アクセス制御システム及びアクセス管理方法
本発明は、ネットワークアクセス及び施設アクセスの両方に関する情報を保有するアクセス制御サーバを提供する。アクセス制御サーバは、位置、リソースの種類、日時、期間又は他のイベントに基づいて、ポリシを強制し、ネットワーク上の及び物理的施設内の所定のリソースへのアクセスに関する全ての成功した試み及び失敗した試みを記録する。アクセス制御サーバは、属性及びポリシの共通リスト又はテーブル、若しくは認証情報検証及びポリシエンジンによって調停される属性及びポリシの個別のリスト又はテーブルに基づいて動作する。この統合アクセス制御サーバは、ネットワーク及び／又は物理的な構内ベースの機器で動作するプロトコルを実現する。統合アクセス制御サーバは、施設内のイベントを、ネットワーク上のイベントに相互に関連付け、物理的領域又はネットワーク領域で実行できるポリシを発行することができる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、物理的セキュリティ及びネットワークベースのセキュリティの両方のためのアクセス制御に関する。詳しくは、本発明は、例えば、ビルディング、住居、物的なインフラストラクチャ又は情報及びネットワークシステム等のリソースへの物理的アクセス制御及び／又はネットワークアクセス制御を提供する統合アクセス制御システム及びアクセス管理方法に関する。アクセス制御システムには、旧型の物理的セキュリティデバイス及び／又はネットワーク対応機器も含まれる。
【背景技術】
【０００２】
人々、物的資産（例えば、物理的財産、知的財産及び施設）、情報資産等を保護するためのセキュリティに関する取り組みが行われている。このために、セキュリティ計画／グループは、通常、資産へのアクセス（物理的アクセス及び電子的／コンピュータによるアクセス）を制御し、イベント及びアラームを監視し、所定の場所において、１組のリスト予備的条件（例えば、ポリシ）に基づいて、リアルタイムの監視を行う。多くの企業、組織又は公共領域において、これらのセキュリティプログラムは、２つの部分に分割されている。１つのセキュリティグループ及び関連するシステムは、物理的施設又はリソースへのアクセスを制御し、認証されている又は認証されていない訪問者を保護することを意図する。他のセキュリティグループ及び関連するシステムは、情報システム及びネットワークへのアクセスを制御し、電子的情報資産及び他のネットワーク接続機器を保護することを意図する。これらのセキュリティグループ及び関連するシステムは、何れも、例えば、時刻等の特定の条件の組に基づいて、特定の個人によるアクセスを制御することによって、セキュリティ危機を管理する。
【０００３】
物理的アクセス制御システムのコンポーネントは、種類、位置及び通信プロトコルに若干の相違はあるが、包括的には、所定の物理的アクセス制御イベントの処理及びシステム機能は、概ね同じである。典型的な物理的セキュリティ（アクセス制御）環境では、物理的セキュリティシステムは、エントリロックメカニズム、エントリ開／閉又は他のセンサ（ビデオ監視カメラ等）、認証情報（機器又は個人の電子的又は物理的識別情報）、認証情報入力装置（例えば、バッジリーダ、個人識別番号キーパッド、生体認証等）、通信及び接続機器（例えば、ドア制御パネル）、認証情報検証及びポリシベースのアクセス制御機器（例えば、アクセス制御パネル）、認証情報及びポリシ生成ステーション（例えば、物理的セキュリティサーバ）、物理的セキュリティ管理ステーション（例えば、監視、イベント記録及びアラーム報告プラットホーム）及び施設ユーザリスト／データベース（すなわち、人的資源個人データベース）等を含む。
【０００４】
物理的アクセス制御は、様々なアクセス制御機器（access control device：ＡＣＤ）を用いて、例えば、バッジリーダ、電子ロック及び他の様々なドア要素を用いて、施設の入口に実装され、施設の出口で実装されることもあり、更に、施設内のある部分及び部屋に実装されることもある。これらのＡＣＤは、全てのユーザが適切で有効な認証情報を表示しなければ、所定の場所に出入りし、又は所定のリソースにアクセスすることを能動的に又は受動的に規制する。
【０００５】
物理的アクセス制御システム認証情報は、識別情報が書き込まれたプラスチックカードであってもよく、キーパッドを介して入力される暗合又はパスワードであってもよく、例えば、指紋又は網膜スキャン画像等の他の生体照合情報であってもよい。多くの組織は、組織ＩＤ、若しくは電子識別子又は個人識別番号の形式で符号化された一意的な情報を含む電子キーカードの形式の認証情報を個人に与える。認証情報が提出され又はバッジリーダ、キーパッド等によって読み出されると、妥当な認証情報ホルダのリスト及びその関連するポリシに対して認証情報が検証される。これらのポリシは、日時、他の個人の存在等、若しくは、単にアクセスを許可又は拒否する指示の送信によって、リソースにアクセスするための他の特定の要求を提供できる。
【０００６】
ＡＣＤ（バッジリーダ、バイオメトリックリーダ、電気−機械ロック、所定の入場口のためのドア開／閉センサ（又は他のコンタクトクロージャ））は、通常、ドア制御パネル（door control panel：ＤＣＰ）に接続されるシリアルウィーガント接続（serial Wiegand connection）、シリアルＲＳ４８５接続又は単純な銅線によるコンタクトクロージャに接続される。ＤＣＰは、通常、所定の入場口又はアクセス制御されているリソースの近傍に設けられる。これらの機器は、通常、単純なシグナリングプロトコルを用いて通信を行う。シグナリングプロトコルは、単一のベンダのアクセス制御製品に固有のものであることが多い。
【０００７】
ＤＣＰは、通常、複数の様々なＡＣＤに接続する。ＤＣＰを使用することによって、各アクセス制御機器は、自らの認証情報検証及び強制リスト又は検証及び強制機器への自らの専用の接続を有する必要がなくなる。幾つかのＤＣＰは、完全な又は部分的な認証情報リストを有することができるが、このような実現例は、幾つかの短所を有する。大部分の施設は、複数の出入口を有し、又は施設内の特定の部屋又はリソースのアクセス制御を必要とし、全てのＤＣＰが情報を常に更新することを確実にするために、煩雑な作業が必要である。アクセス制御機器は、安全な施設の内部ではなく、外部に設置する必要がある場合もある。したがって、認証情報リストを有するＤＣＰは、改竄される虞があり、又は不正アクセスによって、機密保護違反に至る（すなわち、第三者がリストにアクセスし、パスワード及び認証情報が漏洩する）場合もある。したがって、多くのアクセス制御システムは、アクセス制御リスト及び関連するポリシの集中管理を徹底するように努力している。そこで、幾つかのＤＣＰは、単にＡＣＤ接続をまとめ、アクセス制御パネル（Access Control Panel：ＡＣＰ）において、集中型の認証情報検証及びポリシ強制のための認証情報を他の機器に渡す。
【０００８】
ＡＣＰは、ＤＣＰに接続されたリーダから供給された認証情報を用いて、ベアラに出入りの権利を与えるか否かを判定し、又はアクセス要求を拒否するか否かを判定する。ＡＣＰは、物理的セキュリティサーバ及び管理ステーションに依存して、所定の認証情報の組に関連する実際のリスト及びポリシを作成する。
【０００９】
ＡＣＰと物理的セキュリティサーバとの間の接続及び通信は、様々であるが、通常は、シリアル接続又はモデム接続に基づいて行われる。幾つかのインストール例では、ＡＣＰは、物理的セキュリティサーバへのイーサネット（登録商標）（フレームベース）接続を用いるが、これらの物理的アクセス制御システムは、接続のためだけにイーサネットネットワークを使用する。物理的アクセス制御コンポーネント間の実際の通信は、通常、単一のベンダに固有であり、例えば、シグナリングは、イーサネット接続及び通信をトンネリングされる。このため、他のネットワークリソース（他の既存のネットワークサーバ）は、通常、ＡＣＰとは通信を行わず、ＡＣＰを制御することはできない。更に、情報システムのセキュリティ（例えば、インフォセック社（InfoSec）のウェブページhttp://www.cordis.lu/infosec/home.html参照）は、不正アクセスに対処するものであり、殆ど全てのネットワークベースのＡＣＰプロバイダは、ネットワークベースのＡＣＰの侵入攻撃には無防備である。
【００１０】
物理的セキュリティサーバは、全てのＡＣＰが正確な認証情報及びポリシ情報を有することを確実にする。物理的セキュリティサーバは、新たな認証情報を登録し、期限切れの認証情報をシステムから除去する（将来の物理的アクセスを防止し、施設における各認証情報の物理的アクセス制御ポリシを定義する。）セキュリティアプリケーションを実装する。物理的セキュリティサーバは、認証情報（例えば、ユーザ名、ユーザバッジ番号、及び指紋、網膜スキャン、声紋、又は他の生体照合情報等の使用可能な他のユーザ特定の属性）のマスタテーブル及び管理している全てのＡＣＰの全ての物理的アクセス制御ポリシを維持する。換言すれば、物理的セキュリティサーバは、各ユーザに関して、組織内の特定のポータルへのアクセスをいつ許可するかを決定する規則を維持する。物理的セキュリティサーバは、正しい認証情報リスト及びポリシが維持されるように、各ＡＣＰを更新する。このようにして組織の駐車場、正面玄関、研究室のドア、エレベータ、倉庫、コンピュータネットワーク又は組織がアクセスを制御及び監視することを望む他の領域にユーザが入ることを認証する規則を実現することができる。また、これらの規則は、日時、曜日又は所定の期間を特定することもできる。また、物理的セキュリティサーバは、管理ステーションにインタフェースされている。
【００１１】
物理的セキュリティサーバは、フレーム（例えば、イーサネット）／パケット（例えば、インターネットプロトコル）ベースのネットワークを介して接続でき、例えば、人的資源データベースサーバ等、ネットワーク接続された他のサーバと通信することができるが、物理的セキュリティサーバは、ネットワークアクセス制御又は他のネットワークセキュリティ機能を管理するサポート機能を有しておらず、ネットワークアクセスイベントを検知できない。
【００１２】
管理ステーションは、物理的セキュリティ担当者によるアラーム監視及び包括的な物理的アクセス制御管理を提供する。更に、管理ステーションは、認証情報を印刷し及び暗号化するための１組のリストアプリケーションをサポートすることが多い。管理ステーションは、遠隔サイトに位置している場合もあり、幾つかの異なる施設に分散されている場合もある。
【００１３】
妥当な証明書が割り当てられたユーザのリスト及び関連するポリシは、多くのソースに由来することができる。より大きな組織又は企業では、この潜在的リストは、定期的に更新される従業員／人的資源データベースから得られ、このようなデータベースは、例えば、ＳＡＰ社、ピープルソフト社（PeopleSoft）及びオラクル社（Oracle）等の企業から市販されているソフトウェアアプリケーションプログラムを介してサポートできる。物理的セキュリティシステム管理者は、所定のユーザに、カード、カード認証情報及び関連するアクセス権を供給する。
【００１４】
図１は、典型的な従来の施設におけるアクセス制御システム１００を示している。建物内の各施設又は各フロアは、同じ場所にあるコンポーネント１０１を有し、コンポーネント１０１は、例えば、各ドア又は他のポータルに位置する電気−機械ドアロック１１１、リーダ１１２、ドアコンタクト１１３、キーパッド１１４、ドア警報装置１１５及び動きセンサ１１６等の幾つかのアクセス制御機器（ＡＣＤ）１１０を含む。更に他の種類のアクセス制御機器としては、指紋センサ、カメラ、又は他の機器、コンポーネント又はソフトウェアによって駆動される識別設備が含まれる。
【００１５】
施設への各ドアでは、１つ以上のＡＣＤ１１０が専用のＤＣＰに接続されている。ＤＣＰは、ＡＣＰ１２０にスター構成で直接接続してもよく、（例えば、ＤＣＰ１１８、１１９）、又は例えば、ＤＣＰ１１７、１１８のように、ＡＣＰ１２０に接続された他のＤＣＰに順次的に接続してもよい。ＤＣＰは、通常、ＲＳ４８５シリアルケーブル接続を介してＡＣＤ１２０に接続される。ＤＣＰ１１７〜１１９は、ＡＣＰ１２０によって提供される制御情報に応じて、ＡＣＤ１１０の動作を制御する。
【００１６】
各ＡＣＰは、複数のＤＣＰ１１７〜１１９を制御する。例えば、ＡＣＰ１２０は、施設内の全てのドア制御パネル、複数のフロアを有する建造物の特定のフロアのドア制御パネル又は施設の特定の領域内のドア制御パネルを制御できる。殆どのセキュリティシステムでは、ＡＣＰ１２０は、シリアル又はイーサネットリンクによって、物理的セキュリティサーバ１２１に接続されている。物理的セキュリティサーバ１２１及び物理的セキュリティ管理ステーション１２２は、ＡＣＰから遠隔に設置され、建物内に集中化され、又は別の建物に設置される。
【００１７】
物理的アクセス制御要求イベントが生じると、例えば、個人がドアを空けようとした場合、ＡＣＤ１１１〜１１６の１つ以上がシステムへの入力信号を生成する。例えば、リーダ１１２は、符号化されたユーザＩＤを検出し、ＤＣＰ１１７に認証情報を送信し、ＤＣＰ１１７は、ローカルメッセージバッファリング及びドアのＡＣＤ接続集合処理（ACD connectivity aggregation）を実行する。ＤＣＰ１１７は、ＡＣＤが生成した情報をアクセス要求メッセージの形式でＡＣＰ１２０に中継する。ＡＣＰ１２０は、検出された認証情報を有効な（認証されている）認証情報リスト及び関連するポリシと比較し、認証情報が有効であるかを判定し、及び物理的アクセスポリシがこの入出点の認証情報に関連しているかを判定することによって、認証情報を検証する。有効な認証情報リスト及び関連するアクセスポリシは、物理的セキュリティサーバ１２１によって提供され、アクセス制御イベントの前にＡＣＰに送信される。
【００１８】
ドアを開いてもよいことをポリシが示している場合、その特定のドアの電気−機械ロック１１１をアクティブ化する（開く）ことをＤＣＰ１１７に指示するアクセス制御応答がＡＣＰ１２０からＤＣＰ１１７に送信される。認証情報が無効であるためにポリシがアクセスを拒否した場合は、例えば、警報がトリガされ、又は管理ステーション１２２に警報が送信され、ドアは、ロックされたままの状態にされる。
【００１９】
殆どの組織又は他の機関によって運営される情報システム及び専用ネットワークへのアクセスは、異なる独立したシステムによって制御される。このアクセス制御システムは、ネットワークベースの情報資産を保護し、他のネットワーク接続機器へのアクセスを制御するように動作する。ネットワークアクセス制御システムには、以下に限定されるものではないが、ネットワークエッジに接続されている多くの機器（例えば、コンピュータ、サーバ、ＩＰ電話機等）、電子認証情報（例えば、ユーザ名又は装置名、ネットワークアドレス、パスワード等）、フレーム／パケットベースのネットワークインフラストラクチャ機器（例えば、ルータ、スイッチ、負荷分散装置、ファイアウォール等）、電子認証情報検証及びポリシベースのアクセス制御機器（例えば、ネットワークアクセス制御サーバ）、認証情報、ポリシ生成ステーション及び機器（例えば、ネットワークセキュリティサーバ）、ネットワークユーザリスト／データベース（すなわち、人的資源個人データベース）、及びネットワーク管理ワークステーション等が含まれる。
【００２０】
全てのネットワーク機器は、通常、有線／光ファイバ又は無線媒体を介して接続され、イーサネットやＩＰ等のフレーム／パケットベースのネットワークプロトコルを用いて通信を行う。ネットワーク機器の相互通信能力は、必ずしも、１つのネットワーク機器が他のネットワーク機器を制御できることを含意するわけではない。機器を制御する能力は、（例えば、ＯＳＩ７レイヤネットワーク通信モデルによって提供される）より高レベルのアプリケーション及びプロトコルの機能である。
【００２１】
ネットワーク接続機器、例えば、パーソナルコンピュータ、サーバ、携帯情報端末、ＩＰ電話機、ＩＰビデオ監視カメラ等は、有線／光ファイバ又は無線通信機能を有し、共通のネットワークに接続されたエッジ機器である。これらの機器の多くは、電子認証情報の基礎を構成するネットワークアドレス情報を提供し及び要求できる埋め込まれた回路と共に、認証情報を入力し、送信するために用いることができるキーボード又は他の入力装置を備える。
【００２２】
ネットワークアクセス認証情報は、ネットワークアクセス及びネットワークに付随する様々なリソースへのアクセスを許可又は拒否するために使用される。ネットワークアクセス認証情報は、通常、ネットワークエッジ機器から、例えば、ネットワークインフラストラクチャ機器（ルータ及びスイッチ等）等の中間機器を介してネットワークアクセス制御サーバに渡される。ネットワークアクセス制御のために用いられる認証情報は、様々な形式を有し、最も簡単な形式の１つは、ユーザ名及びパスワードの組合せである。パスワードは、複数のログオン（ネットワークアクセス要求）セッションのために用いることができ、又は単一のログオンアクセスイベントのために作成することもできる。また、認証情報は、ネットワークに接続することを試みるネットワーク機器の予め定義されたネットワークアドレス（例えば、イーサネットＭＡＣアドレス又はＩＰアドレス）であってもよい。
【００２３】
例えば、ルータ及びスイッチ等のネットワークインフラストラクチャ機器（network infrastructure device：ＮＩＤ）は、ネットワークのエッジに接続された機器から、ネットワークに接続された他のリソースへの接続を提供する。ルータ及びスイッチは、通常、他の様々なネットワーク接続機器に通信される情報をカプセル化するフレーム及び／又はパケットベースのネットワークプロトコルをサポートし、これらのプロトコルを用いて通信を行う。ＮＩＤは、物理的セキュリティアクセス制御システムコンポーネント間の通信を目的として、ネットワークに接続可能な物理的セキュリティアクセス制御システムコンポーネントへのネットワーク接続を提供するが、従来の技術ＮＩＤは、所定のリソースの物理的アクセスの目的のためには、これらの物理的セキュリティアクセスシステムの構成要素を制御できない。
【００２４】
ネットワークアクセスを認証されたユーザ及び機器に制限するために設計されたログインシステムによってネットワークアクセスを制御することは非常に一般的である。これらのログインシステムは、ＡＡＡサーバ（Authentication, Authorization and Accounting server：認証、認可及びアカウンティングサーバ）と呼ばれる。ＡＡＡサーバは、ネットワーク及びネットワーク機器へのアクセスを要求するユーザのアイデンティティを検証し、アクセスを許可し、ユーザの操作を追跡するためにサービスの認証、認可及びアカウンティングを実行するモジュール的手法を提供する。
【００２５】
認証処理では、ネットワークにアクセスしようとしているユーザを特定することができる（すなわち、あるユーザが、自らが誰であると主張しているかを判定することができる）。これは、一般的には、伝統的なユーザ名／パスワードを用いて実行され、最近では、例えば、チャレンジ／レスポンス認証（ＣＨＡＰ等）、ワンタイムパスワード（ＯＴＰ及びＰＫＩ証明書）等のより最新の安全な手法を介して実行される。認可処理では、認証されたユーザがどのサービス又は機器にアクセスするかを制御する（すなわち、所定のユーザがログオン後にアクセスできる範囲を決定する）。アカウンティング処理では、ネットワーク内でのユーザの振る舞いを追跡し、特定の個人がログオン後に何をしているかを判定する。収集された情報は、課金、監査及び報告のために用いることができる。また、ネットワークユーザアクセス制御の概念は、ネットワーク機器への管理用のアクセス、並びに構成及び監視のためのネットワーク管理ソリューションに拡張できる。
【００２６】
このようなログインシステムの１つとしては、ポリシベースのネットワークアクセス制御サーバであるシスコセキュアＡＣＳ（Cisco Secure ACS）がある。ネットワークアクセス制御サーバは、妥当な電子認証情報のネットワークアクセスの集中化されたテーブル又はリスト及びある条件（例えば、ポリシ）に基づいて所定の認証情報のホルダ／ユーザがアクセスできるネットワークリソースの関連するリストを維持する。ネットワークアクセス制御サーバは、ネットワークアクセスを試みるユーザ又はコンピュータの認可されたネットワークアクセスレベルを判定するために使用される。ネットワークアクセス制御サーバのテーブルは、ネットワークへのアクセスを要求する各ユーザ又は機器に関連するユーザ名、ユーザＩＤ、ネットワークパスワード及び規則を保持することができる。これらの規則は、ネットワークアクセス制御ポリシ（妥当な電子認証情報のリスト及びある条件に基づいて所定の認証情報ホルダ／ユーザがアクセスできるネットワークリソースの関連するリスト）と呼ぶことができる。ネットワークアクセス制御サーバは、ネットワークにログオンするための、及びネットワークアクセス制御システムの構成及び提供に用いられるユーザインタフェースを提供する。ＡＣＳサーバは、イベントの共通ログを維持し、保安要員は、施設アクセスを有する企業ネットワーク上でのユーザアクティビティを監視し、相関させ、検証することができる。
【００２７】
ＡＣＳサーバ及びその機能は、一箇所で実現してもよく、２つ以上のアクセス制御サーバに分散させてもよい。ＡＣＳサーバは、集中型又は分散型の手法で、ポリシ、規則及び認証されたユーザに関する情報の全て又は一部を保持できる。ＡＣＳサーバは、権限のないユーザに関する情報を保持してもよく、これにより、保安要員は、施設又はネットワークセキュリティを不正に侵害しようとした加害者を特定できる。
【００２８】
妥当な証明書が割り当てられたユーザのリスト及びネットワークアクセスのための関連するポリシは、多くのソースに由来することができる。大きな組織又は企業では、この潜在的リストは、定期的に更新される従業員／人的資源データベース（すなわち、ＳＡＰ、ピープルソフト（Peoplesoft）、オラクル（Oracle））から入手することができる。ネットワークアクセス制御サーバは、定期的に、正規ユーザのリストを人的資源又は他の組織データベースに同期させるが、全てのポリシは、ネットワークアクセス制御サーバ上で直接的に作成、維持及び更新される。
【００２９】
例えば、シスコＡＣＳサーバ等のネットワークアクセス制御サーバは、通常、多くのメーカの周知のフレーム／パケットベースのネットワーク施設と相互運用できる。アクセス制御サーバは、通常、各ＩＰ対応機器に定期的にＳＮＭＰポールアウト信号を送信し、各機器の正常性及びネットワーク接続を検証する。ＳＮＭＰポーリングは、ネットワーキング技術の分野において周知である。しかしながら、従来のネットワークアクセス制御サーバは、物理的アクセス制御機器をサポートする能力を有しておらず、物理的セキュリティサーバ、物理的セキュリティ管理ステーション、ドア制御パネルと相互運用できず、ＡＣＰ機能を提供することができない。更に、従来のネットワークアクセス制御サーバは、物理的／施設アクセスイベントを検知することができない。
【００３０】
ネットワークセキュリティサーバは、通常、システム構成及び管理に関連する様々な機能を提供する。これらのサーバは、多くの場合、バックエンド課金及びアカウンティング、イベント記録及びユーザインタフェース通信を提供する。ネットワークセキュリティサーバは、多くの場合、リアルタイムのネットワークアクセス制御サービスを提供するネットワークアクセス制御サーバと通信する。従来のネットワークセキュリティサーバは、物理的セキュリティアクセス制御機能をサポートせず、更に、物理的アクセスセキュリティイベントを検知できない。
【００３１】
なお、他のネットワークセキュリティ機能は、ネットワークインフラストラクチャの一部であってもよい。これらの機能及びサービスには、ファイアウォールサービス、ＶＰＮ暗号化／復号、ネットワーク侵入検知サービス等が含まれるが、これらは、通常、初期のログオン認証及びネットワークアクセスの認可については、ネットワークアクセス制御サーバに依存している。幾つかの場合、これらのサービスは、ネットワークインフラストラクチャ機器に統合できる。更に、ＮＩＤは、プロキシとして機能でき、又は幾つかのＡＡＡ機能を提供する。
【００３２】
ネットワーク管理ワークステーションは、ネットワーク管理及び運営要員によるアラーム監視及び包括的ネットワーク運用管理を提供する。ネットワーク管理ワークステーションは、遠隔サイトにあってもよく、幾つかの異なる施設に分散されていてもよい。
【００３３】
図２は、典型的な従来のネットワークアクセス制御システムの構成を示している。ネットワークは、物理的な位置には拘束されない。ネットワークは、幾つかのネットワークエッジ機器（network-edge device：ＮＥＤ）１５０、例えば、コンピュータ１５１、ネットワーク電話機（例えば、ＩＰ電話機）１５２、ネットワークカメラ１５３、ネットワークに接続された入出力装置（例えば、ＰＯＳ（point of sale）端末装置、製造プロセス制御センサ及び機械等）１５４を備え、これらは、ネットワーク接続が可能であれば仮想的に如何なる場所にも位置できる。
【００３４】
ＮＥＤ１５０は、通常、ネットワークインフラストラクチャ機器（network infrastructure device：ＮＩＤ）１５５に直接接続される。ＮＩＤ１５５は、一般的にルータ、スイッチ及び／又は無線アクセスポイントである。ＮＩＤ１５５は、最終的に他のＮＥＤの集合である様々な他のネットワークリソース１５６、アプリケーションサーバコンピュータ、又は他のネットワーク接続された通信機器（すなわち、ＩＰ電話機、ビデオカメラ等）へのアクセスをＮＥＤ１５０に提供し、インターネットアクセスを含むことができる。様々なＮＥＤ１５０又は他のネットワークリソース１５６の間に位置する複数の相互接続されたＮＩＤがあってもよい。ＮＩＤ１５５は、ネットワークアクセス制御サーバ（ＮＡＣＳ）１５７、ネットワーク管理ワークステーション１５８又はネットワークセキュリティサーバ１５９に直接又は他のＮＩＤを介して間接的に接続される。ネットワーク機器１５７〜１５９は、ＮＥＤ１５０から遠隔に位置してもよく、ネットワーク管理センタ又はデータセンタ等に集中的に配設されていてもよい。
【００３５】
ネットワークアクセス制御要求イベントが発生した場合、例えば、あるユーザがコンピュータを図２のネットワークに接続することを望んだ場合、コンピュータは、ネットワークアクセス（ログオン）要求を生成しなければならない。例えば、コンピュータ１５１は、ユーザが、コンピュータのキーボードを介して、ユーザ名及び予め割り当てられているパスワードを入力することを促すためのボックスを表示する。これらの電子認証情報（ユーザ名及びパスワード）は、ネットワークインフラストラクチャ機器１５５に送信され、ネットワークインフラストラクチャ機器１５５は、ネットワークアクセス制御サーバ１５７にこの電子認証情報を渡す。
【００３６】
ネットワークアクセス制御サーバ１５７は、有効なネットワーク認証情報リストと比較することによって、ユーザ認証情報を検証する。また、ネットワークアクセス制御サーバ１５７は、関連するネットワークアクセスポリシをチェックし、認証情報のホルダが、ユーザが要求されたネットワークリソース１５６又は他のネットワークリソースにアクセスするための全ての適用可能なポリシに適合しているか否かを判定する。ネットワークアクセス制御リスト及び関連するポリシは、ネットワークアクセス制御イベントの以前にサーバに保存されている。
【００３７】
有効なユーザ名は、人的資源データベースによって提供され、アクセスイベントの以前に、ネットワークアクセス制御サーバのリストに保存されている。所定のユーザ名のためのパスワードは、ＡＣＳユーザコンフィグレーションインタフェース又は他の何らかのネットワーク管理サーバからのエントリを介して、リストに事前に入力されている。所定のユーザのためのネットワークリソースアクセスポリシは、組織的なポリシに基づいて、ネットワークマネージャを介して割り当てられる。
【００３８】
ユーザ名及びパスワードがネットワークアクセスリスト／テーブル内のエントリに一致する場合、ネットワークアクセス権がユーザに与えられる。この権利に関する情報は、ネットワークに接続された他のリソース１５６へのアクセス（例えば、様々なアプリケーションを有するサーバ、インターネット等へのアクセス）を提供する様々なネットワークインフラストラクチャ機器１５５に送信される。これにより、ユーザは、要求したリソースにアクセスできる。ユーザ名及びパスワードがネットワークアクセスリスト内のエントリに一致しない場合、更なる情報を入力する他の機会をユーザに提供してもよく、或いは、他のネットワークアクセス要求が生成されるまでの所定の期間、ネットワークエッジ機器１５０への接続を切断するようにＮＩＤ１５５に指示してもよい。ネットワークアクセス制御サーバ１５７は、ネットワークアクセス要求の妥当性にかかわらず、要求及び結果のログを記録する。このログは、ネットワーク管理要員が直接アクセスしてもよく、ネットワーク管理ワークステーション１５８に送信してもよい。また、検証されたネットワークアクセス要求は、ネットワークアクセス制御サーバ１５７からネットワークセキュリティサーバ１５９に送信してもよい。
【００３９】
上述したように、ある物理的セキュリティシステムの構成要素から他の物理的セキュリティシステムの構成要素に情報を伝えるためにイーサネット／ＩＰ接続を基本にしたネットワークに接続する幾つかの物理的セキュリティシステム及び幾つかの物理的セキュリティシステムの構成要素が設計されている。しかしながら、これらのイーサネット／ＩＰ接続された物理的セキュリティシステムの構成要素は、例えば、ＡＡＡ又はネットワークアクセス制御サーバ等のフレーム／パケットネットワークのリソースの全てを利用できるわけではなく、更に、ネットワークアクセスイベントを検知できない。
【００４０】
例えば、図３のブロック１２５に示す旧型の物理的セキュリティ機器アクセスゲートウェイは、様々なアクセス制御システム機器ベンダのシグナリングフォーマット及びプロトコルを他のアクセス制御システムベンダのコンポーネントフォーマットに変換することができる。これらのゲートウェイは、異種の物理的セキュリティベンダシステムの構成要素間における、より優れた相互運用性を提供し、フレーム／パケットベースのネットワークを介して物理的セキュリティ情報を送信することを可能にするが、しかしながら、これらのゲートウェイでは、ネットワークアクセス制御サーバは、物理的／施設アクセス制御機器を制御できない。先に図１を用いて説明したように、ここでも、ＡＣＰは、認証情報を検証する必要がある。
【００４１】
また、幾つかの従来のＤＣＰ（図４に示すブロック１２９）及び幾つかのアクセス制御機器（例えば、図５にブロック１３１として示すバッジリーダ）は、イーサネット等のフレーム／パケットベースのネットワーク接続をサポートできる。関連するＡＣＤから情報がＤＣＰに渡されると、ＤＣＰは、データを収集し、パケット又はイーサネットフレームのペイロード部分にデータを挿入した後、ローカルイーサネットネットワーク又は他の有線又は無線パケットネットワーク上のエッジルータに送信する。
【００４２】
物理的セキュリティアクセスゲートウェイと同様に、これらのネットワーク接続可能なＤＣＰ及びＡＣＤは、物理的セキュリティ情報をフレーム／パケットベースのネットワークに亘って伝送しながら、物理的アクセス制御システムの方向において、認証情報を検証し、これらの認証情報に基づくポリシに基づく動作を強制することができる。すなわち、ＤＣＰ及びＡＣＤは、物理的セキュリティサーバ又は物理的アクセス制御パネルからアクセス制御リスト及びポリシ更新を受信する。これらのネットワーク接続可能なＤＣＰ及びＡＣＤは、ネットワークアクセス制御／ＡＡＡサーバからは更新を受信せず、更に、ＤＣＰ及び／又はＡＣＤは、ネットワークアクセスイベントを検知できない。
【００４３】
これらの従来のネットワーク接続されたアクセス制御ゲートウェイ、ＤＣＰ及びＡＣＤは、通常、初期の導入時に、単一のサブネットを介して通信する（物理的アクセスイベントをブロードキャストする）ように構成され、したがって、物理的アクセス制御システムの管理下の機器の数は、限定的である。しかしながら、幾つかのネットワーク接続された物理的アクセス制御ゲートウェイ、ＤＣＰ及びＡＣＤは、ルーティングされたインタフェースを介する相互接続のために、ＡＣＰのネットワークアドレス、物理的アクセス制御サーバのネットワークアドレス又はデフォルトネットワークアクセスゲートウェイのアドレスを用いて構成してもよい、なお、デフォルトネットワークアクセスゲートウェイは、当分野では、ドメインネームサーバ（domain name server：ＤＮＳ）と呼ばれることが多い。このゲートウェイによって、より多くの数の物理的アクセス制御コンポーネントを単一のＡＣＰ／物理的アクセスポリシサーバによる管理下に置くことが容易になる。
【００４４】
なお、施設及びネットワークリソースの両方について、アクセス制御プログラムを協同的に管理し、統合することができないことは、企業の機密保持の総合的な効率性を低下させていると考えられる。例えば、単に、スマートカード技術を用いて、物理的セキュリティアクセス制御認証情報及びネットワークアクセス制御認証情報を統合することは、物理的アクセス制御システム及びネットワークアクセス制御システムを統合し、又はネットワークアクセス制御ポリシを物理的セキュリティアクセス制御ポリシに結合させ、或いはこの逆を実現することには殆ど貢献しない。したがって、施設アクセスシステム及びネットワークアクセスシステムの両方を入念に監視及び管理したとしても、物理的セキュリティポリシ及びネットワークセキュリティポリシが連動していないために、組織は、不正なアクセス又は詐称による被害を受けやすい。
【００４５】
ネットワークセキュリティの観点からは、物理的アクセスとネットワークアクセスとを結びつけることができなければ、ネットワークシステムが脆弱になり、ネットワークシステムのオーナは、重要な秘密又は機密情報が漏洩し、又はネットワーク自体にダメージが与えられる危険に晒される。この脆弱性の一例として、例えば、ある従業員が、終業時にコンピュータをログアウトし忘れて帰宅したとする。この従業員が帰宅した後、コンピュータは、ネットワークに接続されたままであり、会社内にいる人は、ネットワークにアクセスする権限がなくても、コンピュータを使用することができる。認証されたユーザが施設からいなくなった後は、使用者がいなくなった端末装置をネットワークに接続したままにすることは望ましくない。ネットワークアクセス制御サーバが「バッジングアウト（badging-out）」又は顔認識ビデオ監視を介してユーザの施設退場記録にアクセスできれば、使用者がいなくなったコンピュータのネットワークアクセスを終了させ、脆弱性を排除することができる。
【００４６】
施設に関連する認証された全てのユーザにネットワークアクセスを提供するポリシを単に確立するだけでは、前述した脆弱性の問題を解決できない。また、警備会社にアウトソーシングされた警備員を含む管理人が、清掃及びメインテナンスのために、建造物に出入りすることは許可されるが、このように施設の出入りを許可されている管理人がネットワークリソース及び知的財産にアクセスすることを禁止する必要がある場合もある。
【００４７】
物理的安全性及びセキュリティに関連する他の脆弱性に関する具体例として、１つ以上の施設及びネットワークへのアクセスが許可されているユーザが、他の認証されたユーザが施設に入る際、グループとして、この他の認証されたユーザの後ろに続いてドアから施設に入る（このような行為を「テールゲーティング（tailgating）」と呼ぶ）場合がある（例えば、テールゲーティングを行った者は、検証のための自らの認証情報を提示してない）。テールゲーティングが行われると、施設の保安要員は、現在、施設内に誰がいるかを正確に判定できなくなる。したがって、正しい手順を経て施設に入っていない者が施設内のコンピュータにログインした場合、企業の保安要員は、何が起こったかを判定する必要がある。更に、例えば、火事又は爆発等の非常時には、施設内に残っている者を速やかに安全に非難させるために、保安要員及び救急隊員は、施設内のどこに誰がいるかを把握する必要がある。物理的セキュリティアクセス制御及びネットワークセキュリティアクセス制御が統合されていないと、物理的安全性及びセキュリティの責任者は、建造物内にいる可能性がある人物を包括的に判定するために、物理的セキュリティログ及びネットワークアクセスログの両方を調べる必要がある。
【００４８】
ネットワーク機密保護違反及び知的財産の剽窃の多くは、遠隔位置から行われる。ネットワークオペレータは、所定のネットワーク接続からのアクセスを所定のネットワークリソースに制限することができる筈であるが、所謂コンピュータ「ハッカー」は、ハッカー又はユーザが「認証された」ネットワーク接続に接続されているかのようにネットワークアクセス制御サーバ及びＮＩＤを騙すことができるので、様々なネットワーク機密保護違反が生じる。物理的アクセス制御サーバ管理ログにネットワークアクセスポリシをリンクできれば、最近に提示された有効な物理的アクセス認証情報によって、承認された施設又は部屋内のユーザの物理的な位置の交差検定（cross-validation）が実現される。これにより、盗難又は「ハック」されたパスワードだけでは、ネットワークリソースにアクセスできなくすることができる。
【発明の開示】
【課題を解決するための手段】
【００４９】
本発明は、物理的セキュリティ（アクセス制御）及びネットワークアクセスシステムを統合し、新たなセキュリティポリシを実現し、物理的セキュリティ及びネットワークセキュリティの両方を向上させることができるアクセス制御システム及びアクセス管理方法を提供する。従来の物理的セキュリティシステム及びネットワークセキュリティシステムの課題を解決するために、本発明は、統合アクセス制御システム及びアクセス制御方法を提供する。本発明の特徴及び利点は、以下の詳細な説明及び添付の図面から明らかとなる。
【発明を実施するための最良の形態】
【００５０】
本明細書では、本発明の実施の形態の理解を容易にするために、例えば、コンポーネント及び／又は処理の具体例として、多数の具体的な詳細事項を開示する。しかしながら、本発明の実施の形態は、上述した具体的な詳細事項の１つ以上を欠いても、他の装置、システム、アセンブリ、処理、コンポーネント、材料、部品等を用いても実現できることは当業者にとって明らかである。更に、本発明の実施の形態の特徴を不明瞭にしないために、よく知られている構造、材料又は動作については、特別に示さず、詳細に説明していない。
【００５１】
図６は、本発明の一実施の形態として、ネットワーク及び物理的施設アクセスのための統合アクセス制御サーバ（以下、単にサーバとも言う。）２００を示している。サーバ２００は、統合された物理的アクセス及び／又はネットワークアクセスを制御するために、旧型物理的セキュリティシステム２０２及びフレーム／パケットネットワーク２０４の両方に接続されている。このシステムは、建造物、家屋、物的なインフラストラクチャ、並びに情報及びネットワークシステムへのアクセスを監視及び制御するために用いることができる。サーバ２００は、認証情報検証及び関連するポリシ、並びに物理的施設及びネットワーク対応機器のためのポリシ強制を統合する。この統合によって、物理的セキュリティ及びネットワークセキュリティの両方が強化された新たなセキュリティポリシが実現される。これらのポリシは、物理的アクセス制御システム及びネットワークアクセス制御システムの両方におけるセキュリティホールを排除し、施設アクセスシステム及びネットワークアクセスシステムの両方が適切に監視及び管理されることを確実にする。このようにして、不正使用又は過失に起因する脆弱性を最小化することによって、組織的なセキュリティが向上する。
【００５２】
統合アクセス制御サーバ２００は、アクセス制御パネル及びネットワークアクセス制御サーバを不要にし、これらの機器によってサポートされていた有効な認証情報リスト及びアクセスポリシをテーブル内に維持する。また、サーバ２００は、全てのアクセスポリシを強制する。更に、統合アクセス制御サーバ２００は、物理的アクセスイベント及びネットワークアクセスイベントを監視し、関連付け、結合して、物理的アクセス制御ポリシ及びネットワークアクセス制御ポリシの両方を強化することができる。
【００５３】
図７Ａは、本発明の一実施の形態を示している。本発明に基づくアクセス制御システムは、施設及びその物理的及びネットワークリソースを制御及び／又は監視するために使用されている。本発明では、１つ以上のアクセス制御機器（access control device：ＡＣＤ）１１０及びコンピュータ１５１、又は他のネットワークエッジ機器は、それぞれ、施設及びそのネットワークの一部であると仮定する。一般的なアクセス制御機器としては、カードリーダ、バイオメトリックセンサ、カメラ、アラーム動きセンサ及び電気機械式ドアロック等がある。各ＡＣＤ１１０は、ドア制御パネル（door control panel：ＤＣＰ）１１９に接続され、ＤＣＰ１１９は、パケット／フレームに準拠するアクセス制御ゲートウェイ１２５に接続されている。アクセス制御ゲートウェイ１２５によって、物理的アクセス制御システムに更なる変更を加えることなく、先に施設内及び施設周辺に設置されていた旧型のＡＣＤ及びＤＣＰを本発明と共に使用することができる。アクセス制御ゲートウェイ１２５は、単に、フレーム又はパケットベースのネットワーク２２８を介して旧型ＤＣＰ通信データを送信することを可能にしている。ＤＣＰアクセス要求メッセージは、統合アクセス制御サーバ２００に受信され、アクセス制御サーバ２００によって応答される。
【００５４】
包括的に言えば、統合アクセス制御サーバ２００は、位置、リソースの種類、日時、期間又は他のイベントに基づいて、認証情報を検証し、アクセスポリシを強制し、ネットワーク上の及び物理的施設内の所定のリソースへのアクセスに関する全ての成功した試み及び失敗した試みを記録する。コンピュータ１５１及び／又は他のネットワークインフラストラクチャ機器及び／又はＤＣＰ１１９は、統合アクセス制御サーバ２００が返した指示を実行する責務を有する（例えば、施設において、警報を鳴らす又はドアを開く等）。
【００５５】
また、統合アクセス制御サーバ２００は、アクセス制御監視機能及びアクセス制御イベントをサポートする。保安要員は、施設内で働く者及び情報資産をより包括的に保護するために、リアルタイムの情報を用いて、物理的リソース及びネットワークリソースへのアクセスを同時に監視及び管理できる。
【００５６】
なお、統合アクセス制御サーバ２００は、例えば、イーサネットネットワーク又はインターネット等のフレーム／パケットベースのネットワーク２８を介して、ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１の両方と通信を行う。ネットワークセキュリティサーバ１５９は、新たな機器がネットワークに追加された場合、これらの機器の参加を制御し、新しい及び期限切れのユーザ認証情報を管理する。ネットワークアクセスポリシが改訂されると、改訂されたポリシは、ネットワークセキュリティサーバ１５９から統合アクセス制御サーバ２０と、ミラーサーバがある場合、ミラーサーバとに転送される。同様にユーザ認証情報が更新されると、この情報は、統合アクセス制御サーバ２００に伝播される。物理的セキュリティアクセス制御システムの観点からは、物理的セキュリティサーバ１２１は、追加された新たな物理システムユーザの参加を制御すると共に、新たな及び期限切れのユーザ認証情報の管理を続ける。物理的アクセス制御ポリシが改訂されると、改訂されたポリシは、物理的セキュリティサーバ１２１から統合アクセス制御サーバ２００に転送される。このように、統合アクセス制御サーバ２００は、以前はネットワークアクセス制御サーバに関連していた全ての機能を提供し、物理的アクセス制御認証情報を検証し、以前はアクセス制御パネルが提供していた有効な関連する物理的アクセス制御ポリシを強制する。
【００５７】
アクセス制御イベントは、ユーザ又はコンピュータによるネットワークアクセス要求であってもよく、ユーザによる施設のドア又はオフィス、物置又は実験室等の部屋へのアクセス要求であってもよい。一例として、統合アクセス制御サーバ２００が、フレーム／パケットベースのネットワーク２２８を介して、アクセス制御ゲートウェイ２２５に接続されているコンピュータ１５１又はＤＣＰ１１９からアクセス要求メッセージを受信すると、統合アクセス制御サーバ２００は、認証情報の妥当性、要求側機器又は要求者の位置を検証し、提供された情報に基づいて、特定のポリシを実行することによってアクセス要求メッセージに応答する。このアクセス制御ポリシの実行の結果、対応するアクセス制御応答が、フレーム／パケットベースのネットワーク２２８を介して、アクセス制御ゲートウェイ１２５に接続されたコンピュータ１５１又はＤＣＰ１１９に返される。
【００５８】
更に、本発明は、物理的アクセスイベントをネットワークアクセスイベントに結合する新たなポリシを生成及び実施することによって、新たな機能を実現する。例えば、ネットワークへのログインイベントの前に、所定のユーザがネットワークリソースにアクセスするために、統合アクセス制御サーバは、そのユーザが特定の部屋又は建造物内で、過去１時間以内に好ましい物理的アクセス検証を受けていることを要求するポリシを強制できる。更に、従業員がオフィス又は施設を退出する際、バッジリーダ又はビデオ監視カメラ及び顔認識装置が生成する物理的施設退出要求イベントに基づいて、ネットワークアクセスを終了させることができる。これにより、認証されたユーザが施設から退出した後に、使用者が不在のネットワーク接続が開かれたまま放置されることを確実に防止することができる。このように、物理的アクセスイベント及びネットワークアクセスイベントを結びつけることによって、ネットワークアクセス保護が強化される。また、このようなポリシによって、遠隔地又は別の場所から、権限のないパーティがネットワークにアクセスする可能性を低減することができる。更に、ネットワークアクセスのための前提条件として、物理的アクセス検証の処理を行うことによって、妥当な認証情報の所有者に対し、「テールゲーティング」によって施設に入場しない強い動機を提供する新たなポリシを実現できる。
【００５９】
物理的アクセスログ及びネットワークアクセスログの両方への統合されたアクセスを提供することによって、物理的セキュリティ及びネットワークセキュリティの両方を強化できる。例えば、ユーザが所定の建造物内で物理的アクセスイベントを生成してから、長い時間が経過している場合、例えば、統合アクセス制御サーバのネットワークアクセス／活動ログ部分を調べることによって、ユーザの存在を検証してもよい。この処理は、緊急事態において所定のユーザの居場所を特定する際にも役立つ。補足的な特徴として本発明により、ネットワークアクセスが確立された際に、物理的アクセスイベントが以前に登録されていなくても、特定の場所から物理的アクセスログを更新することができる。
【００６０】
統合アクセス制御サーバ（例えば、関連するテーブル又はリストを用いる認証情報検証及びポリシ強制エンジン）によって提供される更なる利点及び利益として、施設に入ることは許可されているが、ネットワークにアクセスすることは許可されていない契約者、パートナー、コンサルタント及び臨時従業員によるネットワークアクセスを拒否することができる。雇い主は、限定的ではあっても、部外者が重要なシステムにアクセスできるという危険性を過小評価している場合が多い。ポリシエンジン及び関連するテーブル又はリストを有する統合アクセス制御サーバの更なる利点として、現在は組織で働いていない退職した従業員又は他の不正使用者が、裏口から直接、又は以前の同僚を介して間接的にネットワークベースの情報資源にアクセスするといった問題を解決することができる。これらの不正使用者は、雇い主との対立又は解雇を予想して、代替のパスワードを作成することによって、又は、単に、後に接続して使用するために、ネットワークインフラストラクチャ上に情報を保存しておくことによって、ネットワークへの裏口からのアクセスを準備することがある。統合アクセス制御サーバでは、ネットワークアクセスは、施設内の認証された物理的所在に関連付けることができる。
【００６１】
動作的な観点からは、ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１は、それぞれ、ネットワークセキュリティ及び物理的セキュリティ管理者が定義したアクセス制御ポリシと、認証情報及び全てのアクセス制御要求者のアイデンティティに関する情報とを維持し続ける。なお、認証情報の検証及びポリシの強制に関して、統合アクセス制御サーバでは、従来のアクセス制御パネル及び従来のネットワークアクセス制御サーバをメインテナンスするために必要な合計時間より、メインテナンス時間を短くすることができる。単一の統合アクセス制御サーバ２００は、ＡＣＰ及びネットワークアクセス制御サーバの両方として機能し、両方のシステムの階層構造が単純化され、物理的アクセス制御システム及びネットワークアクセス制御システムの導入及び維持コストを最小化することができる。
【００６２】
本発明によって、ユーザ／個人データを効率的にメインテナンスでき、リソースアクセスのためのより一貫性がある、大規模な規則の集合が実現され、施設への物理的アクセス及びネットワークアクセスの両方の安全性が強化される。
【００６３】
更に、幾つかの場合、統合アクセス制御サーバによって、物理的アクセスセキュリティサーバ及びネットワークアクセスセキュリティサーバを使用しなくて済む場合もある。このためには、統合アクセス制御サーバは、追加的なセキュリティサーバ機能を実装する必要があるが、これにより、統合アクセス制御サーバに関連する動作上の効率が高められる。図７Ａに示すように、本発明の実施の形態の最小化された構成では、物理的セキュリティサーバ１２１及びネットワークセキュリティサーバ１５９のそれぞれ及び統合アクセス制御サーバ２００は、単一のプラットホームに統合してもよく、同時に動作する複数のプラットホームに分散させてもよい。
【００６４】
図７Ｂのブロック図に示す他の実施の形態においては、コンピュータ１５１及び複数のＡＣＤ１１０は、ネットワーク接続されたＤＣＰ２２９に接続されている。ＤＣＰ２２９は、ＡＣＤからデータを収集し、データをパケット化し、フレーム／パケットベースのネットワーク２８を介して、統合アクセス制御サーバ２００にパケットを送信する。統合アクセス制御サーバ２００は、関連するアクセス制御ポリシに基づく制御情報を返す。図７Ａに関連して先に説明した具体例と同様に、本発明は、物理的アクセス制御パネル及びネットワークアクセス制御サーバの両方を置換し、アクセス制御サーバ２００に関連する上述した更なる利点及び利益を提供することによって、図７Ｂの実施の形態における同様の機能をサポートする。
【００６５】
図７Ｃは、本発明の更に他の実施の形態を示している。この場合、各ＡＣＤ２３１は、ネットワークに接続され、インフラストラクチャネットワークであるフレーム又はパケットベースのネットワーク２２８を介して、統合アクセス制御サーバ２００と通信する。図７Ａに関連して先に説明した具体例と同様に、本発明は、図７Ｃ実施の形態に関して、同じ機能をサポートでき、統合アクセス制御サーバに関連する上述した更なる利点及び利益を提供することができる。なお、ＡＣＤ１１０、ＤＣＰ１１９、ゲートウェイ１２５、ＤＣＰ２２９及びＡＣＤ２３１の様々な組合せを１つの統合されたシステムに共存させることができる。更に、統合されたシステムは、１つの建造物内に導入してもよく、複数の施設に亘って導入してもよく、この場合、各施設は、ネットワーク接続されたＡＣＤ、旧式の機器又はネットワーク接続されたＡＣＤ及び旧式の機器の組合せを備えていてもよい。
【００６６】
図７Ａ〜図７Ｃに示す実施の形態では、例えば、コンピュータ１５１等のコンピュータ装置は、インフラストラクチャネットワークであるフレーム又はパケットベースのネットワーク２２８にも接続される。典型的な応用例では、数百個又は何千個ものコンピュータ装置、例えば、パーソナルコンピュータ、ＩＰ対応電話機、又は他のネットワーク接続されたコンピューティング装置は、インフラストラクチャネットワークであるフレーム又はパケットベースのネットワーク２２８に接続され、１つの施設内に位置していてもよく、世界中の複数の施設に位置していてもよい。統合アクセス制御サーバ２００は、施設に入ること及びネットワーク接続機器を使用することの両方を許可されたユーザによるネットワークリソースへのアクセスを制御する。統合アクセス制御サーバ２００は、ネットワーク及び物的資源の両方に関する統合されたアクセスポリシを実現する。
【００６７】
統合アクセス制御サーバにネットワーク機器を登録する処理は、従来のネットワークアクセス制御サーバがサポートする処理の手法とは、僅かに異なる。ネットワーク接続された物理的アクセス制御ゲートウェイ又はネットワーク接続されたＤＣＰ又はＡＣＤは、統合アクセス制御サーバと共に使用されることが前提条件であり、これらのゲートウェイ、ＤＣＰ及びＡＣＤは、周知の何らかの手法によって、統合アクセス制御サーバ２００に登録される。統合アクセス制御サーバは、ゲートウェイ、ＤＣＰ及び関連するＡＣＤが導入され、例えば、ＡＲＰ要求等の周知のネットワークプロトコルを介してネットワークに接続される際に、これらの機器のＩＰ及び／又はＭＡＣアドレスを記録する。ネットワーク接続されたＡＣＤ、ＤＣＰ及びゲートウェイは、ネットワーク接続されたＡＣＰ／物理的セキュリティサーバと通信する際と同様の手法で、統合アクセス制御サーバのアドレスによって、手動又は自動的に構成され、又はデフォルトネットワークアドレスゲートウェイ（例えば、ＤＮＳサーバ）を用いて構成される。
【００６８】
更に、統合アクセス制御サーバは、離散的な物理的アクセス制御システム及びネットワークアクセス制御システムに分散して実現してもよい。統合アクセス制御サーバは、単に従来のアクセス制御パネル機能又は従来のネットワークアクセス制御サーバ機能をそれぞれサポートしてもよい。旧型の物理的アクセス制御システムにおいて、統合アクセス制御サーバを導入する場合、統合アクセス制御サーバが様々な物理的アクセス制御機器と通信するために、図７Ａ〜図７Ｃに示すようなネットワーク接続された物理的アクセス制御コンポーネントが不可欠となる。
【００６９】
他の実施の形態では、共通のフレーム／パケットベースのネットワークインフラストラクチャを使用する施設内に存在する他のポリシベースのビル管理装置は、従業員が施設内のどこにいるかに関する情報に基づいて、施設内の領域又は部署における環境制御（例えば、冷暖房ポリシ、照明ポリシ等）を実行する。同様に、従業員が所定の領域を出ると、環境制御を中止することができる。また、これらの機器には、例えば、施設内の各所に配設されている煙センサ又はアラーム、非常用電話機、又は非常ボタン等の更なるセキュリティ及び安全装置が含まれる。統合アクセス制御サーバは、適切なポリシを検証し、強制でき、これらの他のビル管理機器に応答する。
【００７０】
コンピュータネットワークへのユーザのアクセス権を維持する統合アクセス制御サーバ（認証情報検証、ポリシ強制エンジン及び関連するテーブル又はリスト）は、施設及び他の施設機能（例えば、ＨＶＡＣ及び照明）へのアクセス権を判定する際に使用されるテーブルと同じテーブルを使用してもよい。この統合アクセス制御サーバは、多くの利点の１つとして、メインテナンスの必要性及び動作のオーバヘッドを最小化することができる。統合アクセス制御サーバは、物理的なイベントをネットワークリソースにおけるイベント又はアクセスに結びつけ、及びこの逆を行うポリシサーバとして機能する。ポリシベースの機器の統合によって、物理的セキュリティの他の側面も統合される。
【００７１】
統合アクセス制御サーバ２００は、図７Ａ〜７Ｃでは、単一の機器として示しているが、１つ以上のサーバが同時に動作する分散型又はミラー型のサーバとして実現してもよい。アクセス制御サーバ機能並びに関連するテーブル及び／又はリストは、信頼性、存続性又は又は応答時間を向上させるために、様々なサイトにミラー化してもよい。更に、テーブル及び／又はリストは、各施設において、従来の装置にアクセス制御情報を保存する場合と同様の手法で、フラッシュメモリ又は他の更新可能な持続的メモリに保存してもよい。幾つかの実施の形態では、ミラー化されたテーブルは、プライバシ及び他の安全性を配慮して、マスタテーブルに保存されている情報の下位集合から構成してもよい。
【００７２】
また、統合アクセス制御サーバは、単一の統合アクセス制御サーバが複数のネットワークアクセス制御サーバ又は物理的セキュリティアクセス制御パネルのように動作するための「仮想化された」機能を提供できる。この機能は、住居及び企業のセキュリティ監視サービスのためにアウトソーシングされた物理的、ネットワークセキュリティ監視及び管理業者にとって有用である。物理的セキュリティバッジは、ユーザにバッジを発行するエンティティ、すなわち、ユーザ及びバッジに関連する組織に関する追加的情報を含むことが一般的である。したがって、仮想化された統合アクセス制御サーバは、この追加的情報を用いて、特定の組織及びアクセス制御されているリソースに関連しているアクセス制御テーブル及びポリシの一部を速やかに分離することができ、例えば、実際には、関連するリスト及びポリシは、多くの異なる組織のエントリを含む完全な統合アクセス制御サーバのテーブルの下位集合であるが、テーブル及びサーバが１つの組織について「仮想的に」専用なものとなる。
【００７３】
統合アクセス制御サーバは、複数の施設へのユーザアクセスを制限するアクセスポリシを実現する。一旦、ユーザが所定の施設内に入ることが許可されると、統合アクセス制御サーバは、施設のネットワークリソースへのアクセスを規制する。換言すれば、統合アクセス制御サーバは、複数の施設において、共通のアクセスポリシを実現することができ、又は各施設において、異なるアクセスポリシを実現することもできる。
【００７４】
統合アクセス制御サーバ２００に関連するテーブルは、物理的セキュリティアクセス制御システム及びネットワークアクセス制御システムの両方をサポートするための情報を含む。このテーブルは、以下に限定されるわけではないが、所定の施設又はリソースへの物理的アクセス及び／又はネットワークリソースアクセスが許可されているユーザの完全な又は部分的なリスト、ユーザ識別番号、日時、曜日、ネットワークアドレス、生体照合情報、認証コード及びこれらに類する情報、並びに物理的アクセス制御ポリシ情報及びネットワークアクセス制御ポリシを含む。更に、テーブルは、物理的アクセスイベント及びネットワークアクセスイベントの両方が共同で監視又は統合されている場合のみに実現することができる新たなポリシを含むことができる。
【００７５】
図８に示す他の実施の形態においては、統合アクセス制御サーバの機能は、ブロック３００によって示すように、１又は複数のネットワークインフラストラクチャ機器（すなわち、ルータ、スイッチ、無線アクセスポイント）に統合されている。具体的には、物理的アクセス及びネットワークアクセスの制御のための統合されたアクセス制御ポリシ及び関連するテーブル／リストは、１つ以上の様々なネットワークインフラストラクチャ機器によって統合及びサポートされる。ネットワーク内に配設されているこれらの機器においてアクセス制御テーブル／リスト、認証情報検証及びポリシ強制エンジンを統合することによって、更なるアクセス制御サーバを追加することなく、アクセス制御システムに更なるレベルの冗長性を追加することができる。この統合によって、ネットワークアクセス制御及び物理的アクセス制御システムに必要な複数の機器を統合できる。また、これは、導入及び持続的なメインテナンスを含む運用面でも有効である。
【００７６】
統合アクセス制御サーバのテーブル、認証情報検証及びポリシ強制エンジンは、様々な手法で機能的に実現することができる。一実施の形態においては、物理的アクセス制御及びネットワークアクセス制御テーブルは、認証情報検証及びポリシ強制エンジンがアクセスする単一のテーブルに統合される。統合アクセス制御サーバの他の実施の形態では、物理的アクセス制御及びネットワークアクセス制御テーブルを別個に維持し、２つ以上のアクセス制御認証情報及びポリシテーブルを同時に連続的に参照するために、認証情報検証エンジン及びポリシ強制エンジンを必要とする。両方又は全てのテーブルの参照結果に基づき、これらのエンジンは、調停ロジックを用いて、適切な物理的又はネットワークアクセス応答を検証し、決定する。
【００７７】
また、この調停ロジックを用いて、「グローバル」アクセス制御ポリシと「ローカル」アクセス制御ポリシと間の矛盾を解決することもできる。例えば、グローバルポリシは、政府の指示に従って確立することでき、例えば、政府の秘密取扱許可（security clearance）を受けている認証されたユーザのみが所定のネットワークリソースにアクセスできるようにしてもよい。一方、「ローカル」ポリシは、施設内に物理的に存在する全てのユーザが、ユーザの如何にかかわらず、これらの同じネットワークリソースにアクセスすることを許可している場合がある。このローカルポリシは、例えば、施設内にいる全てのユーザは、正当な秘密取扱許可を受けているとの仮定に基づいている。したがって、政府による秘密取扱許可を受けていない他の場所からのユーザが、この「ローカル」アクセスポリシが有効にされているローカルの施設に訪れ、このユーザが制限されたリソースにアクセスすることを試みた場合には、グローバルアクセスポリシとローカルアクセスポリシとの間に矛盾が生じる。このような場合には、統合アクセス制御サーバの調停ロジックは、グローバルポリシを優先させて、アクセス要求を適切に拒否する。
【００７８】
統合アクセス制御サーバ又はエンジンは、ライトウェイトディレクトリアクセスプロトコル（Lightweight Directory Access Protocol：ＬＤＣＰ）、開放型データベース接続（and Open Database Connectivity：ＯＤＢＣ）、ユーザ認証サポート、拡張認証プロトコルトランスポートレイヤセキュリティ（Extensible Authentication Protocol Transport Layer Security：ＥＡＰ−ＴＬＳ）を含む８０２．１Ｘ認証、プロテクテッドＥＡＰ（Protected EAP：ＰＥＡＰ）、シスコＬＥＡＰ、セキュアトンネリングを介するＥＡＰフレキシブル認証（EAP-Flexible Authentication via Secure Tunneling：ＥＡＰ−ＦＡＳＴ）及びＥＡＰ−メッセージダイジェストアルゴリズム５（EAP-Message Digest Algorithm 5：ＥＡＰ−ＭＤ５）等のある種の規格によって、又はこれらの規格に互換性を有するように実現することができる。また、統合アクセス制御サーバ又はエンジンは、何らかのネットワークアクセス機器のためにアクセス制御リストをダウンロードする機能も備える。
【００７９】
図９は、図６に示す例示的な構成要素を用いて、組織の総合的な物理的及びネットワークのセキュリティ体制を強化するために統合された物理的及びネットワークアクセス制御システムが行う一連のイベント及び動作を示している。以下の例示的なポリシでは、物理的アクセス制御イベントがネットワークアクセスイベントに先行すると仮定する（すなわち、ユーザは、認証情報を提示して施設又は場所に入場し、作業場に進み、企業ネットワークにログインする）。
【００８０】
ユーザは、リーダ又は他のＡＣＤに認証情報を提示する。検出された要求及び関連する認証情報は、１つ以上のパケットによって、アクセス要求メッセージとして統合アクセス制御サーバ２００に送信される。ステップ３８１において、統合アクセス制御サーバ２００は、例示的なテーブルにおいて、電子バージョンの認証情報を調べ、認証を行う（認証情報が有効であるかを判定する）ステップ３８２において、統合アクセス制御サーバ２００は、アクセス制御機器ネットワークアドレスを読み出し、記録し、進行中の物理的アクセス要求イベントと共に、将来のネットワークアクセス要求イベントにおいて、この情報を使用できるようにする。ステップ３８３において、統合アクセス制御サーバ２００は、ステップ３８２において、記録されたＡＣＤネットワークアドレスによって特定された、認証情報及び物理的な位置の特定の組合せについてのアクセスポリシを判定する。この判定の結果、許可又は拒否を示す応答がネットワーク接続されたアクセス制御機器に送信され、認証情報が有効な場合、ポリシは、対応するリソースＡＣＤ機器を介してアクセスを承認し、ユーザは、施設に入場し又はアクセスできる。
【００８１】
そして、ユーザは、コンピュータ１５１又は他のネットワーク接続された通信又はコンピューティング装置に着く。この具体例では、コンピュータ１５１は、ステップ３８１〜ステップ３８３において使用されたＡＣＤの近くにあり、又はこのＡＣＤによる物理的アクセス制御下にある。そして、ユーザは、ネットワークへログオンを要求する。このログオン要求は、ネットワークインフラストラクチャ機器１５５及び統合アクセス制御サーバ２００によって受信される（ステップ３８４）。
【００８２】
ステップ３８５は、ユーザが、所定のネットワークポート（例えば、ステップ３８１〜３８４において使用された物理的なＡＣＤと同じ包括的な物理領域に位置するスイッチ等の特定のネットワークインフラストラクチャ機器上の特定のポート接続）において、ネットワークへのアクセスを要求した際に実行される。この初期のログイン要求は、統合アクセス制御サーバ２００に送信される。統合アクセス制御サーバ２００は、認証情報の検証に基づき、コンピュータのための関連するアクセス制御ポリシを実行する。詳しくは、統合アクセス制御サーバ２００は、ユーザが、現在の位置からネットワークにアクセスすることを許可されていることを検証する。ユーザが施設に入ることを許可されていない場合、又は特定の施設内の所定のコンピュータリソースにアクセスすることを許可されていない場合、アクセスを拒否でき、アラーム又は警報を保安要員に通知できる。ポリシがアクセスを許可する場合、ユーザは、ネットワークコンピュータリソースへのアクセスを許可される。そして、統合アクセス制御サーバ２００は、ステップ３８６において、ネットワークインフラストラクチャ機器（スイッチ等）に対し、このコンピュータにネットワークポリシをダウンロードすることを要求できる。このようにして、本発明は、物理的領域におけるイベントを、企業のネットワークリソース上に生じるイベントに相互に関連付けることができる。
【００８３】
他の施設においてネットワークアクセス及び物理的アクセスをサポート及び制御する異なる統合アクセス制御サーバにユーザプロファイルを転送することが必要な場合もある。例えば、ユーザが異なる施設を訪問する際に、ユーザプロファイルを転送してもよい。本発明は、ユーザ／人員属性に関する共通のデータベースに基づいて動作する統合されたポリシベースのネットワーク及び物理的な構内アクセス制御サーバを実現する。ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１は、施設内のサイト毎に、個人的な嗜好に応じて、単に、ユーザのプロファイルを更新する。この特徴によって、例えば、ユーザの位置及びその位置でユーザが使用する内線端末機に基づいてＶｏＩＰ通信システムデータベースの構成を更新することができる。
【００８４】
図１０は、様々な離散的な物理的アクセスポリシ４０２及びネットワークリソースアクセスポリシ４０６及び物理的施設アクセスリスト４０４、ネットワークリソースアクセスリスト４０８を制御する統合アクセス制御サーバ４００の使用例を示している。統合アクセス制御サーバ４００の一部である統合されたポリシエンジン４１０は、物理的アクセスポリシ及びイベントと、ネットワークポリシ及びイベントとを結びつけるリスト及びポリシの統合点として機能する。また、統合されたポリシエンジン４１０及び統合アクセス制御サーバ４００は、物理的アクセスリスト又はポリシがネットワークアクセス制御リスト及びポリシに論理的に一致しない場合、定義済みデフォルトポリシを提供できる。ポリシエンジン４１０は、施設アクセス又はネットワーク接続機器に対するイベント又はイベントの組合せに応じて、物理的セキュリティシステム２０２及びフレーム／パケットネットワーク２０４にポリシベースの命令を生成及び送信し、アクセス制御及びネットワーク接続機器に特定の動作を実行させる。ポリシエンジン４１０は、物理的施設又はネットワークリソースにアクセスしようとする全ての試みを記録し、それぞれの又は任意のアクセスの試みに応じて、ポリシに基づく命令を実行する。システムが複数の施設及び複数のネットワークを含む場合であっても、ポリシエンジン４１０は、システムにおけるネットワークリソース及びアクセス制御イベントを監視する独立した管理ステーションと通信してもよい。
【００８５】
なお、幾つかの実施の形態では、認証情報及びポリシのリストは、厳密には限定的ではないが、ルータ、スイッチ、アクセスポイント及び多目的のサーバ等のネットワークインフラストラクチャ機器に常駐し、又はこれらの機器に統合されていてもよい。
【００８６】
ポリシエンジン４１０は、物理的リソースアクセス要求又はイベントを所定のエンティティ又はエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントに関連付けるポリシを実現でき、これらのポリシは、統合された物理的アクセス及びネットワークアクセス制御サーバ又は同様のプラットホームにおいて実行され、調停され、応答指示される。これらのポリシは、物理的領域におけるイベントを指定し、物理的領域におけるイベントは、ネットワークリソース上のイベント又はアクセスと相互に関連付けられる。物理的リソースアクセス要求又はイベントを所定のエンティティ又はエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントに関連付けるポリシは、統合された物理的アクセス及びネットワークアクセス制御サーバ又は同様のプラットホームにおいて実行され、調停され、応答指示される。
【００８７】
なお、本発明によって、認証エンティティを含む共通のリスト及び／又はテーブル又は同期された１組のリスト／テーブルを認証情報によって定義でき（パスワード、指紋、バッジ等を介するアイデンティティの確立）、特定の条件の組（ポリシ）に基づいて、物理的又はネットワーク機能／リソースにアクセスすることを許可することができる。認証エンティティを含む同期された１組のリスト及び／又はテーブルは、認証情報によって定義され（パスワード、指紋、バッジ等を介するアイデンティティの確立）、特定の条件の組（ポリシ）に基づいて、物理的又はネットワーク機能／リソースにアクセスすることを許可すると共に、認証に対する指示として、例えば、他の照明、暖房、冷房等の他の特定の物理的リソースパラメータを変更することができる。これに代えて、認証エンティティを含む分散されたリスト及び／又はテーブルが、認証情報によって定義され（パスワード、指紋、バッジ等を介するアイデンティティの確立）、特定の条件の組（ポリシ）に基づいて、物理的又はネットワーク機能／リソースにアクセスすることを許可すると共に、認証に対する指示として、例えば、他の照明、暖房、冷房等の他の特定の物理的リソースパラメータを変更してもよい。
【００８８】
ポリシエンジン４１０を備えるアクセス制御サーバ４００は、更に、フレーム及び／又はパケットベースのネットワークへの接続及びこのネットワークを介する通信によって、物理的アクセス及び／又はネットワーク機能／リソースのためのアクセス制御ポリシ（例えば、リスト）を取り込み、保守し、配信する機能を有する。また、アクセス制御サーバ４００は、認証情報検証及びポリシ判定を必要とする物理的リソース及びネットワークベースのリソースの一方又は両方から、アクセス要求又はイベント要求を受信及び／又は検出する機能を有する。更に、ポリシエンジン４１０を備えるアクセス制御サーバ４００は、物理的及び／又はネットワークアクセス制御ポリシを実現し、強制し及び実行する機能（ポリシエンフォーサ）を有し、ポリシに基づく応答を生成し、所定のイベントに基づいて、対応する予め定義された動作のために、他の機器に応答を送信する。安全管理ステーションにおいて、権限を与えられた者が、認証情報及びポリシを作成し、アクセス制御システム機器を構成設定し、アクセス制御システムを管理してもよく、これらの処理は、適切なコンピュータソフトウェアコード、テーブル及びリストにプログラミングし、アクセス制御サーバ４００おいて実行してもよい。
【００８９】
特定の実施の形態を用いて本発明を説明したが、これらの実施の形態は、単に例示的なものであり、本発明を限定するものではない。本明細書では、本発明の実施の形態の理解を容易にするために、例えば、コンポーネント及び／又は処理の具体例として、多数の具体的な詳細事項を開示している。しかしながら、本発明の実施の形態は、上述した具体的な詳細事項の１つ以上を欠いても、他の装置、システム、アセンブリ、処理、コンポーネント、材料、部品等を用いても実現できることは当業者にとって明らかである。更に、本発明の実施の形態の特徴を不明瞭にしないために、よく知られている構造、材料又は動作については、特別に示さず、詳細に説明していない。
【００９０】
また、本明細書における「一実施の形態」、「実施の形態」又は「特定の実施の形態」は、実施の形態に関連して開示した特定の機能、構造又は特徴が本発明の少なくとも１つの実施の形態に含まれ、必ず全ての実施の形態に含まれるわけではないことを意味する。また、本明細書内の「一実施の形態では」、「ある実施の形態では」又は「特定の実施の形態では」といった各語句は、必ずしも同じ実施の形態について言及しているわけではない。更に、本発明の如何なる特定の実施の形態の特定の機能、構造又は特徴も適切な任意の手法で、１つ以上の他の実施の形態に組み合わせることができる。なお、本明細書の開示に基づき、本明細書に記載し、説明した本発明の実施の形態のこの他の変形及び変更は明らかであり、これらは本発明の精神及び範囲に包含される。
【００９１】
包括的に言えば、本発明の機能は、周知の如何なる技術を用いて実現してもよい。統合アクセス制御サーバは、スタンドアロンのサーバであってもよく、他のコンピューティング装置であってもよく、例えば、サーバ又はネットワークインフラストラクチャ機器等の共有されたプラットホームに常駐するエンジンであってもよい。また、図面／図に示している１つ以上の要素は、特定の実施の形態において有効であれば、更に細かく区切ってもよく、統合してもよく、省略してもよく、幾つかの状況で動作しないようにしてもよい。
【００９２】
更に、図面／図に示す信号線は、例示的なものであり、特別に言及していない限り、限定的には解釈されない。更に、本明細書に用いられる「又は」という用語は、特別な指摘がない限り「及び／又は」を意味する。また、要素又はステップを分離するか結合するかを明確に表現していない場合、要素又はステップを組み合わせてもよい。
【００９３】
本明細書及び添付の特許請求の範囲において、不定冠詞「ａ，ａｎ」及び定冠詞「ｔｈｅ」が付された単数形の名詞は、文脈に矛盾しない限り、複数も含意する。また、本明細書及び添付の特許請求の範囲において、「〜内に（ｉｎ）」という表現は、文脈に矛盾しない限り、「〜内に（ｉｎ）」及び「〜上に（オン）」の両方の意味を含むものとする。
【００９４】
要約書に開示されている内容を含む本発明の例示的な実施の形態の説明は、本発明をここに開示した形式に限定又は制約するものではない。本発明の特定の実施の形態及び具体例を例示的に説明したが、本発明の精神及び範囲から逸脱することなく、等価の様々な変更が可能であることは、当業者にとって明らかである。上述のように、上述の説明に基づいて、本発明について例示した実施の形態の変形例を想到することができ、これらは、本発明の精神及び範囲に包含される。
【００９５】
以上、特定の実施の形態に基づいて本発明を説明したが、以上の開示に関するある範囲の変更、様々な変形及び置換は明らかであり、本発明の実施の形態の幾つかの特徴は、詳細に説明した本発明の範囲及び精神から逸脱することなく、他の対応する特徴を用いることなく使用することもできる。したがって、特定の状況又は材料を本発明の本質的な範囲及び精神に適応化するために、様々な変形例を想到できる。また、本発明は、特許請求の範囲及び／又は本発明を実施するために想定される最良の形態として開示した特定の実施の形態において用いた特定の用語に限定されず、本発明は、添付の特許請求の範囲に包含されるあらゆる実施の形態及び等価物を含む。
【図面の簡単な説明】
【００９６】
【図１】典型的な従来の施設アクセス制御システムを示す図である。
【図２】フレーム／パケットベースのネットワークのための典型的な従来のネットワークアクセス制御システムを示す図である。
【図３】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティアクセス制御ゲートウェイの使用例を示す図である。
【図４】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティドア制御パネルの使用例を示す図である。
【図５】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティアクセス制御装置の使用例を示す。
【図６】本発明の一実施の形態に基づく統合された施設アクセス制御及びネットワークアクセス制御システムを示す図である。
【図７】図７Ａ〜Ｃは、本発明の様々な実施の形態を示すブロック図である。
【図８】本発明の実施の形態に基づくネットワークインフラストラクチャ機器の統合された部分としての統合されたアクセス制御機能のアプリケーションを示す図である。
【図９】本発明に基づく統合されたネットワーク及び物理的な構内アクセス制御サーバの動作の実施の形態を示す図である。
【図１０】本発明に基づく統合アクセス制御システムの他の実施の形態を示す図である。
【技術分野】
【０００１】
本発明は、物理的セキュリティ及びネットワークベースのセキュリティの両方のためのアクセス制御に関する。詳しくは、本発明は、例えば、ビルディング、住居、物的なインフラストラクチャ又は情報及びネットワークシステム等のリソースへの物理的アクセス制御及び／又はネットワークアクセス制御を提供する統合アクセス制御システム及びアクセス管理方法に関する。アクセス制御システムには、旧型の物理的セキュリティデバイス及び／又はネットワーク対応機器も含まれる。
【背景技術】
【０００２】
人々、物的資産（例えば、物理的財産、知的財産及び施設）、情報資産等を保護するためのセキュリティに関する取り組みが行われている。このために、セキュリティ計画／グループは、通常、資産へのアクセス（物理的アクセス及び電子的／コンピュータによるアクセス）を制御し、イベント及びアラームを監視し、所定の場所において、１組のリスト予備的条件（例えば、ポリシ）に基づいて、リアルタイムの監視を行う。多くの企業、組織又は公共領域において、これらのセキュリティプログラムは、２つの部分に分割されている。１つのセキュリティグループ及び関連するシステムは、物理的施設又はリソースへのアクセスを制御し、認証されている又は認証されていない訪問者を保護することを意図する。他のセキュリティグループ及び関連するシステムは、情報システム及びネットワークへのアクセスを制御し、電子的情報資産及び他のネットワーク接続機器を保護することを意図する。これらのセキュリティグループ及び関連するシステムは、何れも、例えば、時刻等の特定の条件の組に基づいて、特定の個人によるアクセスを制御することによって、セキュリティ危機を管理する。
【０００３】
物理的アクセス制御システムのコンポーネントは、種類、位置及び通信プロトコルに若干の相違はあるが、包括的には、所定の物理的アクセス制御イベントの処理及びシステム機能は、概ね同じである。典型的な物理的セキュリティ（アクセス制御）環境では、物理的セキュリティシステムは、エントリロックメカニズム、エントリ開／閉又は他のセンサ（ビデオ監視カメラ等）、認証情報（機器又は個人の電子的又は物理的識別情報）、認証情報入力装置（例えば、バッジリーダ、個人識別番号キーパッド、生体認証等）、通信及び接続機器（例えば、ドア制御パネル）、認証情報検証及びポリシベースのアクセス制御機器（例えば、アクセス制御パネル）、認証情報及びポリシ生成ステーション（例えば、物理的セキュリティサーバ）、物理的セキュリティ管理ステーション（例えば、監視、イベント記録及びアラーム報告プラットホーム）及び施設ユーザリスト／データベース（すなわち、人的資源個人データベース）等を含む。
【０００４】
物理的アクセス制御は、様々なアクセス制御機器（access control device：ＡＣＤ）を用いて、例えば、バッジリーダ、電子ロック及び他の様々なドア要素を用いて、施設の入口に実装され、施設の出口で実装されることもあり、更に、施設内のある部分及び部屋に実装されることもある。これらのＡＣＤは、全てのユーザが適切で有効な認証情報を表示しなければ、所定の場所に出入りし、又は所定のリソースにアクセスすることを能動的に又は受動的に規制する。
【０００５】
物理的アクセス制御システム認証情報は、識別情報が書き込まれたプラスチックカードであってもよく、キーパッドを介して入力される暗合又はパスワードであってもよく、例えば、指紋又は網膜スキャン画像等の他の生体照合情報であってもよい。多くの組織は、組織ＩＤ、若しくは電子識別子又は個人識別番号の形式で符号化された一意的な情報を含む電子キーカードの形式の認証情報を個人に与える。認証情報が提出され又はバッジリーダ、キーパッド等によって読み出されると、妥当な認証情報ホルダのリスト及びその関連するポリシに対して認証情報が検証される。これらのポリシは、日時、他の個人の存在等、若しくは、単にアクセスを許可又は拒否する指示の送信によって、リソースにアクセスするための他の特定の要求を提供できる。
【０００６】
ＡＣＤ（バッジリーダ、バイオメトリックリーダ、電気−機械ロック、所定の入場口のためのドア開／閉センサ（又は他のコンタクトクロージャ））は、通常、ドア制御パネル（door control panel：ＤＣＰ）に接続されるシリアルウィーガント接続（serial Wiegand connection）、シリアルＲＳ４８５接続又は単純な銅線によるコンタクトクロージャに接続される。ＤＣＰは、通常、所定の入場口又はアクセス制御されているリソースの近傍に設けられる。これらの機器は、通常、単純なシグナリングプロトコルを用いて通信を行う。シグナリングプロトコルは、単一のベンダのアクセス制御製品に固有のものであることが多い。
【０００７】
ＤＣＰは、通常、複数の様々なＡＣＤに接続する。ＤＣＰを使用することによって、各アクセス制御機器は、自らの認証情報検証及び強制リスト又は検証及び強制機器への自らの専用の接続を有する必要がなくなる。幾つかのＤＣＰは、完全な又は部分的な認証情報リストを有することができるが、このような実現例は、幾つかの短所を有する。大部分の施設は、複数の出入口を有し、又は施設内の特定の部屋又はリソースのアクセス制御を必要とし、全てのＤＣＰが情報を常に更新することを確実にするために、煩雑な作業が必要である。アクセス制御機器は、安全な施設の内部ではなく、外部に設置する必要がある場合もある。したがって、認証情報リストを有するＤＣＰは、改竄される虞があり、又は不正アクセスによって、機密保護違反に至る（すなわち、第三者がリストにアクセスし、パスワード及び認証情報が漏洩する）場合もある。したがって、多くのアクセス制御システムは、アクセス制御リスト及び関連するポリシの集中管理を徹底するように努力している。そこで、幾つかのＤＣＰは、単にＡＣＤ接続をまとめ、アクセス制御パネル（Access Control Panel：ＡＣＰ）において、集中型の認証情報検証及びポリシ強制のための認証情報を他の機器に渡す。
【０００８】
ＡＣＰは、ＤＣＰに接続されたリーダから供給された認証情報を用いて、ベアラに出入りの権利を与えるか否かを判定し、又はアクセス要求を拒否するか否かを判定する。ＡＣＰは、物理的セキュリティサーバ及び管理ステーションに依存して、所定の認証情報の組に関連する実際のリスト及びポリシを作成する。
【０００９】
ＡＣＰと物理的セキュリティサーバとの間の接続及び通信は、様々であるが、通常は、シリアル接続又はモデム接続に基づいて行われる。幾つかのインストール例では、ＡＣＰは、物理的セキュリティサーバへのイーサネット（登録商標）（フレームベース）接続を用いるが、これらの物理的アクセス制御システムは、接続のためだけにイーサネットネットワークを使用する。物理的アクセス制御コンポーネント間の実際の通信は、通常、単一のベンダに固有であり、例えば、シグナリングは、イーサネット接続及び通信をトンネリングされる。このため、他のネットワークリソース（他の既存のネットワークサーバ）は、通常、ＡＣＰとは通信を行わず、ＡＣＰを制御することはできない。更に、情報システムのセキュリティ（例えば、インフォセック社（InfoSec）のウェブページhttp://www.cordis.lu/infosec/home.html参照）は、不正アクセスに対処するものであり、殆ど全てのネットワークベースのＡＣＰプロバイダは、ネットワークベースのＡＣＰの侵入攻撃には無防備である。
【００１０】
物理的セキュリティサーバは、全てのＡＣＰが正確な認証情報及びポリシ情報を有することを確実にする。物理的セキュリティサーバは、新たな認証情報を登録し、期限切れの認証情報をシステムから除去する（将来の物理的アクセスを防止し、施設における各認証情報の物理的アクセス制御ポリシを定義する。）セキュリティアプリケーションを実装する。物理的セキュリティサーバは、認証情報（例えば、ユーザ名、ユーザバッジ番号、及び指紋、網膜スキャン、声紋、又は他の生体照合情報等の使用可能な他のユーザ特定の属性）のマスタテーブル及び管理している全てのＡＣＰの全ての物理的アクセス制御ポリシを維持する。換言すれば、物理的セキュリティサーバは、各ユーザに関して、組織内の特定のポータルへのアクセスをいつ許可するかを決定する規則を維持する。物理的セキュリティサーバは、正しい認証情報リスト及びポリシが維持されるように、各ＡＣＰを更新する。このようにして組織の駐車場、正面玄関、研究室のドア、エレベータ、倉庫、コンピュータネットワーク又は組織がアクセスを制御及び監視することを望む他の領域にユーザが入ることを認証する規則を実現することができる。また、これらの規則は、日時、曜日又は所定の期間を特定することもできる。また、物理的セキュリティサーバは、管理ステーションにインタフェースされている。
【００１１】
物理的セキュリティサーバは、フレーム（例えば、イーサネット）／パケット（例えば、インターネットプロトコル）ベースのネットワークを介して接続でき、例えば、人的資源データベースサーバ等、ネットワーク接続された他のサーバと通信することができるが、物理的セキュリティサーバは、ネットワークアクセス制御又は他のネットワークセキュリティ機能を管理するサポート機能を有しておらず、ネットワークアクセスイベントを検知できない。
【００１２】
管理ステーションは、物理的セキュリティ担当者によるアラーム監視及び包括的な物理的アクセス制御管理を提供する。更に、管理ステーションは、認証情報を印刷し及び暗号化するための１組のリストアプリケーションをサポートすることが多い。管理ステーションは、遠隔サイトに位置している場合もあり、幾つかの異なる施設に分散されている場合もある。
【００１３】
妥当な証明書が割り当てられたユーザのリスト及び関連するポリシは、多くのソースに由来することができる。より大きな組織又は企業では、この潜在的リストは、定期的に更新される従業員／人的資源データベースから得られ、このようなデータベースは、例えば、ＳＡＰ社、ピープルソフト社（PeopleSoft）及びオラクル社（Oracle）等の企業から市販されているソフトウェアアプリケーションプログラムを介してサポートできる。物理的セキュリティシステム管理者は、所定のユーザに、カード、カード認証情報及び関連するアクセス権を供給する。
【００１４】
図１は、典型的な従来の施設におけるアクセス制御システム１００を示している。建物内の各施設又は各フロアは、同じ場所にあるコンポーネント１０１を有し、コンポーネント１０１は、例えば、各ドア又は他のポータルに位置する電気−機械ドアロック１１１、リーダ１１２、ドアコンタクト１１３、キーパッド１１４、ドア警報装置１１５及び動きセンサ１１６等の幾つかのアクセス制御機器（ＡＣＤ）１１０を含む。更に他の種類のアクセス制御機器としては、指紋センサ、カメラ、又は他の機器、コンポーネント又はソフトウェアによって駆動される識別設備が含まれる。
【００１５】
施設への各ドアでは、１つ以上のＡＣＤ１１０が専用のＤＣＰに接続されている。ＤＣＰは、ＡＣＰ１２０にスター構成で直接接続してもよく、（例えば、ＤＣＰ１１８、１１９）、又は例えば、ＤＣＰ１１７、１１８のように、ＡＣＰ１２０に接続された他のＤＣＰに順次的に接続してもよい。ＤＣＰは、通常、ＲＳ４８５シリアルケーブル接続を介してＡＣＤ１２０に接続される。ＤＣＰ１１７〜１１９は、ＡＣＰ１２０によって提供される制御情報に応じて、ＡＣＤ１１０の動作を制御する。
【００１６】
各ＡＣＰは、複数のＤＣＰ１１７〜１１９を制御する。例えば、ＡＣＰ１２０は、施設内の全てのドア制御パネル、複数のフロアを有する建造物の特定のフロアのドア制御パネル又は施設の特定の領域内のドア制御パネルを制御できる。殆どのセキュリティシステムでは、ＡＣＰ１２０は、シリアル又はイーサネットリンクによって、物理的セキュリティサーバ１２１に接続されている。物理的セキュリティサーバ１２１及び物理的セキュリティ管理ステーション１２２は、ＡＣＰから遠隔に設置され、建物内に集中化され、又は別の建物に設置される。
【００１７】
物理的アクセス制御要求イベントが生じると、例えば、個人がドアを空けようとした場合、ＡＣＤ１１１〜１１６の１つ以上がシステムへの入力信号を生成する。例えば、リーダ１１２は、符号化されたユーザＩＤを検出し、ＤＣＰ１１７に認証情報を送信し、ＤＣＰ１１７は、ローカルメッセージバッファリング及びドアのＡＣＤ接続集合処理（ACD connectivity aggregation）を実行する。ＤＣＰ１１７は、ＡＣＤが生成した情報をアクセス要求メッセージの形式でＡＣＰ１２０に中継する。ＡＣＰ１２０は、検出された認証情報を有効な（認証されている）認証情報リスト及び関連するポリシと比較し、認証情報が有効であるかを判定し、及び物理的アクセスポリシがこの入出点の認証情報に関連しているかを判定することによって、認証情報を検証する。有効な認証情報リスト及び関連するアクセスポリシは、物理的セキュリティサーバ１２１によって提供され、アクセス制御イベントの前にＡＣＰに送信される。
【００１８】
ドアを開いてもよいことをポリシが示している場合、その特定のドアの電気−機械ロック１１１をアクティブ化する（開く）ことをＤＣＰ１１７に指示するアクセス制御応答がＡＣＰ１２０からＤＣＰ１１７に送信される。認証情報が無効であるためにポリシがアクセスを拒否した場合は、例えば、警報がトリガされ、又は管理ステーション１２２に警報が送信され、ドアは、ロックされたままの状態にされる。
【００１９】
殆どの組織又は他の機関によって運営される情報システム及び専用ネットワークへのアクセスは、異なる独立したシステムによって制御される。このアクセス制御システムは、ネットワークベースの情報資産を保護し、他のネットワーク接続機器へのアクセスを制御するように動作する。ネットワークアクセス制御システムには、以下に限定されるものではないが、ネットワークエッジに接続されている多くの機器（例えば、コンピュータ、サーバ、ＩＰ電話機等）、電子認証情報（例えば、ユーザ名又は装置名、ネットワークアドレス、パスワード等）、フレーム／パケットベースのネットワークインフラストラクチャ機器（例えば、ルータ、スイッチ、負荷分散装置、ファイアウォール等）、電子認証情報検証及びポリシベースのアクセス制御機器（例えば、ネットワークアクセス制御サーバ）、認証情報、ポリシ生成ステーション及び機器（例えば、ネットワークセキュリティサーバ）、ネットワークユーザリスト／データベース（すなわち、人的資源個人データベース）、及びネットワーク管理ワークステーション等が含まれる。
【００２０】
全てのネットワーク機器は、通常、有線／光ファイバ又は無線媒体を介して接続され、イーサネットやＩＰ等のフレーム／パケットベースのネットワークプロトコルを用いて通信を行う。ネットワーク機器の相互通信能力は、必ずしも、１つのネットワーク機器が他のネットワーク機器を制御できることを含意するわけではない。機器を制御する能力は、（例えば、ＯＳＩ７レイヤネットワーク通信モデルによって提供される）より高レベルのアプリケーション及びプロトコルの機能である。
【００２１】
ネットワーク接続機器、例えば、パーソナルコンピュータ、サーバ、携帯情報端末、ＩＰ電話機、ＩＰビデオ監視カメラ等は、有線／光ファイバ又は無線通信機能を有し、共通のネットワークに接続されたエッジ機器である。これらの機器の多くは、電子認証情報の基礎を構成するネットワークアドレス情報を提供し及び要求できる埋め込まれた回路と共に、認証情報を入力し、送信するために用いることができるキーボード又は他の入力装置を備える。
【００２２】
ネットワークアクセス認証情報は、ネットワークアクセス及びネットワークに付随する様々なリソースへのアクセスを許可又は拒否するために使用される。ネットワークアクセス認証情報は、通常、ネットワークエッジ機器から、例えば、ネットワークインフラストラクチャ機器（ルータ及びスイッチ等）等の中間機器を介してネットワークアクセス制御サーバに渡される。ネットワークアクセス制御のために用いられる認証情報は、様々な形式を有し、最も簡単な形式の１つは、ユーザ名及びパスワードの組合せである。パスワードは、複数のログオン（ネットワークアクセス要求）セッションのために用いることができ、又は単一のログオンアクセスイベントのために作成することもできる。また、認証情報は、ネットワークに接続することを試みるネットワーク機器の予め定義されたネットワークアドレス（例えば、イーサネットＭＡＣアドレス又はＩＰアドレス）であってもよい。
【００２３】
例えば、ルータ及びスイッチ等のネットワークインフラストラクチャ機器（network infrastructure device：ＮＩＤ）は、ネットワークのエッジに接続された機器から、ネットワークに接続された他のリソースへの接続を提供する。ルータ及びスイッチは、通常、他の様々なネットワーク接続機器に通信される情報をカプセル化するフレーム及び／又はパケットベースのネットワークプロトコルをサポートし、これらのプロトコルを用いて通信を行う。ＮＩＤは、物理的セキュリティアクセス制御システムコンポーネント間の通信を目的として、ネットワークに接続可能な物理的セキュリティアクセス制御システムコンポーネントへのネットワーク接続を提供するが、従来の技術ＮＩＤは、所定のリソースの物理的アクセスの目的のためには、これらの物理的セキュリティアクセスシステムの構成要素を制御できない。
【００２４】
ネットワークアクセスを認証されたユーザ及び機器に制限するために設計されたログインシステムによってネットワークアクセスを制御することは非常に一般的である。これらのログインシステムは、ＡＡＡサーバ（Authentication, Authorization and Accounting server：認証、認可及びアカウンティングサーバ）と呼ばれる。ＡＡＡサーバは、ネットワーク及びネットワーク機器へのアクセスを要求するユーザのアイデンティティを検証し、アクセスを許可し、ユーザの操作を追跡するためにサービスの認証、認可及びアカウンティングを実行するモジュール的手法を提供する。
【００２５】
認証処理では、ネットワークにアクセスしようとしているユーザを特定することができる（すなわち、あるユーザが、自らが誰であると主張しているかを判定することができる）。これは、一般的には、伝統的なユーザ名／パスワードを用いて実行され、最近では、例えば、チャレンジ／レスポンス認証（ＣＨＡＰ等）、ワンタイムパスワード（ＯＴＰ及びＰＫＩ証明書）等のより最新の安全な手法を介して実行される。認可処理では、認証されたユーザがどのサービス又は機器にアクセスするかを制御する（すなわち、所定のユーザがログオン後にアクセスできる範囲を決定する）。アカウンティング処理では、ネットワーク内でのユーザの振る舞いを追跡し、特定の個人がログオン後に何をしているかを判定する。収集された情報は、課金、監査及び報告のために用いることができる。また、ネットワークユーザアクセス制御の概念は、ネットワーク機器への管理用のアクセス、並びに構成及び監視のためのネットワーク管理ソリューションに拡張できる。
【００２６】
このようなログインシステムの１つとしては、ポリシベースのネットワークアクセス制御サーバであるシスコセキュアＡＣＳ（Cisco Secure ACS）がある。ネットワークアクセス制御サーバは、妥当な電子認証情報のネットワークアクセスの集中化されたテーブル又はリスト及びある条件（例えば、ポリシ）に基づいて所定の認証情報のホルダ／ユーザがアクセスできるネットワークリソースの関連するリストを維持する。ネットワークアクセス制御サーバは、ネットワークアクセスを試みるユーザ又はコンピュータの認可されたネットワークアクセスレベルを判定するために使用される。ネットワークアクセス制御サーバのテーブルは、ネットワークへのアクセスを要求する各ユーザ又は機器に関連するユーザ名、ユーザＩＤ、ネットワークパスワード及び規則を保持することができる。これらの規則は、ネットワークアクセス制御ポリシ（妥当な電子認証情報のリスト及びある条件に基づいて所定の認証情報ホルダ／ユーザがアクセスできるネットワークリソースの関連するリスト）と呼ぶことができる。ネットワークアクセス制御サーバは、ネットワークにログオンするための、及びネットワークアクセス制御システムの構成及び提供に用いられるユーザインタフェースを提供する。ＡＣＳサーバは、イベントの共通ログを維持し、保安要員は、施設アクセスを有する企業ネットワーク上でのユーザアクティビティを監視し、相関させ、検証することができる。
【００２７】
ＡＣＳサーバ及びその機能は、一箇所で実現してもよく、２つ以上のアクセス制御サーバに分散させてもよい。ＡＣＳサーバは、集中型又は分散型の手法で、ポリシ、規則及び認証されたユーザに関する情報の全て又は一部を保持できる。ＡＣＳサーバは、権限のないユーザに関する情報を保持してもよく、これにより、保安要員は、施設又はネットワークセキュリティを不正に侵害しようとした加害者を特定できる。
【００２８】
妥当な証明書が割り当てられたユーザのリスト及びネットワークアクセスのための関連するポリシは、多くのソースに由来することができる。大きな組織又は企業では、この潜在的リストは、定期的に更新される従業員／人的資源データベース（すなわち、ＳＡＰ、ピープルソフト（Peoplesoft）、オラクル（Oracle））から入手することができる。ネットワークアクセス制御サーバは、定期的に、正規ユーザのリストを人的資源又は他の組織データベースに同期させるが、全てのポリシは、ネットワークアクセス制御サーバ上で直接的に作成、維持及び更新される。
【００２９】
例えば、シスコＡＣＳサーバ等のネットワークアクセス制御サーバは、通常、多くのメーカの周知のフレーム／パケットベースのネットワーク施設と相互運用できる。アクセス制御サーバは、通常、各ＩＰ対応機器に定期的にＳＮＭＰポールアウト信号を送信し、各機器の正常性及びネットワーク接続を検証する。ＳＮＭＰポーリングは、ネットワーキング技術の分野において周知である。しかしながら、従来のネットワークアクセス制御サーバは、物理的アクセス制御機器をサポートする能力を有しておらず、物理的セキュリティサーバ、物理的セキュリティ管理ステーション、ドア制御パネルと相互運用できず、ＡＣＰ機能を提供することができない。更に、従来のネットワークアクセス制御サーバは、物理的／施設アクセスイベントを検知することができない。
【００３０】
ネットワークセキュリティサーバは、通常、システム構成及び管理に関連する様々な機能を提供する。これらのサーバは、多くの場合、バックエンド課金及びアカウンティング、イベント記録及びユーザインタフェース通信を提供する。ネットワークセキュリティサーバは、多くの場合、リアルタイムのネットワークアクセス制御サービスを提供するネットワークアクセス制御サーバと通信する。従来のネットワークセキュリティサーバは、物理的セキュリティアクセス制御機能をサポートせず、更に、物理的アクセスセキュリティイベントを検知できない。
【００３１】
なお、他のネットワークセキュリティ機能は、ネットワークインフラストラクチャの一部であってもよい。これらの機能及びサービスには、ファイアウォールサービス、ＶＰＮ暗号化／復号、ネットワーク侵入検知サービス等が含まれるが、これらは、通常、初期のログオン認証及びネットワークアクセスの認可については、ネットワークアクセス制御サーバに依存している。幾つかの場合、これらのサービスは、ネットワークインフラストラクチャ機器に統合できる。更に、ＮＩＤは、プロキシとして機能でき、又は幾つかのＡＡＡ機能を提供する。
【００３２】
ネットワーク管理ワークステーションは、ネットワーク管理及び運営要員によるアラーム監視及び包括的ネットワーク運用管理を提供する。ネットワーク管理ワークステーションは、遠隔サイトにあってもよく、幾つかの異なる施設に分散されていてもよい。
【００３３】
図２は、典型的な従来のネットワークアクセス制御システムの構成を示している。ネットワークは、物理的な位置には拘束されない。ネットワークは、幾つかのネットワークエッジ機器（network-edge device：ＮＥＤ）１５０、例えば、コンピュータ１５１、ネットワーク電話機（例えば、ＩＰ電話機）１５２、ネットワークカメラ１５３、ネットワークに接続された入出力装置（例えば、ＰＯＳ（point of sale）端末装置、製造プロセス制御センサ及び機械等）１５４を備え、これらは、ネットワーク接続が可能であれば仮想的に如何なる場所にも位置できる。
【００３４】
ＮＥＤ１５０は、通常、ネットワークインフラストラクチャ機器（network infrastructure device：ＮＩＤ）１５５に直接接続される。ＮＩＤ１５５は、一般的にルータ、スイッチ及び／又は無線アクセスポイントである。ＮＩＤ１５５は、最終的に他のＮＥＤの集合である様々な他のネットワークリソース１５６、アプリケーションサーバコンピュータ、又は他のネットワーク接続された通信機器（すなわち、ＩＰ電話機、ビデオカメラ等）へのアクセスをＮＥＤ１５０に提供し、インターネットアクセスを含むことができる。様々なＮＥＤ１５０又は他のネットワークリソース１５６の間に位置する複数の相互接続されたＮＩＤがあってもよい。ＮＩＤ１５５は、ネットワークアクセス制御サーバ（ＮＡＣＳ）１５７、ネットワーク管理ワークステーション１５８又はネットワークセキュリティサーバ１５９に直接又は他のＮＩＤを介して間接的に接続される。ネットワーク機器１５７〜１５９は、ＮＥＤ１５０から遠隔に位置してもよく、ネットワーク管理センタ又はデータセンタ等に集中的に配設されていてもよい。
【００３５】
ネットワークアクセス制御要求イベントが発生した場合、例えば、あるユーザがコンピュータを図２のネットワークに接続することを望んだ場合、コンピュータは、ネットワークアクセス（ログオン）要求を生成しなければならない。例えば、コンピュータ１５１は、ユーザが、コンピュータのキーボードを介して、ユーザ名及び予め割り当てられているパスワードを入力することを促すためのボックスを表示する。これらの電子認証情報（ユーザ名及びパスワード）は、ネットワークインフラストラクチャ機器１５５に送信され、ネットワークインフラストラクチャ機器１５５は、ネットワークアクセス制御サーバ１５７にこの電子認証情報を渡す。
【００３６】
ネットワークアクセス制御サーバ１５７は、有効なネットワーク認証情報リストと比較することによって、ユーザ認証情報を検証する。また、ネットワークアクセス制御サーバ１５７は、関連するネットワークアクセスポリシをチェックし、認証情報のホルダが、ユーザが要求されたネットワークリソース１５６又は他のネットワークリソースにアクセスするための全ての適用可能なポリシに適合しているか否かを判定する。ネットワークアクセス制御リスト及び関連するポリシは、ネットワークアクセス制御イベントの以前にサーバに保存されている。
【００３７】
有効なユーザ名は、人的資源データベースによって提供され、アクセスイベントの以前に、ネットワークアクセス制御サーバのリストに保存されている。所定のユーザ名のためのパスワードは、ＡＣＳユーザコンフィグレーションインタフェース又は他の何らかのネットワーク管理サーバからのエントリを介して、リストに事前に入力されている。所定のユーザのためのネットワークリソースアクセスポリシは、組織的なポリシに基づいて、ネットワークマネージャを介して割り当てられる。
【００３８】
ユーザ名及びパスワードがネットワークアクセスリスト／テーブル内のエントリに一致する場合、ネットワークアクセス権がユーザに与えられる。この権利に関する情報は、ネットワークに接続された他のリソース１５６へのアクセス（例えば、様々なアプリケーションを有するサーバ、インターネット等へのアクセス）を提供する様々なネットワークインフラストラクチャ機器１５５に送信される。これにより、ユーザは、要求したリソースにアクセスできる。ユーザ名及びパスワードがネットワークアクセスリスト内のエントリに一致しない場合、更なる情報を入力する他の機会をユーザに提供してもよく、或いは、他のネットワークアクセス要求が生成されるまでの所定の期間、ネットワークエッジ機器１５０への接続を切断するようにＮＩＤ１５５に指示してもよい。ネットワークアクセス制御サーバ１５７は、ネットワークアクセス要求の妥当性にかかわらず、要求及び結果のログを記録する。このログは、ネットワーク管理要員が直接アクセスしてもよく、ネットワーク管理ワークステーション１５８に送信してもよい。また、検証されたネットワークアクセス要求は、ネットワークアクセス制御サーバ１５７からネットワークセキュリティサーバ１５９に送信してもよい。
【００３９】
上述したように、ある物理的セキュリティシステムの構成要素から他の物理的セキュリティシステムの構成要素に情報を伝えるためにイーサネット／ＩＰ接続を基本にしたネットワークに接続する幾つかの物理的セキュリティシステム及び幾つかの物理的セキュリティシステムの構成要素が設計されている。しかしながら、これらのイーサネット／ＩＰ接続された物理的セキュリティシステムの構成要素は、例えば、ＡＡＡ又はネットワークアクセス制御サーバ等のフレーム／パケットネットワークのリソースの全てを利用できるわけではなく、更に、ネットワークアクセスイベントを検知できない。
【００４０】
例えば、図３のブロック１２５に示す旧型の物理的セキュリティ機器アクセスゲートウェイは、様々なアクセス制御システム機器ベンダのシグナリングフォーマット及びプロトコルを他のアクセス制御システムベンダのコンポーネントフォーマットに変換することができる。これらのゲートウェイは、異種の物理的セキュリティベンダシステムの構成要素間における、より優れた相互運用性を提供し、フレーム／パケットベースのネットワークを介して物理的セキュリティ情報を送信することを可能にするが、しかしながら、これらのゲートウェイでは、ネットワークアクセス制御サーバは、物理的／施設アクセス制御機器を制御できない。先に図１を用いて説明したように、ここでも、ＡＣＰは、認証情報を検証する必要がある。
【００４１】
また、幾つかの従来のＤＣＰ（図４に示すブロック１２９）及び幾つかのアクセス制御機器（例えば、図５にブロック１３１として示すバッジリーダ）は、イーサネット等のフレーム／パケットベースのネットワーク接続をサポートできる。関連するＡＣＤから情報がＤＣＰに渡されると、ＤＣＰは、データを収集し、パケット又はイーサネットフレームのペイロード部分にデータを挿入した後、ローカルイーサネットネットワーク又は他の有線又は無線パケットネットワーク上のエッジルータに送信する。
【００４２】
物理的セキュリティアクセスゲートウェイと同様に、これらのネットワーク接続可能なＤＣＰ及びＡＣＤは、物理的セキュリティ情報をフレーム／パケットベースのネットワークに亘って伝送しながら、物理的アクセス制御システムの方向において、認証情報を検証し、これらの認証情報に基づくポリシに基づく動作を強制することができる。すなわち、ＤＣＰ及びＡＣＤは、物理的セキュリティサーバ又は物理的アクセス制御パネルからアクセス制御リスト及びポリシ更新を受信する。これらのネットワーク接続可能なＤＣＰ及びＡＣＤは、ネットワークアクセス制御／ＡＡＡサーバからは更新を受信せず、更に、ＤＣＰ及び／又はＡＣＤは、ネットワークアクセスイベントを検知できない。
【００４３】
これらの従来のネットワーク接続されたアクセス制御ゲートウェイ、ＤＣＰ及びＡＣＤは、通常、初期の導入時に、単一のサブネットを介して通信する（物理的アクセスイベントをブロードキャストする）ように構成され、したがって、物理的アクセス制御システムの管理下の機器の数は、限定的である。しかしながら、幾つかのネットワーク接続された物理的アクセス制御ゲートウェイ、ＤＣＰ及びＡＣＤは、ルーティングされたインタフェースを介する相互接続のために、ＡＣＰのネットワークアドレス、物理的アクセス制御サーバのネットワークアドレス又はデフォルトネットワークアクセスゲートウェイのアドレスを用いて構成してもよい、なお、デフォルトネットワークアクセスゲートウェイは、当分野では、ドメインネームサーバ（domain name server：ＤＮＳ）と呼ばれることが多い。このゲートウェイによって、より多くの数の物理的アクセス制御コンポーネントを単一のＡＣＰ／物理的アクセスポリシサーバによる管理下に置くことが容易になる。
【００４４】
なお、施設及びネットワークリソースの両方について、アクセス制御プログラムを協同的に管理し、統合することができないことは、企業の機密保持の総合的な効率性を低下させていると考えられる。例えば、単に、スマートカード技術を用いて、物理的セキュリティアクセス制御認証情報及びネットワークアクセス制御認証情報を統合することは、物理的アクセス制御システム及びネットワークアクセス制御システムを統合し、又はネットワークアクセス制御ポリシを物理的セキュリティアクセス制御ポリシに結合させ、或いはこの逆を実現することには殆ど貢献しない。したがって、施設アクセスシステム及びネットワークアクセスシステムの両方を入念に監視及び管理したとしても、物理的セキュリティポリシ及びネットワークセキュリティポリシが連動していないために、組織は、不正なアクセス又は詐称による被害を受けやすい。
【００４５】
ネットワークセキュリティの観点からは、物理的アクセスとネットワークアクセスとを結びつけることができなければ、ネットワークシステムが脆弱になり、ネットワークシステムのオーナは、重要な秘密又は機密情報が漏洩し、又はネットワーク自体にダメージが与えられる危険に晒される。この脆弱性の一例として、例えば、ある従業員が、終業時にコンピュータをログアウトし忘れて帰宅したとする。この従業員が帰宅した後、コンピュータは、ネットワークに接続されたままであり、会社内にいる人は、ネットワークにアクセスする権限がなくても、コンピュータを使用することができる。認証されたユーザが施設からいなくなった後は、使用者がいなくなった端末装置をネットワークに接続したままにすることは望ましくない。ネットワークアクセス制御サーバが「バッジングアウト（badging-out）」又は顔認識ビデオ監視を介してユーザの施設退場記録にアクセスできれば、使用者がいなくなったコンピュータのネットワークアクセスを終了させ、脆弱性を排除することができる。
【００４６】
施設に関連する認証された全てのユーザにネットワークアクセスを提供するポリシを単に確立するだけでは、前述した脆弱性の問題を解決できない。また、警備会社にアウトソーシングされた警備員を含む管理人が、清掃及びメインテナンスのために、建造物に出入りすることは許可されるが、このように施設の出入りを許可されている管理人がネットワークリソース及び知的財産にアクセスすることを禁止する必要がある場合もある。
【００４７】
物理的安全性及びセキュリティに関連する他の脆弱性に関する具体例として、１つ以上の施設及びネットワークへのアクセスが許可されているユーザが、他の認証されたユーザが施設に入る際、グループとして、この他の認証されたユーザの後ろに続いてドアから施設に入る（このような行為を「テールゲーティング（tailgating）」と呼ぶ）場合がある（例えば、テールゲーティングを行った者は、検証のための自らの認証情報を提示してない）。テールゲーティングが行われると、施設の保安要員は、現在、施設内に誰がいるかを正確に判定できなくなる。したがって、正しい手順を経て施設に入っていない者が施設内のコンピュータにログインした場合、企業の保安要員は、何が起こったかを判定する必要がある。更に、例えば、火事又は爆発等の非常時には、施設内に残っている者を速やかに安全に非難させるために、保安要員及び救急隊員は、施設内のどこに誰がいるかを把握する必要がある。物理的セキュリティアクセス制御及びネットワークセキュリティアクセス制御が統合されていないと、物理的安全性及びセキュリティの責任者は、建造物内にいる可能性がある人物を包括的に判定するために、物理的セキュリティログ及びネットワークアクセスログの両方を調べる必要がある。
【００４８】
ネットワーク機密保護違反及び知的財産の剽窃の多くは、遠隔位置から行われる。ネットワークオペレータは、所定のネットワーク接続からのアクセスを所定のネットワークリソースに制限することができる筈であるが、所謂コンピュータ「ハッカー」は、ハッカー又はユーザが「認証された」ネットワーク接続に接続されているかのようにネットワークアクセス制御サーバ及びＮＩＤを騙すことができるので、様々なネットワーク機密保護違反が生じる。物理的アクセス制御サーバ管理ログにネットワークアクセスポリシをリンクできれば、最近に提示された有効な物理的アクセス認証情報によって、承認された施設又は部屋内のユーザの物理的な位置の交差検定（cross-validation）が実現される。これにより、盗難又は「ハック」されたパスワードだけでは、ネットワークリソースにアクセスできなくすることができる。
【発明の開示】
【課題を解決するための手段】
【００４９】
本発明は、物理的セキュリティ（アクセス制御）及びネットワークアクセスシステムを統合し、新たなセキュリティポリシを実現し、物理的セキュリティ及びネットワークセキュリティの両方を向上させることができるアクセス制御システム及びアクセス管理方法を提供する。従来の物理的セキュリティシステム及びネットワークセキュリティシステムの課題を解決するために、本発明は、統合アクセス制御システム及びアクセス制御方法を提供する。本発明の特徴及び利点は、以下の詳細な説明及び添付の図面から明らかとなる。
【発明を実施するための最良の形態】
【００５０】
本明細書では、本発明の実施の形態の理解を容易にするために、例えば、コンポーネント及び／又は処理の具体例として、多数の具体的な詳細事項を開示する。しかしながら、本発明の実施の形態は、上述した具体的な詳細事項の１つ以上を欠いても、他の装置、システム、アセンブリ、処理、コンポーネント、材料、部品等を用いても実現できることは当業者にとって明らかである。更に、本発明の実施の形態の特徴を不明瞭にしないために、よく知られている構造、材料又は動作については、特別に示さず、詳細に説明していない。
【００５１】
図６は、本発明の一実施の形態として、ネットワーク及び物理的施設アクセスのための統合アクセス制御サーバ（以下、単にサーバとも言う。）２００を示している。サーバ２００は、統合された物理的アクセス及び／又はネットワークアクセスを制御するために、旧型物理的セキュリティシステム２０２及びフレーム／パケットネットワーク２０４の両方に接続されている。このシステムは、建造物、家屋、物的なインフラストラクチャ、並びに情報及びネットワークシステムへのアクセスを監視及び制御するために用いることができる。サーバ２００は、認証情報検証及び関連するポリシ、並びに物理的施設及びネットワーク対応機器のためのポリシ強制を統合する。この統合によって、物理的セキュリティ及びネットワークセキュリティの両方が強化された新たなセキュリティポリシが実現される。これらのポリシは、物理的アクセス制御システム及びネットワークアクセス制御システムの両方におけるセキュリティホールを排除し、施設アクセスシステム及びネットワークアクセスシステムの両方が適切に監視及び管理されることを確実にする。このようにして、不正使用又は過失に起因する脆弱性を最小化することによって、組織的なセキュリティが向上する。
【００５２】
統合アクセス制御サーバ２００は、アクセス制御パネル及びネットワークアクセス制御サーバを不要にし、これらの機器によってサポートされていた有効な認証情報リスト及びアクセスポリシをテーブル内に維持する。また、サーバ２００は、全てのアクセスポリシを強制する。更に、統合アクセス制御サーバ２００は、物理的アクセスイベント及びネットワークアクセスイベントを監視し、関連付け、結合して、物理的アクセス制御ポリシ及びネットワークアクセス制御ポリシの両方を強化することができる。
【００５３】
図７Ａは、本発明の一実施の形態を示している。本発明に基づくアクセス制御システムは、施設及びその物理的及びネットワークリソースを制御及び／又は監視するために使用されている。本発明では、１つ以上のアクセス制御機器（access control device：ＡＣＤ）１１０及びコンピュータ１５１、又は他のネットワークエッジ機器は、それぞれ、施設及びそのネットワークの一部であると仮定する。一般的なアクセス制御機器としては、カードリーダ、バイオメトリックセンサ、カメラ、アラーム動きセンサ及び電気機械式ドアロック等がある。各ＡＣＤ１１０は、ドア制御パネル（door control panel：ＤＣＰ）１１９に接続され、ＤＣＰ１１９は、パケット／フレームに準拠するアクセス制御ゲートウェイ１２５に接続されている。アクセス制御ゲートウェイ１２５によって、物理的アクセス制御システムに更なる変更を加えることなく、先に施設内及び施設周辺に設置されていた旧型のＡＣＤ及びＤＣＰを本発明と共に使用することができる。アクセス制御ゲートウェイ１２５は、単に、フレーム又はパケットベースのネットワーク２２８を介して旧型ＤＣＰ通信データを送信することを可能にしている。ＤＣＰアクセス要求メッセージは、統合アクセス制御サーバ２００に受信され、アクセス制御サーバ２００によって応答される。
【００５４】
包括的に言えば、統合アクセス制御サーバ２００は、位置、リソースの種類、日時、期間又は他のイベントに基づいて、認証情報を検証し、アクセスポリシを強制し、ネットワーク上の及び物理的施設内の所定のリソースへのアクセスに関する全ての成功した試み及び失敗した試みを記録する。コンピュータ１５１及び／又は他のネットワークインフラストラクチャ機器及び／又はＤＣＰ１１９は、統合アクセス制御サーバ２００が返した指示を実行する責務を有する（例えば、施設において、警報を鳴らす又はドアを開く等）。
【００５５】
また、統合アクセス制御サーバ２００は、アクセス制御監視機能及びアクセス制御イベントをサポートする。保安要員は、施設内で働く者及び情報資産をより包括的に保護するために、リアルタイムの情報を用いて、物理的リソース及びネットワークリソースへのアクセスを同時に監視及び管理できる。
【００５６】
なお、統合アクセス制御サーバ２００は、例えば、イーサネットネットワーク又はインターネット等のフレーム／パケットベースのネットワーク２８を介して、ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１の両方と通信を行う。ネットワークセキュリティサーバ１５９は、新たな機器がネットワークに追加された場合、これらの機器の参加を制御し、新しい及び期限切れのユーザ認証情報を管理する。ネットワークアクセスポリシが改訂されると、改訂されたポリシは、ネットワークセキュリティサーバ１５９から統合アクセス制御サーバ２０と、ミラーサーバがある場合、ミラーサーバとに転送される。同様にユーザ認証情報が更新されると、この情報は、統合アクセス制御サーバ２００に伝播される。物理的セキュリティアクセス制御システムの観点からは、物理的セキュリティサーバ１２１は、追加された新たな物理システムユーザの参加を制御すると共に、新たな及び期限切れのユーザ認証情報の管理を続ける。物理的アクセス制御ポリシが改訂されると、改訂されたポリシは、物理的セキュリティサーバ１２１から統合アクセス制御サーバ２００に転送される。このように、統合アクセス制御サーバ２００は、以前はネットワークアクセス制御サーバに関連していた全ての機能を提供し、物理的アクセス制御認証情報を検証し、以前はアクセス制御パネルが提供していた有効な関連する物理的アクセス制御ポリシを強制する。
【００５７】
アクセス制御イベントは、ユーザ又はコンピュータによるネットワークアクセス要求であってもよく、ユーザによる施設のドア又はオフィス、物置又は実験室等の部屋へのアクセス要求であってもよい。一例として、統合アクセス制御サーバ２００が、フレーム／パケットベースのネットワーク２２８を介して、アクセス制御ゲートウェイ２２５に接続されているコンピュータ１５１又はＤＣＰ１１９からアクセス要求メッセージを受信すると、統合アクセス制御サーバ２００は、認証情報の妥当性、要求側機器又は要求者の位置を検証し、提供された情報に基づいて、特定のポリシを実行することによってアクセス要求メッセージに応答する。このアクセス制御ポリシの実行の結果、対応するアクセス制御応答が、フレーム／パケットベースのネットワーク２２８を介して、アクセス制御ゲートウェイ１２５に接続されたコンピュータ１５１又はＤＣＰ１１９に返される。
【００５８】
更に、本発明は、物理的アクセスイベントをネットワークアクセスイベントに結合する新たなポリシを生成及び実施することによって、新たな機能を実現する。例えば、ネットワークへのログインイベントの前に、所定のユーザがネットワークリソースにアクセスするために、統合アクセス制御サーバは、そのユーザが特定の部屋又は建造物内で、過去１時間以内に好ましい物理的アクセス検証を受けていることを要求するポリシを強制できる。更に、従業員がオフィス又は施設を退出する際、バッジリーダ又はビデオ監視カメラ及び顔認識装置が生成する物理的施設退出要求イベントに基づいて、ネットワークアクセスを終了させることができる。これにより、認証されたユーザが施設から退出した後に、使用者が不在のネットワーク接続が開かれたまま放置されることを確実に防止することができる。このように、物理的アクセスイベント及びネットワークアクセスイベントを結びつけることによって、ネットワークアクセス保護が強化される。また、このようなポリシによって、遠隔地又は別の場所から、権限のないパーティがネットワークにアクセスする可能性を低減することができる。更に、ネットワークアクセスのための前提条件として、物理的アクセス検証の処理を行うことによって、妥当な認証情報の所有者に対し、「テールゲーティング」によって施設に入場しない強い動機を提供する新たなポリシを実現できる。
【００５９】
物理的アクセスログ及びネットワークアクセスログの両方への統合されたアクセスを提供することによって、物理的セキュリティ及びネットワークセキュリティの両方を強化できる。例えば、ユーザが所定の建造物内で物理的アクセスイベントを生成してから、長い時間が経過している場合、例えば、統合アクセス制御サーバのネットワークアクセス／活動ログ部分を調べることによって、ユーザの存在を検証してもよい。この処理は、緊急事態において所定のユーザの居場所を特定する際にも役立つ。補足的な特徴として本発明により、ネットワークアクセスが確立された際に、物理的アクセスイベントが以前に登録されていなくても、特定の場所から物理的アクセスログを更新することができる。
【００６０】
統合アクセス制御サーバ（例えば、関連するテーブル又はリストを用いる認証情報検証及びポリシ強制エンジン）によって提供される更なる利点及び利益として、施設に入ることは許可されているが、ネットワークにアクセスすることは許可されていない契約者、パートナー、コンサルタント及び臨時従業員によるネットワークアクセスを拒否することができる。雇い主は、限定的ではあっても、部外者が重要なシステムにアクセスできるという危険性を過小評価している場合が多い。ポリシエンジン及び関連するテーブル又はリストを有する統合アクセス制御サーバの更なる利点として、現在は組織で働いていない退職した従業員又は他の不正使用者が、裏口から直接、又は以前の同僚を介して間接的にネットワークベースの情報資源にアクセスするといった問題を解決することができる。これらの不正使用者は、雇い主との対立又は解雇を予想して、代替のパスワードを作成することによって、又は、単に、後に接続して使用するために、ネットワークインフラストラクチャ上に情報を保存しておくことによって、ネットワークへの裏口からのアクセスを準備することがある。統合アクセス制御サーバでは、ネットワークアクセスは、施設内の認証された物理的所在に関連付けることができる。
【００６１】
動作的な観点からは、ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１は、それぞれ、ネットワークセキュリティ及び物理的セキュリティ管理者が定義したアクセス制御ポリシと、認証情報及び全てのアクセス制御要求者のアイデンティティに関する情報とを維持し続ける。なお、認証情報の検証及びポリシの強制に関して、統合アクセス制御サーバでは、従来のアクセス制御パネル及び従来のネットワークアクセス制御サーバをメインテナンスするために必要な合計時間より、メインテナンス時間を短くすることができる。単一の統合アクセス制御サーバ２００は、ＡＣＰ及びネットワークアクセス制御サーバの両方として機能し、両方のシステムの階層構造が単純化され、物理的アクセス制御システム及びネットワークアクセス制御システムの導入及び維持コストを最小化することができる。
【００６２】
本発明によって、ユーザ／個人データを効率的にメインテナンスでき、リソースアクセスのためのより一貫性がある、大規模な規則の集合が実現され、施設への物理的アクセス及びネットワークアクセスの両方の安全性が強化される。
【００６３】
更に、幾つかの場合、統合アクセス制御サーバによって、物理的アクセスセキュリティサーバ及びネットワークアクセスセキュリティサーバを使用しなくて済む場合もある。このためには、統合アクセス制御サーバは、追加的なセキュリティサーバ機能を実装する必要があるが、これにより、統合アクセス制御サーバに関連する動作上の効率が高められる。図７Ａに示すように、本発明の実施の形態の最小化された構成では、物理的セキュリティサーバ１２１及びネットワークセキュリティサーバ１５９のそれぞれ及び統合アクセス制御サーバ２００は、単一のプラットホームに統合してもよく、同時に動作する複数のプラットホームに分散させてもよい。
【００６４】
図７Ｂのブロック図に示す他の実施の形態においては、コンピュータ１５１及び複数のＡＣＤ１１０は、ネットワーク接続されたＤＣＰ２２９に接続されている。ＤＣＰ２２９は、ＡＣＤからデータを収集し、データをパケット化し、フレーム／パケットベースのネットワーク２８を介して、統合アクセス制御サーバ２００にパケットを送信する。統合アクセス制御サーバ２００は、関連するアクセス制御ポリシに基づく制御情報を返す。図７Ａに関連して先に説明した具体例と同様に、本発明は、物理的アクセス制御パネル及びネットワークアクセス制御サーバの両方を置換し、アクセス制御サーバ２００に関連する上述した更なる利点及び利益を提供することによって、図７Ｂの実施の形態における同様の機能をサポートする。
【００６５】
図７Ｃは、本発明の更に他の実施の形態を示している。この場合、各ＡＣＤ２３１は、ネットワークに接続され、インフラストラクチャネットワークであるフレーム又はパケットベースのネットワーク２２８を介して、統合アクセス制御サーバ２００と通信する。図７Ａに関連して先に説明した具体例と同様に、本発明は、図７Ｃ実施の形態に関して、同じ機能をサポートでき、統合アクセス制御サーバに関連する上述した更なる利点及び利益を提供することができる。なお、ＡＣＤ１１０、ＤＣＰ１１９、ゲートウェイ１２５、ＤＣＰ２２９及びＡＣＤ２３１の様々な組合せを１つの統合されたシステムに共存させることができる。更に、統合されたシステムは、１つの建造物内に導入してもよく、複数の施設に亘って導入してもよく、この場合、各施設は、ネットワーク接続されたＡＣＤ、旧式の機器又はネットワーク接続されたＡＣＤ及び旧式の機器の組合せを備えていてもよい。
【００６６】
図７Ａ〜図７Ｃに示す実施の形態では、例えば、コンピュータ１５１等のコンピュータ装置は、インフラストラクチャネットワークであるフレーム又はパケットベースのネットワーク２２８にも接続される。典型的な応用例では、数百個又は何千個ものコンピュータ装置、例えば、パーソナルコンピュータ、ＩＰ対応電話機、又は他のネットワーク接続されたコンピューティング装置は、インフラストラクチャネットワークであるフレーム又はパケットベースのネットワーク２２８に接続され、１つの施設内に位置していてもよく、世界中の複数の施設に位置していてもよい。統合アクセス制御サーバ２００は、施設に入ること及びネットワーク接続機器を使用することの両方を許可されたユーザによるネットワークリソースへのアクセスを制御する。統合アクセス制御サーバ２００は、ネットワーク及び物的資源の両方に関する統合されたアクセスポリシを実現する。
【００６７】
統合アクセス制御サーバにネットワーク機器を登録する処理は、従来のネットワークアクセス制御サーバがサポートする処理の手法とは、僅かに異なる。ネットワーク接続された物理的アクセス制御ゲートウェイ又はネットワーク接続されたＤＣＰ又はＡＣＤは、統合アクセス制御サーバと共に使用されることが前提条件であり、これらのゲートウェイ、ＤＣＰ及びＡＣＤは、周知の何らかの手法によって、統合アクセス制御サーバ２００に登録される。統合アクセス制御サーバは、ゲートウェイ、ＤＣＰ及び関連するＡＣＤが導入され、例えば、ＡＲＰ要求等の周知のネットワークプロトコルを介してネットワークに接続される際に、これらの機器のＩＰ及び／又はＭＡＣアドレスを記録する。ネットワーク接続されたＡＣＤ、ＤＣＰ及びゲートウェイは、ネットワーク接続されたＡＣＰ／物理的セキュリティサーバと通信する際と同様の手法で、統合アクセス制御サーバのアドレスによって、手動又は自動的に構成され、又はデフォルトネットワークアドレスゲートウェイ（例えば、ＤＮＳサーバ）を用いて構成される。
【００６８】
更に、統合アクセス制御サーバは、離散的な物理的アクセス制御システム及びネットワークアクセス制御システムに分散して実現してもよい。統合アクセス制御サーバは、単に従来のアクセス制御パネル機能又は従来のネットワークアクセス制御サーバ機能をそれぞれサポートしてもよい。旧型の物理的アクセス制御システムにおいて、統合アクセス制御サーバを導入する場合、統合アクセス制御サーバが様々な物理的アクセス制御機器と通信するために、図７Ａ〜図７Ｃに示すようなネットワーク接続された物理的アクセス制御コンポーネントが不可欠となる。
【００６９】
他の実施の形態では、共通のフレーム／パケットベースのネットワークインフラストラクチャを使用する施設内に存在する他のポリシベースのビル管理装置は、従業員が施設内のどこにいるかに関する情報に基づいて、施設内の領域又は部署における環境制御（例えば、冷暖房ポリシ、照明ポリシ等）を実行する。同様に、従業員が所定の領域を出ると、環境制御を中止することができる。また、これらの機器には、例えば、施設内の各所に配設されている煙センサ又はアラーム、非常用電話機、又は非常ボタン等の更なるセキュリティ及び安全装置が含まれる。統合アクセス制御サーバは、適切なポリシを検証し、強制でき、これらの他のビル管理機器に応答する。
【００７０】
コンピュータネットワークへのユーザのアクセス権を維持する統合アクセス制御サーバ（認証情報検証、ポリシ強制エンジン及び関連するテーブル又はリスト）は、施設及び他の施設機能（例えば、ＨＶＡＣ及び照明）へのアクセス権を判定する際に使用されるテーブルと同じテーブルを使用してもよい。この統合アクセス制御サーバは、多くの利点の１つとして、メインテナンスの必要性及び動作のオーバヘッドを最小化することができる。統合アクセス制御サーバは、物理的なイベントをネットワークリソースにおけるイベント又はアクセスに結びつけ、及びこの逆を行うポリシサーバとして機能する。ポリシベースの機器の統合によって、物理的セキュリティの他の側面も統合される。
【００７１】
統合アクセス制御サーバ２００は、図７Ａ〜７Ｃでは、単一の機器として示しているが、１つ以上のサーバが同時に動作する分散型又はミラー型のサーバとして実現してもよい。アクセス制御サーバ機能並びに関連するテーブル及び／又はリストは、信頼性、存続性又は又は応答時間を向上させるために、様々なサイトにミラー化してもよい。更に、テーブル及び／又はリストは、各施設において、従来の装置にアクセス制御情報を保存する場合と同様の手法で、フラッシュメモリ又は他の更新可能な持続的メモリに保存してもよい。幾つかの実施の形態では、ミラー化されたテーブルは、プライバシ及び他の安全性を配慮して、マスタテーブルに保存されている情報の下位集合から構成してもよい。
【００７２】
また、統合アクセス制御サーバは、単一の統合アクセス制御サーバが複数のネットワークアクセス制御サーバ又は物理的セキュリティアクセス制御パネルのように動作するための「仮想化された」機能を提供できる。この機能は、住居及び企業のセキュリティ監視サービスのためにアウトソーシングされた物理的、ネットワークセキュリティ監視及び管理業者にとって有用である。物理的セキュリティバッジは、ユーザにバッジを発行するエンティティ、すなわち、ユーザ及びバッジに関連する組織に関する追加的情報を含むことが一般的である。したがって、仮想化された統合アクセス制御サーバは、この追加的情報を用いて、特定の組織及びアクセス制御されているリソースに関連しているアクセス制御テーブル及びポリシの一部を速やかに分離することができ、例えば、実際には、関連するリスト及びポリシは、多くの異なる組織のエントリを含む完全な統合アクセス制御サーバのテーブルの下位集合であるが、テーブル及びサーバが１つの組織について「仮想的に」専用なものとなる。
【００７３】
統合アクセス制御サーバは、複数の施設へのユーザアクセスを制限するアクセスポリシを実現する。一旦、ユーザが所定の施設内に入ることが許可されると、統合アクセス制御サーバは、施設のネットワークリソースへのアクセスを規制する。換言すれば、統合アクセス制御サーバは、複数の施設において、共通のアクセスポリシを実現することができ、又は各施設において、異なるアクセスポリシを実現することもできる。
【００７４】
統合アクセス制御サーバ２００に関連するテーブルは、物理的セキュリティアクセス制御システム及びネットワークアクセス制御システムの両方をサポートするための情報を含む。このテーブルは、以下に限定されるわけではないが、所定の施設又はリソースへの物理的アクセス及び／又はネットワークリソースアクセスが許可されているユーザの完全な又は部分的なリスト、ユーザ識別番号、日時、曜日、ネットワークアドレス、生体照合情報、認証コード及びこれらに類する情報、並びに物理的アクセス制御ポリシ情報及びネットワークアクセス制御ポリシを含む。更に、テーブルは、物理的アクセスイベント及びネットワークアクセスイベントの両方が共同で監視又は統合されている場合のみに実現することができる新たなポリシを含むことができる。
【００７５】
図８に示す他の実施の形態においては、統合アクセス制御サーバの機能は、ブロック３００によって示すように、１又は複数のネットワークインフラストラクチャ機器（すなわち、ルータ、スイッチ、無線アクセスポイント）に統合されている。具体的には、物理的アクセス及びネットワークアクセスの制御のための統合されたアクセス制御ポリシ及び関連するテーブル／リストは、１つ以上の様々なネットワークインフラストラクチャ機器によって統合及びサポートされる。ネットワーク内に配設されているこれらの機器においてアクセス制御テーブル／リスト、認証情報検証及びポリシ強制エンジンを統合することによって、更なるアクセス制御サーバを追加することなく、アクセス制御システムに更なるレベルの冗長性を追加することができる。この統合によって、ネットワークアクセス制御及び物理的アクセス制御システムに必要な複数の機器を統合できる。また、これは、導入及び持続的なメインテナンスを含む運用面でも有効である。
【００７６】
統合アクセス制御サーバのテーブル、認証情報検証及びポリシ強制エンジンは、様々な手法で機能的に実現することができる。一実施の形態においては、物理的アクセス制御及びネットワークアクセス制御テーブルは、認証情報検証及びポリシ強制エンジンがアクセスする単一のテーブルに統合される。統合アクセス制御サーバの他の実施の形態では、物理的アクセス制御及びネットワークアクセス制御テーブルを別個に維持し、２つ以上のアクセス制御認証情報及びポリシテーブルを同時に連続的に参照するために、認証情報検証エンジン及びポリシ強制エンジンを必要とする。両方又は全てのテーブルの参照結果に基づき、これらのエンジンは、調停ロジックを用いて、適切な物理的又はネットワークアクセス応答を検証し、決定する。
【００７７】
また、この調停ロジックを用いて、「グローバル」アクセス制御ポリシと「ローカル」アクセス制御ポリシと間の矛盾を解決することもできる。例えば、グローバルポリシは、政府の指示に従って確立することでき、例えば、政府の秘密取扱許可（security clearance）を受けている認証されたユーザのみが所定のネットワークリソースにアクセスできるようにしてもよい。一方、「ローカル」ポリシは、施設内に物理的に存在する全てのユーザが、ユーザの如何にかかわらず、これらの同じネットワークリソースにアクセスすることを許可している場合がある。このローカルポリシは、例えば、施設内にいる全てのユーザは、正当な秘密取扱許可を受けているとの仮定に基づいている。したがって、政府による秘密取扱許可を受けていない他の場所からのユーザが、この「ローカル」アクセスポリシが有効にされているローカルの施設に訪れ、このユーザが制限されたリソースにアクセスすることを試みた場合には、グローバルアクセスポリシとローカルアクセスポリシとの間に矛盾が生じる。このような場合には、統合アクセス制御サーバの調停ロジックは、グローバルポリシを優先させて、アクセス要求を適切に拒否する。
【００７８】
統合アクセス制御サーバ又はエンジンは、ライトウェイトディレクトリアクセスプロトコル（Lightweight Directory Access Protocol：ＬＤＣＰ）、開放型データベース接続（and Open Database Connectivity：ＯＤＢＣ）、ユーザ認証サポート、拡張認証プロトコルトランスポートレイヤセキュリティ（Extensible Authentication Protocol Transport Layer Security：ＥＡＰ−ＴＬＳ）を含む８０２．１Ｘ認証、プロテクテッドＥＡＰ（Protected EAP：ＰＥＡＰ）、シスコＬＥＡＰ、セキュアトンネリングを介するＥＡＰフレキシブル認証（EAP-Flexible Authentication via Secure Tunneling：ＥＡＰ−ＦＡＳＴ）及びＥＡＰ−メッセージダイジェストアルゴリズム５（EAP-Message Digest Algorithm 5：ＥＡＰ−ＭＤ５）等のある種の規格によって、又はこれらの規格に互換性を有するように実現することができる。また、統合アクセス制御サーバ又はエンジンは、何らかのネットワークアクセス機器のためにアクセス制御リストをダウンロードする機能も備える。
【００７９】
図９は、図６に示す例示的な構成要素を用いて、組織の総合的な物理的及びネットワークのセキュリティ体制を強化するために統合された物理的及びネットワークアクセス制御システムが行う一連のイベント及び動作を示している。以下の例示的なポリシでは、物理的アクセス制御イベントがネットワークアクセスイベントに先行すると仮定する（すなわち、ユーザは、認証情報を提示して施設又は場所に入場し、作業場に進み、企業ネットワークにログインする）。
【００８０】
ユーザは、リーダ又は他のＡＣＤに認証情報を提示する。検出された要求及び関連する認証情報は、１つ以上のパケットによって、アクセス要求メッセージとして統合アクセス制御サーバ２００に送信される。ステップ３８１において、統合アクセス制御サーバ２００は、例示的なテーブルにおいて、電子バージョンの認証情報を調べ、認証を行う（認証情報が有効であるかを判定する）ステップ３８２において、統合アクセス制御サーバ２００は、アクセス制御機器ネットワークアドレスを読み出し、記録し、進行中の物理的アクセス要求イベントと共に、将来のネットワークアクセス要求イベントにおいて、この情報を使用できるようにする。ステップ３８３において、統合アクセス制御サーバ２００は、ステップ３８２において、記録されたＡＣＤネットワークアドレスによって特定された、認証情報及び物理的な位置の特定の組合せについてのアクセスポリシを判定する。この判定の結果、許可又は拒否を示す応答がネットワーク接続されたアクセス制御機器に送信され、認証情報が有効な場合、ポリシは、対応するリソースＡＣＤ機器を介してアクセスを承認し、ユーザは、施設に入場し又はアクセスできる。
【００８１】
そして、ユーザは、コンピュータ１５１又は他のネットワーク接続された通信又はコンピューティング装置に着く。この具体例では、コンピュータ１５１は、ステップ３８１〜ステップ３８３において使用されたＡＣＤの近くにあり、又はこのＡＣＤによる物理的アクセス制御下にある。そして、ユーザは、ネットワークへログオンを要求する。このログオン要求は、ネットワークインフラストラクチャ機器１５５及び統合アクセス制御サーバ２００によって受信される（ステップ３８４）。
【００８２】
ステップ３８５は、ユーザが、所定のネットワークポート（例えば、ステップ３８１〜３８４において使用された物理的なＡＣＤと同じ包括的な物理領域に位置するスイッチ等の特定のネットワークインフラストラクチャ機器上の特定のポート接続）において、ネットワークへのアクセスを要求した際に実行される。この初期のログイン要求は、統合アクセス制御サーバ２００に送信される。統合アクセス制御サーバ２００は、認証情報の検証に基づき、コンピュータのための関連するアクセス制御ポリシを実行する。詳しくは、統合アクセス制御サーバ２００は、ユーザが、現在の位置からネットワークにアクセスすることを許可されていることを検証する。ユーザが施設に入ることを許可されていない場合、又は特定の施設内の所定のコンピュータリソースにアクセスすることを許可されていない場合、アクセスを拒否でき、アラーム又は警報を保安要員に通知できる。ポリシがアクセスを許可する場合、ユーザは、ネットワークコンピュータリソースへのアクセスを許可される。そして、統合アクセス制御サーバ２００は、ステップ３８６において、ネットワークインフラストラクチャ機器（スイッチ等）に対し、このコンピュータにネットワークポリシをダウンロードすることを要求できる。このようにして、本発明は、物理的領域におけるイベントを、企業のネットワークリソース上に生じるイベントに相互に関連付けることができる。
【００８３】
他の施設においてネットワークアクセス及び物理的アクセスをサポート及び制御する異なる統合アクセス制御サーバにユーザプロファイルを転送することが必要な場合もある。例えば、ユーザが異なる施設を訪問する際に、ユーザプロファイルを転送してもよい。本発明は、ユーザ／人員属性に関する共通のデータベースに基づいて動作する統合されたポリシベースのネットワーク及び物理的な構内アクセス制御サーバを実現する。ネットワークセキュリティサーバ１５９及び物理的セキュリティサーバ１２１は、施設内のサイト毎に、個人的な嗜好に応じて、単に、ユーザのプロファイルを更新する。この特徴によって、例えば、ユーザの位置及びその位置でユーザが使用する内線端末機に基づいてＶｏＩＰ通信システムデータベースの構成を更新することができる。
【００８４】
図１０は、様々な離散的な物理的アクセスポリシ４０２及びネットワークリソースアクセスポリシ４０６及び物理的施設アクセスリスト４０４、ネットワークリソースアクセスリスト４０８を制御する統合アクセス制御サーバ４００の使用例を示している。統合アクセス制御サーバ４００の一部である統合されたポリシエンジン４１０は、物理的アクセスポリシ及びイベントと、ネットワークポリシ及びイベントとを結びつけるリスト及びポリシの統合点として機能する。また、統合されたポリシエンジン４１０及び統合アクセス制御サーバ４００は、物理的アクセスリスト又はポリシがネットワークアクセス制御リスト及びポリシに論理的に一致しない場合、定義済みデフォルトポリシを提供できる。ポリシエンジン４１０は、施設アクセス又はネットワーク接続機器に対するイベント又はイベントの組合せに応じて、物理的セキュリティシステム２０２及びフレーム／パケットネットワーク２０４にポリシベースの命令を生成及び送信し、アクセス制御及びネットワーク接続機器に特定の動作を実行させる。ポリシエンジン４１０は、物理的施設又はネットワークリソースにアクセスしようとする全ての試みを記録し、それぞれの又は任意のアクセスの試みに応じて、ポリシに基づく命令を実行する。システムが複数の施設及び複数のネットワークを含む場合であっても、ポリシエンジン４１０は、システムにおけるネットワークリソース及びアクセス制御イベントを監視する独立した管理ステーションと通信してもよい。
【００８５】
なお、幾つかの実施の形態では、認証情報及びポリシのリストは、厳密には限定的ではないが、ルータ、スイッチ、アクセスポイント及び多目的のサーバ等のネットワークインフラストラクチャ機器に常駐し、又はこれらの機器に統合されていてもよい。
【００８６】
ポリシエンジン４１０は、物理的リソースアクセス要求又はイベントを所定のエンティティ又はエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントに関連付けるポリシを実現でき、これらのポリシは、統合された物理的アクセス及びネットワークアクセス制御サーバ又は同様のプラットホームにおいて実行され、調停され、応答指示される。これらのポリシは、物理的領域におけるイベントを指定し、物理的領域におけるイベントは、ネットワークリソース上のイベント又はアクセスと相互に関連付けられる。物理的リソースアクセス要求又はイベントを所定のエンティティ又はエンティティのグループからのネットワークベースのリソースアクセス要求又はイベントに関連付けるポリシは、統合された物理的アクセス及びネットワークアクセス制御サーバ又は同様のプラットホームにおいて実行され、調停され、応答指示される。
【００８７】
なお、本発明によって、認証エンティティを含む共通のリスト及び／又はテーブル又は同期された１組のリスト／テーブルを認証情報によって定義でき（パスワード、指紋、バッジ等を介するアイデンティティの確立）、特定の条件の組（ポリシ）に基づいて、物理的又はネットワーク機能／リソースにアクセスすることを許可することができる。認証エンティティを含む同期された１組のリスト及び／又はテーブルは、認証情報によって定義され（パスワード、指紋、バッジ等を介するアイデンティティの確立）、特定の条件の組（ポリシ）に基づいて、物理的又はネットワーク機能／リソースにアクセスすることを許可すると共に、認証に対する指示として、例えば、他の照明、暖房、冷房等の他の特定の物理的リソースパラメータを変更することができる。これに代えて、認証エンティティを含む分散されたリスト及び／又はテーブルが、認証情報によって定義され（パスワード、指紋、バッジ等を介するアイデンティティの確立）、特定の条件の組（ポリシ）に基づいて、物理的又はネットワーク機能／リソースにアクセスすることを許可すると共に、認証に対する指示として、例えば、他の照明、暖房、冷房等の他の特定の物理的リソースパラメータを変更してもよい。
【００８８】
ポリシエンジン４１０を備えるアクセス制御サーバ４００は、更に、フレーム及び／又はパケットベースのネットワークへの接続及びこのネットワークを介する通信によって、物理的アクセス及び／又はネットワーク機能／リソースのためのアクセス制御ポリシ（例えば、リスト）を取り込み、保守し、配信する機能を有する。また、アクセス制御サーバ４００は、認証情報検証及びポリシ判定を必要とする物理的リソース及びネットワークベースのリソースの一方又は両方から、アクセス要求又はイベント要求を受信及び／又は検出する機能を有する。更に、ポリシエンジン４１０を備えるアクセス制御サーバ４００は、物理的及び／又はネットワークアクセス制御ポリシを実現し、強制し及び実行する機能（ポリシエンフォーサ）を有し、ポリシに基づく応答を生成し、所定のイベントに基づいて、対応する予め定義された動作のために、他の機器に応答を送信する。安全管理ステーションにおいて、権限を与えられた者が、認証情報及びポリシを作成し、アクセス制御システム機器を構成設定し、アクセス制御システムを管理してもよく、これらの処理は、適切なコンピュータソフトウェアコード、テーブル及びリストにプログラミングし、アクセス制御サーバ４００おいて実行してもよい。
【００８９】
特定の実施の形態を用いて本発明を説明したが、これらの実施の形態は、単に例示的なものであり、本発明を限定するものではない。本明細書では、本発明の実施の形態の理解を容易にするために、例えば、コンポーネント及び／又は処理の具体例として、多数の具体的な詳細事項を開示している。しかしながら、本発明の実施の形態は、上述した具体的な詳細事項の１つ以上を欠いても、他の装置、システム、アセンブリ、処理、コンポーネント、材料、部品等を用いても実現できることは当業者にとって明らかである。更に、本発明の実施の形態の特徴を不明瞭にしないために、よく知られている構造、材料又は動作については、特別に示さず、詳細に説明していない。
【００９０】
また、本明細書における「一実施の形態」、「実施の形態」又は「特定の実施の形態」は、実施の形態に関連して開示した特定の機能、構造又は特徴が本発明の少なくとも１つの実施の形態に含まれ、必ず全ての実施の形態に含まれるわけではないことを意味する。また、本明細書内の「一実施の形態では」、「ある実施の形態では」又は「特定の実施の形態では」といった各語句は、必ずしも同じ実施の形態について言及しているわけではない。更に、本発明の如何なる特定の実施の形態の特定の機能、構造又は特徴も適切な任意の手法で、１つ以上の他の実施の形態に組み合わせることができる。なお、本明細書の開示に基づき、本明細書に記載し、説明した本発明の実施の形態のこの他の変形及び変更は明らかであり、これらは本発明の精神及び範囲に包含される。
【００９１】
包括的に言えば、本発明の機能は、周知の如何なる技術を用いて実現してもよい。統合アクセス制御サーバは、スタンドアロンのサーバであってもよく、他のコンピューティング装置であってもよく、例えば、サーバ又はネットワークインフラストラクチャ機器等の共有されたプラットホームに常駐するエンジンであってもよい。また、図面／図に示している１つ以上の要素は、特定の実施の形態において有効であれば、更に細かく区切ってもよく、統合してもよく、省略してもよく、幾つかの状況で動作しないようにしてもよい。
【００９２】
更に、図面／図に示す信号線は、例示的なものであり、特別に言及していない限り、限定的には解釈されない。更に、本明細書に用いられる「又は」という用語は、特別な指摘がない限り「及び／又は」を意味する。また、要素又はステップを分離するか結合するかを明確に表現していない場合、要素又はステップを組み合わせてもよい。
【００９３】
本明細書及び添付の特許請求の範囲において、不定冠詞「ａ，ａｎ」及び定冠詞「ｔｈｅ」が付された単数形の名詞は、文脈に矛盾しない限り、複数も含意する。また、本明細書及び添付の特許請求の範囲において、「〜内に（ｉｎ）」という表現は、文脈に矛盾しない限り、「〜内に（ｉｎ）」及び「〜上に（オン）」の両方の意味を含むものとする。
【００９４】
要約書に開示されている内容を含む本発明の例示的な実施の形態の説明は、本発明をここに開示した形式に限定又は制約するものではない。本発明の特定の実施の形態及び具体例を例示的に説明したが、本発明の精神及び範囲から逸脱することなく、等価の様々な変更が可能であることは、当業者にとって明らかである。上述のように、上述の説明に基づいて、本発明について例示した実施の形態の変形例を想到することができ、これらは、本発明の精神及び範囲に包含される。
【００９５】
以上、特定の実施の形態に基づいて本発明を説明したが、以上の開示に関するある範囲の変更、様々な変形及び置換は明らかであり、本発明の実施の形態の幾つかの特徴は、詳細に説明した本発明の範囲及び精神から逸脱することなく、他の対応する特徴を用いることなく使用することもできる。したがって、特定の状況又は材料を本発明の本質的な範囲及び精神に適応化するために、様々な変形例を想到できる。また、本発明は、特許請求の範囲及び／又は本発明を実施するために想定される最良の形態として開示した特定の実施の形態において用いた特定の用語に限定されず、本発明は、添付の特許請求の範囲に包含されるあらゆる実施の形態及び等価物を含む。
【図面の簡単な説明】
【００９６】
【図１】典型的な従来の施設アクセス制御システムを示す図である。
【図２】フレーム／パケットベースのネットワークのための典型的な従来のネットワークアクセス制御システムを示す図である。
【図３】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティアクセス制御ゲートウェイの使用例を示す図である。
【図４】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティドア制御パネルの使用例を示す図である。
【図５】物理的セキュリティアクセス制御システムの一部としてネットワークに接続可能な従来の物理的セキュリティアクセス制御装置の使用例を示す。
【図６】本発明の一実施の形態に基づく統合された施設アクセス制御及びネットワークアクセス制御システムを示す図である。
【図７】図７Ａ〜Ｃは、本発明の様々な実施の形態を示すブロック図である。
【図８】本発明の実施の形態に基づくネットワークインフラストラクチャ機器の統合された部分としての統合されたアクセス制御機能のアプリケーションを示す図である。
【図９】本発明に基づく統合されたネットワーク及び物理的な構内アクセス制御サーバの動作の実施の形態を示す図である。
【図１０】本発明に基づく統合アクセス制御システムの他の実施の形態を示す図である。
【特許請求の範囲】
【請求項１】
監視パラメータが検出されたとき、情報を捕捉及び／又は生成する複数の機器と、
認証情報によって定義され、ある特定の基準又はポリシに基づいて、物理的施設及びネットワークリソースにアクセスすることが許可されている認証エンティティを含むリストにアクセスして、上記複数の機器によって提出された認証情報を検証し、該複数の機器を用いる上記ポリシを配信及び実行する命令を発行するサーバと、
上記サーバを上記複数の機器に接続するネットワーク接続機器とを備えるアクセス制御システム。
【請求項２】
上記リストは、１組の同期されたリストであることを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
上記リストは、分散された共通の１組のリストであることを特徴とする請求項１記載のアクセス制御システム。
【請求項４】
上記複数の機器は、物理的アクセス制御、ネットワーク接続、又は物理的アクセス制御とネットワーク接続との両方を含み、上記リストは、物理的リソースパラメータ及びネットワークアクセスパラメータを変更するための命令を発行するポリシを更に含むことを特徴とする請求項１記載のアクセス制御システム。
【請求項５】
上記物理的リソースパラメータは、照明、暖房及び冷房を含むことを特徴とする請求項４記載のアクセス制御システム。
【請求項６】
上記サーバは、イベント又はイベントの組合せに応じて、ポリシベースの命令を生成し、上記ネットワーク接続機器に送信し、該ネットワーク接続機器に、対応する予め定義された動作を実行させることを特徴とする請求項４記載のアクセス制御システム。
【請求項７】
上記サーバは、上記物理的施設及びネットワークリソースへのアクセスのためのアクセス制御ポリシを取り込み、維持し、配信する機能を有することを特徴とする請求項１記載のアクセス制御システム。
【請求項８】
フレームベースのネットワークを更に備える請求項１記載のアクセス制御システム。
【請求項９】
パケットベースのネットワークを更に備える請求項１記載のアクセス制御システム。
【請求項１０】
上記物理的施設及びネットワークリソースへのアクセスの試みを記録する統合サーバ及び管理ステーションを更に備える請求項１記載のアクセス制御システム。
【請求項１１】
各アクセスの試みに応じて、ポリシベースの命令を記録する記録手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１２】
ネットワークリソース及びアクセス制御イベントを監視する監視手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１３】
複数の施設及び複数のネットワークへのユーザアクセスを調整するアクセスポリシを実現する調整手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１４】
上記リスト及びポリシは、ネットワークインフラストラクチャ機器に統合されていることを特徴とする請求項１記載のアクセス制御システム。
【請求項１５】
物理的施設及びネットワークリソースに対するアクセス制御ポリシを実行するアクセス制御方法において、
エンティティ又はエンティティのグループのポリシを定義するステップと、
上記ポリシによって、物理的リソースアクセス要求又はイベントを、ネットワークベースのリソースアクセス要求又はイベントに関連付けるステップと、
上記ポリシによって指示されたときに、応答命令を実行し、調停し、提供するステップとを有するアクセス制御方法。
【請求項１６】
上記ポリシは、物理的領域のイベントを、ネットワークリソースのイベント又はアクセスに関連付けて特定することによって、定義されることを特徴とする請求項１５記載のアクセス制御方法。
【請求項１７】
所定のエンティティ又はエンティティのグループからの物理的リソースアクセス要求又はイベントをネットワークベースのリソースアクセス要求又はイベントに関連付けるステップを更に有する請求項１５記載のアクセス制御方法。
【請求項１８】
上記ネットワークリソースへのアクセスを、上記物理的な領域のイベントに関連付け、特定するステップを更に有する請求項１７記載のアクセス制御方法。
【請求項１９】
物理的資産及びネットワークベースの資産へのアクセスを管理するアクセス管理方法において、
物理的施設及びネットワークリソースへのアクセス権を定義するユーザ認証情報を含み、及びネットワークリソースへのアクセス権を定義するユーザ情報を含む統合リストを準備するステップと、
共通のプラットホームから、上記物理的資産及びネットワークベースの資産へのアクセスを管理するステップとを有するアクセス管理方法。
【請求項２０】
認証情報の検証及びポリシ判定の一方又は両方を要求する要求を検出する検出手段とを有するアクセス制御システムにおいて、
通信ネットワークと、
上記通信ネットワークに接続され、監視パラメータが検出されたとき、情報を生成するアクセス制御機器と、
アクセスポリシを確立し、該アクセスポリシを上記アクセス制御機器に配信するサーバとを備え、
上記サーバは、認証情報によって定義され、認証エンティティを含み、特定のポリシの組に基づいて、物理的施設又はネットワークリソースへのアクセスを許可し、選択された物理的リソースパラメータを変更するための命令を生成する１組のリストにアクセスするアクセス制御システム。
【請求項１】
監視パラメータが検出されたとき、情報を捕捉及び／又は生成する複数の機器と、
認証情報によって定義され、ある特定の基準又はポリシに基づいて、物理的施設及びネットワークリソースにアクセスすることが許可されている認証エンティティを含むリストにアクセスして、上記複数の機器によって提出された認証情報を検証し、該複数の機器を用いる上記ポリシを配信及び実行する命令を発行するサーバと、
上記サーバを上記複数の機器に接続するネットワーク接続機器とを備えるアクセス制御システム。
【請求項２】
上記リストは、１組の同期されたリストであることを特徴とする請求項１記載のアクセス制御システム。
【請求項３】
上記リストは、分散された共通の１組のリストであることを特徴とする請求項１記載のアクセス制御システム。
【請求項４】
上記複数の機器は、物理的アクセス制御、ネットワーク接続、又は物理的アクセス制御とネットワーク接続との両方を含み、上記リストは、物理的リソースパラメータ及びネットワークアクセスパラメータを変更するための命令を発行するポリシを更に含むことを特徴とする請求項１記載のアクセス制御システム。
【請求項５】
上記物理的リソースパラメータは、照明、暖房及び冷房を含むことを特徴とする請求項４記載のアクセス制御システム。
【請求項６】
上記サーバは、イベント又はイベントの組合せに応じて、ポリシベースの命令を生成し、上記ネットワーク接続機器に送信し、該ネットワーク接続機器に、対応する予め定義された動作を実行させることを特徴とする請求項４記載のアクセス制御システム。
【請求項７】
上記サーバは、上記物理的施設及びネットワークリソースへのアクセスのためのアクセス制御ポリシを取り込み、維持し、配信する機能を有することを特徴とする請求項１記載のアクセス制御システム。
【請求項８】
フレームベースのネットワークを更に備える請求項１記載のアクセス制御システム。
【請求項９】
パケットベースのネットワークを更に備える請求項１記載のアクセス制御システム。
【請求項１０】
上記物理的施設及びネットワークリソースへのアクセスの試みを記録する統合サーバ及び管理ステーションを更に備える請求項１記載のアクセス制御システム。
【請求項１１】
各アクセスの試みに応じて、ポリシベースの命令を記録する記録手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１２】
ネットワークリソース及びアクセス制御イベントを監視する監視手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１３】
複数の施設及び複数のネットワークへのユーザアクセスを調整するアクセスポリシを実現する調整手段を更に備える請求項１０記載のアクセス制御システム。
【請求項１４】
上記リスト及びポリシは、ネットワークインフラストラクチャ機器に統合されていることを特徴とする請求項１記載のアクセス制御システム。
【請求項１５】
物理的施設及びネットワークリソースに対するアクセス制御ポリシを実行するアクセス制御方法において、
エンティティ又はエンティティのグループのポリシを定義するステップと、
上記ポリシによって、物理的リソースアクセス要求又はイベントを、ネットワークベースのリソースアクセス要求又はイベントに関連付けるステップと、
上記ポリシによって指示されたときに、応答命令を実行し、調停し、提供するステップとを有するアクセス制御方法。
【請求項１６】
上記ポリシは、物理的領域のイベントを、ネットワークリソースのイベント又はアクセスに関連付けて特定することによって、定義されることを特徴とする請求項１５記載のアクセス制御方法。
【請求項１７】
所定のエンティティ又はエンティティのグループからの物理的リソースアクセス要求又はイベントをネットワークベースのリソースアクセス要求又はイベントに関連付けるステップを更に有する請求項１５記載のアクセス制御方法。
【請求項１８】
上記ネットワークリソースへのアクセスを、上記物理的な領域のイベントに関連付け、特定するステップを更に有する請求項１７記載のアクセス制御方法。
【請求項１９】
物理的資産及びネットワークベースの資産へのアクセスを管理するアクセス管理方法において、
物理的施設及びネットワークリソースへのアクセス権を定義するユーザ認証情報を含み、及びネットワークリソースへのアクセス権を定義するユーザ情報を含む統合リストを準備するステップと、
共通のプラットホームから、上記物理的資産及びネットワークベースの資産へのアクセスを管理するステップとを有するアクセス管理方法。
【請求項２０】
認証情報の検証及びポリシ判定の一方又は両方を要求する要求を検出する検出手段とを有するアクセス制御システムにおいて、
通信ネットワークと、
上記通信ネットワークに接続され、監視パラメータが検出されたとき、情報を生成するアクセス制御機器と、
アクセスポリシを確立し、該アクセスポリシを上記アクセス制御機器に配信するサーバとを備え、
上記サーバは、認証情報によって定義され、認証エンティティを含み、特定のポリシの組に基づいて、物理的施設又はネットワークリソースへのアクセスを許可し、選択された物理的リソースパラメータを変更するための命令を生成する１組のリストにアクセスするアクセス制御システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公表番号】特表２００９−５１４１００（Ｐ２００９−５１４１００Ａ）
【公表日】平成２１年４月２日（２００９．４．２）
【国際特許分類】
【出願番号】特願２００８−５３７８２５（Ｐ２００８−５３７８２５）
【出願日】平成１８年１０月１９日（２００６．１０．１９）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０４１２０１
【国際公開番号】ＷＯ２００７／０５０４８１
【国際公開日】平成１９年５月３日（２００７．５．３）
【出願人】（３９８０３７２８４）シスコ テクノロジー インコーポレイテッド (15)
【Ｆターム（参考）】
【公表日】平成２１年４月２日（２００９．４．２）
【国際特許分類】
【出願日】平成１８年１０月１９日（２００６．１０．１９）
【国際出願番号】ＰＣＴ／ＵＳ２００６／０４１２０１
【国際公開番号】ＷＯ２００７／０５０４８１
【国際公開日】平成１９年５月３日（２００７．５．３）
【出願人】（３９８０３７２８４）シスコ テクノロジー インコーポレイテッド (15)
【Ｆターム（参考）】
[ Back to top ]