外の認証サーバを有してもよい。
【００２５】
なお、業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００は必ずしも社内に設定されていなくてもよい。例えば、業務サーバ１００ａ〜１００ｃを社内に設置し、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００を社外に設けてもよい。以下において、業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００について説明する。
【００２６】
業務サーバ１００ａは、複数の利用者端末に対して業務サービスを提供する。例えば、業務サーバ１００ａは、利用者が業務に利用する業務情報を記憶し、かかる業務情報を利用者端末に通知する。なお、業務サーバ１００ａは、認証サーバ２００ａ〜２００ｃのうち、いずれかの認証サーバにネットワークを介して接続する。そして、業務サーバ１００ａは、接続した認証サーバを利用して利用者の認証を行い、利用者に与えられたアクセス権限の範囲内で利用者からのアクセスを許可する。業務サーバ１００ｂおよび１００ｃに関する説明は、業務サーバ１００ａに関する説明と同様である。
【００２７】
認証サーバ２００ａは、業務サーバ１００ａ〜１００ｃのうち、いずれかの業務サーバにネットワークを介して接続される。そして、認証サーバ２００ａは、接続した業務サーバにアクセス要求を行う利用者の認証を行う。認証サーバ２００ａは、例えば、利用者を識別する利用者識別情報とパスワードとを対応付けた認証情報を記憶する。認証サーバ２００ａは、かかる認証情報を利用して、利用者の認証を行う。認証サーバ２００ｂおよび２００ｃに関する説明は、認証サーバ２００ａに関する説明と同様である。
【００２８】
利用者情報管理サーバ３００は、認証サーバ２００ａ〜２００ｃに認証情報を設定する。また、利用者情報管理サーバ３００は、自身の持っている情報から、各認証サーバ（２００ａから２００ｃ）に、そのサーバで認証する利用者の情報と、その認証サーバを一意に識別するための認証サーバ識別情報とを記憶させる。その他に、利用者情報管理サーバ３００は、グローバルアカウント情報、ロール情報を記憶する。
【００２９】
グローバルアカウント情報は、利用者が所属する部署および役職の情報を含む。ロール情報は、役職毎のアクセス権限の範囲を含む。ここで、役職毎のアクセス権限の範囲は、例えば、役職が「一般」の利用者は、データの読み出しのみを許可し、役職が「課長」の利用者は、データの読み出しとデータの書き込みを許可する旨の情報を含む。
【００３０】
アクセス権限管理サーバ４００は、業務システム全体のアクセス権限を定義するグローバルポリシー情報から、業務サーバ毎のアクセス権限を定義するローカルポリシー情報を生成する。そしてアクセス権限管理サーバ４００は、業務サーバごとに生成したローカルポリシー情報を各業務サーバに配付することによって、業務サーバ１００ａ〜１００ｃに利用者毎のアクセス権限を設定する。
【００３１】
アクセス権限管理サーバ４００がグローバルポリシー情報からローカルポリシー情報を生成する場合には、アクセス権限管理サーバ４００は認証サーバで認証を受ける際に使用する業務サーバ１００ａ〜１００ｃの利用者の利用者識別情報、グローバルアカウント情報およびロール情報を収集する。アクセス権限管理サーバ４００は、グローバルアカウント情報およびロール情報を利用者情報管理サーバ３００から収集する。また、アクセス権限管理サーバ４００は、下記に示す手順で、認証サーバで認証を受ける際に使用する業務サーバ１００ａ〜１００ｃの利用者の利用者識別情報を収集する。
【００３２】
ここで、アクセス権限管理サーバ４００が認証サーバで認証を受ける際に使用する業務サーバ１００ａ〜１００ｃの利用者の利用者識別情報を収集する処理手順の一例について説明する。図３は、アクセス権限管理サーバが認証サーバで認証を受ける際に使用する業務サーバ毎の利用者の利用者識別情報を収集する手順を説明する図である。
【００３３】
図３では説明の便宜上、アクセス権限管理サーバ４００が認証サーバで認証を受ける際に使用する業務サーバ１００ａの利用者の利用者識別情報を収集する場合について説明する。また、業務サーバ１００ａは、認証を依頼する認証サーバとして、認証サーバ２００ａが設定されているものとする。認証サーバで認証を受ける際に使用する業務サーバ１００ａの利用者の利用者識別情報は、認証サーバ２００ａが認証する利用者の利用者識別情報となる。
【００３４】
なお、アクセス権限管理サーバ４００が認証サーバで認証を受ける際に使用する業務サーバ１００ｂ，１００ｃの利用者の利用者識別情報を収集する手順は、業務サーバ１００ａにおける手順と同様である。
【００３５】
図３において、アクセス権限管理サーバ４００は、定義情報を業務サーバ１００ａに要求する（図３の（１）参照）。ここで定義情報は、業務サーバを識別する業務識別情報と業務サーバに接続された認証サーバを識別する認証識別情報とを対応付ける情報である。
【００３６】
業務サーバ１００ａがアクセス権限管理サーバ４００から定義情報の要求を受け付けた場合に、業務サーバ１００ａは認証サーバ２００ａに認証識別情報を要求する（図３の（２）参照）。
【００３７】
認証サーバ２００ａが業務サーバ１００ａから認証識別情報の要求を受け付けた場合に、認証サーバ２００ａは、業務サーバ１００ａに認証識別情報を送信する（図３の（３）参照）。例えば、認証サーバ２００ａは、認証識別情報「認証サーバ２００ａ」を記憶し、業務サーバ１００ａに認証識別情報「認証サーバ２００ａ」を送信する。
【００３８】
業務サーバ１００ａが認証サーバ２００ａから認証識別情報を受信した場合に、業務サーバ１００ａは定義情報を生成し、生成した定義情報をアクセス権限管理サーバ４００に送信する（図３の（４）参照）。業務サーバ１００ａが生成する定義情報は、業務サーバ１００ａの業務識別情報「業務サーバ１００ａ」と、業務サーバ１００ａが受信した認証識別情報「認証サーバ２００ａ」とを対応付けた情報である。
【００３９】
アクセス権限管理サーバ４００が業務サーバ１００ａから定義情報を受信した場合に、アクセス権限管理サーバ４００は、定義情報に含まれる認証識別情報を利用者情報管理サーバ３００に送信する（図３の（５）参照）。例えば、アクセス権限管理サーバ４００は、認証識別情報「認証サーバ２００ａ」を利用者情報管理サーバ３００に送信する。
【００４０】
利用者情報管理サーバ３００がアクセス権限管理サーバ４００から認証識別情報を受信した場合に、認証識別情報に対応する利用者識別情報をアクセス権限管理サーバ４００に送信する（図３の（６）参照）。図３の（６）において、利用者情報管理サーバ３００がアクセス権限管理サーバ４００に送信する利用者識別情報が、業務サーバ１００ａの代わりに利用者認証を行う認証サーバ２００ａで認証する利用者の利用者識別情報となる。
【００４１】
例えば、利用者情報管理サーバ３００が、認証識別情報「認証サーバ２００ａ」と利用者識別情報「利用者０１」、「利用者０２」、「利用者０３」とを対応付けた対応付情報を管理する。そして、利用者情報管理サーバ３００が、認証識別情報「認証サーバ２００ａ」を受信した場合には、利用者情報管理サーバ３００は、利用者識別情報「利用者０１」、「利用者０２」、「利用者０３」を、アクセス権限管理サーバ４００に送信する。
【００４２】
上述したように、アクセス制御システムが図３の（１）〜（６）の処理を行うことで、アクセス権限管理サーバ４００は、認証サーバで認証を受ける際に使用する業務サーバ１００ａの利用者の利用者識別情報を収集することができる。
【００４３】
次に、図２に示した業務サーバ１００ａの構成の一例について説明する。なお、業務サーバ１００ｂ，１００ｃの構成に関する説明は、業務サーバ１００ａの構成に関する説明と同様である。図４は、業務サーバの構成を示す図である。図４に示すように、この業務サーバ１００ａは、通信制御部１１０、入力部１２０、出力部１３０、入出力制御部１４０、記憶部１５０、制御部１６０を有する。
【００４４】
通信制御部１１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部１１０は、認証サーバ２００ａ〜２００ｃ、アクセス権限管理サーバ４００および利用者の端末装置との間でデータ通信を実行する。この通信制御部１１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ（Application Specific Integrated Circuit）、通信用カード等に対応する。
【００４５】
入力部１２０は、キーボードやマウス等の入力装置に対応する。出力部１３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００４６】
入出力制御部１４０は、通信制御部１１０、入力部１２０、出力部１３０、記憶部１５０、制御部１６０の間におけるデータの入出力を制御する処理部である。入出力制御部１４０は、例えば、データの入出力を制御するＡＳＩＣ等に対応する。
【００４７】
記憶部１５０は、利用者が業務に利用する業務情報、利用者のアクセス権限および認証を依頼する認証サーバの宛先情報等を記憶する記憶部である。記憶部１５０は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（flash memory）などの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００４８】
図４に示すように、記憶部１５０は、業務情報１５０ａ、アクセス制御情報１５０ｂ、認証サーバ宛先情報１５０ｃを記憶する。このうち、業務情報１５０ａは、利用者が業務に利用する情報である。アクセス制御情報１５０ｂは、利用者の利用者識別情報と利用者のアクセス権限とを対応付けた情報である。認証サーバ宛先情報１５０ｃは、業務サーバ１００ａが利用者の認証を依頼する認証サーバの宛先情報である。この宛先情報は、例えば、認証サーバのＩＰアドレスを含む。
【００４９】
制御部１６０は、利用者の認証を認証サーバに依頼する処理、利用者が認証された場合に、利用者のアクセス権限に基づいて利用者のアクセスを制御する処理、定義情報を生成する処理等を実行する処理部である。制御部１６０は、例えば、ＡＳＩＣや、ＦＰＧＡ（Field Programmable Gate Array）などの集積装置、または、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路に対応する。
【００５０】
図４に示すように、制御部１６０は、アクセス制御情報設定部１６０ａと、認証要求部１６０ｂと、アクセス制御部１６０ｃと、定義情報生成処理部１６０ｄとを有する。このうち、アクセス制御情報設定部１６０ａは、アクセス権限管理サーバ４００からアクセス権限情報を受信し、受信したアクセス権限情報を記憶部１５０に記憶する処理部である。
【００５１】
認証要求部１６０ｂは、利用者の認証を認証サーバに要求する処理部である。具体的に、認証要求部１６０ｂの処理について説明する。認証要求部１６０ｂは、利用者の端末装置から業務サーバ１００ａに対するアクセス要求を受信した場合に、利用者識別情報とパスワードとをアクセス要求元の利用者の端末装置に要求する。以下の説明において、利用者識別情報とパスワードとの組を認証対象情報と表記する。
【００５２】
認証要求部１６０ｂが利用者の端末装置から認証対象情報を受信した場合には、認証要求部１６０ｂは、認証サーバ宛先情報１５０ｃに基づいて、認証を要求する認証サーバを判定する。
【００５３】
そして、認証要求部１６０ｂは、認証を要求する認証サーバに認証対象情報を送信し、認証を要求した認証サーバから認証結果を受信する。例えば、認証を要求する認証サーバが認証サーバ２００ａの場合には、認証要求部１６０ｂは、認証対象情報を認証サーバ２００ａに送信し、認証サーバ２００ａから認証結果を受信する。認証要求部１６０ｂは、受信した認証結果をアクセス制御部１６０ｃに出力する。
【００５４】
アクセス制御部１６０ｃは、利用者の認証結果とアクセス制御情報１５０ｂに基づいて、利用者のアクセスを制御する処理部である。具体的に、アクセス制御部１６０ｃの処理について説明する。まず、利用者の認証に失敗した旨の情報が認証結果に含まれている場合には、アクセス制御部１６０ｃは、認証に失敗した旨の情報を利用者の端末装置に送信し、例えば、再度、認証対象情報を要求する。再度送信される認証対象情報は、認証要求部１６０ｂが処理する。
【００５５】
一方、利用者の認証に成功した旨の情報が認証結果に含まれている場合には、認証に成功した利用者の利用者識別情報とアクセス制御情報１５０ｂとを比較して、利用者のアクセス権限の範囲を判定する。そして、アクセス制御部１６０ｃは、判定したアクセス権限の範囲内で、利用者の端末装置から業務情報１５０ａに対するアクセスを許可する。
【００５６】
定義情報生成処理部１６０ｄは、定義情報を生成する処理部である。具体的に、定義情報生成処理部１６０ｄの処理について説明する。定義情報生成処理部１６０ｄがアクセス権限管理サーバ４００から定義情報の要求を受け付けた場合に、定義情報生成処理部１６０ｄは、認証サーバ宛先情報１５０ｃに基づいて、業務サーバ１００ａが認証を要求する認証サーバを判定する。
【００５７】
そして、定義情報生成処理部１６０ｄは、業務サーバ１００ａが認証を要求する認証サーバに、認証サーバを識別する認証識別情報を要求する。定義情報生成処理部１６０ｄが認証サーバから認証識別情報を受信した場合には、定義情報生成処理部１６０ｄは、自身の業務サーバを識別する業務識別情報と認証識別情報とを対応付けることで、定義情報を生成する。定義情報生成処理部１６０ｄは、生成した定義情報をアクセス権限管理サーバ４００に送信する。
【００５８】
ここで、定義情報生成処理部１６０ｄが生成する定義情報のデータ構造の一例について説明する。図５は、定義情報のデータ構造を示す図である。図５に示すように、この定義情報は、業務識別情報と認証識別情報とを対応付けて記憶する。例えば、業務サーバ１００ａにアクセスする利用者を認証する認証サーバが認証サーバ２００ａの場合には、業務識別情報に「業務サーバ１００ａ」が格納され、認証識別情報に「認証サーバ２００ａ」が格納される。この定義情報は、定義情報生成処理部１６０ｄが、認証サーバから認証識別情報を受信した後に、生成される。
【００５９】
次に、図４に示したアクセス制御情報１５０ｂのデータ構造の一例について説明する。図６は、アクセス制御情報のデータ構造を示す図である。図６に示すように、アクセス制御情報１５０ｂは、利用者識別情報とアクセス権限とを対応付けて記憶する。このアクセス制御情報１５０ｂは、アクセス制御情報設定部１６０ａがアクセス権限情報をアクセス権限管理サーバ４００から受信した場合に、アクセス制御情報設定部１６０ａによって記憶部１５０に格納される。
【００６０】
図６において、例えば、利用者識別情報「利用者０１」に対応するアクセス権限は「読取」である。したがって、アクセス制御部１６０ｃは、利用者識別情報「利用者０１」となる利用者の端末装置からアクセスを受け付け、利用者の認証に成功した場合に、業務情報１５０ａに対するデータの読取を許可する。
【００６１】
また、利用者識別情報「利用者０２」に対応するアクセス権限は「読取・書込」である。したがって、アクセス制御部１６０ｃは、利用者識別情報「利用者０２」となる利用者の端末装置からアクセスを受け付け、利用者の認証に成功した場合に、業務情報１５０ａに対するデータの読取及び書込を許可する。
【００６２】
次に、図２に示した認証サーバ２００ａの構成の一例について説明する。なお、認証サーバ２００ｂ，２００ｃの構成に関する説明は、認証サーバ２００ａに関する説明と同様である。図７は、認証サーバの構成を示す図である。図７に示すように、この認証サーバ２００ａは、通信制御部２１０、入力部２２０、出力部２３０、入出力制御部２４０、記憶部２５０、制御部２６０を有する。
【００６３】
通信制御部２１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部２１０は、業務サーバ１００ａ〜１００ｃ、利用者情報管理サーバ３００との間でデータ通信を実行する。この通信制御部２１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ、通信用カード等に対応する。
【００６４】
入力部２２０は、キーボードやマウス等の入力装置に対応する。出力部２３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００６５】
入出力制御部２４０は、通信制御部２１０、入力部２２０、出力部２３０、記憶部２５０、制御部２６０の間におけるデータの入出力を制御する処理部である。入出力制御部２４０は、例えば、データの入出力を制御するＡＳＩＣ等に対応する。
【００６６】
記憶部２５０は、利用者を認証するための情報を記憶する記憶部である。記憶部２５０は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリなどの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００６７】
図７に示すように、記憶部２５０は、認証情報２５０ａを記憶する。認証情報２５０ａは、例えば、利用者識別情報とパスワードとを対応付けて記憶する情報である。また、認証情報２５０ａは、認証サーバを識別する認証識別情報も含む。
【００６８】
制御部２６０は、利用者を認証する処理、認証識別情報を業務サーバに送信する処理等を実行する処理部である。制御部２６０は、例えば、ＡＳＩＣや、ＦＰＧＡなどの集積装置、または、ＣＰＵやＭＰＵ等の電子回路に対応する。
【００６９】
認証処理部２６０ａは、業務サーバから利用者の認証要求を受け付けた場合に、利用者の認証を行い、認証要求を行った業務サーバに認証結果を送信する処理部である。具体的に、認証処理部２６０ａの処理について説明する。ここでは、説明の便宜上、業務サーバ１００ａから認証要求を受付けるものとする。認証処理部２６０ａは、認証要求として、認証対象情報を業務サーバ１００ａから受信する。
【００７０】
認証処理部２６０ａが業務サーバ１００ａから認証対象情報を受信した場合には、認証処理部２６０ａは、認証対象情報に含まれる利用者識別情報とパスワードとの組合せと同じ組合せが認証情報２５０ａに含まれているか否かを判定する。
【００７１】
認証処理部２６０ａは、認証対象情報に含まれる利用者識別情報とパスワードとの組合せと同じ組合せが、認証情報２５０ａに含まれている場合には、認証に成功した旨の認証結果を業務サーバ１００ａに送信する。一方、認証処理部２６０ａは、認証対象情報に含まれる利用者識別情報とパスワードとの組合せと同じ組合せが、認証情報２５０ａに含まれていない場合には、認証に失敗した旨の認証結果を業務サーバ１００ａに送信する。
【００７２】
認証情報管理部２６０ｂは、利用者情報管理サーバ３００から認証情報を受信し、受信した認証情報を記憶部２５０に記憶させる処理部である。また、認証情報管理部２６０ｂが業務サーバから認証識別情報の要求を受信した場合には、認証情報管理部２６０ｂは、認証情報２５０ａに記憶された認証識別情報を、要求元の業務サーバに送信する。なお、認証情報管理部２６０ｂは、認証サーバの管理者による不正を防止するために、認証情報２５０ａを暗号化してもよい。
【００７３】
ここで、図７に示した認証情報２５０ａのデータ構造の一例について説明する。図８は、認証情報のデータ構造を示す図である。図８に示すように、この認証情報は、認証識別情報、利用者識別情報およびパスワードを含む。認証識別情報は、認証サーバを一意に識別することができれば、どのような識別情報でもよい。
【００７４】
次に、図２に示した利用者情報管理サーバ３００の構成の一例について説明する。図９は、利用者情報管理サーバ３００の構成を示す図である。図９に示すように、利用者情報管理サーバ３００は、通信制御部３１０、入力部３２０、出力部３３０、入出力制御部３４０、記憶部３５０、制御部３６０を有する。
【００７５】
通信制御部３１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部３１０は、認証サーバ２００ａ〜２００ｃ、アクセス権限管理サーバ４００との間でデータ通信を実行する。この通信制御部３１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ、通信用カード等に対応する。
【００７６】
入力部３２０は、キーボードやマウス等の入力装置に対応する。出力部３３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００７７】
入出力制御部３４０は、通信制御部３１０、入力部３２０、出力部３３０、記憶部３５０、制御部３６０の間におけるデータの入出力を制御する処理部である。入出力制御部３４０は、例えば、データの入出力を制御するＡＳＩＣ等に対応する。
【００７８】
記憶部３５０は、利用者に関する情報等を記憶する記憶部である。記憶部３５０は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリなどの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００７９】
図９に示すように、記憶部３５０は、グローバルアカウント情報３５０ａ、ロール情報３５０ｂ、認証配布先情報３５０ｃ、対応付情報３５０ｄを記憶する。グローバルアカウント情報３５０ａは、例えば、利用者の所属する部署、利用者の名前、利用者の役職を対応付けた情報である。
【００８０】
ロール情報３５０ｂは、役職毎のアクセス権限とアクセス先とを対応付けた情報である。認証配布先情報３５０ｃは、認証情報を送信する認証サーバの宛先情報である。この宛先情報は、例えば、認証サーバのＩＰアドレスを含む。対応付情報３５０ｄは、認証サーバを識別する認証識別情報と、認証サーバが認証する利用者の利用者識別情報とを対応付けた情報を含む。
【００８１】
制御部３６０は、認証サーバ２００ａ〜２００ｃに認証情報を設定する処理、アクセス権限管理サーバ４００から認証識別情報を受信した場合に、認証識別情報に対応する利用者の情報をアクセス権限管理サーバ４００に送信する処理等を行う処理部である。制御部３６０は、例えば、ＡＳＩＣや、ＦＰＧＡなどの集積装置、または、ＣＰＵやＭＰＵ等の電子回路に対応する。
【００８２】
図９に示すように、制御部３６０は、認証情報設定部３６０ａと、アカウント情報通知部３６０ｂとを有する。認証情報設定部３６０ａは、認証情報を生成し、生成した認証情報を認証サーバ２００ａ〜２００ｃに送信する処理部である。具体的に、認証情報設定部３６０ａの処理について説明する。例えば、認証情報設定部３６０ａは、認証情報を送信する認証サーバの認証識別情報と、利用者名と、利用者の利用者識別情報とを対応付けた情報を、入力部３２０を介して管理者から取得する。そして、認証情報設定部３６０ａは、ランダム関数等を用いて、各利用者識別情報に対応するパスワードを生成する。例えば、認証情報設定部３６０ａは、利用者識別情報とパスワードとの関係を出力部３３０に出力することで、管理者に利用者識別情報とパスワードとの関係を通知する。
【００８３】
続いて、認証情報設定部３６０ａは、認証識別情報と、利用者識別情報と、パスワードとを対応付けた認証情報を生成する。認証情報設定部３６０ａは、認証情報に含まれる認証識別情報と、認証配布先情報３５０ｃとを比較して、認証情報の送信先となる認証サーバを判定し、判定した認証サーバに認証情報を送信する。また、認証情報設定部３６０ａは、認証情報に含まれる認証識別情報と利用者識別情報と利用者名とを対応付けた情報を、対応付情報３５０ｄに記憶する。なお、利用者識別情報と利用者名との関係は、例えば、管理者が指定しておくものとする。
【００８４】
アカウント情報通知部３６０ｂは、アクセス権限管理サーバ４００から認証識別情報を受信した場合に、認証識別情報に対応する利用者の情報をアクセス権限管理サーバ４００に送信する処理部である。具体的に、アカウント情報通知部３６０ｂの処理について説明する。アカウント情報通知部３６０ｂは、認証識別情報を受信した場合に、認証識別情報と対応付情報３５０ｄとを比較して、認証識別情報に対応する利用者名と利用者識別情報を検出する。
【００８５】
そして、アカウント情報通知部３６０ｂは、利用者識別情報をアクセス権限管理サーバ４００に送信する。アカウント情報通知部３６０ｂがアクセス権限管理サーバ４００に送信する利用者識別情報は、各利用者識別情報に利用者名が対応付けられているものとする。また、アカウント情報通知部３６０ｂは、グローバルアカウント情報３５０ａおよびロール情報３５０ｂをアクセス権限管理サーバ４００に送信する。
【００８６】
ここで、図９に示したグローバルアカウント情報３５０ａのデータ構造の一例について説明する。図１０は、グローバルアカウント情報のデータ構造を示す図である。図１０に示すように、このグローバルアカウント情報３５０ａは、部署情報、利用者名および役職を対応付けて記憶する。例えば、図１０を参照すると、「総務部」には、「山田太郎」と「富士花子」が所属しており、山田太郎の役職は「一般」であり、富士花子の役職は「課長」である。例えば、管理者が入力部３２０を介して、グローバルアカウント情報３５０ａを記憶部３５０に格納する。
【００８７】
次に、図９に示したロール情報３５０ｂのデータ構造の一例について説明する。図１１は、ロール情報のデータ構造を示す図である。図１１に示すように、このロール情報３５０ｂは、役職、アクセス権限およびアクセス先を対応付けて記憶する。例えば、図１１を参照すると、役職「一般」の利用者のアクセス権限は「読取」であり、アクセス先は「業務システム」である。例えば、管理者が入力部３２０を介して、ロール情報３５０ｂを記憶部３５０に格納する。
【００８８】
次に、図９に示した認証配布先情報３５０ｃのデータ構造の一例について説明する。図１２は、認証配布先情報のデータ構造を示す図である。図１２に示すように、認証配布先情報３５０ｃは、認証識別情報と認証サーバのＩＰアドレスとを対応付けて記憶する。例えば、認証識別情報「認証サーバ２００ａ」に対応するＩＰアドレスは「ｘｘｘ．ｘｘｘ．ｘｘｘ」となる。「ｘ」は任意の数字に対応する。例えば、管理者が入力部３２０を介して、認証配布先情報３５０ｃを記憶部３５０に格納する。
【００８９】
次に、図９に示した対応付情報３５０ｄのデータ構造の一例について説明する。図１３は、対応付情報のデータ構造を示す図である。図１３に示すように、この対応付情報３５０ｄは、認証識別情報と利用者識別情報との関係および利用者識別情報と利用者名との関係を含む。例えば、図１３を参照すると、認証識別情報「認証サーバ２００ａ」に対応する利用者識別情報は、「利用者０１」、「利用者０２」、「利用者０３」となる。
【００９０】
つまり、認証識別情報「認証サーバ２００ａ」で識別される認証サーバ２００ａが認証を行う利用者識別情報は、「利用者０１」、「利用者０２」、「利用者０３」となる。また、利用者０１に対応する利用者名は「山田太郎」であり、利用者０２に対応する利用者名は「富士花子」であり、利用者０３に対応する利用者名は「鈴木一郎」である。なお、同じ利用者名であっても、認証サーバ毎に利用者識別情報が異なる理由は、同一の利用者が異なる利用者識別情報を利用して、複数の業務サーバにアクセスする場合があるからである。
【００９１】
ここで、アカウント情報通知部３６０ｂが、アクセス権限管理サーバ４００から認証識別情報を受信した場合の処理を説明する。図１４は、アカウント情報通知部の処理を説明するための図である。ここでは一例として、認証識別情報は、「認証サーバ２００ａ」を含むものとする。
【００９２】
アカウント情報通知部３６０ｂは、アクセス権限管理サーバ４００から受信した認証識別情報と対応付情報３５０ｄとを比較し、認証識別情報に対応する利用者識別情報と、利用者識別情報に対応する利用者名を判定する。図１４に示すように、認証識別情報「認証サーバ２００ａ」に対応する利用者識別情報は「利用者０１」、「利用者０２」、「利用者０３」となる。また、利用者０１に対応する利用者名は「山田太郎」、利用者０２に対応する利用者名は「富士花子」、利用者０３に対応する利用者名は「鈴木一郎」となる。アカウント情報通知部３６０ｂは、利用者識別情報と利用者識別情報に対応する利用者名とを対応付けた情報をアクセス権限管理サーバ４００に送信する。
【００９３】
次に、図２に示したアクセス権限管理サーバ４００の構成の一例について説明する。図１５は、アクセス権限管理サーバの構成を示す図である。図１５に示すように、このアクセス権限管理サーバ４００は、通信制御部４１０、入力部４２０、出力部４３０、入出力制御部４４０、記憶部４５０、制御部４６０を有する。
【００９４】
通信制御部４１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部４１０は、業務サーバ１００ａ〜１００ｃ、利用者情報管理サーバ３００との間でデータ通信を実行する。この通信制御部４１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ、通信用カード等に対応する。
【００９５】
入力部４２０は、キーボードやマウス等の入力装置に対応する。出力部４３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００９６】
記憶部４５０は、業務サーバ１００ａ〜１００ｃに設定するアクセス制御情報を生成するための情報を記憶する。記憶部４５０は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリなどの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００９７】
図１５に示すように、記憶部４５０は、グローバルポリシー情報４５０ａ、構成情報４５０ｂ、ローカルポリシー情報４５０ｃ、配布先情報４５０ｄを記憶する。グローバルポリシー情報４５０ａは、業務サーバ１００ａ〜１００ｃ全体のアクセス権限を定義する情報である。構成情報４５０ｂは、業務システムと業務サーバとの関係を示す図である。ローカルポリシー情報４５０ｃは、各業務サーバ固有のアクセス権限を定義する情報である。配布先情報４５０ｄは、アクセス権限を設定する業務サーバの宛先情報である。例えば、管理者が入力部４２０を介して、グローバルポリシー情報４５０ａ、構成情報４５０ｂ、配布先情報４５０ｄを、記憶部４５０に入力する。なお、ローカルポリシー情報４５０ｃは、グローバルポリシー情報４５０ａから生成される。
【００９８】
制御部４６０は、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する処理、ローカルポリシー情報４５０ｃに基づいて業務サーバ１００ａ〜１００ｃにアクセス権限を設定する処理等を行う処理部である。制御部４６０は、例えば、ＡＳＩＣや、ＦＰＧＡなどの集積装置、または、ＣＰＵやＭＰＵ等の電子回路に対応する。
【００９９】
図１５に示すように、制御部４６０は、定義情報要求部４６０ａと、利用者情報要求部４６０ｂと、ローカルポリシー情報生成部４６０ｃと、アクセス制御情報送信部４６０ｄとを有する。
【０１００】
定義情報要求部４６０ａは、業務サーバ１００ａ〜１００ｃに定義情報を要求する処理部である。例えば、管理者が入力部４２０を介して所定のコマンドを入力した場合に、定義情報要求部４６０ａは、定義情報を業務サーバ１００ａ〜１００ｃに要求する。定義情報要求部４６０ａが業務サーバ１００ａ〜１００ｃから定義情報を受信した場合には、受信した定義情報を利用者情報要求部４６０ｂに出力する。
【０１０１】
利用者情報要求部４６０ｂは、定義情報に含まれる認証識別情報を利用者情報管理サーバ３００に送信することで、認証識別情報に対応する利用者の情報を要求する処理部である。ここで、認証識別情報に対応する利用者の情報は、認証識別情報に対応する利用者識別情報と利用者識別情報に対応する利用者名、グローバルアカウント情報、ロール情報を含む。利用者情報要求部４６０ｂは、認証識別情報に対応する利用者の情報を利用者情報管理サーバ３００から受信した場合に、受信した利用者の情報をローカルポリシー情報生成部４６０ｃに出力する。
【０１０２】
なお、利用者情報要求部４６０ｂは、利用者の情報と業務識別情報とを対応付けて、利用者の情報をローカルポリシー情報生成部４６０ｃに出力するものとする。例えば、利用者情報要求部４６０ｂが、業務識別情報「業務サーバ１００ａ」と認証識別情報「認証サーバ２００ａ」とを対応付けた定義情報に含まれる認証識別情報「認証サーバ２００ａ」を利用者情報管理サーバ３００に送信したとする。そして、利用者情報管理サーバ３００から、利用者識別情報と利用者識別情報に対応する利用者名を受信した場合には、受信した各情報は、業務識別情報「業務サーバ１００ａ」に対応する。
【０１０３】
ローカルポリシー情報生成部４６０ｃは、認証識別情報に対応する利用者の情報を基にして、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する処理部である。ローカルポリシー情報生成部４６０ｃの具体的な処理は後述する。
【０１０４】
アクセス制御情報送信部４６０ｄは、ローカルポリシー情報４５０ｃを業務サーバ毎のＯＳ（Operating System）等にあわせたデータ構造に変換する。そして、アクセス制御情報送信部４６０ｄは、変換したローカルポリシー情報４５０ｃをアクセス制御情報として、該当する業務サーバに送信する。アクセス制御情報の送信先となる業務サーバの宛先は、配布先情報４５０ｄに含まれる。また、各業務サーバが使用するＯＳの情報は、配布先情報４５０ｄに含まれる。
【０１０５】
ここで、図１５に示したグローバルポリシー情報４５０ａのデータ構造の一例について説明する。図１６は、グローバルポリシー情報のデータ構造を示す図である。図１６に示すように、このグローバルポリシー情報４５０ａは、システムを識別するシステム識別情報、部署を識別する部署情報、アクセス権限を含む。図１６に示すように、システム識別情報は「業務システム」を含み、部署情報は「総務部」を含み、アクセス権限は「アクセス可能」を含む。したがって、図１６に示すグローバルポリシー情報４５０ａは、「総務部は業務システムにアクセス可能」という情報を示す。
【０１０６】
次に、図１５に示した構成情報４５０ｂのデータ構造の一例について説明する。図１７は、構成情報のデータ構造を示す図である。図１７に示すように、この構成情報４５０ｂは、システム識別情報と業務識別情報とを含む。図１７に示す例では、業務システムは業務サーバ１００ａ〜１００ｃを有することを示す。
【０１０７】
次に、図１５に示したローカルポリシー情報４５０ｃのデータ構造の一例について説明する。図１８は、ローカルポリシー情報のデータ構造を示す図である。図１８に示すように、このローカルポリシー情報４５０ｃは、業務識別情報と利用者識別情報とアクセス権限とを対応付けて記憶する。例えば、図１８において、業務識別情報「業務サーバ１００ａ」に対応する利用者識別情報は「利用者０１」、「利用者０２」である。また、利用者０１のアクセス権限は「読取」、利用者０２のアクセス権限は「読取・書込」となる。したがって、業務サーバ１００ａに対応するローカルポリシー情報は、「利用者０１は、業務サーバ１００ａのデータを読取可能」、「利用者０２は、業務サーバ１００ａのデータを読取・書込可能」という情報を示す。
【０１０８】
また、図１８に示すように、業務サーバ１００ｂに対応するローカルポリシー情報は、「利用者１１は、業務サーバ１００ｂのデータを読取可能」、「利用者１２は、業務サーバ１００ｂのデータを読取・書込可能」という情報を示す。また、業務サーバ１００ｃに対応するローカルポリシー情報は、「利用者２１は、業務サーバ１００ｃのデータを読取可能」、「利用者２２は、業務サーバ１００ｃのデータを読取・書込可能」という情報を示す。
【０１０９】
次に、図１５に示した配布先情報４５０ｄのデータ構造の一例について説明する。図１９は、配布先情報４５０ｄのデータ構造を示す図である。図１９に示すように、この配布先情報４５０ｄは、業務識別情報と、ＩＰアドレスと、各業務サーバが使用するＯＳを識別する使用ＯＳ情報とを対応付けて記憶する。例えば、業務識別情報「業務サーバ１００ａ」に対応するＩＰアドレスは「ｘｘｘ．ｘｘｘ．ｘｘｘ」となる。「ｘ」は任意の数字に対応する。また、業務識別情報「業務サーバ１００ａ」で識別される業務サーバ１００ａの使用ＯＳ情報は「使用ＯＳ○○」となる。
【０１１０】
次に、ローカルポリシー情報生成部４６０ｃが、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する処理の一例について説明する。図２０は、グローバルポリシー情報からローカルポリシー情報を生成する処理を説明するための図である。
【０１１１】
図２０に示すように、ローカルポリシー情報生成部４６０ｃは、グローバルポリシー情報４５０ａとグローバルアカウント情報３５０ａとを比較して、第１変換過程テーブルを生成する（ステップＳ１０）。例えば、第１変換過程テーブルは、システム識別情報と、利用者名と、役職と、アクセス権限とを対応付けて記憶する。
【０１１２】
ステップＳ１０において、ローカルポリシー情報生成部４６０ｃは、グローバルポリシー情報４５０ａの部署情報「総務部」に所属する利用者名と役職との組をグローバルアカウント情報３５０ａから検出する。部署情報「総務部」に対応する利用者名と役職との組は「山田太郎」と「一般」、「富士花子」と「課長」となる。ローカルポリシー情報生成部４６０ｃは、部署情報「総務部」に対応する利用者名と役職との組を、部署情報「総務部」の代わりにグローバルポリシー情報４５０ａに登録することで、第１変換過程テーブルを生成する。
【０１１３】
ローカルポリシー情報生成部４６０ｃは、第１変換過程テーブルとロール情報３５０ｂとを比較して、第２変換過程テーブルを生成する（ステップＳ１１）。例えば、第２変換過程テーブルは、システム識別情報と、利用者名と、アクセス権限とを対応付けて記憶する。
【０１１４】
ステップＳ１１において、ローカルポリシー情報生成部４６０ｃは、第１変換過程テーブルのシステム識別情報と役職との組に対応するアクセス権限をロール情報３５０ｂから検出する。例えば、システム識別情報「業務システム」と役職「一般」との組に対応するアクセス権限は「読取」となる。また、システム識別情報「業務システム」と役職「課長」との組に対応するアクセス権限は「読取・書込」となる。ローカルポリシー情報生成部４６０ｃは、ロール情報３５０ｂから検出したアクセス権限にて、第１変換過程テーブルのアクセス権限を更新することで、第２変換過程テーブルを生成する。
【０１１５】
ローカルポリシー情報生成部４６０ｃは、第２変換過程テーブルと構成情報４５０ｂとを比較して、第３変換過程テーブルを生成する（ステップＳ１２）。例えば、第３変換過程テーブルは、業務識別情報と、利用者名と、アクセス権限とを対応付けて記憶する。
【０１１６】
ステップＳ１２において、ローカルポリシー情報生成部４６０ｃは、システム識別情報に対応する業務識別情報を構成情報４５０ｂから検出する。例えば、システム識別情報「業務システム」に対応する業務識別情報は「業務サーバ１００ａ」、「業務サーバ１００ｂ」、「業務サーバ１００ｃ」となる。ローカルポリシー情報生成部４６０ｃは、システム識別情報に対する利用者名とアクセス権限との関係を、業務識別情報に対応する利用者名とアクセス権限との関係に変換することで、第３変換過程テーブルを生成する。
【０１１７】
ローカルポリシー情報生成部４６０ｃは、第３変換過程テーブルと、認証サーバで認証を受ける際に使用する業務サーバ毎の利用者の利用者識別情報とを比較することで、ローカルポリシー情報４５０ｃを生成する（ステップＳ１３）。
【０１１８】
ステップＳ１３において、例えば、業務サーバ１００ａの利用者名「山田太郎」に対応する利用者識別情報が「利用者０１」の場合には、第３変換過程テーブルの業務サーバ１００ａに対する利用者名「山田太郎」の利用者識別情報は「利用者０１」となる。このように、ローカルポリシー情報生成部４６０ｃは、業務サーバの各利用者名を、対応する利用者識別情報に変換することで、ローカルポリシー情報４５０ｃを生成する。
【０１１９】
上述したように、ローカルポリシー情報生成部４６０ｃが、ステップＳ１０〜ステップＳ１３の処理を順に実行することで、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する。
【０１２０】
次に、本実施例２にかかるアクセス制御システムの処理手順について説明する。図２１および図２２は、本実施例２にかかるアクセス制御システムの処理手順を示すフローチャートである。ここでは説明の便宜上、アクセス権限管理サーバ４００は業務サーバ１００ａに定義情報の要求を行うものとする。また、業務サーバ１００ａは、認証サーバ２００ａを利用して利用者の認証を行うものとする。
【０１２１】
図２１に示すように、アクセス権限管理サーバ４００はコマンドを受付（ステップＳ１０１）、定義情報を業務サーバ１００ａに要求する（ステップＳ１０２）。ここで、アクセス権限管理サーバ４００が受けるコマンドは、例えば、定義情報の要求を指示するコマンドである。業務サーバ１００ａは、定義情報の要求をアクセス権限管理サーバ４００から受付ける（ステップＳ１０３）。
【０１２２】
業務サーバ１００ａは、接続先の認証サーバ２００ａに認証識別情報を要求し（ステップＳ１０４）、認証サーバ２００ａは、認証識別情報の要求を受付ける（ステップＳ１０５）。認証サーバ２００ａは、認証情報２５０ａに設定された認証識別情報を検出し（ステップＳ１０６）、認証識別情報を業務サーバ１００ａに送信する（ステップＳ１０７）。
【０１２３】
業務サーバ１００ａは、認証識別情報を受信し（ステップＳ１０８）、業務識別情報と認証識別情報とを対応付けることで定義情報を生成する（ステップＳ１０９）。業務サーバ１００ａは、定義情報をアクセス権限管理サーバ４００に送信する（ステップＳ１１０）。
【０１２４】
アクセス権限管理サーバ４００は、定義情報を受信し（ステップＳ１１１）、定義情報に含まれる認証識別情報を利用者情報管理サーバ３００に送信する（ステップＳ１１２）。利用者情報管理サーバ３００は、認証識別情報を受信し（ステップＳ１１３）、認証識別情報に対応する利用者識別情報を判定する（ステップＳ１１４）。
【０１２５】
利用者情報管理サーバ３００は、利用者識別情報、グローバルアカウント情報、ロール情報をアクセス権限管理サーバ４００に送信する（ステップＳ１１５）。ステップＳ１１５で送信される利用者識別情報は、利用者名に対応付けられているものとする。アクセス権限管理サーバ４００は、利用者識別情報、グローバルアカウント情報、ロール情報を受信する（ステップＳ１１６）。
【０１２６】
続いて、図２２の説明に移行する。アクセス権限管理サーバ４００は、グローバルポリシー情報を受付ける（ステップＳ１１７）。アクセス権限管理サーバ４００は、グローバルポリシー情報、グローバルアカウント情報、ロール情報、利用者識別情報に基づいて、ローカルポリシー情報を生成する（ステップＳ１１８）。
【０１２７】
アクセス権限管理サーバ４００は、ローカルポリシー情報をアクセス制御情報に変換し（ステップＳ１１９）、アクセス制御情報を業務サーバ１００ａに送信する（ステップＳ１２０）。業務サーバ１００ａは、アクセス制御情報を受信し（ステップＳ１２１）、アクセス制御情報を格納する（ステップＳ１２２）。
【０１２８】
上述してきたように、本実施例２にかかるアクセス制御システムは、認証識別情報と利用者識別情報とを対応付けた対応付情報３５０ｄを管理する利用者情報管理サーバ３００を設ける。このため、アクセス権限管理サーバ４００は、認証サーバ２００ａ〜２００ｃに利用者識別情報を問い合わせるのではなく、利用者情報管理サーバ３００に利用者識別情報を問い合わせる。そして、アクセス権限管理サーバ４００は、利用者情報管理サーバ３００から利用者識別情報を得ることで、業務サーバ１００ａ〜１００ｃが認証を依頼する認証サーバが認証する利用者の利用者識別情報を得ることができる。この利用者識別情報が得られれば、アクセス権限管理サーバ４００は、グローバルポリシー情報４５０ａで定義した認証対象を、利用者情報管理サーバ３００から得た利用者識別情報に設定することで、ローカルポリシー情報４５０ｃを生成することができる。したがって、本実施例２にかかるアクセス制御システムによれば、認証情報およびアクセス権限の情報を一元管理しつつ、共通ポリシーに基づく統合アクセス制御を効率よく実現することができる。
【０１２９】
また、アクセス権限管理サーバ４００は、アクセス権限情報を業務サーバ１００ａ〜１００ｃに設定する場合に、各業務サーバから定義情報を取得する。そして、アクセス権限管理サーバ４００は、定義情報に含まれる認証識別情報を利用して、利用者情報管理サーバ３００から、認証サーバで認証する利用者の利用者識別情報を得る。すなわち、業務サーバ１００ａ〜１００ｃが認証を依頼する認証サーバが固定でなくても、アクセス権限管理サーバ４００は、定義情報を利用することで、アクセス権限情報を設定する時点の、業務サーバと、利用者の利用者識別情報との関係を得ることができる。この結果、アクセス権限管理サーバ４００は、適切なアクセス権限を各業務サーバ１００ａ〜１００ｃに設定することができる。
【０１３０】
また、アクセス権限管理サーバ４００は、認証サーバ２００ａ〜２００ｃに直接アクセスすることなく、業務サーバ１００ａ〜１００ｃから定義情報を取得することで、認証サーバ２００ａ〜２００ｃで認証を受ける利用者の利用者識別情報を取得する。したがって、認証サーバ２００ａ〜２００ｃの業務効率を低下させることを防止することができる。なお、業務サーバ１００ａ〜１００ｃが定義情報を生成する場合には、認証サーバ２００ａ〜２００ｃは、認証識別情報を該当する業務サーバに送信する処理を実行する。しかし、かかる処理は、認証識別情報を送信するのみであり、処理負荷も軽く、業務効率を低下させるものではない。
【０１３１】
また、アクセス権限管理サーバ４００は、業務サーバ１００ａ〜１００ｃにアクセスを許可する利用者の所属部署や利用者の役職などの属性を基にして、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する。したがって、管理者が、グローバルポリシー情報４５０ａを構築する段階で、業務サーバ１００ａ〜１００ｃにアクセスを許可する利用者を属性により細かく指定した場合でも、業務サーバ毎に適したローカルポリシー情報４５０ｃを生成することができる。例えば、グローバルポリシー情報４５０ｃで利用者の属性を「総務部」と定義した場合には、ローカルポリシー情報４５０ｃに、総務部に属する利用者の利用者識別情報が認証対象として設定される。
【０１３２】
ところで、図４に示した業務サーバ１００ａ〜１００ｃの各構成要素、図７に示した認証サーバ２００ａ〜２００ｃの各構成要素、図９に示した利用者情報管理サーバ３００、図１５に示したアクセス権限管理サーバ４００の各構成要素は機能概念的なものである。このため、図４、図７、図９、図１５に示した各構成要素は、必ずしも図示の如く構成されていることを要しない。すなわち、各構成要素の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、図４、図７、図９、図１５に示した制御部１６０，２６０，３６０，４６０の機能を拡張カードなどの外部装置に搭載し、拡張カードを該当するサーバに接続してもよい。
【０１３３】
また、本実施例２では、業務サーバ１００ａ〜１００ｃが生成する各定義情報を利用者情報管理サーバ３００が管理してもよい。例えば、アクセス権限管理サーバ４００は、各業務サーバ１００ａ〜１００ｃから定義情報を受信し、記憶部３５０に各定義情報を記憶する。
【０１３４】
利用者情報管理サーバ３００が各定義情報を記憶した状態で、アクセス権限管理サーバ４００が業務サーバで認証を受ける利用者の利用者識別情報を取得する場合には、アクセス権限管理サーバ４００は、業務識別情報を、利用者情報管理サーバ３００に送信する。業務識別情報を受信した利用者情報管理サーバ３００は、定義情報と、業務識別情報とを比較して、業務識別情報に対応する認証識別情報を判定する。そして、利用者情報管理サーバは、判定した認証識別情報と対応付情報３５０ｄとを比較して、認証識別情報に対応する利用者識別情報を判定し、判定した利用者識別情報をアクセス権限管理サーバ４００に送信する。したがって、例えば、利用者情報管理サーバ３００は、各業務サーバ１００ａ〜１００ｃの各定義情報を記憶する場合でも、アクセス権限管理サーバ４００は、業務サーバで認証を受ける利用者の利用者識別情報を取得することができる。
【０１３５】
なお、制御部１６０，２６０，３６０，４６０の機能をソフトウェアとして実装し、これをコンピュータで実行することにより、制御部１６０，２６０，３６０，４６０と同様の機能を実現することもできる。
【０１３６】
以上の各実施例を含む実施形態に関し、さらに以下の付記を開示する。
【０１３７】
（付記１）複数のサーバ装置と、各サーバ装置へアクセスする利用者の利用者認証処理を行う認証サーバ装置と、
前記認証サーバを一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置と、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するアクセス権限管理サーバ装置と
を備えたことを特徴とするアクセス制御システム。
【０１３８】
（付記２）前記アクセス権限管理サーバ装置は、前記サーバ装置を一意に識別するサーバ識別情報と、当該サーバ装置が利用者認証を依頼する認証サーバ装置の認証識別情報とを対応付けた定義情報を前記サーバ装置から取得する定義情報取得部と、
前記定義情報取得部が取得した定義情報に含まれる認証識別情報を前記利用者情報管理サーバ装置に通知することで、前記利用者情報管理サーバ装置から前記認証サーバ装置によって利用者認証を受ける利用者の利用者識別情報、グローバルアカウント情報およびロール情報を取得する利用者情報取得部と、
前記利用者情報取得部が取得した利用者識別情報、グローバルアカウント情報およびロール情報に基づいて、前記共通ポリシーから前記固有ポリシーを生成するポリシー生成部と
を備えたことを特徴とする付記１に記載のアクセス制御システム。
【０１３９】
（付記３）アクセス権限管理サーバ装置が、
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置を一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置に、認証識別情報を通知することで、該認証識別情報に対応する利用者識別情報と当該利用者識別情報に対応する属性情報とを取得する取得ステップと、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成する生成ステップと、
を含むことを特徴とするポリシー生成方法。
【０１４０】
（付記４）サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報、利用者識別情報に対応する利用者の属性を示す属性情報を記憶する利用者識別情報記憶部と、
前記利用者識別情報記憶部に記憶された利用者識別情報および前記属性情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するポリシー生成部と、
を備えたことを特徴とするアクセス権限管理サーバ装置。
【０１４１】
（付記５）コンピュータに、
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報、利用者識別情報に対応する利用者の属性を示す属性情報を記憶装置に記憶するステップと、
前記記憶装置に記憶された利用者識別情報および前記属性情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するステップと
を実行させることを特徴とするポリシー生成プログラム。
【符号の説明】
【０１４２】
１０ａ，１０ｂ，１０ｃ サーバ装置
２０ 認証サーバ装置
３０ 利用者情報管理サーバ装置
４０ アクセス権限管理サーバ装置
【技術分野】
【０００１】
本発明は、アクセス制御システム、ポリシー生成方法およびアクセス権限管理サーバ装置に関する。
【背景技術】
【０００２】
従来、総務業務や人事業務等のような業務毎に複数の業務サーバが設けられ、各業務サーバが業務毎に複数の利用者端末に対して業務サービスを提供する業務システムが知られている。この業務システムでは、各業務サーバ内にＩＤ（Identification）とパスワードとを対応付けた認証情報を記憶しておき、利用者が利用者端末を用いてアクセス要求を行った場合に、各業務サーバが装置内部に記憶した認証情報を用いて利用者認証を行う。また、各業務サーバは、装置内部のファイル等へのアクセス権限情報を記憶し、利用者からファイル等へのアクセス要求がなされた場合に、アクセス権限情報を基にしてアクセス制御を行う。
【０００３】
このように、業務サーバ毎に認証情報やアクセス権限情報が管理される場合には、複数の業務サーバに関連する人事異動等が生じると、管理者は、業務サーバ毎に認証情報やアクセス権限情報を更新しなければならない。例えば、ある企業で大規模な人事異動が発生した場合には、管理者は、人事業務サーバ、総務業務サーバ、各部門の部門業務サーバの認証情報やアクセス権限情報をそれぞれ更新する必要が生じ、更新作業に多大な人的労力を要する。
【０００４】
このため、複数の業務サーバの認証情報を一元管理する認証情報管理技術が知られている。具体的には、複数の業務サーバとは別個に新たに認証サーバを設け、この認証サーバに各業務サーバの認証処理を依頼することになる。この認証情報管理技術を用いると、認証サーバ上で認証情報を一元管理することができる。なお、複数の認証サーバが設けられた場合には、管理者が各業務サーバに対してＩＰ（Internet Protocol）アドレスを設定することで、各業務サーバは、設定された認証サーバに利用者認証を依頼することができる。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００６−２８６０２５号公報
【特許文献２】特開２００５−２３５０５０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記認証情報管理技術は、単に認証サーバを用いて認証情報を一元管理するものにすぎず、各業務サーバに記憶する各種ファイルへのアクセス権限を統一的に管理するものではない。本来、各業務サーバに対するアクセス制御は、複数の業務サーバを管理する企業の統一的な考え方を受けて策定すべきものであるので、業務サーバ毎に個別にアクセス制御を行った場合には不適切なアクセスを許容するおそれがある。
【０００７】
このため、管理者は、各業務サーバに依存しない共通のポリシーを策定する統合アクセス制御を行う事が望まれる。以下、各業務サーバに依存しない共通のポリシーをグローバルポリシーと表記する。統合アクセス制御では、管理者が、グローバルポリシーに基づいて個々の業務サーバに固有のポリシーを構築することになる。以下、業務サーバに固有のポリシーをローカルポリシーと表記する。
【０００８】
例えば、管理者が、アクセス権限管理サーバ上で「利用者○○は×××にアクセスできる」と言うグローバルポリシーに基づいて業務サーバＡのローカルポリシーを構築する場合を説明する。このアクセス権限管理サーバとは、グローバルポリシーからローカルポリシーを生成するサーバ装置である。この場合には、アクセス権限管理サーバは、少なくとも「サーバＡの代わりに認証処理を行う認証サーバで管理されたアカウント」の情報を取得する必要がある。ここで、アカウントとは、例えば、利用者を一意に識別するＩＤ等の利用者識別情報に対応する。
【０００９】
ところが、アクセス権限管理サーバは、「サーバＡの代わりに認証処理を行う認証サーバで管理されたアカウント」の情報は記憶しておらず、この情報は認証サーバにしか存在しない。このため、アクセス権限管理サーバは、ローカルポリシーを生成する際に認証サーバから情報を取得する必要がある。しかし、アクセス権限管理サーバが、この種の情報を認証サーバに要求すると、認証サーバが本来行うべき認証処理以外の処理負荷をかけることになる。その結果、認証サーバの処理効率が低下し、結果的に利用者が業務サーバにアクセスする際に待ち時間が発生する可能性がある。認証サーバは、通常、複数の業務サーバに頻繁に加入及び離脱する利用者の認証処理を行っており、アクセス権限管理サーバの情報要求に対応する余裕がないのが実情だからである。加えて、認証サーバの管理者による不正を防止するために、認証サーバ内の情報が暗号化されている場合には、アカウントの要求に応答して暗号化されたアカウントを復号化する処理が必要となり、ますます処理負荷が増加する。
【００１０】
したがって、現実問題としては、グローバルポリシーからローカルポリシーを生成する場合に、業務サーバ、認証サーバ及びアクセス権限管理サーバの各管理者が集まって互いに情報交換を行い、管理者が人手でローカルポリシーを策定しているのが実情である。
【００１１】
以上のことから、認証情報及びアクセス権限情報を一元管理しつつ、グローバルポリシーに基づく統合アクセス制御をいかに効率よく実現するかが重要な課題となっている。かかる課題は、業務システムだけの課題ではなく、複数のサーバの認証処理を独立した認証サーバに行わせつつ各サーバのアクセス制御を統一的に行う場合にも同様に生じる課題である。
【００１２】
開示の技術は、上記に鑑みてなされたものであって、認証情報及びアクセス権限情報を一元管理しつつ、グローバルポリシーに基づく統合アクセス制御を効率良く行うことができるアクセス制御システム、ポリシー生成方法およびアクセス権限管理サーバ装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
本願の開示するアクセス制御システムは、認証サーバ装置を一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報を管理する利用者情報管理サーバ装置を備える。統合アクセス制御システムは、利用者情報管理サーバ装置で管理された対応付情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーから各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するアクセス権限管理サーバ装置を備える。
【発明の効果】
【００１４】
本願の開示するアクセス制御システムの一つの態様によれば、認証情報及びアクセス権限の情報を一元管理しつつ、グローバルポリシーからローカルポリシーを生成して各サーバ装置に配付することにより統合アクセス制御を効率よく行うことができる。
【図面の簡単な説明】
【００１５】
【図１】図１は、本実施例１にかかるアクセス制御システムの構成を示す図である。
【図２】図２は、本実施例２にかかるアクセス制御システムの構成を示す図である。
【図３】図３は、アクセス権限管理サーバが認証サーバで認証を受ける際に使用する業務サーバ毎の利用者の利用者識別情報を収集する手順を説明する図である。
【図４】図４は、業務サーバの構成を示す図である。
【図５】図５は、定義情報のデータ構造を示す図である。
【図６】図６は、アクセス制御情報のデータ構造を示す図である。
【図７】図７は、認証サーバの構成を示す図である。
【図８】図８は、認証情報のデータ構造を示す図である。
【図９】図９は、利用者情報管理サーバの構成を示す図である。
【図１０】図１０は、グローバルアカウント情報のデータ構造を示す図である。
【図１１】図１１は、ロール情報のデータ構造を示す図である。
【図１２】図１２は、認証配布先情報のデータ構造を示す図である。
【図１３】図１３は、対応付情報のデータ構造を示す図である。
【図１４】図１４は、アカウント情報通知部の処理を説明するための図である。
【図１５】図１５は、アクセス権限管理サーバの構成を示す図である。
【図１６】図１６は、グローバルポリシー情報のデータ構造を示す図である。
【図１７】図１７は、構成情報のデータ構造を示す図である。
【図１８】図１８は、ローカルポリシー情報のデータ構造を示す図である。
【図１９】図１９は、配布先情報のデータ構造を示す図である。
【図２０】図２０は、グローバルポリシー情報からローカルポリシー情報を生成する処理を説明するための図である。
【図２１】図２１は、本実施例２にかかるアクセス制御システムの処理手順を示すフローチャート（１）である。
【図２２】図２２は、本実施例２にかかるアクセス制御システムの処理手順を示すフローチャート（２）である。
【発明を実施するための形態】
【００１６】
以下に、本願の開示するアクセス制御システム、ポリシー生成方法およびアクセス権限管理サーバ装置の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１７】
本実施例１にかかるアクセス制御システムの構成の一例について説明する。図１は、本実施例１にかかるアクセス制御システムの構成を示す図である。図１に示すように、このアクセス制御システムは、サーバ装置１０ａ〜１０ｃ、認証サーバ装置２０、利用者情報管理サーバ装置３０、アクセス権限管理サーバ装置４０を有する。
【００１８】
サーバ装置１０ａ〜１０ｃは、利用者からのアクセスを受付ける装置である。認証サーバ装置２０は、サーバ装置１０ａ〜１０ｃへアクセスする利用者の利用者認証処理を行う装置である。
【００１９】
利用者情報管理サーバ装置３０は、認証サーバ装置２０を一意に識別する認証識別情報と、認証サーバ装置２０によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報を管理する装置である。また、利用者情報管理サーバ装置３０は、利用者識別情報に対応する利用者の属性を示す属性情報を管理する。
【００２０】
アクセス権限管理サーバ装置４０は、利用者情報管理サーバ装置３０で管理された対応付情報、属性情報に基づいて、各サーバ装置１０のアクセス権限に共通する共通ポリシーから各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成する装置である。
【００２１】
本実施例１にかかるアクセス制御システムは、認証識別情報と利用者識別情報とを対応付けた対応付情報、属性情報を管理する利用者情報管理サーバ装置３０を設けている。このため、アクセス権限管理サーバ装置４０は、認証サーバ装置２０に利用者識別情報を問い合わせるのではなく、利用者情報管理サーバ装置３０が管理する対応付情報を問い合わせる。そして、アクセス権限管理サーバ装置４０は、対応付情報に基づいて、サーバ装置１０ａ〜１０ｃが認証を依頼する認証サーバ装置が認証サーバ装置２０であり、認証サーバ装置２０が認証する利用者の利用者識別情報、属性情報を得ることができる。認証サーバ装置２０が認証する利用者の利用者識別情報、属性情報を得られれば、アクセス権限管理サーバ装置４０は、共通ポリシーから固有ポリシーを生成することができる。例えば、認証サーバ装置２０が認証を行う利用者の利用者識別情報が「利用者０１」の場合には、共通ポリシー「利用者○○は×××にアクセスできる」は、固有ポリシー「利用者０１はサーバ装置１０ａ〜１０ｃにアクセスできる」となる。したがって、本実施例１にかかるアクセス制御システムによれば、認証情報およびアクセス権限の情報を一元管理しつつ、共通ポリシーに基づく統合アクセス制御を効率よく実現することができる。
【実施例２】
【００２２】
次に、本実施例２にかかるアクセス制御システムの構成について説明する。図２は、本実施例２にかかるアクセス制御システムの構成を示す図である。図２に示すように、このアクセス制御システムは、複数の業務サーバ１００ａ〜１００ｃ、複数の認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００を有する。業務サーバ１００ａ〜１００ｃをまとめて、業務システムとする。
【００２３】
また、複数の業務サーバ１００ａ〜１００ｃ、複数の認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００はネットワークに接続する。このネットワークは、例えば、ＬＡＮ（Local Area Network）に対応する。業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００は、例えば、ＴＣＰ（Transmission Control Protocol）／ＩＰ（Internet Protocol）プロトコルに基づいて相互にデータ通信を行う。
【００２４】
ここでは一例として、業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００は社内に設置されているものとする。そして、アクセス権限管理サーバ４００が、利用者情報管理サーバ３００に記憶された情報を利用して、各業務サーバ１００ａ〜１００ｃにアクセス権限を設定する。なお、アクセス制御システムは、業務サーバ１００ａ〜１００ｃ以外のサーバを有してもよい。また、アクセス制御システムは、認証サーバ２００ａ〜２００ｃ以外の認証サーバを有してもよい。
【００２５】
なお、業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００は必ずしも社内に設定されていなくてもよい。例えば、業務サーバ１００ａ〜１００ｃを社内に設置し、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００を社外に設けてもよい。以下において、業務サーバ１００ａ〜１００ｃ、認証サーバ２００ａ〜２００ｃ、利用者情報管理サーバ３００、アクセス権限管理サーバ４００について説明する。
【００２６】
業務サーバ１００ａは、複数の利用者端末に対して業務サービスを提供する。例えば、業務サーバ１００ａは、利用者が業務に利用する業務情報を記憶し、かかる業務情報を利用者端末に通知する。なお、業務サーバ１００ａは、認証サーバ２００ａ〜２００ｃのうち、いずれかの認証サーバにネットワークを介して接続する。そして、業務サーバ１００ａは、接続した認証サーバを利用して利用者の認証を行い、利用者に与えられたアクセス権限の範囲内で利用者からのアクセスを許可する。業務サーバ１００ｂおよび１００ｃに関する説明は、業務サーバ１００ａに関する説明と同様である。
【００２７】
認証サーバ２００ａは、業務サーバ１００ａ〜１００ｃのうち、いずれかの業務サーバにネットワークを介して接続される。そして、認証サーバ２００ａは、接続した業務サーバにアクセス要求を行う利用者の認証を行う。認証サーバ２００ａは、例えば、利用者を識別する利用者識別情報とパスワードとを対応付けた認証情報を記憶する。認証サーバ２００ａは、かかる認証情報を利用して、利用者の認証を行う。認証サーバ２００ｂおよび２００ｃに関する説明は、認証サーバ２００ａに関する説明と同様である。
【００２８】
利用者情報管理サーバ３００は、認証サーバ２００ａ〜２００ｃに認証情報を設定する。また、利用者情報管理サーバ３００は、自身の持っている情報から、各認証サーバ（２００ａから２００ｃ）に、そのサーバで認証する利用者の情報と、その認証サーバを一意に識別するための認証サーバ識別情報とを記憶させる。その他に、利用者情報管理サーバ３００は、グローバルアカウント情報、ロール情報を記憶する。
【００２９】
グローバルアカウント情報は、利用者が所属する部署および役職の情報を含む。ロール情報は、役職毎のアクセス権限の範囲を含む。ここで、役職毎のアクセス権限の範囲は、例えば、役職が「一般」の利用者は、データの読み出しのみを許可し、役職が「課長」の利用者は、データの読み出しとデータの書き込みを許可する旨の情報を含む。
【００３０】
アクセス権限管理サーバ４００は、業務システム全体のアクセス権限を定義するグローバルポリシー情報から、業務サーバ毎のアクセス権限を定義するローカルポリシー情報を生成する。そしてアクセス権限管理サーバ４００は、業務サーバごとに生成したローカルポリシー情報を各業務サーバに配付することによって、業務サーバ１００ａ〜１００ｃに利用者毎のアクセス権限を設定する。
【００３１】
アクセス権限管理サーバ４００がグローバルポリシー情報からローカルポリシー情報を生成する場合には、アクセス権限管理サーバ４００は認証サーバで認証を受ける際に使用する業務サーバ１００ａ〜１００ｃの利用者の利用者識別情報、グローバルアカウント情報およびロール情報を収集する。アクセス権限管理サーバ４００は、グローバルアカウント情報およびロール情報を利用者情報管理サーバ３００から収集する。また、アクセス権限管理サーバ４００は、下記に示す手順で、認証サーバで認証を受ける際に使用する業務サーバ１００ａ〜１００ｃの利用者の利用者識別情報を収集する。
【００３２】
ここで、アクセス権限管理サーバ４００が認証サーバで認証を受ける際に使用する業務サーバ１００ａ〜１００ｃの利用者の利用者識別情報を収集する処理手順の一例について説明する。図３は、アクセス権限管理サーバが認証サーバで認証を受ける際に使用する業務サーバ毎の利用者の利用者識別情報を収集する手順を説明する図である。
【００３３】
図３では説明の便宜上、アクセス権限管理サーバ４００が認証サーバで認証を受ける際に使用する業務サーバ１００ａの利用者の利用者識別情報を収集する場合について説明する。また、業務サーバ１００ａは、認証を依頼する認証サーバとして、認証サーバ２００ａが設定されているものとする。認証サーバで認証を受ける際に使用する業務サーバ１００ａの利用者の利用者識別情報は、認証サーバ２００ａが認証する利用者の利用者識別情報となる。
【００３４】
なお、アクセス権限管理サーバ４００が認証サーバで認証を受ける際に使用する業務サーバ１００ｂ，１００ｃの利用者の利用者識別情報を収集する手順は、業務サーバ１００ａにおける手順と同様である。
【００３５】
図３において、アクセス権限管理サーバ４００は、定義情報を業務サーバ１００ａに要求する（図３の（１）参照）。ここで定義情報は、業務サーバを識別する業務識別情報と業務サーバに接続された認証サーバを識別する認証識別情報とを対応付ける情報である。
【００３６】
業務サーバ１００ａがアクセス権限管理サーバ４００から定義情報の要求を受け付けた場合に、業務サーバ１００ａは認証サーバ２００ａに認証識別情報を要求する（図３の（２）参照）。
【００３７】
認証サーバ２００ａが業務サーバ１００ａから認証識別情報の要求を受け付けた場合に、認証サーバ２００ａは、業務サーバ１００ａに認証識別情報を送信する（図３の（３）参照）。例えば、認証サーバ２００ａは、認証識別情報「認証サーバ２００ａ」を記憶し、業務サーバ１００ａに認証識別情報「認証サーバ２００ａ」を送信する。
【００３８】
業務サーバ１００ａが認証サーバ２００ａから認証識別情報を受信した場合に、業務サーバ１００ａは定義情報を生成し、生成した定義情報をアクセス権限管理サーバ４００に送信する（図３の（４）参照）。業務サーバ１００ａが生成する定義情報は、業務サーバ１００ａの業務識別情報「業務サーバ１００ａ」と、業務サーバ１００ａが受信した認証識別情報「認証サーバ２００ａ」とを対応付けた情報である。
【００３９】
アクセス権限管理サーバ４００が業務サーバ１００ａから定義情報を受信した場合に、アクセス権限管理サーバ４００は、定義情報に含まれる認証識別情報を利用者情報管理サーバ３００に送信する（図３の（５）参照）。例えば、アクセス権限管理サーバ４００は、認証識別情報「認証サーバ２００ａ」を利用者情報管理サーバ３００に送信する。
【００４０】
利用者情報管理サーバ３００がアクセス権限管理サーバ４００から認証識別情報を受信した場合に、認証識別情報に対応する利用者識別情報をアクセス権限管理サーバ４００に送信する（図３の（６）参照）。図３の（６）において、利用者情報管理サーバ３００がアクセス権限管理サーバ４００に送信する利用者識別情報が、業務サーバ１００ａの代わりに利用者認証を行う認証サーバ２００ａで認証する利用者の利用者識別情報となる。
【００４１】
例えば、利用者情報管理サーバ３００が、認証識別情報「認証サーバ２００ａ」と利用者識別情報「利用者０１」、「利用者０２」、「利用者０３」とを対応付けた対応付情報を管理する。そして、利用者情報管理サーバ３００が、認証識別情報「認証サーバ２００ａ」を受信した場合には、利用者情報管理サーバ３００は、利用者識別情報「利用者０１」、「利用者０２」、「利用者０３」を、アクセス権限管理サーバ４００に送信する。
【００４２】
上述したように、アクセス制御システムが図３の（１）〜（６）の処理を行うことで、アクセス権限管理サーバ４００は、認証サーバで認証を受ける際に使用する業務サーバ１００ａの利用者の利用者識別情報を収集することができる。
【００４３】
次に、図２に示した業務サーバ１００ａの構成の一例について説明する。なお、業務サーバ１００ｂ，１００ｃの構成に関する説明は、業務サーバ１００ａの構成に関する説明と同様である。図４は、業務サーバの構成を示す図である。図４に示すように、この業務サーバ１００ａは、通信制御部１１０、入力部１２０、出力部１３０、入出力制御部１４０、記憶部１５０、制御部１６０を有する。
【００４４】
通信制御部１１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部１１０は、認証サーバ２００ａ〜２００ｃ、アクセス権限管理サーバ４００および利用者の端末装置との間でデータ通信を実行する。この通信制御部１１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ（Application Specific Integrated Circuit）、通信用カード等に対応する。
【００４５】
入力部１２０は、キーボードやマウス等の入力装置に対応する。出力部１３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００４６】
入出力制御部１４０は、通信制御部１１０、入力部１２０、出力部１３０、記憶部１５０、制御部１６０の間におけるデータの入出力を制御する処理部である。入出力制御部１４０は、例えば、データの入出力を制御するＡＳＩＣ等に対応する。
【００４７】
記憶部１５０は、利用者が業務に利用する業務情報、利用者のアクセス権限および認証を依頼する認証サーバの宛先情報等を記憶する記憶部である。記憶部１５０は、例えば、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、フラッシュメモリ（flash memory）などの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００４８】
図４に示すように、記憶部１５０は、業務情報１５０ａ、アクセス制御情報１５０ｂ、認証サーバ宛先情報１５０ｃを記憶する。このうち、業務情報１５０ａは、利用者が業務に利用する情報である。アクセス制御情報１５０ｂは、利用者の利用者識別情報と利用者のアクセス権限とを対応付けた情報である。認証サーバ宛先情報１５０ｃは、業務サーバ１００ａが利用者の認証を依頼する認証サーバの宛先情報である。この宛先情報は、例えば、認証サーバのＩＰアドレスを含む。
【００４９】
制御部１６０は、利用者の認証を認証サーバに依頼する処理、利用者が認証された場合に、利用者のアクセス権限に基づいて利用者のアクセスを制御する処理、定義情報を生成する処理等を実行する処理部である。制御部１６０は、例えば、ＡＳＩＣや、ＦＰＧＡ（Field Programmable Gate Array）などの集積装置、または、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の電子回路に対応する。
【００５０】
図４に示すように、制御部１６０は、アクセス制御情報設定部１６０ａと、認証要求部１６０ｂと、アクセス制御部１６０ｃと、定義情報生成処理部１６０ｄとを有する。このうち、アクセス制御情報設定部１６０ａは、アクセス権限管理サーバ４００からアクセス権限情報を受信し、受信したアクセス権限情報を記憶部１５０に記憶する処理部である。
【００５１】
認証要求部１６０ｂは、利用者の認証を認証サーバに要求する処理部である。具体的に、認証要求部１６０ｂの処理について説明する。認証要求部１６０ｂは、利用者の端末装置から業務サーバ１００ａに対するアクセス要求を受信した場合に、利用者識別情報とパスワードとをアクセス要求元の利用者の端末装置に要求する。以下の説明において、利用者識別情報とパスワードとの組を認証対象情報と表記する。
【００５２】
認証要求部１６０ｂが利用者の端末装置から認証対象情報を受信した場合には、認証要求部１６０ｂは、認証サーバ宛先情報１５０ｃに基づいて、認証を要求する認証サーバを判定する。
【００５３】
そして、認証要求部１６０ｂは、認証を要求する認証サーバに認証対象情報を送信し、認証を要求した認証サーバから認証結果を受信する。例えば、認証を要求する認証サーバが認証サーバ２００ａの場合には、認証要求部１６０ｂは、認証対象情報を認証サーバ２００ａに送信し、認証サーバ２００ａから認証結果を受信する。認証要求部１６０ｂは、受信した認証結果をアクセス制御部１６０ｃに出力する。
【００５４】
アクセス制御部１６０ｃは、利用者の認証結果とアクセス制御情報１５０ｂに基づいて、利用者のアクセスを制御する処理部である。具体的に、アクセス制御部１６０ｃの処理について説明する。まず、利用者の認証に失敗した旨の情報が認証結果に含まれている場合には、アクセス制御部１６０ｃは、認証に失敗した旨の情報を利用者の端末装置に送信し、例えば、再度、認証対象情報を要求する。再度送信される認証対象情報は、認証要求部１６０ｂが処理する。
【００５５】
一方、利用者の認証に成功した旨の情報が認証結果に含まれている場合には、認証に成功した利用者の利用者識別情報とアクセス制御情報１５０ｂとを比較して、利用者のアクセス権限の範囲を判定する。そして、アクセス制御部１６０ｃは、判定したアクセス権限の範囲内で、利用者の端末装置から業務情報１５０ａに対するアクセスを許可する。
【００５６】
定義情報生成処理部１６０ｄは、定義情報を生成する処理部である。具体的に、定義情報生成処理部１６０ｄの処理について説明する。定義情報生成処理部１６０ｄがアクセス権限管理サーバ４００から定義情報の要求を受け付けた場合に、定義情報生成処理部１６０ｄは、認証サーバ宛先情報１５０ｃに基づいて、業務サーバ１００ａが認証を要求する認証サーバを判定する。
【００５７】
そして、定義情報生成処理部１６０ｄは、業務サーバ１００ａが認証を要求する認証サーバに、認証サーバを識別する認証識別情報を要求する。定義情報生成処理部１６０ｄが認証サーバから認証識別情報を受信した場合には、定義情報生成処理部１６０ｄは、自身の業務サーバを識別する業務識別情報と認証識別情報とを対応付けることで、定義情報を生成する。定義情報生成処理部１６０ｄは、生成した定義情報をアクセス権限管理サーバ４００に送信する。
【００５８】
ここで、定義情報生成処理部１６０ｄが生成する定義情報のデータ構造の一例について説明する。図５は、定義情報のデータ構造を示す図である。図５に示すように、この定義情報は、業務識別情報と認証識別情報とを対応付けて記憶する。例えば、業務サーバ１００ａにアクセスする利用者を認証する認証サーバが認証サーバ２００ａの場合には、業務識別情報に「業務サーバ１００ａ」が格納され、認証識別情報に「認証サーバ２００ａ」が格納される。この定義情報は、定義情報生成処理部１６０ｄが、認証サーバから認証識別情報を受信した後に、生成される。
【００５９】
次に、図４に示したアクセス制御情報１５０ｂのデータ構造の一例について説明する。図６は、アクセス制御情報のデータ構造を示す図である。図６に示すように、アクセス制御情報１５０ｂは、利用者識別情報とアクセス権限とを対応付けて記憶する。このアクセス制御情報１５０ｂは、アクセス制御情報設定部１６０ａがアクセス権限情報をアクセス権限管理サーバ４００から受信した場合に、アクセス制御情報設定部１６０ａによって記憶部１５０に格納される。
【００６０】
図６において、例えば、利用者識別情報「利用者０１」に対応するアクセス権限は「読取」である。したがって、アクセス制御部１６０ｃは、利用者識別情報「利用者０１」となる利用者の端末装置からアクセスを受け付け、利用者の認証に成功した場合に、業務情報１５０ａに対するデータの読取を許可する。
【００６１】
また、利用者識別情報「利用者０２」に対応するアクセス権限は「読取・書込」である。したがって、アクセス制御部１６０ｃは、利用者識別情報「利用者０２」となる利用者の端末装置からアクセスを受け付け、利用者の認証に成功した場合に、業務情報１５０ａに対するデータの読取及び書込を許可する。
【００６２】
次に、図２に示した認証サーバ２００ａの構成の一例について説明する。なお、認証サーバ２００ｂ，２００ｃの構成に関する説明は、認証サーバ２００ａに関する説明と同様である。図７は、認証サーバの構成を示す図である。図７に示すように、この認証サーバ２００ａは、通信制御部２１０、入力部２２０、出力部２３０、入出力制御部２４０、記憶部２５０、制御部２６０を有する。
【００６３】
通信制御部２１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部２１０は、業務サーバ１００ａ〜１００ｃ、利用者情報管理サーバ３００との間でデータ通信を実行する。この通信制御部２１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ、通信用カード等に対応する。
【００６４】
入力部２２０は、キーボードやマウス等の入力装置に対応する。出力部２３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００６５】
入出力制御部２４０は、通信制御部２１０、入力部２２０、出力部２３０、記憶部２５０、制御部２６０の間におけるデータの入出力を制御する処理部である。入出力制御部２４０は、例えば、データの入出力を制御するＡＳＩＣ等に対応する。
【００６６】
記憶部２５０は、利用者を認証するための情報を記憶する記憶部である。記憶部２５０は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリなどの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００６７】
図７に示すように、記憶部２５０は、認証情報２５０ａを記憶する。認証情報２５０ａは、例えば、利用者識別情報とパスワードとを対応付けて記憶する情報である。また、認証情報２５０ａは、認証サーバを識別する認証識別情報も含む。
【００６８】
制御部２６０は、利用者を認証する処理、認証識別情報を業務サーバに送信する処理等を実行する処理部である。制御部２６０は、例えば、ＡＳＩＣや、ＦＰＧＡなどの集積装置、または、ＣＰＵやＭＰＵ等の電子回路に対応する。
【００６９】
認証処理部２６０ａは、業務サーバから利用者の認証要求を受け付けた場合に、利用者の認証を行い、認証要求を行った業務サーバに認証結果を送信する処理部である。具体的に、認証処理部２６０ａの処理について説明する。ここでは、説明の便宜上、業務サーバ１００ａから認証要求を受付けるものとする。認証処理部２６０ａは、認証要求として、認証対象情報を業務サーバ１００ａから受信する。
【００７０】
認証処理部２６０ａが業務サーバ１００ａから認証対象情報を受信した場合には、認証処理部２６０ａは、認証対象情報に含まれる利用者識別情報とパスワードとの組合せと同じ組合せが認証情報２５０ａに含まれているか否かを判定する。
【００７１】
認証処理部２６０ａは、認証対象情報に含まれる利用者識別情報とパスワードとの組合せと同じ組合せが、認証情報２５０ａに含まれている場合には、認証に成功した旨の認証結果を業務サーバ１００ａに送信する。一方、認証処理部２６０ａは、認証対象情報に含まれる利用者識別情報とパスワードとの組合せと同じ組合せが、認証情報２５０ａに含まれていない場合には、認証に失敗した旨の認証結果を業務サーバ１００ａに送信する。
【００７２】
認証情報管理部２６０ｂは、利用者情報管理サーバ３００から認証情報を受信し、受信した認証情報を記憶部２５０に記憶させる処理部である。また、認証情報管理部２６０ｂが業務サーバから認証識別情報の要求を受信した場合には、認証情報管理部２６０ｂは、認証情報２５０ａに記憶された認証識別情報を、要求元の業務サーバに送信する。なお、認証情報管理部２６０ｂは、認証サーバの管理者による不正を防止するために、認証情報２５０ａを暗号化してもよい。
【００７３】
ここで、図７に示した認証情報２５０ａのデータ構造の一例について説明する。図８は、認証情報のデータ構造を示す図である。図８に示すように、この認証情報は、認証識別情報、利用者識別情報およびパスワードを含む。認証識別情報は、認証サーバを一意に識別することができれば、どのような識別情報でもよい。
【００７４】
次に、図２に示した利用者情報管理サーバ３００の構成の一例について説明する。図９は、利用者情報管理サーバ３００の構成を示す図である。図９に示すように、利用者情報管理サーバ３００は、通信制御部３１０、入力部３２０、出力部３３０、入出力制御部３４０、記憶部３５０、制御部３６０を有する。
【００７５】
通信制御部３１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部３１０は、認証サーバ２００ａ〜２００ｃ、アクセス権限管理サーバ４００との間でデータ通信を実行する。この通信制御部３１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ、通信用カード等に対応する。
【００７６】
入力部３２０は、キーボードやマウス等の入力装置に対応する。出力部３３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００７７】
入出力制御部３４０は、通信制御部３１０、入力部３２０、出力部３３０、記憶部３５０、制御部３６０の間におけるデータの入出力を制御する処理部である。入出力制御部３４０は、例えば、データの入出力を制御するＡＳＩＣ等に対応する。
【００７８】
記憶部３５０は、利用者に関する情報等を記憶する記憶部である。記憶部３５０は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリなどの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００７９】
図９に示すように、記憶部３５０は、グローバルアカウント情報３５０ａ、ロール情報３５０ｂ、認証配布先情報３５０ｃ、対応付情報３５０ｄを記憶する。グローバルアカウント情報３５０ａは、例えば、利用者の所属する部署、利用者の名前、利用者の役職を対応付けた情報である。
【００８０】
ロール情報３５０ｂは、役職毎のアクセス権限とアクセス先とを対応付けた情報である。認証配布先情報３５０ｃは、認証情報を送信する認証サーバの宛先情報である。この宛先情報は、例えば、認証サーバのＩＰアドレスを含む。対応付情報３５０ｄは、認証サーバを識別する認証識別情報と、認証サーバが認証する利用者の利用者識別情報とを対応付けた情報を含む。
【００８１】
制御部３６０は、認証サーバ２００ａ〜２００ｃに認証情報を設定する処理、アクセス権限管理サーバ４００から認証識別情報を受信した場合に、認証識別情報に対応する利用者の情報をアクセス権限管理サーバ４００に送信する処理等を行う処理部である。制御部３６０は、例えば、ＡＳＩＣや、ＦＰＧＡなどの集積装置、または、ＣＰＵやＭＰＵ等の電子回路に対応する。
【００８２】
図９に示すように、制御部３６０は、認証情報設定部３６０ａと、アカウント情報通知部３６０ｂとを有する。認証情報設定部３６０ａは、認証情報を生成し、生成した認証情報を認証サーバ２００ａ〜２００ｃに送信する処理部である。具体的に、認証情報設定部３６０ａの処理について説明する。例えば、認証情報設定部３６０ａは、認証情報を送信する認証サーバの認証識別情報と、利用者名と、利用者の利用者識別情報とを対応付けた情報を、入力部３２０を介して管理者から取得する。そして、認証情報設定部３６０ａは、ランダム関数等を用いて、各利用者識別情報に対応するパスワードを生成する。例えば、認証情報設定部３６０ａは、利用者識別情報とパスワードとの関係を出力部３３０に出力することで、管理者に利用者識別情報とパスワードとの関係を通知する。
【００８３】
続いて、認証情報設定部３６０ａは、認証識別情報と、利用者識別情報と、パスワードとを対応付けた認証情報を生成する。認証情報設定部３６０ａは、認証情報に含まれる認証識別情報と、認証配布先情報３５０ｃとを比較して、認証情報の送信先となる認証サーバを判定し、判定した認証サーバに認証情報を送信する。また、認証情報設定部３６０ａは、認証情報に含まれる認証識別情報と利用者識別情報と利用者名とを対応付けた情報を、対応付情報３５０ｄに記憶する。なお、利用者識別情報と利用者名との関係は、例えば、管理者が指定しておくものとする。
【００８４】
アカウント情報通知部３６０ｂは、アクセス権限管理サーバ４００から認証識別情報を受信した場合に、認証識別情報に対応する利用者の情報をアクセス権限管理サーバ４００に送信する処理部である。具体的に、アカウント情報通知部３６０ｂの処理について説明する。アカウント情報通知部３６０ｂは、認証識別情報を受信した場合に、認証識別情報と対応付情報３５０ｄとを比較して、認証識別情報に対応する利用者名と利用者識別情報を検出する。
【００８５】
そして、アカウント情報通知部３６０ｂは、利用者識別情報をアクセス権限管理サーバ４００に送信する。アカウント情報通知部３６０ｂがアクセス権限管理サーバ４００に送信する利用者識別情報は、各利用者識別情報に利用者名が対応付けられているものとする。また、アカウント情報通知部３６０ｂは、グローバルアカウント情報３５０ａおよびロール情報３５０ｂをアクセス権限管理サーバ４００に送信する。
【００８６】
ここで、図９に示したグローバルアカウント情報３５０ａのデータ構造の一例について説明する。図１０は、グローバルアカウント情報のデータ構造を示す図である。図１０に示すように、このグローバルアカウント情報３５０ａは、部署情報、利用者名および役職を対応付けて記憶する。例えば、図１０を参照すると、「総務部」には、「山田太郎」と「富士花子」が所属しており、山田太郎の役職は「一般」であり、富士花子の役職は「課長」である。例えば、管理者が入力部３２０を介して、グローバルアカウント情報３５０ａを記憶部３５０に格納する。
【００８７】
次に、図９に示したロール情報３５０ｂのデータ構造の一例について説明する。図１１は、ロール情報のデータ構造を示す図である。図１１に示すように、このロール情報３５０ｂは、役職、アクセス権限およびアクセス先を対応付けて記憶する。例えば、図１１を参照すると、役職「一般」の利用者のアクセス権限は「読取」であり、アクセス先は「業務システム」である。例えば、管理者が入力部３２０を介して、ロール情報３５０ｂを記憶部３５０に格納する。
【００８８】
次に、図９に示した認証配布先情報３５０ｃのデータ構造の一例について説明する。図１２は、認証配布先情報のデータ構造を示す図である。図１２に示すように、認証配布先情報３５０ｃは、認証識別情報と認証サーバのＩＰアドレスとを対応付けて記憶する。例えば、認証識別情報「認証サーバ２００ａ」に対応するＩＰアドレスは「ｘｘｘ．ｘｘｘ．ｘｘｘ」となる。「ｘ」は任意の数字に対応する。例えば、管理者が入力部３２０を介して、認証配布先情報３５０ｃを記憶部３５０に格納する。
【００８９】
次に、図９に示した対応付情報３５０ｄのデータ構造の一例について説明する。図１３は、対応付情報のデータ構造を示す図である。図１３に示すように、この対応付情報３５０ｄは、認証識別情報と利用者識別情報との関係および利用者識別情報と利用者名との関係を含む。例えば、図１３を参照すると、認証識別情報「認証サーバ２００ａ」に対応する利用者識別情報は、「利用者０１」、「利用者０２」、「利用者０３」となる。
【００９０】
つまり、認証識別情報「認証サーバ２００ａ」で識別される認証サーバ２００ａが認証を行う利用者識別情報は、「利用者０１」、「利用者０２」、「利用者０３」となる。また、利用者０１に対応する利用者名は「山田太郎」であり、利用者０２に対応する利用者名は「富士花子」であり、利用者０３に対応する利用者名は「鈴木一郎」である。なお、同じ利用者名であっても、認証サーバ毎に利用者識別情報が異なる理由は、同一の利用者が異なる利用者識別情報を利用して、複数の業務サーバにアクセスする場合があるからである。
【００９１】
ここで、アカウント情報通知部３６０ｂが、アクセス権限管理サーバ４００から認証識別情報を受信した場合の処理を説明する。図１４は、アカウント情報通知部の処理を説明するための図である。ここでは一例として、認証識別情報は、「認証サーバ２００ａ」を含むものとする。
【００９２】
アカウント情報通知部３６０ｂは、アクセス権限管理サーバ４００から受信した認証識別情報と対応付情報３５０ｄとを比較し、認証識別情報に対応する利用者識別情報と、利用者識別情報に対応する利用者名を判定する。図１４に示すように、認証識別情報「認証サーバ２００ａ」に対応する利用者識別情報は「利用者０１」、「利用者０２」、「利用者０３」となる。また、利用者０１に対応する利用者名は「山田太郎」、利用者０２に対応する利用者名は「富士花子」、利用者０３に対応する利用者名は「鈴木一郎」となる。アカウント情報通知部３６０ｂは、利用者識別情報と利用者識別情報に対応する利用者名とを対応付けた情報をアクセス権限管理サーバ４００に送信する。
【００９３】
次に、図２に示したアクセス権限管理サーバ４００の構成の一例について説明する。図１５は、アクセス権限管理サーバの構成を示す図である。図１５に示すように、このアクセス権限管理サーバ４００は、通信制御部４１０、入力部４２０、出力部４３０、入出力制御部４４０、記憶部４５０、制御部４６０を有する。
【００９４】
通信制御部４１０は、ネットワークを介して、他の装置とデータ通信を実行する処理部である。例えば、通信制御部４１０は、業務サーバ１００ａ〜１００ｃ、利用者情報管理サーバ３００との間でデータ通信を実行する。この通信制御部４１０は、例えば、他の装置とデータ通信を実行するＡＳＩＣ、通信用カード等に対応する。
【００９５】
入力部４２０は、キーボードやマウス等の入力装置に対応する。出力部４３０は、例えば、ディスプレイやモニタ等の出力装置に対応する。
【００９６】
記憶部４５０は、業務サーバ１００ａ〜１００ｃに設定するアクセス制御情報を生成するための情報を記憶する。記憶部４５０は、例えば、ＲＡＭ、ＲＯＭ、フラッシュメモリなどの半導体メモリ素子、またはハードディスク、光ディスクなどの記憶装置に対応する。
【００９７】
図１５に示すように、記憶部４５０は、グローバルポリシー情報４５０ａ、構成情報４５０ｂ、ローカルポリシー情報４５０ｃ、配布先情報４５０ｄを記憶する。グローバルポリシー情報４５０ａは、業務サーバ１００ａ〜１００ｃ全体のアクセス権限を定義する情報である。構成情報４５０ｂは、業務システムと業務サーバとの関係を示す図である。ローカルポリシー情報４５０ｃは、各業務サーバ固有のアクセス権限を定義する情報である。配布先情報４５０ｄは、アクセス権限を設定する業務サーバの宛先情報である。例えば、管理者が入力部４２０を介して、グローバルポリシー情報４５０ａ、構成情報４５０ｂ、配布先情報４５０ｄを、記憶部４５０に入力する。なお、ローカルポリシー情報４５０ｃは、グローバルポリシー情報４５０ａから生成される。
【００９８】
制御部４６０は、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する処理、ローカルポリシー情報４５０ｃに基づいて業務サーバ１００ａ〜１００ｃにアクセス権限を設定する処理等を行う処理部である。制御部４６０は、例えば、ＡＳＩＣや、ＦＰＧＡなどの集積装置、または、ＣＰＵやＭＰＵ等の電子回路に対応する。
【００９９】
図１５に示すように、制御部４６０は、定義情報要求部４６０ａと、利用者情報要求部４６０ｂと、ローカルポリシー情報生成部４６０ｃと、アクセス制御情報送信部４６０ｄとを有する。
【０１００】
定義情報要求部４６０ａは、業務サーバ１００ａ〜１００ｃに定義情報を要求する処理部である。例えば、管理者が入力部４２０を介して所定のコマンドを入力した場合に、定義情報要求部４６０ａは、定義情報を業務サーバ１００ａ〜１００ｃに要求する。定義情報要求部４６０ａが業務サーバ１００ａ〜１００ｃから定義情報を受信した場合には、受信した定義情報を利用者情報要求部４６０ｂに出力する。
【０１０１】
利用者情報要求部４６０ｂは、定義情報に含まれる認証識別情報を利用者情報管理サーバ３００に送信することで、認証識別情報に対応する利用者の情報を要求する処理部である。ここで、認証識別情報に対応する利用者の情報は、認証識別情報に対応する利用者識別情報と利用者識別情報に対応する利用者名、グローバルアカウント情報、ロール情報を含む。利用者情報要求部４６０ｂは、認証識別情報に対応する利用者の情報を利用者情報管理サーバ３００から受信した場合に、受信した利用者の情報をローカルポリシー情報生成部４６０ｃに出力する。
【０１０２】
なお、利用者情報要求部４６０ｂは、利用者の情報と業務識別情報とを対応付けて、利用者の情報をローカルポリシー情報生成部４６０ｃに出力するものとする。例えば、利用者情報要求部４６０ｂが、業務識別情報「業務サーバ１００ａ」と認証識別情報「認証サーバ２００ａ」とを対応付けた定義情報に含まれる認証識別情報「認証サーバ２００ａ」を利用者情報管理サーバ３００に送信したとする。そして、利用者情報管理サーバ３００から、利用者識別情報と利用者識別情報に対応する利用者名を受信した場合には、受信した各情報は、業務識別情報「業務サーバ１００ａ」に対応する。
【０１０３】
ローカルポリシー情報生成部４６０ｃは、認証識別情報に対応する利用者の情報を基にして、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する処理部である。ローカルポリシー情報生成部４６０ｃの具体的な処理は後述する。
【０１０４】
アクセス制御情報送信部４６０ｄは、ローカルポリシー情報４５０ｃを業務サーバ毎のＯＳ（Operating System）等にあわせたデータ構造に変換する。そして、アクセス制御情報送信部４６０ｄは、変換したローカルポリシー情報４５０ｃをアクセス制御情報として、該当する業務サーバに送信する。アクセス制御情報の送信先となる業務サーバの宛先は、配布先情報４５０ｄに含まれる。また、各業務サーバが使用するＯＳの情報は、配布先情報４５０ｄに含まれる。
【０１０５】
ここで、図１５に示したグローバルポリシー情報４５０ａのデータ構造の一例について説明する。図１６は、グローバルポリシー情報のデータ構造を示す図である。図１６に示すように、このグローバルポリシー情報４５０ａは、システムを識別するシステム識別情報、部署を識別する部署情報、アクセス権限を含む。図１６に示すように、システム識別情報は「業務システム」を含み、部署情報は「総務部」を含み、アクセス権限は「アクセス可能」を含む。したがって、図１６に示すグローバルポリシー情報４５０ａは、「総務部は業務システムにアクセス可能」という情報を示す。
【０１０６】
次に、図１５に示した構成情報４５０ｂのデータ構造の一例について説明する。図１７は、構成情報のデータ構造を示す図である。図１７に示すように、この構成情報４５０ｂは、システム識別情報と業務識別情報とを含む。図１７に示す例では、業務システムは業務サーバ１００ａ〜１００ｃを有することを示す。
【０１０７】
次に、図１５に示したローカルポリシー情報４５０ｃのデータ構造の一例について説明する。図１８は、ローカルポリシー情報のデータ構造を示す図である。図１８に示すように、このローカルポリシー情報４５０ｃは、業務識別情報と利用者識別情報とアクセス権限とを対応付けて記憶する。例えば、図１８において、業務識別情報「業務サーバ１００ａ」に対応する利用者識別情報は「利用者０１」、「利用者０２」である。また、利用者０１のアクセス権限は「読取」、利用者０２のアクセス権限は「読取・書込」となる。したがって、業務サーバ１００ａに対応するローカルポリシー情報は、「利用者０１は、業務サーバ１００ａのデータを読取可能」、「利用者０２は、業務サーバ１００ａのデータを読取・書込可能」という情報を示す。
【０１０８】
また、図１８に示すように、業務サーバ１００ｂに対応するローカルポリシー情報は、「利用者１１は、業務サーバ１００ｂのデータを読取可能」、「利用者１２は、業務サーバ１００ｂのデータを読取・書込可能」という情報を示す。また、業務サーバ１００ｃに対応するローカルポリシー情報は、「利用者２１は、業務サーバ１００ｃのデータを読取可能」、「利用者２２は、業務サーバ１００ｃのデータを読取・書込可能」という情報を示す。
【０１０９】
次に、図１５に示した配布先情報４５０ｄのデータ構造の一例について説明する。図１９は、配布先情報４５０ｄのデータ構造を示す図である。図１９に示すように、この配布先情報４５０ｄは、業務識別情報と、ＩＰアドレスと、各業務サーバが使用するＯＳを識別する使用ＯＳ情報とを対応付けて記憶する。例えば、業務識別情報「業務サーバ１００ａ」に対応するＩＰアドレスは「ｘｘｘ．ｘｘｘ．ｘｘｘ」となる。「ｘ」は任意の数字に対応する。また、業務識別情報「業務サーバ１００ａ」で識別される業務サーバ１００ａの使用ＯＳ情報は「使用ＯＳ○○」となる。
【０１１０】
次に、ローカルポリシー情報生成部４６０ｃが、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する処理の一例について説明する。図２０は、グローバルポリシー情報からローカルポリシー情報を生成する処理を説明するための図である。
【０１１１】
図２０に示すように、ローカルポリシー情報生成部４６０ｃは、グローバルポリシー情報４５０ａとグローバルアカウント情報３５０ａとを比較して、第１変換過程テーブルを生成する（ステップＳ１０）。例えば、第１変換過程テーブルは、システム識別情報と、利用者名と、役職と、アクセス権限とを対応付けて記憶する。
【０１１２】
ステップＳ１０において、ローカルポリシー情報生成部４６０ｃは、グローバルポリシー情報４５０ａの部署情報「総務部」に所属する利用者名と役職との組をグローバルアカウント情報３５０ａから検出する。部署情報「総務部」に対応する利用者名と役職との組は「山田太郎」と「一般」、「富士花子」と「課長」となる。ローカルポリシー情報生成部４６０ｃは、部署情報「総務部」に対応する利用者名と役職との組を、部署情報「総務部」の代わりにグローバルポリシー情報４５０ａに登録することで、第１変換過程テーブルを生成する。
【０１１３】
ローカルポリシー情報生成部４６０ｃは、第１変換過程テーブルとロール情報３５０ｂとを比較して、第２変換過程テーブルを生成する（ステップＳ１１）。例えば、第２変換過程テーブルは、システム識別情報と、利用者名と、アクセス権限とを対応付けて記憶する。
【０１１４】
ステップＳ１１において、ローカルポリシー情報生成部４６０ｃは、第１変換過程テーブルのシステム識別情報と役職との組に対応するアクセス権限をロール情報３５０ｂから検出する。例えば、システム識別情報「業務システム」と役職「一般」との組に対応するアクセス権限は「読取」となる。また、システム識別情報「業務システム」と役職「課長」との組に対応するアクセス権限は「読取・書込」となる。ローカルポリシー情報生成部４６０ｃは、ロール情報３５０ｂから検出したアクセス権限にて、第１変換過程テーブルのアクセス権限を更新することで、第２変換過程テーブルを生成する。
【０１１５】
ローカルポリシー情報生成部４６０ｃは、第２変換過程テーブルと構成情報４５０ｂとを比較して、第３変換過程テーブルを生成する（ステップＳ１２）。例えば、第３変換過程テーブルは、業務識別情報と、利用者名と、アクセス権限とを対応付けて記憶する。
【０１１６】
ステップＳ１２において、ローカルポリシー情報生成部４６０ｃは、システム識別情報に対応する業務識別情報を構成情報４５０ｂから検出する。例えば、システム識別情報「業務システム」に対応する業務識別情報は「業務サーバ１００ａ」、「業務サーバ１００ｂ」、「業務サーバ１００ｃ」となる。ローカルポリシー情報生成部４６０ｃは、システム識別情報に対する利用者名とアクセス権限との関係を、業務識別情報に対応する利用者名とアクセス権限との関係に変換することで、第３変換過程テーブルを生成する。
【０１１７】
ローカルポリシー情報生成部４６０ｃは、第３変換過程テーブルと、認証サーバで認証を受ける際に使用する業務サーバ毎の利用者の利用者識別情報とを比較することで、ローカルポリシー情報４５０ｃを生成する（ステップＳ１３）。
【０１１８】
ステップＳ１３において、例えば、業務サーバ１００ａの利用者名「山田太郎」に対応する利用者識別情報が「利用者０１」の場合には、第３変換過程テーブルの業務サーバ１００ａに対する利用者名「山田太郎」の利用者識別情報は「利用者０１」となる。このように、ローカルポリシー情報生成部４６０ｃは、業務サーバの各利用者名を、対応する利用者識別情報に変換することで、ローカルポリシー情報４５０ｃを生成する。
【０１１９】
上述したように、ローカルポリシー情報生成部４６０ｃが、ステップＳ１０〜ステップＳ１３の処理を順に実行することで、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する。
【０１２０】
次に、本実施例２にかかるアクセス制御システムの処理手順について説明する。図２１および図２２は、本実施例２にかかるアクセス制御システムの処理手順を示すフローチャートである。ここでは説明の便宜上、アクセス権限管理サーバ４００は業務サーバ１００ａに定義情報の要求を行うものとする。また、業務サーバ１００ａは、認証サーバ２００ａを利用して利用者の認証を行うものとする。
【０１２１】
図２１に示すように、アクセス権限管理サーバ４００はコマンドを受付（ステップＳ１０１）、定義情報を業務サーバ１００ａに要求する（ステップＳ１０２）。ここで、アクセス権限管理サーバ４００が受けるコマンドは、例えば、定義情報の要求を指示するコマンドである。業務サーバ１００ａは、定義情報の要求をアクセス権限管理サーバ４００から受付ける（ステップＳ１０３）。
【０１２２】
業務サーバ１００ａは、接続先の認証サーバ２００ａに認証識別情報を要求し（ステップＳ１０４）、認証サーバ２００ａは、認証識別情報の要求を受付ける（ステップＳ１０５）。認証サーバ２００ａは、認証情報２５０ａに設定された認証識別情報を検出し（ステップＳ１０６）、認証識別情報を業務サーバ１００ａに送信する（ステップＳ１０７）。
【０１２３】
業務サーバ１００ａは、認証識別情報を受信し（ステップＳ１０８）、業務識別情報と認証識別情報とを対応付けることで定義情報を生成する（ステップＳ１０９）。業務サーバ１００ａは、定義情報をアクセス権限管理サーバ４００に送信する（ステップＳ１１０）。
【０１２４】
アクセス権限管理サーバ４００は、定義情報を受信し（ステップＳ１１１）、定義情報に含まれる認証識別情報を利用者情報管理サーバ３００に送信する（ステップＳ１１２）。利用者情報管理サーバ３００は、認証識別情報を受信し（ステップＳ１１３）、認証識別情報に対応する利用者識別情報を判定する（ステップＳ１１４）。
【０１２５】
利用者情報管理サーバ３００は、利用者識別情報、グローバルアカウント情報、ロール情報をアクセス権限管理サーバ４００に送信する（ステップＳ１１５）。ステップＳ１１５で送信される利用者識別情報は、利用者名に対応付けられているものとする。アクセス権限管理サーバ４００は、利用者識別情報、グローバルアカウント情報、ロール情報を受信する（ステップＳ１１６）。
【０１２６】
続いて、図２２の説明に移行する。アクセス権限管理サーバ４００は、グローバルポリシー情報を受付ける（ステップＳ１１７）。アクセス権限管理サーバ４００は、グローバルポリシー情報、グローバルアカウント情報、ロール情報、利用者識別情報に基づいて、ローカルポリシー情報を生成する（ステップＳ１１８）。
【０１２７】
アクセス権限管理サーバ４００は、ローカルポリシー情報をアクセス制御情報に変換し（ステップＳ１１９）、アクセス制御情報を業務サーバ１００ａに送信する（ステップＳ１２０）。業務サーバ１００ａは、アクセス制御情報を受信し（ステップＳ１２１）、アクセス制御情報を格納する（ステップＳ１２２）。
【０１２８】
上述してきたように、本実施例２にかかるアクセス制御システムは、認証識別情報と利用者識別情報とを対応付けた対応付情報３５０ｄを管理する利用者情報管理サーバ３００を設ける。このため、アクセス権限管理サーバ４００は、認証サーバ２００ａ〜２００ｃに利用者識別情報を問い合わせるのではなく、利用者情報管理サーバ３００に利用者識別情報を問い合わせる。そして、アクセス権限管理サーバ４００は、利用者情報管理サーバ３００から利用者識別情報を得ることで、業務サーバ１００ａ〜１００ｃが認証を依頼する認証サーバが認証する利用者の利用者識別情報を得ることができる。この利用者識別情報が得られれば、アクセス権限管理サーバ４００は、グローバルポリシー情報４５０ａで定義した認証対象を、利用者情報管理サーバ３００から得た利用者識別情報に設定することで、ローカルポリシー情報４５０ｃを生成することができる。したがって、本実施例２にかかるアクセス制御システムによれば、認証情報およびアクセス権限の情報を一元管理しつつ、共通ポリシーに基づく統合アクセス制御を効率よく実現することができる。
【０１２９】
また、アクセス権限管理サーバ４００は、アクセス権限情報を業務サーバ１００ａ〜１００ｃに設定する場合に、各業務サーバから定義情報を取得する。そして、アクセス権限管理サーバ４００は、定義情報に含まれる認証識別情報を利用して、利用者情報管理サーバ３００から、認証サーバで認証する利用者の利用者識別情報を得る。すなわち、業務サーバ１００ａ〜１００ｃが認証を依頼する認証サーバが固定でなくても、アクセス権限管理サーバ４００は、定義情報を利用することで、アクセス権限情報を設定する時点の、業務サーバと、利用者の利用者識別情報との関係を得ることができる。この結果、アクセス権限管理サーバ４００は、適切なアクセス権限を各業務サーバ１００ａ〜１００ｃに設定することができる。
【０１３０】
また、アクセス権限管理サーバ４００は、認証サーバ２００ａ〜２００ｃに直接アクセスすることなく、業務サーバ１００ａ〜１００ｃから定義情報を取得することで、認証サーバ２００ａ〜２００ｃで認証を受ける利用者の利用者識別情報を取得する。したがって、認証サーバ２００ａ〜２００ｃの業務効率を低下させることを防止することができる。なお、業務サーバ１００ａ〜１００ｃが定義情報を生成する場合には、認証サーバ２００ａ〜２００ｃは、認証識別情報を該当する業務サーバに送信する処理を実行する。しかし、かかる処理は、認証識別情報を送信するのみであり、処理負荷も軽く、業務効率を低下させるものではない。
【０１３１】
また、アクセス権限管理サーバ４００は、業務サーバ１００ａ〜１００ｃにアクセスを許可する利用者の所属部署や利用者の役職などの属性を基にして、グローバルポリシー情報４５０ａからローカルポリシー情報４５０ｃを生成する。したがって、管理者が、グローバルポリシー情報４５０ａを構築する段階で、業務サーバ１００ａ〜１００ｃにアクセスを許可する利用者を属性により細かく指定した場合でも、業務サーバ毎に適したローカルポリシー情報４５０ｃを生成することができる。例えば、グローバルポリシー情報４５０ｃで利用者の属性を「総務部」と定義した場合には、ローカルポリシー情報４５０ｃに、総務部に属する利用者の利用者識別情報が認証対象として設定される。
【０１３２】
ところで、図４に示した業務サーバ１００ａ〜１００ｃの各構成要素、図７に示した認証サーバ２００ａ〜２００ｃの各構成要素、図９に示した利用者情報管理サーバ３００、図１５に示したアクセス権限管理サーバ４００の各構成要素は機能概念的なものである。このため、図４、図７、図９、図１５に示した各構成要素は、必ずしも図示の如く構成されていることを要しない。すなわち、各構成要素の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、図４、図７、図９、図１５に示した制御部１６０，２６０，３６０，４６０の機能を拡張カードなどの外部装置に搭載し、拡張カードを該当するサーバに接続してもよい。
【０１３３】
また、本実施例２では、業務サーバ１００ａ〜１００ｃが生成する各定義情報を利用者情報管理サーバ３００が管理してもよい。例えば、アクセス権限管理サーバ４００は、各業務サーバ１００ａ〜１００ｃから定義情報を受信し、記憶部３５０に各定義情報を記憶する。
【０１３４】
利用者情報管理サーバ３００が各定義情報を記憶した状態で、アクセス権限管理サーバ４００が業務サーバで認証を受ける利用者の利用者識別情報を取得する場合には、アクセス権限管理サーバ４００は、業務識別情報を、利用者情報管理サーバ３００に送信する。業務識別情報を受信した利用者情報管理サーバ３００は、定義情報と、業務識別情報とを比較して、業務識別情報に対応する認証識別情報を判定する。そして、利用者情報管理サーバは、判定した認証識別情報と対応付情報３５０ｄとを比較して、認証識別情報に対応する利用者識別情報を判定し、判定した利用者識別情報をアクセス権限管理サーバ４００に送信する。したがって、例えば、利用者情報管理サーバ３００は、各業務サーバ１００ａ〜１００ｃの各定義情報を記憶する場合でも、アクセス権限管理サーバ４００は、業務サーバで認証を受ける利用者の利用者識別情報を取得することができる。
【０１３５】
なお、制御部１６０，２６０，３６０，４６０の機能をソフトウェアとして実装し、これをコンピュータで実行することにより、制御部１６０，２６０，３６０，４６０と同様の機能を実現することもできる。
【０１３６】
以上の各実施例を含む実施形態に関し、さらに以下の付記を開示する。
【０１３７】
（付記１）複数のサーバ装置と、各サーバ装置へアクセスする利用者の利用者認証処理を行う認証サーバ装置と、
前記認証サーバを一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置と、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するアクセス権限管理サーバ装置と
を備えたことを特徴とするアクセス制御システム。
【０１３８】
（付記２）前記アクセス権限管理サーバ装置は、前記サーバ装置を一意に識別するサーバ識別情報と、当該サーバ装置が利用者認証を依頼する認証サーバ装置の認証識別情報とを対応付けた定義情報を前記サーバ装置から取得する定義情報取得部と、
前記定義情報取得部が取得した定義情報に含まれる認証識別情報を前記利用者情報管理サーバ装置に通知することで、前記利用者情報管理サーバ装置から前記認証サーバ装置によって利用者認証を受ける利用者の利用者識別情報、グローバルアカウント情報およびロール情報を取得する利用者情報取得部と、
前記利用者情報取得部が取得した利用者識別情報、グローバルアカウント情報およびロール情報に基づいて、前記共通ポリシーから前記固有ポリシーを生成するポリシー生成部と
を備えたことを特徴とする付記１に記載のアクセス制御システム。
【０１３９】
（付記３）アクセス権限管理サーバ装置が、
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置を一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置に、認証識別情報を通知することで、該認証識別情報に対応する利用者識別情報と当該利用者識別情報に対応する属性情報とを取得する取得ステップと、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成する生成ステップと、
を含むことを特徴とするポリシー生成方法。
【０１４０】
（付記４）サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報、利用者識別情報に対応する利用者の属性を示す属性情報を記憶する利用者識別情報記憶部と、
前記利用者識別情報記憶部に記憶された利用者識別情報および前記属性情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するポリシー生成部と、
を備えたことを特徴とするアクセス権限管理サーバ装置。
【０１４１】
（付記５）コンピュータに、
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報、利用者識別情報に対応する利用者の属性を示す属性情報を記憶装置に記憶するステップと、
前記記憶装置に記憶された利用者識別情報および前記属性情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するステップと
を実行させることを特徴とするポリシー生成プログラム。
【符号の説明】
【０１４２】
１０ａ，１０ｂ，１０ｃ サーバ装置
２０ 認証サーバ装置
３０ 利用者情報管理サーバ装置
４０ アクセス権限管理サーバ装置
【特許請求の範囲】
【請求項１】
複数のサーバ装置と、各サーバ装置へアクセスする利用者の利用者認証処理を行う認証サーバ装置と、
前記認証サーバを一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置と、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するアクセス権限管理サーバ装置と
を備えたことを特徴とするアクセス制御システム。
【請求項２】
前記アクセス権限管理サーバ装置は、前記サーバ装置を一意に識別するサーバ識別情報と、当該サーバ装置が利用者認証を依頼する認証サーバ装置の認証識別情報とを対応付けた定義情報を前記サーバ装置から取得する定義情報取得部と、
前記定義情報取得部が取得した定義情報に含まれる認証識別情報を前記利用者情報管理サーバ装置に通知することで、前記利用者情報管理サーバ装置から前記認証サーバ装置によって利用者認証を受ける利用者の利用者識別情報、グローバルアカウント情報およびロール情報を取得する利用者情報取得部と、
前記利用者情報取得部が取得した利用者識別情報、グローバルアカウント情報およびロール情報に基づいて、前記共通ポリシーから前記固有ポリシーを生成するポリシー生成部と
を備えたことを特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
アクセス権限管理サーバ装置が、
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置を一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置に、認証識別情報を通知することで、該認証識別情報に対応する利用者識別情報と当該利用者識別情報に対応する属性情報とを取得する取得ステップと、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成する生成ステップと、
を含むことを特徴とするポリシー生成方法。
【請求項４】
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報、利用者識別情報に対応する利用者の属性を示す属性情報を記憶する利用者識別情報記憶部と、
前記利用者識別情報記憶部に記憶された利用者識別情報および前記属性情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するポリシー生成部と、
を備えたことを特徴とするアクセス権限管理サーバ装置。
【請求項１】
複数のサーバ装置と、各サーバ装置へアクセスする利用者の利用者認証処理を行う認証サーバ装置と、
前記認証サーバを一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置と、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するアクセス権限管理サーバ装置と
を備えたことを特徴とするアクセス制御システム。
【請求項２】
前記アクセス権限管理サーバ装置は、前記サーバ装置を一意に識別するサーバ識別情報と、当該サーバ装置が利用者認証を依頼する認証サーバ装置の認証識別情報とを対応付けた定義情報を前記サーバ装置から取得する定義情報取得部と、
前記定義情報取得部が取得した定義情報に含まれる認証識別情報を前記利用者情報管理サーバ装置に通知することで、前記利用者情報管理サーバ装置から前記認証サーバ装置によって利用者認証を受ける利用者の利用者識別情報、グローバルアカウント情報およびロール情報を取得する利用者情報取得部と、
前記利用者情報取得部が取得した利用者識別情報、グローバルアカウント情報およびロール情報に基づいて、前記共通ポリシーから前記固有ポリシーを生成するポリシー生成部と
を備えたことを特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
アクセス権限管理サーバ装置が、
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置を一意に識別する認証識別情報と、該認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報とを対応付けた対応付情報、利用者識別情報に対応する利用者の属性を示す属性情報を管理する利用者情報管理サーバ装置に、認証識別情報を通知することで、該認証識別情報に対応する利用者識別情報と当該利用者識別情報に対応する属性情報とを取得する取得ステップと、
複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成する生成ステップと、
を含むことを特徴とするポリシー生成方法。
【請求項４】
サーバ装置へアクセスする利用者の利用者認証を行う認証サーバ装置によって利用者認証を受ける利用者を一意に識別する利用者識別情報、利用者識別情報に対応する利用者の属性を示す属性情報を記憶する利用者識別情報記憶部と、
前記利用者識別情報記憶部に記憶された利用者識別情報および前記属性情報に基づいて、複数のサーバ装置のアクセス権限に共通する共通ポリシーでアクセスを許可する利用者の属性と前記属性情報とを比較し、前記認証サーバ装置で認証を受ける利用者の利用者識別情報のうち、前記共通ポリシーでアクセスを許可する利用者の属性を有する利用者の利用者識別情報から各サーバ装置に依存したアクセス権限に係る固有ポリシーを生成するポリシー生成部と、
を備えたことを特徴とするアクセス権限管理サーバ装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【公開番号】特開２０１１−１９７８０７（Ｐ２０１１−１９７８０７Ａ）
【公開日】平成２３年１０月６日（２０１１．１０．６）
【国際特許分類】
【出願番号】特願２０１０−６１４４８（Ｐ２０１０−６１４４８）
【出願日】平成２２年３月１７日（２０１０．３．１７）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１９年度、経済産業省、「セキュア・プラットフォームプロジェクト」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２３年１０月６日（２０１１．１０．６）
【国際特許分類】
【出願日】平成２２年３月１７日（２０１０．３．１７）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成１９年度、経済産業省、「セキュア・プラットフォームプロジェクト」委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]